EDRは「最後の砦」ではない：NDRが暴くパケットの死角と、戦うインフラの設計思想
エンドポイントセキュリティ（EDR）全盛の今、多くのアーキテクトが「エージェントさえ入れておけば勝てる」という幻想を抱いている。だが、現場で泥水をすすってきた我々なら知っているはずだ。EDRはマルウェアが実行された瞬間に悲鳴を上げる「検死官」であって、ネットワークを静かに汚染するプロの侵入者を止める防波堤にはなり得ない。
そこで浮上するのが NDR (Network Detection and Response) だ。エンドポイントの挙動に依存せず、ネットワークという「嘘をつけない物理層・トランスポート層の痕跡」をメタデータ化し、ランサムウェアの息遣いを捕まえる技術。今日は、パケットレベルの深淵を覗きながら、いかにしてこの荒波を乗りこなすか、その設計思想を紐解いていく。
—
1. パケットは嘘をつかない：NDRが捉える「静かなる異常」
ランサムウェアの攻撃者がC2サーバと通信する際、彼らは極めて狡猾だ。TLS 1.3の暗号化されたハンドシェイクの裏で、SNI（Server Name Indication）を偽装し、正規のトラフィックに擬態する。ここでEDRは「プロセス名」で判断しようとするが、NDRは「通信の挙動」で判断する。
特に注目すべきは、SYNパケットの送出頻度とRTT (Round Trip Time)のゆらぎだ。内部スキャン（横展開）を開始した端末は、カーネルのTCPバッファを枯渇させる勢いで、ランダムなIPレンジにSYNを投げつける。
カーネルレベルでのチューニングと観測の重要性
NDRを正しく機能させるには、ネットワークの可視化ポイントにおいて、TCPスタックの負荷を最適化しておく必要がある。例えば、大量の接続をさばくゲートウェイでは、tcp_max_syn_backlogを調整し、同時に監視パケットのドロップを防ぐ設定が不可欠だ。
# TCP SYNキューの長さを拡張し、スキャン検知の取りこぼしを防ぐ
sysctl -w net.ipv4.tcp_max_syn_backlog=4096
# 内部スキャン検知のためのメタデータ収集を最適化（例: eBPFを活用）
# ※実際の運用では、カーネルのkprobesを用いて各関数の呼び出し回数を計測する
# tc-ebpf等でパケットの到着間隔（Inter-arrival time）を算出するのが肝—
2. TLSハンドシェイクの「指紋」を解析する
現代のNDRは、中身を復号せずとも「暗号化の癖」でマルウェアを特定する。TLSハンドシェイクのClientHelloパケットに含まれる「暗号スイートの並び順」や「拡張フィールドの構成（JA3フィンガープリント）」は、ランサムウェア特有のライブラリ（Go言語製など）に固有のパターンを残す。
実践：JA3ハッシュによるフィルタリングの考え方
攻撃者が使用するMimikatzやCobalt Strikeのビーコンは、OS標準のブラウザとは異なる独自のTLSスタックを持つ。NDRはこれをメタデータとして抽出し、機械学習モデルで「通常の通信」と「悪意ある通信」を分類する。
- JA3:
ClientHelloのフィールド（バージョン、受け入れ可能な暗号スイート、拡張機能等）を連結してMD5ハッシュ化。 - JA3S: サーバ側の応答（
ServerHello）をハッシュ化し、通信相手の正当性を確認。
これらを組み合わせることで、たとえドメインが正規のCDNを騙っていても、通信の「足跡」が違えば即座にアラートを飛ばすことが可能になる。
—
3. ネットワークベースの防御を極限まで引き上げる
NDRを導入しても、パケットの解析に遅延（レイテンシ）が生じてはインフラアーキテクト失格だ。TCPバッファチューニングや、ヘッダー圧縮アルゴリズムの理解は、単なるパフォーマンス向上ではなく、セキュリティの「検知精度」にも直結する。
TCPバッファチューニングの極意
ネットワーク監視用のミラーポートに流れるトラフィック量が増大しても、監視用エージェント（またはTAP装置）でパケットロスを発生させてはならない。以下の設定は、高負荷時でも安定したパケットキャプチャを支えるための基本的な指針だ。
# カーネルの受信バッファサイズを最大化し、パケットロスを最小化する
sysctl -w net.core.rmem_max=16777216
sysctl -w net.core.rmem_default=16777216
# 送信キューも同様に拡張
sysctl -w net.core.wmem_max=16777216—
結論：境界防御の再定義
NDRは、従来のファイアウォールのような「門番」ではない。それは、ネットワークという血管を流れる血液（パケット）を常に分析し、わずかな血栓（異常な挙動）も見逃さない「高度な診断装置」だ。
インフラアーキテクトである我々が目指すべきは、エンドポイントが突破されることを前提とし、ネットワークレベルで「攻撃者の足音」を可視化する強固な構造だ。パケットのヘッダーに刻まれたわずかな歪みに気づくこと。それこそが、ランサムウェアという現代の疫病から、組織という巨大な身体を守る唯一の道である。
さあ、今すぐパケットキャプチャの統計を見直そう。そこに映っているのは、ただの電気信号ではない。あなたのインフラの生存率そのものなのだから。
コメント