5.4ネットワークとサーバのプロファイリング

「何が異常か」を知るには、まず「何が正常か」を知らなければなりません。プロファイリングは、正常時の振る舞いをベースラインとして測っておき、そこからの逸脱で異常を炙り出す考え方です。シグネチャ（既知の攻撃パターン）に頼る検知が未知の攻撃を取りこぼすのに対し、プロファイリングは「いつもと違う」を根拠に未知の兆候も拾えます。この節では、ネットワーク側とサーバ側で何を測るのか、その逸脱がどんな侵害を示すのかを、SOCの異常検知の判断として学びます。

5.4.1ネットワークプロファイリングの要素

• 総スループット（total throughput）＝単位時間あたりの通信量。ベースラインより急増すればデータ持ち出し（exfiltration）やDDoS、急減すればサービス障害や遮断を疑う。セッション時間（session duration）＝通信の継続時間。極端に長い/規則的なセッションはC2ビーコンの兆候になり得る。
• 使用ポート（ports used）＝通常観測されるポートの集合。ベースラインにない未知のポートや異常なポート組合せは、不正サービスやトンネリングの兆候。重要資産のアドレス空間（critical asset address space）＝守るべきサーバ群のIP範囲を把握し、そこへの/からの異常な通信を優先監視する。「どこが重要か」を定義することで検知の焦点が定まる。

5.4.2サーバプロファイリングの要素

• リスニングポート（listening ports）＝サーバが待ち受けている（LISTEN状態の）ポート集合。ベースラインにない新規のリスニングポートは、バックドアや不正サービスの強い兆候。ログイン中ユーザ/サービスアカウント（logged-in users / service accounts）＝現在ログオンしている利用者やサービス実行アカウント。想定外のアカウント・深夜の管理者ログイン・普段使われないサービスアカウントの活動は要注意。
• 実行中プロセス/タスク（running processes / tasks）＝稼働中のプロセスとスケジュールされたタスク。ベースラインにない不審なプロセス名・親子関係、見慣れない定期タスク（永続化の手口）は侵害の兆候。アプリケーション（applications）＝インストール/稼働しているソフトウェア群。承認外のアプリや改変されたバイナリは、マルウェアやポリシー違反を示す。