JP2004234401A

JP2004234401A - セキュリティ診断情報収集システム及びセキュリティ診断システム

Info

Publication number: JP2004234401A
Application number: JP2003023016A
Authority: JP
Inventors: Koji Uchiyama; 幸治内山
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2003-01-31
Filing date: 2003-01-31
Publication date: 2004-08-19

Abstract

【課題】あるスキル以上を持ったアタック者の行動に的を絞り、その行動を監視することで新しいセキュリティポリシー、アタックパターンを作成、支援をするセキュリティ診断情報収集システムを提供する。
【解決手段】アタックパターンを格納するシステムＤＢ１０１と、アタックを検知するＩＤＳ１０３と、ＩＤＳ１０３により、アタックが検知されると、その検知したアタックのアタックパターンとシステムＤＢ１０１に格納されたアタックパターンとを比較し、新しいアタックのとき、そのアタックについての情報を収集し、収集したアタックのアタックパターンをシステムＤＢ１０１に格納するシステム１０２を備えた。
【選択図】図１

Description

【０００１】
【発明の属する技術分野】
本発明はセキュリティ診断情報収集システム及びセキュリティ診断システムに関し、特に、そのセキュリティ情報収集に適用して有効な技術に関する。
【０００２】
なお、本明細書中において、アタックとは、ネットワークやシステム内で生じる人為的、システム的、プログラム的等の不正行動を意味し、一般的にクラッカーの攻撃行動・挙動を指し、また、セキュリティポリシーとは、ファイアウォール（Ｆ／Ｗ）や侵入検知システム（ＩＤＳ）の機能管理ポリシーを指しており、ＩＳＯ１７７９９やＢＳ７７９９で定められている情報セキュリティポリシーを指すものではない。
【０００３】
【従来の技術】
従来、ネットワーク上のセキュリティ対策の技術としては、ネットワークからのアタックを検知し防御するファイアウォール（Ｆ／Ｗ：ＦｉｒｅＷａｌｌ）、アタックによる侵入を検知し警告を発する侵入検知システム（ＩＤＳ：ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）、アタック者を別システムへ導きその行動を追跡する囮りシステム（ハニーポット：ＨｏｎｅｙＰｏｔ）などがあった。
【０００４】
また、ネットワークでの不正を解析するものとして、任意のデータを取り扱え、ネットワーク間の任意の通信を扱えて、プロトコル数の増大に容易に対処でき、任意のプロトコルを扱うことのできるものがあった（例えば、特許文献１参照）。
【０００５】
【特許文献１】
特開平１０−３１３３４１号公報
【０００６】
【発明が解決しようとする課題】
しかしながら、従来技術では、一意的にアタック情報を収集するものであるため、アタックツール等による自動攻撃があった場合、大量の情報を収集してしまい、その解析にばく大な時間を要し、更に警報が出され続けてしまうという問題点があった。
【０００７】
また、仮にツールなどによりアタック情報をフィルターしたとすると、情報そのものが欠落してしまい有効な情報を得られない確率を高めてしまうという問題点があった。
【０００８】
本発明は、このような問題点を解決するためになされたものであり、第１の目的は、あるスキル以上を持ったアタック者の行動に的を絞り、その行動を監視することで新しいセキュリティポリシー、アタックパターンを作成、支援をするセキュリティ診断情報収集システムを提供することにある。
【０００９】
また、第２の目的は、アタック情報をアタック者に悟られないよう確実に収集するセキュリティ診断情報収集システムを提供することにある。
【００１０】
また、第３の目的は、アタック情報収集後、アタック者に攻撃が無効であった旨伝達し、必要であればその場で対話の機会をもち、アタック者の攻撃衝動を緩和する仕掛けを提供することにある。これは、予めアタックが成功しない、行動を監視されている事を予告する事でシステムへの侵入を阻止する防犯的側面も、持ち得る事を表している。
【００１１】
また、第４の目的は、セキュリティ診断情報とシステム全体の情報を生かし、ハザードマップを生成し、仮にセキュリティ被害が発生した場合どの程度の深刻度があるのかシステム全体にわたって視覚的に検証できるセキュリティ診断システムを提供することにある。
【００１２】
【課題を解決するための手段】
第１の発明に係るセキュリティ診断情報収集システムは、アタックパターンを格納するアタックパターン格納手段と、アタックを検知するアタック検知手段と、アタック検知手段により、アタックが検知されると、その検知したアタックのアタックパターンとアタックパターン格納手段に格納されたアタックパターンとを比較し、新しいアタックのとき、そのアタックについての情報を収集し、収集したアタックのアタックパターンをアタックパターン格納手段に格納する処理手段とを備えたものである。
【００１３】
第２の発明に係るセキュリティ診断情報収集システムは、第１の発明のセキュリティ診断情報収集システムにおいて、アタックに対して、ダミーの応答を行うダミー応答手段を備え、処理手段は、アタックについての情報を収集する際、ダミー応答手段にアタックに対するダミー応答を行わせるものである。
【００１４】
第３の発明に係るセキュリティ診断情報収集システムは、第１の発明又は第２の発明のセキュリティ診断情報収集システムをネットワークを介して複数接続させ、複数のセキュリティ診断情報収集システムの内、あるセキュリティ診断情報収集システムで新しいアタックを検知すると、他のセキュリティ診断情報収集システムのアタックパターン格納手段に新しいアタックのアタックパターンを格納するものである。
【００１５】
第４の発明に係るセキュリティ診断システムは、セキュリティ診断を受けるシステムを仮想的に構築させ、その仮想的に構築されたシステムの情報を格納する仮想システム格納手段と、仮想システム格納手段に格納された仮想システムに対して、第１の発明又は第２の発明のセキュリティ診断情報収集システムのアタックパターン格納手段に格納されたアタックパターンに基づいて、セキュリティ診断を行う診断処理手段とを備えたものである。
【００１６】
第５の発明に係るセキュリティ診断システムは、第４の発明のセキュリティ診断システムにおいて、セキュリティに関する情報を格納するセキュリティ情報格納手段を備え、診断処理手段は、仮想システム格納手段に格納された仮想システムの情報、第１の発明又は第２の発明のセキュリティ診断情報収集システムのアタックパターン格納手段に格納されたアタックパターン及びセキュリティ情報格納手段に格納されたセキュリティに関する情報に基づいて、アタックに対する想定被害状況をパターン化し、ある被害によるシステム全体やそのシステムの利用者への影響箇所等を視覚的に表示するハザードマップを生成するものである。
【００１７】
また、本発明に係るセキュリティ診断システムは、外部のシステムに対して診断を行う際、診断そのものがアタックと誤解されないよう、診断開始前に予告し、具体的にはＦ／ＷやＩＤＳ、ＷＥＢサービスなどのログに診断である旨の情報を残す事で、解析時にアタックと区分するか、又は、診断のトラフィックにそれが診断である旨の情報を付加することで、Ｆ／ＷやＩＤＳ等にそれを診断であることを認識させ、解析時にアタックと区分するものである。
【００１８】
また、アタック者がこの仕掛けを用いることを避けるには、例えば、まず診断される側が発行する公開鍵によるデジタル署名を情報付加し、診断する側は秘密鍵によりその受付が正しい事を確認した後診断を行う事で回避できる。
【００１９】
本発明に係るセキュリティ診断システムは、外部のシステムに対して診断を行う際、一連の診断はシステムに対し一定の負荷をかけることになるが、２４時間稼働中のノンストップシステムでは、トラフィックが多い時間帯を選ぶと診断そのものが問題となるケースが想定される。したがって、予め影響の少ない日時を統計情報などから選んでおき、診断を予約することでこの問題を回避するものである。
【００２０】
【発明の実施の形態】
以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、発明の実施の形態を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
【００２１】
（実施の形態１）
図１は本発明の実施の形態１におけるセキュリティ診断情報収集システムの全体構成図である。
【００２２】
図１において、セキュリティ診断情報収集システム１００は、各種サービスによる情報提供、格納、解析をする装置である処理手段及び診断処理手段となるシステム１０２、セキュリティ診断の為の情報格納、診断結果の格納、診断に役立つ情報の収集結果格納を担うシステムＤＢ１０１、トラフィックの内容を監視する装置であり、アタック検知手段となるＩＤＳ１０３、ネットに対する防壁となるＦ／Ｗ１０４、ＩＤＳ１０３及びＦ／Ｗ１０４の監視を行う監視端末１０５から構成されている。
【００２３】
また、セキュリティ診断情報収集システム１００は、Ｆ／Ｗ１０４を介してネット１０６に接続され、ネット１０６に接続される一般利用者端末１０７からのアクセスを受けるようになっている。
【００２４】
システム１０２は、一般的にインターネットサービス（ＷＥＢ、メール、ＤＮＳサービス等）を提供するアプリケーションを実装した装置を言い、そのハードウェア構成は、例えば、各種サービスの実行の為の演算を実施する中央演算処理装置と、演算を実行する上で必要なプログラムやデータを記憶するメモリ、ハードディスク装置、情報（データ）を入力する入力装置（ＮＩＣやキーボード等）、情報を出力する出力装置（ＮＩＣやディスプレイ装置）から構成されている。
【００２５】
システムＤＢ１０１は、その上にソフト的にシステムをシミュレーションすることにより、シミュレーション用のダミーシステムを構築する機能を持っている。また、システムＤＢ１０１はシステム１０２内部の記憶装置に持っても良いが、別のシステム装置上に持ちＬＡＮ等の伝送媒体を経由した通信による接続でも構わない。
【００２６】
ＩＤＳ１０３は、ネットワークを監視する装置であり、例えば、ポリシーに定めた値と一致した時、監視端末１０５へ警告を発するものである。例えば、ルータ等のネットワーク機器、システム装置等に搭載され、この実施の形態では、ポリシーを動的に変更できる要件さえ満たせば接続方法は問わないものとする。
【００２７】
Ｆ／Ｗ１０４は、例えば、インターネットプロトコルであるＴＣＰ、ＵＤＰをポリシーによりトラフィックの通過の許可／不許可の判断、応答の判断を行うものである。例えば、ルータ等のネットワーク機器、システム装置等に搭載され、この実施の形態では、ポリシーを動的に変更できる要件さえ満たせば接続方法は問わないものとする。
【００２８】
監視端末１０５は、システム１０２と同様のハードウェア構成を取る。なお、監視端末１０５は、システム装置１０２上で同機能を提供することが可能であるが、説明の為、この実施の形態では、システム１０２とは切り離して説明する。
【００２９】
ネット１０６は、構内ネットワーク網、インターネット等のネットワークを指し、特に内部／外部の区分は設けない。これは、アタックは、外部からも内部からも有り得るからである。
【００３０】
一般利用者端末１０７は、システム１０２と同様のハードウェア構成を取り、セキュリティ診断情報収集システム１００にネット１０６経由で接続する端末であり、この実施の形態では、アタック者が使用することも、正規利用者が使用することも想定する。
【００３１】
次に、この実施の形態のシステム１０２の機能的構成について説明する。
【００３２】
図２はシステム１０２の機能的構成を示す機能ブロック図である。
【００３３】
図２において、システム１０２は、入力装置４０１、振分装置４０３、情報収集装置４０４、記憶装置４０５、ダミー応答手段となるダミー応答装置４０６、情報提供装置４０７、予備装置４０８、リストア装置４０９及び出力装置４１０から構成されている。
【００３４】
入力装置４０１は主にＮＩＣを指し、この実施の形態では、ＩＤＳ１０３からの情報を入力する。なお、入力装置４０１にＩＤＳ１０３の機能を搭載してもよい。
【００３５】
振分装置４０３はＩＤＳ１０３からの情報に基づいて、入力情報を、情報提供装置４０７又は情報収集装置４０４に振り分ける機能を持つ。情報収集装置４０４は、振分装置４０３によって振り分けられたアタック情報の収集を行う装置である。
【００３６】
ダミー応答装置４０６は、振分装置４０３によって振り分けられたアタックに対しダミーの応答を返す装置である。情報提供装置４０７は、入力装置４０１から入力された情報に対応する情報を応答する装置である。
【００３７】
出力装置４１０は、入力装置４０１から入力された情報に対応した、ダミー応答装置４０６又は情報提供装置４０７が出力する情報を返答として出力する装置であり、ここでは主にＮＩＣを指す。なお、入力装置４０１と出力装置４１０とを機能を統一して入出力装置と置き換える方法もある。
【００３８】
予備装置４０８は、記憶装置４０５と同様の内容を持つバックアップ装置である。リストア装置４０９は予備装置４０８の内容を記憶装置４０５へリストアするのに使用する装置である。
【００３９】
次に、この実施の形態の監視端末１０５の機能的構成について説明する。
【００４０】
図３は監視端末１０５の機能的構成を示す機能ブロック図である。
【００４１】
図３において、監視端末１０５は、入出力装置５０１、操作装置５０３、追加装置５０４、記憶装置５０５及び出力装置５０６から構成されている。
【００４２】
入出力装置５０１はここでは主にＮＩＣを指す。記憶装置５０５は、入出力装置５０１、操作装置５０３、追加装置５０４より入力編集された情報を一時的に蓄積する装置である。ここで情報とは、Ｆ／Ｗ１０４、ＩＤＳ１０３、システム１０２よりもたらされたものを言う。操作装置５０３は記憶装置５０５上の情報を操作する装置を示し、主にキーボード等の操作装置を言う。追加装置５０４は、記憶装置５０５、入出力装置５０１経由で、システムＤＢ１０１にアタックパターンを追加する装置である。出力装置５０６は、記憶装置５０５の情報を編集出力するディスプレイ装置を言う。
【００４３】
次に、この実施の形態のシステムＤＢ１０１に格納される情報の一例について説明する。
【００４４】
システムＤＢ１０１は内部に複数のテーブルを有し、アタックパターン格納手段、仮想システム格納手段及びセキュリティ情報格納手段となるものである。
【００４５】
図４はシステムＤＢ１０１に格納される情報の一例を示す図であり、図４の（ａ）はアタックパターンテーブル１４００、図４の（ｂ）は情報収集テーブル１４１０、図４の（ｃ）はダミーシステムテーブル１４２０、図４の（ｄ）はＩＤＳテーブル（一時情報）１４３０、図４の（ｅ）は利用者テーブル１４５０、図４の（ｆ）は被害パターンテーブル１４６０、図４の（ｇ）は部品テーブル１４７０である。
【００４６】
アタックパターンテーブル１４００は、ｉｄ１４０１、パターン情報１４０２、終了判断情報１４０３及びツール情報１４０４から構成されている。
【００４７】
ｉｄ１４０１にはパターン管理番号、パターン情報１４０２にはアタック動作の連続情報やアタック時の行動を記録した項目、終了判断情報１４０３にはアタック動作の終了を示す情報であり、パターン情報により複数に分岐する場合はそのすべての情報、ツール情報１４０４にはアタックに使用したツール名及びバージョン等の情報であり、ツールによるアタックばかりではない事から、必ず情報があるわけではなく、ツールが複合されて使用されていても、付き合わせ処理側で対応する情報が格納されている。
【００４８】
また、情報収集テーブル１４１０は、ｉｄ１４１１、攻撃元アドレス１４１２、日時１４１３、挙動１４１４及びチャットログ１４１５から構成されている。
【００４９】
ｉｄ１４１１には管理番号、攻撃元アドレス１４１２には情報収集装置４０４へ引き継がれた攻撃元を特定するアドレス（一般的にＩＰアドレスを指す）、日時１４１３にはアタックの日時、挙動１４１４にはアタック者の動作を逐一記録したロギング情報、例えば、操作コマンドのログ、チャットログ１４１５にはアタック者と会話できた場合、その内容を記録した情報が格納されている。
【００５０】
また、ダミーシステムテーブル１４２０は、ｉｄ１４２１、システム情報１４２２及びダミー応答１４２３から構成されている。
【００５１】
ｉｄ１４２１にはシステム管理番号、システム情報１４２２にはダミーを構成する部品情報（基本的には、実システムと同等の情報が入り、一つのシステムは多数の部品をもつことから、１つのｉｄに対して多数の要素を持っている。）、ダミー応答１４２３にはシステム情報の内、アタックに対しそのまま応答するとなんらかの被害をもたらす可能性があるものについての、そのダミー応答の情報が格納されている。
【００５２】
また、ＩＤＳテーブル（一時情報）１４３０は、ｉｄ１４３１，攻撃元アドレス１４３２、日時１４３３及びログ１４３４から構成されている。
【００５３】
ｉｄ１４３１には管理番号、攻撃元アドレス１４３２にはＩＤＳが攻撃と検知した元アドレス（一般的にグローバルＩＰアドレスを指す）、日時１４３３にはアタックの日時、ログ１４３４はＩＤＳのロギング情報が格納されている。
【００５４】
また、利用者テーブル１４５０は、ｉｄ１４５１、ユーザ名１４５２、パスワード１４５３、暗号キー１４５４、診断受付情報１４５５、ユーザ承認情報１４５６、ｉｐアドレス１４５７、システム構成１４５８、解析結果情報１４５９から構成されている。
【００５５】
ｉｄ１４５１にはシステム管理番号、ユーザ名１４５２にはユーザ名称、パスワード１４５３にはシステムＤＢが発行管理するアクセス用パスワード、暗号キー１４５４には利用者テーブルの情報を暗号化する際に使用する暗号キー（キーエスクローにより、システム管理者は全ての情報にアクセスする手段を持つがそれ以外の者は、暗号キーを知る者を除いて情報へのアクセスを制限する。）、診断受付情報１４５５には受付日時、診断実行日時、ユーザ承認情報１４５６にはユーザが正規のユーザである旨を証明する情報（例１：電話問診によるユーザ証明手続き、例２：第三者機関によるユーザ証明書、＊第三者の勝手な診断登録を防ぐ為の情報）、ｉｐアドレス１４５７には診断先を特定する情報、システム構成１４５８にはシステムの情報（ネットワーク構成、使用アプリケーションの情報などシステムを構成する情報）、解析結果情報１４５９には診断結果、ハザードマップの情報が格納されている。
【００５６】
また、被害パターンテーブル１４６０は、ｉｄ１４６１、被害パターン１４６２及びアタックパターン１４６３から構成されている。
【００５７】
ｉｄ１４６１には管理番号、被害パターン１４６２にはアタックパターンテーブル１４００から代表的なアタックパターンを抽出し、それを利用者が分かり易い名前をつけ登録された情報、アタックパターン１４６３にはアタックパターンテーブル１４００から抽出したアタックパターンが格納されている。
【００５８】
また、部品テーブル１４７０は、ｉｄ１４７１、部品名１４７２、機能１４７３及びパラメータ１４７４から構成されている。
【００５９】
ｉｄ１４７１には管理番号、部品名１４７２には部品の名前（ダミーシステムテーブル１４２０のシステム情報１４２２を構成する部品となる）、機能１４７３には部品のセキュリティ機能（一つの部品は複数の機能を持つことができる）、パラメータ１４７４には機能によるセキュリティポリシーをデフォルト値で設定する情報が格納されている。
【００６０】
次に、この実施の形態の動作について説明する。
【００６１】
まず、振分装置４０３及び監視端末１０５の動作について説明する。
【００６２】
図５は振分装置４０３及び監視端末１０５の動作を示す処理フローである。
【００６３】
まず、ＩＤＳ１０３からの情報を受け、受付処理を開始する（Ｓ７０１）。情報は一旦記憶装置４０５上に蓄積され、その情報がアタックパターンテーブル１４００のパターン情報１４０２と一致するかどうか付き合わせ処理を行う（Ｓ７０２）。なお、パターン情報１４０２はアタック動作の連続情報であり、例えば実行形式命令の羅列であればｃｏｍｍａｎｄＡパラメータ、ｃｏｍｍａｎｄＢパラメータ・・・、ブルートフォースアタックであれば、ログインＩＤ−Ａ、パスワード−Ａ‘、ＩＤ−Ｂ、パスワード−Ｂ‘・・・、或いは、その混在という羅列になっている。
【００６４】
このアタック動作には、アタックに使用するツールにより特徴があり、アタックパターンより攻撃内容を調査する事で、どのツールが使われたかある程度突き止める事ができる。
【００６５】
ここで、ツールの一例について説明する。
【００６６】
図６はアタックトラフィックログの一例を示した図である。
【００６７】
図６では、ワームの一例であるｓａｄｍｉｎｄによるトラフィックログを示しており、１５０１、１５０２、１５０３の順でアタックを試みる特徴がある。このようなアタックトラフィックの特徴より、ツールを特定する事が可能となっている。
【００６８】
そして、Ｓ７０２での突き合わせの結果、そのツールを特定できたなら既存ツールによるアタックかどうかをバージョンを含めて判断する（Ｓ７０４、Ｓ７０５）。そして、Ｓ７０４、Ｓ７０５での判断で、既存ツールであれば、ログをＩＤＳテーブル１４３０に残し振分装置４０３内では情報を棄却する（Ｓ７０６）。
【００６９】
そして、Ｓ７０４、Ｓ７０５での判断で、既存ツールでなければ、警報を発令し（Ｓ７０７）、警報は記憶装置４０５、出力装置４１０を経由し監視端末１０５へ通知される。
【００７０】
そして、監視端末１０５は、振分装置４０３からの情報を受付け（Ｓ７１０）、出力装置５０６に編集表示し、監視者に情報を伝達する。監視者はその情報から、その情報（ここではアタック内容を指す）が有益であり、且つアタックによるトラフィックの優先順位を変更する必要があるかを判断し（Ｓ７１１）、Ｓ７１１での判断により、トラフィックの優先順位を変更する必要があった場合トラフィック優先度の変更を決定し（Ｓ７１２）、振分装置４０３での優先度を変更させる（Ｓ７１３）。
【００７１】
例えばアタックＡとアタックＢが同時に起こり、アタックＢの方が重要であると判断した場合、アタックＢによるトラフィックの優先度を上げると、以降アタックＢの情報は、振分装置４０３内で優先的に処理される事になる。これは、複数同時アタックに際するトラフィックの増大に対し、振分装置が情報を取りこぼしにくいようにする機能である。
【００７２】
そして、Ｓ７０７での警報の発令の後、追跡命令が発行され（Ｓ７０８）、以降の情報を全て情報収集装置４０４に記録させる（Ｓ７０９）。
【００７３】
そして、以降監視端末１０５の監視が続けられ（Ｓ７１４）、監視端末１０５からの処理終了通知が出されるまで（Ｓ７１１）、トラフィックの追跡を続ける。
【００７４】
そして、監視端末１０５からの処理終了通知が出されると、終了と判断し（Ｓ７１２）、振分処理による追跡を終了し（Ｓ７１５）、振分処理は終了する（Ｓ７１６）。
【００７５】
このように、振分装置４０３では、アタックに使用されたツールが既存のツールであれば、その情報のログを残すだけで情報は破棄し、既存のツールで無かった場合には、その情報を全て情報収集装置４０４に記録している。
【００７６】
これにより、アタックパターンテーブル１４００に格納されているような既存のツールによるアタックについては、情報を破棄し、それ以外の新規のツールなどによるアタックのみの情報を詳細に収集する動作を行っている。
【００７７】
次に、情報収集装置４０４及び監視端末１０５の動作について説明する。
【００７８】
図７は情報収集装置４０４及び監視端末１０５の動作を示す処理フローである。
【００７９】
まず、振分装置４０３から渡された情報を入力し（Ｓ８０１）、情報収集テーブル１４１０に記録する（Ｓ８０２）。
【００８０】
そして、監視者に更に詳細の情報を提供する為、今起こっているアタックが既存のどのパターンに最も近いか、アタックパターンテーブル１４００に対し概念検索（あいまい検索）を行い（Ｓ８０３）、候補を何件か抽出し監視端末１０５へ情報を伝達し、また、振分装置４０３から渡された情報をダミー応答装置４０６へ伝達する（Ｓ８０４）。
【００８１】
そして、監視端末１０５では、情報収集装置４０４から伝達された情報を受け、編集して出力装置５０６へ出力する（Ｓ８０９）。
【００８２】
そして、Ｓ８０９での出力により、監視端末１０５を操作する監視者は、今後のアタック者の動向をある程度察知することが可能となる。そして、この情報を元に情報分析し（Ｓ８１０）、必要であればアタック者に呼びかけ会話を試みる事ができる（Ｓ８１１）。
【００８３】
アタック者との対話は、アタック者が技術的探求心からの侵入であればシステム全体のセキュリティにつき情報交換することで、新しい有効な情報を得られるチャンスを提供する。また、破壊目的の侵入については、見張っているとアタック者に認識させる事で防犯的側面も持ち合わせる。会話の内容は情報収集テーブル１４１０に記録し、後に解析する情報として利用することができるようになっている。
【００８４】
次に、ダミー応答装置４０６の動作について説明する。
【００８５】
図８はダミー応答装置４０６の動作を示す処理フローである。
【００８６】
まず、情報収集装置４０４を通過したトラフィックは全てこのダミー応答装置４０６へ渡され、情報を受け取り（Ｓ９０１）、ダミーシステムテーブル１４２０と突き合わせ処理を行う（Ｓ９０２）。ダミーシステムテーブル１４２０は、システム情報１４２２にシステム１０２の情報を仮想的にもっている。
【００８７】
そして、その内容がシステムに対する何らかの操作であるかを判断し（Ｓ９０３）、Ｓ９０３でシステムに対する何らかの操作であると判断されると、それに応じたダミー情報を流す為、ダミーシステムテーブル１４２０のダミー応答１４２３のダミー情報を応答する（Ｓ９０６）。
【００８８】
そして、このダミー応答をダミーである旨、Ｆ／Ｗ１０４やＩＤＳ１０３のログに残す為、通過許可証を発行し（Ｓ９０７）、情報を出力する（Ｓ９０８）。通過許可証は、例えばＦ／Ｗ１０４側で内部からのアタックについて棄却処理している場合（ウィルスの応答例が挙げられる）、許可証を持つトラフィックを通過させるという仕掛けにも利用できる情報となる。
【００８９】
そして、ダミー応答装置４０６へ通された情報に対する応答は、アタック者にアタックが成功していると思わせる為にも、Ｆ／Ｗ１０４等でダミーのトラフィックを通過させる事が望ましい。
【００９０】
そして、Ｓ９０３で操作無しと判断したものについては、Ｓ９０２で得た情報をそのまま情報出力する（Ｓ９０８）。
【００９１】
そして、監視端末１０５を操作している監視者は、情報収集作業を終了した後、必要があれば予備装置４０８を使い、記憶装置４０５の一部、または全部をリストア装置４０９により回復する。これは、セキュリティ診断情報収集システムはアタックを受ける事を前提としており、アタックの内容によっては、記憶装置４０５上の情報を破壊される可能性が０ではないからである。
【００９２】
よって、記憶装置４０５のバックアップをもっておき、素早く現状復帰できる仕掛けがあることが望ましい。これについては、後述するダミー交換装置を使用したダミーシステムを使った運用方法もある。
【００９３】
次に、追加装置５０４の動作について説明する。
【００９４】
図９は追加装置５０４の動作を示す処理フローである。
【００９５】
まず、情報収集装置４０４で収集された新しいアタックに関する情報を入力し（Ｓ１２０１）、出力装置５０６や操作装置５０３の情報を元に監視者が解析し、新しく作成したアタックパターンをアタックパターンテーブルのフォーマットに編集し（Ｓ１２０２）、システム１０２へ追加情報を伝達し（Ｓ１２０３）、システムＤＢ１０１上のここではアタックパターンテーブル１４００へアタックパターンの情報を追加する（Ｓ１２０４）。
【００９６】
この実施の形態では、システムへのアタックを検知した際、既存のアタックパターンと比較し、新規と見なされるパターン（一連の操作）であれば、システムが提供する情報提供装置４０７とは別の情報収集装置４０４へ接続を振り分けることで、アタックを回避しつつ新規アタックと捉えたパターンのみを追跡記録する事ができ、システムのトラフィックが上がっていても、重要なアタック情報を収集することが可能となる。
【００９７】
（実施の形態２）
この実施の形態は、実施の形態１において、図２に示す機能ブロックにおける振分装置４０３、情報収集装置４０４、ダミー応答装置４０６を独立し、外部に情報収集及びダミー応答用のダミーシステム２０８を設けたものである。
【００９８】
図２に示すダミー部を外部に持つことで資源を明確にダミーと区分することができ、バックアップなどの運用管理がより簡単になることを期待できる。勿論負荷分散させる事も可能であるし、資源節約の為仮想マシン上に構築することも可能である。負荷分散時、ＩＤＳ１０３で検知したアタックトラフィックは全てダミーへ流すという処理も可能である。この場合、情報収集装置４０４で処理する処理量が増えるのでダミー部と振分装置を別システムとする事が有効である。
【００９９】
図１０は本発明の実施の形態２におけるセキュリティ診断情報収集システムの全体構成図である。
【０１００】
図１０において、ダミーシステムＤＢ２０７は、システムＤＢ１０１と同様の機能、内容を持つ。ダミーシステム２０８は、図２における情報収集装置４０４及びダミー応答装置４０６の機能を有するシステムであり、情報収集とダミー応答の処理のみを行うものである。
【０１０１】
また、ダミーシステム２０８では、ＩＤＳ１０３で検知したアタックトラフィックは全てダミーへ流すという処理を行った場合においても、ダミーシステム２０８内で、振り分け処理を行わないため、処理量の増大に対応できるようになっている。
【０１０２】
また、ダミー交換装置２０９は、図２における振分装置４０３の機能を有するものである。
【０１０３】
また、他の構成は、実施の形態１の構成と同様である。
【０１０４】
次に、この実施の形態のダミー交換装置２０９の機能的構成について説明する。
【０１０５】
図１１はダミー交換装置２０９の機能的構成を示す機能ブロック図である。
【０１０６】
図１１において、ダミー交換装置２０９は、入力装置６０１、交換装置６０３、記憶装置６０５、出力装置６１０から構成されている。
【０１０７】
入力装置６０１、記憶装置６０５及び出力装置６１０については、実施の形態１の入力装置４０１、記憶装置４０５及び出力装置４１０と同様な装置である。
【０１０８】
交換装置６０３はＩＤＳ１０３と協調動作し、トラフィックを図１０に示すダミーシステム２０８へ振り分ける為の装置である。
【０１０９】
次に、この実施の形態のダミー交換装置２０９の動作について説明する。
【０１１０】
図１２はダミー交換装置の動作を示す処理フローである。
【０１１１】
まず、ＩＤＳ１０３からの情報を受け、受付処理を開始する（Ｓ１３０１）。情報は一旦記憶装置６０５上に蓄積され、その情報がアタックパターンテーブル１４００のパターン情報１４０２と一致するかどうか付き合わせ処理を行う（Ｓ１３０２）。
【０１１２】
そして、アタックパターンとトラフィックが一致しているか否かを判断し（Ｓ１３０３）、Ｓ１３０３で一致していると判断されると通常のＩＤＳ処理へ移行し（Ｓ１３０５）、例えば、ログをＩＤＳテーブル１４３０に残しダミー交換装置２０９内では情報を棄却する。
【０１１３】
また、Ｓ１３０３で一致していないと判断されるとダミー切替処理を行い（Ｓ１３０４）、ダミーシステム２０８へトラフィックを転送する。
【０１１４】
そして、ダミーシステム２０８内での動作については、実施の形態１の図５におけるＳ７０７からＳ７１６までの動作と同様である。
【０１１５】
また、ダミー交換装置２０９はＩＤＳ１０３からの情報によりアタックでないトラフィックについては、そのままシステム１０２に転送するようになっている。
【０１１６】
この実施の形態では、実施の形態１における振分装置４０３、情報収集装置４０４、ダミー応答装置４０６を独立し、外部に情報収集及びダミー応答用のダミーシステム２０８を設けるようにしたので、実施の形態１における効果に加えて、処理量が増大した場合においても、確実に情報の収集を行うことができ、また、アタックにより、ダミーシステムがダメージを受けても、ダミーシステムであるので、その復旧を容易に行うことが可能となる。
【０１１７】
（実施の形態３）
この実施の形態は、実施の形態１及び実施の形態２のセキュリティ診断情報収集システムで収集されたセキュリティ診断情報を利用して、セキュリティ診断及びセキュリティハザードマップ作成を行うものである。
【０１１８】
図１３は、この実施の形態のセキュリティ診断及びセキュリティハザードマップ作成を行うセキュリティ診断情報収集システムの一例を示す構成図である。
【０１１９】
この例では、サービス提供者は、図１０の構成をとっている。また、サービス受益者は例として、受益者Ａ、Ｂの２パターンを挙げているが、受益者Ａは一般的な構成の利用者であり、Ｆ／Ｗ３０９及びシステム３１０から構成されており、受益者Ｂは、図１０と同様の構成を取り、アタックの監視を提供者に委託したものである。尚、受益者Ａ、Ｂは各々システム３１０、システム３１３及びダミーシステム３１２にて、システム１０２及びダミーシステム２０８と全く異なるアプリケーションサービスを構築していても良いし、同じサービスを構築していても良い。また、図中、Ｆ／ＷやＩＤＳも、サービス提供者と別製品でも同じ製品でも構わない。
【０１２０】
次に、この実施の形態のセキュリティ診断の動作を説明する。
【０１２１】
図１４はこの実施の形態のセキュリティ診断の動作を示す処理フロー、図１５は診断初期画面の一例を示す図、図１６は暗号キー画面の一例を示す図、図１７は被診断システムの情報入力画面の一例を示す図、図１８は診断結果表示画面の一例を示す図である。
【０１２２】
図１４において、左にサービス提供者、右にサービス受益者の処理を示している。また、図１４の動作については、例えば、システム１０２内の情報提供装置４０７上で実現できる。
【０１２３】
まず、サービス受益者は、例えば、図１５に示すような診断初期画面において、ユーザＩＤＳＣ１０２とパスワードＳＣ１０３を入力する。この例では、このユーザＩＤとパスワードの組み合わせは既に認証局で認証済み、つまり第三者機関で認証されておりその認証キーＳＣ１０４が与えられている。そして、その応答として、図１６に示すような、暗号キーＳＣ１０８を返すようになっている。
【０１２４】
なお、ユーザＩＤ、パスワードの発行、その認証の方法については多くの方式があるが、サービス受益者の確認ができるものであれば、どのような方法を用いてもよい。
【０１２５】
そして、サービス提供者であるシステム１０２内の情報提供装置４０７で設問を用意し（Ｓ１０２）、例えば、図１７に示すような被診断システム情報入力画面を表示させ、診断する被診断システムの情報をサービス受益者に入力させる（Ｓ１０３）。
【０１２６】
ここで、被診断システム情報の入力について説明する。
【０１２７】
図１７に示す被診断システム情報入力画面は、部品ＳＣ２０１、ネットワーク構成図ＳＣ２０２から構成される。ＳＣ２０１上の絵、例えばＳＣ２０３はＬＡＮ等を表し、そのオブジェクトを選択し、ＳＣ２０２画面上にドラッグアンドドロップ等することで、ネットワーク構成図ＳＣ２０２上へ例えばＬＡＮＳＣ２２５を定義することができる。同様に部品ＳＣ２０１の各部品を使い、ネットワーク構成図ＳＣ２０２上にネットワーク図を描く事で、ネットワークと機器が定義される。
【０１２８】
また、Ｆ／Ｗ等セキュリティ機器については、予めデフォルトのポリシーを部品テーブル１４７０にパラメータとして定義しておき部品毎のセキュリティ機能を決めておく。利用者はその部品を使う事で簡便にネットワークの構成図を画面上で構成する事ができる。構成した情報は、ダミーシステムテーブル１４２０に記録する。利用者のシステムをできるだけ忠実に再現する為に、部品テーブル１４７０の部品の細かいパラメータ１４７４（セキュリティポリシー）を後から変更する事ができるようになっている。
【０１２９】
また、ＳＣ２０２上で定義した構成情報は、システムＤＢ１０１の利用者テーブル１４５０内のシステム構成１４５８に入る。
【０１３０】
そして、被診断システムの情報は重要であるから暗号化し（Ｓ１０４）、利用者テーブル１４５０に登録する。利用者テーブル１４５０では利用者毎に情報を管理するが、複数システムを登録することが可能である。
【０１３１】
そして、登録情報は、利用者テーブル１４５０の情報を復号化し（Ｓ１０５）、サービス受益者は登録情報を確認する（Ｓ１０６）。
【０１３２】
この際、図１６に示す暗号キーＳＣ１０８を入力して確認するようになっている。
【０１３３】
そして、サービス受益者は、Ｓ１０６で登録情報の確認を終えた後、Ｓ１０３で入力した診断したいシステムを選択し診断依頼をする（Ｓ１０７）。
【０１３４】
そして、Ｓ１０７での診断依頼を受けて診断を開始し（Ｓ１０８）、アタックパターンテーブル１４００に問合せ、利用者テーブル１４５０上に構築した診断対象システムに対しアタック動作を試み（Ｓ１０９）、その検査ログを取得し（Ｓ１１０）、ログを解析・編集し（Ｓ１１１）、Ｓ１０４と同じ暗号キーを使用して暗号化し（Ｓ１１２）、利用者テーブル１４５０へ記録する。
【０１３５】
また、Ｓ１１０で検査ログを取得後、アタックパターンテーブル１４００の全てのアタックパターンが終了したか否かを判断し（Ｓ１１３）、Ｓ１１３でアタックパターンテーブル１４００の全てのアタックパターンが終了したと判断されるまで、Ｓ１０９〜Ｓ１１２の処理を繰り返す。
【０１３６】
そして、Ｓ１１３でアタックパターンテーブル１４００の全てのアタックパターンが終了したと判断されると、診断終了通知を発行する（Ｓ１１４）。この診断終了通知はこの場合ＷＥＢ画面等を想定する。
【０１３７】
そして、診断依頼者は診断終了通知を受信し（Ｓ１１５）、解析結果の問合せ処理を行い（Ｓ１１６）、解析結果の問い合わせに対して、サービス提供者は解析結果を利用者テーブル１４５０に問合せ、例えば、図１８に示すような解析結果を表示し応答する（Ｓ１１７）。
【０１３８】
なお、Ｓ１１７での診断結果はレポート形式で出力するので、ここでは、ＷＥＢ画面などのＧＵＩ部分を割愛し、中身のみ記述している。また、図１８の例では、ＴＣＰポート１３９がセキュリティホールとなっている事が分かる。
【０１３９】
なお、実施の形態１及び実施の形態２で説明したように、システム１０２はアタックパターンの情報収集を常に行っており、アタックパターンテーブル１４００の内容は常に最新の状態が保たれている（Ｓ１２０）。
【０１４０】
次に、この実施の形態のセキュリティハザードマップ作成の動作を説明する。
【０１４１】
図１９はこの実施の形態のセキュリティハザードマップ作成の動作を示す処理フロー、図２０は被害パターン選択画面の一例を示す図、図２１はハザードマップの表示画面の一例を示す図である。
【０１４２】
まず、Ｓ２０２、Ｓ２０３、Ｓ２０４、Ｓ２０５及びＳ２０６の動作については、図１４におけるＳ１０２、Ｓ１０３、Ｓ１０４、Ｓ１０５及びＳ１０６の動作と同様である。
【０１４３】
そして、被害パターンテーブル１４６０の情報を提示し（Ｓ２０８）、例えば、図２０に示すような被害パターン選択画面を表示し、サービス受益者に被害パターンを選択させる（Ｓ２０７）。
【０１４４】
図２０に示すような被害パターン選択画面では、サービス受益者は被害パターン選択画面ＳＣ３１０上にある被害パターンリストＳＣ３１２から被害パターンを選択する。被害パターンは被害パターンテーブル１４６０を画面上に表示したものである。また、被害パターンは複数選択することもできる。
【０１４５】
そして、利用者テーブル１４５０に登録した被診断システムの情報を復号化し（Ｓ２１２）、その情報をサービス受益者が取得する（Ｓ２１１）。
【０１４６】
そして、サービス受益者は取得した情報に基づいて、被診断システムの情報を入力し（Ｓ２１３）、被害状況パターン、被診断システム情報に基づいてハザードマップ作成処理を実行する（Ｓ２１４）。
【０１４７】
そして、Ｓ２１４でのハザードマップ作成処理結果を編集し、例えば、図２１に示すようなハザードマップを表示する（Ｓ２１５）。この時、ハザードマップ作成処理結果を利用者テーブル１４５０の解析結果情報１４５９にハザードマップとして登録しておくこともできる。これは、被害パターンを変えて高速に比較参照できるようにする仕掛けである。
【０１４８】
図２１に示すハザードマップ表示画面の例では、ＳＣ４０４で情報改竄が発生したものとして影響箇所を表示している。また、影響箇所は、図２１の例ではＳＣ４０２、ＳＣ４０５、ＳＣ４０６となっている。ＳＣ４０３は、セキュリティ強化の為のポイントを記したもので、図２０に示すＳＣ３１２で選択した被害パターンが発生した場合見直しの必要のある箇所を指し示している。
【０１４９】
そして、サービス受益者はハザードマップ作成処理結果を確認し（Ｓ２１６）、ハザードマップを再作成するか否かを判断し（Ｓ２１７）、Ｓ２１７で再作成の必要なければ処理を終了し（Ｓ２１８）、Ｓ２１７で再作成するならＳ２０７へ戻り被害パターンの再選択を行う。もしくは、利用者テーブルに登録した、被診断システムの情報を変更しハザードマップを再作成することもできる。
【０１５０】
なお、この例では、被診断システムを利用者テーブル上で暗号化するため、その照会ができる受益者クライアント側でできるだけ情報を持つようになっているが、提供者側のセキュリティが十分信頼できるならば、ネット上の通信を暗号化するだけで十分なケースも考えられる。その場合、Ｓ２０６、Ｓ２０５、Ｓ２１１、Ｓ２１２の処理は必要ない。
【０１５１】
なお、この実施の形態では、セキュリティ診断をサービス提供者側のシステム上において、サービス受益者側の被診断システム情報に基づいて、サービス受益者側の被診断システムを仮想的に構築し、そのシステムに対してセキュリティ診断を行うようにしているが、実際にサービス受益者側の被診断システムに対して診断を行うようにしてもよい。
【０１５２】
その場合は、その診断そのものがアタックと誤解されないよう、診断開始前に予告し、具体的にはＦ／ＷやＩＤＳ、ＷＥＢサービスなどのログに診断である旨の情報を残す事で、解析時にアタックと区分するか、又は、診断のトラフィックにそれが診断である旨の情報を付加することで、Ｆ／ＷやＩＤＳ等にそれを診断であることを認識させ、解析時にアタックと区分するようにすればよい。
【０１５３】
また、実際にサービス受益者側の被診断システムへの診断を行う際には、一連の診断はシステムに対し一定の負荷をかけることになるので、２４時間稼働中のノンストップシステムでは、トラフィックが多い時間帯を選ぶと診断そのものが問題となるケースが想定されるので、予め影響の少ない日時を統計情報などから選んでおき、診断を予約するようにすればよい。
【０１５４】
この実施の形態では、セキュリティ診断情報収集システムで収集されたセキュリティ診断情報を利用して、セキュリティ診断及びセキュリティハザードマップ作成を行うようにしたので、常に最新のセキュリティ情報により、セキュリティ診断及びセキュリティハザードマップ作成を行うことができ、セキュリティハザードマップを表示することにより、セキュリティ被害が起きた場合、どの場所にどのような被害があるかを視覚化、検証することが可能となる。
【０１５５】
（実施の形態４）
この実施の形態は、実施の形態１及び実施の形態２において、新しいアタックパターンを得るチャンスはそう多くはないため、セキュリティ診断情報収集システムを複数設けることによって、広範囲にセキュリティ診断情報を収集するようにしたものである。
【０１５６】
図２２は本発明の実施の形態４のセキュリティ診断情報収集システムの全体構成図である。
【０１５７】
図２２において、Ｎ１０１、Ｎ１０２、Ｎ１０３及びＮ１１７は、実施の形態１のセキュリティ診断情報収集システムである。なお、Ｎ１０１、Ｎ１０２、Ｎ１０３及びＮ１１７は実施の形態２のセキュリティ診断情報収集システムの構成であってもよい。
【０１５８】
また、Ｎ１０６は、暗号化通信ネットワークを構成するためのＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）装置である。
【０１５９】
次に、この実施の形態の動作について説明する。
【０１６０】
まず、図２２の例では、Ａ社、Ｂ社、Ｃ社のそれぞれに、Ｎ１０１、Ｎ１０２、Ｎ１０３のセキュリティ診断情報収集システムを設置し、それぞれのセキュリティ診断情報収集システムでセキュリティ診断情報の収集を行っている。
【０１６１】
そして、監視センタのセキュリティ診断情報収集システムＮ１１７において、Ａ社、Ｂ社、Ｃ社のセキュリティ診断情報収集システムＮ１０１、Ｎ１０２、Ｎ１０３の例えば、Ａ社のセキュリティ診断情報収集システムＮ１０１で新たなアタックパターンを検知したなら、その情報を収集し、監視端末１０５で解析編集し、新規アタックパターンとしてシステムＤＢ１０１に追加し、各社のセキュリティ診断情報収集システムのシステムＤＢ１０１に配信し、システムＤＢ１０１の内容を更新する。
【０１６２】
この実施の形態では、複数のセキュリティ診断情報収集システムでセキュリティ診断情報を収集し、それぞれのセキュリティ診断情報収集システムで収集されたセキュリティ診断情報をまとめて、システムＤＢ１０１の内容を更新するようにしたので、より多くのアタック情報などのセキュリティ診断情報を収集し、システムＤＢ１０１の情報量を多くすることが可能となる。
【０１６３】
なお、この実施の形態では、監視センタのセキュリティ診断情報収集システムＮ１１７でＡ社、Ｂ社、Ｃ社のセキュリティ診断情報収集システムＮ１０１、Ｎ１０２、Ｎ１０３で検知したアタックパターンを収集し、各社のセキュリティ診断情報収集システムのシステムＤＢ１０１に配信し、システムＤＢ１０１の内容を更新するようにしているが、Ａ社、Ｂ社、Ｃ社のセキュリティ診断情報収集システムＮ１０１、Ｎ１０２、Ｎ１０３で検知したアタックパターンそれぞれ、他社のセキュリティ診断情報収集システムのシステムＤＢ１０１に配信し、システムＤＢ１０１の内容を更新するようにしてもよい。
【０１６４】
【発明の効果】
以上のように、本発明によれば、アタックパターン格納手段により、アタックパターンを格納し、アタック検知手段により、アタックを検知し、処理手段により、アタック検知手段でアタックが検知されると、その検知したアタックのアタックパターンとアタックパターン格納手段に格納されたアタックパターンとを比較し、新しいアタックのとき、そのアタックについての情報を収集し、収集したアタックのアタックパターンをアタックパターン格納手段に格納するようにしたので、アタックを回避しつつ新規アタックと捉えたパターンのみを追跡記録する事ができ、システムのトラフィックが上がっていても、重要なアタック情報を収集することができるという効果を有する。
【０１６５】
また、本発明によれば、仮想システム格納手段により、セキュリティ診断を受けるシステムを仮想的に構築させ、その仮想的に構築されたシステムの情報を格納し、診断処理手段により、仮想システム格納手段に格納された仮想システムに対して、セキュリティ診断情報収集システムのアタックパターン格納手段に格納されたアタックパターンに基づいて、セキュリティ診断を行うようにしたので、システムを仮想的に構築することで実システムへの影響を全く考慮することなくセキュリティ診断のシミュレーションを行うことができるという効果を有する。
【０１６６】
また、本発明によれば、セキュリティ情報格納手段により、セキュリティに関する情報を格納し、診断処理手段により、仮想システム格納手段に格納された仮想システムの情報、セキュリティ診断情報収集システムのアタックパターン格納手段に格納されたアタックパターン及びセキュリティ情報格納手段に格納されたセキュリティに関する情報に基づいて、アタックに対する想定被害状況をパターン化し、ある被害によるシステム全体やそのシステムの利用者への影響箇所等を視覚的に表示するハザードマップを生成するようにしたので、ログ、統計情報などの解析のみでは分かりにくかったセキュリティ被害を視覚化し、実際にその被害が生じた際、システムや利用者のどの箇所にどのような影響があるのか把握し、様々な被害に応じた対応方法を考案するための情報を提供することができるという効果を有する。
【図面の簡単な説明】
【図１】本発明の実施の形態１におけるセキュリティ診断情報収集システムの全体構成図である。
【図２】本発明の実施の形態１のセキュリティ診断情報収集システムにおけるシステムの機能的構成を示す機能ブロック図である。
【図３】本発明の実施の形態１のセキュリティ診断情報収集システムにおける監視端末の機能的構成を示す機能ブロック図である。
【図４】本発明の実施の形態１のセキュリティ診断情報収集システムにおけるシステムＤＢに格納される情報の一例を示す図である。
【図５】本発明の実施の形態１のセキュリティ診断情報収集システムにおける振分装置及び監視端末の動作を示す処理フローである。
【図６】本発明の実施の形態１のセキュリティ診断情報収集システムにおけるアタックトラフィックログの一例を示した図である。
【図７】本発明の実施の形態１のセキュリティ診断情報収集システムにおける情報収集装置及び監視端末の動作を示す処理フローである。
【図８】本発明の実施の形態１のセキュリティ診断情報収集システムにおけるダミー応答装置の動作を示す処理フローである。
【図９】本発明の実施の形態１のセキュリティ診断情報収集システムにおける追加装置の動作を示す処理フローである。
【図１０】本発明の実施の形態２のセキュリティ診断情報収集システムの全体構成図である。
【図１１】本発明の実施の形態２のセキュリティ診断情報収集システムにおけるダミー交換装置の機能的構成を示す機能ブロック図である。
【図１２】本発明の実施の形態２のセキュリティ診断情報収集システムにおけるダミー交換装置の動作を示す処理フローである。
【図１３】本発明の実施の形態３のセキュリティ診断情報収集システムにおけるセキュリティ診断及びセキュリティハザードマップ作成を行うセキュリティ診断情報収集システムの一例を示す構成図である。
【図１４】本発明の実施の形態３のセキュリティ診断情報収集システムにおけるセキュリティ診断の動作を示す処理フローである。
【図１５】本発明の実施の形態３のセキュリティ診断情報収集システムにおける診断初期画面の一例を示す図である。
【図１６】本発明の実施の形態３のセキュリティ診断情報収集システムにおける暗号キー画面の一例を示す図である。
【図１７】本発明の実施の形態３のセキュリティ診断情報収集システムにおける被診断システムの情報入力画面の一例を示す図である。
【図１８】本発明の実施の形態３のセキュリティ診断情報収集システムにおける診断結果表示画面の一例を示す図である。
【図１９】本発明の実施の形態３のセキュリティ診断情報収集システムにおけるセキュリティハザードマップ作成の動作を示す処理フローである。
【図２０】本発明の実施の形態３のセキュリティ診断情報収集システムにおける被害パターン選択画面の一例を示す図である。
【図２１】本発明の実施の形態３のセキュリティ診断情報収集システムにおけるハザードマップの表示画面の一例を示す図である。
【図２２】本発明の実施の形態４のセキュリティ診断情報収集システムの全体構成図である。
【符号の説明】
１００…セキュリティ診断情報収集システム、１０１…システムＤＢ、１０２…システム、１０３…ＩＤＳ、１０４…Ｆ／Ｗ、１０５…監視端末、１０６…ネット、１０７…一般利用者端末、２０７…ダミーシステムＤＢ、２０８…ダミーシステム、２０９…ダミー交換装置、４０１…入力装置、４０３…振分装置、４０４…情報収集装置、４０５…記憶装置、４０６…ダミー応答装置、４０７…情報提供装置、４０８…予備装置、４０９…リストア装置、４１０…出力装置、５０１…入出力装置、５０３…操作装置、５０４…追加装置、５０５…記憶装置、５０６…出力装置、６０１…入力装置、６０３…交換装置、６０５…記憶装置、６１０…出力装置、Ｎ１０６…ＶＰＮ。

Claims

アタックパターンを格納するアタックパターン格納手段と、
アタックを検知するアタック検知手段と、
前記アタック検知手段により、アタックが検知されると、その検知したアタックのアタックパターンと前記アタックパターン格納手段に格納されたアタックパターンとを比較し、新しいアタックのとき、そのアタックについての情報を収集し、収集したアタックのアタックパターンを前記アタックパターン格納手段に格納する処理手段とを備えたことを特徴とするセキュリティ診断情報収集システム。
請求項１記載のセキュリティ診断情報収集システムにおいて、
アタックに対して、ダミーの応答を行うダミー応答手段を備え、
前記処理手段は、アタックについての情報を収集する際、前記ダミー応答手段にアタックに対するダミー応答を行わせることを特徴とするセキュリティ診断情報収集システム。
請求項１又は２記載のセキュリティ診断情報収集システムをネットワークを介して複数接続させ、前記複数のセキュリティ診断情報収集システムの内、第１のセキュリティ診断情報収集システムで新しいアタックを検知すると、第２のセキュリティ診断情報収集システムのアタックパターン格納手段に新しいアタックのアタックパターンを格納することを特徴とするセキュリティ診断情報収集システム。
セキュリティ診断を受けるシステムを仮想的に構築させ、その仮想的に構築されたシステムの情報を格納する仮想システム格納手段と、
前記仮想システム格納手段に格納された仮想システムに対して、請求項１又は２記載のセキュリティ診断情報収集システムのアタックパターン格納手段に格納されたアタックパターンに基づいて、セキュリティ診断を行う診断処理手段とを備えたことを特徴とするセキュリティ診断システム。
請求項４記載のセキュリティ診断システムにおいて、
セキュリティに関する情報を格納するセキュリティ情報格納手段を備え、
前記診断処理手段は、前記仮想システム格納手段に格納された仮想システムの情報、請求項１又は２記載のセキュリティ診断情報収集システムのアタックパターン格納手段に格納されたアタックパターン及び前記セキュリティ情報格納手段に格納されたセキュリティに関する情報に基づいて、アタックに対する想定被害状況をパターン化し、被害によるシステム全体やそのシステムの利用者への影響箇所を視覚的に表示するハザードマップを生成することを特徴とするセキュリティ診断システム。