ゼロデイ（ 0デイとも呼ばれる）とは、開発者やその脆弱性を軽減できる者が知らないコンピュータシステムの脆弱性またはセキュリティホールのことである。[ 1 ]脆弱性が修正されるまで、脅威の主体はゼロデイエクスプロイト、つまりゼロデイ攻撃でその脆弱性を悪用することができる。[2] [3]

「ゼロデイ」という用語は、もともと新しいソフトウェアが一般に公開されてから経過した日数を指していました。つまり、「ゼロデイソフトウェア」は、リリース前に開発者のコ​​ンピュータをハッキングすることで入手されたものでした。最終的に、この用語は、こうしたハッキン​​グを可能にする脆弱性と、ベンダーがそれらを修正するために要した日数を指すようになりました。[4] [5] [6]脆弱性を発見したベンダーは、パッチを作成したり、脆弱性を軽減するための回避策を提案したりしますが、ユーザーはシステムから脆弱性を排除するために、その緩和策を適用する必要があります。ゼロデイ攻撃は深刻な脅威です。[7]

意味

開発者は、完全に意図通りに動作する製品を提供することを目標としていますが、事実上すべての製品にはソフトウェアとハ​​ードウェアのバグが含まれています。[8]バグがセキュリティリスクを引き起こす場合、それは脆弱性と呼ばれます。脆弱性は、悪意のある攻撃者によって悪用される可能性が異なります。全く利用できないものもあれば、サービス拒否攻撃によってデバイスを混乱させるために利用できるものもあります。最も悪質な脆弱性は、攻撃者がユーザーに気付かれることなく独自のコードを挿入して実行することを可能にします。 [9]「ゼロデイ」という用語は、当初はベンダーが脆弱性を認識してからの期間を指していましたが、ゼロデイ脆弱性は、パッチやその他の修正プログラムが利用できない脆弱性のサブセットとしても定義できます。[10] [11] [12]ゼロデイエクスプロイトとは、このような脆弱性を悪用するエクスプロイトです。[9]

エクスプロイト

エクスプロイトとは、脆弱性を利用して標的のシステムに侵入し、業務の妨害、マルウェアのインストール、データの窃取などを行う配信メカニズムです。[13]研究者のリリアン・アブロン氏とアンディ・ボガート氏は、「ゼロデイエクスプロイトの真の範囲、用途、利点、そして害についてはほとんど知られていない」と記しています。[14]ゼロデイ脆弱性に基づくエクスプロイトは、既知の脆弱性に基づくエクスプロイトよりも危険であると考えられています。[15] [16]しかし、ほとんどのサイバー攻撃はゼロデイではなく、既知の脆弱性を利用している可能性が高いです。[14]

ゼロデイ脆弱性の主な利用者は政府です。これは、脆弱性を発見したり購入したりするコストが高いだけでなく、攻撃ソフトウェアを作成するコストも高額なためです。しかしながら、脆弱性は誰でも利用でき、[11] RAND Corporationの調査によると、「本格的な攻撃者であれば、ほぼあらゆる標的に対して、手頃な価格のゼロデイ脆弱性をいつでも入手できる」とのことです。[17]多くの標的型攻撃[18]や、ほとんどの高度な持続的脅威は、ゼロデイ脆弱性を利用しています。[19]

2017年には、ゼロデイ脆弱性を利用したエクスプロイトの開発にかかる平均時間は22日と推定されました。[20]一般的なソフトウェアのエクスプロイト対策機能の増加により、エクスプロイトの開発難易度は時間とともに上昇しています。[21]

脆弱性の窓

脆弱性タイムライン

ゼロデイ脆弱性は、多くの場合、「生存」と「デッド」に分類されます。生存とは、脆弱性が公開されていないことを意味します。一方、デッドとは、脆弱性が公開されているものの、修正プログラムが適用されていないことを意味します。ソフトウェアのメンテナーが積極的に脆弱性を探している場合、それは「生存」脆弱性です。一方、メンテナンスされていないソフトウェアに存在するこのような脆弱性は「不滅」脆弱性と呼ばれます。ゾンビ脆弱性は、古いバージョンのソフトウェアでは悪用される可能性がありますが、新しいバージョンでは修正プログラムが適用されています。[22]

公に知られているゾンビ脆弱性であっても、長期間にわたって悪用される可能性があります。[23] [24]セキュリティパッチの開発には数か月かかる場合があり、[25]あるいは開発されないこともあります。[24]パッチはソフトウェアの機能に悪影響を及ぼす可能性があり、 [ 24] ユーザーは機能と互換性を確認するためにパッチをテストする必要がある場合があります。 [26]大規模な組織ではすべての依存関係を特定してパッチを適用できない可能性があり、小規模な企業や個人ユーザーはパッチをインストールしない可能性があります。[24]

研究によると、脆弱性が公開されたり、パッチがリリースされたりすると、サイバー攻撃のリスクが高まることが示唆されています。[27]サイバー犯罪者は、パッチをリバースエンジニアリングして根本的な脆弱性を見つけ出し、エクスプロイトを開発することができます。 [28]多くの場合、ユーザーがパッチをインストールするよりも早く開発されます。[27]

ランド研究所が2017年に発表した調査によると、ゼロデイ脆弱性攻撃は平均6.9年間使用可能であるのに対し[29]、第三者から購入した脆弱性は平均1.4年間しか使用可能ではない。[20]研究者らは、特定のプラットフォームやソフトウェア（オープンソースソフトウェアなど）がゼロデイ脆弱性の寿命と関係があるかどうかを判断できなかった。[30]ランド研究所の研究者らは、秘密に保管されているゼロデイ脆弱性の5.7％が1年以内に誰かに発見されることを発見したが[31] 、別の調査では重複率がさらに高く、年間10.8％から21.9％にも上ることが明らかになった。[32]

対策

定義上、ゼロデイエクスプロイトをブロックできるパッチは存在しないため、脆弱性のあるソフトウェアまたはハードウェアを使用しているすべてのシステムが危険にさらされています。これには、すべてのパッチが最新の状態に保たれている銀行や政府機関などの安全なシステムも含まれます。[33]セキュリティシステムは既知の脆弱性を考慮して設計されており、ゼロデイエクスプロイトの繰り返しによる悪用は、長期間にわたって検出されない可能性があります。[24]ゼロデイエクスプロイトを効果的に検出するシステムについては多くの提案がなされていますが、2023年現在もなお、この分野は活発に研究されています。[34]

多くの組織は多層防御戦術を採用しており、攻撃には複数のレベルのセキュリティを突破する必要がある可能性が高く、達成が困難になっています。[35]トレーニングや多要素認証、最小権限アクセス、エアギャップなどのアクセス制御などの従来のサイバーセキュリティ対策により、ゼロデイ攻撃によるシステムの侵害は困難になっています。[36]完全に安全なソフトウェアを作成することは不可能であるため、一部の研究者は、攻撃のコストを高めることがサイバー攻撃の負担を軽減するための良い戦略であると主張しています。[37]

市場

ゼロデイ脆弱性攻撃は数百万ドルの値がつくことがある。[11]購入者には主に3つのタイプがある。[38]

  • ホワイト：ベンダー、またはベンダーに情報を開示するゼロデイ・イニシアティブなどの第三者に開示されます。多くの場合、このような情報開示はバグ報奨金と引き換えに行われます。[39] [40] [41]情報開示は法的責任や運用上のオーバーヘッドを引き起こす可能性があるため、すべての企業が情報開示に積極的に応じるわけではありません。脆弱性を無料で開示した後、ソフトウェアベンダーから使用停止命令を受け取ることも珍しくありません。 [42]
  • グレイ：最大規模[11]かつ最も収益性の高い市場。政府機関や諜報機関がゼロデイ脆弱性を購入し、攻撃に利用したり、脆弱性を蓄積したり、ベンダーに通知したりする。[38]アメリカ合衆国連邦政府は最大の購入者の一つである。[11] 2013年時点で、ファイブアイズ（米国、英国、カナダ、オーストラリア、ニュージーランド）が市場の過半数を占めており、その他の主要購入者にはロシア、インド、ブラジル、マレーシア、シンガポール、北朝鮮、イランなどが含まれる。中東諸国が最大の購入者となる見込みである。[43]
  • ブラック：組織犯罪。脆弱性に関する知識よりも、エクスプロイトソフトウェアを好む傾向がある。[44]これらのユーザーは、パッチが既に利用可能な「半日」攻撃を利用する可能性が高い。[45]

2015年には、政府と犯罪の市場規模はホワイトマーケットの少なくとも10倍と推定されています。[38]売り手は、広く使用されているソフトウェアの脆弱性を金銭的報酬のために探すハッカーグループであることが多いです。[46]特定の買い手にのみ販売するグループもあれば、誰にでも販売するグループもあります。[45]ホワイトマーケットの売り手は、認知や知的挑戦といった金銭以外の報酬を動機としている可能性が高いです。[47]ゼロデイエクスプロイトの販売は合法です。[41] [48]規制強化を求める声があるにもかかわらず、法学教授のメイリン・フィドラー氏は、ロシアやイスラエルなどの主要プレーヤーが関心を持っていないため、国際合意の可能性は低いと述べています。[48]

ゼロデイ脆弱性を売買する売り手と買い手は秘密主義である傾向があり、秘密保持契約や機密情報法に頼ってエクスプロイトを秘密にしている。脆弱性が明らかになればパッチが当てられ、その結果価値が暴落する可能性がある。[49]市場には透明性が欠けているため、当事者が公正な価格を見つけることは難しい場合がある。脆弱性が検証される前に公開された場合、または買い手が購入を断ったものの結局使用した場合、売り手は支払いを受けられない可能性がある。仲介業者が急増しているため、売り手はエクスプロイトがどのような用途に使われるかを知ることができない。[50]買い手は、エクスプロイトが他の当事者に販売されていないことを保証できない。[51]買い手と売り手の両方がダークウェブで広告を出す。[52]

2015～2022年におけるさまざまな種類のエクスプロイトの平均価格の比較

2022年に発表された、あるエクスプロイトブローカーが提示した最高価格に基づく調査によると、エクスプロイトの価格インフレ率は年率44%に達していることが明らかになりました。リモートゼロクリックエクスプロイトが最も高値で取引される一方、デバイスへのローカルアクセスを必要とするエクスプロイトははるかに安価です。[53]広く使用されているソフトウェアの脆弱性も、より高額です。[54]この調査では、約400人から1,500人がそのブローカーにエクスプロイトを販売し、年間約5,500ドルから20,800ドルを稼いでいると推定されています。[55]

開示と備蓄

2017年現在、米国は、認識している脆弱性を公開してパッチを適用できるようにするか、それとも自国での使用のために秘密にしておくべきかについて議論が続いています。[56]各国が脆弱性を秘密にしておく理由としては、それを攻撃的に利用したい場合や、侵入テストで防御的に利用したい場合などが挙げられます。[17]脆弱性を公開することで、消費者やソフトウェアのすべてのユーザーがマルウェアやデータ侵害の被害に遭うリスクが軽減されます。[8]

ゼロデイ脆弱性の開示の段階と一般的なタイムラインは次のとおりです。

  1. 発見: 研究者が脆弱性を特定し、「0 日目」とマークします。
  2. 報告: 研究者はベンダーまたは第三者に通知し、修復作業を開始します。
  3. パッチ開発: ベンダーが修正プログラムを開発します。複雑さに応じて数週間から数か月かかる場合があります。
  4. 公開：パッチがリリースされると、その詳細は公開されます。合意された期間（通常は90日間）内にパッチがリリースされない場合、一部の研究者は対策を促すためにパッチを公開します。

歴史

ゼロデイエクスプロイトは、Apple、Google、Facebook、Microsoftなどのサービスがサーバーとメッセージを暗号化した後、重要性を増しました。つまり、ユーザーのデータにアクセスする最も実行可能な方法は、暗号化される前にソースで傍受することだということです。[33]ゼロデイエクスプロイトの最もよく知られた使用法の1つは、 2010年にイランの核計画に損害を与えるために4つのゼロデイ脆弱性を悪用したStuxnetワームです。 [14]このワームは、ゼロデイエクスプロイトで何が達成できるかを示し、市場の拡大を促しました。[43]

大手IT企業がソフトウェアへのバックドア設置を拒否したことを受け、米国国家安全保障局（NSA）はゼロデイ脆弱性の探索を強化し、テイラード・アクセス・オペレーションズ（TAO）にゼロデイ脆弱性の発見と購入を委託した。[57] 2007年、元NSA職員のチャーリー・ミラーは、米国政府がゼロデイ脆弱性を購入していることを初めて公表した。 [58] NSAのゼロデイへの関与に関する情報の一部は、2013年にNSAの契約社員エドワード・スノーデンが漏洩した文書で明らかになったが、詳細は不明だった。 [57]記者のニコール・パールロスは、「スノーデンが契約社員としてアクセスしたとしても、必要な情報を得るには政府のシステムに十分深く入り込めなかったか、ゼロデイ脆弱性の入手方法の一部が極秘または物議を醸すものであったため、NSAはそれを文書化することを敢えてしなかった」と結論付けた。[59]

2013年以降に発見された最も悪名高い脆弱性の一つであるHeartbleed（CVE-2014-0160）は、公表当時はゼロデイ脆弱性ではありませんでしたが、ソフトウェアのバグが世界的なサイバーセキュリティに及ぼす重大な影響を浮き彫りにしました。OpenSSL暗号化ライブラリのこの欠陥は、発見される前からゼロデイ脆弱性として悪用され、攻撃者によって秘密鍵やパスワードなどの機密情報が盗まれる可能性がありました。[60]

2016年、The Shadow Brokersとして知られるハッカー集団は、NSAから盗み出したとされる高度なゼロデイ脆弱性を大量に公開しました。これらの脆弱性には、 Microsoft Windowsのサーバーメッセージブロック（SMB）プロトコルの脆弱性を悪用するEternalBlueなどのツールが含まれていました。EternalBlueは後に、 WannaCryやNotPetyaといった注目を集めた攻撃に利用され、世界規模で甚大な被害をもたらし、脆弱性を蓄積することのリスクを浮き彫りにしました。[61]

2020年は、これまでで最も高度なサイバースパイ活動の一つが行われた年でした。攻撃者はゼロデイ脆弱性を含む複数の脆弱性を悪用し、SolarWindsのOrionソフトウェアを侵害しました。これにより、多数の政府機関や企業のネットワークへのアクセスが可能になりました。[62]

2021年、中国政府系ハフニウムは、 Microsoft Exchange Serverのゼロデイ脆弱性を悪用してサイバースパイ活動を行いました。ProxyLogonとして知られるこれらの脆弱性により、攻撃者は認証を回避し、任意のコードを実行することができ、世界中の数千のシステムに侵入しました。[63]

2022年、イスラエルのNSOグループが開発したスパイウェア「ペガサス」が、 iMessageやWhatsAppなどのメッセージングサービスのゼロクリック脆弱性を悪用することが判明しました。これらの脆弱性により、攻撃者はユーザーの操作を必要とせずに標的のデバイスにアクセスすることができ、監視とプライバシーに関する懸念が高まりました。[64]

参考文献

  1. ^ Guo, Mingyu; Wang, Guanhua; Hata, Hideaki; Babar, Muhammad Ali (2021-07-01). 「ゼロデイエクスプロイトの収益最大化市場」.自律エージェントとマルチエージェントシステム. 35 (2): 36. arXiv : 2006.14184 . doi :10.1007/s10458-021-09522-w. ISSN  1387-2532. S2CID  254225904.
  2. ^ 比較：「ゼロデイ脆弱性とは？」pctools . Symantec . 2017年7月4日アーカイブ。 2016年1月20日閲覧。ゼロデイ脆弱性とは、ベンダーが認識していないソフトウェアのバグを指します。このセキュリティホールは、ベンダーが気づいて修正を急ぐ前にクラッカーによって悪用される可能性があります。このような脆弱性はゼロデイ攻撃と呼ばれます。
  3. ^ Khandelwal, Abhi; Mahato, Dharmendra Prasad (2024). 「サプライチェーンネットワークのゼロデイエクスプロイトフレームワーク」. Advanced Network Technologies and Intelligent Computing. Vol. 2090. Cham: Springer Nature Switzerland. p. 319–335. doi :10.1007/978-3-031-64076-6_21. ISBN 978-3-031-64075-9. 2025年6月17日閲覧。ゼロデイ脆弱性：サプライヤーが把握していないゼロデイ脆弱性を検出し、軽減することは困難です。攻撃者は、セキュリティ修正プログラムがリリースされる前にこれらの脆弱性を悪用する可能性があります。
  4. ^ Zetter, Kim (2014年11月11日). 「ハッカー用語集：ゼロデイとは何か？」Wired .
  5. ^ 「ゼロデイ」という言葉の由来 - mmmm」2018年1月31日。2018年1月31日時点のオリジナルよりアーカイブ。 2021年9月5日閲覧。
  6. ^ 「Flashの脆弱性が問題を引き起こす」ESET . 2016年3月4日時点のオリジナルよりアーカイブ。 2016年3月4日閲覧。
  7. ^ スタックスネットを発見した男 - 注目のセルゲイ・ウラセン 2011年11月2日公開
  8. ^ Ablon & Bogart 2017、p.1。
  9. ^ Ablon & Bogart 2017、2ページ。
  10. ^ アブロン＆ボガート 2017、iii、2頁。
  11. ^ abcde Sood & Enbody 2014、p. 1。
  12. ^ Perlroth 2021、7ページ。
  13. ^ ストラウト2023、23ページ。
  14. ^ abc Ablon & Bogart 2017、3ページ。
  15. ^ Sood & Enbody 2014、24ページ。
  16. ^ Bravo & Kitchen 2022、11ページ。
  17. ^ Ablon & Bogart 2017、p. xiv。
  18. ^ Sood & Enbody 2014、2～3頁、24頁。
  19. ^ Sood & Enbody 2014、4ページ。
  20. ^ Ablon & Bogart 2017、p. xiii。
  21. ^ パールロス 2021、142頁。
  22. ^ アブロン＆ボガート 2017、p. xi.
  23. ^ アブロン＆ボガート 2017、8ページ。
  24. ^ abcde Sood & Enbody 2014、42ページ。
  25. ^ ストラウト2023、26ページ。
  26. ^ リビッキ、アブロン & ウェッブ、2015 年、p. 50.
  27. ^ ab Libicki、Ablon＆Webb 2015、49～50頁。
  28. ^ ストラウト2023、28ページ。
  29. ^ アブロン＆ボガート 2017、p. x.
  30. ^ アブロン & ボガート、2017、pp. xi–xii。
  31. ^ Ablon & Bogart 2017、p. x：「ゼロデイ脆弱性の特定の蓄積のうち、1年後には約5.7パーセントが外部の組織によって発見されています。」
  32. ^ Leal, Marcelo M.; Musgrave, Paul (2023). 「ゼロからの逆算：米国民はサイバーセキュリティにおけるゼロデイ脆弱性の利用をどのように評価しているか」Contemporary Security Policy . 44 (3): 437– 461. doi :10.1080/13523260.2023.2216112. ISSN  1352-3260.
  33. ^ Perlroth 2021、p.8より。
  34. ^ アーマドら。 2023、p. 10733.
  35. ^ ストラウト2023、24ページ。
  36. ^ リビッキ、アブロン & ウェッブ、2015 年、p. 104.
  37. ^ デラゴ、シンプソン、ウッズ 2022年、41頁。
  38. ^ abc リビッキ、アブロン & ウェッブ 2015、p. 44.
  39. ^ デラゴ、シンプソン、ウッズ 2022、33ページ。
  40. ^ オハロー 2013、18ページ。
  41. ^ ab Libicki、Ablon＆Webb 2015、p.45。
  42. ^ ストラウト2023、36ページ。
  43. ^ Perlroth 2021、p. 145より。
  44. ^ リビッキ、アブロン、ウェッブ 2015年、44、46頁。
  45. ^ ab Libicki、Ablon＆Webb 2015、p.46。
  46. ^ Sood & Enbody 2014、116ページ。
  47. ^ リビッキ、アブロン、ウェッブ 2015年、46～47頁。
  48. ^ ab Gooding, Matthew (2022年7月19日). 「ゼロデイ脆弱性取引は有利だがリスクが高い」. Tech Monitor . 2024年4月4日閲覧。
  49. ^ パールロス 2021、42頁。
  50. ^ パールロス 2021、57頁。
  51. ^ パールロス 2021、58頁。
  52. ^ Sood & Enbody 2014、117ページ。
  53. ^ デラゴ、シンプソン＆ウッズ 2022、31、41頁。
  54. ^ リビッキ、アブロン & ウェッブ、2015 年、p. 48.
  55. ^ Dellago、Simpson & Woods 2022、p. 42：「独立したアクティブな販売者の数（400人[31]から1500人[35]の間）...2015年[35]では、研究者1人あたりの年間給与は5,500ドルから20,800ドルと示唆されています。」
  56. ^ アブロン＆ボガート 2017、p. iii.
  57. ^ Perlroth 2021、p.9より。
  58. ^ パールロス 2021、60、62頁。
  59. ^ パールロス 2021、10ページ。
  60. ^ 「Heartbleed：OpenSSLの深刻なゼロデイ脆弱性が明らかに」ZDNet . 2024年10月4日時点のオリジナルよりアーカイブ。 2024年11月29日閲覧。
  61. ^ 「NSAの脆弱性を公開したシャドーブローカー」サイバー法。 2021年6月4日。2024年2月27日時点のオリジナルよりアーカイブ。 2024年11月29日閲覧。
  62. ^ 「SolarWindsハック解説：知っておくべきことすべて」TechTarget . 2024年10月5日時点のオリジナルよりアーカイブ。 2024年11月29日閲覧。
  63. ^ 「企業はMicrosoft Exchange ServerへのProxyLogon攻撃に対して迅速な対応を迫られる」S-RM . 2024年11月29日時点のオリジナルよりアーカイブ。 2024年11月29日閲覧。
  64. ^ Marczak, Bill; Scott-Railton, John; Razzak, Bahr Abdul; Deibert, Ron (2023年4月18日). 「NSO GroupのPegasus Spywareが2022年にiOS 15とiOS 16のゼロクリックエクスプロイトチェーン3つを伴って復活」Citizenlab . 2024年9月27日時点のオリジナルよりアーカイブ。2024年11月29日閲覧。

出典

  • アブロン、リリアン、ボガート、アンディ (2017). 『ゼロデイ、千の夜：ゼロデイ脆弱性とそのエクスプロイトの生涯と時代』（PDF） . ランド研究所. ISBN 978-0-8330-9761-3。
  • アフマド, ラシード; アルスマディ, イザット; アルハムダニ, ワシム; タワルベ, ロアイ (2023). 「ゼロデイ攻撃の検知：体系的な文献レビュー」 .人工知能レビュー. 56 (10): 10733– 10811. doi :10.1007/s10462-023-10437-z. ISSN  1573-7462.
  • ブラボー、セザール、キッチン、ダレン（2022年）『Mastering Defensive Security: Effective techniques to secure your Windows, Linux, IoT, and cloud infrastructure』Packt Publishing. ISBN 978-1-80020-609-0。
  • デラゴ, マティアス; シンプソン, アンドリュー C.; ウッズ, ダニエル W. (2022). 「エクスプロイトブローカーとサイバー攻撃作戦」.サイバーディフェンスレビュー. 7 (3): 31– 48. ISSN  2474-2120. JSTOR  48682321 .
  • リビッキ、マーティン・C、アブロン、リリアン、ウェッブ、ティム（2015年）『防御者のジレンマ：サイバーセキュリティへの道筋を描く』（PDF）ランド研究所、ISBN 978-0-8330-8911-3。
  • オハロー、ロバート（2013年）『ゼロデイ：サイバー空間の脅威』ダイバージョン・ブックス、ISBN 978-1-938120-76-3。
  • パールロス、ニコール（2021年）『世界の終わりを告げる人々：サイバー兵器の軍拡競争』ブルームズベリー出版、ISBN 978-1-5266-2983-8。
  • スード、アディティア、エンボディ、リチャード（2014年）『標的型サイバー攻撃：エクスプロイトとマルウェアによる多段階攻撃』Syngress. ISBN 978-0-12-800619-1。
  • ストラウト、ベンジャミン（2023年）『脆弱性研究者のためのハンドブック：セキュリティ脆弱性の発見、報告、公開のための包括的ガイド』 Packt Publishing. ISBN 978-1-80324-356-6。