JP2005293509A - 不正通信の自動設定侵入検知装置、方法および記録媒体 - Google Patents

Abstract

【課題】 監視対象ネットワークが多くても、また、管理者がことなっても、不正アクセスの対処方法を一元管理することが容易である不正通信の自動設定侵入検知装置、方法および記録媒体を提供することを目的とするものである。

【解決手段】 不正通信の自動設定侵入検知装置からの通知をデータベースに格納し、攻撃傾向や頻度を分析し、各自動設定侵入検知装置に対して、その攻撃傾向や頻度にあわせた設定情報を配布する集約装置の解釈可能なデータに変換し、ファイアウォール、侵入検知装置から得られた不正アクセスログをログデータベースに格納し、管理者に不正アクセスを報告し、ファイアウォール、侵入検知装置の固有の設定データ形態を解析し、上記集約装置の解釈可能なデータに変換し、解釈可能なデータとして変換された設定情報を保持し、新たに設定しなければならない情報を受け取り、設定情報への改変、更新を行う。

【選択図】 図１

Description

本発明は、外部ネットワークからの不正なアクセスを防止する方法およびその装置に関し、特に、侵入検知装置の連係動作機能を用いることによって、外部ネットワークからの不正なアクセスを防止する方法およびその装置に関する。

図８は、従来のセキュリティシステム１００ａを示す図である。

従来のセキュリティシステム１００ａは、外部ネットワーク３００と監視対象ネットワーク２００との間に接続され、通信パケットを監視することによって不正なアクセスを遮断するファイアウォール２０と侵入検知装置３０とを有し、監視対象ネットワーク２００のサービス状態を、管理者Ｐ１が把握した上で、セキュリティポリシ設定を入力する。なお、上記セキュリティポリシ設定は、フィルタリング設定（流れてきた情報を振り分ける条件が記述されたもの）等である。

管理者Ｐ１は、監視対象ネットワーク２００で守りたいセキュリティポリシを、手動または設定装置等を用いることによって、入力している（たとえば、特許文献１参照）。

監視対象ネットワーク２００の状態から、防御すべき通信の設定を自動化することは可能であるが、元々のセキュリティポリシは、管理者Ｐ１の裁量に常に委ねられ、最新の攻撃に対する対処方法等のセキュリティポリシを反映するためには、管理者Ｐ１からのアクセスが必要である。
特開２００２−３２８８９６号公報

複数の監視対象ネットワーク２００上に存在するファイアウォール２０、侵入検知装置３０におけるパケットフィルタリング情報、検知情報を利用して、不正アクセスの流行を把握し、複数の監視対象ネットワーク２００上に存在するファイアウォール２０、侵入検知装置３０の設定を、自動的に変更し、不正アクセスの流行にあわせた不正アクセス防止手法を必要とする。

従来、不正アクセスの傾向や流行は、管理者Ｐ１の経験や運営上のデータから傾向を推測し、対処方法を考える必要がある。この対処方法についても、多数の対処方法が存在し、これら多数の対処方法の中から、１つの対処方法を選択する場合、管理者Ｐ１の裁量によって選択するので、多数の監視対象ネットワークのそれぞれの管理者が異なる場合、多数の監視対象ネットワークにおける不正アクセスの対処方法を一元管理することが困難であるという問題がある。

本発明は、監視対象ネットワークが多くても、また、管理者がことなっても、不正アクセスの対処方法を一元管理することが容易である不正通信の自動設定侵入検知装置、方法および記録媒体を提供することを目的とするものである。

本発明は、複数の監視対象ネットワークのそれぞれに対して、不正な通信を監視、防御し、上記監視対象ネットワークと外部ネットワークとの間に設置されている不正通信の自動設定侵入検知装置において、ファイアウォール、侵入検知装置の固有のログ形態を解析する不正アナログ解析部であって、上記不正通信の自動設定侵入検知装置からの通知をデータベースに格納し、攻撃傾向や頻度を分析し、各自動設定侵入検知装置に対して、その攻撃傾向や頻度にあわせた設定情報を配布する集約装置の解釈可能なデータに変換する不正アクセスログ解析部と、ファイアウォール、侵入検知装置から得られた不正アクセスログを格納するログデータベースと、管理者またはユーザに不正アクセスを報告する不正アクセス報告出力部と、ファイアウォール、侵入検知装置の固有の設定データ形態を解析し、上記集約装置の解釈可能なデータに変換する設定解析部と、上記設定解析部において解釈可能なデータとして変換された設定情報を保持し、新たに設定しなければならない情報を受け取り、設定情報への改変、更新を行う設定更新部とを有する不正通信の自動設定侵入検知装置である。

本発明によれば、監視対象ネットワークが多くても、また、管理者がことなっても、不正アクセスの対処方法を一元管理することが容易であるという効果を奏する。

また、本発明によれば、複数ある監視対象ネットワーク２００上に存在するファイアウォール２０や侵入検知装置３０の状態を、常に最新の設定で運用することができるという効果を奏する。

さらに、本発明によれば、監視対象ネットワーク毎に管理者をつける必要がないという効果を奏する。

発明を実施するための最良の形態は、以下の実施例である。

図１は、本発明の実施例１である自動設定侵入検知装置１０を含むセキュリティシステム１００を示す図である。

セキュリティシステム１００は、従来のセキュリティシステム１００ａに、自動設定侵入検知装置１０が付加されたシステムである。つまり、セキュリティシステム１００は、自動設定侵入装置１０と、ファイアウォール２０と、侵入検知装置３０とを有し、外部ネットワーク３００を介して、集約装置４００に接続されている。

集約装置４００は、複数、散らばっているセキュリティシステム１００と通信できる状況であればどこに配置するようにしてもよい。

自動設定侵入検知装置１０は、セキュリティシステム１００内部のファイアウォール２０に代表される各セキュリティシステム機能と、管理者Ｐ１またはユーザと、監視対象ネットワーク２００と、外部ネットワーク３００との間で、情報を仲介する。

図２は、セキュリティシステム１００を示す図である。

セキュリティシステム１００は、自動設定侵入検知装置１０と、ファイアウォール２０と、侵入検知装置３０とを有する。

自動設定侵入検知装置１０は、不正アクセスログを通知する機能と、ファイアウォール２０と侵入検知装置３０との設定を変更する機能とを実現し、防御装置通信部１１と、不正アクセスログ解析部１２と、ログデータベース１３と、不正アクセス報告出力部１４と、設定解析部１５と、設定更新部１６と、不正アクセス報告入出力部１７とを有し、ファイアウォール２０や侵入検知装置３０を代表するセキュリティシステム機能の設定情報を更新する。

防御装置通信部１１は、ファイアウォール２０や侵入検知装置３０との情報をやり取りするインタフェースである。不正アクセスログ解析部１２は、ファイアウォール２０や侵入検知装置３０固有のログ形態を解析し、集約装置４００の解釈可能なデータに変換し、たとえば、データベースの並び順等を変更する。

ログデータベース１３は、ファイアウォール２０や侵入検知装置３０等から得られた不正アクセスログを格納する。不正アクセス報告出力部１４は、管理者Ｐ１またはユーザに不正アクセス報告を行い、たとえばＷｅｂブラウザ上で見られるように加工等を行う。

設定解析部１５は、不正アクセスログ解析部１２と同様に、ファイアウォール２０や侵入検知装置３０固有の設定データ形態を解析し、集約装置４００の解釈可能なデータに変換する。

設定更新部１６は、設定解析部１５において解釈可能なデータとして変換された設定情報を保持し、新たに設定しなければならない情報を受け取り、設定情報への改変、更新を行う。不正アクセス報告入出力部１７は、集約装置４００へ繋がるネットワークのインタフェースである。

ファイアウォール２０は、ファイアウォールの機能本体２１と、フィルタ設定部２２と、不正アクセスログ２３とを有し、各設定を参照する機能と不正アクセスを防御したときに出力される不正アクセスログを格納している。

侵入検知装置３０は、侵入検知の機能本体３１と、フィルタ設定部３２と、不正アクセスログ３３とを有し、各設定を参照する機能と不正アクセスを防御したときに出力される不正アクセスログを格納している。

図３は、集約装置４００を示す図である。

集約装置４００は、状態情報通信部４１と、ログデータベース４２と、状態管理データベース４３と、統計情報解析部４４と、状態解析部４５と、最新更新設定部４６と、ポート別セットデータベース４７とを有し、最新の攻撃頻度情報を作るために解析し、集約装置４００を更新すべきデータを生成する。

状態情報通信部４１は、自動設定侵入検知装置１０との通信を行うインタフェースである。ログデータベース４２は、複数の自動設定侵入検知装置１０から通知された不正アクセス情報を格納する。状態管理データベース４３は、各自動設定侵入検知装置１０が持つ最終更新の設定情報を格納している。

統計情報解析部４４は、ログデータベース４２のログを参照し、不正アクセスによく使用される手法順に攻撃傾向情報を発行する。状態解析部４５は、統計情報解析部４４において発行された攻撃傾向情報と状態管理データベース４３とを照らし合わせ、更新が必要であるか否かを判断し、更新が必要である場合は、更新情報を発行する。

最新更新設定部４６は、状態解析部４５において発行された更新情報に基づいて、自動設定侵入検知装置１０へ通知する最新データを作成する。ポート別セットデータベース４７は、最新更新設定部４６において作成される最新データに必要な設定情報を、攻撃種類、ポート別にまとめたルールセットを格納している。

図４は、複数のセキュリティシステム１００、１０１、１０２と、集約装置４００との接続関係を示す図である。

セキュリティシステム１０１、１０２は、セキュリティシステム１００と同等の装置であり、監視対象ネットワーク２０１、２０２に対して機能している。集約装置４００は、セキュリティシステム１００、１０１、１０２のいずれからも通信できる環境に設置される。セキュリティシステム１００、１０１、１０２は、それぞれ防壁や検知動作を行うが、ネットワーク３００を介して、防壁の動作や検知情報を、不正アクセス情報として集約装置４００に通知する。

また、集約装置４００は、セキュリティシステム１００、１０１、１０２からの通知をデータベースに格納し、攻撃傾向や頻度を分析し、各自動設定侵入検知装置１０に対して、その攻撃傾向や頻度にあわせた設定情報を配布する。

次に、実施例１の動作について説明する。

図５は、実施例１において、ファイアウォール２０と侵入検知装置３０とで得られる不正アクセス情報を集計する動作を示すフローチャートである。

まず、Ｓ１では、侵入検知装置３０とファイアウォール２０とに存在する不正アクセスログを、自動設定侵入検知装置１０へ取り込む。Ｓ２では、不正アクセスログ解析部１２が処理を開始する。不正アクセスログのログデータは、ファイアウォール２０や侵入検知装置３０毎に、テンプレートが異なるので、今後の処理に必要なデータを抽出し、精査する。

Ｓ３では、ログデータがデータベース１３に登録される。この後に、Ｓ４とＳ６とを並行処理する。つまり、Ｓ４とＳ６とを分岐して、同時進行で処理する。

Ｓ４では、不正アクセス報告出力部１４が管理者Ｐ１やユーザヘ不正アクセスを報告する。たとえば、Ｗｅｂブラウザで、ユーザが現在の不正アクセス状況を見ることができるようにＨＴＭＬ化する等の処理が実行される。Ｓ５では、管理者Ｐ１やユーザが不正アクセス報告を収集する。

一方、Ｓ６では、頻出攻撃手法の統計による攻撃の傾向を得るために、不正アクセス情報を集約装置４００へ通知する。なお、上記攻撃をたとえると、ポートスキャンやＤｏＳ攻撃等であり、ウィルスを利用した１３５番ポートに対する攻撃のＢｌａｓｔｅｒ等も、攻撃手法の１つである。

Ｓ７では、外部ネットワーク３００と接続されているインタフェースヘ転送する。Ｓ８では、集約装置４００のデータベースヘ格納する。Ｓ９では、ログを解析し、頻出攻撃手法の統計による攻撃の傾向を得る。

図６は、実施例１において、ファイアウォール２０や侵入検知装置３０のフィルタリング設定や、ルール設定を更新する動作を示すフローチャートである。

Ｓ１０では、ファイアウォール２０や侵入検知装置３０のフィルタリング設定やルール設定が記述されている設定情報を得る。Ｓ１１では、不正アクセスログ解析部１２が処理を開始する。設定情報は、ファイアウォール２０や侵入検知装置３０毎に、テンプレートが異なるので、今後の処理に必要なデータを抽出し、精査する。Ｓ１２では、現在の設定情報を、外部ネットワーク３００ヘ通信するために変換する。Ｓ１３では、上記設定情報を集約装置４００へ通知する。Ｓ１４では、通知された設定情報をデータベースヘ格納する。

図７は、実施例１における設定更新の動作を示すフローチャートである。

Ｓ１５では、集約装置４００において、状態解析部４５が状態管理データベース４３を参照し、更新が必要なセキュリティシステムを確認する。Ｓ１６では、更新状態が最新のものであり、状態管理データベース４３が監視状態に入り、更新の必要があるかどうかを判断する。更新の必要があれば、Ｓ１７では、状態管理データベース４３から、該当データを参照する。Ｓ１８では、上記該当データを取り込む。

Ｓ１９では、頻出攻撃手法の統計による攻撃の傾向の情報と引き出した上記該当データとを、最新更新設定部４６に通知する。Ｓ２０では、頻出攻撃手法の統計による攻撃の傾向の情報に基づいて、最新更新設定部４６が、ポート別セットデータベース４７から必要な情報を参照し、更新情報を作成する。

Ｓ２１では、作成した更新情報を集約装置４００へ通知する。そして、Ｓ２２では、一連の動作処理（図６に示す設定更新登録動作）によって、各セキュリティシステムへ通知する。

上記動作によって、最新攻撃トレンドに反映させた設定を、自動的に実行することができ、管理者Ｐ１がいなくても、監視対象ネットワーク２００毎に、各監視対象ネットワーク２００を安全に利用できる環境を実現することができる。

集約装置４００が、設定を考え、自動設定侵入検知装置１０を窓口として、セキュリティシステムに伝達される。

自動設定侵入検知装置１０を有するセキュリティシステム１００は、監視対象ネットワーク２００について、通信を監視し、不正なアクセスに対して、防壁や検知を発揮する。

従来例では、セキュリティシステム１００と管理者Ｐ１またはユーザとは、管理者Ｐ１からのセキュリティポリシの設定をやり取りし、これによって、セキュリティ機能を運用するが、上記実施例１では、不正アクセスの報告等の管理者Ｐ１またはユーザがセキュリティポリシを設定せずに、セキュリティ機能を運用することができる。

なお、上記実施例１には、格納されている上記不正な通信を不正な通信手段別に振り分ける振り分け手段と、上記振り分けられた不正な通信手段の数を積算し、頻度順に整理する整理手段とが設けられている。

つまり、実施例１は、監視対象ネットワーク２００上に存在するファイアウォール２０と侵入検知装置３０とに対して、自動設定侵入検知装置１０を付加することによって、パケットフィルタリング設定情報と侵入検知設定情報とを集約装置４００へ通知する機能と、集約装置４００から最新攻撃傾向を踏まえたパケットフィルタリング設定情報と侵入検知設定情報とを受け取り、設定を反映させる機能とを付加することができる。

この実施例１と集約装置４００との連係動作によって、複数存在している監視対象ネットワーク２００上に存在するファイアウォール２０や侵入検知装置３０の状態を、常に最新の設定で運用することができる。

さらに、実施例１では、上記通信と設定とは、自動設定侵入検知装置１０定期的な更新と集約装置４００の緊急更新機能とによって、自動的な動作が可能であり、監視対象ネットワーク２００毎に管理者Ｐ１をつける必要がない。

また、上記実施例１を、プログラムの発明として把握することができる。つまり、上記実施例１は、複数の監視対象ネットワークのそれぞれに対して、不正な通信を監視、防御し、上記監視対象ネットワークと外部ネットワークとの間に設置されている不正通信の自動設定侵入検知装置の制御プログラムにおいて、ファイアウォール、侵入検知装置の固有のログ形態を解析する不正アナログ解析段階であって、上記不正通信の自動設定侵入検知装置からの通知をデータベースに格納し、攻撃傾向や頻度を分析し、各自動設定侵入検知装置に対して、その攻撃傾向や頻度にあわせた設定情報を配布する集約装置の解釈可能なデータに変換する不正アクセスログ解析手順と、ファイアウォール、侵入検知装置から得られた不正アクセスログをログデータベースに格納する手順と、管理者またはユーザに不正アクセスを報告する不正アクセス報告出力手順と、ファイアウォール、侵入検知装置の固有の設定データ形態を解析し、上記集約装置の解釈可能なデータに変換する設定解析手順と、上記設定解析部において解釈可能なデータとして変換された設定情報を保持し、新たに設定しなければならない情報を受け取り、設定情報への改変、更新を行う設定更新手順とをコンピュータに実行させるプログラムの例である。

また、上記プログラムを、ＣＤ、ＤＶＤ、ＨＤ、半導体メモリ等の記録媒体に記録するようにしてもよい。

本発明の実施例１である自動設定侵入検知装置１０を含むセキュリティシステム１００を示す図である。 セキュリティシステム１００を示す図である。 集約装置４００を示す図である。 複数のセキュリティシステム１００、１０１、１０２と、集約装置４００との接続関係を示す図である。 実施例１において、ファイアウォール２０と侵入検知装置３０とで得られる不正アクセス情報を集計する動作を示すフローチャートである。 実施例１において、ファイアウォール２０や侵入検知装置３０のフィルタリング設定や、ルール設定を更新する動作を示すフローチャートである。 実施例１における設定更新の動作を示すフローチャートである。 従来のセキュリティシステム１００ａを示す図である。

符号の説明

１００、１０１、１０２…セキュリティシステム、
１０…自動設定侵入検知装置、
１１…防御装置通信部、
１２…不正アクセスログ解析部、
１３…ログデータベース、
１４…不正アクセス報告出力部、
１５…設定解析部、
１６…設定項深部、
１７…不正アクセス報告入出力部、
２０…ファイアウォール、
２１…機能本体、
２２…フィルタ設定部、
２３…不正アクセスログ、
３０…侵入検知装置、
３１…機能本体、
３２…ルール設定部、
３３…不正アクセスログ、
２００、２０１、２０２…監視対象ネットワーク、
３００…外部ネットワーク、
４００…集約装置、
４１…状態情報通信部、
４２…ログデータベース、
４３…状態管理データベース、
４４…統計情報解析部、
４５…状態解析部、
４６…最新更新設定部、
４７…ポート別セットデータベース、
Ｐ１…管理者。

Claims (7)

1. 複数の監視対象ネットワークのそれぞれに対して、不正な通信を監視、防御し、上記監視対象ネットワークと外部ネットワークとの間に設置されている不正通信の自動設定侵入検知装置において、
   ファイアウォール、侵入検知装置の固有のログ形態を解析する不正アナログ解析部であって、上記不正通信の自動設定侵入検知装置からの通知をデータベースに格納し、攻撃傾向や頻度を分析し、各自動設定侵入検知装置に対して、その攻撃傾向や頻度にあわせた設定情報を配布する集約装置の解釈可能なデータに変換する不正アクセスログ解析部と；
   ファイアウォール、侵入検知装置から得られた不正アクセスログを格納するログデータベースと；
   管理者またはユーザに不正アクセスを報告する不正アクセス報告出力部と；
   ファイアウォール、侵入検知装置の固有の設定データ形態を解析し、上記集約装置の解釈可能なデータに変換する設定解析部と；
   上記設定解析部において解釈可能なデータとして変換された設定情報を保持し、新たに設定しなければならない情報を受け取り、設定情報への改変、更新を行う設定更新部と；
   を有することを特徴とする不正通信の自動設定侵入検知装置。
2. 請求項１において、
   作成された上記更新設定情報を受け取る防御装置通信部を有することを特徴とする不正通信の自動設定侵入検知装置。
3. 請求項１において、
   格納されている上記不正な通信を不正な通信手段別に振り分ける振り分け手段と；
   上記振り分けられた不正な通信手段の数を積算し、頻度順に整理する整理手段と；
   複数の監視対象ネットワーク上で行われている不正な通信の頻度情報を作成する統計情報解析部と；
   を有することを特徴とする不正通信の自動設定侵入検知装置。
4. 請求項２において、
   上記ログデータベースは、監視対象ネットワークと外部ネットワークの間にある不正な通信を監視および防御する装置の監視および防御をする装置が作成した不正な通信履歴を保存したログ情報を受け取り、不正な通信履歴をデータベースに一括で格納するデータベースであり、
   上記ログ情報を上記集約装置へ通知するための不正アクセス報告入出力部を有することを特徴とする不正通信の自動設定侵入検知装置。
5. 複数の監視対象ネットワークのそれぞれに対して、不正な通信を監視、防御するための装置が、上記監視対象ネットワークと外部ネットワークとの間に設置され、上記外部ネットワーク上に設置されている集約装置において、
   不正な通信手段を監視するための不正な通信手段の情報から、不正な通信手段に使用される侵入路別に、侵入路別不正通信手段情報をまとめる統計情報解析部と；
   上記侵入路別不正通信手段情報を、ポート別に格納するポート別セットデータベースと；
   上記監視対象ネットワークと外上記部ネットワークとの間における所定の不正な通信を監視、防御する装置から得られる更新状況情報を格納するログデータベースと；
   上記格納されている更新状況情報を参照し、更新が必要か否かを判断する状態解析部と；
   不正な通信を監視、防御する装置が開放している通信路情報と、複数の監視対象ネットワーク上で行われている不正な通信の頻度情報とに基づいて、上記侵入路別不正通信手段情報を選択し、更新設定情報を作成する最新更新設定部と；
   を有することを特徴とする集約装置。
6. 複数の監視対象ネットワークのそれぞれに対して、不正な通信を監視、防御し、上記監視対象ネットワークと外部ネットワークとの間に設置されている不正通信の自動設定侵入検知装置の制御方法において、
   ファイアウォール、侵入検知装置の固有のログ形態を解析する不正アナログ解析段階であって、上記不正通信の自動設定侵入検知装置からの通知をデータベースに格納し、攻撃傾向や頻度を分析し、各自動設定侵入検知装置に対して、その攻撃傾向や頻度にあわせた設定情報を配布する集約装置の解釈可能なデータに変換する不正アクセスログ解析段階と；
   ファイアウォール、侵入検知装置から得られた不正アクセスログをログデータベースに格納する段階と；
   管理者またはユーザに不正アクセスを報告する不正アクセス報告出力段階と；
   ファイアウォール、侵入検知装置の固有の設定データ形態を解析し、上記集約装置の解釈可能なデータに変換する設定解析段階と；
   上記設定解析部において解釈可能なデータとして変換された設定情報を保持し、新たに設定しなければならない情報を受け取り、設定情報への改変、更新を行う設定更新段階と；
   を有することを特徴とする不正通信の自動設定侵入検知装置の制御方法。
7. 複数の監視対象ネットワークのそれぞれに対して、不正な通信を監視、防御し、上記監視対象ネットワークと外部ネットワークとの間に設置されている不正通信の自動設定侵入検知装置の制御プログラムにおいて、
   ファイアウォール、侵入検知装置の固有のログ形態を解析する不正アナログ解析段階であって、上記不正通信の自動設定侵入検知装置からの通知をデータベースに格納し、攻撃傾向や頻度を分析し、各自動設定侵入検知装置に対して、その攻撃傾向や頻度にあわせた設定情報を配布する集約装置の解釈可能なデータに変換する不正アクセスログ解析手順と；
   ファイアウォール、侵入検知装置から得られた不正アクセスログをログデータベースに格納する手順と；
   管理者またはユーザに不正アクセスを報告する不正アクセス報告出力手順と；
   ファイアウォール、侵入検知装置の固有の設定データ形態を解析し、上記集約装置の解釈可能なデータに変換する設定解析手順と；
   上記設定解析部において解釈可能なデータとして変換された設定情報を保持し、新たに設定しなければならない情報を受け取り、設定情報への改変、更新を行う設定更新手順と；
   をコンピュータに実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体。

Images