SDNによるISP間の脅威情報共有の実現

F5

ゲストブログ：TAG Cyber LLC最高経営責任者（世界中の数百社を支援する、サイバーセキュリティに関するアドバイザリー、トレーニング、コンサルティング、メディアサービスをグローバルに提供する企業）

セキュリティコミュニティでは、高品質な「サイバー脅威情報の共有」が運用、分析、対応を担うチームに役立つと広く考えられています。もちろん、その効果を得るには、共有する脅威情報が真に高品質でなければなりません。幸い現在では、効果的な脅威情報共有グループの立ち上げ、運営、管理に伴う負担を軽減できる優れた商用プラットフォームが提供されています。そのため、セキュリティチームが今なおデータを共有していないことを正当化する理由は、ほとんどありません。

セキュリティコミュニティでは、サイバー攻撃がますます高速化、高度化し、検知や追跡が困難になっているという見方も広く共有されています。こうした攻撃の特性は、皮肉にも、Sand Hill Roadのベンチャーキャピタルが資金を投じてきた自動化、機械学習、自律化といったテクノロジーを活用することで実現されています。その結果生まれた、いわゆる「合成攻撃」は、手作業で人間が連携して対応するにはあまりにも高速で捉えにくく、セキュリティチームにとって憂慮すべき事態です。

F5 NetworksはTAG Cyberと共同で、先ごろボストンで開催されたF5 Agility 2018において、ワーキンググループに次の2つの事項を検討するよう依頼しました。すなわち、脅威情報の共有と合成型サイバー攻撃です。さらに、セキュリティチームに有望なメリットをもたらす可能性のある新たな技術トレンドという要素も踏まえて検討するよう求めました。その技術とは、ソフトウェア定義ネットワーキング（SDN）です。^[1]

このワーキンググループは、主に世界各地のサービスプロバイダーコミュニティから招かれた業界関係者で構成されており^[2]、次の根本的な問いについて議論を重ね、検討することが求められました。新たに登場しつつあるSDN対応のサービスプロバイダーインフラストラクチャは、合成攻撃のリスクを軽減するために、世界各地の通信事業者間でサイバー脅威情報を自動共有するための共通基盤となり得るでしょうか。

この多面的な問いに取り組むため、ワーキンググループは、議論を整理して焦点を絞り、総合的な回答を導き出すうえで役立つ、より具体的な3つの問いを設定しました。

· セキュリティのためのSDN – サイバーセキュリティにSDNを活用する場合、どのようなメリットとデメリットがあるか？

· ISP共有の改善 – ISP共有全体を改善するには、どのような戦略を採用できますか？

· 機能要件 – SDNを活用した共有をサポートするプラットフォーム機能とは？

ワーキンググループの活動では、ほかにも関連する多くのトピックが取り上げられましたが、この3つの焦点を絞った質問によって、SDNインフラストラクチャは通信事業者間で脅威情報の共有を自動化するための優れた基盤となる、という結論を効果的に導き出すことができました。実際、ワーキンググループは「自動化された合成攻撃を阻止するには、サービスプロバイダーも自動化された防御に頼る必要がある」という基本原則で合意しました。

セキュリティのためのSDN

最初の質問では、SDN自体をどのように保護できるか（この取り組みの範囲外とされたテーマ）ではなく、SDNがセキュリティの効果的な基盤となる仕組みに焦点を当てました。そのため、複数のサービスプロバイダーのインフラ環境間で脅威情報を動的かつ自動的に共有するのに適しているとされた、SDNの以下の側面について、参加者が見解を示しました。

• コントローラーの可視性 – SDNコントローラーは、すべての管理対象デバイスを一元的に可視化できます。この可視性により、管理対象デバイスから取得したテレメトリを外部と共有するための取り込み、処理、配信をすべて自動化できました。これは、コントローラーがサウスバウンドインターフェース全体の可視性を活用してネイティブに実行することも、専用に導入したセンサーがノースバウンドインターフェースを介してSDNアプリケーションと連携することで実行することも可能です。
• 迅速な失敗への対応 – 共有機能を自動化するには、新たな機能や特長を生み出す能力が必要です。そのため、ソフトウェア対応インフラストラクチャでは、成功する可能性のある機能だけでなく、失敗した場合にも迅速に特定して置き換えられる機能を速やかに導入できます。このように、SDNのソフトウェア指向の特性は、新たな機能を構築するための、より柔軟な環境を支えます。
• 自己防御の可能性 – ワーキンググループは、ソフトウェアによる自己防御機能の実現可能性について多くの時間をかけて検討しました。これは、自動化された人工的な攻撃の速度と規模に対処する必要があるあらゆるセキュリティ防御にとって、不可欠な要素と考えられます。SDNで共有をサポートするには、兆候を動的に検知し、その後に自律的に対応する機能が必要になります。

ISP間の共有の改善

2つ目の質問では、世界各地のISPが現在の脅威情報共有を全般的にどのように改善できるかに焦点を当てました。サービスプロバイダーコミュニティ内で用いられている手法と、金融サービス分野で注目を集めている情報共有の手順や手法について、比較検討を重ねました。^[3] その結果、ワーキンググループは、SDNが台頭する状況を踏まえ、情報共有を改善するための提案として以下を挙げました。

• グループとパートナーシップ — グローバルISPコミュニティにおける優れた脅威情報共有の取り組みの多くは、特定の問題を情報共有によって解決するために設けられた臨時のワーキンググループ、または通信事業者間の多者間パートナーシップから生まれる傾向があります。このことから、SDNによる自動共有を実現するには、コミュニティ、一時的な合意、動的な信頼グループの構築をサポートする必要があると考えられます。
• プロバイダー協同組合の参加 – ISPコミュニティには、金融サービス業界と同様に、数百もの小規模なサービスプロバイダーや通信サービスベンダーが存在します。こうした小規模な協同組合が、ベンダーとの関係やクラウドベースのas-a-service型サービスを通じて自動共有を行うには、機能面でのサポートが必要です。各種の製品面または金銭面のインセンティブにより、自動共有グループへの参加を促せる可能性があります。
• グローバルな共有の規範 —多様なグローバル通信事業者が広範囲にわたって脅威情報を共有する場合、共通のポリシーを一律に適用して管理することはできません。むしろ、自動共有の取り組みには規範に基づく合意が必要であり、大半の通信事業者が、共通の共有エコシステムに送信フィードと受信フィードを含めることを自発的に決定する必要があります。

機能要件

3つ目の質問では、通信事業者間で脅威情報を自動共有できるようにするSDNプラットフォームおよびベンダーソリューションの機能要件の特定に焦点を当てました。ワーキンググループでは、ベンダーには顧客のニーズに応える動機があり、ユーザーグループがニーズを実用的な標準としてまとめることで、ベンダーから最も効果的な対応を得られるとの認識で一致しました。SDNを活用した共有に必要な主な機能は次のとおりです。

• 脅威バスアーキテクチャ – ワーキンググループは、共有される脅威情報の抽象的な機能上の宛先となる、いわゆる脅威バスの概念を策定しました。脅威バスには、情報を適切に処理および保護し、帰属の度合いや信頼度などの属性を考慮することが求められます。バスの実装方法を明確にするには、今後さらに検討が必要です。
• 標準プロトコルとインターフェース– ワーキンググループは、自動化されたエコシステムを適切に運用するには、標準に準拠した脅威共有プロトコルが不可欠であると判断しました。広く知られているSTIXおよびTAXIIプロトコルは、新たなSDN設計に組み込む標準の例として採用されました。SDNにはこのような取り組みを妨げる要素はないものの、同グループが当時把握していたSDN関連の取り組みでは、明確な重点項目とされていませんでした。
• ユースケース主導のサポート– ワーキンググループは、機能設計をユースケース主導で行うべきだと強く主張しました。これにより、自動共有を段階的に導入するアプローチが可能になります。議論されたユースケースの1つは、検知された攻撃が別の通信事業者のインフラストラクチャから発生したと見られる場合に、通信事業者間で自動的に相互通知するというものでした。

作業チームが推奨した次のステップは以下のとおりです。（1）関連する他の取り組みの計画策定に役立てるため、グループでの議論をまとめた本記事を公開する。（2）SDNベースの共有に関するアイデアを促進し、標準化活動に働きかけるため、調査結果を各参加組織に持ち帰る。（3）この重要な分野にさらに注力するよう提言するため、ベンダーコミュニティと協議する。

このワーキンググループの結論は明快です。メンバー全員が一致して、新たに登場しつつあるSDN対応のサービスプロバイダーインフラストラクチャは、合成攻撃のリスクを軽減するため、世界各地の通信事業者間でサイバー脅威情報を自動共有するための共通基盤となり得ると認識しました。自動化された合成攻撃の深刻さについて共通認識がある中、この結論に至ったことは、チームにとって期待の高まる展望でした。

作成：TAG Cyber LLC：https://www.tag-cyber.com/

[1] ソフトウェア定義ネットワーキング（SDN）の基礎を詳しく学びたい方は、Paul GoranssonとChuck Blackによる『Software Defined Networks – A Comprehensive Approach』（Morgan Kaufman、2014年）をご参照ください。

[2] 参加者および所属組織のプライバシーを尊重するため、本稿では、調査に参加した専門家や団体の名称ではなく、ワーキンググループのセッションで示された結論と提言を総括して記載しています。参加者には本稿を確認し、修正を提案する機会が設けられましたが、残存する誤りについては著者が責任を負います。

[3] ワーキンググループが導き出した主な結論の1つは、金融サービス業界が、脅威情報共有のためのツールや手法、FS-ISACエコシステムを対外的に周知する取り組みにおいて、あらゆる業界の中で最も効果を上げているということです。

著者について

F5

F5のその他のブログ記事