[新製品・サービス]

2026年8月5日(水)日川 佳三（IT Leaders編集部）

シェアする

リスト

　米パロアルトネットワークス（Palo Alto Networks）は、次世代ファイアウォール（NGFW）製品を提供している。特徴は、ネットワークパケットのヘッダー情報だけでなく中身を解析し、アプリケーション（App-ID）、ユーザー（User-ID）、コンテンツ内容（Content-ID）などを識別したうえで、これらに基づいてアクセスを制御することである（関連記事：パロアルトネットワークス、ファイアウォールOS新版「PAN-OS 10.2」、防御処理速度を向上）。

　今回、フロンティアAIを活用して未知の脆弱性を発見し、防御ルールの生成から適用までを高速化する新たな仕組み「Advanced Virtual Patching」（アドバンスド仮想パッチ）を打ち出した。この防御ルールを安全に受信・適用するための新たな検知エンジンを、NGFW向けOSソフトウェアの新版「PAN-OS 12.2 Ceres」に実装した（図1）。

図1：次世代ファイアウォール向けOSソフトウェア新版「PAN-OS 12.2 Ceres」が備える主な機能（出典：米Palo Alto Networks）
拡大画像表示

　背景には、生成AIの普及により、脆弱性の発見から悪用までの時間がほぼゼロに近づいている事情がある。米Verizon Communicationsの調査によれば、従来型のパッチの適用には業界平均で55日かかる。脆弱性の公開から悪用開始までの時間差を埋めきれない例が目立ってきた（図2）。Advanced Virtual Patchingは、55日という業界平均の露出期間を数時間規模まで圧縮することを目指す。

図2：脆弱性パッチを配布する前に攻撃が行われるようになってきた。未知の脆弱性を突く攻撃も増えてきた（出典：米パロアルトネットワークス）
拡大画像表示

　仮想パッチは、ソフトウェア自体に修正パッチを適用する代わりに、脆弱性を突くネットワーク通信を遮断する技術を指す。正式な修正パッチの提供までに生じるリスクを減らす手法として、IPS（侵入防御システム）やNGFWは以前からこの手法を採用してきた。

　一方、これまでの仮想パッチは、脆弱性の発見後にセキュリティベンダーが攻撃手法を解析し、通信パターンを検出するシグネチャや防御ルールを作成したうえで、IPSやファイアウォールへと配布していた。

　パロアルトは今回、この一連の流れをフロンティアAIで高速化した。脅威リサーチチームがソースコードや脆弱性情報をAIで解析して攻撃手法を推定し、防御ルールを生成してファイアウォールに反映する。

　防御ルールを安全に配信・適用する仕組みとして、新たな検知エンジン「vaulted protection」をPAN-OSに実装した。防御ルールを配信する際に、ルールの内容から元の脆弱性そのものの情報が漏れないようにできる。

　PAN-OS 12.2 Ceresでは、Advanced Virtual Patching以外にも、攻撃側システムからの通信を事前に遮断する「Advanced IP Defense」やネットワーク管理者向けのAIエージェント群など合計55以上の新機能を搭載したとしている。