忍び込んだボットを検出して「ポスト型対策」、チェック・ポイント

アプライアンスハードウェアの新モデル7種類もリリースする。

[高橋睦美，＠IT]

　チェック・ポイント・ソフトウェア・テクノロジーズは10月13日、同社セキュリティアプライアンス上で動作する新しいSoftware Blade、「Anti-Bot Software Blade」を発表した。同時に、ハードウェアプラットフォームの新モデル、3シリーズ7機種も発表している。

　「Check Point」シリーズは、ファイアウォールやVPN、IPSといったセキュリティ機能を提供するセキュリティアプライアンスだ。Software Bladeというアーキテクチャの採用により、必要に応じて、URLフィルタリングやアンチスパム、アプリケーション制御、DLPといった複数のセキュリティ機能を追加できる。

　Anti-Bot Software Bladeは、企業内部に忍び込んで外部を攻撃したり、情報を送信したりするマルウェア（ボット）の検出に特化した新モジュールだ。「ThreatSpect」というボット検出エンジンにより、ファイアウォールやアンチウイルスをすり抜け、企業内部に侵入してしまったボットを検出する。

　同社代表取締役社長 藤岡健氏は、2011年の第1四半期だけで、450万台のPCが「TDL-4」というボットに感染したという数字を挙げ、被害が広がっていると指摘。「1つのボットが、スパム送信やDoS攻撃への加担、情報詐取など複数の被害を招く」（藤岡氏）とその危険性を訴えた。

　一般にボットは、企業内部のPCに感染した後、それをコントロールする外部のC＆C（Command and Control）サーバと通信を行うことが多い。そこでチェック・ポイントでは、C＆CサーバのIPアドレスをリスト化してThreatSpectエンジンに渡し、内部ネットワークから当該アドレスにアクセスしようとする動きを見つける仕組みとした。ポリシーによっては、検出したC＆Cサーバへの通信を遮断することも可能だという。

　ThreatSpectエンジンではまた、内部でのスキャンや感染拡大など、ボット同士が行う固有の通信パターンに基づいた検出も可能という。もしボットが検出された場合は、それがどういった挙動を取るか、攻撃のタイプや兆候を調査し、組織レベルでどういった状況になっているかをレポートにまとめる。

　既に、外部から企業ネットワークへの侵入を試みるマルウェアを検出する「AntiVirus ＆Anti-Malware Software Blade」を提供済みだが、これはシグネチャベースで検査を行うものであり、新種や亜種も含めた検出となると困難だ。Anti-Bot Software Bladeは、「感染してしまった後の被害拡大を防ぐ、ポスト型の防御」（同社システム・エンジニアリング本部 本部長 安藤正之氏）という。

　現在、幾つかの企業でAnti-Bot Software Bladeのフィールドテストを行っており、出荷は2012年第1四半期の予定だ。

　チェック・ポイントは同時に、アプライアンスハードウェアの新モデルも発表した。8月に発表した「Check Point 21400/61000」の下位モデルに当たる。UTM-1やPower-1といった現行モデルに比べ、スループットや、同社が独自に定めたパフォーマンス指標「SecurityPower（SPU）で、およそ3倍の価格性能を提供する」（藤岡氏）という。

　中小規模企業やブランチ向けの「Check Point 2200」1モデルのほか、エンタープライズ向けの「Check Point 4000」シリーズ、電源やHDDの冗長化が可能なデータセンタークラスの「Check Point 12000」シリーズでそれぞれ3モデルという構成だ。今回のラインアップ追加により、「SMBを含めたローエンドから高スペックが求められるウルトラハイエンドまでをカバーする」（藤岡氏）という。