アウトライン 1. 研究開発概要 2. 研究開発成果概要 3. 実証実験 4. まとめ 1

Size: px

Start display at page:

Download "アウトライン 1. 研究開発概要 2. 研究開発成果概要 3. 実証実験 4. まとめ 1"

くにひとかんけ
5 years ago
Views:

1 nicter と連携したマルウェア対策技術の紹介株式会社日立製作所 KDDI 株式会社 0 本研究は ( 独 ) 情報通信研究機構 (NICT) 委託研究マルウェア対策ユーザサポートシステムの研究開発の一部です

2 アウトライン 1. 研究開発概要 2. 研究開発成果概要 3. 実証実験 4. まとめ 1

3 1. 研究開発概要 2

html データ構造を変えながら増殖を繰り返す自己変貌型マルウェアの出現多くの PC リソースを使用 (CPU 使用率 20~60% 100% になる場合も )

4 研究開発の背景既存アンチウイルスソフトマルウェアのデータ構造を記述した定義ファイルを用いて検知駆除 1 日に数千から数万に上る大量の新種マルウェアが発生マルウェア出現数 ( 延べ ) Panda Security, データ構造を変えながら増殖を繰り返す自己変貌型マルウェアの出現多くの PC リソースを使用 (CPU 使用率 20~60% 100% になる場合も ) support/index?page=content&id=tech 定義ファイルが対応しないマルウェアの効率的な検知駆除が困難ユーザ PC の利便性を損なう 3

nicter ミクロ解析システム + NICTが研究開発を行っているマルウェア動的解析システム実行環境内でプログラムを実行し挙動を基にマルウェアを検知感染ホストダミーサーバ (DNS, FTP, HTTP, IRC, SMTP, TFTP) クローズドな実験環境マルウェアレジストリ & ファイルパケットキャプチャサーバログアクセスログパターンマッチ動的解析エンジン振舞定義

5 nicter ミクロ解析システム + NICTが研究開発を行っているマルウェア動的解析システム実行環境内でプログラムを実行し挙動を基にマルウェアを検知感染ホストダミーサーバ (DNS, FTP, HTTP, IRC, SMTP, TFTP) クローズドな実験環境マルウェアレジストリ & ファイルパケットキャプチャサーバログアクセスログパターンマッチ動的解析エンジン振舞定義振舞の抽出レポート XML Human readable レポート HTML +D.Inoue, et.al, Malware Behavior Analysis in Isolated Miniature Network for Revealing Malware s Network Activity, IEEE International Conference of Communications 2008 Proceedings, pp ,

6 研究開発の目的 nicter ミクロ解析システムと連携し既存アンチウイルスソフトが対応しないマルウェアの検出および自動駆除の仕組みを実現ユーザ PC に負荷のかからないマルウェア対策を実現 5

7 研究開発の最終目標マルウェア対策ユーザサポートフレームワークの確立 1. ユーザ PC に負荷をかけずに擬陽性ファイルを発見 2. 擬陽性ファイルをサポートセンタで解析マルウェアを検知 3. マルウェア駆除ツールを自動的に生成マルウェアを駆除擬陽性ファイル発見 ~ 駆除ツール提供 10 分 6

8 2. 研究開発成果概要 7

9 開発したユーザサポートシステムの構成フォールズポジティブを許容し不審な点があるファイルを幅広く探索検体をサーバエージェントに送信既知の非マルウェアをフィルタリングユーザ PC 検査ツール 8 検体フォルダ WL 追加項目 WL 追加フォルダ駆除ツールエンジン起動実行監視検体ローカルWL 起動実行監視フィルタ検体駆除ツール起動実行監視パターンフォルダパターンファイル駆除結果駆除結果フォルダ駆除ツールを実行しマルウェアを駆除クライアントエージェント統括部検査ツール管理部ローカル WL フィルタ管理部検体登録部解析結果取得部駆除ツール取得部駆除結果送信部検体登録要求解析結果取得要求駆除ツールパターンファイル取得要求駆除結果登録要求サーバエージェント検体登録部解析結果取得部駆除ツール取得部検体駆除結果登録部検体共通解析結果レポート駆除ツールマスタ WL 照合部検体解析依頼部駆除ツール生成依頼部検体照合結果検体共通解析結果レポート検体共通解析結果レポート駆除ツールパターンファイルホワイトリスト DB サーバ側フィルタ機能通信アダプタ解析結果レポート分析部解析結果レポート nicter ミクロ解析システム検体駆除ツール生成部駆除ツール自動生成システム解析結果レポートを基に駆除ツールを生成マルウェア解析システムと連携し検体を解析検体駆除ツール実行部駆除結果検証部駆除ツール検証システム

10 実行例 : マルウェアの起動起動キーボード入力をキャプチャして Keybord.txt に保存するスパイウェア 9

11 実行例 : 擬陽性ファイルの発見送信マルウェアを擬陽性ファイルとして発見しユーザサポートセンタに送信 10

12 実行例 : 解析状況確認画面 WEB ブラウザからセンタに送信したファイルの解析状況を確認 11

13 実行例 : 駆除ツールの生成配信センタ上でマルウェアを検知し駆除ツールを生成配信 12

14 実行例 : 駆除完了駆除ツールがマルウェア及び Keybord.txt を削除し駆除を完了 13

15 システムの性能指標プロジェクトの最終目標を基にシステムの性能指標を導出マルウェア対策ユーザサポートフレームワークの確立 (1)(2)(4)(5) 擬陽性ファイル発見 ~ 駆除ツール提供 10 分 (3) (1) マルウェア発見率 PCに侵入したマルウェアを漏れなく発見できるか? (2) マルウェア駆除性能検知されたマルウェアを自動駆除し影響を無害化できるか? (3) 処理時間被害が拡大する前にマルウェアの検知駆除処理を完了できるか? (4) ユーザPCの負荷 PC 側に負荷がかからないか? (5) スケーラビリティ多数のユーザを収容可能なスケーラブルなシステムが実現できるか? 14

16 マルウェア発見率既存 AV 本システムユーザ PC におけるマルウェア発見率 ( 年に発生したほぼ全てのファミリーを含むマルウェア 500 体 ) 96% 94% 96% 98% 100% 発見率 (%) 100% 既存 AV が見逃したファミリーの一例 Agobot Drefier Dsbot FlyAgent Frag Gamania Hakaglan Ircbot Magania MarioF Virut 既存 AV が対応しないものを含む全てのマルウェアを擬陽性ファイルとして発見 15

17 マルウェア駆除性能項目設定ファイルの削除レジストリの削除実行モジュールの削除駆除対象マルウェア Trojan.win32/Ircbrute ( マルウェア本体 ) 作成 C: RECYCLER... acleaner.exe 作成 C: RECYCLER... Desktop.ini VirTool:WIn32/DelfInject.gen!BI ( マルウェア本体 ) 作成 C: Users... Roaming Reader_sl.exe 作成 HKLM Software Microsoft... Run,patches TrojanDropper:Win32/Lukicsel.B ( マルウェア本体 ) 作成 C: windows system32 cryptnet32.dll 作成 C: windowws sytem32 shimg.dll 本システム既存 AV ( : 駆除成功 : 駆除せず ) 挙動解析結果を利用してマルウェアを駆除するため本体に加えてマルウェアが作成したファイルレジストリをきめ細かく削除 16

18 処理時間 1 ユーザサポートシステムの処理時間の分布 0.9 分布 nicterがマルウェアと判定した検体 nicterが非マルウェアと判定した検体マスタホワイトリストdbに登録済の非マルウェア処理時間 ( 秒 ) 目標処理時間 (10 分 ) 処理時間検体受信から解析完了 ( マルウェアの場合は駆除ツール生成完了 ) までにかかる時間 10 分以内に 98% のマルウェア検体の処理を完了 ( マルウェア検体の平均処理時間 :4 分 42 秒 ) 17

19 ユーザ PC の負荷ユーザ PC の CPU 使用率の比較ユーササホートシステム停止時 2.8% ユーササホートシステム実行時 3.1% 0.0% 0.5% 1.0% 1.5% 2.0% 2.5% 3.0% 3.5% CPU 使用率 (%) ユーザ PC の CPU 使用率の上昇は 0.3% 程度 18

スケーラビリティ (1/2) 10 万ユーザがマルウェアを送信した場合に待ち時間無く処理するためには

シミュレーションパラメータ ( 実証実験で得られた値を基に設定 ) パラメータユーザ数 ( 人 ) 100,000 nicter 解析時間

2 Nicter ミクロ解析システム並列数 8 検体がマルウェアである確率 100% ( システムに最も負荷がかかる状況を想定 ) 値

20 スケーラビリティ (1/2) 10 万ユーザがマルウェアを送信した場合に待ち時間無く処理するためには実証実験で用いた規模のサポートシステムが何台必要かを算出待ち行列網理論を用いてユーササホートシステムの処理をモデル化シミュレーションパラメータ ( 実証実験で得られた値を基に設定 ) パラメータユーザ数 ( 人 ) 100,000 nicter 解析時間 ( 秒 ) 300 nicter 実行環境復旧時間 ( 秒 ) 300 その他処理時間 ( 秒 ) 60 1 秒あたりに送信される検体数 6.2 Nicter ミクロ解析システム並列数 8 検体がマルウェアである確率 100% ( システムに最も負荷がかかる状況を想定 ) 値サポートシステム 1 実証実験で使用したシステム構成 10 万ユーザサポートサポートシステム2 システム3 サポートセンタ nicter1 nicter2 nicter3 nicter8 19

21 スケーラビリティ (2/2) ユーザ 10 万人に対する処理時間のシミュレーション処理時間 ( 秒 ) 処理時間 (5percentile) 処理時間 ( 平均 ) 処理時間 (95percentile) 目標処理時間 (600 秒 ) サポートシステム並列数ユーザ数の 0.8% 程度の解析システム数 ( 約 100 並列 ) で 10 万ユーザが送信したマルウェア検体を目標処理時間内に処理 20

22 3. 実証実験 21

実証実験の概要実験期間 2011 年 9 月 6 日 ~12 月 31 日学校 A 利用者に個別配布した PC で各種アプリケーション利用に支障が出ないことを確認実行コード送信ユーザサポートシステム nicter 学校 B 駆除ツール配信解析依頼クラス内で実験用 PC を共用多数ユーザがプラウザ各種アプリを利用解析結果回答学校 C 実験協力先機関

23 実証実験の概要実験期間 2011 年 9 月 6 日 ~12 月 31 日学校 A 利用者に個別配布した PC で各種アプリケーション利用に支障が出ないことを確認実行コード送信ユーザサポートシステム nicter 学校 B 駆除ツール配信解析依頼クラス内で実験用 PC を共用多数ユーザがプラウザ各種アプリを利用解析結果回答学校 C 実験協力先機関玉川大学工学部 (PC10 台専用 ) 利用者に個別に配布した PCを利用して自作プログラム検証マルウェア情報サイト掲載 URL へアクセス宮城教育大学情報処理センター (PC10 台専用 ) 鳴門教育大学情報処理センター (PC10 台専用 ) 大阪情報コンピュータ専門学校 (PC6 台専用 ) 大阪日本コンピュータ専門学校 (PC4 台 50 人で共用 ) 実証実験のイメージ 22

24 実証実験内容各協力先へシステム概要実験趣旨の説明会を実施実験結果については協力先へ伺い直接教員および学生から詳細なヒアリングを実施定期的なゼミへも参加 ( 玉川大学 ) 実験アプローチ PC 総数 45 台利用者数 50~80 人で実験を実施共用 PC ではより多様な利用者環境での動作検証を専用 PC ではより専門的で高度な実験を行っていただいた実験によってマルウェア感染などのリスクも想定されるため直接利用者をサポート可能な実験規模とした積極的な非マルウェア系ソフトウェアのインストールシステムの処理性能や動作の正常性などを総合的に検証マルウェア情報系サイトなどからの被疑検体取得マルウェアの検知精度駆除ツールの動作などを検証授業の課題による自作プログラムによる動作検証も実施 23

25 実験データ集計全実験期間 ( ~ ) の処理結果送信された検体数 1985 nicterが解析した検体数 nicterがマルウェアと判定した検体数駆除ツール実行数駆除成功数マスタホワイトリストフィルタ率 5 総合 :38% デフォルト時:31% マルウェア検知駆除実行時間平均 :282 秒最大 :980 秒最少 :146 秒 1: ホワイトリスト内あるいは既に解析済みの検体については解析を行わないため送信された検体数より少なくなる 2: FalsePositive を含む 3: ユーザによる駆除キャンセルあり 4: 一部設定ファイルの削除失敗 ( 実行ファイルについては削除 ) 5: ホワイトリストの学習によりフィルタ率が 7% 向上検体数検体の送信数 nicter 解析数 nicter 検知数駆除ツール実行数の推移送信数 nicter 解析数 nicter 検知数駆除ツール実行数 /09/ /09/ /10/ /11/ /11/ /12/15 24

26 マルウェア検知結果本システムで既存ウイルス対策ソフト未対応のマルウェアを検出本システムでマルウェアと判定した検体についてウイルス対策ソフト (Microsoft Security Essentials) で継続的にスキャンしたところ本システム検出の約 3 週間後にマルウェアとして検知された検体 (1 体 ) を確認検体の概要検体名説明本システム検出日 MSE 検出日本システムでの判定根拠 TrojanSpy:Win32/Bancos.AEQ オンラインバンキングの ID やパスワードなどを窃取するトロイの木馬の 1 種動的解析により同検体が PC 内の Microsoft Phonebook ファイルを検索している活動等からマルウェアと判定 nicter 解析レポート <MaliciousCodeXML output="jp"> <MaliciousCode> <Name>24603.exe</Name> <threat> <threat_type>worm</threat_type> </threat> <judgment>1</judgment> <Action> <showwindow> <createfile> <search> <classification type="worm"/> <file><![cdata[{ *.pbk]]></file> <file><![cdata[{ *.pbk]]></file> </search> <openfile> トロイの木馬は亜種が膨大なためウイルス対策ソフトでの対応が遅れたと考えられる既存ウイルス対策ソフトより 3 週間早くマルウェアを検出できたことで本システムでのパターンファイルに依存しないマルウェア検知手法の有効性を確認することができた 25

27 ユーザビリティ協力先ユーザからアンケートヒアリングで寄せられたご意見ほとんど違和感を感じずに利用できこれで効果が見込めるのならばスタンダードになってもよいのではと感じた実用化されれば利用したい実用しているソフトウェアのファイルが検知されたが駆除されては困るので駆除を行わなかった選択できるのはよいと思う怪しいものをはっきりと知らせてくれて問題があればすぐに駆除もできるので有効である誤検出があれば訂正 ( 駆除対象外 ) もできるのでよいと思う ( 誤検出が出ないほうがよいが ) 普段遊んでいるゲームやネットワーク系パフォーマンス監視ソフト LibreOffice という事務系ソフトでもマルウェア判定されたもう少し正確にならないかホワイトリスト一覧を参照したり設定できたらと感じた想像していたよりもスムーズに起動し使いやすかったまたマルウェアの被害を受けてもすぐに対応できるという安心感があった 26

28 4. まとめ 27

29 まとめと今後の課題既存アンチウイルスソフト新種マルウェアへの対策の遅れユーザPCへの負荷 nicterミクロ解析システム挙動解析を行いマルウェアを検知マルウェア対策ユーザサポートシステム nicterと連携しユーザPCに侵入したマルウェアを検知解析結果レポートに基づきマルウェアを自動駆除実証実験既存アンチウイルスソフトが対応する 3 週間前に未知のマルウェアを検知検知駆除処理を平均 4 分 42 秒で完了今後の課題特定の PC 操作 ( 例 : ユーザが金融サイトにアクセス ) に連動して活動を活性化するマルウェアが増えており効率的な解析手段の確立が必要 28 Hitachi, Ltd. And KDDI Corporation All rights reserved.

プレゼンテーション

プレゼンテーション統合ログ管理ソリューションでマルウェアを発見し情報漏洩を防ぐためには? McAfee SIEM と CAPLogger SFChecker マルウェアの発見概要従来型アンチマルウェアによる発見新型アンチマルウェアによる発見振る舞い検知レピュテーションサンドボックス SIEM による不審動作発見マルウェア感染が疑われる PC の特定発見後の課題 Copyright 2014 dit Co.,