「サンドボックス」にまつわる疑問を解く【第1回】

「標的型攻撃」がセキュリティの常識を変えた――“アンチウイルス死亡論”の真実（2/2 ページ）

公開 2015年07月29日 08時02分

著者

太田浩二

[トレンドマイクロ]

印刷する連載新着通知を受け取る

特徴2：内部活動における正規ツール

　一方、攻撃者がセキュリティ対策をすり抜ける方法に関しても、より巧妙化しています。リモートアクセス型トロイの木馬（RAT）など、攻撃者が初期侵入で利用する遠隔操作ツールは、自動作成ツールを用いてカスタマイズされた形で生成されます。

　遠隔操作ツールは、侵入先のクライアントPCで活動して情報を収集する際、Windowsに標準搭載されているタスクスケジューラなど、Microsoftをはじめとする各ベンダーが提供する正規ツールを使います。また情報を送信する場合は、通常のWebアクセスで利用される80番ポート（HTTP）や443番ポート（HTTPS）などを用いるため、ポートに基づいてトラフィックを制御するファイアウォールではブロックできません。

　このように、正規ツールや通常のクライアントPCが取る動作に偽った攻撃を、従来のセキュリティ対策だけで発見することは難しくなってきました。その結果、標的型攻撃の侵入が早期に発見できないことの一因にもなっているのです。さらに、攻撃者は標的型攻撃を仕掛ける前に、既存のセキュリティソフトで該当のファイルを検出できるか否かを確認するために、犯罪組織などが極秘に運営する闇サイト（注）を利用してから攻撃を開始するのです。

※注　「VirusTotal」などの正規サイトで検出を確認するとセキュリティベンダーに確認される可能性があるため、攻撃者は闇サイトを利用します。

特徴3：国内のWebサイトを改ざんした遠隔操作用サーバ

　また、窃取した情報の送付先である遠隔操作用サーバ（C＆Cサーバ）について、攻撃者が専用サーバを構築するのではなく、国内の一般のWebサイトを改ざんして遠隔操作用サーバとして利用する手口が非常に増えています（図2、3）。攻撃者が一般のWebサイトを改ざんしてC＆Cサーバに仕立てるのは、C＆Cサーバとの通信を一般的なWebサーバへのWeb閲覧通信に紛れ込ませ、発覚を免れることが狙いだと考えられます。

図2、3　遠隔操作用サーバの設置国の割合（2015年トレンドマイクロ調べ）。左から2013年（n = 115）、2014年（n = 82）《クリックで拡大》

　標的型攻撃に利用される遠隔操作ツールや攻撃手法は多種多様です。遠隔操作ツールは標的企業ごとにカスタマイズされ、時期や時勢を反映した内容が書かれた標的型メールに添付されます。最初の被害者から検体を収集・分析しても、ターゲットごとに作りこまれているために、違う被害者への攻撃を防ぐことが難しいのです。さらに、遠隔操作ツールの実行時には、一連の攻撃の中で正規ツールが利用されることもあり、プログラム単体のふるまいを監視するだけでは遠隔操作ツールを発見することが困難になります。

　こうした状況にどう対処すべきなのでしょうか。その具体的な例としては、標的型攻撃で利用されるマルウェアが実際に取るふるまいを再現し、それを基にマルウェアを検知する仕組みが挙げられます。その実現には、実環境に影響がない仮想環境で、実行形式のプログラムやドキュメントファイルを実行させたり開いたりすることが必要になります。それを可能にするセキュリティ技術が「サンドボックス」です。

併せて読みたいお薦め記事

標的型攻撃に挑む「サンドボックス」の進化

　第2回は、未知の脅威への対策技術であるサンドボックスの仕組みについて、より詳しく説明します。

執筆者紹介

太田浩二（おおた・こうじ）　トレンドマイクロ

2001年トレンドマイクロ入社。テクニカルサポートで主にネットワークアプライアンス製品を担当。その後製品サポートチームのマネージャを経て、2010年開発へ異動。相関分析を行うトレンドマイクロのクラウド型セキュリティ基盤「Trend Micro Smart Protection Network（SPN）」の1つを構成するWebレピュテーションサービスのプロジェクトマネージャーとして、2011年より1年間台湾に赴任。帰国後、マーケティング本部で製品のプロダクトマネージャをしながら、SPNおよび脅威検出における最新コア技術について、グローバル開発・マーケティング本部と連携し最新の情報発信を展開。