NEC、AIが発見する未公開脆弱性の分析から仮想パッチ生成までを自動化

　NECは、急増するソフトウェア脆弱性への対処を支援する、セキュリティ向けAI技術「cotomi Security for Industry」を開発したと発表した。

　同技術は、最先端のAIモデルによって発見された膨大な未公開の脆弱性情報を取り込み、分類を行ない、システムへの影響分析、対応優先度の判断、仮想パッチ生成までをワンストップで行なう。

　脆弱性そのものの深刻度だけではなく、機器のインターネットへの露出や悪用事例などから、米国CISAが6月に発行したBOD26-04に基づいて対応優先度を判断。また、単独では優先度が低い脆弱性でも、複数の脆弱性を組み合わせることで重要資産への攻撃が可能となる場合があるため、そのような脆弱性を特定し、優先度を見直していく。判断基準が未整備な未公開の脆弱性についても、「3日以内」、「14日以内」、「次のシステム更新時」など、実運用に即した優先順位付けを行ない、顧客のシステムにおいて効果的な脆弱性対処を支援する。

　脆弱性の発見後は想定される攻撃手法を分析し、Webアプリケーションへの攻撃を検知・防御するWAF（Web Application Firewall）や、ネットワークやシステムへの脅威を検知・遮断するIDS/IPS（Intrusion Detection System / Intrusion Prevention System）などに適用可能な仮想パッチを自動生成。これにより、パッチが未提供の場合や、システム影響によりパッチ適用が困難な場合でも、迅速なリスク低減が可能となっている。

重要資産への攻撃経路のイメージ

脆弱性対応の優先順位付けのイメージ