ボットネット活動モデルの概要（２）

（具体的な事例とシステム的な対策）

８．Ｗｅｂサイトスキャンのためのクローラー

・一部セキュリティソフト会社のＷｅｂサイト評価機能において、Ｗｅｂサイトスキャンのためのクローラーが、迷惑と受けとめられるアクセスを行っています。

・フィッシングサイトなど有害なサイトから、セキュリティソフトのユーザを守るため、ユーザが訪れたサイトに対し、Ｗｅｂサイトスキャンが行われます。

・あるステークホルダーにとっては正当なアタックであり、被害を受けるサイトにとっては有害なアタックです。

・世界最大級のＷｅｂサイト安全性評価において、「未評価」とされるサイトは、評価されるまで、Ｗｅｂサイトスキャンが行われます。

・これらのロボットに対し、アクセス制限を行う場合には、有害なトラフィックが長期間継続します。

・「安全」と評価されるよう、ロボットのＷｅｂスキャンアクセスを許したとしても、ロボットのアルゴリズムが未対応の通信を使用するサイトについては、「未評価」のまま、アタックが継続される可能性があります。

・Web App Attack のようなアクセスを行い、DNSキャッシュ期限の切れたルータのドメインアクセス制限（例えば、*.amazonaws等のブロック）を通過します。スループットが求められるルータの多くが、このようなアクセスに完全には対応できません。基本的には、IPアドレスでのガードが必要です。ただし、この事例では、IPアドレスを特定しにくく、その数も１００を超え、アクセス元を変更するため、厄介と言えます。

・ドメインアクセス制限を行う場合には、２重、３重のガードが必要となります。例えば、ルータ（INとOUT）、FW、Webサーバなど。

・継続的にブロックを追加する等、イタチごっこにしないためには、セキュリティソフト会社のＷｅｂサイト評価に対し、「安全」への変更届を出すことも有効な対策です。時間はかかりますが、「安全」と評価されれば、クローラーのアクセスが緩和されます。

・主なＷｅｂサイト評価としては、トレンドマイクロ社、シマンテック社、マカフィ社で運営するものが挙げられます。

・メジャーなブログサービス等配下のサイトは、「安全」と評価されており、このような弊害は確認されていません。

・https通信(SSL)は効果の高い対策です。しかしロボットに対し完璧ではありません。

９．考察

サイバー世界は、性善説に頼る方策を甘美な幻想として退け、一貫して必然のセキュリティを追い求めています。
性善説を否定するならば、ＯＳやブラウザ、セキュリティソフトに悪意はないという性善説は否定されるべきです。
悪意があるかないかは、もはや重要ではなく、有害となりうる能力があるかないか？
セキュリティ上、そのような能力を封じることが求められるならば、ＯＳやブラウザ、セキュリティソフトのアクセス能力も例外ではないと言えるでしょう。
マルウエアもセキュリティソフトも同じ能力を持っています。
ブラウザやＯＳはそれ以上の能力があります。
少なくとも日本国内の多くは、思っている以上に性善説が機能する社会だと思います。
法的な縛りも機能し、企業の自浄作用の原理（プリンシプル）も機能しています。
ごく一部、ほんの少数、千に一つもない、害あるＣ＆Ｃ（コマンド＆コントロール）が存在するにすぎません。
しかしそれは、大量のロボットに指令を下し、害を拡散する。
これが、ボットネット活動モデルです。
その拡散は、セキュリティ上、インターネット接続それ自体を否定することに繋がりかねない脅威となりうるでしょう。