個別機器の監視には構造的な死角がある #

BASTIONはこれまで、機器ごとにログを分析して異常を検知してきました。ファイアウォールのポートスキャン、Webサーバーへのbot攻撃、ADの認証失敗——それぞれの機器で閾値を超えたらブロックする。

しかしこの方式では、閾値未満の攻撃を組み合わせたキャンペーンが検知できません。

この「個別では見えないが、横断すると見える」パターンを検知するために、BASTIONに多層相関エンジンを実装しました。

多層防御の構造 #

BASTIONが監視するインフラは、5つの防御層で構成されています。

従来はこの5層をそれぞれ独立して監視していました。多層相関エンジンは、全層のログを同一IPで紐づけて横断的に追跡します。

トレースの蓄積と相関 #

多層相関エンジンの核心は、攻撃元IPの「トレース（痕跡）」を層横断で蓄積する仕組みです。

15分ごとの定期分析
  → 各層のログからIPを抽出
  → トレースレジストリに「いつ、どの層で、何を検出されたか」を記録
  → 複数の層に出現するIPを自動検出
  → 閾値を超えたらキャンペーン判定 → 自動ブロック

個別の層では重大度「低」でも、複数の層にトレースが蓄積すると相関スコアが上昇し、キャンペーンとして自動ブロックが発動します。

実際のキャンペーン検知 #

多層相関エンジンを実装した直後、実際の攻撃でキャンペーン検知が発動しました。

このIPは以下の行動パターンを示していました。

どの層でも単独では「低」判定。しかし3層に同一IPが出現したことで、多層相関エンジンがキャンペーンと判定し、自動ブロックが発動しました。

なぜこれが重要なのか #

Fail2Banとの根本的な違い #

Fail2Banは優れたツールですが、単一ログファイルの閾値判定しかできません。「nginx-error.logで403が10回出たらBan」。これは1つの機器の1つのログに閉じた判断です。

多層相関エンジンは、全機器のログを横断して同一IPの行動パターンを追跡します。個別の機器では検知できない「低頻度・多層型」の攻撃キャンペーンを、ログの文脈から検知します。

接続する機器が増えるほど精度が上がる #

BASTIONに新しい機器のsyslogを接続すると、多層相関の「層」が1つ増えます。層が増えるほど、同一IPの行動パターンがより多くの角度から観測され、キャンペーン検知の精度が向上します。

これは従来の監視ツール（機器ごとに独立した分析）にはない特性です。BASTIONでは、監視対象が増えるほどシステム全体の防御力が上がる。

安全設計 #

多層相関で自動ブロックする以上、誤検知のリスク管理は重要です。

まとめ #

BASTIONに多層相関エンジンを実装し、全システムのログを横断して攻撃キャンペーンを自動検知する仕組みを構築しました。個別の機器では閾値未満の攻撃でも、複数の防御層に同一IPが出現すればキャンペーンとして判定し、自動ブロックします。

実装直後に実際の攻撃で3層横断のキャンペーン検知が発動し、概念実証が完了しました。BASTIONは「個別機器の監視ツール」から「全システム横断の攻撃キャンペーン検知エンジン」に進化しています。