JP2002342276A - ネットワーク侵入検知システムおよびその方法 - Google Patents

Abstract

(57)【要約】 【課題】 ネットワーク型侵入検知装置の高精度化をは
かると共に、情報の収集対象を不審者に絞り込み正規ア
クセス者のプライバシを保護する。 【解決手段】 予め侵入パターンに応じた複数の検出パ
ターンを準備しておき、捜査情報収集制御装置２により
必要に応じてその検出パターンを動的に切替える。ま
た、捜査情報収集制御装置２により、侵入の可能性を示
すような軽微な兆候も監視対象とし、そのレベルに応じ
て監視体制を変更させるべくネットワーク監視装置１お
よびトラヒック監視装置３を制御する。更に、トラヒッ
ク監視装置３で一定量のパケットを常に保持することに
より捜査情報収集制御装置２は直前の状態を検査情報と
して活用する。この保持しているパケットおよび、ネッ
トワーク監視装置１から取得した情報から侵入検知およ
び侵入後の手口の検証を行なう。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワーク侵入
検知システムおよびその方法、詳しくは、ネットワーク
侵入の有無を検知するネットワーク型侵入検知装置（Ｎ
ＩＤＳ：NetworkIntrusion Detection System）の改
良および管理システムとの連携によってセキュリティイ
ンシデント前後の情報を詳細に取得する総合的なセキュ
リティシステムおよびその方法に関する。

【０００２】

【従来の技術】インターネットを活用した企業間取引や
顧客へのサービス提供は、戦略的なビジネス展開を模索
する企業にとっては最重要課題になっている。しかしな
がらインターネットの通信環境は、ハッカーによる不正
侵入やウイルス感染といった様々な脅威にさらされてい
る。ところで、ファイヤウォールは、企業内ネットワー
クとインターネットの中間に接続し、インターネットか
らの不正なアクセスを遮断するセンサとして機能する。
ファイヤウォールを設置したネットワークシステムで
は、内部から外部へのゲートウェイ的なアクセスを可能
にし、インターネットの各種サービスを安全に利用でき
るようになる。但し、ハッカーによる不正侵入では、フ
ァイヤウォール本体のセキュリティホールを突いた攻撃
やポートスキャンによる攻撃、アクセスを妨害する使用
不能攻撃等、さまざまな攻撃を受ける危険性がある。

【０００３】

【発明が解決しようとする課題】上記したように、コン
ピュータシステムの不正利用が大きな社会問題となる
中、ネットワーク侵入の有無を検出するネットワーク型
侵入検知装置（ＮＩＤＳ）が市販され、応用されるよう
になってきた。ＮＩＤＳを利用することで、従来の侵入
されないことを前提に設計を行なう方法論に対して、侵
入される可能性を考慮したネットワークセキュリティシ
ステムを構築することが可能になった。しかしながら従
来のＮＩＤＳを用いたネットワークセキュリティシステ
ムによれば、以下に列挙する（１）〜（５）の欠点を持
つ。

【０００４】（１）予め一義的に定義された検出パター
ンに従った検出しか行なうことができず、従って、誤検
出が多い。 （２）侵入手口の高度化とともに、その検出定義パター
ンが複雑になり、定義の記述が困難である。 （３）ＮＩＤＳは、不正であると定義されたパケットの
みを検知するため、不正検知前後の攻撃者の一連の行動
を監視するために必要な情報を取得することができなか
った。また、複数ステップから成る「手口」を記録する
ためには、ＮＩＤＳで不正を検出後、ＮＩＤＳと独立な
パケット監視・記録装置を動作させるしか手立てがな
く、迅速に詳細な情報を取得することができなかった。
更に、脅威の程度に応じた動的な監視体制を構築するこ
とができず、常に侵入に関する詳細な情報をとろうとす
れば、ディスク、ＣＰＵ等、パケット監視・記録装置に
多くの計算機リソースが必要であると同時に、収集した
膨大な情報の解析は事実上不可能であった。 （４）侵入が検出された場合、その結果が未知の侵入で
あるか、または誤検出か否かを検証することが困難であ
った。検出結果の検証を行なうためには、予め詳細情報
の取得を行う設定にしておく必要があり、検出後詳細情
報を取得するように変更しても、多くの場合、既に侵入
が終わっているため手遅れとなっていた。 （５）情報収集のために正規アクセス者のプライバシを
侵害する恐れがあった。

【０００５】本発明は上記事情に鑑みてなされたもので
あり、予め侵入パターンに応じた複数の検出パターンを
準備しておき、必要に応じてこれを動的に切替え、その
詳細情報を取得する仕組みを用意することで情報源を増
やして捜査情報として活用し、かつ、トラヒック監視装
置と連携してその詳細情報を入手することによりＮＩＤ
Ｓの高精度化をはかったネットワーク侵入検知システム
およびその方法を提供することを目的とする。また、侵
入の可能性を示すような軽微な兆候も監視対象とし、そ
のレベルに応じてネットワーク監視体制を変更させるこ
とにより、情報の収集対象を不審者に絞り込み、正規ア
クセス者のプライバシを保護するネットワーク侵入検知
システムおよびその方法を提供することも目的とする。

【０００６】

【課題を解決するための手段】上記した課題を解決する
ために本発明は、監視対象ネットワークからネットワー
ク管理情報を得、ネットワーク侵入の有無およびその侵
入パターンを検知するネットワーク監視装置と、前記侵
入パターンと前記侵入パターンのそれぞれに応じてあら
かじめ用意された複数の検知パターンとの照合を行なう
ことにより該当する検知パターンを動的に切替え、当該
検知パターンに従う捜査情報を収集する捜索情報収集制
御装置とを備えたことを特徴とする。

【０００７】また、本発明において、前記捜索情報収集
制御装置からの要求に従い、前記検知パターンに従う捜
査情報を侵入の直前の情報も含めて出力するトラヒック
監視装置を備えたことを特徴とする。

【０００８】また、本発明において、前記捜査情報収集
制御装置は、前記ネットワーク監視装置によって検知さ
れた特定の侵入者による通信を集中監視する攻撃元監視
部を備えたことを特徴とする。

【０００９】また、本発明において、前記捜査情報収集
制御装置は、前記ネットワーク監視装置によって検知さ
れた特定の攻撃対象への通信を集中監視する攻撃対象監
視部を備えたことを特徴とする。

【００１０】また、本発明において、前記捜査情報収集
制御装置は、前記ネットワーク監視装置によって検知さ
れた検知情報に対し、他に同様の検知情報があるか否か
を検証するアラート検証部を備えたことを特徴とする。

【００１１】また、本発明において、前記アラート検証
部は、監視対象ネットワーク情報が格納されたデータベ
ースを参照し、アラート対象ホストの重要度、アラート
対象ホストのトラヒック量、アラート対象サービスの重
要度の少なくとも１つを前記トラヒック監視装置からの
捜査情報の情報取得レベルに反映させることを特徴とす
る。

【００１２】また、本発明において、前記捜査情報収集
制御装置は、あらかじめその手口シーケンスと手口対抗
処理が定義された手口パターンと前記トラヒック監視装
置から得られる侵入元ホストからの捜査情報とを比較す
ることによって手口候補を絞り、当該手口候補が見つか
ったときにそのターゲットのシャットアウトを含む手口
対抗処理を行なう手口監視部を備えたことを特徴とす
る。

【００１３】上記構成において、予め侵入パターンに応
じた複数の検出パターンを準備しておき、必要に応じて
動的に切替える仕組みを用意することにより、収集の対
象とする情報を既存のＮＩＤＳによる一義的な方式か
ら、ネットワーク管理情報を含めた広範な情報に拡張す
ることで情報源を増やし捜査情報として活用することが
できる。また、ＮＩＤＳの検出パターンおよび情報取得
パターンの細かなコントロールを行なうことで、ＮＩＤ
Ｓの高精度化が図れる。更に、トラヒック監視装置で一
定量のパケットを常に保持することにより、捜査情報収
集制御装置は直前の状態も含めて検知情報として活用で
きる。従って、この保持しているパケットおよび、上記
により取得した情報からの侵入検査および侵入後の手口
の検証が可能になる。また、捜査情報収集制御装置によ
り、侵入の可能性を示すような軽微な兆候も監視対象と
し、そのレベルに応じて監視体制を変更させることがで
きる。具体的には、必要に応じてトラヒック監視装置対
して指示を出し、その情報取得レベルを動的に変更し、
その結果、情報の収集対象を不審者に絞り込むことにな
り、正規アクセス者のプライバシを保護することができ
る。

【００１４】上記した課題を解決するために本発明は、
監視対象ネットワークからネットワーク管理情報を得、
ネットワーク侵入の有無およびその侵入パターンを検知
し、前記侵入パターンと前記侵入パターンのそれぞれに
応じてあらかじめ用意された複数の検知パターンとの照
合を行なうことにより該当する検知パターンを動的に切
替え、当該検知パターンに従う捜査情報を収集すること
を特徴とする。

【００１５】また、本発明において、前記検知パターン
に従う捜査情報を侵入の直前の情報も含めて出力するこ
とを特徴とする。

【００１６】

【発明の実施の形態】図１は、本発明におけるネットワ
ーク侵入検知システムの一実施形態を示すブロック図で
ある。本発明のネットワーク侵入検知システムは、ネッ
トワーク監視装置１と、捜査情報収集制御装置２と、ト
ラヒック監視装置３と、監視対象ネットワーク４で構成
される。ネットワーク監視装置１は、監視対象ネットワ
ーク４からネットワーク管理情報を得、ネットワーク侵
入の有無およびその侵入パターンを検知する機能を有す
る。また、捜査情報収集装置２は、侵入パターンと侵入
パターンのそれぞれに応じてあらかじめ用意された複数
の検知パターンとの照合を行なうことにより該当する検
知パターンを動的に切替え、当該検知パターンに従う捜
査情報を収集する機能を有する。更に、トラヒック監視
装置３は、捜索情報収集制御装置２からの要求に従い、
検知パターンに従う捜査情報を侵入の直前の情報も含め
て出力する機能を有する。

【００１７】ネットワーク監視装置１は、ネットワーク
監視部１１と、監視対象ネットワーク情報ＤＢ（データ
ベース）１２で構成される。ネットワーク監視部１１
は、監視対象ネットワーク４からネットワーク管理情報
を得、不正侵入を検知することにより捜査情報収集制御
装置２に対して検知情報（アラート情報）を伝え、捜査
情報収集制御装置２からの監視対象ネットワーク情報要
求に基づき監視対象ネットワーク情報ＤＢ１２に蓄積さ
れた監視対象ネットワーク情報を提供する。監視対象ネ
ットワークＤＢ１２には、ネットワーク構成情報、サー
ビス情報、運用情報の他に、ヘッダとペイロード（内
容）から構成されるＩＰパケット情報が蓄積される。な
お、ネットワーク構成情報としては、ネットワークに接
続されたホスト、ルータ等の機器の詳細ルーティング情
報が、サービス情報としては、ホストのサービス提供ポ
リシー、実際にホストに提供するサービスが、運用情報
としては、ホスト毎のトラヒック情報、サービス毎のト
ラヒック情報（アクセス頻度）が蓄積される。なお、監
視対象ネットワークＤＢ１２には、ホストおよびサービ
スの重要度、トラヒック量の高低に関する情報も含ま
れ、その一例が図６、図７に示されている。また、ここ
では、監視対象ネットワーク情報ＤＢ１２がネットワー
ク監視装置１内にあるものとして説明するが、後述する
捜査情報収集制御装置２にあってもよい。この場合、基
本的な制御部が全て捜査情報収集装置２に集められるた
め、ネットワーク監視装置１の構成および機能をシンプ
ルにすることが可能である。

【００１８】捜査情報収集制御装置２は、情報収集制御
部２１を核に、アラートログＤＢ（データベース）２２
と、攻撃元監視部２３と、攻撃対象監視部２４と、アラ
ート検証部２５と、手口監視部２６で構成される。情報
収集制御部２１は、ネットワーク監視装置１からのアラ
ート情報によって起動され、攻撃元監視部２３、攻撃対
象監視部２４、アラート検証部２５、手口監視部２６と
のインタフェースを司り、トラヒック監視装置３から該
当する捜査情報の収集を開始するものであり、図２に示
されるように、ルール解析部２１１と、パターンマッチ
部２１２と、アクション実行部２１３と、ルールライブ
ラリ２１４で構成される。

【００１９】捜査情報収集装置２に侵入パターンのそれ
ぞれに応じて複数の検知パターンがあらかじめ用意され
ることは上記した通りである。ここではその検知パター
ンがルールとしてライブラリ化されており、ルールライ
ブラリ２１４中に記憶されている。ルール解析部２１１
がこのルールを読み取って解析を行い、パターンマッチ
部２１２でネットワーク監視部１を介して得られるＩＰ
パケットと照合し、一致のとれた検知パターンに従うア
クションをアクション実行部２１３で実行する。ここで
いうアクションとは、トラヒックの記録開始、中止、特
定攻撃元監視、特定対象監視、アラート検証、手口監視
であり、必要に応じてルールセットの変更を行なう。

【００２０】図３、図４に、それぞれ、ルール書式、ル
ールの一例を示す。図３（ａ）に示されるように、ルー
ルは、”パターン”部と”アクション”部によって定義
される。パターンとして、ｔｃｐ（transfer control
protocol）、ｕｄｐ（userdatagram protocol）等の
プロトコル（protocol）、ＩＰアドレス、ポート番号等
のソース仕様（source-spec）、双方向／片方向（<>|
→）、ＩＰアドレス、ポート番号等のデステネーション
仕様（dest-spec）、その他ペイロード部のマッチング
仕様（matchinf-spec）等が記述される。なお、図中＊
印は繰り返しを意味する。

【００２１】図３（ｂ）はパターン部の書式を表したも
のであり、上記したＩＰアドレスとポート番号の他に、
タイトル値（ttl）、ＩＣＭＰ（Internet Control Me
ssage Protocol）タイプ（itype）、ＩＣＭＰコード
（icode）、最小フアラグメントペイロードサイズ（min
frag）、ＴＣＰシーケンス番号（seq）、ＴＣＰ−ＡＣ
Ｋ（Acknowledge）番号（ack）、ＩＰヘッダのフラグメ
ントＩＤ番号（id）、ペイロードサイズ（dsize）、パ
ターンマッチ用のパケットの内容（content）がある。
図３（ｃ）は、アクション情報を表したものであり、ア
ラート情報を上位装置のマネージャ（情報収集制御部２
１）に送るアラート（alert）、メッセージをログファ
イルに格納するログ（log）、ルールセットを切替える
フォークルールセット（fork-ruleset）、トラヒック監
視装置３の制御を行うレコード（record）等がある。

【００２２】図４は、図３に示した書式に従い、攻撃元
監視を行なう場合、攻撃対象監視を行なう場合、ポート
スキャンを検出したときに攻撃元監視を行う場合の、そ
れぞれのルール例を示したものである。攻撃元監視で
は、ルールネーム”sniffing-host”において、任意プ
ロトコルでＩＰアドレス”192.168.10.10”の任意ポー
トを監視して変数$HOME_NETの任意ポートに全て記録す
ることを意味し、攻撃対象監視では、ルールネーム”wa
tch-home”において、任意プロトコル、任意ＩＰアドレ
ス、任意ポートを監視してＩＰアドレス”192.168.0.
5”の任意ポートに、全てのヘッダ情報に加えペイロー
ド頭２０バイトを記録することを意味する。また、ポー
トスキャンを検出したときに攻撃元監視を行う場合、ル
ールネーム”switch-snif”において、任意プロトコル
で任意ＩＰアドレスの任意ポートを監視して変数$HOME_
NETの任意ポートスキャン検出後、変数$source_address
にある”snifing-host”にルールセットを切替えること
を意味する。

【００２３】説明を図１に戻す。攻撃元監視部２３は、
ネットワーク監視装置１によって検知された特定の侵入
者による通信を集中監視する機能を有し、攻撃対象監視
部２４は、ネットワーク監視装置１によって検知された
特定の攻撃対象への通信を集中監視する機能を有する。
また、アラート検証部２５は、ネットワーク監視装置１
によって検知された検知情報に対し、他に同様の検知情
報があるか否かを検証する機能を有する。更に、手口監
視部２６は、監視対象ネットワーク情報ＤＢ１２を参照
し、アラート対象ホストの重要度、アラート対象ホスト
のトラヒック量、アラート対象サービスの重要度の少な
くとも１つをトラヒック監視装置２からの捜査情報の情
報取得レベルに反映させると共に、あらかじめその手口
シーケンスと手口対抗処理が定義された手口パターンと
トラヒック監視装置２から得られる侵入元ホストからの
履歴を示す捜査情報とを比較することによって手口候補
を絞り、当該手口候補が見つかったときにそのターゲッ
トのシャットアウトを含む手口対抗処理を行なう機能を
有する。なお、攻撃元監視部２３、攻撃対象監視部２４
についての具体的事例は図４に示したとおりであり、ア
ラート検証部２５、手口監視部２６についての詳細は具
体的事例を用いて後述する。

【００２４】トラヒック監視装置３は、トラヒック監視
部３１と、トラヒックバッファ３２と、捜査情報抽出部
３３と、捜査情報ＤＢ（データベース）３４で構成され
る。トラヒック監視部３１は、監視対象ネットワーク４
から得られる一定量のパケットを常時トラヒックバッフ
ァ３２に蓄積する機能を有する。トラヒックバッファ３
２はＦＩＦＯ（First-In First-Out）方式のバッファ
であって、捜査情報抽出部３３からのパケット情報要求
に基づき、既に蓄積してあるパケット情報を所定の単位
毎転送する。捜査情報抽出部３３は、転送されたパケッ
ト情報を捜査情報ＤＢ３４に蓄積すると共に、捜査情報
収集制御装置２から発せられる捜査情報収集要求に基づ
き、その要求した情報取得レベルに応じた詳細情報を捜
査情報ＤＢ３４を検索することにより供給する機能も合
わせ持つ。

【００２５】図５は、図１に示す捜査情報収集制御装置
２の動作につき、ネットワークセキュリティシステムを
例示して示した動作概念図である。ここでは、ネットワ
ーク監視装置１−１で監視ネットワーク４−１のサーバ
５−１に対する侵入検知情報と関連情報を検知し、捜査
情報収集制御装置２に通知する（）。捜査情報収集制
御装置２は、関連のリンクの監視を強化するためにネッ
トワーク監視装置１−２、ネットワーク監視装置１−３
をグルーピングしてネットワーク監視装置１−１で検知
されたソースアドレス情報等を基準として集中的に監視
するように指示を発する（）。同時にネットワーク監
視装置１−２、１−３では「手口」に関する情報を収集
する（）。また、監視ネットワーク４−１とは異なる
ネットワーク４−２に対する攻撃を事前に警戒すること
を実現するために直接関連のないネットワーク監視装置
１−４に対してもで判明した手口が利用されているか
否かを監視し、早期警戒に努めている（）。

【００２６】以下、図６以降を参照しながらアラート検
証、手口監視について説明する。図６、図７は、アラー
ト検証処理の流れをフローチャートで示したものであ
り、また、図８は、アラート検証処理の入出力例を概念
的に示したものである。まず、図６に示すフローチャー
トにおいて、アラート関連情報として、対象ＯＳ、対象
ネットワークサービス、対象バージョン、対象パッチレ
ベル他が設定されていることを前提に、アラート検証部
２５は、まず、対象ホスト情報を監視対象ネットワーク
情報ＤＢ１２から取得する（ステップＳ６１）。また、
アラート検証部２５は、アラート対象ＯＳは攻撃対象Ｏ
Ｓと等しいか否かをチェックし（ステップＳ６２）、等
しくないと判定された場合は無効アラート処理を（ステ
ップＳ６３）、等しいと判定された場合は、更に、アラ
ート対象ネットワークサービスが攻撃対象ホストで動作
中か否かをチェックする（ステップＳ６４）。

【００２７】ここで、アラート対象ネットワークサービ
スが攻撃ホストで動作中でないと判定された場合には、
更にネットワークサービス検証処理（ステップＳ６５）
を、動作中と判定された場合には、更にアラート対象ネ
ットワークサービスのバージョンが攻撃対象ホストと同
一か否かがチェックされる（ステップＳ６６）。ネット
ワークサービス検証処理を行なう（ステップＳ６５）こ
とでアラート対象ネットワークサービスが攻撃対象ホス
トで現時点で動作中か否かを判定し（ステップＳ６１
０）、動作中でない場合にはステップＳ６１２で無効ア
ラート処理を行い、動作中であった場合は、ステップＳ
６１１で不正サービス処理を行なう。なお、アラート対
象ネットワークサービスのバージョンが攻撃対象ホスト
で動作中のものと異なると判定された場合は無効アラー
ト処理（ステップＳ６７）を、等しいと判定された場合
は図７に示す有効アラート処理を開始する（ステップＳ
６８）。そして、攻撃対象ホストの全てが終了するまで
上記したステップＳ６１からＳ６８に至るアラート検証
処理を繰り返す（ステップＳ６９）。

【００２８】図７に示すフローチャートにおいて、アラ
ート検証部２５は、監視対象ネットワーク情報ＤＢ１２
に定義されてあるアラート対象ホストの重要度をチェッ
クし、あらかじめ設定された閾値と比較して重要度が高
いと判定された場合にその重要度を＋１更新する処理を
行う（ステップＳ７２）。重要度がそれほど高くない場
合は更に監視対象ネットワーク情報ＤＢ１２を参照して
アラート対象ホストトラヒック量をチェックし、高いと
判定された場合、先の重要度同様トラヒック量の重要度
を＋１更新する。トラヒック量がそれほど高くない場合
は更にアラート対象サービスの重要度をチェックし、重
要度が高い場合にその重要度を＋１更新する。重要度が
それほど高くない場合に有効アラート処理を終了する。
ここでアラート検証部２５が単なるアラート検証処理の
他に重要度を制御する理由は、トラヒック監視装置３を
制御して詳細情報を収集するときのレベル判断に使用す
るためである。

【００２９】図８にアラート検証のための入出力例が示
されている。図８において、アラート検証部２５は、ま
ず、ネットワーク監視部１から情報収集制御部２１を介
してアラート情報を入力情報として受信する。入力情報
は、ＩＤが”1080”、アラート対象ホストのアドレス
が”192.168.0.1”、種類が”SNMP public acces
s”、ネットワークサービス名が”SNMP：Simple Netwo
rk Management Protocol”、ポート番号が”161”、
バージョンが任意バージョンから成るアラート情報＃
１、ＩＤが”1080”、アラート対象ホストのアドレス
が”192.168.0.1”、種類が”anonymous ftp”、ネッ
トワークサービス名が”FTP：File Transfer Protoco
l”、ポート番号が”21”、バージョンが任意バージョ
ンから成るアラート情報＃２である。一方、攻撃対象ネ
ットワーク情報ＤＢ２６０には、ホストが”192.168.0
1”、ネットワークサービス名が”SNMP”、バージョ
ン”2.0”、ステイタスを”ACTIVE”とする攻撃対象ネ
ットワーク情報＃１が、ホストが”192.168.01”、ネッ
トワークサービス名が”SNMP”、バージョン”2.0”、
ステイタスを”ACTIVE”、ネットワークサービス名を”
FTP”、バージョンを”3.0”、ステイタスを”INACTIV
E”とする攻撃対象ネットワーク情報＃２が格納されて
いる。ここで検証の結果、アラート情報＃１については
有効アラート処理を、アラート情報＃２については出力
項目として無効アラート処理を実行することになる。

【００３０】図９、図１０は、手口監視部２６による手
口監視の例を示したものであり、それぞれ、処理の流れ
をフローチャートで、手口パターンの例をリスト形式で
記述したものである。図１０に示されるように、ここで
は、（１）から（４）で示す４通りの手口パターンが例
示されており、それぞれに手口シーケンスと手口対抗処
理が示されている。すなわち、手口パターン（１）で
は、ポートスキャンがあってウェッブCGIに対する攻撃
によりバッファオーバフローが検出される３つの手口シ
ーケンスの対抗処理として、その攻撃元ホスト（sourc
e）のシャットダウンと”ターゲットホストはソースに
よって侵入された”旨のアラートが発せられる。手口パ
ターン（２）では、ポートスキャンがあって、”finge
r”および”telnet”サービスの後、バッファオーバフ
ローが検出された４つのシーケンスの対抗処理として、
その相手先（source）のシャットアウトと”ターゲット
ホストはソースによって侵入された”旨のアラートが発
せられる。

【００３１】一方、手口パターン（３）は、複数ホスト
からの攻撃手口が検出された場合を示し、複数ホスト
（Other_Hosts）から対象ホスト（target）への分散Ｄ
ＯＳ攻撃を検出し、引き続き相手先ホスト（Source）か
ら対象ホストへのPing_Of_Death攻撃を検出した場合、
その対抗措置として相手先ホスト、複数ホストのシャッ
トアウト、および”ターゲットホストはソースホストに
より侵入された”旨のアラートが発せられる。また、手
口パターン（４）も複数ホスト（Other_Hosts）からＤ
ＮＳを実行する対象ホスト（DNS_SERVER）への分岐ＤＯ
Ｓ攻撃を検出し、同時にＤＮＳ（Domain Name Serve
r）として登録されていないホストからのＤＮＳ対応メ
ッセージを確認した場合、相手先ホスト、複数ホストの
シャットアウトおよび”ＤＮＳサーバがダウンした”旨
のアラートが発せられる。

【００３２】図９に示すフローチャートにおいて、手口
監視部２６は、アラート情報を受信後、手口パターンＤ
Ｂ２７０から手口パターンを取得する（ステップＳ９
１）。手口パターンとして、図１０に示したように対抗
シーケンスとその対抗処理が記述されている。手口監視
部２６はまた捜査情報ＤＢ３４を参照することにより攻
撃元ホスト（source）からの履歴情報を取得する（ステ
ップＳ９２）。そして、複数ホストからの手口の場合、
手口監視部２６は更に、その他ホストからの履歴情報を
取得して（ステップＳ９３）、手口パターンと履歴の照
合を行なう（ステップＳ９４）。ここで、一致した場合
は手口候補を絞り（ステップＳ９５）、不一致の場合は
ステップＳ９１の処理に戻って次の手口パターン情報を
取得し、以降、手口パターンが継続するまで上記の操作
を繰り返す（ステップＳ９６）。そして、手口候補が絞
られたときに（ステップＳ９７）、手口パターンＤＢ２
７０に手口対抗として記述された処理を行なう。すなわ
ち、図１０に記述されるように、例えば、攻撃元ホスト
（source）のシャットアウトと”ターゲットホストはソ
ースによって侵入された”旨のアラートが発せられ、ま
た、複数ホストからの攻撃手口が検出された場合に、例
えば、相手先を含む他のホストのシャットアウトおよ
び”ＤＮＳサーバがダウンした”旨のアラートが発せら
れる。

【００３３】以上説明のように本発明によれば、ＮＩＤ
Ｓおよび管理システムとの連携によりセキュリティイン
シデント前後の情報を詳細に取得する総合的なセキュリ
ティシステムを構築することができる。また、予め侵入
パターンに応じた複数の検出パターンを準備しておき、
必要に応じて動的に切替える仕組みを用意することによ
り、収集の対象とする情報を既存のＮＩＤＳによる一義
的な方式から、ネットワーク管理情報を含めた広範な情
報に拡張することで情報源を増やし捜査情報として活用
することができる。また、ＮＩＤＳの検出パターンおよ
び情報取得パターンの細かなコントロールを行なうこと
で、ＮＩＤＳの高精度化が図れる。具体的には、全ポー
トに対するポートスキャンを検出し、その後、同じホス
トから例えばsmtpポートに対する不穏なアクセスを検出
したら、smtpの脆弱性に関する侵入検査パターンを重点
的に適用する様に、ＮＩＤＳのルールを切替える。

【００３４】また、捜査情報収集制御装置２により、侵
入の可能性を示すような軽微な兆候も監視対象とし、そ
のレベルに応じて監視体制を変更させる。具体的には、
必要に応じてトラヒック監視装置３対して指示を出し、
その情報取得レベルを動的に変更し、その結果、情報の
収集対象を不審者に絞り込むことになり、正規アクセス
者のプライバシを保護することができる。例えば、ある
ステップで、ＮＩＤＳによりあるＩＰアドレスからの侵
入に向けた不穏な動きが検出された場合、そのＩＰアド
レスからのある特定ポートに対する全パケットに対し
て、先頭からｎビット分を記録する。そして次のステッ
プで、そのＩＤアドレスからの不穏な動きが継続してｎ
分以上検出された場合、そのＩＤアドレスからの全ポー
トに対する全パケットの先頭からｎビット分を記録し、
更に次のステップでそのＩＤアドレスからの侵入可能性
が検出された場合、そのＩＤアドレスのパケットを全て
記録する。

【００３５】更に、トラヒック監視装置３で一定量のパ
ケットを常に保持することにより捜査情報収集制御装置
２は直前の状態を検査情報として活用できる。この保持
しているパケットおよび、上記により取得した情報から
の侵入検査および侵入後の手口の検証が可能になる。例
えば、ＩＰアドレス”10.2.190.38”からの通信内容の
全記録から、ポート”25”に対する”smtp”での侵入を
試みた形跡が見つかったが、侵入は失敗に終わったこと
が判明し、また、先のポート”25”以外に対する通信記
録を調べたところ、ポート”80”の”cgi”に対する見
慣れないフォーマットによる通信が、先の例に次いで多
いことが判明した場合、結果として、ポート”80”の”
cgi”に対する未知の侵入方法を試みたことが判明す
る。

【００３６】なお、上記したネットワーク監視装置１
と、捜査情報収集制御装置２と、トラヒック監視装置３
と、ネットワーク監視部１１と、情報収集制御部２１
と、攻撃元監視部２３と、攻撃対象監視部２４と、アラ
ート検証部２５と、手口監視部２６と、トラヒック監視
部３１と、操作情報抽出部３３と、ルール解析部２１１
と、パターンマッチ部２１２と、アクション実行部２１
３のそれぞれで実行される手順をコンピュータ読み取り
可能な記録媒体に記録し、この記録媒体に記録されたプ
ログラムをコンピュータシステムに読み込ませ、実行す
ることにより上述した各装置における機能を実行しても
よい。ここでいうコンピュータシステムとは、ＯＳや周
辺機器等のハードウアを含むものとする。

【００３７】また、「コンピュータシステム」は、ＷＷ
Ｗシステムを利用している場合であれば、ホームページ
提供環境（あるいは表示環境）も含むものとする。ま
た、「コンピュータ読み取り可能な記録媒体」とは、フ
レキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−
ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵され
るハードディスク等の記憶装置のことをいう。さらに
「コンピュータ読み取り可能な記録媒体」とは、インタ
ーネット等のネットワークや電話回線等の通信回線を介
してプログラムが送信された場合のサーバやクライアン
トとなるコンピュータシステム内部の揮発性メモリ（Ｒ
ＡＭ）のように、一定時間プログラムを保持しているも
のも含むものとする。

【００３８】また、上記プログラムは、このプログラム
を記憶装置等に格納したコンピュータシステムから、伝
送媒体を介して、あるいは、伝送媒体中の伝送波により
他のコンピュータシステムに伝送されてもよい。ここ
で、プログラムを伝送する「伝送媒体」は、インターネ
ット等のネットワーク（通信網）や電話回線等の通信回
線（通信線）のように情報を伝送する機能を有する媒体
のことをいう。また、上記プログラムは、前述した機能
の一部を実現するためのものであっても良い。さらに、
前述した機能をコンピュータシステムにすでに記録され
ているプログラムとの組み合わせで実現できるもの、い
わゆる差分ファイル（差分プログラム）であっても良
い。

【００３９】以上、この発明の実施形態を図面を参照し
て詳述してきたが、具体的な構成はこの実施形態に限ら
れるものではなく、この発明の要旨を逸脱しない範囲の
設計等も含まれる。また、ルールやパターン等につき数
多く例示したが、これらはあくまで一例であってそのフ
ォーマットならびに運用についてはこの限りでない。

【００４０】

【発明の効果】以上説明のように本発明によれば、収集
の対象とする情報を既存の侵入検知装置等の一義的な方
式から、ネットワーク管理情報を含めた広範な情報に拡
張することで、情報源を増やし捜査情報として活用でき
る。従って、ＮＩＤＳの検出パターンおよび情報取得パ
ターンの細かなコントロールを行うことで、ＮＩＤＳの
高精度化が図れる。また、より緻密な侵入情報の取得が
可能になり、不審者監視が実現でき、更に、侵入者検知
の精度が向上し、かつ迅速な対処が可能となり、誤検知
も削減することができる。

【００４１】本発明によれば、上記の他に以下に列挙す
る効果も得られる。 （１）侵入の直前情報を利用することにより、「手口」
の詳細な解析が可能となり、事後対応計画が立てやすく
なる。 （２）検知した情報の内容に基づき監視対象、およびレ
ベルを動的に変更することで、一般の正規利用者のトラ
ヒック内容に触れずに調査することができる。 （３）情報を収集する対象を絞り込むことにより、少な
い計算機リソースで、後の解析に必要な情報の取得が可
能となり、センサ負荷の削減がはかれる。 （４）情報の収集対象を不審者に絞り込むことにより、
正規アクセス者のプライバシを保護できる。 （５）詳細な侵入検知情報の取得をきめ細かく制御でき
るため安価な機材を用いてシステム構築が可能となる。 （６）侵入情報を検知した後、対象となるネットワーク
の運用状況を考慮して侵入検知情報の検証を行なうこと
が可能である。

【図面の簡単な説明】

【図１】 本発明におけるネットワーク侵入検知システ
ムの一実施形態を示すブロック図である。

【図２】 図１に示す情報収集制御部の内部構成を示す
ブロック図である。

【図３】 ルールライブラリに記述されるルール書式を
説明するために引用した図である。

【図４】 図２に示すルールライブラリに格納されたル
ールの一例を示す図である。

【図５】 図１に示す捜査情報収集制御装置の動作につ
き、ネットワークセキュリティシステムを例示して示し
た動作概念図である。

【図６】 アラート検証処理の流れをフローチャートで
示した図である。

【図７】 図６に示す有効アラート処理の詳細な流れを
フローチャートで示した図である。

【図８】 アラート検証処理を説明するために引用した
動作概念図である。

【図９】 手口監視処理の流れをフローチャートで示し
た図である。

【図１０】 手口監視のために手口パターンＤＢに記述
される手口パターンの例を示す図である。

【符号の説明】

１…ネットワーク監視装置、２…捜査情報収集制御装
置、３…トラヒック監視装置、４…監視対象ネットワー
ク、１１…ネットワーク監視部、１２…監視対象ネット
ワーク情報ＤＢ、２１…情報収集制御部、２２…アラー
トログＤＢ、２３…攻撃元監視部、２４…攻撃対象監視
部、２５…アラート検証部、２６…手口監視部、３１…
トラヒック監視部、３２…トラヒックバッファ、３３…
捜査情報抽出部、３４…捜査情報ＤＢ、２１１…ルール
解析部、２１２…パターンマッチ部、２１３…アクショ
ン実行部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 伊藤 義裕 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 (72)発明者 小堀 誠 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 (72)発明者 キニ グレン マンスフィールド 宮城県仙台市青葉区南吉成六丁目６番地の ３ 株式会社サイバー・ソリューションズ 内 Ｆターム(参考） 5B085 AC03 AC11 AE00 5B089 GB02 KA17 KB04 5K030 GA15 HB08 HC01 JA10 MB09 MC07 MC08

Claims (8)

【特許請求の範囲】
1. 【請求項１】 監視対象ネットワークからネットワーク
   管理情報を得、ネットワーク侵入の有無およびその侵入
   パターンを検知するネットワーク監視装置と、 前記侵入パターンと前記侵入パターンのそれぞれに応じ
   てあらかじめ用意された複数の検知パターンとの照合を
   行なうことにより該当する検知パターンを動的に切替
   え、当該検知パターンに従う捜査情報を収集する捜索情
   報収集制御装置とを備えたことを特徴とするネットワー
   ク侵入検知システム。
2. 【請求項２】 前記捜索情報収集制御装置からの要求に
   従い、前記検知パターンに従う捜査情報を侵入の直前の
   情報も含めて出力するトラヒック監視装置を備えたこと
   を特徴とする請求項１に記載のネットワーク侵入検知シ
   ステム。
3. 【請求項３】 前記捜査情報収集制御装置は、 前記ネットワーク監視装置によって検知された特定の侵
   入者による通信を集中監視する攻撃元監視部を備えたこ
   とを特徴とする請求項１に記載のネットワーク侵入検知
   システム。
4. 【請求項４】 前記捜査情報収集制御装置は、 前記ネットワーク監視装置によって検知された特定の攻
   撃対象への通信を集中監視する攻撃対象監視部を備えた
   ことを特徴とする請求項１に記載のネットワーク侵入検
   知システム。
5. 【請求項５】 前記捜査情報収集制御装置は、 前記ネットワーク監視装置によって検知された検知情報
   に対し、他に同様の検知情報があるか否かを検証するア
   ラート検証部を備えたことを特徴とする請求項１に記載
   のネットワーク侵入検知システム。
6. 【請求項６】 前記アラート検証部は、 監視対象ネットワーク情報が格納されたデータベースを
   参照し、アラート対象ホストの重要度、アラート対象ホ
   ストのトラヒック量、アラート対象サービスの重要度の
   少なくとも１つを前記トラヒック監視装置からの捜査情
   報の情報取得レベルに反映させることを特徴とする請求
   項５に記載のネットワーク侵入検知システム。
7. 【請求項７】 前記捜査情報収集制御装置は、 あらかじめその手口シーケンスと手口対抗処理が定義さ
   れた手口パターンと、前記トラヒック監視装置から得ら
   れる侵入元ホストからの捜査情報とを比較することによ
   って手口候補を絞り、当該手口候補が見つかったときに
   そのターゲットのシャットアウトを含む手口対抗処理を
   行なう手口監視部を備えたことを特徴とする請求項１、
   請求項２、請求項５、請求項６のいずれか１項に記載の
   ネットワーク侵入検知システム。
8. 【請求項８】 監視対象ネットワークからネットワーク
   管理情報を得、ネットワーク侵入の有無およびその侵入
   パターンを検知し、 前記侵入パターンと前記侵入パターンのそれぞれに応じ
   てあらかじめ用意された複数の検知パターンとの照合を
   行なうことにより該当する検知パターンを動的に切替
   え、 当該検知パターンに従う捜査情報を収集することを特徴
   とするネットワーク侵入検知方法。