パッチ管理は、ソフトウェア アップデートをリリースおよび展開する継続的なプロセスであり、多くの場合、セキュリティと機能の問題に対処します。ただし、パッチ管理を適切に行うには、詳細で反復可能なプロセスが必要です。
効果的なパッチ管理プロセスを確立することは、システムを安全で安定した状態に保つために重要です。パッチはハッカーによって悪用される可能性のある脆弱性に対処します。脆弱性の修正はソフトウェアのエラーや欠陥を修正するために使用され、機能のアップグレードはユーザー エクスペリエンスを向上させるための機能強化を提供します。これらのパッチとアップデートをインストールすると、組織のソフトウェアとファームウェアが安全かつ確実に維持され、最新の改善が施された最新の状態に保たれます。
1. パッチ管理と脆弱性管理: 主な違い
本文を始める前に、まずパッチ管理と脆弱性管理の概念とそれらの主な違いを明確にしましょう。
パッチ管理は優れた脆弱性管理に不可欠な部分であり、サードパーティ ベンダー システムの既知の脆弱性に焦点を当てています。サードパーティ システムには、オペレーティング システム (OS)、ファームウェア (ハードウェアにインストールされるソフトウェア)、およびアプリケーションが含まれます。
パッチ管理はどの組織にとっても基本的な機能であると考える必要がありますが、大規模な環境ではパッチを常に最新の状態に保つことが困難なことがよくあります。Microsoft (Windows 10 以降)、Apple (iOS、macOS)、Google (Android、Chrome など) は自動パッチを定期的に展開しているため、消費者や技術に詳しくない従業員でもパッチ管理をある程度理解しています。
脆弱性管理には、サードパーティの既知の脆弱性にとどまらず、誤ったインストール、構成ミス、セキュリティの脆弱性、古いプロトコルの使用、アーキテクチャ上の問題、その他のエラーなど、より広範な問題が含まれます。
従来のテクノロジーなど、多くの脆弱性はパッチを使用して修正できません。逆に、脆弱性管理では、既知の脆弱性を保護するための補償制御を作成、実装、維持します。仮想パッチ適用は、侵入防止システム (IPS) 機能を使用して脆弱性をブロックする補償制御の一形式ですが、ファイアウォール ルールの変更、ネットワーク セグメンテーションおよびホワイトリストの追加など、他の技術を導入することもできます。脆弱性管理では、定期的なプロアクティブなテストを使用して、新しい脆弱性を特定し、古い脆弱性を追跡します。
| 主な違い: パッチと脆弱性の管理 |
||
| カテゴリー |
パッチ管理 |
脆弱性管理 |
| 範囲 |
サードパーティベンダーのオペレーティングシステム、ソフトウェア、ファームウェア |
すべての IT システム、構成、接続、セキュリティ制御 |
| 頻度 |
通常は毎月、Microsoft のパッチ スケジュールに合わせて行われます |
継続的に行うこともできますが、少なくとも四半期に一度 (小規模な組織の場合は毎年) 行う必要があります。 |
| 発見する |
主にベンダーが発行するセキュリティ勧告を通じて |
主にテストとスキャンを通じて |
| 修理 |
ベンダーが作成したパッチをダウンロードして適用する |
構成の修正、補償制御、追加のセキュリティ層のための修正を開発します。 |
| 記録管理と報告 |
月ごとに適用されるパッチ、パッチの適用に失敗したデバイス、およびパッチの適用時期 |
現在の優先度の高い脆弱性、補償制御ステータス、脆弱性および侵入スキャン結果のリスト |
| コンプライアンス要件 |
必要 |
頻繁に必要な |
以下に説明するパッチ管理プロセスのステップバイステップ ガイドは、組織が脆弱性をタイムリーに把握し、サイバー リスクを軽減するのに役立ちます。
2. パッチ管理プロセスの 11 の重要なステップ
ステップ 1: すべてのソフトウェア アプリケーションとシステムのインベントリを作成する
パッチ管理の最初のステップは、組織内のすべてのソフトウェア プログラムとシステムのインベントリを作成することです。このインベントリは、環境の範囲と複雑さを包括的に可視化し、パッチ適用プロセス全体を通じてソフトウェアやシステムが見落とされることがないようにします。包括的なインベントリは、どの修正が実装され、どの修正が不足しているかを判断するための最初のステップです。パッチの現在のステータスを理解すると、計画に役立ちます。
組織が直面する課題の 1 つは、多くの場合、ネットワークに接続されているすべてを把握しているわけではないことです。IT 資産管理ツールは、チームが監視する必要があるすべての資産を特定するのに役立つ効果的な方法になります。
ステップ 2: パッチを適用する必要があるエンドポイントを確認する
パッチを適用する必要がある組織内のすべてのエンドポイントの広範なレビューを実施します。サーバー、ワークステーション、ラップトップ、およびソフトウェア プログラムを実行するその他のデバイスと、これらのデバイス上で実行されるソフトウェア、ファームウェア、およびアプリケーションが含まれます。以前に生成したチェックリストを使用して、完全な適用範囲を確保するためにパッチを適用する必要がある正確なエンドポイントを特定し、脆弱なシステムを特定し、パッチ適用の優先順位を付け、見落としを排除し、セキュリティ ルールへのコンプライアンスを確保します。組織は、徹底的な評価を実施し、潜在的なセキュリティ リスクを軽減し、安全な IT 環境を確保することで、脆弱性を適切に監視および軽減できます。
ステップ 3: リスクと重要性に基づいて優先順位を確立する
ソフトウェア アプリケーションとシステムを特定したら、重要性と潜在的な攻撃パス内の位置に基づいて優先順位を付けます。各システムに対する脆弱性の影響を評価し、それに応じてパッチ適用作業に優先順位を付けます。このステップにより、リスクの高い重要なシステムに必要な注意が確実に受けられるようになります。
資産の重要性は、脆弱性の重大度と同じくらい重要です。顧客データベースの CVE スコアが低い脆弱性も、資産の価値を考慮すると緊急性が高くなる可能性があります。
ステップ 4: パッチ管理ポリシーを作成する
パッチ管理戦略を作成することは、一貫した統一されたパッチ適用プログラムを確立するために重要です。パッチ管理戦略では、すべてのシステムおよびソフトウェアに対するコア IT 要件のパッチ適用と更新を重要度の順に優先します。また、従って報告できる明確なプロセス、テストおよび検証できる所定の基準、パッチ適用とアップグレードの要件を説明するルールについても概説します。さらに、組織のパッチ管理手法、ガイドライン、役割、および責任もポリシーで概説する必要があります。
ステップ 5: パッチ適用の前後でドキュメントを作成する
パッチ管理プロセス全体を通じて詳細な文書を維持します。パッチを適用する前に、バージョン、設定、脆弱性などのシステムの状態を文書化します。導入されたパッチとそのシステムへの影響など、パッチ適用後に行われた変更を文書化します。これは、システムのステータス、展開されたパッチ、およびその影響を追跡するために重要です。トラブルシューティング、コンプライアンス、監査、レポート作成に役立ちます。パッチ管理プロセスを徹底的に文書化することで、組織はパッチの有効性を評価し、問題を解決し、セキュリティ要件への準拠を実証する能力を向上させることができます。
ステップ 6: パッチを評価してテストする
パッチを運用システムに展開する前に、パッチを評価およびテストして、システムとアプリケーションが効果的に動作することを確認する必要があります。制御されたテスト環境で、システムおよびアプリケーションに対するパッチの影響を評価します。このプロセスは、パッチがもたらす可能性のある潜在的な競合、非互換性、または有害な影響を検出するのに役立ちます。徹底的なテストにより、実稼働環境が中断されるリスクが軽減されます。包括的な評価を実施し、競合や互換性の問題を特定し、リスクを排除することで、組織は効果的に停止を防止し、システムの信頼性を維持し、IT インフラストラクチャの完全性を保護できます。
ステップ 7: 完全バックアップを作成する
修正を適用する前に、重要なシステムとデータの完全なバックアップを作成してください。このバックアップは、パッチ適用プロセス中に問題が発生した場合の「セーフティ ネット」として機能します。障害が発生した場合、組織はバックアップを使用してシステムを以前の状態に復元できます。
パッチをリリースする前に完全バックアップを実行することは、重要な予防策です。これにより、リスクが軽減され、システムの回復が容易になり、データが保護され、ロールバックの可能性が提供されます。組織は、この段階をパッチ管理プロセスに追加することで、より安全で簡単なパッチ適用エクスペリエンスを提供できるため、発生する可能性のある問題による潜在的な影響を軽減できます。多くのパッチ管理ツールにはロールバック機能が含まれています。
ステップ 8: パイロット パッチ展開を実施する
広範囲にわたる問題が発生する可能性を軽減するには、企業全体にパッチを展開する前に、限られた規模でパッチをテストすることが組織にとって最も効果的です。システムの代表的なサンプルにパッチを適用し、結果に細心の注意を払い、発生する可能性のある問題を解決します。このフェーズは、考えられる問題を特定し、展開プロセスを改善するのに役立ちます。リスクを最小限に抑え、導入プロセスを改善するための事前の戦略は、組織全体にパッチを配布する前に、代表的なパッチのセットの試験導入を実施することです。これは、考えられる問題を特定し、互換性を確保し、更新の有効性に対する信頼を高めるのに役立ちます。
ステップ 9: パッチをシステム全体に展開する
次に、組織全体の適切なエンドポイントにテスト パッチを展開します。パッチが評価、テスト、検証された後、次のステップはパッチを正しいソースからダウンロードし、定義された優先順位とパッチ配布に指定された時間枠に従って展開することです。これもパッチ管理ツールが役立つ場所です。
IT 環境の整合性を確保するために、このフェーズでは展開プロセスを継続的に監視し、問題があればできるだけ頻繁かつ迅速に修正するよう注意が払われます。
ステップ 10: パッチの更新を監視し、問題があれば修正する
パッチ管理プロセスの効果を維持するには、パッチ更新の検証と監視が不可欠な手順です。これにより、組織はパッチが正常にインストールされたかどうかを確認し、システムの稼働を維持し、ポリシーへの準拠を評価し、適用する必要がある新しいパッチを見つけて、一貫したパッチ適用スケジュールを維持することができます。パッチのインストール後、パッチの監視と評価によってその成功度が測定されます。パッチが正しく展開されていること、システムが期待どおりに機能していること、組織のパッチ管理標準に従っていることを確認することが重要です。
組織は、プロセスを自動化および合理化するパッチ管理ソリューションを使用して、パッチの更新を効果的に監視できます。これらのソリューションを使用すると、IT 組織は、さまざまなシステムのパッチのステータスを可視化することで、インストールされているパッチを追跡し、考えられる問題や脆弱性を特定できます。
システム管理および監視ツールは、パッチ適用プロセスを追跡し、配信されたパッチの整合性を確保し、パッチ適用の失敗や問題をできるだけ早く調査して修正し、失敗の根本原因を特定して解決策を設計するのに役立ちます。問題を修復し、システムのセキュリティを保護するには、再テスト、デバッグ、または代替パッチのインストールが必要になる場合があります。脆弱性にパッチを適用したり完全に軽減したりできない場合、セキュリティ管理によって影響を受ける資産の保護を強化できます。このプロセスは「仮想パッチ適用」と呼ばれることがよくあります。
ステップ 11: 最新のパッチを適用する
組織のシステムとデバイスのほとんどの脆弱性とパッチを最新の状態に保ち、パッチ管理ソフトウェアを最新の状態に保つように必ず更新してください。最新の脆弱性とアップデートを常に把握することで、組織のシステムが既知の脆弱性に対して最善のセキュリティ防御を備えていることが保証されます。
これらの変更により、システムの動作と安定性も向上します。ソフトウェアを更新すると、新しいテクノロジーとの互換性が維持され、ソフトウェアの競合やパフォーマンスの問題が発生する可能性が減ります。パッチ管理リソース、セキュリティ情報、脆弱性データベースを定期的に確認して、組織のシステムに関連する新しい修正を確実に把握してください。繰り返しになりますが、これもパッチ管理ツールと脆弱性管理ツールが役立つ分野です。
このステップにより、組織はパッチ管理に対する積極的なアプローチを維持し、新たなリスクに迅速に対応できるようになります。脆弱性とパッチを常に最新の状態に保つことで、組織は新たに発見された脆弱性とセキュリティ リスクに迅速に対処できると同時に、コンプライアンスのニーズを満たし、業界標準を遵守することができます。
3. パッチ管理プロセスの目標
組織は、パッチ管理の取り組みを以下で説明する目標に合わせることで、パッチ適用のための強力で積極的な戦略を構築できます。これは、ソフトウェア アプリケーションとシステムのセキュリティ、安定性、最適なパフォーマンスを確保するのに役立ちます。
- 予測可能性と修正を作成します。パッチ管理への組織的なアプローチを作成するには、定期的なパッチ適用スケジュールを確立し、ポリシーと手順に従い、ドキュメントを維持することから始まります。パッチ適用操作は予測可能なため、組織はパッチ適用操作を予測して計画することができ、パッチ適用操作が効率的かつ一貫して実行されるようにします。
- IT チームが緊急の脆弱性に対処できるようにします。必要に応じて、パッチ管理契約により IT チームに緊急機能を提供する必要があります。これには、セキュリティ上の緊急事態だけでなく、パッチによって予期せぬ問題が発生したり中断されたりした場合にロールバックする機能も含まれます。
- システム全体のセキュリティ、完全性、信頼性を向上させます。効果的なパッチ管理プロセスにより、システムのセキュリティ、整合性、信頼性が向上します。これにより、システムが信頼でき、最適に動作し、攻撃や障害に対して脆弱ではないことが保証されます。ソフトウェア プログラムとシステムを最新のアップグレードで最新の状態に保つことで、組織は全体的なセキュリティ体制を改善し、機密データを保護し、顧客や関係者の信頼を維持できます。
- アプリケーションとシステム間の互換性を確保します。パッチ管理により、ソフトウェア プログラムとシステムが組織の IT インフラストラクチャと互換性があることが保証されます。アップデートとパッチは通常、プログラムのバージョンや依存関係の変更によって発生する可能性のある互換性の問題に対処することを目的としています。組織は、これらの更新プログラムをインストールすることで、潜在的な競合や問題を軽減し、適応可能な IT インフラストラクチャを維持できます。
- パッチのステータスを完全に可視化します。会社全体のパッチステータスを完全に把握することは、パッチ管理の重要な目標です。これには、パッチが適用されたシステム、まだパッチが必要なシステム、および発生する可能性のある問題や異常を理解する必要があります。可視性により、企業はコンプライアンスを監視し、セキュリティのギャップを特定し、すべてのシステムを最新の状態に保つために必要な措置を講じることができます。
- システムの安定性とパフォーマンスを向上させます。パッチは、ソフトウェアのバグや問題を修正することにより、システムの安定性とパフォーマンスを向上させる上で重要な役割を果たします。バグの結果、アプリケーションやシステムで予期しない動作、クラッシュ、パフォーマンスの問題が発生する可能性があります。組織はこれらの問題を修正して、ソフトウェアが期待どおりに実行されるようにし、より信頼性が高く安定したコンピューティング環境を構築できます。
- 潜在的な脅威からシステムを保護します。ソフトウェア プログラムおよびシステムのセキュリティの脆弱性を修正することは、パッチ管理の主な目標の 1 つです。組織はアップデートを迅速に実装してセキュリティの脆弱性に対処し、不正アクセス、データ侵害、マルウェア攻撃などの潜在的な危険からシステムを保護できます。機密情報の完全性と機密性を維持するには、セキュリティ リスクを最小限に抑える必要があります。
- ソフトウェアの問題によるダウンタイムと中断を軽減します。組織は、プロアクティブなパッチ管理を実装することで、ダウンタイムを最小限に抑え、セキュリティ リスクの可能性を減らすことができます。ソフトウェアの未解決のバグや脆弱性は、システムのクラッシュや計画外のダウンタイムを引き起こす可能性があります。アップデートをタイムリーに実装して、ビジネスの継続性を維持し、生産性の損失を軽減し、ソフトウェア関連の停止の可能性を最小限に抑えます。システム パッチは、重大な問題の発生を防ぐことで、コストのかかるロールバックやシステム回復の必要性を減らします。これにより、運用がより効率的になり、エンドユーザーや消費者のマイナスなエクスペリエンスが軽減されます。
Jingyan 123より- FreeBuf ネットワーク セキュリティ業界ポータル