パスワードを忘れた? アカウント作成
14408308 story
Windows

米国土安全保障省、政府機関にWindows Serverの更新プログラム適用を命じる 12

ストーリー by nagazou
緊急指令 部門より
headless 曰く、

米国土安全保障省(DHS)のCybersecurity & Infrastructure Security Agency(CISA)は18日、政府機関で使用するWindows Serverに8月の月例更新プログラムを適用するよう命じる緊急指令20-04を発出した(SlashGearの記事The Registerの記事Ars Technicaの記事)。

8月の月例更新プログラムではNetlogonの特権の昇格の脆弱性(CVE-2020-1472)が修正されている。この脆弱性はMicrosoft Netlogon Remote Protocol(MS-NRPC)に存在し、攻撃者はこの脆弱性を悪用してドメインコントローラーに接続することで、特別に細工したアプリケーションをネットワーク上のデバイスで実行できる可能性がある。

Microsoftではこの脆弱性が悪用される可能性が低いと評価しているが、CISAでは攻撃に利用可能なエクスプロイトコードが出回っていること、脆弱性のあるドメインコントローラーが政府機関で幅広く使われていること、攻撃が成功した場合の影響が重大であること、更新プログラム適用が進んでいないことなどを理由に緊急指令が必要と判断したという。

緊急指令の対象となるのは国防総省と中央情報局(CIA)、国家情報局を除く政府機関で、東部時間21日23時59分までにドメインコントローラーとして機能するすべてのWindows Serverへ更新プログラムを適用し、適用不可能なバージョンはネットワークから切断すること、東部時間23日23時59分までに完了報告書を提出することなどを命じている。

CISAでは7月にもWindows Serverへの更新プログラム適用を命じる緊急指令を発出している。

  • by Anonymous Coward on 2020年09月24日 18時21分 (#3894411)

    やれるもんならとっくにやっている

    しらんけど

    ここに返信
  • by Anonymous Coward on 2020年09月24日 19時20分 (#3894452)
    という位、厳しいお話かと思ったら違いましたね。

    Windows ServerもLinuxもどっちもスキですよ!

    # GUIのあるサーバアプリケーションもいいじゃなぁ~い
    ここに返信
  • by Anonymous Coward on 2020年09月24日 20時57分 (#3894505)

    ・万が一止まると全組織的に重大な影響がある。
    ・しかしテストにかけられる工数はほとんどない。
    というシステムでは、「サーバのセキュリティパッチは適用しない」という方針にしていることがある。

    そういうシステムに対して「パッチ当てろ」と指示するものだろう(上から指示があればテストのリソースが確保される)。
    どこの国も同じやな。

    ここに返信
    • by Anonymous Coward

      アップデートしろ。テストに予算はつかない。ならよくあるのでは。

    • by Anonymous Coward

      上から指示があればテストのリソースが確保される

      上からの指示でリソース(金/時間/etc.)が確保されたことなど一度もないのですが・・・・・・

      • by Anonymous Coward

        リソースの確保をするのは貴方ですからサボってるだけでは。

    • by Anonymous Coward

      軽くテストしといて、なら言われた事がある。もちろん予算は無い。
      何だよ「軽く」って。

      • by Anonymous Coward

        攻撃受けたときのダメージをcalc

    • by Anonymous Coward

      止まると全組織的に重大な影響があるようなサーバでセキュリティ事故が起こったら、止まるどころではない被害が出そうなのだが、
      そういう場合って、最悪でも止まる被害で済むように、一か八かでパッチを適用するのが正解ちゃうのん。ましてや今回のようなヤバそうなのは。
      リスクの評価方針がセキュリティパッチなめすぎ感。

  • by Anonymous Coward on 2020年09月24日 22時05分 (#3894543)

    OS/2なのかと思ってた。

    ここに返信
typodupeerror

にわかな奴ほど語りたがる -- あるハッカー

読み込み中...