JP2002328896A - 不正アクセス対処ルール自動設定装置 - Google Patents

Abstract

(57)【要約】 【課題】 セキュリティ管理作業を自動化することによ
り、作業効率及び作業精度の向上を目指す。 【解決手段】 セキュリティ脆弱性診断ツールと不正ア
クセス対処ツールとの間のオンライン連携を仲立ちする
オンライン連携仲立手段と、該オンライン連携仲立手段
により、セキュリティ脆弱性診断ツール側から保護対象
ネットワーク環境のセキュリティ上の弱点を特定するた
めの弱点特定情報を取得する弱点特定情報取得手段と、
弱点特定情報取得手段で得られた弱点を保護するように
最適化された不正対処ルールを不正アクセス対処ツール
側に設定する手段とを具備する不正アクセス対処ルール
自動設定装置である。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、不正アクセス対処
ツールの不正対処ルール設定作業を自動化するために、
セキュリティ脆弱性診断ツールと不正アクセス対処ツー
ルの間のオンライン連携を仲立ちする装置に関するもの
である。

【０００２】

【従来の技術】近年、広報用 ＷＷＷ(Ｗorld Ｗide Ｗe
b)サービスやＥＣ(Ｅlectronic Ｃommerce：電子商取
引)サービス等の提供を目的として、企業が自社ネット
ワークをオープン化(＝インターネット等の外部ネット
ワーク環境との接続)するケースが増えつつある。オー
プン化は外部組織との情報流通の円滑化を促進する反
面、外部からの不正アクセスにさらされるという負の側
面もある。こうした不正アクセスの脅威を回避する手段
として、様々なセキュリティツールが普及している。そ
の代表的なものが、セキュリティ脆弱性診断ツール及び
不正アクセス対処ツールである。

【０００３】前記セキュリティ脆弱性診断ツールは、通
信機器(＝通信機能を有するパソコンやワークステーシ
ョン等)がどのようなセキュリティ上の弱点を有するか
を診断するツールである。その診断方法により２種類に
大別できる。

【０００４】１）Ｒemote Ｓcanner：診断対象となる通
信機器に対し、遠隔からネットワークを介して擬似的に
不正アクセス用通信パケット群を送信し、それらに対す
る通信機器側からの応答通信パケット群を解析すること
によって当該機器のセキュリティ上の弱点を検出するツ
ール。

【０００５】２）Ｌocal Ｓcanner：診断対象となる通
信機器の内部に実装され、当該機器のファイル／ディレ
クトリのアクセス権限等をチェックすることにより、セ
キュリティ上の弱点を検出するツール。

【０００６】前記セキュリティ脆弱性診断ツールによる
脆弱性診断結果は、ツール利用者が参照して診断対象の
弱点を特定しやすい形式でツール内部に情報蓄積され
る。その情報内容はツールにより異なるが、例えば、Ｒ
emote Ｓcanner型のツールの場合、次に示す情報項目を
包含しているものが大半である。

【０００７】（１）セキュリティ上の弱点を持つ通信機
器を特定するための情報。例えば、通信機器のインター
ネット上における場所特定のためのIPアドレスがこれに
該当する。

【０００８】（２）弱点の特徴を示す詳細情報。例え
ば、通信プロトコル種別（例：ＴＣＰ）及びその通信ポ
ート番号で特定される脆弱なアクセスポイントや、対抗
できない既知の（＝著名な）不正アクセスパターンにつ
いての情報（一般にシグネチャと呼ばれる）がこれに該
当する。

【０００９】前記不正アクセス対処ツールは、ネットワ
ーク上を通過する通信パケットの内容やその送受信シー
ケンスを監視し、不正な設定が為された通信パケットな
いしは不自然な送受信シーケンスを検出した場合に、あ
らかじめ設定された不正対処手段を実行するものであ
る。代表的なものとしては、ファイアウォール及びＩＤ
Ｓ(Ｉntrusion Ｄetection Ｓystem：不正侵入検知シス
テム)が挙げられる。

【００１０】前者は保護対象ネットワークと外部ネット
ワークとの間の接続点に設置され、あらかじめ設定され
たパケット通過ルールに反する通信パケットの通過を遮
断するものである。

【００１１】一方、後者は保護対象ネットワーク内部に
設置され、それ自身が持っている不正アクセスパターン
(＝シグネチャ)に関する知識情報と合致する通信パケッ
トや送受信シーケンスを検知した場合に、警報をあげた
り不正通信リンクを切断したりするものである。

【００１２】この不正アクセス対処ツールは、セキュリ
ティ上の弱点を保護するために実施すべき対処手段を指
定するための“不正対処ルール”設定機能を持ってい
る。この対処ルール設定の際には、弱点及びその弱点を
突く不正アクセスヘの対処手段に関する情報が必要であ
る。一般的には次のような項目が該当する。

【００１３】（１）保護すべき弱点を有する通信機器の
アドレス （２）弱点の特徴を示す詳細情報（ａ）、（ｂ）は、い
ずれか一方のみあればよい。 （ａ）対抗できないシグネチャ種別(例：ＴＣＰ ＳＹＮ
Ｆlood、ｐｈｆ攻撃) （ｂ）脆弱なアクセスポイント(：通信プロトコル種別
及び通信ポート番号) （３）弱点を突く不正アクセスを検知した場合に、実行
すべき不正対処手段

【００１４】こうした情報を元に、不正アクセス対処ツ
ールが保護すべき弱点や実施すべき対処手段を特定でき
る形式で、ルールを指定する。例えば、「アドレスＡの
通信機器のＴＣＰ通信ポートｙｙ番宛の通信パケットを
検知した場合、不正対処“Ｙ”を実行する」とか、「ア
ドレスＢの通信機器宛の“ｐｈｆ攻撃”を検知した場
合、不正対処“ｚ”を実行する」というような「ルー
ル」を、各ツールのルール設定用インタフェースを通し
て設定するわけである。

【００１５】なお、前記のうち（３）の不正対処手段に
ついては、いずれの製品もいくつかの選択メニューを用
意している。メニューの品揃えはツールにより異なる
が、概ね２通りに大別できる。

【００１６】１）積極型：不正アクセス検出時に、その
阻止のための強制手段を実施する。実施例は次の通りで
ある。 ・ファイアウォールの場合：通信パケットの通過拒否
（＝廃棄） ・ＩＤＳの場合：不正通信リンク切断

【００１７】２）消極型：不正アクセス検出時に、その
阻止のための強制手段までは行わず、検出した旨の即時
報告までを行う。実施例は次の通りである。 ・ファイアウォールの場合：監視者モニタヘの緊急警報
表示 ・ＩＤＳの場合：同上

【００１８】大半の弱点保護に関しては、１）を選択す
ることになると思われるが、保護対象ネットワーク環境
の運用方針等によっては、２）を選択することもありう
る。例えば、当該環境のネットワーク管理者が特定の弱
点を突く不正アクセスに対して様子見の姿勢をとりたい
というようなときには、２）で対処することもあるかも
しれない。

【００１９】

【発明が解決しようとする課題】通常、セキュリティ脆
弱性診断ツールと不正アクセス対処ツールは、いずれか
一方のみではなく、両方同時に導入することが望まし
い。なぜなら、この両者を組み合わせることにより、
「脆弱性診断ツールによる保護対象ネットワーク診断結
果を元に、その脆弱性保護に最適な対処ルールを不正ア
クセス対処ツールに設定する」というセキュリティ管理
作業を行えるからである。これは、保護対象ネットワー
クのセキュリティ向上に大いに役立つ。

【００２０】その反面、この管理作業には、現状では人
的稼動に大幅に依存せざるをえないという問題がある。
まず診断結果は脆弱性診断ツ−ルのモニタ表示等を通し
て人が直接確認しなくてはならないし、対処ルールにつ
いても人が手入力で不正アクセス対処ツールに設定しな
くてはならないからである。このような人手に頼った作
業は、非効率的であるのみならず、保護対象にとって不
適切な対処ルールを設定してしまうという人的ミスをも
誘引する。この「不適切な対処ルール」は、例えば、次
に示すような問題を引き起こす。

【００２１】・Ｆalse Ｐositive：保護対象ネットワー
クヘの影響が皆無の不正アクセス行為に対して、不正ア
クセス対処ツールが過剰な不正対処（特に「積極型」）
を実行してしまうこと。過剰対処により、正当なアクセ
ス行為が阻害されたり、ネットワーク管理者にとって不
必要な管理作業が増加するという問題が発生する。

【００２２】・Ｆalse Ｎegative：不正アクセス対処ツ
ールが、保護対象ネットワークの弱点を突く不正アクセ
ス行為を黙認（＝何ら対処手段をとらない）してしまう
こと。これが保護対象ネットワークにとって重大なセキ
ュリティホールになることは言うまでもない。

【００２３】以上を踏まえ、本発明は、従来人手に頼っ
ていた「セキュリティ脆弱性診断結果を元に、最適な不
正対処ルールを設定する」というセキュリティ管理作業
を自動化することにより、作業効率及び作業精度の向上
を目指すことを目的とする。

【００２４】本発明の前記ならびにその他の目的と新規
な特徴は、本明細書の記述及び添付図面によって明らか
にする。

【００２５】

【課題を解決するための手段】本願において開示される
発明の概要を簡単に説明すれば、下記のとおりである。
第１の発明は、セキュリティ脆弱性診断ツールと不正ア
クセス対処ツールとの間のオンライン連携を仲立ちする
オンライン連携仲立手段と、該オンライン連携仲立手段
により、セキュリティ脆弱性診断ツール側から保護対象
ネットワーク環境のセキュリティ上の弱点を特定するた
めの弱点情報を取得する弱点情報取得手段と、弱点情報
取得手段で得られた弱点を保護するように最適化された
不正対処ルールを不正アクセス対処ツール側に設定する
最適化不正対処ルール設定手段とを具備する不正アクセ
ス対処ルール自動設定装置である。

【００２６】第２の発明は、前記第１の発明の不正アク
セス対処ルール自動設定装置において、前記弱点情報
は、弱点を持つ通信機器のアドレス、当該機器の脆弱な
アクセスポイント等である。

【００２７】第３の発明は、前記第１又は第２の発明の
不正アクセス対処ルール自動設定装置において、前記弱
点情報取得手段は、オンライン連携仲立手段により、セ
キュリティ脆弱性診断ツール側から保護対象ネットワー
ク環境のセキュリティ上の弱点を特定する診断ツール制
御部を有するものである。

【００２８】第４の発明は、前記第３の発明の不正アク
セス対処ルール自動設定装置において、前記最適化不正
対処ルール設定手段は、前記診断ツール制御部から取得
した弱点情報を参照して不正対処ルール設定依頼情報の
エントリを作成する手段を有するものである。

【００２９】すなわち、本発明のポイントは、以下に示
す機能を有する。 （１）保護対象ネットワークのセキュリティ上の弱点を
特定する機能 脆弱性診断ツ−ルによる診断結果は、診断対象のセキュ
リティ上の弱点を特定するための情報を包含している。
例えば、一般的なＲemote Ｓcanner製品の場合には、次
に示す情報がそれに該当する。

【００３０】・弱点を持つ通信機器のアドレス ・弱点の特徴を示す詳細情報（例：脆弱なアクセスポイ
ント、対抗できないシグネチャ種別） 本発明装置によれば、脆弱性診断ツールの診断結果を参
照することにより、こうした弱点に関する情報を取得す
る。

【００３１】（２）不正対処手段を選択設定するための
マンマシンインタフェース機能 保護対象ネットワークに弱点がある場合、当然のことな
がら、その弱点を突く不正アクセスを回避する対処手段
を不正アクセス対処ツール側に設定しなくてはならな
い。実施すべき対処手段は、ネットワ−ク環境の運用条
件や利用者の意向等に依存する。例えば、ある環境で
は、「ｐｈｆ攻撃は、一律アクセス遮断してほしい」と
いう「積極型」の対処を望む場合もあるだろうし、「Ｔ
ＣＰのポート７５番へのアクセス検知時には、管理者モ
ニタに警報をあげてほしい」というような「消極型」の
対処を望む場合もあるはずである。こうしたニーズに応
えるため、本発明装置では、セキュリティ上の弱点毎に
「消極型」ないしは「積極型」のいずれの不正対処手段
で保護すべきかをあらかじめ選択設定できるよう、設定
用マンマシンインタフェースを提供する。なお、この設
定情報は、本発明装置内に「弱点保護ポリシ情報」とし
て蓄積される。

【００３２】（３）不正アクセス対処ツールに不正対処
ルールを設定する機能 保護対象環境の弱点を検出し、その弱点を突く不正アク
セスヘの対処手段を弱点保護ポリシ情報に基づいて決定
した後、最後は実際にそれを不正対処ル−ルとして不正
アクセス対処ツールに設定する必要がある。設定時に求
められる情報はツールにより異なるが、一般的なファイ
アウォールやＩＤＳでは次のような情報が必要になる。

【００３３】・弱点を持つ通信機器のアドレス ・弱点の特徴を示す詳細情報（例：脆弱なアクセスポイ
ント、対抗できないシグネチャ種別） ・弱点を突く不正アクセスを検知した場合に実行する不
正対処手段 本発明装置は、これらの情報を不正対処ルールとして不
正アクセス対処ツールに設定する機能を有する。

【００３４】以下に、本発明について、本発明による実
施形態（実施例）とともに図面を参照して詳細に説明す
る。

【００３５】

【発明の実施形態】図１は、本発明の一実施形態の不正
アクセス対処ルール自動設定装置の概略構成を示すブロ
ック図であり、１はネットワーク管理者、２は不正アク
セス対処ルール自動設定装置本体、Ｓ１０は中央処理
部、Ｓ１１は診断ツール制御部、Ｓ１２は対処ツール制
御部、Ｓ１３はマンマシンインタフェース処理部、Ｓ１
４は弱点保護ポリシＤＢ、Ｓ１５はＩＤＳ、Ｓ１６は外
部ネットワーク、Ｓ１７はＲemote Ｓcanner、Ｓ１８は
保護対象ネットワークである。

【００３６】本実施形態の不正アクセス対処ルール自動
設定装置は、図１に示すように、中央処理部Ｓ１０、診
断ツール制御部Ｓ１１、対処ツール制御部Ｓ１２、マン
マシンインタフェース処理部Ｓ１３、及び弱点保護ポリ
シＤＢＳ１４により構成される。なお、この実施形態の
場合、本発明装置と連携する脆弱性診断ツールは、Ｒem
ote ＳcannerＳ１７であり、不正アクセス対処ツールは
ＩＤＳ・Ｓ１５である。

【００３７】以下では、本発明による不正対処ルール自
動設定処理の大まかな流れを図１を用いて説明する。

【００３８】まず、Ｒemote ＳcannerＳ１７により実施
された保護対象ネットワークＳ１８のセキュリティ脆弱
性診断結果が、診断ツール制御部Ｓ１１により参照され
る。診断ツール制御部Ｓ１１は、この診断結果を元に、
保護対象ネットワーク環境に関する弱点情報を作成し、
中央処理部Ｓ１０に渡す。この弱点情報は、図２に示す
ように、複数のエントリを連結させるフォーマットとな
っている。エントリは弱点毎に作成されるため、同一ア
ドレスで特定される１台の通信機器が複数の弱点を持つ
場合には、その弱点数分のエントリが作成されることに
なる。エントリ中に設定される弱点の特徴に関する情
報、すなわち、「対抗できないシグネチャ（“シグネチ
ヤ種別”項目）」及び「脆弱なアクセスポイント（“通
信プロトコル種別”項目及び“通信ポート番号”項
目）」については、必ずしも両方が必要なわけではな
い。弱点の特定には、いずれか一方があればよい。な
お、本発明装置と連携するＲemote ＳcannerＳ１７の脆
弱性診断結果からは、少なくともいずれか一方に関する
情報が取得できるものとする。

【００３９】診断ツール制御部Ｓ１１から弱点情報を受
け取った中央処理部Ｓ１０における処理フローチャート
は、図３に示す通りである。

【００４０】まず、受け取った弱点情報を参照し（ステ
ップＳ３０１）、弱点情報にエントリが存在するかどう
かを確認する（ステップＳ３０２）。エントリが存在し
ない場合には「弱点無し」とみなし（ステップＳ３１
０）、対処ツール制御部に対して「エントリ無し（＝不
正対処不要）」の対処ルール設定依類情報を通知するこ
とになる。弱点情報にエントリが存在する場合には、そ
の設定状況をチェックする（ステップＳ３０３、Ｓ３０
４）。「通信機器アドレス」及び「弱点の特徴に関する
情報」のいずれか一方でも設定されていない場合、当該
エントリは無効として無視する（ステップＳ３０９）。

【００４１】エントリが有効の場合、中央処理部Ｓ１０
は次に弱点保護ポリシＤＢ（データベース）Ｓ１４、を
参照する（ステップＳ３０５）。

【００４２】弱点保護ポリシＤＢＳ１４の蓄積情報イメ
ージは、図４に示す通りであり、弱点毎に「消極型（＝
警報通知等）」及び「積極型（＝アクセス遮断等）」の
いずれの対処を取るべきかについて指定したものであ
る。この情報は、保護対象ネットワークの管理者等が、
当該環境の運用条件等を勘案し、マンマシンインタフェ
ース処理部Ｓ１３を通して設定することになる。

【００４３】中央処理部Ｓ１０は、弱点保護ポリシＤＢ
Ｓ１４に弱点への対処手段（「消極型」か「積極型」の
いずれか）が指定されていた場合には、その指定情報を
取得し（ステップＳ３０６）、指定されていない場合に
は、保護対象ネットワーク環境の安全性確保の観点から
「積極型」対処が指定されたものとみなす（ステップＳ
３０７）。

【００４４】弱点に対する対処手段が決まると、中央処
理部Ｓ１０は、対処関連情報を設定した不正対処ルール
設定依頼情報のエントリを作成する（ステップＳ３０
８）。

【００４５】不正対処ルール設定依頼情報は、図５に示
すように、「弱点詳細（通信機器アドレス、対抗できな
いシグネチャ等）」及び「弱点を突く不正アクセスヘの
対処手段（＝Ｓ１４参照結果により決定）」に関する情
報が設定されたエントリを連結させるフォーマットにな
っている。

【００４６】前述した弱点情報フォーマットの場合と同
様、１台の通信機器が複数の弱点を持つ場合には、その
数だけエントリ設定が必要になる。

【００４７】ルール設定依頼のエントリを作成後、中央
処理部Ｓ１０は、弱点情報中に未処理エントリが存在し
ないかどうか確認する（ステップＳ３１１）。存在する
場合には、その全ての処理を終了するまでステップＳ３
０３〜Ｓ３０８の処理を繰り返す。その結果完成した不
正対処ルール設定依頼を対処ツール制御部Ｓ１２に渡す
ことにより（ステップＳ３１２）、中央処理部Ｓ１０の
処理は終了する。

【００４８】中央処理部Ｓ１０から不正対処ルール設定
依頼を受け取った対処ツール制御部Ｓ１２は、その設定
情報を元に不正対処ルールを作成し、連携するＩＤＳ・
Ｓ１５へ通知する。

【００４９】なお、本実施形態のＩＤＳ・Ｓ１５は、本
実施形態の不正アクセス対処ルール自動設定装置２から
の不正対処ルール設定依頼、特に指定が無いアクセス事
象については、全て黙認するものとする。したがって、
例えば、本不正アクセス対処ルール自動設定装置２側か
ら定期的にルール設定依頼がある場合（＝定期的に保護
対象の脆弱性診断を実施している、等）に、ある時点で
“対処ルール無し（＝不正対処不要）”の設定依頼があ
ると、このＩＤＳ・Ｓ１５はその時点での保護対象のセ
キュリティ脆弱性は「無くなった」と判断し、全てのア
クセス事象を黙認することになる。

【００５０】以上の処理の結果、Ｒemote ＳcannerＳ１
７が検出した弱点の保護に最適な不正対処ルールが、Ｉ
ＤＳ・Ｓ１５に設定されることになる。

【００５１】以上、本発明者によってなされた発明を、
前記実施形態に基づき具体的に説明したが、本発明は、
前記実施形態に限定されるものではなく、その要旨を逸
脱しない範囲において種々変更可能であることは勿論で
ある。

【００５２】

【発明の効果】本願において開示される発明によって得
られる効果を簡単に説明すれば、下記のとおりである。
本発明は、不正アクセス対処ツールにより保護されたネ
ットワーク環境の安全性向上という面で、２通りの効果
をもたらす。

【００５３】まず１つ目は、不正対処ルール設定作業の
遅れがもたらすセキュリティ上の脅威の回避である。従
来の人手による不正対処ルール設定では、弱点発見から
対処ルール設定までに時間がかかるため、その間隙をぬ
う不正アクセスの脅威にさらされた。本発明は対処ルー
ル設定までの時間を短縮することにより、こうした脅威
を排除する。これは、通信機器の新設や変更の頻度が高
く、それに起因するセキュリティ脆弱性が頻発しやすい
ネットワーク環境にとって、特にメリットが大きいと考
える。

【００５４】２つ目は、不正対処ルール設定ミスがもた
らすセキュリティ上の脅威の回避である。人手による作
業では、ルール設定ミスを完全には回避しえず、それが
弱点を無防備に放置させる原因になっていた。本発明は
自動化により、人的ミスに起因する脅威を排除する。こ
れは、不正対処ルール設定に熟達したネットワーク管理
者を確保できないネットワーク環境にとって、特にメリ
ットが大きいと考える。

【図面の簡単な説明】

【図１】本発明の一実施形態の不正アクセス対処ルール
自動設定装置の概略構成を示すブロック図である。

【図２】本実施形態の弱点情報フォーマット例を示す図
である。

【図３】本実施形態の中央処理部における不正対処ルー
ル設定処理のフローチャートである。

【図４】本実施形態の弱点保護ポリシＤＢの弱点保護ポ
リシ情報蓄積イメージを示す図である。

【図５】本実施形態の不正対処ルール設定依頼情報フォ
ーマット例を示す図である。

【符号の説明】 Ｓ１０…中央処理部 Ｓ１１…診断ツール制
御部 Ｓ１２…対処ツール制御部 Ｓ１３…マンマシンイ
ンタフェース処理部 Ｓ１４…弱点保護ポリシＤＢ Ｓ１５…ＩＤＳ Ｓ１６…外部ネットワーク Ｓ１７…Ｒemote Ｓca
nner Ｓ１８…保護対象ネットワーク

フロントページの続き Ｆターム(参考） 5B042 GA12 JJ01 JJ03 JJ18 JJ46 5B085 AA08 AE00 5B089 GB02 JB14 KA17 KB04 KC54 MC11 5K030 GA15 LC13 MA01

Claims (4)

【特許請求の範囲】
1. 【請求項１】 セキュリティ脆弱性診断ツールと不正ア
   クセス対処ツールとの間のオンライン連携を仲立ちする
   オンライン連携仲立手段と、該オンライン連携仲立手段
   により、セキュリティ脆弱性診断ツール側から保護対象
   ネットワーク環境のセキュリティ上の弱点を特定するた
   めの弱点情報を取得する弱点情報取得手段と、弱点情報
   取得手段で得られた弱点を保護するように最適化された
   不正対処ルールを不正アクセス対処ツール側に設定する
   最適化不正対処ルール設定手段とを具備することを特徴
   とする不正アクセス対処ルール自動設定装置。
2. 【請求項２】 前記弱点情報は、弱点を持つ通信機器の
   アドレス、当該機器の脆弱なアクセスポイント等である
   ことを特徴とする請求項１に記載の不正アクセス対処ル
   ール自動設定装置。
3. 【請求項３】 前記弱点情報取得手段は、オンライン連
   携仲立手段により、セキュリティ脆弱性診断ツール側か
   ら保護対象ネットワーク環境のセキュリティ上の弱点を
   特定する診断ツール制御部を有することを特徴とする請
   求項１又は２に記載の不正アクセス対処ルール自動設定
   装置。
4. 【請求項４】 前記最適化不正対処ルール設定手段は、
   前記診断ツール制御部から取得した弱点情報を参照して
   不正対処ルール設定依頼情報のエントリを作成する手段
   を有することを特徴とする請求項３に記載の不正アクセ
   ス対処ルール自動設定装置。