シグネチャ型検知
IDSやIPS、マルウェア対策ソフトの検知方式の1つ。既知の攻撃の特徴をシグネチャとして定義しておき、それに合致する通信やファイルを不正と判断する。これに対し、平常時から外れたものを不正とするのがアノマリ型である。
イマシルちゃんの解説
検知の方法には、大きく分けて2つの考え方があるんだ。
シグネチャ型は「ブラックリスト」方式。
「こういう手口は悪いやつ」っていうリストを持っていて、それと同じなら止める。
アノマリ型は「いつもと違う」方式。
ふだんの様子を覚えておいて、「なんだか今日は様子がおかしいぞ」ってものを見つけるんだよ！
より深い解説
定義
シグネチャ型検知（不正検出、ミスユース検知）は、攻撃に特有のデータのパターンや通信の手順を、シグネチャ（ルール）として登録しておき、監視対象の通信やファイルと照合して、一致したものを攻撃と判断する方式である。
アノマリ型検知（異常検出）は、平常時の通信やシステムの振る舞い（通信量、プロトコルの規則、利用時間帯など）を基準として定義しておき、そこから大きく外れたものを攻撃の可能性があると判断する方式である。
2つの方式の比較
| シグネチャ型 | アノマリ型 | |
|---|---|---|
| 不正と判断するもの | 定義した異常な通信に合致するもの | 通常時の通信から外れたもの |
| 既知の攻撃 | 高い精度で検知できる | 検知できる場合がある |
| 未知の攻撃（ゼロデイ攻撃） | 検知できない | 検知できる可能性がある |
| 誤検知（過検知） | 少ない | 多くなりやすい |
| 運用 | シグネチャを常に最新に更新する | 平常時の状態を学習・定義し、見直す |
シグネチャの例
- 特定の脆弱性を突く攻撃に含まれる文字列（SQLインジェクションの典型的な文字列など）
- 既知のマルウェアの通信先や通信のパターン
- プロトコルの規則に反する、特定の不正なパケットの組み合わせ
アノマリ型の例
- ふだんの何倍もの通信量や接続数（DoS攻撃の可能性）
- ふだん使われない時間帯やポートでの通信
- プロトコルの仕様から外れたパケット（プロトコルアノマリ）
組み合わせて使う
実際の製品は、両方の方式を組み合わせている。シグネチャ型で既知の攻撃を確実に検知し、アノマリ型で未知の攻撃の兆候を拾う。機械学習を使って平常時の振る舞いを学習するアノマリ型の製品も増えている。
マルウェア対策ソフトとの対応
| IDS・IPSの方式 | マルウェア対策ソフトの方式 |
|---|---|
| シグネチャ型 | パターンマッチング法 |
| アノマリ型 | ビヘイビア法（振る舞い検知）、ヒューリスティック法 |
どちらの分野でも、「既知の悪いものとの一致を見る」方式と「いつもと違うことを見る」方式という、同じ2つの考え方が使われている。