エンドポイントの脆弱性を調査する｜攻撃経路となる弱点の発見

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

OSやアプリケーションを定期的に更新していても、未修正の脆弱性や設定不備が残ることがある。手動で導入したソフトウェア、不要なサービス、過去に変更したセキュリティ設定なども確認が必要な対象である。

脆弱性の調査は、こうした問題を検出し、攻撃者に悪用される前に対処するための手段となる。

SOHOや小規模組織では、無償または小規模環境向けの診断ツールを利用するだけでも、通常のアップデート管理では把握しにくい問題を発見できるため、定期的に実施する価値がある。

脆弱性調査の対象と診断方法

エンドポイントの脆弱性調査では、Windows、macOS、Linuxなどを搭載したPCや小規模サーバーを対象に、既知の脆弱性やセキュリティ上の設定不備を確認する。

主な診断方法は次のとおり。

診断方法	主な確認対象
ネットワーク経由のスキャン	開放ポート、稼働サービス、ネットワーク経由で確認できる脆弱性
認証付きスキャン	OSやインストール済みソフトウェア、端末内部の設定
端末上での診断	ソフトウェアの更新状況、OSのセキュリティ設定など

ネットワーク経由のスキャンは、対象端末にソフトウェアを導入せずに実施できる一方、内部の状態までは十分に把握できない。

インストール済みソフトウェアや設定不備を詳しく調べるには、認証付きスキャンや端末上で動作する診断ツールの利用が適している。

脆弱性の調査には、端末内部の状態を確認する方法と、ネットワーク経由で調査する方法がある。

代表的なツールと診断手段は次のとおり。

ツール・診断手段	主な対象	特徴
Microsoft Defender Vulnerability Management	Windowsなど	ソフトウェアの脆弱性やセキュリティ上の問題を把握
Lynis	Linux・macOSなど	OSの設定やセキュリティ状態を監査
Greenbone Community Edition	ネットワーク上の端末	OpenVAS Scannerを使用するオープンソースの診断環境
Tenable Nessus	ネットワーク上の端末	既知の脆弱性を検出し、認証付き診断にも対応

Microsoft Defender Vulnerability Managementは、Windowsに標準搭載されている無償機能とは異なり、利用には対応するライセンスが必要となる。

また、GreenboneやNessusは本格的な脆弱性診断に対応する一方、導入や診断結果の判定には一定の知識が必要である。

小規模環境では、OSに備わる更新状況の確認機能やセキュリティ設定の点検から始め、必要に応じて専用の診断ツールを導入する方法も現実的である。ただし、更新状況の確認やマルウェアスキャンだけでは、脆弱性の網羅的な調査にはならない。

無償利用の範囲や対応OS、利用できる機能は製品・ライセンスによって異なるため、導入前に公式情報を確認しておく。

ネットワーク経由の詳細なスキャンでは、多数の通信や接続試行によって端末の性能や稼働中のサービスに影響する場合がある。特に業務用端末や常時稼働するサーバーでは、利用への影響が小さい時間帯での実施が望ましい。

また、診断ツールが使用する脆弱性情報も定期的な更新が必要である。古い情報のままでは、新たに公表された脆弱性を検出できないおそれがある。

調査対象は自身が管理する端末、または診断の許可を得た端末に限定する。

診断結果には、検出された脆弱性や設定不備、その深刻度、推奨される対策などが表示される。

多くの脆弱性診断ツールでは、CVSSなどの評価指標を利用して脆弱性の深刻度を示している。ただし、スコアだけで対応順序を決めるのではなく、実際の悪用状況や端末の利用環境も考慮する必要がある。

特に、外部からアクセスできるサービスに重大な脆弱性が見つかった場合や、悪用が確認されている脆弱性については、ソフトウェアの更新、不要なサービスの停止、設定の変更、アクセス制限など優先的に対応する。

なお、診断結果には誤検知が含まれることもあるため、必要に応じて製品の公式情報と照合しておく。

脆弱性の調査は、一度実施すれば完了するものではない。ソフトウェアの追加や設定変更、新たな脆弱性の発見によって、端末のリスクは変化するため、継続的な調査をルール化しておく。

小規模環境では、月次などの定期診断に加え、大きな構成変更を行った後にも確認する運用が考えられる。

検出された問題に対処した後は、再スキャンなどによって修正結果を確認する。解消できない項目については、理由と暫定対策を記録しておく。