SSVC DeepDive - Speaker Deck

Slide 1

Slide 1 text

Slide 5

Slide 5 text

Copyright © 2024 by Future Corporation   - 5 -   vuls.biz  Xでのジョーシスな誰かのつぶやき（抜粋）     セキュリティ脆弱性に対するサイバー犯罪については、もう心情的に白旗を上げてしまってます。   技術的には対策が打てたとしても、運用が追いつかない…     一部上場企業グループの情報システム部とかになると、大きなシステムが数十以上、サーバー(VM)も数百以上、基幹ネットワーク機器も3桁以上、余裕であるわけですよ。     そして、あらゆる方面から「緊急」「重大」とかラベル付いてるクリティカルな脆弱性情報が飛んでくるわけですよ。金曜日の夕方にそんな情報が展開されても「は？」なんですよ。緊急でパッチ当てろとか言われても無理なんですよ。土日だってシステム動いてるから気軽に止められないんですよ。     そもそも、どの機器が対象かを洗い出すのに骨が折れるし、サービス停止や再起動が必要なのかどうか分からんのですよパッチのせいでシステムが動かなくなるなんてことも余裕であるんですよ。なので、どこまでテストやる？とか悩ましいんですよ    金曜日の午後に、重大なセキュリティ脆弱性の報告受けて、そこから管理職集めて対策会議とかも厳しいんですよ。そりゃ、ゴジラが攻めてくるみたいな時は対策会議やるんだけどさ。そういうレベルではない頻度で、Micorosoftがカジュアル重大なセキュリティ脆弱性のアナウンスしてくるんよ。     管理する資産が多すぎる   「緊急」「重大」という脆弱性が多すぎる   影響調査・対応が大変すぎる。気軽にパッチ当てられない   本当に「緊急・重大」なのかのリスク判断が難しすぎる  

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text