再確認、「ボット」って何だ？ 何がコワイの？：年末緊急特番！ボットネット対策のすすめ（1/3 ページ）

あらためてボット／ボットネットの仕組みや動作について説明し、その脅威と対策について考えてみよう。

[松木隆宏，ITmedia]

本記事の関連コンテンツは「年末緊急特番！ボットネット対策のすすめ」でご覧になれます。

　インターネット上の新しい脅威として、「ボット」と呼ばれる不正プログラムとそれに感染したコンピュータによって構成されるネットワーク「ボットネット」が公知となってから久しい。

　しかし、ボットに感染しているコンピュータは減る気配を見せず、今もなお、多くのボットネットが存在し続けている（関係資料：PDF）。セキュリティ研究機関やISPの活動によってボット／ボットネットの存在や実態の一部が明らかになってきてはいるが、いまだだにその全容の把握はできていない。

　つい先日、経済産業省と総務省が連携して「ボット対策プロジェクト」を行っていくことが発表され、同プロジェクトによる利用者向けの啓発サイトも公開された（関連記事）。しかしボットには「これさえやっていれば大丈夫」というような決定的な対策はなく、こうした情報を参考にインターネット利用者自身がその怖さやリスクを理解し、自ら意識して身を守るしかない。

　そこで本稿ではあらためてボット／ボットネットの仕組みや動作について説明し、その脅威と対策について考える。

ボットとは？　〜コントロールできる不正プログラム〜

　ボットとは、ネットワークを介して外部から指令を受け、コンピュータを遠隔で操るための不正プログラムである。

　Webを自動で巡回するプログラムなどのように、一定の動作を自律的に行うようなプログラムを「○○ボット」ということもあるが、ここで扱うボットとは、悪意をもって作成された不正プログラムであり、広い意味でのコンピュータウイルスの一種である。ボットという名前の由来は、指令を受けて動作をする様子が「ロボット」のようだからである。

　ボットは、ワームのようにセキュリティホールを悪用してネットワーク上で自己増殖する性質だけでなく、感染したコンピュータ内で情報を収集するスパイウェア的な機能やバックドア機能を持っている。従来のさまざまな不正プログラムの性質や機能を取り込み、あらゆる悪意のある活動を可能にしたものがボットである（図1）。

図1●マルウェアの「進化」（JPCERT/CCの資料より）

　ボットの最大の特徴は、冒頭でも述べたように、感染したコンピュータを外部からコントロールできることだ。コンピュータを操る指令を受け取った際に行われる動作はあらかじめプログラムされているが、感染したコンピュータの長期的な活動内容は、指令を送る悪意のある第三者の意思によって、指令の種類、時期や順序、回数が異なるためさまざまである。

ボットネットとは？　〜ボット感染コンピュータを管理するネットワーク〜

　ボットに感染したコンピュータが集まりネットワークが形成される、そのネットワークをボットネットと言う。ボットネットの概念をに示すと図2のようになる。

図2●ボットネットの構成

・C＆C（中継機構）とハーダー（指令者）

　ボットに感染したコンピュータは、まずC＆C（Command and Control）と呼ばれるサーバに接続する。C＆Cサーバとは、感染したコンピュータへの指令を中継する機構で、司令塔の役割を果たす。また、指令者のことをハーダー（Herder：「羊飼い」という意味）と呼ぶ場合が多い。ボットに感染したコンピュータは、ハーダーに羊の群れのごとく操られることになる。

　ハーダーの指令はC＆Cサーバを介して、ボット感染コンピュータへ到達する。このC＆Cサーバとの通信には、IRC（Internet Relay Chat）プロトコルが使用されることが多い。IRCは、複数の相手とリアルタイムでチャットするためのプロトコルであるが、その同報性がボットへの指令伝達に適していため使用されたのだろう。

　ハーダーは、一回の指令で大量のコンピュータを同時に操ることができる。指令を受け取ったボットは、その内容によってスパムメールの送信や他のコンピュータ・サーバへのDDoS攻撃の実行、あるいはボット感染コンピュータ内の個人情報、金銭的価値のある情報の取り出しなど、あらゆる悪意のある活動を行う。

　このようにボットネットは階層構造となっており、指令者の手足となるのがボットに感染したコンピュータである。よって、ボットに感染することは、利用者自身の情報漏えいのリスクだけでなく、気づかぬうちにスパムメールの送信やフィッシング詐欺などのネット犯罪を助長するシステムの一部として取り込まれる恐れがある。