データ分析によるネットワークセキュリティ

第Ⅰ部

データ

第Ⅰ部では、分析と対応に使うデータの収集と格納について説明する。効

果的なセキュリティ分析には広範囲に分散した複数の情報源からデータを

収集する必要がある。個々の情報源は、ネットワークで生じている特定のイ

ベント（事象）の状況の一部をそれぞれ提供する。

ハイブリッドデータソースの必要性を理解するために、最新のボットが汎

用的なソフトウェアシステムであることを考えてほしい。1つのボットがネッ

トワーク上の他のホストに侵入して攻撃する際に、複数のテクニックを使う

可能性がある。バッファオーバーフロー、共有ネットワークへの拡散、単純

なパスワードクラッキングなどだ。パスワードクラッキングでSSHサーバ

を攻撃するボットに対しては、そのホストのSSHログファイルにログを記

録することで、攻撃の具体的な証拠を残すことができるが、ボットの他の行

動に関する情報は得られない。ネットワークトラフィックからはセッショ

ン

を再現できないかもしれないが、例えば想定されていないホストに対する長

いセッションの成功などの攻撃者の他の行動がわかる。

データ駆動分析での主な課題は、問い合わせが非現実になるほど多くの

データを収集することなく、滅多に起こらないイベントを再現するために十

分なデータを収集することである。データ収集は非常に簡単だが、収集し

たデータを解析するのは、はるかに困難である。セキュリティにおいては、

本当のセキュリティ脅威が稀であることによって、この問題が複雑になる。

ネットワークトラフィックの大部分は無害であり、非常に反復的である。大

量のメール、同じ YouTubeビデオの視聴、ファイルアクセスなどである。

少数の実際のセキュリティ攻撃においても、その大部分は、空のIPアドレ

スのブラインドスキャンなどの非