デジタル時代に生きる私たちは、パソコン、スマートフォン（スマホ）をはじめたくさんのデバイスを使い分けて生活しています。それだけにセキュリティ確保が大切なのですが、キーワードのひとつに「OSの脆弱性」があります。
パソコンならWindowsやMacintosh、スマホならAndroid、iOSといったOSがあり、バージョンアップのたびに便利に進化していますが、これらのOSには、サイバー犯罪者が狙う脆弱性が残されているのも事実です。OSはデバイスの起動中、どんなアプリを使っているときも働いているもの。その脆弱性対策は、思っている以上に大切なことなのです。
脆弱性という言葉そのものは、ご存じの方が多いと思います。
しかし、いざ説明できるかというといかがでしょうか？ 基礎知識をまとめるとともに、今後の対策のあり方についても考えてみます。
OSってどんなもの？
私たちがキーボードやマウス、タッチパネルなどを手で操作すると、その情報はパソコンやスマホ上で動く各アプリケーションに伝わります。普段何気なく行っている、文字を入力する、ポインタを動かす、ファイルやタスク、メモリ、周辺機器を管理するといった、基本的なコントロール機能を担っている共通機能がOSとイメージしてください。OSはデバイスの起動中、あらゆる場面で働いて、私たちを手助けしてくれているのです。
しかしOSのプログラムも、人が作る以上は100％完璧ではありません。さまざまなバグや設計ミスが原因となって、外部の脅威がデバイスに侵入できる“セキュリティホール”が存在しています。セキュリティホールがある状態を一般的に脆弱性と呼んでおり、放置したままで利用を続けていると、マルウェアの侵入や、攻撃、不正アクセスといったサイバー犯罪の被害に遭う可能性が高まります。
昨年世界中で大きな被害をもたらしたランサムウェア「Wanna Cry」は、サイバー犯罪者がそれまで知られていなかった脆弱性を突いたことで、感染が一気に拡大したといわれています。このように脆弱性の対策を取る前に、サイバー犯罪者が攻撃を仕掛けることを、ゼロデイ攻撃といいます。そしてサイバー犯罪は大小問わず、未知の脆弱性を狙ったケースが非常に多いのです。
そのため新しく脆弱性が発見されたときには、OSメーカーは、セキュリティホールをふさぐパッチプログラムを提供しています。
脆弱性といえば、不正サイトの閲覧もリスクがともなう行為です。そのサイトを開いただけで、OSの脆弱性からマルウェアに感染させるという手口が知られています。最近ではたとえ正規のサイトであっても、そこに表示される広告に悪意のあるコードが仕込まれていたことで、セキュリティホールからマルウェアに侵入されるというケースが多発しています。そんな被害の中には、パッチプログラムを適用していれば防げた例も少なくありません。
＜OSの役割＞
脆弱性への基本対策
OSの脆弱性対策は、一刻を争うことが分かっていただけたかと思います。
まず既知の脆弱性に対しては、OSメーカーがセキュリティパッチや、改良版へのアップデートを随時提供しています。アップデートの通知がきたら先延ばしせずに、なるべく早く適用するのが基本といえます（こまめなアップデートが必要なのはアプリケーションも同様です）。
次に、最新の脆弱性対策をしていたとしても、ゼロデイ攻撃を受けるリスクはあります。定期的にバックアップを取っておいたり、本当に大切なデータは外部に保存しておいたりと、万一侵入を許したときまで想定に入れて、対応をしておくことも大切です。
Windows XP、Vistaといった、既にサポート期限が切れた「レガシーOS」を使用される方は、脆弱性対策の面でリスクがあることも覚えておいてください。サポート期限を越えるとセキュリティパッチが提供されなくなり、脆弱性が修正されない状態におかれます。そのためパッチによらない方法でガードをかけることが必要となります。
セキュリティソフト会社も未知の脆弱性を研究し、新しい攻撃の手口からいかにOSをガードできるかを日夜探っています。セキュリティソフトの適切な使用は、脆弱性対策の面でも有効となります。
脆弱性対策の最新事情
サイバー犯罪にもトレンドがあります。以前は、大規模なサイバー攻撃は貴重なデータや巨額の金銭を狙い、大企業や公共機関をターゲットにしていました。しかしこの数年ですこし様変わりしているように見えます。近年猛威を振るっているランサムウェアは、中小企業からSOHO、さらには個人ユーザーまでを無差別にターゲットにして、高度な攻撃を仕掛けています。脆弱性からいちはやく守るための対策を、いっそう真剣に考えなければなりません。
マカフィーのアンチウイルスエンジン「Real Protect」は未知の脅威からもOSを守れるよう、挙動が怪しいプログラムを発見できる“振る舞いベース”のテクノロジーと、膨大なサンプルとの比較による検知を組み合わせて、常に最新の脅威から防御できる仕組みとなっています。クラウドでの分析、機械学習が取り入れられていますので、デバイス本体への負担を軽減しているのもポイントです。大企業に提供しているのと基本的に同じ仕組みを、個人ユーザー向けまで各製品に採用していますので、さらに高度化するサイバー犯罪への対策にお薦めしたいと思います。
著者：マカフィー株式会社 CMSB事業本部 コンシューママーケティング本部 執行役員 本部長 青木 大知