製品セキュリティ向けの Red Hat テクニカル・アカウント・マネジメント・サービスのご紹介

Red Hat では、次のサイバー攻撃の波や一連の脆弱性に対して防御を強化したいお客様向けに、製品セキュリティ向けの Red Hat テクニカル・アカウント・マネジメント・サービスを追加して、拡張された Red Hat テクニカル・アカウント・マネジメント (TAM) サービスを提供できるようにしました。

Red Hat のお客様の多くは TAM サービスについてよくご存知です。TAM は専門分野に関する深い技術知識を提供し、お客様の信頼できる技術アドバイザーとしての役割を果たします。TAM は、お客様とのパーソナルな関係を構築し、可能な限り最適な製品エクスペリエンスをお客様に提供することにプロアクティブに取り組んでいます。 Red Hat TAM は、Red Hat の製品マネージャー、開発者、その他の意思決定者、さらにはアップストリーム・コミュニティとも連携して、お客様の意見を支持しています。

Red Hat のセキュリティ TAM は、Red Hat 製品ポートフォリオ全体のセキュリティ・フットプリントに総合的に、かつ重点的に取り組みます。以下の責任を担います。

• さまざまな攻撃戦術に関する知識を臨機応変に共有する
• Red Hat のセキュリティおよびコンプライアンス関連のツールの使用を支援する
• 必要に応じて強化された構成および/またはデプロイを提案する
• Red Hat がリスクと脆弱性の軽減にどう役立つかについての教育的な情報を提供する
• Red Hat 製品についてのより正確な脆弱性分析を提供する
• 脆弱性スキャンレポートのトリアージを支援する
• 必要に応じて、お客様、Red Hat チーム、パートナー、他のベンダー、オープンソース・コミュニティとのコミュニケーションを促進する
• 必要に応じてお客様の視点を伝えることで、Red Hat 製品管理、製品セキュリティチーム、パートナー、他のベンダー、オープンソース・コミュニティに影響を与える
• ソフトウェアのバリューチェーンに関する認識を高める
• 重大なセキュリティインシデントに直面した場合に考えられる軽減策についてアドバイスする
• セキュリティインシデントの事後評価の作成を支援する

CVE (共通脆弱性識別子)

1999 年に、MITRE Corporation はセキュリティ脆弱性にラベル付けするための標準として CVE の概念を確立しました。IT 業界は CVE を迅速に受け入れ、現在では MITRE や Red Hat などの 400 を超えるメンバーが CVE.org という組織に参加しています。 

CVE.org 内の最も一般的なメンバーのロールは CNA (CVE Numbering Authority) と呼ばれています。2025 年 7 月時点で、Red Hat は Root と CNA-LR という 2 つの特別な CVE.org ロールも担っています。ルート組織は、他のメンバー組織を採用し、トレーニングします。CNA-LR (CVE Numbering Authority of Last Resort) が CVE の提示に関する紛争を解決します。Red Hat は、これらのロールの両方を担う唯一の民間組織です。 

Red Hat はセキュリティの研究者や CVE コミュニティと直接連携し、Red Hat 製品の脆弱性を特定し、検証し、パッチを適用します。CNA として、Red Hat は脆弱性の可能性を迅速に検証し、CVE ID を割り当て、開発作業の優先順位付けを行います。Red Hat と研究者とのコラボレーションにより、Red Hat はまだ公開されていない情報にアクセスすることができます。これにより、エンジニアリンググループや製品セキュリティグループは、一般に公開される前に脆弱性を修正できることが多いので、お客様のリスクを軽減できます。Red Hat の社員は多くのアップストリーム・オープンソース・プロジェクトに貢献しており、これによって、Red Hat 製品だけでなく、アップストリームの脆弱性を解決できるという独自の強みを活用できます。

また、Red Hat 製品セキュリティは、Red Hat 製品に適用される CVE に関する、人間および機械が判読可能な情報リポジトリを維持しています。これらのリポジトリにアクセスするには、Red Hat 製品セキュリティのページを参照して、関連する分野に移動することができます。機械的に読み取り可能な CVE 情報リポジトリ、または 人間が判読可能な CVE リポジトリに直接アクセスすることもできます。

セキュリティ TAM は、Red Hat と CVE プログラムとのつながり、およびセキュリティコミュニティ内の他のつながりを活用して、Red Hat のお客様にサイバー攻撃からの保護に必要な情報を提供します。セキュリティコミュニティのメンバーには、Red Hat 製品セキュリティチーム、Red Hat のエンジニアリンググループ、Red Hat のプロダクトマネージャー、その他のベンダー、アップストリームの開発コミュニティ、および志を同じくするお客様が含まれます。

シナリオ

セキュリティ監査のスキャンで無数の脆弱性が見つかった場合、Red Hat のセキュリティ TAM が結果の評価や、誤検出の排除、および脆弱性のトリアージを支援します。お客様が Red Hat 製品のパッチや軽減策を迅速に必要としている場合に、セキュリティ TAM は、お客様にとって最適なソリューションを見つけるために、セキュリティコミュニティ内のつながりを活用します。

お客様側のマネージャーの多くは、インターネット上の何者かによって組織が略奪されないように適切な措置を講じているとの、信頼できる保証を求めています。世界が彼らの組織の製品とサービスに依存するほど、リスクは高くなります。完全な安全性を保証できる者は誰もいませんが、Red Hat のセキュリティ TAM は、このようなお客様の仮定のシナリオ (what-if scenario) のシミュレーションを支援し、時折、カンファレンスや関連のフォーラムで、志を同じくする他のお客様も含め、お客様を支援します。このような共有により、攻撃を受けた後の事後検証ではなく、フィードバックから教訓を得ることができます。

このような支援は Red Hat のデプロイメントに対する信頼を構築、維持、回復するのに役立ちます。

ソフトウェア・サプライチェーン攻撃 

サプライチェーン攻撃は、「悪」がどの程度のものかを表す新しい定義です。

2017 年、攻撃者は NotPetya マルウェアを、M.E.Doc という名前のウクライナの一般的な会計プログラムの更新に注入しました。M.E.Doc ユーザーが次の更新をダウンロードすると、組み込まれたマルウェアがシステムを破壊しました。世界的な運送大手の Maersk 社は、ウクライナ国内でコンピュータシステムを運用し、コピーをダウンロードしました。このマルウェアは Maersk トポロジーの脆弱性を悪用して、世界中に拡散しました。Maersk の輸送ターミナルでは、作業員がどの貨物をどの船に積み込むかを判断する仕組みがなくなったため、トラックが何マイルにもわたってバックアップとして待機しました。世界の出荷の約 20% が停止に追いやられました。

IT チームは 24 時間体制で、数千台のコンピュータを復旧する作業を行いましたが、その中には Maersk のすべての Active Directory ドメインコントローラーも含まれていました。Maersk の従業員の多くは、危機的な状況が収束するまでは家に帰らず、デスクの下で寝泊まりしました。アフリカに 1 台のオフライン Active Directory ドメインコントローラーがなければ、この障害の影響はさらに広がった可能性があります。ドメインコントローラーのハードドライブは大きすぎてネットワーク上にコピーできなかったので、人間が飛行機に乗って、これを物理的にロンドンに届ける必要がありました。その後、作業チームは Maersk の Active Directory インフラストラクチャを回復させることができ、従業員が Maersk のシステムにログインし、このシステムを復元できるようになりました。その後、作業員が再び船舶の積み下ろし作業を行い、滞留した輸送ターミナルの混雑を解消できるようになりました。NotPetya 攻撃は、世界中でトップニュースになりました。

2020 年、攻撃者が SolarWinds に侵入し、ソフトウェア更新を改ざんしました。多くの政府機関やフォーチュン 500 企業がネットワーク管理に役立つ SolarWinds ソフトウェアを信頼しているため、SolarWinds の顧客が最新の更新を適用すると、彼らのネットワークが攻撃にさらされました。2025 年の現在、被害を受けた団体や個人による損害の査定は依然として続いています。 

オープンソース・コミュニティと Red Hat 製品チームは、お客様が使用するソフトウェアが侵害されていないことを確認できるように、ソフトウェアライフサイクル管理の標準の策定に取り組んでいます。Red Hat のセキュリティ TAM は、このような攻撃を最小限に抑えられるよう、Red Hat ソフトウェアを正しく設定して強化するためのサポートをお客様に提供しています。

安心は得られるか

攻撃に対する完全な耐性を確約できる人はいません。なぜなら、誰もがサイバーセキュリティの最前線で活動しており、誰もが知らないうちに攻撃ベクトルになる可能性があるからです。しかし、Red Hat のセキュリティ TAM は、攻撃が成功する可能性を低減させることで、お客様の懸念を軽減します。詳細については、Red Hat のお客様担当の営業までお問い合わせください。Red Hat アカウントチームへの問い合わせ方法が不明な場合は、こちらの Red Hat の連絡先にお問い合わせください。