はじめに
今回は、「マルウェア対策」を取り上げる。マルウェアはセキュリティインシデントの主要な原因の一つであり、科目A・科目Bともに頻出のテーマである。本稿では、マルウェアの種類と、それに対する検知・防御手法についてご紹介しよう。
マルウェアとは
マルウェア（malware）とは、malicious（悪意のある）とsoftwareを組み合わせた造語であり、コンピュータやネットワークに害を及ぼすことを目的として作成されたソフトウェア全般を指す。かつては「コンピュータウイルス」という呼び方が一般的であったが、現在ではウイルス以外の様々な形態を含む総称として「マルウェア」が用いられる。
マルウェアの主な種類
コンピュータウイルス
他のプログラムファイルに寄生し、そのプログラムが実行されることで自己を複製・拡散する。単体では実行されず、宿主となるファイルを必要とする点が特徴である。
ワーム
ウイルスと異なり、宿主となるファイルを必要とせず、単体で自己複製・拡散する。ネットワークを介して自律的に感染を広げる点が特徴であり、拡散速度が非常に速い傾向がある。
トロイの木馬
一見無害なソフトウェアやファイルを装いながら、内部に不正な機能を仕込んでおくものである。ユーザー自身がインストール・実行してしまうことで感染するため、自己複製機能は基本的に持たない。
ランサムウェア
感染したコンピュータ内のファイルを暗号化するなどして利用不能にし、復旧と引き換えに金銭（身代金）を要求するマルウェアである。近年、企業を標的とした被害が拡大している代表的な脅威である。
スパイウェア
ユーザーに気づかれないよう、利用者の操作履歴や個人情報などを収集し、外部に送信するマルウェアである。
キーロガー
キーボードの入力内容を記録し、ID・パスワードなどの情報を窃取する目的で使われることが多い。スパイウェアの一種として分類されることもある。
ボット・ボットネット
感染したコンピュータを外部から遠隔操作できる状態にするマルウェアである。攻撃者はボットに感染した多数のコンピュータで構成される「ボットネット」を利用し、DDoS攻撃などに悪用することがある。
マルウェアの検知手法
マルウェア対策ソフト（ウイルス対策ソフト）が用いる主な検知手法には、以下のようなものがある。
パターンマッチング法（シグネチャ法）
既知のマルウェアが持つ特徴的なコード（シグネチャ、パターンファイル）とファイルを照合し、一致した場合にマルウェアと判定する方式である。既知のマルウェアには有効だが、シグネチャが未登録の新種・亜種には対応できないという弱点がある。
ビヘイビア法（振る舞い検知）
プログラムを実際に実行させ、その動作（振る舞い）を監視することで、不審な挙動を検知する方式である。未知のマルウェアであっても、異常な動作を示せば検知できる可能性がある点が利点である。
ヒューリスティック法
プログラムのコード構造を解析し、マルウェアに特徴的なパターンとの類似性から、未知のマルウェアである可能性を判定する方式である。
サンドボックス
プログラムを、実際の環境から隔離された仮想的な領域（サンドボックス）内で実行し、安全に振る舞いを観察する仕組みである。ビヘイビア法と組み合わせて用いられることが多い。
組織的なマルウェア対策
技術的な検知手法に加え、組織として以下のような対策を講じることも重要である。
- OSやソフトウェアを常に最新の状態に保つ（脆弱性を悪用した感染の防止）
- マルウェア対策ソフトのパターンファイルを定期的に更新する
- 不審なメールの添付ファイルやリンクを開かないよう、従業員教育を行う
- EDR（Endpoint Detection and Response）を導入し、感染後の検知・対応能力を強化する
EDRは、従来型のマルウェア対策ソフトが「侵入を防ぐこと」に重点を置くのに対し、「侵入されることを前提に、感染後の異常な挙動をいち早く検知し対応する」という考え方に基づく仕組みである点が特徴である。
科目Bで問われるポイント
- 事例の記述からマルウェアの種類（ウイルス、ワーム、トロイの木馬など）を判別させる問題
- パターンマッチング法とビヘイビア法など、検知手法の違いと、それぞれの長所・短所を問う問題
- 「未知のマルウェアに対応するために有効な手法はどれか」といった応用的な選択問題
各マルウェアの「感染の仕組み」の違い（宿主が必要か、自己複製するか等）を整理して覚えておくことが、判別問題を解くうえで有効である。
まとめ
- マルウェアには、ウイルス・ワーム・トロイの木馬・ランサムウェアなど多様な種類がある。
- 検知手法には、既知の脅威に強いパターンマッチング法と、未知の脅威にも対応しうるビヘイビア法などがある。
- 技術的対策に加え、最新状態の維持や従業員教育といった組織的対策も欠かせない。
- EDRは「侵入されることを前提とした」感染後対応の仕組みである。
コメント