WannaCryも防げたはず。今度こそ「パッチ適用」を徹底しよう：今さら聞けない「セキュリティ基礎の基礎」（1）（1/3 ページ）

サイバー攻撃が年々高度化、巧妙化している今、企業には一層高度なセキュリティ対策が求められています。日々付き合いがあるベンダー、SIerの意見やアドバイスを参考することも大切ですが、ご自身でも、あらためてセキュリティ対策の基礎を確認してみませんか？

» 2018年08月21日 05時00分公開

[久山真宏，東京電機大学]

　サイバー攻撃が社会問題、経営課題として認知され始めた近年、多くの企業でセキュリティ対策が進んでいます。しかし、実際に何から手を付ければいいのか、どういったソリューションが必要なのか、専門家に委ねるしかなく、なかなか対策を推進できずに困っているシステム管理者の方も多いのではないでしょうか。

　しかし、ご存じの通りサイバー攻撃は年々高度化、巧妙化し、完全に防ぐことが難しくなっています。これを受けて「予防→検知→復旧」というプロセスを迅速に実行する「侵入を前提とした対策」が必要とされていますが、このためには“自社特有の事情に即した、自社に最適な対策”を立案し、それに即して各種テクノロジーを使いこなすことが求められます。

　つまり、ただ単にツールを導入したり、ベンダーやSIerに提案を求めたりするだけでは真に有効な対策を実現することは難しいという現実があります。自社の状況を知り抜いているシステム管理者が、自らセキュリティの知見を深め、主体的にリードすることが対策の大きなカギとなるのです。

　そこで本連載では、読者の皆さんが自信を持ってセキュリティ対策を推進できるよう、対策の基礎を順番に、分かりやすく解説していきます。新人の方もベテランの方も、あらためて基礎を確認し、日々の業務に役立ててみてはいかがでしょうか。

　今回は種々あるセキュリティ対策の中でも、最も基本的な対策とされる「ソフトウェアのアップデート」と「パッチ適用」について解説します。

既知の攻撃とアップデート、パッチ適用

　サイバー攻撃の多くは既知の脆弱（ぜいじゃく）性を狙った攻撃であり、「ソフトウェアのアップデート、パッチ適用が適切に行われていれば防ぐことができる」と言われています。例えば、セキュリティツールベンダーであるベライゾンが発表した「2015年度データ漏えい／侵害調査報告書（PDF）」によると「2014年にサイバー攻撃で悪用された脆弱性の99.9％は既知の脆弱性であった」そうです。サイバー攻撃というと、未知の攻撃や標的型攻撃といったものばかり注目されがちですが、アップデートやパッチ適用で防げる攻撃が大半を占めているのです。

　2017年に大規模な感染を引き起こしたランサムウェア「WannaCry」も同じです。「WannaCry」の感染に用いられたのは「EternalBlue」といわれる、Windows 2000のころから使われている古いファイル共有プロトコル、SMB ver1の脆弱性を狙った攻撃です。SMBはバージョンが1から3まであり、この脆弱性は一番古いバージョン1に対してのみ有効なものでした。警視庁の観測システムによると、「EternalBlue」によるサイバー攻撃を観測したのは2017年4月19日以降。しかし、2017年3月15日にはMicrosoftから修正パッチが配布されていました。にもかかわらず、大規模感染を引き起こし、さらにさまざまなマルウェアに悪用されたのはご存じの通りです。