しかし現在、ほとんどの主要なウイルス対策ツールが採用しているヒューリスティック法であれば、ポリモーフィックコードを阻止することができる。これはいわば「ファジーな」シグネチャを使ってチェックを行うものだ。ファイルシステムやメモリ上のファイルの内容を綿密にシグネチャと照合する代わりに、ヒューリスティック技術では、コードの特定の重要部分だけを照合する。攻撃者は新種のマルウェアを作成する際、既存コードの主要部分を再利用することが非常に多いため、ヒューリスティック法によってこうした危険な代物の多くをキャッチできるのだ。ポリモーフィックコードにも大抵の場合、ウイルス対策ツールがマルウェアとして検出するのに十分なパターンが残されているのだ。

　では、われわれはどのような手を打てばよいのか。ウイルス／スパイウェア対策シグネチャを最新の状態に保ち、ヒューリスティック法に対応したウイルス／スパイウェア対策ツールを使うようにすべきだ。ウイルス対策ツールはほとんどがこうした機能を備えているが、スパイウェア対策ツールは必ずしもそうではない。機能の有無を確実に知りたい場合は、ベンダーに問い合わせるとよい。

　しかし、相変わらずいたちごっこが続いているのが現状だ。攻撃者は、既存コードのパターンをできるだけ使わないようにすることで、ヒューリスティックチェックをすり抜ける極めて厄介なポリモーフィックコードを作成するというアプローチを取り始めている。これに対し、マルウェア対策ベンダーは、ヒューリスティック法の精度向上に取り組んでいる。また、ビヘイビアベースの検出技術を採用し始めているベンダーもある。この技術では、実際のコードの特定のパターンを探すのではなく、マルウェアの動作を監視する。例えば、こうしたビヘイビア法を使ったマルウェア対策ツールは、マルウェアが重要なファイルを改変すると、その動作を検出して感染を遮断する。

　わたしのお勧めは、ヒューリスティック法とビヘイビア法を組み合わせたマルウェア対策を講じることだ。だが、一部のベンダーはどちらか一方しか採用していないため、注意が必要だ。

本稿筆者のエド・スコウディス氏は、SANSの講師として活動するとともに、自身が創業者の1人である情報セキュリティコンサルティング会社インテルガーディアンズのシニアセキュリティコンサルタントを務めている。ハッカーによる攻撃とその対策、情報セキュリティ業界、コンピュータプライバシー問題などに関する専門知識と経験を持つ。著書に「Counter Hack Reloaded」、「Malware: Fighting Malicious Code」などがある。2004、2005、2006年にMicrosoft MVP for Windows Server Securityを受賞しており、Honeynet Projectの元メンバーでもある。