SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

直近開催のイベントはこちら!

Data Tech 2022

2022年12月8日(木)10:00~15:50

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

S&J三輪信雄のセキュリティ ニュースレター

WannaCryは終わらない―パッチ未適用問題と閉鎖的ネットワークにおける対策


 「WannaCryは騒ぎ過ぎ」という声を聞くことが多い。しかし、私の知る範囲でも深刻な事象が複数発生している。WannaCryが騒ぎ過ぎと言われる理由は「パッチくらいあてるのは当たり前」「グローバルIPのPCなんてない」と思われているからであろう。

 最近でも「WannaCryで被害が出ている企業がありますよ」と話すと「そんなところあるのですね、ひどい組織ですね」と一笑に付されることが少なくない。しかし、多くの組織で現在でもMS17-010が適用されないままに運用されている状態である。特に、基幹系、制御系、内部システム、というシステムにはパッチが適用されてこなかった経緯がある。パッチを適用すると動作が不安定になるから怖くて適用できない、パッチがいくつも出るので対応しきれない、という理由である。

 一方で、事務系ネットワークではパッチ適用は当たり前である組織が多い。ルール上Windows Updateを最新にしておく、というセキュリティポリシーになっている組織はとても多いだろう。あるいは、WSUSやADで最新に保っている、という組織も多い。

 ところが、パッチの適用を必須としている組織でも、パッチ適用の状態を個々に調査すると、意外に最新のパッチが適用されていないというPCが複数見つかることがある。Windows Updateは何らかの理由で失敗していることがあるので、実際に最新の状態に保たれているのかは、個々のPCの状態を確認しなければわからない。このようなパッチマネジメントが今後重要になるだろう。

 特に、パッチを最新に保つことになっているネットワークでも、サーバは漏れていることが少なくない。そして、サーバのパッチマネジメントは慎重に対応しなければならない。パッチを適用すると不安定になるため、パッチを適用する前によく検証しなければならないが、実際にはそのような余裕がなく、年に1回、ということになりかねない。

 さて、基幹系や制御系、事業所内などの閉鎖系ネットワークにおいては、「パッチは適用しない」という基本的な考え方で運用されていることが多い。なぜなら「パッチを適用してシステムに障害が出たら大変」だからである。パッチを適用しないので、WannaCryのようなワームには非常に弱い。

 これまでに、パッチ未適用の運用が問題にならなかったのは、目立ったワームが最近なかった、という理由からである。言い換えれば「運がよかった」だけである。しかし、今回のNSAから漏洩されたとされる脆弱性情報は、まだまだ一部に過ぎないと考えられている。情報公開者のThe Shadow Brokersは、7月以降に同様のツールや脆弱性情報を毎月公開すると主張しているからである。つまり、パッチを適用しない、という運用ポリシーが通用しなくなったのである。

次のページ
閉鎖系ネットワーク

この記事は参考になりましたか?

  • Facebook
  • Twitter
  • Pocket
  • note
S&J三輪信雄のセキュリティ ニュースレター連載記事一覧

もっと読む

この記事の著者

三輪 信雄(ミワ ノブオ)

日本の情報セキュリティビジネスの先駆けとして事業を開始し、以降情報セキュリティ業界をリードしてきた。ITセキュリティだけでなく物理セキュリティについても知見があり、技術者から経営者目線まで広い視野を持つ。政府系委員も数多くこなし、各種表彰、著書・講演も多数。2009年から総務省CIO補佐官を務める。
S&J株式会社 代表取締役

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/9449 2017/06/29 09:58

Job Board

PR

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

2022年12月8日(木)10:00~15:50

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング