今回、対策として紹介するセキュリティ製品分野3種を簡単に説明します。

ゲートウェイセキュリティ製品

　次世代ファイアウォール製品や統合脅威管理（UTM）製品など、侵入検知システム（IDS）／侵入防御システム（IPS）、アプリケーション制御、アンチウイルス、URLフィルタリングといった機能を有するセキュリティ製品です。

クライアント型アンチウイルス製品

　Windows端末やMacなどのクライアント端末にインストールし、インストールされた端末自体を守るセキュリティ製品です。一方、端末ではなくLANに導入してウイルスを検出するのは「ゲートウェイ型アンチウイルス製品」。これは上述の通り、ゲートウェイセキュリティ製品の1機能として提供されることもあります。

資産管理製品

　端末のハードウェアやソフトウェア、またそれらのライセンスを、セキュリティではなく資産という観点で管理する製品。ただし、アプリケーション制御機能でアプリケーションのインストールや実行を制限できる資産管理製品も多く、セキュリティ目的で使用されることもあります。

現実的ではないGOM Playerインストールの防止

　GOM Player事件では、攻撃者がGOM Playerのアップデートサーバを改ざんしました。具体的には、ユーザーがGOM Playerをアップデートするときに攻撃用サイトへアクセスするよう、サーバを改ざん。攻撃用サイトでは、そのユーザーの端末にアップデートプログラムを装ったマルウェアをダウンロード／実行させる仕組みでした。

　GOM Playerの主な入手方法は以下の通りです。ダウンロードが主な入手方法なので、ゲートウェイセキュリティ製品のURLフィルタリング機能を使えば、ある程度の制御は可能です。ただし、ミラーサイトまでもれなくブロックするのは現実的ではありません。

• GRETECHのWebサイトからダウンロード
• ミラーサイト（フリーソフトのダウンロードサイトなど）からダウンロード

　GOM Player自体はマルウェアではないため、クライアント型アンチウイルス製品でGOM Playerのインストールを防ぐことはできません。資産管理製品の場合、GOM Playerのインストールを禁止する設定にしていれば、インストールを防止することは可能です。ただし、事件発覚前まではGOM Playerとそのアップデートプログラムは危険性のない正規のアプリケーションだと捉えられていたため、GOM Playerのインストールを禁止していた組織は非常にまれだと思います。

　ここで、アプリケーションのインストール防止策を整理しておきましょう。考えられるのは、以下の3つの方法です。

1. ゲートウェイセキュリティ製品のURLフィルタリング機能でホワイトリストを作成し、そのリストにあるURLのみにアクセス可能にする
2. 資産管理ソフトウェアでホワイトリストにあるアプリケーションのみインストール可能にする
3. 資産管理ソフトウェアで一切のアプリケーションのインストールを許可しないなどの厳しいセキュリティポリシーで運用する

　ただしGOM Player事件のように、アプリケーション自体ではなくアップデートサーバが狙われた場合には、アプリケーションのインストール防止によるマルウェア対策効果は限定的です。事件発生時の被害拡大を食い止める効果はあっても、既にインストールされているアプリケーションがアップデートを始めていれば、マルウェア感染の危険にさらされてしまうからです。

正規アプリによるマルウェアのダウンロードと攻撃者との通信を防ぐには

　GOM Player事件では、マルウェアをダウンロードする仕掛けである「ドロッパー」として正規のアプリケーションが利用されました。こうした攻撃手法は、非常に高度で危険です。では各セキュリティ製品は、正規アプリケーションを介したマルウェアの侵入をどうすれば防ぐことができるのでしょうか。

　シグネチャが配信された後であれば、ゲートウェイセキュリティ製品を利用し、HTTPS通信に対してアンチウイルス機能を利用すれば、マルウェアのダウンロードをブロック可能です。マルウェアがゲートウェイセキュリティ製品で発見できずにクライアント端末まで侵入してきたとしても、シグネチャがあればクライアント型アンチウイルス製品で発見できます。いずれにしても、ゲートウェイセキュリティ製品／クライアント型アンチウイルス製品共に、マルウェア検出には「シグネチャがある」ことが条件となります。

　GOM Player事件で利用されたマルウェアは、GOM Playerの全ユーザーではなく、日本国内を指す特定のIPアドレスからのアップデート時にのみ攻撃用サイトへ誘導していました。このことから、日本の特定組織を狙った標的型攻撃の可能性もあるとみられています。つまり、アンチウイルスベンダーとしては検体を見つけにくいタイプのマルウェアということになります。

　こうしたマルウェアに対しては、シグネチャに依存しない未知マルウェア解析システムが効力を発揮します。例えば、仮想マシンを使ったマルウェア検証技術である「サンドボックス」を実装したセキュリティ製品（サンドボックス製品）であれば、未知のマルウェアを実行／分析してマルウェアを発見できる可能性があります。

　そもそもマルウェアを見つけるためのものではない資産管理製品は、マルウェアに対してできることは基本的にありません。GOM Player事件を例に取れば、事件の報道前に資産管理製品でGOM Playerの起動を禁止していれば、その後のマルウェアのダウンロードは防止できたかもしれません。しかし報道後では既にマルウェアが入り込んでしまっている可能性が高く、その場合は手遅れになります。

正規アプリからの情報漏えいを食い止める

　マルウェアと攻撃者との通信を防ぐIPS機能のシグネチャやURLフィルタリング機能のデーターベースがゲートウェイセキュリティ製品へ配信されれば、たとえマルウェアがLAN内に入り込んでいたとしても、外部との通信をブロックすることで実質的にマルウェアを無効化し、情報漏えいを防ぐことができます。ただし標的型攻撃の場合、上述の通り各セキュリティベンダーがマルウェアの検体を入手していないことも多く、その場合はマルウェアの通信パターンも未知となります。

　サンドボックス製品でしっかりとマルウェアの挙動を分析し、その通信パターンに対処可能なシグネチャを配信しない限り、ゲートウェイセキュリティ製品のIPS機能やURLフィルタリング機能で情報漏えいを防ぐのは非常に難しくなります。クライアント型アンチウイルス製品と資産管理製品は通信を制御するための手段ではないため、攻撃者との通信を特定して防ぐことは担当外です。

GOM Player事件の“再来”に各セキュリティ製品はどう対処できるか

　マーケティング用途や製品の説明、デモなど、業務で動画の再生を必要とする場面は意外とあります。そのため一般的な環境では、GOM Playerのような動画再生アプリケーションの利用をLAN全体で禁止するのは、あまり現実的ではありません。

　GOM Playerなどの動画再生アプリケーションを利用した標的型攻撃に有効な対策としては、まずマルウェア侵入時に未知のマルウェアをサンドボックス製品で検知することが挙げられます。またシグネチャがあればという前提になりますが、ゲートウェイ型アンチウイルス製品／機能でのネットワークレベルでの防御、それをすり抜けた場合にはクライアント型アンチウイルス製品での防御が次なる手となります。最終の防衛線になるのは、ゲートウェイセキュリティ製品のIPS／URLフィルタリング機能を使ったマルウェア通信のブロックです。

　GOM Player事件と同様の攻撃に対する防御策として、各セキュリティ製品分野でできることを以下の表にまとめました。