ファイアウォールによる対策

　従来のファイアウォールは、主に入口対策としてインターネットから社内へのアクセスを制限することに注力していた。最近は社内からインターネットへのアクセスに関してもファイアウォールを活用し、特定のポート以外の通信は許可しない企業もある。特に目立つのが、ファイアウォールとプロキシサーバを組み合わせて、社内からインターネットへのWebアクセスには、プロキシサーバのアドレス宛てのものだけを許可する動きだ。

　この場合、プロキシサーバとの通信を想定していなかったり、HTTP以外のプロトコルを使用したりしているマルウェアについては、外部との通信をファイアウォールでブロックできる。そのため、攻撃用サーバであるコマンド＆コントロールサーバ（C＆Cサーバ）と接続できず、攻撃は失敗となる。ただし、マルウェアの中にはプロキシサーバ経由でのアクセスが可能なものも少なくないので、注意が必要だ。

　プロキシサーバを使用しておらず、ファイアウォールだけで運用している環境では、80番ポート（HTTPで利用）や443番ポート（HTTPSで利用）の利用を許可すると、これらのポートを使った別のプロトコルの通信も許可されてしまう。ポート番号ではなく、実際のプロトコルやアプリケーションの内容に応じた制御を実現するには、次世代ファイアウォールやIPSなど、アプリケーションレベルで通信内容を判断できる仕組みを導入する必要がある。

URLフィルタリングによる対策

　インターネットのWebサイトへのアクセスを制限する最も一般的な方法が「URLフィルタリング」である。アクセスを許可あるいは拒否するURLをリスト化し、クライアントからのリクエストごとに評価し、アクセスを制御する。URLフィルタリングには単機能製品もあれば、ファイアウォールやプロキシサーバ、ルーターなどに1機能として組み込まれているものもある。URLフィルタリングを導入済みの企業は、業務に関係のないアダルト、ゲーム、ギャンブルなどのWebサイトやサイト種別（カテゴリ）に対してのアクセス制限にURLフィルタリングを活用しているのではないだろうか。

　最近では標的型攻撃対策に活用できるように、新たなカテゴリを設けているURLフィルタリング製品もある。特にマルウェア配布サイトやC＆Cサーバは頻繁にURLが変更されたり、新しいWebサイトが追加されたりするので、URLデータベースの見直しや配信の間隔を短くしているベンダーもある。既にURLフィルタリング製品を導入済みの企業でも、既存環境の再確認とポリシーの見直しをお勧めする。また現在では、サンドボックス製品などと連係して自身のURLデータベースを更新可能な製品もある。新規導入の際には検討材料の1つになるはずだ。

従来の出口対策を回避するサイバー攻撃が登場

　ここまで見てき出口対策は、基本的にインターネットのWebサイトへのHTTP／HTTPS通信を制御する場合の話になる。しかし、最近のサイバー攻撃ではこれらを回避するために、あえてHTTP／HTTPS通信を使わないものも増えてきている。代表例が「DNSトンネリング（DNS Tunneling）」である（図）。

図　HTTP／HTTPS通信を使用しないサイバー攻撃の例（DNSトンネリング）《クリックで拡大》

　DNSトンネリングは、DNSサーバ経由でデータを不正に送受信する攻撃手法だ。DNSのホスト名やTXTレコードに最大255バイトまでのデータが格納できる点を悪用し、DNSクエリのホスト名とDNSレスポンスのTXTレコードに暗号化した任意の文字列を入れ、データをやりとりする。通信自体は正常なDNSトラフィックなので、ファイアウォールやIPSなどのセキュリティ製品でこのトラフィックを止めることは難しい。

　この攻撃を防ぐためには、不正な設定を施したDNSサーバへの問い合わせそのものをブロックしなければならない。ただし、DNSサーバで利用する53番ポートを完全に閉じることはできない。ファイアウォールでは通常、最低でも1台のDNSサーバに対して53番ポートを開放しているはずだ。これはDNSの仕組み上、避けることができない。

　不正なDNSサーバの一覧が入手可能であれば、内部DNSサーバでそれらのDNSサーバに対する参照をブロックすることはできる。ただし、日々変更されるDNSサーバ情報を手動で更新し続けていくことは不可能に近い。現実的には、次世代ファイアウォールなど一部のセキュリティ製品が搭載する、悪意のあるDNSサーバに関するDNSシグネチャを利用したC＆Cサーバへの通信ブロック機能が必要になるだろう。

対抗する新しい技術

　DNSトンネリングのように、既存の出口対策を回避する攻撃が増える一方、出口対策のための新しい技術も生まれてきている。マルウェアに感染した端末の早期発見を可能にする「DNSシンクホール（DNS Sinkhole）」という技術は、その代表例だ。

　DNSサーバが社内のクライアントから、既知の不正なホストに対するDNSクエリを要求したとしよう。そのときに、実際のC＆CサーバのIPアドレスとは別の偽IPアドレスを返し、マルウェアに感染した端末がC＆Cサーバへ接続することを阻止する機能がDNSシンクホールである。偽IPアドレスへのアクセスを確認しておけば、マルウェアに感染した端末を早期に発見できる。

　出口対策で重要なことは、不審な通信をいち早く見つけて対処することである。上述の通り、今までの出口対策を回避するための手法も出てきている。「プロキシサーバとファイアウォールで対策しているから大丈夫」などと過信せず、出口対策の見直しを検討していただきたい。

　次回は本連載の最終回として、これまで入口、内部、出口対策で紹介したセキュリティ製品について、標的型攻撃に見られる攻撃シナリオである「アタックライフサイクル」（連載第1回「“年金機構事件”は対岸の火事ではない　『標的型攻撃対策』を再考する」参照）に当てはめて解説する。