DNSログによるネットワーク異常の検出

Pipeline株式会社

会社概要
情報セキュリティ製品を導⼊する時に発⽣する懸念

お客さまが懸念されること

PIPELINEがお手伝いできること

24時間365日システムを監視する人的リ
ソースがないサイバーセキュリティ専⾨家と弊社製品がお客様の代わりに常時監視し、お客様のシステムを守ります

既存システムが稼働していて、追加の機器購入は既存システムの設定変更などを行いたくない

弊社のセキュリティ製品は新しいサーバや端末の購入は不要です。既存システムに影響を与えることなくインストール、併存が可能です

セキュリティログなどを取得しても、見方がよくわからない

弊社製品のレポートはシステムご担当者以外の方が見ても、状況を把握しやすいデザインとなっています

どんなに対策しても新しいやり方で、次から次へとネットワーク攻撃やセキュリティ事故がおこるのでは世界中のセキュリティデータを常時モニタリングし最新情報を入手します。お客様には常に安心してお使いいただける環境を提供します製品・ソリューションの特徴
区分

商品名特徴

PhishR••

フィッシングを遮断し、ユーザーが安全な判断⾏動的メールセキュリティプラットフォーム

Fense

••

エンドポイントに特化したクラウド型セキュリティ
プライバシーの監視及び保護

Threat IDR••

DNSセキュリティゲートウエイ
スレット・アナリティクス・プラットフォーム

DatalaiQ••

オペレーションインテリジェンスプラットフォーム
ログの効果的な相関分析

リアルタイム脅威データ•

セキュリティデータの提供

ソリューション

Vision••

脅威インテリジェンスのデータサービス
ユーザー別管理カスタマイズに特化したツール

サービス

データ
アナリティクス••ログによる検知・応答サービス
AI、ディープラーニング、機械学習

SecOps•DevSecOps & SecOps Service製品

パイプラインの⽬標
PIPELINEでしかできないサービスとソリューションで様々なお客様のニーズにお応えしていきます。

Threat
IDR
Fense

⼤学

医療⾦融

企業

ISP
MSP
TEL

製造

DatalaiQ

VisionAI

インテリジェンス
⾃動化

リアルタイム
脅威データ

データ
アナリティクス
SecOps

マシーンラーニング
AI会社概要
DNSログによるネットワーク異常の検出- 研究チーム紹介

A.S.M. Shamim Reza
CTOPipeline Pte. Ltd.
佐藤 聡(サトウ アキラ)
筑波⼤学
所属
システム情報系
職名准教授

Shaoyu Yang
東京⼯業⼤学博⼠号候補⽣Pipeline株式会社

Md. Towfiqur Rahman
https://trios.tsukuba.ac.jp/ja/researcher/0000000943

ダッカ⼤学
ソフトウエアエンジニア
Pipeline Pte. Ltd.

会社概要

•

DNSログによるネットワーク異常の検出
ネットワークは複雑なシステムである– ネットワークトラフィックには異常が多く含まれる

装置障害
•

通信エラー

悪意がある⾏為

⼤量のトラフィックから異常を検出するのは難しい– 機械学習を⽤いて⼈⼒検出のコストを削減•

DNSのセキュリティへの配慮[1]– 2018年のDNS攻撃の平均コストは71万5千ドル– 77%の組織がDNS攻撃を受けた[1] A New Era Of Network Attack, 2018 EfficientIP Global DNS Threat Report, EfficientIP, retrieved 2019-05-14.

会社概要•DNSログによるネットワーク異常の検出

低コストでDNSログの保存と監視が可能– BIND 9 ネームサーバーのログ取得•

ロギング記録例

01-May-2019 00:27:48.084 queries: info: client @0x7f82bc11d4e0 10.80.0.1#53995(google.com): query: google.com IN A +E(0) (10.80.1.88)•

クエリログを監視するにより、異常を検知することが可能
クエリ
クエリ
クエリ
クエリ
クエリ
クエリ
クエリ
クエリ
アノマリー

会社概要

DNSログによるネットワーク異常の検出

異常検知モデル•

ルールベースの意思決定者

概要

クエリログ

特徴抽出

MLモデル
新着ログ
予想

DNSログによるネットワーク異常の検出

DNSクエリログからの特徴抽出•

クエリーのタイムウィンドウ– DNSクエリログの時系列解析

ログ
クエリ1
クエリ2
クエリ3
...
クエリn

タイムウィンドウ Tm<latexit sha1_base64="yG+acqfJVUFdp6NkisBxdpoVSAU=">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</latexit>

特徴<latexit sha1_base64="jUNGydOB9fEYZFIu6WAoHFaebgo=">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</latexit><latexit sha1_base64="aH8mTxqctMWXaiOYxOaVTKH3o+o=">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</latexit><latexit sha1_base64="M1WQf6Ft/Yhaw6C25+8nSkm7XPU=">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</latexit><latexit sha1_base64="kNyD6Xwy1xlyHYOGvvz2oZv/Yiw=">AAACaHichVFNLwNBGH66vuurOCAujYY4NbMI4iRcHPuh1aSk2V2jJra7m91pEzb+gIsj4kQiIn6Giz/g4CfgSOLi4N3tJoLgnczMM8+8zzvPzOiOKTzJ2ENMaWlta+/o7Ip39/T29ScGBoueXXcNXjBs03ZLuuZxU1i8IIU0eclxuVbTTb6u764E++sN7nrCttbknsM3a1rVEtvC0CRRBVnxZw4qiRRLszCSP4EagRSiyNiJK2xgCzYM1FEDhwVJ2IQGj1oZKhgc4jbhE+cSEuE+xwHipK1TFqcMjdhdGqu0KkesReugpheqDTrFpO6SMokJds+u2Qu7Yzfskb3/WssPawRe9mjWm1ruVPoPR/Jv/6pqNEvsfKr+9CyxjYXQqyDvTsgEtzCa+sb+8Ut+MTfhT7IL9kz+z9kDu6UbWI1X4zLLc2eI0weo35/7JyhOp9W5tJqdTS0tR1/RiTGMY4reex5LWEUGBTpX4AgnOI09KQllWBltpiqxSDOEL6GMfwCeIous</latexit>

t1t2
t3tn(T )IP1 m

時間軸<latexit sha1_base64="3Vo8xFnrNDGdj4k3vNfDmgaYnps=">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</latexit>

(T )

IP2 m
<latexit sha1_base64="7uryM8tR3PX/BnIyUaobNCvEcvU=">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</latexit>

Tm<latexit sha1_base64="yG+acqfJVUFdp6NkisBxdpoVSAU=">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</latexit>

(T )

IP3 m

<latexit sha1_base64="0M1DB2EgP9Tit7dv5Yl54yWs9yw=">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</latexit>

...

クエリー数
タイムゾーン
クエリーの種類
通信時間...

DNSログによるネットワーク異常の検出•特徴– 総クエリ数•

時間内にIPで⾏われた総クエリ数•a, aaaa, txt ...

•クエリーのタイムゾーン– 通信時間の割合[2]クエリ– レコード種別の⽐率

タイムウィンドウサイズ
タイムウィンドウの分解– 昼と夜ユニットサイズ– 平⽇または休⽇•

通信時間の算出

勤務実態を反映した⽇付情報[2] 渡部耕大+、DNSクエリの分析によるサーバと非サーバの識別、ipsj sig iot 2017

昼平⽇
夜の…

通割 信時
合 間

リ
数aレ
⽐ コ
率 ー
ドのaa
ド aaの レ
⽐ コ率 ーエ

ク

総の

通割 信時
合 間

リ
数aレ
⽐ コ
率 ードのaa
ド aaの レ
⽐ コ
率 ーエ

特徴から不審なIPを検出–

ク•

総DNSログによるネットワーク異常の検出

時間帯や⽇付などの状況によりクエリ⾏動が変容する…

休⽇

DNSログによるネットワーク異常の検出特徴から不審なIPを検出

時間帯や⽇付などの状況によりクエリ⾏動が変容する

正常⾏動と異なる⾏動が起こる場合、不審IPと判断される

昼

平⽇

夜の
通割 信時
合 間リ
数aレ
⽐ コ
率 ー
ドのaa
ド aaの レ
⽐ コ
率 ー

総ク

エの…

通割 信時
合 間エリ
数aレ
⽐ コ
率 ー
ドのaa
ド aaの レ
⽐ コ
率 ー…
ク–

総•

休⽇

DNSログによるネットワーク異常の検出
特徴から不審なIPを検出

時間帯や⽇付などの状況によりクエリ⾏動が変容する

正常⾏動と異なる⾏動が起こる場合、不審IPと判断される機械学習で実現する︕

昼

平⽇

夜の
通割 信時
合 間リ
数
aレ
⽐ コ
率 ー
ドのaa
ド aaの レ
⽐ コ
率 ー

総ク

エの…

通割 信時
合 間エリ数aレ⽐ コ率 ー
ドのaa
ド aaの レ
⽐ コ率 ー…
ク–

総•休⽇DNSログによるネットワーク異常の検出

異常検知モデル•

異常値検出アプローチ– K-means（ケイメーンズ– オートエンコーダ•••

⼊⼒
抽出された特徴量
出⼒
再構築された機能
Anomaly IPは再構成誤差が⼤きくなるテスト結果Pipeline株式会社

DNSログによるネットワーク異常の検出

DNSデータ (国内とある組織） から取得したデータ– 2021/02/01〜2022/02/08まで• 平⽇・⼟⽇を含む192時間• 総クエリ数 18,589,831件– 内部IPに着⽬• ネットワークやIPセグメントのデバイスによるクエリ

DNSログによるネットワーク異常の検出結果

K-meansクラスタリング– 多数派IP数•86,145•70•

7 不審なIP!

– 少数派IP数– 両グループのIP数

オートエンコーダ– 多数派IP数•86,022– 少数派のIP数•193•

24 不審なIP!

– 両グループのIP数

Center for minority
Center for majority

T-SNEプロット

DNSログによるネットワーク異常の検出

不審なIPの例•⾏動変容
通常の動作
ウィンドウ／タイム

IP Address

合計クエリーサイズ

平日

週末

日中

夜間

2022-02-02 09:00:00

xxx.xx.7.27

10

10

10

2022-02-04 12:00:00

xxx.xx.7.27

2

10

10

2022-02-01 10:00:00

xxx.xx.7.27

14

10

10

2022-02-03 11:00:00

xxx.xx.7.27

2

10

10

異常行動
ウィンドウ／タイム

IP Address

合計クエリーサイズ

平日

週末

日中

夜間

2022-02-02 12:00:00

xxx.xx.7.27

52557

1010

DNSログによるネットワーク異常の検出

不審なIPの例

通常の動作

異常行動

DNSログによるネットワーク異常の検出

ルールベースの意思決定者•

DNSクエリの異常の経験則–––––

キャッシュヒット率の低下
クエリーの⽐率が⼀定期間ごとに増減すること。
クエリに⼤⽂字と⼩⽂字が混在している (DGA)
Null クエリ要求が多い
TXTクエリが多い– サブドメインが63⽂字以上 (DNS Tunneling)– base64 でエンコードされた⽂字列を含むクエリ– IPやドメインのレピュテーションデータに基づく検知DNSログによるネットワーク異常の検出

結論
•

概要

– DNSクエリを利⽤したネットワーク異常検知– クエリの特徴量から異常を検出する機械学習モデル••

K-means（ケイメーンズオートエンコーダ– 実際のDNSクエリを⽤いた実験により、異常な振る舞いをする不審なIPを検出できることが判明
•

今後の課題

– モデル性能を評価するための⼈⼯的な悪意あるデータの追加– アプリケーションをリアルタイムに検出DatalaiQ（データレイク）“

お客様のデータを最⼤限に引き出し、「重⼤な意思決定」をお⼿伝いする
オペレーションインテリジェンスサポートツールです。

“

DatalaiQの使⽤⽅法︓検索結果画⾯①エンドポイントやサーバーなどのログを集める➁ログをインデクスして保存③検索した結果をダッシュボードで表⽰

使⽤⽅法︓豊富なデータキット
カスタマイズ可能なダッシュボードは、ユーザーが設定したものと、キットに組み込まれたものがあります。

管理のしやすさ

独⾃のアクショナブルを作る
リソースとその他

多種多様なデータの融合を可能にするクエリ
インジェススターからのバイナリデータのストリーミング エンリッチメン
トモジュールユーザー定義の静的データ
強⼒なクエリで迅速な回答

お客様の声“セキュリティが⼤幅に向上
簡単で導⼊しやすい製品、⼿が届かなかった部分に⼿が届いた
製品導⼊後にインシデントが起きていない。
１⽇１０００件の脅威通信を⾃動的に遮断している”
大学共同利用機関法人自然科学研究機構岡崎情報ネットワーク管理室
大野人侍氏
澤 昌孝氏（技術職員主任）
⾃然科学研究機構（NINS＝National Institutes of National Sciences）は岡崎にある研究所の基礎科学研究所、⽣理学研究所、分⼦化学研究所の3研究所とその事務を統括する岡崎総合事務センターから成る組織になっている。⾃然科学研究機構は研究所の基礎研究を⾏っている。このなかで、「岡崎情報ネットワーク管理室」は旧岡崎国⽴共同研究機構の3研究機関と事務組織の共通ネットワーク部分、および対外ネットワークの運⽤管理を担当している。同機構ではセキュリティを向上させるソリューションとしてThreatIDR（スレットIDR) の「DNSFirewall」、ログ解析ツール、総合ログ管理、相関分析プラットフォーム「DatalaiQ」を採⽤した。

DatalaiQ - どんなデータでも、データの⽋損なく取り込むことができる
データアグリゲーション

データの取り込み、利⽤者、保持に制限はありません。あなたのデータに障害はありません

全データタイプデータを⽣の状態で取り込み、すぐに全体を検索することができます。

パワフルなクエリ

堅牢で豊かなクエリシンタックスにより、環境の隅々まで探索し、データを深く掘り下げることができます。
単純解析、相関解析が可能

キット

素早くスケールアップするために必要なものがすべて揃っています。ダッシュボード、クエリ、リソース、プレイブック。必要なツールがすべて揃っています。

DNS Summer Days
13GBまで無料︕