JP2006093832A - 侵入検知システム及び侵入検知プログラム並びに侵入検知情報分析装置及び侵入検知情報分析プログラム - Google Patents

Abstract

【課題】 監視対象システムに対するネットワーク経由の侵入を示す記録から、攻撃に対する対処要否を運用者に提示する侵入検知システムを得る。
【解決手段】 検出部１１は、監視対象システム１５が接続されたネットワーク１９上のパケットを取得し、この取得したパケットから攻撃者の侵入を検出し、この検出された攻撃対象装置を含む侵入記録をデータ蓄積部１２に蓄積し、このデータ蓄積部１２に蓄積された侵入記録の攻撃対象装置と、予め監視対象定義部１４により定義された監視対象システム１５内の装置とを分析部１３により比較して、侵入記録が監視対象システム１５に対する攻撃かどうかを判定して、攻撃に対する対処の必要性を判定し、この分析部１３の判定で対処の必要性のある侵入記録を表示部１８で表示して、運用者に知らせるようにした。
【選択図】図１

Description

この発明は、 監視対象システムに対するネットワーク経由の攻撃を検知し、対処の要否を運用者に提示する侵入検知システム及び侵入検知プログラム、並びに監視対象システムに対するネットワーク経由の攻撃を分析し、対処の要否を運用者に提示する侵入検知情報分析装置及び侵入検知情報分析プログラムに関するものである。

従来、ネットワークを監視する侵入検知システムでは、パケット、監視対象システムのログ等に含まれるポート番号、特定のデータ列等の特徴から、コンピュータシステムに対する侵入の有無を判定している。例えば、特許文献１では、ネットワークを通過するパケットと、そのパケットに対する応答パケットを検査することにより、侵入の有無を判定している。

侵入検知システムの別の形態として、監視対象システムのログから異常を検知する特許文献２及び特許文献３では、ユーザーの振る舞いの解析によって異常を判定するか、もしくは通常のアクセス経路と比較することで、侵入の有無を判定している。

また、これらの侵入検知システムを視覚的に示す方式として、特許文献４がある。特許文献４は、分析対象ログファイルをフォーマット変換した後、複数の分析対象ログを統合し、統合されたログを分析して不正アクセスの有無を判断するもので、不正アクセスの可能性に応じて、色分けされて表示される。

特開２００４−３０２８７号公報（段落番号００１３〜００１９、図１） 特開２００２−１３５２４８号公報（第３〜８頁、図１） 特開２００２−８２８４９号公報（第３〜４頁、図１） 特開２００２−３１８７３４号公報（第５〜８頁、図１）

侵入検知システムでは、正常動作と異常動作を区別することで、侵入を検知するが、攻撃手法が多様であり、すべての侵入を漏れなく検出し、正常動作を誤って異常と検出することを皆無にすることは非常に困難である。判定の結果、侵入を見逃すフォルス・ネガティブ、および正常動作を異常と判定するフォルス・ポジティブが発生する。侵入検知システムの運用者は、このフォルス・ネガティブ、フォルス・ポジティブの含まれた検知ログから、対処を講じる必要性を判断しなければならず、検知ログを分析するための専門技能が必要となる問題点があった。

例えば、特許文献１の例では、攻撃パケットと応答パケットの双方を検査することで、フォルス・ポジティブの可能性を減らしているが、パケット単体でコンピュータを攻撃する場合にフォルス・ネガティブが発生するため、実運用上は、異常と判定されなかったパケットも検査しなければならない。

また、特許文献２及び特許文献３では、フォルス・ネガティブ、フォルス・ポジティブを抑制する可能性のある技術ではあるものの、判定手法上、攻撃手法を特定できないため、運用者は、対処を講じるために別の検知手段を用意しなければならない。

多くの場合、フォルス・ポジティブ、フォルス・ネガティブは、監視対象システムに精通した技術者が運用し、経験に基づいて判断を行ってきたが、データセンター等の大規模システムを監視するような場合は、運用者が監視対象システムの詳細を把握することは困難であり、侵入検知システムを有効に活用できなかった。

また、運用者に提示する方法としても、監視システムの分野で行われているように、特許文献４に示される不正アクセスの可能性に応じて表示を色分けする方法が考えられるが、特許文献１の例と同様に、フォルス・ネガティブを避けるために可能性の低いパケットも監視しなければならなかった。

また、大量の不正侵入が試みられているインターネット向けの侵入検知システムでは、単体の不正アクセスではなく、不正侵入の目的や、不正侵入のプロセス全体を把握することが必要である。しかしながら、分析技術が未成熟なため、このような分析は、運用者個人の技量による面が大きく、新しい運用者を育成するためのハードルが高い状況も存在する。このように運用者を支援するシステムが市場に存在していないことにより、運用者の負担は増加する一方といえる。

この発明は、上述のような課題を解決するためになされたものであり、監視対象システムに対するネットワーク経由の侵入を示す記録から、攻撃に対する対処要否を運用者に提示する侵入検知システムを得ることを第一の目的とする。
また、監視対象システムに対するネットワーク経由の侵入を示す記録から、攻撃に対する対処要否を運用者に提示する侵入検知プログラムを得ることを第二の目的とする。
また、監視対象システムに対するネットワーク経由の侵入を示す記録を分析し、攻撃に対する対処要否を運用者に提示する侵入検知情報分析装置を得ることを第三の目的にしている。
また、監視対象システムに対するネットワーク経由の侵入を示す記録を分析し、攻撃に対する対処要否を運用者に提示する侵入検知情報分析プログラムを得ることを第四の目的にしている。

この発明に係わる侵入検知システムにおいては、監視対象システムが接続されたネットワーク上のパケットを取得し、この取得したパケットから攻撃者の侵入を検出する検出部、この検出部により検出された侵入の攻撃対象装置を含む侵入記録を蓄積するデータ蓄積部、監視対象システム内の装置を定義する監視対象定義部、データ蓄積部に蓄積された侵入記録の攻撃対象装置と監視対象定義部により定義された装置とを比較することにより、侵入記録が監視対象システムに対する攻撃かどうかを判定して、侵入記録に対する対処の必要性を判定する分析部、及びこの分析部により対処の必要性が判定された侵入記録を表示する表示部を備えたものである。

この発明は、以上説明したように、監視対象システムが接続されたネットワーク上のパケットを取得し、この取得したパケットから攻撃者の侵入を検出する検出部、この検出部により検出された侵入の攻撃対象装置を含む侵入記録を蓄積するデータ蓄積部、監視対象システム内の装置を定義する監視対象定義部、データ蓄積部に蓄積された侵入記録の攻撃対象装置と監視対象定義部により定義された装置とを比較することにより、侵入記録が監視対象システムに対する攻撃かどうかを判定して、侵入記録に対する対処の必要性を判定する分析部、及びこの分析部により対処の必要性が判定された侵入記録を表示する表示部を備えたので、不正侵入を検知したとき、侵入に対する対処要否を運用者に提示することにより、運用者は、適切に侵入に対処することができる。

実施の形態１．
以下、この発明の実施の形態１を図に基づいて説明する。
図１は、この発明の実施の形態１による侵入検知システムを示す概略構成図である。
図１において、侵入検知システム１０（以下、ＩＤＳという。）は、ネットワーク１９からパケットを収集し、不正侵入の可能性がある行為をパケットから判定する検出部１１と、検出部１１の出力を蓄積するデータ蓄積部１２と、データ蓄積部１２の情報から侵入が実際に成功し得る攻撃であるかどうかを判定する分析部１３と、その分析部１３の分析に必要なデータとして、監視対象システム１５内のサーバ（装置）情報が定義され、これを格納した監視対象定義部１４と、ＩＤＳの運用者への表示を行う表示部１８とから構成される。ここで、ハッカーまたはクラッカーなどと呼ばれる不正侵入を試みる人や、ワームやウイルスなどのことを攻撃者と呼ぶ。
このＩＤＳ１０が監視している監視対象システム１５は、例えば、攻撃者であるクラッカー２５が存在するインターネット等のネットワーク２３から、ファイアウォール２４により隔てられたネットワーク１９上にＤＮＳサーバ１６、ウェブサーバ１７を有するものとする。これらのサーバには、それぞれ固有のアドレス１９２．１６８．０．５と、１９２．１６８．０．１が割り当てられている。ＩＤＳ１０の運用者は、表示部１８の出力に基づき、監視対象システム１５に対する攻撃を監視する。

なお、図１では、検出部１１が取得する情報をネットワーク１９から取得したパケットとして述べているが、ネットワーク１９にインラインで設置されたＩＤＳを通過するパケット、監視対象ホストに組み込まれたホスト型ＩＤＳが取得したログ等から得られた同種の情報であっても構わない。

図２は、従来のＩＤＳが運用者に提示していた不正侵入の記録の例を示す説明図である。
図２において、攻撃元アドレス、攻撃対象アドレス、重要度を有する、攻撃Ａワームに対する記録２１、２２が示されている。
図３は、この発明の実施の形態１による侵入検知システムが対象とするネットワーク経由の侵入の例を示す説明図である。
図３において、１０、１６、１７、１９、２３〜２５は図１におけるものと同一のものである。図３には、未登録サーバ３１が示されている。

図４は、この発明の実施の形態１による侵入検知システムの分析・表示部の処理を示すフローチャートである。
図５は、この発明の実施の形態１による侵入検知システムが備える監視対象定義部の定義の例を示す説明図である。
図５において、監視対象定義部による監視対象システムの定義５１、５２が示されている。
図６は、この発明の実施の形態１による侵入検知システムが運用者に提示する記録の例を示す説明図である。
図６において、Ａワームに対する記録６１、６２には、対処要否項目６３が含まれる。

次に、実施の形態１の動作について説明する。
図２は、クラッカー２５等の名称で呼ばれる攻撃者が、監視対象システム１５に侵入、攻撃を試みた場合に、検出部１１が、データ蓄積部１２に格納する記録の一例を示しており、記録２１は、Ａワームという攻撃に対して、攻撃対象アドレスが１９２．１６８．０．１であることを示しており、記録２２は、Ａワームという攻撃に対して、攻撃対象アドレスが１９２．１６８．０．２であることを示している。
図３は、記録２１と記録２２が示す影響を示したものである。記録２１によれば、攻撃者は、ウェブサーバ１７を攻撃している。記録２２によれば、攻撃者は、実際には存在しない未登録サーバ３１を攻撃対象としているため、本来、無意味な行為である。本発明によらないＩＤＳでは、運用者は、データ蓄積部１２に基づく出力が運用者に提示されるため、監視対象システム１５に精通していなければ、記録２１及び記録２２が示す影響、監視対象システム１５における対処の必要性を判断することができない。

これに対し、本発明では、図４に示すフローチャートの手順に従ってデータ蓄積部１２を処理することにより、前述の困難を解決する。図４の処理は、分析部１３の一部として実装される。
この処理には、データ蓄積部１２から侵入記録を取得するデータ取得処理（ステップ４１）、取得した侵入記録と監視対象定義部１４の定義とを比較し、それぞれの侵入記録が、監視対象システム１５に対する攻撃であるかどうかを判定する対処要否判定処理（ステップ４２）、一次ログに判定結果を追加して、表示もしくは保存用のデータとして格納する表示部出力処理（ステップ４３）が含まれる。

監視対象システム１５に関して監視対象定義部１４で定義した情報の一例を図５に示す。この例では、監視対象システム内に、１９２．１６８．０．１のアドレスと、１９２．１６８．０．５のアドレスのサーバ（装置）が存在していることを示している。分析部１３に含まれる処理により、例えば、図２に示した記録２１及び記録２２のそれぞれが、監視対象システム１５に実際に影響を与える攻撃であったかどうかを判定することができ、その結果を、例えば図６の対処要否項目６３に示す対処要否の評価結果として、運用者に提示することが可能となる。
運用者は、記録２１を処理した結果である記録６１と、記録２２を処理した結果である記録６２を同時に見たときに、記録６１の攻撃が、実際に監視対象システム１５に影響を与える攻撃であることを知ることができる。

実施の形態１によれば、不正侵入を検知したとき、侵入に対する対処要否を運用者に提示するので、運用者は、これに適切に対処することができる。

実施の形態２．
図７は、この発明の実施の形態２による侵入検知システムが備える監視対象定義部の定義の例を示す説明図である。
図７において、監視対象定義部による監視対象システムの定義がポート７１を含めて示されている。
図８は、この発明の実施の形態２による侵入検知システムが運用者に提示する記録の例を示す説明図である。
図８において、Ａワームに対する対処要否及びポートを含む記録８１、８２が、示されている。

実施の形態１では、図５に示す定義により、監視対象システム１５に含まれるサーバごとに、実際に攻撃が成功する可能性があるかどうかの判定を行ったが、実施の形態２は、図７に示すように、監視対象定義部１４の定義項目として、サーバが公開しているポート番号やネットワークインタフェース等の追加情報を項目７１として設け、サービスや物理ポート単位に判定を行うことができるようにした。このため、運用者が、監視対象システム１５の各サーバが提供しているサービスを知らなくても、記録が示す攻撃の影響を知ることができる。

これにより、図８の記録８１、記録８２の例に示すように、１つのサーバに対する攻撃が複数のポートを対象に行われている場合、対処を必要とする記録が、どちらであるかを運用者に提示することができる。図８においては、存在するポート番号に対する攻撃である記録８１の方が、存在しないポート番号に対する攻撃である記録８２よりも対処要否が高くなっている。特に、セキュリティ確保のため、一般的な番号以外のポート番号をサーバが使用している状況においても、運用者が正しく攻撃の影響を監視することができる。

実施の形態２によれば、監視対象システムの定義にポート番号を含めるようにしたので、不正侵入を検知したとき、ポート毎に侵入に対する対処要否を運用者に提示することができる。

実施の形態３．
図９は、この発明の実施の形態３による侵入検知システムが備える監視対象定義部の定義の例を示す説明図である。
図９において、監視対象定義部による監視対象システムの定義９１が、ネットワークの名称を含めて示されている。
図１０は、この発明の実施の形態３による侵入検知システムが運用者に提示する記録の例を示す説明図である。
図１０において、Ａワームに対する記録１０１、１０２、１０３には、ネットワークの名称が加えられた対象ＩＰ１０４、ポート１０５、送信元ＩＰ１０６が、示されている。

実施の形態１及び実施の形態２では、攻撃に対して対処の必要があるかどうかを判定する場合に着目して述べたが、例えば、ある特定のサーバを探そうとしている情報収集行為など、攻撃者の動向を監視することも侵入検知システム１０の運用者には求められている。

実施の形態３は、この解決のため、監視対象定義部１４における定義で、図９の定義９１に示すように、監視対象システムに関連するネットワークの名称を付加するとともに、このネットワークの名称を、データ蓄積部１２に蓄積される侵入記録にも追加して、運用者に提示する記録に付加する。
例えば、実際には存在しないサーバである、図３の未登録サーバ３１に対する情報収集行為が行われる場合は、図１０の記録１０１、記録１０２、記録１０３などにおいて、項目１０４の対象ＩＰ欄に、定義したネットワークの名称が示される。
これにより、ネットワークの情報収集行為が行われた場合に、運用者がその傾向を確認することができる。特に、ＮＡＴと呼ばれるアドレス変換機構を用いてサーバを公開しているような場合、ＩＰアドレスを見ただけでは、どのネットワークに所属するかが判定できないが、本発明は、これを解決することができる。

実施の形態３の発明は、項目１０５のポートについても適用することができる。これにより、監視対象システム１５にＮＡＰＴと呼ばれるアドレス・ボート変換機構が用いられている場合においても運用者が状況と対処要否を確認することができる。

また、運用者に提示する付加記録は、攻撃対象装置以外にも適用することができる。例えば、図１０の項目１０６の送信元ＩＰに対して記録を付加することにより、攻撃者が外部のネットワークに存在するのか、または、内部のネットワークに存在するのかを運用者に提示することができる。これにより、運用者は、外部からの侵入だけではなく、内部からの情報漏えいについても監視できる。

実施の形態３によれば、ネットワークの名称を監視対象定義部の定義に加えたので、不正侵入が行われたネットワークを運用者に提示することができる。

実施の形態４．
図１１は、この発明の実施の形態４による侵入検知システムを示す概略構成図である。
図１１において、１０〜１４、１８は図１におけるものと同一のものである。図１１では、ネットワークへの侵入、ウイルスなどの攻撃ワームの属性情報を格納した検知定義部１１３を設け、検出部１１での攻撃ワームの検出に用いるとともに、分析部１３での攻撃ワームに対する対処要否の判定にも用いる。
図１２は、この発明の実施の形態４による侵入検知システムが備える検知定義部の定義の例を示す説明図である。
図１２において、ワームの攻撃属性を示す定義１２１、１２２が示され、それぞれ属性として、ＯＳ情報、バージョン情報が示されている。

図１３は、この発明の実施の形態４による侵入検知システムが備える監視対象定義部の定義の例を示す説明図である。
図１３において、監視対象定義部により定義された定義１３１が示され、サーバのＯＳ情報、バージョン情報が示されている。
図１４は、この発明の実施の形態４による侵入検知システムが運用者に提示する記録の例を示す説明図である。
図１４において、運用者に提示される記録１４１、１４２が示されている。

実施の形態１〜３では、監視対象システム１５に関する情報を監視対象定義部１４で定義することにより、対処要否を判定する場合について述べたが、実施の形態４は、図１１に示すように、ＩＤＳ１０が、検出部１１でネットワークへの侵入、ウイルス等を検出するために用いるワームの攻撃属性情報を格納した検知定義部１１３を設け、この情報を、分析部１３で用いる処理を設けた。この検知定義部１１３の情報を用いて、ネットワークへの侵入、ウイルス等の属性を、分析部１３の対処要否の判定に用いることにより、運用者が表示部１８の出力に基づき、攻撃への対処要否をより詳細に判定することができる。

この検知定義部１１３に定義される情報の一例を図１２に示す。定義１２１は、Ａワームという攻撃が、ＬｉｎｕｘＡというＯＳのバージョンＡを攻撃するものであることを示している。定義１２２は、ＵＮＩＸ（登録商標）ＢというＯＳのバージョンＢを攻撃するものであることを示している。監視対象定義部１４にも、図１３の定義１３１のように、サーバのＯＳ情報、バージョン情報を定義する。また、直接サーバの脆弱性情報と結びつくパッチの適用状況等のメンテナンス情報を保持しておくことが望ましい。

表示部１８は、前述の実施の形態と同様に、データ蓄積部１２の記録に対して、監視対象定義部１４の定義を参照し、ＯＳ等の情報を得る。同時に、検知定義部１１３に定義されたウイルス等の攻撃の属性を参照し、監視対象定義部１４から得られたＯＳ等の情報とを比較する。

ウイルス等は、特定のＯＳ、アプリケーション、バージョン、特定のパッチが適用されていないサーバに対して影響を及ぼす場合が多いため、ＯＳやバージョンを識別することにより、運用者が実際に対処しなければならない攻撃を区別することができる。
例えば、図１４に示す記録１４１のＡワームと記録１４２のＢワームは、同じポート番号を対象とする攻撃であるが、定義１２２と定義１３１により記録１４２の攻撃について、ＯＳ、バージョンが一致することが判定できるため、ＯＳ等が一致しない記録１４１は、対処要否が低いと判定でき、記録１４２は、対処要否が高いと判定できる。

従来のＩＤＳでは、このようにワームの属性を監視対象システムの情報と結びつけて運用者に提示する機能を備えていなかったが、本発明によって、これらの情報を結びつける機能を設けることにより、運用者が対処要否を判定することができる。

この例では、ＯＳ、バージョン及びパッチ適用状況を属性情報として用いたが、属性情報に導入されているアプリケーション、ライブラリ、モデム等の付属機器、ネットワーク回線の帯域などの情報を用いることもできる。これらの情報をＯＳ及びメンテナンス情報と呼ぶ。特に、サーバに導入されているアプリケーション、ライブラリ等の数は、多数あるため、従来、運用者が、監視対象システムの仕様書とウイルスの性質とを比較しなければならなかった作業を自動化することができる。

実施の形態４によれば、ワームの攻撃属性情報を格納した検知定義部１１３を設け、これを分析部１３で用いることにより、運用者により精度の高い対処要否を提示することができる。

実施の形態５．
図１５は、この発明の実施の形態５による侵入検知システムが運用者に提示する表示の例を示す図である。
図１５において、攻撃に対する対処要否を示す項目１５１が示されている。
図１６は、この発明の実施の形態５による侵入検知システムが運用者に提示する別の表示の例を示す図である。
図１６において、記録１６２、１６３には、攻撃の状況を示す項目１６１が、設けられている。
図１７は、この発明の実施の形態５による侵入検知システムが運用者に提示するさらに別の表示の例を示す図である。
図１７において、記録１７２、１７３に、攻撃への対処要否と重要度を示す項目１７１が設けられている。

実施の形態１及び実施の形態２では、図６及び図８のように、運用者に攻撃への対処要否を提示し、実施の形態３では、図１０の項目１０４のように、運用者に、攻撃先の対象ＩＰアドレス対処要否を提示したが、実施の形態５は、これらの記録の運用者への提示の仕方についてのもので、色替して提示する、フォントを変更して表示する、別表を設けて提示するなどの強調表示を行うものや、警告音を鳴らすなどの方法を用いるものである。

上述のように、本発明では多数の情報が攻撃に対する判定に用いられており、これらの情報を効果的に運用者に表示する方法が求められる。
このため、図１５の項目１５１に示すように、対処の必要性に応じてゲージ等の画像により表示するようにした。
色替え等の方法では、個々の侵入記録に差をつける表示方法のため、フォルス・ネガティブの可能性がある。これに対して、時系列に提供される記録に対するゲージ表示は、グラフと同様に、全体的な傾向を示すことができる。そのため、フォルス・ネガティブの可能性が色替え等の方法よりも少ない。
なお、ゲージの代わりに装飾文字を用いることもできる。また、確実に注目しなければならない判定結果に対しては、従来の監視システムで用いられている色替え等の表現を併用することで、運用者に注意を喚起することができる。

図１６の項目１６１は、さらに対象サーバに関する情報を組合せた形態である。記録１６２に示すＢワームの攻撃に対する対処の必要性が高いと判定した結果を、状況欄の背景に表示し、監視対象定義部１４の情報から、攻撃が外部から、内部のウェブサーバを対象としていることが分かるため、「侵入」の文字を表示する。
記録１６３では、管理対象外のホストに対する攻撃であり、対処の必要性が低く判定されているが、内部サーバからの情報発信であることから、情報漏えいの可能性があることを示す「漏えい」の文字を表示している。

このように、色、画像もしくは装飾文字等を組合せた強調表示を行うことにより、運用者は、監視対象定義部１４に定義された情報を得ることができるだけでなく、項目１６１のみで当該行に示された情報の概要を得ることができるため、項目１６１を列方向に確認するだけで、監視対象システム１５に対して、外部からのワームの侵入、内部でのワームの活動、被害の規模などの侵入状況を知ることができる。

もちろん、十分な表示領域がある場合は、監視対象定義部１４の情報を文字として表示することもできる。

また、表示方法のカスタマイズ機能を設けることで、運用者が必要に応じて、表示したい列の項目を指定することができる。また、行、列、背景の色替え、表示フォント指定等の表現のカスタマイズ機能と併用することで、運用者ごとに、それぞれ適した表示を行うこともできる。このように、運用者により表示を調整変更できるようにすることにより、運用者にとって見やすい表示とすることができる。表示方法を運用舎ごとの設定情報として、運用者がログインする際などに運用者ごとの設定情報を読み込み、自動的に表示を切替えるようにしてもよい。

図１７の項目１７１は、検知定義部１１３に定義された情報と対処の必要性の判定結果を組合せた表示例である。不正侵入による被害の規模は、攻撃手法により、ある程度決定されている。このため、攻撃手法などの検知項目ごとに被害の規模を示した重要度を定め、検知定義部１１３で定義しておく。
この検知定義部１１３から得た重要度と、対処の必要性を示すゲージの値（パーセンテージ）を、横向きの棒グラフとして項目１７１に表示する。この項目１７１は、重要度と対処の必要性の時系列グラフである。すなわち、記録１７２では、情報収集行為であるため、攻撃の重要度は低い。しかしながら、攻撃対象ＩＰアドレスが内部のウェブサーバであることから、対処の必要性は、１００％と捉える。このとき、ゲージは短いものの、ゲージ全体が、塗りつぶされた状態が運用者に示される。なお、侵入記録における攻撃の重要度を、攻撃の重要度、侵入記録の重要度などとも呼ぶ。

記録１７３では、Ａワーム自体は、非常に危険な攻撃であるものの、攻撃対象ＩＰアドレスが、存在していないホストを示しているため、実際に攻撃が成立することはなく、対処の必要性は低い。このとき、攻撃の重要度を示すゲージは、最大値を示すものの、対処の必要性は、その何％かの長さのゲージとして示される。
この対処の必要性には、攻撃に対して求められるパッチ等の適用状況も含まれるため、サーバの脆弱性対策が適切に行われていれば、攻撃の重要度が高くても、低いパーセンテージが示される。また、攻撃の重要度が低くても、何の対策も行っていなければ、いずれ被害が発生する可能性があり、その危険性をゲージが塗りつぶされることによって、運用者が把握することができる。

この表示により、運用者は、項目１７１を見ることにより、攻撃の危険性に対して、サーバ側がどの程度対策されているかを把握するとともに、記録１７２と記録１７３のように、複数の攻撃が同時に行われた場合に、どちらの攻撃に対する対処を優先するべきかの指標を得ることができる。ここで、侵入記録の重要度と対処の必要性をともに表示したが、どちらかだけを表示してもよい。

実施の形態５によれば、攻撃の対処要否や重要度を、把握しやすいように強調表示するので、運用者は、監視対象システムに対する攻撃を的確に把握することができる。

実施の形態６．
図１８は、この発明の実施の形態６による侵入検知システムが運用者に提示する表示の例を示す図である。
図１８において、表示には、運用者の対処済チェックボックスを設けた項目１８１と、運用者のメッセージを記録する項目１８２が設けられている。
図１９は、この発明の実施の形態６による侵入検知システムの対処運用画面の例を示す図である。
図１９において、全ての記録を表示した画面１９１と、対処の必要が高い記録を表示した画面１９２が表示され、対処作業が完了した記録に対して、ポップアップダイアログ１９３により、入力を行うと、画面１９１、１９２に反映される。

実施の形態１〜５では、運用者に侵入プロセス全体を見通すための機能を提供したが、実際には個々の記録全てについて、監視が行き届いている必要がある。実施の形態６は、この課題を解決するためのものである。
このため、図１８では、項目１８１、項目１８２のように、対処済チェックボックス、もしくは運用者が自由にメッセージを記録するためのコメント欄を設けたものである。
また、図１９では、全ての記録を表示した画面１９１に対して、対処の必要性が高いと判定され、特定の閾値を超えた記録を画面１９２に転記するようにしている。

図１８の項目１８１は、新しい記録が最初に表示された際に、対処済チェックボックスがチェックされていない状態で表示される。運用者は、その記録に対して、対処した場合、もしくは対処の必要がないと判断した場合に、このチェックボックスを反転し、対処済みとする。
この方法により、運用者は、大量の記録の中から、未対処の項目を見逃すことなく、侵入に対する対処に従事することができる。
また、対処済チェックボックスだけでは、運用者が記録を見返したときに、どのような判断で対処済としたか、忘れる可能性がある。これを防ぐため、項目１８２のコメント欄に、備忘録を記録することで、作業記録としても用いることができるようになる。

また、実施の形態６は、運用者が、確実に監視し、対処を実施するために、対処の必要な記録を別画面に転記して管理する。この運用画面を図１９に示す。全ての記録を表示した画面１９１に対して、対処の必要性が高いと判定され、特定の閾値を超えた記録を画面１９２に転記する。
運用者は、この画面に基づき、侵入に対する対処を行い、作業が完了した場合は、ポップアップダイアログ１９３、もしくは画面上に設けられたボタン等により、対処が完了したことを入力する。この入力結果は、画面１９１に反映され、画面１９２からは、対処済みの記録の表示が消える。
この方式を採用することにより、運用者は、大量の記録から、スクロールや検索処理等によって対処の必要性のある項目を探すことなく、侵入への対処を実施することができる。

なお、上記の記述では、主に記録が大量に蓄積される状態を想定したが、その逆として、記録が少ない場合も想定される。ウイルスは、予め活動時期が決められているものがあり、また、不正侵入、サービス不能攻撃といったものは、長期休暇や、特別な記念日に活発になる傾向があるため、攻撃が少ない時期もある。
このような場合に、運用者が、何も表示されない画面を監視することは、効率が悪いため、警報による通知を併用することができる。対処の必要性が高いと判定され、特定の閾値を超えた記録が現れた場合に、警報を音で鳴らすことで、運用者が、報告書作成等の他の作業を実施中であっても、これを中断し、本来の運用監視と、侵入に対する対処に従事することができる。
また、警報を音で鳴らす代わりに、運用者が携帯している携帯電話機等にメールメッセージを送信することもできる。

実施の形態６によれば、記録に対処済チェックボックスやコメント欄を設けて、攻撃への対処を管理するので、運用者は、大量の記録の中から、未対処の項目を見逃すことなく、侵入に対する対処に従事することができる。
また、運用者が、確実に監視し、対処を実施するために、対処の必要な記録を別画面に転記して管理するようにしたので、運用者は、大量の記録から、スクロールや検索処理等によって対処の必要性のある項目を探すことなく、対処を実施することができる。
また、対処の必要性が高いと判定され、特定の閾値を超えた記録が現れた場合に、警報を音で鳴らしたり、メールメッセージを送信することで、運用者が、報告書作成等の他の作業を実施中であっても、これを中断し、本来の運用監視と、侵入に対する対処に従事することができる。

実施の形態７．
図２０は、この発明の実施の形態７による侵入検知システムが運用者に提示するグラフ表示画面の例を示す図である。
図２０において、グラフ表示画面２０１の横軸は時間、縦軸は攻撃の重要度または対処の必要性である。

実施の形態５では、リアルタイムに更新される記録から対処の必要性を判断するための表示方法を得るために、記録中に、ゲージとして示すものについて記述したが、実施の形態７は、このゲージと同等の情報を、時系列に沿ったグラフとして表示するものである。
図２０のように、グラフ化することによる利点として、記録画面では表示することができない、１週間、１ヶ月、１年といった表示期間で表示を行うことができる。この結果から、実施の形態５で述べたように、表示期間を通じて、攻撃に対して、サーバ側の対策がどの程度行われてきたかを把握することができるため、運用者が、監視対象システムの防御策の増強を提案するなど、コンサルタントとしての業務を行うことを可能とする。

実施の形態７によれば、グラフ表示画面に、時系列的に攻撃の重要度と対処の必要性を表示するようにしたので、運用者は、表示期間を通じて、攻撃に対して、サーバ側の対策がどの程度行われてきたかを把握することができる。

実施の形態８．
図２１は、この発明の実施の形態８による侵入検知情報分析装置を示す概略構成図である。
図２１において、１２〜１４、１８は図１１におけるものと同一のものである。ＩＤＳ情報分析装置１５１（侵入検知情報分析装置）は、１２〜１４、１８に加えて、ファイルなどに格納された侵入記録のデータを入力するファイル入力部１５２を有している。

実施の形態１〜７では、リアルタイムに運用者が監視するために、侵入検知システム１０にネットワークからパケットを取得する検出部１１を備えるものであったが、実施の形態８は、取得した侵入記録を運用者に分析して表示するため、図２１に示すＩＤＳ情報分析装置１５１に、検出部ではなく、ファイル等の形式で保存された情報を入力するファイル入力部１５２を備えたものである。
このＩＤＳ情報分析装置１５１は、オフライン環境での分析を可能とするだけではなく、運用者を育成するための訓練装置としても用いることができる。これにより、ＩＤＳ運用者の育成という課題を解決するための環境を提供することができる。

実施の形態８によれば、ファイル入力部１５２を備えたＩＤＳ情報分析装置１５１により、オフライン環境での攻撃記録の分析を行うことができる。

実施の形態９．
実施の形態１〜７の侵入検知システムまたは実施の形態８のＩＤＳ情報分析装置を、侵入検知プログラムまたは侵入検知情報分析プログラムとしたものが実施の形態９である。
これらのプログラムは、記録媒体に格納され、またはネットワークを経由して提供される形態のプログラムとして、コンピュータシステムにインストールされる。

この侵入検知プログラムは、次のステップを有する。
監視対象システム内の装置を定義する監視対象定義部を参照するプログラムであって、監視対象システムが接続されたネットワーク上のパケットを取得し、この取得したパケットから攻撃者の侵入を検出する第一のステップと、この第一のステップにより検出された侵入の攻撃対象装置を含む侵入記録を蓄積する第二のステップと、この第二のステップにより蓄積された侵入記録の攻撃対象装置と監視対象定義部に定義された装置とを比較することにより、侵入記録が監視対象システムに対する攻撃かどうかを判定して、攻撃に対する対処の必要性を判定する第三のステップと、この第三のステップにより対処の必要性が判定された侵入記録を表示する第四のステップとを含む。

また、侵入検知情報分析プログラムは、実施の形態８のＩＤＳ情報分析装置に対応しており、上述の第一のステップが、攻撃対象装置を含む侵入記録のデータを入力する第五のステップに置き換えられたものである。

この発明の実施の形態１による侵入検知システムを示す概略構成図である。 従来のＩＤＳが運用者に提示していた不正侵入の記録の例を示す説明図である。 この発明の実施の形態１による侵入検知システムが対象とするネットワーク経由の侵入の例を示す説明図である。 この発明の実施の形態１による侵入検知システムの分析・表示部の処理を示すフローチャートである。 この発明の実施の形態１による侵入検知システムが備える監視対象定義部の定義の例を示す説明図である。 この発明の実施の形態１による侵入検知システムが運用者に提示する記録の例を示す説明図である。 この発明の実施の形態２による侵入検知システムが備える監視対象定義部の定義の例を示す説明図である。 この発明の実施の形態２による侵入検知システムが運用者に提示する記録の例を示す説明図である。 この発明の実施の形態３による侵入検知システムが備える監視対象定義部の定義の例を示す説明図である。 この発明の実施の形態３による侵入検知システムが運用者に提示する記録の例を示す説明図である。 この発明の実施の形態４による侵入検知システムを示す概略構成図である。 この発明の実施の形態４による侵入検知システムが備える検知定義部の定義の例を示す説明図である。 この発明の実施の形態４による侵入検知システムが備える監視対象定義部の定義の例を示す説明図である。 この発明の実施の形態４による侵入検知システムが運用者に提示する記録の例を示す説明図である。 この発明の実施の形態５による侵入検知システムが運用者に提示する表示の例を示す説明図である。 この発明の実施の形態５による侵入検知システムが運用者に提示する別の表示の例を示す図である。 この発明の実施の形態５による侵入検知システムが運用者に提示するさらに別の表示の例を示す図である。 この発明の実施の形態６による侵入検知システムが運用者に提示する表示の例を示す図である。 この発明の実施の形態６による侵入検知システムの対処運用画面の例を示す図である。 この発明の実施の形態７による侵入検知システムが運用者に提示するグラフ表示画面の例を示す図である。 この発明の実施の形態８による侵入検知情報分析装置を示す概略構成図である。

符号の説明

１０ 侵入検知システム
１１ 検出部
１２ データ蓄積部
１３ 分析部
１４ 監視対象定義部
１５ 監視対象システム
１６ ＤＮＳサーバ
１７ ウェブサーバ
１８ 表示部
１９ ネットワーク
２３ ネットワーク
２４ ファイアウォール
２５ クラッカー
１１３ 検知定義部
１５１ ＩＤＳ情報分析装置
１５２ ファイル入力部

Claims (18)

1. 監視対象システムが接続されたネットワーク上のパケットを取得し、この取得したパケットから攻撃者の侵入を検出する検出部、この検出部により検出された侵入の攻撃対象装置を含む上記侵入記録を蓄積するデータ蓄積部、上記監視対象システム内の装置を定義する監視対象定義部、上記データ蓄積部に蓄積された上記侵入記録の攻撃対象装置と上記監視対象定義部により定義された装置とを比較することにより、上記侵入記録が上記監視対象システムに対する攻撃かどうかを判定して、上記侵入記録に対する対処の必要性を判定する分析部、及びこの分析部により対処の必要性が判定された上記侵入記録を表示する表示部を備えたことを特徴とする侵入検知システム。
2. 上記監視対象定義部による上記監視対象システム内の装置の定義は、装置のネットワークアドレスにより行うとともに、上記データ蓄積部により蓄積された侵入記録には、上記攻撃対象装置のネットワークアドレスが含まれることを特徴とする請求項１記載の侵入検知システム。
3. 上記監視対象定義部による上記監視対象システム内の装置の定義は、装置のネットワークアドレス及びポート番号により行うとともに、上記データ蓄積部により蓄積された侵入記録には、上記攻撃対象装置のネットワークアドレス及びポート番号が含まれることを特徴とする請求項１記載の侵入検知システム。
4. 上記監視対象定義部は、上記監視対象システムに関連するネットワークの名称を定義するとともに、上記表示部により表示される侵入記録には、侵入されたネットワークの名称が含まれることを特徴とする請求項１〜請求項３のいずれかに記載の侵入検知システム。
5. 上記攻撃者の属性情報を有する検知定義部を備え、上記侵入記録には上記攻撃者を含み、上記監視対象定義部による上記監視対象システム内の装置の定義には、上記装置のＯＳ及びメンテナンス情報を含む属性情報が含まれるとともに、上記分析部は、上記侵入記録の上記攻撃者に関する上記検知定義部の属性情報と、上記侵入記録の攻撃対象装置に関する上記監視対象定義部の属性情報を比較して、上記侵入記録に対する対処の必要性を判定することを特徴とする請求項１〜請求項４のいずれかに記載の侵入検知システム。
6. 上記攻撃者の属性情報を有する検知定義部を備え、上記侵入記録には上記攻撃者が含まれるとともに、上記分析部は、上記検知定義部の上記侵入記録の上記攻撃者に関する属性情報から上記侵入記録の重要度を判断し、この重要度を考慮して上記侵入記録に対する対処の必要性を判定することを特徴とする請求項１〜請求項４のいずれかに記載の侵入検知システム。
7. 上記攻撃者の属性情報を有する検知定義部を備え、上記侵入記録には上記攻撃者が含まれるとともに、上記分析部は、上記検知定義部の上記侵入記録の上記攻撃者に関する属性情報から上記侵入記録の重要度を判断し、上記表示部は、上記侵入記録の表示に当たって、上記侵入記録の重要度に応じた強調表示を行うことを特徴とする請求項１〜請求項４のいずれかに記載の侵入検知システム。
8. 上記表示部は、上記侵入記録の表示に当たって、対処の必要性に応じた強調表示を行うことを特徴とする請求項１〜請求項７のいずれかに記載の侵入検知システム。
9. 上記表示部は、上記侵入記録の表示に当たって、対処の必要性を時系列グラフにより表示することを特徴とする請求項１〜請求項８のいずれかに記載の侵入検知システム。
10. 上記表示部は、上記侵入記録の表示に当たって、重要度を時系列グラフにより表示することを特徴とする請求項６または請求項７記載の侵入検知システム。
11. 上記表示部による上記侵入記録の表示は、運用者により変更調整できることを特徴とする請求項１〜請求項９のいずれかに記載の侵入検知システム。
12. 上記表示部は、上記侵入記録ごとに運用者が付加情報を追記できる欄を表示することを特徴とする請求項１〜請求項１１のいずれかに記載の侵入検知システム。
13. 上記表示部は、侵入記録ごとに対処の状況を表示することを特徴とする請求項１〜請求項１２のいずれかに記載の侵入検知システム。
14. 上記表示部は、対処の必要性があるか重要度が高いかのいずれか少なくとも一つの条件を満足する侵入記録を別画面に表示することを特徴とする請求項１〜請求項１２のいずれかに記載の侵入検知システム。
15. 上記表示部に上記対処の必要性のある侵入記録が表示された際に、警報を発することを特徴とする請求項１〜請求項１４のいずれかに記載の侵入検知システム。
16. 攻撃対象装置を含む侵入記録のデータを入力するファイル入力部、このファイル入力部により入力された攻撃対象装置を含む上記侵入記録を蓄積するデータ蓄積部、上記監視対象システム内の装置を定義する監視対象定義部、上記データ蓄積部に蓄積された上記侵入記録の攻撃対象装置と上記監視対象定義部により定義された装置とを比較することにより、上記侵入記録が上記監視対象システムに対する攻撃かどうかを判定して、上記攻撃に対する対処の必要性を判定する分析部、及びこの分析部により対処の必要性が判定された上記侵入記録を表示する表示部を備えたことを特徴とする侵入検知情報分析装置。
17. 監視対象システム内の装置を定義する監視対象定義部を参照するプログラムであって、上記監視対象システムが接続されたネットワーク上のパケットを取得し、この取得したパケットから攻撃者の侵入を検出する第一のステップ、この第一のステップにより検出された侵入の攻撃対象装置を含む侵入記録を蓄積する第二のステップ、この第二のステップにより蓄積された上記侵入記録の攻撃対象装置と上記監視対象定義部に定義された装置とを比較することにより、上記侵入記録が上記監視対象システムに対する攻撃かどうかを判定して、上記攻撃に対する対処の必要性を判定する第三のステップ、及びこの第三のステップにより対処の必要性が判定された上記侵入記録を表示する第四のステップを含むことを特徴とする侵入検知プログラム。
18. 監視対象システム内の装置を定義する監視対象定義部を参照するプログラムであって、攻撃対象装置を含む侵入記録のデータを入力する第五のステップ、この第五のステップにより入力された侵入の攻撃対象装置を含む侵入記録を蓄積する第二のステップ、この第二のステップにより蓄積された上記侵入記録の攻撃対象装置と上記監視対象定義部に定義された装置とを比較することにより、上記侵入記録が上記監視対象システムに対する攻撃かどうかを判定して、上記攻撃に対する対処の必要性を判定する第三のステップ、及びこの第三のステップにより対処の必要性が判定された上記侵入記録を表示する第四のステップを含むことを特徴とする侵入検知情報分析プログラム。

Images