Tweet

Symantec Endpoint Protection 12のスキャン時間短縮に

レピュテーション技術を高速化にも活用、シマンテック

2011/04/21

　シマンテックは4月21日、2011年夏にリリースを予定している企業向けエンドポイントセキュリティ製品「Symantec Endpoint Protection 12」の技術説明会を開催した。

　Symantec Endpoint Protectionは、アンチウイルスや不正アクセスからの防御機能などを提供する企業向けのセキュリティ製品だ。新バージョンでは、ユーザー側から実行ファイルに関するさまざまな情報をインターネットを介して収集し、マルウェアの検出に活用するレピュテーション技術、「Insight」を搭載することが最大の特徴だ。

　前回の説明会では、Insightによって、定義ファイルでは検出が困難だった未知の脅威やターゲット型攻撃をあぶりだせることを説明したが、「Insightにはパフォーマンスを上げる効果もある」（同社 プロダクトマーケティング部 リージョナルプロダクトマーケティングマネージャ 広瀬努氏）という。

　一般にウイルス対策ソフトは、いったんスキャンし、安全と確認できたファイルをキャッシュすることで、スキャンに要する時間の短縮を図っている。しかし、そのときは検出されなくても、定義ファイルを更新すれば最新の脅威を発見できる可能性がある。こうした検出漏れを防ぐため、定義ファイルを更新するたびにキャッシュを破棄し、すべてのファイルを改めて検索し直す必要があった。この結果、社内セキュリティポリシーなどで1日1度の定義ファイル更新を定めているケースなどでは、キャッシュの恩恵をあまり受けることができなかった。

　Symantec Endpoint Protection 12はキャッシュに加え、バイナリファイルを対象にした「ホワイトリスト」を活用することで、効率向上を図るという。

　Insightでは、ファイル名やバージョンのほか、プロセス名、ロードされたモジュール、登録されたドライバやハッシュ値といった情報を収集、解析している。この結果はマルウェアの検出に活用される一方で、正規のベンダから得る情報と照合することで、「オリジナルのアプリケーションである」「クリーンなファイルである」ことの証明にも利用できる。「安全」と判断したファイルをホワイトリストに加え、以降のスキャンから除外することで、パフォーマンスを高める仕組みだ。

　デモンストレーションでは、前バージョンのSymantec Endpoint Protection 11では19分ほどかかったスキャンが、Insightを有効にした新バージョンでは5分程度で終了する様子を示した。一般に、PCの利用を続け、搭載するアプリケーションを増やすにつれてウイルススキャンに要する時間は長引くものだが、ホワイトリストを最適化することで、その負荷を軽減できるとシマンテックは説明している。