セキュリティ・ベンダー各社が
2009年を占う

　セキュリティ業界では製品やサービスの特性上、FUD（ユーザーの恐怖や不安、疑念をかきたてる“マーケティング手法”）がビジネスの大きな原動力となっている。そのため、業界予測の大部分は「混乱や災いが迫っている」という恐ろしい予言ばかりになることも珍しくない。

　それを考えると、業界各社が最近発表した2009年のコンピュータ・セキュリティに対する予測は、恐らくセキュリティ・マネジャーたちを少し安心させるものと言えよう。

　これらの予測のほとんどでは、スパム（迷惑メール）、フィッシング、ボットネットによる攻撃や、企業を狙ったマルウェアが著しく増加するとの見通しが示されている。また、Webやモバイル・アプリケーションから直接攻撃を仕掛ける手口の急増も強調されている。ただし、懸念材料の大半はすでによく知られている脅威にかかわるものでしかなく、非常に悪質で、来年新たに問題になりそうな脅威はわずかだとされている。

　例年と同様、ベンダー各社の予測の内容は、それぞれが手がける市場分野に関連したものとなっている。例えば、インターネット・インフラ・サービスを提供する米国Verisignは、SCADAシステム（プラントや産業設備などの監視／制御システム）などの重要な設備への攻撃が増えると予測している。一方、デスクトップ・セキュリティ・ソフトウェア・ベンダーの米国Sophosは、不正な攻撃コードを含むファイルを添付した電子メールの顕著な増加と、スパムの急増を警告する。一方、あるWebアプリケーション・セキュリティ製品ベンダーは、Webサイト経由での攻撃が増加すると予測した。

脅威の「質」は変化なし、
ただし「量」は増加する傾向

　全般に、各社の予測で示されている2009年のセキュリティ動向は良好とはいえないものの、おおむね今年と変化がないように見える。ただし、どの分野でも脅威の発生件数は増加する見通しだ。

●Websense

　2009年には、攻撃意図を持つコンテンツの80％が、攻撃者に乗っ取られた「評判の良い」サイトでホスティングされるようになる。

　加えて、ボットネットの操作や攻撃用コードのホスティングに関して、攻撃者は分散モデルへの移行を進める。これにより、攻撃用のWebサイトを動的かつ迅速に移転させることが可能となり、発見や閉鎖が困難になる。

●MessageLabs

　SNSのユーザーを狙ったフィッシング攻撃の手口がより巧妙化する。SNSを狙うのは、より多くの個人情報を収集することで、ターゲットを絞り込んだスパム送信が可能になるからだ。

　また、スマートフォンを狙った攻撃も増えるという。無料のダウンロード・アプリケーションやゲームを介して行われるこの攻撃は、2008年に登場したが、さらに悪質化する見通しだ。

●Sophos

　来年にはWebサイトに対するSQLインジェクション攻撃が急増し、スケアウェア（scareware、無価値なソフトウェアを有償で販売する詐欺手法、関連記事）も増えるだろうと、Sophosは指摘する。今年急激に増加した、攻撃意図を持つファイルを添付した電子メールやスパムも、引き続き増加する。

●Cisco Systems

　オンライン犯罪の成功率を高めるため、より多くの犯罪者が、電子メールとWebベースの攻撃、システム侵入を組み合わせたアプローチを導入する見込みである。ボットネットはより多用途の攻撃ツールとなり、犯罪者がボットネットを使ってスパム送信やマルウェアのホスティングを行ったり、特定ターゲットへの直接攻撃を仕掛けたりするようになる。

　また、リモート・ワーカーの増加と、それに付随するWebベース・ツール、モバイル・デバイス、仮想化技術の利用拡大に伴い、企業にとってセキュリティ上の懸念材料が増えるのは必至だと指摘している。

●Arbor Networks

　DDoS攻撃（分散型サービス妨害攻撃）の大規模化が進むと予測している。今年最大規模のDDoS攻撃は、ピーク時でおよそ40Gbpsの帯域を占有した。2009年、この数字は100Gbpsに迫り、ISP（インターネット・サービス・プロバイダ）がこうした攻撃を迅速に緩和することが困難になる。

●Verisign

　送電所のような基幹インフラを監視／制御するSCADAシステムへの攻撃が増加するだろう。世界全体を巻き込んだ金融危機と、それに伴う金融機関の合併や再編、破綻を背景として、2009年にはサイバー攻撃者にとっての「未曽有の攻撃チャンス」が生まれてしまう、と警告している。

　なお、新手の脅威として、Websenseでは「RIA（リッチ・インターネット・アプリケーション）」や「クラウド・コンピューティング環境」を標的とする攻撃を挙げている。RIAの人気が上昇するにつれて、コア・コンポーネントやユーザー作成のコンポーネントの脆弱性を突き、エンド・ユーザーのシステムを乗っ取ろうとする攻撃が増加するという。また、クラウド・コンピューティング環境は、スパム送信や攻撃用コードのホスティングに使われるケースが増えるだろう、とWebsenseでは見ている。

ITマネジャーたちは
どう見ている？

　一方、同じセキュリティ分野に対してでも、ITマネジャーたちの見通しは若干異なるようだ。

　米国のシンクタンクPonemon Instituteが、パッチ管理ベンダーの米国Lumension Securityの委託を受けて実施した、ITマネジャー825人に対する調査によると、約半数のITマネジャーは「アウトソーシングがセキュリティ上の最大の懸念材料」だと答えた。

　こうした懸念は、各企業が機密データを取り扱う業務のアウトソーシングを拡大すると予想されることが大きな根拠となっている。また、モバイル・デバイスを機密データの保存、アクセスに使うことが増えていることについても、セキュリティ上の影響を危惧するITマネジャーが多いとされている。