パッチ管理・セキュリティパッチとは？

パッチ管理・セキュリティパッチの意味

OSやソフトウェアの脆弱性を修正する更新プログラム（セキュリティパッチ）を、計画的に把握・適用・管理すること。未適用の脆弱性は攻撃者に狙われる代表的な弱点となる。

パッチ管理・セキュリティパッチの具体例

情報システム部門が四半期ごとに社内端末のOSやソフトウェアの更新状況を棚卸しし、未適用のパッチを一斉に配布・適用する。

パッチ管理・セキュリティパッチは試験でどう引っ掛けられる？

ゼロデイ攻撃は修正パッチが存在しない期間を突く攻撃なので、パッチ管理を徹底しても防げない点が境界。また「早くあてるほど良い」と単純化するのも誤りで、業務システムが動かなくなる恐れがあるため、適用前の検証と適用後の確認まで含めて管理する。

パッチ管理・セキュリティパッチと関連する用語

• 脆弱性診断

パッチ管理・セキュリティパッチが出た過去問

• ゼロデイ攻撃の特徴はどれか。

  正解：脆弱性に対してセキュリティパッチが提供される前に当該脆弱性を悪用して攻撃する。

  要点：ゼロデイ攻撃はパッチ提供前の空白期間を突く攻撃

  ゼロデイ攻撃とは、脆弱性が判明してから修正プログラムが提供されるまでの無防備な期間を突く攻撃である。パッチが存在しないため、パッチ適用による根本対策が取れず、多層防御や振る舞い検知、緩和策の適用といった対応が必要になる。攻撃の手口ではなく「対策が間に合っていない時点で突く」というタイミングが本質である。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問13（IPA）

• A社では，利用しているソフトウェア製品の脆弱性に対して，ベンダから提供された最新のセキュリティパッチを適用することを決定した。ソフトウェア製品がインストールされ…

  正解：ソフトウェア製品の名称やバージョン，それらが導入されている機器の所在，IPアドレスを管理するIT資産管理システム

  要点：パッチ管理の前提は資産と導入バージョンの正確な把握

  パッチの適用漏れを防ぐには、まず「どの機器にどの製品のどのバージョンが入っているか」を正確に把握できていることが前提となる。IT資産管理システムで導入製品とバージョン、機器の所在やIPアドレスを一元管理すれば、対象機器を漏れなく洗い出し、適用状況を追跡できる。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問17（IPA）