ゼロデイの脅威を考える（パート3）　いつ，どのように現れるのか

　統計における分布を考慮すると，セキュリティ・ホール全体の23％がこの7日間に見つかると予測される。このデータから，2005年と2007年に限っては，ゼロデイ脅威の戦略的リリースがそれほど一般的でなかったと思われる。2006年だけをみても偏差は8％だった。

　ほかにも検討すべき大切な要素がある。悪用事例から発見されたセキュリティ・ホールは，実際に現れた日でなく，発見された日で分類されているのだ。当然，これには理由がある。出現日が必ずしも分からないことである。実際に過去には，セキュリティ・ホールが悪用情報が発見されるよりも相当前にアップロードされていたことが，サーバーのログから判明することがあった。

　以下のグラフは，発見/公表に至ったゼロデイ脅威の数と経緯について比較した，6カ月分のデータ2件である。

　全セキュリティ・ホールのおよそ10％が，悪用事例で初めて発見されていた。このうち42％はPatch Tuesdayリリースの前後3日以内に見つかっており，それなりに大きな割合である。ただし，その多くについて，実際の出現日は分かっていない。

　こうしたデータから何が分かるだろう。まず，しかるべき瞬間に襲撃しようと待ちかまえている攻撃者は確実に存在することは分かる。ただし，こうした行為には，株を最高値で売ろうとする方法と似たところがある。攻撃者は，自分たちのゼロデイ脅威がどれだけの期間気付かれずにいるか，あるいは，いつベンダーに報告されて修正パッチがリリースされるかなどについて，知る術を持っていない。確実に分かるのは，Patch Tuesdayリリースまで数日というタイミングでゼロデイ脅威を流すと，マイクロソフトはその時点でまだ起きていない現象に取り組まざるを得なくなる，ということだ（こうして6日以内に緊急パッチがリリースされる）。Patch Tuesdayリリースの10日前に流すと，マイクロソフトに報告されるまで少なくとも数日間は気付かれない可能性がある。もちろん攻撃者はPatch Tuesdayリリース直後まで待ってもよいが，そうすると脅威の有効期間が短くなってしまう。

　おそらく攻撃者の多くは，待つことなく，準備ができ次第すぐに脅威情報を流しているのだろう。時間が過ぎれば過ぎるほど，セキュリティ・ホールが公表されたり修正されたりする機会が高まるのだ。

　続きは最終回のパート4を読んでいただきたい。