ホワイトリストは育てていくもの

ウイルス定義型のアンチウイルスソフトには、たぶん、もう未来はないだろう...

なにしろ、マイクロソフト社が「ウイルス駆除は Windows OS に搭載されている Windows Defender で十分。サードパーティ製のアンチウイルスは入れないでほしい」とまで公言してしまったのだから。

ただ、問題は残る。

Windows Defender もまた「ウイルス定義型のアンチウイルスソフト」であり、したがって、"ゼロデイアタック" には効力が無い。

コンピュータウイルスというものが登場した昔は、その方法でよかった。

しかし、毎日毎日、35万個の新しいコンピュータウイルスが誕生している今日、それらを解析し、ウイルス定義ファイルに追加し、配布し...

この方法では追いつけるわけがない。

日々新しいウイルス、攻撃が発生する中で、コンピュータを守るには、逆の発想、つまり「ホワイトリスト型」しか手がないと思われる。

ホワイトリスト型とは、「悪いものを見つけて止める」のではなく「正しいと定義されているもの以外はすべて止める」という方法だ。

これが基本的なエッセンスなのだが、問題もある。それは「ホワイトリストの精度」である。

我々がこれを発表した 2014 年当時は、「ホワイトリスト」という言葉さえまだ耳慣れないものだった。

しかし、昨今では、我々だけでなく、他社もこぞって「ホワイトリスト型」を唱い出した。

やっと... 「ホワイトリストとは何か」という啓蒙活動をしなくてもよいところへ近づいてきた。

やっと... 本来の性能の勝負を主張すべき時が来た。

一口に「ホワイトリスト」と言っても、各社、千差万別である。

が、ほとんどは、アプリケーションレベルでのホワイトリストでしかない。

単純な例を挙げれば、Outlook, Word, Excel, Chrome browser... というように、アプリケーションのホワイトリストを作成するタイプが多い。

しかし、昨今のマルウェア（ウイルス等）は巧妙だ。

それらのアプリケーションに "寄生して" 悪さをするマルウェアで溢れている。
アプリケーション層だけでのホワイトリストは彼らにとってはなんの驚異でもない。

我々が提供しているハミングヘッズ社のホワイトリスト製品（ディフェンスプラットフォーム）は、アプリケーション層だけでなく、さらに深いところ（API (Application Programming Interface)) にまで掘り下げてホワイトリスト化を実現している。

また、H4E と名付けらた機能が "コマンドレベルでの動作" を監視している。
時々、「それはふるまい検知ではないのか」と尋ねられることがあるが、H4E はふるまい検知ではない。そもそも、ふるまい検知自体がパターンマッチングではないか。

H4E は一種の AI と呼んだほうが正しい。とても特殊なアルゴリズムだ。

いずれにしても、

ひとつ、大切なことがある。それは、

「ホワイトリストは育てていくもの」「鍛えていくもの」ということである。

スタート時点で、完璧なホワイトリストを作成することは容易ではない。

ディフェンスプラットフォームの場合、検知モードというモードがあり、一定期間（例えば１週間とか２週間とか）履歴取得だけの活動をする。
その履歴からまずベースとなるホワイトリストを作成する。

そして、本稼働に入る。検知モードの期間内に実行されなかった正しいプロセスもアラートの対象になる。そうした場合、それをホワイトリストに追加してやる。

マルウェアなどは完全にアラート対象になる。今、この瞬間に発生して解析されていない段階であっても。なぜならそれはホワイトリストには登録されていないのだから。

いかにも怪しい動きはブラックリストに入れて永遠に葬ればいい。

マルウェア状況は日々刻々と変わっていく。
だから、終わりのない戦いなのかもしれない。

こうして、「ホワイトリストを育てる、鍛える」という考え方が必要だ。

もちろん、サーバのように、実行されるプロセスが確定していてそれ以外はあり得ないような場合は、ホワイトリストの完成もすばやい。

そう。サーバーにこそ、ホワイトリストを入れるべきだろう。

ディフェンスプラットフォームのビジネスエディションが最近よく売れるのは、こうした認識が徐々に広まりつつある証だと思う。

ところで、

この方法には１つ、とてつもなく大きなハードルがある。だから、競合製品が出てこない。

それについては、次回、記載したいと思います。

2020/02/09
- k
(EOF)

DAY 022 - アドウェアの悩み

"アドウェア" という言葉があります。ご存知の方も多いと思いますが、勝手にバンバン広告を出してくるプログラムで、これを一種のウイルスであるとする人も多いです。少なくとも "マルウェア" の一種と言っても間違いではないと私も思います。

問題は、これに感染された時の「うっとうしさ」です。

広告がバンバン出てくること自体もうっとうしいですが、そのプログラムを除去することがなかなか面倒だったりします。

当社のパートナーである Intego 社は、社内外での討議の結果、「アドウェアをウイルスの一種とは定義せず、駆除の対象としない」というポリシーです。

たしかにアドウェアはうっとうしいだけで特別何か悪さをするわけではありません。ロジカルには Intego 社の判断は間違っていないと思います。

それでも、うっとうしいものは削除したいものですよね。

私の個人的経験では、こんなことがありました。

半年ほど前、Google が YouTube の URL を判断するアルゴリズムを変更したため、時々使っていたダウンロードソフトウェアではダウンロードできない動画が多く出てきました。
本来、著作権の観点から YouTube 動画をダウンロードするという行為はグレーゾーンなので、強い主張はできないですが、「これはダウンロードして保存したい」と思ってしまうのが人情というもの。

そこで、私は、フリー（ただ）でサーバ側で処理してダウンロードしてくれるサイトを使いました。たぶん、そのサイトの仕組みです。その瞬間から広告が勝手にどんどん出始めました。アドウェアを仕込まれてしまったのです。

「めんどくせ〜」と嘆きながら、どこに送りこまれたのか、探した結果、意外とあっさりわかりました。Google Chrome ブラウザの拡張機能の１つとして組み込まれていました。ですので、それを削除しただけで解決しました。

それにしても、「あ、やられた」と気づいた瞬間のいやな感触は、思い返してもやっぱり「かなりうっとうしい」です。

みなさんも気を付けてくださいね。

2020/01/22
- k

DAY 014 - 風邪と花粉症と

みなさま
この時期、つらくないでしょうか？
私はこの数日、風邪か、もしくはひょっとして花粉症が来たか？？

と思っていたら、

どうもその両方のようでした。

春に向かっている証拠でもあるのですが、

どうか、みなさま、ご自愛くださいますように。。

2020/02/24 MON
- k

DAY 010 - eDrive も最新OSに作り直しておこう

TechTool Pro の eDrive 機能。

外付け HD から起動することなく、メインドライブを "フルメンテナンス" できる人気の機能ですよね。

でも、一つ大切なことを忘れないようにしましょう。
それは、eDrive 自体のアップデートです。

Mac OS をアップグレードやアップデートした時。
それから、TechTool Pro 自体をアップグレードやアップデートした時。

これらの時は、eDrive を作り直しましょう。

その理由は単純で、

例えば、
最近、ファイルシステムが HFSF+ から APFS（これらについては次の機会に）　に変わりました。

さて、eDrive は、それを作成した時点の OS を元に出来上がっています。

従って、古い OS で作成された eDrive から起動を試みても、アップデートされた新しいファイルシステム（APFS）のドライブを認識することができません。

常に本体の OS を元にした eDrive にしておく必要があるわけです。

このことは、TechTool Pro 自体についても同じことが言えます。APFS をまだ知らないバージョンが含まれた eDrive では APFS ボリュームを認識できませんものね。

eDrive を作り直すのは簡単です。

１）既存 eDrive を削除：
"ツール" の "eDrive" を選択します。
すでに eDrive が存在する場合は "eDrive の削除" というボタンがウインドウ左下でクリック可能な状態になっていますので、まずそれをクリックして既存の eDrive を削除します。（この時、eDrive 用に切られたパーティション自体も自動的に削除されます）
約１分もかからずその処理は完了します。

２）新しい eDrive の作成：
eDrive の削除が完了すると、今度は、"eDrive の作成" ボタンがクリックできる状態になっています。
これをクリックします。設定画面が出ますがデフォルト（そのまま）で "GO" で OK です。数分でこの作業は完了します。


あとは再起動の際に option キーを押していれば、起動に使うボリュームを選択する画面が現れ、そこに eDrive がありますので、eDrive を選択すれば、正しく全てを認識して起動し、その後、eDrive から eDrive 内にある TechTool Pro を起動して、
いつも使っているメインディスクのフルテストを実行
することができるわけです。

これらについては FAQ でさらに詳細に説明してありますので、興味のある方はご参考になさってください。

eDrive に関する FAQ

今日は、意外と知られていない eDrive 自体のメンテナンスの必要性についてでした。

2020/01/10
- k

DAY 009 - MAC キーボード で Windows の日本語/半角英数の切替ってどうやるの？

Windows を動かす環境として Parallels を使った場合、特にマニュアルを読まなくてもたいていのことはすぐにできるのですが、キーボードの仕様が異なるので、日本語/半角英数の切り替えをどうするのか、初めての方は迷われると思います。

【前提条件】
マシン：Mac | Mac OS 10.14
キーボード： Apple 純正日本語キーボード
仮想環境：Parallels Desktop 15
仮想マシン：Windows 10

このとき、日本語入力をするには：
Mac の時と同じで、スペースバーの右にある「かな」キーを押すだけです。（ガンガンガンと何回押してもかまいません）

今度はそれを半角英数にする場合：
「shift」 + 「英数」です。

備考）「英数」キーだけをたたくと、初めての時は、「全角カナ」もう一度叩くと「半角カナ」、さらに叩くと「全角かな」... これがローテーションします。

これだけ知っておけば、大丈夫でしょう。

あとよく聞かれるのはスクリーンショットでしょうか。
これは Mac の場合と同じで OK です：
command + shift + 3 で画面全体のショット。
command + shift + 4 で選択部分ショット/ウインドウショットが撮れます。

以上、Apple 純正日本語キーボードでの Windows 入力言語変換の操作について。
参考にしていただければ幸いです。

20200109
- k

DAY 008 - サーバにこそ、ホワイトリストを

ぼくらがホワイトリスト製品をリリースしたのは、2015年だったと記憶している。 あの頃はまだ、「ホワイトリストとは何か」から話をしなければならず、今にして思えば、世間一般には早過ぎた感がある。（コンピュータセキュリティの専門家の間では概念としては存在していたが） やっと最近はその説明をせずとも、「ホワイトリスト」という言葉が市民権を得てきたように思う。 一言に集約すれば、「実行してもよいパターン」ということです。 僕らが販売しているのは、国産（ハミングヘッズ株式会社製）の DeP （デップ、Defense Platform の略）という製品です。（Windows 用） 初めはクライアント版からスタートしたが、機能が強力過ぎて、慣れるまでにやや時間がかかる。 一方で「これはサーバには使えないのですか？」という問合せが増え始めた。 確かに。なんでこんなことに気づかなかったんだろう。 サーバマシンは役目が決まっているから、ホワイトリスト化もしやすいし、防御という面からは理想的。

マイクロソフト社も「ホワイトリストを持っている」と主張していますが、問題は、どの程度の厳しいホワイトリストを作れるか。

残念だがマイクロソフト社のホワイトリストは甘い。

一方、DeP のホワイトリストは、アプリ名だけで判断するようなスカスカなものとはわけが違う。API（Windows OS の最下位のコマンドレベルのプログラムインターフェイス）の挙動を完全把握して、「何が、何を、どこへ、どうしようとしているか」という API の連動プロセスレベルでリスト化できる。最初から明確にわかっているものはホワイトリスト（またはブラックリスト）にセットしておけばいいし、登録がない動きについては H4E と呼ぶ AI アルゴリズムが判断をし、アラートを出してくれる。

例えば、「あなた（管理者）が起動したプログラムが、あるファイルのデータをコピーしてどこかに保存する」ということはあり得るが、プログラムが勝手に起動して、または別のプログラムを起動させてファイルをコピーする」というのはあやしい。そうした場合は H4E と呼ぶ独自の AI アルゴリズムが「待った、をかける」。あやしいものはいったん止めて、確認する。「職務質問」のようなものだ。

だから、導入時に、ある程度のホワイトリストを作成しておいて、あとはそのアラートをみて判断してやればいい。これが、昨年米国を震撼させた数々のランサムウェアをも止めた DeP のエッセンスだ。

もうすぐ、Windows 7 のサポートが終了する。（あと１週間後）
OS のサポートが終了するということは、わからないことがあった時に助けてもらえない、という程度では済まない。新たなセキュリティホールが見つかっても、もう、それを塞ぐパッチは開発されないのである。当然そこを突いたマルウェアが登場し、そのマシンは簡単に餌食にされる。これはIT管理者ならたいていの人がわかっている周知の事実であり、それが引き金になって、サーバの対策も見直そうという機運が高まっている。

ゼロデイアタック（生まれたばかりでブラックリスト方式では止められない攻撃）から身を守ることができる唯一の方法が「精密なホワイトリスト化」なのである。

NIST という米国の安全確保機構では、すでに数年前から、ホワイトリスト化による防御を勧告し、DeP はその厳しい仕様基準をクリアして認められた。

しかし、この開発の陰には壮絶としか表現できない開発現場の試練と挑戦があった。それがどんなものであったか、それを知れば、なぜ DeP をしのぐ製品が世界を見渡しても存在しないのか、よくわかる。長くなってしまったので、その話はまた機会をあらためたい。

今回は、「役目の決まっているサーバにこそ精密なホワイトリスト化を」というお話でした。

製品の詳細情報はこちらへ

2020/01/08
- k

DAY 007 - やっぱり便利な OmniGraffle

引越しを考えている友人から聞かれて気付いたことです。

不動産屋さんが提供してくれる図面はだいたい紙か jpeg のような画像データが多く、
精密で繊細な作業ができるようなデータはもらえない。
そこで、 OmniGraffle で試してみました。

やり方は簡単です。

１）「ファイル」メニューから「イメージを配置...」を選択。

２）ここから jpeg などの画像データを取り込めます。

「ファイル」メニューから「開く...」を選択すれば、.ai や .pdf のファイルも開くこともできます。

ここでは「イメージを配置...」を選択したので、画像ファイルを選択することができます。
.psd（Photoshop データ）も、.png も .jpeg も選択可能です。

３）下が取り込んで配置された様子です。
あとは各ツールを使って "線画" としてパーツを描いていくだけです。

４）グリーンで描いたのが OmniGraffle で描いたパーツです。基本的に "線画" ですので、あとで、少しの修正をすることも簡単です。「サイズを変えてみたい」「位置を替えてみたい」ということは画像処理ツールではちょっとめんどうですが、OmniGraffle なら簡単です。

保存するファイル形式はデフォルトでは.graffle ですが、.psd や .jpeg などの汎用的なファイル形式で保存することもできますから安心です。

いろいろな場面で使えそうですね。
もちろん、美しいプレゼン資料やダイヤグラムは得意中の得意です。
今回は「画像ファイルなのに線画処理が楽にできる」例を載せてみました。

キーポイントは、「イメージを配置...」メニューでした。


参考にして頂ければ幸いです。
- k