4.1脆弱性管理

システムを守る第一歩は、「どこに弱いところがあるか」を知ることです。攻撃者に先に見つけられる前に、自分たちで穴を洗い出して塞ぐ——この継続的な取り組みが脆弱性管理です。この節では、弱点を見つけ（特定）・整理して優先順位を付け（管理）・パッチや設定変更で塞ぐ（緩和）という一連の流れと、調べ方の違いである能動的偵察と受動的偵察、そして代表的な調査手段であるポートスキャンと、繰り返し作業を効率化する自動化を、暗記ではなく「どの穴を、どう塞ぐか」を組み立てる視点で学びます。

4.1.1脆弱性管理のサイクル

• 特定（identify）＝資産にどんな弱点があるかを洗い出す段階。脆弱性スキャナ、ポートスキャン、資産インベントリの突き合わせなどで「何が」「どのバージョンで」動いているかを把握する。見えていない資産は守れないため、まず可視化が要になる。
• 管理（manage）＝見つかった脆弱性を記録・分類し、深刻度や資産の重要度で優先順位を付ける段階。すべてを同時には直せないため、影響の大きいものから対処する計画を立てる。CVSS などのスコアが優先順位付けの手がかりになる。
• 緩和（mitigate）＝実際に穴を塞ぐ段階。パッチ適用、設定変更、不要サービスの停止、回避策（ワークアラウンド）の適用などで弱点を減らす。塞いだ後は再スキャンで解消を確認する。脆弱性管理は一度で終わらず、継続的に回すサイクルである点が重要。

4.1.2能動的偵察と受動的偵察・ポートスキャンと自動化

• 能動的偵察（active reconnaissance）＝対象に直接パケットを送って反応から情報を得る調べ方。ポートスキャンやサービスへの問い合わせが典型で、精度は高いが相手のログに痕跡が残り検知されやすい。
• 受動的偵察（passive reconnaissance）＝対象に触れず、公開情報や通信の観測だけから情報を集める調べ方。WHOIS、公開Webページ、検索結果などが対象で、痕跡を残さない一方、得られる情報は限られる。
• ポートスキャン＝どのポートが開いていて何のサービスが動いているかを一覧する能動的な手法（nmap が代表）。自動化＝スキャンや突き合わせといった繰り返し作業をツールやスクリプトに任せ、広い範囲を定期的・網羅的に点検できるようにすること。人手だけでは追いつかない規模を支える。

あなたは新しく担当になったサーバ群の弱点を洗い出すよう指示されたとします。手当たり次第にパッチを当てる前に、まず脆弱性管理のサイクルに沿って考えるのが正しい進め方です。最初の特定では、対象サーバに ポートスキャン（例：nmap で開放ポートを一覧）をかけ、どんなサービスがどのバージョンで動いているかを把握します。この「直接パケットを送って反応を見る」やり方は能動的偵察にあたり、精度は高い反面、相手のログに残るため、本番環境では事前の承認と実施時間の調整が欠かせません。もし承認前にできる下調べをしたいなら、公開情報だけを使う受動的偵察（社外に露出しているサービスの告知やドキュメントを読む等）にとどめます。次の管理では、見つかった脆弱性をただ並べるのではなく、深刻度スコアや「そのサーバが決済に使われているか」といった資産の重要度で優先順位を付けます。最後の緩和でパッチや設定変更を適用し、再スキャンで本当に塞がったかを確認します。ここで大切なのは、脆弱性管理は「一度スキャンして終わり」ではなく、新しい脆弱性が日々公表される以上、特定→管理→緩和を継続的に回し続けるという姿勢です。さらに、対象が数百台に増えれば人手では追いつかないので、スキャンや突き合わせを自動化し、定期的に網羅点検できる仕組みを整えることが現実的な守りになります。

4.1.3この節のまとめ

• 脆弱性管理は 特定→管理→緩和 を継続的に回すサイクル。塞いだ後は再スキャンで確認する
• 能動的偵察は直接パケットを送り検知されやすい、受動的偵察は公開情報の観測で痕跡が残らない
• ポートスキャン（nmap）は能動的手法、自動化は広範囲の定期・網羅点検を支える