サイバーセキュリティテクノロジーを提供するWithSecureの日本法人のウィズセキュアは2月22日、事業説明会を開催し、EPP/EDR向け新機能「Activity Monitor」を開発したことを発表した。
Activity Monitorは、ランサムウェア感染に対抗するためのツール。ランサムウェアの多くは、被害者のデータを暗号化し、身代金と引き換えに復号化キーを提供する。Activity Monitorはこのような変化を検知し、暗号化プロセスを停止させ、データを暗号化されていない状態に復元する。
WithSecureでリードリサーチャーを務めるBroderick Aquilino氏は、同社の既存技術である「DeepGuard」と「SandViper」のいいところを合わせたような製品と説明する。
Broderick Aquilino氏
DeepGuardは、悪意があると判断された挙動を監視してブロックする。だが、挙動を個別に見ると悪意がないことが多く、一部の挙動は不可逆的でもあるという。また、ダメージを受ける前にブロックしなければならないと誤検知を招く可能性があるAquilino氏。さらに、全てのオペレーションを全てのプロセスに対して恒久的に監視しようとすると、システムの速度が低下するという課題もあるという。
SandViperは、サンドボックスソリューションであり、疑わしいアプリケーションを安全な環境で実行して、解析する空間を提供する。通常、アプリケーションの実行には遅延が発生する。この遅延は、電子メールをスキャンするような場合には問題とならないが、エンドポイントサイドでの保護といった場合ではユーザー体験の低下といった問題につながる可能性がある。また、繰り返しの処理によりシステムの差分が発生するため、ノイズが多くなるという。
Activity Monitorは、ユーザーエクスペリエンスを犠牲にせず、エンドポイントにサンドボックスのような環境を実現する技術とAquilino氏は説明する。
アプリケーションの挙動を非同期で解析し、悪意があると考えられるアプリケーションの場合、ファイルやシステムの設定変更のバックアップを作成する。悪意があると判断をした場合、バックアップを使って変更をロールバックすることができる。サンドボックスのような環境で発生していたエンドポイントでの遅延も発生しないという。管理者用のアクティビティーレポートも作成される。今後の予定としては、送信ネットワーク接続の制御という機能なども考えられているという。
Activity Monitorは、既存テクノロジーとの併用も可能であり、「WithSecure Elements EPP for Servers」向けの「Server Share Protection」はActivity Monitorを活用した最初の機能だとAquilino氏。Server Share Protectionは、Activity Monitorのバックアップ機能を使うことで、ネットワーク内の感染したコンピューターから共有フォルダーがランサムウェアによって暗号化されないように保護する。ファイルの暗号化が確認されるとバックアップを使ってロールバックする。
また、エンドポイントプロテクション（EPP）ソリューションの振る舞い検知を向上させる。エンドポイント検知と検出（EDR）ソリューションは、Activity Monitorを使用して、変更をロールバックすることができる。バックエンドでSandViperのトレーサーとして使用でき、人間が読めるレポートも作成する。
レポート
一方で、Activity MonitorはバックアップソリューションではないとAquilino氏は注意を促す。監視対象セッションでない場合や、悪意がないと判断されたセッションでは、暗号化されたファイルの復元はできないという。また、盗まれたデータの復元もできない。「まだまだ制約条件はある。そこをどうこれから取り組んでいくかということになる」（同氏）
今後の予定としては、振る舞い検知エンジンとしての高精度化があるとAquilino氏。複数のプロセスをグループとして分析することや、プロセスの初期にブロックすると誤検出のリスクが高くなるため、後のプロセスでブロックして変更をロールバックすることが含まれるという。
Activity Monitorを使ったデモ。右側の保護されたサーバーにある共有フォルダーにアクセスしている左側の保護されていないワークステーションが「Pandora」ランサムウェアに感染したという想定。Server Share Protectionは、感染したコンピューターから共有フォルダーにアクセスがあったことを検知し、影響を受けたファイルがあることを知らせるメッセージを表示する。ここでは、ファイルがロールバックされたことが通知されている。左側のワークステーションでは、ファイルが暗号化され、ランサムノートが作成されている。
