WannaCryも防げたはず。今度こそ「パッチ適用」を徹底しよう：今さら聞けない「セキュリティ基礎の基礎」（1）（3/3 ページ）

[久山真宏，東京電機大学]

パッチ適用まで時間がかかる場合は「仮想パッチ」で緩和する

　パターン3のように、パッチ適用ができない、もしくはパッチ適用するまでに時間がかかってしまう場合もあります。こういった場合は、疑似的にパッチ適用された状態にして被害を緩和する方法があります。これを「仮想パッチ」と言います。

　具体的には、WAFやUTM、IPSといった既存のセキュリティ製品を用いて、ネットワークを介したサイバー攻撃からパッチ未適用のコンピュータを守るというものです（実際にTrendMicroの「DeepSecurity」などのソリューションがあります）。

　仮想パッチはパッチ未公開の脆弱性を狙ったサイバー攻撃からもシステムを守ることができます。パッチはバグや脆弱性が確認されてから、システムへの影響を考慮しつつ開発しています。そのため、パッチが公開されるまで時間がかかることもあります。その間、コンピュータは無防備となってしまいますが、仮想パッチはパッチ適用の有無にかかわらずサイバー攻撃を防げるため、パッチ未公開でもサイバー攻撃を緩和してくれます。

　しかし、万能に思える仮想パッチですが、基本的にはネットワークを介したサイバー攻撃しか防ぐことができず、ネットワークを介さない場合や暗号化された通信には効力を発揮できません。また、パッチは脆弱性の修正以外に不具合の修正などもありますが、仮想パッチでは不具合に対しては対処できません。そのため、あくまでもパッチ適用するまでの緩和策としての活用を推奨します。

　既存のセキュリティ製品と仮想パッチの違いは、「仮想パッチは自動的に通信を遮断するためのルールが適用されたものであり、適用されるルールは脆弱性を狙ったサイバー攻撃からコンピュータ守ることに特化させたものである」と筆者は考えています。

　なお、SOCを導入している場合、仮想パッチと類似のサービスを受けることも可能です。

今回のまとめ

• パッチ適用は基本的なことながら、さまざまな要因によって実施できないケースがある
• 「普段から使われているコンピュータ」「たまにしか使われないコンピュータ」など、パッチ対象によって、未適用になる原因も打つべき対策も変わってくる

　今回は大きく分けるとパッチ管理、仮想パッチ、シンクライアントによる対策を記載しました。実際にパッチ適用に困っているシステム管理者の方の一助になれれば幸いです。

著者プロフィール

久山 真宏（くやま まさひろ）

東京電機大学　サイバー・セキュリティ研究所　研究員

Security Operations Center（SOC）のセキュリティアナリストを経て、現在、外資系コンサルティングファームでコンサルタントとして勤務。セキュリティを中心としたコンサルティング業務を担当。会社と兼務で東京電機大学サイバー・セキュリティ研究所でセキュリティや人工知能の研究に従事