脆弱性公開後の影響範囲特定を高速化、Tinesがデータ統合と自動化の手法を公開

要点

• セキュリティ企業のTinesは、新たな脆弱性（CVE）公開時に自社システムへの影響有無を迅速に判断する手法を解説するウェビナーを開催すると発表した。

• 脆弱性スキャナやエンドポイント、クラウドインベントリ、SBOMなど分散したデータを単一ビューに統合し、手作業による調査負荷を削減するアプローチが示される。

• AIによる複雑な情報の推論・ワークフロー構築支援と、人間が承認したワークフローに基づく確定的（再現可能）な自動化の組み合わせが解説される。

• 同社共同創業者のThomas Kinsella氏およびシニアセキュリティエンジニアのAndrew Katz氏が登壇し、実際の露出管理ダッシュボードを紹介する。

• セキュリティ自動化プラットフォームを手掛けるTinesは、新たな脆弱性が公開された際に自社環境が実際に影響を受けているかを迅速に特定するアプローチを解説するウェビナー「Outpacing AI-Era Attacks Starts With Faster Time to Answer」を開催することを明らかにした。本セッションには、同社共同創業者兼CCOのThomas Kinsella氏とシニアセキュリティオペレーションエンジニアのAndrew Katz氏が登壇し、同社セキュリティチームが実践しているデータ統合とワークフローの仕組みを紹介するという。

脆弱性公開から影響把握までのタイムラグという課題

重大な脆弱性（CVE：共通脆弱性識別子）が公表された際、監視ツールなどからのアラート自体は即座に届くものの、「自社の環境が実際にその影響に晒されているのか」を正確に判断するには多くの時間を要するという実態がある。

多くのセキュリティ運用現場において、その判断を下すためには複数のツール間を頻繁に行き来する必要がある。脆弱性スキャナの検知結果をはじめ、エンドポイント管理ツール、クラウド環境のインベントリ情報、SBOM（ソフトウェア部品表：ソフトウェアに含まれる構成要素を一覧化したもの）、ソースコードリポジトリ、アプリケーションデータなどを個別に確認し、状況を判断するための十分なコンテキスト（背景情報）を手作業で集めなければならないためだ。

さらに、AI技術の発展によって脆弱性の発見や調査のスピード自体が加速していることから、脆弱性が公開されてから影響範囲を特定し、実際の対応に着手するまでのタイムラグを縮めることの重要性が一段と高まっていると説明されている。

分散するデータを統合するインタラクティブビュー

Tinesのセキュリティチームは、こうした課題を解決するため、複数の露出データソースを1つのインタラクティブなダッシュボード画面に集約する仕組みを構築したという。

本ウェビナーでは、異なるレイヤーのセキュリティデータをどのように接続し、可視化しているかが解説される予定となっている。具体的には以下のようなデータ連携が挙げられている。

• SBOMデータと脆弱性が存在するパッケージ情報の紐付け
• エンドポイントデータと端末に導入されているアプリケーションやバージョンの紐付け
• クラウドインベントリと影響を受けるクラウドリソースの紐付け
• 脆弱性情報とそれが実際に運用上で影響を及ぼすシステムとの紐付け

この取り組みの狙いは、新しい脆弱性が判明した段階から「自社に影響があるのか、ないのか」という結論に到達するまでのプロセスを短縮することにある。脆弱性が発覚するたびに手作業で証拠を集めて状況を再構築するのではなく、必要な背景情報を自動で収集して露出状況を容易に評価できる、再現可能なワークフローを構築する手順が紹介される。

AIによる分析支援と確定的な自動化の役割分担

セッション内では、AIによる支援機能と「確定的（deterministic）な自動化」をどのように組み合わせるべきかという点についても取り上げられる。

Tinesの手法では、AIは複雑な入力データの整理や論理的な推論、ワークフローの設計を迅速化するための支援ツールとして位置付けられている。一方で、作成されたワークフローを人間がレビューし承認した後の実行フェーズでは、予測可能で確定的（再現可能）な自動化エンジンが処理を担う。これにより、アナリストが毎回手作業を繰り返すことなく、承認済みの安全な手順を安定して反復実行できるようになると説明している。

このアプローチは、脆弱性管理をはじめ、SecOps（セキュリティ運用）、クラウドセキュリティ、AppSec（アプリケーションセキュリティ）を担当する各チームにとって、証拠収集にかかる時間を削減し、迅速な意思決定とアクションへの移行を可能にする実践的な価値をもたらすとしている。

補足

未知の脆弱性が公開された際、どのシステムに危険が潜んでいるかを示すマップが最初から提供されることはないため、既存の各ツール内に分散して存在するデータをいかに素早く繋ぎ合わせられるかが問われている。