仮想パッチなどによる脆弱性対策は、多くのシステム管理者が社内のパッチ管理の課題を軽減するために使用されているセキュリティ対策戦略の1つです。既存のセキュリティ対策を補足する仮想パッチといった技術に関して、今回ご紹介します。

■脆弱性を抱えざるを得ないサーバの現況
パッチ管理は、システム管理者にとって重要な課題となっています。パッチ未対応の脆弱性が多く存在する実情に乗じて、脆弱性を狙う攻撃が多く報告される一方、複数の要因によりシステム管理者がパッチ管理、特に重大なサーバに対処すべきパッチ適用が遅れてしまう事態が発生することになります。

■仮想パッチによる脆弱性対策の提案
仮想パッチは、脆弱性を突く攻撃から、オペレーティングシステム（OS）やアプリケーション、エンドポイント製品を保護するセキュリティ対策戦略となります。仮想パッチは、脆弱性を狙う攻撃がその脆弱性を抱えるアプリケーションから特定のネットワークパスを利用することを前提として機能します。そのため、仮想パッチを取り入れた脆弱性対策を実施することで、フィルタやルールを用いてネットワーク層を管理し、狙われるソフトウェアへの通信を制御することが可能となります。

仮想パッチにより、システム管理者は、脆弱性を含むプログラムへ即時更新する代わりに、通常使用されているプロトコルから逸脱する挙動の監視などが可能となり、脆弱性を突く攻撃から効果的に保護します。また、仮想パッチによる脆弱性対策を導入することで、システムを全面停止することなく、最低限の一時的な停止（ダウンタイム）で緊急パッチ適用を迅速に実施して、計画的なパッチ運用が可能となります。

このように、トレンドマイクロのサーバ向け総合セキュリティ製品「Trend Micro Deep Security（トレンドマイクロ ディープセキュリティ）」および「Trend Micro 脆弱性対策オプション」といった仮想パッチ機能を備えたソリューションにより、脆弱性にさらされる期間を最小限に抑え、システムを脅威から保護することを実現します。

マイクロソフトは、2012年9月21日（米国時間）、定例外セキュリティ情報「MS12-063」を公開。この脆弱性は、当時、持続的標的型攻撃にもたびたび利用されていることが確認されました。トレンドマイクロでは、弊社のこれら2つの製品において、これに先駆けること3日前の9月18日に、仮想パッチ技術を通じて本脆弱性を突く攻撃から防御する、以下のフィルタを提供していました。

※協力執筆者：船越 麻衣子（Core Technology Marketing, TrendLabs）