セキュリティ（４） 05A2013 大川内斉今回の内容 IDS(侵入検知システム）を導入し、具体的にどのように不正アクセスを検知しているかの検証を行った IDS（侵入検知システム）    コンピュータやネットワークに対する不正行為を検出し、通知するためのシステムネットワーク型IDS（NIDS）ネットワークを流れるパケットを監視するホスト型IDS（HIDS）内部ユーザの不正行為、ファイルの改ざんを監視するパケット  ヘッダ＋ペイロード＋トレーラで構成・ヘッダ送信元・送信先のＩＰアドレス、ポート番号など・ペイロードデータ本体・トレーラ誤り検出情報 IDS(NIDS)の役割  ファイアウォールでは、検知できない不正なパケットをIDSで検知するハッカー一般ユーザ IDS 正規のアクセス要求パケットと不正なパケットを見分けられない可能性がある侵入検知方法   シグネチャ型（不正検出）あらかじめ登録しておいたルール・パターンと一致したパケットを不正攻撃と判断アノマリ型（異常検出）通常時の通信とは異なるやりとり（トラフィック量の増加など）を不正攻撃と判断 snort  snort ネットワーク型IDSで、ルール・パターンに基づいて検知する、シグネチャ型を採用不正パケットを検知したときの出力方法としてテキスト形式、データベースへの格納などさまざまな形式で出力できる snortの検証  ping パケットが接続先まで届いているか確認青・・・ルールファイルで定義されている攻撃の概要緑・・・攻撃のタイプ赤・・・攻撃の危険度のレベルルールの構造ー１  ルールヘッダ＋ルールオプションで構成ルールヘッダＩＰアドレスやポート番号、ルールと一致したパケットに対して何を行うかという設定を行う例 alert icmp any any -> 100.1.1.1 any ＩＰアドレス１００．１．１．１に対してのicmp(ping)に対してアラートを出し、パケットを記録する  ルールの構造２ルールオプションより詳細な検知対象パケットの指定例  （msg:”ICMP PING”; itype:8;・・・;priority:3;) alert icmp any any -> 100.1.1.1 any （msg:”ICMP PING”; itype:8;・・・;priority:3;) ＩＰアドレス１００．１．１．１に対してのicmp(ping)に対してアラートを出力、危険度のレベル３、メッセージ “ICMP PING”として、パケットを記録する今後の予定   検知したときに管理者に通知検知したときにファイアウォールなどと連携参考資料  サイト・Wikipedia http://ja.wikipedia.org/wiki/ ・IT用語辞典e-Words http://e-words.jp/ ・http://safe-linux.homeip.net/index.html