4.2マルウェア・不正アクセス対策

「侵入を100%防ぐ」ことはもはや前提にできません。標的型攻撃やゼロデイ攻撃を想定すると、侵入されることを前提に、どの層で何を止めるかという設計思想が不可欠です。この節では、あるセキュリティ担当者が多層防御の各層に何を配置し、万一の侵入時にどう被害を最小化するかを判断する視点でマルウェア対策・不正アクセス対策を学びます。

4.2.1マルウェア検出手法

• パターンマッチング（シグネチャ法）＝既知マルウェアの特徴的なバイト列（シグネチャ）と照合して検出する手法。既知の脅威には高精度・高速だが、シグネチャが未登録の未知のマルウェアは検出できないという限界がある。
• ビヘイビア法（振る舞い検知）＝プログラムを実際に動作させ、レジストリ改変・不審な通信などの挙動そのものを監視して悪意を判定する手法。ヒューリスティック法＝コードの構造やパターンから統計的・経験則的に悪意の可能性を推定する手法。いずれもシグネチャに頼らず未知のマルウェアを検出できる可能性を持つ。
• 動的解析＝実際に（多くはサンドボックス内で）実行して挙動を観察する解析。静的解析＝実行せずコードやバイナリの構造を解析する手法。動的解析は実行時にしか現れない挙動を捉えられる一方、サンドボックス検知を回避する（環境を検知すると悪意ある動作を控える）マルウェアには効果が薄れることがある。