Linux へのコンテンツレスなパッチ適用

V2024.1よりも前は、Security Controls における Linux へのパッチ適用はすべてコンテンツベースでした。 Ivanti のエンジニアが脆弱性の修正に必要なファイルを特定してキュレートし、配布可能なコンテンツベースのパッチを作成していました。この方法の主なデメリットは、コンテンツパッケージが作成されるまでの間の遅延があることと、すべての脆弱性に対処できるわけではないことです。

V2024.1からは、Linux へのパッチ適用のための新しい、コンテンツレスな方法が導入されています。この方法では、お使いの Linux ディストリビューション用のリポジトリが、すべてのパッチパッケージの直接のソースです。つまり、すべてのパッケージに即座にアクセスできるため、Security Controls がもたらすパッチ適用の制御性と可視性はそのままに、より効率的で、より完全なパッチ適用の仕組みが得られます。

変更点

主な変更点は次のとおりです。

以前の Linux パッチ適用は Security Controls で名前 [Linux パッチ (コンテンツベース)] とアイコンを使用して利用できます。
新しいコンテンツレスな Linux パッチ適用には、個別のパッチスキャン構成はありません。 Linux パッチタスクが実行されるたびに、不足しているすべてのパッケージとアドバイザリを調べるスキャンが実行されます。その後、Linux パッチタスクの一部として、別途配布オプションを指定できます。
コンピュータビューのグリッドに新しい列が追加され、コンテンツレス Linux の場合はパッケージのソースリポジトリが表示されます。
V2024.2では、新しいパッチ構成用の [パッチグループで配布する] オプションでサポートされていたのは、アドバイザリに関連付けられているパッケージのパッチ適用のみでした。パッチグループへのパッケージの追加は V2024.3 でサポートされ、重大度別の配布は V2024.4 でサポートされました。

移行方法

コンテンツレスなパッチ適用を安心して行い、Linux 用のコンテンツベースのパッチ適用から移行するには、次の戦略をお勧めします。

[すべてのパッチ] をスキャンするように構成した [Linux コンテンツベースパッチタスク] を使用して、テスト用の Linux コンピュータをスキャンした後、コンピュータビューの [正常性] 列を調べます。
既存のコンテンツベースのパッチタスクを使用してテストコンピュータにパッチを配布した後、コンピュータビューの [正常性] 列を再度調べます。
[Linux パッチタスク] を含む、[配布] オプションが無効化されたエージェントポリシーを作成または更新します。
これにより、新しいコンテンツレス機能を使用してすべてをスキャンするタスクが作成されます。
この新しいポリシーを含むエージェントを、テスト用の Linux コンピュータにインストールします。
エンジンがインストールされた後、スキャンが自動的に実行されます。
スキャンが完了した後、[正常性] 列を調べます。
新しい脆弱性が検出されたことがわかります。
新しいコンテンツレスパッチタスクで [配布] オプションを有効にし、パッチを再配布します。
再度、[正常性] 列を調べます。
脆弱性が修復されています。