［2020/09/11開催「IIJ Technical NIGHT vol.9」の講演資料です］ CHAGEは沢山の情報の中から少しの証拠を見つけることを手伝ってくれるグラフィカルな検索ツールです。 たくさんの情報を扱うことはCHAGEに任せ、SOCのアナリストはCHAGEが提示した情報と自らの知識を元に、インシデントの分析・判断に集中することができます。 料理人の技を支える包丁があるように、アナリストの分析を助けるためにCHAGEがあり、アナリストとCHAGEがそろうことでIIJのSOCが力を発揮できるのです。 今回はそんなCHAGEの紹介と、CHAGEを社内開発した理由に触れながら、沢山の”たずねる" を実現した CHAGEの実装についても紹介します。 ▼講演者 セキュリティ本部 セキュリティビジネス推進部 セキュリティオペレーションセンター 熊坂 駿吾

1. Copyright Internet Initiative Japan Inc.
インシデント調査システムが内製すぎる件
～ CHAGEのご紹介 ～
株式会社インターネットイニシアティブ
セキュリティ本部
熊坂 駿吾

2. Copyright Internet Initiative Japan Inc.
- くまさか (熊坂 駿吾)
- 2015年度 IIJ 新卒入社
- 2018年度 から SOC所属
自己紹介
→ CHAGE
 IIJ SOC の 業務環境運用
 IIJ SOC の 調査ツール開発

3. Copyright Internet Initiative Japan Inc.Copyright Internet Initiative Japan Inc.
CHAGE とは？

4. Copyright Internet Initiative Japan Inc.
CHAGE とは…
OSINTを支援するシステム
→ 公開情報を紐付けて、表現されていない事実を導き出す調査手法
△△ は、 □□
Gさん
○○ は、 △△
Yさん
☆☆ は、 ○○
Bさん
☆☆ は、 △△
☆☆ は、 □□
表現されていない事実

5. Copyright Internet Initiative Japan Inc.
CHAGE ができること…
事前に、次の攻撃元を予想する (ことを手伝える)
whois
whois 組織検索
IIJ SOC 「攻撃元のIPアドレス Aに関係する、
ドメインBにも目を光らせよう！」
IP アドレス A ドメインA
ドメインA
~~~
担当者氏名
代表電話番号
~~~
担当者氏名
代表電話番号
ドメインB
逆引き

6. Copyright Internet Initiative Japan Inc.
CHAGE ができること…
事前に、次の攻撃元を予想する (ことを手伝える)
B
B X Y
X Y
A
Z
A
BB
XX
YTel
・・・・・・・・
Z
・・・・・・・・

7. Copyright Internet Initiative Japan Inc.
CHAGE ができること…
事前に、次の攻撃元を予想する (ことを手伝える)
IP アドレス A
ドメインA
担当者氏名
代表電話番号
・・・・・・・・
ドメインB
・・・・・・・・

8. Copyright Internet Initiative Japan Inc.Copyright Internet Initiative Japan Inc.
それ、「dig」や「whois」を組み合わせただけでは？

9. Copyright Internet Initiative Japan Inc.
CHAGE ができること…
「dig」や、「whois」とかの組み合わせです。ただし、
数十万件の検索を20秒程度で行います。
(実際のUI)

10. Copyright Internet Initiative Japan Inc.
CHAGE ができること…
「dig」や、「whois」とかの組み合わせです。ただし、
数十万件の検索を20秒程度で行います。
(実際のUI)

11. Copyright Internet Initiative Japan Inc.Copyright Internet Initiative Japan Inc.
この速度が遅いと感じた方、いますか？

12. Copyright Internet Initiative Japan Inc.
検索システムの速度は？
Googleで、「IIJ」と調べた時の速度は…
https://www.google.com/search?q=iij
10万件辺り、概ね 0.0014秒

13. Copyright Internet Initiative Japan Inc.
検索システムの速度は？
検索エンジン 0.0014秒 / 10万件
CHAGE 10.0000秒 / 10万件
(1万件を20秒程度)

14. Copyright Internet Initiative Japan Inc.Copyright Internet Initiative Japan Inc.
CHAGE は、検索エンジンと仕組みが違う

15. Copyright Internet Initiative Japan Inc.
仕組みの違い
検索
エンジン 事前登録
DB
Internet
CHAGE
Cache
Internet
0.0014秒
(10万件辺り)
10秒
(10万件辺り)

16. Copyright Internet Initiative Japan Inc.
仕組みの違い
検索
エンジン 事前登録
DB
Internet
CHAGE
Cache
Internet
0.0014秒
(10万件辺り)
10秒
(10万件辺り)
ハンデ！！！！

17. Copyright Internet Initiative Japan Inc.
ハンデは、どのぐらい？
user@macbook ~ % time dig google.com @8.8.8.8 +short
172.217.31.174
user : 0.004s
system : 0.012s
total : 0.196s
x 10万件 = 1.9万秒
-> 約5.2時間!?

18. Copyright Internet Initiative Japan Inc.
ハンデへの対応
CHAGE
Cache
Internet
1件ずつ順番にやっては、約5.2時間
10秒
(10万件辺り)
どうにかして、10秒で終わらせてます

19. Copyright Internet Initiative Japan Inc.Copyright Internet Initiative Japan Inc.
要は、こういう話。

20. Copyright Internet Initiative Japan Inc.
「みんなでやれば怖く無い」
必要時間 : 5.2時間0.0014秒

21. Copyright Internet Initiative Japan Inc.
「みんなでやれば怖く無い」
並べて終わらせる！ （並列）
必要時間 : 1時間2分24.00028秒

22. Copyright Internet Initiative Japan Inc.
ハンデへの対応
CHAGE
Cache
Internet
10秒
(10万件辺り)
2000並列 で、 9.5秒程!!
５時間の仕事

23. Copyright Internet Initiative Japan Inc.Copyright Internet Initiative Japan Inc.
まぁ、世の中そんな甘く無いんですが。

24. Copyright Internet Initiative Japan Inc.
問題の具体例
関係性を築くために、順番に検索する
IP アドレス A
ドメインA
担当者氏名
代表電話番号
・・・・・・・・
ドメインB
・・・・・・・・

25. Copyright Internet Initiative Japan Inc.
問題の具体例
関係性を築くために、順番に検索する
0層
（対象1件）
1層
（対象2件）
2層
（対象4件）
n層
（対象2^n件）

26. Copyright Internet Initiative Japan Inc.
問題の具体例
関係性を築くために、順番に検索する
0層
（対象1件）
1層
（対象2件）
2層
（対象4件）
n層
（対象2^n件）
2層では、最大4並列しかできない！！
(1検索辺り、2件出るような場合)

27. Copyright Internet Initiative Japan Inc.
CHAGE の抱える問題を解決する方法
他にも問題は盛り沢山
• 結果がわかるまでの時間は、ツリー次第
• ツリーの場所によって、まったく同じ関係性が表示されない
• ツリーが深くなりすぎると、結果がわかるまでの時間が遅くなる
よろしい。では、 DBも内製だ
でも、全ての問題を解決する、既成RDBは見当たらない。。。

28. Copyright Internet Initiative Japan Inc.
CHAGE の抱える問題を解決する方法
問い合わせ(ASK) を 沢山(‘s) できるDBや仕組み
ASKS Framework

29. Copyright Internet Initiative Japan Inc.Copyright Internet Initiative Japan Inc.
CHAGE and ASKS
続きは、Webページで !!

30. Copyright Internet Initiative Japan Inc.
IIJ CHAGE 検索
「続きは、Webで！」
「IIJ CHAGE で、検索 検索!!」
https://eng-blog.iij.ad.jp/archives/3841
CHAGE