「境界防御は死んだ」と嘆く前に。NDRでランサムウェアの“鼓動”を可視化せよ
ネットワークエンジニアとして現場を歩いていると、いまだに「ファイアウォールを強固にすれば安心」という幻想を抱いている担当者に遭遇する。だが、ランサムウェアはもうその壁を「穴」ではなく「素通りできる道」として見ている。
侵入を100%防ぐことが不可能である以上、我々が次に打つべき手は何か。それは、NDR（Network Detection and Response）による「ネットワークの不穏な挙動」の即時検知だ。今日は、パケットが語るランサムウェアの微かなサインを、どうやって捉え、どう遮断するか、その実務的な勘所を共有しよう。
—
1. ランサムウェアは「静かなるスキャナー」である
ランサムウェアがネットワーク内に入り込むと、彼らはまず「何がどこにあるか」を把握しようとする。SMBでのポートスキャン、ARPスキャン、あるいはActive Directoryへの不審なLDAPクエリ。これらは、通常の業務トラフィックとは明らかに異なる“異物”だ。
NDRは、ミラーポートやネットワークTAPからミラーリングされたパケットを、AI/機械学習エンジンで解析する。ここで重要なのは、単なるIPのブラックリスト照合ではない。「通信の文脈」を見ることだ。
異常検知のシーケンス（例：SMBスキャン）
攻撃者が横展開（ラテラルムーブメント）を図る際の典型的なシーケンスを見てみよう。
1. Reconnaissance (偵察): 内部ホストからサブネット全体へ向けた大量の TCP SYN パケット（ポート445などを狙い撃ち）。
2. Exploitation (脆弱性攻撃): 標的ホストへのSMBセッション確立と、ペイロード転送。
3. Exfiltration (データ持ち出し): 異常なパケット長と、普段は通信しない外部IPへのTLS通信。
—
2. NDR実装の勘所：可視化のための設定例
NDRを機能させるには、トラフィックを適切にエンジンへ流し込む必要がある。物理スイッチのミラーポート（SPAN）設定例を挙げよう。
# Cisco CatalystでのSPAN設定例
# 監視対象インターフェース（GigabitEthernet1/0/1）のトラフィックを
# セキュリティアプライアンスが接続されたGi1/0/24へミラーリングする
conf t
monitor session 1 source interface Gi1/0/1 both
monitor session 1 destination interface Gi1/0/24
endこのとき、destination先のNDRエンジンに流れるパケットは、単なる生データではない。ここで重要なのはメタデータだ。
—
3. Pythonで実装する「異常検知のトリガー」のイメージ
NDRアプライアンスが検知した後のアクションを自動化する際、インフラエンジニアはAPIを活用する。以下は、検知イベントを受け取り、EDRやFWへ遮断指示を出すスクリプトのプロトタイプだ。
import requests
# NDRからアラートを受け取ったと仮定した、自動遮断のロジック
def quarantine_host(ip_address):
# セキュリティオーケストレーターへのAPIリクエスト
url = "https://security-orchestrator.local/api/v1/isolate"
headers = {"Authorization": "Bearer YOUR_API_TOKEN", "Content-Type": "application/json"}
payload = {
"target_ip": ip_address,
"action": "isolate",
"reason": "Suspicious SMB scanning activity detected by NDR"
}
try:
response = requests.post(url, json=payload, headers=headers)
if response.status_code == 200:
print(f"成功: ホスト {ip_address} を隔離しました。")
else:
print(f"失敗: ステータスコード {response.status_code}")
except Exception as e:
print(f"エラー発生: {e}")
# 検知した悪意あるIPを即時隔離
quarantine_host("192.168.10.55")—
4. 現場でトラブルシューティングする際の心得
NDRを導入しても、誤検知（False Positive）で業務が止まっては元も子もない。もしアラートが鳴り止まないなら、以下の3点を確認してほしい。
1. パケットドロップの確認: ミラーポートの帯域が足りているか？ ifconfig や ethtool で、監視用NICの rx_dropped が増えていないかチェックする。
2. ベースラインの精査: 昨今のクラウド移行でトラフィック特性は変わる。AIが「異常」と判断する基準（ベースライン）を、定期的に再学習（Re-training）させているか？
3. 暗号化通信の壁: TLS 1.3が主流の今、パケットの中身は見えない。NDR側で「JA3フィンガープリント」などのTLSハンドシェイクの特徴量を解析できているか確認が必要だ。
最後に：ネットワークは嘘をつかない
「ネットワークは嘘をつかない」というのは、私がエンジニアとして最も信じている言葉だ。ログは改ざんできるし、エンドポイントのウイルス対策ソフトはすり抜けられる。しかし、パケットそのものを偽装するのは極めて困難だ。
NDRを単なる「監視ツール」として終わらせるな。それはあなたのネットワークの「心拍計」であり、異常を早期に察知して、インシデントが火事になる前に消し止めるための最強の武器になるはずだ。
さあ、今夜はスイッチの設定を見直し、見えないトラフィックの鼓動に耳を澄ませてみてはどうだろうか。現場からは以上だ。
コメント