振る舞い検知とは、プログラムの不審な挙動（＝振る舞い）を検知し、マルウェアの侵入を未然に防ぐ仕組みのこと。主にアンチウイルスソフトに実装されており、検出する対象は未知のマルウェアも含まれる。

振る舞いを検知する方法としては「静的ヒューリスティック法」および「動的ヒューリスティック法」の二つが挙げられる。前者はプログラムコードを読み取り、既存のマルウェアと比較することで検出を行う方法。一方、後者はプログラムを実際に動かして、その振る舞いから検出を行う方法である。なお、どちらか一方だけ、または両方の手法を採用した製品がある。

現代における振る舞い検知の重要性

振る舞い検知の重要性は高まってきているが、その背景にあるのが新種・亜種のマルウェア対策の必要性が増してきたことである。従来、マルウェアの検知には、過去に検知された履歴があるマルウェアにのみ効果を発揮する「パターンマッチング方式」という手法が用いられていた。しかし、近年はマルウェアの一種であるランサムウェアの自動作成ツールが流通していることもあり、1日50～100万個もの新種・亜種のマルウェアが作り出されると言われる中でパターンマッチング方式では十分に対抗できない事態に陥っている。そこで、未知のマルウェアにも対抗できる振る舞い検知の必要性が相対的に高まっているのだ。

間違いやすい「EDR」との違い

EDR（Endpoint Detection and Response）とは、PCやサーバーなどのエンドポイント端末に対し、マルウェア侵入前後の挙動を検知して、隔離・復旧などを実行するセキュリティ製品（仕組み）のこと。マルウェアの不審な挙動を検知する点では振る舞い検知もEDRも同じだが、振る舞い検知がマルウェアの侵入を未然に防ぐことを目的とした仕組みであるのに対し、EDRはマルウェア侵入後に被害を抑えるための仕組みであるという点が明らかな違いだ。

関連記事：エンドポイントのセキュリティを強化 EDRの意味や機能を解説

振る舞い検知を搭載したセキュリティ製品を導入する大きなメリットは、未知のマルウェアにも対抗できること。前述したとおり、従来のパターンマッチング方式と異なり、振る舞い検知は1日50～100万個とも言われる新種・亜種のマルウェアも検出することができる。誰でも簡単にランサムウェアを作成できるランサムウェア自動作成ツールが流通している現代において、日々膨大に作られる未知のマルウェアを検出できる振る舞い検知が果たす役割は非常に大きいといえる。

また、リアルタイムで不審な挙動を検知できる点もポイント。サイバー攻撃が始まる前にリスクを検知してアラートを発してくれるため、被害拡大を防ぐために最も重要なステップである「初動対応」が即座に可能になる。

一方、振る舞い検知を搭載したセキュリティ製品には「誤検知の可能性が一定あること」は考慮しなければならない。振る舞い検知はプログラムの挙動を見て検知を行う仕組みであるが、マルウェアと似たような動きをする正常なソフトウェアまでも「マルウェア」と判断してしまうケースがある。ただし、挙動からマルウェアを検知するためには正常なソフトウェアも検知してしまう誤検知は避けられない側面もある。

また、リアルタイムで監視・検知を行う振る舞い検知は、CPUやメモリーに一定の負荷をかけるため、端末のパフォーマンスが低下するケースがある。端末の処理能力を踏まえた製品の選択が重要だ。

振る舞い検知は現代のサイバーセキュリティ対策として欠かせない仕組みといえる。ベンダーとしてクライアントのセキュリティ対策の現状をヒアリングし、必要に応じて振る舞い検知を搭載した製品の提案をしていきたい。