重要性高まる「未知の攻撃」への対策

　注意しなくてはならないのは、標的型攻撃などに使われるメールやWebサイトといったトリガーは全て、正常なアプリケーション通信経由で従業員の元に届く点だ。例えばメールの場合、不正なWebサイトへ誘導するリンクが記載されていたり、エクスプロイトが含まれているファイルが添付されていたりしても、アプリケーション通信自体は正しいものなので、ファイアウォールは通信を許可してしまう。

　サイバーセキュリティ戦略本部による原因調査結果によると、日本年金機構もプロキシサーバやメールサーバなどの専門回線、各拠点のスイッチに不要な外部通信を遮断するためのファイアウォールを設けていた（図）。それでも、事件の契機となった標的型メールを受信してしまったのである。ファイアウォールの限界を如実に示す例だといえよう。

図　日本年金機構のネットワーク構成（出典：サイバーセキュリティ戦略本部「日本年金機構における個人情報流出事案に関する原因究明調査結果」）

　それではファイアウォールに加えて、具体的にどのような対策を実施すべきなのだろうか。メール受信時のセキュリティ対策として最初に思い浮かぶのは、マルウェア対策製品の導入だろう。メールサーバへインストールするタイプやゲートウェイ型のタイプなどさまざまなマルウェア対策製品がリリースされている。

　こうしたマルウェア対策製品は基本的に、既知のマルウェアファイルに対するシグネチャをベースにパターンマッチングを実行し、添付ファイルなどにマルウェアが入っていないかどうかを検知する。ただし、現在は1年に7000件以上の脆弱性が発見され、日々ゼロデイ（パッチ未提供）マルウェアが作成されている。これら未知のマルウェアは、シグネチャベースのマルウェア対策では防御できない。

　そこで、標的型攻撃対策として有効だと考えられるのが、「サンドボックス」という技術を利用したセキュリティ製品（以下、サンドボックス製品）だ。パターンマッチングではなく、仮想環境で実際にファイルを実行した結果を基にエクスプロイトやマルウェアを検出するのが特徴である。

　サンドボックス製品は、あらかじめ社内で使用しているOSに加え、オフィススイートやPDFリーダーといったアプリケーションを組み込んだ仮想マシンを用意し、怪しいファイルをこの仮想マシンで実行する。その際、不正なレジストリの書き換えや外部サイトへアクセスするためのDNS参照、外部へのアクセスといった動作を監視し、該当ファイルが正常なものかどうかを判断する。

サンドボックス製品の活用には注意点も

　実際にサンドボックス製品を導入する際は、社内リソースと仮想マシンをきちんと管理する必要がある。特にPDFリーダーの「Acrobat Reader」は、感染経路として攻撃者に利用されやすい上に、従業員による自動アップデートが簡単にできてしまうので、バージョン管理には注意してほしい。

　エクスプロイトの中には、特定バージョンのアプリケーションが持つ脆弱性を利用する攻撃が少なくない。そのため、社内で実際に使用中のバージョンと、サンドボックス製品の仮想マシンで利用するバージョンが常に同じものになるように管理していく必要がある。可能ならば、複数バージョンのアプリケーションを使用した解析ができるサンドボックス製品を利用するのも1つの解決策だ。

　注意すべきなのは、大半のサンドボックス製品は脅威を検知できるものの、検知した脅威からの防御には他のセキュリティ製品の力が必要になる点だ。そこで前述したファイアウォールとの連係が重要となる。

　サンドボックス製品からの警告ログを受けて、管理者が手動でファイアウォールなどの設定変更を施すのでは対応が後手に回ってしまう。異なるベンダーのセキュリティ製品を組み合わせて採用している場合には、各製品のAPIやスクリプトなどを利用した自動化を検討する必要がある。

　入口対策には、本稿で紹介したファイアウォールとサンドボックス製品に加え、不審なメールやWebサイトへのアクセスを防ぐ各種フィルタリング、攻撃の成功につながる脆弱性をふさぐパッチ管理などさまざまな手段がある。入口対策を補完する上で、こうした手段の導入も有力な選択肢となる。

　今回は入口対策として、インターネットとの境界部分に設置されるセキュリティ製品を中心に見てきた。ただし、これらの対策だけでは、USBメモリ経由や持ち込み機器（BYOD）経由でのマルウェア感染などを防ぐことはできない。次回はこれらへの対応も考慮した「内部対策」について見ていく。