ネットワークを迷宮化してマルウエア攻撃を防ぐソフト

　イスラエルIllusive Networksが開発しアズジェントが販売している「illusive Deceptions Everywhere」は、社内に侵入したマルウエアや攻撃者の活動を、実際には存在しない偽りのサーバー情報を利用して妨害するタイプのセキュリティソフトである。

illusive Deceptions Everywhereのイメージ（左は攻撃者からみたネットワーク、右は実際のネットワーク）

（出所：アズジェント）

[画像のクリックで拡大表示]

　illusive Deceptions Everywhereの管理サーバーは、社内LAN上でActive Directory管理下にあるパソコンなどの端末にリモートアクセスし、メモリーキャッシュ情報を書き換える。実際には存在しないFTPサーバーやデータベースサーバーに対するログイン情報や、Webブラウザーの閲覧履歴などを、デコイ（偽情報）として埋め込む。

　これにより、社内LAN上の端末に侵入したマルウエアや攻撃者は、偽りの情報を利用して偽りのサーバーにアクセスしやすくなる。偽りの情報によって、社内LANは、実際のネットワークよりも多くの端末が存在する迷宮となるので、攻撃すべきターゲットを発見しにくくなる。

　マルウエアが偽りのサーバーにアクセスすると、アクセス先はillusive Deceptions EverywhereのTrapサーバーになっている。Trapサーバーは複数のIPアドレスを持っており、多数の偽りのサーバーとして機能する。Trapサーバーへのアクセスによって、マルウエアや攻撃者の活動を検知できる。

　現行版では、端末のファイルを暗号化して身代金を要求する暗号化ランサムウエアに対抗する「Advanced Ransomware Guard」（ARG）機能を備える。Trapサーバー上のファイル群へのネットワークショートカットとなるデコイ（偽ファイル）を社内LAN上の端末に置くことで、ランサムウエアによる暗号化をTrapサーバー側で検知する仕組みである。

　デコイのファイル名や属性などを工夫して、ランサムウエアが最初にデコイを暗号化するように仕向けているという。デコイを暗号化すると、Trapサーバー上にある大量のファイル群を暗号化することになるので、端末上の実ファイルを暗号化するまでの時間を稼ぐことができる。この間に、デコイを暗号化しているランサムウエアのプロセスを調べ、これを停止させる。