パッチとは？

パッチの意味

ソフトウェアに見つかった脆弱性や不具合を修正するために配布されるプログラム。速やかに適用（アップデート）することで、既知の脆弱性を突く攻撃を防げる。

パッチの具体例

OSやアプリの「アップデートがあります」という通知は、多くの場合こうしたパッチの適用を促すものであり、放置すると既知の脆弱性を狙った攻撃を受けやすくなる。

パッチは試験でどう引っ掛けられる？

対象は既に知られた脆弱性なので、修正が存在しないゼロデイ攻撃は防げない。機能を増やすバージョンアップとも目的が違う。適用によって不具合が出ることもあり、事前の検証やバックアップの必要性も問われる。

パッチと関連する用語

• ゼロデイ攻撃

パッチが出た過去問

• ソフトウェアのパッチの適用において，システムに不具合が発生するリスクを低減するコントロールを監査する際のチェックポイントはどれか。

  正解：本稼働前にシステムの動作確認を十分に実施していること

  要点：パッチは本稼働前の十分な動作確認で不具合リスクを下げる

  パッチの適用は既存機能への影響が避けられず、適用後に不具合が表面化する危険がある。これを抑えるコントロールは、本稼働前に検証環境で十分な動作確認を行い、問題がないと確かめたうえで適用することである。監査ではその手続と実施記録の有無を確認する。

  出典：平成28年度 春期 基本情報技術者試験 午前 問61（IPA）

• マルチプログラミングにおけるプロセスの切替え手順を示した図において，OSの処理a～cとして，適切な組合せはどれか。

  正解：a:実行状態の退避　b:プロセスの選択　c:実行状態の回復

  要点：プロセス切替えは退避→次プロセス選択→回復の順

  プロセス切替え（コンテキストスイッチ）では、まず割込みで中断したプロセスのレジスタなどの実行状態を保存し、次にディスパッチャが次に動かすプロセスを選び、最後に選んだプロセスの実行状態を復元してCPUを渡す。退避→選択→回復の順序になる。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問18（IPA）

• 社内業務システムをクラウドサービスへ移行することによって得られるメリットはどれか。

  正解：PaaSを利用すると、プラットフォームの管理やOSのアップデートは、サービスを提供するプロバイダが行うので、導入や運用の負担を軽減することができる。

  要点：PaaSはOS・基盤の保守を事業者が持ち、運用負担を減らせる

  PaaSはアプリケーションの実行基盤（OS・ミドルウェア・ランタイム）までを事業者が提供・保守する形態なので、利用者はOSのパッチ適用やプラットフォームの維持管理から解放され、導入と運用の負担を減らせる。SaaSは完成した業務ソフトを使う形態、IaaSは仮想サーバなど基盤資源を借りる形態であり、責任範囲がそれぞれ異なる。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問14（IPA）

• ドライブバイダウンロード攻撃に該当するものはどれか。

  正解：利用者が公開Webサイトを閲覧したときに、その利用者の意図にかかわらず、PCにマルウェアをダウンロードさせて感染させる。

  要点：ドライブバイダウンロードは閲覧だけで感染させる攻撃

  ドライブバイダウンロード攻撃は、改ざんされたWebサイトなどを閲覧しただけで、利用者が気付かないうちにマルウェアが自動的にダウンロード・実行される攻撃である。ブラウザやプラグインの脆弱性が悪用されるため、修正プログラムの適用が有効な対策となる。

  出典：平成30年度 春期 基本情報技術者試験 午前 問36（IPA）

• タスクのディスパッチの説明として、適切なものはどれか。

  正解：実行可能なタスクに対してプロセッサの使用権を割り当てること

  要点：ディスパッチは選ばれたタスクにCPUを実際に割り当てる

  ディスパッチは、実行可能状態にあるタスクの中から次に動かすものを選び、実際にプロセッサの使用権を与えて実行状態へ移す操作である。どのタスクを選ぶかの方針を決めるのがスケジューリングで、その決定に従って実際にCPUを渡すのがディスパッチという分担になる。この処理を担うOSの機能をディスパッチャと呼ぶ。

  出典：令和1年度 春期 基本情報技術者試験 午前 問16（IPA）