「機械学習」を使ったAIセキュリティ製品が注目する “3つの挙動”幅広いマルウェアの挙動を検知

AI(人工知能)技術のうち、特に機械学習をセキュリティ製品に実装する取り組みが進んでいる。本稿では、機械学習ベースのセキュリティ製品の仕組みと、製品選定時の注意点を説明する。

2019年08月02日 05時00分 公開
[Nick CavalanciaTechTarget]
画像

 「機械学習」をはじめとする「AI」(人工知能)技術は、セキュリティベンダーが製品の差異化のためによく使用しているキーワードだ。セキュリティ製品におけるAI技術、特に機械学習は、企業のセキュリティチームがマルウェアなどの脅威を特定する方法として、実際に利用している。

 新しいマルウェア、古いマルウェアの亜種などの攻撃手法の数が大幅に増加したことが、セキュリティにおける機械学習の必要性が高まった理由の一つだ。機械学習を実装したセキュリティ製品は、あらゆる種類の脅威を短時間で検出、識別、処理、修復する機能を備えている。「脅威が見つかったらIT部門に連絡して対処を依頼する」という従来の考え方とは全く異なる。

 セキュリティ製品に機械学習を利用する価値は、あらゆる形態の脅威を可能な限り前もって発見できる能力にある。非常に多様な脅威に対して、機械学習はどのように機能するのだろうか。その答えは、一言でいえば「挙動への着目」だ。

不審な挙動を検出するのに機械学習が有効

 これまでのマルウェア対策の主流は「パターンマッチング」だった。まずエンドポイントで、新しいプログラムを検出する。次にシグネチャベースのパターンマッチングにより、そのプログラムがマルウェアかどうかを判断し、マルウェアであれば削除する。この手法を出発点として、マルウェア対策が製品分野として成立した。

 今日のサイバー犯罪者は、検出を回避するために、セキュリティ製品の先回りをして「挙動を変化させる方法」を模索している。これに対して、機械学習を用いたセキュリティ製品で多くの挙動を監視するのは有効だ。

 機械学習ベースのセキュリティ製品は、以下の挙動を検知するのに役立つ。

1.エンドポイントの挙動

 マルウェアを使った攻撃では、攻撃者はマルウェアをエンドポイントで実行させなければならない。ファイルへの書き込み(メモリへの直接的な書き込みを除く)、プロセスの起動、リソースへのアクセスが必要なためだ。これらのどの挙動も、「Microsoft Word」やWebブラウザといった正規アプリケーションの典型的な挙動とは異なる特徴を見せるため、発見の手掛かりになる。

 ファイルにアクセスしないタイプの攻撃によって、正常なプロセスが危険にさらされた場合、機械学習ベースのセキュリティ製品は、メモ帳が子プロセスを起動するなどの異常な動作を検出する。

2.ネットワークの挙動

 ネットワークのトラフィックは予測困難だ。エンドポイントの通信では、一般にWebサイトや他のエンドポイントと同じポートを介して通信し、同じ暗号化技術を使用してデータを送受信する。機械学習ベースのセキュリティ製品は、攻撃用サーバであるコマンド&コントロール(C&C)サーバや通常とは異なるポートの使用、異常な量のデータの転送、暗号化の使用増加などを攻撃の挙動として検出する。

3.エンドユーザーの挙動

Copyright © ITmedia, Inc. All Rights Reserved.

ITmedia マーケティング新着記事

news191.gif

売上高100億円以上の企業に調査 生成AIの「マーケティング」への活用意向は?
ウイングアーク1stは、売上高100億以上の企業に勤務する部長などのマネジメント層535...

news131.jpg

Instagramでバカ正直に「広告」を明示するとリーチが下がる? 責任者の回答は……
Instagramの責任者であるアダム・モッセーリ氏は、自身のアカウントでの情報発信シリーズ...

news076.jpg

Xは? TikTokは? Metaは? トランプ氏勝利で笑うソーシャル、泣くソーシャル
4年ぶり2度目のトランプ政権が実現することで、主要ソーシャルメディア各社はどのような...