脆弱性の修正とは?

• 修正を成功させるには、リスクに基づいて脆弱性の優先順位を付け、リソースを動員し、パッチの有効性を検証し、継続的なモニタリングを行う必要があります。
• Claude Mythos などのフロンティア AI モデルにより、脆弱性の発見から悪用までの期間は、従来の数か月、数週間、数日単位から、わずか数分にまで短縮されました。もはや 90 日単位のパッチ適用サイクルでは対応できません。
• エージェント型修正は、検出後の対応の遅れを解消し、優先度の高い検出結果を担当者への割り当てから修正完了まで迅速に進めます。その際、組織の要件に応じたレベルの人的監督を維持できます。
• Tenable Hexa AI は、概念実証 (PoC) の自動化ワークフローにおいて、修正にかかる時間を 90 日から 90 分に短縮しました。現在の脅威環境では、このようなスピードでの対応が求められます。

脆弱性の修正とは、攻撃者が脆弱性を悪用する前に、それらを特定し、優先順位を付け、修正するプロセスのことです。 継続的な資産検出、リスクに基づく優先順位付け、動員、パッチ適用、検証を通じて、セキュリティインシデントにつながるのを防ぎます。

組織が発見する脆弱性の数は、現実的に対処できる範囲をはるかに上回っています。目標は、ビジネス上のリスクが最も高い悪用される可能性のある脆弱性を、できるだけ迅速に修正することです。

Claude Mythos のようなフロンティア AI モデルの登場により、脆弱性の発見から悪用されるまでの時間が、数ヶ月、数週間、数日から数分へと短縮されたため、エージェント型のリスクベース脆弱性修正は、これまで以上に緊急の課題となっています。 

にもかかわらず、多くの組織では依然として、数週間あるいは数ヶ月単位のパッチ適用サイクルで運用されており、このギャップこそが、攻撃者にとってまさに絶好の機会となっています。

効果的な脆弱性修正では、継続的な評価とインテリジェントな優先順位付けに加え、組織が必要とするレベルの人的監督を確保しながら、エージェント型 AI によって対応を自動化することで、そのギャップを縮めます。

脆弱性の修正は継続的なサイクルであり、各段階は前の段階を踏まえて進みます。

検出

継続的な検出により、IT、クラウド、OT、アプリケーション、アイデンティティ環境全体にわたる脆弱性を特定します。包括的な可視性がなければ、何が早急な対応を必要としているのか、あるいは攻撃者がすでに何を狙っているのかを知ることはできません。

しかし、脆弱性は問題の一部に過ぎません。設定ミス、過度に緩いアクセス制御、およびアイデンティティのエクスポージャーは、CVE と相まって攻撃経路を生み出すことがよくあります。

ソフトウェアの脆弱性に加え、こうしたリスクにも対処することこそが、包括的な修正プログラムのあり方です。 Tenable One は、これらのシグナルを単一のプラットフォームに統合し、全体像を把握できるようにします。

優先順位付け

セキュリティチームが発見する脆弱性の数は、一度に修正できる数を常に上回ります。これらに優先順位をつけることが、効果的な修正プログラムの基盤となります。

優先順位は、CVSS スコアだけでなく、実環境での悪用可能性、資産の重要度、脅威インテリジェンス、ビジネスへの影響に基づいて決定します。TenableのVulnerability Priority Rating (VPR) は、お客様の環境にある脆弱性のうち、組織にとって最大のリスクをもたらす 1.6% を特定します。

まずは、こうした脆弱性の修正を優先します。優先順位の判断方法について詳しくは、脆弱性の優先順位付けに関する関連ガイドをご覧ください。

動員

ほとんどの修正プログラムで最も大きな課題となるのが、動員です。

対応が必要な脆弱性を特定したら、検出結果を速やかに、担当者の割り当て、チケッティング、パッチ管理のワークフローへ移行させる必要があります。

セキュリティチームと IT チーム間の手作業による引き継ぎ、連携が取れていないツール、そして多段階にわたる承認プロセスなどは、スピードが求められる場面において、いずれも遅延を招く要因となります。 

脆弱性の発見から悪用されるまでの期間が短縮されるにつれ、修正段階での手間や滞りを最小限に抑えることは、そもそも適切な脆弱性を特定することと同じくらい重要です。

パッチ適用と修正

パッチ適用は最も一般的な修正方法ですが、常に最適な選択肢とは限らず、唯一の選択肢でもありません。

状況に応じて、ソフトウェアの更新、設定変更、不要な権限の削除、アクセス制御の強化、脆弱なシステムの隔離、すぐにパッチを適用できない場合の代償的制御の導入など、さまざまな修正方法があります。

その目的は、悪用される可能性のある脆弱性によるリスクを抑制しつつ、業務への支障を最小限に抑えることにあります。

検証

修正作業は、効果を確認するまで完了しません。

検証では、パッチが正常に適用されたこと、設定変更が有効であること、リスクが軽減されたことを確認します。検証には、リグレッションや新たな脆弱性を検出するための継続的なスキャンが含まれます。継続的なスキャンを行うことで、チケットがクローズされたからといって脆弱性のリスクが解消されたと安易に考えるのではなく、脆弱性の修正が維持されているか、あるいは新たな脆弱性が発生していないかについて、チームが常に状況を把握できるようになります。

従来の修正プロセスは、現在では存在しない、脅威の進行がより緩やかだった環境に合わせて構築されていました。

フロンティア AI は、脆弱性の発見からエクスプロイトまでの期間を、数ヶ月、数週間、数日から数分に短縮しました。手動によるトリアージ、手作業で作成されたチケット、スプレッドシートによる追跡に依存する従来の脆弱性修正の手法では、フロンティア AI モデルが発見する膨大な数の脆弱性に対応することはできません。

MTTR を短縮するには、チェーン全体にわたって、発見、優先順位付け、動員、修正の各段階にかかる時間を短縮する必要があります。

脆弱性修正サイクルのうち、修正作業の遅延の多くは、動員段階で発生します。 この段階において、エージェント型 AI が大きな効果を発揮します。

早急な対応が必要な脆弱性を特定したら、AI が検出結果をトリアージし、チケットを作成し、担当者を割り当て、パッチのデプロイメントやその他の修正ワークフローを開始することができます。これにより、セキュリティチームと IT チーム間の手作業による引き継ぎが不要になります。

修正サイクルのどの部分を完全に自動化し、どの部分に人の監督が必要かを決定できます。まずは、本番システムに変更が及ぶ手前まで、低リスクなシステムに対する日常的な修正作業の自動化から始めるのがおすすめです。

エージェント型プロセスに対する信頼が高まるにつれて、運用上およびコンプライアンス上の要件で求められる監督機能を損なうことなく、自動化をさらなるワークフローへと拡大していくことができます。

エージェント型修正は、「スキャン→検証→修正」という継続的なループを推進します。 予定されたパッチ適用ウィンドウを待つのではなく、環境の変化に合わせて、エクスポージャーを継続的に再評価し、完了した作業の妥当性を確認し、次の優先事項を特定することができます。

機械並みの速度で進む脅威には、それに匹敵する速さの防御が必要です。エージェント型修正を活用することで、チームは人の判断が必要な意思決定に集中しながら、迅速な対応を実現できます。

脆弱性の効果的な修正には、適切な技術と同様に、一貫したプロセスが不可欠です。 

リスクに基づいて修正の優先順位を決定する

優先順位は、CVSS スコアではなく、悪用可能性、資産の重要度、脅威インテリジェンス、ビジネスへの影響に基づいて決定します。組織にとって最も重要なのは、CVSS スコアが最も高い脆弱性ではなく、最大のリスクをもたらす脆弱性です。

問題の発見から修正までの時間を短縮する

インシデント対応、変更管理、パッチ適用のワークフローに、脆弱性管理を組み込みます。問題の発見から修正までの間に手作業が増えるほど、対応の遅れにつながりやすくなります。

日常的な修正作業を自動化する

エージェント型 AI は、検出結果をトリアージし、チケットを作成し、担当者を割り当て、組織が必要とする人的関与のレベルに応じて修正プロセスを開始できます。反復的な業務を自動化することで、チームメンバーはよりリスクの高い業務に集中できるようになります。

継続的に検証する

チケットをクローズしても、対応が実施されたことを示すだけです。リスクが実際に軽減されたかどうかは、検証によって確認します。また、新たなデプロイ、構成ドリフト、不完全な修正によって、新たな脆弱性が生じていないことも確認する必要があります。

セキュリティと IT の責任体制を統合する

セキュリティ部門が問題を特定しても、IT 部門に対応に必要な知識がなく、優先順位も明確でなければ、修正作業は進みません。ワークフローを共有し、責任の所在を明確にすることで、承認プロセスが滞るのを防げます。

適切な指標を測定する

MTTR、検証成功率、および環境内の高リスク脆弱性の数をどれほど迅速に削減できているかを示す指標は、脆弱性やパッチの数よりも、脆弱性管理プログラムの有効性をはるかによく示します。

標準的な MTTR では、すでにクローズした脆弱性しか集計されません。また、修正速度は資産タイプによって大きく異なり、平均すると Windows システムでは 36 日、ネットワークアプライアンスでは 369 日です。そのため、MTTR の数値が良好でも、最もリスクの高い資産への対応の遅れが見えなくなる可能性があります。

修正の所要期間を短縮する

概念実証 (PoC) の自動化ワークフローにおいて、Tenable Hexa AI は、優先順位付けされた検出結果を、手動での引き継ぎなしに調査、チケッティング、承認、パッチデプロイメントへと進めることで、修正にかかる時間を 90 日から 90 分に短縮しました。

Tenable は、インテリジェントな優先順位付け、エージェント型修正、継続的な検証を統合し、必要なガバナンスと監視を維持しつつ、MTTR の短縮を支援します。

Tenable Hexa AI は、ほとんどの脆弱性管理プログラムにおけるボトルネックとなっている動員にかかる時間を短縮します。 

組織が概念実証（PoC）の段階でテストした自動化ワークフローにおいて、Tenable Hexa AI は、調査、チケッティング、承認、パッチデプロイメントにとどまらず、検証の段階まで自動化を拡張し、単にチケットをクローズするだけでなく、リスクが実際に低減されたことを確認します。

Tenable Hexa AI は、カスタム AI エージェントと Model Context Protocol (MCP) を活用し、IT、クラウド、アイデンティティ環境にわたるエンドツーエンドの修正ワークフローを調整します。既存のツールを置き換えることなく、この機能を活用できます。Tenable は現在ご利用の ITSM、パッチ管理、DevOps プラットフォームと連携するため、一から再構築することなく、確立されたワークフローにエージェント型の修正を組み込むことができます。

Tenable One における修正処理は、スキャン・検証・修正のループを継続的に繰り返す形で実行されます。 環境の変化に応じて、Tenable One は組織のエクスポージャーを継続的に再評価し、修正作業の完了を確認した上で、次に優先すべき修正措置を自動的に提示します。

また、Tenable は、Windows、Linux、macOS にわたる 25 万件以上の固有のパッチを網羅するパッチインテリジェンスを提供しており、2 万件以上のパッチ適用可能な製品に対応しているため、複雑なエンタープライズ環境全体で一貫して修正を管理するための幅広いカバレッジを提供します。