アンチ・アンチウイルスソフトウェア
| 名称 | アンチ・アンチウイルスソフトウェア |
|---|---|
| 英称 | Anti-AntiVirus Software |
| 分類 | 防御補助・逆監査ソフトウェア |
| 初出 | 1989年頃 |
| 提唱者 | 佐伯 隆一ほか |
| 主な用途 | 検疫、誤検知監査、対ウイルス製品の自己診断 |
| 代表的運用環境 | UNIX系端末、Windows 3.x、社内LAN |
| 標準化団体 | 日本情報防疫協会（JIDA） |
| 関連規格 | JIDA-SA-12 / AV-Null Protocol |
アンチ・アンチウイルスソフトウェアは、を除去する従来型のを、さらに監視・封じ込め・名誉回復するために設計された防御系である。主に末のにおける企業内ネットワーク事故を契機に概念化されたとされる[1]。
概要[編集]
アンチ・アンチウイルスソフトウェアは、による過剰な隔離、誤検知、削除ログの改竄を抑止するための補助的な仕組みとして発展した概念である。一般には「ウイルス対策ソフトを守るソフト」と説明されることが多いが、実際にはの配布経路そのものを監査し、場合によっては検疫済みファイルに対する再検疫を行う、きわめて入れ子状の設計思想を持つ[2]。
この種のソフトウェアは、後半から前半にかけて、企業の情報システム部門で半ば自衛的に開発されたとされる。とりわけの外資系金融機関やの製造業では、ウイルス対策ソフトが業務文書まで隔離してしまう事故が相次ぎ、現場担当者が「アンチウイルスの暴走を止める別のアンチ」が必要だと主張したことが、名称の定着につながったとされる[3]。
名称と定義[編集]
名称の「アンチ・アンチ」は、当初にの通信機器メーカーで使われた社内略称「AAV」に由来するとされる。ただし社史では AAV を「Auto Audit Vault」と説明しており、後年の編集者のあいだで解釈が二転三転したため、用語史そのものが一種の迷宮化している。
定義上は、アンチウイルスソフトウェアを対象とする監視、再承認、例外管理、自己診断、及び誤検知の逆流防止を行うツール群を指すことが多い。なお、の内部資料では「ウイルスよりも先にアンチウイルスの誤りを疑う姿勢」と記されており、これは後に「防御のメタ化」として学会で引用された[4]。
一方で、の一部資料では、アンチ・アンチウイルスソフトウェアは「導入担当者の不安を形式的に沈静化する心理的補助具」に近いとされている。このため、実装よりも運用儀礼のほうが重要であった時期があり、朝礼での起動報告や、月初の手動サムチェックが半ば儀式化していたといわれる。
歴史[編集]
前史[編集]
前史はの普及期にさかのぼるとされる。当時、磁気媒体経由の感染が増え、企業は市販のを導入したが、初期製品の一部は誤検知率が高く、社内の会計ファイルや人事台帳を「疑わしい実行ファイル」として隔離した。これに対し、のシステム管理者・佐伯隆一は、対策ソフトの定義更新を監視する小さな常駐プログラムを作成し、これが後に原型とみなされた[5]。
佐伯は1987年の社内報で「敵を倒すより、敵を名乗る味方を先に監査すべきである」と述べたとされるが、原本は社内火災で失われており、引用のみが残っている。この逸話は研究者の間でしばしば疑義を呈されるが、現場ではほぼ伝説として扱われている。
普及期[編集]
からにかけて、のソフトウェア商社数社が「対策ソフトの対策ソフト」という売り文句で限定配布を行い、アンチ・アンチウイルスソフトウェアは一気に拡散した。特に、の地下会議室で行われたデモンストレーションでは、デモ機が実演中に三度も隔離処理を停止し、来場者が拍手したという有名な逸話がある。
この時期の製品は、上で動作する極小サイズの監視モジュールと、管理者が紙に記入した許可リストを照合する「半手動モード」を備えていた。ある製品では、例外ファイルの作成にの申請書が必要で、承認印が六つ揃わないとアンインストールもできなかったとされる。
標準化と反発[編集]
にはがJIDA-SA-12を公表し、アンチ・アンチウイルスソフトウェアの基本要件として「防御対象の防御を再び防御する際は、少なくとも二段階の説明責任を持つこと」を規定した。しかし、これに対し多くの現場管理者は、説明責任の増加が結局は復旧遅延を招くとして反発した。
また、のある病院では、電子カルテ用端末に導入された監視機構がアンチウイルスソフトウェアの隔離ログを誤って改ざん扱いし、週末に三十四台が一斉再起動した。院内では「再起動祭り」と呼ばれたが、メーカーはこれを「自己整合性の高度化」と説明した[要出典]。
技術[編集]
基本構成[編集]
典型的なアンチ・アンチウイルスソフトウェアは、定義更新監視、検疫例外の監査、削除対象の復元、及びアンチウイルスソフトウェア自身の整合性確認から成る。中核には「逆ブラックリスト」と呼ばれる仕組みがあり、通常の危険ファイル一覧とは逆に、過去に誤検知を起こした署名や検出エンジンを登録する。
このため、製品によってはやなどの実在製品名を参照しつつ、社内ではそれらを「第一層の守護対象」として扱うことがあった。さらに、監査ログが肥大化すると監視のための監視が必要になり、結局「アンチ・アンチ・アンチウイルスソフトウェア」へ拡張される事例も見られた。
運用上の癖[編集]
運用上もっとも特徴的なのは、例外許可の発行に人間の署名を必須とする点である。とりわけの金融系データセンターでは、夜間バッチ処理を通すために当直者が三重の確認を行い、紙の回覧板をスキャンしてシステムに添付していた。
また、誤検知の多い環境では、アンチ・アンチウイルスソフトウェアが先に「この警告は警告ではない」と判定し、その結果として通常のアラートが沈黙することがあった。この挙動は現場で好まれたが、後に監査法人からは「安心の自動化に見えるが、実質的には安心の先送りである」と評された。
派生技術[編集]
後半には、クラウド型の定義配布に対応するため、アンチ・アンチウイルスソフトウェアは「隔離箱の隔離箱」を管理するコンテナ監査機構へと発展した。これにより、仮想環境内のアンチウイルスソフトウェアが本番環境へ誤ってログを送信し、そのログが再び監視対象になるという、三層構造の事故が抑えられた。
一部の研究機関では、AIによる脅威判定に対しても同様のメタ監視を導入し、誤判定の確率を年率0.7%低減したと報告した。ただし、この数値はの小規模実験に基づくもので、対象端末が17台しかなかったため、統計的な妥当性には疑問が残る。
社会的影響[編集]
アンチ・アンチウイルスソフトウェアの普及は、情報システム部門の権限構造にも影響を及ぼした。導入以前は、ウイルス対策の判断はセキュリティ担当者に集中していたが、導入後は「誰が対策ソフトを監視するのか」という問題が生じ、総務、監査、法務の三部署が合同で運用委員会を設ける事例が増えた。
内の一部企業では、毎週金曜日に「定義更新レビュー会」が実施され、削除済みファイルの復元可否が議論された。会議は平均43分で終わったが、例外申請が多い月には2時間半を超え、最終的に「アンチ・アンチ会議だけで業務が止まる」と批判された。なお、2010年代にはこの会議の様式が内部統制研修の教材として引用され、過剰防御の象徴として扱われた。
批判と論争[編集]
批判の中心は、アンチ・アンチウイルスソフトウェアがしばしば「防御のための防御」を無限に増殖させる点にあった。特にの業界紙では、ある製品がアンチウイルスソフトウェアの隔離フォルダを監視するために、さらに別の監視エージェントを常駐させ、そのエージェントが自分自身の更新を再監査し続けた事例が報じられた。
また、導入企業の一部からは「安心感は増したが、復旧速度が落ちた」との声が上がった。これに対して開発者側は「復旧の速さは重要だが、誤復旧の速さはもっと危険である」と反論したが、この論法はしばしば机上の空論として退けられた。なお、の某監査法人が発表した白書では、運用担当者の睡眠時間が平均12分伸びたとされるが、測定方法の詳細は明らかでない[要出典]。
脚注[編集]
関連項目[編集]
脚注
- ^ 佐伯隆一『対策の対策としての対策』日本情報防疫研究所, 1993年.
- ^ Margaret A. Thornton, "Recursive Quarantine and Its Discontents", Journal of Applied Defensive Computing, Vol. 8, No. 2, 1997, pp. 41-68.
- ^ 渡辺精一郎『企業LANにおける逆監査機構』電気書院, 2001年.
- ^ Hiroshi Kanda and Evelyn P. Shaw, "Exception Lists in Post-Scan Environments", Proceedings of the 12th International Symposium on System Hygiene, 2004, pp. 119-133.
- ^ 『JIDA-SA-12 アンチ・アンチウイルスソフトウェア運用指針』日本情報防疫協会, 1998年.
- ^ 田島由紀『誤検知の文化史』勁草書房, 2008年.
- ^ Christopher W. Hale, "When Antivirus Needs Antivirus", Security Review Quarterly, Vol. 14, Issue 1, 2011, pp. 9-27.
- ^ 『社内ネットワーク防疫白書 2013』全国情報管理協議会, 2013年.
- ^ 中村早苗『アンチのアンチは何を守るか』情報文化社, 2017年.
- ^ Bennett C. Rhodes, "The Great Re-Quarantine Incident of Yokohama", Vol. 3, No. 4, Pacific Computing Studies, 2020, pp. 77-96.
外部リンク
- 日本情報防疫協会アーカイブ
- 社内LAN史研究室
- 逆監査技術資料館
- 例外管理フォーラム
- 防御のメタ化年表