CIS Control 10：マルウェア防御のガイド

CIS Critical Security Controls のControl 10 バージョン8は、マルウェア防御に重点を置いています。企業資産上で、悪意のあるアプリケーション、コード、スクリプトのインストール、拡散、実行を防止または制御するための保護策について説明します。（CISバージョン7では、このトピックはControl 8で扱われていました。）

マルウェア、特にランサムウェア（ransomware）は、近年ますます深刻なセキュリティ課題となっています。ランサムウェアは、ユーザーが自分のシステムや情報にアクセスすることを制限し、通常は所有者が身代金を支払わない限りデータを公開または破壊すると脅します。専門家の予測によれば、2031年までに「2秒ごとに新たな攻撃が発生し、ランサムウェアのコストは年間2,650億ドルに達する」という状況になります。

マルウェアは、攻撃者がシステムやネットワークにアクセスし、制御できるようにするために設計されています。通常は機密データを抽出することが目的です。ransomwareに加えて、マルウェアはトロイの木馬（trojan horse）の形で、通常のプログラムのように見せかけるものもあります。ウイルスやワーム（viruses and worms）のように、感染したシステムを攻撃者の目的のために改変するものもあり、ほかにもさまざまです。マルウェアは、データの窃取、認証情報の取得、データの暗号化または破壊、さらにネットワーク内の他の標的の特定によって、ビジネス上のリスクを高めます。

マルウェア感染の兆候には、次のようなものがあります：

• スパムおよびポップアップ広告
• 遅い、またはフリーズしたシステム
• 頻繁なクラッシュ
• 不明なプロセスやサービスが作成または起動されている
• 許可なく新しいファイルまたはフォルダーが作成されている
• 既知のWebサイトから不明なサイトへのリダイレクト

マルウェアの脅威は、機械学習の手法を用いて進化・適応でき、複数の脆弱性を通じて組織のシステムに侵入しながら、それに対する防御を回避し、欺き、無力化することが可能です。

組織をマルウェア感染から守り、迅速なインシデント対応を確実にするために、以下で詳述する CIS Control 1の保護策に従ってください。

10.1. すべての企業資産にアンチマルウェアソフトウェアを導入し、維持管理する

アンチマルウェアソフトウェアは、以下を含むさまざまな手法を用いてマルウェアを識別します。

• 定義またはシグネチャ — それぞれのマルウェアには、捕捉してデータベースに保存できる定義またはシグネチャがあります。アンチマルウェアのソリューションは継続的にスキャンを行い、システムに侵入してくるコード、またはシステム上に存在するコードをデータベース内のシグネチャと照合することで、マルウェアを特定し検出・フラグ付けします。
• ヒューリスティック分析 — コードの変更が頻繁に行われるため、コードをシグネチャと照合するのではなく、動作や特徴に基づいてマルウェアを識別するためにヒューリスティックが用いられます。これにより、これまで未発見だったマルウェアの検出に役立つ場合があります。
• サンドボックス化— アンチマルウェア製品は、このテスト手法を用いて疑わしいプログラムを保護された領域内で実行し、フルのシステムアクセス権を持っているかのように振る舞いながら実行される様子を監視します。プログラムが悪意のあるものだと判断した場合、アンチマルウェアはそれを終了します。そうでない場合は、サンドボックスの外で実行できるようにします。

マルウェアが特定されると、ほとんどのアンチマルウェアソフトウェアはそれを削除するか、保護されたファイルに隔離できます。アンチマルウェアソフトウェアは 100% ではありませんが、それでも重要なセキュリティ要素です。

10.2. 自動アンチマルウェアのシグネチャ更新を設定する

シグネチャ（定義）とは、特定のマルウェアに固有のアルゴリズムまたはハッシュです。アンチマルウェアツールは、マルウェアを検出してフラグを立てるために、システム上のファイルを一連のシグネチャと照合します。

マルウェアは常に変化し適応するため、アンチマルウェアも同様に適応して効果を維持する必要があります。更新は、アンチマルウェアが最新の悪意あるコードを認識できるようにする唯一の方法です。

自動更新は、ユーザーやITチームに更新プログラムのインストールを依頼するよりも、効率的で信頼性が高くなります。更新は毎時間または毎日リリースされることがあり、インストールの遅れはシステムを悪意ある攻撃者にさらす可能性があります。

10.3. リムーバブル メディアでのオートランとオートプレイを無効にする

USBメモリやポータブルハードドライブのようなリムーバブルメディアは、他のあらゆるコンピューターシステムと同様にマルウェアの影響を受けやすいです。これらのメディアは、PCに接続した瞬間にプログラムを自動でダウンロード、インストール、再生、または実行するよう設定できます。マルウェアは、それを止める前にあなたのデバイスに感染する可能性があります。

安全な構成管理の一環として自動実行機能を無効にすることで、マルウェアの感染を防ぎ、データ侵害のほか、システム停止、評判の低下、金銭的損失につながる事態を回避できます。

10.4. リムーバブルメディアの自動アンチマルウェアスキャンを設定する

一部のハッカーは、好奇心から誰かが拾って挿してしまうのを待つために、USBメモリをその辺に放置しておくことがあります。別のケースでは、管理できないリムーバブルメディアにマルウェアが仕込まれている場合や、意図せず、あるいは意図的に、あるシステムから別のシステムへマルウェアを転送するために使われることもあります。

アンチウイルスソフトを、接続直後にリムーバブルメディアを自動スキャンするよう設定すると、マルウェアを検出し、挿入先のシステムに感染する前に隔離（quarantine）または無効化（terminate）できます。ベストプラクティスとしては、リムーバブルメディアの使用を制限し、その所在を厳格に管理することが挙げられます。グループ研修は、リムーバブルメディアのリスクに対する意識を高めるのに役立ちます。

10.5. 悪用防止（anti-exploitation）機能を有効化する

この管理策では、可能な範囲で企業の資産やソフトウェアに対して悪用防止（anti-exploitation）機能を有効化することを推奨します。例として、Microsoft Data Execution Prevention (DEP)、Windows Defender Exploit Guard (WDEG)、Apple System Integrity Protection (SIP)、および Gatekeeper があります。

アンチ・エクスプロイト（Anti-exploitation）機能は、ウイルス対策やシグネチャベースのマルウェア対策のように既知のマルウェアを探すのではなく、エクスプロイトに対して汎用的な防御を提供します。これらの多くは、マルウェアの侵入を防ぐために現在のOSに組み込まれていますが、機能はデフォルトで無効になっているため、活用するには必ず有効化する必要があります。

アンチ・エクスプロイト（Anti-exploitation）によるセキュリティは、ドライブバイダウンロードサイト、フィッシングキャンペーン、悪意のある iframe など、大量感染を引き起こす最も一般的なエクスプロイトに対して特に効果的です。これらの機能は、まだパッチや修正が提供されていない以前は知られていなかったゼロデイ脆弱性（zero-day vulnerabilities）も軽減します。さらに、バッファオーバーフローやその他のメモリ破壊攻撃を止めるのにも役立ちます。

10.6. アンチマルウェア（anti-malware）ソフトウェアを一元管理する

相互に連携できない複数のアンチマルウェア（anti-malware）ソリューションがある場合、企業全体でマルウェアや傾向（trends）を検知できないリスクがあります。各サイロ（分断された環境）を個別に対応する必要があります。

単一で、中央で一元管理できるアンチマルウェア（anti-malware）ソリューションを導入して、このセキュリティ上のギャップを埋めましょう。そのソリューションが、組織内のすべてのデバイスをスキャンしてレポートするようにします。そうすることで、異なるソリューションをカバーするために必要な専門性が減り、ソリューション同士の間の“隙間”によって何かを見落とすことがなくなります。そしてデータ侵害（data breach）が発生した場合も、情報を確認するのに見るべき場所は1つで済みます。

10.7. 挙動（ビヘイビア）ベースのアンチマルウェアを使用する

シグネチャベースのソリューションは、既に知られているコードしか特定できません。今日のマルウェアは、内蔵された曖昧さによってツールを回避し、結果としてコードの実行が状況により変化するようになっていることがよくあります。

挙動（ビヘイビア）ベースのソリューションは、コードのあらゆる行とそのすべての 可能性のある 行動を分析できるため、シグネチャベースでは認識できないマルウェアファイルを特定できます。たとえば、OS（オペレーティングシステム）レベルの命令の実行、低レベルの rootkit コード、重要または無関係なファイル・プロセス・内部サービスの分析が可能です。

ただし、挙動（ビヘイビア）ベースのソフトウェアにはいくつかの欠点があります。シグネチャベースのアンチマルウェアはリアルタイムでマルウェアを検知しますが、挙動ベースのアンチマルウェアは、複数の次元にわたって動的解析を行う必要があるため、内蔵された遅延が発生します。さらに、挙動ベースのソリューションは、アンチサンドボックス（anti-sandboxing）機能を備えたマルウェアを検知できない可能性が高いです。

良い点として、挙動ベースのアンチマルウェアは、シグネチャベースでは未知のさまざまな形態のマルウェアを見つけるうえで柔軟性を提供します。侵入検知、脅威分析、ユーザー分析を改善し、業界や組織に合わせて特定の要件を許可または禁止するためのポリシーを作成・変更できるようにします。多くの挙動ベースのソフトウェアはポリシーベースの制御メカニズムに従うため、管理上の目的には柔軟性が重要です。

マルウェアの予防と軽減のための追加のヒント

• 強力なパスワードや安全な認証方法（多要素認証（MFA）や生体認証ツールを含む）を使用してください。
• 管理者アカウントは、どうしても必要な場合に限って使用してください。
• 最小権限モデルに従ってください。ユーザーが業務を完了するために必要なシステムの機能、サービス、データへのアクセスを最小限に付与します。
• メールのセキュリティとスパム保護のソリューションを導入してください。
• 一般的なマルウェアの戦術に対する意識を高め、ユーザーにサイバーセキュリティのトレンドやベストプラクティスを常に共有しましょう。特に、オフィス外で作業する場合は VPN を使って安全なネットワークにのみ接続するよう、必ず案内してください。
• ユーザーが異常なシステム挙動を報告するよう促してください。

概要

CIS 重要なセキュリティ管理策に従うことで 企業は、オンプレミスとクラウドの両方において、セキュリティを強化し、規制への準拠を達成し、事業のレジリエンスを向上させることができます。

コントロール 10 では、自動更新を有効にしたうえで、行動ベースのアンチマルウェアとシグネチャ（署名）ベースのツールの両方を使用し、ソフトウェアを一元管理することを推奨しています。さらに、オペレーティングシステムで anti-exploit 機能を必ず有効化し、そもそも許可する場合に限って、デバイスでのリムーバブルメディアの使用を厳格に制御してください。これらのベストプラクティスに従うことで、致命的なマルウェア感染のリスクを低減できます。