---
title: west-sec 情シスを悩ます「脆弱性管理」のあるべき姿を考える：脆弱性管理の勘所- 実際に運用を回すための考え方 -
tags: 
author: [FutureVuls](https://convert.docswell.com/user/FutureVuls)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/27VXM59MEQ.jpg?width=480
description: このスライドでは、ランサムウェア攻撃の現状と、その対策としての脆弱性管理の重要性について解説します。   主な内容: ランサムウェアの被害は増加傾向にあり、特にVPN機器の脆弱性が国内の侵入経路の多くを占めています。  攻撃者は必ずしも最新のゼロデイ脆弱性だけでなく、古くから知られている脆弱性も悪用します。  従来のCVSSスコアだけでは、対応すべき脆弱性を現実的な数に絞り込むことが困難です。  その理由は、CVSSスコアが高いものが多く、またスコアが低くても攻撃コードが存在するケースがあるためです。  そこで、本スライドでは、リスクを「脆弱性」「脅威」「影響」の3要素で捉え 、より効果的な優先度付けを可能にするフレームワーク「SSVC (Stakeholder-Specific Vulnerability Categorization)」を紹介します。  SSVCは、攻撃コードの公開状況、システムのインターネット露出度、業務への影響度などを考慮し、脆弱性を4段階の対応レベルに分類することで、効率的な脆弱性管理を実現します。   この資料を通じて、実践的な脆弱性管理の考え方と、SSVCを活用した具体的なアプローチを学ぶことができます。
published: May 21, 25
canonical: https://convert.docswell.com/s/FutureVuls/K22P2V-2025-05-21-151002
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/27VXM59MEQ.jpg)

前半：脆弱性管理の勘所
- 実際に運用を回すための考え方 -
フューチャー株式会社
Copyright © 2025 by Future Corporation
-1-


# Page. 2

![Page Image](https://bcdn.docswell.com/page/5JGVG6ZXJL.jpg)

自己紹介
神戸康多（かんべこうた）
フューチャー株式会社
OSS脆弱性スキャナ「Vuls」作者
脆弱性管理クラウド「FutureVuls」の運営
実績
■
■
■
情報処理学会ソフトウェアジャパン2020 アワード
BlackHat Asia Arsenal, HITCONなど海外カンファレンス講演
Google OSS Peer Bonus Winners of 2022
Copyright © 2025 by Future Corporation
-2-


# Page. 3

![Page Image](https://bcdn.docswell.com/page/47Q6X4L57P.jpg)

前半アジェンダ
1. ランサムウェアと脆弱性管理
2. リスクの考え方
3. CVSSの課題を解決するSSVC
Copyright © 2025 by Future Corporation
-3-


# Page. 4

![Page Image](https://bcdn.docswell.com/page/KE446QDVE1.jpg)

ランサムウェア発生件数
ランサムウェアの被害件数はグローバル・国内ともに年々増加傾向である。
技術の進展に伴い脆弱な機器がネットワーク接続されるケースの増加といった理由で、
最近はサーバ環境が狙われている 。
出所：株式会社マクニカ セキュリティ研究センター 公開情報から読み解く日系企業のランサム被害傾向
Copyright © 2025 by Future Corporation
-4-


# Page. 5

![Page Image](https://bcdn.docswell.com/page/L714VPZ47G.jpg)

2025年１月ー５月のランサムウェア被害組織の一部（日本）
ランサムウェアは、企業規模に関わらず全ての企業が対象となる（中小企業を青）
売上規模
従業員規模
業界
中規模(100-500億)
小規模(&lt;1千人)
製造/建設
小規模(&lt;100億)
中規模(1千-1万人)
サービス
中規模(100-500億)
中規模(1千-1万人)
製造
中規模(100-500億)
中規模(1千-1万人)
製造
小規模(&lt;100億)
中規模(1千-1万人)
物流
小規模(&lt;100億)
小規模(&lt;1千人)
不動産
中規模(100-500億)
中規模(1千-1万人)
製造
大規模(&gt;500億)
大規模(&gt;1万人)
製造
大規模(&gt;500億)
大規模(&gt;1万人)
製造
小規模(&lt;100億)
小規模(&lt;1千人)
製造
大規模(&gt;500億)
大規模(&gt;1万人)
製造
中規模(100-500億)
大規模(&gt;1万人)
製造
小規模(&lt;100億)
中規模(1千-1万人)
製造
小規模(&lt;100億)
小規模(&lt;1千人)
サービス
小規模(&lt;100億)
中規模(1千-1万人)
IT・通信
出所：2025/1/1-2025/5/13時点の日本のランサムウェア被害 Stealthmoleより
Copyright © 2025 by Future Corporation
-5-


# Page. 6

![Page Image](https://bcdn.docswell.com/page/G7WXL29ZJ2.jpg)

ランサムウェア被害額のリアル — 数億円規模の“見えざるコスト”
支払う／支払わないに関わらず、身代金はコスト全体のほんの一角。復旧・減収・信頼失墜など水面
下の損失が数倍〜数十倍に膨らむ 場合がある。
事例／業種・規模
公表された直接費
推定・報道されるその他損失
ダウンタイム（日数）
身代金支払
出典
徳島県 つるぎ町立半田病院（医 電子カルテ再構築・調 減収額非公表
療・120床）
査費 計7,000万円
（診療停止2か月）
診療65日制限／全面復旧2か月
病院側は不 有識者会議調査報告書
払い
大阪急性期・総合医療センター
（医療・2,200端末）
調査・復旧費
「数億円以上」
主要43日／全面73日
不払い
調査報告書概要
名古屋港 NUTS
（港湾インフラ）
公表なし（直接費不明） 港湾搬入出停止による経済損失未 約3日
公表
不払い
国交省インシデント資料
奈良県 宇陀市立病院
（医療・176床）
監査法人1,200万円＋ 減収・内部工数等は未公表
調査分析2,600万円＝
計3,800万円
実質2日で診療再開（完全復元5か 不払い
月）
令和元年度 ICT監査結
果報告書
KADOKAWA
特別損失24〜36億円
主要サービス停止：
約 3.5〜4.5 か月
朝日新聞記事
逸失利益「十数億円以上」
売上減・ブランド毀損等は非公表
非公表
対策を先送りすると安く済むように見えて、事業中断で実は後でより大きな損失になる。
しかも被害はIT部門だけでなく会社全体に
Copyright © 2025 by Future Corporation
-6-


# Page. 7

![Page Image](https://bcdn.docswell.com/page/4JZ6MD9LJ3.jpg)

ランサムウェアの侵入経路（国外・国内）
侵入経路は、脆弱性の悪用が一番多い
-
グローバルでは、脆弱性の悪用が「36%」
国内は「63%」がVPN機器からの侵入（脆弱性の悪用＋弱い認証）
&lt;グローバル&gt;
出所：SOPHOS ランサムウェアの現状2023 年版
&lt;国内&gt;
出所：警察庁令和５年における サイバー空間をめぐる脅威の情勢等について
Copyright © 2025 by Future Corporation
-7-


# Page. 8

![Page Image](https://bcdn.docswell.com/page/YE62N1KMJV.jpg)

ランサムウェア攻撃の各段階と脆弱性の悪用
フィッシング、パスワード推測、脆弱性の悪用、Eメール等で侵入する。
その後、C2への接続、管理者権限への昇格や横方向への移動を行う。
最後に機密データの抽出、バックアップの破壊、暗号化し身代金を要求する。
&lt;初期侵入&gt;
&lt;内部活動&gt;
29%
有効な
認証情報
パスワード推測
データ
抽出
インターネット露
出サービス
36%
横移動
コマンド&amp;
コントロール
脆弱性の悪用
権限昇格
18%
Ｅメール
添付ファイル
侵入の
割合
&lt;ターゲットの暗号化&gt;
13%
フィッシング
凡例
マルウェア
バックアップの
破壊
データ
暗号化
初期侵入だけでなく、横移動・権限昇格などでも脆弱性は悪用される
Copyright © 2025 by Future Corporation
-8-


# Page. 9

![Page Image](https://bcdn.docswell.com/page/GE5254PQE4.jpg)

ランサムウェアグループが悪用する既知の脆弱性とは
ゼロデイ攻撃をド派手にしかけてくる印象があるが、既知の古い脆弱性が狙われるケースも多い。ラン
サムウェアで悪用されている脆弱性の「48.5 ％」 が2022年以前 のCVEとなっている（2024/11/11時点 全66件)
ランサムウェアで利用
古い脆弱性の攻撃が多い
2023年には、ゼロデイ攻撃が大幅に減少し、攻
撃者はより古い脆弱性や既存の認証情報を
悪用する傾向 が強まっている。
出所: IBM X-Force脅威インテリジェンス・インデックス2024
ShadowServer: Top100をRansomeware=knownでフィルタ
リスクには有効期限が無く、古い脆弱性をそのままにしている場合は餌食となる。
Copyright © 2025 by Future Corporation
-9-


# Page. 10

![Page Image](https://bcdn.docswell.com/page/9724NV6WER.jpg)

ランサムグループが利用する既知の脆弱性
CISAのサイトを「#stopransomware」で検索し、ランサムグループの詳細情報を見ると
古くてインパクトが大きい脆弱性が継続的に使われていることがわかる。
古い脆弱性も使われている
グループ名
LockBit
Black Basta
段階
初期侵入
CVE-ID
概要
CVE-2021-44228
Log4Shell
CVE-2021-26855
ProxyLogon
初期侵入
CVE-2024-1709
Citrix
横移動・権限昇格
CVE-2020-1472
ZeroLogon
CVE-2021-34527
PrintNightmare
出所：CISAのサイトを 「#stopransomware」で検索
CISA-KEVの「1,207件中239件 （19.8 %)」がランサムウェアキャンペーンで悪用(2024/11時点)
Copyright © 2025 by Future Corporation
- 10 -


# Page. 11

![Page Image](https://bcdn.docswell.com/page/DJYMP399JM.jpg)

ランサムウェア対策において脆弱性管理は必須である
ランサムウェア対策の要は「脆弱性管理」と「迅速なパッチ適用」
-
CISA #StopRansomware の各ランサムグループ解説ページは、まず「脆弱性管理とパッチ適用の
徹底」とどのページにも記載している。
CISA 2023 Top Routinely Exploited Vulnerabilities は、「攻撃者は 公開から 2 年以内 の脆弱性
を最も頻繁に悪用している」と警告。脆弱性を放置することが最大のリスクとなる。
出所：CISAのサイトを 「#stopransomware」で検索
CISA 2023 Top Routinely Exploited Vulnerabilities
Copyright © 2025 by Future Corporation
- 11 -


# Page. 12

![Page Image](https://bcdn.docswell.com/page/V7NW5VLD78.jpg)

組織の脆弱性対応力は10%
攻撃者が最初に使用する攻撃経路の32%は既知の脆弱性の悪用であるが、米国の平均的な
組織は脆弱性の10%しかパッチを当てられない 。脆弱性は時間とともに溜まり増え続ける。
&lt;月ごとのOpen/Closeできた脆弱性数の分布（100組織を調査）&gt;
場合
た
き
応で e)
対
os
数に n=Cl
性
e
p
脆弱 (O
の
て
数
性
すべ
弱
た脆
き
で
応
に対
際
実
出所：Cyentia Institute
The Hidden Complexity of Vulnerability Remediation: Bridging the Gap between
Data and Common Advice
Copyright © 2025 by Future Corporation
- 12 -


# Page. 13

![Page Image](https://bcdn.docswell.com/page/YJ9XY648E3.jpg)

基本：CVSSスコアと課題
CVSS基本値は脆弱性の深刻度を「0-10」で計算した値でありよく利用されている。
ただし、スコアの半数が「HIGH」 であり、現実的に対応可能な数まで絞り込めない。
半分以上がHIGH
課
題
半分以上が重要度「 HIGH」
Copyright © 2025 by Future Corporation
- 13 -


# Page. 14

![Page Image](https://bcdn.docswell.com/page/GJ826ZQZJD.jpg)

CVSSスコアと武器化の関係
CVSSスコアが低いものにも攻撃コードがある。
CVSSスコアが高くても武器化されていないものは多数ある。
出所: The Risk Remediation Taxonomy and Decision Tree are part of a conference presentation by Yahoo Chris Madden: https://www.bsidesdub.ie/ May 27 2023.
Copyright © 2025 by Future Corporation
- 14 -


# Page. 15

![Page Image](https://bcdn.docswell.com/page/LJL29DX1ER.jpg)

リスクとは
リスクの3要素は「脆弱性」「脅威」「影響」である。
脆弱性
脅威
影響
Copyright © 2025 by Future Corporation
- 15 -


# Page. 16

![Page Image](https://bcdn.docswell.com/page/47M8ZPL57W.jpg)

脆弱性と脅威に注目
脆弱性の中でも実際に悪用されているものはリスクが高い。
脆弱性
脅威
影響
どれくらいの脆弱性が悪用されている？
Copyright © 2025 by Future Corporation
- 16 -


# Page. 17

![Page Image](https://bcdn.docswell.com/page/P7R561KZJ9.jpg)

実際に悪用されている脆弱性
「5%」未満
＜攻撃に利用される脆弱性＞
＜BOD 22-01: 既知の脆弱性の重大なリスクの軽減＞
2.24% 約4,615件
公開されている CVE の総数のうち
4% 未満しか悪用されていません。
出所: Qualys Part 1: An In-Depth Look at the Latest Vulnerability Threat Landscape
実際に悪用されている 5%の脆弱性に注目して絞り込むのが良さそう
Copyright © 2025 by Future Corporation
- 17 -


# Page. 18

![Page Image](https://bcdn.docswell.com/page/PJXKMYL17X.jpg)

リスクを考慮した脆弱性管理とは
リスクの3要素は「脆弱性」「脅威」「影響」である。重大な脆弱性、かつ実際に悪用されている、かつ自
社ビジネスに影響の大きいものから優先的に対応していくのが理想。
脆弱性
脅威
影響
リスクが高い、赤い部分を特定する良い方法（フレームワーク）はある？
Copyright © 2025 by Future Corporation
- 18 -


# Page. 19

![Page Image](https://bcdn.docswell.com/page/3JK5G3LM7D.jpg)

SSVC - Stakeholder-Specific Vulnerability Categorization
CVSS だけでは見極められない“実際に攻撃を受ける可能性” と“自社業務への影響” を
掛け合わせてリスク基準で4段階に優先度を分類するフレームワーク。
米国 CISA と CERT/CC が共同策定した。
〈 SSVC 〉
最新の脆弱性・脅威の情報、システム固有の情報
SSVC 決定木
対応レベルを導出
immediate
脅威
攻撃コードの公開有無と悪用レベル
×
可能な限り迅速に対応
自
動
自動化可能性 攻撃者にとっての有用性（自動化）
out-of-cycle
通常よりも迅速に対応
×
業務影響度 攻撃された際の業務影響度
×
環境
手
動
scheduled
定期メンテナンス時に対応
システムのインターネット露出度
defer
現時点では対応しない
Copyright © 2025 by Future Corporation
- 19 -


# Page. 20

![Page Image](https://bcdn.docswell.com/page/LE3KNG32E5.jpg)

SSVC の詳細
リスクの3要素をカバーしており、リスクを総合的に判断可能。
対応する
リスク要素
FutureVuls
での判断
Exploitation
攻撃に使われてい
る？
脅威
自動
no
poc
active
poc未公開
Exploit-DB やMetasploit 等にpocが公開されている
CISA-KEV, Vulncheck-KEV , Vulnrichment , ベンダ情報
Exposure
インターネットに露出
している？
-
手動
small
controlled
open
インターネットから隔離された環境
インターネット非公開の社内システムなど
インターネットから到達できる
Automatable
自動化可能な脆弱
性？
脆弱性
自動
no
yes
キルチェーンの1-4が自動化可能かどうか（RCEはyes)。
Vulnrichment にも情報あり。
影響
手動
low
medium
high
very high
ビジネス活動に特に影響低
影響は限定的な場合
ある一つ・少数の基幹業務に影響あり
会社全体のビジネス活動に影響あり
Decision Point
Human Impac t
ビジネスへの影響
は？
値
判断基準・情報ソース
Copyright © 2025 by Future Corporation
- 20 -


# Page. 21

![Page Image](https://bcdn.docswell.com/page/8ED3W1467G.jpg)

デモ
SSVCの決定木のデモサイト上で人気の脆弱性の優先順位付けを試してみる。
https://certcc.github.io/SSVC/ssvc-calc/
CVE
資産
製品
サーバ
OpenSSH
Vulnrichment: Exploitation: poc, Automatable: no
CVE-2023-27997
NW機器
Fortigate
CISA-KEV: 掲載されているのでExploitationはActive
Automatable:
- yesだろう（AV:N, AC:L, PR:N)
- IP, Portでチェックできるtool
CVE-2021-44228
(Log4Shell)
ライブラリ
Log4j
CISA-KEV: 掲載されているのでExploitationはActive
Automatable: yes
CVE-2024-6387
(regreSSHion)
判断基準・情報ソース
Copyright © 2025 by Future Corporation
- 21 -


# Page. 22

![Page Image](https://bcdn.docswell.com/page/V7P49QVZE8.jpg)

SSVC の実験結果
５つの環境を想定して「4,716件」の脆弱性SSVCで優先順位付けした。
immediate と out-of-cycle を見ると、現実的に対応できる数に絞り込めている。
immediate
out-of-cycle
immediate/out-of
-cycleの割合
インターネット公開の「超」重要システム
16
2100
44.8%
2600
0
インターネット公開の重要システム
16
50
1.4%
4650
0
社内NWの基幹システム（販売管理など）
0
16
0.33%
4700
0
業務影響が小さい社内システム (勤怠管理など )
0
0
0%
4716
0
閉域網の「超」重要な基幹系システム
0
16
0.33%
4700
0
scheduled
defer
同じ脆弱性でも「インターネット露出度」「業務影響」に応じて異なる優先度に分類される
Copyright © 2025 by Future Corporation
- 22 -


# Page. 23

![Page Image](https://bcdn.docswell.com/page/2JVXM5ZM7Q.jpg)

前半まとめ
1. 脆弱性悪用が最大の侵入口
ランサムウェア侵入経路の一位は脆弱性悪用によるもの。組織規模を問わず標的になる
2. CVSS スコアだけでは危険度を絞り込めない
公開 CVE の半数以上が “HIGH” だが、実際に攻撃に使われるのは 2–5 % のみ
3. “リスク = 脆弱性 × 脅威 × 影響” の視点で SSVC を活用
SSVC なら PoC／攻撃活性度・インターネット公開度・業務影響を基に
immediate / out-of-cycle など 4 段階で現実的な件数に優先度付けが可能
Copyright © 2025 by Future Corporation
- 23 -


