JP6229504B2 - ネットワーク監視装置、監視方法及びプログラム - Google Patents

Description

本発明は、ネットワークに接続されたシステムのセキュリティ対策技術に関する。

近年、独自に開発したり、カスタマイズしたマルウェアを利用する攻撃が頻繁に行われている。特に、特定の企業を標的とする標的型攻撃の被害事例が増加している。このような事例の多くでは、企業内のユーザ端末が遠隔操作型のマルウェアに感染し、感染した端末を踏み台として、他の企業内のユーザ端末等の装置に侵入して、遠隔操作型のマルウェアに感染させる攻撃手法が利用される。

従来のネットワーク監視技術として、マルウェア毎に遠隔操作における通信の通信データのパターンを定義し、ネットワークを流れる通信データとパターンを比較してマルウェアを検知するシグネチャ方式がある。しかし、シグネチャ方式では、既に通信データのパターンが作成されているマルウェアしか検知することができず、独自に開発されたり、カスタマイズされたマルウェアは検知できない。

また、図１に示すように、あるユーザ端末を遠隔操作によって踏み台とし、他のユーザ端末に新たに遠隔操作のマルウェアを送り込んで感染させる攻撃を検知する技術（例えば非特許文献１）もある。これは、以下のような個別に見れば正常な通信が行われたことを攻撃と判断するものである。すなわち、システム外部の攻撃者端末から、ＨＴＴＰ（Hyper Text Transfer Protocol）又はＨＴＴＰＳ（HTTP Secure）で、システム内部のユーザ端末Ａへ指令を送り、ユーザ端末Ａから正常なＳＭＢ（Server Message Block）などで遠隔操作のマルウェアをユーザ端末Ｂへ送り込んで実行し、ユーザ端末Ｂから攻撃者端末に新たなコネクションが構築される、というものである。なお、コネクションを構築する手順は、例えば3 way handshakeである。

しかしながら、ユーザ端末Ｂ上で遠隔操作のマルウェアを動作させずに、ユーザ端末Ｂでコマンドやプログラムを実行して情報を奪取し、ユーザ端末Ａを経由して攻撃者端末で情報を取得するような諜報活動では、ユーザ端末Ｂから攻撃者端末への外部接続が発生しない。このため、このような諜報活動を検知できない。

山田正弘，森永正信，海野由紀，鳥居悟，武仲正彦，「組織内ネットワークにおける標的型攻撃の検知方式」，情報処理学会研究報告コンピュータセキュリティ，第６２回ＣＳＥＣ・第６回ＳＰＴ合同研究発表会，２０１３年７月

特表２００４−５３７０７５号公報 特開２００７−３２３４２８号公報 特許第４７００８８４号公報

従って、本発明の目的は、一側面としては、攻撃者の諜報活動を検出できるようにするための技術を提供することである。

本発明に係るネットワーク監視装置は、（Ａ）通信データを取得する取得部と、（Ｂ）取得された通信データが、ネットワークにおいて予め規定された範囲外からの通信であるという条件を含む第１の条件を満たす場合、送信元アドレス及び送信先アドレスとを含む外部通信データをデータ格納部に格納する外部通信特定部と、（Ｃ）取得された通信データが、予め規定された範囲内における通信又は範囲内から範囲外への通信であって且つ予め定められたサービスの開始に該当するという条件を含む第２の条件を満たす場合、取得された通信データの送信元アドレスを送信先アドレスとする外部通信データをデータ格納部において抽出し、当該外部通信データに対応付けて通信データの送信先アドレスを含むサービス開始データをデータ格納部に格納するサービス開始抽出部と、（Ｄ）取得された通信データが、予め規定された範囲内における通信又は範囲外から範囲内への通信であって且つ予め定められた操作終了に該当するという条件を含む第３の条件を満たす場合に、取得された通信データの送信元アドレス及び送信先アドレスを含む操作終了データをデータ格納部に格納する操作終了抽出部と、（Ｅ）取得された通信データが、予め規定された範囲外への通信である場合、取得された通信データの送信元アドレスを含む操作終了データをデータ格納部において抽出する関連データ抽出部と、（Ｆ）抽出された操作終了データの送信元アドレス又は送信先アドレスを含むサービス開始データに対応付けて、取得された通信データに含まれる送信先アドレス及び送信元アドレスを送信元アドレス及び送信先アドレスとして含む外部通信データがデータ格納部に格納されているという条件を含む第４の条件を満たすか判定する判定部とを有する。

一側面としては、攻撃者の諜報活動を検出できるようになる。

図１は、従来技術を説明するための図である。 図２は、システムの一例を示す図である。 図３は、第１の実施の形態に係る攻撃を検知するための観点を模式的に示す図である。 図４は、第１の実施の形態に係るネットワーク監視装置の構成例を示す図である。 図５は、第１の実施の形態に係る処理フローを示す図である。 図６は、第１の実施の形態に係る関連付けデータ格納部に格納されるデータの第１の状態例を示す図である。 図７は、第１の実施の形態に係る関連付けデータ格納部に格納されるデータの第２の状態例を示す図である。 図８は、第１の実施の形態に係る処理フローを示す図である。 図９は、第１の実施の形態に係る終了データ格納部に格納されるデータの一例を示す図である。 図１０は、判定条件を説明するための図である。 図１１は、第２の実施の形態に係る攻撃を検知するための観点を模式的に示す図である。 図１２は、第２の実施の形態に係るネットワーク監視装置の構成例を示す図である。 図１３は、第２の実施の形態に係る処理フローを示す図である。 図１４は、アウトバウンドデータ格納部に格納されるデータの一例を示す図である。 図１５は、第３の実施の形態の前提を説明するための図である。 図１６は、第３の実施の形態に係る攻撃を検知するための観点を模式的に示す図である。 図１７は、第３の実施の形態に係る攻撃を検知するための観点を模式的に示す図である。 図１８は、第３の実施の形態に係るネットワーク監視装置の構成例を示す図である。 図１９は、第３の実施の形態に係る処理フローを示す図である。 図２０は、第３の実施の形態に係るセッションデータ格納部に格納されるデータの第１の状態の例を示す図である。 図２１は、第３の実施の形態に係る処理フローを示す図である。 図２２は、第３の実施の形態に係るセッションデータ格納部に格納されるデータの第２の状態の例を示す図である。 図２３は、第４の実施の形態に係るネットワーク監視装置の構成例を示す図である。 図２４は、第４の実施の形態に係る処理フローを示す図である。 図２５は、コンピュータの機能ブロック図である。

［実施の形態１］
本実施の形態に係るシステムの概要を図２を用いて説明する。図２に示すように、インターネット１０００には、様々なサーバ２０００や攻撃者が操作する攻撃者端末２１００と、例えば企業におけるルータなどの通信装置１１００も接続されている。通信装置１１００には、ネットワーク監視装置１２００と、ユーザ端末Ａ、ユーザ端末Ｂ及び管理者端末１３００を含む複数のユーザ端末や、サーバ等が接続されている。なお、通信装置１１００は、当該通信装置１１００を介して流れる通信データ（具体的にはパケット）をミラーリングでネットワーク監視装置１２００に出力する。

本実施の形態では、踏み台となるユーザ端末Ａを遠隔操作して標的となるユーザ端末Ｂに諜報活動を行う場合、攻撃者端末２１００と、ユーザ端末Ａ、攻撃を受けるユーザ端末Ｂの間で、図３に示すような通信が発生する。

まず、攻撃者端末２１００からユーザ端末Ａに対して指令となるデータを載せた通信（すなわち第１の外部通信又はインバウンド通信（１））が発生する。これは例えばＨＴＴＰやＨＴＴＰＳでの通信である。次に、ユーザ端末Ａからユーザ端末Ｂへ、例えばＳＭＢによる通信（サービス開始（２））を行って、ユーザ端末Ｂ上でサービスを開始させる。このようにサービス開始（２）は、第１の外部通信（１）に連動して行われる（図３中のＡ）。この後、ユーザ端末Ａとユーザ端末Ｂとの間には様々な通信が長時間（例えば３０秒）に渡って行われる（図３中のＢ）。そして、このような通信による諜報活動が終了すると、ユーザ端末Ｂからユーザ端末Ａへ例えばＳＭＢで操作終了を表す通信が行われ（操作終了（３））、最後にユーザ端末Ａから攻撃者端末２１００に対して、第２の外部通信（アウトバウンド通信（４））が発生する。このように第２の外部通信（４）は、操作終了（３）に連動して行われる（図３中のＣ）。第１の外部通信、サービス開始、操作終了及び第２の外部通信はそれぞれ独立に判断すれば正常な通信であり、攻撃であるとは判定できない。

そこで、本実施の形態では、第２の外部通信から操作終了、操作終了からサービス開始、サービス開始から第１の外部通信といったように、通信を遡るような形で不当な諜報活動を検出する。なお、ＷｅｂサーバとアプリケーションサーバとＤＢサーバとを含む３層構造システムにおける１トランザクションに含まれるメッセージを解析する場合には、第１階層のＷｅｂサーバが外部のユーザ端末からのＨＴＴＰ等におけるリクエストを受信してから、その後当該リクエストに対するレスポンスを当該外部のユーザ端末へ返信するまでの間の通信を解析する。しかし、第１の外部通信（１）と第２の外部通信（４）とは、ＨＴＴＰにおけるリクエストとレスポンスというような単純な関係ではないので、そのような解析では、本実施の形態が想定するような諜報活動を検出できない。

このため、本実施の形態におけるネットワーク監視装置１２００は、図４に示すような構成を有する。すなわち、ネットワーク監視装置１２００は、通信データ取得部１２０１と、インバウンド通信抽出部１２０２と、サービス開始抽出部１２０４と、操作終了抽出部１２０５と、アウトバウンド通信抽出部１２０６と、関連データ抽出部１２０７と、ＩＰアドレスリスト格納部１２０３と、関連付けデータ格納部１２１０と、判定条件格納部１２１１と、終了データ格納部１２１２と、判定部１２０８と、出力部１２０９とを有する。

通信データ取得部１２０１は、通信装置１１００から通信データを受信する。ＩＰアドレスリスト格納部１２０３は、システム内部に属するＩＰアドレスのリストを格納する。インバウンド通信抽出部１２０２は、ＩＰアドレスリスト格納部１２０３に格納されているＩＰアドレスのリストに基づき、通信データ取得部１２０１からの通信データが第１の外部通信（すなわちインバウンド通信）に該当するか否かなどの判断を行い、第１の外部通信に該当する場合には、関連付けデータ格納部１２１０に、外部通信データを格納する。

サービス開始抽出部１２０４は、通信データ取得部１２０１からの通信データがサービス開始に該当するか否かなどの判断を行い、さらに関連する外部通信データを関連付けデータ格納部１２１０において抽出して、当該外部通信データに対応付けてサービス開始データを関連付けデータ格納部１２１０に格納する。

操作終了抽出部１２０５は、通信データ取得部１２０１からの通信データが操作終了に該当するかなどの判断を行い、操作終了に該当する場合には、操作終了データを終了データ格納部１２１２に格納する。

アウトバウンド通信抽出部１２０６は、通信データ取得部１２０１からの通信データがアウトバウンド通信に該当するか否かなどの判断を行い、通信データがアウトバウンド通信に該当する場合には、関連データ抽出部１２０７に当該通信データを出力する。

関連データ抽出部１２０７は、アウトバウンド通信に関連する操作終了データを終了データ格納部１２１２から抽出し、アウトバウンド通信データ及び操作終了データを判定部１２０８に出力する。

判定部１２０８は、アウトバウンド通信データ及び操作終了データに関連するサービス開始データ及び外部通信データを、関連付けデータ格納部１２１０から抽出し、取得されたデータが、判定条件格納部１２１１に格納されている判定条件を満たしているか否かを判定する。判定条件を満たしている場合、判定部１２０８は、諜報活動（すなわち攻撃）の検出通知を出力部１２０９に管理者端末１３００へ送信させる。判定条件格納部１２１１は、例えば通信の間隔についての条件などを表すデータなどを格納する。

次に、図５乃至図１０を用いてネットワーク監視装置１２００の処理内容について説明する。

通信データ取得部１２０１は、通信装置１１００から通信データを取得すると（図５：ステップＳ１）、通信データを、インバウンド通信抽出部１２０２、サービス開始抽出部１２０４、操作終了抽出部１２０５及びアウトバウンド通信抽出部１２０６に出力する。第２の実施の形態以降の実施の形態においては、他の抽出部に出力する場合もある。

これに対して、インバウンド通信抽出部１２０２は、通信データを受け取ると、当該通信データに係る通信が所定のインバウンド通信に該当するのか否かを判断する（ステップＳ３）。具体的には、ＨＴＴＰ又はＨＴＴＰＳのプロトコルの通信であって且つ通信データの送信元ＩＰアドレス（ＳｒｃＩＰアドレス）が、ＩＰアドレスリスト格納部１２０３に格納されるＩＰアドレスのリストに含まれない、すなわちシステム外部の装置のＩＰアドレスであるか否かを判断する。この条件を満たさない場合には、サービス開始抽出部１２０４に処理を指示する。通信データには、パケットのデータと例えば通信装置１１００又はネットワーク監視装置１２００が当該パケットを受信した時刻（通信時刻と呼ぶ）とが含まれる。

一方、通信データの送信元ＩＰアドレスがシステム外部の装置のＩＰアドレスであり且つ通信データに係る通信がＨＴＴＰ若しくはＨＴＴＰＳの通信である場合には、インバウンド通信抽出部１２０２は、着目すべき外部通信（すなわちインバウンド通信）であるので、インバウンド通信抽出部１２０２は、当該通信データの送信元ＩＰアドレス（ＳｒｃＩＰアドレス）と送信先ＩＰアドレス（ＤｓｔＩＰアドレス）と送信先ポート番号と送信元ポート番号と通信時刻とを、関連付けデータ格納部１２１０に格納する（ステップＳ５）。なお、着目すべき外部通信が検出された場合には、インバウンド通信抽出部１２０２は、サービス開始抽出部１２０４及び操作終了抽出部１２０５等の後続の抽出部に対して、今回受け取った通信データを破棄させる。

例えば、図６に示すようなデータが関連付けデータ格納部１２１０に格納される。図６の例では、送信元ＩＰアドレスと送信先ＩＰアドレスと送信先ポート番号と送信元ポート番号と通信時刻とを含む外部通信データと、送信元ＩＰアドレスと送信先ＩＰアドレスと通信時刻とを含むサービス開始データとが対応付けて格納されるようになっている。この例では、攻撃者端末２１００のＩＰアドレスが「１０．０．１．１」であり、ユーザ端末ＡのＩＰアドレスが「１９２．１６８．０．２」であり、送信先ポート番号が「４００００」であり、送信元ポート番号が「４４３」であり、通信時刻が「８：５０：０．０００」であるものとする。この段階では、サービス開始データは対応付けて登録されてはいない。

その後、例えば通信データ取得部１２０１は、処理終了が指示されているか判断し（ステップＳ１３）、処理終了が指示されていなければ、処理はステップＳ１に戻る。一方、処理終了が指示されていれば、処理を終了する。

一方、サービス開始抽出部１２０４は、インバウンド通信抽出部１２０２から処理を指示されると（ステップＳ３：Ｎｏルート）、受け取った通信データが、所定のサービス開始に係る通信データであるか否かを判断する（ステップＳ７）。

例えば、ＤＣＥ／ＲＰＣ（Distributed Computing Environment / Remote Procedure Calls） ｏｖｅｒ ＳＭＢ 又はＤＣＥ／ＲＰＣプロトコルの通信で、ＤＣＥＲＰＣヘッダ内のオプションがStartServiceWである場合に、所定のサービス開始に係る通信であると判断される。

ステップＳ７の条件を満たさない場合には、操作終了抽出部１２０５に処理を指示する。処理は端子Ａを介して図８の処理に移行する。

通信データに係る通信が所定のサービス開始に係る通信である場合には、サービス開始抽出部１２０４は、この通信データに関連する外部通信データが、関連付けデータ格納部１２１０に格納されているか否かを判断する（ステップＳ９）。なお、サービス開始が検出された場合には、サービス開始抽出部１２０４は、操作終了抽出部１２０５及びアウトバウンド通信抽出部１２０６等の後続の抽出部に対して、今回受け取った通信データを破棄させる。

この通信データの送信元ＩＰアドレス（ＳｒｃＩＰアドレス）を宛先とする外部通信データを、この通信データの通信時刻より前に遡って特定する。

この通信データの送信元ＩＰアドレス（ＳｒｃＩＰアドレス）を宛先とする外部通信データが関連付けデータ格納部１２１０において抽出できない場合には、処理はステップＳ１３に移行する。

一方、この通信データの送信元ＩＰアドレス（ＳｒｃＩＰアドレス）を宛先とする外部通信データが抽出されると、関連する外部通信データが抽出されたことになるので、サービス開始抽出部１２０４は、受け取った通信データの少なくとも送信先ＩＰアドレス（ＤｓｔＩＰアドレス）と通信時刻とを含むサービス開始データを、抽出された外部通信データに対応付けて関連付けデータ格納部１２１０に格納する（ステップＳ１１）。その後処理はステップＳ１３に移行する。

なお、図６の例で、具体的な数値が示されている行が、関連する外部通信データである場合に、図７に示すように、送信元ＩＰアドレスと、送信先ＩＰアドレスと、通信時刻とを含むサービス開始データを格納する。具体的には、図７の例では、受け取った通信データの送信元ＩＰアドレスが「１９２．１６８．０．２」で且つ送信先ＩＰアドレスが「１９２．１６８．０．３」であったので、受け取った通信データの送信先ＩＰアドレス「１９２．１６８．０．３」と送信元ＩＰアドレス「１９２．１６８．０．２」と通信時刻「８：５０：０．２００」を、サービス開始データとして格納する。送信元ＩＰアドレスは、省略可能である。

次に、端子Ａの後の処理について図８を用いて説明する。操作終了抽出部１２０５は、サービス開始抽出部１２０４からの指示に応じて、通信データ取得部１２０１からの通信データが、予め定められた操作終了に該当するか否かを判断する（ステップＳ１５）。例えば、ＤＣＥ／ＲＰＣ ｏｖｅｒ ＳＭＢ、又はＤＣＲ／ＲＰＣプロトコルの通信で、ＤＣＥＲＰＣヘッダ内のオプションがDelete Service Requestであるか否かを判定する。

このような条件を満たす場合には、操作終了抽出部１２０５は、通信データに含まれる送信元ＩＰアドレス（ＳｒｃＩＰアドレス）、送信先ＩＰアドレス（ＤｓｔＩＰアドレス）及び通信時刻を含む操作終了データを、終了データ格納部１２１２に格納する（ステップＳ１７）。

例えば図９に示されるようなデータが終了データ格納部１２１２に格納される。図９の例では、送信元ＩＰアドレス、送信先ＩＰアドレス及び通信時刻が、登録されるようになっている。

その後処理は端子Ｂを介して図５のステップＳ１３に移行する。また、操作終了抽出部１２０５は、アウトバウンド通信抽出部１２０６に、今回受け取った通信データを破棄させる。

一方、今回受け取った通信データが、所定の操作終了に該当しない場合には、操作終了抽出部１２０５は、アウトバウンド通信抽出部１２０６に処理を指示する。アウトバウンド通信抽出部１２０６は、操作終了抽出部１２０５からの指示に応じて、通信データ取得部１２０１からの通信データが、予め定められたアウトバウンド通信であるか否かを判断する（ステップＳ１９）。

具体的には、ＨＴＴＰ又はＨＴＴＰＳのプロトコルの通信であって且つ通信データの送信先ＩＰアドレス（ＤｓｔＩＰアドレス）が、ＩＰアドレスリスト格納部１２０３に格納されるＩＰアドレスのリストに含まれない、すなわちシステム外部の装置のＩＰアドレスであるか否かを判断する。

今回受け取った通信データが、予め定められたアウトバウンド通信ではない場合には、処理は端子Ｂを介して図５のステップＳ１３へ戻る。

一方、今回受け取った通信データが、予め定められたアウトバウンド通信である場合には、アウトバウンド通信抽出部１２０６は、今回受け取った通信データを関連データ抽出部１２０７に出力する。

関連データ抽出部１２０７は、今回のアウトバウンド通信に関連する操作終了データを終了データ格納部１２１２において検索し（ステップＳ２１）、該当する操作終了データが存在する場合には抽出する。具体的には、今回のアウトバウンド通信における送信元ＩＰアドレスと同一のＩＰアドレスが、送信元ＩＰアドレス又は送信先ＩＰアドレスとして含む操作終了データを検索する。複数回の通信に対応する操作終了データが抽出される場合もある。

今回のアウトバウンド通信に関連する操作終了データが終了データ格納部１２１２に格納されていない場合には（ステップＳ２３：Ｎｏルート）、処理は端子Ｂを介して図５のステップＳ１３に戻る。

一方、今回のアウトバウンド通信に関連する操作終了データが終了データ格納部１２１２に格納されている場合には（ステップＳ２３：Ｙｅｓルート）、関連データ抽出部１２０７は、今回受け取った通信データ（アウトバウンド通信の通信データ）及び関連する操作終了データを、判定部１２０８に出力する。

判定部１２０８は、今回受け取った通信データ（アウトバウンド通信の通信データ）及び関連する操作終了データに関連する、外部通信データ及びサービス開始データの組を、関連付けデータ格納部１２１０において検索し、該当する組が存在する場合には当該組のデータを抽出する（ステップＳ２５）。

具体的には、操作終了データに含まれる送信先ＩＰアドレス及び送信元ＩＰアドレスを、送信先ＩＰアドレス及び送信元ＩＰアドレスとして又は送信元ＩＰアドレス及び送信先ＩＰアドレスとして含むサービス開始データが存在するという条件が判断される。さらに、当該サービス開始データに対応付けられている外部通信データに含まれる送信元ＩＰアドレス及び送信先ＩＰアドレスが、送信先ＩＰアドレス及び送信元ＩＰアドレスとして今回受け取った通信データに含まれるという条件を満たすか否かも判断する。

そして、今回受け取った通信データ（アウトバウンド通信の通信データ）及び関連する操作終了データに関連する、外部通信データ及びサービス開始データの組が、関連付けデータ格納部１２１０において検出されなかった場合には（ステップＳ２７：Ｎｏルート）、処理は端子Ｂを介して図５のステップＳ１３に戻る。

一方、今回受け取った通信データ（アウトバウンド通信の通信データ）及び関連する操作終了データに関連する、外部通信データ及びサービス開始データの組が抽出された場合には（ステップＳ２７：Ｙｅｓルート）、判定部１２０８は、判定条件格納部１２１１に格納されている判定条件を満たす上記の組が存在するか否かを判断する（ステップＳ２９）。

判定条件は、サービス開始データの通信時刻と外部通信データの通信時刻との差（図１０のＴ１）が、例えば１０００ｍｓ以内であり、外部通信データの通信時刻と操作終了データの通信時刻との差（図１０のＴ２）が、例えば１００００ｍｓ以内であり、操作終了データの通信時刻とアウトバウンド通信の通信時刻（今回受け取った通信データの通信時刻。）との差（図１０のＴ３）が、例えば１０００ｍｓ以内である。諜報活動の時間は、一般的に様々な処理を行わせているため長くなる。

判定条件を満たすようなデータが抽出できた場合には、判定部１２０８は、アウトバウンド通信（今回受け取った通信データに係る通信）、操作終了、外部通信及びサービス開始のデータを、出力部１２０９に、例えば管理者端末１３００へ送信させることによって、諜報活動の検知を通知する（ステップＳ３１）。そして処理は端子Ｂを介して図５のステップＳ１３に戻る。なお、判定条件を満たすようなデータが抽出できなかった場合には、処理は端子Ｂを介して図５のステップＳ１３に戻る。

このような処理を行うことで、個々の通信は正常な通信でも、一連の通信から外部からの攻撃であることを検出できるようになる。

［実施の形態２］
通常業務の通信において、アウトバウンド通信の候補は多数存在することが想定され、間違ったアウトバウンド通信と操作終了を組み合わせる恐れがある。一方、遠隔操作型のマルウェアは、コネクションを維持することで、リアルタイムな遠隔操作を実現する特徴がある。このため、アウトバウンド通信を抽出する際に、アウトバウンド通信がコネクション型の通信でコネクションの継続時間が長いもの（例えば３０分以上）に限定することで、アウトバウンド通信の候補を限定し、間違ったアウトバウンド通信から通信を辿ることを防止することで、間違ったデータを検知する可能性を低下させることが可能となる。

図１１の例では、攻撃者端末２１００からユーザ端末Ａへマルウェアが入れられると、それらの間に多数の通信が行われるが、ユーザ端末Ａから攻撃者端末２１００への最初のアウトバウンド通信から継続時間Ｄが例えば３０分以上継続したコネクションについての第２のアウトバウンド通信（４）については、諜報活動の最終段階を表すアウトバウンド通信として抽出する。一方、他のサーバとユーザ端末Ａとの間にも、同じような通信が行われているが、最初のアウトバウンド通信と着目するアウトバウンド通信との継続時間Ｅが例えば３０分未満であれば、着目するアウトバウンド通信を用いて操作終了データを抽出しない。これによって諜報活動の抽出精度を高めることができるようになる。

次に、本実施の形態に係るネットワーク監視装置１２００ｂの機能ブロック図を図１２に示す。図４に示したネットワーク監視装置１２００との差は、アウトバウンドデータ格納部１２２１が導入され、アウトバウンド通信抽出部１２０６が、当該アウトバウンドデータ格納部１２２１を用いるように動作が変更されたアウトバウンド通信抽出部１２０６ｂに置換された点である。

アウトバウンド通信抽出部１２０６ｂは、最初のアウトバウンド通信を検出すると、アウトバウンドデータ格納部１２２１にコネクションを特定するためのデータを格納し、後に同一コネクションについてのアウトバウンド通信を検出すると、所定時間以上（例えば３０分以上）継続されているかを判断する。

次に、本実施の形態に係る処理フローを図１３及び図１４を用いて説明する。なお、図５に示した処理の部分については同様であるから、説明を省略する。

操作終了抽出部１２０５は、サービス開始抽出部１２０４からの指示に応じて、通信データ取得部１２０１からの通信データが、予め定められた操作終了に該当するか否かを判断する（ステップＳ５１）。例えば、ＤＣＥ／ＲＰＣ ｏｖｅｒ ＳＭＢ、又はＤＣＲ／ＲＰＣプロトコルの通信で、ＤＣＥＲＰＣヘッダ内のオプションがDelete Service Requestであるか否かを判定する。

このような条件を満たす場合には、操作終了抽出部１２０５は、通信データに含まれる送信元ＩＰアドレス（ＳｒｃＩＰアドレス）、送信先ＩＰアドレス（ＤｓｔＩＰアドレス）及び通信時刻を含む操作終了データを、終了データ格納部１２１２に格納する（ステップＳ５３）。例えば図９に示されるようなデータが終了データ格納部１２１２に格納される。

その後処理は端子Ｂを介して図５のステップＳ１３に移行する。また、操作終了抽出部１２０５は、アウトバウンド通信抽出部１２０６ｂに、今回受け取った通信データを破棄させる。

一方、今回受け取った通信データが、所定の操作終了に該当しない場合には、操作終了抽出部１２０５は、アウトバウンド通信抽出部１２０６ｂに処理を指示する。アウトバウンド通信抽出部１２０６ｂは、操作終了抽出部１２０５からの指示に応じて、通信データ取得部１２０１からの通信データが、予め定められたアウトバウンド通信であるか否かを判断する（ステップＳ５５）。

具体的には、ＨＴＴＰ又はＨＴＴＰＳのプロトコルの通信であって且つ通信データの送信先ＩＰアドレス（ＤｓｔＩＰアドレス）が、ＩＰアドレスリスト格納部１２０３に格納されるＩＰアドレスのリストに含まれない、すなわちシステム外部の装置のＩＰアドレスであるか否かを判断する。

今回受け取った通信データが、予め定められたアウトバウンド通信に該当しない場合には、処理は端子Ｂを介して図５のステップＳ１３へ戻る。

一方、今回受け取った通信データが、予め定められたアウトバウンド通信に該当する場合には、アウトバウンド通信抽出部１２０６ｂは、今回受け取った通信データのコネクションと同一のコネクションについてのデータが、アウトバウンドデータ格納部１２２１に蓄積されているか否かを判断する（ステップＳ５７）。例えば、送信先ＩＰアドレスと、送信元ＩＰアドレスと、ＴＣＰ（Transmission Control Protocol）送信元ポート番号と、ＴＣＰ送信先ポート番号とが一致する場合に、同一コネクションと判断される。

今回受け取った通信データのコネクションと同一のコネクションについてのデータが、アウトバウンドデータ格納部１２２１に蓄積されていない場合には、アウトバウンド通信抽出部１２０６ｂは、今回受け取った通信データのコネクションデータを、アウトバウンドデータ格納部１２２１に格納する（ステップＳ５９）。そして処理は端子Ｂを介して図５のステップＳ１３に移行する。

例えば図１４に示すようなデータが、アウトバウンドデータ格納部１２２１に格納される。図１４の例では、送信元ＩＰアドレスと、送信先ＩＰアドレスと、送信先ポート番号と、送信元ポート番号と、最初に検出した通信時刻である開始時刻と、同一コネクションについてのアウトバウンド通信が検出された場合における当該通信データの通信時刻である更新時刻とが登録されるようになっている。初期的には、開始時刻と更新時刻とは同じである。

一方、今回受け取った通信データのコネクションと同一のコネクションについてのデータが、アウトバウンドデータ格納部１２２１に蓄積されている場合には、アウトバウンド通信抽出部１２０６ｂは、今回受け取った通信データの通信時刻を、当該コネクションデータについての更新時刻として登録する共に、コネクション継続時間が所定時間以上であるか否かを判断する（ステップＳ６１）。更新時刻−開始時刻が、例えば３０分以上であるか否かを判断する。

コネクション継続時間が所定時間未満であれば、処理は端子Ｂを介して図５のステップＳ１３に戻る。

一方、コネクション継続時間が所定時間以上であれば、今回受け取った通信データを、関連データ抽出部１２０７に出力する。

関連データ抽出部１２０７は、今回のアウトバウンド通信に関連する操作終了データを終了データ格納部１２１２において検索し、該当する操作終了データが存在する場合には抽出する（ステップＳ６３）。具体的には、今回のアウトバウンド通信における送信元ＩＰアドレスと同一のＩＰアドレスが、送信元ＩＰアドレス又は送信先ＩＰアドレスとして含む操作終了データを検索する。複数回の通信に対応する操作終了データが抽出される場合もある。

今回のアウトバウンド通信に関連する操作終了データが終了データ格納部１２１２に格納されていない場合には（ステップＳ６５：Ｎｏルート）、処理は端子Ｂを介して図５のステップＳ１３に戻る。

一方、今回のアウトバウンド通信に関連する操作終了データが終了データ格納部１２１２に格納されている場合には（ステップＳ６５：Ｙｅｓルート）、関連データ抽出部１２０７は、今回受け取った通信データ（アウトバウンド通信の通信データ）及び関連する操作終了データを、判定部１２０８に出力する。

判定部１２０８は、今回受け取った通信データ（アウトバウンド通信の通信データ）及び関連する操作終了データに関連する、外部通信データ及びサービス開始データの組を、関連付けデータ格納部１２１０において検索し、該当する組が存在する場合には当該組のデータを抽出する（ステップＳ６７）。

具体的には、操作終了データに含まれる送信先ＩＰアドレス及び送信元ＩＰアドレスを、送信先ＩＰアドレス及び送信元ＩＰアドレスとして又は送信元ＩＰアドレス及び送信先ＩＰアドレスとして含むサービス開始データが存在するという条件が判断される。さらに、当該サービス開始データに対応付けられている外部通信データに含まれる送信元ＩＰアドレス及び送信先ＩＰアドレスが、送信先ＩＰアドレス及び送信元ＩＰアドレスとして今回受け取った通信データに含まれるという条件を満たすか否かも判断する。

そして、今回受け取った通信データ（アウトバウンド通信の通信データ）及び関連する操作終了データに関連する、外部通信データ及びサービス開始データの組が、関連付けデータ格納部１２１０において検出されなかった場合には（ステップＳ６９：Ｎｏルート）、処理は端子Ｂを介して図５のステップＳ１３に戻る。

一方、今回受け取った通信データ（アウトバウンド通信の通信データ）及び関連する操作終了データに関連する、外部通信データ及びサービス開始データの組が抽出された場合には（ステップＳ６９：Ｙｅｓルート）、判定部１２０８は、判定条件格納部１２１１に格納されている判定条件を満たす上記の組が存在するか否かを判断する（ステップＳ７１）。判定条件は、第１の実施の形態と同様である。すなわち、サービス開始データの通信時刻と外部通信データの通信時刻との差（図１０のＴ１）が、例えば１０００ｍｓ以内であり、外部通信データの通信時刻と操作終了データの通信時刻との差（図１０のＴ２）が、例えば１００００ｍｓ以内であり、操作終了データの通信時刻と外部接続（アウトバウンド通信。今回受け取った通信データの通信時刻。）の通信時刻との差（図１０のＴ３）が、例えば１０００ｍｓ以内である。諜報活動の時間は、一般的に様々な処理を行わせているため長くなる。

判定条件を満たすようなデータが抽出できた場合には、判定部１２０８は、アウトバウンド通信（今回受け取った通信データに係る通信）、操作終了、外部通信及びサービス開始のデータを、出力部１２０９に、例えば管理者端末１３００へ送信させることによって、諜報活動の検知を通知する（ステップＳ７３）。そして処理は端子Ｂを介して図５のステップＳ１３に戻る。なお、判定条件を満たすようなデータが抽出できなかった場合には、処理は端子Ｂを介して図５のステップＳ１３に戻る。

このような処理を行うことで、より確からしいアウトバウンド通信から、諜報活動を検出でき、諜報活動の検出精度を高めることができる。

［実施の形態３］
操作終了に対応する通信は、諜報活動において実行するコマンドやプログラム、または標的となるユーザ端末ＢのＯＳ（Operating System）のバージョンや設定によって異なる。よって、間違った操作終了データを選択すると、攻撃とは無関係なアウトバウンド通信を組み合わせたり、攻撃に関連するアウトバウンド通信が候補として組み合わせできなくなる恐れがある。

攻撃においては、操作が終了した時点での操作終了通信の直後に、操作の実行結果であるアウトバウンド通信が発生する。そして、操作終了通信の後に、踏み台となったユーザ端末Ａから標的であるユーザ端末Ｂに張られたＳＭＢのセッションが終了する。このとき、セッション終了の通信とアウトバウンド通信の発生順序は、ネットワーク環境や踏み台の状況、遠隔操作マルウェアの実装などの多様な条件で入れ替わる可能性があり、一意に定義できない。

例えば図１５に示すように、踏み台であるユーザ端末Ａと標的であるユーザ端末Ｂとの間の通信を監視して、サービス開始から、予め定められた操作終了候補（例えばＳＭＢの場合には、ControlService、DeleteServiceW、Close Response）を抽出する。そして、操作終了候補に該当する通信が発生する毎に、当該最新の操作終了候補で更新する。

通信全体を見ると、図１６で示すように、攻撃者端末２１００及び他のサーバＡ及びＢからのインバウンド通信が記録され、サービス開始も記録されるが、本実施の形態では、上で述べたとおり操作終了候補が検出される毎に当該操作終了候補が記録される。その間も、攻撃者端末２１００及び他のサーバＡ及びＢへのアウトバウンド通信が検出されるが、セッション切断（例えばＳＭＢのTree Disconnect）を検出するまでは、いずれを選択するかは定まらない。このセッション切断が検出されると、最新の操作終了候補が選択されて、最新の操作終了候補から所定時間以内の、攻撃者端末２１００へのアウトバウンド通信（４）が選択される。そして、このような最新の操作終了候補及びアウトバウンド通信に関連するサービス開始データ及び外部通信を抽出するようにする。

なお、最新の操作終了候補の発生後、所定時間以内にアウトバウンド通信が検出されない場合には、攻撃とは判断されない。また、図１７に模式的に示すように、最も古い操作終了候補が検出された後、アウトバウンド通信が発生せずに、セッション切断まで至る場合には、セッション切断後のアウトバウンド通信を用いて操作終了候補を抽出し、さらにサービス開始及び外部通信を抽出することになる。

次に、本実施の形態に係るネットワーク監視装置１２００ｃを図１８に示す。本実施の形態に係るネットワーク監視装置１２００ｃは、図４に示したネットワーク監視装置１２００とは、以下の点で異なる。すなわち、セッション終了抽出部１２１４とセッションデータ格納部１２１３と操作終了判定部１２１５とを新たに導入し、終了データ格納部１２１２を除外したものである。また、操作終了抽出部１２０５ｃについては、その処理内容に変更がある。

操作終了抽出部１２０５ｃは、操作終了候補を検出し、セッションデータ格納部１２１３に格納し、同一セッションについての操作終了候補が新たに検出されると、セッションデータ格納部１２１３を更新する。セッション終了抽出部１２１４は、セッション終了に該当する通信データを検出すると、セッションデータ格納部１２１３にセッション終了を表すデータを格納する。アウトバウンド通信抽出部１２０６は、予め定められたアウトバウンド通信を検出すると、関連データ抽出部１２０７に処理を指示する。関連データ抽出部１２０７は、セッションデータ格納部１２１３から、アウトバウンド通信に関連する操作終了データを検索して、最新の操作終了候補についての操作終了データを抽出する。

操作終了判定部１２１５は、関連データ抽出部１２０７によって操作終了データが抽出され、当該操作終了データに対応付けてセッション終了を表すデータが格納されていなければ、今回のアウトバウンド通信のデータを操作終了データに対応付けてセッションデータ格納部１２１３に格納する。なお、既にセッション終了を表すデータが格納されていれば、操作終了判定部１２１５は、判定部１２０８に処理を指示する。

セッション終了抽出部１２１４は、アウトバウンド通信のデータが操作終了候補についての操作終了データに対応付けて格納されている状態で、セッション終了を検出すると、判定部１２０８に処理を指示する。

次に、図１９乃至図２２を用いて、本実施の形態に係る処理フローを説明する。なお、図５に示した処理の部分については同様であるから、説明を省略する。

操作終了抽出部１２０５ｃは、サービス開始抽出部１２０４からの指示に応じて、通信データ取得部１２０１からの通信データが、予め定められた操作終了候補に該当するか否かを判断する（ステップＳ８１）。例えば、ＤＣＥ／ＲＰＣ ｏｖｅｒ ＳＭＢ、又はＤＣＲ／ＲＰＣプロトコルの通信で、ＤＣＥＲＰＣヘッダ内のオプションがControlService、DeleteServiceW、Closeであるか否かを判定する。

今回受け取った通信データが予め定められた操作終了候補に該当する場合は、操作終了抽出部１２０５ｃは、今回受け取った通信データと同じコネクション（送信元ＩＰアドレス及び送信先ＩＰアドレスの組み合わせ）についてのデータを、セッションデータ格納部１２１３において検索する（ステップＳ８３）。

今回受け取った通信データと同じコネクションについてのデータが、セッションデータ格納部１２１３に存在しない場合には（ステップＳ８５：Ｎｏルート）、操作終了抽出部１２０５ｃは、送信元ＩＰアドレス、送信先ＩＰアドレス及び通信時刻を、セッションデータ格納部１２１３に格納する（ステップＳ８９）。そして処理は端子Ｂを介して図５のステップＳ１３に戻る。

例えば、セッションデータ格納部１２１３には図２０に示すようなデータが格納される。図２０の例では、操作終了データと関係するアウトバウンド通信のデータを格納するようになっている。操作終了データは、送信元ＩＰアドレスと、送信先ＩＰアドレスと、通信時刻と、セッション終了か否かを表す確定フラグ（確定又は候補）とを含む。また、アウトバウンド通信のデータは、送信元ＩＰアドレスと、送信先ＩＰアドレスと、通信時刻とを含む。

一方、今回受け取った通信データと同じコネクションについてのデータが、セッションデータ格納部１２１３に存在する場合には（ステップＳ８５：Ｙｅｓルート）、操作終了抽出部１２０５ｃは、今回受け取った通信データによって、同一コネクションについての操作終了データを更新する（ステップＳ８７）。

ステップＳ８７又はＳ８９の後に、操作終了抽出部１２０５ｃは、セッション終了抽出部１２１４及びアウトバウンド通信抽出部１２０６に対して、今回受け取った通信データを廃棄させる。

また、今回受け取った通信データが予め定められた操作終了候補に該当しない場合は、操作終了抽出部１２０５ｃは、セッション終了抽出部１２１４に処理を指示する。

セッション終了抽出部１２１４は、操作終了抽出部１２０５ｃから指示されると、今回受け取った通信データが予め定められたセッション終了に該当するか否かを判断する（ステップＳ９１）。上で述べたとおり、例えばＳＭＢのTree Disconnectであるか否かを判断する。

今回受け取った通信データが予め定められたセッション終了に該当しない場合には、セッション終了抽出部１２１４は、アウトバウンド通信抽出部１２０６に処理を指示する。処理は端子Ｃを介して図２１の処理に移行する。

一方、今回受け取った通信データが予め定められたセッション終了に該当する場合には、セッション終了抽出部１２１４は、セッションデータ格納部１２１３において、関連する操作終了候補の操作終了データを検索する（ステップＳ９３）。具体的には、今回受け取った通信データの送信元ＩＰアドレス及び送信先ＩＰアドレスの組（送信元と送信先とが入れ替わっているものを含む）を含む操作終了データを検索する。なお、セッション終了抽出部１２１４は、アウトバウンド通信抽出部１２０６に通信データを破棄させる。

関連する操作終了候補が抽出されない場合には（ステップＳ９５：Ｎｏルート）、処理は端子Ｂを介して図５のステップＳ１３に戻る。

一方、関連する操作終了候補が抽出された場合には（ステップＳ９５：Ｙｅｓルート）、セッション終了抽出部１２１４は、関連する操作終了候補の確定フラグを「確定」に設定する（ステップＳ９７）。さらに、セッション終了抽出部１２１４は、セッションデータ格納部１２１３において、アウトバウンド通信のデータが、確定となった操作終了候補に対して対応付けられているか判断する（ステップＳ９９）。図１６を用いて説明したケースの場合には、セッション終了（Ｔｒｅｅ切断）が検出された際には既にアウトバウンド通信のデータが操作終了データに対応付けてセッションデータ格納部１２１３に格納されている。

従って、アウトバウンド通信のデータが、確定となった操作終了候補に対して対応付けられている場合には、セッション終了抽出部１２１４は、判定部１２０８に対して処理を指示する。処理は端子Ｄを介して図２１の処理に移行する。

一方、アウトバウンド通信のデータが、確定となった操作終了候補に対して対応付けられていない場合には、処理は端子Ｂを介して図５のステップＳ１３に移行する。

図２１の処理の説明に移行して、アウトバウンド通信抽出部１２０６は、セッション終了抽出部１２１４からの指示に応じて、通信データ取得部１２０１からの通信データが、予め定められたアウトバウンド通信であるか否かを判断する（ステップＳ１０１）。

具体的には、ＨＴＴＰ又はＨＴＴＰＳのプロトコルの通信であって且つ通信データの送信先ＩＰアドレス（ＤｓｔＩＰアドレス）が、ＩＰアドレスリスト格納部１２０３に格納されるＩＰアドレスのリストに含まれない、すなわちシステム外部の装置のＩＰアドレスであるか否かを判断する。

今回受け取った通信データが、予め定められたアウトバウンド通信ではない場合には、処理は端子Ｂを介して図５のステップＳ１３へ戻る。

一方、今回受け取った通信データが、予め定められたアウトバウンド通信である場合には、アウトバウンド通信抽出部１２０６は、今回受け取った通信データを関連データ抽出部１２０７に出力する。

関連データ抽出部１２０７は、今回のアウトバウンド通信に関連する操作終了データをセッションデータ格納部１２１３において検索し（ステップＳ１０３）、該当する操作終了データが存在する場合には抽出する。具体的には、今回のアウトバウンド通信における送信元ＩＰアドレスと同一のＩＰアドレスを、送信元ＩＰアドレス又は送信先ＩＰアドレスとして含む操作終了データを検索する。複数回の通信に対応する操作終了データが抽出される場合もある。

今回のアウトバウンド通信に関連する操作終了データがセッションデータ格納部１２１３に格納されていない場合には（ステップＳ１０５：Ｎｏルート）、処理は端子Ｂを介して図５のステップＳ１３に戻る。

一方、今回のアウトバウンド通信に関連する操作終了データがセッションデータ格納部１２１３に格納されている場合には（ステップＳ１０５：Ｙｅｓルート）、関連データ抽出部１２０７は、今回受け取った通信データ（アウトバウンド通信の通信データ）及び関連する操作終了データを、操作終了判定部１２１５に出力する。

操作終了判定部１２１５は、関連する操作終了データの確定フラグが「確定」に設定されているか否かを判断する（ステップＳ１０７）。図１６を用いて説明したケースの場合には、確定フラグが「確定」に設定される前に、アウトバウンド通信が検出される。すなわち、関連する操作終了データの確定フラグが「確定」に設定されていない場合には、操作終了判定部１２１５は、関連する操作終了データに対応付けて、アウトバウンド通信の送信元ＩＰアドレス、送信先ＩＰアドレス及び通信時刻を、セッションデータ格納部１２１３に格納する（ステップＳ１０９）。同一操作終了データに対応付けて複数回分のアウトバウンド通信のデータが格納される場合もある。そして、処理は端子Ｂを介して図５のステップＳ１３に移行する。

図２２に示すように、３行目の操作終了データに関連するアウトバウンド通信が検出されると、送信元ＩＰアドレス、送信先ＩＰアドレス及び通信時刻を、アウトバウンド通信のデータに対応付けて格納する。このような状態に遷移した後に、処理がステップＳ９９に移行すると、端子Ｄを介して処理がステップＳ１１１に移行する。

一方、関連する操作終了データの確定フラグが「確定」に設定されている場合には、図２２の１行目のように、これ以前に操作終了データに関連するアウトバウンド通信が検出されなかったことになる。そこで、この場合には、操作終了判定部１２１５は、今回受け取った通信データ（アウトバウンド通信のデータ）及び関連する操作終了データを、判定部１２０８に出力する。

判定部１２０８は、今回受け取った通信データ又は対応付けられているアウトバウンド通信の通信データ及び関連する操作終了データに関連する、外部通信データ及びサービス開始データの組を、関連付けデータ格納部１２１０において検索し、該当する組が存在する場合には当該組のデータを抽出する（ステップＳ１１１）。

具体的には、操作終了データに含まれる送信先ＩＰアドレス及び送信元ＩＰアドレスを、送信先ＩＰアドレス及び送信元ＩＰアドレスとして又は送信元ＩＰアドレス及び送信先ＩＰアドレスとして含むサービス開始データが存在するという条件が判断される。さらに、当該サービス開始データに対応付けられている外部通信データに含まれる送信元ＩＰアドレス及び送信先ＩＰアドレスが、送信先ＩＰアドレス及び送信元ＩＰアドレスとしてアウトバウンド通信の通信データに含まれるという条件を満たすか否かも判断する。

そして、アウトバウンド通信の通信データ及び関連する操作終了データに関連する、外部通信データ及びサービス開始データの組が、関連付けデータ格納部１２１０において検出されなかった場合には（ステップＳ１１３：Ｎｏルート）、処理は端子Ｂを介して図５のステップＳ１３に戻る。

一方、アウトバウンド通信の通信データ及び関連する操作終了データに関連する、外部通信データ及びサービス開始データの組が抽出された場合には（ステップＳ１１３：Ｙｅｓルート）、判定部１２０８は、判定条件格納部１２１１に格納されている判定条件を満たす上記の組が存在するか否かを判断する（ステップＳ１１５）。

判定条件は、サービス開始データの通信時刻と外部通信データの通信時刻との差（図１０のＴ１）が、例えば１０００ｍｓ以内であり、外部通信データの通信時刻と操作終了データの通信時刻との差（図１０のＴ２）が、例えば１００００ｍｓ以内であり、操作終了データの通信時刻と外部接続（アウトバウンド通信。今回受け取った通信データの通信時刻。）の通信時刻との差（図１０のＴ３）が、例えば１０００ｍｓ以内である。諜報活動の時間は、一般的に様々な処理を行わせているため長くなる。

判定条件を満たすようなデータが抽出できた場合には、判定部１２０８は、アウトバウンド通信（今回受け取った通信データに係る通信）、操作終了、外部通信及びサービス開始のデータを、出力部１２０９に、例えば管理者端末１３００へ送信させることによって、諜報活動の検知を通知する（ステップＳ１１７）。そして処理は端子Ｂを介して図５のステップＳ１３に戻る。なお、判定条件を満たすようなデータが抽出できなかった場合には、処理は端子Ｂを介して図５のステップＳ１３に戻る。

このような処理を行うことで、実態に即した諜報活動を検出できるようになる。

［実施の形態４］
第３の実施の形態では、特定のＳＭＢコマンドや特定のＤＣＥＲＰＣのオプションで操作終了候補を定義したが、コマンドやプログラムがエラー終了する場合には、操作中や操作の前後に頻出するＳＭＢコマンドの通信の後に、アウトバウンド通信が発生してＳＭＢのセッションが終了する。

本実施の形態では、操作の前後や操作中に頻出するＳＭＢコマンドであっても、ＳＭＢ通信のステータスを監視し、ステータスがエラーの場合には、操作終了候補に含めるようにする。これによって、適切な操作終了を選択することで、攻撃と無関係なアウトバウンド通信の候補を組み合わせたり、攻撃に関係するアウトバウンド通信が候補として組み合わせできなくなる可能性を低下させることができるようになる。

このような処理を行うためのネットワーク監視装置１２００ｄを、図２３に示す。図１８に示したネットワーク監視装置１２００ｃとの差は、異常終了抽出部１２１６を新たに追加した点と、操作終了抽出部１２０５ｄを用いる点が異なる。異常終了抽出部１２１６は、通信データが、ＳＭＢプロトコルの通信で、ＳＭＢコマンドの実行ステータスがエラーであることを表しているか否かを判定する。操作終了抽出部１２０５ｄは、異常終了抽出部１２１６とのインターフェースが追加されている。

次に、本実施の形態に係るネットワーク監視装置１２００ｄの処理フローを図２４に示す。基本的には、第３の実施の形態に係る図１９と同様の処理フローであるが、操作終了抽出部１２０５ｄが、今回受け取った通信データが予め定められた操作終了候補に該当しないと判断すると、操作終了抽出部１２０５ｄは、異常終了抽出部１２１６に対して今回受け取った通信データを出力して処理を指示する。異常終了抽出部１２１６は、今回受け取った通信データが、コマンド異常終了に該当するか否かを判断する（ステップＳ１００）。上で述べたように、例えば、ＳＭＢプロトコルの通信で、ＳＭＢコマンドの実行ステータスがエラーであることを表しているか否かを判定する。異常終了抽出部１２１６は、この判定結果を操作終了抽出部１２０５ｄに出力する。

今回受け取った通信データがコマンド異常終了に該当する場合には、処理はステップＳ８３に移行する。一方、今回受け取った通信データがコマンド異常終了に該当しない場合には、処理はステップＳ９１に移行する。

その他の部分については、第３の実施の形態と同様であるから説明を省略する。

なお、操作終了候補についての条件に、コマンド異常終了の条件を含めるようにしても同様の処理結果が得られる。

以上本発明の実施の形態を説明したが、本発明はこれらの実施の形態に限定されるものではない。例えば、処理フローについては、処理結果が変わらない限り、処理の順番を入れ替えたり、一部の処理を並列実行するようにしても良い。

また、ネットワーク監視装置１２００の機能ブロック構成は、プログラムモジュール構成とは一致しない場合もある。データ格納部の構成についても同様にファイル構成と一致しない場合もある。

さらに、ネットワーク監視装置１２００等は、１台のコンピュータではなく、複数のコンピュータで実現される場合もある。また、ユーザ端末Ｂは、ユーザ端末Ａを含むシステム外の装置であることもある。

なお、上で述べたネットワーク監視装置１２００等は、コンピュータ装置であって、図２５に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本技術の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

以上述べた本実施の形態をまとめると、以下のようになる。

本実施の形態に係るネットワーク監視装置は、（Ａ）通信データを取得する取得部と、（Ｂ）取得された通信データが、ネットワークにおいて予め規定された範囲外からの通信であるという条件を含む第１の条件を満たす場合、送信元アドレス及び送信先アドレスとを含む外部通信データをデータ格納部に格納する外部通信特定部と、（Ｃ）取得された通信データが、予め規定された範囲内における通信又は範囲内から範囲外への通信であって且つ予め定められたサービスの開始に該当するという条件を含む第２の条件を満たす場合、取得された通信データの送信元アドレスを送信先アドレスとする外部通信データをデータ格納部において抽出し、当該外部通信データに対応付けて通信データの送信先アドレスを含むサービス開始データをデータ格納部に格納するサービス開始抽出部と、（Ｄ）取得された通信データが、予め規定された範囲内における通信又は範囲外から範囲内への通信であって且つ予め定められた操作終了に該当するという条件を含む第３の条件を満たす場合に、取得された通信データの送信元アドレス及び送信先アドレスを含む操作終了データをデータ格納部に格納する操作終了抽出部と、（Ｅ）取得された通信データが、予め規定された範囲外への通信である場合、取得された通信データの送信元アドレスを含む操作終了データをデータ格納部において抽出する関連データ抽出部と、（Ｆ）抽出された操作終了データの送信元アドレス又は送信先アドレスを含むサービス開始データに対応付けて、取得された通信データに含まれる送信先アドレス及び送信元アドレスを送信元アドレス及び送信先アドレスとして含む外部通信データがデータ格納部に格納されているという条件を含む第４の条件を満たすか判定する判定部とを有する。

このような処理を行うことによって、踏み台となる装置から標的となる装置への諜報活動が行われているような場合をも検出できるようになる。

なお、上で述べた第４の条件が、（ｆ１）サービス開始データに係る通信データの通信時刻と外部通信データに係る通信データの通信時刻との差が第１の閾値以下であり、（ｆ２）操作終了データに係る通信データの通信時刻とサービス開始データに係る通信データの通信時刻との差が第２の閾値以下であり、（ｆ３）取得された通信データの通信時刻と操作終了データに係る通信データの通信時刻との差が第３の閾値以下であるという条件を含むようにしても良い。このような時間的な条件を採用することによって攻撃検出の精度を上げることができるようになる。

さらに、（ｅ１）取得された通信データと同じセッションを初めて検出した際における通信データの通信時刻からの時間が所定時間以上であると判断された場合に、関連データ抽出部が動作するようにしても良い。このような時間的な条件をさらに確認することで、より実際的な攻撃を抽出できるようになる。

また、（ｄ１）上で述べた操作終了抽出部は、同一セッションについて第３の条件を満たす通信データが取得されると、当該通信データに基づき当該同一セッションについての操作終了データを更新するようにしても良い。この場合、ネットワーク監視装置は、（Ｇ）取得された通信データが、予め規定された範囲内における通信又は範囲内外の間の通信であって且つ予め定められたセッション終了に該当するという条件を含む第５の条件を満たす場合に、当該通信データと同一セッションについての操作終了データを抽出して、当該操作終了データに対応付けてセッション終了を表すデータをデータ格納部において格納するセッション終了抽出部をさらに有するようにしても良い。そして、（ｅ２）関連データ抽出部は、抽出した操作終了データにセッション終了を表すデータが対応付けられていない場合には、抽出した操作終了データに対応付けて、取得された通信データに含まれる送信先アドレス及び送信元アドレスを含む第２の外部通信データをデータ格納部において格納するようにしても良い。また、（ｇ１）セッション終了抽出部は、さらに、（ｆ４）抽出した操作終了データに対応付けて第２の外部通信データが格納されていれば、検知部を動作させるようにしても良い。

このようにすれば、セッション終了より前に操作終了が発生するケースを適切に検出できるようになる。

また、上で述べた関連データ抽出部は、抽出した操作終了データにセッション終了を表すデータが対応付けられている場合には、検知部を動作させるようにしても良い。セッション終了後に、外部への通信が検出されたケースを適切に処理できるようになる。

さらに、上で述べた第３の条件が、取得された通信データが、予め規定されたコマンド異常終了であるという条件を含むようにしても良い。コマンドの異常終了によって操作終了となる場合もあるためである。

なお、上で述べたような処理をプロセッサ又はコンピュータに実行させるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブル・ディスク、ＣＤ−ＲＯＭなどの光ディスク、光磁気ディスク、半導体メモリ（例えばＲＯＭ）、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納される。なお、処理途中のデータについては、ＲＡＭ等の記憶装置に一時保管される。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）
通信データを取得する取得部と、
取得された前記通信データが、ネットワークにおいて予め規定された範囲外からの通信であるという条件を含む第１の条件を満たす場合、送信元アドレス及び送信先アドレスとを含む外部通信データをデータ格納部に格納する外部通信特定部と、
取得された前記通信データが、前記予め規定された範囲内における通信又は範囲内から範囲外への通信であって且つ予め定められたサービスの開始に該当するという条件を含む第２の条件を満たす場合、取得された前記通信データの送信元アドレスを送信先アドレスとする外部通信データを前記データ格納部において抽出し、当該外部通信データに対応付けて前記通信データの送信先アドレスを含むサービス開始データを前記データ格納部に格納するサービス開始抽出部と、
取得された前記通信データが、前記予め規定された範囲内における通信又は範囲外から範囲内への通信であって且つ予め定められた操作終了に該当するという条件を含む第３の条件を満たす場合に、取得された前記通信データの送信元アドレス及び送信先アドレスを含む操作終了データを前記データ格納部に格納する操作終了抽出部と、
取得された前記通信データが、前記予め規定された範囲外への通信である場合、取得された前記通信データの送信元アドレスを含む操作終了データを前記データ格納部において抽出する関連データ抽出部と、
抽出された前記操作終了データの送信元アドレス又は送信先アドレスを含む前記サービス開始データに対応付けて、取得された前記通信データに含まれる送信先アドレス及び送信元アドレスを送信元アドレス及び送信先アドレスとして含む外部通信データが前記データ格納部に格納されているという条件を含む第４の条件を満たすか判定する判定部と、
を有するネットワーク監視装置。

（付記２）
前記第４の条件が、
前記サービス開始データに係る通信データの通信時刻と前記外部通信データに係る通信データの通信時刻との差が第１の閾値以下であり、
前記操作終了データに係る通信データの通信時刻と前記サービス開始データに係る通信データの通信時刻との差が第２の閾値以下であり、
取得された前記通信データの通信時刻と前記操作終了データに係る通信データの通信時刻との差が第３の閾値以下である
という条件を含む付記１記載のネットワーク監視装置。

（付記３）
取得された前記通信データと同じセッションを初めて検出した際における通信データの通信時刻からの時間が所定時間以上であると判断された場合に、前記関連データ抽出部が動作する
付記１記載のネットワーク監視装置。

（付記４）
前記操作終了抽出部は、同一セッションについて前記第３の条件を満たす通信データが取得されると、当該通信データに基づき当該同一セッションについての操作終了データを更新し、
取得された前記通信データが、前記予め規定された範囲内における通信又は範囲内外の間の通信であって且つ予め定められたセッション終了に該当するという条件を含む第５の条件を満たす場合に、当該通信データと同一セッションについての操作終了データを抽出して、当該操作終了データに対応付けてセッション終了を表すデータを前記データ格納部において格納するセッション終了抽出部
をさらに有し、
前記関連データ抽出部は、抽出した前記操作終了データに前記セッション終了を表すデータが対応付けられていない場合には、抽出した前記操作終了データに対応付けて、取得された前記通信データに含まれる送信先アドレス及び送信元アドレスを含む第２の外部通信データを前記データ格納部において格納し、
前記セッション終了抽出部は、さらに、抽出した前記操作終了データに対応付けて前記第２の外部通信データが格納されていれば、前記検知部を動作させる
付記１記載のネットワーク監視装置。

（付記５）
前記関連データ抽出部は、抽出した前記操作終了データに前記セッション終了を表すデータが対応付けられている場合には、前記検知部を動作させる
付記４記載のネットワーク監視装置。

（付記６）
前記第３の条件が、取得された前記通信データが、予め規定されたコマンド異常終了であるという条件を含む
付記４記載のネットワーク監視装置。

（付記７）
通信データを取得し、
取得された前記通信データが、ネットワークにおいて予め規定された範囲外からの通信であるという条件を含む第１の条件を満たす場合、送信元アドレス及び送信先アドレスとを含む外部通信データをデータ格納部に格納し、
取得された前記通信データが、前記予め規定された範囲内における通信又は範囲内から範囲外への通信であって且つ予め定められたサービスの開始に該当するという条件を含む第２の条件を満たす場合、取得された前記通信データの送信元アドレスを送信先アドレスとする外部通信データを前記データ格納部において抽出し、当該外部通信データに対応付けて前記通信データの送信先アドレスを含むサービス開始データを前記データ格納部に格納し、
取得された前記通信データが、前記予め規定された範囲内における通信又は範囲外から範囲内への通信であって且つ予め定められた操作終了に該当するという条件を含む第３の条件を満たす場合に、取得された前記通信データの送信元アドレス及び送信先アドレスを含む操作終了データを前記データ格納部に格納し、
取得された前記通信データが、前記予め規定された範囲外への通信である場合、取得された前記通信データの送信元アドレスを含む操作終了データを前記データ格納部において抽出し、
抽出された前記操作終了データの送信元アドレス又は送信先アドレスを含む前記サービス開始データに対応付けて、取得された前記通信データに含まれる送信先アドレス及び送信元アドレスを送信元アドレス及び送信先アドレスとして含む外部通信データが前記データ格納部に格納されているという条件を含む第４の条件を満たすか判定する
処理を含み、コンピュータにより実行されるネットワーク監視方法。

（付記８）
通信データを取得し、
取得された前記通信データが、ネットワークにおいて予め規定された範囲外からの通信であるという条件を含む第１の条件を満たす場合、送信元アドレス及び送信先アドレスとを含む外部通信データをデータ格納部に格納し、
取得された前記通信データが、前記予め規定された範囲内における通信又は範囲内から範囲外への通信であって且つ予め定められたサービスの開始に該当するという条件を含む第２の条件を満たす場合、取得された前記通信データの送信元アドレスを送信先アドレスとする外部通信データを前記データ格納部において抽出し、当該外部通信データに対応付けて前記通信データの送信先アドレスを含むサービス開始データを前記データ格納部に格納し、
取得された前記通信データが、前記予め規定された範囲内における通信又は範囲外から範囲内への通信であって且つ予め定められた操作終了に該当するという条件を含む第３の条件を満たす場合に、取得された前記通信データの送信元アドレス及び送信先アドレスを含む操作終了データを前記データ格納部に格納し、
取得された前記通信データが、前記予め規定された範囲外への通信である場合、取得された前記通信データの送信元アドレスを含む操作終了データを前記データ格納部において抽出し、
抽出された前記操作終了データの送信元アドレス又は送信先アドレスを含む前記サービス開始データに対応付けて、取得された前記通信データに含まれる送信先アドレス及び送信元アドレスを送信元アドレス及び送信先アドレスとして含む外部通信データが前記データ格納部に格納されているという条件を含む第４の条件を満たすか判定する
処理を、コンピュータに実行させるためのネットワーク監視プログラム。

１２０１ 通信データ取得部
１２０２ インバウンド通信抽出部
１２０３ ＩＰアドレスリスト格納部
１２０４ サービス開始抽出部
１２０５ 操作終了抽出部
１２０６ アウトバウンド通信抽出部
１２０７ 関連データ抽出部
１２０８ 判定部
１２０９ 出力部
１２１０ 関連付けデータ格納部
１２１１ 判定条件格納部
１２１２ 終了データ格納部

Claims (8)

1. 通信データを取得する取得部と、
   取得された前記通信データが、ネットワークにおいて予め規定された範囲外からの通信であるという条件を含む第１の条件を満たす場合、送信元アドレス及び送信先アドレスを含む外部通信データをデータ格納部に格納する外部通信特定部と、
   取得された前記通信データが、前記予め規定された範囲内における通信又は範囲内から範囲外への通信であって且つ予め定められたサービスの開始に該当するという条件を含む第２の条件を満たす場合、取得された前記通信データの送信元アドレスを送信先アドレスとする外部通信データを前記データ格納部において抽出し、当該外部通信データに対応付けて前記通信データの送信先アドレスを含むサービス開始データを前記データ格納部に格納するサービス開始抽出部と、
   取得された前記通信データが、前記予め規定された範囲内における通信又は範囲外から範囲内への通信であって且つ予め定められた操作終了に該当するという条件を含む第３の条件を満たす場合に、取得された前記通信データの送信元アドレス及び送信先アドレスを含む操作終了データを前記データ格納部に格納する操作終了抽出部と、
   取得された前記通信データが、前記予め規定された範囲外への通信である場合、取得された前記通信データの送信元アドレスを含む操作終了データを前記データ格納部において抽出する関連データ抽出部と、
   抽出された前記操作終了データの送信元アドレス又は送信先アドレスを含むサービス開始データに対応付けて、取得された前記通信データに含まれる送信先アドレス及び送信元アドレスを送信元アドレス及び送信先アドレスとして含む外部通信データが前記データ格納部に格納されているという条件を含む第４の条件を満たすか判定する判定部と、
   を有するネットワーク監視装置。
2. 前記第４の条件が、
   前記サービス開始データに係る通信データの通信時刻と前記外部通信データに係る通信データの通信時刻との差が第１の閾値以下であり、
   前記操作終了データに係る通信データの通信時刻と前記サービス開始データに係る通信データの通信時刻との差が第２の閾値以下であり、
   取得された前記通信データの通信時刻と前記操作終了データに係る通信データの通信時刻との差が第３の閾値以下である
   という条件を含む請求項１記載のネットワーク監視装置。
3. 取得された前記通信データと同じセッションを初めて検出した際における通信データの通信時刻からの時間が所定時間以上であると判断された場合に、前記関連データ抽出部が動作する
   請求項１記載のネットワーク監視装置。
4. 前記操作終了抽出部は、同一セッションについて前記第３の条件を満たす通信データが取得されると、当該通信データに基づき当該同一セッションについての操作終了データを更新し、
   取得された前記通信データが、前記予め規定された範囲内における通信又は範囲内外の間の通信であって且つ予め定められたセッション終了に該当するという条件を含む第５の条件を満たす場合に、当該通信データと同一セッションについての操作終了データを抽出して、当該操作終了データに対応付けてセッション終了を表すデータを前記データ格納部において格納するセッション終了抽出部
   をさらに有し、
   前記関連データ抽出部は、抽出した前記操作終了データに前記セッション終了を表すデータが対応付けられていない場合には、抽出した前記操作終了データに対応付けて、取得された前記通信データに含まれる送信先アドレス及び送信元アドレスを含む第２の外部通信データを前記データ格納部において格納し、
   前記セッション終了抽出部は、さらに、抽出した前記操作終了データに対応付けて前記第２の外部通信データが格納されていれば、前記判定部を動作させる
   請求項１記載のネットワーク監視装置。
5. 前記関連データ抽出部は、抽出した前記操作終了データに前記セッション終了を表すデータが対応付けられている場合には、前記判定部を動作させる
   請求項４記載のネットワーク監視装置。
6. 前記第３の条件が、取得された前記通信データが、予め規定されたコマンド異常終了であるという条件を含む
   請求項４記載のネットワーク監視装置。
7. 通信データを取得し、
   取得された前記通信データが、ネットワークにおいて予め規定された範囲外からの通信であるという条件を含む第１の条件を満たす場合、送信元アドレス及び送信先アドレスを含む外部通信データをデータ格納部に格納し、
   取得された前記通信データが、前記予め規定された範囲内における通信又は範囲内から範囲外への通信であって且つ予め定められたサービスの開始に該当するという条件を含む第２の条件を満たす場合、取得された前記通信データの送信元アドレスを送信先アドレスとする外部通信データを前記データ格納部において抽出し、当該外部通信データに対応付けて前記通信データの送信先アドレスを含むサービス開始データを前記データ格納部に格納し、
   取得された前記通信データが、前記予め規定された範囲内における通信又は範囲外から範囲内への通信であって且つ予め定められた操作終了に該当するという条件を含む第３の条件を満たす場合に、取得された前記通信データの送信元アドレス及び送信先アドレスを含む操作終了データを前記データ格納部に格納し、
   取得された前記通信データが、前記予め規定された範囲外への通信である場合、取得された前記通信データの送信元アドレスを含む操作終了データを前記データ格納部において抽出し、
   抽出された前記操作終了データの送信元アドレス又は送信先アドレスを含むサービス開始データに対応付けて、取得された前記通信データに含まれる送信先アドレス及び送信元アドレスを送信元アドレス及び送信先アドレスとして含む外部通信データが前記データ格納部に格納されているという条件を含む第４の条件を満たすか判定する
   処理を含み、コンピュータにより実行されるネットワーク監視方法。
8. 通信データを取得し、
   取得された前記通信データが、ネットワークにおいて予め規定された範囲外からの通信であるという条件を含む第１の条件を満たす場合、送信元アドレス及び送信先アドレスを含む外部通信データをデータ格納部に格納し、
   取得された前記通信データが、前記予め規定された範囲内における通信又は範囲内から範囲外への通信であって且つ予め定められたサービスの開始に該当するという条件を含む第２の条件を満たす場合、取得された前記通信データの送信元アドレスを送信先アドレスとする外部通信データを前記データ格納部において抽出し、当該外部通信データに対応付けて前記通信データの送信先アドレスを含むサービス開始データを前記データ格納部に格納し、
   取得された前記通信データが、前記予め規定された範囲内における通信又は範囲外から範囲内への通信であって且つ予め定められた操作終了に該当するという条件を含む第３の条件を満たす場合に、取得された前記通信データの送信元アドレス及び送信先アドレスを含む操作終了データを前記データ格納部に格納し、
   取得された前記通信データが、前記予め規定された範囲外への通信である場合、取得された前記通信データの送信元アドレスを含む操作終了データを前記データ格納部において抽出し、
   抽出された前記操作終了データの送信元アドレス又は送信先アドレスを含むサービス開始データに対応付けて、取得された前記通信データに含まれる送信先アドレス及び送信元アドレスを送信元アドレス及び送信先アドレスとして含む外部通信データが前記データ格納部に格納されているという条件を含む第４の条件を満たすか判定する
   処理を、コンピュータに実行させるためのネットワーク監視プログラム。

Images