脆弱性情報の売買が横行、ベンダーの対応が遅れる～シマンテック調査

記事検索

最新ニュース

■

レゴ、小学生向けプログラミング教材「WeDo 2.0」発売

■

マクロウイルスを知らない世代の社員が狙われる？　「Office文書を開いて感染」攻撃が再び増加

■

新gTLD「.shop」、49億円でGMOが落札、AmazonやGoogleなどに競り勝つ

■

Windows SQL Server 2005サポート終了の4月12日が迫る、報告済み脆弱性の深刻度も高く、早急な移行を

■

インストール不要の非常駐型セキュリティソフト「Dr.Web CureIt!」、日本語版を無料で提供

■

筆まめ、中小事業者向け顧客管理ソフト「筆まめ顧客管理 Windows版」発売

■

大日本印刷が「サイバーナレッジアカデミー」設立、IAIの訓練システムでセキュリティ技術者を養成

■

「インターネット白書2016」発売、20周年記念の特別版

■

NEC、中小規模事業者向けセキュリティアプライアンス「Aterm SA3500G」を発売

■

Synology、2ベイNASのハイエンドモデル「DS216+」、暗号化データも上下100MB／秒以上で高速転送

■

公安9課が情報流出の危険性を解き明かす、「攻殻機動隊 S.A.C.」の描き下ろしPDFコミック「HUMAN-ERROR TRAPS」無償公開

■

Google Playに「マンガストア」オープン、ジャンプコミックスも配信開始

■

BIGLOBE、電力とインターネットのセットプラン、中部電力の首都圏エリア展開に合わせ

■

ウェブブラウザーのプライベートブラウジング機能、認知していた人は23.1％

■

LINE、違う電話番号のスマホから一方的にアカウント移管操作を行えないよう仕様変更

■

LINEのiPhone版アプリがiPadにも対応、「LINE for iPad」より多機能、大画面で音声・ビデオ通話が可能に

■

Microsoft、Officeと他社クラウドストレージとの連携を強化

■

Googleのディープラーニングシステムによって、人工知能が初めて囲碁のプロ棋士に勝利

■

ソラコム、IoTプラットフォーム「SORACOM」と既存システムを専用線でつなぐサービスや認証機能など提供開始

■

Google「Chrome 48」iOS版ではクラッシュ率70％低下、JavaScript実行速度も大幅改善

脆弱性情報の売買が横行、ベンダーの対応が遅れる～シマンテック調査

コンサルティングサービス部の山内正氏

　シマンテックは15日、2005年下半期（7月～12月）の「インターネットセキュリティ脅威レポート」を発表した。データの破壊を狙う従来型の攻撃よりも、金銭的利益を目的として個人の情報を盗む攻撃が増えているという。

　同レポートは、企業のセキュリティシステムを管理・監視する「Symantec Managed Security Services」の顧客500社、ネットワークを監視する世界180カ国／2万カ所のセンサー網、同社が持つ1万3,000種以上の脆弱性データベースなどをもとに、インターネットセキュリティの動向を分析したもの。6カ月ごとにとりまとめられており、今回が9度目となる。

　それによると、悪意のあるコードの報告件数トップ50のうち8割がユーザーの秘密情報を暴く可能性があるもので、前期から6％増えたという。同社コンサルティングサービス部の山内正氏は、「ユーザーに目立ったダメージを与えず、密かに個人情報を盗むようになっている」と指摘する。

● 脆弱性公表からパッチリリースまでの平均期間は49日

脆弱性の総数は1,875件で過去最多

脆弱性公表後に悪用コードが開発されるまでの期間は6.8日

　2006年下半期における脆弱性の総数は1,875件（前期比1％増）に上り、同レポートを開始した1998年以来最多だった。脆弱性の内訳は、Webアプリケーションに関する脆弱性が69％（前期比15％増）で最も多い。Webアプリケーションは、WebブラウザをユーザーインターフェイスとしてHTTPなどのプロトコルを利用できるため、標的になりやすいという。Webブラウザの脆弱性件数では、Internet Explorerが24件（前期と同じ）で最も多く、Firefoxの17件が続いた。Firefoxは前期の32件から大幅に減少した。

　セキュリティ関連メーリングリスト「BugTraq」などのネットコミュニティで脆弱性が公表されてから、ベンダーがパッチをリリースするまでの平均期間は49日で、前期の64日から短縮した。しかし、脆弱性が公表されてから悪用コードが開発されるまでの時間は6.8日だったことから、ユーザーは約42日間にわたって攻撃の可能性にさらされていることがわかった。

　山内氏は「できる限り早くパッチを施す必要性は明白」としつつも、「犯罪情報をやりとりするフォーラムが増え、脆弱性情報を売買するケースが頻繁に見られる」と指摘。これらのフォーラムが、脆弱性の発見者から脆弱性情報を買い取る流れは加速すると見ており、脆弱性が迅速に公表されにくくなると予想する。

● パッチを適用していないWindows XPは1時間で攻撃者が侵入

　今回の調査から新たに、PCやWebサーバーにOSをインストールし、インターネットに接続してから攻撃者に侵入されるまでの時間を集計した。

　それによると、PCの場合、侵入までの平均時間が最短だったのはWindows XP Professional（パッチなし）の1時間で、Windows 2000 Professional（パッチなし）の1時間3分が僅差で続いた。一方、Windows XP Professional（全パッチ適用）は侵入されなかった。

　Webサーバーの場合、侵入までの平均時間が最も短かったのはWindows 2000 Server（パッチなし）の1時間16分。Windows Server 2003,Web Edition（全パッチ適用）と、RedHat Enterprise Linux 3（パッチなしとパッチ適用の両方）は侵入されなかった。

　これらの結果を受けて山内氏は、「OSやアプリケーションにパッチを即座に適用する重要性が証明された」と語る。


PCが攻撃者に侵入されるまでの時間	Webサーバーが攻撃者に侵入されるまでの時間

● ブラウザの脆弱性を利用する攻撃で、ボットは爆発的に増加

ボット感染のデータ

　悪意のある攻撃者にPCを乗っ取られる「ボット」の1日平均の感染数は9,163台で、前期に比べて11％減少した。しかし、ボットに感染したPCで構成されるボットネットワークを活用するDoS攻撃の件数は1日平均1,402件に達し、前期比で51％増えたという。特に、ECサイトを運営する企業などにDoS攻撃を仕掛けると脅迫して、金銭を奪う犯罪が見られるという。

　世界におけるボット感染PCの割合では、米国が26％で最多。以下は、イギリスの22％、中国の9％と続き、日本は2％で10位だった。ボット感染率については、「WebアプリケーションやWebブラウザの脆弱性を利用する攻撃が増えていることから、近い将来ボットが爆発的に増える恐れがある」（山内氏）。ボットPCの増加率は、世界平均で24％増えているが、中国はブロードバンド接続が増えたことなどにより、37％と大幅に増加した。

　攻撃発信国のトップ10では、米国が31％で1位だったほか、中国（7％）、イギリス（6％）、ドイツ（5％）の順で、日本は3％で8位だった。なお、中国は攻撃の発信回数が前期比で153％増えているが、山内氏はボットによる影響と見ている。

　このほか、インスタントメッセージング（IM）に対する脅威についても警告。山内氏は、企業を中心にIMの導入が進むことから、2006年度末までにメールのトラフィック量を超えると予測。IMのメンバーになりすまして侵入してウイルスやフィッシングメッセージを送信するケースが増えるという。

関連情報

■URL
　シマンテック
　 http://www.symantec.com/region/jp/

■関連記事
・金銭目的、Webアプリケーションを狙った攻撃などが増加～シマンテック（2005/09/27）

（増田覚）
2006/03/15 18:03

- ページの先頭へ-

INTERNET Watch ホームページ

Copyright (c) 2006 Impress Watch Corporation, an Impress Group company. All rights reserved.