JP2007150778A

JP2007150778A - 不正アクセス検知方法および装置ならびにプログラム

Info

Publication number: JP2007150778A
Application number: JP2005343164A
Authority: JP
Inventors: Takahide Sugita; 貴英杉田
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2005-11-29
Filing date: 2005-11-29
Publication date: 2007-06-14
Anticipated expiration: 2025-11-29
Also published as: JP4661554B2

Abstract

【課題】ＭＡＣアドレスなどのレイヤ２のアドレスを詐称する不正なアクセスをできるだけ誤検知せずに検知できるようにする。
【解決手段】アドレステーブル３００は、既に検出されたＩＰアドレスとＭＡＣアドレスの対応関係を記憶する。変更頻度テーブル３１０は、同じＩＰアドレスに対して異なるＭＡＣアドレスが組み合わされた回数である変更回数をＩＰアドレスごとに記憶する。検査部１２０は、ネットワークを流れるパケットから検出した宛先ＩＰアドレスに対応してアドレステーブル３００に記憶されているＭＡＣアドレスと前記パケットから検出したＭＡＣアドレスを比較し、不一致の場合にそのＩＰアドレスに対応して変更頻度テーブル３１０に記憶されている変更回数を更新し、更新後の変更回数を予め定められた閾値と比較することで、不正アクセスの有無を検知する。
【選択図】図３

Description

本発明は、ネットワーク上のコンピュータに対する攻撃や不正な行為を検知する方法と装置に関し、特にレイヤ２アドレスの詐称を利用した不正なアクセスを検知する方法と装置に関する。

現在、情報漏洩に代表されるように内部ネットワークに対するセキュリティが注目されつつある。これは、ワームやウイルスによる被害だけでなく、組織内部の人間や、組織外部からの訪問者による不正アクセスが要因となっている。

このような内部ネットワークに対するセキュリティ対策として、ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）がある。ＩＤＳは、侵入検知システムと呼ばれ、ネットワークおよびサーバをリアルタイムに監視し、不正アクセス（攻撃や不正な行為）を検知すると、アラームを表示すると共に、通信記録を収集して保存する。

ＩＤＳにおいて不正アクセスを検知する代表的な方法は、不正アクセスに用いられる不正パケットの特徴情報（パケット中の文字列など）をシグネチャとしてデータベースに予め登録しておき、ネットワークを流れるパケットを監視し、登録されたシグネチャに合致する特徴情報を持つパケットを検知する方法である。

他方、内部ネットワークにおける不正アクセスを検知する他の従来技術として、ネットワーク内の全ての正当なノードのＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）アドレスとＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレスの組をデータベースに登録した後、ネットワークを流れるＡＲＰ要求パケットを監視し、データベースに登録されていないＩＰアドレスの物理アドレスを問い合わせるＡＲＰ要求パケットを不正パケットとして検出し、また、データベースに登録されているＩＰアドレスの物理アドレスを問い合わせているが、要求元ＭＡＣアドレスがデータベースに登録されていないＡＲＰ要求パケットを不正パケットとして検出する方法がある（例えば特許文献１参照）。

内部ネットワークにおける不正アクセスを検知するさらに別の従来技術として、ＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）サーバにおいて、ネットワークを流れるパケットのＩＰアドレスとＭＡＣアドレスの組を監視し、予め登録されたＩＰアドレスとＭＡＣアドレスの組の何れとも相違するＩＰアドレスとＭＡＣアドレスの組を持つパケットを不正パケットとして検出する方法がある（例えば特許文献２参照）。

特開２００５−２１０４５１号公報特開平８−１８６５６９号公報

ネットワーク上のコンピュータに対する不正アクセスを検知する方法として従来より各種の方法が提案ないし実用化されているが、その一方で検知を回避する技術も年々進化している。ＭＡＣアドレスを詐称することにより、攻撃対象のコンピュータには届かないが、不正検知を行っているコンピュータには届くトラフィックを生成する検知回避技術もその一つである。図８にその原理を示す。

図８において、検知装置４０１は、ネットワーク４０４を流れるパケットをプロミスカスモードにより全て受信し、事前に登録されたシグネチャ（今の場合、文字列ａｔｔａｃｋとする）に合致する特徴情報を持つパケットの有無を検知するコンピュータ、端末４０２は、攻撃者によって操られているコンピュータ、端末４０３は、攻撃対象となるコンピュータである。攻撃者である端末４０２は、攻撃対象の端末４０３のＩＰアドレスおよびＭＡＣアドレスをそれぞれ宛先ＩＰアドレスおよび宛先ＭＡＣアドレスとして、「ａｔｔａ」を含むパケットを送信した後、宛先ＭＡＣアドレスだけを検知装置４０１のものに詐称して「Ｘ」を含むパケットを送信し、次いで、再び「ａｔｔａ」と同様に正しい宛先ＭＡＣアドレスで「ｃｋ」を含むパケットを送信する。この場合、端末４０３には「ａｔｔａｃｋ」だけが受信されることになるが、検知装置４０１には「ａｔｔａＸｃｋ」が端末４０３で受信されたように認識される。この結果、シグネチャａｔｔａｃｋとの比較による不正検知が回避され、端末４０３への攻撃が見逃されることになる。

図８で説明したような検知回避技術を使った攻撃に対しては、ＡＲＰパケットを監視する特許文献１の方法は全く役に立たない。他方、特許文献２の方法は、端末４０３のＩＰアドレス：１９２．１６８．０．１とＭＡＣアドレス：ＡＡ−ＢＢ−ＣＣ−ＤＤ−ＥＥ−０１の組を検知装置４０１に事前に登録しておけば、その組と異なるＩＰアドレス：１９２．１６８．０．１とＭＡＣアドレス：ＡＡ−ＢＢ−ＣＣ−ＤＤ−ＥＥ−０２の組を持つパケットが検出された時点で、不正アクセスと判断される。しかしながら、可変ＩＰ割当方式を採用するＤＨＣＰで運用されているネットワークにおいては、ＩＰアドレスとＭＡＣアドレスの組み合わせは正常な状態においても変わり得るため、特許文献２の方法を適用した場合には不正アクセスでないのに不正アクセスと認識してしまう誤検知が多発するおそれがある。誤検知による誤警報が多発すると、本当の警報を見分けることが困難になり、その結果、不正アクセスを見極めるための管理者の負担が著しく増大する。誤検知率は不正検知システムの性能を評価する上で最大の要因になるため、極力小さいことが望まれる。

本発明の目的は、ＭＡＣアドレスなどのレイヤ２のアドレスを詐称する不正なアクセスをできるだけ誤検知せずに検知できるようにすることにある。

本発明の第１の不正アクセス検知装置は、ネットワークを流れるパケットのレイヤ３アドレスとレイヤ２アドレスの組み合わせを検出し、同じレイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数を計数し、計数値を予め定められた閾値と比較することにより不正アクセスを検知することを特徴とする。

本発明の第２の不正アクセス検知装置は、第１の不正アクセス検知装置において、既に検出されたレイヤ３アドレスとレイヤ２アドレスの対応関係を記憶するアドレステーブルと、ネットワークを流れるパケットから検出したレイヤ３アドレスに対応して前記アドレステーブルに記憶されているレイヤ２アドレスと前記パケットから検出したレイヤ２アドレスを比較し、不一致の場合にそのレイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数を更新すると共に、今回検出されたレイヤ２アドレスで前記アドレステーブルを更新する検査部とを備えることを特徴とする。

本発明の第３の不正アクセス検知装置は、第２の不正アクセス検知装置において、レイヤ３アドレスと該レイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数である変更回数との対応関係を記憶する変更頻度テーブルを備えることを特徴とする。

本発明の第４の不正アクセス検知装置は、第３の不正アクセス検知装置において、前記検査部は、ネットワークを流れるパケットから検出したレイヤ３アドレスが前記アドレステーブルに記憶されていない場合、今回検出したレイヤ３アドレスとレイヤ２アドレスの対応関係を前記アドレステーブルに追加すると共に、今回検出したレイヤ３アドレスと変更回数の初期値との対応関係を前記変更頻度テーブルに追加することを特徴とする。

本発明の第１の不正アクセス検知方法は、ネットワークに接続された検知装置またはレイヤ２通信装置において、前記ネットワークを流れるパケットのレイヤ３アドレスとレイヤ２アドレスの組み合わせを検出し、同じレイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数を計数し、計数値を予め定められた閾値と比較することにより不正アクセスを検知することを特徴とする。

本発明の第２の不正アクセス検知方法は、既に検出されたレイヤ３アドレスとレイヤ２アドレスの対応関係を記憶するアドレステーブルと、レイヤ３アドレスと該レイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数である変更回数との対応関係を記憶する変更頻度テーブルとを備え、ネットワークに接続された検知装置またはレイヤ２通信装置における不正アクセス検知方法であって、ネットワークを流れるパケットのレイヤ３アドレスとレイヤ２アドレスの組み合わせを検出し、前記パケットから検出されたレイヤ３アドレスに対応して前記アドレステーブルに記憶されているレイヤ２アドレスと前記パケットから検出されたレイヤ２アドレスを比較し、不一致の場合にそのレイヤ３アドレスに対応して前記変更頻度テーブルに記憶されている変更回数を更新し、更新後の変更回数を予め定められた閾値と比較することを特徴とする。

本発明の第１のプログラムは、既に検出されたレイヤ３アドレスとレイヤ２アドレスの対応関係を記憶するアドレステーブルと、レイヤ３アドレスと該レイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数である変更回数との対応関係を記憶する変更頻度テーブルとを記憶する記憶部を有するコンピュータを、ネットワークを流れるパケットのレイヤ３アドレスとレイヤ２アドレスの組み合わせを検出するアドレス検出手段、前記パケットから検出されたレイヤ３アドレスに対応して前記アドレステーブルに記憶されているレイヤ２アドレスと前記パケットから検出されたレイヤ２アドレスを比較し、不一致の場合にそのレイヤ３アドレスに対応して前記変更頻度テーブルに記憶されている変更回数を更新し、更新後の変更回数を予め定められた閾値と比較する検査手段、として機能させることを特徴とする。

本発明の第２のプログラムは、第１のプログラムにおいて、前記検査手段は、ネットワークを流れるパケットから検出したレイヤ３アドレスが前記アドレステーブルに記憶されていない場合、今回検出したレイヤ３アドレスとレイヤ２アドレスの対応関係を前記アドレステーブルに追加すると共に、今回検出したレイヤ３アドレスと変更回数の初期値との対応関係を前記変更頻度テーブルに追加することを特徴とする。

『作用』
ネットワークが、同じＭＡＣアドレスの端末には前回と同じＩＰアドレスを割り当てる固定ＩＰ割当方式のＤＨＣＰで運用されている場合など、レイヤ３アドレスとレイヤ２アドレスとの対応関係が変更になることがほとんどない場合、閾値を１に設定しておけば、不正な疑いのあるパケットを速やかに検出することができ、端末のＭＡＣアドレスと無関係に任意のＩＰアドレスを割り当てる可変ＩＰ割当方式のＤＨＣＰで運用されているネットワークなど、レイヤ３アドレスとレイヤ２アドレスとの対応関係の変更が正常な状態でも或る頻度で出現する場合には、閾値を２以上の値に設定して判断の猶予を持たせれば、誤検出を防止することができ、閾値の設定により何れにも対処することが可能になる。

本発明によれば、ＭＡＣアドレスなどのレイヤ２のアドレスを詐称する不正なアクセスをできるだけ誤検知せずに検知することができる。その理由は、同じレイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数を計数し、その計数値を予め定められた閾値と比較した結果により不正アクセスの検知を行うためである。なお、本発明は図８で説明したような不正アクセス例に限定されず、レイヤ２アドレスを詐称する任意の不正アクセスの検知に有効である。

＜本発明を適用した第１の通信システム＞
図１を参照すると、本発明を適用した第１の通信システムは、検知装置５０および複数の端末５１〜５３が同一セグメント（同一サブネット）のネットワーク５４に接続されている。検知装置５０は、ネットワーク５４に流れる全てのパケットを受信する機能と、各受信パケットのレイヤ３アドレスとレイヤ２アドレスとの組み合わせを検出し、同じレイヤ３アドレスに対して異なるレイヤ２アドレスが出現した回数をレイヤ３アドレスごとに計数し、その計数値を予め定められた閾値と比較することにより不正アクセスを検知する不正アクセス検出機能とを有する。ネットワーク５４に流れる全てのパケットを受信する機能は、一般的なネットワークインタフェースカードではプロミスカスモードと呼ばれる設定で実現できる。不正アクセス検出機能の詳細は後述する。

本例の通信システムにおいて、ウィルス感染や外部からの訪問者あるいは悪意のある内部の人間の操作などにより、端末５３が攻撃者になり、図８で説明したようなレイヤ２の宛先アクセスを詐称する方法で端末５１に不正なパケットを送りつけたとすると、ネットワーク５４を流れるパケットのレイヤ２アドレスとレイヤ３アドレスの対応関係の変更頻度を監視している検知装置５０の不正アクセス検出機能によって、そのような不正パケットが検出されることになる。

＜本発明を適用した第２の通信システム＞
図２を参照すると、本発明を適用した第２の通信システムは、Ｌ２通信装置６０および複数の端末６１〜６３が同一セグメント（同一サブネット）のネットワーク６４に接続されている。ネットワーク６４に接続された全ての端末６１〜６３は、Ｌ２通信装置６０を介して相互に接続されており、Ｌ２通信装置６０は、端末６１〜６３から受信したパケットの宛先ＭＡＣアドレスを参照して、適切な端末にＬ２レベルでパケットを振り分ける機能を有する。またＬ２通信装置６０は、図１の検知装置５０と同様な不正アクセス検出機能を有する。

本例の通信システムにおいて、ウィルス感染や外部からの訪問者あるいは悪意のある内部の人間の操作などにより、端末６３が攻撃者になり、図８で説明したようなレイヤ２の宛先アクセスを詐称する方法で端末６１に不正なパケットを送りつけたとすると、ネットワーク６４を流れるパケットのレイヤ２アドレスとレイヤ３アドレスの対応関係の変更頻度を監視しているＬ２通信装置６０の不正アクセス検出機能によって、そのような不正パケットが検出されることになる。

＜本発明の第１の実施の形態＞
図３を参照すると、本発明の不正アクセス検出装置の第１の実施の形態は、Ｌ２及びＬ３終端部１００、アドレス検査部１１０、検査部１２０、通知処理部１３０、アドレステーブルインタフェース部２００、変更頻度テーブルインタフェース部２１０、アドレステーブル３００および変更頻度テーブル３１０で構成される。また検査部１２０は、問い合わせ処理部１２１および判定処理部１２２を有する。この第１の実施の形態にかかる不正アクセス検出装置は、図１の検知装置５０および図２のＬ２通信装置６０の何れにも適用可能である。

アドレステーブル３００は、図４に示されるように、ＩＰアドレスとＭＡＣアドレスの対応関係を格納するテーブルであり、図示しない磁気ディスク等の記憶部に記憶されている。アドレステーブルインタフェース部２００は、アドレステーブル３００のインタフェースであり、検査部１２０がアドレステーブル３００を参照、更新する際は、このアドレステーブルインタフェース部２００を介して行う。

変更頻度テーブル３１０は、図５に示されるように、ＩＰアドレスと、時刻と、そのＩＰアドレスに対応するＭＡＣアドレスがその時刻以降に変更された回数とを格納するテーブルであり、図示しない磁気ディスク等の記憶部に記憶されている。変更頻度テーブルインタフェース部２１０は、変更頻度テーブル３１０のインタフェースであり、検査部１２０が変更頻度テーブル３１０を参照、更新する際は、この変更頻度テーブルインタフェース部２１０を介して行う。

Ｌ２及びＬ３終端部１００は、Ｌ２レベルでネットワーク上を流れる全パケットを捕捉し、各パケットの宛先ＩＰアドレスと宛先ＭＡＣアドレスを抽出する部分である。

アドレス検査部１１０は、Ｌ２及びＬ３終端部１００で抽出されたパケットの宛先ＩＰアドレスが検査対象であるか否かを確認し、宛先ＩＰアドレスが検査対象であれば、前記抽出された宛先ＩＰアドレスと宛先ＭＡＣアドレスの組を検査部１２０に通知する部分である。

検査部１２０は、アドレステーブル３００および変更頻度テーブル３１０を使用して、アドレス検査部１１０から通知された宛先ＩＰアドレスと宛先ＭＡＣアドレスの組について、同じ宛先ＩＰアドレスに対して異なる宛先ＭＡＣアドレスが出現した回数を計数し、その計数値を予め定められた閾値と比較することにより不正アクセスの有無を検知する部分である。具体的には、本実施の形態の場合、単位時間Ｘ（例えば、１時間、１日など）当たりの変更回数が予め設定された変更回数の閾値Ｍ以上になったかどうかで不正アクセスの有無を検知する。管理対象のネットワークが、同じＭＡＣアドレスの端末には前回と同じＩＰアドレスを割り当てる固定ＩＰ割当方式のＤＨＣＰで運用されている場合など、ＩＰアドレスとＭＡＣアドレスとの対応関係が変更になることがほとんどない場合、閾値Ｍは１に設定される。これにより、不正な疑いのあるパケットを速やかに検出することができる。また、固定ＩＰ割当方式でなく、端末のＭＡＣアドレスと無関係に任意のＩＰアドレスを割り当てる可変ＩＰ割当方式のＤＨＣＰで運用されているネットワークを管理対象とする場合、閾値Ｍは２以上の値（例えば３）に設定して判断の猶予を持たせる。これにより、誤検出を防止することができる。

本実施の形態の場合、検査部１２０は、主たる処理を司る判定処理部１２２と、アドレステーブル３００および変更頻度テーブル３１０の参照、更新に関する処理を司る問い合わせ処理部１２１とで構成されている。

通知処理部１３０は、検査部１２０の判定処理部１２２で不正アクセスと判定されたパケットの情報を含むログを作成し、図示しない記憶手段に記録する処理を行う。また、必要に応じて外部システムに警報を出したり、前記記録したログを送信する処理を行う。

図６は図３に示した実施の形態の処理例を示すフローチャートである。以下、図１〜図６を参照して、本実施の形態にかかるレイヤ２のプロトコル異常検知機能の動作を説明する。

図３の不正アクセス検出装置を組み込んだ検知装置５０およびＬ２通信装置６０は、パケットの受信待ち（ステップＳ１００）の状態から処理を開始する。パケットが流入すると、Ｌ２及びＬ３終端部１００が、Ｌ２及びＬ３終端処理を行う（ステップＳ１０１）。Ｌ２及びＬ３終端処理とは、Ｅｔｈｅｒｎｅｔ（登録商標）ヘッダから上位プロトコルがＩＰであることを確認して、宛先ＭＡＣアドレスと宛先ＩＰアドレス（ＩＰｖ４もしくはＩＰｖ６）を抽出する作業である。

次にアドレス検査部１１０が、宛先ＩＰアドレスが管理対象とするローカルアドレスであるか否かを判定し、また宛先ＭＡＣアドレスがブロードキャストアドレスか否かを判定する（ステップＳ１０２）。アドレス検査部１１０には、予め設定された管理対象とするローカルアドレスの範囲が設定されており、そのローカルアドレスの範囲と宛先ＩＰアドレスを比較し、ローカルアドレスの範囲に収まっていればローカルアドレスと判定する。宛先ＭＡＣアドレスがブロードキャストアドレスでなく且つ宛先ＩＰアドレスがローカルアドレスの場合は、ステップＳ１０３へ処理を進め、宛先ＭＡＣアドレスがブロードキャストアドレスであるか、または宛先ＩＰアドレスがローカルアドレスでない場合は、当該パケットに対する処理を終了し、パケット受信待ち（ステップＳ１００）に戻る。ブロードキャストパケットを不正アクセスのチェックから除外する理由は、本実施の形態で想定している図８で説明したような不正アクセスは特定の端末だけにパケットを送信することで成立するためである。

ステップＳ１０３に進むと、アドレス検査部１１０は宛先ＭＡＣアドレスを抽出し、検査部１２０へ処理を引き渡す。検査部１２０の判定処理部１２２は、問い合わせ処理部１２１を用いて、宛先ＩＰアドレスに対応するＭＡＣアドレスを取得するように、アドレステーブルインタフェース部２００へ通知し、それに応じてアドレステーブルインタフェース部２００は、アドレステーブル３００を宛先ＩＰアドレスをキーに検索し、その宛先ＩＰアドレスに対応するＭＡＣアドレスを検査部１２０に返却する（ステップＳ１０４）。なお、キーとなる宛先ＩＰアドレスそのものがアドレステーブル３００に登録されていなかった場合には、その旨がアドレステーブルインタフェース部２００から検査部１２０に返される。

判定処理部１２２は、宛先ＩＰアドレスそのものがアドレステーブル３００に登録されていなかった場合（ステップＳ１０５でＹＥＳ）、問い合わせ処理部１２１を用いて、今回の宛先ＩＰアドレスと宛先ＭＡＣアドレスの組をアドレステーブル３００に登録するように、アドレステーブルインタフェース部２００へ通知し、それに応じてアドレステーブルインタフェース部２００は、アドレステーブル３００に宛先ＩＰアドレスと宛先ＭＡＣアドレスの組を登録する（ステップＳ１０６）。引き続き判定処理部１２２は、問い合わせ処理部１２１を用いて、今回の宛先ＩＰアドレスと変更回数０と現在時刻との組を変更頻度テーブル３１０に登録するように、変更頻度テーブルインタフェース部２１０へ通知し、それに応じて変更頻度テーブルインタフェース部２１０は、変更頻度テーブル３１０に宛先ＩＰアドレスと変更回数０と現在時刻との組を登録する（ステップＳ１０７）。そして、今回のパケットに対する処理を終える。

他方、宛先ＩＰアドレスに対応するＭＡＣアドレスがアドレステーブル３００から検索された場合（ステップＳ１０５でＮＯ）、判定処理部１２２は、この検索されたＭＡＣアドレスと今回のパケットの宛先ＭＡＣアドレスとが一致するか否かを判定し（ステップＳ１０８）、一致している場合、異常がないものとみなし、今回のパケットに対する処理を終える。

双方のＭＡＣアドレスが不一致の場合（ステップＳ１０８でＮＯ）、判定処理部１２２は、問い合わせ処理部１２１を用いて、宛先ＩＰアドレスに対応してアドレステーブル３００に記憶されているＭＡＣアドレスを今回の宛先ＭＡＣアドレスに変更するように、アドレステーブルインタフェース部２００へ通知し、それに応じてアドレステーブルインタフェース部２００は、アドレステーブル３００の該当するＭＡＣアドレスを更新する（ステップＳ１０９）。引き続き判定処理部１２２は、問い合わせ処理部１２１を用いて、今回の宛先ＩＰアドレスに対応して変更頻度テーブル３１０に記憶されている変更回数をインクリメントするように、変更頻度テーブルインタフェース部２１０へ通知し、それに応じて変更頻度テーブルインタフェース部２１０は、変更頻度テーブル３１０の該当する変更回数を＋１し、更新後の変更回数および時刻を判定処理部１２２に通知する（ステップＳ１１０）。例えば、判定処理部１２２から通知されたＩＰアドレスが１９２．１６８．０．１の場合、変更頻度テーブルインタフェース部２１０は、図５の変更頻度テーブル３１０の１行目の変更回数０を１に更新し、時刻２００５／１０／１０１０：００：００と変更回数１とを判定処理部１２２に返却する。

判定処理部１２２は、返却された時刻から現在時刻までの経過時間Ｘを算出し（ステップＳ１１１）、この経過時間Ｘが予め設定された時間閾値Ｔ以内であれば（ステップＳ１１２でＹＥＳ）、返却された変更回数を予め設定された変更閾値Ｍと比較する（ステップＳ１１３）。そして、変更回数が変更閾値Ｍより小さければ、異常がないものとみなし、今回のパケットに対する処理を終えてパケット受信待ち（ステップＳ１００）に戻る。しかし、変更回数が変更閾値Ｍ以上であれば、時間閾値Ｔの時間内に予め設定された変更閾値Ｍ回にわたって異なるＭＡＣアドレスが出現したことになるため、異常とみなし、通知処理部１３０に当該パケットを通知する。通知処理部１３０は、通知されたパケット情報のログを作成して記録し、また必要に応じて外部システムへ警報およびログを送信する（ステップＳ１１４）。そして、パケット受信待ち（ステップＳ１００）へ戻る。

他方、経過時間Ｘが時間閾値Ｔを超えていれば（ステップＳ１１２でＮＯ）、判定処理部１２２は、問い合わせ処理部１２１を用いて、今回の宛先ＩＰアドレスに対応して変更頻度テーブル３１０に登録されている変更回数を０に、時刻を現在時刻にそれぞれ更新するように、変更頻度テーブルインタフェース部２１０へ通知し、それに応じて変更頻度テーブルインタフェース部２１０は、変更頻度テーブル３１０の該当する変更回数を０にし、時刻を現在時刻に更新する（ステップＳ１１５）。そして、パケット受信待ち（ステップＳ１００）へ戻る。

次に本実施の形態の効果を説明する。

本実施の形態によれば、ネットワークを流れるパケットの宛先ＩＰアドレスと宛先ＭＡＣアドレスとの組み合わせを検出し、同じ宛先ＩＰアドレスに対して異なる宛先ＭＡＣアドレスが出現した回数を計数し、この計数値を予め定められた閾値Ｍと比較することにより不正アクセスを検知するため、図８で説明したようなＭＡＣアドレスを詐称する不正な攻撃にかかる不正パケットを検知することが可能となる。

また本実施の形態によれば、管理対象のネットワークが、ＩＰアドレスとＭＡＣアドレスとの対応関係が変更になることがほとんどない場合には閾値Ｍを１に設定しておくことで、不正な疑いのあるパケットを速やかに検出することができ、また、固定ＩＰ割当方式でないＤＨＣＰで運用されているネットワークを管理対象とする場合には、閾値Ｍを例えば３に設定しておくことで、誤検出を防止することができ、閾値Ｍの設定により何れのネットワークにも適用することが可能となる。

＜本発明の第２の実施の形態＞
図７を参照すると、本発明の不正アクセス検出装置の第２の実施の形態は、通知処理部１３０の代わりに通知規制処理部１３１を備えている点で、図３に示した第１の実施の形態の不正アクセス検出装置と相違する。この第２の実施の形態にかかる不正アクセス検出装置は、図２のＬ２通信装置６０に適用される。

通知規制処理部１３１は、通知処理部１３０と同様の機能に加えて、トラフィックの規制手段を備える。規制手段は、例えば不正パケットを廃棄する手段である。規制対象はレイヤ２に限られない。また通知規制処理部１３１は、検知した不正なパケットの情報の他に実施した規制の情報のログを記録する。規制の情報には、規制対象パケットに関する情報、規制開始時刻、規制終了時刻などがある。

本実施の形態の動作は、図６に示した第１の実施の形態とステップＳ１１４の処理が異なる。本実施の形態の場合、通知規制処理部１３１は、判定処理部１２２から通知を受けると、予め指定された規制手段を実行して不正パケットのトラフィックを規制する。具体的には、不正パケットのトラフィックに対して一定時間強制的に廃棄を行う。例えば、不正と判定されたパケットの宛先ＭＡＣアドレスと同じ宛先ＭＡＣアドレスを持つパケットおよび不正と判定されたパケットの発信元ＭＡＣアドレスと同じ発信元ＭＡＣアドレスを持つパケットの何れか一方または双方を一定時間にわたって廃棄する。

本実施の形態によれば、第１の実施の形態と同様の効果が得られると共に、不正パケットの検知に連動して不正トラフィックに対する規制を実施するため、不正アクセスによる攻撃を未然に防止することが可能となる。なお、第１の実施の形態においても、攻撃者となる端末５３と被害者となる端末５１との間に検知装置５０が介在するネットワーク構成の場合、検知装置５０においても不正パケットの検知に連動して不正トラフィックの規制を実施することが可能である。

以上本発明の実施の形態について説明したが、本発明は以上の例に限定されず、その他各種の付加変更が可能である。例えば以下のような実施の形態も考えられる。

前述した第１および第２の実施の形態では、同じ宛先ＩＰアドレスに対する宛先ＭＡＣアドレスの単位時間Ｘ当たりの変更回数が予め設定された変更回数の閾値Ｍ以上になったかどうかで不正アクセスの有無を検知したが、監視開始時点からの変更回数の積算値を閾値と比較するようにしても良い。これは、例えば図６のステップＳ１１２における時間閾値Ｔを無限大に設定することで実現可能である。また、変更頻度テーブル３１０内から時刻の情報を削除し、図６のステップＳ１１２、Ｓ１１５を削除しても実現できる。

前述した図１の検知装置５０および図２のＬ２通信装置６０は、本発明の不正アクセス検知機能に加えて、従来のＩＤＳの機能を兼ね備えるものであっても良い。

前述した第１および第２の実施の形態では、レイヤ２のプロトコルとしてＥｔｈｅｒｎｅｔ（登録商標）、レイヤ３のプロトコルとしてＩＰを使用したが、レイヤ３の宛先アドレスとレイヤ２の宛先アドレスを関連付ける仕組みであれば本発明は適用可能であり、レイヤ２のプロトコルはＥｔｈｅｒｎｅｔ（登録商標）に限定されず、またレイヤ３のプロトコルはＩＰに限定されない。

また本発明の不正アクセス検出装置は、その有する機能をハードウェア的に実現することは勿論、コンピュータとプログラムとで実現することができる。プログラムは、磁気ディスクや半導体メモリ等のコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られ、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施の形態における不正アクセス検出装置として機能させ、図６に示したような処理を実行させる。

本発明を適用した第１の通信システムのブロック図である。本発明を適用した第２の通信システムのブロック図である。本発明の第１の実施の形態にかかる不正アクセス検出装置のブロック図である。アドレステーブルの構成例を示す図である。変更頻度テーブルの構成例を示す図である。本発明の第１の実施の形態にかかる不正アクセス検出装置の処理例を示すフローチャートである。本発明の第２の実施の形態にかかる不正アクセス検出装置のブロック図である。ＭＡＣアドレスを詐称することによりシグネチャによる検知を回避して攻撃する原理の説明図である。

符号の説明

５０…検知装置
５１、５２、５３…端末
５４…ネットワーク
６０…Ｌ２通信装置
６１、６２、６３…端末
６４…ネットワーク
１００…Ｌ２及びＬ３終端部
１１０…アドレス検査部
１２０…検査部
１２１…問い合わせ処理部
１２２…判定処理部
１３０…通知処理部
１３１…通知規制処理部
２００…アドレステーブルインタフェース部
２１０…変更頻度テーブルインタフェース部
３００…アドレステーブル
３１０…変更頻度テーブル
４０１…検知装置
４０２、４０３…端末

Claims

ネットワークを流れるパケットのレイヤ３アドレスとレイヤ２アドレスの組み合わせを検出し、同じレイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数を計数し、計数値を予め定められた閾値と比較することにより不正アクセスを検知する不正アクセス検知装置。
既に検出されたレイヤ３アドレスとレイヤ２アドレスの対応関係を記憶するアドレステーブルと、ネットワークを流れるパケットから検出したレイヤ３アドレスに対応して前記アドレステーブルに記憶されているレイヤ２アドレスと前記パケットから検出したレイヤ２アドレスを比較し、不一致の場合にそのレイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数を更新すると共に、今回検出されたレイヤ２アドレスで前記アドレステーブルを更新する検査部とを備えることを特徴とする請求項１記載の不正アクセス検知装置。
レイヤ３アドレスと該レイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数である変更回数との対応関係を記憶する変更頻度テーブルを備えることを特徴とする請求項２記載の不正アクセス検知装置。
前記検査部は、ネットワークを流れるパケットから検出したレイヤ３アドレスが前記アドレステーブルに記憶されていない場合、今回検出したレイヤ３アドレスとレイヤ２アドレスの対応関係を前記アドレステーブルに追加すると共に、今回検出したレイヤ３アドレスと変更回数の初期値との対応関係を前記変更頻度テーブルに追加することを特徴とする請求項３記載の不正アクセス検知装置。
ネットワークに接続された検知装置またはレイヤ２通信装置において、前記ネットワークを流れるパケットのレイヤ３アドレスとレイヤ２アドレスの組み合わせを検出し、同じレイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数を計数し、計数値を予め定められた閾値と比較することにより不正アクセスを検知する不正アクセス検知方法。
既に検出されたレイヤ３アドレスとレイヤ２アドレスの対応関係を記憶するアドレステーブルと、レイヤ３アドレスと該レイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数である変更回数との対応関係を記憶する変更頻度テーブルとを備え、ネットワークに接続された検知装置またはレイヤ２通信装置における不正アクセス検知方法であって、ネットワークを流れるパケットのレイヤ３アドレスとレイヤ２アドレスの組み合わせを検出し、前記パケットから検出されたレイヤ３アドレスに対応して前記アドレステーブルに記憶されているレイヤ２アドレスと前記パケットから検出されたレイヤ２アドレスを比較し、不一致の場合にそのレイヤ３アドレスに対応して前記変更頻度テーブルに記憶されている変更回数を更新し、更新後の変更回数を予め定められた閾値と比較することを特徴とする不正アクセス検知方法。
既に検出されたレイヤ３アドレスとレイヤ２アドレスの対応関係を記憶するアドレステーブルと、レイヤ３アドレスと該レイヤ３アドレスに対して異なるレイヤ２アドレスが組み合わされた回数である変更回数との対応関係を記憶する変更頻度テーブルとを記憶する記憶部を有するコンピュータを、ネットワークを流れるパケットのレイヤ３アドレスとレイヤ２アドレスの組み合わせを検出するアドレス検出手段、前記パケットから検出されたレイヤ３アドレスに対応して前記アドレステーブルに記憶されているレイヤ２アドレスと前記パケットから検出されたレイヤ２アドレスを比較し、不一致の場合にそのレイヤ３アドレスに対応して前記変更頻度テーブルに記憶されている変更回数を更新し、更新後の変更回数を予め定められた閾値と比較する検査手段、として機能させるプログラム。
前記検査手段は、ネットワークを流れるパケットから検出したレイヤ３アドレスが前記アドレステーブルに記憶されていない場合、今回検出したレイヤ３アドレスとレイヤ２アドレスの対応関係を前記アドレステーブルに追加すると共に、今回検出したレイヤ３アドレスと変更回数の初期値との対応関係を前記変更頻度テーブルに追加することを特徴とする請求項７記載のプログラム。