Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

疑似環境でサイバー攻撃者を泳がせ、挙動解析する「STARDUST」を開発 - NICT

情報通信研究機構(NICT)は、攻撃対象とする組織の疑似ネットワーク環境へ攻撃者を誘い込み、侵入後の攻撃活動を監視、分析するための研究基盤「STARDUST」を開発した。

同研究基盤は、政府や企業など組織のネットワークに見せかけた疑似環境へ攻撃者を誘い込み、挙動を監視、解析するためのシステム。

実環境へ疑似ネットワークをVPNと多段NATを組み合わせたネットワーク機器で接続することで、実環境と同じIPアドレスを偽装。さらに疑似ネットワーク上では、模擬環境構築システム「Alfons」により、サーバや数十台から数百台規模の端末を稼働させ、偽の情報資産なども配置。実在する組織のように振る舞うことが可能。疑似環境は数時間ほどで構築できるという。

攻撃活動の分析にあたっては、同基盤の模擬端末上でマルウェアを実行。バックドアよりマルウェアを外部と接続させ、攻撃者に疑似ネットワーク内部の調査や感染活動、情報窃取などを行わせる。

攻撃活動の観察は、攻撃者に察知されないよう、L7トラフィックの解析基盤である「SF-TAP」を活用。ネットワークの外側からパケットを観測することで、長期間にわたる挙動の観測、分析が可能であるとしている。

組織の機微情報や不利益となる情報が含まれることから、標的型攻撃の被害者より、攻撃者が展開した活動内容について公開されることは少ないことから、今後は同システムの運用によって攻撃活動のデータを蓄積。対策技術の研究開発に活かすほか、セキュリティ関連組織などとも情報を共有していくという。

20170531_ni_001.jpg
「STARDUST」の動作イメージ(画像:NICT)

(Security NEXT - 2017/05/31 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

Office数式エディタに対する脆弱性攻撃 - サンドボックス回避のおそれも
中国「APT10」による国内メディア狙った標的型攻撃 - 外交問題関連ファイルを偽装
顧客へのアクセス権限持つMSP、APT攻撃の標的に - 米政府が警鐘
38%の企業がセキュリティ投資を増額 - それでも65%は「不足」
警察庁把握の標的型攻撃メール、前期から半減するも高水準 - 「Excelファイル」が約半数
【特別企画】セキュリティクイズ 標的型攻撃なのに「ばらまき型」? 警察庁の定義とは
対応コストともなう「サイバー攻撃」「内部犯行」、43.9%が経験
拡張子「.iqy」ファイルに注意 - 数十万件規模でマルウェアメールが流通
「Trend Micro CTF 2018」が開催 - 9月に予選、決勝は12月
2018年2Qの「標的型攻撃メール」は43件 - 「CVE-2017-11882」の悪用目立つ