WannaCryも防げたはず。今度こそ「パッチ適用」を徹底しよう：今さら聞けない「セキュリティ基礎の基礎」（1）（3/3 ページ）

パッチ適用まで時間がかかる場合は「仮想パッチ」で緩和する

　パターン3のように、パッチ適用ができない、もしくはパッチ適用するまでに時間がかかってしまう場合もあります。こういった場合は、疑似的にパッチ適用された状態にして被害を緩和する方法があります。これを「仮想パッチ」と言います。

　具体的には、WAFやUTM、IPSといった既存のセキュリティ製品を用いて、ネットワークを介したサイバー攻撃からパッチ未適用のコンピュータを守るというものです（実際にTrendMicroの「DeepSecurity」などのソリューションがあります）。

　仮想パッチはパッチ未公開の脆弱性を狙ったサイバー攻撃からもシステムを守ることができます。パッチはバグや脆弱性が確認されてから、システムへの影響を考慮しつつ開発しています。そのため、パッチが公開されるまで時間がかかることもあります。その間、コンピュータは無防備となってしまいますが、仮想パッチはパッチ適用の有無にかかわらずサイバー攻撃を防げるため、パッチ未公開でもサイバー攻撃を緩和してくれます。

　しかし、万能に思える仮想パッチですが、基本的にはネットワークを介したサイバー攻撃しか防ぐことができず、ネットワークを介さない場合や暗号化された通信には効力を発揮できません。また、パッチは脆弱性の修正以外に不具合の修正などもありますが、仮想パッチでは不具合に対しては対処できません。そのため、あくまでもパッチ適用するまでの緩和策としての活用を推奨します。

　既存のセキュリティ製品と仮想パッチの違いは、「仮想パッチは自動的に通信を遮断するためのルールが適用されたものであり、適用されるルールは脆弱性を狙ったサイバー攻撃からコンピュータ守ることに特化させたものである」と筆者は考えています。

　なお、SOCを導入している場合、仮想パッチと類似のサービスを受けることも可能です。

　今回は大きく分けるとパッチ管理、仮想パッチ、シンクライアントによる対策を記載しました。実際にパッチ適用に困っているシステム管理者の方の一助になれれば幸いです。