Third-Party PatchingとWinGet連携

OS以外のソフトウェアを更新する機能です。脆弱性の多くはサードパーティー製ソフトウェアで発生するため、OSの更新だけを管理していてもリスクの大部分は残ります。

なぜOSの更新だけでは不十分か

公表される脆弱性を見ると、ブラウザー、PDF閲覧ソフト、圧縮ソフト、各種ランタイムといったソフトウェアが大きな割合を占めます。

これらは利用者が個別にインストールしていることも多く、管理者が把握しきれません。Software Inventoryで実態を確認すると、想定していなかったソフトウェアが多数見つかるのが通常です。

Third-Party Patchingを有効にすると、これらの更新も一元管理できます。

対応するアプリケーション

対応する製品はSoftware libraryから選びます。

登録されている製品は8,983件です。主要なソフトウェアはほぼ網羅されていると考えていい規模です。

一覧はPublisher（発行元）、Software（製品名）、WinGet ID、Source（提供元）で構成されます。SourceがNinjaOneの製品はNinjaOneが管理するパッケージ、WinGet IDが入っている製品はWinGet経由で扱えるものです。

Fresh install supportedで絞り込むと、新規インストールにも対応している製品だけを表示できます。更新だけでなく配布にも使える製品を探す際に便利です。

導入前に、自社で使っているソフトウェアが含まれるかを確認してください。確認する手順は次の通りです。

1. Software Inventoryで、社内にあるソフトウェアの一覧を出力する
2. インストール台数の多い順に並べる
3. 上位のソフトウェアが対応リストに含まれるかを確認する
4. 含まれないものは別途の管理方法を検討する

台数の多いソフトウェアから対応すれば、少ない労力でリスクを減らせます。

有効化と設定

Policyの中で有効にします。設定の考え方はOSのパッチと同じで、スキャンと適用のスケジュール、再起動の扱いを指定します。

OSの更新とは別のスケジュールにできます。次のような使い分けが実務的です。

対象	スケジュール
OSの更新	月次。再起動を伴うため計画的に
サードパーティー製ソフトウェア	週次。再起動を伴わないものが多い

サードパーティー製ソフトウェアの更新は再起動を必要としない場合が多く、より高い頻度で適用できます。

【注意】 更新によってソフトウェアが再起動されます。利用者が作業中のアプリケーションが終了する可能性があるため、業務時間中の適用は避けてください。特にブラウザーは常時起動されているため影響が出やすくなります。

WinGet連携

Windowsのパッケージ管理システムであるWinGetと連携できます。対応するソフトウェアの範囲が広がります。

利用にあたっては前提条件があります。

1. 対象デバイスでWinGetが利用可能な状態になっていること
2. WinGetのリポジトリーへの通信が許可されていること
3. 対象ソフトウェアがWinGetで扱えること

2番目は見落とされやすい点です。通信を制限している環境では、追加の許可設定が必要になります。ネットワーク要件と通信の許可設定であわせて確認してください。

特定のアプリを対象外にする

更新すると業務に支障が出るソフトウェアは、対象外に設定できます。

除外を検討するのは次のような場合です。

対象	理由
バージョンを固定している業務アプリ	更新すると業務システムと互換性がなくなる
検証が必要なソフトウェア	事前確認なしに更新できない
個別に管理しているソフトウェア	別の仕組みで更新している

【運用のポイント】 除外したソフトウェアの一覧と理由を記録してください。除外は「更新しない」という判断であり、脆弱性が公表されたときに対応が必要な対象です。記録がないと、影響範囲の確認が漏れます。

適用結果の確認

適用状況はダッシュボードのSoftwareタブとデバイス詳細画面で確認します。

確認すべきなのは次の点です。

確認項目	対応
更新に失敗しているソフトウェア	個別に原因を確認する
古いバージョンが残っているデバイス	適用スケジュールに入っているか確認する
対応リストにないソフトウェア	手動更新の対象として管理する

3番目は継続的な課題になります。対応リストにないソフトウェアは、Software Inventoryで定期的に確認し、必要に応じて手動で対応する運用を作ってください。

脆弱性が公表された際の影響範囲の特定はSoftware Inventoryの方法で行えます。