ファイルのエントロピー信号と機械学習による電子文書内悪性コードの検出

（Capturing the symptoms of malicious code in electronic documents by file’s entropy signal combined with Machine learning）

田中専務

拓海先生、お忙しいところ恐れ入ります。最近、添付ファイル経由の攻撃が増えていると聞きまして、どんな対策が効果的なのか論文を読んでみたいのですが、専門的すぎて尻込みしています。まず、この論文は何を変えるものなのでしょうか。

AIメンター拓海

素晴らしい着眼点ですね！この論文は、電子文書の中に潜む悪意あるコードを、ファイルのエントロピー（Entropy）という数値の変化を見て検出する枠組みを示しています。要点を3つにまとめると、1) ファイルをエントロピーの連続信号として扱う、2) その信号から波形的な特徴を抽出する、3) 機械学習で良性と悪性を区別する、というアプローチです。大丈夫、一緒に見ていけば必ずわかりますよ。

田中専務

エントロピーという言葉は聞いたことがありますが、何を指すのかピンと来ません。要するにファイルの“バラツキ”を測るってことでしょうか。

AIメンター拓海

そうです、良い理解です。エントロピーは情報の“乱雑さ”や“予測しにくさ”を示す数字で、ここではファイルを一定の窓幅で切って、その窓ごとのバイト分布の乱れを数値化します。比喩にすると帳簿をページごとに見て、急に字面がべた塗りになっているページがあればそこに不正な挿入物があるかもしれない、という感じです。

田中専務

なるほど。では実運用面で気になるのはコストです。導入や検査に時間がかかるなら現場が混乱します。これって重い処理ですか。

AIメンター拓海

重要な視点です。論文の提案するESRMDは軽量化を意識しています。ファイル全体を重い解析で辿るのではなく、窓ごとにエントロピーを計算して短い信号に落とし込み、そこから特徴を抽出して機械学習の分類器に渡します。結果的に既存の形式依存解析よりも高速に動かせ、メールゲートウェイやエンドポイントに組み込みやすい性質があるのです。

田中専務

それは頼もしい。ですが誤検知（False Positive）が多いと仕事が止まってしまいます。未知の攻撃にも効くと言いますが、どうして未知の手口に強いのですか。

AIメンター拓海

良い質問です。従来手法はファイルフォーマットの構造に依存することが多く、その構造を少し変えられるだけで見破られてしまいます。これに対してエントロピー信号はファイル中に埋め込まれた不自然なバイト列の“存在そのもの”を捉えようとするため、手口が多少変わっても異常な波形として現れやすいのです。ただし完全無敵ではなく、巧妙な埋め込みや正規コンテンツの似た分布と混ざると誤検知は起き得ます。運用では閾値調整やヒューマンの確認を組み合わせることが現実的です。

田中専務

これって要するに悪いコードの分布や痕跡を統計的に見つけるということ？現場向けに要するに一言で言うとどう説明すればよいでしょうか。

AIメンター拓海

まさにその理解で合っています。現場向けの一言は、「ファイル内部の数値の波を見て、普段と違う波を機械が見つける仕組み」です。ここでのポイントは三つ、1) 形式に依存しない検知、2) 局所的な異常を拾う細粒度の特徴抽出、3) 既存の文字列検査と組み合わせて精度を上げる運用です。大丈夫、一緒に導入計画も描けますよ。

田中専務

技術面でもう少し突っ込んで伺います。どんな特徴を取るのですか。波形からどうやって判別するのでしょうか。

AIメンター拓海

専門的ですが噛み砕くと、論文は三種類の手法を使って波形から特徴を取っています。Wavelet Energy Decomposition（WED、ウェーブレットエネルギー分解）は波形の局所的なエネルギーを捉え、Detrended Fluctuation Analysis（DFA、デトレンデッド変動解析）は長期依存やトレンドを評価し、Mean Change Point Modeling（平均変化点モデリング）は急な変化点を検出します。これらを組み合わせ、さらに文字列ベースの特徴（例: 特定のバイト列の出現）と合わせて機械学習に学習させます。

田中専務

ファイル形式についても気になります。WordやPDFなど形式で分けて対処するのではなく、本当に形式に依らないのですか。

AIメンター拓海

原理上は形式非依存です。OfficeファイルやPDFはいずれも内部に構造化データとコンテンツを持ち、悪意あるコードはコンテンツ領域や埋め込み領域に現れます。エントロピーはその領域のバイト分布に敏感に反応するため、形式の違いを横断して異常を検出できる強みがあります。ただ実装時は形式ごとの正規のパターンを学習データに含めて誤検知を減らす配慮が必要です。

田中専務

学習用のデータはどう確保するのですか。うちの会社は大量にメールを保存しているわけでもなく、訓練データが足りないのではと心配です。

AIメンター拓海

実務的な問題ですね。論文では既存のマルウェアリポジトリや公開サンプルを使って訓練しています。運用する際はベンダー提供モデルを利用するか、社内ログで逐次学習させるハイブリッド運用が現実的です。データが少ない場合は転移学習やデータ拡張で初期モデルを補う方法もあります。大丈夫、一緒に導入フェーズを設計すれば投資対効果は見積もれますよ。

田中専務

分かりました。要点を整理しますと、ファイルの中身の“波”を見て異常を検出し、形式に縛られず導入できる。誤検知やデータ不足は運用設計でカバーする、という理解でよろしいですか。私の言葉でまとめますと、ファイルの中にある不自然な波形を見て悪いものを見つける、といったところですね。

AIメンター拓海

その通りです。素晴らしいまとめです。では次に、実際の導入ステップや会議で使える短い説明文を一緒に用意しましょう。大丈夫、一緒にやれば必ずできますよ。