データ分析によるネットワークセキュリティ

3

1

章 

センサーと検出器：入門

効果的に情報監視するには、さまざまな人がさまざまな目的で設置したさまざまなセンサーから収

集したさまざまな種類のデータを足がかりとする必要がある。

セキュリティ監視/ 診断システムは、異なった種類のデータや別の視点からのデータを収集する多

数多様なセンサーを組み合わせて構成する。本書では、ネットワーク上を流れるデータやコンピュー

タの挙動を記録し、ネットワークのセキュリティ監視や診断に使用できるデータ収集デバイスを総称

して、センサーと呼ぶ。センサーの例として、ネットワークタップ（分岐器）がある

＊1

。ファイアウォー

ルのログ

＊2

もセンサーとして利用することができる。どんなデバイスでもセンサーとして利用可能で

はあるが、どれも単独では完璧な監視や診断ができるものではない。そこで、これらを組み合わせ

てシステムを構成するが、その網羅性と冗長性とのバランスが重要である。網羅的にデータが

収集

できる完全なものを構築したい場合は、膨大な数の異なる機能のセンサーを使うことになる。しかし、

それらのセンサーが収集したデータには重複する部分があるので、過度に冗長なシステムとなって

しまう。逆に、収集するデータに重複が発生しないようにすると、冗長性の点では問題はなくなるも

のの、収集できないデータの漏れが発生し網羅性が達成できなくなる。冗長性なく網羅性を得るこ

とはおそらく不可能だが、この2つは監視システム構築の指標となる。

利用するセンサーにはそれぞれ固有の得手、不得手がある。例えば、ネ