脆弱性の検出と対応

脆弱性の検出と対応とは、ソフトウェアや製品に含まれる欠陥を検査や情報の照合によって見つけ出し、その影響を評価して修正や利用者への周知につなげる一連の活動をいう。脆弱性は攻撃者に悪用されるおそれがあるため、攻撃される前に発見して対応することが求められる。試験では、検査手法の仕組み、脆弱性を識別し管理する情報や仕組み、社内で対応を担う組織機能の区別が問われる。

検査手法の仕組み

脆弱性を検査する代表的な手法がファジングである。ファジングは、ソフトウェアに問題を引き起こしそうな多様なデータを大量に入力し、その挙動を監視して脆弱性を見つけ出す手法である。入力の値や形式を変えながら、異常終了や予期しない動作が起きるかどうかを観察する点に特徴がある。

ファジングは、通常とは異なる値や形式の入力を与えて誤動作を引き起こす点で、他の検査手法と区別される。判断の基準は、対象のソフトウェアに入力を与えて挙動を観察する手法であるかどうかにある。同じ問いは、ソフトウェアに多様なデータを入力して挙動を監視する記述として、別の年度の問題でも問われている。

エクスプロイトコードは、ソフトウェアの脆弱性を悪用するためのコードであり、攻撃コードとも呼ばれる。その一方で、脆弱性の存在を再現して検証する目的にも役立つ。同じコードでも利用目的によって攻撃にも検証にも使われるため、扱いには慎重さが求められる。

脆弱性情報の識別と管理

脆弱性を管理する際には、個々の脆弱性を一意に識別する仕組みが必要になる。CVE識別子は、製品に含まれる脆弱性を識別するための共通の番号であり、JVNなどの脆弱性情報サイトでも採用されている。

SBOM（ソフトウェア部品表）は、ソフトウェアを構成する部品とそのバージョン、依存関係を記録したものである。SBOMに記載された構成部品を脆弱性情報と照合すれば、利用中のソフトウェアに脆弱性を持つ部品が含まれるかを把握できるため、脆弱性管理に活用できる。

判断の基準としては、識別子で対象の脆弱性を特定し、構成情報で自社の製品への影響の有無を確かめる順序が基本になる。両者を組み合わせることで、対応の優先度を判断しやすくなる。

社内での対応体制

自社製品の脆弱性に起因するリスクに対応する社内機能として、PSIRT（製品セキュリティ対応チーム）が位置づけられる。PSIRTは、製品の脆弱性情報を受け付け、影響を評価し、修正や利用者への告知などを調整する製品セキュリティ対応の機能である。