廃止（リタイア）されたシグネチャとは？ネットワークセキュリティにおけるシグネチャの基礎知識

はじめに

ネットワークセキュリティにおいて「シグネチャ」は、不正侵入や攻撃を検出するための中核的な概念です。本記事では、廃止（リタイア）されたシグネチャの意味をはじめ、IDS・IPSにおけるシグネチャの役割、Cisco IPSの具体的な運用方法、シグネチャベース検出の仕組みとその限界について詳しく解説します。

廃止（リタイア）されたシグネチャとは

Cisco IOS IPSでは、多数のシグネチャを使ってトラフィックをスキャンします。このうち「廃止（retired）」状態に設定されたシグネチャは、メモリにコンパイルされず、実際の検査には使用されません。ユーザーはシグネチャを選択・選択解除することで、廃止状態を解除（unretire）したり、逆に廃止に設定したりできます。使用しないシグネチャを廃止しておくことで、メモリやCPUリソースを節約し、IPSのパフォーマンスを最適化できます。

ネットワークセキュリティにおけるシグネチャの意味

情報セキュリティにおけるシグネチャとは、コンピュータシステムやネットワークに対する悪意ある攻撃に関連するパターンや痕跡（フットプリント）を指します。たとえば、ネットワークトラフィック中の特定のバイト列（バイトシーケンス）や、ファイル内に現れる特徴的なデータの並びなどが該当します。既知の攻撃パターンをシグネチャとして登録しておくことで、同じ手口による攻撃を効率的に見つけ出せます。

IDS／IPSにおけるシグネチャとは

IDS（侵入検知システム）やIPS（侵入防止システム）の文脈でいうシグネチャとは、「攻撃に関連付けられた活動のパターンやコード」を意味します。なお、認証の分野で使われる電子署名（デジタル署名）は、利用者が自身のIDを証明するための技術であり、攻撃検出用のシグネチャとは目的が異なる点に注意が必要です。また、IDS/IPSには「通常のネットワークで期待される挙動」からの逸脱を検出するアプローチ（異常検知）も存在します。

Cisco IPSのシグネチャとは

Cisco IPSおよびCisco IOS IPSでは、シグネチャを用いてネットワークへの不正侵入を検出します。どのような種類の侵入をセンサーに検出させるかは、シグネチャによって指定できます。管理者はシグネチャの有効化・無効化やチューニングを行うことで、自社環境に合わせた検出ポリシーを構築できます。

シグネチャアラームとは

IDSやIPSセンサーが攻撃やポリシー違反からシステムを保護し、アラームを発報するためには、シグネチャの精度が極めて重要です。誤検知（false positive）が多すぎると重要な警告が埋もれてしまい、逆に検知漏れがあると攻撃を見逃すことになります。そのため、シグネチャの適切な選択と継続的なチューニングが求められます。

Cisco IPSのシグネチャを確認する方法

Ciscoのシグネチャサーバーから最新のシグネチャをダウンロードするには、有効なCisco.comアカウントと証明書が必要です。確認手順の概要は以下の通りです。

• Device Management > Cisco Services & Support の画面でCiscoサービスの設定状況を確認する
• Account SettingsページでCiscoアカウントの構成を行う
• Cisco.comアカウントの資格情報を使用してセキュリティアプライアンスにログオンする

これらの設定により、センサーはCiscoのシグネチャサーバーから定期的に最新シグネチャを取得できるようになります。

シグネチャエンジンとは

シグネチャエンジンは、Cisco IPSと連携して動作し、多種多様なシグネチャタイプをサポートするコンポーネントです。エンジンは主に「パーサー（解析部）」と「インスペクター（検査部）」の2つの部分で構成されます。各エンジンには設定可能なパラメータの範囲が定められており、値を調整することで検出動作を細かく制御できます。

IPSシグネチャの役割

シグネチャは、DoS攻撃などの一般的な侵入行為をIDSやIPSが検出するための基盤となります。センサーがデータフローとシグネチャの一致を検出すると、イベントのログ記録、IDS/IPS管理ソフトウェア（Cisco SDMなど）へのアラーム送信、またはその両方を実行できます。

マルウェアシグネチャとは

マルウェアシグネチャとは、サイバーセキュリティ技術が悪意のある脅威を識別するために使用するパターンのことです。具体例としては、ネットワークトラフィック中の特定のバイト列や、特定のマルウェアファミリーが使用する命令コードなどが挙げられます。アンチウイルスソフトも同様に、既知のマルウェアのシグネチャとの照合によって感染を検出しています。

ファイアウォールにおけるシグネチャとは

Webアプリケーションファイアウォール（WAF）のシグネチャを活用すれば、既知の攻撃からWebサイトをシンプルかつ統一的な方法で保護できます。シグネチャは基本的に、システム、Webサーバー、Webサイト、XMLベースのWebサービスなどを攻撃する際に用いられる設計パターンを表したものです。

IPSはシグネチャベースか

IPSには脆弱性（エクスプロイト）を検出するためのさまざまな手法がありますが、主流となっているのは「シグネチャベース検出」と「統計的異常ベース検出」の2つです。シグネチャベース検出では、コード内に含まれる固有のシグネチャ（パターン）を照合することで、エクスプロイトを識別します。一方、異常ベース検出は、通常時のトラフィック像との乖離から攻撃を推定する方式です。

侵入検知システム（IDS）のシグネチャとは

侵入検知システム（IDS）は、悪意のある活動やポリシー違反を監視する仕組みです。検出された悪意ある活動に関するデータは、通常、SIEM（Security Information and Event Management：セキュリティ情報・イベント管理）システムによって収集・レポートされます。これにより、組織全体のセキュリティ状況を一元的に把握できます。

シグネチャベースIDS／IPSの弱点

シグネチャベースのIDS/IPSには、根本的な限界があります。最大の弱点は、未知の攻撃やゼロデイ攻撃を検出できないこと、そして弱い認証を突いた攻撃には無力である点です。たとえば、重要なシステムの管理者パスワードが「password123」のままだった場合、攻撃者はIDS/IPSから見れば「正規の」アクセスを行っているように見えるため、不正アクセスを検出できません。シグネチャベースの防御はあくまで多層防御の一要素であり、強固な認証やパッチ管理と組み合わせることが不可欠です。

IPSシグネチャの仕組み

IPS（侵入防止システム）は、ネットワーク上を転送されるトラフィックを通過時にスキャンし、悪意ある活動や既知の攻撃パターンを検出します。具体的には、ネットワークトラフィックを継続的に分析し、そのビット列をシグネチャデータベースと比較することで、既知の攻撃パターンを特定します。一致が検出されると、アラートの発報、ログ記録、さらにはパケットの遮断といった対応を自動的に実行します。

まとめ

シグネチャは、ネットワークセキュリティにおける攻撃検出の基礎となる概念です。廃止されたシグネチャの管理から、Cisco IPSでのシグネチャ運用、シグネチャベース検出の限界までを理解することで、より効果的な多層防御体制を構築できます。既知の脅威にはシグネチャ、未知の脅威には異常検知や行動分析といった他の技術を組み合わせるのが、現代のセキュリティ運用の基本です。