第7話 訓練メールに添付する、模擬のマルウェアファイルを作ろう
訓練メールに添付する模擬のマルウェアファイルは、従業員に標的型攻撃を体験してもらうための要となるものです。どのようなものを、どのようにして作るか？専門の業者にお願いして作ってもらうという手もありますが、ここでは、自分達の手で作る方法をご案内します。
まずは自組織で実施しているセキュリティ対策の内容を把握する
サーバーのセキュリティ対策など、自組織で実施しているセキュリティ対策に関わっているエンジニアが訓練実施担当である場合は、模擬のマルウェアファイルを作ることは何ら問題は無いかもしれませんが、訓練実施担当部門とセキュリティ対策を行っている担当部門が別であるケースや、システムに関する具体的な設定作業は委託先に任せているといったケースはあるかと思います。
もし、あなたがセキュリティ対策を行っているエンジニアではなく、自組織内で行われているセキュリティ対策作業については別の担当者に任せていて、詳細については把握していない。というのであれば、まずは、具体的にどのようなセキュリティ対策が行われているかを把握することをお薦めします。
何故なら、実施されているセキュリティ対策によっては、模擬のマルウェアファイルをメールに添付しても、セキュリティ対策システムによって除去されて届かなかったり、模擬のマルウェアの動作がブロックされてしまったりといったこともあるためです。要は、セキュリティ対策に引っかかってしまって攻撃にならない。ということもあるということです。
これはこれで望ましいことではあるのですが、訓練を実施する上では厄介です。といって、訓練を実施するためにセキュリティ設定を緩めるのは本末転倒なので、現状実施されているセキュリティ対策に引っかからないような模擬のマルウェアファイルを作るのが筋ということになります。
そうすると当然、現状ではどのようなセキュリティ対策が実施されているのか？を把握することが必要となってくるというわけです。
しかしながら、セキュリティ対策の詳細は重要事項でもあるので、自組織内であっても公開しない方針としているところも有るかと思います。このような場合は、セキュリティ対策を実施している担当者に模擬のマルウェアファイルの作成をお願いするか、セキュリティ対策に引っかからないものを、自分で試行錯誤しながら作るしかないということになります。
作るものはマルウェアである必要は無い
「模擬のマルウェアファイル」という言葉から、模擬とはいえ、マルウェアを作らなければならないのか？というと、そうではありません。訓練の目的に照らし合わせて、「マルウェアファイルのように見えるもの」を作ればよいだけなので、実際にはマルウェアで無くても良いのです。
「無害のマルウェア」などとも言われますが、実際にはマルウェアでも何でも無いので、模擬のマルウェアと呼ぶのは正しくないような気もしますが、ここでは便宜上「模擬のマルウェア」と呼ぶことにします。もちろん、訓練の目的によっては、ほぼ実際のマルウェアに近いものを作ってしまうというのも有りです。
実際のマルウェアに近いものを作って訓練をするというような場合は、相当に高度な訓練となり、専門家を交えての実施ということになると思いますので、ここで説明する必要はないでしょう。なので、ここでは、マルウェアでも何でも無い、単に、見かけだけがマルウェアのように見える「模擬のマルウェア」に絞って、ご案内を進めていくことにします。
模擬訓練の実施パターンに応じたファイルの作り方
マルウェアに感染させる仕組みを実行するよう誘導するためのメール本文のパターンは無数にありますが、マルウェアに感染させるための仕組み（方法）にも幾つかのパターンがあります。大きく分けると、以下の４種類です。４つ全てについてここで解説すると長くなってしまいますので、各パターンの仕組みや、メールに添付する模擬のマルウェアファイルの作り方については、それぞれのリンク先でご案内します。
- WordやExcelなどの文書ファイルを添付するパターン WordやExcel、PDFなどの文書を含んだZipファイルをメールに添付し、文書を開いてしまうことでマルウェアに感染させるというシナリオ
- 実行形式のプログラムファイルを添付するパターン exe実行ファイルを含んだZipファイルをメールに添付し、exe実行ファイルをクリックすることでマルウェアに感染するというシナリオ
- Windowsのショートカットリンクファイルを添付するパターン プログラムが仕込まれたWindowsのショートカットを含んだZipファイルをメールに添付し、ショートカットをダブルクリックしてしまうことでマルウェアに感染するというシナリオ
- URLリンクをメール本文に記載するパターン メール内に記述されたURLリンクををクリックしてしまうことで、マルウェアが仕込まれたWebサイトに誘導されてしまうというシナリオ
⇒具体的な解説はこちらをクリック
⇒具体的な解説はこちらをクリック
⇒具体的な解説はこちらをクリック
⇒具体的な解説はこちらをクリック
→次の記事へ（ WordやExcelなどの文書ファイルを標的型メール訓練に使う方法 ）
標的型メール訓練をPDCFAサイクルとして実施するためのイロハをまとめています。訓練実施が初めてという方は是非ご一読下さい。
