メディア

新たな盾を得て生まれ変わるウイルス対策ソフトのいま：脅威に負けない我が社のセキュリティ強化大作戦（2/3 ページ）

» 2016年06月01日 09時00分公開

ウイルス対策ソフトベンダーの努力

　こうしたウイルスの進化に対し、ウイルス対策ソフトベンダーも手をこまねいていたわけではありません。まず、パターンファイルの「午前9時問題」を解決するため、クラウドを活用するようになっています。ほとんど検出されなくなったウイルスのパターンファイルをクラウド上に置き、活動中のウイルスやその亜種などのパターンファイルだけをPCにダウンロードすることで、パターンファイルの軽量化に努めています。

　ここで注意したいのは、クラウド化によってパターンファイルによるウイルス対策が不要になるわけではないということです。既知のウイルスを使用した攻撃は現在でも主流であり、ウイルス対策ソフトを使用することでその8～9割を検出できるといわれています。「死んだ」と言われつつもパターンファイルを採用したウイルス対策ソフトの提供を続けているのは、そのためです。

　一方で、ベンダーもパターンファイルだけでは保護できないことに早々に気づき、対策能力を向上させてもいます。その一つが、パターンファイル以外の検出手段の搭載です。代表的なものに「ふるまい検知」があります。

　ふるまい検知とは、ファイルの動作を見張って怪しい動きを検出するというアプローチであり、例えばファイルを実行した際に、一般的ではないフォルダにファイルを作成したり、特定のシステムファイルにアクセスした場合に、“怪しいもの”と判断して動作を停止する機能です。パターンファイルに頼ることなくウイルスを検出できますが、実は問題がないファイルを怪しいと誤検知してしまうことが多いのも特徴です。

振る舞い（ヒューリスティック）検出による対策の仕組み

　こうした新たな検出方法を「ヒューリスティック」と呼ぶこともありますが、ヒューリスティックはパターンファイル以外の手法全体を指す言葉ですので、具体的にベンダーがどのような手法を採用しているのかを確認する必要があるでしょう。

パターンファイルとヒューリスティックの特徴の違い

　最近では、企業などのゲートウェイセキュリティ対策で使用されていた手法がエンドポイントへ移行する傾向にあります。代表的なものが、「サンドボックス」による検出方法です。サンドボックスは、一般的なPCと同じ環境を仮想環境上に用意し、そこで怪しいファイルを実際に実行させる手法です。実際の動作を確認できるので、新種のウイルスにも対応できます。

　ただし、サンドボックスは実際の動作確認に時間がかかるため、大量のファイルのチェックには適していません。ウイルス作成者もサンドボックスに検知されない対策を行うようになり、仮想環境内ではウイルスの活動を停止状態にしたり、ウイルスを分割圧縮ファイルとして複数に分けて送信したりするといった検知を回避する手法が使う場合があります。

サンドボックス型対策の仕組み

　こうした攻撃者側の回避策に対応すべく、サンドボックスも進化しています。仮想環境内のファイルの動作だけでなく、CPUやメモリの通信までチェックしていくことで、スリープの命令まで検出することを可能にしたものもあります。なお、ユニークなところでは添付ファイルを全て無害な画像に変換（無害化）してしまうという対策手法もあります。