Tenable ブログ
ブログ通知を受信する
評価された資産の 10 分の 1 は Log4Shell に対して脆弱
今、対処しなければ、2022 年のコンピューター使用が規定されてしまう。
Tenable は脆弱性の 1 つひとつについて大量のデータを収集しますが、最近大問題になった Log4Shell について言えば、現在までに分かったことは衝撃的ではあるものの、驚くような内容ではありません。すべての資産の 1 割が Log3Shell に対して脆弱であるということです。しかし、企業の 3 割がこのバグを探そうともしていないのは心配です。犯罪者側が現在、最速でバグを探し出そうとしている状況からみると、これこそが驚くべき怠慢な遅延です。
今まで評価した資産のうち、さまざまな種類のサーバー、ウェブアプリケーション、コンテナ、IoT デバイスなど、およそ 1 割に Log4Shell が検出されており、すべての産業と地域が影響されています。 企業の基幹サーバー 10 台中 １ 台、ウェブサーバー 10 台中 １ 台、というふうにリスクが蔓延していて、デジタルインフラのほぼすべての様相の 1 割において、Log4Shell の悪用による攻撃の潜在性があります。
また、影響されている企業の数もただならないものです。2021 年 12 月 21 日時点での当社のテレメトリによれば、この脆弱性を検出するためのスキャンを実行した企業はたったの 7 割! Log4Shell は、サイバーセキュリティ史上、最大のリスクの 1 つと認識されているのに、何も行動をとっていない企業がこれほどあるのです。パッチ適用どころか、環境の評価さえ開始していない企業が全体の 3 割を占めています。
セキュリティ担当者がただでも不足している今、年末年始の休暇のタイミングもあって迅速な対応がより困難なのはしかたがないのですが、このリスクは特異なものです。広範囲な悪用はすでに始まっています。1 か月後には、このエクスプロイトに反復が数回重ねられて、より破壊的な結果をもたらすようになり、その時に被害を防ごうと思っても不可能かもしれません。
EternalBlue などが WannaCry のような大型の攻撃をしかけた例は過去にありますが、今回の Log4j は、インフラとアプリケーションの両方に蔓延しているため、ダメージは大幅に拡大されることが予想できます。この脆弱性には修正が必要です。その事実がこれほどあからさまな例は史上初めてです。Log4Shell によって現在のコンピューター使用のあり方が変わるでしょう。保護に徹する人達と、怠慢な姿勢に妥協する人達に別々に。
もっと詳しく
関連記事
How to Perform Efficient Vulnerability Assessments with Tenable
September 12, 2023Policy configuration choices in vulnerability assessment tools like Tenable Nessus, Tenable Security Center and Tenable Vulnerability Management enable security professionals to effectively gather data that can be analyzed to aid in prioritizing remediation.
Tenable's 2023 Capture The Flag: Are You Ready to Test Your Hacking Skills?
July 26, 2023Tenable is bringing its annual hacking competition to Black Hat 2023 in a hybrid in-person and online experience, giving competitors around the world a chance to have fun and test their skills.
Cybersecurity Snapshot: IoT Vendors Fail at Vulnerability Disclosures, While Cyber Threats Again Top Business Risks
January 27, 2023Learn all about how most IoT product makers lack vulnerability disclosure policies. Plus, businesses again rank cyber risk as their top concern. Also, check out a new toolbox for cybersecurity awareness programs. Then scan the latest list of top malware. And much more!
Cybersecurity Snapshot: U.S. Gov’t Unpacks AI Threat to Banks, as NCSC Urges OT Teams to Protect Cloud SCADA Systems
March 29, 2024Check out new guidance for banks on combating AI-boosted fraud. Plus, how to cut cyber risk when migrating SCADA systems to the cloud. Meanwhile, why CISA is fed up with SQLi flaws. And best practices to prevent and respond to DDoS attacks. And much more!
Enhancing Transportation Cybersecurity and Fleet Management for the DoD
March 25, 2024Few things can halt operations across the Department of Defense like a critical failure of logistics and transportation. From automated asset inventory to malicious-activity detections through baselining, learn how Tenable OT Security can protect these critical functions within the DoD and work towards the federal government’s zero trust mandate in OT environments.
Cybersecurity Snapshot: NSA Picks Top Cloud Security Practices, while CNCF Looks at How Cloud Native Can Facilitate AI Adoption
March 22, 2024Check out the NSA’s 10 key best practices for securing cloud environments. Plus, learn how cloud native computing could help streamline your AI deployments. Meanwhile, don’t miss the latest about cyberthreats against water treatment plants and critical infrastructure in general. And much more!
- Vulnerability Scanning