iot17 @ Akita

1. Wiki と携帯型遠隔操作機器を使った
情報セキュリティ対策システム
山之上卓 小田謙太郎 下園幸一
鹿児島大学

2. 目次
 はじめに
 システム概要
 利用例
 関連研究
 おわりに

3. はじめに
 大規模な組織内LANの情報セキュリティ強
化
 ファイヤーウォールやIDS で監視
 なにか異常を発見した場合には速やかに対応
 ファイヤーウォールの設定やIDS出力の解析を
行うには, 通常, それなりの経験や専門知識が必
要
 組織内の出入り口のところに少数のファイヤー
ウォールやIDS を設置, 少人数の基幹ネット
ワーク管理者によって監視
 IPS もあるが防ぎきれない侵入も依然あり.

4.  ブロードバンドルータ, NAT
 小さなLANを簡単に構築, セキュリティを強
化, ネットワークの管理運営を容易に
 侵入が困難… セキュリティ強化
 接続PCの設定が簡単(DHCP)
 大学では研究室等でも良く使われる
 しかしながら …
 NAT背後のパソコンがウィルスに感染する場合もあ
る.

5.  基幹ネットワーク管理者
 監視地点から見てL3スイッチやNATの向こう側
にあるLAN(これ以降, NAT-LAN)の状態を詳しく
知りたいことが良くある.
 例えば, 組織の出入り口のIDS で組織内のホス
トのどれかにウィルス感染の疑いが発見された
場合
 そのホストの通信の送信元側IPアドレスによ
り, どのサブネットワークに, そのホストが接続
されているかは分かるが…
 ホストの特定困難. 時間がかかる

6.  組織によっては, NAT の利用を禁止
 しかしながら実施は困難で利用者の利便性
を損なう… PCの標準機能, スマホ普及など
 利用者の利便性を損なうことなく, NAT や
L3スイッチの向こう側を監視したい
 監視だけでなく、他に被害を広げないよう
にして、疑わしい通信の遮断や挙動の解析
を行いたい

7. 2. システム概要

11. 3. 利用例
3.1 起動と初期設定

15. 3.2 監視の開始

19. コマンド(実装済み)
 get ip=<IP アドレス>
 * も ok. 例 192.168.*.*
 get startsWith <文字列>

20. コマンド(実装中)
 lan2wan drop ip=<IP アドレス>
 wan2lan drop ip=<IP アドレス>
 lan2wan return-syn-ack ip=<IP アドレス>
 lan2wan forward ip=<IPアドレス1> to
<IP アドレス2> :<ポート番号>
 lan2wan dns-intercept ip=<IPアドレス1>
to
<IP アドレス2>

21. 4. 関連研究
 我々のセキュリティ監視システム
 監視のみ。これを元に開発。他に与える影響を
小さくして監視も可能。
 Snort
 シグネチャ自動更新機能
 Web でネットワークの状況を確認(ACID)
 NAT越の監視困難.

22.  山井先生et. Al.
 NATの背後にあるMACアドレスを, 外部から識
別
 既存のNATルータの置き換え必要
 石田さん et. Al.
 SNMP に対応していないネットワーク対応機器
を別のシステムで補う方法

23.  NATの外部との相互通信機能なし.
 Kaseya のパソコン管理システムや Furuno
Systemsの無線LANアクセスポイント管理シ
ステム(UNIFAS)
 本システムと同様に, 定期的にエージェントプ
ログラムが Web サーバにアクセスし, そこに書
かれた指示をエージェントが実行し, 結果を
Web サーバ側に戻す
 NAT超え OK.
 システムはセキュリティ強化ではない
 特化したWebサーバ必要

24. 5. おわりに
 NATやルータの背後にあるLANの通信を, 遠
隔操作可能な携帯型デバイスとWiki を使っ
て制御するシステム
 遠隔操作を行う側には特殊なサーバ必要な
し,
汎用的なWiki
 今後, 利用できるコマンド強化, Snort と連
携
 本システムは一種の Bot
 Dark Side に行かないように注意必要.