オーロラ作戦の背景

　オーロラ攻撃について伝えられている技術的詳細と、どうすれば攻撃を食い止めることができたかを振り返ってみよう。Googleの報告によると、2009年12月半ばのオーロラ作戦攻撃では、同社のほか少なくとも20社の大企業が標的にされた。知的財産が盗まれたこの攻撃は、中国の人権活動家のGmailアカウントを狙ったものだとGoogleは見ている。

　オーロラ作戦攻撃の後に公表されたリポートによると、IEのゼロデイの脆弱性とその悪用コードが未知のマルウェアと組み合わせて使われた。狙った相手の知名度の高さと事件が広く報じられたことにかんがみて、この攻撃は仕掛けた側の成功と見なされている。巧妙な手口を、一般的なゼロデイ攻撃や未知のマルウェアと組み合わせた点でも成功だった。攻撃元は、後に中国と断定されたが、ネットワークトラフィックに複数層の暗号化を施して、うまく攻撃の検出を免れていた。

攻撃の手段

　IEのゼロデイ脆弱性とその悪用コード自体は最先端の攻撃とはいえないが、攻撃者はこれでコンピュータシステムを完全に制御できる（そして実際、オーロラ作戦ではそうなった）。ただし攻撃を成功するためには、ログインしたユーザーが高いアクセス権限を持っているか、攻撃者が脆弱性を突いて権限を昇格する必要がある。

　ログインしたユーザーのアクセス権限しか持たない状況でマルウェアがシステムに感染することもあるが、この場合、システムを制御するのはかなり難しい。多くの組織は必要もないのに全ユーザーに管理者レベルの権限を与えており、ユーザーはアプリケーションのインストールや設定変更などの作業が無制限にできる。だが攻撃者が昇格した権限でシステムに侵入すれば、こうした権限の悪用を妨げるものは何もない。ユーザーに必要な権限しか与えなければ、攻撃が成功したとしても被害は広がりにくくなる。

　未知のマルウェアは攻撃手段としてかなり一般的であり、一般的な犯罪者が当座の金銭目当てで利用することも多い。オーロラ作戦攻撃の場合は、攻撃者が名高いアカウントにアクセスした。オーロラ攻撃に当座の金銭狙いの動機があったのかは不明だが、長期的に見ると重要情報へのアクセスは、少なく見積もっても偵察の手口として価値がある。

オーロラ型の攻撃を防ぐために

　こうした攻撃の手口が厄介なのは確かだが、それを防いで同様の攻撃を成功させない手段は多数ある。手始めに、自社の環境で受容できるリスクのレベル、多層防御のセキュリティコントロールを実装できる数、ターゲットの価値に応じた代替WebブラウザやOSを使えば、IEのゼロデイ攻撃は防止できる。ただしMicrosoft以外のソフトウェアはより複雑で、管理に時間がかかる（そして結果的に高くつく）こともある。自社の環境やアプリケーションのパッチ管理、サポートインフラの規模によっては大きなマイナスとなりかねない。

　もう1つの可能性として、データ実行防止（DEP）を確実に利用しながら限られた権限でIEを利用する方法もある。ただし今回のエクスプロイトではDEPがかわされたとも伝えられる。DEPは、攻撃において非実行の記憶場所からコードが実行されるのを阻止することを意図しており、これによって（理論上は）オーロラ作戦のような攻撃が成功するのは極めて難しくなる。IE 8ではこの種の攻撃に対して追加的な防御を提供している。

　侵入されたコンピュータのネットワーク通信や通信の出どころを隠し、検知できなくするために、複数層の暗号化やプロキシサーバが使われることもある。通信を検知して中断させるためには、特に会社のネットワークから出て行くネットワーク接続を監視しなければならない。多種多様な外部接続のためにこうした監視があまり役に立たない可能性もあるが、特に通常を上回る量のデータがコンピュータから出て行く状況を監視することは、侵入されたコンピュータを発見する1つの手段になる。先端を行く組織なら、攻撃者に行き来されるリスクを抑えるため、ファイアウォールを使ってネットワークを区分してもいい。

　オーロラ型の攻撃の再来を防ぐために組織が取るべき措置は、情報セキュリティの根本に立ち返ることだ。自社のネットワークを検証して最もリスクが高い個所を洗い出し、適切な安全策を使ってそのリスクを管理する。例えばGoogleは、企業に対する最初の発表の中で、評判の良いマルウェア対策ソフトを利用し、入念にパッチを当て、定期的にWebブラウザを更新することを奨励している。

　本稿で奨励したすべてが全組織に必要なわけではなく、組織は高度な攻撃に対して防御を固めようとする以前にまず基本を押さえなければならない。多層防御戦略を利用することで、ゼロデイ攻撃によって狙われたコンピュータが完全に制御され、検出できなくされるような事態をうまく防いで同様の攻撃の影響を最低限に抑えることが可能になる。

本稿筆者のニック・ルイス氏（CISSP、GCWN）は、ミッドウェスト大学の情報セキュリティアナリストとしてリスク管理プログラム責任者を務め、技術PCIコンプライアンスプログラムをサポートしている。ミシガン州立大学で2002年にテレコミュニケーション、ノリッジ大学で2005年に情報アシュアランスの科学修士を取得。2009年に現職に就く以前は、ハーバード医科大学の小児科病院であるボストン小児病院、Internet2、ミシガン州立大学に勤務していた。