#緊急性は10段階中の最も高い10！IE問題：解決は他のブラウザ！

毎日新聞　2014年04月30日　21時27分（最終更新　04月30日　21時32分）
インターネット閲覧ソフト「インターネットエクスプローラー」（ＩＥ）で標的型攻撃に悪用される恐れのある脆弱（ぜいじゃく）性が見つかった問題で、日本マイクロソフト（ＭＳ）は、早ければ５月１４日にも修正プログラムを配布する考え。

マイクロソフトはセキュリティー更新プログラムを毎月１回、まとめて提供しており、次回は５月１４日の予定。このタイミングに間に合うかは５月上旬に明らかになる見込み。

マイクロソフトによると、米国で今回の脆弱性に対する攻撃は確認されているが、日本国内では４月３０日昼まで攻撃や被害の報告はない。

悪意のある攻撃者が作成したわなのサイトに知らないうちにアクセスしていた場合、パソコンに侵入され、情報を盗み見られたり勝手に操作されたりする恐れがある。

ただ、マイクロソフトの広報担当者は「ＩＥでインターネットにつなげば、必ず被害を受けるわけではない」と説明。

修正プログラムを配布するまでの回避策を公式サイトで示すとともに「怪しいサイトを見ない、怪しいメールを開かない、怪しいアプリをダウンロードしないなど、基本動作を守るのが大切。かつて世界的に被害が広がったワームに比べると、仮に被害が出たとしても限定的ではないかと思う」と話している。

一方、ウイルスなどを監視する社団法人「ＪＰＣＥＲＴ」は「脅威としてはかなり高く、緊急性は１０段階中の最も高い１０」と注意を呼び掛ける。パソコンに詳しくない一般ユーザーには、当面の回避策として「別のブラウザーを使うのが最も簡単」と勧めている。

また、情報セキュリティー大手「トレンドマイクロ」も別のブラウザーの使用を勧める。マイクロソフトの回避策を実行する場合は「必ず指示通りにすること。設定を変える時に変なところを触ってしまうと、元に戻すのが大変。自己責任でやるしかない」と話している。

◇マイクロソフトの回避策　マイクロソフトが示している回避策のうち、「Ｅｎｈａｎｃｅｄ　Ｍｉｔｉｇａｔｉｏｎ　Ｅｘｐｅｒｉｅｎｃｅ　Ｔｏｏｌｋｉｔ４．１」の使用や「ＶＧＸ．ＤＬＬ」の登録解除は専門知識のない利用者には難しい。

マイクロソフト「IE」の脆弱性に世界震撼
東洋経済オンライン 2014/5/1 00:00 本田 雅一
画像
4月2日、開発者向け会議では「インターネット・エクスプローラーはマルチデバイスに対応できる点が強み」との説明があった
[拡大]
インターネットへの入り口 が大きく揺れている。米マイクロソフト社製ウェブブラウザInternet Explorer(IE)に発覚したセキュリティホール(安全性に関する脆弱性の問題)が波紋を拡げているのだ。

同社は4月28日、「Internet Explorer の脆弱性により、リモートでコードが実行される」というセキュリティ警告を発表。このセキュリティホールを利用すると、第三者がIEでアクセスしたコンピュータ上でプログラムコードを動かしたり、意図しないウェブコンテンツへと誘導することが可能になる。IEのバージョン6以降、最新版のバージョン11まで、すなわち現在稼働している、ほぼ全てのIEで確認されている。米国土安全保障省(DFS)のコンピュータ緊急対応チームは、今回の問題がコンピュータ内の使用済みメモリ領域を自由に使えてしまうなどの問題、IE6～11への攻撃などを確認した上で、「代替策として有効な対応策がマイクロソフトから発表されるまでは、IE以外の代替ブラウザを使用することを推奨する」と発表した(詳細はここをクリック)。　DFSのアドバイスにあるように、もっとも有効かつ確実な対応策は、IE以外のブラウザを使用すること。グーグルのChrome、モジラファウンデーションのFirefox、オペラソフトウェアのOperaなどが代表的な例だ。しかし、一部のブラウザソフトは独自のユーザーインターフェイスを提供するだけで、実際のブラウザアクセスにはIEを用いている場合もあるので、注意が必要だ。アプリケーション内から自動的にIEを呼び出している例もあるので、チェックしなければならない。

最善の方法は、IEを使わないこと。しかし、現実問題としてIEでしか正常に動作しないアプリケーションを抱えている企業も多いはずだ。そこで、代替ブラウザが活用できる範囲、かつイントラネットではなく外部へ接続を行う場合には、可能な限り代替のブラウザを使う、というのが現実解だ。IEを使用する場合には、問題に対応したIEを出荷するまでに有効な緊急対応策を、マイクロソフト自身が発表している。

■　IEを使い続けるためには

ではIEを使い続けるためには、どうすればいいか。

もっとも推奨したいのは、EMET(Enhanced Mitigation Experience Toolkit)4.1のインストールである。EMETは未知の脆弱性を含め、インターネットアクセスに伴う危険性を緩和するためのツールだ。EMETは現時点で英語版しか用意されていないが、日本語環境でも問題なく使用できる。EMETの日本語関連情報、ダウンロード方法などはここにまとめられている。EMETはIEを通じた攻撃を直接防ぐのではなく、攻撃によって生じる”任意のプログラムコードの実行”を妨げる緩和ツールだ。したがって、EMETをインストールすることで動かなくなるアプリケーションが出てくる可能性もあるが、一般的なアプリケーションの動作範囲ではほとんどは問題にならない。もしEMETで必要なアプリケーションが動作しない場合は、次にマイクロソフトが推奨しているセキュリティ設定の変更で対応することもできる。なお、EMETのインストールは推奨設定のままで今回の脆弱性を防ぐことは可能で、他の作業は必要ない。上記のDFSコンピュータ緊急対応チームでも、このツールのインストールを推奨している。

ただし、注意点がある。Windows XPに対しては今回の問題に対するセキュリティ対策が提供されない。この際、サポート期限が切れたXPを卒業し、新しいOSへ移行することを真剣に検討するべきだろう。

このほか、IEのセキュリティ設定を「高」にすることで、ActiveXコントロールおよびJavaScriptの動作を抑制することでも対応が可能だ。[インターネット オプション] －[セキュリティ] タブで設定できる 。

しかし、この方法ではこれまで使っていたアプリケーションが動作しなくなる場合も多い。代替ブラウザではなくIEを使用する目的が「IEでしか動作しない社内アプリケーション」などであるなら、セキュリティ設定を「高」に設定した上、「信頼済みサイト」へ必要アプリケーションのURLを登録することで利用できる。

さらに、今回の問題に関連していると考えられる「VGX.DLL」というシステム用ファイルの登録を解除する方法もマイクロソフトは提示している。が、VGX.DLLは一部のアプリケーションが正常に動作をするために必要なファイルでもあるため、将来的に元に戻さなければならないので、手を加えるとのちのち面倒が起きるかもしれない。設定のハードルもやや上がるため、上記二つの対策のうちいずれかを施した後、IEを必ずしも必要としないサイトには代替ブラウザを用いるのが良い。

なお、今回のようなセキュリティ対策が拡がる前に攻撃が行われることを「ゼロデイアタック」という。今回は攻撃対象がひじょうに多くのバージョンに渡っており、実際に米金融機関への攻撃も確認されるなど波紋が拡がった。IEでしか動作しないアプリケーション、サービスが数多く存在することも、波紋の大きさを拡大する要因になっている。

マイクロソフトへの影響

それであれば、「今後はIEを使わなければいい」という解決策がありえるのだろうか。実は、そうではない。

未知の問題を使ったゼロデイアタックは、IE以外を通しても行われており、IEだけが特別に脆弱性が多いわけではない。言うまでもないことだが、今回紹介したEMETを活用するなどの対策を行い、セキュリティ情報に耳を傾け、自分の使っているブラウザの種類とバージョン名を常に意識することが必要だ。社内での情報共有をしっかり行うことも求められる。

インターネットへアクセスしているブラウザソフトを分析すると、マイクロソフトのIEは60％近いシェアを誇る。2位、3位はFirefoxとChromeが17％前後で横並びとなっており、圧倒的なトップシェアだ。それだけ狙われやすいポジションにあるわけだが、スピーディに脆弱性をふさぐパッチをリリースできれば、マイクロソフトの経営に与える影響は、限定的だ。

マイクロソフトでは2月にサティア・ナデラCEOが就任。新しい経営体制が動き出したばかり。その出ばなをくじくような被害が発生しないことを祈っていることだろう。