AI時代のゼロデイ脆弱性対策― Attack Surfaceを最小化し、被害を最小限に抑える ―

これまで2回にわたり、AI時代に求められる脆弱性対応について解説してきました。第1回（AI時代の脆弱性対応戦略 ― リスクベースへの転換 ―）では、攻撃者によるAI活用によって脆弱性公開から攻撃までの時間が短縮されることから、リスクベースの脆弱性対応戦略への転換が必要であることを説明しました。第2回（AI時代のリスクベース脆弱性管理 ― 限られたリソースを本当に危険な脆弱性へ集中する ―）では、CVSSだけではなく、System Exposureや脅威情報を組み合わせて優先順位を決定するリスクベース脆弱性管理について紹介しました。

しかし、もう一つ忘れてはならない課題があります。それが ゼロデイ脆弱性 です。「高度な脆弱性検出力を持つAIは特定のモデルだけ」という訳ではありません。これまでは、未知の脆弱性の検出は、高度な技術と資金を持った攻撃者に限られていましたが、近い将来、一般的な攻撃者もAIを使用し、未知の脆弱性をいち早く見つけ出すことが可能な時代がやってきます。すなわち「ゼロデイ攻撃の一般化」です。このような時代においても、「パッチを適用する」ということは引き続き重要ですが、加えて、ゼロデイ攻撃への備えが必要です。本稿では、ゼロデイ脆弱性への備えについて、攻撃前・攻撃中・攻撃後という時間軸に沿って整理します。

目次

攻撃前の備え

重要な資産とAttack Surfaceの把握

ゼロデイ攻撃対策では、侵害を受けることを前提に致命的な被害を発生させないという考えがベースです。そのため、まず「守るべきもの」と「そこにつながる出入口」を明確にします。具体的には次の3点を整理します。

• 重要な資産（システム、サービス、データ）
• Attack Surface（インターネットに露出している機器やサーバ）
• Attack Surfaceから重要な資産へ至る経路

重要な資産やAttack Surfaceだけを把握しても十分ではありません。Attack Surfaceが侵害された場合に、どの重要資産へ到達できるのかという関係まで整理することで、初めて効果的な防御を設計することができます。

Attack Surfaceの最小化

Attack Surfaceは攻撃者に最初に狙われる入口です。不要な公開資産や不要な機能を削減し、攻撃対象そのものを減らすことがゼロデイ対策の第一歩になります。公開の必要有無だけでなく、公開が必要なサーバや機器であっても以下のような対策によって露出を最小限に抑えます。

• アクセス可能なIPアドレスやポートの制限
• 管理インタフェースの非公開化
• 使用していない機能やサービスの停止

脆弱性は、製品やバージョンだけでなく、「特定の機能が有効であること」「特定の設定になっていること」など、脆弱性が成立する条件があるケースがあります。また、「特定の機能」には「特定のポート」が使われていることも少なくありません。この露出を最小限に抑える対策は地道ではありますが、意外と効果のある対策なのではないでしょうか。

Attack Surfaceから重要資産への経路に防御対策

Attack Surfaceが侵害された場合を想定し、その先にある重要資産までの経路に以下のような防御対策を導入します。

• アクセス可能なIPアドレスやポートの制限
• 権限の最小化
• 多要素認証（MFA）
• ネットワークセグメンテーション
• ZTNA（ゼロトラストネットワークアクセス）

また、そもそものシステム構成を変えることも有効な場合があります。

例えば、小規模なWebシステムでは、HTTPサーバ、アプリケーションサーバ、データベースサーバを一台のサーバで運用していることがあります。このような構成では、Attack SurfaceであるHTTPサーバが侵害されると、攻撃者は短時間でデータベースへ到達できてしまいます。一方、データベースを別サーバへ分離し、アクセス制御やネットワークセグメンテーションを適用すれば、攻撃者は追加の認証や通信制御を突破しなければならなくなります。その結果、防御側は攻撃を検知・対応するための時間を確保できます。

攻撃時の対応

Attack Surfaceの侵害と横展開を早期に検知する

ゼロデイ攻撃では、Attack Surfaceが侵害されることを完全に防ぐことは困難です。そのため、Attack Surfaceが侵害されたことをできるだけ早く検知することが重要です。EDR、SIEMなどを活用し、Attack Surfaceにおける不審なプロセスの実行、不正な通信、権限昇格などを継続的に監視することで、侵害を早期に検知できます。また、AIの悪用によって侵害スピードも高速化していくことが考えられますので、監視のリアルタイム化も必須です。

加えて、Attack Surfaceから内部ネットワークへの横展開（Lateral Movement）を継続的に監視することも重要になります。横展開の監視は、色々な観点や対策があり、環境によることも多いため一概には言えません。しかしながら、多くの攻撃者はドメインコントローラーなどの認証基盤を支配することで組織全体への影響拡大を狙います。そのため、ドメインコントローラーの監視は欠かせないでしょう。

インシデント対応能力を高める

Attack Surfaceから重要資産までの間に設けた防御層は、防御側に時間を与えてくれます。しかし、その時間を活かせるかどうかは組織の対応能力にかかっています。

例えば、

• CSIRTの整備
• インシデント対応手順の整備
• 訓練・演習
• フォレンジック体制
• 関係部署との連携
• セキュリティ人材の育成

などが重要になります。

EDRなどの高度な製品を導入していても、それを監視し、判断し、対応できる組織がなければ十分な効果は期待できません。ゼロデイ対策とは、技術だけでなく、人と組織を含めた対応能力を高めることでもあります。

攻撃後の備え

レジリエンスを高める

ゼロデイ攻撃では、侵害そのものを完全に防げない場合があります。そのため最後に重要になるのが、攻撃を受けても事業を継続し、早期に復旧できる組織を構築することです。定期的なバックアップ、災害復旧（DR）環境の整備、事業継続計画（BCP）の策定だけでなく、それらが実際に機能するかを確認する復旧訓練も重要になります。レジリエンスとは、「壊れないこと」ではありません。攻撃を受けても重要な業務を継続し、短時間で回復できる能力そのものを意味します。

おわりに

AI時代には、攻撃者はより短時間でAttack Surfaceを侵害してくる可能性があります。だからこそ、防御側はAttack Surfaceが侵害されることを前提として、重要資産までの経路に複数の防御層を設け、攻撃者の進行を遅らせる必要があります。その時間を使って攻撃を検知し、対応し、被害を最小限に抑える。これこそが、AI時代に求められるゼロデイ脆弱性対策であり、サイバーレジリエンスの本質ではないでしょうか。

CTIからリスク保護までを統合したオールインワンプラットフォーム

SOCRadar Extended Threat Intelligence

サイバー脅威インテリジェンスに加えて、アタックサーフェスマネジメントとデジタルリスク保護がすべて統一コンソール上で利用可能です。AI技術を活用した高度な仕組みにより、組織のデジタル資産を包括的に保護します。

製品ページ：https://www.grcs.co.jp/products/socradar