Log4jから得た教訓：修復を急がない

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

人間である以上、私たちのほとんどは、一般に「闘争・逃走反応」と呼ばれるものを経験したことがあるでしょう。これは多くの場合、心拍数の上昇、筋肉の緊張、手のひらの発汗として現れる強い自律的な身体反応です。パニック感を伴うこともあり、意思決定ができなくなって、論理的に考える力がほぼ失われる場合もあります。

企業にも、この反応に相当するものがあります。デジタル上の脅威に長年対処する中で培われ、磨かれてきた反応です。

企業が直面するリスクは、人間が直面するリスクと似ています。人間の場合、闘争・逃走反応が過度に頻繁または強く、あるいは不適切に引き起こされると、さまざまな臨床症状につながるとされています。端的に言えば、実際に身体へ害を及ぼす可能性があるということです。企業の場合も、デジタル上の闘争・逃走反応が頻繁または強く、あるいは不適切な状況で引き起こされると、企業の健全性、特にセキュリティ面に悪影響を及ぼす可能性があります。

よく知られている「悲嘆の段階」と同様に、F5は数十年にわたりアプリケーションやインフラストラクチャに関連する脅威の緩和に取り組む中で、「セキュリティ対応の段階」が現れることに気づきました。

適切な対応を選ぶことの重要性

修復を急ぐという対応は、長期的に見れば最善ではなかったと判明する場合があります。ApacheがLog4j向けに最初にリリースしたパッチにも、脆弱性がありました。そのため、修復を急いだ組織は、実質的に最初からやり直し、すべてのシステムに再度パッチを適用しなければなりませんでした。

ここでいったん立ち止まり、修復を急がないことは、リスクを無視したり、決して何もしないという判断に傾いたりすることではない、と強く申し上げておきます。

デジタルビジネスを支えるデータを責任を持って管理しなければ、現実社会に影響が及ぶため、この点は特に重要です。Log4j問題を受け、米国連邦取引委員会（FTC）は、「警告しました。Log4jによって漏えいした消費者データを保護しなかった民間企業に対して措置を講じる」としています。（ZDNet）

緩和策を最優先すべき理由

緩和策を修復より先に講じるのには理由があります。その重要な理由の1つは、「何かしなければ」という人間の本能から、修復を急いでしまうことを防ぐためです。また、迅速に緩和策を講じることで、適切な修復アクションプランを策定する間も顧客データを流出から保護し、そのデータを責任を持って管理するという要請にも応えられます。

特に、ソフトウェアサプライチェーンを詳細に調査する必要があるほど広範な脆弱性に対処する場合は、まず緩和策を講じるべきです。脆弱なパッケージやコンポーネントがどこに潜んでいるかを突き止めることの難しさと、それらが広く存在していることが、1月4日時点で「脆弱性のあるダウンロードが全体に占める割合は、＃log4shellについて依然として46%に達している」という調査結果の背景にあると考えられます。（Sonatype）

デジタルが前提となった世界では、新たな深刻なセキュリティ脆弱性が今後もビジネスを混乱させ、すでに逼迫しているリソースにさらなる負担をかけ続けるのが現実です。企業のアプリケーションポートフォリオは大規模で、コア、クラウド、エッジに分散する5世代ものアプリケーションアーキテクチャにまたがることも多いため、修復に時間と労力の大半が費やされると考えるべきです。だからこそ、迅速な緩和が非常に重要です。緩和によって負担が軽減され、より慎重かつ包括的に修復へ取り組めるようになります。これには、リリースされたパッチの安全性を確認することや、開発者が既存のリリースサイクルに沿って更新、パッチ適用、テストを行えるようにすることが含まれます。

組織は、すべての環境にわたって、緩和策を支える制御ポイントを確保する必要があります。戦略的な制御ポイントにWebおよびAPIの保護、コンテンツ検査、ブロック機能を配置することで、このように広範に存在する脆弱性に対処するための、いわば緩和策の「プラットフォーム」が得られます。また、これらの制御ポイントは、脆弱性を悪用しようとする試みを明らかにし、有用な情報を提供することもできます。

まとめ

多くの方は、子どもの頃に行った火災避難訓練を覚えているでしょう。火災が発生した際に、学校から安全に避難する方法を練習したものです。私自身は竜巻を想定した訓練も経験しました。世界各地には、地震や津波に備える訓練を受けた子どもたちもいるでしょう。重大な脆弱性のニュースが報じられた際、混乱に陥る時間を短縮するうえで、計画を策定し、その実行方法を把握しておくことが極めて重要になる場合があります。

慌てる必要はありません。戦略的なコントロールポイントを活用し、迅速な 緩和に注力することで、目的に沿った 修復を実施できます。

そして、覚えておいてください。訓練はパニックを軽減します。独自の「セキュリティ避難訓練」を計画し、実施しておくことは、決して悪い考えではありません。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事