5.4ネットワークとサーバのプロファイリング

「何が異常か」を知るには、まず「何が正常か」を知らなければなりません。プロファイリングは、正常時の振る舞いをベースラインとして測っておき、そこからの逸脱で異常を炙り出す考え方です。シグネチャ（既知の攻撃パターン）に頼る検知が未知の攻撃を取りこぼすのに対し、プロファイリングは「いつもと違う」を根拠に未知の兆候も拾えます。この節では、ネットワーク側とサーバ側で何を測るのか、その逸脱がどんな侵害を示すのかを、SOCの異常検知の判断として学びます。

5.4.1ネットワークプロファイリングの要素

• 総スループット（total throughput）＝単位時間あたりの通信量。ベースラインより急増すればデータ持ち出し（exfiltration）やDDoS、急減すればサービス障害や遮断を疑う。セッション時間（session duration）＝通信の継続時間。極端に長い/規則的なセッションはC2ビーコンの兆候になり得る。
• 使用ポート（ports used）＝通常観測されるポートの集合。ベースラインにない未知のポートや異常なポート組合せは、不正サービスやトンネリングの兆候。重要資産のアドレス空間（critical asset address space）＝守るべきサーバ群のIP範囲を把握し、そこへの/からの異常な通信を優先監視する。「どこが重要か」を定義することで検知の焦点が定まる。

5.4.2サーバプロファイリングの要素

• リスニングポート（listening ports）＝サーバが待ち受けている（LISTEN状態の）ポート集合。ベースラインにない新規のリスニングポートは、バックドアや不正サービスの強い兆候。ログイン中ユーザ/サービスアカウント（logged-in users / service accounts）＝現在ログオンしている利用者やサービス実行アカウント。想定外のアカウント・深夜の管理者ログイン・普段使われないサービスアカウントの活動は要注意。
• 実行中プロセス/タスク（running processes / tasks）＝稼働中のプロセスとスケジュールされたタスク。ベースラインにない不審なプロセス名・親子関係、見慣れない定期タスク（永続化の手口）は侵害の兆候。アプリケーション（applications）＝インストール/稼働しているソフトウェア群。承認外のアプリや改変されたバイナリは、マルウェアやポリシー違反を示す。

平日の午前、SOCのダッシュボードで、社内の会計サーバから外部への総スループットが普段の何十倍にも跳ね上がっているのに気づきました。シグネチャベースのIDSは何も鳴っていません——攻撃者は既知のマルウェアを使わず、正規のツールで静かにデータを吸い上げていたからです。ここで役立つのがプロファイリングです。あなたはまずネットワークプロファイリングのベースラインと突き合わせます。この会計サーバは普段、営業時間内に社内DBと短いセッションをやり取りするだけで、外部への大量アップロードなどあり得ない——つまりこれは明確なベースライン逸脱です。しかも通信先は重要資産アドレス空間の外にある見知らぬ海外IPで、使用ポートもベースラインにない443以外の高位ポートでした。次に対象サーバのサーバプロファイリングを確認すると、平時のベースラインには無い新規のリスニングポートが開き、深夜に作成されたサービスアカウントが、見慣れないプロセスと定期タスク（永続化）を走らせていました。個々の指標だけでは決定打に欠けても、ネットワーク側（大量アウトバウンド・未知ポート・未知宛先）とサーバ側（新規リスニングポート・不審アカウント・永続化タスク）の逸脱が符合することで、これはデータ持ち出しを伴う侵害だと高い確度で判断できます。ここで学ぶべきは、シグネチャが沈黙していても、「正常のベースラインからの逸脱」という観点を持てば未知の攻撃を捉えられるということ、そしてネットワークとサーバのプロファイルを重ね合わせると単独では曖昧な兆候が確信に変わるということです。だからこそ、平時に正確なベースラインを取っておくことがSOCの検知力そのものになります。

5.4.3この節のまとめ

• プロファイリングは正常時のベースラインを測り、そこからの逸脱で異常を検知する。シグネチャ検知が取りこぼす未知の攻撃を補える
• ネットワークプロファイリングの要素＝総スループット・セッション時間・使用ポート・重要資産アドレス空間
• サーバプロファイリングの要素＝リスニングポート・ログイン中ユーザ/サービスアカウント・実行中プロセス/タスク・アプリケーション。両者の逸脱の符合が確信を高める