パッチとは？

パッチの意味

ソフトウェアに見つかった脆弱性や不具合を修正するために配布されるプログラム。速やかに適用（アップデート）することで、既知の脆弱性を突く攻撃を防げる。

パッチの具体例

OSやアプリの「アップデートがあります」という通知は、多くの場合こうしたパッチの適用を促すものであり、放置すると既知の脆弱性を狙った攻撃を受けやすくなる。

パッチは試験でどう引っ掛けられる？

対象は既に知られた脆弱性なので、修正が存在しないゼロデイ攻撃は防げない。機能を増やすバージョンアップとも目的が違う。適用によって不具合が出ることもあり、事前の検証やバックアップの必要性も問われる。

パッチと関連する用語

• ゼロデイ攻撃

パッチが出た過去問

• 情報セキュリティにおけるエクスプロイトコードの説明はどれか。

  正解：ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム

  要点：エクスプロイトコードは脆弱性を突く実証・攻撃プログラム

  エクスプロイトコードとは、ソフトウェアやハードウェアに存在する脆弱性を突いて、想定外の動作（任意コード実行や権限昇格など）を引き起こすために作成されたプログラムを指す。攻撃に悪用される一方、検証用コード（PoC）として脆弱性の存在確認やパッチの有効性検証にも用いられる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問5（IPA）

• NISTの定義によるクラウドコンピューティングのサービスモデルにおいて，パブリッククラウドサービスの利用企業のシステム管理者が，仮想サーバのゲストOSに対するセ…

  正解：IaaS：実施可／PaaS：実施不可／SaaS：実施不可

  要点：ゲストOSのパッチ管理はIaaSだけ利用者の責任

  IaaSでは利用企業が仮想サーバのOSより上を管理するため、ゲストOSへのパッチ適用は利用者の責任範囲です。PaaSはミドルウェアより下を事業者が管理し、SaaSはアプリケーションまで事業者が管理するため、いずれも利用者はゲストOSに手を入れられません。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問8（IPA）