2026年8月5日

NECサイバーセキュリティ技術統括部の岩田、桐下です。
2026/7/2(木)～7/4(土)に開催された「Hardening Designers Conference 2026」[1]にて、「NECの実践から考える、AI時代の脆弱性管理」と、「Microsoft Entra ID/Microsoft 365を狙う同意フィッシング」について講演しました。本ブログでは、その概要を紹介します。

本ブログで取り上げるのは、DAY2（7/3（金））の午後に行われた「Tech Showcase」セッションで発表した2つの講演内容です。2つの講演は扱うテーマこそ異なりますが、いずれも日々の業務の中で見えてきた課題を出発点に、解決に向けた実践的な取り組みや得られた知見を共有することを目的としてお話ししました。

目次

NECの実践から考える、AI時代の脆弱性管理

本セッションでは、NECがこれまで取り組んできた脆弱性管理の実践を紹介するとともに、AI時代に向けてどのような備えが必要になるのかについて紹介しました。AIの進展により脆弱性は“より速く、より多く”見つかるようになり、それに伴って脆弱性を悪用した攻撃のリスクが高まっています。

NECでは従来から、脆弱性の情報収集、影響確認、トリアージ、パッチ検証・適用といった一連の脆弱性管理の対応を行ってきました。しかし、近年は、脆弱性の発見速度と網羅性が飛躍的に拡大しており、現在は人手中心の運用だけでは対応が追いつかない状況が顕在化しています。
そこでNECでは、対策の一環として、膨大な脆弱性の中からリスクの高いものを優先的に対処する方針のもと、自社のインテリジェンスを活用した優先トリアージと対処の徹底を実施しています。あわせて、網羅的な脆弱性探索を目的としてSBOM（Software Bill of Materials：ソフトウェアを構成するコンポーネントの一覧）の活用も展開しています。これらの施策は重要ではあるものの、AI時代の脆弱性管理を支えるには十分とは言えません。

まず必要なのは、従来から取り組んできた活動を一層徹底することです。たとえば、社内プロセスの見直しや教育の継続により、パッチ適用までのリードタイムを短縮していくことが挙げられます。また、パッチ適用を前提とした環境整備として、レガシー環境のクラウド移行や、パッチ適用を支援するツールの導入など、構造的に対処しやすいアーキテクチャへ整えていくことも重要です。さらに、AIによる桁違いの変化に対応するため、防御側としてもAIを活用した中長期的な準備が必要です。たとえば、脆弱性の自動検証、自動修復、あるいは大量の脆弱性情報からの自動トリアージなどが考えられます。攻撃側だけでなく、防御側もAIを使いこなすことが必要になると考えています。
脆弱性の量とスピードが大きく変化する中で、従来の基本を徹底しつつ、インテリジェンスやSBOM、そしてAI活用など様々な技術を組み合わせて、実効性ある運用へつなげていくことが今後重要になります。

Microsoft Entra ID/Microsoft 365を狙う同意フィッシング

本セッションではMicrosoft Entra ID/Microsoft 365を狙う同意フィッシングについてデモを交えて紹介しました。
同意フィッシングは、Entra IDの正規機能を悪用し、被害者自身に攻撃者が管理するアプリケーションへ権限を付与させる攻撃です。被害者アカウントに多要素認証を設定済みであっても同意フィッシングは有効です。

攻撃者と被害者のそれぞれの視点に立った同意フィッシングを悪用したデモを紹介しました。一般利用者アカウントに同意フィッシングを仕掛け、低権限の同意をさせて組織内ユーザー情報を収集し、その後に高権限アカウントへ追加の同意フィッシングを行う流れです。高権限アカウントでメール関連権限に同意すると、攻撃者は高権限アカウントのメールの閲覧、なりすまし送信、メール転送やルール追加などが可能になります。
次に同意フィッシングの対策について、防御、事後対応、検知手法をいくつか抜粋して紹介しました。
同意フィッシングは多要素認証を突破し、低権限の同意であっても攻撃者の更なる悪用に繋がる可能性があります。脅威を認識いただき、脅威に対して多層的に対策することが重要です。

また、参考情報として同意フィッシングと関連のあるConsentFix[2]という攻撃を紹介し、同意フィッシングとの違いについても紹介しています。

まとめ

本ブログでは、Hardening Designers Conference 2026にて発表した内容をご紹介しました。リモート発表ではありましたが、チャットでの質疑が想定以上に多く、双方向にやり取りできたのが印象的でした。あわせて、参加者の皆様も同様の課題意識を抱えていることを改めて実感しました。Hardening Designers Conferenceでは、企業のセキュリティに関する取り組みをはじめ、幅広く示唆に富んだテーマの講演が数多く行われています。興味のある方は、ぜひ来年の参加もご検討ください。

本記事が、皆様の日々の業務やセキュリティ向上に向けた取り組みの一助となれば幸いです。最後までお読みいただき、誠にありがとうございました。

参考文献

執筆者の他の記事を読む

執筆者の他の記事を読む