WWW完全制覇 第7回

クロスサイトスクリプティングと「Webからの脅威」

Webにまつわる危険をきちんと知っていますか？

メールに代わる「Webからの脅威」

　ウイルスに関しても、Webの技術を使ったものが増えていることに気がついているだろうか。かつて、ウイルスといえば、メールによって感染を広げる「マスメールウイルス」が大半だった。2004年に世界中で猛威をふるった「Netsky（ネットスカイ）」や「MyDoom（マイドゥーム）」といったウイルスがその代表例だ。

　しかしその後、企業やISPなどによるメールサーバでのウイルス対策が進んだこともあり、マスメールウイルスによる感染被害は減少している。代わって2006年あたりから増えてきたのが、Webサーバを利用するウイルスだ（表1）。こうした攻撃をトレンドマイクロでは「Webからの脅威」と呼んでおり、同社によれば、

• Webサイトに不正なコードをしかけ、アクセスしてきたユーザーのPCにウイルスを感染させる
• 自身を機能アップするため、Webサイトからアップデートモジュールをダウンロードする
• 新規のウイルスをWebサイトからダウンロードし、実行する
• 収集した個人情報をWebサイトにアップロードする
• 不正なコードをしかけたWebサイトのURLを記載したメールをばらまき、感染を広げる

といった手法があるという。

表1　2006年上半期のウイルスとWebサーバとの関係（トレンドマイクロの資料より）

　かつてのマスメールウイルスと同様に、感染を広める行為はメールで行なう。しかし、メールにはURLが記載されているだけで、ウイルスが添付されているわけではない。そのため、メールのウイルス対策だけでは、対処できない。また、XSSなどの脆弱性を利用して、正規のWebサイトに不正プログラムが埋め込まれる可能性もある。ウイルス対策のパターンファイルが完成しても、Webサイト経由で新しいウイルスや亜種にアップデートされてしまえば元の木阿弥だ。

　こうした被害を防ぐためには、まずは毎月のように発見されるIEの不具合による脆弱性をWindows Updateの適用などできちんと修正し続けることが大切だ。そのうえで、ゲートウェイでのウイルスチェックは当然として、不正なWebサイトへのアクセスを阻止するURLフィルタリング、メール本文を解析して不正なメールを遮断するメールフィルタ、不正な通信を行なうPCを社内ネットワークから隔離する検疫ネットワークなどの導入が必要となる。

　当然ながらこうしたセキュリティ製品の導入には、コストの負担が必要となる。Webの技術は、多くのユーザーや企業に恩恵を与えるが、こうした負の面も大きいことは忘れてはならない。