パッチ適用が追いつかず、保護に猶予がないとき

Nirav Shah製品・ソリューションマーケティング担当シニアバイスプレジデント | F5

長年にわたり、アプリケーションセキュリティでは、脆弱性が発見されても、攻撃者に悪用されるまでに、組織にはリスクを評価し、パッチを開発または入手し、テストして適用する時間があるという前提が広く受け入れられてきました。

人工知能によって、その前提に頼ることはますます危険になっています。

AIは、脆弱性の発見、偵察、エクスプロイトの開発、攻撃の自動化を加速させています。こうした能力が高度化するにつれ、攻撃者は、従来のセキュリティや開発のプロセスでは対応を想定していなかった速度で弱点を特定し、悪用できるようになっています。脆弱性が一般に公開される前に、悪用が始まる場合もあります。

この問題が示す課題は、パッチ適用の迅速化だけにとどまりません。脆弱性の修正にかかる時間が、攻撃者による悪用に必要な時間を大幅に上回る可能性がある中、組織はアプリケーションとAPIの保護方法を見直す必要があります。このテーマについては、オンラインでオンデマンド配信されるイベント「F5 Post-Mythos Security Summit」の私のセッション「Mythos以降の世界に向けたWAAP」で詳しく取り上げています。

セッションでも説明していますが、解決への第一歩は、即時の保護と恒久的な修復が別々の課題であると認識することです。脆弱性の修復にかかる時間と攻撃者がそれを悪用するまでの時間の差が広がり続ける中、セキュリティリーダーがアプローチを見直すべき3つの観点をご紹介します。

1. リスクにさらされる期間のギャップが構造的な問題になっていると認識する

セキュリティチームは長年にわたり、脆弱性管理の改善とパッチ適用の迅速化に取り組んできました。こうした取り組みは今も欠かせません。しかし、組織がアプリケーションやインフラストラクチャを安全に変更できる速度には、根本的な限界があります。

パッチは評価、テスト、導入を行う必要があります。開発チームは、アプリケーションの依存関係、運用の安定性、緊急の修正によって新たな問題が生じる可能性を考慮しなければなりません。複数の環境で数千ものアプリケーションを管理する企業では、こうしたプロセスは必然的に複雑になります。

一方、攻撃者側の状況もAIによって変化しています。

脆弱性の発見と悪用を自動化する能力が高まるにつれ、攻撃者はマシンの速度で活動できるようになる一方、防御側は依然として開発サイクルや運用要件による制約を受けています。最も効率的なセキュリティ組織であっても、チームに作業のスピードアップを求めるだけでは、この不均衡を解消できません。

これにより、脆弱性への対処に構造的な空白期間が生じます。組織が恒久的な修正を安全に適用できるようになるはるか前に、脆弱性が悪用可能になることがあります。AIの進化が続くにつれ、この空白期間の管理はさらに困難になるおそれがあります。

セキュリティ責任者が向き合うべき課題は、もはやパッチ適用をいかに迅速化するかだけではありません。パッチ適用が間に合わない場合に、いかに組織を保護するかも問われています。

2. 保護と修復では必要な時間軸が異なる

この課題に対処するには、発想の転換が必要です。従来の脆弱性管理では、弱点を特定し、優先順位を付け、できるだけ迅速に解消するという修復の取り組みに重点が置かれてきました。しかし、パッチが提供される前に脆弱性が悪用される可能性がある以上、組織は保護を修復に全面的に依存させるわけにはいきません。

保護と修復を切り離す必要があります。恒久的な修復は、根本にある脆弱性に対処するものです。一方、即時の保護は、修復を進めている間に攻撃者がその脆弱性を悪用するのを防ぐことに重点を置きます。

この区別は、ビジネスに不可欠なアプリケーションでは特に重要です。未検証のパッチを急いで本番環境に適用すると、それ自体が運用上のリスクを生む可能性があります。一方、確立された変更管理手順に従って適用を遅らせると、組織が脅威にさらされたままになる可能性があります。

仮想パッチは、このジレンマに対処する方法の1つです。脆弱性のあるアプリケーションの外部で保護対策を適用することで、アプリケーションのコードをすぐに変更しなくても、既知の脆弱性悪用手法をブロックできます。

重要なのは、仮想パッチは脆弱性の修正に代わるものではないという点です。また、考えられるすべての攻撃経路を排除するものでもありません。その価値は、開発チームとセキュリティチームが恒久的な修正に必要な作業を完了するまでの間、攻撃にさらされるリスクを低減することにあります。

つまり、組織には、セキュリティインシデントが発生するたびにアプリケーションを緊急リリースすることなく、差し迫った脅威に対応できる能力が必要です。そのためには、アーキテクチャの観点からアプリケーション保護に取り組む必要があります。

3. アーキテクチャでギャップを埋める必要がある

脅威の進展がアプリケーションの開発・デプロイサイクルを上回る場合、防御はそれらのサイクルから独立して機能できなければなりません。

ここで、最新のWebアプリケーションおよびAPI保護（WAAP）（https://www.f5.com/solutions/web-app-and-api-protection）の役割がますます重要になります。WAAPは、アプリケーションのデータパスにセキュリティ制御を提供することで、悪意のあるアクティビティが脆弱なアプリケーションに到達する前に、組織がそれを検知してブロックできるよう支援します。Webアプリケーションファイアウォール、APIセキュリティ、ボット対策、DDoS緩和などの機能が、相互に補完する保護レイヤーを提供します。

アーキテクチャ上の利点は大きなものです。組織は、必ずしもアプリケーションコードの変更を待たずに保護のための制御を適用できるため、開発チームは脆弱性の調査と恒久的な修正の実装に充てる時間をより多く確保できます。

しかし、課題はますます複雑化しています。

今日のアプリケーション環境は、従来のWebアプリケーションの枠を超えて広がっています。企業はAPI、AIを活用したアプリケーション、自律型エージェントへの依存を強めており、これらは新たな相互作用や依存関係、潜在的な攻撃対象領域を生み出しています。同時に、AIで強化された攻撃により、セキュリティチームが悪意のある活動と正当なトラフィックを区別することが難しくなっています。

セキュリティルールを追加したり、アラートを増やしたりするだけでは、持続可能な解決策にはなりません。セキュリティチームに過度な負担をかけず、正当な業務活動を妨げることなく、保護をよりインテリジェントで適応力のあるものにする必要があります。

そのため、脅威を正確に特定し、誤検知を最小限に抑え、適切な保護を適用する能力がますます重要になっています。また、アプリケーションや環境を問わず一貫した保護を提供できるアーキテクチャの必要性も高まっています。

結局のところ、人員を増やしたり、既存のプロセスを高速化したりするだけでは、機械の速度で進行するセキュリティの問題を解決することはできません。基盤となるシステムの対応が追いつくまでの間、アプリケーションを保護できるように設計されたアーキテクチャが必要です。

パッチ適用が追いつかない状況での保護方法について、私のセッションをご覧ください

AIは、脆弱性の発見、悪用、修復の関係を根本的に変えています。組織はパッチ適用プロセスの改善を続ける必要がありますが、恒久的な修正をすぐに適用できない場合に、アプリケーションとAPIを保護する手段も必要です。

私のセッション「ポストMythos時代のWAAP」は、F5 Post-Mythos Security Summitで行います。このセッションでは、最新のWAAPが、組織によるこの新たな現実への対応にどのように役立つかを解説します。AIを活用した保護と仮想パッチによって、アプリケーションのコード変更を待たずに、エッジでの脆弱性への対処をどのように支援できるかを実演します。また、ますます高度化する脅威からアプリケーション、API、AIを保護するための、より広範なアプローチにおいて、これらの機能がどのように位置付けられるかも考察します。

私のセッションを視聴するには、こちらからご登録ください。

著者について

Nirav Shah製品・ソリューションマーケティング担当シニアバイスプレジデント | F5

Nirav Shahは、F5のシニアバイスプレジデント兼製品・ソリューションマーケティング責任者として、Application SecurityとAI Securityの戦略的方向性を統括しています。F5入社前はFortinetに11年間在籍し、複数のリーダー職を歴任しました。なかでも、AI-Powered SASE、SOC、Secure Networkingソリューションの責任者を務めました。また、Cisco Systemsでも要職を担い、SD-WANに関する主要な取り組みを主導しました。サイバーセキュリティ分野で20年以上の経験を持ち、市場を定義する製品の立ち上げや、製品開発と営業・マーケティングを連携させて最大限の成果を生み出す高パフォーマンスチームの構築において、確かな実績を築いています。ソートリーダーでありUSCの卒業生でもあるShahは、業界カンファレンスに頻繁に登壇し、AIとサイバーセキュリティの交差領域について主要な出版物に定期的に寄稿する一方、次世代のサイバーセキュリティ専門家の育成にも尽力しています。

Nirav Shahのその他のブログ記事