脅威の「可視化」と「防御」 ~防御対策で、事後対応コストを低減~

標的型攻撃対策ソリューションとして様々な種類の製品がありますが、外部脅威対策としては、 大きく２つのカテゴリに大別することができます。「可視化対策」と「防御対策」です。
近年、外部脅威対策として、ネットワークゲートウェイに設置するサンドボックス型の製品も一般的ですが、 これらは基本的には「可視化対策」としての位置づけです。
エンドポイントに導入するFFRI yarai の「防御対策」の違いについて見てみます。

可視化対策

ゲートウェイ製品のメリットは導入（設置）のコストが低いことです。ミラーリングしたネットワークトラフィックを解析することで、 既存システムへの影響を最小限に留めることが可能です。
しかし、基本的には攻撃の可視化を行う検知ソリューションであるため、エンドポイントの感染リスクを排除できません。 つまり、不審ファイル検出時（インシデント発生時）には事後対応が必要であり、対応コストが大きくなるデメリットがあります。

防御対策

FFRI yarai のようなエンドポイント製品のデメリットは、各端末に製品をインストールする必要があるため、導入時のコストが大きくなることが挙げられます。 しかし、攻撃自体を防御できるため、被害発生を食い止め、事後対応コストが少ないというメリットがあります。

被害発生、事後対応コストの低減が可能 ~事後対応の前に、エンドポイントの防御対策で攻撃成立を排除~

事後対応の落とし穴

昨今は「標的型攻撃を防御することは難しい」という観点から、被害を前提とした組織体制の構築や、事後対応ソリューションの導入が増えています。
しかし事後対応を偏重し、防御する事を諦めてしまうと攻撃が成立してしまうため、当然ながら実被害が発生します。実被害は情報漏えい等のような一次被害だけでなく、 情報漏えい等の事実公表によるレピュテーション悪化といった二次被害も想定されます。レピュテーション悪化は企業の業績にまで影響を与えかねません。
さらに、攻撃成立件数が多くなれば事後対応のコストも当然ながら増大することになります。

回避策

こうした事態を回避するために、リアルタイムの防御を可能にするエンドポイントでの対策を強化し、 脅威を極小化する事ができれば、被害発生や事後対応コスト増大といったリスクの低減が可能です。
事後対応策の検討だけではなく、まず防御すべき部分（＝エンドポイント）はしっかりと対策を行うことが重要です。

今までの「後追い技術」では守れない ~攻撃者の思考を先読みし、脅威にリアルタイムで対抗~

先読み技術は、未知の脅威にリアルタイムで対抗する技術

標的型攻撃には、常に新しい種類のマルウェアや脆弱性攻撃（未知の脅威）が使われます。
これらにリアルタイムで対抗するためには、過去に発生した脅威のシグネチャー（パターンファイル）やクラウドレピュテーション等の パターマッチングベースの後追い技術に依存することなく、未知の脅威を捕捉する必要があります。 リアルタイムで防御できないということは、すなわち被害が発生することを意味します。
FFRI yarai はシグネチャーやクラウドレピュテーションに依存せずに、攻撃者の「悪意」を捕捉する先読み技術によって未知の脅威を防御します。

先読み技術を例えると・・

FFRI yarai の先読み技術を用いた「振る舞い防御」と後追い技術である「パターンマッチング」の脅威検出方法の違いは、犯罪者の検挙方法に例えることができます。
標的型攻撃に対抗する上での重要なポイントとして、未知の脅威への対策が挙げられますが、これは初犯による犯行を防ぐことが大きな課題ということです。
つまり、後追い技術である「パターンマッチング」は指名手配写真を用いた検挙であり、過去に罪を犯した犯罪者の写真がなければ検挙できないということになります。
一方、FFRI yaraiの先読み技術である「振る舞い防御」を例えると、警察官が犯罪者特有の怪しい振る舞いなどの特徴を判断することにより、 初犯による犯罪をも未然に防ぐことができます。