Officeサポート終了：マクロ災害を防ぐ

Wachiwit | shutterstock.com

Windows 10のライフサイクル終了が目前に迫り、企業のITチームは現在対応に追われています。しかし、ITおよびセキュリティチームが把握しておくべき、他のMicrosoft製品の重要なサポート終了日も控えています。

10月には、Office 2016および2019、さらにExchange 2016および2019のサポートも終了します。移行の際には、その影響を業務面から評価するために、計画的なテストが必要です。多くの場合、プロセスやマクロ、その他の自動化手法が、企業に古いプラットフォームの継続利用を余儀なくさせます。しかし、Microsoftエコシステムから離れ（たとえばオープンソースのオフィスプラットフォームへ移行しようとする）ユーザーも、特にマクロに関連した移行問題に直面することになります。 

この記事では、以下の内容を解説します：

• Officeマクロがもたらすセキュリティリスク
• （WindowsとmacOSの両方で）自分を守るために取るべき対策

Officeマクロがセキュリティを脅かす仕組み

マクロは特定の業務プロセスに付加価値をもたらす一方で、悪影響を及ぼすこともあります。マクロは次の6つのカテゴリに分類できます：

• 悪意のあるコード：マクロには（多くの場合Visual Basic for Applicationsで書かれた）スクリプトが含まれており、文書を開いたときに自動的に実行されます。攻撃者はこのコードをマクロに埋め込み、主にデータの窃取、ファイルの破壊、システムの乗っ取りを狙います。
• マルウェア：悪意あるマクロはマルウェア（ランサムウェアを含む）の一般的な感染経路です。一度実行されると、悪質なソフトウェアは他の文書やテンプレート、システムへと急速に拡大します。
• 制御回避：攻撃者はマクロを利用してセキュリティ機構を回避し、不正にシステムやネットワークへアクセスします。これにより、データ窃取やスパイ行為などのリスクが高まります。
• ソーシャルエンジニアリング：悪質なマクロはフィッシングメールを通じて拡散されることが多く、添付文書を信頼してマクロを有効にするようユーザーを誘導します。
• ファイルレス攻撃：一部のマクロベースの脅威は完全にメモリ上で実行され、従来型のウイルス対策ソフトでは検出が困難です。
• 内部脅威：信頼できるユーザーであっても、（場合によっては意図せず）悪意あるマクロを拡散させることがあります。たとえば、文書の共有や未検証ソースのコード利用などです。

WindowsやOfficeは、ITチームによって適切に構成し、ユーザーを悪意あるマクロから守る必要があります。業務上マクロが不可欠な企業は、（次項で説明する）Attack Surface Reduction（ASR）の導入や、Power AutomateやMicrosoft Graphなどの最新の自動化手法の検討をおすすめします。

ちなみにLibreOfficeにも同様のリスクがあり、場合によってはさらに多くのリスクが存在します。というのも、エンドユーザーはMicrosoft Office製品ほど、インターネット経由で受信したマクロ付きの信頼できないファイルについて警告を受けません。

マクロのセキュリティ対策

WindowsにおけるAttack Surface Reduction

ASRルールの導入は、ほとんどの悪意あるマクロの影響を軽減できます。もし社内でマクロを完全に無効化している場合はASRは不要ですが、そうでない場合は必ず以下を実施してください。

• すべてのOfficeアプリケーションが子プロセスを起動できないようにブロックする。
• 難読化された可能性のあるスクリプトをブロックする。
• ダウンロードした実行ファイルの起動時にJavaScriptやVBScriptをブロックする。
• Officeアプリケーションが実行可能なコンテンツを作成しようとするのをブロックする。
• OfficeマクロからのWin32 APIコールをブロックする。
• 高度なランサムウェア対策を導入する。

macOSで悪意あるマクロを無効化する

macOS版Officeにも、悪意あるマクロからの保護を強化するツールが用意されています。たとえばAppleのOSは、潜在的に悪質な文書による被害を限定するためのサンドボックスを内蔵しています。しかし、これだけで安心してはいけません。犯罪者も企業ネットワークがWindowsとMacの混在環境になっていることを十分認識しています。そのため、Macプラットフォームでも利用可能なすべての防御策を活用することを推奨します。

特に、以下を実施してください。

• VBAオブジェクトモデルを無効化する。
• Visual Basicシステムバインディングを無効化する。
• Visual Basicライブラリバインディングを無効化する。
• Visual Basicパイプバインディングを無効化する。
• AppleScriptを呼び出すVisual Basicを無効化する。

(fm)

ITセキュリティに関する他の興味深い記事も読みたいですか？ 無料ニュースレターでは、セキュリティ担当者や専門家が知っておくべき情報をすべて、あなたの受信箱に直接お届けします。