JP2005175714A - ネットワークにおけるアクセスの悪意度の評価装置、方法及びシステム - Google Patents

Abstract

【課題】 スロースキャンなどのネットワークスキャンを検出できるようにする装置、及び不正侵入元の悪質さを定量的に図る尺度の提供
【解決手段】 通信ネットワークなどから、管理する内部ネットワーク宛てのパケットを監視し、既知の不正アクセスに対しては、不正検出型ＩＤＳ１０を用いて内部ネットワークへの影響を排除する。不正アクセスの蓋然性があるアクセス及びネットワークスキャン、特に検出の難しいスロースキャンに関しては、悪意度算出システム２０を用いて、アクセス元からのホストアクセス、ポートアクセス、アクセス時間間隔、アクセスポリシー違反等から悪意の度合いを算出することでアクセス元の悪質さを定量的に計り、設定した閾値を超えたアクセス元のアクセスを拒否する方法、または、悪意の度合いに基づく順位付けを行い、上位に挙がったアクセス元に対し優先的に対処する方法で解決を行う。
【選択図】図１

Description

本発明は、インターネットのような通信ネットワークや相互に接続された通信ネットワークにおいて発生する不正アクセスの初期段階に実行されるネットワークスキャン（不正侵入を意図する者により行われる、ターゲットとするネットワークやホストを事前に調査する偵察行為）、特にスロースキャン（上記ネットワークスキャンを発見されないように、長期間かけて執拗に故意にまばらにスキャンする方法）を検知する方法に係り、より詳しくはネットワークスキャンをホストアクセス幅、ポートアクセス幅、時間間隔等に注目して検知する方法、及びそれらの値の組み合わせによりネットワークスキャンを行ったアクセス元の悪質さを表す悪意の度合いを提供し、それらホスト、及びホストに関係するスキャンへの効率的な対処方法に関する。

多数の者がアクセス可能な通信ネットワーク経由で、不正アクセスの初期段階として行われるネットワーク偵察行為、特にネットワークスキャンを検出するための方法として、以下の幾つかの方法が知られている。

第一の方法には、アクセスポリシーを用いて、不正アクセスの蓋然性があるアクセスと正常なアクセスを分類する方法がある。（例えば、特許文献１参照。）

第二の方法には、ホスト、サービスへの単位時間当たりのアクセス数、及びサービスごとに付けられる重みを基にネットワーク偵察行為を検出する方法がある。（例えば、非特許文献１参照。）

特開２００１−３１３６４０号広報 井上 貴裕， 石田 賢治， 舟阪 淳一， 天野 橘太郎， "悪意をもつネットワーク偵察行為の順位付けについて"， 電子情報通信学会 第八回 アシュアラスシステム研究会 技術研究報告書， ｐｐ．４５−５０， ２００３

しかしながら、従来の各方法には以下のような問題があった。第一の方法では、不正アクセスの蓋然性があるアクセスと正常アクセスの分類は可能だが、不正アクセスの蓋然性があると分類された多くのアクセスに含まれる、個々のアクセスがどのようなアクセスであるかの検証、理解に多くのコストがかかった。つまり、スロースキャンの特定が困難であった。また、不正アクセスの蓋然性があると判断されたアクセスの中で、どのアクセスに対し優先的に対応すべきなのかという指針を示すことができなかった。

第二の方法では、特定ホストからの一定の時間内に行われた、重み付けされたサービスの種類ごとのアクセス回数によって、アクセスがネットワーク偵察行為なのかどうかを判別している。そのため、ネットワークスキャンが発見されることを免れるために、アクセス間隔をあけ、一度には少数のアクセスしか行わず、執拗に長期間にわたって偵察を行うスロースキャンを検出することが出来なかった。また、重み付けが行われていないサービスを偵察された場合に、そのネットワークスキャンを発見しにくくなるという問題もあった。

本発明は、上記問題点に鑑み、不正アクセスの蓋然性のあるアクセス、特に検出の難しいスロースキャンを検出することができ、且つネットワークスキャンを行ってきた不正侵入元の悪質さがどの程度なのかを定量的にはかる尺度を提供し、ネットワークスキャンへの効果的な対策を行う方法を提供することを主たる課題とする。

上記課題を解決するために、本発明では、通信ネットワークを介して行われるアクセスが不正なアクセスである可能性を評価する装置であって、ＩＰアドレス、ＩＤ等で識別されるアクセス元からの被アクセスホストまたは被アクセスネットワークに対して行われるアクセスの、時間、アクセスホスト、アクセスポートの少なくとも一つを、以前のそのアクセス元からのアクセスの記録と比較し、比較した値によって不正なアクセスである可能性を評価することを特徴とするネットワークにおけるアクセスの悪意度の評価装置を提供する。

また、本発明では、上記評価装置であって、不正なアクセスである可能性を、アクセスの時刻に基づき評価し、以前のアクセスとの時間間隔が大きいものを、悪意度が大きいと判定するネットワークにおけるアクセスの悪意度の評価装置を提供する。

さらに、本発明では、上記評価装置であって、不正なアクセスである可能性を、アクセスの時刻と、ポート番号、ホストアドレスの少なくとも一つの値に基づき評価するもので、ポート番号、ホストアドレスの差の絶対値が大きいものを、悪意度が大きいと判定するネットワークにおけるアクセスの悪意度の評価装置を提供する。

また、本発明では、通信ネットワークを介して行われるアクセスが不正なアクセスである可能性を評価する方法であって、アクセス元をそのＩＰアドレス、ＩＤ等で識別し特定するとともに、アクセスの時刻、ホスト、ポートの少なくとも一つを、検出するステップと、検出された時刻、ホスト、ポートの少なくとも一つを、特定の結果同一と見なされる対象の以前のアクセスの記録と比較し、比較した値によって不正なアクセスである可能性を評価するステップとからなることを特徴とするネットワークにおけるアクセスの悪意度評価方法を提案する。

また、本発明では、通信ネットワークを介して行われるアクセスを設定された基準に従い評価し不正なアクセスであるか否かを判定するステップと、前記ステップの結果不正なアクセスでないとされたアクセスであって、少なくとも不正である可能性があるアクセスにつき、アクセスの時刻、ホスト、ポートの少なくとも一つの値を、当該アクセスのアクセス元とＩＰアドレス、ＩＤ等で同一と見なされるアクセス元からの以前のアクセスの時刻、ホスト、ポートの該当する値と比較し、比較した値によって不正アクセスの蓋然性を評価するステップとからなることを特徴とする不正アクセスの検出方法を提案する。

また、本発明では、通信ネットワークを介して行われるアクセスの不正アクセスの蓋然性を評価するシステムであって、当該アクセスを設定された基準に従い評価し基準に該当するものを不正なアクセスであると判定する不正アクセス判定手段と、当該アクセスの時刻、ホスト、ポートの少なくとも一つの値を検出し、当該アクセスのアクセス元とＩＰアドレス、ＩＤ等で同一と見なされるアクセス元からの以前のアクセスの時刻、ホスト、ポートの該当する値と比較し、比較した値によって不正アクセスの蓋然性を算出する悪意度評価手段を備え、悪意度評価手段は少なくとも不正アクセス判定手段により不正なアクセスであると認定されなかったものにつき蓋然性を評価するようにしたことを特徴とする不正アクセスの検出システムを提供する。

さらに、本発明では、上記検出システムであって、不正アクセス判定手段により不正アクセスと判定されたアクセスはアクセス拒否等の対応をとるよう構成され、悪意度評価手段は不正アクセスの蓋然性を算出するにあたって当該アクセスの時刻と、ポート番号、ホストアドレスの少なくとも一つの値に基づき算出するもので、以前のアクセスとの時間間隔が大きいものを不正アクセスである蓋然性が高いと判定するとともに、ポート番号もしくはホストアドレスの差の絶対値が大きいものを不正アクセスである蓋然性が高いと判定しその結果を出力するよう構成され、さらに、悪意度評価手段の出力に基づき当該アクセス、もしくは、ＩＰアドレス、ＩＤ等で同一と見なされるアクセス元からの今後のアクセスにつきアクセス拒否等の対応をとるよう構成、或いは、悪意度評価手段の出力に基づき管理者が確認や優先的な対応やアクセス拒否等の対応が可能なように構成されていることを特徴とする不正アクセスの検出システムを提供する。

本発明の装置、方法、及びシステムによれば、既知、未知の方法によらない不正アクセスの蓋然性があるアクセスを検知して対応でき、特に優先的に対応すべきアクセスを明示的に示すことが可能になるという、効果を奏する。

以下、図面を参照して本発明の実施形態を説明する。図１は、本発明が適用されるネットワークシステムの全体構成図である。このネットワークシステムには、インターネットＮ１、内部ネットワークＮ２が相互通信可能な形態で接続されている。内部ネットワークＮ２には、管理対象となる通信システム及び通信システムグループが接続されている。Ａは不正アクセス発信源である。通常、内部ネットワークの境界には、図示しないファイアウォール等のセキュリティ機構が設けられている。

ネットワークシステムの入り口には、通過するネットワークデータを複製する機能のネットワークインタフェースを持つ不正検出型ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ： 侵入検知システム）１０と悪意度算出システム２０と管理用端末３０と、各種情報格納データベースＤＢ１００が接続されている。不正検出型ＩＤＳ１０は、既知の不正アクセスをパターンマッチングにより検出するためのシステムであり、悪意度算出システム２０は、ホストアクセス幅、ポートアクセス幅、アクセス時間間隔、アクセスポリシー違反回数等の情報を基に悪意度を算出するものであり、管理用端末３０は、各システムを管理するためのものであり、各種情報格納データベースＤＢ１００は、各システムで利用する設定情報、及び不正アクセスや不正アクセスの蓋然性があるアクセスの検出結果を格納するためのものである。

不正検出型ＩＤＳ１０は、既知の攻撃方法による不正アクセスや特徴あるパケットを用いたネットワークスキャンなどを検出し、その結果に応じてパケットの処理を行う。まず、この不正検出型ＩＤＳ１０の構成について説明する。

不正検出型ＩＤＳ１０は、通信機能付きのコンピュータによって実現されるもので、その構成は図２によって示されるとおりである。すなわち、ネットワークインターフェースＩＮＴ１のほか、所定のプログラムコードを読み取って実行することにより形成されるシグネチャ取得モジュール１１と、パケット取得モジュール１２と、パターンマッチモジュール１３と、アクション取得モジュール１４と、アクションモジュール１５と、通信ログ記録モジュール１６、及び上記モジュールが利用するシグネチャ（不正アクセスやネットワークスキャンで用いられるパケットに含まれる特徴情報）データＤ１１と、パターンマッチ結果データＤ１２と、アクション情報データＤ１３と、これらを統括的に制御する（補完処理を含む）主制御部ＭＣ１を具備するものである。上記プログラムコードは、通常は図示しない上記コンピュータの外部記録装置（ハードディスク等）に記録され、当該コンピュータのＣＰＵが適宜読み出して実行されるようになっているが、コンピュータ読み取り可能な可搬性の記録媒体に記録される形態や、プログラムサーバを介して上記外部記録装置に記録されるものであってもよい。また、上記データは、通常、情報格納データベースＤＢ１００に格納されており、各モジュールによって適宜参照されるようになっているが、上記コンピュータ上の外部記録装置等に記録され、適宜参照される形態や、各システム上に設置された分散型データベース上に情報を格納し、適宜参照する形態や、コンピュータ読み取り可能な可搬性の記録媒体に記録される形態でもよい。また、上記システムは、外部からの不正なアクセスに対するセキュリティ機構を備えており、上記システムへのアクセスは、認証（パスワード認証、公開鍵認証等）やアクセス制御等によって制限される。

ネットワークインターフェースＩＮＴ１は、他システム（悪意度算出システム２０、管理用端末３０、情報格納データベースＤＢ１００、ネットワークシステム、ファイアウォール、その他通信可能なシステム）との通信機能、及びネットワークシステムを流通するデータを取得する機能を有するものである。ネットワークインターフェースＩＮＴ１は、自己宛のパケットのみを取得するモードとその他のパケットも取得するモードを持ち、それらは切り替え可能である。今回の場合は後者を利用する。

シグネチャ取得モジュール１１は、シグネチャデータを情報格納データベースＤＢ１００からシグネチャデータＤ１１として取得、保持、及び更新する。シグネチャデータＤ１１の取得、保持、及び更新は、自動で定期的に行われるようになっているが、手動で行う方法に切り替え可能である。シグネチャデータＤ１１は、Ｓｎｏｒｔ（オープンソースで開発されているＩＤＳ）で利用されているようなシグネチャ形式のデータを利用できる。より詳しくは、まず、調査対象となる始点アドレス：始点ポート番号（始点ネットワーク：ポート番号）、宛先アドレス：宛先ポート番号（宛先ネットワーク：宛先ポート番号）の組み合わせ、次に特徴データ（不正アクセスの際に現れるパケット中の文字列や、パケット中の異常に長い文字列、またはパケットの異常なヘッダオプション等）のデータが記録されている。また、上記シグネチャデータは、ＩＤＳベンダーから提供されたものなどを利用する形態でも良い。

パケット取得モジュール１２は、通信ネットワーク上を流通するパケットを取得する。この際には、ヘッダ情報等を参照し、管理する内部ネットワーク宛てのものを取得する。そして、パターンマッチモジュール１３で、取得したパケットとシグネチャデータＤ１１の比較を行う。比較の結果、パケットデータが登録されたシグネチャと一致した場合には、外部ホスト識別子（ＩＰアドレス、ＩＰアドレス−ポート番号、ＩＤ等）、一致したシグネチャの名前、パケット取得時刻、被アクセスホスト識別子（ＩＰアドレス、ＩＰアドレス−ポート番号、ＩＤ等）、パケットデータのダンプ等からなるパターンマッチ結果データＤ１２を作成し、情報格納データベースＤＢ１００に格納する。

アクション取得モジュール１４は、シグネチャに一致したパケットが見付かった際の動作を情報格納データベースＤＢ１００から取得し、アクション情報データＤ１３として取得、保持、及び更新する。アクション情報データＤ１３の取得、保持、及び更新は、自動で定期的に行われるようになっているが、手動で行う方法に切り替え可能である。アクションモジュール１５は、シグネチャにマッチしたパケットを含む通信、及びパケットの送信元ホストに対し、アクション情報データＤ１３に従って対応を行う。アクション情報データＤ１３には、シグネチャにマッチしたパケットの破棄、シグネチャにマッチしたパケットを送信したホストからのアクセスの拒否、ファイアウォール等のセキュリティ装置のルール変更、管理者へ通知などの手段が記されている。

通信ログ記録モジュール１６は、不正検出型ＩＤＳ１０を通過する内部ネットワークＮ２宛ての通信データを全て記録し、情報格納データベースＤＢ１００に保存する。また、上記モジュールは、内部ネットワークＮ２から送信されるデータを記録することも可能である。通信ログの保存期間は、任意の期間を設定可能である。通信ログの保存期間としては、警察庁がネットワーク管理者に勧めている三ヶ月間を含む、数日間から数ヶ月間が考えられる。

次に、悪意度算出システム２０の構成について説明する。悪意度算出システム２０もまた、通信機能付きのコンピュータによって実現されるものであり、その構成は、図３に示されるとおりである。すなわち、ネットワークインターフェースＩＮＴ２のほか、所定のプログラムコードを読み取って実行することにより形成されるポリシー情報取得モジュール２１と、パケット取得モジュール２２と、アクセスポリシー違反検知モジュール２３と、パラメータ値算出モジュール２４と、悪意の度合い算出モジュール２５と、外部ホスト順位付けモジュール２６と、アクション取得モジュール２７と、アクションモジュール２８、及びアクセスポリシーデータベースＤ２１と、外部ホストアクセス状況データＤ２２と、悪意の度合い関連データＤ２３と、外部ホスト順位付け結果データＤ２４と、アクション情報データＤ２５と、これらモジュールの機能を統括的に制御する（補完機能を含む）主制御部ＭＣ２を具備する。プログラムコードは、通常は、図示しない上記コンピュータの外部記録装置（ハードディスク等）に記録され、当該コンピュータのＣＰＵが適宜読み出して実行されるようになっているが、コンピュータの読み取り可能な可搬性の記録媒体に記録される形態や、プログラムサーバを介して上記外部記録装置に記録されるものであっても良い。また、上記データは、通常、情報格納データベースＤＢ１００に格納されており、各モジュールによって適宜参照されるようになっているが、上記コンピュータ上の外部記録装置等に記録され、適宜参照される形態や、各システム上に設置された分散型データベース上に情報を格納し、適宜参照する形態や、コンピュータの読み取り可能な可搬性の記録媒体に記録される形態でもよい。また、上記システムは、外部からの不正なアクセスに対するセキュリティ機構を備えており、上記システムへのアクセスは、認証（パスワード認証、公開鍵認証等）やアクセス制御等によって制限される。

ネットワークインターフェースＩＮＴ２は、他システムとの通信機能、及びネットワークシステムを流通するデータを取得する機能を有するものである。ネットワークインターフェースＩＮＴ２は、自己宛てのパケットのみを取得するモードとその他のパケットも取得するモードを持ち、それらは切り替え可能である。今回の場合は後者を利用する。特に本実施形態においては、ネットワークインターフェースＩＮＴ２を、不正検出型ＩＤＳ１０を通過し、不正アクセスでは無いとされたネットワークデータの全ての複製の取得に利用する。

ポリシー情報取得モジュール２１は、情報格納データベースＤＢ１００から管理する内部ネットワークのアクセスポリシー情報をアクセスポリシーデータＤ２１として取得、保持、及び更新する。アクセスポリシーデータＤ２１の取得、保持、及び更新は、自動で定期的に行われるようになっているが、手動で行う方法に切り替えることが可能である。アクセスポリシーデータＤ２１として保存される情報は、アクセス可能なホストと、各ホストにおいてアクセスが許可されているプロトコル（ＴＣＰ，ＵＤＰ，ＩＣＭＰ等）とポート（サービス）の組み合わせの一覧で表される。アクセスポリシーを集約して記述可能な場合は、そのように表しても良い。例えば、「ホストアドレス，プロトコル，ポート番号」のように表し、「Ｘ．Ｙ．Ｚ．Ａ−Ｄ，ＴＣＰ，２２」のように記述しても良い。この場合は，Ｘ．Ｙ．Ｚ．ＡからＸ．Ｙ．Ｚ．ＤのホストのＴＣＰ２２番ポートへのアクセスは許可するという意味になる。

パケット取得モジュール２２は、不正検出型ＩＤＳ１０を通過するデータの複製から、内部ネットワーク宛てのパケットを取得する。この際には、取得したパケットのヘッダ情報等を参照し、管理する内部ネットワーク宛てのものを取得する。

アクセスポリシー違反検知モジュール２３は、上記パケット取得モジュール２２で取得したパケットとアクセスポリシーデータＤ２１のアクセスポリシーを比較し、一致しなかったパケットをアクセスポリシー違反として扱い、結果を外部ホストアクセス状況データＤ２２として保存、更新し、適宜情報格納データベースＤＢ１００に格納する。同様に、パラメータ値算出モジュール２４においても、上記パケット取得モジュール２２で取得したパケットから、ホストアクセスの差の絶対値、及びポートアクセスの差の絶対値、及び一連のアクセスの時間間隔、一連のアクセス回数、アクセス時刻、最終アクセス時のアクセスホスト、及びアクセスポート等を算出し、外部ホストアクセス状況データＤ２２として保持、更新し、適宜情報格納データベースＤＢ１００に格納する。この際には、他にも外部ホストごとのホストアクセスの総数、ポートアクセスの総数、アクセス時間間隔、一連のアクセスにおけるホストアクセス回数、及びポートアクセス回数の平均値、一連のアクセスにおけるホストアクセスの差の絶対値の平均、及びポートアクセスの差の絶対値の平均等を記録するようにしてもよい。

悪意の度合い算出モジュール２５は、外部ホストアクセス状況データＤ２２の情報を基に悪意の度合いを算出し、その結果を悪意の度合い関連データＤ２３として保持、更新し、適宜情報格納データベースＤＢ１００に保存する。この際に、外部ホストアクセス状況データＤ２２の情報の一部も、外部ホストの悪意の度合いに付帯する情報として記録するようにしてもよい。

外部ホスト順位付けモジュール２６は、情報格納データベースＤＢ１００に格納されている悪意の度合い関連データＤ２３を参照して悪意の度合いを比較し、それらを順位付けする。順位付け結果は、順位付け結果データＤ２４として、適宜情報格納データベースＤＢ１００に保存する。

アクション取得モジュール２７は、算出した悪意の度合い、及び悪意の度合いによる順位付け結果に基づく対応動作を情報格納データベースＤＢ１００からアクション情報データＤ２５として取得、保持、及び更新する。アクション情報データＤ２５の取得、保持、及び更新は、自動で定期的に行われるようになっているが、手動で行う方法に切り替えることが可能である。アクション情報データＤ２５には、算出された外部ホストの悪意の度合いが、一定値（閾値）を越えた際に、その外部ホストからのアクセスを拒否したり、順位付け結果の上位に挙がったホストからのアクセスを拒否したりするようにするなどの対応が記されている。アクションモジュール２８は、アクション情報データＤ２５に基づき対応を行う。上記対応は、通常は、自動的に行われるが、手動で行うように切り替えることも可能である。

次に管理用端末３０の構成について説明する。管理用端末３０は、通信機能付きのコンピュータによって実現されるものであり、その構成は図４に示すとおりである。すなわち、ネットワークインターフェースＩＮＴ３のほか、所定のプログラムコードを読み取って実行することにより形成される登録情報管理モジュール３１と、ネットワーク情報自動登録モジュール３２と、アクション管理モジュール３３と、順位付け結果表示モジュール３４と、警告表示モジュール３５、及びシグネチャデータＤ３１と、アクセスポリシー情報データＤ３２と、アクション情報登録データＤ３３と、順位付け結果データＤ３４と、これらのモジュールの機能を統括的に制御する（補完機能を含む）主制御部ＭＣ３を具備する。プログラムコードは、通常、図示しない上記コンピュータのＣＰＵが適宜読み出して実行されるようになっているが、コンピュータの読み取り可能な可搬性の記録媒体に記録される形態や、プログラムサーバを介して上記外部記録装置に記録されるものであっても良い。また、上記データは、通常、情報格納データベースＤＢ１００に格納されており、各モジュールによって適宜参照されるようになっているが、上記コンピュータ上の外部記録装置等に記録され、適宜参照される形態や、各システム上に設置された分散型データベース上に情報を格納し、適宜参照する形態や、コンピュータの読み取り可能な可搬性の記録媒体に記録される形態でもよい。また、上記システムは、外部からの不正なアクセスに対するセキュリティ機構を備えており、上記システムへのアクセスは、認証（パスワード認証、公開鍵認証等）やアクセス制御等によって制限される。

登録情報管理モジュール３１は、シグネチャ、及びネットワークアクセスポリシーの管理を行うものであり、それらの情報はシグネチャデータＤ３１、及びアクセスポリシー情報データＤ３２として取得、保持、及び更新され、それらは適宜情報格納データベースＤＢ１００に格納される。シグネチャ及びネットワークアクセスポリシーの更新は、自動、手動に切り替え可能で、自動の場合は、外部ネットワークから定期的に上記データを取得する。その際には、信頼できるサーバ等からデータを取得し、チェックサム（ＭＤ５などのハッシュ値によるチェックなど）でデータの完全性を確認したうえで保存・更新するようになっている。

ネットワーク情報自動登録モジュール３２は、管理している内部ネットワークに存在するホスト情報、及びホストが搭載しているＯＳなどを自動的に検出し、それらを基に検出されたＯＳごとに定められたポリシーを設定した後、ネットワークポリシーを自動的に作成するモジュールであり、その結果は、アクセスポリシー情報データＤ３２として保存・更新され、適宜情報格納データベースＤＢ１００に登録される。内部ネットワークに存在するホストの自動検出には、ＯＳ判別機能を持つネットワークスキャナを定期的に動作させる等の方法を用いる。この方法によれば、内部ネットワーク内に存在するホストのＩＰアドレスが動的に変化する場合や、ホストが新規登録された場合にもある程度対応可能になる。自動判別を行えない場合は、その旨を警告表示モジュール３５に表示したり、管理者に通知したりする。

アクション管理モジュール３３は、不正検出型ＩＤＳ１０や、悪意度算出システム２０が行うべき対応をアクション情報登録データＤ３３として保存・更新し、情報格納データベースＤＢ１００に格納する。登録には、ブラウザを利用する方法や、専用クライアントを利用する方法、直接データを編集する方法等を選択可能である。

順位付け結果表示モジュール３４は、情報格納データベースＤＢ１００に保存された外部ホスト順位付け結果データＤ２４を、順位付け結果データＤ３４として取得し、上位のものから順に表示するためのものである。通常は、順位付け結果の上位のホストの情報のみを表示するが、表示形式は利用者の嗜好に合うように変更可能である。また、上記モジュールは、情報格納データベースＤＢ１００に保存された外部ホスト順位付け結果データＤ２４を直接表示するようにしてもよい。

警告表示モジュール３５は、不正検出型ＩＤＳ１０や、悪意度算出システム２０から送られてくる警告を本端末上や、ネットワークシステムに接続された他のホスト等に表示するためのものである。

次に外部ホスト記録データベースＤＢ１００の構成について説明する。外部ホスト記録データベースＤＢ１００は、ネットワーク通信機能、もしくはその他のデータ通信手段（ＳＣＳＩ、ＩＥＥＥ１３９２、ＵＳＢ等）付きのコンピュータによって実現されるものであり、上述したような様々なデータを格納することができる。

次に、図１に示した上記の不正アクセス検知システム１０、及び悪意度算出システム２０、管理用端末３０、外部ホスト記録データベースＤＢ１００を用いてネットワーク偵察行為を検出するシステムの実施手順を説明する。以下では、不正アクセス検知システム１０、悪意の度合い判定システム２０、及び管理用端末３０における処理手順（主制御部ＭＣ１からＭＣ３の統括的な制御に基づく各種モジュールによる実効処理とその連携）を中心に説明する。図５は、不正検出型ＩＤＳ１０の処理手順を示しており、図６は、悪意の度合い算出システム２０について示している。全体の処理は、上記処理が並列して行われる。

まず、図５に基づいて説明する。本実施形態では、始めに、不正アクセス検知システム１０でアクセスの蓋然性があるアクセスを判別するために利用される不正アクセスの特徴情報（シグネチャ）を情報格納データベースＤＢ１００から取得する（ステップＳ１０１）。

シグネチャを取得した不正アクセス検知システム１０は、管理対象のネットワーク宛てのパケットを常時監視し、捕獲する。但し、図１に示しているように、不正アクセス検知システム１０は、インターネットと内部ネットワークの通信路上に設置されており、そこを通過する全パケットの中から、管理対象ネットワーク宛てのパケットを取得する（ステップＳ１０２）。

次に、取得したデータから、不正アクセスの蓋然性チェックを行う（ステップＳ１０３）。図１０に示すように、この段階で不正アクセスの蓋然性があるアクセスとして検出されたものは、不正アクセスである可能性が高い。従って、不正アクセス検知システム１０によって検出された外部ホストからのアクセスは、すぐにアクション情報データＤ１３の内容に基づいて処理が行われる（ステップＳ１０４）。その後、シグネチャにマッチしたパケットのデータを、パターンマッチ結果データＤ１２として保存・更新する（ステップＳ１０５）。

不正アクセスの蓋然性が無いとされたアクセスは、内部ネットワークにそのまま届けられる（ステップＳ１０３ ＮＯ）。

また、不正検出型ＩＤＳを通過したデータを通信ログとして情報格納データベースＤＢ１００に記録する。（ステップＳ１０６）

次に、悪意度算出システム２０の処理手順について、図６を参照しながら説明する。まず始めに、管理対象の内部ネットワークのアクセスポリシーを情報格納データベースＤＢ１００から取得し、アクセスポリシーデータＤ２１として保存・更新する（ステップＳ２０１）。

図１に示しているように、悪意度算出システム２０は、不正検出型ＩＤＳ１０に連結されており、不正検出型ＩＤＳ１０を通過し、不正アクセスでは無いとされた通信データの複製を取得する（ステップＳ２０２）。

その通信データを入力とし、外部ホストごとにホストアクセスの差の絶対値、ポートアクセスの差の絶対値、アクセスポリシー違反回数を算出する（ステップＳ２０３）。以下図７、図８を参照しながら、ホストアクセス及びポートアクセスの論理的な距離、すなわちホストアクセス及びポートアクセスの差の絶対値について説明する。以下では、偵察行為を行うホストを偵察元ホストと呼び、偵察行為を受けるホストやネットワークをターゲットホスト及びターゲットネットワークと呼ぶ。図７は、偵察元ホストからターゲットネットワークへのホストアクセスにおける論理的な距離の一つを説明するものである。図７（ａ）は従来の方法で見られる単位時間当たりのアクセス回数を数える方法である。この方法では、ある偵察元ホストが、イ、ロ、ハの順番にアクセスしたとしても、ただ単純に３回のアクセスがあったと数えるだけである。しかし、図７（ｂ）のホスト識別子（ホストアドレス）の差の絶対値の合計を用いると、図７（ａ）と同様のアクセスに対して、１６０という値が与えられる。従って、上記のような論理的な距離をホスト識別子に対して用いれば、単純に回数だけでネットワークスキャンを捕らえるよりも、発見されにくいように故意にまばらにスキャンを行うスロースキャンやランダムスキャン（ネットワークスキャン時に、宛先ホストをランダムに入れ替える方法）を効果的に検知することが可能となる。

図８では、ポートアクセスに関して図７と同様の図を示している。ここで、ポート識別子（ポート番号）はサービスの種類を示す。偵察元ホストからターゲットホスト、及びターゲットネットワークへのポートアクセスの際にも、上記ホストアクセスと同様の考え方を適用可能である。

再び図６説明に戻って、外部ホストごとにホストアクセスの差の絶対値、ポートアクセスの差の絶対値、アクセスポリシー違反回数を算出する方法の説明を続ける。ある外部ホストから管理する内部ホスト宛てのパケットがあった場合、その宛先のホスト及びポートの情報をパケットから取得し、外部ホストアクセス状況データＤ２２として保持しておく。その際にアクセスポリシー違反を行っているかの判定を行い、違反を行っている場合には、その情報も外部ホストアクセス状況データＤ２２として保持しておく。同じ外部ホストから再びアクセスがあった際には、保持しておいた以前の宛先ホスト及びポート情報と、新たに取得した宛先ホスト及びポート情報からそれぞれの差の絶対値を算出する。それと同時にアクセスポリシー違反の判定も行う。それら結果を再び外部ホストアクセス状況データＤ２２に保持する。この際、古いデータを新たに取得した宛先ホスト、ポート情報、及びそれらの差の絶対値、アクセスポリシー違反回数によって更新する。ホスト、ポートアクセスの差の絶対値、及びアクセスポリシー違反回数は、以前の記録に加算することで更新を行う。但し、上記差の絶対値は、過去の情報が無い場合、及び同じホストやポートに連続してアクセスする場合は、その度「１」として計算する。または、ある正の定数としてもよい。

外部ホストからのアクセスが、図９に示すように閾値ｔｈを超える時間間隔Ｔで行われた場合は、それを一連のアクセスの終了とみなす（ステップＳ２０４）。一連のアクセスが終了していない場合は、アクセスが発生しないか待つ。ここで、図９を参照しながら、時間間隔、及び一連のアクセスについて説明を行う。時間間隔は、偵察元ホストからのアクセスが発生した時間（時刻でもよい）から、以前のアクセスが発生した時間の差をとることで算出可能である。また、図９に示すような一連のアクセスの時間間隔という概念を用いても良い。一連のアクセスとは、同一偵察元ホストからのアクセス間隔が閾値を超えないようなアクセス群のことを示す。従って、図９においては、アクセス時間間隔ｔが閾値ｔｈを超えないアクセス群が、一連のアクセスであり、一連のアクセスの時間間隔はＴになる。この概念を用いることにより、単純なネットワークスキャンで度々見られる一連のアクセスとして多数ホストに連続してアクセスするものと、スロースキャンなどで見られる時間をかけて少しずつアクセスするものを識別することが可能になる。同じ回数スキャンした場合、連続したスキャンよりもまばらに時間を空けてスキャンしたほうが検出されにくい。つまり、時間間隔及び一連のアクセスの概念を利用することで、単純に回数だけでネットワークスキャンを捕らえるよりも、発見されにくいように故意にまばらにスキャンを行うスロースキャンやランダムスキャンを効果的に検知することが可能となる。さらに、単純なネットワークスキャンが時間を空けて複数回行われた際の検知にも利用できる。本実施形態では、閾値ｔｈは６０秒としている。これは、ネットワークスキャンの観測実験から得られた値であるが、より適切な閾値があれば、そちらを用いてよい。例えば、閾値としては、数十秒から数分が考えられる。

再び図６に戻って説明を続ける。一連のアクセスの時間間隔算出は、上記説明に基づき以下の方法を用いる。ある外部ホストのもっとも最近の内部ホストへのアクセス時刻を外部ホストアクセス状況データＤ２２として保持しておき、閾値ｔｈ秒経過した際にそれを一連のアクセスの終了とみなす。一連のアクセスが終了した後に再び同外部ホストからアクセスがあった場合、それを一連のアクセスの時間間隔とし、保持していた最終アクセス時刻と新しく取得したアクセスの時間間隔との差をとることで一連のアクセスの時間間隔を算出する。但し、以前の一連のアクセスが無い場合は、一連のアクセスの時間間隔は「１」とする。そして算出した一連のアクセスの時間間隔を外部ホストアクセス状況データＤ２２に保持・又は更新する。（ステップＳ２０５）

次に、算出した各パラメータを用い、それらを増加関数の形で表すことにより悪意の度合いを算出する。悪意の度合いとは、アクセス元の悪質さの評価尺度である。例えば、あるアクセス元が多数のホストを偵察し同じ量の情報を手に入れる場合、アクセスに関する隠蔽の工夫をしないで、時間的に連続して、あるいは、連続したホストアドレスに対して、あるいは同一ホスト上の連続したポートに対して、偵察行為を行うアクセス元より、監視の目をくぐりぬけようと少しずつ、執拗に、故意にまばらに偵察行為を繰り返すなどを行うアクセス元の方がより悪質だといえる。ここで利用する各パラメータは、それぞれがこの悪質さを表現している。従って、悪意の度合いは、上記ホストアクセスの差の絶対値、ポートアクセスの差の絶対値、一連のアクセスの時間間隔、アクセスポリシー違反回数等の増加関数の形で表される。増加関数には、様々なものが考えられるが、一例として全てのパラメータの積で表すものや、和で表すものが考えられる。より具体的には、下に示す数式１で評価する。あるアクセス元ホストＡがＮ回の一連のアクセスを行った際の悪意の度合いをＭ（Ａ）とする。ここで、Ｈｉは、ｉ回目の一連のアクセスにおけるホストアクセスの差の絶対値の合計、Ｐｉは、ｉ回目の一連のアクセスにおけるポートアクセスの差の絶対値の合計、Ｖｉは、ｉ回目の一連のアクセスにおけるアクセス違反回数、Ｉｉは、一連のアクセスの時間間隔であり、ｉ回目の一連のアクセス開始時間ｔｉから前回の一連のアクセス終了時間ｔｉ−１の差で表される。ただし、Ｉｉは、ｉ＝１の時は「１」とする。短時間に多数アクセスを行うようなスキャンは、Ｈｉ、Ｐｉ及びＶｉの積により悪意度が大きくなる。また、スロースキャンのようなアクセスの場合には、上に示した４つ全てのパラメータ、特にＩｉが作用することで悪意度が大きくなり、スロースキャンの検出が可能となる。そして、算出した悪意の度合いを、悪意の度合い関連データＤ２３として、情報格納データベースＤＢ１００に登録する。同一の外部ホストに関する以前の悪意の度合いがすでにある場合は、その値と新しく算出した悪意の度合いの和をとり、最新の悪意の度合いを算出する（ステップＳ２０６）。

そして、情報格納データベースＤＢ１００に格納されている悪意の度合い関連データＤ２３の情報を、記録されているホストごとに比較し、外部ホストを順位付けする（ステップＳ２０７）。順位付け結果は、外部ホスト順位付け結果データＤ２４として保持、更新され、情報格納データベースＤＢ１００に保存、更新される。そして、上記悪意の度合い、及び順位付け結果に基づき、アクション情報データＤ２５に基づく対応や、順位付け結果の表示等を行う。（ステップＳ２０８）

本実施形態では、直接的には触れていないが、悪意の度合い算出用の増加関数は、外部に関数が漏れた際に備えて、一種類だけではなく、数種類を準備し、時間とともに利用する関数を切り替えたり、あるいは変化させるなどを行っても良い。また、それら悪意の度合い算出用の増加関数に用いるパラメータは、上記の中で述べたアクセスホスト幅、アクセスポート幅、一連のアクセスの時間間隔などの一種の論理的な距離を表すもの、及びアクセス違反回数だけでなく、アクセス回数や、ただ一つ前のアクセス時間との差をとる時間間隔、その他のここに挙げないパラメータなどを利用してもよい。また、悪意度算出システム２０では、通信データを逐次的に処理する方法を説明したが、通信データのログの一部や全体に対して、悪意度算出システムで行われる処理を適用する形にしてもよい。また、悪意度算出システム２０は、不正検出型ＩＤＳ１０において不正アクセスであるとされたパケットを含め、全ての通信データの複製を取得するようにしてもよい。なお、本発明のネットワークにおけるアクセスの悪意度の評価装置は、最小要素としてはプログラムとして構成できる。

本実施形態では、外部ネットワークから内部ネットワークへのアクセスについて説明したが、内部ネットワークから外部ネットワークへのアクセスへの適用も図１とほぼ同様な形態で実施できる。この場合、不正アクセス発信者Ａは、内部ネットワークＮ２内に位置する。また、本発明は、内部ネットワークから同じ内部ネットワークへのアクセスに対しても利用可能である。なお、本実施形態では、不正アクセス発信元ホストの識別について述べているが、より詳細な不正アクセス元として当該ホスト上のプログラムやアクセス者が識別可能な場合には、その不正アクセス元の特定にも利用可能である。

以上のように、本実施形態の方法によれば、外部ホストからの不正アクセスによる被アクセスネットワークへの影響を抑え、未知の方法を含む、不正アクセスの蓋然性のあるアクセス、その中でも特に悪質な蓋然性のある、優先的に対処すべきアクセスを検知できるようになる利点がある。

本発明が適用されるネットワークシステムの全体構成図 不正検出ＩＤＳの機能構成図 悪意度算出システムの機能構成図 管理用端末の機能構成図 不正検出型ＩＤＳの動作手順説明図 悪意度算出システムの動作手順説明図 ホストアクセスの計算方法説明図 ポートアクセスの計算方法説明図 アクセス時間間隔、及び一連のアクセス計算方法説明図 不正アクセス、不正アクセスの蓋然性のあるアクセス正常アクセス切り分けの概念図

符号の説明

１０： 不正検出型ＩＤＳ
１１： シグネチャ取得モジュール
１２： パケット取得モジュール
１３： パターンマッチモジュール
１４： アクション情報取得モジュール
１５： アクションモジュール
１６： 通信ログ記録モジュール
２０： 悪意度算出システム
２１： ポリシー情報取得モジュール
２２： パケット取得モジュール
２３： アクセスポリシー違反検知モジュール
２４： パラメータ値算出モジュール
２５： 悪意の度合い算出モジュール
２６： 外部ホスト順位付けモジュール
２７： アクション取得モジュール
２８： アクションモジュール
３０： 管理用端末
３１： 登録情報管理モジュール
３２： ネットワーク情報自動登録モジュール
３３： アクション管理モジュール
３４： 順位付け結果表示モジュール
３５： 警告表示モジュール
Ｄ１１： シグネチャデータ
Ｄ１２： パターンマッチ結果データ
Ｄ１３： アクション情報データ
Ｄ２１： アクセスポリシーデータ
Ｄ２２： 外部ホストアクセス状況データ
Ｄ２３： 悪意の度合い関連データ
Ｄ２４： 外部ホスト順位付け結果データ
Ｄ２５： アクション情報データ
Ｄ３１： シグネチャデータ
Ｄ３２： アクセスポリシー情報データ
Ｄ３３： アクション情報登録データ
Ｄ３４： 順位付け結果データ
ＤＢ１００： 各種情報格納データベース
Ａ： 不正アクセス発信源
Ｎ１： インターネット
Ｎ２： 内部ネットワーク
ＩＮＴ１、ＩＮＴ２、ＩＮＴ３： ネットワークインターフェース
ＭＣ１、ＭＣ２、ＭＣ３： 主制御部

Claims (7)

1. 通信ネットワークを介して行われるアクセスが不正なアクセスである可能性を評価する装置であって、アクセス元をＩＰアドレス、ＩＤ等で識別し、被アクセスホストまたは被アクセスネットワークに対して行われるアクセスの、時間、アクセスホスト、アクセスポートの少なくとも一つを、以前のそのアクセス元からのアクセスの記録と比較し、比較した値によって不正なアクセスである可能性を評価することを特徴とするネットワークにおけるアクセスの悪意度の評価装置。
2. 不正なアクセスである可能性を、アクセスの時刻に基づき評価し、以前のアクセスとの時間間隔が大きいものを、悪意度が大きいと判定する請求項１記載のネットワークにおけるアクセスの悪意度の評価装置。
3. 不正なアクセスである可能性を、アクセスの時刻と、ポート番号、ホストアドレスの少なくとも一つの値に基づき評価するもので、ポート番号、ホストアドレスの差の絶対値が大きいものを、悪意度が大きいと判定する請求項２記載のネットワークにおけるアクセスの悪意度の評価装置。
4. 通信ネットワークを介して行われるアクセスが不正なアクセスである可能性を評価する方法であって、アクセス元をそのＩＰアドレス、ＩＤ等で識別し特定するとともに、アクセスの時刻、ホスト、ポートの少なくとも一つを、検出するステップと、検出された時刻、ホスト、ポートの少なくとも一つを、特定の結果同一と見なされる対象の以前のアクセスの記録と比較し、比較した値によって不正なアクセスである可能性を評価するステップとからなることを特徴とするネットワークにおけるアクセスの悪意度評価方法。
5. 通信ネットワークを介して行われるアクセスを設定された基準に従い評価し不正なアクセスであるか否かを判定するステップと、前記ステップの結果不正なアクセスでないとされたアクセスであって、少なくとも不正である可能性があるアクセスにつき、アクセスの時刻、ホスト、ポートの少なくとも一つの値を、当該アクセスとＩＰアドレス、ＩＤ等で同一と見なされるアクセス元からの以前のアクセスの時刻、ホスト、ポートの該当する値と比較し、比較した値によって不正アクセスの蓋然性を評価するステップとからなることを特徴とする不正アクセスの検出方法。
6. 通信ネットワークを介して行われるアクセスの不正アクセスの蓋然性を評価するシステムであって、当該アクセスを設定された基準に従い評価し基準に該当するものを不正なアクセスであると判定する不正アクセス判定手段と、当該アクセスの時刻、ホスト、ポートの少なくとも一つの値を検出し、当該アクセスとＩＰアドレス、ＩＤ等で同一と見なされる以前のアクセスの時刻、ホスト、ポートの該当する値と比較し、比較した値によって不正アクセスの蓋然性を算出する悪意度評価手段を備え、悪意度評価手段は少なくとも不正アクセス判定手段により不正なアクセスであると認定されなかったものにつき蓋然性を評価するようにしたことを特徴とする不正アクセスの検出システム。
7. 不正アクセス判定手段により不正アクセスと判定されたアクセスはアクセス拒否等の対応をとるよう構成され、悪意度評価手段は不正アクセスの蓋然性を算出するにあたって当該アクセスの時刻と、ポート番号、ホストアドレスの少なくとも一つの値に基づき算出するもので、以前のアクセスとの時間間隔が大きいものを不正アクセスである蓋然性が高いと判定するとともに、ポート番号もしくはホストアドレスの差の絶対値が大きいものを不正アクセスである蓋然性が高いと判定しその結果を出力するよう構成され、さらに、悪意度評価手段の出力に基づき当該アクセス、もしくは、ＩＰアドレス、ＩＤ等で同一と見なされるアクセス元からの今後のアクセスにつきアクセス拒否等の対応をとるよう構成、或いは、悪意度評価手段の出力に基づき管理者が確認や優先的な対応やアクセス拒否等の対応が可能なように構成されていることを特徴とする請求項６記載の不正アクセスの検出システム。
   

Images