JP2005175993A

JP2005175993A - ワーム伝播監視システム

Info

Publication number: JP2005175993A
Application number: JP2003414132A
Authority: JP
Inventors: Hiroshi Hoshino; 浩志星野
Original assignee: Yokogawa Electric Corp
Current assignee: Yokogawa Electric Corp
Priority date: 2003-12-12
Filing date: 2003-12-12
Publication date: 2005-06-30
Anticipated expiration: 2023-12-12
Also published as: JP4235907B2

Abstract

【課題】未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能なワーム伝播監視システムを実現する。
【解決手段】ワームが送信する不正なパケットの伝播経路を特定するワーム伝播監視システムにおいて、バックボーン・ネットワークと複数のネットワークの接続点に設けられ、通過するパケットのデータ部分と通過時刻、送信元アドレス及び送信先アドレスを記録し、検索の依頼があった場合に一致したデータ部分に対応する通過時刻、送信元アドレス及び送信先アドレスを情報として送信する複数のワームパケット記録装置と、入力された不正なパケットのデータ部分に基づき各ワームパケット記録装置に検索を依頼し、各ワームパケット記録装置から取得した情報を解析し表示させるワーム伝播監視装置とを設ける。
【選択図】図１

Description

本発明は、ワームが送信する不正なパケットの伝播経路を特定するワーム伝播監視システムに関し、特に未知のワームの感染拡大の際の不正なパケットの伝播経路を特定ことが可能なパケット選別装置に関する。

従来のワームが送信する不正なパケットの伝播経路を特定するワーム伝播監視システムに関連する先行技術文献としては次のようなものがある。

特開２０００−０４９８５２号公報特開２０００−２６１４８３号公報特開２００１−２１７８３４号公報特開２００２−１５８６９９号公報特開２００３−２９８６４８号公報特開２００３−２９８６５１号公報

近年のインターネットにおいては、”ＭＳ−ＳＱＬＳｌａｍｍｅｒ”や”Ｂｌａｓｔｅｒ”等と言った急速にサーバマシン等の装置に感染し拡大してゆくワーム（ネットワークを徘徊して感染するタイプのウイルス。単体で動作し、ほかのファイルへの感染は行わない。）が流行している。

そして、このようなワームにより世界的にネットワークの障害が起こる等、深刻な社会問題となっており、広範囲でのワームの活動の監視強化が望まれている。

一方、このようなワームが感染時に送信する不正なパケットのデータ部分には、感染先のシステムの脆弱性を利用して不正に実行されるプログラムが含まれており、このようなデータ部分は一般にワーム固有の特定のデータパターンを有している。

従って、ネットワークの各観測点において、このようなワーム固有の特定のデータパターンを検出することにより、当該データパターンを有するパケットの伝播経路を特定することが可能になる。

図１２はこのような従来のワーム伝播監視システムの一例を示す構成ブロック図である。図１２において１，２及び３はＮＩＤＳ（Network Intrusion Detection System：ネットワーク侵入検知システム：以下、単にＮＩＤＳと呼ぶ。）、４は各ＮＩＤＳ１〜３を管理するＩＤＳ監視装置、１００はインターネット上でネットワークとネットワークを結んでいる高速・大容量の基幹の回線であるバックボーン・ネットワーク、１０１はＩＤＳ監視装置４が接続される管理用ネットワーク、１０２、１０３及び１０４は監視対象となる汎用のネットワークである。

管理用ネットワーク１０１はバックボーン・ネットワーク１００に接続され、ネットワーク１０２，１０３及び１０４もまたバックボーン・ネットワーク１００に接続される。また、管理用ネットワーク１０１にはＩＤＳ監視装置４が接続される。

ネットワーク１０２の出入り口にはＮＩＤＳ１が接続され、同様に、ネットワーク１０３及び１０４の出入り口にはＮＩＤＳ２及び３がそれぞれ接続される。

ここで、図１２に示す従来例の動作を図１３を用いて説明する。図１３はワーム伝播監視システムの動作を説明するフロー図である。

図１３中”Ｓ００１”において各ＮＩＤＳ１〜３には不正なパケットを特定するための情報である定義情報（シグニチャ：例えば、ワーム固有の特定のデータパターン）が予め設定される。そして、図１３中”Ｓ００２”において各ＮＩＤＳ１〜３はネットワーク１０２〜１０４の出入り口をそれぞれ通過するパケットを監視する。

図１３中”Ｓ００３”においてＮＩＤＳ１〜３が前述の定義情報（シグニチャ）に基づき不正なパケットを特定した場合には、図１３中”Ｓ００４”においてＩＤＳ監視装置４は、各ＮＩＤＳ１〜３のうち不正なパケットを特定したＮＩＤＳから不正なパケットに関する情報を収集し、図１３中”Ｓ００５”においてＩＤＳ監視装置４は、不正なパケットの伝播経路を特定する。

具体的には、各ＮＩＤＳ１〜３は通過するパケットを取得し、予め設定されている定義情報（シグニチャ）と比較して取得したパケットが当該定義情報（シグニチャ）に該当する不正なパケットであるか否かを判断すると共にＩＤＳ監視装置４にその旨を通知する。

一方、このような通知を受信したＩＤＳ監視装置４は、通知の発信元であるＮＩＤＳから特定された不正なパケットに関する送信先アドレス、送信元アドレス等の情報を収集し、通知の発信元のＮＩＤＳの設置位置（当該ＮＩＤＳのＩＰ（Internet Protocol）アドレス等から設置位置を特定する。）から当該不正なパケットが伝播したネットワークの出入り口を特定する。

この結果、各ネットワークの出入り口に各々ＮＩＤＳを配置すると共に不正なパケットの定義情報（シグニチャ）を設定して、通過するパケットを監視させ、定義情報（シグニチャ）から不正なパケットを特定した場合にはＩＤＳ監視装置４が該当するＮＩＤＳから情報を収集することにより、不正なパケットの伝播経路、言い換えれば、ワームの感染拡大の際の伝播経路を特定することが可能になる。

しかし、図１２に示す従来例では、各ネットワークの出入り口に設置された各ＮＩＤＳに対して予め不正なパケットの定義情報（シグニチャ）を設定しておく必要性があるものの、当該定義情報（シグニチャ）はワームが送信したパケットに基づき作成するものであり、これまで未知であったワームが送信したパケットの定義情報（シグニチャ）が準備されるまでには数時間の時間を要する。

これに対して、昨今のワームは発生してから感染が拡大するまで１０数分程度しかかからない場合もあるため、未知のワームが送信したパケットの定義情報（シグニチャ）をＮＩＤＳに設定した時点では、既に当該ワームが蔓延した後であったり、或いは、既に当該ワームの感染が終息した後になってしまう場合が想定され、ワームの送信する不正なパケットの検知が手遅れになってしまうと言った問題点があった。

このため、ワームの感染拡大に際しては、各ネットワークの出入り口に設置されたＮＩＤＳにおいては、ワームの送信する不正なパケットを特定することができず、実際にワームの感染が拡大したときの当該不正なパケットの伝播経路を把握できないと言った問題点があった。
従って本発明が解決しようとする課題は、未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能なワーム伝播監視システムを実現することにある。

このような課題を達成するために、本発明のうち請求項１記載の発明は、
ワームが送信する不正なパケットの伝播経路を特定するワーム伝播監視システムにおいて、
バックボーン・ネットワークと複数のネットワークの接続点に設けられ、通過するパケットのデータ部分と通過時刻、送信元アドレス及び送信先アドレスを記録し、検索の依頼があった場合に一致したデータ部分に対応する通過時刻、送信元アドレス及び送信先アドレスを情報として送信する複数のワームパケット記録装置と、入力された不正なパケットのデータ部分に基づき前記各ワームパケット記録装置に検索を依頼し、前記各ワームパケット記録装置から取得した前記情報を解析し表示させるワーム伝播監視装置とを備えたことにより、未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能になる。

請求項２記載の発明は、
請求項１記載の発明であるワーム伝播監視システムにおいて、
前記ワームパケット記録装置が、
前記データ部分をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値と前記情報とを併せて記録することにより、未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能になる。

請求項３記載の発明は、
請求項１記載の発明であるワーム伝播監視システムにおいて、
前記ワームパケット記録装置が、
前記データ部分をハッシュ関数を用いてハッシュ値に変換し、同一なハッシュ値の出現頻度をカウントすると共に当該ハッシュ値に対応する通過時刻、送信元アドレス及び送信先アドレスを順次記録することにより、未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能になる。また、ハッシュ値の検索時間の短縮及び記憶手段の記憶容量の低減が可能になる。

請求項４記載の発明は、
請求項３記載の発明であるワーム伝播監視システムにおいて、
前記ワームパケット記録装置が、
ハッシュ値の出現頻度の低い情報を順次削除することにより、未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能になる。また、ハッシュ値の検索時間の短縮及び記憶手段の記憶容量の低減が可能になる。

請求項５記載の発明は、
請求項１乃至請求項４のいずれかに記載の発明であるワーム伝播監視システムにおいて、
前記ワームパケット記録装置が、
記憶手段と、前記データ部分、若しくは、前記データ部分をハッシュ関数により変換したハッシュ値と前記情報とを併せて記録し、検索の依頼があった場合に一致したデータ部分、若しくは、前記データ部分をハッシュ関数により変換したハッシュ値に対応する前記情報を送信する演算制御手段とから構成されることにより、未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能になる。

請求項６記載の発明は、
ワームが送信する不正なパケットの伝播経路を特定するワーム伝播監視システムにおいて、
バックボーン・ネットワークと複数のネットワークの接続点に設けられ、通過するパケットのデータ部分と通過時刻、送信元アドレス及び送信先アドレスを記録し、検索の依頼があった場合に一致したデータ部分に対応する通過時刻、送信元アドレス及び送信先アドレスを情報として送信する複数のワームパケット記録装置と、未割り当てアドレスブロックに到達するパケットから感染拡大中の未知のワームが送信する不正なパケットを捕捉するワームパケット捕捉装置と、このワームパケット捕捉装置から取得した不正なパケットのデータ部分に基づき前記各ワームパケット記録装置に検索を依頼し、前記各ワームパケット記録装置から取得した前記情報を解析し表示させるワーム伝播監視装置とを備えたことにより、感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定することが可能になる。

請求項７記載の発明は、
請求項６記載の発明であるワーム伝播監視システムにおいて、
前記ワームパケット記録装置が、
前記データ部分をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値と前記情報とを併せて記録することにより、感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定することが可能になる。

請求項８記載の発明は、
請求項６記載の発明であるワーム伝播監視システムにおいて、
前記ワームパケット記録装置が、
前記データ部分をハッシュ関数を用いてハッシュ値に変換し、同一なハッシュ値の出現頻度をカウントすると共に当該ハッシュ値に対応する通過時刻、送信元アドレス及び送信先アドレスを順次記録することにより、感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定することが可能になる。また、ハッシュ値の検索時間の短縮及び記憶手段の記憶容量の低減が可能になる。

請求項９記載の発明は、
請求項８記載の発明であるワーム伝播監視システムにおいて、
前記ワームパケット記録装置が、
ハッシュ値の出現頻度の低い情報を順次削除することにより、感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定することが可能になる。また、ハッシュ値の検索時間の短縮及び記憶手段の記憶容量の低減が可能になる。

請求項１０記載の発明は、
請求項６乃至請求項９のいずれかに記載の発明であるワーム伝播監視システムにおいて、
前記ワームパケット記録装置が、
記憶手段と、前記データ部分、若しくは、前記データ部分をハッシュ関数により変換したハッシュ値と前記情報とを併せて記録し、検索の依頼があった場合に一致したデータ部分、若しくは、前記データ部分をハッシュ関数により変換したハッシュ値に対応する前記情報を送信する演算制御手段とから構成されることにより、感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定することが可能になる。

請求項１１記載の発明は、
請求項６記載の発明であるワーム伝播監視システムにおいて、
前記ワームパケット捕捉装置が、
同一プロトコルでデータ部分が同一であるパケットの取得数が予め設定された閾値を超過した場合に、前記パケットを未知のワームが送信したパケットとみなして、前記ワーム伝播監視装置に前記パケットのプロトコルとデータ部分を送信することにより、感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定することが可能になる。

請求項１２記載の発明は、
請求項１若しくは請求項６記載の発明であるワーム伝播監視システムにおいて、
前記ワーム伝播監視装置が、
前記ワームパケット記録装置から取得した前記情報に基づき、ｘ軸若しくはｙ軸を送信元アドレス、ｙ軸若しくはｘ軸を送信先アドレスとし、通過した不正なパケットの分布を表示させることにより、未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能になる。また、感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定することが可能になる。

請求項１３記載の発明は、
請求項１若しくは請求項６記載の発明であるワーム伝播監視システムにおいて、
前記ワーム伝播監視装置が、
前記ワームパケット記録装置の一から取得した前記情報に基づき、ｘ軸を時間、ｙ軸を通過した不正なパケットのパケット数として表示させることにより、未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能になる。また、感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定することが可能になる。

請求項１４記載の発明は、
請求項１若しくは請求項６記載の発明であるワーム伝播監視システムにおいて、
前記ワーム伝播監視装置が、
前記各ワームパケット記録装置から取得した前記情報に基づき、検出された不正なパケットの送信元アドレスと送信先アドレスとを線分で結合して表示させることにより、未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能になる。また、感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定することが可能になる。

本発明によれば次のような効果がある。
請求項１，２，３，４，５，１２，１３及び請求項１４の発明によれば、各ネットワークの出入り口に設置された各ワームパケット記録装置が通過するパケットのデータ部分と通過時刻、送信元アドレス及び送信先アドレス等を記録し、ワーム伝播監視装置が入力されたパケットのデータ部分に基づき各ワームパケット記録装置に検索を依頼し、取得した情報を解析し表示させることにより、未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能になる。

また、請求項６，７，８，９，１０，１１，１２，１３及び請求項１４の発明によれば、各ネットワークの出入り口に設置された各ワームパケット記録装置が通過するパケットのデータ部分と通過時刻、送信元アドレス及び送信先アドレス等を記録し、ワームパケット捕捉装置が未割り当てアドレスブロックに到達するパケットから感染拡大中の未知のワームが送信する不正なパケットを捕捉し、ワーム伝播監視装置がワームパケット捕捉装置から受信した捕捉された不正なパケットのデータ部分に基づき各ワームパケット記録装置に検索を依頼し、取得した情報を解析し表示させることにより、感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定することが可能になる。

また、請求項３，４，８及び請求項９の発明によれば、同一なハッシュ値の出現頻度をカウントすると共に当該ハッシュ値に対応する通過時刻、送信元アドレス及び送信先アドレス等を順次記録、或いは、ハッシュ値の出現頻度の低い情報を順次削除することにより、ハッシュ値の検索時間の短縮及び記憶手段の記憶容量の低減が可能になる。

以下本発明を図面を用いて詳細に説明する。図１は本発明に係るワーム伝播監視システムの一実施例を示す構成ブロック図である。図１において１００，１０１，１０２，１０３及び１０４は図１２と同一符号を付してあり、５，６及び７は通過する全てのパケットを取得してパケットのデータ部分等を記録するワームパケット記録装置、８は各ワームパケット記録装置５〜７に対して検索を依頼するコンピュータ等のワーム伝播監視装置である。

管理用ネットワーク１０１はバックボーン・ネットワーク１００に接続され、ネットワーク１０２，１０３及び１０４もまたバックボーン・ネットワーク１００に接続される。また、管理用ネットワーク１０１にはワーム伝播監視装置８が設置される。

ネットワーク１０２の出入り口（バックボーン・ネットワーク１００とネットワーク１０２の接続点）にはワームパケット記録装置５が接続され、同様に、ネットワーク１０３及び１０４の出入り口（バックボーン・ネットワーク１００とネットワーク１０３若しくはネットワーク１０４の接続点）にはワームパケット記録装置６及び７がそれぞれ接続される。

ここで、図１に示す実施例の動作を図２、図３、図４及び図５を用いて説明する。図２及び図４はワームパケット記録装置の動作を説明するフロー図、図３はワームパケット記録装置６〜８の具体例を示す構成ブロック図、図５はワーム伝播監視装置９の動作を説明するフロー図である。

図２中”Ｓ１０１”においてワームパケット記録装置５〜７はネットワークの出入り口を通過するパケットを取得し、図２中”Ｓ１０２”において取得したパケットのワーム固有の特定のデータパターンを有しているデータ部分を抽出すると共に、抽出されたデータ部分をハッシュ関数を用いてハッシュ値に変換する。

そして、図２中”Ｓ１０３”においてワームパケット記録装置５〜７は、前述のハッシュ値と共に取得したパケットの通過時刻、送信元アドレス及び送信先アドレス等を併せて記録する。

ここで、ワームパケット記録装置５〜７の具体例である図３において、９はＣＰＵ（Central Processing Unit）等の演算制御手段、１０はＲＡＭ（Random Access Memory）等の記憶手段である。

観測点である回線からの入力は演算制御手段９に接続され、演算制御手段９の出力は記憶手段１０に接続される。

例えば、図３中”ＬＧ０１”に示すように観測点である回線から入力されたパケットは演算制御手段９に取り込まれ、ＩＰ（Internet Protocol）パケットの中でワーム固有の特定のデータパターンを有しているデータ部分を抽出する。

そして、演算制御手段９は抽出されたデータ部分をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値と取得したパケットの通過時刻、送信元アドレス及び送信先アドレス等の情報とを併せて記憶手段１０に記録する。

そして、図４中”Ｓ２０１”においてワームパケット記録装置５〜７は、ワーム伝播監視装置８からの不正なパケットの検索の依頼があったか否かを判断し、もし、不正なパケットの検索の依頼がなかった場合には図４中”Ｓ２０１”のステップに戻る。

もし、図４中”Ｓ２０１”において不正なパケットの検索の依頼があったと判断した場合には、図４中”Ｓ２０２”においてワームパケット記録装置５〜７は、問い合わせのあった不正なパケットを検索する。

具体的には、ワームパケット記録装置５〜７を構成する演算制御手段９は、問い合わせのあった（ワーム伝播監視装置から送られてくる）パケットのデータ部分をハッシュ値に変換すると共に、記憶手段１０内に記録されたデータを変換したハッシュ値に基づき検索する。

図４中”Ｓ２０３”においてワームパケット記録装置５〜７は、不正なパケットの記録があったか否かを判断し、もし、不正なパケット（正確には不正なパケットのデータ部分）の記録がなかったと判断した場合には図４中”Ｓ２０１”のステップにも戻る。

もし、図４中”Ｓ２０３”において不正なパケット（正確には不正なパケットのデータ部分）の記録があったと判断した場合には、図４中”Ｓ２０４”においてワームパケット記録装置５〜７は、不正なパケット（正確には不正なパケットのデータ部分）に関して記録されている通過時刻、送信元アドレス及び送信先アドレス等の情報をワーム伝播監視装置８に送信する。

具体的には、ワームパケット記録装置５〜７を構成する演算制御手段９は、問い合わせのあったパケットのデータ部分から生成したハッシュ値と一致するハッシュ値と共に記憶手段１０に記憶されている通過時刻、送信元アドレス及び送信先アドレス等の情報を読み出しワーム伝播監視装置８に送信する。

一方、図５中”Ｓ３０１”においてワーム伝播監視装置８は、未知のワームが送信するパケットのデータ部分に関する情報が入力されたか否かを判断する。具体的には、未知のワーム感染拡大の後にワームの分析を行う組織等から入手した当該未知のワームの送信する不正なパケットのデータ部分の情報が入力されたか否かを判断する。

もし、図５中”Ｓ３０１”において不正なパケットのデータ部分の情報が入力されなかったと判断した場合には図５中”Ｓ３０１”のステップに戻り、不正なパケットのデータ部分が入力されたと判断した場合には、図５中”Ｓ３０２”においてワーム伝播監視装置８は、各ネットワークの出入り口に配置されたワームパケット記録装置５〜７に対して当該不正なパケットの検索を依頼する。

具体的には、ワーム伝播監視装置８は、入力された不正なパケットのデータ部分を各ワームパケット記録装置５〜７に送信して記録の検索を依頼する。

そして、図５中”Ｓ３０３”においてワーム伝播監視装置８は、各ワームパケット記録装置５〜７から不正なパケットに関する情報を取得したか否かを判断し、もし、当該情報を取得しなかったと判断した場合には図５中”Ｓ３０１”のステップに戻る。

もし、図５中”Ｓ３０３”において各ワームパケット記録装置から不正なパケットに関する情報を取得したと判断した場合には、図５中”Ｓ３０４”においてワーム伝播監視装置８は、取得した情報を解析して表示手段に表示させる。

例えば、図６は、ｘ軸を送信元アドレス、ｙ軸を送信先アドレスとし、通過した不正なパケットの分布を示した場合の表示画面の一例を示す説明図である。図６に示すように今回検出されたワームが送信した不正なパケットは図６中”ＳＡ２１”に示す送信元アドレスから主に送信され、図６中”ＤＳ２１”に示す送信先アドレスに集中していることを容易に把握することができる。

また、例えば、図７は、ある特定のネットワークの出入り口（具体的には、ワームパケット記録装置６等）においてｘ軸を通過時刻、ｙ軸を通過した不正なパケットのパケット数とした場合の表示画面の一例を示す説明図である。

図７中”ＵＰ３１”及び”ＤＰ３１”は上り方向及び下り方向の通過パケット数をそれぞれ示しており、図７に示すように図７中”ＴＭ３１”に示す通過時刻を中心にワームが送信した不正なパケットが伝播したことを把握することができる。

また、例えば、図８は、検出された不正なパケットの送信元アドレスと送信先アドレスとを線分で結合した場合の表示画面の一例を示す説明図である。

図８に示すように、図８中”ＳＡ４１”に示す送信元アドレスから図８中”ＤＡ４１”、”ＤＡ４２”、”ＤＡ４３”、”ＤＡ４４”、”ＤＡ４５”及び”ＤＡ４６”に示す各送信先アドレスに対して不正なパケットが送信されていることが容易に把握できる

すなわち、各ワームパケット記録装置５〜７で通過する全てのパケットのデータ部分等を記録しておき、未知のワームの感染拡大の後に未知のワームが送信する不正なパケットのデータ部分に基づき各ワームパケット記録装置を検索することにより、未知のワームであってもワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能になる。

この結果、各ネットワークの出入り口に設置されたワームパケット記録装置５〜７が通過するパケットのデータ部分と通過時刻、送信元アドレス及び送信先アドレス等を記録し、ワーム伝播監視装置８が入力されたパケットのデータ部分に基づき各ワームパケット記録装置に検索を依頼し、取得した情報を解析し表示させることにより、未知のワームの感染拡大の際の不正なパケットの伝播経路を特定することが可能になる。

ちなみに、図１に示す実施例においては未知のワームの感染拡大後に、分析によって得られた未知のワームが送信する不正なパケットのデータ部分に基づき未知のワームの感染拡大の際の不正なパケットの伝播経路を特定しているが、未知のワームの感染拡大中に、未知のワームが送信する不正なパケットを捕捉して、現在感染が拡大しているワームの伝播経路を特定しても構わない。

図９はこのような感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定する本発明に係るワームワーム伝播監視システムの他の実施例を示す構成ブロック図である。図９において５，６，７，８，１００，１０１，１０２，１０３及び１０４は図１と同一符号を付してあり、１１は感染拡大中の未知のワームが送信する不正なパケットを捕捉するワームパケット捕捉装置、１０５は現在コンピュータ等のネットワーク機器に割り振られていないアドレスを使用した未割り当てアドレスブロックである。

さらに、未割り当てアドレスブロック１０５はバックボーン・ネットワーク１００に接続され、未割り当てアドレスブロック１０５にはワームパケット捕捉装置１１が設置される。

ここで、図９に示す他の実施例の動作を図１０及び図１１を用いて説明する。図１０はワームパケット捕捉装置１１の動作を説明するフロー図、図１１はワーム伝播監視装置８の動作を説明するフロー図である。但し、図１に示す実施例と同様の動作に関して、特にワームパケット記録装置５〜７の動作に関しては図１に示す実施例と同様であるので説明は省略する。

図１０中”Ｓ４０１”においてワームパケット捕捉装置１１は未割り当てアドレスブロック１０５に到達したパケットを取得し、図１０中”Ｓ４０２”において取得したパケットのプロトコルとデータ部分を抽出する。

未割り当てアドレスブロック１０５には到達するパケットは本来の通信とは無関係のパケットであり、それらのパケットの中には未知のワームが送信した不正なパケットが含まれている可能性が非常に高い。

このため、同一プロトコルでデータ部分が同一であるパケットの取得数を監視し、その取得数が閾値を超えた場合に、当該パケットを未知のワームが送信したパケットとみなすことにより、感染拡大中の未知のワームを捕捉（特定）する。

すなわち、図１０中”Ｓ４０３”においてワームパケット捕捉装置１１は、同一プロトコルでデータ部分が同一であるパケットの取得数が予め設定された閾値を超過したか否かを判断し、閾値を超過しなかったと判断した場合には図１０中”Ｓ４０１”のステップに戻る。

もし、図１０中”Ｓ４０３”において同一プロトコルでデータ部分が同一であるパケットの取得数が予め設定された閾値を超過したと判断した場合には、図１０中”Ｓ４０４”において、ワームパケット捕捉装置１１は、当該パケットを未知のワームが送信したパケットとみなして、ワーム伝播監視装置８に当該不正なパケットのプロトコルとデータ部分を送信する。

一方、図１１中”Ｓ５０１”においてワーム伝播監視装置８は、ワームパケット捕捉装置１１から捕捉されたパケットのプロトコル及びデータ部分を受信したか否かを判断し、もし、捕捉されたパケットのプロトコル及びデータ部分を受信しなかったと判断した場合には図１１中”Ｓ５０１”のステップに戻る。

もし、捕捉された不正なパケットのプロトコル及びデータ部分を受信したと判断した場合には、図１１中”Ｓ５０２”においてワーム伝播監視装置８は、各ネットワークの出入り口に配置されたワームパケット記録装置５〜７に対して当該不正なパケットの検索を依頼する。

具体的には、ワーム伝播監視装置８は、受信した捕捉された不正なパケットのデータ部分を各ワームパケット記録装置５〜７に送信して記録の検索を依頼する。

そして、図１１中”Ｓ５０３”においてワーム伝播監視装置８は、各ワームパケット記録装置から捕捉されたパケットに関する情報を取得したか否かを判断し、もし、当該情報を取得しなかったと判断した場合には図１１中”Ｓ５０１”のステップに戻る。

もし、図１１中”Ｓ５０３”において各ワームパケット記録装置から捕捉された不正なパケットに関する情報を取得したと判断した場合には、図１１中”Ｓ５０４”においてワーム伝播監視装置８は、取得した情報を解析して表示手段に表示させる。

例えば、図６に示す表示画面からは、検出された未知のワームが送信した不正なパケットは図６中”ＳＡ２１”に示す送信元アドレスから主に送信され、図６中”ＤＳ２１”に示す送信先アドレスに集中していることを容易に把握することができる。

また、例えば、図７に示す表示画面からは、図７に示すように図７中”ＴＭ３１”に示す通過時刻を中心に未知のワームが送信した不正なパケットが伝播したことを把握することができる。

さらに、例えば、図８に示す表示画面からは、未知のワームが、図８中”ＳＡ４１”に示す送信元アドレスから図８中”ＤＡ４１”、”ＤＡ４２”、”ＤＡ４３”、”ＤＡ４４”、”ＤＡ４５”及び”ＤＡ４６”に示す各送信先アドレスに対して不正なパケットが送信していることを容易に把握することができる。

この結果、各ネットワークの出入り口に設置されたワームパケット記録装置５〜７が通過するパケットのデータ部分と通過時刻、送信元アドレス及び送信先アドレス等を記録し、ワームパケット捕捉装置１１が未割り当てアドレスブロック１０５に到達するパケットから感染拡大中の未知のワームが送信する不正なパケットを捕捉し、ワーム伝播監視装置８がワームパケット捕捉装置１１から受信した捕捉された不正なパケットのデータ部分に基づき各ワームパケット記録装置５〜７に検索を依頼し、取得した情報を解析し表示させることにより、感染拡大中の未知のワームを捕捉して現在感染が拡大しているワームの伝播経路を特定することが可能になる。

なお、図１若しくは図９に示す実施例においては監視対象のネットワーク１０１〜１０４としては３つのネットワークを例示しているが、勿論、この数に限定されるものではなく任意の数のネットワークに対して適用することが可能である。

この場合には、監視対象であるネットワークの数に応じてワームパケット記録装置を各ネットワークの出入り口に設置する必要がある。

また、図１等に示す実施例では、ワームパケット記録装置が不正なパケットのデータ部分を記録する際に、当該データ部分をハッシュ値に変換して記憶手段１０に記録していたが、勿論、ハッシュ値に変換することなくデータ部分そのものを記憶手段１０に記録しても構わない。

また、図１等に示す実施例では、ワームパケット記録装置が不正なパケットのデータ部分を記録する際に、当該データ部分をハッシュ値に変換して記憶手段１０に記録していたが、全てのハッシュ値を時系列的に記録するのではなく、同一なハッシュ値の出現頻度をカウントすると共に当該ハッシュ値に対応する通過時刻、送信元アドレス及び送信先アドレス等を順次記録しても構わない。

この場合には、ワームが送信する不正なパケットは大量のパケットとなる場合が多いので、出現頻度の高いハッシュ値から順番に検索することにより、ハッシュ値の検索時間の短縮が可能になる。また、同一のハッシュ値が多量に通過した場合であっても１つのハッシュ値の記録ですむことになるので記憶手段の記憶容量の低減が可能になる。

さらに、ハッシュ値の出現頻度の低い情報を順次削除しても構わない。具体的には、ハッシュ値の出現頻度の上位１００位までを記憶しておき、１０１位以下の出現頻度のハッシュ値及びこのハッシュ値に対応する情報を破棄する。

この場合には、ハッシュ値の出現頻度の高い情報のみの記録ですむことになるので記憶手段の記憶容量の低減が可能になる。

また、ワーム伝播監視装置８が表示手段に表示させる表示画面の一例として図６、図７及び図８に示す表示画面を例示しているが、勿論、これらの表示画面に限定されるものではない。

また、図６示す表示画面では各ワームパケット記録装置から取得した送信元アドレス及び送信先アドレスに基づきｘ軸を送信元アドレス、ｙ軸を送信先アドレスとし、通過した不正なパケットの分布を表示させるているが、勿論、ｙ軸を送信元アドレス、ｘ軸を送信先アドレスとしても構わない。

本発明に係るワーム伝播監視システムの一実施例を示す構成ブロック図である。ワームパケット記録装置の動作を説明するフロー図である。ワームパケット記録装置の具体例を示す構成ブロック図である。ワームパケット記録装置の動作を説明するフロー図である。ワーム伝播監視装置の動作を説明するフロー図である。ｘ軸を送信元アドレス、ｙ軸を送信先アドレスとし、通過した不正なパケットの分布を示した場合の表示画面の一例を示す説明図である。あるネットワークの出入り口においてｘ軸を通過時刻、ｙ軸を通過した不正なパケットのパケット数とした場合の表示画面の一例を示す説明図である。検出された不正なパケットの送信元アドレスと送信先アドレスとを線分で結合した場合の表示画面の一例を示す説明図である。本発明に係るワームワーム伝播監視システムの他の実施例を示す構成ブロック図である。ワームパケット捕捉装置の動作を説明するフロー図である。ワーム伝播監視装置の動作を説明するフロー図である。従来のワーム伝播監視システムの一例を示す構成ブロック図である。ワーム伝播監視システムの動作を説明するフロー図である。

符号の説明

１，２，３ＮＩＤＳ（ネットワーク侵入検知システム）
４ＩＤＳ監視装置
５，６，７ワームパケット記録装置
８ワーム伝播監視装置
９演算制御手段
１０記憶手段
１１ワームパケット捕捉装置
１００バックボーン・ネットワーク
１０１管理用ネットワーク
１０２，１０３，１０４ネットワーク
１０５未割り当てアドレスブロック

Claims

ワームが送信する不正なパケットの伝播経路を特定するワーム伝播監視システムにおいて、
バックボーン・ネットワークと複数のネットワークの接続点に設けられ、通過するパケットのデータ部分と通過時刻、送信元アドレス及び送信先アドレスを記録し、検索の依頼があった場合に一致したデータ部分に対応する通過時刻、送信元アドレス及び送信先アドレスを情報として送信する複数のワームパケット記録装置と、
入力された不正なパケットのデータ部分に基づき前記各ワームパケット記録装置に検索を依頼し、前記各ワームパケット記録装置から取得した前記情報を解析し表示させるワーム伝播監視装置と
を備えたことを特徴とするワーム伝播監視システム。
前記ワームパケット記録装置が、
前記データ部分をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値と前記情報とを併せて記録することを特徴とする
請求項１記載のワーム伝播監視システム。
前記ワームパケット記録装置が、
前記データ部分をハッシュ関数を用いてハッシュ値に変換し、同一なハッシュ値の出現頻度をカウントすると共に当該ハッシュ値に対応する通過時刻、送信元アドレス及び送信先アドレスを順次記録することを特徴とする
請求項１記載のワーム伝播監視システム。
前記ワームパケット記録装置が、
ハッシュ値の出現頻度の低い情報を順次削除することを特徴とする
請求項３記載のワーム伝播監視システム。
前記ワームパケット記録装置が、
記憶手段と、
前記データ部分、若しくは、前記データ部分をハッシュ関数により変換したハッシュ値と前記情報とを併せて記録し、検索の依頼があった場合に一致したデータ部分、若しくは、前記データ部分をハッシュ関数により変換したハッシュ値に対応する前記情報を送信する演算制御手段とから構成されることを特徴とする
請求項１乃至請求項４のいずれかに記載のワーム伝播監視システム。
ワームが送信する不正なパケットの伝播経路を特定するワーム伝播監視システムにおいて、
バックボーン・ネットワークと複数のネットワークの接続点に設けられ、通過するパケットのデータ部分と通過時刻、送信元アドレス及び送信先アドレスを記録し、検索の依頼があった場合に一致したデータ部分に対応する通過時刻、送信元アドレス及び送信先アドレスを情報として送信する複数のワームパケット記録装置と、
未割り当てアドレスブロックに到達するパケットから感染拡大中の未知のワームが送信する不正なパケットを捕捉するワームパケット捕捉装置と、
このワームパケット捕捉装置から取得した不正なパケットのデータ部分に基づき前記各ワームパケット記録装置に検索を依頼し、前記各ワームパケット記録装置から取得した前記情報を解析し表示させるワーム伝播監視装置と
を備えたことを特徴とするワーム伝播監視システム。
前記ワームパケット記録装置が、
前記データ部分をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値と前記情報とを併せて記録することを特徴とする
請求項６記載のワーム伝播監視システム。
前記ワームパケット記録装置が、
前記データ部分をハッシュ関数を用いてハッシュ値に変換し、同一なハッシュ値の出現頻度をカウントすると共に当該ハッシュ値に対応する通過時刻、送信元アドレス及び送信先アドレスを順次記録することを特徴とする
請求項６記載のワーム伝播監視システム。
前記ワームパケット記録装置が、
ハッシュ値の出現頻度の低い情報を順次削除することを特徴とする
請求項８記載のワーム伝播監視システム。
前記ワームパケット記録装置が、
記憶手段と、
前記データ部分、若しくは、前記データ部分をハッシュ関数により変換したハッシュ値と前記情報とを併せて記録し、検索の依頼があった場合に一致したデータ部分、若しくは、前記データ部分をハッシュ関数により変換したハッシュ値に対応する前記情報を送信する演算制御手段とから構成されることを特徴とする
請求項６乃至請求項９のいずれかに記載のワーム伝播監視システム。
前記ワームパケット捕捉装置が、
同一プロトコルでデータ部分が同一であるパケットの取得数が予め設定された閾値を超過した場合に、前記パケットを未知のワームが送信したパケットとみなして、前記ワーム伝播監視装置に前記パケットのプロトコルとデータ部分を送信することを特徴とする
請求項６記載のワーム伝播監視システム。
前記ワーム伝播監視装置が、
前記ワームパケット記録装置から取得した前記情報に基づき、ｘ軸若しくはｙ軸を送信元アドレス、ｙ軸若しくはｘ軸を送信先アドレスとし、通過した不正なパケットの分布を表示させることを特徴とする
請求項１若しくは請求項６記載のワーム伝播監視システム。
前記ワーム伝播監視装置が、
前記ワームパケット記録装置の一から取得した前記情報に基づき、ｘ軸を時間、ｙ軸を通過した不正なパケットのパケット数として表示させることを特徴とする
請求項１若しくは請求項６記載のワーム伝播監視システム。
前記ワーム伝播監視装置が、
前記各ワームパケット記録装置から取得した前記情報に基づき、検出された不正なパケットの送信元アドレスと送信先アドレスとを線分で結合して表示させることを特徴とする
請求項１若しくは請求項６記載のワーム伝播監視システム。