ディープラーニング技術を使ったマルウェア対策 · ハッキング行為 . の防止. 脆弱性を付くエクスプロイトの ... ディープラーニングと他の機械学習モデルとの違い

Copyright©2019, T.D.I.CO.,LTD.

ディープラーニング技術を使ったマルウェア対策

1

情報技術開発株式会社

営業本部 iDC＆セキュリティ営業グループ

志村安孝情報技術で未来を創造

情報技術で未来を創造 Copyright©2019, T.D.I.CO.,LTD. 2

ディープラーニング技術を使ったマルウェア対策 SOPHOS Labs×Deep Learning

Deep Learning技術を活かしたIntercept X

まとめ

アジェンダ

情報技術で未来を創造 Copyright©2019, T.D.I.CO.,LTD.

管理本部ソリューション本部

大連特迪信息技術開発有限公司

パナソニック事業部関西支社

カゴヤ・ジャパン(株)

ＴＤＩシステムサービス(株) ＴＤＩプロダクトソリューション(株) リンク情報システム(株) (株)ファスト株式会社Flexas Ζ IMGコンサルティング(株)

営業本部東日本システム営業部西日本システム営業部中部システム営業部九州システム営業グループ開発本部東日本事業部西日本事業部中部事業部九州開発センター

商号情報技術開発株式会社（略称：tdi）

英文社名 T.D.I. CO., LTD （Technological Development of Information-processing）

本社東京都新宿区西新宿６丁目８番１号住友不動産新宿オークタワー

資本金 13億5,100万円創業 1968年9月2日（昭和43年）

従業員数 (連結) 1,710名（2019年3月31日現在）

事業内容ソフトウェア開発、情報処理サービスエンベデッド・ユビキタス／半導体関連、ソフトウェア商品等の開発・販売

子会社

TDIシステムサービス株式会社 TDIプロダクトソリューション株式会社リンク情報システム株式会社カゴヤ・ジャパン株式会社株式会社ファスト株式会社Flexas Ζ IMGコンサルティング株式会社大連特迪信息技術開発有限公司

関連会社株式会社アクトシティレイヤーズ・TDIソリューションズ株式会社

3

はじめに


はじめに

iDCSでのセキュリティ製品主要取扱いメーカー

iDC&セキュリティグループは、お客様のセキュリティニーズに合わせて

包括的なソリューションをご提供致します。

アンチランサムウェアアンチエクスプロイト

EDR

IT資産管理 Windows10管理

操作ログ管理働き方改革

NWセキュリティ脅威検出・隔離

HDD暗号化ソリューション

リモートアクセスサービス


ディープラーニング技術を使ったマルウェア対策

5


拡大するサイバー攻撃による被害

高度化・巧妙化する攻撃手法

標的型攻撃

マルウェアランサムウェア


高度な攻撃テクニックと、絶え間ない革新 ■ 「マルウェア・アズ・ア・サービス (MaaS)」 ■プログラムの入手が容易

マルウェア・ランサムウェアの攻撃が成功している理由とは？

企業側のセキュリティホール ■OSやアプリケーションのアップデートなど、セキュリティパッチが迅速に適用されていない ■ IT セキュリティの知識が不足している ■バックアップ戦略が十分ではない (リアルタイムバックアップを実施していない、バックアップがオフラインまたはオフサイトに保管されていない)

保護テクノロジーが最新でない

■従来型のアンチウィルス製品を利用している。


従来型アンチウィルス～パターンマッチング方式

アンチウィルスベンダー

定義データベース

の提供

シグネチャパターンファイル

マッチング

防御対策


従来型アンチウィルス～パターンマッチング方式の弱点

アンチウィルスベンダー

定義データベースの提供

シグネチャパターンファイル

マッチング

防御対策

パターンファイルが登録された定義データベースを常に最新化する必要有 ⇒更新を忘れてはいけない

パターンファイル作成が追い付けない速度で攻撃されると追いつけない

⇒亜種や新種へのリアルタイムな対応には限界がある

「既知」の攻撃に対する「事後対策」としては有効 ⇒未知のマルウェアに対しては無防備で、

すり抜けられてしまう可能性がある


次世代型アンチウィルス対策

10


Sophos社のご紹介～会社概要

11


Sophos社のご紹介～会社評価ガートナー社のマジック・クアドラント2部門でリーダーの評価

エンドポイント保護プラットフォーム部門と UTM の部門でリーダーに存在するのは “ソフォス”だけ

出展： Gartner "Magic Quadrant for Endpoint Protection Platforms "Ian McShane, Avivah Litan, Eric Ouellet, Prateek Bhajanka, 24 January 2018 Gartner "Magic Quadrant for Unified Threat Management (SMB Multifunction Firewalls)" Jeremy D'Hoinne, Rajpreet Kaur, Adam Hils, 20 June 2017 免責事項: 本図表は、ガートナー・リサーチの発行物の一部であり、発行物全体のコンテクストにおいてご覧いただく必要があります。ガートナーの発行物は、リクエストによりソフォスからご提供することが可能です。ガートナーは、ガートナー・リサーチの発行物に掲載された特定のベンダー、製品またはサービスを推奨するものではありません。また、最高のレーティング又はその他の評価を得たベンダーのみを選択するように助言するものではありません。ガートナー・リサーチの発行物は、ガートナー・リサーチの見解を表したものであり、事実を表現したものではありません。ガートナーは、明示または黙示を問わず、本リサーチの商品性や特定目的への適合性を含め、一切の保証を行うものではありません。

MAGIC QUADRANT for UNIFIED THREAT MANAGEMENT

MAGIC QUADRANT for ENDPOINT PROTECTION PLATFORMS

12


Sophos社のご紹介～OEM提供

有名なセキュリティベンダーへSophosソリューションはOEM提供されています。

Zero day Malware

URL Classificati

on

IP/File Reputatio

n

Cloud Lookups

Spam Intelligenc

e

Application

Categories Wide range of Industry

Applications Live Protection by

SophosLabs

SDKs White-label Threat Intelligence

80+ Sophos OEM Partners

13


Intercept X 機能紹介～概要

CryptoGuard

ランサムウエアの防止

ランサムウエア攻撃の防止自動ロールバック

アンチエクスプロイト

ハッキング行為の防止

脆弱性を付くエクスプロイトの攻撃テクニックを包括的に

検知・抑止

根本原因解析

脅威追跡

脅威感染元の追跡ログ解析・可視化（EDR lite）

駆除

脅威の排除

未知の脅威のフォレンジック検知とシグネチャレス駆除

ディープラーニング

未知の脅威からの保護

シグネチャレスファイル実行前軽いパフォーマンス

14


従来型との違い

従来型アンチウイルス：ファイルスキャン

シグネチャ照合クラウド

Big Data 最新検索エンジン/ML

Live Scan

Genotype(遺伝子解析応用）

15

Intercept-X 2.0：ファイルスキャン機能

機械学習 DLエンジン

update ビッグデータ学習モデル生成

・静的検知・実行前診断・ディープラーニングエンジン・シグネチャレス


AIのモデルタイプ

16


ニューロンが相互接続されるレイヤー、それぞれが複雑な特徴を特定する

入力出力

機械学習

出力

決定木

入力

ランダムフォレスト

出力入力


AIのモデルタイプ

17


ニューロンが相互接続されるレイヤー、それぞれが複雑な特徴を特定する

入力出力

機械学習

出力

決定木

入力

ランダムフォレスト

出力入力

利用できるサンプル数と特徴数が多いほど、予測の精度が向上。残念ながら、従来型の機械学習では、効率的に処理できるサンプル数と特徴の数が限定されている。


SOPHOS LABS × DEEP LEARNING

18


ディープラーニングと他の機械学習モデルとの違い

19

Intercept X は、まるで人間の脳のように働くディープラーニングニューラルネットワークを使っている…

この結果、既知のマルウエアやゼロデイマルウエアの高い精度での検知と低い誤検知率をもたらした。

- ESG Lab Report, December 2017

スケーラブル軽いスマート


ソフォスのディープラーニングの特長

20

• 業界トップクラスのマルウェア検出率 • Sophos Labs の専門のデータサイエンティストたちが作成 • シグネチャのない未知のマルウェアを防止 • 数ミリ秒で脅威を検出して防止

当社のテストで過去最高のパフォーマンスのスコア Maik Morgenstern 氏、CTO、AV-TEST


SOPHOSが持つマルウェア解析のナレッジ

21

解析の経験値

SOPHOSは30年以上に渡りウィルスやマルウェアからの保護を目的とした研究と開発、そして検体の解析を行っています。その集大成と言えるSophos Labsは、マルウェア作成者とは比較にならないほど優秀なスタッフによって構成されており、そのナレッジはセキュリティベンダーの中でもトップクラスです。


マルウェア検出における問題点とは何か？

22

マルウェアは解析することができるが・・・自動解析

(機械学習)

アナリストによる解析

経験豊富なアナリストでも解析に時間を要する場合あり

膨大な数の亜種作成キットの普及


理想的なAIの特徴

23

× ＝

古今東西のマルウェアの特徴や解析のナレッジを、優秀なDeep Learning技術と融合することで、「経験豊富なマルウェア解析者」のような解析思考を生み出すことが重要

高い解析思考


0.02秒でファイルを解析する熟練アナリストの誕生

24

× ＝

お客様のPCでAIという熟練アナリストが、常に解析を行います


重要な二つの構成要素

25

× ＝高度なAI技術少ない

学習データ精度が低い

× ＝チープなAI 豊富な学習データ精度が低い

× ＝高度なAI技術豊富な学習データ精度が高い


Deep Learning技術を活かしたIntercept X


Intercept X 機能紹介～概要

CryptoGuard

ランサムウエアの防止

ランサムウエア攻撃の防止自動ロールバック

アンチエクスプロイト

ハッキング行為の防止

脆弱性を付くエクスプロイトの攻撃テクニックを包括的に

検知・抑止

根本原因解析

脅威追跡

脅威感染元の追跡ログ解析・可視化（EDR lite）

駆除

脅威の排除

未知の脅威のフォレンジック検知とシグネチャレス駆除


未知の脅威からの保護

シグネチャレスファイル実行前軽いパフォーマンス

27


CryptoGuard • ランサムウエア検知と復旧 • Universally prevents

spontaneous encryption of data

• Notifies end user on rapid encryption events

• Rollback to pre-encrypted state

CRYPTOGUARD

Exploit 防御

5

ランサムウェアに特化した対策

シグネチャレス検知

根本原因解析による脅威チェーン

柔軟な運用

インシデント対応

Sophos Clean

・・・悪意ある暗号化の防止/攻撃元特定/感染後の自動回復

次世代エンドポイントInterceptXの主な特長

・・・不正トラフィック検知/包括的なエクスプロイト検知

・・・ IOC操作履歴リスト/攻撃イベントの分析・可視化

・・・他のAV製品と共存可能 ※一部競合する製品有り


①プロセス監視

②コピーを生成 (バックアップ)

⑤ロールバック

②書き換え（暗号化）

④プロセスロック

③ランサムウエア行動検知

ランサムウェア

アンチランサムウェア：CryptoGuard


グラフィック表示から判読できること • 検出したイベント（ビーコン） • 影響が波及した範囲

様々な攻撃に対してケースを記録し詳細情報を提供します

サマリーに記録される情報 • 脅威の名称 • 関連するファイル • 発生した場所とユーザー • 発生日時 • 感染元

検出したイベント（ビーコン）

根本的な原因

影響の種別（接続した・書き込んだ）を矢印の添字で説明色でファイル・プロセス・レジストリ・ネットワークを区別

根本原因分析：Root Cause Analysis①

7


P

Net

F

Reg

OutLook pdf

ダウンロード

wscript

Wscript file

C&C アクセス

Acrobat

起動起動 P P

F

F

Outlookのメール添付データより感染

根本的な原因

検出したイベント（ビーコン）

根本原因とビーコンを結び付けたプロセス

根本原因分析：Root Cause Analysis②

8


• ブートレコード等に潜伏しOSやアンチマルウェアを操作する脅威 • OSやアンチマルウェアが起動する前に動作する脅威 • 駆除・修復中に再攻撃を試みる脅威

スパイウェアトロイの木馬

ルートキット

ポリモーフィック型マルウェア

悪質なクッキー

除去

除去

除去

除去除去

マルウェアが作成する悪意のあるコードやレジストリキーを除去しPCを修復します

修復機能：Sophos Clean


InterceptXを導入することで、以下のプロセスにて、脅威の発見から原因の調査、特定までの運用を行うことができます。

6段階の運用ステップ 1. Sophos Central Dashboardでアラート監視 2. Sophos Central Adminを起動し、詳細調査 3. アラート詳細確認 4. インシデントのステータス変更 5. 感染原因、経緯の調査 6. 端末の被害状況の調査

InterceptXの運用


InterceptXの運用

Sophos Central （Cloud管理基盤）

IT部門担当者

IntercepXが動作するPCのIT管理者 IntercepXが動作するPC

レポート参照

警告通知

必要に応じた二次調査・対策

ログの解析と関連検査を自動的に抽出し一連の動作をレポート

前後のログをCloudへアップロード

マルウェアによる不正な動作を検出・プロセスの停止

運用の流れ

時系列


InterceptXの運用

IT担当者

アラート監視アラートメール受信

Central Admin 起動

アラート詳細確認

インシデントステータス変更

感染原因・経緯の調査

端末の被害状況調査

IT担当者操作 IT管理者操作


まとめ：ディープラーニング技術を使ったマルウェア対策

これからは、従来型のアンチウイルスでの侵入防御に加えて

侵入されてからも被害を最小限に留める対策をしましょう。


まとめ：ディープラーニング技術を使ったマルウェア対策

従来のパターンマッチングでは対応できない未知のランサムウェアを検知

CryptoGuardでランサムウェアのプロセスを監視

Web経由の脆弱性、メールの標的型攻撃に対する防御および攻撃手法の分析

アンチエクスプロイト機能で脆弱性をつく攻撃から防御

既存システムへの変更が負担にならない

他社AV製品と共存できるため、既存システムの変更は不要

Intercept Xは


ご清聴ありがとうございました。

【お問合せ先】

情報技術開発株式会社営業本部

iDC＆セキュリティ営業グループ

TEL(東京) : 03-3372-9823 TEL(大阪) : 06-6201-7764 Email : [email protected]

17

Documents

ディープラーニング技術を使ったマルウェア対策 · ハッキング行為 . の防止. 脆弱性を付くエクスプロイトの ... ディープラーニングと他の機械学習モデルとの違い