セキュリティ業界は今、大騒ぎとなっていますが、その原因となっているのは、致命的なオミクロン変異株だけではありません。 各社は、史上最悪のサイバー攻撃と称される、 Log4j として知られるゼロデイ攻撃への対策に奔走しています。 政府当局者によると、 を搭載したコンピュータのうち、数億台が危険にさらされている可能性があります（）。また、国家が支援する高度な攻撃者たちが、これらの新たに発見された脆弱性を悪用しようと急いでいるとのことです。
システムのパッチ適用や、相次ぐ攻撃者からの回避に向けた対応が、これほど最悪のタイミングで迫られている状況はありません。 COVID-19のパンデミックに伴うリモートワークへの大規模な移行により、ソフトウェア およびパッチ管理 の複雑さが増しています。 しかも、過去最速の記録で。
「人々が自宅で過ごすようになったため、パッチの適用が以前より困難になっています」と、フロリダ州パームビーチガーデンズに拠点を置く空調大手キャリア社の最高情報セキュリティ責任者（CISO）であるニコール・フォード氏は述べています。 「リモートワークが一般的になった今、人々が使用するデバイスはますます増えています。」 「これらのデバイスについて、より詳細な情報を把握する必要があります。」
リモートワークの現場では、従業員は時には遠く離れた場所から協働を行い、さまざまなデバイスを使用して企業のネットワーク、データ、サービスにアクセスしていますが、 その多くはセキュリティ対策が不十分です。 その結果、Ivantiが10月に実施した 調査（ ）によると、ITおよびセキュリティ専門家の57％が、リモートワークによってパッチ適用がより複雑になると回答しました。 概して、 71％の人がパッチ適用を過度に複雑で時間のかかる作業だと考えています。
つまり、政府が各組織に対し、 パッチ適用モードに突入し、 超高速で対応するよう求めている一方で、実際には、新型コロナウイルスの影響や在宅勤務者の増加により、多くの企業や政府機関にとって、このプロセスがこれまで以上に困難になっているのが実情です。 今回の「 Log4j 」緊急事態は、組織にとって、単にパッチを適用するだけでなく、毎月の予防的なルーチンと緊急時のタスク管理の両方を組み込んだ、綿密に練られたパッチ適用戦略を策定しておくことが極めて重要であることを浮き彫りにしています。
パッチ適用に関する悩み
パッチ適用に関する新たなビジョンが必要とされるようになったのは、比較的最近のことです。
「攻撃対象領域が大幅に拡大したため、パッチ適用作業は著しく複雑化しています」と、グローバル・サイバー・アライアンスの社長兼CEOであり、ソニーの元CISO、そしてオバマ政権時代のサイバーセキュリティ担当高官でもあったフィル・ライティンガー氏は述べています。 彼によると、従来のパラダイムとは、誰もが職場に出勤し、デスクトップパソコンの電源を入れ、常に企業のネットワーク範囲内に留まるというものでした。 「あれはすっかりなくなってしまいました」と彼は言います。 「パンデミックにより、パラメータ化されたネットワークからの脱却の動きが、桁違いに加速しました。」
「攻撃対象領域が大幅に拡大したため、パッチ適用作業は著しく複雑化しています。」フィル・ライティンガー氏、グローバル・サイバー・アライアンス社長兼最高経営責任者
ペンシルベニア州に拠点を置くテクノロジーコンサルティング会社「IPS-Integrated Project Services」のクラウド管理者、セルゲイ・スヴィアティ氏も同意見です。
「在宅勤務やリモートワークの普及により、中堅・大企業がパッチ適用についてどのように考え、実施すべきかという点において、現実的かつ大きな変化が生じています」と彼は述べています。 「現在、当社のエンドポイントおよびワークステーションのほぼすべてが、 の企業ネットワークが提供する保護の範囲外で、 を利用しています。」 「そのため、各コンピュータにパッチが適用されているかどうかを確認し、その事実を検証することが難しくなります。」
パッチの適用は、サイバー犯罪者と戦う上で、最も簡単かつ効果的な手段の一つと見なされることがよくあります。 しかし、実際には難しい場合もあります。 ハッカーたちは、パッチ管理システムの遅れを徹底的に利用しています。 一方、パッチ適用システムを完全に自動化することは、スピードの面では良いアイデアのように思えるかもしれませんが、欠点もある可能性があります。
ソフトウェア企業がリリースするパッチ自体が問題となる場合もあり、完全に自動化されたプロセスでは、その悪影響を効果的に軽減することが難しい場合があります。 望ましい中道としては、毎月のパッチ適用作業の大部分を自動化しつつ、パッチの展開前には十分なテストを行うことです。
パッチ適用に関する危機を解決する方法
スヴィアティ氏によると、こうした課題に対処するため、企業はパッチ適用について3つのアプローチをとることができます。 それぞれには、良い点と悪い点があります。
最初のアプローチについて、スヴィアティ氏は「独自のインフラを構築し、パッチ適用を管理する」と述べています。 メリットとしては、外部の第三者に依存することなく、パッチ適用を完全に管理できるという点があります。 「その一方で、これを成功させるには、インフラへの多額の投資と、有能な技術者が必要となります」と彼は述べています。 「さらに、毎月、あるいは毎週のようにパッチを適用しなければならないため、この作業は一層困難になっています。」
2つ目のアプローチ：パッチ適用作業を外部業者に委託することです。 この戦略は、組織内にインフラを適切に構築・維持するための社内リソースがない場合に役立ちます。
しかし、それは同時に、組織が第三者に相当なアクセス権限を付与しなければならないことを意味します。 その結果、情報漏洩につながる可能性があります。 「 、SolarWinds 、、Kaseya での事件が示すように、そうした依存関係や信頼は、脅威アクターによって悪用され、壊滅的な被害をもたらす可能性があります」とスヴィアティ氏は述べています。
3つ目であり、最も効果的なアプローチ： による の自動パッチ管理。 あるソフトウェアにパッチを適用するのは、比較的簡単な作業です。 しかし、物理環境、仮想環境、クラウド環境のソフトウェアやシステムを搭載したデバイスが数百台、あるいは数千台も存在する環境では、より効果的な対策が必要となります。
[関連記事：脆弱性「 Log4j 」に関するCEO各位への手紙]
自動化されたパッチ管理により、企業はネットワーク環境をスキャンして、パッチが適用されていないデバイスやアプリケーションを特定し、アプリケーションベンダーからリリースされたパッチを自動的にダウンロードするとともに、さまざまな展開ポリシーに基づいてその他のパッチを展開することができます。 これらの機能により、組織は環境全体に対して迅速にパッチを適用し、パッチ適用期間を短縮し、リスクへの曝露を最小限に抑えることができます。
これらの処理は手動で行うことも可能ですが、お勧めはいたしません。 手作業によるプロセスは、 すでに負担の大きいITチームにさらなる負担をかけるだけでなく、、しばしばミスを招き、時間の無駄にもなります。 実際、企業の 60％が、ITセキュリティ部門は脆弱性への対応よりも手作業によるプロセスに多くの時間を費やしており、その結果、対応の遅れが山積みになっていると報告しています。
パッチ管理は、脆弱性が放置されないようにするために極めて重要です。 多くの組織がパッチ管理ソリューションを導入する主な理由は、より安全な環境を確保することですが、それ以外にもメリットがあります。 これには以下が含まれます。
- 生産性の向上。 パッチを適用することで、 ソフトウェアが で正しく、かつ効率的に動作するようになります。
- 規制の遵守。 パッチ管理の導入は、多くのセキュリティフレームワークや規格において一般的に求められています。 組織がパッチ適用を行っていない場合、規制当局から に基づく罰金が科される可能性があります。
- イノベーションの加速。 パッチの適用は、組織が自社のソフトウェアの機能や性能を向上させるための更新プログラムを展開する手段となります。 競争の激しいビジネス環境において、いかなるイノベーションによる優位性も付加価値となります。
チームワークが欠かせません
オバマ大統領のサイバーセキュリティ担当最高責任者を務め、現在はサイバー・スレット・アライアンスのCEOを務めるJ・マイケル・ダニエル氏は、組織は教育計画を実施し、 すべての従業員に、パッチ管理の重要性を理解してもらうべきだと述べています。 「会員や従業員には、端末の更新を行うよう促すべきです」と彼は述べています。 「システムに接続するには、デバイスを更新する必要があります。」
「大企業の多くは、異なるソフトウェアプロバイダー間のデータを移行するために、必然的に『グルーコード』を作成することになります。」IPS-Integrated Project Servicesのクラウド管理者、セルゲイ・スヴィャティ氏
同時に、組織内の技術担当者は、パッチを適用する最適な時期を見極める必要があります。 「重要なクライアントとの打ち合わせの最中に、更新が行われるようなことはあってはなりません」とダニエルは言います。 「業務に干渉してはいけません。」
スヴィアティイ氏によると、小規模な組織において、継続的な更新とパッチ適用サイクルへの移行は、全体としてシステムのセキュリティ強化につながるといいます。 「そうした企業には、一般的に、アップデートの展開に専念できる人員やリソースがありません。」
また、新しいパッチ適用戦略は、 の中小企業を支援するプロバイダーの業務負担を軽減することもできます。。 これにより、パッチや修正プログラムを適用する代わりに、パッチの適用状況を確認するだけで済むようになります。 大規模な組織の場合、状況は異なるかもしれません。
「多くの大企業は、異なるソフトウェアプロバイダー間のデータを移行するために、必然的に『グルーコード』を書くことになってしまいます」とスヴィアティ氏は述べています。 このようなコードでは、データの重複を回避したり、さらには重要な機能を実行したりするために、APIやスケジュールされたタスクを活用することができます。 つまり、大企業はアップグレードをためらう可能性があるということです。
[関連記事：エンドポイントセキュリティにおいて、何が機能していて何が機能していないかを示す 6 のグラフ]
組織が、毎月脆弱性が発見されているソフトウェアを使用しているにもかかわらず、修正が新バージョンでのみ提供される場合、最新の保護機能を確保するために、デジタルコードを書き直す必要が生じる可能性があります。
「企業は、社内プロセスや手法を変更するためのリソースが不足しているため、結局、セキュリティ上の問題を抱えたソフトウェアを使い続ける羽目になってしまいます」とスヴィアティ氏は述べています。 「在宅勤務により、[ソフトウェア]の保護はさらに困難になりました。」