システムコール異常検知（しすてむこーるいじょうけんち）
最終更新：2026/4/28
システムコール異常検知は、オペレーティングシステムが提供するシステムコールの利用状況を監視し、通常とは異なるパターンを検出するセキュリティ技術である。
別名・同義語 異常検知システムコール監視
ポイント
マルウェアや不正アクセスは、通常とは異なるシステムコールシーケンスを利用することが多いため、異常検知は重要な防御手段となる。誤検知を減らすためのチューニングが重要である。
システムコール異常検知の概要
システムコール異常検知（System Call Anomaly Detection）は、オペレーティングシステム（OS）が提供するシステムコール（OSの機能を利用するためのインターフェース）の利用状況を監視し、通常とは異なるパターンを検出することで、悪意のある活動やシステムへの不正アクセスを検知するセキュリティ技術です。マルウェアや攻撃者は、OSの機能を悪用するために、通常の使用状況とは異なるシステムコールの組み合わせやシーケンスを使用することが多いため、システムコールを監視することで、これらの異常な活動を特定できます。
システムコール異常検知の仕組み
システムコール異常検知は、主に以下の2つのアプローチで実装されます。
- 統計的アプローチ: システムコールの利用頻度、呼び出しシーケンス、引数などを統計的に分析し、正常な利用パターンを学習します。その後、学習されたパターンから逸脱するシステムコールの利用状況を異常として検出します。
- 機械学習アプローチ: 機械学習アルゴリズム（例：教師あり学習、教師なし学習）を用いて、システムコールの利用状況を学習し、異常なパターンを識別します。このアプローチは、より複雑な異常パターンを検出するのに適しています。
システムコール異常検知の課題
システムコール異常検知には、いくつかの課題があります。
- 誤検知: 正常なアプリケーションの動作が、異常として誤って検出される可能性があります。誤検知を減らすためには、システムの利用状況を正確に学習し、適切な閾値を設定する必要があります。
- 回避: 攻撃者は、システムコール異常検知を回避するために、システムコールの利用パターンを巧妙に隠蔽したり、正常なアプリケーションの動作を模倣したりする可能性があります。
- パフォーマンス: システムコールの監視は、システムのパフォーマンスに影響を与える可能性があります。効率的な監視メカニズムを実装し、オーバーヘッドを最小限に抑える必要があります。
システムコール異常検知の応用
システムコール異常検知は、以下の分野で応用されています。