Microsoftは先日、PowerPointに見つかっていた多数のセキュリティ問題にようやく対処しましたが、Mac向けのパッチ提供にはまだ少し時間がかかるようです。このことから感じられるのは、Microsoft（およびその関係者）は、ExcelとPowerPointに見つかった最近の脆弱性に関して危機感を欠いているのではないかということです。これらの脆弱性は、悪意のあるサイトを通じて大規模に悪用されているのではなく、特定のユーザーに狙いを絞った標的型攻撃を行うために用いられているため、社会への影響はそれほど大きくないように見えるかもしれません。しかし、もし政府や軍の関係者がその標的となった場合には、結果的に極めて多くの人々が被害を受ける可能性があります。実際、国際的なスパイ活動を目的とするこの種の攻撃は、ここ数年日常的に発生しています。

これまでに何度も指摘してきたように、最近では従来型のマクロウイルスはほとんど見かけなくなっているものの、それとは別の方法で文書ファイルを悪用する脅威（パッチ未公開の脆弱性の悪用、実行可能ファイルの埋め込み、悪意あるリンクの使用など）が増加しています。文書ファイルの中でも、特に悪用されるケースが多いのはPDFファイルです（PDFファイルの悪用については、CAROワークショップでも繰り返し取り上げられています。下記の「春のカンファレンス」の項を参照）。その意味では、AdobeがようやくAdobe ReaderとAcrobatの最新の脆弱性の一部に対処したのは喜ばしいことです。また同社は、セキュリティアップデートを四半期ごとに定期公開する計画を発表しています。同社の予防的/事後対応的セキュリティチームの責任者を務めるBrad Arkin氏によると、この施策によってユーザーは、「インシデントに関する情報を適宜入手できるようになる」ほか、より迅速にパッチが提供される、脆弱性の影響を受ける複数のプラットフォームに対するパッチが同時に提供されるといったメリットを享受できるようになるということです。この施策がどれほどの効果を発揮するかはまだわかりませんが、少なくとも同社がパッチ問題の改善に向けて努力していることは確かといえます。これに加えて、われわれが以前からブログで指摘しているその他の問題にも同社が対処してくれれば、現在進行形で発生している非常に深刻な問題の影響もいくらか緩和されることになります。

この5月は、リサーチチームにとってまたもや忙しい1か月となりました。まず4月末～5月始めにかけては、英国で開催されたInfosecカンファレンスに参加し、David Harleyが「Business Strategy」トラックでアンチマルウェアテストの良い慣習、悪しき慣習についてセミナーを行いました。翌週には、Pierre-Marc Bureauとスロバキアのラボに所属するJuraj Malchoが、ハンガリーのブダペストで開かれたCAROワークショップにおいて、Win32/Confickerをはじめとする多くのマルウェアに悪用されているMS08-067の脆弱性についてプレゼンテーションを行い、好評を博しました。このワークショップではほかにも、Microsoft製品とAdobe製品に見つかった脆弱性とそれらに対する攻撃についてのディスカッション、セキュリティベンダーが「クラウド」型の技術を使用することで生じる脆弱性問題についての（言葉が不適切かもしれませんが）刺激的なディスカッションも行われました。

CARO（Computer Antivirus Research Organization）は、アンチマルウェア研究の舞台裏ですでに20年近く活動を続けていますが、数年前からは専門家によるワークショップを年1回開催しており、アンチマルウェア研究コミュニティから大きな注目を集めています。このCAROと比べると、わずか1年前の2008年に正式発足したAMTSO（Anti-Malware Testing Standards Organization）ははるかに歴史の浅い組織ですが、アンチマルウェアテストを巡る状況を改善するための取り組みは大きな成果を上げつつあります。この2つの組織はいくつかの側面で密接に関係しており、CAROワークショップの翌日に同じ会場で行われたAMTSOワークショップには、多くのCAROワークショップ参加者が集まってきていました。

この2つのワークショップは、プレゼンテーションを通じて情報交換をすることよりも、共同作業によって何らかの成果を得ることを重視しています。今回のAMTSOワークショップでは、クラウド型セキュリティ製品のテスト方法についてと、サンプルの検証方法についての2つのベストプラクティス関連ドキュメントが新たに承認されました。この2つのトピックはどちらも、一般に考えられているよりも奥が深く、そして重要な問題を内包しています。

クラウド技術を使用する製品のテストを行うにあたっては、一部のテスト項目においてさまざまな実務上の問題に直面することになります。というのもこれらの製品では、テストを行う際にインターネット接続が必須となり、接続先をフィルタリングするなどの対策を講じることが必要になるからです。制限なしでインターネットに接続すると、多くの動的テストの場合と同様、悪意あるソフトウェアがテストラボから「流出」し、外部のユーザーやシステムに何らかの被害をもたらす可能性が高くなります。インターネット接続を制限するためには技術的な問題をいくつか解決する必要がありますが、未知の脅威のヒューリスティック検出をテストする際には、このような作業が不可欠となります。

またAMTSOでは、レビュー分析の依頼および処理に関する手続きについて定めたドキュメントも承認されました。これにより企業や個人は、あるテストやレビューがAMTSOのテスト原則に準拠しているかどうかの分析をAMTSOの専門家に依頼できるようになります。これは、テスターに対しテスト手法のベストプラクティスを採用するよう促すうえで重要な一歩となる一方、「自社製品の評価が低いレビューをおとしめるための手段をセキュリティベンダーに与えることになるのではないか」と懸念するテスターもいるかもしれません。実際問題として、このような行為を防止する策を講じることは非常に困難です。

しかし、ESETのマルウェアインテリジェンス担当ディレクターで、AMTSOのレビュー分析委員会のメンバーでもあるDavid Harleyは、次のように述べています。「もし委員会が、問題のあるテストを逐一チェックする必要があるとしたら、委員会はその作業に忙殺されることになるでしょう。…個人的には、そうしたセキュリティベンダーの代理人としてテスターに「復讐」したり、そのままではただ恥をかくだけのずさんなレビューを公表し、お粗末なテスターを必要以上に取り上げたりするようなことに関心はありません。わたしが期待したいのは、AMTSOのテスト原則に従っていないと指摘される前に、テスター自らが自身のテスト手法をAMTSOのテスト原則と照らし合わせて積極的にチェックするようになることです。うれしいことに、そのような兆しは徐々に現れつつあります」

AMTSOの承認済みドキュメントは、すべてこちらで公開されています。また 『Virus Bulletin』6月号には、David HarleyによるCAROおよびAMTSOワークショップの紹介記事が掲載される予定です。購読者の方はぜひご覧ください。 DavidとRandyは、ベルリンで開催されたEICAR 2009カンファレンスにおいて、「Execution Context in Anti-Malware Testing」と題するDavidの論文についてのプレゼンテーションを共同で行ってきました。同カンファレンスでは、アンチマルウェアテストに関する論文が多数発表されたほか、AMTSOとEICARの共同作業を約束するパネルセッションも開かれました。これは、アンチマルウェアテストの将来にとって重要な一歩となることでしょう。詳細については、こちらをご覧ください。

このほかにも、Randyはラスベガスで開催された大型トレードショー、Interopに参加し、Pierre-Marcはポーランドのクラクフで開かれたCONFidenceカンファレンス（小規模ながらリサーチ専門家にとっては非常に重要なイベント）に、Davidは英国のChannel Expoに参加しています（Davidは、ここでもアンチマルウェアテストについてのプレゼンテーションを行ったほか、チャネルパートナーや販売代理店の方々とも有意義な話し合いを持つことができたようです）。

ESETは、米国カリフォルニア州サンディエゴで発足した「Securing Our eCity」という画期的なプロジェクトに協賛しており、ESETリサーチチームのメンバー数人が同プロジェクトに協力しています。ESETのテクニカルエデュケーション担当ディレクターであるRandy Abramsは、ブログで次のように述べています。「Securing Our eCity」は、ESETをはじめとする官民両セクターの組織が発足させたプロジェクトで、サイバー犯罪とその自衛策についての正しい知識を広めることを目的としています。…この合同プロジェクトはすでに、サイバー犯罪とその対策について学ぶことのできる無償の講座を開始しています。5月下旬から6月始めにかけては、われわれESETのメンバーもサイバー犯罪についての講演を行う予定です」。このプロジェクトは今後さらに規模を拡大し、サンディエゴ以外の都市でも活動を行う予定となっています。

ESETリサーチチームの詳細とこれまでの活動については、 Threat Centerブログをご覧ください。