Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

疑似環境でサイバー攻撃者を泳がせ、挙動解析する「STARDUST」を開発 - NICT

情報通信研究機構(NICT)は、攻撃対象とする組織の疑似ネットワーク環境へ攻撃者を誘い込み、侵入後の攻撃活動を監視、分析するための研究基盤「STARDUST」を開発した。

同研究基盤は、政府や企業など組織のネットワークに見せかけた疑似環境へ攻撃者を誘い込み、挙動を監視、解析するためのシステム。

実環境へ疑似ネットワークをVPNと多段NATを組み合わせたネットワーク機器で接続することで、実環境と同じIPアドレスを偽装。さらに疑似ネットワーク上では、模擬環境構築システム「Alfons」により、サーバや数十台から数百台規模の端末を稼働させ、偽の情報資産なども配置。実在する組織のように振る舞うことが可能。疑似環境は数時間ほどで構築できるという。

攻撃活動の分析にあたっては、同基盤の模擬端末上でマルウェアを実行。バックドアよりマルウェアを外部と接続させ、攻撃者に疑似ネットワーク内部の調査や感染活動、情報窃取などを行わせる。

攻撃活動の観察は、攻撃者に察知されないよう、L7トラフィックの解析基盤である「SF-TAP」を活用。ネットワークの外側からパケットを観測することで、長期間にわたる挙動の観測、分析が可能であるとしている。

組織の機微情報や不利益となる情報が含まれることから、標的型攻撃の被害者より、攻撃者が展開した活動内容について公開されることは少ないことから、今後は同システムの運用によって攻撃活動のデータを蓄積。対策技術の研究開発に活かすほか、セキュリティ関連組織などとも情報を共有していくという。

20170531_ni_001.jpg
「STARDUST」の動作イメージ(画像:NICT)

(Security NEXT - 2017/05/31 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

2019年1Qはインシデントが増加 - 「スキャン」「マルウェアサイト」など
GWに備えて対策を - 脆弱性や改元対応、BECへの警戒も
2割強の企業が過去1年間にPCやスマホ紛失を経験
ASUSの更新機能が侵害、マルウェア拡散 - MACアドレスで標的絞りさらなる攻撃
標的型攻撃が「Slack」や「GitHub」を悪用 - コード入手やコマンド実行の通知手段に
シンガポール医療機関の大規模情報漏洩、関与グループが判明
MS、月例パッチで脆弱性64件を解消 - 2件はゼロデイ攻撃を確認済み
「Windows 7」に権限昇格のゼロデイ脆弱性 - 標的型攻撃で積極的な悪用
警察庁、年間6740件の標的型攻撃を把握 - 9割は「ばらまき型」
MS、機械学習活用したSIEM「Azure Sentinel」を発表 - 「Office 365」とも簡単連携