ネットワーク上でのスパイウェア対策

　大抵の企業の場合、デスクトップ上でのスパイウェア対策だけでは不十分である。従業員がウイルスに感染したノートPCを社内ネットワークに接続することもあるし、デスクトップ用のスパイウェア対策ソフトウェアが壊れていたり、期限切れになっていたりすることもある。また、訪問客や下請け業者、在宅ワーカーなどが、会社で指定したスパイウェア対策プログラムを使用していないこともあるだろう。ネットワーク全体をスパイウェアから防御するには、IT部門が容易に管理できるネットワークベースの製品が必要不可欠である。

　UTMアプライアンスは、ネットワークエッジにスパイウェアポリシーを適用するという形でデスクトップでのスパイウェア対策を補完する。シスコシステムズ、クロスビームシステムズ、ジュニパーネットワークス、フォーティネット、ウォッチガードテクノロジーズ、ソニックウォールといった企業が提供しているUTMアプライアンスの多くは、ファイアウォール、侵入防止、ウイルススキャンの各機能を統合している。また、VPN、Webフィルタリング、スパム対策、スパイウェア対策といった追加的セキュリティサービスを提供している製品もある。

　この統合的アプローチは、スパイウェア対策にも効果がある。ネットワークベースの防御は、アウトバウンドリクエストのフィルタリング（ファイアウォールやWebフィルタなどにもこういった機能が求められる）から、インバウンドコンテンツの検査（侵入検知やウイルス対策に似た機能といえる）まで、広い守備範囲をカバーできるからだ。各製品に実装された機能セットによっても異なるが、UTMアプライアンスのスパイウェア対策機能としては、以下のようなものがある。

危険なWebサイトへのアウトバウンドリクエストのブロック

　スパイウェアの侵入は大抵、Webページやフィッシングメールに埋め込まれた悪質なURLをユーザーがクリックすることから始まる。UTMアプライアンスは、アウトバウンドのHTTPトラフィックをフィルタリングし、ブラックリストに含まれるドメインや、禁止カテゴリー（フィッシングサイト、P2Pファイル共有サイト、アドウェアサイト、スパイウェアサイトなど）に含まれるURLへのアクセスをブロックすることができる。一般に、問題が起きる前にそれを防止するのは、後から問題に対処するよりも安上がりである。除去するのが困難なスパイウェア（特にrootkit）の侵入を受けた場合、ホストの信頼性を回復するには、システム全体を再構築しなければならないこともある。

禁止されたオブジェクトをインバウンドメッセージから除去する

　アプライアンスが利用する公開ブラックリスト／URLデータベースは常に更新されているが、新しいスパイウェアはその間隙をすり抜けて侵入する。ほとんどのUTMアプライアンスでは、HTTP、FTP、POPなどのプロトコルによって送信されるアクティブコンテンツや禁止されたMIMEタイプ（ActiveXコントロール、Javaアプレット、VBスクリプト、実行可能プログラムなど）をブロックするように設定することもできる。しかしこれには落とし穴もあるので要注意だ。例えば、実行可能プログラムを「隠す」ためにzipファイルが使用されたり、SSLによってHTTPセッションが暗号化されているといったこともあるのだ。

ネットワークベースのスパイウェアスキャニング

　UTMアプライアンスの中には、メッセージヘッダとコンテンツタイプを検査するだけでなく、インバウンドアプリケーションのペイロードをスキャンして既知のスパイウェアが含まれていないかチェックする機能を備えたものもある。このテクニックは、デスクトップ用のスパイウェアスキャニング機能の論理的延長といえるものだ。UTMアプライアンスもデスクトップスキャナと同様、定期的に更新されるシグネチャデータベースを利用することができる。また、スパイウェアが検出されたときの動作（排除、清浄化、削除、隔離など）を設定できる製品もある。

バックチャネルのブロッキング

　デスクトップ用スパイウェア対策プログラムとは異なり、UTMアプライアンスは、デスクトップに仕掛けられたスパイウェアのローカルシステム上での挙動を監視することはできない。しかし、ネットワーク上でのスパイウェアの挙動には迅速に対応できる。多くのUTMアプライアンスは、マルウェアデータベースを利用して既知のスパイウェアバックチャネルをブロックすることができる。こういったバックチャネルとしては、アドウェアサーバへのアウトバウンドHTTPコネクション、インスタントメッセージングなどの非業務アプリケーションによるアウトバウンドコネクション、遠隔制御されたトロイの木馬やキーストロークロガーによって送信される「Phone home」メッセージなどがある。感染したホストを特定するのに役立つ警告を発する機能や、復旧作業の前に感染ホストを隔離して被害の拡大を防止する機能を備えたアプライアンスもある。

　スパイウェアとの戦いにおいては、単一の対策だけでは不十分である。例えば、UTMアプライアンスは、外部のネットワークに接続されたリモートアクセスデバイスを防御することはできない。デスクトップ用とネットワーク用のスパイウェア対策を組み合わせることによって、両方の守備拠点をカバーすることができるのだ。

　UTMアプライアンスの種類は非常に多岐にわたり、今後もスパイウェアとともに進化を続けるだろう。このため、個々の製品の機能セットを詳細に検討し、それがスパイウェアという災厄との戦いでどのように役立つのかを確認することが大切だ。また、ネットワーク用スパイウェア対策機能がアプライアンスのキャパシティーとスループット、メッセージの遅延に与える影響についても真剣に考慮する必要がある。

　以上述べたように、UTMアプライアンスは、ますます陰湿化・悪質化するスパイウェアに対する防護を強化するとともに、このネットワーク上の脅威が業務と生産性に与える悪影響を軽減してくれるのである。

本稿筆者のライザ・ファイファー氏は、ネットワークセキュリティ／管理技術を専門とするコンサルティング会社、コアコンピタンスの副社長を務める。同氏は20年余りにわたり、データ通信／インターネットワーキング／セキュリティ／ネットワーク管理製品の設計、導入、評価に携わってきた。コアコンピタンスでは、中小／大手企業顧客向けに、セキュリティニーズ、製品評価、新技術の利用、ベストプラクティスなどに関してアドバイスを行っている。コアコンピタンスに入社する前は、ベルコミュニケーションズリサーチの技術スタッフとして活躍し、ATMネットワークの管理に関する研究で社長賞を受賞した。