JP2005128919A

JP2005128919A - ネットワークセキュリティーシステム

Info

Publication number: JP2005128919A
Application number: JP2003365820A
Authority: JP
Inventors: Noriaki Kadota; 憲明門田
Original assignee: NEC Fielding Ltd
Current assignee: NEC Fielding Ltd
Priority date: 2003-10-27
Filing date: 2003-10-27
Publication date: 2005-05-19

Abstract

【課題】不正侵入が検知された後の対策が行われるようにする。
【解決手段】監視端末２０が、インターネット１００に接続された依頼者側システム１に対するアクセスのログを記録し、記録しているログを解析することで依頼者システム１に対する不正アクセスを検出し、記録したログとともに不正アクセスの検出をセンター端末４０に通知し、センター端末４０では、受け付けたログの情報より、検出された不正アクセスのアクセス元である不正侵入者端末７０を特定し、この情報を、記録装置５０に記録されている管理データ情報に基づいて、依頼者システム１の利用者に通知する。
【選択図】図１

Description

本発明は、現状のインターネット接続時のセキュリティー確保に加え、使用者がインターネットを介し、部外者侵入を検知して管理者に通知することを可能とし、さらにインターネットサービスプロバイダーとの連携により部外者侵入の逆探知を行うネットワークセキュリティーシステムに関するものである。

外部通信ネットワークであるインターネットと企業などの内部のローカルエリアネットワーク（ＬＡＮ）とを接続する場合、一般には、外部であるインターネット側からＬＡＮの内部への不正な侵入を防ぐシステムが用いられる。このような、異なるネットワーク同士が接続されている場合の不正侵入阻止技術として、２つのネットワークを統合し、保護対象のネットワークの通信プロトコルの監視データを暗号化して他方のネットワークの通信プロトコルに変換して送出し、他方のネットワークの通信プロトコルの暗号化制御データを復号化して保護対象のネットワークに創出する技術が提案されている（特許文献１参照）。

また、インターネット接続におけるセキュリティーを高めるために、定期的に接続している回線を自動で切断／再接続を行うことで、割り当てられているＩＰアドレスを強制的に変更する技術が提案されている（特許文献２参照）
また、ルータを通過する外部ネットワークから流入するトラフィックを監視し、不正トラフィックを検出すると、ルータ宛に不正パケットの識別情報を通知し、一方で、不正パケットの送出元に偽の応答をする技術が提案されている（特許文献３参照）。

なお、出願人は、本明細書に記載した先行技術文献情報で特定される先行技術文献以外には、本発明に関連する先行技術文献を出願時までに発見するには至らなかった。
特開２００１−２９２１７６号公報特開２００１−３４５８０２号公報特開２０００−２６１４８３号公報

しかしながら従来の不正な侵入を防ぐシステムでは、不正侵入の検知はなされていたが、不正侵入が検知された後の対策は行っていなく、不正侵入のための対策が不十分であった。
本発明は、以上のような問題点を解消するためになされたものであり、不正侵入が検知された後の対策が行われるようにすることを目的とする。

本発明に係るネットワークセキュリティーシステムは、インターネットに接続された監視対象のネットワークシステムに対するインターネットを介したアクセスのログを記録し、記録しているログを解析することでネットワークシステムに対するインターネットを介した不正アクセスを検出し、記録したログとともに不正アクセスの検出を通知する監視端末と、この監視端末より通知を受け付け、受け付けたログの情報より、検出された不正アクセスのアクセス元を特定し、特定したアクセス元の情報を、記録装置に記録されている管理データ情報に基づいて、ネットワークシステムの利用者に通知するセンター端末とを少なくとも備えたものである。

上記システムにおいて、管理データ情報は、ネットワークシステムに対するアクセスの可否を識別するための利用者により指定された情報を含むものである。また、センター端末は、不正アクセスを受けたネットワークシステムの更新のための更新情報を利用者に通知する。

以上説明したように、本発明によれば、まず、ネットワークシステムの利用者（依頼者）は、不正アクセスに対して自ら作業する必要がなくなり、対策にかかる部分を他の作業に振り向けることができ、運用管理面の負担が減らせるという大きな効果がある。また、ネットワークシステムを構成する機器に対して、最新の侵入対策を施すことができる。最新の侵入対策情報を入手することは、管理者にとっては大きな負担であり、専任の管理者を設けることができない場合や、管理者として少数の人員しか配置できないような企業にとって、大きな負担が派生することなく最新の侵入対策が適用できるという大きな効果が得られる。また、本発明によれば、不正アクセスの元が特定されるので、インターネットにおける公共的な秩序の維持に役立つようになる。

以下、本発明の実施の形態について図を参照して説明する。
図１は、本発明の実施の形態におけるネットワークセキュリティーシステムの構成例を示す構成図である。図１は、インターネット１００に依頼者側システム（監視対象のネットワークシステム）１が接続し、インターネット１００にインターネットサービスプロバイダー６０を介して不正侵入者側端末７０が接続し、また集中管理センター２がインターネット１００に接続している例について示している。

依頼者側システム１は、内部のＬＡＮによって接続された外部侵入抑止装置１０，監視端末２０，及び内部装置３０を備えている。外部侵入抑止装置１０は、ファイアオール装置などのネットワークに接続される情報処理装置であり、外部からの依頼者側システム２内のＬＡＮへのアクセスを制限する装置である。監視端末２０は、集中管理センター２から送出されて受け付けた管理データ情報をもとにログを採取・解析する。監視端末２０は、解析により不正アクセスを検出すると、外部侵入抑止装置１０を制御して外部からのアクセスを制限し、また、不正アクセスの検出を集中管理センター２にインターネット１００を経由して通報する。

集中管理センター２は、センター端末４０と記憶装置５０とを備え、上記管理データ情報は、集中管理センター２の記憶装置５０に記録されいる。センター端末４０は、監視サービス提供者により管理されるワークステーションやサーバー等の情報処理装置である。管理データ情報は、正式なユーザと不正外部ユーザを識別するユーザ登録情報、外部に提供しているサービスと使用していないサービスとの情報であるサービス内容情報などの基本的な情報が含まれている。管理データ情報は、例えば、依頼者側システムを運営する依頼者と、集中管理センター２を運営する監視サービスの提供者との間の協議を元に作成される。

また、集中管理センター２において、監視端末２０からの通知は、センター端末４０で受け付けられ、監視端末２０に対する管理データ情報の送出は、センター端末４０により行われる。また、監視端末２０からの通知を受け付けたセンター端末４０は、記憶装置１０に記録されている管理データ情報に基づき、不正侵入者側端末７０の特定を行い、これらの状況を依頼者側システム１に通知し、必要に応じ、検出された不正侵入者側端末７０が接続しているインターネットサービスプロバイダー６０に、不正侵入者側端末７０側への必要な処置を要求する。

なお、管理センター端末４０は、ユーザ登録情報，サービス内容情報，サービス提供情報を受け付けてこれらを記憶装置５０に登録（記録）し、これらを元に依頼者に専用の監視サービスを行うための管理データ情報を生成する。

次に、図１に示したシステムの動作例について、図２，３のフローチャートを用いてより詳細に説明する。
まず、依頼者の操作により、外部アクセスユーザ登録情報、内部アクセスユーザ登録情報、外部アクセス提供サービス情報、外部アクセス遮断サービス情報が監視端末２０に登録される（ステップＡ１）。各アクセスユーザ登録情報は、依頼者側システム１にアクセスすることができる正式なユーザと、アクセスが許可されていない不正外部ユーザとを区別するための情報である。また、外部アクセス提供サービス情報は、外部に提供しているサービスを特定するための情報である。また、外部アクセス遮断サービス情報は、外部への提供が禁止されているサービスを特定するための情報である。

また、依頼者の操作により、監視端末２０に対し、提供された監視サービスメニューのいずれかが選択される（ステップＡ２）。監視サービスメニューには、「不正侵入検知」，「不正侵入遮断」，「情報解析」，「逆探知」がある。
これらの情報の登録と監視サービスメニューの選択がされた監視端末２０は、登録された情報と選択されたメニュー情報とを暗号化し（ステップＡ３）、暗号化したデータをセンター端末４０に送付（送出）する（ステップＡ４）。送付の経路は、インターネット１００を経由しても良く、また、依頼者の希望する経路を用いるようにしてもよい。

暗号化されたデータを受信したセンター端末４０は、受信したデータを復号化し（ステップＡ５）、記憶装置１０に登録（記録）する（ステップＡ６）。センター端末４０は、復号化したデータの中の監視サービスメニューの項目に従って、依頼者線用の管理データ情報を作成し（ステップＡ７）、記憶装置１０に記録するとともに、作成した管理データを暗号化し（ステップＡ８）、暗号化した管理データを監視端末２０に送出する（ステップＡ９）。

次に、暗号化された管理データ情報を受け取った監視端末２０は、受け取ったデータを復号化し（ステップＡ１０）、復号化した管理データ情報を自身が備えている記録部（図示せず）に記録する（ステップＡ１１）。また、監視端末２０は、受け取って復号化した管理データ情報をもとに、監視を開始し（ステップＡ１２）、ログの採取を開始する（ステップＡ１３）。
ログを採取している中で、管理データ情報に応じて採取したログを解析し、不正侵入を検知した場合（ステップＡ１４）、監視端末２０の制御により、外部侵入抑止装置１０が外部アクセスを遮断する（ステップＡ１５）。

例えば、外部提供サービス以外の接続要求を受け付けた場合、監視端末２０は、ユーザＩＤ情報を参照し、ダイヤルアップ接続（ＤｉａｌＵｐ）の要求、またはインターネット１００経由によるバーチャルプライベートネットワーク（ＶＰＮ）接続の要求かを判別する。ユーザＩＤ情報に一致した場合、接続を許可する。

このなかで、監視端末２０に登録されている外部アクセス提供サービス情報以外の外部アクセス遮断サービス情報に登録されているサービスの要求を外部より受け付けた場合、この要求を不正侵入と判別する。
このように、不正なアクセスを発見した場合、監視端末２０は、外部からのアクセスを遮断するように外部侵入抑止装置１０に指示を出す。例えば、監視端末２０は、外部侵入抑止装置１０を制御し、不正侵入のあった箇所（ポート）をインターネット１００から切り離す。

外部侵入抑止装置１０が外部アクセスを遮断した後、監視端末２０は、不正侵入されたサービスを提供している機器（内部装置３０）を解析する（ステップＡ１６）。次に、監視端末２０は、不正侵入の情報が記録されているログと、不正侵入された内部装置３０の情報（不正侵入に対する処置状態を含む）とを暗号化し（ステップＡ１７）、暗号化したデータをインターネット１００を経由してセンター端末４０に送出する（ステップＡ１８）。このとき、監視端末２０は、不正侵入の発生を示す情報も暗号化してセンター端末４０に送出する。

以上のことにより暗号化されたデータを受け付けたセンター端末４０は、受け付けたデータを復号化し（ステップＡ１９）、復号化することで得られたログの情報を解析する（ステップＡ２０）。センター端末４０は、復号化した情報を記憶装置１０に記録し（ステップＡ２１）、この後、得られたログをもとに不正侵入元である不正侵入者側端末７０７０のアクセスポイントを特定する（ステップＡ２２）。

不正侵入元のアクセスポイントを特定したセンター端末４０は、特定したアクセスポイントを、集中管理センター２の管理者及び依頼者側システム１の使用者である依頼者側に通知する（ステップＡ２３，Ａ２４）。
次に、センター端末４０は、インターネットサービスプロバイダー６０を特定し（ステップＡ２５）、インターネットサービスプロバイダー６０の側に対し、不正侵入者の接続の切断を要求する（ステップＡ２６）。

なお、前述した通知は、次のようにすることで行える。例えば、センター端末４０は、依頼者側システム１に対し、不正侵入の発生とこれに対してなされた処置内容とを含む電子メールを送出する。また、上記通知は、電話やファクシミリ通信などを利用し、集中管理センター２の運営者が、依頼者側システム２の運営者に対して行うようにしてもよい。また、上記通知は、例えば、センター端末４０の図示しない表示部、及び監視端末２０の図示しない表示部に、通知の内容を表示することで行える。なお、センター端末４０は、外部侵入抑止装置１０や不正侵入の対象となった内部装置３０に対する処置状態を解析し、必要な処置情報を依頼者に通知する。

上述した一連の処理を行った後、センター端末４０は、依頼者側システム１に対する不正侵入の状態を確認し（ステップＡ２７）、侵入状態が解決している場合（ステップＡ２８）、監視サービスを復旧する旨の通知を作成する（ステップＡ２９）。
また、センター端末４０は、不正侵入された内部装置３０に更新処理が必要な場合（ステップＡ３０）、更新処理を行うための更新データを構成し（ステップＡ３１）、上述した通知に構成した更新データを合わせ、これらを暗号化する（ステップＡ３２）。暗号化したら、センター端末４０は、暗号化したデータを監視端末２０に送付する（ステップＡ３３）。

以上のことにより、暗号化されたデータを受け付けた監視端末２０は、受け付けたデータを復号化し（ステップＡ３４）、復号化して得られたサービス復旧処理通知に示されている指示に従い、停止していたサービスを復旧し（ステップＡ３５）、監視状態を再開する（ステップＡ３６）。
また、図３（ａ）に示すように、内部装置３０は、監視端末からの更新が必要である旨の指示を受け付けると、更新に必要な情報を受信し、更新処理を実施してからサービス提供を普及させる。同様に、図３（ｂ）に示すように、外部侵入抑止装置１０は、監視端末からの更新が必要である旨の指示を受け付けると、更新に必要な情報を受信し、更新処理を実施してからサービス提供を普及させる。

本発明の実施の形態におけるネットワークセキュリティーシステムの構成例を示す構成図である。図１のネットワークセキュリティーシステムの動作例を示すフローチャートである。図１のネットワークセキュリティーシステムの一部構成における動作例を示すフローチャートである。

符号の説明

１…依頼者側システム、２…集中管理センター、１０…外部侵入抑止装置、２０…監視端末、３０…内部装置、４０…センター端末、５０…記憶装置、６０…インターネットサービスプロバイダー、７０…不正侵入者側端末、１００…インターネット。

Claims

インターネットに接続された監視対象のネットワークシステムに対するインターネットを介したアクセスのログを記録し、記録している前記ログを解析することで前記ネットワークシステムに対する前記インターネットを介した不正アクセスを検出し、記録したログとともに前記不正アクセスの検出を通知する監視端末と、
この監視端末より通知を受けつけ、受け付けた前記ログの情報より、検出された不正アクセスのアクセス元を特定し、特定したアクセス元の情報を、記録装置に記録されている管理データ情報に基づいて、前記ネットワークシステムの利用者に通知するセンター端末と
を少なくとも備えたことを特徴とするネットワークセキュリティーシステム。
請求項１記載のネットワークセキュリティーシステムにおいて、
前記管理データ情報は、前記ネットワークシステムに対するアクセスの可否を識別するための前記利用者により指定された情報を含む
ことを特徴とするネットワークセキュリティーシステム。
請求項１又は２記載のネットワークセキュリティーシステムにおいて、
前記センター端末は、前記不正アクセスを受けた前記ネットワークシステムの更新のための更新情報を前記利用者に通知する
ことを特徴とするネットワークセキュリティーシステム。