SoftEtherトンネリングの
検出プログラム試作

情報システム解析学科

谷 研究室 相川 善弘

目次

はじめに

SoftEtherとは？

研究について

まとめ

目次

はじめに

SoftEtherとは？

研究について

まとめ

研究の目的

検出が難しいSoftEtherによる通信を，検出する方法、及び検出プログラムを実装すること

ネットワーク

インターネット

ファイヤーウォール

コンピュータ

ネットワーク

インターネット

ファイヤーウォール

コンピュータ

ネットワーク

インターネット

ファイヤーウォール

コンピュータ

インターネット

ファイヤーウォール

コンピュータ

自由な通信

インターネット

ファイヤーウォール

コンピュータ

トンネリング

インターネットなどの公衆回線綱上に，ある２点間を結ぶ閉じられた仮想的な直接通信回線を確立すること

ファイヤーウォール

ファイヤーウォール

インターネット

ネットワーク

ネットワーク

ファイヤーウォール

ファイヤーウォール

ネットワーク

ネットワーク

VPN 【Virtual Private Network】

インターネットなどを介して，離れた場所にあるコンピュータをあたかも直接接続しているかのように見せかける仮想的なネットワークのこと

目次

はじめに

SoftEtherとは？

研究について

まとめ

コンピュータ

コンピュータ

仮想LANカード

仮想LANカード

仮想HUB

見かけ上

コンピュータ

コンピュータ

仮想LANカード

仮想LANカード

仮想HUB

見かけ上

コンピュータ

コンピュータ

仮想LANカード

仮想LANカード

仮想HUB

ネットワーク上

ファイヤーウォール

ファイヤーウォール

インターネット

インターネット

コンピュータ

コンピュータ

仮想LANカード

仮想LANカード

仮想HUB

ネットワーク上

ファイヤーウォール

ファイヤーウォール

インターネット

インターネット

パケットの動き

データ

データ

TCP

データ

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

TCP

TCP

IP

IP

IP

データ

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

インターネット

アプリケーション

LANカード

OS

パケットの動き

データ

データ

TCP

データ

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

TCP

TCP

IP

IP

IP

データ

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

SoftEther

インターネット

アプリケーション

仮想LANカード

OS

パケットの動き

データ

データ

TCP

データ

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

SoftEtherデータ

SoftEtherデータ

TCP

TCP

IP

IP

IP

データ

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

SoftEther

パケットの動き

データ

データ

TCP

データ

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

TCP

IP

Ethernet

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

TCP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

IP

SoftEtherデータ

SoftEtherデータ

TCP

TCP

SoftEtherデータ

SoftEtherデータ

SoftEtherデータ

TCP

TCP

TCP

IP

IP

IP

IP

IP

IP

IP

IP

データ

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

Ethernet

SoftEther

インターネット

目次

はじめに

SoftEtherとは？

研究について

まとめ

SoftEtherの問題点

SoftEther上のTCP/IP通信は， 既存のTCP/IPネットワークの管理者が

監視したり遮断したりすることができない

SoftEther検出の準備として、

パケットモニタリングプログラムと、

パケットアナライザを作成した

分かったこと

SoftEther使用中は，443番ポート，及び7777番ポートへのTCPパケットが増加する

分かったこと

SoftEther使用中は，443番ポート，及び7777番ポートへのTCPパケットが増加する

ICMPパケット内の文字列

Keep-Alive-Packetを検知すれば良い

Snort

オープンソースの侵入検知システム

多くのOS上で動作する

#web-iis.rules

alert tcp $HOME_NET any -> $EXTERNAL_NET any:

(msg:"SoftEther VPN 1.0 Connection"; content:"Keep-Alive-Packet";

reference:bugtraq,1387; reference:arachnids,287;

classtype:attempted-admin; sid:344; rev:4;)

Snort

2005-02-07T17:02:25