IDSを使った侵入検知（９）
●侵入検知の実際（２）〜 ルールの整理
特集
特集
一度Snortを動かし始めると、外部からさまざまアクセスがあることに気づかされるだろう。同時にログも急速に増えていく。ただ、Slammerの例でも述べたように、攻撃といっても環境によっては直接影響を受けないものや、実際には無害と思われるようなアクセスも多い。このような状態でログが増えてくると、本当に危険なアクセスの情報が埋没してしまい、うっかり見落としてしまう可能性もでてくる。いわゆるノイズの問題だ。
そこで、適用するルールセットの取捨選択やルールの内容（シグネチャ）の修正が必要になってくる。
ルールセットの適用については、「IDS rules」−「Rules/Signatures」パネルのリストで行うことはすでに説明した。本稿の例では、ほぼすべてのルールをオンにしているが、ユーザ環境によっては当然必要のないルールセットもそれなりに存在する。Windowsユーザなら、設定方法のところでも若干触れているとおり、UNIX系のルールセットはオフにしてもかまわない。また、サーバを動かしていないのなら、サーバ系のルールも必要ないだろう。
このように、特定カテゴリのルールを一括してオン/オフする以外に、ルールファイルに記述してあるシグネチャを修正し個別にコントロールする方法もある。例えば、MicrosoftのSQL Serverを使ってはいるが、すでにSlammer対策を施してあるような場合、前述した「MS-SQL Worm propagation attempt」というアラートは、通常は不必要だ。しかし、SQL Serverを使っている以上は、関連ルールすべてをオフにする（sql.rulesの適用をはずす）わけにはいかない。このようなときは、該当するシグネチャのみをオフにすることで対応する。
rulesファイルを修正するというとかなり難しく感じるかもしれないが、中身はテキストファイルであり、修正自体は難しくない。該当箇所をコメントアウトするだけである。
【執筆：磯野康孝】
「無料セキュリティツールで構築するセキュアな環境 No.1」
〜ZoneAlarm−snort〜
http://shop.vagabond.co.jp/p-fss01.shtml
http://www.d-pub.co.jp/cgi-bin/bannou/shop/book_detail.cgi
（詳しくはScan本誌をご覧ください）
http://shop.vagabond.co.jp/m-ssw01.shtml
《ScanNetSecurity》
