Security Online Day 2015 講演レポート（AD）

標的型攻撃、まだまだ取れる対策はある！――企業がダメージコントロールの前に考えるべき対策

2016/01/08 13:00

通知

　標的型攻撃を100％防ぐ方法はない、よって企業はダメージコントロールに注力すべきだ……。最近、こうした論調が多く聞かれるようになったが、Security Online Day 2015に登壇したハミングヘッズ顧問の石津広也氏はこれに異を唱える。同氏によれば、企業がダメージコントロールの前に考えるべき対策は、まだまだ残されているという。

通知

標的型攻撃への対策でできることはもはやダメージコントロールだけ？

　今さら言うまでもなく、標的型攻撃によって企業や組織が受ける被害は、年々増大している。日本年金機構が約125万人分もの個人情報を漏えいさせた事故はまだ記憶に新しいが、ほかにも連日のように標的型攻撃に起因する情報漏えい事故が報道されている。しかし標的型攻撃は、何も最近になって出てきたものではない。　

　「IPAが公開している資料『2011年標的型攻撃／新しいタイプの攻撃の実態と対策』によれば、2005年には日本でも官公庁に対する標的型攻撃が報告されている。しかもその手口は、マルウェアを仕込んだファイルをメールに添付して職員に送り付けるというもので、今日行われているそれとほとんど変わりがない」（石津氏）　

　つまり、標的型攻撃は10年前から既に存在し、その間に使われている手口もほとんど変わっていない。にもかかわらず、なぜいまだに有効な対応策が取られずに、被害が続出しているのか。石津氏は、その背景には「攻撃手法の高度化」があると指摘する。　

　「未知の脆弱性を狙ったゼロデイ攻撃が多くなり、アンチウイルス製品では対策が困難になってきた。また近年のマルウェアは、サンドボックスでのふるまい検知型ウイルススキャンを回避する工夫もなされている。さらには、メール受信者に添付ファイルを開かせるために、実に用意周到で巧妙な手口を使うようにもなっている」　

　もちろん、こうした攻撃を防ぐためのさまざまな対策が提唱されているものの、それらすべてを行ったとしても、もはや攻撃を100％防げるとは言い切れないのが実情だ。そのため、いまやセキュリティ業界では「侵入や情報漏えいを100％防ぐことはできないため、ダメージコントロールに重点を置くべき」という論調が大勢を占めつつある。

ダメージコントロールの前にできることはもっとある！

　しかし石津氏は、こうした論調に異を唱える。　

　「ダメージコントロールをするしかないという論旨の背景には、『添付ファイルを開くことを止められない』『ゼロデイ攻撃は止められない』『未知の攻撃は検知できない』という前提がある。しかし最新のセキュリティ技術を使えば、こうした前提を覆すことは可能だ」　

　そして、それを可能にするセキュリティ製品の一つが、ハミングヘッズが開発・提供する「Defence Platform」なのだという。同製品は、プログラムが何らかの不正動作や疑わしい動作をした際に、その動作をいったん止めて、画面上にダイアログボックスを表示してユーザーにアラート通知してくれるというものだ。　

　メールの添付ファイルを介した攻撃には、ある決まったパターンがある。まずユーザーが添付ファイルを実行すると、不正プログラムのインストールが実行される。そしてインストールが完了したら、スタートアップフォルダやレジストリに不正プログラムが自動登録される。その後はバックドアを開いて外部のC＆Cサーバに接続し、コマンドを実行してその結果をC＆Cサーバに送信する。　

　こうした「インストール」「自動設定」「バックドア作成」「C＆Cサーバとの接続確立」といった各動作をプログラムが行おうとするたびに、Defence Platformは介入してユーザーにアラート通知する。こうして、マルウェアが不正動作を試みるあらゆる機会を捉えてユーザーに確認を促すことで、たとえ未知の攻撃であっても検知・シャットアウトできるという。　

　「確かに、ユーザーをいくら教育しても、巧妙な手口で送られてきたメールの添付ファイルを実行してしまうことは避けられない。しかし、たとえ不正プログラムを実行してしまっても、その後のインストールや登録、コマンド実行、通信といったタイミングで何度もその動作をブロックする機会を提供してくれる。これによって、『標的型攻撃は止められない』『ダメージコントロールするしかない』という前提を覆すことができる」（石津氏）

標的型攻撃対応を解説した新刊を抽選で10名様にプレゼント！

標的型攻撃対応の専門書『Defense Platform 標的型攻撃対応セキュリティ導入ガイド』が翔泳社から1月7日に刊行されました。刊行を記念し、抽選で10名様に本書をプレゼントいたします。Security Online Dayでも講演されているハミングヘッズさん監修のわかりやすい解説本となりますので、ご興味のあるかたはこの機会にお申込みください！

『Defense Platform 標的型攻撃対応セキュリティ導入ガイド』

目次：
Chapter1 企業を取り巻くリスク～ウイルスの歴史
Chapter2 標的型攻撃とは何か
Chapter3 エンドポイントセキュリティとDefense Platform
Chapter4 ビジネスエディションの導入方法
Chapter5 DePの基本設定ホワイトリストの作成
Chapter6 ディフェンスモードへの移行
Chapter7 DePをより便利に使う
Chapter8 DePのログを読む

●書籍プレゼントキャンペーンの詳細はこちら！

「Windows API監視制御技術」でホワイトリスト型対策の容易な運用を可能に

　では、Defence Platformは一体どうやってマルウェアの不正動作を検知するのか。ここで使われているのが、ハミングヘッズが独自に開発した「Windows API監視制御」という技術だという。プログラムによるWindows API呼び出しを常時監視し、疑わしいAPI呼び出しのパターンを検出した際にはその動きを自動的にブロックする。この技術はもともと、同社が電力会社や保険・金融企業、官公庁などに10年以上に渡って提供してきたセキュリティ製品「SecurityPlatform」で培われたもので、極めて高い精度を持つという。

▲Windows API監視制御技術
出所：Security　Online2015／ハミングヘッズ株式会社
講演資料「ダメージコントロールの前にもう一度検討すべき標的型攻撃対策とは」より

　「単にWin32 APIを監視するだけでなく、カーネルレイヤーやアプリケーションレイヤーのAPI呼び出しも監視しているため、プログラムのあらゆる不正動作を検知できる。またAPI呼び出しのログも記録しており、そのままフォレンジックで利用可能できるほど詳細な内容を持つと同時に、できるだけ扱いやすいよう日本語で分かりやすく整理されている」（石津氏）　

　ちなみに、多くのセキュリティ製品は「疑わしいもの以外は許可する」という「ブラックリスト方式」を採用しているが、Defence Platformは「あらかじめ許可したプログラム以外は実行させない」という「ホワイトリスト方式」をとっている。前述の不正動作の検知も、基本的には「このプログラムをホワイトリストに加えるかどうか」の判断のために用いられる。　

　石津氏は、「日々膨大な数の新種マルウェアが生まれている今日、ブラックリスト方式がもはや効力を発揮できないのは明らかで、現実解はホワイトリストしかない」と述べつつ、一方のホワイトリスト方式もこれまでは動作を許可するプログラムを一つも漏らさずリストに加える必要があり、設定や運用が極めて難しかったとも指摘する。　

　しかしDefence Platformはよりインテリジェントなホワイトリスト技術で、従来のホワイトリスト型対策の欠点を克服しているという。一般的に使われるビジネスアプリケーションは事前にリストアップされているほか、Windows API監視の結果を基に、危険が認められた動作のみをホワイトリストに登録するかどうか判断すればいいという。従ってユーザーは、Defence Platformによって疑わしいAPI呼び出しが報告されたプログラム動作のみをダイアログやログから個別に判定するだけで済む。