|
情報セキュリティソリューションのリーダー、株式会社シマンテック（東京都渋谷区桜丘 20-1 渋谷インフォスタワー、代表取締役社長：杉山隆弘）は 30
日、サイバーセキュリティ活動の動向をまとめた包括的な分析レポート「Internet Security Threat Report（インターネットセキュリティ脅威レポート）」の概要を発表しました。なお、日本語版の全訳は、4
月中旬にウェブサイトに掲載される予定です。
シマンテックは新しい脅威の発見・報告・対応において、他に類のない能力を発揮します。シマンテックが世界 6 カ所に設置したセキュリティオペレーションセンター（SOC）と、9
カ所に設置したレスポンスラボに常駐するアナリストは、セキュリティデータの監視分析を行ない、グローバル規模でのセキュリティ情勢の把握に努めています。同レポートは、シマンテックのマネージドセキュリティサービスの顧客から集まる情報に加えて、世界 180
カ国以上で攻撃活動を監視している 20,000 以上もの DeepSight Threat Management System センサーのデータを分析したものです。
インターネットセキュリティ脅威レポートはまた、企業によって攻撃の影響度に差が出る理由を調査し、現在の傾向から予測しうる将来のインターネットセキュリティ脅威の形成についても検討しています。さらに、法人・個人ユーザが実施すべきベストプラクティスも同レポート巻末にまとめてあります。シマンテックによるインターネットセキュリティ脅威レポートは、今回で通算
5 回目の発行となります。
シマンテックのグローバルサービス＆サポート担当エグゼクティブ バイス プレジデント兼ジェネラル マネージャ、ゲイル ハミルトンは次のように語っています。
「シマンテックのインターネットセキュリティ脅威レポートは、世界中の数百社の顧客企業、数万のセキュリティ機器、数百万台のデスクトップ PC から収集した現実のデータの専門的分析をベースにしたものです。したがって、正確で総合的かつタイムリーなセキュリティ情報源として、顧客企業が現在および将来のサイバー攻撃のリスクを評価し緩和する際に役立つのです」。
インターネットセキュリティ脅威レポート：主な特長
今年 2004 年には、複合型の脅威の増加や、Windows コンポーネントの脆弱性を狙う攻撃の増加、発見される脆弱性の深刻度の上昇が、企業にとって大きなセキュリティ問題となるでしょう。
複合型の脅威は、2003 年後半 6 カ月間の被害報告件数上位 10 位の 54 ％を占めています。この種の脅威は、増殖スピードが加速したため広範な被害を引き起こしました。その一因は、通信のブロードバンド化と潜伏期間の短縮にあります。
史上もっとも「成功」したワームのひとつである Blaster は、Windows のコアコンポーネントの脆弱性を狙うものでした。コアコンポーネントは、従来のネットワーク利用型ワームが狙っていたサーバソフトよりも広く普及しているため、はるかに多くのシステムが攻撃対象となります。
新たに発見される脆弱性の数は頭打ちになっていますが、新たに発見される脆弱性は、その影響力やリモートからの悪用の可能性、認証、有用性などの点で、深刻度は高まっています。さらに、脆弱性の発見から、脆弱性を悪用した攻撃発生までの間隔が短くなってきています。これは、「ゼロデイ」型（発見された日に攻撃が発生する）脅威が切迫していることを示唆するものです。こうした脅威は、脆弱性の公表やパッチ配布を行う間もなく攻撃をしかけてくるため、予防や阻止がきわめて困難です。
インターネットセキュリティ脅威レポート：攻撃の傾向
- 2003 年上半期では、深刻なセキュリティ侵入を受けた企業は分析対象企業の 6 社に 1 社だけでした。それが 2003 年下半期には、実に半数に達しています。増加の理由は、主に依然として攻撃活動の主力を占めている各種ワームの「成功」によるものです。さらに、攻撃システムの約
3 分の 1 は、Blaster ワームが悪用した脆弱性を狙うものでした。
- 深刻なセキュリティイベントが特に多かったのは、金融、ヘルスケア、電力・エネルギー業界でした。ただし、2003 年も 2002 年同様に、マネージドセキュリティサービス契約期間が長い顧客企業ほど、深刻なイベントの発生率は下がっています。契約から
6 カ月以上を経過した顧客企業のうち、7 割以上が深刻な攻撃を一度も受けていません。
- 他の攻撃やワームが残していったバックドアを狙う攻撃例が増えています。こうした攻撃では、すでにあるバックドアを利用して対象システムのコントロールを奪い、さらに別のバックドアを作ったり、分散
DoS 攻撃を行ったりします。
この傾向は今年になってからも続いています。2004 年 1 月の MyDoom は、Sobig.F に匹敵するほどの速度で広がり、感染システムにバックドアを作ったあと、さらに攻撃をしかけるワームでした。MyDoom
以降に出現した Doomjuice、Deadhat の 2 種類のワームは、いずれも MyDoom の残したバックドアを利用して増殖しています。
インターネットセキュリティ脅威レポート：脆弱性の傾向
- 2003 年に発見された脆弱性の数は 2,636 種（1 日平均 7 種）で、2002 年の 2,587 種に比べて微増しています。
- 深刻度「中」の脆弱性の数は、2002 年の月平均 98 種から、2003 年には月平均 115 種と増えています。さらに、2003 年に発見された脆弱性では、全体の
70 ％ が「悪用が容易」に分類されていますが、2002 年にはこの種の脆弱性は 60 ％ でした。
- 2002 年、2003 年とも、悪用のためのコードを伴う脆弱性の過半数が深刻度「高」に分類され、2002 年は 175 種、2003 年は 231
種でした。悪用のためのコードが公表されている脆弱性の割合は、2002 年に比べて 5 ％ 増え、悪用コードを必要としない脆弱性の割合も 6 ％ 増えています。
- Microsoft Internet Explorer のクライアント側脆弱性が増加しています。2003 年上半期には 20 種だったものが下半期には
34 種となり、70 ％ の増加となっています。この種の脆弱性の多くは、故意か偶然かを問わず悪意あるコンテンツを含むウェブサイトにアクセスしただけで、クライアント・ユーザのシステムは被害を受けます。この傾向が特に懸念される理由は、Internet
Explorer の普及率が非常に高いことです。
インターネットセキュリティ脅威レポート：悪意あるコードの傾向
- 2003 年も、セキュリティイベントの主役は複合型の脅威でした。たとえば 8 月には、わずか 12 日間に、危険度 4 のワームが 3 種類もインターネットに出現しました。これらは
Blaster、Welchia、Sobig.F ですが、世界中で数百万台のマシンが感染しています。Computer Economics 社では、この 3 種類のワームだけで被害総額が
20 億ドルに達するだろうと推定しています。
- 2003 年下半期、Win32 対応のウイルスやワームの報告数は 1,702 件で、前年同期の 687 件に比べ 2.5 倍に増えています。主なワームは、Blaster、Welchia、Sobig.F、Dumaru
などです。この種の脅威については、いくつかの傾向が見て取れます。第一に、脆弱性の発見から、脆弱性を悪用した攻撃発生までの時間が短くなってきていること。第二に、悪意あるコードを偽装するために「パッカー」を使うハッカーが増えていることです。「パッカー」とは、Windows
の実行可能ファイルを圧縮・暗号化して、悪意あるコードの検知を難しくしたものです。
- 悪意あるコードに関する被害報告の上位 10 位のうち、独自のメール送信エンジンを持つ大量メール送信型のワームは、2003 年上半期より 61 ％ も増えています。悪意あるコードに内蔵されたメール送信エンジンが送るメールは、ユーザ自身のメールシステムとは無関係なため、感染した兆候が現れず、わかりにくくなっています。ヒューリスティックス（経験則）に基づいた検知機能を備えたアンチウイルスソフトがあれば、この種の脅威にも対抗しやすくなります。
- 2003 年下半期、もっとも増加率の高かった脅威は、プライバシーや秘密情報を侵すものでした。この種の脅威は、被害報告の上位 10 位の中では、上半期に比べて
519 ％ も増えています。以前の脅威は、文書をランダムに抜き取るだけでしたが、最近のウイルスや複合型の脅威は、パスワードや暗号の復号キー、キーストロークまでも盗み出します。
推奨ベスト・プラクティス
シマンテックでは、ユーザやシステム管理者が情報資産を守るために、以下のベスト・プラクティスを行うよう推奨しています。
- 不必要なサービスはすぐに停止・削除する。
- 常に最新のパッチを施す。HTTP、FTP、メール、DNS などの公開サービスを提供し、ファイアウォールを通じてアクセスできるマシンでは特に重要。
- ウイルス定義ファイルを常に最新のものに更新する。定義ファイルを更新すれば、活動中の最新のウイルスからマシンを守ることができる。
- パスワードポリシーを徹底する。
- メールサーバの設定によって、ウイルスの配布によく使われるファイル（.vbs、.bat、.exe、.pif、.scr など）が添付されたメールを遮断し、削除する。
- 感染したマシンをすぐにシステムから遮断し、システム全体への感染を防ぐ。診断分析を行ない、信頼できるメディアを使ってマシンの内容を復元する。
- 受け取る覚えのない添付ファイルを開かないよう、従業員に徹底する。また、インターネットからダウンロードしたソフトの実行は、必ずウイルス・スキャンを行ってからにする。
- 緊急対応の手順を事前に決めておく。
- セキュリティ予算の必要について、経営陣を啓蒙する。
- 十分な防御体制があることを確認するため、セキュリティ状況をテストする。
以上
|
