パッチをあてられない理由

CNETの記事で、マカフィーの調査報告によれば「パッチの適用されていないコンピュータは依然として多く存在し、ソフトウェアの脆弱性をターゲットとした攻撃の犠牲になっていることが、McAfeeの最新の調査結果から明らかになった。」と報じている。

ここで私がセキュリティベンダーに問いたいのは、逆の視点で見ることを忘れているのではないかと警告をしたい。ずばり、パッチをあてられない、その『ワケ』を。

たしかに最新のセキュリティパッチをあてて自己防衛することは正しい姿勢であり、奨励すべきことは間違いがないことである。だが、過去には最新バージョンのブラウザソフトにのみ感染するワームが存在したことがある。確率的には低いが、最新のパッチをあてることで別のセキュリティホールが発生する可能性だってあるだろう。

感のいい方ならもうわかっているかもしれないが、トレンドマイクロの今回の不祥事はWindowsXP SP2 及び　Windows Server 2003 SP1が対象となった。セキュリティベンダーが提供したワクチンが最新バージョンではテストされずにリリースされた結果、目もあてられない事態となった。

トレンドマイクロの社長の弁。「今回の件でただ単純にウイルスを駆除するだけではなく社の重要なインフラを全て守るために我々の商品が使われているんだということを改めて痛感した」

あ・た・り・ま・え

トレンドマイクロに他ならず、他セキュリティベンダも改めてこの点に主眼をおいて検討していただきたい。予算の都合や技術検証不足で最新パッチでの動作保証ができずじまいのシステム。Windows系のサーバOSの致命傷はUNIXとは違い、再起動を要求されることがある点だ。必然的にダウンタイムが生じる可能性がLinux系よりも高い。（最新カーネルのインストールを完了したらLinuxは再起動が必要であるが）
1秒のダウンでさえ、クリティカルな場合もあるだろう。（そのような環境ではWindowsの比率はまだ低いかもしれないが）

一度動き出したら止まれないシステム、パッチをあてる時間も割り出せずに稼動を続けるシステムでも、ガードをしてくれるミスのないセキュリティ対策ソフトを望む。

ＯＳ、またはソフトウェアにはバグは確実に存在する。だからこそ、どのような攻撃にも耐え得る盾となるセキュリティ対策ソフトを開発してほしい。「自分のところだけで解決できる」たくましさを身につけたソフトを提供して欲しい。