熊本大学学術リポジトリ Kumamoto University Repositor Title J-PARC センター基幹 LAN におけるセキュリティ対策につい て Author(s) 石川, 弘之 Citation Issue date Type URL Presentat

熊本大学学術リポジトリ

Kumamoto University Repository System

Title

J-PARCセンター基幹LANにおけるセキュリティ対策につい

て

Author(s)

石川, 弘之

Citation

Issue date

2011-03-17

Type

Presentation

URL

http://hdl.handle.net/2298/23546

Right

J-PARC センター基幹 LAN におけるセキュリティ対策について

石川 _弘之*1

日本原子力研究開発機構 _{J-P ARC センター}

概要

J-PARC センターでは、イントラネット(JPARC センター基幹 LAN)のセキュリティ対策のため、対策目的毎に各種機器 を導入し運用している。本稿では、これらの機器を用いた同基幹 _{LAN の情報セキュリティ対策への取組みと、中でも、} F/W における通信記録(ログ)を活用した情報セキュリティ対策の高度化利用(運用)を報告する。 1. はじめに J-PARC は、核破砕反応により生成される多様な２次粒子を用いて、広範な領域の科学・技術の研究を進める施設であ る。 _{この施設における J-PARC 施設利用者(利用者)の利便性向上を図るため、情報インフラとして J-PARC センター基幹} LAN(以下、JLAN と略す)を運用している。 日々運用の中で実施しているセキュリティ対策の取組みや工夫について報告するとともに、収集されるデータ_{(F/W ロ} グ_{)を有効活用したセキュリティ対策用支援ツールの整備、さらにこれらのツールを用いながら我々が実践しているセキ} ュリティ事象の検知するため事例を報告する。 2. セキュリティ対策における全体的な工夫 表-1. JLAN におけるセキュリティ機器用途 2.1 セキュリティ事象の局所化 分類 用途 JLAN におけるセキュリティ対策は、ネット ワーク及び利用者機器双方の用途に合わせキ ュリティ対策を講じている。_{(表-1.) これによ} り、セキュリティ維持を保つとともに、万一セ キュリティ事象が発生した時に、影響範囲を局 所化できるようにしている。 ネットワーク ・Internet～JLAN 間通信のスクリーニング (F/W ) ・アタック、挙動不審通信及び侵入検知 (IDS ) ・ウィルス検知及び駆除 (IPS) ・JLAN 間通信のスクリーニング (S W の ACL) ・不正接続機器の検知及びJLAN からの隔離(動的 VLAN) 利用者機器 ・ウィルス検知及び駆除 (AntiV irus ソフト) ・主要サーバ向けのセキュリティ・脆弱性検査 2.2 セキュリティ機器の配置 JLAN は利用者機器の用途に合わせ、外部公 開サーバを設置する_{DMZ、外部公開不要な機} 器を設置する_{Intra のセグメントに大別してい} る。この２つのセグメントの通信_(Internet～ DMZ, Internet～Intra, DMZ～Intra)に、同じセキ ュリティ対策を施すことができるように、タグ VLAN 及びトランスペアレントモードによる IDS, IPS 構成を組んでいる。これにより、複数 ポイントの監視を１台の_{IDS,IPS 機器で実現} している。_{(図 1.)} 論理構成 物理構成 Internet Internet DMZ Intra

IPS

F/W

IDS

IPS

IDS

IPS

図 1. JLAN におけるセキュリティ機器構成

F/W

IDS

F/W : FireWall

IDS : Intrusion Detection System IPS : Intrusion Prevention System

2.3 その他のセキュリティ対策

JLAN 利用者機器へのアンチウィルスソフトウェアの導入、JLAN 上でのアクセス制御の適用や Web サーバを保護する ために_{WAF(Web Application F/W)を導入するなどのセキュリティ強化も図っている。} また、_{DMZ に設置した全サーバ及び共用性の高いサーバについては、セキィリティ維持のため毎週強制的にセキュリ} ティ脆弱性検査を実施しセキュリティホール有無の確認を行っている。 3. F /W ログ解析システムに対するセキュリティ対策への工夫 3.1 これまで抱えてきた課題 セキュリティ対策は、未然防止及びセキュリティ事象発生時に如何に早く対応するかが鍵となる。 セキュリティ用途向けに設計・開発されているアプライアンスサーバを用いることで、比較的容易に外部_{/内部からの} クラッキングに対し予防、監視が可能である。 しかし、手軽さゆえに考慮しなければならない点もある。 例えば、セキュリティ機器のログ領域は一般に大きくない ため通信ログが短時間で上書きされてしまう。アプライアンスサーバでは、格納データを効率よく処理を行うため_{DB 化} や加工していることが多く、データも非公開となっていることが多い。このため、アプライアンスサーバ内に格納されて いるデータを活用することができないことが多い。 3.2 最初の取組み F/W … 集計_A 蓄積DB 統計情報表示 統計データ 再集計ツール 集計B F/W ログ解析プログラム F/W ﾛｸﾞ ログ検索 Syslog 転送 3.1 項に挙げた課題への最初の取組みとして、 セキュリティ機器の要である_{F/W に対して、管} 理・監視用アプライアンスサーバとは別に、長 期間通信ログの格納が行える「_{F/W ログ解析シ} ステム」を構築した。_{(図 2. 水色箇所)} この結果、１年間程度の通信ログに対して検 索及び統計情報を収集することができるように なり、短時間で通信ログが上書きされてしまい 欲しい情報が得られない課題を克服することが できた。 データの可視化 図 2. F/W ログ解析システム 初期リリースの「_{F/W ログ解析システム」提供機能} a. 通信ログを元に方向別及び通信結果(Permit/Deny)毎に分類しデータを蓄積 DB に格納する機能 b. 単位時間毎に通信量や通信用途毎に集計する機能 c. a ,b に対する検索機能 3.3 機能拡張 「_{F/W ログ解析システム」を単純な通信ログ記録/検索用途ではなく、さらに再集計することで、記録されたデータから} 隠れた情報を抽出できるようにした。_{(図 2.)} 以下、_{2 事例を示す。} 1)Internet からの不正アタック状況の動画化

地域インターネットレジストリ_{(Regional Internet Registry)にて公開されている情報とそのフォーマット[1]を元に、通信} ログの送信元_{IP アドレスがどの国に属しているかを分類することで、国別のアクセス統計を取るようになった。}

ここれ得られた国別アクセス統計情報から、_{15 分毎の Internet → JLAN(DMZ) への国別不正アタック元分布を 3 分程} 度の動画化することで、時系列の不正アタック推移を可視化することができた。 2)Push 型による JLAN 運用管理者への通知 セキュリティ事象の早期検知には、「_{F/W ログ解析シス} テム」の単位時間_{(15 分)毎に実行される集計機能を活用し} ている。 _{特定の 1 ホストや特定の 1 サービスの通信ログ} が大量に記録_{(ex. 9000 件/15 分)された場合、アラートを発} するようにし、アラートメールや警告灯により_{JLAN 運用} 管理者に対して通知を行っている。_{(図 3.) 検知履歴} 集計 X メール通知 検知プログラム 蓄積_DB 図 3. Push 型による通知 JLAN 運用管理者 通信ログ表示 また、通知を受取った_{JLAN 運用管理者は、検知したア} ラートの通信が具体的にどうだったのかをメール中に埋 め込んだ_{URL から通信ログを参照できるようにしている。} 3.4 新たな課題と対応 _{表 3. 「F/W ログ解析システム」マシンスペック} DB 版 順編成ファイル版

CPU Intel Xeon 3460 2.8GHz Intel Xeon51 10 1. 60GHz

MEM 16GB 8GB

OS RHEL 5.5 (64bit) RHEL 4 ES (32bit)

蓄積DB メモリ上に格納 HDD 上に格納 J-P ARC 施設の供用開始に伴い JLAN 利用者が増加し たことで、_{H21 年度には、１日当たり F/W 通信ログ量は} 約_{350～400 万件(約 2.0GB)に達している。} 本システムおけるレスポンス時間は、 _{DB 検索時間 ＋ ブラウザ表示時間} で表される。 初期リリース版は、蓄積_{DB が順編成ファイルで作成} 表 4. DB 検索時間測定結果例 順編成ファイル版 DB 版 性能比 195s 1.25s 156 されていることにより、全レコードを読込む必要がある。 このため、順編成ファイル版の検索では２分以上かか っていた。_{DB 版では、マシンスペックの向上(表 3.)、} DB(MySQL)によるインデックス検索に加え、蓄積 DB の メモリ格納_{(RAM ディスク)により DB 検索時間の高速化} を図った。これにより、_{DB 版では、1.25s と約 150 倍高} 速化することができた。 表 5. ５万件データのブラウザ表示時間測定結果例 ブラウザ modpagespeed 性能比 未使用 使用 一方、ブラウザ表示時間は、抽出データ_{(DB 検索結果)} を_{HTML 化してサーバから JLAN 運用管理者 PC へ転送} されブサウザに表示されるまでの時間となるが、ブラウザ種類に依存するところが大きく、_{IE や FireFox では Google} Chrome と比べると 10 倍以上遅い。(表 5.) この遅さを改善するため、Google 社が公開している Web ページの読込みを 高速化する_{Apache HTTP サーバモジュール modpagespeeed[3]を使用した。これにより、FireFox では約９倍の性能改善を} 図ることができた。 FireFox 3.6 292s 33s 8.85 Internet Explorer 8 27s 30s 0.90 Google Chrome 8 25s 26s 0.96 3.5 統計データの新たな活用 amChart ツール[3]を用いて、統計情報を効果的に可 視化する試みをしている。 _{am Chart は adobe 社 flash} 形式で作成されるグラフ作成・表示ツールであり、ビ

ジュアル的な表現が可能である。 _{am Chart による新た} 「F/W ログ解析システム」_{検索結果 amChart} 図 4. amChart による可視化

なデータ抽出はないが、見る側に対し直感的にアピールできるため、順次_{amChart による表示化も進めている。(図 4.)} 4. ｢F/W ログ解析システム｣への考慮 1) 補完ツールを活用した機能分散 通信ログから得られない情報、または他ツール用いることが効率よく情報を収集できることもある。たとえば、ネット ワーク上の通信流量であれば_{MRTG[4]、さらにサービス毎の通信流量が必要であれば ntop[5]を用いることにより、情報} 収集及びビジュアル表示が可能である。 _{DB 版「F/W ログ解析システム」を開発するにあたり、通信流量については MRTG,} ntop を用いたシステムに委ね、同システムのリソース負荷がかからないように考慮している。 2) システムの継続利用 F/W の通信ログは記録する項目(日時、送信元／送信先 IP アドレス、同ポート番号等)は、どのメーカの製品であって もほぼ同じである。しかし、通信ログのフォーマットはメーカ毎に異なる。このため、_{F/W 更新後、現在使用している「F/W} ログ解析システム」が利用できなくては困る。通信ログのレコードを読み_{DB(MySQL)に登録するプログラム部分を部品} 化している。_{F/W を変更しても、部品化したプログラム部分を改修するだけで、引続き「F/W ログ解析システム」を利} 用できるようにしている。 5. まとめ 今回の対策は、_{F/W の通信ログを単なる通過及び遮断の記録として捉えるのでなく、データの集計や加工を行い、ログ} 内に隠れている有用な情報を抽出（マイニング）し「見える化」することで、セキュリティ対策に役立てることを主眼に 置いた。さらに抽出した情報を効果的に図形加工することで、情報の価値を高めている。 ただし、今回使用した源泉情報は_{F/W の通信ログであり、そこから抽出できる情報には限りがあること、かつ万能で} ないことを認識しておかなければならない。 _{JLAN では、F/W 以外のセキュリティ機器においても目的に合わせた通信} ログを取得している。今後は、これら複数のセキュリティ機器のログ情報の相関を見ることにより、有用情報を抽出し可 視化することを計画している。 参考文献

[1] RIR statistics exchange format:

http:/ /www.apnic.net/publications/media-library/documents/resource-guidelines/rir-statistics-exchange-format [2] modpagespeed: http://code.google.com/p/modpagespeed/ [3]amChart: http://www .amcharts.com/ [4]MRTG: http://oss.oet iker.ch/mrtg/ [5]ntop: http://www.ntop.org/ *1 富士通株式会社より日本原子力研究開発機構に出向中