Microsoft、新しいOSセキュリティ技術「Win32 app isolation」を発表

Microsoft、新しいOSセキュリティ機構「Win32 app isolation」を発表

　米Microsoftは6月14日（現地時間）、「Win32 app isolation」（Win32アプリ分離）を発表した。Win32アプリケーションの脆弱性を悪用した攻撃からWindowsクライアントを保護する新しいセキュリティ技術だ。

　未知の脆弱性やパッチが適用されていない脆弱性を悪用したセキュリティ攻撃は、ここ数年でその頻度と影響を増している。そこで、同社は信頼できないアプリ・疑わしいアプリをブロックする「スマート アプリ制御」（Smart App Control）を導入し、攻撃面の減少に努めている。

　しかし、こうした手法は人気アプリのゼロデイ脆弱性を突いた攻撃などに対しては無力だ。そこで被害を最小限に抑えるための、別のアプローチが必要となる。

　「Win32 app isolation」の基本的なコンセプトは、アプリをできるだけ低い権限で動作させること。Win32アプリは自由度が高く、誤解を恐れずに言えば「やりたい放題」だが、それを「AppContainer」と呼ばれるサンドボックス機構に閉じ込め、システムからの隔離（分離）を図る。こうすることで万が一アプリが乗っ取られても、システムやそのほかの領域は守られるというわけだ。

「やりたい放題」なWin32アプリを「AppContainer」に隔離し、万が一アプリが乗っ取られてもシステムに影響が及ばないようにする

　「AppContainer」はストアアプリや「Microsoft Edge」などで採用されており、すでに実績もある。既存のWin32アプリをパッケージングする「MSIX Packaging Tool」を活用すれば、比較的容易に対応できるのも魅力だ。

　しかし一方で、アプリの権限が低いとファイルシステムやトースト通知、タスクトレイ、プリンターといったリソースへのアクセスまで制限されてしまう。これでは機能性・操作性が著しく低下し、アプリは使い物にならない。

　そこで第2段階として、アプリを実際に動かし、それが利用しているリソースを調査して、そのリソースにだけアクセスを許可する仕組み（マニフェスト）が必要となる。これを開発者が手作業で行うのは負担となるが、「Application Capability Profiler」（ACP）と呼ばれるツールを利用すれば自動化できる。

　つまり、「Win32 app isolation」であればアプリ開発者に大きな負担を強いることなく、エンドユーザーをゼロデイ脆弱性から守ることができるわけだ。エンドユーザーにとっても、「やりたい放題」なWin32アプリをコントロールし、使わせたくないリソースへのアクセスを拒否できる点は、安心感につながるだろう。

　「Win32 app isolation」はOS標準のセキュリティ機能となるべく設計されており、アクセスを許可したリソースはOSのプライバシー設定で確認したり、あとから変更できる。不審なアプリの侵入を許さない「スマート アプリ制御」と、万が一導入済みアプリが攻撃を受けた場合の被害を最小限にする「Win32 app isolation」を組み合わせれば、より大きな相乗効果が見込める。

不審なアプリの侵入を許さない「スマート アプリ制御」と、万が一導入済みアプリが攻撃を受けた場合の被害を最小限にする「Win32 app isolation」の2段構えによる防御

　同社は今後もCanaryチャネルで「Win32 app isolation」の機能を拡充させていくとのことなので期待したい。