研究結果が示す通り、企業のWindowsクライアントにおけるマルウェア感染は、限られた数の脆弱性に起因する。そうした脆弱性のほとんど全てが、広く普及している一握りのサードパーティーアプリケーションに存在する。デンマークの調査会社CSIS Security Groupが2011年9月に発表した調査では、3カ月にわたってリアルタイムの攻撃データを調べた。その結果、ウイルス感染の実に85％が、市販のエクスプロイトキットを使って自動的に感染させる「ドライブバイ攻撃」によるものだった。そしてドライブバイ攻撃のほとんど全てが、上記の5種類のアプリケーションを標的としていた。

　だが、こうしたアプリケーションは本質的に危険なわけではない。CSISの事業責任者、フレデリック・ブラード氏によれば、これが攻撃者にチャンスをもたらす理由は主に2つあるという。

　「攻撃者が興味を持つのは、こうしたアプリケーションがほぼどこにでも存在するという性質のためだ。至る所でインストールされ、Webベース環境から容易に実行できる」（ブラード氏）

　もう1つの理由として同氏は、企業でサードパーティーアプリケーションのセキュリティパッチを迅速に導入することの難しさを挙げる。アプリケーションベンダーがセキュリティ問題を見つけて即座にパッチを公開したとしても、ほとんどの組織がパッチを適用するのは公開から2～3週間後だ。その間に攻撃者はその脆弱性を複数ある人気エクスプロイトキットの1つに取り込み、新たなドライブバイ攻撃を開始する。

　こうしたアプリケーションにパッチを当てること自体は難しいわけではない。CSISはホームユーザー向けの無料ツール「Heimdal Agent」を提供し、サードパーティーアプリケーションのパッチ適用を支援している。だがブラード氏によれば、大半の企業ではこのプロセスに苦慮しているという。Microsoft System CenterやIBM Tivoliなど、広く普及しているソフトウェアシステム管理プラットフォームを使えば、セキュリティパッチの適用を適切に処理できる。だが企業にとっては優先度の高いパッチを迅速に見極めてテストするのが難しかったり、あるいは単純に優先事項になっていなかったりする。

　ブラード氏は言う。「セキュリティと安定性のバランスをうまく保ちたければ、セキュリティパッチの重要性を個別に評価する必要がある。そして問題はそこにある。特定のビルドの脆弱性を突いた攻撃がいつ発生しているかについて、突然大量の知識が必要になり、事が極めて複雑になる。その複雑さに対応するのは難しい」

　こうした中、どのアプリケーションにパッチを当てるか、あるいはどのアプリケーションを利用するかにばかり着目したアプローチは失敗する運命にあるとの考え方も浮上しつつある。

　「守る側から見れば、どのアプリケーションも大して重要ではない」と話すのは、ニューヨーク大学科学技術研究所の非常勤教授、ダン・ギド氏である。同氏が関わる「Exploit Intelligence Project」では、インテリジェンス型のアプローチをマルウェア対策に応用して一群のマルウェアを最も効率的に防ぐ方法を見いだすため、2年越しの研究を行っている。

　同氏によれば、新たな脆弱性は次から次へと発覚しているが、それが効率的に悪用されない限り、ほとんど意味を持つことはない。「Windowsの現行バージョンに対して通用する現代のエクスプロイトを作成するのは相当の努力を要する。悪用可能なソフトウェアを使っている場合でも、悪用されるのを防ぐ手段が存在する」（ギド氏）

　Exploit Intelligence Projectが2008年と2009年に起きた大規模攻撃について分析した結果、鍵となる5～6個の設定変更を行うだけで、この期間に起きたエクスプロイト攻撃のほぼ全てに対して企業の守りを固められることが分かった。

　例えばメモリ関連の脆弱性を突く攻撃の多くは、「Data Execution Prevention（DEP）」や「Address Space Layout Randomization（ASLR）」などのメモリ保護機能を実装すれば防止できるという（DEPについては「ActiveXのセキュリティが改善されるInternet Explorer 8」を参照）。この機能は最新版のWindowsとアプリケーション開発ツール「Microsoft Visual Studio」のコンパイラに組み込まれている。同様に、特定のアプリケーション内部で悪用されることが多い不要な機能を無効にすれば、被害を出すことなく攻撃の多くを封じ込められる。例えばWebブラウザがインターネットゾーンにアクセスしているときはJavaを無効にする（そしてイントラネットや社内アプリケーションの場合はオプションでWebブラウザによるJavaの利用を認める）といった対策があるという。

　「守りを完全に固める必要はない。ただ攻撃者より一歩先んじていればいい」とギド氏は解説する。

　このような鍵となる部分のコントロールに重点を置けば、どのアプリケーションが悪用される可能性が高いかといった心配をせずに済むだけでなく、セキュリティパッチを当てる作業の負担も軽減できると同氏は言う。

　「より先手を打ったアプローチを取れば、脆弱性を突いた攻撃の多くは自社のアプリケーションには通用しなくなり、マイナーなパッチのアップデートの多くは不要になる。それよりも、例えばAdobe Reader 9を、サンドボックスが実装されたバージョン10にアップグレードするといったメジャーアップグレードに力を入れる方がはるかに重要だ。マイナーなパッチがカバーする脆弱性を突いた攻撃は、先端のメモリ保護機能を使って回避できるので、そうした脆弱性は修正したくなければ修正する必要はない」（ギド氏）

　こうしたサードパーティーアプリケーションは単純になくしてしまった方がいいという意見についてギド氏を納得させることは難しかったが、ブラード氏は私の意見におおむね同意してくれた。攻撃の多くはアプリケーション固有のライブラリを標的にしているので、悪用が日常茶飯事になったアプリケーションからそれほど普及していない代替製品に切り替えれば、ある程度の攻撃は防げるだろうとブラード氏は言う。ただし誰もが一斉に同じことを考えれば、今度はその代替アプリケーションが標的になり、メリットは薄れるだろうともくぎを刺した。

　究極的には、リスクを取るに値しないアプリケーションはどれかと考えなくて済むならそれに越したことはない。そしてその理由から、Exploit Intelligence Projectの教訓について検討するのは賢明かもしれない。攻撃者に好かれるサードパーティーアプリケーションの使用禁止は、基本的には身を隠すことによるセキュリティ対策であり、その過程で間違いなく少数のエンドユーザーをいら立たせる。それでもマルウェア感染の大多数を避けることができるのなら、私にとっては素晴らしい新年の誓いに思える。