米Dellのマルウェア調査ディレクターであるジョー・ステュワート氏によると、ボットネットの始まりは、インターネットリレーチャット（IRC）のネットワークにおけるアマチュア活動だった。当初は、IRCに接続しているマシンの力を使って攻撃対象のインターネット利用を妨害する程度だったが、瞬く間に不正なサイバー犯罪と結び付き、金銭目当ての活動になった。「今では政府やハクティビスト（社会的または政治的な目的を遂行するためにハッキングをする人）が参戦し、理由も金銭絡みばかりではなくなっている」と同氏は指摘する（「DDoS攻撃が政治的・思想的主張の道具に――Arbor Networks調査」を参照）。

　自社のLANでゾンビマシンが運用されていながら、そのことに気付いていない企業も多いと、ステュワート氏などのセキュリティ専門家は指摘する。こうしたマルウェアの狙いは、システムに障害を引き起こすことよりも、企業の最も貴重な所有物である知的財産をリモート操作で探し出すことにある。

　ステュワート氏などの専門家によると、ネットワークのトラフィックを監視するための侵入検知システム（IDS）や侵入防止システム（IPS）など、自動化されたシステムに依存し過ぎている企業も多いという。熟練したITセキュリティの専門家を採用してIDSやIPSなどを積極的に監視し、問題を調査した方がいいとの意見だ。この方法なら、深刻な事態に陥る前に問題箇所を切り離すことで、ほとんどの企業で導入済みのセキュリティシステムを強化できる。

　幸いなことに、ボットネットに関わるマルウェアの中には、従来型のセキュリティアプライアンスやマルウェア対策などのエンドポイントセキュリティ製品を使って検出できるものもある。だが、さらに深刻な脅威となるのは、マルウェア検出回避の手口と組み合わせた標的型攻撃、特に企業の従業員を狙った攻撃だ。

　ステルス型のマルウェアが感染したエンドポイントのマシンは、トロイの木馬が植え付けられ、サイバー犯罪集団に接触して命令を受け取ろうとする。企業のネットワーク監視ツールで不正なトラフィックを検出して一部を遮断することはできる。だがサイバー犯罪集団は、ここ数年の間に強力な暗号アルゴリズムを使った通信トンネリングの腕を磨き、システムが完全には監視されていないわずかな時間に通信のタイミングを合わせたり、通常のネットワークトラフィックに紛れ込ませた小型の通信パケットを送信できるようになった。

　ステュワート氏はこう話す。「会社のマルウェア対策ソフトが、ゲートウェイやデスクトップでボットネット感染を検出できると期待するのは結構だが、テストの結果、こうした機能ではそれほど高い確率での検出はできないことが分かっている。だがネットワーク空間の中に入れば、こうした活動の多くは検出できる。ネットワークのフィンガープリントは頻繁には変更されないからだ」

ボットネットの威力と規模

　ステュワート氏によると、強大なボットネットが必ずしも巨大な規模とは限らない（「小規模攻撃の方がより危険？　「DDoS攻撃」の意外な事実」を参照）。例えば、マルウェアツールキット「Flame」のボットネットを構成していたイラン国内の感染マシンは200台足らずと小規模だったが、強力で巧妙な武器となった。恐らく、国家が主体となったサイバースパイ作戦に利用されたと思われるが、ボットネットに支配されたゾンビマシンはターゲットをひそかに監視し、何年にもわたって情報を盗んだりビデオを撮影したりした。

　対照的に、大規模なボットネットは、ゾンビマシンの力を利用してマルウェアを拡散させるなどの不正行為に有利だ。こうしたボットネットは、サービス妨害（DoS）攻撃を増幅させてWebサイトをダウンさせたり、マルウェア感染を一挙に広げたり、アカウント情報を盗んだりする用途に使われる（大規模ボットネットの被害については「1400万ドルを荒稼ぎ、FBIが摘発した大規模サイバー犯罪の手口」も参照）。

　「Zeus」や「SpyEye」などのマルウェアは、巨大なボットネットを形成し、何年にもわたって金融業界を混乱に陥れてきた（ZeusやSpyEyeについては「『SpyEye』開発コード流出、新手サイバー攻撃の恐れも」も参照）。ボットネットが急拡大した背景には、こうしたマルウェアを操るサイバー犯罪集団が築き上げたビジネスモデルがある。自動化された攻撃ツールキットを使ってアフィリエイトネットワークを組織し、マシンをマルウェアに感染させたサイバー犯罪集団に報酬を支払う方式だ。

　2006年に悪名を響かせたZeusは、コードに手を加えてWebサイトを偽装したり、アカウント情報を盗み出したり、銀行口座から金を引き出したりした。セキュリティベンダー各社は、ボットネットに関わりのある攻撃用サーバを壊滅させることでボットネットの一部を破壊しようとしたが、サイバー犯罪集団はボットネットを復旧させる仕組みを組み込んでいた。直近では米Microsoftが、米国内のZeusボットネットサーバを撲滅する目的で法的措置を講じている。

検出のための人的要素

　「熟練のIT専門家に勝る技術は存在しない」と話すのは、情報セキュリティのトレーニングを専門とする米SANS Instituteの最高調査責任者、ヨハネス・ウルリッチ氏である。高度な調査のためには、高い技術を有するシステム管理者がネットワークトラフィックとシステムログを監視し、創造的な考え方を取り入れて潜在的問題を洗い出すべきだと同氏は語る。パケット分析などのフィルタリングツールは、不審なトラフィックに悪質な意図があるかどうかをネットワークセキュリティの専門家が見極める助けになる。

　「いまだに昔ながらの定義ファイルを使ったマルウェア対策に頼っている企業が多い。特に標的型攻撃やボットネットの対策については、現時点では個人頼みだ」（ウルリッチ氏）

　多くの企業は、ネットワーク監視業務を外部に委託する傾向にある。だがウルリッチ氏の経験では、セキュリティ監視を外部に委託すると、最も深刻な標的型攻撃とボットネット感染が検出できないのが常だという。同氏の指摘によれば、こうした外部委託サービスは、チェックリストに従って1時間当たりに決められた数のリクエストを処理しているだけだ。外部委託サービスには、システム管理者を補助する形で「過去のボットと対比させて、次の新しい何かを見つけ出す」役割を担わせた方がいいと同氏は付け加える。

　「外部委託サービス業者は、セキュリティ監視のビジネスを本当には理解していない。一部の企業が、多額のプロセスを経てセキュリティ監視業務を社内に戻しているのはそのためだ」（ウルリッチ氏）

　「ホスト侵入検知（HIPS）技術などのネットワークベースのセキュリティ対策やレピュテーション、フィルタリングといったシステムとエンドポイントセキュリティ対策を組み合わせれば、マルウェア感染を防ぐ一助になる」と、米セキュリティ企業Securosisの社長であるマイク・ロスマン氏は同社のブログで指摘する。ネットワークセキュリティアプライアンスは、アプリケーションやユーザーの行動に関する状況を伝えることができる。ただし、エンドユーザーに深刻な影響が及ぶことを防ぐには、運用の適正化や微調整が必要だとロスマン氏は述べる。

　Webフィルタリングとレピュテーションをベースとしたシステムにも同じことがいえる（レピュテーションについては「レピュテーションに仮想化対応――マルウェア検出技術の今を知る」を参照）。「十分にセキュアでありながら、邪魔になりすぎないようにバランスを保ちながら端末の所有と管理の制約に配慮すること、実際の端末の場所とネットワーク接続とのバランスを取ることが必要だ」とロスマン氏は指摘する。