パッチ情報
あるバグは再起動時にセキュリティサービスを無効化し、もう一つのバグはハードニングされたRHELシステムへのインストールを妨げていました
Windowsの更新が壊れる問題だけでは飽き足らず、Microsoftは今度はLinux向けDefender for Endpointに関する2つの問題を公表しました。一つは再起動後にセキュリティサービスが無効化される可能性があるというもの、もう一つはFIPS対応のRed Hat Enterprise Linux 8および9で更新が妨げられるというものです。
より深刻な問題は、サポート対象の全Linuxオペレーティングシステムにおいてバージョン101.26042.0000から101.26042.0009の範囲で発生しました。アップグレードまたは再インストールの後に再起動を行うと、「一部のデバイスでDefenderサービスが無効化される可能性がある」とMicrosoftは説明しています。
「Defender for Cloudと連携してDefender for Servers(Plan 1またはPlan 2)を使用しており、MDE(Microsoft Defender Endpoint)統合を有効にしている場合、MDE.Linux拡張機能の自動更新はデフォルトで有効になっています。つまり、お使いのマシンが自動的に該当バージョンを受け取ってしまった可能性があります」と同社は説明しています。
「該当バージョンがインストールされていた場合、修復手順が取られるまで、再起動されたデバイスの有効な保護に影響が及ぶ可能性があります」としています。
Microsoftは何が原因でDefenderが無効化されるのかについては明らかにしていませんが、エンドポイント保護を機能停止させかねない不具合となれば、管理者としては冷や汗ものでしょう。
これとは別に、FIPSモードで稼働するRHEL 8および9システムにも問題が発生しました。101.26042.xの更新プログラムがインストールに失敗し、デバイスが旧バージョンのまま残ってしまうというものです。FIPSとは米国連邦情報処理標準(Federal Information Processing Standards)を指し、この文脈では政府機関やその他の規制対象システムが使用する暗号技術に対して要件を課すものです。
Microsoftのアラートでは利用可能な更新プログラムについて言及されていませんでしたが、リリースノートではサービス無効化バグの影響を受けたユーザーに対し、ビルド101.26042.0011を利用するよう案内しています。もう一方のFIPSインストール問題については、バージョン101.26052.0011以降で修正されています。
Linux向けMicrosoft Defender for Endpointは、オンプレミスおよびクラウド上のサーバーワークロードを保護するものです。Microsoftによれば、「Microsoft Defenderポータルを通じた統合的な可視性により、高度な脅威の予防、検知、調査、対応を支援する」としています。
他にもエンドポイントセキュリティプラットフォームは存在しますが、組織がMicrosoftに全面的に依存している場合、Linux向けDefender for Endpointが提供する統合管理機能は手放しがたいものでしょう。
Microsoftには、主力OSであるWindowsで不具合のある更新プログラムを配信してしまうという、あまり喜ばしくない癖があります。デバイスを保護するために設計されたソフトウェア自体を壊してしまう更新となると、話は別次元です。特に攻撃が絶えず増加し続ける中、攻撃を防ぎつつ活動を監視する必要性を考えればなおさらでしょう。だからこそ、Microsoft Defenderポータルを通じた統合的な可視性には魅力があるわけです。
とはいえ、再起動後にDefenderが無効化されたままになりかねず、しかも一部のセキュリティ強化済みシステムへのインストールを拒否してしまうような更新プログラムというのは、お世辞にも理想的とは言えません。®
