http://internet.watch.impress.co.jp/docs/column/security/20140605_651864.html
マルウェアは短命、幽霊探しを続ける昔ながらのアンチウイルス
マルウェアは短命、幽霊探しを続ける昔ながらのアンチウイルス ある有名アンチウイルスベンダーの幹部が「アンチウイルスソフトはもう死んだ」と発言したことが世界中で大きく報道され、物議をかもしました。昔ながらのシグネチャベースの保護機能では十分でないことはとうの昔に常識となっており、既に多くのアンチウイルスソフトが新たな機能を追加するなどの「進化」をし続けている中で、アンチウイルスベンダーが今になって敢えてこのような発言をしたことには反発の声もあります。 そのような中、マルウェアの「寿命」とアンチウイルスの「スピード」を調べた結果がそれぞれ別の企業から発表されました。 まず、米FireEyeは自社のブログで過去2年間にわたって約50万のマルウェアの「寿命」について調査した結果を公開し、ほとんどのマルウェアが極めて短命であることを明らかにしました。
・・・・
調査によると、2時間を超えて活動し続けるマルウェアはほとんどなく、2013年に関しては、マルウェアの82％が1時間後には消滅し、70％が1回限りでなくなることが分かりました。この結果を踏まえ、FireEyeは、シグネチャベースのアンチウイルスは「Ghost-Hunting」をしているようなものだと結論付けています。 このように多くのマルウェアが短命であることが示された一方で、アンチウイルスが新しいマルウェアを検知できるようになるまでの時間を調査した結果が米Lastline Labsによって公開されました。 これは、VirusTotalで使われている47のアンチウイルスについて、数十万種のマルウェアに対する検知率の時間変化を調べたもので、調査は2013年5月から2014年5月の365日間にわたって行なわれました。
・・・・
これによれば、新しく検知されたばかりのマルウェアを、実際にマルウェアとして検知できるアンチウイルスの割合は6割に満たず、2カ月が経過した後も、3分の1のアンチウイルスが検知できていないことが分かります。また、最も検知されにくかった上位1％のマルウェアに限定すると、数カ月経ってもほとんどのアンチウイルスで検知できていません。 これ以外にも調査の結果明らかになったこととして、マルウェアとして検知されなかったマルウェアも平均して2日後には最低1つのアンチウイルスで検知できるようになっている一方、1年経っても10％のアンチウイルスが検知できないマルウェアも存在しています。 これらの結果を踏まえ、Lastline Labsは、「昔ながらの」アンチウイルス技術は死んでいないが、他のアプローチ、例えば動的解析やネットワーク異常検知などで補完する必要があるとしています。また、今後の課題としてサンドボックスの効果についても調査する考えがあるようです。
・・・・・
マルウェアは短命、幽霊探しを続ける昔ながらのアンチウイルス
マルウェアは短命、幽霊探しを続ける昔ながらのアンチウイルス ある有名アンチウイルスベンダーの幹部が「アンチウイルスソフトはもう死んだ」と発言したことが世界中で大きく報道され、物議をかもしました。昔ながらのシグネチャベースの保護機能では十分でないことはとうの昔に常識となっており、既に多くのアンチウイルスソフトが新たな機能を追加するなどの「進化」をし続けている中で、アンチウイルスベンダーが今になって敢えてこのような発言をしたことには反発の声もあります。 そのような中、マルウェアの「寿命」とアンチウイルスの「スピード」を調べた結果がそれぞれ別の企業から発表されました。 まず、米FireEyeは自社のブログで過去2年間にわたって約50万のマルウェアの「寿命」について調査した結果を公開し、ほとんどのマルウェアが極めて短命であることを明らかにしました。
・・・・
調査によると、2時間を超えて活動し続けるマルウェアはほとんどなく、2013年に関しては、マルウェアの82％が1時間後には消滅し、70％が1回限りでなくなることが分かりました。この結果を踏まえ、FireEyeは、シグネチャベースのアンチウイルスは「Ghost-Hunting」をしているようなものだと結論付けています。 このように多くのマルウェアが短命であることが示された一方で、アンチウイルスが新しいマルウェアを検知できるようになるまでの時間を調査した結果が米Lastline Labsによって公開されました。 これは、VirusTotalで使われている47のアンチウイルスについて、数十万種のマルウェアに対する検知率の時間変化を調べたもので、調査は2013年5月から2014年5月の365日間にわたって行なわれました。
・・・・
これによれば、新しく検知されたばかりのマルウェアを、実際にマルウェアとして検知できるアンチウイルスの割合は6割に満たず、2カ月が経過した後も、3分の1のアンチウイルスが検知できていないことが分かります。また、最も検知されにくかった上位1％のマルウェアに限定すると、数カ月経ってもほとんどのアンチウイルスで検知できていません。 これ以外にも調査の結果明らかになったこととして、マルウェアとして検知されなかったマルウェアも平均して2日後には最低1つのアンチウイルスで検知できるようになっている一方、1年経っても10％のアンチウイルスが検知できないマルウェアも存在しています。 これらの結果を踏まえ、Lastline Labsは、「昔ながらの」アンチウイルス技術は死んでいないが、他のアプローチ、例えば動的解析やネットワーク異常検知などで補完する必要があるとしています。また、今後の課題としてサンドボックスの効果についても調査する考えがあるようです。
・・・・・