振る舞い検知は何を見て脅威と判断するのか
最初につまずきやすいのが「何を手がかりに危険と判断しているのか」という点です。従来のウイルス対策との判断基準の違いを押さえると、この技術が必要とされた理由が見えてきます。
ファイルの正体ではなく「動作の中身」を見る技術
振る舞い検知は、プログラムが実行される際の動作そのものを監視し、危険な行動パターンに当てはまるかどうかで脅威を判定します。監視の対象となるのは、短時間で大量のファイルを暗号化する、OSの重要な設定領域を書き換える、外部の見知らぬサーバーへ通信を試みる、他のプロセスに自分のコードを埋め込む、といった挙動です。これらは正規のソフトウェアがめったに行わない動作であり、組み合わさって現れたときに危険度が高いと評価されます。
重要なのは、そのファイルが有名なマルウェアかどうかを問わない点です。世界で初めて出現した検体であっても、身代金要求型ウイルス（ランサムウェア）らしい暗号化の動きを見せれば検知の対象となります。人の身元を調べる代わりに、その場での行動が不審かどうかで判断する警備員のような発想であり、この考え方が未知の脅威への対応力を生んでいます。
パターンマッチング方式との決定的な違い
従来のウイルス対策の中心は、パターンマッチング（シグネチャ型）と呼ばれる方式でした。これは既知のマルウェアの特徴を記録した定義ファイルと、検査対象を照らし合わせて一致すれば駆除する仕組みです。判定が明確で誤検知が少なく処理も軽い一方、定義ファイルに登録されていない新しい検体はすり抜けてしまいます。
攻撃者側はこの弱点を突き、プログラムの中身をわずかに書き換えた亜種を大量に自動生成する手法を常用しています。中身が変われば特徴も変わるため、照合はすり抜けます。しかし目的が金銭である以上、暗号化や情報の外部送信という最終的な行動は変えられません。振る舞い検知は、攻撃者が変えにくい「行動」に着目することで、この物量戦から逃れる道を選んだ技術です。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
振る舞い検知が動く3つの工程
振る舞い検知は単一の技術ではなく、複数の判定手法の組み合わせで成り立っています。製品内部でどう処理が進むのかを、3つの工程に分けて説明します。
工程1：安全な隔離環境で試しに動かす動的解析
疑わしいファイルを受け取った際、まず用いられるのがサンドボックスと呼ばれる隔離環境での試験実行です。サンドボックスは実際の業務端末から切り離された仮想的な箱庭で、この中でファイルを起動させ、どのような動作をするかを観察します。危険な処理が始まっても本番環境には影響が及ばないため、安全に正体を確かめられます。
この方式は判定の精度が高い反面、解析に時間を要する点が課題です。また攻撃者側も対抗策を用意しており、仮想環境で動いていることを察知すると無害なふりをして活動を停止する検体や、実行から一定時間が経過するまで何もしない時限式の検体も確認されています。そのため動的解析だけに依存する設計は現実的ではありません。
工程2：稼働中の端末を常時監視するリアルタイム観測
実際の業務端末で動いているプロセスの挙動を、常時記録しながら監視する工程です。どのプログラムがどのファイルを開き、どこへ通信し、どの設定を書き換えたかという操作の連なりを追跡します。個々の動作は無害に見えても、その連鎖が攻撃の定石と一致した時点で危険と判定し、プロセスの停止や端末のネットワーク遮断といった対応につなげます。
この工程が特に力を発揮するのが、ファイルを端末に残さない攻撃です。OSに標準搭載された正規のツールを悪用してメモリ上だけで完結する手口では、検査すべきファイルそのものが存在せず、従来の方式では手も足も出ません。正規ツールが不自然な使われ方をしている点を捉えられるのは、動作を見続けている観測工程だけです。
工程3：機械学習とルールで危険度を採点する判定
集めた挙動データを、脅威かどうかに変換する最終工程です。判定にはあらかじめ人が定義したルールと、大量の正常・異常データを学習させた機械学習モデルの両方が使われます。ルールは「この動作の組み合わせは危険」と明示された条件で、判定理由を説明しやすい利点があります。
一方の機械学習は、人が言語化しきれない微妙な差異まで拾い上げ、その端末の平常状態から外れた動きを数値として捉えます。多くの製品はこの2つを併用し、複数の観点から加算した危険度の合計が基準値を超えた時点で警告や遮断を実行する設計です。基準値をどこに置くかで、見逃しと誤検知のどちらが増えるかが変わるため、この調整が製品の性格を決める要素となります。
振る舞い検知で対応しやすい攻撃と限界
振る舞い検知は、既知・未知を問わず不審な動作を見つけられる一方、すべての攻撃を未然に防げるわけではありません。対応しやすい攻撃と、導入時に理解しておきたい限界を解説します。
未知のマルウェアやファイルレス攻撃を検知しやすい
振る舞い検知は、プログラムの特徴ではなく実際の動作を監視するため、定義ファイルに登録されていない未知のマルウェアにも対応できます。ゼロデイ攻撃や、特定の企業を狙って作られたマルウェアなど、従来の照合型では見つけにくい脅威の検知に役立ちます。
また、正規のツールやスクリプトを悪用するファイルレス攻撃にも有効です。大量のファイルを暗号化する、通常とは異なるプロセスを起動する、短時間に多くの端末へアクセスするといった不審な動作を捉え、被害の拡大を抑えます。
攻撃の侵入や実行を完全に防げるわけではない
振る舞い検知は、不審な動作が始まった後に異常を判断する仕組みです。そのため、攻撃者の侵入やマルウェアの起動そのものを必ず防げるわけではなく、検知までの間に一部の被害が発生する可能性があります。
入口対策となるファイアウォールやメールセキュリティ、既知の脅威を検知するウイルス対策などと組み合わせ、多層的に防御することが重要です。振る舞い検知は、侵入を許した場合でも早期に異常を見つけ、被害を最小限に抑える役割を担います。
正常な操作を誤って検知する場合がある
振る舞いだけで危険性を判断するため、正常な業務処理を攻撃と誤認する場合があります。大量のファイルを処理するバックアップ作業や、独自に開発した業務システム、管理者向けツールなどが不審な動作と判定されることもあります。
誤検知を抑えるには、自社で使用するアプリケーションや通常の操作を確認し、必要に応じて除外設定や検知ルールを調整します。導入直後から最適な精度になるわけではないため、運用しながら設定を見直すことが必要です。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でEDRの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
EDRやEPPにおける振る舞い検知の位置づけ
振る舞い検知は単体の製品ではなく、他のセキュリティ製品に組み込まれた機能として提供されます。どの製品分類のどの部分を担うのかを整理すると、検討時の視界が開けます。
EDRにとって振る舞い検知は前提となる土台
EDRとは、端末（エンドポイント）での不審な挙動を検知し、調査と対処までを支える製品分類です。EDRは端末上の操作記録を継続的に集めて保存し、そこから脅威の兆候を見つけ出しますが、この「兆候を見つけ出す」判定部分がまさに振る舞い検知にあたります。振る舞い検知はEDRの機能の一つというより、EDRが成立するための土台と表現するほうが実態に近いといえます。
両者の違いは守備範囲にあります。振る舞い検知が担うのは検知までで、EDRはそこから先の、いつどこから侵入し何をしたかという経路の追跡、影響範囲の特定、遠隔からの端末隔離や復旧までを含みます。検知の後始末まで求めるならEDR、という整理が実務では有効です。
EPPやNGAVとの重なりと役割分担
EPPは端末を守るウイルス対策製品の総称で、パターンマッチングによる既知の脅威の駆除を中心としてきました。これに振る舞い検知や機械学習を組み込み、未知の脅威にも対応できるよう発展させたものがNGAV（次世代ウイルス対策）と呼ばれます。呼び名は分かれていても、現在市販される製品の多くは複数の方式を1つの仕組みに束ねています。
役割で分ければ、EPPやNGAVは侵入を防ぐ盾、EDRは侵入された後に気づいて対処する監視カメラという関係です。振る舞い検知はその両方に組み込まれ、防御側では起動直後の遮断に、監視側では侵入後の追跡に使われます。製品を比べる際は方式名の有無ではなく、検知した後にどこまで対処できるかを見る視点が重要です。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
振る舞い検知を業務環境で機能させる実務ポイント
技術が優れていても、運用設計を誤れば警告が放置される仕組みに終わります。本格的に活用する段階で決めておくべき点を整理します。
警告に誰がどう対応するかを先に決める
振る舞い検知は「怪しい」という確度の警告を出す技術であり、その一つ一つを人が確かめて判断する作業が伴います。導入直後は自社環境に馴染んでいないため警告が増えやすく、対応する担当者を決めないまま運用を始めると、警告が溜まったまま誰も見ない状態に陥ります。この状態では本物の攻撃も埋もれてしまい、導入した意味を失います。
社内に専任の担当者を置けない場合は、監視と一次判断を外部の専門事業者に任せる運用代行型のサービスを検討する価値があります。24時間の監視体制を自前で組む負担と、代行費用を並べて比べ、無理のない形を選ぶ判断が現実的です。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
調整期間と端末への負荷を織り込んで計画する
導入直後から理想的な状態で動く製品はありません。自社の業務アプリケーションや運用ツールを正常なものとして登録し、誤検知を減らしていく調整期間が必要です。この期間は環境の規模や特殊性によって変わるため、いきなり全社へ遮断設定を効かせるのではなく、一部の部署で警告のみを出す段階から始める進め方が安全です。
端末への負荷も確認すべき点です。挙動を常時監視する仕組みである以上、CPUやメモリを一定量消費し、古い端末では体感速度に影響が出る可能性があります。無償の試用期間を活用し、実際に使われている端末で業務に支障が出ないかを確かめてから全社展開を判断してください。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
振る舞い検知を備えた製品の例
振る舞いにもとづく検知機能を搭載した製品を紹介します。資料を取り寄せ、自社の端末環境や運用体制に合うか確認してみてください。
FortiEDR
- 脅威の検出・無効化から修復までの対応をリアルタイムで自動化
- サポートが終了したレガシーOSにも対応可能
- 過剰なアラートを抑制し、セキュリティオペレーションを最適化
フォーティネットジャパン合同会社が提供する「FortiEDR」は、エンドポイントの不審な振る舞いをリアルタイムで検知し、脅威の排除や復旧までを自動化するEDR製品です。ふるまい分析や機械学習型NGAV、シグネチャレス検知を活用し、ランサムウェアやファイルレス攻撃などに対応します。侵入前の防御から侵入後の検知・封じ込め、復旧までを一貫して支援できる点が特徴です。過剰なアラートを抑制する機能や自動対応のプレイブックも備え、セキュリティ運用の負担軽減に役立ちます。
SophosInterceptXAdvancedwithEDR （ソフォス株式会社）
- 未知マルウェアの検知・ブロック機能を搭載
- 暗号化ファイルを元に戻すロールバック機能
- EDRにより端末上の疑わしい挙動を可視化・調査
まとめ
振る舞い検知は、ファイルの正体ではなく動作の中身から脅威を見抜く技術であり、定義ファイルに載っていない未知のマルウェアやファイルを残さない攻撃に対応できる点が最大の価値です。ただし誤検知は避けられず、動き始めてから反応する性質上、入口対策と組み合わせる前提の技術でもあります。EDRやNGAVに組み込まれた機能として提供されるため、方式名の有無ではなく、検知した後にどこまで対処できるか、そして自社に警告へ対応する体制があるかという視点で選ぶことが重要です。
