SIMを上手に使いこなす[前編]

業務中にSkypeやIMを使っているのは誰だ?

二木 真明
住商情報システム株式会社
セキュリティソリューション事業部
事業部長補佐(技術担当)
CISSP
2005/11/8

 特集記事「セキュリティ情報マネジメント概論」で3回にわたって、セキュリティ情報マネジメント(SIM)製品を機能面から解説した。しかし、SIMを実際に使いこなすためには、最初にそれを使って何がしたいのかを明らかにする必要がある。

 とはいっても、それはさほど難しいことではない。日ごろ、セキュリティを管理している中で「こんなことができたら……」というニーズがあるはずだ。SIMはそのようなニーズを満たすのを助けてくれるだろう。

 本稿では、実際に筆者がSIM(ArcSight社の「ArcSight ESM(Enterprise Security Manager)」)を利用して取り組んでいることを紹介する。ArcSight ESMはどちらかといえば大規模なサイト監視を得意とする製品である。

 しかし、現在は試験的に比較的狭い範囲のネットワークのみを監視させている。しかも、監視対象はインターネットに接続するためのファイアウォールとVPNサーバのみである。「いったいそれだけで何ができるのか」と思う読者も多いだろうが、これが案外使えている。

 ニーズはユーザーごとに異なると思うが、ケーススタディーの1つとして参考にしてほしい。

 未知ウイルス/ワームの感染を見つけ出す

 昨今、ウイルス対策ソフトをすり抜けてしまうウイルスやワームなどの不正ソフトウェアが増加している。これは、新種や亜種の登場頻度、拡散速度が極めて速く、ウイルス対策ソフトの更新が追いつかないケースが増加しているからだ。残念ながら筆者の会社でも年に何度かは感染事故が発生する。ウイルス対策ソフトの種類にかかわらずウイルス定義パターン配布の遅れは生じ得るし、ウイルスの配布方法はどんどん巧妙になるから、こうした事態は現在ではどんな組織にも生じ得るものだ。

 しかし、新種のウイルスがウイルス対策ソフトをすり抜けてしまえば、感染を発見するのはユーザーや周囲の人たちの「何だか変だぞ」というカンに頼るしかない。だが、カンの冴えたユーザーはそうそういないし、 すべてのウイルスが発見されるような症状を見せるとは限らない。 発見されたときにはすでに「手遅れ」だったこともしばしばだ。このような感染を、素早く見つけ出すことができないかというのが、筆者のSIM運用における最初の課題だった。

 不正プログラムの挙動はさまざまだが、たびたび感染を引き起こすウイルスやワームのほとんどがメールを介して広がる。このようなウイルス(マスメーラー型ウイルス)は、感染すると自分自身を拡散させるために「大量のメール」を「クライアントPCから直接」、外部に対して送信しようとする。

 企業のネットワークであればこのような通信は当然ファイアウォールを通過するので、通信ログに兆候が表れるはずだ。SIMを導入してファイアウォールの通信ログを監視対象にすれば、この兆候を検出するのは比較的容易である。

図1 不正プログラムの通信

 ファイアウォールのログから怪しい通信を洗い出す

 まず、ファイアウォールの通信ログのうち、メールサーバ以外から外部に向けたSMTP接続のログを抽出するためのフィルタを定義する。最近では、マスメーラー型ウイルス対策として、クライアントPCから直接、外部にSMTP接続することを禁止している組織も多い。このような場合は接続ログではなく通過拒否ログを使ってもよい。

 次に、定義したフィルタを通過したログ(イベント)に対し、あて先が異なるものを発信元アドレスごとに集計処理(アグリゲーション)する。例えば、「1分以内に10個以上のあて先に対してSMTP接続を試みた発信元」のみを抽出するようにしきい値を設定しておけば、ウイルスに感染したホストの多くがこの条件を満たすはずだ。

 しきい値は、組織の利用状況に応じて調整する。例えば、同報通信メールを多用する組織ではしきい値を少し高めにするか、そうした業務を行うことが分かっている特定のPCを除外しておく。このような処理はSIMが持つ関連性(相関)分析機能を使えば簡単にプログラムできる。このチェックは単純だが、しきい値をうまく調整すれば誤認をかなり減らすことができ、ウイルス感染の発見には威力を発揮する。

 ネットワークワームを検知する仕掛け

 メールを送信せず、ネットワーク経由で攻撃を行いながら拡散するタイプのネットワークワームではどうだろう。これを検知するための仕掛けは、マスメーラー型に比べると少し厄介だ。

 ネットワークワームは、感染行動に際してポート(ホスト)スキャンを行うものがほとんどだ。pingや攻撃対象となるサービスポートに対するアクセスが連続的に発生する。ポートスキャンの検出は、原理的には前述した連続メール送信検出と同じだ。

 しかし、SMTPのみに着目すればよいメール送信検出とは異なり、さまざまなサービスを対象とするポートスキャン検出は、単純にしきい値調整のみでは多くの誤認が発生する。なぜならば、ポートスキャンに類似のネットワークアクセスを行うアプリケーションが多数存在するからだ。

 特に、いわゆるPtoP(ピア・ツー・ピア)系アプリケーションの多くは、複数の異なるアドレスに対して、バラバラなポート番号で連続した通信を試みる。これらとワーム感染をログだけから区別することは困難だ。

 筆者が最も困ったのは、最近流行の「Skype」である。このアプリケーションは起動時に親ノードとなる複数のノードに対して通信を行う。 最近では組織内部から任意のポート番号による外部通信を禁止する組織も多いが、 Skypeは、まずUDPのランダムなポート番号にアクセスを試み、それがダメならTCPでランダムな番号を、それもダメならHTTPで、というように順次通信を試みる。この過程が、先のワーム検知の仕組みに引っ掛かってしまうのだ。

 Skypeほどではないが、インスタントメッセンジャー(IM)も同様の誤認を引き起こす。最近ではIMが仕事でも多用されており、簡単に利用を禁止できないため厄介だ。こうしたアプリケーションの誤認を回避するためには、そのアプリケーションユーザーを特定するという作業が必要になる。

1/2

Index
業務中にSkypeやIMを使っているのは誰だ?
Page1
未知ウイルス/ワームの感染を見つけ出す
ファイアウォールのログから怪しい通信を洗い出す
ネットワークワームを検知する仕掛け
  Page2
SkypeやIMユーザーを特定する
ワーム検知の改良

セキュリティ情報マネジメント概論
  SIMで企業のセキュリティを統合管理せよ
  セキュリティ情報マネジメントの仕組みを技術的に理解する(1)
  セキュリティ情報マネジメントの仕組みを技術的に理解する(2)

SIMを上手に使いこなす
  業務中にSkypeやIMを使っているのは誰だ?
  不審な通信や無許可ホストを見逃さない

業務中にSkypeやIMを使っているのは誰だ?


Security&Trust フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)
- PR -

イベントカレンダー

PickUpイベント

- PR -

アクセスランキング

もっと見る

注目のテーマ

Security & Trust 記事ランキング

本日 月間
ソリューションFLASH