無料のIDSログ分析サービスARISアナライザの概要（SecurityFocus.com）

　SecurityFocus.comの提供するアタックの記録保持と分析サービス「ARISアナライザ」が注目を集めている。
　snort、cisco、BlackICE、ISSといった既存のIDSのログを効率的に管理、分析することができる。
　機能的な面での魅力も大きいが、注目を集めているのは無償かつ

製品・サービス・業界動向業界動向

2001年5月28日（月） 12時00分

　SecurityFocus.comの提供するアタックの記録保持と分析サービス「ARISアナライザ」が注目を集めている。
　snort、cisco、BlackICE、ISSといった既存のIDSのログを効率的に管理、分析することができる。
　機能的な面での魅力も大きいが、注目を集めているのは無償かつ匿名での利用が可能という点と思われる。
　その概要についての整理を行った。

ARISアナライザ
　HTTP://aris.securityfocus.com/AboutAris.asp

SecurityFocus.com
　http://www.securityfocus.com/

・ARIS(Attack Registry & Intelligence Service)概要
　サービスに加入すると自分の管理するサイトのログに残されている疑わしいトラフィック、侵入アタックの詳細な分析、追跡情報を得ることが可能になっている。
　利用料金は無料で、加入は匿名で可能である。匿名（利用者を識別する情報が不要）での加入を認めているのは、利用者の多くがログを外部に提出することに自分の管理するサイトの脆弱性を外部に露呈する危険性を感じるためである。
　さまざまな機能が含まれており、かなり期待できるサービスと思われる。
　ざっと目に付いた特徴をあげると下記のようなものがある。
　IDSログの自動分類、レポート機能。IDSの莫大なログを自動的に分類、整理し、利用者が指定した間隔で利用者専用webにアップロードする。
　利用者専用のwebページを生成し、さまざまなカスタマイズが可能である。図表の作成などもできるため、外部用報告書としても活用できる。
　データ形式は、XMLであるらしい。

・サービスの手順
　ARISアナライザに加入したら、ARISエクストラクタのコピーである同社の不正侵入検知システム（IDS）ログ解析ツールを受け取る。すると、利用者専用のウェブページのIncident Consoleに生成され、そこにアクセスすることが可能となる。

・サービスの内容
　Incident ConsoleはWeb管理者のログ解析にかかる時間を短縮できるユーティリティで構成されている。
　ログ解析ツールであるARISエクストラクタは、IDSアタックリスト・ログのデータ中より、潜在的悪意のあるトラフィックを分析、図表化し、クライアント・ポートフォリオを作成する。
　通常は膨大な時間がかかるログの解析を、実際のアタック（と推定されるもの）とそうでないログとの分類を自動的に行うよう設定ができる。
　これにより大幅に時間を短縮できる。また、これら分類した結果をユーザの指定した時間間隔で個人用ARISアナライザ・アカウントにアップロードすることが可能である。
　Incident Consoleは、ログに記録された事象の分析とアーカイブであり、IDSログデータがARISサーバを経由してユーザのアカウントにアップロードされると、全ての事象、アタックはユーザに報告される。これはアタックをおこなったIPアドレス、送信元の連絡先情報などのフィードバックが判明した場合に、追跡およびアタック情報の評価を行うために提供される。また、個人用ポートフォリオの管理もIncident Consoleによって行うことが可能で、外部への報告書としてエクスポートする事も可能である。

・ARISエクストラクタの稼動OSとサポートIDS
　Snort Light Network Intrusion Detection System 1.6 - 1.7
　　UNIX （Snortが構築される全バージョン）
　　Win32 （Snortが構築される全バージョン）

　Network ICE BlackICE Defender と ICEpac Security Suite BlackICE Def
　ender （全バージョン）、ICEpac Security Suite 2.1 （または、それ以降）
　　Windows NT 4.0 （Service Packs 4, 5, 6,または 6a）
　　Windows 95
　　Windows 98
　　Windows 2000 （Service Pack 1）

　Cisco Secure （以前は Net Ranger）現在、出荷されている全バージョン
　　UNIX （現在、出荷されているバージョンをサポートする全バージョン）
　　Windows （現在、出荷されているバージョンをサポートする全バージョン）

　ISS Real Secure 3.1 - 5.5
　　Windows NT 4 SP2 （または、それ以上）
　　Windows 2000

・ARISのレポートの項目
　ISPによるカテゴリ別のアタックについての要約
　ISPによる国別のアタックについての要約
　日付で分類されたアタックに関するレポート
　IPアドレスで分類されたアタックに関するレポート
　一時間毎のアタックに関するレポート
　IDSのログの上位のアタックのレポート
　国別による上位のアタックのレポート
　IDSのログの上位のアタックのレポート

《ScanNetSecurity》