ログ解析とトラフィック解析

　巷を騒がしている「遠隔操作ウイルス」の問題では、システムのログファイルやファイアウォールのログファイルの存在が注目された。これにより、感染後のフォレンジックだけでなく、今回の「遠隔操作ウイルス」事件のような他人を貶める攻撃に対して、無実を証明してくれる可能性もあるからだ。

　ただし、ログは攻撃の痕跡を見つけるために非常に重要だが、過去の出来事を把握することしかできない。現在起きている攻撃や侵入そのものを（ほぼ）リアルタイムで検出することは難しい。

　リアルタイムに現状を把握したいならネットワークのトラフィックを観測する必要がある。インターネットのトラフィックからパケットを収集し、ネット上ではどのような攻撃が行われているかを分析することになる。この手法は、ログ解析とともに古くから確立されているものでもある。

　一般的には、DoS攻撃のような特定の企業やWebサイト、特定IPアドレスや特定ポートに向けたものは、この手法で観測することができる。また、どの国からの攻撃が多いのか、少ないのか、急に増えていないか、などの分析にも活用されている。

組み込み機器のウイルス感染をトラフィック観測で発見する