2024.11.27

中小企業におけるセキュリティ脅威への対策強化　〜修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）から対策を学ぶ〜

独立行政法人情報処理推進機構（IPA）が毎年発行している「情報セキュリティ10大脅威2024」から、中小企業の経営者やシステム担当者が注目すべき点を掘り下げていきます。

今回は５位に挙げられている「修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）」を攻撃事例とともに深掘りします。

１．ゼロデイ攻撃とは

ゼロデイ攻撃とは、システムやソフトウェアの脆弱性に対して、開発ベンダー等が認知もしくは修正プログラムを提供する前に行われる攻撃です。

ゼロデイ攻撃が行われた場合、ウイルス感染や情報漏えい等の直接の被害に留まらず、事業やサービスが停止するなど、多くのシステムやユーザーに影響が及ぶことがあります。

そのため企業には、脆弱性対策情報が公開された場合、早急な対応が求められます。

２．ゼロデイ攻撃による脅威

OSやアプリケーション等のソフトウェアの脆弱性が発見されると、開発ベンダー等が調査・分析し、修正プログラム（パッチ）や対策情報を公開します。

しかし、脆弱性対策情報の公開前に攻撃者が脆弱性の存在を知った場合、当該ソフトウェアの脆弱性を悪用したゼロデイ攻撃を仕掛けるおそれがあります。

ゼロデイ攻撃が行われると、ウイルス感染や情報漏えい、Webページやファイルの改ざん等の被害が発生し、事業やサービスが停止する可能性があります。

また、多くのシステムやユーザーに利用されているソフトウェアの脆弱性がゼロデイ攻撃に悪用された場合、被害が広範囲に及び、社会が混乱状態に陥るおそれもあります。

未知の脆弱性を悪用した攻撃を受けた場合は、被害者が攻撃されたことに気付かないケースもあります。

仮に攻撃に気付いたとしても、脆弱性の対策情報が公開されていないために、適切な対応を取れないことが想定されます。

ユーザー側がパッチを未適用状態のNデイ脆弱性*1を悪用するケースとは異なり、脆弱性対策情報が公開されてはいるものの、ゼロデイ攻撃への対策を行うことは非常に困難です。

*1 Nデイ脆弱性：
すでに公開されている脆弱性で、ベンダーや開発者等がパッチを提供もしくは作成中でユーザーは実装を待っている状態のもの。次回で詳しくご説明します。

３．代表的な攻撃例

ソフトウェアの脆弱性の悪用

開発ベンダー等が脆弱性対策情報を公開する前に、攻撃者はその脆弱性を悪用して攻撃します。

悪用の手口は、脆弱性によって異なります。例えば、通信プロトコルの脆弱性を悪用したDDoS攻撃（分散型サービス妨害攻撃）*2、アプリケーションの脆弱性を悪用した簡易プログラム（スクリプト）の実行、OSの脆弱性を悪用した特権アカウントの作成等があります。

*2 DDoS（Distributed Denial of Service）攻撃：
攻撃対象となるWebサーバーなどに対し、複数のコンピューターから大量のパケットを送りつけることで、正常なサービス提供を妨げる行為を指します。

４．ゼロデイ攻撃の事例

【事例１：HTTP/2プロトコルの脆弱性を悪用したゼロデイ攻撃】

2023年8月、HTTP/2プロトコルに存在する脆弱性を狙った大規模なDDoS攻撃が確認されました。一連の攻撃では1秒間に3億9,800万件を超えるリクエストが発生したと報告されています。

これまで最大規模とされていた、2022年の1秒間に4,600万件のリクエストが発生したケースをはるかに上回る規模の攻撃になりました。

この攻撃は、HTTP/2ラピッドリセット攻撃と呼ばれており、Webサーバー・プロキシサーバー・ロードバランサーやWeb API等、HTTP/2をサポートする多くのソフトウェアに影響を与えました。

この脆弱性の判明を受け、影響を受けるソフトウェア開発ベンダー間で協調し、情報共有が進められました。そして各社が定例のセキュリティアップデートを公開するいわゆる「パッチチューズデー」にあたる2023年10月10日に、パッチやアップデートの提供等が始まりました。

【事例２：ファイル圧縮ソフト「WinRAR」に存在する脆弱性を悪用したゼロデイ攻撃】

広く利用されているファイル圧縮ソフトの「WinRAR」に複数の脆弱性が存在し、2023年4月以降に一部の脆弱性がゼロデイ攻撃に悪用されていることが判明しました。

アーカイブフォルダ内の画像ファイルやテキストファイルのプレビューを行おうとすると、同名のフォルダ内に配置されたスクリプトを実行させることが可能になるという脆弱性でした。

開発元である「RARLAB」は、2023年8月2日に脆弱性の修正を行った「WinRAR　6.23」をリリースしています。

【事例３：Cisco Systems製品へのゼロデイ攻撃】

2023年10月、Cisco Systemsは「Cisco IOS XE」にリモートから認証がなくとも特権アカウントを作成できる脆弱性があり、9月中旬よりゼロデイ攻撃が行われていたと公表しました。

同社は、顧客のサポート中に本脆弱性を確認しており、本製品の利用者に対して開発ベンダー等が推奨する対策を講じるとともに、侵害を受けていないか確認するように呼びかけています。