従来のアンチウイルスソフトは、既知のパターンに一致するマルウェアしか検出できません

従来のウイルス対策ツールは、既知のマルウェアのシグネチャが登録されたデータベースとファイルを照合することで脅威を検出します。既存のパターンに一致しないファイルは、ブロックされずに通過してしまう可能性があります。こうした事前知識への構造的な依存により、脅威が出現してからウイルス対策ソフトがそれを阻止するまでの間に、測定可能かつ悪用され得る遅延が生じます。

100万件以上のファイル検出データを対象とした2026年のゼロデイ検出分析によると、従来のアンチウイルス（AV）エンジンは、ゼロデイの検出において平均3.0日、中央値で2.0日の遅れをとっていました。 最悪の場合、脆弱性が露呈したままの状態が26.7日間も続きました。データセットに含まれるゼロデイ脅威のうち、従来のアンチウイルスエンジンによって24時間以内に検出されたのはわずか3.7%でした。約3%については、何らかの検出反応が得られるまでに1週間以上を要しました。

方法論に関する注記：3.0日間の平均値からは、アンチウイルス製品の反応時間が著しく長いファイルや、パターン一致の履歴が全くないファイルは除外されています。全データセットでは、より幅広い結果が反映されています。また、基礎となるデータには、低いもののゼロではない誤検知率も存在します。

データは、このような瞬間から始まります。スキャン時点では、使用した20種類のアンチウイルスエンジンはいずれもこのファイルを検知せず、レピュテーションサービスにも記録されていませんでした。しかし、その脅威はすでに確認されていたのです。

AVエンジンが脅威に対する一致するシグネチャをまったく生成しない場合、このタイミングの問題はさらに深刻化する。我々の分析によると、ゼロデイファイルの約20.8%は、最終的に従来のAVエンジンによって検出された。約17.9%にはパターン一致の履歴が一切なく、分析対象となったどのAVエンジンのカタログにも完全に含まれていなかった。 推定54％のファイルについては、AVの反応時間が著しく遅延しており、実質的に保護機能として機能していないと言えます。なお、この数値は他の数値と同様、誤検知率は低いもののゼロではないため、あくまで傾向を示すものとして扱う必要があります。

アンチウイルスエンジンがようやく対応しても、その対応範囲は限定的だ。後日再スキャンしたところ、20種類のアンチウイルスエンジンのうち、同じファイルに対して一致を検出したのはわずか3つだった。大半は依然として何も検出できなかった。

MetaDefender Aether™は、シグネチャ照合だけでは検出できない悪意のあるファイルを特定するために設計された、統合型のゼロデイ検知ソリューションです。MetaDefender のAetherは、ファイルが既知のパターンと一致するかどうかを問うのではなく、処理対象となるすべてのファイルに対して、段階的に深みを増す5つの質問を行い、その回答を組み合わせて、信頼度スコア付きの単一の判定結果を導き出します。

パイプラインに流入するすべてのファイルは、OPSWAT 脅威インテリジェンス・データベースと照合されます。既知の悪意のあるファイルは即座にブロックされ、信頼できるファイルは優先的に処理されます。当社の分析によると、この層だけで脅威の48.7%が解決され、パイプラインの処理能力を温存するとともに、詳細な検査を必要としないファイルに対する不要な処理を回避することができました。

レピュテーション層を通過したファイルは、「Predictive Alin AI」によって評価されます。このAIは、実行、起動、または実行時監視の前に、構造的、意味的、および行動的な指標を分析します。この層では2つの結果が生じます。信頼度の高いクリーンなファイルはサンドボックスのキューから除外され、信頼度の高い悪意のあるファイルは実行前にブロックされます。これには、従来のアンチウイルスエンジンが見逃してしまう脅威も含まれます。

サポート対象の高リスク実行ファイルの場合、判定結果はP90：50ミリ秒、P99：100ミリ秒未満となります。信頼性の閾値を満たさないファイルは、不確かな判定で処理を終了させるのではなく、レイヤー3へと進みます。また、このエンジンでは、サポート対象のAI/MLモデルファイルについても、読み込み時に実行される可能性のある埋め込み任意コードの有無を検査します。本エンジンは、オンラインおよび完全オフライン環境（エアギャップ環境を含む）で動作します。

レピュテーション層を通過し、実行前の予測によって解決されなかったファイルは、MetaDefender Aetherのアダプティブサンドボックスに送られます。このサンドボックスは、仮想マシンを使用するのではなく、120種類以上のファイル形式に対して、CPUおよびオペレーティングシステムの命令レベルでエミュレーションを行います。このアプローチにより、ファイルは仮想化環境を検知したかどうかに関わらず、コードパスを完全に実行せざるを得なくなります。通常であれば休眠状態を維持するVM対応マルウェアも、命令レベルのエミュレーション下ではその動作を抑制することができません。 このレイヤーから新たに発見されたIOC（侵害の兆候）はレイヤー1にフィードバックされ、分析サイクルごとにレピュテーションデータベースが強化されます。

シグネチャエンジンが難読化されたスクリプトを検知しても、一致する項目は見つかりません。エミュレーション機能により、ファイルはそれにもかかわらず実行されます。隠されたペイロードが復号され、メモリに読み込まれるやいなや、その意図が明らかになります。

複数の機械学習エンジンが、サンドボックス層から抽出された行動シグナル、異常パターン、およびIOCを分析します。各ファイルには、構造化された信頼度加重リスクスコアが割り当てられます。生のテレメトリデータは明確な判定シグナルに変換されるため、誤検知が削減され、ツールごとの出力結果がばらばらになることで通常生じるアナリストのレビュー負担が最小限に抑えられます。

filescan.io/scan で、当社の検出エンジンを利用してファイルを無料でスキャンしてください。

Deep CDR™ テクノロジーと MetaDefender 、それぞれ異なる課題を解決します。特に規制の厳しい環境や重要インフラ環境において、ファイル検査ワークフローを設計するセキュリティアーキテクトにとって、この違いを理解することは重要です。

Deep CDR™テクノロジーは、200種類以上のファイル形式からマクロ、スクリプト、埋め込みオブジェクトなどの潜在的に悪意のあるコンテンツを削除し、安全で完全に使用可能なバージョンを再生成することで、ファイルベースの脅威を未然に排除します。このテクノロジーは検知に依存しません。脅威が最終的に確認されたかどうかにかかわらず、ファイルは安全化されます。 ファイルを安全に再構築できるドキュメントベースのワークフローにおいて、Deep CDR™テクノロジーは、脅威が実行される機会を与える前にこれを排除します。

仕組みについて詳しく知りたい方は、こちらの過去の記事をご覧ください。

MetaDefender 、ファイルを変更できない場合に最適なツールです。実行ファイル、パッチファイル、ファームウェア、インストーラー、スクリプトなどは、正常に機能するためにバイト単位で完全な状態を維持する必要があります。これらのファイルを修正することは不可能です。また、医療、法務、金融分野の規制対象文書についても、法的またはコンプライアンス上の要件により、変更が禁止されている場合があります。こうした種類のファイルについては、動的解析が唯一の実用的な検査手段となります。

これら2つの技術は、どちらか一方を選ばなければならないというものではありません。実際には、ほとんどの企業や重要インフラ環境では、同じワークフロー内で変更可能なファイル形式と変更不可能なファイル形式の両方を扱っています。Deep CDR™テクノロジーは、安全に復元可能な文書やオフィス形式のファイルを処理します。一方、MetaDefender 、変更できないファイルを処理します。これらを組み合わせることで、環境内に流入するあらゆる種類のファイルを網羅的にカバーします。

ゼロデイ攻撃はシグネチャが作成されるのを待ってはくれません。防御策もまた、待ってはいけません。