今回、Baidu IMなどの正規アプリケーションからの情報漏えい対策として紹介する製品分野は、「ゲートウェイセキュリティ製品」「資産管理製品」「モバイルデバイス管理（MDM）製品」の3種です。まず、各製品分野を簡単に説明します。

ゲートウェイセキュリティ製品

　次世代ファイアウォール製品や統合脅威管理（UTM）製品など、さまざまな機能を持つゲートウェイセキュリティ製品があります。こうした製品は、侵入検知システム（IDS）／侵入防御システム（IPS）、アプリケーション制御、アンチウイルス、URLフィルタリングといった機能を備えており、セキュリティポリシーに基づいてトラフィックを監視、制御するのが基本的な仕組みです。用途に応じて設置場所はさまざまですが、今回はインターネットの接続口に設置した場合を想定します。

資産管理製品

　資産管理製品の主な目的は、コンピュータのハードウェアやソフトウェア、またそれらのライセンスを、セキュリティではなく資産という観点で管理することです。ただし、アプリケーション制御機能でアプリケーションのインストールや実行を制限できる資産管理製品も多く、セキュリティ目的で使用されることもあります。

　クライアントセキュリティ製品の中には、アプリケーションの制御機能に特化した「アプリケーション制御製品」もあります。実行してもよいアプリケーションをホワイトリストとして定義したり、実行させたくないアプリケーションをブラックリストとして定義し、セキュリティを高めることができます。

　端末にあるアプリケーションを管理する機能という点では、資産管理製品もアプリケーション制御製品も共通しています。ただし、国内では資産管理製品の方がメジャーな存在であることから、本連載ではアプリケーション制御製品も資産管理製品の説明に含めることにします。

MDM製品

　多くのMDM製品には、モバイル端末のロックやデータのワイプ（消去）をしたり、アプリケーションのインストール／実行を制限する機能があります。アプリケーションに関しては、AndroidやiOSなどを搭載したモバイル端末に対して、上記の資産管理製品と同様の制御ができます。

Baidu IMEのインストールを防止するには

　前回でも触れたように、Baidu IMEの提供元である中国Baiduへの情報送信を懸念し、Baidu IMEの使用禁止に踏み切る企業や組織も少なくありません。従業員によるBaidu IMEのインストールを禁止したいと考える企業や組織も多いでしょう。2013年12月には、内閣官房情報セキュリティセンター（NISC）が中央省庁に対してBaidu IMEの使用中止などの注意を呼びかけたり、文部科学省も国立大学や独立行政法人へ同様の注意喚起をしたことも明らかになりました。こうした動きを踏まえれば、Baidu IMEに警戒心を抱く企業や組織が多くなるのも無理もないといえます。

　Baidu IMEは、たくさんの入手経路が確認されています。主な入手経路を紹介しましょう。

• BaiduのWebサイトから自らダウンロード
• ミラーサイト（フリーソフトのダウンロードサイトなど）からダウンロード
• 他のアプリケーションにバンドル
• クライアントPC購入時にプレインストール
• CD-ROMやUSBメモリ経由のインストール

　従業員によるBaidu IMEのインストールを食い止めようと、企業や組織がインターネットとLANの境界にゲートウェイセキュリティ製品を設置しても、ダウンロードを完全に防ぐことは困難です。BaiduのWebサイトをブロックしてもミラーサイトがありますし、Baidu IMEはマルウェアではないため、ゲートウェイ型やクライアント型のアンチウイルス製品でも検知されません。バンドルやプレインストールに至っては、ゲートウェイセキュリティ製品ではほぼ何もできないのが現状です。こうしたことから、Baidu IMEを含む正規アプリケーションのインストールを防ぐことは非常に困難であることが分かります。

　Baidu IMEなどの正規アプリケーションの利用を防ぐのに適しているのは資産管理製品だといえます。仮に従業員がアプリケーションをインストールしたとしても、資産管理製品でそのアプリケーションの起動を制限できるからです。ただし、資産管理製品はゲートウェイセキュリティ製品ほど一般的ではなく、未導入の組織も少なくないでしょう。その場合、アプリケーションの実行を制限するのは難しくなります。

Baidu IMEからの情報送信をブロックする

　Baidu IMEの「クラウド入力」機能は、前回でも説明した通り、端末での入力情報をBaiduのサーバへリアルタイムに送信します。Baidu IMEを利用して機密文書を作成すると、その内容がほぼそのままBaiduへ送信されてしまうわけです。多くの企業や組織がクラウド入力機能を警戒し、Baidu IME自体の使用を制限するかクラウド入力機能による入力情報の送信を防止したいと考えている現状には、こうした背景もあります。

　クライアント型のアンチウイルス製品や資産管理製品では、Baidu IMEなどの正規アプリケーションのトラフィックに対しては何もできません。そもそもこうした製品は、トラフィックを制御するためのものではないからです。

　アプリケーション識別機能を持つゲートウェイセキュリティ製品の多くは、Baidu IMEの事件後、Baidu IMEに対して識別子を振り、Baidu IMEの通信に対して何らかの制御ができるようにしています。Baidu IMEの識別子を持っていれば、Baidu IMEの情報送信を識別してブロックすることができますし、情報送信している端末を特定できます。

　アプリケーション識別機能は、暗号化された通信を復号するデコーダーやシグネチャ、プログラムの動作を分析して評価するヒューリスティックなどの技術を組み合わせ、アプリケーションを正しく識別するための仕組みです。この仕組みについては本連載で詳しく紹介する予定です。

　企業や組織内で資産管理製品を導入している場合でも、従業員が持ち込む私物端末には資産管理製品がインストールされていないことがほとんどです。こうした持ち込み端末でBaidu IMEを使用した場合は、情報が送信されてしまいます。ただし、ゲートウェイセキュリティ製品を導入していれば、端末側に管理ツールをインストールする必要はなく、その端末がLANを利用してさえすれば、通信のブロックや端末の特定が可能です。

Simejiの入手・インストールの防止方法

　Baiduが提供するAndroid版のIMEである「Simeji」の主な入手経路は、以下の通りです。

• 「Google Play」などのアプリケーションマーケットからダウンロード
• ミラーサイト（フリーソフトのダウンロードサイトなど）からダウンロード
• NECや中国Lenovoが販売するAndroid端末の一部のモデルにプレインストール

　こちらも入手経路は多数あり、プレインストールされているケースもあることから、ゲートウェイセキュリティ製品ではインストールを完全に防ぐことは困難です。MDM製品を利用してモバイル端末へのインストールを防止したり、実行を制限する方法が効果的です。ただし、MDM製品の普及度は、ゲートウェイセキュリティ製品と比較して圧倒的に低く、MDM製品を未導入の場合はインストールや実行を制限するのは難しくなります。

Simejiの情報送信をブロックするには

　資産管理製品と同様、MDM製品は通信の制御はできないため、ゲートウェイセキュリティ製品で情報送信をブロックするのが効果的です。これもBaidu IMEと同様、アプリケーション制御機能がSimejiの通信を認識できる必要があります。例えば、パロアルトネットワークスが提供するゲートウェイセキュリティ製品（次世代ファイアウォール製品）などは、Baidu IMEとSimeji双方の通信を認識できます。

　ただし、ゲートウェイセキュリティ製品でモバイル端末からの情報送信を制御する際には注意点があります。ゲートウェイセキュリティ製品による制御を可能にするには、モバイル端末からインターネットへ直接接続するのではなく、LANを通じて接続させる必要があるということです。

Baidu IMEとSimejiに対して各製品分野でできること

　Baidu IMEとSimejiに対して、各製品分野でできることを以下の表1、表2にまとめました。

※注1　バンドルやプレインストールの場合は対処できない。

※注2　クライアントPCを管理可能で、かつアプリケーションのインストール制御機能を持つ製品に限る。

※注3　クライアントPCを管理可能で、かつアプリケーションの利用制御機能を持つ製品に限る。

※注4　スマートデバイスを管理可能で、かつアプリケーションのインストール制御機能を持つ製品に限る。

　次回は、GOM Playerについて詳しく見ていきます。