データ分析によるネットワークセキュリティ

229

11

章 

ファンブルの処理

これまでデータの収集と分析のための手法を説明してきた。いよいよ、これまで見てきた手法と攻

撃者の挙動とを結び付けよう。

7章で述べた異常検知とシグネチャ検知の区別を思い出してほしい。本書の焦点は異常を検出して

対応するための実行可能なメカニズムを見つけることにある。メカニズムを見つけるには一般的な攻

撃者の挙動を知らなければならない。本章のトピックであるファンブル（fumbling）は、そういった

挙動の一例である。

ファンブルとは、何らかの参照を用いた、標的への系統だった接続試行ミスのプロセスを意味す

る。参照はIPアドレス、URL、メールアドレスなどだ。ファンブルが疑わしいのは、正規のユーザ

なら必要な参照が与えられているはずだからだ。新しい会社に入社すると、まずメールサーバの名

前を教えてくれる。推測する必要はない。

攻撃者はその情報にアクセスできない。したがって、攻撃者はシステ

ムからその情報を推測する

か、盗むか、探し回るかしなければならない。それゆえ接続試行に失敗する。多くの場合、この失

敗は大量で系統立っている。このような失敗を特定し、無害な失敗と区別することが分析における

重要な第一歩である。

本章では、攻撃者に侵害された正常なユーザの挙動のモデルを見ていく。本章では、メール、ネッ

トワークトラフィック、ソーシャルネットワーク分析による情報などの前の章のさまざまな結果をま

とめる。

11.1

 攻撃モデル

攻撃者の挙動について話す前にまず用語の説明が必要である。ハッキン ...