Computer Weekly製品導入ガイド

既存セキュリティの穴を補完する「コンテキスト」の威力

コンテキスト認識型セキュリティ対策は、ポイントセキュリティ技術の代替にはならない。だが、攻撃が差し迫っていることを告げ、それがどのような形態になるかを予想することは可能だ。

公開 2014年02月17日 08時00分

更新 2014年02月18日 18時52分

著者

Bob Tarey

[Computer Weekly]

印刷する

　文脈を広げて見た場合にのみ、不審に見える事柄というものがある。例えば会計士がロンドンの本社で働いていて、財務情報を定期的に参照していたとする。他都市（例えばニューヨーク）にある支社を訪れた際に、そこの情報を参照することが役に立つ場合もあるだろう。だが、その会計士が会社の物理的セキュリティシステム上ではロンドンにいることになっているのに、ニューヨークでデータをダウンロードしていたとすると筋が通らない。

　このような形で不審な行為を見つけ出すことが、コンテキスト認識型セキュリティ対策の基本概念だ。1つの出来事を他の出来事の発生と共に、過去のログデータや他のさまざまなソースからの情報と照らし合わせて検証する。そのためには相当量のデータにリアルタイムでアクセスし、リアルタイムでそれを処理できなければならない。コンテキスト認識型のセキュリティ対策は、ビッグデータの課題と形容されることもある。つまり、大量のデータを処理し、そこから役に立つ情報を引き出せなければならない。

　ログデータの保存と処理については目新しいことは何もない。例えばLogRhythmやLogLogic（後者は2012年にTIBCOに買収された）といったログ管理ソフトウェアのサプライヤーは何年も前から存在していた。ログ管理に投資する主な理由はコンプライアンス関連であり、サーバやネットワーク、デバイス、セキュリティシステムなどのログファイルを収集してデータを分析し、その組織のITシステム上で誰が何をしていたかの監査記録をIT担当者が生成できるようにすることにある。

　ログ管理ソフトウェアのサプライヤーは、過去10年の間に製品を進化させ、システム上およびその周辺で起きている出来事とログデータを照らし合わせて参照できる機能を提供するようになった。ここから生まれたSIEM（セキュリティ情報イベント管理）という用語は、Gartnerが2005年ごろに初めて使用した。SIEMツールでは、ログデータを他の情報、例えばユーザーとその権限、サードパーティーフィード（脆弱性、マルウェア、ニュース、天気予報など）、位置情報（IPアドレスとモバイル端末追跡を利用）、新しい規制要件といった情報と組み合わせる。その全てを使ってコンプライアンス報告やセキュリティ診断のための詳しいリポートを提供する。

　SIEMが主流になる中で、大手ITセキュリティサプライヤーの多くは買収を通じてこの市場に参入した。特筆すべき案件として、HPのArcSight買収（2010年）、IBMのQ1 Labs買収2011年）、McAfeeのNitroSecurity買収（2011年）、EMC RSAのNetWitness買収（2011年）などが挙げられる。

　LogRhythmはSIEMサプライヤーと見なされている。他にはRed Lambda、Trustwave、SenSageなどがある。SplunkはSIEMサプライヤーと見なされることもあるが、同社の重点はさらに広く、ITオペレーショナルインテリジェンスを使ってコマーシャルおよびセキュリティ情報を提供している。

　だが、さらに先を行き、コンテキスト認識型セキュリティの真価をリアルタイムで発揮させるためには、SIEMツールを強化し、高速分析を行ってリアルタイムの防御を実現する必要がある。Quocircaは2012年7月の報告書で、これに先端サイバーセキュリティインテリジェンス（advanced cyber-security intelligence＝ASI）という用語を当てはめた。次世代SIEM（NG-SIEM）という用語を使うところもある。

コンテキスト認識型セキュリティに必要な基本条件

　どのような用語で呼ぶにしても、コンテキスト認識型セキュリティ機能の提供をうたうサプライヤーは、以下の全てを兼ね備えたツールを提供しなければならない。

ポイントセキュリティ技術を補うコンテキスト認識型セキュリティ

　ポイントセキュリティ製品では対応できず、コンテキスト認識型セキュリティなら対応できるかもしれない事例を以下に挙げる。

ゼロデイ攻撃の検出

定義ファイルベースのウイルス対策ソフトウェアでは、標的型攻撃によく使われる新手のマルウェアは検出できない。サーバのアクセスログを関連付けて、同じサーバが同じプライベートネットワーク上の他の多数のサーバおよびユーザーエンドポイントへの接続に使われ、見慣れないIPアドレスにメッセージを送信していることを突き止めれば、不審な事態への早期警報になる。

ハッキングの検出と情報流出の防止

特定のIPアドレスから何度もサーバに接続を試みる動きは侵入検知システムで防止できることもある。だが、同じIPアドレスからの一度の不正侵入が原因で、そのサーバから既にデータがコピーされていることは分からないかもしれない。ログとイベントファイルを関連付ければ、その2つのイベントが関連していることが分かり、情報の盗難を防ぎ得る。標的型攻撃は時としてこの種の特性を備えている。

コンプライアンスに違反するデータの移動

従業員による顧客情報へのアクセスは業務上、必要かもしれない。また、報告を理由にそれをダウンロードすることもあり得るだろう。ただ、従業員がそのデータを、例えば特定の国のクラウドストレージといったコンプライアンスに反する場所にコピーすることは警戒しなければならない。そのためには、ユーザーのアクセス権および現在のコンプライアンス規定を理解したルールと、データをコピーしようとする動き、保存先のサービスの位置をリアルタイムで関連付けられる機能が必要だ。

イベントの不在

SCADA（Supervisory Control And Data Acquisition：監視制御とデータ収集）システムはヒューマンマシンインタフェース（HMI）を使って制御することがある。そのためには担当者がいなければならず、物理的なセキュリティ対策を講じた上で、その従業員がIDバッジを使って当該の施設に入ったことを前もって記録しなければならない。つまり、まず物理的に入室したことを示す有効な記録がないのに、リモートのロケーションでHMIシステム上に動作ログが記録された場合、何者かが不正アクセスしたか、HMIがリモートでハッキングされたことになる。HMIへのアクセス要求の前に、特定の時刻にバッジ読み取り記録があったかどうかを確認する高度な関連付けのルールがあれば、そうした不正侵入は検知できる。

システム管理アクティビティの異常

システム管理者のアカウントが乗っ取られた場合、次回以降に使うために新しいアカウントを作成しようとするかもしれない。このアクティビティを変更管理システムと関連付ければ、そうしたアカウントの作成は許可されていないことが突き止められる。

想定外のアクセスルート

データベースの中には通常は特定のアプリケーション経由でしかアクセスされないものがある。例えばクレジットカード情報は電子商取引アプリケーションによって書き込まれ、アカウントアプリケーションでしか読み込まれない。そうしたイベントを関連付けて、通常のアクセスルートについてのルールが破られたことを監視できるツールを導入すれば、他のルート経由でアクセスしようとする試みに対して警報を出すことができる。

　企業にとって、サイバー犯罪やハッキング行為、さらには自社のユーザーに対して優位に立とうとする戦いに終わりはない。政府機関にとってはさらに悪い事態だ。サイバー空間は陸上、海上、航空、宇宙に次いで5番目の戦争の舞台になっていて、テロリストは基幹インフラを狙うための手段としてサイバー空間に目を向けている。

　あまりに多くの犯罪行為や政治行為が物理世界を離れてサイバー空間に移り、あるいは少なくとも両方に手を広げるようになった。ITセキュリティ部門は今や、会社の評判を傷つけることなく業務を確実に継続させるための最前線に立っている。その目的で、今日は予想もできなかった明日の問題から会社を守るため、ITセキュリティ部門が管理しているシステム上の動きについてコンテキストを広げてくれるツールの装備が必要だ。

ボブ・タージー氏はQuocircaのサービスディレクター。