新たな2つのセキュリティ機能
ActiveXのセキュリティが改善されるInternet Explorer 8
IE 8には、悪質なActiveXコントロールがシステム上で悪事を働くチャンスを減らすのに役立つ2つのメカニズムが搭載される。
わたしは最近、「気になるInternet Explorer 8のWebセキュリティ機能」という記事の中で、「MicrosoftはInternet Explorer 8（以下、IE 8）開発目標の1つがセキュリティの改善だとしているが、これは二次的な目標であり、Web標準のサポートの改善に主眼が置かれている」と述べた。
また、「ドメイン強調」や「Safety Filter」といった新しいセキュリティ機能についても解説した。その時点では、Microsoftが公表していた新しいセキュリティ機能はこれだけだった。しかしMicrosoftはその後、IE 8のセキュリティ機能をさらに幾つか明らかにした。本稿では、ブラウザベースの攻撃を防止するための新機能を紹介する。
IEのセキュリティにとって最大の敵はブラウザベースの攻撃であり、Microsoftはバージョン6と7で、Webページに埋め込んだ悪質なコードを利用した攻撃に対するIEの脆弱性を修正するために大いに努力した。しかし残された課題はまだ多い。
ブラウザ攻撃でActiveXが果たす役割
この種の攻撃コードは、ActiveXコントロールを通じて配布されることが多い。ActiveXコントロールは、MicrosoftのCOM（Component Object Model）アーキテクチャをベースとするソフトウェアモジュールで、ブラウザ用プラグインとして機能するミニアプリケーションのようなものだといえる。ActiveXコントロールは基本的に、WebサイトがWindowsに直接働き掛け、標準のHTMLコードやスクリプティング手法では不可能な機能を実行することを可能にする。
残念ながら、ActiveXコントロールを完全に排除するのは現実的な選択肢ではない。それらに依存している正規のWebサイトが数多く存在するからだ。Microsoft自身もActiveXコントロールを広範に活用している。Windows Vista用のパッチやユーティリティをダウンロードする際に、ユーザーが正規ライセンス版Vistaが動作しているかを確認するために、ダウンロード元のWebサイトがチェックを行うことが多い。このライセンスチェックでもActiveXコントロールが利用されている。
しかし悪質なActiveXコントロールが非常に多く存在することが明らかになったため、MicrosoftはIE 7で、WebサイトがActiveXコントロールを利用しようとするたびに警告を表示させるようにした。問題は、ほとんどの一般のユーザーがActiveXコントロールとは何なのか、あるいはActiveXコントロールの実行を許可することでどんな結果を招く可能性があるのかを理解していないということだ。このため、IE 7は従来バージョンの場合と同類の攻撃を受けることが多い。エンドユーザーが悪質なコードの実行を許可するからだ。
ActiveXの脅威に対処するIE 8
IE 8は、悪質なActiveXコントロールがシステム上で悪事を働くチャンスが少なくなるようにデザインされている。IE 8には、この目的を達成するのに役立つ2つのメカニズムが搭載される。
1つは「Per-Site ActiveX」と呼ばれる機能。このメカニズムは、ActiveXコントロールを要求するWebサイトもあれば、そうでないサイトもあるという考え方に基づく。
例えば、あなたがMicrosoftのWebサイトにアクセスし、必要な機能を実行するために特定のActiveXコントロールをダウンロードするよう求められたとする。あなたは恐らくActiveXをダウンロードするだろう。このコントロールは正規のソースから提供されているので、それが悪質なものとは思えないからだ。しかし、悪意を持った人が自分の狙いを果たすために、良性のActiveXコントロールを利用する方法があるかもしれない。事実、悪質なWebサイトが、悪質ではない特定のActiveXコントロールの存在をチェックした上で、これらのコントロールを本来の目的とは異なる方法で利用していたという報告例は枚挙にいとまがない。
Per-Site ActiveXコントロール機能は、こうしたことが起きるチャンスを少なくする。この機能のデフォルト設定では、ActiveXコントロールは、最初にそれをインストールしたサイトによって呼び出された場合にだけ動作を許されるようになっているからだ。さらに、ActiveXコントロールの実行が許される場所を指定できるほか、システムを利用するすべてのユーザーに対してActiveXコントロールが有効になるのではなく、それをインストールしたユーザーにだけ有効になるようにActiveXコントロールをインストールすることもできる。
データ実行防止機能
もう1つのセキュリティ機能である「データ実行防止（DEP：Data Execution Prevention）」についても簡単に触れておこう。DEPは、Windows XP SP2／Vista、64ビット版Windows Vistaなどに組み込まれているセキュリティ機能で、特定タイプのコードが実行可能メモリ領域にデータを書き込むのを禁止する。IE 8は、このセキュリティ機能を利用するようデザインされている。これにより、Webサイトが実行可能メモリ領域に書き込みを試みると、ブラウザウィンドウが自動的に閉じ、プロセスが終了する。
本稿筆者のブライエン・M・ポージー氏はMCSE（マイクロソフト認定システムエンジニア）の資格を持ち、Windows Server、IISおよびExchange Serverに関する仕事でMicrosoft Most Valuable Professionalの認定を4回受けた。全米規模の病院／医療施設チェーンでCIO（最高情報責任者）を務めた経験を持つほか、フォートノックス（ケンタッキー州にある米軍施設）のネットワーク管理者を務めたこともある。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
4
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
5
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
6
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
7
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
8
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
9
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
10
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー