セキュリティパッチ

ソフトウェアに発見されたセキュリティ上の脆弱性を修正するための更新プログラム。脆弱性を悪用した攻撃を防ぐため、速やかな適用が推奨される。

ソフトウェアに見つかった脆弱性を修正するために、開発元が提供する修正プログラム。公開された脆弱性はすぐに攻撃に悪用されやすいため、業務への影響を確かめたうえで速やかに適用する。修正プログラムが提供される前に脆弱性を突く攻撃をゼロデイ攻撃という。

脆弱性を修正するために開発元が提供する更新プログラム。公開後は脆弱性の内容も知られるため攻撃が急増しやすく、適用の遅れが被害に直結する。検証環境での確認と迅速な展開を両立する運用体制が要る。

脆弱性を修正するために提供される更新プログラム。ネットワーク機器では適用に再起動や通信断を伴うため、影響範囲の確認と作業時間帯の調整、切り戻し手順の準備が必要となる。

ソフトウェアに発見されたセキュリティ上の脆弱性を修正するための更新プログラム。脆弱性を悪用した攻撃を防ぐため、速やかな適用が推奨される。

コンテナイメージに含まれるOSパッケージやライブラリの既知の脆弱性を検出し、修正していく取組み。イメージスキャナを使ってビルド時、レジストリへの登録時、稼働中に継続して検査し、信頼できる最小構成のベースイメージを使う、署名で改ざんを防ぐといった運用を行う。稼働中のコンテナに直接パッチを当てるのではなく、修正版からイメージを作り直して入れ替えるのが原則。

ソフトウェアを構成するOSSやライブラリなどの部品の名称、バージョン、依存関係、ライセンスを一覧にした部品表。新しい脆弱性が公表されたときにSBOMと照合すれば、影響を受ける製品やシステムをすぐに特定でき、脆弱性管理を迅速にできる。SPDXやCycloneDXといった標準の形式があり、脆弱性が実際に悪用可能かを伝えるVEXと組み合わせて使われる。

ソフトウェアの脆弱性が公表されたり修正プログラムが提供されたりする前に、その脆弱性を突いて行われる攻撃。修正プログラムによる根本的な対策ができないため、WAFやIPSによる回避策、EDRによる振る舞いの検知、多層防御で被害を抑える。

健康を保つための衛生習慣になぞらえて、情報システムを安全な状態に保つために日常的に続ける基本的なセキュリティ対策。資産の把握、修正プログラムの適用、不要なアカウントの削除、パスワードの適切な管理、バックアップ、ログの点検などを組織全体の習慣として行う。

組織が利用するソフトウェアや機器の技術的な脆弱性について、情報の収集、資産の目録との照合による影響の把握、リスクに応じた優先順位付け、修正プログラムの適用や回避策の実施、適用状況の確認を継続的に行う活動。JIS Q 27002の「技術的脆弱性の管理」に当たり、SBOMやCVSSを活用する。