もしそのファイルがマルウェアだった場合、クライアントが感染し、その後の悪意ある行動が行われるはずだ。しかしその行動場所は実際のクライアントPCではなく仮想環境の「砂場」であるため、利用しているPCには一切影響なく、マルウェアの検知が行える。

　このサンドボックス技術は目新しいものではない。ガートナーが提供するセキュリティ分野のテクノロジー予測曲線「ハイプ・サイクル」において、2015年のタイミングでサンドボックスをはじめとするATD（Advanced Threat Detecsion）は幻滅期にある。幻滅期というのは、新しいテクノロジーに関する当初の熱狂に代わり、幻滅感が広がる時期であるが、市場参入するベンダーが増え手頃な価格の製品も登場するなどの側面を持つ。つまり“普通の機能”になりつつあるステータスともいえる。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

図2　ハイプ・サイクル（出典：ガートナー）

　サンドボックス機能を持つ単体の製品は、その効能は理解できても単体機能として見た場合の価格が高く、「高根の花」という印象だったかもしれないが、現在では多機能なセキュリティ製品の1機能として組み込まれるようになった。その他にもクラウド型サンドボックスなども登場し、多くのベンダーからソリューションを選べるようになっている。投資するタイミングとしては最適な時期に来たといえよう。

サンドボックスで検知できたら、その次には何を？

　ただし、サンドボックスだけではセキュリティ対策は完全ではないことも理解しなくてはならない。サンドボックスの仕組みは外から内へ入ってくるファイルのチェックはできたとしても、万が一マルウェアがすり抜け、クライアントPCが攻撃者の管理下に置かれしまった場合、情報を内から外に出す部分の検知については、サンドボックスで行えるわけではない。

　ガートナーのリサーチ部門 ITインフラストラクチャ＆セキュリティリサーチディレクターの磯田優一氏は、「経営者はリスクをゼロにすることを求めがちだが、完全なセキュリティを確保するのは不可能。そのため、リスクを減らすという観点のリスクマネさまざまントを行うべきだ」と述べる。そのイメージとして「ITセキュリティを“日本の城”に例えるといい」という。その点では、サンドボックスは石垣を構成する1つの“石”だ。さまざまなベンダーによる石を組み合わせて壁を造るだけでなく、天守閣を高くする（セキュリティ・インテリジェンス、SOC）ことや、いかに応戦するか（インシデント・レスポンス）も重要だといえよう。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

図3　多層防御を「日本の城」に例える（出典：ガートナー、写真出典：姫路市（姫路城））

　検知のためにサンドボックス技術を使うことで、これまでシグネチャやヒューリスティック解析では見つからなかった高度な攻撃を検知できる可能性が高くなった。その検知の力を、インシデント・レスポンスを含めた対策の自動化に活用するという考え方も重要だ。

　これまで、多くの企業は「侵入を防ぐ」ことに注力していた。そのような守り方だけではなく、素早く検知し、その検知結果を基に復旧、修正が行われるようなサイクルをいかに短くするか、自動化するかも重要だ。その検知の1手段として、サンドボックス技術を利用すべき時期に来たといえよう。

鎖も弱い部分があれば意味が無い――自社がその「弱い輪」にならないように

　「標的型攻撃は大企業が持つ重要データを一点集中で狙う」というのは間違ってはいない。だからといって、規模の小さい企業や重要データを持っていない企業で対策は不要というのは間違っている。もしあなたの企業が大企業と間接的にでも取引があれば、踏み台としてあなたの企業を狙う理由がある。取引先を含めたセキュリティ対策のうち、あなたの企業が「最も弱い輪」であることが分かれば、攻撃者はちゅうちょなくその鎖の弱点を突くだろう。

　そうならないためには、どのような規模の企業においても、標的型攻撃をはじめとする高度で新世代の攻撃手法を知り、守るべき方法も把握する必要がある。サンドボックス機能も手が届くソリューションになっている。