JP2005128933A - 情報処理装置、不正侵入検出方法及び不正侵入検出プログラム - Google Patents

Abstract

【課題】 通信データの監視では検出不能な不正侵入をより効果的に防止する。
【解決手段】 情報処理装置１０は、通信部１１と、被侵入プログラム１７と、被侵入プログラム１７からアクセスが可能なシェル１２と、シェル１２への入力手段、シェル１２からの出力手段及びシェル１２を起動したプログラムに関する情報を含む不正侵入検出用情報をシェル１２の起動時に取得する不正侵入検出用情報取得部１３と、不正侵入検出用情報と不正侵入の可能性との関係を規定する検出ルールに基づき、不正侵入検出用情報取得部１３により取得される不正侵入検出用情報から、情報処理装置１０に不正侵入のおそれがあることを検出する検出部１４と、不正侵入のおそれがあることが検出された場合に、シェル１２の操作を受け入れ禁止とする制御等を行う制御部１５とを含んで構成される。
【選択図】 図１

Description

本発明は、他のプログラムから起動可能なプログラムを備える情報処理装置、当該情報処理装置における不正侵入検出方法、及び不正侵入検出プログラムに関する。

インターネット等の通信システムにおいては、不正侵入による遠隔操作、データの破壊及び改ざん及び窃取、並びに計算機資源の不当な利用等の攻撃の脅威が常に存在する。

上記の攻撃の手段として多く用いられているものに、バッファオーバーフローと呼ばれるセキュリティホールを利用したものがある。即ち、プログラムが予期しないデータを扱うときに、メモリ上のプログラムが壊れたり、メモリ上のデータ構造が破壊されるというプログラムの欠陥を利用し外部から攻撃プログラムを侵入させ、侵入させたプログラムに制御を移すことによって攻撃者の意図する動作を行わせるという攻撃である。このように、攻撃プログラムの侵入を受けるプログラムを以下「被侵入プログラム」と呼ぶ。

このような攻撃においては、被侵入プログラムの欠陥を突いて攻撃プログラムを受け入れさせる第１段階と、第１段階で受け入れさせた攻撃プログラムに制御を移す第２段階とがある。

上記第１段階においては、何度もくり返し試行することが必要な場合が多いため、送り込む攻撃プログラムは小さい方が被攻撃装置に送り込むのに適している。その一方、上記第２段階においては、様々な機能を持たせるほど多様な攻撃が可能となるため、送り込む攻撃プログラムは大きい方が攻撃に適している。

上記のジレンマを解決する手段として、被攻撃装置に既に備わっているプログラムを上記攻撃の手段として利用するものがある。既に備わっているプログラムを上記攻撃の手段として利用すれば、様々な機能を持たせた攻撃プログラムを送り込む必要がなくなる。上記攻撃の手段として利用されるプログラム（以下、「被利用プログラム」と呼ぶ）としては、様々な指示を受け入れて実行する能力があるものが攻撃者にとって都合がよい。上記の性質を有するプログラムとして、例えば、プラットフォームに通常は少数備わっているシェルがある。このようなシェルの例としては、ＵＮＩＸ（商標）においては/bin/sh、Microsoft Windows（登録商標）においてはcmd.exeが挙げられる。

被攻撃装置に既に備わっている被利用プログラムを攻撃の手段として利用するには以下の手順をとる。それには、まず、被利用プログラムにアクセス可能な被侵入プログラムが被攻撃装置に備わっている必要がある。但し、当該アクセスは、通常の使用では行われないような、当該被侵入プログラムの設計者が意図しないものである。

攻撃者は、攻撃の前段階として、上記の被侵入プログラムの欠陥を突き、当該被侵入プログラムの制御を奪取する。続いて、制御を奪取した被侵入プログラムから、被利用プログラムにアクセスし、攻撃を行うよう操作を行う。上記の方法により、攻撃するものの例として、MSBlast（コンピュータウィルス）がある。

従来、上記のような攻撃を検出する技術として、ＩＤＳ（Intrusion Detection System）がある。ＩＤＳは、既知の不正侵入に関する通信データをデータベース化し保持しておき、情報処理装置が受信する通信データを監視し、当該データと不正侵入のデータとを比較することで、不正侵入を検出する（下記の特許文献１参照）。
特開２００１−３４５５３号公報

しかしながら、従来技術では、通信データに関して既知の不正侵入行為についてしか不正侵入を検出することができないという問題点があった。また、不正侵入行為に該当する通信パターンを随時アップデートしなければならないという点で、不正侵入の防止に多大な労力が必要となっていた。

本発明は、上記課題を解決するためになされたものであり、通信データの監視では検出不能な不正侵入をより効果的に防止することができる情報処理装置、不正侵入検出方法及び不正侵入検出プログラムを提供することを目的とする。

上記目的を達成するために、本発明に係る情報処理装置は、他のプログラムから起動可能なプログラムを備える情報処理装置であって、上記他のプログラムが上記プログラムを起動したときに、上記プログラムへの入力手段、上記プログラムからの出力手段、及び上記プログラムを起動した他のプログラムのうち少なくとも１つに関する情報を含む不正侵入検出用情報を取得する不正侵入検出用情報取得手段と、上記プログラムへの入力手段、上記プログラムからの出力手段、及び上記プログラムを起動した他のプログラムに関する情報と不正侵入の可能性との関係を規定する検出ルールに基づき、上記不正侵入検出用情報取得手段により取得される不正侵入検出用情報から、上記情報処理装置に不正侵入のおそれがあることを検出する検出手段とを備えることを特徴とする。

なお、上記不正侵入検出用情報取得手段及び検出手段は、上記プログラムと一体になっていてもよいし、別構成になっていてもよい。また、本発明の構成要素である情報処理装置に備えられるプログラムは、上述の被利用プログラムとなりえるプログラムとする。被利用プログラムとなりえるプログラムは、様々な指示を受け入れて実行する能力がある、例えばシェルなどの特定のプログラムである。また、他のプログラムは、上述の被侵入プログラムを想定したものである。

本発明に係る情報処理装置では、上記プログラムの起動時に、不正侵入検出用情報取得手段が、当該プログラムへの入力手段、当該プログラムからの出力手段及び当該プログラムを起動した他のプログラムに関する情報を含む不正侵入検出用情報を取得する。

続いて、検出手段が、上記プログラムへの入力手段、上記プログラムからの出力手段、及び上記プログラムを起動した他のプログラムに関する情報と不正侵入の可能性との関係を規定する検出ルールに基づき、上記不正侵入検出用情報取得手段により取得された不正侵入検出用情報から、上記情報処理装置に不正侵入のおそれがあることを検出する。なお、上記検出ルールは、検出手段が特定のファイルを参照すること、あるいは別のプログラムに問い合わせること等により取得される。また、上記検出ルールは、上記プログラムに内蔵されていてもよい。

上記により、本発明に係る情報処理装置は、特定のプログラムの起動に対してのみ監視を行い、不正侵入のおそれがあることを検出するので、通信データの監視では検出不能な不正侵入をより効果的に防止することができる。更に、当該検出に用いるルールは特定のプログラムの起動に関するものであり、侵入のパターンのようにデータの中身に関するものではないため、随時のアップデートを必要せず、その点において、より効率的である。

また、より具体的には、本発明に係る情報処理装置は、他のプログラムから起動可能なプログラムを備える情報処理装置であって、上記他のプログラムが上記プログラムを起動したときに、上記プログラムへの入力手段、及び上記プログラムからの出力手段のうち少なくとも１つに関する情報を含む不正侵入検出用情報を取得する不正侵入検出用情報取得手段と、上記不正侵入検出用情報取得手段により取得される不正侵入検出用情報から、上記入力手段又は上記出力手段が特定の通信方法を用いているか否かを判断することで、上記情報処理装置に不正侵入のおそれがあることを検出する検出手段とを備える構成とすることが望ましい。

上記プログラムが起動された時、入力手段又は出力手段が特定の通信方法を用いていることは極めてまれであるので、入力手段又は出力手段が特定の通信方法を用いている場合、当該起動による不正侵入のおそれがあると判断することができる。したがって、上記により、本発明に係る情報処理装置は、特定のプログラムの起動に対してのみ監視を行い、上記の特定の通信方法を用いた不正侵入のおそれがあることを検出するので、通信データの監視では検出不能な不正侵入をより効果的に防止することができる。なお、上記の特定の通信方法を用いている例として、遠隔の装置との通信に用いるＴＣＰを用いている場合などが考えられる。

また、本発明の情報処理装置において、上記検出手段は、上記情報処理装置に不正侵入のおそれがあることを検出した場合であっても、予め定められた例外ルールに基づき不正侵入のおそれがないとの判断をさらに行う構成とすることが望ましい。

これにより、上記のプログラムを例外的に運用している場合、当該例外的運用を不正侵入のおそれとして検出することがないので、より適切な情報処理装置の運用を図ることができる。

また、本発明の情報処理装置において、上記検出手段により、上記情報処理装置に不正侵入のおそれがあることが検出された場合に、上記プログラムの操作を受け入れ禁止とする制御、上記プログラムの動作停止の制御、警告の発信及び上記プログラムの操作の記録のうち少なくとも１つを行う制御手段をさらに備えた構成とすることが望ましい。

これにより、本発明に係る情報処理装置は、不正侵入のおそれがあることを検知した後、当該不正侵入に対し、上記プログラムの操作を受け入れ禁止とする等の対処を取ることができる。

ところで、本発明は、上記のように情報処理装置の発明として記述できる他に、以下のように不正侵入検出方法及び不正侵入検出プログラムの発明としても記述することができる。これらはカテゴリーが異なるだけで、実質的に同一の発明であり、同様の作用・効果を奏する。

即ち、本発明に係る不正侵入検出方法は、他のプログラムから起動可能なプログラムを備える情報処理装置における不正侵入検出方法であって、上記他のプログラムが上記プログラムを起動したときに、上記プログラムへの入力手段、上記プログラムからの出力手段、及び上記プログラムを起動した他のプログラムのうち少なくとも１つに関する情報を含む不正侵入検出用情報を取得する不正侵入検出用情報取得ステップと、上記プログラムへの入力手段、上記プログラムからの出力手段、及び上記プログラムを起動した他のプログラムに関する情報と不正侵入の可能性との関係を規定する検出ルールに基づき、上記不正侵入検出用情報取得ステップにより取得される不正侵入検出用情報から、上記情報処理装置に不正侵入のおそれがあることを検出する検出ステップとを備えたことを特徴とする。

また、本発明に係る不正侵入検出プログラムは、他のプログラムから起動可能なプログラムを備える情報処理装置に、上記他のプログラムが上記プログラムを起動したときに、上記プログラムへの入力手段、上記プログラムからの出力手段、及び上記プログラムを起動した他のプログラムのうち少なくとも１つに関する情報を含む不正侵入検出用情報を取得する不正侵入検出用情報取得機能と、上記プログラムへの入力手段、上記プログラムからの出力手段、及び上記プログラムを起動した他のプログラムに関する情報と不正侵入の可能性との関係を規定する検出ルールに基づき、上記不正侵入検出用情報取得機能により取得される不正侵入検出用情報から、前記情報処理装置に不正侵入のおそれがあることを検出する検出機能とを実現させることを特徴とする。

上記のように、本発明によれば、特定のプログラムの起動に対してのみ監視を行い、不正侵入のおそれがあることを検出するので、通信データの監視では検出不能な不正侵入をより効果的に防止することができる。更に、当該検出に用いるルールは特定のプログラムの起動に関するものであり、侵入のパターンのようにデータの中身に関するものではないため、随時のアップデートを必要せず、その点において、より効率的である。

以下、図面を参照しながら本発明に係る実施形態について説明する。

図１は、本実施形態における、情報処理装置１０、ネットワーク２０及び攻撃主体３０を含む全体構成図を示す。図１に示すように、情報処理装置１０は、ネットワーク２０との通信を行う通信部１１と、被侵入プログラム１７と、被侵入プログラム１７からアクセスが可能なシェル１２と、シェル１２への入力手段、シェル１２からの出力手段及びシェル１２を起動したプログラムに関する情報を含む不正侵入検出用情報をシェル１２の起動時に取得する不正侵入検出用情報取得部１３と、シェル１２への入力手段、シェル１２からの出力手段、及びシェル１２を起動した他のプログラムに関する情報と不正侵入の可能性との関係を規定する検出ルールに基づき、不正侵入検出用情報取得部１３により取得される不正侵入検出用情報から、情報処理装置１０に不正侵入のおそれがあることを検出する検出部１４と、検出部１４により、情報処理装置１０に不正侵入のおそれがあることが検出された場合に、シェル１２の操作を受け入れ禁止とする制御、シェル１２の動作停止の制御、警告の発信及びシェル１２の操作の記録を行う制御部１５と、ＣＰＵ及びメモリ等から成り情報処理装置１０の機能全体を司る情報処理機能部１６とを含んで構成される。ネットワーク２０は、情報処理装置１０の通信対象であり、例えばインターネット等が相当する。攻撃主体３０は、ネットワーク２０を介し、被侵入プログラム１７及びシェル１２を利用して、情報処理装置１０に不正侵入をしようとする装置である。ここで、シェル１２は、上述の被利用プログラムであり、発明の構成要素の「他のプログラムから起動可能なプログラム」に相当する。また、通信部１１は、自装置１０内部の他のモジュールとの通信を行うこともあり、その結果、内部に存在する攻撃主体から攻撃を受けることもある。本情報処理装置１０は、このような攻撃にも対応するものである。

シェル１２への入力手段及び出力手段に関する情報としては、ＵＮＩＸプログラムで使用される「getpeername()」等のＡＰＩを用いることにより取得できるソケットの情報等が相当する。また、シェル１２を起動したプログラムに関する情報としては、ＵＮＩＸプログラムで使用される「getppid()」等のＡＰＩを用いることにより取得できる親プロセスのプロセスＩＤ、同じくＵＮＩＸで使用される管理プログラム「ps」やprocファイルシステムを用いることにより取得できるプログラム名等が相当する。

検出部１４で用いられる検出ルールは、不正侵入検出用情報取得部１３により取得されうる不正侵入検出用情報に不正侵入とすべきか否かを示す情報を対応させファイルで保持しておき、検出部１４が検出の際に当該ファイルを参照するものとする。但し、上記検出ルールの取得はこれに限定されるものではなく、別のプログラムに問い合わせて取得する方法によるもの等でもよく、また、シェル１２自体に上記検出ルールが内蔵されていてもよい。

また、検出部１４で用いられる検出ルールの、不正侵入とすべき情報の例として「入力手段又は出力手段が、遠隔の装置との通信に用いるＴＣＰを使用している」、「入力手段又は出力手段がunix domain socket又はnamed pipeを用いている」、「シェル１２に通常アクセスするプログラム以外のプログラムから起動された」等が挙げられる。

以下、図２を用いて、本実施形態における情報処理装置１０により実行される処理を説明する。

シェル１２が起動されることにより処理が開始される。まず、シェル１２が起動されると、不正侵入検出用情報取得部１３が、シェル１２への入力手段、シェル１２からの出力手段及びシェル１２を起動したプログラムに関する情報を取得する（Ｓ０１）。

続いて、検出部１４が、上記取得されたシェル１２への入力手段に関する情報を検出ルール中の不正侵入とすべき情報と照合することにより、不正侵入のおそれがあることを検出する（Ｓ０２）。ここで、当該起動は攻撃主体３０によるものであるとする。即ち、攻撃主体３０が、被侵入プログラム１７の欠陥を突き被侵入プログラム１７の制御を奪取し、被侵入プログラム１７を操作しシェル１２を起動したとする。そのような場合は、検出部１４が、「当該起動の際のシェル１２への入力手段は遠隔の装置との通信に用いるＴＣＰを使用している」と判断することができ、上記の検出ルールに基づき、不正侵入のおそれがあることを検出することができる。

上記のように不正侵入のおそれがあることが検出されると、制御部１５が、シェル１２の操作を受け入れ禁止とする制御、シェル１２の動作停止の制御、警告の発信及びシェル１２の操作の記録を行う（Ｓ０５）。

ここで、例えば、シェル１２に、情報処理装置１０に接続されている端末からの指示等により、入力がなされていた場合等は上記の検出ルールに規定されておらず、上記の不正侵入のおそれがあることは検出されない（ここで、上記端末は物理端末と論理端末とがある）。その場合、続いて、検出部１４が、不正侵入検出用情報取得部１３により取得されたシェル１２からの出力手段に関する情報を検出ルール中の不正侵入である情報と照合することにより、不正侵入のおそれがあることを検出する（Ｓ０３）。例えば、当該出力手段に関する情報から、遠隔の装置との通信に用いるＴＣＰを使用していると判断した場合、不正侵入のおそれがあることを検出する。

上記と同様に、その場合は、制御部１５がシェル１２の操作を受け入れ禁止とする制御等を行う（Ｓ０５）。

ここで、例えば、シェル１２から、情報処理装置１０に接続されている端末へ動作結果の出力がなされていた場合等は上記の検出ルールに規定されておらず、上記の不正侵入のおそれがあることは検出されない。その場合、続いて、検出部１４が不正侵入検出用情報取得部１３により取得されたシェル１２を起動したプログラムに関する情報を検出ルール中の不正侵入である情報と照合することにより、不正侵入のおそれがあることを検出する（Ｓ０４）。例えば、シェル１２を起動したプログラムに関する情報から、シェル１２に通常アクセスするプログラム以外のプログラムから起動されたと判断した場合、不正侵入のおそれがあることを検出する。

上記と同様に、その場合は、制御部１５がシェル１２の操作を受け入れ禁止とする制御等を行う（Ｓ０５）。

ここで、不正侵入のおそれが検出されない場合には、シェル１２は通常の処理、即ちシェル１２が正常に起動する（Ｓ０６）。

上記により、本実施形態によれば、特定のプログラムの起動に対してのみ監視を行い、不正侵入のおそれがあることを検出するので、通信データの監視では検出不能な不正侵入をより効果的に防止することができる。更に、当該検出に用いるルールは特定のプログラムの起動に関するものであり、侵入のパターンのようにデータの中身に関するものではないため、随時のアップデートを必要せず、その点において、より効率的である。

なお、特定の通信のポート番号、ユーザＩＤでの起動は不正侵入としない等の例外ルールを設定することで、例外的運用を可能とすることができる。

また、本実施形態では、不正侵入検出用情報として、「シェル１２への入力手段」、「シェル１２からの出力手段」及び「シェル１２を起動したプログラム」に関する情報の３つの情報全てを含むこととしているが、必ずしも３つの情報を用いて検出する必要はなく、当該情報のうち少なくとも１つの情報を用いることとしてもよい。

また、本実施形態では、不正侵入検出後に制御部１５が行う制御として、「シェル１２の操作を受け入れ禁止とする制御」、「シェル１２の動作停止の制御」、「警告の発信」及び「シェル１２の操作の記録」の４つの制御全てを行うこととしているが、必ずしも４つの制御全てを行う必要はなく、当該制御のうち少なくとも１つの制御を行うこととしてもよい。

最後に、上述した一連の処理を情報処理装置１０に実行させるための不正侵入検出プログラムについて説明する。図３に示すように、不正侵入検出プログラム４１は、情報処理装置１０内の記録媒体４０に形成されたプログラム格納領域４０ａ内に格納されている。

不正侵入検出プログラム４１は、シェル１２への入力手段、シェル１２からの出力手段及びシェル１２を起動したプログラムに関する情報を含む不正侵入検出用情報をシェル１２の起動時に取得する不正侵入検出用情報取得モジュール４１ａと、シェル１２への入力手段、シェル１２からの出力手段、及びシェル１２を起動した他のプログラムに関する情報と不正侵入の可能性との関係を規定する検出ルールに基づき、不正侵入検出用情報取得部１３により取得される不正侵入検出用情報から、情報処理装置１０に不正侵入のおそれがあることを検出する検出モジュール４１ｂとを備えて構成される。

不正侵入検出用情報取得モジュール４１ａを実行させることによって実現する機能は、情報処理装置１０の有する不正侵入検出用情報取得部１３の機能と同様である。また、検出モジュール４１ｂを実行させることによって実現する機能は、情報処理装置１０の有する検出部１４の機能と同様である。

不正侵入検出プログラム４１は、その一部若しくは全部が、通信回線等の伝送媒体を介して伝送され、他の機器により受信されて記録（インストールを含む）される構成としてもよい。

本発明の実施形態における情報処理装置、通信ネットワーク及び攻撃主体を含む全体構成図である。 情報処理装置により実行される処理を示す流れ図である。 本発明に係る不正侵入検出プログラムの構成を示す図である。

符号の説明

１０…情報処理装置、１１…通信部、１２…シェル、１３…不正侵入検出用情報取得部、１４…検出部、１５…制御部、１６…情報処理機能部、１７…被侵入プログラム、２０…ネットワーク、３０…攻撃主体、４０…記録媒体、４０ａ…プログラム格納領域、４１…不正侵入検出プログラム、４１ａ…不正侵入検出用情報取得モジュール、４１ｂ…検出モジュール。

Claims (6)

1. 他のプログラムから起動可能なプログラムを備える情報処理装置であって、
   前記他のプログラムが前記プログラムを起動したときに、前記プログラムへの入力手段、前記プログラムからの出力手段、及び前記プログラムを起動した他のプログラムのうち少なくとも１つに関する情報を含む不正侵入検出用情報を取得する不正侵入検出用情報取得手段と、
   前記プログラムへの入力手段、前記プログラムからの出力手段、及び前記プログラムを起動した他のプログラムに関する情報と不正侵入の可能性との関係を規定する検出ルールに基づき、前記不正侵入検出用情報取得手段により取得される不正侵入検出用情報から、前記情報処理装置に不正侵入のおそれがあることを検出する検出手段と
   を備える情報処理装置。
2. 他のプログラムから起動可能なプログラムを備える情報処理装置であって、
   前記他のプログラムが前記プログラムを起動したときに、前記プログラムへの入力手段、及び前記プログラムからの出力手段のうち少なくとも１つに関する情報を含む不正侵入検出用情報を取得する不正侵入検出用情報取得手段と、
   前記不正侵入検出用情報取得手段により取得される不正侵入検出用情報から、前記入力手段又は前記出力手段が特定の通信方法を用いているか否かを判断することで、前記情報処理装置に不正侵入のおそれがあることを検出する検出手段と
   を備える情報処理装置。
3. 前記検出手段は、前記情報処理装置に不正侵入のおそれがあることを検出した場合であっても、予め定められた例外ルールに基づき不正侵入のおそれがないとの判断をさらに行う
   ことを特徴とする請求項１又は２に記載の情報処理装置。
4. 前記検出手段により、前記情報処理装置に不正侵入のおそれがあることが検出された場合に、前記プログラムの操作を受け入れ禁止とする制御、前記プログラムの動作停止の制御、警告の発信及び前記プログラムの操作の記録のうち少なくとも１つを行う制御手段を
   さらに備えた請求項１〜３のいずれかに記載の情報処理装置。
5. 他のプログラムから起動可能なプログラムを備える情報処理装置における不正侵入検出方法であって、
   前記他のプログラムが前記プログラムを起動したときに、前記プログラムへの入力手段、前記プログラムからの出力手段、及び前記プログラムを起動した他のプログラムのうち少なくとも１つに関する情報を含む不正侵入検出用情報を取得する不正侵入検出用情報取得ステップと、
   前記プログラムへの入力手段、前記プログラムからの出力手段、及び前記プログラムを起動した他のプログラムに関する情報と不正侵入の可能性との関係を規定する検出ルールに基づき、前記不正侵入検出用情報取得ステップにより取得される不正侵入検出用情報から、前記情報処理装置に不正侵入のおそれがあることを検出する検出ステップと
   を備えた不正侵入検出方法。
6. 他のプログラムから起動可能なプログラムを備える情報処理装置に、
   前記他のプログラムが前記プログラムを起動したときに、前記プログラムへの入力手段、前記プログラムからの出力手段、及び前記プログラムを起動した他のプログラムのうち少なくとも１つに関する情報を含む不正侵入検出用情報を取得する不正侵入検出用情報取得機能と、
   前記プログラムへの入力手段、前記プログラムからの出力手段、及び前記プログラムを起動した他のプログラムに関する情報と不正侵入の可能性との関係を規定する検出ルールに基づき、前記不正侵入検出用情報取得機能により取得される不正侵入検出用情報から、前記情報処理装置に不正侵入のおそれがあることを検出する検出機能と
   を実現させるための不正侵入検出プログラム。
   

Images