本文の内容は、2025年6月16日に Shantanu Gattaniが投稿したブログ(https://sysdig.com/blog/beyond-prioritization-accelerating-vulnerability-remediation-at-the-source-with-ai-and-runtime-context/)を元に日本語に翻訳・再構成した内容となっております。
これまで何度も述べてきたように、クラウド攻撃は10分以内に発生します。これは、現代の組織がリスクについて考える方法を根本から変えるほどの現実です。しかし、多くのセキュリティチームは、脆弱性が発見されてから修正まで数週間、あるいは数年も待っています。実際、脆弱性を修正するのにかかる平均時間は60日から150日ですが、攻撃者はわずか5日で脆弱性を悪用します。この計算は、防御側にとって全く不利です。
それは無関心だからではありません。彼らが圧倒され、しばしば十分な情報を得られていないからです。ディフェンダーは、限られた時間と乏しいリソースの中で、何十万もの脆弱性を管理する任務を負っており、資産の重要性や機密データの所在を理解するための十分なコンテキストも持ち合わせていません。こうした制約のせいで、開発者に対して「何を優先して修正すべきか」という説得力のある説明を行うことが難しくなっています。つまり、まるで台本の一部が抜け落ちた状態で舞台の演出を任され、俳優たちが正確に動くことを期待しているようなものなのです。
これまで、Sysdigをはじめとするサイバーセキュリティ企業は、組織が際限なく続くアラートのノイズをカットできるよう支援することで、この問題の解決に取り組んできました。優先順位付けは確かに状況を一変させましたが、問題の解決には至りませんでした。なぜなら、リスク軽減は修復こそが実際に実現するからです。
本日、Sysdigは、脆弱性管理ソリューションのメジャーアップデートを発表しました。このアップデートは、特定から対策までのラストマイルを橋渡しするものです。Sysdig Sage™のAIを活用したガイド付き修復機能により、セキュリティチームはリスクを可能な限り効率的に低減する修正に集中できます。これらの新機能により、Sysdigは詳細なランタイムインサイトとインテリジェントな推奨事項を統合する初のソリューションとなり、セキュリティ担当者と開発者が脆弱性を把握するだけでなく、迅速に対応できるようになります。Sysdigをご利用のお客様は、修復時間を90%以上短縮しており、これは脅威への対応における画期的な成果です。
まず直す、すぐに直す
Sysdigは、最も効果的な解決策を特定し、発生元での解決を推進するという課題に対処するために、「recommended remediations: 推奨される修正」を導入しました。これは、AIによって強化された実行可能なガイダンスであり、チームが最大のリスクを迅速に低減する修正に集中できるよう支援します。
ユーザーが個々の検出結果を一つひとつ確認するのではなく、Sysdigはプラットフォーム上で直接、高インパクトな修正を特定します。たとえば、複数のワークロードにまたがるCVEを、アプリケーションの依存関係を壊すことなく修正できるパッチなどです。これらは単なる「クリティカル」な脆弱性の長いリストではなく、セキュリティと開発者間の摩擦を軽減し、明確な出発点を提供する処方的なステップです。結局のところ、脆弱性管理とはすべてを修正することではなく、重要なものを修正することなのです。
この修正中心のアプローチが、Sysdigを他と差別化しています。Sysdigは、ランタイムインサイトとSysdig Sageの力を組み合わせることで、誰よりも優れたリスクの優先順位付けを行い、問題を迅速かつ発生元で解決するために必要なインテリジェンスを提供します。他社が表面的な優先順位付けにとどまる中、Sysdigのアプローチは、単に脆弱性を再分類するのではなく、修正目標に向けた具体的かつ測定可能な進展を推進するよう設計されています。
適切なプロセスがなければ、どんなに正確な修正でも行き詰まる可能性があります。Sysdigは、プロセスを継続するためのワークフローを組み込み、担当者を特定し、チケットシステムと統合します。セキュリティチームは、問題を適切な担当者に自動的に割り当て、次のステップと重要性に関する洞察を提供することで、修復を迅速化します。
これらのステップバイステップの推奨事項は、クラウドセキュリティにおける最大のギャップの一つである、セキュリティと開発の断絶を埋めるものです。セキュリティタスクは、開発者にとって予期せぬ障害となり、コンテキストが欠如し、開発タイムラインを混乱させることがよくあります。その結果、修正が遅れたり、優先順位が下げられたりして、重大な問題が未解決のままになります。Sysdigは、両者が実用的なガイダンスに沿って連携することで、摩擦を解消し、脆弱性への対応をより迅速かつ効果的に行えるようにします。
AIに重労働を任せよう
Sysdig Sageは、AIクラウドセキュリティアシスタントです。Sysdig Sageは、初期分析と推奨プロセスを自動化することで、手作業による調査の必要性を排除します。自然言語で構造化された指示書へと簡素化することで、チームは次に何をすべきかを正確に把握し、修復作業を簡素化します。
Sysdig Sageは、一般的な提案を並べ立てるだけでなく、それぞれの修正がなぜ重要なのかという文脈を提供し、潜在的な影響に基づいて優先順位を付け、環境に合わせて推奨事項をカスタマイズします。数千ものCVEと修復戦略を網羅した、広範かつ継続的に進化するナレッジベースを活用することで、Sysdig Sageは新たな脆弱性にも迅速に適応し、経験レベルに関わらず、チームが自信を持って行動できるよう支援します。
ランタイムコンテキストを使用してソースを修復する
同じ脆弱性を何度も修正するのは、開発者にとってフラストレーションの要因となるだけでなく、時間の無駄でもあります。しかし、適切なガイダンスがなければ、まさにこのような事態に陥ってしまいます。Sysdigは今回のアップデートにより、ユーザーが症状のパッチ適用にとどまらず、リスクの根本原因に対処できるよう支援します。
Sysdigは、エクスプロイトの可能性、権限制御の失敗、脆弱なパッケージが実際に使用されているかどうかといった要素を分析し、全体的なリスクに最も寄与するベースイメージをハイライトします。セキュリティチームは、脆弱性の原因、影響を受ける資産、環境全体の他の問題との関連性など、必要なランタイムコンテキストを数秒以内に取得できます。この明確な情報により、問題を迅速に把握し、発生源で修正することで、将来のビルドで問題が再発するのを防ぐことができます。
これは誰にとってもメリットがあります。開発者は繰り返しパッチを適用する時間を短縮し、セキュリティ対策は長期的に改善されます。ランタイムコンテキストで問題に対処することで、組織はモグラ叩きのような状況から脱却し、プロアクティブな防御へと移行し、より健全で持続可能なセキュリティ対策を構築できます。
セキュリティはアラートではなく行動によって測定される
最終的に、脆弱性管理とは、どれだけ多くの問題を見つけたかではなく、どれだけ効果的にリスクを低減できたかにかかっています。ゼロデイの監視は確かに重要ですが、大半のエクスプロイトは既知の脆弱性を狙ったものであり、それらには数か月、あるいは数年前から修正が存在しています。セキュリティチームは、いくつの重大な脆弱性を特定したかではなく、現実的かつ測定可能な成果をどれだけ生み出せたかで評価されるのです。つまり、問題を表面化させるだけでなく、それを大規模に解決する方向へシフトする必要があります。
優先順位付けは依然として重要です。なぜなら、何が重要かを知ることは、あらゆる成功するセキュリティ戦略の核だからです。しかし、そのインサイトに基づいて行動できなければ、たとえ最高の優先順位付けを行っても限界があります。
今回のリリースにより、Sysdigはその次のステップを現実のものにしました。私たちは、セキュリティが開発者と連携し、「正しい脆弱性」をより迅速かつ確実に修正できるよう支援します。
アラートを追いかけるのはもうやめて、リスクの解決に踏み出しましょう。準備はできていますか？
オンデマンド ウェビナーで新しいリリースの実際の動作をご覧ください。また、脆弱性管理プログラムの適切な構築方法の詳細をご覧ください。