ラック コンピュータセキュリティ研究所 小笠原 恒雄

 インターネット環境では、悪意のあるWebサイト*1によるウイルス感染などがここ1、2年で急増している。そこでセキュリティ・ソフト・ベンダーの多くは、悪意のあるWebサイトへのアクセスをブロックするためにWebレピュテーションをセキュリティソフトに標準で搭載した。

 Webレピュテーションの基本的な動きは、前回紹介した。ドメイン名やIPアドレスなどの情報から、アクセス先の怪しさを判定する技術である。

 今回は、Webからの脅威のなかで2008年以降に増えている「Fast-Flux」と呼ばれる攻撃手法と、そのFast-FluxがWebレピュテーションに与える影響を紹介する。そしてセキュリティ・ソフト・ベンダーがFast-Fluxといった新しい攻撃にも対応できるように情報収集を工夫している点にも触れる。最後に、Webレピュテーションが応用されている例をいくつか取り上げる。パターンマッチング*2やヒューリスティック*3といったウイルス検知技術を補完するだけでなく、それらに取って代わるものとして注目を集めるWebレピュテーションを詳しく見ていこう。

サーバーを隠して時間稼ぎする

 攻撃者は、悪意のあるWebサイトが見つからないように工夫している。攻撃用のサーバーを見つかりにくくして、なるべく長い期間そのサーバーを利用したいと考えているからだ。サーバーの存在が公になると、各セキュリティソフトがアクセスを制限し、さらにセキュリティ・ソフト・ベンダーなどが、サーバーを接続しているインターネット接続事業者などに働きかけて、アクセスを遮断するといった対策を講じてしまう。

 最近では、高度なテクニックを使ってサーバーを隠す攻撃手法が登場している。その一つが、Fast-Fluxである。

 Fast-Fluxは、複数台のコンピュータを使ってサーバーを隠す攻撃手法だ。多くの場合、別の攻撃者がウイルスを感染させるなどして外部から自由に操作できるようにした、一般ユーザーのコンピュータを使う。これをボットと呼び、それらで構成されるネットワークをボットネットという。

 Fast-Fluxでは、攻撃者がDNSサーバーと複数台のプロキシサーバーを用意する(図1)。このプロキシサーバーは、悪意のあるWebサイトの代理サーバーとして働くように設定されている(図1のプロキシA~C)。つまり、このプロキシサーバーにアクセスすると悪意のあるWebサイトと同様のアクセス結果をもたらすようになっている。

図1●IPアドレスが頻繁に変わるFast-Flux
悪意のあるWebサイトの発見とその対策を遅らせる攻撃手法。攻撃者がプロキシを複数用意して、DNSサーバーが問い合わせるたびに異なるプロキシのIPアドレスを返答する。ここでは、スパムメールから誘導される例を示した。
[画像のクリックで拡大表示]

 DNSサーバーは、悪意のあるWebサイトに誘導するためのドメイン名を名前解決する。具体的には、特定のドメイン名の問い合わせがくると、複数台あるプロキシサーバーのなかから選んだ一つのIPアドレスを答える。このとき、答えるプロキシサーバーは、問い合わせのタイミングによって変わるように設定しておく。この仕組みは、特殊な運用方法ではない。一つのドメイン名を複数のサーバーで運用して負荷分散する、DNSラウンドロビンと呼ぶ一般的なものだ。

 攻撃者はこのようなボットネットを用意すると、DNSサーバーで設定したドメイン名へのリンクをスパムメールや掲示板などに載せる(図1の(1))。ユーザーはこのリンクをうっかりクリックしてしまう(同(2))。すると、OSがドメイン名(図1ではattack.example.com)を名前解決するために、DNSサーバーに問い合わせる(同(3))。そして、攻撃者が用意したDNSサーバーにたどりつくと、そのDNSサーバーは複数あるプロキシのIPアドレスのなかの一つのアドレス(図ではプロキシAの「aaa.aaa.aaa.aaa」)を答える(同(4))。ユーザーのコンピュータはそのIPアドレスを受け取ると、WebブラウザーでそのIPアドレスにアクセスする(同(5))。このアクセスによって、ユーザーはプロキシを通じて、悪意のあるWebサイトの被害に遭ってしまう。

 図1では、Fast-Fluxに三つのプロキシサーバーを使用する例を示した。しかし、実際にはもっと多くのプロキシを使用することがある。また、ドメイン名やプロキシを入れ替えることもある。そのため、プロキシの先にある悪意のあるWebサイトが見つかりにくくなる。

この先は会員の登録が必要です。有料会員(月額プラン)は初月無料!

日経 xTECHには有料記事(有料会員向けまたは定期購読者向け)、無料記事(登録会員向け)、フリー記事(誰でも閲覧可能)があります。有料記事でも、登録会員向け配信期間は登録会員への登録が必要な場合があります。有料会員と登録会員に関するFAQはこちら