●侵入検知の実際（２）〜 ルールの整理 一度Snortを動かし始めると、外部からさまざまアクセスがあることに気づかされるだろう。同時にログも急速に増えていく。ただ、Slammerの例でも述べたように、攻撃といっても環境によっては直接影響を受けないものや、実際には無害と思われるようなアクセスも多い。このような状態でログが増えてくると、本当に危険なアクセスの情報が埋没してしまい、うっかり見落としてしまう可能性もでてくる。いわゆるノイズの問題だ。 そこで、適用するルールセットの取捨選択やルールの内容（シグネチャ）の修正が必要になってくる。 ルールセットの適用については、「IDS rules」−「Rules/Signatures」パネルのリストで行うことはすでに説明した。本稿の例では、ほぼすべてのルールをオンにしているが、ユーザ環境によっては当然必要のないルールセットもそれなりに存在する。Windowsユーザなら、設定方法のところでも若干触れているとおり、UNIX系のルールセットはオフにしてもかまわない。また、サーバを動かしていないのなら、サーバ系のルールも必要ないだろう。 このように、特定カテゴリのルールを一括してオン/オフする以外に、ルールファイルに記述してあるシグネチャを修正し個別にコントロールする方法もある。例えば、MicrosoftのSQL Serverを使ってはいるが、すでにSlammer対策を施してあるような場合、前述した「MS-SQL Worm propagation attempt」というアラートは、通常は不必要だ。しかし、SQL Serverを使っている以上は、関連ルールすべてをオフにする（sql.rulesの適用をはずす）わけにはいかない。このようなときは、該当するシグネチャのみをオフにすることで対応する。 rulesファイルを修正するというとかなり難しく感じるかもしれないが、中身はテキストファイルであり、修正自体は難しくない。該当箇所をコメントアウトするだけである。【執筆：磯野康孝】「無料セキュリティツールで構築するセキュアな環境 No.1」 〜ZoneAlarm−snort〜http://shop.vagabond.co.jp/p-fss01.shtmlhttp://www.d-pub.co.jp/cgi-bin/bannou/shop/book_detail.cgi（詳しくはScan本誌をご覧ください）http://shop.vagabond.co.jp/m-ssw01.shtml
