セキュリティ情報融合基盤 “CURE” のデータエンリッチメント機能を開発

サイバー攻撃の実態を把握するためには、サイバー攻撃の観測情報や外部機関が公開するセキュリティレポートなど、多種多様なサイバーセキュリティ関連情報を集約し、多角的に分析する必要があります。そのため、NICTはセキュリティ情報融合基盤「CURE」を開発し、サイバーセキュリティ関連情報の大規模集約と横断分析の研究を行ってきました。

これまでCUREは様々な観測情報（Artifact）や分析情報（Semantics）を融合してきましたが、サイバー攻撃の実態把握の精度を向上するために、CUREに格納するサイバーセキュリティ関連情報の「量」と「質」を継続的に高めていくことが課題でした。データの量を増やすためには、新たな情報源の融合が効果的であり、データの質を向上させるためには、データに付加的な情報を与えることで、その有用性や信頼性を向上させるデータエンリッチメントの仕組みが必要でした。

今回、CUREに新たに3つの情報源（AmpPot、Malmail、Trouble Ticket）を融合しました。AmpPotはDDoS攻撃の一種であるリフレクション攻撃の観測情報、Malmailはメールに添付されたマルウェアの動的解析情報、Trouble Ticketは組織内のインシデント対応に関する管理情報です。CUREは観測情報を格納するArtifactレイヤと分析情報を格納するSemanticsレイヤの2層から構成されますが、AmpPotとMalmailはArtifactレイヤに、Trouble TicketはSemanticsレイヤにそれぞれ追加しました（図2、図3参照）。

また、サイバー攻撃の痕跡情報（IoC: Indicator of Compromise）として、これまでIPアドレス、ドメイン名、マルウェア情報を用いていましたが、攻撃に悪用されたメールアドレスもIoCとして扱えるように機能追加し、メールアドレスによるデータの関連付けや検索が可能になりました。

さらに、CUREに格納されたデータに対して付加的な情報を与えるデータエンリッチメントの仕組みとして、今回初めて『Enricher』（エンリッチャ）を開発しました。データエンリッチメントのコンセプトは広く、様々な応用が考えられますが、今回は概念実証として、CURE内のデータにDoc2Vecを用いて類似度スコアを付与することで、類似の挙動を示すIPアドレス群を検出するEnricherを実装しました（図1、図4参照）。

これまでCUREは、完全一致するIoCでデータの関連付けを行っていましたが、Enricherによって「このIPアドレスと似た活動をしているIPアドレス」のように、より柔軟な関連付けができるようになりました。これにより、大規模スキャナによる調査活動に用いられているIPアドレス群の網羅的な把握や、暗号資産を不正に採掘するマルウェアの接続先IPアドレス群の抽出に成功するなど、データの完全一致だけでは実現できなかった柔軟な横断分析が可能になりました。

データエンリッチメントはデータの質を向上させるために付加情報を与えるという広いコンセプトであり、今回実装した類似IPアドレス検出だけでなく、EnricherによってIPアドレスやドメイン名に悪性度スコアを付与することや、解析者によるデータの信頼性の評価などを付与することなど様々な応用が可能であり、CUREに集約されたサイバーセキュリティ関連情報の質を向上させ、情報分析能力を更に強化することができます。

データエンリッチメント機能の追加により、CUREを用いたサイバー攻撃の実態把握の精度が向上し、より質の高い国産脅威情報の生成が期待できます。機能強化したCUREは、2022年6月15日（水）〜17日（金）に幕張メッセで開催される「Interop Tokyo 2022」で動態展示を行います。