performing-endpoint-vulnerability-remediation

エンドポイントの脆弱性を修正する

使用するタイミング

以下の場合にこのスキルを使用します：

• スキャナー（Nessus、Qualys、Rapid7）が検出した脆弱性を修正する場合
• 即時のパッチ適用が必要なゼロデイ CVE の勧告に対応する場合
• パッチ管理 SLA（重大は 14 日以内、高は 30 日以内）への準拠を維持する場合
• 脆弱性スキャン結果から優先順位を付けた修正計画を作成する場合

脆弱性のスキャン自体にはこのスキルを使用しないでください（スキャンツールを使用してください）。また、アプリケーション層の脆弱性の修正にも使用しないでください（DevSecOps プロセスを使用してください）。

前提条件

• 脆弱性スキャン結果（Nessus、Qualys、Rapid7 から CSV/XML 形式でエクスポートしたもの）
• パッチ管理プラットフォーム（WSUS、SCCM、Intune、または Automox などのサードパーティ製品）
• 対象エンドポイントまたはデプロイインフラストラクチャへの管理者アクセス
• 本番エンドポイントへのパッチ適用に関する変更管理プロセス
• 本番環境への展開前にパッチを検証するためのテスト環境

ワークフロー

ステップ 1：脆弱性の検出結果をインポートし、優先順位を付ける

Priority scoring combines:
1. CVSS Base Score (0-10)
2. EPSS (Exploit Prediction Scoring System) - probability of exploitation
3. CISA KEV (Known Exploited Vulnerabilities) catalog membership
4. Asset criticality (business impact of affected endpoint)
5. Network exposure (internet-facing vs. internal)

Priority Matrix:
  P1 (Critical - 14 days SLA):
    - CVSS >= 9.0 OR
    - Listed in CISA KEV OR
    - Active exploitation in the wild + CVSS >= 7.0

  P2 (High - 30 days SLA):
    - CVSS 7.0-8.9 AND
    - EPSS > 0.5 (50% probability of exploitation)

  P3 (Medium - 60 days SLA):
    - CVSS 4.0-6.9 OR
    - CVSS 7.0-8.9 with EPSS < 0.1

  P4 (Low - 90 days SLA):
    - CVSS < 4.0 AND
    - No known exploit

ステップ 2：修正アクションを特定する

各脆弱性について、適切な修正方法を判断します：

Remediation Types:
1. Patch: Apply vendor security update (most common)
2. Configuration change: Modify settings to mitigate (registry, GPO)
3. Upgrade: Update to newer software version
4. Workaround: Apply temporary mitigation when patch unavailable
5. Compensating control: Network segmentation, WAF rule, EDR rule
6. Accept risk: Document accepted risk with CISO sign-off

ステップ 3：WSUS/SCCM を介してパッチを展開する

# WSUS: Approve patches for deployment
# 1. Open WSUS Console
# 2. Navigate to Updates → Security Updates
# 3. Approve selected KBs for target computer groups

# SCCM: Create Software Update Group
# 1. Software Library → Software Updates → All Software Updates
# 2. Select required KBs → Create Software Update Group
# 3. Deploy to target collection with maintenance window

# Intune: Create Windows Update Ring
# Devices → Windows → Update rings
# Configure: Quality updates deferral = 0 days (for critical)
# Feature updates deferral = per policy

# PowerShell: Force Windows Update check
Install-Module PSWindowsUpdate -Force
Get-WindowsUpdate -KBArticleID "KB5034441" -Install -AcceptAll -AutoReboot

# Verify patch installation
Get-HotFix -Id "KB5034441"
systeminfo | findstr "KB5034441"

ステップ 4：構成に基づく修正を適用する

# Example: Disable SMBv1 (CVE-2017-0144 - EternalBlue)
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

# Example: Disable Print Spooler on non-print servers (CVE-2021-34527 - PrintNightmare)
Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled

# Example: Disable LLMNR (credential theft mitigation)
# Via GPO: Computer Configuration → Admin Templates → Network → DNS Client
# Turn off multicast name resolution: Enabled
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient" `
  -Name EnableMulticast -Value 0 -PropertyType DWORD -Force

# Example: Restrict NTLM authentication
# Via GPO: Security Settings → Local Policies → Security Options
# Network security: Restrict NTLM: Audit/Deny

ステップ 5：ゼロデイ脆弱性（パッチがない場合）に対処する

When vendor patch is not yet available:

1. Check vendor advisory for workarounds
   - Microsoft: https://msrc.microsoft.com/update-guide
   - Adobe: https://helpx.adobe.com/security.html
   - Linux: Distribution security trackers

2. Apply temporary mitigations:
   - Disable vulnerable feature/service
   - Deploy EDR detection rule for exploitation attempt
   - Apply network-level blocking (WAF/firewall rules)
   - Restrict access to vulnerable application

3. Monitor for patch release:
   - Subscribe to vendor security mailing list
   - Monitor CISA KEV additions
   - Set calendar reminder for next Patch Tuesday

4. Document workaround with expiration date

ステップ 6：修正を検証する

# Re-scan remediated endpoints to confirm vulnerability closure
# Option 1: Targeted vulnerability scan
nessuscli scan --target 192.168.1.0/24 --plugin-id 12345

# Option 2: PowerShell verification
# Check specific KB is installed
$kb = Get-HotFix -Id "KB5034441" -ErrorAction SilentlyContinue
if ($kb) {
    Write-Host "PASS: KB5034441 installed on $(hostname)" -ForegroundColor Green
} else {
    Write-Host "FAIL: KB5034441 missing on $(hostname)" -ForegroundColor Red
}

# Check service is disabled
$svc = Get-Service -Name Spooler
if ($svc.StartType -eq 'Disabled') {
    Write-Host "PASS: Print Spooler disabled" -ForegroundColor Green
}

# Check registry configuration
$val = Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" `
  -Name SMB1 -ErrorAction SilentlyContinue
if ($val.SMB1 -eq 0) {
    Write-Host "PASS: SMBv1 disabled" -ForegroundColor Green
}

ステップ 7：報告し、追跡する

修正状況レポートを作成します：

Remediation Metrics:
  - Total vulnerabilities: X
  - Remediated: Y (Z%)
  - Pending (within SLA): A
  - Overdue (past SLA): B
  - Accepted risk: C
  - Mean time to remediate (MTTR): D days
  - SLA compliance rate: E%

主な概念

用語	定義
CVSS	Common Vulnerability Scoring System。脆弱性の重大度を 0～10 で評価する尺度です
EPSS	Exploit Prediction Scoring System。CVE が 30 日以内に実環境で悪用される確率（0～1）です
CISA KEV	CISA Known Exploited Vulnerabilities カタログ。連邦政府の義務により、指定期間内にこれらの CVE にパッチを適用する必要があります
SLA	脆弱性の重大度に基づく修正期間に関するサービスレベル契約です
MTTR	Mean Time To Remediate。脆弱性の発見から修正の確認までにかかる平均日数です
補完的なセキュリティ対策	直接的な修正が実行できない場合に用いる代替のセキュリティ対策です

ツールとシステム

• Nessus/Tenable.io：脆弱性スキャンと修正状況の追跡
• Qualys VMDR：脆弱性管理、検出、対応プラットフォーム
• Rapid7 InsightVM：ライブダッシュボードを備えた脆弱性評価
• WSUS/SCCM/Intune：Microsoft のパッチ展開インフラストラクチャ
• Automox：Windows、macOS、Linux 向けのクラウドネイティブなパッチ管理
• CISA KEV Catalog：https://www.cisa.gov/known-exploited-vulnerabilities-catalog

よくある落とし穴

• テストせずにパッチを適用する：まずテストグループにパッチを適用してください。一部のパッチは、アプリケーションの互換性問題や BSOD を引き起こします。
• EPSS スコアを無視する：CVSS 9.8 でも EPSS 0.01 の脆弱性は、CVSS 7.5 で EPSS 0.95（積極的に悪用されている）の脆弱性より緊急度が低い場合があります。
• 修正を検証しない：パッチを展開しても、インストールされたとは限りません。必ず再スキャンして、修正済みであることを確認してください。
• 重大なサーバーをパッチ適用の対象外にする：「再起動できない」サーバーには重大な脆弱性が蓄積します。メンテナンス時間を設定してください。
• すべての CVE を同等に扱う：リスクに基づく優先順位付け（CVSS + EPSS + 資産の重要度 + 露出度）は、重大な脆弱性すべてに先にパッチを適用するより効果的です。