近年になり、メディアなどで「サイバー攻撃」や「脆弱性」というワードをよく耳にするのではないでしょうか。聞いたことはあるけど、具体的にはよくわからない、、そんな人も多いと思います。情報化時代の中で脆弱性と正しく向き合うために何が必要なのかをご紹介します。
脆弱性とは？
脆弱性（ぜいじゃくせい）とは、コンピュータのOSやソフトウェアにおいて、プログラムの不具合や設計上のミスが原因となって発生した情報セキュリティ上の欠陥のことです。セキュリティホール(バグ)とも呼ばれたりしています。脆弱性が残された状態でコンピュータを利用していると、不正アクセスに利用されたり、ウイルスに感染したりする危険性があるので注意が必要です。
このような脆弱性が発見されると、多くの場合、ソフトウェアを開発したメーカーが更新プログラムを作成して提供します。しかし、脆弱性は完全に対策を施すことが困難であり、次々と新たな脆弱性が発見されているのが現状です。
もし脆弱性が見つかった場合、早急に対策を取りましょう。脆弱性を放置してしまうと、悪意のある第三者が脆弱性を巧みに利用し、本来できないはずの操作を行ったり、見られてはいけない情報が漏洩するなどの不具合が発生する恐れがあります。さらにマルウェアに感染したり、不正アクセスを許してしまう状態になるので、脆弱性を見つけ次第すぐに対処して下さい。
脅威とは？
脆弱性の説明をしましたが、脆弱性が存在するだけでは被害は生じません。脆弱性に加えて、これを脅かす事象があることで、はじめてリスクとなります。その「脅かす事象」は「脅威」と呼ばれ、何かしらの危険・被害をもたらします。例えば情報セキュリティの場合でいうと、ハッキングなど外部からのサイバー攻撃、持ち出しによる内部不正などが、脅威の一例と言えます。
ソフトウェアの脆弱性
WebブラウザやOfficeなどのソフトウェアやOSには、潜在的不具合や時間の経過によって発生した不具合が発見されることがあります。悪意あるメールの多くは、この不具合を利用したものです。メールを開封したりWebサイトを閲覧したりすることによりマルウェアに感染し、PCが使えなくなる、別のPCへ感染を広げるなどの現象が起こります。
脆弱性を悪用するサイバー攻撃
大規模なセキュリティ事故をきっかけにして脆弱性が明らかになる場合も少なくありません。
ゼロデイ攻撃
未知の（まだ知られていない）脆弱性を利用した攻撃のことです。一般的なソフトウェアやシステムの場合、脆弱性が発覚すれば開発元がパッチやアップデートを配布します。しかし、ゼロデイ攻撃は脆弱性対策が講じられる前に、その脆弱性につけ込んで攻撃します。開発元にとって、想定外の攻撃のため、それらへの対策は非常に難しいとされています。
バックドア
バックドアとは、裏口のことを指します。ユーザーの見えないところに外部への通信経路を設けて攻撃を行います。ソフトウェアの設計段階で検証目的として設けたバックドアが放置され、そのままリリースに至って後々、それらが脆弱性となってしまうこともあります。
マルウェア（ウイルス、トロイの木馬など）
コンピューターがマルウェアに感染することで、ユーザーに対してさまざまな悪影響を及ぼします。マルウェアは多くの場合、攻撃者が何かしら利益を得るために生み出されます。増殖して他のコンピューターに感染を広げることで、攻撃者は何かしらの見返りを得ているケースも数多く報告されています。このようなマルウェア攻撃は、多くの場合、OSやソフトウェアの脆弱性を巧みに利用します。
対策方法
日頃からパソコンで使われているOSやインストールされているソフトウェアのバージョンを把握しておきましょう。たとえば、Windowsの場合には、サービスパックやWindows Updateによって、それまでに発見された脆弱性を塞ぐことができます。ただし、一度脆弱性を塞いでも、また新たな脆弱性が発見される可能性があるため、常にOSやソフトウェアの更新情報を収集して、できる限り迅速にアップデートを行わなければなりません。
ここまで脆弱性についてご紹介しましたが、システムには脆弱性がつきものであり、運用を始めてしばらくたってから発見される脆弱性も珍しくありません。そして、脆弱性を悪用して企業を攻撃するサイバーテロリストは常にターゲットを探しており、新しい攻撃方法を生み出します。情報セキュリティ担当者にとって大きな負担になるだけでなく、コストもかかるため、企業にとって必要な情報セキュリティサービスを検討するのもおすすめです。
情報セキュリティサービスはACNまで＞＞
