Internet Watch logo
記事検索
最新ニュース

2006年最大の脅威はWinnyによる情報漏洩、IPAがセキュリティ白書発行

脅威の“見えない化”が進む

2006年の傾向

IPAの三角育生セキュリティセンター長
 情報処理推進機構(IPA)は9日、2006年の「セキュリティ10大脅威」に対する解説や、セキュリティ確保のための基本的な対策などをまとめた「情報セキュリティ白書2007年版」を公開した。IPAのサイトからPDFファイルをダウンロードできる。

 セキュリティ10大脅威は、IPAに届けられたウイルス、不正アクセス、脆弱性に関する情報や、一般に公開された情報をもとに、情報セキュリティ分野の研究者などで構成される「情報セキュリティ検討会」のメンバー85人の投票により選ばれた。順位は以下の通り。

第1位:漏洩情報のWinnyによる止まらない流通
第2位:表面化しづらい標的型(スピア型)攻撃
第3位:悪質化・潜在化するボット
第4位:深刻化するゼロデイ攻撃
第5位:ますます多様化するフィッシング詐欺
第6位:増え続けるスパムメール
第7位:減らない情報漏えい
第8位:狙われ続ける安易なパスワード
第9位:攻撃が急増するSQLインジェクション
第10位:不適切な設定のDNSサーバを狙う攻撃の発生

 IPAによれば、2006年の傾向としては「脅威の“見えない化”が加速した」。以前は、ウイルス感染などの被害を受けると、PCの調子がおかしくなるなど目に見える影響があった。このため、一般利用者でも脅威の存在に気づき、対策を実行することができた。しかし、見えない脅威に対しては、個々の脅威の存在を認識することが必要としている。

 さらに、IPAの三角育生セキュリティセンター長は、「“見えなくなる脅威”は単発で発生せず、それぞれを組み合わせたセキュリティ被害が増えている」と指摘。例えば7位の「減らない情報漏洩」は、1位の「Winnyによる情報漏洩」のほか、2位の「標的型(スピア型)攻撃」や5位の「フィッシング詐欺」、8位の「安易なパスワード」、9位の「SQLインジェクション」も関係する。こうしたことから、「それぞれの脅威の間にどのような関係があるのかを理解すべき」と語っている。


10大脅威の主要な関係

 1位の「漏洩情報のWinnyによる止まらない流通」では、いったんWinnyネットワークに流出したファイルは次々に複製され、気づかないうちに情報漏洩が拡大するという特徴がある。Winny利用者は、これらの情報を意図とは無関係にPC内にキャッシュとして保存し、Winnyネットワーク上に公開することになるため、“見えない”ところで流出被害の拡大に加担していることが少なくないという。対策としては、「利用者がWinnyの特性を理解することに加え、組織内でのWinnyの使用を禁止すること」(三角氏)が挙げられる。

 2位の「表面化しづらい標的型(スピア型)攻撃」は、特定の組織や個人だけを狙う脅威で、関係者を装いメールでウイルスを送りつけられるなどの被害が発生している。大多数を対象としたウイルスの場合、ウイルス対策ベンダーは容易にウイルスの検体を入手できるが、少数を狙う脅威については検体の入手に時間がかかりやすい。そのため、ウイルス対策ソフトで検出することが難しく、利用者は気づかないうちに被害を受けやすい。対策としては、電子署名を活用したり、怪しい添付ファイルを実行しないことが有効だという。

 3位のボットは、従来まではボットプログラムに感染したPCに命令を下す指令サーバーを抑えれば被害を止められたが、最近では指令サーバーが設置場所を次々に変える挙動を示すため、対策が難しくなっているという。また、ボットプログラムのソースコードがインターネット上に公開されていることから、ボットプログラムの亜種が大量に作成され、ウイルス対策ソフトで検出できないケースが増えている。

 4位のゼロデイ攻撃は、製品のセキュリティ更新プログラム(修正パッチ)が公開されていない脆弱性を突く攻撃だ。IPAの試算によれば、Webブラウザやワープロソフト、表計算ソフト、プレゼンテーションソフトなどの主要製品だけでも、年間で約190日間ゼロデイ攻撃を受ける可能性があったという。利用者がゼロデイ攻撃を防ぐことは難しいが、「日頃から情報収集し、製品ベンダーが修正パッチをリリースしたら、すぐに適用することが重要。最悪の場合には、該当ソフトの利用を一時停止することも有効」(三角氏)としている。


第1位:漏洩情報のWinnyによる止まらない流通 第2位:表面化しづらい標的型(スピア型)攻撃

第3位:悪質化・潜在化するボット 第4位:深刻化するゼロデイ攻撃

関連情報

URL
  ニュースリリース
  http://www.ipa.go.jp/security/vuln/20070309_ISwhitepaper.html

関連記事
2005年の10大脅威「SQLインジェクション」「Winny情報漏洩」など〜IPA(2006/03/22)


( 増田 覚 )
2007/03/09 18:00

- ページの先頭へ-

INTERNET Watch ホームページ
Copyright (c) 2007 Impress Watch Corporation, an Impress Group company. All rights reserved.