「シグネチャ」の限界に対処

「次世代エンドポイントセキュリティ」と「ウイルス対策ソフト」の“決定的”な違い（2/2 ページ）

公開 2016年11月29日 12時00分

更新 2017年04月12日 19時56分

著者

Kevin Tolly

[TechTarget]

印刷する

シグネチャマッチングに取って代わる分析

　次世代エンドポイントセキュリティ製品は、マルウェアを見つけ出す手段をシグネチャマッチングからリアルタイム分析へと差し替えている。当然のことだが、あるコードがエンドポイントへの脅威となるかどうかを特定する際に分析する側面や属性は、ベンダーによって異なる。

　一部の分析技術には、従来のエンドポイント製品から進化したものもある。例えばレピュテーション分析は、もう何年も使われ続けている。レピュテーション分析は一般的に、既知の有害なIPアドレスやWebサイトのリストを格納したデータベースを検索する。

　老舗ベンダーにとって次世代エンドポイントセキュリティ製品への移行は、何年もの歳月をかけて開発してきた多様な手法を従来の製品シリーズに盛り込んで統合し、より効果的なエンドポイントセキュリティを実現することになる。

　多くのエンドポイントセキュリティ製品は、コードから複数の属性を評価するようになるだろう。この情報は、リスクのスコア作成に使用する。次世代エンドポイントセキュリティ製品は、最終的にはこのスコアを基に、コードをブロックすべきかどうかを判断する。あるベンダーの次世代エンドポイントセキュリティ製品は、600万件を超えるマルウェアの存在可能性に関する指標を用意しているといい、その情報に基づいて特定のコードがマルウェアかどうかを判断する。

分離と分析

　システム内で疑わしいコードを実行し、その動作を分析する次世代エンドポイントセキュリティ製品もある。ファイルの削除や無許可でのネットワークへの発信といった有害な動作を試みた場合は、そのコードは本質的にマルウェアであり、その行動を阻止しなければならない。

　このアプローチは「サンドボックス」として広く知られ、決して新しい手法ではない。新しいのは、その実現方法だ。あるベンダーの次世代エンドポイントセキュリティ製品は、今日では大半のクライアントPCに組み込まれているハードウェアベースの仮想化機能を活用し、サンドボックスのように機能する小規模な仮想マシン（VM）である「マイクロVM」を作成する。コードを実行して動作を分析した後、脅威を検出するとマイクロVMを破棄する。全てのサンプルでは、初期状態のVMがそれぞれに与えられ、その中でコードが実行および分析される。

最適であっても万能ではない次世代エンドポイントセキュリティ製品

　次世代エンドポイントセキュリティの分野では、既存のエンドポイントセキュリティの問題に対する新たな解釈を携えたニッチなベンダーが次々に登場している。だが次世代エンドポイントセキュリティ製品が対処できない部分を理解することも重要だ。次世代エンドポイントセキュリティ製品は、エンドポイントセキュリティの問題に幅広く対処できるわけではない。また全てのベンダーが一様に同じことをしているわけでもない。

　さらに重要なのは、次世代エンドポイントセキュリティ製品は、必ずしも従来のエンドポイントセキュリティ製品に完全に取って代わることを目的としているとは限らない点だ。次世代エンドポイントセキュリティ製品は単純に、システムを安全に保つためのアプローチ全体で重要な部分として、最適なエンドポイントセキュリティを確保する手段である。