JP2004030286A - 侵入検知システムおよび侵入検知プログラム - Google Patents

Abstract

【課題】複数の侵入検知装置から生成された侵入検知情報を収集し、ブラックリストを作成して的確に防御手段を指示することができる侵入検知システムおよび侵入検知プログラムを提供する。
【解決手段】侵入検知装置（ＮＩＤＳ）１０−１〜３は、監視する内部ネットワークに送られてきたパケット情報を検出して構成内容を解析し、不正アクセスを検出して侵入検知情報を生成する。アラート収集装置２０は、この侵入検知情報を収集して、集計とスコアリングを行い、攻撃スコアを算出する。算出されたスコアに基づき防御手段の指示を含むブラックリスト３０を作成し、出力する。
【選択図】　図１

Description

【０００１】
【発明の属する技術分野】
この発明は、コンピュータネットワークにおける不正な手段による侵入を監視し、検知する侵入検知システムに用いて好適な侵入検知システムおよび侵入検知プログラムに関する。
【０００２】
【従来の技術】
各種の情報を提供するＷｅｂサーバや電子メールの送受信を行うメールサーバなどネットワークに接続されたコンピュータシステムは、常に不正な攻撃の危険にさらされている。このような攻撃からシステムを防御するために、防御の構成に応じて侵入検知システムやファイアウォールが設けられる。攻撃手法は、非常に巧妙になってきているが、侵入前に必要な情報を収集する過程を経て行われる。侵入検知システムは、この情報収集のためのアクセスを監視して、不正を検知する。侵入検知システムとしては、監視対象となる内部ネットワークが接続されるネットワーク接続部分に設けられるネットワーク型侵入検知システム、監視対象のホストに設けられるホスト型侵入検知システムなどがある。従来、これらの侵入検知システムは、監視するネットワークを流れる信号あるいは監視対象のホストへのアクセスを監視して不正な通信を検知する。そして、侵入検知情報を生成し、その検知情報に基づく防御のための指示を出力する。不正な通信としては、攻撃のターゲットであるサーバなどのコンピュータシステムの情報を入手するためのポートスキャンや稼動しているアプリケーションを強制的に停止させてしまうアクセスなどがある。
【０００３】
【発明が解決しようとする課題】
上述のように、従来の侵入検知システムにおいては、監視対象のネットワークまたはホストへのアクセスを監視し、不正な通信を検知している。従って、インターネットに接続されている他のネットワークへの攻撃の状況を知ることはできない。そのために、特定の攻撃元が複数ターゲットへの攻撃を行っていることを検知することが困難という問題があった。また、ポートスキャンを大きな時間間隔あるいは間欠的に行うスロースキャンを検出することは、一つのネットワークまたはホストを監視しているだけでは極めて難しいという問題があった。さらに、ネットワーク全体で受けている攻撃の状況を把握できないために、不正侵入検知結果に基づく細かな防御策を、迅速に講じることが困難であった。また、ネットワーク型侵入検知システムとファイアウォールなどとの組み合わせによってネットワークを制御する場合、当該ファイアウォールに検知情報を提供する侵入検知システムを必ず設置しなければならないという問題があった。
【０００４】
この発明は、上記の点に鑑みてなされたもので、その目的は、ネットワークに接続された複数の侵入検知装置から生成された検知情報を収集して不正な侵入を検知することによって、ますます巧妙になる攻撃を的確に検知することができる侵入検知方法および侵入検知システム並びに侵入検知プログラムを提供することにある。また、他の目的は、複数の侵入検知システムから収集された検知情報に基づいて攻撃スコアを算出し、ブラックリストを作成して、より確実な防御手段の指示を行うことができる侵入検知システムおよび侵入検知プログラムを提供することにある。
【０００５】
【課題を解決するための手段】
上記の課題を解決するために、請求項１に記載の発明は、複数の侵入検知装置により、ネットワークを介してコンピュータシステムに侵入する不正侵入を検知して検知情報を生成する検知情報生成手段と、前記生成された検知情報を収集し、集計処理する集計手段と、前記集計された情報をスコアリング処理し、攻撃スコアを算出する攻撃スコア算出手段と、前記攻撃スコアに基づいて、不正な侵入に対する防御処理を決定する防御処理決定手段と、前記攻撃スコアに基き、攻撃元ホストおよび前記防御処理の情報から成るブラックリストを作成して出力するブラックリスト作成手段とを有することを特徴とする侵入検知システムである。
【０００６】
請求項２に記載の発明は、請求項１に記載の侵入検知システムにおいて、前記集計手段は、収集された時系列の検知情報を集計して単一の攻撃元または複数の攻撃元をまとめてグループ化した攻撃元のリストを作成することを特徴とする。
【０００７】
請求項３に記載の発明は、請求項１に記載の侵入検知システムにおいて、前記攻撃スコア算出手段は、前記検知情報の重要度に時間減衰する関数を用いて攻撃スコアを算出することを特徴とする。
【０００８】
請求項４に記載の発明は、請求項１に記載の侵入検知システムにおいて、前記ブラックリスト作成手段は、前記検知情報の集計結果から、前記攻撃スコアがある値以上になる攻撃元を抽出して前記攻撃元のブラックリストを作成することを特徴とする。
【０００９】
請求項５に記載の発明は、請求項１に記載の侵入検知システムにおいて、前記ブラックリスト作成手段は、前記攻撃スコアと前記集計手段により作成されたリストにおける順位に基づいて攻撃元を抽出してブラックリストを作成することを特徴とする。
【００１０】
請求項６に記載の発明は、複数の侵入検知装置により、ネットワークを介してコンピュータシステムに侵入する不正侵入を検知して検知情報を生成するステップと、前記生成された検知情報を収集し、集計処理するステップと、前記集計された情報をスコアリング処理し、攻撃スコアを算出するステップと、前記攻撃スコアに基づいて、不正な侵入に対する防御手段を決定するステップと、前記攻撃スコアに基き、攻撃元および前記防御手段の情報から成るブラックリストを作成して出力するステップとをコンピュータに実行させるための侵入検知プログラムである。
請求項７に記載の発明は、複数の侵入検知装置により、ネットワークを介してコンピュータシステムに侵入する不正侵入を検知して検知情報を生成する検知情報生成手段と、前記生成された検知情報を収集し、集計処理する集計手段と、前記集計された情報をスコアリング処理し、攻撃スコアを算出する攻撃スコア算出手段と、前記攻撃スコアに基づいて、不正な侵入に対する防御処理を決定する防御処理決定手段と、前記攻撃スコアに基き、攻撃対象および前記防御処理の情報から成るリストを作成して出力するリスト作成手段とを有することを特徴とする侵入検知システムである。
【００１１】
【発明の実施の形態】
（第１の実施の形態）以下、図面を参照して第１の実施の形態について説明する。図１は、同実施形態による侵入検知システムの構成を示すブロック図である。同図において、１０−１〜３はインターネット１００に接続されたネットワーク侵入検知装置（ＮＩＤＳ）である。２０は、ＮＩＤＳ・１０−１〜３から出力された侵入検知情報を収集し、ブラックリストを作成するアラート収集装置である。アラート収集装置２０に侵入検知情報を供給するＮＩＤＳ・１０の台数には、特に制限はなく不正侵入の検知情報を収集するネットワーク上の範囲をどのように設定するかを考慮して決められる。例えば、自治体において複数の内部ネットワークを監視するために検知情報を統合して管理する場合、複数の企業間にまたがって検知情報を統合管理する場合など情報通信システムの構成に応じて設置する台数は決められる。３０は、攻撃元のブラックリストである。
【００１２】
侵入検知システムは、侵入検知情報に基づいて攻撃スコアを算出して防御のためのアクションを決定し、ブラックリスト３０の所定の欄にアクションの情報を加える。このアクションは、攻撃スコアに応じて、アクセスの拒否（Ｄｅｎｙ）、帯域制限、誤った応答の発信、攻撃者に侵入可能にみせるおとりサーバ（デコイ：Ｄｅｃｏｙ）への誘導などに分けられる。また、アクションには、このようなセキュリティポリシーの変更などのネットワーク制御だけでなく、攻撃元のネットワーク管理者への不正アクセスの報告のためのメール送信等も含まれる。１０１は、インターネット１００に接続された侵入者ホストである。１０２は、ネットワーク集中制御装置であり、侵入検知システムから供給される防御手段の指示を含むブラックリスト３０に基づいて、インターネット１００と内部ネットワークの間、あるいはインターネット１００に接続されたバックボーンネットワークとサブネットワークの間に設置されたファイアウォールに制御信号を出力する。
【００１３】
図２は、侵入検知システムがファイアウォール（ＦＷ）と組み合わせて用いられた場合の構成を示すブロック図である。ＦＷ１・５０−１，ＦＷ２・５０−２，ＦＷｘ・５０−ｘは、それぞれインターネット１００と内部ネットワーク（ＮＷ）１，２，Ｘの間に設置され、ネットワーク集中制御装置１０２から制御信号を受信する。同図において、内部ＮＷＸのゲートには、ＦＷｘのみ設置され、ＮＩＤＳは設置されない。ＦＷｘは、ＮＩＤＳ１・１０−１、ＮＩＤＳ２・１０−２によって検知された侵入検知情報に基づいて制御される。
【００１４】
図３は、アラート収集装置２０を構成するブラックリスト作成部のブロック図である。２７は、ＮＩＤＳ・１０−１〜ｎ（ｎは自然数）から受信した侵入検知情報を時系列に記録したＩＰアドレス別の検知情報履歴を示すアラートリスト（Ａｌｅｒｔ　Ｌｉｓｔ）である。２４は、入力された侵入検知情報を集計ルール（Ａｇｇｒｅｇａｔｉｏｎ　Ｒｕｌｅ）２１に従って、集計処理を行う集計処理部（Ａｇｇｒｅｇａｔｉｏｎ）である。集計処理部２４は、侵入検知情報を攻撃元ホストごとに集計したＩＰアドレス別リスト、攻撃元ホストをサブネットワーク毎に集計したサブネットワーク別リスト、攻撃元ホストをドメイン毎に集計したＩＰドメイン別リスト、および攻撃元ホストを国毎に集計した国別リストを作成してインシデントリスト（Ｉｎｃｉｄｅｎｔ　Ｌｉｓｔ）２８を作成する。
【００１５】
２５は、スコアリングルール（Ｓｃｏｒｉｎｇ　Ｒｕｌｅ）２２に基づいて不正侵入の攻撃スコアを算出するスコアリング処理を行い、全ての不正侵入の攻撃スコアを記録したグレイリスト（Ｇｒａｙ　Ｌｉｓｔ）２９を作成するスコアリング処理部である。スコアリングルール２２は、攻撃種別、攻撃の重要度、経過時間による減衰関数などに応じてスコアを算出するルールを記録する。２６は、グレイリスト２９からリスティングルール（Ｌｉｓｔｉｎｇ　Ｒｕｌｅ）２３に基づいてブラックリスト（Ｂｌａｃｋ　Ｌｉｓｔ）３０に記録する攻撃元ホストを抽出するリスト（Ｌｉｓｔ）作成部である。リスティングルール２３には、例えば、閾値を定め、スコアがその値以上になる攻撃元ホストを抽出する、あるいはスコアと各リストの上位の順位と組み合わせて選択するなどのルールが用いられる。
【００１６】
図４（Ａ）は、侵入検知情報を攻撃元ホスト別に集計したインシデントリスト２８の例を示す図である。同図に示すように、侵入検知情報によりＩＰアドレス、ドメイン名、攻撃の頻度などが記録される。さらに、ブラックリスト３０に基づいて決定されたアクション（Ａｃｔｉｏｎ）が付加される。図４（Ｂ）は、グレイリスト２９のドメイン別スコアリストの例を示す図である。グレイリスト２９には、ドメイン名、攻撃の頻度、スコアおよびアクションが記録される。このグレイリスト２９に記録された中からリスティングルール２３に基づいて抽出された攻撃元ホストの情報によりブラックリスト３０が作成される。
【００１７】
以下、図１〜図３を参照して、侵入検知システムの動作を説明する。先ず、ＮＩＤＳ１・１０−１、ＮＩＤＳ２・１０−２は、内部ＮＷ１、ＮＷ２に送られてくるパケット情報を検出して構成内容を解析し、予め設定した情報との比較、照合を行う。そして、不正アクセスを検出した場合、侵入検知情報を生成する。アラート収集装置２０は、この侵入検知情報を受けて、アラートリスト２７にＩＰアドレス別に検知情報履歴を記録する。集計処理部２４は、入力された侵入検知情報を集計ルール２１に定められたルールに従って、集計処理を行い、検知情報のＩＰアドレス別リストおよび攻撃元ホストのサブネットワーク別リスト、ＩＰドメイン別リストと国別リストから成るインシデントリスト２８を作成する。次に、スコアリング処理部２５は、スキャンの頻度、攻撃の期間などをパラメータとするスコアリングルール２２に基づいて検知情報のスコアリング処理を行い、スキャンスコア、短期攻撃スコア、中期攻撃スコア、長期攻撃スコアを算出する。
【００１８】
算出された各スコアは、ドメイン名とともにグレイリスト２９に加えられる。リスト作成部２６は、検知された攻撃が、リスティングルール２３に定められた閾値以上のスコアの場合、ブラックリスト３０に記録し、スコアに応じた防御のためのアクションを決定する。ここで、このスコアが高くアクションとしてアクセスの拒否が決定されたものとする。決定されたアクションは、グレイリスト２９、ブラックリスト３０の該当するＩＰアドレス、ドメイン名のアクション欄に加えられる。そして、侵入検知システムからアクセス拒否のための処理を行う指示含むブラックリスト３０がネットワーク集中制御装置１０２に送られる。ネットワーク集中制御装置１０２は、侵入検知システムからのブラックリスト３０の情報に基づいてアクセス拒否の処置を行うようにＦＷ１・５０−１，ＦＷ２・５０−２およびＦＷｘ・５０−ｘに制御信号を発信する。ＦＷ１・５０−１およびＦＷ２・５０−２は、受信した制御信号に基づき、指示されたホストからのアクセスを拒否する設定を行う。
なお、上記ブラックリストに代えて、あるいは、ブラックリストに加えて攻撃対象を集計したリスト（レッドリストという）を作成してもよい。すなわち、頻繁に攻撃される箇所を上述したブラックリストと同様の手法でリスト化してレッドリストを作成し、そこに飛来した攻撃に対してスコアを算出して防御のためのアクションを決定する。
【００１９】
（第２の実施の形態）図５は第２の実施の形態による侵入検知システムの構成を示すブロック図である。信頼度問い合わせサーバ１０３は、侵入検知システムから入力されたブラックリスト３０の情報を記憶装置に記憶し、この情報に基づいてファイアウォールを含むネットワーク管理システム５０からの必要なアクションの問い合わせなどに対して情報を提供する。なお、信頼度問い合わせサーバ１０３は、複数のブラックリスト３０から情報を受けて記憶することができる。このように、侵入検知システムとファイアウォールを別けて設置することにより、複数の侵入検知システムを分散して配置し、各侵入検知システムの負荷を軽減することができる。
なお、上記第２の実施形態に加えて、信頼度問い合わせサーバと侵入検知システム／ファイアウオールを含むネットワーク管理システム間の通信は、盗聴防止のため必要に応じて暗号化を行うことができる。また、これらシステムは互いの信憑性の確認のため、必要に応じて電子認証システム等を介した認証処理を行うことができる。
【００２０】
【発明の効果】
以上説明したように、本発明によれば、複数の侵入検知装置によって検知された不正侵入の情報を集計して用いるので、一箇所の侵入検知装置では検出が困難なスロースキャンや複数ターゲットへの攻撃を検知可能になり、侵入検知システムの不正侵入検出能力を高めることができるという効果が得られる。また、インシデントリストに複数の地点からの長期の検知情報を蓄積することができるために、侵入検知情報の統合管理および長期にわたる攻撃元ホストの活動傾向の分析が可能になる。さらに、複数の侵入検知装置からの情報を集計して用いるため、必ずしも全ての内部ネットワークに侵入検知装置を設置する必要がなくなり、ネットワーク全体のセキュリティ対策のためのコストを低減できるという効果が得られる。また、侵入検知システムから検知情報をネットワーク制御装置に供給することによって攻撃に対して自動的に防御のアクションをとることができるようになり、ネットワークの信頼度を高めるという効果が得られる。
【図面の簡単な説明】
【図１】第１の実施の形態による侵入検知システムの構成を示すブロック図である。
【図２】同実施形態の侵入検知システムとファイアウォールの構成を示すブロック図である。
【図３】ブラックリスト作成部の構成を示すブロック図である。
【図４】インシデントリストおよびグレイリストの例を示す図である。
【図５】第２の実施の形態による侵入検知システムの構成を示すブロック図である。
【符号の説明】
１０−１〜３　ネットワーク侵入検知装置（ＮＩＤＳ）
２０　アラート収集装置
２１　集計ルール（Ａｇｇｒｅｇａｔｉｏｎ　Ｒｕｌｅ）
２２　スコアリングルール（Ｓｃｏｒｉｎｇ　Ｒｕｌｅ）
２３　リスティングルール（Ｌｉｓｔｉｎｇ　Ｒｕｌｅ）
２４　集計処理部（Ａｇｇｒｅｇａｔｉｏｎ）
２５　スコアリング処理部（Ｓｃｏｒｉｎｇ）
２６　リスト作成部
２７　アラートリスト（Ａｌｅｒｔ　Ｌｉｓｔ）
２８　インシデントリスト（Ｉｎｃｉｄｅｎｔ　Ｌｉｓｔ）
２９　グレイリスト（Ｇｒａｙ　Ｌｉｓｔ）
３０　ブラックリスト（Ｂｌａｃｋ　Ｌｉｓｔ）

Claims (7)

1. 複数の侵入検知装置により、ネットワークを介してコンピュータシステムに侵入する不正侵入を検知して検知情報を生成する検知情報生成手段と、
   前記生成された検知情報を収集し、集計処理する集計手段と、
   前記集計された情報をスコアリング処理し、攻撃スコアを算出する攻撃スコア算出手段と、
   前記攻撃スコアに基づいて、不正な侵入に対する防御処理を決定する防御処理決定手段と、
   前記攻撃スコアに基き、攻撃元ホストおよび前記防御処理の情報から成るブラックリストを作成して出力するブラックリスト作成手段と、
   を有することを特徴とする侵入検知システム。
2. 前記集計手段は、収集された時系列の検知情報を集計して単一の攻撃元または複数の攻撃元をまとめてグループ化した攻撃元のリストを作成することを特徴とする請求項１に記載の侵入検知システム。
3. 前記攻撃スコア算出手段は、前記検知情報の重要度に時間減衰する関数を用いて攻撃スコアを算出することを特徴とする請求項１に記載の侵入検知システム。
4. 前記ブラックリスト作成手段は、前記検知情報の集計結果から、前記攻撃スコアがある値以上になる攻撃元を抽出して前記攻撃元のブラックリストを作成することを特徴とする請求項１に記載の侵入検知システム。
5. 前記ブラックリスト作成手段は、前記攻撃スコアと前記集計手段により作成されたリストにおける順位に基づいて攻撃元を抽出してブラックリストを作成することを特徴とする請求項１に記載の侵入検知システム。
6. 複数の侵入検知装置により、ネットワークを介してコンピュータシステムに侵入する不正侵入を検知して検知情報を生成するステップと、
   前記生成された検知情報を収集し、集計処理するステップと、
   前記集計された情報をスコアリング処理し、攻撃スコアを算出するステップと、
   前記攻撃スコアに基づいて、不正な侵入に対する防御手段を決定するステップと、
   前記攻撃スコアに基き、攻撃元および前記防御手段の情報から成るブラックリストを作成して出力するステップと
   をコンピュータに実行させるための侵入検知プログラム。
7. 複数の侵入検知装置により、ネットワークを介してコンピュータシステムに侵入する不正侵入を検知して検知情報を生成する検知情報生成手段と、
   前記生成された検知情報を収集し、集計処理する集計手段と、
   前記集計された情報をスコアリング処理し、攻撃スコアを算出する攻撃スコア算出手段と、
   前記攻撃スコアに基づいて、不正な侵入に対する防御処理を決定する防御処理決定手段と、
   前記攻撃スコアに基き、攻撃対象および前記防御処理の情報から成るリストを作成して出力するリスト作成手段と、
   を有することを特徴とする侵入検知システム。

Images