セキュリティパッチの重要性

2017年に発生したランサムウェアWannaCry（ワナクライ）は世界的に流行し、日本国内でも大手企業を含む数社に対して工場での操業停止など大きな影響を与えました。また、コロナ禍の昨今、テレワークなどで利用されている企業ネットワークのVPNのパスワードが漏えいする事件が多くの企業で発生しました。WannaCryの世界的流行とVPNのパスワード漏えいの２種類のセキュリティ問題は、いずれも既知の脆弱性^(*1)が悪用されたものであり、前者はWindowsのSMBv1の脆弱性を利用したもの、後者はパルスセキュア社のVPN製品の脆弱性を利用したものです。
さらにパルスセキュア社の脆弱性は2019年4月に高危険度の脆弱性として発表され、修正プログラム（セキュリティパッチ）が配布されていました。つまり、2020年夏に被害にあった企業は１年以上高危険度の脆弱性に対して対策をとっていなかったことになります。

なぜセキュリティパッチは適用されないのか

それではなぜセキュリティパッチ（以下パッチ）が適用されなかったのでしょうか。被害にあった企業にはそれぞれの事情があり、それらを「無知」や「怠慢」といったキーワードで括って彼らを非難することは、いささか生産性を欠く議論ではないかと筆者は考えます。
一般論としてパッチの適用を難しくする課題を検討し、その課題の対策を考案することが、問題解決の本質であると認識し、分析を試みることにします。
まず、企業の情報システム部門の担当者になったつもりで、パッチ適用を難しくする要素を洗い出してみましょう。

上記の他、業務の性格上、システム停止が難しいシステムでは、そもそもパッチ適用ができる機会が少ない。という理由もあるかもしれません。

先にあげたパッチ適用を難しくする要素はいずれも、「時間がかかる」ことに起因しています。さまざまな業務を担うシステム運用現場では日常業務に追われ、時間がかかるパッチの適用作業を高い頻度で実施することはたいへん難しい状況なのだと推察できます。
従ってパッチの適用作業にかかる時間を短縮することが、パッチ適用の実施率を向上させるために有益だろう。というのが筆者の考えです。
本稿ではパッチ適用の時間短縮のための「自動化」というテーマで今後進めてまいりますが、自動化を語る前に、そもそもパッチ適用作業とは何をするものなのか整理します。そのためにパッチ適用全体を管理する業務である「パッチマネジメント」について理解を深めたいと思います。

パッチマネジメントとは

パッチマネジメントとはシステムを構成するサーバーのＯＳ、ミドルウェアおよびネットワーク機器の脆弱性を特定し、それらのセキュリティパッチを適用することで脆弱性を修正し、セキュリティリスクを低減する一連の作業を管理することです。
従ってパッチマネジメントの目的は、セキュリティリスクを低減しシステムを健全に運用することにつきます。
それではパッチマネジメントを主な工程ごとに分類して、その実施内容を確認していきましょう。

これらの一連の作業がパッチマネジメントで、これらを定期的に実施し、実施の度に作業品質を向上させていくのがパッチマネジメントサイクルで、システムのセキュリティリスクを一定水準で抑え込むために非常に重要となります。
また、一連のパッチマネジメントの作業内容および管理者による承認行為等を記録し証跡を残すようにしてください。

パッチマネジメントサイクル

パッチマネジメントの自動化

それではパッチマネジメントでどのような自動化が考えられるか見ていきましょう。

脆弱性スキャンの自動化

脆弱性スキャンの自動化として脆弱性スキャンのスケジューリング機能や脆弱性スキャン結果の自動集計などがあげられます。
脆弱性スキャンのスケジューリングでは、システムの稼働率が比較的低い時間帯に自動的にスキャンが実施されるよう設定します。 また、スキャン結果を自動的に集約し、レポートやダッシュボードを使ってサーバーごと、危険度ごとにリスクレベルを可視化し、今後のパッチ適用作業の優先順位付けを支援することが可能になります。
このような脆弱性スキャンの自動化を行うためには、一般的に脆弱性管理ソリューションを導入するのがよいでしょう。

試験環境構築の自動化

試験環境を毎回一から構築することはありませんが、パッチ適用試験を実施するために新規にサーバーを構築する場合もあります。そのような場合は、システム構築を自動化することで、システム環境を毎回同じレベルに合わせ、短時間でシステム構築を実現することができます。
システム構築の自動化のためにはCI/CDツールを使うのがよいでしょう。
CI/CDとはContinuous Integration／Continuous Deliveryの略で、継続的インテグレーション／継続的デリバリーと訳されます。CI/CDとはソフトウェアの変更を常にテストして自動で本番環境にリリース可能な状態にするためのソフトウェア開発の手法ですが、一般的にそれを実現するために使用するツールの中にテスト環境の構築を自動化することに役に立つツールがあります。

パッチ適用の自動化

一般的に言って、パッチ適用を自動化するためのツールはLinux系とWindows系で大きく異なります。Linux系にはオープンソースのツールないしはそれらを元にした商用ツールがあります。Windows系はマイクロソフトのツールが一般的です。また、Linux、Windowsの両方を統合的にマネジメントする商用ツールもあります。

動作確認の自動化

パッチ適用後のシステムの動作確認を行うことも自動化することができます。このためにはシステム構築の自動化ででてきたCI/CDツールを使います。

作業承認の自動化

システムに影響を及ぼす作業を実施する場合、システム管理者に都度承認もらう必要があります。指定様式に作業内容を記載し、システム管理者がそれに押印することで承認の確認する仕組みが散見されますが、承認フローを自動化することも今回の連載のスコープにしたいと思います。

パッチマネジメント自動化の効果

パッチマネジメントを自動化することによる効果について整理すると下記のようになります。

最後に

本稿ではパッチマネジメントの重要性とパッチマネジメントを自動化することにより、サイバーリスクを低減することができることをご説明しましたが、いかがでしたでしょうか。
次号以降ではパッチマネジメントの各工程で利用できる自動化についてより具体的に話を深堀してまいります。取り上げる自動化は以下のとおりです。

引用先等