Cyberpionが、フォーチュン500企業の4分の1が外部ITネットワークに脆弱性を抱えていることを発表

サイバーセキュリティにおける外部攻撃面管理（EASM: external attack surface management）のパイオニアであるCyberpion社は、フォーチュン500社の約4分の3の企業のITインフラストラクチャが組織の外部に存在し、そのうち4分の1の企業が、従業員や顧客の機密データにアクセスするために脅威者が侵入できる既知の脆弱性を持っていることが判明したという調査結果を発表しました。

以下が、調査結果の要旨になります。
フォーチュン500社のITインフラ全体の73％は組織の外部に存在し、そのうち24％はリスクがあると考えられるか、既知の脆弱性を有している
・ITインフラストラクチャ全体には、Fortune 500企業が自社のオンラインフットプリントに組み込んでいるベンダーが所有・運営するIT資産が含まれる
・これらのIT資産には、サーバ、クラウドストレージ、CDN、DNS（ドメインネームサーバ）、メールサーバ、その他のオンライン要素が含まれる

クラウドベースのIT資産全体の71%が組織の外部にあり、そのうち25%が少なくとも1つのセキュリティテストに失敗している
・クラウドの脆弱性の例として、誰でもコンテンツを読み書きできるように設定されたクラウドストレージが挙げられる

Fortune 500にランクインしている企業のインフラには、顧客用または従業員用のポータルやサービスのために、平均126種類のログインページが存在しており、最も多い企業では3,000種類を超えている
・これらのログインページのうち約10％は、暗号化されていないログインデータの送信や、送信内容が正規の宛先に送信されていることを確認するためのSSL証明書の問題などにより、安全ではないとみなされている
・30%がHTTPでの送信を許可している
・12%は証明書や暗号化が無効
・これらのログイン情報を悪用したハッカーは、従業員や顧客の機密データにアクセスする可能性がある

Fortune 500企業は、平均951のクラウド資産に接続していますが、そのうち約5%が深刻な不正使用の対象となっている
・例えば、AWSのバケットの設定を誤ると、ハッカーが顧客の個人情報やアプリケーションコードなどのデータを読み取ったり、上書きしたりすることが可能
・最大の脆弱性は、30,000以上のクラウド資産

Cyberpion社は、2021年前半に、フォーチュン500社のすべての企業のパブリックおよびインターネットに面した資産をシングルパスでざっとスキャンして、これらの結果を収集しました。

Gartner社は、次のように述べています。「EASMは、セキュリティベンダーのコミュニティでは急速に認知度が高まっているが、エンドユーザー組織では遅いペースで成長している新しい概念である。EASMは、セキュリティ担当者が既知および未知の企業資産から露出した脆弱性を特定し、取り組むべき最も重要な問題に優先順位をつけるのに役立つ。EASMは、内部および外部に面した資産とその潜在的な脆弱性を発見し管理することを目的とした、より広範な脆弱性および脅威管理の取り組みの一部であるべきである。」

従来のサードパーティのリスク管理ソリューションは、企業に直接接続されているベンダーやITインフラにのみ焦点を当てていました。このアプローチは、問題の真の規模を無視しており、氷山の一角に過ぎません。サードパーティのベンダーも分散型のITインフラを採用しており、自社のベンダーやサードパーティを利用してアプリケーションやサービスを構築しています。さらにサードパーティは、さらに多くのパートナーを利用してソリューションを構築しています。このような広範なエコシステムは、ハッカーにとっては他に類を見ない魅力的な外部攻撃面を生み出し、企業にとっては安全な管理が極めて複雑になります。ハッカーは、企業のエコシステム内にあるサードパーティの資産の脆弱性を利用して、悪意のあるコードの注入（Magecart型攻撃）、DNSの乗っ取り、企業のブランド資産の悪用などの攻撃を実行することが容易になっています。これらの侵害は、最終的に企業のデータ損失、ブランド評価の低下、顧客データの盗難につながります。

Cyberpion社のCEOであるNethanel Gelertner氏は、次のように述べています。「セキュリティチームは、接続されている資産の全体的なインベントリと量を把握できないため、サードパーティからの攻撃を効果的に防御できないことが多いです。外部の脆弱性にさらされていることに気づかず、これらのリスクを特定して軽減することができません。さらに、クラウド・ファースト・アーキテクチャやデジタル・トランスフォーメーション・イニシアチブの傾向により、これらの相互接続された資産の増加は爆発的に増加し続けており、攻撃対象領域の評価と保護が時間の経過とともにさらに困難になっていることを意味しています。」

Cyberpion社について
Cyberpionは、外部の攻撃面を形成する接続されたオンライン資産のリスクと脆弱性を理解するという、サイバーセキュリティ上の高まる課題を解決します。組織がどのように脆弱なのか、それらの脅威はどこから来るのか、どのようなインフラストラクチャが危険にさらされているのかを知ることは、攻撃を未然に防ぐために重要です。Cyberpionは、従来のセキュリティ境界線の外側に存在するオンラインエコシステム全体に存在する脅威ベクトルを継続的に監視、発見、評価することで、企業がこれらの高度な脅威を軽減できるよう支援します。イスラエルに研究開発チームを置き、サイバーセキュリティ分野の大手ベンチャーキャピタルから資金提供を受けています。