パッチとは？

パッチの意味

ソフトウェアに見つかった脆弱性や不具合を修正するために配布されるプログラム。速やかに適用（アップデート）することで、既知の脆弱性を突く攻撃を防げる。

パッチの具体例

OSやアプリの「アップデートがあります」という通知は、多くの場合こうしたパッチの適用を促すものであり、放置すると既知の脆弱性を狙った攻撃を受けやすくなる。

パッチは試験でどう引っ掛けられる？

対象は既に知られた脆弱性なので、修正が存在しないゼロデイ攻撃は防げない。機能を増やすバージョンアップとも目的が違う。適用によって不具合が出ることもあり、事前の検証やバックアップの必要性も問われる。

パッチと関連する用語

• ゼロデイ攻撃

パッチが出た過去問

• 次のような特徴をもつソフトウェアを何と呼ぶか。(1) ブラウザなどのアプリケーションソフトウェアに組み込むことによって、アプリケーションソフトウェアの機能を拡張…

  正解：プラグイン

  要点：プラグインは本体と独立に追加・削除できる機能拡張部品

  プラグインは、ブラウザなどのアプリケーションに後から組み込んで機能を追加する部品で、本体とは独立して導入・更新・削除ができる。本体を作り直さずに機能を拡張できる点が特徴である。パッチは不具合修正用の差分プログラム、マクロは操作手順をまとめて自動実行させるもの、スクリプトは簡易的なプログラムを指す。

  出典：平成21年度 春期 ITパスポート試験 問60（IPA）

• ソフトウェアベンダから提供されたセキュリティパッチの内容を確認し、自社システムに適用する場合の影響を評価した。この作業はシステムの運用管理業務のうちどれに該当す…

  正解：変更管理

  要点：変更管理は変更の影響を評価し可否を決める

  変更管理は、システムへの変更要求について影響範囲やリスクを評価し、実施の可否と方法を決めて統制するプロセスである。パッチの内容確認と自社システムへの影響評価は、変更を実施してよいかを判断する作業なので変更管理に該当する。実際に本番環境へ展開する作業はリリース管理が担う。

  出典：平成22年度 秋期 ITパスポート試験 問40（IPA）

• ゼロデイ攻撃の説明として、適切なものはどれか。

  正解：ソフトウェアに脆弱性が存在することが判明したとき、そのソフトウェアの修正プログラムがベンダから提供される前に、判明した脆弱性を利用して行われる攻撃

  要点：ゼロデイ攻撃は修正プログラム提供前の空白期間を狙う

  ゼロデイ攻撃は、脆弱性が明らかになってから修正プログラムが提供されるまでの、対策のない期間を狙って行われる攻撃である。利用者側に打つ手が乏しいため被害が広がりやすく、緩和策としては影響範囲の限定や監視の強化などが取られる。

  出典：平成25年度 秋期 ITパスポート試験 問74（IPA）

• 不正アクセスなどに利用される、コンピュータシステムやネットワークに存在する弱点や欠陥のことを何というか。

  正解：セキュリティホール

  要点：セキュリティホールはシステムの安全上の弱点・欠陥

  セキュリティホールとは、OSやアプリケーションの設計・実装上の不備によって生じる、安全上の弱点や欠陥を指す。放置すると、そこを突かれて不正アクセスやウイルス感染の入口になるため、修正プログラムの適用などで速やかにふさぐ必要がある。

  出典：平成26年度 秋期 ITパスポート試験 問58（IPA）

• 情報セキュリティに関する対策a〜dのうち、ウイルスに感染することを防止するための対策として、適切なものだけを全て挙げたものはどれか。 a ウイルス対策ソフトの導…

  正解：a, b

  要点：感染防止はウイルス対策ソフトと修正プログラムの適用

  ウイルスの感染を防ぐには、侵入しようとする不正なプログラムを検知・排除するウイルス対策ソフトの導入(a)と、感染の入口となる脆弱性をふさぐ修正プログラムの適用(b)が有効である。ハードディスクのパスワード(c)やファイルの暗号化(d)は、盗難時などに情報を読まれないようにする対策であり、感染そのものを防ぐ働きはない。

  出典：平成26年度 春期 ITパスポート試験 問82（IPA）