脆弱性管理
php2shellなど重大な脆弱性報告が重なる今、Cloudbaseがお力になれること
はじめに
昨今、php2shellをはじめ、広範囲に影響を及ぼす重大な脆弱性の報告が立て続けに起きています。こうした脆弱性は、今後も同じように多数出てくると私たちは考えています。
「自社のどこに影響があるのか分からない」「対応に追われていて手が回らない」という方も多いのではないでしょうか。
Cloudbaseは、まさにこうした事態においてお力になるためのプロダクトを提供してきました。この記事では、重大な脆弱性が公開されたときに何が必要になるのか、そしてCloudbaseで何ができるのかをご紹介します。
重大な脆弱性が報告されたときに必要なこと
「PHPを使っているシステムはどこか」をすぐに答えられること
多くのシステムを抱えている企業では、開発を外部に委託していることも多く、すべてのソースコードや構成をすぐに把握できる状態にはなっていないのが実情だと思います。
php2shellのような脆弱性が出たときにまず必要なのは、「全社の中でPHPを使っている部署・システムはどこか」を探し出すことです。ここに時間がかかると、対応の開始そのものが遅れてしまいます。
従来の脆弱性検出では見つけられないケースがある
PHPの件に限らず、CVEが採番されても各ベンダのアドバイザリがすぐには更新されないことがあります。ベンダのアドバイザリを前提とした古典的な脆弱性検出では、こうしたケースをなかなか検出できません。
CVEが採番される前から悪用が始まっているケースもあります。事実、php2shellについても修正パッチのリリースやアドバイザリの更新前から攻撃コードと思われるものが流布される事態となっていました。
つまり、ソフトウェア台帳（SBOM）が重要
必要なのは、組織で利用しているソフトウェアをいつでも検索できる台帳、いわゆるSBOM（ソフトウェア部品表）です。脆弱性の名前やCVEが出揃うのを待つのではなく、「このソフトウェアはどこで使われているか」を名前ですぐに引ける状態にしておくことが、初動を大きく左右します。
Cloudbaseでお力になれること
Cloudbaseとは
Cloudbaseは、AWS、Azure、Google Cloudなどのパブリッククラウド、オンプレミスのサーバ、ネットワーク機器といったインフラ資産を対象に、資産・ソフトウェア管理と脆弱性管理ができるプラットフォームです。
クラウドはエージェントレスでスキャンできます。一度のセットアップで、組織内の全アカウントをスキャン対象にできます。
オンプレミスについては、エージェント方式と遠隔スキャン方式の両方を提供しています。
サーバ内のソフトウェアまで可視化し、脆弱性を検出
Cloudbaseに接続すると、サーバの可視化はもちろん、サーバ内にあるソフトウェアの情報も自動で収集し、脆弱性を検出します。
今回のPHPを始めとして、少し前のwp2shell（WordPress）、react2shell（React系）、log4shell（log4j）といった脆弱性・ソフトウェアも検出できます。
「PHPを使っているのはどこ？」に、名前の検索ですぐ答えられる
組織全体のソフトウェアを名前で検索できます。今回のように「PHPを使っているシステムはどこか」という問いに、その場で答えることができます。
今回のPHPの件でCloudbaseが行ったこと
今回のphp2shellに関して、Cloudbaseでは事態の重大さを鑑みて次の緊急対応を行いました。
お客様に注意喚起を行い、Cloudbase上での検索方法などをご案内しました。
お客様からのお問い合わせを受け、必要とされているデータを可能な限りご提供しました。
PHPの検出方法を改善し、ソースからビルドされたPHPなども検出できるよう即座に対応しました。
CISA KEV等への掲載よりも前に、Cloudbaseのリサーチ情報として「悪用が報告された脆弱性」として登録し、SSVC（※）で「即時対応」として検出されるようにしました。
php2shellについては、ベンダアドバイザリに依存しない、独自の脆弱性検出を緊急で実装しました。
※ SSVC（Stakeholder-Specific Vulnerability Categorization）：脆弱性の深刻度だけでなく、悪用の有無やリソースの構成情報を踏まえて対応の優先度を決める枠組みです。Cloudbaseでは、この枠組みに基づいて「即時対応」「優先対応」などの優先度を自動で判定し、表示しています。
このように、重大な脆弱性が出たときには全力で対応にあたります。お問い合わせへの対応も含め、国産サービスだからこそできる、日本企業に寄り添った支援を大切にしています。
お力になりきれないところ
では、Cloudbaseを導入すればあらゆる脆弱性管理の問題が解決できるのかと言いますと、残念ながらそうではありません。正直にお伝えしておくべき点もあります。
PCなどの端末は対象外です。ブラウザの脆弱性などは、Cloudbaseの領域から少し外れます。
ソフトウェアの検出には限度があります。ソフトウェアによっては導入方法が多岐にわたるため、100%の検出を保証できるわけではありません。ただし大部分は検出でき、PHP等についてはソースビルドされたものの検出にも対応しています。今回のように、緊急で検出方法を改善することもあります。
すべての問題を解決できるような銀の弾丸の製品は存在しません。そのため、有事の際には既存の対策がどこまで有効で、逆にどこが漏れているのかといった整理も大切です。国産のCloudbaseでは、こうした対策の有効性や漏れの整理についても、カスタマーサポートなどを通じて可能な限りご支援します。
おわりに
重大な脆弱性への対応で困っている、あるいは「次に同じことが起きたときに備えたい」とお考えの方は、ぜひ一度ご相談ください。
