マルウェアの目的は変化しています。インターネットの初期はイタズラや技術力を示すことが目的のマルウェアがほとんどでしたが、現在では、金銭目的や特定の主義主張に基づくものが多くみられます。
こうしたマルウェアの多くは単体で動くものではなく、外部の攻撃者と通信し、マルウェア自身を強化するほか、情報を外部に送る場合もあります。
今回は、ウイルス対策ソフトベンダーが発見できなかった約2万6000の“未知のマルウェア”の分析結果から、ネットワーク上でどのように動作をするか読み解いていきます。
未知のマルウェアの行動パターン
3割以上が“未知の通信“
上記の表は未知のマルウェアのネットワーク上の動作を分類し順位づけたものです。このデータにより31.72％が未知の通信を行うことがわかりました。
未知の通信とは、アプリケーション識別機能で識別できないアプリケーションです。これを見つけるにはアプリケーションの可視化機能を持つゲートウェイセキュリティ製品で、すべてのポートですべてのアプリケーションを可視化する必要があります。そこで識別できないアプリケーションが“未知の通信”ということになります。
もちろん正常なアプリケーションによる独自形式の通信の場合もありますが、 未知の通信はマルウェアによる通信の可能性が高いことがこのデータでわかります。
未知の通信への防御策として、その通信を分析し正常な通信であれば今後正しく分類されるよう設定します。そして残った通信は通信は不正侵入防止システム（IPS）でスキャンまたはブロックすることで未知の通信からの脅威の侵入、 情報漏えいを防止することができます。
