攻撃者とのスピード勝負!?脅威のゼロデイ攻撃、その対策とは!?

①システムの速やかなバージョンアップ
意外に思う方もいるのかもしれませんが、OSやオフィスソフトウェア、JavaやFlash、ブラウザなどを常に最新の状態に保つ、というのが最も手軽にできる対策です。システムがバージョンアップされるとき、その更新内容には、バグへの対策、脆弱性を受けての修正など、セキュリティ対策に有効な内容が含まれることが多くあります。
そのため、ゼロデイ攻撃に限らず、ありとあらゆるセキュリティ対策にとって、システムを常に最新バージョンに保つ、というのは非常に重要な意味を持ちます。

②サンドボックス機能の利用
続いてご紹介するのは、サンドボックス機能を利用した対策です。
サンドボックスとは、「砂場」を表す英語のことで、子供が集って遊ぶ砂場が周囲の空間とは切り離された安全な遊び場であるのと同じように、サンドボックス機能は、ユーザーが通常利用する領域から切り離された領域のことです。外部から送られてきた悪意のあるファイルやプログラムに気づかずに実行したらマルウェアに感染し、甚大な被害を受けてしまった、というのは、代表的なマルウェア感染例です。
怪しいファイルやプログラムをサンドボックス内で実行した場合、仮にそのファイルやプログラムが「トロイの木馬」だとしても、通常使用する領域とは隔離されているため影響がありません。サンドボックス機能を搭載した製品を利用することで、サイバー攻撃のリスクをぐっと軽減できるでしょう。

③EDR製品の導入
最後に紹介するのはEDR製品の導入。EDRとは、Endpoint Detection and Responseの略です。ここでエンドポイントとは、ネットワークの末端に接続された機器のことを指します。普段私たちが使っているPCのような機器全般、と考えてもらえばイメージしやすいのではないでしょうか。EDR製品は以下の2ステップで、マルウェア感染した場合の影響を最小限に留めようとします。

1、エンドポイント端末から収集した動作情報を解析・分析し、挙動の異常からマルウェア感染や侵入を検知。
2、エンドポイント端末の隔離やシステム停止などを行い、重大な社内システムへの影響を防ぐ。

つまり、EDRは、マルウェア感染を前提とし、被害を最小限にとどめるための「事後的対策」と言えるでしょう。セキュリティ「対策」と聞くと、そもそもマルウェア感染を防ぐためのもの、というイメージが先行しがちですが、いざ感染した時の被害を最小限にとどめる、というのも立派なセキュリティ対策の一つです。

以上、3つの対策方法をご紹介してまいりましたが、①と②はセキュリティ対策における「事前対応」であり、③については「事後対応」となります。まずは①と②で事前対応を固め、③で事後対応まで行えば、安心できるセキュリティレベルに到達できるでしょう。

さて、ここからは、上記でご紹介した3つの対策について、その効果の観点から、メリットとデメリットを比較していきましょう。

①システムの速やかなバージョンアップ
メリット：費用が掛からず、手軽にできる。
デメリット：あくまでベンダーが講じた対策しか適用できないため、ベンダーが対策できてない攻撃に対しては無防備。タイムリーに脆弱性対策を講じる場合は、管理ツールの導入や社内調整が必要になる場合も。社内セキュリティガイドラインやルールの徹底、並びに最新バージョンに保つことは、セキュリティの基本と考えてください。

②サンドボックス機能の利用
メリット：未知の脅威とゼロデイ攻撃に有効で、導入もしやすい。検知機能を高度化させた部分が主なため、システム管理者などの運用の変更や負荷が生じずらい。
デメリット：サンドボックス機能を迂回しようと試みるマルウェアも存在する。導入コストがかかる。

③EDRの導入
メリット：マルウェアの侵入や感染した場合、速やかな検知と対応が可能なため、被害を最小限に留めることができる。さらに被害状況を確認するための情報収集が容易。
デメリット：侵入や感染を検知した場合の判断や処理のオペレーションをあらかじめ網羅的に事前定義し、設定や運用ルールに反映する必要がある。さらにツール導入後も、適切な運用を進める上で、誤検知の設定や調整のスキルが求められ、運用負荷が高い。