Tenable ブログ
ブログ通知を受信する
セキュリティ庁 (CISA) の連邦政府機関における許容できないリスクの脆弱性管理に関する拘束力のある運用指令は、連邦政府機関に対するサイバー攻撃を防止するための重要な対策である
連邦政府機関は、Vulnerability Priority Rating (VPR) を活用して、特定された約 300 件の脆弱性管理を効果的に実行すべきです。
今週、米国サイバーセキュリティインフラストラクチャセキュリティ庁 (CISA) は、連邦機関における許容できないリスクの脆弱性管理に関する拘束力のある運用指令 (BOD) を発表しました。この BOD は、各機関が一定の期間 (通常 2 週間以内) で修正しなければならない、悪用が知られている脆弱性を管理できるインベントリを確立することを定めています。 また、この BOD は、複雑化する危険なサイバー脅威から連邦政府のネットワークを守るために各機関が待ち望んでいた支援であり、サイバー犯罪に対抗し、連邦政府の安全を確保するためにバイデン大統領が実施する取り組みの重要な一部でもあります。 しかし、このリストには約 300 件もの脆弱性が含まれることから、修正作業を進めるには優先順位を付ける必要があります。
連邦政府の IT 担当者は、どの脆弱性に最初に取り組むべきかを判断するために、状況に関するコンテキストの要素を追加して検討することから始める必要があります。 Tenable の Vulnerability Priority Rating (VPR) は、技術的な影響と脅威の 2 つの要素によって、この脆弱性リストを重大、高、中、低の 4 つのカテゴリーに分類するために必要な洞察を提供します。 CISA は、Stakeholder-Specific Vulnerability Categorization (SSVC: ステークホルダーごとの脆弱性の分類) を活用することの推奨を通して、すでにコンテキストを考慮に入れたアプローチを受け入れ始めています。VPR は、その原理を自動で適用し、貴重な判断時間を短縮します。
VPR は、脅威レベルを判断するだけでその影響を判断できないことが指摘されていた CVSS (共通脆弱性スコアシステム) に比べて大幅な優位点があります。VPR は、CISA や各機関の検討材料として重要な情報です。ある脆弱性が重大な脅威をもたらすように見えなくても、特定のシステムに対する技術的影響が多大な場合は、該当する機関は最初にその脆弱性に対処すべきです。しかし、他の機関に同じような緊急性があるとは限りません。
許容できないリスクのある脆弱性には、悪用コードが実証されている複数の脆弱点で、様々な攻撃者に広く悪用されているものが含まれています。このリストには、最も広範囲で深刻な影響があった脆弱性を含む 2020 年の主要なトレンドを分析、特定した Tenable の「脅威状況のまとめ」レポートの上位 5 つの脆弱性が含まれています。 これらの上位 5 つの脆弱性は、いずれも VPR 評価が 9.8 以上となっています。
第 1 位は、ZeroLogon として知られる CVE-2020-1472 で、APT 攻撃者やランサムウェアグループによって日常的に使用されていることから、複数の警告が政府より発せられています。ZeroLogon に加えて、Citrix Application Delivery Controller (ADC)、Gateway、SD-WAN WANOP の CVE-2019-19781、Pulse Connect Secure SSL VPN の CVE-2019-11510、Fortinet Fortigate SSL VPN の CVE-2018-13379 など、セキュアソケットレイヤー (SSL) の仮想プライベートネットワーク (VPN) アプリケーションの脆弱性が、2020 年に最も悪用された脆弱性に数えられています。4 つの国際的な政府機関が共同で発表したサイバーセキュリティ勧告によると、CVE-2019-19781 は、2020 年に最も悪用された脆弱性でした。上位 5 つの脆弱性には、CVE-2020-5902 が含まれています。これは、BIG-IP の Traffic Management User Interface (TMUI) に存在する重大なリモートコード実行の脆弱性で、これも頻繁に悪用例が報告されているものです。
この BOD は、各機関が脆弱性を取り除き、連邦政府を動かすネットワークを保護するための確固とした出発点となる、CISA の重要な取り組みです。 各機関は、この脆弱性のリストに基づいて作業を開始する際、VPR を使用して最初に対処すべき脆弱性を特定し、リスクベースの脆弱性管理アプローチを活用する必要があります。
もっと詳しく
関連記事
Cybersecurity Snapshot: Apply Zero Trust to Critical Infrastructure’s OT/ICS, CSA Advises, as Five Eyes Spotlight Tech Startups’ Security
November 1, 2024Should critical infrastructure orgs boost OT/ICS systems’ security with zero trust? Absolutely, the CSA says. Meanwhile, the Five Eyes countries offer cyber advice to tech startups. Plus, a survey finds “shadow AI” weakening data governance. And get the latest on MFA methods, CISO trends and Uncle Sam’s AI strategy.
Cybersecurity Snapshot: New Guides Offer Best Practices for Preventing Shadow AI and for Deploying Secure Software Updates
October 25, 2024Looking for help with shadow AI? Want to boost your software updates’ safety? New publications offer valuable tips. Plus, learn why GenAI and data security have become top drivers of cyber strategies. And get the latest on the top “no-nos” for software security; the EU’s new cyber law; and CISOs’ communications with boards.
Cybersecurity Snapshot: Tenable Report Warns About Toxic Cloud Exposures, as PwC Study Urges C-Suite Collaboration for Stronger Cyber Resilience
October 18, 2024Check out invaluable cloud security insights and recommendations from the “Tenable Cloud Risk Report 2024.” Plus, a PwC study says increased collaboration between CISOs and fellow CxOs boosts cyber resilience. Meanwhile, a report finds the top cyber skills gaps are in cloud security and AI. And get the latest on SBOMs; CIS Benchmarks; and cyber pros’ stress triggers.
Cybersecurity Snapshot: Apply Zero Trust to Critical Infrastructure’s OT/ICS, CSA Advises, as Five Eyes Spotlight Tech Startups’ Security
November 1, 2024Should critical infrastructure orgs boost OT/ICS systems’ security with zero trust? Absolutely, the CSA says. Meanwhile, the Five Eyes countries offer cyber advice to tech startups. Plus, a survey finds “shadow AI” weakening data governance. And get the latest on MFA methods, CISO trends and Uncle Sam’s AI strategy.
FY 2024 State and Local Cybersecurity Grant Program Adds CISA KEV as a Performance Measure
October 31, 2024The CISA Known Exploited Vulnerabilities (KEV) catalog and enhanced logging guidelines are among the new measurement tools added for the 2024 State and Local Cybersecurity Grant Program.
Cybersecurity Snapshot: New Guides Offer Best Practices for Preventing Shadow AI and for Deploying Secure Software Updates
October 25, 2024Looking for help with shadow AI? Want to boost your software updates’ safety? New publications offer valuable tips. Plus, learn why GenAI and data security have become top drivers of cyber strategies. And get the latest on the top “no-nos” for software security; the EU’s new cyber law; and CISOs’ communications with boards.
- Federal
- Government
- Legislation
- Vulnerability Management
- Vulnerability Scanning