2026.07.09
「OSやソフトウェアのパッチは脆弱性管理の観点から早く適用しなければならないことは分かっているが、実際にはなかなか難しい…」 これは特定の企業のIT管理者だけの悩みではなく、少々大げさですが、全世界共通の悩みなのかも知れません。
目次
1. パッチ対応における「理想と現実」
米国の公的機関であるCISA（サイバーセキュリティ・インフラセキュリティ庁）が公表しているパッチについての記事*によると、既知の脆弱性のパッチ対応期間の中央値はおおよそ43日間であるとされています。
(*出典： 2026年6月10日英文記事CISA BLOG “Patch Smarter, Not Harder" https://www.cisa.gov/news-events/news/patch-smarter-not-harder)
また、各種セキュリティレポートで言及されているとおり、ランサムウェアの被害はとどまるところを知らず、警察庁の最新報告によると、ランサムウェア被害に遭った企業・団体のうち、約6割が中小企業**で占められています。大企業に比べてセキュリティ対策や人員（SOCなど）が手薄な中堅・中小企業が、格好の標的（サプライチェーンの踏み台含む）になっている実態が浮き彫りになっています。
（**出典：警察庁発表データ「令和７年におけるサイバー空間をめぐる脅威の情勢等について（PDF）」https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）
これらのセキュリティ侵害の過程において、理由は様々あるとしても、結果として塞がれていなかった脆弱性が攻撃者の目的達成の成功率を上昇させる要因になってしまっています。
2. パッチ管理と脆弱性管理
似て非なるこの2種類の「管理」ですが、パッチ管理を考えた場合、Windowsにおいてまず思い当たるツールはWSUS（Windows Server Update Services）です。すべてのパッチを全てのサーバへあててゆく作業は環境にも依りけりですが、特にオンプレミスサーバの場合、「万が一システムが停止してしまった場合の物理的な影響やネットワーク的な影響が読めない」、「業務時間中は絶対に再起動できない」といった多くの制約があるため、クラウド上のインスタンス以上にパッチ適用が後回しになりがちです。また、WSUSでは「より危険度が高く、早期に対処すべき脆弱性がどれであるか」という点まではカバーされていません。
そのような課題を解決するのが、「脆弱性管理ツール」です。優先度が高く早期に対処すべきリスクにリソースを集中させることで、より効果的な脆弱性管理が可能となり、ひいてはサイバー攻撃の成功率を下げることができます。では、このような脆弱性管理を実践するには、具体的にどのようなアプローチがあるでしょうか。
●Microsoft Defender 脆弱性管理（MDVM）
Microsoft Defender Vulnerability Managementは 、Microsoft社が提供するリスクベースの脆弱性管理の仕組みです。エージェントを通じてサーバやエンドポイントを継続的に確認し、CVE情報を元に脆弱性を監視・管理することが出来ます。
●その他セキュリティ対策ベンダーのソリューション
MDVM以外にも、サードパーティのセキュリティベンダーから同様のソリューションが提供されていることがあります。単体のソリューションとして提供されている場合もありますが、特にEDR製品を提供しているベンダーにおいては、EDR製品オプションとして購入できる場合がありますので、既存環境への導入の容易性が高いと思われます。
上記ソリューションの活用によって、これまでよりも格段に効率的なOSパッチによる脆弱性への対応を行うことが可能となります。
3. 脆弱性を悪用されてしまったら…
一方、サイバーセキュリティの世界において100%完全な安全性を担保することは極めて困難です。そのため、「脆弱性管理やパッチ管理を徹底していても、万が一、脆弱性を突かれてしまったらどうすればよいのか」という疑問を持たれる方も多いのではないでしょうか。限りある人的リソースの中で、私たちはどのような現実的な対応を取るべきか、その最適解を考えます。
脆弱性を悪用されることにより端末またはサーバに侵入された場合、アンチウイルスあるいはEDRによって検出が不可能な場合があります。特に LotL (Living off the Land - 環境寄生型攻撃)と呼ばれる、人間あるいは自律型AIエージェントによる高度な攻撃ではウイルスファイルなどの実体がなく、検出を逃れる手法も数多くあります。
検出を逃れる方法のひとつとしてLOLBin（Living off the Land Binaries -- OSにインストールされているPowerShellやコマンドプロンプト等の正規のツール）を巧みに利用してアンチウイルスまたはEDRソリューションによる検出を迂回する攻撃が展開されることがあります。
万が一の際にも、最終的に攻撃者の目的を「達成させない」ためには、攻撃の成功率を極限まで下げるエンドポイントの「要塞化」が非常に有効です。「要塞化」を行っておけば、パッチ未適用の既知の脆弱性や未知の脆弱性を悪用されたとしても、攻撃の進行を食い止め、お客様環境全体の堅牢性を担保する「最後の一線」となります。
4. まとめ
平時におけるパッチ管理（脆弱性管理）の重要性は論を待ちません。しかし、攻撃者によるAIの活用と攻撃の高速化が進む現代において、攻撃を完全に防ぎきることは困難です。環境全体に対する「攻撃（侵入）を前提とした堅牢性」をより向上させるためには、エンドポイントの要塞化を並行して行うことが極めて有効です。
弊社が提供するエンドポイントセキュリティソリューション「AppGuard」は、従来の「怪しいプログラムを見つける（検知）」アプローチではなく、「OSの正規ツールであっても、許可されていない不正な動作（挙動）は実行させない」という独自の３つ（起動・行動・領域）の制御技術によりPCやサーバを要塞化します。アンチウイルスやEDRソリューションを補完し、すり抜けてしまうような未知の脆弱性攻撃や環境寄生型攻撃を、文字通り無効化することで堅牢性をより向上します。
エンドポイント環境「最後の一線」をどう守るか、見直してみませんか？
AppGuard製品ページ ／ 製品に関するお問い合わせ ／ ホワイトペーパーのダウンロード
株式会社AppGuard｜執筆：AppGuard セキュリティアドバイザー
