Tenable ブログ
ブログ通知を受信する
脅威状況のまとめ (2021): 最も重要な脆弱性を中心に
1 年間の脆弱性と侵害を振り返り、 2022 年以降のサイバーセキュリティ戦略に役立つインサイトを提供
「人は経験から学ぶのではない。経験を熟考することによって学ぶのである」 ジョン・デューイ、アメリカの哲学者
改善は反省から始めるのが第一とよく言われますが、セキュリティ関連の出来事や脆弱性を振り返るときこそ当てはまるアドバイスです。Tenable の「脅威状況のまとめ (2021)」 (TLR) は、 2021 年の脅威環境の理解を深めて、2022 年に企業のセキュリティ体制改善を目標に活動しているセキュリティ専門家のための貴重なリソースです。
「脅威状況のまとめ」は、政府機関、ベンダー、リサーチ機関が発行したアドバイザリを年間追跡して分析した結果です。 Tenable のセキュリティリスポンスチームは、毎年、サイバーセキュリティ専門家のためにこのレポートを発行しています。
2021年には、1 月から 11 月の間に 21,957 件の新しい CVE が発表されました。これは前年比で 2 割増です。公開されたゼロデイの脆弱性は 105 件で、これは 2020 年には 29 件だったので、262% の増加です。データ漏洩は、当社の統計では 2020 年 10 月から翌年 10 月までの 12 か月間で 1,825 件。以上すべてが 2020 年のデータより上昇した項目です。
年の瀬も迫るころ、今年のレポートを編纂していて「またか」と思う大型のセキュリティ事件がありました。2020 年の 12月には、SolarWinds を介して複数の企業が攻撃された、一連のNOBELIUM のサイバースパイ攻撃があったのですが、2021年の大事件は、言うまでもなく Log4Shell 脆弱性 の開示でした。
ここで重要なのは、SolarWinds の時と同様に、Log4Shell に気を取られるばかりに、TLR が分析している山とあるほかの脆弱性やセキュリティ事象から注意を逸らせないことです。 事実、今回の調査は膨大な数の脆弱性が企業を襲っていることを明確にし、リスク削減の課題がいかに大きいかを表わしています。
脅威状況のまとめ (2021) の内容
第 1 章は、 2021 年の注目すべき事象と傾向、ゼロデイ、既存の脆弱性を振り返ります。 最も重大な脆弱性とゼロデイについて、その原因や影響を受けたシステムなどを調査しています。Microsoft Exchange と Windows Print Spooler の脆弱点 が最も大きく影響したことなどに注目しています。
第 2 章は、サイバー犯罪について、どのような攻撃や手段がどのように実行されたかについて説明しています。 データ漏洩、ランサムウェア、サプライチェーンに対する攻撃などから犯罪者が得た成果は何だったのか考察しています。
第 3 章は、昨年の主な脆弱性１つひとつの概要と、影響を受けたベンダーすべてについてまとめた、貴重なリストです。 300 件以上の脆弱性が、重大度、関連した事件の詳細、影響を受けたベンダーなどのコンテキストとともに記載されています。TLR は、特に異常であった 2021 年の脆弱性の騒音をかき分けて、重要なポイントをまとめています。 毎日の仕事で多忙なセキュリティ担当者に役立つように作成しています。
Tenable の脅威状況のまとめ (2021 年 ) の要点
- 課題は、進化しつつあるセキュリティの境界線を保護すること
- Active Directory の脆弱性や設定ミスを悪用して攻撃をしかけているランサムウェア集団の手口
- NOBELIUM と SolarWinds の事件以降、サプライチェーンに対する攻撃が急増した背景
詳細情報
- 日本語のレポートは こちらからダウンロード
- ウェビナー: Tenable Research による 2021 年の振り返りと 2022 年を守るためのガイダンスをご視聴いただけます。
- Tenable の脅威状況のまとめ (2021) 関連ブログ Tenable.io ダッシュボード
- Tenable の脅威状況のまとめ (2021) 関連ブログ Tenable.sc ダッシュボード
- Tenable Community にアクセスして Tenable のセキュリティリスポンスチームをフォロー
関連記事
Recent NVD Delays Won’t Affect Tenable Vulnerability Management Customers Thanks To Our Diverse Scoring Sources
March 19, 2024NIST has announced delays in the CVE enrichment process of its National Vulnerability Database (NVD), but the situation doesn’t impact Tenable VM customers because our vulnerability scoring is based on multiple sources.
Cybersecurity Snapshot: Cyber Pros Say How AI Is Changing Their Work, While the FBI Reports Ransomware Hit Critical Infrastructure Hard in 2023
March 8, 2024More than 40% of ransomware attacks last year impacted critical infrastructure. Plus, a survey shows how artificial intelligence is impacting cybersecurity jobs. Meanwhile, MITRE updated a database about insider threats. And why you need a custom compensation strategy to recruit cyber pros. And much more!
Cybersecurity Snapshot: NIST’s Cybersecurity Framework Gets Major Update, as Advisories on APT29 and ALPHV Blackcat Get Rolled Out
March 1, 2024Check out what’s new in NIST’s makeover of its Cybersecurity Framework. Plus, the latest guidance on cyberattack groups APT29 and ALPHV Blackcat. Also, how to assess the cybersecurity capabilities of a generative AI LLM. And the most prevalent malware in Q4. And much more!
Cybersecurity Snapshot: U.S. Gov’t Unpacks AI Threat to Banks, as NCSC Urges OT Teams to Protect Cloud SCADA Systems
March 29, 2024Check out new guidance for banks on combating AI-boosted fraud. Plus, how to cut cyber risk when migrating SCADA systems to the cloud. Meanwhile, why CISA is fed up with SQLi flaws. And best practices to prevent and respond to DDoS attacks. And much more!
Enhancing Transportation Cybersecurity and Fleet Management for the DoD
March 25, 2024Few things can halt operations across the Department of Defense like a critical failure of logistics and transportation. From automated asset inventory to malicious-activity detections through baselining, learn how Tenable OT Security can protect these critical functions within the DoD and work towards the federal government’s zero trust mandate in OT environments.
Cybersecurity Snapshot: NSA Picks Top Cloud Security Practices, while CNCF Looks at How Cloud Native Can Facilitate AI Adoption
March 22, 2024Check out the NSA’s 10 key best practices for securing cloud environments. Plus, learn how cloud native computing could help streamline your AI deployments. Meanwhile, don’t miss the latest about cyberthreats against water treatment plants and critical infrastructure in general. And much more!
- Risk-based Vulnerability Management
- Vulnerability Management