This page is intended for users in Singapore. Go to the page for users in United States.

[創業者対談]クラウドエース×株式会社FFRI(2/3)

Part 2: 立ち上げ当初から製品のリリースまで

前回の記事はこちら

吉積: 前の会社は何年くらいいたんですか?

鵜飼さん: 4年くらいですね。

吉積: 4年もいたんですね!やめた後はすぐに日本に帰ってきて起業したんですか?

鵜飼さん: そうですね。

吉積: 1人で?

鵜飼さん: 今のCTOの金居と一緒に 起業しました。最初は1人だったんですけど、北米にいる時に、途中で金居が入ってきて。彼も結構有名なエンジニアで、当時(90年代)にネットで活動していた時にもいた、数少ない日本人の1人だったんです。

eEyeでは、日本の展開もやるぞっていうことで、製品を日本語化するプロジェクトチームを作るっていうので数人入って、最終的には5人くらいの日本人がいましたね。

吉積: 金居さんも想いは同じだったんですか?

鵜飼さん: そうですね。彼も元々研究開発エンジニアで、気質が私と似ていたので、どうせやるなら自分たちでやりたいよねっていう。ただ、両方ともエンジニアなので、「起業とはなんぞや?」という感じで(笑)全く知らずに立ち上げて、よく生き残れたなと思いますね。

吉積: 普通は、もう1人、営業的な人が入ってきたりしますよね。

鵜飼さん: ファイナンスとかね。元々北米でも色んな活動をやっていて、日本でもお客さんとかパートナーさんとか、会社というよりも人と繋がっていて。そういった方々に助けられたので、意外と環境には恵まれていたかな、と思います。

吉積: 論文とかで名前が売れてたので、日本に帰って来てもそのまま活動ができたんですね。 

鵜飼さん: そうですね。日本のセキュリティ業界の人ともお話をする機会もあったので。前職で製品を作って、日本での展開もやっていたので、人脈ができていたのは非常に助けになったと思います。

吉積: 立ち上げはあまり苦労されなかったとのことですが、その後苦労された点などありますか?

鵜飼さん: 一番苦労したのは、2009年から10年ですかね。あの頃は非常に大変でした。弊社製品の「FFRI yarai」の研究開発を始めたのが創業から少したった頃くらいで、そのリリースが2009年なんです。そうは言ってもセキュリティって製品作るだけじゃなく、色んな問題があるので、その問題をお客さんとかパートナーさんとかと、解決していたんですね。

最初はスポットで案件を受けていたので割と楽だったんですが、FFRI yaraiを本腰入れて作るぞ、となって、人をたくさん入れだして。ソフトウェアを出してそこで事業をやっていくんだ、と。

そこで大きく舵を切って、そこから売れるまでに非常に時間がかかったんですね。新しい技術を作って、それを売っていくまでに時間がかかったのがしんどかったのはありますね。 



吉積: そこは専門というか、営業部長的な人を入れようとは思わなかったんですか?

鵜飼さん: まあいたんですけど、製品自体がものすごく新しいコンセプトで、マーケットがなかったんですね。なので、なんにもないところからマーケットを作っていくってところになると、単純な営業活動だけじゃなくて、他の活動を並行してやっていかなければならなかった。

FFRI yaraiは、今で言う所の「NGAV」とか「NGEPP」の、次世代アンチウイルスってカテゴリーの製品なんです。いわゆる普通のウイルス対策ソフトってパターンファイルになっていて、世界中のウイルスを集めて、それを一個一個パターンファイルにして、その膨大なデータベースをマッチングして使うっていうのが基本なんですね。

ただ、当初から新しい脅威っていうのが見えていて。例えば標的型攻撃みたいな、特定の相手を狙ってマルウェア感染させて情報を抜いて来たりだとか。特定のところを狙うので、マルウェアのサンプルが集まらないんですね。そうすると、パターンデータベースに載せられないので、絶対検知されないという問題があって。こういうものどうするんだっていうのがエンジニアの世界では問題になっていました。

コンピューターウイルスも自動生成するって技術が色んなところで研究されていて、自動生成されると何が起きるかっていうと、1日に5000~6000とかのの規模感のウイルスであれば、頑張れば集められるし、パターンハブ作って配信もできるんですけど、今って1日30万とかできてるんですね。自動生成できるので。パターンデータベースに、とてもじゃないけど乗らないぐらいのウイルスをいくらでも作れちゃう。こういう技術が普及した時に、どうするの?っていう問題があったんです。

普通に考えて、パターンデータベースには限界があるので、パターンに頼らないやり方で、検知しないとダメだというのは前々から言われていて。それをエンドポイント向けに初めて作ったのが我々で、FFRI yaraiという製品が、おそらく世界で一番最初です。

吉積: 世界で初なの?

鵜飼さん: 私の知る限り一番最初です。今はウイルス対策ソフトの、昔ながらのシマンテックとかがいくつかありますけど、NGAVとかはまた別のトリガーがあって。一応我々が一番最初です。

当時、パターンファイルを捨てるって宣言をして、製品を出し、一部の人には受けが良かったんですけど、実はパターンファイルが破綻してるっていうのを知っている人はごくごく一部なので、よくセキュリティを知っている人にしか刺さらなかったんですね。マーケットでは、今までのアンチウイルスソフトと何が違うの?みたいな風に言われるので。

吉積: 実績が安心だよね、みたいな?

鵜飼さん: 当然実績もあるし、「まあ、困ってないですから」みたいな感じで。当然そういう反応をされるかなとは思いますけれど、困ってないのは検知も防御もできてないから、っていうのもあるんですけどね(笑)。ある意味そういう時代で、マーケットの認知が広がってくるまでが大変でしたね。

吉積: でも、それまでに資金調達はできたんですよね?どうやったんですか?

鵜飼さん: ベンチャーキャピタルですね。

吉積: ベンチャーキャピタルの人に、その話を理解してもらうの難しくないですか?

鵜飼さん: そうなんですけど、意外とウイルスソフトのパターンマッチングっていうのはこういう風に破綻していて、っていうのをちゃんとデータを持って説明すれば、割と誰でもわかる話ではあるんですね。そこはそういうことになってるんですねっていうのを理解していただいて。

逆にいうと、これって説明をするとわかる話なんですが、説明をしないと絶対に届かないし、わからない話なので、マーケットをこれから作っていかなければならないんですね。ここが非常に大変でした。担当者の方に話をして、「これは確かに必要だよね」って理解してもらっても、その人が今度は上を説得しなきゃならないし。コンセンサスができていないので、必要性を理解してもらうのがすごく大変でしたね。

吉積: 当時から、自動生成されて何十万もできちゃうっていうのはわかっていたんですか?



鵜飼さん: そうですね。そういった攻撃の技術自体も何年も前からコンセプトはできていたので。我々のような研究をしてきた人間には、その事実は珍しくもなんともないのですが、結局FFRI yaraiって振る舞いとか構造情報とか、メタなとこだけで検知をするっていう技術なんです。パターンファイルを捨てるという宣言をしても、それは流石に無理だろ、みたいな感じで、誰も手をつけなかった部分に一歩踏み込んだっていうのが、我々が最初にやったことだと思ってます。

吉積: 僕はその分野あまり詳しくないんですが、検知率みたいなのあるじゃないですか?第三者機関評価みたいなのってあるんですか?

鵜飼さん: 第三者機関評価も、その技術に全然追いついていなくて。当時やっていたのって「今年流行ったウイルスベスト100」みたいなもので、そりゃパターンマッチングが一番点数でますよって話なんですよ(笑)

ただ、実際のところ発生してすぐのウイルスって検知できないですし、評価機関もウイルスの検知ができないので、そこの見せ方も最初苦労しましたね。

標的型攻撃だったり、いわゆるウイルス対策ソフトが効かない事例っていうのが急に出始めたのが2011年で。標的型攻撃で防衛関連企業がやられて、防衛機密が某国にバレましたみたいな記事が一般紙にバーンと出て、そこから急激にモメンタムが変わったんですよ。それまでもIT専門誌とかセキュリティ専門誌ではそういう事例っていっぱい出ていたんですけどね。

その時に我々の製品と事実を担保するために、実際に色んなところのインシデントで本当に使われたサンプルを入手して、FFRI yaraiが入っていたら止められたか、っていう検証をして、そのレポートを上げ始めたんですね。アップデートしてではなくて、前々から防御できてたっていうのを載せるようにして。

例えば、ウイルス発生が2010年の1月だったとして、2009年の1月に出したエンジンで防御できてました、みたいな。エンジンをリリースした時期と実際に報道した時期をセットにして。

FFRI yaraiはパターンファイルを持っていないので、しょっちゅう更新する必要もなくて、年に2回くらいなんですよ。なのでエンジンのリリース日も特定されていて、それで、未来のものを防御できていたっていう事例がいっぱい溜まって来て、それをずっとウェブに上げ続けているのが我々だったということですね。

ベンダーにとってのリスクは、ものすごい大きいインシデントが発生した時に、検知防御できましたリストの中に載っていないと、当然ダメでしたよねっていう風になるので、メジャーなものを、もし防御できなかったら大変なことになります。幸いにして2009年のリリースから、ずっと事例を上げ続けてるんですけど、メジャーなものは一応全て防御できています。

吉積: マイナーなものは100%ではない?

鵜飼さん: 100%ではないですね。名前がついていないものとか、漏れはあります。

吉積: こういうのって、パターンファイルのやつと両方入れた方がいいんですか?

鵜飼さん: そうですね。それもよく聞かれるんですが、得意な分野が違うので。パターンファイルでしか防御できないものもあるんですよね。

例えば、よくウェブサイトで出る「ウイルスに感染したのでこのウイルス対策ソフトを買ってください」みたいなやつあるじゃないですか。で、それを買ってインストールするんだけど、実際はウイルス対策プログラムが何も入ってないものだったといった詐欺行為。こういうのって中身が入っていないので、悪意のある事もなにもしないんですね。構造情報も普通のソフトウェアに見えます。

こういうソフトウェア自体が悪意のある動作をしないソフトウェアを、振る舞い検知で防御しようと思うとものすごく大変ですし、逆にするべきじゃないと思っているんです。そういうのはパターンファイルが得意ですし、FFRI yaraiはパターン型ウイルス対策ソフトと並行してお使いいただくのが、ほぼ大多数ですね。

世界初の次世代アンチウイルスソフトウェア発売、そして発売後の世間に認知されるまでの苦労をお話ししていただきました。

次回は、「上場を決意した瞬間」、そして「いま改めて感謝すること」です。

クラウドエース株式会社's job postings
4 Likes
4 Likes

Weekly ranking

Show other rankings