エンドポイントでの対策

　2つ目のエンドポイントでの対策というと、真っ先に思い付くのがウイルスなどのマルウェアに対処するマルウェア対策ソフトウェアの導入ではないだろうか。マルウェア対策ソフトウェアは、既にほとんどのユーザー企業が導入済みだと考えて差し支えないだろう。

　ただし、標的型攻撃対策として考えた場合、従来のマルウェア対策ソフトウェアには限界があることはよく知られている。従来のマルウェア対策ソフトウェアは、パターンファイルやシグネチャを使ってマルウェアを含むファイルを検知する仕組みを持つ。これは既知のマルウェアに対しては十分な効果が得られる半面、「ゼロデイ攻撃」といわれる未知のマルウェアやエクスプロイト（脆弱性を突いた攻撃をするプログラム）を検知するのは極めて難しい。

　最近流通しているマルウェアは、70～90％がファイルハッシュの異なる固有のものであることが分かっている。かつそれぞれのマルウェアは、比較的短期間で使用されなくなる傾向がある。攻撃者がマルウェア作成ツールを安価に入手できるようになり、かつ作成ツールの自動化も進んだことで、攻撃者が攻撃先ごとに新しいマルウェアを容易に作成できるようになったことが、こうした状況を生んでいると推測できる。

　未知のマルウェアやエクスプロイトに対抗するには、ファイルハッシュやシグネチャに頼らない新しい検知ロジックを持つエンドポイントセキュリティ対策が必要となる。その具体例は3つある。

1つ目：振る舞い検知型製品

　1つ目は、マルウェアやエクスプロイトの振る舞いを認識して検知するエンドポイントセキュリティ製品だ。未知のファイルであっても実行時の挙動でマルウェアか否かを判断するので、ゼロデイのマルウェアやエクスプロイトでも検知できる。

　課題は、稼働しているプロセスの挙動を監視することになるので、CPUなどの端末リソースを多く必要としてしまう点だ。最新のクライアント端末を利用していれば問題ないかもしれないが、導入後に端末が遅くなったと感じてしまうことが懸念される。

2つ目：テクニック検知型製品

　2つ目は、マルウェアやエクスプロイトが使用する各種の「テクニック」を検知して防御するエンドポイントセキュリティ製品である。ここでいうテクニックとは、マルウェアやエクスプロイトに特有の、以下のような処理内容のことである。

• 攻撃用コードを準備する際に使用する「ヒープスプレー」
  • 広範囲なメモリに「何もしない」（NOP）コードと攻撃用コードを展開
• メモリ破損を引き起こす「バッファオーバーフロー」「ヒープオーバーフロー」
• あるプロセスが他のプロセスへ自らのスレッド（プロセスを構成する処理単位）を挿入する「スレッドインジェクション」

　テクニック検知型製品では、実行ファイルが上記のような特定処理をしたタイミングでプロセスを強制終了させ、攻撃を阻止する。これは、実行ファイルがマルウェアやエクスプロイトのファイルであるかどうかを判断する、シグネチャ型製品や振る舞い検知型製品の仕組みとは異なる。

　マルウェアやエクスプロイトは通常、既に存在している複数のテクニックを組み合わせて作成される。1年の間に新たに作成されているとみられる数百万件のマルウェア、数千件のエクスプロイトから、マルウェアでは年に数十～数百種、エクスプロイトでは2～4種の新たなテクニックが明るみに出ている。

　実際の攻撃には、これらのテクニックのうち3～5種程度が用いられる。マルウェアやエクスプロイトが新しいテクニックだけで構成されるケースは少ない。既存のテクニックのうちのどれかを止めることができれば、新しいテクニックを使った攻撃でも防御が可能となる。

　振る舞い検知型とは異なり、プロセスの挙動を見ているわけではないので、CPUなどのリソースは少なくて済む。その半面、正規のプログラムが上記のテクニックを使用している場合には、個別に除外していく必要がある。

3つ目：ファイル暗号化

　エンドポイントで実施できる対策として、もう1つ重要なものがファイル暗号化だ。重要なデータが入っているファイルに対しては、可能な限り暗号化を施すことが望ましい。標的型攻撃の場合には、ディスク単位で暗号化するHDD暗号化では意味がなく、ファイル単位で暗号化を施す必要がある。HDD暗号化は端末の盗難時などには効果的だが、標的型攻撃でシステムを乗っ取られた状況では端末は既に起動しているので、既に復号された状態になっている。そのため、ファイルごとに個別に暗号化する必要があるわけだ。

　内部対策で重要なことは、いかに脅威の拡散を防ぎ、いち早く脅威を見つけて対処するかということである。今までは業務効率やコストの観点から企業ネットワーク内部のセキュリティについては後回しにしてきた企業が多いのではないだろうか。社会保障と税の共通番号（マイナンバー）制度が施行され、企業内に重要な個人データが蓄積されていくこの機会に、ぜひとも内部対策の再検討を始めていただきたい。

　次回は、社内ネットワークから外部への不正な通信を検知・制限する「出口対策」について見ていく。