既知の攻撃パターンと外向き通信 — 一致をどう判断するか

外向き通信のログは大量です。その中から「調べるべき通信」を絞る方法の一つが、既知の攻撃に関連する情報や振る舞いとの照合です。過去に悪用されたIPやドメインへの接続、一定間隔の短い通信、通常とは異なる宛先の増加などは、調査の入口になります。

ただし「パターンに一致した＝攻撃を検知した」とは限りません。情報は古くなり、同じ通信形状を正常なソフトウェアも示します。この記事では、既知パターンを何と照合し、結果をどう扱うかを整理します。

既知の「宛先」と「振る舞い」は別の手がかり

外向き通信から使える既知情報は、大きく2種類あります。

種類	例	強み	弱み
宛先の一致	報告済みの悪性IP・ドメイン	理由を説明しやすい	再割り当てや基盤変更で古くなる
振る舞いの一致	周期的接続、宛先数の急増、失敗の反復	未登録の宛先にも適用できる	正常通信との区別が難しい

宛先情報は一般にIOC（侵害の痕跡となり得る指標）と呼ばれます。脅威情報源から取得したIOCを通信ログと照合すれば、既知の調査対象へ接続した端末を優先できます。一方、攻撃者が宛先を変えれば一致しません。クラウドの共有IPでは、同じIPを正規サービスも使う場合があります。

振る舞いの例がC2 beaconです。侵害された端末が外部の指令元へ周期的に連絡する通信ですが、更新確認や監視も周期通信を行います。周期性だけで断定せず、宛先の初見性、時間帯、端末の役割などを重ねて判断します（C2通信とbeacon検知）。

一致後に確認する文脈

検知ルールの価値は、一致件数の多さではなく、担当者が次の確認へ進めるかで決まります。最低限、次の文脈を一緒に残します。

• どの端末・区画から、いつ発生したか
• どの情報源・どの更新日時のパターンに一致したか
• 接続は成功したか、遮断されたか、通信量はどれくらいか
• その端末にとって既知の業務宛先か、初めての宛先か
• 同時刻に端末・認証・DNSなど別のログで変化がないか

これにより、「古いリストのIPに名前解決だけ発生した」場合と、「未登録端末が初見の既知悪性宛先へ接続し、周期通信を続けた」場合を分けて扱えます。後者は優先度が高いものの、それでも隔離や遮断の前に影響範囲と誤検知の可能性を確認します。

侵入検知・防止システムの考え方、検知手法、チューニングや対応は NIST SP 800-94 にも整理されています。パターンを導入して終わりではなく、運用環境に合わせた検証と継続的な更新が前提です。

鮮度と結果を運用する

IPやドメインの評価は変化します。以前は悪用されていたIPが正規利用へ戻ることも、正規サービスが一時的に悪用されることもあります。リストには取得元、更新日時、適用日時、有効期限を持たせ、古い情報を無期限に遮断根拠として残さない設計が必要です。

検知結果にも状態を持たせます。「未確認」「業務通信として確認」「要調査」「端末隔離済み」など、誰が何を確認したかを残せば、同じ通知を繰り返し追う負担を減らせます。誤検知を除外する場合も、単にルールを無効にせず、対象・理由・期限を限定します。

さらに、既知パターンに一致しなかったことを安全の証明にしないことが重要です。未知の宛先や正規クラウドの悪用はリストに載りません。業務に必要な宛先を定義する許可リスト、初見宛先の観測、端末側のEDR、認証ログなどを組み合わせます（検知と遮断の違い）。

限界

• IOCは過去の観測に基づくため、未知の攻撃や変更直後の基盤には一致しません
• IP・ドメインは再利用・共有されます。一致だけで侵害や悪意を確定できません
• 暗号化通信でも宛先や接続の形は観測できますが、本文や送信データの内容までは分かりません
• 振る舞い検知には正常通信との重なりがあり、環境ごとの基準と誤検知レビューが必要です
• 正規の許可済みサービス内で行われる不正操作は、ネットワークの宛先照合だけでは見分けられません

まとめ

• 既知パターンには、悪性と報告された宛先と、周期性などの振る舞いがある
• 一致は侵害確定ではなく、端末・時刻・業務・他ログを調べる優先度づけに使う
• 情報源、更新日時、有効期限と、検知後の判断状態を記録する
• 誤検知の除外は対象・理由・期限を限定する
• 未知攻撃と正規基盤の悪用が残るため、許可リストや端末側対策との多層が必要

Tate（盾）は、外向き通信の観測と宛先制御を既存の防御層へ追加するアプライアンスです。できることと防げないことは設計思想・信頼性に、観測から遮断へ進む運用は導入の流れにまとめています。