特独立行政法人情報通信研究機構

ネットワークセキュリティのための再現・模倣技術
R eproducing and Emulation Technologies for Researches on Secure Networking
三輪信介
MIWA Shinsuke
要旨
ネットワークセキュリティに関する研究開発を行う上では、さまざまな攻撃についてその仕組みを解析し問題を明らかにする必要がある。また、ネットワークセキュリティに関する新しい技術が開発された場合には、それを現実に即した環境で検証する必要がある。
そこで、本稿では、ネットワークセキュリティに関する研究開発に用いるために我々が開発してきたネットワーク環境の再現・模倣技術について、その成果と応用について述べる。

Mechanisms of various attacks must be analyzed in detail for clarifying and defining targetsof research and development on secure networking. Moreover, new technologies concerning
secure networking must be verified on the realistic network environment.
In this paper, we describe our reproducing and emulation technologies for researches on
secure networking, and its applications.
［キーワード］再現，模倣，AS 間ネットワーク，マルウェア，封じ込め
Reproduction, Emulation, Inter-AS network, Malware, Containment1

はじめに行ってきた。本稿では、これらについてその研究背景と技術を概観し、成果と応用について述べ

ネットワークセキュリティに関する研究開発を行う上では、ウィルス・ワーム・ボットなどのマルウェア［1］やさまざまな攻撃について、その仕組みを解析し、問題を明らかにする必要がある。こる。

2のような解析を行うためには、マルウェアそのも 域インターネットの再現・模倣
広技術のや攻撃に関わる通信内容などを集めたデータ

まず、広域インターネットにおけるネットワークセットと、それらに基づき実際の攻撃を再現できセキュリティに関する実験を行うために研究開発る実験環境が必要となる。また、ネットワークセした広域インターネットの再現・模倣技術についキュリティに関わる新しい技術が開発された場合て述べる。には、現実に則したネットワーク環境上でその有2.1

効性や性能を検証する必要がある。

背景 ― インターネットの構造

そのため、我々は、広域にわたるインターネッ

現在の ICT 環境のネットワークセキュリティをト網から組織規模のネットワーク環境までの再現考える上では、インターネットにおけるセキュリや、マルウェアや攻撃ツールを騙すための各種ティが中心となる。インターネットは、接続性ののサービスシステムの模倣など、ネットワークセ観点では 1 つのネットワークであるが、実際にはキュリティのための再現・模倣技術の研究開発をAS（Autonomous System; 自律システム）と呼ば

１
TELECOM FRONTIER No.76 2012 SUMMER
157

ネットワークセキュリティのための再現・模倣技術
Reproducing and Emulation Technologies for Researches on Secure Networking

れる単位で分割されており、そこに各顧客組織の2.2

広域インターネットの再現・模倣手法

我々の目的は、実際にある新しい技術がソフトネットワークが接続されている。つまり、
1）各組織のネットワークウェアやハードウェアとして実装された場合、そ2）プロバイダ等の AS 内ネットワーク（Inner-ASの検証をなるべく現実に即した環境で行うことである。よって、広域インターネットの再現・模倣

ネットワーク）3）AS 間のネットワーク（Inter-AS ネットワーク）

技術もいかに本物のインターネットに近い AS 間といった複数段の構造になっている（図 1）。

ネットワークを実験のための環境として構築するかを主要な課題とした。また、実装を対象とするため、ネットワークシミュレーターではなく、実AS a装の試験が可能なテストベッド上に構築すること...

Host Aが求められた。
翻って、現在のインターネットには、37,500 をAS

ASAS超える AS がある（2011 年 5 月現在、図 2）
。研究AS

ASAS
AS

AS

を開始した当初の 2006 年時点でも 25,000 程度でAS...

あった。規模から考えると、AS 間ネットワーク全Inter-AS体をそのまま再現するのは困難があると考えられHost B

AS bていたため、AS 間ネットワーク全体の再現は試

図 1 インターネットの構造みられていなかった。しかし、NICT にはおよそ1,000 台の PC から構成されているネットワーク研究開発向けのテストベッド StarBED［2］があり、当よって、インターネット上でのセキュリティ対時から仮想化技術が進展しはじめていたこととあ策を導入する位置も、大別すると、わせて、仮想化技術と大規模なクラスタ型テスト

1）最終的な各ユーザの PC 等のデバイスベッドの組み合わせにより、AS 間ネットワーク全2）各組織ネットワークの出入口体を再現・模倣するという大胆な試みを開始した。

3）AS の出入口

AS 間ネットワークは、BGP（Border Gatewayの 3 種類が考えられる。例えば、ウィルス対策ソProtocol）によって経路制御されている。よって、フトウェアなどが 1）に、FireWall や IDS などがAS 間ネットワークを模倣するためには BGP の2）に、経路フィルタなどが 3）に相当する。
それぞれについて新しい技術が開発された場合には、最終的にその技術を展開配備するまでには何らかの検証実験が必要となるが、その技術の展開範囲が広域になるほど、実験を行うことが困難になる。すなわち、各ユーザのデバイスや各組織のネットワークに関する技術の実験より、AS 間ネットワークに関する技術の実験は困難である。
これは、実際に実験するための環境を準備する構築コストの問題と広域になることにより複数の組織の協力を必要とする運営コストの問題があるからである。
そこで、我々は特に広域にわたるインターネッ
ト上での技術に関する実験を容易にするために、AS 間ネットワークの再現・模倣技術の研究開発を行ってきた。

158

情報通信研究機構季報 Vol. 57 Nos. 3/4 2011

図 2 AS 間ネットワーク

１２

TELECOM FRONTIER No.76 2012 SUMMER

ネットワークセキュリティのための再現・模倣技術
Reproducing and Emulation Technologies for Researches on Secure Networking

ルータを必要に応じて配置する必要がある。また、BGP ルータを起動する（図 3）。

AS 間ネットワークは自律的に運営されている AS同士を接続方法だけを決めて接合したネットワー
クであり、全体の構造は管理されているわけではない。そのため、AS 間ネットワークの構造を再現するためには、AS 間ネットワークの構造に関する情報を観測的に手に入れることと、手に入れた情報に基づき構造を作ることが必要である。
我々は、AS 間ネットワークの構造（トポロジ）データから各 BGP ルータの設定ファイルを自動生成するツール群（AnyBed［3］）とその設定ファイルに基づいて仮想化技術を用いて StarBED などのテストベッド上に大量の BGP ルータを配布するツール群（XENebula［4］）を開発した。現状では、簡単のため 1AS は 1BGP ルータとして模倣しており、BGP ルーティングソフトウェアを実行できるVM（仮想機械）を大量に起動し、それらを接続することで AS 間ネットワークを再現・模倣する。
AS 間ネットワークの構造については、CAIDAが提供している AS 関係データセット（AS Rank
annotated inferred relationship Dataset）を用いて、AnyBed で 1）必要な範囲のトポロジを切り出し、2）BGP ルータ間の経路を推定し、3）設定ファイルを生成する。その後、XENebula で、その設定ファイルとテストベッド（StarBED）の資源情報を基にして、1）BGP ルーティングソフトウェアが入った VM（仮想機械）の各 PC サーバへの割り当てを計算し、2）各 PC サーバにその PC 上で動作する VM の OS イメージと BGP ルータの設定ファイルを配布し、3）実際に各サーバ上で VM として

2.3 広
 域インターネットの再現・模倣技術の成果と応用
この手法を用いることで、実際の AS 間ネットワークの 3 分の 1 に相当する 10,000AS から構成される AS 間ネットワークの再現・模倣に成功している。規模の点では世界に類を見ない AS 間ネットワークの再現・模倣環境であった。
実際に利用された事例として、この技術による AS 間ネットワークの再現・模倣環境を用いて、AS 間 IP トレースバック技術の実証実験に向けた予備実験［5］が行われた。
AS 間の IP トレースバック技術はまさしく我々が想定したようなインターネット上に広域に展開される技術であり、その実証実験には複数のプロバイダにまたがる実験環境の構築と、複数のプロバイダ全体による運営が必要であるため、コストが高かった。そのため、我々が開発した AS 間ネットワークの再現・模倣環境を用いて、実証実験の前に予備実験を複数回実施し、実証実験の回数や期間を最小限に留めることができたという。
これは、我々が想定していた通りの成果を上げることができたといえるだろう。
AS 間ネットワークの再現・模倣技術は、現在、単純に規模と構造の観点での再現・模倣を行う段階から、より速く構築することと、より正確な再現ができるようにすることを目指した研究開発が継続されている。このような大規模な再現・模倣の技術は、ネットワークセキュリティの分野に留まらず、次世代・新世代のネットワークを構築するべく研究開発が進む中で、ネットワーク技術に関するテストベッドの研究として、世界的にも 1

Base
Datasetas-relれている。

Generated
Data

Functions

つの分野を形成しつつあり、今後の進展が期待さ

RI

Topology
Filter(TF)

Subsetof as-rel

LogicalTopo.

Topology
Calculator(TC)Configuration
Generator
(CG)

Conf.
files

WorldAllocator
(WA)

SWI

3 マ
 ルウェア／攻撃ツールを騙すための再現・模倣技術

WorldSeeder
(WS)

Conf.
files
SWI

NodeController(NC)

On EmulatedInter-AS
Network
AnyBedXENebula

次に、マルウェアや攻撃ツールを騙すための再現・模倣技術について述べる。

Experimental
Node(Emulated AS)
Physical Node

図 3 AnyBed/XENebula のアーキテクチャ

３3.1

背景 ― 隔離と再現性の対立

ウィルス・ワーム・ボットなどのマルウェアやTELECOM FRONTIER No.76 2012 SUMMER

159

ネットワークセキュリティのための再現・模倣技術
Reproducing and Emulation Technologies for Researches on Secure Networking1） マ
 ルウェアや攻撃ツールによる実行環境の判各種の攻撃ツールの動作やその仕組みを詳細に解別がし易くなる析するための手法は、大きく分けて下記の 2 つが2）マルウェアや攻撃ツールが活動するために必ある。
1）プログラムコードから動作の仕組みを解析する

要な通信も阻害してしまう

静的解析2）実際にそれらを動作させて観測・解析する動

よって、外部への影響や外部からの影響を避けるためには、隔離は有効な手段であるが、隔離に態解析

よってマルウェアや攻撃ツールの動作が正確では多くの対策技術は、マルウェアや攻撃ツールがなくなり実際の動作に対する再現性の低下が起こ動作したときの通信内容やファイルへのアクセスりうるという対立がある。

履歴などの足跡から、検知と対応を行うため、動

そこで、我々は隔離しながらインターネット上作による影響を知ることができれば、新種のマルのサービスやホストを模倣することで、マルウェウェアや攻撃ツールにも対応可能となる。そのたアや攻撃ツールを騙し、正確な解析を目指す擬

め、動作による影響を計るため、動態解析が広く似インターネット付き隔離解析環境の研究開発を用いられている。

行ってきた。

動態解析では、何らかの実行手段で、かつ、何らかの解析環境上で、マルウェアや攻撃ツールを3.2実際に実行し、その動作による影響を観測する必擬似インターネット

マルウェアや攻撃ツールによる実行環境の判別要がある。よって、マルウェアや攻撃ツールが実は、自身が解析を目的とした環境で実行されてい際に感染や攻撃などの活動を試みる。そのため、ないかを検査するために行われる。その検査結果

解析環境が外部に接続されている場合には、感に基づいて、マルウェアや攻撃ツールは実行抑制

染を拡げるなど、その影響が外部に及ぶため、何や実体隠蔽を行い、動態解析を困難にする。

らかの対策が必要となる。また、実際のインター隔離対策としては、利用 IP アドレスの確認やネット上には、非常に多くのマルウェアが蔓延し接続性の検査が行われる。利用 IP アドレスの確ており、解析環境がインターネットに直接接続さ認は、IP アドレスを検査し、隔離環境でよく用いれている場合には、解析対象以外のマルウェアやられるプライベートアドレス空間などで動作して攻撃の影響を受けるおそれがある。そのため、外いないかを確認する方法である。また、インター部からの影響を排除するための何らかの対策が必

ネット上の特定のホストやサービスへの接続性を要となる。

検査することで、隔離環境ではないかを判別する

このような外部への影響や外部からの影響を排方法がある。手法が非常に単純であるため、広く除するために、物理的もしくはネットワーク的に用いられている。

何らかの障壁を設けて、マルウェアや攻撃ツール

IP アドレスの検査に関しては、外部への影響の実行環境を外部と分離することを、すなわち隔を排除した上で、プライベートアドレス以外のア離［6］が必要となる。

ドレスを実験環境に用いればよいので、大きな問

しかし、マルウェアや攻撃ツールには、隔離し題ではない。これに対し、接続性の検査についてた環境での詳細な解析を避けるために、インターは、容易に解決することはできない。

ネット上の特定のホストやサービスへの接続性をそこで、接続性検査の対象となるサービスやホ検査して動作を変えるような解析困難化機能をストを模倣し、接続性を誤認させる擬似インター備えるものが多くある。また、マルウェアや攻撃［8］することとした。
ネットを開発［7］ツールが実行時にインターネットから何らかの情

マルウェアや攻撃ツールは、基本的にソフト報をダウンロードするような場合やボットのようウェアとして何らかの PC 等の実行環境上で動作にネットワーク経由での命令を受けなければ動作する。そのため、実行環境となった PC やその OSしないものなどは、正常に動作しない。すなわち、上で動作する機構は、すべてマルウェアや攻撃隔離した場合には、次のような問題が生じると言ツールに容易に検知されてしまう恐れがある。こえる。

れに対し、実行環境とは違う PC やネットワーク

４160

情報通信研究機構季報 Vol. 57 Nos. 3/4 2011

TELECOM FRONTIER No.76 2012 SUMMER

ネットワークセキュリティのための再現・模倣技術
Reproducing and Emulation Technologies for Researches on Secure Networking

上で動作する機構については、マルウェアや攻撃擬似インターネットによりマルウェアを騙し、隔ツールも外部観測的にしか検査することができな離環境で解析されていることに気づかせない方式

い。擬似インターネットでは、この関係を利用し、を組み合わせて、対抗している。構成の概要を図

ネットワーク上に接続性検査の対象となるサービ

4 に示す。

スやホストを模倣するための VM を配置する。基

再生可能な実ノードによるマルウェア実行環境

本的な擬似インターネットの構成は、下記の通り。

である Malware Incubator と擬似インターネッ

1）有名なサイトの模倣

ト機能を有する Mimetic Internet、それらを制

2）グローバルなサービスの模倣御する制御用の Controller ノード群（以降、制御

3）ローカルなサービスの模倣ノード群）と管理用端末からなっており、管理用

4）周辺ホストの模倣端末以外はすべて隔離環境中にある。Malware5）経路の模倣

Incubator 上でマルウェアを動作させ、マルウェ
ア の イン タ ー ネット へ の ア ク セ ス は Mimetic
Internet が模倣し、接続性検査などを騙すこと

3.3 擬
 似インターネット付きマルウェア隔離解析環境ができる。実験用のネットワークは物理的に分離

擬似インターネット付きマルウェア隔離解析環されており、管理用のネットワークは論理的に分境は、仮想環境や隔離環境を判別するような解析離されている。実行環境から管理用ネットワーク困難化機能を持つマルウェアを安全に動態解析すへの通信は、マルウェアの実行時は完全に遮断るための隔離解析環境である。マルウェアの解析される。実験データの収集や検体の投入を必要困難化機能に対し、実ノードの切替えや再生によとする場合には、一度マルウェア実行環境を停止り仮想化技術と同程度の利便性を確保する方式とし、別のネットワークブートの OS で再起動したManagementTerminal

Control
Messages

Collected
Data

Security
Gateway

Dispatcher
NodeController

Control
Messages

CapturedDumps

SensorNode

Mimetic
Target Hosts

MimeticInternet

Collected
Logs

Injector/Collector
Node

InjectingSpecimems

Capturing
Packets(Trafc)

Emulated
Routes

Dispatched
SpecimensCollecting
Logs

Renewable
Node

MalwareIncubator

Isolated Sandbox

図 4 擬似インターネット付きマルウェア隔離解析環境の構成

５

TELECOM FRONTIER No.76 2012 SUMMER

161ネットワークセキュリティのための再現・模倣技術
特集
Reproducing
and Emulation Technologies for Researches on Secure Networking

後に行うため、マルウェア活動が制御ノード群に会議において研究のための共通データセットとし及ぶことはない。さらに、制御ノード群と管理用て採用された。

端末の間には特定の通信のみを許可する Security

隔離環境は、危険が伴うはずの行為を安全にGateway が設置され、二重に隔離を行っている。

体験できるため、体験演習に向いている。そこ
で、擬似インターネット付き隔離解析環境と同じ3.4

擬似インターネットの成果と応用ソフトウェアを用いて、StarBED 上に複数の隔離擬似インターネットを有する隔離型の解析環境環境を構築し、実際に学生がその環境を用いてマは、安全性と正確性の両立をはかることができる。

ルウェアや各種の攻撃について体験しレポートをそこで、その応用として、［9］が行われ行うという「インシデント体験演習」

1）逐次自動解析によるデータセットの生成た。予備を含めて 15 組程度の隔離環境を用いて、

2）体験演習

あらかじめ用意されているコンテンツから指定さが行われた。

れたものを選ぶと、逐次自動解析と同様に、隔離逐次自動解析によるデータセットの生成では、環境内にマルウェアや攻撃ツールが投入され、実マルウェアや攻撃ツールなどを投入すると、それ行が開始される。受講生は、隔離環境内にある監を擬似インターネット付きの隔離環境内で動作さ視用のサーバからその状況を監視し、どのようなせ、その際の通信内容や実行中のメモリの内容、攻撃が行われ、どのような対策が必要かなどをレ各種のアクセスログなどを取得し、データセットポートする。このインシデント体験演習は、2008として取り出せるようにするもので、この一連の年より 3 年間実施された。

流れが自動化される（図 5）。この方法によって生擬似インターネットの技術は、現在、固定的な成されたデータセットは、実際にいくつかの学術サービスやホストの模倣から、標的型攻撃などを

図 5 逐次自動解析によるデータセット生成

６162

情報通信研究機構季報 Vol. 57 Nos. 3/4 2011

TELECOM FRONTIER No.76 2012 SUMMER

ネットワークセキュリティのための再現・模倣技術
Reproducing and Emulation Technologies for Researches on Secure Networking

ステムを別の分散システム上に射影するにはどう対象とした自由度の高い環境の構築を可能とする
こと、対象となるサービスの広域なサービス網をすればよいのか、何ができることを正確な射影含む正確な模倣を可能とすることを目指した研究（再現・模倣）と呼び、何を省いても良いのかな

開発が継続されている。擬似インターネットのよど、ソフトウェア科学としての研究が必要となる

うな技術は、サービスを射影する技術であり、マと考えられる。このような研究が積み重ねられれ

ルウェアや攻撃ツールを騙すためだけでなく、正ば、単に解析環境や実験環境に用いるだけでな確な実験を可能とするための技術として、今後のく、ICT 環境全体の評価の枠組みや科学的な構成進展が期待されている。

法の確立につながるなど、大きな拡がりを持つと考えられるため、進展が望まれる。

4

課題と今後の展望

5

広域インターネットの再現・模倣技術も、擬似おわりにインターネットも、いずれもこれで完成したといネットワークセキュリティの分野は、新しい

うわけではない。例えば、広域インターネットのICT 環境の進展にあわせて、対象がより複雑化し再現・模倣では、AS 間のネットワークを正確にてきている。このような状況においては、実際に模倣するためには、インターネットの正確な観測動いているソフトウェアやハードウェアと似たもとそれに基づく正確な射影が必要となるが、多くのを使って実験や検証を行うための技術は重要での推定を含む現状では容易ではない。また、擬似ある。我々の広域インターネットの再現・模倣技

インターネットにおいては、接続性検査は騙すこ術やマルウェア／攻撃ツールを騙すための再現・とができるが、外部からのダウンロードや指令を模倣技術は、このような実験や検証に不可欠な技必要とする場合には、それらのコンテンツも含め術であり、実際の事例にも利用され、成果を上げて擬似的に提供できなければ正確な再現・模倣ている。

はできない。さらに、再現・模倣の目指すところ

今後は、我々が目指した実践的な検証・実験とは、「いかに本物らしいか」の追求であるが、本科学的な検証・実験とが組み合わされることで、物らしくすることで、本物のインターネットと同ネットワークセキュリティが設計や開発の段階で様に実験にコストやリスクがかかるようになって問題を持たないことを保証できるような「セキュは、再現・模倣して構築する意味を失いかねないリティ・バイ・デザイン」が実現されることを望といった問題もある。

んでいる。

こういった問題を解消するためには、分散シ参考文献
1 E. Skoudis with L. Zeltser,“MALWARE – Fighting Malicious Code –,”Prentice Hall PTR, ISBN 0-13-101405-6, Pearson Education Inc., 2004.
2 宮地利幸，中田潤也，知念賢一，Razvan Beuran，三輪信介，岡田崇，三角真，宇多仁，芳炭将，丹康雄，中川晋一，篠田陽一，“StarBED： 大規模ネットワーク実証環境，”情報処理学会，情報処理，Vol. 49, No. 1, pp.

57–70, ISSN 0447-8053, Jan. 2008.
3 Mio SUZUKI, Hiroaki HAZEYAMA, Daisuke MIYAMOTO, Shinsuke MIWA, and Youki KADOBAYASHI,“Expediting experiments across testbeds with AnyBed: a testbed-independent topology configuration

system and its tool set,”IEICE Trans. of Information and System, Vol. E92-D, No. 10, pp. 1877–1887, Oct.
2009.
4 Shinsuke Miwa, Mio Suzuki, Hiroaki Hazeyama, Satoshi Uda, Toshiyuki Miyachi, Youki Kadobayashi, andYoichi Shinoda,“Experiences in Emulating 10K AS Topology with Massive VM Multiplexing,”The First ACM
SIGCOMM Workshop on Virtualized Infastructure Systems and Architectures (VISA'09), Aug. 2009.

７

TELECOM FRONTIER No.76 2012 SUMMER

163

ネットワークセキュリティのための再現・模倣技術
特集Reproducing and Emulation Technologies for Researches on Secure Networking
5 櫨山寛章，若狭賢，門林雄基，“実証実験に向けた IP トレースバックシステム導入シナリオに関する一考察，”
電子情報通信学会，インターネットアーキテクチャ研究会，Jul. 2008.
6 三輪信介，門林雄基，篠田陽一，“マルウェア隔離実験環境の設計と実装，”情報通信研究機構季報，Vol. 54,

Nos. 2/3, pp. 15–23, 2008, ISSN 1349-3191, Sep. 2008.
7 Shinsuke MIWA, Toshiyuki MIYACHI, Masashi ETO, Masashi YOSHIZUMI, and Yoichi SHINODA,“DesignIssues of an Isolated Sandbox used to Analyze Malwares,”proceedings of Second International Workshopon Security (IWSEC2007), LNCS 4752 Advances in Information and Computer Security, ISBN 978-3-54075650-7, pp. 13–27, Oct. 2007.
8 三輪信介，宮本大輔，櫨山寛章，井上大輔，門林雄基，“模倣 DNS によるマルウェア隔離解析環境の解析
能向上，”サイバークリーンセンター・情報処理学会，マルウェア対策研究人材育成ワークショップ 2008

(MWS2008), pp. 19–24，沖縄，Oct. 2008.
9 三輪信介，宮本大輔，櫨山寛章，樫原茂，門林雄基，篠田陽一，“インシデント体験演習環境の設計と構築，”
情報処理学会，コンピュータセキュリティシンポジウム 2008 (CSS2008), pp. 929–934，沖縄 ，Oct. 2008.
（平成 23 年 6 月 15 日 採録）

みわ しん すけ

三輪信介

テストベッド研究開発推進センター
テストベッド研究開発室副室長／
北陸 StarBED 技術センター長／
ネットワークセキュリティ研究所
セキュリティアーキテクチャ研究室主任研究員 博士（工学）
ネットワークセキュリティ

独立行政法人情報通信研究機構発行の技術情報誌「情報通信研究機構季報」
Vol.57 Nos.3/4 2011年9･12月号の記事を､著者及び情報通信研究機構の承諾を得て掲載しています。内容を一部加筆修正しています。

８TELECOM FRONTIER No.76 2012 SUMMER