Windows VistaのRootkit対策

先日、発売されたWindows Vista(64ビット版)では、下記の2つのRootkit対策が施されている。

• デバイスドライバの署名の義務化
• PatchGuard

上記の2つは、混同されがちだがまったく別の話である。また、どちらも対象が64ビット版に限定されているため、これらの恩恵にあずかるには、ハードウェアの普及とアプリケーションソフトの64ビットOSへの対応を待つ必要があり、もうしばらく先になるだろう。

ここでは、それぞれについて簡単に説明しよう。

デバイスドライバの署名の義務化

Sony Rootkitを含め、デバイスドライバとして実装されているRootkitは少なくない。

カーネルにロードされたデバイスドライバは、OSのあらゆる領域にアクセスすることが可能である。Rootkitは、これを利用して割り込み処理、ファイルI/O、プロセス管理といったOSの主要な処理に細工を施すことで機能を実現している。そのため、こうしたタイプのRootkitを防ぐ手っ取り早い手段は、不審なデバイスドライバをカーネルにロードさせないことだ。

これまでも、デバイスドライバの署名の有無に基づいてロードを制限することは可能であったが、管理者権限さえあれば如何様にも設定を変更することができた。Windows Vistaでは、管理者であっても信頼された認証局から署名されていないドライバはロードすることができないようにポリシーが変更されている(※3)。

※3: Windows カーネル モード ドライバの署名要件の概要

PatchGuard

PatchGuardは、Windows Server 2003 SP1(64ビット版)で初めて導入されたカーネルに対するパッチングを防止する機構である。Windows Vistaでは、これを引き継ぎ標準搭載している。

本稿では、Rootkitの細かい設計については割愛するが、前述のように多くのRootkitは、カーネルにパッチングを行い正常な処理を横取りすることで機能を実現している。PatchGuardは、Rootkitがパッチングを行う典型的なポイントを監視することでパッチングを検出する。パッチングを検出した際は、その情報を出力した後、シャットダウンする仕組みになっている。全てのRootkitがカーネルに対するパッチングを行うわけではないので、万能とは言えないが、それでも効果的な対策と言えるだろう。

また、Sony Rootkitの一件に見るように、Rootkitの技術は、目的を問わず様々な用途に利用される。一部のセキュリティソフトもこうした技術を利用するため、Symantec、McAfeeなどのセキュリティベンダとMicrosoftの間でPatchGuardを回避するためのAPIについての議論がなされている。Microsoftは、Windows Vista SP1でのAPIの提供を公言しており、現在のところAPIの評価基準が策定・公開されている(※4)。

※4: Kernel Patch Protection Criteria Evaluation Document

まとめ

WindowsにおけるRootkitは、従来通り侵入者・マルウェアの隠れ蓑としての一面は勿論、純粋にシステムの情報を操作する技術としての一面も存在する。後者は、利用方法によっては毒にも薬にもなりうるため、Microsoftも頭を悩ませているところだ。

将来的には、64ビットマシンとWindows Vistaの普及によりかなりの脅威が抑制されると思われるが、今しばらく動向を見守っていく必要がありそうだ。