マルウェアと攻撃者

要点と定義

IPAシラバス Ver.4.1の「マルウェア・不正プログラム」には、ボット、遠隔操作型ウイルス（RAT）、C&Cサーバ、トロイの木馬、スパイウェア、ランサムウェア、キーロガー、ルートキット、バックドアなどが用語例として挙げられています。これらは、名称だけでなく、端末やシステムで何をするかを手掛かりに区別します。

C&Cサーバは、感染した端末へ命令を送り、その応答を受け取って遠隔操作を管理するサーバです。ボットネットを構成する端末に情報収集や攻撃活動を指示する役割もあります。

ルートキットは、バックドアの設置や侵入の痕跡を隠す機能を持つ不正なプログラムやツールの総称です。 バックドアは、正規のアクセス制御を避けてシステムへ入るため、秘密裏に設けられた経路や仕組みです。攻撃者がひそかに作った利用者アカウントも、裏口として使われるならその例です。

ビヘイビア法は、プログラムを実行したときの動きを観察し、不正な挙動を検出する方法です。仮想環境で実行し、ファイル操作や通信などを監視する方法が該当します。

IPAシラバス Ver.4.1の「攻撃者の種類」には、スクリプトキディが用語例として記載されています。スクリプトキディは、公開済みの攻撃手法やツールを使う一方、自分で新しい攻撃手法を作る技術力は乏しい攻撃者です。

IPAシラバス Ver.4.1の「サイバー攻撃手法」には、標的型攻撃の用語例としてAPTが記載されています。APTは、特定の目的で組織などを標的にし、防御策に応じて手法を組み合わせながら、発見されにくい形で攻撃を続ける脅威です。

IPAシラバス Ver.4.1の「マルウェア・不正プログラム」には、ランサムウェアが用語例として記載されています。ファイルを暗号化して使えなくし、復号と引換えに金銭を要求するものが該当します。

適用条件と例

不審なプログラムを調べるとき、既知の特徴との照合ではなく、実行時の挙動を見る目的なら、隔離した仮想環境で動かして通信やファイル操作を観察する方法が適します。実行させるため、対象を通常の業務環境で動かすのではなく、影響を抑えられる検査環境を用意します。