検出に関する議論: ディープパケット検査 vs. フローベース分析

サイバー脅威の状況は絶えず変化しており、サイバー犯罪者はネットワークの脆弱性を悪用する高度な手法を展開する一方で、組織はネットワークを保護するための新しい方法を常に模索しています。従来の境界防御が高度な脅威に対して効果を発揮しなくなるにつれて、ネットワーク検出および対応 (NDR) ソリューションの導入が、現代のサイバーセキュリティ戦略の重要な要素として注目されるようになりました。

NDR ソリューションは、さまざまな技術を活用して、ネットワーク トラフィックを継続的に監視し、悪意のあるアクティビティを検出することでセキュリティをさらに強化し、組織がより迅速かつ効果的に脅威を検出して対応できるようにします。組織のサイバー攻撃に対する防御を強化するために使用される最も有名な 2 つの技術は、ディープ パケット インスペクションとフロー ベース分析であり、それぞれに独自の利点と課題があります。

ディープパケットインスペクション

ディープ パケット インスペクション (DPI) は、ポート ミラーリング、ネットワーク タップ、またはネットワーク全体に戦略的に配置された専用の DPI センサーを通じてネットワークを通過するデータ パケットのコピーを作成し、ネットワーク トラフィックをキャプチャして、着信トラフィックと発信トラフィックを監視します。複製されたデータ ストリームは DPI ツールに送信され、DPI ツールはパケットを再構築して、ヘッダー情報やペイロードなどの内容をリアルタイムで調べ、ネットワーク上の各デバイスのデータとメタデータの詳細な分析を可能にします。

ヘッダーのみをチェックする基本的なパケット フィルタリングとは異なり、この詳細な検査機能により、DPI は異常を検出し、ポリシーを適用し、ライブ ネットワーク トラフィックに干渉することなくネットワーク セキュリティとコンプライアンスを確保できます。ネットワークを通過する各パケットの内容を検査することで、DPI は、他のセキュリティ対策では見逃される可能性のある高度な持続的脅威 (APT)、ポリモーフィック マルウェア、ゼロデイ エクスプロイトなどの高度な攻撃を検出できます。データ セクションが暗号化されていない場合、DPI は監視対象の接続ポイントの堅牢な分析に必要な豊富な情報を提供できます。

DPIの利点

• 詳細検査： DPI は、ネットワークを通過するデータの詳細な分析を提供し、トラフィックに埋め込まれたデータ流出の試みや悪意のあるペイロードを正確に検出できます。
• 強化されたセキュリティ: DPI はパケットの内容を検査することで、既知の脅威やマルウェアのシグネチャを効果的に検出し、高度なセキュリティ ポリシーを適用し、有害なコンテンツをブロックし、データ侵害を防ぐことができます。
• 規制遵守: 多くの NDR ベンダーによって広く採用されサポートされている DPI は、転送中の機密情報を監視することで、組織がデータ保護規制に準拠するのに役立ちます。

DPIの短所

• リソース集約型: DPI システムは計算負荷が高く、かなりの処理能力を必要とするため、適切に管理しないとネットワーク パフォーマンスに影響を及ぼす可能性があります。
• 暗号化されたトラフィックでは効果が限られる: DPI は暗号化されたパケットのペイロードを検査できないため、最近の攻撃者が暗号化を使用することが増えているため、その有効性が制限されます。
• プライバシーに関する懸念: パケットの内容を詳細に検査するとプライバシーの問題が発生する可能性があり、ユーザーデータを保護するために厳格な制御が必要になります。さらに、一部の DPI システムはトラフィックを復号化するため、プライバシーや法律上の複雑さが生じる可能性があります。

フローベースのメタデータ分析

DPI の制限を克服するために開発されたフローベースのメタデータ分析は、パケット内のコンテンツを検査するのではなく、ネットワーク フローに関連付けられたメタデータの分析に重点を置いています。メタデータは、ネットワーク デバイスによって直接キャプチャすることも、サードパーティのフロー データ プロバイダーを通じてキャプチャすることもできるため、パケット ペイロードを詳しく調べることなく、ネットワーク トラフィック パターンのより広いビューを提供できます。この手法では、送信元と送信先の IP アドレス、ポート番号、プロトコルの種類などの詳細を調べて、ネットワーク トラフィックのマクロ ビューを提供します。

一部のフローベースの NDR ソリューションでは、ネットワーク トラフィックの 1 ～ 3 % のみをキャプチャして分析し、代表的なサンプルを使用して通常のネットワーク動作のベースラインを生成し、悪意のあるアクティビティを示す可能性のある逸脱を特定します。この方法は、すべてのトラフィックをキャプチャして分析することが非現実的でリソースを大量に消費する大規模で複雑なネットワーク環境で特に役立ちます。さらに、このアプローチは、徹底した監視と、データ処理およびストレージに関連するオーバーヘッドのバランスを維持するのに役立ちます。

フローベース分析の利点

• 効率： DPI とは異なり、フローベースの分析ではパケット内の実際のデータを処理しないため、必要なリソースが少なくなります。これにより、スケーラビリティが向上し、ネットワーク パフォーマンスが低下する可能性が低くなります。
• 暗号化されたトラフィックの有効性: フローベースの分析では、パケット ペイロードにアクセスする必要がないため、暗号化されていてもアクセス可能なメタデータを調べることで、暗号化されたトラフィックを効果的に監視および分析できます。
• スケーラビリティ: フローベースの分析は計算要件が低いため、大規模で複雑なネットワーク全体に簡単に拡張できます。

フローベース分析の欠点

• 粒度の粗いデータ: フローベースの分析は効率的ですが、DPI に比べて詳細な情報が提供されないため、脅威の検出精度が低下する可能性があります。
• アルゴリズムへの依存: 効果的な異常検出は、メタデータを分析して脅威を識別する高度なアルゴリズムに大きく依存しており、その開発と維持は複雑になる可能性があります。
• 採用抵抗: 詳細な検査機能がないため、従来の DPI ベースのソリューションに比べて導入が遅くなる可能性があります。

ギャップを埋める

DPI とフローベース分析の両方の限界と長所を認識し、NDR ベンダーは両方の技術を統合して包括的なソリューションを提供するハイブリッド アプローチを採用するケースが増えています。このハイブリッド アプローチは、暗号化されていないトラフィックに対する DPI の詳細な検査機能と、暗号化されたデータを含む一般的なトラフィック監視に対するフローベース分析の効率性と拡張性を組み合わせることで、包括的なネットワーク カバレッジを保証します。

さらに、ベンダーは人工知能 (AI) や機械学習 (ML) などの高度なテクノロジーを組み込んで、DPI とフローベースの両方のシステムの機能を強化しています。AI と ML アルゴリズムを採用することで、NDR ソリューションは膨大な量のデータを分析し、進化する脅威を継続的に学習して適応し、シグネチャが利用可能になる前に新しい攻撃や出現する攻撃を特定し、より正確に異常を検出できます。また、誤検知や検出漏れを減らし、応答アクションを自動化することもできます。これは、ネットワーク セキュリティをリアルタイムで維持するために不可欠です。

結論

ディープ パケット インスペクションとフロー ベース分析の議論は、どちらの方法が優れているかというものではなく、ネットワーク セキュリティを強化するために、NDR フレームワーク内でそれぞれを最も効果的に活用する方法が問題となっています。サイバー脅威は進化し続けているため、高度なテクノロジーで補完された両方の手法を統合することで、堅牢なネットワーク防御のための最善の戦略が実現します。この総合的なアプローチは、各方法の長所を最大限に引き出すだけでなく、ネットワークが常に変化するサイバー脅威の状況に適応できるようにします。DPI とフロー ベース分析を AI および ML と組み合わせることで、組織は全体的なサイバー セキュリティ体制を大幅に強化し、常に進化する脅威の状況からネットワークとデータをより適切に保護できます。

次のステップ

ディープパケット検査とフローベースのメタデータ分析の議論が激化する中、特定のニーズに適した NDR ソリューションを選択するには、それぞれのアプローチの長所と限界を理解することが重要です。

詳細については、- の NDR 主要基準およびレーダー レポートをご覧ください。これらのレポートは、市場の包括的な概要を提供し、購入の決定時に考慮する必要がある基準を概説し、それらの決定基準に対する多数のベンダーのパフォーマンスを評価します。

まだ – の加入者でない場合は、こちらから登録してください。