本記事は、Cyber Trust ブログ “Fault Modeling for Cloud Services” (2012 年 10 月 11 日公開) を翻訳した記事です。

過去数週間に渡り、サービス停止の原因と関連する緩和策の戦略 (英語) および、クラウド サービス障害に備える重要性について投稿しました。今回は、障害によどみなく確実に対応するクラウド サービスを設計および構築するためにマイクロソフトが採用している方法の 1 つをご紹介します。この概念は目新しいものではありませんが、プロバイダーにとっても、お客様にとっても、一考の余地があるのではないかと考えています。

セキュリティ関連の問題を評価する際は、脅威のモデリングが設計プロセスの重要な手順になります。同様に、信頼できるクラウド サービスの設計プロセスでは障害のモデリングが重要です。障害のモデリングとは、サービスの相互作用点や依存関係を特定し、サービスを効率的に監視して問題を速やかに検出するためにはどこに投資すべきかをエンジニアリング チームが見極められるようにすることです。さらに、こうしたモデリングは、エンジニアリング チームを、障害に耐えるまたは障害を軽減するサービスの能力を高める効率的な対処メカニズムに導きます。

障害モデルの構築の主要なステップは次のとおりです。

1. コンポーネントのインベントリを作成する。インベントリには、Web サーバーでホストされるユーザー インターフェイス コンポーネント、リモート データ センターでホストされるデータベース、モデル化しているこのサービスが依存する外部サービスを含め、サービスが使用するすべてのコンポーネントが含まれます。

2. ユーザーのシナリオを作成する。シナリオでは、ユーザーがサービスを操作する可能性のある方法をすべて説明します。たとえば、オンライン ビデオ サービスの場合は、ログイン、ビデオ ライブラリの閲覧、ビデオの選択および視聴、視聴後のビデオの評価などについて説明します。

3. コンポーネントとシナリオを含むマトリックスを構築し、コンポーネントの利用を各シナリオにマッピングする。ユーザーのシナリオをコンポーネント インベントリにマッピングすると、各シナリオでどのコンポーネントにアクセスするかを特定し、依存関係や障害ポイントになりうる箇所を特定できます。

4.  障害を処理するメカニズムを定義する。依存関係ごとに障害を処理するメカニズム (対処戦略) を定義しておけば、障害が起きたときにソフトウェアによって何らかの合理的な処置が確実に実行されます。「合理的」の意味は、サービスの機能や対処戦略で対応する障害の種類によって異なります。たとえば、自動車購入サービスのアーキテクトが、各車種の型式やモデル別の評価を示すアプリケーションを設計するとします。こうした購入サービスは、車種の比較評価を実施する別のサービスに依存することがあります。この場合、評価サービスが故障あるいは利用不能になったときの購入サービスの対処戦略は、車種のリストを一切表示しないのではなく、参考となる評価はなしに車種のリストを表示することであると思われます。つまり、特定の障害が起きても、サービスによって、顧客の立場から見た合理的な成果がもたらされるようにします。

サービスの信頼性に関する最近のホワイトペーパーをダウンロードして、これらの信頼性のトピックの詳細を確認することをお勧めします。

デビッド・ビルズ、信頼できるコンピューティング、信頼性主任ストラテジスト

本日、セキュリティ情報 MS14-068「Kerberos の脆弱性により特権が昇格される」を公開しました。

このセキュリティ情報は、こちらのブログでもお知らせしていましたとおり、2014 年 11 月 12 日の月例セキュリティ情報公開日においては、公開が延期されていたものです。

お客様は、できるだけ早期に、セキュリティ更新プログラムを適用するようお願いします。

なお、既定の設定では自動更新が有効であるため、自動でセキュリティ更新プログラムが適用されます。

■概要

11 月 19 日に、セキュリティ情報 MS14-068「Kerberos の脆弱性により特権が昇格される」を公開しました。

このセキュリティ更新プログラムは、Microsoft Windows Kerberos KDC の非公開で報告された 1 件の脆弱性を解決します。この脆弱性により攻撃者は、特権のないドメイン ユーザー アカウントの特権からドメイン管理者アカウントに特権を昇格します。この脆弱性が悪用されるには、有効なドメイン資格情報を所有していることが攻撃者にとっての必要条件となります。

セキュリティ情報の公開時点で、この脆弱性の内容は一般には公開されていませんが、この脆弱性を悪用しようとする限定的な標的型攻撃を確認しています。既知の攻撃は、Windows Server 2012 または、Windows Server 2012 R2 を実行するシステムには影響を及ぼしません。

■影響を受けるソフトウェア

Windows Server 2003

Windows Vista*

Windows Server 2008**

Windows 7 *

Windows Server 2008 R2**

Windows 8*

Windows Server 2012**

Windows 8. 1*

Windows Server 2012 R2**

* 脆弱性は存在していませんが、多層防御を提供するためにセキュリティ更新プログラムが提供されています。

** Server Core インストールは影響を受けます。

■推奨するアクション

できるだけ早期に、セキュリティ更新プログラムを適用することを推奨しています。

既定の設定では自動更新が有効であるため、自動でセキュリティ更新プログラムが適用されます。

セキュリティ更新プログラムを適用後、再起動が必要です。

詳細は、セキュリティ情報 MS14-068「Kerberos の脆弱性により特権が昇格される」を参照してください。

本記事は、Security Research & Defense のブログ “Assessing risk for the November 2014 security updates” (2014 年 11 月 11 日公開) を翻訳した記事です。

本日、33 件の個別の CVE を解決する 14 件のセキュリティ情報をリリースしました。セキュリティ情報の内、4 件は最大深刻度が「緊急」、8 件が「重要」、2 件が「警告」です。お客様の環境に最適な更新プログラムの適用優先順位の決定が行えるよう、以下の表をご活用ください。

スハ・カーン、MSRC エンジニアリング

皆さん、こんにちは！
先ほど 11 月のマイクロソフト ワンポイント セキュリティ情報を公開しました。

本日  11 月 12 日に公開した新規 14 件 (緊急 4 件、重要 8 件、警告 2 件) のセキュリティ更新プログラムの適用優先度、既知の問題、回避策や再起動の有無など、セキュリティ情報について知っておきたい情報を凝縮してお伝えしています。今月のセキュリティ更新プログラム適用前の概要把握のために是非ご視聴ください。

※ ご利用のブラウザーにより、ビデオが表示されない場合は、「今月のマイクロソフト ワンポイント セキュリティ情報」からご視聴ください。

2014 年 11 月 12 日 (日本時間)、マイクロソフトは計 14 件 (緊急 4 件、重要 8 件、警告 2 件) の新規セキュリティ情報を公開しました。そして、新規セキュリティ情報を公開すると共に、既存のセキュリティ アドバイザリ 2 件の更新を行いました。なお、今月の「悪意のあるソフトウェアの削除ツール」では、新たに確認した 3 種類のマルウェアに対応しています。

今月 7 日に公開した事前通知の内容から一部変更があります。”セキュリティ情報 5”、”セキュリティ情報 12” としてご案内していたセキュリティ情報は、問題が確認されたため、公開を見合わせています。今後適切なタイミングで公開を行う予定です。

お客様は、できるだけ早期に、今月公開のセキュリティ更新プログラムを適用するようお願いします。企業のお客様で適用に優先付けが必要な場合は、いずれも緊急の次の 3 つのセキュリティ情報 MS14-064 (Windows OLE)、MS14-065 (Internet Explorer)、および、MS14-066 (Schannel) のセキュリティ更新プログラムを優先的に適用することを推奨いたします。その他のセキュリティ情報の適用優先度は次の表を参照してください。

■ セキュリティ情報・セキュリティ アドバイザリに関する主な注意点

• セキュリティ アドバイザリ 3010060「Microsoft OLE の脆弱性により、リモートでコードが実行される」で説明された脆弱性に対処する、MS14-064 を公開しました。
• “セキュリティ情報 5” の公開を見合わせたことにより、MS14-068 は公開していません。
• “セキュリティ情報 12” の公開を見合わせたことにより、MS14-075 は公開していません。
• 本日、古いバージョンの Silverlight ActiveX コントロールのブロックを開始しました。また、Windows Vista SP2、および、Windows Server 2008 SP2 上の Internet Explorer 9 に、古いバージョンの ActiveX コントロール ブロック機能の提供を開始しました。詳細は、「[IT 管理者向け] 古いバージョンの ActiveX コントロールをブロックする機能 (その 2): 11 月に拡張します」を参照してください。

■ 既存のセキュリティ アドバイザリの更新 (2 件)

• セキュリティ アドバイザリ 2755801「Internet Explorer 上の Adobe Flash Player の脆弱性に対応する更新プログラム」
  この更新プログラムは、Adobe セキュリティ速報 APSB14-24 で説明されている脆弱性を解決します。この更新プログラムに関するダウンロード先などの詳細情報は、サポート技術情報 3004150 を参照してください。
• セキュリティ アドバイザリ 3010060「Microsoft OLE の脆弱性により、リモートでコードが実行される」
  一般で公開された脆弱性に対応する MS14-064 を公開したことをお知らせしています。

■ 2014 年 11 月のセキュリティ情報一覧
各セキュリティ情報の概要、各脆弱性の悪用可能性指標 (Exploitability Index)、更新プログラムのダウンロード先などがご覧いただけます。
https://technet.microsoft.com/ja-jp/library/security/ms14-Nov

マイクロソフトは新たに確認した脆弱性について、次の 15 件の新しいセキュリティ情報を公開しました。

■ 最新のセキュリティ情報を動画と音声でまとめて確認
 マイクロソフト セキュリティ レスポンス チームが IT プロの皆さまに向けて、短時間で最新のセキュリティ更新プログラムの知りたいポイントを動画と音声でご紹介する今月のマイクロソフト ワンポイント セキュリティ情報は本日午後公開予定です。ご視聴いただくことで、最新のセキュリティ更新プログラムの適用優先度や再起動・回避策の有無、確認している既知の問題などをまとめて入手できます。Web キャスト公開後に、こちらのブログでもお知らせします。