仮想パッチとは、ネットワークやセキュリティ機器で暫定的にセキュリティの弱点を守る盾です。本来、セキュリティの弱点（脆弱性）は、正規のセキュリティパッチを適用して克服しますが、そのリリースには一定の期間を要します。これに対し仮想パッチは、新たに発見された脆弱性への早急な対応が必要な場合に、システムへ直接的な変更を加えることなく、脆弱性を悪用する攻撃から保護するセキュリティ対策です。
セキュリティパッチとの違い
仮想パッチは主にIPS（不正侵入防御システム）、IDS（不正侵入検知システム）、WAF（Webアプリケーションファイアウォール）の機能として提供され、正規のセキュリティパッチが適用されるまでの暫定的な対策として使用されます。比較すると以下のような違いがあります。
| 項目 | セキュリティパッチ | 仮想パッチ |
|---|---|---|
| 目的 | 恒久的な脆弱性の解消 | 脆弱性に対する暫定的な攻撃の検知、遮断 |
| 効果 |
|
|
| 仕組み |
|
|
| 特徴 | 本番環境への適用のため、適用作業が必要
|
|
主な活用場面
仮想パッチは、目的や仕組みに応じて主に5つのケースで利用されます。
- 新たな脆弱性の発見、既知の脆弱性に対して急な対応が必要な時
このケースでは、脆弱性に対しての保護が急務ですが、前述したように、脆弱性を修正するためのセキュリティパッチはリリース・適用に時間がかかります。セキュリティパッチが手元にない状況でも、適用時のリソースの負担を抑え、悪意ある攻撃から迅速に保護するのが仮想パッチです。
- サポートの終了したシステム
サポートが終了したシステムは定期的なセキュリティパッチのリリースがないため、脆弱性を修正できません。しかし、脆弱性をそのままにしておくと悪意のある攻撃の対象となるおそれがあるので、修正ではなく保護の目的で仮想パッチを使用する場合があります。
- 24時間稼働が必要なシステム
仮想パッチは、動作検証や再起動によるシステム停止を伴わずに脆弱性の保護が可能なため、24時間稼働システムに適しています。24時間稼働が必要なシステムの例は、社会インフラ、金融、医療など多岐にわたります。これらが停止してしまえば、信頼の失墜や人命にかかわることさえあります。しかし、重要なシステムだからこそ脆弱性が発見されれば悪意ある攻撃の標的になることも少なくありません。仮想パッチを使用して保護することで、システムの再起動や動作検証の工程を発生させずにセキュリティを強化できます。
- 頻繁なパッチ適用が難しいOT/ICS環境
OT/ICSシステムは、可用性と安全性を最優先に確保する必要があります。そのため、セキュリティパッチの適用がシステムに与える影響やリスクを慎重に検討しなければなりません。物理的な機械の制御システムにセキュリティパッチを適用することで、システムの停止や不具合が生じた場合には、可用性と安全性が脅かされます。一方、システムの停止やコードの変更を要さない仮想パッチはOT/ICS環境のセキュリティ強化において非常に有効です。
- テスト環境のリソース確保が困難な時
セキュリティパッチの適用には、テスト環境での調査や準備、検証作業が不可欠です。適用する際は、検証環境の構築とテストパッチの適用計画を作成した後に、実際の適用作業が行われます。これらの作業を開発環境やテスト環境で行うリソースの確保が難しい場合は、手間やリソースを割かずに適用できる仮想パッチが使用されます。
仮想パッチの課題
前述の通り、セキュリティ対策に非常に有用な仮想パッチですが、あくまで暫定的な対処にとどまり、セキュリティパッチのように恒久的な対策としては使用できません。また、ネットワークを経由した悪意ある攻撃を検知し、ブロックする仕組みであるため、物理層からの攻撃や未知の攻撃にも対応ができません。さらに、近年はVPNにおいて脆弱性の増加や攻撃の高度化・高速化が進んでいるため、仮想パッチの検知をすり抜けるケースや適用が追い付かないケースも指摘されています。したがって、仮想パッチはあくまでも「暫定的」、「多層防御の一部」といった認識を持つことが大切です。
また、仮想パッチは適用そのものの負担は小さいものの、運用面ではルールの適用、監視、更新などの負担が発生します。ここでいうルールとは、正規の通信パターンと攻撃の通信パターンを識別するための設定のことです。ルールを厳しくするほど誤検知の可能性が高まり、緩くするとセキュリティが弱くなります。この設定を適切に行うには、専門の知識と多くの時間が必要です。設定のアップデート、新たな脆弱性の発見、公開後の都度更新など、管理とメンテナンスの労力は少なくありません。
AIによる高度化と運用効率化
AIの発展により仮想パッチの一部の課題点について克服・緩和が可能になることが期待されています。AIと組み合わせることによって、ルール作成と更新における負担を削減し、トラフィック分析の高度化による検知精度の向上が期待できます。また、防御範囲の限界についても異常検知アルゴリズムにAIを活用することで、通常とは異なる挙動を検出することが可能になります。AIの進歩に比例して潜在的な脅威や未知の攻撃通信を検知するなど、新しいトレンド攻撃手法が確立される前に防御ルールの更新が行えるようになる可能性があります。
このように、仮想パッチは年々増加するITリスクに対して単なるセキュリティツールの一部ではなく、事業の継続性をサポートする側面を持っており、AIの発展が進むことで更なる活用が期待できます。
