JP2007242002A - ネットワーク管理装置及びネットワーク管理方法及びプログラム - Google Patents

Abstract

【課題】シグネチャの候補に対して、そのシグネチャ候補により感染が検知された端末がワーム感染の兆候を示すかを確認し、シグネチャの候補の正当性を評価する。
【解決手段】各ＩＤＳセンサ部２がネットワークを監視してシグネチャ候補を生成し、シグネチャ候補をＩＤＳ管理部１に送信し、ＩＤＳ管理部１がシグネチャ候補を集約し、各ＩＤＳセンサ部２にシグネチャ候補を配布し、ＩＤＳセンサ部２では、配布されたシグネチャ候補を用いてネットワークを監視し、シグネチャ候補に合致する文字列を検知した場合に、当該文字列を含むパケットの送信元の端末を示すアラートをＩＤＳ管理部１に通知し、更に、端末の端末エージェント部３が端末の状態を監視し、端末が感染挙動を示した際に、当該端末を示す情報をＩＤＳ管理部１に送信し、ＩＤＳ管理部１ではアラートと感染挙動を示した端末の情報に基づきシグネチャ候補の正当性の評価を行う。
【選択図】図１

Description

本発明は、ネットワーク侵入検知技術に関し、特に、攻撃パケットの特徴パターンを定義したシグネチャを生成する技術に関する。

ネットワーク侵入検知では、既知の攻撃パケットの特徴パターンを定義した「シグネチャ」を事前に準備し、ネットワーク中のパケットとシグネチャを照合して攻撃を検知するＭＩＤ（Ｍｉｓｕｓｅ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ）方式が広く採用されている（例えば、特許文献１）。
ＭＩＤ方式は既知の攻撃を高精度に検知できるが、コンピュータワームは出現後短期間で多数の計算機に感染するため、未知であったコンピュータワームに対して自動的に、また誤検知率が十分に低いシグネチャを生成する技術が求められている。
また、コンピュータワームはファイルの形態を取らないものも多く、トラヒック解析の形でシグネチャを生成する技術が必要とされる。

上記のニーズに対して、近年、ネットワークトラヒックを観測し、トラヒック中に出現する高頻度の文字列パターンを抽出し、また、その送受信アドレスの散布度の高さを確認することによりコンピュータワームに対するシグネチャを自動生成する技術が提案されている。
例えば、非特許文献１に示す方法は、トラヒック中に頻出する文字列パターンを高速・省メモリ容量で抽出するＲａｂｉｎ ｆｉｎｇｅｒｐｒｉｎｔｉｎｇおよびＭｕｌｔｉ−ｓｔａｇｅ ｆｉｌｔｅｒというアルゴリズム、また、抽出した各文字列パターンの送受信アドレスの散布状況を高速・省メモリ容量で計測するｓｃａｌｅｄ ｂｉｔｍａｐというアルゴリズム（同文献５．２節）を含んだ実現方法が示されている。この組み合わせにより、高頻度で出現し、また送信元・送信先アドレスの散布度の高い文字列パターンをシグネチャの候補として抽出する。

しかしながら、出現頻度、送受信アドレスの散布度の高い文字列パターンは、正常なトラヒックにも含まれており、このようなパターンをシグネチャの候補から除外する必要がある。前記文献においては、この課題に対する対策として、出力された候補を人手等で精査することにより、正常トラヒックとみなされる文字列パターンを登録したホワイトリストを作成し、ホワイトリストに含まれる文字列をシグネチャの候補から自動的に除外する方法が示されている。
特開２００２−０７３４３３号公報 「Ａｕｔｏｍａｔｅｄ Ｗｏｒｍ Ｆｉｎｇｅｒｐｒｉｎｔｉｎｇ」， Ｓｕｍｅｅｔ Ｓｉｎｇｈほか、Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ６ｔｈ ＡＣＭ／ＵＳＥＮＩＸ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ Ｄｅｓｉｇｎ ａｎｄ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ（ＯＳＤＩ）、２００４年１２月

以上に示した従来技術では、出現頻度と送受信アドレスの散布度が高い文字列パターンをシグネチャとして抽出し、また、誤検知に対しては、正常な文字列パターンをホワイトリストとして登録し、候補から除外する方法が示されている。

ホワイトリストの対象には、ＷｅｂのリクエストヘッダやＭａｉｌのヘッダに出現するキーワード等のように、応用プロトコルの仕様・実装に応じて、正常トラヒック中にも頻出する文字列パターンがあるが、これらは、応用プロトコルの拡張や、その様々な実装例の出現、改訂によって追加を生じうるため、誤検知を防止するためには適切な頻度でホワイトリストの追加、改訂を行う必要がある。また、メーリングリスト、有名なサイトのＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）、メールアドレス、流行語といったものも出現頻度・散布度の高い文字列であるが、これらをホワイトリストとして追加、改訂する作業はさらに自動化が困難である。

この発明は、上記のような問題点を解決することを主な目的の一つとしており、シグネチャの候補の各々に対して、そのシグネチャにより感染が検知されたホストが真にワーム感染の兆候を有するかどうかを自動的に確認し、シグネチャの候補の正当性を評価することにより、誤検知の恐れの少ない高精度のシグネチャを自動的に得ることを主な目的の一つとする。

本発明に係るネットワーク管理装置は、
監視対象ネットワークに含まれる複数の端末装置と、前記監視対象ネットワークを監視する監視装置と通信を行うネットワーク管理装置であって、
端末装置に異常を発生させるデータパターンの検出のためのシグネチャ候補を前記監視装置に対して送信するシグネチャ候補送信部と、
前記監視装置から、前記監視装置が前記シグネチャ候補を用いて検出したデータパターンの流通に関係のある端末装置の識別情報を通知するデータパターン検知通知を受信するデータパターン検知通知受信部と、
前記複数の端末装置のうち何らかの異常を感知した異常感知端末装置から、当該異常感知端末装置の識別情報を示す異常感知通知を受信する異常感知通知受信部と、
データパターン検知通知に示された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき、前記シグネチャ候補に対する評価を行うシグネチャ候補評価部とを有することを特徴とする。

本発明によれば、シグネチャ候補を用いた監視対象ネットワークに対する監視結果と、端末装置における異常感知結果から、シグネチャ候補の正当性を評価するため、誤検知及び検知漏れの恐れの少ない高精度のシグネチャを迅速かつ効率よく得ることができ、監視対象ネットワークにおけるセキュリティを高めることができる。

実施の形態１．
図１は本実施の形態に係るシステムのネットワーク上の配置構成例を示したシステム概念図である。
監視対象となる各サイト（監視対象ネットワーク）に配置されたＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）センサ部２は、それぞれ、シグネチャに基づいてネットワーク侵入を検知する侵入検知センサである。また、各端末にソフトウェアとして設置された端末エージェント部３は、端末の動作状況を監視して、何らかの異常、例えばコンピュータワームの感染の兆候を検知するソフトウェアである。ＩＤＳ管理部１は、前記のＩＤＳセンサ部２ならびに端末エージェント部３を集中管理する手段である。
なお、ＩＤＳ管理部１はネットワーク管理装置の例であり、ＩＤＳセンサ部２は監視装置の例であり、端末は端末装置の例である。

本実施の形態では、各ＩＤＳセンサ部２がネットワークを監視してシグネチャ候補を生成し、シグネチャ候補をＩＤＳ管理部１に送信し、ＩＤＳ管理部１がシグネチャ候補を集約する。そして、ＩＤＳ管理部１は、集約したシグネチャ候補を各ＩＤＳセンサ部２に配布し、ＩＤＳセンサ部２では、配布されたシグネチャ候補を用いてネットワークを監視し、シグネチャ候補に合致する文字列パターン（データパターン）を検知した場合に、当該文字列を含むパケットの流通に関係のある端末（例えば、当該パケットの送信元の端末）を示す検知アラートをＩＤＳ管理部１に通知する。
更に、端末の端末エージェント部３が端末の状態を監視し、端末が感染挙動を示した際に、当該異常が感知された端末を示すホスト感染監視情報をＩＤＳ管理部１に送信し、ＩＤＳ管理部１では検知アラートに示された端末の情報とホスト感染監視情報に示された端末の情報に基づきシグネチャ候補の誤検知率、検知漏れ率を算定してシグネチャ候補の正当性の評価を行う。

図１４は、実施の形態１におけるＩＤＳ管理部１、ＩＤＳセンサ部２、端末のハードウェア資源の一例を示す図である。
図１４において、ＩＤＳ管理部１、ＩＤＳセンサ部２、端末は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７と接続していてもよい。また、磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。

通信ボード９１５は、図１に示すように、ネットワークに接続されている。例えば、通信ボード９１５は、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

上記プログラム群９２３には、以下に述べる説明において「〜部」、「〜手段」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」、「〜の評価結果」等として説明する情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示・抽出のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
また、以下で説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、以下に述べる説明において「〜部」、「〜手段」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」、「〜手段」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「〜部」、「〜手段」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」、「〜手段」の手順や方法をコンピュータに実行させるものである。

次に、本実施の形態の詳細な構成を図２に示す。
ＩＤＳセンサ部２は、ネットワークトラヒックの観測からシグネチャ候補を生成するシグネチャ候補生成部８、ならびに、シグネチャ候補に基づいてネットワーク侵入を検知するネットワーク侵入検知部９を備える。
更に、シグネチャ候補を示すシグネチャ候補生成通知１１を送信するシグネチャ候補生成通知送信部２０１と、シグネチャ候補の配布のためのシグネチャ候補配布通知１２を受信するシグネチャ候補配布通知受信部２０２と、ネットワーク侵入検知部９のネットワーク侵入検知結果を通知する検知アラート１３を送信する検知アラート送信部２０３を備える。

端末エージェント部３は、端末の動作状況を監視してコンピュータワームの感染の兆候を検知するホスト感染監視部１０と、検知結果を示すホスト感染監視情報をＩＤＳ管理部１に送信するホスト感染監視情報送信部３０１を備える。

ＩＤＳ管理部１は、シグネチャ候補評価部４、シグネチャ候補表データベース５、アラート表データベース６、ホスト感染監視表データベース７、シグネチャ候補生成通知受信部１０１（シグネチャ候補受信部）、シグネチャ候補配布通知送信部１０２（シグネチャ候補送信部）、検知アラート受信部１０３（データパターン検出通知受信部）、ホスト感染監視情報受信部１０４（異常感知通知受信部）を備える。
各部の動作の詳細は、図３〜図１１を参照しながら説明する。

なお、図２で示した構成例では、シグネチャ候補生成部８とネットワーク侵入検知部９はともにＩＤＳセンサ部２に実装されているが、シグネチャ候補生成部８とネットワーク侵入検知部９を別の装置として実現しても差し支えない。

次に、ブロック図（図２）、タイミングチャート（図３）、ならびにデータ例（図４〜図９）を用いて、基本的な動作の流れを説明する。なお、図３に示されたＳ１〜Ｓ８の手順とＳ９〜Ｓ１１の手順とは独立なタイミングで実施してよい。

ＩＤＳセンサ部２のシグネチャ候補生成部８は、従来技術例に示されたシグネチャ自動生成方法と同様の方法により、ネットワークトラヒックを監視し、シグネチャの候補を生成する（Ｓ１）。
そして、シグネチャの候補をシグネチャ候補生成通知１１として、シグネチャ候補生成通知送信部２０１からＩＤＳ管理部１に送信する（Ｓ２）。
ＩＤＳ管理部１では、シグネチャ候補生成通知受信部１０１がシグネチャ候補生成通知１１を受信するとともに、シグネチャ候補評価部４に通知する（Ｓ２）。
ここで、シグネチャ候補の通知情報であるシグネチャ候補生成通知１１の例を図４に示す。
図４の例のようにシグネチャ候補生成通知１１は複数のシグネチャ候補を含んでもよい。また、各シグネチャ候補は、コンピュータワームの本体に含まれる文字列パターンを含むものであり、また、検知精度を高めるために、図４に示すように、コンピュータワームの他の特徴を識別する要素として、プロトコル種別などを含んでもよい。

シグネチャ候補評価部４はシグネチャ候補生成通知１１を受け取り、含まれるシグネチャ候補をシグネチャ候補表データベース５のシグネチャ候補表に登録する（Ｓ３）。このとき、すでにシグネチャ候補表に登録されているシグネチャ候補と内容の一致するシグネチャ候補は重複して登録しないものとし、シグネチャ候補を一意に識別可能な候補番号を付与して登録する。
このように登録したシグネチャ候補表の例を図５に示す。候補番号５０１はシグネチャ候補評価部４が付与する、シグネチャ候補を一意識別する番号である。プロトコル５０２、文字列パターン５０３はシグネチャ候補生成通知１１の内容に従う。

次に、シグネチャ候補評価部４は、シグネチャ候補表に登録されたシグネチャ候補と候補番号を示すシグネチャ候補配布通知１２を生成し、シグネチャ候補配布通知送信部１０２が、シグネチャ候補配布通知１２を各ＩＤＳセンサ部２に送信する（Ｓ４）。
この配布情報であるシグネチャ候補配布通知１２の例を図６に示す。候補番号６０１、プロトコル６０２、文字列パターン６０３の内容は、図５に示したものと同じである。

各々のＩＤＳセンサ部２が備えるネットワーク侵入検知部９はＭＩＤ方式に基づくネットワーク侵入検知手段であり、上記のシグネチャ候補配布通知１２に含まれるシグネチャ候補を検知パターンとしてネットワーク侵入検知を実施する（Ｓ５）。
いずれかのシグネチャ候補に対応したトラヒックを検出した場合は、ネットワーク侵入検知部９は、検知結果を示す検知アラート１３を生成し、検知アラート送信部２０３が検知アラート１３をＩＤＳ管理部１に送信する（Ｓ６、Ｓ７）。ＩＤＳ管理部１では、検知アラート受信部１０３が、検知アラート１３を受信し、シグネチャ候補評価部４に報告する（Ｓ７）。
そして、シグネチャ候補評価部４は検知アラート１３を受信してアラート表データベース６のアラート表に登録する（Ｓ８）。
このとき通知する検知アラート１３、および検知アラートを登録したアラート表の例を図７に示す。検知アラート１３には、シグネチャ候補の候補番号、および、送信元のホストを識別する情報、たとえばトラヒックの送信元アドレスを含める。
なお、この検知アラートは、データパターン検知通知の例である。

以上の手順により、シグネチャ候補評価部４は、ＩＤＳセンサ部２で生成されたシグネチャ候補を収集してネットワークの各所に配備されたＩＤＳセンサ部２の各々に配布し、配布したシグネチャに基づいたネットワーク侵入検知結果をＩＤＳセンサ部２から網羅的に収集する。侵入検知結果には、シグネチャ候補の候補番号、および、送信元のホストを識別する情報が含まれる。

また、各端末にインストールされた端末エージェント部３に含まれるホスト感染監視部１０は端末の活動を監視し、コンピュータワームの感染の兆候を検出する（Ｓ９）。その方法としてはシステムファイルや設定情報の改変を検知する等、従来技術として知られている方法を使用してよい。
端末エージェント部３のホスト感染監視部１０は、検出結果を示すホスト感染監視情報１４を生成し、ホスト感染監視情報送信部３０１がホスト感染監視情報１４をＩＤＳ管理部１に送信する（Ｓ１０）。
ＩＤＳ管理部１では、ホスト感染監視情報受信部１０４が、ホスト感染監視情報１４を受信し、シグネチャ候補評価部４にホスト感染監視情報１４を報告し（Ｓ１０）、シグネチャ候補評価部４はこれをホスト感染監視表データベース７のホスト感染監視表に記録する（Ｓ１１）。
このホスト感染監視情報１４とホスト感染監視表の例を図８に示す。ホスト感染監視情報１４には、送信元の端末ごとに、感染挙動発生時刻８０１と感染挙動の詳細８０２の情報が含まれている。
また、ホスト感染監視表には、ホスト感染監視情報の送信元の端末の識別情報８０３、感染挙動発生時刻８０４と感染挙動の詳細８０５の情報が含まれている。
なお、ホスト感染監視情報１４は、異常感知通知の例である。

最後に、検知アラートの件数、ホスト感染監視表の件数の閾値が到来した場合、シグネチャ候補評価部４は、Ｓ１〜Ｓ８で収集したアラート表（図７）と、Ｓ９〜Ｓ１１で収集したホスト感染監視表（図８）とを用い、シグネチャ候補の正当性を評価する（Ｓ１２）。

Ｓ１２を実行するタイミングは実装により選択して良いが、一般に、十分な評価精度を得るには、アラート表、および、ホスト感染監視表に記録されたホスト数が十分大きな数となった時点が望ましく、一方、コンピュータワームが広範囲に感染しない段階で早期に対処するためには、あまり大きな数は望ましくない。このように、Ｓ１２を実行するためのホスト数の基準値は、評価精度と早期検知のトレードオフの関係にあり、チューニングパラメータとして設定可能とすることが望ましい。

次に、シグネチャ候補評価部４におけるシグネチャ候補の評価（Ｓ１２）の手法について述べる。
従来技術においても、端末エージェント部３において検知されるコンピュータワーム感染の予兆は比較的精度の高いものであり、本実施の形態においては、ホスト感染監視表（図８）に報告された検知結果が正しいと仮定して、各々のシグネチャ候補の正当性を判定する。

まず、シグネチャ候補評価部４は、図９に示すように、アラート表（図７）に蓄えられたアラートをシグネチャ候補番号毎に分類することにより、シグネチャ候補ごとに、そのシグネチャ候補でアラートが検知された送信元ホストの集合を算出する。
次に、シグネチャ候補評価部４は、おのおののシグネチャ候補に対する誤検知率、検知漏れ率を計算する。
図１０は、上記の仮定における誤検知および検知漏れの概念を示したものである。あるシグネチャ候補Ｘに対してアラートが検知されたホストの集合をＡとし、また、端末エージェント部３からホスト感染報告のあったホストの集合、つまりホスト感染監視表に登録されたホストの集合をＢとすると、誤検知率、検知漏れ率は以下のように定義される。
誤検知率＝ｎ（Ａ∩Ｂ）÷ｎ（Ａの要素数）
検知漏れ率＝１−［ｎ（Ａ∩Ｂ）÷ｎ（Ｂの要素数）］
ただし、集合Ｓに対してｎ（Ｓ）はＳの集合の要素数であるとする。

つまり、端末エージェント部３のホスト感染監視部１０が感染挙動を検知していない（ホスト感染監視表に登録されていない）にもかからず、ＩＤＳセンサ部２のネットワーク侵入検知部９がアラートを検知している（アラート表に登録されている）場合は誤検知と判定される。一方、端末エージェント部３のホスト感染監視部１０が感染挙動を検知している（ホスト感染監視表に登録されている）にもかからず、ＩＤＳセンサ部２のネットワーク侵入検知部９がアラートを検知していない（アラート表に登録されていない）場合は検知漏れと判定される。また、端末エージェント部３のホスト感染監視部１０が感染挙動を検知しており（ホスト感染監視表に登録されている）、ＩＤＳセンサ部２のネットワーク侵入検知部９もアラートを検知している（アラート表に登録されている）場合は正しい検知と判定される。

また、シグネチャ候補評価部４は、例えば、誤検知率の閾値と検知漏れ率の閾値を用意し、以上のように算出されたシグネチャ候補の誤検知率、検知漏れ率がそれぞれの閾値を超えるか否かを判断して、シグネチャ候補の正当性を評価する。
シグネチャ候補評価部４は、例えば、誤検知率、検知漏れ率がそれぞれの閾値を下回るシグネチャ候補は正当であると評価して、これを正式なシグネチャとして登録することができる。

次に、図１１を参照して、本実施の形態に係るＩＤＳ管理部１に特化して動作例を説明する。
先ず、シグネチャ候補生成通知受信部１０１が、各ＩＤＳセンサ部２からシグネチャ候補生成通知１１を受信する（Ｓ１１０１）。
次に、シグネチャ候補評価部４が、受信したシグネチャ候補をシグネチャ候補表データベース５のシグネチャ候補表（図５）に登録する（Ｓ１１０２）。
そして、シグネチャ候補評価部４は、シグネチャ候補表に所定数のシグネチャ候補が登録されるか、所定の配布周期が到来するのを待つ（Ｓ１１０３）。
配布タイミングになった場合は、シグネチャ候補評価部４は、シグネチャ候補配布通知（図６）を生成し、シグネチャ候補配布通知送信部１０２がシグネチャ候補配布通知を各ＩＤＳセンサ部２に送信する（Ｓ１１０４）（シグネチャ候補送信ステップ）。
次に、検知アラート受信部１０３が、各ＩＤＳセンサ部２から、シグネチャ候補配布通知として配布したシグネチャ候補に対する検知アラート（図７）を受信する（Ｓ１１０５）（データパターン検知通知受信ステップ）。
次に、シグネチャ候補評価部４が、アラート表データベース６のアラート表のエントリに、受信した検知アラートを追記する（Ｓ１１０６）。
次に、ホスト感染監視情報受信部１０４が、端末エージェント部３から、ホスト感染監視情報（図８）を受信する（Ｓ１１０７）（異常感知通知受信ステップ）。
次に、シグネチャ候補評価部４が、受信したホスト感染監視情報をホスト感染監視表データベース７のホスト感染監視表（図８）に登録する（Ｓ１１０８）。
なお、Ｓ１１０５〜Ｓ１１０８の処理は、図１１に示す順序通りでなくてもよい。つまり、ＩＤＳセンサ部２からの検知アラートの送信と、端末エージェント部３からのホスト感染監視情報の送信は連動しておらず、それぞれ独立に行われることから、Ｓ１１０５〜Ｓ１１０８の処理はかならずしも図１１の順序通りにはならない。
次に、シグネチャ候補評価部４は、検知アラートの件数、ホスト感染監視表の件数が閾値に達したか否かを判断し（Ｓ１１０９）、閾値に達していない場合は、Ｓ１１０５〜Ｓ１１０８の処理を繰り返し、閾値に達している場合は、Ｓ１１１０の処理を行う。
検知アラートの件数、ホスト感染監視表の件数が閾値に達している場合は、シグネチャ候補評価部４は、各シグネチャ候補の誤検知率、検知漏れ率を算出する（Ｓ１１１０）（シグネチャ候補評価ステップ）。
次に、シグネチャ候補評価部４は、算出した誤検知率、検知漏れ率と、それぞれの閾値とを比較し、各シグネチャ候補の正当性を評価する（Ｓ１１１１）（シグネチャ候補評価ステップ）。
そして、誤検知率、検知漏れ率が閾値以下のシグネチャ候補は正式なシグネチャとして登録される。

以上のような構成とすることにより、本実施の形態においては、ホワイトリストをメンテナンスする必要がなく、また、運用管理者による判断を必要とせずに、シグネチャの候補の正当性を自動的に評価できるので、運用上の負担が少なく、また、迅速に、誤検知の少ないシグネチャを生成できる。この結果、監視対象のネットワークにおけるセキュリティを高めることができる。特に、出現後短期間で多数の計算機に感染する未知のコンピュータワームに対するセキュリティ強度を高めることができる。

また、別の形態として、ネットワーク侵入検知部９は、シグネチャ候補に一致するパケットを検知した場合、すぐに検知アラートをシグネチャ候補評価部４に通知する代わりに、図９に示す形式と同様に各シグネチャ候補に対して検知された送信元ホストを記憶しておき、これをシグネチャ候補評価部４に通知し、また、シグネチャ候補評価部４は複数のネットワーク侵入検知部９から送られてきた情報をすべて収集することで、各シグネチャ候補に対して検知された送信元ホストの集合を集計することができる。このようにすると、同一の送信者から多数のアラートが生成されるようなケースにおいて、ＩＤＳセンサ部２とＩＤＳ管理部１との間のアラート通知の回数を削減し、処理効率を向上させることができる。

以上のように、本実施の形態では、以下の手段を備えたネットワーク侵入検知方式を説明した。
（ａ）ネットワークトラヒック上の文字列パターンの出現頻度とアドレス散布状況を監視し、出現頻度とアドレス散布度の高い文字列パターンをシグネチャの候補として抽出する、シグネチャ候補生成手段；
（ｂ）各端末に設置され、当該端末がコンピュータワームに感染した兆候を検知する、ホスト感染監視手段；
（ｃ）後述するシグネチャ候補評価手段からシグネチャ候補の配布を受けてネットワークトラヒックを監視し、当該のシグネチャと一致したパケットを検出し、検出した場合はパケットとマッチしたシグネチャ候補の識別とそのパケットの送信者の識別を含むアラートをシグネチャ候補評価手段に報告する、ネットワーク侵入検知手段；
（ｄ）前記のシグネチャ候補生成手段からシグネチャの候補を収集し、
また、前記のネットワーク侵入検知手段に前記シグネチャの候補を配布して、そのシグネチャの候補により検知されたアラートを収集し、
また、前記のホスト感染監視手段から端末がコンピュータワームに感染した兆候を収集し、前記アラートに報告されたパケットの送信者の集合と、ホスト感染監視手段から報告された感染の恐れのある端末の集合を比較することにより、
おのおののシグネチャ候補の誤検知率、検知漏れ率の一方または双方を評価する、シグネチャ候補評価手段。

また、（ｃ）に示したネットワーク侵入検知手段は、おのおのシグネチャ候補に対して検知されたパケット送信者の集合を記憶する、シグネチャ候補別送信者表を持ち、シグネチャ候補と一致したパケットを検出した場合はシグネチャ候補別送信者表に記録を行い、
更に、（ｄ）に示したシグネチャ候補評価手段は、アラートの代わりに前記シグネチャ候補別送信者表を収集することを説明した。

つまり、本実施の形態では、監視対象ネットワークに含まれる複数の端末装置と、前記監視対象ネットワークを監視する監視装置と通信を行うネットワーク管理装置（ＩＤＳ管理部）であって、
端末装置に異常を発生させるデータパターンの検出のためのシグネチャ候補を前記監視装置に対して送信するシグネチャ候補送信部と、
前記監視装置から、前記監視装置が前記シグネチャ候補を用いて検出したデータパターンの流通に関係のある端末装置の識別情報を通知するデータパターン検知通知を受信するデータパターン検知通知受信部と、
前記複数の端末装置のうち何らかの異常を感知した異常感知端末装置から、当該異常感知端末装置の識別情報を示す異常感知通知を受信する異常感知通知受信部と、
データパターン検知通知に示された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき、前記シグネチャ候補に対する評価を行うシグネチャ候補評価部とを有するネットワーク管理装置（ＩＤＳ管理部）について説明した。

また、本実施の形態では、
前記シグネチャ候補評価部は、
前記データパターン検知通知受信部により受信されたデータパターン検知通知の受信数と前記異常感知通知受信部により受信された異常感知通知の受信数がそれぞれの閾値を上回った際に、データパターン検知通知に示された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき前記シグネチャ候補の誤検知率及び検知漏れ率の少なくともいずれかを算出し、算出結果に基づいて前記シグネチャ候補に対する評価を行うことを説明した。

さらに、本実施の形態では、
前記ネットワーク管理装置は、
複数のネットワーク監視装置に接続され、
前記ネットワーク管理装置は、更に、
前記複数のネットワーク監視装置のそれぞれから、それぞれのネットワーク監視装置で生成されたシグネチャ候補を受信するシグネチャ候補受信部を有し、
前記シグネチャ候補送信部は、
前記シグネチャ候補受信部により受信されたシグネチャを前記複数のネットワーク監視装置に対して送信することを説明した。

実施の形態２．
実施の形態１に示した構成（図１）は広範囲なネットワークに複数のＩＤＳセンサ部２を配置し、ＩＤＳ管理部１がそれらを集中管理する形態を示したが、小規模なネットワークに適した別の構成として、ＩＤＳ管理部１とＩＤＳセンサ部２を１つの装置で実現してもよい。

図１２は、ＩＤＳ管理部１とＩＤＳセンサ部２を１つの装置で実現したＩＤＳ管理センサ部１００（ネットワーク管理装置）の構成例を示す。
ＩＤＳ管理センサ部１００は、実施の形態１においてＩＤＳセンサ部２に含まれていたシグネチャ候補生成部８とネットワーク侵入検知部９（ネットワーク監視部）を備える。更に、ＩＤＳ管理センサ部１００は、実施の形態１においてＩＤＳ管理部１に含まれていたシグネチャ候補評価部４、ホスト感染監視情報受信部１０４（異常感知通知受信部）、シグネチャ候補表データベース５（シグネチャ候補格納部）、アラート表データベース６、ホスト感染監視表データベース７を備える。
それぞれの要素の動作は、実施の形態１で示したものと同様である。
また、ＩＤＳ管理センサ部１００は、例えば、図１４のハードウェアで構成されている。

次に、本実施の形態に係るＩＤＳ管理センサ部１００の動作例を図１３を参照して説明する。
先ず、ネットワーク侵入検知部９が、シグネチャ候補を用いてネットワークを監視する（Ｓ１３０１）（ネットワーク監視ステップ）。このネットワークの監視は、実施の形態１でＩＤＳセンサ部２のネットワーク侵入検知部９が行っていたものと同じ手法で行われる。なお、ネットワークの監視に用いるシグネチャ候補はシグネチャ候補生成部８が生成し、シグネチャ候補評価部４がシグネチャ候補表データベース５に登録しているものである。シグネチャ候補生成部８は、実施の形態１のＩＤＳセンサ部２のシグネチャ候補生成部８と同様に、ネットワークトラヒックを監視し、シグネチャの候補を生成する。
次に、ネットワーク侵入検知部９が、シグネチャ候補に合致する文字列を抽出したかどうかを判断し（Ｓ１３０２）（ネットワーク監視ステップ）、シグネチャ候補に合致する文字列を検出した場合には、ネットワーク侵入検知部９は当該文字列が含まれたパケットの送信元ホストを特定する（Ｓ１３０３）（ネットワーク監視ステップ）。また、ネットワーク侵入検知部９は、実施の形態１と同様な検知アラート（図７）を生成し、シグネチャ候補評価部４に通知する。
次に、シグネチャ候補評価部４が、アラート表データベース６のアラート表のエントリに、ネットワーク侵入検知部９が生成した検知アラートを追記する（Ｓ１３０４）。
次に、ホスト感染監視情報受信部１０４が、端末エージェント部３から、ホスト感染監視情報（図８）を受信する（Ｓ１３０５）（異常感知通知受信ステップ）。
次に、シグネチャ候補評価部４が、受信したホスト感染監視情報をホスト感染監視表データベース７のホスト感染監視表（図８）に登録する（Ｓ１３０６）。
なお、Ｓ１３０１〜Ｓ１３０６の処理は、図１３に示す順序通りでなくてもよい。つまり、ネットワーク侵入検知部９によるネットワークの監視と、端末エージェント部３からのホスト感染監視情報の送信は連動しておらず、それぞれ独立に行われることから、Ｓ１３０１〜Ｓ１３０６の処理はかならずしも図１３の順序通りにはならない。
次に、シグネチャ候補評価部４は、検知アラートの件数、ホスト感染監視表の件数が閾値に達したか否かを判断し（Ｓ１３０７）、閾値に達していない場合は、Ｓ１３０１〜Ｓ１３０６の処理を繰り返し、閾値に達している場合は、Ｓ１３０８の処理を行う。
検知アラートの件数、ホスト感染監視表の件数が閾値に達している場合は、シグネチャ候補評価部４は、各シグネチャ候補の誤検知率、検知漏れ率を算出する（Ｓ１３０８）（シグネチャ候補評価ステップ）。
次に、シグネチャ候補評価部４は、算出した誤検知率、検知漏れ率と、それぞれの閾値とを比較し、各シグネチャ候補の正当性を評価する（Ｓ１３０９）（シグネチャ候補評価ステップ）。
そして、誤検知率、検知漏れ率が閾値以下のシグネチャ候補は正式なシグネチャとして登録される。

このように本実施の形態によれば、シグネチャ候補の生成、ネットワーク侵入検知、シグネチャ候補の評価を一つの装置で行うことから、小規模なネットワークにおいても、ホワイトリストをメンテナンスする必要がなく、また、運用管理者による判断を必要とせずに、シグネチャの候補の正当性を自動的に評価できる。このため、小規模なネットワークでも、運用上の負担が少なく、また、迅速に、誤検知の少ないシグネチャを生成できる。

以上のように、本実施の形態では、監視対象ネットワークに含まれる複数の端末装置と通信を行うネットワーク管理装置（ＩＤＳ管理センサ部）であって、
端末装置に異常を発生させるデータパターンの検出のためのシグネチャ候補を格納するシグネチャ候補格納部と、
前記シグネチャ候補を用いて前記監視対象ネットワークを監視し、前記シグネチャ候補に合致するデータパターンを検出した際に、検出したデータパターンの流通に関係のある端末装置を特定するネットワーク監視部と、
前記複数の端末装置のうち何らかの異常を感知した異常感知端末装置から、当該異常感知端末装置の識別情報を示す異常感知通知を受信する異常感知通知受信部と、
前記ネットワーク監視部により特定された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき、前記シグネチャ候補に対する評価を行うシグネチャ候補評価部とを有するネットワーク管理装置（ＩＤＳ管理センサ部）を説明した。

また、本実施の形態では、
前記シグネチャ候補評価部は、
前記ネットワーク監視部により検出されたデータパターンの検出数と前記異常感知通知受信部により受信された異常感知通知の受信数がそれぞれの閾値を上回った際に、前記ネットワーク監視部により特定された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき前記シグネチャ候補の誤検知率及び検知漏れ率の少なくともいずれかを算出し、算出結果に基づいて前記シグネチャ候補に対する評価を行うことを説明した。

また、本実施の形態では、
前記ネットワーク管理装置は、更に、
前記監視対象ネットワークを監視して、シグネチャ候補を生成するシグネチャ生成部を有し、
前記シグネチャ格納部は、
前記シグネチャ候補生成部により生成されたシグネチャ候補を格納することを説明した。

以上、説明したように、実施の形態１、２では、ソフトウェアプログラムがシグネチャ候補の配布、検知アラートの収集、ホスト感染監視情報の収集、シグネチャ候補の正当性の評価の処理を行うため、これらの処理を実行するためのハードウェアたる新たな専用装置等を創作しなくとも、汎用のコンピュータや既存のネットワーク・システムとそのソフトウェアとを用いて、シグネチャ候補の配布、検知アラートの収集、ホスト感染監視情報の収集、シグネチャ候補の正当性の評価の処理を実現する専用装置を創作したのと同様な結果が得られるのであるから、この実施の形態のソフトウェアの開発は、自然法則を利用した技術的創作である。すなわち、この実施の形態のＩＤＳ管理部１又はＩＤＳ管理センサ部１００（ネットワーク管理装置）の実現は、経済法則ではないし、人為的取決めでもないし、人間の精神活動でもなく、自然法則を利用した技術的創作である。

実施の形態１、２に示したＩＤＳ管理部１又はＩＤＳ管理センサ部１００（ネットワーク管理装置）は、単体のコンピュータプログラムを含んで実現できるものである。このコンピュータプログラムは、ネットワーク侵入検知というセキュリティ分野で使用されるためにプログラムされるものであるが、プログラムされたコンピュータシステムは、物理的な製品として具現化された装置の特徴を有しており、自然法則を利用した技術的創作に該当するものである。

実施の形態３．
実施の形態１及び２では、シグネチャ候補評価部は、シグネチャ候補の正確性を、アラート情報とホスト感染監視情報を下にした相関判定を行うことよって評価している（例えば図３のＳ１２の処理）。
実施の形態１及び２では、検知件数を尺度としたシグネチャ候補の評価を行っていたが、本実施の形態では、感染度を評価要素に加えた手法について説明する。
なお、本実施の形態に係るシステム構成は、実施の形態１又は２のシステム構成と同様であり、具体的には図２又は図１２に示す構成と同様である。
また、ハードウェア構成についても、図１４に示した構成と同様である。

まず前提に立ち戻ると、相関判定の基本的な考え方は、以下の２条件を満たすものである。
１）特徴文字列の送信元ホストに感染兆候が認められる。
２）感染兆候のないホストからの該当文字列の送信が認められない。
これらは、つまり、以下の２つのルールと解釈できる。
Ｒｕｌｅ１：アラート表に存在する数が多いシグネチャ候補ほど、正確性の高いシグネチャ候補である。
Ｒｕｌｅ２：感染兆候が認められるエントリが多いシグネチャ候補ほど、正確性の高いシグネチャ候補である。
Ｒｕｌｅ１とＲｕｌｅ２を両方とも満たすものを、正式なシグネチャとして最終的に選出する。

次に、Ｒｕｌｅ１、Ｒｕｌｅ２を定量的に評価するための指標を決定する。
Ｒｕｌｅ１の指標：シグネチャ候補別のアラートの発生端末台数。
Ｒｕｌｅ２の指標：シグネチャ候補に関連したアラート発生端末のホスト感染度の平均。
本実施の形態では、この指標に基づいて、シグネチャ候補の適合性を算出する。

本実施の形態では、Ｒｕｌｅ１の発生端末台数、Ｒｕｌｅ２のホスト感染度をあらかじめ指定した閾値と比較し、閾値以上のものを、以下の手順により算出する。
図１５を用いて、手順を説明する。
先ず、上記指標を算出するためのベースデータの作成を行う。
なお、図１５は、実施の形態１の構成（図７）において、シグネチャ候補の評価において感染度を適用する場合のＩＤＳ管理部１の動作例を示すフローチャートである。

先ず、実施の形態１の図１１において説明したように、ＩＤＳ管理部１では、各ＩＤＳセンサ部２からシグネチャ候補生成通知を受信した（Ｓ１５０１）後、Ｓ１１０２〜Ｓ１１０４に示した処理を経て、検知アラートを受信するとともに、シグネチャ候補に対するアラート表（以下、単にアラート表ともいう）のエントリに検知アラートを追記する（Ｓ１５０２）。
また、実施の形態１と同様に、ＩＤＳ管理部１は、ホスト感染監視情報を受信し、ホスト感染監視表に登録する（Ｓ１５０３）。
この時点で、例えば、図１６に示すアラート表、及び図１７に示すホスト感染監視表が作成される。

図１６に示すアラート表は、図７に示す「更新されたアラート表」から「センサ７０６」の項目を省略したものである。
なお、図１６では、説明用に、発信元ホストのＩＰアドレスの横にアルファベットを付記しているが、実際の運用では、ＩＰアドレスのみで管理される。
図１６に示すように、アドレス「１９２．１６８．０．１００」には（Ａ）を付記し、「１９２．１６８．１０．１」には（Ｂ）を付記し、「１９２．１６８．０．１００」には（Ｃ）を付記している。また、後述する図１７に示す「１９２．１６８．０．１１０」には（Ｄ）を付記している。
また、図１６において連番６と連番７の間を区切っているが、これは後述する集計単位（集計周期）の区切りを説明するためであり、図１６の例では３０分を集計単位としている。

図１７に示すホスト感染監視表は、図８に示す「ホスト感染監視表」から「詳細」の項目を省略し、「感染の可能性」及び「信頼度」の項目を追加したものである。
「感染の可能性」及び「信頼度」は、ホスト感染監視情報受信部１０４で追加された項目である。ホスト感染監視情報受信部１０４では、「発生時刻」及び「端末」の項目から構成されるホスト感染監視情報に対して「感染の可能性」及び「信頼度」を解析し、解析結果を付加する。
なお、この「感染の可能性」及び「信頼度」は、ホスト（端末）における異常の原因がワーム感染である確率を示している。つまり、連番１では、異常の原因として、ワーム感染の可能性があり、ワームに感染している確率（信頼度）が０．７であることを示している（信頼度は、最大で１）。他方、連番４では、異常の原因として、ワーム感染の可能性はなく、ワームに感染していない確率（信頼度）が１であることを示している。なお、連番４では、感染の可能性：なし、信頼度：１としているが、代わりに、感染可能性：あり、信頼度：０としてもよい。
この「感染の可能性」及び「信頼度」は、端末における異常の原因が端末に対する攻撃（ワーム）である確率を示しており、攻撃確率値に対応する。
また、図１７でも、説明用に、ＩＰアドレスの横にアルファベットを付記している。

なお、ホスト感染監視情報受信部１０４は、感染の信頼度を、例えば、以下の手順で生成する。なお、以下の説明は、信頼度の生成手順の例を示しており、他の手順にて生成してもよい。
（１）一般的に、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）にワームが感染したとき、ワームはＰＣのレジストリ情報を書き換える、システムファイルが変更される、不正なパケットが大量に送信される等の活動を行う。このような挙動を特徴別に分類し、その分類を軸とする多次元ベクトル空間を生成する。
（２）既存ワームに感染したときの端末の挙動を観測し、その特徴を抽出する。
この作業を何度も繰り返し、特徴を学習する。
（３）学習によって抽出された特徴を定量的なパラメータ（変更のあったレジストリの数、送信・受信データ量等）で表現し、（１）の空間にマッピングすると、○○ワームのときはこの範囲、△△ワームはこの範囲という風に多次元空間上での範囲（図示すると楕円のイメージ）が定まってくる。
ここまでは、判定のための事前準備である。
そして、ある事象が起ったときに、その端末がワームに感染しているかどうかの判別は、その端末から抽出された特徴が、空間上の学習で定めた範囲に含まれるかどうかで決まる。
タイプＡのワームの特徴を現す範囲の中心に近いほど、タイプＡのワームに感染している可能性（＝信頼性）が高く、中心から離れているほど感染可能性（＝信頼度）は低いと考える。
つまり、中心からの距離が０（中心そのもの）は信頼度１、離れれば離れるほど信頼度は低くなるため、距離と反比例する。

あるＩＰアドレスを持つ端末Ａが感染しているかどうかの判別を行う手順を説明する。
（４）端末Ａの挙動を、上記の（２）と同じパラメータに落とし込み、多次元空間のどこかにマッピングする。
（５）このマッピングされた位置と中心までの距離を計算する（計算ロジックは、例えば、マハラノビスの平方距離という手法を用いる）。
（６）さらに、計算した距離から、端末Ａがそのグループに属する確率を計算する。この確率を信頼度として採用する。
（距離１の感染確率が０．９だからといって、距離２は０．４５という風に単純な反比例にはならない。確率の計算には、例えば、統計学上のカイ２乗分布を使用する。）

次に、図１５において、シグネチャ候補評価部４は、図１６のアラート表から情報を集約し、図１８に示すシグネチャ評価テーブルとし、このシグネチャ評価テーブルをアラートに関するベースデータに格納する（Ｓ１５０４）。
具体的には、アラート表からシグネチャ候補番号に関するエントリを抽出し、シグネチャ評価テーブルに保存する。シグネチャ候補番号とアラート発生端末（発信元ホスト）のＩＰアドレスを主キーとして、アラート初回発生時刻、アラート最終発生時刻、アラート回数（シグネチャ候補によるデータパターンの検出回数）を登録する。
従って、同一端末からのアラートでも関連するシグネチャ候補番号が異なる場合や、逆に同じシグネチャ候補番号に関連したアラートでも発生端末が異なる場合は、別のエントリとして登録する。
集約作業は周期的に行われ、前回収集した時刻を覚えておき、次にアラート表にアクセスするときは、前回収集した時刻以降のエントリのみを読み出す。
前述したように、集約作業は、図１６及び図１８の例では、３０分を単位に行われ、図１８の例では、２００６／１２／２５ １０：０１から１０：３０の３０分を対象にしており、図１６の連番１〜６を集約した結果である。
例えば、図１６の連番１の候補番号（２）及びＩＰアドレス（１９２．１６８．０．１００（Ａ））は、連番２、４においても共通するため、図１８のシグネチャ評価テーブルにおいては、図１６の連番１、２、４を集約し、連番１にて、アラート初回発生時刻：１０：０２、アラート最終発生時刻：１０：１５、アラート回数：３としている。
なお、図１８でも、説明用にＩＰアドレスの横にアルファベットを付記している。

次に、シグネチャ候補評価部４は、ホスト感染監視表（図１７）から情報を集約し、ホスト感染度を算出し、シグネチャ評価テーブル（図１８）にホスト感染度を平均感染度として追記する（Ｓ１５０５）。
シグネチャ評価テーブルに平均感染度が追記されたものを、シグネチャ管理表という。図１９は、シグネチャ管理表の例である。
ステップ１５０５では、シグネチャ候補評価部４は、上記アラート表からの情報集約の後、シグネチャ評価テーブル（図１８）に存在するＩＰアドレスに対して、ホスト感染監視表（図１７）の端末ＩＰアドレスを検索し、同じＩＰアドレスを持つエントリを抽出し、各エントリの信頼度を集約して感染度を算出し、シグネチャ評価テーブルの平均感染度の項目に保存する。
個々のＩＰアドレスが対象とする抽出の範囲は、判定時刻が、アラート初回発生時刻を一定時間遡った時刻（「アラート初回発生時刻」−「あらかじめ定めた一定時間」）から、アラート最終発生時刻に出力された時刻までに含まれるエントリとする。その抽出範囲に含まれるエントリの数をカウントし、感染の有無を確認する。
抽出範囲に該当ＩＰアドレスが存在し、その中の一つでも「感染あり」の結果が含まれている場合には、感染度を次式により計算する。
（感染可能性ありエントリの信頼度の合計 ＋ 感染可能性なしエントリの（１−信頼度）の合計）÷抽出範囲に含まれるエントリ
例えば、上記の「あらかじめ定めた一定時間」を２０分とした場合、図１８の連番１では、「アラート初回発生時刻」−「あらかじめ定めた一定時間」＝１０：０１−００：２０＝０９：４１となる。このため、抽出範囲は、０９：４１〜１０：１５となる。
そして、図１７のホスト感染監視表においては、連番１、３、５のレコードが、ＩＰアドレスが一致し、また、抽出範囲に含まれることになる。
このため、連番１、３、５の信頼度を集計し、平均をとることにより、平均感染度：０．８が導かれる（（０．７＋０．９＋０．８）÷３＝０．８）。
また、図１８の連番４も連番１と同じＩＰアドレスであり、図１７の連番１、３、５とＩＰアドレスと一致しており、また、時間的な条件にも合致するので、同様に平均官鮮度：０．８が導かれる。
また、図１７に示すホスト感染監視表にある１９２．１６８．０．１１０（Ｄ）は、図１６のアラート表にないため、図１８のシグネチャ評価テーブルにエントリは存在せず、信頼度の集約は必要ない（アラート検知漏れに相当）。
抽出範囲に、該当ＩＰアドレスを持つエントリが存在しない場合、または存在するエントリに「感染なし」の結果しか存在しないエントリは、シグネチャ評価テーブルの平均感染度に０を格納する。
例えば、図１８に示すシグネチャ評価テーブルの１９２．１６８．０．２００（Ｃ）は、ホスト感染監視表には含まれないため、平均感染度は０になる（アラート誤検知に相当）。
以上の手順により、シグネチャ評価テーブルに平均感染度が追加され、シグネチャ管理表となる。
なお、平均感染度は、ＩＰアドレスが共通する信頼度を集約したものであり、信頼度とともに平均感染度も、端末に対する攻撃の確率を示す攻撃確率値として捉えることができる。

次に、シグネチャ候補評価部４は、シグネチャ評価表（図１９）からＲｕｌｅ１とＲｕｌｅ２の指標を算出し、閾値と比較する。
まず、Ｒｕｌｅ１の指標である、シグネチャ候補番号別のアラートの発生端末台数を集計する。
シグネチャ管理表に含まれるシグネチャ候補番号別のＩＰアドレスの個数、つまりシグネチャ候補番号＝Ｎを持つエントリの数をカウントする（Ｓ１５０６）。
例えば、図１９のシグネチャ候補番号：２については、２つのエントリがあり、対象となる端末ＩＰアドレスの個数（異常感知端末装置の個数）は２つとなる。

次に、シグネチャ候補評価部４は、このカウント値を予め設定されている閾値と比較し、閾値以上のカウント値を持つシグネチャ候補番号に関してのみ、相関判定を行う。
ここで言う相関とは、シグネチャ候補と感染の関連性のことである。
Ｒｕｌｅ２の指標を算出し、算出値を閾値との比較することにより、相関判定を行う。

Ｒｕｌｅ２の算出では、シグネチャ候補評価部４は、個々のシグネチャ候補番号に関するホスト感染度（評価値）を計算する（Ｓ１５０７）。
具体的には、同一のシグネチャ候補番号の感染度をアラート発生件数で重み付けし、平均を取る。
あるシグネチャ候補の感染度は、次式で算出される。
｛（該当端末に関する平均感染度×その端末に発生したアラートの件数）の端末合計｝÷そのシグネチャ候補に関するアラート発生件数の合計
例えば、図１９に示すシグネチャ評価テーブルから、シグネチャ候補番号：２の感染度は、連番１の平均感染度とアラート回数、連番２の平均感染度とアラート回数を用いて、（０．８×３＋０×１）÷（３＋１）＝ ０．６となる。
次に、シグネチャ候補評価部４は、算出した感染度を、予め定めた閾値と比較し、閾値以上の感染度を持つシグネチャ候補番号を、Ｒｕｌｅ２を満たす正確性の高いシグネチャ候補として選出する（Ｓ１５０８）。
予め定めた閾値が０．９の場合、図１９の例では、候補番号２のシグネチャ候補は採用されない。

なお、以上の図１５は、実施の形態１の構成において感染度を用いた場合の動作フローを説明しており、実施の形態２の構成に感染度を用いる場合のＩＤＳ管理センサ部の動作フローは図２０に示す通りである。
図２０では、Ｓ２００１〜Ｓ２００３が、図１３のＳ１３０１〜Ｓ１３０６と同じ処理である。また、Ｓ２００４〜Ｓ２００８は、図１５のＳ１５０４〜Ｓ１５０８と同じ処理である。

以上のように、本実施の形態では、シグネチャ候補の評価に感染度という尺度を用いることによって、単なる件数による比較に比べて、正確性の高いシグネチャ候補を選出することが可能である。

以上、本実施の形態では、実施の形態１の構成を用いた場合に、シグネチャ候補評価部は、ホスト感染監視情報受信部（異常感知通知受信部）から、一つ以上の異常感知端末装置の識別情報を含み異常感知端末装置の識別情報ごとに異常感知端末装置における異常の原因がそれぞれの異常感知端末装置に対する攻撃である確率を攻撃確率値として示すホスト感染監視情報（異常感知通知）を入力し、ホスト感染監視情報に示される異常感知端末装置の識別情報とシグネチャ候補に対する検知アラート（データパターン検知通知）に示される端末装置の識別情報とを比較し、ホスト感染監視情報に示される異常感知端末装置の識別情報と一致する識別情報が検知アラートに含まれている場合に、一致する識別情報が検知アラートに含まれている異常感知端末装置の攻撃確率値に基づき、シグネチャ候補に対する評価を行うことを説明した。

また、本実施の形態では、シグネチャ候補評価部は、検知アラート受信部（データパターン検知通知受信部）から、一つ以上の端末装置の識別情報を含み端末装置の識別情報ごとにシグネチャ候補によるデータパターンの検出回数が示される検知アラートを入力し、ホスト感染監視情報に示される異常感知端末装置の識別情報と一致する識別情報が検知アラートに含まれている場合に、一致する識別情報が検知アラートに含まれている異常感知端末装置の攻撃確率値と当該異常感知端末装置の識別情報に一致する識別情報に対して検知アラートにおいて示されているデータパターンの検出回数とに基づき評価値を算出し、算出した評価値と当該評価値に対する閾値とを比較して前記シグネチャ候補に対する評価を行うことを説明した。

また、本実施の形態では、シグネチャ候補評価部は、ホスト感染監視情報に示される異常感知端末装置の識別情報と検知アラートに示される端末装置の識別情報とを比較し、異常感知通知に示される異常感知端末装置の識別情報と一致する識別情報が検知アラートに含まれている場合に、一致する識別情報が検知アラートに含まれている異常感知端末装置の個数を判定し、判定した異常感知端末装置の個数と異常感知端末装置の個数に対する閾値とを比較してシグネチャ候補に対する評価を行うことを説明した。

また、本実施の形態では、実施の形態２の構成を用いた場合に、シグネチャ候補評価部は、ホスト感染監視情報受信部（異常感知通知受信部）から、一つ以上の異常感知端末装置の識別情報を含み異常感知端末装置の識別情報ごとに異常感知端末装置における異常の原因がそれぞれの異常感知端末装置に対する攻撃である確率を攻撃確率値として示すホスト感染監視情報（異常感知通知）を入力し、ホスト感染監視情報に示される異常感知端末装置の識別情報とネットワーク侵入検知部により特定された端末装置の識別情報とを比較し、ホスト感染監視情報に示される異常感知端末装置の識別情報と一致する識別情報がネットワーク侵入検知部により特定されている場合に、一致する識別情報がネットワーク侵入検知部により特定されている異常感知端末装置の攻撃確率値に基づき、シグネチャ候補に対する評価を行うことを説明した。

また、本実施の形態では、シグネチャ候補評価部は、ネットワーク侵入検知部から、一つ以上の端末装置の識別情報と端末装置の識別情報ごとにシグネチャ候補によるデータパターンの検出回数が示される検知アラート（データパターン検知通知）を入力し、ホスト感染監視情報に示される異常感知端末装置の識別情報と検知アラートに示される端末装置の識別情報とを比較し、ホスト感染監視情報に示される異常感知端末装置の識別情報と一致する識別情報が検知アラートに含まれている場合に、一致する識別情報が検知アラートに含まれている異常感知端末装置の攻撃確率値と当該異常感知端末装置の識別情報に一致する識別情報に対して検知アラートにおいて示されているデータパターンの検出回数とに基づき評価値を算出し、算出した評価値と当該評価値に対する閾値とを比較してシグネチャ候補に対する評価を行うことを説明した。

また、本実施の形態では、シグネチャ候補評価部は、ホスト感染監視情報に示される異常感知端末装置の識別情報と一致する識別情報が検知アラートに含まれている場合に、一致する識別情報が検知アラートに含まれている異常感知端末装置の個数を判定し、判定した異常感知端末装置の個数と異常感知端末装置の個数に対する閾値とを比較してシグネチャ候補に対する評価を行うことを説明した。

実施の形態１に係るネットワークのシステム構成例を示す図。 実施の形態１に係るＩＤＳ管理部、ＩＤＳセンサ部、端末エージェント部の構成例を示す図。 実施の形態１に係るＩＤＳ管理部、ＩＤＳセンサ部、端末エージェント部の動作例を示す図。 実施の形態１に係るシグネチャ候補生成通知の例を示す図。 実施の形態１に係るシグネチャ候補表のエントリ例を示す図。 実施の形態１に係るシグネチャ候補配布通知の例を示す図。 実施の形態１に係る検知アラートの例及びアラート表の例を示す図。 実施の形態１に係るホスト感染監視情報の例及びホスト感染監視表の例を示す図。 実施の形態１に係るシグネチャ候補と送信元ホストの対応付けの例を示す図。 実施の形態１に係るシグネチャ候補の正当性の評価例を示す図。 実施の形態１に係るＩＤＳ管理部の動作例を示すフローチャート図。 実施の形態２に係るＩＤＳ管理センサ部、端末エージェント部の構成例を示す図。 実施の形態２に係るＩＤＳ管理センサ部の動作例を示すフローチャート図。 実施の形態１に係るＩＤＳ管理部、ＩＤＳセンサ部、端末のハードウェア構成例を示す図。 実施の形態３に係るＩＤＳ管理部の動作例を示すフローチャート図。 実施の形態３に係るアラート表の例を示す図。 実施の形態３に係るホスト感染監視表の例を示す図。 実施の形態３に係るシグネチャ評価テーブルの例を示す図。 実施の形態３に係るシグネチャ管理表の例を示す図。 実施の形態３に係るＩＤＳ管理センサ部の動作例を示すフローチャート図。

符号の説明

１ ＩＤＳ管理部、２ ＩＤＳセンサ部、３ 端末エージェント部、４ シグネチャ候補評価部、５ シグネチャ候補表データベース、６ アラート表データベース、７ ホスト感染監視表データベース、８ シグネチャ候補生成部、９ ネットワーク侵入検知部、１０ ホスト感染監視部、１１ シグネチャ候補生成通知、１２ シグネチャ候補配布通知、１３ 検知アラート、１４ ホスト感染監視情報、１００ ＩＤＳ管理センサ部、１０１ シグネチャ候補生成通知受信部、１０２ シグネチャ候補配布通知送信部、１０３ 検知アラート受信部、１０４ ホスト感染監視情報受信部、２０１ シグネチャ候補生成通知送信部、２０２ シグネチャ候補配布通知受信部、２０３ 検知アラート送信部、３０１ ホスト感染監視情報送信部。

Claims (16)

1. 監視対象ネットワークに含まれる複数の端末装置と、前記監視対象ネットワークを監視する監視装置と通信を行うネットワーク管理装置であって、
   端末装置に異常を発生させるデータパターンの検出のためのシグネチャ候補を前記監視装置に対して送信するシグネチャ候補送信部と、
   前記監視装置から、前記監視装置が前記シグネチャ候補を用いて検出したデータパターンの流通に関係のある端末装置の識別情報を通知するデータパターン検知通知を受信するデータパターン検知通知受信部と、
   前記複数の端末装置のうち何らかの異常を感知した異常感知端末装置から、当該異常感知端末装置の識別情報を示す異常感知通知を受信する異常感知通知受信部と、
   データパターン検知通知に示された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき、前記シグネチャ候補に対する評価を行うシグネチャ候補評価部とを有することを特徴とするネットワーク管理装置。
2. 前記シグネチャ候補評価部は、
   前記データパターン検知通知受信部により受信されたデータパターン検知通知の受信数と前記異常感知通知受信部により受信された異常感知通知の受信数がそれぞれの閾値を上回った際に、データパターン検知通知に示された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき前記シグネチャ候補の誤検知率及び検知漏れ率の少なくともいずれかを算出し、算出結果に基づいて前記シグネチャ候補に対する評価を行うことを特徴とする請求項１に記載のネットワーク管理装置。
3. 前記ネットワーク管理装置は、
   複数のネットワーク監視装置に接続され、
   前記ネットワーク管理装置は、更に、
   前記複数のネットワーク監視装置のそれぞれから、それぞれのネットワーク監視装置で生成されたシグネチャ候補を受信するシグネチャ候補受信部を有し、
   前記シグネチャ候補送信部は、
   前記シグネチャ候補受信部により受信されたシグネチャを前記複数のネットワーク監視装置に対して送信することを特徴とする請求項１に記載のネットワーク管理装置。
4. 監視対象ネットワークに含まれる複数の端末装置と通信を行うネットワーク管理装置であって、
   端末装置に異常を発生させるデータパターンの検出のためのシグネチャ候補を格納するシグネチャ候補格納部と、
   前記シグネチャ候補を用いて前記監視対象ネットワークを監視し、前記シグネチャ候補に合致するデータパターンを検出した際に、検出したデータパターンの流通に関係のある端末装置を特定するネットワーク監視部と、
   前記複数の端末装置のうち何らかの異常を感知した異常感知端末装置から、当該異常感知端末装置の識別情報を示す異常感知通知を受信する異常感知通知受信部と、
   前記ネットワーク監視部により特定された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき、前記シグネチャ候補に対する評価を行うシグネチャ候補評価部とを有することを特徴とするネットワーク管理装置。
5. 前記シグネチャ候補評価部は、
   前記ネットワーク監視部により検出されたデータパターンの検出数と前記異常感知通知受信部により受信された異常感知通知の受信数がそれぞれの閾値を上回った際に、前記ネットワーク監視部により特定された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき前記シグネチャ候補の誤検知率及び検知漏れ率の少なく
   ともいずれかを算出し、算出結果に基づいて前記シグネチャ候補に対する評価を行うことを特徴とする請求項４に記載のネットワーク管理装置。
6. 前記ネットワーク管理装置は、更に、
   前記監視対象ネットワークを監視して、シグネチャ候補を生成するシグネチャ生成部を有し、
   前記シグネチャ格納部は、
   前記シグネチャ候補生成部により生成されたシグネチャ候補を格納することを特徴とする請求項４に記載のネットワーク管理装置。
7. 監視対象ネットワークに含まれる複数の端末装置と、前記監視対象ネットワークを監視する監視装置と通信を行うネットワーク管理方法であって、
   端末装置に異常を発生させるデータパターンの検出のためのシグネチャ候補を前記監視装置に対して送信するシグネチャ候補送信ステップと、
   前記監視装置から、前記監視装置が前記シグネチャ候補を用いて検出したデータパターンの流通に関係のある端末装置の識別情報を通知するデータパターン検知通知を受信するデータパターン検知通知受信ステップと、
   前記複数の端末装置のうち何らかの異常を感知した異常感知端末装置から、当該異常感知端末装置の識別情報を示す異常感知通知を受信する異常感知通知受信ステップと、
   データパターン検知通知に示された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき、前記シグネチャ候補に対する評価を行うシグネチャ候補評価ステップとを有することを特徴とするネットワーク管理方法。
8. 監視対象ネットワークに含まれる複数の端末装置と通信を行うネットワーク管理方法であって、
   端末装置に異常を発生させるデータパターンの検出のためのシグネチャ候補を用いて前記監視対象ネットワークを監視し、前記シグネチャ候補に合致するデータパターンを検出した際に、検出したデータパターンの流通に関係のある端末装置を特定するネットワーク監視ステップと、
   前記複数の端末装置のうち何らかの異常を感知した異常感知端末装置から、当該異常感知端末装置の識別情報を示す異常感知通知を受信する異常感知通知受信ステップと、
   前記ネットワーク監視ステップにより特定された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき、前記シグネチャ候補に対する評価を行うシグネチャ候補評価ステップとを有することを特徴とするネットワーク管理方法。
9. 監視対象ネットワークに含まれる複数の端末装置と、前記監視対象ネットワークを監視する監視装置と通信を行うコンピュータに、
   端末装置に異常を発生させるデータパターンの検出のためのシグネチャ候補を前記監視装置に対して送信するシグネチャ候補送信処理と、
   前記監視装置から、前記監視装置が前記シグネチャ候補を用いて検出したデータパターンの流通に関係のある端末装置の識別情報を通知するデータパターン検知通知を受信するデータパターン検知通知受信処理と、
   前記複数の端末装置のうち何らかの異常を感知した異常感知端末装置から、当該異常感知端末装置の識別情報を示す異常感知通知を受信する異常感知通知受信処理と、
   データパターン検知通知に示された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき、前記シグネチャ候補に対する評価を行うシグネチャ候補評価処理とを実行させることを特徴とするプログラム。
10. 監視対象ネットワークに含まれる複数の端末装置と通信を行うコンピュータに、
    端末装置に異常を発生させるデータパターンの検出のためのシグネチャ候補を用いて前
    記監視対象ネットワークを監視し、前記シグネチャ候補に合致するデータパターンを検出した際に、検出したデータパターンの流通に関係のある端末装置を特定するネットワーク監視処理と、
    前記複数の端末装置のうち何らかの異常を感知した異常感知端末装置から、当該異常感知端末装置の識別情報を示す異常感知通知を受信する異常感知通知受信処理と、
    前記ネットワーク監視処理により特定された端末装置の識別情報と異常感知通知に示された異常感知端末装置の識別情報とに基づき、前記シグネチャ候補に対する評価を行うシグネチャ候補評価処理とを実行させることを特徴とするプログラム。
11. 前記シグネチャ候補評価部は、
    前記異常感知通知受信部から、一つ以上の異常感知端末装置の識別情報を含み異常感知端末装置の識別情報ごとに異常感知端末装置における異常の原因がそれぞれの異常感知端末装置に対する攻撃である確率を攻撃確率値として示す異常感知通知を入力し、
    前記異常感知通知に示される異常感知端末装置の識別情報と前記データパターン検知通知に示される端末装置の識別情報とを比較し、
    前記異常感知通知に示される異常感知端末装置の識別情報と一致する識別情報が前記データパターン検知通知に含まれている場合に、一致する識別情報が前記データパターン検知通知に含まれている異常感知端末装置の攻撃確率値に基づき、前記シグネチャ候補に対する評価を行うことを特徴とする請求項１に記載のネットワーク管理装置。
12. 前記シグネチャ候補評価部は、
    前記データパターン検知通知受信部から、一つ以上の端末装置の識別情報を含み端末装置の識別情報ごとに前記シグネチャ候補によるデータパターンの検出回数が示されるデータパターン検知通知を入力し、
    前記異常感知通知に示される異常感知端末装置の識別情報と一致する識別情報が前記データパターン検知通知に含まれている場合に、一致する識別情報が前記データパターン検知通知に含まれている異常感知端末装置の攻撃確率値と当該異常感知端末装置の識別情報に一致する識別情報に対して前記データパターン検知通知において示されているデータパターンの検出回数とに基づき評価値を算出し、算出した評価値と当該評価値に対する閾値とを比較して前記シグネチャ候補に対する評価を行うことを特徴とする請求項１１に記載のネットワーク管理装置。
13. 前記シグネチャ候補評価部は、
    前記異常感知通知に示される異常感知端末装置の識別情報と前記データパターン検知通知に示される端末装置の識別情報とを比較し、
    前記異常感知通知に示される異常感知端末装置の識別情報と一致する識別情報が前記データパターン検知通知に含まれている場合に、一致する識別情報が前記データパターン検知通知に含まれている異常感知端末装置の個数を判定し、判定した異常感知端末装置の個数と異常感知端末装置の個数に対する閾値とを比較して前記シグネチャ候補に対する評価を行うことを特徴とする請求項１に記載のネットワーク管理装置。
14. 前記シグネチャ候補評価部は、
    前記異常感知通知受信部から、一つ以上の異常感知端末装置の識別情報を含み異常感知端末装置の識別情報ごとに異常感知端末装置における異常の原因がそれぞれの異常感知端末装置に対する攻撃である確率を攻撃確率値として示す異常感知通知を入力し、
    前記異常感知通知に示される異常感知端末装置の識別情報と前記ネットワーク監視部により特定された端末装置の識別情報とを比較し、
    前記異常感知通知に示される異常感知端末装置の識別情報と一致する識別情報が前記ネットワーク監視部により特定されている場合に、一致する識別情報が前記ネットワーク監視部により特定されている異常感知端末装置の攻撃確率値に基づき、前記シグネチャ候補に対する評価を行うことを特徴とする請求項４に記載のネットワーク管理装置。
15. 前記シグネチャ候補評価部は、
    前記ネットワーク監視部から、一つ以上の端末装置の識別情報と端末装置の識別情報ごとに前記シグネチャ候補によるデータパターンの検出回数が示されるデータパターン検知通知を入力し、
    前記異常感知通知に示される異常感知端末装置の識別情報と前記データパターン検知通知に示される端末装置の識別情報とを比較し、
    前記異常感知通知に示される異常感知端末装置の識別情報と一致する識別情報が前記データパターン検知通知に含まれている場合に、一致する識別情報が前記データパターン検知通知に含まれている異常感知端末装置の攻撃確率値と当該異常感知端末装置の識別情報に一致する識別情報に対して前記データパターン検知通知において示されているデータパターンの検出回数とに基づき評価値を算出し、算出した評価値と当該評価値に対する閾値とを比較して前記シグネチャ候補に対する評価を行うことを特徴とする請求項１４に記載のネットワーク管理装置。
16. 前記シグネチャ候補評価部は、
    前記異常感知通知に示される異常感知端末装置の識別情報と一致する識別情報が前記データパターン検知通知に含まれている場合に、一致する識別情報が前記データパターン検知通知に含まれている異常感知端末装置の個数を判定し、判定した異常感知端末装置の個数と異常感知端末装置の個数に対する閾値とを比較して前記シグネチャ候補に対する評価を行うことを特徴とする請求項１５に記載のネットワーク管理装置。

Images