Skip to content

サイバーセキュリティに関するDavid Lindner(Contrast CISO)の視点 | 2024年12月6日

By David Lindner, Chief Information Security Officer

12月 10, 2024

セキュリティ 脆弱性対策 バックログ インシデント対応 サイバー攻撃 SOC 脆弱性管理

    
サイバーセキュリティに関するDavid Lindner(Contrast CISO)の視点 | 2024年12月6日

ポイント #1：CISO達を縛り付けるNISTのバックログ

NISTのCVEバックログは、組織のサイバーセキュリティアーキテクチャにおける重要な制御層を麻痺させる、デジタル災害だ。CISOやセキュリティ責任者は、脅威情報の提供を任されている機関によって防御力が弱められ、慌てふためくことになる。ファイアウォール、侵入検知システム、脆弱性スキャナーなど、数十億ドルものセキュリティ投資が、さらに事後対応的で不正確なものになっている。このような状況は、悪意ある行為者を優位な立場にする。このバックログは、これらのツールの歯車に砂を投げ込み、防御に大きな穴をあける。これは、システム全体を機能不全に陥れる失敗だ。

ポイント #2：SOCは情報不足

このCVEバックログのせいで、セキュリティオペレーションセンター(SOC)は重要な脆弱性情報が不足し、脅威検知システムは信頼性が低下し、効果もない。全てのアラートが疑わしくなり、全ての検査が疑いや不正確さによって曖昧になる。完全かつ検証されたCVE情報がなければ、正確な照合は不可能に近い。セキュリティ運用担当は、幽霊のようなものを追いかけて貴重な時間を浪費する一方で、本当の脅威は隙間から抜け落ちる。何千ものCVEがまだ検証を待っている状態であるため、このバックログにより脆弱性を積極的に探す能力が損なわれて、企業・組織は危険にさらされ、SOCは対応に追われることになる。 

ポイント #3：インシデント対応者は暗闇の中で手探り状態

インシデント対応担当者は、悪夢のようなシナリオに直面している。悪用された脆弱性の全容が見えないまま攻撃に対処するということだ。重要な情報が不足しているため、効果的なトリアージと封じ込めが妨げられ、被害は野放しになり拡大する。担当者が根本原因を特定し、適切な緩和対策を適用するのに苦労するため、平均応答/修復時間(MTTR)が爆発的に増加する。機能不全に陥ったシステムや、同じ未知の脆弱性を悪用する攻撃が繰り返される脅威と格闘することになり、平均復旧時間(MTTR)は遥か遠くの夢となる。CVEバックログにより、全てのインシデントは連鎖的な災害となり、被害が拡大し、壊滅的な被害の痕跡が残ることになるだろう。
セキュリティ 脆弱性対策 バックログ インシデント対応 サイバー攻撃 SOC 脆弱性管理

David Lindner, Chief Information Security Officer

David is an experienced application security professional with over 20 years in cybersecurity. In addition to serving as the chief information security officer, David leads the Contrast Labs team that is focused on analyzing threat intelligence to help enterprise clients develop more proactive approaches to their application security programs. Throughout his career, David has worked within multiple disciplines in the security field—from application development, to network architecture design and support, to IT security and consulting, to security training, to application security. Over the past decade, David has specialized in all things related to mobile applications and securing them. He has worked with many clients across industry sectors, including financial, government, automobile, healthcare, and retail. David is an active participant in numerous bug bounty programs.

前

金融業界におけるDXのセキュリティ対策