iOSやWindows Phone以上の対策が必要なAndroidセキュリティ：攻撃急増中のAndroidを企業はどう使うべきか

増大し続けるAndroidマルウェアやアプリの審査機構といった状況から、IT業界では、Androidのセキュリティは、iOSやWindows Phoneと同じ対応では不可能という認識が広まっている。

≫ 2011年10月06日 09時00分公開

[Eric B. Parizo，TechTarget]

　米GoogleのAndroidは、瞬く間にモバイル端末市場でシェアが最大のプラットフォームになった。だが、その勢いに合わせるように、Android端末は企業の情報セキュリティにとって最大の（しかも、最もチェックの甘い）リスクになってしまった。

　Android端末は飛ぶように売れている。米調査会社のNPD Group、Gartner、Canalysが発表した最新の調査結果によると、2011年の第2四半期に販売されたスマートフォンの約半数はAndroid搭載端末だ。この成長は、韓国のSamsung、米Motorola、台湾のHTCなどの、安価で高性能なAndroid端末がけん引している。

　2011年8月第4週の米TechTargetのリポートにあるように、このAndroid人気は攻撃者の目をAndroidに向けさせることにもなった。米McAfeeの最新のデータでは、2011年第2四半期に発見された新しいAndroidマルウェアは、他のモバイルプラットフォームを狙った新種のマルウェアを全て合わせた数よりも多かった。この1カ月で、Androidを標的としたroot権限を取得するトロイの木馬攻撃や、通話とSMSメッセージを記録する新種のトロイの木馬が発見された他、著名なAndroidアプリケーションにトロイの木馬が混入していたことも発覚した。しかし、これらは氷山の一角にすぎない。

Androidユーザーの3分の1はWeb脅威に遭遇　マルウェア感染率は2.5倍
Android端末はなぜ危険か
Android端末はこうして守る――企業規模別の提案
iPhone/iPad/Android端末導入でシステム管理者が知っておくべき48項目（ホワイトペーパー）
Androidカーネルに359件のバグ？　オープンソースや流用コード利用の開発に潜むリスク（ホワイトペーパー）

　Androidが、iOSやBlackBerryなど他の主要プラットフォームよりも格段に脆弱に見えるのはなぜだろう？　セキュリティ調査の多くはAndroidのソースコードに簡単にアクセスできることにフォーカスしがちだが、2011年6月にSymantecのセキュリティレスポンスが公開した報告書（PDF）では、2つの大きな問題が指摘されている。いずれも、ダウンロード可能なアプリケーション（アプリ）の処理に関するものだ。

　1つ目は、Androidアプリには、米AppleのiOSアプリ向けApp Storeにあるようなアプリを審査する機関がないため、ほぼノーチェックで攻撃者がマルウェアをアプリに仕込めるという問題だ。2つ目は、個々のAndroidアプリは仮想マシン（サンドボックス）によって他のアプリとプラットフォーム自体から分離されているとしても、悪意のあるアプリは端末ユーザーをだましてより高度な権限を手に入れ得ることだ。悪意のあるアプリは、被害者の端末に悪意のあるコードをダウンロードすることなく、この権限を利用してデータを盗み出すなどの不正な操作を実行できる。

　Symantecセキュリティレスポンスのグループマネジャーであるジョン・ハリソン氏は「GoogleのAndroidプラットフォームなら、どこからでもアプリを入手できることがリスクを高めていることは間違いない」と話す。

　企業は、Android端末（と、事実上全てのスマートフォン）がノートPCやデスクトップPCと同等の機能を備えていること。従って、PCと同程度のリスクがあるものとして扱う必要があることに気付く必要があると同氏は指摘する。

　トレンドマイクロでモバイルソリューション担当のシニアプロダクトマーケティングマネジャーを務めるパトリック・ウィーラー氏は、同社のデータによると、2011年初めからAndroidマルウェアの出現数は1400％も増加していると話す。Androidを標的とするマルウェアの場合、悪意のあるアプリケーションが媒体になるだけでなく、デスクトップPCやノートPCのマルウェアと同様に、ブラウザベースの攻撃によって流通することもある。

　「IT業界では、Androidのセキュリティは、iOSやBlackBerry、Windows Phoneと同じようには対応できないとようやく認識されるようになった。同時に、これらのリスクを緩和する方法もある」（ウィーラー氏）

　メールや他の企業システム、企業データのアクセスに従業員の私物Android端末が使われるケースが増えているが、それに伴うリスクを緩和するために企業の情報セキュリティチームがすべきことは何だろうか？

　ウィーラー氏は、ユーザーに対して全てのモバイル端末に共通のセキュリティ対策を啓蒙することを勧めている。例えば、起動用のパスワードを有効にする、Wi-Fiの自動接続を無効にする、信頼できる提供元以外ではアプリケーションはダウンロードしないなどだ。その上で、端末エージェントや包括的なモバイル端末管理（MDM）製品など、Android固有のセキュリティ技術を取り入れる。

MDM関連記事

　ポリシーも重要になる。ハリソン氏は、一般的な日常業務を補完するという位置付けでの、私物スマートフォンの安全な利用方法を規定すること、その際にさまざまなユーザーを巻き込んでポリシーを策定することを勧めている。同氏は、最悪の事態を想定して、データ喪失や端末の盗難防止に必要な技術的な対策は何かを判断する必要があると話す。

　多くの専門家は、Android端末がもたらす脅威が緩和されるまでにはまだ一波乱あると見ているが、ウィーラー氏もハリソン氏もAndroidは防御可能だという。ただし、急速にAndroidが普及し、これを狙ったマルウェアが爆発的に増えている事実を踏まえて、企業はAndroid端末の保護を急ぐ必要があることを理解しなければならない。その上で、有効な使用ポリシーの策定、ユーザー教育の実施、ビジネスニーズに合わせた技術的な対策の導入を行い、脅威の状況の変化に応じて対策を講じていくことが、Androidの適切な保護に必須だ。