ログを一元的に管理する

　社内のすべてのシステムおよびネットワークデバイスのログを一元的に管理することにより、異常なイベントを検知する。サーバのCPU負荷の急激な増加といった通常業務でも起きるイベントであっても、セキュリティ問題に関連している可能性がある。負荷の増大は、そのシステムにマルウェアが侵入したことが原因なのかもしれないのだ。商用ツールがなくても「syslog」を使えばログを集約することができる。syslogはUNIX上でネイティブに動作し、Windowsにも移植されている。一元的な監視ポイントがなければ、インフラ全体に対する見通しが非常に悪くなる。

侵入検知センサーを配備する

　ネットワークの重要なポイントに侵入検知センサーを配備する。主要なサーバ上にホストベースのセンサーを配備するのも効果的だ。しかしホスト型IDS（HIDS）の運用維持は、ネットワーク型IDS（NIDS）の運用維持よりも負担が大きいことが多い。従来型のIDSは侵入を阻止することはできないかもしれないが、社内のIT環境の見通しを良くしてくれる。「Snort」は無償のNIDSの王者として広く認められている。マルチプラットフォーム対応の無償HIDSとしては「OSSEC」などがある。

アウトバウンドネットワークトラフィックを監視する

　アウトバウンドネットワークトラフィックを監視することにより、「主人」（つまり攻撃者）からの指示を求めたり主人にデータを漏えいしたりする感染システムを検出する。アウトバウンドトラフィックを検査するようにNIDSセンサーを設定したり、従来型のネットワーク監視ツールをこの目的に利用したりするという手もある（わたしは無償の「Argus Open Project」ソフトウェアで何度も助かった）。侵入を素早く検出すれば、迅速に封じ込めることができる。アウトバウンドトラフィックの不正な動作を検出する方法については、「Extrusion Detection」（リチャード・ベイトリック著）という本に詳しく書かれている。

自社のシステムに対する不正な変更を検出する

　感染システムのメモリ内にしか存在しないマルウェアもあるが、多くの侵入はファイルシステムあるいはレジストリに痕跡を残すものだ。HIDSの中には、システムの整合性に対するこういった変化を検出できるものもある。この機能専用の無償ツールとしては、「AIDE」や「cfengine」のほか、「Tripwire」のオープンソース版などがある。

ハニーポットでマルウェアを捕まえる

　ハニーポットは、マルウェアに対抗するための検知技術と予防技術の優れた部分を組み合わせた手法だ。もう少し具体的にいえば、ハニーポットというのは侵入されやすいように配備されるシステムだ。商用ハニーポットは一時の勢いを失ったようだが、無償で提供されている斬新なハニーポット技術は多数存在する。慎重に配備すれば、ハニーポットは以下に示すようにさまざまな面で企業の防御態勢を強化することができる。

時間稼ぎができる

　攻撃者にとって何の価値もないシステムに侵入するのに無駄な時間を費やさせることにより、攻撃者の侵入を遅らせることができる。例えば、無償の「LaBrea」ツールは、攻撃者によるネットワーク接続の試みに巧みに反応することによって、ポートスキャンおよびワームの繁殖活動を食い止める。

誤検知が少なくなる

　NIDSの欠点である誤検知が少なくなる。ハニーポットは本来、本業務から切り離されているため、ハニーポットへの接続行為は悪意の存在を示すものである。無償ツールの「Honeyd」は、サーバやデバイスに加えてネットワークもエミュレートするため、複数の物理的システムを配備しなくてもこうした監視活動の範囲を広げることができる。

マルウェアのサンプルを分析できる

　マルウェアのサンプルを捕捉して分析できる。最近の侵入攻撃ではマルウェアが利用されることが多いため、マルウェアが本業務システムに侵入する前にそれを捕捉すれば、セキュリティインシデント対策に役立つ。こういった機能を備えた無償ツールの1つである「Nepenthes」は、ネットワーク上で増殖する悪質なソフトウェアを捕捉できる。マルウェアのサンプルを入手すれば、それを分析することでその機能を理解できる。

侵入者の活動を観察できる

　侵入された環境に対する侵入者の活動を観察することにより、侵入者の意図を把握する。これは、ターゲットのシステムの信頼性について侵入者（人間あるいはプログラム）を欺く一連のハニーポットを配備することによって実現できる。Honeynet ProjectがブータブルCDとして無償配布している「Honeywall」は、この目的を達成するのに役立つ。このディスクには素晴らしい監視ツールも入っている。

ユーザーが悪質サイトにアクセスしていないか確認できる

　Webページを巡回、検査するクライアントサイドのハニーポットを配備することにより、社内のユーザーが悪質なWebサイトにアクセスしていないか確認する。Webブラウザを通じて脆弱性を攻撃するドライブバイダウンロードは、一般的な侵入テクニックだ。この攻撃経路を常に遮断するのは難しいかもしれないが、セキュリティインシデントを素早く検知することは可能である。ユーザーがアクセスしたURLを記録するプロキシサーバのようなメカニズムが社内にあれば、SecureWorksが提供している無償の「Caffeine Monkey」ツールを使い、これらのサイトにWeb攻撃の仕掛けがないか自動的に検査できる。

　ハニーポットを利用する上で最も難しいのは、侵入者がそれを攻撃の足掛かりとして利用することがないように配備しなければならないということだ。社内でハニーポットの実験を行う場合には、必ず各ツールのマニュアルに記載された安全対策を講じること。各種のハニーポットおよび配備シナリオについては、「Virtual Honeypots」（ニールズ・プロボス、ソーステン・ホルツ共著）が参考になる。

本稿筆者のレニー・ゼルツァー氏は、ニューヨークに本社を置くSavvisでセキュリティコンサルティングの責任者を務めている。また、SANS Instituteで講師として、マルウェアのリバースエンジニアリングのコースを担当している。