ポリモーフィズムは、多くのセキュリティ学術研究員が「動く標的の防御」と呼んで長きにわたって研究してきたものであり、それに新しい表現を付けただけというのが実際のところだ。米アリゾナ州で2014年11月に開催されたカンファレンス「Association of Computing Machinery（ACM）」では、こうした防御を実装する多くの方法が取り上げられた。例えば、ゲーム理論や他の高度なアルゴリズムだ。ある学術論文では、この実装について詳しく取り上げられている。

　こうした研究プロジェクトは、新しいセキュリティ製品の誕生によって次の段階へ移行している。米JumpSoft、イスラエルMorphisec Technologies、米Shape Security、イスラエルCyActiveといったベンダーが関連製品を提供している。これらの製品はいわば“初期段階”ではあるものの、実現しようとしていることは理解できるし、この分野が急速に進化していることは伝わってくる。

　インターネットでやりとりされる資産の防御が複雑になっているのは、紛れもない事実だ。セキュリティ研究者のドュドュ・ミムラン氏は自身のブログで、「デジタルギャップ」の広がりに関する記事を投稿している。「セキュリティツールは、ITインフラと同じペースで進化を遂げていなかった。（中略）ポリモーフィックな防御は、攻撃対象に関する予備知識の基盤を弱体化させ、攻撃されにくくすることを目的としている」

　これは、多くの攻撃者が特定のOSや端末、アプリケーションに関する知識に基づき、脆弱性を標的に攻撃していることに起因する。システムを特定しにくくすれば、システムは攻撃を受けにくくなる。その結果、オンラインのセキュリティが強化される。ミムラン氏はMorphisecで最高技術責任者（CTO）を務めており、同社は近々最初の製品を発表する予定だ。

Shape SecurityのShapeShifter（出典：Shape Securityの製品紹介ページ）《クリックで拡大》

　Shape Securityは同社の製品「ShapeShifter」を“最初のボットウォール”だとアピールする。ShapeShifterは、クライアントWebサーバへのユーザーインタフェースを保護するアプライアンスとして設計されている。Shape SecurityのWebサイトには次のような記載がある。「ポリモーフィズムを使用すると、コードの機能を維持しながら、その表記を変化させることができる。例えば、簡略化されたログインフォームの一部の属性をランダムな文字列に置き換えると、オリジナルと全く同じように描画するようプログラムされたマルウェアやボットなどの攻撃を遮断できる」

　このポリモーフィックな防御によって、ユーザー企業は分散型サービス拒否（DDoS）攻撃、マンインザブラウザ（MITB）攻撃、アカウントの乗っ取り攻撃のブロックが可能になる。アプライアンスはロードバランサの背後に配置される。アプライアンスにトラフィックを配信する幾つかのシンプルなファイアウォールの規則を使用すれば、ShapeShifterを稼働できる。

　これまで、IPアドレスなどの制限を設けてログイン試行を防ぐといった方法で、多くのWebサイトが保護されてきた。だがマルウェアを操作する攻撃者は、こうした制限を回避できる。その方法は、盗んだログイン情報が格納された巨大なデータベースを使用し、膨大な数のIPアドレスから実行されている広範囲に分散されたボットネットを使用して、ログイン情報を挿入することだ。

　過去にログインの保護に一般的に使用されていたもう1つの方法は、テキスト入力などで生身の人間の操作であることを認証する「CAPTCHA」だ。だがCAPTCHAを通過する方法が多数開発されたこともあり、CAPTCHAの人気は低下している。

　Shape Securityのアプライアンスは、保護対象のWebサイトのベースとなるコードを動的に変更する。不正ログインに悪用されるスクリプトの効力をなくすために、Webページが閲覧されるたびにコードを変更する。

　「このアプローチが素晴らしいのは、アーキテクチャを常時かつ瞬時に変更できることにある。その結果、当て推量が格段に難しくなる。ポリモーフィズムを導入すると、攻撃者は保護対象の領域に対して、再利用可能な攻撃を企てることができなくなる」と、ミムラン氏は自身のブログ記事で述べる。

　全てのポリモーフィックな防御には、次の4つの特性が共通に備わっているとミムラン氏は言う。

• ホストに対する動的な変化を制御する何らかの信頼できるソースがある
• 一般的な攻撃パターンでは簡単に特定できない手段を用意し、攻撃に対して高い回復力がある
• 外部のユーザーやプログラムが簡単に特定できない方法で、内部のコードの変更が可能
• コードを強化し、リバースエンジニアリングを困難にする

　CyActiveは、生物学に基づいたアルゴリズムをデータのトレーニングに使用して、将来のマルウェアの変種を特定して食い止める賢い検出ツールを実現している。米PayPalが最近CyActiveのテクノロジーを買収したことは、この市場分野が重要になっていることの現われだ。

　JumpSoftは自社開発のソフトウェア管理プラットフォーム「JumpCenter」を提供しており、無料トライアル版も用意する。全7レイヤーのアプリケーションを保護できると同社は主張する。

　このポリモーフィックな防御が、さらに洗練された攻撃に対して脆弱かどうかは現時点では不明である。だがこれで曲がりなりにも“相打ち”という状況になり、悪者がやっと報復を受けるようになる。