仮想マシンが「マルウェアに感染」したらやるべき“緊急対処”はこれだ：VMを安全に使う【後編】

　マルウェアがVM内で検出されたら、社内LANに接続している全てのVPNを遮断し、VMをシャットダウンする。その後、VMがマルウェアに感染したことを他のIT管理者に通知する。

　VMと接続していた全てのサーバと、ホストマシンの両方でのマルウェアスキャンも実施すべきだ。その後VMのイメージファイルを削除するか、バックアップやスナップショットで復元する。

共有の管理用VMで注意すべきこと

　代表的なVMの使い方として、社内LANにあるサーバでVMを実行し、そのVMをリモートで操作可能な共有デスクトップとして構築する運用方法がある。この方法は、複数のIT管理者が同一のVMに対してリモート接続し、作業を実施できる体制を実現する。社内LANの管理作業において、IT管理者が管理サーバに直接ログインするよりもセキュリティやアクセス権限の面でより安全な管理が可能になる。

　一方で、こうした管理用VMに攻撃者が接続すると、VMの高次権限を悪用して社内LANにある他のシステムを操作できてしまう。そうなれば、攻撃者は侵入した管理システムやVM内の管理ツールを用いて、社内LAN全体を制御下に置き、情報を窃取可能になる。

　こうした攻撃を防ぐには、管理用VMをインターネットに接続しないこと、IT管理者が管理用VMで個人的な作業を実行しないことが重要だ。管理用VMでのマルウェアスキャンも欠かせない。管理用VMがマルウェアに感染した場合、管理用VMを停止させて社内LAN全体をスキャンし、その後通常のVMと同様に、管理用VMを削除するか、バックアップやスナップショットで復元する。

非永続的VMで注意すべきこと

　非永続的VMを使用することはマルウェア対策として効果的だ。非永続的VMの利点は、VMを再起動するだけでマルウェアを除去できることにある。これは再起動のたびに、VMがマルウェアを含まない事前定義された状態にリセットされるためだ。

　ただしマルウェアはネットワーク経由で拡散したり、ホストマシンに転送されたりする可能性があるため、非永続的VMを使うだけでは完全なマルウェア対策にはならない。マルウェアを素早く検出するために、非永続的VMであっても定期的にマルウェアスキャンを実施することは重要だ。