HOME > COLUMN > chikyu_chijo > October 24, 2007

chikyu_chijo - October 24, 2007

第31回: トレースバックシステムへの期待

October 24, 2007 [ chikyu_chijo ] このエントリーをはてなブックマークに追加

新谷 隆(国際大学GLOCOM 主幹研究員)

若狭 賢(財団法人日本データ通信協会テレコム・アイザック部)

はじめに

「インターネット上のインシデントの解決にトレースバックシステムが有効である」と言いたい。

しかし残念ながら、この文章が何を言わんとしているのか、理解できないのがフツーである。そもそも「インシデント」も「トレースバック」も、いずれも一般には、ほとんど馴染みがない言葉だ。


インシデントとは、「インターネットにおけるセキュリティ上の脅威となりうる出来事」を意味する。トレースバックは、「逆探知して問題の発信源を突き止めること」である。つまり、インターネット上でトラブル引き起こし、不正行為を行う「攻撃元」を特定し、インシデント被害の解決に役立てようという試みがなされているということである。そして日本には、熱心にトレースバックシステムの研究開発に取り組んでいる研究者、技術者たちがいる。しかしながらこの技術は、まだまだ発展途上であり、実用化するまでには多くの課題をクリアーしなくてはならない。

インシデントとはなにものか

トレースバックシステムの意義を検討するためには、インターネット上でのインシデントの内容について検討する必要がある。そもそもインシデントの中身は何であるのか。代表的なものに、不正アクセスや不正侵入、サーバ等への攻撃、ワーム等のウイルスによる攻撃、そしてスパムメール送信やそのための攻撃などがある。図1は、さらに細かい手口ごとに日本のインターネットサービスプロバイダー(ISP)において発生しているインシデントの頻度をまとめたものである(注)

図1: 日本のISPにおける発生インシデント

日本のISPにおいては、ウイルスの感染はもちろんのこと、DoS攻撃やポートスキャンなどの手口による攻撃や不正アクセスなど、さまざまな種類のインシデントが発生していることがわかる。さらにスパムメール系のインシデントは、ソースアドレス偽装のような形態で発生しており、その発生件数が多いだけでなく、急速な増加傾向を示している。こうした、いわば「悪者たち」にどのように立ち向かってゆくか、そのための知恵と施策が求められている。その結果、より安心で安全なインターネットの実現を求めてゆくという課題は、インターネット利用者、すなわち多くの国民の関心事となっている。

ISPにおける対策の実態

もちろん業界も手をこまねいてばかりいるわけではない。各ISPのネットワーク管理者は、インシデント発生現場に身をおき、ネットワークの安定運用のための個別的な対策にあたっている。ウイルス系のインシデントに対しては、対策ソフトウエアの普及が進み、一時期ほどの深刻さは感じられない。また、不正アクセスや攻撃に対しては、それを探知する技術を導入し、セキュリティホールを突かれてしまうことがないようにソフトウエアのアップデートをしている。さらに、深刻なスパムメール被害に関しては、迷惑メールの送信の際に使われる論理的な出入口である25番ポートを使えないようにブロックする対策(OP25B)や、迷惑メールが届いたらそれをフィルタリングするソフトウエアで除去するなどの工夫がなされている。これまでに実施されてきたインシデント対策の多くには、一定の効果があり、努力が報われている部分があるのは事実だ。

インシデント対策は、インシデントの種類ごとに個別に対策が練られ、かつ悪質なインシデントが発生すれば、発生する度に具体的な対応が求められる。この点にインシデント対策の難しさがある。多くのインシデントに対して共通に使える万能の対策手法はないのだろうか。おそらくそれは永遠に見つからない。

さらに厄介なことに、新たな手口のインシデントが次々と生み出されてしまう。つまり次から次へと新しい対策を練りださなくてはならない。例えば、詐欺被害が深刻化しつつある「フィッシング」は、インターネットの中核的な役割を担うサーバを狙った「毒入れ」と呼ばれる新種の攻撃パターンによって、専門家でもウソを見抜けないほどに巧妙化している。当然、その新手の攻撃パターンに対しての対策が実施されているのだが、悪知恵は尽きずにいたちごっこが続く様相を示している。

インシデント対策の実態は、現場にいるネットワーク管理者による日常的な、個別具体的な対応が基本である。なんらかの対策システムを導入さえすれば、後は自動的に攻撃を防ぎ、勝手にトラブルを回避してくれるわけではない。人手をかけて、一件ごとに、目の前に生じたインシデントに対して、それがもたらすマイナスの影響を排除する作業をコツコツと実施してゆくのである。

現在実施されているインシデント対策には、その効果に深刻な限界がある。それは、インシデントの発信源に対して働きかけるタイプのものではないということだ。それはまるで防弾チョッキは着用するものの、銃を持った犯人を取り押さえるのに必要な武器は持っていない、という状況に似ている。

たとえば、スパムメール対策において広く実施されているフィルタリングは、届いてしまった迷惑メールを読まないことを目的としていて、迷惑メールそのものの流通を止めようとはしていない。また、OP25Bの対策では、迷惑メールの流通を止める努力はするものの、迷惑メールの送信をビジネスにして世の中に害を与えているスパマー見つけて文句を言いに行こうということは眼中に無い。ここに紹介するトレースバックシステムは、まさに発信源を突き止めることを容易にする技術であり、これまでのインシデント対策とは一線を画するものである。

トレースバックシステムへの期待

トレースバックシステムには、どのような効果が期待できるのであろうか。日本全国のISPにトレースバックシステムが導入されるとすれば、いろいろなパターンの攻撃に対して、その攻撃元を突き止めることができる。インターネット上での攻撃は、巧妙なものが多い。攻撃者は、特定されないように、偽のアドレスを使い、他人になりすましたりする。ところがトレースバックシステムは、簡単には騙されず、真の攻撃者を特定してくれる。

トレースバックシステムは、犯罪防止にも役立ってくれるかもしれない。悪質な法律違反をしている攻撃者に対しては、犯人逮捕につながる可能性が高くなる。さらにサイバーテロと呼ばれるような深刻な事態への対処も迅速に正確に行えるかもしれない。悪いことをすれば、スグに特定されてしまうので、誹謗中傷の書き込みが減り、音楽や映画をネットに流して著作権侵害を犯す人も少なくなると期待したいところだ。

これらの効果を期待し、トレースバックシステムが導入されれば、今よりもはるかに安全・安心、そして健全なインターネットの実現につながるのであろうか。答えはもちろん「そんなに簡単ではない」というのが正解である。なぜ簡単ではないか、その理由を3つ視点から指摘してみたい。

1つ目は、技術面での制約である。とりわけ技術標準化がうまくいかないと、このシステムはうまく機能しない。トレースバックシステムを機能させるには、インターネット上たくさんの結節点に、トレースバック・データを収集する装置を置く必要がある。データの収集装置や解析装置は、相互に連絡を取り合うための標準が必要である。

2つ目は、法律的な側面への配慮である。トレースバックシステムをインターネット全体の安心・安全に寄与すべく活用する場合、ISPの施設内に各種装置を設置する方法が有効である。ところでISPは、通信事業者である。となれば、データ収集装置を施設内に設置する場合に、通信の秘密保持の法的義務に違反しないようにしなくてはならない。つまり、完全な適法性が保証されなくては、そもそも設置ができない。

これら2つの点については、独立行政法人情報通信研究機構(NICT)より日本電気株式会社ほか5社への委託により実施されているトレースバックの研究開発プロジェクトにおいて、着実な努力が積み重ねられてきている。さまざまな技術的な課題は、専門の研究者の知恵があつまり、詳細に整理・検討されている。法的な側面についても、取り扱うデータの内容を読み込むことなく、通信の痕跡となる特徴情報(Hash値)のみを保管することによって、通信の秘密が保証される方法が検討されている。

それらよりも難関なのが3つ目の側面である運用上の課題である。トレースバックシステムの有効性を高めるためには、なるべく多くのインターネット上の結節点に、データ収集装置を設置する必要がある。できれば、日本の全てのISPに設置をすることで効果を高めたいところだ。しかし、設置を強制するというのは現実的ではなく、設置がなされないISPもあるだろう。しかもより困難なのは、外国のISPにも同様に設置をしてもらわない限り、攻撃元の特定は、攻撃元が国内のネットワークにいる場合だけに限定されてしまう。ないし、攻撃元は「海外です」ということだけが分かることになる。サイバーテロ等に役立てようとするならば、世界的な標準をきちんと作り上げて、世界中から賛同を得なくてはならない。これは、大変な時間と労力がかかる仕事である。

では、こうした難点があるから、トレースバックシステムは、結局のところ役にたたないのであろうか。いや、けっしてそうとは言い切れない。確かに目的を世界中のインターネットの安心・安全に寄与する決定版の技術であると想定してしまうと、それは過度な期待である。より現実的な目標を設定すると、ISPにとって、また日本のインターネットにとって、大きいプラスの貢献をもたらす可能性がある。

トレースバックシステムに期待される効果

トレースバックシステムの運用には、ISPの協力が欠かせない。ISPのネットワーク内に必要な装置を設置し、稼働させることによって、有効なトレースバックが可能となる。

そこで、多数のISPがトレースバック・ネットワークに実験ないし本運用参加することを想定したフィージビリティ調査を行った。その結果、まずはトレースバックシステムの技術的な優位性は必須であるという。そのことが社会的に意義深いことも必要である。そして運用に協力することにより得られる経済性も重要である。つまり、技術の優位性」「社会性」及び「経済性」の3要素をいずれも重視するという見解が優勢であった。

さらにISPにとって、トレースバックシステムの実験または、本運用に協力するかどうかを経営判断する際に最も重要なファクターは「お客様の声」であるという。トレースバックシステムを導入することで、サービス品質が向上するなどにより、売上げ向上に結びつくかどうかが、最大の関心事である。つまりISPからの協力を得るということは、すなわちインターネットユーザからの賛同を得ることに等しいということだ。

日本のISPは、トレースバックシステムの導入について、条件付きながらおおむね肯定的である。判断を保留する態度のISPも少なくないが、はっきりと拒否するケースは少数である。

トレースバックシステムに関する技術的な詳細を説明しながらヒアリング等の調査を実施すると、ISP側が期待する2つの主要な効果が見えてくる。その一つ目は、インシデントの発生源を特定するまでに至らないとしても、これまでにない強力なツールがあることによって、不正アクセスやサーバへの攻撃、各種ネットワーク犯罪、誹謗中傷や著作権侵害などの行為を「抑止する効果」が期待できることである。電話の逆探知システムがあることで、電話を使った犯罪への抑止力が働いているのと同じ効果をインターネットにおいて期待するというものである。

もう一つの効果は、ISPのネットワーク管理やサポート「業務の質が向上する」という効果である。そのことをわかりやすく説明するために、ISPにおいて日常的に何件も発生している「お客様からのネットワーク不調に関する苦情問い合わせ」に対応するケースを取り上げてみよう。

まず、トレースバックシステムが無い場合、どのようなことが起こるかというと、図2のように、ユーザーからインシデント発生の問い合わせを受けたISPのA社は、そのトラブルの対処のために、いくつものISPに連絡をしなくてはならないケースがある。これは、大変手間のかかる作業だ。

図2:トレースバックシステムが無い場合(資料提供:財団法人日本データ通信協会テレコム・アイザック部)

こうした面倒な作業が待っていることがあらかじめ分かっているため、各ISPでは、トラブルの発生源を探して原因を追究することを最初からあきらめているというのが現状である。

ところが、トレースバックシステムがあれば、図3のようにどのISPから、またはネットワークのどちら方面から攻撃が来ているかを簡単に短時間で知ることができる。攻撃元が特定できない場合でも、お客様に対して、例えば「今回の攻撃は、海外のネットワークから寄せられているようです」といった回答が可能となる。

図3:トレースバックシステムがある場合(資料提供:財団法人日本データ通信協会テレコム・アイザック部)

このように、トレースバックシステムの導入は、インシデント対策に明け暮れるネットワーク管理者にとっての朗報になる可能性がある。これまでのネットワーク管理業務の質を高め、負担を軽減することが期待できる。さらにユーザーサポートの質を向上させる効果も期待できそうである。

今後の課題と展望

トレースバックシステムは、まだ研究開発段階であるが、日本において実証実験を実施する計画がある。技術的にうまく機能するかどうかを検証するのはもちろんのこと、運用上のノウハウの獲得が課題となるであろう。

トレースバックシステムへの取り組みは、インターネットにおけるセキュリティ向上のための一つの挑戦である。そしてそれは、分散型のオープンなネットワークにおけるセキュリティを現実的にどこまで高めることが可能であるのか、という基本的な問いかけに対して、実践を通じて一つの答えを出してゆくことになるのであろう。

(注) 図1および本稿の内容には、独立行政法人情報通信研究機構(NICT)の委託研究による成果が含まれている。

プロフィール
%E6%96%B0%E8%B0%B7.jpg

<しんたに・たかし>

1961年東京生まれ。慶應義塾大学経済学部卒、国際大学大学院国際関係学科修了。現在、国際大学グローバル・コミュニケーション・センター主幹研究員、専門は、情報社会学、ネットワークコミュニケーション、インターネットビジネス。インターネットの社会的な影響や、ITビジネスに関する実践的な 研究を手がける。著書『メディアキッズの冒険』(NTT出版)にて、テレコム社会学賞奨励賞受賞(1997年)。最近は、スパムメール対策、ドメインネーム、サーバーホスティング等 をテーマにした実証的な調査研究活動に従事。

%E8%8B%A5%E7%8B%AD.jpg

<わかさ・けん>

1982年横河電気入社後、プラント制御システムの開発・SEサポートを経て、前者ネットワーク構築・運用、全社セキュリティ体制を構築し、Telecom-ISAC Japan事務局に至る。2005年1月から、財団法人日本データ通信協会職員を兼務する。CSS2006において、優秀論文賞を受賞。