SIMを上手に使いこなす［前編］
業務中にSkypeやIMを使っているのは誰だ？
二木 真明住商情報システム株式会社
セキュリティソリューション事業部
事業部長補佐（技術担当）
CISSP
2005/11/8
特集記事「セキュリティ情報マネジメント概論」で3回にわたって、セキュリティ情報マネジメント（SIM）製品を機能面から解説した。しかし、SIMを実際に使いこなすためには、最初にそれを使って何がしたいのかを明らかにする必要がある。
とはいっても、それはさほど難しいことではない。日ごろ、セキュリティを管理している中で「こんなことができたら……」というニーズがあるはずだ。SIMはそのようなニーズを満たすのを助けてくれるだろう。
本稿では、実際に筆者がSIM（ArcSight社の「ArcSight ESM（Enterprise Security Manager）」）を利用して取り組んでいることを紹介する。ArcSight ESMはどちらかといえば大規模なサイト監視を得意とする製品である。
しかし、現在は試験的に比較的狭い範囲のネットワークのみを監視させている。しかも、監視対象はインターネットに接続するためのファイアウォールとVPNサーバのみである。「いったいそれだけで何ができるのか」と思う読者も多いだろうが、これが案外使えている。
ニーズはユーザーごとに異なると思うが、ケーススタディーの1つとして参考にしてほしい。
未知ウイルス／ワームの感染を見つけ出す
昨今、ウイルス対策ソフトをすり抜けてしまうウイルスやワームなどの不正ソフトウェアが増加している。これは、新種や亜種の登場頻度、拡散速度が極めて速く、ウイルス対策ソフトの更新が追いつかないケースが増加しているからだ。残念ながら筆者の会社でも年に何度かは感染事故が発生する。ウイルス対策ソフトの種類にかかわらずウイルス定義パターン配布の遅れは生じ得るし、ウイルスの配布方法はどんどん巧妙になるから、こうした事態は現在ではどんな組織にも生じ得るものだ。
しかし、新種のウイルスがウイルス対策ソフトをすり抜けてしまえば、感染を発見するのはユーザーや周囲の人たちの「何だか変だぞ」というカンに頼るしかない。だが、カンの冴えたユーザーはそうそういないし、 すべてのウイルスが発見されるような症状を見せるとは限らない。 発見されたときにはすでに「手遅れ」だったこともしばしばだ。このような感染を、素早く見つけ出すことができないかというのが、筆者のSIM運用における最初の課題だった。
不正プログラムの挙動はさまざまだが、たびたび感染を引き起こすウイルスやワームのほとんどがメールを介して広がる。このようなウイルス（マスメーラー型ウイルス）は、感染すると自分自身を拡散させるために「大量のメール」を「クライアントPCから直接」、外部に対して送信しようとする。
企業のネットワークであればこのような通信は当然ファイアウォールを通過するので、通信ログに兆候が表れるはずだ。SIMを導入してファイアウォールの通信ログを監視対象にすれば、この兆候を検出するのは比較的容易である。
 |
| 図1 不正プログラムの通信 |
ファイアウォールのログから怪しい通信を洗い出す
まず、ファイアウォールの通信ログのうち、メールサーバ以外から外部に向けたSMTP接続のログを抽出するためのフィルタを定義する。最近では、マスメーラー型ウイルス対策として、クライアントPCから直接、外部にSMTP接続することを禁止している組織も多い。このような場合は接続ログではなく通過拒否ログを使ってもよい。
次に、定義したフィルタを通過したログ（イベント）に対し、あて先が異なるものを発信元アドレスごとに集計処理（アグリゲーション）する。例えば、「1分以内に10個以上のあて先に対してSMTP接続を試みた発信元」のみを抽出するようにしきい値を設定しておけば、ウイルスに感染したホストの多くがこの条件を満たすはずだ。
しきい値は、組織の利用状況に応じて調整する。例えば、同報通信メールを多用する組織ではしきい値を少し高めにするか、そうした業務を行うことが分かっている特定のPCを除外しておく。このような処理はSIMが持つ関連性（相関）分析機能を使えば簡単にプログラムできる。このチェックは単純だが、しきい値をうまく調整すれば誤認をかなり減らすことができ、ウイルス感染の発見には威力を発揮する。
ネットワークワームを検知する仕掛け
メールを送信せず、ネットワーク経由で攻撃を行いながら拡散するタイプのネットワークワームではどうだろう。これを検知するための仕掛けは、マスメーラー型に比べると少し厄介だ。
ネットワークワームは、感染行動に際してポート（ホスト）スキャンを行うものがほとんどだ。pingや攻撃対象となるサービスポートに対するアクセスが連続的に発生する。ポートスキャンの検出は、原理的には前述した連続メール送信検出と同じだ。
しかし、SMTPのみに着目すればよいメール送信検出とは異なり、さまざまなサービスを対象とするポートスキャン検出は、単純にしきい値調整のみでは多くの誤認が発生する。なぜならば、ポートスキャンに類似のネットワークアクセスを行うアプリケーションが多数存在するからだ。
特に、いわゆるPtoP（ピア・ツー・ピア）系アプリケーションの多くは、複数の異なるアドレスに対して、バラバラなポート番号で連続した通信を試みる。これらとワーム感染をログだけから区別することは困難だ。
筆者が最も困ったのは、最近流行の「Skype」である。このアプリケーションは起動時に親ノードとなる複数のノードに対して通信を行う。 最近では組織内部から任意のポート番号による外部通信を禁止する組織も多いが、 Skypeは、まずUDPのランダムなポート番号にアクセスを試み、それがダメならTCPでランダムな番号を、それもダメならHTTPで、というように順次通信を試みる。この過程が、先のワーム検知の仕組みに引っ掛かってしまうのだ。
Skypeほどではないが、インスタントメッセンジャー（IM）も同様の誤認を引き起こす。最近ではIMが仕事でも多用されており、簡単に利用を禁止できないため厄介だ。こうしたアプリケーションの誤認を回避するためには、そのアプリケーションユーザーを特定するという作業が必要になる。
|
1/2
|
 |
| Index | |
| 業務中にSkypeやIMを使っているのは誰だ？ | |
 |
Page1 未知ウイルス／ワームの感染を見つけ出す ファイアウォールのログから怪しい通信を洗い出す ネットワークワームを検知する仕掛け |
| Page2 SkypeやIMユーザーを特定する ワーム検知の改良 |
|
| セキュリティ情報マネジメント概論 | |
| SIMで企業のセキュリティを統合管理せよ | |
| セキュリティ情報マネジメントの仕組みを技術的に理解する（1） | |
| セキュリティ情報マネジメントの仕組みを技術的に理解する（2） | |
| SIMを上手に使いこなす | |
| 業務中にSkypeやIMを使っているのは誰だ？ | |
| 不審な通信や無許可ホストを見逃さない | |
 |
業務中にSkypeやIMを使っているのは誰だ？ |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
