「NTA」「NDR」で新手の脅威を防ぐ【後編】

「NTA」「NDR」とは？　巧妙な攻撃を防ぐ仕組みと使いこなし方

近年のサイバー攻撃は長期化しており、検出が困難になっている。こうした脅威を検出するのに有効な「NTA」（Network Traffic Analysis）「NDR」（Network Detection and Response）システムとは何か。

公開 2020年02月04日 05時00分

著者

Kevin Tolly

[TechTarget]

印刷する連載新着通知を受け取る

　巧妙化するサイバー攻撃の対策として「NTA」（Network Traffic Analysis）／「NDR」（Network Detection and Response）製品が台頭しつつある。これらのツールは、従来のセキュリティ製品とどのように異なるメカニズムで攻撃を検出しているのだろうか。

　NTA／NDR製品は、例えばIoT（モノのインターネット）デバイスを通じた攻撃を検出するために、まずIoTデバイスが送信元となる正規のトラフィックを収集する。時間の経過とともに蓄積するトラフィックは膨大になり、これを基に正常なトラフィックと未知のトラフィックを比較できるようになる。

　悪質なデバイスが「Low and Slow」（少しずつ時間をかけて実行される）方式の攻撃でデータ窃盗を試みると、NTA／NDR製品は異常なトラフィックパターンを検出。悪意ある挙動が発生している可能性があることを知らせるアラートを出す。

併せて読みたいお薦め記事

さまざまな攻撃手法

ネットワークセキュリティの強化方法

　一般にセキュリティ製品の利用においては、脅威の検出精度に注意する必要がある。具体的には「実際の攻撃を検出できたかどうか」「安全なトラフィックを誤って悪質なものと判定しなかったかどうか」といった点が重要だ。

NTA／NDR製品を使いこなすには

　NTA／NDR製品には、長い攻撃期間を想定した評価指標が求められる。検出精度が最も重要なことに変わりはないが、他にも重要な指標がある。その一つが、有用なアラートと不要なアラートの比率「SN比」（信号対雑音比）だ。セキュリティ製品が、本来は脅威ではない挙動やプログラムを「脅威」だと判別してアラートを生成してしまうと、本当に対処すべき問題の存在を分かりにくくしたり、セキュリティ担当者に時間を浪費させたりしてしまう。そのためNTA／NDR製品の脅威への反応を評価する際は、有用なアラートと不要なアラートの両方に注目し、不要なアラートに対する有用なアラートの割合を計算してSN比を求める。SN比が高いほど、つまり有用なアラートが多いほど良い。

　考慮すべきもう一つの指標が、アラートの妥当性だ。この指標は、NTA／NDR製品がどのようなアラートを通知したのかを表す。「通知されたアラートが攻撃の特定に役立ったかどうか」が妥当性の基準であり、より具体的で正確なアラートほど望ましい。

　NTA／NDR製品のテストでの重要な注意点は、テスト用の悪質なトラフィックとともに、実際のトラフィックを実際のネットワークに流してテストする必要があることだ。隔離された実験環境で効果的にテストできる「侵入防止システム」（IPS）製品や「次世代ファイアウォール」（NGFW）製品とは異なり、NTA／NDR製品のテストでは、トラフィックが悪質かどうかを判断するための基準の設定に実際のトラフィックが必要だ。

　では、どこから手を付けるべきか。これまでに述べた新手の脅威の全体像を把握するには、独立系調査機関MITREがまとめた脅威情報「MITRE ATT&CK」を使うとよい。本稿で触れた攻撃手法をはじめ、さまざまな攻撃の手口をまとめている。こうした脅威は、IPS製品やNGFW製品などで対処できるものとは大きく異なる。NTA／NDR製品の導入においては、新しいベンダーを探すことを頭に入れておくとよい。

印刷する