ホワイトリストのハードル

前回、「ホワイトリストは育てていくもの」と題して、ハミングヘッズ社のホワイトリスト型セキュリティソフト Defense Platform (DeP) について述べましたが、その最後の部分で述べた「API ホワイトリスト方式のとてつもないハードル」について、書きたいと思います。

ホワイトリストにもレベルがあり、DeP は上層のアプリケーションレベルだけでなく、 API レベルでのホワイトリストが可能である、と示しました。この方法こそが、巧妙なマルウェアをも本当に阻止できる、おそらく今日では唯一の方法だろうと考えます。

７年ほど前。ハミングヘッズ社と同時期に、同じ方式にチャレンジした米国の会社がありました。しかし、そのプロジェクトは途中で打ち切りになりました。気が遠くなるようなハードルがあったからです。しかも、２つも。

１つは、API レベルで監視することの開発量の膨大さです。アプリケーションレベルでのホワイトリスト化はさほど難しいものではありません。しかし API レベルでホワイトリストを作成するとなると、いったいどれだけの監視ルーチンを組み込む必要が生じるか。なおかつ、それらを組み合わせてジャッジできるアルゴリズムも必要になります。これは、比較的短期に結論を求められる米国の会社においては「理論上は理想的と言えても、現実的ではない」と判断されたのだと思います。

さらに、決定的に、この方法が困難な点は...　仮に製品化に成功したとしても、その後のメンテナンスのヘビーさです。なぜならば、API の仕様は OS なら OS の、メジャーなアプリならそのアプリのバージョンアップなどにおいて、修正、進化していきます。API ホワイトリストの場合、その変化に追随していかなければなりません。この作業をこなしていくにはいったい何人のエンジニアを投入する必要があるのか？これは決定的なネガティブ要素でした。

ところが、ハミングヘッズ社は、20年前から電力会社向けに「情報漏洩対策ソフト」を開発提供しており、その当時から、機能テストを自動化する仕組みを試みていました。そのノウハウを使い、API ホワイトリスト製品においても、API との整合性を常に自動評価するシステムを構築したのです。今日では計5,000台のマシン（仮想マシン含む）をグリッド構成し、１日に90万項目もの整合性評価テストを自動で行っているのです。

例えば Windows OS のマイナーアップデート、Google アプリのアップデートなど、何が起きても即座に自動評価し、必要に応じて Defense Platform もアップデートされます。そしてそれはリアルタイムにユーザ側にインストールされている実行モジュールに反映され、ゆえに、まったくつけ入るスキの無い体制を実現しています。

これが、「唯一無二の存在である理由」です。

旧来の「ウイルス定義型方式」から脱却して、時代に即した「ホワイトリスト方式」を広めるべく、無償版が配布されています。（無償版の制約は登録できるホワイトリスト項目が 1,000個までに限定されているだけで、あとはフル機能を使えます）

無償版は下記からダウンロードできます：
https://www.act2.com/dep

インストールして使い始めると、最初のころは、動きを止めるアラートが頻繁に出てきます。しかしいったんホワイトリストに登録してしまえば、次からは止めようとしません。ですから、しばらくの間は根気よく「ホワイトリストを、あなた仕様に、育てる、鍛える」ことです。使えば使うほど、精度の高いホワイトリストが出来上がっていきます。

最初は少しとまどうかもしれませんが、よく考えてみれば、これが正しいことがよくわかります。「実行しても良い行為だけを許可し、それ以外は実行させない」ゼロデイアタックを確実に止めるにはおそらくこれしかないでしょう。


さて、話はすこしそれますが、当然、仮想マシンでも使うことができます。
Mac で Windows を使っているユーザさんには特におすすめです。

「ホワイトリストに登録されている動作しか許可しない」
Windows を使う目的がはっきりしている場合には特に安心です。
OS のアップデートをするのが遅くなってもウイルスやサイバー攻撃の被害に会うことはありません。

現実の世の中も、実はホワイトリスト型で動いています。
ブラックリストと照らし合わせて来客を招き入れる会社などありませんよね。
エアラインのレセプションカウンタもブラックリストと照らし合わせて搭乗券を発行しませんよね。
すべて、「OKが出ているかどうか」で判断されています。
PCもまたそうあるべきでしょう。

コンピュータウイルスが初めて登場したころは「ブラックリスト方式」で良かったのです。しかし状況は変わっていきます。今は「ブラックリスト方式」では被害を止められない時代に、我々はいるのです。

20200211
- k

ホワイトリストは育てていくもの

ウイルス定義型のアンチウイルスソフトには、たぶん、もう未来はないだろう...

なにしろ、マイクロソフト社が「ウイルス駆除は Windows OS に搭載されている Windows Defender で十分。サードパーティ製のアンチウイルスは入れないでほしい」とまで公言してしまったのだから。

ただ、問題は残る。

Windows Defender もまた「ウイルス定義型のアンチウイルスソフト」であり、したがって、"ゼロデイアタック" には効力が無い。

コンピュータウイルスというものが登場した昔は、その方法でよかった。

しかし、毎日毎日、35万個の新しいコンピュータウイルスが誕生している今日、それらを解析し、ウイルス定義ファイルに追加し、配布し...

この方法では追いつけるわけがない。

日々新しいウイルス、攻撃が発生する中で、コンピュータを守るには、逆の発想、つまり「ホワイトリスト型」しか手がないと思われる。

ホワイトリスト型とは、「悪いものを見つけて止める」のではなく「正しいと定義されているもの以外はすべて止める」という方法だ。

これが基本的なエッセンスなのだが、問題もある。それは「ホワイトリストの精度」である。

我々がこれを発表した 2014 年当時は、「ホワイトリスト」という言葉さえまだ耳慣れないものだった。

しかし、昨今では、我々だけでなく、他社もこぞって「ホワイトリスト型」を唱い出した。

やっと... 「ホワイトリストとは何か」という啓蒙活動をしなくてもよいところへ近づいてきた。

やっと... 本来の性能の勝負を主張すべき時が来た。

一口に「ホワイトリスト」と言っても、各社、千差万別である。

が、ほとんどは、アプリケーションレベルでのホワイトリストでしかない。

単純な例を挙げれば、Outlook, Word, Excel, Chrome browser... というように、アプリケーションのホワイトリストを作成するタイプが多い。

しかし、昨今のマルウェア（ウイルス等）は巧妙だ。

それらのアプリケーションに "寄生して" 悪さをするマルウェアで溢れている。
アプリケーション層だけでのホワイトリストは彼らにとってはなんの驚異でもない。

我々が提供しているハミングヘッズ社のホワイトリスト製品（ディフェンスプラットフォーム）は、アプリケーション層だけでなく、さらに深いところ（API (Application Programming Interface)) にまで掘り下げてホワイトリスト化を実現している。

また、H4E と名付けらた機能が "コマンドレベルでの動作" を監視している。
時々、「それはふるまい検知ではないのか」と尋ねられることがあるが、H4E はふるまい検知ではない。そもそも、ふるまい検知自体がパターンマッチングではないか。

H4E は一種の AI と呼んだほうが正しい。とても特殊なアルゴリズムだ。

いずれにしても、

ひとつ、大切なことがある。それは、

「ホワイトリストは育てていくもの」「鍛えていくもの」ということである。

スタート時点で、完璧なホワイトリストを作成することは容易ではない。

ディフェンスプラットフォームの場合、検知モードというモードがあり、一定期間（例えば１週間とか２週間とか）履歴取得だけの活動をする。
その履歴からまずベースとなるホワイトリストを作成する。

そして、本稼働に入る。検知モードの期間内に実行されなかった正しいプロセスもアラートの対象になる。そうした場合、それをホワイトリストに追加してやる。

マルウェアなどは完全にアラート対象になる。今、この瞬間に発生して解析されていない段階であっても。なぜならそれはホワイトリストには登録されていないのだから。

いかにも怪しい動きはブラックリストに入れて永遠に葬ればいい。

マルウェア状況は日々刻々と変わっていく。
だから、終わりのない戦いなのかもしれない。

こうして、「ホワイトリストを育てる、鍛える」という考え方が必要だ。

もちろん、サーバのように、実行されるプロセスが確定していてそれ以外はあり得ないような場合は、ホワイトリストの完成もすばやい。

そう。サーバーにこそ、ホワイトリストを入れるべきだろう。

ディフェンスプラットフォームのビジネスエディションが最近よく売れるのは、こうした認識が徐々に広まりつつある証だと思う。

ところで、

この方法には１つ、とてつもなく大きなハードルがある。だから、競合製品が出てこない。

それについては、次回、記載したいと思います。

2020/02/09
- k
(EOF)

DAY 022 - アドウェアの悩み

"アドウェア" という言葉があります。ご存知の方も多いと思いますが、勝手にバンバン広告を出してくるプログラムで、これを一種のウイルスであるとする人も多いです。少なくとも "マルウェア" の一種と言っても間違いではないと私も思います。

問題は、これに感染された時の「うっとうしさ」です。

広告がバンバン出てくること自体もうっとうしいですが、そのプログラムを除去することがなかなか面倒だったりします。

当社のパートナーである Intego 社は、社内外での討議の結果、「アドウェアをウイルスの一種とは定義せず、駆除の対象としない」というポリシーです。

たしかにアドウェアはうっとうしいだけで特別何か悪さをするわけではありません。ロジカルには Intego 社の判断は間違っていないと思います。

それでも、うっとうしいものは削除したいものですよね。

私の個人的経験では、こんなことがありました。

半年ほど前、Google が YouTube の URL を判断するアルゴリズムを変更したため、時々使っていたダウンロードソフトウェアではダウンロードできない動画が多く出てきました。
本来、著作権の観点から YouTube 動画をダウンロードするという行為はグレーゾーンなので、強い主張はできないですが、「これはダウンロードして保存したい」と思ってしまうのが人情というもの。

そこで、私は、フリー（ただ）でサーバ側で処理してダウンロードしてくれるサイトを使いました。たぶん、そのサイトの仕組みです。その瞬間から広告が勝手にどんどん出始めました。アドウェアを仕込まれてしまったのです。

「めんどくせ〜」と嘆きながら、どこに送りこまれたのか、探した結果、意外とあっさりわかりました。Google Chrome ブラウザの拡張機能の１つとして組み込まれていました。ですので、それを削除しただけで解決しました。

それにしても、「あ、やられた」と気づいた瞬間のいやな感触は、思い返してもやっぱり「かなりうっとうしい」です。

みなさんも気を付けてくださいね。

2020/01/22
- k

DAY 014 - 風邪と花粉症と

みなさま
この時期、つらくないでしょうか？
私はこの数日、風邪か、もしくはひょっとして花粉症が来たか？？

と思っていたら、

どうもその両方のようでした。

春に向かっている証拠でもあるのですが、

どうか、みなさま、ご自愛くださいますように。。

2020/02/24 MON
- k

DAY 010 - eDrive も最新OSに作り直しておこう

TechTool Pro の eDrive 機能。

外付け HD から起動することなく、メインドライブを "フルメンテナンス" できる人気の機能ですよね。

でも、一つ大切なことを忘れないようにしましょう。
それは、eDrive 自体のアップデートです。

Mac OS をアップグレードやアップデートした時。
それから、TechTool Pro 自体をアップグレードやアップデートした時。

これらの時は、eDrive を作り直しましょう。

その理由は単純で、

例えば、
最近、ファイルシステムが HFSF+ から APFS（これらについては次の機会に）　に変わりました。

さて、eDrive は、それを作成した時点の OS を元に出来上がっています。

従って、古い OS で作成された eDrive から起動を試みても、アップデートされた新しいファイルシステム（APFS）のドライブを認識することができません。

常に本体の OS を元にした eDrive にしておく必要があるわけです。

このことは、TechTool Pro 自体についても同じことが言えます。APFS をまだ知らないバージョンが含まれた eDrive では APFS ボリュームを認識できませんものね。

eDrive を作り直すのは簡単です。

１）既存 eDrive を削除：
"ツール" の "eDrive" を選択します。
すでに eDrive が存在する場合は "eDrive の削除" というボタンがウインドウ左下でクリック可能な状態になっていますので、まずそれをクリックして既存の eDrive を削除します。（この時、eDrive 用に切られたパーティション自体も自動的に削除されます）
約１分もかからずその処理は完了します。

２）新しい eDrive の作成：
eDrive の削除が完了すると、今度は、"eDrive の作成" ボタンがクリックできる状態になっています。
これをクリックします。設定画面が出ますがデフォルト（そのまま）で "GO" で OK です。数分でこの作業は完了します。


あとは再起動の際に option キーを押していれば、起動に使うボリュームを選択する画面が現れ、そこに eDrive がありますので、eDrive を選択すれば、正しく全てを認識して起動し、その後、eDrive から eDrive 内にある TechTool Pro を起動して、
いつも使っているメインディスクのフルテストを実行
することができるわけです。

これらについては FAQ でさらに詳細に説明してありますので、興味のある方はご参考になさってください。

eDrive に関する FAQ

今日は、意外と知られていない eDrive 自体のメンテナンスの必要性についてでした。

2020/01/10
- k

DAY 009 - MAC キーボード で Windows の日本語/半角英数の切替ってどうやるの？

Windows を動かす環境として Parallels を使った場合、特にマニュアルを読まなくてもたいていのことはすぐにできるのですが、キーボードの仕様が異なるので、日本語/半角英数の切り替えをどうするのか、初めての方は迷われると思います。

【前提条件】
マシン：Mac | Mac OS 10.14
キーボード： Apple 純正日本語キーボード
仮想環境：Parallels Desktop 15
仮想マシン：Windows 10

このとき、日本語入力をするには：
Mac の時と同じで、スペースバーの右にある「かな」キーを押すだけです。（ガンガンガンと何回押してもかまいません）

今度はそれを半角英数にする場合：
「shift」 + 「英数」です。

備考）「英数」キーだけをたたくと、初めての時は、「全角カナ」もう一度叩くと「半角カナ」、さらに叩くと「全角かな」... これがローテーションします。

これだけ知っておけば、大丈夫でしょう。

あとよく聞かれるのはスクリーンショットでしょうか。
これは Mac の場合と同じで OK です：
command + shift + 3 で画面全体のショット。
command + shift + 4 で選択部分ショット/ウインドウショットが撮れます。

以上、Apple 純正日本語キーボードでの Windows 入力言語変換の操作について。
参考にしていただければ幸いです。

20200109
- k

DAY 008 - サーバにこそ、ホワイトリストを

ぼくらがホワイトリスト製品をリリースしたのは、2015年だったと記憶している。 あの頃はまだ、「ホワイトリストとは何か」から話をしなければならず、今にして思えば、世間一般には早過ぎた感がある。（コンピュータセキュリティの専門家の間では概念としては存在していたが） やっと最近はその説明をせずとも、「ホワイトリスト」という言葉が市民権を得てきたように思う。 一言に集約すれば、「実行してもよいパターン」ということです。 僕らが販売しているのは、国産（ハミングヘッズ株式会社製）の DeP （デップ、Defense Platform の略）という製品です。（Windows 用） 初めはクライアント版からスタートしたが、機能が強力過ぎて、慣れるまでにやや時間がかかる。 一方で「これはサーバには使えないのですか？」という問合せが増え始めた。 確かに。なんでこんなことに気づかなかったんだろう。 サーバマシンは役目が決まっているから、ホワイトリスト化もしやすいし、防御という面からは理想的。

マイクロソフト社も「ホワイトリストを持っている」と主張していますが、問題は、どの程度の厳しいホワイトリストを作れるか。

残念だがマイクロソフト社のホワイトリストは甘い。

一方、DeP のホワイトリストは、アプリ名だけで判断するようなスカスカなものとはわけが違う。API（Windows OS の最下位のコマンドレベルのプログラムインターフェイス）の挙動を完全把握して、「何が、何を、どこへ、どうしようとしているか」という API の連動プロセスレベルでリスト化できる。最初から明確にわかっているものはホワイトリスト（またはブラックリスト）にセットしておけばいいし、登録がない動きについては H4E と呼ぶ AI アルゴリズムが判断をし、アラートを出してくれる。

例えば、「あなた（管理者）が起動したプログラムが、あるファイルのデータをコピーしてどこかに保存する」ということはあり得るが、プログラムが勝手に起動して、または別のプログラムを起動させてファイルをコピーする」というのはあやしい。そうした場合は H4E と呼ぶ独自の AI アルゴリズムが「待った、をかける」。あやしいものはいったん止めて、確認する。「職務質問」のようなものだ。

だから、導入時に、ある程度のホワイトリストを作成しておいて、あとはそのアラートをみて判断してやればいい。これが、昨年米国を震撼させた数々のランサムウェアをも止めた DeP のエッセンスだ。

もうすぐ、Windows 7 のサポートが終了する。（あと１週間後）
OS のサポートが終了するということは、わからないことがあった時に助けてもらえない、という程度では済まない。新たなセキュリティホールが見つかっても、もう、それを塞ぐパッチは開発されないのである。当然そこを突いたマルウェアが登場し、そのマシンは簡単に餌食にされる。これはIT管理者ならたいていの人がわかっている周知の事実であり、それが引き金になって、サーバの対策も見直そうという機運が高まっている。

ゼロデイアタック（生まれたばかりでブラックリスト方式では止められない攻撃）から身を守ることができる唯一の方法が「精密なホワイトリスト化」なのである。

NIST という米国の安全確保機構では、すでに数年前から、ホワイトリスト化による防御を勧告し、DeP はその厳しい仕様基準をクリアして認められた。

しかし、この開発の陰には壮絶としか表現できない開発現場の試練と挑戦があった。それがどんなものであったか、それを知れば、なぜ DeP をしのぐ製品が世界を見渡しても存在しないのか、よくわかる。長くなってしまったので、その話はまた機会をあらためたい。

今回は、「役目の決まっているサーバにこそ精密なホワイトリスト化を」というお話でした。

製品の詳細情報はこちらへ

2020/01/08
- k