サイバー攻撃を防げない理由

　どのような企業・団体も狙われる現状では、セキュリティ対策は不可欠だ。だが万全ではない。ここでは2つの例を示そう。

　まず、ウイルス対策ソフトだ。標的型攻撃はウイルスを使う。それならウイルス対策ソフトで防げそうだが、実態は違う。実際、日本年金機構など過去に標的型攻撃を受けた企業・団体のほぼすべてはウイルス対策ソフトを導入していたが、被害を防げなかった。

　防げないのは、標的型攻撃で使われるウイルスは、その攻撃のためだけに作られるからだ。従来のように多数のユーザーにウイルスをまき散らす攻撃なら、ウイルス対策ソフトメーカーはそのウイルスを入手しやすい。入手したメーカーは、すぐに解析してウイルス定義ファイル^▼に反映。自社製品のユーザーが対応できるようにする（図7）。

図7●出回らないウイルスは検出が困難

標的型攻撃などで使われるウイルスは、その攻撃のためだけに作られる。従来のウイルス攻撃とは異なり、ウイルス対策ソフトメーカーはサンプルを入手しにくいため、ウイルス対策ソフトを使っていてもウイルスを検出・駆除できない恐れがある。

[画像のクリックで拡大表示]

　一方、標的型攻撃では、限られたユーザーにしかウイルスを送らない。メーカーがサンプルを入手しにくいので、ウイルス定義ファイルの作成が困難なのだ。

　最近のウイルス対策ソフトの多くは、プログラムの振る舞いなどから、ウイルスかどうかを判断する機能を備える。この機能ではウイルス定義ファイルを使わないので、サンプルを入手できていない新しいウイルスを検出できる可能性がある。

　ただしそのような機能を備える対策ソフトでも、標的型攻撃のウイルスは検出できない可能性が高い。攻撃者はウイルスを配布する前に、主要なウイルス対策ソフトで、検出の可否を試している^▼からだ（図8）。

図8●攻撃者は試してからウイルスを送る

企業や団体のほとんどはウイルス対策ソフト（セキュリティソフト）を導入している。それにもかかわらずウイルス感染被害が相次ぐのは理由がある。攻撃者は、カスタマイズしたウイルスを、ウイルス対策ソフトやサービスを使って事前にチェックし、検出できないことを確認してから送りつけるからだ。

[画像のクリックで拡大表示]

未対策の脆弱性を狙う

　セキュリティ対策が万全ではないもう一つの例が「ゼロデイ攻撃」だ。前述の通り、攻撃者は、ソフトウエアの脆弱性を突いてWebサイトに侵入する。このためパッチ（セキュリティ更新プログラム）の適用や最新版へのアップグレードで脆弱性を解消することも、重要なセキュリティ対策だ。

　だが、パッチや最新版が公開される前の脆弱性を突くゼロデイ攻撃は、この対策では防ぎようがない。攻撃者は、標的としたWebサイトで使われているソフトウエアを調べ上げ、ソフトメーカーが把握していない新たな脆弱性（ゼロデイ脆弱性）を見つけて攻撃に悪用する。ほかの攻撃者が見つけた脆弱性を購入する場合もある。

　一般的に、メーカーが脆弱性の存在を知るのは、実際にゼロデイ攻撃が起こってからだ。その時点で、メーカーはパッチの作成といった対応を開始する。だがパッチが公開されるまでの間に、脆弱性の情報が第三者に知られ、インターネットで公表される場合がある。そういったケースでは、公表された情報を参考にしたゼロデイ攻撃が次々と出現し、被害が一気に拡大する。