静的解析と動的解析の組み合わせで対処

「うちの会社にしかこない攻撃」を可視化、トレンドマイクロ

2012/04/24

　トレンドマイクロは4月24日、専用アプライアンスを用いて企業ネットワークを流れるパケットを監視し、脅威を可視化する「Deep Discovery」を発表した。どの端末でどういったイベントが発生しているかをダッシュボードで把握し、対処につなげることができる。

　Deep Discoveryは、ネットワークスイッチのミラーポートに接続してセンサーとして動作するアプライアンスと、オプションの支援サービスから構成される。このアプライアンスは、従来からのシグネチャに基づく攻撃検出だけでなく、ファイルの構造や特徴を基に、500以上のルールに基づいて脆弱性を狙う疑わしいファイルを検出する「静的解析」と、仮想環境（サンドボックス）で実際にファイルを動作させて挙動を解析する「動的解析」という2つの解析システムを搭載しており、シグネチャが用意されていない未知の攻撃を検出できるという。

　「最近の攻撃では、どの会社にも同じマルウェアが送られてくるわけではない。隣の会社には送られず、自分の会社にしかやってこない攻撃に、静的解析と動的解析を組み合わせて対処する」（トレンドマイクロソリューション事業本部部長代行大田原忠雄氏）。解析で得られた攻撃元の情報や悪用している脆弱性、マルウェアに感染したと思われる端末などの情報は、リアルタイムにダッシュボードに表示される。

　また、動的解析の結果得られたファイルのハッシュ値や不正なURL、接続先といった情報は、静的解析で用いるブラックリストにフィードバックされる。これによって「次に似たような攻撃が来たときに、効率的に検出できる」（大田原氏）。これらの情報はさらに、プレミアムサポートサービスを通じて同社の解析部門であるTrend Labsに送られ、シグネチャ作成に利用されるほか、クラウドベースのレピュテーションシステム「Smart Protection Network」にも反映される。

　なおトレンドマイクロは2008年から、アプライアンスを用いて未知のマルウェアの検出を行う「Trend Micro Threat Management Solution（TMS）」を提供済みだ。Deep Discoveryはこの延長線上にある製品で、動的解析機能を追加したほか、相関分析に基づくレポートをリアルタイムに確認できる点が強化されているという。

　オプションサービスでは、レポートに関する問い合わせに答える「基本サービス」のほか、同社のナレッジを反映させ、掘り下げた形で毎週レポートを提供する「インシデントレポート」、脅威の傾向や対策をまとめ、経営層向けに説明を行う「エグゼクティブサービス」といったメニューを用意。これにより、日々のセキュリティ運用を支援する。