AppGuard

AppGuardとは、AppGuard, Inc.およびBlue Planet-works, Inc.が開発・販売を行っている、エンドポイント用セキュリティ対策ソフトウェア製品の総称である。

1. 概要
-----

エンドポイント内の全てのアプリケーションまたはディレクトリ単位に、ポリシーと呼ばれるアクセスコントロールを設定することで、コンピュータウイルスやマルウェアを含む、不正なプログラムの実行から防御をすることを目的にしたソフトウェア製品である。その特性はホワイトリスト型ウイルス対策製品に近い概念も含まれているが、独自の特許技術を備えており、「OSプロテクト型」という新概念を提唱している。またゼロトラストセキュリティモデルの側面も持ち合わせている製品である。

2. 基本概念
-------

エンドポイント対して詳細なMACを行うことで、ホワイトリスト型ウイルス対策製品と同様にウイルスやマルウェアに対して強固な防御性能をもつことが可能となる。一種のアプリケーション・ハードニング製品であり、Linux製品で実装されるSE Linux同様に、従来のアンチウイルス製品では検知駆除が困難な、ゼロデイ攻撃型のウイルスやマルウェアへの対策製品である。一方、従来のホワイトリスト型では課題となっていたアプリケーション単位での起動可否の設計・設定等の運用面において、利用者の負担を軽減できるような仕組みが用いられているため、オフィス環境のエンドポイント対策としても、運用がし易い製品となっている。

2.1. 製品ラインナップ
-------------

製品群としては以下ラインナップとなっている

AppGuard Enterprise - Windows クライアントOS版
AppGuard Solo - Windows クライアントOS版
AppGuard SBE- Windows クライアントOS版
AppGuard Server - Windows サーバOS版
AppGuard Home Edition - Windows クライアントOS版
AppGuard Industrial - 産業用PC向けOSプロテクト型エンドポイントセキュリティ

3. システム構成
---------

エンドポイントにAppGuard エージェント・ソフトウェアをインストールすることで、エンドポイント内の不正なプログラムの実行に対する防御機能を発揮する。
AppGuard におけるポリシーとは、アプリケーションまたはディレクトリ単位にアクセスコントロールによる防御ルールを設計・設定し、定義を行うものである。
ポリシーの設定管理は、AppGuardの管理サーバシステム群にて集中管理を行い、エンドポイント内ではポリシーを管理する機能はない。
AppGuard Management Systemで設定したポリシーをエージェントに配信することで、設定を反映する。またエージェントの通信が確立されない場合でも、エンドポイント内のポリシーにより防御機能は維持される。
AppGuard Management SystemはMSPベンダによる共有環境のクラウド型での提供の他に、専有環境としてプライベートクラウド型、オンプレミス型での利用が可能となっている。
AppGuard SoloとAppGuard Home Editionは、スタンドアローン管理型の製品のため、エンドポイント内でポリシーの設定管理を行う。
AppGuard Serverについても、AppGuard Enterprise 同様にエンドポイントにエージェントをインストールして、AppGuard Management Systemでポリシーの集中管理を行う。

4. 防御概念
-------

4.1. AppGuard の3つの基本機能
----------------------

前述の概要でも記載しているが、AppGuardではポリシーにより防御の判断を行っている。ポリシー設計では以下3つの機能を組み合わせてMACの設定を行うことで、エンドポイント上での不正プログラムの起動を阻止することができる。

１．ディレクトリ単位でプログラムの実行可否を管理

Windowsでは、システムスペースとユーザースペースという２つの概念が存在する。AppGuardでは、システムスペースは信頼できる領域として、プログラムの実行を許可する領域として定義し、ユーザースペースは信頼できない領域として、プログラムの実行を禁止する領域として定義されている。

本機能による効果：ユーザースペースにおけるドライブバイダウンロード攻撃や、ユーザーによる不正プログラムの起動を防止する。従って一般的なマルウェアの侵入経路となっている、メールの添付ファイルや、ブラウザからのダウンロード、USBメモリなどによる手法では、不正プログラムが設置されたとしても起動することは不可能となっている。　

２．アプリケーションの隔離

AppGuardのコア・テクノロジーであり「Trusted Enclave」と呼ばれる、”アプリケーションを隔離する”特許技術である。上記１．のシステムスペースで起動するプログラムにおいては、隔離設定を付与することで、レジストリ、メモリ領域、システムスペースへのアクセスが禁止される。ウイルス・マルウェアに利用されるリスクが高い、一部のアプリケーションについては初期設定でこの隔離設定が実装されている。

本機能による効果：コマンドプロンプトやPowerShell操作におけるレジストリ、メモリ領域、システムスペースへのアクセスが禁止されることで、マルウェアによる他プログラムを利用した不正な起動を阻止する。

　

３．ポリシーの継承

上記２．の隔離設定は、個々のプログラムに適用されるが、派生する子プロセス、孫プロセスにも親プロセスのポリシーが継承される。

例えば、マルウェアが実装されているpdfファイルのリンク先が記載されているフィッシングなどの不正なメールを受信した場合、以下のようなStepでの挙動が想定されるが、Step1のOutlookに適用されているポリシーが、Step4のマルウェアの起動まで継承されることでマルウェアの起動を阻止することができる。

　　Step1：Outlook等でメール本文内のリンク先を開く。

　　Step2：Google Chrome等が起動されて、pdfファイルをダウンロードを行う。

　　Step3：Adobe Acrobat Reader等が起動されて、pdfファイルが開く。

　　Step4：pdfファイル内に埋め込まれたマルウェアが起動し、コマンドプロンプトやPowerShell操作において、不正なプログラム処理が開始される。

本機能による効果：親プロセスから派生する子プロセスや、孫プロセスなどのアプリケーション個別の登録をせずともポリシーが継承され、マルウェアから防御することができる。

5. その他
------

5.1. 特許技術
---------

Trusted Enclaves 

5.2. CM
-------

長州力

5.3. 導入企業
---------

15,000社

5.4. 事例記事
---------

全日本空輸
戸田建設
電通国際情報サービス
ディーアールエス
ITガード

6. 外部評価
-------

6.1. 150億円の資金調達
---------------

2018年1月から2020年12月までの設立3年以内で資金調達を実施した国内スタートアップランキング20社において、メーカーであるBlue Planet-worksが、累計150億円の調達でトップであった。

6.2. 内閣サイバーセキュリティセンターからの評価
--------------------------

内閣サイバーセキュリティセンターが平成30年7月25日に発行している「政府機関等の対策基準策定のためのガイドライン」で、未知の脅威への対策としてシグネチャファイルに依存しない方式の製品の有効性が記述された。

7. 脚注
-----

7.1. 出典
-------

8. 外部リンク
--------

[1]
[2] 
[3]
[4]
[5]
[6]