「Sasser」騒ぎから学ぶこと

ゴールデンウィークに発生した「Sasser」ワーム騒ぎ。同ウイルスは脆弱性情報を元に作成されたものだという。今回は、「Sasser」騒ぎから学ぶべきことは何か考えてみたい。

4月半ばからWindowsの脆弱性を突くウイルスやワームの発生が懸念され、ゴールデンウィーク前には官公庁やコンピュータ系メディアはその危険性を警告していた。結果は、既存ウイルスだけでなく、「Sasser」という新種が登場、さらに拡大が速い亜種が表れ、騒ぎは拡大した。

「Sasser」は、登場時期から考えて、脆弱性情報を元に開発されたワームの可能性が高い。今回、ドイツでは18歳の少年が同ウイルスを作成した容疑者として逮捕されている。

今回の事件から学ぶべきポイントは、「脆弱性情報は、新しいウイルスの発生を促す可能性がある」ということだ。脆弱性へ無頓着であるということは、既存のリスクだけでなく、日々増大する未知数のリスクへ無防備のまま身をさらけ出すようなものだ。

従来から脆弱性や欠陥といった話題はアンダーグラウンドでやりとりされている。公になった時点で、すでにタイムラグが発生している場合が多い。また、開発元でアップデートを用意する時間なども考えると非常にシビアな状況だ。さらにマイクロソフトが脆弱性に対して危機を訴えれば、それを利用するクラッカーも表れる。

元来、脆弱性情報は、ユーザーへOSやソフトウェアが持つ危険性を明らかにすることで、利用者のリスクを下げるためのものだ。しかし、それら脆弱性情報に対して関心を示さなかったユーザーや、対応が遅れたユーザーに対しては、より大きな脅威にさらす結果となってしまった。脆弱性情報は、他人事の情報ではない。「できるだけリアルタイム」に参照し、対策を考えていかなければ意味がないことを改めて実感させる出来事だった。

予防は、脆弱性情報に対して常に目を光らせて置くこと。また、脆弱性が明らかになったら、それらをどのタイミングで適用すべきか的確な判断を行い、危険を回避することだ。もちろん、その際には、「発表時点のリスク」だけで判断はしてはダメだ。新しいウイルスやワームがすぐにでも登場することを踏まえた上で判断しなくてはならない。

コンピュータを多数導入している企業であれば、今回の教訓を生かしつつ、アンチウイルスソフトやOSのアップデートなど、日々の対応方法をセキュリティポリシーでしっかり再設定しておくべきだろう。また脆弱性情報を会社内で共有する仕組みも必要で、これらリスクに対する教育も重要となる。

万が一感染した場合にどのように対応するか、マニュアルの用意や、損害倍書が発生した場合などに備えて保険といった選択肢を考えても良いだろう。

（Security NEXT - 2004/05/10 ） ツイート

PR

関連記事

PHPにコード実行の脆弱性、リスク「高」 - アップデートがリリース
「顔」と「手のひら」による手ぶら決済技術 - 日立とKDDI
イスラエルのSCADAfenceが事業所設置 - 日本進出へ
オフラインでもスキャン履歴から脆弱性を評価する「Nessus 8」
高専生や専門生を対象としたセキュリティコンテスト - MBSD
ファイル送受信用アプライアンス「FileZen」に複数の脆弱性
「OpenAM」に「秘密の質問」を書き換えてPW変更が可能となる脆弱性
開発段階の車載ECUに脆弱性検査を行える「ThreatHive」 - アズジェント
精鋭ハッカー部隊「レッドチーム」で堅牢性向上図るMS - 秘密の舞台裏に迫る
8月のDDoS攻撃が4割減 - 「GRE」利用のフラッド攻撃など発生