CISAの最新の年次サイバーセキュリティアドバイザリ(CSA) で上位にランクインしたCVE(共通脆弱性識別子)の大部分(15件中11件)は、当初ゼロデイとして悪用されたものだった。
パッチや修正プログラムが存在しないソフトウェアの未知の脆弱性を悪用するという、このような新しい攻撃は、従来の防御を回避し、危機的かつ急速に増大する危険性を示している。
セキュリティに携わる多くの人は、このような隠れた問題は、実際にその存在が明らかになるまでは防ぐことはできないと考えている。しかしながら、このように後手に回る姿勢に固執すると、組織は危険なほど脆弱になってしまう。
ゼロデイ悪用のリスクに対処する緊急性はかつてないほど高まっている。Google TAG/Mandiantが発表した数字によると、悪用されたゼロデイ脆弱性は前年比で50%急増している。
ゼロデイは理論上のリスクではない。攻撃者が多段階攻撃における最初のアクセスを得るために活用する戦術そのものだ。 いったん足場が築かれると、その結果は壊滅的なものとなり得る。例えば、業務を麻痺させるほどのデータ流出、システムを混乱させるラテラルムーブメント、そして、最終的には莫大な経済的損失や業務停止につながる破壊的なランサムウェアの展開など。IBMの2024年のCost of a Breach Reportによると、昨年のデータ侵害の平均コストは488万ドルという驚異的な額に達した。 早期発見はかすかな希望となり、侵害コストを平均138万ドル削減できる。
ゼロデイ攻撃に対する従来のセキュリティ対策の限界
ゼロデイ攻撃はその性質上、従来のセキュリティツールでは検出が非常に困難である。従来の対策の限界とは：
- WAFはシグネチャベースの検知に依存しており、このような新しいタイプの攻撃を見逃してしまう。これまで知られていなかった脆弱性を悪用する攻撃パターンを本質的に見逃してしまう。
- OSレベルのツールでは、アプリケーションの内部ロジックやデータフローを可視化することができない。システムコールは監視できるが、アプリケーション自体を標的とするゼロデイ攻撃を正確に特定するために必要な、アプリケーションの内部ロジック、データフロー、コード実行に関する重要な可視性が欠けている。
- 発見されるのは、侵害が成功した後であることが多い。これにより、予防的な防御は実現不可能であるという時代遅れの考えが強まる。そして、IPアドレスのブロックやプロセスの強制終了(つまり、悪意のあることが疑われる、または悪意があると確認された実行中のコンピュータプロセスを終了させること)のような、不正確でしばしば破壊的な対応に頼らざるを得なくなる。
- 従来のアプリケーションセキュリティでは、本番稼動前の脆弱性検出に重点を置いており、本番稼動中のゼロデイ脅威には対応できていない。
セキュリティ戦略のパラダイムシフトは極めて重要であるだけでなく、それは実現可能だ。重要なのは、事後対応的なパッチ適用にとどまらずに、予防的な対策を採用し、特定の脆弱性が見つかる前であっても、根本的な攻撃手法を理解して軽減することに焦点を当てることだ。ここで、実行時の解析に重点を置いたContrast ADR(アプリケーションにおける検知と対応)によって変革が実現する。
見えないものを暴く：ゼロデイ脆弱性をリアルタイムに検知
ゼロデイ攻撃というとらえどころのない脅威に対して、唯一本当に実現可能な防御策は、アプリケーションコード自体に直接、詳細な可視性と挙動解析機能を持たせることにある。Contrast ADRは、アプリケーションの内部にエージェントを組み込むことでこれを実現し、アプリケーションで未知の脅威を的確に検知し、正しく対応できるようにする。
これにより、アプリケーションの実行環境内での挙動解析を通じて、活動中のゼロデイ攻撃がリアルタイムに検知されて、明らかになる。ADRによって、アプリケーションの挙動がコードレベルで詳細に可視化されることで、外部の監視ツールでは見えないような、新たな悪用のごくわずかな兆候までも明らかにできる。侵害が発生するのを待ってから攻撃者が特定されるのではなく、ADRではアプリケーション層で最初の侵入を検知することができ、重要な警告を早期に受け取ることが可能になる。
攻撃の構造を封じ込める：脆弱性クラス全体を防御範囲に
従来のセキュリティは、発見されるたびに個々のCVEを追いかけるという、モグラ叩きゲームに終始しがちだ。 しかし、ゼロデイ攻撃は水面下に潜んだまま、CVEという「もぐら」が顔を出す前に脆弱性を悪用する。
より効果的な戦略は、個々のCVEにパッチを当てるだけでなく、脆弱性のクラス全体を事前にブロックすることである。Contrast ADRは、この原則を核として設計されている。Contrast ADR は、SQLインジェクションやパストラバーサルといった一般的な攻撃で使われる基本的な手法を理解することで、既知の攻撃パターン(シグネチャ)だけでなく、その根底にある攻撃テクニックを捉えるため、未知のゼロデイ攻撃であっても即座に無効化できる。
つまり、悪用されている特定の脆弱性が未知なものであっても、ADRは欠陥のあるクラス全体に関連する悪意のある挙動を認識してブロックできるのだ。危険な動作をする関数をブロックするのに苦労する従来のツールとは異なり、ADRは危険な関数が悪用される前にブロックする機能を備えており、不可欠な予防的防御の層を提供する。
意図を理解する：実行中の挙動検知
ゼロデイ攻撃対策におけるADRの最大のメリットは、アプリケーション実行時の挙動の検知機能にある。 以下に、Contrast ADRでどのようにゼロデイ攻撃の成功が検知されるかを示す：
- シグネチャやパターンではなく挙動を解析： 静的なシグネチャや外部の観測値に依存するのではなく、Contrast ADRはアプリケーション内部の挙動を解析することで、未知の脆弱性を狙った悪意のあるアクティビティを特定して明らかにする。つまり、Contrast ADRは、外部のパターンやシグネチャではなく、コードで実際に何が行われているかに基づいて攻撃を検知する。
- アプリケーションの実行環境内でリアルタイムに解析：実行時の詳細なセキュリティ情報(復号後、パース後)を活用することで、ADRは正当なアプリケーションの動作と未知の欠陥を悪用しようとする悪意のある試みを高い精度でインテリジェントに区別する。そして、従来のセキュリティツールに見られる過検知のノイズを大幅に削減する。このきめ細かなレベルの洞察により、ADRはゼロデイ攻撃を示すわずかな異常を特定し、セキュリティ担当が信頼できる実用的なインテリジェンスを提供できる。
- アプリケーションの挙動をコードレベルで可視化：従来のセキュリティでは、実行中のアプリケーションに対する可視性が限られているため、微妙なゼロデイの兆候を検知するのは非常に困難であるが、ADRではアプリケーションの挙動に対する詳細なコードレベルの可視性を得られ、新種の悪用のわずかな痕跡さえも明らかにすることができる。
- ほんの数クリックで暫定制御を実現：従来の対策では、脆弱性が発見された後に開発担当による修正に頼らざるを得ないことが多いのに対し、ADRではほんの数回クリックするだけで暫定的な対策を有効にできる。そのため、開発者が恒久的な修正に取り組む間、迅速に一次的な対策を講じられる。個々のCVEの対処に終始するのではなく、脆弱性クラス全体に対して予防的な保護を提供するという転換は、絶え間なく進化するサイバー脅威の状況に対抗する我々の能力における根本的な改善を示している。
ゼロデイ攻撃を待たないで：Contrast ADRで予防的な対策を
ゼロデイ攻撃はもはや稀なことではなく、重大かつ拡大し続ける脅威であるという厳しい現実となっている。事後対応型のセキュリティ対策のみに頼ると、こうした未知の脆弱性を常に探し出して悪用する巧妙な攻撃者から常に一歩遅れをとることになる。Contrast ADR は、ゼロデイ攻撃をリアルタイムで検知してブロックするために必要な詳細なアプリケーションのセキュリティ情報および実行環境の挙動解析を提供し、脆弱性が悪用される前にそのクラス全体を無効化することで、強力で事前対応型のソリューションを提供する。
今こそ、従来の防御の限界を超え、ゼロデイ攻撃という目に見えない脅威に真に取り組むアプリケーションセキュリティの新時代を受け入れる時が来た。避けられない事態を待つのではなく、組織の将来を守るために積極的な対策を講じよう。今すぐContrastをお試しを。
お問い合わせ
