第4回ウイルスはなぜウイルスなのか

株式会社フォティーンフォティ技術研究所
技術本部ソフトウェア開発部シニアソフトウェアエンジニア
永田哲也
2010/6/14

　誤検出問題――守る側にも変化が必要

　このように、さまざまな検出ロジックを搭載し、プロトタイプは非常に高い検出率を実現した。しかし、最大の難関が控えていた。誤検出問題である。

　汎用的なロジックで検出を行うため、正常系アプリを検出してしまうことがある。PCゲームや商用アプリケーションの中には、クラック対策のため、ウイルスなどと同じように圧縮・暗号化を施してあるケースがまれにあり、これらを誤検出することがあった。

　そのため、検出率を落とさない前提で、誤検出を減らすため、さらに工夫を施していった。しかし、パターンファイルに依存しない汎用ロジックベースのヒューリスティック方式は、完全パターンマッチング方式と比較すると、仕組み的にどうしても誤検出が多くなる。

　新たなウイルスが日々数万件レベルで発生し、パターンマッチング方式が新しいウイルスの多くを検出できなくなっているという現状を考えると、意味のある対策を実施するためには「疑わしきは罰せよ」の精神にのっとるしかない。誤検出は、ときに管理者の大きな負担となるが、守れないものを運用することは、負担が小さかったとしても結局無駄な投資となってしまう。

　yaraiでは、誤検出してもファイルを削除せず「実行できなくなる」という仕組みを作った。どうしても誤検出が許されないアプリケーションについてはホワイトリスト登録できる仕組みも用意している。いままでのアンチウイルスソフトとは運用方法に対する考え方が若干異なるが、時代背景の変化に伴い、守る側にもある程度の変化が必要な時期に来ていると私は考えている。

　yaraiのスタティック分析エンジンは、今後も新たなウイルスに対抗できるよう、常に磨き続けられていく。

2/2

Index
ウイルスはなぜウイルスなのか
	Page1 スタティック分析――ウイルスはなぜウイルスなのかウイルスがやりたいことが見えた
	Page2 誤検出問題――守る側にも変化が必要

Profile

永田哲也（ながた　てつや）

株式会社フォティーンフォティ技術研究所
技術本部ソフトウェア開発部
シニアソフトウェアエンジニア

マルウエア解析、セキュリティエンジニア技術研修セミナー講師、セキュリティ関連プロダクトの開発。

自社製品のウイルス対策ソフトウエア「yarai」では、主要開発メンバーとして、Windows用実行ファイルの構造を解析し、マルウエアを検出するヒューリスティック技術「スタティック分析エンジン」を担当。

現在は「yarai」プロジェクトのリーダーを引き継ぎ、新バージョンや関連製品の開発を担当。

セキュリティを形にする日本のエンジニアたち
連載インデックス

Security&Trust フォーラム新着記事

Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。
WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。
Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
　代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する
侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。