「脆弱性」と「マルウェア」は、いずれもセキュリティ上の脅威です。しばしば、アンチウイルス製品さえ備えておけば、脆弱性の問題にもマルウェアの攻撃にも対策がとれると誤解されますが、これらはまったく異なるもの。被害を防ぐためには、それぞれを正しく理解し、マルウェアにはマルウェア対策を、脆弱性に対してはそれを修正する対策が必要なのです。今回は、混同されがちな脆弱性とマルウェアの違いとその対策を解説しましょう。

脆弱性は、さまざまなIT機器に存在するプログラム上の問題。
マルウェアやサイバー攻撃に狙われる「弱点」のひとつ

まず、「脆弱性」について説明しましょう。脆弱性は、バグや仕様上の問題などによりシステムに生じる「欠点」を指します。しばしば「セキュリティホール」といわれるとおり、システムに攻撃者が狙う「穴」であり、場合によっては、マルウェアの感染やシステムの乗っ取り、システムダウンなどを引き起こす危険なものです。

脆弱性があると、どのような問題が起こるのでしょうか？　クライアントPCにマルウェアが侵入するケースを考えてみます。

通常なら、受信メールを開いたり、Webページにアクセスするだけでマルウェアに感染することはありません。容易に感染しないようにシステムが設計されているのです。

しかし、そうした設計に欠陥がある、すなわち「脆弱性」が含まれている場合があります。すると、「受信メールを開いただけ」「Webページにアクセスしただけ」でマルウェアに感染してしまうのです。ユーザーが特に危ない操作をしているわけではないのに、被害を受けてしまう恐れがあります。

こうした脆弱性は、OSやアプリケーションのほか、ミドルウェア、Webアプリケーションやネットワークプロトコル、ハードウェアやファームウェアなど、プログラムがあるところには必ずといっていいほど見つかっています。そして脆弱性を狙うことで容易に攻撃できるため、マルウェアや不正アクセスなどの狙い目となっているのです。

これらの脆弱性を解消するには、OSやアプリケーションなどを開発したメーカーが提供する「セキュリティパッチ」や「更新プログラム」を適用します。

ウイルス対策ソフトは、脆弱性を狙うマルウェアを捉えるもの
脆弱性を解消する機能はない

脆弱性は、マルウェアの格好の標的になると説明しました。アンチウイルス製品は、そうして侵入してきたマルウェアを検知し、駆除するいわば「対処療法」といえます。

例えば、OSやアプリケーションに脆弱性がある状態で、ウイルス付きメールが送り付けられたとします。そのときアンチウイルス製品が検出できれば、該当メールをブロックして、感染を防ぐことができます。Web経由であっても、パソコンに侵入を試みようとした際に検出すれば、感染を防ぐことができます。

しかし逆に見ると、もし検出できなければ、脆弱性が悪用されて容易に感染してしまうともいえるのです。アンチウイルス製品の目的は脆弱性を解消するものではなく、「脆弱性を悪用しようとするマルウェアを監視」しているわけです。

システムを建物に例えるならば、脆弱性は「鍵が壊れた扉」です。マルウェアは、そこから侵入する犯罪者、ウイルス対策ソフトは、建物に犯罪者が入り込むのを見張り、捕まえる「ガードマン」です。つまり、「鍵を直す＝脆弱性を解消する」ことと、「アンチウイルス製品を入れる＝ガードマンを雇う」ことは根本的に対策が違うのです。

マルウェア対策、サイバー攻撃対策は当然だが、脆弱性そのものも必ず解消すべき

脆弱性が判明すると、攻撃者は脆弱性を狙うマルウェアを大量に作成します。次から次へと発見される脆弱性を狙うマルウェアのすべてを、アンチウイルス製品で完全に防ぐことができるとは限りません。新種などへの対応にタイムラグが生まれ、その間に攻撃を受ける場合もあるのです。

したがって、アンチウイルス製品を導入しているからといって過信せず、脆弱性が発見された場合は、迅速に解消しておくことが重要です。

もちろん、脆弱性を解消したからといって、アンチウイルス製品が不要というわけでもありません。万が一、脆弱性対策が漏れている場合に有効ですし、脆弱性を悪用しないマルウェアも多数存在しているからです。

まずは脆弱性を確実に修正する。そしてマルウェアが侵入した場合に備え、未知のマルウェアにも強い最新のアンチウイルス製品を導入するなど、多重に対策を講じておくことこそ重要なのです。

脆弱性対策を強化したアンチウイルス製品も登場

脆弱性攻撃への対策機能を備えるアンチウイルス製品も登場しています。例えばESETでは、コンシューマー向け製品や法人向け製品の一部で「バルナラビリティシールド」「エクスプロイトブロッカー」といった機能を搭載しています。セキュリティ更新プログラムの提供が開始される前に発生した「ゼロデイ攻撃」や、動作テストが必要でセキュリティ更新プログラムをすぐに適用できない場合などにも有効です。ただし脆弱性を根本的に解消する機能ではありませんので、注意してください。