そもそもWindows XPはなぜサポートを終了するの？ 技術的背景と対策方法を解説（2/2 ページ）

[鈴木淳也（Junya Suzuki），ITmedia]

※本ページはアフィリエイトプログラムによる収益を得ています

悪質化する昨今の攻撃トレンド

初期の腕試しや愉快犯的攻撃から、現在では明確に金銭や個人情報を目的とした攻撃へと変化

　2001年のWindows XP発売当時と現在の技術の違い・進化とともに、攻撃側のトレンドや意識もかなり変化している。以前は攻撃者自身の腕試しが目的であったり、いわゆる愉快犯がその中心だったと考えられているが、2014年現在はずばり明確に「カネ」を目的としており、攻撃も役割分担で組織的に動いているケースが多い。

　フィッシングやシステム侵入で個人情報を抜き取り、この情報を使って直接何らかの金銭的収奪を行ったり、あるいは情報の売買で換金するといった具合だ。役割分担についても、ツールを開発する者、それを使って攻撃する者、換金のためのブラックマーケットを提供する者と、一種のサイバー犯罪ギルドのようなものが存在している。これが攻撃者間でのスムーズな情報交換や換金につながっている。

　攻撃ルートの複雑化も厳しさを増している。メールの添付ファイルやWebページを開くだけで感染したり、複数の感染ルートを持つものなど、かつてさまざまな方法が攻撃手段として利用されてきた。クロスサイトスクリプティングやバッファオーバーフローなど、プログラム上の脆弱性を突いた攻撃もいまだ蔓延している。だが現在はこうしたテクニカルな攻撃手法の他に、デバイス盗難や電話問い合わせなど物理的な情報収集手法での古典的なソーシャルエンジニアリングや、フィッシングサイトへの誘導など、油断する人間の隙を突く攻撃手段も“改めて”見かけられるようになった。SNSの何気ないような何らかのリンクをふと踏んでしまってヒヤリとしたこともあるはず。スマートフォンやタブレットといった持ち出し前提のデバイスが増え、ネットワークの境界も外側と内側であいまいになりつつあり、クラウド利用や外部からのリモートアクセス増加も管理の複雑性が増している。いずれにせよ、企業ユーザーの場合は特に総合的なセキュリティ対策が求められる状況にある。

攻撃対象は大企業だけではない。むしろ対策と意識が甘い中小企業が狙われる率が高くなっている

　これに関してシマンテックの発表した興味深いデータがある。企業を従業員数ごとに分類し、その不正アクセスの増加状況を2011年と2012年で比較したところ、従業員2500人以上の大企業ではそれほど変化していないが、250人以下の中小企業では18%から31%へと急増していた。

　これは「ウチのような小さな企業を攻撃してきても仕方ないし、実際に攻撃も来ないはず」という油断した意識がどこかにあり、適切にネットワークが管理されていないことに起因するのだという。

具体的にどのように対策すればいいか

複雑化する攻撃手段。デバイスの種類やアクセス経路が増えたことも複雑性を増す原因となっている

　では対策は今からでも間に合うか。

　まず、サポートが終了するWindows XPから、今後もサポートが継続するより新しいWindows 7以降のバージョンに乗り換えることが望ましい。Windows 8.1のほか、企業／ビジネス向けPCにはWindows 7 Professionalの構成、あるいはWindows 8.1 Proのダウングレード権を適用したWindows 7インストール構成のモデルも購入できる。ビジネスシーンへの導入を想定したWindows 7 ProfessionalインストールPCの販売期間は、当初の2014年10月末終了から、さらに延長される見込みだ。

　とはいっても「すぐにはムリ」なケースもあるだろう。マイクロソフトでは最新環境への乗り換え移行支援として、同社が提供するセキュリティ対策ソフトウェア「Microsoft Security Essentials（MSE）」について、2015年7月14日までの定義ファイルならびに更新プログラムの継続提供を表明した。これにより、最低限のある程度の攻撃には対応できる。一応、Windows XP向けのMSEは2014年4月9日時点で配布終了となるため、必要なユーザーは最低限事前にインストールを済ませておいてほしい。

　Windows XPだけでなく、同日には「Office 2003」と「IE6」のサポートも終了する。OSとアプリケーションというの違いはあるが、攻撃に対して無防備になることには変わりなく、こちらも乗り換えが推奨されている。マイクロソフトでは、メッセージをよりシンプルで明確にするために「Windows XPのサポート終了」を前面に出して告知しているが、実際にはそれより影響範囲は広いかもしれない。終了日を狙ったゼロデイ攻撃などで問題になる以外に、徐々に悪影響が出てくること、ちょっと忘れて人が油断した頃の攻撃なども普通に予想される。重要なのは焦らず移行プランを検討し、「対策をする意思」を持つことだ。