リビング＋：セキュリティパッチの重要性～セキュリティ対策ソフトだけで安心してはダメ

リビング＋：特集

2003/02/26 23:59:00 更新

特集：ホームユーザーのための実践的セキュリティ術（第3回）
セキュリティパッチの重要性～セキュリティ対策ソフトだけで安心してはダメ

最近は、仕掛けた罠に獲物がかかるのを待つ「受け身な」攻撃が増加している。Webブラウザの脆弱性などを利用したこのような攻撃の目的は、PC内部の情報を得ること。ログインIDやパスワードなどの大切な個人情報が外部に漏れてしまう可能性がある

　第2回では、不正プログラムが勝手に外部へアクセスしないよう、パーソナルファイアウォールで監視することの重要性を説明した。結局、パーソナルファイアウォールを導入するなら、ブロードバンドルータは必要ないのではと思うかもしれない。しかし、第1回で述べたように、外部からの不正アクセスに対しては、ルータによる防御の方が効果的だ。また、2重に対策することによって、セキュリティ効果もより高まる。

待ち伏せするWebサイトに注意

　さて、これまでの対策で、次のような不正行為に対処できるようになった。

外部からの不正アクセス
不正プログラムを侵入させ、内部から不正行為を行う

　外部からの不正も、内部からの不正も防ぐことができる。そろそろセキュリティ対策として十分だろうか。

　残念ながら、まだ未解決の問題が残っている。今までの2つの不正行為は、不正行為者がターゲットに対して、アクセスを行ったり、不正プログラムを送りつけたりと、直接働きかけることによって成立するものだった。しかし、最近では、仕掛けた罠に獲物がかかるのを待つ「受け身な」攻撃が増加しているのだ。このような攻撃では、外部からアクセスされることはない。内部へ不正プログラムを侵入させることもない。ただ、普通にWebブラウザを使って、普通にWebサイトにアクセスするだけで、罠にはめられてしまうのだ。この罠には、Webブラウザのセキュリティホール（脆弱性）が悪用されている。

　このような“受け身な攻撃”の多くは、PC内部の情報を得ることを目的にしている。例えば、Windowsの場合を例に挙げると、マイクロソフトが公表しているセキュリティホール（脆弱性）のうち、MS01-055を悪用すると、クッキーに保存された情報を覗き見することができる。自動ログイン機能をもったWebサイトのクッキーを覗き見されると、ログインIDやパスワードなどの大切な個人情報が外部に漏れてしまう可能性がある。

プライバシー保護機能は、受け身的攻撃に効果があるか？

　第2回で紹介したパーソナルファイアウォールソフト「Norton Personal Firewall 2003」には、「プライバシー保護機能」が搭載されている。パスワードやクレジットカード番号などの個人情報が、Webサイトに勝手に漏れ出してしまうことを防いでくれる機能だ。受け身な攻撃に対しても、有効に働く。

「Norton Personal Firewall 2003」の「プライバシー保護機能」。

　画面は、登録したパスワードが送信されそうになったため、警告が表示されたときのもの。もっとも、この警告は、ユーザーがパスワードを入力してログインする場合など、不正行為でないときにも表示される。内部プログラムの監視同様、不正行為かそうでないか判断するのは、あくまでもユーザーだ。ただ、商品を購入したわけでもないのに、勝手にクレジット番号が送信されることがあれば、それが不正行為であることは一目瞭然だ。内部プログラムの監視に比べ、判断を誤る可能性は低い。

　ところが、この方法では運用面に不安が残る。というのは、あくまでも登録した個人情報だけを守るからだ。当然のことだが、何も設定しなければ、何も守ってくれない。うっかり登録し忘れても、守ってくれない。また、次のように登録した個人情報が、設定画面にまとめて表示されるのも（たとえば、パスワードの最初の4文字だけを登録することにしても）、不安を感じてしまう。

プライバシー保護機能の原理は簡単だ。送信されるデータに、個人情報として登録されている文字列が含まれていないか、調べるのである。したがって、登録されていない情報は個人情報と見なされない。また、上の画面（個人情報の登録画面）は、パスワードなしで表示させることができる

　結局のところ、受け身な攻撃による情報漏洩の対策は、セキュリティホールを埋めるのが、もっとも効果的な方法なのである。幸い、Windowsユーザーであれば、Windows Updateによって、半自動的にセキュリティパッチをあてることができる。

　このように、セキュリティ対策として、（1）ブロードバンドルータ、（2）ワクチンソフトやパーソナルファイアウォールソフトのようなセキュリティ対策ソフト、（3）セキュリティパッチを組み合わせると、効果が高まる。（1）不正アクセス、（2）不正プログラム、（3）受け身な攻撃といった、さまざまな脅威を防ぐことができるからである。

セキュリティソフトも最新に

　一方、セキュリティソフトにもトレンドがある。PCに侵入する不正プログラムと、パーソナルファイアウォールソフトは、いたちごっこを繰り返してきた。例えば、ファイアウォールソフトが登場した当時、内部プログラムの監視機能は、OSのプロトコルスタックのレベルで行われていた。ところが、不正プログラムも高度化し、監視をすり抜けようと、自前のプロトコルスタックを搭載するものが登場してきた。つまり、OSのプロトコルスタックを使用しないため、監視ができなくなってしまったわけだ。

　そこで、最新のパーソナルファイアウォールには、ネットワークインタフェースのドライバレベルでの監視機能が追加されるようになった。そのほかにも、不正プログラムが直接通信を行わず、Webブラウザを経由して外部にアクセスするなど、対策ソフトの監視をすり抜ける方法は存在する。このような新しい手口に対応するため、セキュリティソフトも、バージョンアップするたびに高機能化されていく。

　このため、OSやWebブラウザにセキュリティパッチをあてるだけでなく、セキュリティソフトの方も、バージョンアップしていく方が安全性が高まることになるのだ。

ある家庭のセキュリティシミュレーション

　最終的に、想定した家庭では、次のようなセキュリティ対策を講じることになった。

クリックで拡大

　ワクチンソフトとパーソナルファイアウォールは、パッケージ化された市販のソフトを購入した。ブロードバンドルータは、セキュリティ効果にかかわらず、PCの複数台接続のために必要なものである。このため、ルータを除いた純粋なセキュリティ対策として購入するものは、おおよそ2万円程度の予算となる。不正プログラムの監視には、やや手間がかかってしまうが、ワクチンソフトのアップデートは自動更新、OSのセキュリティパッチもWindows Updateによって半自動で行なわれる。100%安全とはいえないものの、これ以上のセキュリティ対策には、費用や手間がかなりかかってしまう。そういう意味では、ホームユーザーとしては満足できるレベルではないだろうか。

　なお、一部、対策をしていないPCもある。原則は、すべてのPCを完全武装するのがよいが、次のような運用をすることによって、セキュリティ対策の費用を低減することが可能になる。