インターネット安全活用 一灯塾

最新のIT技術を正確に把握することは困難ですが、地道にコツコツ、IT技術に関する情報を発信します

ソフトウェアの不具合をねらう"ゼロデイ攻撃"に注意!! その対策とは?

ゼロデイ攻撃(zero-day attack)”とは,「ソフトウェア(アプリ)の不具合箇所が修正される前に、その不具合を悪用したインターネットからの攻撃」です。

(注)ソフトウェアの不具合箇所は、一般的に”セキュリティ・ホール”と言われます。

つまり、”家の中の無防備な箇所を狙う泥棒”と同じで、無防備な箇所が修復されないうちに、泥棒が入るのが”ゼロデイ攻撃”です。


その為、対策は、

 ①家の無防備な箇所に泥棒を入れないようにすること
   
   不正なファイルを実行しない
   不信なホームページに近づかない

 ②家を補修すること(ソフトを最新版にする)

 ③家を守る(セキュリティ対策ソフトを入れる)

ことが大事です。

ゼロデイ攻撃”は、様々なソフトウェアの不具合箇所を利用して攻撃してきます。

マイクロソフトのOfficeソフト(Word、ExcelPowerPoint)ばかりでなく、ブラウザ、メールソフト、Adobe Reader、FlashPlayer、RealPlayer、その他、全てのソフトウェアの不具合が狙われます。

完璧に100%正しく動く、ソフトウェアはありません。こんなことを言うと、”えっ、そんな馬鹿な!”という人がいると思いますが、これは事実です。

ソフトウェアといっても、人間が作っているものですから、間違いがあります。”ソフトが100%正しいことは証明できない”とまで言われています。


対策としては、”覚えのないメールに添付されたファイルについては,たとえ送信元が知人や信頼できる組織であっても,安易に開かない”事が大事です。 (注)メール送信先は偽装が可能なので、送信元だけでメール内容を信用するのは危険です。

また、ソフトの修正情報が発表されたら適用すること、セキュリティ対策ソフトのウイルスパターンは最新することなどが大事です。



■ ”ゼロデイ攻撃”とは


ゼロデイ攻撃は二つのパターンに分類できます。

(1) ソフトウェアの不具合の存在を、誰も知らないうちに悪意を持った人が見つけて、そこを利用して攻撃するというパターン

(2) ソフトウェアの不具合が公表されたあと、修正情報が提供されるまでの間に、その不具合を攻撃するというパターン

なお、ソフトの不具合箇所を見つけることは難しく、また、修正情報も遅れることから、この”ゼロデイ攻撃”を防ぐのは、ウィルス対策ソフトでも難しいと言われています。


ゼロデイ攻撃は、メールに添付された不正なファイルや、ホームページにある不正なファイルを実行することなどで被害に会います。

また、細工が施されたホームページにアクセスするだけで被害に会うゼロデイ攻撃や、HTML形式での電子メールのプレビューや閲覧で被害に会うゼロデイ攻撃もあります。

ソフトウェアの不具合を狙って、攻撃する”ゼロデイ攻撃”とは、まるで、家の壊れている所を狙って不審者が入り、家の物を盗んだり、家のあちこちを破壊するようなものですね。



■ ソフトウェアの不具合を狙う”ゼロデイ攻撃”の対策とは


対策の重要なポイントは次の4点です。

(1) 不信なメールに添付されたデータを実行しないこと(不正ソフトが実行される)

(2) 不信なホームページに近づかない(不正ソフトが実行される)

(3) OSやアプリケーションソフトを常に最新状態にしておく(修正情報は適用)。

(4) セキュリティ対策ソフトを導入し、ウイルスパターンは定期的に更新する。



まず第一の対策は、不信なデータは開かないこと(実行しないこと)です。  ”覚えのないメールに添付されたファイルについては,たとえ送信元が知人や信頼できる組織であっても,安易に開かない”事が大事です。

(注)メール送信先は偽装が可能なので、送信元だけでメール内容を信用するのは危険です。

次に大事なのは、怪しいホームページには近づかないことです。不正ソフトが実行される危険があります。

次に大事な対策は、ソフトウェアの修正情報が発表されたら、適用することが大事です。特に、パソコンにはマイクロソフト製品は多数入っているので、この修正情報には特に注意が必要です。

ちなみに、マイクロソフトからは、毎月一回、関連するソフトの修正情報が発表されますので、このときに、できるだけ早く適用することが大事です。

そして、セキュリティ対策ソフトを活用し、ウイルスパターンを定期的に更新し、最新版にすることが大事です。

また、不信なメールのURLを安易にクリックしないこと(不正ホームページに誘導される)、安易にソフトウェアをダウンロードしないことも大事です。