パッチとは？

パッチの意味

ソフトウェアに見つかった脆弱性や不具合を修正するために配布されるプログラム。速やかに適用（アップデート）することで、既知の脆弱性を突く攻撃を防げる。

パッチの具体例

OSやアプリの「アップデートがあります」という通知は、多くの場合こうしたパッチの適用を促すものであり、放置すると既知の脆弱性を狙った攻撃を受けやすくなる。

パッチは試験でどう引っ掛けられる？

対象は既に知られた脆弱性なので、修正が存在しないゼロデイ攻撃は防げない。機能を増やすバージョンアップとも目的が違う。適用によって不具合が出ることもあり、事前の検証やバックアップの必要性も問われる。

パッチと関連する用語

• ゼロデイ攻撃

パッチが出た過去問

• スクリプトキディの典型的な行為に該当するものはどれか。

  正解：技術不足なので新しい攻撃手法を考え出すことはできないが、公開された方法に従って不正アクセスを行う。

  要点：スクリプトキディは公開ツールをなぞって攻撃する者

  スクリプトキディとは、自ら攻撃手法を編み出す技術力はないものの、インターネット上で公開されている攻撃ツールや手順書をそのまま使って不正アクセスを試みる者を指す。技術力が低くても既製のツールで実害を出せてしまうのが問題で、既知の脆弱性の修正パッチを適用しておくだけでも大半は防げる。人をだます手口であるソーシャルエンジニアリングとは区別する。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問24（IPA）

• PCで行うマルウェア対策のうち、適切なものはどれか。

  正解：PCの脆弱性を突いたウイルス感染が起きないように、OS及びアプリケーションの修正パッチを適切に適用する。

  要点：マルウェア対策の基本はOSとアプリの修正パッチ適用

  多くのマルウェアはOSやアプリケーションの既知の脆弱性を悪用して侵入する。したがって修正パッチを速やかに適用し、悪用可能な穴を残さないことが基本かつ効果の高い対策となる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問14（IPA）

• ゼロデイ攻撃の特徴はどれか。

  正解：脆弱性に対してセキュリティパッチが提供される前に当該脆弱性を悪用して攻撃する。

  要点：ゼロデイ攻撃はパッチ提供前の空白期間を突く攻撃

  ゼロデイ攻撃とは、脆弱性が判明してから修正プログラムが提供されるまでの無防備な期間を突く攻撃である。パッチが存在しないため、パッチ適用による根本対策が取れず、多層防御や振る舞い検知、緩和策の適用といった対応が必要になる。攻撃の手口ではなく「対策が間に合っていない時点で突く」というタイミングが本質である。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問13（IPA）

• マルウェアWanna Cryptor（WannaCry）に関する記述として，適切なものはどれか。

  正解：SMBv1の脆弱性を悪用するなどして感染し，PC内のデータを暗号化してデータの復号のための金銭を要求したり，他のPCに感染を拡大したりする。

  要点：WannaCryはSMBv1の脆弱性で拡散するランサムウェア

  WannaCryはランサムウェアの一種で、端末内のファイルを暗号化して復号と引換えに金銭を要求する。特徴的なのは、Windowsのファイル共有プロトコルSMBv1の脆弱性を突いてネットワーク内の他端末へ自動的に感染を広げるワーム的な性質をもつ点である。このため、パッチ適用と不要なSMBv1の無効化が有効な対策となった。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問15（IPA）

• A社では，利用しているソフトウェア製品の脆弱性に対して，ベンダから提供された最新のセキュリティパッチを適用することを決定した。ソフトウェア製品がインストールされ…

  正解：ソフトウェア製品の名称やバージョン，それらが導入されている機器の所在，IPアドレスを管理するIT資産管理システム

  要点：パッチ管理の前提は資産と導入バージョンの正確な把握

  パッチの適用漏れを防ぐには、まず「どの機器にどの製品のどのバージョンが入っているか」を正確に把握できていることが前提となる。IT資産管理システムで導入製品とバージョン、機器の所在やIPアドレスを一元管理すれば、対象機器を漏れなく洗い出し、適用状況を追跡できる。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問17（IPA）