脆弱性攻撃対策で注目を集める「仮想パッチ」
仮想パッチは、ソフトウェアの修正プログラム(セキュリティパッチ)を仮想的に適用することで、パッチ管理を効率化し運用負荷を下げたり、システムを保護したりする仕組み。ネットワークの外部からはパッチ適用済みと認識されるため、ゼロデイ攻撃による不正なアクセスなどからシステムを守ることができる。Windows XPのサポートが4月初旬に切れて以降、この仮想パッチを使ったシステムの保護について問い合わせが急増しているという。
日本HPエンタープライズ・セキュリティ・プロダクツ統括本部セキュリティ ソリューション コンサルタントの浅野貴志氏は、「4月上旬以降、未知や既知の脆弱性を突く攻撃が相次いで起こりました。その事件を受けて数多くの新規問い合わせがありました。仮想パッチというソリューションは以前から提供していましたが、それがゼロデイ攻撃に有効だとわかり、あらためて注目されているようです」と話す。
実際、4月初旬にはOpenSSLの重大な脆弱性、いわゆるHeartbleed脆弱性が明らかになり、同月19日までに三菱UFJニコスが実際に脆弱性を突いた攻撃で被害を受けた。また、4月下旬にはApache Strutsに見つかった新たな脆弱性でIPAの「ITパスポート試験」が中止になったり、新たに見つかったIE6～11の脆弱性で5月2日に福岡県がPC1万6000台を使用停止にしたりと対応に追われた。
2015年7月にサポートが切れるWindows Server 2003の一時的な延命策としてもニーズが高まっているという。「サーバの移行は、クライアントPCよりも手間と時間がかかります。業務の都合で期間内に移行できないシステムもでてきます。そうした場合に、仮想パッチを使ってシステムを一時的に保護したいという声を頂いています」(浅野氏)
