データマイニングは侵入検知・防止システム（IDS/IPS）にどう活用できるのか？

侵入（イントルージョン）とは、ネットワークリソース（ユーザーアカウント、ファイルシステム、システムカーネルなど）の完全性、機密性、可用性を脅かす一連のサービスや行為として定義できます。

侵入検知システム（IDS）と侵入防止システム（IPS）は、どちらも悪意のあるアクティビティを検出するためにネットワークトラフィックやシステムの動作状況を監視します。IDSは検知結果をレポートとして生成するのに対し、IPSはネットワーク経路上にインラインで配置され、検出した侵入に対して能動的に遮断・ブロックを行える点が大きな違いです。

IPSの主な利点は、悪意のあるアクティビティを認識し、その活動に関するデータをログとして記録し、活動のブロックや停止を試み、さらに記録として文書化できることにあります。そして、データマイニング手法は、以下のようなさまざまな形で侵入検知・防止システムの性能向上に貢献します。

侵入検知のための新しいデータマイニングアルゴリズム

データマイニングアルゴリズムは、シグネチャベースの検知と異常ベースの検知の両方に活用できます。

シグネチャベースの検知では、学習データに「正常」または「侵入」というラベルを付与し、既知の侵入を識別する分類器（クラシファイア）を構築します。この分野の研究では、分類アルゴリズムの適用、アソシエーションルールマイニング、コスト敏感モデリングなどが用いられてきました。

一方、異常ベースの検知は、正常な挙動のモデルを構築し、そこからの重要な逸脱を自動的に識別するアプローチです。具体的には、クラスタリング、外れ値分析、分類アルゴリズム、統計的手法など、複数の手法が組み合わせて使われます。これらの技術は、高い精度と拡張性を備え、大容量・高次元・異種混合という特徴を持つネットワークデータを扱えることが求められます。

アソシエーション・相関・判別的パターン分析による分類器の精度向上

アソシエーション分析、相関分析、判別的パターンマイニングは、ネットワークデータを構成するシステム属性間の関係性を発見するのに有効です。こうした分析によって得られる知見は、侵入検知に有用な属性を選択する際の指針となります。

また、集約されたレコードから新たに派生させた属性も役立ちます。たとえば、特定のパターンに一致するトラフィックの集計件数のような要約統計値は、検知精度の向上に寄与します。

ストリームデータの分析

侵入や悪意ある攻撃は一時的かつ動的な性質を持つため、データストリーム環境において侵入検知を実装することが極めて重要です。さらに、あるイベント単体では正常に見えても、イベント列の一部として捉えると悪意のあるものと判断されるケースがあります。

そのため、通常どのようなイベントシーケンスが発生するのかを把握し、逐次パターンを発見し、外れ値を特定することが不可欠です。加えて、リアルタイムの侵入検知を実現するには、データストリーム中で進化するクラスタを発見したり、動的な分類モデルを構築したりできるデータマイニング手法も必要とされます。

分散型データマイニング

侵入は複数の場所から同時に仕掛けられ、複数の異なる宛先を標的にする場合があります。分散型データマイニング手法を用いれば、複数のネットワークロケーションから収集したデータを横断的に分析し、こうした分散型攻撃を効率的に特定できます。

可視化およびクエリツール

検出された異常パターンを分析・考察するためには、可視化ツールを利用できる環境が重要です。こうしたツールには、アソシエーション、判別的パターン、クラスタ、外れ値などを視覚的に確認できる機能が含まれます。

さらに、侵入検知システムには、セキュリティアナリストがネットワークデータや検知結果に対して柔軟にクエリを発行できるグラフィカルユーザーインターフェース（GUI）も備わっているべきです。これにより、アナリストは疑わしい挙動を迅速に掘り下げて調査でき、対応のスピードと精度が大きく向上します。