SCIS 2002
The 2002 Symposium on
Cryptography and Information Security
Shirahama, Japan, Jan. 29 - Feb.1, 2002
The Institute of Electronics,
Information and Communication Engineers

侵入検知及び内部攻撃者検知とヒューマンクリプト
Intrusion Detection and Extrusion Detection on HUMANCRYPT山中 晋爾*

松浦 幹太*

今井 秀樹*

Shinji YAMANAKA

Kanta MATSUURA

Hideki IMAI

あらまし 現在、正当な接続権利を持たないユーザが、インターネットに接続されたネットワークや計算機などに対して、不正にアクセスする、という問題が増加している。不正アクセスは、機密情報の漏洩や、他の不正アクセスの踏み台にされる恐れがあり、被害を拡大する。これを防ぐためのひとつの手段として侵入検知(Intrusion Detection)技術があり、現在盛んに研究が行われている。 また、サービス拒否 (DoS)や分散サービス拒否(DDoS)を利用した攻撃は、あるネットワーク(もしくは、組織)内部にある計算機から、外部の計算機等への不正アクセスと見ることができる。これを検出することを内部攻撃者検知（Extrusion Detection）と呼ぶことにするが、このような検知技術に関する研究は十分に行われているとはいえない。組織に対する外部からの攻撃、及び組織の内部から外部に対する攻撃を検出することは、不正アクセスに対抗する手段として有効である。しかし同時に、ユーザのプライバシ情報を適切に保護することも重要である。侵入/内部攻撃者検知技術
においては、通信路上や計算機上の様々な情報を利用するが、この情報にはユーザのプライバシ情報も含まれることになる。本論文では、ユーザが安心してネットワークシステムを利用できるように、ユーザのプライバシ情報の保護も含めて、ヒューマンクリプトを念頭においた議論を行う。
キーワード

侵入検知、内部攻撃者検知、ヒューマンクリプト、プライバシ保護
アクセス数はこの限りではない。また、仮に Code Red

1 はじめにのようなバックドアを作るタイプのコンピュータ・ウィ

インターネットに対して高速な接続が可能となり、ネルスやワームによる攻撃も不正アクセス行為に該当する

ットワークの利用が容易に行えるようになった今日、そとみなすと、現実に発生している日本国内における不正の利便性の向上に伴いネットワークや計算機の不正利用アクセス犯罪は 10 万件以上になる。

行為が年々増加している。表 1に警察庁による不正アク

このような不正アクセスを防ぐためのひとつの手段

セス事犯の統計（平成 12 年および平成 13 年上半期）[1]として侵入検知技術がある。侵入検知技術では、ネットを示す。

ワークを流れるトラフィックや、守るべき計算機におけ

表1

警察庁に報告のあった不正アクセス件数

認知件数
海外からのアクセス
国内からのアクセス不明

平成 13 年上半期
959418165376

平成 12 年
1062573
8

るアクティビティの変化といったものを元に、ネットワーク外部からの不正侵入や正当な権利を持たないものによる不正利用を検出する。侵入検知技術の研究は数多く行われており[2,3,4,5,6,7,8,9,10]、現在でも活発な議論が行われている。
これとは逆に、ネットワーク内部から外部に向かう攻撃も存在する。例えば、サービス拒否（DoS : Dinaial of

これによると、平成 13 年上半期において不正アクセServices）攻撃や分散サービス拒否（DDoS : Distributed

ス禁止法に違反する行為として「警察が認知した件数」

DoS）攻撃は、あるネットワーク内部の計算機から外部は 959 件である。もちろん、全ての不正アクセスが警察の計算機等への不正アクセスと見ることができる。DoSによって認知されているわけではないので、実際の不正は、攻撃を行っている計算機（それが真の攻撃者の計算機であるとは限らない）を特定し、攻撃を阻止すること* 東京大学生産技術研究所 〒153-8505 東京都目黒区駒場 4-6-1.
University of Tokyo, Institute of Industrial Science, 4-6-1 Komaba
Meguro-ku Tokyo 153-8505, Japan.
yamanaka@imailab.iis.u-tokyo.ac.jp, kanta@iis.u-tokyo.ac.jp,
imai@iis.u-tokyo.ac.jp

は比較的容易であるかもしれない。しかし DDoS は多数の計算機が攻撃に参加して、攻撃を受けている側においてその攻撃を完全に防ぐことは難しい。そこで、ネットワークから外部に向かうパケットを監査することで、は、Denning によって行われた[2]。Denning は、侵入検DDoS に参加している（とみられる）計算機を特定し、知を行うシステムのモデルとして intrusion-detection

何らかの対策をすることにより解決する方法が考えられexpert system(IDES)を提案した。

る。このような検知技術に関する研究も大切であるが、最近では、pseudonymous を利用した研究がいくつか残念ながらその研究が十分されているとはいえない。

行われている。Sobirey らは、pseudonymous audit を

このように、組織に対する外部からの攻撃と、組織内用いて、プライバシ保護を目的とした侵入検知システム部から外部に向かう攻撃を検出することは、ネットワーのプロトタイプを示している[11]。また、Lundin らは、ク社会において不正アクセスに対抗する手段として有効pseudonymizer を利用した侵入検知システムを提案し、である。しかし、これと同時にネットワーク利用者（ユユーザのプライバシと侵入検知分析の効率がトレードオーザ）のプライバシ情報を適切に保護することも重要でフとなり、この問題を完全に解決する手法は無いと結論ある。侵入検知や内部攻撃者検知においては、ネットワ付けている[12]。

ーク上や計算機上における様々な情報を利用するが、この情報の中には、例えば送信元・送信先の IP アドレスや、計算機ログイン時のユーザ名のようなプライバシに関わる情報も少なくない。
そこで、本論文では侵入検知技術に関する調査を行い、その手法を内部攻撃者検知に利用した際に生じる問題点を示し、ヒューマンクリプトに則した考察を行う。
以下、第２章では侵入検知技術について、既存の技術や関連研究などを紹介し、第３章では内部攻撃者検知について述べる。また、第４章では、ユーザが安心してネットワークを利用しつつ、ユーザのプライバシ保護をどのように維持するかをヒューマンクリプトに基づいて考察し、第５章でまとめる。

検査対象による分類

2.2

侵入検知技術は、侵入検知を行う対象によって分類するときは、ふつう下記の２つに分類される。
 ネットワーク型侵入検知システム
 ホスト型侵入検知システム
また、侵入検知システムの設置に関して図 1に示す。
通常、ネットワーク型侵入検知システムは、（１）ファイアーウォールの外、（２）DMZ、（３）イントラネットのいずれか（もしくはその全てに）設置される。そして、ホスト型侵入検知システムは、DMZ にある Web サーバや、イントラネットにある重要なサーバに対して導入される。

2 侵入検知ネットワーク外部からの不正アクセスは、機密情報のInternet
Network-Based IDS

漏洩や破壊、Web ページの改ざん、他の不正アクセスのFire Wall踏み台にされる、といった様々な問題をさらに引き起こす可能性があり、これをいかに防ぐかは、大変重要な課

Intranet

題である。
侵入検知技術とは、現実社会における監視カメラのようなものである。監視カメラは、リアルタイムでカメラの前を通過する人間を確認し、また後で必要となったときに記録を取り出してチェックすることができる。侵入Host-Based IDS

DMZ

図1

侵入検知システムの設置

検知技術は、ネットワークを流れるパケットや特定の計算機（ホスト）のアクティビティを監視して、ネットワークに対する不正アクセスや計算機資源の不正使用を検知するための技術である。
また本論文では、あるネットワーク内の計算機から同一ネットワーク内部の計算機資源に対して何らかの不正行為がなされたときに、これを検知することも侵入検知とよぶことにする。

2.1

侵入検知技術に関する関連研究

侵入検知技術に関する研究で最も古いもののひとつ

以下では、ネットワーク型・ホスト型それぞれの侵入検知システムの特徴を説明する。

2.2.1 ネットワーク型侵入検知システム（N-IDS :Network-Based- Intrusion Detection System）
ネットワーク型侵入検知システムとは、侵入検知システムが接続するネットワークセグメントのトラフィックを監視するタイプの検知システムである。
このシステムが利用する情報は、監視を行うネットワ

ークを流れるパケット情報である。これは IP ヘッダに含まれるパケットの送信元や送信先の IP アドレスやポ2.2.2 ホスト型侵入検知システム（H-IDS : Host-Based
Intrusion Detection System）

ート番号といった情報で、時にはデータそのものを取得

ホスト型侵入検知システムは、ある単一の計算機（ホする。

スト）上で動作して、同ホスト上における監査情報をチネットワーク型侵入検知システムの脆弱性としては、ェックすることでホストの不正利用を発見する。
例えば、以下のようなものが挙げられる。

インストールされた検知システムは、はじめに重要なシ 暗号化されたパケットの分析

ステムファイルの特徴（ファイルのハッシュ値等）を記

ネットワーク型侵入検知システムでは、パケット内のデータに基づいて分析を行うために、例えば端末間で暗号化されているような場合にはパケットを処理することができない。
 高速なネットワーク/高負荷録し、その後ファイルの状態を定期的に初期状態と比較し、問題を発見した場合には管理者に報告をする。
ほかに、ログイン・ログアウト情報やアプリケーションの稼動状況、コマンド履歴、レジストリ情報などを使用する場合もある。
また、当該ホストに到達するパケットの監視を行うもネットワークを流れるパケットとシグネチャののもある。これは、そのホスト専用のファイアーウォー

比較や統計情報との比較をするときに、対象となルのようなもので、何らかの疑わしいパケットを受信しるネットワークが高速であったり高負荷がかかたときに管理者に報告する。ネットワーク型侵入検知シったりしたときに、照合・分析処理が追いつかなステムでは対応が困難であった暗号化されたパケットにくなることがありうる。

対しても、ホストにおいて再構築された後に検査を行う

 検知システムに対する（DoS 等による）攻撃検知システム自体に対して攻撃が行われることが考えられる。これは、検知システムがステルスモード（検知システムに IP アドレスを割り当てず、外部から見つからない状態で動作させること）で動作していても、わざと多量のパケットをセグメントに送り込まれた結果、検知システムがダウンしてしまうことがある。
 挿入/回避攻撃
侵入検知システムが、パケット分析の際にその整合性チェックや再構築処理を行わないこと利用した攻撃である。挿入攻撃では、検知システムがシグネチャとのマッチングに失敗するようなパケット（ターゲットのノードでは整合性チェックによって破棄されるような）を攻撃パケットに混ために攻撃の検出が可能となる。

検知方法による分類

2.3

一方、侵入を検知する方法により分類するときは、「既知攻撃検知モデル」と「異常使用検知モデル」の２つに分類するのが一般的である。

2.3.1 既知攻撃検知モデル
Signature-Based モデルとも呼ばれ、すでに知られている攻撃の手法（例えば、ポートスキャンやプログラムのセキュリティ上の弱点に対する攻撃）を知識（シグネチャ）として保持し、このシグネチャと照合することで不正アクセスを検知するモデルである（図 2）。ネットワーク型侵入検知システムでは広く用いられており、シグネチャを更新することにより様々な既知の攻撃からシステムを守ることができる。

在させる。そのようなケースでは、IDS はパケットがシグネチャパターンに合致しないため攻撃として判断しないが、エンドポイントでは、パケットの整合性チェックにより混在させられたゴミパケットが破棄され、最終的に攻撃用のデータが構築されてしまうといった仕組みである。
回

Signature

避攻撃はフラグメント化したパケットを利用し、検査システムでの検査をバイパスする手法である。
 誤報
リアルタイムで分析が行われるため、誤報をする可能性がある。

図2

ネットワーク型-シグネチャ利用検知モデル

ただし、シグネチャの更新を必要とするために、未知る場合、検知システムはゲートウェイに向かうパケットの攻撃に即座に対応することは難しい。

を監視することになる。そして、既知攻撃検知モデルで2.3.2 異常使用検知モデル用いられたようなシグネチャにマッチするような攻撃が不正アクセス・ユーザの行動に注目してその監視を行う手法である。まず、検査対象とするシステムやユーザの通常使用状態を一定期間採取し、これをプロファイルとして保存する。プロファイルにはユーザのログインした時間帯や利用するアプリケーションタイプ、またトラフィック量などが含まれる。そしてこのプロファイルをもとに、統計学的な処理を行い不審な活動に対して警告外部に向けて行われていないか、また通常使用時のトラフィックと比較して、異常が無いかをチェックする。
N-EDS を DMZ に設置する場合は、DMZ 内にあるWeb サーバ等の挙動を監視することになる。この場合も、検知システムはゲートウェイに向かうパケットを検査する。

システム環境の変更や、ネットワークやアプリケーシ
ョンの利用形態が変化すると以前のプロファイル情報が無意味になるという問題や、システムに個別に導入する場合の導入コストや運用コストの問題がある。また、悪意の無いユーザが普段と異なる行動をしたときに起こる誤報の問題もある。しかし、既知攻撃検知モデルで検出できないような未知の、あるいは新種の攻撃を検出できる可能性もある。

ホスト型内部攻撃者検知

3.2を出すモデルである。

つぎに、EDS をホスト型侵入検知システムベースで構成（H-EDS）する場合について考える。H-EDS の導入箇所としては DMZ に設置された Web サーバ等、イントラネット内の重要なサーバ、などが考えられる。
どちらの場合も、基本的にはホスト型侵入検知システ
ムと連携を取ることが考えられる。すなわち、H-IADSが導入された計算機において何らかの外部への攻撃が検知された場合に、ホスト型侵入検知システムに対して当該計算機が侵入を受けたり、何らかのプログラムが仕掛けられていたりしていないかをチェックするよう依頼す

3 内部攻撃者検知
本稿において内部攻撃者とは、ある組織に所属する計る、といった対応が考えられる。

既存の侵入検知手法の利用

3.3

算機が組織外のネットワークや計算機に対して何らかの既存の侵入検知の手法、例えば Lundin の用いた方法

不正行為を行っている場合における、その計算機（及びを、内部攻撃者検知システムに適用することが可能であその利用者）をさす。このときに、利用者が悪意を持っる。しかし、これにはユーザのプライバシを適切に守るて不正行為を行っているか、無意識のうちに（トロイのことができない、という問題点がある。

木馬プログラム等により）不正行為が行われているかはつまり、外部から内部への侵入を検知した場合には、区別しない。そして内部攻撃者検知とは、このような不それは悪意を持った侵入者であるとかなり高い確率で判正行為を検知する技術をさす。

断できる。しかし、内部から外部への攻撃を検知しよう

内部攻撃者検知のひとつの手段として、侵入検知の技とするときには、ネットワーク管理者は比較的簡単に不術を利用することが考えられる。そこで、２章で述べた正行為をした（と判断された）ユーザを特定することが分類に従い内部攻撃者検知システム（EDS : Extrusion可能である。この２つの条件の間には、プライバシ保護Detection System）を構成することを考える。の観点から大きなギャップがあると考えられる。

EDS の構成方法は以下の４通りである。
 ネットワーク型-既知攻撃検知モデル
 ネットワーク型-異常使用検知モデル
 ホスト型-既知攻撃検知モデル
 ホスト型-異常使用検知モデル

3.1

ネットワーク型内部攻撃者検知

はじめに、EDS をネットワーク型侵入検知システムベースで構成する（N-EDS）場合を考える。この場合に問題となるのは、検知システムの設置場所と収集するデータの種類である。N-EDS をイントラネットに設置す

すなわち、内部攻撃者検知においては侵入者検知と比べて、プライバシ保護に関してより多くの労力が必要となるし、より多くの労力を投入すべきである。

4

ヒューマンクリプトと検知技術
本章では、前述した侵入検知技術、および内部攻撃者検知技術と、ヒューマンクリプトとの関わりについて述べる。
ここでは、侵入検知技術や内部攻撃者検知技術により、ユーザが安心感を持ってネットワークシステムを利用できるようにすることを考える。

4.1

ヒューマンクリプトとは要件を満たしているかどうかを考察する。ユーザに対す

ヒューマンクリプトとは、狭義には、人とコンピューる負担に関しては、侵入検知の場合と同様にシステムのタやネットワークとのかかわりの部分における暗号技術、動作がネットワークやユーザの使用する計算機に対する

広義には、このような部分における情報セキュリティ技

負荷を増大させる事が無い限り、ユーザに過重な負担を術全般を言い、人とコンピュータネットワークを情報セかけることは考えにくい。

キュリティの面から総合的に最適化するための技術である[13,14]。
そして、ヒューマンクリプトの要件として、
 事前・事後を含みユーザに過重な負担をかけない 合理的なセキュリティレベルを達成している

合理的なセキュリティレベルに達しているかどうかについては、ネットワーク外部に対する攻撃を的確に検知できるかどうかによる。そのためには、セキュリティポリシーを適切に定め、必要な情報のみを採取・収集することが必要となる。
人に安心感を与えるかどうかについては、本人が意図

 人に安心感を与えるしない状態でユーザの使用する計算機が外部への攻撃にの３つがあるが、侵入検知技術や内部攻撃者検知技術が撃者検知システムによって採取された情報が、プライバこのような要件を満たしていることが必要とされる。

シを守る形で扱われていることを確認できることが重要

4.2

侵入検知とヒューマンクリプトについて

まず、侵入検知技術が、前述のヒューマンクリプトの参加していないことが確認できること。そして、内部攻となる。

4.4

考察

要件を満たしているかどうかを考察する。はじめに、ユいずれにしても、システム管理者に悪意があれば、ユーザに対する負担についてだが、基本的に侵入検知はユーザのプライバシを守ることは困難である。Lundin はーザの目にふれない部分で行われる。このため、侵入検仮名（pseudonym）を用いたログを利用した手法を提案

知システムの動作がネットワークやユーザの使用する計している。この場合、たとえ管理者に悪意がなくても、算機に対する負荷を増大させる事が無い限り、ユーザに一度警告へ対応する際に目にした 実名⇔仮名の関係が過重な負担をかけることは考えにくい。

管理者の記憶に残っていて、以後ログファイルを見ただ

次に、侵入検知技術が合理的なセキュリティレベルをけでその特定ユーザの行動がわかってしまうことは防ぎ達成しているかどうかを考える。これは、守るべきネッたい。例えば、その都度 実名⇔仮名 を割り当てしなおトワークや計算機への侵入が的確に検知されることが判すことも考えられるが、あきらかに非効率的である。ま

断基準となる。当然のことながら、ネットワークの脆弱た、同報告書では user1、user2、･･･という仮名のつけ性は総合的に判断することが必要であり、システムでも方を採用しているが、これは明らかに記憶に残りやすい

っとも脆弱な部分のセキュリティレベルが、そのシステので問題である。これを、一見乱数（ランダムな文字列）ム全体の脆弱性を示すことは言うまでも無い。にみえるものにするだけでも、ヒューマンクリプトとし最後に、人に安心感を与えているかどうかについて考える。ユーザは、侵入検知システムがきちんと動作してては好ましい。
仮名を用いるという事は、ある種の暗号化を意味する。

いていることにより安心感を得る。もしくは、侵入検知

このときパケットの一部のみを暗号化することになるのシステムがきちんと動作した結果、なにも問題が起きてで、暗号化されていないデータから暗号化された部分をいないことに対して安心感を得る。そして、侵入検知シ推測される可能性も残されている。

ステム等が動作していない自分が利用しているネットワ

また、管理者の管理行動を（改ざんされないような方ークや計算機が、不正行為を簡単に行える状況であると法で）確実に記録することができれば、管理者がユーザ知ったならば、ユーザは不安になる。その一方で、侵入の行動を追跡することを抑止することができると考えら

検知システムに自分のプライベートな情報を採取・蓄積れ、さらにユーザに安心感を与えることができる。

されていないことにより別の安心感を得る。つまり、自分のプライバシ情報が必要以上に採取・蓄積されることにより、やはりユーザは不安になる。

5 まとめ
本論文では、侵入検知に関する最近の研究状況および内部攻撃者検知とヒューマンクリプトについて問題点を報告し、内部攻撃者検知について述べた。
また、

次に、内部攻撃者検知技術が、ヒューマンクリプトのかどうかを考察した。今後は pseudonym や改ざん不可

4.3

これらの検知技術がヒューマンクリプトの要件を満たす

能な記録手法を利用して、ユーザのプライバシ保護を考慮した、侵入検知・内部攻撃者検知システムを提案し、またその実装を行いたい。

参考文献[1] http://www.npa.go.jp/hightech/fusei_ac6/
hassei1308.htm[2] Dorothy E. Denning,
An Intrusion-Detection
Model, IEEE Transactions on Software
Engineering, vol. SE-13, no. 2, February 1987,
pp.222-232[3] Liepins G. E. and Vaccaro H. S. Anomaly
detection purpose and framework. In
Proceedings of the 12th National Computer
Security Conference, pp.495-504, Oct. 1989.
[4] Carettoni F., Castano S., Martella G. andSamaratti P. RETISS: A Real Time Security
System for Threat Detection using Fuzzy Logic ,In Proceedings of the 25th Annual IEEE
International Carnahan Conference on Security
Technology, pp.161-167, Oct. 1991.
[5] Hochberg J., Jackson K., Stallings C., McClary J.,
DuBois D. and Ford, J. NADIR: An automatedsystem for detecting network intrusions andmisuse . Computers and Security 12(1993)3, May,
pp. 253-248.
[6] Winkler J. R. and Landry L. C. Intrusion andanomaly detection , ISOA update. In Proceedingsof the 15th National Computer Security
Conference, pages 272-281, Oct. 1992.
[7] Sandeep Kumar and Eugene H. Spafford. “A
pattern matching model for misuse intrusion
detection”. In Proceedings of the 17th National
Computer Security Conference, pages 11-21,October 1994.
[8] Staniford-Chen S., Cheung S., Crawford R.,Dilger M., Frank J., Hoagland J., Levitt K., WeeC., Yip R., Zerkle D. “GrIDS - A Graph BasedIntrusion Detection System for Large Networks”
In Proceedings of the 19th National Information
Systems Security Conference, pages 361-370, Oct.
1996.
[9] U. Lindqvist and P. Porras. eXpert-BSM: “A
host-based intrusion detection solution for SunSolaris”, In Proc. of the 17 th Annual Computer
Security Applications Conference, Dec. 2001.
[10] D. Curry and H. Debar, “Intrusion detection

message exchange format data model andextensible markup language (xml) document typedefinition”, Internet Draft, draft-ietf-idwgidmef-xml-03.txt, February 2001.
[11] Michael Sobirey, Simone Fischer-Hübner, and KaiRannenberg, Pseudonymous Audit for Privacy
Enhanced Intrusion Detection , IFIP/SEC ’97,
pp.151-163, Copenhagen, Denmark, May 1997.
[12] Emile Lundin and Erland Jonsson, Privacy vsIntrusion Detection Analysis , In Proceedings ofthe Second International Workshop on the Recent
Advances in Intrusion Detection - RAID'99, West
Lafayette, Indiana, USA, September 7-9 1999.
[13] 今井秀樹,
暗号のおはなし（1993-03）, 日本規格協会[14] 今井秀樹, 古原和邦, 渡邊曜大, ヒューマンクリプ
トとは , 電子情報通信学会技術研究報告
ISEC2000-17, pp.57-64 （2000-05）