ネットワークモニタリングシステム
NIRVANAによる制御システムへの攻撃検知

井上 大介
独立行政法人 情報通信研究機構
ネットワークセキュリティ研究所（NSRI）

サイバーセキュリティ研究室

サイバー攻撃対策総合研究センター（CYREC）

サイバー防御戦術研究室
1

NICTER	
Network Incident analysis Center for Tactical Emergency Response	過去7年間の主なセキュリティ事案	
2008

Downadup (Conﬁcker)

大規模感染ワーム

2009

Gumblar

Web媒介型攻撃2010

Stuxnet制御システム向けマルウェア

SONYへのDDoS攻撃

ハクティビズム

標的型攻撃サイバーエスピオナージ

バンキングマルウェア

オンライン銀行詐欺

遠隔操作ウイルス

愉快犯、フォレンジック

リフレクター攻撃

DNSオープンリゾルバ問題

アカウントリスト攻撃

同一ID/パスワード問題

Heartbleed

OpenSSL脆弱性

ベネッセ個人情報漏洩

内部犯罪、アウトソーシング

2011

2012

2013

2014

2

NICTER	
Network Incident analysis Center for Tactical Emergency Response	NICTERとそのスピンオフ技術たち
1. インシデント分析センタNICTER2. 対サイバー攻撃アラートシステム

DAEDALUS

3. ネットワークリアルタイム可視化システム

NIRVANA

4. サイバー攻撃統合分析プラットフォームNIRVANA改

ダークネット観測ライブ
ネット観測
3NICTER	
Network Incident analysis Center for Tactical Emergency Response	鳥の目/虫の目

大規模感染型マルウェア

NICTER

標的型攻撃

DAEDALUSNIRVANANIRVANA改グローバル観測ローカル観測（ダークネット）（ライブネット）
4NICTER	
Network Incident analysis Center for Tactical Emergency Response	インシデント分析センタ

NICTER(Network Incident analysis Centerfor Tactical Emergency Response)

5NICTER	
Network Incident analysis Center for Tactical Emergency Response	ダークネットで何が見えているのか？
l マルウェアによるスキャンü ワーム型マルウェアの探索活動ü マルウェア感染の大局的傾向
ü Linux組込機器からのスキャン

新l DDoS攻撃の跳ね返りü 送信元IPアドレス偽装されたSYN Floodü 被攻撃サーバからの応答（SYN-ACK）ü DDoS攻撃の早期検知（1パケット目から）Darknetl 設定ミスü 組織内ダークネットl リフレクション攻撃の準備活動

新ü DNS Open Resolver探索ü NTP探索 etc.	

6

NICTER	
Network Incident analysis Center for Tactical Emergency Response	NICTER

7

NICTER	
Network Incident analysis Center for Tactical Emergency Response	NICTERダークネット観測統計
年

年間
総観測パケット数

観測IPアドレス数

1 IPアドレス当たりの年間総観測パケット数2005	  

約  3.1億

約1.6万19,066

2006

約  8.1億

約10万17,231

2007

約19.9億約10万19,118

2008

約22.9億約12万

22,7102009

約35.7億約12万36,190

2010

約56.5億約12万50,128

2011

約45.4億約12万40,654

2012

約77.8億約19万

53,0852013

約128.8億

約21万63,655

2014

約256.6億

約24万

115,323

140,000
120,000
100,000
80,00060,00040,00020,000
0
2005

2006

2007

2008

2009

2010

2011

1 IPアドレス当たりの年間総観測パケット数

2012

2013

2014

NICTER

Network Incident analysis Center for Tactical Emergency Response	ダークネットトラフィック急増の原因

NICTER

Network Incident analysis Center for Tactical Emergency Response	組込機器からの23/tcpスキャン
23/tcp2013年10月〜2014年12月

l 感染機器：Linux組込機器
ü ブロードバンドルータ
ü Webカメラ
ü NAS（Network Attached Storage）

etc.

NICTER

Network Incident analysis Center for Tactical Emergency Response	対サイバー攻撃アラートシステム

DAEDALUS
Direct Alert Environment forDarknet And Livenet Unified Security

11NICTER	
Network Incident analysis Center for Tactical Emergency Response	マルウェア感染対策の現状 ‒ 境界防御の限界 l 突破される従来の防御手法‒ 回避される侵入検知システム• USBメモリによるネットワーク内部からの感染• 標的型メールによる「人」への攻撃‒ 完璧ではないアンチウイルスソフト• 膨大な亜種ウイルスの出現により100%の検知は困難• マルウェア感染リスクのゼロ化は困難• 事故前提のマルウェア対策が必要
12

NICTER	
Network Incident analysis Center for Tactical Emergency Response	境界防御技術とDAEDALUS	
境界防御技術DAEDALUS	

組織外からの攻撃をネットワーク境界で検出

組織内からの攻撃をネットワーク広域で検出

NICTER	
相補的

組織内ネットワーク

組織内ネットワーク
13

NICTER	
Network Incident analysis Center for Tactical Emergency Response	

DAEDALUS-VIZ

14

NICTER	
Network Incident analysis Center for Tactical Emergency Response	

DAEDALUSの成果展開：国内展開

地方自治体へのアラート提供l 2013年11月1日より、地方自治体に向けてアラート送信開始‒ 地方公共団体情報システム機構（J-LIS）を窓口として自治体より申込受付‒ アラート発生時の対応マニュアルをNICTとJ-LISで整備

地方自治体
自治体
自治体

47自治体
（2013年11月時点）

217自治体

J-LIS

NICT

情報セキュリティ対策支援

申込申請

サイバー攻撃検知通報（フィールド実証実験）

観測対象
登録申請

DAEDALUS
システム

対応マニュアル（2015年1月時点）

アラート送信15

NICTER	
Network Incident analysis Center for Tactical Emergency Response	

DAEDALUSの成果展開：商用展開

一般企業へのアラート提供l SiteVisor：
DAEDALUSに基づく商用アラートサービス（クルウィット社）
l SiteVisor Professional：
インシデント発生時のレスポンスサービス（ディアイティ社）

クルウィット『SiteVisor』 	

ディアイティ『SiteVisor Professional』 	
16

NICTER	
Network Incident analysis Center for Tactical Emergency Response	ネットワークリアルタイム可視化システム

NIRVANA
NICTER Real-network Visual ANAlyzer

17

NICTER	
Network Incident analysis Center for Tactical Emergency Response	NIRVANA
ライブ
ネットを見える化

ネットワーク管理者の負荷を軽減

管理コストの軽減（輻輳・切断等の障害、設定ミス等を瞬時に発見可能）（管理の迅速化・効率化）

パケットモード

フローモード18

NICTER	
Network Incident analysis Center for Tactical Emergency Response	システム構成	
l 複数箇所にセンサを設置する基本構成。
l 複数のネットワークを集約し、観測することが可能。
NIRVANA
観測対象
ネットワークセンサシステム

センサシステムゲートシステム

可視化システム

観測

センサシステム19

NICTER	
Network Incident analysis Center for Tactical Emergency Response	センサへのトラフィック入力方法l リアルタイム系
ü Switchのミラーポートü TAPü sFlow（RFC 3176）
l 再現系
ü PCAPファイル

監視対象ネットワーク

センサ※ 可視化エンジンへの直接入力

20

NICTER	
Network Incident analysis Center for Tactical Emergency Response	背景画像の作成
l Microsoft Visio 2007で作成し、IP アドレスと座標を自動設定
l 用途に応じて柔軟な画面構成が可能
世界地図上でのトラフィックの可視化

組織拠点間トラフィックの可視化

アドレスブロック間のトラフィックの可視化

トポロジ図上でのトラフィックの可視化

21

NICTER	
Network Incident analysis Center for Tactical Emergency Response	多彩なフィルタ機能	
フィルタリング機能により、特定の通信の強調や絞り込みが可能。
l IPアドレスüSrc/Dst IPアドレスによる通信のフィルタリング。

l プロトコルü

プロトコルの種類毎のフィルタリング。

l ポート番号ü

ポート番号毎のフィルタリング。

l センサIDüü

センサID：センサに一意に割り当てられるID。
トラフィック取得地点毎のフィルタリング。

l エリアüüü

エリア：Visioファイル内で定義する、各ネットワーク機器が属するグループ。
営業拠点毎のエリア定義や建物のフロア毎のエリア定義などが可能。
宛先エリア毎のフィルタリング。
22NICTER	
Network Incident analysis Center for Tactical Emergency Response	NIRVANAの成果展開：商用展開

NIRVANA Rappsl NIRVANAをパッケージ化した商用アプライアンスl 日本ラッド社、BIGLOBE社より販売中

日本ラッドBIGLOBE

23

NICTER	
Network Incident analysis Center for Tactical Emergency Response	制御システムへのNIRVANAの適用l 経緯ü 2007年〜 横河電機とNICTで共同研究を開始
ü NICTから横河電機にNIRVANAを技術移転
ü 横河電機でNIRVANAを用いた制御システム向けセキュリティサービスを開始ü 某プラントに於いて実証実験を実施+	24

NICTER	
Network Incident analysis Center for Tactical Emergency Response	典型的な制御系システムの構成

25

NICTER	
Network Incident analysis Center for Tactical Emergency Response	制御システムに関するGood Newsl ネットワーク機器の把握が比較的容易ü 機器構成は設計・構築時からほぼ固定l 機器間の通信もほぼ固定ü 通信相手、通信内容ともほぼ不変

通常の通信状態を定義可能（異常検出が比較的容易）26

NICTER	
Network Incident analysis Center for Tactical Emergency Response	通常の通信状態

27

NICTER	
Network Incident analysis Center for Tactical Emergency Response	異常な通信状態

28

NICTER	
Network Incident analysis Center for Tactical Emergency Response	横河電機：ネットワーク健全性確認サービスl NIRVANAによるネットワークモニタリングl 送信元/宛先をマトリクス化し、通常の通信状態を学習l 定期的にマトリクスの差分チェックを行い異常検知
通信先

通信元
通信内容
・プロトコル・ポート番号・頻度

29

NICTER	
Network Incident analysis Center for Tactical Emergency Response	

実証実験
l 実施場所：石油加工品のプラント（2箇所）
l 実施期間：2014年 3月末〜10月末
l 実験方法：NIRVANAを設置し、定期的な差分チェック
NIRVANA

スイッチ
ングHUB

HIS

目に見えないネットワーク通信情報を分析し，健全性を評価した結果をレポートで提示
予期しない通信はピックアップし問題有無を調査

HIS

FCS

解析レポートFCS
30

NICTER	
Network Incident analysis Center for Tactical Emergency Response	実証結果
l 異常検知例ü 新規通信パスの検出• 新規の送信元/宛先のペアを検出• 445/tcp（ファイル共有）• 3389/tcp（リモートデスクトップ）ü 新規IPアドレス（固定）の検知• 初回学習時に確認されなかったIPアドレスを検知

ü 新規IPアドレス（DHCP割り当て失敗）• DHCPの割り当て失敗時のIPアドレスを検知
31

NICTER	
Network Incident analysis Center for Tactical Emergency Response	サイバー攻撃統合分析プラットフォームNIRVANA改NICTER Real-network Visual ANAlyzer KAI

32

NICTER	
Network Incident analysis Center for Tactical Emergency Response	標的型攻撃•••特定組織を標的にした長期に渡る執拗なサイバー攻撃
周到な内容のメールに添付されたマルウェアで組織に侵攻
組織内ネットワークに潜伏・浸透し重要情報を収奪

標的型攻撃のKill Chain
諜報

侵攻

潜伏橋頭堡
確保

索敵

浸透占領

TECH.ASCII.jp「9.5社に1社が対象に！シマンテックが明かす日本の標的型攻撃」
http://ascii.jp/elem/000/000/652/652712/ （2011-11-30）

収奪

撤収

33

NICTER	
Network Incident analysis Center for Tactical Emergency Response	入口対策/出口対策
入口
諜報

侵攻

出口
潜伏橋頭堡
確保

索敵

浸透

占領

収奪

撤収

34

NICTER	
Network Incident analysis Center for Tactical Emergency Response	入口対策/出口対策 = 境界防御l FWüüNetwork層/Transport層/Application層でパケット通過の可否を判定
インラインl IDSüü

シグネチャで攻撃を検知(アラート）
ポートミラーリング or TAPl IPSüü

シグネチャで攻撃を防止（遮断）
インライン

FW	

入口対策
IPS	
出口対策
IDS	

標的型攻撃の主戦場

組織内ネットワーク
35

NICTER	
Network Incident analysis Center for Tactical Emergency Response	入口対策/出口対策

諜報

入口

出口（境界防御）（境界防御）

侵攻

潜伏橋頭堡
確保

索敵

浸透

占領

収奪

撤収

ネットワークの内側でも対策を！
（組織内ネットワークのリアルタイム観測・分析）

改

NIRVANA= NIRVANA + セキュリティ分析機能

36

NICTER	
Network Incident analysis Center for Tactical Emergency Response	NIRVANA改	l NIRVANAによるライブネット観測l 各種のリアルタイム分析エンジン（新規開発中）l 既存セキュリティアプライアンスのアラート集約l 各種アラートを基にしたメタ分析（相関分析）l ドリルダウン機能付き可視化エンジン

組織内ネットワークを守る

統合分析プラットフォームの確立に向けて研究開発中
37

NICTER	
Network Incident analysis Center for Tactical Emergency Response	NIRVANA改38

NICTER	
Network Incident analysis Center for Tactical Emergency Response	現在開発中！
l NIDS（ネットワークベースの侵入検知）ü ホワイトリスト検知エンジンü ブラックリスト検知エンジンü スロースキャン検知エンジン etc.

l HIDS（ホストベースの侵入検知）ü FFRI Yaraiとの連携ü カーネル内観測・分析エンジン
ü プロセス­通信突合エンジン etc.

l NIDS-HIDS連携システムl メタ分析フレームワークl 防御エンジン（アクチュエーション） etc. etc...
39

NICTER	
Network Incident analysis Center for Tactical Emergency Response	まとめ	• ダークネット：広がる応用・高まる効用ü ワーム型マルウェアの傾向把握・大規模感染検知
ü 国内外・産学官へのアラート提供ü Linux組込機器がターゲットに• ライブネット：入口/出口、次の一手ü 組織内ネットワークのリアルタイム観測・分析ü 新規＆既存対策技術を統合したメタ分析
ü 制御システムへの適用

Made in Japanのサイバーセキュリティ技術を日本に、そして世界に！
40

NICTER	
Network Incident analysis Center for Tactical Emergency Response