“ストップ”マルウェア

マルウェアの侵入を阻止する――エンドポイント編

前回のネットワーク／システム監視に引き続き、今回は、複数のマルウェア防御層の構成要素であるエンドポイント側の対策で有効なツールを見てみよう。

公開 2008年04月15日 07時30分

更新 2012年09月04日 19時04分

著者

Lenny Zeltser

[TechTarget]

印刷する

エンドポイントをマルウェアの脅威から守る

　前編「マルウェアの侵入を阻止する――システム監視編」では、マルウェア対策としてネットワーク／システム監視で役立つツールを紹介した。今回はクライアント側の対策について紹介する。

　情報セキュリティ部門が最善を尽くしても、悪質なソフトウェアがネットワークの防御をすり抜けてシステムに到達する可能性がある。特に攻撃を受けやすいのがPCだ。PCは予想もしないような方法や場所で使われることが多いからだ。ノートPCおよびデスクトップPCをロックダウン（設定などの変更を禁止）するのに役立つテクニックを以下に挙げよう。

ビヘイビアブロッキング

　ビヘイビアブロッキング機能を備えたマルウェア対策ツールを利用する。従来のシグネチャベースのウイルス対策テクニックでは、もはや十分とはいえない。有名なウイルス対策ベンダー各社が出している最近のセキュリティスイートは、ローカルにある実行可能ファイルを観察し、マルウェアに特徴的な挙動（キーストロークを監視する、レジストリの特定個所にデータを書き込もうとするなど）がないかチェックする機能を備えている。この機能は、シグネチャ検出を逃れるマルウェアを検出し、その動作を阻止するのに役立つ。しかし、こういったツールを全社的に導入するに当たっては、通常の業務活動に支障が出る恐れがないことを事前に確認しておくこと。

rootkitを警戒する

　これは決して目新しい手口ではないが、rootkitが“メインストリーム”のマルウェアになったのは、つい最近のことだ。rootkitは隠匿能力を備えているため、感染を検知するのは非常に困難だ。幸い、最近のマルウェア対策製品では、rootkitに隠されたマルウェアを検出する機能が改善されている。この機能は基本的に、異なるOSコンポーネントがシステムの状態を記述した内容の不一致を検出することによって実現される。無償のスタンドアロン型rootkitスキャナとしては、「GMER」「Microsoft RootkitRevealer」「Sophos Anti-Rootkit」などがある。

ブラウジング動作を保護する

　Webのブラウジング動作を保護することにより、ドライブバイダウンロードなどのブラウザ攻撃手法を未然に防ぐ。ブラウザを強化するには、「Sandboxie」などの無償ツールを用いてブラウザの周囲に保護サンドボックスを設けるという方法がある。低い権限でブラウザを実行する方法も効果的だ。これについては、Windows Vistaが備えるUAC（ユーザーアカウントコントロール）や、「DropMyRights」のような無償ツールが役立つ。不要なブラウザ機能／コンポーネントを無効にすることも忘れてはならない。Windowsのグループポリシーを利用すれば、Internet Explorerの利用方法をきめ細かくコントロールできる。

ワークステーションをロックダウンする

　エンドポイントのコアOSを強化する必要もある。その手段の1つが、不要なOSコンポーネントを無効にすることだ。これにはグループポリシーが非常に役に立つ。グループポリシーの「Software Restriction Policy」機能では、動作を許可するアプリケーションを制限できる。同様の機能を持つ無償のスタンドアロン型ツールとしては、Beyond Logicの「Trust-No-Exe」がある。

総合的なセキュリティプログラムが不可欠

　マルウェア対策戦略を策定するに当たっては、この増大する脅威に対する即効薬はないという認識を持たねばならない。効果的なアプローチとは、検知・予防コントロールを組み合わせて複数の防御層を確立することだ。こういった取り組みに役立つ製品（市販製品および無償ツール）は多数存在する。ただし、これらのツールは、総合的なセキュリティプログラムの一部として組み込むことによって初めて効果を発揮できるのだ。

本稿筆者のレニー・ゼルツァー氏は、ニューヨークに本社を置くSavvisでセキュリティコンサルティングの責任者を務めている。また、SANS Instituteで講師として、マルウェアのリバースエンジニアリングのコースを担当している。

印刷する