2013年01月21日 08時00分 UPDATE
特集/連載

危険でも使わざるを得ない企業のためにJavaをアンインストールせずにセキュリティを高める方法

脆弱性が相次ぎ明るみに出るJava。根本的な対策はJavaのアンインストールだが、多くの業務システムがJavaに依存する現状では、難しい選択だ。他に有効な対策はないのだろうか?

[Nick Lewis,TechTarget]

 ここ数年、ハッカーの攻撃が変化しているのは周知の事実だ。企業のネットワークやプラットフォームへの侵入が非常に難しくなったことで、ハッカーたちはアプリケーションレイヤーという“攻撃しやすいターゲット”を狙うようになってきた。しかもそこには、“うま味”のあるターゲットがたくさん転がっているのだ。

 クライアントサイドの一般的なターゲットとしては、米Adobe Systemsの「Adobe Flash Player」「Adobe Reader」が挙げられる。だがハッカーにとって格好のアプリケーションレイヤーターゲットは、Java、特にJava Runtime Environment(JRE)ではないだろうか。

 米Sun MicrosystemsからJavaを引き継いだ米Oracleは、プログラミング言語、サーバサイド環境、広範に普及したクライアントサイドJREなど、さまざまな分野でJavaのエコシステムの拡大を進めてきた。だがハッカーらの攻撃で、JREの深刻な脆弱性が次々に明らかになってきた。こうした脆弱性の大半は、WindowsやMac OSなどの標準的なプラットフォーム向けのJREにある。ただし、Javaがクライアントソフトウェア用の広範なプラットフォームで利用されていることを考えれば、JREの脆弱性がもたらす深刻な影響が十分に理解されているとは言い難いのが現状だ。

 本稿では、Javaの脆弱性の最新状況について述べるとともに、エンタープライズ環境でJavaのセキュリティを強化する方法を紹介する。

一歩前進、一歩後退

 最近では、新たに明らかになったJavaの脆弱性を修正するパッチをOracleがリリースすると、ハッカーがすぐに新たな脆弱性を見つけ出すというイタチごっこが続いている。2012年9月にも、深刻な脆弱性が発見された。これは、JREの基本的なセキュリティ機能である「Type Safety」の弱点を突いて、Javaサンドボックスを回避するというものだ。この脆弱性を利用すれば、ハッカーはシステムのセキュリティを完全に無力化できる。

 さらに問題なのは、Javaのセキュリティパッチがハッカーに新たな攻撃の機会を与えている可能性があることだ。

注目テーマ

ITmedia マーケティング新着記事

news014.jpg

認知度86.5%、言葉だけは知られている「民泊」――クロス・マーケティング調査
民泊初利用のきっかけは、口コミが27%を占めるようです。

news131.jpg

「SAS Customer Intelligence 360」が刷新
SAS Institute Japanは9、新しい「SAS Customer Intelligence 360」を発表した。

news018.jpg

イマドキ女子のスマホプライムタイムは「22時」――インテージ調べ
インテージは、15〜24歳“イマドキ”女子のスマートフォンの利用実態を調査しました。