Loading article…
カーネルパッチ保護( KPP ) は、非公式にはPatchGuardとも呼ばれ、カーネルへのパッチ適用を防止するMicrosoft Windowsの 64 ビット ( x64 ) エディションの機能です。2005 年にWindows VistaおよびWindows Server 2003 Service Pack 1の x64 エディションで初めて導入されました。[1]
「カーネルのパッチ適用」とは、Windows オペレーティング システムの中心となるコンポーネントまたはカーネルに対するサポートされていない変更を指します。このような変更は、Microsoft によると、システムのセキュリティ、信頼性、およびパフォーマンスを大幅に低下させる可能性があるため、Microsoft によってサポートされたことはありません。[1] Microsoft は推奨していませんが、 x86エディションの Windowsでカーネルにパッチを適用することは可能です。ただし、x64 エディションの Windows では、Microsoft はカーネル パッチ適用に対する追加の保護と技術的な障壁を実装することを選択しました。
32 ビット (x86) 版の Windows ではカーネルのパッチ適用が可能なため、多くのウイルス対策ソフトウェア開発者はカーネルのパッチ適用を使用してウイルス対策やその他のセキュリティ サービスを実装しています。これらの手法は、x64 版の Windows を実行しているコンピューターでは機能しません。このため、カーネル パッチ保護により、ウイルス対策ソフトウェアのメーカーはカーネルのパッチ適用手法を使用せずにソフトウェアを再設計する必要が生じました。
しかし、Windowsカーネルの設計上、カーネルパッチ保護ではカーネルパッチの適用を完全に防ぐことはできません。[ 2] [3]このため、KPPは不完全な防御であるため、悪意のあるソフトウェアの作成者は防御を回避する方法を簡単に見つけてしまうため、ウイルス対策ベンダーに生じる問題がメリットを上回るという批判が起こりました。[4] [5]それでも、カーネルパッチ保護は、正規のソフトウェアがサポートされていない方法でカーネルにパッチを適用することで発生するシステムの安定性、信頼性、パフォーマンスの問題を防ぐことができます。
技術概要
Windowsカーネルは、デバイスドライバがカーネル自体と同じ権限レベルを持つように設計されています。 [6]デバイスドライバは、カーネル内のコアシステム構造を変更したりパッチを適用したりしないことが期待されています。 [1]ただし、x86エディションのWindowsでは、Windowsはこの期待を強制しません。その結果、一部のx86ソフトウェア、特に特定のセキュリティおよびウイルス対策プログラムは、コアカーネル構造を変更するドライバをロードすることで必要なタスクを実行するように設計されています。[6] [7]
Windows のx64エディションでは、Microsoft はドライバーが変更できる構造と変更できない構造に制限を課し始めました。カーネル パッチ保護は、これらの制限を課すテクノロジです。カーネル内の保護されたシステム構造が変更されていないことを定期的にチェックすることで機能します。変更が検出されると、Windows はバグ チェックを開始し、システムをシャットダウンします[6] [8] 。ブルー スクリーンが表示され、再起動します。対応するバグチェック番号は 0x109、バグチェック コードは CRITICAL_STRUCTURE_CORRUPTION です。禁止されている変更には次のものがあります: [8]
- システムサービス記述子テーブルの変更
- 割り込み記述子テーブルの変更
- グローバル記述子テーブルの変更
- カーネルによって割り当てられていないカーネルスタックの使用
- カーネル自体に含まれるコードの変更やパッチ適用[8]、またはHALやNDISカーネルライブラリ[9]
カーネルパッチ保護は、デバイスドライバによるカーネルの改変に対してのみ防御します。あるデバイスドライバが別のデバイスドライバにパッチを当てることに対しては防御を提供しません。[10]
結局のところ、デバイス ドライバーはカーネル自体と同じ権限レベルを持っているため、ドライバーがカーネル パッチ保護をバイパスしてカーネルにパッチを適用することを完全に防ぐことは不可能です。[2]ただし、KPP はカーネル パッチの適用を成功させる上で大きな障害となります。高度に難読化されたコードと誤解を招くシンボル名により、KPP はセキュリティを隠蔽することでバイパスの試みを阻止します。[6] [11] KPP の定期的な更新により、KPP は「動く標的」にもなります。しばらくは機能するかもしれないバイパス手法が、次の更新で機能しなくなる可能性が高いためです。2005 年の作成以来、Microsoft はこれまでに KPP の 2 つの主要な更新をリリースしており、それぞれが以前のバージョンで既知のバイパス手法を突破するように設計されています。[6] [12] [13]
利点
カーネルへのパッチ適用は、さまざまな悪影響を引き起こす可能性があるため、Microsoft ではこれまでサポートされていません。[7]カーネル パッチ保護は、次のような悪影響から保護します。
- カーネルに重大なエラーがあります。[14]
- 複数のプログラムがカーネルの同じ部分にパッチを適用しようとすることで生じる信頼性の問題。[15]
- システムセキュリティが侵害される。[6]
- ルートキットはカーネルアクセスを利用してオペレーティングシステムに埋め込まれ、削除がほぼ不可能になります。[14]
Microsoft のカーネル パッチ保護に関する FAQ では、さらに次のように説明されています。
パッチを適用するとカーネル コードが未知の未テストのコードに置き換えられるため、サード パーティ コードの品質や影響を評価する方法はありません...Microsoft のオンライン クラッシュ分析 (OCA) データの調査によると、システム クラッシュはカーネルにパッチを適用する悪意のあるソフトウェアと悪意のないソフトウェアの両方によって発生することが多いことがわかっています。
批判
サードパーティアプリケーション
マカフィーのMcAfee VirusScanやシマンテックのNorton AntiVirusなど、一部のコンピュータセキュリティソフトウェアは、x86システムのカーネルにパッチを当てることで動作した。[要出典] Kaspersky Lab が開発したウイルス対策ソフトウェアは、x86版のWindowsでカーネルコードのパッチを多用することで知られている。[16]この種のウイルス対策ソフトウェアは、カーネルパッチ保護のため、x64版のWindowsを実行しているコンピュータでは動作しない。[17]このため、マカフィーはMicrosoftに対し、WindowsからKPPを完全に削除するか、自社のような「信頼できる企業」が作成したソフトウェアについては例外を設けるよう求めた。[4]
シマンテックの企業向けウイルス対策ソフトウェア[18]とノートン2010シリーズ[19]は、KPPの制限にもかかわらず、x64版のWindowsで動作しましたが、ゼロデイマルウェアに対する保護能力は劣っていました。競合他社のESET、[20]、 トレンドマイクロ、[21]、 グリソフトAVG、[22]、 avast!、Avira Anti-Vir、Sophosのウイルス対策ソフトウェアは、デフォルトの構成ではカーネルにパッチを適用しませんが、「高度なプロセス保護」や「プロセスの不正終了を防ぐ」などの機能が有効になっている場合はカーネルにパッチを適用する場合があります。[23]
マイクロソフトは、例外を設けてカーネルパッチ保護を弱めることはありませんが、ハイパーバイザー仮想化ソフトウェアの利益のためなど、マイクロソフトが時折制限を緩和していることは知られています。 [10] [24]代わりに、マイクロソフトはサードパーティ企業と協力して、セキュリティソフトウェアがカーネルにパッチを適用せずに必要なタスクを実行できるようにする新しいアプリケーションプログラミングインターフェイスを作成しました。 [15]これらの新しいインターフェイスは、Windows Vista Service Pack 1に含まれていました。[25]
弱点
Windowsカーネルの設計上、カーネルパッチ保護はカーネルパッチの適用を完全に防ぐことはできません。[2] このため、コンピュータセキュリティプロバイダーのマカフィーとシマンテックは、KPPは不完全な防御であるため、セキュリティプロバイダーに生じる問題がメリットを上回ると述べています。これは、悪意のあるソフトウェアがKPPの防御を回避する方法を簡単に見つけ、サードパーティのセキュリティソフトウェアがシステムを保護するための行動の自由度が低くなるためです。[4] [5]
2006 年 1 月、「skape」および「Skywing」という匿名のセキュリティ研究者が、カーネル パッチ保護をバイパスできる可能性のある理論的な方法を説明したレポートを公開しました。[26] Skywing は、2007 年 1 月に KPP バージョン 2 のバイパスに関する 2 番目のレポートを公開し、 [27] 2007 年 9 月には KPP バージョン 3 に関する 3 番目のレポートを公開しました。[28]また、2006 年 10 月には、セキュリティ会社Authentium がKPP をバイパスする実用的な方法を開発した[29] 。
それにもかかわらず、マイクロソフトは、標準的なセキュリティレスポンスセンタープロセスの一環として、KPPをバイパスできる欠陥をすべて取り除くことに尽力していると述べています。[30]この声明に沿って、マイクロソフトはこれまでにKPPの2つの主要なアップデートをリリースしており、それぞれが以前のバージョンで既知のバイパス手法を打破するように設計されています。[6] [12] [13]
反トラスト行為
2006年、欧州委員会はカーネルパッチ保護が反競争的であるとして懸念を表明した。[31]しかし、マイクロソフトのウイルス対策製品であるWindows Live OneCareにはKPPに対する特別な例外はなかった。代わりに、Windows Live OneCareはカーネルにパッチを適用する以外の方法を使用して（そして常に使用していた）、ウイルス対策サービスを提供していた。[32]それでも、他の理由により、Windows Live OneCareのx64エディションは2007年11月15日まで利用できなかった。[33]
参考文献
- ^ abc 「カーネル パッチ保護: よく寄せられる質問」。Microsoft。2007年1 月 22 日。2007 年7 月 30 日閲覧。
- ^ abc skape; Skywing (2005 年 12 月). 「はじめに」. Windows x64 で PatchGuard をバイパスする. Uninformed. 2016 年 8 月 17 日時点のオリジナルよりアーカイブ。2007年9 月 20 日閲覧。
- ^ dushane (2023-04-03)、PatchGuardBypass 、 2023-04-03取得
- ^ ab Gewirtz, David (2006). 「Windows Vista ウイルス対策大戦争」. OutlookPower. 2013 年 2 月 1 日時点のオリジナルよりアーカイブ。2013 年7 月 8 日閲覧。「システムはすでに脆弱です。PatchGuard は既にハッキングされています。システムはすでに脆弱です。PatchGuard はイノベーションを阻害します。悪者は常にイノベーションを起こします。マイクロソフトはセキュリティ業界の手を縛ってイノベーションを阻止すべきではありません。私たちは悪者よりもイノベーションを起こすことに関心があります。」— クリス・パデン、シマンテックのコーポレート コミュニケーション チーム マネージャー
- ^ abcdefg Skywing (2007 年 9 月). 「はじめに」. PatchGuard Reloaded: PatchGuard バージョン 3 の簡単な分析. Uninformed. 2016 年 3 月 3 日時点のオリジナルよりアーカイブ。2007年9 月 20 日閲覧。
- ^ ab Schofield, Jack (2006 年 9 月 28 日)。「ウイルス対策ベンダーがヨーロッパで Vista に対する脅威を表明」The Guardian。2007年9 月 20 日閲覧。「これは、当社によってサポートされたことも、承認されたこともありません。これは、セキュリティ、不安定性、パフォーマンスの問題を引き起こし、カーネルに何か変更を加えるたびに、彼らの製品が壊れてしまいます。」—ベン・ファティ、マイクロソフトのセキュリティ技術部門のコーポレートバイスプレジデント
- ^ abc 「x64 ベース システムのパッチ ポリシー」。Microsoft。2007年 1 月 22 日。2007 年9 月 20 日に閲覧。
- ^ skape; Skywing (2005 年 12 月). 「システム イメージ」. Windows x64 での PatchGuard のバイパス. Uninformed. 2016 年 8 月 17 日時点のオリジナルよりアーカイブ。2007年9 月 21 日閲覧。
- ^ ab Skywing (2007 年 1 月). 「結論」. Subverting PatchGuard Version 2 . Uninformed. 2016 年 3 月 4 日時点のオリジナルよりアーカイブ。2007 年9 月 21 日閲覧。
- ^ Skywing (2006 年 12 月). 「誤解を招くシンボル名」. Subverting PatchGuard Version 2. Uninformed. 2016 年 3 月 3 日時点のオリジナルよりアーカイブ。2007年9 月 20 日閲覧。
- ^ ab Microsoft (2006 年 6 月)。「カーネル パッチ保護を強化するための更新プログラム」。Microsoftセキュリティ アドバイザリ (914784)。Microsoft。2007年9 月 21 日閲覧。
- ^ ab Microsoft (2007 年 8 月)。「カーネル パッチ保護を強化するための更新プログラム」。Microsoftセキュリティ アドバイザリ (932596)。Microsoft。2007年9 月 21 日閲覧。
- ^ ab Field, Scott (2006 年 8 月 11 日) 。「カーネル パッチ保護の概要」。Windows Vista セキュリティ ブログ。Microsoft。2006年11 月 30 日閲覧。
- ^ ab Allchin, Jim (2006 年 10 月 20 日)。「Microsoft 幹部が Windows Vista のセキュリティに関する最近の市場の混乱を説明」。Microsoft。2006年11月 30 日閲覧。
- ^ Skywing (2006 年 6 月)。「非エクスポート、非システム サービス カーネル関数のパッチ適用」。彼らは何を考えていたのか? ウイルス対策ソフトウェアの失敗。Uninformed。2007年9 月 21 日閲覧。
- ^ Montalbano, Elizabeth (2006 年 10 月 6 日). 「McAfee が Vista のセキュリティ機能に不満」PC World。 2007 年 4 月 5 日時点のオリジナルよりアーカイブ。 2006 年11 月 30 日閲覧。
- ^ 「Symantec AntiVirus Corporate Edition: システム要件」。Symantec。2006年。2007年5月15日時点のオリジナルよりアーカイブ。 2006年11月30日閲覧。
- ^ 「 Symantec Internet Security 製品ページ」。Symantec 2011 年。2011年1 月 26 日閲覧。
- ^ 「次世代 64 ビット コンピューター向けの高性能脅威保護」。ESET。2008 年 11 月 20 日。2008 年 11 月 20 日時点のオリジナルよりアーカイブ。
- ^ 「最小システム要件」。トレンドマイクロUSA。2012 年 2 月 8 日時点のオリジナルよりアーカイブ。2007年10 月 5 日閲覧。
- ^ 「AVG ウイルス対策およびインターネット セキュリティ - サポートされているプラットフォーム」。Grisoft。2007年 8 月 27 日時点のオリジナルよりアーカイブ。2007年10 月 5 日閲覧。
- ^ Jaques, Robert (2006 年 10 月 23 日)。「Symantec と McAfee は Vista に対して『もっと準備すべきだった』」vnunet.com。2007 年 9 月 27 日時点のオリジナルよりアーカイブ。2006 年11 月 30 日閲覧。
- ^ McMillan, Robert (2007 年 1 月 19 日)。「研究者: PatchGuard ホットフィックスが Microsoft に利益をもたらす」。InfoWorld。2007年9 月 21 日閲覧。
- ^ 「Windows Vista Service Pack 1 の注目すべき変更点」。Microsoft。2008年。2008 年 5 月 3 日時点のオリジナルよりアーカイブ。2008年3 月 20 日閲覧。
- ^ skape; Skywing (2005 年 12 月 1 日). 「Windows x64 で PatchGuard をバイパスする」。Uninformed。2017 年 8 月 1 日時点のオリジナルよりアーカイブ。2008年6 月 2 日閲覧。
- ^ Skywing (2006 年 12 月)。「Subverting PatchGuard Version 2」。Uninformed。2008年6 月 2 日閲覧。
- ^ Skywing (2007 年 9 月)。「PatchGuard Reloaded: PatchGuard バージョン 3 の簡単な分析」。Uninformed。2008年6 月 2 日閲覧。
- ^ Hines, Matt (2006年10月25日). 「MicrosoftがVista PatchGuard Hackを非難」eWEEK . 2016年4月2日閲覧。
- ^ Gewirtz, David (2006). 「Windows Vista ウイルス対策大戦争」. OutlookPower. 2007 年 9 月 4 日時点のオリジナルよりアーカイブ。2006 年11 月 30 日閲覧。
- ^ Espiner, Tom (2006 年 10 月 25 日). 「EC Vista の反トラスト法に関する懸念が具体化」. silicon.com. 2007 年 2 月 2 日時点のオリジナルよりアーカイブ。2006年11 月 30 日閲覧。
- ^ Jones, Jeff (2006 年 8 月 12 日)。「Windows Vista x64 セキュリティ - パート 2 - Patchguard」。Jeff Jones セキュリティ ブログ。Microsoft。2008年 12 月 9 日時点のオリジナルよりアーカイブ。2007 年3 月 11 日閲覧。
- ^ White, Nick (2007 年 11 月 14 日)。「すべての加入者を対象に Windows Live OneCare の次期バージョンへのアップグレードを発表」。Windows Vista チーム ブログ。Microsoft。2008年 2 月 1 日時点のオリジナルからアーカイブ。2007 年11 月 14日閲覧。
外部リンク
- PatchGuard の真実: シマンテックが不満を言い続ける理由[盗用]
- カーネルパッチ保護の概要
- マイクロソフト幹部がWindows Vistaのセキュリティに関する最近の市場の混乱を説明
- カーネルパッチ保護: よくある質問
- Windows Vista x64 セキュリティ – パート 2 – Patchguard 2008-12-09 にWayback Machineでアーカイブ
Uninformed.org の記事:
- Windows x64 での PatchGuard のバイパス
- PatchGuard バージョン 2 の破壊
- PatchGuard Reloaded: PatchGuard バージョン 3 の簡単な分析
バイパスアプローチの運用
- KPP デストロイヤー (ソースコードを含む) - 2015
- PatchGuard 3 をバイパスする動作可能なドライバ (ソース コードを含む) - 2008
- 16 進エディタで PatchGuard をバイパスする - 2009
Microsoft セキュリティ アドバイザリ:
- 2006 年 6 月 13 日カーネル パッチ保護の更新
- 2007 年 8 月 14 日カーネル パッチ保護の更新