次世代マルウェア対策製品 CylancePROTECT®のご紹介

Transcription

1 次世代マルウェア対策製品 CylancePROTECT のご紹介 第 版 株式会社日立ソリューションズ先端セキュリティ開発部

2 Contents 1. マルウェア対策のポイント 2. CylancePROTECTの特長 3. 導入事例 4. CylancePROTECTの概要 1

3 1.1 マルウェアを利用したサイバー攻撃の脅威 高度化するサイバー攻撃 マルウェアは サイバー攻撃の つまり です であり 2

4 1.2 従来型マルウェア対策の限界 ネットワークセキュリティ対策および パターンマッチング方式にて多層防御を実現しても未知のマルウェアは防げない! 既知マルウェア 未知マルウェア プロキシサーバ ファイアウォール IPS/IDS ネットワークセキュリティ 正常なプロトコルで送られたマルウェアに対応できない URL フィルタリング 端末 ( エンドポイント ) パターンマッチング方式 未知のマルウェアを検知できない 3

5 1.3 マルウェア対策のポイント 侵入を前提とした対策の実施 正規の業務と見分けがつかないメールや正規サイトの閲覧によりマルウェアが送られてくるため 侵入を防止するのは困難 マルウェアの実行を防止することで 情報を流出させない対策が有効 エンドポイントで確実に対策 今やネットワークセキュリティ対策だけでは マルウェアへの対応は限界 マルウェア感染リスクへの対処は エンドポイントでの対策が重要 未知のマルウェアに対応した製品の利用 昨今のサイバー攻撃では未知のマルウェアが使用されているため パターンマッチング方式の従来のアンチウイルス製品では検知不可 4

6 1.4 まだマルウェア対策を 既知 未知 で区別してますか? あなたがお使いのアンチウイルスソフトは 未知のマルウェアを対策できていますか? 未知のマルウェア 既知のマルウェア 亜種のマルウェア パターンファイルがまだ作られていないマルウェア ( 未知のマルウェア ) による攻撃が心配 未知のマルウェア対策製品を新規導入するにはコストも運用もかさむ 既知 も 未知 も 亜種 も同じマルウェア 同じセキュリティリスク一つの製品で対策できた方がよくありませんか? 5

7 Contents 1. マルウェア対策のポイント 2. CylancePROTECTの特長 3. 導入事例 4. CylancePROTECTの概要 6

8 2.1 CylancePROTECT とは 機械学習による先進的な検出エンジンを搭載 エンドポイントで未知マルウェアの脅威を抑止する次世代マルウェア対策製品 1 2 AI 技術 ( 機械学習 ) を利用した独自のアルゴリズムで高い検知率を実現 パターンファイルを必要としない方式とクラウド環境による集中管理で運用負荷を低減 7

9 2.2 Cylance 社について 実績 北米中心に 1,100 以上の顧客 6,000,000 以上のライセンス 年間成長率 400%( 収益ベース ) 業界標準のコンプライアンス準拠 (PCI-DSS HIPAA/HITECH) 2016 年 Gartner 社 Magic Quadrant for Endpoint Protection Platforms に初選出 (Top Visionary) 2016 年 4 月日本初進出 ( 日立ソリューションズが日本初の代理店 ) 会社名 / 設立 / 従業員数 Cylance Inc.( 米国 ) /2012 年設立 / 従業員約 500 名 特長 幹部はマルウェアの専門家 アンチウイルスメーカの元研究者も参加 機械学習専門家多数 (15 名以上 ) 社長は ハッキング技術専門家として有名 ( 著書 Hacking Exposed シリーズ ) 講演多数 McAfee Worldwide CTO の経歴あり 8

10 2.3 従来型マルウェア対策製品との比較 従来型マルウェア対策製品の課題 課題 1 未知 のマルウェアに対応できないため 情報漏えいなどのリスクがある 課題 2 パターンファイルは日々配信されるため 管理者がチェックする作業の負担が大きい 特長 1 既知 未知 を問わず マルウェアの高精度な検知が可能なため セキュリティリスクを低減できる 特長 2 CylancePROTECT の特長 パターンファイルは不要のため 管理者の負担が少ない 課題 3 管理サーバをオンプレミスに設置する必要があり 維持管理コストがかかる 特長 3 管理サーバをクラウドで提供しているため 運用管理コストを少なくできる 課題 4 特長 4 端末内スキャン時に動作が重くなり 業務効率への影響が大きい 軽量なスキャンを実現することにより業務効率への影響が少ない 9

11 2.4 [ 特長 1] 機械学習による先進的な検出エンジン 機械学習による先進的な検出エンジンにより 既知 未知 を意識せずにマルウェアを検知 従来型マルウェア対策製品 既知のマルウェア 亜種のマルウェア 未知のマルウェア 既知のマルウェア CylancePROTECT 亜種のマルウェア 未知のマルウェア 特徴 パターンマッチングで検知 一致 不一致不一致不一致マッチングされず未検知 判定 マルウェアの特徴で予測して判断 高精度で検知 パターンファイル 検出エンジン 既知 のパターンのみ 既知 未知 を問わない 10

12 2.5 [ 特長 1] 検出エンジンのアルゴリズム Cylance 社が取得している機械学習に関する特許技術を利用ファイルの特徴から高精度で予測して検知 収集抽出学習検知 大量のファイルを収集 数億個総容量約 8TB 正常なファイルやプログラム Cylance 社の Lab 下記サイクルで検出エンジンを作成 収集したファイルから約 700 万の特徴を抽出 DOS Header NT Header Section Headers Export Directory Import Directory Resource Directory Packer Used 特許技術 特許技術 人工知能を用いてマルウェアと判断するルールを学習 抽出した特徴をベクター化して 統計的なモデルを作成 Agent Lab で作成された検出エンジンを PC にインストール 学習したルールに則ってマルウェアを検知 新しいファイルの特徴を数ミリ秒で多次元空間のモデルにマッピングし危険 安全を判断 軽い早い 既知のマルウェア群 暗号化 API を呼び出しているか? 危険なメモリアクセスを行っているか? 等 最急降下法などの 4 つ以上のアルゴリズムによって集合モデルを作成 安全危険 ( イメージ例 ) 11

13 2.6 [ 特長 1] 未知のマルウェアを検知するイメージ パターンで一致させるのではなく 数多くの特徴から予測し 未知のマルウェアも判断 従来型マルウェア対策製品 判断可能 パターン 誰にも知られていない品種や突然変異は 用意しようがない 判定対象 判断不可 パターンの完全一致で判断 CylancePROTECT 判定対象 判断可能 判断可能 特徴 分類円形度花びら比率色相 バラ ヒマワリ アジサイ 未知の品種も 予測 することで判断可能 特徴から 類推 して判断 12

14 2.7 [ 特長 1]AI のイメージ ~ 犯罪者を漏れなく捕らえるには?~ あなたは泥棒や万引き犯をどうやって捕まえますか? 指名手配 怪しい行動 仮にあれば DNA 判定 WANTED 泥棒 万引き犯一般市民 サングラス 短髪 黒い服 逃げられてしまう可能性は 挙動不審 万引き犯の行動パターン 逃げられてしまう可能性は クロ判定! クロ判定! シロ判定! DNA 検査で人物を特定 逃げられてしまう可能性は 変装 整形 怪しく見えない etc etc 泥棒 ( 変装中 ) 実は万引き犯 ゼロに近い! 13

15 2.8 [ 特長 1]CylancePROTECT はまさに DNA 判定! ファイルのパターンや振る舞いではなく ファイルの DNA( 特徴 ) からマルウェアを予測して検知 指名手配 パターンファイル 怪しい行動振る舞い検知 CylancePROTECT マルウェア マルウェア 正常 パターンで一致 逃げられてしまう可能性は パターンに存在しない亜種 不正な通信を検出 情報の大量コピー動作 逃げられてしまう可能性は 振る舞い検知に検出されない未知のマルウェア クロ判定! クロ判定! シロ判定! DNAレベルで判定 ( 1) 逃げられてしまう可能性は ゼロに近い! ( 1) ファイルを動かす前に ファイルの構造 ( バイナリデータの特徴 ) から予測します 14

16 A [ 特長 1] 米国各地での公開デモ ~Unbelievable ツアー ~ :Cylance 社が全米各地で公開実施している検証結果に基づいています URL: AI 技術を用いた CylancePROTECT と他製品の検知率の違いは一目瞭然! B C A B C A B C A B C A B C A B C A B C A B C A B C A B C A B C A B C A B C A B C A B C A B C パターンマッチング方式 A 平均 52% パターンマッチング方式 B 平均 41% パターンマッチング方式 C 平均 21%

17 2.10 [ 特長 2] パターンファイルに頼らない検知 パターン配信のタイムラグなく未知のマルウェアに迅速に対応 攻撃者 マルウェア作成情報窃取情報窃取情報窃取 情報窃取 AV ベンダー マルウェア発見 パターンファイル作成 社内管理者 パターンファイル適用 時間 従来型マルウェア対策製品 危険 安全 Cylance PROTECT 安全 16

18 2.11 [ 特長 2] モバイル利用でのメリット 安心のモバイルワーク モバイル利用でも安心オフライン環境でもマルウェア検知および隔離 空港 オフラインでも動作 自宅 Cylance クラウド接続しなくても検知 & 隔離 社内ネットワーク接続しなくても検知 & 隔離 接続しなくても動作 H Hamburger カフェ ホテル 毎日のパターンファイル更新が不要 長期出張でも安心して利用可能 エンドポイントで検知するため オフラインでも動作 安心のモバイルワークを実現 17

19 2.12 [ 特長 3] クラウド環境による運用管理コスト低減 エンドポイントがどこにあっても一元管理サーバの運用管理 コスト負担低減 本社 クラウドで管理 分散拠点でも一元管理が可能! 支社 本社と異なるネットワークでも動作 管理者各種情報の管理 マルウェア感染状況 端末の状態 等 エンドポイントで検知 Cylance クラウド 出張先 利用者 社内ネットワーク未接続でも動作 利用者 利用者 18

20 2.13 [ 特長 4] 軽量な動作 ユーザ操作を阻害しないスキャン機能 従来型マルウェア対策製品 定期的なディスクスキャンファイル保存時のリアルタイムスキャン CylancePROTECT ファイル実行時にスキャンファイルをダウンロード ( ディスクに保存 ) した時にスキャン CPU 使用率 一斉に実行 CPU 使用率を占有 PC が重くなりユーザ作業に影響大 CPU 使用率 負荷を分散して実行 CPU 使用率を占有しないように スケジューリングして実行 スケジューリング前にファイルを実行された場合は 即時にスキャンしますので 危険はありません CPU 使用率を占有しない ユーザ作業への影響小 19

21 Contents 1. マルウェア対策のポイント 2. CylancePROTECTの特長 3. 導入事例 4. CylancePROTECTの概要 20

22 3.1 導入事例ヘルスケア業界 事例 1 従来の課題 ヘルスケアサービス会社 130 万人以上の患者にサービス提供 全米に 400 拠点 10,000 台の端末 GW 型マルウェア検知製品 + 従来型アンチウィルス製品で対策するも 事業拡大と共にマルウェア検知後の対応業務が増え続け 十分なリスク低減ができない状況に陥っていた 事後対応アプローチの限界 解決策 事後対応によるアプローチを止め マルウェア感染を防御する事前対応に方針を変更 CylancePROTECT による評価導入を実施 2 週間の評価期間を経て 正式導入を決定 ( 評価中に 3 種類の未知マルウェアを CylancePROTECT が検出 防御 ) 端末に導入されていた従来型アンチウィルス製品を削除し CylancePROTECT のみで端末のマルウェア対策を実施 従来製品を CylancePROTECT にリプレース! 21

23 3.2 導入事例小売業界 事例 2 従来の課題 小売業 1,000 万人の顧客 全世界に 200 拠点に店舗展開 5,000 台の端末 数百万のクレジットカード情報の盗難被害により 会社の信用がダウン 従来型アンチウィルス製品とB 社起動制御製品による保護を行っていたが 攻撃者はガードをすり抜けPOS 決済サーバにマルウェアを POS 端末への侵入させることに成功 サイバー攻撃による被害 解決策 CylancePROTECTを導入し 既に端末に侵入していたマルウェアを検知し 自動で隔離 これまで導入していた従来型アンチウィルス製品とB 社起動制御製品を置き換える形で 全ての端末に正式に採用される POS 端末向けの導入実績あり! 22

24 3.3 導入事例保険業界 事例 3 従来の課題 ニューヨーク証券取引所に上場している保険会社 6,500 名の営業員 8,600 台の端末 感染被害発覚後 外部機関によるアセスメントを実施し 即座に対策するよう通知を受ける 対策製品への要件として下記の 3 点を挙げ C 社標的型攻撃対策製品 と CylancePROTECT の 2 製品の検証を実施 1. 攻撃の初期段階で用いられるマルウェアを即座に防御できること 2. 感染が判明していない端末に被害が及んでいないことを保証すること 3. 将来発生するマルウェアに対して既存の対策製品より効果的に検知 防御できること 多数の端末へのマルウェア感染被害 解決策 C 社標的型攻撃対策製品 (+ 従来型アンチウィルス製品 ) が導入された環境に 追加でCylancePROTECTを評価導入 評価中に 45 分以内に30 以上のマルウェアが新規に検出され その検知能力の高さを証明し 本格導入が決定した 評価で多数のマルウェアを検知! 23

25 3.4 導入事例教育業界 事例 4 従来の課題 解決策 7,500 名の学生を抱える大学 1,500 台の端末 学内の端末が CryptoLocker と呼ばれるランサムウェア に感染 このマルウェアは メールの添付ファイル経由で学内に侵入し端末に感染 被害が拡大 既存のパターンマッチング型の対策では 新手のマルウェアを防ぐことができないと判断し 対策できる製品を探していた ランサムウェアによる被害発生 CylancePROTECT を約 60 台の端末に評価導入 4 週間の評価中に 約 30 台の端末で既存の対策製品では見つけられなかったマルウェアを検知し隔離 この結果により これまで学内で使用していた D 社マルウェア対策製品を置き換える形で CylancePROTECT を全面的に導入した 端末内のファイルを暗号化し 多額の金銭を攻撃者側に支払わないと復号用の鍵を受け取れないという 身代金請求型 の悪質なマルウェア ランサムウェアも問題なく検知! 24

26 Contents 1. マルウェア対策のポイント 2. CylancePROTECTの特長 3. 導入事例 4. CylancePROTECTの概要 25

27 4.1 マルウェアの検知と隔離 マルウェアの実行前に検知して隔離 マルウェア ( ) の検知タイミング 1. マルウェアがダウンロード ( ディスクに保存 ) された時に検知 2. 実行形式のマルウェアが 実行される直前に検知 CPU 負荷が軽い時に実施 ディスク保存時に検知して隔離! Download 更に リアルタイムに実施 ファイルの実行前にも検知して隔離! ( )CylancePROTECT は 実行形式のファイルに対して 検知と隔離を行います 26

28 4.2 簡単操作 ( エンドポイント ) 利用者の操作 利用者向けの教育も不要 アイコンをクリック CylancePROTECT Agent アイコン マルウェア検知時 自動的にクラウドサーバに通知 利用者が Agent 画面から確認することも可能 CylancePROTECT Agent 画面 バグフィックスや機能改善 機能追加等は 毎月自動的に実施 27

29 4.3 簡単操作 ( サーバ ) 管理者は Web ブラウザでエンドポイントの状況を把握 CylancePROTECT Console ダッシュボード 検知したマルウェアファイルの詳細一覧 管理しているデバイス詳細一覧 ポリシー ( 検知だけなのか 隔離までするのかなど ) を設定 28

30 4.4 簡単導入 簡単で早い導入を実現 1 エンドポイント インストーラを実行 インストールは数分で完了 2 サーバ 利用者が実行する形式 3~4 画面程度で数分で完了 サイレントインストール形式 配信インストールや バッチファイルでのインストールも可能 エンドポイントをインターネットに接続すると ポリシーを自動的に適用 5~10 分程度で適用され CylancePROTECT が動作 Cylance 社が運営するクラウドサービスとして提供されるため 構築やメンテナンスは不要 29

31 4.5 システム構成 構成以下のプログラムで構成 1エンドポイントに導入するAgent 2エンドポイントで管理者が利用するConsole 3Cylance 社が提供するクラウドサーバ <インストール必要 > <インストール不要 > <インストール不要 > 2Console 管理者 パターンファイル更新は不要 脅威管理 ポリシー管理 クライアント管理 ブラック / ホワイトリスト管理 クラウドの集中管理により簡単導入 3Cylance クラウド クライアント配布 ポリシー配布 検体ログ送信 検体送信 1Agent 利用者 利用者 マルウェア活動前解析で 99% 防御 [ 注意事項 ] ユーザ認証が必要な Proxy 環境の場合は クラウドサーバへの通信について Proxy サーバでユーザ認証が不要な設定にしてください 30

32 4.6 資産管理システム連携 (Cylance+JP1) 1 導入 / アンインストールを支援 管理者の負担を低減 CylancePROTECT と入れ替える既存製品のインストール / アンインストールを支援 利用イメージ JP1 の配布機能 既存マルウェア対策製品のアンインストールも可能 2 リモートから一斉にインストール 1 配布 インストール アンインストール 管理者 CylancePROTECT インストール用データ 2 適用状態を適切に維持 配布対象の端末 配布対象の端末 入れ替え対象のマルウェア対策製品 1 配布機能利用には配布対象の端末に弊社製品のエージェントプログラムをインストールする必要があります 2 既存マルウェア対策製品や環境によってアンインストールできない場合があります 端末の詳細情報を収集 CylancePROTECT 未適用の端末を見逃さない 利用イメージ CylancePROTECT のインストール状況を一元管理 CylancePROTECT をインストールしていない PC を発見 管理用サーバ 自動収集 管理対象の端末 31

33 4.7 前提条件 [Agent の対象 OS] Windows XP(SP3) 1 2 WindowsVista 2 Windows7 2 4 Windows8/8.1 2 Windows10 2 Windows Server 2003(SP2) 1 2 Windows Server 2008/2008R2 2 5 Windows Server 2012/2012 R Mac OS X 10.9~ KB がインストールされていることが前提です 2. 32bit と 64bit に対応しています 3. 64bit に対応しています 4. Windows Embedded Standard 7 にも対応しています 5. Server Core には対応していません 6. Minimal Server Interface には対応していません 7. case sensitive フォーマットには対応していません [Console の対象ブラウザ ] Internet Explorer 9/10/11 Firefox( 最新バージョンに対応 ) Google Chrome( 最新バージョンに対応 ) [ メモリ ] 2GB 以上 [ ディスク ] 500MB 以上 [ 前提ソフトウェア ].NET Framework3.5(SP1) 以上.NET Framework の不具合等により 一部の Windows 端末で CylancePROTECT が正しく動作しない事例があります この場合は レジストリの修正や.NET Framework4.0 以降をインストールして頂くなどの対処をお願いする場合があります [ その他 ] Agent のインストールには 管理者権限が必要です 他社製アンチウィルス製品と併用する場合は 特定フォルダを除外して頂くなどの対処が必要な場合があります 他社製メモリ監視製品 ( 振る舞い検知等 ) との併用はできません 対象 OS において マイクロソフト社のサポートが終了しているものについては障害発生時に調査ができない場合があります ( 注 )Linux の対応計画もあります 32

34 [ 補足 ] データ量 1 運用中に発生するデータ量 Cylance クラウド マルウェア検知情報 端末情報 等 <1 分間隔で問合せ > 変更されたポリシー Agent の更新 等 Agent 利用者 2 Agent 初回インストール時に発生するデータ量 < 毎日発生する通信量 > 約 4[MB](1 日の平均値 1) <Agent 更新で発生する通信量 2> Windowsの場合約 10~70[MB] Mac OSの場合約 30[MB] ( 1) 一度に 4MB 程度の情報がダウンロードされることもあります ( 2) 自動的にクラウドからダウンロードする場合 更新用インストーラを配布する運用も可能です 管理者 CylancePROTECT インストール用データ データ形式は 以下から選べます <Windows> 1exe 形式 (32bit/64bit 共通 ) 2msi 形式 (32bit) 3msi 形式 (64bit) <Mac OS> 4dmg 形式 5pkg 形式 Agent 利用者 <Agentインストーラファイルサイズ 3> exe(32bit/64bit) 約 150[MB] msi(32bit) 約 76[MB] msi(64bit) 約 77[MB] dmg 約 27[MB] pkg 約 26[MB] ( 3) 資産管理ソフト / 媒体 / 共有フォルダ 等で配布して頂く運用を想定しています 33

35