2015-ShowNet-DDoS/Security

Transcript

1. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 1 ShowNet Security 〜DDoS対策の最適分散配置〜
2. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 2 400Gbpsに達するDDoS攻撃 現状の課題 ボリュームが急激に増加
3. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 3 DDoS対策機能の最適分散配置 ShowNet におけるDDoS対策 課題：大規模DDoS攻撃を個別組織での対策が困難に 対策：IX, トランジット, 自AS内での対策機能を分散配置 2. IXにおける緩和・破棄 SDN技術を活用し攻撃の流入口での 緩和・破棄→ラック#1 1. ISPにおける緩和・破棄 BGP経路操作による攻撃を緩和装置 への誘導し緩和・破棄→ラック#10 3. 自社網での緩和・破棄 BGP Flowspecによる帯域制限および 緩和装置への誘導・破棄→ラック#2 自社網 IX ISP 1 2 3
4. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team トランジットと連携したDDoS防御 トランジット連携防御 サーバA life/来場者端末等 出展社 Transit xFlowサンプル ShowNet External コレクタ 攻撃者 Dest IP:サーバA Source IP: B Dest port : 80 Source port :1900 1.攻撃判定 3.攻撃防御 正常者 Dest IP:サーバA Source IP: B Dest port : 80 Source port :2345 連携装置 防御指示 2.防御連携 防御指示
5. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 5 ShowNet 多層防御Security 〜セキュリティオーケストレーションモデル〜
6. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 6 多層防御の重要性を提唱 2014年のShowNet Security The Internet 5タプル制御 浸入防御やアプリ ケーション制御 サンドボックス アンチウイルス • 異なる防御技術を階層的 に実装 • 既知の脅威対策 →次世代ファイアウォール • 侵入検知、Apps制御 →IDS/IPS • 未知の脅威対策 →サンドボックス • エンドポイント →アンチウイルス
7. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 7 複雑かつ大量のLogの解析 現状の課題と対策(1) Firewall IDS/IPS Sandbox • 多層防御による管理対象増加 →大量のLog解析 • 詳細なLog解析と複数フロー →相関解析スキル IDS/IPS Sandbox Firewall • SIEMによる相関分析 →個別のLog解析 • 異なるフェーズを捉えて検知 →サイバーキルチェーン SIEM
8. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 8 内部感染や拡散の解析 現状の課題と対策(2) • インターネット向けのパ ケットを収集・保存 • MD5解析などで同じマル ウェアへの感染や同じサイト へのアクセスの有無を確認 • 検体を再構成することで、更 なる解析やシグネチャ生成へ の活用
9. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 9 サイバーキルチェーン 運用によるサイバーキルチェーン (1)計画立案 (2)攻撃準備 (3)初期潜入 (4)基盤構築 (5)内部浸入・ 調査 (6)目的遂行 (7)再浸入 ✓ 攻撃目標設定 ✓ 事前調査 ✓ C&Cサーバ ✓ 標的型メール の作成 ✓ 水飲み場攻撃 ✓ 標的型メール の送信 ✓ バックドア構築 ✓ ボットネットへ の参加 ✓ データの外部送 信や破壊活動 ✓ 業務妨害 ✓ 内部拡散 ✓ 共有サーバへの 浸入 ✓ バックドアから の再浸入 ✓ 情報の再搾取 ※IPAより抜粋 (https://www.ipa.go.jp/security/vuln/newattack.html) • 活動フェーズのどこかで対策を打つことで、それ 以降の活動を遮断 • 更に、早い段階で対策を打てば、被害拡大を防ぐ ことが可能
10. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 10 ShowNet2015 セキュリティのポイント ShowNet2015のポイント ファイア ウォール TAP Layer1 Aggregation IPS/IDS ファイア ウォール Sandbox Sandbox Mail Srv Email Sandbox DDoS防御 TAP フォレンジック SIEM 2014年→2015年 • インライン • 多層防御 • フォレンジッ • SIEMの運用