Check Point ユーザーの皆様：2016年6月5日への準備がまだ整っていません

主なポイント要点はAIの支援により生成されています。自動生成された要約には、時折誤りがあったり、重要な文脈が抜け落ちたりする場合があるため、完全な情報を得るには、必ずブログ記事の全文をご参照ください。

この記事は、Check Pointがソフトウェア更新サービスでSHA-1からSHA-256へ移行する計画を通知したことと、それに伴い対象ファイアウォールにホットフィックスを適用する必要がある点を説明しています。実運用環境ではR77.30または該当ホットフィックスを適用済みのファイアウォールがわずか17.9%しか確認できず、多数のデバイスが移行準備未了であるという問題を指摘しています。記事はサービスノート（SK）を確認する、所有デバイスとバージョンを把握する、indeniのインベントリレポートでホットフィックス適用状況を確認する、そして環境全体で導入計画を立てることを推奨しています。

概要全文

なぜCheck PointはSHA-256への移行を推奨しているのですか？

Check PointはSHA-1に脆弱性があり、将来的にハッシュ衝突が実現される可能性が報告されたため、より安全なSHA-256への移行を推奨しています。記事はこの移行が、攻撃者による証明書や署名の破壊リスクを軽減するための予防的な対応であると説明しています。Googleなど他のベンダーも同様の対策を進めており、Check Pointはオンライン更新サービス接続の継続にはホットフィックス適用が必要であると明記しています。これにより更新サービスの機能維持と将来的なセキュリティリスク低減が期待されます。

自分のCheck Point環境で対応状況をどう確認すればいいですか？

記事はまずサービスノート（SK）を読み全体像を把握することを勧めています。次に、所有デバイスと各デバイスのソフトウェアバージョン、ホットフィックス適用状況を把握する必要があります。indeniユーザーであれば、Webダッシュボードの[Reporting] → [Inventory Report]でレポートを生成し、”Hotfixes Installed”シートを確認すると良いと記載されています。対象ホットフィックスは各デバイスに”R77_30″を含むものか、”SHA256″というテキストを含むホットフィックスであることを確認してください。

移行作業を進める際の実務的な手順と影響は何ですか？

記事は具体的な実務手順として、まずサービスノートを参照して要件を把握し、環境内のデバイス一覧とバージョン、ホットフィックス適用状況を確認することを挙げています。次に、未適用のデバイスに対してホットフィックスを導入する計画を立てるよう推奨しています。サービスノートによれば、このホットフィックスの導入でダウンタイムは発生しないはずとされていますが、導入計画では適用順序や検証手順、ロールバック手順を含めることが実務上重要です。記事は早めの対応開始を呼びかけています。

主なポイント

2016年5月31日更新：CheckPointはSKを更新しました。SHA-256の導入は2016年6月5日に延期されました。

2015年4月、Check PointはSK103839を公開しました。 その中で、Check Pointは顧客に対し、各種ソフトウェアブレードの更新サービスにおいて、SHA-1の代わりにSHA-256の使用を開始することを通知しています。これは、SHA-1に脆弱性があり、ハッカーによってすでに突破されていないとしても、早ければ2018年にも突破される可能性があるという報告を受けた対応です。 この取り組みはチェック・ポイントだけにとどまらず、Googleや他のベンダーも同様の対応を進めています。

SKには次のように記載されています。「SHA-256ベースの証明書を使用するチェック・ポイントのオンライン更新サービスへの接続を確保するには、ホットフィックスの適用が必要です。 Check Pointは、前述の更新サービスの機能を維持するために、このホットフィックスのインストールを強く推奨します。」。つまり、R77.30にアップグレードしていない場合は、11月までにすべてのファイアウォールおよび管理サーバーにこのホットフィックスをインストールする必要があります。

しかし驚くべきことに、indeni Insightのデータベースを簡単に照会したところ、R77.30または必要なホットフィックスを実行しているCheck Pointファイアウォールはわずか17.9％に過ぎないことが判明しました。つまり、市場に出回っているCheck Pointファイアウォールの圧倒的多数は、11月に向けた準備が整っていないのです。

では、どうすればよいのでしょうか？当社が推奨する対応は以下の通りです：

1. サービスノート（SK）を読んで、全体像を把握してください。
2. 所有しているデバイス、各デバイスが実行しているソフトウェアのバージョン、およびホットフィックスがインストールされているデバイスを把握してください。indeni ユーザーは、インベントリレポート（Web ダッシュボードの [Reporting] → [Inventory Report]）を生成し、「Hotfixes Installed」シートを確認できます。 各デバイスには、「R77_30」を含むホットフィックス、または「SHA256」というテキストを含むホットフィックスのいずれかがインストールされている必要があります。右のスクリーンショットは、確認すべき項目の例を示しています。バージョン5.3では、まだアップグレードが必要なデバイスごとにアラートが表示されます。
3. 環境全体でのホットフィックスの導入計画を立ててください。サービスノート（SK）によると、これによりダウンタイムが発生することはないはずです。

さあ、早速取り掛かりましょう！