目次

Spurとは

Spurは、IPアドレスを単なる接続元情報として見るのではなく、その背後にあるネットワークインフラの性質を把握するためのIPインテリジェンスです。

従来の境界防御では、ファイアウォール、WAF、IDS/IPS、SIEM/XDRなどを利用して、既知の攻撃シグネチャ、不審なペイロード、異常な通信、セキュリティイベントなどを検知します。

しかし、攻撃者がVPNやレジデンシャルプロキシなどを利用すると、通信そのものは通常のアクセスに見える場合があります。

Spurは、アクセス元がVPN、レジデンシャルプロキシ、TOR、ホスティング環境などに関連しているかを可視化し、既存のセキュリティ情報だけでは判断しにくいインフラレベルのリスクを確認できるようにします。

なぜ接続元インフラの把握が重要なのか

セキュリティ対策では、これまで「通信が何をしているのか」という情報が重要な判断材料となってきました。

一方、攻撃者はVPNやプロキシなどの匿名化インフラを利用することで、接続元を隠したり、IPアドレスを頻繁に切り替えたりすることができます。

その結果、リクエストそのものには問題がなくても、実際には攻撃の一部であるケースがあります。

例えばログイン画面に対するアクセスの場合、正常なID・パスワード形式でログインを試行していれば、リクエストそのものだけから不正を判断することは困難です。

そこで必要になるのが、

「通信内容は正常に見えるが、どのようなネットワークインフラからアクセスされているのか」

という視点です。

Spurは、この接続元インフラに関する情報を既存のセキュリティ判断へ追加します。

VPN・レジデンシャルプロキシによる匿名化

商用VPN

商用VPNでは、ユーザーの通信を世界各地に配置された共有の出口ノードを経由させることができます。

VPNにはプライバシー保護など正当な利用目的がありますが、攻撃者が実際の接続地域を隠したり、IPベースの制限を回避したり、追跡を難しくしたりする目的で利用することもあります。

一方、正規ユーザーもVPNを利用するため、VPNからのアクセスをすべて遮断するとユーザー体験に影響する可能性があります。

レジデンシャルプロキシ

レジデンシャルプロキシは、一般ユーザーが利用するISP回線を経由して通信するため、セキュリティ対策上、特に判断が難しいインフラの一つです。

接続元を見るだけでは通常の家庭ユーザーからのアクセスのように見えるため、過去の悪性IP情報や単純なIPレピュテーションだけでは識別しにくい場合があります。

さらに多数の住宅IPを利用してアクセス元を分散すれば、IP単位のブロックやレート制限を回避しやすくなります。

SpurのIPインテリジェンスを利用することで、こうしたアクセスの背後にあるネットワークインフラをリスク判断の材料として利用できます。

Spurで把握できる主なインフラ情報

Spurは、アクセス元IPについて、その背後にあるインフラを理解するための情報を提供します。

確認対象	概要
VPN / Proxy	VPNやプロキシを利用した接続であるかを判断するための情報
Residential Proxy	一般のISP回線を経由するレジデンシャルプロキシに関連するインフラ情報
TOR	TOR出口ノードに関連する接続情報
Hosting Infrastructure	ホスティングプロバイダーなどのインフラに関連する情報
Mobile Proxy	モバイルネットワークを利用したプロキシに関連する情報
Connection Type / Behavior	接続タイプやインフラの振る舞いに関する情報
Infrastructure Ownership	接続元インフラの所有・運用主体を把握するための情報
Network Classification	アクセス元ネットワークを分類するための情報
Anonymization Risk	匿名化された通信に関連するリスクを判断するための情報

これらの情報により、単純に「このIPは悪性か」という判断だけではなく、どのようなネットワークインフラから通信が発生しているのかを含めてアクセスを評価できます。

既存のセキュリティ対策を補完

Spurは、WAFやSIEM/XDRなどの既存セキュリティ製品を置き換えるものではありません。

それぞれが異なる情報を確認します。

セキュリティ対策	主な役割
Firewall / WAF	通信のフィルタリング、ポリシー適用、攻撃シグネチャや不審なリクエストの検知
SIEM / XDR	複数環境からイベントを集約し、不審な行動や関連するセキュリティイベントを分析
Identity / MFA	ユーザー認証や追加認証によるアカウント保護
Spur	アクセス元IPの背後にあるネットワークインフラのコンテキストを提供

例えば、WAF上では正常に見えるログインリクエストでも、Spurの情報から接続元がレジデンシャルプロキシに関連していることが分かれば、認証時のリスク判断に追加情報を加えることができます。

SIEM/XDRのアラートにSpurのインフラ情報を組み合わせれば、SOC担当者が調査対象の優先順位を判断する際の追加コンテキストとして利用できます。

Spurの5つのユースケース

1. アカウント乗っ取りの検知

不正ログインやCredential Stuffingでは、攻撃者がレジデンシャルプロキシ、商用VPN、TORなどを利用して接続元を隠すことがあります。

例えば、アクセス地域が普段と一致し、ログイン操作そのものにも異常が見られない場合でも、接続元がレジデンシャルプロキシに関連していることが分かれば、追加の確認が必要なアクセスとして評価できます。

Spurのインフラ情報を認証リスクの判断に加えることで、追加MFA、調査対象の優先順位付けなど、より細かな対応につなげることができます。

2. 偵察・スキャン活動の検知強化

ファイアウォール、IDS/IPS、WAFなどでは、スキャンや不審なリクエストを検知できます。

しかし、少数のリクエストだけでは、単なるインターネット上のノイズなのか、攻撃前の意図的な偵察なのか判断しにくい場合があります。

Spurによって、アクセスがクラウドホスティング環境、匿名化VPN、VPS、レジデンシャルプロキシなどに関連していることを把握できれば、SOC担当者はインフラの性質も含めて調査の優先度を判断できます。

3. API不正利用・スクレイピング対策

APIへの不正アクセスやスクレイピングでは、攻撃者が大量のIPアドレスへ通信を分散させることがあります。

例えば、数千のレジデンシャルIPから少量ずつリクエストが発生すると、IPごとのアクセス数だけでは正常なユーザーと区別しにくくなります。

Spurによって、その通信がレジデンシャルプロキシ、モバイルプロキシ、商用VPN、クラウドホスティングなどに関連しているかを把握することで、WAF、API Gateway、Bot対策、レート制限などの判断を補完できます。

4. リモートアクセスの検証

リモートアクセスでは、ユーザーIDだけでなく、どのようなネットワーク環境から接続しているのかも重要なリスク情報になります。

例えば、通常は一般的なISP回線から接続しているユーザーが、突然別地域の商用VPNから重要システムへアクセスした場合、追加調査が必要なシグナルとして利用できます。

Spurのインフラ情報をIdentity Provider、EDR、UEBA、ゼロトラストなどの情報と組み合わせることで、リモートアクセス時のリスク評価を補強できます。

5. SOCのアラート優先順位付け・トリアージ

SOCでは、SIEM、XDR、WAF、EDR、Identity Securityなどから多数のアラートが発生します。

単独では重要度が低く見えるログイン失敗やAPIアクセスでも、接続元が匿名化や分散型攻撃に利用されるインフラに関連していると分かれば、調査の優先順位は変わります。

SpurのIPインテリジェンスをアラートや調査フローへ追加することで、アナリストは接続元インフラの信頼性を含めてイベントを評価できます。

SOCにおけるIPインテリジェンスの活用

SOCでは、IPアドレスを調査する際に、位置情報、ASN、VPN情報、プロキシ情報、レピュテーションなど複数の情報を確認することがあります。

こうした情報が分散していると、アナリストは複数の情報源を確認しなければならず、アラートのトリアージやインシデント調査に時間がかかります。

Spurは、接続元インフラに関するコンテキストをセキュリティ運用へ追加することで、アナリストが「この通信はどのようなインフラから発生しているのか」を把握しやすくします。

これにより、アラートの優先順位付け、調査判断、検知ルールの改善などにIPインフラ情報を活用できます。

よくある質問

Q: Spurは何をする製品ですか？

A: Spurは、IPアドレスの背後にあるネットワークインフラを可視化するIPインテリジェンスです。VPN、レジデンシャルプロキシ、TOR、ホスティング、モバイルプロキシなどに関連する情報をセキュリティ判断に利用できます。

Q: 一般的なIPレピュテーションとは何が違いますか？

A: 過去に悪性と判定されたIPだけを見るのではなく、そのIPがどのようなネットワークインフラに属しているかというコンテキストを判断材料として利用できる点が特徴です。

Q: レジデンシャルプロキシを利用したアクセスの調査に使えますか？

A: はい。Spurはレジデンシャルプロキシインフラに関する情報を提供し、通常の住宅回線に見えるアクセスについても、接続元インフラを含めて評価できるようにします。

Q: VPNを利用したアクセスはすべて遮断する必要がありますか？

A: いいえ。VPNには正当な利用目的もあります。Spurの情報は、VPNやプロキシを一律に遮断するだけではなく、他の認証情報やセキュリティシグナルと組み合わせてリスクを判断するために利用できます。

Q: アカウント乗っ取り対策に利用できますか？

A: はい。ログイン元がレジデンシャルプロキシ、商用VPN、TORなどの匿名化インフラに関連しているかを追加情報として利用し、認証リスクの判断を補強できます。

Q: API不正利用やスクレイピングにも利用できますか？

A: はい。多数のIPへ分散されたアクセスについても、背後にあるレジデンシャルプロキシ、モバイルプロキシ、商用VPN、ホスティング環境などの情報を判断材料として利用できます。

Q: SIEMやXDRの代わりになる製品ですか？

A: いいえ。SpurはSIEM、XDR、WAF、認証システムなどを置き換えるのではなく、接続元インフラのコンテキストを追加して既存のセキュリティ判断を補完するIPインテリジェンスです。

Q: SOCではどのように利用できますか？

A: アラートやログに含まれるIPアドレスについて、接続元がVPN、レジデンシャルプロキシ、TOR、ホスティングなどに関連しているかを確認し、アラートの優先順位付けや調査の判断材料として利用できます。

サマリー

Spurは、通信の内容だけでは判断しにくい接続元ネットワークインフラの実態を可視化するIPインテリジェンスです。

• 商用VPNやプロキシの利用を把握
• レジデンシャルプロキシインフラを識別
• TOR出口ノードを把握
• ホスティングプロバイダーのインフラを識別
• モバイルプロキシを把握
• 接続タイプやインフラの振る舞いを確認
• インフラの所有情報やネットワーク分類を確認
• 匿名化に関連するリスク情報をセキュリティ判断へ追加

アカウント乗っ取り、偵察・スキャン、API不正利用・スクレイピング、リモートアクセス検証、SOCのアラートトリアージなどで、WAF、SIEM/XDR、認証、ゼロトラストなど既存のセキュリティ対策を補完します。

IPアドレスを単なるログ上の接続元として扱うのではなく、「どのようなインフラから通信が発生しているのか」まで含めて判断したい組織に適したソリューションです。

メーカーの製品サイト
https://spur.us/

【言語】英語