JP2005332152A

JP2005332152A - 不正アクセス検知及び拒否を行うシステム、サーバ、及び方法、並びにプログラム

Info

Publication number: JP2005332152A
Application number: JP2004149274A
Authority: JP
Inventors: Kazusane Hayakawa; 和実早川
Original assignee: NTT Communications Corp
Current assignee: NTT Communications Corp
Priority date: 2004-05-19
Filing date: 2004-05-19
Publication date: 2005-12-02

Abstract

【課題】複数のサーバに対するアタックからの防御を自動的に行うことを可能とする技術を提供する。
【解決手段】不正アクセスの検知及び不正アクセスの拒否を行う、複数のサーバを備えたシステムにおいて、各サーバが、不正アクセスを検知して不正アクセス元を特定する検知手段と、不正アクセス元からのアクセスを拒否する拒否手段とを備え、前記複数のサーバにおける一のサーバが不正アクセスを検知した場合に、その不正アクセス元を前記複数のサーバにおける他のサーバに通知する通知手段を備える。
【選択図】図１

Description

本発明は、ネットワーク上のサーバに対する不正な第三者からのアタックを防御するための技術に関するものである。

一般にインターネットサービスプロバイダは、利用者からのアクセスを受けて利用者に対してサービスを提供するためのサーバ（以下、公開サーバという）を複数管理している。近年、このような公開サーバに対する、利用者以外の第三者からのアタック（サービス不能となる攻撃のことであり、不正アクセスともいう）が急増している。

従来は、この問題に対して、監視者がサーバログからアタックを検知し次第、サーバ上位に設置されているファイアウォール、あるいはルータにて、該当アタック受信を拒否（ブロック）する設定を手動で投入する対応を取っていた。なお、アタック防御に関する従来技術として例えば特許文献１に開示された技術がある。
特開２０００−１２４９５５号公報

上記のような従来の監視者による手動ブロック対応には以下の問題がある。
（１）アタック検知後の手動対応には少なくとも数分程度の遅れがあるため、手動ブロック対応時には既にサービスに影響が出ていることがほとんどである。
（２）あるサーバに対する対応後、アタック対象先が隣のサーバに移ることが多いが、やはり事後対応となり、サービスに影響が出てしまう。
（３）ネットワーク上での通信拒否設定作業は極めて危険な工程であり、作業ミスにより、全通信停止の危険性がある。

本発明は上記の問題点に鑑みてなされたものであり、複数のサーバに対するアタックからの防御を自動的に行うことを可能とする技術を提供することを目的とする。

上記の課題は、不正アクセスの検知及び不正アクセスの拒否を行う、複数のサーバを備えたシステムであって、各サーバが、不正アクセスを検知して不正アクセス元を特定する検知手段と、不正アクセス元からのアクセスを拒否する拒否手段とを有し、前記複数のサーバにおける一のサーバが不正アクセスを検知した場合に、その不正アクセス元を前記複数のサーバにおける他のサーバに通知する通知手段を備えたことを特徴とするシステムにより解決できる。

本発明によれば、不正アクセスを検知したサーバが不正アクセスを拒否するとともに、通知手段を介して他のサーバに不正アクセス元が通知されるので、最初に不正アクセスを受けたサーバに対する被害を防止できるとともに、他のサーバへの不正アクセスを未然に防止できる。

前記通知手段は前記複数のサーバとは別に備えられた通知用サーバに備えることができ、前記一のサーバが不正アクセスを検知した場合に、当該一のサーバは前記通知用サーバに不正アクセス元を通知し、前記通知用サーバが当該不正アクセス元を前記他のサーバに通知し、前記通知用サーバから不正アクセス元の通知を受けた他のサーバは、前記拒否手段を用いて当該不正アクセス元からのアクセスを拒否する。

また、前記通知手段を前記複数のサーバにおける少なくとも１つのサーバに備えてもよい。

前記複数のサーバの各々は、前記拒否手段による不正アクセス元からのアクセス拒否を開始した時刻から予め定めた時間経過後に、当該不正アクセス元からのアクセス拒否を解除する手段を備えてもよい。これにより、不正アクセス元のＩＰアドレスが正当なアクセス元のＩＰアドレスとして使用されるようになった場合に、正当なアクセス元からのアクセスを拒否してしまうことを防止できる。

また、上記の通知用サーバは、不正アクセスを検知して不正アクセス元を特定する検知手段と、不正アクセス元からのアクセスを拒否する拒否手段とを有するサーバを複数備えたシステムにおける一のサーバから不正アクセス元の通知を受ける受信手段と、前記受信手段により受信した前記不正アクセス元を、前記システムにおける前記一のサーバ以外のサーバに通知する通知手段とを備えて構成できる。

上記のように本発明によれば、不正アクセスを検知したサーバが不正アクセスを拒否するとともに、通知手段を介して他のサーバに不正アクセス元が通知されるので、最初に不正アクセスを受けたサーバに対する被害を防止できるとともに、他のサーバへの不正アクセスを未然に防止できる。

以下、図面を参照して本発明の実施の形態について説明する。

図１に本発明に実施の形態におけるシステム構成及び動作概要を示す。図１に示すシステムは、インターネットサービスプロバイダが管理する複数の公開サーバ（１〜Ｎ）と、各公開サーバに対してアタック元のＩＰアドレスの通知を行う通知用サーバ１０とを備え、各公開サーバと通知用サーバ１０とは例えばＬＡＮ（Local Area Network）１１によりネットワーク接続されている。

各公開サーバには、インターネット１２に接続された不正な第三者のコンピュータ（以下、単に第三者という）１３からのアタック（不正アクセスともいう）を検知するアタック検知プログラム１４と、当該第三者からのアクセスを拒否するためのアタックブロックプログラム１５とが搭載され、実行されている。更に、通知用サーバ１０には、不正な第三者のＩＰアドレスを各公開サーバに通知するためのブロック指令プログラム１６が搭載され、実行されている。

各公開サーバ及び通知用サーバ１０は、ＣＰＵ、記憶装置、通信用装置等を備えたコンピュータであり、当該コンピュータにサービス提供用のプログラム及び上記アタック防御用のプログラムが搭載され、実行されている。

図１に示すシステムにおいて、まず、特定の公開サーバ２がそのアタック検知プログラムの機能により、第三者１３からのアタックを検知すると、アタック元である当該第三者のＩＰアドレスを取得し、アタックブロックプログラムの機能によりそのＩＰアドレスからのアタックをブロックする（１）。すなわち、そのアタック元からのアクセスを拒否するように公開サーバ２を設定する。アタック検知プログラムは、当該第三者のＩＰアドレスを通知用サーバ１０に通知し（２）、通知用サーバ１０は当該ＩＰアドレスを各公開サーバに通知する（３）。そして、各公開サーバは、最初にアタックを受けた公開サーバと同様にして、第三者からのアタックをブロックする（４）。

（システム動作）
以下、図１に示すシステムの動作を、図２のフローチャートを参照してより詳細に説明する。図２において、Ａの部分はシステムにおける１つの公開サーバに着目した場合のフローチャートを示し、Ｂの部分は通知用サーバ１０のフローチャートを示す。

公開サーバ上のアタック検知プログラムは、サーバログ及びセッションを定期監視し、予め設定したアタック検知条件を満たているか否かをチェックすることにより、アタックされているか否かを判断する（ステップ１）。

ステップ１において、アタック検知プログラムがアタックを検知した場合、アタック検知プログラムはアタック元ＩＰアドレスを抽出する（ステップ２）。

続いてアタック検知プログラムは、抽出したＩＰアドレスをアタックブロックプログラムに渡し、アタックブロックプログラムは、予め公開サーバに設置したファイアウォールソフトウェア等の、特定のＩＰアドレスからのアクセスを拒否することを可能とする手段を使用して、当該ＩＰアドレスからのアクセスのブロックを開始する（ステップ３）。

また、アタックブロックプログラムは、当該ＩＰアドレスと、ブロックを開始した時刻とを公開サーバの記憶装置に格納する。なお、アクセス元ＩＰアドレスとブロック開始時刻の格納はアタック検知プログラムが行ってもよい。更に、アタック検知したアタック検知プログラムは、抽出したＩＰアドレスを通知用サーバ１０のブロック指令プログラムへ送信する（ステップ４）。

ＩＰアドレスを受信（ステップ１１）した通知用サーバ１０上のブロック指令プログラムは、受信したＩＰアドレスをシステムを構成している全公開サーバへ送信することにより、当該ＩＰアドレスからのアクセスをブロックするように指令を行う（ステップ１２）。なお、ＩＰアドレスの送信元の公開サーバを除いた公開サーバにＩＰアドレスを送信するようにしてもよい。

着目している公開サーバでは、ステップ５において、アタック検知プログラムが定期的に、格納したＩＰアドレスとブロック開始時刻をチェックし、ブロック開始してから所定時間以上経過したＩＰアドレスが存在するか否かをチェックする。

ブロック開始してから所定時間以上経過したＩＰアドレスが存在する場合、アタック検知プログラムは、当該ＩＰアドレスをアタックブロックプログラムに渡し、アタックブロックプログラムは予め公開サーバに設置したファイアウォールソフトウェア等に設定した当該ＩＰアドレスからのアクセスブロック設定を解除する（ステップ６）。このように解除を行うのは、アクセス元のＩＰアドレスはアクセス元に対応して固定して割り当てられているとは限らないので、所定時間経過後には、ブロックしたアクセス元ＩＰアドレスが、正当な利用者のアクセス元ＩＰアドレスとなっている可能性があるためである。

また、ステップ７において、通知用サーバ１０からアタック元ＩＰアドレス（ブロック指令）を受信したか否かをチェックし、当該ＩＰアドレスを受信した場合、アタックブロックプログラムは、ステップ３と同様にして、当該ＩＰアドレスからのアクセスのブロックを開始し、当該ＩＰアドレスと、ブロックを開始した時刻とを記憶装置に格納する（ステップ８）。また、その後ステップ５の動作を行う。

以上、通知用サーバ１０がアタック元ＩＰアドレスを取得し、それを各公開サーバに通知する例について説明したが、ブロック指令プログラムを各公開サーバに備えることにより通知用サーバ１０を備えない構成とすることも可能である。

その場合、特定の公開サーバがアタックを検知すると、アタック元ＩＰアドレスを取得し、アタックブロックプログラムの機能によりそのＩＰアドレスからのアタックをブロックする。そして、その公開サーバのブロック指令プログラムが、当該ＩＰアドレスを各公開サーバに通知し、各公開サーバは、そのＩＰアドレスからのアタックをブロックする。

（アタック検知条件例）
次に、アタック検知プログラムが使用するアタック検知条件の２つの例について説明する。なお、以下に示すものは一例に過ぎず、本発明のアタック防御技術は、下記のアタック検知条件に係るアタック検知方法のみならずどのようなアタック検知方法にも適用できる。

アタック検知条件例１は、直近Ｔ秒間において、Ａ個以上のＩＰアドレスへのログイン認証失敗がログから確認された場合に、不正アクセス試行とみなすというものである。

アタック検知条件例２は、ある時点において、Ｘ個以上のＩＰアドレスに対し、計Ｙ本以上のセッション接続を確認した場合に、不正アクセス試行、あるいは、サービス不能攻撃とみなすというものである。

これらのいずれかの条件を満たした場合にアクセス元のＩＰアドレスに対するアタックであると判断し、ブロックを開始する。

次に、上記の各条件を用いた場合のアタック検知プログラムの動作について説明する。まず、図３のフローチャートを参照してアタック検知条件例１の場合について説明する。図３に示す例は、不正ログイン監視対象がＰＯＰ（Post Office Protocol）とＦＴＰ(File Transfer Protocol)である場合の例である。

アタック検知プログラムは定期的にＰＯＰのログを監視し、ＰＯＰのログにログイン失敗が新たに記録されたか否かをチェックする（ステップ２１）。ＰＯＰのログにログイン失敗が新たに記録されている場合、そのアクセス元ＩＰアドレス、アクセス先ＩＰアドレス、及びアクセス時間を記憶装置に格納情報として格納する（ステップ２２）。

続いて、アタック検知プログラムはＦＴＰのログを監視し、ＦＴＰのログにログイン失敗が新たに記録されたか否かをチェックする（ステップ２３）。ＦＴＰのログにログイン失敗が新たに記録されている場合、アクセス元ＩＰアドレス、アクセス先ＩＰアドレス、及びアクセス時間を記憶装置に格納情報として格納する（ステップ２４）。

アタック検知プログラムは、格納情報から条件に適合するアクセスがあるか否かをチェックし（ステップ２５）、条件に適合するアクセスがある場合には、アクセス元ＩＰアドレスをアタック元ＩＰアドレスとして特定し（ステップ２６）、当該アクセス元ＩＰ情報を格納情報から削除する（ステップ２７）。

図４（ａ）にＰＯＰログ、ＦＴＰログの例を示し、図４（ｂ）に格納情報の例を示す。図４（ｂ）に示すように格納情報にはログイン失敗に係る情報が記録され、この格納情報をチェックする時刻からＴ秒前の期間において、同一のアクセス元からのＡ個以上アクセス先ＩＰアドレスへのログイン失敗があればそのアクセス元ＩＰアドレスをアタック元としたアタックがあると判断する。

次に、図５のフローチャートを参照してアタック検知条件例２の場合について説明する。まず、アタック検知プログラムは、現在の全アクセス情報を、そのアタック検知プログラムが動作している公開サーバから取得する（ステップ３１）。アタック検知プログラムは、取得した情報につき、アクセス元のＩＰアドレス毎に集計を行い（ステップ３２）、条件に適合するアクセスをするアクセス元があるか否かを判断し（ステップ３３）、そのようなアクセス元があればそのアクセス元をアタック元と判断する（ステップ３４）。そして、集計データを削除し（ステップ３５）、予め定めた検査間隔時間待機する（ステップ３６）。

図６にステップ３２において集計される集計データの例を示す。このような集計データから、Ｘ個以上のアクセス先ＩＰアドレスに対し、同一のアクセス元から計Ｙ個以上のアクセスが確認されれば、そのアクセス元からのアタックであると判断する。

上述したように、本実施の形態に示した構成によれば、アタック検知とほぼ同時にそのアタック元ＩＰアドレスを抽出し、そのＩＰアドレスからのアクセスを拒否する設定を該当サーバ上で自動で実施する。この一連動作はアタック後ほぼ瞬時であるため、サービスへの影響を最小限にすることができる。

また、上記アタックを検知した公開サーバ、もしくは通知用サーバが、他の全サーバにそのＩＰアドレス情報を渡し、その情報を取得した各サーバでは、最初にアタック検知したサーバと同様に該当IPアドレスからのアクセスへの拒否設定を自動で実施する。そのため、アタック対象が他のサーバに移る前にアタックを未然に防止できるため、故障の未然回避を実現することができる。

更に、本実施の形態に係るシステムによれば、監視者の手動工程は一切回避できるため、従来工程における危険性の問題を解消できる。

なお、本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

本発明に実施の形態におけるシステム構成及び動作概要を示す図である。図１のシステムの動作を説明するためのフローチャートである。アタック検知条件例１に係るアタック検知プログラムのフローチャートである。アタック検知条件例１に係るログと格納情報の例を示す図である。アタック検知条件例２に係るアタック検知プログラムのフローチャートである。アタック検知条件例２に係る集計データの例を示す図である。

符号の説明

１〜Ｎ公開サーバ
１０通知用サーバ
１１ＬＡＮ
１２インターネット
１３第三者
１４アタック検知プログラム
１５アタックブロックプログラム
１６ブロック指令プログラム

Claims

不正アクセスの検知及び不正アクセスの拒否を行う、複数のサーバを備えたシステムであって、
各サーバが、不正アクセスを検知して不正アクセス元を特定する検知手段と、不正アクセス元からのアクセスを拒否する拒否手段とを有し、
前記複数のサーバにおける一のサーバが不正アクセスを検知した場合に、その不正アクセス元を前記複数のサーバにおける他のサーバに通知する通知手段を備えたことを特徴とするシステム。
前記通知手段は前記複数のサーバとは別に備えられた通知用サーバに備えられ、
前記一のサーバが不正アクセスを検知した場合に、当該一のサーバは前記通知用サーバに不正アクセス元を通知し、前記通知用サーバが当該不正アクセス元を前記他のサーバに通知し、
前記通知用サーバから不正アクセス元の通知を受けた他のサーバは、前記拒否手段を用いて当該不正アクセス元からのアクセスを拒否する請求項１に記載のシステム。
前記通知手段は前記複数のサーバにおける少なくとも１つのサーバに備えられ、
前記一のサーバが不正アクセスを検知した場合に、前記通知手段を備えたサーバが不正アクセス元を前記他のサーバに通知し、
前記通知手段を備えたサーバから不正アクセス元の通知を受けた他のサーバは、前記拒否手段を用いて当該不正アクセス元からのアクセスを拒否する請求項１に記載のシステム。
前記複数のサーバの各々は、前記拒否手段による不正アクセス元からのアクセス拒否を開始した時刻から予め定めた時間経過後に、当該不正アクセス元からのアクセス拒否を解除する手段を有する請求項１ないし３のうちいずれか１項に記載のシステム。
不正アクセスを検知して不正アクセス元を特定する検知手段と、不正アクセス元からのアクセスを拒否する拒否手段とを有するサーバを複数備えたシステムにおける一のサーバから不正アクセス元の通知を受ける受信手段と、
前記受信手段により受信した前記不正アクセス元を、前記システムにおける前記一のサーバ以外のサーバに通知する通知手段と
を備えたことを特徴とする通知用サーバ。
不正アクセスの検知及び不正アクセスの拒否を行う、複数のサーバを備えたシステムにおいて前記複数のサーバのうちの１つとして使用されるサーバであって、
不正アクセスを検知して不正アクセス元を特定する検知手段と、
不正アクセス元からのアクセスを拒否する拒否手段と、
不正アクセスを検知した場合に、不正アクセス元を前記システムにおける他のサーバに通知する手段と
を備えたことを特徴とするサーバ。
複数のサーバを備えたシステムが不正アクセスの検知及び不正アクセスの拒否を行う方法であって、
前記複数のサーバにおける一のサーバが不正アクセスを検知した場合に、当該一のサーバが不正アクセス元を特定するステップと、
前記システムに備えられた通知手段が、その不正アクセス元を前記複数のサーバにおける一のサーバ以外のサーバに通知するステップと、
不正アクセス元の通知を受けたサーバが、当該不正アクセス元からのアクセスを拒否するステップと
を有することを特徴とする方法。
不正アクセスを検知して不正アクセス元を特定する検知手段と、不正アクセス元からのアクセスを拒否する拒否手段とを有するサーバを複数備えたシステムにネットワークを介して接続されたコンピュータに、
前記システムにおける一のサーバから不正アクセス元の通知を受ける受信手順と、
前記受信手順により受信した前記不正アクセス元を、前記システムにおける前記一のサーバ以外のサーバに通知する通知手順と
を実行させるプログラム。
複数のサーバを備えた不正アクセスの検知及び不正アクセスの拒否を行うシステムにおいて前記複数のサーバのうちの１つのサーバとして使用されるコンピュータに、
不正アクセスを検知して不正アクセス元を特定する検知手順と、
不正アクセス元からのアクセスを拒否する拒否手順と、
不正アクセスを検知した場合に、不正アクセス元を前記システムにおける他のサーバに通知する通知手順と
を実行させるプログラム。