「じぶんのマシンがウイルスにかんせんしてしまった」ときづくのは、どんなときだろうか？
【たのがぞう、かくだいがぞうがはいったきじ】 むかしは、ウイルスやワームにかんせんしたことにきづくのは、ひかくてきかんたんだった。もっともわかりやすいれいの1つが「Happy99」ワームだ。でんしメールのてんぷファイルをかいしてとどくこのワームは、とくにわるさをするわけではないが、かんせんすると「HappyNewYear1999!」というメッセージやはなびのどうががひょうじされる。
また、2003ねんのなつやすみのじきにだいりゅうこうした「Blaster」ワームのばあいは、ワームプログラムじたいのひんしつがあまりスグレていなかったことから、かんせんするといちぶのマシンでWindowsOSじたいがふあんていになり、さいきどうをくりかえすというしょうじょうがみられた。これも、かんせんをみやぶるかぎの1つとしてりようできた。
ところが、さいきんのきょういは「みえないか」がすすんでいる。マクロてきには、まだいっぱんにこうひょうされていない「ゼロデイ」のぜいじゃくせいをねらってしんにゅうしたり、とくていしょうすうをひょうてきにする「ターゲットがたこうげき」がぞうかした。このため、ネットワークぜんたいをよほどちゅういぶかくかんそくしていないかぎり、ふしんなうごきにきづくのがむずかしい。
またミクロてき（＝ここのたんまつ）にも、かんせんしても、なかなかおかしなきょどうをみせないようになった。にんげんのびょうきでもそうだが、こうねつなどあきらかにいじょうなしょうじょうがでれば、くすりをのもうというきにもなる。だがさいきんのきょういは、じかくしょうじょうのないびょうきのようなもの。なかなかそれときづくことができず、たいさくもおくれがちになってしまう。
●ワームのたんさくかつどうを「みえるか」
セキュリティベンダーやたいおうたんとうしゃでは、このようにみえないかしているきょういをなんとか「みせる」ためのとりくみをすすめている。
その1つが、ひたちせいさくしょのセキュリティレスポンスチーム、「HIRT（HitachiIncidentResponseTeam）」がかいはつしたツールだ。HIRTのWebページでは、このツールによってワームのうごきを「かしか」するようすがしょうかいされている。
HIRTによると、ウイルス／ワームを「かしか」するには、いくつかちゃくもくできるポイントがある。1つは、かんせんごにPCがはきだすパケットのそうしんタイミング。2つめは、かんせんさきノードのポートやプロトコルのすいい。そしてもう1つ、つぎなるかんせんターゲットをさがしもとめるIPアドレスせいせい／たんさくかつどうにもとくちょうがみられるという。
このかんせんターゲットのたんさくかつどうをみきわめるきりくちとして、HIRTは3つのほうほうをていじした。1つは、ノードたんさくかつどうの「きそくせい」。2つめは、たんさくさきIPアドレスの「きんいつせい」や「そうさはんい」。3つめは、IPアドレスのせいせいじゅんじょにかんする「しゅうきせい」だ。こうしたしてんからワームのかつどうをみていくと、それぞれことなったとくちょうがみえてくる。
HIRTがこうかいした「ワームノードたんさくかつどうのかしかツール」では、このうち「きそくせい」のぶぶんを、どうしんえんじょうのづけいにマッピングしてしめす。IPアドレスをこうせいする4つのオクテットを、えんしゅうじょうにひょうじされる4つのラインとしてひょうげんし、かくオクテットのねをかいてんかくにおきかえることで、たんさくかつどうを「グラフか」してみたものだ。
たとえば、CodeRedやSQLSlammerといったワームのばあいは、むさくいにIPアドレスをせいせいし、つぎなるかんせんさきをさがしもとめる。いっぽうBlasterやZotobはランダムではなく「こんじょうねらい」で、かんせんもととどういつネットワークにぞくするIPアドレスをきめうちでたんさくする。このようすをツールでかしかすると、ちがいはいちもくりょうぜんだ。
HIRTではこのようにワームのたんさくかつどうをかしかすることにより、ここのワームのとくちょうをしかくてきにかくにんできるとしている。さらに、これをていりょうかすることにより、ワームのけんしゅつやしゅるいのとくていをおこなうためのはんだんざいりょうの1つとしてかつようできるのではないかとしている。
きょういをかしかするほうほうはこれだけではなく、ほかにもいろいろなほうほうがかんがえられるだろう。いずれにせよ、じぶんにみえないもの、はあくできないものにこうかてきにたいしょすることはできない。こんごもさまざまなかたちで、きょういをみせていくくふうがもとめられるだろう。
「みえないか」するきょうい、「みえるか」でたいこうを
2007ねん、きょういはさらに「みえないか」する
「やつらはほんきになった」――セキュリティきょういのもくてきにおおきなへんか
http://www.itmedia.co.jp/enterprise/
