「ウイルス検出率」だけで製品を選ばないで――評価機関が勧めるポイント（2/2 ページ）

[國谷武史，ITmedia]

評価から見えるセキュリティの課題

　各評価機関ではセキュリティ製品の性能を正しく評価するための方法について常に検討を重ねている。だがセキュリティ脅威は常に変化しているため、評価をする上での課題も多いという。

　AV-Comparative.org副会長のペーター・シュテルツハマー氏は、「手法の自動化を試みているが、非常に難しい」という。ハニーポットで収集する脅威の種類は1日に200種類にもなり、すべてのハニーポットでは数千種にもなる。限られた人員で膨大な数の脅威の傾向を分析し、評価手法を検討するのは容易ではない。またAV-Testのモルゲンスタン氏は、新しい攻撃技術が出現した場合に、その脅威を捕えるための方法を開発することが大きな負担であるという。

　NSS Labs会長のリック・モイ氏は、製品によって性能に大きな差が生じてしまう状況を指摘する。対策機能ごと、また、総合性能によっても50％もの差が生じる場合があるという。「一般的な攻撃に限定しても製品の内容に大きな差異があるのは問題だ」（同氏）

　また、「セキュリティ製品だけではなく、ユーザーにも脆弱性がある」とシュテルツハマー氏は話す。同氏によれば、特にユーザーの心理を悪用してマルウェアに感染させるようとするソーシャルエンジニアリング攻撃が危険であり、セキュリティ製品ではソーシャルエンジニアリング攻撃を防ぐことができない。

　「セキュリティ対策をもっと根本的に考えるべきだ。コンピュータのディスプレイの前にいるユーザーに対して、脅威の危険性と回避策を呼び掛ける方法があっても良い。実際、企業のIT管理者のパスワードをいとも簡単に盗み出せてしまう状況に大変驚いた」（同氏）

製品選定の注意点

　AV-Comparative.org、NSS Labs、AV-Test.orgは、ウイルス検出率のような具体的な数字や段階式の認定などを用いて、セキュリティ製品の評価内容に関する情報を提供している。しかし各氏は、こうした数字や認定があくまで参考情報であること、製品を選ぶ画一的な基準は存在しないことを指摘。「ウイルス検出率100％というような製品は実現し得ない」と一様に語っている。

　PCの利用環境はユーザーによってまったく異なる。多数のセキュリティ製品が存在し、それぞれに特徴も違うので、すべてのユーザーニーズに応えられる製品は存在しない。ユーザーにとっては製品を選びづらいものの、ユーザー自身の利用環境に適した製品を選択しやすいと考えることもできる。

　AV-Test.orgのモルゲンスタン氏は、「ユーザーには製品の評価がどのようなシナリオに基づいて行われているかについて、ぜひ関心を持っていただきたい。その上で自身のコンピュータ環境に合った情報を参考にするのが望ましいだろう」と話す。

　NSS Labsのモイ氏は、「製品に搭載されている機能は個々に特徴も性能も異なる。各機能のメリットとリスクがどのようなものかを理解した上で、自身に合った製品を選んでほしい」といい、AV-Comparative.orgのシュテルツハマー氏も、「ベンダーの無料体験版を複数試してみて、自分に合うものかを体験してみるべきだ」とアドバイスする。

　またシュテルツハマー氏は、正規のデータを誤って不正なものと判断してしまう「誤検知率」にも注目してほしいという。誤検知は特に未知の脅威（定義ファイルなどで特定されていない脅威）を検出するための機能で発生することが多い。不正と判断する基準を厳しくするほど誤検知率が高まる。

　検出率が高いが、誤検知率も高いという製品がある。誤検知を嫌うユーザーがいれば、誤検知があっても検出率を重視するユーザーもいるため、この製品が良いかそうでないかは簡単に判断できないだろう。シュテルツハマー氏は「バランスの良さに注目すべきだ」と話している。

　セキュリティ製品の選定は、ユーザー自身の利用環境を見直すタイミングでもある。自身の利用環境にどのようなリスクが存在するのかを知り、そのリスクに対処できる製品がユーザーにとって最適な製品だと言えよう。製品を選ぶ際には、評価機関が提供する情報をすべてうのみせず、自身に合う情報を取捨選択しながら参考にすることが大切だ。

---

　評価機関の存在は、ベンダーにとってはどのようなものだろうか。製品ごとの性能差が露見されるため、評価の内容しだいでは自社のビジネスを左右されかねない。

　Trend Micro最高技術責任者のレイモンド・ゲネス氏は、「評価機関が独立した存在であることが一番重要だ。評価の結果が良い時もあれば、悪い時もあるが、われわれが顧客をきちんと守ることができているかを客観的に知る手段として不可欠だ」と話す。同社にとっては、他社の評価の方が高い場合でも、製品の品質向上を図るきっかけになると前向きにとらえているようだ。

企業向け情報を集約した「ITmedia エンタープライズ」も併せてチェック

過去のセキュリティニュース一覧はこちら