日本のセキュリティチーム (Japan Security Team) : SIR

セキュリティインテリジェンスレポート第7版(2009年上半期)

JSECTEAM — Mon, 02 Nov 2009 20:07:00 GMT

小野寺です。

2009年上半期の脆弱性やマルウェア動向についてまとめた、セキュリティインテリジェンスレポート (SIR) 第7版を公開しました。
本レポートは、半期に一度公開しており、さまざまなデータを基に現在のセキュリティ動向を分析しています。最新のレポートは、以下のサイトから入手できます。要約版である、主要な調査結果 (Key Findings)の概要を、各国語でこうかいしていますが、今回は、日本語版のみ完全版レポートから「各地域における脅威の評価」、「各国の最善策 (Best Practice)」を抜粋して日本語化して付録として追加しています。

研究者だけではなく、IT管理者や開発者の方には必ず読んでほしい、レポートになっています。

マイクロソフトセキュリティインテリジェンスレポート v7
http://www.microsoft.com/downloads/details.aspx?displaylang=ja&FamilyID=037f3771-330e-4457-a52c-5b085dc0a4cd

さて、今回も感染率で色分けした、世界地図から確認してみます。
今回、前回から地図に大きな変化があります。日本の緑が薄くなっているのが確認できると思いますが、日本の感染率が、前回の1.7から3.0に悪化しています。単一ファミリの感染数では、Win32/Taterfが最も多いのですが、そのほか、Win32/Hupigonがアジア圏を蔓延していたことが確認されています。そのほか、全体的に満遍なく、感染数が増えた印象があります。

これらのマルウェアの感染種別については、家庭と企業でも違いが出ており、以下のような状態となっています。

このようなデータ以外にも、最近の攻撃手法に関する考察、フィッシングや、スパムの状況などをまとめていますので、まずは、主要な調査結果(KeyFindings)をご覧ください。

最後に、日本は、今回感染率が、悪化したものの世界的に感染率の低い国には変わりなく、この低い理由を、IPA様の協力を得てベストプラクティス(最善策)としてまとめています。普段目にすることのない、いろいろな人の活動が少しだけ垣間見えるかもしれません。

Microsoft Security Essentials FAQ風まとめ

JSECTEAM — Wed, 07 Oct 2009 02:00:00 GMT

小野寺です。

Microsoft Security Essentials (MSE)を公開してから、このBlogにも多数のコメントを頂きました。
その中で、いくつかあった疑問・質問をここにFAQ風にまとめてみます。

Q Microsoft Security Essentialsをインストールするべきですか？
A ウイルス対策ソフトを使っていない、最新の(状態の)ウイルス対策ソフトでは無い場合はインストールする事を強よ～くお勧めします。

Q 今、ウイルス対策ソフトを使っています。切り替えるべきですか？
A 使っているウイルス対策ソフトが、最新(の状態)であれば、切り替える必要はありません。しかしながら、セキュリティセンターやアクションセンターから「対策ソフトが入っていない」旨のメッセージが出ている場合は、偽ウイルス対策ソフトを導入してしまっている可能性もあります。その場合は、Microsoft Security Essentialsを試してみることも検討してください。

Q Windows Defenderとの違いはなんですか？
A Windows Defenderは、スパイウェアと呼ばれる特定の脅威にのみ対応します。Microsoft Security Essentialsは、スパイウエアはもちろんですが、ウイルス等を含めた脅威全般に対応するため、Windows Defenderの機能を包含しています。

Q Microsoft Security Essentialsを利用していれば、Windows Defenderは不要ですか？
A はい。Windows Vista, Windows 7には、Windows Defenderが標準で組み込まれています。これらの環境では、Microsoft Security Essentialsをインストールすることで、Windows Defenderが自動的に無効となります。 Windows XPについては、Windows Defenderをアンインストールする事をお勧めします。

Q Microsoft Security Essentialsは、Windows XP でなぜ1GBものメモリを必要とするのですか？
A Microsoft Security EssentialsをWindows XPで動作させる場合に必要なメモリは、256MBとなります。~~近日中に~~1GBと記載されているサイトを更新~~予定です~~しました。

Q Window XP 64bit用のMicrosoft Security Essentialsはありますか？
A Window XP 64bit用のMicrosoft Security Essentialsは提供しておりません。64bit版は、Windows Vista以降のOSに対してのみ提供しています。

Q Microsoft Security Essentialsを導入した後、他のセキュリティ対策製品を導入することで、ウイルスに感染する可能性は低くなりますか？
A 複数のセキュリティ対策製品を同時に使うことで、各対策ソフトの強みが生かされる場合があります。しかし、多くの場合は複数のソフトを同時に使うことを前提としていないため、システムのパフォーマンスを損ない、場合によっては相性問題(競合問題)を起こす可能性があります。もし、その様な問題が発生した場合は、どちらか一方を選択する事をお勧めします。

Q Microsoft Security Essentials でグループポリシーの管理は可能ですか？
A いいえ。Microsoft Security Essentials では、グループポリシーの管理はできません。管理機能が必要なお客様は、Microsoft Forefrontシリーズをおすすめします。

Q 最新の定義情報の更新を知るにはどうすればいいですか？
A Microsoft Malware Protection Center のサイトで公開しています。更新情報は、RSSでもフィードしています。

無料のマルウェア(ウイルス)対策ソフト

JSECTEAM — Wed, 30 Sep 2009 03:45:00 GMT

小野寺です。

すでに一部で報道されておりますが、本日からMicrosoft製の無料のマルウェア(ウイルス、ワーム等)対策ソフトの提供を始めました。
以前に、Morro の開発コード名で公表し、Microsoft Security Essentials (MSE, マイクロソフトセキュリティエッセンシャルズ) と命名しました。
以下のサイトから、ダウンロードして使用することができます。
http://www.microsoft.com/security_essentials/?mkt=ja-jp

MSEは、基本的なマルウェア対策に機能を絞ってはいますが、マルウェア対策の機能は一切限定していません。いわゆる常駐監視型で、マルウェアの定義情報(パターンファイル)も、企業向けの対策製品であるForefrontと同様にフルセットの定義情報が提供されます。セキュリティインテリジェンスレポート (SIR) でも、ここ数回は世界で最も感染率の低い国との結果が出ていますが、最近の詐欺ウイルス対策ソフトや、脆弱なアプリケーションを通じた感染等、さまざまな要因で若干ですが、感染率が上昇傾向にあります。

このMicrosoft Security Essentialsによって、今までマルウェア対策ソフトの導入をためらっていた人や、期限切れの更新されていない対策ソフトを使い続けてしまっている人に、まず導入していただいて少しでも感染率を下げていきたいと思っています。　日本は、あまりにも感染率が低くて、犯罪者も狙わない国になれば最高なんですけどね。

ちなみに、MSE が使用できるOS環境は、以下の通りです。

Windows XP (Service Pack 2, Service Pack 3)
Windows Vista (初期出荷版:RTM, Service Pack 1, Service Pack 2)
Windows 7

一応、XP のService Pack 2　や、Vista のRTM, Service Pack 1にも導入可能ですが、セキュリティ更新プログラムの適用を考えると、最新のサービスパックをMSEを導入するついでに、ぜひインストールしてください。サービスパックやOSのバージョンが上がるにつれ、感染率が劇的に下がっていくこともデータに現れており、マルウェア対策のための重要な要素となっています。

導入や使いかたについては、Microsoft answers が役立つかもしれません。

Forefront Client Security (FCS) 体験版

JSECTEAM — Thu, 28 May 2009 04:53:00 GMT

小野寺です。

実は、Microsoftも、OneCare以外のセキュリティ対策製品を提供していたりします。 OneCareは個人向け、組織向けには、Forefront Client Security (FCS)を提供しています。
マルウェア対策の為のエンジンや定義ファイルの更新頻度が個人向けよりも細かかったり、全体監視・統合管理の機能で、パッチも含めた企業内の対策状況を可視化するなど企業向けの機能がついているのが、OneCareとの違いですね。

この辺りは、ご存じない方もいるような気もするので、FCSをとりあえず試してみる事ができるキャンペーンを始めてみました。以下のサイトから申し込んでいただくと、OS等も含めた体験版(評価版)一式と導入ガイド(自習書)がセットで送られてきます。
http://www.microsoft.com/japan/forefront/msbc/

ちなみに、Microsoftで行っているマルウェア対策の実績などは、半期毎にレポートにまとめて以下のサイトに公開しています。
http://www.microsoft.com/japan/security/contents/sir.mspx

余談ですが、Forefront Client Security (FCS)は、クライアント単体でも使う事もできます。

2009年5月のセキュリティ情報

JSECTEAM — Tue, 12 May 2009 22:11:00 GMT

小野寺です

2009年5月のセキュリティ情報は、事前通知からの変更はなく予定通り、計 1 件 (緊急 1 件)となります。
また、合わせて、セキュリティアドバイザリを 1 件更新しています。

セキュリティ情報 (新規):
概要情報、展開に関する情報、および脆弱性悪用指標(Exploitability Index)を、以下のサイトにまとめています。
http://www.microsoft.com/japan/technet/security/bulletin/ms09-may.mspx

毎月のリリースに合わせて提供している、ワンポイントセキュリティ情報は、以下のサイトと、このBlogでの公開を予定しています。
http://technet.microsoft.com/ja-jp/dd251169.aspx

MS09-017 (PowerPoint):
特別な細工が施されたPowerPointファイルを開くことで、リモートでコードが実行される可能性があります。
セキュリティアドバイザリ (969136) で、お知らせしていた脆弱性に対応したものとなります。いわゆる標的型攻撃ではありますが、悪用も確認されておりますので、速やかに適用することをお勧めします。

悪意のあるソフトウェアの削除ツール (MSRT):
今月は、Winwebsec と ~~FakePowav~~ に対応しています。どちらも、最近特に俗化を続ける、詐欺的ウイルス対策ソフトウェアの一種となります。

(2009/05/15: MSRTで対応したマルウェアを訂正しました)

2009年4月のセキュリティ情報

JSECTEAM — Wed, 15 Apr 2009 00:15:00 GMT

小野寺です

2009年4月のセキュリティ情報は、事前通知からの変更はなく予定通り、計 8 件 (緊急 5 件、重要 2 件, 警告 1 件)となります。
また、合わせて、セキュリティアドバイザリを 4 件更新しています。

セキュリティ情報 (新規):
概要情報、展開に関する情報、および脆弱性悪用指標(Exploitability Index)を、以下のサイトにまとめています。
http://www.microsoft.com/japan/technet/security/bulletin/ms09-apr.mspx

MS09-009 (Excel):
特別な細工が施されたExcelファイルを開くことで、リモートでコードが実行される可能性があります。
セキュリティアドバイザリ (968272) で、お知らせしていた脆弱性に対応したものとなります。いわゆる標的型攻撃ではありますが、悪用も確認されておりますので、速やかに適用することをお勧めします。

MS09-010 (Wordpad):
特別な細工が施されたいくつかの文書形式のファイルを開くことで、リモートでコードが実行される可能性があります。
セキュリティアドバイザリ (960906) で、お知らせしていた脆弱性に対応したものとなります。いわゆる標的型攻撃ではありますが、悪用も確認されておりますので、速やかに適用することをお勧めします。

MS09-011 (DirectShow):
特別な細工が施された MJPEG(MPEGではなく)形式の動画を開くことで、リモートでコードが実行される可能性があります。
現時点で、脆弱性の詳細、悪用コードは公開されておらず、悪用コードも不安定なものになりやすいと予測しています。

MS09-012 (MSDTC):
WindowsのコンポーネントであるMSDTC, WMI, RPCSS, ThreadPoolに対して特別な処理要求を行うことで、特権の昇格が発生する可能性があります。
セキュリティアドバイザリ (951306) で、お知らせしていた脆弱性に対応したものとなります。この脆弱性を悪用するには、攻撃対象のコンピューター上で、任意のプログラムを実行できる必要があり、通常であれば、システムへのログオン権限が必要です。Webサーバー等の場合は、一般に脆弱性のWebアプリケーションが動作しているなどの理由で、攻撃者が自由にサーバーにファイルをアップロードでき、アップロードしたファイルを任意に実行できるような場合もこの脆弱性が悪用可能です。悪用も確認されておりますので、適用することをお勧めします。

MS09-013 (WinHTTP):
WinHTTP使用して、悪意のあるHTTPサーバーと通信する場合に、リモートでコードが実行される可能性および、なりすましが可能となる可能性があります。
今回対応している３つの脆弱性のうち、CVE-2009-0550は、WinHTTP以外にWinINetと呼ばれるInternet Explorerの一部にも同じ脆弱性があるため、MS09-014(IE)で対応しています。

MS09-014 (IE):
基本的に、Webサイトを参照することで、リモートでコードが実行される可能性があります。
セキュリティアドバイザリ (953818) で、お知らせしていた脆弱性関連した対応もCVE-2008-2540として行っています。この対応については、現状では実質的な攻撃経路がなく、多層防御の一環で将来を見越して動作を変更していますが、今までと動作使用を変更することになるため、特定のレジストリキーを設定することで初めて有効となります。詳しくは、セキュリティ情報に記載しています。

MS09-015 (SearchPath):
セキュリティアドバイザリ (953818) でお知らせしていたApple 製 Safariの脆弱なバージョンを利用している場合に、リモートでコードが実行される可能性があります。
脆弱なバージョンのSafariと同様の動作をするアプリケーションがあり、特別な細工を施したデータとプログラムを特定のフォルダに置くことで、攻撃が可能性となります。多層防御の一環として、SetSearchPathMode というAPIを追加して、今後アプリケーションを開発するにあたり、意図しないファイル探査を抑制できるようにしています。

MS09-016 (ISA):
Webプロキシの機能部分が、不正なパケットを受信することでサービス拒否が発生する可能性があります。

悪意のあるソフトウェアの削除ツール (MSRT):
今月は、Waledac に対応しています。

セキュリティインテリジェンスレポート第6版(2008年下半期)

JSECTEAM — Thu, 09 Apr 2009 04:30:00 GMT

小野寺です。

2008年下半期の脆弱性やマルウェアの動向をまとめた、セキュリティインテリジェンスレポート (SIR) 第6版を公開しました。本レポートは、半期に一度公開しており、さまざまなデータを基に現在のセキュリティ動向を分析しています。最新のレポートは、以下のサイトから入手できます。要約版である、主要な調査結果の概要は、日本語でご覧いただけます。この種の研究者だけではなく、システム運用や開発にかかわる方にはぜひ、読んでいただきたい内容になっています。

マイクロソフトセキュリティインテリジェンスレポート
http://www.microsoft.com/japan/sir/

さて、恒例？の感染率で色分けした、世界地図から確認してみます。日本は、引き続き緑ですが、前回に比べて、幾つかの国で大きく感染率が下がっています。逆に急激に悪化した国もあります。この感染率は、悪意のあるソフトウェアの削除ツール(MSRT)を1000回実行した当たりのマルウェア削除件数 (CCM) です。

さて、日本は、マルウェアに感染しているかどうかという意味では、他の国に比べて感染率が低めなのですが、サーバー(またはクライアント)が侵害されマルウェアの配布元になっているかを調べてみるとどうなのでしょうか？日本も、マルウェアを配布してしまっている事が分かります。これは、不適切なWebアプリケーションへのSQL インジェクションだったり、Drive By Downloadによる侵害や、そもそも管理されていないWebサーバー(WindowsもOSSも)がそれなりあるのだと思います。もちろん、Webだけではなく、通常のクライアントがBot等に感染して配布しているケースも含まれています。

この辺の攻撃を受けてしまう環境は、繰り返しになりますが適切に管理されていない事が原因の一端だと思います。企業でのConfickerの感染もそうですが、多くはパッチ(セキュリティ更新プログラム)を適用していない場合が多いと思います。サービスパックやパッチを適用しないと本当に、感染しやすいかは、以下を見ていただくと分かりやすいと思います。上記の地図同様にCCMをOSとサービスパック毎に集計したデータです。当たり前かもしれませんが、新しい方がより被害にあいにくいと言えます。

この他、今回のレポートでは、詐欺的セキュリティソフト、Drive By Download、文書ファイル(OfficeとPDF)による攻撃等に多くのページを割いており、幾つか面白い発見があるかもしれません。
サーバーを立てている個人、管理者、ソフトウェアの開発者に方々には、現状の脅威に即した適切な管理と対応を切に願うばかりです。

ISP視点のセキュリティ

JSECTEAM — Tue, 10 Feb 2009 12:43:00 GMT

小野寺です。

前回紹介した株式会社インターネットイニシアティブ (IIJ) のInternet Infrastructure Review の第2版が公開されたようです。
http://www.iij.ad.jp/development/iir/

MS08-067についてIIJさんのお客様の事例が簡単に紹介されている。
また、フォーカスリサーチで、DNSのキャッシュポイゾニングについて、非常に丁寧で分かりやすい解説が行われており、一読することをお勧めしたい。

そのほかにも、興味深い内容がまとめられており、ソフトウェアベンダーとは、また違う視点があって読んでいて勉強になります。英語版を作ったら海外でも評価されるのではないかな・・・

セキュリティインテリジェンスレポート第5版

JSECTEAM — Tue, 04 Nov 2008 05:21:00 GMT

小野寺です。

2008年上半期の脆弱性やマルウェアの動向をまとめた、セキュリティインテリジェンスレポート (SIR) 第5版を公開しました。本レポートは、半期に一度公開しており、さまざまなデータを基に現在のセキュリティ動向を分析しています。最新のレポートは、以下のサイトから入手できます。要約版である、主要な調査結果の概要は、日本語でご覧いただけます。この種の研究者だけではなく、システム運用や開発にかかわる方にはぜひ、読んでいただきたい内容になっています。

マイクロソフトセキュリティインテリジェンスレポート
http://www.microsoft.com/japan/security/sir.mspx

幾つか、特徴がありますが、まずあげると、今回も、日本が突出して安全であることがあげられます。とはいえ油断はできず、世界的に悪意のあるソフトウェアの削除ツール(MSRT)を1000回実行した当たりのマルウェア削除件数 (CCM)が増加の傾向にあります。これは、最近のダウンロード型マルウェアの増加や、サードパーティソフトウェアへの攻撃増加が一因にあるようです。

また、以前から脆弱性や攻撃の対象が、OSから、アプリケーションに移っているといわれて久しいですが、Windows XPとWindows Vistaでも違いがでています。Windows XPでは、Microsoft由来の脆弱性が42%ですが、Windows Vistaでは、Microsoft由来の脆弱性は6%となっており、アプリケーション側の脆弱性への対応の必要性がより顕著になっています。

これらの情報は、世界中のデータをまとめたものですが、日本のデータに絞ったものも、近いうちに公開したいと思います。

日本のセキュリティチーム (Japan Security Team) : SIR

セキュリティ インテリジェンス レポート 第7版(2009年上半期)

Microsoft Security Essentials FAQ風まとめ

無料のマルウェア(ウイルス)対策ソフト

Forefront Client Security (FCS) 体験版

2009年5月のセキュリティ情報

2009年4月のセキュリティ情報

セキュリティ インテリジェンス レポート 第6版(2008年下半期)

ISP視点のセキュリティ

セキュリティ インテリジェンス レポート 第5版

セキュリティインテリジェンスレポート第7版(2009年上半期)

セキュリティインテリジェンスレポート第6版(2008年下半期)

セキュリティインテリジェンスレポート第5版