JP2004206564A - 不正アクセス検証装置及び方法 - Google Patents
不正アクセス検証装置及び方法 Download PDFInfo
- Publication number
- JP2004206564A JP2004206564A JP2002376940A JP2002376940A JP2004206564A JP 2004206564 A JP2004206564 A JP 2004206564A JP 2002376940 A JP2002376940 A JP 2002376940A JP 2002376940 A JP2002376940 A JP 2002376940A JP 2004206564 A JP2004206564 A JP 2004206564A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- access
- unauthorized access
- response
- date
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Storage Device Security (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
【課題】自ネットワークシステムに接続された保護対象サーバに対する不正アクセスの被害状況の検証を自動化する。
【解決手段】内部ネットワークに接続された保護対象サーバ１３への不正アクセスを検出し、アクセス日時を含む不正アクセス通知を出力するＩＤＳ１２と、前記不正アクセス通知を受信して格納するとともに、保護対象サーバ１３へのアクセスに応じて出力される応答パケットを受信して受信日時とともに格納するパケット収集装置１４と、を備えて不正アクセス検証装置を構成し、前記パケット収集装置１４を、前記不正アクセス通知に含まれるアクセス日時に対応する日時に受信した応答パケットを前記格納した応答パケットの中から抽出し、抽出した応答パケットが予め設定したパターンになっているかどうかを調べて前記不正アクセスによる被害の有無を判定するよう構成する。
【選択図】 図１
【解決手段】内部ネットワークに接続された保護対象サーバ１３への不正アクセスを検出し、アクセス日時を含む不正アクセス通知を出力するＩＤＳ１２と、前記不正アクセス通知を受信して格納するとともに、保護対象サーバ１３へのアクセスに応じて出力される応答パケットを受信して受信日時とともに格納するパケット収集装置１４と、を備えて不正アクセス検証装置を構成し、前記パケット収集装置１４を、前記不正アクセス通知に含まれるアクセス日時に対応する日時に受信した応答パケットを前記格納した応答パケットの中から抽出し、抽出した応答パケットが予め設定したパターンになっているかどうかを調べて前記不正アクセスによる被害の有無を判定するよう構成する。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
本発明は、コンピュータに対する不正アクセスの被害の有無を検証する装置および方法に係り、特に、手作業で実施していた不正アクセスの被害の有無を自動的に行う装置および方法に関する。
【０００２】
【従来の技術】
従来、不正アクセスに対する被害状況の検証は、攻撃対象となったサーバのシステムやサービスのアクセスログを参照することにより手作業で行われていた。
【０００３】
これまで、自ネットワークシステムへの不正アクセスの脅威に対して、外部から内部への不正アクセスのファイアウォールによる防御、侵入検知システム（以下、ＩＤＳという）による不正アクセスの検知、セキュリティ検査機能による各種サーバにおけるセキュリティホールの発見および対策等のセキュリティ技術が一般的に用いられていた。
【０００４】
特開２０００−９００３１号公報には、ネットワークを流れるデータを収集し、収集したデータをアプリケーションレベルのデータに再構築することにより、意味のあるデータにすることができ、その意味のあるデータを利用することによって、データ中の不正の有無を判定する方法が開示されている。ネットワークを介して、アプリケーションプログラム間でデータの送受信を行う場合、送信アプリケーションプログラムが送信するデータは、プロトコルスタックにおいて、細分化されたパケットとしてネットワークに送信される。このパケットを収集し、そのパケット単体を参照しても不正の判断をおこなうことは困難であり、これらのパケットを収集し、アプリケーションが送受信するレベルのデータに再構築する（戻す）ことによって、データ中の不正の有無を判断しようとするものである。
【０００５】
【特許文献１】
特開２０００−９００３１号公報
【０００６】
【発明が解決しようとする課題】
しかし、前記セキュリティ対策を実施しているにも関わらず、実際に不正アクセスが行われた場合には、ファイアウォールを潜り抜けた不正アクセスをＩＤＳにて検知するものの、攻撃対象となったサーバが実際に被害を受けたのか、あるいは、セキュリティホールの対策により被害を受けずに済んだのかということを即座に判断することはできず、この事実を検証するためには、システム管理者による当該サーバのシステムやサービスのアクセスログの確認作業が必要であった。
【０００７】
また、現在、この確認に用いられるアクセスログ自体も改ざんの危険にさらされている。攻撃者（不正アクセスの実行者）は、不正侵入の痕跡を消すためにアクセスログの改ざんを行う場合がある。よって、アクセスログから不正アクセスの被害状況を検証する際には、アクセスログ自体の信頼性をも証明する必要がある。
【０００８】
さらに、アクセスログは、ＯＳ、搭載アプリケーションに応じてそれぞれ格納場所およびフォーマット形式が異なる。被害状況を確認するためには高度な知識と経験が必要となってくる。
【０００９】
このように、不正アクセスに対する被害状況を検証することは、非常に困難でかつ時間を要する作業であった。しかも、システム管理者により手作業で実施しなければならないという問題を抱えていた。
【００１０】
また、前記特許文献１記載の方法では、データ中の不正の有無が判断できても、不正アクセスによる被害の有無を判断することはできないという問題があった。
【００１１】
本発明は、自ネットワークシステムに接続された保護対象サーバに対する不正アクセスの被害状況の検証を自動化することを目的とする。
【００１２】
【課題を解決するための手段】
本発明では、不正アクセスが検出された攻撃パケットと攻撃対象サーバが返す応答パケットとの対応付けと、攻撃対象サーバのアクセスログと攻撃および応答パケットとの対応付けにより、自ネットワークシステムに接続された保護対象サーバに対する不正アクセスの被害状況の検証の自動化を実現する。
【００１３】
通常、不正アクセスに対する検証・監査において用いられる保護対象サーバ上のアクセスログは、ファイル形式の情報であり、比較的容易にその内容を改ざんすることが可能である。一方、保護対象サーバが接続されたネットワークを流れるパケットについては、リアルタイムな情報であり、その内容を改ざんすることは不可能な情報である。この信頼のおけるパケット情報を不正アクセスに対する被害状況の検証に用いる。被害には、アクセスログの改ざんも含まれる。
【００１４】
不正アクセスに対する被害状況の検証は、攻撃パケットと攻撃対象サーバが返す応答パケットの対応付けを行い、その応答パケットの詳細情報を元に被害状況の検証を行う。また、アクセスログの改ざん（削除／追加／変更）有無は、同一事象にて発生したパケットとアクセスログを抽出し、双方の存在有無チェックにより検証する。
【００１５】
【発明の実施の形態】
本発明の実施の形態を、図１〜図２０を用いて説明する。図１は、本発明の実施の形態である不正アクセス検証・監査装置を含むシステム全体構成図である。
【００１６】
図示のシステムは、インターネットに接続された内部ネットワーク（自ネットワークともいう）と、この内部ネットワークに接続され監査対象となるアクセスログ１６を出力する保護対象サーバ１３と、この内部ネットワークに接続され、前記保護対象サーバ１３に対する不正アクセスを監視する計算機であるＩＤＳ（不正アクセス検出手段）１２と、同じくこの内部ネットワークに接続され、内部ネットワークを流れるパケットをその都度収集／保管するパケット収集手段であるパケット収集装置１４と、保護対象サーバ１３で出力されるアクセスログとパケット収集装置１４で収集したパケットを一括取りこんで管理し、収集したアクセスログの監査を実施するログ監査手段であるログ監査装置１５と、を含んで構成されている。パケット収集装置１４は、収集したパケット１７を保管するパケット関連データベース部を備え、ログ監査装置１５は、パケット収集装置１４で収集したパケット１７を一括取りこんでパケット１９として管理するパケット関連データベース部と、保護対象サーバ１３で出力されるアクセスログ１６を一括収集してアクセスログ１８として管理するアクセスログ関連データベース部を備えている。
【００１７】
前記内部ネットワークに接続された計算機（保護対象サーバ１３）に対して不正アクセスを試みようとしている攻撃者の計算機（以下、攻撃者という）１１は、インターネットに接続されている。保護対象サーバ１３は、入力される要求信号（アクセス）に基いて処理を行い、処理結果を応答パケットとして前記内部ネットワークに出力する。
【００１８】
図２を参照して、不正アクセスによる被害有無の検証方法について説明する。攻撃者１１から保護対象サーバ１３宛に不正にアクセスする信号（攻撃パケット２１）が送信されたとする。攻撃パケット２１は、内部ネットワークを流れ、保護対象サーバ１３、IDS１２およびパケット収集装置１４において受信される。
【００１９】
攻撃パケット２１を受信した保護対象サーバ１３は、受信した攻撃パケット２１に応じた処理を行い、アクセスログ１６に記録し、処理結果として応答パケット２２を内部ネットワーク、インターネットを介して攻撃者１１に送信する。
【００２０】
保護対象サーバ１３から攻撃者１１宛に送信される応答パケット２２は、パケット収集装置１４においても受信され、応答パケット７６として記録される。
【００２１】
また、攻撃パケット２１を受信したIDS１２は、受信したパケットが攻撃パケットであることを検知し、不正アクセス通知２３を送信する。
【００２２】
IDS１２から送信される不正アクセス通知２３は、パケット収集装置１４において受信され記録される。
【００２３】
不正アクセスによる被害有無の検証は、パケット収集装置１４において、次のように行われる。
【００２４】
記録されている不正アクセス通知２３に関連のある応答パケット２２を、記録されている応答パケットから後述する手順で抽出する。抽出した応答パケット２２の応答データと、パケット収集装置１４に予め記録されている応答パターンとを比較し、不正アクセスによる被害の有無を決定する。ここでいう被害は、不正なアクセス（攻撃パケット）に対して、攻撃パケットの要求に対応した処理を行い、処理結果を応答パケットとして攻撃者１１宛に送信したことをいう。
【００２５】
図４は、パケット収集装置１４において、不正アクセスによる被害の有無を検証する際の処理の流れを機能ブロック図として示したものである。パケット収集装置１４は、不正アクセス通知記録部４５と、IDS１２が送信する不正アクセス通知２３を受信し、前記不正アクセス通知記録部４５に記録する不正アクセス通知記録機能４２と、応答パケット記録部４６と、保護対象サーバ１３が攻撃者１１宛に送信する応答パケット２２を受信し、応答パケット記録部４６に記録する応答パケット記録機能４１と、攻撃パケット記録部４９と、攻撃者１１が保護対象サーバ１３宛に送信する攻撃パケット２１を受信し、攻撃パケット記録部４９に記録する攻撃パケット記録機能４８と、保護対象サーバ１３が攻撃者１１に対して送信する可能性のある応答データのパターンと、その応答データが返された時の被害の可能性の有無との対応を定義する応答パターンテーブル４７と、不正アクセス通知記録部４５に記録してある不正アクセス通知２３を取得するとともに、取得した不正アクセス通知２３に相当するアクセス（攻撃パケット）に対応する応答パケット２２を応答パケット記録部４６から抽出する不正応答パケット群抽出機能４３と、不正応答パケット群抽出機能４３にて取得した応答パケット２２に相当する応答結果（不正アクセスによる被害の有無）を応答パターンテーブル４７から抽出する応答結果識別機能４４と、を含んで構成される。
【００２６】
不正アクセス通知２３は、IDS１２が、攻撃パケット２１を受信することにより、不正アクセスを検知した時にパケット収集装置１４に送信される。
【００２７】
不正応答パケット群抽出機能４３は、不正アクセスによる被害の有無を検証する必要が生じた時、すなわちIDS１２が不正アクセスを検知した時に動作する。不正応答パケット群抽出機能４３は、サーバ管理者が不正アクセスによる被害の有無を検証する指示を入力したときにも動作を開始するように構成してある。
【００２８】
不正応答パケット群抽出機能４３は動作を開始すると、不正アクセス通知記録部４５に記録してある不正アクセス通知２３を取得する。次に、取得した不正アクセス通知２３に相当する応答パケット２２を応答パケット記録部４６から抽出する。
【００２９】
応答パターンテーブル４７には、保護対象サーバ１３が攻撃者１１に対して送信する可能性のある応答データのパターンと、その応答データが返された時の被害の可能性の有無との対応が定義されている。応答データのパターンは、応答データを生成するアプリケーションソフト、つまり保護対象サーバ１３に格納されているソフトで決まる。保護対象サーバ１３に複数のアプリケーションソフトが格納されている場合、あるいは一つのアプリケーションソフトに複数の機能がある場合、攻撃パケットがどのアプリケーションソフトにアクセスするか、あるいはどの機能にアクセスするかは、攻撃パケットに含まれる宛先ポートで規定される。したがって、攻撃パケット２１に対応する応答パケットのパターンが、攻撃パケット２１に含まれる宛先ポートで規定されるアプリケーションソフトあるいは機能で生成される応答データのパターンに合致していれば、保護対象サーバ１３は不正にアクセスした攻撃パケット２１に正常に応答した、すなわち被害を受けたことになる。逆に、攻撃パケット２１に対応する応答パケットのパターンがそのアプリケーションソフトあるいは機能で生成される応答データのパターンに合致していなければ、保護対象サーバ１３は不正にアクセスした攻撃パケット２１に正常に応答しておらず、被害はなかったと考えてよい。
【００３０】
図６は、不正アクセス通知記録部４５に記録される不正アクセス通知２３の構造例を示す。IDS１２から送信される不正アクセス通知２３は、１つの不正アクセスについて、不正アクセス検知日時６１、不正アクセス名称６２、送信元アドレス６３、宛先アドレス６４、宛先ポート６５および、その他の情報により構成される。不正アクセス名称６２は、予め不正アクセスのパターンを決め、検出順に割り当てたパターンごとの一貫番号で、宛先ポート６５は、アクセスするプログラムを識別するための番号である。
【００３１】
図７は、応答パケット記録部４６に記録される応答パケット７６の構造例を示す。応答パケット７６は、保護対象サーバ１３から攻撃者１１宛に送信される応答パケット２２と、その応答パケット２２を応答パケット記録機能４１にて受信したパケット取得日時７１とで構成される。保護対象サーバ１３から攻撃者１１宛に送信される応答パケット２２は、宛先アドレス７２、送信元アドレス７３、送信元ポート７４、応答データ７５および、その他の情報ににより構成される。
【００３２】
図８は、応答パターンテーブル４７の構造例を示した図である。応答パターンテーブル４７は、保護対象サーバ１３から攻撃者１１宛に送信される可能性のある応答パケット２２内の応答データのパターンを定義する。１つの応答データパターン定義８５について、サービス種別８１、ポート番号８２、応答データパターン８３、応答結果８４により構成される。ポート番号８２は前記宛先ポート６５に相当するもので、サービス種別８１はポート番号で指定されるサービスである。
【００３３】
図１４は、不正アクセス通知記録機能４２の処理の流れをフローチャートで示したものである。不正アクセス通知記録機能４２は、最初に不正アクセス通知２３の受信を試みる（ステップ１４１）。次に受信の結果を判定する（ステップ１４２）。不正アクセス通知２３が受信されていなければ、ステップ１４１に戻り、再度、不正アクセス通知２３の受信を試みる。不正アクセス通知２３が受信されていれば、受信した不正アクセス通知２３を不正アクセス通知記録部４５に記録する（ステップ１４３）。記録が終了したら、再度、ステップ１４１に戻り、不正アクセス通知２３の受信を試みる。ステップ１４１〜ステップ１４３の処理を繰り返し実行する。
【００３４】
図１５は、応答パケット記録機能４１の処理の流れをフローチャートで示したものである。応答パケット記録機能４１は、最初に応答パケット２２の受信を試みる（ステップ１５１）。次に受信の結果を判定する（ステップ１５２）。応答パケット２２が受信されていなければ、ステップ１５１に戻り、再度、応答パケット２２の受信を試みる。応答パケット２２が受信されていれば、受信した応答パケット２２を応答パケット記録部４６に記録する（ステップ１５３）。記録が終了したら、再度、ステップ１５１に戻り、応答パケット２２の受信を試みる。ステップ１５１〜ステップ１５３の処理を繰り返し実行する。
【００３５】
図１６は、攻撃パケット記録機能４８の処理の流れをフローチャートで示したものである。攻撃パケット記録機能４８は、最初に攻撃パケット２１の受信を試みる（ステップ１６１）。次に受信の結果を判定する（ステップ１６２）。攻撃パケット２１が受信されていなければ、ステップ１６１に戻り、再度、攻撃パケット２１の受信を試みる。攻撃パケット２１が受信されていれば、受信した攻撃パケット２１を攻撃パケット記録部４９に記録する（ステップ１６３）。記録が終了したら、再度、ステップ１６１に戻り、攻撃パケット２１の受信を試みる。ステップ１６１〜ステップ１６３の処理を繰り返し実行する。
【００３６】
図１７は、不正応答パケット群抽出機能４３の処理の流れをフローチャートで示したものである。不正応答パケット群抽出機能４３は、先に述べたように、ＩＤＳ１２が不正アクセスを検知したときに動作を開始し、最初に、不正アクセス通知記録部４５から１つの不正アクセス通知２３を取り出す（ステップ１７１）。取り出した不正アクセス通知２３から、不正アクセス検知日時６１、送信元アドレス６３、宛先アドレス６４、宛先ポート６５を取り出す（ステップ１７２）。次に取り出した不正アクセス通知２３に相当する応答パケット２２を応答パケット記録部４６から抽出するための抽出条件の設定を行う。応答パケット抽出条件の宛先アドレスに不正アクセス通知２３から取り出した送信元アドレスを設定する（ステップ１７３）。応答パケット抽出条件の送信元アドレスに不正アクセス通知２３から取り出した宛先アドレスを設定する（ステップ１７４）。応答パケット抽出条件のパケット取得日時に不正アクセス通知２３から取り出した不正アクセス検知日時を設定する（ステップ１７５）。ステップ１７３〜ステップ１７５で設定した応答パケット抽出条件をもとに、応答パケット記録部４６から不正応答パケットを抽出する。厳密には、不正アクセス検知日時とパケット取得日時は一致しないが、両者の差が予め設定した範囲内であれば、両者は対応するものであるとして対応付けて抽出する。
【００３７】
図１８は、応答結果識別機能４４の処理の流れをフローチャートで示したものである。応答結果識別機能４４は、最初に、不正応答パケット群抽出機能４３で抽出した不正応答パケットから送信元ポートおよび応答データを取り出す（ステップ１８１）。次に不正応答パケットに相当する応答結果を応答パターンテーブル４７から抽出するための抽出条件の設定を行う。応答結果抽出条件のポート番号に不正応答パケットから取り出した送信元ポートを設定する（ステップ１８２）。応答結果抽出条件の応答データパターンに不正応答パケットから取り出した応答データを設定する（ステップ１８３）。ステップ１８２〜１８３で設定した応答結果抽出条件をもとに、応答パターンテーブル４７から応答結果（被害あり、もしくは被害なし）を抽出する。
【００３８】
これで、不正アクセスによる被害の有無が自動的に検証される。
【００３９】
次に、図３に示したログ監査装置１５によるアクセスログの監査方法について説明する。まず、アクセスログの監査を行う際には、事前に、監査対象サーバすなわち保護対象サーバ１３およびパケット収集装置１４にて格納されているアクセスログ１６およびパケット１７を収集することが前提となる。ログ監査装置１５では、保護対象サーバ１３から事前に収集したアクセスログ１８の中から監査を行いたいアクセスログをユーザが指定し、その要求に基づき、指定されたアクセスログの監査をログ監査装置１５が自動的に実施する。
【００４０】
ここで、ログ監査装置１５で実施するアクセスログの監査方法について説明する。ログ監査装置１５では、アクセスログが改ざんされているか否かを検証するために、パケットとの比較検証を行う。パケットは、実際の通信において、リアルタイムに流れている情報であり、ファイル形式の情報のように攻撃者が不正侵入の痕跡を削除することを目的に、その内容を改ざんするといったことが不可能な情報である。ログ監査装置１５は、この性質を用いて、信頼のおけるパケットの内容とこれに合致するロギング情報（図９もしくは図１０に示すアクセスログの１行分、つまり一つのアクセスのログ）の有無を検証する。
【００４１】
すなわち、ログ監査装置１５は、パケットが存在するにも関わらず、これに対応するロギング情報が存在しない、また、パケットが存在しないにも関わらずロギング情報が存在する、さらには、存在するパケットの内容と異なるロギング情報が存在するということの有無を検証し、この結果から当該アクセスログの改ざん（ロギング情報の削除／追加／変更）有無の監査を実施する。
【００４２】
なお、本実施の形態においては、ロギング情報の削除および追加を重点に置き、ロギング情報の変更については、オプション機能として別途追加可能とする。
【００４３】
図５は、ログ監査装置１５の内部にて、アクセスログを監査する際の処理の流れを機能ブロック図にて示したものである。ログ監査装置１５は、収集したアクセスログ１８と監査対象サーバ情報テーブル５６を格納するアクセスログ関連データベース部と、宛先ポート番号変換テーブル５７と収集したパケット１９を格納するパケット関連データベース部と、指定されたアクセス日時の範囲のアクセスログをアクセスログ１８から取り出すアクセスログ日時範囲取り出し機能５１と、監査対象サーバ情報テーブル５６から監査対象サーバのアドレスを取り出す監査対象サーバアドレス取り出し機能５２と、監査対象サーバ情報テーブル５６から監査対象アクセスログのログ形式種別を取り出すアクセスログログ形式種別取り出し機能５３と、監査対象サーバアドレス取り出し機能５２およびアクセスログログ形式種別取り出し機能５３にて取り出したアドレスおよびログ形式及び指定されたアクセス日時の範囲を元に、監査に使用するパケット群をパケット１９から抽出する関連パケット群抽出機能５４と、抽出された前記パケット群と前記取り出された指定日時範囲のアクセスログを比較して、アクセスログの改ざん有無を監査するアクセスログ監査機能５５と、を含んで構成されている。保護対象サーバが複数ある場合に、監査対象サーバを識別するために、監査対象サーバのアドレスが取り出される。
【００４４】
なお、監査対象アクセスログがsyslog形式の場合には、改ざん有無を監査する際、サービス種別も必要となるため、宛先ポート番号変換テーブル５７を元に、パケットの構成情報である宛先ポート番号をサービス種別に変換する。
【００４５】
次に、図５のログ監査装置１５が参照するテーブルおよびファイルの構成について、図９〜図１３を参照して説明する。
【００４６】
図９および図１０は、ログ監査装置１５のアクセスログ１８の構造例を示した図である。アクセスログは、対象ＯＳ、搭載アプリケーションによりそれぞれ形式が異なる。よって、本発明では、一般的に使用されているWeb形式のアクセスログとsyslog形式のアクセスログの２つを例に説明する。Web形式のアクセスログ９６は、送信元アドレス９１、アクセス日時９２、処理コマンド９３、処理状態９４、送信バイト数９５で構成される。処理状態９４は、前記図７の応答データ７５のＯＫ，ＮＧ、図８の応答データパターン８３のＯＫ，ＮＧ、に相当する情報である。
【００４７】
また、syslog形式のアクセスログ１０４は、アクセス日時１０１、実行サービス１０２、詳細情報（送信元アドレス）１０３で構成される。実行サービス１０２は前記サービス種別に相当する。
【００４８】
図１１は、監査対象サーバ情報テーブル５６の構造例を示した図である。監査対象サーバ情報テーブル５６は、アクセスログファイル名称１１１、ログ形式種別１１２、出力先アドレス（宛先アドレス）１１３で構成される。アクセスログログ形式種別取り出し機能５３は、これらの情報を元に、ユーザから指定されたアクセスログのログ形式種別を特定し、監査対象サーバアドレス取り出し機能５２は、監査対象サーバのアドレスを特定する。なお、本監査対象サーバ情報テーブル５６は、予めユーザが定義するテーブルである。
【００４９】
図１２は、パケット１９の構造例を示す。パケット１９は、アクセス日時１２１、送信元アドレス１２２、宛先アドレス１２３、送信元ポート１２４、宛先ポート１２５で構成される。送信元ポート１２４は、送信元のサービス種別を示す番号である。アクセス日時１２１は、パケット収集装置１４が受信（取得あるいは収集）した日時である。
【００５０】
図１３は、宛先ポート番号変換テーブル５７の構造例を示す。宛先ポート番号変換テーブル５７は、ポート番号１３１、サービス種別１３２で構成される。アクセスログ監査機能５５は、これらの情報を元に、抽出したパケットに含まれる宛先ポート番号からサービス種別を識別する。本宛先ポート番号変換テーブル５７は、予めウェルノンポートとして一般的に使用されている情報を格納しておくが、独自ポートを使用するシステムの場合には、ユーザによるカスタマイズを可能とする。
【００５１】
次に、図１９〜図２１のフローチャートを用いて、ログ監査装置１５がアクセスログの監査を実施する際の処理の流れを説明する。
【００５２】
図１９は、ログ監査装置１５がアクセスログの監査を実施する際の一連の処理の流れをフローチャートで示したものである。ログ監査装置１５のアクセスログ日時範囲取り出し機能５１は、ユーザからのアクセスログの監査要求を受け付けた後、監査対象アクセスログをアクセスログ関連データベース部から読み込み、監査対象アクセスログ内の先頭および終端のアクセス日時を取り出す（ステップ１９１）。次に、監査対象サーバアドレス取り出し機能５２は、監査対象サーバ情報テーブル５６より監査対象サーバアドレス（図１１の出力先アドレス）１１３を取り出す（ステップ１９２）。次に、アクセスログログ形式種別取り出し機能５３は、監査対象サーバ情報テーブル５６より監査対象アクセスログのログ形式種別１１２を取り出す（ステップ１９３）。関連パケット群抽出機能５４は、ステップ１９１およびステップ１９２で取得されたアクセス日時の範囲および監査対象サーバアドレス１１３を元に、監査に使用するパケット群をパケット１９から抽出する（ステップ１９４）。アクセスログ監査機能５５は、ステップ１９３で取得した監査対象アクセスログのログ種別によりパケットの識別を行い（ステップ１９５）、Web形式の監査（ステップ１９６）、または、syslog形式の監査（ステップ１９７）を実施する。なお、Web形式およびsyslog形式以外のログ形式であるアクセスログについては、オプション機能として別途追加可能とする（ステップ１９８）。
【００５３】
図２０は、図１９で示したWeb形式のアクセスログ監査（ステップ１９６）の処理の流れを詳細に示したフローチャートである。まず、ステップ１９４にて抽出したパケット群の先頭から順に個別パケット情報を読み込み、アクセス日時、送信元アドレスを取り出す（ステップ２０１）。次に、監査対象アクセスログの先頭から個別ロギング情報を読み込み、アクセス日時、送信元アドレスを取り出す（ステップ２０２）。ステップ２０１およびステップ２０２にて取り出した情報の比較を行い（ステップ２０３）、比較結果が一致した場合には、アクセスログが改ざんされていないことが証明されるため、次の個別パケット情報に対する個別ロギング情報の監査を実施する（ステップ２０４からステップ２０１へ遷移）。ここで、個別パケット情報の終端に達した場合には、次のステップ２０６に遷移する。ステップ２０３にて、比較結果が不一致となった場合には、次の個別ロギング情報の監査を実施する（ステップ２０５からステップ２０２へ遷移）。ここで、個別ロギング情報の終端に達した場合には、監査に用いた個別パケット情報と合致する個別ロギング情報は無いことから、ロギング情報の改ざん（削除）があったことを出力し（ステップ２０７）、次の個別パケット情報に対する個別ロギング情報の監査を実施する（ステップ２０７からステップ２０１へ遷移）。全ての個別パケット情報に対する監査が終了した後、個別パケット情報に含まれない個別ロギング情報については改ざん（追加）があったことを出力する（ステップ２０６）。
【００５４】
図２１は、図１９で示したsyslog形式のアクセスログ監査（ステップ１９７）の処理の流れを詳細に示したフローチャートである。まず、ステップ１９４にて抽出したパケット群の先頭から順に個別パケット情報を読み込み、アクセス日時、送信元アドレス、宛先ポート番号を取り出す（ステップ２１１）。次に、宛先ポート番号変換テーブル５７を読み込み（ステップ２１２）、これを元に、ステップ２１１で取り出した宛先ポート番号をサービス種別に変換する（ステップ２１３）。監査対象アクセスログの先頭から個別ロギング情報を読み込み、アクセス日時、送信元アドレス、サービス種別を取り出す（ステップ２１４）。ステップ２１１からステップ２１４にて取り出した情報の比較を行い（ステップ２１５）、比較結果が一致した場合には、アクセスログが改ざんされていないことが証明されるため、次の個別パケット情報に対する個別ロギング情報の監査を実施する（ステップ２１６からステップ２１１へ遷移）。ここで、個別パケット情報の終端に達した場合には、次のステップ２１８に遷移する。ステップ２１５にて、比較結果が不一致となった場合には、次の個別ロギング情報の監査を実施する（ステップ２１７からステップ２１４へ遷移）。ここで、個別ロギング情報の終端に達した場合には、監査に用いた個別パケット情報と合致する個別ロギング情報は無いことから、ロギング情報の改ざん（削除）があったことを出力し（ステップ２１９）、次の個別パケット情報に対する個別ロギング情報の監査を実施する（ステップ２１９からステップ２１１へ遷移）。全ての個別パケット情報に対する比較が終了した後、個別パケット情報に含まれない個別ロギング情報については改ざん（追加）があったことを出力する（ステップ２１８）。
【００５５】
上記実施の形態によれば、不正アクセスが行われた場合の、攻撃対象となったサーバの被害有無の検証を自動的に実施することが可能となる。また、保護対象である各種サーバが出力するアクセスログの改ざん有無の監査を、監査の対象とする日時範囲を指定するだけで自動的に行うことが可能となる。
【００５６】
【発明の効果】
本発明によれば、不正アクセスが行われた場合の、攻撃対象となったサーバの被害有無の検証を自動的に実施することが可能となる。また、保護対象である各種サーバが出力するアクセスログの改ざん有無の監査も可能となる。
【図面の簡単な説明】
【図１】本発明の実施の形態に係る不正アクセス検証・監査装置のシステム全体構成図である。
【図２】図１に示す実施の形態の不正アクセス検証装置部のシステム構成を表したブロック図である。
【図３】図１に示す実施の形態のアクセスログ監査装置部のシステム構成を表したブロック図である。
【図４】図１に示す実施の形態における不正アクセスによる被害の有無を検証する際の処理の流れを表した機能ブロック図である。
【図５】図１に示す実施の形態におけるアクセスログの改ざん有無を監査する際の処理の流れを表した機能ブロック図である。
【図６】図１に示す実施の形態における不正アクセス通知のフォーマットとその構造例を示した図である。
【図７】図１に示す実施の形態における応答パケットのフォーマットとその構造例を示した図である。
【図８】図１に示す実施の形態における応答パターンテーブルのフォーマットとその構造例を示した図である。
【図９】図１に示す実施の形態におけるアクセスログ（Web形式）のフォーマットとその構造例を示した図である。
【図１０】図１に示す実施の形態におけるアクセスログ（syslog形式）のフォーマットとその構造例を示した図である。
【図１１】図１に示す実施の形態における監査対象サーバ情報テーブルのフォーマットとその構造例を示した図である。
【図１２】図１に示す実施の形態におけるパケットのフォーマットとその構造例を示した図である。
【図１３】図１に示す実施の形態における宛先ポート番号変換テーブルのフォーマットとその構造例を示した図である。
【図１４】図１に示す実施の形態における不正アクセス通知記録機能の処理の流れをフローチャートで示した図である。
【図１５】図１に示す実施の形態における応答パケット記録機能の処理の流れをフローチャートで示した図である。
【図１６】図１に示す実施の形態における攻撃パケット記録機能の処理の流れをフローチャートで示した図である。
【図１７】図１に示す実施の形態における不正応答パケット群抽出機能の処理の流れをフローチャートで示した図である。
【図１８】図１に示す実施の形態における応答結果識別機能の処理の流れを示すフローチャートである。
【図１９】図１に示す実施の形態におけるログ監査装置の処理の流れを示すフローチャートである。
【図２０】図１に示す実施の形態におけるWeb形式アクセスログの監査処理の流れを示すフローチャートである。
【図２１】図１に示す実施の形態におけるsyslog形式のアクセスログの監査処理の流れを示すフローチャートである。
【符号の説明】
１１ 攻撃者の計算機
１２ ＩＤＳ
１３ 保護対象サーバ
１４ パケット収集装置
１５ ログ監査装置
１６ アクセスログ
１７ パケット
１８ アクセスログ
１９ パケット
２１ 攻撃パケット
２２ 応答パケット
２３ 不正アクセス通知
４１ 応答パケット記録機能
４２ 不正アクセス通知記録機能
４３ 不正応答パケット群抽出機能
４４ 応答結果識別機能
４５ 不正アクセス通知記録部
４６ 応答パケット記録部
４７ 応答パターンテーブル
４８ 攻撃パケット記録機能
４９ 攻撃パケット記録部
５１ アクセスログ日時範囲取り出し機能
５２ 監査対象サーバアドレス取り出し機能
５３ アクセスログログ形式種別取り出し機能
５４ 関連パケット群抽出機能
５５ アクセスログ監査機能
５６ 監査対象サーバ情報テーブル
５７ 宛先ポート番号変換テーブル
７６ 応答パケット
８５ 応答パターン
９６ Web形式アクセスログ
１０４ syslog形式アクセスログ
【発明の属する技術分野】
本発明は、コンピュータに対する不正アクセスの被害の有無を検証する装置および方法に係り、特に、手作業で実施していた不正アクセスの被害の有無を自動的に行う装置および方法に関する。
【０００２】
【従来の技術】
従来、不正アクセスに対する被害状況の検証は、攻撃対象となったサーバのシステムやサービスのアクセスログを参照することにより手作業で行われていた。
【０００３】
これまで、自ネットワークシステムへの不正アクセスの脅威に対して、外部から内部への不正アクセスのファイアウォールによる防御、侵入検知システム（以下、ＩＤＳという）による不正アクセスの検知、セキュリティ検査機能による各種サーバにおけるセキュリティホールの発見および対策等のセキュリティ技術が一般的に用いられていた。
【０００４】
特開２０００−９００３１号公報には、ネットワークを流れるデータを収集し、収集したデータをアプリケーションレベルのデータに再構築することにより、意味のあるデータにすることができ、その意味のあるデータを利用することによって、データ中の不正の有無を判定する方法が開示されている。ネットワークを介して、アプリケーションプログラム間でデータの送受信を行う場合、送信アプリケーションプログラムが送信するデータは、プロトコルスタックにおいて、細分化されたパケットとしてネットワークに送信される。このパケットを収集し、そのパケット単体を参照しても不正の判断をおこなうことは困難であり、これらのパケットを収集し、アプリケーションが送受信するレベルのデータに再構築する（戻す）ことによって、データ中の不正の有無を判断しようとするものである。
【０００５】
【特許文献１】
特開２０００−９００３１号公報
【０００６】
【発明が解決しようとする課題】
しかし、前記セキュリティ対策を実施しているにも関わらず、実際に不正アクセスが行われた場合には、ファイアウォールを潜り抜けた不正アクセスをＩＤＳにて検知するものの、攻撃対象となったサーバが実際に被害を受けたのか、あるいは、セキュリティホールの対策により被害を受けずに済んだのかということを即座に判断することはできず、この事実を検証するためには、システム管理者による当該サーバのシステムやサービスのアクセスログの確認作業が必要であった。
【０００７】
また、現在、この確認に用いられるアクセスログ自体も改ざんの危険にさらされている。攻撃者（不正アクセスの実行者）は、不正侵入の痕跡を消すためにアクセスログの改ざんを行う場合がある。よって、アクセスログから不正アクセスの被害状況を検証する際には、アクセスログ自体の信頼性をも証明する必要がある。
【０００８】
さらに、アクセスログは、ＯＳ、搭載アプリケーションに応じてそれぞれ格納場所およびフォーマット形式が異なる。被害状況を確認するためには高度な知識と経験が必要となってくる。
【０００９】
このように、不正アクセスに対する被害状況を検証することは、非常に困難でかつ時間を要する作業であった。しかも、システム管理者により手作業で実施しなければならないという問題を抱えていた。
【００１０】
また、前記特許文献１記載の方法では、データ中の不正の有無が判断できても、不正アクセスによる被害の有無を判断することはできないという問題があった。
【００１１】
本発明は、自ネットワークシステムに接続された保護対象サーバに対する不正アクセスの被害状況の検証を自動化することを目的とする。
【００１２】
【課題を解決するための手段】
本発明では、不正アクセスが検出された攻撃パケットと攻撃対象サーバが返す応答パケットとの対応付けと、攻撃対象サーバのアクセスログと攻撃および応答パケットとの対応付けにより、自ネットワークシステムに接続された保護対象サーバに対する不正アクセスの被害状況の検証の自動化を実現する。
【００１３】
通常、不正アクセスに対する検証・監査において用いられる保護対象サーバ上のアクセスログは、ファイル形式の情報であり、比較的容易にその内容を改ざんすることが可能である。一方、保護対象サーバが接続されたネットワークを流れるパケットについては、リアルタイムな情報であり、その内容を改ざんすることは不可能な情報である。この信頼のおけるパケット情報を不正アクセスに対する被害状況の検証に用いる。被害には、アクセスログの改ざんも含まれる。
【００１４】
不正アクセスに対する被害状況の検証は、攻撃パケットと攻撃対象サーバが返す応答パケットの対応付けを行い、その応答パケットの詳細情報を元に被害状況の検証を行う。また、アクセスログの改ざん（削除／追加／変更）有無は、同一事象にて発生したパケットとアクセスログを抽出し、双方の存在有無チェックにより検証する。
【００１５】
【発明の実施の形態】
本発明の実施の形態を、図１〜図２０を用いて説明する。図１は、本発明の実施の形態である不正アクセス検証・監査装置を含むシステム全体構成図である。
【００１６】
図示のシステムは、インターネットに接続された内部ネットワーク（自ネットワークともいう）と、この内部ネットワークに接続され監査対象となるアクセスログ１６を出力する保護対象サーバ１３と、この内部ネットワークに接続され、前記保護対象サーバ１３に対する不正アクセスを監視する計算機であるＩＤＳ（不正アクセス検出手段）１２と、同じくこの内部ネットワークに接続され、内部ネットワークを流れるパケットをその都度収集／保管するパケット収集手段であるパケット収集装置１４と、保護対象サーバ１３で出力されるアクセスログとパケット収集装置１４で収集したパケットを一括取りこんで管理し、収集したアクセスログの監査を実施するログ監査手段であるログ監査装置１５と、を含んで構成されている。パケット収集装置１４は、収集したパケット１７を保管するパケット関連データベース部を備え、ログ監査装置１５は、パケット収集装置１４で収集したパケット１７を一括取りこんでパケット１９として管理するパケット関連データベース部と、保護対象サーバ１３で出力されるアクセスログ１６を一括収集してアクセスログ１８として管理するアクセスログ関連データベース部を備えている。
【００１７】
前記内部ネットワークに接続された計算機（保護対象サーバ１３）に対して不正アクセスを試みようとしている攻撃者の計算機（以下、攻撃者という）１１は、インターネットに接続されている。保護対象サーバ１３は、入力される要求信号（アクセス）に基いて処理を行い、処理結果を応答パケットとして前記内部ネットワークに出力する。
【００１８】
図２を参照して、不正アクセスによる被害有無の検証方法について説明する。攻撃者１１から保護対象サーバ１３宛に不正にアクセスする信号（攻撃パケット２１）が送信されたとする。攻撃パケット２１は、内部ネットワークを流れ、保護対象サーバ１３、IDS１２およびパケット収集装置１４において受信される。
【００１９】
攻撃パケット２１を受信した保護対象サーバ１３は、受信した攻撃パケット２１に応じた処理を行い、アクセスログ１６に記録し、処理結果として応答パケット２２を内部ネットワーク、インターネットを介して攻撃者１１に送信する。
【００２０】
保護対象サーバ１３から攻撃者１１宛に送信される応答パケット２２は、パケット収集装置１４においても受信され、応答パケット７６として記録される。
【００２１】
また、攻撃パケット２１を受信したIDS１２は、受信したパケットが攻撃パケットであることを検知し、不正アクセス通知２３を送信する。
【００２２】
IDS１２から送信される不正アクセス通知２３は、パケット収集装置１４において受信され記録される。
【００２３】
不正アクセスによる被害有無の検証は、パケット収集装置１４において、次のように行われる。
【００２４】
記録されている不正アクセス通知２３に関連のある応答パケット２２を、記録されている応答パケットから後述する手順で抽出する。抽出した応答パケット２２の応答データと、パケット収集装置１４に予め記録されている応答パターンとを比較し、不正アクセスによる被害の有無を決定する。ここでいう被害は、不正なアクセス（攻撃パケット）に対して、攻撃パケットの要求に対応した処理を行い、処理結果を応答パケットとして攻撃者１１宛に送信したことをいう。
【００２５】
図４は、パケット収集装置１４において、不正アクセスによる被害の有無を検証する際の処理の流れを機能ブロック図として示したものである。パケット収集装置１４は、不正アクセス通知記録部４５と、IDS１２が送信する不正アクセス通知２３を受信し、前記不正アクセス通知記録部４５に記録する不正アクセス通知記録機能４２と、応答パケット記録部４６と、保護対象サーバ１３が攻撃者１１宛に送信する応答パケット２２を受信し、応答パケット記録部４６に記録する応答パケット記録機能４１と、攻撃パケット記録部４９と、攻撃者１１が保護対象サーバ１３宛に送信する攻撃パケット２１を受信し、攻撃パケット記録部４９に記録する攻撃パケット記録機能４８と、保護対象サーバ１３が攻撃者１１に対して送信する可能性のある応答データのパターンと、その応答データが返された時の被害の可能性の有無との対応を定義する応答パターンテーブル４７と、不正アクセス通知記録部４５に記録してある不正アクセス通知２３を取得するとともに、取得した不正アクセス通知２３に相当するアクセス（攻撃パケット）に対応する応答パケット２２を応答パケット記録部４６から抽出する不正応答パケット群抽出機能４３と、不正応答パケット群抽出機能４３にて取得した応答パケット２２に相当する応答結果（不正アクセスによる被害の有無）を応答パターンテーブル４７から抽出する応答結果識別機能４４と、を含んで構成される。
【００２６】
不正アクセス通知２３は、IDS１２が、攻撃パケット２１を受信することにより、不正アクセスを検知した時にパケット収集装置１４に送信される。
【００２７】
不正応答パケット群抽出機能４３は、不正アクセスによる被害の有無を検証する必要が生じた時、すなわちIDS１２が不正アクセスを検知した時に動作する。不正応答パケット群抽出機能４３は、サーバ管理者が不正アクセスによる被害の有無を検証する指示を入力したときにも動作を開始するように構成してある。
【００２８】
不正応答パケット群抽出機能４３は動作を開始すると、不正アクセス通知記録部４５に記録してある不正アクセス通知２３を取得する。次に、取得した不正アクセス通知２３に相当する応答パケット２２を応答パケット記録部４６から抽出する。
【００２９】
応答パターンテーブル４７には、保護対象サーバ１３が攻撃者１１に対して送信する可能性のある応答データのパターンと、その応答データが返された時の被害の可能性の有無との対応が定義されている。応答データのパターンは、応答データを生成するアプリケーションソフト、つまり保護対象サーバ１３に格納されているソフトで決まる。保護対象サーバ１３に複数のアプリケーションソフトが格納されている場合、あるいは一つのアプリケーションソフトに複数の機能がある場合、攻撃パケットがどのアプリケーションソフトにアクセスするか、あるいはどの機能にアクセスするかは、攻撃パケットに含まれる宛先ポートで規定される。したがって、攻撃パケット２１に対応する応答パケットのパターンが、攻撃パケット２１に含まれる宛先ポートで規定されるアプリケーションソフトあるいは機能で生成される応答データのパターンに合致していれば、保護対象サーバ１３は不正にアクセスした攻撃パケット２１に正常に応答した、すなわち被害を受けたことになる。逆に、攻撃パケット２１に対応する応答パケットのパターンがそのアプリケーションソフトあるいは機能で生成される応答データのパターンに合致していなければ、保護対象サーバ１３は不正にアクセスした攻撃パケット２１に正常に応答しておらず、被害はなかったと考えてよい。
【００３０】
図６は、不正アクセス通知記録部４５に記録される不正アクセス通知２３の構造例を示す。IDS１２から送信される不正アクセス通知２３は、１つの不正アクセスについて、不正アクセス検知日時６１、不正アクセス名称６２、送信元アドレス６３、宛先アドレス６４、宛先ポート６５および、その他の情報により構成される。不正アクセス名称６２は、予め不正アクセスのパターンを決め、検出順に割り当てたパターンごとの一貫番号で、宛先ポート６５は、アクセスするプログラムを識別するための番号である。
【００３１】
図７は、応答パケット記録部４６に記録される応答パケット７６の構造例を示す。応答パケット７６は、保護対象サーバ１３から攻撃者１１宛に送信される応答パケット２２と、その応答パケット２２を応答パケット記録機能４１にて受信したパケット取得日時７１とで構成される。保護対象サーバ１３から攻撃者１１宛に送信される応答パケット２２は、宛先アドレス７２、送信元アドレス７３、送信元ポート７４、応答データ７５および、その他の情報ににより構成される。
【００３２】
図８は、応答パターンテーブル４７の構造例を示した図である。応答パターンテーブル４７は、保護対象サーバ１３から攻撃者１１宛に送信される可能性のある応答パケット２２内の応答データのパターンを定義する。１つの応答データパターン定義８５について、サービス種別８１、ポート番号８２、応答データパターン８３、応答結果８４により構成される。ポート番号８２は前記宛先ポート６５に相当するもので、サービス種別８１はポート番号で指定されるサービスである。
【００３３】
図１４は、不正アクセス通知記録機能４２の処理の流れをフローチャートで示したものである。不正アクセス通知記録機能４２は、最初に不正アクセス通知２３の受信を試みる（ステップ１４１）。次に受信の結果を判定する（ステップ１４２）。不正アクセス通知２３が受信されていなければ、ステップ１４１に戻り、再度、不正アクセス通知２３の受信を試みる。不正アクセス通知２３が受信されていれば、受信した不正アクセス通知２３を不正アクセス通知記録部４５に記録する（ステップ１４３）。記録が終了したら、再度、ステップ１４１に戻り、不正アクセス通知２３の受信を試みる。ステップ１４１〜ステップ１４３の処理を繰り返し実行する。
【００３４】
図１５は、応答パケット記録機能４１の処理の流れをフローチャートで示したものである。応答パケット記録機能４１は、最初に応答パケット２２の受信を試みる（ステップ１５１）。次に受信の結果を判定する（ステップ１５２）。応答パケット２２が受信されていなければ、ステップ１５１に戻り、再度、応答パケット２２の受信を試みる。応答パケット２２が受信されていれば、受信した応答パケット２２を応答パケット記録部４６に記録する（ステップ１５３）。記録が終了したら、再度、ステップ１５１に戻り、応答パケット２２の受信を試みる。ステップ１５１〜ステップ１５３の処理を繰り返し実行する。
【００３５】
図１６は、攻撃パケット記録機能４８の処理の流れをフローチャートで示したものである。攻撃パケット記録機能４８は、最初に攻撃パケット２１の受信を試みる（ステップ１６１）。次に受信の結果を判定する（ステップ１６２）。攻撃パケット２１が受信されていなければ、ステップ１６１に戻り、再度、攻撃パケット２１の受信を試みる。攻撃パケット２１が受信されていれば、受信した攻撃パケット２１を攻撃パケット記録部４９に記録する（ステップ１６３）。記録が終了したら、再度、ステップ１６１に戻り、攻撃パケット２１の受信を試みる。ステップ１６１〜ステップ１６３の処理を繰り返し実行する。
【００３６】
図１７は、不正応答パケット群抽出機能４３の処理の流れをフローチャートで示したものである。不正応答パケット群抽出機能４３は、先に述べたように、ＩＤＳ１２が不正アクセスを検知したときに動作を開始し、最初に、不正アクセス通知記録部４５から１つの不正アクセス通知２３を取り出す（ステップ１７１）。取り出した不正アクセス通知２３から、不正アクセス検知日時６１、送信元アドレス６３、宛先アドレス６４、宛先ポート６５を取り出す（ステップ１７２）。次に取り出した不正アクセス通知２３に相当する応答パケット２２を応答パケット記録部４６から抽出するための抽出条件の設定を行う。応答パケット抽出条件の宛先アドレスに不正アクセス通知２３から取り出した送信元アドレスを設定する（ステップ１７３）。応答パケット抽出条件の送信元アドレスに不正アクセス通知２３から取り出した宛先アドレスを設定する（ステップ１７４）。応答パケット抽出条件のパケット取得日時に不正アクセス通知２３から取り出した不正アクセス検知日時を設定する（ステップ１７５）。ステップ１７３〜ステップ１７５で設定した応答パケット抽出条件をもとに、応答パケット記録部４６から不正応答パケットを抽出する。厳密には、不正アクセス検知日時とパケット取得日時は一致しないが、両者の差が予め設定した範囲内であれば、両者は対応するものであるとして対応付けて抽出する。
【００３７】
図１８は、応答結果識別機能４４の処理の流れをフローチャートで示したものである。応答結果識別機能４４は、最初に、不正応答パケット群抽出機能４３で抽出した不正応答パケットから送信元ポートおよび応答データを取り出す（ステップ１８１）。次に不正応答パケットに相当する応答結果を応答パターンテーブル４７から抽出するための抽出条件の設定を行う。応答結果抽出条件のポート番号に不正応答パケットから取り出した送信元ポートを設定する（ステップ１８２）。応答結果抽出条件の応答データパターンに不正応答パケットから取り出した応答データを設定する（ステップ１８３）。ステップ１８２〜１８３で設定した応答結果抽出条件をもとに、応答パターンテーブル４７から応答結果（被害あり、もしくは被害なし）を抽出する。
【００３８】
これで、不正アクセスによる被害の有無が自動的に検証される。
【００３９】
次に、図３に示したログ監査装置１５によるアクセスログの監査方法について説明する。まず、アクセスログの監査を行う際には、事前に、監査対象サーバすなわち保護対象サーバ１３およびパケット収集装置１４にて格納されているアクセスログ１６およびパケット１７を収集することが前提となる。ログ監査装置１５では、保護対象サーバ１３から事前に収集したアクセスログ１８の中から監査を行いたいアクセスログをユーザが指定し、その要求に基づき、指定されたアクセスログの監査をログ監査装置１５が自動的に実施する。
【００４０】
ここで、ログ監査装置１５で実施するアクセスログの監査方法について説明する。ログ監査装置１５では、アクセスログが改ざんされているか否かを検証するために、パケットとの比較検証を行う。パケットは、実際の通信において、リアルタイムに流れている情報であり、ファイル形式の情報のように攻撃者が不正侵入の痕跡を削除することを目的に、その内容を改ざんするといったことが不可能な情報である。ログ監査装置１５は、この性質を用いて、信頼のおけるパケットの内容とこれに合致するロギング情報（図９もしくは図１０に示すアクセスログの１行分、つまり一つのアクセスのログ）の有無を検証する。
【００４１】
すなわち、ログ監査装置１５は、パケットが存在するにも関わらず、これに対応するロギング情報が存在しない、また、パケットが存在しないにも関わらずロギング情報が存在する、さらには、存在するパケットの内容と異なるロギング情報が存在するということの有無を検証し、この結果から当該アクセスログの改ざん（ロギング情報の削除／追加／変更）有無の監査を実施する。
【００４２】
なお、本実施の形態においては、ロギング情報の削除および追加を重点に置き、ロギング情報の変更については、オプション機能として別途追加可能とする。
【００４３】
図５は、ログ監査装置１５の内部にて、アクセスログを監査する際の処理の流れを機能ブロック図にて示したものである。ログ監査装置１５は、収集したアクセスログ１８と監査対象サーバ情報テーブル５６を格納するアクセスログ関連データベース部と、宛先ポート番号変換テーブル５７と収集したパケット１９を格納するパケット関連データベース部と、指定されたアクセス日時の範囲のアクセスログをアクセスログ１８から取り出すアクセスログ日時範囲取り出し機能５１と、監査対象サーバ情報テーブル５６から監査対象サーバのアドレスを取り出す監査対象サーバアドレス取り出し機能５２と、監査対象サーバ情報テーブル５６から監査対象アクセスログのログ形式種別を取り出すアクセスログログ形式種別取り出し機能５３と、監査対象サーバアドレス取り出し機能５２およびアクセスログログ形式種別取り出し機能５３にて取り出したアドレスおよびログ形式及び指定されたアクセス日時の範囲を元に、監査に使用するパケット群をパケット１９から抽出する関連パケット群抽出機能５４と、抽出された前記パケット群と前記取り出された指定日時範囲のアクセスログを比較して、アクセスログの改ざん有無を監査するアクセスログ監査機能５５と、を含んで構成されている。保護対象サーバが複数ある場合に、監査対象サーバを識別するために、監査対象サーバのアドレスが取り出される。
【００４４】
なお、監査対象アクセスログがsyslog形式の場合には、改ざん有無を監査する際、サービス種別も必要となるため、宛先ポート番号変換テーブル５７を元に、パケットの構成情報である宛先ポート番号をサービス種別に変換する。
【００４５】
次に、図５のログ監査装置１５が参照するテーブルおよびファイルの構成について、図９〜図１３を参照して説明する。
【００４６】
図９および図１０は、ログ監査装置１５のアクセスログ１８の構造例を示した図である。アクセスログは、対象ＯＳ、搭載アプリケーションによりそれぞれ形式が異なる。よって、本発明では、一般的に使用されているWeb形式のアクセスログとsyslog形式のアクセスログの２つを例に説明する。Web形式のアクセスログ９６は、送信元アドレス９１、アクセス日時９２、処理コマンド９３、処理状態９４、送信バイト数９５で構成される。処理状態９４は、前記図７の応答データ７５のＯＫ，ＮＧ、図８の応答データパターン８３のＯＫ，ＮＧ、に相当する情報である。
【００４７】
また、syslog形式のアクセスログ１０４は、アクセス日時１０１、実行サービス１０２、詳細情報（送信元アドレス）１０３で構成される。実行サービス１０２は前記サービス種別に相当する。
【００４８】
図１１は、監査対象サーバ情報テーブル５６の構造例を示した図である。監査対象サーバ情報テーブル５６は、アクセスログファイル名称１１１、ログ形式種別１１２、出力先アドレス（宛先アドレス）１１３で構成される。アクセスログログ形式種別取り出し機能５３は、これらの情報を元に、ユーザから指定されたアクセスログのログ形式種別を特定し、監査対象サーバアドレス取り出し機能５２は、監査対象サーバのアドレスを特定する。なお、本監査対象サーバ情報テーブル５６は、予めユーザが定義するテーブルである。
【００４９】
図１２は、パケット１９の構造例を示す。パケット１９は、アクセス日時１２１、送信元アドレス１２２、宛先アドレス１２３、送信元ポート１２４、宛先ポート１２５で構成される。送信元ポート１２４は、送信元のサービス種別を示す番号である。アクセス日時１２１は、パケット収集装置１４が受信（取得あるいは収集）した日時である。
【００５０】
図１３は、宛先ポート番号変換テーブル５７の構造例を示す。宛先ポート番号変換テーブル５７は、ポート番号１３１、サービス種別１３２で構成される。アクセスログ監査機能５５は、これらの情報を元に、抽出したパケットに含まれる宛先ポート番号からサービス種別を識別する。本宛先ポート番号変換テーブル５７は、予めウェルノンポートとして一般的に使用されている情報を格納しておくが、独自ポートを使用するシステムの場合には、ユーザによるカスタマイズを可能とする。
【００５１】
次に、図１９〜図２１のフローチャートを用いて、ログ監査装置１５がアクセスログの監査を実施する際の処理の流れを説明する。
【００５２】
図１９は、ログ監査装置１５がアクセスログの監査を実施する際の一連の処理の流れをフローチャートで示したものである。ログ監査装置１５のアクセスログ日時範囲取り出し機能５１は、ユーザからのアクセスログの監査要求を受け付けた後、監査対象アクセスログをアクセスログ関連データベース部から読み込み、監査対象アクセスログ内の先頭および終端のアクセス日時を取り出す（ステップ１９１）。次に、監査対象サーバアドレス取り出し機能５２は、監査対象サーバ情報テーブル５６より監査対象サーバアドレス（図１１の出力先アドレス）１１３を取り出す（ステップ１９２）。次に、アクセスログログ形式種別取り出し機能５３は、監査対象サーバ情報テーブル５６より監査対象アクセスログのログ形式種別１１２を取り出す（ステップ１９３）。関連パケット群抽出機能５４は、ステップ１９１およびステップ１９２で取得されたアクセス日時の範囲および監査対象サーバアドレス１１３を元に、監査に使用するパケット群をパケット１９から抽出する（ステップ１９４）。アクセスログ監査機能５５は、ステップ１９３で取得した監査対象アクセスログのログ種別によりパケットの識別を行い（ステップ１９５）、Web形式の監査（ステップ１９６）、または、syslog形式の監査（ステップ１９７）を実施する。なお、Web形式およびsyslog形式以外のログ形式であるアクセスログについては、オプション機能として別途追加可能とする（ステップ１９８）。
【００５３】
図２０は、図１９で示したWeb形式のアクセスログ監査（ステップ１９６）の処理の流れを詳細に示したフローチャートである。まず、ステップ１９４にて抽出したパケット群の先頭から順に個別パケット情報を読み込み、アクセス日時、送信元アドレスを取り出す（ステップ２０１）。次に、監査対象アクセスログの先頭から個別ロギング情報を読み込み、アクセス日時、送信元アドレスを取り出す（ステップ２０２）。ステップ２０１およびステップ２０２にて取り出した情報の比較を行い（ステップ２０３）、比較結果が一致した場合には、アクセスログが改ざんされていないことが証明されるため、次の個別パケット情報に対する個別ロギング情報の監査を実施する（ステップ２０４からステップ２０１へ遷移）。ここで、個別パケット情報の終端に達した場合には、次のステップ２０６に遷移する。ステップ２０３にて、比較結果が不一致となった場合には、次の個別ロギング情報の監査を実施する（ステップ２０５からステップ２０２へ遷移）。ここで、個別ロギング情報の終端に達した場合には、監査に用いた個別パケット情報と合致する個別ロギング情報は無いことから、ロギング情報の改ざん（削除）があったことを出力し（ステップ２０７）、次の個別パケット情報に対する個別ロギング情報の監査を実施する（ステップ２０７からステップ２０１へ遷移）。全ての個別パケット情報に対する監査が終了した後、個別パケット情報に含まれない個別ロギング情報については改ざん（追加）があったことを出力する（ステップ２０６）。
【００５４】
図２１は、図１９で示したsyslog形式のアクセスログ監査（ステップ１９７）の処理の流れを詳細に示したフローチャートである。まず、ステップ１９４にて抽出したパケット群の先頭から順に個別パケット情報を読み込み、アクセス日時、送信元アドレス、宛先ポート番号を取り出す（ステップ２１１）。次に、宛先ポート番号変換テーブル５７を読み込み（ステップ２１２）、これを元に、ステップ２１１で取り出した宛先ポート番号をサービス種別に変換する（ステップ２１３）。監査対象アクセスログの先頭から個別ロギング情報を読み込み、アクセス日時、送信元アドレス、サービス種別を取り出す（ステップ２１４）。ステップ２１１からステップ２１４にて取り出した情報の比較を行い（ステップ２１５）、比較結果が一致した場合には、アクセスログが改ざんされていないことが証明されるため、次の個別パケット情報に対する個別ロギング情報の監査を実施する（ステップ２１６からステップ２１１へ遷移）。ここで、個別パケット情報の終端に達した場合には、次のステップ２１８に遷移する。ステップ２１５にて、比較結果が不一致となった場合には、次の個別ロギング情報の監査を実施する（ステップ２１７からステップ２１４へ遷移）。ここで、個別ロギング情報の終端に達した場合には、監査に用いた個別パケット情報と合致する個別ロギング情報は無いことから、ロギング情報の改ざん（削除）があったことを出力し（ステップ２１９）、次の個別パケット情報に対する個別ロギング情報の監査を実施する（ステップ２１９からステップ２１１へ遷移）。全ての個別パケット情報に対する比較が終了した後、個別パケット情報に含まれない個別ロギング情報については改ざん（追加）があったことを出力する（ステップ２１８）。
【００５５】
上記実施の形態によれば、不正アクセスが行われた場合の、攻撃対象となったサーバの被害有無の検証を自動的に実施することが可能となる。また、保護対象である各種サーバが出力するアクセスログの改ざん有無の監査を、監査の対象とする日時範囲を指定するだけで自動的に行うことが可能となる。
【００５６】
【発明の効果】
本発明によれば、不正アクセスが行われた場合の、攻撃対象となったサーバの被害有無の検証を自動的に実施することが可能となる。また、保護対象である各種サーバが出力するアクセスログの改ざん有無の監査も可能となる。
【図面の簡単な説明】
【図１】本発明の実施の形態に係る不正アクセス検証・監査装置のシステム全体構成図である。
【図２】図１に示す実施の形態の不正アクセス検証装置部のシステム構成を表したブロック図である。
【図３】図１に示す実施の形態のアクセスログ監査装置部のシステム構成を表したブロック図である。
【図４】図１に示す実施の形態における不正アクセスによる被害の有無を検証する際の処理の流れを表した機能ブロック図である。
【図５】図１に示す実施の形態におけるアクセスログの改ざん有無を監査する際の処理の流れを表した機能ブロック図である。
【図６】図１に示す実施の形態における不正アクセス通知のフォーマットとその構造例を示した図である。
【図７】図１に示す実施の形態における応答パケットのフォーマットとその構造例を示した図である。
【図８】図１に示す実施の形態における応答パターンテーブルのフォーマットとその構造例を示した図である。
【図９】図１に示す実施の形態におけるアクセスログ（Web形式）のフォーマットとその構造例を示した図である。
【図１０】図１に示す実施の形態におけるアクセスログ（syslog形式）のフォーマットとその構造例を示した図である。
【図１１】図１に示す実施の形態における監査対象サーバ情報テーブルのフォーマットとその構造例を示した図である。
【図１２】図１に示す実施の形態におけるパケットのフォーマットとその構造例を示した図である。
【図１３】図１に示す実施の形態における宛先ポート番号変換テーブルのフォーマットとその構造例を示した図である。
【図１４】図１に示す実施の形態における不正アクセス通知記録機能の処理の流れをフローチャートで示した図である。
【図１５】図１に示す実施の形態における応答パケット記録機能の処理の流れをフローチャートで示した図である。
【図１６】図１に示す実施の形態における攻撃パケット記録機能の処理の流れをフローチャートで示した図である。
【図１７】図１に示す実施の形態における不正応答パケット群抽出機能の処理の流れをフローチャートで示した図である。
【図１８】図１に示す実施の形態における応答結果識別機能の処理の流れを示すフローチャートである。
【図１９】図１に示す実施の形態におけるログ監査装置の処理の流れを示すフローチャートである。
【図２０】図１に示す実施の形態におけるWeb形式アクセスログの監査処理の流れを示すフローチャートである。
【図２１】図１に示す実施の形態におけるsyslog形式のアクセスログの監査処理の流れを示すフローチャートである。
【符号の説明】
１１ 攻撃者の計算機
１２ ＩＤＳ
１３ 保護対象サーバ
１４ パケット収集装置
１５ ログ監査装置
１６ アクセスログ
１７ パケット
１８ アクセスログ
１９ パケット
２１ 攻撃パケット
２２ 応答パケット
２３ 不正アクセス通知
４１ 応答パケット記録機能
４２ 不正アクセス通知記録機能
４３ 不正応答パケット群抽出機能
４４ 応答結果識別機能
４５ 不正アクセス通知記録部
４６ 応答パケット記録部
４７ 応答パターンテーブル
４８ 攻撃パケット記録機能
４９ 攻撃パケット記録部
５１ アクセスログ日時範囲取り出し機能
５２ 監査対象サーバアドレス取り出し機能
５３ アクセスログログ形式種別取り出し機能
５４ 関連パケット群抽出機能
５５ アクセスログ監査機能
５６ 監査対象サーバ情報テーブル
５７ 宛先ポート番号変換テーブル
７６ 応答パケット
８５ 応答パターン
９６ Web形式アクセスログ
１０４ syslog形式アクセスログ
Claims (7)
- 保護対象サーバへの不正アクセスを検出し、アクセス日時を含む不正アクセス通知を出力する不正アクセス検出手段と、前記不正アクセス通知を受信して格納するとともに、保護対象サーバへのアクセスに応じて出力される応答パケットを受信して受信日時とともに格納するパケット収集手段と、を有してなり、前記パケット収集手段は、前記不正アクセス通知に含まれるアクセス日時に対応する日時に受信した応答パケットを前記格納した応答パケットの中から抽出し、抽出した応答パケットの内容に基いて前記不正アクセスによる被害の有無を判定するよう構成されている不正アクセス検証装置。
- 内部ネットワークに接続され、この内部ネットワークを介して入力される要求信号に基づいて処理を行い、処理結果を応答パケットとして前記内部ネットワークに出力するコンピュータと、前記内部ネットワークに接続され、前記コンピュータに不正にアクセスする信号を検出してアクセス日時を含む不正アクセス通知を前記ネットワークに出力する不正アクセス検出手段と、前記内部ネットワークに接続され、前記応答パケットと前記不正アクセス通知を受信して格納するパケット収集手段と、を有してなり、
前記パケット収集手段は、前記不正アクセス通知に含まれるアクセス日時に対応する日時に受信した応答パケットを前記格納した応答パケットの中から抽出し、抽出した応答パケットの内容に基いて前記不正アクセスによる被害の有無を判定するよう構成されている不正アクセス検証装置。 - 請求項１または２に記載の不正アクセス検証装置において、前記不正アクセス通知は、不正アクセスの送信元アドレス、宛先アドレス、及び宛先ポートを含んで構成されているとともに、格納された前記応答パケットは、パケット取得日時、送信元アドレス、宛先アドレス、送信元ポート及び応答データを含んで構成され、前記パケット収集手段は、不正アクセス通知に含まれるアクセス日時に相当するパケット取得日時、不正アクセス通知に含まれる送信元アドレスに合致する宛先アドレス、不正アクセス通知に含まれる宛先アドレスに合致する送信元アドレス、をそれぞれ備えた応答パケットを前記格納された応答パケットから抽出する不正応答パケット群抽出機能と、前記保護対象サーバのサービスのポート番号とこのサービスから出力される可能性のある応答データのパターンとが組み合わせて対応付けて記載され、各組み合わせについて不正アクセスの場合の被害の有無が定義された応答パターンテーブルと、前記不正応答パケット群抽出機能で抽出された応答パケットのサービスと応答データを抽出し、抽出した応答データのパターンとサービスのポート番号の組合せに合致する組合せを前記応答パターンテーブルから検索し、検索結果に基いて不正アクセスによる被害の有無を判断する応答結果識別機能と、を有してなることを特徴とする不正アクセス検証装置。
- 保護対象サーバが接続された内部ネットワークを流れるパケットと前記保護対象サーバが出力するアクセスログを収集、格納するログ監査手段を有してなる不正アクセス検証装置であって、前記ログ監査手段は、収集した前記アクセスログと収集した前記パケットのうちの前記保護対象サーバへ送信されたものを対応付け、アクセスログに対応するパケットがない場合とパケットに対応するアクセスログがない場合のいずれかもしくは双方の場合に、不正アクセスの被害があると判断するよう構成されている不正アクセス検証装置。
- 請求項４に記載の不正アクセス検証装置において、前記内部ネットワークを流れるパケットをその都度収集して格納するパケット収集手段を備え、前記ログ監査手段は、前記パケット収集手段が格納したパケットが取りこまれるパケット関連データベース部と、前記保護対象サーバが出力するアクセスログが取り込まれて格納されるアクセスログ関連データベース部と、前記アクセスログ関連データベース部から指定されたアクセス日時範囲のアクセスログを取り出す機能と、前記パケット関連データベース部から指定された日時範囲に収集されたパケット群を取り出す機能と、前記取り出されたパケット群の各パケットについて、収集日時、送信元アドレスを取り出し、取り出した収集日時、送信元アドレスを前記取り出されたアクセスログの各ロギング情報のアクセス日時、送信元アドレスと順次比較して合致するロギング情報の有無を検出し、取り出されたパケット群のすべてのパケットについてこの手順を繰り返してパケットに合致するロギング情報の有無およびロギング情報に合致するパケットの有無を検出する機能と、を有してなることを特徴とする不正アクセス検証装置。
- 保護対象サーバへの不正アクセスを検知してアクセス日時を含む不正アクセス通知を出力する手順と、前記不正アクセス通知を受信して格納するとともに、前記保護対象サーバからアクセスに対応して出力される応答パケットを受信して格納する手順と、前記不正アクセス通知に含まれるアクセス日時に対応した時刻に受信した応答パケットを前記格納された応答パケットの中から抽出する手順と、抽出した応答パケットの内容に基いて前記不正アクセスによる被害の有無を判定する手順と、を含んでなる不正アクセス検証方法。
- 保護対象サーバが接続された内部ネットワークを流れるパケットと、前記保護対象サーバが出力するアクセスログを収集格納する手順と、収集されたパケットのうちの指定された日時範囲に前記保護対象サーバにアクセスしたパケット群を取り出す手順と、前記指定された日時範囲のアクセスログを前記収集されたアクセスログの中から取り出す手順と、前記取り出したパケット群の各パケットのアクセス日時と送信元アドレスを前記取り出したアクセスログの各ロギング情報のアクセス日時と送信元アドレスに対比して、アクセス日時と送信元アドレスが合致する相手のいないパケットもしくはアクセスログのロギング情報の有無を検出する手順と、を含んでなる不正アクセス検証方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002376940A JP2004206564A (ja) | 2002-12-26 | 2002-12-26 | 不正アクセス検証装置及び方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002376940A JP2004206564A (ja) | 2002-12-26 | 2002-12-26 | 不正アクセス検証装置及び方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2004206564A true JP2004206564A (ja) | 2004-07-22 |
Family
ID=32814261
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002376940A Pending JP2004206564A (ja) | 2002-12-26 | 2002-12-26 | 不正アクセス検証装置及び方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2004206564A (ja) |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006279636A (ja) * | 2005-03-30 | 2006-10-12 | Hitachi Ltd | クライアント間通信ログの整合性保証管理システム |
| JP2009539271A (ja) * | 2005-06-06 | 2009-11-12 | インターナショナル・ビジネス・マシーンズ・コーポレーション | コンピュータ・ネットワーク侵入検出のシステムおよび方法 |
| US8892510B2 (en) | 2010-06-02 | 2014-11-18 | Fujitsu Limited | Analysis-program storing recording medium, analyzing apparatus, and analytic method |
| WO2015097889A1 (ja) * | 2013-12-27 | 2015-07-02 | 三菱電機株式会社 | 情報処理装置及び情報処理方法及びプログラム |
| WO2015121923A1 (ja) * | 2014-02-12 | 2015-08-20 | 三菱電機株式会社 | ログ分析装置、不正アクセス監査システム、ログ分析プログラム及びログ分析方法 |
-
2002
- 2002-12-26 JP JP2002376940A patent/JP2004206564A/ja active Pending
Cited By (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006279636A (ja) * | 2005-03-30 | 2006-10-12 | Hitachi Ltd | クライアント間通信ログの整合性保証管理システム |
| JP2009539271A (ja) * | 2005-06-06 | 2009-11-12 | インターナショナル・ビジネス・マシーンズ・コーポレーション | コンピュータ・ネットワーク侵入検出のシステムおよび方法 |
| JP4742144B2 (ja) * | 2005-06-06 | 2011-08-10 | インターナショナル・ビジネス・マシーンズ・コーポレーション | Ｔｃｐ／ｉｐプロトコル・ベースのネットワーク内への侵入を試行するデバイスを識別する方法およびコンピュータ・プログラム |
| US8272054B2 (en) | 2005-06-06 | 2012-09-18 | International Business Machines Corporation | Computer network intrusion detection system and method |
| US8892510B2 (en) | 2010-06-02 | 2014-11-18 | Fujitsu Limited | Analysis-program storing recording medium, analyzing apparatus, and analytic method |
| WO2015097889A1 (ja) * | 2013-12-27 | 2015-07-02 | 三菱電機株式会社 | 情報処理装置及び情報処理方法及びプログラム |
| CN105849741A (zh) * | 2013-12-27 | 2016-08-10 | 三菱电机株式会社 | 信息处理装置、信息处理方法及程序 |
| GB2536384A (en) * | 2013-12-27 | 2016-09-14 | Electric Corporation Mitsubishi | Information processing device, information processing method, and program |
| JPWO2015097889A1 (ja) * | 2013-12-27 | 2017-03-23 | 三菱電機株式会社 | 情報処理装置及び情報処理方法及びプログラム |
| WO2015121923A1 (ja) * | 2014-02-12 | 2015-08-20 | 三菱電機株式会社 | ログ分析装置、不正アクセス監査システム、ログ分析プログラム及びログ分析方法 |
| US9965624B2 (en) | 2014-02-12 | 2018-05-08 | Mitsubishi Electric Corporation | Log analysis device, unauthorized access auditing system, computer readable medium storing log analysis program, and log analysis method |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN101635730B (zh) | 中小企业内网信息安全托管方法与系统 | |
| US8266250B2 (en) | Communication detection device, method, and program for peer-to-peer communication | |
| US7565693B2 (en) | Network intrusion detection and prevention system and method thereof | |
| US20100031093A1 (en) | Internal tracing method for network attack detection | |
| KR101239401B1 (ko) | 보안 시스템의 로그 분석 시스템 및 방법 | |
| CN110677381B (zh) | 渗透测试的方法及装置、存储介质、电子装置 | |
| US20050273673A1 (en) | Systems and methods for minimizing security logs | |
| US20030084328A1 (en) | Method and computer-readable medium for integrating a decode engine with an intrusion detection system | |
| CN105812200B (zh) | 异常行为检测方法及装置 | |
| US20030083847A1 (en) | User interface for presenting data for an intrusion protection system | |
| JP2010508598A (ja) | ストリング分析を利用する１つまたは複数のパケット・ネットワークでの望まれないトラフィックを検出する方法および装置 | |
| CN110768951B (zh) | 验证系统漏洞的方法及装置、存储介质、电子装置 | |
| JP4984531B2 (ja) | サーバ監視プログラム、中継装置、サーバ監視方法 | |
| CN110768949B (zh) | 探测漏洞的方法及装置、存储介质、电子装置 | |
| CN113660115B (zh) | 基于告警的网络安全数据处理方法、装置及系统 | |
| CN112163198B (zh) | 一种主机登录安全检测方法、系统、装置及存储介质 | |
| CN110765333A (zh) | 采集网站信息的方法及装置、存储介质、电子装置 | |
| CN110768950A (zh) | 渗透指令的发送方法及装置、存储介质、电子装置 | |
| JP2002041468A (ja) | 不正アクセス防止サービスシステム | |
| CN111526109A (zh) | 自动检测web威胁识别防御系统的运行状态的方法及装置 | |
| JP2004206564A (ja) | 不正アクセス検証装置及び方法 | |
| JP4309102B2 (ja) | 不正コマンド・データ検知方式、不正コマンド・データ検知方法および不正コマンド・データ検知プログラム | |
| JP2004030287A (ja) | 双方向型ネットワーク侵入検知システムおよび双方向型侵入検知プログラム | |
| JP2005227982A (ja) | セキュリティ監視機能を備えたネットワークシステム、ログデータ解析端末及び情報端末 | |
| JP4437410B2 (ja) | セキュリティ管理装置及びプログラム |