エンドポイント脆弱性管理：パッチ・設定監査・CIS 準拠

エンドポイントは攻撃者が最初に足がかりを求める場所だ。OS・アプリの未修正欠陥と設定ミスは、ランサムウェアや標的型攻撃の入口となる。脆弱性管理（tech-118）が扱う「脅威・脆弱性・リスク」の概念を実装に落とし込み、パッチ適用・設定監査・CIS 準拠評価を継続的に回すのがエンドポイント脆弱性管理の役割だ。情報カットオフ ~2025-08、confidence: medium 固定（2026-05 時点での外部再検証は未実施）。

エンドポイント脆弱性管理の概要

脆弱性管理は 発見 → 評価 → 優先度付け → 修正 → 確認 のサイクルを継続的に回す運用プロセスだ。エンドポイントに限定すると、主な修正手段は「パッチ適用」と「設定変更（ハードニング）」の二軸になる。

放置された脆弱性は時間とともに悪用リスクが上昇する。CISA（米国サイバーセキュリティ・インフラセキュリティ庁）が管理する KEV（Known Exploited Vulnerabilities）カタログ は実際に悪用が確認された脆弱性の一覧で、ここに掲載された脆弱性は最優先で修正すべき指標として業界標準になっている。

パッチ管理：ライフサイクルと展開戦略

パッチ管理 は脆弱性修正の主要手段で、OS ベンダー・アプリベンダーが提供するアップデートを組織内端末へ確実かつ迅速に配布するプロセスだ。

パッチ管理ライフサイクル

1. 検出・カタログ: ベンダーがパッチを公開（Microsoft は毎月第 2 火曜日の Patch Tuesday、Apple / Google は随時）。
2. 評価: 影響するコンポーネント・CVE 番号・CVSS スコアを確認し、自組織への影響を判断。
3. テスト: ゴールデンイメージやテスト環境でパッチを適用し、業務アプリとの互換性を確認。
4. 展開（リングデプロイ）: パイロットグループ → 早期展開グループ → 広域展開の段階的ロールアウト。一度に全端末へ展開するリスクを最小化する。
5. 確認: 展開後に適用率を測定し、未適用端末を洗い出して再配布する。
6. 例外処理: 互換性問題などで適用できない端末は補完的コントロール（ネットワーク分離・WAF 等）を検討。

主要な展開ツール

ゼロデイへの対応

ゼロデイ（公開前または公開直後に悪用が確認された脆弱性）は緊急パッチが間に合わないケースがある。対策として、仮想パッチ（Virtual Patching）（IPS / WAF レベルで悪用パターンをブロック）や 攻撃対象領域の縮小（該当機能の一時無効化）が有効だ。

設定監査：構成ドリフトの検出とハードニング

設定監査（Configuration Audit） は端末の設定が「あるべき状態」から乖離していないかを継続的に評価するプロセスだ。

設定ドリフトとは

セキュアな初期設定は時間とともに変化する。ユーザーによる手動変更・アプリインストールによる設定変更・管理者の例外対応などが積み重なると、気づかないうちにセキュリティホールが生まれる。これを 設定ドリフト と呼ぶ。

UEM（tech-130 参照）の設定ドリフト検出機能が有効だが、より詳細な設定レベルの評価には専用の 設定コンプライアンスツール（Qualys VMDR / Rapid7 InsightVM / Tenable.io 等）を使う。

ハードニング

ハードニング（Hardening） は不要なサービス・ポート・機能を無効化し、安全な設定値を強制することで攻撃対象領域を最小化する。具体的な作業例：

• 不要なネットワークサービスを停止（SMBv1 無効化等）
• ゲストアカウント・デフォルトアカウントを無効化
• 自動実行（Autorun）を無効化
• 最小権限の原則を OS 設定レベルで実装

CIS 準拠：Benchmarks と Controls

CIS（Center for Internet Security） は非営利団体で、業界コンセンサスに基づくセキュリティ標準を提供している。

CIS Benchmarks

CIS Benchmarks は OS・ミドルウェア・クラウドサービスごとのセキュア設定ガイドラインだ。Windows 11 / macOS / Linux / iOS / Android など主要プラットフォームをカバーする。各ガイドラインには数百に及ぶ設定項目が含まれ、それぞれに「推奨値」と「その理由」が記載されている。

Level 1（実用性を損なわない最低限のハードニング）と Level 2（高セキュリティ要件向けのより厳格な設定）の二層構造になっており、組織のリスク許容度に応じて選択する。

CIS Benchmarks は自動評価ツール（CIS-CAT Pro、各種 CSPM ツール）と組み合わせて コンプライアンスレポート を定期的に生成できる。

CIS Controls

CIS Controls（v8 が現行）は 18 の優先度付きコントロール群で、エンドポイントに関連する主要なものを以下に示す。

CIS Controls は実装フェーズ（IG1: 基本、IG2: 中級、IG3: 上級）で段階的に適用可能で、中小企業から大企業まで適用できる。

脆弱性スキャンと優先度付け

脆弱性スキャン はエンドポイントにインストールされたソフトウェアのバージョンを収集し、既知の脆弱性データベース（NVD / NIST）と突合して未修正の脆弱性を特定する。

スキャン方式

エージェント型スキャン は端末上にエージェントを常駐させ、リアルタイムに脆弱性情報を収集・報告する。ネットワーク到達性に依存せず、モバイルワーカーの端末にも適用できる。

エージェントレス（ネットワーク）スキャン はネットワーク越しに端末へ接続してスキャンする。定期バッチ実行が基本で、VPN 未接続端末は対象外になることがある。

優先度付けフレームワーク

脆弱性の数が多いため、すべてを同等に扱うことは非現実的だ。優先度付けに使う指標：

• CVSS（Common Vulnerability Scoring System）: 脆弱性の深刻度を 0–10 で評価。ただし「理論的な深刻度」であり、実際の悪用可能性を直接反映しない。
• EPSS（Exploit Prediction Scoring System）: 今後 30 日以内に実際に悪用される確率を機械学習で予測する指標。CVSS と組み合わせることで「深刻かつ悪用されやすい」脆弱性を特定できる。
• KEV（Known Exploited Vulnerabilities）: CISA が管理する「実際に悪用が確認された脆弱性」リスト。ここに掲載された脆弱性は最優先で対処する。

実践的な優先度付けは「KEV に載っているか → EPSS が高いか → CVSS スコアが高いか → 攻撃対象の露出度」の順で評価する。

資産インベントリとの連携

脆弱性管理は 正確な資産インベントリ なしには機能しない。存在を把握していない端末はスキャン対象に入らず、管理外の脆弱端末が組織内に残存する。

UEM（tech-130 参照）の在庫管理と脆弱性スキャンツールのインベントリを突合し、管理外端末（スキャン結果に出てこない端末）を定期的に検出することが重要だ。クラウドサービス（Microsoft Defender for Endpoint / Intune）はこの統合を提供しており、Intune で管理される端末が自動的に Defender for Endpoint のスキャン対象となる。

アンチパターン（AP）：よくある誤りと対策