ネットワークセキュリティ監視プロセスにおける統計データとは？関連技術も徹底解説

ネットワークセキュリティ監視（NSM）の分野では、統計データやテレメトリデータを活用して不正侵入や異常な挙動を検知する手法がますます重要になっています。本記事では、NSMにおける統計データの役割をはじめ、NetFlow、NBA／NBAD、Windowsログ、ELSA、SMTP、IPv6拡張ヘッダーなど、関連する技術や概念についてわかりやすく解説します。

ネットワークセキュリティ監視における統計データとは

ネットワークセキュリティの分野では、動的なコンピュータネットワークが侵入や異常な挙動を自ら検知できるようにするためのデータサイエンス技術が研究・開発されています。これにより、サイバー兵器を用いた攻撃からネットワークを事前に守ることが可能になります。

また、ネットワークセキュリティ監視プロセスにおいて、統計データは次のように活用されます。

• ネットワークホスト同士がどのように通信しているかを把握する
• ネットワークアクティビティが各ネットワーク間でどのように分散しているかを示す
• 他のネットワークに関するデータと比較・分析し、トラフィックの構成を判断する

高度な分析技術を用いた監視手法：NBAとNBAD

NetFlowやIPFIXのテレメトリデータを高度な分析技術で解析するネットワークセキュリティ監視のアプローチとしては、次の2つが挙げられます。

• NBA（Network Behavior Analysis：ネットワークビヘイビア分析）
• NBAD（Network Behavior Anomaly Detection：ネットワークビヘイビア異常検知）

NetFlowの動作特性

NetFlowの大きな特徴は、データフローそのものはキャプチャしないという点です。代わりに、フローに関する一連のメタデータ（送信元・宛先IPアドレス、ポート番号、パケット数など）を収集します。

Windowsホストのログに記録されるイベント

Windowsホストが保持するログファイルには、ログインの試行や、管理・アクセスされたファイルやオブジェクトに関するセキュリティイベントが記録されます。

ネットワークセキュリティ監視（NSM）とは

ネットワークセキュリティ監視（NSM）の目的は、ネットワークへの不正侵入の可能性を示す兆候や警告を収集・分析・エスカレーションし、侵入を検知して備えることにあります。

一般的なNSMには、次のような機能が含まれます。

• セキュリティデータの照会
• ネットワーク上の不審な挙動を能動的に探す「ハンティング」

ネットワークセキュリティの主な種類

ネットワークセキュリティには、多層防御の観点からさまざまな種類があります。

• アクセス制御（システムへのアクセス権限の管理）
• アンチウイルス・アンチスパイウェアなどのマルウェア対策ソフトウェア
• アプリケーションコードのセキュリティ
• 行動分析（ビヘイビア分析）
• データ損失防止（DLP）
• DDoS（分散型サービス拒否）攻撃対策
• メールセキュリティ
• ファイアウォール

データセキュリティとネットワークセキュリティの違い

ネットワークセキュリティの具体例

ネットワークセキュリティには、アクセス制御やウイルススキャンソフトウェアのほか、アプリケーションセキュリティ、ネットワーク分析、エンドポイント・Web・ワイヤレスなど各種セキュリティ、ファイアウォール、VPN暗号化などが含まれます。

NAT/PATがネットワークセキュリティ監視を難しくする理由

NetFlowを使用している環境でNAT/PATが使われると、監視が複雑になる要因があります。

• 送信元と宛先の両方でアドレス情報が変換され、実際の通信元を追跡しにくくなる
• パケットのペイロードが暗号化され、内容が隠される
• ユーザーがポート番号を操作することで、アプリケーションの発信元を偽装できる

Cisco NetFlowが提供する情報

Cisco NetFlowユーティリティは、IPアプリケーションに対して次のような重要な機能を提供します。

• ネットワークトラフィックのアカウンティング
• 使用量ベースのネットワーク課金
• ネットワークプランニング
• セキュリティ監視
• DoS（サービス拒否）攻撃の監視

Windowsのイベントタイプ「情報」とは

Windowsのイベントログにおける「情報（Information）」タイプは、アプリケーション、ドライバー、またはサービスが正常に動作したことを記録するイベントです。

ELSAで利用される2つの技術

Enterprise Log Search and Archive（ELSA）は、複数のソースから生成されたNSMデータを検索・アーカイブできる、マルチユーザー対応のエンタープライズレベルツールです。ELSAでは次の技術が利用されています。

• Sphinx Search：ログのインデックス化に使用
• Syslog-NG と MySQL：Syslog-NG経由でログを受信し、MySQLデータベースに保存

正しく検知できたアラートの分類：真陽性（True Positive）

IDSやIPSのシグネチャが正しくトリガーされ、悪意のあるトラフィックを検出したときにアラームが生成された場合、そのアラートは真陽性（True Positive）に分類されます。これは「実際にエクスプロイト（脆弱性攻撃）が発生しており、それを正しく識別できた」状態を指します。

異なるメールドメイン間でメールを送信するプロトコル：SMTP

異なるメールドメインに属する2つのサーバー間で電子メールを送信する際に使用されるのはSMTP（Simple Mail Transfer Protocol）です。SMTPは、メールサーバー間でメッセージをやり取りしたり、あるサーバーから別のサーバーへメッセージを送信したりするために設計されたプロトコルです。

SguilとELSAの連携

アラートレコードがELSAの検索機能に直接リンクしているツールはSguilです。Sguilのアラート機能とELSAの検索機能が直接連携しているため、一方から他方へピボット（切り替え）しながら詳細な検索を行うことができます。

IPv6におけるオプションのネットワーク層情報

IPv6パケットでは、拡張ヘッダー（Extension Header）によってオプションのネットワーク層情報が運ばれます。拡張ヘッダーはIPv6基本ヘッダーとペイロードの間に配置される独立したヘッダーであり、基本ヘッダーの一部ではありません。

このように、ネットワークセキュリティ監視では統計データやメタデータをいかに効果的に収集・分析するかが鍵となります。NetFlowやNBA／NBADといった技術、WindowsログやELSAのようなツールへの理解を深めることで、より堅牢な監視体制を構築できるでしょう。