Help Net Securityは、Stairwellの創業者兼CTOであるMike Wiacek氏に、Backstoryについてインタビューしました。Backstoryは、1件のアラートを起点に、マルウェアの感染がどこまで拡大しているのかを外側へ向けて調べていくAIエージェントです。同氏は、公開済みのサンプル1件につき平均2.4件の未報告の変種が隠れているという主張の根拠となった調査手法、「関連する変種」とみなす基準、そしてStairwellが顧客の各エンドポイントで実行されるすべての実行ファイルを保存し続ける理由について説明しています。
Stairwellはこのたび、Backstoryという製品を発表し、これを「マルウェアの被害範囲を調査するエージェント型プラットフォーム」と表現しています。多くの人にとっては説明が必要なフレーズだと思います。Backstoryが具体的に何を行い、誰のためのもので、セキュリティチームが現時点では実現できていない何を達成できるようになるのか、平易な言葉で説明していただけますか。
今日の脅威の状況は、攻撃者側に大きく有利な方向へシフトしています。脅威アクターは今、悪意あるLLMを活用してAI生成マルウェアを大量に作り出し、従来型の防御をスタック全体で圧倒しています。かつては悪意あるキャンペーンは細部にまで気を配って作り込まれていましたが、攻撃者は今では、はるかに短い時間で、しかも格段に大きな規模でそれを作れるようになっています。
Backstoryは、世界トップクラスのアナリストが行うのと同じやり方で調査を実行するAIエージェントです。ただし、それをより速く、より大規模に、しかも自社環境全体を包括的に把握した上で行える点が異なります。
ほとんどの調査は1件のアラートから始まります。そして残念なことに、そこで終わってしまうことも少なくありません。生産性の指標に追われるSOCアナリストは、アラートをトリアージし、チケットをクローズしていきます。しかし、その被害範囲はどこまで及んでいるのでしょうか。これは単発の事象なのか、それとももっと大規模なキャンペーンの一部なのか。すでに封じ込めは完了しているのか。最初に侵害を受けたのはいつなのか。すべてのアラートについて、こうした問いに答える時間はまずありません。
攻撃者が投入するマルウェアは、1つだけということはほとんどありません。彼らは同じツールの少しずつ異なるビルド、つまり「変種」を複数投入し、それぞれを新しいものに見せかけて検知をすり抜けさせます。目の前にあるファイルは、全体像のほんの一部に過ぎないことがほとんどです。
Backstoryは、目の前にあるアラートを起点として、そこから外側へと調査を広げていきます。構造的に関連する変種を見つけ出し、共有されているインフラをたどり、過去の履歴全体を検索して、その脅威が出現したすべての場所を特定します。そして、ファイル、システム、時間軸を横断して証拠を追い続け、キャンペーンの全体像が見えるまで調査を進め、被害範囲全体をマッピングします。
現在、アナリストは複数のツールを行き来し、1つずつ指標を検索しながら、次にどの手がかりを追うべきかを判断することで、この全体像を組み立てています。Backstoryは、根拠となる証拠を可視化した状態を保ちながら、こうした調査上のピボット作業を自動的に実行します。
これは、あらゆるアラートの背後にある「実際にどこまで拡大したのか、そしてそれをすべて見つけ出せたのか」という問いに答えるための、SOCおよびインシデント対応チーム向けのツールです。
この発表の核となる数字は、公開されているマルウェアサンプル1件につき、公開レポートには載らなかった変種が平均2.4件存在するというもので、御社のデータセット全体では46,594件の未検出の悪意あるファイルに相当するとのことです。この結論に至った経緯を教えてください。御社の手法において「関連する変種」とはどのような基準で判定するのか、どの程度の類似度をしきい値として設定したのか、そしてコードを共有する無害なファイルや、同じプログラムを単に再コンパイルしたものを数に混入させないためにどのような対策を取ったのでしょうか。
私たちは、32のセキュリティベンダーおよび政府機関による、1,085件の公開済み脅威レポートを出発点としました。これらのレポートから、既知のキャンペーンの一部として既に文書化されていた19,418件のマルウェアサンプルからなるコーパスが得られました。
そこから、Stairwell独自のVariant Discovery技術を使って、このコーパス内の関連ファイルを特定しました。「関連する変種」とは、単にコードの一部を共有しているファイルすべてを指すわけではありません。私たちは、シグネチャの共有、インポートテーブルの類似性、コードの再利用、その他独自の指標など、複数の技術的シグナルを評価し、あるファイルが元のマルウェアと意味のある形で関連しているかどうかを判定しています。
この手法を用いて、公開済みのマルウェアサンプルに関連していながら、元の脅威レポートには一度も記載されていなかった46,594件の悪意あるファイルを特定しました。
より大きな観点で言えば、脅威レポートで公開されるマルウェアサンプルは、しばしば、はるかに大規模なキャンペーンのうち目に見える部分のひとつに過ぎないということです。
御社のアーキテクチャは「グラウンドトゥルース」と呼ぶ考え方を基盤としています。これは私の理解では、顧客のエンドポイントで実行されるすべての実行ファイルを継続的に収集し、永続的に保持し続け、新たな脅威インテリジェンスが得られるたびにそのアーカイブを再調査するというものです。これが実際にどのように機能するのか、そして、アラートやライブテレメトリに基づいて推論するツールが同じ調査で見逃してしまう部分を、具体的にどのようにBackstoryが捉えられるのか、説明していただけますか。
Stairwellは、バイナリ、スクリプト、DLLを含む、顧客のエンドポイントで実行されるすべての実行ファイルを収集し、専用の環境で永続的に保存します。
これは、他のあらゆるセキュリティツールの動作方式とは完全に異なるパラダイムです。他社製品の多くはログに依存していますが、ログとは「何が起きたと観測されたか」を記述したものに過ぎません。保存期間を延ばすほど、ログの保存や検索にかかるコストは増大していきます。そして、ログが消えてしまえば、それに伴って調査能力も失われます。
私たちがこれを「グラウンドトゥルース」と呼ぶのは、あるデバイス上に実際に存在していたものそのものを保存しているからであり、それが何をしていたかについての伝聞情報ではないからです。すべてが保存されているため、「珍しさ」そのものが、攻撃者には定量化も克服もできない戦略的な強みになります。私たちは、あるファイルが顧客の環境内、さらにはすべての環境全体において、どれほど珍しいかを測定でき、それを単一の測定可能な値として示すことができます。ファイルの珍しさと、その変種群のレピュテーションを組み合わせることで、他のどの手法にもできない形でリスクを定量化できます。
Backstoryが、アラートやライブテレメトリに基づいて推論するツールには見えないものを見られる理由は次の通りです。
- 第一に、ある脅威が一度もアラートを発生させなければ、それはノイズの中に隠れたままになります。これは攻撃者が依拠している非対称性です。Backstoryはこうしたファイルを容易に追跡できます。ペイロードが着弾はしたものの実行されなかった場合もあります。実行はされたもののルールに一致しなかった場合もあります。当時は無害に見えた場合もあります。アラート主導のシステムでは、何もトリガーされなければ調査対象がほとんどありません。しかしBackstoryにはその制約がありません。すべてが常に調査対象となります。
- 第二に、そしてここが模倣が難しい部分ですが、時間の経過が問題にならなくなります。ファイルはStairwell内にバイト単位でそのまま常に保存されているため、Stairwellは新たな脅威インテリジェンスが得られるたびに、それらを何度でも再調査できます。6か月前には無害に見えたファイルも、再評価の対象になります。ライブテレメトリしか持たないツールは、そもそも保持していなかったものを後から遡って再調査することはできません。
今回のローンチのタイミングは、AI生成マルウェアの増加を強く意識したものだと感じます。攻撃者は今、シグネチャベースのツールが学習できるスピードを上回るペースで新しい変種を次々に生み出せるようになっている、という主張です。実際に、御社の顧客環境で意味のある規模のAI生成マルウェアを現在観測しているのでしょうか。それとも、これは脅威の今後の方向性についての予測に過ぎないのでしょうか。読者にはどちらなのかを明確に伝えたいと思います。
私たちは、顧客環境内のマルウェアのうち測定可能な割合がAIによって作成されている、と主張しているわけではありません。あるバイナリを調べて、それをモデルが書いたと確実に証明することはできません。今の時点で正確な割合を提示している者がいれば、データが裏付けていない確実性を売っているに過ぎません。
すでに現実になっているのは、攻撃者側の経済的な構造の変化です。AIによって、マルウェアを改変・テスト・個別最適化するのに必要な時間とコストが下がっています。攻撃者はもはや、何千もの被害者に対して同じサンプルを繰り返し使う必要がありません。
彼らは同じツールの多数の異なるバージョンを作り出し、一般的な防御策に対してテストを行い、そのうち突破できたものを実際に展開できます。
これは、同じファイルや挙動をどこかで先に観測することを前提とした防御に、大きな圧力をかけます。
Stairwellは逆の前提から出発します。つまり、最初のサンプルは未知のものかもしれない、という前提です。Backstoryは、そのファイルが構造的に何と関連しているのか、関連ファイルがどこに存在していたのか、その周囲に何が出現していたのか、そしてキャンペーンがどこまで及んでいるのかを、問いかけながら推論できます。これによって力学が変わります。自社の環境そのものを知っていることが、それ自体がセキュリティ対策となるのです。
したがって、正直に答えるなら、今日の時点で顧客環境内のAI生成マルウェアを確実に定量化できる者は誰もいません。しかし、「安価に生み出せる独自性」はすでに現実のものです。問題は、新しいサンプルのすべてが精巧になるということではなく、変種を生み出すこと自体がもはやコストの高い行為ではなくなったということです。
御社のアドバイザリーボードのメンバーの一人は、この考え方全体を「外にある『何が悪いか』を探すのをやめ、内にある『何が変わったか』を問い始めよう」という言葉で言い換えています。印象的な一文ですが、大企業内部における「何が変わったか」自体が、ソフトウェアの更新や構成の変化が絶えず起きている中で、それ自体が巨大でノイズの多い信号になり得ます。Backstoryはどのようにして、この問いをチームを別の洪水に溺れさせることなく、答えられるものにし続けているのでしょうか。
おっしゃる通りです。すべての新規ファイルにアラートを出せば、チームを別の種類の洪水に溺れさせるだけになってしまいます。
何千台もの端末や、Stairwellのより広範なコーパス全体に出現するChromeのアップデートは、ごくありふれたものに見えます。一方で、1台の財務部門のワークステーションだけに出現し、他のどこにも見られない新しい実行ファイルは、まったく違った様相を見せます。
この違いを見極める上で「出現頻度(prevalence)」は役立ちますが、珍しさだけで結論を出すことはできません。社内独自のソフトウェアも珍しい存在になり得ますし、マルウェアもありふれた存在になり得ます。
しかしBackstoryは、出現頻度の分析だけで終わりません。出現頻度を、構造的な類似性、ファイル解析、資産上での検出状況、タイミング、関連するアーティファクト、サイバー脅威インテリジェンス、そして共有インフラの情報と組み合わせます。
そこから証拠をたどり、次のような問いを立てて答えを出していきます。
- これは既知のマルウェアと関連しているか
- 他のどこに出現したか
- これの前後に何が到着したか
- 他にどのようなシステムやインフラとつながっているか
ここでの目的は、アナリストに珍しい事象の長いリストを渡すことではありません。ひとつの意味のある差異を見つけ出し、その証拠を自律的にたどって、全体の経緯が見えるようにすることです。これこそが、単に異常を見つけることと、インシデントを理解することとの違いです。
翻訳元: https://www.helpnetsecurity.com/2026/08/03/mike-wiacek-stairwell-backstory-malware-blast-radius/
