ファイルを再構築することで、高い検知率を実現する「ファイルスキャン」

　ネットワーク経由でファイルを送信する場合、ファイルを一度パケットという単位でバラバラにして送信することは周知の通りだ。ファイルスキャンは、そのバラバラになったパケットを組み立て、ファイルの形に復元してからスキャンをする。

　復元したファイルが圧縮ファイルの場合には展開してから、多重に圧縮されているファイルの場合には多重に展開してからスキャンをする。ファイルが実行ファイルだった場合には、仮想空間でエミュレートして（ヒューリスティック手法）から、実行ファイルの挙動を見て検知する。このように徹底したスキャンを行うため、ファイルスキャンはパケットスキャンに比べてウイルスの検知率が高い。

　一般的に利用されているゲートウェイアンチウイルスの形式は、このファイルスキャンである。UTM（統合脅威管理）では、ベンダーにより採用形式が分かれるが、ゲートウェイアンチウイルスの老舗であるトレンドマイクロ、シマンテック、およびマカフィーはファイルスキャンを採用している。

ファイルサイズの制限がなく高速処理が可能な「パケットスキャン」

　パケットスキャンは、ファイルの復元はせずにパケットだけをスキャンする形式だ。圧縮ファイルの展開も、実行ファイルのエミュレーションを行わないため、検知率はファイルスキャンと比べ劣る。

　マイクロソフトが発表した報告書（英文、PDF形式）によると、実際の環境（In the Wild）で発見された半数以上のマルウェアは、検知回避や自身を不明瞭（めいりょう）にすることを目的に圧縮されている。パケットスキャンでは圧縮ファイルに対して限定的なスキャンしか行えないため、ウイルスを素通りさせてしまう可能性が高まるという。

【実験】テストウイルスEICARをRAR圧縮、FTPで転送した様子。パケットスキャンでは検知できず、素通りさせてしまう

　また、静的なシグネチャによるスキャンを回避するために自らを変異するポリモーフィックウイルスなどは、バケットスキャンで見つけることが難しい。数百万の形に変異するウイルスを発見するためには数百万のシグネチャが必要になるが、パケットスキャンでは巨大なシグネチャが足を引っ張り、パフォーマンスを低下させてしまう。

ポリモーフィックウイルスの概要

　ファイルスキャンであれば、圧縮を展開してから実行ファイルをエミュレートした後に不正なコードを暴き出すため、1つのポリモーフィックウイルスは1つのシグネチャで対応可能だ。

　では、パケットスキャンは存在意義がないのかというとそんなことはない。セキュリティレベルの低下と引き替えに得られるパケットスキャンのメリットは、パフォーマンスである。ファイルの復元とスキャンは負荷の高い処理なのに対し、パケットだけのスキャンは処理が軽く、ファイルスキャンよりもパフォーマンスが優れている。

　もう1つのメリットは、スキャンをするファイルのサイズ制限がないことである。数Gバイトのファイルはもちろん、数Tバイトのファイルでも制限なくスキャンができる。ファイルスキャンは復元したファイルの置き場所が必要となる。その場所はメモリかディスクということになるが、どちらにせよ有限なスペースなのでファイルサイズに限界はある。

　ただし、巨大なファイルをスキャンするメリットは少ない。感染を目的に作られるウイルスは、大きなファイルではダウンロードや送受信してもらえる機会が少ないため、1Mバイト以内のファイルサイズであることがほとんどだからだ。フォーティネットの調査では、97％のウイルスが1Mバイト未満であった。

※「％」はマルウェア率、「M」はファイルサイズ（Mバイト）

　このデータを見てもらえば分かるが、100％に限りなく近いマルウェアは10Mバイト未満であることが分かる。ごく少数とはいえ、10Mバイト以上のマルウェアも存在するため、ファイルサイズに制限のないパケットスキャンの方が好ましいと思うかもしれない。

　では、パケットスキャンであればすべてのファイルサイズのマルウェアを検知できるかといえば、そうはいかない。繰り返しになるが、パケットスキャンはファイルを組み立てずにパケットのみをスキャンする。よって、圧縮ファイルや実行ファイル、そしてポリモーフィック型のウイルスを検知できない可能性が高まる。フォーティネットのテストでは、比較的一般的な圧縮形式であるRARやbz2で圧縮されたEICARウイルスもパケットスキャンでは素通りさせてしまった。検知率を考えるなら、ファイルサイズの制限があってもファイルスキャンの方が高いといえるだろう。

ファイルスキャンとパケットスキャン、どちらの方式が良い？　使い分けは？

　組み合わせのパターンを見ていきたい。

ファイルスキャンのみを使用

　こちらは最も多い導入パターンで、パフォーマンスと検知率のバランスが良い。高い検知率を求めるならファイルスキャンが最良の選択肢となる。

パケットスキャンのみを使用

　一般的なアンチウイルスであるファイルスキャンよりも簡易的なスキャンであり、セキュリティレベルが十分高くないことを認識した上でパフォーマンスを追求したい場合は有効な選択肢となる。

ファイルスキャンとパケットスキャンを併用

　コストと運用負荷が許せば、セキュリティレベルが最も高い方法。

　一般的には、ファイルスキャンのみがお勧めだが、とにかく高速性重視という場合にはパケットスキャン、セキュリティリスクを低くしたい場合は、ファイルスキャンとパケットスキャンの併用が好ましい。ベンダー選定の際は、個々のパフォーマンスのみでなく、どちらの形式かというのもセキュリティにかかわる重要な要件として検討事項に入れるとよいだろう。