Stephen Robinson氏
ヘルシンキを拠点とするWithSecureは現地時間5月28〜29日、同社年次カンファレンス「SPHERE24」を開催した。初日のメディア向けセッションでは同社でシニア脅威インテリジェンスアナリストを務めるStephen Robinson氏が2024年における大規模なエクスプロイトについて解説した。
2024年1月は、ITインフラとエッジサービスに対する大規模なエクスプロイトが発生したため「90日間あったように感じた」とRobinson氏は述べる。このような状況はそれ以降も続いているという。
同社によると、現在、インシデント対応（IR）活動の50％は、外部公開されているITインフラやサービスが感染経路の起点となっているケースが占めている。一方、電子メールによる悪意のあるドキュメントの配信が減少しているという。このため、同氏は、調査と分析を開始したと語る。
「大規模なエクスプロイトの発生に必要なものが一つある。攻撃対象領域に生じた亀裂だ」とRobinson氏はいい、脆弱（ぜいじゃく）なエッジ表面をまずは挙げる。
他組織からも同様の研究結果が発表されており、Symantecによると、脆弱なエッジサービスは、ランサムウェア攻撃が悪用する主な経路だという。Bitsightは、2023年、既知の悪用された脆弱性（Known Exploited Vulnerabilities：KEV）がインターネットに面したアセットで検出された組織が35％あったと報告する。
Robinson氏は、自身の調査がKEVを基にしており、単に存在するだけでなく、エッジやITインフラで悪用された脆弱性を調べるためと説明。調査で参照される日付は、KEVに追加された日付が使われているという。
エッジデバイスは、サービスを提供するためにコアネットワークにアクセスでき、必要かどうかにかかわらず高い権限を持ち、データや認証情報の貴重な情報源となる可能性がある。ほかのデバイスほど監視の目が行き届かず、エンドポイント型脅威検知および対応（EDR）ソフトがインストールされているとしたら少し貴重なことだと同氏。そのため、侵害したネットワークのアクセスを売買する攻撃者にとって、侵入の質より量を狙うことができる攻撃対象だという。
KEVに追加されたエッジサービスの共通脆弱性識別子（CVE）を過去2年間で見た場合、2023年の始めから増加傾向にあり、この6カ月で大幅に増えた。これとは対照的にエッジサービス以外に関するCVEは、2023年に劇的に増加したものの、2024年には減少した。
1カ月当たりの平均CVE数を年ごとに比較すると（下図左）、エッジサービスは、2022年で2件だったのが2024年には4.75件と2倍以上に増え、ほかのCVEと比較して継続的に増加する傾向が強い。基本値の平均を見ると（下図右）、エッジはやや変動したものの「毎年高いスコアを出している」（Robinson氏）
CVEの基本値（最大10.0）の度数分布は、エッジサービスは高い度数に偏り、中央値は9.8だった。ほかの中央値は8.8だった。基本値が9.0～9.9に分類される脆弱性は、エッジサービスでは61％に上るが、それ以外では30％だった。
Exploit Prediction Scoring System（EPSS）のパーセンタイル値で見ると、エッジCVEの67％が97.5パーセンタイルを上回っているが、それ以外のCVEでは35％ほどだった。
