振る舞い検知型IPSの技術解説

前編 従来型IPSの課題と解決策


出雲 教郎
日本ラドウェア株式会社
技術本部 ソリューション・アーキテクト
2009/5/22

インターネットセキュリティの世界で浸透する不正侵入防止システム、IPS(Intrusion Prevention System)。本記事では「不正な通信の振る舞いをもとにシャットアウトする」という言葉の裏にある、課題と技術を解説します(編集部)

 いかにして新たな脅威に追従するか

 従来のIPS製品では、パケットのペイロードまでを含んだパターンマッチングのフィルタ(以下、シグネチャ)を作成、正確にウイルスやマルウェア、ワームの拡散、脆弱(ぜいじゃく)性をつくアタックを検出し、防御する方法を用いてきた。この技術は各パケットのデータペイロードまでを正確、かつ高速に検査できるIPS製品の処理能力と、いち早くシグネチャを開発してIPS製品に適用させる監視、開発そして運用能力が求められる。

 各IPSベンダは、自前のインシデント監視センターにて365日24時間、インターネットで発生するインシデントを大規模な体制で継続して監視し、IPSの運用サイクルとして「検出、フィルタリング、防御、最適化」を行い、どれだけ速く脅威に対応できるかが差別化要素となり、IPS製品の競争力を補完している。

図1 シグネチャ型IPSの運用サイクル

 これらのIPS運用形態に対し、技術的に新しいアプローチの方法が模索され、それが実用化されるようになってきた。そのうちの1つが「振る舞い検知」と呼ばれる技術だ。

 振る舞い検知型IPSでは、装置自身がネットワークの「振る舞い」を検出し、シグネチャがなくとも装置自身でリアルタイムに攻撃を防御する。従来のシグネチャ型IPSのようなインシデント監視センターによる介入の必要性がなく、装置の中だけの閉じた世界で一連の運用サイクル「検出・フィルタリング・防御・最適化」が実行される。

図2 振る舞い検知型IPSの運用サイクル

 本題である振る舞い検知型IPSの技術論に入る前に、シグネチャ型IPSの課題についておさらいし、振る舞い検知型IPSがどのように解決しているかを簡単に記述する。「DoS攻撃防御製品の仕組みと特徴」の記事で記述した内容と一部重複するが、復習として概要を記載しよう。

 シグネチャ型IPSの課題

 われわれが日常的に活用しているコンピュータの世界では、さまざまなレベルのセキュリティ監査を行う組織で、その脆弱性に関する研究が行われ、報告されている。アンチウイルス製品やIPS製品などを提供するセキュリティベンダは、それらの監査組織を自ら持つか、あるいはなんらかの契約などにより情報交換するルートを持って連携を取りながら、発見された脆弱性に製品として対応している。

 JPCERT/CCなどの情報を確認しても、近年ではおおむね500件前後のインシデントが四半期ごとに報告されている。この数がそのまま追加するべきシグネチャ数とイコールになるわけではないが、これらの脅威にシグネチャ型IPSで対応するためには、相当数のシグネチャの追加が恒常的に必要になることは容易に想像できるのではないだろうか。

1/3

Index
前編 従来型IPSの課題と解決策
Page1
いかにして新たな脅威に追従するか
シグネチャ型IPSの課題
  Page2
ハードウェア処理能力の限界
ゼロデイアタックは対策できないのか
ボットネットを使った攻撃を守るには
  Page3
振る舞い検知型IPSとは
統計学的分析手法をIPSに取り入れると

Security&Trust記事一覧


Security&Trust フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)

注目のテーマ

Security & Trust 記事ランキング

本日 月間