物理的対処法もアリ

USBメモリの脅威を食い止める2つの方法

USBメモリはネットワークに対する最大の内部的脅威の1つだ。USBメモリがもたらすセキュリティの懸念に対処するための2つの基本的手段を紹介する。

公開 2008年05月26日 07時30分

更新 2012年09月06日 13時03分

著者

Brien Posey

[TechTarget]

印刷する

　企業におけるセキュリティ違反の大多数は、信頼されている従業員によって犯されている。それ故、自社のネットワーク内部のセキュリティを厳しくチェックすることが極めて重要だ。ネットワークに対する最大の内部的脅威の1つがUSBメモリの使用だ。USBメモリは、ネットワークから大量のデータを盗むのに利用できる。ユーザーがアクセスできるものなら何でもUSBストレージにコピーできるからだ。

　ユーザーがUSBメモリのようなリムーバブルストレージにデータをコピーすることによるリスクは以前から問題視されているが、USBメモリは独自の難問を突きつけている。例えば、何年か前であればユーザーがデータを盗もうと思った場合、それを実行するための主要な手段はフロッピーディスクを用いることであった。しかし、フロッピーディスクはデータの読み書きが遅く、容量も非常に少ないため、ユーザーが盗めるデータ量は極めて限られていた。

　これに対し、USBメモリははるかに高速で、大量のデータを保存できる。シンプルなUSBメモリでも何Gバイトものデータを保存することができ、容量はほぼ無制限だ。それに、USBメモリは安価で小型なので、隠して持ち出すのも簡単である。

　USBメモリをめぐるもう1つの問題は、企業のコンピュータにアプリケーションをインストールするのにも利用できることだ。わたしは、ユーザーがインストールディスクをUSBメモリにコピーした上で、それを使って職場のPCにアプリケーションをインストールしたというケースを何件か知っている。

　許可されていないアプリケーションをユーザーがインストールした場合、さまざまな問題が起きる可能性がある。例えば、そのアプリケーションがウイルスやマルウェアに感染しているかもしれない。また、そのアプリケーションが正規のアプリケーションに干渉したりWindowsの安定性に影響を及ぼしたりする結果、サポートコールが増えることもあるだろう。

　許可されていないアプリケーションに関して見過ごされがちな点の1つに、業務で使用するすべてのアプリケーションに対して企業はソフトウェアライセンスを管理しなければならないという点がある。ユーザーが未許可のアプリケーションをインストールしないよう制限する必要がある。

　このように、USBメモリの野放図な利用は数々の問題を引き起こす恐れがある。幸いにも、この問題に対処する方法は幾つか存在する。これらのソリューションはどれも単独では完ぺきではないが、さまざまな手法を組み合わせれば、USBメモリの使用を効果的に制限できる。本稿では、USBメモリがもたらすセキュリティの懸念に対処するための2つの基本的手段を紹介する。

原始的なアプローチ

　USBメモリの使用を制限するための手段として、最も古い、そして最も効果的なテクニックの1つが、PCのUSBポートをエポキシ接着剤でふさいでしまうことである。これでユーザーはUSBメモリを自分のワークステーションに接続することが物理的に不可能になる。

　このアプローチは極めて有効だが、問題もある。多くの企業では、クライアントPCにCD／DVDドライブが搭載されていない。これはコストを削減するとともに、ユーザーが許可されていないソフトウェアをインストールするチャンスを少なくするためである。しかし、ヘルプデスクのスタッフは、Windowsを再インストールしたりアプリケーションの問題を修正したりするためにCDまたはDVDを使用しなければならないことが多い。その場合、ヘルプデスクのスタッフは、マシンのUSBポートに接続するポータブル型CDまたはDVDドライブを利用するのが一般的だ。USBポートがふさがれていると、それができなくなる。

　ヘルプデスクのスタッフにとっては、IDEベースのドライブを一時的に組み込むという方法もあるが、PCのケースを開ける必要があるので非常に時間がかかる作業となる。一般に、ポータブル型ドライブをUSBポートに接続する方がはるかに効率的だ。

　コンピュータのUSBポートをエポキシ接着剤でふさぐことに対する最大の批判の1つは、そうすることによって一般にシステムの保証が無効になるというものだ。また、エポキシ接着剤が完全に乾かないうちに技術者がPCの電源を入れた結果、マザーボードが損傷したという話を聞いたこともある（真偽のほどは定かではないが）。

BIOSレベルでブロック

　USBストレージの利用を禁止するために、BIOSレベルでPCのUSBポートを無効にするというのも一般的なテクニックだ。これは、ポートをエポキシ接着剤でふさいでしまうほど徹底した方法ではない。サポート技術者がポートを使用する必要が生じた場合には、再び有効にできるからだ。

　このテクニックはかなり実用的だが、大きな欠点が2つある。まず、すべてのシステムがUSBポートを無効にする機能を備えているわけではない。もう1つの欠点は、USBポートの無効化はオール・オア・ナッシングの手法だということだ。つまり、無効にするとしたら、すべてのポートを無効にするしかない。システムのUSBポートを無効にすれば、USBストレージの不正な使用を防止できるが、それによって正規のUSBベースのキーボードやマウス、プリンタも使えなくなるのだ。

　次回は、グループポリシーを用いてUSBストレージの使用を禁止する方法について説明する。

本稿筆のブライエン・M・ポージー氏はMCSE（マイクロソフト認定システムエンジニア）の資格を持ち、Windows 2000 ServerおよびIISに関する仕事でMicrosoft Most Valuable Professionalの認定を受けた。全米規模の病院チェーンでCIO（最高情報責任者）を務めた経験を持つほか、フォートノックス（ケンタッキー州にある米軍施設）のITセキュリティを担当したこともある。

印刷する