JP2007094997A - Ｉｄｓのイベント解析及び警告システム - Google Patents

Abstract

【課題】ネットワーク内に攻撃元が存在する場合等も含め、ネットワークにおける不正アクセス等発生の場合にイベントデータを解析して該当通信イベント以降の不正アクセスの迅速な検出と的確なアラート発行を実現でき、不正アクセスに対する適切な対応を可能として二次的被害を抑止できるＩＤＳのイベント解析及び警告システムを提供する。
【解決手段】イベントデータを処理制御部が解析し、イベントデータの一又は複数のデータ項目内容ごとにそれぞれ内容の共通する通信イベントの発生数を集計した集計数値情報を取得し、不正アクセス検出部で所定の検出条件にイベントデータ内容又は集計数値情報が合致するか否かを確認して不正アクセスの判定を行うことから、ネットワーク内で生じた異常を集計数値情報に基づいて識別、検出できることとなり、攻撃元が外部か内部かに関わりなく不正アクセス状態を検出して適切なアラートとして通知できる。
【選択図】 図２

Description

本発明は、監視対象のネットワークに設置されたＩＤＳセンサより通知されたイベントデータを解析して適切なアラートを発行するＩＤＳのイベント解析及び警告システムに関し、特に、ＩＤＳセンサから通知されるイベントデータを記録、蓄積して、この蓄積したイベントデータを解析して不正アクセスの判定に利用可能とし、アラート発行をより適切且つ迅速に行えるようにする、ＩＤＳのイベント解析及び警告システムに関する。

近年、コンピュータはネットワーク接続された使用形態が一般的となり、それに伴ってネットワークを介した不正アクセスやウィルス感染の危険も生じている。こうした危険に対するコンピュータの保護は急務となっており、特に外部ネットワークとの接続に際しては、必要な通信のみ通し、不要な通信を遮断して外部ネットワークからの攻撃や不正アクセスから内部ネットワークを保護するファイアウォールの利用にとどまらず、ファイアウォールでは阻止できないコンピュータ端末やネットワークに対する不正行為を検出して通知するＩＤＳ（Intrusion Detection System；侵入検知システム）を導入するケースも増えている。

従来、一般的に利用されているネットワーク型の侵入検知システムは、監視対象のネットワークにセンサとして設置、接続され、データベース化された多数のシグネチャ（ネットワーク上で既知の不正事例を分析して抽出された、攻撃や不正なアクセスと見なせるパターン）と、監視対象のネットワーク上に流れる通信パケットとを、逐一比較照合し、通信パケットとデータベース内のシグネチャの１つとが一致した場合、その通信パケットに対応する通信アクセスを不正と見なし、不正な事象を示すイベントデータ（アラート）を発行してセキュリティ管理者に通知するものとなっている。また、通知によりセキュリティ管理者の対策を促すだけでなく、不正アクセス等検出時には自動的にトラヒック制御や内外の通信を遮断する等の機能を備えているものもある。ただし、侵入検知システムは不正アクセスを確実に検知するために、パケットの不正に厳密に対応する仕組みとなっており、現実の運用では大量のアラートがセキュリティ管理者に通知されることも多く、実際に有害なアラートのみにフィルタリングを行う場合もある。一方、センサが監視できる範囲は、ネットワークのセグメント単位に限られるため、ＤＭＺや内部ネットワークなど各セグメント毎にセンサを設置する必要がある。

このような従来の侵入検知システムの例としては、特開２００２−７３４３３号公報、特開２００４−３０２８６号公報、特開２００４−３３６１３０号公報、及び特開２００５−２１０６０１号公報に記載されるものがある。

前記従来の侵入検知システムは、ネットワーク内のコンピュータへの不正アクセスを検出、通知する他、ネットワークを介して送信される所定のパケット数を監視、分析するなどにより、ネットワーク上の各種サーバに対して大量のサービス接続要求を送信し、サーバの負荷を高めてサーバをダウンさせたり、サービスを利用不能にしたりするサービス不能攻撃などにも対処可能となっている。
特開２００２−７３４３３号公報 特開２００４−３０２８６号公報 特開２００４−３３６１３０号公報 特開２００５−２１０６０１号公報

従来の侵入検知システムは前記各特許文献に示されるものとなっているが、こうした従来システムは外部ネットワークからの不正アクセスを想定したものとなっており、内部ネットワークが外部から攻撃を受けて内部ネットワーク内のある機器が不正動作状態に陥り、この機器から内部ネットワーク内の他の機器や外部ネットワークに対して、新たな攻撃が行われる場合、例えば、攻撃のいわゆる「踏み台」とされる例や、内部ネットワークに接続された機器を直接悪意のある人物に盗用される場合など、ネットワーク内部に攻撃元が存在する状態では、侵入検知システムによる検出は、所定アドレスに関するトラヒック増大などから異常の検出そのものは行える可能性はあるものの、内部ネットワークからの攻撃に対する適切な検知及び情報提供手段を、侵入検知システムが持っていないことから、単に異常状態の検出にとどまり、適切なアラートを発行することができず、異常の原因である外部からの攻撃やウィルス感染、内部からの不正アクセス等の予測が困難であるなど、管理者も適切に対処することができなくなり、外部ネットワークからの不正な通信を監視する手段を有しながら、内部ネットワーク内の機器からの攻撃による二次的な被害を避けられないという課題を有していた。

本発明は前記課題を解消するためになされたもので、ネットワーク内に攻撃元が存在する場合等も含め、ネットワークにおける不正アクセス等発生の場合にイベントデータを解析して該当通信イベント以降の不正アクセスの迅速な検出と的確なアラート発行を実現でき、不正アクセスに対する適切な対応を可能として二次的被害を抑止できるＩＤＳのイベント解析及び警告システムを提供することを目的とする。

本発明に係るＩＤＳのイベント解析及び警告システムは、監視対象となる所定のネットワークに接続されたＩＤＳセンサより通知されたイベントデータを解析して適切なアラートを発行するＩＤＳのイベント解析及び警告システムにおいて、前記ＩＤＳセンサより通知されたイベントデータを入出力部を介して受取り、イベントデータを所定時間だけ記録蓄積するデータ記録部と、前記データ記録部に記録蓄積された分のイベントデータについて、各イベントデータ内部を参照してイベントデータの一又は複数のデータ項目について内容別に集計を行って集計数値を導く処理制御部と、前記入出力部から得たイベントデータの内容及び／又は当該イベントデータ受け入れ時点における前記処理制御部で得られた集計数値情報を、所定の検出条件に照らし合わせ、イベントデータで示される通信イベントが不正アクセスに該当するか否かを判定する不正アクセス検出部と、当該不正アクセス検出部で不正アクセスとの判定がなされた場合に、不正アクセスの発生と不正内容を示すアラートを発行するアラート管理部とを備え、前記処理制御部が、前記アラート管理部によるアラート発行と同時に、前記イベントデータを所定のアラートデータとしてデータ記録部に記録するものである。

このように本発明によれば、ＩＤＳセンサから取得したイベントデータを処理制御部が解析し、イベントデータの一又は複数のデータ項目内容ごとにそれぞれ内容の共通するイベントデータを集計した集計数値情報を取得し、不正アクセス検出部で所定の検出条件にイベントデータ内容又は集計数値情報が合致するか否かを確認して不正アクセスの判定を行い、不正アクセスの場合にはアラート管理部がアラートを発行することにより、ネットワーク内で生じた所定アドレスへの大量不正アクセス等の異常を、所定通信イベントの発生数を示す集計数値情報に基づいて識別、検出できることとなり、攻撃元が外部か内部かに関わりなく不正アクセス状態を検出して適切なアラートとして通知することができ、管理者等の適切な対応を可能にしてネットワークへの被害を必要最小限に抑えられる。

また、本発明に係るＩＤＳのイベント解析及び警告システムは必要に応じて、前記アラートデータに対応する通信イベントの送信元が前記ネットワーク内部である場合、前記データ記録部に蓄積されたイベントデータで、前記送信元に対して送信されている通信イベントに関するものの中から、所定の条件に対応するイベントデータを検索し抽出するイベントデータ検索部を備え、前記アラート管理部が、前記イベントデータ検索部の検索で得られた以前のイベントデータをアラート起点データとして、前記アラートデータと関連付けてデータ記録部に記録するものである。

このように本発明によれば、アラートを発行された通信イベントがネットワーク内部からの送信によるものである場合、イベントデータ検索部が蓄積されたイベントデータから前記通信イベントの送信元に対しなされた以前の不正アクセスに関わるものを検索、抽出し、得られたイベントデータをアラート管理部がアラート起点データとしてアラートデータと関連付けて記録することにより、アラート起点データを不正アクセスの判定に活用することでネットワーク内部での攻撃等不正アクセス発生のきっかけとなった外部からの送信イベントを識別でき、アラート起点データとして記録した以降は同様の通信イベントを不正と認識してアラート発行することができ、不正アクセスに対し適切な対応を迅速に行えることとなる。

また、本発明に係るＩＤＳのイベント解析及び警告システムは必要に応じて、前記アラート管理部が、アラートデータを以前に前記データ記録部に記録した他のアラートデータと同じと判定した場合に、前記アラートデータに対応するアラート起点データと既に記録されている他のアラートデータに対応するアラート起点データとの一致点又は類似点を検出し、当該検出した共通又は類似点を前記不正アクセス検出部で用いる前記検出条件として採用するものである。

このように本発明によれば、アラートデータを以前の他のアラートデータと同じと判定した場合に、関連するアラート起点データ同士の一致点又は類似点を検出し、これを不正アクセス検出用の検出条件に用いることにより、同種の不正アクセス発生のきっかけとなった複数の通信イベントが同様の特徴を有する場合には、以降の同様の特徴を有する通信イベントの発生時にそのまま不正アクセスとして識別してアラートを発行することができ、攻撃等不正アクセスそのもの又はこれらにつながる通信イベントを適切且つ迅速に識別して的確なアラートを発行でき、不正アクセス検出の精度を高められると共に管理者の対応も容易となる。

以下、本発明の一実施の形態を図１ないし図３に基づいて説明する。本実施の形態は、ゲートウェイを介して外部ネットワークと隔てられた内部ネットワークにＩＤＳセンサを接続して監視する状況に適用する場合の例を示す。この図１は本実施形態に係るＩＤＳのイベント解析及び警告システムを設置したネットワークのブロック図、図２は本実施形態に係るＩＤＳのイベント解析及び警告システムのブロック図、図３は本実施形態に係るＩＤＳのイベント解析及び警告システムにおけるイベント解析処理のフローチャートである。

前記各図において本実施の形態に係るイベント解析及び警告システム１は、ＩＤＳセンサ９０から送られたイベントデータを受信する入出力部１０と、入出力部１０を介して得られたイベントデータその他を記録するデータ記録部２０と、システム各部における各処理の指示制御を行うと共にイベントデータの解析を行う処理制御部３０と、イベントデータ内容について所定の検出条件を基に不正アクセスに係るか否かを判定して不正アクセスの検出を行う不正アクセス検出部４０と、不正アクセスと判定された通信イベントについて、アラートを発行すると共に、記録済の蓄積データとの比較、条件に基づくデータ抽出、及びデータ相互の関連付け等を行うアラート管理部５０と、データ記録部２０に記録されたもののうち所定の条件に合致するイベントデータを検索、抽出するイベントデータ検索部６０とを備える構成である。

本実施形態に係るシステムを用いるネットワーク１００は、インターネット等の外部ネットワーク２００に対しルータ１１０とファイアウォール１２０を介して接続された内部ネットワークであり、複数のコンピュータ７０、８０が接続される。ＩＤＳセンサ９０はファイアウォール１２０より内側のネットワーク１００に設けられることとなる。

前記入出力部１０は、ＩＤＳセンサ９０から発行されたイベントデータをファイルの形で受取り、処理制御部３０にデータとして渡すものである。なお、ＩＤＳセンサ９０は、監視対象となるネットワークのセグメント毎に配置される、いわゆるネットワーク型のものであり、ネットワークを監視し、あらかじめデータベース化されたシグネチャに対応する不正なパターンを持ったパケットを検知すると、それについてのイベントデータ（アラート）を発行する公知のシステムであり、説明を省略する。このＩＤＳセンサにより、攻撃等不正アクセスの疑いのある不審なパケットがネットワークに存在する場合には、全てイベントデータが発行されて入出力部１０に送信される仕組みとなっている。このＩＤＳセンサ９０の発行するイベントデータは、不正判断の根拠となったシグネチャ、送信元のＩＰアドレス、送信先のＩＰアドレス、ポート番号、発生時刻等を含んだものとなっている。

前記データ記録部２０は、入出力部１０を介して処理制御部３０が一旦受取ったＩＤＳセンサ９０からのイベントデータを所定時間分記録蓄積すると共に、処理制御部３０で集計解析されたイベントデータの各項目内容に関する集計数値情報を記録するものである。この他、データ記録部２０は、不正アクセス分のイベントデータその他をアラートデータとして独立させて記録すると共に、このアラートデータと関連する過去のイベントデータをアラート起点データとして独立させて記録する。イベントデータは、データ記録部２０に記録蓄積されて所定時間経過の後、アラートデータやアラート起点データとしてデータ記録部２０の別の記録領域に記録されたものを除いて、古いデータは新たなデータに置換えられ、常に最新の記録から所定時間前までのデータのみ保持された状態となっている。

前記処理制御部３０は、入出力部１０から受取ったイベントデータをデータ記録部２０に記録するよう指示制御すると同時に、データ記録部２０に記録蓄積された所定時間分のイベントデータについて、データ内容を参照してイベントデータに含まれるパケットのヘッダ情報をはじめとする通信イベントを示す各項目のうち、送信元、送信先、シグネチャのそれぞれについて内容別に集計を行い、また、複数項目で同時にイベントデータ間で共通する内容があるもの毎に集計を行って、集計数値、すなわち各通信イベント発生数の情報を取得する解析処理を行うものである。複数項目にわたる集計では、具体的には、イ）送信元と送信先、シグネチャの各内容が全て一致する通信イベントごとに集計して得られる集計数値、ロ）送信元とシグネチャの各内容が一致する通信イベントごとに集計して得られる集計数値、ハ）送信先とシグネチャの各内容が一致する通信イベントごとに集計して得られる集計数値、並びに、ニ）送信元と送信先の各内容が一致する通信イベントごとに集計して得られる集計数値、がそれぞれ取得されることとなる。

さらに、処理制御部３０は、不正アクセス検出部４０にイベントデータや集計数値情報の不正アクセスとの関わりについて検証を行わせ、不正アクセス検出部４０からイベントデータについて不正アクセスを示すものである旨を通知された場合、イベントデータを検出条件と一まとめにしてアラートデータとしてデータ記録部２０に記録すると共に、アラート管理部５０に指示してアラート発行処理を行わせる処理制御を行う仕組みである。

前記不正アクセス検出部４０は、イベントデータ内容や処理制御部３０で取得された集計数値情報をそれぞれ参照し、イベントデータが所定の検出条件に合致するか否か、集計数値情報が規定の上限数を超えたか否か検証して、このイベントデータで示される通信イベントが不正アクセスに該当するか否かを判定するものである。不正アクセスと判定した場合は、処理制御部３０やアラート管理部５０にその旨を通知する仕組みである。

前記アラート管理部５０は、不正アクセス検出部４０で不正アクセスであると判定されたイベントデータについて、検出条件に対応して不正アクセスの種類や検出に至った原因（イベント発生数過多など）を識別可能なアラートを発行するものである。また、アラート管理部５０は、イベントデータ検索部６０へのデータ検索指示を発行し、アラートデータに関わりのあるイベントデータを取得してアラート起点データとしてデータ記録部２０にアラートデータと関連させつつ記録する仕組みである。これらアラートデータやアラート起点データについては、所定時間経過してもデータ記録部２０から削除されることはない。アラート管理部５０からのアラートの発行方法は、管理者向けのメール発送や管理者端末表示画面への情報表示など、公知のいずれの手法でもかまわず、さらに、直接ネットワーク制御機器をアラートに対応させて動作させ、トラヒックコントロールや通信遮断等を行わせるようにすることもできる。

前記イベントデータ検索部６０は、前記アラートデータに対応する通信イベントの送信元が前記ネットワーク１００内部である場合に、前記データ記録部２０に蓄積されたイベントデータで、前記送信元に対して送信されている通信イベントに関するものの中から、アラート管理部５０から与えられた条件に該当する内容（例えば、所定のアドレスが送信先となっているなど）を含むイベントデータを検索し抽出するものである。このイベントデータ検索部６０で得られたイベントデータがアラート管理部５０に渡されてアラート起点データとされる。イベントデータ検索部６０における蓄積イベントデータの検索条件は、不正アクセス検出部４０で通信イベントに対する不正アクセスの判定に用いた検出条件に応じて変化する。なお、検索に際しては、あらかじめ安全であると規定されたイベントや、送信元や発信先が安全であると規定されているデータは除外される仕組みである。

次に、前記構成に基づくＩＤＳのイベント解析及び警告システムにおけるイベント解析処理について、図３に示すフローチャートに基づいて説明する。前提として、この処理に先立ち、対象となるネットワーク１００がＩＤＳセンサ９０により監視されている状態にあるものとする。

まず、ネットワークを監視するＩＤＳセンサ９０で不正と見なされるパケットが検出される毎に、ＩＤＳセンサ９０からこの不正事象についてのイベントデータが発行、出力され、入出力部１０がファイルとして受取り、この入出力部２０を介して処理制御部３０にイベントデータが渡される（ステップ０１）。処理制御部３０は、イベントデータをデータ記録部２０の所定領域に展開して過去の分と合わせて所定時間分だけ蓄積保持させる一方、これとは別に、データ内容をデータ記録部２０のイベントログファイルに新規追加内容として追記記録する。

また、処理制御部３０では、データ記録部２０に蓄積保持されている所定時間分のイベントデータの中で、このイベントデータ中の各項目（送信元、送信先、シグネチャ）毎に内容別の集計を行い、また、複数項目で同時にイベントデータ間で共通する内容があるもの毎に集計を行って蓄積データ分の集計数値情報を取得する（ステップ０２）。データ記録部２０に記録されたイベントデータは所定時間保持され、所定時間経過した古いデータは新たに蓄積されるデータに置換えられる。また、集計数値情報は時間が経過してイベントデータの蓄積状態が変化する毎に再集計されて更新される。

新規イベントデータの内容がデータ記録部２０に蓄積され、且つ集計数値情報に反映されたら、不正アクセス検出部４０が、このイベントデータについてあらかじめ設定された検出条件に該当しているか否かを確認すると共に、処理制御部３０で取得された集計数値情報を参照して、所定内容の単位時間あたり集計数値（通信イベント発生数）で検出条件として与えられた上限数を超えたものがあるか否かをそれぞれ確認することで、イベントデータがアラート発行を要するレベルの不正アクセスを示すものであるか否かを判定する（ステップ０３）。不正アクセス検出部４０は、この判定結果を処理制御部３０に通知する。

不正アクセス検出部４０で、イベントデータがアラート発行の必要な不正アクセスを示すものであると判定された場合、処理制御部３０は、データ記録部２０にこのイベントデータをアラートデータとして記録する（ステップ０４）。アラートデータとして記録する内容は、イベントデータに加え、不正アクセス検出部４０でイベントデータ内容が該当した検出条件又は項目の集計数等の検出結果とする。このアラートデータの記録と同時に、処理制御部３０はアラート管理部５０を動作させ、アラート管理部５０は管理者宛にメールを発送したり、画面表示を行ったりするなどして、アラートデータの各内容をアラートとして発行する（ステップ０５）。ネットワーク１００において、アラートに対応してトラヒックコントロールや通信遮断等の不正アクセス対策を自動的に実行可能となっている場合には、この時点で適切な対策処理が実行されることとなる。
なお、前記ステップ０３で不正アクセス検出部４０がイベントデータを不正アクセスを示すものではないと判定した場合、前記ステップ０１に戻り、以降の処理が繰返される。

アラートデータの記録並びにアラートの発行を終えると、アラート管理部５０はアラートデータの内容のうち、送信元のアドレス部分を参照し、不正アクセスとされた通信がネットワーク１００内部から送信されたものか外部ネットワーク２００から送信されたものかを判定する（ステップ０６）。ネットワーク１００内部からのものである場合、アラート管理部５０はアラートデータの内容に基づき、イベントデータ検索部６０に検索条件を付与して蓄積されたデータへの検索を実行させる。

イベントデータ検索部６０は、データ記録部２０に蓄積された各イベントデータから、あらかじめ単独では安全であると規定しているイベントや送信元、発信先等が安全であると規定されているデータを検索対象から除外した上で、前記アラートデータに示される送信元アドレスに対して過去に送信された通信に関するイベントデータ（すなわち、不正アクセスの原因たり得る攻撃等の通信イベント）を検索する（ステップ０７）。そして、このイベントデータの中から一定条件に従ったものを抽出し、アラートデータと関連付ける形でアラート起点データとして登録し、記録する（ステップ０８）。

この後、アラート管理部５０では今回記録したアラートデータについて、データ記録部を参照し、過去に発行されたアラートデータの中から同一（同種）のアラートデータがあるか否かを判定し（ステップ０９）、過去に存在する場合はこの同一（同種）のアラートデータと関連付けられているアラート起点データを抽出し、この抽出されたアラート起点データと、先の過程で登録したアラート起点データを比較し、データ内容の一致点（類似点）を検証する（ステップ１０）。その観点は、１．所定項目（単独）で同一の内容を受信していないか、２．所定項目（複数・組合せ）で同一の内容を受信していないか、３．同一の送信元から同一のシグネチャに対応する内容を受信していないか、４．同一の送信元から受信していないか、といったものである。これら観点の追加は可能とする。

ここで確認した一致点（類似点）を不正アクセスの検出条件として使用可能か否かを判定する（ステップ１１）。使用可能と判定した場合、前記一致点を不正アクセス検出部４０において検出条件として使用可能な形式とした上で検出条件に加え（ステップ１２）、以降の不正アクセス検出に利用する。
ただし、検出条件として採用するか否かの最終決定を自動で行うか手動で行うかの変更は可能である。

続いて、処理制御部は、ネットワークにおける不正アクセスの状況等から、イベント解析を停止可能であるか否か判定し（ステップ１３）、イベント解析を停止できない場合、前記ステップ０１に戻り、以降の処理を繰返す。
そして、前記ステップ１３で、イベント解析を停止可能である場合は、一連の処理を終了する。
前記ステップ０９で同一のアラートデータが過去に存在しないと判定した場合、並びに、前記ステップ１１でアラート起点データ同士の一致点（類似点）を不正アクセスの検出条件として使用できないと判定した場合、そのままステップ１３へ移行する。

一方、前記ステップ０６で不正アクセスとされた通信が外部ネットワーク２００から送られたものと判定された場合、アラート管理部５０では今回記録したアラートデータについて、過去に発行されたアラートデータの中から、データ内容のうち送信先が同一となっているアラートデータがあるかどうか参照し（ステップ１４）、過去に存在する場合はこのアラートデータを抽出し、この抽出されたアラートデータと、今回記録したアラートデータを比較し、データ内容の一致点（類似点）を検証する（ステップ１５）。その観点は、１．所定項目（単独）で同一の内容を受信していないか、２．所定項目（複数・組合せ）で同一の内容を受信していないか、３．同一の送信元から同一のシグネチャに対応する内容を受信していないか、４．同一の送信元から受信していないか、といったものである。これら観点の追加は可能とする。

ここで確認した一致点（類似点）を不正アクセスの検出条件として使用可能か否かを判定する（ステップ１６）。使用可能と判定した場合、前記一致点を不正アクセス検出部４０において検出条件として使用可能な形式とした上で、検出条件に加え（ステップ１７）、前記ステップ１３へ移行する。

前記ステップ１４で送信先が同一のアラートデータが過去に存在しないと判定した場合、並びに、前記ステップ１６でアラートデータ同士の一致点（類似点）を不正アクセスの検出条件として使用できないと判定した場合、そのままステップ１３へ移行する。

さらに、前記構成に基づくＩＤＳのイベント解析及び警告システムにおけるイベント解析の実際の処理動作について、具体的な例を用いて説明する。前提となる状況として、ＩＤＳセンサ９０により監視されているネットワーク１００にある所定のコンピュータ８０がウィルス感染等によりネットワーク１００に属する他のコンピュータ７０に対し攻撃を開始した例を挙げる。

まず、ネットワーク１００を監視するＩＤＳセンサ９０が、ウィルス感染により一部データ内容が不正となったパケットをシグネチャの一致により検出し、ＩＤＳセンサ９０からこの不正事象についてのイベントデータが発行、出力され、入出力部１０がファイルとして受取り、この入出力部１０を介して処理制御部３０にイベントデータが渡される（ステップ０１）。処理制御部３０は、イベントデータをデータ記録部２０に所定時間分記録蓄積する一方、このデータ記録部に蓄積保持されている所定時間分のイベントデータの中で、このイベントデータ中の各項目（送信元、送信先、シグネチャ）毎に内容別の集計を行い、また、複数項目で同時にイベントデータ間で共通する内容があるもの毎に集計を行って所定時間分の集計数値情報を取得する（ステップ０２）。

時間の経過に伴って、データ記録部２０にはコンピュータ８０からの攻撃に伴う異常を検知したＩＤＳセンサ９０から発行されたイベントデータが蓄積されていくこととなり、集計数値情報においても、攻撃元のコンピュータ８０のアドレスを送信元とし且つ同じシグネチャとなるイベント発生数等が急激に増加することとなる。

新規イベントデータの内容がデータ記録部２０に蓄積され、且つ集計数値情報に反映されると、不正アクセス検出部４０で、イベントデータがアラート発行を要する不正アクセスを示すものであるか否かを判定する（ステップ０３）。記録したイベントデータは、検出条件としてウィルス感染を示すシグネチャが含まれる点を与えている場合にはこれに該当することとなり、また、集計数値情報における前記イベント発生数に関しても、検出条件として単位時間あたりの上限数を与えられている場合は、感染後一定時間経過後にはこれを上回ることとなり、不正アクセス検出部４０は、このイベントデータが不正アクセスを示すものであると判定して、処理制御部３０に通知する。

処理制御部３０は、データ記録部２０にこのイベントデータをアラートデータとして記録する（ステップ０４）。アラートデータとして記録する内容は、イベントデータに加え、検出条件となったシグネチャの存在と、攻撃元アドレスを送信元とするイベント発生数となる。このアラートデータの記録と共に、アラート管理部５０はアラートデータの各内容をアラートとして管理者宛にメールを発送したり、端末画面への表示を行ったりする（ステップ０５）。

この後、アラート管理部５０はアラートデータの内容のうち、送信元のアドレス部分を参照し、不正アクセスとされた通信がネットワーク１００内部から発せられたものであるとの判定を行う（ステップ０６）ことから、アラートデータの内容に基づく検索条件を付与してイベントデータ検索部６０に蓄積されたデータへの検索を実行させる。

イベントデータ検索部６０は、データ記録部２０に蓄積された各イベントデータから、前記アラートデータに示される送信元アドレスに対して過去に送信された通信に関するイベントデータ、すなわち、コンピュータ８０に対して行われたウィルス感染の原因である可能性の高い通信に関するイベントデータを検索する（ステップ０７）。そして、このイベントデータの中から通信内容に問題がないものを取除いて残ったものを抽出し、アラートデータと関連付ける形でアラート起点データとして登録し、記録する（ステップ０８）。

さらに、アラート管理部５０では前記アラートデータについて、データ記録部２０を参照し、過去に発行されたアラートデータの中から同一のアラートデータがあるか否かを判定し（ステップ０９）、過去に存在する場合はこの同一のアラートデータと関連付けられているアラート起点データを抽出し、このアラート起点データと、先の過程で登録したアラート起点データを比較し、データ内容の一致点（類似点）を所定の観点から検証する（ステップ１０）。各アラート起点データにおいて、同一の送信元から同一のウィルス感染の疑いを示すシグネチャに対応する内容が送信されている、といった一致点があることから、この一致点である送信元アドレス及びシグネチャを不正アクセスの検出条件として使用可能か否かを判定する（ステップ１１）。使用可能と判定した場合、この一致点である情報を不正アクセス検出部４０において検出条件として使用可能な形式とした上で検出条件に加え（ステップ１２）、以降の不正アクセス検出に利用する。こうした一連の各処理が、イベント解析を継続する間、繰返されることとなり、不正アクセスの検出、通知が時間の経過と共により適切且つ迅速に行えるようになる。

このように、本実施の形態に係るＩＤＳのイベント解析及び警告システムにおいては、ＩＤＳセンサ９０から取得したイベントデータを処理制御部３０が解析し、イベントデータの一又は複数のデータ項目内容ごとにそれぞれ内容の共通するイベントデータを集計した集計数値情報を取得し、不正アクセス検出部４０で所定の検出条件にイベントデータ内容又は集計数値情報が合致するか否かを確認して不正アクセスの判定を行い、不正アクセスの場合にはアラート管理部５０がアラートを発行することから、ネットワーク１００内で生じた所定アドレスへの大量不正アクセス等の異常を、所定通信イベントの発生数を示す集計数値情報に基づいて識別、検出できることとなり、攻撃元が外部か内部かに関わりなく不正アクセス状態を検出して適切なアラートとして通知することができ、管理者等の適切な対応を可能にしてネットワーク１００への被害を必要最小限に抑えられる。また、アラートを発行された通信イベントがネットワーク１００内部からの送信によるものである場合、蓄積されたイベントデータから前記通信イベントの送信元に対しなされた以前の不正アクセスに関わるものを検索、抽出し、アラート起点データとしてアラートデータと関連付けて記録することから、このアラート起点データを不正アクセスの判定に活用することで不正アクセス発生のきっかけとなったものと同様の通信イベントを不正アクセスと判定でき、不正アクセスへの対応を迅速に行える。

なお、前記実施の形態に係るＩＤＳのイベント解析及び警告システムにおいては、処理制御部３０で取得する集計数値情報について、イベントデータの集計対象の各項目及び複数項目の組合せのそれぞれについて、もれなく内容別の集計を行うようにしているが、これに限らず、受取った最新のイベントデータの内容に応じて、集計を行う項目を絞り込み、合わせて不正アクセス検出部４０で検出条件と照合して不正判定対象とする集計数値情報の種類も同様に絞り込むこともでき、例えば、イベントデータの示す通信イベントの送信元が外部ネットワーク２００で送信先がネットワーク１００内部の場合、集計数値情報のうち送信先の内容に関する集計数値のみに着目してもかまわない場合もあることから、送信先内容別の集計に絞って処理を実施し、且つ不正アクセス検出部４０では送信先の内容に関する集計数値のみを参照して判定を行うなど、各処理を大幅に簡略化して不正アクセスの判定をより迅速に行えることとなる。また、イベントデータの示す通信イベントの送信方向（外部→内部、内部→外部、内部→内部）に応じて、不正アクセス検出部４０で不正アクセスと判定する集計数値、すなわち内容を同じくするイベント発生数の上限数を適宜調整することもでき、不正アクセスの起りやすさ等も考慮して適切な値を設定することでより的確な判定が行え、管理者の負担を軽減できる。

本発明の一実施形態に係るＩＤＳのイベント解析及び警告システムを設置したネットワークのブロック図である。 本発明の一実施形態に係るＩＤＳのイベント解析及び警告システムのブロック図である。 本発明の一実施形態に係るＩＤＳのイベント解析及び警告システムにおけるイベント解析処理のフローチャートである。

符号の説明

１ イベント解析及び警告システム
１０ 入出力部
２０ データ記録部
３０ 処理制御部
４０ 不正アクセス検出部
５０ アラート管理部
６０ イベントデータ検索部
７０、８０ コンピュータ
９０ ＩＤＳセンサ
１００ ネットワーク
１１０ ルータ
１２０ ファイアウォール
２００ 外部ネットワーク

Claims (3)

1. 監視対象となる所定のネットワークに接続されたＩＤＳセンサより通知されたイベントデータを解析して適切なアラートを発行するＩＤＳのイベント解析及び警告システムにおいて、
   前記ＩＤＳセンサより通知されたイベントデータを入出力部を介して受取り、イベントデータを所定時間だけ記録蓄積するデータ記録部と、
   前記データ記録部に記録蓄積された分のイベントデータについて、各イベントデータ内部を参照してイベントデータの一又は複数のデータ項目について内容別に集計を行って集計数値を導く処理制御部と、
   前記入出力部から得たイベントデータの内容及び／又は当該イベントデータ受け入れ時点における前記処理制御部で得られた集計数値情報を、所定の検出条件に照らし合わせ、イベントデータで示される通信イベントが不正アクセスに該当するか否かを判定する不正アクセス検出部と、
   当該不正アクセス検出部で不正アクセスとの判定がなされた場合に、不正アクセスの発生と不正内容を示すアラートを発行するアラート管理部とを備え、
   前記処理制御部が、前記アラート管理部によるアラート発行と同時に、前記イベントデータを所定のアラートデータとしてデータ記録部に記録することを
   特徴とするＩＤＳのイベント解析及び警告システム。
2. 前記請求項１に記載のＩＤＳのイベント解析及び警告システムにおいて、
   前記アラートデータに対応する通信イベントの送信元が前記ネットワーク内部である場合、前記データ記録部に蓄積されたイベントデータで、前記送信元に対して送信されている通信イベントに関するものの中から、所定の条件に対応するイベントデータを検索し抽出するイベントデータ検索部を備え、
   前記アラート管理部が、前記イベントデータ検索部の検索で得られた以前のイベントデータをアラート起点データとして、前記アラートデータと関連付けてデータ記録部に記録することを
   特徴とするＩＤＳのイベント解析及び警告システム。
3. 前記請求項２に記載のＩＤＳのイベント解析及び警告システムにおいて、
   前記アラート管理部が、アラートデータを以前に前記データ記録部に記録した他のアラートデータと同じと判定した場合に、前記アラートデータに対応するアラート起点データと既に記録されている他のアラートデータに対応するアラート起点データとの一致点又は類似点を検出し、
   当該検出した一致点又は類似点を前記不正アクセス検出部で用いる前記検出条件として採用することを
   特徴とするＩＤＳのイベント解析及び警告システム。

Images