Loading article…
パケットキャプチャアプライアンスは、パケットキャプチャを実行するスタンドアロンデバイスです。[1]パケットキャプチャアプライアンスはネットワーク上のどこにでも配置できますが、最も一般的には、ネットワークの入り口（インターネット接続など）や、機密情報を含むサーバーなどの重要な機器の前に配置されます。
一般的に、パケットキャプチャアプライアンスは、すべてのネットワークパケット（ヘッダーとペイロードの両方）を完全にキャプチャして記録しますが、一部のアプライアンスは、ユーザー定義のフィルターに基づいてネットワークトラフィックのサブセットをキャプチャするように構成できます。多くのアプリケーション、特にネットワークフォレンジックやインシデント対応では、完全なパケットキャプチャを実行することが重要ですが、フィルターされたパケットキャプチャは、特定の限定された情報収集目的で使用される場合があります。[2]
展開
パケットキャプチャアプライアンスがキャプチャするネットワークデータは、アプライアンスがネットワーク上のどこにどのようにインストールされているかによって異なります。パケットキャプチャアプライアンスをネットワークに導入するには、2 つのオプションがあります。1 つは、アプライアンスをネットワークスイッチまたはルーターの SPAN ポート (ポートミラーリング)に接続することです。2 つ目は、アプライアンスをインラインで接続し、ネットワークルートに沿ったネットワークアクティビティがアプライアンスを通過するようにすることです (構成はネットワークタップに似ていますが、情報は別のデバイスに渡されるのではなく、パケットキャプチャアプライアンスによってキャプチャされ、保存されます)。[3]
SPANポート経由で接続すると、パケットキャプチャアプライアンスはスイッチまたはルータのすべてのポートのすべてのイーサネット/IPアクティビティを受信して記録します。[4]
インライン接続すると、パケットキャプチャアプライアンスは2点間を移動するネットワークトラフィック、つまりパケットキャプチャアプライアンスが接続されているケーブルを通過するトラフィックのみをキャプチャします。[3]
パケット キャプチャ アプライアンスを導入するには、集中型と分散型の 2 つの一般的なアプローチがあります。
集中型
集中型アプローチでは、1 台の大容量で高速なパケット キャプチャ アプライアンスがデータ集約ポイントに接続されます。集中型アプローチの利点は、1 台のアプライアンスでネットワーク全体のトラフィックを可視化できることです。ただし、このアプローチでは、ハッカーにとって非常に魅力的なターゲットとなる単一障害点が作成されます。さらに、トラフィックをアプライアンスに導くためにネットワークを再設計する必要があり、このアプローチには通常、高いコストがかかります。[4]
分散型
分散型アプローチでは、ネットワークの入口から下流のワークグループなどのより深いネットワークセグメントまで、ネットワーク全体に複数のアプライアンスを配置します。利点としては、ネットワークの再構成が不要、導入が簡単、インシデント対応調査のための複数の視点、拡張性、単一障害点がない（1 つが故障しても、他の障害も存在する）、電子的な不可視性と組み合わせると、ハッカーによる不正アクセスの危険性が実質的に排除される、低コストなどがあります。欠点: 複数のアプライアンスのメンテナンスが増加する可能性があります。[4]
これまで、パケット キャプチャ アプライアンスは控えめに導入され、ネットワークのエントリ ポイントにのみ導入されることが多かった。現在では、パケット キャプチャ アプライアンスは、ネットワークのさまざまなポイントに、より効果的に導入できる。インシデント対応を行う際、ネットワーク データ フローをさまざまな視点から確認できることは、解決までの時間を短縮し、ネットワークのどの部分が最終的に影響を受けたかを絞り込むために不可欠である。エントリ ポイントと各ワーク グループの前面にパケット キャプチャ アプライアンスを配置することで、ネットワークの奥深くまで特定の送信経路を追跡することが簡素化され、はるかに迅速になる。さらに、ワークグループの前面に配置されたアプライアンスは、エントリ ポイントに配置されたアプライアンスではキャプチャできないイントラネット送信を表示できる。[3]
容量
パケットキャプチャアプライアンスの容量は500GBから192TB以上まであります。ネットワーク使用量が非常に多い組織では、上限の容量が必要になるでしょう。ほとんどの組織では、1TBから4TBの容量で十分でしょう。[5]
容量を選択する際の目安としては、ヘビーユーザーの場合は1日あたり1GB、レギュラーユーザーの場合は1か月あたり1GBに抑えることが挙げられます。平均的な使用率の20人の典型的なオフィスでは、1TBで約1～4年は十分でしょう。[3]
比率100/0は、実際のリンク上の単純トラフィックを意味し、さらに多くのトラフィックが発生する可能性があります。
特徴
フィルタリングされたパケットキャプチャと完全なパケットキャプチャ
フル パケット キャプチャ アプライアンスは、すべての Ethernet/IP アクティビティをキャプチャして記録しますが、フィルタ パケット キャプチャ アプライアンスは、IP アドレス、MAC アドレス、プロトコルなどのユーザー定義のフィルタ セットに基づいてトラフィックのサブセットのみをキャプチャします。パケット キャプチャ アプライアンスをフィルタ パラメータでカバーされる非常に特殊な目的に使用しない限り、通常はフル パケット キャプチャ アプライアンスを使用するのが最善です。そうしないと、重要なデータが失われるリスクがあります。特に、ネットワーク フォレンジックやサイバー セキュリティの目的でパケット キャプチャを使用する場合は、すべてをキャプチャすることが最も重要です。その場でキャプチャされなかったパケットは永久に失われるからです。特にAPT ( Advanced Persistent Threat ) の場合、必要なパケットや送信の具体的な特性を事前に知ることは不可能です。APT やその他のハッキング手法が成功するかどうかは、ネットワーク管理者がその仕組みを知らず、それに対抗するソリューションを用意していないことが条件です。[3]
インテリジェントなパケットキャプチャ
インテリジェント パケット キャプチャは、機械学習を使用して、キャプチャされたネットワーク トラフィックをフィルタリングし、その量を削減します。従来のフィルタリングされたパケット キャプチャは、すべての潜在的に悪意のあるトラフィックをキャプチャするために手動で構成されたルールとポリシーに依存しています。インテリジェント パケット キャプチャは、サイバー脅威インテリジェンスフィードの機能を含む機械学習モデルを使用して、最も脅威となるトラフィックを科学的にターゲットにしてキャプチャします。ネットワーク侵入検知、[6] [7]トラフィック分類、[8]および異常検出[9]のための機械学習技術は、潜在的に悪意のあるトラフィックを識別して収集するために使用されます。
暗号化されたストレージと暗号化されていないストレージ
パケットキャプチャアプライアンスの中には、キャプチャしたデータをディスクに保存する前に暗号化するものもあれば、暗号化しないものもあります。ネットワークやインターネット接続でやり取りされる情報の範囲が広く、その少なくとも一部は機密情報であると考えられることを考慮すると、キャプチャしたデータを安全に保つ手段として、ほとんどの状況で暗号化は良い考えです。暗号化は、データ/ネットワークフォレンジックの目的におけるデータ認証の重要な要素でもあります。[3]
持続キャプチャ速度とピークキャプチャ速度
持続キャプチャ速度とは、パケットキャプチャアプライアンスが長時間にわたって中断やエラーなくパケットをキャプチャして記録できる速度です。これは、パケットキャプチャアプライアンスがパケットをキャプチャして記録できる最高速度であるピークキャプチャ速度とは異なります。ピークキャプチャ速度は、アプライアンスのバッファがいっぱいになり、パケットが失われ始めるまでの短い期間しか維持できません。多くのパケットキャプチャアプライアンスは、1 Gbit/s のピークキャプチャ速度を共有していますが、実際の持続速度はモデルごとに大きく異なります。[3] [10]
永続ストレージと上書き可能なストレージ
永久ストレージを備えたパケット キャプチャ アプライアンスは、キャプチャされたデータを上書き、変更、または削除できないため、ネットワーク フォレンジックや永久記録保存に最適です。永久ストレージの唯一の欠点は、アプライアンスが最終的にいっぱいになり、交換が必要になることです。上書き可能なストレージを備えたパケット キャプチャ アプライアンスは、容量に達すると最も古いキャプチャ データを新しいデータで上書きするため、管理が容易ですが、ネットワーク管理者は、上書きされると重要なキャプチャ データを失うリスクを負います。一般に、上書き機能を備えたパケット キャプチャ アプライアンスは、永久記録を必要としない単純な監視またはテスト目的に役立ちます。永久的で上書きできない記録は、ネットワーク フォレンジック情報収集に必須です。[4]
GbE と 10 GbE
ほとんどの企業はギガビット イーサネットの速度のネットワークを使用しており、今後もしばらくはそれが続くでしょう。[11]企業が 1 つの集中型パケット キャプチャ アプライアンスを使用してすべてのネットワーク データを集約する場合、ネットワーク全体から送られてくる大量のデータを処理するために10 GbEパケット キャプチャ アプライアンスを使用する必要があるでしょう。より効果的な方法は、複数の 1 Gbit/s インライン パケット キャプチャ アプライアンスをネットワークの周囲に戦略的に配置することです。そうすれば、 10 GbEアプライアンスに合わせてギガビット ネットワークを再設計する必要がなくなります。[10]
データセキュリティ
パケット キャプチャ アプライアンスは、ファイル、 [12]電子メール、その他の通信を含むネットワーク アクティビティに関する大量のデータをキャプチャして保存するため、それ自体がハッキングの格好の標的になる可能性があります。長期間導入されるパケット キャプチャ アプライアンスには、記録されたネットワーク データを権限のない第三者によるアクセスから保護するためのセキュリティ機能が組み込まれている必要があります。パケット キャプチャ アプライアンスを導入すると、セキュリティに関する懸念があまりにも多く発生する場合、セキュリティ保護のコストがメリットを上回る可能性があります。最適なアプローチは、パケット キャプチャ アプライアンスにセキュリティ機能を組み込むことです。これらのセキュリティ機能には、暗号化や、アプライアンスがネットワーク上で存在することを「隠す」方法が含まれます。たとえば、一部のパケット キャプチャ アプライアンスは「電子的な不可視性」を備えており、IP アドレスや MAC アドレスを必要とせず、使用もしないステルス ネットワーク プロファイルを備えています。[4]
SPAN ポート経由でパケット キャプチャ アプライアンスを接続すると、セキュリティが強化されるように見えますが、最終的には、管理とデータ取得を可能にするために、パケット キャプチャ アプライアンスをネットワークに接続する必要があります。アプライアンスは SPAN リンク経由ではアクセスできませんが、管理リンク経由ではアクセスできます。[3]
利点があるにもかかわらず、リモート マシンからパケット キャプチャ アプライアンスを制御できることは、アプライアンスを脆弱にする可能性のあるセキュリティ上の問題を引き起こします。[13]リモート アクセスを許可するパケット キャプチャ アプライアンスには、不正アクセスから保護するための堅牢なシステムが必要です。これを実現する 1 つの方法は、ユーザーがリモート アクセスを物理的に無効にできるスイッチやトグルなどの手動無効化機能を組み込むことです。この単純なソリューションは非常に効果的です。ハッカーがアプライアンスに物理的にアクセスしてスイッチを切り替えるのは簡単ではないからです。[3]
最後に考慮すべき点は物理的なセキュリティです。パケットキャプチャアプライアンスを盗んだり、コピーしたりして、そこに保存されているデータに簡単にアクセスできる場合、世界中のすべてのネットワークセキュリティ機能は意味がありません。暗号化は、この問題に対処するための最良の方法の1つですが、一部のパケットキャプチャアプライアンスには改ざん防止エンクロージャも備わっています。[3]
参照
参考文献
- ^ 「ネットワークパケットキャプチャとは?」www.endace.com . 2023年。
- ^ Sherri Davidoff. 「ネットワークフォレンジック: サイバースペースを通じたハッカーの追跡」2012年7月8日閲覧。
- ^ abcdefghij Vacca, John R. ( 2013-08-26). ネットワークとシステムセキュリティ。Elsevier。ISBN 978-0-12-416695-0。
- ^ abcde Vacca, John R. (2012-11-05). コンピュータと情報セキュリティハンドブック. Newnes. ISBN 978-0-12-394612-6。
- ^ 「ストレージ容量 - IPCopper パケットキャプチャアプライアンス」www.ipcopper.com 。 2020 年 12 月 4 日閲覧。
- ^ 「KDD Cup 1999: コンピュータネットワーク侵入検知」SIGKDD . 2019年6月17日閲覧。
- ^ Buczak, Anna; Guven, Erhan (2015 年 10 月 26 日)。「サイバー セキュリティ侵入検知のためのデータ マイニングと機械学習手法の調査」IEEE Communications Surveys & Tutorials 18 ( 2): 1153–1176. doi :10.1109/COMST.2015.2494502. S2CID 206577177。
- ^ Li, Wei; Moore, Andrew W. (2007 年 10 月 24 ～ 26 日)。効率的なトラフィック分類のための機械学習アプローチ。2007 年 15 回コンピュータおよび通信システムのモデリング、分析、シミュレーションに関する国際シンポジウム。pp . 310 ～ 317。CiteSeerX 10.1.1.219.6221。doi :10.1109/ MASCOTS.2007.2。ISBN 978-1-4244-1853-4. S2CID 2037709。
- ^ Ahmed, Tarem; Oreshkin, Boris; Coates, Mark (2007 年 4 月 10 日)。ネットワーク異常検出への機械学習アプローチ。機械学習手法によるコンピュータ システムの問題への取り組みに関する第 2 回ワークショップ (SysML07) 。2019年6 月 17 日閲覧。
- ^ ab 「Packet Analyzer - ネットワーク分析およびスキャンツール | SolarWinds」。www.solarwinds.com 。 2020年12月4日閲覧。
- ^ 「ギガビットイーサネット – それは未来か?」ComputerWeekly.com . 2020年12月4日閲覧。
- ^ Erik Hjelmvik (2008)。「NetworkMiner によるパッシブ ネットワーク セキュリティ分析」。Forensic Focus。2012 年 2 月 23 日時点のオリジナルよりアーカイブ。2012年 7 月 8 日閲覧。
- ^ Mike Pilkington (2010)。「リモートレスポンスとフォレンジック中の管理者パスワードの保護」SANS 。 2012年7月8日閲覧。