セキュリティチームの机の上に、毎朝大量のCVEレポートが積み上がる。それぞれに「CVSS 9.8」のような数字が付き、あたかも全部が同じように危険と見える。実務家は知っている。実際に攻撃で使われているのは、そのうちの極一部だと。
特に中堅企業では、専任のセキュリティ担当者が1〜2名というケースも珍しくない。そうした現場では、毎日届くアラートを全部見る時間すらない。問題は“発見”ではなく“本当に直すべきものを見極める”こと。Precursor Intelligenceはその優先順位付けに特化したプラットフォームだ。
EPSSによる悪用確率、CISA KEVの既知悪用情報、CWE分類、OTXの脅威アクター帰属など。これらを組み合わせて、各脆弱性を0〜100のスコアで評価する。公式サイトでは2026年には新たに約59,000件のCVEが追加されると見込み、そのうち即座に対応が必要なのは2〜5%だけと説明している。つまり、1000件のCVEがあっても、実際に今日対応すべきは20〜50件に絞れるというわけだ。
CVSSの盲点を補う“実際に使われる”基準
従来の方法はCVSSスコアの高い順にパッチを当てる。だがCVSSは脆弱性そのものの重大さを測るもので、攻撃者に狙われる可能性とは別軸だ。
Precursor IntelligenceはEPSSの予測確率とKEVの既知悪用リストを軸に、CWEタイプごとに重みを加える。RCEやコマンドインジェクションなどは最大5.0倍のリスク係数が乗る。さらにOTXで攻撃グループの傾向も見る。単一スコアに依存せず、複数の情報源を交差させるのが特徴だ。
- 0-100のリスクスコア：5つの脅威情報を総合化した独自スコア。
- 緊急度の段階：85-100は「緊急パッチ」、70-84は「直ちにパッチ」といった具体的な行動基準。
- AI修復提案：脆弱性ごとの修正プランを自動生成し、技術スタックも認識して毎週サマリーをメールで送る。
とはいえ、このスコアはあくまで優先度の指標だ。自社の環境や事業特性によっては、スコアが低くても直すべきものもある。最終的な判断は人間が下す必要がある。
それでも、大量アラートに埋もれる現場には実務的な解になる。12,000件のリストを前に頭を抱えるより、日々3〜15件のアクティブな脅威に集中できるのは大きい。
データ侵害の60%は既知の未修正脆弱性が原因。自社が全ての既知脆弱性を防御できると確信している組織は6%に満たない。
脆弱性だけに留まらない、攻撃面とブランド保護
このプラットフォームには、攻撃面管理とブランド保護の機能も含まれている。外部に晒されたアセットの継続的な偵察、類似ドメインの監視、SSL証明書の状態確認など。特にクラウド環境が増えると、管理外のアセットが散見されるようになる。外部に露出したデータベースや開発用サーバを継続的に監視できるのは、インシデント防止の助けになる。
内部の脆弱性よりも先に、外部からの偽ブランドやフィッシングサイトが問題になるケースも多い。サプライチェーン調査やM&Aリスク評価にも使えるという。
導入は軽い。公式サイトではエージェント不要、ゼロコンタクトで2分で設定完了としている。従来のスキャナを内部に置く必要がないのは、大規模組織には大きな魅力だろう。
価格と気になるポイント
無料のモニタリング層があり、より高度な機能は営業への問い合わせだ。CREST認定を受け、本拠は英国、GDPR準拠としている。価格は公開されていないが、まず無料層で機能を確認できるのは評価できる。
ただし、無料層がどの機能まで含まれるかは明記されていない。導入前には営業に確認するのが無難だ。中小企業にはやや不透明な部分があるものの、試すハードルは低いと言っていい。
全体的に見て、これはセキュリティオペレーションやリスク管理を担当する人に向けたツールだ。CVSSの数字に振り回されて疲弊しているなら、一度無料層で「重大度」と「実際の脅威」の差を体感してみてほしい。
コメント
コメントはまだありません
最初のコメントを書きましょう