第4回 パッチ検証の必要性を考える：特集：効率的なパッチ適用、管理の実現に向けて（1/2 ページ）

前回は、パッチの公開から適用、確認までの一連のライフサイクルに沿って、パッチ管理を実現する手法を説明した。今回はそのサイクルの中でも最も神経を使う、パッチ検証の部分について紹介したい。

[磯 貴浩（ラック），ITmedia]

　前回まで、マイクロソフトのSUS（Software Update System）やMBSA（Microsoft Baseline Security Analyzer）、商用資産管理ソフトやパッチマネジメントソフトを使用し、ライフサイクルに沿ってパッチマネジメントを行う方法について説明してきた。

　今回は、パッチマネジメントのサイクルの中でも手間の掛かるセキュリティパッチの動作検証について説明したいと思う。企業内で使用されているPCにインストールされているソフトウェア、業務で使用されているソフトウェアは環境や用途によってそれぞれであり、セキュリティパッチの検証を自動化することはほぼ不可能だ。そのため、管理者みずから検証することが必要であり、手間の掛かる厄介な作業になっている。

セキュリティパッチ検証の必要性

　セキュリティパッチを適用すると、レジストリやシステムファイルが書き換わる場合がある。この場合、セキュリティパッチ適用によって、適用前までは何の問題もなく使用できていた業務アプリケーションが動かなくなる可能性もあり、セキュリティパッチ適用による影響を受けないという保証はない。

　もし、セキュリティパッチを適用したことによって、業務で使用しているアプリケーションが正常に動作しなくなってしまった場合、業務がストップするなどの影響が発生したり、場合によってはそれが原因で損害が発生する可能性がある。

　しかし、影響があるからといってセキュリティパッチを適用せずにセキュリティホールを放置しておくわけにもいかない。脆弱性を放置し、Blasterなどのワームに感染してしまえば、修復にはセキュリティパッチの検証テストよりも長い期間とコストが掛かってしまうかもしれない。社内ネットワークが混乱して業務に支障が発生したり、場合によっては社外にまでウイルスを広げ、損害を与えてしまう事態になるかもしれないからだ。

　この問題を回避するためには、事前にテスト環境を作成しておいてセキュリティパッチの検証を行い、そこで問題がなければパッチを適用する、といった手順を踏む必要がある。

パッチ適用で不具合が発生する理由

　セキュリティパッチを適用することによって、アプリケーションの動作に不具合が発生する原因には以下の項目が考えられる（図1）。

パッチ適用による不具合にはいくつかの理由が考えられる

セキュリティパッチの不具合

　ソフトウェアベンダーよりリリースされたセキュリティパッチに潜在的な不具合が含まれている可能性がある。この不具合が、アプリケーションの動作環境などに影響する場合、アプリケーションの動作に不具合が発生する可能性がある。事実、7月14日にマイクロソフトがリリースしたセキュリティパッチでも、下記のような問題が発生している。

表1■マイクロソフトのパッチによって生じた不具合（その1）

パッチ名称 不具合の内容 MS04-021 - Windows NT 4.0 Server＋IIS 4.0の環境で特定のISAPIフィルターがインストールされている場合、IISが応答しなくなることがある MS04-024 - Windows XPの環境で、「ヒント（ToolTip）機能により、ローカルコンピュータ上のファイルと同じファイルプロパティがネットワーク上のファイルに割り当てられる」「他のユーザーがヒントでネットワーク共有上のファイルを使用しているときに同じファイルを開くと、共有違反が発生することがある」「ネットワークトラフィックが増加することがある」といった問題が生じる - Windows NT 4.0環境では、システムドライブ以外に張られたショートカットのリンクが切れ、無効になってしまうことがある。8月11日に修正用ホットフィックスが公開された（8月11日の記事参照）。

　それ以外にも、今年マイクロソフトからリリースされたセキュリティパッチには、下記の問題点があることが報告されている。

表2■マイクロソフトのパッチによって生じた不具合（その2）

パッチ名称 不具合の内容 MS04-011 - Windows 2000またはWindows XPのマルチプロセッサ環境にセキュリティパッチをインストールすると、ブルースクリーンが表示されることがある - Windows 2000＋IIS 5.0の環境で証明書を選択した後「クライアント証明書が無効」というエラーメッセージが表示されることがある MS04-009 - Outlook 2002の環境で、受信メッセージの差出人フィールドに電子メールアドレスが重複して表示されることがある

　このようなセキュリティパッチ自身の不具合は、パッチリリース後、1〜2日の間に発表される場合が多い。また、こうした不具合はたいがい、セキュリティパッチをリリースしたソフトウェアベンダーの検証不足に起因することが多いようだ。

パッチ適用によって仕様が変更される

　セキュリティパッチの不具合ではないが、セキュリティホール修正のために、今まで使用することができていた機能が削除され、パッチ適用によって利用できなくなる場合もある。

　例えば、Internet Explorerのセキュリティパッチ「MS04-004」では、URLにユーザー名とパスワードを埋め込むことができる機能が削除されている（2月4日の記事参照）。もし、この機能を使用してログイン認証している業務アプリケーションを使用していた場合、MS04-004のパッチ適用以降は、これまでどおりの手順ではその業務アプリケーションにログインできなくなってしまう。

　このような更新がある場合、事前にソフトウェア開発元のホームページなどからセキュリティパッチの情報を入手し、適用するか否かを検討する必要がある。場合によっては業務アプリケーションの仕様変更が必要になるかもしれない。

パッチとアプリケーションとの相性

　セキュリティパッチ適用後アプリケーションの動作に不具合が発生したにもかかわらず、パッチ自体に問題がない場合は、アプリケーションとの相性問題と考えられる。「相性」というと曖昧な印象があるが、この問題は、そのアプリケーションで使用していたファイルの依存関係やファイルの組み合わせが、セキュリティパッチ適用によって崩れてしまった時に発生する可能性がある。

　たとえば、業務アプリケーションの中で多く使われているMDAC（アプリケーションからAccessやSQL Serverといったデータベースにアクセスするためのプログラム）には、多くのセキュリティホールが発見されており、プログラムバージョンも数多く存在する。そのため、当該アプリケーションがMDACのあるバージョンでのみ動作することを限定していた場合、パッチ適用によりMDACのバージョンが変わり、不具合が発生する可能性が高い。