組織内ネットワークでの攻撃伝搬に対する既存のネットワーク機器を活用した監視手法の検討

摘要

標的型攻撃等の組織内のネットワークで伝搬する攻撃の増加が報告されており，これらの攻撃では，組織内の感染ノードから，他の組織内ノードへの攻撃が行われ，感染が拡大していく．最初の組織内ノードヘの感染はゼロデイ攻撃が使用されるため，感染拡大の検知には外部から内部への通信の監視だけでは足りず，組織内ネットワークでの通信を監視をする必要がある．本研究では，コストを抑えるために，既存のスイッチなどのネットワーク機器を更新せず組織内ネットワークを監視する手法として，中継するスイッチの機能を用いてスイッチを流れるトラフィックを中央の監視サーバに転送する手法（低コスト集中監視方式）を検討する．すべての組織内ネットワークに流れるパケットの情報を取得しようとした場合，ファイルサーバへのアクセスなど，通常は組織内ネットワークに閉じたトラフィックがすべてコアネットワークの監視装置に流れ込むため，監視装置を更新せずに定常的に監視するためには，トラフィックの削減が求められる可能性がある．本研究では低コスト集中監視方式において課題となるスイッチのトラフィックプローブ機能について調査し，その課題について整理した．また，キャンパスネットワークを対象として，想定する監視で発生するトラフィック量を調査した．さらに，組織内ネットワーク攻撃に悪用されるプロトコルなどに監視対象を限定することで，両手法で監視可能な分量への監視トラフィックの削減可否を調査した．