サンドボックスを補完する技術

　前回では、標的型攻撃に対抗するためには、サンドボックスの課題解決だけでなく、サンドボックスを補完する技術やアプローチも同時に必要だと述べました。そこで、それを実現する新しいアプローチを紹介したいと思います。

製品連係手段の充実

　セキュリティ製品、特にネットワークセキュリティ製品は膨大なログを出力します。ログを単に収集しているだけでは意味がありません。標的型攻撃に挑むには、それらのログとLAN内部での不審な動きを結び付け、対策として次のアクションにつなげる解析が必要です。その主要な手段がSIEM（セキュリティ情報イベント管理）製品であり、SIEM製品は日々膨大な量の情報を解析します。

　サンドボックスで怪しいファイルを発見することがインシデントの終わりではありません。そのファイルの侵入経路を遮断したり、感染端末の隔離といった被害の極小化を図ったり、侵入原因調査によるセキュリティ強化策や再発防止を検討したりすることも必要です。このことが、ベンダー各社がサンドボックスを起点とした製品連係手段を相次いで発表している理由です。

標的型攻撃対策における効果的な製品連係とは

　サンドボックスを搭載するネットワークセキュリティ製品の多くは、サンドボックスで発見した未知の脅威に対して、侵入経路を遮断する機能を提供します。それにより、次回以降に同じ攻撃があっても回避できるのです。

　ただし、サンドボックスで怪しいファイルを発見し、それが通過する出入口でファイルの侵入を止めたとしても、攻撃自体を止めることができたといえるでしょうか。侵入をただ止めるだけでは十分ではありません。既に侵入されていた場合、LAN内には同じ攻撃にさらされているエンドポイントが他にもあるかもしれません。そこで、既に侵入しているマルウェアによるインターネットへのアクセスを防止したり、C＆Cサーバへの接続防止などを同時に実行したりできる複合的な防御手段が必要になってきます。

　2015年はセキュリティベンダー各社が、サンドボックスで検出した怪しいファイルやIPアドレス、URLといった脅威情報を製品間で共有し、LAN内の各端末で必要な防御を即座に実行可能にする製品／技術を次々に発表しました。エンドポイント間での連係やクラウドのサンドボックスと最新の脅威データとの連係などです。

　こうしたセキュリティ製品間の連係により、専門機関での解析結果を待つことなく、企業自ら標的型攻撃の可能性がある脅威に即時対処できるようになります。また対処の時点で感染端末も隔離できるので、その後の根本原因の追究や対策検討の時間をある程度確保することも可能になります。

　トレンドマイクロでも、「Connected Threat Defense」という戦略の下にセキュリティ製品間連係を進めています。具体的には、ネットワークを監視するセンサー製品「Deep Discovery Inspector」（DDI）がサンドボックス（Virtual Analyzer）での解析対象ファイルを選別して解析し、そこで検出した脅威情報をセキュリティ統合管理製品「Trend Micro Control Manager」に同期します。サンドボックスは、不正だと判断したファイルについてカスタムシグネチャを生成。エンドポイントセキュリティ製品「ウイルスバスター コーポレートエディション」のエージェントへ配信します。

図1　セキュリティ製品連係の具体例（トレンドマイクロ製品群の場合）《クリックで拡大》

　今後は、エンドポイント、サーバ、ゲートウェイといったように、連係の対象がさらに広がると考えられます。これより、あらゆる侵入箇所／侵入状況を網羅した広範な脅威の検出や、防御をはじめとする早期対処が可能になるはずです。

　本連載では4回にわたってサンドボックスについて解説してきました。サンドボックスは、個々の標的に対して作り込まれる標的型攻撃に対して、マルウェアの早期判別においては有効な手段であることがご理解いただけたと思います。ただし、こうした最新技術でも攻撃者とのいたちごっこが続いている状況であり、さまざまな課題があるのも事実です。セキュリティベンダー各社は課題解決を図りながら、最新の脅威に対抗する手段を提供し続けています。

　企業のセキュリティ対策において何より重要なことは、どのような被害が組織にとって最大の脅威なのかを理解した上で、必要性に応じたセキュリティ製品を利用し、セキュリティの度合いを高めることです。サンドボックスは、そんなセキュリティ製品の有力な選択肢の1つなのです。