情報発信型ネットワーク・フォレンジックシステム「DynamicMSIESER」の紹介
Network Forensics System, DynamicMSIESER
山内 直＊
Naoki Yamauchi

DynamicMSIESERは、いつ、誰が、どのような情報をネットワーク経由で通信したかの監査証跡（パケットデータ）を記録し、情報セキュリティ事故の原因を迅速に調査・追及できる、ネットワー
ク・フォレンジック製品である。ただ証跡を記録するだけでなく、ネットワーク経由での情報漏えいをいち早く検知し、通知する。これが「情報発信型ネットワーク・フォレンジックシステム」と冠する所以である。
DynamicMSIESER is a network forensics product that can record what information who whencommunicated by way of the network as an audit trail (packet data), and investigates and pursue
the cause of the security incident promptly. However, evidence not only is recorded but also theinformation leakage by way of the network is promptly detected, and it notifies. This is a reason for
the name of "Dynamic".

タをリアルタイムで解析し、通信内容を復元する。復元

1．まえがきされた通信データは、各プロトコル（HTTP・SMTP・POP3・FTP）ごとにインデックス化され、容易に検刑事事件や交通事故が発生した際、事後の原因調査に索、閲覧することができる。

役立つのは、「監視カメラ」であり、「ドライブレコー

次に、DynamicMSIESERの特長について述べる。

ダ」である。これらの記録装置の必要性は社会的に十分認識されている。情報セキュリティ事故についても同様

2.1に、原因を調査するためには証跡データを記録しておく

簡単導入・簡単運用ことが重要である。このような考え方を「フォレンジッ

DynamicMSIESERは、パケットキャプチャ方式のネク」と言う。
「標的型攻撃」に代表されるように、最近ットワーク・フォレンジック装置であるため、顧客の社のサイバー攻撃は非常に多様化している。もちろん、情内ネットワーク構成を変更することなく、ミラーリング

報 漏 え い に 対 す る 入 口・ 出 口 対 策 は 必 要 で あ る が、設定したLANスイッチポートに接続するだけで導入す100％防止することは出来ない。そこで、情報漏えいがることができる。システム構成もサーバ１台構成のアプ発生した事後対策としてのフォレンジックシステムの重ライアンス製品であり、省スペース、省電力、安定稼働要性が高まっている。

を図っている。DynamicMSIESERの導入構成を図１に2.

示す。

「DynamicMSIESER」とは2.2「DynamicMSIESER」は、パケットキャプチャ方式

高性能の ネ ッ ト ワ ー ク・フ ォ レ ン ジ ッ ク シ ス テ ム で ある。

DynamicMSIESERのサーバは、HP社製の高性能、省LAN上を流れる全ての通信（パケット）データを取得電力サーバであるHP Proriantシリーズを採用しており、し、記録する、言わば「ネットワーク監視カメラ」と言随時新世代のサーバに対応している。１日当たりのキャえる。しかし、監視カメラとは異なり、生のパケットデプチャデータ量が1.4TB（高速モード）までパケットロータはそのままではどのような通信内容なのか確認する

ス、セッション解析遅延なく安定稼働することができことは出来ない。DynamicMSIESERは、パケットデーる。リアルタイム解析性能では、ネットワーク・フォレ＊鎌倉事業部ICTソリューション開発部
1

MSS技報・Vol.25

向けのパケットのみを取得・解析する機能である。全てのパケットを取得・解析する場合、外部ネットワークから社内ネットワークへの通信がキャプチャデータの多くを占める(HTTP通信でダウンロードされるWEBページの内容など)。上記データは、情報セキュリティ上重要でない一般的な情報が多く含まれている。そのため、社内ネットワークから社外ネットワークへの通信（アウトバウンド通信）のみをキャプチャ・解析することにより、ストレージに保持するデータ量を削減することが可能である（図２参照）。

図１

DynamicMSIESER導入構成

ンジック業界では上位に位置づけられる（2014年12月当社調べ）。また、取得したパケットデータ及び解析結果データを長期間内部ディスク内に蓄積することが可能であり、数百TBのNASへ蓄積することもできる。
2.3

情報発信

DynamicMSIESERは様々な情報を管理者へ通知す

図２

アウトバウンド通信キャプチャ対応構成

る。特長的な通知機能を以下に示す。
（１）送信ファイル検査機能

3.2

復号化HTTPS通信解析

社内から外部へ、メールやWebアクセスで送信される

HTTPSを含むSSL暗号化通信による情報のやり取り

ファイルに対して、個人情報、機密情報、特定情報等がは日々増加している。SSL暗号化通信は内容が秘匿され含まれているかリアルタイムで検査し、管理者へメールるためセキュアな一方、業務情報等の不正な外部送信が通知する。本検査機能は、当社製品である個人情報ファあった場合に、被害状況の把握が困難になる。SSL復号

イル検出ツール「すみずみ君」と同等の検索エンジンを化装置との連携により、暗号化された通信を解析するこ用いており、競合製品と比較して非常に優位性がある。とが可能である（図３参照）。

（２）POST通知機能
Webアクセスでサイトに送信されたPOSTデータ、及び送信ファイル名を、定期的に管理者へメール通知する。送信データサイズの閾値を設定することにより、外部へ送信された不審なデータを検知することができる。
（３）マッチデータ通知機能
指定した検索条件にヒットした通信サマリと一覧を定期的に管理者へメール通知する。検索条件はインデック
ス化された情報及び全文検索キーワードを指定することができる。
3.
3.1

主なソリューション

アウトバウンド通信キャプチャ

図３

HTTPS復号化対応構成

アウトバウンド通信キャプチャとは社外ネットワーク

2

MSS技報・Vol.25

3.3

仮想化基盤

４.

社内システムのクラウド化に対応して、仮想環境上でむすび

Dynamic MSIESERを稼働させることができる。プライ

本稿では、情報発信型ネットワーク・フォレンジック

ベートクラウドやIaaS上でDynamicMSIESERを稼働さシステム「DynamicMSIESER」について紹介した。当せることで、サーバの統合や仮想ネットワークのパケッ社では他にも情報セキュリティ関連の製品を提供していトキャプチャが可能である（図４参照）。

る。詳細は当社ＨＰ（http://www.mss.co.jp）を参照されたい。
執筆者紹介
山内直

2001年入社。2011年より現在のDynamicMSIESER関連業務に従事、現在に至る。
※「MSIESER」は三菱スペース・ソフトウエア株式会社の登録商標です。
図４

クラウド対応構成

3

MSS技報・Vol.25