ゼロデイ攻撃とは？Nデイとの違いと対策をわかりやすく解説

ゼロデイ攻撃は、メーカーが脆弱性の修正プログラムや対策の情報を出す前に、その脆弱性を悪用して行われる攻撃です。修正版がまだないため、完全に防ぐのが難しい攻撃です。一方、修正版が出たあとも、更新していないシステムは「Nデイ攻撃」で狙われ続けます。

ゼロデイとゼロデイ攻撃の意味

「ゼロデイ」は、修正プログラムや対策の情報がまだ出ていない脆弱性や、それを狙う攻撃について使われる言葉です。ここでは、公的機関が説明している「ゼロデイ攻撃」を中心に解説します。

総務省は、ゼロデイ攻撃を次のように説明しています。脆弱性が見つかったとき、メーカーが修正プログラムを配る前に、その脆弱性を利用して行われる攻撃です。

IPAも、開発元などが脆弱性の対策情報を公表する前に、攻撃者がその脆弱性を悪用して行う攻撃をゼロデイ攻撃と呼んでいます。

ふつうの脆弱性は、修正プログラムを当てれば直せます。ところがゼロデイ攻撃のときは、その修正プログラムがまだありません。

総務省は、メーカーが対応を考えて修正プログラムを作るまでに時間がかかることも多く、完全な対策は難しいと説明しています。

IPAは、悪用の例として、ネットワーク機器の脆弱性を使い、離れた場所から好きなプログラムを動かす攻撃を挙げています。

脆弱性が見つかると、開発元は修正プログラムや回避策を公開し、利用者に対策を呼びかけます。

IPAによると、攻撃者は公表された対策の情報をもとに攻撃用のプログラムを作り、まだ対策していないシステムを狙うことがあります。これをNデイ攻撃と呼びます。

IPAは、パッチや回避策が公開されてから、利用者がそれを適用するまでの期間の脆弱性をNデイ脆弱性と呼んでいます。つまり、ゼロデイは「対策が出る前」、Nデイは「対策は出たが、まだ当てていない」状態の違いです。

修正版が出ても、利用者が更新しなければ、その脆弱性は残ったままです。IPAは、脆弱性の管理が不十分だと対策していない期間が長くなり、被害にあう危険が大きくなると説明しています。

IPAによると、脆弱性が見つかってから悪用されるまでの時間は短くなっています。公表された脆弱性には、短い期間で攻撃ツールが作られ、売られることもあります。

特に注意が必要なのは、インターネットから直接アクセスできる製品です。たとえば、VPN機器などのネットワーク機器や、Webサイトを作るためのCMSです。攻撃用のプログラムが公開されると、多くの企業に被害が広がるおそれがあるとされています。対策の情報が出たら、早めに対応することが大切です。

総務省は、脆弱性があることだけが先に発表され、修正プログラムができるまでに時間がかかる場合があると説明しています。

その間は、一時的な回避策でシステムを守り、修正プログラムが出たら修正の対応をするよう勧めています。回避策の具体的な方法は製品ごとに違うため、メーカーの公式情報で確かめます。

IPAは、ゼロデイ攻撃への対策として、修正パッチがないことを前提にした守りを挙げています。守りを何重にも重ねること（多層防御）や、異常に気づく仕組みと体制を作ることです。

総務省は、修正プログラムを当てるまで十分に注意するよう呼びかけています。指摘された脆弱性の内容を確かめ、危険になる操作をしないことなどです。回避策は、あくまで修正版が出るまでのつなぎです。

IPAは、使っている製品や機器を把握して管理すること、脆弱性の情報を集めて対策の状況を管理することを勧めています。パッチや回避策の提供が早い製品を選び、サポートが続いている版を使うことも挙げています。

総務省も、メーカーのサポート情報や、脆弱性の情報を調整する機関の発表に、日ごろから注意するよう勧めています。自分の使っている製品が対象かどうかを確かめましょう。

このサイトの記事は、米国CISAのKEV（実際に悪用が確認された脆弱性の一覧）に載った脆弱性を解説しています。使っている製品の記事を見つけたら、公式情報で修正版や回避策を確かめ、早めに対応しましょう。