米国国立標準技術研究所（以下、NIST）が運営する脆弱（ぜいじゃく）性データベース「National Vulnerability Database」（以下、NVD）は、増加の一途をたどるソフトウェアとハードウェアの欠陥に圧倒されている。NISTは、再編成と活動の優先順位を付け直すためデータベースの一時停止を要請した。NISTは、2024年2月中旬にNVDの規模を縮小し（注1）、最も重要な脆弱性や活発に悪用されている脆弱性の分析を優先している。NISTは発表の中で、「ソフトウェアの増加に伴う脆弱性の増加や、省庁間のサポートの変化によって活動に遅れが生じた」と述べている。NVDが抱える問題点とは何か。
NISTは政府内からさらなる支援を求め、公共機関と民間企業によるコンソーシアムを結成して長期的な課題に対処し、スタッフの再配置も踏まえてNVDを改善する方法を検討している。暫定的な対処として、分析を一時的に停止して、緊急性が低いと判断した脆弱性の詳細な分析を実施しない方針だ。 NVDに関する作業と成果には目を見張るものがある。Flashpointの調査によると、2023年、同機関は3万3137件の開示を報告した（注2）。これはNVDが初めてオンライン化された2005年から318％増加したもので、過去最高を記録した。サイバーセキュリティ事業を営むRapid7のケイトリン・コンドン氏（リサーチディレクター）は「実際のところ大半の人は、何年も前からNVDの安定した稼働を当然のことと考えていたのだろう」と述べた。
NISTの適時性や透明性、共通脆弱性評価システム（CVSS）におけるスコア、共通プラットフォーム一覧（CPE）、根本原因の特定などに関して時折論争が起こるものの、NVDは長きにわたって高い権威を備え、広く信頼されている脆弱性の情報源だった。 サイバーセキュリティ事業を営むCensysのエミリー・オースティン氏（セキュリティ領域の主任研究者）は「調査や脆弱性管理の領域で働く人々をはじめとするさまざまな専門家が、NVDに信頼を寄せている。NVDは多くの組織で、管理ツールやプロセスに組み込まれており、その重要性はいくら強調してもし過ぎることはない」と話した。サイバーセキュリティの専門家は、NVDにおける作業の遅延の影響は時間の経過とともに顕在化すると予想している。また、一部の脆弱性がNISTの注目を浴びなくなることで、雪だるま式に影響が拡大するとも予測している。脆弱性情報を網羅的に収集できる情報源はNVDの他にも、Mitre Corp.のCVE.
日本 最新ニュース, 日本 見出し
Similar News:他のニュース ソースから収集した、これに似たニュース記事を読むこともできます。
ソース: topitmedia - 🏆 93. / 51 続きを読む »
ソース: topitmedia - 🏆 93. / 51 続きを読む »
ソース: topitmedia - 🏆 93. / 51 続きを読む »
ソース: topitmedia - 🏆 93. / 51 続きを読む »
ソース: topitmedia - 🏆 93. / 51 続きを読む »
ソース: topitmedia - 🏆 93. / 51 続きを読む »