SCAN DISPATCH ：ソフトウェア生命体「サイボット」による、分散型インテリジェントIDS

　SCAN DISPATCH は、アメリカのセキュリティ業界及ハッカーコミュニティから届いたニュースを、狭く絞り込み、深く掘り下げて掲載します。

国際海外情報

2009年3月10日（火） 16時45分

　SCAN DISPATCH は、アメリカのセキュリティ業界及ハッカーコミュニティから届いたニュースを、狭く絞り込み、深く掘り下げて掲載します。

──

　アメリカ合衆国エネルギー省が運営するオークリッジ国立研究所内のコンピューテイショナル・サイエンス＆エンジニアリング部が、「映画スタートレックのボーグ（全メンバーの意識を常時共有している機械生命体の集合体）のよう」と説明する、革新的なIDSフレームワークのプロトタイプのデプロイメントを行い、これを発表している。

　これはSilent Stormと言う名前がついており、Ubiquitous Network Transient Autonomous Mission Entities（Untame：アンテーム）という、自己再生や自己修復ができる自立したシステムをデプロイメントできるフレームワークをベースにしている。Untameは同部のサイバー・セキュリティ＆インフォーメション・インテリジェンス・リサーチ・グループが10年ほど前から開発しているもので、複雑で大規模な環境に適している。

　Silent Stormは既存のセキュリティ製品やデバイスと共存しながら、リアルタイムでネットワークを監視する。が、違いはその形態にある。既存のIDSの場合はちょうどボットネットのように、デバイスがセンターコンソールと連絡をとりながら与えられたタスクをこなしていくが、Silent Stormの場合、ワームあるいは「スタートレックのボーグのような」サイバーロボット・ソフトウエアの軍団が、お互いに連絡を取り合いながら共同してタクスをこなす。このサイバーロボット「サイボット」は、「エージェント」と違い、それぞれが他のサイボットの状態とタスクの状況を理解していること、そして、チームリーダーのジョー・トリエン氏が「エージェントを失くした場合はそれでお終いだが、サイボットの場合は自己再生したり、他のサイボットのタスクを引き継ぐこともできる」とGovernment Computer Newsの記事で説明しているように、自律的であることだ。

　既存のIntrusion Detection/Protection Systems（IDPS）は、ホスト・ベースかネットワーク・ベースで、シグネチャ解析かヒューリスティック解析を行って異常な行動パターンを検知する。この方法の限界としては、新手の攻撃を検知できないことや検知率が低いこと、誤検出の確率が高いこと、人間のオペレーターが解析しなければならないデータの量が多すぎ、それもそれほど重要でない警告に時間を潰されることなどが挙げられる。

　Silent Stormは、ネットワークのワークステーション、ファイアーウォール、データベース・サーバなどのノードに、そのサイボットのマルチ・ノード・デプロイメントが行われ、それぞれのサイボットがセキュア・コミュニケーションを行いながら、ホスト・ベース、ネットワーク・ベースの検知を行う。一つのサイボットが異常を発見した場合は、即座に他のサイボットにこれを連絡するため、例えば、ネットワークの一部でのかく乱攻撃を行いながら別の場所からの侵入のような攻撃手法がとられた場合でも、かく乱攻撃を受けている部分のサイボットと侵入を受けているサイボットが連絡を取るため、かく乱攻撃に惑わされることがなく、また、必要に応じてネットワーク全体のシャットダウンを行うこともできる。Silent Stormの設定はプラグイン・アーキテクチャのため、構造自体の変更を行わずに新たな機能を簡単に追加できる。

　Silent Stormの異常警告の能力は…

【執筆：米国　笠原利香】

【関連リンク】
SILENT STORM - Distributer Active Response System for Cyber Defense
http://www.ioc.ornl.gov/documents/factsheets/SILENT%20STORM%20FactSheet.pdf
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw

《ScanNetSecurity》