フロンティアAIで変わるCVEの優先順位付け―脆弱性の公開から悪用までの時間が短縮する時代へ

※この記事はBitsightのブログを日本語に翻訳したものです。

The End of the Exploit Window: How Frontier AI Is Changing CVE Prioritization
https://www.bitsight.com/blog/end-of-the-exploit-window-frontier-ai-cve-prioritization

この記事のポイント

• フロンティアAIの進化により、脆弱性の発見から悪用までの時間が短縮しています。
  攻撃者はAIを活用することで、脆弱性の発見・検証や攻撃用コードの生成、標的の特定を、より速く大規模に行えるようになりつつあります。
• 攻撃者は、CVEや修正プログラムなどの公開情報を活用し、悪用価値の高い脆弱性を効率的に見極めています。
  公開情報の監視やパッチ差分解析、インターネットスキャンなどを通じて、攻撃対象となり得る脆弱性やシステムを特定しています。
• 防御側には、CVEの深刻度だけではなく「実際に悪用される可能性」を踏まえた優先順位付けが求められます。
  悪用可能性、インターネットからのアクセス可否、資産の重要度、サードパーティーへの影響などを組み合わせ、限られた時間の中で優先して対処すべきリスクを判断することが重要です。

CVEの公開と同時に始まる、攻撃者と防御側の競争

その競争は、新たな脆弱性の発表と共に始まります。

セキュリティチームはただちに行動を起こし、エクスポージャー（攻撃の可能性のある箇所）のチェック、アラートやイベントログのトリアージ、影響を受けるシステムの特定、修正プログラムを適用できる最短時間の算出と、首尾よく作業を進めていきます。彼らは一刻一秒の遅れが勝敗を分けるということを知っているのです。

時を同じくして、攻撃者もまた同じような作業を彼らのやり方で進めています。同じアドバイザリーを読み、同じ情報フィードを監視し、そしてシンプルに問うのです「まだ対策をしていないものは誰か」と。

これこそが、Common Vulnerabilities and Exposures：共通脆弱性識別子（CVE）を厄介な存在にしている理由です。本来、CVEは、防御側が既知の脆弱性を追跡・対応することを目的とした仕組みですが、実は一種のシグナルの役割を果たしているのです。一旦、CVEは公（おおやけ）になると、防御ツールとしての役割を失います。CVEは共有知識となり、攻撃者はそうした知識を行動につなげることに長けています。

攻撃者には外からはわからない何らかの優位性があると思われがちですが、多くの場合、そうではありません。彼らが利用しているのは、誰もがアクセスできるものと同じ情報源、ツール、手法です。違いは、得られた情報に対してどれだけ迅速かつ体系的に行動を起こすかにあります。攻撃者は、CVEについてディープウェブやダークウェブで熱心に議論・研究していますが、多くの攻撃者が利用し頼りにするのは防御側と同じ公開情報です。ただし、スキルの高い攻撃グループの中には、公開の前の段階で脆弱性を特定・調査しているケースもあります。

「ミュトスの影響」に翻弄されつつある世界において、この競争はもはや数日や数週間単位のレベルではなくなりつつあります。フロンティアAIモデルが指し示す未来は、脆弱性の発見、攻撃用コードの生成、標的の特定が、より速く、より大規模に、そして驚くほど少ない労力で行われる世界です。当然、防御側にとっての課題も変化します。もはやCVEの存在を把握するだけでは不十分です。攻撃者より先に、何を優先すべきかを見極めることが重要になっているのです。

フロンティアAIで「脆弱性の公開から悪用まで」の時間が短縮

Claude Mythos（クロード・ミュトス）をはじめとするフロンティアAIモデルは、脅威ランドスケープに広範な変化をもたらしています。それは、AIにより脆弱性の悪用のハードルが下がっているという変化です。防御側にとっての懸念は、攻撃者の方が脆弱性を速く発見・検証でき、結果として短期間で攻撃用コードを生成できるという、三層構造です。結果、脆弱性の発覚から実際の悪用に至るまでの期間が大幅に短縮されます。

このほかには、脆弱性チェーン（訳注：複数の脆弱性を組み合わせることでより効果の大きい攻撃を行う手法）のリスクも高まります。実際の攻撃の場合、1つの脆弱性だけで完結することはほとんどありません。多くの場合、複数の弱点を組み合わせることで、初期アクセスからその後の攻撃フェーズへと攻撃を進展させます。

例えば、最初は公開されたアプリケーションの脆弱性を足掛かりとし、その後、脆弱な認証や過剰な権限設定、設定ミスのあるクラウドサービスを組み合わせることで機密データに接近し、最終的に窃取するといったことも可能です。一つひとつを見れば、どれもそれほど重大な問題には見えないかもしれません。しかし、それらが組み合わさることで、深刻な攻撃経路となるのです。

これこそが、ミュトス時代において優先順位付けを困難にしている要因です。防御側は、増え続ける脆弱性への対応に加え、それぞれが組み合わされオペレーション化された上で重要なシステムや取引先を標的として悪用される可能性にも対処しなければなりません。

ここで言っているのはもはや仮説上のリスクではありません。攻撃者はすでに、AIを活用した戦術と他の戦術・手法・手順（TTP）を組み合わせた実証実験を始めています。標的型攻撃（APT）グループが、Hexagonal Rodentのようなキャンペーンにおいて、AIプラットフォームを活用し、対象を絞ったフィッシングコンテンツを作成したりサポートツールとして利用したりしていることが報告されています。このほかには、AIで生成した音声によるボイスフィッシング攻撃で2500万ドルが窃取された事例も報告されています。AIの用途がフィッシング、ソーシャルエンジニアリング、攻撃用コードの開発であろうと、攻撃者がより少ない労力で、より速く、そしてより大規模な活動を行えるようになっているという傾向は変わりません。

ここで、重要になってくるのがミュトスのようなモデルです。AI活用型ツールによって、個々の脆弱性だけでなく、組み合わせて悪用できる複数の弱点の特定も容易になる可能性があります。そのため防御側は、個々のCVEだけではなく、エクスポージャーの状況、資産の重要度、ビジネス上の文脈、そしてサードパーティーの依存関係にも目を向けなければいけません。

脆弱性の件数が大幅に増加した場合、セキュリティチームはすべてに対処することはできません。本当の問題は、今この瞬間に何を最も優先すべきかを見極めることなのです。

攻撃者は絶好の機会を待たない

私たちが脆弱性について考える場合、発見、公開、修正プログラムの適用、解消という段階に分けて考えがちです。

しかし、攻撃者はそのようには考えません。彼らが求めているのは、投じた労力に対し最大のインパクトを与え、最大の成果を得ることです。CVEがどれほど新しいかや注目を集めているかといったことはさほど重要ではありません。

攻撃者は、たとえそれが20年前のCVEであったとしても、利用できる機会は見逃しません。利用機会は脆弱性が公開される前に訪れることもありますが、多くの場合は修正プログラムの公開直後、あるいはCVEの公開直後です。世の中に情報が出そろった頃には、悪用方法を考えている者がいると考えるべきでしょう。

だからこそ、脆弱性の公開から悪用までの期間は非常に短く感じられるのです。攻撃者は運よく機会を見つけているわけではありません。常に状況を監視し、できるだけ早く脆弱性を悪用しようとしているのです。

攻撃者はCVEをどう見つけ、優先順位を付けるのか

攻撃者が悪用価値のある脆弱性を見つける方法として、最も効果的と言われているのが、最もシンプルな方法、公開情報の監視です。監視対象には、ベンダーのセキュリティアドバイザリー、脆弱性データベース、GitHubのセキュリティ通知、メーリングリスト、リサーチャーのブログなどがあります。これらはいずれも非公開情報ではありません。多くは、セキュリティチームが日常的に利用しているのと同じ情報です。

ではどこが違うかというと、それは自動化です。

攻撃者は、公開と同時に新たなCVEを取り込み、タグ付けし、想定されるリターンに基づき優先順位付けするシステムを利用します。広く利用されているソフトウェアが影響を受ける、悪用が容易、インターネットに公開されているシステムに該当するといった脆弱性の場合、優先度はたちまち上昇します。これに最も近い事例は、2023年に発生し、2,700の組織と9,100万人が影響を受けた、Cl0pによるMoveItへの不正アクセスです。被害は、公表後も数か月にわたって続き、ダークウェブ上のCl0pのデータリークサイト（DLS）で新たな被害者が公開され続けました。リサーチャーは、今回のケースでは、Cl0pが脆弱性の公開よりかなり前の段階でその存在を特定または調査していた可能性があり、その結果、広範な悪用が始まった時点ですでに有利な立場にあった可能性があるという考えを示しています。

修正プログラムが攻撃者に与える「脆弱性のヒント」

ベンダーが修正プログラムを公開すると、問題は修正されます。しかし修正プログラムが脆弱性に関するヒントを与えてしまうこともあります。攻撃者は、修正プログラム適用後のソフトウェアと以前のバージョンを比較することで、変更箇所を把握できます。こうした手法は「パッチ差分解析」と呼ばれ、攻撃に対して脆弱なコードの箇所を絞り込むことが可能です。この解析結果の内容を逆にたどることで、その脆弱性がどういったものか、また悪用のトリガーは何かといったことを特定できる場合があります。

これが、修正プログラムの公開後すぐに悪用が発生する理由の一つです。修正プログラムはそれを適用した顧客を保護する一方で、攻撃者に脆弱性を理解するためのヒントを与えてしまう可能性もあるのです。修正プログラムの適用を先送りにしている組織の場合、脆弱性の存在が広く知られた状態に加えて悪用も可能という危険な期間が生じることになります。

エクスプロイトサイクルが短縮された環境では、わずかな対応の遅れも重大な意味を持ちます。

インターネットスキャンで攻撃対象を特定

脆弱性を理解した後の攻撃者の次なるステップは、インターネットをスキャンし、その脆弱性が存在する場所を見つけ出すことです。攻撃者は、インターネットを広範かつ瞬時に調査できるツールを使って、外部からアクセス可能なシステム、開放ポート、外部からバージョンの特定が可能なソフトウェアを探し出します。特定の製品やバージョンに影響する脆弱性の場合、短時間で攻撃対象候補を見つけ出せることもあります。

この段階で重要なことは、最も容易な「機会」を探し出すという点です。放置されたサーバー、修正プログラムが適用されていないアプライアンス、外部からアクセス可能なサービス。いずれも、外部から見える状態にあるため侵入口の有力候補となります。

そして現代の企業環境では、そのような侵入口は自社環境の中だけに存在するとは限りません。子会社やクラウドインフラ、さらにはサードパーティーベンダーにまで及ぶ場合もあります。

公開前の脆弱性を自ら探し出す攻撃者

多くの攻撃者が公開情報を頼りにする一方で、スキルの高い攻撃者グループは異なるアプローチを取ります。彼らは、公開前の段階から、積極的に脆弱性のサーチを行います。その方法としては、ソフトウェアのリバースエンジニアリング、異常な条件下でのアプリケーションの動作分析、コードを徹底的に調査することで見つけにくい欠陥を探し出すといったことを行います。いずれも時間がかかり、高度な技術を必要とする作業ですが、大きな価値のある発見につながる可能性があり、特にまだ誰にも知られていない脆弱性を発見できることもあります。

ファジング（Fuzzing / 訳注：意図的に問題を発生させて製品やシステムの潜在的な不具合・脆弱性を発見するための手法）は、攻撃者がよく使う手法の一つです。ソフトウェアに対して、予期しないデータを大量に入力したり、不正な形式のデータを入力したりすることで、クラッシュや異常な動作を引き起こすことができます。こうしたクラッシュは、より深刻な問題を顕在化させることがあり、その中には悪用可能な脆弱性が含まれる場合があります。

CVE以外にも存在する脆弱性の「シグナル」

脆弱性の存在を示す手掛かりは、必ずしも正式なCVEだけにあるわけではありません。多くの場合、攻撃者が必要とするのは、詳細な情報ではなく、調査のためのきっかけです。

攻撃者は、オープンソースプロジェクト、開発者同士のやり取り、そしてより広範なセキュリティコミュニティを注視しています。GitHubのコミットにおけるわずかな変更、「入力検証の改善」といった曖昧な記述、さらには新たな研究を示唆するカンファレンスでの発表―いずれも調査を始める上で十分な手掛かりとなります。

脆弱性を取引する市場も存在します。

脆弱性の中には、発見ではなく入手されるものもあります。攻撃用コードが売買されたり、非公開グループ内で共有されたり、あるいはイニシャルアクセスブローカー（IAB）経由で非公開で仲介されたりする市場が存在します。こうした傾向は、広く利用されているシステムに影響のある、高インパクトな脆弱性で顕著です。

すべての攻撃者がこうしたエコシステムに関与しているわけではありません。しかし、このようなエコシステムは、ある攻撃用コードが出現し、拡散するまでのスピードを左右する要因の一つとなっています。

なぜ攻撃者は防御側より一歩先を行くのか

はたから見ると、攻撃者はあり得ないほどのスピードで動いているように感じられます。しかし実際には、わずかなそしてシンプルな優位性を活かしているにすぎません。例えば彼らには次のような優位性があります。

• 徹底した自動化を進めている
• 悪用可能な脆弱性に狙いを絞っている
• パッチの検証、システム停止の回避、あるいは部門間の調整を気にする必要がない

一方、防御側はそれらすべてに対応しなければなりません。その違いが両者の間にギャップを生み、攻撃者はそのギャップを巧みに突いてきます。フロンティアAIは、悪用手法の発見および攻撃用コードの開発をより大規模かつ反復的、そして利用しやすくすることで、このギャップをさらに広げる恐れがあります。

防御側に求められるCVEの優先順位付け

すべてのCVEが同じレベルのリスクをもたらすわけではありません。脆弱性の中には、悪用が難しいもの、外部からはアクセスできないシステムにしか影響しないもの、悪用には特殊な条件が必要なものもあります。その一方で、悪用が容易なもの、外部から簡単に特定・アクセスできるもの、攻撃者によって活発に議論されたり標的とされたりしている脆弱性もあります。

真に優先すべきなのは、そのような脆弱性です。課題は、それをどう見極めるかにあります。もはやCVEを深刻度だけで評価するだけでは不十分です。セキュリティチームには、次のような問いに答えることにできる背景情報が必要です。

• そのシステムはインターネットからアクセス可能な状態にあるか。
• 利用可能な攻撃用コードは存在するか。
• この脆弱性は攻撃者によって活発に議論されたり悪用されたりしているか。
• 重要な資産や主要なベンダーに影響するか。

このような背景情報がなければ、「机上」のリスクへの対応に時間をかけるばかりで、実際のインシデントへ発展する可能性が高い脆弱性を見逃しかねません。

つまり、課題はもはや脆弱性管理の域を超えています。今重要なのは、限られた時間の中でサイバーリスクの優先順位を判断することなのです。

Bitsightで実現するリスクベースのCVE優先順位付け

ここで力を発揮するのが、Bitsightのソリューションです。Bitsightは、単なる脆弱性の追跡から現実のサイバーリスクの正しい把握へという、視点の転換を支援します。

• Dynamic Vulnerability Exploit（DVE）スコア等のBitsight Vulnerability Intelligenceは、脆弱性が悪用される可能性に基づいてCVEの優先順位付けを行います。脆弱性インテリジェンスと実際の脅威の予兆を組み合わせることで、実際に脅威へと発展する可能性が高いエクスポージャー（攻撃の可能性のある箇所）に優先して対応できます。
• Bitsight Security Posture Management（SPM）は、エクスポージャーと脅威に関する背景情報を結び付けることで、サイバーレジリエンス状況の俯瞰的な把握を支援します。これにより、最優先で対処すべき箇所の特定だけでなく、修復対応やセキュリティ投資によるリスク軽減の効果を時系列で評価できます。
• Bitsight Third-Party Risk Management（TPRM）は、監視対象をベンダーやパートナーにも拡大することで、新たに公開された脆弱性や活発な議論の対象となっている脆弱性が原因となりそうな、サードパーティーリスクを特定します。また、Bitsight Dark Web Intelligence for Supply Chainsは、サードパーティーエコシステムにわたる脅威活動、不正アクセスの兆候、新たに顕在化しつつあるリスクを可視化することで、サードパーティーエコシステム全体に対する分析能力を強化します。

攻撃者は悪用可能な脆弱性を懸命に探し出そうとしています。一方、防御側はそうした脆弱性のリスクが実際の脅威へと発展する可能性の高い個所を把握する必要があります。Bitsightは、こうした防御側の取り組みを支援します。

まとめ：AI時代の脆弱性管理で重要なこと

攻撃者が脆弱性を見つけようとする場合、一つの手法だけに頼ることはありません。脆弱性情報の公開を監視する、パッチを解析する、インターネットをスキャンする、研究者の動向を追う。こうした一連の工程を可能な限り自動化しています。彼らが利用する情報の大半は、すでに公開されているものです。違いを生み出しているのは、対応の速さ、狙いを定める精度、そして優先順位付けです。

防御側には、CVEの存在を把握する以上のことが求められます。そのCVEが本当に重要かどうか、つまり実際に悪用される可能性があるのか、インターネットからアクセス可能なシステムに存在するのか、そして自組織やサードパーティーに関係するものなのかを見極める必要があります。

ミュトスの時代、防御側は深刻度スコアだけで悪用リスクを管理することはできません。動きの速い組織とは、脅威インテリジェンス、エクスポージャーに関する背景情報、そしてビジネスへの影響を組み合わせることで、攻撃者に先んじて何を優先すべきかを判断できる組織と言えるでしょう。

Bitsightとは

Bitsightは、サイバーリスクに関するデータとインテリジェンスを活用し、自社やサードパーティーのセキュリティリスクの可視化・評価・優先順位付けを支援するサイバーリスク管理プラットフォームです。

脆弱性の悪用可能性や外部から確認できるエクスポージャー、脅威情報などを組み合わせることで、組織が優先して対処すべきサイバーリスクの把握を支援します。

▼Bitsightのサービス詳細はこちら

Bitsight