重要なアプリケーションやサービスが稼働しているサーバーのシステムを更新すると、サーバーがシャットダウンし、企業に深刻な影響が及ぶ可能性があります。サーバー上のソフトウェアの脆弱性を修復する前に、修復が業務に影響を与えないよう、事業継続性とサービスの高可用性を十分に考慮する必要があります。このトピックでは、事業継続性と安定性に影響を与えることなく、サーバー上のソフトウェアの脆弱性を修復する方法について提案します。
このトピックで提供する提案は、サーバー上のさまざまなオペレーティングシステム、ネットワークデバイス、データベース、ミドルウェアで検出された脆弱性の修復に適用できます。
修復時の注意事項
サーバー上のソフトウェアの脆弱性を修復する方法は、一般的なコンピューター上の脆弱性を修復する方法とは異なります。ソフトウェアの脆弱性を修復するには、ソフトウェアセキュリティに関する専門知識が必要です。サーバー上のソフトウェアの脆弱性を修復する際は、以下の点に注意してください。
修復前
サーバーの資産情報を確認し、Security Center で検出された脆弱性のソフトウェアバージョン情報が資産情報に含まれているかどうかを確認します。
修復する脆弱性を決定します。脆弱性が検出された時点で、すべてのソフトウェアの脆弱性をただちに修復する必要はありません。業務要件、サーバーのリソース使用状況、脆弱性修復による影響に基づいて、脆弱性を修復する優先順位を決定できます。
修復する脆弱性のパッチをテスト環境にインストールし、互換性とセキュリティのテストが完了したら、脆弱性修復のテストレポートを作成します。テストレポートには、脆弱性修復の結果、修復時間、パッチの互換性、脆弱性修復による影響を含める必要があります。
例外が発生した場合に備えて、バックアップと復元機能を使用してサーバー上のデータをバックアップします。たとえば、Elastic Compute Service (ECS) のスナップショット機能を使用して ECS インスタンスのスナップショットを作成したり、Security Center コンソールで脆弱性を修復する際にスナップショットを作成したりできます。
業務への影響を軽減するため、オフピーク時間に脆弱性を修復することを推奨します。
修復中
脆弱性パッチをサーバーにアップロードし、パッチを使用して脆弱性を修復します。このタスクには、少なくとも 2 名の管理者が必要です。1 名の管理者が脆弱性の修復を担当し、もう 1 名が修復プロセスの記録を担当します。これにより、誤操作を防ぎます。
システムの脆弱性リストに従ってシステムをアップグレードし、脆弱性を 1 つずつ修復します。
修復後
サーバー上の脆弱性が修復されたかどうかを確認してください。脆弱性が修復され、サーバーに例外が発生していないことを確認してください。
脆弱性修復プロセスに基づいて脆弱性修復レポートを作成し、関連ドキュメントをアーカイブします。
リスク防止対策
脆弱性修復プロセス中にサーバーが正常に稼働し、例外が発生する可能性を最小限に抑えるために、以下の対策を講じてください。
修復計画の策定
サーバーのオペレーティングシステムとアプリケーションシステムについて調査と研究を実施し、適用可能な脆弱性修復計画を策定してください。テスト環境で計画の実行可能性を検証してください。計画の指示に厳密に従って脆弱性を修復し、操作がサーバーに悪影響を及ぼさないことを確認してください。
テスト環境の使用
テスト環境を使用して、脆弱性修復計画の実行可能性を検証してください。計画が修復対象のオンライン業務システムに悪影響を及ぼさないことを確認してください。
テスト環境が以下の要件を満たしていることを確認してください。
テスト環境のオペレーティングシステムとデータベースシステムは、オンライン業務システムと同じである必要があります。
テスト環境のアプリケーションシステムは、オンライン業務システムと同じである必要があります。
オンライン業務システムの最新の完全バックアップをテストデータとして使用することを推奨します。
[従量課金制の脆弱性修復]
オペレーティングシステム、アプリケーション、データなど、業務システム全体のフルバックアップを実行してください。バックアップ完了後、テストリカバリを実行してその整合性を検証してください。有効なバックアップがあれば、エラーやデータ損失が発生した場合でも、ロールバックによってシステムを迅速に復元し、業務の安定性を確保できます。セキュリティセンターで脆弱性を修復する際は、スナップショットの自動作成と修復 を選択してください。問題が発生した場合は、スナップショットを使用して、システムとデータを修復前の状態にロールバックできます。
説明Security Center は、修復する脆弱性が Linux ソフトウェアの脆弱性または Windows システムの脆弱性である場合にのみ、サーバーのシステムスナップショットを自動的に作成します。
カーネルアップグレードに関する特記事項
カーネルの脆弱性を修復する際に、新しくアップグレードされたカーネルバージョンが Security Center クライアントと互換性がないことを示すプロンプトが表示された場合は、以下の点に注意してください。
強制修復を使用する前の事前確認：互換性チェックをバイパスするために強制修復を使用することを決定した場合は、実行前に以下の確認を完了してください。
有効なスナップショットバックアップまたは完全なデータバックアップがあることを確認してください。
予定されたメンテナンスウィンドウ内で、ワークロードが潜在的な中断を許容できることを確認してください。
現在実行中の他のシステム更新またはパッチ適用タスクがないことを確認してください。
修復後の検証：カーネルの脆弱性を修復した後、サーバーを再起動し、再起動後のシステムステータスを検証して、業務運用が正常であることを確認する必要があります。