Skip to content

サイバーセキュリテイに関するDavid Lindner(Contrast CISO)の視点 | 2024年5月24日

    
サイバーセキュリテイに関するDavid Lindner(Contrast CISO)の視点 | 2024年5月24日

ポイント#1

Palo AltoがIBMのQRadarソフトウェアを吸収する計画を立てるなど、ツールの統合が続いている。この動きは今後も続くだろうし、セキュリティソフトウェアの消費者にとっても意味のあることだ。その理由は明らかだ。最近の報告書によると、IT担当者の75%がサイバーセキュリティツールの管理に少なくとも1日の半分(4~6時間)を費やしている。中には、ツールの管理に全ての勤務時間(7~9時間)以上を費やしている人も14%いる。時間のかかる作業があまりにも多い。セキュリティプラットフォームの監視、脆弱性のパッチ適用、優先度の高いアラートへの対応、優先度の低いアラートへの対応、アプリケーションから呼び出されることのないコードに存在する脆弱性への対応に時間を費やすこと、エンドポイントエージェントの管理、他のセキュリティツールとの統合、アラート分析など。こんなことは続けられない。未来は統合にかかっている。

ポイント#2

Contrastの研究者が、オープンソースソフトウェア製品「Netflix Genie」に重大な脆弱性があることを発見した。リモートコード実行(RCE)につながるパストラバーサルの脆弱性だ。Contrastのランタイムセキュリティによって発見されたこのバグは、NetflixがGenieをアウトソーシングした時から存在していた。このバグは、Contrast Protectのバージョン6.5.0時点で正常にブロックされ、ユーザに通知された。これこそが、ランタイムセキュリティの必要性を訴え続けている理由だ。ランタイムセキュリティは、防御の最前線となる他ツールを迂回するようなロジックの欠陥やゼロデイを悪用した攻撃を阻止することで、実行中のアプリケーションとAPIを保護できる。

ポイント#3

最近の報告書で、ゼロデイ攻撃の増加により、CISOは攻撃後の対応に優先順位を変更せざるを得なくなっていることが指摘されている。考え方としてはこうだ: ゼロデイを防げないなら、被害を受けた後にきちんと後始末ができるよう準備をしておいた方がいい。ゼロデイは盲点だ。将来のゼロデイから身を守るために、何をしているだろうか?モップを持って座っている必要はない。実際には、脆弱性が発見されて報告される前に脆弱性を見つけることができるのだ。

David Lindner, Chief Information Security Officer

David is an experienced application security professional with over 20 years in cybersecurity. In addition to serving as the chief information security officer, David leads the Contrast Labs team that is focused on analyzing threat intelligence to help enterprise clients develop more proactive approaches to their application security programs. Throughout his career, David has worked within multiple disciplines in the security field—from application development, to network architecture design and support, to IT security and consulting, to security training, to application security. Over the past decade, David has specialized in all things related to mobile applications and securing them. He has worked with many clients across industry sectors, including financial, government, automobile, healthcare, and retail. David is an active participant in numerous bug bounty programs.