JP2004046742A - 攻撃分析装置、センサ、攻撃分析方法及びプログラム - Google Patents
攻撃分析装置、センサ、攻撃分析方法及びプログラム Download PDFInfo
- Publication number
- JP2004046742A JP2004046742A JP2002206154A JP2002206154A JP2004046742A JP 2004046742 A JP2004046742 A JP 2004046742A JP 2002206154 A JP2002206154 A JP 2002206154A JP 2002206154 A JP2002206154 A JP 2002206154A JP 2004046742 A JP2004046742 A JP 2004046742A
- Authority
- JP
- Japan
- Prior art keywords
- attack
- information
- alert
- alert information
- time
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Computer And Data Communications (AREA)
Abstract
【課題】検知したネットワーク攻撃についての分析処理の効率を向上させる。
【解決手段】ＩＤＳ１１及びファイアウオール１３は、ネットワーク攻撃を検知すると、ログデータと、攻撃検知の要因となったパケットデータを用いて生成されたアラート識別子と、を含むアラート情報をコリレーション装置１５に送信する。コリレーション装置１５は、受信したアラート情報に含まれるアラート識別子を用いて、同一の攻撃に属するアラート情報を識別し、アラート情報を攻撃単位で攻撃情報として統合データベースに記憶する。そして、統合データベースに記憶された攻撃情報等を管理者の端末等に供給する。
【選択図】 図１
【解決手段】ＩＤＳ１１及びファイアウオール１３は、ネットワーク攻撃を検知すると、ログデータと、攻撃検知の要因となったパケットデータを用いて生成されたアラート識別子と、を含むアラート情報をコリレーション装置１５に送信する。コリレーション装置１５は、受信したアラート情報に含まれるアラート識別子を用いて、同一の攻撃に属するアラート情報を識別し、アラート情報を攻撃単位で攻撃情報として統合データベースに記憶する。そして、統合データベースに記憶された攻撃情報等を管理者の端末等に供給する。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
この発明は、ネットワーク攻撃を検知し、分析するためのシステムに関する。
【０００２】
【従来の技術】
従来、ネットワーク攻撃を検知するシステムでは、ファイアウオール、ＩＤＳ等のセンサを導入して、外部からの不正アクセスを検知し、セキュリティの確保を実現していた。
【０００３】
【発明が解決しようとする課題】
上記のようなシステムでは、ネットワークに複数のセンサを設置している場合、一つの攻撃に対して各センサが個別に反応するため、複数の攻撃があったようにみえてしまう。このため、最終的には、管理者がログデータ等を見て攻撃の内容を判断していたため、処理効率が悪く、また、管理者の作業負荷が大きかった。
また、攻撃の開始点、終了点、経路等について管理者が視覚的に把握できる手段の実現が望まれていた。
【０００４】
この発明は、上記実状に鑑みてなされたものであり、検知したネットワーク攻撃についての分析処理の効率を向上させることができる攻撃分析装置、センサ、攻撃分析方法等を提供することを目的とする。
また、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減させることができる攻撃分析装置、センサ、攻撃分析方法等を提供することを他の目的とする。
また、ネットワーク攻撃の内容を管理者が視覚的に把握することができる攻撃分析装置、センサ、攻撃分析方法等を提供することを他の目的とする。
【０００５】
【課題を解決するための手段】
上記目的を達成するため、この発明の第１の観点に係る攻撃分析装置は、
ネットワーク攻撃を検知する複数のセンサと接続可能な攻撃分析装置であって、
攻撃を検知した各前記センサから、ログデータと、攻撃検知の要因となったパケットデータを用いて生成されたアラート識別情報と、を含むアラート情報を受信する手段と、
受信したアラート情報に含まれるアラート識別情報を用いて、同一の攻撃に属するアラート情報を識別し、前記アラート情報を攻撃単位でデータベースに記憶する識別手段と、
前記データベースに記憶された攻撃単位のアラート情報を出力する出力手段と、
を備えることを特徴とする。
【０００６】
この発明によれば、各センサが発するアラート情報について、同一の攻撃に属するアラート情報を識別することができるため、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減することができるとともに、分析処理の効率化を図ることができる。
【０００７】
アラート情報の受信に応じて所定のワーク領域を参照し、該アラート情報と同一の攻撃に属するアラート情報が前記ワーク領域に存在するかを判別する判別手段と、
前記判別手段により、該当するアラート情報が前記ワーク領域に存在しないと判別された場合、前記受信したアラート情報に含まれる時刻情報に基づいて該アラート情報が属する攻撃の開始時刻を決定し、攻撃開始時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶するとともに、前記受信したアラート情報を前記ワーク領域に記憶する手段と、
前記判別手段により、該当するアラート情報が前記ワーク領域に存在すると判別された場合、前記ワーク領域における該当アラート情報の時刻情報を、前記受信したアラート情報の時刻情報で更新する手段と、
前記ワーク領域に存在する各アラート情報について、該アラート情報に含まれる時刻情報が示す時刻から一定時間が経過したものを検出し、検出したアラート情報を前記ワーク領域から削除するとともに、削除時刻に基づいて、該アラート情報が属する攻撃の終了時刻を決定し、攻撃終了時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶する手段と、をさらに備えてもよく、
前記出力手段は、前記攻撃単位のアラート情報に関連付けられている攻撃の開始時刻と終了時刻の情報を出力する手段をさらに備えてもよい。
これにより、各攻撃の開始時刻・終了時刻等を判定することができるため、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減することができるとともに、分析処理の効率化を図ることができる。
【０００８】
前記出力手段は、前記データベースに記憶されている攻撃単位のアラート情報について、攻撃の方向性と、攻撃の指向性と、攻撃の深度と、の少なくとも１つの情報を、図を用いて表示するための画面情報を出力するようにしてもよい。
【０００９】
前記識別手段は、アラート識別子を有しないアラート情報をセンサから受信した場合、該アラート情報に含まれるログデータと、アラート識別子を有するアラート情報のログデータを照合して、同一の攻撃に属するアラート情報を識別するようにしてもよい。
【００１０】
この発明の第２の観点に係るセンサは、
ネットワーク上でパケットを監視して攻撃を検知するセンサであって、
ログデータと、攻撃検知の要因となったパケットデータを用いて生成したアラート識別情報と、を含むアラート情報を所定の装置に送信する、
ことを特徴とする。
【００１１】
この発明の第３の観点に係る攻撃分析方法は、
ネットワーク攻撃を検知する複数のセンサと攻撃分析装置とを備えるネットワークシステムにおける攻撃分析方法であって、
攻撃を検知した各前記センサにおいて、ログデータと、攻撃検知の要因となったパケットデータを用いて生成されたアラート識別情報と、を含むアラート情報を前記攻撃分析装置に送信し、
前記攻撃分析装置において、前記センサから受信したアラート情報に含まれるアラート識別情報を用いて、同一の攻撃に属するアラート情報を識別し、前記アラート情報を攻撃単位で所定のデータベースに記憶し、
前記データベースに記憶された攻撃単位のアラート情報を出力する、
ことを特徴とする。
【００１２】
この発明によれば、各センサが発するアラート情報について、同一の攻撃に属するアラート情報を識別することができるため、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減することができるとともに、分析処理の効率化を図ることができる。
【００１３】
前記攻撃分析装置において、アラート情報の受信に応じて所定のワーク領域を参照し、該アラート情報と同一の攻撃に属するアラート情報が前記ワーク領域に存在するかを判別してもよく、
該当するアラート情報が前記ワーク領域に存在しないと判別された場合、前記受信したアラート情報に含まれる時刻情報に基づいて該アラート情報が属する攻撃の開始時刻を決定し、攻撃開始時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶するとともに、前記受信したアラート情報を前記ワーク領域に記憶してもよく、
該当するアラート情報が前記ワーク領域に存在すると判別された場合、前記ワーク領域における該当アラート情報の時刻情報を、前記受信したアラート情報の時刻情報で更新してもよく、
前記分析装置において、前記ワーク領域に存在する各アラート情報について、該アラート情報に含まれる時刻情報が示す時刻から一定時間が経過したものを検出し、検出したアラート情報を前記ワーク領域から削除するとともに、削除時刻に基づいて、該アラート情報が属する攻撃の終了時刻を決定し、攻撃終了時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶してもよく、
前記データベースにおける攻撃単位のアラート情報と、該攻撃単位のアラート情報に関連付けられている攻撃の開始時刻と終了時刻の情報と、を出力してもよい。
【００１４】
この発明の第４の観点に係るプログラムは、
コンピュータを、
請求項１又は２に記載の攻撃分析装置として機能させることを特徴とする。
【００１５】
【発明の実施の形態】
以下、本発明の実施の形態に係る攻撃検知システムについて図面を参照して説明する。
【００１６】
図１はこの発明の実施の形態に係る攻撃検知システムの構成を示す図である。図示するように、この攻撃検知システムは、センタ内でネットワーク１０を介して相互に接続される複数のＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）１１及びファイアウオール１３と、各ＩＤＳ１１及びファイアウオール１３と所定のネットワークを介して相互に接続されるコリレーション装置１５と、を備えている。
【００１７】
ネットワーク１０は、外部ネットワークと接続可能なセンタ内の内部ネットワークであり、ＩＤＳ１１、ファイアウオール１３等が接続されている。また、ネットワーク１０は、ウェブサーバ、ファイルサーバ、データベースサーバ等の種々のサーバ、クライアント端末等が接続されている。
【００１８】
ＩＤＳ１１は、ネットワークへの不正な侵入を検出するためのものであり、制御部、記憶部、通信制御部等を備えるコンピュータに所定の動作プログラム等をインストールし、動作プログラムを起動することにより実現される。
ＩＤＳ１１は、ネットワーク１０上を流れるパケットを監視するＮＩＤＳ（ネットワーク型ＩＤＳ）１１１と、ホスト（サーバ）のシスログ等を監視するＨＩＤＳ（ホスト型ＩＤＳ）１１２と、を含む。
【００１９】
ＮＩＤＳ１１１は、例えば図２に示すように、パケットチェック部１１１ａ、アラート識別子生成部１１１ｂ、シグネチャデータベース１１１ｃ、アラートログデータベース１１１ｄを論理的に備える。
パケットチェック部１１１ａは、攻撃パターンに関する情報が登録されているシグネチャデータベース１１１ｃを参照し、ネットワーク上を流れるパケットについて、そのパケットが攻撃に関するものであるか否かを判別する。そして、攻撃を検出した場合には、ログデータ（攻撃先、攻撃元、攻撃名、攻撃検出時刻（アラート発生時刻）等を含む）を生成してアラートログデータベース１１１ｄに記憶するとともに、後述のアラート識別子生成部１１１ｂにより生成されたアラート識別子と、ログデータを含むアラートと、を含むアラート情報をコリレーション装置１５に送信する処理を行う。
【００２０】
アラート識別子生成部１１１ｂは、パケットチェック部１１１ａにより攻撃に関する内容を有する不正なパケットが検出された場合、検出した不正なパケットのデータと一方向関数を用いてアラート識別子を生成する処理を行う。
シグネチャデータベース１１１ｃは、攻撃パターンに関する情報を記憶する。アラートログデータベース１１１ｄは、攻撃が検出された際に生成されるログデータを記憶する。
【００２１】
ＨＩＤＳ１１２は、例えば図３に示すように、シスログ監視部１１２ａ、アラートログデータベース１１２ｂを論理的に備える。
シスログ監視部１１２ａは、サーバのシスログを監視して、重要なプロセスの起動等を検知する。そして、重要なプロセスの起動を検知した場合には、ログデータを生成してアラートログデータベース１１２ｂに記憶するとともに、ログデータを含むアラート情報をコリレーション装置１５に送信する処理を行う。
アラートログデータベース１１２ｂは、重要なプロセスの起動が検出された際に生成されるログデータを記憶する。
【００２２】
ファイアウオール１３は、例えば図４に示すように、パケットチェック部１３ａ、アラート識別子生成部１３ｂ、アラートログデータベース１３ｃを論理的に備える。
パケットチェック部１３ａは、予め設定されている、フィルタリングの条件に関する情報（ポリシー）に基づいてパケットのフィルタリング等を行う。そして、不正なパケットを検出した場合には、ログデータを生成してアラートログデータベース１３１ｃに記憶するとともに、後述のアラート識別子生成部１３１ｂにより生成されたアラート識別子と、ログデータを含むアラートと、を含むアラート情報をコリレーション装置１５に送信する処理を行う。
アラート識別子生成部１３ｂは、パケットチェック部１３ａにより不正なパケットが検出された場合、その不正なパケットのデータと一方向関数を用いてアラート識別子を生成する処理を行う。
ログデータベース１３ｃは、不正なパケットが検出された際に生成されるログデータを記憶する。
【００２３】
コリレーション装置１５は、例えば図５に示すように、制御部１５１と、記憶部１５２と、通信制御部１５３と、を備えるサーバ等のコンピュータにより構成される。
【００２４】
制御部１５１は、記憶部１５２に記憶される動作プログラム等を実行することにより、相関判定部１５１ａ、分析画面処理部１５１ｂ等を実現する。
【００２５】
相関判定部１５１ａは、各センサ（ＩＤＳ１１及びファイアウオール１３）から受信した各アラート情報について、それぞれの相関をとって同じ攻撃に属するアラート情報を識別するとともに、各攻撃の開始時間・終了時間を判定し、記憶部１５２の統合データベース１５２ａに登録する。
【００２６】
具体的には、相関判定部１５１ａは、ＩＤＳ１１、ファイアウオール１３からのアラート情報の受信に応じて、所定のワーク領域（以下、「アタックステートバッファ」と呼ぶ）を参照する。
このアタックステートバッファには、例えば図６に示すような、攻撃元アドレス、攻撃先アドレス、攻撃名（コマンド名等）、時刻情報（アラート発生時刻等）等の所定情報（以下、チェック情報）が書き込まれる。相関判定部１５１ａは、参照したアタックステートバッファに、受信したアラート情報に対応する、すなわち、攻撃先、攻撃元、攻撃名が同一であるチェック情報があるか否かを判別し、対応するチェック情報が無い場合には、新たな攻撃とみなし、受信したアラート情報に基づくチェック情報（攻撃先アドレス、攻撃元アドレス、攻撃名、時刻情報等）をアタックステートバッファに書き込むとともに、例えば図７に示すような、アラート識別子、攻撃名、攻撃元アドレス、攻撃先アドレス、攻撃開始時間、攻撃終了時間、センサ情報（センサの種別及びセンサの識別コード）、等のデータ項目を有する攻撃情報を生成して統合データベース１５２ａに登録する。
【００２７】
また、受信したアラート情報に対応するチェック情報がアタックステートバッファに記憶されている場合には、一連の攻撃とみなし、該当するチェック情報の時刻情報をアラート発生時刻で更新する。そして、統合データベース１５２ａにおいて対応する（識別子コードとセンサ種別が同一である等）攻撃情報にセンサの識別コードを追加設定する。
【００２８】
また、相関判定部１５１ａは、アタックステートバッファに登録された各チェック情報について時刻情報を参照し、その時刻から所定時間が経過しているチェック情報についてはアタックステートバッファから消去するとともに、時刻情報が示す時刻を、統合データベース１５２ａにおいて消去したチェック情報に対応する攻撃情報の攻撃終了時間に設定する。
【００２９】
また、相関判定部１５１ａは、各アラート情報に対応する攻撃情報を統合データベース１５２ａに登録する際、そのアラート識別子を参照して、同じアラート識別子を有するアラート情報については、同じ攻撃名に変更して登録する処理をセンサ種別毎に行う。例えば、ＮＩＤＳ１１１（Ａ）とＮＩＤＳ１１１（Ｃ）から、同じアラート識別子を有するアラート情報を受信した場合には、ＮＩＤＳ１１１（Ｃ）のアラート情報の攻撃名をＮＩＤＳ１１１（Ａ）のアラート情報の攻撃名に変更する等して攻撃名を同一にして登録する。
また、アラート識別子を有しないＨＩＤＳ１１２からのアラート情報については、そのアラート情報に含まれるログデータと、ＮＩＤＳ１１１からのアラート情報に含まれるログデータのテキストマッチングにより相関を取り、同一の攻撃に属するＨＩＤＳ１１２のアラート情報を検出し、そのアラート情報に含まれるアラート識別子を付すことにより相関をとる。
【００３０】
例えば、図８に示すような、ＮＩＤＳ１１１からのアラート情報ＡＬ１を受信した後に、ＨＩＤＳ１１２からアラート情報ＡＬ２を受信した場合には、ログデータのテキストマッチングにより、アラート情報ＡＬ１のログデータにおけるコマンド名の一部の「ｉｎｅｔｉｎｆｏ．ｅｘｅ」と、アラート情報のＡＬ２のログデータにおける起動プロセス名「ｉｎｅｔｉｎｆｏ．ｅｘｅ」の一致が検出されるため、アラート情報ＡＬ１のアラート識別子「５２３２１２」がアラート情報ＡＬ２に付与される。
【００３１】
また、相関判定部１５１ａは、アタックステートバッファに登録された各チェック情報について時刻情報を参照し、その時刻から所定時間が経過しているチェック情報についてはアタックステートバッファから消去するとともに、時刻情報が示す時刻を、統合データベース１５２ａにおいて消去したチェック情報に対応する攻撃情報の攻撃終了時間に設定する。
【００３２】
分析画面処理部１５１ｂは、統合データベース１５２ａに登録された攻撃情報やログデータ等を用いて、本システムにより検知された各攻撃に関する情報を視覚的に表現する分析画面を生成し、管理者の端末等に供給する処理を行う。
分析画面の一例を図９に示す。分析画面処理部１５１ｂは、この分析画面において、例えば、センサに着目したネットワーク図を表示するとともに、各攻撃とについて、攻撃時間、攻撃の深度等をグラフ等を用いて視覚的に表す。また、各攻撃のいずれかが管理者によってクリック等により選択されると、ネットワーク図において、その攻撃に反応したセンサが分かるような表示を行い（例えば、該当センサの表示色の輝度を上げる等）、また、攻撃の経路及び指向性を表示する。攻撃の経路及び指向性の判断方法は任意であり、例えば、反応したセンサを通過するようなネットワーク経路を求めてもよい。そして、求めた経路を延長する等して攻撃の指向性を求めても良い。また、攻撃の深さの判別方法は任意であり、例えば、外部ネットワークとの接点からどの程度内部ネットワークに侵入されたかを判別してもよく、また、攻撃対象となった層（例えば、アプリケーション層、プレゼンテーション層、セッション層等）に基づいて判別してもよい。
【００３３】
記憶部１５２は、制御部１５１が実行する動作プログラム、処理に必要な各種のデータ、各センサから受信したアラート情報等を記憶する。
また、記憶部１５２は、例えば図７に示すような攻撃情報を記憶する統合データベース１５２ａを備える。
【００３４】
通信制御部１５３は、所定のネットワークを介してＩＤＳ１１、ファイアウオール１３等とデータ通信を行うためのものである。
【００３５】
以下に、本発明の実施の形態に係る攻撃検知システムの動作について本発明の特徴部分を中心に説明する。
コリレーション装置１５が各攻撃の開始時間、終了時間を決定する処理について図１０、図１１を参照して説明する。
【００３６】
図１０は、各センサからのアラート情報の受信に応じてコリレーション装置１５において実行されるフローチャートである。
コリレーション装置１５は、受信したアラート情報について、アタックステートバッファを参照し、同じ攻撃元、攻撃先、攻撃名を持つチェック情報が存在するか否かを判別する（ステップＳ１）。
【００３７】
該当するチェック情報がアタックステートバッファに存在すると判別された場合には、該当するチェック情報の時刻情報を、受信したアラート情報に含まれる時刻情報で更新して、本処理を終了する（ステップＳ２）。
【００３８】
また、該当するチェック情報がアタックステートバッファに存在しないと判別された場合には、受信したアラート情報に基づくチェック情報を生成して、アタックステートバッファに登録するとともに、アラート情報における時刻情報を攻撃開始時刻に設定した攻撃情報を生成して統合データベース１５２ａに登録し、本処理を終了する（ステップＳ３）。
【００３９】
図１１は、所定時間毎にコリレーション装置１５において実行されるフローチャートである。
コリレーション装置１５は、アタックステートバッファを参照して、登録されている各チェック情報について、時刻情報が示す時刻から一定時間を経過したものがあるか否かを判別する（ステップＳ１１）。
【００４０】
該当するチェック情報がある場合には、そのチェック情報をアタックステートバッファから削除するとともに、削除した時刻を攻撃終了時間として、統合データベース１５２ａにおいて対応する攻撃情報に設定して、本処理を終了する（ステップＳ１２）。
【００４１】
また、該当するチェック情報がない場合には、そのまま本処理を終了する。
これにより、各攻撃の開始時間、終了時間が統合データベース１５２ａに登録される。
【００４２】
次に、コリレーション装置１５において各攻撃の開始時間、終了時間を決定する処理を具体例を用いて説明する。
例えば、図１２に示すように、コリレーション装置１５において、ＮＩＤＳ１１１（Ａ）からアラート情報ＡＬ１を、ＮＩＤＳ１１１（Ｂ）からアラート情報ＡＬ２を、ファイアウオール１３からアラート情報ＡＬ３を、それぞれ受信したこととする（Ｌ１）。
コリレーション装置１５は、アタックステートバッファを参照し、これらと対応する（攻撃先、攻撃元、攻撃名が同一である）チェック情報が存在するかを判別する。この例では、対応するチェック情報はアタックステートバッファに登録されていないこととする。コリレーション装置１５は、受信したアラート情報ＡＬ１、ＡＬ２、ＡＬ３に対応するチェック情報ＣＨ１、ＣＨ２、ＣＨ３をアタックステートバッファに書き込むとともに（Ｌ２）、各アラート情報における時刻情報を「攻撃開始時間」に設定した攻撃情報ＡＴ１、ＡＴ２を統合データベース１５２ａに登録する（Ｌ３）。
これにより、攻撃の攻撃開始時間が決定される。
【００４３】
次に、図１３に示すように、コリレーション装置１５において、ファイアウオール１３（Ｃ）からアラート情報ＡＬ４を受信したこととする（Ｌ４）。
コリレーション装置１５は、アタックステートバッファを参照し、これに対応するチェック情報ＣＨ３が存在すると判別すると、その時刻情報を、受信したアラート情報ＡＬ４の時刻情報で更新する（Ｌ５）。
【００４４】
そして、図１４に示すように、コリレーション装置１５は、アタックステートバッファへの登録時刻から一定時間が経過したチェック情報ＣＨ１、ＣＨ２が存在すると判別した場合には、そのチェック情報を削除するとともに（Ｌ６）、統合データベース１５２ａにおいて対応する攻撃情報ＡＴ１の「攻撃終了時間」にチェック情報の削除時刻を設定する（Ｌ７）。
これにより、攻撃の攻撃終了時間が決定される。
【００４５】
以上説明したように、本発明によれば、各センサが発するアラート情報について相関を取り、同一の攻撃に属するアラート情報を識別し、また、各攻撃の開始時刻・終了時刻等を判定することができる。また、各攻撃に関する各種情報を視覚的に管理者に提示することができる。これにより、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減するとともに、分析処理の効率化を図ることができる。
【００４６】
なお、アラート識別子の生成方法は、一方向関数を利用する上記方法に限定されず任意であり、種々の生成方法も使用可能である。
【００４７】
また、各装置やＤＢの構成は、任意に変更可能である。例えば、統合データベース１５２ａは、攻撃情報を、攻撃毎、センサ種別毎にまとめるようにしているが、単に、攻撃毎にまとめるような構成にしてもよい。
また、チェック情報、攻撃情報のデータ構造は一例であり、攻撃元、攻撃先、攻撃名等の上記処理に必要なデータを含んでいればよく、他の種々のデータ構造も適用可能である。
なお、上記説明では、セキュリティ上の観点から、運用されているネットワーク１０上にコリレーション装置１５を設置しないようにしているが、これに限定されず、ネットワーク１０上に設置するようにしてもよい。
【００４８】
なお、この発明のシステムは、専用のシステムによらず、通常のコンピュータシステムを用いても実現可能である。例えば、上述の動作を実行するためのプログラムをコンピュータ読み取り可能な記録媒体（ＦＤ、ＣＤ−ＲＯＭ、ＤＶＤ等）に格納して配布し、該プログラムをコンピュータにインストールすることにより、上述の処理を実行する各ＩＤＳ１１、ファイアウオール１３、コリレーション装置１５等を構成してもよい。また、インターネット等のネットワーク上のサーバ装置が有するディスク装置に格納しておき、例えば搬送波に重畳してコンピュータにダウンロード等するようにしてもよい。
また、上述の機能を、ＯＳが分担又はＯＳとアプリケーションの共同により実現する場合等には、ＯＳ以外の部分のみを媒体に格納して配布してもよく、また、搬送波に重畳してコンピュータにダウンロード等してもよい。
【００４９】
【発明の効果】
この発明によれば、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減することができ、分析処理の効率化を図ることができる。
【図面の簡単な説明】
【図１】この発明の実施の形態に係る攻撃検知システムの構成を示す図である。
【図２】図１の攻撃検知システムで使用されるＮＩＤＳの構成を示す図である。
【図３】図１の攻撃検知システムで使用されるＨＩＤＳの構成を示す図である。
【図４】図１の攻撃検知システムで使用されるファイアウオールの構成を示す図である。
【図５】図１の攻撃検知システムで使用されるコリレーション装置の構成を示す図である。
【図６】アタックステートバッファに記憶される情報の一例を示す図である。
【図７】攻撃情報のデータ構造の一例を示す図である。
【図８】ＨＩＤＳからアラート情報を受信した場合の処理を具体的に説明するための図である。
【図９】分析画面の一例を示す図である。
【図１０】攻撃の開始時間を決定する処理を説明するためのフローチャートである。
【図１１】攻撃の終了時間を決定する処理を説明するためのフローチャートである。
【図１２】攻撃情報の開始時間、終了時間を決定する処理を具体的に説明するための図である。
【図１３】攻撃情報の開始時間、終了時間を決定する処理を具体的に説明するための図である。
【図１４】攻撃情報の開始時間、終了時間を決定する処理を具体的に説明するための図である。
【符号の説明】
１０ ネットワーク
１１ ＩＤＳ
１１１ ＮＩＤＳ
１１２ ＨＩＤＳ
１３ ファイアウオール
１５ コリレーション装置
１１１ａ パケットチェック部
１１１ｂ アラート識別子生成部
１１１ｃ シグネチャデータベース
１１１ｄ アラートログデータベース
１１２ａ シスログ監視部
１１２ｂ アラートログデータベース
１３ａ パケットチェック部
１３ｂ アラート識別子生成部
１３ｃ アラートログデータベース
１５１ 制御部
１５２ 記憶部
１５３ 通信制御部
【発明の属する技術分野】
この発明は、ネットワーク攻撃を検知し、分析するためのシステムに関する。
【０００２】
【従来の技術】
従来、ネットワーク攻撃を検知するシステムでは、ファイアウオール、ＩＤＳ等のセンサを導入して、外部からの不正アクセスを検知し、セキュリティの確保を実現していた。
【０００３】
【発明が解決しようとする課題】
上記のようなシステムでは、ネットワークに複数のセンサを設置している場合、一つの攻撃に対して各センサが個別に反応するため、複数の攻撃があったようにみえてしまう。このため、最終的には、管理者がログデータ等を見て攻撃の内容を判断していたため、処理効率が悪く、また、管理者の作業負荷が大きかった。
また、攻撃の開始点、終了点、経路等について管理者が視覚的に把握できる手段の実現が望まれていた。
【０００４】
この発明は、上記実状に鑑みてなされたものであり、検知したネットワーク攻撃についての分析処理の効率を向上させることができる攻撃分析装置、センサ、攻撃分析方法等を提供することを目的とする。
また、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減させることができる攻撃分析装置、センサ、攻撃分析方法等を提供することを他の目的とする。
また、ネットワーク攻撃の内容を管理者が視覚的に把握することができる攻撃分析装置、センサ、攻撃分析方法等を提供することを他の目的とする。
【０００５】
【課題を解決するための手段】
上記目的を達成するため、この発明の第１の観点に係る攻撃分析装置は、
ネットワーク攻撃を検知する複数のセンサと接続可能な攻撃分析装置であって、
攻撃を検知した各前記センサから、ログデータと、攻撃検知の要因となったパケットデータを用いて生成されたアラート識別情報と、を含むアラート情報を受信する手段と、
受信したアラート情報に含まれるアラート識別情報を用いて、同一の攻撃に属するアラート情報を識別し、前記アラート情報を攻撃単位でデータベースに記憶する識別手段と、
前記データベースに記憶された攻撃単位のアラート情報を出力する出力手段と、
を備えることを特徴とする。
【０００６】
この発明によれば、各センサが発するアラート情報について、同一の攻撃に属するアラート情報を識別することができるため、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減することができるとともに、分析処理の効率化を図ることができる。
【０００７】
アラート情報の受信に応じて所定のワーク領域を参照し、該アラート情報と同一の攻撃に属するアラート情報が前記ワーク領域に存在するかを判別する判別手段と、
前記判別手段により、該当するアラート情報が前記ワーク領域に存在しないと判別された場合、前記受信したアラート情報に含まれる時刻情報に基づいて該アラート情報が属する攻撃の開始時刻を決定し、攻撃開始時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶するとともに、前記受信したアラート情報を前記ワーク領域に記憶する手段と、
前記判別手段により、該当するアラート情報が前記ワーク領域に存在すると判別された場合、前記ワーク領域における該当アラート情報の時刻情報を、前記受信したアラート情報の時刻情報で更新する手段と、
前記ワーク領域に存在する各アラート情報について、該アラート情報に含まれる時刻情報が示す時刻から一定時間が経過したものを検出し、検出したアラート情報を前記ワーク領域から削除するとともに、削除時刻に基づいて、該アラート情報が属する攻撃の終了時刻を決定し、攻撃終了時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶する手段と、をさらに備えてもよく、
前記出力手段は、前記攻撃単位のアラート情報に関連付けられている攻撃の開始時刻と終了時刻の情報を出力する手段をさらに備えてもよい。
これにより、各攻撃の開始時刻・終了時刻等を判定することができるため、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減することができるとともに、分析処理の効率化を図ることができる。
【０００８】
前記出力手段は、前記データベースに記憶されている攻撃単位のアラート情報について、攻撃の方向性と、攻撃の指向性と、攻撃の深度と、の少なくとも１つの情報を、図を用いて表示するための画面情報を出力するようにしてもよい。
【０００９】
前記識別手段は、アラート識別子を有しないアラート情報をセンサから受信した場合、該アラート情報に含まれるログデータと、アラート識別子を有するアラート情報のログデータを照合して、同一の攻撃に属するアラート情報を識別するようにしてもよい。
【００１０】
この発明の第２の観点に係るセンサは、
ネットワーク上でパケットを監視して攻撃を検知するセンサであって、
ログデータと、攻撃検知の要因となったパケットデータを用いて生成したアラート識別情報と、を含むアラート情報を所定の装置に送信する、
ことを特徴とする。
【００１１】
この発明の第３の観点に係る攻撃分析方法は、
ネットワーク攻撃を検知する複数のセンサと攻撃分析装置とを備えるネットワークシステムにおける攻撃分析方法であって、
攻撃を検知した各前記センサにおいて、ログデータと、攻撃検知の要因となったパケットデータを用いて生成されたアラート識別情報と、を含むアラート情報を前記攻撃分析装置に送信し、
前記攻撃分析装置において、前記センサから受信したアラート情報に含まれるアラート識別情報を用いて、同一の攻撃に属するアラート情報を識別し、前記アラート情報を攻撃単位で所定のデータベースに記憶し、
前記データベースに記憶された攻撃単位のアラート情報を出力する、
ことを特徴とする。
【００１２】
この発明によれば、各センサが発するアラート情報について、同一の攻撃に属するアラート情報を識別することができるため、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減することができるとともに、分析処理の効率化を図ることができる。
【００１３】
前記攻撃分析装置において、アラート情報の受信に応じて所定のワーク領域を参照し、該アラート情報と同一の攻撃に属するアラート情報が前記ワーク領域に存在するかを判別してもよく、
該当するアラート情報が前記ワーク領域に存在しないと判別された場合、前記受信したアラート情報に含まれる時刻情報に基づいて該アラート情報が属する攻撃の開始時刻を決定し、攻撃開始時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶するとともに、前記受信したアラート情報を前記ワーク領域に記憶してもよく、
該当するアラート情報が前記ワーク領域に存在すると判別された場合、前記ワーク領域における該当アラート情報の時刻情報を、前記受信したアラート情報の時刻情報で更新してもよく、
前記分析装置において、前記ワーク領域に存在する各アラート情報について、該アラート情報に含まれる時刻情報が示す時刻から一定時間が経過したものを検出し、検出したアラート情報を前記ワーク領域から削除するとともに、削除時刻に基づいて、該アラート情報が属する攻撃の終了時刻を決定し、攻撃終了時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶してもよく、
前記データベースにおける攻撃単位のアラート情報と、該攻撃単位のアラート情報に関連付けられている攻撃の開始時刻と終了時刻の情報と、を出力してもよい。
【００１４】
この発明の第４の観点に係るプログラムは、
コンピュータを、
請求項１又は２に記載の攻撃分析装置として機能させることを特徴とする。
【００１５】
【発明の実施の形態】
以下、本発明の実施の形態に係る攻撃検知システムについて図面を参照して説明する。
【００１６】
図１はこの発明の実施の形態に係る攻撃検知システムの構成を示す図である。図示するように、この攻撃検知システムは、センタ内でネットワーク１０を介して相互に接続される複数のＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）１１及びファイアウオール１３と、各ＩＤＳ１１及びファイアウオール１３と所定のネットワークを介して相互に接続されるコリレーション装置１５と、を備えている。
【００１７】
ネットワーク１０は、外部ネットワークと接続可能なセンタ内の内部ネットワークであり、ＩＤＳ１１、ファイアウオール１３等が接続されている。また、ネットワーク１０は、ウェブサーバ、ファイルサーバ、データベースサーバ等の種々のサーバ、クライアント端末等が接続されている。
【００１８】
ＩＤＳ１１は、ネットワークへの不正な侵入を検出するためのものであり、制御部、記憶部、通信制御部等を備えるコンピュータに所定の動作プログラム等をインストールし、動作プログラムを起動することにより実現される。
ＩＤＳ１１は、ネットワーク１０上を流れるパケットを監視するＮＩＤＳ（ネットワーク型ＩＤＳ）１１１と、ホスト（サーバ）のシスログ等を監視するＨＩＤＳ（ホスト型ＩＤＳ）１１２と、を含む。
【００１９】
ＮＩＤＳ１１１は、例えば図２に示すように、パケットチェック部１１１ａ、アラート識別子生成部１１１ｂ、シグネチャデータベース１１１ｃ、アラートログデータベース１１１ｄを論理的に備える。
パケットチェック部１１１ａは、攻撃パターンに関する情報が登録されているシグネチャデータベース１１１ｃを参照し、ネットワーク上を流れるパケットについて、そのパケットが攻撃に関するものであるか否かを判別する。そして、攻撃を検出した場合には、ログデータ（攻撃先、攻撃元、攻撃名、攻撃検出時刻（アラート発生時刻）等を含む）を生成してアラートログデータベース１１１ｄに記憶するとともに、後述のアラート識別子生成部１１１ｂにより生成されたアラート識別子と、ログデータを含むアラートと、を含むアラート情報をコリレーション装置１５に送信する処理を行う。
【００２０】
アラート識別子生成部１１１ｂは、パケットチェック部１１１ａにより攻撃に関する内容を有する不正なパケットが検出された場合、検出した不正なパケットのデータと一方向関数を用いてアラート識別子を生成する処理を行う。
シグネチャデータベース１１１ｃは、攻撃パターンに関する情報を記憶する。アラートログデータベース１１１ｄは、攻撃が検出された際に生成されるログデータを記憶する。
【００２１】
ＨＩＤＳ１１２は、例えば図３に示すように、シスログ監視部１１２ａ、アラートログデータベース１１２ｂを論理的に備える。
シスログ監視部１１２ａは、サーバのシスログを監視して、重要なプロセスの起動等を検知する。そして、重要なプロセスの起動を検知した場合には、ログデータを生成してアラートログデータベース１１２ｂに記憶するとともに、ログデータを含むアラート情報をコリレーション装置１５に送信する処理を行う。
アラートログデータベース１１２ｂは、重要なプロセスの起動が検出された際に生成されるログデータを記憶する。
【００２２】
ファイアウオール１３は、例えば図４に示すように、パケットチェック部１３ａ、アラート識別子生成部１３ｂ、アラートログデータベース１３ｃを論理的に備える。
パケットチェック部１３ａは、予め設定されている、フィルタリングの条件に関する情報（ポリシー）に基づいてパケットのフィルタリング等を行う。そして、不正なパケットを検出した場合には、ログデータを生成してアラートログデータベース１３１ｃに記憶するとともに、後述のアラート識別子生成部１３１ｂにより生成されたアラート識別子と、ログデータを含むアラートと、を含むアラート情報をコリレーション装置１５に送信する処理を行う。
アラート識別子生成部１３ｂは、パケットチェック部１３ａにより不正なパケットが検出された場合、その不正なパケットのデータと一方向関数を用いてアラート識別子を生成する処理を行う。
ログデータベース１３ｃは、不正なパケットが検出された際に生成されるログデータを記憶する。
【００２３】
コリレーション装置１５は、例えば図５に示すように、制御部１５１と、記憶部１５２と、通信制御部１５３と、を備えるサーバ等のコンピュータにより構成される。
【００２４】
制御部１５１は、記憶部１５２に記憶される動作プログラム等を実行することにより、相関判定部１５１ａ、分析画面処理部１５１ｂ等を実現する。
【００２５】
相関判定部１５１ａは、各センサ（ＩＤＳ１１及びファイアウオール１３）から受信した各アラート情報について、それぞれの相関をとって同じ攻撃に属するアラート情報を識別するとともに、各攻撃の開始時間・終了時間を判定し、記憶部１５２の統合データベース１５２ａに登録する。
【００２６】
具体的には、相関判定部１５１ａは、ＩＤＳ１１、ファイアウオール１３からのアラート情報の受信に応じて、所定のワーク領域（以下、「アタックステートバッファ」と呼ぶ）を参照する。
このアタックステートバッファには、例えば図６に示すような、攻撃元アドレス、攻撃先アドレス、攻撃名（コマンド名等）、時刻情報（アラート発生時刻等）等の所定情報（以下、チェック情報）が書き込まれる。相関判定部１５１ａは、参照したアタックステートバッファに、受信したアラート情報に対応する、すなわち、攻撃先、攻撃元、攻撃名が同一であるチェック情報があるか否かを判別し、対応するチェック情報が無い場合には、新たな攻撃とみなし、受信したアラート情報に基づくチェック情報（攻撃先アドレス、攻撃元アドレス、攻撃名、時刻情報等）をアタックステートバッファに書き込むとともに、例えば図７に示すような、アラート識別子、攻撃名、攻撃元アドレス、攻撃先アドレス、攻撃開始時間、攻撃終了時間、センサ情報（センサの種別及びセンサの識別コード）、等のデータ項目を有する攻撃情報を生成して統合データベース１５２ａに登録する。
【００２７】
また、受信したアラート情報に対応するチェック情報がアタックステートバッファに記憶されている場合には、一連の攻撃とみなし、該当するチェック情報の時刻情報をアラート発生時刻で更新する。そして、統合データベース１５２ａにおいて対応する（識別子コードとセンサ種別が同一である等）攻撃情報にセンサの識別コードを追加設定する。
【００２８】
また、相関判定部１５１ａは、アタックステートバッファに登録された各チェック情報について時刻情報を参照し、その時刻から所定時間が経過しているチェック情報についてはアタックステートバッファから消去するとともに、時刻情報が示す時刻を、統合データベース１５２ａにおいて消去したチェック情報に対応する攻撃情報の攻撃終了時間に設定する。
【００２９】
また、相関判定部１５１ａは、各アラート情報に対応する攻撃情報を統合データベース１５２ａに登録する際、そのアラート識別子を参照して、同じアラート識別子を有するアラート情報については、同じ攻撃名に変更して登録する処理をセンサ種別毎に行う。例えば、ＮＩＤＳ１１１（Ａ）とＮＩＤＳ１１１（Ｃ）から、同じアラート識別子を有するアラート情報を受信した場合には、ＮＩＤＳ１１１（Ｃ）のアラート情報の攻撃名をＮＩＤＳ１１１（Ａ）のアラート情報の攻撃名に変更する等して攻撃名を同一にして登録する。
また、アラート識別子を有しないＨＩＤＳ１１２からのアラート情報については、そのアラート情報に含まれるログデータと、ＮＩＤＳ１１１からのアラート情報に含まれるログデータのテキストマッチングにより相関を取り、同一の攻撃に属するＨＩＤＳ１１２のアラート情報を検出し、そのアラート情報に含まれるアラート識別子を付すことにより相関をとる。
【００３０】
例えば、図８に示すような、ＮＩＤＳ１１１からのアラート情報ＡＬ１を受信した後に、ＨＩＤＳ１１２からアラート情報ＡＬ２を受信した場合には、ログデータのテキストマッチングにより、アラート情報ＡＬ１のログデータにおけるコマンド名の一部の「ｉｎｅｔｉｎｆｏ．ｅｘｅ」と、アラート情報のＡＬ２のログデータにおける起動プロセス名「ｉｎｅｔｉｎｆｏ．ｅｘｅ」の一致が検出されるため、アラート情報ＡＬ１のアラート識別子「５２３２１２」がアラート情報ＡＬ２に付与される。
【００３１】
また、相関判定部１５１ａは、アタックステートバッファに登録された各チェック情報について時刻情報を参照し、その時刻から所定時間が経過しているチェック情報についてはアタックステートバッファから消去するとともに、時刻情報が示す時刻を、統合データベース１５２ａにおいて消去したチェック情報に対応する攻撃情報の攻撃終了時間に設定する。
【００３２】
分析画面処理部１５１ｂは、統合データベース１５２ａに登録された攻撃情報やログデータ等を用いて、本システムにより検知された各攻撃に関する情報を視覚的に表現する分析画面を生成し、管理者の端末等に供給する処理を行う。
分析画面の一例を図９に示す。分析画面処理部１５１ｂは、この分析画面において、例えば、センサに着目したネットワーク図を表示するとともに、各攻撃とについて、攻撃時間、攻撃の深度等をグラフ等を用いて視覚的に表す。また、各攻撃のいずれかが管理者によってクリック等により選択されると、ネットワーク図において、その攻撃に反応したセンサが分かるような表示を行い（例えば、該当センサの表示色の輝度を上げる等）、また、攻撃の経路及び指向性を表示する。攻撃の経路及び指向性の判断方法は任意であり、例えば、反応したセンサを通過するようなネットワーク経路を求めてもよい。そして、求めた経路を延長する等して攻撃の指向性を求めても良い。また、攻撃の深さの判別方法は任意であり、例えば、外部ネットワークとの接点からどの程度内部ネットワークに侵入されたかを判別してもよく、また、攻撃対象となった層（例えば、アプリケーション層、プレゼンテーション層、セッション層等）に基づいて判別してもよい。
【００３３】
記憶部１５２は、制御部１５１が実行する動作プログラム、処理に必要な各種のデータ、各センサから受信したアラート情報等を記憶する。
また、記憶部１５２は、例えば図７に示すような攻撃情報を記憶する統合データベース１５２ａを備える。
【００３４】
通信制御部１５３は、所定のネットワークを介してＩＤＳ１１、ファイアウオール１３等とデータ通信を行うためのものである。
【００３５】
以下に、本発明の実施の形態に係る攻撃検知システムの動作について本発明の特徴部分を中心に説明する。
コリレーション装置１５が各攻撃の開始時間、終了時間を決定する処理について図１０、図１１を参照して説明する。
【００３６】
図１０は、各センサからのアラート情報の受信に応じてコリレーション装置１５において実行されるフローチャートである。
コリレーション装置１５は、受信したアラート情報について、アタックステートバッファを参照し、同じ攻撃元、攻撃先、攻撃名を持つチェック情報が存在するか否かを判別する（ステップＳ１）。
【００３７】
該当するチェック情報がアタックステートバッファに存在すると判別された場合には、該当するチェック情報の時刻情報を、受信したアラート情報に含まれる時刻情報で更新して、本処理を終了する（ステップＳ２）。
【００３８】
また、該当するチェック情報がアタックステートバッファに存在しないと判別された場合には、受信したアラート情報に基づくチェック情報を生成して、アタックステートバッファに登録するとともに、アラート情報における時刻情報を攻撃開始時刻に設定した攻撃情報を生成して統合データベース１５２ａに登録し、本処理を終了する（ステップＳ３）。
【００３９】
図１１は、所定時間毎にコリレーション装置１５において実行されるフローチャートである。
コリレーション装置１５は、アタックステートバッファを参照して、登録されている各チェック情報について、時刻情報が示す時刻から一定時間を経過したものがあるか否かを判別する（ステップＳ１１）。
【００４０】
該当するチェック情報がある場合には、そのチェック情報をアタックステートバッファから削除するとともに、削除した時刻を攻撃終了時間として、統合データベース１５２ａにおいて対応する攻撃情報に設定して、本処理を終了する（ステップＳ１２）。
【００４１】
また、該当するチェック情報がない場合には、そのまま本処理を終了する。
これにより、各攻撃の開始時間、終了時間が統合データベース１５２ａに登録される。
【００４２】
次に、コリレーション装置１５において各攻撃の開始時間、終了時間を決定する処理を具体例を用いて説明する。
例えば、図１２に示すように、コリレーション装置１５において、ＮＩＤＳ１１１（Ａ）からアラート情報ＡＬ１を、ＮＩＤＳ１１１（Ｂ）からアラート情報ＡＬ２を、ファイアウオール１３からアラート情報ＡＬ３を、それぞれ受信したこととする（Ｌ１）。
コリレーション装置１５は、アタックステートバッファを参照し、これらと対応する（攻撃先、攻撃元、攻撃名が同一である）チェック情報が存在するかを判別する。この例では、対応するチェック情報はアタックステートバッファに登録されていないこととする。コリレーション装置１５は、受信したアラート情報ＡＬ１、ＡＬ２、ＡＬ３に対応するチェック情報ＣＨ１、ＣＨ２、ＣＨ３をアタックステートバッファに書き込むとともに（Ｌ２）、各アラート情報における時刻情報を「攻撃開始時間」に設定した攻撃情報ＡＴ１、ＡＴ２を統合データベース１５２ａに登録する（Ｌ３）。
これにより、攻撃の攻撃開始時間が決定される。
【００４３】
次に、図１３に示すように、コリレーション装置１５において、ファイアウオール１３（Ｃ）からアラート情報ＡＬ４を受信したこととする（Ｌ４）。
コリレーション装置１５は、アタックステートバッファを参照し、これに対応するチェック情報ＣＨ３が存在すると判別すると、その時刻情報を、受信したアラート情報ＡＬ４の時刻情報で更新する（Ｌ５）。
【００４４】
そして、図１４に示すように、コリレーション装置１５は、アタックステートバッファへの登録時刻から一定時間が経過したチェック情報ＣＨ１、ＣＨ２が存在すると判別した場合には、そのチェック情報を削除するとともに（Ｌ６）、統合データベース１５２ａにおいて対応する攻撃情報ＡＴ１の「攻撃終了時間」にチェック情報の削除時刻を設定する（Ｌ７）。
これにより、攻撃の攻撃終了時間が決定される。
【００４５】
以上説明したように、本発明によれば、各センサが発するアラート情報について相関を取り、同一の攻撃に属するアラート情報を識別し、また、各攻撃の開始時刻・終了時刻等を判定することができる。また、各攻撃に関する各種情報を視覚的に管理者に提示することができる。これにより、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減するとともに、分析処理の効率化を図ることができる。
【００４６】
なお、アラート識別子の生成方法は、一方向関数を利用する上記方法に限定されず任意であり、種々の生成方法も使用可能である。
【００４７】
また、各装置やＤＢの構成は、任意に変更可能である。例えば、統合データベース１５２ａは、攻撃情報を、攻撃毎、センサ種別毎にまとめるようにしているが、単に、攻撃毎にまとめるような構成にしてもよい。
また、チェック情報、攻撃情報のデータ構造は一例であり、攻撃元、攻撃先、攻撃名等の上記処理に必要なデータを含んでいればよく、他の種々のデータ構造も適用可能である。
なお、上記説明では、セキュリティ上の観点から、運用されているネットワーク１０上にコリレーション装置１５を設置しないようにしているが、これに限定されず、ネットワーク１０上に設置するようにしてもよい。
【００４８】
なお、この発明のシステムは、専用のシステムによらず、通常のコンピュータシステムを用いても実現可能である。例えば、上述の動作を実行するためのプログラムをコンピュータ読み取り可能な記録媒体（ＦＤ、ＣＤ−ＲＯＭ、ＤＶＤ等）に格納して配布し、該プログラムをコンピュータにインストールすることにより、上述の処理を実行する各ＩＤＳ１１、ファイアウオール１３、コリレーション装置１５等を構成してもよい。また、インターネット等のネットワーク上のサーバ装置が有するディスク装置に格納しておき、例えば搬送波に重畳してコンピュータにダウンロード等するようにしてもよい。
また、上述の機能を、ＯＳが分担又はＯＳとアプリケーションの共同により実現する場合等には、ＯＳ以外の部分のみを媒体に格納して配布してもよく、また、搬送波に重畳してコンピュータにダウンロード等してもよい。
【００４９】
【発明の効果】
この発明によれば、ネットワーク攻撃の分析処理における管理者の作業負荷を軽減することができ、分析処理の効率化を図ることができる。
【図面の簡単な説明】
【図１】この発明の実施の形態に係る攻撃検知システムの構成を示す図である。
【図２】図１の攻撃検知システムで使用されるＮＩＤＳの構成を示す図である。
【図３】図１の攻撃検知システムで使用されるＨＩＤＳの構成を示す図である。
【図４】図１の攻撃検知システムで使用されるファイアウオールの構成を示す図である。
【図５】図１の攻撃検知システムで使用されるコリレーション装置の構成を示す図である。
【図６】アタックステートバッファに記憶される情報の一例を示す図である。
【図７】攻撃情報のデータ構造の一例を示す図である。
【図８】ＨＩＤＳからアラート情報を受信した場合の処理を具体的に説明するための図である。
【図９】分析画面の一例を示す図である。
【図１０】攻撃の開始時間を決定する処理を説明するためのフローチャートである。
【図１１】攻撃の終了時間を決定する処理を説明するためのフローチャートである。
【図１２】攻撃情報の開始時間、終了時間を決定する処理を具体的に説明するための図である。
【図１３】攻撃情報の開始時間、終了時間を決定する処理を具体的に説明するための図である。
【図１４】攻撃情報の開始時間、終了時間を決定する処理を具体的に説明するための図である。
【符号の説明】
１０ ネットワーク
１１ ＩＤＳ
１１１ ＮＩＤＳ
１１２ ＨＩＤＳ
１３ ファイアウオール
１５ コリレーション装置
１１１ａ パケットチェック部
１１１ｂ アラート識別子生成部
１１１ｃ シグネチャデータベース
１１１ｄ アラートログデータベース
１１２ａ シスログ監視部
１１２ｂ アラートログデータベース
１３ａ パケットチェック部
１３ｂ アラート識別子生成部
１３ｃ アラートログデータベース
１５１ 制御部
１５２ 記憶部
１５３ 通信制御部
Claims (8)
- ネットワーク攻撃を検知する複数のセンサと接続可能な攻撃分析装置であって、
攻撃を検知した各前記センサから、ログデータと、攻撃検知の要因となったパケットデータを用いて生成されたアラート識別情報と、を含むアラート情報を受信する手段と、
受信したアラート情報に含まれるアラート識別情報を用いて、同一の攻撃に属するアラート情報を識別し、前記アラート情報を攻撃単位でデータベースに記憶する識別手段と、
前記データベースに記憶された攻撃単位のアラート情報を出力する出力手段と、
を備えることを特徴とする攻撃分析装置。 - アラート情報の受信に応じて所定のワーク領域を参照し、該アラート情報と同一の攻撃に属するアラート情報が前記ワーク領域に存在するかを判別する判別手段と、
前記判別手段により、該当するアラート情報が前記ワーク領域に存在しないと判別された場合、前記受信したアラート情報に含まれる時刻情報に基づいて該アラート情報が属する攻撃の開始時刻を決定し、攻撃開始時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶するとともに、前記受信したアラート情報を前記ワーク領域に記憶する手段と、
前記判別手段により、該当するアラート情報が前記ワーク領域に存在すると判別された場合、前記ワーク領域における該当アラート情報の時刻情報を、前記受信したアラート情報の時刻情報で更新する手段と、
前記ワーク領域に存在する各アラート情報について、該アラート情報に含まれる時刻情報が示す時刻から一定時間が経過したものを検出し、検出したアラート情報を前記ワーク領域から削除するとともに、削除時刻に基づいて、該アラート情報が属する攻撃の終了時刻を決定し、攻撃終了時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶する手段と、をさらに備え、
前記出力手段は、前記攻撃単位のアラート情報に関連付けられている攻撃の開始時刻と終了時刻の情報を出力する手段をさらに備える、
ことを特徴とする請求項１に記載の攻撃分析装置。 - 前記出力手段は、前記データベースに記憶されている攻撃単位のアラート情報について、攻撃の方向性と、攻撃の指向性と、攻撃の深度と、の少なくとも１つの情報を、図を用いて表示するための画面情報を出力する、
ことを特徴とする請求項１又は２に記載の攻撃分析装置。 - 前記識別手段は、アラート識別子を有しないアラート情報をセンサから受信した場合、該アラート情報に含まれるログデータと、アラート識別子を有するアラート情報のログデータを照合して、同一の攻撃に属するアラート情報を識別する、
ことを特徴とする請求項１乃至３のいずれか１項に記載の攻撃分析装置。 - ネットワーク上でパケットを監視して攻撃を検知するセンサであって、
ログデータと、攻撃検知の要因となったパケットデータを用いて生成したアラート識別情報と、を含むアラート情報を所定の装置に送信する、
ことを特徴とするセンサ。 - ネットワーク攻撃を検知する複数のセンサと攻撃分析装置とを備えるネットワークシステムにおける攻撃分析方法であって、
攻撃を検知した各前記センサにおいて、ログデータと、攻撃検知の要因となったパケットデータを用いて生成されたアラート識別情報と、を含むアラート情報を前記攻撃分析装置に送信し、
前記攻撃分析装置において、前記センサから受信したアラート情報に含まれるアラート識別情報を用いて、同一の攻撃に属するアラート情報を識別し、前記アラート情報を攻撃単位で所定のデータベースに記憶し、
前記データベースに記憶された攻撃単位のアラート情報を出力する、
ことを特徴とする攻撃分析方法。 - 前記攻撃分析装置において、アラート情報の受信に応じて所定のワーク領域を参照し、該アラート情報と同一の攻撃に属するアラート情報が前記ワーク領域に存在するかを判別し、
該当するアラート情報が前記ワーク領域に存在しないと判別された場合、前記受信したアラート情報に含まれる時刻情報に基づいて該アラート情報が属する攻撃の開始時刻を決定し、攻撃開始時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶するとともに、前記受信したアラート情報を前記ワーク領域に記憶し、
該当するアラート情報が前記ワーク領域に存在すると判別された場合、前記ワーク領域における該当アラート情報の時刻情報を、前記受信したアラート情報の時刻情報で更新し、
前記分析装置において、前記ワーク領域に存在する各アラート情報について、該アラート情報に含まれる時刻情報が示す時刻から一定時間が経過したものを検出し、検出したアラート情報を前記ワーク領域から削除するとともに、削除時刻に基づいて、該アラート情報が属する攻撃の終了時刻を決定し、攻撃終了時刻情報として前記データベースにおける攻撃単位のアラート情報と関連付けて記憶し、
前記データベースにおける攻撃単位のアラート情報と、該攻撃単位のアラート情報に関連付けられている攻撃の開始時刻と終了時刻の情報と、を出力する、
ことを特徴とする請求項６に記載の攻撃分析方法。 - コンピュータを、
請求項１又は２に記載の攻撃分析装置として機能させることを特徴とするプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002206154A JP2004046742A (ja) | 2002-07-15 | 2002-07-15 | 攻撃分析装置、センサ、攻撃分析方法及びプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002206154A JP2004046742A (ja) | 2002-07-15 | 2002-07-15 | 攻撃分析装置、センサ、攻撃分析方法及びプログラム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2004046742A true JP2004046742A (ja) | 2004-02-12 |
Family
ID=31711263
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002206154A Pending JP2004046742A (ja) | 2002-07-15 | 2002-07-15 | 攻撃分析装置、センサ、攻撃分析方法及びプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2004046742A (ja) |
Cited By (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005341217A (ja) * | 2004-05-27 | 2005-12-08 | Fujitsu Ltd | 不正アクセス検知装置、不正アクセス検知方法、不正アクセス検知プログラムおよび分散型サービス不能化攻撃検知装置 |
| US7243147B2 (en) * | 2002-12-30 | 2007-07-10 | Bellsouth Ip Corporation | Systems and methods for the detection and management of network assets |
| JP2008083751A (ja) * | 2006-09-25 | 2008-04-10 | Hitachi Information Systems Ltd | 不正アクセス対応ネットワークシステム |
| JP2009129332A (ja) * | 2007-11-27 | 2009-06-11 | Kddi Corp | ポリシ生成システム、プログラム、および記録媒体 |
| JP2010521749A (ja) * | 2007-03-14 | 2010-06-24 | マイクロソフト コーポレーション | 企業セキュリティアセスメントの共有 |
| JP2011130238A (ja) * | 2009-12-18 | 2011-06-30 | Nippon Telegr & Teleph Corp <Ntt> | 異常トラヒック監視方法および異常トラヒック監視装置 |
| US8955105B2 (en) | 2007-03-14 | 2015-02-10 | Microsoft Corporation | Endpoint enabled for enterprise security assessment sharing |
| JP2018049602A (ja) * | 2016-09-06 | 2018-03-29 | アクセンチュア グローバル ソリューションズ リミテッド | ネットワークの異常検出システムのためのグラフ・データベース分析 |
| JP2019050477A (ja) * | 2017-09-08 | 2019-03-28 | 株式会社日立製作所 | インシデント分析装置およびその分析方法 |
| JPWO2020195230A1 (ja) * | 2019-03-28 | 2020-10-01 | ||
| WO2021144859A1 (ja) * | 2020-01-14 | 2021-07-22 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | 侵入経路分析装置および侵入経路分析方法 |
| JPWO2022091720A1 (ja) * | 2020-10-26 | 2022-05-05 |
-
2002
- 2002-07-15 JP JP2002206154A patent/JP2004046742A/ja active Pending
Cited By (19)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7243147B2 (en) * | 2002-12-30 | 2007-07-10 | Bellsouth Ip Corporation | Systems and methods for the detection and management of network assets |
| JP2005341217A (ja) * | 2004-05-27 | 2005-12-08 | Fujitsu Ltd | 不正アクセス検知装置、不正アクセス検知方法、不正アクセス検知プログラムおよび分散型サービス不能化攻撃検知装置 |
| JP2008083751A (ja) * | 2006-09-25 | 2008-04-10 | Hitachi Information Systems Ltd | 不正アクセス対応ネットワークシステム |
| JP2010521749A (ja) * | 2007-03-14 | 2010-06-24 | マイクロソフト コーポレーション | 企業セキュリティアセスメントの共有 |
| US8955105B2 (en) | 2007-03-14 | 2015-02-10 | Microsoft Corporation | Endpoint enabled for enterprise security assessment sharing |
| US8959568B2 (en) | 2007-03-14 | 2015-02-17 | Microsoft Corporation | Enterprise security assessment sharing |
| JP2009129332A (ja) * | 2007-11-27 | 2009-06-11 | Kddi Corp | ポリシ生成システム、プログラム、および記録媒体 |
| JP2011130238A (ja) * | 2009-12-18 | 2011-06-30 | Nippon Telegr & Teleph Corp <Ntt> | 異常トラヒック監視方法および異常トラヒック監視装置 |
| JP2018049602A (ja) * | 2016-09-06 | 2018-03-29 | アクセンチュア グローバル ソリューションズ リミテッド | ネットワークの異常検出システムのためのグラフ・データベース分析 |
| JP2019050477A (ja) * | 2017-09-08 | 2019-03-28 | 株式会社日立製作所 | インシデント分析装置およびその分析方法 |
| JPWO2020195230A1 (ja) * | 2019-03-28 | 2020-10-01 | ||
| JP7164016B2 (ja) | 2019-03-28 | 2022-11-01 | 日本電気株式会社 | 分析システム、方法およびプログラム |
| US12034757B2 (en) | 2019-03-28 | 2024-07-09 | Nec Corporation | Analysis system, method, and program |
| WO2021144859A1 (ja) * | 2020-01-14 | 2021-07-22 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | 侵入経路分析装置および侵入経路分析方法 |
| WO2021145144A1 (ja) * | 2020-01-14 | 2021-07-22 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | 侵入経路分析装置および侵入経路分析方法 |
| JPWO2022091720A1 (ja) * | 2020-10-26 | 2022-05-05 | ||
| WO2022091720A1 (ja) * | 2020-10-26 | 2022-05-05 | パナソニックＩｐマネジメント株式会社 | 情報処理装置、情報処理方法及びプログラム |
| JP7291909B2 (ja) | 2020-10-26 | 2023-06-16 | パナソニックＩｐマネジメント株式会社 | 情報処理装置、情報処理方法及びプログラム |
| US11765191B2 (en) | 2020-10-26 | 2023-09-19 | Panasonic Intellectual Property Management Co., Ltd. | Information processing device and information processing method |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Baykara et al. | A novel honeypot based security approach for real-time intrusion detection and prevention systems | |
| JP4743911B2 (ja) | 分散コンピュータ・ネットワークに接続されたデバイスへの保護エージェントの自動配備 | |
| US8539570B2 (en) | Method for managing a virtual machine | |
| US7703138B2 (en) | Use of application signature to identify trusted traffic | |
| US9438623B1 (en) | Computer exploit detection using heap spray pattern matching | |
| US8566941B2 (en) | Method and system for cloaked observation and remediation of software attacks | |
| US9756074B2 (en) | System and method for IPS and VM-based detection of suspicious objects | |
| EP1491019B1 (en) | Method and system for reducing the false alarm rate of network intrusion detection systems | |
| US20150013007A1 (en) | Malicious code infection cause-and-effect analysis | |
| US20080320499A1 (en) | Method and System for Direct Insertion of a Virtual Machine Driver | |
| US20060130145A1 (en) | System and method for analyzing malicious code protocol and generating harmful traffic | |
| US20040088564A1 (en) | Method of hindering the propagation of a computer virus | |
| US20080320561A1 (en) | Method and System for Collaboration Involving Enterprise Nodes | |
| US20050138402A1 (en) | Methods and apparatus for hierarchical system validation | |
| WO2001084270A2 (en) | Method and system for intrusion detection in a computer network | |
| JP2006146891A (ja) | セキュリティポリシーを配布するための方法およびシステム | |
| JPWO2004084063A1 (ja) | ウィルスの感染を阻止する方法およびシステム | |
| WO2005057345A2 (en) | Real-time change detection for network systems | |
| JP2014525639A (ja) | クラウド技術を用いたマルウェアの動的駆除 | |
| US9866575B2 (en) | Management and distribution of virtual cyber sensors | |
| CN111565202B (zh) | 一种内网漏洞攻击防御方法及相关装置 | |
| JP6524789B2 (ja) | ネットワーク監視方法、ネットワーク監視プログラム及びネットワーク監視装置 | |
| JP2004046742A (ja) | 攻撃分析装置、センサ、攻撃分析方法及びプログラム | |
| JP2019536158A (ja) | 検知結果が有効であるかないかを検証する方法およびシステム | |
| US20050259657A1 (en) | Using address ranges to detect malicious activity |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20051129 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20051206 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20060404 |