マルウェア感染対策と攻撃の仕組み

マルウェア感染対策を理解するには、攻撃者がどの段階で何を行うかを把握し、その段階で有効な対策を結び付けることが欠かせない。多くの攻撃は、ソフトウェアの欠陥や利用者の操作を突いて不正プログラムを端末に送り込み、遠隔から操作できる状態を作ることで成立する。したがって、感染の入口と感染後の振る舞いを分けて考えることが基本となる。

攻撃の段階と仕組み

サイバーキルチェーンは、サイバー攻撃を偵察から目的達成までの段階に分けてモデル化したものである。このモデルにおいて、ソフトウェアの脆弱性を悪用して侵入し攻撃ツールを実行させる行為はエクスプロイトに当たる。

エクスプロイトコードは、ソフトウェアの脆弱性を悪用して想定外の動作や権限の取得を引き起こすコードである。脆弱性の再現や検証に役立つ一方で、攻撃の道具として使われる点が重要である。

ボットネットは、感染させた多数の端末を攻撃者が遠隔から操作する仕組みである。その中心であるC&Cサーバは、感染端末に対して情報収集や攻撃活動を指示する役割を担う。

ドライブバイダウンロード攻撃では、利用者がWebサイトを閲覧しただけで、利用者に気付かれないまま不正プログラムが端末に転送される。閲覧という通常の操作が感染の契機になる点が特徴である。

判断の基準と対策の選び方

対策は、侵入経路を断つ予防と、侵入した後に被害を広げない封じ込めに分けて考えると判断しやすい。未知のマルウェアは既知の特徴に基づく検知では取りこぼすおそれがあるため、実行そのものを隔離する方式が有効である。サンドボックスは、不正な動作をする可能性のあるプログラムを特別な領域で動作させ、他の領域に悪影響が及ぶのを防ぐ仕組みである。

VDIを用いた方式では、DMZに置いたVDIサーバがWebサイトからの受信データを処理し、PCには生成した画面の画像データだけを送る。PCにファイルそのものが届かないため、未知のマルウェアがダウンロードされる経路を断てる。