セキュリティインテリジェンスの限界

　このようにセキュリティインテリジェンスは多くのメリットをもたらすが、過信は禁物だ。企業はセキュリティインテリジェンスに対して、未知の脅威に対処し得る「自己判断力」を期待するかもしれない。だが現状のセキュリティインテリジェンスは、あくまでも「これまでに確認された脅威」に関する知見の集約であり、「これから新たに起こる未知の脅威」を特定するものではない。過度な期待は、「セキュリティインテリジェンス」という言葉を陳腐化、バズワード化してしまう可能性があることを危惧している。

　未知の脅威だけでなく、既知の脅威への対処についても、現状のセキュリティインテリジェンスは課題を抱えている。見逃せないのは、セキュリティインテリジェンスの鮮度が落ちるスピードが速まっていることだ。攻撃者は、さまざまな手口で攻撃ソースの特定を困難にしている。例えば攻撃の要となる司令サーバ（C＆Cサーバ）ですら頻繁に使い捨てており、その存在期間は短くて1時間にも満たないことも珍しくなくなってきた。また本来は無害な個人運営のWebサイトに潜む脆弱（ぜいじゃく）性を突き、攻撃の踏み台にすることで足をつかなくするケースもある。

　マルウェアの特定の難しさもある。実環境に影響を与えない隔離領域でファイルを実行し、マルウェアかどうかを判断する「サンドボックス」は、攻撃に用いられるマルウェアを特定する“切り札”と目されていた。だが複雑な挙動でサンドボックスを欺くサンドボックス回避技術を備えたマルウェアが登場し、脅威をリアルタイムに検出するのが難しくなってきた。また仮に検出できたとしても、大量のアラートからクリティカルな影響を与えるマルウェアを特定したり、感染端末の対処に時間がかかったりする問題もある（図）。

図　既存のセキュリティ対策を利用した、Webサイト経由でのマルウェア感染への対処の例。サンドボックスをはじめとする多様な検知技術を利用しても、検出漏れや、過剰な検出による大量アラートの問題が残る《クリックで拡大》

「AI」の活用で未知の脅威に挑む

　そこで注目すべきなのが、人工知能（AI）技術を活用したセキュリティインテリジェンスだ。AI技術のうち特にセキュリティインテリジェンスへの適用に関する取り組みが進んでいるのが、多様なデータを基に特定のパターンを見つけ出したり、データを分類したりする「機械学習」である。機械学習は、実装の仕方によって働きが大きく異なる点に注意が必要だが、従来の分析技術よりも未知の脅威を拾える可能性が非常に高いという点で評価できる。

　機械学習そのものについては、さまざまな書籍や記事で取り上げられているので概要は省略するが、セキュリティ製品において下記のような実装例がある。

1. エンドポイントセキュリティ製品やサンドボックス製品において、悪意あるコードによる内部リソースの利用パターン（メモリ確保の仕方や変更するメモリ領域、コールするプログラムの種類など）から、実行しているプログラムが悪意あるものかどうかを判定
2. 統合脅威管理（UTM）やURLフィルタリング製品において、通信先の過去の改ざん履歴、SSLサーバ証明書の発行元、通信パターン、さらにはページ内URLのリンク先Webサイトのカテゴリーやコンテンツなどから算出するリスク値を基に、アクセスしようとしているWebサイトが悪意あるものかどうかを判定

　こうした判定は従来、事後に判明した情報からセキュリティ専門家が導き出す「結果論」だった。だが機械分析の精度によっては、「未知」の時点で脅威を特定し、感染や実害の発生をブロックできるというのだ。（1）の場合は侵入したマルウェアの実行を未然もしくは直後に止めることができ、（2）の場合は脅威あるコンテンツがエンドユーザー側に渡る前にブロックできる。機械学習とセキュリティインテリジェンスの活用で未知の脅威を特定できれば、社内CSIRT／SOCの運用負荷軽減に役立つはずだ。

　社内のセキュリティ対策に“1つ上”のインテリジェンスを加え、既知だけでなく未知の脅威への自動的な対処を可能にしていく。このことこそが、セキュリティ人材不足を乗り越える手段となるはずだ。次回は未知のリスクを特定できるその具体的な技術例について触れ、セキュリティインテリジェンスがCSIRT／SOCの運用にどう貢献できるのかを解説する。

執筆者紹介

高岡隆佳（たかおか・たかよし）　ブルーコートシステムズ

セキュリティ業界での約15年の経験を生かし、標的型攻撃・内部不正対策製品を包括的に担当。データセキュリティスペシャリストとして企業のセキュリティリスク、対策、課題に精通しており、情報漏えい対策関連などの啓発活動に力を入れている。またデータベース・セキュリティ・コンソーシアム（DBSC）の運営委員として、データベースセキュリティの技術向上と、その普及を推進し、現在「DB内部不正対策WG」と「DB暗号化WG」のリーダーを務める。