近年の高度化した脅威に特化

シグネチャに頼らず未知の攻撃を検出、FFRが国産対策ソフト

2009/04/30

　フォティーンフォティ技術研究所は5月13日に、近年の高度な攻撃に特化したセキュリティ対策ソフト「FFR yarai」を発表する。パターンファイル（シグネチャ）に依存する代わりに、複数の解析エンジンを組み合わせることにより、従来のウイルス対策ソフトウェアでは対策が困難だったゼロデイ攻撃を検出し、PCを保護することが特徴という。

　シグネチャを元にマルウェアを判別する方法は、過去のマスメール型ウイルスの検出には有効だったが、マルウェア自動生成ツールなどを用いて次々に亜種が生成される最近の脅威には対応が困難な上、パフォーマンス低下という問題も避けられない。FFR yaraiは、こうした問題意識を踏まえてフォティーンフォティ技術研究所が一から開発した、国産のセキュリティ対策ソフトだ。

　FFR yaraiは、4種類のエンジンを用いて脅威を検出する。1つ目は、システムコールの呼び出し元を確認するといった方法で、マルウェアが脆弱性を攻撃していないかどうかを判別する「0-Day保護エンジン」（ZDP）だ。既に報告済みの脆弱性だけでなく、未知の脆弱性が悪用されている場合でも攻撃を防御できる点が特徴という。

　ほかに、プログラムのコードを静的に解析し、マルウェアかどうかを判別する「N-Static分析エンジン」、仮想環境でプログラムを実行し、その動作を解析してマルウェアを検知する「U-Sandboxエンジン」、どういったAPIを呼び出しているかなど、プログラムの動作にマルウェア特有の処理が含まれていないかをチェックする「DHIPSエンジン」という4段階の多層防御によって、ゼロデイ攻撃や未知のマルウェアを検出、ブロックする。

　近年のマルウェアの多くは、ウイルス対策ソフトによる検出を免れるため、アンチデバッギングやアンチサンドボックスといった、解析を困難にする機能を備えたものが多い。FFR yaraiは、マルウェアのそうした解析対策を検出し、逆に判別に利用しているという。また、1つのマルウェアが次から次へとほかのマルウェアをダウンロードしてくる「シーケンシャル・マルウェア」にも対応。システムの変更履歴を把握しておくことで、トリガーとなるダウンローダだけでなく、それによってPCに仕掛けられたほかのマルウェアも一元的に検出し、PCを元の状態に復元できるという。

　ただし逆に、過去のマルウェアやマクロウイルスには対応しておらず、既存のアンチウイルス対策製品と組み合わせて利用することを念頭に置いている。

　FFR yaraiはWindows XP／Vista上で動作し、予定価格は、5～99ユーザーの場合で9000円。企業での利用を想定しており、10月にはログの一元管理やパッチ自動配信といった大規模環境向けの機能を提供する予定だ。