「ゼロデイ脆弱性」とは？

ゼロデイとは、修正する責任を負う人たちがまだ存在を知らないセキュリティ上の欠陥のことです。最初に見つけた者は抵抗なく侵入でき、当てるべきパッチもなければ、反応すべき警告もありません。名前はカウントダウンを表していて、ベンダーに与えられた修正日数がゼロなのです。

ゼロデイを定義するのは欠陥の重大さではなく誰が知っているかであり、普通の欠陥はベンダーに報告され、修正され、公表されるので、防御側は修正を適用し、攻撃側はまだ適用していない相手に先回りしようと走ります。ゼロデイの場合はベンダーも防御側も存在をまだ知らない一方で、見つけた者だけがどこを押せばよいかを正確に把握しています。当てるパッチは存在せず、セキュリティ製品にも照合するものがありません。既知の攻撃のパターンをもとに動いているからです。一つの価値はここから直接導かれ、更新が出た当日にすべて適用するような組織であっても、これに当てるものが存在しないからです。仲介業者は広く使われているソフトのゼロデイに6桁後半から7桁を支払い、買い手には犯罪者だけでなく政府も含まれます。名前のカウントダウンはベンダーが欠陥の存在をようやく知る日から始まり、その多くはそれを使った攻撃が検知されたことがきっかけで、以後は窓が閉じるまでパッチ作成と悪用の競争になります。押さえておくべき視点として、ゼロデイは見出しを飾りますが侵害の大半はゼロデイではなく、数か月前に公表され修正されていた欠陥を、更新を当てなかった所有者のところで突かれた事例なのです。

泥棒だけが知っている錠前の欠陥。鍵はいつも通り回り、扉は今日も頑丈に見え、家のどこにも異常を示すものはないのに、ある特定の手口だけが数秒でそれを開けます。誰にも教えられていないものは直しようがなく、鍵屋のほうも必要だと知らない交換品を売ることはできません。危険のすべては、泥棒が知っている状態とメーカーが気づく瞬間との、その隙間に住んでいるのです。