コンピュータウィルスと脆弱性 情報社会と情報倫理 第13回

始 め に 自分でパソコンを持っていたら 今日，話す内容に注意しないといけない ほっておくと，どのようなことになるのか

コンピュータウィルス対策入門 ウィルス対策スクール（IPA） コンピュータウィルスとは どのようなことが起きるのか 対策は 事後処置は 届け出

画像ファイルだと思って，ダブルクリックする ウィルスはプログラム だから，実行しなければ大丈夫！？ 何とかして，実行させようとする仕掛け WordやExcelのデータ 実はプログラムが含まれる場合がある 開いただけでアウト 画像データ お宝画像.jpg　　　　　　　　　　　　.exe 拡張子を偽装 画像ファイルだと思って，ダブルクリックする 空白が含まれるファイル名

感 染 経 路 （１） プログラムの持ち込み USBメモリなど メールの添付ファイル インターネットのサイトからダウンロード・実行させる （ＩＰＡ） プログラムの持ち込み USBメモリなど メールの添付ファイル インターネットのサイトからダウンロード・実行させる 「 新型インフルエンザの注意喚起に便乗したコンピュータウイルスに注意！ 」 ― 情報の信憑性を確かめよう ― （IPA）

感 染 経 路 （２） 流行のサービスを狙った攻撃に注意！ http://www.ipa.go.jp/security/txt/2010/05outline.html Twitterでうっかりフォローすると…

実行するとどうなるか（１） 変なことが起きる ファイルが削除される ファイルをインターネットに送りだす などなど… しばらく経過してからの場合も 一見，何も起きていないようなことも

実行するとどうなるか（２） 他に広がろうとする USBメモリが接続されると，それにコピーする アドレス帳に登録されているメイルアドレスあてに，添付ファイルとして送る などなど… いろいろな種類・被害がある 最近はマルウェアと呼ぶことがある

ワクチンソフト（１） ウィルスを検出し，対処するソフト これを（最新の状態で）使っていれば大丈夫？ すべてのウィルスに対応できるかどうかは？ ワクチンソフトにはいろいろある

ワクチンソフト（２） 新種が出現 新種への対応が間に合わない場合がある

起　源 コンピュータウイルスの歴史。それは1972年から始まった http://www.watch.impress.co.jp/broadband/news/2001/12/07/virus.htm 正しくは1986年というべき（別の説もあり）

脆弱性とは何か それを放置するとどうなるか ソフトウェアの脆弱性 脆弱性とは何か それを放置するとどうなるか

外部からログインされているのと同じ状態になりうる ソフトウェアの脆弱性 原因 設計ミス・プログラミングミス　など 脆弱性とは 簡単に言えば，“欠陥” “情報漏えい”などシステムの安全な運用を脅かす原因になるもの パスワードなしでログイン状態になる，など ソフトだけでなく，ハードの脆弱性もある つまり，インターネットに接続していると 外部からログインされているのと同じ状態になりうる

脆弱性の情報 いろいろなサイトで情報が公開される 開発者のサイト セキュリティ関連企業 公的機関 IPA 警察庁 など ニュースサイト（上記の情報の報道）

対 策（１） 脆弱性情報で指示される修正プログラムを入手し，適用する 修正ではなく，新しいものに置き換える場合もある（バージョンアップ） 対　策（１） 脆弱性情報で指示される修正プログラムを入手し，適用する 修正ではなく，新しいものに置き換える場合もある（バージョンアップ） 利用中の他のアプリケーションとの関係で，これらを実施できないことがある

対　策（２） 例　マイクロソフト Windows Update

対 策（３） 修正プログラムなどが提供されていない場合もある “使用上の注意”で対応 “信頼のおけないサイトにアクセスしない” 対　策（３） 修正プログラムなどが提供されていない場合もある “使用上の注意”で対応 “信頼のおけないサイトにアクセスしない” 脆弱性を狙った攻撃を受ける可能性 “信頼のおけるサイト”でも危ない場合がある 乗っ取られている場合がある

対 策（４） 使用しているすべてのソフトウェアに対して対策をする インストールしたことを忘れていることがある おまけのソフト 対　策（４） 使用しているすべてのソフトウェアに対して対策をする インストールしたことを忘れていることがある おまけのソフト 意識せずに使っている かなりの注意が必要

対　策（５） このような報告がある ソフトウェアパッチは年平均75本、4.8日ごとに導入が必要――Secunia調べ http://www.itmedia.co.jp/news/articles/1003/05/news020.html 実際にはどうか？ただし，ゼロではないことは間違いない

し か し そもそも“脆弱性”という言葉すら知らない その情報が提供されていることを知らない ということがないように！

ゼロデイアタック 修正プログラムなどの提供前に，脆弱性をねらった攻撃が行われること 脆弱性をつくウィルスなど 直接，防ぎようがない 間接的に防ぐことが可能な場合もある

脆弱性の放置（１） 自分のパソコンには，重要な情報はない だから，脆弱性があってもかまわない

脆弱性の放置（２） パソコンを乗っ取られる場合がある ボット（bot） ネットワーク経由で外部の者の指示通りに命令を実行する spamの送信（CENT Japan） Webサーバなどへの攻撃 ボットを集めたボットネット 闇市場で貸し出されていたりするらしい

脆弱性の放置（３） つまり，他人に危害を加える可能性がある 自分だけの問題ではない 加害者になっていることが分からない 乗っ取られたことが，はっきり分からない（ようになっている）

脆弱性の放置（４） 「インターネット接続するコンピュータは，39秒ごとに攻撃を受けている」，米調査 http://itpro.nikkeibp.co.jp/article/NEWS/20070207/261293/ 全部が脆弱性をねらったものではない 脆弱なPCの生存時間は約4分 http://www.itmedia.co.jp/news/articles/0807/15/news029.html 誇張がある

脆弱性の放置（５） これらのコンピュータなどから， アクセスされる必要がないのに， アクセスされている 私の自宅での例

まとめ：ウィルスと脆弱性（１） ウィルスは，いろいろな手段でやってくる プログラムであり，実行することにより，いろいろなトラブルが発生する 何とかして実行させようとする仕掛け 他に拡散しようとする 対策には，ワクチンソフトが有効であるが，万能ではない

まとめ：ウィルスと脆弱性（２） 脆弱性とは，簡単に言えば，ソフトの欠陥 外部からそれを利用して，ログインしているのと同じような状態になることが可能 ファイルへのアクセス（読み書き） プログラムの実行 など 自分が加害者になることもある ボット

まとめ：ウィルスと脆弱性（３） 対策は，脆弱性に関する情報を把握し，適切に対応する ソフトの更新 ただし，ウィルスや脆弱性に対する完全な対策はない “外部との関係を完全に断つ”

まとめ：ウィルスと脆弱性（４） 基本原則 怪しげなメールを開かない 怪しげなサイトを避ける など 情報収集と対策実行 どのようなものが“怪しい”のか見分ける判断力

人 の 脆 弱 性

人の脆弱性（１） 例 パスワード 簡単なもの 推測されやすいもの メモして他人に見られそうなところに貼る

人の脆弱性（２） ソーシャルエンジニアリング 人間に隙をついて，情報を不正に得る 上司を装い，社員のパスワードを聞き出す 銀行員を装い，暗証番号を聞き出す 振り込め詐欺