2020年12月31日では、3年間かけて準備を進めてきた締め切りが迫っています。 その時点で、アドビはFlashのサポートを終了する予定です。 では、それは組織のIT部門や、私たち一人ひとりにとって、どのような意味を持つのでしょうか？
これは、Flashに現在存在するセキュリティ上の脆弱性は、 1月1日のリリース後も修正されないため、注意してご利用いただく必要があるという意味です。 そして、それらを悪用しようと待ち構えている悪意のある人物が世の中には大勢います。 組織とご自身を守るために知っておくべきことは、以下の通りです。
Flashは、本当に安全だったのでしょうか？
スティーブ・ジョブズ氏が、今や有名な「 」という記事『Thoughts on Flash』（ （新しいタブで開きます） in 2010）を執筆したとき、それは全盛期には10億台近くのエンドポイントで動作していたアプリケーションの終焉を告げるものとなりました。 注目すべき点は、ジョブズ氏がFlashを否定した際、セキュリティは同アプリケーションに対する彼の懸念事項のうちの1つに過ぎなかったということです。
それ以来、多くのウェブサイトがアニメーションやインタラクティブなコンテンツの提供に HTML5 を利用するようになり、その結果、Flashの導入台数は徐々に減少してきました。 さらに、ブラウザベンダー各社はオープンスタンダードへの移行を進めており、その多くが、Flashが引き起こしうる数多くのセキュリティ上の脆弱性を理由に、Flashの実行をブロックしています。
とはいえ、オペレーティングシステムやウェブサイト、企業のファイアウォール内の業務用アプリケーションの一部、そしてユーザーの端末などには、依然として多くのFlash――あるいはその断片――が存在しています。
Flashがセキュリティ上の問題に対してこれほど脆弱だったのはなぜでしょうか？
セキュリティの面において、波乱に満ちた歴史をたどってきたのは、Flashだけではありません。 Tanium社のテクニカルアカウントマネジメント担当ディレクター、ボイド・ホワイト氏によると、長年にわたり、アドビはセキュリティ上の脆弱性を抱えた多くの製品をリリースしてきました。
Flashについては、彼は次のように述べています。「当初は実用的なツールとして開発されたものであり、アドビはセキュリティを最優先にしていないように見えたのです。」 彼らは、およそ 25 年前にマイクロソフトがそうだったのと同じように、非難を浴びました。 しかし、Adobe Flashでは、リモートからの悪用を許さない製品をリリースするために必要な制御機能が実装されることはありませんでした。」
アドビによるいくつかの買収も、この行き当たりばったりのアプローチの一因となりました。
「Flashはもともと、まったく別の製品でした」とホワイト氏は付け加えます。 「ですから、既存のコードベースを引き継ぐときは、いつもただそれを動かせるようにしようと努力するだけなのです。」
ホワイト氏は、Taniumコミュニティの「 」脆弱性アドバイザリ（ （新しいタブで開きます） ）において、Flashのサポート終了への対応方法に関する技術的な概要を共有しています。
サポート終了に伴い、Flashのリスクが高まるのはなぜでしょうか？
サポートが終了すると、存在する脆弱性は一切修正されなくなるため、リスクはさらに大きくなります。 また、Flashは長い間使われてきたため、至る所にその例が見られます。 たとえば、新しいパソコンにWindows 10 をインストールした場合でも、オペレーティングシステム内にはその痕跡が残っています。 巧妙な攻撃者が、不審に思わないユーザーを巧みに誘導し、マシン上で潜在的な脆弱性を持つダイナミックリンクライブラリ（DLL）を起動させるようなものをクリックさせれば、それだけで、遠隔コード実行が可能になってしまいます。
システム内で不要になったコードをすべて見つけ出し、削除するのは難しいものです。 アンインストーラーでは、残存ファイルがすべて削除されないことがよくあります。 DLL、実行ファイル、レジストリキー、あるいはアクセス権などを残す可能性があります。 ですから、たとえFlashのアンインストーラーを実行したとしても、問題が解決しない可能性があります。
Flashには、今でも正当な用途はあるのでしょうか？
間違いなく、Flashには依然としていくつかの正当な用途が残っています。 例えば、一部のエンタープライズ・リソース・プランニング（ERP）のレポート作成アプリケーションでは、Flashが使用されている場合があります。 組織は、Flashが不要な場所ではアンインストールし、他のアプリケーションでは代替できない用途がある場所ではそのまま残すという選択が可能です。
しかし、これによりプロセスが複雑化し、リスクが高まります。 あるアプリケーションのすべてのユーザーを追跡するのは容易なことではありません。 Taniumのお客様は、「 」の「 」（新しいタブで開きます） モジュールを使用して、Adobe Flashを削除することができます。その際、正当な利用目的がある場合には、IT部門に通知するオプションをユーザーに提供することも可能です。 これにより、リスクの露出を制限することができます。
セキュリティに関しては、完璧なものなど存在しません。 しかし、環境からAdobe Flashを削除すればするほど、安全性は高まります。
ご使用の環境におけるFlashのリスクを最小限に抑えるための4つのヒント
Flashに対処するための唯一無二の完璧な戦略や戦術は存在しないことを踏まえ、以下の方法をお勧めいたします：
- の調査：社内の各部門に対し、Flashの利用状況や必要性について調査を行ってください。 また、Webアプリ開発者や企業の情報セキュリティ責任者（BISO）を対象にアンケート調査を行うことも可能です。 アンケート調査では、回答を得るのは常に難しいものですが、Flashが原因でセキュリティ侵害が発生すれば、企業の評判や業務に悪影響を及ぼすことを強調してください。
- Tanium DeployおよびPatch：Taniumをご利用のお客様には、当社のDeployおよび Patch （新しいタブで開きます） モジュールが、Flashの脆弱性の検出と修正に役立ちます。
- Tanium Comply：Taniumをご利用のお客様は、引き続き Tanium Comply （新しいタブで開きます） を使用して、脆弱性のスキャンを行ってください。 サポート終了（EOL）後にAdobe Flashの新たな脆弱性が発見された場合、Tanium Complyは更新され、脆弱性のあるシステムを特定・追跡するお手伝いをいたします。
- 信頼できる企業のアンインストーラー：組織が、Flashのベースアプリケーションだけでなく、Flashに関連するすべてのソフトウェアを確実に削除したかどうかを必ず確認してください。 これには、Adobe Flashのアンインストーラーも含まれています。
Flashに伴うリスクは徐々に減少していくでしょう
ホワイト氏やその他の専門家によると、Flashの脆弱性の特定と修正には、数年とまではいかなくても、数ヶ月はかかる見込みです。
「オペレーティングシステムが完全に再構築されるまでは、多くの組織のシステムにはその名残が残り続けるでしょう」とホワイト氏は述べています。 「しかし、時間が経つにつれて、そのリスクははるかに低くなるでしょう。」
それまでの間、組織や個人は常に警戒を怠らないようにする必要があります。 例えば、Flash であることを示す .swf（Shockwave ファイル）などの特定のファイル拡張子に注意してください。 Flashプログラム上でユーザーに「ここをクリック」するよう促すリンクは、いずれも のフィッシング詐欺の可能性があります（ ）。これにより、お使いのデバイスや企業ネットワークにマルウェアが侵入する恐れがあります。
サポート対象外のアプリケーションは、Adobe Flashだけの問題ではありません
ホワイト氏は、アプリケーションのライフサイクル終了（EOL）およびサポート終了は、Flashだけの問題ではないと指摘しています。 製品の開発が終了すると、その製品に未発見の脆弱性が存在する可能性は常にあります。 つまり、サポートが終了すると、これらの脆弱性に対するパッチは存在せず、今後も決して提供されることはないため、これらの脆弱性はいつまでも悪用され続けることになります。
「Flashのサポート終了をめぐる話題は、アプリケーションやオペレーティングシステムのサポート終了（EOL）を全般的にどのように管理すべきかについて考える良い機会となります」とホワイト氏は述べています。 「悪意のある人物に機会を与えるのは、必ずしも注目度の高いアプリケーションである必要はありません。」
大規模な組織では、数百、あるいは数千ものアプリケーションが利用されており、それらの多くは、いずれサポート終了（EOL）を迎えることになるでしょう。 また、ある企業が別の企業と合併したり買収したりすると、この問題の規模と複雑さがさらに増すことになります。 これがもたらす脅威は、甚大なものになりかねません。
「この話の教訓は、結局のところ、基本的なITの衛生管理に帰着すると思います」とホワイト氏は述べています。 「ネットワーク上に何が存在し、その理由を把握しましょう。」 「そうした可視性がなければ、間違いなくリスクにさらされていることになります。」
そして、合併や買収においては、この問題はさらに差し迫ったものとなります。 買収対象企業のソフトウェアスタックがどのような構成になっているか、また、御社がどのようなセキュリティやパフォーマンス上の課題を引き継ぐことになる可能性があるかを把握することが不可欠です。
「アプリケーションの使用を中止することにしたとき、あるいはそのアプリケーションがEOL（サポート終了）を迎えたとき、それによるセキュリティ上の影響は、そのソフトウェアがもともと果たしていた機能の範囲をはるかに超えるものとなります」とホワイト氏は付け加えています。
貴社の事業状況にかかわらず、Tanium Platform を利用すれば、Adobe Flash のような古くなったソフトウェアやリスクのあるソフトウェアの特定と削除を、従来の方法よりもはるかに迅速かつ容易に行うことができます。
「Taniumは、デバイス上のアプリケーションを管理し、その安全性と最大限の効率性を確保するために不可欠な可視性と制御機能を提供します」とホワイト氏は述べています。 「Flashはあくまで最新の事例に過ぎませんが、デバイスソフトウェアを注視し続けることは、あらゆるデジタル企業にとって、常に不可欠な要件です。」
Tanium を使用して Adobe Flash Player を検出して削除する手順については、 ホワイト氏の記事「 」（新しいタブで開きます） （Tanium コミュニティ）をご覧ください。
