世の中で生き残っていくセキュリティ製品には、共通点がある
乙部氏は大学時代に情報工学を専攻し、卒業研究ではAIをテーマにしていたという。卒業後は、ネットワークエンジニアとして従事したあと、サイバーセキュリティ業界に足を踏み入れる。そして、パロアルトネットワークスにおいて、アジア太平洋地域の最初のメンバーとして日本での事業拡大に貢献し、Cylance社では日本の技術責任者を担当するなど、セキュリティの最前線に立ち、2020年よりDeep Instinctに参画した。乙部氏が冒頭に経歴を話した背景には、様々なサイバーセキュリティ技術の変遷がある。
バイスプレジデント APJ事業開発担当 乙部幸一朗氏
その中には、ステートフルファイアウォール、IPSec-VPNとSSL-VPN、IPS/IDS、次世代ファイアウォール、サンドボックス、シグネチャ型アンチウィルスとサンドボックスなどがあるが、これらのうち世の中で生き残っていったセキュリティ製品には、共通点があることを実際に経験してきたからだ。
「新たな技術が登場しては消えていく中で、残っていく技術もあります。シグネチャなどはもう20年も使われている技術です。たとえ専門家が素晴らしい技術だといっても、必ずしもそれが市場に求められている訳ではありません。良いセキュリティとして世の中に残っていくものというのは、誰もが使えるものでなければいけないのです」と乙部氏は指摘する。
[画像クリックで拡大]
また、「検知」より「予防」、「マニュアル」より「自動化」のソリューションが求められる傾向にあるとも説明する。セキュリティシステムが誤検知し、自動的に停止してしまうとビジネスに影響を与えかねない。そのため、人の手を介するマニュアルでの対処を選びがちであるが、それではリスクとコストが高まる懸念がある。したがって、最終的には精度の高い予防型・自動型のアプローチが、最も理想的なセキュリティとして世の中に受け入れられているという。
巧妙・高度化する攻撃への対策コストは高まる一方
乙部氏は続いてDeep Instinctが公開した「2021年 上半期 脅威情勢レポート」から、最新のサイバー脅威について説明を行なった。
まず、最初に紹介したのが「標的系」と呼ばれている脅威。その攻撃の多くはインパクトが大きく、被害を受けてしまうと組織を大きく衰弱させてしまうものだ。たとえば、ランサムウェアによってデータが暗号化されることによってビジネスの継続性が脅かされるだけでなく、窃取されたデータを公開するといった二重三重の恐喝も生じている。
次に「ばらまき系」は、情報搾取系のスパイウェアから始まり、ボットネット、ランサムウェアと連鎖的に攻撃を展開することが特徴だ。攻撃者側は、分業によって収益を分配するモデルができあがっている。また、新型コロナウイルス感染症に起因したサイバー脅威も登場。リモートワークが推進されるとともにシステムもクラウド化されていき、ネットワークも複雑になっている。そのため、これまでにない程に攻撃面が広がっており、防御が難しくなっている。
特に大規模なランサムウェアの事案において、被害額が拡大しているという。乙部氏は、アメリカのコロニアル・パイプライン社というガスパイプラインの会社が、ランサムウェアの被害にあって約4.8億円の身代金を支払ったケースや、食肉加工会社であるJBSが12億円の支払いを行った事案などを説明した。
「『なぜ12億円も支払うのか？』と疑問に思われるかもしれません。たとえば、フランスのIT系ベンダーであるSopra Steria社は、身代金要求に応じませんでした。しかし、その代わりに対策費用として約66億円も必要になったと公表しています。身代金を支払わない場合、こういった対策コストが経営的に大きなインパクトを与えてしまう一方で、身代金を支払った95％のケースでデータを取り戻せているという報告もあります。そのため、倫理面は別として60億円をかけてインシデント対応をするのではなく、身代金を支払ってしまうことも、経営者としては1つの選択肢になるのです」（乙部氏）
また、攻撃の技術トレンドとしては、以前のように長期間にわたる潜伏は減少傾向にあり、感染／実行／組織全体への横展開に遷移している。さらに侵入経路については、ネットワーク機器やリモートデスクトップの抜け穴を突くケースも増えているという。攻撃の初期段階では、検知回避の技術を備えたWord/Excel形式のファイル、PDFなどをメール添付で展開するパターンが多くなっている。これらのファイルがマクロを経由してWindowsの標準機能であるPowerShellを起動、コマンドを実行してマルウェアをダウンロードさせるものだ。
[画像クリックで拡大]
こうした攻撃の技術トレンドの中でも、アンチウイルスソフトをすり抜けるためにAIを活用した敵対的機械学習（Adversarial Learning）が使われた兆候があるということも注目すべきポイントだとしている。アンチウイルスソフトの中でも機械学習というAI技術と取り入れる製品が増えてきたため、攻撃者はそれを意識した動きを見せ始めているという。
そのため、新たな対処法として利用されているのが、エンドポイント監視のEDR（Endpoint Detection and Response）だ。しかしながら乙部氏は、「EDRは、怪しいイベントのアラートをどんどん出すのですが、それらの中から重要な情報だけを適切に見分けることは、企業内に専門組織を有していたとしても困難な作業です。そのため、自然とそのような作業をアウトソースする流れになり、コストが増えて人的リソースを消費しているだけというケースが多くなっています」と、コストと効果の間でアンバランスが生じている点を指摘した。
“検知と対処”に舵を切ったセキュリティ対策は、やればやるほどコストとリソースを消費するようになってしまったという。
サイバーセキュリティは、ディープラーニングによる自動予防の時代へ
Deep Instinctでは、このようなサイバーセキュリティ対策の課題を解消するべく「ディープラーニング技術」を活用している。人間の脳の働きであるニューラルネットワークをコンピューターで再現することで、学習や予測、分類、回帰を行う技術だ。
[画像クリックで拡大]
シグネチャベースの対処法は、既知の脅威には対処できるものの、未知の脅威は防げない。乙部氏によると、いまや未知の脅威は1日数十万件も生じているという。そうなると、人の手だけでは処理ができない。
「従来のシグネチャベースの技術は、見たことがあるパターンを検知していくアプローチのため、未知の脅威には対応できません。さらに、毎日のアップデートが必要であったり、CPUやメモリ消費も激しかったりと、パソコンにとっても管理者にとっても煩雑な処理が多いものになります。一方で、ディープラーニング技術を活用した“予測する”というアプローチでは、未知の脅威を予測して動き出す前に止めてくれます。さらに、頻繁なアップデートが不要で、動作も軽いというメリットがあります。その上、予測モデルはデバイス上で動作しているので、場所や時間を選ばずにいつでもデバイスを保護できるという優位性も兼ね備えているのです。また、防御を自動化できるようになれば、全体のコストやリソースの消費を抑えることができ、組織にとっては多くのメリットがあります」（乙部氏）
現在多くのセキュリティ製品で使われている機械学習という技術は、膨大なデータから特徴を抽出、学習をして処理させることができるが、特徴抽出と呼ばれる処理は人が行う必要がある。この特徴に偏りがあったり、バイアスが加わってしまったりと精度高く判定できないことが、機械学習が越えられなかった1番の壁だ。ディープラーニングは、特徴抽出を人間が行うのではなく、AIのシステム自体が行うアプローチでこの壁を超えたのである。
[画像クリックで拡大]
ニューラルネットワークによるディープラーニングが脚光を浴びたのは、2012年、画像の認識率を競うILSVRC（ImageNet Large Scale Visual Recognition Challenge）と呼ばれるイベントで、ジェフリー・ヒントン氏が率いるトロント大学のチームが、初出場でありながら優勝したことがきっかけだといわれている。従来の機械学習を用いた手法を使うチームに対して、圧倒的な差をつけて優勝したことで当時の研究者たちは大きな衝撃を受けたという。これをきっかけに、その後、画像認識以外の分野でもディープラーニングが広く使われることとなった。
Deep Instinctがディープラーニング技術をサイバーセキュリティに使う理由は3つある。1つ目は「精度」、誤検知や過検知をより少なくできる。2つ目は「レベル」、従来の機械学習では白黒判定しかできないが、脅威にはスパイウェアもあればランサムウェアもある。ディープラーニングであれば、これらの種別まで予測できるようにレベルを高めることが可能だ。3つ目は「拡張性」、人が特徴抽出を行う機械学習と異なり、ディープラーニングでは特徴抽出をAIが行えるため、様々なものを学習して予測モデルを作成できるという。たとえば、実行ファイル以外にも、Word/Excelファイル、PDFやPowerShellのスクリプトに対してモデルを作成したり、OSプラットフォームもWindows、macOS、Android、Linuxなど様々なものにも対応できたりするメリットがあるという。
[画像クリックで拡大]
乙部氏は、「サイバーセキュリティの歴史を振り返ってみても、検知／対処ベースの技術が世の中で広く使われて、生き残ったことはありません。どれだけ自動的に予防できるのか。それが結果的に全体のコスト削減、そしてセキュリティの最適化につながっていくと思います。そして、このような技術が長い目でみたときに世の中で広く使われ、生き残っていくと考えています」と述べる。
また、最後に同氏は「Deep Instinctはディープラーニングを活用したモデル技術で、未知の攻撃初期ファイルからマルウェア本体までを静的解析で防御するだけでなく、優れた振る舞い検知や脅威ハンティング機能などにより、1つの製品でエンドポイントを多層的に防御できることが特徴です。さらに、今後はネットワークやクラウド、ストレージにも対応した製品のリリース予定です。ディープラーニングベースの予防プラットフォームをこれからも提供していきます」と今後の戦略を述べて、講演を締めくくった。
ディープラーニングによるサイバーセキュリティの実力＆運用体感セミナーを毎月開催！
実際に未知の脅威をどの様に防止できるのか、Deep Instinctの実力を体感できるデモを含めたオンラインセミナーを開催します。オンラインセミナーの詳細と申し込みはこちらから。
