攻撃をなかったことにするEPP／EDRの新機能「Activity Monitor」とは？ ウィズセキュア発表：振る舞い検知とサンドボックスのデメリットとは

ウィズセキュアは2023年2月22日、同社のEPP／EDRに新機能「Activity Monitor」を追加すると発表した。これまでの振る舞い検知とサンドボックスのデメリットをカバーし、ユーザーエクスペリエンスを犠牲にしない機能だという。

[宮田健，＠IT]

　ウィズセキュア（旧エフセキュア）は2023年2月22日、同社のEPP（Endpoint Protection Platform）／EDR（Endpoint Detection and Response）に新機能「Activity Monitor」を追加することを発表した。これまでの振る舞い検知とサンドボックスのデメリットをカバーし、ユーザーエクスペリエンスを犠牲にせずにランサムウェア／マルウェアによる被害をロールバックできる仕組みを提供する。

振る舞い検知とサンドボックスのデメリットとは

WithSecureのブロデリック・アキリーノ氏

　Activity Monitor機能は同日に行われた、ウィズセキュア2023年事業説明会で、WithSecureでLead Researcherを務めるブロデリック・アキリーノ氏によって披露された。

　アキリーノ氏によると、これまでもWithSecureのEPP／EDRには、悪意ある挙動を監視してブロックする機能「DeepGuard」や、疑わしいアプリケーションを隔離空間で実行して解析するサンドボックス機能「SandViper」があったという。しかし「マルウェアの個別の挙動は悪意を判断しづらく、気が付いたときには既にダメージを受けていることが多い」（アキリーノ氏）。

　また、マルウェアの挙動を活動の早い段階で検知しようとすると、誤検知につながってしまうことなどを挙げ、「既存の技術にも課題がある。サンドボックスに関しては検査のために時間がかかることから、メールの添付ファイルの解析には適しているが、エンドポイントでの保護には適さない」（アキリーノ氏）とした。