Webブラウザのセキュリティ対策講座
Webブラウザの脆弱性悪用攻撃を防ぐには？
インターネット経由の攻撃を防ぐため、Webブラウザにパッチを当てる以外の手段について尋ねる。
質問：パッチを当てること以外に、Webブラウザの脆弱性を突いた攻撃を回避する効果的な方法はあるか。
セキュリティは層の厚さがものをいう（技術的、手順的な層を含む）。これ1つで万全といえる手段は存在しない。
パッチもこれに含まれる。ではそのほかに何をすればいいのか――良い質問だ。
まず、自分が選んだWebブラウザの最新版を利用すること。これによって累積パッチだけでなく、利用可能なセキュリティ機能をすべて確実に入手できる。フィッシング対策フィルタを利用すれば、正規サイトの悪質なクローンをユーザーが見てしまう確率が減り、セキュリティが向上する。
また、主要なWebブラウザはすべて、プラグインで機能を拡張できる。しかしこうしたプラグイン（例えばPDFやFlashのビュワーなど）が脆弱性を引き寄せたり、悪質な性質を持っていることもあり得る。インストールしたプラグインがすべて必要なもので、最新版でかつ更新されているか確認する必要があるだろう。
どうしても必要な場合を除き、アプリケーションを管理者権限で実行しないことも保護レイヤーの1つになる。Webブラウザでのアクセスに管理者権限は必要ない。ユーザーアカウントに管理者権限があれば、実行されるアプリケーションはすべてその権限を持ち、OSを変更することもできてしまう。
管理者権限のないアカウントを使えば、トロイの木馬やアプリケーション悪用コードの多くは完全実行を阻止できる。OSでレジストリキー変更の許可を与えられていなければ、ひそかに起動したアプリケーションも同じ制約を受ける。
利便性の問題から、エンドユーザーが管理者権限を持っている場合も多い。しかし、意図した変更を必要に応じて実行する目的で（それが害になることもある）、たとえ管理者アカウントが利用できるとしても、予想外の被害に遭う件数は減るだろう。
次に、Webトラフィックを監視して悪質な行為を見つけ出し、うまくいけば食い止めてくれるホストベースの侵入検知システムを検討する。この分野である程度の機能を備えたエンドポイント保護製品も多いが、その効果はベンダーによってかなり差がある。悪質なWebサイトにアクセスすれば、Webブラウザがスクリプトや実行可能ファイルをダウンロードして実行してしまうかもしれない。この場合、ウイルス対策製品が助けになり、こうした脅威を見つけ出して遮断してくれるはずだ。
ホストから離れると、プロキシの利用もWebブラウザのセキュリティを守る手段となり得る。また、Webブラウザはすべてのトラフィックにプロキシを通過させる設定にもできる。プロキシはトラフィックを調べ、リクエストしたエンドユーザーに攻撃が到達するのを防止できる。こうした保護措置は、既知の悪質サイトへのアクセスを遮断するURLブラックリストのように単純なこともあれば、JavaScript攻撃など予期せぬ迷惑コード検出のための定義ファイルのように複雑なこともある。
Webブラウザの脆弱性に対抗するためには、どのWebブラウザを使うかも考えなければならない。Internet Explorerは、ほかのWebブラウザと相性の良くないレガシーアプリケーションにも対応しているかもしれないが、ほかに比べて脆弱性がはるかに高く、未修正の脆弱性が知れわたっていることも多い傾向がある。主要なWebブラウザの脆弱性比較について調べてみるのもいいだろう。
非常に重要なWebアクセスのセキュリティを守る一助として、目的別に専用のWebブラウザを使うこともできる。例えばGoogle Chromeをオンラインバンキングのみに使っていれば、プラグインなどの手段を通じてマルウェアがWebブラウザに侵入する確率は低い。
最後に、仮想マシン（VM）や（UbuntuやUBCD4Winなどの）ブータブルCDを使ってOSとWebブラウザを起動するやり方もある。そのOSとWebブラウザは古いバージョンで脆弱性があるかもしれないが、それを悪用できるのは、そのユーザーセッションの間に限られる。WebブラウザやOSが攻撃されたとしても、次回の利用までは持ち越されないため、このオプションはWebブラウザを利用する際のセキュリティを確実にしたり（例えば銀行取引など）、マルウェアが仕込まれているかもしれないWebサイトのリスクを抑える役に立つ。
本稿筆者のトム・チミエラルスキ氏はGlassHouse Technologiesの上級コンサルタント。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社インターネットイニシアティブ] 人材不足と属人化が深刻に 「攻められない情シス」を変革する一手とは？ -
製品資料
[株式会社イトーキ] 会議室が「空いてるのに使えない」問題の解決策とは？ -
事例
[株式会社イトーキ] 製造現場を取り巻く経営課題 「持続的な現場力」を強化する方法とは？ -
製品資料
[株式会社イトーキ] 社員の力を引き出す、「ABW（Activity Based Working）」を実現する秘訣とは？ -
製品資料
[株式会社BREXA Technology] 「インシデント初動対応」が遅れる3つの構造的要因とは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Active Directory」復旧で“詰む”企業が続出 ランサムウェアに備える4対策
-
2
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
3
企業が「Microsoft Azure」を選ばざるを得ない理由
-
4
なぜノートPCの更新が「4年→6年」に？ AIインフラ急拡大の余波
-
5
「セキュリティ運用と侵入後の初動防御」に関するアンケート
-
6
「RAGは終わった」は本当か――ロングコンテキストが変えたこと、変えられないこと
-
7
「Citrix NetScaler」に28件、「Apache」にRCE脆弱性――今朝の情シスニュース
-
8
「ITサービスマネジメントの利用実態」に関するアンケート
-
9
IBM iのブラックボックス化を打破 資産継承と進化を実現する「IBM Bob」の実力
-
10
“RAG is dead”は本当？ AIエージェントが切り拓く「次世代RAG」と検索の未来
ホワイトペーパーランキング PR
-
1
「IT史に名を残すシステム障害」8選
-
2
AIが苦手な「汚いデータ」になっていない？ AI投資を無駄にしないための注意点
-
3
急増する高度なフィッシング詐欺 先回りしてブロックするには何が必要？
-
4
法人向け光回線のプランはどう選ぶ？ 機能面／保守体制／コストを一覧で比較
-
5
三井ホームに学ぶ「無線LAN環境」構築 快適なオフィスと高度なIT運用の両立法
-
6
SNMPより詳細で、パケット解析より簡単な「トラフィック可視化・分析」の方法
-
7
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
8
「RPA導入の成果が出ない」を防ぐ、成果につながる自動化対象業務の選び方
-
9
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
10
サイバー脅威「トップ50」完全解説ガイド、新たな攻撃手法に対抗するには
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー