私はウイルス対策ソフトによる検出率をテストするために、複数の標準的なMicrosoft Windows実行可能ファイルにあるコマンドを経由させた。

　このコマンドで、4444番ポート上にある「192.168.1.75」のコマンド＆コントロール（C＆C）サーバに接続する標準的なリバースTCPバックドアが生成された。被害者が生成された実行ファイルを実行すれば、192.167.1.75のC＆Cサーバへのバックドア接続が確立される。

　次に実行ファイルをアップロードしてスキャンし、前回のテストに使ったのと同じウイルス対策エンジンの検出能力を試した。その結果、virustotal.comで利用できる46のウイルス対策エンジンは1つ残らず完敗だった。MicrosoftとSymantec、McAfeeも含め、このファイルにエンコードされたバックドアを検出できたものは1つもなかった。だがこれは驚くには当たらない。定義ファイルベースのウイルス対策エンジンの限界を示す、予想通りの結果だった。ウイルス対策エンジンは、過去に見たことのあるマルウェアでなければ、検出することはできない。

　断っておくが、今回のテストは科学的なものではなく、最新のマルウェア攻撃に対する防御としてウイルス対策ソフトが役に立たないことを示しているわけではない。だが、ウイルス対策ソフトは会社のコンピューティング資産を守るために必要な縦深防御戦略の中の、一部にすぎないことを示している。これはSymantecが米New York Timesの記事を受けて指摘した通りだ。

ウイルス対策に重ねるレイヤー技術

　今こそ最高情報セキュリティ責任者（CISO）が行動を起こし、マルウェア対策システム上に技術層の追加を検討するよう、経営陣に促すべき時だ。例えば、ホワイトリストと組み合わせ、許可されたプログラムしかクライアントマシン上で実行できなくすることも可能だ。次世代ファイアウォール、IPS/IDS、Webフィルタリングシステムはいずれも、大抵がマルウェア感染によって発生する異常なネットワークトラフィックの検出に利用できる。もちろん、人による解釈と介入なしに効果を発揮できるシステムは存在しない。従って、どのようなシステムを活用するにしても、熟練のセキュリティ専門家に責任を持って監視させることが重要だ。

　メディアのウイルス対策ソフトに対する批判が高まる中、「ウイルス対策ソフトはもう終わったのか」という疑問が再浮上している。しかしウイルス対策ソフトは健在だ。ただしそれは全般的な防御戦略の一部としなければならない。先に実証した通り、最もベーシックな攻撃でさえも効率的な難読化は容易だ。効果的な情報セキュリティ対策とは1つの製品やセキュリティ層を中心とすべきものではなく、複数の層と技術を用いた包括的なリスク管理プログラムを通じて達成すべきものであることが、これで一層裏付けられた。Timesの事件、そして多数の同様な事件をきっかけとして、組織は現代の新しい種類の防御策でウイルス対策ソフトを補わなければならない。

※本稿筆者のジョセフ・グラネマン氏は、医療ITを中心に、技術・情報セキュリティ分野において20年以上の経歴を有する。