インターネットセキュリティのフルスペックを極める

自律分散型インターネットセキュリティ基盤

Autonomous and Distributed Internet Security Infrastructureの概要と実現課題
ＡＩＳ研究プロジェクト
2017年3月14日
東京電機大学小林 浩†，八槇 博史‡, 米﨑 直樹, 君山 博之
上野 洋一郎，堤 智昭, 佐野 香, 佐々木 良一†プロジェクト代表，‡プロジェクト副代表

1内 容
1. 研究の背景
2. サイバー脅威根絶に向けて
3. 自律分散型セキュリティ基盤の概要
4. サイバー攻撃遮断実験
5. 技術課題
6. まとめ2

1. 研究の背景
 過激化・組織化するサイバー攻撃が世界の大きな脅威
 DDoS攻撃や標的型メール攻撃等々
 2011年のサイバー攻撃による全世界の損害額：0.3～1兆米ドル

 ＩｏＴデバイスの急増は，さらなるサイバー脅威に 探索パケットによるマルウェア感染，製造工程で埋め込まれることも 数万台のＩｏＴデバイスをハイジャックした600Gbps超のDDoS攻撃が2016年散発
 2020年には500億台のＩｏＴデバイスがインターネットに接続 もし500億台の1%が悪用されれば，6Pbps超のDDoS攻撃も500億台×1%×(1500B×1kpps)/台 ⇒ 6Pbps

 “自分を守るセキュリティ”から“グローバルセキュリティ”への転換が必要!

 インターネット全体の安全性を高める“自律分散型インターネットセキュリティ(ＡＩＳ)基盤“を提案．
DDoS：Distributed Denial of Service, IoT：Internet of Things
32. サイバー脅威根絶に向けて 攻撃パケットをIPレイヤで分類

1. 送信元詐称IPアドレス
 ランダムな送信元IPアドレス

DDoS攻撃で多用
 特定送信元IPアドレス(標的ノードのIPアドレス)

DNSリフレクション攻撃やNTPリフレクション攻撃など

2. 送信元非詐称IPアドレス
 不特定宛先IPアドレス(ダークネット*で観測)

無防備なＩｏＴデバイスを，総当たり攻撃でマルウェア感染させる探索パケットなど
 特定宛先IPアドレス

ハイジャックされたＩｏＴデバイスからのDDoS攻撃など

3. 匿名IPアドレス(接続経路を隠ぺい e.g. Ｔｏｒ)
サイバー犯罪やDDoS攻撃の首謀者らが多用
ダークネットを飛び交う探索パケット
出典：nicterweb http://www.nicter.jp/#*未使用アドレス空間，Ｔｏｒ：The Onion Router4サイバー攻撃対策上の制約と課題
 日本では｢通信の秘密｣法から，ＩＳＰは大規模なDDoS攻撃を察知しても，ユーザからの対処要請または自身のサービス継続が危うくならない限り対処できない．
 エッジルータのuRPF機能は，送信元アドレスがルーティングテーブルの経路情報に存在しないアドレス詐称パケットを遮断する．
 ルータの過負荷回避などから，ＩＳＰの多くはuRPF機能を設定していない．
 攻撃側が圧倒的に有利な原因の一つ．
 uRPF機能は，不正パケットの転送を逆行経路(送信元IPアドレスへ到達可能な経路)が存在するもののみに制限する重要な役割を担う．

uRPF：unicast Reverse Path Forwarding5

既存技術 BGP Flowspecとその課題

 BGP flowspecとは
 フロースペック・メッセージは，ＩＳＰのサービス継続が危うくなった事態やユーザからの対処要請を受けて発行される．
 BGPルータは，フロースペック・メッセージを受信すると，L3/L4ヘッダ情報をもとに攻撃パケットを遮断または転送先を変える．
 限界と課題 パケットの詳細な属性情報を指定できないため，C&Cサーバからの攻撃指令や探索パケットなどを遮断できない．
 偽装メッセージをチェックする手段を持たない．
 ＴＣＰベースのプロトコルであるため，帯域圧迫攻撃を受けると機能しない可能性がある．

BGP：Border Gateway Protocol, C&C：Command and Control
6

3. 自律分散型セキュリティ基盤の概要
1. ユーザネットワークの出口と，インターネットの入口，及びＩＳＰ間の境界に，各々eMLBR, iMLBR, bMLBRを配備し，適応型ファイアウォールとして機能するＡＩＳ基盤を形成する．
2. ＭＬＢＲは，ＭＬＢテーブルを用いて（uRPFのように）アドレス詐称パケットをフィルタリングし，不正パケットを逆行経路が存在するもののみに制限する．
3. 被害ノードからの逆行経路に向けた廃棄要請(ＤＲＭ)により，攻撃パケットの送信元IPアドレスに最も接近したＭＬＢＲで遮断する．
4. ソフトステート型の認証・検疫などにより，すべてのパケットの送信元をセキュリティ評価し，結果をIPヘッダのTOSフィールドに附す．パケットを受信するか否かの判断は受信者に委ねる．
5. ＡＩＳ基盤は，人の作為が入らないよう機械的運用を軸に，公平・中立・公正性をベストエフォートで実現する．
6. ＩＳＰやエンドユーザに自発的な導入を促すインセンティブ･メカニズムを導入する ．

MLBR：Multi-Layer Binding Router, e：egress, i：ingress, b：border, DRM：Dropping Request Message, TOS：Type of Service7

自律分散型セキュリティ基盤のキー機能(1)
攻撃を逆行経路が存在するものに制限し，ＤＲＭで遮断

ＭＬＢテーブルで不正パケットを逆行経路が存在するものに制限

未導入ネットワーク
eMLBR
iMLBR
bMLBR

攻撃パケットの送信元に最接近のＭＬＢＲで遮断

ＡＩＳ基盤導入ネットワーク
ＤＲＭ
被攻撃ノード(人工知能搭載ＩＤＳ)
ＩＤＳ：Intrusion Detection System8

自律分散型セキュリティ基盤のキー機能(2)
ＩｏＴデバイスのネットワークレベルでのセキュリティ対策

通信相手限定 によるＩｏＴの感染予防と汚染ＩｏＴの無害化
探索パケット遮断によるＩｏＴの感染予防
定点観測

ＩｏＴリレーサーバ

eMLBR

未導入ネットワーク

ＤＲＭ

iMLBR
bMLBR

ＡＩＳ基盤導入ネットワーク

9

自律分散型セキュリティ基盤のキー機能(3)【受信側での判断例】
高信頼パケット⇒受信
信頼性不明パケット⇒検査のうえ受信
匿名アドレスパケット⇒拒否
ハイリスクパケット⇒拒否

すべてのパケットにセキュリティ評価を附す

未導入ネットワーク
eMLBR

信頼性不明

iMLBR
bMLBR

ＡＩＳ基盤導入ネットワーク

全パケットの送信元をセキュリティ評価
高信頼

ソフトステート型
認証・検疫10

4. サイバー攻撃遮断実験
OpenFlowでＭＬＢＲを試作し，実験用テストベッドを構築
NIRVANA-Rでトラヒックを可視化(送信元と宛先IPアドレス２点間の軌跡として描画)
uRPFなしe-uRPF aggregate

帯域圧迫攻撃探索パケット遮断【他に行った遮断実験】
e-uRPF loose mode
パケットの誤廃棄抑制
NTPリフレクション攻撃
DRMリレーによる攻撃元
最接近ＭＬＢＲでの遮断ほか
11

5. 実現課題 ＭＬＢテーブルとスケーラビリティ
 不正パケットを逆行経路が存在するもののみに制限するよう，各ルータには次のe-uRPF modeを設定する．
ルータ

e-uRPF mode

対象アドレス

サイズ

備 考

eMLBR

fully strict mode

L1, L2, L3+ＡＨ 10～1k 詐称パケットを完全排除

iMLBR

strict mode/loose mode

L1, L3/L3+ＡＨ 2k～3k エッジルータのuRPF相当

bMLBR

aggregate mode

他ISPから流入す
逆 行 経 路 上 で uRPF が0～1Mる全L3機能していれば不要

 未導入ＩＳＰに隣接するbMLBRのサイズ肥大対策
 uRPF設定状態調査ロボットの導入
 uRPF未設定ISPへのuRPF設定要求，ペナルティ課金請求
 高性能ソフトルータ(100Gbps)の出現により，コストは1/10以下に

e-uRPF：equivalent uRPF, ＡＨ：Authentication Header
12

廃棄要請プロトコル(ＤＲＰ)と廃棄テーブルのスケーラビリティ
 ＤＲＰは，被害ノードから攻撃パケットの送信元に最接近のＭＬＢＲへＤＲＭをＵＤＰを用いてリレー転送するためのプロトコル．
 ＤＲＭには，正常パケットの誤廃棄を防ぐため，L1～L7のヘッダ情報を記述でき，その真正性・統合性検証のための認証コードが付加される．
80B
 未導入ＩＳＰ隣接bMLBRのサイズ
物理ポート/(セキュア)チャネル番号(1)MAC(14)
肥大対策

NH: Next Header
NH

IPv4(20)
IPv6(40)(50W)かつ802.1X EAPARP(24)

 TCAMは消費電力大高価

 ソフト処理による低コスト化

 廃棄テーブルのコンパクト化が必要
 1対多/多対多型断続的攻撃遮断用

ICMP(8)
ICMPv6(8)IGMP(8)OSPF(24)
TCP(20)SCTP(12)
UDP(8)

・単純な0/1の2値比較に，don’t care（wildcard）を加えた3値比較
ＤＲＭの集約化
 標的型攻撃やゼロディ攻撃の抑制
 複数ＭＬＢＲによる分散遮断

DNS(12)
DHCP(12)RADIUS EAPNTP(16)
RTP(12)
RIP(8)

 ＡＩＳ基盤内は，TCAMを用いてワイヤスピードで処理
ＤＲＰ：Dropping Request Protocol, TCAM：Ternary Content Addressable Memory13

ＴＰＭによる信頼基盤と，安全なプロトコルの実現
 ＭＬＢＲやＤＲＭを発信するＩＤＳがマルウェアに感染すれば，ＡＩＳ基盤の安全や信頼は成り立たなくなる．
 ＭＬＢＲやＩＤＳ，ＤＲＭの真正性・統合性を検証できる仕組みが必要．
 ＴＰＭ：耐タンパー性のあるセキュリティモジュール
 EK鍵(ＴＰＭ識別用)，AIK鍵(署名用)，STK鍵(暗号用)などを提供
 認定機関は，各機器のEK公開鍵とＭＬＢＲのディスクイメージや検知エンジンの機械学習済みデータのハッシュ値を管理し，各機器の真正性の保証やＤＲＭの統合性検証，ＡＨ用共有鍵交換などのための信頼基盤を担う．
 標準化への取り組み
 ＡＩＳ基盤実現に必要なプロトコルを形式的に厳密に定義し，形式手法を用いてプロトコルにセキュリティホールがないことを証明する．
 プロトタイプ実装を行い，様々な検証実験を通して機能上の完全性を検証した上で，IETFなどで標準化していく．

ＴＰＭ

ＴＰＭ：Trusted Platform Module, EK：Endorsement Key, AIK：Attestation Identity Key, STK：Storage Key
14機械学習を用いたサイバー攻撃検知/認証・検疫
 過去の経験から未知の攻撃を検出する機械学習(ＡＩ)は，プログラムコードやパケットシーケンス，ログを入力すると，直ちに判定結果を出力する．
 Cylance/日立：数100万の特徴コードを機械学習し，既知・亜種・未知のマルウ

ェアを検出 Cybereason/ソフトバンク：プログラムの挙動を機械学習し，脅威を自動検出
 NTT Com：過去の侵入手口を機械学習し，機密情報の漏洩前に自動遮断 MIT CSAIL：攻撃検知システムAI2…2000万ユーザ/36億ログを学習 機械学習には膨大かつ新鮮な学習用データと，ＧＰＵなどを用いたＨＰＣ環境が必要だが，学習済データを用いた判定は汎用ＰＣで実行できる．
 研究用データセット：BOS, NICTER Darknetset, CCC DATAset, D3M他

ＩＤＳは，検出漏れや誤検出を抑制するため，専門ベンターや手法が異なる複数の検出エンジンを組み合わせる必要がある．
 ソフトステート型認証・検疫によるパケットのセキュリティ評価
 ログイン後の継続的本人確認
 マルウェアからパケット送信していないか常時監視
HPC：High Performance Computing，GPU：Graphics Processing Unit
15

インセンティブ・メカニズム・デザイン
 ＩＳＰやエンドユーザにＡＩＳ基盤の自発的導入を促す仕組みが必要【エンドユーザ】

 企業ユーザ：現行の自分を守るセキュリティ対策コスト ≫ 導入後コスト〃〃
セキュリティ脅威リスク ≫ 導入後リスク
 一般ユーザ：プロバイダ接続料 ≪ 移動体通信料金
 料金制度の見直しが必要【ＡＩＳ基盤導入ＩＳＰ】
 企業や一般ユーザとのセキュリティ脅威対処契約による収入増
 Tier-1：サービス品質の向上
 Tier-2：トランジット料金の削減【ＡＩＳ基盤未導入ＩＳＰ】
 未導入ＩＳＰからのパケットのセキュリティ評価は“信頼性不明”に設定される，
 パケットごとに検査＋ＭＬＢ/廃棄テーブルでのソフト処理⇒レスポンスの低下
 受信者によっては受信拒否⇒サービス性の低下

 bMLBRで詐称パケットを廃棄したＩＳＰは，uRPF未設定ＩＳＰからペナルティとして廃棄処理料金を徴収する．
16

6. まとめ 攻撃側が圧倒的に有利なゆえに，これまでの“自分を守るセキュリティ”から“グローバルセキュリティ”への転換が必要である．
 ＡＩＳ基盤が，極めて有効なソリューションになる．
 構成要素：ＭＬＢＲ，ＴＰＭ，ＡＩ技術
 キー機能：(1)攻撃を逆行経路が存在するものに制限し，ＤＲＭで遮断(2)ＩｏＴデバイスのネットワークレベルでのセキュリティ対策(3)すべてのパケットにセキュリティ評価を附す
 上記機能のプロトタイプをOpenFlowで試作し，小規模なテストベッドで様々な検証実験を行ってきた．
 ＡＩＳ基盤の自発的導入を促せれば，無防備なＩｏＴが大量に存在しても，インターネット全体の安全性を高められる．
 実現には，共同研究/研究支援/研究助成が必要．
17

“自分を守るセキュリティ”から“グローバルセキュリティ”へ
towards Global Security from Individual Security

ご清聴ありがとうございました．

ＡＩＳ研究プロジェクトは，公益財団法人セコム科学技術振興財団の研究助成を受けて進めています.

18