脆弱性

🐾 猫で例えると？

写真の茶トラ猫はごろんと横になって完全にリラックスしており、アメショに一番の弱点である「おなか」を無防備にフミフミされています。ITの世界における「脆弱性」もまさにこの「無防備なおなか」のようなものです。普段は強固に見えるシステムでも、プログラムの書き間違いや設定の甘さという「弱点」が残っていると、そこを外部の攻撃者（アメショ？）に容赦なく突かれ、システムを思い通りに操られてしまいます。

💻 IT現場における「脆弱性」とは？

現場では「バルネラビリティ（Vulnerability）」や、単に「セキュリティホール（穴）」とも呼ばれます。OSやアプリケーション、ネットワーク機器など、人間が作るすべてのシステムには多かれ少なかれバグが存在します。その中でも、悪用されるとセキュリティ上の脅威になるものが「脆弱性」として扱われます。

CVEは公開された脆弱性を共通の識別子で参照する仕組みで、すべての弱点に必ず番号があるわけではありません。国内ではJVNやJVN iPedia、IPA、製品ベンダーの情報を参照し、自分の製品・バージョン・設定が影響対象かを調べます。

⚠️ 脆弱性の深刻度と代表的な攻撃手法

脆弱性には様々な種類があります。データベースを不正に操作される「SQLインジェクション」や、悪意のあるスクリプトをユーザーのブラウザで実行させる「クロスサイトスクリプティング（XSS）」などが特に有名です。

CVSS（共通脆弱性評価システム）によるスコアリング

CVSSは脆弱性の技術的な深刻度を評価する共通の方法です。基本スコアだけを業務上のリスクや修正の締切と同一視せず、実際の悪用、外部公開の有無、扱う情報、利用可能な回避策も含めて優先順位を決めます。

// PHPで検索語をHTML本文へ表示する例
// このエスケープはHTML本文用。SQLやJavaScript用ではない
$query = $_GET["q"] ?? "";
if (!is_string($query)) {
    $query = "";
}
$safe = htmlspecialchars($query, ENT_QUOTES | ENT_SUBSTITUTE, "UTF-8");
echo "<h1>" . $safe . "の検索結果</h1>";

このように、外部からの入力データを「安全だろう」と信用しきって適切な無害化（エスケープ処理）を怠ったプログラムは、典型的な脆弱性となります。

🛠️ 「脆弱性」からシステムを守るためのポイント

脆弱性を完全にゼロにすることは不可能ですが、攻撃されるリスクを最小限に抑えるためのポイントは以下の通りです。

• 影響と対策を確認する： ベンダーの情報で対象範囲と修正状況を確認し、更新を計画します。まだ修正がない場合は、機能の無効化や公開範囲の制限など、案内された回避策を検討します。
• 脆弱性診断（セキュリティ診断）を実施する： 新しいWebサービスを公開する前に、専用のツールや専門家によるペネトレーションテスト（侵入テスト）を行い、自システムの弱点をあらかじめ洗い出して塞いでおきます。
• セキュアコーディングを徹底する： 開発の初期段階から、セキュリティを考慮した「セキュアコーディング」のガイドラインに従ってプログラムを設計・実装し、そもそも脆弱性を生み出さない仕組みを作ることが重要です。

茶トラの無防備なお腹のような弱点を見つけたら、「自分が使う製品と設定も影響を受けるか」を確認します。深刻度の数値だけでなく、外部公開の有無や悪用状況を見て更新の優先順位を決めましょう。修正を待つ場合も、ベンダーが案内する回避策を検討できます。

参考資料

• JVN：脆弱性対策情報（別タブで開く）