サンドボックス製品選び「4つのキーポイント」

　サンドボックス製品を選定する際のポイントとして、処理能力やそれに見合った製品価格かどうかは大事な観点です。ただし、ここではマルウェア対策の成否を左右する具体的な機能に注目し、筆者が特に重要だと考える未知のマルウェアの発見や解析の観点から、4つの選定ポイントをまとめました。

ポイント1：目的に沿った機能の有無を見極める

　1つ目のポイントは、目的に沿った機能が網羅されているかどうかを確認することです。解析すべきネットワークプロトコルも目的によって異なります。入口対策には「SMTP」「POP」、出口対策には「HTTP」「HTTPS」、内部対策にはそれらを広く網羅する、といった具合です。

　ネットワークの途中に機器を設置し、実際に通過するトラフィックを検査するインライン型のサンドボックス製品がよいか、トラフィックをミラーリング（コピー）して検査するモニタリング（アウトバウンド）型がよいかどうかも、目的によって異なります。入口対策や出口対策など、特定のトラフィックについて即座に分析したい場合にはインライン型が有効です。一方、内部対策の場合は、ネットワークへの負荷を抑えながらトラフィックの可視化ができるモニタリング型の利点が生きます。

　重要なことは、サンドボックス製品で何をしたいのかを明確化しておくことです。入口対策、出口対策、内部対策のうち、どの対策にサンドボックス製品を利用するのかをはっきりさせてから製品選定に入るのが成功の鍵となります。

ポイント2：解析可能なファイルの種類

　標的型攻撃で悪用されるファイルやプログラムの種類には流行があり、時期によって変わります。そのため、サンドボックス製品は幅広いファイルやプログラムに対処できることが必要です。

　連載第1回では、標的型攻撃に利用されるマルウェアは以前、「Microsoft Office」「Adobe Acrobat」形式などのドキュメントファイルに埋め込まれるケースが多かったものの、最近では実行形式のマルウェアが直接（圧縮や拡張子偽装の上で）送付されるケースが増加していると説明しました。ただし、ドキュメントファイルは依然として主要な攻撃手段であることに変わりはありません。

　ドキュメントファイルを作成するアプリケーションの中には、利用者が特定の国・地域に偏在しているものも少なくありません。攻撃者はこうしたアプリケーションの脆弱（ぜいじゃく）性も狙います。例えば国内では、ジャストシステムの「一太郎」のような国内で多く流通しているアプリケーションの脆弱性を突き、国内組織を狙うといったゼロデイ攻撃が報告されています。サンドボックス製品には、こうしたファイルやプログラムにも対処できることが望まれます。

ポイント3：マルウェアへの柔軟な対応力

　日々登場する新しいタイプのマルウェアに迅速に対処する仕組みも、サンドボックス製品には求められます。

　サンドボックス製品の存在は、攻撃者も当然ながら把握しており、その“穴”をかいくぐるマルウェアも生まれています。その最たる例が、自らが仮想環境にあることを判断し、その環境下では不正な動作をしないマルウェアです。マウスのクリックなどユーザーによる操作を要求したり、コードに暗号化を施して解析を困難にしたりと、サンドボックス製品の“穴”を突くタイプのマルウェアも現れています。

　さらに最近では、実行に必要なDLLの読み込みに別環境を必要とするマルウェア、一見壊れていて開けないように見えるものの、実際はマルウェアとして動いているといった巧妙なマルウェアも登場しています。

ポイント4：製品としての運用性

　なぜこのファイルをマルウェアとして検出したのか、検出したマルウェアにどう対処すればよいかといったことを明確にする仕組みが、サンドボックス製品には必要です。いくら未知のマルウェアを検出できたとしても、マルウェアの検出や対処のプロセスが実運用に適さないと意味がないからです。

　以上、サンドボックス製品の選定ポイントを紹介してきました。忘れてはいけないのは、「サンドボックス製品を導入しさえすれば安心ではない」ことです。導入目的に応じてサンドボックス製品を適切に運用し、重大なインシデントを回避できる準備ができているかどうかを検証しながら、サンドボックス製品の設定を調整したり、運用プロセスを見直したりしていく必要があります。

　既に多くのセキュリティベンダーがサンドボックス製品を市場投入し、ラインアップは充実してきました。こうした中、2015年後半から2016年以降にかけては、個別のサンドボックス製品の真価がより問われるようになるのではないかと筆者は考えています。また標的型攻撃の対象が企業や組織の種類を問わず拡大し、セキュリティ対策が比較的手薄だとされる中小規模の企業もターゲットになっていることを踏まえると、各業種に適した機能や性能、コストを反映したサンドボックス製品の需要も出てくるものと考えられます。

　第3回は、サンドボックスの課題について解説します。