最新の標的型攻撃対策ツールの動向を探る（2/3 ページ）

公開 2018年10月09日 21時44分

更新 2022年10月03日 11時13分

著者

土肥正弘

[ドキュメント工房]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　こうした課題を解決するための次世代エンドポイント型アンチウイルスツールに注目したい。ここでは2つの製品例を紹介しよう。

5つのエンジンで多段チェックを行う「振る舞い検知」型アンチウイルス：FFRI yarai

　エンドポイント型の「振る舞い検知」型アンチウイルスツールの代表例が、FFRIyaraiだ。これは2009年に世界に先駆けて日本で開発された製品である。こちらはパターンマッチングの限界を克服することを当初から目標にしており、現在は図1に見るような5つのエンジンを備えている。

図1　FFRIyaraiの5つのエンジンの処理フロー（出典：FFRI）

　コアとなるのがZDPエンジンで、これはAPI呼び出しを監視して、呼び出し元を検査する特許技術をベースに「任意コード実行型」脆弱（ぜいじゃく）性攻撃（標的型攻撃で多用される）を検知する。汎用（はんよう）性のあるロジックで検知して、高確率で攻撃を入り口で止めることができる。

　このチェックをすり抜けた実行ファイルはその動作の前に構造を分析（作成時のリンカーやパッカーなどの種別も含めて）されてウイルスの特徴を持つものが検知される（Static分析）、これを通ったファイルはサンドボックスの仮想環境上で実行され、その振る舞いをもとにウイルス判定される。ここもすり抜けたウイルスは実環境で実行されるが、その動作はHPSエンジンと機械学習エンジンによって監視（動的解析）され、不正侵入活動やスパイウェア活動などの活動が検知され次第に活動がブロックされる。

　このような多段の処理を重ねることにより、FFRI yaraiではこれまでに不正送金ウイルスの「Emdvi（年金機構事件に関与）」や「Gozi」、ランサムウェアの「PETYA」や「Locky」「TeslaCrypt（vvvウイルス）」など多くのウイルスを、被害発生前にリリースされていたバージョンで防御してきた実績があるという。この種のウイルスには検知率ではなく、こうした防御実績の方が参考になるだろう。

　なお検知ロジックは定期的な更新が必要だが、それは年2回程度で十分といい、運用負荷の問題もクリア可能。セキュリティ監視・可視化にはゲートウェイのサンドボックスアプライアンスを、被害防止にはエンドポイントのFFRI yaraiを併用するユーザーも多いという。

AI技術を応用し、自動防御を行うアンチウイルスツール：CylancePROTECT

　AI技術の応用を全面に打ち出し「多層防御を不要にし、アンチウイルスツールだけで情報資産を守る」と豪語する国内新規参入ベンダーがサイランスだ。こちらはウイルスが既知か未知かに関わりなく、ウイルスの特徴を学習して同様の特徴を持つものを識別、隔離可能にする新しい考え方のツールCylancePROTECTを2016年から提供している。

　その特徴は10億を数える検体を収集し、一つ一つのファイルから600万～700万の「特徴点」（図2）を抽出、ウイルスファイルと正規ファイルの両方の特徴を学習して作り上げた数理モデルを利用するところにある。ウイルスチェックの際には、そのファイルがウイルスの特徴がある構造かどうかを調べ、一致度をスコア化する。

　その結果、閾値を超えたものをウイルスと見なして自動隔離する。これはいわば、最近精度が上がった画像認識、分類技術に似ている。顔認識ソフトがカメラで撮影した男女の顔を識別するように、ウイルスかそうでないかを見分けるわけだ。海外では既に900万台での稼働実績があり、そこでのウイルス防御率は99.7％という。また正当なファイルをウイルスと誤認識してしまうのは0.002％といい、これはかなり確度が高い方法といえそうだ。