異常の検知

異常を検出するとは、ネットワークのベースラインから逸脱するトラフィックを見つけることです。正常な状態を知らなければ、異常は認識できません。

このレッスンでは、悪意のある活動を示す一般的なパターンを扱います。

ポートスキャンでは、1つの送信元が1台のホスト上にある多数のポートへ接続を試みる形で現れます。SYNパケットを送り、RST応答を受けることがよくあります。

単一のIPアドレスから連続したポートに向けてSYNが集中するのは、典型的な特徴です。

マルウェアはしばしばビーコン通信を行い、一定間隔でコマンドアンドコントロールサーバーに接続します。特徴は、同じ接続先に対して、ほぼ同じサイズの接続を周期的に行うことです。

人間のブラウジングには見られない、時計のように正確なタイミングを探しましょう。

DNSトンネリングは、DNSクエリの中にデータを隠して送ります。1つのドメイン配下に、長くランダムに見えるサブドメインが大量に現れるのが特徴です。

エンコードされたラベルを含むクエリが1つのドメインに大量に送られている場合は、不審です。

間違ったポートで使われているプロトコルに注意しましょう。たとえば、443番ポート上のSSHや、HTTPSが想定される場所での生のTCPなどです。

攻撃者は一般的なポートにトラフィックを隠して、ファイアウォールをすり抜けようとします。Wiresharkのプロトコル検出機能を使えば、この不一致を見つけやすくなります。

ワークステーションが突然ギガバイト単位のデータを外部へ送信し始めた場合、データ流出を示している可能性があります。

StatisticsのConversationsを使い、バイト数で並べ替えると、外部IPアドレスへ異常に大量のデータを送信しているホストを見つけられます。

HTTPでは、奇妙な、または空のUser-Agent文字列が、偽装する手間をかけていない自動化ツールやマルウェアの手がかりになることがあります。

通常とは異なるエージェントでフィルタすると、スクリプト化されたクライアントを見つけやすくなります。

多数のRSTパケットや、完了しないSYNの繰り返しは、スキャン、ブルートフォース攻撃、またはサービス拒否攻撃の試みを示す可能性があります。

ハーフオープン接続が急増している場合は、調査する価値があります。

ローカルネットワークでは、ARPの異常に注意しましょう。2つのIPアドレスが同じMACアドレスを名乗っていたり、ARP応答が短時間に繰り返されたりする場合です。これらは、中間者攻撃やARPスプーフィングを示唆します。

Wiresharkは重複アドレスのARPを自動的に検出して示します。

単一の不審なパケットだけで攻撃の証拠になることはほとんどありません。時間やホストをまたいで複数の指標を相関分析し、確度を高めましょう。

1つのビーコン、既知の悪性ドメイン、大規模な転送が揃えば強い根拠になりますが、どれか1つだけでは根拠として弱いものです。

Wireshark以外にも、ZeekやSuricataなどのツールを使えば、生のパケットを大規模な構造化ログやアラートに変換できます。

これらのツールは、手作業で行うはずの異常検知の多くを自動化します。

異常検知についての理解度を確認します。

トラフィックの異常を検出する方法を学びました。

• ポートスキャン：1つの送信元から多数のポート。
• ビーコン通信：一定間隔で行われるC2接続。
• DNSトンネリング：長くランダムなサブドメイン。
• 間違ったポートで使われるプロトコル、大規模な外向き転送、RSTの集中、ARPスプーフィングに注意します。
• 複数の指標を相関分析し、大規模な環境ではZeekやSuricataを使います。

次は、キャプチャからファイルと認証情報を抽出します。