「シグネチャ」の限界に対処

「次世代エンドポイントセキュリティ」と「ウイルス対策ソフト」の“決定的”な違い（1/2 ページ）

脅威の変化に応じて進化を続けてきたエンドポイントセキュリティ製品。昨今登場した「次世代エンドポイントセキュリティ」製品は、今までと何が違うのか。その可能性と限界を追う。

公開 2016年11月29日 12時00分

更新 2017年04月12日 19時56分

著者

Kevin Tolly

[TechTarget]

印刷する

次世代エンドポイントセキュリティは今までと何が違うのか

　1987年創業のMcAfee（当時はMcAfee Associates）は、同社初の商用ウイルス対策ソフトウェアを販売したときに、今日まで残る基本的なアプローチを設定している。それは特定のウイルスに固有の文字列の一覧を用意して、その文字列についてファイルとメモリ内のファイルをスキャンすることだ。通常、スキャナーがいずれかの文字列、つまりウイルスのシグネチャを発見すると、非常に高い確率でウイルスが見つかった。

　他のベンダーが台頭するにつれて、各社はスキャンの効果について争い始めた。焦点が当たったのは、ウイルスなどのマルウェアのシグネチャに関して、総合的で大きなデータベースを蓄積することだった。高度なエンドポイントセキュリティ製品は、ファイルをダウンロードしたり開いたりしたときに、シグネチャを使って有害なファイルの有無を確かめるだけだった。またベンダーは、より多くのマルウェアを検出できる優秀な調査チームの存在をアピールしていた。

併せて読みたいお薦め記事

連載：「エンドポイントセキュリティ」再浮上のなぜ

2020年のエンドポイントセキュリティとは

「次世代」を象徴する決定的な特徴は

　年がたつにつれ、スキャン可能なシグネチャを意図的に残さないポリモーフィック型マルウェアに対処する「ヒューリスティックスキャン」など、新しいマルウェア駆除技術の導入が進んだ。こうしてエンドポイントセキュリティ製品は、ソフトウェアを動作させながら、OSへの要求に対して“防疫線”を張り、悪意のある挙動を注視できるようになった。また特定のファイルが安全である可能性を表すレピュテーション（評判）ベースの評価手法を導入することも可能になった。一方でモノリシック（一枚岩）なソフトウェアが、新しい全てのファイルを監視して、既知の有害要素について警告するという基本パターンは維持してきた。

　最近ではマルウェア対策の新機能が、今までの核だった静的スキャン機能を上回り始めている。こうした機能を搭載した「次世代エンドポイントセキュリティ」製品が、新たな製品カテゴリーとして登場している。

　シグネチャファイルは静的だが、脅威は動的だ。ある一定の時点で「ゼロデイ攻撃」に対抗するために、シグネチャファイルを常時高速に更新することは不可能ではないが、単純に実用的でなくなっている。ゼロデイ攻撃はその名の通り、セキュリティパッチが未提供の脆弱性を突く攻撃だ。

　それを踏まえると“リアルタイム”は、優れた次世代エンドポイントセキュリティ製品が持つ決定的な特徴だといえるだろう。これを実現するために、エンドポイント常駐型のシグネチャファイルを撤廃して、マルウェアを検出する新たな手法を用いる動きもある。

次ページへ「シグネチャ」の代替技術とは