マルウェア感染対策

マルウェア感染対策は、マルウェアを組織の内部に入れない予防、侵入したマルウェアを動作させない封じ込め、感染を早く見つける検知と復旧の三つを組み合わせて考える対策である。攻撃者は偵察、侵入、実行、目的の達成という段階を順に進めるため、どの段階で攻撃を断つかが対策の要点となる。

攻撃の段階とマルウェアの役割

サイバーキルチェーンは、攻撃者の活動を段階に分けてモデル化したものである。侵入の段階で標的のOSの脆弱性を悪用し、攻撃ツールを実行させる行為はエクスプロイトに当たる。一方で、公開情報を閲覧して標的を調べる行為は偵察の段階であり、侵入そのものではない。秘密情報を盗んで外部へ送る行為は目的の達成に当たる。

エクスプロイトコードは、ソフトウェアの脆弱性を悪用して想定外の動作や権限の取得を引き起こすコードである。脆弱性の再現や検証に使われることもあるが、攻撃者にとっては侵入の足掛かりとなる点が重要である。

ボットネットは、遠隔から操作可能なマルウェアに感染した多数の端末を攻撃者が束ねて操る仕組みである。このとき、C&Cサーバは感染端末に対して情報収集や攻撃活動の指令を送る役割を担う。したがって、C&Cサーバとの通信を断つことは、感染端末を攻撃者の指令から切り離すうえで有効である。

侵入経路を断つ対策

ドライブバイダウンロード攻撃は、利用者がWebサイトを閲覧しただけで、気付かれないまま不正プログラムをPCに送り込まれる攻撃である。USBメモリの自動実行やランサムウェアによる攻撃とは異なり、Web閲覧そのものが侵入の入口になる点が特徴である。

この経路を断つ代表的な方法が、VDIサーバ上でWebブラウザを動作させる方式である。DMZに置いたVDIサーバがWebサイトからの受信データを処理し、PCには生成した画面の画像データだけを送る。利用者の操作入力はサーバに返すため、Webサイトから取得したマルウェアのファイルがPCに届かない。

注意すべきは、通信の保護と端末への危険なデータの持ち込みを同一視しないことである。IPsecは通信を暗号化や認証によって保護する仕組みであり、受信データをそのままPCに転送する限り、マルウェアがPCに届くことは防げない。