さて、セキュリティチームは四半期をかけて数百もの脆弱性をパッチで塞いだ。ダッシュボードは安心できる緑色に光り、皆でハイタッチ。すると、経営層からあの決まっていて、魂を削るような質問が飛んでくる。「実際、我々はより安全になったのか？」というやつだ。部屋には、我々が皆知っていて、そして忌み嫌っているあの気まずい沈黙が広がる。なぜなら、正直な答え――ほとんどのリーダーはそれを疑っているだろうが――はおそらく「ノー」だからだ。
これは新しい問題ではない、皆。規模や予算に関係なく、どのセキュリティチームも悩まされる、あの永遠の問いだ。何が起こりうるかについてのデータには溺れているが、我々のユニークなビジネスオペレーションに実際にリスクをもたらすものについてのコンテキストには飢えている。そこで登場するのが、この「エクスポージャー管理」という騒ぎだ。その考えは崇高だ：チケットをクローズすることと、実際にリスクを低減することの間の、開いたる溝を埋めること。市場は予想通り、プラットフォームの津波で応じた。それぞれが月をも約束している。しかし、いつものように、本当の問題は彼らが何を主張しているかではなく、何を実際に提供しているかだ。そしてもっと重要なのは、この騒ぎの代金を誰が懐に入れているのか？
セキュリティの幻想：なぜパッチ数は嘘をつくのか
私は20年間、シリコンバレーが、しばしば存在しない問題、あるいは部分的にしか理解していない問題に対するソリューションを生み出し続けるのを見てきた。このエクスポージャー管理の推進も、不気味なほど馴染み深い。この新しいガジェットを買うだけで、リスクが魔法のように縮小すると言われている。だが、これらのプラットフォームは、その本質において一体何なのだろうか？元の記事はそれらを4つのタイプに分類しているが、率直に言って、ほとんどが同じ古い限界をパッケージ化する別の方法に過ぎない。
まず、継ぎ合わせたポートフォリオプラットフォームがある。それをサイバーセキュリティのフランケンシュタインの怪物だと思ってほしい。大手ベンダーが、脆弱性スキャナーやらクラウドセキュリティのガジェットやら、小規模で専門的なツールをいくつか丸ごと買収し、自社のロゴを貼り付ける。統合されているかのように見せかけることはできるだろう。統一されたコンソールやら、そういうお洒落なものも。しかし、裏側では、各コンポーネントは依然として独自のサイロで動作している。彼らは異なる言語を話し、異なるデータモデルを使用し、互いの存在をほとんど認識していない。だから、確かに多くの発見事項は得られるだろうが、それらを相関させる？攻撃者が悪用しうる脆弱性の連鎖を理解する？頑張ってくれ。
次に、データ集約プラットフォームがある。これらはセキュリティ界のデジタル図書館員だ。既存のツールが出力するすべてのデータを吸い込み、何らかの順序に並べようと試み、それをきれいに提示する。問題は？彼らは与えられたものしか処理できない。既存のスキャナーが、断片化され、コンテキストを欠いたノイズを生成しているなら、まあ、その同じ断片化されたノイズの、より見栄えの良いバージョンが得られるだけだ。魔法のような相関もなく、より深い洞察もない。大量の生食材を手に入れても、シェフがいないようなものだ。
次は、単一ドメイン特化型プラットフォームだ。これらの連中は、一つのことを本当にうまくやる。クラウドの設定ミスには精通しているかもしれないし、外部の攻撃対象領域にレーザーのような焦点を当てているかもしれない。彼らは深く掘り下げることができ、その狭いニッチでは確かな情報が得られるだろう。問題は？実際の攻撃者は単一のドメインに固執しない。彼らは設定ミスのあるS3バケットから、内部サーバーで見つかった盗まれた認証情報、あるいは古いハードウェアの忘れられたCVEへと飛び移る。あなたのプラットフォームがパズルの1ピースしか見なければ、あなたはより大きく、より恐ろしい絵を見逃していることになる。
そして最後に、いわゆる統合プラットフォームだ。これらは、物事がどのように接続されているかを実際に理解するために、ゼロから構築されたものだ。それらは、認証情報、設定ミス、悪用可能な脆弱性、アイデンティティの問題――これら異なる種類のエクスポージャーを、すべて単一のエンジン内で発見し、相関させるように設計されている。ここでの夢は、あなたの環境のデジタルツインを構築し、攻撃者がオンプレミスサーバー、クラウドインスタンス、そしてその間のすべてを横断して、どのように実際にA地点からB地点へ移動できるかをマッピングすることだ。
誇大広告と助けを分ける5つの質問
いいか、アーキテクチャは重要だ。それは、あなたが実際に何を見れるか、何を信頼できるか、そして直面する脅威に対して何ができるかを決定する。だから、これらのピカピカの新しいプラットフォームを評価しているときは、セールスピッチにただ頷いてはいけない。厳しい質問を始めるんだ。
1. それは実際に何を見ることができ、どれほど深く理解しているのか？
これは基礎だ。攻撃者はCVEを悪用するだけではない――それらは絵の約4分の1に過ぎない。残りは？盗まれた認証情報、ずさんな設定、権限が「全員に鍵を与える」になっていること、そしてアイデンティティに関する一般的な混乱を考えてみてくれ。継ぎ合わせたプラットフォームは、買収した部品の最低公倍数によって制限される。集約者は、吸い込むデータフィードの囚人だ。単一ドメイン特化型は、まあ、特化型だ。真に統合されたプラットフォームは、広範囲のエクスポージャータイプをネイティブに発見し、AIワークロードや誰も話さない厄介なマシンアイデンティティのような新しいものにも対応し続けるべきだ。
しかし、何かを見ているだけでは十分ではない。プラットフォームはそのことについて何を知っているのか？他のツールからデータを吸い上げるだけのプラットフォームは、それらのツールが収集するのに気を使ったどんな表層的な詳細にでも囚われる。ネイティブディスカバラーは優位性を持っている：彼らは、それがどれほど容易に悪用されうるかから、それを修正するにはどうすればよいかまで、各エクスポージャーに関するインテルの深さを制御している。あなたのプラットフォームが特定のエクスポージャータイプを見逃すなら、それは盲点だ。もしそれらを見ても表面的な情報しか提供しないなら、あなたはただノイズの中をさまよっているだけだ。
2. 私の環境全体にわたる攻撃パスをマッピングできるか？
一部の継ぎ合わせたプラットフォームは「攻撃パス」を示すだろうが、これらはしばしばネットワークポイント間に引かれた理論上の線に過ぎない。それらは実際の攻撃者の行動をモデル化していない。集約者は？彼らはパスを全く示さない；単に無関係な問題のリストが得られるだけだ。真のテストは、プラットフォームが異なる環境の境界を越えるパスを追跡できるかどうかだ。侵害されたオンプレミスマシンからクラウド認証情報を取得した攻撃者は、攻撃の起点がクラウドの監視の目から外れていたため、あなたの派手なクラウド防御をすべて迂回できる。単独では低優先度に見える脆弱性も、リモートワークフォースのアクセストークンへのアクセスを許可するなら、重要な踏み台になりうる。
「真のテストは、プラットフォームが環境境界を越えるパスを追跡できるかどうかだ。オンプレミスでクラウド認証情報を取得した攻撃者は、攻撃パスがクラウドプラットフォームの可視性の外から始まったため、あらゆるクラウドネイティブ防御を迂回できる。」
ここに、真に統合されたプラットフォームが輝く場所がある。それらは、個々の脅威の掲示板ではなく、リスクの接続されたマップを構築している。それらは、外部Webアプリの弱点が、クラウドに保存されている機密性の高い顧客データへの侵害につながる可能性をどのように示せるか、あるいはデータセンターのパッチが当たっていないサーバーが、リモートワークフォースのアクセストークンへのゲートウェイにどのようにしてなるかを正確に示せるべきだ。
3. 私のビジネスインパクトに基づいてリスクを優先順位付けしているか？
これは100万ドルの質問であり、ほとんどのプラットフォームがしくじるものだ。彼らは、CVSSスコアやエクスプロイトの可用性に基づいて、脆弱性が「クリティカル」であるとあなたに伝えるだろう。素晴らしい。しかし、その脆弱性がマーケティングブログをホストするサーバーにあったとしたら？給与を処理するサーバー上の同じCVSSスコアほど、本当に重要だろうか？いや。プラットフォームの真の価値は、あなたの重要な資産、あなたのビジネスプロセスを理解し、ビジネスを維持させるものに直接脅威をマッピングすることから生まれる。これには、深い資産インベントリとコンテキスト化が必要だ。多くのプラットフォームは、単なる一般的なリスクスコアを提供するだけだ。あなたには、あなたの組織固有のリスク許容度とビジネス優先順位に合わせたものが必要だ。
4. 問題点を指摘するだけでなく、どのように修復を処理するのか？
発見は一つ、修正は別だ。良いエクスポージャー管理プラットフォームは、単に問題のリストをあなたの机に投げ込むべきではない。それは、あなたのチームを効果的な修復へと導くべきだ。実行可能な修復ステップを提供しているか？タスクを自動的に作成するために、あなたのチケットシステムと統合できるか？修正を行う人々に、パッチの理由を理解させるためのコンテキストを提供しているか？明確で効率的な解決への道筋を提供せずに脆弱性を単に指摘するだけでは、さらなる仕事を生むだけだ。最高のプラットフォームは、失敗をフラグ立てするだけでなく、修正をオーケストレーションするのを助けるだろう。
5. それは実際に私のチームの効率と効果を向上させるか？
これが究極のリトマス試験紙だ。すべてのセールスピッチと眩いデモの後、このプラットフォームは本当にあなたのセキュリティチームの人生を楽にし、彼らの仕事をよりインパクトのあるものにしているのか？それとも、管理する別のツール、監視する別のダッシュボード、アラート疲労の別の源に過ぎないのか？ワークフローを合理化し、脅威分析における手作業を減らし、明確でコンテキスト化された洞察を提供するプラットフォームは、リスク低減におけるチームの速度と精度を実証的に向上させるべきだ。それが複雑さを増したり、価値を引き出すために大量の手作業を要求したりするなら、それはその中核的な目的を失敗していることになる。
誰が実際にお金を儲けているのか？
率直に言おう。セキュリティ市場は活況を呈しており、すべてのベンダーがエクスポージャー管理のパイを手に入れたがっている。個別のポイントソリューションを販売してきた企業は、あなたが継ぎ目（シーム）に気づかないことを願って、それらを縫い合わせている。他の企業はデータを集約し、既存のカオスの上にきれいなダッシュボードを提供している。そして一部、統合されたものたちは、複雑な問題を本当に解決しようとしている。
現時点で最も儲けているのは、これらのプラットフォームを販売するベンダー、特に既存の技術を再ブランド化できる継ぎ合わせたものや集約されたものだ。彼らは新しいカテゴリを作成し、単純化されたセキュリティの夢を売っている。エンドユーザーにとって、真の勝利は、ノイズを切り抜け、単なる虚栄心指標ではなく、ビジネスリスクに直接結びついた実行可能なインテリジェンスを提供するプラットフォームを特定することから生まれる。
最終的に、目標はより緑色のダッシュボードではない。それは、より回復力のあるビジネスだ。そしてそれには、チケットをクローズする以上のものが必要だ。それは、ピースがどのように組み合わさっているか、そして攻撃者がそれらをどのように悪用できるかを理解することだ。セキュリティの幻想を買っていると捕まらないように。難しい質問をしろ。あなたのビジネスはそれに依存している。
🧬 関連インサイト
- さらに読む： TeamPCPによるセキュリティスキャナーの無慈悲なハイジャック：50万台のマシン、300GBのデータ盗難
- さらに読む： Bitterのハック・フォー・ハイヤー・ブリッツがMENAジャーナリストを襲撃、インドの諜報機関のリーチをエコー
よくある質問
エクスポージャー管理とは何ですか？ エクスポージャー管理とは、データ侵害や業務中断につながる可能性のあるサイバー脅威を特定、優先順位付け、および修復することに焦点を当てたセキュリティ分野である。単純な脆弱性カウントを超えて、技術的な弱点を実際のビジネスリスクに結びつけるコンテキストを提供することを目指している。
脆弱性スキャナーはエクスポージャー管理プラットフォームと同じものですか？ いいえ、脆弱性スキャナーは通常、システム上の既知のセキュリティ弱点（CVEのようなもの）を特定するポイントソリューションです。エクスポージャー管理プラットフォームは、これらの脆弱性を他の種類のエクスポージャー（設定ミスやアイデンティティの問題など）と相関させ、攻撃パスをマッピングし、ビジネスインパクトに基づいて修復の優先順位を付けることで、さらに進むことを目指しています。
統合プラットフォームは継ぎ合わせたプラットフォームとどのように異なりますか？ 統合プラットフォームは、さまざまな種類のエクスポージャーを発見し相関させるために設計された単一システムとしてゼロから構築されています。継ぎ合わせたプラットフォームは、ベンダーが買収した個別のツールのコレクションであり、バンドルされており、元のコンポーネント間の深い相関と統一されたデータモデルが欠けていることがよくあります。
