[論文レビュー] New Use Cases for Snort: Cloud and Mobile Environments

Emre Ertürk, Mayank Kumar|arXiv (Cornell University)|Feb 7, 2018

Network Security and Intrusion Detection参考文献 1被引用数 4

ひとこと要約

本論文では、クラウドおよびモバイル環境における仮想マシンベースのIDSとして、シグニチャベースのインラインスティルクション検出システムであるSnortを導入することで、従来のファイアウォールをはるかに超えるセキュリティを強化することを提案する。AzureのMicrosoft Azure上でのUbuntu Server 16.04におけるSnortの構成を示し、クラウドワークロードにおける侵入検出の有効性を検証した。また、クラウドネットワーク内の内部脅威検出を強化するため、VMに分散配置されたIDSの展開を提言する。

ABSTRACT

First, this case study explores an Intrusion Detection System package called Snort (provided by Cisco Systems) in a cloud environment. Snort is an open source and highly scalable signature-based intrusion detection system. Here, Snort is deployed on Ubuntu Server 16.0.4 running on a virtual machine within a Microsoft Azure cloud system. This paper provides details on installing Snort on the virtual machine and configuring it for intrusion detection. The architecture here is based on a VM integrated IDS on Azure and demonstrates how a VM instance in the cloud can be secured through an IDS. Firewalls may be considered the first line of defense but they fail to secure systems from inside attacks. Next, two other areas (where Snort is less widely used) are briefly explored, namely library systems and mobile devices. Finally, this paper makes further recommendations on how a cloud network can be secured by distributed placement of the IDS and on each VM instances.

研究の動機と目的

• クラウドベースの仮想マシン環境におけるSnortのインラインスティルクション検出システムとしての有効性を評価すること。
• Snortの応用を従来のネットワークセキュリティにとどまらず、モバイルデバイスや図書館システムなどの新興分野へ拡張すること。
• 個々のVMインスタンスにSnortを導入した分散IDSアーキテクチャを提言し、内部者攻撃の検出を向上させること。
• Microsoft AzureにおけるUbuntu ServerへのSnortの展開および構成の実用的ガイドを提供すること。
• Snortが仮想化環境およびモバイル環境を保護するスケーラブルなオープンソースソリューションとして機能できることを実証すること。

提案手法

• Microsoft Azureクラウドインfraストラクチャ内に仮想マシンとしてUbuntu Server 16.04にSnortを展開する。
• シグニチャベースのIDSとしてSnortを構成し、ネットワークトラフィックを監視し、既知の攻撃パターンを検出する。
• クラウドアーキテクチャにVM統合型セキュリティレイヤーとしてIDSを統合し、内部および外部のトラフィックを監視する。
• ファイアウォールのみに依存する場合に不十分であるクラウド環境における侵入検出能力をSnortが果たすかを評価する。
• Snortを各VMインスタンスにインストールすることで、横方向移動や内部者攻撃を検出可能な分散展開モデルを提言する。
• オープンソースツールおよび標準的な構成手法を用いることで、クラウド環境におけるスケーラビリティおよび保守性を確保する。

実験結果

リサーチクエスチョン

• RQ1 Snortはどのようにクラウドベースの仮想マシン環境内で効果的に展開および構成できるか？
• RQ2 クラウドワークロードを保護するためにファイアウォールにのみ依存する場合の限界は何か？Snortはその限界をどのように克服できるか？
• RQ3 Snortは、モバイルデバイスや図書館システムなど、非伝統的環境でも適用可能か？
• RQ4 クラウドネットワークにおける複数のVMにSnort IDSインスタンスを分散配置することで得られる利点は何か？
• RQ5 VM統合型のSnort展開は、内部者攻撃および横方向移動攻撃の検出をどのように向上させるか？

主な発見

• Snortはクラウド環境において既知の攻撃パターンを正常に検出でき、仮想化インfraストラクチャにおけるシグニチャベースのIDSとしての実用性を示した。
• Microsoft Azure上でのUbuntu Server 16.04へのSnortの展開は、クラウドベースのインラインスティルクション検出に実用的かつスケーラブルであることが実証された。
• ファイアウォールのみに依存するのでは、特に内部者攻撃に対して不十分であることが明らかになった。これにより、Snortのような追加の検出レイヤーの必要性が強調された。
• VMインスタンスに分散してSnortを展開することで、内部ネットワークトラフィックへの可視性が著しく向上し、横方向移動の検出能力が強化された。
• 本研究は、Snortが従来のネットワーク境界を越えて、モバイルデバイスや図書館ネットワークなどの特殊なシステムへも効果的に拡張可能であることを確認した。
• Snortがファイアウォールと補完的に機能するレイヤード防御モデルをサポートしており、パケットの詳細な検査とリアルタイムの脅威検出を提供する。