STIX2.0/TAXII2.0 を用いたインディケータの自動収集と攻撃検知の自動化

摘要

ドメイン名やIP アドレスなどのC2 サーバの情報は，標的型攻撃を検知するための有用な手がかりとなる．近年，情報共有が世界中で進んでおり，インディケータの取り扱いの自動化のために，脅威情報の標準記述形式であるSTIX や，STXI を交換するための仕様であるTAXII の普及が進んでいる．共有された情報，いわゆるインディケータの活用局面として，過去に発生した攻撃を検知すること，および将来的に発生しうる攻撃に備えて利用することが挙げられる．STIX を活用した効果的な検知のためには，適切なタイミングでSTIX 形式のインディケータを受信し，組織のログを突合する必要がある．本研究では，TAXII を用いて，STIX 2.0 形式のインディケータを自動的に収集し，オープンソースのログ分析エンジンであるElastic Stack 上でプロキシログと突合することで，攻撃を効率的に検知する手法を提案する．