Ⅰ
インシデント分析センタ ー／中尾 康二・井上 大介

nicter

ネットワーク基盤技術

３. ネットワークセキュリティ技術

インシデント分析センター
nicter－世界最先端のサイバーセキュリティ技術の研究開発－「n i c t e r は進 化 型 のセキュリティ	フレームワーク。日本の、そして世界のセキュリティを向 上させるため、	実践的なサイバーセキュリティ技術の研究開発を行っています。」

中尾 康二（なかお こうじ）

井上 大介（いのうえ だいすけ）

1979 年早稲田大学卒業後、国際電信電話株式会社に入社。KDD 研究所を経て、現在 KDDI 情報セキュリティフェロー、及び NICT ネットワークセキュリティ研究所 主管研究員兼務。ネットワーク及びシステムを中心とした情報セキュリティ技術に関わる技術開発に従事。

2003 年横浜国立大学大学院工学研究科博士課程後期修了後、独立行政法人通信総合研究所（現 NICT）に入所。2006 年よりnicter の研究開発に従事。現在ネットワークセキュリティ研究所
サイバーセキュリティ研究室 室長と、ネットワーク研究本部 ネットワークシステム総合研究室 研究マネージャーを兼務。博士（工学）。
SF 小説や SF 映画、テクノ、ハウス、エレクトロがエネルギー源。

ネットワークセキュリティ研究所
主管研究員

070

ネットワークセキュリティ研究所
サイバーセキュリティ研究室 室長

光ネットワーク技術

Ⅰ−１

ワイヤレスネットワーク技術

Ⅰ−２

ネットワークセキュリティ技術

Ⅰ−３

Ⅰ−４
nicterの全体像

新世代ネットワーク基盤構成技術／
テストベッド技術

図1

はじめに研究所サイバーセキュリティ研究室では、インシデント分析センター nicter＊3 の研究開発を進め

インターネットは私たちの社会活動や経済活動ています。

Ⅱ前の時代にはもはや逆戻りできない不可逆的変ユニバーサルコミュニケーション基盤技術に多大な恩恵をもたらし、インターネット普及以インシデント分析センター nicter化を現代社会の隅々にまで及ぼしています。一方、るサイバー攻撃の脅威も拡大の一途を辿っていま的な活動傾向をリアルタイムに把握し、それに起す。サイバー攻撃は人間であるクラッカー が引因したサイバー攻撃の早期発見、原因究明、対策き起こすものですが、そのツールとして使われる導出を可能にするため、マクロ解析システム、ミのがマルウェアと呼ばれる不正なプログラムでクロ解析システム、相関分析システム、インシデす。90 年代前半までマルウェアは愉快犯もしくはントハンドリングシステムの 4 つのサブシステム

自己顕示を目的として作成・流布されることが多から構成されています（図 1）。以下では、これらかったのですが、90 年代後半以降は金銭詐取をのサブシステムの概要を紹介します。

＊1

＊2

I
CT

基盤技術

nicter はリモート感染型マルウェア＊4 の世界

Ⅲ 未来

その発展と同調するように、インターネットにおけ始め、高度化・巧妙化が急速に進んでいます。

● マクロ解析システム

このような、マルウェアに起因するサイバー攻

マクロ解析システムでは、国内外の複数地点に撃に対抗するために、ネットワークセキュリティ観測用のセンサを設置し、「未使用」の IP アドレス

＊1 悪意を持ってハッキング行為を行う者。
＊2 ウ ィルス、ワーム、トロイの木馬、スパイウェア、ボットなど情報漏えいやデー＊3 N
 etwork Incident analysis Center for Tactical Emergency Response.
＊4 ネ ットワークを経由して能動的に攻撃を行うことで感染を広げるタイプのタ破壊、他のコンピュータへの感染など有害な活動を行うソフトウェアの総称。
“malicious”と“software”を組み合わせた造語。

Ⅳ 電磁波センシング基盤技術目的とした組織的な犯罪のツールとして利用されマルウェア。最近では 2008 年 11 月に感染爆発を起こした Conficker や、2011 年 8 月から増加傾向が確認されている Morto などが有名。

௶ၡฆఒɈ჎ᅰɬȾȩɥॸ࢞ଞȹȻ

071

Ⅰ
インシデント分析センタ ー
nicter

ネットワーク基盤技術

３. ネットワークセキュリティ技術

を大量＊5 に観測しています。本来、未使用の IPています。また、マウス操作による視点の変アドレスに対して通信は成立し得ませんが、実際更や拡大縮小、パケットオブジェクトのクリッに観測してみると相当数のパケットが届きます。

クによる詳細情報の表示など、分析者のインこれらの大部分は、マルウェアが次の感染対象タラクティブな操作が可能です。

を探すためのスキャンや、マルウェア同士が P2Pネットワークを確立するためのランデブー用の通（2）Cube／中尾 康二・井上 大介

信など、マルウェアに起因したパケットなのです。

 Cube（図 3）は、ダークネットに到達したパ

したがって、未使用の IPアドレス（以下、ダークネッ

ケットを、その送信元と宛先の各種情報に基ト）を観測・分析することによって、インターネッづいて、三次元空間に浮かぶ立方体中にアニトにおけるセキュリティインシデントの一大要因メーション表示する可視化エンジンです。立となっているマルウェアの活動傾向を捉えること方体の縦軸に送 信元 / 宛先 IP アドレスを、が可能になります。以下、マクロ解析システムに横軸に送信元 / 宛先ポート番号を取り、送信含まれる可視化エンジンについて概説します。

元（図 3 の左平面）から宛先（図 3 の右平面）に向けてパケットを通過させることで、マル（1）Atlas

ウェアによるスキャンの形状などが可視化さ Atlas（図 2）は、ダークネットに流れ込むトれます。Cube は Atlas と同様、マウス操作

ラフィック（以下、ダークネットトラフィック）

による視点の変更や拡大・縮小、パケットのを世界地図上でリアルタイムにアニメーショ詳細情報などを表示でき、送信元ホストからン表示する可視化エンジンです。ダークネッの攻撃の様子をリアルタイムに把握すること

トに到着したパケットの 1 つ 1 つについて、が可能です。

送信元 IP アドレスから送信元の緯度・経度を割り出し＊6、その送信地点から宛先 IP アド
レスが属する国の首都に向けてパケットが飛来する様子をアニメーション表示することで、世界的なマルウェアの活動傾向を直感的に把握することができます。各パケットの色はパケットの種別＊7 を表し、パケットの軌道の

図2

高さはポート番号の大きさに比例（対数軸）し

図3

CubeAtlas

図4

Tiles

＊5 2012 年 3 月末現在で約 19 万の IPv4 アドレス。
＊6 IP アドレスと緯度・経 度のマッピングは MaxMind 社の GeoIP City
Database を利用

072

＊7 青
 : TCP SYN、黄 : TCP SYN-ACK、緑 : TCP ACK、桃色 : TCP FIN、紫 :TCP RST、橙 : TCP PUSH、水色 : TCP OTHER、赤 : UDP、白 : ICMP
（後述の Cube、Tiles における色も同様）

析に対抗するため、自己の周囲のネットワーク環境送信元ホストごとにスライスし、各ホストの検知すると実行停止や自己消去を行なうなどの解短期間（30 秒間）の挙動を分析・可視化する

析回避機能を持っています。そのため、nicter の動エンジンです。図 4 の小さなタイルの 1 つ 1的解析エンジンは、サンドボックス内に DNS サー

つが送信元ホストごとの挙動を表しており、バや Web サーバなど多数のダミーサーバからな最新の分析結果に随時更新されていきます。

るインターネットエミュレータを配置することで、マタイルの裏側は送信元ホストが属する国の国ルウェアの解析回避機能を無効化しています。ま旗が示されています。1 つのタイルは、パケッ

た、マルウェアが解析回避のために行う仮想マシン

トの時刻、送信元 / 宛先ポート番号、宛先検出に対抗するため、マルウェアを実行する犠牲ホ

IP アドレスを用いて可視化および分類されまストは OS 自動復元機構を持った実マシンによっす。この分類の履歴を蓄積することによって、て構成されています。

ターンであるのか、あるいは新規のスキャン

果、犠牲ホストからは API ログが、インターネットパターンであるのかをリアルタイムに判定す

エミュレータからはサーバログが出力され、それることが可能となります。

らのログからマルウェアの挙動が抽出できます。

マクロ解析システムでは前述の可視化・分析エ加えて、犠牲ホストとインターネットエミュレーンジンに加えて、図 1 上部に示すような各種分析タの間で観測されるパケットデータに含まれるスエンジンの研究開発を行っています。

キャンが、後述する相関分析の鍵となります。
動的解析エンジンは 1 検体あたり 6 ～ 9 分の● ミクロ解析システム

高速な解析を実現し、さらに解析の並列化により1 日あたり最大 7,000 検体の解析が可能となってユニバーサルコミュニケーション基盤技術

囮サーバやWebサイトの巡回を行うWebクローⅡ

ミクロ解析システムは、ハニーポットと呼ばれる

おとりⅠ−４

このようなサンドボックス内での動的解析の結Ⅰ−３

新世代ネットワーク基盤構成技術／テストベッド技術ある送信元ホストの挙動が既知のスキャンパ

Ⅰ−２

ネットワークセキュリティ技術を調査して、自己がサンドボックス内にいることをワイヤレスネットワーク技術

 Tiles（図 4）はダークネットトラフィックをⅠ−１
光ネットワーク技術

（3）
Tiles

います＊9。

ラなどでマルウェアの検体を捕獲し、その検体を自動解析するシステムです。以下、ミクロ解析システムに含まれる動的解析エンジン（図5）

Ⅲ 未来について概説します。
リアル空間においてウィルスをシャーレで培養して観察するように、基盤技術

ICT

動的解析はマルウェアをサンドボックスと呼ばれる箱庭環境で実行し、そⅣ 電磁波センシング基盤技術の際にマルウェアが使用した API＊8やネットワークアクセスなどの挙動を解析する手法です。ところが、近年の高度化されたマルウェアは動的解

図5

マルウェア動的解析エンジン＊8 A
 pplication Program Interface.
＊9 2012 年 3 月末現在。

௶ၡฆఒɈ჎ᅰɬȾȩɥॸ࢞ଞȹȻ

073

Ⅰネットワーク基盤技術

３. ネットワークセキュリティ技術

インシデント分析センタ ー／中尾 康二・井上 大介

nicter図6

相関分析結果の可視化

ミクロ解析システムでは、前述の動的解析エン

図 6 は可視化エンジン Atlas 上で相関分析結ジンに加えて、図 1下部に示すような各種解析エン果を可視化したものです。各パケットオブジェクジンの研究開発を行っています。

トの上方に、相関分析の結果、第一候補として挙げられたマルウェア名を表示しています。また、● 相関分析システム

パケットの詳細情報の中にもマルウェア名（図 6

相関分析システムは、マクロ解析システムにおの 例では w32.downadup.b）を表 示していまいて観測されたマルウェアからのスキャンを各種す。さらに、相関分析の結果を累計することで、の特徴によってプロファイリングし、ミクロ解マルウェアの世界的な活動傾向を把握すること析システムにおいてマルウェアから抽出されたスが可能となります。図 6 の左下のボックスは、相キャンのプロファイルとの照合を行い、類似した関分析結果（マルウェア名ごとのユニークホストプロファイルを持つマルウェアの候補を探し出し数）の累計を表しており、2011 年時点で 70%をます。つまり、マクロ解析システムで捉えた「現象」超えるホストが w32.downadup.b（あるいはそ（サイバー攻撃）と、ミクロ解析システムで蓄積しれと同様のスキャンエンジンを持つマルウェア）た「原因」（マルウェア）とを結びつける答え合わせに感染しているものと自動推定しています。

＊10のシステムです。マクロ解析結果とミクロ解析結
果はマルウェア情報プール（MNOP: Malware
kNOwledge Pool）に蓄積されるとともに、相インシデントハンドリングシステムは、マクロ関分析エンジンによってリアルタイムに照合が行解析、ミクロ解析、相関分析の各サブシステムかわれます。

らの出力を集約・蓄積し、インシデント発生時の＊10 パ
 ケットのプロトコル、TCP フラグ、送信元ポート番号およびその変化、宛先ポートのセット、宛先 IP アドレスの遷移（シーケンシャル / ランダム）、単位時間あたりのパケット数、ペイロード長など。

074● インシデントハンドリングシステム

光ネットワーク技術Ⅰ−１

データ管理や、その再現を可能にしま す。また、DAEDALUS ＊11 はnicter の大規模ダークネット観測網を応用したアラートシステムです。以下、DAEDALUS について概ワイヤレスネットワーク技術

Ⅰ−２説します。
従 来 のダークネット観 測は組織外からダークネットに飛来するパケットを観 測 する、つまり“外から内”へ の 異 常 な通 信 を収 集

図7

DAEDALUSの可視化エンジン

Ⅰ−３
ネットワークセキュリティ技術するという考え 方 でした。一方、
DAEDALUS は組織内から送出されたパケットを分散配置されたダークネットで観まとめと今後の課題測する、つまり“内から外”（または内から内）へのしたダークネットの活用法に基づいています。換

見、原因究明、対策導出を目的としたインシデン

言すると、DAEDALUS は組織内で起こったマルト分析センター nicter について概説しました。

ウェア感染などをダークネットによって検知し、nicter の研究開発によって、ネットワーク経由で該当する組織にアラートを自動送信することで、感染を広げるリモート感染型マルウェアの大局ダークネット観測をサーバやホストが存在するラ的な活動傾向の把握と迅速な原因究明が可能とイブネットの保護に活かすシステムです。

なり、その分析結果の一部は nicterWeb＊12 と中央の球体がインターネット、その周りを周回しnicter の大規模ダークネット観測網を応用したている各リングが、nicter のセンサを設置してアラートシステム DAEDALUS の外部展開など、いる各組織のネットワークを表しています。球

研究成果の社会還元を推進しています。
ネットにおける脅威は日々進化しており、Web をリングの水色の部分がライブネット、濃紺の部媒体とした攻撃手法（ドライブ・バイ・ダウンロー分がダークネットであり、リングの外周の「警」のド攻撃）や、SNS を媒介したマルウェア、特定の組マークは組織内でアラートの原因となった送信織を狙った標的型攻撃など、これまでの nicter元ホストを指し示しています。この可視化エンジの仕組みでは捉えられない新たな脅威が生まれてン上でのアラート表示と同時に、該当組織にはきています。今後も、このような新たな脅威に対メールベースのアラートが自動送信され、実際抗可能な実践的研究開発を推進するとともに、攻のセキュリティオペレーションのトリガとして活撃者側が圧倒的に有利な現在の状況を一変させ用されています。

得る根源的なセキュリティ技術の研究開発を、産I
CTⅣ 電磁波センシング基盤技術

トはダークネットトラフィックを表しています。

基盤技術

一方、本稿の冒頭でも述べたように、インターⅢ 未来

体とリングの間を飛び交う流星状のオブジェク

ユニバーサルコミュニケーション基盤技術いうサイトから一般公開を行っています。また、

Ⅱ

図 7 は DAEDALUS の可視化エンジンです。

Ⅰ−４

本稿では、セキュリティインシデントの早期発新世代ネットワーク基盤構成技術／テストベッド技術

異常な通信を網にかけるという、従来とは逆転学官の連携の下に取り組んでいきます。
＊11 D
 irect Alert Environment for Darknet And Livenet Unified Security.
＊12 h ttp://www.nicter.jp/௶ၡฆఒɈ჎ᅰɬȾȩɥॸ࢞ଞȹȻ

075