Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

疑似環境でサイバー攻撃者を泳がせ、挙動解析する「STARDUST」を開発 - NICT

情報通信研究機構(NICT)は、攻撃対象とする組織の疑似ネットワーク環境へ攻撃者を誘い込み、侵入後の攻撃活動を監視、分析するための研究基盤「STARDUST」を開発した。

同研究基盤は、政府や企業など組織のネットワークに見せかけた疑似環境へ攻撃者を誘い込み、挙動を監視、解析するためのシステム。

実環境へ疑似ネットワークをVPNと多段NATを組み合わせたネットワーク機器で接続することで、実環境と同じIPアドレスを偽装。さらに疑似ネットワーク上では、模擬環境構築システム「Alfons」により、サーバや数十台から数百台規模の端末を稼働させ、偽の情報資産なども配置。実在する組織のように振る舞うことが可能。疑似環境は数時間ほどで構築できるという。

攻撃活動の分析にあたっては、同基盤の模擬端末上でマルウェアを実行。バックドアよりマルウェアを外部と接続させ、攻撃者に疑似ネットワーク内部の調査や感染活動、情報窃取などを行わせる。

攻撃活動の観察は、攻撃者に察知されないよう、L7トラフィックの解析基盤である「SF-TAP」を活用。ネットワークの外側からパケットを観測することで、長期間にわたる挙動の観測、分析が可能であるとしている。

組織の機微情報や不利益となる情報が含まれることから、標的型攻撃の被害者より、攻撃者が展開した活動内容について公開されることは少ないことから、今後は同システムの運用によって攻撃活動のデータを蓄積。対策技術の研究開発に活かすほか、セキュリティ関連組織などとも情報を共有していくという。

20170531_ni_001.jpg
「STARDUST」の動作イメージ(画像:NICT)

(Security NEXT - 2017/05/31 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

2020年4Qのインシデントは1割減 - マルウェアサイトは倍増
北朝鮮グループ「Lazarus」が悪用する10種類のツール
情報セキュ監査人が選定した2021年のセキュリティトレンド
JNSAが選ぶ2020年10大ニュース、気になる1位は……
「Lazarus」が新コロ研究情報を物色 - 政府や製薬企業に攻撃
コロナ禍ではじめて迎える冬期長期休暇 - あらためてセキュ対策の確認を
サイバー攻撃の被害額、8割超が100万円未満 - 日本損保協会調査
ランサム感染で顧客プログラム資産が流失した可能性 - システム開発会社
正規署名で検知回避する「SigLoader」 - VPN経由の標的型攻撃で悪用
標的型攻撃のレスキュー支援、2020年上半期は45件