JP2005301551A - セキュリティ対策システム及び統合セキュリティシステム - Google Patents

Abstract

【課題】 管理者の負担が小さく、セキュリティ強度に違いが出ない、安全なセキュリティ対策システムと統合セキュリティシステムを提供する。
【解決手段】 上位統合セキュリティ管理システム１０２から配信されたデータベースを用い、セキュリティ事象の流れから統合セキュリティ管理システム１０４で対応関係の分析を行う。さらに、対応関係の分析を行ったある特定のセキュリティ事象に対して、統合セキュリティ管理システム１０４でセキュリティポリシーを作成、及び、編集し、これをクライアント１０５に対して自動的に配布する。セキュリティ対策を実施中は、ファイアウォール２０７でポートを閉じ、同様のセキュリティ事象を受け付けないようにする。
【選択図】 図２

Description

本発明は、日常、蓄積されるセキュリティログの相関分析を行いてセキュリティ対策を行うためのセキュリティ対策システム及び統合セキュリティシステムに関する。

近年、インターネット技術を用いて情報システムを構築するシステムが増加しており、それに伴って、企業活動のインフラとしても広く用いられてきている。そのため、かかる情報システムへの不正侵入や情報システムの持つコンテンツ等の改竄、ウィルスの蔓延等の脅威が急増しており、そこで、これらの脅威からシステムを防ぐためのセキュリティシステムの重要性が高くなってきている。

従来、これらの脅威を防ぐため、一般的には、例えば、ファイアウォールやウィルス対策プログラム等を、情報システム内に導入することが行なわれている。例えば、以下の特許文献１により知られる不正アクセス検知装置及び不正アクセス検知方法によれば、データベースに存在しない未知の攻撃であっても、不正アクセスとして検知することを可能とするため、サーバと侵入検知用サーバとを異なるプログラムで実現し、クライアントからのデータを受信した場合、上記サーバと侵入検知用サーバからの応答データを比較し、これらに顕著な差異があれば不正アクセスとして判断する。

また、例えば、以下の特許文献２によっても知られるように、各セキュリティプログラムを統合的に運用管理するセキュリティ管理システムが既に提案されている。すなわち、かかるシステムでは、システム内で発生したセキュリティ事象の監視や監査、更には、セキュリティポリシーの管理を統合的に行うことを可能とするものである。
特開２００３−６７２６９号公報 特開２００２−２４７０３３号公報

しかしながら、上述した従来技術では、特に、前者においては、不正アクセスを判断するものではあるが、その結果、対策実行要求が対策部に対して送られるが、この対策部は、管理者に通知等を実行するだけのものである。他方、上述した従来技術の後者においては、管理者は、統合的に管理されたセキュリティシステムを用いて、監視・監査・分析を行うものである。

以上のように、上述した従来技術では、不正アクセスの判断（前者）、その監視・監査・分析を管理システムが行なうものの、しかしながら、その対策については、管理者自身で情報システムのセキュリティ対策を考案し、施策しなければならず、そのため、管理者の技術力によってセキュリティ対策を行うまでの時間や情報システムのセキュリティの強度が左右されてしまうという問題点が存在していた。

そこで、本発明では、上述した従来技術における課題を解決し、より具体的には、管理者の負担軽減や、技術力による情報システムのセキュリティ強度の違いを無くし、より安全な情報システムを構築する支援を行えるセキュリティ対策システムを提供することをその目的とするものである。

上記目的を達成するため、本発明によれば、まず、それぞれセキュリティプログラムがインストールされた複数のクライアントがネットワークを介して接続され、かつ、前記クライアントのセキュリティプログラムで発生したセキュリティ事象を収集すると共に、前記各クライアントに対してセキュリティ対策を実行する統合セキュリティ管理部とを備えたセキュリティ対策システムであって：前記統合セキュリティ管理部は、収集した前記クライアントのセキュリティプログラムで発生したセキュリティ事象に対応するセキュリティ事象の対応関係の分析を行なって、当該セキュリティ事象を特定するセキュリティ事象処理部と；前記特定されたセキュリティ事象に対するセキュリティ対策を作成して配布するセキュリティポリシー処理部とを備えており、もって、前記セキュリティ事象が発生したクライアントにセキュリティ対策を実行させるセキュリティ対策システムが提案されている。

また、本発明によれば、前記のセキュリティ対策システムにおいて、前記統合セキュリティ管理部は、更に、インターネットを介して接続された上位セキュリティ管理システムで作成して配信されるセキュリティポリシーについての知識データ及び対策データを格納する知識データベース及び対策データベースとを備えており、当該知識及び対策データベースを用いて、前記収集したセキュリティ事象に対応するセキュリティ事象の対応関係の分析を行なって当該セキュリティ事象を特定し、かつ、前記セキュリティ対策を作成することが好ましい。又は、前記統合セキュリティ管理部は、更に、前記発生したセキュリティ事象を時系列に格納するセキュリティ事象データベースと、前記各クライアントのセキュリティポリシーを収集し、所定のフォーマットで格納するセキュリティポリシーデータベースとを備えており、前記セキュリティ事象データベースと前記セキュリティポリシーデータベースとを利用して、前記特定されたセキュリティ事象に対するセキュリティ対策を作成することが好ましい。

加えて、本発明によれば、前記したセキュリティ対策システムにおいて、前記統合セキュリティ管理部は、前記セキュリティ事象データベースに格納されたセキュリティ事象と前記知識データベースに格納された知識データとの対応関係を分析して当該セキュリティ事象の特定を実行することが好ましく、更には、前記セキュリティ対策を当該システムに接続された他のクライアントにも実行することが好ましい。

さらに、本発明によれば、やはり上記の目的を達成するため、ファイアウォールを介してインターネットに接続された統合セキュリティシステムであって、それぞれセキュリティプログラムがインストールされた複数のクライアントがネットワークを介して統合セキュリティ管理部に接続され、前記統合セキュリティ管理部は、前記クライアントのセキュリティプログラムで発生したセキュリティ事象を収集すると共に、前記各クライアントに対してセキュリティ対策を実行すると共に、前記統合セキュリティ管理部は、収集した前記クライアントのセキュリティプログラムで発生したセキュリティ事象に対してセキュリティ対策が必要と判断された場合には、前記ファイアウォールを介して当該システムを構成するクライアントへ侵入を遮断する統合セキュリティシステムが提案される。

なお、本発明では、前記の統合セキュリティシステムにおいて、前記統合セキュリティ管理部は、当該セキュリティ対策が必要とされるセキュリティ事象の発生頻度に応じて、前記ファイアウォールによる遮断を解除し、特に、当該セキュリティ事象の発生頻度が所定の値以下になった時に、前記ファイアウォールによる遮断を解除することが好ましい。

加えて、本発明によれば、前記に記載した統合セキュリティシステムにおいて、前記統合セキュリティ管理部は、前記ファイアウォールによる侵入の遮断を実行した後に、前記クライアントのセキュリティプログラムで発生したセキュリティ事象を収集すると共に、前記各クライアントに対してセキュリティ対策を実行させることが好ましい。

以上のように、本発明になるセキュリティ対策システム及び統合セキュリティシステムよれば、セキュリティ事象を発生している電子計算機（クライアント）に対して自動的にセキュリティ対策を実行させるだけではなく、更に、同ネットワークに接続されている他の電子計算機（クライアント）に対してもセキュリティ対策が行われているか確認するため、情報システムのセキュリティ強度を統一することができる。なお、この時、複数のセキュリティプログラムを統合的に管理しているシステムに対して本発明を適用することで、複数のセキュリティプログラムにまたがったセキュリティ事象に対して対応関係の分析を行うことにより、セキュリティ事象の特定およびセキュリティ対策を、適切に行うことが可能となる。

また、セキュリティ対策が必要な場合、セキュリティ対策を行うが、その際にセキュリティ対策を行っている間、ファイアウォールでポートを閉じ、同様のセキュリティ事象の攻撃を防御する。これにより、システムを同様のセキュリティ事象から防ぐことが可能となり、より安全なシステムを構築することが可能となる。

以下、本発明を実施するための最良の形態について、添付の図面に基づいて詳細に説明する。

まず、添付の図１は、本発明の一実施の形態になるセキュリティ対策システムを適用した統合セキュリティ管理システムの全体構成を示す。すなわち、本実施の形態によれば、上位統合セキュリティ管理システム１０２と、複数の統合セキュリティ管理システム１０４とは、例えば、インターネット１０３を経由して接続されている。なお、この統合セキュリティ管理システム１０４には、ネットワークを介して、脆弱点をもつ複数のクライアント１０５に接続されている。なお、ここで、このクライアントのもつ脆弱点とは、例えば、ウィルスや不正な侵入などに対する特性であり、その結果、ウィルスや不正な侵入などに対しては、セキュリティ事象の発生として検出されることとなる。

一方、上記セキュリティプログラム開発ベンダ１０１は、複数の統合セキュリティ管理システム１０４に接続されたライアント１０５の脆弱点に関するデータを、上記した上位統合セキュリティ管理システム１０２に配信する。この上位統合セキュリティ管理システム１０２は、上記セキュリティプログラム開発ベンダ１０１から配信された脆弱点に関するデータを基にして、その知識データベースおよび対策データベースを作成し、これらのデータをインターネット１０３を経由して、各統合セキュリティ管理システム１０４に配信する。

一方、統合セキュリティ管理システム１０４では、上述した各データベースを用いてセキュリティ事象の対応関係の分析を行い、ネットワークを介して接続されている複数の、それぞれ脆弱点をもつクライアント１０５に対して、自動的に対策を実施する。すなわち、各統合セキュリティ管理システム１０４は、各クライアント１０５から、その脆弱点に関する情報を収集しており、収集したセキュリティ事象の時系列から特定のセキュリティ事象になる事象を、統合的に管理されたセキュリティ事象を基にして、分析して判断する。さらに、このセキュリティ事象の分析によって特定されたセキュリティ事象に対しては、既に公表されているセキュリティ対策（上位統合セキュリティ管理システム１０２から配信される対策データベース）を実行する。

更に、統合セキュリティ管理システム１０４では、セキュリティ事象を発生している電子計算機（クライアント）だけでなく、同ネットワークに接続している電子計算機（クライアント）に対しても、当該セキュリティ対策が行われているか否か調査し、セキュリティ対策されていない場合には、セキュリティ対策を行う。

加えて、上記のセキュリティ対策を行っている期間においては、インターネット１０３と統合セキュリティ管理システム１０４との間に接続されているファイアウォール（後に説明する）によって、そのポートを閉止し、もって、同様のセキュリティ事象の攻撃を防御する。なお、一旦閉止されたファイアウォールのポートは、その後、セキュリティ対策後の状態を判断して再び開放される。

次に、図２は、上記図１に示した統合セキュリティ管理システムのうち、特に、その一の統合セキュリティ管理システム１０４の構成例について、詳細に示したものである。図からも明らかなように、各統合セキュリティ管理システム１０４は、ファイアウォール２０７を介して上記インターネット１０３へ接続された、例えば、ＬＡＮ又はＷＡＮ等のネットワーク２０６と、そして、このネットワーク２０６に接続された統合セキュリティ管理システム１０４と、やはりこのネットワーク２０６に接続された複数のクライアント１０５とによって構成されている。なお、このネットワーク２０６に接続された複数のクライアント１０５には、ウィルス対策プログラムや、侵入検知プログラムといった、所謂、セキュリティプログラム２０５がインストールされている。

更に詳細には、上記の統合セキュリティ管理システム１０４は、セキュリティ事象処理部２０１、セキュリティポリシー処理部２０２、知識データベース２０３、そして、対策データベース２０４とによって構成されている。なお、セキュリティ事象処理部２０１は、上記各クライアント１０５にインストールされたセキュリティプログラム２０５によって検出されたセキュリティ事象、上記ファイアウォール２０７からのセキュリティ事象、更には、上記クライアント１０５の電子計算機稼動ログ等を処理するためのセキュリティ事象の処理を行なう。一方、セキュリティポリシー処理部２０２は、上記各クライアント１０５のセキュリティプログラムのセキュリティポリシー、及び、上記ファイアウォール２０７のセキュリティポリシー、更には、上記クライアント１０５のセキュリティポリシー等を変更、配布、収集を行うためのセキュリティポリシー処理を行なう。

そして、上記の知識データベース２０３は、上述した複数のセキュリティ事象の対応関係を時系列的に保持（記憶）するためのデータベースであり、一方、上記の対策データベース２０４は、上記保持された複数のセキュリティ事象について、例えば、その対応関係を分析した後に実行されたセキュリティ対策の内容を保持するためのデータベースである。

次に、上記図２で示した統合セキュリティ管理システム１０４と一のクライアント１０５との間におけるデータの転送について、添付の図３を参照しながら、より詳細に説明する。

まず、上記クライアント１０５にインストールされたセキュリティプログラム２０５によってセキュリティ事象が検出されると、そのデータであるセキュリティ事象データが、上記統合セキュリティ管理システム１０４を構成するセキュリティ事象処理部２０１に送られ、そのセキュリティ事象収集機能３０１により収集される。そして、この収集されたセキュリティ事象には、それを発生したクライアント情報が付加され、セキュリティ事象格納機能３０２により、セキュリティ事象データベース２０３内に格納される。

一方、上記クライアント１０５のセキュリティプログラム２０５によって対策されたセキュリティポリシーが、上記クライアント１０５より送出されると、上記統合セキュリティ管理システム１０４を構成するセキュリティポリシー処理部２０２では、まず、その送出された各クライアントのセキュリティポリシーを、セキュリティポリシー収集機能３０４により収集する。そして、この収集されたセキュリティポリシーのフォーマットを、セキュリティポリシーフォーマット変換機能３０５によって、所定のフォーマットに統一し、その後、セキュリティポリシー格納機能３０６によってセキュリティポリシーデータベース３０９に格納する。

また、このセキュリティポリシー処理部２０２は、上記セキュリティポリシーデータベース３０９内に格納されている各種のセキュリティポリシーからセキュリティポリシーを適切に編集するセキュリティポリシー編集機能３０７を備えており、更には、このセキュリティポリシー編集機能により適切に編集されたセキュリティポリシーをクライアント１０５へ送出（配布）するセキュリティポリシー配布機能３０８を有している。これにより、適切なセキュリティポリシーをクライアント１０５のセキュリティプログラム２０５に対して適用させることが可能となる。

次に、上記のセキュリティ事象処理部２０１により収集されて上記セキュリティ事象データベース２０３内に格納しているセキュリティ事象を、上記知識データベース２０３を用いることによって当該セキュリティ事象に対して適切なセキュリティポリシーを編集するため、その対応関係を分析するための分析方法の一例を、添付の図４に示す。

まず、図４において、上記統合セキュリティ管理システム１０４内のセキュリティ事象データベース３０３には、上述したように、上記クライアント１０５にインストールされたセキュリティプログラム２０５によって検出されたセキュリティ事象が、例えば、図に示すように、その発生「時刻」（例えば、年／月／日／時刻）、それを検出した「セキュリティプログラム」（例えば、侵入検出プログラムやアクセス制御プログラム等）、更には、その「メッセージ」の内容（例えば、クライアント名やそのポート、サービスの種類等）などを含むデータが、各フィールド毎に分類されて記述されている。一方、知識データベース２０３は、上述したように、複数のセキュリティ事象を保持するためのものであり、図にその一例を示すように、各セキュリティ事象が、同一のクライアントについて、例えば、その「イベント名」、それが発生した「ポート（port）」、その「サービス（service）」、そして、その「対策」等の項目に分類され、それぞれ、各フィールドに格納されている。

そこで、上記の知識データベース２０３に格納された各種のセキュリティ事象の中から、上記セキュリティ事象データベース３０３内に格納された各セキュリティ事象にマッチする（適合した）、同一クライアントのセキュリティ事象をスキャンする。例えば、図示の例では、クライアント「Ａ」４０１について、２００３年ｘｘ月ｘｘ日１０時２分(2003/xx/xx 10:02)に発生した２件のセキュリティ事象について、それらのメッセージ（port=yyy、又は、service=zzz）を利用して、同じport又はserviceを有するイベント名のセキュリティ事象を知識データベース２０３から抽出（スキャン）する。そして、このマッチしたものを一つのセキュリティ事象４０２として判断する。

上記図４に示した、すなわち、最適セキュリティポリシーを編集する対応関係の分析方法について、より具体的な処理の流れを、添付の図５に示す。なお、この処理は、上記統合セキュリティ管理システム１０４において実行される。

この図５において、まず、知識データベース２０３から、１レコード取得し（ステップ５０１）、セキュリティ事象データベース３０３と比較する（ステップ５０２）。その結果、知識データベース２０３とマッチするセキュリティ事象が存在する場合には、更に、クライアント情報（具体的には、「クライアント名称」）でフィルタリングを行ってクライアント１０５の特定を行い、その後、時刻でフィルタリングを行い（ステップ５０３）、セキュリティ事象の絞込みを実行する。これは、マッチするセキュリティ事象の時刻に隣接したセキュリティ事象をも分析の対象とするためである。

その後、上記のフィルタリングを行ったセキュリティ事象（即ち、フィルタリング結果）を、上記知識データベース２０３の次のフィールドと比較する（ステップ５０４）。その結果、一致するデータがあれば、更に、ステップ５０５へ移り、上記知識データベース２０３に更に次のフィールドがあるか否かを判定し、上記の処理を知識データベース２０３のフィールドがなくなるまで行って処理を終了する。なお、上記ステップ５０２又は５０４での比較の結果、マッチするセキュリティ事象が存在しないと判断された場合には、処理は再び上記のステップ５０１へ戻り、他の１レコード取得して上記の処理を行なう。

このように、以上に詳細を説明した、知識データベース２０３を利用したセキュリティ事象の対応関係分析方法によれば、それまで発生した複数のセキュリティ事象から相関を見出して、これを特定のセキュリティ事象に変換（分類）することができ、もって、その後のセキュリティ対策の対象となるクライアント、及びそのセキュリティ対策の実施内容を特定（決定）することが可能となる。

次に、添付の図６は、上記に詳細に説明した対応関係の分析方法を実行した結果から、セキュリティ対策の対象となるクライアントに対し、その対策を行うための具体的な方法の一例を、処理の流れを矢印によって示す説明図である。

上述したように、上記の対応関係分析を行った結果から、或るイベント４０２が、例えば、その「イベント名」によって特定される。そして、既述したように、この知識データベース２０３の「対策」フィールドには、例えば、YYYが記載されている。そこで、この「対策」フィールド（例えば、YYY）を利用して、複数のセキュリティ事象に対して実行されたセキュリティ対策を格納した上記対策データベース２０４から、その対策フィールドのデータが同一であるレコード６０１を取得する。

その後、この対策データベース２０４から取得されたレコードに記述された対策を、例えば、図の例では、「ＯＳパッチ」については、これを「12345」に当てることをその内容とするセキュリティポリシー（ＯＳポリシー）を作成し、また、「ファイアウォール」については、ポート(ポート：yyy)について、その対策として、これを閉じる（対策：drop）ことを内容とするセキュリティポリシー（ファイアウォールポリシー）を作成する。そして、これらのポリシーを、それぞれ、クライアント１０５やファイアウォール１０７に配布し、それらにインストールされている各種のセキュリティプログラムを利用して対策を実行させる。

図７は、上記図６にその処理の流れを矢印で説明した対策方法を実現するための具体的な処理の流れを示すフローチャートである。この処理も、上記と同様に、統合セキュリティ管理システム１０４において実行される。

まず、この処理が開始すると、上記図５に示した分析方法によって特定された、上記知識データベース２０３上のセキュリティ事象から、その「対策」フィールド（上記図６の例では、例えば、「YYY」）に対応したレコードを、上記対策データベース２０４から取得する（ステップ７０１）。次に、この取得したレコードから、セキュリティカテゴリーの対策を取得する。

具体的には、取得したレコードから、その１つのフィールドを取得する（ステップ７０２）。その結果、取得するフィールドがあると判定された場合には、そのフィールドを取得し、その取得したフィールドには、対応したカテゴリーのセキュリティ製品が存在するか否かを判定する（ステップ７０３）。即ち、対策対象のクライアントに、対象のセキュリティカテゴリーのプログラムが存在するか否かを判定する。その結果、対応セキュリティ製品であるプログラムがあると判断された場合には、更に、対策済みか否かを判定する（ステップ７０４）。その結果、「対策済み」と判定された場合、更には、上記ステップ７０３で、対応セキュリティ製品であるプログラムが「なし」と判断された場合には、処理は、上記ステップ７０２へ戻って、次の１フィールドを取得して、上記の処理を繰り返す。すなわち、取得したレコードの全てのフィールドに亘って対応したカテゴリーのセキュリティ製品の有無とその対策を検索する。このことにより、対応したセキュリティカテゴリーの対策を取得することが出来る。

一方、上記ステップ７０４において「未対策」と判定された場合、即ち、取得したレコードの全てのフィールドに亘って対応したカテゴリーのセキュリティ製品の有無とその対策を検索したが、対策対象のクライアントには、対応したセキュリティカテゴリーのセキュリティプログラムが存在しているが、しかしながら、その対策は未だ行なわれていない（「未対策」）場合には、そのセキュリティポリシーを変更する（ステップ７０５）。その後、その変更をしたセキュリティポリシーを、対象クライアントに対して配布し、その対策を実施させる（ステップ７０６）。なお、上記の処理は、取得したレコードに、残りのフィールドがなくなるまで続けられ、残りのフィールドの（「なし」）の状態で終了する。

以上にその構成及び動作の詳細を説明した本発明になる統合セキュリティ管理システム１０４を中心とするシステム全体における信号の流れを、更に、添付の図８により説明する。

すなわち、上記の統合セキュリティ管理システム１０４を中心とするシステムでは、上記に説明したように、各クライアント１０５において発生し、時系列的に保持されたセキュリティ事象を基に、統合セキュリティ管理システム１０４では、各種のセキュリティ事象をフィールドに分類して格納する知識データベース２０３を利用して、それらの対応関係を分析し、更には、各種の対策を格納した対策データベース２０４を利用して、それに対応したセキュリティカテゴリーの対策を取得することが出来る（図の矢印８０１）。

その結果、セキュリティ対策が必要な場合には、まず、統合セキュリティ管理システム１０４を構成するネットワーク２０６が接続されて上記インターネット１０３に接続されるファイアウォール２０７に対し、そのセキュリティポリシーを作成し配布する（図の矢印８０２）。その後、対策対象のクライアントのセキュリティポリシーを作成し配布を行う（図の矢印８０３）。更に、上記統合セキュリティ管理システム１０４が管理している各クライアント１０５に対して、同様の検査を行い、その結果、対策が必要な場合には、そのセキュリティポリシーを変更して配布する（図の矢印８０４）。すなわち、このように、セキュリティ事象が発生し、それに対応したセキュリティ対策が必要と判断された場合に、先ず、ファイアウォール２０７にセキュリティポリシーを配布することによれば、該当するクライアント１０５においてセキュリティ対策を行っている期間、ファイアウォール２０７の働きを利用して、それと同様のセキュリティ事象の発生から各クライアント１０５を含むシステムを防御することが可能となる。

図９は、上記ファイアウォール２０７に対して、そのセキュリティポリシーを作成し配布する（図の矢印８０２）場合の具体例を示す。すなわち、この図９に示す例では、ファイアウォール２０７を構成するルータに対して、図示のようなファイアウォール管理テーブルを作成して配布する。すなわち、このセキュリティポリシーによれば、上記インターネット１０３に接続される各ポートに対し、その開放（accept）と遮断（drop）を規定しているが、例えば、セキュリティ対策が必要と判断されたクライアント１０５を含むシステムに対して接続されているポートXXXの状態を、開放（accept）状態から遮断（drop）状態へと変更する。このことによれば、上記インターネット１０３を介して、その外部から上記統合セキュリティ管理システム１０４を構成するクライアント１０５へ侵入するアクセスが遮断されることとなる。すなわち、インターネット１０３と統合セキュリティ管理システム１０４との間に接続されているファイアウォール２０７によって、システムの他のクライアント１０５をも、同様のセキュリティ事象の攻撃を防御することが出来る。

一方、上述したように、一旦、上記ファイアウォール２０７のポートを遮断（drop）した後、そのポートを開放（accept）するが、その時の動作を添付の図１０により説明する。すなわち、上記の統合セキュリティ管理システム１０４には、上述したように、常に、上記ファイアウォール２０７からもセキュリティ事象が転送されており、セキュリティ事象データベース３０３に収集されている。

そこで、ある一定の間隔で、このセキュリティ事象データベース３０３と知識データベース２０３のレコードとの比較を行う。一方、予め、セキュリティ事象の検出回数の閾値、検出閾値９０１を設定しておき、そして、上記一定の間隔でのセキュリティ事象の検出回数が、その閾値を超えることがなくなったとき、上記ファイアウォール２０７のセキュリティポリシー９０２を変更して、ファイアウォール２０７に配布する。具体的には、上記図９に示したファイアウォール管理テーブルにおいて、ポートXXXの状態を、開放（accept）状態から遮断（drop）状態へと変更する。これにより、対策を行っている期間、更には、その対策後の一定期間、システムを同様のセキュリティ事象から防ぐことが可能となり、より安全なシステムを構築することが可能となる。

以上にも述べたように、本発明になるセキュリティ対策システム及び統合セキュリティシステムによれば、セキュリティ事象の時系列から特定のセキュリティ事象になる事象を、統合的に管理されたセキュリティ事象を基に、その対応関係の分析を行って判断する。さらに、セキュリティ事象の対応分析を行った特定のセキュリティ事象に対して、公表されているセキュリティ対策を行う。さらに、セキュリティ事象を発生している電子計算機だけでなく同ネットワークに接続している電子計算機に対してもセキュリティ対策が行われているか調査し、セキュリティ対策されていない場合には、セキュリティ対策を行う。さらに、セキュリティ対策を行っている間、ファイアウォールでポートを閉じ、同様のセキュリティ事象の攻撃を防御する。セキュリティ対策後の状態を判断し、ファイアウォールで閉じたポートを開放する。

本発明の一実施の形態になる統合セキュリティシステムの全体構成を示す図である。 上記図１の統合セキュリティ管理システムのうち、一の統合セキュリティ管理システムの構成例について詳細に示した図である。 上記図２の統合セキュリティ管理システムと一のクライアントとの間におけるデータ転送について説明する図である。 知識データベースによってセキュリティ事象に適切なセキュリティポリシーを編集する分析方法の一例を示す説明図である。 上記図４の分析方法を実行するためのフローチャート図である。 上記分析方法の結果からセキュリティ対策を行う処理を説明するための説明図である。 上記図６の分析方法を実行するためのフローチャート図である。 本発明になる統合セキュリティ管理システムを中心とするシステム全体における信号の流れを説明する説明図である。 ファイアウォールに対して作成し配布するセキュリティポリシーの具体例であるファイアウォール管理テーブルを示す図である。 ファイアウォールのポート開放時の処理の流れを説明する説明図である。

符号の説明

１０１ セキュリティプログラム開発ベンダ
１０２ 上位統合セキュリティ管理システム
１０３ インターネット
１０４ 統合セキュリティ管理システム
１０５ クライアント
２０１ セキュリティ事象処理部
２０２ セキュリティポリシー処理部
２０３ 知識データベース
２０４ 対策データベース
２０５ セキュリティプログラム
２０６ ネットワーク
２０７ ファイアウォール
３０１ セキュリティ事象収集機能
３０２ セキュリティ事象格納機能
３０３ セキュリティ事象データベース
３０４ セキュリティポリシー収集機能
３０５ セキュリティポリシーフォーマット変換機能
３０６ セキュリティポリシー格納機能
３０７ セキュリティポリシー編集機能
３０８ セキュリティポリシー配布機能
３０９ セキュリティポリシーデータベース

Claims (9)

1. それぞれセキュリティプログラムがインストールされた複数のクライアントがネットワークを介して接続され、かつ、前記クライアントのセキュリティプログラムで発生したセキュリティ事象を収集すると共に、前記各クライアントに対してセキュリティ対策を実行する統合セキュリティ管理部とを備えたセキュリティ対策システムであって：
   前記統合セキュリティ管理部は、収集した前記クライアントのセキュリティプログラムで発生したセキュリティ事象に対応するセキュリティ事象の対応関係の分析を行なって、当該セキュリティ事象を特定するセキュリティ事象処理部と；
   前記特定されたセキュリティ事象に対するセキュリティ対策を作成して配布するセキュリティポリシー処理部とを備えており、もって、前記セキュリティ事象が発生したクライアントにセキュリティ対策を実行させることを特徴とするセキュリティ対策システム。
2. 前記請求項１に記載したセキュリティ対策システムにおいて、前記統合セキュリティ管理部は、更に、インターネットを介して接続された上位セキュリティ管理システムで作成して配信されるセキュリティポリシーについての知識データ及び対策データを格納する知識データベース及び対策データベースとを備えており、当該知識及び対策データベースを用いて、前記収集したセキュリティ事象に対応するセキュリティ事象の対応関係の分析を行なって当該セキュリティ事象を特定し、かつ、前記セキュリティ対策を作成することを特徴とするセキュリティ対策システム。
3. 前記請求項２に記載したセキュリティ対策システムにおいて、前記統合セキュリティ管理部は、更に、前記発生したセキュリティ事象を時系列に格納するセキュリティ事象データベースと、前記各クライアントのセキュリティポリシーを収集し、所定のフォーマットで格納するセキュリティポリシーデータベースとを備えており、前記セキュリティ事象データベースと前記セキュリティポリシーデータベースとを利用して、前記特定されたセキュリティ事象に対するセキュリティ対策を作成することを特徴とするセキュリティ対策システム。
4. 前記請求項２に記載したセキュリティ対策システムにおいて、前記統合セキュリティ管理部は、前記セキュリティ事象データベースに格納されたセキュリティ事象と前記知識データベースに格納された知識データとの対応関係を分析して当該セキュリティ事象の特定を実行することを特徴とするセキュリティ対策システム。
5. 前記請求項１に記載したセキュリティ対策システムにおいて、前記セキュリティ対策を当該システムに接続された他のクライアントにも実行することを特徴とするセキュリティ対策システム。
6. ファイアウォールを介してインターネットに接続された統合セキュリティシステムであって、それぞれセキュリティプログラムがインストールされた複数のクライアントがネットワークを介して統合セキュリティ管理部に接続され、前記統合セキュリティ管理部は、前記クライアントのセキュリティプログラムで発生したセキュリティ事象を収集すると共に、前記各クライアントに対してセキュリティ対策を実行すると共に、前記統合セキュリティ管理部は、収集した前記クライアントのセキュリティプログラムで発生したセキュリティ事象に対してセキュリティ対策が必要と判断された場合には、前記ファイアウォールを介して当該システムを構成するクライアントへ侵入を遮断することを特徴とする統合セキュリティシステム。
7. 前記請求項６に記載した統合セキュリティシステムにおいて、前記統合セキュリティ管理部は、当該セキュリティ対策が必要とされるセキュリティ事象の発生頻度に応じて、前記ファイアウォールによる遮断を解除することを特徴とする統合セキュリティシステム。
8. 前記請求項７に記載した統合セキュリティシステムにおいて、前記統合セキュリティ管理部は、当該セキュリティ対策が必要とされるセキュリティ事象の発生頻度が所定の値以下になった時に、前記ファイアウォールによる遮断を解除することを特徴とする統合セキュリティシステム。
9. 前記請求項７に記載した統合セキュリティシステムにおいて、前記統合セキュリティ管理部は、前記ファイアウォールによる侵入の遮断を実行した後に、前記クライアントのセキュリティプログラムで発生したセキュリティ事象を収集すると共に、前記各クライアントに対してセキュリティ対策を実行させることを特徴とする統合セキュリティシステム。
   

Images