2022年度 No.2「身近な情報機器に潜む「ゼロデイ脆弱性」とその対策」

2022.12.1

要旨

• OSやソフトウェアにおける技術上の欠陥は日々多数発見されており、悪意をもった攻撃者たちが悪用してサイバー攻撃を仕掛けることができる。
• 近年は、脆弱性が発見されてから短期間で攻撃が実行され、被害が発生している。
• 本稿では、脆弱性およびゼロデイ攻撃と対策のポイントについて解説する。

1. 脆弱性とは

脆弱性とは、コンピュータのOSやソフトウェアにおいて、プログラムの不具合や設計上のミスが原因となって発生した情報セキュリティ上の欠陥のことを指し、「セキュリティホール」とも呼ばれる。脆弱性が存在すると、悪意をもった攻撃者たちが悪用してサイバー攻撃を仕掛けることができる。

脆弱性は、設定変更によりすぐに対処できる場合もあるが、ソフトウェアを開発したメーカーから脆弱性を解消するための修正プログラムが配布されるのを待たなければならないことも多い。ユーザーにおいては、修正プログラムが配布されたのち、OSやソフトウェアのアップデートが必要となる。たとえば、Windowsの場合にはWindows Updateによってそれまでに発見された脆弱性を塞ぐことができる。修正プログラムは、自動で更新が行われるものもあれば、手動で更新を行わなければならないものもある。

2. ゼロデイ攻撃とは

近年は「ゼロデイ攻撃」と呼ばれる手法が増加している。ゼロデイ攻撃とは、OSやソフトウェアに対する脆弱性が発見されたときに、メーカーが修正プログラムを配布するまでの間に、その脆弱性を利用して行われる攻撃を指す。