次世代の脅威

単機能型のファイアウォールや次世代型ファイアウォール、侵入防御（IPS）、アンチウイルス、Webゲートウェイなどの従来型セキュリティ・ソリュー ションは、攻撃の初期段階、つまりインバウンドの攻撃しか検査することができません。これらのソリューションでは、シグネチャや既知の攻撃のパターンだけ に基づいて脅威を検出・ブロックしようとします。このため、ネットワークにおけるセキュリティ対策に隙間が生まれ ゼロデイ攻撃や標的型のAdvanced Persistent Threat（APT）攻撃に 付け入る隙を与えてしまいます。 一般的に攻撃の発生が発生してから、ベンダーによりシグネチャが作成されるまでにタイムラグが発生するためこのような付け入られる隙が発生してしまいま す。 攻撃に対応するシグネチャを作成するためには、脆弱性情報が開示されるか、セキュリティ研究者が攻撃の存在に気付かなければなりません。 しかしながら新し い不正コードの存在が確認されるまでには、出現してから少なくとも数日以上の日数が必要なるだけでなく、コードが動的に変化するポリモーフィック型のマルウェアであ る場合には、シグネチャベースの対策では対処することができませんし、そもそも特定のターゲットに特化したものであれば存在が確認されないこともあります。 シグネチャは、リアクティブ（受動的）な対策として既知の脅威には効果を発揮しますが、未知のマルウェア、特にゼロデイ攻撃や標的型のAPT攻撃などはシ グネチャで認識できないため検出することは不可能です。シグネチャベースのツールは、コードがどれほど悪質であっても、未知のものであればパターンとして 合致しないのでそのまま通過させてしまうのがその理由です

一方、ヒューリスティックベースのソリューションだけでも十分な効果は得られません。この種のソリューションでは、不審な振る舞いを大まかに定義したアルゴリズムで攻撃を検出しようとするため、大量の誤検出が発生します。ヒューリスティック技術には利点もありますが、正しい検出と誤検出の比率（SN比）が低すぎるため、十分な投資対効果を見込めないのが実情です。膨大な誤検出が発生する場合、意味のないセキュリティイベントログが大量に記録され、またブロックをリアルタイムで行うことも事実上不可能となります。そのため、多くの環境では明らかな不正行為のみを検出するようアルゴリズムの感度を下げることになりますが、 複数の段階で構成されるマルチステージの標的型攻撃は、このようなアルゴリズムでは検出することができません。

特定の目的に特化したさまざまなマルウェアの種類：
標的型、ステルス型、パーソナライズ、ゼロデイ.

サイバー犯罪者は、従来型のセキュリティ対策を回避して検出を逃れる方法を熟知しており、 ツールキットを使用してポリモーフィック型の脅威を作成します。 これは活動のたびにコードを変化させ、密かに行動し、ゼロデイの脆弱性を悪用する脅威を 使用することで、単機能型のファイアウォールや次世代ファイアウォール、IPS、アンチウイルス、Webゲートウェイなどでは塞ぎきれないセキュリティ対 策の隙間からネットワークに侵入するものです。昨今の新しい組織型サイバー犯罪は、長期にわたって継続的に実行されるのが特徴です。攻撃の手段には、ソー シャルネットワーキングサイトなどで公開されている情報を使用して細かくパーソナライズされたフィッシングメールや、特定の業界で広く普及しているアプリ ケーションやオペレーティングシステムの脆弱性を突くマルウェアが使用されます。

ゼロデイ攻撃や標的型のAPT攻撃によってネットワーク内部に侵入したマルウェアは、まず自身の存在を隠蔽してから、自らを複製したりホス トのセキュリティ対策を無効化したりします。 そしてC&C;サーバーと呼ばれる指令元のサーバーに接続し、データの窃盗、ほかのエンドポイントへの 感染の拡散、スパイ活動、 準備ができるまで待機などさまざまな命令を受けます。 この第2段階の攻撃は、高い確率で成功します。 これはほとんどのセキュリティ・ソリューションは、マルウェアによるアウトバウンドの通信を監視していないからで す。 マルウェアに感染し実際の被害が発生し、何らかのきっかけによりその被害に気付くまで、ネットワークのセキュリティに問題があることは一切気付かれません。

APT攻撃の特徴は、攻撃者が侵入先のシステムを長期にわたって乗っ取る点にあります。ウイルスやトロイの木馬、スパイウェア、rootkit、スピアフィッシング、電子メールへの不正ファイルの添付、ドライブ・バイ・ダウンロードなどの種類を問わず、APT型のマルウェアでは、システムをダウンさせたり乗っ取ったりすることが可能です。APT攻撃は、サイバー犯罪者だけでなく国家によって実行されることもあります。完全に未知のマルウェアが使用されることもありますし、別の犯罪グループがソーシャル・エンジニアリングやスピアフィッシング、ドライブ・バイ・ダウンロードなどの手段によってマルウェアに感染させ、そのシステムを他の犯罪グループに売却し、さらなる被害が発生することもあります。