社団法人 電子情報通信学会 信学技報
THE INSTITUTE OF ELECTRONICS, TECHNICAL REPORT OF IEICE
INFORMATION AND COMMUNICATION ENGINEERS
FPN における渡り歩きの検出方法の検討
竹尾 大輔† 渡邊 晃‡
†‡名城大学大学院理工学研究科 〒468-8502 愛知県名古屋市天白区塩釜口1-501 E-mail: †[email protected], ‡[email protected]
あらまし 近年，イントラネット内部の不正アクセスが増加傾向にある．クラッカーが不正アクセスを行う場合，
多段の踏み台ホストを経由する“渡り歩き”を行っているケースが多い．現在我々は，セキュリティ対策と運用管 理負荷軽減を両立したシステムを実現するFPN(Flexible Private Network)の構築を目指している．FPN環境下では，
異なるアクセスポリシを持つ各ユーザおよびホストが部署単位や役職単位でグループ化されており，異なるグルー プ間の通信は拒否される．しかし，複数のグループに帰属するホストを踏み台にすることで，本来アクセスしては ならない別のグループのホストへアクセスできてしまう可能性がある．本研究では，このような渡り歩きを検出す る方法について検討する．
キーワード 渡り歩き，不正アクセス，侵入検知，ネットワークセキュリティ，FPN
Researches on Detection Method of Island Hop in Flexible Private Network
Daisuke TAKEO† and Akira WATANABE‡
†‡Graduate School of Science and Technology, Meijo University 1-501 Shiogamaguchi, Tenpaku-ku, Nagoya-shi, Aichi, 468-8502 Japan E-mail: †[email protected], ‡[email protected]
Abstract In recent years, illegal access inside intranet is increasing. When crackers access the target host illegally, they usually hop through many hosts witch we call it "Island Hop". We have been developing FPN (Flexible Private Network) which realizes secure and simple management systems. Under the FPN environment, each user having different access policies are grouped according to their post or their jobs, and the communication between different groups is refused. However, the user can access to the host of different groups using Island Hop technology. In this paper, we examine how to detect such Island Hop.
Keyword Island Hop, Illegal Access, Intrusion Detection, Network Security, Flexible Private Network
1. は じ め に
近 年 ， 企 業 な ど の イ ン ト ラ ネ ッ ト 内 部 の 不 正 ア ク セ ス が 増 加 傾 向 に あ り[1]，企 業 情 報 が 流 出 す る な ど の 内 部 犯 罪 に よ る 事 件 が 発 生 し て い る ． 外 部 か ら の 不 正 ア ク セ ス や 攻 撃 に 対 し て は フ ァ イ ア ウ ォ ー ル な ど の 機 器 を 導 入 し た り ， ホ ス ト の 要 塞 化 を 行 う こ と で セ キ ュ リ テ ィ 対 策 を 取 っ て い る が ， イ ン ト ラ ネ ッ ト 内 部 の セ キ ュ リ テ ィ 対 策 は あ ま り 取 ら れ て い な い の が 現 状 で あ る ．
ネ ッ ト ワ ー ク 上 の 不 正 ア ク セ ス を 発 見 す る シ ス テ ム と し て ，IDS（Intrusion Detection System； 侵 入 検 知 シ ス テ ム ） が あ る ．IDS と は ， ネ ッ ト ワ ー ク を 流 れ る 通 信 や ホ ス ト に 対 す る ア ク シ ョ ン を 監 視 し ， 不 正 な ア ク セ ス を 検 知 す る シ ス テ ム の こ と で あ る ． 侵 入 検 知 を 行 う と ， シ ス テ ム に 対 す る 攻 撃 を 監 視 ・ 記 録 し て 存 在
す る 脅 威 の 程 度 を 確 認 で き ， 得 ら れ た 記 録 を 分 析 す る こ と で セ キ ュ リ テ ィ ポ リ シ や シ ス テ ム の 設 定 を 見 直 す こ と が で き る ． そ れ に よ り 被 害 の 発 生 の 防 止 や 軽 減 を 図 る こ と が で き ， ユ ー ザ に 監 視 シ ス テ ム の 存 在 を 知 ら し め て 不 正 行 為 を 抑 制 す る こ と も で き る ．
し か し な が ら ， セ キ ュ リ テ ィ 対 策 技 術 を 導 入 し て い て も ク ラ ッ カ ー は 不 正 ア ク セ ス を 試 み る ． 一 般 に ク ラ ッ カ ー が 不 正 ア ク セ ス を 行 う 場 合 ， 多 段 の 踏 み 台 ホ ス ト を 経 由 す る “ 渡 り 歩 き ”（Island Hop） を 行 っ て い る ケ ー ス が 多 く 見 ら れ る ． 渡 り 歩 き は 主 に リ モ ー ト ロ グ イ ン な ど の TCP サ ー ビ ス が 用 い ら れ る 場 合 が 多 い ． 個 々 の リ モ ー ト ロ グ イ ン が 正 常 な も の で あ る 場 合 ， IDSで は そ れ 自 体 を 不 正 と 見 な す こ と は 難 し い ．ま た ， 管 理 者 が 管 理 目 的 で 渡 り 歩 き を 行 っ て い る の か ， ク ラ ッ カ ー が 不 正 な 渡 り 歩 き を お こ な っ て い る の か ， 判 断
1
材 料 が 無 い た め に こ れ ら を 区 別 す る こ と も 難 し い ． 現 在 我 々 は ， イ ン ト ラ ネ ッ ト 内 の セ キ ュ リ テ ィ 対 策 と 運 用 管 理 負 荷 の 軽 減 を 両 立 し た シ ス テ ム を 実 現 す る FPN(Flexible Private Network)の 構 築 を 目 指 し て い る [3]-[7]．FPN 環 境 下 で は ， 異 な る ア ク セ ス ポ リ シ を 持 つ 各 ユ ー ザ お よ び ホ ス ト が 部 署 単 位 や 役 職 単 位 で グ ル ー プ 化 さ れ て お り ， 異 な る グ ル ー プ に 跨 っ た ホ ス ト 間 通 信 は 拒 否 す る こ と が で き る ． し か し 現 状 で は ， 複 数 の グ ル ー プ に 帰 属 す る ホ ス ト を 踏 み 台 に す る こ と で ， 本 来 ア ク セ ス し て は な ら な い 別 の グ ル ー プ の ホ ス ト へ ア ク セ ス で き て し ま う 可 能 性 が あ る ． こ の 問 題 を 解 決 す る に は ， 渡 り 歩 き 自 体 を 検 出 す る こ と と ， 渡 り 歩 き が 正 常 で あ る か 不 正 で あ る か を 判 断 す る こ と が 求 め ら れ る ．
著 者 ら は ，FPN環 境 下 で の 渡 り 歩 き を 検 出 す る 方 法 に つ い て こ れ ま で 提 案 し て き た が[4],[8]，本 研 究 で は ， 従 来 の 提 案 方 式 の 課 題 で あ っ た ，FPN環 境 に 依 存 し な い 普 遍 的 な 渡 り 歩 き 検 出 方 法 の 検 討 を 行 う ． そ し て 新 旧 提 案 方 式 の 比 較 か ら 渡 り 歩 き 検 出 機 能 の 評 価 を 行 う ．
以 降 ，2 章 で 渡 り 歩 き を 検 出 す る 条 件 を 述 べ ， 本 研 究 で 提 案 す る 渡 り 歩 き 検 出 方 法 の 概 要 を 説 明 す る ．3 章 で は 渡 り 歩 き 検 出 機 能 の 実 装 方 法 に つ い て 述 べ ，4 章 で そ の 評 価 を 行 う ． そ し て 最 後 に5章 で ま と め る ．
2. 渡 り歩 き検 出 方 法
本 章 で は ， ま ず 2.1 節 で 本 研 究 で 想 定 す る 渡 り 歩 き モ デ ル を 定 義 し ，2.2節 で は 従 来 の 提 案 方 式 の 概 要 を ， 2.3 節 で は 本 研 究 で 提 案 す る 渡 り 歩 き 検 出 方 法 の 基 本 原 理 を 説 明 す る ．
2.1. 渡 り歩 きモデル
本 研 究 で 想 定 す る 渡 り 歩 き モ デ ル の ネ ッ ト ワ ー ク 構 成 を図 １に 示 す ． 渡 り 歩 き モ デ ル の 構 成 要 素 と し て ， Attacker，Foot Hold，Targetが あ る ．Attacker（ 攻 撃 者 ホ ス ト ）は 渡 り 歩 き を 行 う ホ ス ト で あ る ．Foot Hold（ 踏 み 台 ホ ス ト ） はAttackerが リ モ ー ト ロ グ イ ン す る ホ ス ト で あ る ．Target（ タ ー ゲ ッ ト ホ ス ト ） は Attacker が Foot Hold を 介 し て 最 終 的 に ア ク セ ス す る ホ ス ト で あ る ．各 ホ ス ト はLANに よ っ て 接 続 さ れ て お り ，Attacker は ク ラ イ ア ン ト 型 の ホ ス ト ，Foot HoldとTargetは サ ー
Access to the Target through the Foot Hold
Attacker Foot Hold Target
図 １ 渡 り 歩 き モ デ ル Fig.1 Model of Island Hop.
バ 型 の ホ ス ト を 想 定 し て い る ． こ の と き Attacker が Foot Holdを 介 し て Targetに ア ク セ ス す る こ と を ，渡 り 歩 き と 定 義 す る ．
2.2. データ一 致 方 式 の概 要
従 来 の 提 案 方 式 （ 以 下 ， デ ー タ 一 致 方 式 と 呼 ぶ ） で は ，Telnet に よ る 渡 り 歩 き を 想 定 し て い る （図 ２）．
Telnet に よ る 渡 り 歩 き で は ，Telnet パ ケ ッ ト が ネ ッ ト ワ ー ク 上 を 流 れ る こ と に な る が ， 図 ２ の Attacker が ， 送 信 元 が Attacker，宛 先 がFoot HoldのTelnetパ ケ ッ ト を 送 信 す る 場 合 を 考 え る ． こ の パ ケ ッ ト を Foot Hold が 受 信 す る と ，Foot Holdで は 送 信 元 がFoot Hold， 宛 先 が Target， デ ー タ は 受 信 パ ケ ッ ト と 同 一 の Telnet パ ケ ッ ト が 生 成 さ れ ，Target へ と 送 信 さ れ る ． こ の デ ー タ 一 致 方 式 で は ，IPア ド レ ス は 異 な る が ，デ ー タ は 同 じ で あ る 送 受 信 パ ケ ッ ト が 踏 み 台 と な る ホ ス ト で ほ ぼ 同 時 に 発 生 し て い る こ と に 着 目 し ， 踏 み 台 と な る 可 能 性 の あ る ホ ス ト 自 身 ， 或 い は そ の 直 前 に 設 置 さ れ る 機 器 に お い て 送 受 信 パ ケ ッ ト を 監 視 す る こ と で 渡 り 歩 き を 検 出 す る ．
デ ー タ 一 致 方 式 に は 3つ の 大 き な 問 題 が 存 在 す る ．
① 渡 り 歩 き が 検 出 で き る の は ，Attacker・Foot Hold 間 で TCP コ ネ ク シ ョ ン が 確 立 さ れ た 後 で あ る ． こ れ は 不 正 な 渡 り 歩 き を 検 出 す る 場 合 に ， 不 正 な コ ネ ク シ ョ ン が 確 立 さ れ て か ら で な い と 検 出 で き な い こ と を 意 味 し て い る ．
② 短 い 間 に 送 受 信 さ れ るTelnetパ ケ ッ ト の デ ー タ を 比 較 す る こ と で 渡 り 歩 き を 検 出 し よ う と し て い る た め ， リ モ ー ト ロ グ イ ン と し て ， 通 信 が 平 文 で 行 わ れ るTelnetに 限 定 し て い る が ，SSHな ど の 暗 号 化 さ れ た リ モ ー ト ロ グ イ ン を 用 い ら れ る と 渡 り 歩 き の 検 出 は で き な い ．
③ Foot Hold・Target 間 の 通 信 が FTPで あ る な ど ， リ モ ー ト ロ グ イ ン 以 外 を 用 い ら れ る と 渡 り 歩 き を 検 出 で き な い ．
以 上 の こ と を 踏 ま え ， 次 節 で 今 回 検 討 す る 渡 り 歩 き 検 出 方 法 の 基 本 原 理 を 説 明 し て い く ．
2.3. 基 本 原 理
デ ー タ 一 致 方 式 で は ，連 鎖 状 に Telnetに よ る リ モ ー ト ロ グ イ ン を 行 う 渡 り 歩 き を 想 定 し た が ，Attackerか
Attacker Foot Hold Target
Telnet Telnet
A F
Data Data T F
図 ２ 従 来 の 提 案 方 式 Fig.2 Conventional proposed method.
2
ら（Targetの 直 前 の ）Foot Holdま で は リ モ ー ト ロ グ イ ン で ア ク セ ス し ，そ こ か ら Targetへ は リ モ ー ト ロ グ イ ン だ け で な くFTPな ど の サ ー ビ ス を 利 用 す る こ と も 考 え ら れ る た め ，Attacker・Foot Hold間 の 通 信 は リ モ ー ト ロ グ イ ン に よ る も の ，Foot Hold・Target間 の 通 信 は あ ら ゆ る TCPサ ー ビ ス に よ る も の が あ り 得 る ．本 方 式 は ，AttackerがFoot Holdへ と リ モ ー ト ロ グ イ ン し て お り ，そ こ か らTargetへ と リ モ ー ト ロ グ イ ン を 含 め た 各 種 TCP サ ー ビ ス で ア ク セ ス す る と い う 状 況 を 想 定 し ， こ れ を Foot Hold 上 で 検 出 す る も の で あ る ． こ の 方 式 を コ ネ ク シ ョ ン 検 出 方 式 と 呼 ぶ こ と に す る ．
既 に AttackerとFoot Holdの 間 で リ モ ー ト ロ グ イ ン の コ ネ ク シ ョ ン が 確 立 し て い る 状 態 で ，Foot Holdが リ モ ー ト ロ グ イ ン の 通 信 パ ケ ッ ト を 受 信 し た 後 の 極 短 い 間 にFoot Holdか ら Targetに コ ネ ク シ ョ ン 確 立 要 求 を 送 信 す る 場 合 ，Attacker が リ モ ー ト ロ グ イ ン を 用 い て Foot HoldにTCP サ ー ビ ス を 起 動 す る コ マ ン ド を 送 信 し た 可 能 性 が あ り ， 渡 り 歩 き の 可 能 性 が あ る と 言 え る
（図 ３）． し か し こ の 状 況 に 加 え て ， コ ネ ク シ ョ ン 確 立 要 求 が 送 信 さ れ る 直 前 に キ ー ボ ー ド の エ ン タ ー キ ー プ レ ス イ ベ ン ト や マ ウ ス の 左 ボ タ ン ク リ ッ ク イ ベ ン ト が 発 生 し て い た 場 合 ， 管 理 者 が Foot Holdを 直 接 操 作 し て 通 信 を 行 お う と し て い る 可 能 性 が あ り ， 渡 り 歩 き の 可 能 性 は 低 い ．
こ の 基 本 原 理 に 従 い ， 渡 り 歩 き 検 出 に 必 要 な3つ の 処 理 を 個 別 に 説 明 す る ．
z パ ケ ッ ト 受 信 処 理 の 監 視
Foot Holdが 受 信 す るTCPパ ケ ッ ト を 監 視 し ，Telnet や SSH，rlogin な ど の リ モ ー ト ロ グ イ ン の 通 信 パ ケ ッ ト を 検 出 す る ． 検 出 し た 時 刻 を リ モ ー ト ロ グ イ ン 受 信 記 録 と し て 保 存 し て い く （図 ４）．
基 本 的 に 検 出 対 象 はPSHパ ケ ッ ト で あ る ．な ぜ な ら ， リ モ ー ト ロ グ イ ン の 通 信 パ ケ ッ ト は ロ ー カ ル ホ ス ト で 入 力 さ れ た １ 文 字 分 の デ ー タ で あ り ， 受 信 し た ら す ぐ に ア プ リ ケ ー シ ョ ン に 渡 す 必 要 が あ る た め に ，PSHフ ラ グ が セ ッ ト さ れ て い る か ら で あ る ． ま た ， 例 え ば こ こ で リ モ ー ト ロ グ イ ン の SYN パ ケ ッ ト を 受 信 し た と し て も ， そ れ は Attackerか ら Foot Holdへ の リ モ ー ト ロ グ イ ン 自 体 の コ ネ ク シ ョ ン 確 立 要 求 で あ る の で ， こ の SYN パ ケ ッ ト 受 信 直 後 に 渡 り 歩 き に 至 る こ と は な い ． し か し リ モ ー ト ロ グ イ ン の コ ネ ク シ ョ ン を 管 理 す
Attacker Foot Hold Target
PSH Packets of Telnet, SSH, rlogin, ...
SYN Packets of Any TCP Services
図 ３ 監 視 対 象 Fig.3 Target for observation.
る 目 的 で SYN, FIN パ ケ ッ ト を 監 視 す る こ と は 有 用 で あ る ．
本 提 案 で は リ モ ー ト ロ グ イ ン の 通 信 パ ケ ッ ト の デ ー タ を 参 照 し な い た め ，監 視 対 象 を Telnet以 外 に も 広 げ る こ と が で き ， デ ー タ 一 致 方 式 の 問 題 点 ② が 解 決 で き る ．
z パ ケ ッ ト 送 信 処 理 の 監 視
Foot Holdが 送 信 す るTCPパ ケ ッ ト を 監 視 し ， あ ら ゆ る TCPサ ー ビ ス の 通 信 パ ケ ッ ト を 検 出 す る ．パ ケ ッ ト 送 信 時 に リ モ ー ト ロ グ イ ン 受 信 記 録 を 参 照 し ， 現 在 時 刻 と 比 較 し ， 一 定 時 間 内 に 送 信 が 行 わ れ て い れ ば ， 渡 り 歩 き と 判 断 す る ． し か し ， 後 述 す る キ ー 入 力 記 録 を 参 照 し て キ ー 入 力 か ら 一 定 時 間 内 で あ れ ば ， つ ま り キ ー 入 力 と PSH パ ケ ッ ト 受 信 の 両 方 の イ ベ ン ト が 発 生 し て い た 場 合 は 渡 り 歩 き で は な い と 判 断 す る （図 ５）．
送 信 処 理 の 場 合 ，検 出 対 象 はSYNパ ケ ッ ト の み で よ い ． な ぜ な ら ，Attacker か ら の コ マ ン ド を 受 け て Foot Hold が TCP サ ー ビ ス を 起 動 し て Targetと 通 信 す る 場 合 ，必 ず 初 め に コ ネ ク シ ョ ン 確 立 要 求 を 送 信 す る の で ， こ れ を 検 出 す れ ば よ い か ら で あ る ．ま た ，宛 先 IPア ド レ ス が Attacker で あ る 送 信 パ ケ ッ ト は 対 象 と し な い ． Attacker が Foot Hold を 介 し て 自 分 自 身 に ア ク セ ス し た と し て も ， そ れ は 渡 り 歩 き で は な い か ら で あ る ．
SYNパ ケ ッ ト を 検 出 す る こ と で ，デ ー タ 一 致 方 式 の 問 題 点 ① が 解 決 で き る ．そ し て あ ら ゆ る TCPサ ー ビ ス を 検 出 対 象 と す る こ と で ， デ ー タ 一 致 方 式 の 問 題 点 ③ が 解 決 で き る ．
z キ ー ボ ー ド ・ マ ウ ス 入 力 の 監 視
Foot Holdの キ ー ボ ー ド と マ ウ ス を 監 視 し ，キ ー と ク リ ッ ク の 入 力 を 検 出 す る ． 検 出 し た 時 刻 を キ ー 入 力 記 録 と し て 保 存 し て い く （図 ６）．
検 出 対 象 は キ ー ボ ー ド の エ ン タ ー キ ー と マ ウ ス の 左 ク リ ッ ク と す る ． 管 理 者 が ア プ リ ケ ー シ ョ ン を 用 い て 通 信 を 行 う 場 合 ， こ れ ら の 入 力 が 通 信 開 始 の ト リ ガ ー と な る 可 能 性 が 高 い か ら で あ る ． 渡 り 歩 き の 可 能 性 が あ る 通 信 パ タ ー ン が 発 生 し て い て も ， こ の 場 合 の 通 信 を 除 外 す る こ と で 渡 り 歩 き の 誤 検 知 を 減 ら せ る こ と が 期 待 で き る （ し か し な が ら Foot Holdは サ ー バ を 想 定 し て い る た め ， 管 理 者 を 含 め た ユ ー ザ が Foot Hold を 直 接 操 作 す る と い う 状 況 は ク ラ イ ア ン ト に 比 べ て 少 な い だ ろ う ）．
上 記 の よ う に ， 各 処 理 は 簡 単 な 条 件 分 岐 を す る だ け で あ り ， フ ロ ー チ ャ ー ト の 条 件 分 岐 の 条 件 を 満 た さ な か っ た 段 階 で 処 理 は 終 了 す る ．
図 ７に 本 方 式 の 処 理 の 流 れ を 示 す ． ま ず Attackerが Foot Hold へ リ モ ー ト ロ グ イ ン す る た め に コ ネ ク シ ョ ン の 確 立 を 行 う ． こ の と き や り 取 り さ れ る パ ケ ッ ト は
3
Remote Login?
PSH?
START
END
END Yes
No
No Yes
END
Record having received
SYN?
Reception record?
START
END
END Yes
No
No
Yes
END
図 ４ パ ケ ッ ト 受 信 処 理 監 視 フ ロ ー チ ャ ー ト Fig.4 Flow chart of packet receive process.
Keyboard or Mouse input?
Enter Key or Left Click?
START
END
END Yes
No
No
Yes
END
Record having key input
Island Hop!
Inside of fixed time?
END No
Yes
Key input record?
END No
Yes Inside of fixed time?
END No
Yes
図 ５ パ ケ ッ ト 送 信 処 理 監 視 フ ロ ー チ ャ ー ト Fig.5 Flow chart of packet send process.
図 ６ キ ー ボ ー ド ・ マ ウ ス 入 力 監 視 処 理 フ ロ ー チ ャ ー ト Fig.6 Flow chart of keyboard and mouse input.
SYN / ACK ACK PSH / ACK
PSH PSH / ACK
PSH PSH / ACK
Attacker Foot Hold Target
SYN SYN / ACK
ACK PSH PSH / ACK
SYN Communication
of Remote Logins (Telnet,
SSH, rlogin, etc) PSH
Observation of PSH Packets of Remote Logins
Observation of Keyboard and
Mouse
Communication of Any TCP
Services Observation of
SYN Packets of Any TCP Services If the time between PSH received and SYN sent is short enough, this situation is “Island Hop” ! 図 ７ 渡 り 歩 き 検 出 の 流 れ
Fig.7 Flow of Island Hop detection.
4
監 視 対 象 で は な い ． そ の 後 の リ モ ー ト ロ グ イ ン 通 信 の 監 視 を 行 い つ つ ，Foot Holdか ら 新 た なTCPコ ネ ク シ ョ ン が 確 立 し よ う と す る の を 監 視 す る ． リ モ ー ト ロ グ イ ン 通 信 パ ケ ッ ト の 受 信 と コ ネ ク シ ョ ン 確 立 要 求 の 送 信 と の 間 の 時 間 が 十 分 短 け れ ば ， こ の 状 況 は “ 渡 り 歩 き ” で あ る ．
3. 渡 り歩 き検 出 機 能 の実 装
本 章 で は 提 案 方 式 の 実 装 方 法 に つ い て 述 べ る ．3.1 節 で は デ ー タ 一 致 方 式 の 実 装 を ま ず 述 べ る ．3.2 節 で は 具 体 的 な 実 装 方 法 に つ い て 述 べ る ．
3.1. データ一 致 方 式 の実 装
デ ー タ 一 致 方 式 の 実 装 に 関 し て は ，FreeBSD に お い てBPF（BSD Packet Filter）と い う イ ン タ フ ェ ー ス を 用 い た 動 作 検 証 用 プ ロ グ ラ ム を 開 発 し て い る ．BPFと は ， デ ー タ リ ン ク 層 へ 直 接 ア ク セ ス で き る イ ン タ フ ェ ー ス の こ と で ，FreeBSDに 標 準 搭 載 さ れ て い る ． こ の プ ロ グ ラ ム に よ り ，Telnet の み を 用 い た 渡 り 歩 き を 検 出 で き る こ と を 確 認 し て い る ． 本 来 は 後 述 の 新 提 案 方 式 と 同 様 にOSに 組 み 込 む こ と を 想 定 し て い た ．
3.2. 実 装 方 法
コ ネ ク シ ョ ン 検 出 方 式 を 実 現 す る た め に は ， 送 受 信 パ ケ ッ ト の 監 視 と キ ー ボ ー ド ・ マ ウ ス 入 力 の 監 視 を 行 う 必 要 が あ る ． 送 受 信 パ ケ ッ ト の 監 視 は libpcap な ど の ラ イ ブ ラ リ ，あ る い は 前 述 の BPFを 使 用 し て キ ャ プ チ ャ す る こ と で 可 能 で あ る が ， キ ー ボ ー ド ・ マ ウ ス 入 力 の リ ア ル タ イ ム な 監 視 ， 及 び パ ケ ッ ト 監 視 と の 連 携 を ア プ リ ケ ー シ ョ ン レ ベ ル で 行 う の は 困 難 で あ る ． よ っ て 本 方 式 は OS の カ ー ネ ル に 組 み 込 む こ と で 実 現 す る こ と に す る ． こ れ に よ り 送 受 信 パ ケ ッ ト と キ ー ボ ー ド ・ マ ウ ス 入 力 の 監 視 を 完 全 に リ ア ル タ イ ム に 監 視 で き ， イ ベ ン ト を 取 り こ ぼ す こ と も な く ， そ れ ぞ れ の イ ベ ン ト が 発 生 し た 時 刻 の 正 確 な 差 を 計 測 す る こ と が 可 能 と な る ． ま た 本 方 式 は ホ ス ト 上 に 実 装 す る た め ， ホ ス ト 型IDSの 形 式 を 取 っ て い る が ，カ ー ネ ル 内 部 で 直 接 パ ケ ッ ト を 扱 え る た め ，イ ン ラ イ ン 型IDSの よ う に 渡 り 歩 き 検 出 時 に パ ケ ッ ト を 破 棄 す る な ど の 操 作 も 可 能 で あ る ．
次 に 実 装 箇 所 を 示 す ． ま ず 送 受 信 パ ケ ッ ト の 監 視 は IP層 で 行 う ．本 方 式 は パ ケ ッ ト のTCPヘ ッ ダ（ 宛 先 ポ ー ト 番 号 フ ィ ー ル ド ，コ ン ト ロ ー ル フ ラ グ フ ィ ー ル ド ） を 参 照 す る た め ， ト ラ ン ス ポ ー ト 層 で パ ケ ッ ト を 監 視 す る こ と も 考 え ら れ る が ，Attackerや Target の 特 定 の た め に 送 信 元 IPア ド レ ス と 宛 先 IPア ド レ ス も 監 視 す る べ き で あ る の で ，IP 層 を 選 ん だ （図 ８）． キ ー ボ ー ド ・ マ ウ ス の 監 視 は ， キ ー 状 態 が 入 力 デ バ イ ス か ら カ ー ネ ル へ 通 知 さ れ る 箇 所 で 行 う ．
実 装 す る OSは ， オ ー プ ン ソ ー ス で あ り ，IP層 の 処
IP Layer Transport Layer
Data-link Layer
ip_input ip_output
Call Call
Receive Packets Observation
Module
Send Packets Observation
Module
: Normal packet flow : Packet take in or return
図 ８ 送 受 信 パ ケ ッ ト の 監 視 位 置
Fig.8 Observation points of send and receive packets.
理 を 含 め た ネ ッ ト ワ ー ク コ ー ド に 関 す る 資 料 が 多 い FreeBSD を 選 ん だ ． 本 方 式 の 主 要 な 処 理 ご と に モ ジ ュ ー ル 化 し ， そ れ ぞ れ 適 当 な 箇 所 で 呼 び 出 さ れ る よ う に す る ．
4. 機 能 評 価
現 段 階 で は 実 装 お よ び 動 作 実 験 が で き て い な い た め ， こ こ で は デ ー タ 一 致 方 式 と コ ネ ク シ ョ ン 検 出 方 式 を 比 較 し て 理 論 的 な 部 分 の 評 価 を 行 う ．
4.1. 評 価 条 件
両 方 式 そ れ ぞ れ の 機 能 ，利 点・欠 点 を 評 価 項 目 と し ， 比 較 表 か ら コ ネ ク シ ョ ン 検 出 方 式 で 期 待 で き る 利 点 を 示 す ．
4.2. 比 較 と評 価
表 １ に 提 案 方 式 の 比 較 表 を 示 す ． 既 に 述 べ て き た よ う に ，デ ー タ 一 致 方 式 で は Telnetの リ モ ー ト ロ グ イ ン に よ る 渡 り 歩 き し か 検 出 で き な い が ， コ ネ ク シ ョ ン 検 出 方 式 で は ，Attacker・Foot Hold間 の 通 信 は リ モ ー ト
表 １ 提 案 方 式 の 比 較
Table.1 Comparison of the proposed method.
高い 高い
リアルタイム性
コネクション確立前 コネクション確立後
検出できるタイミング
全てのTCPサービス Telnetのみ
対象となるF-T間 の通信 対象となるA-F間 の通信
可能 可能
渡り歩き検出
Telnet, SSH, rlogin など全てのリモートロ
グイン Telnetのみ
コネクション検出方式
（新提案方式）
データ一致方式
（旧提案方式）
高い 高い
リアルタイム性
コネクション確立前 コネクション確立後
検出できるタイミング
全てのTCPサービス Telnetのみ
対象となるF-T間 の通信 対象となるA-F間 の通信
可能 可能
渡り歩き検出
Telnet, SSH, rlogin など全てのリモートロ
グイン Telnetのみ
コネクション検出方式
（新提案方式）
データ一致方式
（旧提案方式）
(注)
A-F間： Attacker・Foot Hold間 F-T間： Foot Hold・Target間
5
ロ グ イ ン ，Foot Hold・Target間 の 通 信 は 全 て の TCPサ ー ビ ス で あ る 渡 り 歩 き が 検 出 で き る ．
デ ー タ 一 致 方 式 で はTelnetの コ ネ ク シ ョ ン を 確 立 し な け れ ば 渡 り 歩 き を 検 出 で き な い が ， コ ネ ク シ ョ ン 検 出 方 式 で は コ ネ ク シ ョ ン を 確 立 す る 前 に 検 出 で き る ．
両 方 式 共 に OS の カ ー ネ ル 内 部 で 監 視 す る た め ， 検 出 の リ ア ル タ イ ム 性 は 高 い ．
5. ま と め
本 研 究 で は ， 普 遍 的 な 渡 り 歩 き 検 出 方 法 に つ い て 検 討 し た ．コ ネ ク シ ョ ン 検 出 方 式 を 適 用 す る こ と で ，FPN 環 境 下 で な く と も 渡 り 歩 き が 検 出 で き る こ と を 示 し た ． ま た ， デ ー タ 一 致 方 式 に 存 在 す る 問 題 点 に つ い て も 解 決 す る こ と が で き た ．
FPN に お け る 不 正 な 渡 り 歩 き を 検 出 す る た め に は ， 本 方 式 に 加 え て 渡 り 歩 き の 正 常 ・ 不 正 の 判 断 を し な け れ ば な ら な い ． こ れ に 関 し て は ，FPNで 設 定 し た 各 通 信 の ア ク セ ス ポ リ シ を 比 較 す る こ と で 可 能 で あ る ． ま たFPN環 境 で な く て も ，事 前 に 正 常・不 正 パ タ ー ン を 定 義 し た IPア ド レ ス リ ス ト な ど を 用 意 す る こ と で ，渡 り 歩 き の 正 常 ・ 不 正 の 判 断 が で き る と 思 わ れ る ．
今 後 の 課 題 と し て ，リ モ ー ト ロ グ イ ン のPSHパ ケ ッ ト を 受 信 し て か ら 一 定 時 間 の 間 に SYN パ ケ ッ ト が 送 信 さ れ る ま で の 監 視 時 間 を 適 切 な 値 に 設 定 す る 必 要 が あ る ． コ マ ン ド を 受 理 し て か ら 実 際 に コ ネ ク シ ョ ン を 確 立 す る ま で の 時 間 の 統 計 を 取 る な ど ， こ の 値 を 求 め る 必 要 が あ る ． こ れ は キ ー ボ ー ド ・ マ ウ ス 入 力 監 視 に つ い て も 同 様 で あ る ．
参 考 文 献
[1] 2003 CSI/FBI Computer Crime and Security Survey，
Computer Security Institute．http://i.cmpnet.com/
gocsi/db_area/pdfs/fbi/FBI2003.pdf
[2] Flexible Private Network，Watanabe Lab. Division of Information Sciences, Meijo University． http://
www-is.meijo-u.ac.jp/%7Ewatanabe/research/fpn.ht ml
[3] 鈴 木 秀 和 ， 渡 邊 晃 ，“GSCIP を 構 成 す る DPRP の 仕 組 み の 検 討 ，”第 66 回 情 報 処 理 学 会 全 国 大 会 ， 分 冊3，no.5V-1，pp.479-480，March 2004． [4] 竹 尾 大 輔 ， 渡 邊 晃 ，“GSCIP を 構 成 す る 渡 り 歩 き
検 出 機 能 の 仕 組 み の 検 討 ，”第66 回 情 報 処 理 学 会 全 国 大 会 ，分 冊3，no.5V-2，pp.481-482，March 2004． [5] 増 田 真 也 ， 渡 邊 晃 ，“閉 域 通 信 グ ル ー プ に お け る
暗 号 通 信 方 式 の 検 討 ，”第66回 情 報 処 理 学 会 全 国 大 会 ，分 冊 3，no.5V-3，pp.483-484，March 2004．
[6] 保 母 雅 敏 ， 渡 邊 晃 ，“多 段 構 成 ネ ッ ト ワ ー ク に お け る 鍵 配 送 方 式 の 一 検 討 ，”第66 回 情 報 処 理 学 会 全 国 大 会 ，分 冊3，no.6V-2，pp.495-496，March 2004．
[7] 前 羽 理 克 ， 渡 邊 晃 ，“生 体 認 証 を 利 用 し た セ キ ュ ア ネ ッ ト ワ ー ク 通 信 ，”第 66回 情 報 処 理 学 会 全 国 大 会 ，分 冊 3，no.6V-6，pp.503-504，March 2004． [8] 竹 尾 大 輔 ，渡 邊 晃 ，“TELNETに よ る 渡 り 歩 き の 検 出 方 法 の 検 討 ，”平 成15年 度 電 気 関 係 学 会 東 海 支
部 連 合 大 会 ，no.360，pp.180，Oct. 2003．
6
FPN における渡り歩きの 検出方法の検討
- Researches on Detection Method of Island Hop in Flexible Private Network -
名城大学大学院理工学研究科
竹尾大輔 渡邊 晃
2004/07/21 Researches on Detection Method of Island Hop in FPN 2
背景
• 増加する企業内の不正アクセス
– 外部からの不正アクセス → FW ，要塞化 – 内部のセキュリティ対策は甘い
• IDS でネットワークを監視
– 不審な通信の発見
– 内部犯罪の抑制
2004/07/21 Researches on Detection Method of Island Hop in FPN 3
背景
• クラッカーは渡り歩きを行う
– 多段の踏み台ホストを経由
– 個々の通信の正常・不正の判断
• 正常な通信を不正と見なすことは難しい
– 渡り歩きの正常・不正の判断
• 管理者による正常な渡り歩きか？クラッカーによる不 正な渡り歩きか？
• 判断材料が無い
・・・
踏み台ホスト
2004/07/21 Researches on Detection Method of Island Hop in FPN 4
FPN の概要と問題点
• Flexible Private Network
– セキュリティ対策と運用管理負荷軽減の両立 – ユーザ・ホストが部署単位などでグループ化
• 異なるグループのホスト間通信を拒否できる
• 多重帰属しているホストを踏み台にする
– 別のグループのホストにアクセスできる可能性
踏み台を介して別のグループにアクセス
踏み台
2004/07/21 Researches on Detection Method of Island Hop in FPN 5
FPN の問題解決
• 問題解決に要求されること
1. 渡り歩き自体を検知
2. 渡り歩きの正常・不正の判断
2004/07/21 Researches on Detection Method of Island Hop in FPN 6
本研究の主題
• FPN 環境下での渡り歩き検出方法を提案し
てきた
• 普遍的な渡り歩き検出方法を検討
– 提案方式の性能評価実験
– 新旧提案方式の比較による機能評価
2004/07/21 Researches on Detection Method of Island Hop in FPN 7
渡り歩きモデル
• 渡り歩きモデルの構成要素
– Attacker （攻撃者ホスト） ：クライアント型 – Foot Hold （踏み台ホスト） ：サーバ型
– Target （ターゲットホスト） ：サーバ型
Foot Holdを介してTargetにアクセス
Attacker Foot Hold Target
2004/07/21 Researches on Detection Method of Island Hop in FPN 8
データ一致検出方式
• Telnet による渡り歩きを検出
– IP アドレスは異なるがデータは同一の送受信パ ケットが Foot Hold でほぼ同時に発生している – Foot Hold で送受信パケットを監視
Telnet Telnet
A F
Data Data T F
Foot Hold
Attacker Target
2004/07/21 Researches on Detection Method of Island Hop in FPN 9
データ一致検出の流れ
SYN / ACK ACK
PSH PSH
Attacker Foot Hold Target
SYN SYN / ACK
ACK PSH PSH / ACK
SYN Telnetの通信
PSH
Telnetの通信 Telnetを起動
するコマンド
AttackerからFoot Holdを介してTargetへ と向かうTelnetのデータパケット
渡り歩き！
2004/07/21 Researches on Detection Method of Island Hop in FPN 10
データ一致検出方式の問題点
• データ一致検出方式の 3 つの問題
① 検出できるのは TCP コネクション確立後
② 通信が平文である Telnet のみ対象
③ Foot Hold ・ Target 間の通信は Telnet のみ対象
Telnet Telnet
A F
Data Data T F
Foot Hold
Attacker Target
2004/07/21 Researches on Detection Method of Island Hop in FPN 11
コネクション検出方式
• Attacker ・ Foot Hold 間の通信
– 各種リモートログイン（ SSH ， Telnet ， rlogin ）
• Foot Hold ・ Target 間の通信
– あらゆる TCP サービス
• Attacker が Foot Hold にリモートログインし，
各種 TCP サービスで Target へアクセス
– Foot Hold 上で検出
Telnet, SSH, rlogin Any TCP Services
Attacker Foot Hold Target
2004/07/21 Researches on Detection Method of Island Hop in FPN 12
コネクション検出の流れ
SYN / ACK ACK
Attacker Foot Hold Target
SYN SYN / ACK
ACK PSH PSH / ACK リモートログイン SYN
の通信(Telnet, SSH, rlogin)
PSH
あらゆるTCP サービスの通信 TCPサービス
を起動するコ マンド
渡り歩き！
2004/07/21 Researches on Detection Method of Island Hop in FPN 13
パケット受信処理の監視
• TCP パケットを監視，リ モートログイン通信パ ケットを検出
• 検出時刻をリモートログ イン受信記録に保存
• 検出対象は PSH パケッ トのみ
– リモートログインの通信 パケットは PSH フラグが セットされている
• すべてのリモートログイ ンを検出できる
リモートログイン?
PSH?
START
END
END Yes
No
No
Yes
END
受信記録に保存
2004/07/21 Researches on Detection Method of Island Hop in FPN 14
パケット送信処理の監視
• TCP パケットを監視，
TCP コネクション確立要 求を検出
• リモートログイン受信記 録を参照，送信が一定 時間内なら渡り歩き
• 検出対象は SYN パケッ トのみ
• コネクション確立前に，
あらゆる TCP サービスに よる渡り歩きを検出でき る
SYN?
受信記録有り? START
END
END Yes
No
No
Yes
END
渡り歩き!
一定時間内?
END No
Yes
2004/07/21 Researches on Detection Method of Island Hop in FPN 15
渡り歩き検出機能の実装
• リアルタイムに監視するために， OS のカーネ ルに実装する
– イベントの取りこぼしが無い
– 正確な検出時刻の比較が可能
– 必要であればパケットの破棄も可能
• OS に FreeBSD 5.1R を採用
– ネットワークに関する資料が多い
2004/07/21 Researches on Detection Method of Island Hop in FPN 16
送受信パケットの監視位置
• 送受信パケットの監視は IP 層で行う
Transport Layer IP Layer
Data-link Layer
ip_input ip_output
Call Call
受信パケット 監視モ ジュール
送信パケット 監視モ ジュール
: 通常のパケットの流れ
: パケットの横取り・差し戻し
2004/07/21 Researches on Detection Method of Island Hop in FPN 17
実験環境
• 100BASE-TX の LAN
• Foot Hold に検出機能を実装
IPアドレス 172.18.16.90 172.18.16.42 172.18.16.45 172.18.16.34
CPU Pentium4 2.4GHz Celeron 2.0GHz Pentium4 2.4GHz Pentium4 1.8GHz
メモリ
512MB 512MB 256MB 256MBOS Windows XP Pro Red Hat Linux 9 FreeBSD 5.1R Fedora Core 1
起動サービス
- - SSH, Telnet,rlogin, FTP Telnet, FTP SW
SW
General Attacker Foot Hold Target
2004/07/21 Researches on Detection Method of Island Hop in FPN 18
性能評価実験
• 検出機能の有効性とその性能の確認
– 3 種類のリモートログインによる渡り歩き – PSH 受信・ SYN 送信の間の時間を計測
SSH Telnet
rlogin
Telnet
General Attacker Foot Hold Target
Telnet
直接起動
Telnet事前起動
SSH -> Telnet 13693.20(usec) 7228.05(usec) Telnet -> Telnet 14985.65(usec) 7952.05(usec) rlogin -> Telnet 15018.75(usec) 6553.55(usec)
※
20回試行の平均2004/07/21 Researches on Detection Method of Island Hop in FPN 19
他処理への影響
• 検出機能の実装時 / 未実装時における， FTP を利用したダウン / アップロード時間測定
– General が Foot Hold に FTP 接続
– 500MB のファイルをダウン / アップロード
FTP get 500mb put 500mb
General Attacker Foot Hold Target
実装時 未実装時
ダウンロード
45.1515(sec) 45.1520(sec)アップロード
45.9155(sec) 45.9865(sec)※
20回試行の平均2004/07/21 Researches on Detection Method of Island Hop in FPN 20
提案方式の比較
• データ一致検出方式とコネクション検出方式 の機能比較
データ一致検出方式
（旧提案方式）
コネクション検出方式
（新提案方式）
渡り歩き検出 可能 可能
対象となるA-F間の 通信
対象となるF-T間の
通信
Telnetのみ全てのTCPサービス
検出できるタイミング コネクション確立後 コネクション確立前
リアルタイム性 高い 高い
Telnetのみ Telnet, SSH, rloginなど
全てのリモートログイン
(注)
A-F間： Attacker・Foot Hold間 F-T間： Foot Hold・Target間
2004/07/21 Researches on Detection Method of Island Hop in FPN 21
考察
• アプリケーションによって PSH 受信・ SYN 送 信間の時間が変化
– 同じアプリケーションでも起動方法によって変化
• コネクション検出方式では Attacker を特定し づらい
– 疑わしい Attacker のリストを管理者に報告 – 平文のリモートログインはデータも監視
• 改行コード ‘0x0d’ はコマンドの確定の可能性が高い
• 例： >telnet 172.18.16.34
2004/07/21 Researches on Detection Method of Island Hop in FPN 22
まとめ
• 普遍的な渡り歩き検出方法を検討した
– FPN 環境下以外で渡り歩きを検出できた
– データ一致検出方式の問題点を解決した – 導入による他処理への影響は無い
• 不正な渡り歩きの検出に関して
– FPN 環境下
各通信に設定されたアクセスポリシを比較 – FPN 環境下以外
事前に IP アドレスリストを用意しておく
2004/07/21 Researches on Detection Method of Island Hop in FPN 23
