データ分析によるネットワークセキュリティ

247

12

章 

ボリュームと時間の分析

本章では、時間経過に伴うトラフィックの「量」を比較することで特定できる現象を検討する。「量」

はバイト数やパケット数の場合もあれば、ファイルを転送しているIP アドレスの数などの場合もあ

る。観測したトラフィックによって、トラフィックデータからさまざまな現象が推測できる。特に以

下のような現象がある。

ビーコニング

誰かがホストに一定間隔でアクセスしている場合、攻撃の兆候である可能性がある。

ファイル抽出

大量のダウンロードは、誰かが内部データを盗んでいることを意味する。

DoS（DenialofService：サービス拒否）

サーバがサービスを提供するのを妨げる。

トラフィック量データにはノイズが多く含まれる。時間経過に伴うバイト数などの直接数えられる

ほとんどの観測可能データは大きく変化し、イベントの量とその重要性には実質的な関係はない。言

い換えると、バイト数とイベントの重要

性の間には有意な関係はほとんどない。本章はスクリプトや

可視化によって普通ではない挙動を検出する方法を示す。しかし、危険とみなすべき挙動を判断す

るには、ある程度、人間の目による観測や判断が必要である。

12.1

 就業時間のネットワークトラフィック量に対する影響

企業ネットワーク上のトラフィックの大半は、その企業で働いている従業員から発生するので、ト

ラフィックの変動は就業時間にほぼ一致する。トラフィックは夜に底をつき、8時頃から上昇し、13

時頃に最大になり、18時頃から減少する。

労働時間が