今さら聞けないIT資産管理(10) セキュリティの弱点「脆弱性」とは

毎日情報システム担当として働いていても、正直まだまだ分かっていないことも多い。そんな今さら聞きづらい「IT資産管理」について悩みを抱える彼らの元へ、突然どこからかやってきて、悩みを解決していくIT資産管理のスペシャリストであるクオリティソフトのQ坊。

いま世間を騒がせている「ランサムウェア」が、ついにうちの会社のPCにも感染!? だけど人手が足りず人事も兼任するB社の情シスには、ランサムウェアについて正しい知識はなさそう……。そんなピンチを救いに、今日も我らがQ坊がやって来た!

情シス
ランサムウェアでファイルを暗号化されても、メッセージ通りお金を払っちゃダメなの?

Q坊
駄目だキュ。そもそもそんなもの送りつけるような悪人がちゃんとファイルを復号化してくれる保証なんてあるわけないんだキュ。

情シス
うーん、そもそもなんでこんな面倒なものに感染しちゃったんだろう……

Q坊
まず考えられるのがソフトウェアの脆弱性だキュ。あと変なWebを閲覧したことによって勝手にマルウェアがダウンロードされて、感染した可能性もあるんだキュ

ランサムウェアに感染する原因は基本的にマルウェア全般と同じだよ。主な原因のうちの1つが「ソフトウェアの脆弱性」で、もう1つが「Webサイトの脆弱性」なんだ。まずWebサイトの脆弱性を突いた攻撃で代表的なのがクロスサイトスクリプティング(XSS)と呼ばれるもので、攻撃者に罠をしかけられたサイト(脆弱性のあるサイト)にアクセスすると、ユーザーのクッキー情報なんかが勝手に盗まれて、その情報から他のサービスに不正ログインして個人情報を盗られたりするんだ。

次にソフトウェアの脆弱性がきっかけでランサムウェアなんかのマルウェアに感染すると、PCが乗っ取られて攻撃者のやりたい放題にされてしまうんだ。PC内の機密情報が盗まれたり、さらには社内サーバーにアクセスしてそこの機密情報が盗まれたり、そのPCのユーザーになりすまして外部に通信されたりなど……想像するだけでゾッとしてしまうよね。

この脆弱性をなくすというのが、サイバー攻撃を防ぐための基礎中の基礎になるんだ。既に知られている脆弱性(既知の脆弱性)であれば防ぎ方もわかっているので、OSやアプリケーションを最新のものにアップデートしたり、アンチウイルスを使ったりなどで対策できるよ。こうしたすぐにできることをまずやるようにしようね。

ただし、問題なのがまだ知られていない脆弱性(未知の脆弱性)への対策なんだけど、最近ではツールでの対策も可能になってきているよ。たとえば、クオリティソフトのエンドポイントセキュリティ管理ツール「ISM CloudOne」には、未知の脆弱性を突いた攻撃でも見つけることができる「ふるまい検知」機能がオプションとして加わるんだ。「ISM CloudOne」には脆弱性診断の機能があるので、既知の脆弱性はこれで見つけて、未知の脆弱性についてはふるまい検知で対策するというのがおすすめだよ。

最初に話した通り、脆弱性をなくすことが、いま話題になっている「ランサムウェア」対策の最大のポイントになるよ。そもそもランサムウェアというのは、メール添付や改ざんされたWebの閲覧などさまざまな手法で侵入して、利用者のPCに保存されているファイルを勝手に暗号化してしまうマルウェアなんだ。暗号化したファイルの復号と引き換えに身代金を要求してくるといった悪質な脅迫をしてくるよ。ここで注意してほしいのは、身代金を支払っても、ファイルが復号される保証はどこにもないということ。それどころか、もし支払ってしまうと、そのお金が次の攻撃の資金源になる可能性もあるし、一度金銭を支払ったことで別の犯罪に巻き込まれることも考えられるからね。