海外における個人情報流出事件とその対応　第174回 大規模と小規模組織のウェブサイト　危ないのはどちら？　(2)リアルタイムな対策でマルウェア被害を防ぐ

●対応が遅れがちな小規模サイト

一方、小規模サイトの感染については、1月にセキュリティサイトの『The Register』が報告している。Scan Safeがブロックした悪意あるコードのトラフィックの15％が、数百件のウェブサイトからで、共通点として小規模な組織のものであったことが指摘された。

記事を受け、『The Register』には、小規模サイトということで、安価なホスティングシェアサービスや、適切なライセンスを持たないウェブホストの再販パッケージを使用していたのではないかとの意見が寄せられた。

興味深いことに、McAfeeの中井一三広報部マネージャによると、2001年に利用ができるようになった個人名ドメイン".name"は、企業や政府サイトよりも危険だという。McAfee SiteAdvisorの判定によると、赤または黄に判定されたサイトの率は、.infoが11.73%、.net:6.78%、.name:6.07%、.com:5.26%、.biz:4.67%、.org:2.32%、.edu:0.44%、.gov:0.05%で、政府機関などが比較的、安全なようだ。

遡って、昨年7月に『SC Magazine』がウェブサイト感染の急増について報告した際にも、Sophosのロン・オブライアンは「多くは正規の小規模ウェブサイトだ」とコメントしている。

単純に安価なパッケージを利用していることが原因とは言えないだろう。それでも、IT部門がしっかりしていて、自分たちのウェブサイトの管理にも、最新のセキュリティを導入して、厳しい目を光らせることができる大規模な組織とは異なり、確かに規模が小さい場合は攻撃に対しても脆弱だという印象がある。

サイバー犯罪者は、ExplorerやApache、QuickTime、Flash、JavaScriptなど、人気のソフトウェアの脆弱性を悪用して、継続的に攻撃を仕掛けてくる。サイト運営側は、ウェブサイトにマルウェアが仕掛けられないように、パッチが発表されると、必ずすぐに対応する必要がある。

このように防御を固めるには、小規模な組織では十分でないことが多いのも不思議はない。小規模組織のほうが危険だという理論は成り立つかもしれない。

●危ないのは大規模組織？

実際には、規模の大きな組織のサイトと、小規模で、家族運営や個人で運営するような会社のウェブサイトのどちらが危険なのだろう。ウェブセンスのEMEA（欧州・中東・アフリカ）およびAPAC（アジア太平洋地域）を担当するマーク・マーター・テクニカルディレクターは、「大きなサイトのほうが被害を受けた数は多い」と話す。例として、Websenseの研究所が、評判の高いMSN Korea、MSNBC、Habbo ホテル、中国銀行なども攻撃を受けたことを確認していることを挙げる。

そして、広く名前が知られるような組織のサイトが狙われる理由として、「通常、アクセスするユーザ数が多数にのぼるため、マルウェア拡散の可能性も大きい」ためと説明する。1件のウェブサイトを攻撃することで、労少なくして、大きな効果が期待できることは、攻撃側に魅力だ。

無名で、アクセス数が少ないようなサイトだと、マルウェアを仕掛けても、感染させることができるユーザ数は大した数にはならない。頑強なセキュリティが装備されておらず、またウェブを改ざんされているという状況に気付くのが遅れたり、気付いてもすぐに対処ができないとしても、アクセスが多いウェブサイトにたった数日、マルウェアを仕掛けただけで感染させることができるPCの数とは比較にならない。

さらに最近のセキュリティ技術では、"評判に基づいたスコアシステム"を利用していることが多いという。安全でない、悪意のあるコードが仕掛けられているというトラッキング記録のある、特定ウェブサイトへのアクセスを止めるというものだ。大きな組織のウェブサイトは一般的に評判がよく、また常にコンテンツを届けているオンラインになっている。これらの事実を考えると、エンドユーザに接触することができる確率は非常に高い。攻撃者が利用しようと考えるのも当然だろう。

ウェブサイトを通してのマルウェアへの感染が激増している現在、ユーザ側がマシンにパッチを行い、かつウィルスソフトなどで防御を固めるほか、サイト運営側も改ざんの被害を受けないように努力がますます求められてきている。顧客がサイトにアクセスすることで、マルウェアに感染するような事態になれば、イメージの失墜にもつながる。あるいは被害を受けたことで、顧客を失う可能性もあるだろう。

Websenseのマーターは…

【執筆：バンクーバー新報 西川桂子】

【関連記事】
海外における個人情報流出事件とその対応
第174回 大規模と小規模組織のウェブサイト　危ないのはどちら？
(1)繰り返されるウェブサイト改ざんによる被害
https://www.netsecurity.ne.jp/2_11748.html
-----
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec