とことこロゴス
シグネチャ型検知
IDSやIPS、マルウェア対策ソフトの検知方式の1つ。既知の攻撃の特徴をシグネチャとして定義しておき、それに合致する通信やファイルを不正と判断する。これに対し、平常時から外れたものを不正とするのがアノマリ型である。
イマシルちゃんの解説
シグネチャ型検知は、既知の攻撃の特徴と照らし合わせて、不正な通信やファイルを見つける方式だよ。
攻撃で使われる文字列やデータの並びなどを、照合用のパターンとして登録しておくんだ。
調べた内容がその条件に当てはまれば、攻撃の疑いがあると判断するよ。
検知後に通知だけをするか、通信の遮断まで行うかは製品や設定によって違うんだ。
特徴が分かっている攻撃を見つけやすい一方で、登録されたパターンに当てはまらない新しい攻撃は見逃すことがあるよ。
新しい手口にも対応できるように、パターンを更新して使うことが大切なんだ。
この解説はわかりやすかったですか？
より深い解説
定義
シグネチャ型検知（不正検出、ミスユース検知）は、攻撃に特有のデータのパターンや通信の手順を、シグネチャ（ルール）として登録しておき、監視対象の通信やファイルと照合して、一致したものを攻撃と判断する方式である。
アノマリ型検知（異常検出）は、平常時の通信やシステムの振る舞い（通信量、プロトコルの規則、利用時間帯など）を基準として定義しておき、そこから大きく外れたものを攻撃の可能性があると判断する方式である。
2つの方式の比較
| シグネチャ型 | アノマリ型 | |
|---|---|---|
| 不正と判断するもの | 定義した異常な通信に合致するもの | 通常時の通信から外れたもの |
| 既知の攻撃 | 高い精度で検知できる | 検知できる場合がある |
| 未知の攻撃（ゼロデイ攻撃） | 検知できない | 検知できる可能性がある |
| 誤検知（過検知） | 少ない | 多くなりやすい |
| 運用 | シグネチャを常に最新に更新する | 平常時の状態を学習・定義し、見直す |
シグネチャの例
- 特定の脆弱性を突く攻撃に含まれる文字列（SQLインジェクションの典型的な文字列など）
- 既知のマルウェアの通信先や通信のパターン
- プロトコルの規則に反する、特定の不正なパケットの組み合わせ
アノマリ型の例
- ふだんの何倍もの通信量や接続数（DoS攻撃の可能性）
- ふだん使われない時間帯やポートでの通信
- プロトコルの仕様から外れたパケット（プロトコルアノマリ）
組み合わせて使う
実際の製品は、両方の方式を組み合わせている。シグネチャ型で既知の攻撃を確実に検知し、アノマリ型で未知の攻撃の兆候を拾う。機械学習を使って平常時の振る舞いを学習するアノマリ型の製品も増えている。
マルウェア対策ソフトとの対応
| IDS・IPSの方式 | マルウェア対策ソフトの方式 |
|---|---|
| シグネチャ型 | パターンマッチング法 |
| アノマリ型 | ビヘイビア法（振る舞い検知）、ヒューリスティック法 |
どちらの分野でも、「既知の悪いものとの一致を見る」方式と「いつもと違うことを見る」方式という、同じ2つの考え方が使われている。