iPedia(http://jvndb.jvn.jp/)」は、日本国内で使用されているソフトウェアの脆弱性対策情報を収集・公開することにより、脆弱性関連情報を容易に利用可能とすることを目指しています。NIST(*2)の脆弱性データベース「NVD(*3)」が公開した脆弱性対策情報の中から情報を収集、翻訳し、2007年4月25日から公開しています。iPedia日本語版へ登録した脆弱性対策情報は、国内製品開発者から収集したもの3件(公開開始からの累計は126件)、JVNから収集したもの124件(累計1,365件)、NVDから収集したもの397件(累計9,882件)、合計524件(累計11,373件)でした。脆弱性対策情報の登録件数が、累計11,000件を突破しました(表1、図1)。iPedia日本語版では、米国のNVDなどから産業制御システムのソフトウェアに関する脆弱性対策情報の収集を積極的に進めており、2011年9月30日時点で計68件の脆弱性対策情報を登録しています。」が問題となるなど、その後も産業制御システムの脆弱性のニュースが多数取り上げられており、社会インフラに対する影響を考えると、今後注視していく必要があります。iPedia英語版は、国内製品開発者から収集したものが2件(累計125件)、JVNから収集したものが29件(累計560件)、合計31件(累計685件)でした。登録している脆弱性対策情報に関する注目情報(その1)~PCで広く利用されているソフトウェアの深刻な脆弱性対策情報が多数登録。速やかなバージョンアップを~普段の業務や日常的に使用しているソフトウェアの脆弱性を悪用して侵入するウイルスが頻発し、大きな問題となっています。中でも、大手総合重機メーカーへの「標的型攻撃(*5)」と呼ばれるサイバー攻撃事件(*6)が発生するなど、特定企業や個人に狙いを定め、システム内部に入り込み、機密情報や個人情報を窃取するなどの深刻な被害が発生しています。iPediaでは、共通脆弱性評価システムCVSS(*7)により、それぞれの脆弱性の深刻度(*8)を公開しています。図2は、PCで広く利用されている定番ソフトウェアの深刻度割合を集計したものです。Explorerに関するものが345件、また他にもAdobe製品など、登録されている脆弱性対策情報が100件以上のソフトウェアが多数存在しています。深刻度別の件数では、レベルIII(危険、CVSS基本値=7.0~10.0)が69%、レベルII(警告、CVSS基本値=4.0~6.9)が29%、レベルI(注意、CVSS基本値=0.0~3.9)が2%となっており、レベルIIIの危険な脆弱性が全体件数の約7割を占めています。図3は、PCで広く利用されている定番ソフトウェアの登録件数の年別推移です。年々登録件数は増加しており、2007年は151件でしたが2010年は460件と、3倍以上の件数に増加しています。深刻度の高い脆弱性が多数登録されています。製品利用者は情報を日々収集し、製品のバージョンアップなどを速やかに行ってください。IPv6を使用している製品の脆弱性にも注意が必要~現行の通信プロトコル「IPv4(*9)」によって割り振られるIPアドレスは枯渇状況にあり、今後は「IPv6(*10)」の利用推進や検討が必要な状況となっています。iPediaでは、今後利用の拡大が予想される「IPv6」を使用している製品に関連した脆弱性対策情報を、既に累計で71件登録しています。おける「IPv6」に関連した脆弱性対策情報の登録件数と深刻度の割合を示したものです。レベルIII(危険、CVSS基本値=7.0~10.0)が56%、レベルII(警告、CVSS基本値=4.0~6.9)が34%、レベルI(注意、CVSS基本値=0.0~3.9)が10%となっており、深刻度が高い脆弱性対策情報が多く登録されています。iPediaに登録されたIPv6に関連した脆弱性対策情報のうち、危険度の高い(深刻度レベルIII)ものを示しています。Windows、UNIX、LinuxといったOS製品、ルーターなどの多岐にわたる製品の脆弱性が登録されています。通信プロトコル「IPv6」を使用している製品利用者は、脆弱性対策情報を日々収集し、製品のバージョンアップなどを速やかに行ってください。IPAでは製品開発者向けにIPv6の既知の脆弱性を体系的に検証できるツールとして、「TCP/IPに係る既知の脆弱性検証ツール(*11)」の貸出を行っていますので、ご活用ください。タイプ一覧CWE(*12)は、脆弱性の種類を識別するための共通の脆弱性タイプの一覧です。CWEを用いると、ソフトウェアの多種多様にわたる脆弱性に関して、脆弱性の種類(脆弱性タイプ)の識別や分析が可能になります。iPediaへ今四半期に登録した脆弱性対策情報を、CWEのタイプ別に分類した件数を示したものです。件数が多い脆弱性は、CWE-119(バッファエラー)が115件、CWE-399(リソース管理の問題)が53件、CWE-20(不適切な入力確認)が46件、CWE-79(クロスサイト・スクリプティング)が42件、CWE-264(認可・権限・アクセス制御の問題)が32件、CWE-189(数値処理の問題)が23件、CWE-200(情報漏えい)が20件、などとなっています。これらは広く認知されている脆弱性の種類です。製品開発者は、これらの脆弱性に関してIPAが公開している「セキュア・プログラミング講座(*13)」などを参考に、ソフトウェアの企画・設計段階からセキュリティ実装を考慮する必要があります。実習形式による脆弱性体験学習ツール「AppGoat」(*14)でも効果的な学習が可能です。iPediaに登録済みの脆弱性対策情報について、脆弱性の深刻度別の件数の公表年別推移を示したものです。2008年以降はレベルIII(危険、CVSS基本値=7.0~10.0)の割合が増加傾向にあり、2010年は50%を超える割合になっています。iPediaに登録済みの脆弱性対策情報の深刻度別割合は、レベルIII(危険、CVSS基本値=7.0~10.0)が47%、レベルII(警告、CVSS基本値=4.0~6.9)が45%、レベルI(注意、CVSS基本値=0.0~3.9)が8%となっています。深刻度の高い脆弱性が多数登録されていることから、製品利用者は情報を日々収集し、製品のバージョンアップやセキュリティ対策パッチの適用などを速やかに行うことが必要です。iPediaに登録済みの脆弱性対策情報について、その製品の種類別件数の公表年別推移を示したものです。アプリケーションの脆弱性対策情報の登録が年々増加しており、2003年の145件に対し、2010年には1,629件と10倍以上の件数に増加しています。Acquisition)についても脆弱性対策情報が登録されています。件、合計68件のSCADAに関する脆弱性対策情報を登録しています。毎年、数多くのアプリケーションが新しく開発され、それらにおいて脆弱性が発見されており、アプリケーションのセキュリティ対策は重要度を増しています。製品利用者は脆弱性対策情報を日々収集し、バージョンアップやセキュリティ対策パッチの適用などを速やかに行うことが必要です。iPediaに登録済みの脆弱性対策情報について、オープンソースソフトウェア(OSS)とOSS以外のソフトウェアの公表年別推移を示したものです。OSSの割合の年別推移を見ると、近年では2008年以降のOSSの割合が減少傾向となっており、2011年では26%の割合になっています。全体件数から見た割合は、OSSが32%、OSS以外が68%となっています。iPediaに登録済みの製品開発者(ベンダー)に関して、OSSのベンダーの内訳とOSS以外のベンダーの内訳をそれぞれ示したものです。OSSベンダーの内訳は、国内ベンダーが67、海外ベンダー(日本法人有り)が27、海外ベンダー(日本法人無し)が256、合計350ベンダーとなっています。OSS以外は、国内ベンダーが124、海外ベンダー(日本法人有り)が84、海外ベンダー(日本法人無し)が87、合計295ベンダーとなっています。OSSに関しては、日本法人の無い海外ベンダーの脆弱性対策情報が数多く登録されています。OSSを利用する場合、製品のバージョンアップやセキュリティパッチの適用などのノウハウを持たない製品利用者は、製品のサポートサービスの活用、保守契約上の取り決め等の考慮が必要です。万件以上のアクセスがあります。iPediaの脆弱性対策情報を、アクセス数の多い順に上位20件まで示しています。20件中15件がJVNから公表された脆弱性対策情報です。表4は国内の製品開発者から収集した脆弱性対策情報のアクセス数上位5件を示しています。脆弱性対策情報ポータルサイト。製品開発者の脆弱性への対応状況を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CCが共同で運営しています。科学技術分野における計測と標準に関する研究を行う機関。NISTが運営する脆弱性データベース。http://nvd.nist.gov/home.cfm(*4)原子力施設の制御システムに影響を及ぼすウイルス。IPAテクニカルウォッチ「『新しいタイプの攻撃』に関するレポート」も参照。http://www.ipa.go.jp/about/technicalwatch/20101217.html(*5)企業の内部情報を盗むことなどを目的にして特定のターゲットを狙う攻撃のこと。プレス発表「標的型攻撃メールによるサイバー攻撃に関する注意喚起」も参照。System、共通脆弱性評価システム。現在、主流に使われているインターネット通信の仕様。IPで通信を行うには、通信を行う機器にIPアドレス(識別用の番号)を割り当てる必要がある。IPv4は2の32乗(約43億)個のIPアドレスが割当て可能であるが、その在庫は2011年2月に枯渇した。IPv4の後継の仕様。IPv6は2の128乗個のIPアドレスが割当て可能であり、IPアドレスの枯渇を事実上考慮しなくてよい。Enumeration。概要は次を参照ください。http://www.ipa.go.jp/security/vuln/CWE.html(*13)http://www.ipa.go.jp/security/awareness/vendor/programmingv2/index.html(*14)脆弱性体験学習ツール「AppGoat」。5010005007126)。