カスペルスキーがプレスセミナー開催 - マルウェア解析からみる脅威トレンドと検知の仕組み

カスペルスキーは、「カスペルスキー　サイバーセキュリティフォーラム」と題したプレスセミナーを2018年10月開催した。今回のテーマは、最近のマルウェアの脅威状況などの分析に加え、日々の研究活動から生まれる解析のテクニックや高度な機械学習を活用した検知の仕組みを紹介する内容であった。

透明性の公開も重要な企業行動の1つ

最初に登壇したのは、代表取締役社長の川合林太郎氏である。

図1 代表取締役社長・川合林太郎氏

まずは、今回のプレスセミナー開催の挨拶が行われた。メインの登壇者となるヴャチェスラフ・ザコルザフスキー氏の紹介した。ザコルザフスキー氏は、まさにマルウェアの解析を行い、製品側でどういうロジックを組むかといったことを行うチームの責任者であると紹介した。また、今回のプレスセミナーでは、どういう仕組みでマルウェアを検知するかについても紹介したいと語った。この点は、2017年から取り組んでいるトランスペアレンシーイニシアティブへの寄与にもなると述べていた。どのようにデータを収集し、どう再利用しているのか、ユーザーに開示していくことで、最終的に安心して製品を使ってもらえる環境を整備したいとのことだ。

多層型の機械学習

さて、今回、もっとも注目された内容であるが、カスペルスキーでは、どうやってマルウェアを防いでいるのか具体的な仕組みが紹介された。カスペルスキーでは、多層防御を実装する。同時に、多層型の機械学習が行われる(図8)。

図9 多層型機械学習

ここで赤く「ML」とあるのが、機械学習である。クラウド・ローカル、実行前・実行後のそれぞれで、機械学習が行われる。機械学習の基本は、図9のようになる。

図10 機械学習の原則

良性と悪性の両方の実行ファイルを学習させ、不明(新しい)実行ファイルの良し悪しを判定する。最初のアプローチは、決定木を使う。不明な実行ファイルから、特徴を抽出する。

図11 決定木アンサンブル

これを作成したモデルを使い判定する。この例では2つの要素であるが、いずれも悪性であれば、マルウェアと判定する。カスペルスキーでは、約1000の決定木のモデルが構築されている。そして、それぞれのモデルには数百の条件が設定されている。次のアプローチは、局所性鋭敏型ハッシュである。

図12 局所性鋭敏型ハッシュ

従来の方法では、似たようなファイルでも、まったく異なるハッシュ値となる。局所性鋭敏型ハッシュでは、ファイルの特徴的な部分をハッシュ化することで、より正確に類似性が比較可能になる。特に、特定のハッシュのベクトルを使うことで、複数の不正なファイルを検知することが可能となる。最後に、振る舞いモデルを紹介した。