マルウェアを理解する

この単元で学ぶこと

• マルウェアの性質と被害を分類する
• 侵入を減らす対策と検知・復旧を分ける
• 不審な事象の初動対応を判断する
• 復旧後の再発防止に必要な確認を説明する

本文解説

マルウェアという総称 情報を盗む、破壊する、利用を妨げるなど、不正な動作を目的とする悪意あるソフトウェア等をマルウェアと呼びます。全てが自己複製するわけではありません。感染してもすぐ派手な画面が出るとは限らず、裏で情報を集めたり、外部の指示を受けたりする場合があります。目立つ症状だけで安全性を判断しません。

広がり方と見せ方 一般的な分類で、ウイルスは他のプログラム等への感染、ワームは自己複製とネットワーク等を通じた拡散に注目します。トロイの木馬は便利なアプリ等に見せかけ、利用者に実行させる性質で説明されます。たとえば変換機能が実際に動いていても、裏で情報を送信していれば安全とはいえません。分類は常に排他的ではありません。

目的と被害 スパイウェアは秘密裏の情報収集、ランサムウェアは暗号化等で利用を妨げ、金銭を要求する動作が代表的です。ワームの性質を持つランサムウェアも考えられます。また暗号化だけでなく情報窃取や公開の脅迫が組み合わされることもあります。ファイルを復元できても、流出した情報への対応まで終わったとはいえません。

複数の侵入経路 添付ファイル、不正なダウンロード、外部機器、公開サーバーやネットワーク機器の脆弱性等が入口になります。メールを開かなければ全機器が安全という説明は誤りです。組織で認めた入手元を使い、保護機能を無効にする不審な指示に従わず、OS・アプリ・機器の更新状況を管理します。

防御を重ねる 更新は既知の脆弱性を減らし、アンチマルウェアの更新は検知・防御能力を維持します。必要最小限の権限やネットワークの分離は、侵害時の範囲を抑える助けになります。どれか一つで完全に防げるわけではありません。検知結果がゼロでも、不審な通信や未知のプロセス等の兆候があれば調べます。

疑いを見つけた初動 利用者は発見時刻や状況を組織の担当者へ速やかに伝え、手順に従って隔離等の拡大防止を行います。不審ファイルを他人へ配って確認したり、独断でログを削除したりしません。電源断や再起動、初期化は証拠や業務へ影響するため、機器の安全性も踏まえて担当者と判断します。ブラウザ上の警告だけでは感染の証明にならず、偽警告も考慮します。

復旧できるバックアップ 同じアカウントで常時書込み可能な複製は、原本と一緒に改変・削除される場合があります。通常環境からの不正な変更を受けにくい保管、権限の分離、世代管理等を組み合わせます。取得が成功しただけでは不十分なので、安全な環境で復元を試し、必要なデータや鍵、復旧手順を確認します。

再開と再発防止 一つのマルウェアの削除だけで終えず、侵入経路、他端末への侵害、情報窃取、認証情報への影響を調べます。必要な認証情報変更やセッション失効は、安全な端末から手順に沿って行います。原因を除去し、クリーンな環境とバックアップの状態を確認して復旧し、再開後も監視と手順改善を続けます。

図解

重要ポイント

• 分類は拡散方法・見せ方・被害目的という観点で整理する。
• 更新・検知・権限制限・バックアップを役割で分けて組み合わせる。
• 疑いの段階で報告し、証拠保全と拡大防止を調整する。
• ファイル復元と漏えい調査・原因除去は別に必要。

間違えやすい点

• 未検知を安全の証明にしない。
• 同時に改変可能な複製だけで復旧を保証しない。
• 警告を消すために証拠を削除しない。

用語解説

マルウェア

情報窃取・破壊等の不正な動作を目的とする悪意あるソフトウェア等の総称。

ワーム

自己複製し、ネットワーク等を通じて拡散する性質を持つマルウェア。

トロイの木馬

有用なもの等に見せかけて実行させ、隠れた不正処理を行うプログラム。

ランサムウェア

暗号化等でデータやシステムの利用を妨げ、復旧等と引換えに金銭を要求するマルウェア。

隔離

侵害が疑われる機器等の通信や利用を制限し、被害拡大を防ぐ処置。

関連教材

• マルウェアの試験問題への適用