Web トラフィック検査のためのサンドボックスの運用結果について
吉田 和幸 1), 吉崎 弘一 1) , 安徳 恭彰 2)1) 大分大学 情報基盤センター
2) 大分大学 医学情報センター
yoshida@oita-u.ac.jp

Operation Result of the Sandbox Checking Web Traffic
Kazuyuki Yoshida 1), Koichi Yoshizaki 1), Yasuaki Antoku 2)
1) Information Technology Center, Oita University2) Medical Information Center, Oita University
概要
大分大学では、2017 年 3 月の基盤情報システムの更新に合わせてサンドボックス装置を導入した。これにより、従来のファイアウォールによる保護に加えて Web アクセスにより侵入する可能性がある malware を検知することが可能になった。本稿では、導入後 6 か月の運用状況（検知結果）について報告する。

1

はじめにメールに関しては、ファイアウォールで行う簡易なウィルス検査に加えて、メールゲートウェイインターネットからのマルウェアの侵入を防で送信元メールサーバのレーティング情報などをぐための入り口対策は重要である。大分大学では、用いて spam 判定を行い、その後、メールサーバファイアウォール等によるセキュリティ対策に加でウィルス検査を行っている[3,4]。さらに PC にえて、2017 年 3 月の基盤情報システムの更新[1]

取り込まれたときに PC のウィルス対策ソフトウに合わせてサンドボックス装置(FireEye NX7500

ェアで添付ファイルのウィルス検査が行われる

Essential )を導入し HTTP でダウンロードされる実（表 1）。

行形式ファイルの検査を行うようにした。本稿でこれに対して、Web ページからファイルをダウは、半年間のサンドボックスの運用の状況を報告

ンロードするときは、そのページの URL のレーするとともに、サンドボックスの有効性についてティングのチェック行い、ダウンロードされるフ考察する。

2

従来のセキュリティ対策
大分大学は、5 学部、5 研究科からなり、学生約 6000 人、教職員数約 1900 人の規模である。
学内 LAN におけるセキュリティ対策の中心は、ァイルに対してはファイアウォールでは、簡易なウィルス検査を行っているが、十分ではなく PCのウィルス検査に大きく依存していた(表 2)。

3

サンドボックスの導入

Web からダウンロードするファイルを検査する

2015 年 4 月に導入したファイアウォール(Forti-装置として、サンドボックスを導入した（表 2）。

Gate 1500D)である[2]。本ファイアウォールによサンドボックスは、ダウンロードされているファり、「学外から学内(Inbound)」, 「学内から学外イルを取り込み、内部の隔離された環境で仮に実(Outbound)」の両方向のトラフィックを監視し、行してみて、そのふるまいを確認することでマルTCP Flood 攻撃、scan 攻撃等を検知、遮断し、ウェアを検知する。そのため、未確認のマルウェ

Web ページのアクセスに関しては、URL の分類、アを検出することも可能である。今回導入した装レーティングに基づいて、許可／遮断を決定して置は、隔離された実行環境として Windows 環境いる。ファイアウォールでは stream 型の簡易なとともに Mac OSX 環境も持っている。

ウィルス検査を行っている。

表 1．メールの多段防御対策
装置等対策

FirewallInbound/Outbound port 25 Block (IP25B/OP25B)
Mail Gateway が送受信するメールのみ通す

Mail Gateway

spam 対策 (Greylisting, S25R, SPF 他)

Mail Server

添付ファイルのウィルス検査

PC

添付ファイルのウィルス検査, C&C サーバとの通信の検知・遮断
表 2．Web の多段防御対策

装置等

対策
Inbound port 80 Block (IP80B)(Web サーバ宛の通信のみ通す)
Outbound は、フリー

Firewall

URL のレーティング
Sandbox (新規)PC

ダウンロードファイルを隔離環境で実行，ふるまい検査,
C2 サーバとの通信の検知
ダウンロードファイルのウィルス検査
C2 サーバとの通信の検知・遮断

SINET
10Gbps×2
対外 SW(C6)

FortiGate

FireEyeポリシードミラー
学内L3SW(A1)LAN

図１．システム構成図
ファイアウォールの学内 LAN 側のインタフェ

ポートの http で通信される実行形式ファイル

ースと接続する LAN スイッチのポートをミラ

であるが、侵入した Malware と C2 サーバとのーして、サンドボックス装置の検知用インタフ通信を検知する機能も持っているので、すべてェースに送っている。サンドボックス内の仮想の TCP トラフィックと UDP の DNS トラフィ

環境で動作させるのは、80 番ポート、8080 番ックをミラーしている(図 1)。

35
Web Infection

number of detections / week

30

Infection Match
25

Domain Match
Malware Callback

20

Malware Object

15
10
50
2017/3/1

2017/4/1

2017/5/1

2017/6/1

2017/7/1

2017/8/1

2017/9/1

図 2. 検知数の推移
表 3. 検知数
MalwareObject

ウェア感染を引き起こす攻撃が試行された。

WinMac404

非依存9Malware Callback
Domain Match
Infection Match
Web Infection
Total5) Web Infection: web 経由での感染行為(Java,53

Flush player 等)が試行された可能性がある。
「Malware Object」が、サンドボックス内の仮想77054139環境で実行し、不審な動作をした結果、検知されたものである。
表 3 より、Domain Match アラートは、検知されず、Infection Match アラート、Web Infection
アラートは、数件検知された。大部分は Malware
Object アラート、Malware Callback アラートであ4

サンドボックスの運用状況る。これらのアラートは、情報基盤センター、医学情報センターで確認し、対処が必要であれサンドボックスの導入以降、2017 年 9 月まで

ば、利用者にダウンロードしたファイルの削除の検知数を表 3 に、1 週間ごとの検知数の推移や、ファイルのスキャン等を要請している。

を図 2 に示す。サンドボックス(FireEye NX7500

外部との通信を上り下りとも単一のポートへEssential)は、以下の 5 つのアラートタイプで検ミラーしてサンドボックスに送っているので、知を行う。

Web トラフィックに乗って外から侵入してくる

1) Malware Object: マルウェアと思われる実行

malware、内部から外の C2 サーバへの通信ばか形式ファイルを検知した。
2) Malware Callback: C2 サーバへと思われる通信を検知した。
3) Domain Match: C2 サーバと思われる FQDNの DNS 問い合わせを行った。
4) Infection Match: 過去に報告実績のあるマルりでなく、その逆も検知できる。学内の Web サーバに関して Malware Object の検知が 5 回、外から学内に向かう Malware callback アラートが30 回検知された。Malware Object は、ファイルスキャンの 結果、誤検知であった 。 Malware
callback は、C2 サーバ探索のスキャンであり、学内側の IP アドレスは未割当であった。

5まとめ2017 年 3 月に導入し、運用しているサンドボックス(FireEye NX7500 Essential)の設置と Malware検知の状況にについて述べた。今後、誤検知の状
況等をみながら自動遮断可能なものは、遮断するようにしていきたい。

参考文献[1] 吉田：新基盤情報システムについて, Journalof IPCs, 大分大学学術情報拠点(情報基盤センター・医学情報センター), vol.37, pp.4-7,2017．
https://www.cc.oita-u.ac.jp/journal/vol.37.pdf[2] 吉 田 ： フ ァ イ ア ウォ ー ルの 更 新 に つ い て,
Journal of IPCs, 大分大学学術情報拠点(情報基盤センター・医学情報センター ), vol.36,
pp.4-5, 2016．
https://www.cc.oita-u.ac.jp/journal/vol.36.pdf[3] 吉田：情報基盤センターにおける spam 対策の現状, Journal of IPCs, 大分大学学術情報拠点(情報基盤センター・医学情報センター),
vol.35, pp.2-4, 2015．
https://www.cc.oita-u.ac.jp/journal/vol.35.pdf[4] 松井 一乃, 金高 一, 加来 麻由美, 池部 実,
吉田 和幸：milter の組み合わせによる低配送遅延を目指した spam 対策メールサーバの設計と導入の効果について, 情報処理学会論文
誌 , Vol.55, No.12, 情 報 処 理 学 会 , pp.24982510, 2014.