JP2004318759A - 攻撃情報管理装置、攻撃情報管理システム、攻撃情報管理方法、およびプログラム - Google Patents
攻撃情報管理装置、攻撃情報管理システム、攻撃情報管理方法、およびプログラム Download PDFInfo
- Publication number
- JP2004318759A JP2004318759A JP2003115381A JP2003115381A JP2004318759A JP 2004318759 A JP2004318759 A JP 2004318759A JP 2003115381 A JP2003115381 A JP 2003115381A JP 2003115381 A JP2003115381 A JP 2003115381A JP 2004318759 A JP2004318759 A JP 2004318759A
- Authority
- JP
- Japan
- Prior art keywords
- information
- attack
- sensor
- requester
- activity
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Computer And Data Communications (AREA)
Abstract
【課題】複数の運営者にわたるネットワーク攻撃についての広範な情報を収集して集中管理し、その情報を分析し、分析結果を情報要求者に提供する。
【解決手段】意図的にセキュリティホールを作りこんだ脆弱なサーバを有し、その脆弱なサーバに対する外部からの攻撃活動を検出する複数のセンサーと電気通信回線を介して接続された中央管理装置２０であって、各センサーから攻撃活動に関する情報とセンサーの識別情報とを受信する攻撃情報受信部２１と、それらの情報を対応付けて攻撃情報として記録する攻撃情報記録部２２と、各センサーの種別又は設置地域を記憶するセンサーテーブル２５と、攻撃情報をセンサーの種別又は設置地域毎に分類し出力する攻撃情報分析部２４と、センサーの種別の変更を指示する設定変更指示部２９と、情報要求者の宛先に警報を通知する警報通知部２６と、警報を通知したことに対する課金情報を記録する課金情報記録部２８とを備えた。
【選択図】 図６
【解決手段】意図的にセキュリティホールを作りこんだ脆弱なサーバを有し、その脆弱なサーバに対する外部からの攻撃活動を検出する複数のセンサーと電気通信回線を介して接続された中央管理装置２０であって、各センサーから攻撃活動に関する情報とセンサーの識別情報とを受信する攻撃情報受信部２１と、それらの情報を対応付けて攻撃情報として記録する攻撃情報記録部２２と、各センサーの種別又は設置地域を記憶するセンサーテーブル２５と、攻撃情報をセンサーの種別又は設置地域毎に分類し出力する攻撃情報分析部２４と、センサーの種別の変更を指示する設定変更指示部２９と、情報要求者の宛先に警報を通知する警報通知部２６と、警報を通知したことに対する課金情報を記録する課金情報記録部２８とを備えた。
【選択図】 図６
Description
【０００１】
【発明の属する技術分野】
本発明は、意図的にセキュリティホールを作りこんであるサーバ（以下、「脆弱なサーバ」という）を有し、その脆弱なサーバに対する外部からの攻撃活動を検出する装置（以下、「センサー」という）をインターネット等の電気通信回線上の複数箇所に設置し、これら複数のセンサーから攻撃活動に関する情報（以下、「攻撃情報」という）を収集し管理する攻撃情報管理装置、攻撃情報管理システム、攻撃情報管理方法、およびプログラムに関する。
【０００２】
【従来の技術】
近年、インターネットにおいては、ワームや不正アクセス等のネットワーク攻撃が社会問題化している。このようなネットワーク攻撃に対処するためには、その前兆活動や被害状況の正確な把握及び分析が必要不可欠である。
このうち、前兆活動の把握及び分析については、従来、不正な要求元にわざと侵入させ、侵入者には成功したと思わせておき、その間に不正に関する情報（アクセスの対象、侵入者のアドレス、手順等）を収集する方法が提案されていた（例えば、特許文献１参照。）。
また、被害状況の把握及び分析については、従来、監視対象ネットワークに対する不正侵入や攻撃をセンサー系により感知し、不正侵入や攻撃により停止したあるネットワーク要素を起点にネットワークサービス管理情報データベースを検索することにより被害評価を行う方法があった（例えば、特許文献２参照。）。
【０００３】
【特許文献１】
特開２００２−７２３４号公報（第８−９頁、図１）
【特許文献２】
特開２００２−３２８８９３号公報（第３−５頁、図１）
【０００４】
【発明が解決しようとする課題】
しかしながら、特許文献１、２記載の技術は、情報処理サーバ群、各種サービス提供サーバ群の運営者が独自にネットワーク攻撃の前兆活動や被害状況を採取するための機構を設置し、その機構が採取した情報に基づき運営者自身がネットワーク攻撃の状況の把握及び分析を行うものに過ぎなかった。昨今のネットワーク攻撃は、高度化、複雑化の一途をたどっており、このような昨今のネットワーク攻撃の実情に鑑みれば、このように各運営者が独自にネットワーク攻撃に対処する従来の方式では、自ずと限界がある。ネットワーク攻撃に対しては、複数の運営者にわたる広範な情報を収集し、専門的見地からその情報を分析することが有用であるが、特許文献１、２記載の技術のいずれも、このような広範な情報の収集、分析を可能とするものではなかった。
【０００５】
本発明は、以上のような技術的課題を解決するためになされたものであって、その目的とするところは、インターネット等の電気通信回線を介したネットワーク攻撃の情報を複数の運営者から収集して集中管理し様々な側面から分析し、分析結果を要求する者に対し提供できるようにすることにある。
【０００６】
【課題を解決するための手段】
かかる目的を達成するために、本発明は、中央管理装置（特許請求の範囲の「攻撃情報管理装置」に対応）が、複数のセンサーのそれぞれから、センサーの識別情報を含む攻撃情報を収集するようにしている。すなわち、本発明の攻撃情報管理装置は、意図的にセキュリティホールを作りこんだ脆弱なサーバを有しこの脆弱なサーバに対する外部からの攻撃活動を検出する複数のセンサーと電気通信回線を介して接続された攻撃情報管理装置であって、それら複数のセンサーのうち攻撃活動を検出したセンサーから、その攻撃活動に関する情報と、そのセンサーの識別情報とを受信する攻撃情報受信部と、この攻撃情報受信部が受信した攻撃活動に関する情報とセンサーの識別情報とを対応付けて攻撃情報として記録する攻撃情報記録部とを備えている。
【０００７】
また、本発明は、複数のセンサーのそれぞれについて、センサーの種別、又は、センサーが設置された地域を記憶するセンサーテーブルと、攻撃情報記録部が記録した攻撃情報のうち所定の攻撃情報を、このセンサーテーブルに基づき、センサーの種別毎、又は、センサーの設置された地域毎に分類し出力する攻撃情報分析部とを更に備えるものであってもよい。さらに、複数のセンサーのうちのいずれかに対し、センサーの種別の設定の変更を指示するとともに、センサーテーブルに記憶されたそのセンサーの種別を同様に変更する設定変更指示部を更に備えるようにしてもよい。さらにまた、本発明は、攻撃情報記録部が記録した攻撃情報が所定の条件を満たした場合に、予め登録された情報要求者の宛先に警報を通知するための処理を行う警報通知部を備えるものであってもよい。また、警報を通知したことに対する対価を得るための課金情報として、センサーを設置している情報要求者とセンサーを設置していない情報要求者とで異なる料金を記録する課金情報記録部を更に備えてもよい。
【０００８】
さらに、本発明は、意図的にセキュリティホールを作りこんだ脆弱なサーバを有しその脆弱なサーバに対する外部からの攻撃活動を検出する複数のセンサーと、これら複数のセンサーに対し電気通信回線を介して接続され、攻撃活動を集中管理する攻撃情報管理装置とを備えた攻撃情報管理システムをも提供する。このシステムにおいて、センサーは、脆弱なサーバに対する外部からの侵入が攻撃活動かどうかを判定する侵入検知部と、この侵入検知部により外部からの侵入が攻撃活動と判定された場合、その攻撃活動に関する情報を記録する第１の攻撃情報記録部と、この第１の攻撃情報記録部が記録した攻撃活動に関する情報に自センサーの識別情報を付した攻撃情報を攻撃情報管理装置に送信する攻撃情報送信部とを備える。また、攻撃情報管理装置は、複数のセンサーのうち攻撃活動を検出したセンサーから、攻撃情報を受信する攻撃情報受信部と、この攻撃情報受信部が受信した攻撃情報を記録する第２の攻撃情報記録部とを備える。
【０００９】
一方、本発明が適用される攻撃情報管理システムにおける攻撃情報管理方法は、攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報との対応を、情報要求者テーブルに登録するステップと、複数のセンサーのうち攻撃活動を検出したセンサーから、その攻撃活動に関する情報と、そのセンサーの識別情報とを受信するステップと、攻撃活動に関する情報とセンサーの識別情報とを対応付けて攻撃情報として記録するステップと、記録された攻撃情報が所定の条件を満たした場合に、情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行うステップとを含む。
【００１０】
また、攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報と、センサーを設置しているかどうかを示す情報との対応を、情報要求者テーブルに登録するステップと、複数のセンサーのうち攻撃活動を検出したセンサーから、その攻撃活動に関する情報と、そのセンサーの識別情報とを受信するステップと、攻撃活動に関する情報とセンサーの識別情報とを対応付けて攻撃情報として記録するステップと、記録された攻撃情報が所定の条件を満たした場合に、情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行うステップと、警報を通知した情報要求者がセンサーを設置しているかどうかを情報要求者テーブルに基づいて判断し、警報を通知したことに対する対価を得るための課金情報として、センサーを設置している情報要求者とセンサーを設置していない情報要求者とで異なる料金を記録するステップとを含むものでもよい。
【００１１】
なお、これらの本発明は、攻撃情報管理装置として機能するコンピュータがこれらの各機能を実現することができるように構成されたプログラムとして把握することができる。このプログラムをコンピュータに対して提供する際に、例えばサーバコンピュータ等の攻撃情報管理装置にインストールされた状態にて提供される場合の他、コンピュータに実行させるプログラムをコンピュータが読取可能に記憶した記憶媒体にて提供する形態が考えられる。この記憶媒体としては、例えばＣＤ−ＲＯＭ媒体等が該当し、ＣＤ−ＲＯＭ読取装置等によってプログラムが読み取られ、フラッシュＲＯＭ等にこのプログラムが格納されて実行される。また、これらのプログラムは、例えば、プログラム伝送装置によってネットワークを介して提供される形態がある。このプログラム伝送装置としては、例えば、ホスト側のサーバに設けられ、プログラムを格納するメモリと、ネットワークを介してプログラムを提供するプログラム伝送手段とを備えている。
【００１２】
このプログラムは、コンピュータに、攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報との対応を、情報要求者テーブルに登録する機能と、複数のセンサーのうち攻撃活動を検出したセンサーから、その攻撃活動に関する情報と、そのセンサーの識別情報とを受信する機能と、攻撃活動に関する情報とセンサーの識別情報とを対応付けて攻撃情報として記録する機能と、記録された攻撃情報が所定の条件を満たした場合に、情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行う機能とを実現させる。
【００１３】
また、コンピュータに、攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報と、センサーを設置しているかどうかを示す情報との対応を、情報要求者テーブルに登録する機能と、複数のセンサーのうち攻撃活動を検出したセンサーから、その攻撃活動に関する情報と、そのセンサーの識別情報とを受信する機能と、攻撃活動に関する情報とセンサーの識別情報とを対応付けて攻撃情報として記録する機能と、記録された攻撃情報が所定の条件を満たした場合に、情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行う機能と、警報を通知した情報要求者がセンサーを設置しているかどうかを情報要求者テーブルに基づいて判断し、警報を通知したことに対する対価を得るための課金情報として、センサーを設置している情報要求者とセンサーを設置していない情報要求者とで異なる料金を記録する機能とを実現させるものでもよい。
【００１４】
【発明の実施の形態】
以下、添付図面に基づき、本発明の実施の形態について詳細に説明する。
図１は、本実施の形態が適用される攻撃情報管理システム１の全体構成を説明するための図である。図１に示すように、本実施の形態では、意図的にセキュリティホールを作りこんである脆弱なサーバを含むセンサー１０を複数個配置し、脆弱なサーバに対する外部からの攻撃を監視させる。また、複数のセンサー１０は、インターネット等の電気通信回線を介して中央管理装置２０に接続され、センサー１０が取得した攻撃情報を中央管理装置２０で収集し管理できるように構成されている。
【００１５】
次に、センサー１０の内部構成について説明する。
図２は、センサー１０の構成を説明するためのブロック図である。図２に示すように、センサー１０は、ファイアウォール１１と、脆弱なサーバ１２と、侵入検知部１３と、攻撃情報記録部１４と、攻撃情報送信部１５とを有し、ファイアウォール１１は、更に暗号化通信部１６を有している。また、センサー１０は、設定変更部１７をも有している。
【００１６】
ファイアウォール１１は、インターネットから脆弱なサーバ１２へのアクセスは自由に行えるように設定し、自身の存在を攻撃者には意識させないようにしておく。逆に、脆弱なサーバ１２からインターネットへの攻撃が行われることのないように設定しておく。前者の設定は、インターネットからの全てのパケットを受け入れるように設定することで実現でき、また、後者の設定は、脆弱なサーバ１２を送信元とする通信を全て遮断することによって実現できる。
【００１７】
脆弱なサーバ１２は、実コンピュータ上で仮想コンピュータを動作させることにより実現する。仮想コンピュータに侵入を試みた攻撃者に、実コンピュータの存在を気が付かれないように設定しておく。このような設定は、仮想コンピュータを実現する市販のソフトウェア（例えば、「ＶＭｗａｒｅ」）を利用することによって行う。また、仮想コンピュータにおいては、ＯＳやサーバアプリケーションにセキュリティ対策が行われていない状態や、一般的によく見かけるありがちなセキュリティ上問題のある設定を意図的に施す。
【００１８】
侵入検知部１３は、一般の市販の侵入検知システムを用いて実現することができる。主な攻撃の識別を行うこともできるが、中央管理装置２０で分析を行えるため、そのような攻撃の識別は必須ではない。
【００１９】
攻撃情報記録部１４は、脆弱なサーバ１２に対する攻撃活動に関する情報（以下、「攻撃情報」という）を記録する。攻撃情報は、攻撃活動における全ての段階、例えば、１．調査段階、２．侵入段階、３．破壊段階、４．トロイの木馬設置段階、５．痕跡消去段階、等において記録される。その際、攻撃を受けた日時（以下、「攻撃日時」という）と、上記のような攻撃活動における段階を示す情報（以下、「段階情報」という）とを含めて記録される。なお、攻撃情報の記録は、脆弱なサーバ１２を実現する仮想コンピュータが動作する実コンピュータ上で行われる。
【００２０】
攻撃情報送信部１５は、攻撃情報記録部１４が記録した攻撃情報の中央管理装置２０への送信を指示する機能である。具体的には、攻撃日時、段階情報、攻撃内容を含む攻撃情報に、更に自センサー１０の識別情報（以下、「センサーＩＤ」という）を付して暗号化通信部１６に受け渡すものである。
【００２１】
暗号化通信部１６は、攻撃情報送信部１５から受け渡された攻撃情報を暗号化し、中央管理装置２０に安全に送信する機能である。なお、図２では、暗号化通信部１６をファイアウォール１１の内部に図示しているが、これに限られず、暗号化通信部１６は、ファイアウォール１１から攻撃情報記録部１４までの間の任意の場所にあればよい。
【００２２】
設定変更部１７は、中央管理装置２０の指示に従い、脆弱なサーバ１２におけるＯＳ又はアプリケーションプログラムの設定を変更する機能である。
【００２３】
また、図２においては、本実施の形態におけるセンサー１０の内部構成を機能ブロック図として図示したが、本実施の形態においては、かかる機能の論理的な構成のみが意味を持っており、これらの機能が複数のハードウェア装置に分かれて実現されるか、一つのハードウェア装置に集約されて実現されるか、といった物理的な構成は問題とはしない。すなわち、図３に示すように、ファイアウォール１１（暗号化通信部１６を含む）と、脆弱なサーバ１２と、侵入検知部１３及び攻撃情報記録部１４からなる機構とを別々のハードウェア装置で実現する構成であってもよい。また、図４に示すように、ファイアウォール１１（暗号化通信部１６を含む）、脆弱なサーバ１２、侵入検知部１３、攻撃情報記録部１４の全てを含むセンサー１０を一つのハードウェア装置で実現する構成であってもよい。
【００２４】
また、センサー１０の実現例として、脆弱なサーバ１２と侵入検知部１３と攻撃情報記録部１４とを同一のコンピュータで実現した場合のセンサー１０のプログラム構成を図５に示す。センサー１０内には、ファイアウォール１１を実現するプログラムに加え、ホストＯＳ上に、侵入検知部１３を実現するプログラム、攻撃情報記録部１４を実現するプログラム、脆弱なサーバ１２を実現するプログラムが動作する。このうち、例えば、侵入検知部１３を実現するプログラム、攻撃情報記録部１４を実現するプログラムは、実コンピュータ上で動作し、その実コンピュータ上で脆弱なサーバ１２を実現するプログラムが動作する。
【００２５】
次に、中央管理装置２０の内部構成について説明する。
図６は、中央管理装置２０の構成を説明するためのブロック図である。中央管理装置２０は、攻撃情報受信部２１と、攻撃情報記録部２２と、攻撃情報ログ２３と、攻撃情報分析部２４と、センサーテーブル２５と、警報通知部２６と、情報要求者テーブル２７と、課金情報記録部２８と、設定変更指示部２９とを有する。
【００２６】
攻撃情報受信部２１は、いずれかのセンサー１０から送信されて来る攻撃情報を受信する機能である。攻撃情報記録部２２は、攻撃情報受信部２１が受信した攻撃情報を集積し攻撃情報ログ２３に記録する。攻撃情報分析部２４は、攻撃情報ログ２３を監視しセンサーテーブル２５を参照して攻撃情報の分析を行う。攻撃情報ログ２３及びセンサーテーブル２５には、攻撃情報を、各センサー毎、センサー種別毎、地域別、時間別等で分析するために必要な情報が記録されている。
【００２７】
警報通知部２６は、攻撃情報に関する警報を、情報要求者テーブル２７に登録された情報要求者に対して通知する機能である。警報には、攻撃情報分析部２４による分析で得られた攻撃情報を含めてもよい。課金情報記録部２８は、警報を通知した情報要求者に対し、警報を通知したことに対する対価を求めるための課金情報を記録する機能である。
【００２８】
設定変更指示部２９は、指示されたセンサー１０に対しＯＳ又はアプリケーションプログラムの設定変更を指示する機能である。例えば、ＯＳとしてＬｉｎｕｘが設定されていた脆弱なサーバ１２のＯＳの設定をＷｉｎｄｏｗｓ（登録商標）に変更することを指示するものである。
【００２９】
次に、センサー１０にて実行される攻撃情報記録処理について説明する。
図７は、本実施の形態における攻撃情報記録処理の流れを示したフローチャートである。
まず、センサー１０の侵入検知部１３は、脆弱なサーバ１２へ送信されて来るデータを受信し（ステップ１０１）、脆弱なサーバ１２に対する攻撃かどうかを判定する（ステップ１０２）。侵入検知部１３により攻撃であると判定された場合、攻撃情報記録部１４は、攻撃情報の記録を開始する（ステップ１０３）。攻撃情報記録部１４が攻撃情報を記録し終わるとすぐに、又は、攻撃情報を記録し終わった後の所定のタイミングで、攻撃情報送信部１５は、攻撃情報の中央管理装置２０への送信を指示し、暗号化通信部１６が、攻撃情報を暗号化し、中央管理装置２０に送信する（ステップ１０４）。この際、攻撃情報には、攻撃日時、段階情報、センサーＩＤが含まれる。そして、ステップ１０１へ戻り、脆弱なサーバ１２へデータが送信されて来るのを侵入検知部１３が待つ。また、ステップ１０２で攻撃ではないと判定された場合、データは設定変更部１７にも供給される。設定変更部１７は、ＯＳ又はアプリケーションプログラムの変更要求であるか判定し（ステップ１０５）、ＯＳ又はアプリケーションプログラムの変更要求であると判定されれば、脆弱なサーバ１２におけるＯＳ又はアプリケーションプログラムの設定を変更し（ステップ１０６）、ステップ１０１へ戻る。一方、ステップ１０５でＯＳ又はアプリケーションプログラムの変更要求であると判定されなければ、そのままステップ１０１へ戻る。
【００３０】
次に、中央管理装置２０にて実行される攻撃情報収集処理について説明する。
図８は、本実施の形態における攻撃情報収集処理の流れを示したフローチャートである。
まず、中央管理装置２０の攻撃情報受信部２１は、複数のセンサー１０のいずれかから暗号化された攻撃情報を受信し、復号化する（ステップ２０１）。次に、攻撃情報記録部２２は、復号化された攻撃情報を攻撃情報ログ２３に記録していく（ステップ２０２）。ここで、攻撃情報は、例えば、図１０に示すように、攻撃日時とセンサーＩＤと段階情報と攻撃内容とを含んだ状態で記録される。
【００３１】
一方、攻撃情報分析部２４は、攻撃情報ログ２３に記録される攻撃情報を監視しており、未知の攻撃が記録されているかどうか判定する（ステップ２０３）。攻撃情報分析部２４は、未知の攻撃が記録されていると判定しなかった場合は、ステップ２０１へ戻るが、未知の攻撃が記録されていると判定した場合は、警報通知部２６に警報の通知を指示する。なお、この際、攻撃情報ログ２３から問題の攻撃情報を取り出して警報通知部２６に受け渡し、警報の通知に含めるように指示してもよい。この場合、攻撃情報のうちどの情報をどのような形式で警報通知部２６に受け渡し警報に含めるかは、本実施の形態において限定するものではないが、例えば、攻撃情報に含まれる段階情報を基に、今回検出された攻撃情報を前段階の攻撃情報と関連付けて受け渡すようにしてもよい（図１０の例で言えば、同じセンサーＩＤである「Ｓ０００１」に対する第１段階、第２段階、第３段階の攻撃情報を関連付ける等）。また、中央管理装置２０は、図１１に示すようなセンサーテーブル２５を備えており、センサー毎に、センサーの種別（どのようなＯＳやアプリケーションプログラムが設定されているか）や、センサーが設置されている地域が管理されているので、攻撃情報をセンサー種別毎、センサーの設置された地域毎に整理して出力し、警報通知部２６に受け渡すようにすることもできる。さらに、攻撃情報分析部２４における自動的な分析に任せるのではなく、専門家が介在して攻撃情報のレポートを作成し、それを警報通知部２６に伝えるようにしてもよい。
【００３２】
次に、警報通知部２６は、警報を通知する（ステップ２０４）。通知方法は、例えば、電子メール、電話である。また、急を要しない場合は、郵送でもよい。中央管理装置２０は、攻撃情報の提供を求める情報要求者について、情報要求者ＩＤと、宛先情報とを少なくとも対応付けた情報要求者テーブル２７を事前に登録し保持しており、このテーブルに基づき警報の通知先を特定する。宛先情報の欄には、警報の通知方法として電子メールを用いる場合は電子メールアドレスが設定され、電話を用いる場合は電話番号が設定され、郵送を用いる場合は住所が設定される。図１２は、警報の通知方法として電子メール、電話、郵送を混在して用いる場合の情報要求者テーブル２７の一例を示す。この場合は、宛先情報が電子メールの規則に従うものである場合はその宛先情報の示す電子メールアドレス宛てに電子メールで警報を通知し、宛先情報が電話番号の規則に従うものである場合はその宛先情報の示す電話番号宛てに電話で警報を通知し、宛先情報が住所の規則に従うものである場合はその宛先情報の示す住所あてに郵送で警報を通知することになる。電子メールで警報を通知する場合は、中央管理装置２０と接続されたメールサーバが自動的に電子メールを発信するようにすればよいが、電話や郵送で警報を通知する場合は、中央管理装置２０が、電話番号や住所を含む警報通知指示を中央管理装置２０のオペレータに提示し、オペレータがその指示に従って警報通知の手続きをとるようにしてもよい。なお、図１２では、各情報要求者につき１つの宛先情報しか登録されていないが、２つ以上の宛先情報を登録することも可能である。
【００３３】
また、情報要求者テーブル２７は、各情報要求者がセンサー１０を設置しているかどうかを示す情報も記憶している。この情報としては、例えば、図１２に示すように各情報要求者が設置しているセンサー１０を一意に識別するセンサーＩＤを用いることができる。言い換えれば、センサーＩＤが空白の場合、その情報要求者は、センサー１０を設置していないことになる。警報通知部２６は、攻撃情報分析部２４から受け渡された攻撃情報をそのまま警報に含めるようにしてもよいが、情報要求者テーブル２７においてセンサーＩＤの欄が空白の情報要求者に対しては、攻撃情報分析部２４から受け渡された攻撃情報をそのまま警報に含めずに情報を制限した上で警報に含めるようにしてもよい。
【００３４】
警報通知部２６による警報の通知が完了すると、課金情報記録部２８は、警報を通知したことに対する対価を得るための課金情報を情報要求者テーブル２７に記録し（ステップ２０５）、ステップ２０１へ戻る。ここでの課金情報としては、一律の金額を課金してもよいし、提供した情報の量に応じて課金してもよい。また、情報要求者テーブル２７に基づき各情報要求者がセンサー１０を設置しているかどうかを判断し、センサー１０を設置している情報要求者とセンサー１０を設置していない情報要求者とで異なる料金を課金するように課金情報を登録してもよい。すなわち、例えば、センサー１０を設置している情報要求者からはセンサー１０を貸し出す契約を行った際にレンタル料として料金を徴収することとして攻撃情報の提供に関しては料金を徴収せず（あるいは低料金の徴収にとどめ）、主にセンサー１０を設置していない情報要求者から攻撃情報の提供に関する料金を徴収するようにしてもよい。
【００３５】
次に、中央管理装置２０にて実行される設定情報変更指示処理について説明する。
図９は、本実施の形態における設定情報変更指示処理の流れを示したフローチャートである。
設定変更指示部２９は、中央管理装置２０を操作するオペレータの指示に従い、いずれかのセンサー１０のＯＳ又はアプリケーションプログラムの設定の変更を指示する（ステップ３０１）。次に、設定変更指示部２９は、設定変更の指示を受けたセンサー１０からの応答を受け、設定変更が正常終了したかどうかを判定する（ステップ３０２）。設定変更が正常終了したと判定された場合、設定変更指示部２９は、センサーテーブル２５において、該当するセンサーのセンサー種別を変更する処理を行い（ステップ３０３）、ステップ３０１へ戻る。一方、設定変更が正常終了しなかったと判定された場合、センサーテーブル２５の情報の変更を行わずにステップ３０１へ戻る。
【００３６】
なお、上記説明では、情報要求者テーブル２７とセンサーテーブル２５を別個のテーブルとしたが、一つのテーブルとして構成することも可能である。また、各センサー１０は１つの脆弱なサーバ１２を含むものとしたが、２つ以上の脆弱なサーバ１２を含むようにしてもよい。その場合、攻撃情報分析部２４における攻撃情報の分析は、センサー１０毎だけでなく、センサー１０内の脆弱なサーバ１２毎にも行うことができる。
【００３７】
以上、詳述したように、本実施の形態によれば、インターネット等の電気通信回線を介したネットワーク攻撃の情報を収集して集中管理することが可能となる。また、ネットワーク攻撃を収集するためのセンサーにおける設定を変更し様々な側面から分析できるようにすることもでき、分析結果を有償で提供することも可能となる。
【００３８】
【発明の効果】
このように、本発明によれば、インターネット等の電気通信回線を介したネットワーク攻撃の情報を収集して集中管理することが可能となる。
【図面の簡単な説明】
【図１】本実施の形態が適用される攻撃情報管理システムの全体構成を説明するための図である。
【図２】センサーの構成を説明するためのブロック図である。
【図３】センサーの物理的な構成の一例を示した図である。
【図４】センサーの物理的な構成の一例を示した図である。
【図５】センサーにおけるプログラム構成の一例を示した図である。
【図６】中央管理装置の構成を説明するためのブロック図である。
【図７】本実施の形態における攻撃情報記録処理の流れを示したフローチャートである。
【図８】本実施の形態における攻撃情報収集処理の流れを示したフローチャートである。
【図９】本実施の形態における設定情報変更指示処理の流れを示したフローチャートである。
【図１０】本実施の形態における攻撃情報ログの一例を示した図である。
【図１１】本実施の形態におけるセンサーテーブルの一例を示した図である。
【図１２】本実施の形態における情報要求者テーブルの一例を示した図である。
【符号の説明】
１…攻撃情報管理システム、１０…センサー、１１…ファイアウォール、１２…脆弱なサーバ、１３…侵入検知部、１４，２２…攻撃情報記録部、１５…攻撃情報送信部、１６…暗号化通信部、１７…設定変更部、２０…中央管理装置、２１…攻撃情報受信部、２３…攻撃情報ログ、２４…攻撃情報分析部、２５…センサーテーブル、２６…警報通知部、２７…情報要求者テーブル、２８…課金情報記録部、２９…設定変更指示部
【発明の属する技術分野】
本発明は、意図的にセキュリティホールを作りこんであるサーバ（以下、「脆弱なサーバ」という）を有し、その脆弱なサーバに対する外部からの攻撃活動を検出する装置（以下、「センサー」という）をインターネット等の電気通信回線上の複数箇所に設置し、これら複数のセンサーから攻撃活動に関する情報（以下、「攻撃情報」という）を収集し管理する攻撃情報管理装置、攻撃情報管理システム、攻撃情報管理方法、およびプログラムに関する。
【０００２】
【従来の技術】
近年、インターネットにおいては、ワームや不正アクセス等のネットワーク攻撃が社会問題化している。このようなネットワーク攻撃に対処するためには、その前兆活動や被害状況の正確な把握及び分析が必要不可欠である。
このうち、前兆活動の把握及び分析については、従来、不正な要求元にわざと侵入させ、侵入者には成功したと思わせておき、その間に不正に関する情報（アクセスの対象、侵入者のアドレス、手順等）を収集する方法が提案されていた（例えば、特許文献１参照。）。
また、被害状況の把握及び分析については、従来、監視対象ネットワークに対する不正侵入や攻撃をセンサー系により感知し、不正侵入や攻撃により停止したあるネットワーク要素を起点にネットワークサービス管理情報データベースを検索することにより被害評価を行う方法があった（例えば、特許文献２参照。）。
【０００３】
【特許文献１】
特開２００２−７２３４号公報（第８−９頁、図１）
【特許文献２】
特開２００２−３２８８９３号公報（第３−５頁、図１）
【０００４】
【発明が解決しようとする課題】
しかしながら、特許文献１、２記載の技術は、情報処理サーバ群、各種サービス提供サーバ群の運営者が独自にネットワーク攻撃の前兆活動や被害状況を採取するための機構を設置し、その機構が採取した情報に基づき運営者自身がネットワーク攻撃の状況の把握及び分析を行うものに過ぎなかった。昨今のネットワーク攻撃は、高度化、複雑化の一途をたどっており、このような昨今のネットワーク攻撃の実情に鑑みれば、このように各運営者が独自にネットワーク攻撃に対処する従来の方式では、自ずと限界がある。ネットワーク攻撃に対しては、複数の運営者にわたる広範な情報を収集し、専門的見地からその情報を分析することが有用であるが、特許文献１、２記載の技術のいずれも、このような広範な情報の収集、分析を可能とするものではなかった。
【０００５】
本発明は、以上のような技術的課題を解決するためになされたものであって、その目的とするところは、インターネット等の電気通信回線を介したネットワーク攻撃の情報を複数の運営者から収集して集中管理し様々な側面から分析し、分析結果を要求する者に対し提供できるようにすることにある。
【０００６】
【課題を解決するための手段】
かかる目的を達成するために、本発明は、中央管理装置（特許請求の範囲の「攻撃情報管理装置」に対応）が、複数のセンサーのそれぞれから、センサーの識別情報を含む攻撃情報を収集するようにしている。すなわち、本発明の攻撃情報管理装置は、意図的にセキュリティホールを作りこんだ脆弱なサーバを有しこの脆弱なサーバに対する外部からの攻撃活動を検出する複数のセンサーと電気通信回線を介して接続された攻撃情報管理装置であって、それら複数のセンサーのうち攻撃活動を検出したセンサーから、その攻撃活動に関する情報と、そのセンサーの識別情報とを受信する攻撃情報受信部と、この攻撃情報受信部が受信した攻撃活動に関する情報とセンサーの識別情報とを対応付けて攻撃情報として記録する攻撃情報記録部とを備えている。
【０００７】
また、本発明は、複数のセンサーのそれぞれについて、センサーの種別、又は、センサーが設置された地域を記憶するセンサーテーブルと、攻撃情報記録部が記録した攻撃情報のうち所定の攻撃情報を、このセンサーテーブルに基づき、センサーの種別毎、又は、センサーの設置された地域毎に分類し出力する攻撃情報分析部とを更に備えるものであってもよい。さらに、複数のセンサーのうちのいずれかに対し、センサーの種別の設定の変更を指示するとともに、センサーテーブルに記憶されたそのセンサーの種別を同様に変更する設定変更指示部を更に備えるようにしてもよい。さらにまた、本発明は、攻撃情報記録部が記録した攻撃情報が所定の条件を満たした場合に、予め登録された情報要求者の宛先に警報を通知するための処理を行う警報通知部を備えるものであってもよい。また、警報を通知したことに対する対価を得るための課金情報として、センサーを設置している情報要求者とセンサーを設置していない情報要求者とで異なる料金を記録する課金情報記録部を更に備えてもよい。
【０００８】
さらに、本発明は、意図的にセキュリティホールを作りこんだ脆弱なサーバを有しその脆弱なサーバに対する外部からの攻撃活動を検出する複数のセンサーと、これら複数のセンサーに対し電気通信回線を介して接続され、攻撃活動を集中管理する攻撃情報管理装置とを備えた攻撃情報管理システムをも提供する。このシステムにおいて、センサーは、脆弱なサーバに対する外部からの侵入が攻撃活動かどうかを判定する侵入検知部と、この侵入検知部により外部からの侵入が攻撃活動と判定された場合、その攻撃活動に関する情報を記録する第１の攻撃情報記録部と、この第１の攻撃情報記録部が記録した攻撃活動に関する情報に自センサーの識別情報を付した攻撃情報を攻撃情報管理装置に送信する攻撃情報送信部とを備える。また、攻撃情報管理装置は、複数のセンサーのうち攻撃活動を検出したセンサーから、攻撃情報を受信する攻撃情報受信部と、この攻撃情報受信部が受信した攻撃情報を記録する第２の攻撃情報記録部とを備える。
【０００９】
一方、本発明が適用される攻撃情報管理システムにおける攻撃情報管理方法は、攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報との対応を、情報要求者テーブルに登録するステップと、複数のセンサーのうち攻撃活動を検出したセンサーから、その攻撃活動に関する情報と、そのセンサーの識別情報とを受信するステップと、攻撃活動に関する情報とセンサーの識別情報とを対応付けて攻撃情報として記録するステップと、記録された攻撃情報が所定の条件を満たした場合に、情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行うステップとを含む。
【００１０】
また、攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報と、センサーを設置しているかどうかを示す情報との対応を、情報要求者テーブルに登録するステップと、複数のセンサーのうち攻撃活動を検出したセンサーから、その攻撃活動に関する情報と、そのセンサーの識別情報とを受信するステップと、攻撃活動に関する情報とセンサーの識別情報とを対応付けて攻撃情報として記録するステップと、記録された攻撃情報が所定の条件を満たした場合に、情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行うステップと、警報を通知した情報要求者がセンサーを設置しているかどうかを情報要求者テーブルに基づいて判断し、警報を通知したことに対する対価を得るための課金情報として、センサーを設置している情報要求者とセンサーを設置していない情報要求者とで異なる料金を記録するステップとを含むものでもよい。
【００１１】
なお、これらの本発明は、攻撃情報管理装置として機能するコンピュータがこれらの各機能を実現することができるように構成されたプログラムとして把握することができる。このプログラムをコンピュータに対して提供する際に、例えばサーバコンピュータ等の攻撃情報管理装置にインストールされた状態にて提供される場合の他、コンピュータに実行させるプログラムをコンピュータが読取可能に記憶した記憶媒体にて提供する形態が考えられる。この記憶媒体としては、例えばＣＤ−ＲＯＭ媒体等が該当し、ＣＤ−ＲＯＭ読取装置等によってプログラムが読み取られ、フラッシュＲＯＭ等にこのプログラムが格納されて実行される。また、これらのプログラムは、例えば、プログラム伝送装置によってネットワークを介して提供される形態がある。このプログラム伝送装置としては、例えば、ホスト側のサーバに設けられ、プログラムを格納するメモリと、ネットワークを介してプログラムを提供するプログラム伝送手段とを備えている。
【００１２】
このプログラムは、コンピュータに、攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報との対応を、情報要求者テーブルに登録する機能と、複数のセンサーのうち攻撃活動を検出したセンサーから、その攻撃活動に関する情報と、そのセンサーの識別情報とを受信する機能と、攻撃活動に関する情報とセンサーの識別情報とを対応付けて攻撃情報として記録する機能と、記録された攻撃情報が所定の条件を満たした場合に、情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行う機能とを実現させる。
【００１３】
また、コンピュータに、攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報と、センサーを設置しているかどうかを示す情報との対応を、情報要求者テーブルに登録する機能と、複数のセンサーのうち攻撃活動を検出したセンサーから、その攻撃活動に関する情報と、そのセンサーの識別情報とを受信する機能と、攻撃活動に関する情報とセンサーの識別情報とを対応付けて攻撃情報として記録する機能と、記録された攻撃情報が所定の条件を満たした場合に、情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行う機能と、警報を通知した情報要求者がセンサーを設置しているかどうかを情報要求者テーブルに基づいて判断し、警報を通知したことに対する対価を得るための課金情報として、センサーを設置している情報要求者とセンサーを設置していない情報要求者とで異なる料金を記録する機能とを実現させるものでもよい。
【００１４】
【発明の実施の形態】
以下、添付図面に基づき、本発明の実施の形態について詳細に説明する。
図１は、本実施の形態が適用される攻撃情報管理システム１の全体構成を説明するための図である。図１に示すように、本実施の形態では、意図的にセキュリティホールを作りこんである脆弱なサーバを含むセンサー１０を複数個配置し、脆弱なサーバに対する外部からの攻撃を監視させる。また、複数のセンサー１０は、インターネット等の電気通信回線を介して中央管理装置２０に接続され、センサー１０が取得した攻撃情報を中央管理装置２０で収集し管理できるように構成されている。
【００１５】
次に、センサー１０の内部構成について説明する。
図２は、センサー１０の構成を説明するためのブロック図である。図２に示すように、センサー１０は、ファイアウォール１１と、脆弱なサーバ１２と、侵入検知部１３と、攻撃情報記録部１４と、攻撃情報送信部１５とを有し、ファイアウォール１１は、更に暗号化通信部１６を有している。また、センサー１０は、設定変更部１７をも有している。
【００１６】
ファイアウォール１１は、インターネットから脆弱なサーバ１２へのアクセスは自由に行えるように設定し、自身の存在を攻撃者には意識させないようにしておく。逆に、脆弱なサーバ１２からインターネットへの攻撃が行われることのないように設定しておく。前者の設定は、インターネットからの全てのパケットを受け入れるように設定することで実現でき、また、後者の設定は、脆弱なサーバ１２を送信元とする通信を全て遮断することによって実現できる。
【００１７】
脆弱なサーバ１２は、実コンピュータ上で仮想コンピュータを動作させることにより実現する。仮想コンピュータに侵入を試みた攻撃者に、実コンピュータの存在を気が付かれないように設定しておく。このような設定は、仮想コンピュータを実現する市販のソフトウェア（例えば、「ＶＭｗａｒｅ」）を利用することによって行う。また、仮想コンピュータにおいては、ＯＳやサーバアプリケーションにセキュリティ対策が行われていない状態や、一般的によく見かけるありがちなセキュリティ上問題のある設定を意図的に施す。
【００１８】
侵入検知部１３は、一般の市販の侵入検知システムを用いて実現することができる。主な攻撃の識別を行うこともできるが、中央管理装置２０で分析を行えるため、そのような攻撃の識別は必須ではない。
【００１９】
攻撃情報記録部１４は、脆弱なサーバ１２に対する攻撃活動に関する情報（以下、「攻撃情報」という）を記録する。攻撃情報は、攻撃活動における全ての段階、例えば、１．調査段階、２．侵入段階、３．破壊段階、４．トロイの木馬設置段階、５．痕跡消去段階、等において記録される。その際、攻撃を受けた日時（以下、「攻撃日時」という）と、上記のような攻撃活動における段階を示す情報（以下、「段階情報」という）とを含めて記録される。なお、攻撃情報の記録は、脆弱なサーバ１２を実現する仮想コンピュータが動作する実コンピュータ上で行われる。
【００２０】
攻撃情報送信部１５は、攻撃情報記録部１４が記録した攻撃情報の中央管理装置２０への送信を指示する機能である。具体的には、攻撃日時、段階情報、攻撃内容を含む攻撃情報に、更に自センサー１０の識別情報（以下、「センサーＩＤ」という）を付して暗号化通信部１６に受け渡すものである。
【００２１】
暗号化通信部１６は、攻撃情報送信部１５から受け渡された攻撃情報を暗号化し、中央管理装置２０に安全に送信する機能である。なお、図２では、暗号化通信部１６をファイアウォール１１の内部に図示しているが、これに限られず、暗号化通信部１６は、ファイアウォール１１から攻撃情報記録部１４までの間の任意の場所にあればよい。
【００２２】
設定変更部１７は、中央管理装置２０の指示に従い、脆弱なサーバ１２におけるＯＳ又はアプリケーションプログラムの設定を変更する機能である。
【００２３】
また、図２においては、本実施の形態におけるセンサー１０の内部構成を機能ブロック図として図示したが、本実施の形態においては、かかる機能の論理的な構成のみが意味を持っており、これらの機能が複数のハードウェア装置に分かれて実現されるか、一つのハードウェア装置に集約されて実現されるか、といった物理的な構成は問題とはしない。すなわち、図３に示すように、ファイアウォール１１（暗号化通信部１６を含む）と、脆弱なサーバ１２と、侵入検知部１３及び攻撃情報記録部１４からなる機構とを別々のハードウェア装置で実現する構成であってもよい。また、図４に示すように、ファイアウォール１１（暗号化通信部１６を含む）、脆弱なサーバ１２、侵入検知部１３、攻撃情報記録部１４の全てを含むセンサー１０を一つのハードウェア装置で実現する構成であってもよい。
【００２４】
また、センサー１０の実現例として、脆弱なサーバ１２と侵入検知部１３と攻撃情報記録部１４とを同一のコンピュータで実現した場合のセンサー１０のプログラム構成を図５に示す。センサー１０内には、ファイアウォール１１を実現するプログラムに加え、ホストＯＳ上に、侵入検知部１３を実現するプログラム、攻撃情報記録部１４を実現するプログラム、脆弱なサーバ１２を実現するプログラムが動作する。このうち、例えば、侵入検知部１３を実現するプログラム、攻撃情報記録部１４を実現するプログラムは、実コンピュータ上で動作し、その実コンピュータ上で脆弱なサーバ１２を実現するプログラムが動作する。
【００２５】
次に、中央管理装置２０の内部構成について説明する。
図６は、中央管理装置２０の構成を説明するためのブロック図である。中央管理装置２０は、攻撃情報受信部２１と、攻撃情報記録部２２と、攻撃情報ログ２３と、攻撃情報分析部２４と、センサーテーブル２５と、警報通知部２６と、情報要求者テーブル２７と、課金情報記録部２８と、設定変更指示部２９とを有する。
【００２６】
攻撃情報受信部２１は、いずれかのセンサー１０から送信されて来る攻撃情報を受信する機能である。攻撃情報記録部２２は、攻撃情報受信部２１が受信した攻撃情報を集積し攻撃情報ログ２３に記録する。攻撃情報分析部２４は、攻撃情報ログ２３を監視しセンサーテーブル２５を参照して攻撃情報の分析を行う。攻撃情報ログ２３及びセンサーテーブル２５には、攻撃情報を、各センサー毎、センサー種別毎、地域別、時間別等で分析するために必要な情報が記録されている。
【００２７】
警報通知部２６は、攻撃情報に関する警報を、情報要求者テーブル２７に登録された情報要求者に対して通知する機能である。警報には、攻撃情報分析部２４による分析で得られた攻撃情報を含めてもよい。課金情報記録部２８は、警報を通知した情報要求者に対し、警報を通知したことに対する対価を求めるための課金情報を記録する機能である。
【００２８】
設定変更指示部２９は、指示されたセンサー１０に対しＯＳ又はアプリケーションプログラムの設定変更を指示する機能である。例えば、ＯＳとしてＬｉｎｕｘが設定されていた脆弱なサーバ１２のＯＳの設定をＷｉｎｄｏｗｓ（登録商標）に変更することを指示するものである。
【００２９】
次に、センサー１０にて実行される攻撃情報記録処理について説明する。
図７は、本実施の形態における攻撃情報記録処理の流れを示したフローチャートである。
まず、センサー１０の侵入検知部１３は、脆弱なサーバ１２へ送信されて来るデータを受信し（ステップ１０１）、脆弱なサーバ１２に対する攻撃かどうかを判定する（ステップ１０２）。侵入検知部１３により攻撃であると判定された場合、攻撃情報記録部１４は、攻撃情報の記録を開始する（ステップ１０３）。攻撃情報記録部１４が攻撃情報を記録し終わるとすぐに、又は、攻撃情報を記録し終わった後の所定のタイミングで、攻撃情報送信部１５は、攻撃情報の中央管理装置２０への送信を指示し、暗号化通信部１６が、攻撃情報を暗号化し、中央管理装置２０に送信する（ステップ１０４）。この際、攻撃情報には、攻撃日時、段階情報、センサーＩＤが含まれる。そして、ステップ１０１へ戻り、脆弱なサーバ１２へデータが送信されて来るのを侵入検知部１３が待つ。また、ステップ１０２で攻撃ではないと判定された場合、データは設定変更部１７にも供給される。設定変更部１７は、ＯＳ又はアプリケーションプログラムの変更要求であるか判定し（ステップ１０５）、ＯＳ又はアプリケーションプログラムの変更要求であると判定されれば、脆弱なサーバ１２におけるＯＳ又はアプリケーションプログラムの設定を変更し（ステップ１０６）、ステップ１０１へ戻る。一方、ステップ１０５でＯＳ又はアプリケーションプログラムの変更要求であると判定されなければ、そのままステップ１０１へ戻る。
【００３０】
次に、中央管理装置２０にて実行される攻撃情報収集処理について説明する。
図８は、本実施の形態における攻撃情報収集処理の流れを示したフローチャートである。
まず、中央管理装置２０の攻撃情報受信部２１は、複数のセンサー１０のいずれかから暗号化された攻撃情報を受信し、復号化する（ステップ２０１）。次に、攻撃情報記録部２２は、復号化された攻撃情報を攻撃情報ログ２３に記録していく（ステップ２０２）。ここで、攻撃情報は、例えば、図１０に示すように、攻撃日時とセンサーＩＤと段階情報と攻撃内容とを含んだ状態で記録される。
【００３１】
一方、攻撃情報分析部２４は、攻撃情報ログ２３に記録される攻撃情報を監視しており、未知の攻撃が記録されているかどうか判定する（ステップ２０３）。攻撃情報分析部２４は、未知の攻撃が記録されていると判定しなかった場合は、ステップ２０１へ戻るが、未知の攻撃が記録されていると判定した場合は、警報通知部２６に警報の通知を指示する。なお、この際、攻撃情報ログ２３から問題の攻撃情報を取り出して警報通知部２６に受け渡し、警報の通知に含めるように指示してもよい。この場合、攻撃情報のうちどの情報をどのような形式で警報通知部２６に受け渡し警報に含めるかは、本実施の形態において限定するものではないが、例えば、攻撃情報に含まれる段階情報を基に、今回検出された攻撃情報を前段階の攻撃情報と関連付けて受け渡すようにしてもよい（図１０の例で言えば、同じセンサーＩＤである「Ｓ０００１」に対する第１段階、第２段階、第３段階の攻撃情報を関連付ける等）。また、中央管理装置２０は、図１１に示すようなセンサーテーブル２５を備えており、センサー毎に、センサーの種別（どのようなＯＳやアプリケーションプログラムが設定されているか）や、センサーが設置されている地域が管理されているので、攻撃情報をセンサー種別毎、センサーの設置された地域毎に整理して出力し、警報通知部２６に受け渡すようにすることもできる。さらに、攻撃情報分析部２４における自動的な分析に任せるのではなく、専門家が介在して攻撃情報のレポートを作成し、それを警報通知部２６に伝えるようにしてもよい。
【００３２】
次に、警報通知部２６は、警報を通知する（ステップ２０４）。通知方法は、例えば、電子メール、電話である。また、急を要しない場合は、郵送でもよい。中央管理装置２０は、攻撃情報の提供を求める情報要求者について、情報要求者ＩＤと、宛先情報とを少なくとも対応付けた情報要求者テーブル２７を事前に登録し保持しており、このテーブルに基づき警報の通知先を特定する。宛先情報の欄には、警報の通知方法として電子メールを用いる場合は電子メールアドレスが設定され、電話を用いる場合は電話番号が設定され、郵送を用いる場合は住所が設定される。図１２は、警報の通知方法として電子メール、電話、郵送を混在して用いる場合の情報要求者テーブル２７の一例を示す。この場合は、宛先情報が電子メールの規則に従うものである場合はその宛先情報の示す電子メールアドレス宛てに電子メールで警報を通知し、宛先情報が電話番号の規則に従うものである場合はその宛先情報の示す電話番号宛てに電話で警報を通知し、宛先情報が住所の規則に従うものである場合はその宛先情報の示す住所あてに郵送で警報を通知することになる。電子メールで警報を通知する場合は、中央管理装置２０と接続されたメールサーバが自動的に電子メールを発信するようにすればよいが、電話や郵送で警報を通知する場合は、中央管理装置２０が、電話番号や住所を含む警報通知指示を中央管理装置２０のオペレータに提示し、オペレータがその指示に従って警報通知の手続きをとるようにしてもよい。なお、図１２では、各情報要求者につき１つの宛先情報しか登録されていないが、２つ以上の宛先情報を登録することも可能である。
【００３３】
また、情報要求者テーブル２７は、各情報要求者がセンサー１０を設置しているかどうかを示す情報も記憶している。この情報としては、例えば、図１２に示すように各情報要求者が設置しているセンサー１０を一意に識別するセンサーＩＤを用いることができる。言い換えれば、センサーＩＤが空白の場合、その情報要求者は、センサー１０を設置していないことになる。警報通知部２６は、攻撃情報分析部２４から受け渡された攻撃情報をそのまま警報に含めるようにしてもよいが、情報要求者テーブル２７においてセンサーＩＤの欄が空白の情報要求者に対しては、攻撃情報分析部２４から受け渡された攻撃情報をそのまま警報に含めずに情報を制限した上で警報に含めるようにしてもよい。
【００３４】
警報通知部２６による警報の通知が完了すると、課金情報記録部２８は、警報を通知したことに対する対価を得るための課金情報を情報要求者テーブル２７に記録し（ステップ２０５）、ステップ２０１へ戻る。ここでの課金情報としては、一律の金額を課金してもよいし、提供した情報の量に応じて課金してもよい。また、情報要求者テーブル２７に基づき各情報要求者がセンサー１０を設置しているかどうかを判断し、センサー１０を設置している情報要求者とセンサー１０を設置していない情報要求者とで異なる料金を課金するように課金情報を登録してもよい。すなわち、例えば、センサー１０を設置している情報要求者からはセンサー１０を貸し出す契約を行った際にレンタル料として料金を徴収することとして攻撃情報の提供に関しては料金を徴収せず（あるいは低料金の徴収にとどめ）、主にセンサー１０を設置していない情報要求者から攻撃情報の提供に関する料金を徴収するようにしてもよい。
【００３５】
次に、中央管理装置２０にて実行される設定情報変更指示処理について説明する。
図９は、本実施の形態における設定情報変更指示処理の流れを示したフローチャートである。
設定変更指示部２９は、中央管理装置２０を操作するオペレータの指示に従い、いずれかのセンサー１０のＯＳ又はアプリケーションプログラムの設定の変更を指示する（ステップ３０１）。次に、設定変更指示部２９は、設定変更の指示を受けたセンサー１０からの応答を受け、設定変更が正常終了したかどうかを判定する（ステップ３０２）。設定変更が正常終了したと判定された場合、設定変更指示部２９は、センサーテーブル２５において、該当するセンサーのセンサー種別を変更する処理を行い（ステップ３０３）、ステップ３０１へ戻る。一方、設定変更が正常終了しなかったと判定された場合、センサーテーブル２５の情報の変更を行わずにステップ３０１へ戻る。
【００３６】
なお、上記説明では、情報要求者テーブル２７とセンサーテーブル２５を別個のテーブルとしたが、一つのテーブルとして構成することも可能である。また、各センサー１０は１つの脆弱なサーバ１２を含むものとしたが、２つ以上の脆弱なサーバ１２を含むようにしてもよい。その場合、攻撃情報分析部２４における攻撃情報の分析は、センサー１０毎だけでなく、センサー１０内の脆弱なサーバ１２毎にも行うことができる。
【００３７】
以上、詳述したように、本実施の形態によれば、インターネット等の電気通信回線を介したネットワーク攻撃の情報を収集して集中管理することが可能となる。また、ネットワーク攻撃を収集するためのセンサーにおける設定を変更し様々な側面から分析できるようにすることもでき、分析結果を有償で提供することも可能となる。
【００３８】
【発明の効果】
このように、本発明によれば、インターネット等の電気通信回線を介したネットワーク攻撃の情報を収集して集中管理することが可能となる。
【図面の簡単な説明】
【図１】本実施の形態が適用される攻撃情報管理システムの全体構成を説明するための図である。
【図２】センサーの構成を説明するためのブロック図である。
【図３】センサーの物理的な構成の一例を示した図である。
【図４】センサーの物理的な構成の一例を示した図である。
【図５】センサーにおけるプログラム構成の一例を示した図である。
【図６】中央管理装置の構成を説明するためのブロック図である。
【図７】本実施の形態における攻撃情報記録処理の流れを示したフローチャートである。
【図８】本実施の形態における攻撃情報収集処理の流れを示したフローチャートである。
【図９】本実施の形態における設定情報変更指示処理の流れを示したフローチャートである。
【図１０】本実施の形態における攻撃情報ログの一例を示した図である。
【図１１】本実施の形態におけるセンサーテーブルの一例を示した図である。
【図１２】本実施の形態における情報要求者テーブルの一例を示した図である。
【符号の説明】
１…攻撃情報管理システム、１０…センサー、１１…ファイアウォール、１２…脆弱なサーバ、１３…侵入検知部、１４，２２…攻撃情報記録部、１５…攻撃情報送信部、１６…暗号化通信部、１７…設定変更部、２０…中央管理装置、２１…攻撃情報受信部、２３…攻撃情報ログ、２４…攻撃情報分析部、２５…センサーテーブル、２６…警報通知部、２７…情報要求者テーブル、２８…課金情報記録部、２９…設定変更指示部
Claims (10)
- 意図的にセキュリティホールを作りこんだ脆弱なサーバを有し、当該脆弱なサーバに対する外部からの攻撃活動を検出する複数のセンサーと電気通信回線を介して接続された攻撃情報管理装置であって、
前記複数のセンサーのうち前記攻撃活動を検出したセンサーから、当該攻撃活動に関する情報と、当該センサーの識別情報とを受信する攻撃情報受信部と、
前記攻撃情報受信部が受信した前記攻撃活動に関する情報と前記センサーの識別情報とを対応付けて攻撃情報として記録する攻撃情報記録部とを備えたことを特徴とする攻撃情報管理装置。 - 前記複数のセンサーのそれぞれについて、センサーの種別、又は、センサーが設置された地域を記憶するセンサーテーブルと、
前記攻撃情報記録部が記録した攻撃情報のうち所定の攻撃情報を、前記センサーテーブルに基づき、センサーの種別毎、又は、センサーの設置された地域毎に分類し出力する攻撃情報分析部とを更に備えたことを特徴とする請求項１記載の攻撃情報管理装置。 - 前記複数のセンサーのうちのいずれかに対し、センサーの種別の設定の変更を指示するとともに、前記センサーテーブルに記憶された当該センサーの種別を同様に変更する設定変更指示部を更に備えたことを特徴とする請求項２記載の攻撃情報管理装置。
- 前記攻撃情報記録部が記録した攻撃情報が所定の条件を満たした場合に、予め登録された情報要求者の宛先に警報を通知するための処理を行う警報通知部を更に備えたことを特徴とする請求項１記載の攻撃情報管理装置。
- 前記警報を通知したことに対する対価を得るための課金情報として、前記センサーを設置している情報要求者と前記センサーを設置していない情報要求者とで異なる料金を記録する課金情報記録部を更に備えたことを特徴とする請求項４記載の攻撃情報管理装置。
- 意図的にセキュリティホールを作りこんだ脆弱なサーバを有し、当該脆弱なサーバに対する外部からの攻撃活動を検出する複数のセンサーと、
前記複数のセンサーに対し電気通信回線を介して接続され、前記攻撃活動を集中管理する攻撃情報管理装置とを備え、
前記センサーは、
前記脆弱なサーバに対する外部からの侵入が攻撃活動かどうかを判定する侵入検知部と、
前記侵入検知部により外部からの侵入が攻撃活動と判定された場合、当該攻撃活動に関する情報を記録する第１の攻撃情報記録部と、
前記第１の攻撃情報記録部が記録した攻撃活動に関する情報に自センサーの識別情報を付した攻撃情報を前記攻撃情報管理装置に送信する攻撃情報送信部とを備え、
前記攻撃情報管理装置は、
前記複数のセンサーのうち前記攻撃活動を検出したセンサーから、前記攻撃情報を受信する攻撃情報受信部と、
前記攻撃情報受信部が受信した前記攻撃情報を記録する第２の攻撃情報記録部とを備えたことを特徴とする攻撃情報管理システム。 - 攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報との対応を、情報要求者テーブルに登録するステップと、
複数のセンサーのうち攻撃活動を検出したセンサーから、当該攻撃活動に関する情報と、当該センサーの識別情報とを受信するステップと、
前記攻撃活動に関する情報と前記センサーの識別情報とを対応付けて攻撃情報として記録するステップと、
前記記録された攻撃情報が所定の条件を満たした場合に、前記情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行うステップとを含むことを特徴とする攻撃情報管理方法。 - 攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報と、センサーを設置しているかどうかを示す情報との対応を、情報要求者テーブルに登録するステップと、
複数のセンサーのうち攻撃活動を検出したセンサーから、当該攻撃活動に関する情報と、当該センサーの識別情報とを受信するステップと、
前記攻撃活動に関する情報と前記センサーの識別情報とを対応付けて攻撃情報として記録するステップと、
前記記録された攻撃情報が所定の条件を満たした場合に、前記情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行うステップと、
前記警報を通知した情報要求者がセンサーを設置しているかどうかを前記情報要求者テーブルに基づいて判断し、前記警報を通知したことに対する対価を得るための課金情報として、前記センサーを設置している情報要求者と前記センサーを設置していない情報要求者とで異なる料金を記録するステップとを含むことを特徴とする攻撃情報管理方法。 - コンピュータに、
攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報との対応を、情報要求者テーブルに登録する機能と、
複数のセンサーのうち攻撃活動を検出したセンサーから、当該攻撃活動に関する情報と、当該センサーの識別情報とを受信する機能と、
前記攻撃活動に関する情報と前記センサーの識別情報とを対応付けて攻撃情報として記録する機能と、
前記記録された攻撃情報が所定の条件を満たした場合に、前記情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行う機能と
を実現させるためのプログラム。 - コンピュータに、
攻撃情報の要求者について、その情報要求者ＩＤと、宛先情報と、センサーを設置しているかどうかを示す情報との対応を、情報要求者テーブルに登録する機能と、
複数のセンサーのうち攻撃活動を検出したセンサーから、当該攻撃活動に関する情報と、当該センサーの識別情報とを受信する機能と、
前記攻撃活動に関する情報と前記センサーの識別情報とを対応付けて攻撃情報として記録する機能と、
前記記録された攻撃情報が所定の条件を満たした場合に、前記情報要求者テーブルに登録された宛先情報で示される宛先に対し警報を通知するための処理を行う機能と、
前記警報を通知した情報要求者がセンサーを設置しているかどうかを前記情報要求者テーブルに基づいて判断し、前記警報を通知したことに対する対価を得るための課金情報として、前記センサーを設置している情報要求者と前記センサーを設置していない情報要求者とで異なる料金を記録する機能と
を実現させるためのプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003115381A JP2004318759A (ja) | 2003-04-21 | 2003-04-21 | 攻撃情報管理装置、攻撃情報管理システム、攻撃情報管理方法、およびプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003115381A JP2004318759A (ja) | 2003-04-21 | 2003-04-21 | 攻撃情報管理装置、攻撃情報管理システム、攻撃情報管理方法、およびプログラム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2004318759A true JP2004318759A (ja) | 2004-11-11 |
Family
ID=33474599
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003115381A Pending JP2004318759A (ja) | 2003-04-21 | 2003-04-21 | 攻撃情報管理装置、攻撃情報管理システム、攻撃情報管理方法、およびプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2004318759A (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9846781B2 (en) | 2013-04-19 | 2017-12-19 | Entit Software Llc | Unused parameters of application under test |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002251374A (ja) * | 2000-12-20 | 2002-09-06 | Fujitsu Ltd | 情報管理システム、情報管理方法、およびその方法をコンピュータに実行させるプログラム、並びにそのプログラムを記録したコンピュータ読み取り可能な記録媒体 |
| JP2002252654A (ja) * | 2001-02-23 | 2002-09-06 | Mitsubishi Electric Corp | 侵入検出装置およびシステムならびにルータ |
| JP2004234401A (ja) * | 2003-01-31 | 2004-08-19 | Hitachi Ltd | セキュリティ診断情報収集システム及びセキュリティ診断システム |
-
2003
- 2003-04-21 JP JP2003115381A patent/JP2004318759A/ja active Pending
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002251374A (ja) * | 2000-12-20 | 2002-09-06 | Fujitsu Ltd | 情報管理システム、情報管理方法、およびその方法をコンピュータに実行させるプログラム、並びにそのプログラムを記録したコンピュータ読み取り可能な記録媒体 |
| JP2002252654A (ja) * | 2001-02-23 | 2002-09-06 | Mitsubishi Electric Corp | 侵入検出装置およびシステムならびにルータ |
| JP2004234401A (ja) * | 2003-01-31 | 2004-08-19 | Hitachi Ltd | セキュリティ診断情報収集システム及びセキュリティ診断システム |
Non-Patent Citations (1)
| Title |
|---|
| 岩井 博樹: "ＩＤＳ導入の真価を探る Seek the merit in implementing IDS", Ｎ＋Ｉ ＮＥＴＷＯＲＫ 第３巻 第１号, vol. 第3巻, JPN6009038109, 1 January 2003 (2003-01-01), JP, pages 78 - 81, ISSN: 0001380937 * |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9846781B2 (en) | 2013-04-19 | 2017-12-19 | Entit Software Llc | Unused parameters of application under test |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11271955B2 (en) | Platform and method for retroactive reclassification employing a cybersecurity-based global data store | |
| KR100351306B1 (ko) | 다양한 침입탐지모델을 사용하는 침입탐지시스템 및 그 방법 | |
| US8516586B1 (en) | Classification of unknown computer network traffic | |
| CA2391701C (en) | Method and system for remotely configuring and monitoring a communication device | |
| WO2019133451A1 (en) | Platform and method for enhanced-cyber-attack detection and response employing a global data store | |
| US11240275B1 (en) | Platform and method for performing cybersecurity analyses employing an intelligence hub with a modular architecture | |
| CN100386994C (zh) | 客户机装置、服务器装置以及权限控制方法 | |
| US20060174346A1 (en) | Instrumentation for alarming a software product | |
| US20060031938A1 (en) | Integrated emergency response system in information infrastructure and operating method therefor | |
| US20120005743A1 (en) | Internal network management system, internal network management method, and program | |
| KR101011456B1 (ko) | 정보유출감사 방법, 이를 수행하기 위한 프로그램이 저장된 컴퓨터가 판독가능한 기록매체 및 이를 수행하기 위한 시스템 | |
| JP2009048251A (ja) | 機器データ管理システム | |
| JP7204247B2 (ja) | 脅威対応自動化方法 | |
| EP3647982B1 (en) | Cyber attack evaluation method and cyber attack evaluation device | |
| JP2009048250A (ja) | 機器データ管理システム | |
| KR20110110431A (ko) | 정보보안 장치 및 방법 | |
| JP4843546B2 (ja) | 情報漏洩監視システムおよび情報漏洩監視方法 | |
| WO2003021402A2 (en) | Network security | |
| JP2004318759A (ja) | 攻撃情報管理装置、攻撃情報管理システム、攻撃情報管理方法、およびプログラム | |
| JP2002149435A (ja) | ネットワーク集中監視方法 | |
| JP2006330926A (ja) | ウィルス感染検知装置 | |
| KR101662530B1 (ko) | 호스트의 악성 도메인 접근 탐지와 차단 시스템, 및 그 방법 | |
| KR20070090460A (ko) | 컴퓨터·네트워크 통합 포렌식스 시스템 | |
| JP2005227982A (ja) | セキュリティ監視機能を備えたネットワークシステム、ログデータ解析端末及び情報端末 | |
| CA3122328A1 (en) | A system for, and a method of creating cybersecurity situational awareness, threat detection and risk detection within the internet-of-things space |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060329 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090728 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20091124 |