EMCジャパン、サイバー攻撃をリアルタイムに検知する「RSA NetWitness」

RSA事業本部 マーケティング部 プリンシパル・マーケティング・プログラムマネージャーの水村明博氏

RSA NetWitnessの概要

　EMCジャパン株式会社は6日、ネットワークセキュリティ・モニタリングツール「RSA NetWitness」を発売した。出荷開始は2012年1月5日より。

　RSA NetWitnessは、ネットワーク上を流れるパケットをくまなく収集する装置と、情報を解析するアプリから構成されるネットワークセキュリティ・モニタリングツール。ネットワークのすべてのパケット情報を“継続的に監視”し、インターネットからの脅威を“リアルタイムに検知”する。

　標的型メール攻撃を例に取ると、「メールに添付されたマルウェア（ゼロデイ攻撃を含む）を検知し、攻撃の予兆を知らせてくれる。万が一、侵入を許した後でも、マルウェアがサーバーの脆弱性をついて目的の情報を窃取する攻撃をネットワーク上のパケットから検知できる」（RSA事業本部 マーケティング部 プリンシパル・マーケティング・プログラムマネージャーの水村明博氏）という。

　パケット収集コンポーネントは「Decoder」「Concentrator」「Broker」の3種。Decoderがスイッチのミラーリングポートなどから流れるパケットをくまなく収集し、メタデータを付与（インデックス化）する。ConcentratorはメタデータのみをDecoderから収集し、パケット解析コンポーネントにメタデータを渡す。Brokerは、複数のConcentratorのデータを集約するもの。

　パケット解析コンポーネントは「Spectrum」「Informer」「Investigator」の3種。上記のConcentratorから渡されたメタデータを基に、Spectrumがリスクを判定し脅威を検知する。特長は、「マルウェアの実行ファイルを構文解析した結果」「マルウェアの疑いのあるファイルの流入経路情報（IPアドレスや国名など）」「RSAが収集・提供する脅威情報（RSA NetWitness Live）との比較」「仮想環境でのマルウェア実行結果」というシグネチャだけに依存しない4つの独自指標。これらから複合的にリスクを判定する。

パケット収集コンポーネント	パケット解析コンポーネント

　Informerは、ダッシュボードやチャート機能を提供するもの。イベントやアラートをSNMP、syslog、SMTPなどで通知し、セキュリティ・インシデント監視・管理（SIEM）製品や既存ネットワーク管理製品とも連携可能。疑わしいパケットが見つかったら、Investigatorでより詳細なセッション分析を行い、脅威の侵入経路やマルウェアに感染したPCを特定することもできる。

　また、パケットの収集と解析を分けたアーキテクチャにより、企業規模やデータ規模に柔軟に対応し、テラバイト級のパケットデータも高速に分析できるのが特長だ。

4つの独自指標でゼロデイ攻撃も検知	情報漏えいの検出を視覚的に行える

突如発生した不審なアクセスの調査

不審なアクセスの発信源や経路も視覚的に

　水村氏は「執拗な攻撃を行うAPT攻撃などは、従来の予防対策や境界防御では完全に防ぐのが難しいとされるが、RSA NetWitnessはネットワークを常時監視することで、脅威の予兆をできるだけ早期検知して、なるべく未然に攻撃を防げる」と語った。

　標準価格は、キャプチャ装置2台（DecoderとConcentrator）とマルウェア検知装置1台（Spectrum）、ネットワーク分析・可視化装置1台（Informer）の構成で4000万円（税別）。

　販売代理店を通じて官公庁、省庁、防衛関連企業、金融業、製造業、通信業などの企業へ提案し、今後1年で3億円の売上を目指す。