質問: マルウェア分析に際して、「カーネルモードモニター」が重要なのはなぜですか?
回答: 最新型のマルウェアの作成者はサンドボックス技術についても承知しているため、マルウェアには、外部プロセスがファイルを監視していることを検知した場合に悪質なアクティビティを停止または隠蔽する機能が搭載されている場合があります。第1世代の従来型サンドボックスモニターは、アプリケーション層(ユーザーモード)で動作し、システムライブラリーの呼び出しを傍受していたため、検知されやすくなっていました。それに対しfalcon sandboxは、オペレーティングシステムレベル(カーネルモード)での監視を実現しました。ターゲットプロセスにはタッチしないため、これを検知することは非常に困難です。falcon sandboxのカーネルモードモニターは、実際に出回っている最新型のマルウェアサンプルに対し堅牢かつ非常に有効であることが実証されています。世界に通用するcrowdstrikeのアンチサンドボックスおよびアンチvm検知技術(pafishやvmdeなどのベンチマークツールによって明示されています)は、防御策を巧みに回避するマルウェアの分析を実現します。crowdstrikeは、新たな検知回避手法の一歩先を行くためfalcon sandboxを常に更新し続け、社内のベンチマークツールおよび毎日実地テストが行われているパブリックコミュニティ(hybrid-analysis.com)を活用してそのパフォーマンスを検証しています.