JP2004030287A - 双方向型ネットワーク侵入検知システムおよび双方向型侵入検知プログラム - Google Patents

Abstract

【課題】侵入検知情報と侵入に対する応答を比較して自動的に検証し、検知精度を高めることができる双方向型ネットワーク侵入検知システムおよび双方向型侵入検知プログラムを提供する。
【解決手段】双方向型ネットワーク侵入検知システム（ＮＩＤＳ）１は、外部ネットワーク（ＮＷ）１０から受信するインバウンドトラフィック１０１を監視して不正な侵入、攻撃を検知する。さらに、内部ネットワーク（ＮＷ）１１から発信されるアウトバウンドトラフィック１０２を監視して検知された不正侵入に対する応答を検出する。そして、検知された不正侵入とそれに対する応答を検証して内部ネットワーク１１あるいは内部ネットワーク１１に接続されたホストが影響を受けていると判断した場合、侵入検知情報を出力する。
【選択図】　図１

Description

【０００１】
【発明の属する技術分野】
この発明は、コンピュータネットワークにおける不正な手段による侵入を検知し、不正侵入検知情報を出力する侵入検知システムに用いて好適な双方向型ネットワーク侵入検知システムおよび双方向型侵入検知プログラムに関する。
【０００２】
【従来の技術】
各種の情報を提供するＷｅｂサーバや電子メールの送受信を行うメールサーバなどネットワークに接続されたコンピュータシステムは、常に不正な侵入や攻撃の危険にさらされている。不正な侵入、攻撃は、必ず侵入前に必要な情報を収集する過程を経て行われる。情報の収集には、ホストの脆弱性を調べるポートスキャンや稼動するアプリケーションの情報を含むバナー情報の入手のためのアクセスなどがある。このような方法によって得られた情報を利用して、コンピュータシステムの脆弱な部分であるセキュリティホールなどを狙い、侵入する。このような攻撃からシステムを防御するために、防御の構成に応じてネットワークやホストを監視する侵入検知システム、ゲートウェイにファイアウォールなどが設けられる。
【０００３】
従来、ネットワーク型侵入検知システムは、監視するネットワークのインバウンドの信号を監視してパケット情報を検出し、予め設定したルールやシグネチャと比較して不正なアクセスを検知する。そして、侵入検知情報を生成し、出力する。この場合、攻撃の可能性のある侵入に対しては全て不正侵入のアラートが出力される。出力されたアラートの履歴調査、アラートとその侵入に対する影響の検証作業などは、主として手作業で行われる。
【０００４】
【発明が解決しようとする課題】
上述のように、従来のネットワーク型侵入検知システムにおいては、監視対象のセグメントまたはホストへのアクセスを監視し、攻撃の可能性のある侵入に対しては全てアラートを出力している。従って、実際にはホストやネットワークに影響を与えないアクセスに対するアラートも多く含まれており、誤検出が多いという問題があった。また、不正侵入を検知するために設定されるルールやシグネチャは非常に多く、これらの情報に基づいて攻撃可能性のある侵入に対して全て検知結果を出力するため、多量のアラートが生成される。そのために、出力されたアラートから本当に危険性の高い攻撃を選択して適切な防御策を迅速に講じることは難しく、検知結果を有効に利用できないという問題があった。
【０００５】
この発明は、上記の点に鑑みてなされたもので、その目的は、外部ネットワークを監視して検知された侵入検知情報と内部ネットワークを監視して検出した侵入に対する応答信号を比較することによって、攻撃の影響を確認し、実際に影響が確認された侵入の検知情報を不正侵入検知情報として出力するようにして検知精度を高めることができる双方向型ネットワーク侵入検知システムおよび双方向型侵入検知方法並びに双方向型侵入検知プログラムを提供することにある。また、他の目的は、不正侵入に対して、どのような応答が返されているか調べることによって不正侵入の影響を自動的に検証できる双方向型ネットワーク侵入検知システムおよび双方向型侵入検知プログラムを提供することにある。
【０００６】
【課題を解決するための手段】
上記の課題を解決するために、請求項１に記載の発明は、外部ネットワークから受信されたインバウンドトラフィックを監視してネットワークを介してサーバに侵入する不正侵入を検知する侵入検知手段と、内部ネットワークから発信されたアウトバウンドトラフィックを監視して不正侵入に対する応答を検出する応答検出手段と、前記侵入検知手段から出力された検知情報と、前記応答検出手段により検出された応答信号を照合して検証し、不正侵入検知情報を出力する検知情報出力手段とを具備することを特徴とする双方向型ネットワーク侵入検知システムである。
【０００７】
また、請求項２に記載の発明は、請求項１に記載の双方向型ネットワーク侵入検知システムにおいて、前記検知情報出力手段は、不正侵入を検知後、予め定めた時間内に不正侵入に対する応答が返されていることを判断して、不正侵入検知情報を出力することを特徴とする。
【０００８】
また、請求項３に記載の発明は、請求項１に記載の双方向型ネットワーク侵入検知システムにおいて、前記検知情報出力手段は、前記侵入検知手段により内部ネットワークに接続されたホストに対する侵入が検知された場合、当該ホストに問い合わせて、該ホストからの応答に異常がある場合、または該ホストから予め定められた時間内に応答がない場合、不正侵入検知情報を出力することを特徴とする。
【０００９】
また、請求項４に記載の発明は、請求項１に記載の双方向型ネットワーク侵入検知システムにおいて、内部ネットワークに接続されたホストは、さらに、侵入検知エージェントを備え、前記検知情報出力手段は、検知した不正侵入を攻撃対象のホストの侵入検知エージェントから取得した検知情報により検証して、不正侵入検知情報を出力することを特徴とする。
【００１０】
また、請求項５に記載の発明は、請求項１に記載の双方向型ネットワーク侵入検知システムに、内部ネットワークに接続されたホストと接続する監視制御ネットワークを備え、ホストの監視制御に用いることを特徴とする双方向型ネットワーク侵入検知システムである。
【００１１】
また、請求項６に記載の発明は、外部ネットワークから受信されたインバウンドトラフィックを監視して不正侵入を検知する侵入検知手段と、内部ネットワークから発信されたアウトバウンドトラフィックを監視して不正侵入に対する応答を検出する応答検出手段と、前記侵入検知手段から出力された検知情報と、前記応答検出手段により検出された応答信号を照合して検証し、不正侵入検知情報を出力する検知情報出力手段と、内部ネットワークの通信の異常を検出する通信異常検出手段とを備える侵入検知装置と、内部ネットワークの運用状態を集中監視し、前記侵入検知装置に内部ネットワークの通信量に関する情報を出力するネットワーク監視制御装置とを具備することを特徴とする双方向型ネットワーク侵入検知システムである。
【００１２】
また、請求項７に記載の発明は、侵入検知装置がインバウンドトラフィックを監視して不正侵入を検知するステップと、前記侵入検知装置がアウトバウンドトラフィックを監視して検知された不正侵入に対応する応答を検出するステップと、前記侵入検知装置がネットワーク監視制御装置から通信量の情報を受けて通信の異常を検出するステップと、予め定めた時間内に検知された不正侵入に関係する応答通信が検出された場合、あるいは前記通信量に異常が発生したと判定された場合、検知された不正侵入検知情報を出力するステップとをコンピュータに実行させるための双方向型侵入検知プログラムである。
【００１３】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照して説明する。図１は、同実施形態による双方向型ネットワーク侵入検知システムの概念図である。同図において、１は、双方向型ネットワーク侵入検知システム（ＮＩＤＳ）であり、外部ネットワーク（ＮＷ）１０から受信するインバウンドトラフィック１０１を監視して不正な侵入、攻撃を検知する。不正な侵入、攻撃には、ＴＣＰのポートスキャンやＵＤＰのポートスキャンなどのスキャン、内部ネットワークに接続されたホストへの攻撃、ＴＣＰのサービスをターゲットとするＬａｎｄなどのネットワーク攻撃が考えられる。また、双方向型ネットワーク侵入検知システム１は、内部ネットワーク（ＮＷ）１１から発信されるアウトバウンドトラフィック１０２を監視して検知された不正侵入に対する応答を検出する。そして、検知された不正侵入とそれに対する応答を検証して内部ネットワーク１１あるいは内部ネットワーク１１に接続されたホストが影響を受けていると判断した場合、侵入検知情報を出力する。この出力は、ログとして記録され、さらに、内部ネットワーク１１の管理者に対してメールなどのアラート発生通知が送られる。また、アウトバウンドトラフィックに影響を与えなかった攻撃に関しても、後の解析のために未然の攻撃としてログに記録することができる。
【００１４】
図２は、双方向型ネットワーク侵入検知システム１の構成を示すブロック図である。２は、外部ネットワーク１０から受信されたパケットを監視することによる不正侵入の検知、内部ネットワーク１１の監視による不正侵入に対する応答の検出および不正侵入検知情報と応答の比較、検証を行う侵入検知装置である。不正侵入の検知は、インバウンドトラフィック１０１のプロトコルのパケット内容を解析し、予めデータベースに設定されたルールおよび不正な通信の情報から成るシグネチャと比較して行われる。
【００１５】
３は、内部ネットワーク１１とホスト２０−１〜４の監視制御を行うネットワーク監視制御装置であり、侵入検知装置２にトラフィック量に関する情報を供給する。このネットワーク監視制御装置３内には数分間のアウトバウンドトラフィックを記録する循環バッファ（サイクリックバッファ、リングバッファ）が設けられている。ここで、循環バッファとは、一定サイズのメモリであり、Ｆｕｌｌ状態になった場合に最も古いデータから順次消去されて新しいデータが書き込まれる。４は、外部ネットワーク１０と内部ネットワーク１１を相互接続するゲートウエイ（ＧＷ）である。ＧＷはパケットをその通信内容によってフィルタリングするファイヤウオール（ＦＷ）の機能を持つことも可能である。内部ネットワーク１１に接続されたホスト２０−１〜４は、監視エージェントと侵入検知エージェントを備える。
【００１６】
以下、図１および図２を参照して、双方向型ネットワーク侵入検知システム１の動作を説明する。先ず、外部ネットワーク１０からの侵入は、侵入検知装置２によって検知される。侵入検知装置２は、この検知した不正侵入の種類によって次の３つの手順に分けて検知情報の照合、検証を行う。（１）ポートスキャンの場合：内部ネットワーク１１に接続されたホスト２０−１〜４のいずれかをターゲットとしたポートスキャン、例えば、当該ホストの各ポートに対して、コネクションを確立できるかどうか試みてホストで稼動しているサービスを調べるスキャンなどが検知された場合、アウトバウンド１０２の通信を監視してポートスキャンに対する応答を調べる。一定の時間内に応答が返されているとき、あるいは誤った応答が返されている場合、例えば、ｓｍｔｐ（Ｓｉｍｐｌｅ　Ｍａｉｌ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）ポートへのスキャンを検知した後、メールサーバではないホストから応答が返されている場合など、不正侵入と判断して侵入検知情報を出力する。一方、一定の時間内に応答がない場合、アラートは生成されず、ホスト２０−１〜４に影響を与えなかった未然の侵入として侵入検知装置２の記憶装置に記憶される。
【００１７】
（２）ホストへの攻撃の場合：ホスト２０−１〜４のいずれかに対する攻撃、例えば、サービスをダウンさせる攻撃、過負荷状態にして利用できなくする攻撃などが検知された場合、攻撃対象のホストから一定の時間内に応答が返されているか否か調べる。応答が返されているとき、侵入検知装置２は、攻撃対象のホストの監視エージェントおよび侵入検知エージェントに問い合わせを行う。当該監視エージェントから応答がない場合、あるいは侵入検知エージェントから検知情報が出力されている場合、ホストへの有効な攻撃と判断して、侵入検知情報を出力する。また、ホストの特権ユーザ権取得の試みが検知された後、当該エージェントから特権ユーザのログインが確認された場合もホストへの有効な攻撃と判断する。
【００１８】
（３）ネットワークへの攻撃の場合：この種の攻撃として、特殊なパケットを攻撃対象のホストに送りフリーズさせてしまうＬａｎｄ、トラフィックを過負荷状態にする攻撃などがある。侵入検知装置２は、このような内部ネットワーク１１への攻撃を検知した場合、ネットワーク監視制御装置３にトラフィック量を問い合わせる。そして、ネットワーク監視制御装置３から通知されたトラフィック量に基づいて、トラフィック量あるいはトラフィック量の変化が予め定めたしきい値を越えているか否か判断し、しきい値より大きい場合、攻撃により発生したトラフィックの異常と判断して検知情報を出力する。
【００１９】
図３は、侵入検知装置２、ネットワーク監視制御装置３、ホスト２０−１〜４のエージェントを接続する監視制御用ネットワーク５を設けた双方向型侵入検知ネットワークの構成を示す図である。監視制御用ネットワーク５を用いて侵入検知装置２とネットワーク監視制御装置３間の通信およびエージェントの監視制御を行うことができるので、内部ネットワーク１１のトラフィックの状態に影響されない侵入検知システムを構築できる。
なお、侵入検知エージェントからの検出信号が無くても、アウトバウンドトラフィック（通信）の種類と量の異常のみで、不正アクセスを検知してもよい。
【００２０】
【発明の効果】
以上説明したように、本発明によれば、侵入検知装置によって検知された不正侵入を、当該不正侵入に対する応答と照合してその影響を調べて実際に影響を受けている侵入のみを検知情報として出力するので、侵入検知精度が高くなり、効果的な防御策を施すことができるという効果が得られる。また、不正侵入の検知情報を、侵入に対する応答と照合することによって自動的に検証し、選択するので、出力されるアラート数は大幅に削減され、侵入履歴の調査や侵入の検証作業を効率化できるという効果が得られる。
【図面の簡単な説明】
【図１】本発明の一実施の形態による双方向型ネットワーク侵入検知システムを示す概念図である。
【図２】同実施形態の双方向型ネットワーク侵入検知システムの構成を示すブロック図である。
【図３】図２の双方向型ネットワーク侵入検知システムに監視制御用ネットワークを付加した構成を示すブロック図である。
【符号の説明】
１　双方向型ネットワーク侵入検知装置（ＮＩＤＳ）
２　侵入検知装置
３　ネットワーク監視制御装置
４　ゲートウェイ（ＧＷ）
５　監視制御用ネットワーク

Claims (7)

1. 外部ネットワークから受信されたインバウンドトラフィックを監視してネットワークを介してサーバに侵入する不正侵入を検知する侵入検知手段と、
   内部ネットワークから発信されたアウトバウンドトラフィックを監視して不正侵入に対する応答を検出する応答検出手段と、
   前記侵入検知手段から出力された検知情報と、前記応答検出手段により検出された応答信号を照合して検証し、不正侵入検知情報を出力する検知情報出力手段と、
   を具備することを特徴とする双方向型ネットワーク侵入検知システム。
2. 前記検知情報出力手段は、不正侵入を検知後、予め定めた時間内に不正侵入に対する応答が返されていることを判断して、不正侵入検知情報を出力することを特徴とする請求項１に記載の双方向型ネットワーク侵入検知システム。
3. 前記検知情報出力手段は、前記侵入検知手段により内部ネットワークに接続されたホストに対する侵入が検知された場合、攻撃対象のホストに問い合わせて、該ホストからの応答に異常がある場合、または該ホストから予め定められた時間内に応答がない場合、不正侵入検知情報を出力することを特徴とする請求項１に記載の双方向型ネットワーク侵入検知システム。
4. 内部ネットワークに接続されたホストは、さらに、侵入検知エージェントを備え、前記検知情報出力手段は、検知した不正侵入を攻撃対象のホストの侵入検知エージェントから取得した検知情報により検証して、不正侵入検知情報を出力することを特徴とする請求項１に記載の双方向型ネットワーク侵入検知システム。
5. 請求項１に記載の双方向型ネットワーク侵入検知システムに、
   内部ネットワークに接続されたホストと接続する監視制御ネットワークを備え、ホストの監視制御に用いることを特徴とする双方向型ネットワーク侵入検知システム。
6. 外部ネットワークから受信されたインバウンドトラフィックを監視して不正侵入を検知する侵入検知手段と、内部ネットワークから発信されたアウトバウンドトラフィックを監視して不正侵入に対する応答を検出する応答検出手段と、前記侵入検知手段から出力された検知情報と、前記応答検出手段により検出された応答信号を照合して検証し、不正侵入検知情報を出力する検知情報出力手段と、内部ネットワークの通信の異常を検出する通信異常検出手段とを備える侵入検知装置と、
   内部ネットワークの運用状態を集中監視し、前記侵入検知装置に内部ネットワークの通信量に関する情報を出力するネットワーク監視制御装置と、
   を具備することを特徴とする双方向型ネットワーク侵入検知システム。
7. 侵入検知装置によりインバウンドトラフィックを監視して不正侵入を検知するステップと、
   前記侵入検知装置によりアウトバウンドトラフィックを監視して検知された不正侵入に対する応答を検出するステップと、
   ネットワーク監視制御装置から通信量の情報を受けて通信の異常を検出するステップと、
   予め定めた時間内に検知された不正侵入に対する応答が返されていることが検出された場合、あるいは前記通信量に異常が発生した場合、検知された不正侵入検知情報を出力するステップと、
   をコンピュータに実行させるための双方向型侵入検知プログラム。

Images