侵入を検知する

Traffic ServerはsFlow®を利用することにより、既存のファイアウォール機能を補強する侵入検知機能を提供しています。

図1　ファイアウォールとsFlowを用いるネットワーク

図1は、典型的なサイトネットワークの一部のエレメントを示しています。インターネットからのトラフィックはファイアウォールを通ってサイトに入ります。それからトラフィックはディストリビューションスイッチに送られ、サイト上のコンピュータへの接続を提供します。

残念ながら、完全なセキュリティを実現できるファイアウォールはありません。

ファイアウォールルールを更新しないうちに、ホストが新しい攻撃に脅かされてしまう可能性があります。
ノート型パソコンは、オフサイトでウイルスに感染してしまってからネットワークに接続することにより、ファイアウォールの内側のコンピュータに感染させてしまう場合があります。
無線アクセスポイントから侵入者がサイトに侵入できる場合があります。たとえ認可された無線アクセスポイントが安全でも、ユーザーが安全対策の施されていないアクセスポイントから不用意にネットワークに接続してしまう可能性があります。
Eメール、ウェブおよびプラグインなど多くの感染媒介手段があるので、考えられる全ての脅威をファイアウォールで識別するのは非常に困難です。

ファイアウォールの内側のセキュリティ問題は、検知し特定するのが非常に困難になる可能性があります。幸い、sFlowの広範囲にわたるモニタリング機能により、内部ネットワーク全体のトラフィックに対して侵入検知テクニックを費用効率的に適用することができます。

Welchia、SlammerおよびMSBlasterなどのインターネットワームは、大きな脅威の1つです。このチュートリアルでは、インターネットワームを検知する例を用いて、Traffic Serverの侵入検知機能について説明します。

パケットシグネチャ分析

侵入検知テクニックの1つとしては、ネットワークパケットを調べてそれらを既知のウイルスやワームのシグネチャと比較するという方法があります。Snort™ は、オープンソースの侵入検知ツールです。パケットシグネチャを定義するためのSnortフォーマットは、今やシグネチャ発行のためのデファクトスタンダードになっています。Traffic ServerのシグネチャエンジンはSnortルールを、sFlowデータに適用できるフォーマットに自動変換します。

ルールの設定（Configuring rules）

まず、ある特定のサイトに適用可能な一連のルールを集めてルールファイルを作成します。定義された何千ものSnortルールをただ集めて1つのファイルにまとめるのでは、よい方法とはいえません。多くのルールは擬陽性のケースを生み出してしまい、モニタリングシステムの価値を低下させてしまいます。さらに、Snortアプリケーションは外界からの無許可のアクセスを防ぐためにファイアウォールの位置で稼働してサイトに出入りする全てのトラフィックを調べるように設計されています。この例では、ファイアウォールがきちんと配置されているサイトについて、ローカルホストを脅威にさらすようなセキュリティ上の障害を明らかにしなければならない状況を想定しています。

ファイルwormrules.txtには、インターネットワームに感染した内部ホストを識別するために選択された6つのルールが定義されています。これらのルールは皆、元のフォーマットから変更されています。$EXTERNAL_NETから$HOME_NETへのパケットについてトリガしていた代わりに、$HOME_NETからのアクティビティを調べようとしています。しかも、シグネチャパターンがパケットをあまりに深くまで調べようとしすぎている場合には、それらも修正した方がよいでしょう。sFlowによりエクスポートされるパケットヘッダのサイズは、デバイスにより異なりますが、一般的には100～128バイトです。ルールを作動させるためには、パターンはヘッダ内でマッチできるものでなければなりません。

図2　セキュリティルールの設定

図2は、Server->Securityページを示しています。このページは、ルールを調べ、新しいルールファイルをインストールするために使用されます。新しいルールファイルのインストールは、ファイル名を入力してSubmitボタンをクリックすることによりファイルをアップロードするだけで行うことができます。

イベント（Events）

ルールをインストールすると、マッチは全てTraffic Serverイベントとして報告されるようになります。

view larger

図3　Eventログ

図3は、セキュリティルール違反に関する数々のイベントを示しています。たとえば、最初のイベントは、ホスト10.0.0.1がルール番号1286に違反したことを示しています。ステータスボックスは、追加情報（この場合には安全性の損なわれたホストの一覧）を表示するリンクになっています。

安全性の損なわれたホスト（Compromised hosts）

Traffic Serverは、セキュリティルールに反するパケットを生成するホストの一覧を保守管理しています。

図4　安全性の損なわれたホスト

図4は、ルール1286に反するホストの一覧を示しています。任意のIPアドレスをクリックすると、そのホストの最近のアクティビティについての分、時、および週単位の概要が表示されます。ホスト上のログファイルはホストの安全が脅かされたときに削除されている可能性があるので、この概要情報は有用な監査証跡となります。ホストトラフィックレポートにより、安全性が損なわれている可能性のある他の全てのサービスや、他のホストとの全ての通信が明らかになります。

スイッチアイコンをクリックすると、スイッチに接続し、訂正アクションを実行したり、ポートをディセーブルにしたり、アクセスコントロールを適用したりできます。

最後に、Packet Traceリンクをクリックすると、調査が必要なパケット情報を詳しく見ることができます。

パケットトレース（Packet trace）

パケットトレース情報は、攻撃についてのドキュメントを作成する際に非常に役立ちます。パケットトレースを調べることにより、擬陽性として判定されるケースがなくなるようにルールを改良し、新しい攻撃が検知されたときに新しいルールを作成するために必要な情報を得ることができます。

図5　パケットキャプチャ

図5は、ルール1286用に存在する2つのパケットキャプチャファイルを示しています。ファイル名をクリックすると、そのファイルをダウンロードし任意のプロトコル分析アプリケーションを使用して調べることができます。Tcpdumpオプションの1つをクリックすると、パケットデコードが表示されます。

デコード表示（View decode）

Tcpdumpは、パケットトレースをデコードして表示するための有名なユーティリティです。

図6　詳細tcpdump

図6は、ルールにより疑わしいと識別されたパケットについての詳細情報を示しています。このようなパケットは明らかにURL内に_mem_bin文字列が含まれているhttpリクエストです。

トラフィックパターン分析（Traffic pattern analysis）

トラフィックパターン分析は、パケットシグネチャ検知を十分に補う手段です。個々のトランザクションがパケットシグネチャルールをトリガしなくても、ホストの全体的な動作が問題を示す場合があります。トラフィックパターン分析は、新しい脅威を識別する強力なテクニックです。たとえば、インターネットワームはネットワークをスキャンすることにより、次に攻撃対象とするホストを特定します。新しいワームはどのパケットシグネチャもトリガしなくても、スキャニング動作を示す可能性があります。

レポート（Reports）

Traffic Serverは、スキャニング動作を識別するためのクエリに容易になりうる詳細エンドツーエンドトラフィックデータベースを作成します。

図7　ポートスキャンクエリ

図7は、スキャニング動作を識別するためのReports->Interactive フォームを示しています。この場合、TCPポート135を用いて内部ホストによるスキャニング動作を探しています。この種のスキャニングは、MicrosoftのRPCプロトコルの脆弱性を利用しようとするワームに特徴的なものです。

スキャニングレポート（Scanning report）

スキャニングレポートは、接続しようとする一意のアドレスの数の順にホストをランキングします。ほとんどの正常なマシンはかなり少数のサーバーとしか通信しません。しかし、ワームに感染しているホストは、1日中、何百万ものアドレスと通信しようとする場合があります。

view larger

図8　ポートスキャンレポート

図8は、MicrosoftのRPCプロトコルの脆弱性をスキャニングしているように見える、ワームに感染している可能性のあるホストを識別するポートスキャンレポートを示しています。