 |
 |
|
|
| 最新ニュース |
|
|
|
|
|
|
||||||||||
|
||||||||||
|
||||||||||
|
アプリケーション対象の攻撃が増加、SANS2005年脆弱性ランキング |
||||||||||
|
||||||||||
|
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
米国に本部を置くセキュリティ教育機関、SANS Instituteは11月22日（英国時間）、2005年の脆弱性トップ20を発表した。OSを対象とした従来型の攻撃に加え、アプリケーションを狙ったものが増えているという。セキュリティ専門家、CIOなどに注意を呼びかけている。 トップ20は、頻繁に悪用される脆弱性が存在するソフトウェアと機能をリストアップした年次報告書で、SANS、米US-CERT、英国の政府組織NISCOなどの政府機関とセキュリティ企業とが共同で作成している。今年で5回目。「Windowsシステム」「UNIXシステム」に加え、「ネットワーキング製品」「クロスプラットフォーム・アプリケーション」のカテゴリーを新設した。 今年のトップ20は、「Windowsシステム」では、Windowsサービス、Internet Explorer、Windowsライブラリ、Microsoft OfficeとOutlook Expressなど。「クロスプラットフォーム・アプリケーション」では、バックアップソフト、ウイルス対策ソフト、PHPベース・アプリケーション、データベースソフトなど。「UNIXシステム」はUNIX設定とMac OS X。「ネットワーキング製品」はCisco ISO製品などだった。 SANSでは今年の傾向として、WindowsやUNIXなどのOSに加えて、OSの上で動くアプリケーションを狙う攻撃が増加したこと、ルーターやスイッチなどのインフラとなるネットワーク製品を狙った攻撃が増えていることを挙げている。 また、従来の攻撃者は有名になりたい若者が中心だったのに対し、組織化されたプロが増えていると指摘している。たとえば、今年6月にNISCOが確認した攻撃では、英国の政府・企業をターゲットとした攻撃が特定の時間に集中し、機密情報入手を目的としていることが明白だったという。 脆弱性は、1）影響する潜在ユーザー数、2）その脆弱性に対するパッチがあてられていないシステムの数、3）遠隔から許可されていないユーザーがアクセス可能か、4）攻撃に必要な情報が公開されているか―の4点から評価した。 ■ ＵＲＬ 米SANS Institute http://www.sans.org/ 脆弱性トップ20（英文） http://www.sans.org/top20/
（ Infostand ）
|
