攻撃者の視点で考えるCPSの脆弱性における優先順位付けとは？

ITとOTの融合が進む世界では、これまでにないほどその重要性は高まっています。なぜなら、この融合の結果として社会を支えるサイバーフィジカルシステム（CPS）が生まれるからです。ITとOTの融合では、製造工場、命を救う医療機器、輸送システムなどが含まれます。このような重要環境を保護するセキュリティチームにとって、侵害を防ぐことは単なる業務ではありません。公共の安全、システムの稼働時間、事業継続性を維持し、社会を途切れさせないための使命なのです。

脆弱性の管理は、強固なセキュリティプログラムの重要な要素ですが、単に脆弱性のリストを作成するだけでは不十分です。それは終わりのない「モグラ叩き」のゲームのように感じられるかもしれません。1つの問題を修正するたびに、さらに2つ目の問題が現れるのです。しかし本当の課題は、脆弱性を見つけることではなく、どの脆弱性がビジネスに最も影響を与えるのか、どれが最も悪用されやすいのか、そしてどのリスクが最も重大であるのかを把握することです。

では、反応的に動くのをやめ、実際にビジネスを脅かすリスクを積極的に減らし始めるにはどうすればよいのでしょうか？

答えは「攻撃者の視点で考える」ということです。

リスク削減の優先順位付け

攻撃者は単一の脆弱性だけを探しているわけではありません。彼らが探しているのは「致命的な組み合わせ」、つまり悪用への道筋となり得る一般的なリスクシナリオを探しているのです。

こう考えてください。パッチ未適用の単一脆弱性は壁の小さなひび割れに過ぎません。しかし、これを古いOS、フラットネットワーク上のデバイス、インターネットに公開された接続と組み合わせると、そのひび割れは攻撃者が容易に通り抜けられる大きな穴へと変貌します。これこそが攻撃者が標的を特定する際に探している「致命的な組み合わせ」です。なぜなら、金銭的利益を目的とする攻撃者は、最小の投資で最大の利益を得ることこそを最も重視するからです。

クラロティは、こうした有害な組み合わせを特定し排除できるよう、脆弱性の管理ソリューションを強化しています。新しい「脆弱性シナリオ」機能は、攻撃者の視点から環境を可視化し、脆弱性の組み合わせによって主要な標的となり得るデバイスを明らかにするだけでなく、具体的に何をすべきかを示す実行可能なリスク削減の推奨事項も提供します。

実行可能な修復ステップの取得

リスクを削減することはすべてのセキュリティチームの最終目標ですが、CPSを担当する場合はさらに複雑です。なぜなら、レガシーデバイスや複雑なアーキテクチャが存在するため、修復の選択肢が不可能な場合があるからです。CPSを保護する責任を持つセキュリティチームや資産所有者には、その固有の環境に適した実行可能なステップが必要です。

クラロティ xDomeは、意味のあるリスク削減への道筋となる、詳細で具体的なリスク推奨事項を提供します。ファームウェア更新、設定変更、ネットワークセグメンテーションポリシーなど、悪用の機会を排除するために必要な正確な手順を提示します。さらに、これらの推奨事項は、環境にもたらす変更の規模に基づいて優先順位付けもされます。例えば、組織全体のリスクを20％削減できる軽減ステップはリストの最上位になります。この文脈により、情報に基づいた意思決定が可能となり、修復作業から最大のリスク削減効果を得られるようになります。これにより、「自社を保護するために適切な対策を講じているか？」という問いに、自信を持って答えられるようになります。最も重要な高インパクトの修正に集中できるからです。

クラロティの脆弱性シナリオを活用することで、防御的な姿勢から脱却し、攻撃者の視点で思考し、CPS環境を標的にする有害な組み合わせを特定して排除することで、攻撃者の思考プロセスを再現します。

最も重要な資産を保護し、事業の継続を確保しながら、社会を中断させないために、このウェビナーを視聴するか、今すぐクラロティのエキスパートと一緒に脆弱性の管理を始めましょう。

攻撃者の視点に立った脆弱性管理の手順について相談してみませんか？