対策不備は会社の信用問題。Windowsセキュリティアップデート術：良い管理者 悪い管理者 普通の管理者（2/6 ページ）

[木村尚義，ITmedia]

シェアの高さゆえに、Windows は狙われる!?

　セキュリティというと、何かと話題にのぼるのはWindowsであるが、Windowsだけがセキュリティ上の問題を抱えているわけではない。あらゆるOSやアプリケーションに、セキュリティアップデートが必要なのだが、Windowsのシェアが高いために目立っているのだ。コンピュータに被害をもたらすクラッカーは、マイナーなシステムをクラックしても自慢にならないというのも関係している。

むろん、マイクロソフトもシェアが高いゆえにマルウェアによる被害が広範囲に及ぶことを認識しており、セキュリティ情報を積極的に公開している。セキュリティ上の問題を知るためには、メール配信を希望すればセキュリティニュースレターが送られるし、マイクロソフトのWebサイト（セキュリティ情報一覧）でも随時調べることが可能だ。

　OSやアプリケーションでセキュリティの脆弱性が発見されると、メーカーはアップデートを作成する。作成されたアップデートはユーザーに配布されるが、配布してからユーザーが実際に適用するまでにタイムラグが発生する。

　脆弱性を修正するプログラムが完成しセキュリティアップデートを配布すると、マルウェアを作るクラッカーはプログラムを逆アセンブルして具体的にどこが脆弱なのか分析する。当然のことながらクラッカーは、セキュリティアップデートの使用許諾などお構いなしだ。クラックするマルウェアを作り上げるまでの期間は、プログラミングの腕前を誇示するように年々短縮されてきている（図1）。

マルチウェイ攻撃	悪用されるまでの日数（日）
Nimda（2001/09/18）	331
SQL Slammer（2003/01/25）	180
Welchina/Nachi（2003/08/18）	151
Blaster（2003/08/18）	25
Sasser（2004/05/01）	14

図1：セキュリティ更新の発表から悪用されるまでの日数

　マイクロソフトはセキュリティの深刻度レベルを次の4つに分類している（図2）。良い管理者を目指すなら、「緊急」と「重要」の違いくらいは認識しておこう。

評価	定義
緊急	悪用によってインターネットワームが蔓延する可能性がある
重要	悪用によって、ユーザーデータが侵害されたり、リソース処理の連続稼働性が損なわれる可能性がある
警告	悪用は深刻ではあるものの、既定の構成、監査、ユーザー介入の必要性、または悪用の困難さによって、かなりの程度まで脅威は緩和される
注意	悪用は非常に困難であるか、その影響は最小限である

図２：マイクロソフトによる更新プログラムの深刻度評価

緊急
　悪用によって、Code Red や Nimda のようなマルウェアがユーザーの介入がなくても蔓延する可能性がある。つまり、自分以外のコンピュータにも被害を与える可能性のあるマルウェアを想定している。

重要
　悪用によって、ユーザーデータ（ 機密性、完全性、連続稼働性など）、リソース処理の完全性、またはリソース処理の連続稼働性に対して危害が加えられる可能性がある。自分のコンピュータに大きな被害をもたらすマルウェアを想定している。

警告
　悪用は深刻ではあるものの、既定の構成、監査、ユーザー介入の必要性、または悪用の困難さによって、かなりの程度まで脅威は緩和される。特殊な条件下でのみ、被害が発生するマルウェアを想定している。

注意
　悪用は非常に困難であるか、その影響は最小限である。

　補足として、マイクロソフトが発表しているセキュリティ更新プログラム適用までの推奨期間を紹介しておこう（図3）。業務に重大な支障が発生する可能性がある場合は、推奨タイムフレームをより短く見積もる必要がある。

深刻度評価	更新プログラム適用の推奨タイムフレーム	更新プログラム適用の推奨タイムフレーム（最長）
緊急	24時間以内	２週間以内
重要	1カ月以内	２カ月以内
警告	連続稼働の要求度によって、次のService Packまたは更新プログラムを含むロールアップ更新プログラムまで待つ、または4カ月以内に更新プログラムを展開する、のいずれかとする	更新プログラムを6カ月以内に展開
注意	連続稼働の要求度によって、次のService Packまたは更新プログラムを含むロールアップ更新プログラムまで待つ、または１年以内に更新プログラムを展開する、のいずれかとする	１年以内に更新プログラムを展開するか、まったく展開しないかを選択する

図３：更新プログラム適用のタイムフレーム