本記事は、Microsoft Secure のブログ “How artificial intelligence stopped an Emotet outbreak” (2018 年 2 月 14 日 米国時間公開) を翻訳したものです。
2 月 3 日午前 12 時 46 分 (現地時間)、ノースカロライナ州に住む Windows 7 Pro のお客様が Trojan:Win32/Emotet (英語情報) と呼ばれる新手のマルウェア キャンペーンの攻撃の最初の被害者となりました。その後 30 分の間に 1,000 人以上に攻撃が仕掛けられましたが、Windows Defender AV の瞬時の自動保護により、すべてのお客様が被害を免れました。
この新しい攻撃を発見し、初期段階でブロックすることができたのは、クライアントとクラウドの両方に備えられた機械学習 (ML) モデルを使用した多層構造の機械学習 (英語情報) のおかげです。Windows Defender AV では、人工知能を活用して日々無数のマルウェアの拡散を瞬時に阻止しています。このブログ記事では、クライアントとクラウドの ML モデルを相互に活用して、新手のマルウェアを検出するしくみを詳しくご紹介します。
図 1. Windows Defender AV の多層構造の検出モデル
クライアント機械学習モデル
機械学習保護の 1 つ目の層は、コンピューターのローカル上で実行される Windows Defender AV クライアントに直接組み込まれた複数の小規模 ML モデルです。マルウェア作成者が頻繁に悪用する JavaScript、Visual Basic Script、Office マクロといった種類のファイル形式に特化したものに加えて、挙動検出や Portable Executable (PE) ファイル (.exe と .dll) の検出を目的としたモデルもあります。
2 月 3 日に発生した Emotet (英語情報) の検出には、PE の勾配ブースティング ツリー アンサンブル モデルが使用されました。このモデルでは、ファイルのエミュレート時のアセンブリ オペコードのシーケンスの特性付けに基づいてファイルを分類し、実行をシミュレーションしてファイルの動きを確認します。
ツリー アンサンブルのトレーニングには、高性能勾配ブースティングに使われるマイクロソフトのオープンソース フレームワークの LightGBM (英語情報) を使用しています。
クライアント ベースの機械学習モデルによって悪意性が高いと示された場合、豊富な特性ベクトルを使用してコンテンツを説明します。特性ベクトルには以下のような種類があります。
- エミュレーション中の挙動 (API 呼び出しや実行されたコードなど)
- 類似性のファジー ハッシュ
- ML モデルでの使用に最適化されたコンテンツ説明フラグのベクトル
- 研究者が作成した属性 (難読化に使用される Packer テクノロジなど)
- ファイル名
- ファイル サイズ
- エントロピー レベル
- ファイル属性 (セクション数など)
- 静的コンテンツやエミュレートされたコンテンツの部分ファイル ハッシュ
上記の特性に基づいて形成されたシグナルを受信した Windows Defender AV のクラウド保護サービスは、リアルタイムで幅広い複雑なモデルを実行して、悪意の有無を瞬時に分類します。
リアルタイムのクラウド機械学習モデル
Windows Defender AV のクラウド ベースのリアルタイム分類器は、大量のメモリ、ディスク領域、コンピューティング リソースを使用する強力で複雑な ML モデルです。また、Microsoft Intelligent Security Graph によるグローバルなファイル情報とマイクロソフトの評価を活用してシグナルを分類します。このような複雑なモデルの場合、クラウドで実行するいくつかのメリットがあります。第 1 に、自身のコンピューターの貴重なリソースを使用する必要がなく、第 2 に、Microsoft Intelligent Security Graph のグローバルな情報と評価情報を考慮したうえで、より適切な判断を下すことができます。第 3 に、クラウド ベースのモデルの方が、サイバー犯罪者のすり抜けが難しいとされています。ローカル クライアントでは、攻撃者は気づかれずに防御モデルのテストを行うことができます。一方で、クラウドベースの防御策をテストするには、攻撃者がマイクロソフトのクラウド サービスと通信しなければならないため、簡単に発見することができます。
Windows Defender AV クライアントから 1 日に数十億件のクエリを受け取ってシグナルを分類しているクラウド保護サービスでは、1 日に数百万ものマルウェアをブロックし、数億人ものお客様を保護することが可能です。現在、Windows Defender AV のクラウド保護サービスでは、約 30 の強力なモデルが並列で実行されています。それぞれのモデルには数百万の特性が組み込まれており、その大半が毎日更新されて、急速に変化する脅威に適応しています。すべての分類器を組み合わせることで、幅広い分類が可能になり、コンピューターでスキャンされているコンテンツの有用な情報が利用できるようになります。
クラウド ML モデルの分類と、アンサンブル ML 分類器、評価ベースのルール、許可リストのルール、Microsoft Intelligent Security Graph のデータなどを組み合わせて、各シグナルを最終的に判定します。そして、クラウド保護サービスは Windows Defender クライアントに対して、1 秒もかからずに悪意の有無の判定結果を伝えます。
Emotet の事例では、お客様からのクエリを最も多く受信したのは、最初の攻撃が始まった北米リージョンのクラウド ML サーバーの 1 つでした。9 つ以上のクラウド ベースのリアルタイム ML 分類器によって、そのファイルがマルウェアであると適切に識別されました。シグナルを受けたクラウド保護サービスは、Trojan:Win32/Fuerboos.C!cl (英語情報) と Trojan:Win32/Fuery.A!cl (英語情報) という 2 つの ML ベースの脅威の情報に基づいて、Windows Defender AV クライアントに攻撃をブロックするように指示しました。
この自動プロセスにより、お客様をリアルタイムで Emotet の感染から保護することに成功しました。しかし、Windows Defender AV の人工知能の能力はこれだけにとどまりません。
ファイルの内容全体のディープ ラーニング
Windows Defender AV のサンプル自動送信機能は、最初の攻撃から 1 分以内に、マルウェア ファイルのコピーをマイクロソフトのバックエンド システムに送信しました。ディープ ラーニング ML モデルでファイルの内容とデトネーション中の挙動に基づいてファイルを瞬時に分析した結果、ディープ ニューラル ネットワーク モデルによって、このファイルがバンキング型トロイの木馬のファミリ、Trojan:Win32/Emotet の亜種であると識別されました。
ML 分類器によってこの初見のマルウェアを確実にブロックしただけでなく、ディープ ラーニング モデルによって脅威を適切なマルウェア ファミリに関連付けることができました。攻撃を回避できたお客様は、この情報からもしマルウェアに感染していた場合にはどのような影響があったかを確認することができます。
さらに、ディープ ラーニング モデルはさらなる保護層の役割も果たします。比較的まれなケースですが、リアルタイムの分類器がファイルに関する最終的な判定を下すことができない場合でも、数分あればディープ ラーニング モデルで判定することが可能です。たとえば、Bad Rabbit というランサムウェアが拡散したときには、最初の攻撃からわずか 14 分後に Windows Defender AV がお客様を保護しました (英語情報)。
最新型の脅威に対するインテリジェントなリアルタイム保護機能
機械学習と AI は Windows Defender AV (英語情報) の最先端のリアルタイム保護機能に欠かせないテクノロジです。これらテクノロジは、Microsoft Intelligent Security Graph の脅威ランドスケープに対する比類ない知見と世界トップ クラスの Windows Defender エキスパートや研究者の力によりマイクロソフトのセキュリティ製品を迅速に進化させ、あらゆる種類の攻撃シナリオからの幅広い防御を実現します。
Windows Defender AV では、クラウド提供の保護 (英語情報) が既定で有効になっています。実行されていることを確認するには、Windows の [設定]、[更新とセキュリティ]、 の順に選択します。[Windows Defender セキュリティ センターを開きます] をクリックし、[ウイルスと脅威の防止]、[ウイルスと脅威の防止の設定] の順に選択し、[クラウド提供の保護] と [サンプルの自動送信] の両方がオンになっていることを確認します。
エンタープライズ環境では、グループ ポリシー、System Center Configuration Manager、PowerShell コマンドレット、Windows Management Instruction (WMI)、Microsoft Intune、Windows Defender Security Center アプリを使用して、Windows Defender AV のクラウド保護サービスを管理 (英語情報) することができます。
Windows Defender Advanced Threat Protection (Windows Defender ATP) には Windows Defender AV、Windows Defender Exploit Guard、Windows Defender Application Guard の保護機能が統合されており、シームレスなセキュリティ管理エクスペリエンスを提供します。
Windows Defender ATP により組織が高度な攻撃を検出、調査、対応する仕組みを検証するには、無償の試用版をお試しください。
Windows Defender AV のインテリジェントなリアルタイム防御策は、幅広い脅威からの保護を可能にする Windows 10 の次世代セキュリティ テクノロジです。注目すべきは、Windows 10 S がこのようなマルウェア攻撃の影響を受けないという点です。Windows 10 S は、Microsoft ストアで提供されるアプリのみを実行するため、Emotet などの脅威が実行されることがありません。Windows 10 S の詳細については、こちらのページをご確認ください。Windows 10 で利用可能なすべてのセキュリティ テクノロジは、こちらのブログ記事をご覧ください。
Geoff McDonald (Windows Defender Research) 協力: Randy Treit、Allan Sepillo