Fortinet はエッジアプライアンスのパッチ適用を顧客リスクの説明責任テストとした

概要

• Fortinet の FortiGate および FortiOS の脆弱性記録は、エッジセキュリティアプライアンスが通常のソフトウェアアップデートとは異なる説明責任基準を必要とする理由を示しています。露出したアプライアンスが侵害されると、攻撃者は顧客ネットワークへの特権的な経路を獲得する可能性があります。
• CVE-2023-27997 が中心的な証拠オブジェクトであるのは、Fortinet、CISA、NVD、および各国のサイバー当局がすべて FortiOS SSL-VPN の欠陥を緊急のパッチ問題として扱い、その後の悪用後手法に関する警告が、パッチだけでは必ずしも修復の十分な証拠にならないことを示したためです。
• 説明責任の問題は共有されていますが、不均等です。Fortinet はアドバイザリの内容、修正バージョン、製品の堅牢化、顧客向けガイダンスを管理しました。顧客は露出インベントリ、パッチ展開、SSL-VPN の無効化、ログ、侵害評価を管理しました。マネージドサービスプロバイダーは、多くの場合、小規模な購入者向けに実際の実行を管理しました。
• 公の記録は、露出したすべてのアプライアンスが侵害されたことを証明するものではありません。しかし、顧客が通知以上のものを必要としていたことは証明されています。つまり、デバイス固有の回答が必要でした：このアプライアンスは露出していますか？影響を受けていますか？悪用前にパッチが適用されましたか？持続性の兆候はありますか？その回答を裏付ける証拠は何ですか？
• 信頼できる修復記録は、より迅速なエッジインベントリ、パッチ検証、外部から見える露出の低減、悪用後ハンティング、および時間的プレッシャーの下で稼働中の境界インフラを防御しなければならないオペレーター向けに書かれたサプライヤーガイダンスを示すべきです。

境界製品が境界リスクになり得る

Fortinet のケースが重要なのは、この製品カテゴリーに説明責任の緊張が組み込まれているためです。FortiGate アプライアンス、FortiOS システム、SSL-VPN 機能は、防御をエッジに集中させるために購入されます。これらはリモートアクセスを終端し、ポリシーを強制し、トラフィックを仲介し、多くの場合、ID、ルート、ブランチネットワーク、管理業務の近くに位置します。その集中は、デバイスが正常な場合に価値があります。デバイス自体が露出した経路である場合、危険です。

Fortinet 自身の PSIRT ブログ「CVE-2023-27997 の分析と Volt Typhoon キャンペーンに関する説明」(Analysis of CVE-2023-27997 and clarifications on Volt Typhoon campaign)は、この脆弱性を FortiOS および FortiProxy SSL-VPN の問題と位置づけ、顧客に修正リリースを指示しました。詳細な FortiGuard アドバイザリFG-IR-23-097には、影響を受けるバージョンとアップグレード記録が記載されていました。同じ公開記録は、CISA のFortinet Releases Security Updates for FortiOS and FortiProxy、National Vulnerability Database のCVE-2023-27997、および Canadian Centre for Cyber Security のVulnerability impacting FortiGate/FortiOSによって増幅されました。

これらの情報源はすべて同じ役割を果たすわけではありません。Fortinet は製品固有のアドバイザリ、影響を受けるバージョン、修正パスを管理します。NVD は公開脆弱性記録とスコアリングコンテキストを提供します。CISA と Canadian Centre は国家的な運用緊急性を与えます。インターネットに面したアプライアンスが脆弱であった後に、重要なのはこの特定のデバイスがパッチ前に侵害されたかどうかという点ですが、適切な決定を下そうとする顧客はこれらすべてを必要としますが、どれも単独ではそれを証明しません。

これが最初の説明責任の教訓です。境界セキュリティベンダーは、パッチの公開を自社の義務の終わりとして扱うことはできず、顧客はパッチのインストールを証拠作業の終わりとして扱うことはできません。エッジは、回復が多くの場合デプロイ状態によって制限される通常のアプリケーション層ではありません。それは信頼の境界です。攻撃者がパッチ前にアプライアンスに到達した場合、重要な疑問は、資格情報、セッション、設定、トンネル、ログ、または二次アクセスパスが変更または監視されたかどうかです。修正されたバイナリはドアを閉めるかもしれませんが、誰が通り抜けたかという疑問は未回答のまま残ります。

ベンダーはすべての顧客デプロイを管理するわけではありません。顧客は SSL-VPN が露出しているか、管理インターフェースが到達可能か、ログが保持されているか、アップグレードが迅速にステージングされるか、外部攻撃表面インベントリが正確かを選択します。しかし、ベンダーは警告の明確さ、修正バージョンマップ、検出ガイダンスの可用性、アップグレードの安定性、およびエグゼクティブが「セキュリティアプライアンスアップデート」が実際にインシデント対応の決定であるかどうかを理解するのに役立つ言語を管理します。説明責任はこれらの管理ポイントに従います。

公開記録はまた、安易な責任帰属に対して警告しています。脆弱性が Fortinet コードにあったから Fortinet が責任、または顧客が十分に早くパッチを適用しなかったから顧客が責任と言うのは簡単すぎます。より難しい答えは、エッジアプライアンスのリスクは連鎖の中にあるということです。サプライヤーのリリース保証、アドバイザリの精度、顧客の露出インベントリ、MSP の実行、規制当局の緊急性、悪用後の証拠が、CVE が顧客の侵害になるかどうかを決定します。

パッチのタイミングは証拠の問題であり、プレスリリースの問題ではない

緊急パッチは遠くから見れば単純に聞こえるかもしれません。ベンダーが修正をリリースし、アドバイザリが公開され、顧客がアップグレードをインストールします。実際には、露出したセキュリティアプライアンスは、多くの場合、管理者がネットワークに到達し、リモートワークをサポートし、ブランチを接続し、事業継続を維持するために使用するシステムの一部です。それを停止したり、不適切にアップグレードしたりすると、運用が中断される可能性があります。露出したままにしておくと、侵害を招く可能性があります。したがって、説明責任の問題は、パッチが重要かどうかではありません。それは、組織が何を持っているか、何が露出しているか、何が影響を受けているか、何が修正されているか、そして修正の前に何が起こった可能性があるかをどれだけ迅速に証明できるかです。

NIST のGuide to Enterprise Patch Management Planningは、パッチを一回限りの反応ではなくプログラムとして扱うため、ここで役立ちます。これは、インベントリ、優先順位付け、テスト、展開、検証、リスクベースの処理を強調しています。CVE-2023-27997 は、これらのステップが境界でなぜより緊急性を帯びるかを示しています。信頼性の高い FortiGate インベントリを持たない顧客は、単に遅いだけではありません。リスクを抱える人口を特定することさえできません。バージョンと露出データがない顧客は、SSL-VPN を一時的に無効にするかどうかを決定できません。ログがない顧客は、悪用前にパッチが到着したかどうかを回答できません。

カナダのアドバイザリはこの理由から実用的でした。組織にアップグレードを指示し、できない場合は SSL-VPN を無効にするよう指示しました。この種の指示は、エッジアプライアンスのジレンマを認識しています。緩和策は混乱を招く可能性がありますが、一時的なリモートアクセスの摩擦のビジネスコストは、インターネットに面した経路を開放したままにすることの未知のコストよりも低くなる可能性があります。CISA のKnown Exploited Vulnerabilities Catalogは、同じより広いポイントを示しています。悪用が知られているか強く優先されている場合、是正期限はオプションの衛生状態ではなく運用上のコミットメントとして扱われるべきです。

Fortinet にとって、証拠の課題は、修正バージョンのガイダンスと侵害ガイダンスの違いに見られます。アドバイザリは影響を受けるバージョンと修正を特定できますが、顧客は何を検査すべきかも知る必要があります。どのログが重要か？どの設定ファイルをレビューすべきか？どのアカウントをローテーションすべきか？疑わしい持続性はどのように見えるか？MSP はパッチが適用されチェックされたデバイスを顧客にどのように証明すべきか？これらの質問は単なるサポートの詳細ではありません。それらは、被害を受けた当事者が自らのリスクを理解できるかどうかを決定します。

セキュリティチームはまた、「遅れたがパッチ済み」の決定基準を必要とします。FortiGate アプライアンスが数週間脆弱であり、公的な悪用の懸念が高まった後にのみパッチが適用された場合、パッチは必要ですが十分ではありません。説明責任のある回答は、少なくとも4つの状態を区別すべきです。第一に、影響を受けていないか露出していない。第二に、影響を受けているが、もっともらしい悪用期間前にパッチが適用された。第三に、影響を受けて露出後にパッチが適用されたが、定義された検索で侵害の兆候は見つからなかった。第四に、侵害の兆候があるか、それらを排除するには証拠が不十分である。公開アドバイザリが顧客にこれらのカテゴリーを書き留めさせることはめったにありませんが、成熟した対応プログラムはそうすべきです。

プレッシャーは特に中小企業にとって深刻です。大企業は脆弱性管理、資産発見、SIEM 保持、変更ウィンドウを持っているかもしれません。中小企業は、Fortinet アプライアンスが露出しているかどうか、アップグレードが安全かどうかを知るために、販売店やマネージドサービスプロバイダーに依存するかもしれません。この依存関係は説明責任の連鎖を変えます。購入者は依然として運用上の損害を負いますが、実際の管理は、アプライアンスをインストールしたサプライヤー、それを管理する MSP、または緊急性を決定するアドバイザリを発行するベンダーにある可能性があります。

その後の持続性警告が修復の意味を変えた

Fortinet の記録は、後の公開警告が、古い脆弱なエッジデバイスがパッチサイクルが終わった後も長くリスクの一部であり続けることを示したため、より重要になりました。CISA の2025年のアラートFortinet Releases Advisory on New Post-Exploitation Technique for Known Vulnerabilitiesは、悪用の履歴が修正バージョンを超えて存続しうることを思い出させます。攻撃者がデバイスが是正される前に既知の脆弱性を使用した場合、その後のアップグレードは、デバイスがアクセスの維持や後続活動のステージングに使用されたかどうかを完全に回答しないかもしれません。

これが、説明責任がパッチコンプライアンスからフォレンジックの十分性に移行するポイントです。コンプライアンスダッシュボードは、現在のファームウェアが修正されているため緑色の状態を示すかもしれません。インシデントレスポンダーは、ダッシュボードが緑色になる前にアプライアンスが侵害されたかどうかを尋ねるかもしれません。これらは競合する真実ではありません。それらは同じ義務の異なる層です。パッチ状態は、既知の脆弱性がまだ悪用可能であるべきかどうかを回答します。フォレンジック状態は、脆弱性が悪用可能な間に攻撃者が侵入したかどうかを回答します。

Fortinet の関連する FortiGuard アドバイザリFG-IR-24-015は、エッジ SSL-VPN の脆弱性の圧力が1つの CVE で終わらなかったため、パターンのコンテキストを追加します。この記事は別々のバグを混同する必要はありません。代わりに、製品クラスが繰り返し発生する管理質問を生み出すことを観察すべきです。顧客は次のアドバイザリを乗り越える露出モデルを必要としています：どのアプライアンスが公開されているか、どの機能が有効か、どのバージョンが実行されているか、どのログが保持されているか、どの緊急緩和策が事前承認されているか。

政府のガイダンスは、エッジデバイスを高度なアクターの優先ターゲットとしてますます扱っています。共同アドバイザリAA24-038Aは、国家関連アクターが侵害されたエッジおよびネットワークデバイスをステルスアクセスおよびランド・オブ・ザ・リビングキャンペーンの一部として使用する広範なパターンを説明しています。そのアドバイザリは Fortinet 固有のインシデントレポートではありません。その価値はカテゴリーレベルです：企業が保護インフラとみなすデバイスは、信頼され、インターネットに面し、運用上検査が困難であるため、まさに魅力的であり得ます。

公的な説明責任への影響は不快です。「パッチを適用した」と言う組織は、「パッチ適用前にアプライアンスが使用されたかどうかを確認した」と言えない場合、依然として不完全な話をしている可能性があります。インターネットに面した VPN やファイアウォールの場合、その2番目の声明には、保持されなかったログ、利用可能でなかったベンダーツール、または顧客が持っていない専門知識が必要になるかもしれません。サプライヤーは、より明確な検出資料を公開し、より良い整合性チェックを構築し、有用なログを保存し、侵害評価を英雄的な手作業に依存させないようにすることで、そのギャップを減らすことができます。

同じ問題は規制当局や保険会社にも影響します。侵害を評価する規制当局は、タイムラインが長い脆弱な期間を示している場合、現在のバージョン状態だけに頼ることはできません。サイバーリスクを価格設定する保険会社は、パッチ適用済みアプライアンスを、暴露されたことのないものと同等に扱うことはできません。ネットワークチームがエッジデバイスがエントリポイントになったかどうかを証明できない場合、取締役会は一行のクロージャを受け入れることはできません。したがって、修復は静的な設定の主張ではなく、時間に制約された証拠の主張です。

ベンダーの明確さはオペレーターの現実に合致しなければならない

Fortinet には修正バージョンと技術的ガイダンスを公開する明白な義務がありました。顧客には影響を受けるシステムにパッチを適用する明白な義務がありました。説明責任のギャップは、それらの声明の間の空間で何が起こるかです。オペレーターはアドバイザリを読み、影響を受けるバージョンをマッピングし、露出を判断し、変更ウィンドウを計画し、互換性をテストし、ダウンタイムを伝達し、アップグレードを検証し、侵害を探し、リーダーシップにリスクを報告しなければなりません。どのステップがあいまいであったり、遅れたり、証拠なしで委任されたりすると、公開された話はきれいになりすぎます。

Huntress、Rapid7、Tenable からの実務者の記事は、オペレーターが CVE ラベル以上のものを必要とした理由を示しています。Huntress のcritical Fortinet FortiGate vulnerability analysis、Rapid7 のFortinet FortiOS remote code execution advisory、Tenable のCVE-2023-27997 analysisはすべて運用オーディエンスを対象としていました：何が影響を受けるか、どの程度緊急か、セキュリティチームは何をすべきか、スキャンや露出管理はどのように対応すべきか。これらは二次情報源ですが、実際の市場機能を示しています。オペレーターがベンダーのアドバイザリを行動に移すのに苦労する場合、セキュリティ研究者と露出プラットフォームが翻訳者になります。

その翻訳役割は有用ですが、ベンダーの説明責任の代わりにはなりません。境界セキュリティ製品のベンダーは、多くの顧客が深い FortiOS の専門知識を持っていないと想定すべきです。アドバイザリは、エンジニアだけでなく、CISO、MSP、エグゼクティブにも緊急性を理解可能にすべきです。影響を受ける機能と影響を受ける製品を区別すべきです。機能を無効にすることが合理的な一時的制御である場合を述べるべきです。どのログと成果物が重要かを特定すべきです。悪用や悪用後のパターンがより明確になったときにガイダンスを更新すべきです。

顧客の現実には変更リスクも含まれます。ファイアウォールや VPN の停止は、リモートスタッフ、請負業者、ブランチ、緊急サポートをブロックする可能性があります。製品が重要な運用を保護している場合、性急なアップグレードは運用上のリスクと感じられるかもしれません。それは遅延を正当化するものではありません。責任あるパッチガバナンスは、エッジセキュリティアプライアンス向けの緊急ウィンドウを事前に計画しなければならないことを意味します。次の FortiGuard アドバイザリが公開される前に、計画外の FortiGate アップグレードを誰が承認できるかを決定する時期です。

マネージドサービスプロバイダーは特別な監視に値します。多くの中小企業は、自分たちが実行している Fortinet のバージョンを知りません。直接の管理アクセスすらないかもしれません。MSP がアプライアンスを管理している場合、MSP はアドバイザリから修復への実用的な経路を管理します。防御可能な MSP の対応は、顧客に簡潔な証拠パッケージを提供する必要があります：デバイス識別子、影響を受けるバージョンステータス、露出ステータス、パッチ時間、一時的緩和策、実行された侵害チェック、残存する不確実性、推奨されるパスワードまたはトークンのローテーション。そのパッケージがなければ、顧客は口頭での保証を信頼しなければならないかもしれませんが、依然として法的および運用上の結果を負います。

同じ論理が調達にも適用されます。購入者は、ベンダーがエッジでの緊急パッチをサポートできるかどうかを尋ねるべきです。製品は有用なインベントリデータを公開していますか？アップグレードはテストされ、元に戻せますか？ログは再起動とアップグレードを超えて保持されますか？ベンダーは機械可読なアドバイザリを提供していますか？アプライアンスは設定ベースラインをサポートしていますか？CISA のsecure configuration baselinesとより広範なSecure by Designの取り組みは、Fortinet の事実を決定するからではなく、テクノロジーサプライヤーが安全な運用の負担を軽減し、すべての複雑さを顧客に転嫁しないという期待を定義するために関連しています。

露出インベントリは隠れた管理手段である

この記録における最も重要な顧客側の管理手段は、単に「より速くパッチを適用する」ことではありません。それは露出インベントリです。企業は特定できないものにパッチを適用できません。公開されているかどうかわからないデバイスで SSL-VPN を無効にできません。影響を受けるアプライアンスの数がわからなければ、エグゼクティブにどれだけのリスクが残っているかを伝えられません。重要な FortiOS アドバイザリが現れた瞬間、最初の説明責任のある質問は次の通りです：すべての Fortinet エッジデバイスはどこにあり、どのサービスが露出し、誰がそれらを所有し、どれが脆弱ですか？

これは本当の緊急事態が発生するまで平凡に聞こえます。エッジアプライアンスは、買収、ブランチオフィス、請負業者、地域の IT チーム、または MSP によってインストールされている場合があります。公式に管理されているものもあれば、継承されたものもあります。変更カレンダーが異なる地域にあるものもあります。壊れやすいため誰も触れたがらない古いリモートアクセスユースケースを提供するものもあります。これらはまさに、攻撃者が防御者と同じ公開アドバイザリを読んだときに危険になるシステムです。

したがって、Fortinet CVE-2023-27997 の記録は、インベントリテストとして読まれるべきです。成熟した組織は、インターネットに面した FortiGate および FortiOS SSL-VPN 表面のリストを迅速に生成し、それらを FortiGuard の影響を受けるバージョンマトリックスと比較し、各是正決定を記録できたはずです。弱い組織は、どのチームがどのデバイスを所有しているかを尋ねる重要な時間を費やしたかもしれません。境界インシデントでは、インベントリの不確実性による遅延は管理上のオーバーヘッドではありません。それは露出です。

ここで、悪用予測と優先順位付けツールが役立つ可能性がありますが、誤解を招く可能性もあります。FIRST のExploit Prediction Scoring Systemは、組織が悪用の確率について考えるのに役立ちます。CISA の KEV カタログは、既知の悪用がある脆弱性を特定するのに役立ちます。しかし、どちらのツールもデバイス固有の露出を置き換えることはできません。環境に存在しないアプライアンスの高い EPSS スコアは問題ではありません。露出したデバイスでログが不十分な低スコアの脆弱性は、深刻なローカル問題である可能性があります。説明責任には、グローバルなシグナルとローカルな事実を組み合わせることが必要です。

エグゼクティブは理解できる形式でインベントリ証拠を求めるべきです。「Fortinet に取り組んでいます」ではありません。「スキャナーはほとんどがパッチ済みと言っています」でもありません。有用なブリーフは次のように述べます：Fortinet エッジデバイスの総数、露出した SSL-VPN の数、影響を受けた数、パッチ済みの数、緩和済みの数、不明の数、完了した侵害チェック、例外、所有者、期限、残存リスク。そのレポートは短くてもかまいません。曖昧であってはなりません。

不明の数は特に重要です。多くのインシデントで、リーダーシップは誰も確認していない資産の部分を隠す楽観的な要約を受け取ります。Fortinet の緊急事態では、不明を可視化すべきです。5つのブランチデバイスに到達できない場合、それはリスク状態です。1つの MSP が証拠を返さなかった場合、それはリスク状態です。検査前にログが上書きされた場合、それはリスク状態です。不明は侵害を意味しません。それは、組織がより強い主張をまだできないことを意味します。

被害経路は顧客を通る

エッジアプライアンス侵害の被害者は、必ずしもベンダーの直接の従業員ではありません。それらは、デバイスが保護するネットワークの顧客、リモートアクセスに依存する労働者、それらの顧客がサービスを提供する市民や患者、侵害された環境からの接続を信頼する下流の組織です。そのため、説明責任の連鎖は Fortinet と顧客の契約で止まることはできません。

FortiGate アプライアンスが小さな自治体を保護している場合、侵害は公共サービスに影響を与える可能性があります。マネージドサービスプロバイダーを保護している場合、爆発半径は複数の顧客に移動する可能性があります。診療所を保護している場合、リモートアクセスとランサムウェアのリスクは患者の継続性リスクになる可能性があります。製造業者を保護している場合、ブランチの分離は生産のダウンタイムになる可能性があります。これらのシナリオは、すべての CVE-2023-27997 の露出で被害を証明するわけではありません。それらは、境界アプライアンスのパッチ適用が低レベルの IT ハウスキーピングではない理由を説明します。

政府機関からの公開記録は、エッジデバイスがなぜ国の注目を集めるかも示しています。CISA の Fortinet アラートはベンダーのマーケティングとして書かれたわけではありません。公共および民間のインフラがタイムリーな是正に依存しているから書かれました。カナダのアドバイザリは同様に、組織が即座にパッチを適用できない場合、SSL-VPN を無効にすることが適切な一時的措置であり得ると認識しました。これは緊急性の高い基準です。機関は事実上、可用性の摩擦が露出したリモートアクセスリスクを避けるために正当化される可能性があると言っていました。

顧客はその現実のために書かれた通知を必要としています。裸の CVSS スコアだけでは十分ではありません。役立つ通知は顧客被害メカニズムを説明します：露出した SSL-VPN 表面での認証なしリモートコード実行は、攻撃者に内部システムへの経路を与える可能性があります。デバイスは信頼境界に位置する可能性があります。悪用後のパッチ適用は持続性を除去しない場合があります。管理者はログを保存し、侵害を評価すべきです。その種の説明は、非専門家の意思決定者が破壊的行動を承認するのに役立ちます。

同じポイントが顧客契約に適用されます。マネージドセキュリティアプライアンスは、多くの場合、アップタイム、サポート、保護の約束とともに販売されます。重大な脆弱性の間、これらの約束は矛盾する可能性があります。サービスを維持することは、リスクの高い機能を露出したままにすることを意味するかもしれません。停止することはネットワークを保護するかもしれませんが、運用に悪影響を与える可能性があります。適切な契約は、誰がリモートアクセスを無効にする権限を持っているか、緊急労働の費用を誰が支払うか、証拠がどのように提供されるか、MSP が時間内にパッチを適用できない場合に何が起こるかについて顧客が推測するままにすべきではありません。

市場は、緊急証拠を容易にするサプライヤーに報酬を与えるべきです。顧客はデバイス状態をエクスポートし、修正バージョンを確認し、署名付きアドバイザリを受け取り、整合性チェックを実行し、関連ログを保存し、例外が閉じられたことを証明できるべきです。これらの機能は華やかではありませんが、公開 CVE から防御可能な修復への道のりを短縮します。

Fortinet が証明できたことと、顧客がまだ証明しなければならなかったこと

Fortinet は、アドバイザリを公開し、影響を受けるバージョンを特定し、修正をリリースし、公開ガイダンスを更新したことを証明できました。FortiGuard および PSIRT の資料はその証拠です。CISA や他の機関は、緊急性を増幅したことを証明できました。NVD は公開脆弱性記録を提供できました。脅威研究者は運用上の翻訳を提供できました。これらの情報源はどれもすべての顧客アプライアンスの状態を証明することはできません。

その区別は公正な説明責任にとって重要です。明確なガイダンスにもかかわらず露出したデバイスにパッチを適用しなかった顧客は、そのローカルな決定に対して責任を負います。しかし、ガイダンスが理解しにくかった場合、影響を受けるバージョンのマッピングがあいまいだった場合、検出資料が遅れたり不完全だった場合、またはアップグレードパスが実際にはリスクが高かった場合、サプライヤーの管理は依然として関連性があります。ポイントはすべての責任を Fortinet に転嫁することではありません。ポイントは、各アクターが実際にどこで実用的な管理を持っていたかを特定することです。

強力な顧客修復記録には、少なくとも8つの証拠が含まれるべきです。第一に、Fortinet デバイスと露出サービスのインベントリ。第二に、影響を受けるバージョンへのマッピング。第三に、パッチまたは緩和のタイムスタンプ。第四に、SSL-VPN または管理露出が必要に応じて削減されたことの証拠。第五に、侵害についてレビューされたログと指標。第六に、タイムラインが必要とする場合にローテーションされた資格情報とトークン。第七に、所有者と期限付きの例外。第八に、アプライアンスが外部関係者を保護している場合の顧客または利害関係者への通知。

強力なベンダー修復記録には、補完的な証拠が含まれるべきです。アドバイザリは明確で更新されているべきです。修正バージョンは利用可能で安定しているべきです。検出と侵害評価のガイダンスは具体的であるべきです。カスタマーサポートは緊急トリアージを理解しているべきです。製品設計は可能な限りデフォルトで露出を減らすべきです。将来のリリース保証は、1つの CVE だけでなく、バグのクラスに対処すべきです。ベンダーはまた、テレメトリー、機械可読なアドバイザリ、または整合性チェックツールが次回の顧客の不確実性を減らせるかどうかを検討すべきです。

政府およびセクター機関には独自の役割があります。CISA は連邦民間機関向けの KEV 期限と公開アラートを通じて是正緊急性を設定できます。各国のサイバーセンターは地元のオペレーター向けにリスクを翻訳できます。セクター規制当局は、重要サービスプロバイダーが実際に露出したアプライアンスにパッチを適用し、検査したかどうかを尋ねることができます。しかし、規制当局はパッチコンプライアンスをチェックボックスにしないように注意すべきです。本当の質問は、脆弱な経路が存在したかどうか、悪用されたかどうか、そして証拠がその回答を支持するのに十分であるかどうかです。

このため、悪用後の警告は、元のアドバイザリから長い時間が経過した後でも重要です。それらは一次元的な修復の弱点を露呈します。今日パッチが適用されたデバイスは、昨日攻撃者の足がかりだったかもしれません。説明責任を求める取締役会は、現在のファームウェア状態だけでなく、全タイムラインについて尋ねるべきです。

クロージャ記録は露出と修復を区別すべき

最後の Fortinet の教訓は、パッチ記録は露出記録と同じではないということです。顧客は、どのアプライアンスが存在したか、どれがインターネットに面していたか、どれにパッチが適用されたか、どれが不審な活動を示したか、どの資格情報がローテーションされたか、どの例外が残ったかを知る必要があります。単一の「是正済み」ステータスは、修正前に何ヶ月も露出していたアプライアンスを隠す可能性があります。より強力な記録は、露出、是正、検査、および復元された信頼を分離します。