特 集 1「 何 も し て い な い 」 あ な た が 加 害 者

会社に損害を与えないためのセ キ ュ リ テ ィ ー
s

e

c

マ
text : 株式会社ラック

u

r

i

t

ニ

y

m

ュ

a

ア

新井 悠、角田玄司、奥村 允 (p78〜p85)

大澤文孝 (p86〜p91)
JNSA不正プログラム調査WG 渡部 章 (p92〜p93)
illust: Shu-Thang Grafix

Blasterウイルス感染で大騒ぎになった会社も多いだろう。しかし考えてみてほしい。
「ウイルスに感染した」あな
たは被害を受けたと思うだろうが、あなたのウイルス感染によって、会社は業務効率の低下・復旧作業の人件費など、金銭的な損害を被っているのだ。Blaster感染による損
害額はたいしたことがなかったかもしれない。しかし、次に現れる悪質なウイルスにあなたが感染したことが原因
で会社が倒産する可能性もないわけではないのだ。
会社のセキュリティーシステムでは、高速かつ大規模に感染する現在のウイルスは防ぎきれない。自分のPCを守るのは最終的にはあなただけなのだ。

76 +++ iNTERNET magazine 2003.12 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

n

u

a

l

ル

あなたのウイルス感染が会社の倒産を招く？

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.12 +++77

プロローグ〜8月の悪夢

普通の会社員が加害者になる実態
8月のお盆休みではあったが、商社の営続けざまに「おい！ やっぱり変だ。また

D氏が根本的に改善するためのパッチを業担当者であるA氏は多忙な日々を送っ再起動だ。どうなってる！」と声を荒らげた。

適用しようとしても、「おかしなことが起きていた。多忙ゆえに、彼は電子商取引を職場に不穏な空気が流れた。

ては困る」とC課長がそれを許さなかった。
社内のコンピュータには何度も駆除ツー利用して商品を購入することが多かった。
その日、彼は営業先から会社に戻る途中、

これでは仕事にならない！

ル で B l a s t e r を 駆 除した 。それでも、Blasterに感染するコンピュータが後を絶

自分のノートPCにPHSを接続してインターネット経由で PC の新機種をチェックし職場のパソコンが次々と再起動を繰りたない。
「Blasterを持ち込んでいる人間がていた。すると、突然ウィンドウズの再起

返す中、業務は滞り始めていた。そして、いる」と判断したD氏は、ネットワーク監視

動メッセージが画面に表示された。

C課長に呼び出された情報システム部のツールを使用し、営業チームのネットワー

D氏がやってきた。C課長は「君、どうなっクを一日中監視することにした。自分の通ているんだ、これは。困るよ、こんなん

常業務ができなくなってしまうが、これしなんだかPCの調子が変だ「おかしいな」とは思ったが、表示されたメッセージのカウントダウンは1秒1秒と進んでついに自動的に再起動してしまった。
それでも「まあ、いいか」とA氏は気にとめなかった。これまで、PCにまつわるたくさんのトラブルを同僚から耳にしており「これも同じようなことだろう」と。A氏はPC
を終了させ、職場へと向かった。
職場に戻ったA氏は、さきほどの自分のノートPCを社内のLANに接続し、メールの受信を始めた。営業先からのメールをチェックして返信する。いつもと何ら変わさ ま ざ ま な 経 路 か ら
襲 わ れ る ク ラ イ ア ン ト P C

会社のファイアー
ウォールだけでは
守りきれない現状

りない仕事だった。すると、同僚のB子がBlasterワームは、初めからサーバーではなくクライアントPCの脆弱性を標的にした攻撃「あれ？

再起動だって……変だわ」と声だった。このため、セキュリティーに対する意識が薄い多くの会社員が普段何気なく使を上げた。
「私も、さっき再起動のメッセーっている会社の PC が次々と感染し、業務に影響を与える例も少なくなかった。そして、ジが表示がされたよ」とA氏の上司である

こうした感染の加害者となる可能性は誰にでもある。

C課長も言った。そこでA氏は「気にすることはないでしょう」と答えた。しかし、C
か手がなかった。

課長は「でも、重要なデータが飛んでしま

じゃ仕事にならない！」と大声を上げた。

ったら元も子もないからな……」と言うとD氏は「これは新型のワーム（種類などは翌朝からD氏が監視ツールを使用し始

P.86）
かもしれません。調査させてくださめたが、何も問題は見つからない。おかしい」と言うと、多部署の上司に同意を得てい。昼が過ぎようとしたとき、営業先からからチームを結成した。調査した結果、帰ってきた A 氏が席につき、ネットワーク

Blasterワームの仕業であることがわかっにそのノートPCを接続させた。この動きた。D 氏は感染したと考えられる会社のを追いながら、監視ツールの表示画面にPCに対策ソフトを使用してワームの駆除

視線を戻したD氏は目を見張った。すさまを行った。しかし、それでは終わらなかっ

じい勢いでBlasterワームが感染を広げ始た。

めたのだ。D氏はA氏に「ノートPCのLAN

次の日も、次の日もPCの再起動が繰り返され、社内でBlasterが蔓延していく。

78 +++ iNTERNET magazine 2003.12 +++ケーブルを抜いてください」と叫んだ。なんのことか理解していないA氏に、C課

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

長が言い放った。
「そうか、君だったんだ

る。D氏はいやな予感を覚えた。再び社

された。
「きっとこ

な。おまえが加害者なんだな！」

内にBlasterワームが蔓延していたのだっ

れだ」
とD氏は思

A氏はなぜそんなことを言われたのかわた。しかし、今回はまったく手がかりがつったが、無線のため、どの場所にあるかがからずに呆然としていた。PHSで接続しかめない。ネットワーク監視ツールを使っ特定できない。調査は困難だったが、無た際に感染していたことも知らずに……。

ても、その根源をつきとめられない。D氏線LANを使っていることを同僚に自慢してはこれまで何度もパッチの適用という根いたことが発端で、勝手にアクセスポイン

本的な解決策を進言してきたが、その都度トを設置していたのはS氏だということが却下されてきた。肩を落としたD氏は、帰わかった。S氏は会社の規則を破り、自分宅時の電車の中で、ふと吊り広告に目をのノート PCを会社に持ち込んでいたのムの蔓延を終息させ、本来の仕事に戻る

やると「無線LAN特集」とあった。D氏は、だ。

ことができた。そして、その直後に……。

「これかもしれない」と直感した。

Blasterリローデッド
情報システム部のD氏は、Blasterワー

D氏は、S氏の上司であるK係長に「S「ウェブサイトが見られないんだが」と総

翌日、D氏は無線LAN用の検出ツール

さんはご自分のPCを持ち込んでいるよう

務部のH部長から電話があった。すると、を使ってみた。すると、社内にはないはずですので、一度ウイルスのチェックをさせ次々とD 氏のもとに電話がかかってくの無線LANのアクセスポイントが表示ていただいたほうがよいですね」と話した。
許可をもらった D 氏は、K 係長とともに S
氏のもとへ向かい、「ちょっと、そのノートPCを見せてもらってもいいですか」と尋ね

Financia

Cost

た。S氏はめんどくさそうにD氏を一瞥しProtect your own PC Security Protect your owFinancial Damage

たが、K係長が目に入ったため「どうぞ」とProtect your own PC

SecurityCostFinancial DamageSecurity Cost n PCl Damage

Security

答えた。D氏がファイルをスキャンすると……あった。Blasterワームの本体である「msblast.exe」が発見された。D 氏の報告を聞いたK係長はS氏に言った。
「君は自分が会社にどんなことをしたのかわかっているのか？ みんな君の被害者なんだ
ぞ！」
この話はけっして絵空事ではない。どの会社でも起こり得る。

あなたを狙って繰り返される攻撃

Blasterの脅威はまだ終わっていない

250万
200万

おり、感染活動自体は変わらないままの状
態にある。

8月16日8時

8月16日3時

8月15日22時

8月15日17時

8月15日7時

8月15日12時

ものの、引き続き高いレベルを維持して8月15日2時

現在では、増加傾向は一段落している

8月14日21時

0

8月14日16時

50万

肩上がりを続けていた（図1）。

8月14日11時

100万を知らないかのように折れ線グラフが右

8月14日6時

150万示させたモニター画面には、とどまること

8月14日1時

イアーウォールの遮断データをグラフで表

300万

8月13日20時

ることを検知した。各所に設置されたファ件

8月13日15時ごろから異常なトラフィックが急増してい350万

8月13日10時

Center）
では、2003年8月12日の午前4時

図1：いつまでたっても終わらないBlasterの攻撃

8月13日5時

Operation

8月13日0時

Security

8月12日19時

Japan

8月12日14時

JSOC（

8月12日9時

筆者が所属している株式会社ラックのJSOCの全監視顧客のアクセスログの中で、送信先のポート番号がTCP135番（今回の攻撃で利用されたポート）のログの推移。ユーザーが帰宅後に感染したと見られる8月12日19時頃にピークを迎える。その後収束するが、引き続き約50万件と高レベルを維持。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.12 +++79本稿執筆時点においても、インターネッ

衰えないBlasterの活動

ト上の攻撃活動状況を集積して公開しているDshield.org（図2）を見ると、相変わ
らず Blaster ワームやその亜種である
Welchia ワームの活動が盛んなことがわかる。
この一方で、数年前に大流行したワー
ムの活動も今もまだ終息していない。いまだにNimdaワームやCodeRedワームに主要なファイアーウォールと侵入検知システム（IDS）のログを集めて解析しているDShield.orgのウェブサイト。
攻撃元や攻撃されたポート、過去5日間の攻撃出所の地理的分布などが掲載されている。円グラフの赤い部分がBlasterなどのワームによって生じる攻撃。
http://www.dshield.org/

よる攻撃は続いているのだ。サーバーがインターネットを経由して悪意あるものに狙われることは、これまで何度もあった。
そして、2年前に発生していまだに終息していないNimdaワームのように、個人が利用するクライアントコンピュータも狙わを適用しておけば感染することはない。修の怠慢が会社に損害を与え、いつの間にれるようになった。セキュリティーホールを

正プログラムを適用しないのは、特に、会か「加害者」になってしまう。狙われている

利用するワームやウイルスは、マイクロソ社の規定でそれを定めているのにそれをのはあなたなのだ。

フト社より配布されている修正プログラム

怠っていることは、社員の怠慢である。そ大げさではなく数億円に上ることもあなたの怠慢が金銭的損害を会社に与える
社員のそうした怠慢がどのような損害を

表1：セキュリティー事故で企業が受ける損害の種類

会社に与えるのだろうか。セキュリティー

区分
直接損害額

事故は、社員には「面倒な出来事」で済むかもしれないが、企業にとっては、直接・間接の金銭的な損害を意味する。
ネットワークセキュリティー保険を手がけるAIU保険会社のファイナンシャル・ラ
イン ITリスクスペシャリストである中江透水氏によると、過失、故意、悪意ある第三者などによるセキュリティー事故で企業が被る損害の内訳は表のようになる。具体的な金額は、企業や事故の規模によって数十万円から数億円まで変わることに注意してほしい。しかし、セキュリティー事故の被害調査を行っているJNSA（日本ネットワークセキュリティ協会）のプロジェクト
では損害額の算出モデルを毎年改良してきているし、保険会社はすでにITセキュ
リティー保険を商品として販売している。
損害額を算出する手法がある程度固まってきているようだ。
従業員の「ついうっかり」が会社に損失をもたらすのは間違いない事実だ。1つ間80 +++ iNTERNET magazine 2003.12 +++概要
逸失利益。復旧までに通常どおり営業を続けていれば得られたはずの利益や、金銭的負担が発生しているのにその便益を得られなかった場合の費用負担（ネットワークの費用が発生しているのにネットワークが使用不能になったなど）。
復旧費システムを復旧させるためにかかる人件費やその他のコスト。再発を防ぐために新規のセキュリ
ティー機器を導入した場合の導入費用や管理費も通常はここに含まれる。
謝罪広告費「他人の名誉を毀損した者に対して被害者の名誉を回復するに適当な処分」
として謝罪広告を新聞などの媒体に掲載するための費用。
賠償金
第三者に被害を与えてしまい、訴訟されて支払い命令が出た場合に支払う費用。慰謝料。
見舞金
第三者に被害を与えてしまい、組織ないし個人が謝罪の気持ちを伝えるためにかかる費用。
賠償金とは異なり、支払いを行う主体者がその額を決めることができる。
訴訟費用
訴訟に対応するための費用。目安として、日弁連の出している報酬規程がある。
（弁護士費用）
たいていは着手金 + 成功報酬。
業務への間接影響 事故や事故からの復旧のために低下した業務効率は損害とみなされる。ITのセキュリティー事故
でも、電話やFAXなどを使って業務を継続できるため、通常の企業では業務効率の低下は20パーセント程度とされている（JNSA被害調査WGによる）。
営業継続費
セキュリティー事故が発生した場合、営業状態を復旧させるためにかかる費用。たとえば、インタ
ーネットショッピングのサーバーに使っているデータセンターが使用不能になって復旧の目途がたたない場合に、別のデータセンターと回線を契約してバックアップからデータを戻して元の営業状
態に近い状態にする場合の費用。
漏えい情報の回収 漏えいした個人情報を回収するための費用。ウェブなどのインターネットを利用した漏えいがあった場合は、回収が非常に困難なものとなるであろうが、可能な限りの努力をしない場合は被害者や行政から、さらに追及される可能性もある。
株価の下落
因果関係が明確に株価に現れた場合は、それも損失の1つとしてあげられる。
機会損失
セキュリティー事故を発生させたことのある事業者が受注する仕事量の減少がこれにあたる。
ブランドや信用を下げてしまったことによって表面化しかねないのがこの範疇である。
恐喝
漏えいされた情報を2次的に利用され、その事業者に対して恐喝が行われた場合、これに対応するための費用。
再ブランディング
セキュリティー事故を発生させた事業者が、事業体のブランド力を復活させるための費用。
行政処分に付随して 法律の定めるところにより、事業者に対して改善命令が行政処分として下された場合に、発生するコスト改善するために発生する費用。
インシデントセキュリティー事故が発生した場合の初期対応にかかる費用。コンサルタントを雇って社会的なレスポンス費用対応について検討し、被害を発生させることにつながったコンピュータを調査して原因を追究するなどのためにかかる費用。
固定費（人件費） 上記すべてにかかる人件費。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

違えれば、あなたの怠慢のために巨額の明していく。各対策で損害額の例を示し

さらに損害額はふくらむ可能性が十分に損害賠償を命じられて会社が倒産してしまていくが、それぞれの例の金額の内訳や、ある。また、この金額はあくまでも例示しう可能性もないとは言えないのだ。

計算の根拠となる背景をここで先に解説た状況における計算の参考結果であり、

しておこう
（下図）
。例ではわかりやすくす

会社の規模や状況が変われば金額には大るために、営業継続費用や機会損失、ブきな違いが出る。また、各例を金額の大具体的な損害額の例と計算

ランド・信用低下による潜在被害とその回小で比較する意図はないことに注意して次ページからは、社員が引き起こすセ

復のための費用などは数字から除いてあほしい。

キュリティー事故とその対策を具体的に説る。実際にはこれらのコストがかかって、

表2

セキュリティーインシデントが会社に与える損害額の例① BlasterワームがノートPCから社内に感染② Klez感染でデータファイル削除！
し、全社の6割に被害で・・・
復旧・対策に・・・
770万円の損害650万円の損害

Blasterワームに感染したPCを社内ネットワークに持ち込んで社内PCの6割が感染。
社外への影響はなし。社内のすべてのPCを再チェックして復旧させるのに5人のスタ
ッフが2日かかったため、その間スタッフの業務効率に影響が出た。営業していたオンライン販売サイト（年間2億円売り上げ、利益率10パーセント）
は感染発覚から販売シ
ステムへの影響を確認するまでの4時間停止した。外部に対する影響はなかった。
対策→82ページ

メールで感染していたKlezの活動でサーバーのファイルの一部が感染。内部でも感染が拡大して5割のユーザーが感染し、感染PCがサーバー上のOffice関連のデータ
ファイルを破壊した。すべてのPCとすべてのサーバーでの検出と駆除に担当者5人で2日かかり、ファイルのバックアップからの復旧に担当者1人で1日かかった。バックア
ップされていなかったデータの復旧に20人が2日を要した。外部にメールで感染を広げており、その対応に一般社員の1.5倍の人件費がかかる責任者2人が2日を要した。
対策→86ページ

ネットワーク
バックドアを仕掛けられて踏み台にされた先で③ NachiワームがVPNから侵入、④
ダウン！・・・
個人情報漏洩・・・1,600万円の損害賠償250万円の損害
NachiワームがVPN経由でネットワークに侵入。感染した台数自体は全体の4割程度
だが、ネットワークが輻輳して、利用できない状態が1日続いた。比較的PCに依存した作業をする会社のため、業務に大幅な支障が出た。ネットワーク機能の回復と感染PCの復旧と全社のPCのセキュリティー対策のための作業にスタッフが15人で1.5日かかり、その間各スタッフは業務に影響があった。本社のインターネット接続に1.5M線×2で月額66万円、インターネットVPNによる本社と関東圏リモートオフィス3か所の接続に合計月額42万円かかっていた。
対策→90ページ

インシデント※5
※1〜※5

損害額

損害額の内訳
直接被害額

直接被害単価※6

社員1人のPCにActiveX経由でバックドアを仕掛けられて、他社サーバーの攻撃の踏み台に使われる。社内には直接の被害はなく、復旧は2時間程度で終わった。しかし、犯人は攻撃先である他社サーバーのセキュリティーホールを突いて侵入し、10万人分の顧客情報を盗みだして公開した。攻撃先では1人あたり500円の見舞金を支払った。
踏み台として使われたことに関して攻撃先から損害額の20パーセントの賠償を請求され、裁判費用も発生した。謝罪広告やマスコミ対応などの危機対応に、合計500万円
ほどの費用が発生した。
対策→92ページ復旧に要した人件費 復旧にかかった
人日数※7

補償、補填、
損害賠償など※8

業務への間接影響影響を受けた人数

システム停止時間

業務のIT依存度※9¥30,441

業務に影響のあった
平均日数※10600人①BlasterワームがノートPCから社 ¥6,621,766
内に感染し、全社の 6 割に被害で・・・650万円の損害¥121,766②Klez感染でデータファイル削除！ ¥7,700,000
復旧・対策に・・・770万円の損害¥0③ Nachiワームが VPNから侵入、 ¥2,679,000
ネットワークダウン！・・・250万円の損害¥54,000④バックドアを仕掛けられて踏み台 ¥16,512,000にされた先で個人情報漏洩・・・
1,600万円の損害賠償¥5,000,000

¥0

※11

0

¥500,000

10.00人日¥0¥6,000,000

4時間

0.20
1.00日

¥0

¥2,550,000

51.00人日¥150,000¥5,000,000

0

500人
0.20
1.00日

¥2,250¥1,125,000

22.50人日¥0¥1,500,000

24時間

400人
0.30
0.25日

¥10,000

0.20人日¥11,500,000¥2,000

1人
0.20
0.20日

※1 ここでは、復旧に要した人件費以外のコスト、営業継続費用、喪失情報資産、機会損失、ブランド・信用低下による潜在被害などは数字から除いてあるため、実際にはこれらのコストがかかってさらに損害額は増える可能性がある。
※2 参考資料：IPA/JNSA 2001年度被害調査報告、JNSA 2002年度被害調査報告など。 ※3 どの例も従業員1000人でPCが1000台ある会社を想定。ネットワーク用のファイアーウォールは設置されていたが、ウイルス対策などクライアントPCの管理は個別の従業員に任せていた状態を想定。 ※4 1人あたり1日の人件費を5万円とする（月間100万円、月あたり20日就労として）。 ※5 管理対象PCが100台ごとに対処に1人日かかったとする。
※6 影響を受ける範囲の時間当たりの売り上げまたはコスト。オンラインサイトでは1日18時間有効とする。例3ではネットワーク費用の1時間あたりの費用をここに計上している。 ※7 管理対象100台あたり約2人日を基準とした。
※8 裁判に関する弁護士費用は賠償額を1,000万円の場合、着手金が5パーセント、報酬が10パーセント（日弁連報酬等基準規程による）。 ※9 一般企業で0.2（JNSA被害調査WGの数字による）。
※10 平均として、復旧にかかった日数÷2。 ※11 謝罪広告費、被害者への謝罪の電話や郵送の費用、行政対応、マスコミ対応などの危機管理費。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.12 +++81

人のセキュリティーホールが問題

アップデートさえしていれば防げた損害
図1：OSの脆弱性だけではないセキュリティーホール

セキュリティーホールを狙って今年8月に発生し、猛威を振ったBlasterワームだ①物理的なセキュリティーホール
・耐震設備、防火設備などの欠陥や不備
・サーバールームなどへの入退室管理設備の欠陥や不備
・電源、回線設備の欠陥や不備……など

が、マイクロソフトではこのワームに対す
る修正用プログラムをその約1か月前には提供していた。それにもかかわらず、世界②論理的なセキュリティーホール

的な被害となったことを見れば、いかにウ●システムに関する脆弱性
・OSやアプリケーションなど、ソフトウェアのバグ・ファイアーウォールやサーバーの設定ミス
・ログ解析や監視の不備……など

ィンドウズアップデートが実行されていな
いかがわかるだろう。

●人に関する脆弱性
・ずさんなパスワードの管理
・ウイルス対策ソフトのパターンファイルが未更新
・修正パッチの未適用
・セキュリティー意識の低さ……など

Blasterなどは、インターネットエクスプ
ローラやウィンドウズ（OS）の脆弱性（バグ）を突いたワームだ。セキュリティーホー
ルは、一般にはこうした脆弱性を指すが、広く捉えればアプリケーションのバグにとどまらず、図1のように大きく2つに分けら対策れる。
「物理的なセキュリティーホール」は建物や設備の構造上の欠陥や不備なので、一社員ではどうすることもできない。
そういった物理的なこと以外のものをここでは「論理的なセキュリティーホール」とし、「開発者、管理者」にかかわる事柄を「システムに関する脆弱性」、ユーザーである

1

p

r

o

f

e

ウィンドウズアップデートを実行する

BlasterワームがノートPCから社内

社員1人1人にかかわる事柄を「人に関す

セキュリティーホールを狙ったワームやウイルスに社内ネットワークが感染すれば、復る脆弱性」
として挙げた。ワームなどの攻旧作業に人手や費用がかかるのはもちろんのこと、相当な時間も要する。ECサイト

撃に社員が対策できるのはこの「論理的ならば、信用の損失にもつながってしまう。

なセキュリティーホール」の部分だ。

面倒くさいは論外

脆弱性をそのままにしておく罪人に関する脆弱性は、システムやソフト

ならないし、そこを突いてくる攻撃も止まどのワームは特にOSの脆弱性を突いてウェアを人が開発や管理、使用しているらないのだ。もちろん、開発者の技術力くるので、社員が普通に使っているPCにかぎりなくならない。その中でも特にソフ不足や開発者間のコミュニケーション不足

対するパッチの適用を面倒くさがらずに適トウェアは、趣味での開発を別にすると通によるバグもある。

時実施しなければならない。マイクロソフ

常は「納期」があるので、それに間に合わ

このようにセキュリティーホールがなくトでは、このパッチの適用方式を「ウィンせようと十分なテストができずにリリースならないのならば、地道に脆弱性を埋めて

ドウズアップデート」
として提供している。

してしまうこともざらだ。納期にかなりのいくしかない。通常、ソフトウェアベンダー

この適用を怠れば、図2のような被害や余裕があったとしても、ソフトウェアのあらはセキュリティーホールやバグが見つかる

損害を招く。企業のシステム管理者など

ゆる利用環境に合わせた入力や操作などと、それを解消するための修正プログラム

が自社のサーバーをいくら気遣っても、一の使い方をすべて完璧に想定してテスト（パッチ、Hotfix などと呼ぶ）
を発表する。

般社員のPCがたった1台でもパッチの適するのは事実上不可能である。そのため、不具合が見つかるたびにそのパッチを適用を怠っていれば、そこを突かれるのだ

ソフトウェアのセキュリティーホールはなく用（インストール）するわけだ。Blasterな（図2の①）。社内のほかのPCがパッチを82 +++ iNTERNET magazine 2003.12 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

s

s

i

適用していて、データの改ざんなどの被害術者が対処するべきことで、自分は関係のを受けなかったとしても、感染した PC かないことだ」「自分1人ぐらいは大丈夫だ」

らのワームなどの攻撃は断続的に続くたなどとはとても言っていられない。

めに、社内のネットワークトラフィックが急

8月のBlaster騒ぎでは、東京都世田谷

増して負荷がかかり、場合によってはネッ

区役所の情報システムが感染して住民基トワークが止まってしまう。さらに、感染し本台帳ネットワークを停止するまでに至ったPCが他社のネットワークに攻撃をしてた。その原因となったのは、財務部の職「被害者だったはずが、知らない間に加害員が個人の携帯電話を使って職場のパソ者となってしまう」こともありえる（図2の③

コンをインターネットに接続して感染し、そ④）。こうなると、自社のネットワークを復れに気づかずに区役所の LAN に再び接旧させる手間や費用のほかにも、他社か続したことが原因だそうだ。もちろんパッ

こうしたことが続けば、「あの社員はOSら損害賠償を請求されることも考えられる

チは適用していなかっただろう。そしてこのセキュリティーパッチをほとんど適用しのだ。社員1人がパッチの適用を怠ったの職員は服務規程違反で訓告処分を受たことがないので、我が社にとっては大きだけで、このように被害が広がっていくの

け、ワームの駆除費用約100万円を補ていリスクだ」と、実際に被害をもたらさなくで「そういったことはシステム管理者や技んしなければならないという。

ても、その前に処罰されてしまうようなことが起こり得るかもしれない。けして大げさな話ではないことを理解してほしい。

o

n

a

l

n

e

g

l

i

g

e

n

c

e

に感染し、全社の6割に被害で・・・

約 650万円の損害※社員1000人の企業でオンライン販売サイトにも影響があった場合（詳細は81ページ参照）

図2：たった1台アップデートしないだけでも急速に拡大する損害
社内ネットワーク

他社ネットワーク④攻撃②感染させるために攻撃③社外へも攻撃インターネット①ワームやウイルスの攻撃⑤さらなる攻撃⑥さらなる攻撃の繰り返し

損害
・ほかのマシンが感染しなくてもネット
ワークトラフィックが急増
・ネットワーク一時停止
・感染マシンのデータの破壊や改ざん…など・復旧作業の費用・人手・事業機会の損失
・他社からの損害賠償請求に伴う賠償金
・他社への見舞金
・信用やブランドの損失…など

ウィンドウズ／オフィスアップデート適用済み
他社ネットワーク

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

ウィンドウズ／オフィスアップデート適用なし+++ iNTERNET magazine 2003.12 +++83

かならずしなければいけない社会人の常識

ウィンドウズとオフィス両方のアップデートを実行せよ
社員であるあなたがまずできるのは、パ
図3：ウィンドウズアップデートの仕組み

ッチを適時に自分の使っているPCに適用することだ。ウィンドウズでは「ウィンドウ
ズアップデート」を実行することで簡単に①ウィンドウズアップデートのウェブサイトへアクセス

パッチを適用できる。ウィンドウズアップ③利用可能なパッチの一覧をダウンロード

デートとは使用しているPCの状態を診断

パッチ群⑤パッチをダウンロードして適用して、システムを最新の状態に保つためのオンラインサービスのことだ。製品が発売②PCにインストールしてあるソフト
ウェアのバージョン情報などを収集しされてから見つかった問題の修正や、新機て一覧を作成④②と③の一覧を比較して、適用され能の追加を半自動的にダウンロードして更ていないパッチを決定新する（図3）。これを実行するだけで、ワームやウイルスが入り込むセキュリティー

・ダウンロードした利用可能なパッチの一覧

ホールをふさぐことが可能になる。

比較・コンピュータの情報
OSやブラウザーのバージョン番号
や地域と言語の設定など

また、マイクロソフトではウィンドウズのほかに企業で広く利用されている「オフィス」アプリケーションのオンラインアップ

場合と異なるのは、必要なパッチなどのクセスする必要がある点だ。ウィンドウズ

デートも同様な仕組みで用意されている。

更新があったときにオフィスのインストーのように自動更新する機能もないので、手ワードやエクセルなどのセキュリティーホ

ルの整合性を維持するために、最初にイ間が若干増えるが、ここで面倒くさがってールを狙ってくるワームなどもあるので、こンストールしたオリジナルCD-ROMか、ネはいけない。それでは、実際にアップデーのアップデートも必須だ。ウィンドウズのットワーク上のインストールファイルにア

トしてみよう。

ウィンドウズアップデート
・ブラウザーを起動したらまずアップデート

1 インターネットエクスプローラのツールバーの「ツール」の「Windows Update」
をクリック

3 「更新の確認とインストール」
をクリック

完 了 「使用許諾契約に同意しますか」とメッセージが表示された場合には「同意します」
をクリックする。また、「システムを再起動しますか」とメッセージが表示されたら直ちに再起動する。最後に「インストールの完了」が表示されれば完了

完了しても気を抜かない

2「更新をスキャンする」
をクリック
4

84 +++ iNTERNET magazine 2003.12 +++「今すぐインストールする」
をクリック

再起動しなければ適用されないパッチなどが複数あった場合は、特に気を付けなければならない。再起
動してパッチが適用された後、再び 1 から操作して「現在、利用可能な重要な更新はありません。
」と表示されるまで繰り返す。こうしないと1つのパッチが適用されただけで、ほかのパッチが適用されない場
合があるからだ。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

・自動更新を設定すれば「うっかり」なし

A
B
C

1 「コントロールパネル」の「システム」
をクリックして「システムのプロパテ
ィ」
を開き「自動更新」のタブをクリックする

完 了 ABCいずれの場合もタスクトレイの地球アイコン、もしくはバルー
ン表示の部分をクリックして指示に従ってインストールする

2 「コンピュータを常に最新の状態に保つ」
をチェックする。また、設定を好みに応じてチェックして「OK」
をクリック。Aは適用するべき更新ファイルがあった場
合にダウンロードの準備ができていることをタスクトレイに通知する。Bは更新フ
ァイルがバックグラウンドで自動的にダウンロードされ、インストールの準備ができていることをタスクトレイに通知する。Cは毎日もしくは曜日と時間を設定でき、更新ファイルがあるかどうかをチェックして、更新ファイルがあればバックグラウン
ドで自動的にダウンロードしてインストールの準備をして、指定した日時になるとインストールする。マイクロソフトが推奨しているのはC。

オフィスアップデート
1 ウィンドウズアップデートの画面で「Officeのアップデ
ート」
をクリック

「マイクロソフトアップデート」
が来年から新登場
2 別ウィンドウが開くので「アップデートの確認」
をクリック

10月9日にマイクロソフトのスティーブ・バルマーCEO
が発表した新戦略で、ウィンドウズをより安全にする
方向性が示された。数週間〜数か月かけて実現していくという新戦略の内容は次のようなものだ。
重要な更新ファイルがあれば表示されるので、確認したら「インストールの開始」
をクリック。その後、使用許諾契約書に同意したり、インストールCDを準備したり、指示に従って「次へ」をクリックしていく
3・2004年内を目途に、ウィンドウズアップデートを「マ
イクロソフトアップデート」にして、Officeやサーバー製品のパッチもまとめてできる仕組みにする。
・散発的に出ていたセキュリティーパッチは、緊急のものを除いて基本的に1月に1回定期的にリリースする。
・セキュリティーパッチのファイルを30パーセント程
度小さくし、またパッチの適用によるシステムの再起動を最大で30パーセント程度減らす。
・ファイアーウォール機能を標準でオンにし、また電子メールやメッセンジャーで悪意のあるファイルを「インストールが正常に完了しました」が表示されれ
ば完了
完了

送りつけられることに対する保護を向上させる。
パッチを適用しやすくして、また多少パッチを忘れていてもより安全な状態になるようにするプランだ。セ木曜日はアップデートの日？
ウィンドウズとオフィスのアップデートの実行は、毎日出社してPCを立ち上げたときに実行するのが理想的だ。習慣づけるといいが、なかなかそうはいかない人も多いだろう。そこで、最低でも週に一度木曜日に実行することを奨める。過去の経験則では、木曜日に新たな更新ファイルがリリースされることが多いからだ。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

キュリティー関連のわかりやすいドキュメントやツールをさらに増やして安全に対するトレーニングを促進する方針も発表されており、今はまだ面倒なセキュリテ
ィー確保もさらにやりやすくなると期待してもいいだろう。

+++ iNTERNET magazine 2003.12 +++85

感染経路はメールだけではない

予防と駆除を駆使してウイルスと戦え！
図4

ウイルス対策は、侵入を食い止める 予ウイルスの感染経路は多岐にわたる

防 と、侵入してしまったウイルスを 駆除

そのままLANに持ち込め
ば、LAN全体が感染する。

ウィルス

する方法におおまかに分けられる。具体

インターネット

外出先でインターネットに接続したときに感染する恐れがある。

的には、先に説明したウィンドウズアップ
デートや、次章で述べるファイアウォール

取引先が前者に、ウイルス対策ソフトを使ったフインターネットからLANに侵入する攻撃やウイルスは、
ファイアーウォールで防ぐこともできる。

外出先

ァイルのチェックが後者に相当する。

ネットワークに接続しているだけで感染する。

（A）無線LANスポットやPHSを使ってインターネットに接続する場合

いま、この予防と駆除の 2 つの方法を

ファイアー
ウォール

いかに効率的に使ってウイルス対策をす（D）インターネットにつながっている場合

るかが 重 要 になっている。というのも家庭で感染したウイルスがVPN接続したときにLANに感染する可能性もある。

Blasterに代表される、OSなどのセキュリ

VPN
家庭など

ティーホールを突いて、感染と同時に動作（B）家庭からVPNで社内LANに接続する場合するウイルスが主流となり、もはや事後の駆除では間に合わないからだ。ウイルス対策の侵入と感染の経路は、無線LANスポットからインターネットに接続する場合（右図A）や、家庭からVPNで社内LANに接続する場合（右図B）のように多岐に渡る

2

M

a

s

s

ウイルス対策ソフト導入ため、そのすべてを塞ぐことが重要だ。こKlez感染でデータファイル削除！

うなるとウイルス対策ソフトだけでは万全ではなく、ファイアウォールなど、ほかの方法も併用する必要が出てくる。

ウイルス感染。あなたの不注意が会社に莫大な損害を与えるパターンのもっとも多ここからは、ウイルスの仕組みを理解しい要因だ。自社内の感染だけでなく、社外にもウイルスをまいてしまい、失墜した会

たうえで、ウイルス対策ソフトを中心に、い社の信用をお金に換えると、700万円程度の損害ではすまない。

かに予防と駆除を行うべきかを説明する。

なぜ感染するのかを把握！

ウイルスのタイプを理解したら3段階で対応
代表的なウイルス・ワーム

ウイルスとは、感染すると①多量のパケ

名称
種類
Melissa
ファイル（メリッサ）
感染型
1999年3月発生 （マクロ）ットを送出してネットワークを麻痺させたり、ファイルを削除したりするなどユーザーの意図に反した悪意のある動作をする、②自身のコピーをほかのコンピュータに転送して増殖する、という2つの特徴をもつプログラムのことだ。またこのウイルスは、ファイルに含まれる「ファイル感染型」とネットワークを流れるデータに含まれる「ネットワーク感染型」の2つに大きく分けられるほか、その特徴によってワーム、ウ
イルス、
トロイの木馬などと呼び名が変わる場合がある（右表参照）。

86 +++ iNTERNET magazine 2003.12 +++i

感染拡大方法
被害・対策など
ワードのマクロとして構成されたウ 送信者が知人の名前となっているメールが送られてくるため、疑イルス。感染するとアウトルックを いなく開いてしまう人が多く、広い地域で感染した。このころか使って、大量の宛て先にウイルス ら、「添付ファイルは、誰から来たどのような種類のファイルであが感染したワードファイルを添付 れ開かない」という認識が広まった。
ファイルとして送付する。
Klez
ネットワーク感染すると、
アドレス帳などに記載 セキュリティーホールを利用したウイルス。各種ファイルの中身
（クレズ）
感染型
されたメールアドレス宛てに、自身 を空にする破壊活動も行う。根本的な対策は、インターネットエ
2002年春発生 （HTMLメール、を感染させるためのメールを送付 クスプローラをバージョンアップし、セキュリティーホールを塞ぐ添付ファイル） する。受信者は、メールを開いた こと。常駐型のウイルス対策ソフトを使っていれば、メールを開だけで、このウイルスに感染する。く前にウイルス検知できる。
Nimda
ネットワークウィンドウズ系サーバーでウェブ機 クライアントPCにも感染するため、大量のネットワークトラフィ
（ニムダ）
感染型
能を提供するIISのセキュリティホ ックが問題となったり、プロバイダーの幹線が一時麻痺するケー
2001年9月発生
ールを突いて感染。インターネッ スもあった。破壊活動は、①他のコンピュータへの無差別な攻トエクスプローラのセキュリティホ 撃と改竄（コードレッドと同様）、②アドレス帳に記載されているールも突き、クライアントPCにも アドレス宛てのウイルス添付のメールの送付、③共有フォルダー感染する。コードレッドの発展型。の勝手な公開など。
Blaster
ネットワーク
RPCのセキュリティーホールを使 クライアントPCを狙って大量に感染を広げた。社員が社内LAN（ブラスター）
感染型って感染するもの。OS のセキュ に持ち込んだノートパソコンなど、LAN側から感染する例が多か
2003年8月発生
リティーホールが利用されるため、ったのも特徴。ファイルに感染せず、メモリー上で活動するため、インターネットに接続しているだけ ファイルのウイルスを検出するだけのソフトでは守れない。また、で感染する。
NachiやWelchiaと呼ばれる亜種では、感染活動のために発生させた大量のネットワークトラフィックが問題となった。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&Dv

ファイル感染型ウイルスの場合、ウイル
スはファイルに含まれているので対策は簡単だ。誰かからメディアやメール経由で
もらったり
（左図C）
、インターネットからダウンロードしたファイルを開いたり、実行したりする前に、ウイルス対策ソフトでウ
メディアから感染の危険性もあり。

イルスが含まれていないかを調査し、ウイ（C）メディアでファイルを受け渡しする場合

メールの送信時にウイル
スチェックをすれば取引先への感染を抑えられる。
（E）取引先とメールなどでやりとりする場合

社内のLAN

ブページを見たり、メールを開いたりする

ルスが含まれていたならば、その時点でソだけで感染することがある
（左図E）
。この

フトを使って駆除すればいい。ただし、フため対策としては、パソコンに常駐してファイル感染型ウイルスでも、HTMLファイ

ァイルを監視する機構を備えるウイルス対

ルやHTMLメール内にスクリプトとして含策ソフトを導入し、ウェブブラウザーやメまれる「スクリプトウイルス」は、別の対策

ールソフトがHTMLファイルやHTMLメーが必要だ。スクリプトウイルスの多くは、ルを開く前に、ウイルスを駆除する仕組み

ウェブブラウザーやメールソフトのセキュを構築することが不可欠だ。
市販されているウイルス対策ソフトはフリティーホールを悪用し、ユーザーがウェ

ァイル感染型ウイルスを研究し尽くしていると言っても過言でなく、それらを導入し

e

I

n

t

e

c

t

i

o

ていれば、まずファイル感染型ウイルスがn

大きな脅威となることはなくなった。ただし、ウイルスは年々新しいものが登場する
ため、ウイルス対策ソフトのウイルス定義
ファイルの更新を怠ると、最新のウイルス

復旧・対策に・・・が登場したときに、それを発見できずに感染してしまう恐れがある。ウイルス対策ソ

770万円の損害

フトを入れたからといって安心して、ウイル
ス定義ファイルの更新を怠ると、ウイルス対策ソフトが役にたたないということがあ※社員1000人の企業でネットワークの復旧に2日を要した場合（詳細は81ページを参照）

り得るのだ。
一方、やっかいなのはワームとも呼ばれるネットワーク感染型のウイルスだ。先に図5

Blasterはネットワーク経由で感染する大流行したBlasterもネットワーク感染型のウイルスで、左図のように動作するため、ファイル感染型ウイルスの典型例である③リモートシェルを呼び出し、自身をダウンロードするように指示。

「メールに変な添付ファイルが付いていた②リモートシェルが起動
Blaster
TFTP
リモートシェル

①RPC DCOMバッファオーバーフローのセキュリティホールを利用してBlaster侵入！

Blasterから、それをスキャンして駆除」
という、目

TFTP

で見えるような対策方法は採れない。さらリモートシェル

にこのウイルスが使うTFTPというプロト
コルは、ファイアーウォール機能を持っていないウイルス対策ソフトでは監視できな

第1次被害者④TFTPサーバーを呼び出してBlasterをダウンロード。
ここで感染！

Blasterは、RPC DCOMバッファオーバーフローというセキュリティホールを使って実行される。RPC DCOMバッファオーバーフローとは、送信されたデータをそのままプログラムとして実行してしまう危険なセキュリティホール。ウインドウズアップデートを実行すると修復できる。逆に言うと、ウインドウズアップデートを実行しない場合には、いつでも感染する危険性がある。ただし、RPC DCOMバッファオーバーフローは、ウインドウズのファイル共有に使われるTCP 135番が使われるので、ファイアーウォールなどで、このポートを閉じていた場合には、感染しない。

第2次被害者⑤ ④のコピーにより、
このパソコン上でもBlaster全体が動作し、さらにほかのパソコンに被害を広げてゆく。

い。つまり、いくらウイルス定義ファイルを最新にしていても、ウイルス対策ソフトだ
けでは Blaster には太刀打ちできないのだ。次ページでは、このタイプのウイルスにどのように対処するかを3段階に分けて解説する。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.12 +++87

段階1：ファイアーウォールで予防する

段階2：社内につなぐ前にウイルススキャン

段階3：感染したら隔離してすぐに報告

ネットワーク感染型のウイルスは、ネッ

ネットワーク感染型ウイルス対策として

ウイルスは1台が感染するとどんどん広トワークを流れるデータにウイルスが仕込重要なことは、ウイルスを社内LANに持ちまるので、早期の発見が被害を最小限にまれており、OSのセキュリティーホールを込まないという配慮だ。多くの企業は、イ食い止める秘訣だ。そのためには、定期狙って攻撃を仕掛けてくる。このため、何ンターネットとの接続点にファイアーウォ

的にハードディスクの全ファイルに対するもアプリケーションを実行していなくても、ールやウイルス除去の仕組みを設けておウイルスチェックが欠かせない。

インターネットに接続しているだけで、知り、社内LANは安全に保たれている。

万一ウイルスに感染していた場合の対らぬ間に感染してしまう。Blaster だけでしかし外出先から携帯電話やPHS、無処方法も重要だ。感染した自分の失態をなく、世間を騒がせたNimdaウイルスも、線LANスポットなどでインターネットにア責められるのを恐れ、こっそりと自分のパ

この種のネットワーク感染型ウイルスだ。

クセスした場合にはどうだろうか。このとソコンだけからウイルスを除去するのは望ネットワーク感染型ウイルスはファイル

き自分のパソコンを守るものは何もなく、ましくない。なぜなら感染がすでに広がっを媒体に感染するわけではないので、ファウイルスに感染してしまう恐れがある（86ており、ほかのパソコンにも感染してしま

イルだけをウイルスチェックしているので

ページ上図A）。感染したパソコンを社内っている可能性もあるからだ。

は対応できない。さらに、ウイルス対策ソの LAN に接続すれば、どんなにインターウイルスの感染に気づいたときには、まフトの多くが、ネットワーク感染型ウイルス

ネットとの接続点を社内 LAN が守っていず、パソコンからLAN ケーブルを抜いてが使うプロトコルなどを監視していないのても、瞬く間に社内に広がってしまうだろ

LAN から隔離し、被害を広げないようにで、まるで役にたたない。

う。外出先、家庭でも社内と同等のセキする。そして事態をネットワークの管理者

ファイアーウォールと組み合わせ、自分ュリティーシステムを構築し、完全に予防に告げ、社内すべてのパソコンに対してのパソコンとネットワークの間を流れるデすることが望ましい。さらに時間はかかる

最新のウイルス定義ソフトをダウンロード

ータそのものを監視しないと、防ぐことはが、社外のネットワークにつないだ後は、したウイルス対策ソフトでウイルスチェッ

できないのだ（86ページ上図D）。ファイ

ウイルススキャンをして自分のパソコンがクをして、ウイルスをLANから完全に除去

アーウォールについては90ページから詳

感染していないかチェックするという方法

する。

しく解説する。

を採るのもいいだろう。

自動ウイルススキャンを過信するな！

ウイルス対策ソフトを効率的に運用するポイント
ここからは、実際にウイルス対策ソフト

図6

ウイルス対策ソフトの仕組みを導入する際に気を付けることを説明しネットワークを流れるデータを監視するかどうかは、ウイルス対策ソ
フトの種類に依存する。ネットワークへの監視をまったくしないウイ
ルス対策ソフトもある。
またネットワークを監視する場合、すべての通信を監視するわけではない。HTTP、SMTP、POP3など、代表的なプロトコルに限られる。

ていきたい。ウイルス対策ソフトは、先にも説明したとおり、現在見つかっているウ
イルスの特徴を数値化した「ウイルス定義
ファイル」
を内蔵しており、それと侵入してきたデータを比較することでウイルスか否

ウェブブラウザー

HTTP

メールソフトSMTP／POP3

かを判断する。ただし既知のウイルスの亜種も発見できるように各ウイルス対策ソフ

インターネット

アプリケーション

その他のプロトコル

トメーカーは、パターンファイルとの単純な比較ではなく、独自の技術を使っていウイルス対策ソフトる。そのため発見できるウイルスの種類
は、ウイルス対策ソフトによってまちまちだ。右の比較表などを見て、その得意分

ファイル

ファイル

常駐に対応する、ほとんどすべてのウイルス対策ソフトは、ファイルを読み書きするときに、ウイルスチェックをしてくれる。しかし圧縮ファイル内のファイルまでチェックされるかどうか、対応する圧縮ファイルの種類などは、ウイルス対策ソフト次第だ。

野を把握してほしい。

88 +++ iNTERNET magazine 2003.12 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

ウイルス対策ソフトの基本的な運用は、

おもなウイルス対策ソフト
ノートンインターネット
セキュリティー2004

出入りするすべてのファイルに対して手動

ウイルスバスター2004

McAFEE インターネット
セキュリティSuper

でウイルスチェックすることだ。つまり、もらったファイルは開く前にウイルスチェッ
クし、渡すファイルは渡す前にウイルスチ
ェックする。これはメディアに保存して渡す場合も、メールに添付して送受信する場

http://www.symantec.co.jp/
http://www.trendmicro.com/jp/ http://www.sourcenext.info/mcafee/
ウイルス対策、ファイアーウォ ウイルス対策、ファイアーウォ ウイルス対策、ファイアーウォールール、IDSール、IDS
ファイル監視、ネットワーク監視 ファイル監視、ネットワーク監視 ファイル監視のみ
ウイルス対 動作方式と策の機能 ウイルスの監視対象 HTTP、SMTP、POP3、メッセ HTTP、POP3、SMTP―となるネットワーク ンジャー○
ファイアー IP アドレス、ポー ○△（デフォルトはほとんどのポー
ウォールの ト単位での通信
トが閉じており、設定は、ポー可否の設定
機能
トを開けるのみ）
プログラム単位で ○×○の通信可否の設定
ウイルス対策からファイアーウ ネットワーク感染型のウイルス ウイルスに関しては、ネットワー
おもな特徴
ォールまで、ほぼ完璧な機能を が流行ると、それを防ぐファイ クを監視しないため、ネットワー
もっている。反面、監視するネ アーウォールの設定もウイルス ク感染型ウイルスについては、ットワークの通信速度は極端 定義ファイルの一部として提供 ファイアーウォール機能で個別に低下する。ユーザーインター されるので、ほとんど設定なし に対応することになる。ネット
フェイスは複雑で、設定項目も で利用できる。反面、中上級 ワークを監視しないので通信専門用語が多いことから、初心 者が求める、高度なカスタマイ 速度が大きく低下するようなこ者には向かない。
ズはできない。
とはない。
機能合も同じだ。
近頃のウイルス対策ソフトは、起動時にパソコンに常駐し、常にウイルスの侵入を調べてくれるものも多い。しかしこの機能は過信しないほうがよい。というのは、すべてのパソコン内の動きを監視しているわけではなく、一部の条件を満たしたときにだけ監視するからだ。多くのウイルス対策ソフトは、ファイルを読み書きする場
面でウイルスチェックする。しかし圧縮フ
ァイルの中身までチェックしてくれるとは限らない。またいくつかのウイルス対策ソフ

つまり、常駐でのウイルスチェックには、るが、感染しそうな拡張子のファイルしかトは、ウェブやメールなどのデータもチェどうしても漏れが生ずるのだ。そのため面調査しないようにすれば、いくらかチェックックする。しかしすべての通信をチェック

倒ではあるが、定期的にハードディスクにに要する時間を短縮できる。そのほか、効するわけではなく、メールに関して言えば、保存された全ファイルに対するウイルスチ

率的なウイルススキャンの方法を下で説POP3はほとんどが対応するが、IMAP4へ

ェックを欠かすことができない。全ファイ

明しているので、参照してもらいたい。

の対応は皆無だ。

ルに対するウイルスチェックは時間がかか

効率的なウイルススキャンを実行する！
ここでは、時間のかかるウイルススキャンを効率的に行う方法とウイルスチェックによって起こる
メールの送受信の不具合への対応方法を、代表的なウイルス対策ソフトを例に公開する。ただし、これを行うのは定期的に全ファイルスキャンをしていることが前提だ。
ウイルス対策ソフトをインストールすると、エクスプローラが拡張され、右クリックして簡単にウイルスチェックできるようになるものが多い。誰かからもらったファイル、誰かに渡すファイルに対しては、ウイルス
チェックすることを心懸ける。

スキャンにかかる時間を短縮したければ、
特定の拡張子をもつファイルだけを調べればいい。ウイル対策ソフトは感染しそ
うな拡張子をリスト化してくれる機能をもっているので、これを参考にするといい。
また、いくつかのフォルダーを除外するチェックもできる。
たとえば、テキストファイルや画像ファイルが大量に保存されていて、ウイルスに感染していないと断言できるフォ
ルダーを除外すると、全体のチェックにかかる時間を大幅に短縮できる。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

ウイルスバスターの場
合には、送信時などにウイルスチェックするメールのサイズを調整できる。チェックするメー
ルのサイズが大きすぎるとサーバーのタイム
アウトが起こり、メールの送信ができない場
合がある。このタイム
アウトを抑制する機能などを活用しよう。

ノートンアンチウイルスの場合には、［ 時間切れに対して保護する］のチェックで設定する。
チェックを付けると、メール送受信時に一定
時間ごとにダミーのヘッダーが送信され、ウイルスチェックに時間がかかってもタイムア
ウトを抑えられる。

+++ iNTERNET magazine 2003.12 +++89

会社のファイアーウォールに頼ってはダメ！

パーソナルファイアーウォールで直接的攻撃を防ぐ
図7

インターネットにおいて重要な要素となファイアーウォールの基本的な仕組みるのが「ポート」だ。ポートはアプリケーシ

ポートはTCP、UDPのそれぞれに1番〜65535番まで用意
インターネット

ョンがデータを送受信する通り道で、アプ

され、SMTPの25番、HTTPの80番、POP3の110番など、主要なプロトコルで使用されているものをwell-knownポートと呼ぶ。well-knownポートは1023番以下にあり、普通のア

リケーションは、通信するときに必ずいず

プリケーションが使うのはそれ以上の番号のポートとなる。

れかのポートを用いる。また、ネットワー
ク型のウイルスもこのポートを用いて、標アプリケーション
社内LAN的となるパソコンにアクセスする。したがアプリケーションって、ウイルスが利用すると思われるポーウインドウズ

トを閉じれば、ネットワーク感染型のウイ

ネットワーク
感染型ウイルス

ルスを抑えられる。これがファイアーウォ
ールの基本的な仕組みで、さらにそれを発

ネットワーク感染型ウイルスは、ア
プリケーションやウインドウズのセ展させ、攻撃のデータかどうかを判定してキュリティーホールをもつポートを狙うので、ポートを閉じれば、ウイルスも阻止できる。

警告し、自動的にポートを閉じてくれるのファイアーウォールファイアーウォールを導入すれアプリケーションが送受信するデータは、必ば、アプリケーションやウインド
ウズには、安全な場所からのデータしか入らない。そのため、ずポートを通る。そこで、インターネットから

万一セキュリティーホールがあったとしても安心。

のデータ、LANからのデータなど、「どこから来ているデータなのか」、そして、「どこに向かうデータなのか」を調べ、特定のポートでの通信を許可するかどうかを決定する。

がIDS（侵入検知システム）だ。つまり、不要なポートは閉じ、不正なアクセスなどが対策入れないようにして、インターネットからの攻撃を受けないようにするのが、ファイアーウォールの役割なのだ（右図）。
近年ウイルス対策ソフトの多くがファイ
アーウォール機能を備えている。これは、ウイルス対策ソフトが監視するウェブやメールだけでは、ネットワーク感染型のウイ

3

P

e

r

s

パーソナルファイアーウォールとIDSを導入

NachiワームがVPNから侵入、ルスの侵入を抑えきれないためだ。ここ

Blasterの亜種として発生したNachi。このウイルスは感染すると大量のパケットをまきからは、ウイルス対策ソフトと補完関係に散らし、ネットワークを圧迫するというタイプのウイルスだった。このNachiもBlaster同あるファイアーウォールを使ってセキュリ

様ウイルス対策ソフト単体では太刀打ちできない。

ティーを高める方法を説明する。

ただ導入するだけではダメ

正しいポートの開け閉めがパソコンを守るファイアーウォールの難しい点は、「どのーウォール機能を実現する方法もある。たンストールするとパソコンに常駐し、プロような通信を許し」「どのような通信を許だし、これではLAN内にVPNなどで侵入グラムが通信し始めようとする場面を検知さないのか」という判断基準だ。

してきたウイルスには太刀打ちできない。

し、通信していいかをユーザーに尋ねる。

どのような通信を許すのかは環境によ

やはり、個人のパソコンにファイアーウォ

そのため設定そのものは複雑ではない。

って大きく異なる。たとえば、LAN環境なールソフトを導入するのが、どんな環境でプログラムの利用するポートが安全なもらファイル共有のポートでの通信を許した

あれ安全な方法だ。ちなみに、このようにのであると確認できれば、許可を与えるだ

いだろうが、インターネットに直接つないルーターなどでLAN自体にファイアーウォ

けでいいのだ。しかし意味もわからず、メでいる環境なら、許したくないだろう。つール機能を実現するものに対して、パソコ

ッセージが表示されるたびに通信に許可

まり利用している場所もファイアーウォー

ン自体にファイアーウォールを設定するもを与えると、ファイアーウォールにどんどルの設定に関わる要素となる。もっとも社のをパーソナルファイアーウォールと呼ぶ。

ん穴が空き、セキュリティー的に脆くなる

内LANや家庭内LANにおいて、ルーター

さて、どの通信を許すかという判断基準ので注意したい。安全性と利便性は相反を用いた環境ならば、ルーターでファイアだが、多くのファイアーウォールソフトはイ

するものなので、安全性重視なら、ウェブ

90 +++ iNTERNET magazine 2003.12 +++oインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&Dnブラウザーやメールソフトなど、業務に最低限必要なプログラムにだけ許可を与えウィンドウズXPだけでもファイアーウォールは構築できる！

るのがいいだろう。
またファイアーウォールソフトでは、LAN内のパソコンなど、ある一定範囲のIPア
ドレスをもつパソコンと無条件に通信を許すこともできる。この機能を使うと、ポート単位で通信のセキュリティーを設定する煩わしさはなくなる。ただし、その設定をすると、ウイルスのデータにも通信を許してしまい、LANの1台のパソコンがネッ
トワーク感染型のウイルスに感染したとき、そのパソコンからの感染を防ぐことができなくなり、危険性は高まる。よって安全重視なら、面倒でもIPアドレス単位ではなくポート単位で設定すべきだ。

a

l

F

i

r

e

特にソフトを購入しなくても、ウィンドウズXPの簡易的なファイアーウォール機能を使うという手もある。この機能をオンにすると、「インターネット側には通信できるけれど
も、インターネットからの通信はできない」という構成となる。ファイアーウォールソフトをインストールしないなら、この機能をオンにしておくのが無難。

w

a

l

l

ネットワークダウン！・・・

250万円の損害
ファイアーウォールソフト（画面はノートンインターネットセ
キュリティーでは、上記のようにきめ細かくポートごとの通信の可否を設定できる。

※社員1000人の企業でネットワークが1日停止した場合（詳細は81ページを参照）

ファイアーウォールでも心配ならIDSでより安全性の高い環境を構築
ファイアーウォールの発展形に当たるから守るときに用いのがIDSだ。IDSはネットワークを監視しるものだが、個人向て、不正な一連の攻撃と思わしき通信やけファイアーウォー

壊れたデータの大量の送付などを発見しルソフトでも IDS 機たときに、実際に攻撃が行われる前に、能を統合したものは

その IP アドレスをもつ送信者からの通信多い。IDS機能がな

を一定時間停止したり、ファイアーウォー

い場合、ファイアー

ルの設定を変えてそのポートを閉じるといウォールのポートのったインテリジェントな働きをするものだ。

設 定 に 従って 通 過

また、NimdaやBlasterなどの攻撃のパケするため、ポート設

ットを自動除去するものもある。

定を誤ると攻撃データが入ってきてしまう。

撃パターンであれば、攻撃とみなして除去

しかし IDS に対応していれば、既知の攻するので、より安全度が高い。

IDSはおもにサーバーを過負荷な攻撃

図8 IDSの仕組み②製品によってはファイアー
ウォールの設定を自動的に変更して対応するものもインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

IDS機能①データを調べて、不正なアクセスと判断すれば通信を遮断するなどの措置をとる+++ iNTERNET magazine 2003.12 +++91

ウイルスとは違う不正プログラム

知らない間に忍び込むコンピュータペスト
図9 ウイルス対策ソフトではすべてのペストは防げない

ウイルス対策やファイアーウォールでク
ライアントPCのセキュリティーは万全かとウイルス対策ソフトが対応できる範囲

ペスト対策ソフトが対応できる範囲

言うと実はそうでもない。最近、ウイルスやワーム以外に個人や企業に実害をもたウイルス・ワーム

らす不正プログラム（コンピュータペスト

コンピュータペスト

キーロガー
バックドア
（7万5000種以上）
スパイウェア
感染拡大活動：なし
アドウェア
主な動作：
IRC経由攻撃ツール
各種破壊活動狙った対象の情報漏洩 リモート管理ツール
システムへの侵入口作成 ダイアラー
スニッファー
他の攻撃の踏み台などなど（6万5000種程度）
感染拡大活動：あり
主な動作：
感染拡大活動ファイルの破壊無差別な情報漏洩
不正プログラムの配置やマルウェアとも呼ばれる）の問題がクローズアップされている。個人情報を盗む
キーロガーやスパイウェア、不正アクセス

広告を表示する、情報を盗む、遠隔操作する、攻撃の踏み台に使う、ダイアルア
ップ先を変更す
る、盗聴するな
どさまざまな悪事をはたらくペストがある。

の目的で利用されるハッカーツールや攻撃ツールなどの悪質なものも多くある。
ウイルスの副産物の不正プログラムや明らかに危険なペストなどは、ウイルス対策ソフトでも検知や駆除ができる。たとえばBadTransはキーロガーを仕掛けるトロイの木馬だが、ウイルス対策ソフトで対応できる。

たとえば、キーロガーがパソコンに仕込まれると、キーボードの入力が犯人に筒抜ウイルス対策ソフトでは対応できないペストも多数あるけになり、パスワードなどが盗まれて不正アクセスに利用される。バックドアと呼ば対策れる裏口を設置されると、コンピュータを犯人に自由に使われてしまう。こういったツールが知らない間にパソコンに仕掛けられ、知らない間に他のコンピュータに不

4

U

n

i

n

不正プログラム対策ソフトを導入

正侵入や攻撃をする踏み台として使われバックドアを仕掛けられて踏み台にて加害者となってしまうこともあるのだ。
これらの不正プログラムが仕込まれている状態で会社のネットワークに接続したウイルスやワーム以外の悪意をもったプログラムを「コンピュータペスト」と呼ぶ。勝手ら、会社に与える損害は、システムの停に広告を表示されるぐらいならばまだいいが、バックドアやキーロガーを仕掛けられると、止、営業機会の喪失、訴訟問題、信用のその先にはウイルスとは比べものにならない大きな損害が待ちかまえている。

失墜など計り知れないものがある。

感染拡大はないがウイルス対策ソフトでは対処不能なものも被害範囲は狭いがピンポイントで重大な被害がウイルスはプログラムやマクロを含むドで配布する愉快犯的なものが多く、自己有害ではないものもあることに注意が必キュメントに取り付いて感染を拡大させ、増殖する性質上発見が簡単だ。被害数は要だ。たとえば、離れたところにあるPC

ワームはネットワーク経由で増殖する。一多いが、重要なファイルを削除されたりばを遠隔操作するリモート管理ツールはシス方、ペストは増殖をしない独立したアプリ

らまかれたりしなければ、実際の被害額はテム管理者には必須のツールだが、悪用

ケーションとしてPCにインストールされる復旧のためにネットワークを止めた費用やすれば強力なハッキングツールとなる。

場合が多い。正式なプログラムの一部とその間の営業機会の喪失や作業効率のしてインストールされる場合もあるが、悪低下といったものとなる。一方、ペストのウイルス・ワームとペストの違い

質なペストの多くはウイルスと同様にメー

目的は、盗聴・不正侵入・攻撃といった実

ウイルス・
ワーム
海外産が
ほとんど
簡単

コンピュータ
ペスト
海外産＋
日本産
困難

少額×多数

高額×少数

ル添付で送られてきたり、ウェブサイトや被害だ。その性質上、姿を隠しているもP2Pファイル交換ソフトで入手したりするのが多いために発見が困難だ。また、一プログラムに仕掛けられている。セキュリ

度被害が発覚するとその被害額は多大にティーホールを狙って忍び込む場合もある。

なることが多い。

ウイルスやワームは個人がいたずら目的

92 +++ iNTERNET magazine 2003.12 +++v

ペストの中には通常の使い方をすれば

原産
感染の発覚
しやすさ
被害額×
被害数

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

i基本的な防ぎ方や対処法はウイルスと同様

不正プログラムの駆除には専用対策ツールを使う対策ツールを使わなくてもできる対策と止する方法がある。ウイルス対策の基本として、ペストの侵入経路を絶って侵入を防同様の手法がペストにも適用できるのだ。

コンピュータペストの基本的な防ぎ方
侵入パターン
ウェブの閲覧時にActiveXやJavaなどのスクリプトを悪用して侵入OSやプログラムのセキュリティーホールを悪用して侵入情報収集を目的としたクッキーとして侵入

①
②
③
④

HTML形式のメールにスクリプトを忍ばせておいて侵入ウイルスの侵入と同じくメールにプログラム自体を添付して侵入
社員など他人が直接パソコンに仕掛けて侵入（内部犯罪）

⑤
⑥

t

e

d

S

o

f

ActiveXは必ず情報を確認してから実行

防ぎ方
ブラウザーのセキュリティー設定を強化する（右図参照）
ウィンドウズアップデートなどのプログラム更新を実施
する
定期的にクッキーやウェブ閲覧履歴の整理と削除を実施する
メーラーの設定でHTML形式のメール受信とスクリプ
トの自動実行機能をオフにする
出所のはっきりしない怪しいメールや添付ファイルは削除し、絶対に開かない
パソコンの起動時やスクリーンセーバーのパスワード
ロックを設定する

t

w

a

r

e

IEの
［ツール］
メニューから［インターネットオプション］
を選び、［セキュリティ］
タブで地球アイコンの［インターネット］
ゾーンを選ぶ。このレベルを少なくとも「中」にしておこう。
また、下図のようなActiveXのセキュリティー警告が表示される場合は安易に「はい」を押さずに内容をよく確認することが大切だ。

された先で個人情報漏洩・・・

1,600万円の損害賠償※10万人分の顧客情報流出で20パーセントの過失責任を問われた場合（詳細は81ページを参照）

ペストパトロール
（PestPatrol）
スパイウェア、キーロガー、ハッカーツール、
攻撃ツールなどのコンピュータペストに網羅的に対応している商用ツール。NSTL（National Software Testing Labs）のペスト検出検査では、ノートンアンチウイルス2001によるペストの検出率は45パーセン
ト程度に対し、ペストパトロールでは85パーセントのペストを検出していた。日本語版、8,500円
http://www.pestpatrol.jp/

スパイウェアやキーロガーなどのペストの検出や駆除ができる専用対策ツールを利用することで、ウイルス対策ソフトなどの既存セキュリティー技術の弱点を補完できる。これらのツールはウイルス対策ソ
フトと同様にファイルをスキャンする形で使う。パターンファイルを更新する必要がある点もウイルス対策ソフトと同様だ。

アドアウェア（Ad-aware）
スパイボット（Spybot）
スパイウェア専用の商用ツール。英語版、 スパイウェア専用のフリーソフト。日本語イ
39.95ドル（スタンダード版は無料）
ンターフェイスあり
http://www.lavasoftusa.com/
http://security.kolla.de/

アンチキーロガー（Anti Keyloger）
ペストスキャン
（PestScan）
キーロガー専用の商用ツール。英語版、 スパイウェア、キーロガー専用の無料のオ
59.95ドルンラインスキャナー（検出のみ）
http://www.anti-keyloggers.com/
http://www.pestpatrol.jp/
index_pestscan.html

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.12 +++93［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバー
アーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ
番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.