マルウェア駆除のためのベストプラクティス

　大半のベンダーは、マルウェア駆除について何かしらの支援策を提供している。特定のマルウェアを駆除するためのツールの提供もその一例だ。例えばMicrosoftの「Malicious Software Removal Tool」やAppleのマルウェア対策機能の他、Android／iOS向けのツールもある。市販のセキュリティ製品と併せて活用するとよいだろう。

　検知したマルウェアを駆除する方法については、マルウェア対策製品が指示を与えてくれる。マルウェア対策製品が登場して以来、その点は変わらない。企業はヘルプデスクとインシデント担当者がマルウェアに対処できるように、標準的な手順を定める必要がある。手順には「パスワード変更の要求」「制限付き管理者アカウントを使ったシステム調査」「オンラインでの調査」などを含める。

　ハードウェアインプラントやファームウェア感染型マルウェアなどの技術進歩に伴い、「そもそもシステムは侵害されているのかどうか」の判断がますます難しくなっている。こうした高度な攻撃を仕掛けられたら、もはや感染したハードウェアの修復は不可能かもしれない。そこまで高度な攻撃でなくても、マルウェアを完全に駆除するのは難しいかもしれず、非常に時間の掛かる作業となることもある。

　システムを一から再インストールしたとしても、HDDのブートセクタに潜んでいるマルウェアは恐らく駆除できない。従ってシステムの再インストールや再イメージング（1つの基本イメージから複数のデバイスへのソフトウェアのコピー）を実行するのであれば、先にシステムを完全にワイプする必要がありそうだ。最悪の場合、ファームウェアが感染していれば、ハードウェアの交換が必要かもしれない。

　OSの再インストールを自動化する手順を確立することは、システム展開の観点から重要だ。さらにマルウェア感染後にシステムを再インストールする際にも大いに役立つ。マルウェアに感染した後、企業がシステムの再構築ではなく修復を選ぶ理由の1つは、再構築に時間がかるからだ。再インストールを完全に自動化できれば、そうした懸念を解消し、安全性を高めることができる。

　絶対的なベストプラクティスといえるのは、適切なインシデント対応計画を立てることだ。システムやネットワークの不審な活動を検知するための製品にどのようなものがあるかを知っておくことは、極めて重要になる。こうした検知製品は、システムが侵害されたかどうかを判断する上で重要な役割を果たす。

　前述したファイル改ざん検知製品やホワイトリスト型セキュリティ製品などのセキュリティ監視製品を使ってローカルシステムの活動を監視し、さらにネットワークモニターを使って別のシステムから全てのネットワークトラフィックを監視する。そうすることで、あらゆる不審な動きを把握することが可能だ。インシデント対応の手順を策定する際には、自社にとってどのセキュリティ製品がベストかを判断する必要がある。

　セキュリティ対策を効率的に実施するには、自社のリスク許容度を知ることが重要だ。いくら入念にシステムを監視しても、マルウェアに感染したシステムで実際に何が起きたのかは分からないことがある。リスク許容度が低い企業は、不審な活動が検知された場合にはシステムを再フォーマットするよう義務付けるとよい。一方、リスク許容度が高い企業であれば、「マルウェア感染したシステムに機密データが含まれない場合は、ヘルプデスクのプロフェッショナルな技術者が正規の手順でシステムを修正する」という対応で十分かもしれない。