David Harley、ESETシニアリサーチフェロー

米国のリサーチチームは最近、各々が物言いをつけたいセキュリティ分野の専門用語について意見を求められました （実は、これはNCSAが管理するTwitterでのチャットとの連動企画で、他にもさまざまなトピックについて意見が交わされています。興味のある方は「#ChatSTC」を検索してみてください）。

私がセキュリティ業界に足を踏み入れてからほぼ30年。初めて耳にした際はセキュリティと関係があるとは思いもしなかった業界用語も、今ではさすがに慣れました。当時の混乱ぶりを表すとしたら、次のような感じでしょうか。
 
しかし、その後も意見を聞いていくと、似たような経験のある方が多数いることがわかりました。しかも、馴染みのない用語にただ機嫌が悪くなるだけでなく、言語学的な議論にまで発展する場合もしばしばでした（句読点の重要性を説いたベストセラー『Eats, Shoots & Leaves: The Zero Tolerance Approach to Punctuation（パンクなパンダのパンクチュエーション―無敵の英語句読法ガイド）』の著者であるLynne Truss氏なら、喜んで参加しそうですが）。

次のような意見も聞かれました。
 
関連する意見をもう1つ紹介します。
 
WildListは使用すべきか？

厳しい批判が寄せられたZooウイルスやWildListについては私も考えさせられました。

Zooウイルスとは何のことかご存知でしょうか。簡単に言えば、檻の中、すなわち研究施設に限って見つかるウイルスを指します。その対極が、In-the-Wild（実際に感染報告がある）ウイルスです。WildListはかつて、研究施設内にのみ存在する種ではなく、一般に流布し、日常的にPCを使うユーザーにリスクをもたらす悪意のあるプログラムを見抜くマルウェアのリストとして極めて重宝されました。ところが、WildList Organizationが管理する「WildCore（WildListに対応するウイルスのサンプルセット）」中のウイルスは今や世の中に拡散している種よりも、研究施設でしか見つからない種、つまりZooウイルスのほうが優勢になっているのです。

WildCoreがいまだ認定テストに使用される主な理由は、あらゆる検出重視のセキュリティソフトウェアが対処できる基本的なパフォーマンス指標を提供しているためであり、それゆえに合意、検証済みのサンプルセットとなっています。しかし、大半のマルウェアは日々進化を続けています。通常、サンプルが「実世界」に出回ることはありません。一方で、古くから存在するブートセクタ感染型ウイルスは絶えず進化を遂げています（そのため、リストには常に登録されています）。したがって、検証プロセスといっても、たいていは「消費期限切れ」のサンプルを使用してテストしていることになるのです。

ベストプラクティスは本当にベスト？

次のような意見を述べた方がいました。
 
次のコメントには他の方も同意していました。
 

Robert Slade氏は著書『Dictionary of Information Security』で、2005年のCISSPforumでの議論に言及しています。
 

何にでも「サイバー」を付ければ良いのか？

「サイバー」という用語を使おうとする風潮が高まっています。この用語については、次のような傾向があるそうです。

• 名詞としての「サイバー」の使用。情報技術のように曖昧な意味合いで使用されるのが一般ですが、米軍ではネットワーキングという意味でも用いられるなど、その用途は多岐にわたります。英国の法執行機関では、コンピューター犯罪と同義ながら漠然とした意味合いで使用される傾向にあります。実際には、接頭語として使われるのが大半です。
• 「デジタル」や「コンピューター」、「IT」はもはや使い古された感があるとし、コンピューターやネットワーキング、インターネットと関係するものにはすべて頭に「サイバー」を付けることを決定したマーケティング部門もあります。皆さん、覚悟してください。「サイバー」部門が企業に設置される日が近づいているのです。想像するだけでゾッとします。

正しい文法に則るべきか？

続いて、こちらの意見をご覧ください。
 

私も「trivially」という単語を「平凡な、単調な」の意味で使用しています。間違いではなくても、誤解を与える可能性があります。おそらく再考する必要があるでしょう。

セキュリティ分野に限らず、あらゆる名詞の動詞化に対しても批判の声が上がりました。私も「security」の動詞化を例に考えてみましたが、イライラしそうなのでやめました。「セキュリティを強化する」と言いたいのなら「leverage」でも使えば済むのですから。その後で思い出したのですが、トロイの木馬を指す「trojan」が動詞で使用されたケースもありました。おそらく、ほとんどの方が「Trojanize（またはtrojanize）」を思い浮かべると思います。実を言うと、この表現は私が以前修正を依頼された『Maximum Security』という書籍の1つの章にありました。せっかくなので触れておきましたが、私がこの表現を好んでいるわけではありません。そもそも、マルウェアについて言及する際に「Trojan」とするか「trojan」とするかですら、私たちはまだ議論していません。まあ、私たちが万人に通用するようにワームやウイルスを定義しようと試みたものの不首尾に終わったため、業界内にさまざまな表記が混在するようになったのでしょう。

気になる方のために、この問題の本質について説明します。Trojanは本来、名詞「Troy」の形容詞形です。したがって、「（トロイア戦争を主題にしたギリシア悲劇『イリアス』を読んだ経験があれば）Trojan Horse」、または「Trojan horse」のように大文字で始めるのが一般的です。一方で、マルウェアを表す場合は本来の意味から切り離して使用すべきだと考え、小文字の使用を正当化する人もいます（馬が木製ではなく自由に駆け回れるのであれば尚更です）。例えば、ディーゼルエンジンの「ディーゼル（diesel）」は、その発明者であるルドルフ・ディーゼル（Diesel）に由来しています。ですから、小文字でも問題ないと考える人の主張も十分納得できるものだと思います。

「保証」は「不安」にさせる？

「情報セキュリティ」の意味で用いられる「情報保証（Information Security）」という表現にも物言いがつきました。
 
これには私も同意せざるを得ません。

実際、脅威やソリューションに関する名称変更と再定義は、古典的なマーケティングの手法です。APT（Advanced Persistent Threat）攻撃という用語が良い例です。どの程度高度（Advanced）かはともかく、従来型のアンチマルウェア製品では間違いなく太刀打ちできないほど洗練された攻撃という印象を植え付けられます。なお、「シグネチャ（signature）」に関してもいろいろ言いたいことがありますが、スペースが尽きたようです。興味がある方はこちらをご覧ください。

このワームは、リムーバブルメディアを介して感染を広げます。1つのURLを保持しており、そのURLからいくつかのファイルをダウンロードし、実行しようとします。HTTPプロトコルを使用してC&C（指令）サーバーと通信を行い、新しい命令を受け取ります。次のフォルダーを削除する場合があります。
*.exe
*.vbs
*.pif
*.cmd
*Backup.

この脅威は、Windowsが起動する前に％system32％フォルダーに自身をコピーします。その後、DNSを介してC&Cサーバーと通信します。電子メール経由で拡散し、攻撃者による感染PCの乗っ取りを可能にします。

Win32/Adware.Multiplugは、ユーザーにとって望ましくない動作をする可能性のあるアプリケーション（Potentially Unwanted Application：PUA）です。ユーザーのシステムに侵入すると、そのユーザーがWebサイトの閲覧中にポップアップ広告が表示されるようにします。

LNK/Agent.AVは、正規のコードを実行するためのコマンドを連結しながら、バックグラウンドで脅威のコードを実行するリンクで、autorun.infという古い脅威と同様の影響を及ぼします。

このトロイの木馬は、悪意のあるソフトウェアのサイトに誘導する特定のURLにブラウザーをリダイレクトします。プログラムコードは通常、HTMLページに埋め込まれています。

Salityは、他のファイルに感染するポリモーフィック型のマルウェアです。実行されると、システムのセキュリティに関連するレジストリーキーを削除し、オペレーティングシステムが起動するたびに悪意のあるプロセスが開始されるようにするレジストリーキーを作成します。
また、EXEファイルとSCRファイルを改ざんし、セキュリティソフトウェアに関連するサービスとプロセスを無効にします。

詳細については、こちらをご覧ください。

Win32/Ramnitは、他のファイルに感染するウイルスです。システムが起動するたびに実行し、.dll（ダイレクトリンクライブラリー）ファイルや.exe（実行）ファイルに感染するほか、htmファイルやhtmlファイルを検索して悪意のある命令を挿入します。システムの脆弱性（CVE-2010-2568）を悪用して、任意のコードを実行することを可能にします。リモートからコントロール可能で、スクリーンショットの作成や収集した情報の送信、リモートのコンピューターもしくはインターネットからのファイルのダウンロード、実行ファイルの実行、またはコンピューターのシャットダウンや再起動を行います。

LNK/Agent.BSは、正規のコードを実行するためのコマンドを連結しながら、バックグラウンドで脅威のコードを実行するリンクで、autorun.infという古い脅威と同様の影響を及ぼします。

INF/Autorunは、autorun.inf設定ファイルの中で、マルウェアによって作成されたさまざまな悪意のあるファイルの汎用検出名です。この悪意のあるファイルには、マルウェアの実行ファイルへのパスが記述されています。感染したドライブをマウントするとマルウェアの実行ファイルが自動実行されるようにするため、通常はアクセス可能なすべてのドライブのルートフォルダー内に作成されます。Windows Explorer内で表示されないようにするため、システム（S）属性と隠し（H）属性が設定される場合があります。

これはWebブラウザー用の悪意のある拡張機能で、ソーシャルネットワーク経由で拡散します。ユーザーのアクティビティを傍受し、データを盗み出そうと試みます。

ESETが開発した先進のマルウェアレポーティング/追跡システム「Live Grid」によると、2015年8月度のランキングは、「Win32/Bundpil」が第1位という結果になりました。このマルウェアは、検出された脅威全体のうち4.86%を占めています。

プロアクティブなセキュリティ製品のパイオニアとして、数々の受賞歴を誇るESET NOD32テクノロジーの開発を手掛けるESETは、企業や個人向けにセキュリティソリューションを提供するグローバルプロバイダーです。ESETは26年以上にわたり、プロアクティブなマルウェア検出技術の分野で業界をリードし続けています。2013年8月に80回目となるVirus Bulletin誌の「VB100アワード」を獲得したESET NOD32テクノロジーは同アワードの最多受賞記録を保持しており、1998年に同テストが開始されて以来、In-the-Wildワーム/ウイルス（実際に感染報告があるワームまたはウイルス）を1つ残らず検出しています。また、同アワードの最長の連続受賞記録も保持しています。他にも、AV-ComparativesやAV-TESTなどのテスト機関から数々の賞や高評価を獲得しています。ESET NOD32アンチウイルス、ESET Smart Security、ESET Cyber Security（Mac用ソリューション）、ESET Mobile Security、IT Security for Businessは、世界中の何百万人ものユーザーから支持されている、世界有数の推奨セキュリティソリューションです。

ESETは、ブラティスラバ（スロバキア）にグローバル本社を、サンディエゴ（米国）、ブエノスアイレス（アルゼンチン）、シンガポールに地域の物流センターを、そしてイェーナ（ドイツ）、プラハ（チェコ共和国）、サンパウロ（ブラジル）に事業所を構えています。さらに、ブラティスラバ、サンディエゴ、ブエノスアイレス、シンガポール、プラハ、コシツェ（スロバキア）、クラクフ（ポーランド）、モントリオール（カナダ）、モスクワ（ロシア）にマルウェア研究センターを設置しているほか、世界180カ国以上にまたがる広範なパートナーネットワークを形成しています。

詳細については、ESETの概要とプレスセンターをご覧ください。

セキュリティ脅威の被害に遭わないためには、アンチウイルスソフトウェアを最新の状態に保つだけでなく、セキュリティに関する最新情報を把握しておくことも重要となります。ESET Threat Centerでは、セキュリティに関するさまざまな情報を提供しています。次の情報源をぜひご覧ください。

• ESETのホワイトペーパー
• WeLiveSecurity
• ESETポッドキャスト
• 独立テスト機関によるベンチマークテスト結果
• アンチマルウェアソフトウェアのテストと評価について