ログとパケットを相関分析して標的型攻撃を検知するシステム製品

RSA Security Analyticsの画面

[画像のクリックで拡大表示]

　EMCジャパンRSA事業本部の「RSA Security Analytics 10.6」（以下、RSA SA）は、ログデータとパケットデータを相関分析することによって標的型サイバー攻撃を検知するセキュリティ製品である。潜伏期間を経て攻撃が発動した標的型攻撃を素早く発見する。

　製品は大きく、ログ収集装置、パケット収集装置、データ分析装置などで構成する。物理アプライアンスのほか、仮想アプライアンスの形でも提供する。単一のデータ分析装置を用いて、ログとパケットの両方をまとめて分析できる。

　データをリアルタイムに分析できるように、元データ（ログとパケット）に対してメタデータとインデックスを作成する仕組みを採用。さらに、HadoopベースのDWH（データウエアハウス）を備えており、データを長期保存できるようにしている。

　現行版では、より迅速に標的型攻撃を発見できるように、機械学習を取り入れた。

　パケット分析においては、C＆Cサーバー（攻撃者がインターネット上に設置し、社内のマルウエアと通信して司令を出すサーバー）とのHTTP通信の検知に機械学習を利用する。C＆Cサーバーとの通信かどうかを判定するために、複合的な評価指標に基付いてスコアリング（点数付け）を実施する。

　ログ分析においては、Windowsのイベントログを分析して社内LAN上でのマルウエアの潜伏活動を検知する機能を付けた。