「未知の脅威」を検出するために　-securitydays2015 imatrixセミナー@kitte-

「未知の脅威」を検出するために

2015 年 3 月 6 日

imatrix メッセージングセキュリティリサーチ横山淳

Copyright © 2015 imatrix corp. All rights reserved. 1

数値で見る現在のメール環境

2Copyright © 2015 imatrix corp. All rights reserved.

世界のメール環境

500,000,000Tweets/day

3（出所： about.twitter.com ）Copyright © 2015 imatrix corp. All rights reserved.


10,000,000,000LINE トーク数 /day

4（出所： LINE プレスリリース , 2014 年 4 月 2 日）Copyright © 2015 imatrix corp. All rights reserved.


196,300,000,000メール送受信数 /day

5

（出所：『 Email Statistics Report, 2014-2018 』 The Radicati Group, Inc. ）

Copyright © 2015 imatrix corp. All rights reserved.

日本のメール環境

6（出所：『電気通信事業者 13 社の全受信メール数と迷惑メール数の割合』総務省 , 2014 年 6 月）

メール総数：1,464 百万通 / 日

迷惑メール数：862 百万通 / 日



7

2009 年1 月

2009 年4 月

2009 年7 月

2009 年10 月

2010 年1 月

2010 年4 月

2010 年7 月

2010 年10 月

2011 年1 月

2011 年4 月

2011 年7 月

2011 年10 月

2012 年1 月

2012 年4 月

2012 年7 月

2012 年10 月

2013 年1 月

2013 年4 月

2013 年7 月

2013 年10 月

2014 年1 月

2014 年4 月

0

20

40

60

80

100

120

アカウント数

フィルター利用者数

アカウント数（百万）

アカウント数：105 百万アカウント

フィルター利用者数：78 百万アカウント

（出所：『電気通信事業者 13 社の全受信メール数と迷惑メール数の割合』総務省 , 2014 年 6 月）


アイマトリックスのユーザー数

40,000,000 アカウント



9

2009 年1 月

2009 年4 月

2009 年7 月

2009 年10 月

2010 年1 月

2010 年4 月

2010 年7 月

2010 年10 月

2011 年1 月

2011 年4 月

2011 年7 月

2011 年10 月

2012 年1 月

2012 年4 月

2012 年7 月

2012 年10 月

2013 年1 月

2013 年4 月

2013 年7 月

2013 年10 月

2014 年1 月

2014 年4 月

0

20

40

60

80

100

120

アカウント数

フィルター利用者数

アカウント数（百万）

アカウント数：105 百万アカウント

フィルター利用者数：78 百万アカウント

（出所：『電気通信事業者 13 社の全受信メール数と迷惑メール数の割合』総務省 , 2014 年 6 月）

アイマトリックスユーザー数：40 百万アカウント


メール処理数 / 日

400,000,000 通


分析している迷惑メール数

200,000,000 通



12（出所：『電気通信事業者 13 社の全受信メール数と迷惑メール数の割合』総務省 , 2014 年 6 月）

メール総数：1,464 百万通 / 日

迷惑メール数：862 百万通 / 日


アイマトリックス


アンチマルウェアテクノロジー

…

多様なコアテクノロジー

• 未知の脅威に対抗する先端技術• 包括的にマルウェアを検知• セキュリティプラットフォームの拡充

グラフ理論

to be disclosed …

標的型攻撃検知

信号処理

統計解析

データマイニング

バイオインフォ

マティックス

IP Reputationアンチウィルスアンチマルウェア

matriXgatematriXcloudmatriXscanProduct

SecurityTechnology

Core Technology

アンチマルウェアテクノロジー

Copyright © 2015 imatrix corp. All rights reserved.* PAT. Patent approved in Japan and U.S.

i matrix msec v. II

15

マルウェアテクノロジー

アンチコンテンツフィルター

Sending Pattern

Static Contents Attack

Dynamic Contents Attack

Contents Jamming

Word Alternation

Noise Insertion

Random String Insertion

Thesaurus Combination Attack

アンチネットワークフィルター

Snowshoe Spam

Smtp Snowshoe Spam

Http Snowshoe Spam

Domain Snowshoe Spam

Profile Replication Profile Replication

アンチマルウェアフィルター Normalware Pretending Normalware Pretending

巧妙化するマルウェアやスパミング


i matrix msec v. II

Sending Pattern

• Static Contents Attack• Dynamic Contents Attack

Contents jamming

• Word Alternation 法• メール → メェル

• Noise Insertion 法• 返事はコチラ → 返 . 事はコ _ チ . ラ

• Random String Insertion 法• びどぢづはｽﾐﾓﾅﾛ

• Thesaurus Combination Attack• 類語による sentence を変更• 大量の contents を生成

16



スパミングテクノロジー


Sending Pattern



Contents Jamming

Word Alternation

Noise Insertion




Snowshoe Spam

Smtp Snowshoe Spam

Http Snowshoe Spam



アンチマルウェアフィルター Pretend Normalware Pretend Normalware

i matrix msec v. II

17

Greetings!

I am working as a recruitment manager in an international consulting agency. Our firm provides law services as well as service on business planning. Among our clients there are strong and international suppliers. During these weeks, we are hiring responsible representatives in Japan. You were advised, as a person who is clever and responsible.

Hello!

I am working as an HR manager in an international consulting agency. Our organization provides law services as well as service on business promotion and optimization. Among our clients there are powerful and international manufacturers. At the moment, we are recruiting honest representatives in Japan. You were recommended, as a person who is clever and responsible.

Spam① Spam②

Thesaurus Combination Attack とは




Sending Pattern



Contents Jamming

Word Alternation

Noise Insertion




Snowshoe Spam

Smtp Snowshoe Spam

Http Snowshoe Spam




i matrix msec v. II

Spam DNA Detector

• DNA 相同性解析を応用• DNA Sequencing を応用

• コンテンツのフラグメント化

18

ハニーポット

迷惑メール

Spam DNA Detector

Thesaurus Combination Attack 対策

Hello!

I am working as an HR manager in an international consulting agency. Our organization provides law services as well as service on business promotion and optimization. Among our clients there are powerful and international manufacturers. At the moment, we are recruiting honest representatives in Japan. You were recommended, as a person who is clever and responsible.

Greetings!

I am working as a recruitment manager in an international consulting agency. Our firm provides law services as well as service on business planning. Among our clients there are strong and international suppliers. During these weeks, we are hiring responsible representatives in Japan. You were advised, as a person who is clever and responsible.




Sending Pattern



Contents Jamming

Word Alternation

Noise Insertion




Snowshoe Spam

Smtp Snowshoe Spam

Http Snowshoe Spam




i matrix msec v. II

Snowshoe Spam

• SMTP IP Snowshoe Spam• HTTP IP Snowshoe Spam• Domain Snowshoe Spam

Profile Replication Attack

• 管理プロファイルを改ざんし、補足から逃れようとする手法

19





Sending Pattern



Contents Jamming

Word Alternation

Noise Insertion




Snowshoe Spam

Smtp Snowshoe Spam

Http Snowshoe Spam




i matrix msec v. II

Reverse Profile Detection

• 攻撃者のプロファイルを探知• 攻撃者の情報をブラックリスト化

20

迷惑メール

ドメイン

SMTPサーバー

HTTPサーバー

Profile Replication Attack 対策




Sending Pattern



Contents Jamming

Word Alternation

Noise Insertion




Snowshoe Spam

Smtp Snowshoe Spam

Http Snowshoe Spam




i matrix msec v. II

imatrix C 社 S 社 I 社

70%

37% 40%35%

性能評価

補足

率

IP Reputation for MSEC の特徴

• 多量に保有するスパムの活用• 国産メーカーのノウハウを集約• 完全自動システムのレピュテーション

国内流通スパムに対するダントツの性能！

• 高補足率・高精度

21

IP Reputation for MSEC




Sending Pattern



Contents Jamming

Word Alternation

Noise Insertion




Snowshoe Spam

Smtp Snowshoe Spam

Http Snowshoe Spam




i matrix msec v. II

22

Pattern Matching (Third Party)

Surface Analysis

Static Analysis

Dynamic Analysis

Behavior

Task

Dis

trib

uto

r

Access

Network

Virt

ual

Env

ironm

ent

Fea

ture

Lear

ning

Det

erm

inat

ion

Mac

hine

Syn

the

tic J

ud

gm

en

t

Fe

atu

re E

xtra

cto

r

CYREN 社 Command Antivirus 搭載

• 高検知率・高スループット

国産アンチマルウェアエンジン

• アンチマルウェアテクノロジー「 msec™ 」に準拠• 多層フィルターによる多角的検知

アンチマルウェアアーキテクチャー




Sending Pattern



Contents Jamming

Word Alternation

Noise Insertion




Snowshoe Spam

Smtp Snowshoe Spam

Http Snowshoe Spam




i matrix msec v. II

Virus Quantitative Analysis

• 動的解析の情報を数値化• 定量的に解析・判定を行う

VQA の特徴

• 数理的 / 理工学的手法を応用できる• 亜種や難読化に強い　　• 誤検知率の高さを克服

• 誤検知率 : 0.2~1%! *

23

* 引用[1] “Using SpatioTemporal Information in API Calls with Machine Learning Algorithms for Malware Detectioni”[2] “Malware Detection Based on Mining API Calls”

新しいアンチマルウェア手法




Sending Pattern



Contents Jamming

Word Alternation

Noise Insertion




Snowshoe Spam

Smtp Snowshoe Spam

Http Snowshoe Spam




i matrix msec v. II

検知事例ウィルス A

• 特徴• Exe Stealth Protector による難読化• 正常ファイルの様な振る舞い

• 検知結果• 他社検知漏れ• Virus Quantitative Analysis で検知成功

実験評価

• 検知率 60%• 誤検知率 0.01%

24

検知率誤検知率

約 60%

検知

率

VQA 検知性能




Sending Pattern



Contents Jamming

Word Alternation

Noise Insertion




Snowshoe Spam

Smtp Snowshoe Spam

Http Snowshoe Spam




0.01%

i matrix msec v. II

Internetof

Things

Automated Driving

コアテクノロジーの拡充

• 従来法や新しいアプローチを用いたマルウェア検知率の向上セキュリティプラットフォームの拡大

• 新しいセキュリティテクノロジーの開発

複雑系数理

Robotics

分子計算

グラフ理論

信号処理

統計解析

データマイニング

バイオインフォ

マティックス

異常検知InternetSecurity

標的型攻撃検知

IP Rep-utation

IP Reputationfor MSEC

アンチマルウェア

matriXcloud

アンチスパム

matriXscanBusines

s

SecurityTechnology

CoreTechnology

アンチマルウェアテクノロジーの今後


i matrix msec v. II



アンチマルウェアプロダクト

…

国産アプライアンス

• ゲートウェイ型メールセキュリティー• 導入形態を選ばないアプライアンス／仮想アプライアンス

• 国内シェア No.1 の導入実績（富士キメラ総研、ミック経済研究所調べ）

日本国内ユーザーに最適化

• 検知率 =99.8%• 誤検知率 =1/1,000,000以下• 充実したサポート体制• 日本唯一の国産マルウェア検出テクノロジー

「 msec™ 」・「 msec™ v2 」

27

（アイマトリックス調べ）

シェア No.1 のゲートウェイ型メールセキュリティー


グローバル型マルウェア検出エンジンの限界

• グローバルで見れば日本語はローカルな言語• 日本語環境ではメーカー公称値よりも低検知率

日本語特化型エンジンの必要性

• 初代アイマトリックス製品も海外エンジンを利用• 上記限界に直面• 第 2 世代製品で「 msec™ 」搭載• 第 3 世代製品で「 msec™ 」をメインエンジンに変更• 第 4 世代製品で「 msec™ v2 」にアップグレード

28

アイマトリックス独自技術「 msec™ 」エンジン


特許を取得済みクラウドベースのフレームワーク

• リアルタイム• オンデマンド• 日本語にフォーカス• コラボレーション• メンテナンスフリー

29

ゲートウェイ型アイマトリックス製品「マトリックススキャン APEX III 」

アイマトリックス DC「 APEX センター」ハニーポット

企業様ネットワーク

インターネット

リクエスト

レスポンス

フィードバック

メールスキャン

「 msec™ 」の特長


高性能アプライアンス• ハードウェアも

「 MADE IN TOKYO 」• 100 通 /秒以上のメール処理• 高速オンメモリースキャン• インライン透過型構成対応

30

高性能

低パフォーマンス

M 社

B 社

S 社

リーズナブル高価

C 社

妥協しない性能




アンチマルウェアプロダクト

…

メールセキュリティー

• アンチスパム・アンチウィルス・標的型攻撃対策ウェブセキュリティー

• URL フィルター・ウィルススキャン搭載メールボックスオプション

• Web メール・多重化メールボックス

32

クラウド型セキュリティサービス『 matriXcloud 』


matriXcloud のメリット

• 多拠点で導入可能• 専門スタッフや社内リソースが不足していても導入容易• 場所・端末 (PC, タブレット , モバイル , etc) を選ばない• 実績のある matriXscan を搭載

33

クラウド型セキュリティサービス『 matriXcloud 』


ウェブ閲覧によるウイルスの感染を防御

• 日本語サイトに強い URL フィルター• 軽量・高速ウイルススキャン

34

ウェブセキュリティー

ウェブセキュリティーの特徴


『 matriXscan 』のセキュリティー機能は全て提供

• 実績のある matriXscan を搭載• 軽量・高速アンチマルウェア


35

メールセキュリティーの特徴


ご清聴、誠にありがとうございました。アンケートのご協力もお願い致します。

お問い合わせ先URL: WWW.IMATRIX.CO.JP

EMAIL: [email protected]: 044-272-6771




• アンチスパム・アンチウィルス・標的型攻撃対策

ウェブセキュリティー

• URL フィルター・ウィルススキャン搭載

38

シェア No.1メールセキュリティ

ゲートウェイ型統合セキュリティ！

実績あるセキュリティをクラウドで！


アイマトリックスの製品構成

一般的な競合製品の導入コスト

• ハードウェア（上限アカウント数に応じて決定）• アンチスパムライセンス（アカウント数分）• アンチウイルスオプションライセンス（アカウント数分）

アイマトリックス製品の導入コスト

• アンチマルウェアサービス料金のみ（ハードウェアやアンチウイルス機能含む）

39

コストが

約 1/3に

ハードウェア料金

アンチスパムライセンス料金

アンチウイルスライセンス料金

アンチマルウェアサービス料金

（ハードウェア、アンチウイルス機能含む）

競合他社

アイマトリックスのサービス料金


海外ベンダーだと・・・

• 誤検知・検知漏れの対応が遅い• 問い合わせや欲しい情報が出てこない

業界唯一の国内メーカーだからこそ

• 日本全国約 300 拠点以上の保守サポートネットワーク• 誤検知・検知漏れの迅速な反映

40

万全の保守体制

アイマトリックスの保守サポート体制


ご清聴、誠にありがとうございました。アンケートのご協力もお願い致します。

お問い合わせ先URL: WWW.IMATRIX.CO.JP

EMAIL: [email protected]: 044-272-6771


42© 2015 imatrix corp.

Confidential本資料の開示を受けることを承認した者（以下読者）は、本資料に含まれるすべてのアイマトリックス株式会社及び関係する第三者の財務、事業計画、マーケティング、顧客、納｢｣入者、製品、技術、研究及びノウハウ等に関する情報および、アイマトリックス株式会社から本資料の説明を受けて得たあらゆる情報（以下「情報」）を秘密にし、これをアイマトリックス株式会社から書面による承諾を得ずに、第三者に開示してはならない。　読者は「情報」をアイマトリックス株式会社の目的とする事業への参画、関与、取引の検討もし｢｣くは製品の使用のみのために利用する。　この制約は、読者が「情報」を開示される以前に知っていた情報、又は読者が法律上の手続きにより開示を要求される情報には適用さ｢｣｢｣れない。アイマトリックス株式会社が要請したとき、又は読者が事業への参画、関与もしくは取引の可能性がなくなったときは、読者は、本資料及び、「情報」を何らかの形で｢｣｢｣含有、構成、描写又はそれらに関連するあらゆる記録、データ、書類、媒体及びその他の品目並びにそれらの複製で、自らが所有又は管理しているものを、アイマトリックス株式会社に返却するか速やかに第三者に漏洩することなく破棄するものとする。

「未知の脅威」を検出するために -securitydays2015 imatrixセミナー@kitte-

Software

「未知の脅威」を検出するために　-securitydays2015 imatrixセミナー@kitte-