脆弱性スキャンとマルウェア対策のコラボも

米eEyeのCTOが語る「事故前提のセキュリティ対策を」

2011/07/25

　この数カ月というもの、ソニーのPlayStation Networkにおける大量の情報漏えい事件をはじめ、多数の企業や官公庁をターゲットとした不正アクセスが相次いだ。こうした攻撃について「より洗練はされているが、特に目新しいものではない。ただし、この数年の傾向として、サーバよりもクライアントアプリケーションを狙った攻撃が増えている」と、米eEye Digital SecurityのCTO、マーク・メイフレット（Marc Maiffret）氏は指摘する。

　eEye Digital Securityは、ネットワーク内のサーバやクライアントPC、ネットワーク機器の脆弱性を検出する脆弱性診断ツール「Retina」の開発元だ。メイフレット氏は、Windowsの脆弱性を悪用するワーム「CodeRed」の発見者であり、eEye Digital Securityの共同創業者の1人でもある。このたび、7月26日に開催されるセミナー「近年のハッキングによる脅威と対策」に合わせて来日した。

　同氏は、近年の脆弱性には2つの傾向があると述べた。1つは、「サーバの脆弱性よりも、デスクトップやワークステーションが狙われる傾向にある」こと。具体的には、「アドビのFlashやPDFなど、サードパーティ製アプリケーションの脆弱性を狙う攻撃が増えている」という。

　そして、もう1つ注意すべき分野が、iPhoneやAndroid端末といったモバイルのセキュリティだという。「基本的な攻撃手法はWindowsの世界で行われてきたものと同じ。ただ、つい数週間前には、PDFの脆弱性を突いて簡単にジェイルブレイクさせる手法も発見されるなど、いままでとは異なる課題もある」とメイフレット氏は述べ、OS提供元や機器ベンダによる多層的な取り組みが必要だとした。

脆弱性スキャンとマルウェア対策のコラボ

　最近の情報漏えい事件では、サーバではなくワークステーションが狙われ、そこからユーザー名やパスワードが盗まれたことが侵入の契機となった。こうした事態を避けるには、従業員に対する教育・啓発を重ねるとともに、コンピュータ環境の脆弱性を定期的に検査していくことが重要だという。

　「本来ならば、脆弱性スキャンは週に1回のペースで行うべき。現実にはリソースなどの問題で月に1回もしくは四半期に1回行われる程度だが、一方で、脆弱性は毎日のように見つかっている」（メイフレット氏）。

　とはいえ、毎日毎日脆弱性スキャンを行うなどという運用は非現実的だ。そこでeEyeでは、脆弱性の状態を把握し、リスクをうまく管理していくための機能をRetinaに追加しているという。

　「例えばシステムに1万個もの脆弱性が見つかったとき、そのすべてに対応するのは困難だ。そこで、Retinaで発見した脆弱性の情報と、MetaspllitやExploit Database（ExplpoitDB）などから得られるパブリックなExploit（悪用コード）情報をマッピングし、影響度の高い脆弱性、狙われやすい脆弱性から順に優先順位を付け、リソースを最適化できるよう支援する」（同氏）。

　さらに、Retinaと、フォティーンフォティ技術研究所のマルウェア検出ソフト「yarai」も連携させる。yaraiの脆弱性検出エンジンによってシステムを保護することにより、脆弱性に対し根本的な対策を取るまでの「時間稼ぎ」を図ることができる。

左からフォティーンフォティ技術研究所の鵜飼裕司氏、米eEye Digital Securityマーク・メイフレット氏、住商情報システムの手柴雄矢氏

　「最もよくないのは、脆弱性スキャンも何もせず、システムのリスクを把握できない状況だ。そこを管理していくことが必要だが、『対策をしなくてはいけないことは分かっているけれど、今すぐは無理』とか、『予算の関係上対応が困難』という部分をyaraiで保護していく」（フォティーンフォティ技術研究所代表取締役社長鵜飼裕司氏）

　この「緩和技術」は、Windows Vistaや7で実装されたDEPやASLR（Address Space Layout Randomization）といったセキュリティ機構をかいくぐる攻撃に対しても有効だという。その典型例がreturn-to-libc攻撃だ。当初は実用化が困難だった攻撃だが、「チュートリアルなどがインターネット上で公表されており、最近では簡単に悪用できるようになっている」（鵜飼氏）。この種の攻撃の防御にもyaraiは有効だという。

　この連携ソリューションでは、Retinaが作成する脆弱性レポートの中で、yaraiで保護されているシステムを明示的に表示し、優先順位が一目で分かるようになる。

　さらに、「脆弱性スキャンの結果とセキュリティ監視サービスも連携させていく。どのデバイスに対して攻撃がきているかを、IPアドレスベースで把握して相関分析を行い、IDSやIPS、WAF（Webアプリケーションファイアウォール）で検知した攻撃について、『この攻撃は通過させてもただちに影響はない』『こちらの攻撃は即座に手を打つ必要がある』といった判断を下せるようにする」（住商情報システム IT基盤ソリューション事業部基盤営業部セキュリティ技術セクション手柴雄矢氏）。

　「個々の脆弱性への対処も重要だが、Chromeが実装しているサンドボックスのように、アーキテクチャ的に攻撃を食い止める緩和技術も重要だ。必ずミスはある、パーフェクトはあり得ないと考え、事故を前提に、仮に脆弱性があってもそれ以上の悪用は困難になるような準備を整えるべき」（メイフレット氏）。