Windowsの“構造的弱点”を悪用する攻撃手法が判明、パッチ作成すら不可能？（2/2 ページ）

公開 2016年11月09日 08時01分

著者

Michael Heller

[TechTarget]

印刷する Googleで優先するソースとして追加

取り得る対策は

　セキュリティ企業Core Securityのシステムエンジニアを務めるボビー・クズマ氏は、特に恐ろしいのはアトムテーブル攻撃を簡単に実行できることだと指摘する。「実行するのは極めて簡単だ。私は約半時間でPoC（概念実証）コードから攻撃を再現できた。私自身はこの種のテクニックの専門家ではない。だから心配なのだ」（同氏）。アトムテーブル攻撃を可能にするAPIの呼び出しには特権が必要ないので、攻撃者が何らかのコード実行手段を手に入れれば、この攻撃で正規のプロセスに悪質なコードを注入できるという。

　アトムテーブルの問題は修正できないので、パッチという考え方は通用しない。取り得る対策の1つは、ホスト型のIPS（不正侵入防止システム）製品を利用して、悪質な操作を引き起こすAPI呼び出しを監視することだとリーバーマン氏は説明する。「現時点では冷静になることが大切だ。AtomBombingは攻撃者の新たな手段の1つにすぎない。攻撃者は侵入防止技術をすり抜けるために、新旧を問わず次々とツールを繰り出してくる」（同氏）。またタガート氏は、リアルタイム監視を備える最近のセキュリティ製品であれば、攻撃プロセスに伴う異常な操作を認識して、攻撃を検知・破壊できるはずだと指摘する。

　クズマ氏によると、Microsoftはこのコード注入問題を修正できない可能性があるという。アトムテーブルを変更すると、深刻な悪影響が及びかねないからだ。「アトムテーブルのメカニズムは、Windowsの根幹を成すカーネルのさらに基礎部分だ。これを削除したり、その仕組みを変更したりすれば、多くのソフトウェアが内部的に壊れてしまう。Microsoftが危険な変更をするとは思えない」（同氏）。それよりも、相互のスレッドに対してサンドボックスとして機能する抽象化レイヤーを導入する可能性が高いと同氏は見る。「これは一般的に賢明な方法だ」（同氏）

　タガート氏によると、高度な攻撃手法の中には、パッチの適用が困難、あるいは不可能なアーキテクチャ面の弱点を狙うものもあるという。この問題に対処するには、プログラムを一から作り直す必要がある。だがOSを一から作り直すのは大変だ。「MicrosoftはAtomBombingの攻撃経路を次々と閉鎖するだけで、構造的な弱点には手を付けないだろう」とタガート氏は話す。ただし今後の展開については「新たに登場した攻撃手法なので、分からない」と付け加える。