第 7 章 評価
7.5 考察
7.5.1 能動攻撃型マルウェアの検知
第7.1節の評価において，本手法は従来のIDSの代表的な実装であるSnortと比較してFalse
Negative発生率が低く，False Positiveの発生もないことから，従来の手法と比較してボット
の検知精度が高いと考えられる．能動攻撃型マルウェアの評価に用いた配布されているSnort のシグネチャはSourcefire VRT Certified Rulesが1週間に約1回，Emerging Threatsが毎日更 新されており，評価時点での網羅性において最新の状態にあったと言える．また，ボットの 収集期間が2008年6月から同年10月であり，通信データの収集が同年11月1日から同月6 日までの間であるのに対し，本評価で使用したルールは2008年11月27日版となっている．
よって，少なくとも20日以上が経過した時点でのルールを使用しており，実際のネットワー ク監視運用と同様の条件であると言える．このことから，既存のIDSでは構造上の限界があ ることがわかる．そして，本手法は亜種に対して強い耐性を持つことも明らかになった．
さらに，抽象的かつ拡張可能なルールを用いて検知できる点も有用性が高いと言える．本論 文での評価において，本手法は3種類のルールを使用したのに対し，Snortは3,387件のルー ルを使用している．記述方法の違いや検知対象の違いがあるため単純なルール数の比較は難 しいが，IDSやウィルス対策ソフトはシグネチャの肥大化が問題となっている．本手法では 限られたルールで複数種類のボットを検知できるため，頻繁なルール更新の必要性が低いと
いう点で優れている．ただし，本手法は作成されたモデルによっては具体的な攻撃や活動の 内容を把握しにくいため，IDSと併用することでネットワークフォレンジックなどの調査が 容易になると考えられる．
本実装は活動パターンをXMLによって記述しているため，モデルの追加，更新，削除の負 担が少なく，拡張性が高い．本評価で用いたモデルは同系統のボット亜種には有効だが，全 く新しい通信方式を採用したボットには対応できない．しかし，モデルの作成や拡張が容易 になっているため，モデルが明らかになれば早急な対応が可能だと言える．
7.5.2 受動攻撃型マルウェアの検知
受動感染型マルウェアの通信データを対象とした検知結果と実運用ネットワークの通信デー タを用いた誤検知率の評価から，受動感染型マルウェアの通信モデルを利用したマルウェア 検知は有効性が高い．受動感染型マルウェアの検知では4種類の検知結果を設定するだけで，
99%以上のマルウェア通信データを検知できた．受動攻撃型マルウェアの検知でもルール作 成に利用した通信データセットD0pと検知精度評価に用いた通信データセットD0qは取得の間 に5ヶ月あまりの期間がある．一方，比較に用いたSnortのルールは2010年5月のものであ り，データ収集から1年以上経過しているものを利用している．このことから，シグネチャ 型のネットワーク侵入検知やホスト上で動作するウィルス対策製品のシグネチャは，構造上 の限界がある事が明らかになった．本手法もマルウェア作成者が作成，配布する新しいマル ウェアの動向を見て遷移条件の調整が必要になる．しかし，少ないルールで多くのマルウェ アに対応できる手法は，今後のマルウェア対策において重要な意味を持つ．
また，受動攻撃型マルウェアを用いた精度評価では，ルールを作成したD0pでは出現して いなかった系列のマルウェアがD0qでは出現している．D0qで新たに出現したマルウェアの一 覧を表7.10に示す．これはルール作成時に観測したマルウェアと評価データに出現したマル ウェアとの系統の距離があることを示している．これは，新しいマルウェアの作成時にも過 去のマルウェアのモジュールなどを再利用していることなどから，新しいマルウェアにも対 応できていると考えられる．
本論文で示した通信の状態遷移モデルによるマルウェア検知手法では，各状態を判断する ための手法が重要な要素となる．表7.2で示した検知用のルールでは攻撃コードを含むJava
Scriptのパターンを示しているが，攻撃コードは様々な種類があるため，表7.2で示したルール
で全ての受動感染型の攻撃を網羅しているとは言い難い．一方で，能動感染型マルウェアを検 知するBotHunterではNetBIOSやDCE/RPCへの攻撃を汎用的に検知するために，Statistical PayLoad Anomaly Detection Engineという攻撃コード検知エンジンを実装している．新たに出 現する受動感染型に対応するためにも，攻撃コードを含んだWebページを汎用的に検知する 手法だけではなく，マルウェアの転送，管理，活動を検知するための手法を提案，実現して いく必要がある．
表7.10: D0pには出現せずD0qにおいて新たに出現したマルウェア一覧 Backdoor.Win32.Bredolab.l
Backdoor.Win32.PcClient.kmi Backdoor.Win32.Small.*
Backdoor.Win32.Zdoogu.*
Packed.Win32.Krap.*
Packed.Win32.Tdss.*
Trojan-Downloader.Win32.Geral.*
Trojan-Downloader.Win32.Murlo.*
Trojan-Dropper.Win32.BHO.*
Trojan-Dropper.Win32.HDrop.b Trojan-GameThief.Win32.Nilage.eym Trojan-PSW.Win32.QQPass.ghy Trojan-PSW.Win32.WebMoner.ev Trojan-Spy.Win32.Amber.au Trojan.Win32.Agent2.*
Trojan.Win32.AntiAV.*
Trojan.Win32.Patcher.ef Trojan.Win32.Rabbit.ac Worm.Win32.Bezopi.ni
本論文で調査した受動感染型マルウェアは，Internet Explorerの脆弱性を利用したもののみ となっている．受動感染型マルウェアはWebブラウザの脆弱性を利用した感染だけではなく，
画像や動画の再生ライブラリや再生ソフトウェアの脆弱性を利用したものや，メールによっ て送付されるマルウェア，ソーシャルエンジニアリングの手法を用いてユーザ自身に実行さ せるマルウェアなどが挙げられる．Cookeらの活動[34]や各ウィルス対策ソフトベンダでは 筆者ら以上に多くの受動感染型マルウェアを分析していると考えられる．このような機関と 協力し，今後はさらに多様な受動感染型マルウェアの分析を継続し，受動感染型の種別によ る活動形態の違いや通信の傾向などを明らかにしていく必要がある．
7.5.3 評価に用いたマルウェアの網羅性
検知精度評価に用いた通信データに関連するマルウェアから，評価に用いたルールの網羅 性について議論する．付録AではDcを観測する際に最初に感染させたマルウェアと，D0p，
表7.11: 2008年カスペルスキー社のセキュリティ対策ソフトによって検知されたマルウェア の種別([1]より抜粋)
マルウェアの系統 検知数(*1) 評価用データに出現
Agent 32,919 O
AutoRun 49,753 O
Black 19,586 O
Krap 27,575 O
Obfuscated 15,795 O
Sality 29,804 O
VB 36,067 O
Alman 16,799 X
Brontok 13,142 X
*1検知数はオブジェクトが検知されたコンピュータの数
D0qのHTTP通信中に出現したマルウェアをKaspersky Internet Security 2010で検査した結果 を掲載している．定義データベースは2010年6月2日20時04分の最新版を適用した．また 表7.11では，Kaspersky Internet Securityが各ホスト上で検知したマルウェアを報告した結果
をKaspersky社の報告書[1]から抜粋している．これによると2008年に検出されたマルウェ
アは6,394,359件であり，そのうち検知数の多かったマルウェアの上位20種類から表を作成
している．カスペルスキー社によると同社のセキュリティ対策ソフトは世界60ヶ国で使用さ れている．マルウェアの活動は地域によって異なるという報告もあるが，同ソフトウェアは 多くの国で利用されているため，偏りが少ないと考えられる．また，他の文献では攻撃数の 観測によるマルウェアの活動報告も見られるが，攻撃数はマルウェアごとの攻撃回数や攻撃 対象選択のアルゴリズムによって大きく変化するため，個々のマルウェアの増減を推計する のには利用できるが，全体的な分布を調べるには適していない．しかし，カスペルスキー社 の報告では感染したマルウェアを対象としているため，実際のマルウェアの勢力分布に近い 結果になっていると考えられる．
本論文における評価用通信データに出現したマルウェアは，カスペルスキー社のセキュリ ティ対策ソフトが最も多く検出したマルウェアで，第2.5節で述べた本研究が対象とするマ ルウェアのうち80.098%（小数点第4位以下切り捨て）に相当している．表7.11では評価用 通信データに該当する系統のマルウェアが出現したかを示している．この結果，評価用デー タに出現しなかった系統のマルウェアはAlmanとBrontokの2種であり，全体の検知数合計 から評価用データに出現したマルウェア系統の検知数合計の割合を見たところ，80.098%と
0 20 40 60 80 100
0 10
20 30
40 50
60
Accuracy (%)
Time to Live (second)
Dq’
Dp’
図7.4:v15パラメータ持続時間設定の変更に伴う検知率の変化
なった．このことから，本論文において使用した評価用通信データでは一定の網羅率がある と言える．
7.5.4 変数の保持時間設定の変更に伴なう検知精度の変化
本論文での有効性の検証では合計386種類の受動感染型マルウェアによる通信データと，1 つの実運用ネットワークの通信データのみを対象としている．受動感染型マルウェアの通信 データは報告されているマルウェアの全数に対して非常に少なく，実運用ネットワークの通 信データもネットワーク毎の傾向を網羅しているとは言い難い．さらに，各ルールの設定値 の妥当性を検証するためにもより多くの通信データを検証する必要がある．図7.4はv15のパ ラメータの持続時間を変化させた場合において，D0p，D0pに対するA3アラート発生率の変化 を示したものである．X軸が秒単位のv15の持続時間を，Y軸が持続時間60秒における検 知数を100%とした場合の検知数割合を表している．両者とも，持続時間が40秒以上の場合 にはほぼ100%を検知しているが，実際には持続時間52秒の時点でD0pに含まれる1つの通 信データの検知に失敗している．このようにサーバ側あるいはクライアント側の処理状況や ネットワークの回線状況などによって遅延が発生する可能性があるため，持続時間は長めに 設定するのが望ましい．しかし持続時間を長時間に設定してしまうと，動的なIPアドレス設 定などによって異なるホストが同一のIPアドレスを使うような状況が発生し，False Positive の原因となる．今回のFalse Positive評価の通信データではv15の持続時間を無制限にしても