情報セキュリティに関する誤解と真実

本レポートは、アンラボコリアより発表された内容を翻訳したものです。

----------------------------------------------------------------------------------------------

セキュリティ脆弱性、マルウェア、ハッキングなどのセキュリティイシューは、個人のみならず国の安全を脅かす要因になりつつある。北大西洋条約機構であるNATOは、サイバー攻撃を戦争の一種として規定し、交戦規則を制定した。

ここでは、このような状況で個人が自分の情報デバイスを守るために知っておくべき「情報セキュリティに関する誤解と真実」について説明する。

1. パスワードは重要ではない？
 
 

個人を対象にする攻撃は、不特定多数に配布されるマルウェアや脆弱性を利用する攻撃である可能性が高い。このような攻撃による被害を予防するためには、普段使用するWebサイトのアカウントをパスワード管理ツールに保存し、このツールで生成するワンタイムパスワード(OTP)を通じてWebサイトにログインする方法や2段階認証(例：パスワード+SMS認証)を使用してEメールやSNSにログインする方法が効果的である。
 
また、強力なパスワードを使用することを推奨する。強力なパスワードとは、8桁以上の大文字、小文字、数字、特殊文字で構成された長くて複雑な文字列のパスワードである。
[図 1]を確認すると、強力なパスワードを設定すべき理由が分かる。

                                                          <出所 : https://howsecuritymypassword.net>
 

[図 1] パスワード解析にかかる時間
 
 

2. 新しく購入したノートパソコンは安全？

新しく購入したノートパソコンは安全だと思う人は多いだろう。しかし、最近、レノボ社のノートパソコンに「Superfish」というアドウェアがインストールされた状態で販売されたことが明らかになり、世間の注目を浴びた。Superfishは、独自のルート(root)認証書を利用してユーザーのオンラインでの行動をモニタリングするため、バックドア(back door)として悪用される可能性が高い。
2014年3月に発見された「SSL FREAK」脆弱性は、1990年代の米国政府の海外輸出向け暗号化キーの長さの制限から生まれた脆弱性であり、韓国を始め世界を騒がせた。
 
新しく購入したノートパソコンの安全は、内部にインストールされているソフトウェアのセキュリティ性により決まる。Windows OSのようなソフトウェアは数百万行のコードで構成されており、その複雑性を考えると、セキュリティの整合性を保証することはほぼ不可能である。ソフトウェア開発者は自分が開発するソフトウェアに一切脆弱性がないように努力しなければならないが、ハッカーはソフトウェアからたったひとつの脆弱性を見つければ十分である。

ユーザーは、ソフトウェアには常に脆弱性が存在しており、その中でも影響力が大きい脆弱性はセキュリティにも重大な影響を及ぼすことを念頭に入れておかなければならない。また、新しいノートパソコンやデバイスでも、ソフトウェアをインストールする際はセキュリティパッチやセキュリティ対策ソフトをインストールすることを推奨する。
 

3. セキュリティ対策ソフトで、セキュリティは万全になる？
 
 

セキュリティ対策ソフトをインストールしてアップデートを行うことでセキュリティ対策が万全になると誤解している人が多いようだ。もちろん、セキュリティ対策ソフトがセキュリティにある程度役立つことは事実だが、完璧な対策にはならない。セキュリティ対策ソフトは未知のマルウェアを予防するソリューションではなく、既知のマルウェアを防御するためのソリューションだからである。
 
一般的にセキュリティ対策ソフトは、各セキュリティ会社が分析したマルウェアの情報を元にマルウェアの「ブラックリスト」を作成し、これをセキュリティ対策ソフトに反映する。これをベースにセキュリティ対策ソフトがインストールされたPCをスキャンし、「ブラックリスト」に該当するマルウェアを検知する方式を使用する。
セキュリティ対策ソフトのマルウェアへの対応は、1)新しいマルウェアの受付および収集、2)マルウェア分析、3)ブラックリストのアップデートおよびセキュリティエンジンのアップデートの段階を経て行われる。
ハッカーはターゲット企業が防御できないマルウェアを見つけて攻撃を行う。さらに1日平均15~50万個の新種・亜種マルウェアが作成されており、セキュリティ会社は日々マルウェアと戦争をしていると言っても過言ではない。
 

4.  セキュリティ対策ソフトは無駄？
 
 

3.で記述した理由により、一部では知能型持続攻撃(APT攻撃)に対してセキュリティ対策ソフトが必要ないという意見も出ている。しかし、これは非常に危険な発想である。セキュリティ対策ソフトは既知のセキュリティ脅威に対する基本的な防御策であるため、セキュリティ対策ソフトがインストールされていない場合、非常に低いレベルのハッキングツールでも個人PCや組織のセキュリティが簡単に破られる可能性がある。従って、セキュリティ対策ソフトは無駄なものではなく、セキュリティ対策として万全ではないという意味で捉えた方が良いだろう。
 
上記で述べたようにセキュリティ対策ソフトで脅威を100％遮断することはできないが、基本的な対策にはなる。 

ユーザーは、常にセキュリティ対策ソフトのエンジンを最新バージョンに維持し、セキュリティパッチが新しく追加される都度適用しなければならない。このようにすると、少なくとも既知のマルウェアから情報デバイスを守ることはできる。