Network-Centric Ransomware Intrusion Detection Framework

デジタル世界において、ある特定の種類の手口が、単なる厄介者から世界的な危機へと進化しています。数十年にわたり、ランサムウェアとして知られる悪意のあるソフトウェアは、コンピュータのデータを人質に取り、ファイルの暗号化と解放のための支払いを要求してきました。個々のコンピュータにインストールされたセキュリティソフトは、これらのプログラムが動き出す前に阻止できることが多いのですが、巧妙な攻撃者は自らの行動を隠し、こうした防御をすり抜ける術を学習してきました。コンピュータがすでに侵害されている場合、そこで起きていることを把握するための唯一の手段は、多くの場合、ネットワークそのもの、つまりマシン間で移動するデータのストリーム（流れ）になります。ここに、最後の防衛線が存在します。コンピュータと、データが保存されている中央ファイルサーバとの間で流れるトラフィックを監視することで、セキュリティの専門家は、たとえ悪意のあるプログラムが自らを偽装しようとしても、進行中の攻撃特有のシグネチャ（特徴）を捉えられることを期待しています。

オーストラリアのラ・トローブ大学の研究チームは、このデジタル・トラフィックを監視する新しい方法を開発し、すでにシステムに侵入したランサムウェアを捕まえるために設計されたフレームワークを作り上げました。彼らのアプローチは、単に既知の悪意ある存在を探すのではなく、データの「振る舞い」そのものに焦点を当てています。彼らは「関心のあるトラフィック（Traffic of Interest）」と呼ぶ手法を導入しました。これは、コンピュータが何を行っているかという物語を伝える特定のパケットの情報をグループ化するためのフィルターとして機能します。ネットワークを横切るあらゆるデータ片を分析するのではなく、コンピュータが共有ドライブ上のファイルを読み取ったり、書き込んだり、変更したりする特定の瞬間を抽出します。これらの重要な瞬間に焦点を当てることで、システムは、ユーザーが単に作業のバックアップを取っているのか、それとも悪意のあるプログラムが目の前にあるすべてを暗号化しているのかを区別することができます。

研究者たちは、この手法が実世界で機能するかどうかを確認するために、テスト環境を構築しました。彼らは、ファイルサーバと複数のクライアントコンピュータを備えた仮想ネットワークをセットアップし、2013年から2022年までに発見された最も新しいバリアント（変種）に至るまで、幅広いランサムウェア・ファミリーを導入しました。極めて重要なのは、これらの攻撃を、単なる静かな通常のコンピュータ活動に対してテストしたのではないという点です。彼らは、大量のフォルダを圧縮したり、プライバシーのためにデータを暗号化したり、大量のファイルをコピーしたりといった、重いファイル操作を行う良性のアプリケーションも同時に実行しました。これらの正当なアクションは、時としてランサムウェアと非常によく似た挙動を示すことがあり、従来の多くの検知システムはこれらを区別することに苦労し、誤報を頻発させてきました。ユーザーがファイルを圧縮しているのか、ウイルスがファイルを暗号化しているのかという微妙な違いを認識するようにシステムを訓練することで、研究者たちは、脅威に対して敏感でありながら、通常の活動に対しては冷静でいられる検知器を作ることを目指しました。

実験の結果は驚くべきものでした。全範囲の攻撃に対してシステムをテストした際、ほぼ99.64パーセントという精度でランサムウェアを正しく特定しました。おそらく最も重要なことは、1,000回の試行のうち、ランサムウェア攻撃を見逃したのはわずか1回であったということであり、この率は事実上ゼロと言えるほど低い数値です。これは、システムが脅威を見逃すことがほとんどないことを意味します。同時に、「狼少年」になることも滅多にありませんでした。無害なアプリケーションを悪意のあるものとして誤ってフラグ立てしたのは、10万回のチェックにつきわずか4回でした。研究者たちは、この検知が攻撃の非常に早い段階で可能であることをも証明しました。不審な活動の最初の数十の瞬間を分析することで、システムは99.44パーセントの精度で侵入を特定でき、しばしば被害が出る前に警告を発することができました。この早期警告能力は、管理者が決定的なデータが失われる前に攻撃を阻止するための時間を確保できるため、極めて重要です。

検知を支える機械学習モデルのほかに、チームはランサムウェアに特有の、いわゆる「侵害指標（indicators of compromise）」と呼ばれる一連の行動の手がかりをも解明しました。これらは、攻撃者が容易に変更できる単純な「悪いアドレス」や「ファイル名」のリストではありません。むしろ、これらはデータの動き方におけるパターンです。例えば、研究者たちは、ランサムウェアが被害者に指示を出すために、一貫したサイズを持つ特定のメッセージファイルを作成したり、ファイルをロックする際に非常に特定のコマンドシーケンスに従ったりすることを発見しました。これらのパターンは、攻撃者が足跡を隠そうとしても、依然として可視の状態にあります。チームはこれらのパターンを既知の脅威のシグネチャとして使用できるリポジトリにまとめ、機械学習モデルと並行して機能する第二の防御層を提供しています。

この研究は、従来の検知手法が十分であったという考えに明確に異議を唱えています。著者らは、以前の多くの研究は、ランサムウェアのように振る舞う正当なアプリケーションを含まないデータセットに依存しており、それが忙しいオフィスでは通用しない、あまりに楽観的な結果をもたらしていたと主張しています。また、既存のツールの多くは、ネットワークが強力な暗号化を採用するにつれて一般的ではなくなっている「復号されたデータ」を見ることに依存しているとも指摘しています。しかし、彼らのフレームワークは、暗号化されたトラフィックと未暗号化のトラフィックの両方を使用してテストされており、セキュリティ設定に関わらずノイズを通り抜けて見ることができることを証明しました。ウイルスの静的なコードそのものではなく、ファイル操作の実際の振る舞いに焦点を当てることで、研究者たちはネットワークを保護するためのより堅牢な方法を提示しました。この研究は、ランサムウェアが進化し続ける一方で、特定の行動パターンに対して鋭い眼差しを持ってデータの流れを監視することが、それを阻止するための信頼できる道であることを示唆しています。