「インターネット エクスプローラを使うな」ってどういうこと？ ワタシは今どうすべきか：経緯、内容、対策を解説（3/3 ページ）

[鈴木淳也（Junya Suzuki），Business Media 誠]

「ゼロデイ攻撃」に注意　ユーザーはどう対策するべきか

　現在Microsoftでは問題の検証中であり、おそらくは2014年5月上旬に配布されるとみられる月例のセキュリティアップデート、もしくは（今回のように大事になったことから）緊急アップデートの形で該当製品を利用するユーザー（つまり、Windows搭載PC利用者のほぼ全員）にWindows Updateを通じて対策ソフトウェアを配布するとみられる。

　（2014年5月2日追記）※マイクロソフトより、この脆弱（ぜいじゃく）性を対処したセキュリティ更新プログラムが公開（関連記事）された。

　「対策を行っていないため、すぐに自身のマシンが攻撃される」というわけではない。ただ、この脆弱（ぜいじゃく）性が悪い意味でも周知されてしまったことも事実。すぐさま悪意あるプログラムをWebサイトに仕掛けた攻撃者も相当数いるとみられ、当然ながら注意は必要だ。この意味で、インターネットを使うなとは言えないまでも、IE以外の他のブラウザを使うことはリスク回避の有効な手段になる。

　Microsoftが対応アップデートの提供をはじめるまで、1〜2週間ほどのタイムラグがあると予測される。不用意に怪しげなサイトにアクセスしたりせず、Microsoftが提示する一時的な対策を行ったり、あるいはIE以外のブラウザを利用するなど、必要最低限の対策はしておくべきだ。メールやSNSのWebリンクなどは不用意に踏んでしまいがちなので特に注意したい。

　なお、このような形でコンピュータやソフトウェアの脆弱性が明らかになってから、実際に対策が行われるまでのわずかな時間を狙って攻撃する手法のことを「ゼロデイ攻撃（Zero Day Attack）」などと呼ばれている。Microsoftは「次の3つの対策」を行うことを推奨している。あくまでも攻撃に対する緩衝となるだけだが、対策をとる姿勢こそが大事だ。

Webブラウザのセキュリティ設定を強化する

　IEの「ツール」→「インターネットオプション」より、セキュリティゾーン設定をすべて「高」にする。ただしWebサイトの機能を一部無効にしてしまうため、普段の利用には向かなくなる。

　64ビット版のWindows上でIE10またはIE11を利用するユーザーは「拡張保護モード」を使うことで直接攻撃を防げる。設定方法は同じく「インターネットオプション」→「セキュリティ」タブにある「拡張保護モードを有効にする」と「拡張保護モードで64ビットプロセッサを有効にする」にチェックを入れる（後者はIE11のみで出現する）。設定後、再起動することを忘れないように。

セキュリティ対策ツール（EMET）を利用する

　攻撃者にマシンへのアクセス権が取得されるのを防ぐべく開発された、Microsoft謹製の脆弱性緩和ツール「Enhanced Mitigation Experience Toolkit（EMET）」がある。

　表示言語は英語のみだが、誰でも無料で利用できる。インストール後は一部アプリケーションの機能が制限されることになるため、企業などでIEをベースに稼働する業務システムを使っている場合は不具合が出る可能性がある。こちらは注意してほしい。

「Enhanced Mitigation Experience Toolkit（EMET）」のダウンロードサイト

問題となっている一部プログラムをIEから切り離す

　脆弱性の原因となっているのは、IEで使われている「vgx.dll」というプログラムである。これの利用を解除することで直接攻撃を防げる。ただし、このプログラムはWebブラウザにおける描画処理の一部を担っているので、Webページによっては表示に不具合が出る可能性がある（また、解除／復旧の手順が難しいので、一般的にはお勧めできない）。

---

　筆者としては、緊急対策として「Webブラウザのセキュリティ設定を強化する」の方法を勧めたい。残り2つの対策は一般ユーザーにはやや難しい。

　やはり、他社のWebブラウザを使うのが手軽かもしれない。他社のWebブラウザには、Google Chrome、Firefox、Operaといった選択肢がある。

• Google Chrome
• Firefox
• Opera

　「業務ツールとしてIEを利用しなければならない」というビジネス層には厳しいが、どう対処するかについて、たいていの場合は社内のIT担当者よりすでに告知されていると思うのでそちらに従ってほしい。

Google Chrome（左）、Firefox（中央）、Opera（右）のロゴ。Microsoftが対応アップデートを行うまで、こうしたInternet Explorer以外のWebブラウザを使うのも有効な対策となる

「Windows XP」に救いの手はあるのか？

　Windows Vista／7／8（8.1）ユーザーには、しばらく待てばMicrosoftが対策アップデートを提供してくれるはず。前述した「ゼロデイ攻撃」に気をつけて、最低限の防御さえ怠らなければ、被害のほとんどは防ぐことが可能だろう。

　だがWindows XPは別だ。対策する術がない。他社Webブラウザの利用も一時しのぎにしかならず、もしOSそのものを攻撃できる脆弱性が発見された場合は防げない。Windows XPのサポート終了が話題になった、見方を変えると“こんなに対策していない人がいる、カモがたくさんいる”──と悪意ある人に気がつかせてしまった。対策される見込みのない脆弱性は、今後も発見されていくことだろう。これが「OSサポート終了」の意味するところであり、現在もサポートが継続されているより新しいOSへの乗り換えを真剣に検討しなければならない。

　致命的な脆弱性は今回のケースに限らず、今後も定期的に出てくるはず。次はさらに危険度が増すかもしれない。この騒動の最大のポイントは、この「Windows XPの今後の扱い」にある。

　（2014年5月2日追記）※マイクロソフトより、この脆弱（ぜいじゃく）性を対処したセキュリティ更新プログラムが公開（関連記事）された。例外的にWindows XPも対象となった。