JP2007129547A - 情報処理装置、インシデント対応装置の制御方法、及びプログラム - Google Patents

Abstract

【課題】実施可能なインシデントレスポンスをオペレータに定時することができるようにする。
【解決手段】通信装置に対してインシデントレスポンスを行う対応装置を制御する情報処理装置が、通信装置におけるインシデントの発生を検知し、インシデントへの対応方針を表す方針情報に対応付けて、対応装置が行うべきインシデントレスポンスを示すレスポンス情報、及び通信装置を特定する対応先情報をメモリに記憶し、インシデントの発生を検知した場合に、方針情報を一覧出力し、方針情報の指定を受け付け、受け付けた方針情報に対応するレスポンス情報及び対応先情報をメモリから読み出し、読み出した対応先情報により特定される通信装置を対象として、レスポンス情報により示されるインシデントレスポンスを行うように指示するコマンドをインシデント対応装置に送信する。
【選択図】図９

Description

本発明は、情報処理装置、インシデント対応装置の制御方法、及びプログラムに関する。

近年、通信システムにおけるコンピュータセキュリティインシデント（以下、インシデントと略記する。）への対応（インシデントレスポンスと呼ばれる。）の重要性が認知されている。特許文献１では、ネットワークを介した不正アクセスを防止するためのプログラムが提案されている。
特開２００３−２８８２８２号公報

特許文献１のプログラムなどの従来技術では、あらかじめ定められたルールに従って自動的に処理が行われる。したがって、オペレータが、インシデントの発生場所や重要度などに応じて、実施されるべきインシデントレスポンスを柔軟に決定するということができない。

本発明は、このような背景を鑑みてなされたものであり、実施可能なインシデントレスポンスをオペレータに提示することのできる情報処理装置、インシデント対応装置の制御方法、及びプログラムを提供することを目的とする。

上記課題を解決するための本発明の主たる発明は、通信装置に対してインシデントレスポンスを行うインシデント対応装置を制御する情報処理装置であって、前記通信装置におけるインシデントの発生を検知するインシデント検知部と、前記インシデントへの対応方針を表す方針情報に対応付けて、前記インシデント対応装置が行うべき前記インシデントレスポンスを示す情報であるレスポンス情報、及び前記インシデントレスポンスの対象となる前記通信装置を特定する情報である対応先情報を記憶する対応策記憶部と、前記インシデントの発生を検知した場合に、前記対応策記憶部に記憶されている前記方針情報を一覧出力する方針一覧出力部と、前記方針情報の指定を受け付ける方針指定部と、受け付けた前記方針情報に対応する前記レスポンス情報及び前記対応先情報を前記対応策記憶部から読み出す対応策取得部と、読み出した前記対応先情報により特定される前記通信装置を対象として、読み出した前記レスポンス情報により示される前記インシデントレスポンスを行うように指示するコマンドを前記インシデント対応装置に送信するコマンド送信部と、を備えることとする。

本発明によれば、実施可能なインシデントレスポンスをオペレータに提示することができる。

＝＝全体構成＝＝
図１は本実施形態に係る通信システムの全体構成を示す図である。同図に示すように、本実施形態の通信システムでは、企業の構内等に敷設されるバックボーンネットワーク（以下、バックボーンと略記する。）５１に、複数のネットワークセグメント（以下、セグメントと略記する。）５２がルータ３０によって接続されている。本実施形態において、バックボーン５１及びセグメント５２は、例えば、イーサネット（登録商標）や公衆電話回線などにより構築される通信ネットワークであり、本実施形態ではＴＣＰ／ＩＰプロトコルに従った通信が行われることを想定する。

各セグメント５２には、情報処理サービスを提供するサーバ１０と、サーバ１０において発生するインシデントを検知する侵入検知装置（Intrusion Detection System；以下、ＩＤＳという。）２０とが接続されている。

サーバ１０は情報処理を行うコンピュータであり、サーバ１０において発生するインシデントとは、例えば、リソースの不正使用や、サービス妨害行為、データの破壊、意図しない情報の開示や、それらにいたるための行為など、コンピュータのセキュリティに関する事象のことをいい、具体的には、ＩＣＭＰ攻撃やＳＹＮ−Ｆｌｏｏｄ攻撃などの不正アクセス、サーバ１０においてユーザがログインの試行を所定数以上失敗したこと（アカウントロックとも呼ばれる。）、ポートスキャンなどの不正アクセスの予備的行為などが含まれる。

ＩＤＳ２０は、例えば、通信ネットワークを流れるパケットを検査したり、サーバ１０から通信ログを受信したりすることにより、サーバ１０におけるインシデントの発生を検知する。ＩＤＳ２０により検知されたインシデントに関する情報（以下、インシデント情報という。）は、マネージャ装置４０に通知される。

マネージャ装置４０は、オペレータが操作するコンピュータであり、ＩＤＳ２０から通知されるインシデント情報を表示し、オペレータの指示に従ってルータ３０の設定を変更する。

ルータ３０は、バックボーン５１及びセグメント５２の間の経路制御を行うコンピュータであり、パケットの転送制御を行う。またルータ３０は、いわゆるファイアウォール機能を有しており、ファイやウォール機能によってサーバ１０への通信を制御することができる。本実施形態において、ルータ３０は、インシデントが発生したサーバ１０への通信を遮断することによりインシデントレスポンスを行うインシデント対応装置として機能する。

なお、本実施形態では簡単のため、サーバ１０で発生したインシデントに対するインシデントレスポンスとしては、サーバ１０への通信遮断をいうものとする。しかしインシデント対応装置が行うインシデントレスポンスは、これに限るものではない。サーバ１０への通信遮断以外にも、例えば、サーバ１０が管理するユーザのパスワード変更や、サーバ１０で動作するアプリケーションプログラムの更新、サーバ１０が管理するファイルのパーミッション変更、サーバ１０が管理するデータのバックアップあるいはリストア、サーバ１０の代替機として準備されているコンピュータへのパケットの転送などを行いうる。

＝＝ＩＤＳ２０＝＝
図２は、ＩＤＳ２０のハードウェア構成を示す図である。ＩＤＳ２０は、ＣＰＵ２０１、メモリ２０２、記憶装置２０３、通信インタフェース２０４を備えている。記憶装置２０３はプログラムやデータを記憶する、例えば、ハードディスクドライブやＣＤ−ＲＯＭドライブ、フラッシュメモリなどである。ＣＰＵ２０１は記憶装置２０３に記憶されているプログラムをメモリ２０２に読み出して実行することにより各種の機能を実現する。通信インタフェース２０４は、セグメント５２に接続するためのインタフェースである。通信インタフェース２０４としては、例えば、イーサネット（登録商標）に接続するためのアダプタや公衆電話回線に接続するためのモデムなどを用いることができる。

図３は、ＩＤＳ２０のソフトウェア構成を示す図である。ＩＤＳ２０は、インシデント検知部２１１及びインシデント情報送信部２１２を備えている。

インシデント検知部２１１は、例えば、セグメント５２を流れるパケットのキャプチャや、サーバ１０からの通信ログの取得などによりサーバ１０においてインシデントが発生したかどうかを検知する。なお、インシデント検知部２１１によるインシデントの検知処理には、一般的な侵入検知装置の手法を用いることができる。

インシデント情報送信部２１２は、インシデント検知部２１１が検知したインシデントに関するインシデント情報６１をマネージャ装置４０に送信する。インシデント情報送信部２１２が送信するインシデント情報６１の構成例を図４に示す。インシデント情報６１は、インシデントの発生を検知した日時を示す検知日時６１１、ＩＤＳ２０の名称を示す検知装置６１２、ＩＤＳ２０のネットワークアドレスを示すＩＰアドレス６１３、検知したインシデントを示すインシデント６１４、インシデントに関するサーバ１０のサービスを示すサービス６１５、インシデントに関するユーザを示すユーザ６１６を含んでいる。なお、インシデントの種類によっては、サーバ１０のユーザに関係ないことがあり、その場合ユーザ６１６には「−」が設定される。

なお、インシデント検知部２１１及びインシデント情報送信部２１２は、ＣＰＵ２０１が記憶装置２０３に記憶されているプログラムを実行することにより実現される。

＝＝ルータ３０＝＝
図５は、ルータ３０のハードウェア構成を示す図である。ルータ３０は、ＣＰＵ３０１、メモリ３０２、記憶装置３０３、通信インタフェース３０４及び３０５を備えている。記憶装置３０３はプログラムやデータを記憶する、例えばハードディスクドライブやＣＤ−ＲＯＭドライブ、フラッシュメモリなどである。ＣＰＵ３０１は記憶装置３０３に記憶されているプログラムをメモリ３０２に読み出して実行することにより、各種の機能を実現する。通信インタフェース３０４は、バックボーン５１に接続するためのインタフェースであり、通信インタフェース３０５は、セグメント５２に接続するためのインタフェースである。通信インタフェース３０４及び３０５には、例えば、イーサネット（登録商標）に接続するアダプタや公衆電話回線に接続するモデムなどを用いることができる。

図６は、ルータ３０のソフトウェア構成を示す図である。ルータ３０は、設定ファイル受信部３１１、ルーティング処理部３１２、設定ファイル記憶部３５を備えている。

設定ファイル受信部３１１は、後述するマネージャ装置４０から送信される、ルーティングに係る設定ファイル６２を受信し、受信した設定ファイル６２を設定ファイル記憶部３５に記憶する。

設定ファイル６２にはパケットの転送を許可するかどうかを規定するルールが記述される。設定ファイル６２の一例を図７に示す。図７の例において、設定ファイル６２はＸＭＬ形式で記述されている。設定ファイル６２には、１つのルールに１つの＜ＡＣ＞タグが対応する。＜ＡＣ＞タグには、ｔｙｐｅ属性として「ａｌｌｏｗ」又は「ｄｅｎｙ」が設定され、ｔｙｐｅ属性に「ａｌｌｏｗ」が設定された場合には、パケットの転送を許可することを示し、ｔｙｐｅ属性に「ｄｅｎｙ」が設定された場合には、パケットの転送を禁止することを示す。設定ファイル６２にはさらに、＜ＡＣ＞タグの子として、＜ＳＲＣ＞タグ、＜ＤＳＴ＞タグ、及び＜ＰＯＲＴ＞タグが記述される。＜ＳＲＣ＞タグと＜ＤＳＴ＞タグとには、それぞれパケットの送信元と送信先とを示す条件がｖａｌｕｅ属性に指定される。また、＜ＰＯＲＴ＞タグには、サーバ１０がサービスを提供するポート番号がｖａｌｕｅ属性に指定される。なお、上記各タグのｖａｌｕｅ属性にはワイルドカード（「＊」）を記述することができる。図７の例において、ｉｄ属性が「０００１」の＜ＡＣ＞タグでは、「セグメント１」から「バックボーン」へのポート番号「８０」番を対象としたパケットを「許可（ａｌｌｏｗ）」していることが示されている。

ルーティング処理部３１２は、バックボーン５１とセグメント５２との間のパケットのルーティング処理を行う。ルーティング処理部３１２によるルーティング処理は、一般的なルータによる処理と同様である。ルータ３０は、設定ファイル記憶部３５に記憶されている設定ファイル６２を参照して、転送しようとしているパケットについて、設定ファイル６２に記述されている順番にルールを適用して、パケットの転送が可能かどうかを判断していく。図７の例では、ｉｄ属性が「０９９９」番の＜ＡＣ＞タグにより、ポート番号「８０」又は「２５」以外の全てのパケットについて、転送を禁止（ｄｅｎｙ）しているため、ルータ３０が図７に示す設定ファイル６２に従う場合には、ポート番号が「８０」又は「２５」であるパケットについてのみ転送処理が行われることになる。

なお、設定ファイル受信部３１１及びルーティング処理部３１２は、ルータ３０が備えるＣＰＵ３０１が記憶装置３０３に記憶されているプログラムをメモリ３０２に読み出して実行することにより実現される。また、設定ファイル記憶部３５は、ルータ３０が備えるメモリ３０２や記憶装置３０３が提供する記憶領域として実現される。

＝＝マネージャ装置４０＝＝
図８は、マネージャ装置４０のハードウェア構成を示す図である。マネージャ装置４０は、ＣＰＵ４０１、メモリ４０２、記憶装置４０３、通信インタフェース４０４、入力装置４０５、出力装置４０６を備えている。記憶装置４０３は、プログラムやデータを記憶する、例えば、ハードディスクドライブやＣＤ−ＲＯＭドライブなどである。ＣＰＵ４０１は記憶装置４０３に記憶されているプログラムをメモリ４０２に読み出して実行することにより各種の機能を実現する。通信インタフェース４０４は、バックボーン５１に接続するためのインタフェースである。通信インタフェース４０４としては、例えば、イーサネット（登録商標）に接続するためのアダプタや公衆電話回線に接続するためのモデムなどを用いることができる。

図９は、マネージャ装置４０のソフトウェア構成を示す図である。マネージャ装置４０は、インシデント情報受信部４１１、インシデント情報表示部４１２、推奨順決定部４１３、対応策表示部４１４、対応コマンド入力部４１５、設定ファイル送信部４１６、復旧コマンド入力部４１７、対応策設定部４１８の各機能部と、インシデント情報データベース４５、装置管理データベース４６、テンプレート情報データベース４７の各データベースとを備えている。

インシデント情報データベース４５は、ＩＤＳ２０から送信されるインシデント情報６１を記憶する。図１０にインシデント情報データベース４５の構成を示す。同図に示すように、インシデント情報データベース４５は、上述した図４に示すインシデント情報６１の履歴が記録される。

装置管理データベース４６は、マネージャ装置４０のオペレータが管理するＩＤＳ２０及びルータ３０（以下これらをエージェントと総称する。）に関する情報を記憶する。図１１に装置管理データベース４６の構成を示す。同図に示すように、装置管理データベース４６は、エージェントの名称４６１、エージェントのＩＰアドレス４６２、エージェントの区分４６３、設定ファイル取得先４６４を対応付けて記憶している。区分４６３には「検知」又は「対応」が設定される。区分４６３が「検知」である場合、エージェントは、インシデントを検知するＩＤＳ２０であることを示し、「対応」である場合、エージェントは、インシデントレスポンスを行うルータ３０であることを示す。設定ファイル取得先４６４は、エージェントがルータ３０である場合に、そのルータ３０が管理している設定ファイル６２にアクセスするためのＵＲＬ（Uniform Resource Locator）である。なお、設定ファイル取得先４６４は、設定ファイル６２が記録されている場所を示す情報であれば、ＵＲＬに限るものではない。

テンプレート情報データベース４７は、サーバ１０においてインシデントが発生した場合の対応方針と、ルータ３０に対して送信する設定ファイル６２とを含む情報（以下、テンプレート情報という。）を記憶する。図１２にテンプレート情報の構成を示す。同図に示すように、テンプレート情報には、インシデントが発生した場合の方針を表す対応方針４７１に対応付けて、設定ファイル名４７２と設定ファイル６２の送信先になるルータの名称４７３とが含まれる。設定ファイル名４７２は、マネージャ装置４０が管理する設定ファイル６２のファイル名である。本実施形態では、対応方針４７１には、「通常時」、「すべてのサーバですべてのサービスを遮断」、「すべてのサーバで該当するサービスのみを遮断」、「該当するサーバですべてのサービスを遮断」、及び「該当するサーバで該当するサービスのみを遮断」の５種類の何れかが設定されるものとする。

インシデント情報受信部４１１は、ＩＤＳ２０から送信されるインシデント情報６１を受信し、受信したインシデント情報６１をインシデント情報データベース４５に登録する。
インシデント情報表示部４１２は、インシデント情報データベース４５に登録されているインシデント情報６１を表示する。なお、インシデント情報表示部４１２がインシデント情報６１を表示する画面例については後述する。

推奨順決定部４１３は、インシデントに対する対応方針の推奨度（対応方針の並べ順）を決定する。なお、対応方針の推奨度の決定処理の詳細については後述する。
対応策表示部４１４は、上記推奨度の順に対応方針を表示する。なお、対応方針を表示する画面例については後述する。

対応コマンド入力部４１５は、インシデントレスポンスを行うように指示するコマンド（以下、対応コマンドという。）の入力を受け付ける。本実施形態では、対応コマンド入力部４１５は、対応方針の表示画面から選択される対応方針の指定を対応コマンドとして受け付ける。

復旧コマンド入力部４１７は、インシデントレスポンスにより変更されたルータ３０の設定をインシデントレスポンスを行う前の状態に指示するコマンド（以下、復旧コマンドという。）の入力を受け付ける。復旧コマンドは、キーボードなどから入力するようにしてもよいし、画面に表示されるボタンをマウスでクリックすることにより入力するようにしてもよい。

設定ファイル送信部４１６は、オペレータが指定する対応方針に対応する設定ファイル６２をルータ３０に送信する。本実施形態では、設定ファイル送信部４１６は、テンプレート情報をテンプレート情報データベース４７から読み出し、読み出したテンプレート情報の設定ファイル名４７２が示す設定ファイル６２を、名称４７３が示すルータ３０に送信する。

対応策設定部４１８は、テンプレート情報を作成してテンプレート情報データベース４７に登録する。

＝＝テンプレート情報の入力処理＝＝
図１３にテンプレート情報の登録処理の流れを示す。また図１４に、テンプレート情報の登録処理に用いられる設定情報入力画面７１の一例を示す。

設定情報入力画面７１は、設定対象となるルータ３０を選択するプルダウンリスト７１１及び対応方針を選択するオプションボタン７１２を備えている。対応策設定部４１８は、装置管理データベース４６から、区分４６３が「対応」である名称４６１を読み出し、読み出した名称４６１のリストをプルダウンリスト７１１に設定する。

また、設定情報入力画面７１は、設定ファイル６２の＜ＡＣ＞タグに対応する各設定情報の入力欄７１３を備えている。入力欄７１３の各行が１つの＜ＡＣ＞タグに対応する。オペレータは、上部の「追加」ボタン７１３１を押下することにより、＜ＡＣ＞タグを増やすことができる。また、各設定情報の先頭のラジオボタン７１３２を選択した上で、「削除」ボタン７１３３や、「上へ」ボタン７１３４、「下へ」ボタン７１３５を押下することで、選択された設定情報を削除したり、順番を入れ替えたりすることができる。

また、設定情報入力画面７１は設定ファイル６２の指定欄７１４を有しており、オペレータは、入力欄７１３を用いずに作成した設定ファイル６２を指定することもできる。

対応策設定部４１８は、プルダウンリスト７１１から設定対象となるルータ３０の選択を受け付け（Ｓ５１１）、オプションボタン７１２から対応方針の選択を受け付けると（Ｓ５１２）、選択されたルータ３０及び対応方針に対応するテンプレート情報をテンプレート情報データベース４７から検索し、該当するテンプレート情報がない場合（Ｓ５１３：ＹＥＳ）、装置管理データベース４６から上記のルータ３０に対応する設定ファイル取得先４６４を読み出し、読み出した設定ファイル取得先４６４に示される設定ファイル６２を取得する（Ｓ５１４）。一方、該当するテンプレート情報がある場合には（Ｓ５１３：ＮＯ）、テンプレート情報データベース４７から設定ファイル名４７２を取得し（Ｓ５１５）、設定ファイル名４７２が示す設定ファイル６２を取得する（Ｓ５１６）。

対応策設定部４１８は、上記のようにして取得した設定ファイル６２に基づいて、入力欄７１３に設定情報を表示し、オペレータから設定情報の入力を受け付ける（Ｓ５１７）。対応策設定部４１８は、入力された設定情報から設定ファイル６２を作成し（Ｓ５１８）、選択された対応方針、選択されたルータ３０、及び作成した設定ファイル６２のファイル名を設定したテンプレート情報を作成し（Ｓ５１９）、作成したテンプレート情報をテンプレート情報データベース４７に登録する（Ｓ５２０）。

なお、設定情報の作成時には、送信元、受信先、及びサービスのすべての場合を網羅できるように設定するようにする。図１４の例でも、３番目の設定情報にワイルドカードを用いることにより、１番目及び２番目で設定されている条件にマッチしないパケットについては、すべての送信元、受信先、及びサービスについて転送をしない（ｄｅｎｙ）設定されている。

また、上記の登録処理は、ルータ３０及び対応方針のすべての組み合わせについて行うようにする。

上記のようにして、サーバ１０においてインシデントが発生した場合に、上述の４つの対応方針毎に、ルータ３０において行われるインシデントレスポンス（本実施形態ではサーバ１０に対する通信の遮断）を制御するための設定ファイル６２がテンプレート情報データベース４７に管理される。

＝＝インシデントの監視画面＝＝
本実施形態のマネージャ装置４０は、ＩＤＳ２０から報告されるインシデント情報６１を表示して、オペレータがインシデントの発生を監視できるようにしている。インシデント情報６１の表示画面（以下、インシデント監視画面という。）７２の一例を図１５に示す。同図に示すようにインシデント監視画面７２は、通信システムのネットワークの構成をツリー構造で表示するツリー表示欄７２１、通信装置一覧の表示欄７２２、及びインシデント情報６１のリスト欄７２３を備えている。

ツリー表示欄７２１には、「セグメント１」から「セグメント４」までのセグメント５２について、各セグメント５２に接続されているサーバ１０、ＩＤＳ２０、及びルータ３０が表示される。

また、表示欄７２２には、バックボーン５１及びセグメント５２に接続されている通信装置の一覧が、アイコンにより表示される。なお、表示されるアイコンは、通信装置の種類によって変えるようにしてもよい。また、ツリー表示欄７２１においてセグメント５２が選択された場合には、表示欄７２２に表示される通信装置を限定するようにしてもよい。この場合において、例えばツリー表示欄７２１において「セグメント１」が選択されたときには、表示欄７２２には「セグメント１」に接続されている通信装置である、「サーバ１」、「ＩＤＳ１」、及び「ルータ１」のみが表示されるようにする。

リスト欄７２３には、インシデント情報データベース４５に登録されているインシデント情報６１の履歴が表示される。インシデント情報表示部４１２は、例えば、現在時刻から所定期間内のインシデント情報６１をインシデント情報データベース４５から読み出し、検知日時６１１の順にリスト欄７２３に表示する。

なお、表示欄７２２においては、インシデント情報６１の検知装置６１２が示すＩＤＳ２０やＩＰアドレス６１３に対応するサーバ１０を強調表示するようにしてもよい。

＝＝ルータ３０の制御処理＝＝
上記のインシデント監視画面７２の表示欄７２２においてＩＤＳ２０が選択されると、マネージャ装置４０は、選択されたＩＤＳ２０が検知したインシデントに対する対応方針のリストを表示し、オペレータから指定された対応方針に応じたインシデントレスポンスを行うようにルータ３０を制御する処理を行う。
図１６は、マネージャ装置４０によるルータ３０の制御処理の流れを示す図である。また、この処理において用いられる対応方針選択画面７３及び７４の一例を図１７に示す。

上記のインシデント監視画面７２においてＩＤＳ２０が選択されると（Ｓ５３１）、マネージャ装置４０は、インシデント情報データベース４５から、選択されたＩＤＳ２０（以下、選択ＩＤＳという。）が検知装置６１２に設定されており、現在時刻から所定時間前までの期間内に検知日時６１１が含まれているインシデント情報６１を読み出す（Ｓ５３２）。ここでマネージャ端末４０は図１７に示す対応方針選択画面７３を表示する。対応方針選択画面７３は、選択ＩＤＳの表示欄７３１、期間の表示欄７３２、及びインシデント情報６１のリスト表示欄７３３を備えており、上記の期間が表示欄７３２に表示され、上記の読み出したインシデント情報６１がリスト表示欄７３３に表示される。

マネージャ装置４０は、読み出したインシデント情報６１のそれぞれについて、インシデント６１４をキーとして、選択ＩＤＳとは異なるＩＤＳ２０が検知装置６１２に設定されているインシデント情報６１がインシデント情報データベース４５に登録されているかどうかにより、選択ＩＤＳが接続されているセグメント５２とは異なるセグメント５２において、同じインシデントが発生しているかどうかを判断する（Ｓ５３３）。対応方針選択画面７３は、インシデントレスポンスの対象となるセグメント５２の選択方針の選択欄７３４を備えており、異なるセグメント５２において同じインシデントが発生している場合（Ｓ５３３：ＹＥＳ）、マネージャ装置４０は、対応方針選択画面７３の「すべてのセグメントで設定を変更する」という選択方針の推奨度を上げて、「該当セグメントのみ設定を変更する」という選択方針よりも前に表示する（Ｓ５３４）。

逆に、異なるセグメント５２において同じインシデントが発生していない場合（Ｓ５３３：ＮＯ）、マネージャ装置４０は、対応方針選択画面７３の「該当セグメントのみ設定を変更する」という選択方針の推奨度を上げて、「すべてのセグメントで設定を変更する」という選択方針よりも前に表示する（Ｓ５３５）。

オペレータによって対応方針選択画面７３に表示されている対象セグメントの選択方針の何れかに対応する選択ボタン７３５が押下されると（Ｓ５３６）、マネージャ装置４０は、選択された選択方針に応じてインシデントレスポンスの対象となるセグメント５２を決定し、決定したセグメント５２をバックボーン５１に接続しているルータ３０を設定対象のルータ３０（以下、設定対象ルータという。）として決定する（Ｓ５３７）。「すべてのセグメントで設定を変更する」という選択方針が指定された場合には、マネージャ装置４０は、装置管理データベース４６に登録されているすべてのルータ３０を設定対象ルータとして決定する。また、「該当セグメントのみ設定を変更する」という選択方針が指定された場合には、マネージャ装置４０は、上記（Ｓ５３２）において読み出したインシデント情報６１のそれぞれのＩＰアドレス６１３からセグメント５２を特定し、特定したセグメント５２のそれぞれに対応するルータ３０を装置管理データベース４６から特定する。

また、マネージャ装置４０の推奨順決定部４１３は、「すべてのサーバですべてのサービスを遮断」、「すべてのサーバで該当するサービスのみを遮断」、「該当するサーバですべてのサービスを遮断」、及び「該当するサーバで該当するサービスのみを遮断」の４つの対応方針の推奨度を決定し（Ｓ５３８）、対応策表示部４１４は、決定した推奨度の順に上記の４つの対応方針を、図１７の対応方針選択画面７４に一覧表示する（Ｓ５３９）。なお、対応方針の推奨度の決定処理の詳細については後述する。

マネージャ装置４０の対応コマンド入力部４１５は、対応方針選択画面７４に表示された対応方針の何れかに対応する選択ボタン７４２が押下されたこと（対応コマンド）を受け付け（Ｓ５４０）、設定ファイル送信部４１６は、選択された対応方針と上述の選択ＩＤＳとに対応するテンプレート情報をテンプレート情報データベース４７から読み出し（Ｓ５４１）、読み出したテンプレート情報の設定ファイル名４７２に指定されている設定ファイル６２を、名称４７２に指定されるルータ３０に送信する（Ｓ５４２）。

上記のようにして、マネージャ装置４０は、オペレータからの指示に従ってルータ３０の設定を変更する。

＝＝推奨順の決定処理＝＝
図１８は、推奨順決定部４１３による対応方針の推奨度の決定処理の流れを示す図である。また、図１９に上記の処理に用いる点数のテーブルを示す。図１９には、指標テーブルＡ７５及び指標テーブルＢ７６が示されている。これらのテーブルは、マネージャ装置４０の記憶装置４０３やメモリ４０２に記憶される。指標テーブルＡ７５は、インシデントが発生したサーバ１０の数（以下、インシデント発生サーバ数という。）と、セグメント１〜４（５２）の中でインシデントが発生したサーバ１０が接続されているものの数（以下、インシデント発生セグメント数という。）とに対応付けて、点数を管理している。また、指標テーブルＢ７６は、インシデントに係るサービスの数（以下、インシデント発生サービス数という。）と、インシデント発生セグメント数とに対応付けて点数を管理している。

マネージャ装置４０の推奨順決定部４１３は、インシデント情報データベース４５から、検知日時６１１が現在時刻から所定時間前までの期間（以下、所定期間という。）内のインシデント情報６１を読み出し、読み出したインシデント情報６１からＩＰアドレス６１３を重複なく抽出し、抽出したＩＰアドレス６１３の数をインシデント発生サーバ数としてカウントする（Ｓ５５１）。また、推奨順決定部４１３は、上記の読み出したインシデント情報６１のそれぞれについて、ＩＰアドレス６１３が属するセグメント５２を特定し、特定したセグメント５２を重複なく抽出し、抽出したセグメントの数をインシデント発生セグメント数としてカウントする（Ｓ５５２）。また、推奨順決定部４１３は、上記の読み出したインシデント情報６１から重複なくサービス６１５を抽出し、抽出したサービス６１５の数をインシデント発生サービス数としてカウントする（Ｓ５５３）。

推奨順決定部４１３は、指標テーブルＡ７５から、インシデント発生サーバ数と、インシデント発生セグメント数とに対応する点数（以下、点数Ａという。）を取得し（Ｓ５５４）、指標テーブルＢ７６から、インシデント発生サービス数と、インシデント発生セグメント数とに対応する点数（以下、点数Ｂという。）を取得する（Ｓ５５５）。

点数Ａが２以上又は点数Ｂが２以上である場合（Ｓ５５６：ＹＥＳ）、推奨順決定部４１３は、「すべてのサーバですべてのサービスを遮断」（以下、「全サーバ全サービス」と記す。）の推奨順を１とし、「該当するサーバで該当するサービスのみを遮断」（以下、「１サーバ１サービス」と表記する。）の推奨順を４とする（Ｓ５５７）。すなわち、インシデント発生セグメント数が多く、インシデント発生サーバ数が多いほどその対応方針の推奨度を高くすることになる。

一方、点数Ａが２以下且つ点数Ｂが２以下である場合（Ｓ５５６：ＮＯ）、「１サーバ１サービス」の推奨順を１とし、「全サーバ全サービス」の推奨順を４とする（Ｓ５５８）。すなわち、インシデント発生セグメント数が多く、インシデント発生サービス数が多いほどその対応方針の推奨度を高くすることになる。

推奨順決定部４１３は、点数Ａが点数Ｂよりも大きい場合には（Ｓ５５９：ＹＥＳ）、「すべてのサーバで該当するサービスのみを遮断」（以下、「全サーバ１サービス」と表記する。）の推奨順を２とし、「該当するサーバですべてのサービスを遮断」（以下、「１サーバ全サービス」と表記する。）の推奨順を３とする（Ｓ５６０）。一方、点数Ｂが点数Ａ以上である場合（Ｓ５５９：ＮＯ）、「１サーバ全サービス」の推奨順を２とし、「全サーバ１サービス」の推奨順を３とする（Ｓ５６１）。

上記のようにして、推奨順決定部４１３は、インシデント発生サーバ数やインシデント発生サービス数、インシデント発生セグメント数に応じて、対応方針の推奨度を決定することができる。

したがって、本実施形態のマネージャ装置４０は、インシデントが発生したサーバ１０が複数のセグメント５２にわたって存在する場合には、より多くのセグメント５２に対する通信をルータ３０により遮断することを推奨して対応方針をオペレータに提示することができる。一方、インシデントが発生したサーバが少ないセグメント５２に集中している場合には、その他のセグメント５２に対する通信は継続したまま、インシデントの発生したセグメント５２に限定して通信を遮断することを推奨して対応方針をオペレータに提示することができる。

また、マネージャ装置４０は、インシデントが複数のサービスについて発生している場合には、より多くのサービスに対する通信を遮断することを推奨して対応方針をオペレータに提案することができる。一方、インシデントが少ないサービスについて集中して発生している場合には、その他のサービスについての通信は継続したまま、インシデントの発生しているサービスについての通信を遮断することを推奨して対応方針をオペレータに提示することができる。

上記のようにして、本実施形態のマネージャ装置４０は、後続するインシデントの発生を防止しつつも不要な通信まで遮断しないように、適切且つ効果的なインシデントレスポンスを行うことのできる推奨順を決定し、その推奨順に対応方針をオペレータに提示することができる。したがって、オペレータはマネージャ装置４０からの出力を参考にして適切で効果的なインシデントレスポンスを選択することができる。またその一方で、オペレータは、上記のインシデントの発生状況以外にも様々な条件を考慮の上、他のインシデントレスポンスの対応方針を柔軟に選択することもできる。すなわち、オペレータはインシデントレスポンスをより柔軟に行うことができる。

なお、本実施形態では、ルータ３０によりインシデントレスポンスが実施されるものとしたが、サーバ１０がインシデントレスポンスを行うようにしてもよい。サーバ１０は、例えば、インシデントとしてユーザのログインの失敗が検知された場合に、それ以降そのユーザのアカウントや、そのユーザの属するグループがサーバ１０を利用できないようにすることができる。この場合、マネージャ装置４０は、サーバ１０に対して上記のようなインシデントレスポンスを行うように指示するコマンドを送信するようにする。また、サーバ１０は、サーバ１０が実行するオペレーティングシステムやアプリケーションプログラムを更新するようなインシデントレスポンスを行うようにすることもできる。この場合、通信システムにプログラムを更新するためのパッチデータを管理するパッチ管理サーバを含めるようにして、サーバ１０がパッチ管理サーバからパッチデータを取得し、取得したパッチデータをオペレーティングシステムやアプリケーションプログラムに適用することができる。

また、ルータ３０やサーバ１０以外に、インシデントレスポンスを実施するインシデント対応装置を別途設置するようにしてもよい。

＝＝作業用端末を用いた場合＝＝
また、本実施形態では、オペレータはマネージャ装置４０を操作してインシデント情報の閲覧や対応方針の指定などを行うものとしたが、マネージャ装置４０をＷｅｂサーバとし、オペレータは作業用端末を操作するようにしてもよい。この場合、マネージャ装置４０の各機能部は、例えば、ＣＧＩプログラムとして実現し、オペレータが作業用端末で動作するＷｅｂブラウザを操作してマネージャ装置４０にアクセスするようにすることができる。この場合における通信システム全体の処理の流れを図２０に示す。図２０では、上述した対応策設定部４１８によるテンプレート情報の登録処理（Ｓ８１０）、インシデント監視画面７２によるインシデント情報の表示処理（Ｓ８２０）、及び復旧コマンドの入力によるルータ３０の設定処理（Ｓ８３０）の流れが示されている。

テンプレート情報の登録処理では、オペレータは作業用端末を操作してマネージャ装置４０にアクセスし、設定情報入力画面を取得するためのリクエスト（取得要求）を送信する（Ｓ８１１）。マネージャ装置４０は、上記の取得要求に応じて、設定情報入力画面７１を表示するための画面データを作業用端末に送信する（Ｓ８１２）。オペレータが設定情報入力画面７１に設定情報を入力すると、作業用端末から設定情報がマネージャ装置４０に送信され（Ｓ８１３）、マネージャ装置４０は、上述した図１２に示す処理と同様にして、受信した設定情報を含むテンプレート情報をテンプレート情報データベース４７に登録する（Ｓ８１４）。

また、インシデント情報の表示処理において、オペレータは作業用端末を操作してマネージャ装置４０にアクセスし、インシデント監視画面７２の取得要求を送信する（Ｓ８３１）。マネージャ装置４０は、上記の取得要求に応じて、インシデント監視画面７２を表示するための画面データを作業用端末に送信する（Ｓ８３２）。一方、ＩＤＳ２０からインシデント情報がマネージャ装置４０に送信され（Ｓ８３３）、マネージャ装置４０は受信したインシデント情報をインシデント情報データベース４５に登録する（Ｓ８３４）。作業用端末は定期的にインシデント監視画面７２の取得要求をマネージャ装置４０に送信し（Ｓ８３５）、マネージャ装置４０は、取得要求毎にインシデント監視画面の画面データを作業用端末に送信する（Ｓ８３６）。

インシデント監視画面７２のリスト欄７２３にインシデント情報のリストが表示された場合には、オペレータはＩＤＳ２０を選択し、選択したＩＤＳ２０がマネージャ装置４０に送信される（Ｓ８３７）。マネージャ装置４０は、セグメント５２の選択方針の推奨度に応じた順序で選択方針を並べた対応方針選択画面７３を表示するための画面データを作業用端末に送信する（Ｓ８３８）。オペレータはセグメント５２の選択方針を選択し、作業用端末は選択された選択方針を示す情報をマネージャ装置４０に送信する（Ｓ８３９）。マネージャ装置４０は、対応方針の推薦度を決定して、推薦度順に対応方針を並べた対応方針選択画面７４を表示するための画面データを作業用端末に送信する（Ｓ８４０）。オペレータは対応方針を選択し、作業用端末は選択された対応方針を示す情報をマネージャ装置４０に送信する（Ｓ８４１）。マネージャ装置４０は、指定された対応方針に対応する設定ファイル６２をルータ３０に送信して（Ｓ８４２）、ルータ３０の設定を変更する。

また、復旧コマンドの入力によるルータ３０の設定処理では、オペレータの操作に従って作業用端末から復旧コマンドがマネージャ装置４０に送信されると（Ｓ８６１）、マネージャ装置４０は、テンプレート情報データベース４７から対応方針４７１が「通常時」であるテンプレート情報を読み出し、読み出したテンプレート情報の設定ファイル名４７２が示す設定ファイル６２を名称４７２が示すルータ３０に送信する（Ｓ８６２）。

上記のようにして、オペレータが作業用端末を操作してマネージャ装置４０にアクセスし、インシデントレスポンスを実施するルータ３０を制御することができる。

以上、本実施形態について説明したが、上記実施形態は本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。本発明は、その趣旨を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物も含まれる。

本実施形態に係る通信システムの全体構成を示す図である。 ＩＤＳ２０のハードウェア構成を示す図である。 ＩＤＳ２０のソフトウェア構成を示す図である。 インシデント情報６１の構成例を示す図である。 ルータ３０のハードウェア構成を示す図である。 ルータ３０のソフトウェア構成を示す図である。 設定ファイル６２の一例を示す図である。 マネージャ装置４０のハードウェア構成を示す図である。 マネージャ装置４０のソフトウェア構成を示す図である。 インシデント情報データベース４５の構成を示す図である。 装置管理データベース４６の構成を示す図である。 テンプレート情報の構成を示す図である。 テンプレート情報の登録処理の流れを示す図である。 設定情報入力画面７１の一例を示す図である。 インシデント監視画面７２の一例を示す図である。 マネージャ装置４０によるルータ３０の制御処理の流れを示す図である。 対応方針選択画面７４の一例を示す図である。 推奨順決定部４１３による対応方針の推奨度の決定処理の流れを示す図である。 対応方針の推奨度の決定処理に用いる点数のテーブルを示す。 マネージャ装置４０をサーバとしてクライアントの作業用端末からアクセスする構成の通信システムにおける処理の流れを示す図である。

符号の説明

１０ サーバ ２０ ＩＤＳ
２０１ ＣＰＵ ２０２ メモリ
２０３ 記憶装置 ２０４ 通信インタフェース
２１１ インシデント検知部 ２１２ インシデント情報送信部
３０ ルータ ３０１ ＣＰＵ
３０２ メモリ ３０３ 記憶装置
３０４ 通信インタフェース ３０５ 通信インタフェース
３１１ 設定ファイル受信部 ３１２ ルーティング処理部
３５ 設定ファイル記憶部
４０ マネージャ装置 ４０１ ＣＰＵ
４０２ メモリ ４０３ 記憶装置
４０４ 通信インタフェース ４０５ 入力装置
４０６ 出力装置 ４１１ インシデント情報受信部
４１２ インシデント情報表示部 ４１３ 推奨順決定部
４１４ 対応策表示部 ４１５ 対応コマンド入力部
４１６ 設定ファイル送信部 ４１７ 復旧コマンド入力部
４１８ 対応策設定部
４５ インシデント情報データベース ４６ 装置管理データベース
４６１ 名称 ４６２ ＩＰアドレス
４６３ 区分 ４６４ 設定ファイル取得先
４７ テンプレート情報データベース ４７１ 対応方針
４７２ 設定ファイル名 ４７３ 名称
５１ バックボーン ５２ セグメント
６１ インシデント情報
６１１ 検知日時 ６１２ 検知装置
６１３ ＩＰアドレス ６１４ インシデント
６１５ サービス ６１６ ユーザ
６２ 設定ファイル
７１ 設定情報入力画面 ７２ インシデント監視画面
７３ 対応方針選択画面 ７４ 対応方針選択画面

Claims (11)

1. 通信装置に対してインシデントレスポンスを行うインシデント対応装置を制御する情報処理装置であって、
   前記通信装置におけるインシデントの発生を検知するインシデント検知部と、
   前記インシデントへの対応方針を表す方針情報に対応付けて、前記インシデント対応装置が行うべき前記インシデントレスポンスを示す情報であるレスポンス情報、及び前記インシデントレスポンスの対象となる前記通信装置を特定する情報である対応先情報を記憶する対応策記憶部と、
   前記インシデントの発生を検知した場合に、前記対応策記憶部に記憶されている前記方針情報を一覧出力する方針一覧出力部と、
   前記方針情報の指定を受け付ける方針指定部と、
   受け付けた前記方針情報に対応する前記レスポンス情報及び前記対応先情報を前記対応策記憶部から読み出す対応策取得部と、
   読み出した前記対応先情報により特定される前記通信装置を対象として、読み出した前記レスポンス情報により示される前記インシデントレスポンスを行うように指示するコマンドを前記インシデント対応装置に送信するコマンド送信部と、
   を備えることを特徴とする情報処理装置。
2. 請求項１に記載の情報処理装置であって、
   前記インシデント対応装置が行う前記インシデントレスポンスは、前記通信装置に対する通信の遮断、前記通信装置に対してアクセスするユーザの制限、前記通信装置に記憶されているプログラムの更新、及び前記通信装置が管理するファイルに対するアクセス権限の変更の少なくとも何れかであること、
   を特徴とする情報処理装置。
3. 請求項１に記載の情報処理装置であって、
   前記通信装置においてインシデントが発生したことを検知する検知装置と通信可能に接続し、
   前記インシデント検知部は、前記検知装置から送信される、前記通信装置において前記インシデントが発生したことを示すメッセージを受信することにより、前記インシデントの発生を検知すること、
   を特徴とする情報処理装置。
4. 請求項１に記載の情報処理装置であって、
   前記インシデントが発生した前記通信装置の数であるインシデント発生数を算出するインシデント発生数算出部と、
   前記対応策記憶部に記憶されている前記方針情報のそれぞれについて、前記対応先情報により特定される前記通信装置の数である対応数を算出する対応数算出部と、
   前記対応策記憶部に記憶されている前記方針情報のそれぞれについて、前記対応数と前記インシデント発生数とに応じて推奨度を決定する推奨度決定部と、を備え、
   前記方針一覧出力部は、前記推奨度の順に前記方針情報を一覧出力すること、
   を特徴とする情報処理装置。
5. 請求項１に記載の情報処理装置であって、
   前記通信装置は、複数のネットワークセグメントにより構成される通信ネットワークに接続しており、
   前記対応策記憶部は、前記方針情報に対応付けて、前記ネットワークセグメントを特定する情報であるセグメント特定情報を記憶しており、
   前記複数のネットワークセグメントのうち、前記インシデントが発生した前記通信装置が接続しているものの数であるインシデント発生セグメント数を算出するインシデント発生セグメント数算出部と、
   前記対応策記憶部に記憶されている前記方針情報のそれぞれについて、前記セグメント特定情報により特定される前記セグメントの数である対応セグメント数を算出する対応セグメント数算出部と、
   前記対応策記憶部に記憶されている前記方針情報のそれぞれについて、前記対応セグメント数と前記インシデント発生セグメント数とに応じて推奨度を決定する推奨度決定部と、を備え、
   前記方針一覧出力部は、前記推奨度の順に前記方針情報を一覧出力すること、
   を特徴とする情報処理装置。
6. 請求項５に記載の情報処理装置であって、
   前記ネットワークセグメント毎に、前記ネットワークセグメントに接続する前記通信装置を記憶するセグメント所属装置記憶部と、
   前記インシデントの発生を検知した場合に、前記セグメント所属装置記憶部を参照して、前記セグメント特定情報により特定される前記セグメントに接続している他の前記通信装置を特定する対象先特定部と、を備え、
   前記コマンド送信部は、前記対応先情報により特定される前記通信装置に対して前記インシデントレスポンスを行うとともに、前記他の通信装置に対しても前記インシデントレスポンスを行うように指示するコマンドを前記インシデントレスポンス実行装置に送信すること、
   を特徴とする情報処理装置。
7. 請求項１に記載の情報処理装置であって、
   前記通信装置は前記通信ネットワークを介して複数のサービスを提供し、前記インシデントレスポンスは前記サービスを対象としており、
   前記対応策記憶部は、前記方針情報に対応付けて、前記サービスを特定する情報であるサービス特定情報を記憶しており、
   前記インシデント検知部は、前記通信装置が提供する前記サービスにおいて発生する前記インシデントを検知し、
   前記複数のサービスのうち、前記インシデントが発生したものの数であるインシデント発生サービス数を算出するインシデント発生サービス数算出部と、
   前記対応策記憶部に記憶されている前記方針情報のそれぞれについて、前記サービス特定情報により特定される前記サービスの数である対応サービス数を算出する対応サービス数算出部と、
   前記対応策記憶部に記憶されている前記方針情報のそれぞれについて、前記対応サービス数と前記インシデント発生サービス数とに応じて推奨度を決定する推奨度決定部と、を備え、
   前記方針一覧出力部は、前記推奨度の順に前記方針情報を一覧出力すること、
   を特徴とする情報処理装置。
8. 請求項７に記載の情報処理装置であって、
   前記通信装置毎に前記通信装置が提供するサービスを記憶するサービス記憶部と、
   前記インシデントの発生を検知した場合に、前記サービス記憶部を参照して、前記サービス特定情報により特定される前記サービスを提供している他の前記通信装置を特定する対象先特定部と、を備え、
   前記コマンド送信部は、前記対応先情報により特定される前記通信装置に対して前記インシデントレスポンスを行うとともに、前記他の通信装置に対しても前記インシデントレスポンスを行うように指示するコマンドを前記インシデントレスポンス実行装置に送信すること、
   を特徴とする情報処理装置。
9. 請求項１に記載の情報処理装置であって、
   前記インシデント対応装置が行う前記インシデントレスポンスは、前記通信装置が通信ネットワークを介して送信されてくるデータを受信できないようにする制御であり、
   前記通信装置に対する制限の解除を指示するコマンドである制限解除コマンドの入力を受け付ける制限解除コマンド入力部を備え、
   前記コマンド送信部は、前記制限解除コマンドの入力に応じて、前記通信装置が前記通信ネットワークを介して送信されてくるデータを受信できるようにする制御を指示するコマンドを前記インシデント対応装置に送信すること、
   を特徴とする情報処理装置。
10. 通信装置に対してインシデントレスポンスを行うインシデント対応装置を制御する情報処理装置が、
    前記通信装置におけるインシデントの発生を検知し、
    前記インシデントへの対応方針を表す方針情報に対応付けて、前記インシデント対応装置が行うべき前記インシデントレスポンスを示す情報であるレスポンス情報、及び前記インシデントレスポンスの対象となる前記通信装置を特定する情報である対応先情報をメモリに記憶し、
    前記インシデントの発生を検知した場合に、前記メモリに記憶されている前記方針情報を一覧出力し、
    前記方針情報の指定を受け付け、
    受け付けた前記方針情報に対応する前記レスポンス情報及び前記対応先情報を前記メモリから読み出し、
    読み出した前記対応先情報により特定される前記通信装置を対象として、読み出した前記レスポンス情報により示される前記インシデントレスポンスを行うように指示するコマンドを前記インシデント対応装置に送信すること、
    を特徴とするインシデント対応装置の制御方法。
11. 通信装置に対してインシデントレスポンスを行うインシデント対応装置を制御するコンピュータに、
    前記通信装置におけるインシデントの発生を検知するステップと、
    前記インシデントへの対応方針を表す方針情報に対応付けて、前記インシデント対応装置が行うべき前記インシデントレスポンスを示す情報であるレスポンス情報、及び前記インシデントレスポンスの対象となる前記通信装置を特定する情報である対応先情報をメモリに記憶するステップと、
    前記インシデントの発生を検知した場合に、前記メモリに記憶されている前記方針情報を一覧出力するステップと、
    前記方針情報の指定を受け付けるステップと、
    受け付けた前記方針情報に対応する前記レスポンス情報及び前記対応先情報を前記メモリから読み出すステップと、
    読み出した前記対応先情報により特定される前記通信装置を対象として、読み出した前記レスポンス情報により示される前記インシデントレスポンスを行うように指示するコマンドを前記インシデント対応装置に送信するステップと、
    を実行させるためのプログラム。
    
    

Images