セキュリティアップデート

セキュリティアップデートとは、セキュリティ上の問題を無効化させるために、アップデート作業を行うことです。

セキュリティ上の問題とは、主にプログラムのバグのことを指します。WindowsやLinuxなどのオペレーティングシステムはもちろん、ApacheやMySQLなどのミドルウェア、WordPressなどのソフトウェアはすべてプログラムです。

これらのプログラムでは、日々新しい脆弱性が発見されています。利用者が多ければ多いほど、発見される数や悪用される可能性も高くなります。

脆弱性の発見と、対策用パッチの提供状況を把握し、必要に応じて適用していくことが必要です。

AWSのセキュリティは、AWSと利用ユーザーで責任を共有する「責任共有モデル」が基本的な考え方となります。

「責任共有モデルでは」AWSがクラウドに関するセキュリティに責任を持ちます。具体的には、AWSで提供されるすべてのサービスを実行するインフラストラクチャの保護について責任を負います。このインフラストラクチャはハードウェア、ソフトウェア、ネットワーキング、AWS クラウドのサービスを実行する施設で構成されます。

適切なパッチ適用を行わないと、ビジネス上のリスクが発生します。

たとえば、自身のWEBサービスが、脆弱性をついた攻撃を受ける可能性があります。

攻撃を受けることで、サービス停止の被害を受けるかもしれません。不正に個人情報にアクセスされて、情報漏洩が起きる可能性もあります。

また、攻撃の踏み台にされてしまうこともあります。その場合、被害者ではなく、知らず知らずのうちに加害者になっていることもありえます。

セキュリティアップデートの流れは次のように行います。

１．脆弱性認知
２．パッチ適用判断
３．パッチ配布確認
４．パッチ適用

ディーネットのAWS運用代行サービスでは、セキュリティアップデートサービスの提供をしております。

日々の脆弱性情報の収集を行い、一定の基準を超える場合は、対象のお客様へ内容をご連絡します。その内容をもとに、お客様にて適用判断をしていただきます。

パッチ適用をする。と判断された場合は、必要に応じてテスト環境をご用意のうえ、お客様と事前検証を実施。問題ないと判断された場合は、本番環境へパッチ適用いたします。

お客様にてセキュリティアップデートの運用をする場合のポイントです。

脆弱性は日々新しいものが発見されています。つまり、運用中のサービスについては、常に気にしておく必要があります。日ごろから、脆弱性の情報収集作業をルーチン化しておきましょう。

また、セキュリティアップデートの適用基準を予め決めておくことも重要です。「脆弱性情報データベースの○○に、深刻度○○以上の脆弱性が公開された場合は、適用を検討する。」などの基準があると、実際に対応が必要になった場合に、落ち着いて対応することが可能です。

この記事では、セキュリティアップデートサービスについて解説しました。

AWSでは責任共有モデルにより、クラウドについてはAWSが責任をもってセキュリティ対策を実施します。利用者は、クラウドの利用方法やEC2インスタンス内のOSやプログラムについてセキュリティ対策が必要です。