2014 CYBEX Working Group (takeshi C

Size: px

Start display at page:

Download "2014 CYBEX Working Group (takeshi C"

たかよしたなせ
6 years ago
Views:

1 2014 CYBEX Working Group (takeshi CYBEX WG IODEF-SCI RFC 1 3 Reference Ontology for Cybersecurity Operaitonal Information Journal 2 4 MILE Implementation Report CIMS n NECOMAtter CYBEX WG 2014 E IODEF (Incident Object Description Exchange Format) XML IODEF IODEF-SCI RFC Reference Ontology for Cybersecurity Operaitonal Information Journal MILE Implementation Report NECOMAtter 2 IODEF-SCI RFC IODEF IODEF IODEF XML IODEF-SCI ID XML URL IODEF RFC wide-paper-cybex-rfc7203.txt 1

2 3 Reference Ontology for Cybersecurity Operaitonal Information Journal operation domain, role, information ITU-T Recommendation X.1500 Ontology Journal X.1500 journal wide-paper-cybex-refontology.txt 4 MILE Implementation Report MILE Implementation Report RFC 5070 Incident Object Description Exchange Format (IODEF) IETF MILE WG Kathleen Moriarty Chris Inacio WIDE CYBEX WG 4.1 CIMS NATO Cyber Coalition 2013 CIMS (Collaborative Incident Management System) CIMS CSIRT/CERT RT 1 RT 1 Request Tracker: CIMS IODEF IODEF RT IODEF CSIRT/CERT RT CIMS IODEF 4.2 n6 n6 CERT Polska SNMP IDS IDS n6 Representational State Transfer(REST) API n6 JSON IODEF CSV n6 n6 Country Code IODEF Contact Class IP EU IP 2

3 n6 SDK GitHub 2 n6 WIDE NECOMA MILE Implementation Report IODEF XML IODEF XML XML RFC 5070 IODEF XML Schema Document (XSD) Perl XML::Pastor, Ruby RXSD Python PyXB Java JAXB C++ Codesynthesis XSD C# XSD.exe XML::Pastor RXSD JAXB XSD XSD XML XML XSD IODEF XSD XML::Pastor RXSD JAXB IODEF IODEF IODEF-Document VLAN vlan-name vlan-num ext-category PyXB Codesynthesis C++ JAXB XSD.exe IODEF XML XML::Pastor RXSD XSD XML IODEF XSD GitHub 4. 5 NECOMAtter NECOMAtter IODEF machineto-machine human-to-machine human-to-human 4 3

4 間のオペレータらに届け人間のオペレータの知能を Proposed Model for Security Information Exchange by NECOMAtter 機械に届ける橋渡しをするために設計されているこのような情報交換の課題は多種多様な人間の知能を Human Operators 如何に有機的に連携させるかという点にあるサイバー NECOMA'er System 脅威の情報は膨大でありその情報は様々なデータソースから得られた様々な形式性質のデータであるため RESTful API Web Interface NECOMA'er 一人の人間が全ての情報を解析することは難しいそこで NECOMAtter の利用者である様々な専門家に彼らの得意とする部分だけを解析してもらいその内容を結合することによる知識の発掘を目的とする Workspace for collec8on and discussion of security informa8on このような専門家による解析にはアドホック性が Report Security Informa8on by Machine Analysis 求められるこれは近年のサイバー攻撃は予想も図 1: NECOMAtter における情報交換モデルつかないほど即興で攻撃が行われるためであるこのような攻撃に対抗するにはサイバー防御も即興で対 012/0! 012/,/ 応するしかないこの問題を解決する糸口として我々が着目したのは 012/3!,&-$+.'/,!,&-$+.'/0!,&-$+.'/3!,34/012! Twitter 及びそれを取り巻くキュレーションサービスである Twitter においては様々な利用者が様々な )#!"#$%&#! 目的で様々な情報を Tweet している一人の利用者が )#*$+! 全ての Tweet を閲覧することは難しいが Follow な 3)#-'#/.7""-)+! どの機能を用いて興味を持つ範囲の Tweet を読み必 )#*$+! )# 要あれば自分も Tweet を返すことができるこのよ )# "#&!5&! うなやりとりはキュレーションサービスを使いいわゆるまとめサイトとして集約され後から容易に読み返すことができる図 2: NECOMAtter における情報交換フロー翻ってサイバーセキュリティ関連の情報を Tweet する Twitter があればどうかここでは機械学習に味を持つ情報についてその内容に合わせて様々なスよる解析アルゴリズムも人間のステークホルダーもサテークホルダーが専門的知識を活用することができイバーセキュリティ情報を Tweet している全てのサこれらの Mention によってアドホックに協調したインイバーセキュリティ情報を閲覧し解析することは難しシデント対応ができるものと考えられるいが Follow によって興味を持つ範囲の Tweet を得図 2 はこの情報交換フローの概念図である例えることができ必要に応じて自分も Tweet を返すことば NECOMAtter BOT が購読している Timeline 上ができるこのメッセージ交換 Twitter で言うとこに IP アドレスが出現すれば DoS 解析を行う BOT ろの Mention 等を受けさらに機械による Tweet SPAM 解析を行う BOT フィッシングサイト解析を行う BOT が当該 IP アドレスについての解析結果をを促し深度の高い解析を促すことも有り得る NECOMAtter の情報交換モデルを図 1 に示す NECOMAtter BOT とは様々な種類のデータを個別に出力する人間のオペレータらは必要に応じて自らの知見と加えたり過去のインシデント情報と関個々に解析しその結果を NECOMAtter システム連付けを行ったりあるいは情報を他の BOT に伝搬に Tweet するプログラムである前述のとおりサイさせその断片化された情報から一連のセットであるバー脅威の情報は膨大でありそれらの形式性質はサイバー脅威のキャンペーン情報を解析することがで様々であるが NECOMAtter は Twitter のように外きる最終的に BOT に ACL を設定させることも部ページにリンクを掲載することもでき Tweet のよ可能であろううに人間にとって読みやすいテキスト形式である興 4

5 NECOMAtter GitHub 5 6 IODEF IODEF 5 5

橡セキュリティポリシー雛形策定に関する調査報告書

橡セキュリティポリシー雛形策定に関する調査報告書 13 2 KM 12 7 10 ISO/IEC TR 13335 Techniques for the Management of IT Security ISO/IEC 15408 Evaluation Criteria for IT Security BS7799 A Code of Practice for Information Security Management RFC2196 Site