よく見られるセキュリティ構成ミスは？ - 米当局がランキング

米当局は、大規模組織でよく見られるセキュリティ上のネットワーク構成ミスのランキングを取りまとめた。ネットワーク防護を行う組織や、ソフトウェア会社に対策を講じるよう強く訴えている。

米国家安全保障局（NSA）とサイバーセキュリティインフラストラクチャセキュリティ庁（CISA）が共同でアドバイザリをリリースし、注意を呼びかけたもの。

両組織における脆弱性の探索やインシデント対応といった活動を通じて、レッドチームおよびブルーチームによる評価のもと、一般的に見られるネットワークの構成ミスについて上位10件をピックアップした。

これら構成ミスについては、成熟したサイバー衛生体制を持つ企業を含め、多くの大規模組織における傾向を示していると指摘。ネットワーク防護における負担を減らすためにも、ソフトウェアメーカーが「セキュリティバイデザイン」の原則を実装する重要性を訴えた。

あわせて構成ミスに対する緩和策を示しており、攻撃者によって悪用されるリスクを低減するため、対策を講じるよう求めている。今回発表されたランキングは以下のとおり。

1位：デフォルト構成でソフトウェアやアプリケーションを利用する
2位：ユーザー権限と管理者権限の不適切な分離
3位：不十分な内部ネットワークの監視
4位：ネットワークセグメンテーションの欠如
5位：粗末なパッチ管理
6位：システムアクセス制御のバイパス
7位：脆弱あるいは構成ミスによる多要素認証（MFA）の利用
8位：ネットワーク共有、サービスに対する不十分なアクセス制御リスト
9位：貧弱な認証情報の衛生管理
10位：無制限のコード実行

（Security NEXT - 2023/10/06 ）ツイート

よく見られるセキュリティ構成ミスは？ - 米当局がランキング

関連リンク

PR

関連記事