課題2：マルウェア実行時のネットワーク接続への課題

　マルウェア解析の際には、マルウェアそのものの振る舞いを見ているだけでは不十分です。マルウェア実行時のネットワーク接続までも確認しないと、そのマルウェアの完全な振る舞いを解析することはできません。最近のマルウェアは、遠隔操作用サーバ（C＆Cサーバ）など外部との通信を前提とするものが増えているからです。攻撃者が送り込んだマルウェアや不正ドキュメントの実行が、さらなるマルウェアのダウンロードや実行、脆弱性への攻撃を引き起こす場合があります。

　ここで考慮すべきなのが、仮想環境のネットワーク環境は一般的に、インターネットには接続せず社内に閉じていることです。サンドボックス製品は、偽のネットワーク応答を返す仕組みを備えることで、仮想環境からインターネットへ接続しているような状態を疑似的に作り出しているのに過ぎません。

　例えば、仮想環境で稼働させているドロッパー（他のマルウェアを端末にダウンロードして感染させるマルウェア）が、マルウェアダウンロードのために改ざんされたWebサイトへアクセスしようとした場合、サンドボックス製品からHTTPの応答は正しく返ってくるものの、マルウェアはダウンロードできません。また遠隔操作ツールがC＆Cサーバに情報を送信しようとする場合、サンドボックス製品は遠隔操作ツールのアクセス先を検知できるものの、その事実だけをもって「不正な振る舞いをしている」と断定するのは困難です。

　このように、仮想環境の閉じたネットワークで解析しても、タイミングによっては振る舞い自体の怪しさが特定できなかったり、その後の攻撃も検知できなかったりする可能性があります。いったん検知をすり抜けてしまったマルウェアは、再度サンドボックス製品が解析対象とするまで認識されません。そのため初期段階での対応ができず、対処自体が遅れてしまう可能性があります。

　さらに、初回の解析時には検知できなかったマルウェアを、しばらくした後にマルウェアとして検知した際には、管理者は過去の部分的な解析結果をつなぎ合わせて、具体的な被害の有無や影響範囲を検証する必要があります。そのため、攻撃の全容を可視化することにも時間がかかってしまいます。

課題3：巧妙化したマルウェアへの課題

　連載第2回「未知のマルウェアを見つけ出す『サンドボックス』の失敗しない選び方」では、標的企業に送り込まれるマルウェアの形式には流行があることを説明しました。上述したマクロウイルスはその好例です。

流行へのいち早い対応が重要に

　マクロウイルスの場合、Microsoft Officeのマクロが有効化されると不正なマクロを実行します。この場合、疑似動作としてマクロを有効化する機能が仮想環境にあれば、マクロウイルスは不正なマクロを実行できるので、サンドボックス製品はその不正な振る舞いを確認することが可能です。一方、マクロを有効化できないタイプの仮想環境では、不正マクロの実行を確認できず、マクロウイルスを見逃してしまいます。

　さらには今後、仮想環境への転送自体を回避するマルウェアも出てくるかもしれません。マルウェアは日々巧妙化し、進化しています。それらの流行をいち早くキャッチし、それに対応する技術の開発や柔軟な実装が大きな課題となります。

標的の対応OSやアプリに特化した攻撃

　当然ながら、仮想環境で稼働させるOSの状態は、ユーザー企業で実際に稼働するクライアント端末のOSと同一にする必要があります。OSは、そのバージョンやインストールされている言語パックなどによって、実行可能なアプリケーションが変わってくるからです。

　ドキュメントに挿入される脆弱性攻撃コードである「ドキュメントエクスプロイト」といえば、Microsoft Officeや「Adobe Acrobat」「Flash Player」といった主要なアプリケーション向けのものが有名であり、結果としてこうしたアプリケーションのみに関心が向きがちです。しかし、国や地域によって利用されるアプリケーションの種類には傾向があり、攻撃者はこうした傾向も把握して攻撃を仕掛けてきます。

　国内では、ジャストシステムの「一太郎」など、日本独自のソフトウェアを利用している公的機関や企業が少なくありません。一方、韓国では、韓国Hancomの「アレアハングル」がMicrosoft Wordよりも高いシェアを得ています。仮想環境がこうした傾向に合わせられない場合、早期のマルウェア検知が困難になります。

　対応OSが少なく、かつ最新版OSの適用が遅れがちな仮想環境の場合、最新版OSの脆弱性をピンポイントで攻撃するマルウェアを検知できないことが想定されます。WebブラウザやMicrosoft Officeといったアプリケーションについても、最新版への対応が遅れる場合は同様のリスクを抱えることになります。

　このように、サンドボックス製品の仮想環境にはさまざまな制限がある可能性があります。こうした制限を認識した上で、巧妙化・複雑化するマルウェアに対してどこまで柔軟に対処できるかが課題となるのです。

　最近の標的型攻撃では、標的組織の環境を完全に特定しているとしか考えられないマルウェアも登場しています。例えば、標的組織のマシン名やサーバなどの命名規則とマッチしないと実行しないといったサンドボックス回避策を実装したマルウェアが、実際に確認されています。

　マルウェアの巧妙化は止めどなく進み、サンドボックス製品による検知を回避するべく進化しています。対するセキュリティベンダーは、それに打ち勝つ技術の向上に注力しています。攻撃者とセキュリティベンダーのいたちごっこが、他のセキュリティ製品と同様、サンドボックス製品でも起こっているのです。

　今回は、現状のサンドボックス製品が抱えるさまざまな課題を見てきました。サンドボックス製品は有効な手段ではありますが、万能ではありません。単一の製品／技術だけに頼ると、攻撃者に裏をかかれる恐れがあります。ベンダーによるサンドボックス製品の課題解決も重要ですが、同時にそれを補完する製品／技術やアプローチの導入も、企業のネットワークを脅威から保護する上では必要です。

　第4回は「サンドボックス技術の課題に対抗する最新の技術」について、当社のサンドボックス技術とそれをとりまくフレームワークを中心に解説します。