クラウドを活用したセキュリティ技術の実例 「スマートフィードバック」と「相関分析」 - japan.internet.com Webテクノロジー（情報元のブックマーク数）
トレンドマイクロのSPNのスマートフィードバックの説明です。
「スマートフィードバック」は各セキュリティ製品がクラウドと情報を交換しあうための仕組みです。SPN では、クラウド上に設置した脅威に関するデータベース、パターンファイル、各種レピュテーション、挙動監視ルールや、製品のアップデートなどの最新のデータを製品へ提供しています。そしてこれらのデータを活用して検出した脅威に関する情報が、製品からクラウドへ報告されます。この双方向の情報交換をスマートフィードバックと呼んでいます。
http://japan.internet.com/webtech/20091216/6.html
フィードバックされた情報は即時にクラウド上のデータベースに反映され、世界中のユーザが利用できるようになります。例えば、ファイルレピュテーションにおいてヒューリスティック手法や振るまい検知により疑わしいファイルが確認された場合、ファイルのフルパスやハッシュ値に類似するものなどの検出したファイルに関する情報がクラウドへフィードバックされます。中でも特に不正プログラムの疑いが強いと考えられる検出に関しては、ユーザーによって行われる検体提供を代替する形でファイルそのもののフィードバックが行われます。その他、不正プログラムのダウンロード元となる URL の情報、不正な Web サイトへアクセスを試みたプロセス、不正なシステム改変を行おうとしたプロセスなどの情報もフィードバックされます。
実際にGUMBLARで効果を発揮したかもしれない。実際にブロックしたのかなぁ・・・
このような SPN の効果の一例として2009年10月に発生した｢JS_GUMBLAR｣を悪用した大規模正規サイト改竄事例での対応を紹介します。この事例では改竄された正規サイトにアクセスしたユーザーは不正プログラムの侵入を受けましたが、その際に感染コンピュータが使用できなくなるという副次的な被害が発生したため、PC メーカーのサポートセンターに問い合わせが殺到。結果的に PC メーカーのサポート電話が繋がりにくくなるという事態にまで発展しました。実際の時系列としては、10月15日前後から被害報告が確認され始め、大きな騒動に発展した23日前後には各セキュリティベンダから注意喚起が行われたため、一般にも報道されました。
http://japan.internet.com/webtech/20091216/6.html
このケースの被害例の数件についてトレンドマイクロで調査を行ったところ、被害が一般に報道される以前の13日〜20日の間に、不正URLへのアクセスが 61件も発生していました。しかし、この61件の不正 URL は一般報道があった23日の時点で Web レピュテーションによりすべてブロック可能でした。また、被害PCから個々の不正 URL へのアクセスが発生した時点では、その85％をブロック可能でした。つまりこの｢JS_GUMBLAR｣の事例では、被害が一般に発覚するよりも以前の段階で SPN が大きな阻止効果を挙げていた、ことになります。
