重要なアプリケーションやサービスが稼働しているサーバのシステムを更新すると、サーバがシャットダウンし、企業に深刻な影響を与える可能性があります。 サーバー上のソフトウェアの脆弱性を修正する前に、修正がビジネスに影響を与えないように、ビジネスの継続性とサービスの高可用性を十分に考慮する必要があります。 このトピックでは、ビジネスの継続性と安定性に影響を与えることなく、サーバー上のソフトウェアの脆弱性を修正する方法について説明します。
このトピックで提供されている提案を使用して、サーバー上のさまざまなオペレーティングシステム、ネットワークデバイス、データベース、およびミドルウェアで検出される脆弱性を修正できます。
固定のための注意
サーバーのソフトウェアの脆弱性を修正する方法は、一般的なコンピューターの脆弱性を修正する方法とは異なります。 ソフトウェアの脆弱性を修正するには、ソフトウェアセキュリティの専門知識が必要です。 サーバー上のソフトウェアの脆弱性を修正するときは、次の項目に注意してください。
固定前
サーバの資産情報を確認し、Security Centerが検出した脆弱性のソフトウェアバージョン情報が資産情報に含まれているかどうかを確認します。
修正する脆弱性を特定します。 脆弱性が検出された時点で、すべてのソフトウェア脆弱性をすぐに修正する必要はありません。 ビジネス要件、サーバーリソース使用量、および脆弱性修正によって引き起こされる影響に基づいて、脆弱性を修正する優先順位を決定できます。
テスト環境で修正する脆弱性のパッチをインストールし、テストの互換性とセキュリティをテストし、テストの完了後に脆弱性修正に関するテストレポートを生成します。 テストレポートには、脆弱性修正結果、修正期間、パッチの互換性、および脆弱性修正による影響を含める必要があります。
例外が発生した場合に備えて、バックアップおよび復元機能を使用してサーバー上のデータをバックアップします。 たとえば、ECS (Elastic Compute Service) のスナップショット機能を使用して、ECSインスタンスのスナップショットを作成したり、Security Centerコンソールで脆弱性を修正したときにスナップショットを作成したりできます。
ビジネスへの影響を減らすために、オフピーク時に脆弱性を修正することを推奨します。
固定中
脆弱性パッチをサーバーにアップロードし、パッチを使用して脆弱性を修正します。 このタスクには、少なくとも2人の管理者が必要です。 一方の管理者は脆弱性の修正を担当し、もう一方の管理者は修正プロセスの記録を担当します。 これは誤操作を防ぎます。
システムの脆弱性リストに従って、システムをアップグレードし、脆弱性を1つずつ修正します。
後固定
サーバーの脆弱性が修正されているかどうかを確認します。 脆弱性が修正され、サーバーで例外が発生しないことを確認してください。
脆弱性修正プロセスに基づいて脆弱性修正レポートを生成し、関連ドキュメントをアーカイブします。
リスク防止対策
脆弱性修正プロセス中にサーバーが期待どおりに実行され、例外の可能性を最小限に抑えるには、次の対策を講じます。
脆弱性修正計画の作成
サーバーのオペレーティングシステムとアプリケーションシステムの調査と調査を行い、該当する脆弱性修正計画を策定します。 テスト環境での計画の実現可能性を確認します。 計画の指示に厳密に従って脆弱性を修正し、操作がサーバーに悪影響を及ぼさないことを確認してください。
テスト環境を使用するUse a test environment
テスト環境を使用して、脆弱性修正計画の実現可能性を検証します。 計画が修正するオンラインビジネスシステムに悪影響を及ぼさないことを確認してください。
テスト環境が次の要件を満たしていることを確認します。
テスト環境のオペレーティングシステムとデータベースシステムは、オンラインビジネスシステムのものと同じでなければなりません。
テスト環境のアプリケーションシステムは、オンラインビジネスシステムのアプリケーションシステムと同じである必要があります。
オンラインビジネスシステムの最新の完全バックアップをテストデータとして使用することを推奨します。
ビジネスシステムのバックアップ
オペレーティングシステム、アプリケーション、データなど、ビジネスシステム全体をバックアップします。 次に、バックアップデータを使用してシステムを復元できるかどうかを確認します。 システムでエラーやデータ損失が発生した場合は、バックアップデータとロールバック機能を使用してシステムを復元できます。 これにより、ビジネスの安定性を確保できます。 脆弱性を修正するときは、Create snapshots automatically and fixを選択することを推奨します。 これにより、Security Centerは自動的にスナップショットを作成します。 例外が発生した場合は、ロールバック操作を実行して、脆弱性を修正する前の時点にビジネスシステムを復元できます。
説明セキュリティセンターは、修正する脆弱性がLinuxソフトウェアの脆弱性またはWindowsシステムの脆弱性である場合にのみ、サーバーのシステムスナップショットを自動的に作成します。