振る舞い検知型IPSの技術解説
前編 従来型IPSの課題と解決策
出雲 教郎
日本ラドウェア株式会社
技術本部 ソリューション・アーキテクト
2009/5/22
インターネットセキュリティの世界で浸透する不正侵入防止システム、IPS（Intrusion Prevention System）。本記事では「不正な通信の振る舞いをもとにシャットアウトする」という言葉の裏にある、課題と技術を解説します（編集部）
いかにして新たな脅威に追従するか
従来のIPS製品では、パケットのペイロードまでを含んだパターンマッチングのフィルタ（以下、シグネチャ）を作成、正確にウイルスやマルウェア、ワームの拡散、脆弱（ぜいじゃく）性をつくアタックを検出し、防御する方法を用いてきた。この技術は各パケットのデータペイロードまでを正確、かつ高速に検査できるIPS製品の処理能力と、いち早くシグネチャを開発してIPS製品に適用させる監視、開発そして運用能力が求められる。
各IPSベンダは、自前のインシデント監視センターにて365日24時間、インターネットで発生するインシデントを大規模な体制で継続して監視し、IPSの運用サイクルとして「検出、フィルタリング、防御、最適化」を行い、どれだけ速く脅威に対応できるかが差別化要素となり、IPS製品の競争力を補完している。
 |
| 図1 シグネチャ型IPSの運用サイクル |
これらのIPS運用形態に対し、技術的に新しいアプローチの方法が模索され、それが実用化されるようになってきた。そのうちの1つが「振る舞い検知」と呼ばれる技術だ。
振る舞い検知型IPSでは、装置自身がネットワークの「振る舞い」を検出し、シグネチャがなくとも装置自身でリアルタイムに攻撃を防御する。従来のシグネチャ型IPSのようなインシデント監視センターによる介入の必要性がなく、装置の中だけの閉じた世界で一連の運用サイクル「検出・フィルタリング・防御・最適化」が実行される。
 |
| 図2 振る舞い検知型IPSの運用サイクル |
本題である振る舞い検知型IPSの技術論に入る前に、シグネチャ型IPSの課題についておさらいし、振る舞い検知型IPSがどのように解決しているかを簡単に記述する。「DoS攻撃防御製品の仕組みと特徴」の記事で記述した内容と一部重複するが、復習として概要を記載しよう。
シグネチャ型IPSの課題
われわれが日常的に活用しているコンピュータの世界では、さまざまなレベルのセキュリティ監査を行う組織で、その脆弱性に関する研究が行われ、報告されている。アンチウイルス製品やIPS製品などを提供するセキュリティベンダは、それらの監査組織を自ら持つか、あるいはなんらかの契約などにより情報交換するルートを持って連携を取りながら、発見された脆弱性に製品として対応している。
JPCERT/CCなどの情報を確認しても、近年ではおおむね500件前後のインシデントが四半期ごとに報告されている。この数がそのまま追加するべきシグネチャ数とイコールになるわけではないが、これらの脅威にシグネチャ型IPSで対応するためには、相当数のシグネチャの追加が恒常的に必要になることは容易に想像できるのではないだろうか。
1/3 |
 |
| Index | |
| 前編 従来型IPSの課題と解決策 | |
 |
Page1 いかにして新たな脅威に追従するか シグネチャ型IPSの課題 |
| Page2 ハードウェア処理能力の限界 ゼロデイアタックは対策できないのか ボットネットを使った攻撃を守るには |
|
| Page3 振る舞い検知型IPSとは 統計学的分析手法をIPSに取り入れると |
|
 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
