NIST(*2)の脆弱性データベース「NVD(*3)」が公開したソフトウェアの脆弱性対策情報を集約、翻訳し、2007年4月25日から公開しています。iPedia日本語版へ登録した脆弱性対策情報は下表の通りとなり、脆弱性対策情報の登録件数が、累計45,000件を超過しました(表1-1、図1-1)。iPedia英語版へ登録した脆弱性対策情報も下表の通りとなっており、累計で1,022件になっています。6のサポートが終了しました。これらサポートが終了した3製品(以下、サポート終了3製品)の脆弱性が今後発見されたとしても脆弱性は修正されないため、サポート終了3製品を継続して利用しているパソコンは常にセキュリティリスクを抱えた状態になります。登録されたMicrosoft製品の脆弱性対策情報です。合計は72件で、うちサポート終了3製品の情報は20件、その割合は全体の28%でした。2003が4%でした。IEの脆弱性の中には、古いバージョンのまま使用していると、悪意ある細工を施したページを表示させられ、マルウェアへの感染による情報漏えいや攻撃者によってパソコンが制御されてしまう可能性がありました。実際、セキュリティ更新プログラムが提供された時点で既に攻撃が観測されていました。(*5)図1-2-2は図1-2-1のサポート終了3製品の脆弱性対策情報20件を製品毎の深刻度割合(CVSS(*6))別に集計、図1-2-3はソフトウェア全体の脆弱性対策情報を深刻度割合別に集計したものです。サポートが終了したMicrosoft製品に対する脆弱性は深刻度レベル3の割合が85%となっており、ソフトウェア全体と比較すると深刻度の高い脆弱性対策情報の登録が多いことがわかります。この結果から、Microsoft社が脆弱性の検査を独自の基準・方法で厳しく行い、製品のセキュリティ向上のため、深刻度の高い脆弱性の検出を最優先にしているのではないかと考えられます。図1-2-4は、図1-2-1の中のサポート終了3製品に関する脆弱性対策情報をCWE(*7)のタイプ別に分類した割合を示したものです。CWE-119(バッファエラー)が84%と登録の割合が圧倒的に多いことがグラフから見てとれます。この脆弱性が悪用されると、攻撃者にパソコン上で不正なプログラムが実行されて、攻撃者にパソコンを制御される可能性があります。サポート終了直前の約3ヶ月間においても、サポート終了3製品に対する深刻度の高い脆弱性対策情報が公開されています。サポート終了後はベンダーから脆弱性対策情報が公開されないため、潜在するセキュリティリスクに対して適切な対応が取れず、マルウェアの感染や攻撃者からの侵入を許してしまうリスクが高い状態となるため、サポートが終了した製品については、継続して利用せずサポートが継続している後継製品または代替製品に移行することが必要です。iPediaへ登録された脆弱性対策情報を、共通脆弱性タイプ一覧CWEのタイプ別に分類し、集計した件数を示したものです。タイプ別は件数が多い順に、CWE-79(クロスサイト・スクリプティング)が262件、CWE-119(バッファエラー)が191件、CWE-264(認可・権限・アクセス制御の問題)が187件、CWE-20(不適切な入力確認)が152件、となりました。製品開発者は、ソフトウェアの企画・設計段階から、セキュリティ対策を講じ、これら脆弱性の低減に努めることが求められます。IPAでは、セキュアなプログラム開発の一助となるよう「セキュア・プログラミング講座(*8)」、脆弱性の仕組みを実習形式で学ぶことができる脆弱性体験学習ツール「AppGoat(*9)」などの参考資料やツールを公開しています。iPediaに登録済みの脆弱性対策情報の件数を脆弱性の深刻度別に分類し、公表年別にその推移を示したものです。iPediaに登録された脆弱性対策情報の深刻度は、レベルIIIが全体の43%、レベルIIが50%、レベルIが7%となっています。これら既知の脆弱性の深刻度は全体の93%がサービス停止につながるような脅威であるレベルII以上となっています。既知の脆弱性による脅威を回避するため、製品利用者は製品のバージョンアップやセキュリティ対策パッチの適用などを速やかに行ってください。iPediaに登録済みの脆弱性対策情報を、ソフトウェア製品の種類別に件数を集計し、年次でその推移を示したものです。製品の種類別でみるとアプリケーションに関する脆弱性対策情報が全件のうちの85%を占めており、最も多く公表しています。2008年頃以降、重要インフラなどで利用される、産業用制御システムに関する脆弱性対策情報が登録されるようになり、今四半期は43件、累計480件を登録しています。表2-4は2014年第1四半期(1月~3月)に脆弱性対策情報の登録件数が多かった製品、上位20件を示したものです。Firefoxが並び、ブラウザ製品の脆弱性が頻繁に修正されていることがわかります。脆弱性対策情報は毎日複数件公開されており、気がつかないうちに使用している製品の脆弱性が修正され、最新のバージョンに更新されている場合があります。その中でも登録件数が多い製品は短期間で何度もバージョンアップを行っている可能性があり、情報収集に漏れが生じる可能性があります。そのため下記のリストを参考に多くの脆弱性対策情報が登録されている製品については特に注意し、情報収集やセキュリティ更新プログラムの適応など、漏れなく対策が行う必要があります。iPediaの脆弱性対策情報の、上位20件を示したものです。アクセスの1位はNTPがDDoS攻撃の踏み台にさせられる脆弱性についてでした。Serverに関する脆弱性など、ウェブサイトを構成するためのサーバソフトウェア(*10)に関する脆弱性へのアクセスが多く集まりました(*11)。表3-2は国内の製品開発者から収集した脆弱性対策情報でアクセスの多かった上位5件を示しています。上位3件の深刻度はレベルIII(危険)となっており、攻撃をされた場合にサービス停止につながる可能性が高い脆弱性や情報が窃取されてしまう脆弱性が注目されています。脆弱性対策情報ポータルサイト。製品開発者の脆弱性への対応状況を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CCが共同で運営しています。科学技術分野における計測と標準に関する研究を行う機関。NISTが運営する脆弱性データベース。http://nvd.nist.gov/home.cfm(*4)2012年の登録件数の急増は、過去にNVDにて公開され、JVNiPediaに未反映であった脆弱性対策情報を登録したため。System、共通脆弱性評価システム。http://www.ipa.go.jp/security/vuln/CVSS.html脆弱性の基本評価基準の数値を基にI,II,IIIの3段階とし、数値が大きいほど深刻度が高い。レベルIII:リモートからシステムを完全に制御されるような場合や大部分の情報が漏えいするような脅威。レベルII:一部の情報が漏えいするような場合やサービス停止につながるような脅威。レベルI:攻撃する為の条件が複雑な場合や、レベルIIに該当するが再現性が低い脅威。Enumeration。概要は次を参照ください。http://www.ipa.go.jp/security/vuln/CWE.html(*8)http://www.ipa.go.jp/security/awareness/vendor/programmingv2/index.html(*9)脆弱性体験学習ツール「AppGoat」。5010005007126)。