未知のマルウェア対策に新たな武器を

沖縄銀行はなぜ「AI活用型マルウェア対策製品」をいち早く導入したのか（2/3 ページ）

公開 2017年09月19日 05時01分

[著]

印刷する

シグネチャ配布の手間を省き、異常発生時のログ確認もスムーズに

　沖縄銀行はまず、外部向けメールを取り扱うPCを中心に、PC約500台にプロテクトキャットを導入し、2016年11月に運用を開始した。事前にエムオーテックスと共に実施した概念実証（PoC）を通じて導入手順を確認。PCへのエージェント配布には、LanScope CATが備えるソフトウェア配布機能を用いることで、約3カ月で導入作業が完了したという。

　プロテクトキャットは、機械学習によって作成した独自のアルゴリズムに基づいて、既知、未知を問わずマルウェアを検出する。このアルゴリズムは、10億種類に上るマルウェアサンプルと通常ファイルのサンプルから抽出した、約700万項目の特徴を学習させて作成する。エンジンの更新に伴うエージェントの更新は年に2回程度発生するものの、シグネチャを利用しないので、日常的なシグネチャの更新が不要だ。

おきぎんエス・ピー・オーの上原浩輝氏

　沖縄銀行がこれまで活用してきたマルウェア対策製品の場合、ほぼ毎日シグネチャの更新が発生し、ときにはエンジン本体のアップデートも必要だった。そのたびにフルスキャンをするとなると、どうしても時間がかかってしまう。「昼休みが終わってもスキャンが終わらないこともあった」と、沖縄銀行の子会社でシステム運用を支援する、おきぎんエス・ピー・オーの上原浩輝氏（以下、浩輝氏と記載）は振り返る。プロテクトキャットでは、こうした更新の手間が不要になる。シグネチャ更新に伴って、PCやネットワークの負荷が高まる問題が解消できることも評価しているという。

　LanScope Catと連携し、異常があった際の前後のログをすぐに確認できることもメリットだと浩輝氏は説明する。「マルウェアを検知した」というアラートが上がったときに気になるのは、なぜ、どのようにして感染したかという経路を確認することだ。これまでは原因を突き止めるために、危険なWebサイトを閲覧していないかどうかを従業員にヒアリングして確認していた。さらにプロキシサーバのログを確認し、そこで得た不審なIPアドレスの情報を、再度エンドポイントを見て確認する手間も掛かっていた。プロテクトキャットの導入で「ほんの2、3クリックで流入経路や前後のいきさつを確認できるようになった」（同氏）。

　脅威を検知するセキュリティ製品に常に付いて回るのが、脅威なのに検知できない「検知漏れ」や、脅威ではないのに脅威だと認識して検知してしまう「過検知」の問題だ。沖縄銀行の場合、PoCの際に、検知したマルウェアを自動でブロックするモード（隔離モード）ではなく、検知時にアラートのみを発するモード（検知モード）で事前確認をした。

　沖縄銀行では部署ごとに利用するアプリケーションが異なり、パッケージだけではなく自社開発のアプリケーションが動いていることもある。そこで部署それぞれに確認モードで動かして上がってくるアラートを見て、時には従業員にヒアリングをして該当ファイルに問題がないことを確認し、クラウドのホワイトリストに追加していった。ホワイトリスト作成には一定の手間が掛かるものの「一度ホワイトリストに登録してしまえば、問題なく運用できている」（浩輝氏）。

次ページへコストがかかるセキュリティ対策は「トップの理解」があってこそ