振る舞い検知型IPSの技術解説

後編　“振る舞い検知”の裏側にある技術

出雲　教郎
日本ラドウェア株式会社
技術本部ソリューション・アーキテクト
2009/6/1

前編「従来型IPSの課題と解決策」では、ボットネットやゼロデイアタックなどの脅威に対し、IPSがどのように対処しているのかを解説しました。後編では攻撃トラフィックがネットワーク上でどう振る舞うかを具体的に紹介します（編集部）

　振る舞い検知のアルゴリズムは、その対象となる脅威ごとに統計となる情報を決め、いくつかの統計情報を相関分析して判定する。ネットワーク全体への脅威としては、DoS攻撃、DDoS攻撃が挙げられるが、主にトランスポート層のプロトコルであるTCPやUDP、またネットワーク層のIPプロトコルの特性を悪用したものが多い。クライアントコンピュータの脅威としては、ワームやマルウェア、ボットの拡散行為が挙げられ、サーバコンピュータの脅威としては不正アクセスやアプリケーションへの過剰アクセス攻撃が挙げられる。

　後編では、まずネットワークの振る舞い分析として、その代表的な通信方式であるTCPプロトコル、UDPプロトコルに対し、振る舞い検知型IPSがどのように統計情報を学習し、分析して処理しているかを解説する。そのあとクライアントの振る舞い分析手法、サーバの振る舞い分析手法を続けて解説しよう。

　ネットワークの振る舞いを分析する

　TCP通信では「SYN」、「ACK」、「FIN」などのフラグを付けてパケットを送信することにより、トランスポート層における接続の一貫性を保証する通信を実現している。振る舞い検知型IPSでは、TCP通信の振る舞いを分析するにあたり、各TCPセッションごとにどのフラグがどの程度使われているかを調べる。具体的には、「SYN」フラグに対しての「ACK」フラグの出現量、また「FIN」フラグの出現割合がどの程度になっているかを統計して分析する。

【注】
ここでは詳細に説明しないが、TCP通信ではシーケンス番号など、そのほかにもいくつかのメカニズムを用いている。

図1　TCP通信のセッション確立まで

　TCPプロトコルでは、最初にセッションを開始するときだけ「SYN」フラグが付加されたパケットを送受信し、セッションを確立したあとはアプリケーションのデータが入ったパケットや、「ACK」フラグが付けられた応答パケットをやりとりする。通常の通信におけるこれらのフラグの送受信回数を、それぞれのTCPセッション当たりで統計を取ると、セッションにおける各フラグのパーセンテージはおおむね同じ比率に落ち着く。

　振る舞い検知のアルゴリズムでは、このTCPセッションにおけるフラグの分散具合と、ベースラインに対するトラフィックレートの変動率を相関分析し、攻撃が行われているかを判断する。SYNフラッディングが発生した場合は、そのTCPセッションの中でSYNパケットが100％になるため、トラフィックの量が増加したこととあわせて攻撃と判定し、該当するパケットを抜き出してフィルタを作成する。

　正常なアクセスがスパイクした場合は、通常、そのセッションの中でSYNフラグのついたパケットは2回しか送受信されず、そのほとんどがアプリケーションのデータパケットである。そのように正常なフラグの分散比率であれば、例えアクセスが殺到（トラフィックがスパイク）したとしても攻撃と誤判定することはない。

　UDPプロトコルの場合は、接続の一貫性を保証するものではないため、TCPプロトコルのようなフラグは存在しない。しかし、UDPパケットを受信したホストは、受信が正常に行われていないときにICMPパケットを使い、状況を送信者に通知する。UDPプロトコルに対する振る舞い検知アルゴリズムは、各UDPセッションに対するさまざまなICMPパケットの数を統計し、トラフィックの推移とあわせて相関分析を行う。

1/3

Index
後編　“振る舞い検知”の裏側にある技術
	Page1 ネットワークの振る舞いを分析する
	Page2 クライアントの振る舞いを分析するサーバの振る舞いを分析する
	Page3 フィードバックループによる最適化ターゲットはソフトウェアの脆弱性からサービスの脆弱性へ

Security&Trust記事一覧

Security&Trust フォーラム新着記事

Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。
WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。
Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
　代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する
侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。