 |
 |
|
|
| 最新ニュース |
|
|
|
|
|
|
||||||||||||||||||||
|
||||||||||||||||||||
|
||||||||||||||||||||
|
IPA、「情報セキュリティ白書 2007」を発表－脅威の“見えない化”を警告 |
||||||||||||||||||||
|
||||||||||||||||||||
|
|
||||||||||||||||||||
|
||||||||||||||||||||
|
||||||||||||||||||||
|
||||||||||||||||||||
|
||||||||||||||||||||
同白書は、2006年を通して、特に社会的影響の大きかった10大脅威を選出し、今後の対策などを記したもの。情報セキュリティに学識のある識者や研究者、実務担当者など85名のメンバーで構成された「情報セキュリティ検討会」によって毎年編集されている。 同白書では、1）Winnyによる漏えい情報の流通、2）スピア型攻撃、3）ボット、4）ゼロディ攻撃、5）フィッシング詐欺、6）スパムメール、7）減らない情報漏えい、8）安易なパスワード、9）SQLインジェクション、10）不適切なDNSサーバーを狙う攻撃が、10大脅威として選出された。 2006年の特徴についてセキュリティセンター長の三角育生氏は、「人間心理の盲点を突いた“見えない脅威”が急増した」と語る。その最たる例が、第2位にランクインした特定の組織を狙うスピア型攻撃の増加だ。 三角氏によれば、実際に、「特定の企業あてに、製品の不具合の問い合わせとして、マルウェアの潜んだ製品写真が添付されたメールが届いた事例もある」という。この場合、特定の企業にあわせてマルウェアが作成されるため、対策ソフトをすり抜けてしまことがあるとともに、被害に気づきにくいことが問題となる。 第3位のボットに関しては、「Web上でボットプログラムが簡単に入手可能なこともあり、ボットの進化のスピードが早まっている」（三角氏）という。ボットネットを一網打尽にするには、各ゾンビPCに命令を出す指令サーバーを抑えてしまうのが手っ取り早い。ところが、指令サーバーの冗長化や自律分散処理化が進み、指令サーバーを特定するのが難しくなっているとのことだ。 ボットの増加は、第6位のスパムメールにも関連している。「以前は、スパム送信者が直接、あるいはオープンプロキシ（外部から不正利用可能なプロキシ）やオープンリレー（第三者不正中継が可能なMTA）などを利用してスパムを配信していた。今ではボットネットを利用するのがトレンド。不特定の送信元から送られてくるため、ブラックリスト方式の対処では防げ切れなくなってしまった」（三角氏）という。 このように、それぞれの脅威を組み合わせた被害が増加していることも、2006年の傾向だと三角氏は語る。「10位までに選出された脅威はすべて何らかの形で関連があるといえる。適切に対策を行うには、個々の脅威の存在をしっかりと認識するとともに、それぞれの脅威の間にどのような関係があるかを理解する必要がある」とした。 なお、1年前の同白書では1位だったSQLインジェクションが、今回9位に下がったことについて、「2006年には、表立った事件が発生しなかったため順位としては下がったが、攻撃自体は増加している」と三角氏は説明。「2006年には、2005年と比較して数倍から数十倍の攻撃量となった。Webアプリケーションに対する攻撃のうち、およそ60％程度を占める」とし、企業にとっては大きな被害の出る攻撃ゆえ、引き続き注意を払うことが必要であると警告した。
■ ＵＲＬ 独立行政法人 情報処理推進機構 http://www.ipa.go.jp/ ニュースリリース http://www.ipa.go.jp/security/vuln/20070309_ISwhitepaper.html
（ 川島 弘之 ）
|
