この脆弱性対策エンジンは“永遠に完成しない” − ＠IT（情報元のブックマーク数）
yaraiに搭載されているパターンファイルに依存しない、ZDPエンジン
ZDPエンジンは、パターンマッチングを使用せずに脆弱性攻撃型ウイルスの検出を可能にすることを目的とし、APIの呼び出し履歴をたどり、呼び出し元をチェックすることでウイルスの検出を行うという手法を用いている。
この脆弱性対策エンジンは“永遠に完成しない” − ＠IT
この手法のアイデア自体は、脆弱性攻撃型ウイルスの脅威が認識されるずっと以前、yaraiの開発前の時点からすでにFFR内にあったもので、yaraiに実装するエンジンのうちでも早い段階で採用することが決まっていた。
やっぱり誤検知は多かったみたいですが、大量の実行形式ファイルのリサーチを行うことで、誤検出を減らすことができたとのこと。
リサーチを行ったところ、実行命令の格納されているメモリ上の保護属性のみチェックした場合、ZDPエンジンでも誤検出が発生してしまうことが確認できていた。誤検出防止に必要な情報を取得するため、大量の実行形式ファイルの命令コードの特徴のリサーチを行った。
この脆弱性対策エンジンは“永遠に完成しない” − ＠IT
ZDPエンジンでは、実行命令の格納されているメモリ上の保護属性以外のさまざまな情報も取得し、これらの情報を用いてチェックを行うこととなった。その結果、ZDPエンジンでは脆弱性攻撃を検出するために必要十分なチェックのみを行うことで、誤検出を発生させずに、脆弱性攻撃を検出することを実現した。
ZDPもエンジンは常に進化しているとのこと。
ハードウェアDEPの例にあるように、攻撃者側、セキュリティ対策ベンダ側双方の技術進化は著しく、われわれが新たな手法でシステムを保護すれば、攻撃者はその保護を破る手法を考えようとする。そのため、ZDPエンジンは製品化で開発完了とするのではなく、攻撃者が考えるであろう新たな手法の研究を行い続け、新たな攻撃手法を用いたウイルスも確実に検出するために、エンジン自体を常に進化させていく必要があると考える。
この脆弱性対策エンジンは“永遠に完成しない” − ＠IT
