脆弱性とは、悪用される可能性のある弱点のことです。ソフトウェアのバグ、設定ミス、設計上の欠陥、あるいは人間の習慣などが考えられます。共通脆弱性識別子（CVEX）データベースは、既知のソフトウェアの欠陥を固有の識別子で追跡しています。CVE-2021-44228（Log4Shellとして知られる）は、広く使用されているログライブラリの脆弱性でした。これにより、数百万台のサーバーでリモートコード実行が可能になりました。攻撃者は、公開から数時間以内にこれを悪用しました。パッチはすぐに提供されましたが、多くのシステムは数ヶ月間パッチが適用されないままでした。

すべての脆弱性がソフトウェアのバグであるとは限りません。デフォルトの認証情報を持つサーバーは脆弱です。公開に設定されたクラウドストレージバケットも脆弱です。パスワードを使い回す従業員も脆弱です。セグメンテーションのないネットワークも脆弱です。攻撃対象領域が広いため、定義も広範です。脆弱性は共通脆弱性評価システム (CVSS) を使用して評価されます。CVSS は、悪用可能性と影響に基づいて深刻度を 0 から 10 で評価します。10 は重大です。3 は低度です。このスコアはパッチ適用の優先順位付けに役立ちます。しかし、スコアがすべてではありません。隔離されたシステムの重大な脆弱性は、インターネットに接続されたサーバーの中程度の脆弱性よりも重要度が低くなります。優先順位はコンテキストによって決まります。脆弱性は方程式の半分にすぎません。もう半分は、誰でもそれに到達できるかどうかです。

脆弱性の原因

• ソフトウェアのバグ ― 悪用を可能にするコーディングエラー
• 設定ミス ― セキュリティを弱める設定
• 設計上の欠陥 ― 構造上の弱点
• 人的要因 ― 脆弱なパスワード、悪い習慣
• サプライチェーン ― 第三者部品の脆弱性

脆弱性とは、鍵のかかっていないドアのこと。脅威とは、誰かがドアノブを回そうとすること。リスクとは、侵入されたときに起こる事態のこと。