WannaCryは終わらない―パッチ未適用問題と閉鎖的ネットワークにおける対策

　最近でも「WannaCryで被害が出ている企業がありますよ」と話すと「そんなところあるのですね、ひどい組織ですね」と一笑に付されることが少なくない。しかし、多くの組織で現在でもMS17-010が適用されないままに運用されている状態である。特に、基幹系、制御系、内部システム、というシステムにはパッチが適用されてこなかった経緯がある。パッチを適用すると動作が不安定になるから怖くて適用できない、パッチがいくつも出るので対応しきれない、という理由である。

　一方で、事務系ネットワークではパッチ適用は当たり前である組織が多い。ルール上Windows Updateを最新にしておく、というセキュリティポリシーになっている組織はとても多いだろう。あるいは、WSUSやADで最新に保っている、という組織も多い。

　ところが、パッチの適用を必須としている組織でも、パッチ適用の状態を個々に調査すると、意外に最新のパッチが適用されていないというPCが複数見つかることがある。Windows Updateは何らかの理由で失敗していることがあるので、実際に最新の状態に保たれているのかは、個々のPCの状態を確認しなければわからない。このようなパッチマネジメントが今後重要になるだろう。

　特に、パッチを最新に保つことになっているネットワークでも、サーバは漏れていることが少なくない。そして、サーバのパッチマネジメントは慎重に対応しなければならない。パッチを適用すると不安定になるため、パッチを適用する前によく検証しなければならないが、実際にはそのような余裕がなく、年に1回、ということになりかねない。

　さて、基幹系や制御系、事業所内などの閉鎖系ネットワークにおいては、「パッチは適用しない」という基本的な考え方で運用されていることが多い。なぜなら「パッチを適用してシステムに障害が出たら大変」だからである。パッチを適用しないので、WannaCryのようなワームには非常に弱い。

　これまでに、パッチ未適用の運用が問題にならなかったのは、目立ったワームが最近なかった、という理由からである。言い換えれば「運がよかった」だけである。しかし、今回のNSAから漏洩されたとされる脆弱性情報は、まだまだ一部に過ぎないと考えられている。情報公開者のThe Shadow Brokersは、7月以降に同様のツールや脆弱性情報を毎月公開すると主張しているからである。つまり、パッチを適用しない、という運用ポリシーが通用しなくなったのである。