脆弱性管理

パッチ管理ぱっちかんり

セキュリティパッチ脆弱性対応アップデート修正プログラムCVEパッチ適用

パッチ管理について教えて

簡単に言うとこんな感じ！

ソフトウェアの「穴（脆弱性）」をふさぐ修正プログラムを「パッチ」って言うんだ。パッチ管理は、その修正プログラムをいつ・どのシステムに・どんな手順で当てるかを計画的に管理することだよ！放っておくとサイバー攻撃の入り口になっちゃうから、超大事な作業なんだ。

パッチ管理とは

パッチ管理（Patch Management） とは、OS・ミドルウェア・アプリケーションなどのソフトウェアに対して、メーカーやベンダーが提供する修正プログラム（パッチ） を、計画的に収集・評価・テスト・適用・記録するプロセス全体を指します。単に「アップデートを当てる作業」だけでなく、優先順位付けや影響調査、適用後の確認まで含めた一連の管理活動です。

パッチが必要になる理由の多くはセキュリティ上の脆弱性です。脆弱性が公開されると攻撃者はすぐに悪用を試みるため、「脆弱性が判明してから適用するまでの時間」をいかに短縮するかが重要になります。一方で、パッチを闇雲に即適用すると業務システムが停止するリスクもあるため、リスクとスピードのバランス を取りながら管理することが求められます。

企業規模が大きくなるほど管理対象の端末・サーバー・ネットワーク機器が増え、手作業での管理は現実的ではありません。そこで、パッチ管理ツール（WSUS・SCCM・Ivanti・Qualysなど）を活用して自動化・一元管理するのが一般的な方法です。

パッチ管理のプロセスと仕組み

パッチ管理は以下のサイクルで繰り返し実施されます。

ステップ	内容	ポイント
① 資産把握	管理対象のソフトウェア・バージョンを棚卸し	何があるか分からないと管理できない
② 情報収集	ベンダーの公告・CVEデータベースを監視	JVN・NVDなどを定期チェック
③ 評価・優先順位付け	CVSSスコアや業務への影響度で優先度を決定	深刻度が高いものを先に対応
④ テスト	本番適用前に検証環境で動作確認	業務システムへの影響を事前に確認
⑤ 適用	スケジュールを組んで本番環境にパッチを当てる	メンテナンス窓（夜間など）で実施
⑥ 確認・記録	適用成否の確認・ログの記録・報告書の作成	監査対応や再発防止に活用

「CVSSスコア」って何？

CVSS（Common Vulnerability Scoring System） は、脆弱性の深刻度を 0.0〜10.0 の数値で表す共通指標です。スコアが高いほど緊急度が高く、優先的に対応が必要です。

CVSSスコア	深刻度	目安となる対応期限
9.0〜10.0	緊急（Critical）	数日以内
7.0〜8.9	重要（High）	1〜2週間以内
4.0〜6.9	警告（Medium）	1ヶ月以内
0.1〜3.9	注意（Low）	計画的に対応

ゼロデイ脆弱性への対応

パッチが存在しない状態で脆弱性が悪用されるゼロデイ攻撃の場合は、パッチ適用以外の暫定措置（WAFルール追加・機能無効化・ネットワーク遮断など）で被害を防ぐ必要があります。パッチ管理だけでなく、ゼロデイ対応も含めた脆弱性管理（Vulnerability Management） の視点が重要です。

歴史と背景

1988年 — Morris Worm（モリスワーム）が世界初の大規模ワーム感染を引き起こし、パッチ適用の重要性が初めて広く認識される
1990年代 — MicrosoftがWindowsのアップデート機能を整備。手動でのパッチ適用が一般化
2001年 — Code Red・Nimdaウイルスが猛威を振るい、パッチ未適用システムの危険性が世界的に問題となる
2003年 — Microsoftが月次パッチ提供サイクル「Patch Tuesday（毎月第2火曜日）」を開始。業界標準として定着
2003年 — WSUS（Windows Server Update Services） の前身となるSUSを公開。企業内でのパッチ一元管理が可能に
2005年 — CVSSバージョン1が公開。脆弱性の深刻度を共通指標で評価できるようになる
2017年 — WannaCryランサムウェアが世界中に拡散。Windowsの既知脆弱性（MS17-010）を悪用したもので、「パッチを当てていれば防げた」事例として大きな教訓となる
2020年代 — クラウド化・コンテナ化が進みパッチ管理の対象が多様化。SaaSやコンテナイメージのパッチ管理も重要課題に

パッチ管理ツールと運用モデルの比較

企業規模や環境によって使われるツール・手法が異なります。

「パッチウィンドウ」という考え方

パッチウィンドウとは、本番システムへのパッチ適用が許可された時間帯のことです。業務影響を最小限にするため、夜間・休日・週次メンテナンス時間帯などをあらかじめ設定しておきます。緊急パッチの場合は例外対応フローを別途定めておくことが重要です。

WannaCryから学ぶ「パッチを当てない」リスク

2017年のWannaCryランサムウェアは、WindowsのSMBプロトコルの脆弱性（EternalBlue）を悪用しました。Microsoftはこの脆弱性に対するパッチ（MS17-010）を感染拡大の2ヶ月前に提供済みでしたが、適用していない組織が世界中で被害を受けました。日本の大手企業や医療機関でも深刻な被害が発生し、「既知の脆弱性への対応を怠ること」のリスクが世界規模で証明された事例です。

規格・番号	内容
NIST SP 800-40 Rev.4	パッチ管理技術の指針。優先順位付け・テスト・展開プロセスの標準的なフレームワークを定義
ISO/IEC 27001	情報セキュリティ管理の国際規格。パッチ管理は「技術的脆弱性管理」として要求事項に含まれる
CIS Controls v8	CISが定めるセキュリティ対策の優先順位。Control 7「継続的な脆弱性管理」がパッチ管理に相当