富士通研究所は5月13日、特定の組織などを攻撃対象とする標的型サイバー攻撃について、攻撃を見つけた後の被害の状況を迅速に分析する技術を新たに開発したと発表した。
今回開発した技術では、これまで専門家に依頼して長い時間が掛かっていたセキュリティ事故の分析が、専門家でなくても短時間で実現できるという。その結果、標的型サイバー攻撃を受けた場合でも、被害が拡大する前に迅速で包括的な対策を講じることが可能となる。
今後は、本技術の運用性を向上させるなどさらなる機能向上を行い、2016年度中の実用化と、2016年度以降に富士通が提供するサービスへの実装を目指す。
- TechRepublic Japan関連記事：今必要なのはセキュリティコックピット--再注目されるSIEMの意義
- インシデント発生時に迅速、正確に原因を突き止める“第3世代”SIEM--EMCジャパン
- スキーマ不要でログを収集、検索、分析するSIEMの次世代性--Splunk
- 検知後の行動も定義、“グレー”な振る舞いを見極めるSIEMの分析力--HPE
- “マグニチュード”で危険度を数値化するSIEMのインテリジェンス--日本IBM
- セキュリティ対策をライフサイクルで捉えるこれからのSIEM--マカフィー
組織内へ侵入したマルウェア攻撃の被害を明らかにするためには、現在ではネットワークやPCなどの各種ログを分析する方法が用いられている。しかし、個々のログから把握できるのは断片的な情報のみで、被害の全貌を把握するには専門家が長時間をかけて分析する必要があった。
また、ネットワークの通信を常時そのまま蓄積しておいて分析する方法もあるが、ネットワークを流れる通信は膨大な量であるため、すべてを蓄積するには相応の費用も必要となる。
さらに、通信の分析においても、マルウェアの遠隔操作による攻撃の通信は、それだけでは正常通信か攻撃通信かを判定できない上に、メールやウェブ閲覧などの通常の業務で行われる大量の通信の中に紛れており、攻撃に関係する通信のみを効率的に分析することは困難だった。
それに対して、富士通研究所は今回、攻撃の被害分析に必要な情報収集部分について、大量のネットワーク通信を自動的に解析することにより、標的型サイバー攻撃の進行状況の全貌を短時間で分析し、一目で把握する技術を開発した。
開発した技術の概要（富士通研究所提供）
開発した技術の特徴は以下の通り。
ネットワーク中を流れる通信データを取得し、その通信データからPCで実行されたコマンド操作を推定することで、膨大な通信データを操作のレベルに抽象化して圧縮する。
また、通信データから特定したユーザー情報とコマンド操作を効率的にひも付けることで、誰がどのような遠隔操作を行ったのかを特定し、コマンド操作についての証跡情報を収集する。これにより、ネットワークを流れる通信データを、約1万分の1に圧縮して蓄積することが可能。
攻撃進行状況の抽出技術
上記技術で収集した証跡情報を、標的型サイバー攻撃に特徴的な動作の定義をもとに、正常な業務による通信と攻撃の可能性の高い通信を識別して分析することで、攻撃の進行過程を短時間で抽出する。
この分析技術を搭載した分析システムを、大量に通信が行われている社内ネットワークに設置することで、例えば1日分の通信の証跡ログの中から特定のPCでの一連のコマンド操作を数秒から数十秒で抽出することが可能になるとのこと。
開発した分析システムでは、証跡の収集、調査を常時行えるため、標的型サイバー攻撃を検知した際に、攻撃に関係したPC端末を芋づる式に抽出し、攻撃の進行状況についての俯瞰図を自動的に描画することで、攻撃の全貌を一目で把握できるという。
標的型攻撃の進行状況の分析システムの画面（富士通研究所提供）
