アプリケーションセキュリティベンダー米Websenseの研究者たちは、Windowsエラー報告から収集可能な情報について調査を行ってきた。「Windows XP」とそれ以降の各バージョンに組み込まれているエラー報告機能の目的は、アプリケーションのクラッシュに関する情報をMicrosoftにフィードバックすることにある。だが、ドイツのメディアであるDer Spiegelが2013年末に報じた記事によると、米国家安全保障局（NSA）のハッキング部隊「TAO（Tailored Access Operations）」が、Windowsのエラー報告機能を捜査活動に利用したという。

　Der Spiegelの記事は、NSAの元職員エドワード・スノーデン氏のリーク情報に基づいている。「TAOは、PCのIPアドレスといった識別子を利用することで、エラー報告に関連したインターネットトラフィックを検索し、捜査対象に対してNSAのいう『パッシブ（受動）アクセス』を行えるようになる。こうした情報は、米国の諜報機関であるNSAが、脆弱性を抱えるターゲットへ、マルウェアを仕込むために利用される」と述べている。

　Websenseのセキュリティ調査ディレクターを務めるアレックス・ワトソン氏によると、同社が2014年2月に公表した調査結果は、企業の置かれた複雑な状況を浮き彫りにしたという。同氏は、「Windowsエラー報告機能が悪用された可能性がある」としながらも、この機能は異常検知に役立つ大量のデータを企業に提供できると指摘する。

Windowsエラー報告の保護

　Der Spiegelの報道を受けて、Microsoftは米CBS Newsの取材に対し、「Windowsエラー報告に含まれる情報は限られている」と述べた。これはWebsenseの調査結果と異なる説明だ。実際、BIOSやアプリケーション、Webブラウザの各種バージョン、スマートフォンなどの端末がPCに接続されているか、といった非常に詳細な情報がエラー報告に含まれるという。

　Websenseによると、さらに問題なのは、「Windows 8」よりも前のバージョンを使っているシステムでは、エラー報告の暗号化を指定しなければ、重要のシステムプロファイル情報が平文でMicrosoftに送信される可能性が高いことだという。Windows 8ではTLS暗号化がエラー報告に導入されたが、それ以前のWindowsバージョンにはこの暗号化機能が組み込まれていない。

　ワトソン氏によると、現状、ほとんどの攻撃者はエラー報告にアクセスできないが、NSAをはじめとする国家機関のハッカーたちは、エラー報告を利用する能力を持っている可能性があるという。

　「最大の脅威は、エラー報告が上流側で傍受されることだ。グローバル企業の場合、自社とMicrosoftとの間に存在する全てのISP（インターネットサービスプロバイダー）を信用できるだろうか」とワトソン氏は語る。

　マルウェア「Stuxnet」などの高度な攻撃で見られたように、国家レベルのハッキンググループが利用する最先端の機能は、サイバー犯罪者たちの手ですぐに悪用されてしまう。「攻撃者が企業のWindowsエラー報告データを盗み取ることができれば、そこからその企業に侵入する容易な手段を見つけ出す可能性がある。そうすれば彼らは、高度な攻撃手法に頼らなくても済むようになる」とワトソン氏は警告する。

　「エラー報告データには、攻撃者がネットワークに狙いを定める際に必要な情報が全て含まれている。標的とするネットワーク上で動作する、全てのアプリケーションのバージョンが分かれば、ゼロデイ情報を利用する必要さえなくなる。侵入しやすい、以前のバージョンの『Flash Player』がPC上で動作している、といったことが分かるからだ」とワトソン氏は語る。「攻撃者はネットワーク上で割り出したバージョンに対応した攻撃コード、しかも検知されにくく、失敗の可能性が低い攻撃コードを選ぶことができるのだ」

　「ユーザーの環境に関する情報について、これほど詳細なレベルまで第三者がアクセスできるようになる、というのは恐ろしいシナリオだ」（ワトソン氏）

　Microsoftは米TechTargetの取材に対し、「Windowsエラー報告は『限られた情報』を当社に送信するだけだ」と述べている。MicrosoftはWebsenseの報告書に関する直接的な言及は避けている。

エラー報告によるセキュリティの改善

　ワトソン氏によると、どのようなプログラムでもそうだが、マルウェアでも不具合は発生することがあるという。一部の攻撃を困難にする「アドレス空間配置のランダム化」といった新たなセキュリティ技術がWindowsに導入されたことも大きな理由だ。マルウェアの不具合がきっかけとなり、エラー報告が行われることもある。「つまり、これまで検出されなかった攻撃が、エラー報告という形の異常検知によって見つかる可能性があるということだ」と同氏は説明する。

　この方法によるセキュリティ対策の有効性を確認するため、Websenseでは4カ月間にわたり、1600万件のエラー報告が含まれるデータセットを使って、2つのケーススタディを実施した。その1つは、「DeputyDog」攻撃で利用された「Internet Explorer」（IE）に対する既知のゼロデイエクスプロイト「CVE-2013-3893」がエラーを引き起こした兆候を探すというものだ。Websenseの研究者たちはまず、Microsoftのデバッグツール「WinDbg」を用いて、Windows XPマシンを狙ったIEエクスプロイトが不具合を起こす可能性の高い箇所を特定。その情報に基づいて、「エラー指紋」の作成に成功した。

　ワトソン氏によると、この指紋をデータセットに適用した結果、大手携帯ネットワークプロバイダーや米国政府機関を含む幾つかの企業や組織で、複数の合致するものが見つかったという。Websenseでは、この情報と自社のセキュリティ製品を使って、さらに詳しく調べることで、エラーによる侵入失敗から24時間以内に指令制御（C＆C：Command and Control）サーバへと誘導トラフィックを送信していたのが、サーバリモートアクセス型トロイの木馬「H-Worm」であることを突き止めた。

　Websenseが取り組んだもう1つのケーススタディは、POSシステムのクラッシュに関するものである。米Targetや米Neiman Marcusを含む、多数の小売業者のPOSシステムに対する攻撃が最近注目を集めており、この攻撃が調査対象となった。Websenseは、エラー報告の中から「pos.exe」アプリケーションとコードインジェクション《※》が関連したインスタンスを探し出した。ワトソン氏によると、「メモリ空間の外」で異常が発生した場合は、pos.exeとコードインジェクションが絡んでいる可能性が高いという。

※コードインジェクション：攻撃者がアプリケーションやプログラム、スクリプトなどに悪質なコードを挿入（インジェクション）して不正な操作を行う攻撃手法

　「この調査では、感染力の強いマルウェア『Zeus』が3つの組織で発見され、これがボットネットトラフィックの誘導役を果たしていたことが分かった」とワトソン氏は話す。このマルウェアはさほど問題視されておらず、標的型攻撃の兆候としても考えられていない。だが、Websenseが分析したところ、問題のサーバに送信されているトラフィックは全て大手小売業者が発信元であることが明らかになった。

　ワトソン氏によると、数年前にインターネット上に流出したZeusのソースコードが、それまで報告されていなかった新たな攻撃の一環として、POSシステムをターゲットとするように修正された可能性があるという。

　「いずれのケースでも、他のセキュリティ製品によってC&Cトラフィックが特定されたおかげで、データの流出被害が生じた組織はなかった」とワトソン氏は話す。

　同氏によると、Websenseはエラー報告に含まれる膨大なデータの分類方法を見つけ出すのに苦労したという。「これは同じようなプロセスの導入を検討している企業にとって障害となる可能性がある。しかし、異常検知のためにWindowsエラー報告機能を利用している企業には、大きなメリットとなるかもしれない」

　具体的には、全てのエラー報告を送信・収集するためのサーバを立ち上げ、このデータを異常検知のために利用する方法を、同氏は推奨する。その後、エラー報告のデータを暗号化（できればTLS 1.2を使用）した上で、Microsoftに送信すればいいという。

　「既知のマルウェアに対してウイルス定義ファイルを利用するアプローチでは、標的型攻撃に対する効果が弱まってきた」とワトソン氏は指摘する。「（エラー報告機能を利用して）企業のセキュリティ対策を向上すれば、未知のマルウェアを検出可能になるかもしれない」