事例で学ぶ、マルバタイジング（不正広告）によるサイバー攻撃

　これは「マルバタイジング」というサイバー攻撃による被害です。マルバタイジングとは、マルウェアと広告（アドバタイジング）を合わせた造語です。攻撃者はWebサイトに掲載されているバナー広告を配信するための「広告配信用サーバ」を攻撃します。バナー広告にマルウェアを仕掛け、Webサイトを閲覧しにくる利用者のPCに脆弱性が残っている場合、バナー広告をクリックしなくてもマルウェアに感染し、被害に遭ってしまうという、Webサイト閲覧者にとっては非常に厄介な攻撃手法の1つです（図1）。

図1　マルバタイジングとは《クリックで拡大》

　特徴として以下のようなことが挙げられます。

• Webサイト自体に問題はない（Webサイトの脆弱性を突いた攻撃手法ではない）
• バナー広告をクリックしなくても、Webサイトを閲覧しただけで感染
• いつ、どのタイミングで、どのWebサイトが「不正広告」を仕掛けられるか読めない

　似たような攻撃手法としては「ドライブバイダウンロード」があります。こちらは、脆弱性のあるWebサイトに攻撃を仕掛け、閲覧者のPCに脆弱性が残っている場合にマルウェア被害に遭ってしまうという手法です。共通していえるのは、前述のチェック項目で挙げた対策を網羅的に実施しておらず、利用者側のエンドポイント（PCなどの端末）に脆弱性が残ったままである、という点です。

　対策は「エンドポイントの脆弱性をつぶすこと」に尽きます。脆弱性を一元管理し現状を把握した上で、一斉に脆弱性をつぶす修正プログラムを配信できるようにするのです。

従業員10人以上の企業は「Active Directory」と「WSUS」の導入を考えよう

　具体的には次の対策をお薦めします。

• 「Windows Server」搭載サーバを用意し、ディレクトリサービス「Active Directory」用サーバにする
• エンドポイントを全てActive Directory配下で管理する
• 修正プログラム展開ツール「Windows Server Update Services」（WSUS）を利用して、社内PCのWindows Updateの実行を一元化する（図2）

図2　Active DirectoryとWSUSの導入イメージ《クリックで拡大》

　社内で利用しているPCが10台未満であれば、PCの得意な担当者が見回って、Windows Updateをきちんと実行しているかなどを確認できる可能性があります（この方法は工数と手間がかかるのでお薦めはしませんが）。しかし、20台、30台と端末の台数が増えていくにつれ、適切にWindows Updateを実行しているかどうかを人力でチェックするにも限界があります。

　コンピュータに疎い従業員に対して「Windows Updateを適宜実行するように」と促したとしても、実行してくれない可能性も当然考えられます。そのため、社内で一元管理する環境を構築し、一元的に修正プログラムを最新状態にするのが最も望ましい対応になります。

　まずはActive Directoryを導入します。Active Directoryとは、利用者のPCを管理者が一元管理する仕組みです。Windowsにログオンするために必要となるIDやパスワード、社内リソース（ファイルサーバなど）のアクセス権限を一元管理したりするものです。

　Active Directoryに登録されたユーザーやグループ、PCなどに対し、セキュリティのルールを一括で割り当てたい場合には、セキュリティポリシーを適用することで一元管理ができるようになります。パスワードのログオンルールを複雑（英文字、数字、記号の組み合わせで8文字以上にする、など）にして、全ての利用者に一斉に割り当てるといった、セキュリティ対策の強化もできます。

　加えてWSUSを利用します。WSUSは、Windows Updateを一元的に管理、運営するためのサービスです。サーバ画面から、Active Directoryに登録されている全てのPCへ一斉にセキュリティパッチを配布できるようになるので、脆弱性対策のばらつきを抑えることができ、セキュリティレベルを高めることができます。

　Active Directoryで、Microsoftが提供していないアプリケーション（JavaやFlashなど）の修正プログラムを強制アップデートさせることはできますが、少し高度な技術スキルを要するため、難しい場合はITベンダーに依頼するのがよいでしょう。

　それらを保管する仕組みとして、統合資産管理ツールやウイルス対策ソフトウェアのベンダーが提供しているサービスの1つとして、WSUSと連携するサービスや、セキュリティパッチを提供するサービスを用意している場合もありますので、こうしたツールを利用するのもよいでしょう。

　セキュリティ対策の第一歩は、脆弱性をつぶすこと。脆弱性対策を止めた瞬間に、攻撃者の格好の餌食になってしまいます。コンピュータを使っている以上、「継続的に脆弱性をつぶし続けること」が全ての利用者に求められる必須ルールなのです。

那須慎二（なす・しんじ）

大手情報機器メーカーを経て船井総合研究所に入社。ネットワークセキュリティの安全対策と解決策に詳しい。「日本一分かりやすいセキュリティ」をモットーに、中小企業を対象にしたサイバーセキュリティ問題や、対策に関する啓発活動を実施。実際に、全国の地域各社で年間100回以上開催する講演は「今まで聞いた中で一番分かりやすい！」と好評を得ている。著書「小さな会社のIT担当者のためのセキュリティの常識」（ソシム）がある。

参考リンク

「小さな会社のIT担当者のためのセキュリティの常識」（Amazon.co.jp）