ゼロデイとは
ゼロデイは、修正方法が提供される前、または広く知られる前の脆弱性を悪用する攻撃やその状態です。英語ではzero-day（ゼロデイ）と表します。
提供者が把握して修正を準備する猶予が「0日」という比喩です。誰にとって未知か、パッチが存在するか、実際に悪用されているかを分けます。
ゼロデイは攻撃が検知不能という意味ではありません。既知署名がなくても、異常挙動、権限逸脱、通信、処理連鎖から検知・封じ込められます。
三つの語を区別する
ゼロデイ脆弱性は未知・未修正の弱点、ゼロデイ攻撃手法はその弱点を利用するコードや手法、ゼロデイ攻撃は実際に悪用する行為です。
欠陥が存在しても悪用コードがない場合、攻撃手法が研究用に作られても攻撃されていない場合があります。報告ではどの段階を確認したかを示します。
発見から展開までの時間軸
- Unknown製品に弱点があるが、提供者・利用者が認識しておらず修正もない。
- Exploitation攻撃者が弱点を利用する。限定対象だけで秘密裏に使われることもある。
- Discovery提供者、研究者、被害組織が異常とルート原因を把握し、影響バージョンを調べる。
- Mitigation機能停止、ネットワーク制限、規則追加など、パッチ前の暫定策を公開・適用する。
- Patch修正を作成・試験・署名して配布し、組織が優先度を付けて展開する。
公開日だけでゼロデイかは決まらない
脆弱性情報とパッチが同時公開されても、それ以前から攻撃者だけが悪用していればゼロデイ攻撃です。反対に古い未修正欠陥を初めて攻撃されても、既にパッチが広く提供されていれば通常はゼロデイとは呼びません。
「公表された日」「ベンダーが知った日」「最初の悪用日」「パッチ日」「自組織の適用日」を別々に記録します。
パッチを待つ間に露出を減らす
影響機能を無効化し、インターネット公開を止め、VPN・管理ネットワークからだけ許可し、危険なファイル種類やプロトコルをフィルターします。仮想patchingとしてWAF・IPS規則を使う場合も、回避と誤検知を監視します。
業務停止の影響と侵害リスクを比較し、代替手順を用意します。暫定策の解除条件を記録します。
多層防御は未知の手口にも効く
最小権限、アプリケーション分離、ネットワークsegmentation、MFA、allowlisting、外向き通信制御、変更不可バックアップは、特定CVEを知らなくても攻撃後の移動・影響を制限します。
エンドポイント動作、子処理、認証情報アクセス、異常な外部通信を監視すれば、署名がない攻撃手法後の活動を検知できる場合があります。
緊急パッチにも検証が必要
重大なアクティブ悪用では展開速度を上げますが、対象バージョン、依存、署名、再起動、切り戻しを確認します。偽の緊急パッチを装うマルウェアにも注意します。
インターネット公開、管理基盤、識別情報、攻撃で観測された製品を優先し、カナリアから短いringで広げます。
適用前に侵害済みかを調べる
パッチは将来の同じ侵入口を閉じますが、既に作られたアカウント、webシェル、トークン、予定済み処理を除去しません。ベンダー・公的機関の指示記号と検出手順で過去ログをhuntします。
ゼロデイ対応では「パッチがない」と停止せず、露出を下げ、攻撃後の挙動を監視し、パッチ後も既存侵害を調査する三本を並行します。
zero-day attackの定義と脆弱性対応の確認資料：NIST CSRC Glossary「Zero Day Attack」、CISA「Known Exploited Vulnerabilities Catalog」