隠れたRootkitを暴き出す、Symantecが新技術を公開

Symantecは新手の脅威に対して迅速な対策を提供するだけでなく、脅威そのものを排除したネット社会の創造を目指す。

[國谷武史，ITmedia]

　米Symantecは、米国時間6月12〜14日に開催した年次カンファレンス「Symantec Vision 2007」の中で、セキュリティ関連の新製品向け機能を紹介した。激増するRootkit対策やブラウザ保護技術などを導入する。

　Rootkitは、動作中のプロセスやファイルを診断ツールから隠ぺいするツール。近年はハッカーがこのツールを利用して、マルウェアを実行させる手口が急増している。Rootkitを使えば、自身のプロセスを表示させなくしたり、ファイル自体を隠ぺいすることができるため、従来のセキュリティ対策ソフトでは検知することが難しい。

従来のセキュリティツールはOSのI/Oを介してカーネル内部のデータをスキャンするため、I/O直下にあるRootkitが自らの存在を隠してしまうと発見できない。Raw Disk Virus ScanではI/Oを迂回するため、Rootkitを存在を隠せない。

　Symantecは、このRootkit対策として「Raw Disk Virus Scan」という技術を投入する。この技術では、従来のウイルススキャンソフトがハードディスクなどのデータをスキャンする際に利用するOSカーネルのI/Oを迂回（バイパス）し、直接的にディスク上のデータ構造をチェックして、修復を行う。

　これにより、例えRootkitが自らの存在を隠ぺいしたり、他のファイル形式に偽装していても、ウイルススキャンソフトはRootkitの存在を暴き、ユーザーやセキュリティ管理者が気付かぬ間にマルウェア被害が拡散する事態を防ぐことができるという。

　Webブラウザの脆弱性を利用するマルウェアに対しては、「Canary」（コードネーム名）と呼ばれるブラウザ保護技術を、2007年秋にリリースする「Norton AntiVirus 2008」「Norton Internet Security 2008」「Norton 360」に導入する。法人サービスにも展開する計画だ。

コードネーム：Canaryは、2007年秋の新製品でデビューする予定

　Canaryは、Internet Explorerなど主要なWebブラウザに脆弱性が発見された場合、Symantecのセキュリティレスポンスチームが脆弱性に対応したシグネチャを迅速に作成してユーザーに配布する。パッチが提供されるまでの間は、シグネチャの情報を基にして不正なプログラムの攻撃をブロックする。

ユーザーが創るSecurity 2.0

　Symantecの調査によれば、脆弱性やマルウェアを発見してから防護策を講じる従来のセキュリティ対策ソフトでは、新たに登場する脅威の半数以上は防ぐことができないという。

　未知の脅威に対抗する手段としては、安全性が確認されているWebサイトやアプリケーションだけの利用を認めるホワイトリストの活用が有効だと言われる。だがSymantec Security Labsのケーリー・ナッケンバーグ氏は、「世の中に無数にあるすべてのWebサイトやアプリケーションの安全性を、企業のセキュリティ担当者やセキュリティベンダーが独自に確認してリスト化するには限界がある」と話す。

　そこでナッケンバーグ氏は、AmazonやeBayなどに見られるユーザー評価の仕組みを導入することによって、安全なWebサイトやアプリケーションのホワイトリストを世界規模で実現する構想を明らかにし、2008年の導入を目指すエンドユーザー向けサービスを紹介した。

オンライン決済時の身元保証を仲介するSymantecの「Identity Defender」サービスのイメージ画面。信頼されたサイトの存在がリスト化されていくことで、フィッシングサイトなど悪意のあるサイトの存在を排除していくことが最終的な狙いだという

　このサービスでは、Symantecが提供するIDプラットフォームにユーザーの氏名や住所、クレジットカード番号などの個人情報を登録する。Symantecと提携しているECサイトなどを利用する際には、Symantecが双方の身元を保証する仕組みで、安全な取引環境を提供するというものだ。

　ナッケンバーグ氏は、「フィッシングサイトの台頭などでECを不安視するユーザーが増えている。われわれは仲介役としてユーザーとサービスプロバイダーを信頼で結ぶ。信用の輪が広がり、ホワイトリストが次々に作られていく。信用されない不正サイトやマルウェアは存在できなくなる」と、構想の狙いを説明した。

　Symantecは、数百万規模のユーザーデータベースを保有しており、まずはこのデータベースと大手サービスプロバイダーとの提携によってサービスインを目指すとしている。