RansomShield: Threat-score-driven adaptive backup with multi-modal behavioural ransomware detection

デジタル世界において、貴重な情報を保護することは、長らく「侵入者を監視すること」と「作業の控えを保管しておくこと」という、シンプルな二部構成の戦略に依存してきました。セキュリティ・ソフトウェアは、既知の窃盗犯や不審な挙動を検知するためにファイルやプログラムをスキャンする「ガードマン」として機能します。もし危険なものを見つければ、アラームを鳴らします。これとは別に、バックアップ・システムは、時計が毎時あるいは毎日時を刻むように、一定の間隔でファイルのコピーを保存する「セーフティネット」として機能します。数十年にわたり、これら二つのシステムは独立して動作してきました。ガードマンは脅威を見れば叫び声を上げますが、バックアップの時計は、目の前の危険を知ることなく、独自のスケジュールに従って時を刻み続けます。この分離が脆弱性を生んでいました。現代の窃盗犯、特にデータを人質に取ってお金を要求する者たちは、素早く攻撃を仕掛ける術を心得ており、新しいコピーが作成される前に古いコピーを削除したり、ロックしたりして、バックアップ・システム自体を標的にすることがよくあります。「3つのコピーを2つの場所に、そのうち1つはオフサイト（離れた場所）に保管する」という古いルールは、バックアップが受動的な標的ではなく、能動的な戦場であった時代のために設計されたものでした。

ナイジェリアのオンドにある医科大学の研究者たちは、この溝を埋めるための新しい方法を提案しました。彼らは、ガードマンとセーフティネットを接続し、それらが単一の「呼吸するユニット」として機能するようにするシステム、「RansomShield」を構築しました。単純なオン・オフのアラームではなく、彼らのシステムは継続的な「脅威スコア」を算出します。このスコアは、コンピュータ内部で起きている事象に基づいて上昇・下降します。スコアが低ければ、システムは通常通りに動作し、標準的なペースでファイルを保存します。もしスコ思うしい挙動があり、スコアが上昇し始めると、システムは自動的に防御を強化します。ファイルのコピーをより頻繁に保存し始め、それらのコピーを改ざんできないようロックし、ネットワークの他の部分から隔離します。システムは、絶対的な確信を待ってから行動するのではなく、感知した危険のレベルに応じて比例的に反応します。

このシステムを構築するために、研究者たちはコンピュータを監視する4つの異なる手法を組み合わせました。第一に、コンピュータのメモリ（実行中のプログラムが一時的に存在する領域）を監視し、悪意のあるコードの特定の兆候を探しました。第二に、プログラムがオペレーティングシステムに送るコマンドのシーケンスを追跡し、ファイルの暗号化に典型的なパターンを探しました。第三に、ハードドライブへのデータの書き込み方法を監視し、活動の急激なスパイクやファイル形式の奇妙な変化をチェックしました。最後に、書き込まれるデータのランダム性を測定しました。暗号化されたファイルは純粋な静止ノイズのように見え、これは通常の文書や画像とは数学的に明確に異なります。システムはこれら4つの信号を共に重み付けし、一時的なグリッチによる誤報を避けるために結果を平滑化します。この統合されたスコアが、データの保護方法を決定するコントローラーを駆動します。

研究者たちは、公開アーカイブのデータを使用し、7種類のランサムウェア・ファミリーによる攻撃をシミュレートすることで、このアイデアをテストしました。これらのシミュレーションにおいて、システムはすべての攻撃を特定することに成功しました。平均して、システムはわずか13件のファイルシステム・イベントを観察しただけで脅威を検知しました。これは、デジタルの運用世界においては非常に短い時間です。脅威を検知すると、システムは直ちにレスポンスをエスカレートさせました。通常状態から、データのフルコピーを30秒ごとに保存する高度な状態へと移行しました。これらのコピーは「イミュータブル（不変）」、つまり攻撃者であっても削除や変更ができないようにロックされ、侵害されたマシンからエアギャップ（物理的・論理的に隔離）された隔離環境に配置されました。シミュレートされた攻撃は十分に早い段階で検知され、強力ではあるが極端ではないレスポンスを誘発したため、システムは最高レベルのアラート（すべてのプロセスを停止させるもの）には達しませんでした。

また、研究では、システムがどの程度「オオカミ少年」になるかについても調査しました。正常で無害なコンピュータ活動のみが行われるシナリオでは、システムは約5パーセントのイベントで潜在的な脅威をフラグ立てしました。これは低い割合ではありますが、研究者たちは、現実世界の環境においては、これが不必要な追加作業（例えば、必要以上に頻繁にファイルを保存するなど）につながる可能性があると指摘しています。しかし、システムはこれらの誤報を適度なレベルに抑えるほど賢明であり、通常の活動に対して最も極端で破壊的な措置を講じることは決してありませんでした。結果として、メモリ・ウォッチャー（メモリ監視）が最も強力な単一のツールであり、テストにおいてほぼ完璧な精度で悪意のある活動を特定したことが示されました。他のツールは、単独では精度が劣るものの、組み合わされることで貴重なコンテキスト（文脈）を付加しました。

この研究は、制御された環境における概念実証（プルーフ・オブ・コンセプト）に留まっています。研究者たちは、実際のネットワーク内のライブウイルスではなく、シミュレートされた攻撃を使用しており、病院や企業の設定でシステムをテストしたことはまだありません。彼らは、コンピュータの挙動を判断するために使用したルールが手作業で作成されたものであること、そして、現実世界の多様な脅威を扱うためにさらなるテストが必要であることを認めています。著者らは、今後の課題として、安全なサンドボックス内でライブマルウェアに対してシステムをテストすること、実際のデータに基づいてルールを洗練させること、そして最終的にはリソースが限られている組織にシステムを導入することなどを挙げています。核心となる発見は明白です。脅威の検知をバックアップの強度に直接結びつけることで、従来の断絶された手法よりも迅速かつ強靭な防御を作り出すことが可能です。このシステムは単にトラブルを監視するだけでなく、危険が高まった瞬間に盾を締め直すように、リアルタイムで防御を適応させるのです。