【セキュリティ】放置は最大の敵：OS・ソフトを最新に保つ

レン

一回セットアップしたら、あとはもう触らなくていいんでしょ？動いてるんだから。

ウィルスン

…その油断、ワタシは大歓迎だ。世の中には『既に見つかっている弱点』が毎日のように公開される。キミがソフトを更新せず放置している間、ワタシはその弱点リストを片手に、古いバージョンのサーバーを探して回るのだよ。

レン

え、じゃあ放っておくとどんどん危なくなるってこと！？

プロクラ

そのとおり。セキュリティの世界では『何もしない＝どんどん脆くなる』なんだ。ソフトの開発者は弱点が見つかるたびに修正版を出してくれているから、こまめに更新を当てるだけで、既知の攻撃はほとんど防げる。

なぜ公開された弱点ほど危ないのか

プロクラ

弱点は、修正版と一緒に内容も公開される。それは正しいことなんだけど、同時に「どこをどう突けばいいか」も世に出るということでもある。だから公開直後から、その弱点を狙う自動の巡回が一気に増えるんだ。

ウィルスン

…そう。ワタシは新しい手口を考えなくていい。公開された内容をそのまま試し、まだ直していないサーバーを拾うだけでいいのだからな。

手動更新の基本

プロクラ

Ubuntu/Debian系なら sudo apt update && sudo apt upgrade。これでインストール済みのパッケージが最新になる。最低でも週1回はやりたいところだね。

• apt update : 手元の「どんな更新があるか」の一覧を最新にする
• apt upgrade : 実際に更新を当てる
• RHEL系なら sudo dnf upgrade
• 更新の前にスナップショットを取っておくと、戻せる

自動セキュリティ更新を入れておく

プロクラ

とはいえ手動だと忘れる。だからセキュリティ更新だけは自動で当たるようにしておくのがおすすめ。Ubuntu/Debian系なら unattended-upgrades を入れて有効化するだけだよ。

• sudo apt update && sudo apt upgrade を最低週1回
• unattended-upgrades で重要なセキュリティ更新は自動適用
• カーネル更新後は再起動が必要（needrestart で確認）
• WordPress等のアプリ本体・プラグインの更新も忘れずに（OSとは別）

再起動しないと効かないものがある

レン

更新したのに「再起動が必要」って出るのは何なの？

プロクラ

更新でファイルは新しくなっても、既に動いているプログラムは古いものをメモリに載せたままなんだ。だから、そのプログラムを再起動するまで修正は効いていない。特にカーネルの更新は、サーバー全体の再起動が必要になるよ。

プロクラ

「更新は自動で当てているから安心」と思っていたのに、再起動していなかったので効いていなかった、というのはよくある話。月に一度は再起動する日を決めておくくらいでいい。

OSだけでは足りない

レン

OSだけじゃなくて、WordPressのプラグインとかも更新しないとダメなんだね。

ウィルスン

そこは盲点になりがちだ。放置された古いプラグインは、ワタシにとって格好の入り口。OSをいくら固めても、その上で動く古いアプリに穴があれば意味がない。全部ひっくるめて『最新に保つ』のが鉄則だ。

• OSのパッケージ
• WordPress本体・テーマ・プラグイン
• アプリが使っているライブラリ（自分で書いていないコード）
• コンテナを使っているなら、元になっているイメージ
• 使っていないものは、更新するより消すほうが確実

更新で壊れるのが怖い、という人へ

プロクラ

気持ちは分かるよ。でも「壊れるのが怖いから当てない」を続けると、いずれ確実に破られる。怖さの向きを変えて、壊れても戻せる用意をするほうがいい。

• 更新の前にスナップショットかバックアップを取る
• アクセスの少ない時間に当てる
• 当てたあと、サイトが表示されるかを必ず確認する
• 大きな変更（OSのバージョン自体を上げる等）は、別の日に単独でやる

レン

自動で当てて、月に一度は再起動して、アプリ側も忘れない。戻せる用意もしておく。