|
|
|
| ウイルス百科事典 |  |
リスクウェア | 警告 | |
|
ニュース | |
用語集 | |
 |
|
||||||||||||||||||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
ホーム / 分析
ファイアウォールの有効性評価としてのリークテスト
ファイアウォールとはセキュリティの追加手段であり、新たなマルウェアが次々と出現する現在、その必要性も増しています。ファイアウォールを使用することにより、受信だけでなく送信における有害なネットワークトラフィックも遮断されます。漏えいテスト、いわゆるリークテストは、送信トラフィックの管理におけるファイアウォールの有効性およびコンピュータからの情報漏えいに対する保護の有効性を検査するものです。本レポートでは、リークテストについて説明します。 ファイアウォールとは何か現在のセキュリティシステムの課題のひとつは、ユーザによるネットワークトラフィックの管理、つまりコンピュータ上のネットワークアプリケーションにより送受信されるデータのフィルタリングを可能にすることです。そしてこのようなフィルタリングを可能にするコンポーネントが、ファイアウォールと呼ばれるものです。ファイアウォールにはプログラムと機器がありますが(http://ja.wikipedia.org/wiki/%E3%83%95%E3%82%A1%E3%82%A4%E3%82%A2%E3%83%BC%E3%82%A6%E3%82%A9%E3%83%BC%E3%83%AB)、ここでご紹介するのはプログラムとしてのファイアウォールです。 ファイアウォールには市販のソフトウェアとして流通しているものもあれば、無料のソフトウェアもあります。ゲートウェイ(異種ネットワーク間のトラフィックを中継するサーバ)に設定されているファイアウォールは、サーバファイアウォールあるいはネットワークファイアウォールと呼ばれています。また、ユーザのコンピュータ上で設定されているファイアウォールはパーソナルファイアウォールと呼ばれ、ユーザ個人のコンピュータのみを保護するものです。最近では、パーソナルファイアウォールは、個人のコンピュータのセキュリティシステムにプリインストールされていることが多く、たとえば、Kaspersky Internet Security 7.0のアプリケーションにも組み込まれています。
ファイアウォールは、主な機能であるデータのフィルタリングを実行するために、ルールを作成します。ルールとは、さまざまなアプリケーションに対するデータ送受信が許可されているものか、禁止されているものかを特定するものです。ルールには、データ交換時に使用される送信データのアドレス、送信プロトコル(IP・TCP・UDP・ICMPなど)、IPアドレス、ローカルおよびリモートコンピュータのポートなど、さまざまなパラメータが含まれます。 なかでもシステム上のすべてのアプリケーションを対象にしたフィルタリングのルールは、パケットルールと呼ばれています。
最近のファイアウォールは、デフォルトとオンデマンドの2つのモードを設定することが可能です。オンデマンドでは次の機能を実行することができます：
ファイアウォールの基本的なモードはオンデマンドによるもので、学習モードと呼ばれます。このモードでは、あらかじめ設定されたルールのどれにも当てはまらないデータ送受信が行われた場合にダイアログボックスが表示され、ユーザは、一時的に許可するか、禁止するか、または同様のデータ送受信に対してルールを作成するかを決定することができます。
一般的なユーザのコンピュータ上には、各種データ送受信を行うアプリケーションが数十種類あるので、各アプリケーションのデータ送受信のルールリストを作成することは非常に骨の折れる仕事です。そのため、ファイアウォールのメーカはいずれもInternet Explorer、Microsoft Outlook、Generic Host Process for Win32 Services (svchost.exe)、Microsoft Application Error Reporting (dwwin.exe)といった一般的なネットワークアプリケーションのための基本ルールをプリインストールしています。
次の図は、ファイアウォールが送信データの監視とコンピュータからの情報漏えいをどのように防ぐのかを示しています：
ファイアウォール(「防火壁」の意味)は、ユーザのコンピュータのアプリケーションとローカルネットワーク上やインターネット上の他のコンピュータのアプリケーションとの間に「壁」を設置します。信頼するアプリケーション(図5の緑色でマークされている部分)は許可ルール(壁の「穴」)に含まれており、ファイアウォールを通過して外部のネットワークにデータを送信することができます。その他のアプリケーションは遮断され(「壁にぶつかり」)外部にデータを送信することができません(同じく外部からデータを受け取ることもできません)。この場合にユーザは必要に応じて新たな許可ルールを作成する(「壁」に追加で「穴」を空ける)ことで、アプリケーションは外部へのデータ送受信が可能になります。 注目に値するのは、いくつかのファイアウォール構成には攻撃(ネットワーク攻撃)からの保護コンポーネントも含まれている点です。そのコンポーネントはネットワークパケットが含まれている受信および送信ネットワークを、既知のネットワーク攻撃シグネチャのデータベースと合致しているかどうか分析します。本コンポーネントの詳細については、今後の記事で考察します。 セキュリティにおけるファイアウォールの役割ファイアウォールは、統合型セキュリティシステムのアンチウイルスコンポーネントにより検知されない悪意あるプログラムの侵入を防ぐ、追加のセキュリティ「層」を構成しています。悪意あるプログラムが検知されないのは、該当するプログラムがアンチウイルス定義データベースにまだ追加されていなかったために従来型のシグネチャベースの方法で検知できなかった場合、また、悪意あるプログラムのふるまいが危険な兆候を示さなかったためにヒューリスティック分析コンポーネントが検知できなかった場合です。 では、ファイアウォールはどのタイプの悪意あるプログラムを遮断できるのでしょうか？答えは、現在広まっているすべての悪意あるプログラムです。こういうと大胆すぎると思われるかもしれませんが、実際のところそうなのです。つまり、ほとんどの悪意あるプログラムの機能がネットワークと関連しているため、ファイアウォールによって遮断可能です。 たとえば、ネットワークワームはローカルおよび／もしくはグローバルネットワークを媒体として繁殖します。 現在、悪意あるプログラム全体の91.4％を占めるトロイの木馬も、ネットワーク上でのデータ送受信を行っています。トロイの木馬に分類されるのは次のプログラムです：
一方、ファイアウォールは古典的なコンピュータウイルスへの対策としては使用できません。ウイルスは、ワームと違ってコンピュータに侵入するのにネットワークを介さず、またトロイの木馬のようにデータを送ったりコマンドを受け取ったりする必要がないためです。 ファイアウォールは鉄壁のセキュリティ手段といえます。というのも、アンチウイルスや動作ブロッカーを回避することが目的であれば、悪意あるプログラムの作者は、これらのセキュリティコンポーネントが悪意あるコードの検出ができなくなるまで修正を加えることができます。ところが、同じような方法でファイアウォールを回避することははるかに困難です。プログラムが作動するためになんらかのネットワークアクティビティが必要な場合、ファイアウォールの目から隠すことは極めて難しいためです。ファイアウォールを回避する唯一の方法が「リ―ク」の利用です。 リークとは、またリークテストとはリーク(漏れ)は、ファイアウォールのネットワークアクティビティ制御メカニズムを回避するための技術です。ファイアウォールのルールリストで許可されていないアプリケーションに対して、外部へのデータ送信を可能にします。ファイアウォールはこの送信を遮断せず、学習モードでもデータの送受信についてユーザに通知を行いません。 ファイアウォールが正しく設計されていれば、リークが発生することはありません。データ送受信の試みがすべて検知されるはずです。したがって、ファイアウォールの性能分析では2つの基準が使用されます。受信データのフィルタリング(外部からの侵入に対する保護)と、送信データのフィルタリング(情報漏えいに対する保護)です。 コンピュータへの外部からの侵入に対するファイアウォールのフィルタリング機能をテストする際には、オープンポートスキャナが使用されます(ShieldsUP! http://www.grc.com/default.htm、Quick test http://www.pcflank.com/test.htmなど)。 一方、ファイアウォールのリークに対する保護機能を分析するために使用されるのがリークテストであり、テストでは1つ以上のリークを引き起こす小さい悪意のないプログラムが使用されます。このようなプログラムは通常、セキュリティ分野のスペシャリストにより作成されています。 リークを発生させる唯一の方法は、既知のアプリケーションに存在する「穴」(許可ルール)を使用することです。しかしそのためには、データ送受信が信頼するアプリケーションから開始されたことをファイアウォールに「納得させる」必要があります。実際にどのような方法があるかを紹介する前に、最新OSにおけるアプリケーションの基本的な実行ルールを説明します。
最新OSにおけるアプリケーションの実行パーソナルコンピュータのCPUは、コンピュータのメモリに保管されている命令セットを実行します。命令セットは、メモリ内で実行中の各種プロセスに属する実行スレッドにグループ分けされます。 実行ファイルにはプロセッサの命令が含まれており、ファイルが起動するとシステムに新たなプロセスが発生します。さらに、プロセスは他のプロセスによって生成される場合もあります。OSは、メモリのプロセスツリーを支えています。 特筆すべき点として、システム内の多くのプロセスのアドレス空間には、アプリケーションの実行ファイルコードだけでなく、多くのダイナミックリンクライブラリ(dll)コードが存在している点が挙げられます。このようなライブラリには、複数のアプリケーションに共通の機能が格納されています。このため、開発の際に実行ファイルごとに同じプログラムコードを繰り返す必要がありません。同じダイナミックリンクライブラリを、さまざまなプロセスのアドレス空間にロード可能です。
リーク技術の分類リーク実行の基本概念ファイアウォールを「欺く」ために悪意あるプログラムが用いる技術を見てみましょう。まずは、図8に示すとおりメモリに既知のアプリケーションによるプロセスと未知のアプリケーション(マルウェア)によるプロセスがある状況を想定します。
未知のアプリケーションがアプリケーション自身の名前でデータ送受信を実行した場合、ファイアウォールにより遮断されるか、ファイアウォールの対応を確認する画面が現れます。 ファイアウォールによる保護の回避には、主に3つの方法があります：
上記3つの方法を実装するリーク技術は、6つあります：
これらの技術と実装方法について詳しく見てみましょう。 リーク技術1. 置き換えハードディスク上にある信頼するアプリケーションの実行ファイルを置き換えること、またはメモリ内で未知のプロセスのデータを信頼するプロセスのデータに置き換えること。この置き換えによる方法の主旨は、信頼するアプリケーションによってデータ送受信が開始されたとファイアウォールに「納得させる」ことです。 置き換えには3つの方法があります：
次の図は、置き換えのひとつめの方法を示しています：
2. 起動コマンドラインパラメータを利用して信頼するアプリケーションを起動します。この方法は、開こうとするWebページのアドレスをほとんどのブラウザがコマンドラインパラメータの形で読みとって受け付けることをベースとしています。Webページにサーバ側スクリプト(cgiなど)が含まれる場合、アドレス行にはスクリプトによってインプットとして使用されるパラメータも含まれます。このパラメータには何かしらの機密情報、たとえばスパイプログラムにより盗まれた情報などが含まれることがあります。重要なことに、すべてのネットワークアクティビティはブラウザによって通常どおり実行されるため、ファイアウォールルールに従って許可されます。 ブラウザウインドウが開いたことにユーザが気づかないように、ブラウザは通常「隠しモード」で起動されます(Ghost, TooLeaky, Wallbreaker [1])。 さらに、悪質なコードはブラウザを直接起動するのではなく、次のように他のアプリケーションを利用して起動することもできます：
次の図は、上記の方法を示しています：
3. DLLインジェクション信頼するプロセスのアドレス空間へのダイナミックライブラリを挿入します。この方法では、悪意あるプログラムに含まれるダイナミックライブラリが、信頼するプロセスのアドレス空間にダウンロードされます。これにはいくつかの方法がありますが、主なものは次のとおりです：
これら2つの方法は文書化され、正当な用途を持つものです。 次の図は、上記の方法を示しています：
4. コードインジェクションダイナミックライブラリを使用せずに信頼するプロセッサのアドレス空間へコードを挿入します。この方法では、信頼するプロセスのアドレス空間に実行コードを挿入します。挿入されたコードはデータ送受信を開始しますが、ファイアウォールはこのネットワークアクティビティを信頼するアプリケーションによるものと見なします。前述の方法との違いは、他のプロセスへのコード挿入には文書化された方法が存在しているものの、この操作の正当性は疑わしいという点です。このようなコードインジェクションは正当なプログラムでも使用されることがありますが(デバッガなど)、悪意あるプログラムで使用されることがほとんどです。 他のプロセスへのコード挿入には数多くの方法があります。使用事例は次のとおりです：
最も攻撃の対象となりやすいプロセスは、インターネットブラウザのプロセス(Internet Explorerなど - AWFT [1,2,4], CopyCat, Thermite)、OSシェル(explorer.exe -AWFT [3,4], CPIL, CPILSuite [1])、ダイナミックライブラリからロードされWindowsを動かすためのメインプロセスであるsvchost.exeです(DNStest)。 次の図は、上記の方法を示しています：
5. ブラウザサービスインターネットブラウザを管理するためのプログラムインターフェイスの使用。この方法では、各種コンポーネント/アプリケーションのプロセス間でのやりとりを促進するためにWindows系OSに導入されたさまざまなメカニズムを悪用します。メカニズムには、以下のものが含まれます：
次の図は、上記の方法を示しています：
6. システムサービスシステムサービスにより提供されるプログラムインターフェイスの使用。この方法は前述の方法に似ていますが、インターネットブラウザではなくオペレーションシステムのコンポーネントにより提供されたプログラムインターフェイスを使用する点で異なります。Windows XPとWindows Vistaには、このようなインターフェイスが少なくとも3つあります：
リークの分類の相違点前述したリークの分類は、リーク分析に関する各種サイトに掲載されている分類とは多少異なります。 我々の理解では、リークを初めて体系的に扱ったサイトはhttp://www.firewallleaktester.comであり、http://www.firewallleaktester.com/categories.htmにはリークの分類が掲載されています。 2006年には、http://www.matousec.comが公開されました。代表的なプロジェクトのひとつが「Windows Personal Firewall Analysis」と題したレポートです(http://www.matousec.com/projects/windows-personal-firewall-analysis/introduction-firewall-leak-testing.php)。この調査で使用されたリーク分類はhttp://www.firewallleaktester.comの分類に似ていますが、いくつか相違点があります。 分類の違いを表にまとめました。この記事で使用した分類には、次の方法が含まれていません：
カスペルスキーの分類に上記の方法が含まれていない理由は次のとおりです：
悪意あるプログラムでのリークの使用数年前まではファイアウォールがパーソナルコンピュータの保護機能として使われることがほとんどなかったため、悪意あるプログラムのほんの一部がファイアウォールを回避するためにリークを使用していたに過ぎませんでした。しかし最近では、悪意あるプログラムの作者はプログラムの変種作成をスピードアップするために自動化ツールを使用しており、悪意あるプログラムの数は日に日に増加しています。こういった状況から、パーソナルコンピュータに保護機能を追加する必要性は目に見えて重要となり、ファイアウォールも一般的に使用されるようになっています。 ファイアウォールが広く使われるようになった状況を受けて、マルウェアの作者たちは、より積極的にリークを活用してファイアウォールを回避するようになりました。次の表は、主な6つのリーク方法を使用する実際の悪意あるプログラム例を示したものです。
リークはタイプごとに目的が異なり、それぞれの目的を達成するために悪意あるプログラムに採用されています。具体的には次のとおりです：
リークテスト現在知られている各種リークテストとその方法は、次の表のとおりです。ここに挙げられているテストのほとんどは次のサイトからダウンロードできます。
次の表はカスペルスキーの分類によるリークテストです。
リークテストの結果からわかることリークテストによるファイアウォール比較テストには、どんな利点があるのでしょうか。まず当然ながら、ユーザがコンピュータの総合セキュリティシステムを選ぶ上で、各セキュリティシステムの総合的な品質を判定することができます。 ユーザは、コンピュータのセキュリティシステムを選ぶ際に検出レベルや判定時間だけに注目しがちです(av-comparatives.org や av-test.de などのテスト結果を使用)。しかし、セキュリティシステムの品質を分析するのにそれで十分とはいえません。アンチウイルスソリューションのプロアクティブコンポーネント、感染したマシンの処理の有効性、活動中のルートキットへの対応能力、製品のセルフディフェンス機能なども重要なポイントではありますが、残念ながら比較テストの実施機関はこれらの点にあまり重きをおいていません。総合セキュリティ製品を選択する際には、アンチスパムシステムやファイアウォールのような追加コンポーネントも考慮する必要があります。 先に述べたように、ファイアウォールの性能は、受信データのコントロールと送信データのコントロールという2つの基準により判定されます。送信データのコントロールに関するテストでよい結果を出しているということは、ファイアウォールが単なるアンチウイルスの補足ではなく、アンチウイルスコンポーネントがトロイの木馬の活動をブロックできない場合でも、ユーザの機密情報が犯罪者の手にわたることを妨ぐ追加のシールドとなりうることを意味しています。 matousec.com にて実施されたテストで「Very good」や「Excellent」の格付けを獲得した製品は、ユーザに十分なレベルの保護を提供できると考えられます。ある製品が「Good」、または「Poor」や「Very Poor」などと評価された場合には、悪意あるプログラムの作者は使用する技術に関わらず、その製品のファイアウォールを回避できると考えられます。 まとめ最近では、ファイアウォールは総合的なセキュリティシステムにおいて不可欠なコンポーネントとなっています。Windows Vistaのような最新のオペレーションシステムでさえ、すべてのタイプのリークを自力で防御することはできません(とはいえ、Windows XP SP2以降のWindowsオペレーションシステムにはファイアウォールが導入されており、その機能はWindows Vistaで大きく拡張されています)。 2007年3月にGuillaume Kaddouchが行ったテストの結果によると、デフォルト設定の64ビット版Windows Vista Ultimateによってブロックされたリークテストは9つだけでした(ブロックされたリークテストは次の表内で緑で示されています)。
UAC、IEの保護モード、Service Hardening、Kernel Patch Protection (Vista x64)など数多くの改良により、新しいオペレーションシステムは明らかにセキュリティが向上しているといえます。しかし、リークから十分に保護するためには、Windows Vistaであってもまだ外部のセキュリティプログラムを使用する必要があります。 今後、悪意あるプログラムは、現行のオペレーションシステムの保護メカニズムを回避するのと同様に、新しいオペレーションシステムに対しても新たな方法を使って回避を試みるでしょう。したがって、追加シールドとしてのファイアウォールの重要性は今後も高まり、悪意あるプログラムの作者もまたファイアウォールを回避するためのリーク技術をより積極的に活用すると予想されます。つまり、コンピュータのセキュリティの信頼性をチェックする上で、リークテストが不可欠となることでしょう。
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Copyright © 1996 - 2013
Kaspersky Labs Japan
All rights reserved
Email:
お問い合わせはこちら
新しいウイルスはこちら
