パスワードを忘れた？ アカウント作成
Close
7066 story
セキュリティ

パッチの適用に有効な手段は何？ 107

ストーリー by Oliver
副作用の可能性さえなければ 部門より

MIYU曰く、"Windows XP SP2のβ版が間もなくリリースされるそうです。「このリリースの焦点は主にセキュリティ関連の技術にある。インターネットに接続しているすべてのコンピュータに、Blasterのようなネットワーク経由の攻撃からの保護策が必要だ」、とMicrosoftの担当者が語っていますが、Windows Firewallや自動アップデート機能などが従来よりも強化されているようです。少し前には、Windows 98などの古いバージョンのWindowsのユーザーに対して、緊急セキュリティアップデート提供用の“CD”を配布する ベータテストが開始される、という報道もされています。
どんな手段を使うにしても、「パッチを適用してセキュリティーホールを塞ぐ」事は、安全確保の為に最低限必要な事だと思うのですが、ネットワーク上には 不正コピー品や ロングホーンβ版の海賊版のような物も含めて、パッチが適用されていないセキュリティ管理の悪いパソコンが多数存在していて、 ワームやウイルスに感染してインターネット全体に悪影響を与える様な事も起きています。セキュリティに対する全体的な認識不足が原因で、スパムメールの約3件に1件は、悪用されていることに気付いていないユーザーのコンピュータ経由で送信されている。という 調査報告もつい最近記事になっていました。
インターネットの発展に伴って、ユーザーの多くが“Non Technical People”になってきているという事も言われていますが、パッチの適用も含めて、インターネットを「安全に利用出来る様にする」為には、どういう手法が有効なのでしょう？　いっその事、ネットワーク側に管理を委ねる方が安全でしょうか？"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

パッチの適用に有効な手段は何？ More

  • パッチ云々以前に（オフトピ） (スコア:4, 参考になる)

    by shiraga (14233) on 2003年12月14日 22時27分 (#454698)
    多くのOSがデフォルトでセキュリティホールになり得るサービスを動かしてることが問題ではないかなぁ。

    例えば、WindowsのIIS、メッセンジャー、ネット接続共有など。
    LinuxならSMTPサーバーやHTMLサーバーやRPCがデフォルトで動いているとか。
    インストーラの設定次第で塞げるのに空いてる穴が多い。

    特にWindowsは、これまで「セキュリティ vs 使いやすさ」のトレードオフに関して、あまりにも「使いやすさ」を重視しすぎてきたと思います。
    「誰でも使える」だけではなく「誰でも必要な時に動かす／止められる」ようにすべきでしょう。

    もはや「ネットワークの管理に詳しくない人間がインターネットに接続する」のは避けられないわけで、「管理するのが使う人間の責任だ」といくら大きな声で叫んでも、到底完璧な状況には至らないと思います。

    ならば、OSのデフォルトのセキュリティレベルを上げるのが有効だと思います。
    大多数のユーザーが使わない機能は、管理者が明示的に動かさない限り、動かないようにしておく。

    また、必要な時にそれらのサービスを簡単にON/OFF出来る機能も必要でしょう。
    MacOSXの「共有設定コントロールパネル」（フィルサーバー、webサーバー等の設定と、ファイアウォールの設定が連動する）が１つの良いお手本になると思います。
    もちろん、サーバー用途なのではGUIだけでなく、CUIでも設定出来ることが必要なのは言うまでもありません。
  • パソコンを使う限りは最終的には利用者が賢くなる以外方法はないように思います。
    しかし、すべての利用者が賢くなることはまずないでしょう。

    一般の人（主にパッチを当てない人）が求めているものは冷蔵庫や電子レンジのような、安定度の高いもので実はパソコンではないのです。
    だから彼らは、パソコンも家電のように使います。当然パッチも当てません。
    しかし、パソコンはメンテナンスフリーではないし、そうなってはいけないものです。なぜならば、パソコンは最先端の機能を有し、多少不具合があっても、便利な道具でなければならないからです。
    そういった人たちにパッチを当てろというのは到底無理な話しですしそもそもそういったひとたちが、メンテナンスフリーでない、パソコンを使うこと自体が無理なように思います。
    彼らに必要なのは、彼らが必要な機能だけに限定しほぼパッチの当てる必要のない家電のような商品です。

    # そうピピン＠とか、ドリキャスのような（だめじゃん）

    まぁ企業がそういうものを出さないもしくは出しても失敗するというのは、セキュリティや安定性なんて世間では2の次ということでしょう。
    ちなみに私は家電のようなパソコンは使いたくないなぁ・・。

  • 週間KNOPPIX (スコア:2, 興味深い)

    by chibad (19158) on 2003年12月14日 23時33分 (#454718)
    デアゴスティーニ [deagostini.co.jp]辺りとタイアップして、
    "週間KNOPPIX"でメディア強制送付で、ユーザも入れ替えるだけで済むってのはどうよ？

    どうせパッチ当てしないパンピー向けには、
    何気に有りだと思っている。
    CD起動の弱点も解消できる一石二鳥？

    問題はコストと、環境問題かな。

  • www.patchmanagement.org (スコア:2, 参考になる)

    by Henrich (121) on 2003年12月15日 17時33分 (#455124)
    このような問題を話し合う「専門」のメーリングリストが http://www.patchmanagement.org [patchmanagement.org]
    なるサイトと共に立ち上げられており、Tina Bird (Stanford Univ), Jason Chan (@Stake),
    Ben Laurie (Apache Foundation), Eric Schultze(Shavlik), Adam Shostack がモデレータと
    して任命されています。

    ご興味のある方はのぞいてみてはいかが？
  • OS の機能が多過ぎるのは、ユーザの絞り込みに自信がなくて、
    機能を絞り込んだら競争に勝てないんじゃないかと恐れている
    からだろうね。
    スイスアーミーナイフに六角レンチとモンキーレンチと半田ゴテと
    巻き尺と電動ドリルとノコギリとペンチと床屋バサミを追加した
    ような製品を、みんな作り続けている。

    そんなお化けみたいな製品、いくら見たって哲学ってものが伝わ
    ってこないんだから、まっとうにメンテできる訳ないだろ。

  • INTERNET Watchが、 マイクロソフトにセキュリティ修正プログラムの今後を聞く、
    という記事を連載しています。

    前編（2003/12/15） [impress.co.jp]、 中編（2003/12/17） [impress.co.jp]、 後編（2003/12/18） [impress.co.jp]

    「パッチを当てなくても、一定以上のセキュリティを 保証できるようにしたい」というのが、マイクロソフトの立場で、 Windows XP SP2では、 「インターネット接続ファイアウォール（ICF）機能をデフォルトでオン」 にするようです。（“オンラインゲームができなくなった”や “アプリケーションが動かなくなった”などは、 極力出ないようにしたいそうです）
    また、パッチを入手しやすくするために、SP2はCDROMの形で雑誌に添付することも予定されているようです。

    この種の議論であまり触れられる事がない「不正コピー品」に対しては、何か出来る事は有るんでしょうか？　管理は悪い、パッチは適用されない（XPはそうなってます）、撲滅は出来ない。 次は、“私はネットを愛してる”、を誰かが試みるのでしょうか？
    自分が安全を確保していても、 ネットが影響を受けたら、アウトです。

  • 理由は以下の２点。
    1. そのシステムに穴があったら目もあてられない。
    2. 世界的にはまだまだナローバンドユーザーも多く、（ネットに繋いだら有無をいわさずパッチ摘要というのは）現時点では非現実的。

  • 自由度が高いのが問題 (スコア:1, 興味深い)

    by Anonymous Coward on 2003年12月14日 23時06分 (#454710)
    インターネットはほぼ何でもできる状態というのがそもそも悪い。
    自由度が高いから末端でわざわざセキュリティを高めなきゃならない訳で、
    ネット側で「制約はあるがセキュリティが高い」というメニューも用意すべきでしょう。

    ネットにおいて、末端に全ての責任を担わせるのは作業負荷が高くなるのは
    分かりきったことで、時代は既にセキュリティの負荷分散を考えるべきステージに
    入っているのに、相も変わらず昔流の個別対処だから、結果として全体として
    破綻しつつあるのでは？と感じます。

    自由度が高いメニューが欲しいユーザは自由度が高いメニューを選べ、
    そうでないユーザは安全度が高いメニューを、という方向に進むべき
    時代に来ていると思うのだが、実現にはISPの協調が必要だろうなぁ。

    来年4月にはスパムが流通量の70%に達するというらしいし‥。
    どこかで考えなきゃならないことだと思うぞ、ISPは生き残りを考えるなら。

    • Re:自由度が高いのが問題 (スコア:1)

      by soryu (13825) on 2003年12月15日 0時07分 (#454746)
      まあそういうわけでISPのウイルスメールチェックサービスがあるのだろうけど。

      次はISPのオプションでファイアーウォールかな。
      # って行く末は企業のLANと同じやね。。
      シェア
      親コメント
    • ISPのメニューでまず見るのが値段で、"セキュリティが高いメニュー＝値段が高い"場合、
      初心者でも個人ユーザなら安いメニューに行く可能性が高い様な気がします。

      そうすると、結局は今と状況が変わらないので、値段に差をつけるとキツいような。

      かといって、今のISPの価格は安いので、この価格でコストがかかる作業をISPがやるかと言ったら、
      それは無いでしょうから、コストがかからないで、セキュアな環境をユーザーに提供できるISPが
      勝ち残る気がします。
      って、当たり前か。

      #ちなみに、ISP側の対処で思い出すのが、懐かしのコードレッドバスターですかね。
      シェア
      親コメント
  • つい今週末、手持ちのノートPCを再セットアップしたのですが、たまたま夜中に始めてしまったのでウィルスチェッカを購入する前に充てられるだけのパッチ充てをしようとしました。
    (既にあるライセンスは新しいマシンの方に移しまして…)

    で、夜が明けて早速ウィルスチェッカを購入・導入してみましたところ…パッチ充てに妙に時間がかかると思っていたら、どうやらその最中にNachi [trendmicro.co.jp]を喰らっていたようで(涙)
    結局改めて順番を変えて(OSリカバリ→ウィルスチェッカ導入→パッチ充て)やり直しました。

    最初のパッチ充てでネットに繋いでいたのは三時間程度のつもりなんですが、甘かったなぁ…
    --
    -+- 想像力を超え｢創造力｣をも凌駕する、それが『妄想力』!! -+-

    • Re:パッチ充ての苦労… (スコア:2, 参考になる)

      by Anonymous Coward on 2003年12月14日 23時51分 (#454730)
      NICのプロパティ -> インターネットプロトコル(TCP/IP)のプロパティ -> 詳細設定 -> オプション -> TCP/IPフィルタリング

      わかりづらすぎるところにありますが、Windows再セットアップ後は物理的にネットワークに繋ぐ前にポート80と443しか以外をフィルタリングする設定にして、WindowsUpdateを完全に終わらせてからフィルタリングを解除すべきです。
      もしくはルータで遮断。

      # 一番いいのはサービスパック適用済みのCDからセットアップすることだけど、件のワーム対策がされたサービスパックまだ無かったかな。
      シェア
      親コメント
      • グハ、そんなことが出来たんですね。ヘタレなもので今まで市販のツールに頼ってばかりでした。今後の参考にさせて頂きます。

        ちなみに、AirH"で直接繋いでましたのでルータ云々以前の問題でして、更に二年半前のW2KマシンのリカバリですのでSP3すら当たってない状況からのスタートで…
        むぅ…

        #しかし、多くのヒトは買ってきてそのままの状態で使っている訳で…
        --
        -+- 想像力を超え｢創造力｣をも凌駕する、それが『妄想力』!! -+-
        シェア
        親コメント

    • Re:パッチ充ての苦労… (スコア:2, 参考になる)

      by Fortune (6210) on 2003年12月15日 10時34分 (#454921) 日記
      私も昨日同じようなことになりました。
      ADSL用の接続設定して接続してからFWのルール適用までの30秒ちょっとの間に…。
      接続前にFWのルール適用しとけばよかったんですが、甘く見ていたのが敗因です(T_T)
      シェア
      親コメント

    • Re:パッチ充ての苦労… (スコア:2, 参考になる)

      by tuneo (2938) on 2003年12月15日 18時04分 (#455140) ホームページ 日記
      > OSリカバリ→ウィルスチェッカ導入→パッチ充て
      MS03-025の脆弱性を攻撃するワームetc.に関しては

      1. Windows2000起動
      2. dcomcnfg.exe実行
      3. 「既定のプロパティ」→「このコンピュータ上で分散COMを有効にする」のチェックを外す
      4. ダイヤルアップ
      5. パッチ導入
      6. 再起動
      7. dcomcnfgで分散COMを有効化

      で防御できますよね。
      # 私もAirH"で痛い目にあって体で覚えたッス。
      シェア
      親コメント

  • 成熟したインフラ (スコア:1)

    by jack_mexfer (3850) on 2003年12月15日 1時09分 (#454792) 日記
    当然のような気がしますが，OS自体のサービスと，それの上で
    動かすアプリでは手段が異なるのではないでしょうか．

    また，供給者が抱えるユーザの数や契約条項，利用形態などでも
    最適といえる手段をロジック一つにまとめるようにはならない
    気がします．

    社会インフラとして 電気・ガス・水道 のように成熟するには色々
    試行錯誤が必要ですね．

    #って，何が言いたいのか自分でも判らんけどID
    --
    // jack_mexfer

  • システムを売る (スコア:1)

    by jmk (11245) on 2003年12月15日 2時15分 (#454826)
    セキュリティパッチまでも提供するサービスとすればいいのではないでしょうか。つまり、販売側がシステム管理は全て受け負うモデルです。ユーザに管理者権限は与えないでおかず、外部に管理者を雇うという発想ですね。ソフトのインストールもできなくなりますが、そんなの購入時に済ませられるのがほとんどでしょう。
    ま、採算とれるわけないので成立するとは思えないけど。

    • Re:システムを売る (スコア:1)

      by yasudas (5610) on 2003年12月15日 10時16分 (#454912) 日記
      >セキュリティパッチまでも提供するサービスとすればいいのではないでしょうか

      セキュリティパッチにしても、それって「製造元の不具合」なんだよね。
      販売側としても、そういった「売ったモノの不具合に対応するから、さ
      らに金だしてくれ」ということになるわけなんですよ。

      >外部に管理者を雇うという発想ですね。

      そういった手段を採用するためのコストは、最終的には購入者／利用者
      にはなるのでしょうが、それは最初の販売価格に入れ込んでないと、後
      から払えは、ちょっと無理だと思いますよ。

      そういった不具合の可能性と対処のための費用を予め価格付けしてない
      製造者／販売者の問題とも、思うけどね。
      シェア
      親コメント
      • 最初の販売価格に入れ込んでいると、今度はきちんと管理できる利用者から文句が行くと思います。
        但し、同じスペックで不具合対策費用込みマシンと費用無しマシンが二つ並んでいた時に、管理の出来無いユーザーはどっちを取るかですね。
        恐らく安い方でしょう。
        --
        脳味噌腐乱中…
        シェア
        親コメント

        • Re:システムを売る (スコア:1)

          by yasudas (5610) on 2003年12月15日 18時49分 (#455173) 日記
          >今度はきちんと管理できる利用者から文句が行くと思います。

          それなら割引販売するとかね。「ヘルプしない、サポートしない」版とかね。

          >恐らく安い方でしょう。

          追加オプションとしてセキュリティを言っても、「不完全品の責任
          をユーザに負担させる？」ってなことになりそうだね。それなら、
          劣化オプション（マイナスオプション）という手段しかないので
          はないかな？

          メーカーとしてもある一定の資格を持った人がいることなどを前提
          として、さらに、パッチ不提供での価格提示とかね。Windowsで
          言えば、WindowsUpdateがなくても、Windowsをセキュアにでき
          るという、ちょっと考えつかないレベルでの資格とかね。

          きちんと管理できたとしても、パッチ適用で止まる、止まる迄の
          前提としてシステムオーナやデータオーナ、さらにはアプリを作っ
          た連中やらとネゴとらないといけないという工数が発生するし、
          そのネゴは基本的にシステムオーナーや開発者や検証者の工数を
          費やすことになるわけなんだよね。

          単にシステム管理者の問題ではないわけなんですよ＞不具合

          そういったものを含めて、ＯＳなりアプリの製造or販売会社が
          提示していた価格ではサポート出来ないから、問題になるわけ
          なんでしょ？

          WindowsUpdateにしても、erattaにしても、パッチリリースに
          しても、それだけすりゃええってもんではないんですよ。それを
          行うための費用、それが行うに値するかを検証する費用、さらに
          は、それを行うがために失われる利益なんかも含めて、トータル
          にサポートしなければいけないのではないかな？

          それを前提にした売り方が前提ではないというのが、コンピュータ
          特にソフトウェアの会社が持っている大きな問題だと思うんです
          けどね。
          シェア
          親コメント
  • LANで使う分はポートフルオープンの方が使いやすいので、
    PPPoE や PPP でできたデバイス (Linuxでいう PPP?) には
    インターネット側からつなげられないように、自動的にすべてのポートをふさぐのはどうかな?
    で、サーバ立てる人は、別途にファイアーウォールに穴あけていく方式で。
    --
    by rti.

  • SP2なんざぁいらねぇよぉ (スコア:1)

    by u1p (2709) on 2003年12月15日 16時16分 (#455081) 日記
    だからさっさとIEのスクロールが変なの直してくれ!

    # 色んな人に直してくれ、直し方教えてくれといわれてうざいのでID。
    # そう言えば、最近何故かメタモデレートできないのでさらにID。
typodupeerror

皆さんもソースを読むときに、行と行の間を読むような気持ちで見てほしい -- あるハッカー