[System Environment] | ||||||||||||||
セキュリティ・パッチの3つのレベル
|
||||||||||||||
|
解説 |
ソフトウェアにバグは付き物、複雑なシステムにセキュリティ・ホールは付き物とはいえ、連日のように公表されるセキュリティ情報には、正直なところ辟易しているユーザーや管理者の方も少なくないだろう。
もちろん、何の情報も得られなくて被害に遭うよりは、システムに潜むセキュリティ・ホール(脆弱性)の情報や、それに対処するためのセキュリティ・パッチが素早く公開されるほうがはるかにありがたい。けれども、それも程度の問題がある。マイクロソフトがTechNetサイトを中心にセキュリティ情報の公開を積極的に行うようになって以来、新規のセキュリティ情報に加え、過去に公表されたセキュリティ情報の更新などもあり、連日のように新しいセキュリティ情報が公開されている。通常これらのセキュリティ情報には、関連するセキュリティ・ホールを解消するためのセキュリティ・パッチへのリンクが用意されており、そこからパッチをダウンロードして、システムにインストールできるようになっている。
しかしひと口に「セキュリティ・パッチ」といっても、マイクロソフトの説明によれば、実際には3つのレベルがあるようだ。パッチのレベルと、それぞれのダウンロード場所、特徴をまとめると次のようになる。
対応レベル | ダウンロード可能サイト | 特徴 |
早期対応重視レベル | Microsoftダウンロード・センター | 問題となっているセキュリティ・ホールからシステムを一刻も早く守るため、早期対応を最重要視し、必要な対策だけを施したレベル。その代わり、インストールの簡便化(自動インストール)や多国語対応などは後回しにされる。最新のセキュリティ情報ページからたどってダウンロードできるのはこのレベルのパッチである |
Windows Update対応レベル | ・Windows
Updateのページ ・Windows Updateダウンレベル・ページ |
適用されるコンピュータの構成に応じたさまざまな依存関係に対応し、問題なく自動アップデートできるように対応されたレベル。ただし自動化に対応するため、上の「早期対応重視レベル」からは1〜2週間程度公開が遅れる |
Service Packレベル | Windows 2000のSPダウンロード・ページ | 不具合の修正、セキュリティ・パッチなどをひとまとめにしたService Packに対応したレベル。複数の修正モジュールやセキュリティ・パッチを組み合わせて適用しても、システムが正常に稼働することが十分にテストされたバージョン |
とにかくセキュリティ・ホールの解消を第一の目的とする「早期対応重視レベル」
まず、何らかのセキュリティ・ホール(脆弱性)が見つかると、マイクロソフトはそれを早急に修正し、一刻も早くシステムからセキュリティ・ホールを排除するためのパッチを作成し、公開する。このときパッチは、今回話題にしているセキュリティ・パッチを始め、無償ツールや技術ドキュメントなどを広く配布するための「Microsoftダウンロード・センター」に登録される。この際、通常は当該セキュリティ・ホールに関する情報がマイクロソフトのセキュリティ情報ページ(TechNetのセキュリティ情報のページ)上で公開され、そのページから、パッチのダウンロード先としてこのMicrosoftダウンロード・センターのページがリンクされる。
この段階で公開されるパッチは、セキュリティ・ホールの早期解消を第一として作成されるため、次に述べるWindows Updateでの自動インストールなどには対応しておらず、通常は手作業でパッチを適用しなければならない(手作業によるパッチの適用方法については、別稿の「TIPS:セキュリティ・パッチを適用する」を参照のこと)。また多国語対応がなされていない場合もある。
このパッチを適用するかどうかは、セキュリティ・ホールの内容と、それがシステムに及ぼす影響の度合いを管理者が判断することになる。これには、前出のセキュリティ情報ページが頼りだが、この情報だけから、必要性を的確に判断するのはかなり難しい。安直には、「適用を迷ったパッチについては、念のため適用しておく」という方法もある。自分だけが使っているクライアントPCなら、この方法を採ることができるだろう。しかし複数のクライアントに対して、何らかの共有資源を提供しているサーバではこうはいかない。パッチの適用にはシステムの再起動が伴うので、自動的に可用性が低下するし、さらにパッチの適用によって、副作用が発生しないという保証はないからだ。特にこの段階で公開されるパッチは、時間的に考えて、副作用のテストなどが十分に行われていない可能性がある。セキュリティ・ホールの解消を急ぐか、以下で述べる、もう少しテストされたパッチを待つか、ケース・バイ・ケースで判断しなければならない。
なお、前出のTechNetのセキュリティ情報ページでは、新しく見つかったセキュリティ・ホールや、パッチ情報の更新があったものだけが順次報告される。しかし現実には、このようにして過去に情報が公開されたセキュリティ・ホールを突いたクラッキングが、後になって発生することがある。新着情報を網羅的にチェックして、適切な対応をしていれば問題はないが、うっかりチェックを忘れてそのままになっていると、クラッキングにタイムリーに対応できなくなる可能性がある。このような場合に備え、新着情報に加え、セキュリティ関連の話題を幅広く扱うTechNetセキュリティ・センターも定期的にチェックすべきである。
TechNetセキュリティ・センター |
新着セキュリティ情報だけでなく、過去に公開されたセキュリティ情報を突いたクラッキング問題の発生などをタイムリーに伝えるページ。新着情報だけでは、こうした時間差のあるクラッキングにタイムリーに対応できない可能性がある。画面は、Java
VMのセキュリティ・ホールを突いて、悪意のあるWebページを閲覧しただけでシステムが破壊されるというクラッキングの発生を告知したもの。この問題の原因となったセキュリティ・ホールの情報自体は過去に報告されていたため(このセキュリティ・ホールに関する情報ページ)、新着情報の方には、このクラッキング発生の報告は当初はなされなかった。
→TechNetセキュリティ・センター |
マイクロソフトは、システムに最新のセキュリティ・パッチが適用されているかどうかを検査するためのツール(hfnetchkツール)を無償公開している。このツールを使えば、ローカル・マシンはもちろん、ネットワークの先にあるマシンに対するパッチの適用状態を検査し、まだ適用されていない新しいパッチが存在するかどうかを確認することができる。このhfnetchkツールの詳細については別稿「Windows TIPS:セキュリティ・パッチの適用状態を調べる ―― HFNetChkツールの使用法 ――」を参照されたい。
アップデートの自動化に対応したWindows Update対応レベル
「早期対応重視レベル」のパッチを公開したら、次にマイクロソフトのプログラマはWindows Updateによる自動アップデートに対応したバージョンの開発に入る。Windows Updateは、Active Xコントロールを利用して、ローカル・システムの構成を走査し、Windowsを最新環境にアップデート(更新)するために必要なファイル群(まだ適用されていないパッチ)を自動的に選択してくれる。したがって、これをアクセスした環境によって、選択されるファイルは異なる。
Windows Update |
Windows Updateでは、Active Xコントロールを利用して、システムの構成を検査し、必要なアップデートに必要なファイル情報を提示してくれる。 ここで[今すぐインストール]ボタンをクリックすれば、必要なパッチがダウンロードされ、システムにインストールされる。 |
このWindows Updateに登録されるパッチは、パッチの自動インストール対応や多言語対応が施されたもので、またさまざまなハードウェア/ソフトウェアの依存関係がある中でも、正しくパッチのインストールを完了できるようにテストされている。つまり、先の「早期対応重視レベル」に比較すれば、副作用が発生する可能性は低減されているということだ(ただしもちろん、100%安全という保証はない)。しかしこのような対応を加えるため、「早期対応重視レベル」に比較すると、このレベルのパッチがWindows Updateに登録されるまでには2〜3週間の遅れが生じる。
なお、Windows Updateでは、そのサイトをアクセスしたシステムが自動的に走査され、必要なファイルが選択されるのだが、場合によってはこのような自動化が迷惑な場合もある。これは例えば、管理者が、誰か別のコンピュータ向けのパッチを入手したい場合などがあるだろう。このような場合には、Windows Updateに登録されたパッチと同じものを、手動でダウンロードできるページを利用できる(マイクロソフトは、このページのことを「Windows Updateダウンレベル・ページ」と呼んでいるようだ)。ここからは、各種製品別のパッチを入手することができる(マイクロソフトの「製品別修正プログラム一覧」のページ)。
安心のService Pack
そして最も完成度の高いパッチが収録されているのがService Packである。ご承知のとおりService Packは、システムの不具合を修正するモジュールや、セキュリティ・パッチなどをとりまとめて、一括してシステムに適用できるようにしたものだ。この原稿執筆時点(2002年1月)で、Windows 2000向けには2つ目のService PackであるService Pack 2(以下SP 2)が公開されている(SP 2の詳細は「Insider's Eye:速報:Windows 2000 Service Pack 2 日本語版」を参照。Windows 2000 SP2のダウンロード・ページ)。
このService Packに収録されるセキュリティ・パッチが前出の2つのレベルと最も異なるのは、早急な対応よりも、品質に重点が置かれていることだ。単独のパッチでは対応していない細かな修正も加えられていること、Service Packを適用したことによる副作用などについて、製品レベルでの品質検査が実施される。これにしても、100%完全ということではないが、少なくともセキュリティ・パッチをいくつも組み込むよりは安全性は高いはずだ。早期対応を第一目的とするセキュリティ・パッチとは異なり、Service Packは、品質が確保されるまではリリースが延期される。
セキュリティ・パッチに対する最も標準的な姿勢は、組織的なパッチの適用は、十分にテストされた最新のService Packを使用し、緊急性が高く、影響も大きいと思われるものについてのみ、最新のセキュリティ・パッチを適用するということになるだろう。口で言うのはいともたやすいのだが……。
関連記事(Windows Server Insider) | ||
Windows TIPS:セキュリティ・パッチを適用する | ||
Windows TIPS:セキュリティ・パッチの適用状態を調べる ― HFNetChkツールの使用法 ― | ||
Insider's Eye:速報:Windows 2000 Service Pack 2 日本語版 | ||
関連リンク | ||
TechNetのセキュリティ情報のページ(マイクロソフト) | ||
TechNetセキュリティ・センターのページ(マイクロソフト) | ||
マイクロソフトの「製品別修正プログラム一覧」のページ(マイクロソフト) | ||
この記事と関連性の高い別の記事
- セキュリティ・パッチを適用する(1)(TIPS)
- マイクロソフトのパッチ・ファイル名の命名規則(TIPS)
- UACのダイアログが頻繁に表示されたりWindows Defenderが起動できなくなった場合の対処方法(KB3004394パッチ編)(TIPS)
- 修正プログラムのインストールの順番を調査する(TIPS)
- グループ・ポリシーでWindows Updateの実行を禁止する(TIPS)
このリストは、デジタルアドバンテージが開発した自動関連記事探索システム Jigsaw(ジグソー) により自動抽出したものです。
更新履歴 | |
|
「Windows TIPS」 |
- Azure Web Appsの中を「コンソール」や「シェル」でのぞいてみる (2017/7/27)
AzureのWeb Appsはどのような仕組みで動いているのか、オンプレミスのWindows OSと何が違うのか、などをちょっと探訪してみよう - Azure Storage ExplorerでStorageを手軽に操作する (2017/7/24)
エクスプローラのような感覚でAzure Storageにアクセスできる無償ツール「Azure Storage Explorer」。いざというときに使えるよう、事前にセットアップしておこう - Win 10でキーボード配列が誤認識された場合の対処 (2017/7/21)
キーボード配列が異なる言語に誤認識された場合の対処方法を紹介。英語キーボードが日本語配列として認識された場合などは、正しいキー配列に設定し直そう - Azure Web AppsでWordPressをインストールしてみる (2017/7/20)
これまでのIaaSに続き、Azureの大きな特徴といえるPaaSサービス、Azure App Serviceを試してみた! まずはWordPressをインストールしてみる
|
|