侵入検知・防止のためのデータマイニング手法とは？シグネチャ型とアノマリー型を解説

データマイニングとは

データマイニングとは、リポジトリに保存された大量のデータを、統計的手法や数学的手法を含むパターン認識技術を用いて分析し、有用な新しい相関関係、パターン、トレンドを発見するプロセスです。実際のデータセットを分析することで、予期しない関係性を発見し、データ所有者にとって論理的かつ有益な形でレコードを要約することを目的としています。

なぜ侵入検知・防止が重要なのか

コンピュータシステムと情報のセキュリティは、常に脅威にさらされています。ウェブの急速な拡大に加え、侵入や攻撃に使われるツールや手法が容易に入手できるようになったことで、侵入検知と防止はネットワークシステムに不可欠な要素となりました。

侵入とは、ネットワークリソース（ユーザーアカウント、ファイルシステム、システムカーネルなど）の完全性、機密性、可用性を脅かす一連の行為として定義されます。

侵入検知システム（IDS）と侵入防止システム（IPS）は、どちらも悪意のあるアクティビティを検出するために、ネットワークトラフィックとシステムのパフォーマンスを監視します。前者は検知結果をログとして記録するのに対し、後者はネットワーク経路にインラインで配置され、検知した侵入を能動的に回避・ブロックすることができます。

侵入防止システムの主な役割は、悪意のあるアクティビティを認識し、その内容をログに記録し、アクティビティをブロック・停止し、その記録を文書化することです。

侵入検知・防止システムの多くは、「シグネチャベースの検知」または「アノマリーベースの検知」のいずれかを採用しています。

シグネチャベースの検知

この手法では、ドメインの専門家によって事前に設定・定義された攻撃パターンである「シグネチャ」を利用します。シグネチャベースの侵入防止システムは、ネットワークトラフィックを常時監視し、これらのシグネチャとの一致を検出します。

一致が検出されると、侵入検知システムは異常に対処し、侵入防止システムはより適切な対応措置を講じます。ただし、システムは一般的に動的であるため、新しいアプリケーションのバージョンが登場したり、ネットワーク構成が変更されたりするたびに、シグネチャを手作業で更新し続ける必要があります。

この検知方式の最大の弱点は、シグネチャに一致するケースしか認識できない点です。そのため、未知の新しい侵入手法を検出することはできません。

アノマリーベースの検知

この手法では、通常のネットワーク動作のモデル（プロファイル）を構築し、プロファイルから大きく逸脱する新しいパターンを特定します。こうした逸脱は、実際の侵入を示している場合もあれば、プロファイルに追加すべき新しい正常な動作である場合もあります。

アノマリー検知の利点は、これまで観測されたことのない新しい侵入を検出できることです。ただし、一般的には、アナリストが逸脱データを精査し、どれが実際の侵入を意味するのかを判断する必要があります。アノマリー検知の限界は、偽陽性（誤検知）の割合が高いことです。

なお、シグネチャベースの検知を強化するために、新たに発見された侵入パターンをシグネチャセットに追加していくことも可能です。