Security Onion

　「Security Onion」は、Ubuntuをベースとしたネットワーク監視および侵入検知のためのLinuxディストリビューションだ。ネットワーク内部で複数のVLANとサブネットを監視するセンサーとしてイメージを配置でき、VMwareと仮想環境への親和性が高い。

　IDSとしての利用が可能で、現時点ではIPS（侵入防止システム）としての運用はサポートしていない。だが、ネットワークとホストの両方の侵入検知を実行できるオプションや、オープンソースのネットワークセキュリティ監視コンソール「Squil」「Bro IDS」、ホスト侵入検知システム「OSSEC」を使ってSecurity OnionのIDS機能を実行できるオプションなどを用意している。Security OnionのWebサイトとソフトウェアのWikiおよびドキュメンテーションがよく整備されている点も特徴だ。不具合やバグは記録され、着実に検証されている。

OSSEC

　OSSECはオープンソースのHIDS（ホスト侵入検知システム）で、侵入検知以上の機能を持つ。大半のオープンソースIDS製品と同様、IDSの中核機能として利用できる複数の追加モジュールがある。ネットワーク侵入検知に加えて、OSSECクライアントはリアルタイムアラート付きのファイル完全性監視およびrootkit検知の機能を持つ。全機能を一元管理できる他、会社のニーズに沿った個別のポリシーを作成することもできる。

　OSSECクライアントはローカルで実行され、Linuxの各バージョンとMac OS X、Windowsを含むほとんどのOSに対応する。Trend Microのグローバルサポートチームによる有料サポートも提供されており、非常に成熟した製品といえる。

OpenWIPS-ng

　「OpenWIPS-ng」はサーバ、センサー、インタフェースを使った無料のワイヤレスIDS／IPSで、コモディティーハードウェアで実行できる。

　オープンソースの無線ネットワーク用監視ツール群「Aircrack-ng」の作者が開発しており、Aircrack-ngに実装されているスキャン、検知、侵入防止などの機能やサービスの多くを利用する。モジュール方式を採用し、管理者はプラグインをダウンロードして機能を追加できる。ドキュメンテーションは一部のツールほど詳しくないが、無線ネットワークにおける侵入防止システムの実行を少ない予算内で可能にしてくれる。

Suricata

　現在利用できるIDS／IPSシステムの中で、「Suricata」は最も直接的にSnortと競合する。アーキテクチャがSnortに似ており、Snortと同様にシグネチャを利用する。また、攻撃のパターンやネットワークの脆弱性などを分析した攻撃防御用のルールセット「VRT Snortルール」と「Emerging Threatルールセット」を利用することができる。Snortを選択できない組織にとって、Suricataはエンタープライズネットワークで実行できるフリーツールの中で最もSnortに近い選択肢といえる。

Bro IDS

　「Bro IDS」はIDSルール以上のものを使って攻撃の出どころを突き止めるという点で、Security Onionに近い。ツールの組み合わせで構成されており、一時はSnortベースのシグネチャをBroシグネチャに変換して使われていた。しかし現在はBro IDS用のカスタムシグネチャを作成できるようになった。Bro IDSは15年以上も前から存在し、ドキュメンテーションも行き届いている。

◇　

　本稿で紹介したツールは、それぞれ異なる方法でIDS／IPSを実行しているが、企業が限られた予算内でネットワークの守りを強化する上ではどの製品も適している。Snortはオープンソースも含めたIDS／IPS市場で大きな存在感を放ってきたが、複数の選択肢を検討してみてはいかがだろうか。