世界連携でゼロデイ・アタックを防ぐJPCERT/CC
2004/3/11
JPCERTコーディネーションセンター（JPCERT/CC）は米CERT/CCとの関係を強化し、日米でソフト、ハードの脆弱性情報を交換、関係するベンダとの調整を行いやすくする体制を構築する、と3月9日に発表した。対策が確立しないままに脆弱性に関する情報が公開され、攻撃ツールが短期間で開発、配布されるゼロデイ・アタックを効果的に防ぐのが目的。CERT/CCの脆弱性情報ハンドリングチーム マネージャ ショーン・ハナン（Shawn Hernan）氏は「問題がない完全な製品であるとユーザーに主張するより、脆弱性情報を正しいプロセスで公開し、対策情報を的確にする方が有益。CERT/CCとJPCERT/CCは、脆弱性情報の調整を通してベンダにとって最適な脆弱性情報の公開をサポートしていく」と説明した。
 |
| CERT/CCの脆弱性情報ハンドリングチーム マネージャ ショーン・ハナン氏 |
JPCERT/CCはこれまで、ソフトやハードの仕様、OS、プロトコルなどに関するセキュリティホール、脆弱性の情報を受け付け、関係するベンダ間の調整を行っていた。2002年にはSNMP、2003年にはS/MINEに関する脆弱性が発見され、JPCERT/CCなどがベンダ間の調整を行った。多くのソフトやハードに使われているプロトコルや業界標準の仕様に関する脆弱性が、1つのベンダで一方的に発表されると、ほかのベンダが対策を採る前に攻撃ツールが開発され、ユーザーが被害を受ける危険がある。そのためJPCERT/CCが脆弱性に関する情報を一元管理し、ベンダ間で対策の検討、脆弱性情報の公開などについて調整することで、「攻撃ツールなどが開発されるまでの時間を稼ぐ」（JPCERT/CC 技術統括 水越一郎氏）のが目的。
CERT/CCも脆弱性情報に関するベンダ間の調整を行っていたが、JPCERT/CCとの連携は弱かった。CERT/CCとJPCERT/CCの間で情報に関するタイムラグがあり、CERT/CCが持つ脆弱性情報がスムーズにJPCERT/CCに伝わらなかったり、逆に日本国内のベンダが発見した脆弱性情報がCERT/CCに伝わるまで時間がかかっていた。また、JPCERT/CCが関係するベンダに脆弱性情報を知らせて、情報公開の調整を行おうとしても、脆弱性を含む製品を扱っている海外ベンダが把握できない、などの問題があった。
JPCERT/CCはCERT/CCとの連携を強化することで、脆弱性情報をCERT/CCと同期できると期待している。日本のベンダはJPCERT/CCに問い合わせるだけでタイムラグなしにCERT/CCが持つ脆弱性情報の提供を受けることができるようになる。逆に欧米のベンダはCERT/CCにアクセスすれば、日本のベンダに関係する脆弱性情報を入手できる。JPCERT/CC、CERT/CCが行う脆弱性情報の調整作業も国や言語、時差などを気にすることなく行えるというメリットがある。JPCERT/CCは英国の政府機関NISCC（UNIRAS）との関係も今後強化する方針だ。
脆弱性情報を迅速に収集し、情報を調整するにはベンダの協力が不可欠。水越氏は「ベンダとの顔の見える信頼関係作りが重要」としていて、今後国内で300〜500社を目標にベンダとコンタクトを取るという。JPCERT/CCは脆弱性情報を知らせて、情報公開の調整などを行うベンダ向けの登録フォームをWebサイト上に用意し、参加を呼びかけている。
（編集局 垣内郁栄）
[関連記事]
反省が生んだMSの新セキュリティ戦略「多層的防御」とは
（＠ITNews）
トレンドマイクロが新ウイルス対策、統合管理でコスト削減狙う
（＠ITNews）
巨額の損害賠償請求に有効、フォレンジクスとは
（＠ITNews）
セキュリティ10大ニュースで2003年を振り返る
（＠ITNews）
「インターネットのアメダスを作る」、新JPCERT
（＠ITNews）
情報をお寄せください：
最新記事
 |
|
|
|
|
