ゼロからわかる最新セキュリティ動向 第2回

1.5秒に1つ不正プログラムが誕生する時代にどう立ち向かう？

脅威に対してセキュリティ技術は進化したのか？

ウイルス検索以外の機能

　各セキュリティベンダーから提供されている現在のウイルス対策ソフトは、「ウイルス対策」と呼称しつつも、多くのセキュリティ機能を搭載した「セキュリティスイート」になっている。前回解説した通り、脅威がより巧妙かつ複雑になるにつれ、以下のようなさまざまな対策手段を施さないと対抗できなくなってきているのである。

トレンドマイクロの「ウイルスバスター 2010」。ウイルス退治者（buster）という名称だが、パッケージには「総合セキュリティソフト」と記載されている

ファイアウォール

　ネットワーク経由の攻撃を防ぐための基本的な機能がファイアウォールだ。元々はインターネットと社内ネットワークを結ぶゲートウェイに設置して内部ネットワークを守るための装置だが、後にPCを保護するためにそのPCにインストールするタイプのファイアウォール（パーソナルファイアウォール、クライアントファイアウォール）が登場している。これらは、

• ポート
• プロトコル
• IPアドレスレンジ
• サービス
• アプリケーション

などを指定してポリシーを組み立て、それに反する通信を遮断する。一般的には、PCにインストールされた時点で使用しているアプリケーションやサービスを把握し、それに合わせたポリシーが自動的に適用されることになる。

IDS/IPS

　IDS（Intrusion Detection System）とIPS（Intrusion Prevention System）はネットワークを経由した攻撃に対するもう1つの防御手法だ。データの中身を解析して、サービス拒否攻撃（DoS）や脆弱性に対する攻撃など、ネットワークを経由した攻撃を検出するものである。IDSでは侵入を検知した際にそれを何らかの形で警告するのみとなるが、IPSは攻撃を検知した際にその通信を遮断することによってシステムを守る。

挙動監視（ふるまい検知、HIPS）

　新たに登場する脅威に対する対策手段として、ここ数年注目を集める技術の1つに挙動監視がある。ふるまい検知またはHIPS（Host Intrusion Prevention System、ホスト型侵入防御システム）とも呼ばれ、プログラムがシステム上で行なう挙動を見て悪意があるかどうかを判断する。バッファーオーバーフローなどを利用した攻撃に対する対策として使われる。

　挙動監視はあくまで「疑わしい動作」にのみ注目しているため、新しい脅威が登場しても対処できるというメリットがある。反面、システム管理者がブロックするべき挙動のルールを作りこまない限りは効力を発揮しないため、導入／運用が難しい。また誤検知が多く発生するおそれがあり、そのたびにルールのチューニングを行なうか、それを回避するためにルールを事前に細かく作りこむ必要がある。

アプリケーションホワイトリスト

　アプリケーションホワイトリスト（アプリケーションコントロールとも）は、正規のアプリケーションに関する情報を元に、登録されているものを許可し、それ以外の実行を阻止する。パターンマッチングが危険なプログラムを登録するブラックリスト方式なのに対して、安全なアプリケーションに関する情報を使用することからホワイトリスト方式と呼ばれる。

　アプリケーションホワイトリストは、データベースに登録されている正規のアプリケーションを許可し、それ以外のアプリケーションの実行を許可しないというセキュリティモデルだ。このため、データベースに登録したアプリケーションの数や精度が鍵になる。システムへの変更が少ない環境に適しており、ダイナミックなIT環境には有効なソリューションではない。

レピュテーション

　ここ最近注目を集めているセキュリティ技術がレピュテーション（Reputation）だ。レピュテーションはWebサイト、IPアドレス、プログラムファイルなどをそれぞれ評価し、それらの「評価」からブロックするべきかどうかが決まる。不正なWebサイトへのアクセスをブロックするWebレピュテーション、不正なメールサーバからのメール送信をブロックするE-mailレピュテーション、そして不正なファイルへのアクセスをブロックするファイルレピュテーションの3つがある。

さまざまなセキュリティ機能

機能	概要
ファイアウォール	ネットワークを経由した攻撃に対する対策手法。明示的に許可された通信のみを許可し、それ以外を拒否する
IDS/IDP	ネットワークを経由した攻撃に対する対策手法。通信パケットの中身を解析し、悪意ある通信であるかを判断する。IDSは不正な通信を警告するのみだが、IPSは通信の遮断も行なう
挙動監視 （ふるまい検知、HIPS）	システム上で実行されるプログラムの動作を監視し、悪意ある挙動と判断した場合は実行を阻止する
アプリケーションホワイトリスト アプリケーションコントロール	事前に登録したアプリケーションのみ実行を許可し、それ以外の実行を阻止する
レピュテーション	WebサイトやIPアドレス、プログラムファイルなどを評価し、その「格付け」をもとにブロックするかどうかを決める

　次回は、ウイルス対策ソフトの「検出率」を取り上げる。どのようなテストから検出率が生み出されるのか、ウイルスが大きく変化する状況下において、そもそも検出率がウイルス対策ソフトの性能を評価する上での指標となりうるのかなどを解説しよう。