ゆめさくコード

脆弱性管理とパッチ

luagate/vulnerability-mgmt-intro脆弱性管理入門24 枚セキュリティ
スライド103触れる図解124レッスンの導入6

上から下へ、全 24 枚そのまま並べています。

発表モードで開く

脆弱性管理入門

脆弱性管理とパッチ

穴をふさぎ続ける 〜守りの運用〜

1
1

目次

今日の流れ

1. 脆弱性とは何か

2. CVE と脆弱性の番号

3. パッチとアップデート

4. 脆弱性管理のサイクル

5. まとめと振り返り

2
2
脆弱性管理入門 - イントロ

今日のゴール

この時間で身につけてほしいことです。

  • 脆弱性とは何かを説明できる
  • 放置するとなぜ危ないか分かる
  • CVEという脆弱性の番号を知る
  • パッチとアップデートの大切さが分かる
  • 脆弱性管理のサイクルをイメージできる
10
3
脆弱性管理入門 - イントロ

脆弱性 とは

ソフトウェアにできてしまう「守りの穴」のことです。

脆弱性（Vulnerability）

プログラムの作りこみミスや設計の不備によって生まれる、攻撃に悪用されうる弱点。家でいえば、鍵のかからない窓のような「守りの穴」のこと。

・ソフトに生まれる守りの穴

・攻撃者に悪用されうる弱点

・鍵のかからない窓のイメージ

・気づかれると侵入口になる

・完全になくすのは難しい

11
4
脆弱性管理入門 - イントロ

なぜ脆弱性は生まれるか

脆弱性は誰かの怠慢ではなく、ものづくりの宿命として生まれます。主な原因を見てみましょう。

人が作るから
  • プログラムは人が書く
  • ミスを完全には防げない
複雑だから
  • 多くの部品が組み合わさる
  • 想定外の使われ方が起きる
新たに見つかる
  • 後から弱点が発見される
  • 昨日まで安全でも今日は危険
12
5
脆弱性管理入門 - イントロ

放置するとどうなるか

穴を知りながらふさがないと、そこを狙われます。攻撃者は公開された弱点を探し回っています。

  • 公開された脆弱性は攻撃者も知っている
  • ふさがない穴は格好の侵入口になる
  • 乗っ取りや情報漏えいにつながる
  • 「うちは大丈夫」が一番危ない
  • 早く穴をふさぐほど被害を防げる
13
6

脆弱性管理入門 - CVE

2

第2部 CVE 脆弱性の番号

世界共通の見出し番号

20
7
脆弱性管理入門 - CVE

CVE とは

見つかった脆弱性に付ける、世界共通の管理番号です。

CVE（Common Vulnerabilities and Exposures）

発見された脆弱性ごとに割り振られる、世界共通の識別番号。一つひとつの弱点に「CVE-2024-12345」のような背番号を付け、世界中の誰もが同じ穴を指して話せるようにする仕組み。

・脆弱性に付ける世界共通の番号

・背番号で1つの弱点を特定できる

・誰もが同じ穴を指して話せる

・対策情報を探す手がかりになる

・深刻度を測る指標とあわせて使う

21
8
脆弱性管理入門 - CVE

深刻度で優先順位をつける

脆弱性は数が多いので、危ないものから順に対応します。深刻度の目安を使います。

危険度を点数化
  • 深刻度を数値で表す
  • 高いほど早く対応
影響を見る
  • 乗っ取られるか
  • 情報が漏れるか
順番を決める
  • 全部すぐは無理
  • 危ないものから先に
22
9
脆弱性管理入門 - CVE

深刻度のレベル感（イメージ）

深刻度のレベルに応じて、対応の急ぎ方が変わります。あくまで目安のイメージです。

危険の度合い
対応の目安

緊急

乗っ取られる恐れ大

今すぐ対応

高

重大な影響あり

早めに対応

中

条件次第で影響

計画的に対応

低

影響は限定的

様子を見て対応

23
10

脆弱性管理入門 - パッチ

3

第3部 パッチとアップデート

穴をふさぐ手当て

30
11
脆弱性管理入門 - パッチ

パッチ とは

見つかった穴をふさぐための、修正プログラムのことです。

パッチ（Patch）

脆弱性などの不具合を直すために、ソフトの開発元が配る修正プログラム。破れた服に当て布をするように、見つかった穴をふさぐ「当て布」のこと。

・穴をふさぐ修正プログラム

・開発元から配布される

・当て布のイメージ

・あてると弱点がなくなる

・公開されたら早めにあてる

31
12
脆弱性管理入門 - パッチ

アップデート前と後

・こまめに更新するかどうかで、守りの状態が大きく変わります。後回しの危うさを比べてみましょう。

更新を後回し

  • 古いまま使い続ける
  • 穴が開きっぱなし
  • 攻撃者に狙われやすい
  • ある日まとめて被害が出る

こまめに更新

  • 新しいパッチをあてる
  • 穴がふさがれている
  • 狙われても入られにくい
  • 被害を未然に防げる
32
13
脆弱性管理入門 - パッチ

パッチをあてる流れ

いきなり本番にあてず、確かめてから適用します。安全に更新するための手順です。

新しいパッチの情報を知る
影響と緊急度を確認する
テスト環境で動作を検証する
本番に適用する
正しく直ったか確認する
33
14
脆弱性管理入門 - パッチ

アップデートの重要性

アップデートは面倒に感じますが、最も基本的で効果の高い守りです。日々の積み重ねが防御になります。

  • 更新は最も基本的なセキュリティ対策
  • 公開済みの穴の多くは更新で防げる
  • スマホやPCの「更新あり」も同じ理由
  • 自動更新を使うと取りこぼしが減る
  • 面倒でも続けることが守りになる
34
15

脆弱性管理入門 - 運用

4

第4部 管理のサイクルと備え

ふさぎ続ける運用

40
16
脆弱性管理入門 - 運用

脆弱性管理のサイクル

一度直して終わりではなく、ぐるぐると回し続ける運用です。

脆弱性管理（Vulnerability Management）

自分たちの機器やソフトにどんな弱点があるかを把握し、危ないものから直して、また調べる、を回し続ける運用。一度きりでなく、定期的に繰り返すことが肝心。

・持っている資産を把握する

・弱点がないか調べる

・危ないものから直す

・直ったか確認する

・また調べる、を繰り返す

41
17
脆弱性管理入門 - 運用

管理サイクルの4ステップ

脆弱性管理は、次の流れをぐるぐると回し続けます。

1. 把握する

何を使っているかを洗い出す

2. 調べる

弱点がないか定期的に点検する

3. 直す

危ないものから優先して対応する

4. 確認する

直ったか確かめ、また1に戻る

42
18
脆弱性管理入門 - 運用

ゼロデイとEOLへの備え

特に注意したい2つの危険があります。それぞれ性質が異なります。

ゼロデイ / EOL

ゼロデイは、修正パッチがまだ無いうちに攻撃される脆弱性。EOL（End of Life）は、開発元のサポートが終了し、もうパッチが配られなくなった状態。どちらも穴をふさげない危うさがある。

・ゼロデイはパッチが無いうちの攻撃

・対策が間に合わない危険がある

・多層防御や監視で被害を抑える

・EOLはサポート終了でパッチが来ない

・古い製品は早めに乗り換える

43
19
脆弱性管理入門 - 運用

対応の早さと被害の大きさ（イメージ）

公開された穴を早くふさぐほど、被害は小さくなります。あくまでイメージです。

90 被害の大きさ(イメージ)725436180
15被害の大きさ(イメージ)
55被害の大きさ(イメージ)
90被害の大きさ(イメージ)
当日に対応
数週間後
放置

出典: 対応の早さと被害の傾向を示す概念図（概算）

44
20
脆弱性管理入門 - まとめ
クイズ

振り返りクイズ

今日の内容を確認しましょう。

修正パッチがまだ存在しないうちに攻撃される脆弱性をなんと呼ぶ？

A
CVE
B
ゼロデイ
C
EOL
D
パッチ
50
21
脆弱性管理入門 - まとめ
答え

振り返りクイズ 解答

修正パッチがまだ存在しないうちに攻撃される脆弱性をなんと呼ぶ？

A
CVE
B
ゼロデイ
C
EOL
D
パッチ

パッチがまだ無いうちに攻撃されるのがゼロデイです。修正で穴をふさげないため、多層防御や監視で被害を抑えるしかありません。CVEは脆弱性の番号、EOLはサポート終了の状態、パッチは穴をふさぐ修正プログラムを指します。

51
22
脆弱性管理入門 - まとめ

質疑・次回予告

今日のまとめと、次に学ぶテーマです。質問があればここで受け付けます。

今日のおさらい
  • 脆弱性は守りの穴
  • パッチと更新でふさぐ
  • 管理は回し続ける
次回予告
  • 情報セキュリティマネジメント 〜組織で守る〜
  • 技術だけでなく組織で守る考え方を学ぶ
52
23
"

脆弱性はものづくりの宿命として生まれ続ける。だから守りは一度きりでは終わらない。穴を見つけ、ふさぎ、また探す。この地道な繰り返しこそが、長く安全を保つ運用になる。

— 脆弱性管理入門

53
24