いも通用しなでルーォ
ウアー
鉄壁のファイBlaster の教訓を活かすセキュリティーの8月12日に発見され、お盆明けから各企業、政府機関などで大流行した「Blaster」。はたして、このウイルスはインターネットにおけるセキュリティーの概念をどのように変えたのか。具体的な事象と実際にこのウイルスと戦った人たちのコメントから検証する。

新常識

ウイルス への認識を一変させたBlaster騒動
2002年7月

2003年1月

7月17日

SQL
ス
ラ
マーの脆
弱性発見︒

ネSッQ
トLがス
麻ラ
痺マ
しーてが
﹁猛イ威ンをタ振ーる
ネいッ︑ト韓
大国乱全﹂土にの︒﹁ト者ーラ Rがグ０ン P
公ル２に C
表ー６よイ︒プ︶
とりン
修にいコタよ正 うーー
パっ脆ドフ
ッて弱がェ
チ発性実イを見が行ス
リさポさのリれーれバッー︑ラるフスマ︵ァイン﹂
すクドＭオるロのＳー︒ソ研０バフ究３ー新常識

7月25日

8月4日

8月12日

8月12〜16日

るーＭ
︒ドＳを０中３国ー
人０２
ハ６
ッ
カをー使
グった
ルエ
ーク
プスがプ
完ロ
成イ
さト
せコをセセ
悪ンキ
用タュ
しーリ
たでテポあィ
ーるー
トＪ企
１Ｓ業
３Ｏラ
５Ｃッ
経がク
由ＭののＳオ
攻０ペ
撃３レ
をーー
検０ショ
知２︒６ン

Ｂ
ｌａｓｔｅｒが出現︒を企出こす業︒のるのお時のＬ盆期
でＡ明にはＮけか
なににけ
いつ︑てかな家︑とぐに感
いこ持染
うとちす
懸で帰る
念爆っ
た企
が発パ業
広的ソながなコどる感ンが︒染を続1

脆弱性発見からウイルス発生までの期間はわずか数週間に縮んだ！
MS03-026――つまり2003年に入っては、時間の問題となる。そして人々の恐れ最終的には、恐怖のゼロデーを迎える日26番目となるウィンドウズの脆弱性がマイたとおり、わずか2週間あまり後の8月12がやってくるかもしれない。ゼロデーといクロソフトから報告されたのは、7月16日

日にはBlaster（別名、MSBlast、Lovsan）う言葉をご存じだろうか。それは悪意のあだった。そして 1 週間後の 7月25日には、という強力なワームの出現を迎えるのだ。

るハッカーが未知の脆弱性情報を入手し、中国のハッカーグループがこの脆弱性をこれまでは、脆弱性が発見されてから、マイクロソフトがその修正パッチをリリース利用したエクスプロイトコードをネット上でウイルスが出現するまでには半年ぐらいのするよりも前に、その脆弱性を使ったウイ公表してしまう。今までの常識から考えるタイムラグがあるというのが常識だった。

ルスをインターネットに放ってしまう日のこと驚くべき早さだった。

実際、今年 1月に出現した SQL スラマーとだ。それは悪夢のような光景に違いなの脆弱性が発見されたのは、昨年 7月。

い。インターネットは完全に麻痺し、ネッ半年以上の時間が流れている。

トワークケーブルをルーターから物理的にエクスプロイト（攻略）
コードというのは、脆弱性を利用してコンピュータを攻撃するための具体的な手順のことだ。このコー

そしてこの「脆弱性発見―ウイルス出現」

ドが公にされれば、ウイルスの出現までというタイムスパンが縮まっていくと――。

110 +++ iNTERNET magazine 2003.11 +++切断するしか手だてはなくなるだろう。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

新常識

2 TFTPを使って感染力を大幅に上げたBlasterタイプのウイルス

Blasterが特徴的なのは、ファイル転送

Blasterが感染するまでの手順に使われるプロトコルのFTPよりもコネク

感染先ション回数が少なくてすむTFTPというプ⑤感染先のコンピュータをリモートシェルで操作し、感染元コンピュータからウイルス本体をダウンロード。

感染元ロトコルを利用する点。通常、Blasterの⑥ウイルスファイルの Blaster.exe を起動。

ようなタイプのウイルスは、複雑な手順が必要なためにメールで送られてくるウイル
スなどよりも感染力が弱いと言われている。ただし、BlasterはTFTPを使うことで③ランダムなIPアドレスのポート135を攻撃。
④感染先のコンピュータのポート4444を使ったリモートシェルを起動。

①ネットワーク接続を検出する。
②ポート69を使い、TFTPサーバーを起動。

その感染力を高めているのだ。

8月16日

8月18日

8月下旬

8月29日

9月3日

9月11日

2004年

Windowsupdate.com

がＰ
急ｉ
激ｎｇに︵増Ｉ加Ｃ︒Ｐ
ＮＭ
ａーｃＥ
ｈＣ
ｉＨがＯ出︶の現ト
すラ
るフ︒ィ
ック

現の一れ発時続生期
けな沈るど静︒に化よすりる
あとた思
らわなれ
感た
染も企の業のな︑ど亜が種

捜米亜
査ミ種局ネの︵アＢＦポｌＢ ａ
Ｉリｓスｔ︶ににｅ
逮住ｒ
捕む・Ｂ
さ 18 をれ歳作るの成︒少し年たが容米疑連で邦︑れニ亜るア種︒のの大Ｂ
学ｌ
院ａｓ
生ｔ
︵ｅ24 ｒ歳・Ｆ︶がの捜作査成
当容局疑にで摘ル
発ー
さマっ悪３ウて用ーィ
いす０ン
るる３ド︒こ９ウズと︶がに発にな見新っさた
た に脆れ三弱たつの性︒
Ｂとｌ脆非ａ弱常ｓ性
︵にｔｅＭ
似ｒＳ
通が０すＮシるａｃス
︒ｈテｉム
はの
自日分付
自が身２の０サ０ー４
ビ年
スを登迎録えをる
削と除︑生言 Ｂ
じし ｌ
なた ａ
か日 ｓっ︒
たし ｔ︒か ｅ
し ｒ
実 が際 マにへイ
はのク
大Ｄ
Ｄ規ｏロ
模Ｓソな攻フ
被撃
害をト
は宣の

新常識

3 ウイルスの被害は新常識

4 ウイルスを仕掛けるのは外部ではなく内部の人間1か月以上経っても消えない！
Blasterの本当の恐怖は、その 「善玉のウイルスなのではない
亜 種 で あ る N a c h i（ 別 名か」と考える人もいたほどだ。

「インターネット大乱」。今年1あるパソコンにも感染する。韓月のSQLスラマー騒動を、韓国国では偶然MSDEを導入したパ

Blaster.D、Welchi）が出現した

しかし、Nachiは感染すると外国民が名づけた言葉だ。翻ってソコンが多かった……そのあた時に始まった。このウイルスは亜に向かって大量のPingを打ち続日本。なぜか被害はほとんど生りが、結果的に彼我の被害の差種とはいえ、その挙動は原種のける。出現から1か月近くが経っぜず、中央省庁を中心に「日本企となった可能性は大きい。

Blasterとはまったく異なる。

た9月中旬現在でも、Nachiによ

業のセキュリティー意識は高かっ

今回のBlasterではファイアー①感染先を探すため、Ping（ICPM

るICPM（ネットワークにエラーがた」などという自画自賛の大合唱

ウォールを突破して感染した例生じた場合、そのことを送信者が起きた。

は、実は少ない。ほとんどが内部ECHO）を大量に送信。
②攻撃対象を決定し、MS03-に通知するプロトコル）のトラフ

しかし、SQL スラマーが感染からの感染、つまり家庭などで感ィック増はまったく衰えを見せてするのはサーバーマシン。日本で染したノートPCを企業内LANに③Blasterを発見し、強制終了。

いない。パソコンが安定したこはこうしたマシンを使っているの接続してしまったことによるもの④download.microsoft.comからとに安心して、ネットワークに負は企業が大半で、防御態勢が整だった。多くの企業ではファイアMS03-026の修正パッチを入荷をかけていることにユーザーがっているところが多かった。だがーウォールは設定していたが、こ手し、実行。

気づかないからだ。ウイルスの被SQLスラマーは、Microsoft SQLうした人的被害への対応はが行やっていることはこれだけだ。 害は 1 か月以上経っても消えな

Server 2000 Desktop Engine

われているケースは少ない。日本

026を突いて侵入。

当初、Blasterを終了させて修正い。これまでは考えられなかったパッチを当ててくれることから、 ことだ。

（MSDE 2000）というデータベのセキュリティーは、諸外国に比ースエンジンをインストールしてべても決して高くはないのだ。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.11 +++111

新Blaster 騒動に直面した人間が見るセキュリティーの 常識
新常識

5「個人ユーザーが本格的にウイルスのターゲットになる時代が来た」
ラック取締役本部長 西本逸郎氏

契約した企業のネットワークを監視し、で、企業における事故の大半がこうしたケ攻撃がないか、また攻撃があればどのようースだと見られている。つまり、ノートパソに 対 処 すれば い い かなどを 通 知 するコンなどの持ち込みによってウイルスに感JSOCを運営するのが、株式会社ラック染してしまうということだ。今回のBlasterだ。今回のBlasterの猛威はセキュリティは、はからずもその実態を浮き彫りにしてーのプロである同社本部長西本氏の予測しまったと言える。Blasterはファイアーウをも上回っていたようだ。

ォールを設定してポート135を塞いであれ「7月17日にMS03-026の脆弱性が発見ば、侵入されるはずはなかった。だがこれされ、そして同月25日にはエクスプロイトほどまでに多くの企業が被害に遭ったのコードが作られた。われわれはネットで流は、ポート135経由ではなく、自宅や外出れる情報をずっと監視していて、エクスプ先から持ち込んで企業内LANに接続した

ロイトコードがどんどん進化し、さまざまなノートパソコンが最大の原因になっていたOSのバージョンや言語に対応していく様のだ」（西本氏）。

ラック取締役本部長、西本逸郎氏

子が観測できた。8月5日にはMS03-026

日本企業はどこもまじめにセキュリティを悪用したポート135経由の攻撃を初めー対策に取り組んでいるから、米国の企て観測し、この段階で新たなウイルスの出業などと比べても高いセキュリティー水準現は秒読み段階に入っていた。その意味を誇っている。だがそれはあくまで外部かで、今回のBlasterは事前にある程度は予らの攻撃への対処であって、内部からのーザーが本格的に狙われる時代になって測できていたと言いえる。だが結果的に感染に関しては非常に弱かったのだ。企きたということだ。これに対処するにはイはその想像を超えて、大きな影響をインタ

業はこの内部からの感染に関して根本的ンターネットに対する考え方自体を、変えーネットに与えることになった」と西本氏はな対応をはかるべきなのである。ていかなければいけない。

説明する。

「Blasterでもう1つ注目すべきなのは、もっとも影響が大きいのは、ISPだろう。

この予想を超えた被害の拡大は、ウイクライアントへのリモート攻撃を仕掛ける会員の間に感染者が増えていき、そしてルスのために業務がストップしてしまった最初の大規模なワームだったという点だ。

Nachiのようにトラフィックが消滅しないで場合、社員への連絡はどうするのかなど、一昨年、世界中で猛威を振るったNimda

ネットに負荷をかけ続けるワームが蔓延す

さまざまな意味で企業の対応が問われるやCodeRedの攻撃対象はサーバーだっるとどうなるだろうか。ISP 外部からの感事態を引き起こしている。なかでも根本的た。一方、クライアントに攻撃を行うワー染を防ぐだけでなく、会員による内部からに対応を変えなければいけない大きなポムとしてはKlezや、古くはILoveYouなど生じるトラフィックにもISPは対処しなけれイントが1つあると西本氏は言う。のウイルスがある。だがこれらはあくまでばならなくなってくる。こうした状態が続け「今年1〜3月期のわが社の統計によるメールなどを使ったローカル攻撃で、クラば、ISPの基幹ネットワークに与える影響と、セキュリティーインシデントの原因としイアントOSの脆弱性を突いたリモート攻は無視できなくなってくる。ISPが単なるて外部からの攻撃は47パーセントしかな

撃を 大 規 模 に 展 開した のは 、今 回 のプロバイダーとしてではなく 社会インフい。しかもそうした攻撃を受けているのはBlasterが初めてだったと言える。

ラ として、ウイルス対策に本腰を入れて大半が研究所や学術機関だ。残りの 53

これはきわめて重要な問題をはらんでいパーセントは内部からのウイルス感染などる。ブロードバンド時代に入って、個人ユ

112 +++ iNTERNET magazine 2003.11 +++取り組まなければならない時代になってきたと言えるだろう」（西本氏）。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

新常識

6 「メール型ではなくハッカー的手法のウイルスが主流になる」
トレンドマイクロ・ウイルスエキスパート 岡本勝之氏

Blasterを契機に、脆弱性を突いて侵入ズムも同時に持っている。これによって遠する問題になるので、強制的に対応を迫するというハッカー的手法のウイルスが今くのコンピュータにも近くのコンピュータることは難しい。ワクチンベンダーや公的後は主流を占めていくようになる可能性はにも、同時に感染する能力を持つに至っ機関などが情報を流し、対応策を普及さ高いだろう。こうした侵入方法がこれまでているのだ。

せていくしかないだろう。

一般的でなかったのは、コンピュータ内部こうした高度な侵入能力を持つワームに入り込むまでの手順が多く、感染に時が流行してくると、セキュリティー対策自体間がかかったからだ。だが MS03-026 のを抜本的に見直さなくてはならなくなる。

脆弱性を突いた今回の Blaster の場合、特にセキュリティポリシーを持っていないFTPよりもコネクションの回数が少なくて家庭ユーザーにとっては深刻な問題だ。

すむTFTPプロトコルを利用し、さらに受パーソナルファイアーウォールは工場出荷信確認応答などを受け取る必要のないプ

時の状態で不要なポートは閉じてあり、こロトコルである、UDP だけで送り込むなうした感染への防御はできるようになってどの工夫をしている。また通常のウイルス

いるが、たとえば特定のメッセージングソがネット経由で感染先を探す際、ランダムフトなどを使う際に、不用意にポートを開なIPアドレスにパケットを送り続けるのにけてしまう可能性がある。そこから感染が対し、Blasterは自分の所属するサブネッ広がってしまう可能性はあるだろう。しかトの周囲を中心に探すといったアルゴリ

し結局は個人のパソコンの使い方に帰結新常識

トレンドマイクロはもちろん、各セキュリティーベ
ンダーは個人向けに対応策を提供している

8「利用者にパソコンの設定は変えさせない」
世田谷区情報政策課長 福田督男氏

新常識

7

世田谷区役所では、パソコン「個人もネットワーク管理者だという意識が必要」の設定を職員などが勝手に変更効率的にパッチを当てるソフトの導入を検討している。

できない。ウィンドウズのアップ

世田谷区役所には個人情報

デートも、職員ではなく係員が随が多くあるので、メールの送信で情報処理振興事業協会（IPA）時行っている状態だ。世田谷区

すら上司の承認がいるなど、あセキュリティセンター主任研究員 小門寿明氏

役所のネットワークが Blaster にる意味でパソコンの便利さを殺感染したのは、外部と接続されてしているところがある。もちろん、か月となると、このジレンマをどいないはずのネットワーク内部に自宅のパソコンを会社で使うこ

ログラム自体にも課題はある。 う回避するかは非常に頭の痛い
特定の脆弱性を塞ぐことはでき 問題だ。もう1 つの問題は、今感染源があったことと、このアッとなどもってのほかだ。今後も、プデート作業が間に合わなかっこの方針を徹底し、効率的なパるけれども、ほかに影響が出てく

回の Blaster は個人ユーザーがたことが原因。もちろん、個人にッチ当てをすることでセキュリテる可能性があったり、あるいは動大規模に巻き込まれたことだ。

パッチ当てなどをまかせて、セキィーを守っていく。Blaster で学かしているアプリケーションへのしたがってパソコンがコモディテュリティー対策を効率化する方法

んだのは、個人にパソコンをま影響を考慮しなければならなか

ィー（日用品）化していく中で、どもあるのだが、職員すべてを教育かせない方法で、いかに効率的今回はウィンドウズの修正プったり……と言った問題があり、 うセキュリティー意識を持つよう企業側はベンダーがリリースした に啓発していくのかという課題はからといって、すぐに修正プログ大きい。個人ユーザーであってするのは並大抵のことではない。 に個々のパソコンのセキュリテ
そこで、現在、ネットワークを利用 ィー管理を徹底していくことが重して個々のクライアントを管理し、 要かということだ。

ラムを適用できるわけではない。 も、自分もネットワーク管理者でまた、修正プログラムのリリース あるという意識を持ってもらうこからウイルスの出現までわずか1とが必要だろう。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.11 +++113

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.