保護された領域

　「保護された領域」とは、クライアントPC内で他のモジュールの実行に影響が出ないようにプログラムを実行可能にする領域のことをいいます。CPUやメモリなどのシステムリソースを仮想的に割り当て、プログラムを実行します。

　現在主流のサンドボックス製品が提供する「保護された領域」は、以下のように大きく2つの実装方法に大別できます。

1. エミュレーション形式
   • OSやCPU、メモリなど、プログラムの実行環境全てをエミュレートし、プログラムコードレベルの動作を記録
2. 仮想環境形式
   • 仮想環境（米VMware、米Oracle製など）にOSやアプリケーションをインストールし、プログラム実行時のシステムコールやプログラムの各種ふるまいを記録

　エミュレーション形式は、プログラムの動きを比較的細かく把握可能です。その分、非常に多くのコンピュータリソースを必要とします。マルウェアの検証ロジックやパフォーマンス向上のためのメカニズムが必要になることから、開発にコストが掛かりやすく、製品価格が高くなる傾向があります。詳細なプログラムの解析に有効です。

　一方の仮想環境形式は、マルウェア検証の詳細さではエミュレーション形式に劣るものの、OSやマルウェア検証に必要な最小セットのアプリケーションをインストールすればプログラム実行環境の用意ができるので、実装が容易だという利点があります。ベースとなっているのは汎用の仮想化技術であり、最近の仮想環境の普及を背景に安定性が向上し、かつ十分なパフォーマンスも得られるようになっています。

　こうした理由から、現在のサンドボックス製品ではエミュレーション形式より仮想環境形式が一般的になっています。本稿でも、仮想環境形式のサンドボックス製品を中心に説明していきます。

外部プログラムの実行

　「外部プログラムの実行」とは、他のシステムから提供されたファイルを保護された領域内で実行したり、他のアプリケーションで開いたりすることを指します。

　仮想環境形式のサンドボックス製品では、実行形式ファイルの実行やドキュメントファイルのオープン、URLへのアクセスなどが必要になります。そのため、OSに加えてドキュメントビュワーやWebブラウザなども実装しています。

　マルウェアと外部サーバとの通信内容を検証するためには、ネットワークアクセス環境の整備も必要になります。例えば、リモートアクセス型トロイの木馬（RAT）などの遠隔操作ツールが、遠隔操作用サーバ（C＆Cサーバ）へHTTP通信をする場合、まずドメイン名からIPアドレスへの変更（名前解決）を実行する外部のDNSサーバへ接続します。DNSサーバからの応答がなければ、その遠隔操作ツールはそれ以上動けません。同様に、WebサーバからのHTTP通信の応答も必要です。仮想環境形式のサンドボックス製品は、こうした応答を疑似的に発行する仕組みを実装し、マルウェアの検出に生かしています。

　マルウェアによっては、ダイアログボックスやメッセージを表示し、エンドユーザーに動作を求めることもあります。仮想環境形式のサンドボックス製品は、こうしたユーザー操作も疑似的に再現できるようにしています。

サンドボックス製品の種類

　サンドボックス製品の多くはオンプレミス型であり、ユーザー企業の環境に設置して運用します。オンプレミス型のサンドボックス製品は、さらにネットワーク型とエンドポイント型に分類できます。それぞれ次のような特徴があります。

ネットワーク型

　ネットワーク型サンドボックス製品は、ネットワーク内を流れる不審なファイルを受信して解析します。その構造から、侵入防御システム（IPS）や統合脅威管理（UTM）といったネットワークのトラフィック解析機能を備えた機器の一機能やオプション機能として提供されることが多く、ネットワークに流れる不審なファイルを自動的に解析できることが特徴です。

エンドポイント型

　検査対象ファイルを直接解析するタイプがエンドポイント型サンドボックス製品です。このタイプは既に解析対象が把握できているので、スピーディーに解析できるのが強みです。

重要な役割を果たす「判断ロジック」

　ユーザー企業がサンドボックス製品に期待するのは、何と言っても未知のマルウェアの検出でしょう。未知のマルウェアを「マルウェア」だと判断するには、十分な判断材料が必要です。たとえマルウェアでも、ファイルのコピーや削除、レジストリの削除、ネットワーク共有へのアクセスなど、単体の動きだけを見ていると通常のプログラムの振る舞いとそれほど違いがなく、攻撃には見えません。

　さらに条件を付加して、システムレジストリの改変やシステムサービスの停止を加えても、まだ足りないかもしれません。それらの動きだけでは、グレー（怪しい）ということが分かっても、黒（マルウェア）だとまでは判断できません。グレーと黒との違いは、想像以上に大きいのです。

　セキュリティベンダー各社はこうした背景を踏まえ、実際に記録した動作に、別の判断材料を加えて分析しています。具体的には、そのプログラムが総合的に白（安全）なのか黒なのかを判別したり、深刻度を判断したりするための評価レベルを規定しています。

　白黒の判別が容易にできないグレーなプログラムに対しては、さらに詳細な評価の仕組みが必要になります。その実現には多くの検体解析の知見が重要です。サンドボックス製品内部の判断ロジックには、膨大な量の検体解析の知見が詰まっています。