脆弱性管理と CVE 突合
Pro会員限定上級約48分8レッスン
インストール済みパッケージの版と提供中のセキュリティ更新を突き合わせ、何を・どの優先度で適用するかを判断します。公開面のサービスから更新を当て、改ざんされたバイナリをパッケージから取り直し、重要な依存は hold で守りながら計画的に更新するところまで行います。
対象者: 脆弱性情報とパッケージ版を突き合わせ、更新の優先度を判断して適用したい方
前提知識: サービスの最小権限 修了程度
この教材を終えると、できるようになること
- 適用可能なパッケージ更新（特にセキュリティ更新）を一覧できるようになる。
- apt-cache policy で、特定パッケージの導入版と更新候補版、その取得元を確認できるようになる。
- あるファイルがどのパッケージ由来かを特定し、更新や再取得の対象を決められるようになる。
- 待ち受けポートから公開面を確認し、更新の優先度を判断できるようになる。
- 改ざんされたパッケージのファイルを、パッケージの再取得で正規版に戻し、照合で確認できるようになる。
- 公開面のパッケージだけを先にセキュリティ更新し、サービスを再起動して残りの更新を確認できるようになる。
…ほか 1 項目（レッスン一覧をご覧ください）
修了後の姿: 攻撃を痕跡から理解し、検知・防御・ハードニングを設計して、インシデントを根本原因から再発防止まで導けるセキュリティエンジニアへ。
Chapter 1更新を点検し優先度を付けて適用する
適用可能なセキュリティ更新を洗い出し、公開面と依存を考えて優先度を付け、更新と再取得を行います。
- 適用可能な更新を洗い出すapt list --upgradable でセキュリティ更新を一覧する約5分（有料会員限定）
- 版の差を確認するapt-cache policy で今の版と候補を比べる約5分（有料会員限定）
- ファイルから所属パッケージを引くdpkg -S でバイナリの出どころを特定する約5分（有料会員限定）
- 公開面から優先度を付けるインターネットに出ているサービスを優先する約6分（有料会員限定）
- 改ざんされたバイナリを取り直すapt install --reinstall で sshd を正規版に戻して debsums で確かめる約7分（有料会員限定）
- 公開面のサービスから更新する--only-upgrade で sshd と nginx だけを先に上げ、再起動する約8分（有料会員限定）
- 重要な依存を守りながら更新するapt-mark hold で postgres を据え置き、残りを apt upgrade する約7分（有料会員限定）
- 確認クイズ: 脆弱性管理と CVE 突合更新の洗い出し・優先度・再取得・hold の運用約5分（有料会員限定）