継続的なアタックサーフェス(攻撃対象領域)の監視により、コンプライアンスに準拠します。詳しくはこちらクラウドネイティブアプリケーションの保護クラウドネイティブアプリケーションの保護クラウドネイティブなアプリケーションの開発スピードを阻害しないセキュリティを提供します。詳しくはこちらハイブリッドクラウド環境を保護ハイブリッドクラウド環境を保護オンプレミスからクラウドへの移行をはじめ、ハイブリッドクラウド環境をシームレスに保護しながら、クラウドの利点を実現します。詳しくはこちらボーダーレス環境をセキュアにボーダーレス環境をセキュアにID、エンドポイント、メール、モバイル、Webを保護し、ユーザが使用するツールから生じるリスクを軽減します。詳しくはこちらネットワークの死角をなくすネットワークの死角をなくすクラウドからデータセンタ、工場フロアまで、ネットワーク全体を保護します。脅威の把握と対処を加速し、SOCおよびITセキュリティチームの負担を軽減します。積極的なリスク軽減対策とマネージドセキュリティサービスで効果を最大化します。しくはこちらCISOCISO市場をリードするXDR、動的なアタックサーフェスリスクマネジメント、セキュリティソリューションにより、現在および未来のニーズを満たします。防ぎ、サイバー攻撃を阻止します。詳しくはこちらITインフラ責任者ITインフラ責任者セキュリティを進化することで、より少ないリソースでより多くの保護を実現し、脅威を迅速かつ効果的に軽減します。詳しくはこちらクラウド構築者・開発者クラウド構築者・開発者セキュリティを強化しながら、革新的なアプリケーションをオンタイムで提供できます。詳しくはこちらクラウド運用者クラウド運用者クラウドネイティブアプリケーション向けのセキュリティを提供することで、マルチクラウドの複雑さを解決し、コンプライアンス順守を支援します。しくはこちらヘルスケアヘルスケアICT化や電子カルテの普及が進む中、閉じた環境での緩やかな境界防御ではなく、場面に応じたリスクマネジメントを実践していく必要があります。企業経営情報などの保護に充分な対策がとられた行政業務と住民サービスが求められています。現場におけるPCやインターネットの活用はさらなる普及が見込まれます。職員や生徒に安心安全な環境を提供しましょう。先端技術情報など機微情報も保護する必要があります。ニューノーマル時代のICT環境セキュリティについてご紹介いたします。IoT化が進むにつれてセキュリティリスクも高まっています。安全性や製品品質が重視される工場におけるセキュリティについてご紹介いたします。詳しくはこちら流通・小売り流通・小売り事業戦略にセキュリティ対策を組込むことが、消費者との信頼関係構築を行う上で重要です。金融Fintechをはじめとしたサービス領域の拡大とともに、適切な情報管理と安定したサービス提供がより重要性を増しています。自動車へのセキュリティ対策が求められています。車両からモバイルネットワーク、バックエンドに至る自動車のエコシステム全体を保護することが重要です。詳しくはこちら5G5G企業で5Gを活用した新たなネットワーク導入が進んでいます。5G/ローカル5Gシステムを保護するエンドツーエンドのサイバーセキュリティをご紹介します。PartnerMarketplaceを活用したビジネス展開のためのパートナープログラムをご紹介します詳しくはこちらアライアンスパートナーアライアンスパートナーの概要トレンドマイクロは各社とのアライアンスに基づき、お客さまがパフォーマンスと価値を最適化できるよう最善の支援を提供します。認定流通パートナーこれからトレンドマイクロ製品を取り扱うパートナー必見。ソフトウェア由来のセキュリティ・リスクへの対処法とは今日、企業のサプライチェーンを取り巻く事象の不確実性が増し、製品/サービスの安定供給を脅かすあらゆるリスクが高まりつつあります。企業の経営幹部は、このリスクへの対応を急がなければなりません。「ゼロデイ」の危うさを知り、備える「ゼロデイ」事例から見る脆弱性対応の重要性ソフトウェア由来のセキュリティ・リスクとはサプライチェーンという事業の根幹を支える製品/サービス供給の連鎖には、数々のリスクが内在していますが、そのうちの1つがソフトウェア由来のセキュリティ・リスクです。今日では、企業が市場に投入する商品の中にソフトウェアが組み込まれていることが多いほか、企業のサプライチェーンの全域でソフトウェアが活用されており、ソフトウェアがもう1つのサプライチェーンを形成していると言っても過言ではなく、そのセキュリティ侵害によって企業が多大な痛手を被るリスクは高まっています。したソフトウェア由来のセキュリティ・リスクの中で、近年、特に深刻度を増しているのがソフトウェアの脆弱性を突くサイバー攻撃です。ここ数年来、ランサムウェアに代表されるような破壊的なマルウェアが、ソフトウェアの脆弱性を悪用した標的型攻撃に使用され、企業のサプライチェーンを機能停止に追い込むケースが増えています。脆弱性マネジメントの強化は、サプライチェーンを形成するあらゆる企業にとって喫緊の経営課題です。カギを握るOODAループの確立もっとも、脆弱性のマネジメントは簡単なことではありません。ソフトウェアの脆弱性は短いスパンで数多く発見されており、そのすべてに対応・対処しようとした場合、かなりの労力と技術的な投資が必要とされる可能性が高いからです。発見されるあらゆる脆弱性が自社のサプライチェーンに負の影響を与えるとは限らず、戦略性をもった対応が必要とされます。したことから、脆弱性など、ソフトウェア由来のセキュリティ・リスクに対応、対処するうえでは、「OODAループ」(図1)を確立することが重要です。図1:ソフトウェア由来のセキュリティ・リスクを低減させるOODAループOODAループとは、外部から収集した脅威情報を「Observe(把握)」して「Orient(情勢判断)」し、「Decide(意思決定)」を下して「Act(行動)」するループを指しています。これら一連の作業を速やかに回していくことは、攻撃手法を絶えず変化させてくるサイバー攻撃に対抗していくうえで不可欠な取り組みであり、それが脅威インテリジェンスの社内形成にもつながっていきます。脅威インテリジェンスを内部に持つことは、セキュリティ戦略や施策の優先順位を適正化するうえで有用であり、それによってバランスのとれたセキュリティ投資が可能になります。その意味で、OODAループにおける“Orient(情勢判断)”の能力を高めることが特に大切です。ここで言う“情勢判断の能力”とは、数ある脅威情報を相関分析して自社への影響度を速やかに見定め、のちの的確な意思決定やアクションにつなげる能力を指しています。脆弱性を突く攻撃が高度化し、悪質化している今日では、社内でどのようなソフトウェアが活用されているかをしっかりと把握したうえで、外部からの脆弱性情報をスピーディに分析し、自社への影響度合いを正確に判断できるようでなければなりません。それができるか否かは脆弱性にしっかり対応できるかどうかのカギとなります。「ゼロデイ」の危うさを知り、備える今日発見される脆弱性の多くは、製品開発の当事者ですら気づけないようなソフトウェア構造上の盲点であり、非常に高いハッキングのスキルがなければ気づけないようなバグです。サイバー犯罪者の誰かが、脆弱性の存在に最初に気づいてしまうと、きわめて危険な状態になることは言うまでもありません。ダークウェブを介してその情報が一気に犯罪者の間で広まり、当該の脆弱性を突くゼロデイ型のエクスプロイト攻撃(ゼロデイ攻撃)が多発するリスクが高まります。一般のユーザ企業が、この攻撃を未然に防ぐことはまず不可能です。ゆえに大切なことは、起こりうる事態を想定した備えに万全を期すことであり、そのための一手が、ゼロデイ攻撃に対抗する「仮想パッチ」(=ルールに基づいて脆弱性を突く攻撃パケットを検知・ブロックする仕組み)を導入することと言えるでしょう。製品開発ベンダは攻撃者よりも早期にソフトウェアの脆弱性を発見することが重要となります。Serverに内在する深刻な脆弱性「ProxyShell(*1)」を事例として見てみます。当社トレンドマイクロが2021年3月に開催したホワイトハッカーによるハッキングコンテスト「Pwn2Own」において、本脆弱性が初めて発見され、当社では分析後の同年4月7日にマイクロソフトに報告、それを受けマイクロソフトはただちにパッチの開発に着手し、7月14日に正式パッチがリリースされました。脆弱性の報告から正式パッチの開発までの97日間のいわゆる「ゼロデイ」期間が発生しています。それから15日後に、当該の脆弱性に対する最初のエクスプロイト攻撃が認められています。同様の攻撃の検出数は引き続き増大しています。(図2)そのため、パッチがリリースされてから企業がパッチを適用するまでの、いわゆる「Nデイ」期間に企業はどう動くかも重要になってきます。ServerのProxyShell脆弱性のライフサイクルこのProxyShell脆弱性の事例は、脆弱性の発見から数カ月間にわたってパッチがリリースされない事態が起こりえること、また、パッチのリリース後に必要な適用を怠っているとエクスプロイト攻撃によって実害を被る可能性があることを示唆しています。このような状況の中で企業のCISO、あるいは経営者層に問われているのは、しっかりとした脆弱性対策をセキュリティ運用の中に組み込めるかどうかです。Initiative:ゼロデイイニシアティブ)」の運営を通じてサポートし続けています。Network」で収集した脅威情報などを活用し、ソフトウェアのバグハンティングや脆弱性ハンティング、バッチ分析などを世界規模で展開しています。当社ではこれからも、企業の負担を少しでも軽減すべく、攻撃者より1日でも早く脆弱性を発見できるよう努力を続けています。ServerのProxyShellに内在する3つの脆弱性を指す。これらの脆弱性が悪用されると、SYSTEM権限で任意のコードが実行できる可能性がある。2021」に協賛したトレンドマイクロの講演に基づくものです。同講演の演題は「グローバルサプライチェーンを脅かすソフトウェア由来のセキュリティ・リスクへの対処法とは」。智と、脆弱性リサーチ・シニアディレクターのブライアン・ゴーレンクの2名が務めました。reservedsXpIBdPeKzI9PC2p0SWMpUSM2NSxWzPyXTMLlbXmYa0R20xk。