防御率“99.7％”を誇る次世代セキュリティ製品が日本上陸

AIを用いたセキュリティ

悪意のあるプログラムの総称「マルウェア」の種類は、毎日数十万件以上のペースで新種や亜種が登場し、その数はいまや数億種類以上ともいわれている。

また、攻撃の対象となるデバイスの種類もこれまでのコンピュータだけでなく、携帯電話やスマートフォン、タブレットなどのモバイルデバイス、さらにはアップルTVのようなセットトップボックスやネットワーク家電、産業用の組込み機器やIoT（モノのインターネット）端末など多岐に渡り、私たちの暮らしを支える多くの機器がサイバー攻撃の対象になり得るのが実情だ。

さらに法人分野では企業内ネットワークに接続した機器だけでなく、BYODなど個人所有の持ち込みデバイスが増えている背景もあり、これらマルウェアの攻撃対象となるすべての「エンドポイント」セキュリティの重要性が日々高まってきた。

しかし、このような攻撃手法の進化（悪質化）やITをめぐる環境変化にもかかわらず「アンチウイルスの技術はこの25年間ほとんど変わっていない」とサイランス・ジャパン社長の金城盛弘氏は指摘する。それというのも、現在主流のアンチウイルス技術は指名手配犯のポスターのように「シグネチャ」ベースのパターンファイルと照合してマルウェアを検知しているが、この手法には「既知」の脅威からしか保護できないという欠点があるのだ。

もちろん、各セキュリティベンダーもパターンファイルのデータベースをクラウド共有して更新までのタイムラグを極力短くするなど技術的な改善を積み重ねている。また、脆弱性防御、サンドボックスによる隔離、プログラムの不審な挙動を監視するふるまい検知、ホワイトリストによる制御、さらにはEDR（Endpoint Detection and Response）という、異なるアプローチからのセキュリティ技術も時代の変遷とともに発展してきた。

だが、その日に登場した新種のマルウェアを検知できないという本質的な問題は変わらない。この状況に一石を投じるのが、サイランスの「AI（人工知能）」を用いたエンドポイントセキュリティ製品「サイランスプロテクト（CylancePROTECT）」だ。同社の説明によると、前述のシグネチャとの照合やパターンファイルのアップデート、ふるまい検知もなしに「99％以上のマルウェアを遮断する（外部検査機関AV-TESTの結果では99.7％の検出率）」としているが、なぜそんな夢のようなセキュリティが可能なのだろうか。

機械学習で検出率を向上

サイランスによるAIを利用した予測脅威防御は、同社の解説によると、まずマルウェアが含まれない「良いファイル」と含まれる「悪いファイル」をそれぞれ2億5000万ファイル用意して機械学習（マシンラーニング）で分析し、1ファイルにつき数十万を超える「特徴」をAIによって学習させる。この計5億ファイルの分析結果は同社のクラウドデータベースに保存され、マルウェアの特徴を識別するための数理モデルをアルゴリズムとして生成、それをユーザのエンドポイントに配信する。これによりマルウェアのパターンファイルがなくても、そのファイルの特徴点から未知・既知にかかわらずマルウェアであるかどうかを判定してくれる仕組みだ。サイランスではこのAIを利用した解析を「DNAレベルでのマルウェア識別」と呼称している。

このAI利用の仕組みは難しく感じるかもしれないが、たとえば「グーグル・フォト」がクラウドで大量に収集した写真をAIで解析して、新たに登録した写真に「猫」「風景」といったタグを自動でつけるのをイメージするとわかりやすいだろう。

また、その仕組み上、エンドポイントにインストールしたサイランスプロテクトのアルゴリズムが動作するだけなので、インターネット接続は必須ではなく100マイクロ秒単位でマルウェアを検出して実行を止めるなど動作も高速だ。さらに未知・既知のマルウェアを阻止するだけでなく、「PUP」と呼ばれる潜在的に望ましくないプログラムもスコアリングして一定以上のレベルを拒否できるのも特長となっている。さらにメモリの破壊からの防御、不正なマクロやスクリプト、アプリケーションやバイナリレベルの実行の制御も可能。一方で、高精度に自動検出・阻止するとなると通常のプログラムの「誤検知」も心配になるが、同社によると最新バージョンでの誤検知率は10万分の1のレベルになっているという。

従来のアンチウイルス製品のようなパターンマッチングを必要としないため、マシンへの負荷が軽いのも同製品の魅力だ。CPUで1～5％、メモリは40MB程度しか占有しないため、従来のアンチウイルス製品が“重い”と感じているユーザには期待できるポイントになる。

こうしたサイランスプロテクトの仕組みについて、同社のワールドワイドセールス・シニアバイスプレジデントであるニコラス・ワーナー氏は、「これまでにあった多くのセキュリティ技術は何かが起きて初めて対応する“リアクティブ”なものだが、サイランスがユニークなのは予見して止められる“プレディクト”であることだ」と、その先進性を強調した。

その話を裏づけるために、同社では全米75都市で「Unbelievable Tour in US」というセキュリティイベントを実施。ここでは24時間以内に発見された新種のマルウェアとその亜種をそれぞれ100個用意して、サイランスと主要セキュリティベンダー3社のアンチウイルス製品と比較するというデモンストレーションが行われた。その結果、他社がそれぞれ52％、41％、21％という検出率だったのに対して、サイランスは99％の検出率をマークした。同様のイベントが8月下旬に東京・名古屋・大阪でも実施され、その検出率の精度の高さが多くの人の前で実証された形となった。

まずは法人から展開

サイランスプロテクトは、当初はコンシューマ向けではなく法人向けのエンドポイント保護ソリューションとして展開される。

シグネチャベースの製品と異なり随時アップデートする必要がないため、運用管理の手間が軽減されるというのも法人利用では大きなメリットになるだろう。また、約半年に1回程度アップデートされるのは数理モデルのアルゴリズム改良が中心で、以前のバージョンを使っていてもマルウェアの検出率はほとんど下がらないという。そのため、一度設置したらバージョンアップが困難な産業機器やIoTデバイスなどでも効果が期待できる。現状、対応デバイスはウィンドウズPCとMacのみだが、今後はモバイルや産業機器、IoTデバイスなどへの拡充も検討中という。

こうしてAIを利用したセキュリティが普及すると、それを掻い潜るために攻撃者側もAIを利用した次世代マルウェア開発に取り組む可能性が高く、それにどう対応するかというところがこれからの課題になってくるのかもしれない。

来年に向けて、コンシューマ向け製品の販売も予定しているというサイランス。今後の取り組みに大いに期待したい企業だ。