正規モバイルアプリの80％に“危険な挙動”　脇の甘いユーザーはどうすべき？

モバイルセキュリティの脅威は思わぬ所からやって来る。従業員に私物端末を使って好きな場所から安全に仕事をしてもらうためにIT管理者ができる対策について、セキュリティ専門家が解説する。

公開 2014年10月09日 12時01分

著者

Jake O'Donnell

[TechTarget]

印刷する

　モバイルワーカーは、思わぬ場所から企業のITセキュリティを脅かす脅威を持ち込んでくる。例えば安全なはずのアプリケーションなどだ。

　米TechTargetではエンタープライズモバイル管理を手掛ける米MobileIronのセキュリティエバンジェリスト、マイク・ラッゴ氏に話を聞き、モバイルセキュリティを巡る展開と、IT部門が警戒すべき事項について解説してもらった。その内容を質疑応答形式で紹介する。

――モバイルセキュリティに関連して、あまり語られない最大の脅威は？

ラッゴ氏　最大級の脅威は悪質なアプリのみにあるのではなく、私たちが日常的にダウンロードする危険なアプリにある。その多くが危険な挙動を持つ。モバイルアプリのリスク管理サービスプロバイダー、米Appthorityの調査によると、米Googleの「Google Play」と米Appleの「App Store」で配信されていた250万以上のアプリを調べた結果、マルウェアは0.4％に満たなかったものの、私たちが日常的に使う正規アプリの約80％に危険な挙動が見つかった。

　危険な挙動とは、セキュリティやプライバシーに対する何らかの脅威や、データ流出のリスクを指す。私たちが日常的に使うこうしたアプリの多くは個人情報を露出させる可能性がある。その内容は、端末上に保存されているGPSデータから住所、電話番号のセンシティブな情報まで多岐にわたる。

――特に米Googleは、Google Playストアのアプリのマルウェア問題に関して批判されている。Androidを使う企業にとってもこれは問題となるのか。

ラッゴ氏　これまでの対策強化とアプリの審査方法に関するGoogleの透明性は非常に高い。同社はGoogle Playにアップロードされる悪質アプリの数を減らし、審査で除外するために、分析の層を増やし、自動化ツールも提供している。

　いまだにGoogleに対するそうした見方が変わらないのは、まだ多くのフィードバックがあること、メディアが相変わらずGoogle Playの悪質アプリに関する懸念を誇大に取り上げていること、ユーザーがこうしたアプリをダウンロードして感染し、大部分は知らないうちに端末を探られていることによる。

　2013年に開催されたBlack Hatを例に取っても、AndroidとiOSに対する攻撃について比較するプレゼンが相当数あった。その多くはGoogleが悪質アプリをGoogle Playから締め出すための審査方法について、何らかの弱点を指摘していた。Googleはここから多くを学び、どのような改良を加えたかに関して開示していると思う。

　全般的にはアップロードされる悪質アプリの数はかなり減っている。残る脅威はGoogle Playの外でアプリをダウンロードできることにある。ユーザーは自分の（私物）端末でオプションを無効にして、Google Play以外からアプリをダウンロード可能な状態にできるからだ。

――アプリケーションの他に、企業のモバイル使用に絡むセキュリティ上の懸念とは。

ラッゴ氏　最も懸念すべきは保護されていないネットワークだ。ユーザーは外出先や旅行先で、空港やホテル、コーヒーショップの公衆無線LANに接続する。それに対して守りを固めるにはどうすればいいのか。

　われわれが以前からやってきたのは認証の概念を実際似取り入れる試みだ。認証はかなり以前から存在しているが、モバイルはもともと認証をサポートする構造になっているため、非常に簡単に実装できる。

　端末に電子メール、アプリ、Webアクセス、SharePointや共有ファイルへのアクセスなどさまざまな設定を施す際に、ユーザーや端末の認証機能を自動的に実装しておけば、たとえ公衆無線LANからリソースに接続する場合でも保護される。

　例えばコーヒーショップにいる悪意を持った人物が、「会社のネットワークに接続している人がいる。トラフィックを傍受して読めるかどうか試してみよう」と考えるかもしれない。トラフィックが暗号化されていれば「『中間者攻撃』を仕掛けて通信に割り込み、トラフィックを傍受して暗号を解除してみよう」と考えるかもしれない。そうした相手に対して守りを固める必要がある。

　あらゆる種類の脅威モデルに目を向け、顧客をそうした脅威からどう守るかを考えるとき、追求すべきは認証とセキュアなアクセスの2点に尽きる。

印刷する