ソクラテスの問い、プラトンの備え

ソクラテス：

プラトンよ、この脆弱性について考えてみよう。もし管理者権限が「任意のHTTP POSTリクエスト」で取得可能であるなら、セキュリティの本質とは何だと考える？

プラトン：

（ため息）ソクラテス、これはまるでガススタンドの金庫に鍵がありませんよ。まずは、システムが影響範囲のバージョン（2.9.1～2.10.2）であるかをチェックしなければなりません。その上で、/php/ajax-login.phpと/ajax-main.php、/modules/*のエンドポイントが本当にセッション検証を行っていないか、コードを確認する必要があります。

ソクラテス：

では、運用者はこの脆弱性を「確認」する際、何に注意すべきだろう？

プラトン：

（真剣な顔）まず、ベンダーの公式情報を見て、パッチや設定変更の手順を確認しましょう。その後、変更管理の文書を更新し、監視ログに「userid=1」の異常アクセスが記録されているかをチェックする必要があります。もしパッチが適用されていないなら、そのリスクを「変更管理の文書」に明記しなければなりませんよ。

ソクラテス：

その脆弱性が「現金精算や料金設定」を変更できるとしたら、倫理的な責任はどこにある？

プラトン：

（にやり）ソクラテス、倫理なんて、現実世界では「パッチ適用の手順が文書化されているか」にかかっています。例えば、監視ツールで「/php/ajax-main.php」にアクセスされたログをリアルタイムで見ているか、ベンダーのサポートチームに連絡して対応方法を確認しているか、それが重要です。

ソクラテス：

では、運用者はこの脆弱性を「防ぐ」ために、最終的に何をすべきだろう？

プラトン：

（落ち着いた口調）まずは、影響範囲のバージョンかどうかを確認し、セッション検証のコードを点検します。次に、ベンダーの公式情報に従ってパッチを適用し、変更管理の文書を更新します。最後に、監視ツールで異常アクセスが発生していないかを定期的にチェックしましょう。ガススタンドのセキュリティは、パッチの適用と文書の正確さにかかっているのです。

ソクラテス：

（笑い）では、プラトンよ、この脆弱性を「ガススタンドの金庫に鍵がない」と比喩したなら、運用者はその鍵をどう再びかけるべきだろう？

プラトン：

（軽く笑い）鍵は「パッチ」です。そして、その鍵をかけたことを「文書」で証明する必要があります。それだけです。