脆弱性管理／パッチ管理とは？

脆弱性管理／パッチ管理の意味

自組織の資産に存在する脆弱性を継続的に把握し、深刻度と実際の悪用状況をもとに適用の優先順位と期限を決めて是正する運用プロセス。すべてを即座に直せない前提で、何を先に直し何を代替策で凌ぐかの判断が問われる。

脆弱性管理／パッチ管理の具体例

公表されたCVEについて、CVSS基本値7.0以上かつ外部公開資産に該当するものは14日以内、内部限定は90日以内と期限を定める。期限内に適用できないサーバはWAFのシグネチャで一時的に防ぎ、例外として期限と承認者を台帳に記録して追跡する。

脆弱性管理／パッチ管理は試験でどう引っ掛けられる？

CVSS基本値だけで優先度を決めるのは不十分で、公開範囲や悪用コードの流通状況を加味した現状値・環境値の観点が要る。また「パッチ適用」だけが是正ではなく、機能停止や設定変更による回避も正式な対応手段である。

脆弱性管理／パッチ管理と関連する用語

• CVE
• CVSS
• 仮想パッチ

脆弱性管理／パッチ管理が出た過去問

• NISTの定義によるクラウドコンピューティングのサービスモデルにおいて，パブリッククラウドサービスの利用企業のシステム管理者が，仮想サーバのゲストOSに対するセ…

  正解：IaaS：実施可／PaaS：実施不可／SaaS：実施不可

  要点：ゲストOSのパッチ管理はIaaSだけ利用者の責任

  IaaSでは利用企業が仮想サーバのOSより上を管理するため、ゲストOSへのパッチ適用は利用者の責任範囲です。PaaSはミドルウェアより下を事業者が管理し、SaaSはアプリケーションまで事業者が管理するため、いずれも利用者はゲストOSに手を入れられません。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問8（IPA）

• 脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。

  正解：SCAP (Security Content Automation Protocol)

  要点：SCAPは脆弱性管理と評価を自動化するNISTの仕様群

  SCAPは、脆弱性や設定に関する情報を機械可読な形式で表現し、その管理・測定・評価を自動化するためにNISTが定めた仕様群である。脆弱性の識別子であるCVE、深刻度を数値化するCVSS、設定項目の識別子CCE、製品識別子CPEなどの標準を組み合わせて構成される。共通の識別子を用いることで、異なる製品間で脆弱性情報を突き合わせ、自動的に評価できる。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）

• ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)はどれか。

  正解：ソフトウェアを構成するコンポーネント、互いの依存関係などのリスト

  要点：SBOMは構成部品と依存関係の一覧で影響調査を速める

  SBOMは、ソフトウェアを構成する部品、すなわち利用しているライブラリやコンポーネントとそのバージョン、相互の依存関係を機械可読な形で列挙したものである。新たな脆弱性が公表された際、自社製品のどこに該当部品が含まれるかを短時間で特定でき、影響調査と対処の迅速化につながる。サプライチェーンの透明性を高める手段として、公的な調達要件にも取り入れられている。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問17（IPA）