このセクションでは、VMware Unified Access Gateway のセキュリティ関連の質問と回答について説明します。
サードパーティのエージェントやアンチウイルス ソフトウェアを Unified Access Gateway にインストールできますか？
いいえ。Unified Access Gateway アプライアンスではアンチウイルス ソフトウェアやサードパーティのエージェントは必要ありません。そのようなソフトウェアの使用はサポートされておらず、これは VMware ブランドのすべての仮想アプライアンスに当てはまります。詳細については、https://kb.vmware.com/s/article/80767 および https://kb.vmware.com/s/article/2090839 を参照してください。
Unified Access Gateway は、CVE-XXX-XXXX の影響を受けますか？
Unified Access Gateway は、業界をリードするコード スキャン、ソフトウェア構成分析、脆弱性スキャン ツールを活用し、新たに特定された潜在的な脆弱性に関する業界フィードを監視します。脆弱性が検出された場合は、VMware セキュリティ対策ポリシーに従って解決されます。
必要に応じて、VMware Security Advisory (VMSA) を通じて、責任ある開示プラクティスに従ってユーザーに通知します。https://www.vmware.com/security/advisories.html でサブスクライブすると、新しく公開されたアドバイザリに関する通知を受け取ることができます。最新のセキュリティ、信頼性、および機能改善のメリットを得るために、製品のアップデートを定期的に適用することをお勧めします。
Unified Access Gateway リリースの詳細については、製品のアップデートを参照してください。
Unified Access Gateway などの VMware 仮想アプライアンスが VMware によってリリースされた後、次のリリース日までの間に Photon セキュリティ アップデートが利用可能になることは当然、予測されます。これらのセキュリティ アップデートの重大度は全般的であり、ほとんどの場合、Unified Access Gateway 自体のセキュリティには影響しません。その原因としては、Unified Access Gateway が影響を受けるコンポーネントを使用していないこと、または脆弱性が Unified Access Gateway でサポートされていないコンポーネントの機能にあることが考えられます。これらの Photon コンポーネントを承認なしで動的に更新すると、アプライアンスが不安定になり、リリース前のテストでは検出できない新しい脆弱性が発生する可能性があります。
すべての VMware アプライアンスは、元のリリースに含まれるコンポーネントとバージョンに基づいて十分にテストされ、認定されています。したがって、仮想アプライアンスのコンポーネントを更新または変更すると、システムで予期しない動作が発生する可能性があるため、承認されていない更新はサポートされません。
VMware ブランドの他の仮想アプライアンスと同様に、VMware は、VMware ブランドの仮想アプライアンスに含まれる基盤となるオペレーティング システムおよびパッケージに対する変更やカスタマイズはサポートしていません。これには、パッケージの追加、更新、削除、およびアプライアンスのオペレーティング システム内でのカスタム スクリプトの使用が含まれます。VMware の仮想アプライアンスに関するポリシーの詳細については、https://kb.vmware.com/s/article/2090839 を参照してください。
セキュリティの脆弱性が VMware、お客様、または他のユーザーによって特定された場合、これを報告し、特定の製品に適用される重大度に基づいて VMware の対応を行うためのポリシーが定義されています。詳細については、セキュリティ対策ポリシーを参照してください。
Unified Access Gateway で使用されていない、または Unified Access Gateway の機能に適用されない Photon コンポーネントの重大なセキュリティ脆弱性は、セキュリティ上の重大性がないため、Unified Access Gateway のコンテキストでは重大ではありません。
Unified Access Gateway に影響を与える重大なセキュリティ脆弱性が特定された場合、VMware は、次回の四半期リリースでアップデートを提供することに加えて、パッチが適用されたバージョンのアプライアンスをリリースすることがあります。これは、Unified Access Gateway に適用される、回避策がない重大な問題の場合に発生する可能性があります。VMware では、セキュリティ アドバイザリを随時公開して、このような脆弱性を通知しています。
VMware が新しい Unified Access Gateway バージョンをリリースする頻度は？
詳細については、製品のアップデートを参照してください。
Photon パッケージ アップデートが Unified Access Gateway に適用されるタイミングは？
Unified Access Gateway の予定されているすべてのリリースには、仮想アプライアンスの構築時に決定された最新の Photon および Java バージョンが含まれています。通常、これは一般提供 (GA) の日付の約 2 週間前であり、クロス ファンクショナル チームとセキュリティ認定でパッケージ バージョンの組み合わせが正常に機能することを確認する最終機会を提供します。Photon パッケージは、Unified Access Gateway に適用されない脆弱性に対処するためのアップデートの場合でも更新されます。
Unified Access Gateway では、Photon の重大な脆弱性を対処するためのアップデートを自動的にダウンロードして適用するメカニズムはありますか？
はい。この機能はバージョン 2009 で追加されました。状況に応じて、VMware が 1 つ以上の OS パッケージの更新を承認して、特定のバージョンの Unified Access Gateway に影響を与え、実行可能な回避策が存在しない重大な脆弱性を修正することがあります。Unified Access Gateway バージョン 2009 以降では、管理者が承認されたパッケージ アップデートの自動チェックを構成するための新しい機能を使用できます。詳細については、製品のアップデートの「自動チェックの構成」セクションを参照してください。
スキャナが古い Photon パッケージを報告した場合、これは Unified Access Gateway が脆弱であることを意味しますか？
スキャン レポートは脆弱性を示すことがありますが、ほとんどの場合、使用可能な新しいバージョンのパッケージに関するレポートは Unified Access Gateway には適用されません。これは、脆弱性を軽減するための対策がすでに適用されているか、または脆弱性が Unified Access Gateway によって使用または有効化されていないコンポーネントにあることが原因である可能性があります。脆弱性スキャナが正しく構成され、最新の状態に保たれている場合でも、誤検知が発生しやすくなります。
「誤検知」の脆弱性スキャン レポートがある場合、そのパッケージに対してパッケージ アップデートを適用すると、Unified Access Gateway の安全性が高まりますか？
このような場合にパッケージ アップデートを適用しても、Unified Access Gateway は「誤検知」の脆弱性に対して脆弱でないため、違いはありません。VMware では、VMware ブランドの仮想アプライアンスへのパッケージ アップデートの適用をサポートしていません。コンポーネントを更新または変更すると、システムで予期しない動作が発生する可能性があります。
VMware ブランドの仮想アプライアンスで Photon パッケージのユーザーによる変更/更新をサポートしないのはなぜですか？
- アプライアンス上の他のソフトウェアとの互換性がないことと構成との下位互換性の問題が原因で、システムで予期しない動作が発生する可能性があります。
- パッケージを更新すると、元のアプライアンス リリースの前にセキュリティ テスト中に検出されない新しいセキュリティ脆弱性が発生する可能性があります。
- 「誤検知」の脆弱性の場合、パッケージ バージョンの更新を適用してもセキュリティが向上しません。
VMware によって実行されるテストは、最初にリリースされたのとまったく同じ仮想アプライアンス イメージを構成する一連のコンポーネントに対して実行されます。
スキャナ脆弱性レポートについて懸念がある場合、VMware から情報を要求できますか？
ほとんどのスキャナは、ネットワークで実行されている製品とバージョンを特定し、その情報を一般に知られている脆弱性のリストと比較することで機能します。脆弱性スキャナが正しく構成され、最新の状態に保たれている場合でも、誤検知が発生しやすくなります。お客様はサポート リクエストを提出できます。VMware のサポートが VMware Security Response Center (vSRC) とともに対応し、特定のアプライアンスにアップデートが適用されない理由を説明します。
VMware は、Unified Access Gateway アプライアンスの内部で定期的にスキャンを実行しますか？
はい。VMware セキュリティ開発ライフサイクルには、アプライアンスの定期的なスキャンと自動スキャンが含まれているため、VMware によって早期分析を実行できます。
Photon パッケージのバージョンはどれくらいの頻度で更新されますか？
毎月、いくつかの Photon カーネルとパッケージのアップデートがリリースされます。ほとんどの場合、これらは Unified Access Gateway にリリースされず、次回に予定されている Unified Access Gateway リリースでリリースされるようにバッチ処理されます。
Unified Access Gateway に影響する Photon パッケージまたは Unified Access Gateway ソフトウェアの重大なセキュリティ脆弱性が特定された場合、その脆弱性について知るにはどうすればいいですか？
お客様は、VMware 製品に影響を与える既知の脆弱性から製品を保護するために必要なアクションを通知する VMware セキュリティ アドバイザリを購読することができます。
Unified Access Gateway の重大な脆弱性が特定された場合、VMware はどのように対応しますか？次に予定されているバージョンのリリースを待つ必要がありますか？
VMware は、特定されたセキュリティ脆弱性への対応時間を定義するセキュリティ対策ポリシーを公開します。対応時間は、特定の製品に適用される重大度に基づきます。たとえば、Unified Access Gateway で重大なセキュリティ脆弱性が検出された場合、VMware は直ちに修正または修正措置を開始する必要があります。VMware は、商業上合理的な最短時間でお客様に修正または修正措置を提供します。修正はパッチ イメージ リリースとして提供されるため、お客様はできるだけ早くそのバージョンにアップグレードする必要があります。次に予定されている Unified Access Gateway のリリースを待たないでください。この場合、VMware はセキュリティ アドバイザリも公開し、アップデートを自動更新として提供することもあります。セキュリティ対策ポリシーを参照してください。
