Skip to content

DNET_SCDefenseIDS

Jump to bottom
nishi_74322014 edited this page Sep 11, 2026 · 1 revision

SC：対策技術 - 防御・侵入検知

概要

  • 防止・防御、検知・追跡に該当。
  • 下記のように分類される。

防止・防御

検知・追跡

防御

ホスト要塞化

脆弱性検査 / 診断

トラステッドOS / セキュアOS

トラステッドOS

  • 軍用システムで用いられる。
  • 「TCSEC」の「B Division」に定義されている規約を満たす。
  • システムの設定方法や扱いが非常に難しく、大変に高価

セキュアOS

  • Trusted OSの高度なセキュリティ機能を実装しながら、
    民間にも導入しやすいようにいろいろな工夫を施したOS。

  • Trusted OSの豊富なセキュリティ機能から、
    民間市場が要求する機能だけを実装するように開発。

  • SELinux (Security-Enhanced Linux)

    • トラステッドOSではなく、セキュアOS
    • Linuxディストリビューションではない。
    • Linuxに強制アクセス制御 (MAC)（認証・アクセス制御の該当節を参照）機能を付加するモジュール
    • アメリカ国家安全保障局 (NSA) がGPL下で提供している。
    • Linux(UNIX)は、
      root が乗っ取られると、システム全体に致命的な被害を及ぼす。
      そのため、以下の仕組みを導入し、rootに権限が集中することを防いでいる。
      • Flaskアーキテクチャ（セキュリティーサーバーとアクセスベクターキャッシュ）
      • HTTP、FTPといったプロセスごとにアクセス制限をかける Type Enforcement(TE)
      • rootも含む全てのユーザに関して制限をかけるロールベースアクセス(RBAC)

規格（ISO/IEC 15408）

Common Criteria（CC）内で規定されたセキュリティ機能要件を実装する。

ファイアウォール（F/W）

種類（F/W）

構成例

  • ネットワークの基礎編の該当節を参照。

  • BBルータ的な構成

  • ルータなのでNAPT（ネットワーク機器一覧の該当節を参照）機能を持つ。
    内部IPを晒さずセキュアになるので、
    F/Wのコンテキストで説明される。

  • 非武装セグメント（DMZ）

    • 「ノーガード」
      外部公開サーバが野晒

    • 「三脚境界」（ネットワークの基礎編の該当節を参照）
      DMZ上の外部公開サーバに必要な
      インバウンド・アウトバウンド通信をルーティング

    • 「2台のF/Wに挟まれた」
      上記の「三脚境界」はF/Wが1台だが、F/Wを2台にすることで、
      異なるベンダのF/Wにできるのでセキュリティが強化される。

    • 「レベルによって分割された」
      言うなれば「4～脚境界」。
      レベルに応じた分割・設定が可能。

アクセス制御リスト（ACL）

  • ポジティブ・セキュリティ・モデル

    • 別名ホワイト・リスト
    • 基本的にすべての通信をdrop(deny)
    • 必要に応じて、高優先度のacceptを追加。
    • 特定クライアント＆通信のアクセス制御に利用される。

  • ネガティブ・セキュリティ・モデル

    • 別名ブラック・リスト
    • 基本的にすべての通信をaccept
    • 必要に応じて、高優先度のdrop(deny)を追加。
    • コンテンツフィルタなど、不特定のクライアント＆通信のアクセス制御に利用される。

防御出来ない攻撃

  • DoS系の攻撃
  • マルウェア侵入後の攻撃
  • ソフトウェア側の脆弱性を突いた攻撃

各種拡張機能

  • ハイパフォーマンス、ギガビット対応

  • マルチホーミング（複数のWAN接続経路）

  • IPv6、VPN機能、QoS機能

  • UTM（統合脅威管理）

    • IDPS機能
    • ゲートウェイ型AV
    • , etc.

  • 負荷分散
    F/W型の負荷分散はArrayシリーズなどの
    統合アプライアンスに組み込まれている。

  • HAクラスタ

パケット・フィルタリング型ファイアウォール

  • もともとはインバウンドのパケット・フィルタリング機能
  • 最近はアウトバウンドのパケット・フィルタリングも行う。
  • ルータや、OS（パーソナル・ファイアウォール）などに付属している。

設定項目（パケット・フィルタリング型）

以下は設定項目（ACL : アクセス制御リスト）

  • No(優先順位)

  • 方向 : in, out

  • srcアドレス, srcポート
    srcポートにwell-knownを使うFTP(passive)などがある。

  • dstアドレス, dstポート
    dstポートは、基本的にwell-knownになる。

  • プロトコル : TCP, UDP, ICMP, etc.
    トランスポート層までのプロトコル

  • Action : accept, drop(deny), reject

特徴（パケット・フィルタリング型）

フィルタリング機能が原始的であるため、

  • 結果的にACLの設定が難しい。
  • ACLの設定ミスも発生し易い。

その他、様々なファイアウォール

パケット・フィルタリング型ファイアウォールは、L3だが、こちらはL4

種類（その他のF/W）

  • サーキットレベル・ゲートウェイ型
    L4スイッチ的に動作する。

    • クライアントを認証し、TCP/IPのコネクションを確立して転送する。
    • ペイロードをチェックしないが、UDPを対象にできる。
    • クライアント・プログラムが、SOCKS拡張に対応している必要がある。
      （SOCKS は、サーキットレベル・ゲートウェイのデファクトスタンダード）

  • ダイナミック・パケットフィルタ型
    L4スイッチ的に動作する。

    • クライアントとTCP/IPのコネクションを識別して
    • 当該コネクションに対応するACLを自動登録する。
    • FTP(active)にも対応できる。

  • ステートフル・インスペクション型
    L4スイッチ的に動作する。

    • ダイナミック・パケットフィルタ型より更に高機能。
    • TCP/IPの通信フローまでをチェックできる。

  • アプリケーション・ゲートウェイ or プロキシ型
    L7スイッチ的に動作する。

    • クライアントとTCP/IPのコネクションを確立、
    • TCP/IPストリームのペイロードをチェックして、
    • 対象プロトコルのコマンドやメソッドなどをフィルタする。
    • TCP、UDP、または ICMP リクエストは処理対象ではないものが多い。

設定項目（その他のF/W）

以下は設定項目（ACL : アクセス制御リスト）

  • No(優先順位)

  • 方向 : in, out（ただし、下り設定は不要）

  • srcアドレス, srcポート
    srcポートにwell-knownを使うFTP(passive)などがある。

  • dstアドレス, dstポート
    dstポートは、基本的にwell-knownになる。

  • プロトコル : HTTP, FTP, SMTP, etc.
    アプリケーション、セッション層のプロトコル

  • ACK : ON or Active OpenのNo.2のみ通す。

  • Action : accept, drop(deny), reject

特徴（その他のF/W）

フィルタリング機能が高機能であるため、

  • 結果的にACLが設定し易い。
  • ACLの設定ミスも発生し難い。

Webアプリケーション・ファイアウォール（WAF）

こちらは、基本的にL7で、TCP/IPストリームのペイロードを詳細にチェックする。

種類（WAF）

  • プロキシサーバー型（≒インライン構成）
  • ブリッジ型（≒ワン・アーム構成）
  • エージェント型（ISAPやmod_isapiなど）

構成（WAF）

IPS（不正侵入防止システム）と同じ。

接続（WAF）

拡張（WAF）

※ 後述のIDS（不正侵入検知システム）、IPS（不正侵入防止システム）と同じ。
※ 逆に見ると統合アプライアンスに当該機能が実装されている。

限界・課題（WAF）

  • 検知機能

    • そもそも検知対象が複雑なので、
      検知精度は高くないと言って良さそう。

    • Webアプリケーションの脆弱性対策は必要。

  • 遮断機能

  • WAF自体の防御

    • アプリケーション・ゲートウェイ、アプリケーション・プロキシ型
    • 故に、プロミスキャス＆ステルス モードは使用できないので要防御。

  • 処理能力、信頼性、可用性

    • 冗長化
    • SNMP監視
    • 無停電電源装置（UPS）
    • クラウド型WAF

侵入検知

# 種類 特徴
1 IDS（不正侵入検知システム） 各種、侵入や攻撃を検知
1-1 NIDS（ネットワーク不正侵入検知システム） パケット・キャプチャでネットワーク上の...
1-2 HIDS（ホスト不正侵入検知システム） ホストに常駐して、ホストへの...
2 IPS（不正侵入防止システム） IDSに防御機能を追加
2-1 NIPS（ネットワーク不正侵入防止システム） 通信を遮断するためのインライン構成をとる。
2-2 HIPS（ホスト不正侵入防止システム） パーソナル・ファイアウォール的な機能を持つ
3 サンドボックス サンドボックス上でヒューリスティック法（脅威の該当節を参照）でウィルスを検知する。

IDS（不正侵入検知システム）

  • IDS : Intrusion Detection System
  • IDSは攻撃パターン（シグネチャ）のDB持っている。
  • これを実際の事象と照合してF/Wで検知できなかった攻撃を検知できる。
    • マルウェアの活動
    • ソフトウェアの脆弱性を付いた攻撃

NIDS（ネットワーク不正侵入検知システム）

  • NIDS : Network-based Intrusion Detection System

  • ネットワークを流れるパケットを監視する。

  • 構成

    • バリア・セグメントに接続

      • サイトに対する攻撃を検知できる。
      • 非武装セグメント（DMZ）に接続する場合、比較に利用できる。

    • 非武装セグメント（DMZ）に接続

      • DMZ上のサーバに対する攻撃を検知できる。
      • 最も重要で、且つ、必要最小限の構成

    • 内部セグメントに接続

      • 侵入後の攻撃を検知できる。
      • マルウェア、持込PC、内部犯行などが対象になる。

  • 接続
    スイッチに横付けに配置するワン・アーム構成。

    • パケット・キャプチャ・ツールを仕掛ける方法と≒。

    • ポートミラーをサポートするスイッチを使用する。

    • 上記をリピータHUB（ネットワークTAP）、
      スイッチ、統合アプライアンス等に接続。

    • NICをプロミスキャス＆ステルス モードに設定する。

  • その他の拡張

    • ハイパフォーマンス、ギガビット対応
    • マルチ・インターフェイス・モニタリング
    • 暗号化パケットの復号化
    • IPv6、その他のプロトコルへの対応
    • 負荷分散、HAクラスタ

※ 逆に見ると統合アプライアンスに当該機能が実装されている。

HIDS（ホスト不正侵入検知システム）

  • HIDS : Host-based Intrusion Detection System

  • ホストにインストールして使用する。

  • 検知の仕組み
    常駐して監視して、OSレベルで検知可能なものを拾う。
    （それ以上の機能は、サーバー版のエンドポイント対策で行う）

  • 検知可能な項目

    • ログイン・ログオフの成功/失敗

    • プログラム

      • 管理プログラム起動
      • 特権ユーザへの昇格
      • インストール

    • ファイル・アクセス（変更・削除）

      • システム・ファイル
      • コンフィグ設定
      • Webコンテンツ

    • NIC上で検知できるネットワーク攻撃

NIDSとHIDSの比較

# 項目 NIDS HIDS
1 導入方法 監視対象セグメントへの接続 ホストへのインストール
2 監視方法 パケットキャプチャと同じ OS機能を利用して監視
3 防御方法 接続制限・セッション切断 各種アクセス制限、リソース復元
  • 検知可能な攻撃
# 分類 項目 NIDS HIDS
1 ネットワーク ポートスキャン 〇 〇
2 ネットワーク DoS攻撃 〇 △
3-a インジェクション BOF攻撃 〇 △
3-b インジェクション コマンド 〇 △
3-c インジェクション SQL 〇 △
4 － ログイン △ 〇
5 ローカル リソース・アクセス × 〇
6 ローカル プログラムのインストール × 〇
7 ローカル ファイルの改ざん × 〇
8 ローカル メール送信 × ×
  • 検知の分類と対応するアクション
# 検知の分類 対応するアクション NIDS HIDS
1-1 通知・記録 コンソールへのアラート 〇 〇
1-2 通知・記録 メールでのアラート 〇 〇
1-3 通知・記録 SNMPトラップ 〇 〇
1-4 通知・記録 ログ（ローカル） 〇 〇
1-5 通知・記録 ログ（サーバ） 〇 〇
2-1 接続制限・セッション切断 TCP/IPコネクションの切断（RST） 〇 －
2-2 接続制限・セッション切断 UDP, ICMP遮断（ICMP port unreachable） 〇 －
2-3 接続制限・セッション切断 F/WのACLの動的変更 〇 －
2-4 接続制限・セッション切断 アカウント制限（アカウントロック、権限昇格制限） － 〇
2-5 接続制限・セッション切断 リソースへのアクセス制限 － 〇
2-6 接続制限・セッション切断 パケットの破棄 － 〇
3 プログラムの実行・停止 プログラムの実行・停止 － 〇
4 ファイル・レジストリの復元 ファイル・レジストリの復元 － 〇

限界・課題（IDS）

  • NIDS : Network-based Intrusion Detection System

    • 誤検知・過検知への対応が必要（AIプロジェクトのマネジメントの該当節を参照）

    • 機能・性能的な問題

      • 暗号化されたパケットは解析できない。
      • 攻撃は検知できても、侵入は検知できない。
      • 処理能力不足によるパケット取りこぼし

    • 検知できない事象

      • ホスト上の攻撃は検知できない。
      • ネットワーク攻撃は検知できても、侵入は検知できない。
      • アプリケーションに対するネットワーク経由の攻撃を検知し難い。
      • 正当な権限を持って行われる内部犯行は検知できない。

  • HIDS : Host-based Intrusion Detection System

    • 機能・性能的な問題

      • OSが検知できない攻撃は検知できない。
      • 攻撃の予兆を検知できない。
      • ホストの性能やパフォーマンスに悪影響を与える。

    • 検知できない事象

      • ホスト経由の攻撃は検知できないケースがある。
      • 正当な権限を持って行われる内部犯行は検知できない。

IPS（不正侵入防止システム）

NIPS（ネットワーク不正侵入防止システム）

NIPS : Network-based Intrusion Prevention System

NIDSとの違い。

  • 遮断機能があるため、

    • F/Wと

      • ≒な、インライン構成が可能（主流）
      • 連携するタイプではワン・アーム構成が可能

    • 誤検知（AIプロジェクトのマネジメントの該当節を参照）が発生しないよう、検知精度を高めている。

    • （検知後アクションなどの）ポリシ設定が可能。

  • 構成と接続

  • 機能上の限界と運用上の課題

    • 誤検知（AIプロジェクトのマネジメントの該当節を参照）のインパクトが大きい
    • インライン構成は信頼性・可用性に影響する
      （NIPS障害時に素通しするフェイル・オープン機能がある）

  • F/WやNIDSとの比較
    製品仕様に拠るので答えは一つではないが、

    • それぞれ、F/WやNIDSは専用機のため機能面で劣る。
    • F/Wと連携させたNIDSの方がスペック的には強い可能性がある。
    • ただ、F/WとNIDSを連携させるのが手間と思われる
      （１ベンダの製品でまとめれば対応容易かもしれない）。

HIPS（ホスト不正侵入防止システム）

HIPS : Host-based Intrusion Prevention System

HIDSとの違い。

  • 各種のエンドポイント対策（脅威の該当節を参照）機能
    • アンチウィルス
    • パーソナル・ファイアウォール(PFW)
    • EDR (Endpoint Detection and Response)
    • ファイル
      • 検査型サンドボックス
      • バックアップ・リストア

検知の仕組み

ウィルス検出（脅威の該当節を参照）の仕組みと、だいたい同じ。

シグネチャ型

  • 検知の方法

    • 不正パターンに一致するかで判断
    • DBに登録されているシグネチャとのパターンマッチング

  • 検知可能な事象

    • ポートスキャン、脆弱性スキャン
    • ソフトウェア脆弱性に対する攻撃（BOF、コマンド）
    • パスワード・クラッキング、DoS

  • 特徴
    定義を最新化する必要があり、
    未知の攻撃を検知できない。

  • 拡張
    独自シグネチャの追加登録機能

アノマリ型

  • 検知の方法

    • 正常パターンに一致するかで判断
    • プロトコルの仕様からの逸脱したものを異常と検知する。

  • 検知可能な事象

    • 大量に発行されたコマンド
    • プロトコル仕様に反したヘッダ、データ
    • 異常な数の応答パケット

  • 特徴
    未知の攻撃を検知できるが、
    誤報が多くなる可能性に留意する。

  • 拡張
    攻撃ではなく、脆弱性≒アウトバウンドのパケットに着目した検知
    前後のセッションを保存・分析した検知品質向上（×機械学習、深層学習）

サンドボックス

ダイナミック・ヒューリスティック法（ビヘイビア法）（脅威の該当節を参照）をするための放し飼い用サンドボックス。

機能（サンドボックス）

一般的なサンドボックスの機能、アプリケーション分離・仮想化を行うのではなく、
正規のアプリがデータを受信する前に、検査アプリで検証する、みたいな話ッポイ。

  • メール検査
    POPでのメール受信時。

    • 添付ファイルのチェック
    • URLのチェック

  • ファイル検査
    SMBでのファイル受信時。

    • ウィルス・チェック

  • HTTP通信検査
    HTTPでのデータ受信時。

    • ウィルス・チェック

  • メール・HTTP通信検査連携

限界・課題（サンドボックス）

限界・課題（IDS）の以下の限界・課題と同じ。

移行メモ

  • パケット・フィルタリング型ファイアウォールの「特徴」にあった 「フィルタリング機能が原始的であるため、…ACLの設定ミスも発生し難い。」は、 直前の「結果的にACLの設定が難しい。」および 「その他、様々なファイアウォール」の「特徴」（高機能なので設定し易く、 設定ミスも発生し難い）との対比から、 「ACLの設定ミスも発生し易い。」の誤記と判断して正した。
  • 「検証する見たいな話しッポイ。」→「検証する、みたいな話ッポイ。」とした。
  • 元 Wiki の結合セル（> / ~）を含む表は、GitHub Wiki では再現できないため、 セルの内容を展開し、番号列は「1-1」のような表記に直して平坦な表にした。 あわせて「NIDSとHIDSの比較」の表は、 基本項目と「検知可能な攻撃」の 2 つの表に分割した。
  • 元 Wiki で見出しそのものが他ページ・同ページ内へのリンクになっていた箇所 （「ホスト要塞化」「脆弱性検査 / 診断」「構成例」「規格（ISO/IEC 15408）」 「NIDSとHIDSの比較」など）は、 GitHub Wiki では見出しからアンカが生成されるため、 見出しをプレーン・テキストとし、リンクは直下の本文に置いた。
  • 同名の見出しが複数あり GitHub Wiki でアンカが衝突するため、括弧で文脈を補って一意にした （「種類（F/W）」「種類（その他のF/W）」「種類（WAF）」 「設定項目（パケット・フィルタリング型）」「設定項目（その他のF/W）」 「特徴（パケット・フィルタリング型）」「特徴（その他のF/W）」 「構成（WAF）」「接続（WAF）」「拡張（WAF）」 「限界・課題（WAF）」「限界・課題（IDS）」「限界・課題（サンドボックス）」 「機能（サンドボックス）」）。 また「トラステッドOS」の見出しが 2 階層で重複していたため、 上位を「トラステッドOS / セキュアOS」とした。
  • マイクロソフト系技術情報 Wiki（techinfoofmicrosofttech.osscons.jp）への URL リンクは、移行済みの ネットワークの基礎編 / ネットワーク機器一覧 / 監視・パケット解析編 に張り替えた。
  • PukiWiki のページ内アンカ（#xxxxxxxx）は GitHub Wiki では再現できないため、 同一ページ内のアンカは見出しから生成されるアンカに張り替え、 他ページのアンカを指すリンクは「〜（ページ名 の該当節を参照）」の形に置き換えた。
  • 未移行のページはファイル名を予約し、TODO.md に記録した。

Tags: 移行, 資格, SC, 対策技術, ファイアウォール, WAF, IDS, IPS, NIDS, HIDS, NIPS, HIPS, サンドボックス, セキュアOS, SELinux, ISO/IEC 15408

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally