仮想解析ラボの構築とそのポイント

マルウェア解析に威力を発揮するVMware

マルウェアがファイルシステムやレジストリ、ネットワークに、どのような作用を及ぼすかを観察するには、VMwareのような仮想化ソフトウェアでラボ環境を作るのが手軽だ。

公開 2007年07月30日 05時30分

更新 2012年09月04日 19時35分

著者

Lenny Zeltser

[TechTarget]

印刷する

　マルウェア解析の専門家でなくても、自分のマシンに侵入しようとしてきた未知の悪意ある実行可能コードについて、正体を突き止めてやろうと思うことがあるかもしれない。挙動解析により、その代物がファイルシステムやレジストリやネットワークに、どのような作用を及ぼすかを観察することから調査を始めると、すぐに有益な成果が得られる。VMwareのような仮想化ソフトウェアは、このプロセスに実に役立つ。

VMwareを使ったマルウェア解析のメリット

　VMwareを使えば、1台の物理システム上で同時に複数のコンピュータを稼働させ、マルウェアの挙動をシミュレートできる。マルウェアの挙動解析のためのこのアプローチには、複数の別個の物理インフラ要素を使ってラボ環境を作る方法と比べて、幾つかのメリットがある。

解析用のラボ環境では、インターネットをシミュレートしたネットワークのさまざまな要素にマルウェアが作用を及ぼすことができるように、複数のシステムを用意しておくことが有益な場合が多い。VMwareでは、大量の物理マシンがなくても、多数の要素を持つラボ環境を構築できる
マルウェアが感染する前のシステム状態のスナップショットを作成し、解析期間を通じて定期的にスナップショットを作成できれば、時間の節約になる。スナップショットにより、システムをほぼ瞬時に目的の状態に簡単に戻せるからだ。VMwareはこのスナップショット機能を備えており、便利だ。商用製品のVMware Workstationでは、複数のスナップショットを作成できる。無料のVMware Serverではスナップショットを1つだけ作成でき、無料のVMware Playerでは作成できない
VMwareのホストオンリーモードのネットワーキングオプションは、ハードウェアを追加することなく、シミュレートされたネットワークを使って、仮想システムを相互接続できるという点で便利だ。また、このオプションのおかげで、アナリストにとって、ラボ環境を実運用ネットワークに接続するという選択肢は、ほとんど不要になる。ホストオンリーネットワークでは、どの仮想システムも、プロミスキャスモードで動作させれば、シミュレートされたネットワーク上のすべてのトラフィックを見ることができる。このため、ネットワークに対するマルウェアの作用を簡単に監視できる

VMwareを使ったマルウェア解析の開始

　VMwareベースの解析用ラボ環境は、簡単に準備できる。物理ホストとして必要なのは、大量のRAMとディスク容量を備えたシステムだ。必要なソフトウェアは、VMware WorkstationまたはVMware Serverと、ラボ環境に展開するOSのインストールメディアだ。

　VMwareはコンピュータのハードウェアをエミュレートするため、VMwareの新しいVirtual Machine Wizardを使って作成された仮想ホストごとにOSをインストールしなければならない。OSをセットアップしたら、VMware Toolsパッケージをインストールする。これは、システムをVMware上での動作に最適化するものだ。次に、マルウェア解析ソフトウェアをインストールする。

　ラボ環境には、マルウェアの標的になりそうなさまざまなOSをインストールした仮想マシンを用意することをお勧めする。そうすることで、悪意あるプログラムをネイティブ環境で観察できる。VMware Workstationを使っている場合は、セキュリティ更新プログラムのインストールプロセスのさまざまなタイミングで、仮想システムのスナップショットを作成し、目的のパッチレベルでマルウェアを解析する。

実運用システムを安全に保つ

　マルウェアを扱う際は、実運用システムに感染しないように予防策を講じる必要がある。感染が発生する可能性があるのは、マルウェアの扱い方が不適切な場合や、マルウェアがVMwareの弱点を突いて、そのサンドボックスを回避する場合だ。VMwareに関しては、理論上、悪意あるコードが仮想システムから物理ホストに侵入することを可能にしてしまう恐れのある、幾つかの脆弱性が公表されている。

　こうしたリスクを軽減する方法としては、以下のようなものがある。

VMwareに常に最新のセキュリティパッチを適用する
VMwareベースのラボ環境で物理ホストとして使うシステムは、ほかの目的に使わない
ラボ環境の物理システムを実運用ネットワークに接続しない
物理ホストをファイル整合性チェッカーなど、ホストベースの侵入検知システム（IDS）ソフトウェアで監視する
Norton Ghostなどのクローニングソフトウェアを使って、定期的に物理ホストのイメージを再作成する。この方法では時間がかかり過ぎる場合は、Core Restoreなどのハードウェアモジュールを利用して、システム状態の変更を元に戻すという手がある

　VMwareをマルウェア解析に利用する場合の問題点の1つは、悪意あるコードが、自身が仮想システム上で動作しているかどうかを認識できることだ。そのため、悪意あるコードは、自身が解析されていることを知ることができる。これらのコードからこの機能を除去できない場合は、VMwareを再構成して、仮想システムを仮想システムとして認識されにくくすることもできる。トム・リストン氏とエド・スコーディス氏は昨年、VMwareの.vmxファイル（設定ファイル）にその目的のために追加すべき幾つかの設定記述を、解説とともに公開した（PDF）。これらの設定の最大の難点は、仮想システムのパフォーマンス低下を招く恐れがあることだ。また、これらの設定はVMwareによってサポートされていないことにも注意する必要がある。