LAN上の振る舞いで脅威を検知・遮断するシステム製品

　オリゾンシステムズの「Flowmon ADS」は、社内ネットワーク通信の振る舞いからマルウエア感染や不正ログインなどのセキュリティ上の脅威を検知するソフトである。ネットワーク機器やプローブ装置からフロー情報を収集して蓄積し、これを分析するためのアプライアンス製品「Flowmon」を拡張するプラグインとして提供する。

Flowmon ADSにCisco PIとの連携機能を追加し、問題のある端末をネットワークから切り離せるようにした

（出所：オリゾンシステムズ）

[画像のクリックで拡大表示]

　Flowmon ADSは、ネットワーク通信の振る舞いを調べることによって、マルウエア感染などのセキュリティ上の問題を検知する機能を提供する。典型的な攻撃の振る舞いとして42種類のパターンを登録している。例えば、短時間に多数のログインを試みている端末などを検知する。複数の振る舞いを組み合わせて脅威を判定することもできる。運用管理ソフトのIPアドレスを検知対象から除外するといった設定も可能。

　直近では、Flowmon ADSの機能を強化し、米Cisco Systems製のスイッチと連携することによって脅威を自動的に遮断・ブロックできるようにした。米Cisco Systems製のネットワーク管理ソフト「Cisco Prime Infrastructure」（Cisco PI）と連携する仕組み。Cisco PIのWeb APIを介して、マルウエア感染端末などをスイッチから切り離すリスエストを発行する。リクエストを受けたCisco PIは、スイッチにログインしてCLIコマンドで端末を切り離す。

　Flowmon ADSが脅威を検知した際に、Cisco PIと連携して問題のある端末をネットワークから切り離せるようにした形である。端末をネットワークから切り離す条件は、ユーザーが細かく設定できる。リアルタイムに蓄積されていくフロー情報を5分に1回のペースで分析し、条件に合致した場合にネットワークから切り離す。