Webブラウザは近年、どのような攻撃を受けているのだろうか。攻撃は基本的に、その対象に基づいて3種類に大別できる。攻撃の対象となるのは「OS」「Webブラウザ」「ネットワーク通信」だ。

　OSを攻撃するマルウェアは通常、OSのカーネル部やコンポーネントを直接変更したり、既知のセキュリティ脆弱性（バッファオーバーフローなど）を悪用したり、OSのバックグラウンドプロセスにマルウェア自体を挿入したりする。

　マルウェアは、CPUの特権モード（無制限モード）を獲得することで機能しようとする。このモードで実行すると、マルウェアはメモリや全てのアプリケーションの処理に影響を及ぼせるようになる。攻撃が成功すると、マルウェアはWebブラウザのメモリ領域にあるデータの読み取りや変更を行うことが可能になる。つまり、Webブラウザとそのアクティビティはマルウェアに公開されたも同然だ。

　Webブラウザとコンポーネントは、マルウェアまたは悪意のあるアクティビティによって直接攻撃を受ける可能性がある。攻撃の対象となるのは、Webブラウザの実行可能ファイル、コンポーネント（米Oracleの「Java」など）、プラグイン（Microsoftの「ActiveX」など）だ。攻撃が成功すると、Webブラウザのアクティビティと通信は攻撃者にさらされることになる。どのアプローチでも一般的な手法が使用されている。具体的には、ユーザーを悪意のあるWebサイトにリダイレクトしたり、メールでHTMLドキュメントを送信したりする手法だ。このようなWebサイトにアクセスしたり、HTMLドキュメントを開くだけで、マルウェアがインストールされる可能性がある。

　Webブラウザのネットワーク通信は傍受される恐れがある。パケットはPCから送信された後に変更またはリダイレクトされるかもしれない。このような処理は、ネットワークパケット監視ツールによって行われる。ただし、このツールを使うためには高度な知識と技術が必要になる。そのため、この類の攻撃が行われることはまれである。

IEに対する攻撃に見られる傾向

　このような種類の攻撃は、IEを標的とした場合にどのような形態を取るのだろうか。「Windows」とIEに関しては「Patch Tuesday」（米国時間の毎月第2火曜日にリリースされるMicrosoftの定例パッチ）ごとに新しい修正プログラムが提供され、調整が行われているように見えるかもしれない。だが、Microsoftの複雑なコードベースに攻撃を加えているハッカーに対抗するには定期的な更新が不可欠だ。IEのセキュリティ更新プログラムでは通常、5種類の脆弱性に対処する。

分散型サービス拒否攻撃（DDoS）

　DDoS攻撃は、コンピュータやネットワークノードを利用不能にすることを目的としている。DDoS攻撃は外部から仕掛けることができる。例えば、ネットワークサーバに膨大な量の偽のリクエストを送信することで、サーバが正当なリクエストに応答不能にすることが可能だ。

　IEの場合、DDoS攻撃は悪意のあるコードを実行するようにデザインされた悪意のあるWebサイトから行われるのが一般的だ。悪意のあるコードは、Webブラウザのコードの脆弱性を利用する。例えば、バッファーオーバーフローだ。バッファーオーバーフローが発生すると、サーバがディスク領域を使い果たしたり、メモリやCPUリソースが枯渇する状態を引き起こす。この攻撃では、コンピュータのリソースを徐々に奪う。その結果、IEが機能しなくなる。

　DDoS攻撃は、IEを狙うハッカーにとって最も広範に行うことができる一般的な手法だ。そのため、Microsoftが提供する修正プログラムの大半は、このような攻撃を回避することを目的としている。複数バージョンのIEを対象とした修正が行われることも少なくない。例えば、Microsoftが公開したセキュリティ情報「MS14-056」では、報告された14件の脆弱性に対応している。対象バージョンは「IE 6」から「IE 11」までである。

バイパス攻撃

　バイパス攻撃は、Webブラウザのセキュリティ機能を突破／回避して、攻撃者がシステムに対してより多くの権限を獲得できるようにすることを目的としている。攻撃者がユーザーと同等の権限を得る場合もある。このような権限を獲得すると、攻撃者はファイルの確認やダウンロードなど、システムに対して悪意のある操作を実行できるようになる。

　通常、IEに対するバイパス攻撃は、脆弱性を利用するコードを呼び出す悪意のあるWebサイト経由で行われる。例えば、「MS14-057」では、バイパス攻撃の欠陥を1つ修正している。この欠陥では、IE 6からIE 11までのアドレス領域のレイアウトをランダム化する保護メカニズムが公開されていた。

権限昇格攻撃

　権限昇格攻撃は、WindowsやIEのバグ、欠陥、脆弱な構成を悪用して、通常保護／予約されているコンピュータのリソースにアクセスすることを目的としている。攻撃者が昇格された権限を獲得すると、ソフトウェア（攻撃者）はコンピュータに対して未確認の望ましくない操作を行うことが可能になる。例えば、ファイルの削除、個人情報へのアクセス、マルウェアのインストールなどだ。

　さらに、「MS14-051」では報告された25件の脆弱性に対応している。そのうち1件は権限昇格に関する脆弱性に関する修正だ。対象バージョンは「IE 7」からIE 11までである。権限昇格攻撃は、一般的に悪意のあるWebサイト経由で行われる。

情報攻撃

　情報攻撃は権限昇格攻撃の一種だ。情報攻撃では、攻撃対象システム上のデータを公開するようにデザインされた悪意のあるWebサイトのコードを呼び出す。例えば、「MS14-035」では、報告された58件の脆弱性に対応している。対象バージョンはIE 8からIE 11までである。また、攻撃者が悪意のあるWebサイト経由でローカルシステム上のファイルを読み取れるIE 10とIE 11の脆弱性が1つ修正されている。

実行コード攻撃

　IEに対する攻撃が成功すると、悪意のあるWebサイトは、攻撃対象のシステムでJavaScriptなどの実行可能コードを実行できるようになる。このようなコードを実行することで、データを公開したり、Webブラウザの”サンドボックス”モードを回避して、攻撃者がより強力な権限を手に入れたり、必要以上のデータにアクセスすることが可能になる。例えば、MS14-035では複数の実行可能コードの脆弱性が修正されている。対象バージョンはIE 6からIE 11までである。

リスクを最小限に抑えるヒント

　Webブラウザのセキュリティリスクを最小限に抑えるためにユーザーができることは何だろうか。Webブラウザのセキュリティを維持する上で最も重要な手段は、MicrosoftのPatch Tuesdayを最大限に活用することだ。そして、WindowsとIEのセキュリティ修正プログラムをできる限り迅速に適用することだろう。重要な修正プログラムの適用を先延ばしにするほど、マルウェアと悪意のあるWebサイトが大惨事を引き起こす恐れのある期間が長くなる。ゼロデイ攻撃は珍しいことではなくなっている。

　この対策を個々のユーザーが行うのに必要な作業は、更新プログラムを自動的にダウンロードしてインストールするようWindows Updateを設定することだ。企業環境では、ユーザーが個々に更新プログラムを適用することを禁止している場合もあるだろう。そのような場合は、「Windows Server Update Services」を利用して、LAN全体のコンピュータに対して一元的に更新プログラムの適用を適時行っているだろう。IEの更新プログラムを定期的に適用するのが現実的な選択肢でない場合は、米Googleの「Chrome」など別のブラウザの使用を検討されたい。

　また、バックグラウンドで実行するマルウェア対策ソフトウェアは質の高いものを導入することをお勧めする。新しいツールであれば、最新のマルウェア定義ファイルに基づいてファイルを常時スキャンしている。また、ネットワークの受信トラフィックのパターンを監視して、他の種類の攻撃について警告を表示することもできる。侵入検出が、その一例だ。マルウェア対策ソフトウェアは、最新のマルウェア定義ファイルを利用している。そのため、システムのスキャンを実行する前にマルウェア定義ファイルが更新されていることが重要である。

　リスクを最小化する手法の導入も検討されたい。例えば、Javaスクリプトを無効にしたり、ActiveXや米Adobe Systemsの「Adobe Flash」など不要なプラグインを無効にしたりするなどだ。このようなコンポーネントを無効にすると、一部のWebサイトで享受している操作性は大幅に低下するだろう。だが、Javaやプラグインに依存している一般的な攻撃を防ぐことができる。

　また、最小権限しか持たない（管理者権限を持たない）ユーザーアカウントでWebブラウザを使用するという手法もある。高い権限を持たないアカウントを使用すると、権限昇格攻撃の可能性を大幅に制限できる。

　更新プログラムとセキュリティの脅威は1990年代のインターネットの普及により爆発的に増加した。現在、企業と個人ユーザーはビジネス上の重要なタスクを行うためにインターネットを使用している。そのため、セキュリティの脅威は、以前より深刻なものになっている。今日の攻撃は迷惑であるだけではない。長期にわたる財政的かつ法的に深刻なダメージをもたらす可能性もある。そのため、セキュリティに対するユーザーの意識は重要になっている。

　どれだけ更新プログラムを適用して構成を制御しても、ユーザーがメールに添付されたHTMLファイルを不用意に開いたり、疑わしいWebサイトにアクセスしたりする行為を止めることはできない。このような行為により、企業は攻撃を受けやすい状態になる。ユーザーによるWebサイトの閲覧は、企業の設定と個人の設定における堅牢なセキュリティ体制を補完するものでなければならない。