EPSSでソフトウェアの脆弱性に対処する

年々、報告されるソフトウェア脆弱性の数が増えてるんだ。組織がシステムを守ろうとすると、これらの脆弱性を修正するのがすごく大変なんだよね。攻撃のリスクを減らすためには、どの脆弱性にすぐ対処するべきかを優先することが超重要なんだ。

今の脆弱性のスコアリング方法は、あんまり役立たないことが多いんだ。多くのシステムは特定のベンダーが作ったもので、みんなが使えるわけじゃないし、独自のデータに依存してることが多い。たいていは脆弱性の深刻度に焦点を当ててるけど、実際の悪用を予測するのに役立つ新しい情報を使ってないんだ。

このギャップを埋めるために、いろんな業界の専門家たちが集まって、エクスプロイト予測スコアリングシステム（EPSS）っていう新しいシステムを開発したんだ。このシステムは、既知のすべての脆弱性にスコアを付けるデータを使って、誰でも自由に使えるようにする予定。さらに、新しい情報が入ってきたら、それに適応していくんだ。

#より良い脆弱性管理の必要性

組織は常に脆弱性を効果的に管理するプレッシャーにさらされてるんだ。毎年増える開示脆弱性が、この作業をさらに難しくしてる。例えば、2022年には脆弱性が大幅に増加して、組織が追いつくのがさらに大変になったんだ。

最近の調査では、多くの会社が脆弱性を修正するのに苦労してることが分かった。平均して、毎月修正される脆弱性はほんのわずかなんだ。この脆弱性に対処できる能力が限られてると、悪用のリスクが高まって、優先順位をつけることがさらに重要になるんだ。

脆弱性を優先順位をつけるプロセスは、一般的に共通脆弱性スコアリングシステム（CVSS）のようなスコアリングシステムに頼ってる。しかし、CVSSは公開された後の脆弱性に関する新しい情報に適応する能力が限られてる。だから、多くの脆弱性がリスクのままだし、より良いスコアリングシステムの必要性が明らかになるんだ。

#EPSSイニシアチブ

脆弱性管理を改善するために、EPSSチームは170人以上の専門家からなる特別関心グループ（SIG）を結成したんだ。主な目標は、実際のシナリオで脆弱性が悪用される可能性を予測するシステムを作ることなんだ。

EPSSは、脆弱性の悪用の確率を予測するために始まった小さなプロジェクトだったけど、今では実際の悪用データに基づいて脆弱性に対するタイムリーで正確なスコアを提供する標準として成長したんだ。

#データを使う

EPSSを開発するために使われたデータは、いろんなソースから集められたんだ。何年にもわたる悪用活動の証拠を含んでいて、数百万件の脆弱性悪用の試みが焦点になってる。この情報は、どの脆弱性が近い将来に悪用される可能性があるかを予測するためのしっかりとした基盤を築くのに役立つんだ。

EPSSチームは、19万以上の公開された脆弱性が含まれたデータセットを作成したんだ。かなりの期間情報を集めてるから、脆弱性がどのようにターゲットにされるかの理解が深まったんだ。

#悪用の証拠

脆弱性が悪用されるかどうかを判断するために、EPSSはいくつかの信頼できるソースから情報を集めるんだ。これらのソースは、侵入検知システムやハニーポットを使って、脆弱性を悪用する試みをキャッチする方法をいくつか採用してる。

データが集められたら、それはクリーンアップされて構造化されて、特定の脆弱性に対して悪用活動があったかどうかを特定するんだ。このデータ処理によって、各脆弱性に関連する悪用リスクについて正確に予測できるんだ。

#予測のための特徴

EPSSは、悪用を予測するために多くの特徴を活用してるんだ。特徴にはさまざまなデータポイントが含まれていて、例えば：

• 公開されたエクスプロイトコード: 公に利用できるエクスプロイトコードの存在は、脆弱性が悪用される強い指標だよ。
• 公開脆弱性リスト: 人気のカタログに載ってる脆弱性は、注目されやすく、攻撃される可能性が高いんだ。
• ソーシャルメディアの言及: Twitterなどのプラットフォームでの脆弱性に関する議論は、攻撃者の間での関心や懸念が高まっているサインかもしれない。
• 攻撃用セキュリティツール: ペネトレーションテスト用に設計されたツールは、攻撃者にとって簡単なターゲットになる脆弱性を強調することが多いんだ。
• 脆弱性の年齢: 古い脆弱性は、一般にその知識が広まるにつれて、攻撃者にとって魅力が薄れることがあるんだ。

これらの特徴が一緒になって、新しいシステムの予測能力を高めてるんだ。

#EPSSモデルの改善

EPSSモデルの進化は、実務者や研究者のコミュニティからのフィードバックによって導かれてるんだ。最初はシンプルでポータブルに設計されてたけど、新しいバージョンはより複雑で洗練されたモデルを許容する中央集権的なアプローチに移行したんだ。

#バージョン2と3の開発

EPSSの第2バージョンは、データ収集プロセスを拡張して中央集権的なアーキテクチャにシフトすることで、最初のバージョンの限界を克服することに焦点を当てたんだ。この変更により、より多くの特徴を活用する複雑なモデルが可能になったんだ。

第3バージョンは、前のモデルからの改善を踏まえて、さまざまなデータソースからさらに多くの特徴を追加したんだ。この改善により、EPSSの初期のバージョンに比べて予測パフォーマンスが大幅に向上したんだ。

#パフォーマンスメトリクス

EPSSシステムの効果は、さまざまなパフォーマンスメトリクスを使って測定されてるんだ。これには、モデルが悪用される可能性がある脆弱性をどれだけうまく特定できるかを評価するための精度と再現率が含まれてるんだ。

• 精度: これはリソースの効率を示すんだ。修正された脆弱性のうち、実際に悪用されたものがどれくらいかを測るんだ。
• 再現率: これは脆弱性のカバレッジ、つまり実際の悪用がどれだけ修正作業で対処されたかを測るんだ。

この2つのメトリクスのバランスを取ることで、組織は脆弱性の優先順位をより効果的に決められるんだ。

#EPSSの実践的な応用

組織はEPSSスコアを使って、脆弱性管理戦略を立てることができるんだ。EPSSスコアに基づいて、悪用される可能性が高い脆弱性に注目することで、ビジネスはリソースや努力を最適化できるんだ。

#シンプルな戦略 vs. 高度な戦略

組織は、高リスク脆弱性に焦点を当てたシンプルな修正戦略と、EPSSからのデータ駆動の洞察を組み込んだ高度な戦略のどちらかを選べるんだ。シンプルな戦略は標準的な脆弱性スコアだけに依存するかもしれないけど、高度な戦略はEPSSスコアを使って修正の優先順位をより効率的に決めることができるんだ。

これらのアプローチのパフォーマンスの違いは、かなり大きいかもしれない。例えば、EPSSを採用した組織は、実際に悪用されている脆弱性に関して高いカバレッジを維持しつつ、修正する脆弱性の数を減らすことができるかもしれないんだ。

#今後の開発

EPSSは進化し続ける中で、新しいデータの取り込みとモデリング技術の改善に焦点を当てていく予定なんだ。今後の開発によって、システムが新たなサイバー脅威に対しても関連性と効果を保ち続けることができるようにするんだ。

#制限への対処

EPSSイニシアチブは大きな進展を遂げてる一方で、いくつかの制限も認識することが重要なんだ。収集したデータは、提携したソースから観察された悪用活動だけを反映しているから、全ての脆弱性を代表してるわけじゃないんだ。

さらに、使われる検出システムの性質が、公開されている攻撃に偏った結果を生むことがあるから、一部の脆弱性がどのように悪用されるかの理解にギャップを生む可能性があるんだ。

#結論

EPSSは脆弱性管理において大きな前進を表してるんだ。組織が脆弱性への対応を効果的に優先するために使える、公共のデータ駆動のスコアリングシステムを提供しているんだ。

この新しいツールを活用することで、企業は脆弱性管理の取り組みをより敏捷にし、最も可能性のある脅威に焦点を当てることができるから、全体的なセキュリティ姿勢を強化できるんだ。

EPSSコミュニティ内での継続的なコラボレーションは、システムが引き続き適応し進化し、サイバー脅威に効果的に対抗するために必要な洞察を提供し続けることを保証するんだ。