セキュリティ

SECURITY

公開：2024-04-03

DEP(Data Execution Prevention)とは？意味をわかりやすく簡単に解説

text: XEXEQ編集部

DEP(Data Execution Prevention)とは

DEP(Data Execution Prevention)はバッファオーバーフロー攻撃などのメモリ破壊攻撃を防ぐためのセキュリティ機能です。DEPはアプリケーションが使用するメモリ領域のうち、実行可能なコードを含まない領域でのコードの実行を防止します。

この機能により、攻撃者が悪意のあるコードをメモリ上に配置し、そのコードを実行することを防ぐことができます。DEPはWindows XP SP2以降のWindowsオペレーティングシステムに標準で搭載されており、ハードウェアとソフトウェアの両方でサポートされています。

ハードウェアベースのDEPはCPUの機能を利用してメモリ保護を行います。一方、ソフトウェアベースのDEPはオペレーティングシステムがメモリ保護を行います。

DEPはデフォルトではシステムのコンポーネントとサービスに対して有効になっています。しかし、アプリケーションによってはDEPとの互換性がない場合があります。その場合、DEPを無効にする必要があります。

DEPはバッファオーバーフロー攻撃に対する効果的な防御策ですが、全ての攻撃を防げるわけではありません。そのため、他のセキュリティ対策と組み合わせて使用することが重要です。

DEPの仕組みと動作原理

DEPの仕組みと動作原理に関して、以下3つを簡単に解説していきます。

• DEPによるメモリ保護の仕組み
• ハードウェアベースとソフトウェアベースのDEPの違い
• DEPが防止するメモリ破壊攻撃の種類

DEPによるメモリ保護の仕組み

DEPはメモリ上の実行可能な領域と実行不可能な領域を分離することで、メモリ保護を実現しています。アプリケーションがメモリを割り当てる際、DEPはそのメモリ領域に実行不可能なマークを付けます。

攻撃者がバッファオーバーフローなどの手法を使って、実行不可能な領域にコードを配置しても、DEPがそのコードの実行を防止します。これにより、不正なコード実行によるシステムの侵害を防ぐことができます。

DEPはプロセスごとに設定可能であり、システム全体に対して有効にすることも可能です。また、特定のアプリケーションに対してDEPを無効にすることもできます。

ハードウェアベースとソフトウェアベースのDEPの違い

ハードウェアベースのDEPはCPUの機能を利用してメモリ保護を行います。Intel社のCPUではExecute Disable(XD)ビット、AMD社のCPUではNo Execute(NX)ビットと呼ばれる機能が使用されます。

これらの機能はメモリページごとに実行可能かどうかを制御します。ハードウェアベースのDEPはOSからの設定変更が不要であり、より確実にメモリ保護を行うことができます。

一方、ソフトウェアベースのDEPはオペレーティングシステムがメモリ保護を行います。WindowsではSafeSEHと呼ばれる仕組みが使用されます。ソフトウェアベースのDEPはハードウェアベースのDEPほど確実ではありませんが、より柔軟な設定が可能です。

DEPが防止するメモリ破壊攻撃の種類

DEPはバッファオーバーフロー攻撃をはじめとする様々なメモリ破壊攻撃を防止します。バッファオーバーフロー攻撃はアプリケーションが割り当てたメモリ領域を超えてデータを書き込むことで、不正なコードを実行する攻撃手法です。

また、DEPはフォーマットストリング攻撃やヒープオーバーフロー攻撃なども防止します。これらの攻撃はメモリ上の脆弱性を突いて不正なコードを実行する手法です。

DEPはこれらのメモリ破壊攻撃に対して効果的ですが、全ての攻撃を防げるわけではありません。例えば、return-to-libc攻撃と呼ばれる手法はDEPの制限を回避することができます。

DEPの設定方法とアプリケーションとの互換性

DEPの設定方法とアプリケーションとの互換性に関して、以下3つを簡単に解説していきます。

• Windowsにおける、システム全体でのDEP設定方法
• 特定のアプリケーションに対するDEPの設定方法
• DEPとアプリケーションの互換性の問題と対処法

Windowsにおける、システム全体でのDEP設定方法

WindowsでDEPをシステム全体で有効にするにはコントロールパネルのシステムプロパティからDEPの設定を変更します。「コンピューターの構成」タブの「パフォーマンス」セクションにある「設定」ボタンをクリックし、「データ実行防止」タブを選択します。

ここで、「必須のWindowsプログラムおよびサービスのみDEPを有効にする」か「すべてのプログラムおよびサービスのDEPを有効にする」かを選択できます。後者を選択すると、システム全体でDEPが有効になります。

ただし、この設定を変更するには管理者権限が必要です。また、一部のアプリケーションはDEPとの互換性がないため、注意が必要です。

特定のアプリケーションに対するDEPの設定方法

特定のアプリケーションに対してDEPを無効にするにはコントロールパネルのDEP設定画面で、「すべてのプログラムおよびサービスのDEPを有効にする(推奨)」を選択した上で、「次のプログラムのDEPを無効にする」にアプリケーションを追加します。

追加するには「参照」ボタンをクリックし、対象のアプリケーションの実行ファイル(.exeファイル)を選択します。DEPを無効にしたいアプリケーションを全て追加したら、「OK」ボタンをクリックして設定を保存します。

なお、アプリケーションによってはDEPを無効にしても正常に動作しない場合があります。その場合はアプリケーションの開発者に問い合わせるなどの対応が必要です。

DEPとアプリケーションの互換性の問題と対処法

DEPはメモリ保護のためのセキュリティ機能ですが、一部のアプリケーションではDEPとの互換性の問題が発生する場合があります。DEPが有効になっていると、アプリケーションが正常に動作しなかったり、エラーが発生したりすることがあります。

DEPとの互換性の問題が発生した場合、まずはアプリケーションの開発者に問い合わせることをおすすめします。開発者がDEPに対応したバージョンのアプリケーションを提供している場合があります。

開発者からの対応が得られない場合はアプリケーションに対してDEPを無効にすることで、問題を回避できる場合があります。ただし、DEPを無効にすることでセキュリティリスクが高くなるため、慎重に検討する必要があります。

DEPと他のセキュリティ対策の組み合わせ

DEPと他のセキュリティ対策の組み合わせに関して、以下3つを簡単に解説していきます。

• DEPとASLRの連携によるメモリ保護の強化
• DEPとセキュリティソフトウェアの併用
• DEPと最新のセキュリティパッチの適用の重要性

DEPとASLRの連携によるメモリ保護の強化

DEPはメモリ上の実行不可能な領域でのコード実行を防止するセキュリティ機能ですが、ASLRと組み合わせることでさらにメモリ保護を強化できます。ASLRはAddress Space Layout Randomizationの略で、メモリ上のアドレス空間をランダム化する技術です。

ASLRが有効になっていると、アプリケーションが使用するメモリ領域のアドレスがランダムに配置されます。これにより、攻撃者がメモリ上の特定のアドレスを狙った攻撃を行うことが困難になります。

WindowsではVista以降、LinuxやmacOSでも同様の機能が実装されています。DEPとASLRを併用することで、メモリ破壊攻撃に対する防御をさらに強化できます。

DEPとセキュリティソフトウェアの併用

DEPはメモリ破壊攻撃に対する防御策ですが、他の種類の攻撃を防ぐことはできません。そのため、DEPと併用してセキュリティソフトウェアを導入することが重要です。

セキュリティソフトウェアにはアンチウイルスソフトやファイアウォール、侵入防止システム(IPS)などがあります。これらのソフトウェアは様々な種類の攻撃を検知し、防止することができます。

DEPとセキュリティソフトウェアを併用することで、多層防御の体制を構築し、システムのセキュリティを向上させることができます。ただし、セキュリティソフトウェアの設定や運用は適切に行う必要があります。

DEPと最新のセキュリティパッチの適用の重要性

DEPはメモリ破壊攻撃に対する防御策ですが、ソフトウェアの脆弱性を突く攻撃を完全に防ぐことはできません。攻撃者は新しい脆弱性を発見し、それを悪用する攻撃手法を開発しています。

そのため、DEPを有効にしているだけでは不十分であり、オペレーティングシステムやアプリケーションの最新のセキュリティパッチを適用することが重要です。セキュリティパッチには発見された脆弱性を修正するための更新プログラムが含まれています。

WindowsではWindows Updateを通じて定期的にセキュリティパッチが配布されています。また、アプリケーションの開発者からもセキュリティパッチが提供されます。これらのパッチを適切に適用することで、システムのセキュリティを維持することができます。

参考サイト

1. Intel. https://www.intel.co.jp/content/www/jp/ja/homepage.html

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧