Transcript 緊急パッチプロセスにより影響対象の システムへ適用

緊急パッチ適用フロー
脆弱性情報が公開された際に、以下フローに従って緊急パッチを脆弱性対象の
システムに適用する。
緊急パッチ適用フロー
IT
業
統
シ
リ
管
NO
情報共有
情報共有
承認
YES
承認
依頼
情報収集
脆弱性
評価
緊急
影響
対象の
評価
確認
依頼
2015/9/25
会議
招集
方針取り
纏め
作業指示
対応クローズ
対象無
緊急以外
定期パッチ
シ
ス
テ
ム
主
管
対象有
対応クローズ
脆弱性対
象の精査
確認
結果
対応方針
を策定
(改修方
法・時期
など)
作業実施
完了
連絡
1
脆弱性の評価
以下のいずれかを満たすものを“緊急”の脆弱性と判断して、緊急パッチ適用プロセスを進める。
②JPCERT“注意喚起”対象
の脆弱性
①IPA”緊急”対象の脆弱性
● IPAは「影響度の高いセキュリ
ティ上の問題が公開された」かつ、
「当該問題を悪用した攻撃が行わ
れている」際に、“緊急”とする。
+
● JPCERTが深刻且つ影響範囲の
広い脆弱性などに関する情報を告
知するための注意喚起を実施して
いる。
③その他情報収集により
確認された脆弱性
+
以下について、次スライドのクラ
イテリアに適合した緊急性の高い
脆弱性が無いかモニタリングする。
● LAC社 SNSDBにおいて通知さ
れてきた脆弱性情報
● 金融ISACから提供された情報
● LAC社から午前・午後に提供さ
れるセキュリティニュース
緊急パッチプロセスにより影響対象の
システムへ適用
緊急パッチプロセスの対象
＜緊急性・検討点①＞
攻撃経路
高
インターネット経由で攻撃可能
中
Localセグメントからの攻撃が可能
低
物理的なコンソールログイン
＜緊急性・検討点②＞
攻撃方法の有無
高
攻撃方法やExploitコードが公開されて
いる
低
攻撃方法やExploitコードは公開されて
いない
＜緊急性・検討点③＞
認証レベル
高
匿名/認証なしで攻撃が可能
中
システムに正規登録されている一般
ユーザのアカウントが必要
低
特権レベルでログインが必要
この３点について、全て
“高”に当てはまるものは、
緊急性の高いパッチとする。