ひとこと(ブログ)です。いちおうの解決をみてから、まもなく3ヶ月経過しようとしています。問題の発生(2012年4月の未確認報告を最初の発生と見なすならば)からは、およそ2年が経過することになります。なんだったんでしょうね」とTwitterで質問されて、結局、当時得られていたの数少ない情報からでは何も分からなかった———みたいなことがあったわけですが、現在では上席執行役員さんの協力もあり、またトレンドマイクロ社からの情報開示もあり、検証のための情報もそろってきた感があります。そこで、これを機に、もう一度振り返りをしてみようかと思います。振り返るにあたって、まずは振り返る対象を明確にしておきたいと思います。発生要因と、その状況の混乱に拍車を掛けた要因について探ってみたいと思います。一次誤検知とは何だったのか振り返ってみると、連続誤検知には2つの時期があったと思います。それぞれ、「誤検知」の事象を引き起こした理由は同じですが、その現れ方が違っていたのではないかと考えます。・URL文字列の処理バグにより、ファイルの中身を見る前にウイルスであると誤認するようなプログラムとなっていたことということになるかと思います。色々な事象(誤検知される前とされた後では、バージョン情報表示文字列の違いくらいしかなかった)を説明する上で、一番矛盾がなく説明できると思いますし、そもそもトレンドマイクロ社のサポートスタッフの証言であることが有力となる根拠になるかと思います。その後、トレンドマイクロ社の上席執行役員さんに詳細を聞いたところ、2012年4月にウイルスバスターとそのバックエンドにプログラムの改修があり、その際にバグが混入した旨、確認が取れましたので、実際その通りなのだろうと思われます。この誤検知については、通常知られるような「低確率で発生する誤検知」ではなく、特定の形状を採るURLが現れると非常に高確率で発生する誤検知となっていたため、特定のサイト(ファイル?)に対して、執拗なまでの高確率誤検知が発生したということになります。当初の連続誤検知とは何だったのか先ほどの「一次誤検知」に対して「二次誤検知」(連続誤検知と見えた部分)についても考えてみたいと思います。・解決したと連絡が来ると同時に、これまで誤検知されていなかった他のミラーサイトを誤検知。トレンドマイクロに問合せ。・解決したと連絡が来ると同時に、これまで誤検知されていなかった他のミラーサイトを誤検知。トレンドマイクロに問合せ。・解決したと連絡が来ると同時に、これまで誤検知されていなかった他のミラーサイトを誤検知。トレンドマイクロに問合せ。↓::の繰り返しが1〜3日の間隔で発生するという現象に対して、そう呼んでいたように思います。この2ヶ月後に受けた説明として、「クローリング活動の検出技術」による問題だったことが知らされました。本体サイト、ミラーサイト1、ミラーサイト2、ミラーサイト3、...はすべて異なるドメインに配置されておりましたので、「クローリング活動」は、その処理リストに基づき、それぞれ時期をずらして、別々のタイミングで行われておりました。誤検知が別々に発生し、連続誤検知のように見えていたということになるかと思います。サポートスタッフの対応(それに携わる技術スタッフの捉え方)もそれぞれ個別な対応となってしまっていて、状況の整理とイタチゴッコ的になる対応が発生しいました。酷かったことと言えば、ある転載サイトから「あなたの所からウイルスが発生したので、掲載を見合わせます」と連絡が来て、トレンドマイクロに問い合わせて解除してもらい、「では転載しますね」と言われたとたんに、今度はその転載サイトがウイルスバスターによりブロックされた、というようなこともありました。・トレンドマイクロ社から私に対して寄せられた回答の中に、全く別の方へ回答すべき内容が含まれていた・そもそもサポートスタッフ自身「何が起きているか」を正確に把握していなかった・把握した後も、その内容を私へ正確に伝えることをしていなかったというようなことも発生していて、混乱にさらに拍車を掛けていたことがわかっています。加えて、INASOFTのサポートへのヒステリックなユーザーからの問合せであるとか、夜中にかかってきたプロバイダからの警告電話(ウイルスを配布していると疑われた)であるとか、(ごく一部ですが)転載サイトからの機械的で冷たいメールとか、そういったものも、作者の心に負担を掛けていった要因といえるかもしれません。(ちなみに転載サイトの反応は様々で、窓の杜のように早期に明確にトレンドマイクロ・ウイルスバスターとの決別を宣言するサイトもあれば、Vectorのように「こちらからの登録(アップロード)制」のために問題の起きなかったサイトもあるし、上記記載のように機械的な対応を繰り返ししてくるサイトもあったりしました)このあたり、トレンドマイクロ社がきちんと自ら、ウイルスバスターユーザーに向けての情報発信を行ってこなかったことが、結果として、混乱を収めることの出来なかった一番の原因になったと考えられます。その後発生した連続誤検知とは何だったのか実は「二次誤検知」は2つに分類できることがわかっています。一つは、根本原因が分かったと宣言されるまでの間の連続誤検知((3)で発生したもの)。一つは、根本原因が分かったと宣言された後に発覚した連続誤検知です。過去の経緯を見て頂くと分かるとおり、トレンドマイクロ社が7月13日に「原因が分かった」「再発防止策を構築した」と連絡が来た後、ほぼ1ヶ月後の8月19日に、誤検知が再発してしまっております。この間、ソフトウェアのバージョンアップ等は行っていませんし、URLの変更もしていません。過去に安全と判定されたURLが、いきなり危険と再判定され、ブロックされてしまうというという現象が発生しました。『一般的な誤検出と見た目の現象が同様であるため、真の原因にたどり着くまでに時間がかかり、(中略)、原因や対応方法など矢吹様にご案内できる内容も変わってしまう状況が発生しておりました』とのことでしたので、トレンドマイクロ社内でも本現象の取り扱いを巡り、状況が混乱していた様子が窺えます。実際、トレンドマイクロ社のサポートスタッフが「原因である」と考えていたものは、的外れだったことが分かっています。このような、1ヶ月経って、誤検知が再発した事情については、当時の私の想像としては、(当時あちこちで言われていた、人手による再発防止策が実施されていたという仮定が成り立つ場合)・再発の防止のために行われた『社内モニタリング』が、サポートスタッフの夏休みで中断していた。(『クローリング活動による問題』による問題が今回も発生していた場合)・再クローリングが1ヶ月の間隔で行われており、せっかくの誤鑑定抑止が解除されてしまった。・『その蓄積された評価結果(Webレピュテーション)とファイルレピュテーションの不整合が原因となり一連の問題が発生・継続し、想定を超える高い頻度の誤検出につながりました』とのことですので、一ヶ月かけて何らかの『蓄積』を行っていて、その蓄積が爆発した結果が「連続誤検知の発生と継続」に繋がったということのようです。この結果、本当の原因が発覚し、それの対応を行うことになったようなのですが、当時「解決には半年かかる」と説明していた内容が破綻したわけですから、解決時期に関しては「不明」となりました。この過程は私に説明されることはありませんでしたので、これもまた、さらなる混乱に拍車を掛けるきっかけになったのかもしれません。2.0当ブログでは掲載内容による不具合等に関する責任を持ちません。内容の正確性についての保証もありませんので、情報をご利用の際は、利用者の自己責任で確認をお願いします。当ブログ記載記事内容の複製公開については事前にご相談下さい。本ブログ記載記事は公開から1年半後の任意のタイミングで削除される予定です。