サンドボックスとVDIによる隔離

サンドボックスとは、不正な動作をする可能性のあるプログラムを、他の領域に影響が及ばないように特別な領域で動作させる仕組みである。VDI（Virtual Desktop Infrastructure）は、利用者の作業環境をサーバ上に用意し、端末にはその画面の描画情報だけを送る方式である。どちらも、外部から持ち込まれた不正なプログラムを端末や内部ネットワークに届かせないことを狙いとしている。

隔離の原理

サンドボックスは、プログラムが実行できる機能やアクセスできるリソースを制限した環境で動作させる仕組みである。 この制限によって、プログラムが不正な振る舞いをしても、その影響はシステム全体ではなく隔離された範囲にとどまる。

隔離の目的は、プログラムの安全性を事前に判定することではなく、判定が外れた場合でも被害を閉じ込めることにある。未知のマルウェアは既知の特徴と一致しないため、判定だけに頼る対策では防ぎきれない場合がある。隔離された領域で動かせば、判定の成否にかかわらず影響範囲を限定できる。

実行場所を移すVDI

VDIでWebサイトを閲覧する場合、閲覧に伴う処理はDMZ上のVDIサーバで行われる。サーバ上のWebブラウザがWebサイトから受け取ったデータを処理し、生成したデスクトップ画面の画像データだけをPCへ送る。 PCは画面を表示するだけで、Webサイトから取得したファイルを保存も実行もしないため、マルウェアがPCにダウンロードされることを防げる。

通信の保護だけでは同じ効果は得られない。IPsecは通信を暗号化や認証で保護する仕組みであり、受け取ったデータをそのままPCへ転送すれば、マルウェアはPCへ届いてしまう。 大事なのは通信を守ることではなく、データを処理する場所をPCの外に移すことである。