サードパーティソフトのパッチ管理を自動化して素早い脆弱性対応を実現する方法

サードパーティ製品のパッチ管理の必要性とは？

IT管理者としての最優先事項の1つは、すべてのシステムに最新のセキュリティパッチが適用されている状態にすることです。Windowsの更新プログラムには対応できているIT管理者は多いかと思いますが、Microsoft以外のソフトウェアのアップデートについてはどうでしょうか。サードパーティ製品の危険な脆弱性への対応が大幅に遅れると、組織の端末は攻撃を受けやすくなり、セキュリティインシデントにつながる可能性があります。

ランサムウェア「WannaCry」が世界的に話題になった2017年は、WannaCryだけでなく、Equifaxの情報漏えい事件も大きな話題となりました。米国の消費者信用情報会社であるEquifaxが攻撃を受け、1億4550万人以上の機密個人情報が流出した事件です。賠償金額は最大7億ドル（約755億円）にものぼったことからも、事件の重大さをうかがえます。この事件では、Apache Strutsの脆弱性（CVE-2017-5638）が利用されました。しかし、この脆弱性に対するパッチは、攻撃が起こる数ヶ月前に提供されており、パッチ管理（脆弱性対応）の甘さが引き起こした事件であると言えます。

脆弱性は日々発見されているため、一度のみの対応だけではなく、日常的にパッチ管理を行っていく必要があります。パッチ管理を行えばすべての攻撃を防ぐことができるわけではありませんが、セキュリティインシデントを防ぐためにも、巻き込まれないためにもIT管理者が必ず行うべきセキュリティ対策の1つが「サードパーティ製品やOSの継続的なパッチ管理」です。

累計92,674件の脆弱性に対応するには自動化ツールが必要？

そもそもどのくらいの脆弱性が報告されているのかご存知でしょうか。2018年末までに脆弱性対策情報データベースJVN iPedia日本語版に登録された脆弱性対策情報の累計は、「92,674件」です。もちろん累計の中にはサードパーティ製品以外の脆弱性や組織によっては対応する必要のない脆弱性も含まれます。しかし、組織内でインストールされているサードパーティ製品を把握し、日々のそれらの脆弱性対応を行っていくことは容易ではありません。またパッチ管理の課題として次のようなものがあります。

• JVN 等から最新の脆弱性情報を常に把握するのが大変
• 各コンピューターのパッチ適用状況の可視化が出来ていない
• 各ベンダーのサイトから手作業でパッチをダウンロードするのが大変
• パッチを正常に適用できるか、また適用後に不具合が生じないか不安
• パッチ配布が業務に影響しないか不安
• コンプライアンス対応などで必要なレポートを作成するのが大変

これらの課題を解決し、膨大な脆弱性に素早く対応するためには、自動パッチ管理ツールの導入がオススメです。またパッチ管理を自動化できるツールを利用することで、セキュリティの向上だけでなく、IT 管理者は管理しているコンピューターに手動でパッチを適用するという日常的な作業から解放され、より中核的な事業活動に専念できるようになります。

Patch Manager Plusによるサードパーティ製品のパッチ管理

Patch Manager Plus は、Windows、macOS、Linux 端末への自動パッチ配布だけではなく、850種類を超えるサードパーティアプリケーションのパッチ配布を行える自動パッチ管理ツールです。一連の作業を「完全自動化」することができるため、「脆弱性対応の負担削減」と「素早い脆弱性によるセキュリティ向上」を同時に実現することができます。製品の特徴としては、次のようなものがあります。

• 最新の脆弱性情報の自動収集
• 端末自動スキャンによる欠落パッチの可視化
• ベンダーサイトからの自動ダウンロード
• テストグループを利用したパッチテスト
• 配布タイミング制御などを利用したパッチ配布
• コンプライアンス対応などに利用できる強力なレポート

サポートしているサードパーティ製品について

Adobe/Javaおよび各ブラウザーのパッチを含む広範なサードパーティ製品をサポートしています。サポートしているサードパーティ製品につきましては、こちらをご参照ください。

 

クラウド版なら

気軽に操作感をチェックできます