バージョンチェッカで脆弱性を狙った攻撃に対処する：10個のツールで学ぶ、備える！情報セキュリティの脅威と対策

情報セキュリティ対策に活用できるIPAの10個のツールやコンテンツを紹介します。今回はコンピュータのセキュリティ設定やインストールされているアプリケーションのバージョンをチェックしてくれるツールです。

[情報処理推進機構]

　ごく一般的な個人ユーザーが使用するコンピュータでは、ネットワークからの脅威に対して、ウイルスの検知や駆除を行うツールと、外部からの侵入を抑制するためにパーソナルファイアウォールを導入していることが多いかと思います。ネットワークからの脅威の大部分はこの2つのツールで防ぐことができます。

　しかし悪意を持った攻撃には、正常を装った通信に不正な信号や命令を混入し、対象のセキュリティホールを突くという手法も存在します。”システムの脆弱性を狙った攻撃”と呼ばれます。この場合、外部からの通信は正常な信号を装っているためファイアウォールでは攻撃を排除できません。また、この攻撃ではウイルスを送りつけたり埋め込んだりするものではないため、ウイルス対策ソフトも機能してくれません。こうした攻撃は、OSやコンピュータに導入されているソフトウェアの脆弱性を利用します。

　脆弱性対策についてはいくつかの問題点が存在します。まず「どのソフトウェアに脆弱性が存在するのか」という情報を、どこでどうやって入手するのかという問題です。また、同一のソフトウェアであっても、バージョンによっては既に脆弱性対策が施されていることもあります。自分が導入しているバージョンは危険なものなのか、既に対策された安全なものなのかを確認することが難しいという点も問題です。

「バージョンは、そのソフトウェアを起動して確認すればいいのでは？」と思われるかもしれませんが、脆弱性を突いた攻撃ではAdobe Flash Playerのようにバージョンの確認が容易ではないWebブラウザのプラグインなども対象として利用されます。

　自分のコンピュータに入っているすべてのソフトウェアについて、すべてのバージョンと脆弱性の問題を把握しているという人はほとんどいません。まずは自分の使っているコンピュータと、その中に入っているソフトウェアが安全なものであるのかどうかを確認することが重要です。

脆弱性情報を確認するツールMyJVN

　国内で利用されるソフトウェアなどの製品(OS、アプリケーション、ライブラリ、組込み製品など)の脆弱性対策情報は、脆弱性対策情報データベース「JVN iPedia」に収集・蓄積され、公開されています。「MyJVN」は、JVN iPediaに蓄積された脆弱性対策情報を効果的に活用できるサービスフレームワーク(ツール群)です。

　MyJVNは3つのツール群で構成されており、コンピュータやサーバのセキュリティ設定のチェックを行う、もしくは対策情報を効率的に収集するといった、個人では確認が難しいことを、簡単な操作で最新情報に基づいてチェックできるフレームワークです。ウイルス対策ソフトと併せて利用することにより、ネットワークからの脅威に対して有効なセキュリティ対策が可能となります。

　MyJVNでは個人ユーザー向けとしては、「MyJVN バージョンチェッカ」と「MyJVN セキュリティ設定チェッカ」という2種類のツールを公開しています。

　MyJVNはJavaで作成されたアプリケーションなので、実行にはJavaの実行環境であるJRE 1.6.0 update12以降のインストールが必要です。JREの入手とインストールの詳細は各MyJVNの紹介ページにあるリンクに書かれています。対象となるOSはWindows XP（32ビット版）、Windows VISTA（32ビット版）、Windows 7（32/64ビット版）で、Internet Explorer（IE） 7以降、またはFirefox 3以降のWebブラウザでの利用が推奨されています。

　MyJVNの2つのツールについて1つずつ見ていくことにします。まずは「MyJVN バージョンチェッカ」です。

　MyJVN バージョンチェッカは、チェックリストという考え方に基づき、予めチェック対象としてリストアップしたソフトウェア製品を対象に、利用者のコンピュータにインストールされているソフトウェア製品のバージョンが最新であるかを確認します。具体的には次のソフトウェア（チェック対象となるソフトウェアは今後追加される可能性があります）のバージョンをチェックできます。

• Adobe Flash Player
• Adobe Reader
• Adobe Shockwave Player
• JRE
• Lhaplus
• Mozilla Firefox
• Mozilla Thunderbird
• QuickTime
• Lunascape
• Becky! Internet Mail
• OpenOffice.org
• VMware Player

　MyJVN バージョンチェッカの操作は特に難しい部分もなく、起動後に上部にある「実行」ボタンを押すだけです（図1）。

MyJVN バージョンチェッカの実行画面。最新版ではないソフトウェアがあった場合、表示はこの図のようになります

　結果に「×最新のバージョンではありません」と出た場合には、リストの右側に「表示」というボタンが出ます。このボタンを押すと、図のように下部の表示欄に現在のバージョンと最新バージョン、最新バージョンの入手先に関する情報を記載したリンクが表示されます。

　MyJVN バージョンチェッカによるチェックを実行して、バージョンが古いと表示されることが必ずしもそのソフトウェアの脆弱性と直結するわけではありません。ですが、最新のバージョンを維持することで、より安全な環境になると言えます。

　なお、MyJVN バージョンチェッカが判定する最新バージョンは、ベンダーの公開からシステムへの反映に若干のタイムラグが発生するため、必ずしもチェック時点で開発元から提供されている最新版ではないことがあります。

セキュリティ設定を確認する「MyJVN セキュリティ設定チェッカ」

　もう1つの「MyJVN セキュリティ設定チェッカ」は、利用者のコンピュータのセキュリティ設定が参考値を満たしているかを、MyJVN バージョンチェッカと共通の簡単な操作で確認するツールです（図2）。

図2：MyJVN セキュリティ設定チェッカの実行画面。操作はMyJVNシリーズ共通で「実行」ボタンを押すだけです

　MyJVN セキュリティ設定チェッカでは「USBデバイス自動起動の有無」を確認できます。USBデバイス、特にUSBメモリをコンピュータに挿入した時に、USBメモリ内に悪意を持ったプログラムが仕込まれていると簡単にウイルスに感染してしまいます。この方法はStuxnetに代表される最近大きな感染被害を出しているシステム侵入やウイルス感染にも使われます。

　MyJVN セキュリティ設定チェッカではシステムの設定値をレジストリから取得して結果を表示します。MyJVN セキュリティ設定チェッカは、現時点でUSBデバイスについての1点しかチェックできませんが、今後新たな脅威の登場を機に、脅威レベルを考慮してチェック項目が追加される予定です。

　ネットワークからの脅威について、特に個人ユーザーは「ウイルスさえ注意していれば大丈夫だろう」という安易な考えになってしまいがちですが、ウイルス対策ソフトだけではカバーできない部分で脆弱性を突いた攻撃から自分の身を守るためにも、今回ご紹介したJVNツールを利用されることをお勧めします。