チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「最新のWindows Update、ちゃんと当てているから安心、で本当に大丈夫だろうか？」
「PoCが公開されたゼロデイって、社内端末にどんな影響があるのか？」
チップスボス、また怖いゼロデイが来たって聞いたんでしゅ。今度はWindowsで、しかもパッチを当ててても効くって本当でしゅかぁ…！
ボスふふふ、噂は本当だ。Cloud Filter Driverを狙う「MiniPlasma」というゼロデイで、Windows 11 Proの最新パッチ環境でもSYSTEM権限まで奪える。社内のエンドポイントを抱える組織は深刻な話だな。
本記事では、PoCが公開されたWindowsゼロデイ「MiniPlasma」の概要と、組織として急ぐべき防御策をやさしく整理します。
Windows端末を業務利用する全企業のシステム担当者の方に役立つ内容です。
読み終えるころには、自社のWindows端末に何をすべきか、優先度の判断がつくはずです。
オススメ求人・フリーランス案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
まずは何が起きたのか、対象コンポーネントと攻撃の前提を押さえます。
研究者が公表した「MiniPlasma」は、WindowsのCloud Files Mini Filter Driver（cldflt.sys）に残るアクセス制御の不備を突く権限昇格ゼロデイです。
HsmOsBlockPlaceholderAccessというルーチンの処理を回避し、ドキュメント化されていないCfAbortHydration APIを悪用してレジストリ操作の権限を得る仕組みになっています。
もともとCVE-2020-17103として2020年12月に修正された脆弱性ですが、現在も不備が残っており、Windows 11 Proを含む完全パッチ環境でPoCの動作が確認されています。
詳細はBleepingComputerの報道に整理されています。
チップスふぇ、6年前に直したはずの穴がまだ残ってたなんて、ちょっと油断しすぎでしゅねぇ…。
ボスそうだ。OSのコア部品でも、修正が完全とは限らない。CVE番号がついて安心と思い込まず、ふたを開けて確かめる姿勢が必要だな。
続けて、この脆弱性が実際の業務に与える影響と、いま選べる選択肢を整理します。
MiniPlasmaのリスクは「最初の侵入の難易度を一気に下げる」点にあります。
フィッシングやUSB感染などで標準ユーザー権限を取得できれば、攻撃者は端末上でSYSTEM権限を手にし、EDR停止や横展開、ランサムウェアの初期足場づくりに使えます。
結果としてエンドポイント1台の侵害がドメイン全体の侵害につながる構図となり、被害規模を大きく膨らませる起爆剤になり得ます。
Microsoftの修正公開を待つ間、組織側の現実解はEDRと運用面の強化です。
cldflt.sys絡みの不審なAPI呼び出しや、CfAbortHydration系の呼び出しを検知できるよう監視ルールを更新します。
標準ユーザー権限の見直しと、特権管理ツール（PAM）の運用見直しで、万一権限昇格を許しても被害を最小化できる構成にしておきます。
Windows 11 Insider Preview Canaryでは修正の動きがあるとされ、検証環境でアップデート計画を前倒し検討する価値があります。
チップスウチの会社、EDR入れてるけどルールは購入時のままだったかも…。見直してみるでしゅ！
ボスうむ。導入で終わらず、最新の脅威に合わせて更新し続けることでEDRは本領を発揮する。運用に魂を入れていく姿勢が大切だな。
MiniPlasmaは、最新パッチを当てていてもWindows端末が完全に安全とは限らない現実をはっきり示した事例です。
EDRの検知ルール更新・特権管理の徹底・修正公開時の即時適用、この三点セットで侵入から被害拡大までの線を確実に断ちきりたいところです。
運用の手数が足りない現場では、即戦力のフリーランス専門家を活用する選択肢も検討する価値があります。
オススメ求人・フリーランス案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
