直したうえで、侵害されていたかを報告せよ ― Cisco IOS XEで課された確認義務（2023年10月）

1是正のあとに、もう一つの作業がある

ここまでの3本は、穴を塞ぐことを求める命令でした。この項目はそこで終わりません。塞いだうえで、すでに入られていたかどうかを調べ、入られていたなら報告せよと求めています。

2三つの要求

1. 1確認するCisco IOS XE の Web 管理画面の実体が拘束的運用指令 BOD 23-02 に適合していることを確認する
2. 2適用するベンダーの指示に従って緩和策を適用する
3. 3判定するインターネットまたは信頼できないネットワークに露出している対象については、ベンダーの指示に従い侵害の有無を判定する
4. 4報告する陽性の所見があれば直ちに CISA へ報告する

「判定する」と「報告する」が命令に含まれていることが、この項目の特徴です。是正は自組織の内部で完結しますが、報告は外部に向かう行為です。命令の宛先が、自分の機器から、政府全体の状況把握へと広がっています。

3なぜ報告まで求めたのか

説明にあるとおり、この脆弱性は攻撃者に権限レベル15のアカウントを作らせるものです。アカウントは、脆弱性を塞いだ後も残ります。穴を塞ぐことと、既に入った者を追い出すことは別の作業です。 判定の要求は、その差を埋めるために置かれています。

4猶予は4日

40通りの命令のうち、報告義務まで書き込んだものはごく少数です。次の記事では、更新を当てるだけでは足りず、セッションをすべて終了せよと求めた項目を見ます。