通信を取りこぼさずに記録するネットワークTAPとミラーポート機器の選び方

インシデントの調査で「その時間帯の通信を見たい」となったとき、手元にパケットが残っていなければ調べようがありません。IDSやNDRを導入するときも、最初に決めるのは製品ではなく、どの回線のどの位置でパケットを取り出すかという一点です。取得点の設計を後回しにすると、検知エンジンだけ立派で入力が欠けている構成になります。

この記事は、スイッチのポートミラーリングとネットワークTAPの機構差から始めて、選定でみる軸、設置場所の決め方、クラウドと仮想環境での代替手段、保存容量の見積り、そして取得してよい通信の範囲までを、情報システム担当とSOC担当が判断できる形に並べます。製品のランキングではなく、判断の材料を示すことに徹します。記述はベンダーの公式ドキュメント、クラウド各社の公式ドキュメント、NIST、総務省、個人情報保護委員会、JPCERT/CCの公開資料で確認できた範囲に限り、確認できなかった数値は書きません。

先に、取得方式ごとの性格を一覧にします。

パケットの取得点で見える範囲が決まる仕組み#

パケットキャプチャで見えるのは、キャプチャ点を実際に通った信号だけです。当たり前の話に見えますが、設計で外しやすいのがここです。たとえば同じスイッチにつながった2台のサーバが相互に通信するとき、その通信は上位のルータを通りません。境界ルータの手前だけを取っていると、内部の横移動は一切残りません。

NISTはIDPSの設計と実装の手引きとしてSP 800-94を公開しており、ネットワーク型を含む4つの区分ごとに設計や配置、運用の考え方を扱っています。センサーの性能や検知ロジックを比べるより先に、どのリンクを見るかを決める必要があります。

NIST SP 800-94「Guide to Intrusion Detection and Prevention Systems (IDPS)」は2007年2月20日に最終版が公開された文書で、ネットワーク型、無線、ネットワーク挙動分析、ホスト型の4区分について設計や実装、設定、監視、保守の実務指針を示しています。2012年に公開されたRev.1のドラフトは最終版にならず、2022年7月の告知で取り下げが示されました。執筆時点の最終版は初版のままです。

セグメント設計とキャプチャ点の設計は表裏の関係にあります。どこに境目を作るかが決まっていないと、どこを見れば足りるかも決まりません。

あわせて読みたい

ネットワークセグメンテーションで侵入後の被害を広げない設計

ポートミラーリングが取りこぼす条件#

ポートミラーリング(ベンダーによってはSPANやモニターポートと呼びます)は、スイッチが特定ポートを通るフレームの複製を別のポートへ出す機能です。NETGEARのサポート文書も、複数の送信元ポートの入出力トラフィックを1つの宛先ポートへ複製する機能として説明しています。追加の機材を買わずに始められる点が最大の利点です。

取りこぼしが起きる理由は、この複製が本来の転送処理の付加機能として実装されているためです。スイッチにとって最優先の仕事はフレームを正しい宛先へ転送することで、複製の生成と出力はその余力で行われます。ジュニパーのJunosドキュメントは、アナライザ用の出力インタフェースが容量に達したときはパケットが破棄されること、ポートミラーリングはラインレートのトラフィックには対応しないことを明記しています。

Junosのポートミラーリング解説は、アナライザの出力インタフェースが容量に達した場合や、送信元ポートのトラフィックを処理するだけの帯域がない場合に、あふれたパケットが破棄されると記載しています。

もう一つの構造的な問題が帯域の不一致です。1Gbpsのリンクは送信方向と受信方向がそれぞれ1Gbpsあり、合計で最大2Gbpsになります。これを1Gbpsのミラーポートから出そうとすれば、単純計算で入りきりません。複数ポートを1つのミラー先へまとめる設定なら、なおさら飽和しやすくなります。

加えて、スイッチは受信時の検査で不正と判断したフレームを転送前に落とします。CRCエラーのフレームや規定長に満たないフレームは、複製の対象になる前に消えます。物理層やケーブルの不良を疑って調査しているときに、まさにその証拠がミラーポートには出てこない、という事態が起こります。

まとめると、ポートミラーリングは「平常時の切り分け」には十分ですが、「取りこぼしがないことを前提にした記録」には向きません。攻撃の痕跡を後から追う用途では、この差が効いてきます。

TAPの種類と向いている場面#

ネットワークTAP(Test Access Point)は、回線の途中に入って信号を分岐させる専用機器です。スイッチの転送処理を経由しないため、輻輳やCPU負荷の影響を受けません。用途によって4系統に分かれます。

パッシブ光TAPは、光ファイバのリンクに光スプリッタを挿入し、光の一部を監視ポートへ分けます。電源を持たない構造のため、停電しても本線は通り続けます。分岐比は本線側と監視側の配分で表され、50/50や70/30といった値が使われます。Profitapの技術解説によれば、10Gbpsを超える速度のスイッチ間リンクでは50/50が一般的で、1Gbpsや10Gbpsの構成では70/30も使われます。導入前に、送信側の出力と受信側の最小受光感度の差である光バジェットを計算し、分岐後も受信側が成立するかを確かめる必要があります。

ブレイクアウトTAPは、全二重の送信方向と受信方向を別々の監視ポートへ出します。解析機側にNICが2枚必要になる代わりに、方向ごとの帯域がそれぞれ独立して確保されるため、合流による飽和が起きません。方向を取り違えない形でそのまま記録できる点も、調査では扱いやすくなります。

アグリゲーションTAPは、送受の2方向を機器内部で1本にまとめて出力します。解析機のポートが1つで済む一方、両方向の合計が出力ポートの速度を超えると、そこで取りこぼしが発生します。1Gbpsのリンクをアグリゲーションで取るなら、出力を10Gbps側に受けるか、平常時の利用率が十分低いことを確かめてから採用します。

**インラインTAP(バイパスTAP)**は、IPSのように通信経路上へ機器を入れる構成で使います。監視機器の生死をハートビートで確認し、応答が途切れたら経路をバイパスして通信を維持するのが基本動作です。フェイルオープンで通信を優先するか、フェイルクローズで遮断を優先するかは、対象の回線の性質に合わせて決めます。業務が止まると困る回線ではフェイルオープン、外部との出入口で遮断を優先したい回線ではフェイルクローズという整理が出発点になります。

なお銅線(RJ45)のTAPには、電源が落ちたときにリンクを維持できるかどうかという論点があります。パッシブ光TAPと違い、銅線では信号の再生に電源を使う製品があるため、停電時の挙動を仕様で確認しておきます。

選定でみる軸#

製品を比べる前に、自社の条件を先に並べます。次の表の左列を埋めてから、候補の仕様書と突き合わせる進め方が早道です。

タイムスタンプは軽視されがちですが、複数の取得点を突き合わせるときに効いてきます。ソフトウェアでキャプチャすると、OSのバッファリングの分だけ実際の到着時刻からずれます。ハードウェアで到着時刻を打つ製品はこのずれを避けられます。たとえばProfitapのProfiShark 1Gは、USB 3.0接続のポータブル機でありながら、入力ポートでのハードウェアタイムスタンプとプリアンブルを含むフレーム全体の取得、CRC不正フレームの取得に対応すると製品ページで案内しています。

設置場所は、見たい活動から逆算します。境界(インターネットとの出入口)は外部との通信を押さえるのに適し、サーバ間のリンクは横移動の観測に適します。無線区間はAPの上流有線側で取るのが現実的です。優先度に迷う場合は、外部との出入口を最初に押さえ、次に重要システムが載るセグメントの上流という順で広げていく形が組みやすくなります。

クラウドと仮想環境での取得#

クラウドの仮想マシンやコンテナには、物理的な回線が存在しません。ケーブルに機器を挿す方法が使えないため、クラウド側が提供するミラーリング機能を使います。

AWSはVPC Traffic Mirroringを提供しています。Elastic Network Interfaceを流れるトラフィックを複製し、VXLANでカプセル化してミラー先へ送る仕組みです。公式ドキュメントは、送信元と送信先が同じVPC内でも、リージョン内のVPCピアリングやTransit Gateway、Gateway Load Balancerのエンドポイントを介した別VPCでも構成できるとしています。ただし送信元にできるインスタンスタイプは公式ドキュメントの「Supported instance types」節で仮想化インスタンスとベアメタルインスタンスに分けて列挙されており、ベアメタルについてはNitro v2世代のものだけが送信元として対応すると注記されています。導入前にこの一覧で自社のインスタンスファミリーが含まれるかを確認してください。

Azureはvirtual network TAPを提供しています。仮想マシンのネットワークインタフェースにTAP構成を追加し、同一または対向のピアリング先の仮想ネットワーク内のIPアドレスへトラフィックを流す構成です。公式ドキュメントは執筆時点でパブリックプレビューとしており、対応リージョンが限定されること、暗号化を有効にした仮想ネットワークの仮想マシンは送信元にできないこと、IPv6に対応しないことなどを制限として挙げています。

Google CloudはVPCのPacket Mirroringを提供しています。指定したインスタンスのトラフィックを複製し、内部パススルーネットワークロードバランサの背後に置いたコレクタへ転送する構成です。ミラー元はすべて同一のプロジェクト、VPCネットワーク、リージョンに属している必要があります。公式ドキュメントは新規構成についてNetwork Security IntegrationのPacket Mirroring(ミラーリングデプロイグループを使う方式)を推奨しており、これから設計するなら新旧どちらを使うかを最初に決めることになります。

オンプレミスの仮想化基盤では、仮想スイッチ側のミラーリング機能を使います。仕組みは物理スイッチのポートミラーリングと同じで、ホストのCPUとメモリを消費する点、負荷が高いときに取りこぼしうる点も同じです。仮想スイッチのミラーは万能ではないという前提で、ホスト間をまたぐ通信は物理側でも押さえておくと、抜けを補えます。

Google CloudのPacket Mirroringのドキュメントは、ミラー元がすべて同一プロジェクト、同一VPCネットワーク、同一リージョンにある必要があること、コレクタが内部パススルーネットワークロードバランサの背後のインスタンスグループであることを記載しています。あわせて、新規デプロイではNetwork Security Integrationのミラーリングを使うことを推奨しています。

保存容量の見積りと保管の設計#

パケットをフルで残すと、容量は素直に帯域と時間の積になります。平均スループットから概算した目安が次の表です。10進のGB(1GB = 1000MB)で計算し、カプセル化やファイル形式の付加分は含めていません。

全二重を合流させて取る場合、最大では上の表の2倍を見込みます。実際の平均利用率はリンクごとに大きく違うため、まずは既存の監視で数日分のスループットを確認し、そこから逆算するのが確実です。

容量を抑える手は3つあります。1つ目はスナップ長を絞る方法で、tcpdumpの-sやdumpcapの-sで先頭の一定バイトだけを保存します。ヘッダの分析には足りますが、ペイロードは失われます。2つ目はキャプチャフィルタで対象を絞る方法です。3つ目がリングバッファで、Wiresharkのdumpcapは-b filesize:と-b files:を組み合わせることで、指定数のファイルを使い回して古いものから上書きします。-b duration:を使えば一定時間ごとにファイルを切り替えられます。

dumpcapのマニュアルは、複数ファイルモードでファイルが満杯になると次のファイルへ切り替わること、filesオプションを併用するとリングバッファになり指定数に達した時点で最も古いファイルのデータを破棄して書き直すことを説明しています。

保管期間は、検知までにかかる時間から決めます。JPCERT/CCの「高度サイバー攻撃への対処におけるログの活用と分析方法」は、侵入から発覚までに時間がかかる前提でログの取得と保管を設計する必要性を扱っています。パケットは容量が大きく長期保管に向かないため、フローログやZeekのログのような要約データを長期に、フルパケットを短期にという二段構えが現実的です。

あわせて読みたい

ログ管理の基本。何を・どこまで・どれだけ残すか

解析ツールとの組み合わせ#

取り出したパケットをどう扱うかで、必要なポート数と機材が変わります。

tcpdumpは取得と保存に使います。-wでファイルへ書き出し、-sでスナップ長を指定し、キャプチャフィルタで対象を絞る、という基本の3つを押さえれば、調査用の記録は始められます。

Wiresharkは取得したファイルの読み解きに使います。常時稼働のキャプチャにはGUIではなく同梱のdumpcapを使う構成が扱いやすく、Wiresharkのユーザーズガイドもファイルモードとリングバッファの設定を解説しています。

Zeekは、パケットからプロトコルごとの要約ログを生成します。フルパケットを長期保管できない環境でも、接続単位の記録を残せる点が効きます。公式のBook of Zeekはクラスタ構成の組み方を扱っており、1台で処理しきれない帯域は複数のワーカーへ分散させます。取り込み方式はAF_PACKETが標準的で、Zeek 5.2以降は本体に統合されています。

Suricataは、シグネチャによる検知と、必要に応じたファイル抽出を担います。公式ドキュメントのパケットキャプチャの章は、AF_PACKETやPF_RINGでのクラスタ設定を扱っており、既定のcluster_flowは5タプルのハッシュでフローを振り分けます。同じフローが同じスレッドへ届く設計になっているため、TAPで送受を分けて取る場合は、両方向が同じ解析プロセスへ届く構成にしておく必要があります。

ここで機材選定に跳ね返るのが、ブレイクアウトTAPを選んだときの解析側の作り方です。送受が別NICに来るため、OS側でボンディングするか、ツール側で両インタフェースを同時に読む設定にします。この手間を避けたい場合はアグリゲーションTAPを選び、代わりに出力ポートの飽和に注意を払う、というトレードオフになります。

取ったパケットを実際の調査でどう使うかは、仮説を立てて探しに行く運用と組み合わせると効果が出ます。

あわせて読みたい

アラート待ちから抜け出す脅威ハンティングの始め方

取得してよい通信の範囲と社内の手続き#

パケットキャプチャは通信の内容そのものを記録する行為です。技術的に可能かどうかと、行ってよいかどうかは別の問題として扱う必要があります。

前提として、対象にできるのは自組織が管理し、取得の許可を得た回線に限られます。他人の通信を無断で取得する行為は認められません。電気通信事業者に該当する場合、電気通信事業法第4条は取扱中に係る通信の秘密を侵してはならないと定めており、第179条に罰則が置かれています。総務省のFAQも、通信の秘密が憲法第21条第2項後段で保障されるものであることを説明しています。自社が電気通信事業者に当たるかどうか、当たる場合に何が許されるかは、個別の判断が必要です。

社内ネットワークの監視についても、手続きを整えてから始めます。個人情報保護委員会のQ&Aは、従業者を対象とするモニタリングを実施する場合の留意点として、モニタリングの目的をあらかじめ特定して社内規程に定め従業者に明示すること、実施の責任者と権限を定めること、実施に関するルールを策定して運用者に徹底すること、モニタリングが適正に行われているか確認することを挙げています。あわせて、重要事項を定めるときは労働組合等へ通知して必要に応じ協議し、定めた内容は従業者へ周知することが望ましいとしています。

個人情報保護委員会のQ&Aは、従業者を対象とするビデオやオンラインによるモニタリングの実施にあたり、目的の特定と社内規程への明記、従業者への明示、責任者と権限の設定、ルールの策定と運用者への徹底、実施状況の確認を留意点として示しています。

運用面では、次の3点を最初に決めておくと後から揉めません。1つ目は保管期間と削除の手順、2つ目はキャプチャファイルへアクセスできる担当の範囲と記録の残し方、3つ目は暗号化通信を復号するかどうかとその範囲です。復号を行う場合は、対象や方法によって影響が大きく変わるため、法務や労務の担当を含めて決めます。

機材選びの候補#

以下は日本国内で入手しやすいカテゴリの例です。掲載する情報は執筆時点のもので、性能や適合性を保証するものではありません。対応速度、電源、フェイルオープンの有無、PoEパススルーの可否は、購入前に必ずメーカーの公式仕様で確認してください。

まとめ#

取得点の設計は、機材を買う前に決まる部分がほとんどです。見たい活動を先に言葉にして、そのリンクを押さえる方式を選び、取りこぼしの条件と保管の手続きまで含めて組み立てます。

取得したデータを侵害調査でどう扱うかは、フォレンジックの基本的な考え方とあわせて押さえておくと動きやすくなります。

あわせて読みたい

ログからの侵害調査（フォレンジック）の基本。証拠保全とタイムライン再構成