サイバーエクスポージャー管理: サイバーリスクに先手を打つ方法
サイバーセキュリティプログラム構築におけるサイバーエクスポージャー管理の役割
サイバーエクスポージャー管理を行うと、DX 時代のアタックサーフェスを広く可視化できます。それにより、企業はサイバーリスクをより詳細に把握し、ビジネス上の意思決定をより的確に行えるようになります。 IT チームとセキュリティチームは、アタックサーフェスの状況、またリスクが最も高い箇所を把握することで、技術とビジネスの両方の観点からサイバーリスクに対応するための態勢を整えられるようになります。
このナレッジベースでは、サイバーエクスポージャー管理とは何か、リスクベースの脆弱性管理の基盤にどのように基づいているのかの詳細と、サイバー攻撃から企業を保護するうえでのメリットをご紹介します。
![セキュリティの脆弱性と攻撃経路の排除 セキュリティの脆弱性と攻撃経路の排除](https://www.tenable.com/sites/all/themes/tenablefourteen/img/seo/VM-source-hero.png)
レポートの詳細内容:
攻撃を予測して、 リスクを未然に低減
Tenable One は、DX 時代のアタックサーフェスを単一の画面で一元的に把握するための、唯一のサイバーエクスポージャー管理プラットフォームです。 Tenable One を使用すると、サイバー攻撃の影響を予測して、あらゆる場所にあるすべての資産のサイバーリスクに先手を打って対処し、そのリスクを管理できるようになります。
ガートナー社による 2022 年の Exposure Management レポート
常に進化し続ける脅威環境に対応していくのは困難なことです。 新たな脅威が現れてアタックサーフェスの規模が拡大すると、潜在的な攻撃を積極的に探し出してサイバー対策を強化するのではなく、インシデントへの対応に集中せざるを得なくなってしまいます。そのため、セキュリティチームは恒常的に「対処が事後対応的になっている」と感じるかもしれません。
また、企業全体のリスクをできるだけ効果的かつ効率的に軽減することが必須要件です。 そのためには、アタックサーフェスを包括的に可視化し、サイバーエクスポージャー管理の取り組みについて優先順位をつける必要があります。
このレポートでは、ガートナー社が Continuous Threat Exposure Management (CTEM) プログラムのメリットの概要を説明しています。セキュリティ態勢を改善するために企業が出来ることについての推奨事項も紹介しています。
ガートナー社による 2022 年のエクスポージャー管理レポートをダウンロードすると、以下の内容に関する詳細がわかります。
- CTEM プログラムの内容
- 5 段階に分かれた継続的なエクスポージャー管理
- CTEM 実装の推奨事項
サイバーエクスポージャー管理のインサイト
Tenable の Cyber Exposure に関する研究調査: ランサムウェア対策
攻撃者は、一般的な既知のソフトウェアの脆弱性に対して適切な修正を行っていない企業を狙います。 くわえて、攻撃者はこういったセキュリティ上の弱点を利用してシステムに侵入し、多くの場合、悪意をもって資産のランサムウェア感染を企てます。
パンデミック以降、ランサムウェアは増加傾向にあります。ランサムウェア感染は、セキュリティチームが見落としがちな Active Directory (AD) から多く発生しています。 Active Directory には多くの弱点があるため、攻撃者の悪用により簡単に権限が昇格させられてしまいます。企業のサイバー衛生が維持されていない場合、こうした攻撃者がアタックサーフェスに足場を築き、そこからランサムウェアを拡散するおそれがあります。
ではどうしたらよいでしょうか。こちらの Tenable の Cyber Exposure に関する研究調査を参照すると、以下に関する詳細がわかります。
- 一般的な攻撃手法とエクスプロイト
- 予測に基づいた優先順位付けを使用して、企業にとって最も重要な弱点を修正する方法
- Tenable One で Active Directory のエクスポージャーを特定する方法
リスクベースの脆弱性管理からサイバーエクスポージャー管理へ
アタックサーフェスが拡大するにつれて、攻撃者は、お客様が見落としている潜在的なセキュリティ上の弱点を強引に突こうとしています。そのため、従来の脆弱性管理の枠を超えて、より効果的なサイバーエクスポージャー管理戦略へと進化させ、最新の状態を維持できるような成熟した脆弱性管理プログラムが不可欠になります。
まだその態勢でなくても、いくつかの主要ステップを踏むことでリスクベースの脆弱性管理からサイバーエクスポージャー管理プログラムに企業を移行できます。これにより、複雑で急速に変化しているアタックサーフェスにおいても、企業のサイバー衛生を改善できます。
このインフォグラフィックでは、サイバーエクスポージャー管理プラットフォームを採用するメリットについて詳しく説明しています。このプラットフォームを使用すると、すべての資産とセキュリティ上の弱点の包括的な可視化や、効果的な予測と優先順位付けの機能の利用が可能になり、企業のサイバーリスクをより適切に伝達できるようになります。
サイバーセキュリティ企業が直面している 3 つの課題 サイバーエクスポージャー管理プラットフォームの活用による解決
DX 時代のアタックサーフェスは複雑であるため、リスクベースの脆弱性管理プログラムを、より包括的な状況に重点を置いた戦略、つまりエクスポージャー管理に進化させることが、かつてないほど重要になっています。
実際、セキュリティチームはアタックサーフェスについて把握した脆弱性やその他のセキュリティ情報のすべてにうまく対処しようと悪戦苦闘している可能性があります。 そうした状況下では、企業にとって重要なセキュリティ問題の優先順位付けはきわめて難しく、事後対応型のセキュリティアプローチから事前対応型のアプローチへの移行はより困難です。
このホワイトペーパーでは、サイバーエクスポージャー管理プラットフォームを使用してチームがアタックサーフェスを包括的に可視化する方法を詳しく説明しています。可視化することで、企業のサイバーリスクを減らすための最も効果的な措置のために、時間やリソースを割けるようになります。
以下についての詳細が記載されています。
- 現在、サイバーセキュリティチームが実際に直面している課題
- サイバーエクスポージャー管理プログラムを構築するために必要なもの
- サイバーエクスポージャー管理のメリット
- サイバーエクスポージャー管理ソリューションで求められるもの
Tenable Community: サイバーエクスポージャー管理のための信頼できるリソース
多くの企業は、リスクベースの脆弱性管理一辺倒のやり方から、より効果的なサイバーエクスポージャー管理戦略へと進化するためのステップを踏み出しています。 サイバーエクスポージャー管理についての疑問をお持ちの場合は、Tenable Community に参加すると、御社と同じくサイバーエクスポージャー管理や既存のプログラムを成熟させる方法をより深く知りたいと考えている他のユーザーとつながることができます。
今、次のような会話が交わされています。
Nessus を使用した Tenable One の Attack Path Analysis の実現
攻撃経路の分析は、脆弱性管理からサイバーエクスポージャー管理やリスクベースのエクスポークジャー予測分析への移行における重要な側面です。 Tenable では、Nessus 内のお客様の環境に関する基本的な知見を活用することでこれを可能にします。
続きを読むTenable サイバーウォッチ: Tenable の専門家による 2023 年の予測
休暇後の憂鬱な気分が吹き飛ぶニュースです。この Tenable Cyber Watch のエピソードでは、2023 年に向けて準備すべき 4 つのサイバーセキュリティのトレンドを取り上げています。 ランサムウェアによる恐喝、OT セキュリティ、SaaS の懸念、クラウド保護が当社のエキスパートにとって最優先である理由を説明します。
続きを読む中華人民共和国が支援する集団によるエクスプロイトが確認された CVE トップ 20
CIS、NSA、FBI は、共同でアドバイザリを発行し、中華人民共和国につながりのある、国家支援を受けている攻撃者に最も悪用された脆弱性 20 件の詳細を明らかにしました。 これらの脆弱性は、ソフトウェアやハードウェアの企業を含む米国および同盟国のネットワークを標的として使用されてきました。
続きを読むリスクベースの脆弱性管理に関するよくある質問
サイバーエクスポージャー管理は初めてでしょうか。サイバーエクスポージャー管理について疑問点があるものの、まず何をしたらよいか迷っておられますか。その場合、まずはこの FAQ をご覧ください。
サイバーエクスポージャー管理とは?
サイバーエクスポージャー管理では何を行いますか?
サイバーエクスポージャー管理で、自社のサイバーセキュリティプログラムをどのように成熟させられるのでしょうか?
サイバーエクスポージャー管理が必要な理由は?
サイバーエクスポージャープログラムにおける主要な役割は?
サイバーエクスポージャー管理の開始方法は?
- すべての資産のセキュリティを把握し、ギャップを特定する。
- アタックサーフェス全体を、攻撃者の立場に立って見る。
- 企業に対する実際のリスクに基づいて、修正計画の優先順位を決める。
- 修正プロセスを評価し、継続的な改善を実施する。
- 効果的に伝達し、対策をとる。
サイバーエクスポージャー管理を行うメリットは何ですか?
- 現代のアタックサーフェスを包括的に可視化できる。
- 事後対応型のセキュリティ態勢から、サイバー攻撃の影響を予測できるセキュリティ態勢に移行できる。
- セキュリティデータを文脈に当てはめて、修正措置の優先順位付けに役立てることができる。
- 経営幹部や取締役会に至るまで、企業全体のより効果的なコミュニケーションを実現できる。
サイバーリスクをあらかじめ回避するためにできることは何でしょうか?
より正確なビジネス上の意思決定を下すという観点において、サイバーエクスポージャー管理はどのように役立つのでしょうか?
サイバー空間に露呈されたリスクを未然に減らすにはどうすればよいでしょうか?
サイバーエクスポージャー管理プラットフォームを使用すると、どのようなことが期待できますか?
- 1 つのプラットフォームで、あらゆる場所のすべての資産を簡単に確認できる。
- セキュリティデータを理解し、脅威を予測し、修正の優先順位を付けられるように支援する。
- サイバーリスクの効果的な伝達を支援して、セキュリティとビジネスに関する意思決定をより的確に行えるようにする。
サイバーエクスポージャー管理から学べることは何でしょうか?
- 会社のセキュリティは大丈夫?
- 何を優先させるべきか?
- エクスポージャーを低減させていくためにはどうすればよいか?
- 競合他社と比較してどうか?
サイバーエクスポージャー管理によって攻撃経路を遮断することはできますか?
サイバーエクスポージャー管理にとって資産インベントリが重要な理由は?
サイバーエクスポージャー管理プログラムの構築方法
リスクベースのアプローチを採用した場合でも、従来の脆弱性管理プログラムの質を高めることは可能です。しかし、「それだけで十分か」と問いかけることが重要となります。 そして、その答えは「おそらく足りない」です。 従来のプログラムの質を高めるのではなく、サイバーエクスポージャー管理プログラムを採用すれば、サイバーセキュリティプログラムに関して、インシデント対応に終始してしまう事後対応型の態勢から、事前対応型の態勢に移行できます。チームがアタックサーフェス全体を包括的に把握できるようになり、絶えず変化する脅威環境や、それが企業固有のニーズに与える影響に対応可能となります。
この 5 つの推奨事項を採用することで、すべてのサイバー空間に露呈されたリスクをより深く理解して、サイバー攻撃を減らすために効果的な対策を講じられるようになります。
-
ご使用の現在のテクノロジーを評価する。
質問: 自社のテクノロジーが連携されており、すべてのエクスポージャーに関する包括的なインサイトを得られているか? それともまだサイロ化しているか?
-
アタックサーフェスの可視性を把握する。
質問: 確認できているものは何か? 確認する必要があるものは何か?
-
取り組みの優先順位を付ける。
質問: 最初に行うべきことは何か? 修正戦略の予測精度を高めるにはどうすればよいのか? 脅威インテリジェンスを使用しているか? 最重要資産の攻撃経路をすべて分析できるか?
-
修正プロセスを測定する。
質問: 現在発見しているエクスポージャーをどの程度修正しているのか? より効果を挙げるにはどうすればよいのか? 同業他社と比べて、自社の取り組みはどうなのか?
-
伝達して対策を講じる。
質問: 「会社のセキュリティは大丈夫?」に答えるのに Active Directory は絶対的に重要であることが分かります。経営幹部や主なステークホルダーなどに対して、自社のセキュリティ態勢を効果的に伝えることができるのか? データを活用して、より効果的なビジネス上の意思決定を行うにはどうすればよいのか?
どのサイバーエクスポージャー管理プラットフォームが自社に適しているのか?
これまでの長い間、信頼できる効果的なサイバーセキュリティソリューションを見つけるまでには、多くの手間と時間を要しました。 また、ソリューションを慎重に評価した上で導入しても、全員がそれを活用し十分な利益を得るのが難しいケースもよくあります。 なぜなら、こうした従来からあるソリューションは使いにくかったり、提供されるデータが大量過ぎて、チームが何をすべきか分からなかったりするためです。
サイバーエクスポージャー管理ソリューションの場合、チームへ導入する際に頭が痛くなることはありません。 チームの同意や適応をより簡単にする、3 つの主な特徴を次に紹介します。
-
そのソリューションにより 1 つのプラットフォームで、あらゆる場所のすべての資産を簡単に確認できる。
もちろん、オンプレミスとクラウドのどちらにも対応できるものが必要です。 そして、そのソリューションは単なる資産のインベントリを作成する手段を超えたものでなければなりません。 効果的なサイバーエクスポージャー管理ソリューションは、資産に関連する脆弱性、設定ミス、その他のセキュリティ上の問題も特定し、継続的な監視も可能にすることで、何が存在し、セキュリティリスクがどこにあるのかを常に把握できるものでなくてはなりません。 盲点を排除し、サイバーリスクを効果的に管理するために必要な作業を確認できるような、DX 時代のアタックサーフェスを一元的に把握できるソリューションをお探しください。
-
そのソリューションは、データを理解し、脅威を予測し、修正の優先順位を付けるのに役立つものである。
脅威インテリジェンスやその他の重要なデータを利用して、自社に直接影響するサイバー攻撃の結果を予測できるサイバーエクスポージャー管理システムをお探しください。 アタックサーフェス全体での資産、エクスポージャー、権限、脅威の間の関係を明らかにし、サイバーリスクの修正の優先順位を付けられるソリューションを探す必要があります。 また、ソリューションは、アタックサーフェスが急速に変化し、拡大したとしても、悪用されるリスクが最も高い攻撃経路を継続的に特定できるものでなければなりません。 チームがこういった機能を利用すると、最小限の労力で攻撃を防ぎ、先手を打ってリスクを減らすことが容易になります。
-
そのソリューションは、セキュリティ上とビジネス上の意思決定をより適切に下せるよう、サイバーリスクの効果的な伝達を支援する。
経時的な進捗状況を測定するのに役立つ明確な KPI を使用した、サイバーリスクに関する一元的でビジネス整合的なビューを提供するサイバーエクスポージャー管理ソリューションをお探しください。 また、そのソリューションは、広範な概観にとどまらず、部門レベルまたは事業単位レベルできめ細かくドリルダウンできるインサイトも提供できるものでなくてはなりません。 加えて、自社のプログラムのパフォーマンスを同業他社と比較して理解することができるベンチマーク機能を提供するソリューションをお探しください。
サイバーエクスポージャー管理のメリット
サイバーエクスポージャー管理では、事後対応型のセキュリティから、企業のサイバー空間に露呈されたリスクを減らすための、より先を見越した戦略の策定への移行を行います。 サイバーエクスポージャー管理プラットフォームを採用することで、事前対応的にリスクを低減しながら、起こりうる攻撃を予測する準備をしっかりと整えることができます。
以下にサイバーエクスポージャー管理を採用した場合のメリットを紹介します。
包括的な可視性の確保
アタックサーフェスを一元的に把握することで、あらゆる場所にあるすべての資産を迅速に特定し、関連するセキュリティ問題を検出し、サイバーリスクを軽減するために必要な時間と労力を削減できます。
サイバー攻撃がもたらす結果の予測
サイバーエクスポージャー管理プラットフォームは、オンプレミスとクラウドのアタックサーフェス全体における資産、エクスポージャー、権限、脅威の関係をより深く理解するのに役立ちます。
対策への優先順位付け
悪用可能な脆弱性、攻撃や侵入の経路を継続的に特定し、重点的に調べることで、リスクを優先順位付けする能力が向上し、より的確な修正に関するインサイトを得られるため、より効果的にリスクを低減して攻撃を阻止できるようになります。
より効果的なコミュニケーション
サイバーエクスポージャー管理プログラムによって、サイバー空間に露呈されたリスクをビジネスに沿った形で把握できるため、企業の目標や目的に合わせた方法で、主要なステークホルダーとより効果的にコミュニケーションを取ることができます。
Tenable One を実際にご覧ください
Tenable One は、リスクベースの脆弱性管理、ウェブアプリケーションのセキュリティ、クラウドセキュリティ、アイデンティティセキュリティを単一のサイバーエクスポージャー管理プラットフォームに組み合わせたものです。 アタックサーフェス全体を一元的に把握できるため、あらゆる場所にあるすべての資産のサイバーリスクに事前対応型で対処し、それを管理することができます。
サイバーエクスポージャー管理のブログ記事
![IT の完全な可視化にはビジネスリスクの文脈が必要 IT の完全な可視化にはビジネスリスクの文脈が必要](https://www.tenable.com/themes/custom/tenable/img/seo/Full-IT-Visibility-Requires-Business-Risk-Context.jpg)
IT の完全な可視化にはビジネスリスクの文脈が必要
攻撃者によるネットワーク内のラテラルムーブメントや権限昇格を防ぐためには、サイバーセキュリティに対するリスクベースのアプローチに Active Directory のセキュリティを含める必要があります。 攻撃者が Active Directory へのアクセスに成功した場合は、より上位の権限を探すでしょう。見つけることができれば、より多くの情報にアクセスしてシステム内の深部まで移動し、気付かれないようなバックドアアクセスを作成することが可能になります。 しかし、Tenable.ad を使用すれば、このような隠れた経路を明らかにできます。新規管理者アカウントの作成、権限変更、新規の信頼関係などについて洞察が提供されるため、企業は攻撃を未然に防止する機会を得られます。
![サイバーエクスポージャー管理: DX 時代のアタックサーフェスのリスクを削減 サイバーエクスポージャー管理: DX 時代のアタックサーフェスのリスクを削減](https://www.tenable.com/themes/custom/tenable/img/seo/Exposure-Management--Reducing-Risk-in-the-Modern-Attack-Surface.jpg)
サイバーエクスポージャー管理: DX 時代のアタックサーフェスのリスクを削減
多くのセキュリティチームは事後的な対応に終始しています。その理由は多くの場合、プログラムがサイロ化され、非常に多くのツールが大量のデータを生成しており、何をすべきか、最初に何に注目すべきかわからないためです。 このブログでは、サイバーエクスポージャー管理によって、より効果的な脅威の予測、修正の優先順位付け、リスク軽減のために必要な可視性を提供する方法を説明します。
![Tenable One サイバーリスク管理プラットフォームでデータの力を解き放つ Tenable One サイバーリスク管理プラットフォームでデータの力を解き放つ](https://www.tenable.com/themes/custom/tenable/img/seo/Tenable-One-Exposure-Management-Platform--Unlocking-the-Power-of-Data.jpg)
Tenable One サイバーリスク管理プラットフォームでデータの力を解き放つ
Tenable One を使用すると、予防的なサイバーセキュリティ戦略を向上させてリスクをより効果的に軽減できます。 その方法は、このプラットフォームによって、現代のアタックサーフェス全体を包括的に把握できます。 このブログでは、Tenable One がいかに、成熟したサイバーエクスポージャー管理プログラムの構築に必要な基盤となるテクノロジーとなりえるかを詳しく説明します。
ウェビナー
オンデマンドのサイバーエクスポージャー管理
サイバーエクスポージャー管理の効用: 可視化、攻撃の防止、リスクの伝達を達成できるしくみ
サイバーリスクインテリジェンスを使用して、企業の業績を上げられることはご存知でしょうか。 そのためには、まず資産と関連するセキュリティ上の弱点すべてを完全に可視化することから始める必要があります。 ただし、サイバー攻撃を効果的に阻止し、サイバーリスクを伝達するには、予測に基づいた脅威の文脈情報や客観的な指標も必要になります。
このウェビナーでは、以下について詳しく説明します。
- セキュリティチームが部門横断的なエンゲージメントとセキュリティ効果を推進する方法
- 「データ量が多すぎる」という課題を克服するために優先順位付けの機能が必要な理由
- 現代のアタックサーフェス全体を完全に可視化する方法とその重要性
DX 時代のアタックサーフェスのためのサイバーエクスポージャー管理
Tenable One のようなサイバーエクスポージャー管理プラットフォームでは、資産、脆弱性、脅威に関するデータを、セキュリティとビジネスに関する意思決定の改善に実際に活用できるインサイトに変換できます。 サイバーエクスポージャー管理は、アタックサーフェス全体のサイバー空間に露呈されたリスクを把握し、そのリスクに対処するのに役立ちます。
このウェビナーでは、以下について詳しく説明します。
- リスクベースの脆弱性管理とサイバーエクスポージャー管理の違い
- CVE を超えたサイバーエクスポージャー管理
- 攻撃を防ぎ、適切な意思決定を行うための、脅威の予測と影響の優先順位付け
環境内で最もリスクが高く、最初に修正すべき箇所の特定と伝達
サイバーエクスポージャー管理の概念は新しいものかもしれませんが、それを支えるベストプラクティスに変化はありません。 サイバーエクスポージャー管理によって、すべての資産とそれに関連する脆弱性、またそれらについて何をすべきかを知るための文脈情報に関する必要なインサイトを得られるようになり、リスクベースの脆弱性管理が次の段階へと進みます。
このウェビナーでは、以下について詳しく説明します。
- リスクベースの脆弱性管理をサイバーエクスポージャー管理へと進化させる方法
- サイロ化された脆弱性データやセキュリティデータによって、アタックサーフェスの可視性が低下している状況
- セキュリティ問題の優先順位付けやチーム間のコミュニケーションを効果的に行うために必要な文脈情報
サイバーリスクを未然に特定して対処する
多くのサイバーセキュリティチームは、サイバー攻撃の抑止に苦戦しています。 これは多くの場合、大量の脆弱性データによってチームが混乱し、アタックサーフェスに関する必要なインサイトが得られていないためです。 つまり、チームは大抵、最初に注目すべき対象や、企業に大きな影響を与える可能性があるセキュリティ問題の修正方法を理解していないということです。
最も効率的な最新のセキュリティチームとなるには、事後対応型のリスクベースの脆弱性管理アプローチを、事前対応型のサイバーエクスポージャー管理戦略へと進化させる必要があります。 そのためには、まずサイロの分解から始めます。セキュリティチームがサイバー攻撃に先んじるために必要となるアタックサーフェスの包括的なインサイトの獲得が、サイロによって妨げられているからです。
現代のアタックサーフェスを知る
効果的な事前対応型のサイバーセキュリティの実現は、アタックサーフェスについてのインサイトを得られるかどうかにかかっています。 サイバーエクスポージャー管理によって、あらゆる場所にあるすべての資産を一元的に把握できるため、オンプレミスでもクラウドでも、関連する脆弱性、設定ミス、その他のセキュリティ問題を特定できるようになります。 この情報は、エクスポージャーがある場所を把握して、その対策に優先順位を付けて計画を策定する上で重要な要素です。
エクスポージャーを理解する
エクスポージャーを理解することが大切です。それにより、どんな対処を行うべきか、実行可能な形で意思決定を下せるようになります。 サイバーエクスポージャー管理は、現在のセキュリティ態勢の測定に役立てることができます。また、チームが重大な欠陥をどれだけ発見し、問題をどれほど迅速に修正して、企業の最大のリスクを軽減しているかを評価するのにも役立ちます。 エクスポージャーを数値化することで「会社のセキュリティは大丈夫なのか」、「予防と緩和の取り組みはどこまで進んでいるか」といった疑問に答えられるようになります。
攻撃経路を可視化する
攻撃者の立場になって考えてみましょう。 攻撃者が使用する可能性がある経路を可視化することで、攻撃者がシステムやネットワークに深く侵入する前に、そうした潜在的な経路の排除に先手を打って集中的に取り組み、強力なセキュリティ対策を構築し、攻撃をシャットダウンできます。
リスクを比較する
サイバーエクスポージャー管理では、企業のサイバーリスクの状況をビジネスに沿った形で把握できます。 例えば、プログラムの内部的なパフォーマンスを経時的に測定する KPI を開発できます。また、プログラムの成熟度を競合他社と比較するベンチマーキングを行うこともできます。 サイバーエクスポージャー管理が重要なのは、セキュリティプログラムを企業のビジネス目標に沿った形で調整し、役員や主要なステークホルダーとのコミュニケーション向上を図る際に役立つからです。