JP2006005890A - アラート識別コード付加により除外された通信データの等値表示方法とシステム - Google Patents

Abstract

【課題】通信記録の分析装置において未知なるコンピュータウィルスの通信を通信データの内容を見て発見できるようにする。
【解決手段】「表示装置１」と「打鍵装置２」と「データ検索機構４」を利用し通信データの重要な情報が格納された「データベース（通信パケットテーブル）５」からデータを検索し一覧表示する「通信データ等値表示機構３」と「アラート定義ファイル７」の定義を行う「アラート定義設定機構８」と「アラート定義ファイル７」から定義を読み「データベース（通信パケットテーブル）５」へアラート識別コードを付加する「アラート識別コード付加機構６」により実現される。
【選択図】 図１

Description

本発明は通信分野における通信記録の分析装置に関する発明である。

パケットキャプチャといわれるソフトウェアは通信の内容を出力するソフトウェアである。従来、この出力されたデータを分類化し、その中の重要な情報をデータベースへ登録し、検索するシステムがあった。

データベースに登録された各情報に対しそれぞれ検索ができても、コンピュータウィルスの行う異常な通信データを検索するにはコンピュータウィルスの送信する特有の送信データを検索条件として指定しなければ実態はわからない。これでは、新たに作られた未知なるコンピュータウィルスの通信を把握することは不可能であり、通信トラフィックの急激な増加で判断するしかなくなる。この方法だと仮に従来のコンピュータウィルスが原因で通信トラフィックが増加していた場合、未知なるコンピュータウィルスの発生と誤って判断することになる。
通信トラフィックの急激な増加により判断する方法に頼らず、未知なるコンピュータウィルスを発見する手法が課題となった。

図１は本発明の構成を示すブロック図である。
本発明は、「表示装置１」と「打鍵装置２」と「データ検索機構４」を利用し通信データの重要な情報が格納された「データベース（通信パケットテーブル）５」からデータを検索し一覧表示する「通信データ等値表示機構３」と「アラート定義ファイル７」の定義を行う「アラート定義設定機構８」と「アラート定義ファイル７」から定義を読み「データベース（通信パケットテーブル）５」へアラート識別コードを付加する「アラート識別コード付加機構６」により実現される。

本発明を利用することで、未知なるコンピュータウィルスの通信を通信データの内容を見て発見できるようになる。

異常な通信を定義する「アラート定義ファイル７」を設け、「データベース（通信パケットテーブル）５」において、これに一致する通信を持つデータにアラート識別コードを付加し、これを除外したデータを検索することで、正常な通信と未知なる異常な通信のデータに絞り込む。
上記データの通信パケットのデータ部分において、等値のデータをもつものを一覧表示させ、データの内容を評価することで異常な通信が発見できる。正常な通信を除外しないのは、異常な通信がしばしば、正常な通信に見せかけている場合があるので除外できない。すくなくとも２件以上同じものがあり、それが異常なデータを含んだものであれば、未知なるコンピュータウィルスの通信である可能性がある。
また、上記とは別に「２件以上でないもの」を表示させることで、単発で送信された異常な通信を把握できるようにした。

図１は本発明の構成を示すブロック図である。
図１の各機構は図２に示す流れ図に従って動作する。

処理ステップ１で、通信データ等値表示機構３が通信データの検索条件を作成する。検索条件は以下の３条件をすべて満たすものである。
イ 「データベース（通信パケットテーブル）５」のアラート識別コードが未定義。「データベース（通信パケットテーブル）５」の構成要素図を図３に示す。項１４がアラート識別コードである。
ロ 検索から除外する条件。例えばキャッシュサーバ経由でＷＷＷサーバへ送信するリクエストは正常な通信でも、多種類で不特定な文字列がデータに入っている。このデータを検索から除外する条件。
ハ 通信パケットの通信内容（図３の項１２および項１３）が先頭部分以外、例えば１６バイト以降のデータ部分において等値であるデータが２つ以上。
表示装置１に検索条件に一致する通信データ一覧を表示するため、あらかじめ利用者は「上記の検索条件」又は「以下のニかつホを満たす検索条件」のどちらかを指定しておく。
ニ 上記検索条件のイかつロの条件
ホ 通信パケットの通信内容（図３の項１２および項１３）が先頭部分以外、例えば１６バイト以降のデータ部分において等値であるデータがない。

処理ステップ２で、通信データ等値表示機構３は検索条件をデータ検索機構４へ渡し検索の依頼をかける。

処理ステップ３で、データ検索機構４がデータベース（通信パケットテーブル）５を検索する。

処理ステップ４で、通信データ等値表示機構３はデータ検索機構４から検索結果を受け取り、表示装置１へ検索結果を一覧表にして表示する。

処理ステップ５で、打鍵装置２からの入力を待つ。
利用者が表示装置１で表示された一覧表に異常を発見し、アラート定義の追加を行う場合、ここで指令が投入される。

通信データ等値表示機構３は処理ステップ６で、アラート定義設定機構８の起動要求か判定する。
ＹＥＳの場合、処理ステップ７へ進む。
ＮＯの場合、処理ステップ５へ戻る。

通信データ等値表示機構３はアラート定義設定機構８を起動する。
処理ステップ７で、アラート定義設定機構８が利用者のアラート定義の追加を受け付け、定義を追加する。ここで追加されるアラート定義はアラート定義ファイル７へ格納される。アラート定義ファイル７の構成要素図を図４に示す。後で、データベース（通信パケットテーブル）５へ付加されるアラート識別コードは図４の項２と同一のものである。

処理ステップ８で、打鍵装置からの入力を待つ。
アラート定義の追加を終了する指示を待つ。

アラート定義設定機構８が処理ステップ９で、定義終了要求か判定する。
ＹＥＳの場合、処理ステップ１０へ進む。アラート定義設定機構８は終了し、制御が通信データ等値表示機構３へ戻る。
ＮＯの場合、処理ステップ７へ戻る。

通信データ等値表示機構３が処理ステップ１０で、アラート識別コード付加要求か判定する。新規にアラート定義が追加された場合、アラート定義設定機構８がアラート識別コード付加要求を出す。
ＹＥＳの場合、処理ステップ１１へ進む。
ＮＯの場合、処理ステップ１へ戻る。

通信データ等値表示機構３がアラート識別コード付加機構６を起動する。
処理ステップ１１で、アラート識別コード付加機構６がデータベース（通信パケットテーブル）５において新たに追加されたアラート定義の条件を満たすデータに対し、アラート識別コードを付加する。データベース（通信パケットテーブル）５の構成要素図を図３に示す。項１４がアラート識別コードである。
処理が完了すると処理ステップ１へ戻る。

ここで新たにアラート識別コードが付与されたデータは処理ステップ１へ戻ることで、処理ステップ１で生成される検索条件から外れ、アラート識別コードが付与されたデータ以外のデータが表示対象になる。これにより表示が絞られ、異常な通信を発見しやすくなる。

本発明の構成を示すブロック図 本発明の処理の流れ図 データベース（通信パケットテーブル）の構成要素図 アラート定義ファイルの構成要素図

Claims (1)

1. データ通信のパケット内の情報をデータベースに登録したシステムにおいて、異常とみなす検索条件に一致するデータに対しアラート識別コードを付加し、このアラート識別コードが付加されていない通信データに対し、２件以上同じデータを持つものを一覧表示させるか、２件以上同じデータを持たないものを一覧表示させることにより、異常な通信データの内容を画面上で把握できるようにした点と、異常と判断した通信に一致する検索条件を新規に定義し、それをもとにデータベースへ新たにアラート識別コードを付加することで上記検索表示の表示精度を上げる方法。およびこの方法を使用したシステム

Images