2005年暮れ，Windowsのセキュリティ・ホールがインターネットを騒がせた。セキュリティ・ホールを悪用する画像ファイルが広く出回り，その画像が張られたWebページへアクセスするだけでウイルスなどに感染する恐れがあった。しかも，マイクロソフトからはセキュリティ・ホールを修正するパッチ（更新プログラム）が公開されていなかった。いわゆる“0-day（ゼロ・デイ）”だ。このため，被害が深刻かつ広範囲になることが心配された。
実際，米国では被害が確認されていた。悪質な画像ファイルへリンクを張ったWebサイトが次から次へと出現。セキュリティ・ベンダーや組織は相次いで注意を呼びかけた。しかし幸いなことに，国内では被害はほとんど確認されなかった。「米国とは異なり，国内では大きな問題にはならなかったという印象だ」（ラック SNS事業本部 セキュリティプランニングサービス部 担当部長の新井 悠氏）。「企業および個人ユーザーのいずれからも，問い合わせはほとんどなかった」（マイクロソフト セキュリティレスポンスチームの小野寺 匠氏）
だが，今後同じような事態が起きた場合に被害が小さいとは限らない。パッチ未公開のセキュリティ・ホールが第三者によって公開されることは，現在ではめずらしいことではなくなっている。今回のセキュリティ・ホール“騒動”を参考にして今後に備えたい。今回の件で改めて浮き彫りになったのは，「クライアントが影響を受けるセキュリティ・ホールが見つかると，攻撃の踏み台とするためにWebサーバーも狙われる」「ゼロ・デイ対策には，ウイルス対策ソフトが効果的」---といったことだった。
Webページにアクセスするだけで被害に
まずは，本稿で取り上げているセキュリティ・ホールについて簡単に振り返ろう（関連記事）。
このセキュリティ・ホールは，Windowsメタファイル（WMF）の処理に関するもの。細工が施されたWMF画像ファイルを読み込むと，同ファイルを処理するコンポーネント「GRE（Graphics Rendering Engine）」でバッファ・オーバーフローが発生する。その結果，ファイルに仕込まれた任意のプログラムを実行される恐れがある。
細工が施されたWMF画像を直接開いた場合はもちろんのこと，そういった画像（あるいは画像のURL）が張られたWebページにアクセスするだけで被害に遭う可能性があるので，とても危険なセキュリティ・ホールだ。しかも，マイクロソフトから情報やパッチが公開される前に，セキュリティ・ホールを突く画像ファイル（正確には，画像ファイルを生成するプログラム）がネット上で公開された。最初に公開された日時は定かではないが，米国時間12月28日には広く知れわたっていた。
同日，米Microsoftは「Security Advisory（セキュリティ アドバイザリ）」を公開（関連記事）。セキュリティ アドバイザリとは，修正パッチが作成されていない状況，あるいは修正パッチを必要としない状況での，セキュリティ問題に関する情報とその回避策などを提供するもの。
回避策が公開されたものの，修正パッチは未公開。攻撃者たちは，ここぞとばかりに，悪質な画像ファイルをダウンロードさせるWebサイトを次々と立ち上げた。回避策を施していない環境でそのようなサイトへアクセスすると，ウイルスやスパイウエア，ボットといったマルウエア（悪質なプログラム）を勝手にインストールされてしまう。悪質な画像を添付したメールも出回った。
攻撃者たちの“格好”の標的になった今回のセキュリティ・ホール。事態を重く見たマイクロソフトでは当初の予定を早め，1月6日に修正パッチをリリースした（関連記事）。このパッチさえ適用すれば，悪質画像を開いても問題は発生しない。
サーバー・マシンも狙われる
さて，今回のセキュリティ・ホールに関する一連の出来事を振り返って，何が教訓になるだろうか。今回のセキュリティ・ホールの影響を主に受けたのは，Webページを閲覧したり，HTMLメールを読んだりするクライアント・マシンだった。このため，ユーザーの心がけが最も効果的な対策だった。具体的には，「信頼できないファイルやWebページにアクセスしない」ことが重要だった。
ただし，このことはセキュリティのセオリーであり，今回のセキュリティ・ホール対策に限った話ではない。
今回の一連の出来事について，ラックの新井氏は別の点に注目する。公開サーバーのセキュリティである。悪質な画像ファイルによって直接被害を受けるのはクライアント・マシンだったが，今回のケースではサーバーも狙われた。「悪質画像の“配布元”として，多数のドメインのサイトが確認された」（新井氏）。セキュリティの甘いWebサーバーが不正侵入を受けて，悪質画像へのリンク（タグ）がWebページに書き込まれたり，悪質画像の置き場所にされたりしたのだ。
つまり，セキュリティ・ホール自体はクライアント・マシンだけが影響を受けるものであっても，そのホールを突くための踏み台を作るために，サーバー・マシンへの不正侵入が“活発”になるのである。このためサーバー管理者は，パッチが未公開で，かつ悪用が容易なセキュリティ・ホールが公表された場合には，その攻撃対象がクライアントだけであっても，いつも以上にセキュリティに気を使う必要がある。
「今回のように，他人のサイトを悪用するケースは増加傾向にある。自分のサイトが犯罪に悪用されるとなると，社会的にも大きな問題になる。『ユーザーがパッチを適用したから一件落着』とは考えずに，今回を機に，サーバーのセキュリティ対策を改めて見直すことをお勧めする」（ラックの新井氏）。
ウイルス対策ソフトはウイルス以外にも有効
加えて今回のケースでは，パッチ未公開のセキュリティ・ホールを突く攻撃には，ウイルス対策ソフトが有効な場合があることが示された。
前述のように，パッチの公開以前に，悪質な画像やプログラムが多数出回ったものの，被害は小さかった。この理由の一つとしてマイクロソフトの小野寺氏は「（セキュリティ・ホールを突く悪質な画像に）ウイルス対策ソフトがいち早く対応したため」とする。「ホームユーザーのほとんどは，（12月28日に公開した）回避策を実施していなかっただろう。しかしながら，対策ソフトが対応していたために，被害を免れたケースは少なくないと思う」（同氏）。
ウイルス対策ソフトは元来，別のファイルやパソコンに感染を広げるウイルス（ワーム）を検出・駆除するためのプログラムである。しかし近年では，悪質なプログラム（マルウエア）全般を検出・駆除の対象としている。もちろん，検出・駆除するためには，ウイルス対策ソフト・ベンダーがそのプログラムに対応したウイルス定義ファイル（パターンファイル）を提供する必要がある。
だが，修正パッチを作成するよりは，定義ファイルのほうが圧倒的に早く作れるのが現状のようだ。「セキュリティ・ホールをふさぐだけのパッチは比較的すぐに作成できる。時間がかかるのは検証作業だ。パッチを適用しても，パソコンの動作や他のアプリケーションに影響を与えないことを確認することに，多くの時間を費やしている」（小野寺氏）。
定義ファイルについては互換性の検証作業はほとんど必要ない。対策ソフト・ベンダーが“検体”を入手して解析さえできれば作成できる。このため，パッチ未公開のセキュリティ・ホールを突くプログラムについては，パッチよりも定義ファイルのほうが，早くリリースされることが期待できる。今回は，まさにそのケースだった。
もちろん過信は禁物。必ず守ってくれるとは限らない。対応する定義ファイルをベンダーが作成していなければ検出・駆除できない。新たな攻撃プログラム（ファイル）が次々と出現した場合には，対応が遅れる可能性は十分にある。ただし今回のケースでは，「さまざまな攻撃ファイルが出回ったが，当初公開されたファイルをベースにしているものが多かった」（小野寺氏）ため，ほとんどのケースで検出・駆除できたようだ。
