簡単攻撃ツール「Blackhole」普及で脆弱性悪用が急増――米Microsoft報告書より：2012年上半期のセキュリティ動向

アプリケーション脆弱性の公表件数が増加。Javaの脆弱性に攻撃者が注目――。米Microsoftの報告書を基に、2012年上半期のセキュリティ動向を総ざらいする。

[Moriah Sargent，TechTarget]

　米Microsoftがまとめた最新の報告書によると、過去数年の間、減少を続けていたアプリケーションの脆弱性が、2012年は上昇に転じた。さらに、コーディングエラーを狙った多数の攻撃の背後には、自動化された攻撃ツールキットが存在するという。

関連記事

• オーロラ攻撃やStuxnetの引き金に――ゼロデイ脆弱性とどう対峙すべきか
• 【製品動向】iOS／Android対応が進む「脆弱性診断サービス」
• 「人の脆弱性」をあぶり出す、4つの侵入テスト手法

　Microsoftの「セキュリティインテリジェンスリポート第13版」は、2012年1月～6月までの上半期の動向を分析。脆弱性やエクスプロイト、スパムなど、セキュリティ関連の幅広いトピックを網羅する。Microsoftによると、この報告書は、同社のウイルス対策ソフトウェアと更新の仕組みを導入している6億台以上のコンピュータから収集したデータに基づくという。アプリケーションの脆弱性に関する分析は、米国立標準技術研究所（NIST）が運営する脆弱性データベース「National Vulnerability Database」で公開されているデータを利用した。

　アプリケーションの脆弱性の件数は、2011年下半期は1200件に満たなかったが、2012年上半期は約1400件に急増した。この期間に公表された全ての脆弱性のうち、アプリケーションの脆弱性は70％以上を占め、Webブラウザの脆弱性とOSの脆弱性は200～400件となっている。

関連記事

• 「IE 9のセキュリティ」は他のWebブラウザよりも優れている？
• Webブラウザの脆弱性悪用攻撃を防ぐには？

　2012年上半期に公表された脆弱性の件数は、2011年下半期に比べて11.3％増えた。2011年上半期に比べるとほぼ5％増となる。Microsoftによれば、増加の原因は主に、アプリケーションの脆弱性の公表数が増えたことによる。

　脆弱性管理ベンダーである米Qualysのウォルフガング・カンデック最高技術責任者（CTO）は、「アプリケーションに脆弱性が存在するのは、ソフトウェア開発に問題があるためだ」と解説する。開発者はアプリケーションの機能には気を配るが、「セキュアな方法で開発することにはあまり注意を払わない」という。

関連記事

• Androidアプリの40％が欠陥品!?　原因は安易な開発姿勢
• AndroidのマルウェアがiOSよりも多い理由

　アプリケーションの脆弱性に加えて、ソフトウェアアップデートのリリースサイクルも早まっている。セキュリティ部門は、リリースサイクルの短縮に対応するのが難しくなっているとカンデック氏は言う。多くのIT部門では、パッチの適用によってカスタマイズアプリケーションに不具合がないことを確認するため、パッチを導入する前に十分なテストを実施している。

関連記事

• Oracleの四半期パッチはどのくらい重要か
• 攻撃コードの出現スピードに対抗する「仮想パッチ」の金銭効果（ホワイトペーパー）

　HTMLとJavaScriptの脆弱性を突いた攻撃は、2012年1～3月期と比べると減ったものの、依然として最も好まれる攻撃の手口であることに変わりはない。Microsoftによれば、この手口を使った攻撃は、約350万台のコンピュータで検出された。

　一方、Javaの脆弱性を突く攻撃は増加し、悪用件数の多さで2位を維持した。Javaの脆弱性を突く攻撃が増えたのは、Java Runtime Environment（JRE）に存在する「CVE-2012-0507」「CVE-2011-3544」の脆弱性情報が公表されたことによる。続く3位はドキュメントの脆弱性、4位はOSの脆弱性だった。

脆弱性悪用を加速させる「Blackhole」

　脆弱性悪用ツールキットの「Blackhole」は、最も一般的に利用され、HTMLやJavaScript、Javaの脆弱性を突いた攻撃を加速させる要因となっている。

関連記事

• 狙われるAdobe製品とJavaの脆弱性
• Java狙いの攻撃が活発化、米Oracleはどう対処している？

会員登録（無料）が必要です

続きを読む