ファジーハッシュ

セキュリティ強化

マルウェア解析の強力な武器:ssdeepとは

- ssdeepの概要ssdeepは、セキュリティ対策を行う担当者や不正なプログラムを解析する人が活用する、ファイルの類似性を判定するツールです。 従来のハッシュ関数では、わずかな違いでも全く異なる値になってしまいますが、ssdeepは「あいまいハッシュ」と呼ばれる手法を用いることで、少しだけ異なるファイルに対しても近い値を算出できます。この「あいまいさ」がssdeepの強みです。不正なプログラムは、検出を逃れるために、プログラムの一部を少しだけ変えるという手法がよく用いられます。従来のハッシュ関数では、このようなわずかな変更を見つけることは困難でしたが、ssdeepを用いることで、変更箇所を特定しやすくなります。具体的には、ssdeepはファイルを小さな断片に分割し、それぞれの断片の特徴量を抽出します。そして、それらの特徴量を基にハッシュ値を生成します。そのため、ファイルの一部が変更されていても、他の部分の特徴量が一致すれば、類似したハッシュ値が算出されるのです。ssdeepは、不正なプログラムの亜種検出や、マルウェア解析などに活用されています。セキュリティ対策の現場において、強力なツールの一つと言えるでしょう。
マルウェア

進化する脅威に対抗:ファジーハッシュでマルウェアを検出

- 従来のハッシュ関数とその限界 コンピュータの世界では、ファイルの識別やデータの整合性を確認するために、ハッシュ関数という技術が広く使われています。ハッシュ関数とは、入力データを一定の規則で計算し、元のデータとは全く異なる見た目の短い文字列に変換する技術です。この短い文字列を「ハッシュ値」と呼びます。 MD5やSHA1などは、従来から広く使われてきたハッシュ関数です。これらのハッシュ関数は、入力データに対して、世界中でたった一つしかない固有のハッシュ値を生成するという特徴を持っています。この特徴を利用して、ファイルの内容が改ざんされていないかを確認することができるのです。例えば、ウェブサイトからファイルをダウンロードする際に、事前に正しいハッシュ値が公開されていれば、ダウンロードしたファイルのハッシュ値と照合することで、ファイルが破損したり、改ざんされたりしていないかを確かめることができます。 しかし、従来のハッシュ関数には限界があります。それは、わずかにデータが変更されただけでも、全く異なるハッシュ値が生成されてしまうという点です。この性質は、悪意のある者がコンピュータウイルスなどのプログラムを、ハッシュ値を検知されないように少しずつ改変し、拡散することを可能にしてしまいます。そのため、日々変化し続ける最新の脅威に対応するためには、従来のハッシュ関数だけでは不十分と言えるでしょう。