目に見えない未知の脅威対策

ゼロデイは序の口？　ユーザーもベンダーも知らないWebからの脅威

ウイルス対策の定石だったパターン適合型の対策がウイルスの進化に追い付かなくなっている。有効な手だてはあるのか？　Webを介して侵入してくる“未知なる脅威”から企業を守るために今、できることを考えてみる。

公開 2008年12月26日 08時00分

更新 2014年07月22日 00時05分

著者

新井源杓

[トレンドマイクロ]

印刷する

　不正プログラム（マルウェア）対策について現在多くの企業が直面している1つの課題は、「未知の脅威（ウイルスなどの悪意のあるプログラムやその活動）にいかに対抗するか」であろう。その背景には、Webからの脅威（後述）による亜種ウイルスの大量発生、特定の対象を狙った攻撃の増加により、セキュリティベンダーがパターンファイルを作成するスピードが新種ウイルスの出現スピードに追い付かず、未パッチの脆弱性を狙うゼロデイ攻撃が発生するケースや、迅速にウイルス検体を入手できないケースが急増していることが挙げられる。その結果、従来のパターンマッチングのみに頼った不正プログラム対策の有効性が低下し、企業において不正プログラム対策が後手に回る状況が発生しつつある。

　本稿では企業が直面する未知の脅威ならびに既存の対策での問題点を取り上げるとともに、具体的に現在どのような対策があるのかを見ていく。

「未知の脅威」とは何なのか

　セキュリティベンダーにおいてパターンファイルを作成するスピードが新種ウイルスの出現スピードに追い付かないケースや、不正プログラムの検体を手に入れられないケースが増えてきたのはなぜだろうか？　この点を説明するには、脅威の質が変化してきたこと、そしてウイルスを作成している側の変化を理解する必要がある。

　以下に未知の脅威をタイプ別に分類し、脅威が発生することになった原因を挙げていこう。

ボット型ウイルス

　従来のウイルスは、特定の個人による売名行為などを目的に作成されていた。一度感染活動を開始すると被害が広範囲に及ぶことが多く、ウイルス対策ソフトウェアベンダーもウイルスの検体を取得しやすかった。つまり、ユーザーのセキュリティベンダーへの要望は、ウイルスを効率よく捕獲し、対応したパターンファイルを作成して提供するまでのタイミングを早めること。この時期のウイルス対策製品はパターンマッチング方式でウイルスを検出するものが主であり、実際のウイルス検体からパターンファイルを作成するパターンマッチング方式は誤検出率が低いため、信頼性も高く多くの企業で採用されていた。

　しかし2005年以降、徐々に脅威の質が変わり始める。それまでのウイルスは先述のように売名行為や愉快犯的な傾向が多く見られたのだが、この時期を境にウイルス作成者の目的が金銭や個人情報などの機密情報を効率的に盗み出すことに変化していった。また、ウイルス作成者による単独犯が減る一方で役割分担に基づいて行動する組織犯が増え、ウイルスを作成するさまざまなツールが金銭でやりとりされるようになった。

　この時期に増加したのが、亜種が多く存在する「ボット型」と呼ばれるウイルスである。クライアントPCがボット型ウイルスに一度感染すると、ボットネットワークと呼ばれるボット型ウイルスに感染したクライアントPC同士のネットワークへ参加することになる。その後はウイルスを配布した悪意あるユーザーによってロボットのように操作され、スパムメールの送信サーバとして利用されることが多い。ウイルス作成ツールを使用すれば多機能なボットウイルスを簡単に作成可能であり、大量の亜種を世界中に広めるきっかけになった。

　以下はAV-Test.orgが調査したウイルスの発生数の遷移だ（図1）。この図では2005年前後でウイルスが爆発的に増加しているのが確認できる。ウイルスの爆発的な増加により、セキュリティベンダーはパターンファイルの提供において、スピードと量が増し続けるという課題を解決しなければならなくなった。この結果、従来のパターンマッチング方式による対策では急激なウイルス数の増加に追い付かなくなり、未知の脅威というものが発生したのである。

図1●不正プログラムの急速な増加（マルウェアユニーク検体数の推移　出典：AV-Test.org 2008年調査）

Webからの脅威

　それではなぜ、セキュリティベンダーがウイルスの検体を取得しにくくなったのだろうか？　これは、ウイルス作成者の目的が売名行為や愉快犯的なものから金銭や個人情報などを効率的に盗み出すことへと変化したことと関係している。この目的の変化により、以前のように感染したことが目に見えて分かるようなタイプのウイルスは減り、感染したことを気付かせずに静かに潜伏を行い、必要な情報だけを作成者へ送信するタイプのウイルスがここ数年で多く発生したのだ。

　このタイプのウイルスの特徴としては、ウイルス作成者が用意したアクセス先から命令を受信し、自身をアップデートする機能を有している（図2）。例えば、特定の業種の企業／組織のPCへ感染活動を行った後、パターンファイル配布までの間にインターネット上から新しいファイルをダウンロードして自分自身をアップデートするか、新しいウイルスをダウンロードして起動することにより、もしウイルスの検体が捕獲されて自身が検出されたとしても、新しいウイルスを動作させて同様の行動を継続できる。

図2●Webからの脅威

　Webを介して感染するウイルスは、多くの企業でWebアクセスに使用されるHTTP（80番ポート）を利用することから「Webからの脅威」と呼ばれ、感染の連鎖を断ち切らないと永久に活動し続けることになる。代表的なのは、2008年に入って被害が急増しているSQLインジェクションによる正規サイトの改ざんを端緒とする感染活動だ。改ざんされた正規サイトを閲覧したユーザーのクライアントPCへウイルスを感染させ、その後新しいウイルスを次々と連鎖的にダウンロードさせるといったものである。ウイルス作成者は、各社のウイルス対策製品が検出できない不正プログラムをWebサイト上に格納しており、セキュリティベンダーが不正プログラムに対応するパターンファイルをリリースした時点で、Webサイト上に新たな不正プログラムをアップロード・更新することで検出を逃れるといった巧妙な手法を使うため、パターンマッチングによる対応では後手に回ってしまう。

未知の脅威にいかに対応するか

　こうして自身を進化させ続ける未知の脅威は、現行のセキュリティ対策製品では防ぎきれないのだろうか。しかし、各セキュリティベンダーは従来のパターンマッチング方式では発見できない未知の脅威に対処すべく、次に示すような対策を実装し始めている。

ルールベースのファイルスキャン
プログラムの不正な振る舞い検知
プログラムのホワイトリスト方式
不正な通信の監視
レピュテーション（評価）

　以下、現在利用可能なウイルス対策を紹介していこう。

ルールベースのファイルスキャン

　未知の脅威の説明で取り上げたボット型ウイルスの大部分は、通常使用しないような自動実行型圧縮ファイル形式を使用して亜種を大量に作成し、検出を逃れようとする。パターンマッチング方式では亜種に関しても1つずつパターンファイルを作成しなければならないので、亜種が大量に発生すれば必然的にパターンファイル作成までの時間も長くなってしまう。そこで、パターンマッチング方式を使用しつつ、ルールベースのファイルスキャンを併用する方法がある。ルールベースとは、プログラムの動きを解析し、登録したルールと照合する方式で、ウイルスが持つ典型的な特徴を検知することが可能だ。例えば、ボット型が利用する、通常使用しないような自動実行型圧縮ファイル形式のみを判定するようにして、ウイルスの可能性が高いと警告するといった対策が挙げられる。本機能はセキュリティベンダーの多くが既に製品への実装を行っており、追加コスト無しで導入可能な場合がほとんどである。

プログラムの不正な振る舞い検知

　プログラムの「不審な挙動」を検知する仕組みを利用すれば、未知のウイルスに感染した場合でも、クライアントPC内のプログラムの挙動によりウイルス感染の可能性を判定することが可能となる。例えば、クライアントPCから大量のメール送信・共有フォルダへの無差別なファイルコピーなどの活動が確認された場合、ルールに基づいて挙動を停止させるようなことができる。これは「不特定多数のあて先に100通のメールを送信しようとした」などのルールをあらかじめウイルス対策製品側が用意していることで実現している。これは、セキュリティベンダーによっては「ヒューリスティック検知」という表現で提供されている場合もある。ユーザー企業が振る舞い検知機能を導入するに当たっては、PCの利用スタイルによって運用前に一定期間を設けてテスト利用し、ルールを設計することが必要な場合もある。

プログラムのホワイトリスト方式

　ウイルスはプログラムであり、実行されなければ大きな被害にはつながらないことも多い。ホワイトリスト方式は、管理者が許可していないウイルスのようなプログラムの実行を禁止することで、ウイルス感染を予防しようという機能だ。本機能を運用する場合、自社で使用しているアプリケーションをすべて登録するための洗い出し作業が長期にわたることもあり、一般に導入のハードルは高いとされている。しかし、多くのセキュリティベンダーが既に製品への実装を始めており、追加コスト無しで導入可能な場合がほとんどだ。先のプログラムの振る舞い検知機能とセットで提供する製品もあり、パターンファイルに頼らないウイルス対策として有効である。

不正な通信の監視

・ネットワークウイルスの検知

　この機能は、感染活動にOSやアプリケーションの脆弱性を利用するネットワークウイルスに対して効果を発揮する。ネットワークウイルスは亜種などが発生したとしても、攻撃に使用するコードが同一であることが多い。この場合、パターンファイルがウイルス自体に未対応の状況であっても、感染活動はネットワークを利用した最初の攻撃から開始されるので、攻撃コードを検知しブロックすることでウイルスの感染を防ぐことが可能である（※）。

※　検知対象の攻撃コードの内容は、OSやアプリケーションの脆弱性が公表された場合、その時点で脆弱性を突くネットワークウイルスが存在しなくても、未知の脅威に対応するために随時アップデートされることがある。

　ネットワークウイルス検知機能は、ウイルス対策ソフトウェアのファイアウォール機能、もしくはネットワーク機器の一機能として提供されている。この際、クライアントの場合は追加ライセンス費用、ネットワーク機器の場合はハードウェアの追加費用が必要になる。また、本機能はIPS（不正侵入防御システム）の機能として利用可能な場合もあるが、IPSはあくまでシステム上の脆弱性に対する攻撃の検知とブロックを行うものだ。ネットワークウイルスによっては脆弱性に対する攻撃コードをカスタマイズしていることがあるため、導入に当たってはこの点に注意したい。ネットワークウイルス対策目的で導入する場合は攻撃コード主体のパターンではなく、ネットワークウイルスを解析したパターンファイルが使用できる製品を選ぶことをお勧めする。

・ネットワーク上の疑わしい振る舞い検知

　最新のウイルス対策製品の中には、ネットワーク上での振る舞いから未知のウイルスに感染しているかどうかを判断する製品もある。ネットワークウイルス検知では脆弱性を攻撃するコードを検知するのに対して、こちらはネットワーク上の「疑わしい通信」を検知する。具体的にはどのようなものか、振る舞い検知を使用した場合と使用しない場合の例で示す（図3）。

図3●振る舞い検知を使う場合と使わない場合の比較
	内容
振る舞い検知を行わない場合のログ	・インターネット上のWebサーバへの名前解決をDNSで行った・Webサイトへアクセスを行っている・上記のサイトからファイルをダウンロードしている・定期的に同じインターネット上のサーバと通信を行っている・ほかのサイトへもHTTPでアクセスしている
振る舞い検知を行った場合のログ	・ウイルス作成者が使用しているWebサーバへの名前解決をDNSで行った・通常アクセスしないような（Webページが存在しない）Webサイトへアクセスを行っている・上記のサイトから自動実行型圧縮ファイル形式のファイルをダウンロードしている・定期的に上記のサーバと通信を行っている・ほかのウイルス作成者のサイトへもHTTPでアクセスしている

振る舞い検知を使う場合と使わない場合《クリックで拡大》

　振る舞い検知を使用しない場合、通常のプロキシサーバのアクセスログを見たとしても、1つひとつは通常のWebアクセスのログにしか見えない。これに対して、ウイルスの挙動を基に検出する振る舞い検知を行うと、通信の中に埋もれている疑わしい挙動を発見することが可能だ。この機能は、セキュリティベンダーが蓄積するナレッジや経験を基に実現されている。具体的には、ウイルスの振る舞いをルールベースのパターンとして作成し、さらには上記の例で示したように刻々と変化する不正なWebサイトの情報などを判定基準に使用している。IDS（不正侵入検知システム）／IPSに類似する機能も存在するが、判定基準に関しては特にウイルスの情報に特化することで、IDS／IPSでは検出できないウイルス独自の振る舞いの検出を可能にしている。

　本機能はウイルス対策ソフトウェアベンダーから独立のアプライアンス製品として、通常は専門の解析センターがログを分析してリポートするサービス（後述）とのセットで提供される。利用に当たっては、アプライアンス製品の価格と年間のサービス料金が追加コストとして必要になる。アプライアンス製品だけを購入して運用する場合は、ウイルスに関するハイレベルな知識が求められることがあるので注意が必要だ。

レピュテーション

　最近有望視されているレピュテーション（評価）技術には大まかに3つの方式（Web、メール、ファイル）があるが、いずれもウイルス対策ソフトベンダーがデータセンターで運営する評価サーバへ問い合わせを行うことで実現する。ここでは、特に未知の脅威の感染をブロックする上で効果的な技術である2つのレピュテーションについて説明する。

・Webレピュテーション

　Webレピュテーションでは、ウイルスの感染源になる可能性のあるWebサイトのドメインのレピュテーション（評価）を参照し、接続を制御する。ユーザーが接続しようとするサイトのドメインの評価をリアルタイムで行い、疑わしいドメインを見つけると評価サーバ側で情報をアップデートするため、ユーザー側のパターンファイルで見つけられないウイルスをダウンロードする前に接続をブロックすることができる。また、未知の脅威に感染した場合でも、ウイルスが自身をアップデートしようとWebアクセスした時点で接続をブロックし、感染の連鎖を断ち切る効果が期待できる。本機能はサービスとして提供されているので、追加でライセンス契約が必要になる。

・ファイルレピュテーション

　取得したファイルの情報を評価サーバに問い合わせ、最新の情報と比較することでウイルスをブロックする仕組みがファイルレピュテーションである（図4）。ファイルレピュテーションを使用すると、パターンファイルのアップデートが間に合わない状態でもリアルタイムに評価サーバへ問い合わせが可能なため、最新の脅威に対応できるようになる。本機能はサービス提供されている場合と、製品に組み込まれている場合がある。また、ウイルス対策ソフトウェアベンダーが将来的にパターンマッチング方式に替わるものとして採用する可能性もある。

図4●ファイルレピュテーション

総合的なサービスによる脅威対策強化の動きも

　今後、各セキュリティベンダーは未知の脅威対策としてクラウド型のレピュテーションサービスにさらに注力しながら市場に製品を投入してくることが予想される。なぜなら、パターンファイルの増大とアップデートにおけるタイムラグが解消され、ユーザーがリアルタイムに更新される情報を利用するようになれば、感染元を断ち切る効果が期待できるからだ。また、社内のウイルス感染などを監視するリポートサービスなどを開始するウイルス対策ベンダーもあり、これまでユーザー側では教育が難しかったウイルスに関する知識を、契約した専門の解析センターと共有することが可能になっている。

　本稿では未知の脅威対策としてさまざまな技術を説明したが、対策を検討する前に現在使用している製品で同様の機能がないか、まずはチェックしていただきたい。セキュリティ対策ソフトウェアなどを古いバージョンのまま使い続け、新しい脅威への対策ができていないユーザーはまだ多い。もし新機能にどれくらいの効果が見込めるかを知りたい場合は、短期的にウイルス対策ソフトウェアベンダーが提供するリポーティングサービスを利用してみるといい。実際に社内で発生している脅威を基に、そこから導入効果を算出してくれるだろう。未知の脅威への対策は、従来の製品の機能だけでは不十分である。こうして最新のソリューションの導入を検討している間にも未知の不正プログラムに感染するリスクは高まっているのだ。