NIST(*2)の脆弱性データベース「NVD(*3)」が公開したソフトウェアの脆弱性対策情報を集約、翻訳し、2007年4月25日から公開しています。iPedia日本語版へ登録した脆弱性対策情報は下表の通りとなり、脆弱性対策情報の登録件数が、累計43,000件を超過しました(表1-1、図1-1)。iPedia英語版へ登録した脆弱性対策情報も下表の通りとなっており、累計で987件になっています。Androidに関する脆弱性のうち71%がAndroidアプリ近年、スマートフォンが急激に普及しており、企業や個人によるスマートフォン用アプリの開発も活発になっています。iPediaへのAndroid関連の脆弱性の登録件数も増加しています。関連の脆弱性をOSとアプリの製品区分で分類したものです。累計187件の内、133件がAndroidアプリに関する情報となっており、71%をAndroidアプリが占めています。Play(*4)によるカテゴリ(26種類)から6種に分類し、それを脆弱性の深刻度割合(CVSS(*5))別に集計したものです。ブラウザやメールなどの通信アプリ、コミュニケーションを目的としたソーシャルネットワークのアプリが前述の133件のうち79件登録されており、全体の59%を占めています。情報が漏えいする可能性があることを認識する必要があります。図1-2-3は、Androidアプリに関する脆弱性対策情報を、CWE(*6)のタイプ別に分類し、登録が多い順に示したものです。アプリが管理する重要な情報が読まれたり改ざんされるなど、CWE-264(認可・権限・アクセス制御)が32件と圧倒的に多く、次いでCWE-200(情報漏えい)が9件と、重要な情報を狙うタイプの脆弱性の登録が多いことがグラフから見てとれます。Androidに限らず、重要な個人情報を保有するスマートフォンなどのデバイスは、脆弱性を悪用されないようPCと同様に迅速な対策の実施が必要です。アプリの利用者は、脆弱性が存在する古いバージョンを利用していた場合、速やかなアップデートを実施してください。アプリの開発者は、脆弱性を作りこまない安全なアプリ開発を積極的に行う必要があります。Systems)に関するソフトウェアの脆弱性対策情報の登録が多い状況で、2013年も131件が登録されました。おける産業用制御システムに関するソフトウェアの脆弱性対策情報の登録件数とCVSSの分類による深刻度の割合を示しており、今四半期までの登録累計は437件になっています。2013年も深刻度の高いレベルIIIの脆弱性が131件の登録のうち80件と6割超を占めています。iPediaに登録済みの脆弱性対策情報に関して、産業用制御システムに関するソフトウェアと全ての脆弱性対策情報の深刻度の割合をそれぞれ示したものです。産業用制御システムに関するソフトウェアの深刻度の割合は、レベルIII(危険、CVSS基本値=7.0~10.0)が61%、レベルII(警告、CVSS基本値=4.0~6.9)が37%、レベルI(注意、CVSS基本値=0.0~3.9)が2%となっており、ソフトウェア全体と比較すると深刻度の高い脆弱性対策情報の登録が極めて多いことがわかります。図1-3-4は、産業用制御システムに関するソフトウェアの脆弱性対策情報を、CWEのタイプ別に分類した件数を示したものです。任意コードの実行などの重大な脅威につながるCWE-119(バッファエラー)の件数が122件となっており、全体の3割を占めています。産業用制御システムの管理者は、脆弱性対策情報を定期的に収集し利用製品に脆弱性が存在する場合、開発元や販売元にバージョンアップ等の対策方法の有無を確認し、対策が存在する場合は速やかな対応を検討してください。対策することが困難な場合は、産業用制御システムが設置されているネットワーク等の利用環境やリスクを評価し、リスクの低減策や脅威の緩和策を図るなどの対応を検討してください。iPediaへ2013年第4四半期に登録した脆弱性対策情報を、共通脆弱性タイプ一覧CWEのタイプ別に分類し、集計した件数を示したものです。件数は多い順に、CWE-264(認可・権限・アクセス制御)が192件、CWE-119(バッファエラー)が182件、CWE-20(不適切な入力確認)が174件、CWE-79(クロスサイト・スクリプティング)が169件、となっています。製品開発者は、ソフトウェアの企画・設計段階から、セキュリティ対策を講じ、これら脆弱性の低減に努めることが求められます。IPAでは、セキュアなプログラム開発の一助となるよう「セキュア・プログラミング講座(*8)」、実習形式による脆弱性体験学習ツール「AppGoat(*9)」などの参考資料を公開しています。iPediaに登録済みの脆弱性対策情報の件数を脆弱性の深刻度別に分類し、公表年別にその推移を示したものです。iPediaに登録された脆弱性対策情報の深刻度は、レベルIII(危険、CVSS基本値=7.0~10.0)が全体の44%、レベルII(警告、CVSS基本値=4.0~6.9)が同49%、レベルI(注意、CVSS基本値=0.0~3.9)が同7%となっています。これら既知の脆弱性の深刻度は全体の93%がサービス停止につながるような脅威であるレベルII以上となっています。既知の脆弱性による脅威を回避するため、製品利用者は製品のバージョンアップやセキュリティ対策パッチの適用などを速やかに行ってください。iPediaに登録済みの脆弱性対策情報を、ソフトウェア製品の種類別に件数を集計し、年次でその推移を示したものです。製品の種類別でみるとアプリケーションに関する脆弱性対策情報が全件のうちの85%を占めており、最も多く公表されています。2008年頃以降、重要インフラなどで利用される、産業用制御システムに関する脆弱性対策情報が登録されるようになり、今四半期までに合計437件が登録されています。iPediaに登録済みの脆弱性対策情報のうち、オープンソースソフトウェア(OSS)とOSS以外のソフトウェアの公表年別推移を示したものです。17,228件、OSS以外が26,143件の登録があります。iPediaでも登録対象にしたことが要因です。累計についてのそれぞれの割合は、OSSが40%、OSS以外が60%となっています。iPediaに登録された製品の開発元(ベンダー)を分類したものです。OSSベンダーとOSS以外のベンダーを国内ベンダー、海外ベンダー(日本法人有り)、海外ベンダー(日本法人無し)でそれぞれ示しています。割合が多いのは日本法人の無いベンダーの製品です。OSSベンダーでは96.4%、OSS以外では、91.3%となっており、登録の9割以上の脆弱性対策情報が日本法人の無い海外ベンダーの製品のものであることがわかります。OSS製品は、無償なため、手軽に利用可能できる製品といった面がある一方、安全に使用するためのサポートがベンダーなどから十分に得られない可能性があります。そのため、OSS製品を利用する場合には、パッチ適用などのセキュリティ対策を利用者自ら実施できる体制を整えておくことが重要です。iPediaの脆弱性対策情報の、上位20件を示したものです。OSに関する脆弱性についてでした。2に関する脆弱性など、ウェブサイトを構成するためのサーバソフトウェアに関する脆弱性へのアクセスが多く集まりました。表3-2は国内の製品開発者から収集した脆弱性対策情報でアクセスの多かった上位5件を示しています。上位5件すべての深刻度はレベルIII(危険)となっており、攻撃をされた場合にサービス停止につながる可能性が高い脆弱性が注目されています。脆弱性対策情報ポータルサイト。製品開発者の脆弱性への対応状況を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CCが共同で運営しています。科学技術分野における計測と標準に関する研究を行う機関。NISTが運営する脆弱性データベース。http://nvd.nist.gov/home.cfm(*4)GoogleがAndroid端末向けに配布しているアプリの配布・販売用のサービス名称。アプリは、以下に示された種類にカテゴリ分けされている。System、共通脆弱性評価システム。http://www.ipa.go.jp/security/vuln/CVSS.html脆弱性の基本評価基準の数値を基にI,II,IIIの3段階とし、数値が大きいほど深刻度が高い。レベルIII:リモートからシステムを完全に制御されるような場合や大部分の情報が漏えいするような脅威。レベルII:一部の情報が漏えいするような場合やサービス停止につながるような脅威。レベルI:攻撃する為の条件が複雑な場合や、レベルIIに該当するが再現性が低い脅威。Enumeration。概要は次を参照ください。http://www.ipa.go.jp/security/vuln/CWE.html(*7)制御機器の脆弱性に関する注意喚起http://www.ipa.go.jp/about/press/20120229.html(*8)http://www.ipa.go.jp/security/awareness/vendor/programmingv2/index.html(*9)脆弱性体験学習ツール「AppGoat」。5010005007126)。