4.2マルウェア・不正アクセス対策

「侵入を100%防ぐ」ことはもはや前提にできません。標的型攻撃やゼロデイ攻撃を想定すると、侵入されることを前提に、どの層で何を止めるかという設計思想が不可欠です。この節では、あるセキュリティ担当者が多層防御の各層に何を配置し、万一の侵入時にどう被害を最小化するかを判断する視点でマルウェア対策・不正アクセス対策を学びます。

4.2.1マルウェア検出手法

• パターンマッチング（シグネチャ法）＝既知マルウェアの特徴的なバイト列（シグネチャ）と照合して検出する手法。既知の脅威には高精度・高速だが、シグネチャが未登録の未知のマルウェアは検出できないという限界がある。
• ビヘイビア法（振る舞い検知）＝プログラムを実際に動作させ、レジストリ改変・不審な通信などの挙動そのものを監視して悪意を判定する手法。ヒューリスティック法＝コードの構造やパターンから統計的・経験則的に悪意の可能性を推定する手法。いずれもシグネチャに頼らず未知のマルウェアを検出できる可能性を持つ。
• 動的解析＝実際に（多くはサンドボックス内で）実行して挙動を観察する解析。静的解析＝実行せずコードやバイナリの構造を解析する手法。動的解析は実行時にしか現れない挙動を捉えられる一方、サンドボックス検知を回避する（環境を検知すると悪意ある動作を控える）マルウェアには効果が薄れることがある。

4.2.2入口対策・出口対策・多層防御

• 入口対策＝ファイアウォールやメール/Webフィルタなど、組織外から内部への侵入を防ぐ対策。標的型攻撃はこれを回避してくる前提のため、入口対策だけでは不十分。
• 出口対策＝侵入・感染をすでに許した前提で、内部から外部（C&Cサーバ等）への不審な通信を検知・遮断する対策。プロキシでの通信先チェック、DNSクエリの監視、検疫ネットワーク（未認証・不審な端末を隔離した専用セグメントに接続させ、健全性確認後に本番ネットワークへ接続を許可する）などが該当する。「侵入されても情報を外に出させない」という多層防御の最後の砦としての意義が大きい。
• 多層防御＝単一の対策への依存を避け、入口・内部（検疫NW・セグメンテーション）・出口の複数の層それぞれに異なる種類の対策を配置する設計思想。ある層が突破されても次の層で被害を止める、という前提に立つ。

あるメーカーの工場拠点で、標的型メールを起点とした侵入を想定した防御設計を見直すとします。まず入口対策として、メールゲートウェイでの添付ファイル検査（パターンマッチングで既知マルウェアを排除）とWebフィルタでの不審サイトへのアクセス制限を配置しますが、標的型攻撃はゼロデイの未知マルウェアを使う前提であるため、この層だけでは侵入を防ぎきれないと判断します。次に、万一エンドポイントが感染した場合に備え、内部の層にビヘイビア法による挙動監視（EDR等）を配置し、レジストリ改変や不審プロセス起動を検知します。さらにネットワークをセグメント化し、外部から持ち込まれたBYOD端末やIoT機器はまず検疫ネットワークに接続させて健全性確認を経てから本番セグメントへ許可することで、感染端末が横展開（ラテラルムーブメント）で重要システムに到達するリスクを下げます。最後の砦として出口対策を配置し、内部から外部のC&Cサーバへの不審な通信（未知の宛先への定期的なビーコン通信等）をプロキシとDNS監視で検知・遮断すれば、万一侵入・感染されても機密情報の外部流出（漏えい）だけは防ぐことができます。このように、「侵入を防ぐ層」と「侵入後の被害を最小化する層」を分けて設計するのが多層防御の実務的な核心であり、出口対策は「入口を破られた後の最後の防衛線」として特に重視されます。加えて、公開WebサーバはDMZ（内部LANとも外部インターネットとも隔離された緩衝セグメント）に置き、たとえDMZ上のサーバが侵害されても内部LANへ直接到達できない構成とし、既知の脆弱性を突かれないよう脆弱性管理（パッチ適用の迅速化）と、不要なサービス・アカウントを排除する要塞化（ハードニング）を平時から徹底します。

4.2.3秘密分散

• 秘密分散＝暗号鍵や機密情報を複数の断片に分割し、あらかじめ定めたしきい値の数以上の断片が集まらないと復元できないようにする技術。1か所が漏えい・破壊されても単独では情報を復元できないため、鍵管理における単一障害点（SPOF）の排除に役立つ。

4.2.4この節のまとめ

• パターンマッチングは既知限定、ビヘイビア法/ヒューリスティック法は未知検出も可能。動的解析はサンドボックス回避に弱い
• 入口対策は侵入防止、出口対策は侵入後の情報流出防止（最後の砦）。多層防御は複数層を組み合わせる
• 検疫ネットワークで未認証端末を隔離、DMZで公開サーバを分離、秘密分散で鍵管理のSPOFを排除