ホワイトリストのハードル

前回、「ホワイトリストは育てていくもの」と題して、ハミングヘッズ社のホワイトリスト型セキュリティソフト Defense Platform (DeP) について述べましたが、その最後の部分で述べた「API ホワイトリスト方式のとてつもないハードル」について、書きたいと思います。

ホワイトリストにもレベルがあり、DeP は上層のアプリケーションレベルだけでなく、 API レベルでのホワイトリストが可能である、と示しました。この方法こそが、巧妙なマルウェアをも本当に阻止できる、おそらく今日では唯一の方法だろうと考えます。

７年ほど前。ハミングヘッズ社と同時期に、同じ方式にチャレンジした米国の会社がありました。しかし、そのプロジェクトは途中で打ち切りになりました。気が遠くなるようなハードルがあったからです。しかも、２つも。

１つは、API レベルで監視することの開発量の膨大さです。アプリケーションレベルでのホワイトリスト化はさほど難しいものではありません。しかし API レベルでホワイトリストを作成するとなると、いったいどれだけの監視ルーチンを組み込む必要が生じるか。なおかつ、それらを組み合わせてジャッジできるアルゴリズムも必要になります。これは、比較的短期に結論を求められる米国の会社においては「理論上は理想的と言えても、現実的ではない」と判断されたのだと思います。

さらに、決定的に、この方法が困難な点は...　仮に製品化に成功したとしても、その後のメンテナンスのヘビーさです。なぜならば、API の仕様は OS なら OS の、メジャーなアプリならそのアプリのバージョンアップなどにおいて、修正、進化していきます。API ホワイトリストの場合、その変化に追随していかなければなりません。この作業をこなしていくにはいったい何人のエンジニアを投入する必要があるのか？これは決定的なネガティブ要素でした。

ところが、ハミングヘッズ社は、20年前から電力会社向けに「情報漏洩対策ソフト」を開発提供しており、その当時から、機能テストを自動化する仕組みを試みていました。そのノウハウを使い、API ホワイトリスト製品においても、API との整合性を常に自動評価するシステムを構築したのです。今日では計5,000台のマシン（仮想マシン含む）をグリッド構成し、１日に90万項目もの整合性評価テストを自動で行っているのです。

例えば Windows OS のマイナーアップデート、Google アプリのアップデートなど、何が起きても即座に自動評価し、必要に応じて Defense Platform もアップデートされます。そしてそれはリアルタイムにユーザ側にインストールされている実行モジュールに反映され、ゆえに、まったくつけ入るスキの無い体制を実現しています。

これが、「唯一無二の存在である理由」です。

旧来の「ウイルス定義型方式」から脱却して、時代に即した「ホワイトリスト方式」を広めるべく、無償版が配布されています。（無償版の制約は登録できるホワイトリスト項目が 1,000個までに限定されているだけで、あとはフル機能を使えます）

無償版は下記からダウンロードできます：
https://www.act2.com/dep

インストールして使い始めると、最初のころは、動きを止めるアラートが頻繁に出てきます。しかしいったんホワイトリストに登録してしまえば、次からは止めようとしません。ですから、しばらくの間は根気よく「ホワイトリストを、あなた仕様に、育てる、鍛える」ことです。使えば使うほど、精度の高いホワイトリストが出来上がっていきます。

最初は少しとまどうかもしれませんが、よく考えてみれば、これが正しいことがよくわかります。「実行しても良い行為だけを許可し、それ以外は実行させない」ゼロデイアタックを確実に止めるにはおそらくこれしかないでしょう。


さて、話はすこしそれますが、当然、仮想マシンでも使うことができます。
Mac で Windows を使っているユーザさんには特におすすめです。

「ホワイトリストに登録されている動作しか許可しない」
Windows を使う目的がはっきりしている場合には特に安心です。
OS のアップデートをするのが遅くなってもウイルスやサイバー攻撃の被害に会うことはありません。

現実の世の中も、実はホワイトリスト型で動いています。
ブラックリストと照らし合わせて来客を招き入れる会社などありませんよね。
エアラインのレセプションカウンタもブラックリストと照らし合わせて搭乗券を発行しませんよね。
すべて、「OKが出ているかどうか」で判断されています。
PCもまたそうあるべきでしょう。

コンピュータウイルスが初めて登場したころは「ブラックリスト方式」で良かったのです。しかし状況は変わっていきます。今は「ブラックリスト方式」では被害を止められない時代に、我々はいるのです。

20200211
- k