もっとも弱い「輪」、クライアントPCを守れ――Intelセキュリティアナリスト

米Intelの情報セキュリティ上級アナリスト、トビー・コーレンバーグ氏が来日し、同社の情報セキュリティ戦略を語った。

[高橋睦美，ITmedia]

　「攻撃用ツールがどんどん高度化し、巧妙になっている一方で、侵入者が必要とするナレッジ（知識）やスキルは低くても済むようになってきた」――ここ20年余りの情報セキュリティを取り巻く状況の変化を、米Intelのトビー・コーレンバーグ氏（情報セキュリティ部門応用セキュリティ技術チーム 情報セキュリティ上席アナリスト）はこのように振り返る。

　結果として、今や「潜在的なハッカーは多数に上る」（コーレンバーグ氏）。そうした人々が、ほんのささいな動機から攻撃や侵入を仕掛ける可能性は否定できないと同氏は述べた。

　コーレンバーグ氏は11月15日に行ったプレス向け説明会の席で、このような状況を踏まえて取るべき対策について説明した。それは、一言で言ってしまえば「多層的な防御」に尽きるという。

　「リスクを100％排除することはできない。リスクは人生の一部であり、ビジネスの一部である。必要なのはリスクを管理し、コントロールすることだ」（同氏）。それには、テクノロジだけでなく人やプロセスを包含した、包括的なセキュリティ対策が不可欠だという。

クライアントPCは「もっとも弱い輪」

　コーレンバーグ氏がもう1つ強調したのは、ノートパソコンに代表されるクライアントPC、特に古いOSを搭載した古いPCが抱えるリスクだ。

　そもそもクライアントPCは、エンドユーザー自身によってコントロールされ、カスタマイズされる。そしてエンドユーザーは、時にはセキュリティ対策によって生じる“使いにくさ”“不便さ”を避けようと試みる。この結果、鎖にたとえられるセキュリティの中でも、「クライアント端末はもっとも弱い『輪』の1つになっている」（同氏）という。

　そのうえ、最新のOSやPCが、パッチ適用やパーソナルファイアウォール、不正侵入検知といったセキュリティ機能に（比較的）気を配った設計となっているのに対し、「古いOSやPCは侵害のリスクを抱えており、多層的な防御に求められる要件に対応できない。対応できたとしても不十分だ」（コーレンバーグ氏）。

　一ユーザーとしては、お金を出して最新のOSやPCを買い求めない限り、保護されないのか……という釈然としない気持ちになるところだ。ただ、これら“レガシー”OSやPCが開発された当時に比べると、ネットワーク接続環境もセキュリティも、大きく変化しているのも事実である。

　コーレンバーグ氏はさらに、「新しいPCならば、暗号化をはじめとするセキュリティ機能を、ユーザーがそれと意識することなく透過的に使える」「PCのリソースが強力ならば、業務や生産性への悪影響を抑えることができる」「古いシステムを使い続け、さまざまなセキュリティ対策に追われることを考えると、新しいシステムを使うほうがTCOは低い」といった理由を挙げ、最新のOSとハードウェアがもたらすメリットを強調した。

　セキュリティ対策を進める上で「クライアントPC」が課題になる、という同じ問題意識に立って、ダム端末タイプのシンクライアントとサーバの組み合わせを提唱するアプローチも存在する。しかしながらコーレンバーグ氏は、そういった手法では、モビリティや強力な端末による生産性の向上といった大きなメリットまでもが失われるのではないかと指摘。端末にインテリジェンスを持たせるほうが「より効果的で、ユーザーの満足をもたらしてくれる」と述べている。

期待できそうな「XD Bit」

　最新のハードウェアで実装された興味深いセキュリティ技術が存在することも事実である。その1つが、ItaniumやPentium 4などでサポートされている「Execute Disable Bit（XD Bit）」だ。これは、いわゆるバッファオーバーフローを防ぎ、ワームなどの悪意あるプログラムの侵入を防ぐハードウェアベースの技術である。そしてその先には、攻撃の影響を最小限に抑えるLaGrandeテクノロジが控えている。

　コーレンバーグ氏はプレゼンテーションの中で、速やかなパッチ適用の重要性にたびたび触れた。しかしながら最近のMyDoom亜種のように、パッチが存在しない新たな脆弱性を突いて広まるワームや攻撃が登場しているのも事実である。いくら最新のパッチを適用していたとしても、こうしたゼロデイ状態での攻撃の前には無力だ。

　しかしXD Bitは、こういった脅威に対しても防御を可能にしてくれる。Intel社内でテスト導入を行ったところ、「大きな効果が得られることが明らかになった。社内でも予定を上回る急ピッチで、（XD Bit対応プラットフォームへの）移行を進めている」と同氏は言う。

　コーレンバーグ氏はあくまで、「信頼できるコンピューティング環境を実現するには、ファイアウォールやIDS、パッチの適用といった包括的な取り組みが不可欠だ」と強調する。ただ、その中でXD Bitは重要な役割を担うのも事実だとした。