JP2002328893A

JP2002328893A - ネットワークセキュリティに関する被害評価システムおよびその方法

Info

Publication number: JP2002328893A
Application number: JP2001134710A
Authority: JP
Inventors: Yoshitaka Kuwata; 喜隆桑田; Hisamichi Otani; 尚通大谷; Tomoo Fukamizu; 智雄深水
Original assignee: NTT Data Corp
Current assignee: NTT Data Group Corp
Priority date: 2001-05-01
Filing date: 2001-05-01
Publication date: 2002-11-15
Anticipated expiration: 2021-05-01
Also published as: JP3618681B2

Abstract

(57)【要約】【課題】広い範囲に渡って迅速かつ客観的な評価を実
現するネットワークセキュリティに関する被害評価シス
テムおよびその方法を提供する。【解決手段】監視対象ネットワーク２に対する不正侵
入や攻撃をセンサ系２３により感知し、不正侵入や攻撃
により停止したあるネットワーク要素を起点に、当該ネ
ットワーク要素毎関係情報が定義されたネットワークサ
ービス管理情報データベース１１を検索することによ
り、被害関連範囲における被害評価を行なう。被害評価
装置１４は、被害が及ぶ関連範囲を関連範囲における各
ネットワーク要素をノードとした依存関係に基づく被害
グラフの形態で表現し、この被害グラフに示される依存
関係を辿ることにより、各ノードに定義された被害関係
ルールに従いあらかじめ定義された想定被害数値を累積
演算する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、イントラネット等
のネットワーク上にセキュリティに起因する障害が発生
した場合、迅速にその障害を把握してその対応を支援す
ることのできる、ネットワークセキュリティに関する被
害評価システムおよびその方法に関する。

【０００２】

【従来の技術】インターネットを活用した企業間取引や
顧客へのサービス提供は、戦略的なビジネス展開を模索
する企業にとっては最重要課題になっている。しかしな
がらインターネットの通信環境は、ハッカーによる不正
侵入やウイルス感染といった様々な脅威にさらされてい
る。ところで、ファイヤウォールは、企業内ネットワー
クとインターネットの中間に接続し、インターネットか
らの不正なアクセスを遮断するセンサとして機能する。
ファイヤウォールを設置したネットワークシステムで
は、内部から外部へのゲートウェイ的なアクセスを可能
にし、インターネットの各種サービスを安全に利用でき
るようになる。但し、ハッカーによる不正侵入では、フ
ァイヤウォール本体のセキュリティホールを突いた攻撃
やポートスキャンによる攻撃、アクセスを妨害する使用
不能攻撃等、さまざまな攻撃を受ける危険性がある。

【０００３】

【発明が解決しようとする課題】上記したネットワーク
システムにおいて、不正侵入や攻撃を受けて、ある一部
分のサービスが停止した場合、その影響が及ぶハードウ
ェアおよびソフトウェアの範囲を迅速に特定することは
比較的困難である。また、関連して業務に対してもどの
程度の被害を及ぼすかについての把握も困難であった。
現状、これら全ての関係を記述し、把握できる仕組みは
存在しない。上記したように、現状、不正侵入や攻撃に
よる被害評価に関し、被害額等の数値を用いて客観的に
明示することは困難であり、特に、ハードウェアから業
務レベルに至る広い範囲に渡る客観的な評価をできなか
った。また、不正侵入や攻撃によって複数のサービス停
止が発生した場合、複数のうちいずれの被害が大きい
か、あるいは復旧はどちらを優先すべきか等についての
評価を迅速に行なうことができず、従って、対応方針の
意思決定および復旧の作業に手間と時間がかかり、被害
を拡大させているのが現状であった。

【０００４】本発明は上記事情に鑑みてなされたもので
あり、ハードウェアから業務レベルに至る各ネットワー
ク要素の関連性に関し、全ての業務にわたってデータベ
ースを構築し、不正侵入や攻撃により停止したあるネッ
トワーク要素を起点にデータベース検索により被害関連
範囲における被害評価を行なうことで、広い範囲に渡っ
て迅速かつ客観的な評価を実現した、ネットワークセキ
ュリティに関する被害評価システムおよびその方法を提
供することを目的とする。

【０００５】

【課題を解決するための手段】上記した課題を解決する
ために本発明は、ハードウェアから業務レベルに至る全
業務に関する各ネットワーク要素の関連性を統一したフ
ォーマットに基づき電子的に記述したネットワークサー
ビス管理情報データベースと、前記ネットワークに対す
る不正侵入や攻撃を受けて停止した前記あるネットワー
ク要素を起点に前記ネットワークサービス管理情報デー
タベースを検索することにより被害が及ぶ関連範囲を特
定し、前記関連範囲におけるネットワーク要素毎あらか
しめ定義された被害数値を累算する被害評価装置とを備
えたことを特徴とする。

【０００６】また、本発明において、ネットワークスキ
ャンおよびパケット監視により、ネットワーク機器およ
びそのネットワーク機器上におけるネットワークサービ
スを特定し、その依存関係を自動収集するネットワーク
サービス情報収集装置と、前記自動収集されたネットワ
ークサービス情報、およびその関連情報を手動で補間し
て前記ネットワークサービス管理情報データベースに入
力するネットワークサービス情報入力支援装置とを備え
たことを特徴とする。

【０００７】また、本発明において、前記ネットワーク
サービス情報収集装置は、ネットワークスキャンとパケ
ット監視により関係情報を取得し、前記ネットワークサ
ービス毎に定義されたポート番号、プロトコル、パケッ
トの構造に基づき作成される解析ルールに従い、前記ネ
ットワークサービスの依存関係を収集することを特徴と
する。

【０００８】また、本発明において、前記被害評価装置
は、前記被害が及ぶ関連範囲を、前記関連範囲における
各ネットワーク要素をノードとした依存関係に基づく被
害グラフの形態で表現し、前記被害グラフに示された依
存関係を辿ることにより前記各ノードに定義された想定
被害数値を累積演算することを特徴とする。

【０００９】また、本発明において、前記被害評価装置
は、前記累積演算に際し、前記ノード毎にあらかじめ定
義されたノード間の関係ルールに従い、被害の及ぶ範囲
と被害数値を、被害の影響度合いを考慮して算出するこ
とを特徴とする。

【００１０】上記構成において、監視対象ネットワーク
に対する不正侵入や攻撃をセンサにより感知し、前記不
正侵入や攻撃により停止したあるネットワーク要素を起
点に、当該ネットワーク要素毎関係情報が定義されたネ
ットワークサービス管理情報データベースを検索するこ
とにより、被害関連範囲における被害評価を行なう。評
価にあたり、被害が及ぶ関連範囲を関連範囲における各
ネットワーク要素をノードとした依存関係に基づく被害
グラフの形態で表現し、この被害グラフに示される依存
関係を辿ることにより、各ノードに定義された被害関係
ルールに従いあらかじめ定義された想定被害数値を累積
演算する。このことにより、ネットワーク機器およびサ
ービスの重要度につき定量的に示すことができ、業務の
広い範囲に渡って迅速かつ客観的な評価を実現すること
ができる。また、被害グラフにより要素間の関連性を視
覚的に捉えることができ、ネットワークの弱点等が明ら
かになり、システムの多重化等の対策を重点的な投資が
可能になる。また、シミュレーションにより仮想的に被
害評価を行なうことも可能である。

【００１１】上記した課題を解決するために本発明は、
センサを備えた監視対象ネットワークのネットワークセ
キュリティに関する被害評価システムに用いられる被害
評価方法であって、前記監視対象ネットワークに対する
不正侵入や攻撃を前記センサにより感知し、前記不正侵
入や攻撃により停止したあるネットワーク要素を起点
に、当該ネットワーク要素毎関係情報が定義されたネッ
トワークサービス管理情報データベースを検索すること
により、被害関連範囲における被害評価を行なうことを
特徴とする。

【００１２】また、本発明において、前記ネットワーク
サービス管理情報データベースに定義される関係情報の
記述フォーマットは、少なくとも、前記ネットワーク要
素をオブジェクトとするオブジェク名、オブジェクトの
情報、関係オブジェクト、オブジェクト間の関係ルー
ル、想定被害数値とすることを特徴とする。

【００１３】

【発明の実施の形態】図１は本発明におけるネットワー
クセキュリティに関する被害評価システムが接続される
ネットワークシステムの全体構成を示す図である。図１
において、符号１は被害評価システムであって、監視対
象ネットワーク２（イントラネット）に接続される。監
視対象ネットワーク２は、各種サービス提供サーバ群２
１、社員用等の端末群２２の他にファイヤウォールやＩ
ＤＳ（ネットワーク侵入検知装置）等のセンサ系２３を
備えている。

【００１４】被害評価システム１は、ネットワークサー
ビス管理情報データベース（以下、「ＮＳＡ−ＤＢ」と
称す）１１、ネットワークサービス情報自動収集装置１
２、ネットワークサービス情報入力支援装置１３、被害
評価装置１４で構成される。ＮＳＡ−ＤＢ１１は、ハー
ドウェアから業務レベルに至る全業務に関する各ネット
ワーク要素の関連性を統一したフォーマットに基づき電
子的に記述したデータヘースであり、例えば図５に示す
リスト形式で記述される。詳細は後述する。ネットワー
クサービス情報自動収集装置１２は、ネットワークスキ
ャンおよびパケット監視によりネットワーク機器および
そのネットワーク機器上におけるネットワークサービス
を特定し、その依存関係を自動収集する機能を持つ装置
であり、また、ネットワークサービス情報入力支援装置
１３は、ネットワークサービス情報自動収集装置１２に
より自動収集されたネットワークサービス情報、および
その関連情報を手動で補間してＮＳＡ−ＤＢ１１に入力
する機能を持つ装置である。

【００１５】被害評価装置１４は、ネットワークに対す
る不正侵入や攻撃を受けて停止したあるネットワーク要
素を起点にＮＳＡ−ＤＢ１１を検索することにより被害
が及ぶ関連範囲を特定し、関連範囲におけるネットワー
ク要素毎あらかじめ定義された想定被害数値を累積演算
する機能を持つ装置である。被害評価装置１４は、被害
数値の他に、被害者、被害端末等から成る被害リストま
たは被害グラフを出力する。

【００１６】図２は、図１に示す本発明実施形態の一連
の概略動作をフローチャートで示した図である。本発明
は、イントラネットと人間による業務が密接に関連して
いるような業務運営形態において、ネットワーク上にセ
キュリティに起因する障害が発生した場合、決定権者が
より迅速に被害を把握し、対応指示を行なうように支援
することができる被害評価システムである。図２に示す
フローチャートを参照しながら図１に示す本発明実施形
態の概略動作の流れおよび操作手順について説明する。

【００１７】まず、被害評価のためにＮＳＡ−ＤＢ１１
を構築する（ステップＳ２０）。ＮＳＡ−ＤＢ１１の構
築にあたり、最初にネットワークサービス情報を自動収
集する。具体的に、ネットワークサービス情報自動収集
装置１２は、監視ネットワーク２のネットワークスキャ
ンにより、監視対象ネットワーク２上の機器および提供
サービスの情報を取得する。ここでいう監視対象ネット
ワーク２上の機器および提供サービスの情報には、ネッ
トワークの構成情報のような物理的な情報とサーバとク
ライアントの関係のような論理的な情報の２種類に分け
られる。物理的な情報としては、製品名、ＣＰＵ（中央
処理装置）、ＨＤ（ハードディスク装置）、メモリ、Ｉ
Ｐアドレス、ＯＳ、インストールされているソフトウェ
アの情報他から成る各ハードウェア情報、名前、ＩＤ、
性別、所属、使用ハードウェア他からなる個人情報、名
称、子組織他から成る組織情報がある。また、論理的な
情報としては、アプリケーション名、当該サーバが使用
する他のサーバのアドレス、バージョン、サーバの設定
情報他から成るサーバアプリケーションの情報、アプリ
ケーション名、当該クライアントが使用するサーバのア
ドレス他から成るクライアントアプリケーションの情
報、業務名、派生業務、担当者名他からなる業務情報が
ある。

【００１８】図８にネットワークサービス関連情報の構
成イメージを概念的に示す。ここでは、ハードウェアか
ら業務レベルに至る広い範囲に至る各要素を層展開して
示している。すなわち、ネットワークサービス関連情報
を、サーバ機器トポロジ層、サーバアプリトポロジ層、
クライアントアプリトポロジ層、組織トポロジ＆クライ
アント機器トポロジ層、業務トポロジ層に展開し、それ
ぞれの層に位置するサーバ機器、サーバアプリケーショ
ン、クライアントアプリケーション、組織＆クライアン
ト機器、業務間の依存関係を示している。

【００１９】図９（ａ）に業務内容（スケジュール表入
力／参照業務）の記述例が、図９（ｂ）に人員情報（社
員Ａ）の記述例が、図９（ｃ）にクライアント機器（端
末West）の記述例が、図９（ｄ）にクライアントアプリ
ケーション（West：Application_A_S）の記述例が示さ
れている。また、図１０（ａ）にサーバアプリケーショ
ン（Exchange-A）の記述例が、図１０（ｂ）にサーバア
プリケーション（Exchange-B）の記述例が、図１０
（ｃ）にサーバアプリケーション(DNS-1）の記述例が、
図１０（ｄ）にサーバ機器（Exchange-A）の記述例がそ
れぞれ示されている。ここではいずれもＸＭＬ（eXtens
ible Markup Language）で記述され、ハードウェアレ
ベルから業務レベルに至る各要素は全て同じフォーマッ
トに基づいて記述される。具体的に、図５に示されるよ
うに、オブジェクト名＜Name＞、オブジェクトの情報＜
Application＞、関係のあるオブジェクト＜Relation
＞、オブジェクト間の関係ルール＜Relation Rule＞お
よび想定被害値＜Damage＞の各タグから構成される。

【００２０】説明を図２に示すフローチャートに戻す。
次に、監視ネットワーク２上を伝播するパケットを取得
し、解析してネットワークサービスの依存関係を取得す
る（ステップＳ２１）。主なネットワーク上のサービス
は、そのサービス毎に使用するポート番号、プロトコ
ル、パケットの構造が国際的に決められている。従っ
て、その仕様に沿って判定ルールを定義することによっ
て自動的にネットワークサービスの依存関係を取得する
ことができる。

【００２１】図３に示す＜表１＞は、ネットワーク上で
頻繁に使用されるサービスに関してパケットからネット
ワークサービスの依存関係を解析する場合の判定ルール
を記述したものである。図３に示す＜表１＞に合致した
パケットから、例えば、送信元のＦＴＰアプリケーショ
ンは宛先のサーバを使用する（ルール１）、送信元のＴ
ＥＬＮＥＴアプリケーションは宛先のサーバを使用する
（ルール２）、送信元のＭａｉｌ送信（ＳＭＴＰ）アプ
リケーションは宛先のサーバを使用する（ルール３）、
送信元のＦＴＴＰアプリケーションは宛先のサーバを使
用する（ルール４）、送信元のメイル受信（ＰＯＰ３）
アプリケーションは宛先のサーバを使用する（ルール
５）、送信元のネットニュース（ＮＮＴＰ）アプリケー
ションは宛先のサーバを使用する（ルール６）、送信元
のウェッブブラウザ（ＨＴＴＰ）アプリケーションは宛
先のサーバを使用する（ルール７）ことがわかる。

【００２２】例えば、あるパケット［宛先：１０．２．
１９０．１］［送出元：１０．２．１９０．２］［ＴＣ
Ｐ／ＩＰ］［Ｐｏｒｔ：２１］…［データ内容：”ＵＳ
ＥＲｏｏｔａｎｉ”ＣＲＬＦ］を図３に＜表１＞として
示す判定ルールに基づき処理した場合、ルール１と一致
しているため、送信元（１０．２．１９０．２）のＦＴ
Ｐアプリケーションは、宛先（１０．２．１９０．１）
のサーバを使用することがわかる。従って、「ホスト：
１０．２．１９０．１、ＦＴＰサーバ」と、「ホスト：
１０．２．１９０．２、ＦＴＰクライアント」に依存関
係のあることがわかり、これをＮＳＡ−ＤＢ１１へ入力
するためには、図４にリスト表示した情報を自動生成す
ることができる。なお、ＮＳＡ−ＤＢ１１へ入力前の関
係情報の記述フォーマットは、図５にリスト表示される
ように、人、コンピュータ、サーバ、クライアントの如
何なるオブジェクトであっても、オブジェクト名、オブ
ジェクトの情報、関係のあるオブジェクト、オブジェク
ト間の関係ルールおよび想定被害値の各要素から構成さ
れる。

【００２３】そして、上記により収集される情報を整理
してＮＳＡ−ＤＢ１１に蓄積する。ここで、整理とは、
ネットワークスキャンとパケット監視の２つの方法によ
りサーバとクライアントの関係情報を取得するために、
重複、あるいは間違いが発生することがある。そこで、
この収集した情報をＮＳＡ−ＤＢ１１へ入力する前にこ
の矛盾を手作業で解決する。整理は、そのネットワーク
を熟知しているネットワーク管理者が手動で行なうこと
になり、従って、ここでは、誤って検出されたサービス
やプロセスの情報を削除したり、不足している情報を追
加したりすることになる。次に、ネットワークサービス
支援装置１３により、手動でネットワークサービス情報
を入力、あるいは修正する（ステップＳ２２）。ここで
は、ネットワークサービス情報自動収集装置１２で収集
された情報を利用して更に必要な情報を手動で入力す
る。ネットワークスキャンとパケット監視によるネット
ワークサービス情報の自動収集は、限られた方法と情報
を用いて機械的に行なわれるため、そのネットワーク上
にある全ての情報を取得することはできない。そこで、
ネットワーク管理者が足りないサーバプリケーションの
情報等につき入力する必要が生じる。以上の手順により
ネハードウェアレベルから業務レベルに至る広い範囲で
全ての業務に及ぶＮＳＡ−ＤＢ１１が作成され、構築さ
れる（ステップＳ２３）。

【００２４】一方、ファイヤウォールやＩＤＳ等センサ
系２３が侵入、攻撃等を検出することにより被害評価装
置１４へ通知する（ステップＳ３０）。ここでは、セン
サ系２３は、侵入、攻撃等を検出したときに（ステップ
Ｓ３１）、影響するハードウェア、サーバプリケーショ
ンを特定し、特定した攻撃箇所（ホスト名やサービス
名）を被害評価装置１４へ通知する（ステップＳ３
２）。次に、被害評価装置１４は、ＮＳＡ−ＤＢ１１を
用い、攻撃箇所にリンクのあるものを検索する。そして
その検索結果から被害範囲を被害リストと被害地図によ
り出力する（ステップＳ４１）。更に、その被害範囲か
ら被害依存関係に基づく被害グラフとして生成出力し
（ステップＳ４２）、この被害依存グラフを辿ることに
より各ノードに定義された想定被害数値を累積演算する
（ステップＳ４３）。但し、この累積演算処理において
は、各ノードに定義された依存グラフの関係ルール（当
該ノードの停止が他のノードに及ぼす条件：ＡＮＤ、Ｏ
Ｒ、ＸＯＲ）に従う。

【００２５】なお、侵入、攻撃の内容に応じて、直接被
害を受けるハードウェア、サーバアプリケーションを特
定する処理は、被害評価装置１４の持つ機能とせず、セ
ンサ系２３が持つ機能として説明した。被害評価装置１
４は、ＮＳＡ−ＤＢ１１を参照することによって、この
侵入、攻撃により間接的に影響を受ける箇所を特定する
ことができる。従って、図１に示すネットワークサービ
ス情報入力支援装置１３を用いてＮＳＡ−ＤＢ１１に情
報を蓄積することにより、被害評価装置１４は、侵入、
攻撃により間接的に影響を受ける箇所をより正確にかつ
詳細に特定することができる。

【００２６】上記した被害評価装置１４によるステップ
Ｓ４１からＳ４３の処理について、図６に示すネットワ
ークサービス管理情報を持つ電子決済システムを例示し
て詳細に説明する。ここでは、電子決済システムＣのリ
スニング（Listening）ポートに対し被害が出る可能性
がある攻撃を検出した場合を仮定し、瞬時にその被害評
価を行い、提示することを目的に以下に動作説明を行な
う。

【００２７】まず、センサ系２３は、マシン「ＥＳ０
４」のあるポートに対する攻撃を検出し、この攻撃によ
り「電子決済システムＣ」が停止する可能性があること
を検出する。次にセンサ系２３は、マシン「ＥＳ０４」
の「電子決済システムＣ」が停止する可能性があること
を、被害評価装置１４へ通知する。被害評価装置１４
は、ＮＳＡ−ＤＢ１１を検索し、「電子決済システム
Ｃ」の情報を取得する。また、ＮＳＡ−ＤＢ１１を検索
し、「電子決済システムＣ」に対するリンクを持つクラ
イアントアプリケーションの情報を取得する。更に、そ
のクライアントアプリケーションが稼動している端末の
情報を検索することにより取得、そのクライアントアプ
リケーションを利用するユーザの情報も検索して取得す
る。そして、被害評価装置１４は、上記した各検索結果
から、被害範囲情報を出力する。ここでは、被害リスト
（被害者、被害端末、被害クライアントアプリケーショ
ンなど）、被害地図（物理的な範囲、被害端末地図、被
害者マップ）の形態で出力し、被害範囲情報に依存関係
を追加し、被害依存グラフを生成出力する。被害依存グ
ラフの情報を視覚化した場合のイメージ図を図７に示
す。

【００２８】次に被害評価装置１４は、図７に示す被害
依存グラフを辿り、その各ノードに定義された想定被害
数値を累積演算しておく。具体的には、被害評価装置１
４は、まず、「電子決済システムＣ」からリンクを辿
り、「決裁承認、Client[for North]」の情報を取得す
る。次に、「決裁承認Client[for North]」の情報から
「電子決済システムＣ」のみを利用している（ＡＮＤ条
件）というグラフの関係ルールを得る。従って、ここで
は、「電子決済システムＣ」の想定被害数値「Ｑ」を
「決裁承認Client[for North]」の想定被害数値「Ｏ」
にそのまま加算する。但し、想定被害数値「Ｏ」は、想
定被害数値合計の単位系に統一する。被害評価装置１４
は、また、「決裁承認Client[for North]」からリンク
を辿り「端末“North”」の情報を取得する。「端末“N
orth”」の情報から、「決裁承認Client[for North]」
はＯＲ条件（「決裁承認Client[for North]」アプリケ
ーションが停止しても、「端末“North”」が全く使え
なくなるとは限らない）というグラフの関係ルールを得
る。従って、「端末“North”」に定義された想定被害
数値［Ｐ］は、想定被害数値合計に単純に加算しない。
想定被害数値［Ｐ］は、想定被害数値合計の単位系に統
一したうえで、想定被害マージン数値として保持する。

【００２９】同様にして、「管理職Ｄ」の想定被害数値
［Ｒ］も、想定被害マージン数値として保持する。更
に、「電子決済システムＣ」から、リンクを辿り、「決
裁承認Client[for East]」の情報を取得する。そし
て、「決裁承認Client[for North]」の情報から「電子
決済システムＣ」と他の電子決済システムの両方を利用
できる（ＯＲ条件）というグラフの関係ルールを得る。
従って、「決裁承認Client[for East]」に定義された
想定被害数値[Ｓ]は、想定被害数値合計に単純に加算し
ない。想定被害数値[Ｓ]は、想定被害数値合計の単位系
に統一したうえで、想定被害マージン数値として保持す
る。同様にして「端末“East”」の想定被害数値［Ｔ］
も想定被害マージン数値として、「管理職Ｃ」の想定被
害数値［Ｕ］も想定被害マージン数値として、「決済業
務」の想定被害数値［Ｖ］も想定被害マージン数値とし
て保持する。

【００３０】以上の累積演算により、想定被害数値合計
は「Ｏ＋Ｑ」である。これは、最小限発生する想定被害
数値をあらわす。また、想定被害マージン数値は、「Ｐ
＋Ｒ＋Ｓ＋Ｔ＋Ｕ＋Ｖ」となり、想定被害数値合計「Ｏ
＋Ｑ」と加算した、総合計「Ｏ＋Ｑ＋Ｐ＋Ｒ＋Ｓ＋Ｔ＋
Ｕ＋Ｖ」は、最悪の場合の想定被害数値を示す。図７に
示すノード毎の想定被害数値および関係ルールを纏める
と以下のようになる。「電子決済システムＣ」：想定被害数値＝Ｏ（ＯＲ条件）「決済承認Client［for North］」：想定被害数値＝Ｑ（ＡＮＤ条件）「端末”North”」：想定被害数値＝Ｐ（ＯＲ条件）「決済承認Client［for East］」：想定被害数値＝Ｓ（ＯＲ条件）「端末”East”」：想定被害数値＝Ｔ（ＯＲ条件）「管理職Ｃ」：想定被害数値＝Ｕ（ＯＲ条件）「決済業務」：想定被害数値＝Ｖ（ＯＲ条件）

【００３１】以上説明のように本発明は、ハードウェア
から業務レベルに至る各ネットワーク要素の関連性に関
し、全ての業務にわたってデータベースを構築し、不正
侵入や攻撃により停止したあるネットワーク要素を起点
にデータベース検索により被害関連範囲における被害評
価を行なうことで、広い範囲に渡って迅速かつ客観的な
評価を実現した、ネットワークセキュリティに関する被
害評価システムおよびその方法を提供するものである。

【００３２】なお、上記したネットワークセキュリティ
に関する被害評価システム１を構成するネットワークサ
ービス情報自動収集装置１２と、ネットワークサービス
情報入力支援装置１３と、被害評価装置１４のそれぞれ
で実行される手順をコンピュータ読み取り可能な記録媒
体に記録して、この記録媒体に記録されたプログラムを
コンピュータシステムに読み込ませ、実行することによ
り上述した各装置における機能を実行してもよい。ここ
でいうコンピュータシステムとは、ＯＳや周辺機器等の
ハードウアを含むものとする。

【００３３】また、「コンピュータシステム」は、ＷＷ
Ｗシステムを利用している場合であれば、ホームページ
提供環境（あるいは表示環境）も含むものとする。ま
た、「コンピュータ読み取り可能な記録媒体」とは、フ
レキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−
ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵され
るハードディスク等の記憶装置のことをいう。さらに
「コンピュータ読み取り可能な記録媒体」とは、インタ
ーネット等のネットワークや電話回線等の通信回線を介
してプログラムが送信された場合のサーバやクライアン
トとなるコンピュータシステム内部の揮発性メモリ（Ｒ
ＡＭ）のように、一定時間プログラムを保持しているも
のも含むものとする。

【００３４】また、上記プログラムは、このプログラム
を記憶装置等に格納したコンピュータシステムから、伝
送媒体を介して、あるいは、伝送媒体中の伝送波により
他のコンピュータシステムに伝送されてもよい。ここ
で、プログラムを伝送する「伝送媒体」は、インターネ
ット等のネットワーク（通信網）や電話回線等の通信回
線（通信線）のように情報を伝送する機能を有する媒体
のことをいう。また、上記プログラムは、前述した機能
の一部を実現するためのものであっても良い。さらに、
前述した機能をコンピュータシステムにすでに記録され
ているプログラムとの組み合わせで実現できるもの、い
わゆる差分ファイル（差分プログラム）であっても良
い。

【００３５】以上、この発明の実施形態を図面を参照し
て詳述してきたが、具体的な構成はこの実施形態に限ら
れるものではなく、この発明の要旨を逸脱しない範囲の
設計等も含まれる。

【００３６】

【発明の効果】以上説明のように本発明は、ハードウェ
アから業務レベルに至る各ネットワーク要素の関連性に
関し、全ての業務にわたってデータベースを構築し、不
正侵入や攻撃により停止したあるネットワーク要素を起
点にデータベース検索により被害関連範囲における被害
評価を行なうことで、広い範囲に渡って迅速かつ客観的
な評価を実現することができる。また、データベースが
組織毎に複数存在する場合、それらの間で情報を交換す
ることによって、より大きな組織を記述したデータベー
スとして情報を蓄積させることができ、このことによ
り、侵入、攻撃等による被害評価予測をダイナミックに
行うことができる。また、この被害評価機能を応用する
ことにより、被害規模という観点から、ネットワークの
脆弱な部分を洗い出すことができる。その結果、連続稼
働性が求められるシステムの二重化などの対策を効率的
に行うことができる。

【００３７】更に本発明によれば、以下に列挙する効果
も得られる。（１）ネットワークスキャンおよびパケット監視による
ネットワーク上の機器および提供サービスの情報、ネッ
トワークサービスの依存関係を取得することができる。
また、手動入力のための入力支援を備えたＧＵＩ（Grap
hical User Interface）を備え、より詳細な情報の追
加や情報の変更を行なうことができる。従って、データ
ベース構築の自動化と、誰でも扱えるインターフェイス
によって、ネットワーク管理に一極集中しがちな情報作
成作業が、軽減される。（２）センサ系からの通知により、リアルタイムに被害
評価を行なうことができる。従って、利用者は、迅速に
被害情報を知ることができ、被害対応のためのすばやい
意思決定が行える。（３）被害者リスト、被害端末リスト等により、ある原
因による業務全体に及ぼす被害範囲を明確に得ることが
できる。このことにより、利用者は、被害範囲を把握す
ることができ、被害者等に対して、被害報告などの情報
提供を行うことができる。また、被害依存グラフ（依存
関係に基くグラフ）を生成出力し、依存関係を解析する
ことにより、依存が集中して高可用性が必要な箇所や、
トラブル時の回避設定を行うべきクライアントアプリケ
ーションなどを見つけることが容易に可能となる。（４）被害範囲の評価を行う時、依存グラフの関係ルー
ルに従って計算することによって影響先と原因元の依存
関係の度合いに応じた柔軟な評価計算が行える。このこ
とにより、被害の影響度が高い部分と低い部分が区別で
き、対応箇所の優先順位付け、すなわち被害を最小限に
抑えるための対応計算が立てやすい。

【図面の簡単な説明】

【図１】本発明におけるネットワークセキュリティに
関する被害評価システムが接続されるネットワークシス
テムの全体構成を示す図である。

【図２】図１に示す本発明実施形態の一連の概略動作
をフローチャートで示した図である。

【図３】監視パケットからネットワークサービスの依
存関係を解析する場合に使用される判定ルールを表形式
で記述した図である。

【図４】ネットワークサービス管理情報データベース
に蓄積される関係情報の記述フォーマットの一例を示す
図である。

【図５】ネットワークサービス管理情報データベース
に蓄積される関係情報の基本構成を説明するために引用
した図である。

【図６】被害評価装置の動作を説明するために引用し
た図であり、ネットワークサービス管理情報を持つ電子
決済システムが例示されている。

【図７】図６に示した電子決済システムにおける被害
依存グラフの情報を視覚化した場合のイメージ図を示す
図である。

【図８】本発明において使用されるネットワークサー
ビス関連情報の構成イメージを概念的に示した図であ
る。

【図９】図８に示される各層に位置するハードウェア
から業務レベルに至る各要素の記述フォーマットの一例
を示す図である。

【図１０】図８に示される各層に位置するハードウェ
アから業務レベルに至る各要素の記述フォーマットの一
例を示す図である。

【符号の説明】

１…被害評価システム、２…監視対象ネットワーク（イ
ントラネット）、１１…ネットワークサービス管理情報
データベース（ＮＳＡ−ＤＢ）、１２…ネットワークサ
ービス情報自動収集装置、１３…ネットワークサービス
情報入力支援装置、１４…被害評価装置、２１…各種サ
ービス提供サーバ群、２２…社員用等の端末群、２３…
センサ系

───────────────────────────────────────────────────── フロントページの続き (72)発明者深水智雄東京都江東区豊洲三丁目３番３号株式会社エヌ・ティ・ティ・データ内Ｆターム(参考） 5B085 AA08 AC13 AC14

Claims

【特許請求の範囲】

【請求項１】ハードウェアから業務レベルに至る全業
務に関する各ネットワーク要素の関連性を統一したフォ
ーマットに基づき電子的に記述したネットワークサービ
ス管理情報データベースと、前記ネットワークに対する不正侵入や攻撃を受けて停止
した前記あるネットワーク要素を起点に前記ネットワー
クサービス管理情報データベースを検索することにより
被害が及ぶ関連範囲を特定し、前記関連範囲におけるネ
ットワーク要素毎あらかしめ定義された想定被害数値を
累積演算する被害評価装置とを備えたことを特徴とする
ネットワークセキュリティに関する被害評価システム。
【請求項２】ネットワークスキャンおよびパケット監
視によりネットワーク機器およびそのネットワーク機器
上におけるネットワークサービスを特定し、その依存関
係を自動収集するネットワークサービス情報収集装置
と、前記自動収集されたネットワークサービス情報、および
その関連情報を手動で補間して前記ネットワークサービ
ス管理情報データベースに入力するネットワークサービ
ス情報入力支援装置とを備えたことを特徴とする請求項
１に記載のネットワークセキュリティに関する被害評価
システム。
【請求項３】前記ネットワークサービス情報収集装置
は、前記ネットワークサービス毎に定義されたポート番
号、プロトコル、パケットの構造に基づき作成される解
析ルールに従い、前記ネットワークサービスの依存関係
を収集することを特徴とする請求項２に記載のネットワ
ークセキュリティに関する被害評価システム。
【請求項４】前記被害評価装置は、前記被害が及ぶ関
連範囲を、前記関連範囲における各ネットワーク要素を
ノードとした依存関係に基づく被害グラフの形態で表現
し、前記被害グラフに示される依存関係を辿ることによ
りあらかじめ定義された想定被害数値を累積演算するこ
とを特徴とする請求項１に記載のネットワークセキュリ
ティに関する被害評価システム。
【請求項５】前記被害評価装置は、前記累積演算に際
し、前記ノード毎にあらかじめ定義されたノード間の関
係ルールに従い、被害の及ぶ範囲と被害数値を、被害の
影響度合いを考慮して算出することを特徴とする請求項
４に記載のネットワークセキュリティに関する被害評価
システム。
【請求項６】センサを備えた監視対象ネットワーク
のネットワークセキュリティに関する被害評価システム
に用いられる被害評価方法であって、前記監視対象ネットワークに対する不正侵入や攻撃を前
記センサにより感知し、前記不正侵入や攻撃により停止した、あるいは停止した
と想定されるあるネットワーク要素を起点に、当該ネッ
トワーク要素毎関係情報が定義されたネットワークサー
ビス管理情報データベースを検索することにより、被害
関連範囲における被害評価を行なうことを特徴とするネ
ットワークセキュリティに関する被害評価方法。
【請求項７】前記ネットワークサービス管理情報デー
タベースに定義される関係情報の記述フォーマットは、
少なくとも、前記ネットワーク要素をオブジェクトとす
るオブジェク名、当該オブジェクトの情報、関係するオ
ブジェクト名、オブジェクト間の関係ルール、想定被害
数値とすることを特徴とする請求項６に記載のネットワ
ークセキュリティに関する被害評価方法。