JP2004038557A

JP2004038557A - 不正アクセス遮断システム

Info

Publication number: JP2004038557A
Application number: JP2002194699A
Authority: JP
Inventors: Kazuhiro Tsuyukuchi; 露口　和弘
Original assignee: Oki Electric Industry Co Ltd
Current assignee: Oki Electric Industry Co Ltd
Priority date: 2002-07-03
Filing date: 2002-07-03
Publication date: 2004-02-05

Abstract

【課題】サーバに対する、未知の不正プログラムを含むアクセスを、事前に防止することができる不正アクセス遮断システムを提供する。
【解決手段】通信中継制御部１１０は、外部ネットワーク２００から内部ネットワーク３００に送信される通信データのうち、正常なもののみを中継する。正常アクセス情報格納部１２０は、正常な通信データの特徴情報を格納する。正常アクセス識別部１３０は、正常アクセス情報格納部１２０から特徴情報を読み出して、通信中継制御部１１０が受信した通信データと比較し、これらの特徴情報をすべて満たす通信データのみを正常であると判断する。不正プログラムを検出するのではなく、サーバ３１０が意図したサービスの提供に寄与しないデータを検出するので、未知の不正プログラムを含むアクセスを、サーバ３１０がアクセスされる前の段階で、拒絶することができる。
【選択図】　　　図１

Description

【０００１】
【発明の属する技術分野】
この発明は、ネットワークからサーバへの不正アクセスを遮断するシステムに関する。
【０００２】
【従来の技術】
インターネットなどのオープンなネットワークの普及に伴い、サーバシステム等のコンピュータへの不正アクセスが問題になっている。不正アクセスとは、サーバシステム等を不正に使用したり、サーバシステム内のファイルを改ざんしたりする行為である。このような不正アクセスを防止する技術としては、ファイアウォールや侵入検知システム等が知られている。
【０００３】
ファイアウォールは、通信パケットのヘッダ情報、すなわち送受信ＩＰ（Ｉｎｔｅｒｎｅｔ　ｐｒｏｔｏｃｏｌ）　アドレスや、ポート番号、プロトコルなどの情報に基づいて、通信の許可／不許可を制御する。ファイアウォールでは、これらの情報が所定条件を満たしていない場合には通信パケットの転送を拒否することにより、不正アクセスの防止が図られる。
【０００４】
侵入検知システムは、通信パケットの格納データを解読することによって、不正アクセスを検出する。すなわち、侵入検知システムでは、既知の不正アクセス用コード（文字列またはプログラムコード）の特徴情報と受信パケットの格納データとを比較し、この格納データに不正アクセス用コードが格納されている場合に、かかるアクセスが不正であると判断する。侵入検知システムは、ファイアウォールの内側に設置される場合と外側に設置される場合とがあるが、一般的には内側に設置される場合が多い。なぜなら、ファイアウォールで遮断できなかった不正アクセスが侵入検知システムで検出されたような場合があり、両者のログを用いて情報を補完し合うことができるからである。
【０００５】
【発明が解決しようとする課題】
上述のように、ファイアウォールは、ヘッダ情報を利用して不正アクセスを検出するのみであり、データの解読を行わない。したがって、送受信ＩＰアドレス等が許可条件を満たしている場合には、不正アクセス用コードが格納されている通信パケットの受信を許可してしまうという欠点がある。
【０００６】
また、侵入検知システムは、上述のように、既知の不正アクセス用コードの特徴情報を使用して、不正アクセスを認識する。このため、新しい不正アクセス用コードが発見されるたびに、特徴情報を更新する必要がある。すなわち、侵入検知システムには、全く新しい未知の不正アクセス用コードが通信パケットに格納されていても、検出することができないという欠点がある。
【０００７】
さらには、侵入検知システムは、不正アクセスの発生を検出するだけであり、遮断することはできない。このため、侵入検知システムに不正アクセスが検出されたときには、ルータやファイアウォールの設定を自動的に変更することにしたり、ＩＰプロトコルのリセットパケットを送出したりすることによって、通信を遮断する必要がある。しかしながら、この通信遮断は事後的なものであり、遮断が実行されたときには既に不正プログラムは受信されてしまっているので、十分な対策であるとは言えない。
【０００８】
このような理由から、不正アクセスを高い確率で事前に防止することができる技術が望まれていた。
【０００９】
【課題を解決するための手段】
この発明に係る不正アクセス遮断システムは、外部ネットワークから通信データを受信し、この通信データが正常である場合にのみサーバに転送する通信中継制御部と、サーバが意図したサービスの提供に寄与する通信データの条件を、正常な通信データの特徴情報として、一種類または複数種類格納する正常アクセス情報格納部と、この正常アクセス情報格納部から特徴情報を読み出して通信中継制御部が受信した通信データと比較し、これらの特徴情報をすべて満たす通信データのみを正常であると判断する正常アクセス識別部とを備える。
【００１０】
この発明では、正常なアクセスの条件を特徴情報として規定し、この特徴情報の条件を満たさないアクセスは、すべて拒否される。すなわち、この発明では、通信データ中の不正プログラムを検出してアクセスを遮断するのではなく、サーバやアプリケーションの正常動作に寄与しないデータや異常動作を引き起こすデータを識別して、そのようなデータを含むアクセスを遮断する。したがって、この発明によれば、未知の不正アクセス用コードを利用したアクセスであっても、非常に高い確率で遮断することができる。加えて、この発明によれば、中継制御部に通信データが受信されたときに正常アクセスの識別を行うので、サーバへの不正アクセスを事前に防止することができる。
【００１１】
【発明の実施の形態】
以下、この発明の実施の形態について、図面を用いて説明する。なお、図中、各構成成分の大きさ、形状および配置関係は、本発明が理解できる程度に概略的に示してあるにすぎず、また、以下に説明する数値的条件は単なる例示にすぎない。
【００１２】
図１は、この実施の形態に係る不正アクセス遮断システムの全体構成を概略的に示すブロック図である。
【００１３】
図１に示したように、この実施の形態に係る不正アクセス遮断システム１００は、外部ネットワーク２００と内部ネットワーク３００との間に設置される。外部ネットワーク２００は、例えばインターネット等である。内部ネットワーク３００には、１台または複数台のサーバ３１０，３１０，・・・が接続される。サーバとしては、例えば、ＦＴＰ（Ｆｉｌｅ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）サーバ、ＨＴＴＰ（Ｈｙｐｅｒ　Ｔｅｘｔ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）サーバ、ＳＭＴＰ（Ｓｉｍｐｌｅ　Ｍａｉｌ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）　サーバ等が使用される。不正アクセス者は、外部ネットワーク２００に接続された端末（図示せず）から、サーバ３１０にアクセスする。この実施の形態に係る不正アクセス遮断システム１００は、外部ネットワーク２００からサーバ３１０への不正アクセスを遮断するために使用される。
【００１４】
不正アクセス遮断システム１００は、通信中継制御部１１０と、正常アクセス情報格納部１２０と、正常アクセス識別部１３０とを備えている。
【００１５】
通信中継制御部１１０は、外部ネットワーク２００と内部ネットワーク３００との間の通信を中継する。中継制御の技術としてはブリッジ、ルータ、プロキシ等の公知技術を利用することができるので、詳細説明は省略する。外部ネットワーク２００からサーバ３１０へのアクセスが要求されたとき、通信中継制御部１１０は、そのアクセスに係る通信データのコピーを、正常アクセス識別部１３０に送る。そして、通信中継制御部１１０は、正常アクセス識別部１３０の識別結果が「正常」であった場合、そのアクセスを許可し、かかる通信データをサーバ３１０に転送する。一方、正常アクセス識別部１３０の識別結果が「不正」であった場合、通信中継制御部１１０は、そのアクセスを拒否し、通信データを廃棄する。
【００１６】
正常アクセス情報格納部１２０は、正常な通信データの特徴情報を、一種類または複数種類格納する。かかる特徴情報の詳細は、後述する。
【００１７】
正常アクセス識別部１３０は、通信中継制御部１１０から通信データを受け取ると、かかる通信データを、正常アクセス情報格納部１２０内の特徴情報と比較する。そして、特徴情報の条件をすべて満たす場合、正常アクセス識別部１３０は、この通信データが正常であると判断する。一方、満たされない特徴情報が１つでもある場合には、正常アクセス識別部１３０は、この通信データが不正であると判断する。この識別結果は、上述したように、通信中継制御部１１０に送られる。
【００１８】
正常アクセス情報格納部１２０に格納される特徴情報は、サーバやアプリケーションの正常動作に寄与しないデータや異常動作を引き起こすデータを識別できるように規定される。この特徴情報は、サーバが提供するサービスの内容やサーバの性能等に応じて、任意に規定することができる。この実施の形態では、以下のような観点に基づいて、特徴情報を規定することとした。
【００１９】
（１）データ長
受信データのデータ長が異常に長い場合、サーバやサーバ状で動作するアプリケーションでオーバーフローが発生する危険性があり、それによって、例えばサービスの停止や誤動作が引き起こされるおそれがある。その一方で、異常に長いデータであってもオーバーフローが発生しない場合もあるが、いずれにしても、そのような長いデータは、通常のアクセスには必要とされないのが一般的である。したがって、正常な通信データの特徴情報として、「データ長が所定値以下であること」を採用することができる。例えば、２５６バイトを超えるデータによってオーバフローするようなサーバへのアクセスにおいては、「データ長が２５６バイト以下であること」を正常な通信データの特徴情報とすることができる。なお、不正アクセスの中には、サーバがオーバーフローを起こしたときの脆弱性を利用したものがあることが、既に知られている。したがって、この特徴情報は、不正アクセスを防止する上で非常に有効である。
【００２０】
（２）文字種別
例えば、ＨＴＴＰ等において、サーバやアプリケーションが、アスキー文字コードおよびＳｈｉｆｔ−ＪＩＳ文字コード（漢字コードの一種）のデータが期待されているにも拘わらず他の種別のコードを含むデータを受信したとき、そのデータによってサーバあるいはアプリケーションが正常動作しなくなるおそれがある。したがって、このような場合には、「特定の種別の文字（この例では、アスキー文字コードおよびＳｈｉｆｔ−ＪＩＳ文字コード）のみが使用されていること」を、正常な通信データの特徴情報として規定することができる。なお、通常のＨＴＴＰは、アスキー文字コードやＳｈｉｆｔ−ＪＩＳ文字コードに加えて、ＥＵＣやＪＩＳにも対応しており、さらには、それ以外のコードに対応させることも可能である。すなわち、正常アクセスの特徴情報として採用される文字種別は、システムに応じて任意に選択することができる。
【００２１】
（３）特殊文字
例えばＨＴＴＰ等のプロトコルにおいては、使用できる文字が制限される場合がある。このような場合に禁止された文字を含むデータを受信すると、そのデータを解釈するときに正常動作が損なわれるおそれがある。例えば、アスキー文字コードの中にはタブ制御コードが定義されているが、このタブ制御コードが含まれるデータをＨＴＴＰサーバやアプリケーションが受信すると、正常動作が損なわれるおそれがある。このような理由から、「受信データ中に所定の特殊文字が含まれていないこと」を、正常な通信データの特徴情報として規定することができる。
【００２２】
（４）特定文字のエンコーディング
例えば、ＨＴＴＰでは、ＵＲＬエスケープというエンコーディング方法が一般的に使用されている。ＵＲＬエスケープは、アスキーコードに含まれないような８ビットのデータや、アスキーコードの中でもＨＴＴＰにおいて解釈を誤ってしまうような文字のエンコードに使用される。ここで、例えば「／」という文字はＵＲＬエスケープによって「％２Ｆ」にエンコードされるが、このエンコードは必ずしも必要ではない。むしろ、このエンコードによって、サーバがデータの解釈を誤って、誤動作を引き起こす可能性がある。したがって、「特定文字（例えば「／」）がエンコードされていないこと」を正常データの特徴情報として規定することができる。
【００２３】
（５）文字のエンコード方法
ＨＴＴＰサーバ等では、利用できないエンコード方法が存在する場合がある。例えば、ＵＲＬエスケープには対応しているがＵｎｉｃｏｄｅ文字には対応していないサーバにとっては、Ｕｎｉｃｏｄｅ文字を含む通信データは正常ではない。このような理由から、「特定の方法（例えばＵＲＬエスケープ）でエンコードされたデータであること」を正常データの特徴情報として規定することができる。
【００２４】
なお、使用されたエンコード方法は、データ中の記号によって識別することができる。ＵＲＬエスケープでは記号「％」に続くコードで文字を表し、Ｕｎｉｃｏｄｅ文字では記号「％ｕ」に続くコードで文字を表すからである。例えば、アスキー文字の「＄」（半角）は、ＵＲＬエスケープでエンコードされた場合にはコード「％２４」で表されるが、Ｕｎｉｃｏｄｅ文字（ＵＣＳ−２）でエンコードされた場合にはコード「％ｕ００２４」で表される。
【００２５】
このように、この実施の形態によれば、正常アクセスのみを許可し、他のアクセスを非常に高い確率で遮断することができる。このため、この実施の形態によれば、未知の不正プログラムによるアクセスを、非常に高い確率で遮断することができる。
【００２６】
また、この実施の形態に係る不正アクセス遮断システム１００は、外部ネットワーク２００と内部ネットワーク３００との間に中継装置として設置されるので、サーバ３１０への不正なアクセスを、事後的ではなく、事前に防止することができる。
【００２７】
【発明の効果】
以上詳細に説明したように、本発明によれば、不正アクセスを高い確率で事前に防止することができる。
【図面の簡単な説明】
【図１】実施の形態に係る不正アクセス遮断システムの構成を示すブロック図である。
【符号の説明】
１００　不正アクセス遮断システム
１１０　通信中継制御部
１２０　正常アクセス情報格納部
１３０　正常アクセス識別部
２００　外部ネットワーク
３００　内部ネットワーク
３１０　サーバ

Claims

外部ネットワークから通信データを受信し、この通信データが正常である場合にのみサーバに転送する通信中継制御部と、
前記サーバが意図したサービスの提供に寄与する通信データの条件を、正常な通信データの特徴情報として、一種類または複数種類格納する正常アクセス情報格納部と、
この正常アクセス情報格納部から前記特徴情報を読み出して前記通信中継制御部が受信した通信データと比較し、これらの特徴情報をすべて満たす通信データのみを正常であると判断する正常アクセス識別部と、
を備える不正アクセス遮断システム。