データ分析によるネットワークセキュリティ

10.1

 

EDA

の目的：分析の適用

203

10.1

 

EDA

の目的：分析の適用

EDAプロセスの要は、モデルに近づくことにある。モデルはデータの正式な表現であることもあ

れば、「何かがたくさん来たら警告を発する」ぐらいに単純な場合もある（もちろん、「たくさん」や「何

か」は適切に定量化される）。ここでは、情報セキュリティにおけるデータ分析の4 つの基本的な目的

を説明する。警告の生成、フォレンジック、防御の構築、状況認識である。

警告として使う場合には、分析作業では何らかの数値を生成し、正常活動のモデルと比較して観

測結果をアナリストに知らせて注意喚起するべきかを判断する。異常は必ずしも攻撃ではなく、攻

撃は必ずしも対応に値するわけではない。よい警告とは、正常な状況下での予測可能な現象に基づ

いており、防御者が対応できるものである。一方、攻撃者は自分の目的を達成するために警告を妨

げようとする。

情報セキュリティを運用

する上での問題は、警告の作成ではなく、警告の管理である。アナリス

トは警告を受け取ると、まずコンテキストの提供を行わなければならない。脅威が本物であるかを検

証し、関連性を確かめ、被害の程度を判断し、対策を提言するのだ。偽陽性は重大な問題だが、警

告の失敗にはほかにもさまざまな形がある。よく分析できていれば警告の有効性を向上させることが

できる。これに関しては7 章で詳しく述べた。

セキュリティ分析のほとんどはフォレンジック分析であり、イベントの発生後に行う。フォレン

ジック分析はさまざまな方面からの情 ...