高度なファームウェア攻撃に対抗する、たった1つの簡単な方法：箱を開けて、電源を入れるだけ
従来のセキュリティ対策ソフトウェアでは対策できないサイバー攻撃が増えている。企業規模を問わない攻撃が仕掛けられる理由と多層防御の「間隙」を狙う手段、企業が攻撃に対抗するための「シンプルな対策」とは。
サイバー攻撃の激化が続く。たびたび活発化するマルウェア「Emotet」をはじめ、多種多様なランサムウェアが組織を狙う。攻撃者は大企業や政府が保有する重要な情報を奪うため、まずはセキュリティが十分でない企業を「踏み台」にする。中小規模の企業が狙われるのはそのためだ。
そのような状況の中、かねて懸念されていた攻撃が現実のものとなっている。「ファームウェア」を対象とした攻撃だ。ファームウェアとはPCの起動時、OSの起動前に実行される、ハードウェアに依存したプログラム群だ。一般的なセキュリティ対策ソフトウェアはOS上で動くため、OS起動前の攻撃を防げない。
ファームウェアに対する攻撃は、2011年ごろには既に研究レベルで警鐘が鳴らされていた。2019年にはOSのカーネルモードを不正に更新して悪意ある行動を可能にするランサムウェア「RobbinHood」が脆弱性を悪用して米国メリーランド州ボルチモア市の公共サービスを停止させている。同市はおよそ1800万ドル（22億円）相当の被害を受けた。
しかし安心してほしい。ファームウェア攻撃の手法を知れば、納得できる防御手法があることに気が付くはずだ。
ファームウェア攻撃は「攻撃者視点」で考える
ファームウェア攻撃を知る前に、PC端末の起動のプロセスを考えたい。PCは電源を投入するとBIOSまたはUEFI（以降、UEFI／BIOS）と呼ばれるファームウェアが起動し、OSやブートローダーに改ざんがないかを「セキュアブート」で検証した上でOSを起動する。OSが起動すると「Microsoft Defender ウイルス対策」をはじめとするセキュリティ対策のプログラムが立ち上がる。Webブラウザやメールアプリなどのアプリケーションの通信チェックは、その後の機能だ。
これを攻撃者視点で考えれば、PCの起動後、セキュリティ対策の仕組みが動く前にUEFI／BIOSを書き換えれば、それ以降のセキュリティ対策をバイパスして端末の操作を根幹から奪える。これが、ファームウェア攻撃の基本だ。
ファームウェアにも定期的に脆弱性が報告されており、攻撃者の標的になり得る。実際に発見された脆弱性への攻撃や被害の例も出ている。ファームウェアへの攻撃からPCを守るには、これまでのソフトウェアによる保護に加えて別の対策が必要だ。
ハードウェアで鉄壁の守りを実現する「Windows 11 Secured-Core PC」
OS上で動作するソフトウェアでは、ファームウェアへの攻撃は防げない。UEFI／BIOSレイヤーを保護するにはハードウェアによる対策が必要だ。そこでファームウェアを保護する仕組みとして注目されているのが「Windows 11 Secured-Core PC」（以降、Secured-Core PC）だ。ハードウェアに新しい防御の仕組みを用意したもので、日本国内のPCベンダー各社が対応モデルを用意している。結論から言えば、このSecured-Core PCを選択することで、ファームウェアレベルの攻撃から組織を守り、ログインIDやパスワードなどクレデンシャル情報を含むデータの保護が可能になる。
Secured-Core PCが提供する4つの機能
Secured-Core PCは4つの機能でPCを保護する。以下で順に紹介していこう。
「ハードウェアの整合性」で起動の可否を判断
まず起動の際に、ハードウェアの整合性を確認する。内部のHDDやSSD、基板が入れ替えられているなどの変化があれば「出荷状態からの整合性がない」と判断してブートプロセスを止め、起動しない。この機能はSecured-Core PCのハードウェアに搭載されており、万が一、内部のストレージが別のものに入れ替えられたとしても、起動前に検知できる。
ブートプロセスを保護してファームウェアの改ざんを防ぐ
Secured-Core PCにおける「ファームウェア攻撃」への具体的な防御策となるのが、ブートプロセスそのものの保護機能だ。一般的なPCは「UEFI／BIOSがブートローダーを起動する」「ブートローダーがOSカーネルを起動する」「OSカーネルがドライバを起動する」というプロセスで起動する。ファームウェア改ざんの攻撃は、起動の初期プロセスに対して実行される。
Secured-Core PCが提供するセキュアブートの機能は、まずUEFIがブートローダーを起動する際に、ブートローダーが改ざんされていないかを署名を基にチェックする。署名が問題なければ、次にOSカーネルの署名もチェックし、改ざんが認められない場合のみドライバをロードする。このように、ステップごとに改ざんをチェックして“安全の鎖”をつなげていくのがセキュアブートの仕組みだ。もちろん、UEFI自体を保護する仕組みも搭載し、ブートプロセス全体を保護する。
未確認コードからの保護
Secured-Core PCの保護機能は、ブートプロセス以降も続く。OSの起動時および起動後に「Hyper-V」によるハイパーバイザーを利用し、コードの整合性をチェックできる。アプリケーションはOSと分離された仮想マシン上で動かすため、万が一未確認コードが含まれていたとしてもOSへの影響を回避できる。
生体認証などで利用されるクレデンシャル情報を保護
「Windows Hello」を始めとする、生体認証でのログインも重要な機能の一つだ。これら生体認証で利用される情報は「TPM」（Trusted Platform Module）や「Microsoft Pluton」などのセキュリティプロセッサに格納され、外部からの盗聴、改ざんから保護される。
セキュリティと利便性の「両取り」を実現
セキュリティは強化するほど使い勝手が悪くなり、面倒なことが増えるという経験則を持つ経営者もいるだろう。しかし、それはSecured-Core PCには当てはまらない。Secured-Core PCを使うには、各社から販売されている対応モデルを購入するだけでよい。出荷時に安全を確認したデバイスは、起動するたびにその構成情報、ファームウェア情報を厳密にチェックするため、何ごともなければそのまま安全に使い続けられる。もし構成を変更されたり不正なファームウェアにアップデートされても、ハードウェアがその変更を検知して利用者に「攻撃を受けた事実」を伝えられる。
これまで投資してきたセキュリティ対策も引き続き重要な役割を担う。既存のセキュリティにハードウェアによる防御を追加するもので、既知のマルウェアから身を守るセキュリティソフトウェアや、侵入の経緯と広まりを記録して対処するEDRもそのまま使える。その上で端末をファームウェア攻撃に備えたSecured-Core PCに置き換えていくことが、組織を守るための重要な対策になる。
いつでも、どこでも働ける「ハイブリッドワーク」時代において、PC端末を社外でも守れる環境の構築が急務だ。高度なファームウェアレベルでの攻撃から組織を守り、サイバー攻撃が激化する現状でも取引先とのサプライチェーンを維持するための重要な一歩は、安心、安全を手に入れる保険としての「Secured-Core PC」対応PCを導入することと言える。
日本国内PCベンダーが続々提供、Secured-Core PC対応端末
Secured-Core PC対応の端末は、既に日本のベンダー各社が提供している。以下に、主要なベンダー7社が勧める端末を紹介する。
デル・テクノロジーズ株式会社 Latitude 7320 detachable
12インチクラスの筐体に13インチのディスプレイ、さまざまなセキュリティ機能を搭載。どんな場所でもユーザーの作業に合わせて最適化するAI搭載のDell Optimizerを無償でご使用いただけます。
Dynabook株式会社 dynabook RJ74
秀抜の軽さ、速さ、強さをめざして。使いやすさ、デザイン性までも追求し、新しい働き方へ貢献する14型モバイル
富士通株式会社 LIFEBOOK U9311/H
ウイルス・マルウェア対策をさらに強化。BIOS改ざんチェックと自己回復を自動で実現
株式会社 日本HP HP Elite Dragonfly G2
美しい軽量コンバーチブルボディに安心のセキュリティと余裕の性能、5G通信を融合
レノボ・ジャパン合同会社 ThinkPad X13 Gen 2
13.3型アスペクト比16:10のディスプレイをコンパクトな筐体に凝縮したモバイルノートブックPC
日本電気株式会社 VersaPro タイプVB ＜VB-B＞
13.3型液晶搭載で約19.6時間駆動、LTEにも対応し、テレワーク利用にも適しています
パナソニック株式会社 レッツノート CF-FVシリーズ
大画面なのにコンパクト、頑丈設計で持ち運びも安心。マルチタスクでも快適。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.
提供：日本マイクロソフト株式会社
アイティメディア営業企画／制作：ITmedia エンタープライズ編集部／掲載内容有効期限：2022年5月2日
関連リンク
ITmediaはアイティメディア株式会社の登録商標です。