JP2006244141A - 不正侵入監視装置 - Google Patents

Abstract

【課題】多数のセンサを効率的に監視・管理することを可能とし、設定漏れを極力少なくし、常に最新の状態で監視を行うことのできる不正侵入監視装置を得る。
【解決手段】ネットワーク２０上のパケットを検査することによりネットワーク２０上への不正アクセスを監視し、不正アクセスを検出した場合には不正アクセス情報を生成する複数のセンサ１０と、複数のセンサ１０を一括管理し、不正アクセス情報に基づいてネットワーク上への不正アクセスを監視する管理装置３０とを備え、管理装置３０は、複数のセンサ１０の属性に応じてグループ分けされた管理テーブルが記憶された記憶部を有し、管理テーブルに基づいて、不正アクセスを監視するために必要なシグネチャ情報を同一のグループに属するセンサ１０に一括して送信し、複数のセンサ１０は、シグネチャ情報に基づいて不正アクセスを監視する。
【選択図】図１

Description

本発明は、ネットワーク上の不正な侵入を監視する複数のセンサと、センサを管理する管理装置とを備えた不正侵入監視装置に関するもので、特に、管理装置が多数のセンサを管理する際に、センサの属性の情報を元に効率的な管理を行うための不正侵入監視装置に関するものである。

インターネットなどのネットワークに接続されたコンピュータには、ネットワークを介して、侵入を受けたり、データの改ざん、消去をされたり、そのコンピュータ自体が停止状態にされるといったセキュリティ脅威が存在する。

ネットワークを介したこれらの攻撃を監視する方法として、ネットワークの監視ポイントにセンサを設置し、センサによりネットワーク上のパケットを検査することにより、不正なコマンドやデータが含まれていないかを検査する方法がある。各センサが検知した不正アクセスの情報の管理およびセンサの管理は、管理装置を用いて行う。

管理装置で管理するセンサの数は、大規模なネットワークの監視を行う場合には多数になる。このような多数のセンサからの情報を監視する方法としては、複数の種別の異なるセンサの情報を統合して監視するものがある（例えば、特許文献１参照）。

特開２００３−３３０８２０号公報（第１頁、図１）

しかしながら、従来技術には次のような課題がある。管理装置で多数のセンサを扱う場合において、従来技術では、センサが検知した不正アクセスの情報を一元的に扱うことはできる。しかしながら、センサにシグネチャやポリシーを登録する、あるいはセンサのライセンスを管理するといった管理作業に関しては、個別に実施する必要があり、時間がかかっていた。

また、センサをグループに分けて、グループ単位に管理する手法もあるが、個々の監視・管理作業について適切なグループに属していないセンサが存在する場合、そのセンサは、個別に管理する必要があった。

本発明は上述のような課題を解決するためになされたもので、多数のセンサを効率的に監視・管理することを可能とし、設定漏れを極力少なくし、常に最新の状態で監視を行うことのできる不正侵入監視装置を得ることを目的とする。

本発明に係る不正侵入監視装置は、ネットワーク上のパケットを検査することによりネットワーク上への不正アクセスを監視し、不正アクセスを検出した場合には不正アクセス情報を生成する複数のセンサと、複数のセンサを一括管理し、不正アクセス情報に基づいてネットワーク上への不正アクセスを監視する管理装置とを備えた不正侵入監視装置において、管理装置は、複数のセンサの属性に応じてグループ分けされた管理テーブルが記憶された記憶部を有し、管理テーブルに基づいて、不正アクセスを監視するために必要なシグネチャ情報を同一のグループに属するセンサに一括して送信し、複数のセンサは、管理装置から受信したシグネチャ情報に基づいて不正アクセスを監視することにより不正アクセス情報を生成するものである。

本発明によれば、複数のセンサの属性に応じてグループ分けされた管理テーブルに基づいて、不正監視を行うべき適切なグループのセンサを選択して最新のシグネチャ情報を一括送信することにより、多数のセンサを効率的に監視・管理することを可能とし、設定漏れを極力少なくし、常に最新の状態で監視を行うことのできる不正侵入監視装置を得ることができる。

以下、本発明の不正侵入監視装置の好適な実施の形態につき図面を用いて説明する。
本発明の不正侵入監視装置は、複数のセンサを属性に応じてグループ分けした管理テーブルに基づいて、不正アクセスを監視するために必要なシグネチャ情報を同一のグループに属するセンサに一括して送信することを特徴とする。

実施の形態１．
図１は、本発明の実施の形態１における不正侵入監視装置の構成図である。複数のセンサ１０は、それぞれの監視対象ネットワーク２０上のパケットを入力することにより、攻撃を行うパケットが送信されていないかどうかを監視するセンサである。このセンサ１０は、１つの監視対象ネットワークに対して複数個を配置することも可能である。

また、管理装置３０は、インターネット等の外部ネットワーク４０を介して複数のセンサ１０と接続され、これら複数のセンサ１０の監視・管理を行う。具体的には、管理装置３０は、各センサ１０に対して監視対象ネットワーク上の不正アクセスを検出するために、シグネチャおよびポリシーを送信し、不正アクセスを検出したセンサから不正アクセス情報を受信する機能を有している。

ここで、シグネチャとは、センサ１０が監視対象ネットワーク２０上の不正アクセスを検知するために必要な情報のことである。具体的には、パケットの中から不正アクセスを検出するためのデータパターンあるいは文字列の情報が、このシグネチャに相当する。このシグネチャは、ネットワークを介した実際の攻撃の状況等に応じて更新されるものであり、最新のシグネチャが管理装置３０からセンサ１０に対して送信される。

また、ポリシーとは、シグネチャ情報の中に複数のシグネチャが含まれている場合に、複数のシグネチャの中のどのシグネチャに対して不正アクセスの検出を行うべきかを特定する情報である。センサによっては、すでに一部のシグネチャに関する情報を送信済みであり重複して送る必要がない場合、あるいは、センサによって送信すべきシグネチャが異なる場合には、共通のシグネチャ情報とともにセンサ個別のポリシー情報を合わせて送信することにより、シグネチャ情報とポリシー情報を受信したセンサ側で、それぞれのセンサが共通のシグネチャ情報の中から必要なシグネチャのみを取り込むことが可能となる。

本発明の実施の形態１における管理装置３０は、不正アクセスの監視・管理を効率的に行うために、複数のセンサをグループ化した管理テーブルとして、センサ属性管理テーブル３１およびそれぞれの属性毎のグループ管理テーブル３２をさらに備えている。

図２は、本発明の実施の形態１におけるセンサ属性管理テーブル３１のデータ構造を示す図である。図２において、センサ１〜センサｎは、不正侵入監視装置内で使用される全てのセンサに相当する。また、属性１〜属性ｘは、センサをグループ毎に管理する指標となる項目に相当する。

この属性としては、例えば、センサに対応する監視対象ネットワーク名、センサの設置場所、センサに対応する監視ネットワーク上のサーバあるいは端末で稼働しているＯＳおよびサービスの情報、センサが保有するライセンス、センサに対応する監視ネットワーク上のサーバおよび端末の構成、センサに対応する監視ネットワーク上のサーバおよび端末の脆弱性などがあげられる。

この属性の中のライセンスとは、そのセンサに対して最新のシグネチャを送信する有効期間に相当する。また、脆弱性については、後の実施の形態３において詳述する。

センサおよび属性により特定されるそれぞれのデータは、名称およびグループ名からなる一対のデータで構成される。図２においては、名称がＮ（１、１）〜Ｎ（ｎ、ｘ）として示され、グループ名がＧ（１、１）〜Ｇ（ｎ、ｘ）として示されている。一例として、属性１が監視対象ネットワーク名である場合を想定すると、Ｇ（１、１）には「ネットワークＡ」、Ｎ（１、１）にはグループ番号として「１」が設定されることとなる。そして、同一の属性内で同一のグループと見なすものには、同一のグループ番号が付される。

また、図３は、本発明の実施の形態１におけるグループ管理テーブル３２のデータ構造を示す図である。管理装置３０は、図２に示したセンサ属性管理テーブル３１の属性毎に１つのグループ管理テーブル３２を備えている。グループ番号１〜ｎは、センサ属性管理テーブル３１においてグループ名として割り付けられたグループ番号に相当する。そして、センサ１〜センサｎが属するグループに対応するグループ番号のデータが「１」に設定される。図３においては、センサ１とセンサｎがグループ番号１に属し、センサ２がグループ番号２に属していることを示している。

管理装置３０は、このようにセンサ属性管理テーブル３１および属性毎のグループ管理テーブル３２に基づいて、各作業に適切な属性でセンサ１０をグループ化し、グループ単位で一括管理を行う。

次に、センサ１０から送信された不正アクセス情報を、管理装置３０で表示する場合の処理について説明する。管理装置３０は、複数のセンサ１０から送信された不正アクセス情報を一覧表示する機能を持つ。図４は、本発明の実施の形態１における不正アクセス情報の一覧表示の例示図である。

図４の表示例において、発生日時から発生箇所までの項目は、それぞれのセンサ１０から管理装置３０が受信した不正アクセス情報を集計したものである。また、右端の属性情報の欄は、不正アクセス情報の送信元であるセンサと、センサ属性管理テーブル３１で管理されている何れかの属性の名称とを関連づけて表示させた情報である。このように、管理装置３０は、センサ属性管理テーブル３１を参照することにより、受信した不正アクセス情報に対応した属性情報を表示できる。

例えば、属性としてセンサに対応する監視対象ネットワーク名が記憶されている名称を表示させることにより、オペレータは、どのネットワーク上のセンサからの不正アクセス情報であるかを容易に把握することができる。また、図４においては、１つの属性を表示させた例を示しているが、複数の属性情報を表示させることも可能である。

次に、管理装置３０からセンサ１０に対してシグネチャおよびポリシーを送信する場合の処理について説明する。ここでは、管理装置３０が、それぞれのセンサ１０に対応する監視ネットワーク上のサーバあるいは端末で稼働しているＯＳおよびサービスの情報を属性情報としてあらかじめセンサ属性管理テーブル３１に有している場合を想定する。

図５は、本発明の実施の形態１の管理装置３０における送信処理のフローチャートである。まず始めに、ステップＳ５０１において、管理装置３０は、シグネチャの送信処理を起動する。次に、ステップＳ５０２において、管理装置３０は、ＯＳ及びサービスの情報の属性に対応するグループ管理テーブル３２を参照して、グループ一覧を表示する。

オペレータは、表示されたグループ一覧の中から、これからシグネチャを送信したいグループ番号を選択する。そして、ステップＳ５０３において、管理装置３０は、オペレータによって選択された配信先のグループ番号を読み取る。次に、ステップＳ５０４において、管理装置３０は、選択された送信対象のグループ番号の持つ属性情報に最適なシグネチャを自動的に選択する。

より具体的には、ＯＳ及びサービスの情報の属性におけるグループ分けと同じ基準でグループ化されている最新のシグネチャのデータを読み込むことにより、管理装置３０は、先に選択されたグループ番号に属するセンサに送るべきシグネチャを自動的に選択することができる。さらに、ステップＳ５０５において、管理装置３０は、グループ管理テーブル３２を参照して、選択されたグループ番号に属するセンサの情報を取得する。

そして、ステップＳ５０６において、管理装置３０は、取得した情報に対応するセンサ１０に対して、一括でシグネチャの送信を行う。したがって、センサ属性管理テーブル３１およびグループ管理テーブル３２を用いてＯＳ及びサービスの情報によるグループ化をあらかじめ行っておくことにより、同一グループに含まれるセンサ１０へのシグネチャの配信漏れを防止するとともに、不要なシグネチャの送信を抑止することができる。

さらに、必要なセンサにだけシグネチャを送信することにより、監視対象ネットワーク以外のセンサ１０が不正アクセスを検知することを抑止することができる。また、先に説明したように、シグネチャとともにポリシー情報を送信することにより、シグネチャ情報とポリシー情報を受信したセンサ側で、それぞれのセンサが共通のシグネチャ情報の中から必要なシグネチャのみを取り込むことが可能となる。

実施の形態１によれば、管理装置は、管理テーブルに基づいてグループ単位で監視・管理作業を行う事ができ、センサが多数になっても効率的に適切なグループのセンサにだけ適切なシグネチャを一括して送信して、各センサから最新のシグネチャに基づく不正アクセス情報の収集を行うことが可能となる。

実施の形態２．
図６は、本発明の実施の形態２における不正侵入監視装置の構成図である。本実施の形態２において、センサ１０は、監視対象ネットワーク２０上の各種情報の調査を行う調査手段１１を備えている。ここでの各種情報とは、例えば、サーバ及び端末のＩＰアドレス、ＯＳ及びサービスの情報などである。

センサ１０は、調査手段１１により、定期的に監視対象ネットワーク２０上のサーバ及び端末に対して各種情報の調査を実施し、調査結果を調査結果格納テーブル１２に格納する。図７は、本発明の実施の形態２における調査結果格納テーブルのデータ構造を示す図である。

図７における監視ネットワーク情報の項目である「ＯＳ」、「ＩＰアドレス」、「サービス」、「ポート」が、調査手段１１により調査される項目に相当する。また、各行が監視対象ネットワーク２０上のサーバあるいは端末に相当する。調査手段１１は、このような各種情報をサーバあるいは端末から定期的に収集することにより、ネットワーク構成が変化したことをタイムリーに把握することができる。

センサ１０は、調査手段１１が定期的に収集した調査結果を管理装置３０に通知する。一方、管理装置３０は、通知された調査結果に基づいて、センサ属性管理テーブル３１およびグループ管理テーブル３２の内容を更新する。

実施の形態２によれば、各センサは、調査手段を備えることにより定期的に監視対象ネットワーク上の情報調査を行うことができ、ネットワーク構成の変化を把握することができる。さらに、管理装置は、センサから受信した調査結果に基づいて、管理テーブルの内容を更新することができる。これにより、各センサに対応する監視対象ネットワークの情報を常に最新に保つ事ができ、センサ管理の手間を減らすことができる。

実施の形態３．
図８は、本発明の実施の形態３における不正侵入監視装置の構成図である。本実施の形態３において、センサ１０は、監視対象ネットワーク２０上の脆弱性の診断を実施する脆弱性診断手段１３を備えている。ここでの脆弱性に関する問題としては、次のようなものが考えられる。

例えば、本来隠蔽すべき情報が設定ミスまたは設定漏れにより外部から参照できてしまう、あるいは、本来隠蔽すべき機能が設定ミスまたは設定漏れにより外部から利用できてしまうといった設定上の問題がある。また、バックドアと呼ばれるソフトウェアが攻撃者によりサーバにインストールされた場合には、外部からそのソフトウェアを利用してサーバを操作できてしまうというバックドアプログラムの存在による問題がある。

そこで、このような脆弱性の問題に対処するために、本実施の形態３において、センサ１０は、脆弱性診断手段１３を有し、定期的に監視対象ネットワーク２０上のサーバ及び端末に対して脆弱性の診断を実施し、その結果を診断結果格納テーブル１４に格納する機能を備えている。図９は、本発明の実施の形態３における診断結果格納テーブル１４に格納された脆弱性情報のデータ構造を示す図である。

具体的には、脆弱性診断手段１３は、監視対象ネットワーク上のサーバあるいは端末のバージョンを診断することにより、設定状況を判断できる。また、脆弱性診断手段１３は、監視対象ネットワーク上のサーバに対して擬似的な攻撃コードを発行してその応答を診断することにより、バックドアの存在を確認できる。そして、脆弱性診断手段１３は、このような診断結果を脆弱性データとして診断結果格納テーブル１４に格納する。

このような擬似的な攻撃コードは、シグネチャ情報の１つとして管理装置３０で管理し、各センサ１０に対して送信することにより、不正侵入監視装置として脆弱性に関する属性でセンサをグループ化して管理することが可能となる。

図９における「脆弱性」の項目が各サーバあるいは端末の個々の脆弱性データであり、各行が監視対象ネットワーク２０上のサーバあるいは端末に相当する。脆弱性診断手段１３は、それぞれのサーバあるいは端末についてのこのような脆弱性データを定期的に収集することにより、ネットワークの各構成要素の脆弱性の現状を把握することができる。

センサ１０は、脆弱性診断手段１３が定期的に収集した診断結果を管理装置３０に通知する。一方、管理装置３０は、通知された診断結果に基づいて、センサ属性管理テーブル３１およびグループ管理テーブル３２の内容を更新する。

実施の形態３によれば、各センサは、診断手段を備えることにより定期的に監視対象ネットワーク上の脆弱性診断を行うことができ、ネットワークの脆弱性の現状を把握することができる。さらに、管理装置は、センサから受信した診断結果に基づいて、管理テーブルの内容を更新することができる。これにより、既に対策済の脆弱性に関する属性でセンサをグループ化し、対策済の脆弱性に関するシグネチャの適用を排除できるため、誤検知を減らすことができる。

本発明の実施の形態１における不正侵入監視装置の構成図である。 本発明の実施の形態１におけるセンサ属性管理テーブルのデータ構造を示す図である。 本発明の実施の形態１におけるグループ管理テーブルのデータ構造を示す図である。 本発明の実施の形態１における不正アクセス情報の一覧表示の例示図である。 本発明の実施の形態１の管理装置における送信処理のフローチャートである。 本発明の実施の形態２における不正侵入監視装置の構成図である。 本発明の実施の形態２における調査結果格納テーブルのデータ構造を示す図である。 本発明の実施の形態３における不正侵入監視装置の構成図である。 本発明の実施の形態３における診断結果格納テーブルに格納された脆弱性情報のデータ構造を示す図である。

符号の説明

１０ センサ、１１ 調査手段、１３ 脆弱性診断手段（診断手段）、２０ 監視対象ネットワーク、３０ 管理装置、３１ センサ属性管理テーブル（管理テーブル）、３２ グループ管理テーブル（管理テーブル）、４０ 外部ネットワーク。

Claims (4)

1. ネットワーク上のパケットを検査することによりネットワーク上への不正アクセスを監視し、前記不正アクセスを検出した場合には不正アクセス情報を生成する複数のセンサと、
   前記複数のセンサを一括管理し、前記不正アクセス情報に基づいて前記ネットワーク上への不正アクセスを監視する管理装置と
   を備えた不正侵入監視装置において、
   前記管理装置は、前記複数のセンサの属性に応じてグループ分けされた管理テーブルが記憶された記憶部を有し、前記管理テーブルに基づいて、不正アクセスを監視するために必要なシグネチャ情報を同一のグループに属するセンサに一括して送信し、
   前記複数のセンサは、前記管理装置から受信した前記シグネチャ情報に基づいて不正アクセスを監視することにより前記不正アクセス情報を生成する
   ことを特徴とする不正侵入監視装置。
2. 請求項１に記載の不正侵入監視装置において、
   前記管理装置は、前記管理テーブルに基づいて、前記シグネチャ情報に含まれる複数のシグネチャの中から不正アクセスの検出を行うべきシグネチャを特定するポリシー情報をセンサに応じて生成し、シグネチャ情報とともにセンサに応じた前記ポリシー情報を送信し、
   前記複数のセンサは、前記管理装置から受信した前記シグネチャ情報および前記ポリシー情報に基づいて使用するシグネチャを特定して不正アクセスを監視することにより前記不正アクセス情報を生成する
   ことを特徴とする不正侵入監視装置。
3. 請求項１または２に記載の不正侵入監視装置において、
   前記複数のセンサのそれぞれは、監視対象ネットワーク上の構成要素の増減および各構成要素の属性情報を定期的に調査して調査結果情報を生成する調査手段を有し、
   前記管理装置は、前記調査結果情報に含まれる属性情報に基づいて前記複数のセンサのグループ分けを行って前記管理テーブルを更新する
   ことを特徴とする不正侵入監視装置。
4. 請求項１ないし３のいずれか１項に記載の不正侵入監視装置において、
   前記複数のセンサのそれぞれは、監視対象ネットワーク上の構成要素の脆弱性データを定期的に診断して診断結果情報を生成する診断手段を有し、
   前記管理装置は、前記診断結果情報に含まれる脆弱性データに基づいて前記複数のセンサのグループ分けを行って前記管理テーブルを更新する
   ことを特徴とする不正侵入監視装置。

Images