脆弱性とは？その危険性と実例 – 有効な5つの対策

脆弱性(ぜいじゃくせい)という言葉をよく見聞きするものの、その意味がよく分からないとお感じですか？セキュリティに関連する言葉であることは多くの方がご存知だと思いますが、具体的にどういうものなのか、それを放置しているとどうなるのか、そしてご自身がお使いのデバイスやネットワークは大丈夫なのかといった疑問が次々と湧いてくることと思います。

そこでこの記事では脆弱性という言葉の意味から基本的な知識、放置しているとどうなるのかといったリスクについて、さらに意外なところにある「脆弱性」についても解説していきたいと思います。

結論から申し上げると、これは企業だけではなく個人にも大いに関係することであり、脆弱性を放置していると悪意のある攻撃によって被害を受ける可能性が高くなります。攻撃による被害を防ぐためには正しい知識と適切な対策が重要です。この記事を読めばそれらがすべて網羅できるように構成していますので、ぜひ最後までお読みください。

1.脆弱性の基礎知識

1-1.脆弱性とは？

コンピュータシステムやネットワークなどに設計上、仕様上の問題やバグ、プログラム上のミスなどといった欠陥などがあると、その欠陥を突くことで外部からの攻撃が可能になることがあります。こうした欠陥は脆弱性と呼ばれ、放置していると何らかの被害を受ける可能性が高くなるため早急かつ適切な対策が必要です。

1-1-1.脆弱性は固有のIDで管理されている

ユーザー数の多いシステムやソフトなどに脆弱性があるとマルウェア感染などの影響が大きくなるため、発見された脆弱性にはCVEという識別子が付けられて情報が共有される仕組みになっています。

この識別子を管理しているアメリカのMITRE社によって「CVE-xxxxx」というIDが付与され、多くの企業や団体などがこのIDを使用しています。

【参考】
CVEの公式サイト（英語）

1-2.脆弱性は増え続けている

ソフトやアプリ、Webサイトなど脆弱性を突く攻撃の対象はさまざまです。それぞれに発見された脆弱性の届出件数を独立行政法人情報処理推進機構がまとめたデータを見てみると、脆弱性に関する最近の傾向が見て取れます。

出典：https://www.ipa.go.jp/security/vuln/report/vuln2016q4.html

Webサイトの脆弱性が大多数を占めていた時期が長く続いてきましたが、2015年からは状況が一転、ソフトウェア関連製品が多数を占めるようになってきています。しかも、2016年のソフトウェア製品の届出件数は突出しており、同機構も「過去最多となった」と指摘しています。

私たちが普段利用しているソフトやアプリなどからも、多くの脆弱性が発見されているかもしれません。

1-3.なぜ、脆弱性が生まれるのか

そもそも、なぜ脆弱性は生まれてしまうのでしょうか。主な理由は、以下の通りです。

• 設計上の欠陥、開発者のミス
• 開発者が意図的に入れたもの
• 予算的にセキュリティが後回しになるなどの事情
• システム開発が複雑化しており技術的に追いついていない

他にもさまざまな理由が考えられますが、人間が作るものに完璧ということはあり得ず、それを突く側も人間なのでいたちごっこが続いてしまっているのです。

現実の世界でも、泥棒を防ぐために新しい鍵や防犯システムが開発されていますが、それで泥棒被害がゼロになっているかというと、そんなことはありません。泥棒側も新たに策を講じ、こちらもいたちごっこになっているので基本的な構図は同じです。

1-4.脆弱性の問題を解決する方法

脆弱性が発見されたら、ソフトやシステムの開発元はそれを解決するためのアップデートを行います。パソコンやスマートフォンを使用しているとアップデートの通知を目にすることがよくありますが、これらのアップデートには発見された脆弱性を解消することが目的という場合もあります。

つまり、アップデートの通知があったらそれに従って常に最新の状態に保っておくことはセキュリティ上有効であるということです。

1-5.脆弱性を放置していると、どうなる？

脆弱性を放置していると、攻撃者にとっての「チャンス」が拡大します。しかも脆弱性は公開されるとその情報が知れ渡るので、当然攻撃者も知ることとなります。(脆弱性の発見者にもよりますが、通常は即座に公開されるようなケースは希です)

攻撃者の立場になって考えてみると、「まだこの脆弱性の対策をしていないユーザーはいないか」と探したくなることでしょう。実際にそうして「発見されているのに解消されていない脆弱性」が標的になることがとても多く、リスクの高い状態であるのは間違いありません。

1-6.脆弱性を突く攻撃が被害を及ぼした事例

注目度が高く、被害が世界規模で拡大した事件というと、2017年5月に発生したランサムウェア「WannaCry」が筆頭に挙げられるでしょう。これはMicrosoft Windowsにあった「EternalBlue」という脆弱性を悪用した攻撃で、ランサムウェアによって自分のファイルが勝手に暗号化されるという被害を世界各国に及ぼしました。

この攻撃に遭ってしまった人には暗号化を解くことと引き換えに仮想通貨による身代金が要求され、金銭的な被害も発生した悪質な事例です。なお、冒頭で解説したCVE IDももちろん付与されており、「CVE-2017-0144」というIDで識別されています。

もうひとつ、2017年10月にはWPA2というWi-Fi通信の暗号化プロトコルに脆弱性が見つかったことが大きく報道され、「KRACK」という手口によってWi-Fi通信の内容を盗み見したり、乗っ取るといった攻撃が可能であることが警告されました。

このように、脆弱性は常に新しいものが見つかり、それに対する攻撃が行われては対策が講じられるという構図が今も続いているのです。

1-7.攻撃者の目的、意図

脆弱性を探して攻撃をする犯罪者の意図とは、何でしょうか。愉快犯の類を想像される方も多いと思いますが、近年のサイバー攻撃はほとんどが金銭目的です。

先にも述べたランサムウェアの「WannaCry」では身代金として仮想通貨のビットコインが要求されたように、犯罪者にとって脆弱性を探すこと、攻撃を仕掛けることは「ビジネス」です。

2.脆弱性は人間にもある

2-1.人間に潜む脆弱性とは

脆弱性というと、コンピュータやネットワークといった機器類やソフトウェアなどを想像される方が多いと思いますが、脆弱性が潜んでいるのはこうした「モノ」だけではありません。

実は最も対策が難しく、そして影響が大きくなりやすいのが人間の中にある脆弱性、特にこの場合セキュリティ教育の有無、人にだまされやすいか、といった点です。

どんなに銀行がネットバンキングサービスのセキュリティを強化しても、それを使う人がIDやパスワードといった認証情報を安易に取り扱っていると盗まれてしまうかもしれませんし、フィッシング詐欺に遭ってしまうと認証情報が犯罪者に漏れてしまいます。

その他にも企業のごみ箱をあさったり、自らを警察と偽るような嘘の電話で認証情報を盗もうとするソーシャルエンジニアリングという手口も横行しているため、コンピュータやネットワークだけを気にしていれば良いというわけではありません。。

2-2.組織の脆弱性を診断できるチェックリスト

脆弱性への正しい認識や対策が重要なのは個人ユーザーだけでなく、企業などの組織も同様です。各種秘密情報が多く管理が難しいにも関わらず脆弱性を突かれてしまった場合の影響が重大になりがちなので、それに対する備えが十分であるか一度チェックしてみることをおすすめします。

独立行政法人情報処理推進機構が提供しているチェックリストが便利なので、こちらを使ってチェックして脆弱性への認識や対策が十分でないという結果になった場合は適切な対策を行いましょう。

⇒新・5分でできる自社診断シート（独立行政法人情報処理推進機構）

3.脆弱性を悪用した攻撃から身を守る5ヶ条

3-1.OS、アプリは常にアップデートをして最新の状態に保つ

脆弱性が発見されたら、OSやソフトの開発元はその脆弱性を解消するためのアップデートを行います。少なくとも対象となる脆弱性に対するリスクは解消されるので、アップデートは常に行って最新の状態に保ちましょう。

また次の脆弱性が見つかってアップデート・・・といういたちごっこが続いていますが、アップデートで最新の状態に保っておくことでその脆弱性を突かれるリスクは大幅に軽減されます。

3-2.セキュリティソフトを導入、最新の状態に保つ

セキュリティソフトには、脆弱性対策の機能があるものもあります。他のさまざまなリスクからお使いのデバイスを守る意味でも、脆弱性対策機能のついたセキュリティソフトの導入とそれを常に最新の状態に保っておくことは有効です。

一定期間無料で利用できるサービスが提供されているので、まだ導入されていない方はまずは体験版から導入してみて、現段階の安全性をチェックすることから始めてください。
以下の脆弱性対策機能を持つ有料版セキュリティソフトは期限内であればどの製品も有料版と同様の機能が無料で使用できます。(各社仕様が変更になる可能性はありますので、その点はご注意ください)

3-3.不審なメールのURL、怪しげなサイトのリンクへ安易にアクセスしない

攻撃者はあの手この手で、ユーザーを罠に誘い込もうとしてきます。差出人や内容に心当たりのないメールが届くことは日常茶飯事だと思いますが、こうしたメールにあるURLやリンクを安易にクリックしたりしないようにしましょう。

ネット閲覧をしている時も同様で、怪しげなサイトにあるリンクをむやみにクリックしないようにしましょう。

3-4.開発元がよく分からない怪しげなフリーソフトをインストールしない

ネット上にたくさんの便利なフリーソフトがありますが、その中には怪しげな機能を謳っているものも少なくありません。そもそも怪しげなフリーソフトを使うこと自体が知らない間に犯罪に関わってしまう可能性をはらんでいるので危険なのですが、こうしたソフトにはマルウェアが含まれていてインストールとともに感染してしまうかもしれません。

また、通常は有料のソフトウェアをメーカー以外のサイトから無料でダウンロードできるなどと謳うサイトにも要注意です。

こうした怪しげなソフトやサイトには近づかないのが基本です。

3-5.ユーザーがセキュリティ意識を常に高く持つ

現実世界の防犯対策には意識を持ちやすいのですが、ネット経由の脅威については目に見えないだけに意識が希薄になりがちです。しかし、セキュリティ意識を全く持たずにインターネットやデバイスを利用することは、今や「財布を人ごみに放置する」「家の鍵を閉めずに外出する」といったことと同じくらい危険であるという意識を持つことが大切です。

犯罪者の目的は金銭であり、サイバー攻撃はビジネスであると述べました。そんな犯罪者から見て「カモ」だと思われないことも、有効なセキュリティ対策なのです。

4.まとめ

脆弱性の基本知識から脆弱性が狙われた実際の事例、そして被害から自分自身を守るための対策などを解説してきました。脆弱性は放置しておくと危険ですが、適切に対策しているとその危険を可能な限り減らすことが可能であることもお分かりいただけたと思います。

脆弱性対策の基本は、アップデートとセキュリティソフトの導入、そして意識の向上です。犯罪者は常に、どうにかして情報や金銭を盗み出すことを企んでいます。そのような輩が実際にいるという意識を持って、自分の身は自分でしっかりと守りましょう。

※記事内容の利用実施は、ご自身の責任のもとご判断いただくようお願い致します。