「機械学習」「ビッグデータ」が変えるセキュリティ対策【第2回】

データ駆動型セキュリティの鍵、「SIEM」を見極める3つのポイント（3/3 ページ）

公開 2016年03月22日 08時04分

[Splunk Services Japan]

印刷する連載新着通知を受け取る

検知を強化する「機械学習」の可能性

　1つ目のポイントである検知について、もう少し掘り下げる。一言で検知といっても、実現はそれほど簡単ではない。例えばマルウェアに感染した端末があり、SIEMのセキュリティインテリジェンス機能によってIPアドレスがC＆Cサーバ（攻撃用サーバ）との通信に利用されていたことが分かったとしよう。通信の送信元は社内の端末なので、その端末が内部のどの端末やサーバへアクセスしたかを調べればよいはずだ。

　ところが、これはそれほど簡単なことではない。業務中の端末は、メールやWeb、ファイルサーバ、認証システムなど複数のアプリケーションやシステムへ“正常な”通信を繰り返す。その中から異常な通信はどれか、どの文字や時間帯、IDが異常なのかを特定することは難しい。

　通信を伴わない端末内のファイルアクセスも同様だ。それが通常の業務で操作されたものなのか、それとも悪意をもって操作されたものなのかは、セキュリティアナリストがスキルとノウハウを駆使することで、ようやく判断できることも少なくない。

　FTPによるファイル転送でも同様だ。そのファイル転送は正常か異常か、意図的なものか第三者に操作されたものかなどを、自動的に判断できたらどうだろうか。VPN（仮想私設網）によるLANへのアクセス、ファイルサーバやファイルへのアクセス、ログインのし直し、DNSゾーン間の移動、ファイルの転送――。これら一つ一つは正常の動作のようにも見えるし、そうでないかもしれない。システムがこれらの正常性を判断してくれたら、セキュリティアナリストはより高度な分析に集中することができるだろう。

　その実現の鍵となるのが、大量のデータを基に潜在的なパターンを見つけ出す「機械学習」だ。一定のヒストリカル（時系列）データやログの地域情報、回数、時間帯、権限など幾つかの変数を用いて分析すると、通常ではない異常の分布が見られる場合がある。シグネチャやルールではなく、変数同士の相関関係を推定する「回帰分析」といった統計分析アルゴリズムを利用することで、数値から異常を導き出すことができるわけだ。

　機械学習の研究は急速に進んでおり、製品化もされ始めている。機械学習による分析はサンプルに基づく分析なので、常に100％の正確無比な結果が得られるわけではない。ただし巧妙化が進む脅威を見つけ出すには、システムの限られたデータだけを頼りにしていては限界がある。技術的にはペタバイト規模のセキュリティ関連データを分析することが可能になった今、ビッグデータ活用の応用先として、セキュリティに機械学習を生かす価値は大いにある。

執筆者紹介

矢崎誠二（やざき・せいじ）　Splunk Services Japan

1999年からインターネットセキュリティに特化した事業、サービスに専任で携わる。セキュリティ黎明期から、脆弱性と不正侵入検知の分野を中心としたセキュリティコンサルティングサービス事業に参画する。セキュリティ監査およびペネトレーションテストを日本のさまざまな企業に提供するとともに、IDアクセス管理、アプリケーションセキュリティ、SIEMを含めセキュリティフレームワーク全体のソフトウェアに関する技術支援を遂行する。近年はビッグデータにおけるセキュリティ分析に従事する。