Bro（Zeek）ネットワークセキュリティモニターとは？仕組みとIDS・IPSとの違いを解説

Broツールとは？

Bro（現在のZeek）は、ネットワークトラフィックを分析するために設計されたオープンソースのソフトウェアフレームワークです。ネットワーク上の異常な振る舞いを検出し、不正アクセスやデータ漏洩といった脅威からネットワークとデータを保護する目的で広く利用されています。

ネットワークセキュリティモニタリングの役割

ネットワークセキュリティモニタリング（NSM）の目的は、ネットワークへの侵入を示唆する兆候や警告を収集・分析し、必要に応じて関係者へエスカレーションすることで、侵入を早期に検知し備えることにあります。一般的なセキュリティモニターには、以下のような機能が含まれます。

• セキュリティデータの照会
• ネットワーク内の不審な挙動を能動的に探索する「脅威ハンティング」

Zeek（Bro）の仕組み

Broは1995年にVern Paxson氏によって開発が始まり、20年以上にわたって進化を続けてきたツール群です。Zeekは35以上のプロトコルに対応し、ネットワークトラフィックから400以上のフィールド情報を抽出することで、幅広いデータをリアルタイムで監視できます。HTTP、DNS、SSLなど、レイヤー3〜7に属する多くのプロトコルをカバーしている点が特徴です。

BroはIDSかIPSか？

Broは、シグネチャベースとアノマリー（異常検知）ベースの両方の性質を持つIDS（侵入検知システム）と捉えることができます。キャプチャされたトラフィックは解析エンジンによって一連のイベントへと変換され、イベントデータにはFTPサーバーへのログインやWebサイトへの接続など、ほぼあらゆる通信に関する情報が含まれます。

なぜBroからZeekに名称変更されたのか？

近年、「Bro」という言葉の使われ方が変化したことを受け、プロジェクトは「Zeek」という新しい名前に変更されました。新しいロゴは、Gary Larson氏の漫画『The Far Side』に登場するキャラクター「Zeek」からインスピレーションを得たものです。風変わりで印象的な名前を好むオープンソースコミュニティの文化も、この命名の一因となっています。

ZeekはSIEMなのか？

Zeek自体はSIEMではありませんが、観測した内容を解釈し、高精度かつコンパクトなトランザクションログ、ファイルコンテンツ、完全にカスタマイズ可能な出力を生成します。これらの出力は手動で確認できるだけでなく、SIEMのような分析者にとって扱いやすいツールに取り込むことで、より効率的な分析が可能になります。

Suricataの用途

Suricataはオープンソースのネットワーク脅威検知エンジンで、侵入検知（IDS）、侵入防止（IPS）、ネットワークセキュリティモニタリング（NSM）として利用できます。ディープパケットインスペクション（DPI）とパターンマッチングに非常に優れており、脅威や攻撃の検出に役立つ強力なツールです。

ZeekはNetFlowなのか？

Zeekは「強化版NetFlow」と表現されることがあります。従来のNetFlowを大きく拡張し、数十種類のプロトコルをサポートするとともに、数百列にも及ぶ豊富なデータフィールドを提供する点が大きな特徴です。

IDSとIPSの違い

IDSとIPSの主な違いは監視機能そのものではなく、制御機能の有無にあります。IDSはパケットを一切改変せず、検知と警告に特化します。一方、IPSはパケットの内容に基づいて通信を遮断することができ、IPアドレスベースでトラフィックをブロックするファイアウォールに似た動作を行います。

SnortはIDSかIPSか？

Snortは、リアルタイムのネットワークトラフィック分析とパケットロギング機能を備えた、オープンソースの侵入検知システム（IDS）兼侵入防止システム（IPS）です。

Broシステムとは？

Broは、ネットワークリンク上を流れるトラフィックを受動的に監視することで、ネットワーク上に存在する侵入者を検出するスタンドアロンの技術です。イベントハンドラーによって、状態情報の更新、新規イベントの生成、データのディスクへの記録、リアルタイムでの通知発行などを実現できます。