SIMを上手に使いこなす［前編］

業務中にSkypeやIMを使っているのは誰だ？

二木 真明
住商情報システム株式会社
セキュリティソリューション事業部
事業部長補佐（技術担当）
CISSP
2005/11/8

---

　特集記事「セキュリティ情報マネジメント概論」で3回にわたって、セキュリティ情報マネジメント（SIM）製品を機能面から解説した。しかし、SIMを実際に使いこなすためには、最初にそれを使って何がしたいのかを明らかにする必要がある。

　とはいっても、それはさほど難しいことではない。日ごろ、セキュリティを管理している中で「こんなことができたら……」というニーズがあるはずだ。SIMはそのようなニーズを満たすのを助けてくれるだろう。

　本稿では、実際に筆者がSIM（ArcSight社の「ArcSight ESM（Enterprise Security Manager）」）を利用して取り組んでいることを紹介する。ArcSight ESMはどちらかといえば大規模なサイト監視を得意とする製品である。

　しかし、現在は試験的に比較的狭い範囲のネットワークのみを監視させている。しかも、監視対象はインターネットに接続するためのファイアウォールとVPNサーバのみである。「いったいそれだけで何ができるのか」と思う読者も多いだろうが、これが案外使えている。

　ニーズはユーザーごとに異なると思うが、ケーススタディーの1つとして参考にしてほしい。

　未知ウイルス／ワームの感染を見つけ出す

　昨今、ウイルス対策ソフトをすり抜けてしまうウイルスやワームなどの不正ソフトウェアが増加している。これは、新種や亜種の登場頻度、拡散速度が極めて速く、ウイルス対策ソフトの更新が追いつかないケースが増加しているからだ。残念ながら筆者の会社でも年に何度かは感染事故が発生する。ウイルス対策ソフトの種類にかかわらずウイルス定義パターン配布の遅れは生じ得るし、ウイルスの配布方法はどんどん巧妙になるから、こうした事態は現在ではどんな組織にも生じ得るものだ。

　しかし、新種のウイルスがウイルス対策ソフトをすり抜けてしまえば、感染を発見するのはユーザーや周囲の人たちの「何だか変だぞ」というカンに頼るしかない。だが、カンの冴えたユーザーはそうそういないし、 すべてのウイルスが発見されるような症状を見せるとは限らない。 発見されたときにはすでに「手遅れ」だったこともしばしばだ。このような感染を、素早く見つけ出すことができないかというのが、筆者のSIM運用における最初の課題だった。

　不正プログラムの挙動はさまざまだが、たびたび感染を引き起こすウイルスやワームのほとんどがメールを介して広がる。このようなウイルス（マスメーラー型ウイルス）は、感染すると自分自身を拡散させるために「大量のメール」を「クライアントPCから直接」、外部に対して送信しようとする。

　企業のネットワークであればこのような通信は当然ファイアウォールを通過するので、通信ログに兆候が表れるはずだ。SIMを導入してファイアウォールの通信ログを監視対象にすれば、この兆候を検出するのは比較的容易である。

図1　不正プログラムの通信

　ファイアウォールのログから怪しい通信を洗い出す

　まず、ファイアウォールの通信ログのうち、メールサーバ以外から外部に向けたSMTP接続のログを抽出するためのフィルタを定義する。最近では、マスメーラー型ウイルス対策として、クライアントPCから直接、外部にSMTP接続することを禁止している組織も多い。このような場合は接続ログではなく通過拒否ログを使ってもよい。

　次に、定義したフィルタを通過したログ（イベント）に対し、あて先が異なるものを発信元アドレスごとに集計処理（アグリゲーション）する。例えば、「1分以内に10個以上のあて先に対してSMTP接続を試みた発信元」のみを抽出するようにしきい値を設定しておけば、ウイルスに感染したホストの多くがこの条件を満たすはずだ。

　しきい値は、組織の利用状況に応じて調整する。例えば、同報通信メールを多用する組織ではしきい値を少し高めにするか、そうした業務を行うことが分かっている特定のPCを除外しておく。このような処理はSIMが持つ関連性（相関）分析機能を使えば簡単にプログラムできる。このチェックは単純だが、しきい値をうまく調整すれば誤認をかなり減らすことができ、ウイルス感染の発見には威力を発揮する。

　ネットワークワームを検知する仕掛け

　メールを送信せず、ネットワーク経由で攻撃を行いながら拡散するタイプのネットワークワームではどうだろう。これを検知するための仕掛けは、マスメーラー型に比べると少し厄介だ。

　ネットワークワームは、感染行動に際してポート（ホスト）スキャンを行うものがほとんどだ。pingや攻撃対象となるサービスポートに対するアクセスが連続的に発生する。ポートスキャンの検出は、原理的には前述した連続メール送信検出と同じだ。

　しかし、SMTPのみに着目すればよいメール送信検出とは異なり、さまざまなサービスを対象とするポートスキャン検出は、単純にしきい値調整のみでは多くの誤認が発生する。なぜならば、ポートスキャンに類似のネットワークアクセスを行うアプリケーションが多数存在するからだ。

　特に、いわゆるPtoP（ピア・ツー・ピア）系アプリケーションの多くは、複数の異なるアドレスに対して、バラバラなポート番号で連続した通信を試みる。これらとワーム感染をログだけから区別することは困難だ。

　筆者が最も困ったのは、最近流行の「Skype」である。このアプリケーションは起動時に親ノードとなる複数のノードに対して通信を行う。 最近では組織内部から任意のポート番号による外部通信を禁止する組織も多いが、 Skypeは、まずUDPのランダムなポート番号にアクセスを試み、それがダメならTCPでランダムな番号を、それもダメならHTTPで、というように順次通信を試みる。この過程が、先のワーム検知の仕組みに引っ掛かってしまうのだ。

　Skypeほどではないが、インスタントメッセンジャー（IM）も同様の誤認を引き起こす。最近ではIMが仕事でも多用されており、簡単に利用を禁止できないため厄介だ。こうしたアプリケーションの誤認を回避するためには、そのアプリケーションユーザーを特定するという作業が必要になる。

1/2

Index
業務中にSkypeやIMを使っているのは誰だ？
	Page1 未知ウイルス／ワームの感染を見つけ出す ファイアウォールのログから怪しい通信を洗い出す ネットワークワームを検知する仕掛け
	Page2 SkypeやIMユーザーを特定する ワーム検知の改良

セキュリティ情報マネジメント概論
	SIMで企業のセキュリティを統合管理せよ
	セキュリティ情報マネジメントの仕組みを技術的に理解する（1）
	セキュリティ情報マネジメントの仕組みを技術的に理解する（2）

SIMを上手に使いこなす
	業務中にSkypeやIMを使っているのは誰だ？
	不審な通信や無許可ホストを見逃さない

業務中にSkypeやIMを使っているのは誰だ？

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）