180万台以上を自動アップデート フォーティネットが進める「セキュア・バイ・デザイン」の現在
提供: フォーティネットジャパン
本記事はフォーティネットジャパンが提供する「FORTINETブログ」に掲載された「Secure by Design: フォーティネットの継続的なコミットメントと今後の取り組み」を再編集したものです。
フォーティネットは、2024年にCISAのSecure by Design Pledgeに署名した最初の企業の1つです。それ以来、私たちは単にプレッジへの支持を再表明するだけでなく、定期的なアップデートを公開してきました。すべてのアップデートでは、製品と開発プラクティスにおいて何が変わったか、それらの変更がもたらしている効果、そして作業がまだ進行中である箇所を強調してきました。
この区別は重要です。Secure by Designは一度限りの認証ではありません。これは継続的なエンジニアリングプラクティスであり、その信頼性は証拠に依存します。
過去1年間で、私たちは認証保護を強化し、自動アップデートを増やし、デバイス上のサポート対象外ファームウェアを削減し、FortiOSにおける分離と整合性を強化し、お客様により多くのセキュリティ情報を提供してきました。また、可能な限り透明性を持って製品の脆弱性を発見し報告し続け、業界のベストプラクティスに先んじています。
セキュアなデフォルトをより使いやすくする
CISAの最初の2つのプレッジ目標は、多要素認証(MFA)とデフォルトパスワードに対処しています。フォーティネットは、セキュア開発ライフサイクルポリシーを通じて、製品ライン全体でデフォルトパスワードを廃止しました。お客様は、変更されない可能性のある事前定義されたクレデンシャルを継承するのではなく、インストール時に一意のクレデンシャルを作成することが求められるようになりました。
また、オンラインサービスであるFortiCareとFortiCloudにおけるMFAを含め、ポートフォリオ全体でMFAカバレッジを拡大し続けており、97.1%に達しています。私たちは導入目標を達成し、それを上回っており、現在はお客様がより新しく、より現代的な方法にアップグレードし、SMSやEメールなどの安全性の低い方法を減らし、モバイルトークンソリューションに移行するよう推進しています。
私たちの目的は、単にMFAを利用可能にすることではありません。一部のレガシーMFA方法に伴う摩擦を減らし、より新しく、より安全な方法の採用を増やすことです。
パッチ適用の促進とサポート対象外デバイスの削減
セキュリティアップデートは、インストールされるまでほとんど保護を提供しません。そのため、プレッジの下で行った最も重要な変更の1つは、対象となるFortiGateデバイスの自動アップデートの導入です。2024年5月のプレッジ開始以来、この機能により、管理者が各アップデートを手動で開始することなく、180万台以上のFortiGateデバイスがアップデートされました。年末までに200万台の大台を突破することが予想されており、これは重要なマイルストーンとなります。
しかし、自動アップデートは問題の一部にしか対処していません。多くのデバイスは、ファームウェアやハードウェアがサポート終了に達した後も稼働し続けています。ベンダーには、そのリスクを可視化し、お客様がサポート対象のリリースとプラットフォームに移行できるよう支援する責任があります。デバイス監視、お客様への通知、地域のコンピュータ緊急対応チーム(CERT)との協力、および下取りプログラムを通じて、フォーティネットは過去3か月間でサポート終了ファームウェアを実行しているデバイスの数を13%削減しました。
これは責任共有モデルです。ベンダーがタイムリーな修正、明確なガイダンス、実用的なアップグレードパスを提供する必要がある一方で、お客様は最新のインベントリを維持し、ベンダーのアラート(UIに点滅する赤いバナーが表示されることもあります)を監視し、そのガイダンスに基づいて行動する必要があります。日常的なアップデートを効果的に自動化し、サポートされていないインフラストラクチャを特定することで、攻撃者が既に対処法が存在する既知の脆弱性(N-Day)を悪用する機会を減らすことができます。
脆弱性クラスをソースで削減
個々の脆弱性へのパッチ適用は依然として不可欠ですが、セキュアな開発では、同じ欠陥が再発することを許すパターンにも対処する必要があります。過去1年間、フォーティネットは定義された脆弱性クラスの数を削減することに注力しており、特にSQLインジェクションに重点を置いています。これらは確立された予防方法を持つ十分に理解された弱点であるため、再発は影響を受けたコードだけでなく、それらを防ぐことを目的とした開発管理体制の見直しも促すべきです。
当社の対応には、拡張されたコード監査、リグレッションテスト、およびコード品質に紐づけられた管理責任が含まれています。また、誤用がコマンド実行、メモリ安全性、または入力処理に関する問題を引き起こす可能性のある関数を指定し、管理された例外を除いてその使用を禁止しています。該当するFortiOSコードベース内で、これらの関数の使用は過去6か月間で95%減少しました。この削減の影響は、攻撃対象領域の縮小が脆弱性の減少につながることで、今後数か月で明らかになることが期待されます。
この分野における当社の取り組みは継続中であり、新しい領域に拡大しています(フロンティアAIをセキュアプロダクト開発ライフサイクルポリシーに統合することを含む)。正しいアプローチは、管理体制が実装されたら勝利を宣言することではなく、それが効果的に結果を変えるかどうかを評価し、すべての再発を見直し、必要に応じて開発プロセスを強化することです。
悪用に対する追加の障壁の構築
欠陥を排除することが当社の主要な目標ですが、大規模なソフトウェアシステムでは、すべての欠陥がリリース前に発見されることを保証することはできません。したがって、当社はFortiOSの堅牢化を継続し、脆弱性の悪用をより困難にし、侵害されたプロセスがシステム全体に与える影響を軽減しています。
・仮想パッチは、ローカルおよびサードパーティの脆弱性を防ぐために、FortiGate製品で数年前から利用可能です。セキュアバイデザイン、多層防御へのコミットメントの一環として、当社はFortiGate自体の仮想パッチをすべてのお客様に無料で提供しました。
・追加のコンパイル時およびカーネルの堅牢化により、コーディングの欠陥を再現可能なコード実行に変える技術的障壁が高まります。
・プロセスセグメンテーションは、chroot ベースの分離を使用して特定のサービスを限定されたファイルシステムビューに制限し、侵害された場合のファイルやシステムリソースへのアクセスを削減します。
・セキュリティドメインは、アプリケーションのシステムコール、機能、リソース、およびプロセス間相互作用を制限することで、エスカレーションやラテラルムーブメントを防ぐための追加の実施レイヤーを導入します。
・FortiSentryは、新しくリリースされたFortiGate 700Gから始まるFortiGateモデル向けの追加の補完的なハードウェアベースの管理機能を提供します。これはメインシステムから独立して動作し、通常の動作中に重要なシステムファイルの異常な活動を常にチェックし、不正な変更をブロックします。この分離は重要です。なぜなら、モニターは保護する環境に依存しないからです。
当社は、すべてのお客様がソリューションを正しく設定し、管理を維持するためのリソースを持っているわけではないことを理解しているため、フォーティネットはデバイスの設定と堅牢化をサポートするマネージドファイアウォールサービスと、重要で継続的なセキュリティオペレーションのための経験豊富な専門家の採用と維持に苦労している組織をサポートするSOC-as-a-Serviceを提供しています。
これらの管理機能はそれぞれ異なる目的を果たします。堅牢化は悪用の信頼性を低下させます。セグメンテーションはシステムの到達範囲を制限します。セキュリティドメインの実施は、プロセスができることを制限します。アウトオブバンド監視は、重要なファイルへの干渉を検出する代替方法を提供します。これらの対策を総合的に実施することで、単一の欠陥または侵害されたサービスがデバイスの無制限の制御を獲得することを防ぐことを目指しています。
可視性とフォレンジック
お客様には予防的な制御以上のものが必要です。疑わしいアクティビティが発生した場合、デバイスが改変されたかどうか、どのような対処を取るべきかを判断するための証拠が必要です。
FortiOS 7.4.4では、実行可能バイナリと共有ライブラリをハッシュ化し、不正な変更を検出し、変更をログに記録することで、リアルタイムのファイルシステム整合性チェックを改善しました。その後のリリースでは、これをハードウェア(FortiSentry)に移行することで、これらの機能をさらに拡張しています。
製品セキュリティデータをより使いやすくする
透明性は、お客様が提供された情報に基づいて行動できる場合にのみ有益です。フォーティネットは、security.txtを通じて機械可読なセキュリティポリシーを公開し続け、PSIRTアドバイザリに共通脆弱性タイプ一覧(CWE)と共通プラットフォーム一覧(CPE)のデータを含めています。
2025年、フォーティネットが開示した脆弱性の60%は社内で発見されました。脆弱性の社内発見は、現場で悪用される前に問題を特定するための堅牢なセキュリティテスト、コード監査、製品レビューを示しています。当社はアドバイザリインタフェースにディスカバリソースを追加し、お客様とリサーチャーが社内で特定された脆弱性と外部のリサーチャーによって報告された脆弱性を区別できるようにし、認証済みと未認証を区別できるようにすることで、お客様がリスクベースのパッチ適用の意思決定を加速できるようにしました。
透明性の精神に基づき、2027年末に施行されるEUサイバーレジリエンス法に備えて、FortiGate UIから直接ソフトウェア部品表の配送も実装しました。お客様はFortiGateインタフェース内でサードパーティソフトウェアデータを直接表示できるようになり、含まれるコンポーネントとライセンスの可視性が向上しました。これは、お客様の利益のために透明性と協調性を持って運営している方法のもう1つの例です。
次に優先していること
過去1年間の取り組みにより、測定可能な進歩が得られました。フォーティネットの次の優先事項には、セキュア・バイ・デフォルトイニシアチブへの継続的な注力、より多くの製品への自動更新カバレッジの拡大、トレーニングとガイダンスによるお客様の衛生管理のベストプラクティスのサポートが含まれます。これには、愛されているが安全でないレガシープロトコルの削除が含まれる場合があります。2026年には、telnetがその代表例です。
フォーティネットは、英国国家サイバーセキュリティセンターのイニシアチブ に沿って、フォレンジック観測可能性をネットワークデバイスの標準機能として確立することにより、改ざんの検出と潜在的なセキュリティ侵害の調査のためのより堅牢な基盤をサイバー対応者に提供することに取り組んでいます。次のステップは、管理者とインシデント対応者が利用できる証拠を強化し、それを収集して分析するプロセスを簡素化することです。
また、前述のハードニングの取り組みを拡大し続ける必要があります。セキュリティ制御は、製品リリース全体で一貫して適用され、実際の攻撃パスに対してテストされ、実装だけでなく結果によって測定される場合に最も効果的です。
当社は耐量子暗号(PQC)の開発に多額の投資を行っており、ファイアウォール、SD-WAN、SASE、管理、インフラストラクチャでPQCアルゴリズムをサポートしています。 暗号の可視性でお客様をサポートし、移行を促進する機能は、受け入れを促進するための優先事項です。
セキュア・バイ・デザインは、一度限りの誓約ではなく、継続的なコミットメントです。その目標は、予防可能なリスクを一貫して削減し、お客様のセキュアな運用を簡素化し、当社の進捗状況の透明性のある証拠を提供することです。私たちは、進行中のタスクを含むこれらの取り組みについて、引き続きデモンストレーションを行い、報告してまいります。また、お客様、リサーチャー、政府のパートナーの皆様には、この基準に対して私たちや業界の他の企業に説明責任を求めていただくことを歓迎いたします。
本記事はアフィリエイトプログラムによる収益を得ている場合があります