JP2006509283A - コンピュータ侵入に対応するための方法及びシステム - Google Patents

Abstract

【課題】検出された侵入に対応する際に、好ましくは自動的又は半自動的に、セキュリティ管理者を支援する方法及びシステムを提供すること。
【解決手段】過去の既知の侵入における侵入パターンを図形表示し、次いで既知の侵入における侵入パターンを現在の侵入と比較することによって、コンピュータへの侵入を管理するための方法及びシステムである。侵入パターンは、侵入の効果若しくは侵入のタイプのシグニチャを与える活動である、侵入イベントに基づくものか、又は侵入によって影響を受けるハードウェア・トポロジーに基づくもののいずれかとすることができる。侵入パターンは、スクリプト応答と共に図形表示され、スクリプト応答は、好ましい実施形態においては、侵入パターンの各々のノードと関連付けられたポップアップ・ウィンドウに提示される。あるいは、侵入に対する応答は、過去の既知の侵入における侵入パターンと現在の侵入の侵入パターンとの共通点の所定の割合に基づいて、自動的に行うことができる。

Description

本発明は、一般に、データ処理の分野に関し、具体的には、侵入の効果の図形表示を用いて悪意のある侵入に対応するための改善されたデータ処理システム及び方法に関する。

最新のエンタープライズ・ネットワークは、典型的にはインターネットを介して遠隔ユーザがアクセスするための手段を含む。このアクセスは、許可されたユーザが、電子商取引、コンテンツの共有、及び他の電子的な活動などを目的としてネットワークと対話することができるように設計される。これらのネットワークは、許可されたユーザが容易にアクセスすることができるように設計されるため、許可されていないユーザ、特に悪意をもってネットワークにアクセスしようとするユーザによってもアクセスされやすい。この悪意は、ユーザによる「侵入」の形で現れる。侵入は、ネットワーク又はネットワーク内のコンピュータに対する悪意のある電子的アクセスと定義される。侵入の例として、ウイルス、無許可のデータ・マイニング（「ファイルのハッキング」と呼ばれることもある）、及び、侵入によってコンピュータ・システムが過負荷になり実際の作業が実施できなくなる分散サービス妨害（ＤＤＯＳ）攻撃が挙げられる。

侵入イベントは、侵入の結果（効果）と定義される。侵入イベントの例は、データ・ファイルが破壊されるか又は違法コピーされること、システム／コンピュータがクラッシュすること、及び、システム／コンピュータの速度が低下することである。

侵入に対抗することは、典型的には、リスク管理ソフトウェアの助けを借りてコンピュータ・システムへの侵入を監視する情報技術の専門家であるセキュリティ管理者の仕事である。侵入及び侵入イベントを検出するための多くの既知の方法が存在するが、侵入に対する応答を管理するのは極めて複雑である。すなわち、イベントの検出はよく知られており、自動的に行うことができるが、管理及び応答アクションは、典型的には、手動で行われる。侵入の複雑な性質のため、セキュリティ管理者が、どんなタイプの侵入が発生しており、適切に対応するにはどうすればよいかを評価するのは困難である。

したがって、検出された侵入に対応する際に、好ましくは自動的又は半自動的に、セキュリティ管理者を支援する方法及びシステムについての必要性が存在する。

本発明は、過去の既知の侵入における侵入パターンを図形表示し、次いで現在の侵入の侵入パターンを過去の侵入と比較することによって、コンピュータへの侵入を管理するための方法及びシステムに向けられる。既知の侵入と現在の侵入とが、一部又はすべてが共通する結果（侵入イベント又は共通する影響を受けたハードウェア）を有する場合には、セキュリティ管理者は、スクリプト応答を実行して、現在の侵入が引き起こした損傷を修復するか、又は少なくとも現在の侵入がそれ以上損傷を引き起こすのを防止することができる。

侵入パターンは、侵入の効果若しくは侵入のタイプについての痕跡を与える活動である、侵入イベントに基づくものか、又は侵入によって影響を受けるハードウェア・トポロジーに基づくもののいずれかである。

侵入パターンは、スクリプト応答を実行することによって対応することができるセキュリティ管理者に図形で示され、スクリプト応答は、好ましい実施形態においては、侵入パターンの各々のノードと関連付けられたポップアップ・ウィンドウに提示される。あるいは、侵入に対する応答は、過去の既知の侵入及び現在の侵入の侵入パターンにおける共通点の所定の割合に基づいて、自動的に行うことができる。

本発明の上記の及び付加的な目的、特徴、及び利点は、以下の詳細な説明において明らかとなるであろう。

本発明の好ましい実施形態が、添付の図面を参照して、例示のみの目的で詳細に説明されることになる。

ここで図を、特に図１を参照すると、本発明の好ましい実施形態に従って、ネットワーク（図示せず）と通信することができるデータ処理システム１００が示される。データ処理システム１００は、例えば、ニューヨーク州アーモンク所在のＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎから入手可能なパーソナル・コンピュータ又はサーバの型式の１つとすることができる。データ処理システム１００は、単一のプロセッサのみを含むものとするか、又は、複数のプロセッサを含むマルチプロセッサ（ＭＰ）システムとすることができる。図示された例では、単一プロセッサ・システムが示される。別個のＬ２キャッシュを持つか、又はＬ２キャッシュ１０８をプロセッサ１０２と共用する第２のプロセッサ（図示せず）を、図示されたシステムに追加してもよい。プロセッサ１０２は、内部に別個の１次（Ｌ１）命令キャッシュ１０４及びデータ・キャッシュ１０６を含むスーパースカラー縮小命令セットコンピューティング（ＲＩＳＣ）プロセッサとすることができる。

プロセッサ１０２は、２次（Ｌ２）キャッシュ１０８に接続される。Ｌ２キャッシュ１０８は、データ処理システム１００のシステム・バス１１０に接続される。システム・メモリ１１２もシステム・バス１１０に接続され、入出力（Ｉ／Ｏ）バス・ブリッジ１１４も同様である。Ｉ／Ｏバス・ブリッジ１１４は、Ｉ／Ｏバス１１８をシステム・バス１１０に連結し、データ・トランザクションを一方のバスから他方のバスに中継及び／又は変換する。ユーザ・インターフェース情報をディスプレイ１２４に与えるメモリーマップ・グラフィックス・アダプタ１１６などの他の装置も、システム・バス１１０に接続される。

Ｉ／Ｏバス・ブリッジ１１４はＩ／Ｏバス１１８に接続され、Ｉ／Ｏバス１１８は、従来型のマウス、トラックボール、キーボード、又は同様の装置とすることができる入力装置１２６、及び、ハード・ドライブ、コンパクト・ディスク読み取り専用メモリ（ＣＤ−ＲＯＭ）ドライブ、デジタル・ビデオ・ディスク（ＤＶＤ）ドライブ、又は同様の記憶装置などの不揮発性記憶装置１２２といった他の様々な装置に接続することができる。

Ｉ／Ｏバス１１８には、ネットワーク・アダプタ１２０も接続され、このネットワーク・アダプタは、ローカル・エリア・ネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、インターネット、又は、データ処理システム１００とネットワーク内の他のコンピュータとの通信を可能にする他のネットワークとすることができるネットワークとの論理インターフェースを提供する。

図１に示される例示的な実施形態は、本発明の好ましい実施形態を説明する目的でのみ提供されるものであり、当業者であれば、形態及び機能の両方に関して多くの変更が可能であることを認識するであろう。例えば、データ処理システム１００は、サウンド・カード及びオーディオ・スピーカと、他のＩ／Ｏ装置及び通信ポートと、多数の他の構成要素とを含むことができる。

ここで、図２ａを参照すると、多くの異なる侵入によって引き起こされる可能性のある侵入イベントが示される。侵入イベントは、侵入によって開始される効果又は活動と定義される。ツリー形式で図示されているが、これらの侵入イベントは、例示された侵入イベントの相互の関連付けを行うことによって最もよく理解される。例えば、侵入Ａによって引き起こされる（太線の円で示される）侵入イベントを図示する侵入経路２００を考える。例として挙げると「Ｃｏｄｅ Ｒｅｄ」などのウイルスの場合がある侵入Ａは、多数のホスト２０２にホスト・コンピュータ２０６への分散サービス妨害２０４を生成させる侵入である。侵入Ａは、ＩＰネットワーク上で実時間トラフィック分析とパケット・ロギングとを行うことが可能な、例示的な侵入検出システムであるスノート（Ｓｎｏｒｔ）２０８によって検出されるものとして示される。スノート２０８は、プロトコル分析及びコンテンツ検索／照合を行うことが可能であり、バッファ・オーバーフロー、ステルス・ポート・スキャン、コモン・ゲートウェイ・インターフェース（ＣＧＩ）攻撃、サーバ・メッセージ・ブロック（ＳＭＢ）・プローブ、オペレーティング・システム（ＯＳ）指紋採取試行などといった様々な攻撃及びプローブを検出するのに用いることができる

侵入Ａは、侵入検出システム（ＩＤＳ）２１０からの応答をトリガすることもあり、侵入検出システムは、インバウンド及びアウトバウンドのすべてのネットワーク活動を検査し、システムに割り込むか又はシステムを脅かそうとする者によるネットワーク又はシステム攻撃を示す不審なパターンを特定する。ＩＤＳ２１０は、システム全体によって特定され、システム全体に影響を与える侵入イベント２１４の一類型の、本例では侵入Ａであるネットワーク・イベント２１２を検出した。

侵入経路２００によって示されるように、侵入Ａは、コンピュータ・システムの他の部分にも影響を与えることに留意されたい。すなわち、侵入Ａはまた、システム・レベル２１８においてメモリ・イベント２２０と許可イベント２２２の両方に影響を与えるホスト・イベント２１６を生成する。さらに、侵入Ａは、周辺イベント２２４を生成し、これは、スキャン・イベント２２８として、かつ、データの不良パケット２３０を有するものとして、ファイアーウォール２２６によって検出される。不良パケット２３０は、図示されるように、通信制御プロトコル（ＴＣＰ）不正形式プロトコル・パケット２３２である。

このように、黒くした太い境界線を有する侵入経路２００によって示されるパターンは、侵入Ａについての固有シグニチャ侵入パターンである。ここで図２ｂを参照すると、現在の未知の侵入の侵入イベントに基づく侵入経路２０１が示されている。現在の侵入の原因は、当初は不明である。しかしながら、侵入パターンが図２ａの侵入Ａのパターンと同一であるため、侵入されたコンピュータ・ネットワーク又はコンピュータのセキュリティ管理者は、現在の侵入が侵入Ａと同じであるか、又は少なくとも侵入Ａと同じように振る舞うものと認識することができる。

本発明の好ましい実施形態においては、サービス妨害イベント２０４と関連付けられたスクリプト応答２０４ａのように、スクリプト応答が各々のノードに関連付けられる。スクリプト応答は、侵入イベントを処理するための事前に書かれたコードである。例えば、スクリプト応答２０４ａは、コンピュータ・システムを過負荷状態にしている侵入を隔離し、次いでその侵入を無効にするように設計されたプログラムとすることができる。スクリプト応答は、各々のイベント記述ノードと関連付けて図示されており、マウス又は同様のポインティング装置によりクリックするだけでスクリプト応答を開始する、ポップアップ・ウィンドウのようなアクティブ・ウィンドウ内にあることが好ましい。スクリプト応答は単一の項目として図示されているが、代替的な好ましい実施形態においては、多数の推奨スクリプト応答のリストが、侵入経路２０１のノードの１つ又はすべてにおいて図示され、アクティブにされる。多数のスクリプト応答は、それらのうちの１つが最上位にランクされるような、当該スクリプト応答を用いた成功の履歴、侵入の危険度、又は、侵入を評価するためのリスク管理プログラムを開発するときにセキュリティ管理者によって決定された他の因子に基づくランキングと共に、図示されることが好ましい。例えば、リスク管理プログラムは、隔離することによってコンピュータ・システムの影響を受けていない部分が停止したとしても、ミッション・クリティカルなデータを攻撃するあらゆる侵入を確実に隔離しなければならない旨を決定することができる。このような場合には、最上位の推奨応答は、コンピュータ・システムの多くの領域を停止させるためのものであり、最上位の応答として推奨されることになる。

侵入に対する対応の仕方に関する情報をセキュリティ管理者に提供するためには、侵入経路が同一である必要はないことに留意されたい。すなわち、既知の侵入と未知の侵入とが、それらの侵入経路に一定の共通点を有する場合には、セキュリティ管理者は、現在の未知の侵入による悪影響の、すべてではないが大部分を修復することになる応答を開始することができる。

本発明の一実施形態においては、各々のスクリプト応答は、侵入経路２０１の各々のノードについて、セキュリティ管理者が手動で選択する。あるいは、図３のフロー・チャートで説明されるように、すべてのノードについて最上位の推奨応答を侵入に応答して自動的に開始するように、設定を選択することができる。ブロック３０２に記載されるように、現在の侵入は、好ましくは侵入の特性に従って侵入を検出することができるリスク・マネージャによって、検出される。こうした特性には、悪意のあるヘッダー情報又は他の受信データの既知のパケット、ネットワーク内のすべてのコンピュータでインターネット・プロトコル（ＩＰ）アドレスをスキャンするというような、侵入のコンピュータ・システム特性に関してソフトウェア又はハードウェアがとるアクション、突然のコンピュータ性能低下又はＣＰＵの使用、及び、同様のイベント又は条件が含まれる。ブロック３０４に記載されるように、現在の侵入の侵入イベントは、既知の侵入の侵入イベントと比較される。クエリ・ブロック３０６に示されるように、現在の未知の侵入とこれまでの既知の侵入の両方で所定の割合の共通イベント・ノードが見出されるかどうかに関して、判断が行われる。すなわち、既知の侵入の侵入経路と現在の侵入の侵入経路とが比較される。過去の既知の侵入と現在の未知の侵入とが多数の共通イベント・ノードを有する場合には、ブロック３１０に記載されるように、すべてのノードについてのスクリプト応答が自動的に実行される。既知の侵入と未知の侵入との間に十分な共通イベント・ノードが存在しない場合には、セキュリティ管理者は、各々のイベント・ノードについてのスクリプト応答を手動で選択するように指示される。

すべてのスクリプト応答を自動的に実行するという決定は、侵入を分類して自動応答をアクティブにすべきかどうかを判断するコンピュータ・システム上のリスク管理プログラムが行うこともできる。例えば、リスク管理プログラムは、現在の侵入が既知の分類型のものであるか、又はシステム全体をクラッシュさせる可能性があると知られている重大度のものであると判断した場合には、自動スクリプト応答を開始することができる。好ましい実施形態においては、侵入の重大度は、スクリプト応答の結果の重大度と関連付けられる。すなわち、重大な侵入は、システムの一部を強制的に停止させるといった重大な影響をシステムに及ぼす場合があるスクリプト応答と関連付けられるが、侵入の重大度、及び侵入によって生じることがある潜在的な損害によって、この重大な影響を正当化することができる。

同じように、セキュリティ管理者が対応するまでの予想応答時間が非常に長くなりそうなため、セキュリティ管理者が対応する前にシステムに深刻な損傷が生じることを理解するようにリスク管理プログラムが設計されている場合には、自動スクリプト応答を開始することができる。同様に、特定の侵入経路が、特定のスクリプト応答を何回も（又は、一度だけ）実行させた履歴をもつものである場合には、リスク管理プログラムは、この履歴に基づいてスクリプト応答の実行を自動的に開始することができる。

共通イベント・パターンに加えて、図２ａ及び図２ｂに示されるように、侵入は、ハードウェア・トポロジーのどのハードウェアが影響を受けたかに関するシグニチャをも有する。ここで図４ａを参照すると、侵入によって影響を受ける場合があるハードウェアが示されている。図において太い境界線のボックスで識別される侵入経路４００は、上の図２ａで説明された侵入Ａの影響を受けるコンピュータ・システムのハードウェア・トポロジーを特定した。このように、侵入Ａは、内部のローカル・エリア・ネットワーク（ＬＡＮ）Ａ４０４の影響を受けるエンタープライズ・コンピュータ・システムのイントラネット４０２に異常を引き起こす。ＬＡＮ Ａ４０４の内部では、サーバ４０６、パーソナル・コンピュータ（ＰＣ）４０８、及び侵入検出システム（ＩＤＳ）ハードウェア４１０が影響を受ける。サーバ４０６の内部ではウェブ・サーバ４１６が影響を受け、そのポータルＢ４１８も、侵入Ａの影響を受ける。同じように、ウィンドウズ（商標）ベースのオペレーティング・システムが作動するすべてのＰＣが影響を受け、ウィンドウズ（商標）ベース４１４ＰＣとして示される。同様に、スノート対応ハードウェア４１２が作動するＩＤＳハードウェア４１０は、侵入Ａが検出されたというイベントを登録する。このように、ハードウェアは、上の図２ａ及び図２ｂで説明された侵入イベントの侵入パターンと類似した形で、シグニチャ侵入パターンを示す。

ここで、図４ｂを参照すると、ハードウェア・トポロジー侵入経路４０１は、侵入Ａによって引き起こされた侵入パターンを示す。現在の未知の侵入が、ハードウェア・トポロジー侵入経路４０１によって示されるものと同一又は類似のパターンを持った状態で発生したときは、セキュリティ管理者は、上述の侵入イベントの侵入パターンについての説明と同様に対応する。このように、ハードウェア・トポロジー侵入経路４０１の各々のイベント・ノードは、図２ａ及び図２ｂの説明に際して上述したものと類似のスクリプト応答を含む、関連付けされたアクティブ・ウィンドウを含む。侵入イベントについてのスクリプト応答と同様に、ハードウェア・トポロジー侵入経路４０１に記載されるスクリプト応答は、図示されるような単一のものとするか、又は推奨スクリプト応答のリストとすることができ、このリストは、最上位のスクリプト応答が支持されるようにスコアを付けることが好ましい。スクリプト応答は、侵入イベントの侵入経路について上述したものと類似した形で、手動又は自動で開始することができる。

図２ａ及び図２ｂを用いて上述され、図示された侵入イベントの図形表示と同様に、侵入に対する対応の仕方に関する情報をセキュリティ管理者に提供するためには、既知の侵入の侵入経路と未知の侵入の侵入経路とが同一である必要はない。すなわち、既知の侵入と未知の侵入とが、それらの侵入経路に一定の共通点を有する場合には、セキュリティ管理者は、現在の未知の侵入による悪影響の、すべてではないが大部分を修復することになる応答を開始することができる。

侵入に対するスクリプト応答は、通知に応答して、セキュリティ管理者が局所的に又は遠隔的に開始することができる。例えば、セキュリティ管理者は、侵入イベントを該セキュリティ管理者に知らせる携帯電話又は携帯情報端末（ＰＤＡ）で通知を受け取ることができる。次いで、セキュリティ管理者は、ＰＤＡの対話ウィンドウをクリックすることによって、スクリプト応答の一部又はすべてを電子的にアクティブにすることができ、その結果、その入力がコンピュータ・システムのリスク管理プログラムによって認識され、要求されたスクリプト応答が開始される。

上述の好ましい実施形態は、コンピュータ・システムのリスク管理プログラムにとって既知の場合も未知の場合もある現在の侵入と比較するために、既知の侵入の侵入パターンを生成し、図形表示する方法及び手段を与えるものである。現在の侵入が、図形表示されたそのシグニチャ侵入経路に従って特定された後で、侵入に対応し、侵入を制御するために、スクリプト応答が開始される。スクリプト応答は、既知の侵入についての履歴データに基づくものとすることができる。既知の侵入と現在の侵入とは、同一であるか又は異なる場合があり、推奨スクリプト応答は、現在の侵入によって影響を受ける侵入経路のイベント・ノード又ハードウェア・ノードの幾つか又はすべてに関連して、図形的に提示される。スクリプト応答は、侵入経路のイベント／ハードウェア・ノードの各々について単一の選択肢とするか、又はランク付けされた推奨スクリプト応答のリストから選択することができる。

好ましい実施形態の機能を定めるプログラムを、様々な信号担持媒体を介してデータ記憶システム又はコンピュータ・システムに送達することができ、これらの信号担持媒体として、書き込み不可能な記憶媒体（例えば、ＣＤ−ＲＯＭ）、書き込み可能な記憶媒体（例えば、フレキシブル・ディスク、ハード・ディスク・ドライブ、読み取り/書き込みＣＤ−ＲＯＭ、光媒体）、及び、イーサネット（商標）を含むコンピュータ及び電話ネットワークといった通信媒体を挙げることができるが、これらに限定されるものではない。こうした信号担持媒体は、本発明の方法機能を命令するコンピュータ読み取り可能命令を伝達又はエンコードするときは、本発明の代替的な実施形態になる。

本発明の好ましい実施形態によるデータ処理システムのブロック図を示す。 本発明の好ましい実施形態による過去の既知の侵入を含む多くの異なる侵入の侵入イベントに基づく侵入パターンを示す。 本発明の好ましい実施形態による過去の既知の侵入における侵入パターンと一致する、現在の未知の侵入の侵入イベントに基づく侵入パターンを示す。 本発明の好ましい実施形態による現在の未知の侵入についてのスクリプト応答を自動的に実行するための、本発明の好ましい実施形態のフロー・チャートである。 本発明の好ましい実施形態による過去の既知の侵入を含む多くの異なる侵入の影響を受けたハードウェア・トポロジーに基づく侵入パターンを示す 本発明の好ましい実施形態による過去の既知の侵入における侵入パターンと一致する、現在の未知の侵入の影響を受けたハードウェア・トポロジー基づく侵入パターンを示す。

Claims (10)

1. コンピュータへの侵入を管理するための方法であって、
   既知の侵入の侵入パターンを、侵入経路のノードにおけるスクリプト応答を含めて図形表示し、
   コンピュータの現在の侵入を、前記既知の侵入及び前記現在の侵入の侵入経路における少なくとも１つの共通の特徴に従って、前記既知の侵入の図形表示と照合し、
   前記既知の侵入と前記現在の侵入との照合に応じて、前記現在の侵入に対応することが可能なスクリプト応答を開始する、
   方法。
2. 前記侵入パターンは侵入イベントに基づくものである、請求項１に記載の方法。
3. 前記侵入パターンは、前記既知の侵入によって影響を受けるハードウェア・トポロジーに基づくものである、請求項１に記載の方法。
4. 前記現在の侵入についての前記スクリプト応答は、前記既知の侵入についての履歴データに基づくものである、請求項１に記載の方法。
5. 前記スクリプト応答を手動で開始するための予想応答時間と、
   前記スクリプト応答の重大度レベルに該当する、前記現在の侵入の重大度と、
   前記現在の侵入の分類型と、
   のうちの１つに従って請求項１に記載の方法を自動的に実行する、請求項１に記載の方法。
6. コンピュータへの侵入を管理するためのシステムであって、
   既知の侵入の侵入パターンを、侵入経路のノードにおけるスクリプト応答を含めて図形表示するための手段と、
   コンピュータの現在の侵入を、前記既知の侵入及び前記現在の侵入の侵入経路における少なくとも１つの共通の特徴に従って、前記既知の侵入の図形表示と照合するための手段と、
   前記既知の侵入と前記現在の侵入との照合に従って、前記現在の侵入についてのスクリプト応答を開始するための手段と、
   を含むシステム。
7. 前記侵入パターンは、前記既知の侵入によって影響を受けるハードウェア・トポロジーに基づくものである、請求項６に記載のシステム。
8. 前記現在の侵入についてのスクリプト応答は、前記既知の侵入についての履歴データに基づくものである、請求項６に記載のシステム。
9. 前記スクリプト応答を手動で開始するための予想応答時間と、
   前記スクリプト応答の重大度レベルに該当する、前記現在の侵入の重大度と、
   前記現在の侵入の分類型と、
   のうちの１つに従って請求項１に記載の方法を自動的に実施するための手段をさらに含む、請求項６に記載のシステム。
10. コンピュータへの侵入を管理するためのコンピュータ使用可能媒体であって、
    既知の侵入の侵入パターンを、侵入経路のノードにおけるスクリプト応答を含めて図形表示するためのコンピュータ・プログラム・コードと、
    コンピュータの現在の侵入を、前記既知の侵入及び前記現在の侵入の侵入経路における少なくとも１つの共通の特徴に従って、前記既知の侵入の図形表示と照合するためのコンピュータ・プログラム・コードと、
    前記既知の侵入と前記現在の侵入との照合に従って、前記現在の侵入についてのスクリプト応答を開始するためのコンピュータ・プログラム・コードと、
    を含むコンピュータ使用可能媒体。

Images