データ分析によるネットワークセキュリティ

12

1

章 センサーと検出器：入門

 

プロトコル階層とセンサー

プロトコル階層とネットワーク型およびサービス型センサーとの対応を図2-1に示す。前者

は、トランスポート層以下のパケットを対象としており、後者はアプリケーション層のデータ

を対象とする。

では、なぜ全部の機能を持つセンサーができないのか？それは、ネットワークが分散した

システムであり、さらに、上位層から下位層の詳細を隠蔽するようにプロトコル階層別にモ

ジュール化されて設計されているからである。ネットワーク型センサーではイーサネットのよ

うなネットワークセグメント上のすべてのパケットが見えるが、その量が膨大なためにアプリ

ケーションの細部まで診断することは困難である。分析には各プロトコルのデータ構造や状態

遷移の細部が分析できる機能を備えている必要があるため、これをネットワーク型センサーで

行おうとすると、複雑になりすぎて実装が困難である。暗号化されたパケットも分析できない。

暗号化され

たデータが復号化されて分析できるようになるのはアプリケーション層であり、

サービス型センサーであれば分析が可能となる。また、アプリケーションを利用するための通

信はサーバとクライアントという特定の2 台のコンピュータ間の通信に着目するだけでよいの

で、サービス型センサーでは、分析の対象が大きく絞られる。また、各プロトコルの形式に従っ

て整形したデータ形式でログが記録されるので、分析が容易である。その反面、センサーが搭

載されたホストに侵入されると、ログが改ざんされた ...