[論文レビュー] UCLog+ : A Security Data Management System for Correlating Alerts, Incidents, and Raw Data From Remote Logs

William Yurcik, Cristina L. Abad+3 more|ArXiv.org|Jul 25, 2006

Network Security and Intrusion Detection参考文献 10被引用数 5

ひとこと要約

UCLog+ は、オープンソースツールを用いてリモートソースからのアラート、インcidnet、および生ログデータを相関させるセキュリティデータ管理システムであり、リアルタイムの状況認識およびフォレンジック分析を可能にする自動化されたクロスソース相関を実現する。このシステムは、異なるデータタイプを統合して中央集権的な分析可能なリポジトリに統合することで、セキュリティオペレーションを強化し、手動による相関作業に依存することを減らし、インcidnet検出および対応の効率を向上させる。

ABSTRACT

Source data for computer network security analysis takes different forms (alerts, incidents, logs) and each source may be voluminous. Due to the challenge this presents for data management, this has often lead to security stovepipe operations which focus primarily on a small number of data sources for analysis with little or no automated correlation between data sources (although correlation may be done manually). We seek to address this systemic problem. In previous work we developed a unified correlated logging system (UCLog) that automatically processes alerts from different devices. We take this work one step further by presenting the architecture and applications of UCLog+ which adds the new capability to correlate between alerts and incidents and raw data located on remote logs. UCLog+ can be used for forensic analysis including queries and report generation but more importantly it can be used for near-real-time situational awareness of attack patterns in progress. The system, implemented with open source tools, can also be a repository for secure information sharing by different organizations.

研究の動機と目的

• 自動相関が多様なデータソース間で制限される、孤立したスツーブパイプ型のセキュリティデータ運用というシステム的問題に対処すること。
• リモートシステムに格納されたアラート、インcidnet、および生ログデータ間の相関を可能にする、UCLogシステムの拡張。
• 統合されたデータ相関を通じて、近似リアルタイムの攻撃パターンの状況認識を実現すること。
• 複数組織間での脅威インテリジェンス共有を可能にする、安全で中央集権的なリポジトリを提供すること。
• フォレンジック調査およびインcidnet対応における自動化されたクエリおよびレポート生成を可能にすること。

提案手法

• 標準化されたデータインジェストパイプラインを用いて、分散型ソースからのアラート、インcidnet、および生ログデータを受信する。
• 意味的および時間的関係に基づき、異なるデータタイプ（アラート、インcidnet、ログ）間のイベントをマッピングおよび相関させる統一されたデータモデルを採用する。
• リモートログデータは、セキュアでプログラム可能なインターフェースを介してアクセスされ、ローカルストレージを必要とせずに取得およびインデックス化可能である。
• スケーラビリティ、拡張性、およびデプロイメントの柔軟性を実現するために、オープンソースコンポーネントをアーキテクチャで活用する。
• マルチステージ攻撃行動を検出するために、ルールベースおよびパターンマッチング技術を用いた相関ロジックを実装する。
• リアルタイム監視およびインcidnet発生後のフォレンジック分析を両立するクエリおよびレポートエンジンを提供する。

実験結果

リサーチクエスチョン

• RQ1 リモートソースからのアラート、インcidnet、および生ログデータを自動的に相関させることで、脅威検出がどの程度向上するか？
• RQ2 異種のセキュリティデータソースをスケーラブルかつ安全に統合するためのアーキテクチャ設計はどのようなものか？
• RQ3 自動相関が、インcidnet対応における手動分析作業の負担をどの程度軽減できるか？
• RQ4 このシステムは、進行中のサイバー攻撃のリアルタイムな状況認識をどの程度効果的に可能にするか？
• RQ5 このシステムは、複数組織間での脅威インテリジェンス共有のための安全で共通のリポジトリとして機能できるか？

主な発見

• UCLog+ は、アラート、インcidnet、およびリモートの生ログを効果的に相関させ、複数のデータソースにまたがるマルチステージ攻撃の検出を可能にした。
• システムは近似リアルタイムの状況認識をサポートし、セキュリティアナリストが遅延を抑えて進行中の攻撃パターンを検出できる。
• 自動相関により、データの手動による相互参照作業の必要性が低減され、運用効率が向上した。
• オープンソースツールの使用により、多様な組織環境でのデプロイおよびカスタマイズが可能になった。
• 構造的なクエリおよびレポート生成機能により、フォレンジック分析が容易になった。
• アーキテクチャは、脅威データの標準化と集中管理を通じて、組織間での安全な情報共有を可能にした。