JP2005117100A - 侵入検知システムおよびトラヒック集約装置 - Google Patents

Abstract

【課題】 不正アクセスを検知するための負荷を軽減し、リアルタイム性を高める。
【解決手段】 通信の単位となる単位データをもとに、当該単位データを利用して行われる所定の通信システム内への不正アクセスを検知する侵入検知システムにおいて、前記通信システム内に設定された複数の参照点ごとに配置され、各参照点から得られた前記単位データまたは当該単位データから抽出された情報を、所定の集約処理を施して集約するトラヒック集約部と、各トラヒック集約部から、その集約結果を受け取り、受け取った集約結果をもとに所定の分析処理を行って前記不正アクセスの有無を検知する不正アクセス検知部とを備える。
【選択図】 図１

Description

本発明は侵入検知システムに関し、例えば、侵入検知のリアルタイム性を高める場合などに適用して好適なものである。

また、本発明は、かかる侵入検知システムの構成要素としてのトラヒック集約装置に関するものである。

侵入検知システム（ＩＤＳ）に関連する技術としては、下記の特許文献１に記載されたものがある。

この特許文献１において、侵入検知装置は、ネットワーク上を流れるすべてのパケットを受信し、分析することで、不正侵入が行われているか否かを判定する。そして、不正侵入が行われていると判定した場合には、通信遮断等の対策を行う。
特開２００２−７３４３３

ところが、前記特許文献１の技術では、ネットワーク上を流れるすべてのパケットを分析の対象としているため、分析を実行する前記侵入検知装置の処理能力にかかる負荷が大きく、多大な処理能力を用意する必要が生じたり、分析のリアルタイム性が犠牲になる可能性が高い。

また、多角的な分析を行い、分析の信頼度を高めるため、ネットワーク上に複数の参照点を設定し、各参照点から得られたパケットを同時に分析の対象とすることがあるが、そのようなケースでは、分析の対象となるパケットの数が格段に多くなるため、前記侵入検知装置の処理能力にかかる負荷ははるかに大きくなり、必要な処理能力や、犠牲になる可能性のあるリアルタイム性の大きさは、さらに大きくなる。

かかる課題を解決するために、第１の本発明では、通信の単位となる単位データをもとに、当該単位データを利用して行われる所定の通信システム内への不正アクセスを検知する侵入検知システムにおいて、前記通信システム内に設定された複数の参照点ごとに配置され、各参照点から得られた前記単位データまたは当該単位データから抽出された情報を、所定の集約処理を施して集約するトラヒック集約部と、各トラヒック集約部から、その集約結果を受け取り、受け取った集約結果をもとに所定の分析処理を行って前記不正アクセスの有無を検知する不正アクセス検知部とを備えたことを特徴とする。

また、第２の本発明では、通信の単位となる単位データをもとに、当該単位データを利用して行われる所定の通信システム内への不正アクセスを検知する侵入検知システムの構成要素としてのトラヒック集約装置において、前記通信システム内に設定された複数の参照点のうち該当する参照点から得られた前記単位データまたは当該単位データから抽出された情報を、所定の集約処理を施して集約するトラヒック集約部を備え、当該トラヒック集約部の集約結果を、前記不正アクセスの有無を検知する不正アクセス検知部に届けることを特徴とする。

本発明によれば、不正アクセスの有無を検知するための負荷を軽減でき、リアルタイム性を高めることが可能である。

（Ａ）実施形態
以下、本発明にかかる侵入検知システムおよびトラヒック集約装置をＩＰｖ４ネットワークに適用した場合を例に、実施形態について説明する。

（Ａ−１）第１の実施形態の構成
本実施形態にかかる侵入検知システム１０の全体構成例を図１に示す。この侵入検知システム１０は、その参照点ＲＥ１２、ＲＦ１２，ＲＥ１３、ＲＦ１３を介して、さらに大きなネットワーク（監視対象ネットワーク）に接続されている。この監視対象ネットワークは不正侵入の対象となり得、当該侵入検知システム１０で監視すべきネットワークである。監視対象ネットワークの構成には様々なものがあり得るが、ここでは図示しない。一般的には、当該監視対象ネットワーク上に設置される各種のサーバ類（例えば、Ｗｅｂサーバ、メールサーバ、データベースサーバなど）が不正侵入による攻撃の対象とされることが多い。

図１において、当該侵入検知システム１０は、分析器１１と、２つのアグリゲータ１２，１３と、伝送路Ｔ１１〜Ｔ１５と、当該伝送路Ｔ１３，Ｔ１５に接続された前記参照点ＲＥ１２、ＲＦ１２，ＲＥ１３、ＲＦ１３とを備えている。

このうち分析器１１は、所定の分析処理を実行して不正アクセスの有無を判定する通信装置である。不正アクセスの有無を判定するための分析処理の内容には様々なものがあり得るが、予め登録しておいた特定の不正アクセスのパターン（シグネチャ）に整合するか否かに基づいて、不正アクセスの有無を判定することもできる。

また、不正アクセスが有る旨の判定結果が得られた場合に当該分析器１１が実行する処理（防御処理）にも様々なものがあり得るが、例えば、図示しないファイアウオール（ＦＷ）と連携して、当該ファイアウオールが実行しているフィルタリングの内容を変更し、その不正アクセスにかかるパケットを遮断するようにしてもよい。

当該分析器１１は、アグリゲータ１２，１３と通信するために、ポートＰ１１を備えている。

前記２つのアグリゲータ１２，１３は、接続されている参照点が相違するだけで、機能は同じである。ここでは、主としてアグリゲータ１２のほうに注目して説明を進める。

アグリゲータ１２は、前記参照点ＲＥ１２から時系列に得られる複数のパケットＤＵ１２をポートＰＢ１２で受け取り、そのパケットＤＵ１２の全部（１パケット中の全フィールドの情報）または一部（１パケット中の一部のフィールドの情報）を所定の集約処理で集約（aggregate）した上で、その集約結果ＡＧ１２を分析器１１に届ける装置である。

侵入検知システム１０内でもＩＰプロトコルが用いられるものとすると、当該集約結果ＡＧ１２は、ＩＰパケットに収容されて送信されることになる。

集約処理の規則（集約規則）には様々なものがあり得るが、複数のパケットＤＵ１２から得られる分析処理の基礎となる情報を、１つのパケットＤＵ１２または１つのパケットＤＵ１２と同等程度の情報に整理しまとめる処理を、集約処理とすることができる。直接、１つひとつのパケットを処理するのはなく、このような集約処理によって得られる集約結果ＡＧ１２を処理することによって、前記分析処理のための負荷は大幅に軽減される。

分析処理の基礎となる情報が何であるかは、分析処理の内容に応じて異なる。一般的には、ＩＰヘッダ、ＴＣＰヘッダ、ＵＤＰヘッダなどに含まれる各フィールドの情報が、分析処理の基礎となる情報とされる。なかでも、ＩＰヘッダに含まれる宛先ＩＰアドレスや送信元ＩＰアドレス、ＴＣＰヘッダやＵＤＰヘッダに含まれる宛先ポート番号や送信元ポート番号などは有用な情報である。

ここで、ＩＰヘッダは、ＯＳＩ参照モデルのネットワーク層に属するプロトコルであるＩＰプロトコルに対応するヘッダである。また、ＴＣＰヘッダは、ＯＳＩ参照モデルのトランスポート層に属するプロトコルであるＴＣＰプロトコルに対応するヘッダで、ＵＤＰヘッダは同じくトランスポート層に属するＵＤＰプロトコルに対応するヘッダである。高い信頼性を重視する通信アプリケーション（例えば、ＨＴＴＰやＳＭＴＰなど）は、トランスポート層のプロトコルとしてＴＣＰプロトコルを利用し、リアルタイム性を重視する通信アプリケーション（例えば、ＤＮＳやＩＰ電話の音声通話など）はトランスポート層のプロトコルとしてＵＤＰプロトコルを利用する。

必要ならば、トランスポート層より上位の階層に属するプロトコルに対応するヘッダの情報や、通信アプリケーションが利用するユーザデータそのものを、前記分析処理に利用してもよいことは当然である。

不正侵入検知システム１０は監視が目的であって、監視対象に影響を与えないのが基本であるから、通常、参照点ＲＥ１２から得たパケットＤＵ１２は、透過的（１ビットも変更することなく）、かつ速やかに、ポートＰＣ１２から送出して参照点ＲＦ１２より前記監視対象ネットワークへ返す。

透過的に送出する理由は、この種の中継装置でパケットＤＵ１２の内容が変化しては、通信の品質を維持することができないからである。ただし、不正アクセスであることが明確な場合などには、前記防御処理の一例として、不正アクセスの対象となっているサーバ（例えば、Ｗｅｂサーバ）と不正アクセスの実行元の通信端末のあいだのコネクションを強制的に切断してしまう内容に書き換えた上で、当該パケットＤＵ１２をポートＰＣ１２から送出することも考えられる。コネクションを切断してしまえば、サーバからの応答が不正アクセス実行元の通信端末へ返送されなくなるため、当該サーバに対する不正アクセスの続行が不可能となる。

また、速やかに送出する理由は、もしもアグリゲータ１２内部の処理に起因する遅延により、ポートＰＣ１２からパケットＤＵ１２を送出するタイミングが遅れれば、例えば、ＩＰ電話の音声通話などのように、リアルタイム性が重要な通信アプリケーションの通信品質に重大な影響を与える可能性があるからである。通常、参照点ＲＥ１２から受信されるパケットＤＵ１２の大部分は不正アクセスと無関係なパケットであると考えられるので、アグリゲータ１２における遅延は最小限に抑える必要がある。

なお、前記パケットＤＵ１２とは反対方向に伝送されるパケットについても当該パケットＤＵ１２と同様に処理すること、すなわち、参照点ＲＦ１２から得たパケットをアグリゲータ１２や分析器１１で処理して参照点ＲＥ１２より監視対象ネットワークに返すことも可能であるが、ここでは、前記パケットＤＵ１２のみに着目する。

ポートＰＢ１２で受け取ったパケットＤＵ１２を、ポートＰＣ１２から送出するまでに、そのパケットＤＵ１２の情報を利用した前記分析処理を行う構成を取る場合には、アグリゲータ１２内部の処理に要する時間だけでなく、前記分析器１１内部の処理、およびアグリゲータ１２と分析器１１間の通信に要する時間のすべての合計が、十分に短い時間である必要がある。

なお、当該ポートＰＣ１２に接続されている伝送路Ｔ１２の接続先の点ＲＦ１２は、もしも当該侵入検知システム１０が存在しなければ参照点ＲＥ１２に接続されていたはずの機器である。この機器が何であるかは、前記監視対象ネットワークの構成や、参照点ＲＥ１２を当該監視対象ネットワーク内のどの場所に選定するかに依存して変わるが、例えば、前記サーバ（例えば、Ｗｅｂサーバ）自体であることもあり、ハブ、Ｌ２スイッチ、ルータ、前記ファイアウオール、サーバ負荷分散装置（ＬＢ）などの中継装置であることもある。

前記アグリゲータ１３は当該アグリゲータ１２に対応する。

すなわち、前記アグリゲータ１３のポートＰＡ１３は前記ポートＰＡ１２に対応し、ポートＰＢ１３は前記ポートＰＢ１２に対応し、ポートＰＣ１３は前記ポートＰＣ１２に対応する。また、参照点ＲＥ１３からポートＰＢ１３に供給されるパケットＤＵ１３は、前記パケットＤＵ１２に対応する。

前記２つのアグリゲータ１２，１３が持つ各参照点ＲＥ１２，ＲＥ１３を監視対象ネットワーク内のどこに選定するかは自由であるが、大きく分けると、パケットＤＵ１３とＤＵ１２が同じパケットとなる選定と、ならない選定に分類することができる。

パケットＤＵ１３とＤＵ１２が同じパケットとなる選定の例としては、例えば、前記監視対象ネットワーク上にまったく同じ内容のＷｅｂページを提供できるＷｅｂサーバマシンを２つ用意し、インターネット側から届くパケットをサーバ負荷分散装置でこれら２つのＷｅｂサーバ（マシン）に振り分けるケースである。この場合、参照点ＲＥ１２は一方のＷｅｂサーバと当該サーバ負荷分散装置のあいだに配置し、参照点ＲＥ１３は他方のＷｅｂサーバと当該サーバ負荷分散装置のあいだに配置する。

これに対し、パケットＤＵ１３とＤＵ１２が同じパケットとならない選定の例としては、前記監視対象ネットワークが、前記ファイアウオールによって区切られ、ＤＭＺ（Demilitarized Zone）と社内ＬＡＮを有する場合、参照点ＲＥ１２をＤＭＺの内部に選定し、参照点ＲＥ１３を社内ＬＡＮの内部に選定するケースである。ここで、ＤＭＺは、公開用のＷｅｂサーバやメールサーバなどを配置し、社内ＬＡＮには、データベースサーバなどを配置する構成を取るものとする。データベースサーバは、保護する必要性の高い膨大な数の個人情報を蓄積したデータベースを直接管理していることが多いので、実際の監視対象ネットワークでもこのような構成が取られることは少なくない。

この場合、当該Ｗｅｂサーバは、インターネット側から前記ファイアウオール経由で到来するパケット（例えば、ＤＵ１２）を受信し、そのパケットの内容に応じて新たなパケット（これが、例えば、ＤＵ１３）を生成して前記ファイアウオール経由で社内ＬＡＮにあるデータベースサーバに送信することになる。このとき、パケットＤＵ１３はパケットＤＵ１２の受信に起因して送信されるものであるため、両パケットＤＵ１２、ＤＵ１３間には関連性が存在するものの、同じパケットではない。

この選定では、前記参照点ＲＥ１２から得られるパケットＤＵ１２を監視することによってＷｅｂサーバに対するアクセスの内容を調べることができ、参照点ＲＥ１３から得られるパケットＤＵ１３を監視することによってデータベースサーバに対するアクセスの内容を調べることができるので、パケットＤＵ１２とＤＵ１３の監視結果を対比すること等により、不正アクセスを適切に検知すること等が可能となる。

この場合にはまた、当該ファイアウオールが、パケット中のＩＰアドレスの書き換えを行うＮＡＴ（ネットワークアドレストランスレーション）機能を搭載していてもよいことは当然である。

前記分析器１１のハードウエア的な内部構成は例えば図５に示す通りであってよい。アグリゲータ１２，１３のハードウエア的な内部構成も、図示したレベルの詳細さでは、分析器１１と同じ構成を有するものであってよい。

（Ａ−１−１）分析器のハードウエア構成例
図５において、当該分析器１１は、通信部２０と、制御部２１と、記憶部２２とを備えている。

このうち通信部２０は、分析器１１の通信機能を担う部分である。ハードウエア的にみた場合、前記ポートＰ１１や、ＮＩＣ（ネットワークインタフェースカード）などが当該通信部２０に属する。ＮＩＣはソフトウエア的なドライバ等と協調して動作することにより、主として、ＯＳＩ参照モデルのデータリンク層以下の通信プロトコルを処理する。ネットワーク層の通信プロトコルとして上述したＩＰプロトコルを用いる場合、データリンク層や物理層の通信プロトコルとして様々な通信プロトコルを用いることが可能である。

制御部２１は当該分析器１１のＣＰＵ（中央処理装置）に対応する部分である。不正アクセスの有無を判定するために行う、前記シグネチャなどを利用した分析処理も、当該制御部２１が実行する。前記リアルタイム性に寄与するため、必要ならば、マルチプロセッサ構成を取ってもかまわない。

記憶部２２は、前記制御部２１や通信部２０に対し、揮発性または不揮発性の記憶資源を提供する部分である。上述したシグネチャなども、当該記憶部２２内に記憶されている。

当該分析器１１のソフトウエア構成は例えば図３に示す通りであってよい。

（Ａ−１−２）分析器のソフトウエア構成例
図３において、当該分析器１１は、オペレーティングシステムＩＯ−１と、トラヒック情報受信部ＩＴ−１と、制御情報送信部ＩＣ−１と、侵入分析部ＩＡ−１と、侵入情報蓄積部ＩＤ−１とを備えている。

このうちオペレーティングシステムＩＯ−１は、当該分析器１１のＯＳである。前記ドライバなどもオペレーティングシステムＩＯ−１の一部として含まれる。

前記トラヒック情報受信部ＩＴ−１は、前記アグリゲータ１２から供給される集約結果ＡＧ１２や、アグリゲータ１３から供給される集約結果ＡＧ１３などのトラヒック情報を受信して、前記侵入分析部ＩＡ−１に供給する部分である。

侵入分析部ＩＡ−１は、当該トラヒック情報をもとに、上述した分析処理を実行して、不正アクセスの有無の判定などを実行する部分である。この分析処理に際し、侵入情報蓄積部ＩＤ−１の蓄積内容が利用される。その分析処理の結果は、制御情報送信部ＩＣ−１に供給する。

当該制御情報送信部ＩＣ−１は、侵入分析部ＩＡ−１から受け取った分析処理の結果に応じて、制御情報Ｃ１１を、アグリゲータ１２，１３などへ送信する。

侵入検知システム１０内でもＩＰプロトコルが用いられるものとすると、当該制御情報Ｃ１１も、前記集約結果ＡＧ１２と同様、ＩＰパケットに収容されて送信されることになる。

当該制御情報Ｃ１１の宛先は基本的にアグリゲータ１２および／または１３であるが、前記ファイアウオールに防御処理の実行を指示する際にも当該制御情報Ｃ１１を用いるものとするなら、前記ファイアウオールも、宛先に含まれ得る。その場合、図１に示した伝送路Ｔ１１は、当該ファイアウオールに接続されている必要がある。

前記侵入情報蓄積部ＩＤ−１は、例えば、データベースなどの形式で、前記シグネチャを蓄積している部分で、侵入分析部ＩＡ−１からの要求に応じて該当するシグネチャを返す機能を備えている。

当該侵入蓄積部ＩＤ−１のハードウエア的な裏付けは、前記記憶部２２が提供する記憶資源である。

また、オペレーティングシステムＩＯ−１、トラヒック情報受信部ＩＴ−１、制御情報送信部ＩＣ−１、侵入分析部ＩＡ−１の各プログラムも、プログラムファイルなどの形で記憶部２２に記憶されているが、その機能を発揮するときには、前記制御部２１の演算能力や、前記通信部２０のハードウエア資源が必要になる。

一方、前記アグリゲータ１２のソフトウエア構成は例えば図２に示す通りであってよい。アグリゲータ１３のソフトウエア構成もこれと同じである。

なお、アグリゲータ１２，１３のハードウエア構成は、図示したレベルの詳細さでみる限り、分析器１１を示した図５と同じであるが、図１からも明らかなように、アグリゲータ１２，１３には、それぞれ３つのポートＰＡ１２〜ＰＣ１２とＰＡ１３〜ＰＣ１３があるため、ポート数の点で、分析器１１と相違する。またアグリゲータ１２および１３では、各ポートごとに１つずつ、合計３つのＮＩＣが必要である。

（Ａ−１−３）アグリゲータのソフトウエア構成例
図２において、当該アグリゲータ１２は、オペレーティングシステムＡＯ−１と、トラヒック情報送信部ＡＴ−１と、パケット送受信部ＡＰ−１と、制御情報受信部ＡＣ−１と、トラヒック情報生成部ＡＭ−１と、バッファ蓄積部ＡＢ−１とを備えている。

このうちオペレーティングシステムＡＯ−１は、前記オペレーティングシステムＩＯ−１と対応するので、その詳しい説明は省略する。

パケット送受信部ＡＰ−１は、前記参照点ＲＥ１２から得られたパケットＤＵ１２をポートＰＢ１２で受信してトラヒック情報生成部ＡＭ−１に渡す部分である。当該バッファ蓄積部ＡＢ−１内に蓄積したパケットＤＵ１２は、当該アグリゲータ１２内または前記分析器１１内の処理が終わった後、トラヒック情報生成部ＡＭ−１がバッファ蓄積部ＡＢ−１から読み出して当該パケット送受信部ＡＰ−１に渡し、当該パケット送受信部ＡＰ−１を介して、前記ポートＰＣ１２から送信する。この送信も、当該パケット送受信部ＡＰ−１の役割である。

さらに、前記集約結果ＡＧ１２を収容したパケットを分析器１１に宛てて送信するときにも、当該パケット送受信部ＡＰ−１が機能するものであってよい。

制御情報受信部ＡＣ−１は、前記制御情報Ｃ１１を収容したパケットを受信する部分である。

トラヒック情報生成部ＡＭ−１は、上述した各処理のほか、前記集約処理を実行し、その処理結果としてトラヒック情報（すなわち、集約結果）ＡＧ１２を生成する部分である。生成した集約結果ＡＧ１２は前記パケット送受信部ＡＰ−１に渡され、当該パケット送受信部ＡＰ−１でＩＰパケットに収容されて、前記ポートＰＡ１２から送信される。

前記監視対象ネットワークでＩＰプロトコルが用いられるものとすると、前記パケットＤＵ１２，ＤＵ１３もＩＰパケットであることは当然である。

以下、上記のような構成を有する本実施形態の動作について説明する。

この動作は、参照点ＲＥ１３，ＲＥ１２の選定が、上述したパケットＤＵ１３とＤＵ１２が同じパケットとなるケースに対応し得るものである。

（Ａ−２）第１の実施形態の動作
前記参照点ＲＥ１２から得たパケットＤＵ１２は、アグリゲータ１２内の前記通信部２０および前記オペレーティングシステムＡＯ−１を介して、パケット送受信部ＡＰ−１に供給され、パケット送受信部ＡＰ−１からトラヒック情報生成部ＡＭ−１に供給される。

トラヒック情報生成部ＡＭ−１では、当該パケットＤＵ１２をバッファ蓄積部ＡＢ−１に蓄積するとともに、前記集約処理を実行する。

ここでは、一例として、前記分析処理の基礎となる情報を、前記宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号であるものとして、前記集約規則の例を説明する。

前記参照点ＲＥ１２から時系列に受信した３つのパケットＤＵ１２の宛先ＩＰアドレス（ＤＡ）、送信元ＩＰアドレス（ＳＡ）、宛先ポート番号（ＤＰ）、送信元ポート番号（ＳＰ）が、次の通りであるものとする。

DA=1.1.1.1 SA=2.2.2.2 DP=100 SP=200 …（ＤＵ１２１）
DA=1.1.1.1 SA=2.2.2.2 DP=150 SP=200 …（ＤＵ１２２）
DA=1.1.1.1 SA=2.2.2.2 DP=100 SP=1000 …（ＤＵ１２３）
ここで、当該３つのパケットＤＵ１２を区別するため、３つのパケットＤＵ１２をそれぞれ、ＤＵ１２１、ＤＵ１２２，ＤＵ１２３とする。また、「1.1.1.1」や「2.2.2.2」は、ドット表記で記述した３２ビットのＩＰｖ４アドレスである。

このトラヒックを宛先ＩＰアドレス（ＤＡ）と送信元ＩＰアドレス（ＳＡ）に基づいて集約すると、アグリゲータ１２から分析器１１に送られる１回目の集約結果ＡＧ１２は、例えば、次の内容となる。

「DA=1.1.1.1 SA=2.2.2.2のパケット数３」 …（ＡＧ１２）
これと同時に、同様の集約処理がアグリゲータ１３のほうでも行われたものとする。そして、前記参照点ＲＥ１３から時系列に受信された３つのパケットＤＵ１３を区別するため、それぞれ、ＤＵ１３１，ＤＵ１３２，ＤＵ１３３とし、これら３パケットＤＵ１３１〜ＤＵ１３３の宛先ＩＰアドレス（ＤＡ）、送信元ＩＰアドレス（ＳＡ）、宛先ポート番号（ＤＰ）、送信元ポート番号（ＳＰ）が、次の通りであるものとする。

DA=1.1.1.1 SA=2.2.2.2 DP=100 SP=200 …（ＤＵ１３１）
DA=1.1.1.1 SA=2.2.2.2 DP=170 SP=200 …（ＤＵ１３２）
DA=1.1.1.1 SA=2.2.2.2 DP=100 SP=1500 …（ＤＵ１３３）
このトラヒックを宛先ＩＰアドレス（ＤＡ）と送信元ＩＰアドレス（ＳＡ）に基づいて集約すると、アグリゲータ１３から分析器１１に送られる１回目の集約結果ＡＧ１３は、例えば、次の内容となる。

「DA=1.1.1.1 SA=2.2.2.2のパケット数３」 …（ＡＧ１３）
一般的には、ある送信元ＩＰアドレス（ここでは、2.2.2.2）からある宛先ＩＰアドレス（ここでは、1.1.1.1）へ送信されるパケットが連続して３パケット程度、検出されたことは、必ずしも異常とはいえないが、監視対象ネットワーク上の伝送帯域や、各機器（Ｗｅｂサーバなども含む）の稼働率などから、それを異常とみなすことができる場合もあり得る。また、この３が、３よりもはるかに大きな所定値を越えた値であれば、その一事をもって異常とみなすことができる場合もある。

この異常は、ある宛先ＩＰアドレスに対するトラヒックの急増、または、ある送信元ＩＰアドレスからある宛先ＩＰアドレスに対するトラヒックの急増をもって異常と認めたものである。

このようなトラヒックの急増は、攻撃対象のサーバ（例えば、Ｗｅｂサーバなど）の処理能力を越えたトラヒックを大量に送りつけることによって、そのサーバを停止させたり、再起動させたりするＤｏＳ攻撃が試みられているケースなどに発生し得る現象である。

また、近年では、感染期と攻撃期を有するワームなどがこの種の攻撃に利用され、ＤＤｏＳ攻撃が試みられることもある。この種のワームは、感染期に世界中の多数のサーバに感染した上で、攻撃期になるとその多数のサーバを踏み台にして一斉に特定のサーバに攻撃を開始するため、一斉攻撃にさらされたサーバが前記監視対象ネットワーク内に存在すると、トラヒックの著しい急増が発生する可能性がある。

ある宛先ＩＰアドレスに対するトラヒックの急増、または、ある送信元ＩＰアドレスからある宛先ＩＰアドレスに対するトラヒックの急増の程度が通常の運用ではあり得ないほど著しく、予め定めたしきい値以上に大きい場合などには、それだけを理由に、前記防御処理を指示して、その送信元ＩＰアドレスから届くパケットをファイアウオールで遮断してもかまわないとも考えられるが、ここでは、分析器１１内の侵入分析部ＩＡ−１の分析処理に基づき、当該分析器１１が前記制御情報Ｃ１１を送信して、各アグリゲータ１２，１３にさらに詳細な集約結果ＡＧ１２、ＡＧ１３の提供を求めたものとする。

前記集約結果ＡＧ１２，ＡＧ１３では、宛先ＩＰアドレスと、送信元ＩＰアドレスと、パケット数だけしか分からないからである。

いずれの通信アプリケーションが攻撃対象とされているかを特定するには、通常、前記宛先ポート番号（ＤＰ）が最も有用な情報であるので、当該制御情報Ｃ１１では、各アグリゲータ１２，１３に宛先ポート番号（ＤＰ）の提供を要求したものとする。

この制御情報Ｃ１１をポートＰＡ１２で受け取ったアグリゲータ１２は、前記バッファ蓄積部ＡＢ−１に蓄積しているパケットＤＵ１２１〜ＤＵ１２３のＴＣＰヘッダ等を検査することにより、その宛先ポート番号を得て、例えば、次のような集約結果ＡＧ１２を返送する。これは同じパケットＤＵ１２１〜ＤＵ１２３に関して得られる２回目の集約結果である。

「DA=1.1.1.1 SA=2.2.2.2 DP=100 のパケット数２」 …（ＡＧ１２）
制御情報Ｃ１１をポートＰＡ１３で受け取ったアグリゲータ１３でも、これと同様な処理が行われ、例えば、次のような集約結果ＡＧ１２を分析器１１へ返送する。これも、同じパケットＤＵ１３１〜ＤＵ１３３に関して得られる２回目の集約結果である。

「DA=1.1.1.1 SA=2.2.2.2 DP=100 のパケット数２」 …（ＡＧ１３）
これら２回目の集約結果ＡＧ１２，ＡＧ１３を受け取った分析器１１では、宛先ポート番号の値（この例では、100）から、攻撃対象となっている通信アプリケーションを特定することができる。

実際にこのような値の宛先ポート番号に対応する通信アプリケーションが監視対象ネットワーク内で稼動しているか否か、あるいは、その値の宛先ポート番号がいずれの通信アプリケーションに対応するものであるか等を示す情報は、侵入情報蓄積部ＩＤ−１や、侵入分析部ＩＡ−１に予め登録しておくことができるため、侵入分析部ＩＡ−１は、その情報を検査することにより、そのパケットが不正アクセスのためのものであるか否か、あるいは、不正アクセスのためのものであるとした場合、不正アクセスの対象となっているのはいずれの通信アプリケーションであるか等の分析を行うことができる。

前記１回目の集約結果ＡＧ１２，ＡＧ１３を用いた分析処理や、２回目の集約結果ＡＧ１２，ＡＧ１３を用いた分析処理の結果として、前記パケットＤＵ１２１〜ＤＵ１２３、パケットＤＵ１３１〜ＤＵ１３３が不正アクセスと関係していることが判明した場合には、そのパケットを攻撃の対象となっているサーバなどへ中継する必要はないので、その旨の制御情報Ｃ１１を送って各アグリゲータ１２，１３内で廃棄させるようにするとよい。

なお、前記１回目の集約結果ＡＧ１２，ＡＧ１３を用いた分析処理の結果、前記パケットＤＵ１２１〜ＤＵ１２３およびパケットＤＵ１３１〜ＤＵ１３３が不正アクセスと関係ないことが判明した場合には、分析器１１は前記制御情報Ｃ１１を送信して各アグリゲータ１２，１３に、速やかに前記パケットＤＵ１２１〜ＤＵ１２３およびＤＵ１３１〜ＤＵ１３３を各ポートＰＣ１２，ＰＣ１３から送信させる。この送信が遅れれば、例えば上述したＩＰ電話の音声通話など、リアルタイム性が重要な通信アプリケーションの通信品質を劣化させる可能性が高いからである。

この点は、前記２回目の集約結果ＡＧ１２，ＡＧ１３を用いた分析処理の結果、前記パケットＤＵ１２１〜ＤＵ１２３およびパケットＤＵ１３１〜ＤＵ１３３が不正アクセスと関係ないことが判明した場合についても同様である。

（Ａ−３）第１の実施形態の効果
本実施形態によれば、複数の参照点（例えば、ＲＥ１２，ＲＥ１３）を持つ侵入検知システムで、不正アクセスの有無を検知するための負荷を軽減でき、処理（不正アクセスの有無の判定や、前記防御処理の実行などの各処理）のリアルタイム性を高めることが可能である。

（Ｂ）第２の実施形態
以下では、本実施形態が第１の実施形態と相違する点についてのみ説明する。

本実施形態では、アグリゲータ自体が、ある程度の分析処理を実行し、その分析処理の結果、不正アクセスの可能性があると判定したパケットに関する情報のみを集約して、その集約結果を分析器に届けることを特徴とする。

これにより、すべてのパケットに関する集約結果を届ける第１の実施形態に比べ、分析器にかかる負荷は大幅に軽減できる。

本実施形態のアグリゲータが実行する分析処理（簡略分析処理）は、明らかに不正アクセスと無関係なパケットを排除できるものであればよいので、第１の実施形態の分析器１１が実行する分析処理に比べてはるかに簡単な処理で足りる。第１の実施形態の分析器１１が実行する分析処理のなかの一部の処理、または前処理を、当該簡略分析処理とすることも可能である。

（Ｂ−１）第２の実施形態の構成および動作
本実施形態と第１の実施形態の相違は、実質的に、アグリゲータの内部構成（ソフトウエア構成）に関する点に限られる。

本実施形態のアグリゲータ１２Ａ，１３Ａのソフトウエア構成例を図４に示す。ここで、アグリゲータ１２Ａは前記アグリゲータ１２に対応し、アグリゲータ１３Ａは前記アグリゲータ１３に対応するものである。したがって、アグリゲータ１２Ａと１３Ａの内部構成は同じであるが、ここでは主として、図４にはアグリゲータ１２Ａを示したものとして説明を進める。

図４において、当該アグリゲータ１２Ａは、オペレーティングシステムＡＯ−１と、トラヒック情報送信部ＡＴ−１と、パケット送受信部ＡＰ−１と、制御情報受信部ＡＣ−１と、制御分析部ＡＭ−１と、バッファ蓄積部ＡＢ−１とを備えている。

ここで、図２と同じ符号ＡＯ−１、ＡＴ−１、ＡＰ−１、ＡＣ−１、ＡＢ−１を付与した各構成要素の機能は第１の実施形態と同じであるので、その詳しい説明は省略する。

本実施形態のアグリゲータ１２Ａが備える制御分析部ＡＡ−１は、第１の実施形態のトラヒック情報生成部ＡＭ−１が持っていた機能（集約処理を実行する機能など）に加えて、上述した簡略分析処理を実行する機能を有する。

当該制御分析部ＡＡ−１は、時系列に受信されたパケットＤＵ１２のなかから、簡略分析処理によって明らかに不正アクセスと無関係なパケットを排除し、排除されなかったパケットに対して前記集約処理を実行する。

この集約処理の結果である集約結果ＡＧ１２を分析器１１に届ける点や、分析器１１から供給され得る制御情報Ｃ１１に応じた処理（例えば、さらに詳細な情報（前記宛先ポート番号など）を届けること等）を実行する点は、第１の実施形態と同じである。

ただし本実施形態では、簡略分析処理により明らかに不正アクセスと無関係なパケットは排除され、不正アクセスと関係のあるパケットや、不正アクセスと関係がある可能性の残るパケットのみを集約処理の対象とするため、集約結果ＡＧ１２が分析器１１に届けられる頻度は第１の実施形態より低下し、分析器１１の処理能力にかかる負荷はいっそう軽減される。

なお、当該簡略分析処理の内容によっては、分析器１１で行う分析処理にさらに詳細な情報が必要であるか否かの判定も、当該簡略分析処理のなかで行うことができる可能性がある。その場合には、第１の実施形態で分析器１１から制御情報Ｃ１１を受信することによってアグリゲータ１２から詳細な情報（宛先ポート番号など）を含む２回目の集約結果ＡＧ１２を届けていたところを、本実施形態のアグリゲータ１２Ａでは、最初に送信する１回目の集約情報ＡＧ１２のなかに詳細な情報を含めることができる。

これにより、アグリゲータ１２Ａと分析器１１のあいだで前記制御情報Ｃ１１や集約結果ＡＧ１２（第１の実施形態における２回目の集約結果ＡＧ１２など）を用いて実行される通信の頻度を低減することもできる。これは、分析器１１の処理能力やアグリゲータ１２Ａ自体の処理能力にかかる負荷を低減することに寄与し、さらなるリアルタイム性の向上を可能とする。

なお、当該簡略分析処理の内容を、第１の実施形態の分析器１１で行う分析処理の一部とした場合などには、その部分に関し、本実施形態の分析器１１の分析処理で重ねて処理する必要はないから、第１の実施形態の分析器１１で行う分析処理に比べると、本実施形態の分析器１１で行う分析処理のほうが簡略なものとすることができる。

（Ｂ−２）第２の実施形態の効果
本実施形態によれば、第１の実施形態の効果とほぼ同等な効果を得ることができる。

加えて、本実施形態では、少なくとも分析器（１１）の処理能力にかかる負荷を第１の実施形態よりも軽減することが可能で、処理のリアルタイム性をさらに高めることができる。

（Ｃ）他の実施形態
上記第１および第２の実施形態にかかわらず、アグリゲータの数は３つ以上であってもよいことは当然である。

また、上記第１および第２の実施形態にかかわらず、ＩＰアドレスやポート番号の値が上述したものと相違してもよいことは当然である。特に宛先ポート番号の値は、通常、ＩＣＡＮＮが管理するウエルノウンポート番号が使用されるため、実際には、上述したような値が使用されることは希である。

すなわち、上記第１の実施形態の動作では、宛先ポート番号として１００番や１５０番を例示しているが、パケットＤＵ１２，ＤＵ１３が例えばＷｅｂサーバへアクセスするためのパケットである場合、宛先ポート番号としては通常、８０番（ＨＴＴＰのウエルノウンポート番号）が使用されることは当然である。

なお、上記第１および第２の実施形態にかかわらず、監視対象ネットワーク側の伝送路や前記伝送路Ｔ１３が同軸ケーブル、無線伝送路、または、ハブに直接接続された伝送路である場合などには、アグリゲータ１２が参照点ＲＥ１２からパケットＤＵ１２を受信するのとほぼ同時に、同じパケットＤＵ１２が宛先まで届く接続関係とすることも可能である。そのような接続関係とする場合には、伝送路Ｔ１２自体を省略できる可能性がある。

この場合、上述した通信品質の観点から分析器１１などにリアルタイム性が求められることはなくなるが、分析器１１などの処理が遅れて、前記防御処理を実行するタイミングが遅れれば、不正アクセスの進行を許してしまうことになるので、やはり、処理は速く進めるほうが好ましい。

また、本発明は、侵入検知システム自体の負荷を軽減するためにサーバ負荷分散装置と併用することが可能である。本発明の侵入検知システム（１０）を複数用意し、前記サーバ負荷分散装置で各侵入検知システムにパケットを振り分けるようにすれば、いっそうの負荷軽減、およびリアルタイム性の向上を期待することができる。

さらに、上記第１および第２の実施形態にかかわらず、分析器とアグリゲータのあいだに第３のノードが介在してもかまわない。例えば、前記簡略分析処理を実行する機能はアグリゲータ１２Ａ、１３Ａではなく、この第３のノードが搭載するようにしてもよい。

１つの侵入検知システム内において、アグリゲータの数が３つ以上である場合など、この第３のノードは、複数存在してもかまわない。

本発明は、上記第１および第２の実施形態で例示した以外の通信プロトコルに適用することも可能である。例えば、ＯＳＩ参照モデルのネットワーク層の通信プロトコルとして、上述したＩＰプロトコルのかわりにＩＰＸプロトコルなどを使用することもできる。

なお、以上の説明では、本発明をいわゆるネットワーク型の侵入検知システムに適用したが、本発明は、ホスト型の侵入検知システムにも適用できる可能性がある。

ネットワーク型の侵入検知システムは、上述したように機器間に設けられた伝送路から得たパケットをもとに侵入検知を行うのに対し、ホスト型の侵入検知システムでは、１つのホスト（１台のサーバマシン）の内部で得られる情報（例えば、ログファイルの内容など）をもとに侵入検知を行う。

ただし１つのサーバマシンの内部でも、複数の情報が伝送される複数の伝送路を想定することができる場合や、複数の情報の集合に基づいて侵入を検知する場合などには、本発明を適用することが可能である。

以上の説明でソフトウエア的に実現した機能のほとんど全てはハードウエア的に実現することが可能である。また、以上の説明でハードウエア的に実現した機能の大部分は、ソフトウエア的に実現することも可能である。

第１の実施形態にかかる侵入検知システムの全体構成例を示す概略図である。 第１の実施形態にかかる侵入検知システムで使用するアグリゲータのソフトウエア構成例を示す概略図である。 第１の実施形態にかかる侵入検知システムで使用する分析器のソフトウエア構成例を示す概略図である。 第２の実施形態にかかる侵入検知システムで使用するアグリゲータのソフトウエア構成例を示す概略図である。 第１および第２の実施形態にかかる侵入検知システムで使用する分析器およびアグリゲータのハードウエア構成例を示す概略図である。

符号の説明

１０…侵入検知システム、１１…分析器、１２，１３…アグリゲータ、２０…通信部、２１…制御部、２２…記憶部、ＩＯ−１、ＡＯ−１…オペレーティングシステム、ＩＴ−１…トラヒック情報受信部、ＩＣ−１…制御情報送信部、ＩＡ−１…侵入分析部、ＩＤ−１…侵入情報蓄積部、ＡＴ１…トラヒック情報送信部、ＡＰ−１…パケット送受信部、ＡＣ−１…制御情報受信部、ＡＭ−１…トラヒック情報生成部、ＡＢ−１…バッファ蓄積部、ＡＧ１２，ＡＧ１３…集約結果（トラヒック情報）、Ｃ１１…制御情報、ＲＥ１２、ＲＥ１３…参照点。

Claims (6)

1. 通信の単位となる単位データをもとに、当該単位データを利用して行われる所定の通信システム内への不正アクセスを検知する侵入検知システムにおいて、
   前記通信システム内に設定された複数の参照点ごとに配置され、各参照点から得られた前記単位データまたは当該単位データから抽出された情報を、所定の集約処理を施して集約するトラヒック集約部と、
   各トラヒック集約部から、その集約結果を受け取り、受け取った集約結果をもとに所定の分析処理を行って前記不正アクセスの有無を検知する不正アクセス検知部とを備えたことを特徴とする侵入検知システム。
2. 請求項１の侵入検知システムにおいて、
   前記不正アクセス検知部は、
   前記不正アクセスの有無を判定するまでには至らなかったものの、不正アクセスの蓋然性が高いと判定した単位データに関しては、その単位データまたは当該単位データから抽出された情報の集約要求をトラヒック集約部に送る集約要求部を備え、
   前記トラヒック集約部は、
   当該集約要求に応じて、前記集約処理を実行し、その集約結果を前記不正アクセス検知部へ送ることを特徴とする侵入検知システム。
3. 請求項１の侵入検知システムにおいて、
   前記トラヒック集約部は、
   前記参照点から得られた単位データが不正アクセスに関係するか否かを予測するための予測処理部を備え、
   当該予測処理部によって不正アクセスとの関係が予測された単位データまたは当該単位データから抽出された情報を、前記集約処理で集約して、その集約結果を前記不正アクセス検知部へ届けることを特徴とする侵入検知システム。
4. 通信の単位となる単位データをもとに、当該単位データを利用して行われる所定の通信システム内への不正アクセスを検知する侵入検知システムの構成要素としてのトラヒック集約装置において、
   前記通信システム内に設定された複数の参照点のうち該当する参照点から得られた前記単位データまたは当該単位データから抽出された情報を、所定の集約処理を施して集約するトラヒック集約部を備え、
   当該トラヒック集約部の集約結果を、前記不正アクセスの有無を検知する不正アクセス検知部に届けることを特徴とするトラヒック集約装置。
5. 請求項４のトラヒック集約装置において、
   前記不正アクセスの有無を判定するまでには至らなかったものの、不正アクセスの蓋然性が高いと判定した単位データに関して、前記不正アクセス検知部から集約要求が送られてくると、当該集約要求に応じて、その単位データまたは当該単位データから抽出された情報に対する前記集約処理を実行し、その集約結果を前記不正アクセス検知部へ送ることを特徴とするトラヒック集約装置。
6. 請求項４のトラヒック集約装置において、
   前記参照点から得られた単位データが不正アクセスに関係するか否かを予測するための予測処理部を備え、
   当該予測処理部によって不正アクセスとの関係が予測された単位データまたは当該単位データから抽出された情報を、前記集約処理で集約して、その集約結果を前記不正アクセス検知部へ届けることを特徴とするトラヒック集約装置。

Images