JP2007306186A

JP2007306186A - ホームネットワーク監視方法、ホームネットワーク監視システム

Info

Publication number: JP2007306186A
Application number: JP2006131153A
Authority: JP
Inventors: Nagahiko Namikado; 長彦南角
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2006-05-10
Filing date: 2006-05-10
Publication date: 2007-11-22

Abstract

【課題】ユーザが面倒な設定を行う必要がなく、ホームネットワークのセキュリティを確保可能なホームネットワーク監視方法を提供する。
【解決手段】ユーザ宅１内のホームネットワーク１１と公衆ネットワーク３０との間で送受信されるトラヒックパターンを監視する監視プローブ１２Ｂを内蔵した監視プローブ付ホームゲートウェイ１２を公衆ネットワーク３０との間に接続し、あらかじめ定めた一定時間ごとのトラヒックパターンとあらかじめ記憶している正常時における正常トラヒックパターンとの一致を監視して、異常状態の発生を監視する。また、公衆ネットワーク３０に接続したセキュリティ監視分析サーバ２１が、ホームネットワーク１１ごとのトラヒックパターンに基づいて各ホームネットワーク１１において送受信される情報をフィルタリングすべきフィルタリング規則を決定して、当該ホームネットワーク１１の監視プローブ１２Ｂに送信して設定させる。
【選択図】図１

Description

本発明は、ホームネットワーク監視方法、ホームネットワーク監視システムに関する。

種々の端末機器がホームネットワークで繋がれ、公衆ネットワークを経由して遠隔から制御する状況になったとき、公衆ネットワークからのウィルス攻撃やなりすまし攻撃など悪意のアタックからの防御すなわちセキュリティ対策が必要となる。

すなわち、従来は、ホームネットワークのセキュリティに関して、端末機器メーカから配布される端末ソフトウェアのバージョンアップによって対応することが一般的である。また、特許文献１の「ネットワークセキュリティシステム及びネットワークセキュリティ管理方法」に記載されているように、ホームネットワークに接続するルータ等でファイアウォールの設定を行い、外部の公衆ネットワークからの悪意のアタックを防止するようにしている。
特開２００４−３０２５３８号公報（第９−１１頁）

しかしながら、前述のような従来の技術では、確実な設定を実施するには、各ユーザは、ネットワークに関する高度な知識が必要であり、通常、完全には防止策が実施できていないのが、現実である。かかる環境下で、ネットワーク関連製品として益々高度化する端末機器を安全に運用するには、ネットワークに関するさらに高度な知識が必要になり、個々のユーザ個人で管理することは不可能な状況となってきている。

本発明の目的は、契約したユーザのホームネットワークを監視し、ウィルス攻撃やなりすまし攻撃などの悪意のアタックを防御するために、外部の公衆ネットワークとやり取りするトラヒックパターンを自動的にモニタし、モニタしたトラヒックパターンを分析することによって、ユーザは、面倒な設定を行う必要がなく、ネットワークに関する専門的な知識がなくても、ホームネットワークのセキュリティを確保することができる仕組みを簡単に導入することができるホームネットワーク監視方法、ホームネットワーク監視システムを提供することにある。

前述の課題を解決するため、本発明によるホームネットワーク監視方法、ホームネットワーク監視システムは、次のような特徴的な構成を採用している。

（１）ユーザ宅に設置したホームネットワークを公衆ネットワークに接続した環境下で、前記ホームネットワークのセキュリティを監視するホームネットワーク監視方法において、前記ホームネットワークと前記公衆ネットワークとの間で送受信されるトラヒックパターンを監視する監視プローブを、当該ホームネットワークと前記公衆ネットワークとの間に接続し、該トラヒックパターンの異常状態の発生を監視するホームネットワーク監視方法。
（２）上記（１）のホームネットワーク監視方法において、前記トラヒックパターンとして、送受信情報の転送帯域、時間的な転送帯域の変化、トラヒックの種類、接続先の種類、パケットヘッダ情報のうち１ないし複数の情報を少なくとも含むホームネットワーク監視方法。
（３）上記（１）または（２）のいずれかのホームネットワーク監視方法において、前記監視プローブに、前記公衆ネットワークとの間の過去の正常状態におけるトラヒックパターンを正常トラヒックパターンとしてあらかじめ記憶しておき、あらかじめ定めた一定時間ごとに収集されるトラヒックパターンが、記憶されている前記正常トラヒックパターンと一致しているか否かを監視することにより、異常状態の発生を検出するホームネットワーク監視方法。
（４）上記（１）ないし（３）のいずれかのホームネットワーク監視方法において、前記公衆ネットワークに接続され、１ないし複数の前記ホームネットワークのセキュリティ状況を監視し分析するセキュリティ監視分析サーバをさらに備え、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの正常時におけるトラヒックパターンに基づいて、各ホームネットワークにおいて送受信される情報をフィルタリングすべきフィルタリング規則を決定して、該当する各ホームネットワークの前記監視プローブに送信して設定させるホームネットワーク監視方法。
（５）上記（４）のホームネットワーク監視方法において、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの前記フィルタリング規則を決定する際に、当該ホームネットワークの正常時のトラヒックパターンのみならず、１ないし複数の他の前記ホームネットワークにおける正常時のトラヒックパターン、および／または、既発生の他のホームネットワーク被害の情報をも参照して、決定するホームネットワーク監視方法。
（６）上記（１）ないし（３）のいずれかのホームネットワーク監視方法において、前記公衆ネットワークに接続され、１ないし複数の前記ホームネットワークのセキュリティ状況を監視し分析するセキュリティ監視分析サーバをさらに備え、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの正常時におけるトラヒックパターンに基づいて、各ホームネットワークのトラヒックパターンを監視するための監視パターンを生成し、該当する各ホームネットワークの前記監視プローブに送信して設定させるホームネットワーク監視方法。
（７）上記（６）のホームネットワーク監視方法において、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの前記監視パターンを生成する際に、当該ホームネットワークの正常時のトラヒックパターンのみならず、１ないし複数の他の前記ホームネットワークにおける正常時のトラヒックパターン、および／または、既発生の他のホームネットワーク被害の情報をも参照して、生成するホームネットワーク監視方法。
（８）上記（６）または（７）のホームネットワーク監視方法において、前記監視プローブは、あらかじめ定めた一定時間ごとに収集されるトラヒックパターンが、前記セキュリティ監視分析サーバから設定された前記監視パターンと一致しているか否かを監視することにより、異常状態の発生を検出するホームネットワーク監視方法。
（９）上記（３）ないし（８）のいずれかのホームネットワーク監視方法において、前記監視プローブが、トラヒックパターンの異常状態を検出した際に、前記セキュリティ監視分析サーバに異常状態の発生の旨を通知するホームネットワーク監視方法。
（１０）上記（９）のホームネットワーク監視方法において、前記セキュリティ監視分析サーバは、前記監視プローブから異常状態の発生の旨の通知を受信した際に、当該監視プローブのホームネットワークに対する未知のサーバや端末からのアクセスを遮断する、および／または、当該監視プローブに送信していたフィルタリング規則の変更を行うホームネットワーク監視方法。
（１１）上記（１）ないし（１０）のいずれかのホームネットワーク監視方法において、前記ホームネットワークに接続される前記監視プローブが、当該ホームネットワークの関門機能を有するホームゲートウェイに内蔵されるか、あるいは、既設のホームゲートウェイに外部接続されるか、のいずれの形態でも可能であるホームネットワーク監視方法。
（１２）ユーザ宅に設置したホームネットワークを公衆ネットワークに接続した環境下で、前記ホームネットワークのセキュリティを監視するホームネットワーク監視システムにおいて、前記ホームネットワークと前記公衆ネットワークとの間で送受信されるトラヒックパターンを監視する監視プローブを、当該ホームネットワークと前記公衆ネットワークとの間に接続し、該トラヒックパターンの異常状態の発生を監視するホームネットワーク監視システム。
（１３）上記（１２）のホームネットワーク監視システムにおいて、前記トラヒックパターンとして、送受信情報の転送帯域、時間的な転送帯域の変化、トラヒックの種類、接続先の種類、パケットヘッダ情報のうち１ないし複数の情報を少なくとも含むホームネットワーク監視システム。
（１４）上記（１２）または（１３）のホームネットワーク監視システムにおいて、前記監視プローブに、前記公衆ネットワークとの間の過去の正常状態におけるトラヒックパターンを正常トラヒックパターンとしてあらかじめ記憶しておき、あらかじめ定めた一定時間ごとに収集されるトラヒックパターンが、記憶されている前記正常トラヒックパターンと一致しているか否かを監視することにより、異常状態の発生を検出するホームネットワーク監視システム。
（１５）上記（１２）ないし（１４）のホームネットワーク監視システムにおいて、前記公衆ネットワークに接続され、１ないし複数の前記ホームネットワークのセキュリティ状況を監視し分析するセキュリティ監視分析サーバをさらに備え、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの正常時におけるトラヒックパターンに基づいて、各ホームネットワークにおいて送受信される情報をフィルタリングすべきフィルタリング規則を決定して、該当する各ホームネットワークの前記監視プローブに送信して設定させるホームネットワーク監視システム。
（１６）上記（１５）のホームネットワーク監視システムにおいて、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの前記フィルタリング規則を決定する際に、当該ホームネットワークの正常時のトラヒックパターンのみならず、１ないし複数の他の前記ホームネットワークにおける正常時のトラヒックパターン、および／または、既発生の他のホームネットワーク被害の情報をも参照して、決定するホームネットワーク監視システム。
（１７）上記（１２）ないし（１４）のホームネットワーク監視システムにおいて、前記公衆ネットワークに接続され、１ないし複数の前記ホームネットワークのセキュリティ状況を監視し分析するセキュリティ監視分析サーバをさらに備え、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの正常時におけるトラヒックパターンに基づいて、各ホームネットワークのトラヒックパターンを監視するための監視パターンを生成し、該当する各ホームネットワークの前記監視プローブに送信して設定させるホームネットワーク監視システム。
（１８）上記（１７）のホームネットワーク監視システムにおいて、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの前記監視パターンを生成する際に、当該ホームネットワークの正常時のトラヒックパターンのみならず、１ないし複数の他の前記ホームネットワークにおける正常時のトラヒックパターン、および／または、既発生の他のホームネットワーク被害の情報をも参照して、生成するホームネットワーク監視システム。
（１９）上記（１７）または（１８）のホームネットワーク監視システムにおいて、前記監視プローブは、あらかじめ定めた一定時間ごとに収集されるトラヒックパターンが、前記セキュリティ監視分析サーバから設定された前記監視パターンと一致しているか否かを監視することにより、異常状態の発生を検出するホームネットワーク監視システム。
（２０）上記（１４）ないし（１９）のいずれかのホームネットワーク監視システムにおいて、前記監視プローブが、トラヒックパターンの異常状態を検出した際に、前記セキュリティ監視分析サーバに異常状態の発生の旨を通知するホームネットワーク監視システム。
（２１）上記（２０）のホームネットワーク監視システムにおいて、前記セキュリティ監視分析サーバは、前記監視プローブから異常状態の発生の旨の通知を受信した際に、当該監視プローブのホームネットワークに対する未知のサーバや端末からのアクセスを遮断する、および／または、当該監視プローブに送信していたフィルタリング規則の変更を行うホームネットワーク監視システム。
（２２）上記（１２）ないし（２１）のいずれかのホームネットワーク監視システムにおいて、前記ホームネットワークに接続される前記監視プローブが、当該ホームネットワークの関門機能を有するホームゲートウェイに内蔵されるか、あるいは、既設のホームゲートウェイに外部接続されるか、のいずれの形態でも可能であるホームネットワーク監視システム。

本発明のホームネットワーク監視方法、ホームネットワーク監視システムによれば、ホームネットワークセキュリティサービスに加入した各ユーザのホームネットワークにおいて、監視プローブ付ホームゲートウェイを公衆ネットワークと当該ホームネットワークとの間に挿入設置し、設置した該監視付ホームゲートウェイにてトラヒックパターンを学習することによって、正常時のトラヒックパターンを取得しておき、以降、トラヒックパターンの分析結果と正常時のトラヒックパターンやホームネットワークセキュリティサービスの提供元のサーバから送信されてきた監視パターンとの差異を比較することにより、異常を検出する方法を採用しているので、各ユーザは、監視プローブ付のホームゲートウェイを設置するだけで、ネットワークに関する詳細な設定を行うことなく、外部からの悪意のアタックを防止することができる。すなわち、加入者は、加入者自身がネットワークに関する一切の設定を行う必要がなく、安全にネットワークサービスを受けることができる。

以下、本発明によるホームネットワーク監視方法、ホームネットワーク監視システムの好適実施形態例について添付図を参照して説明する。

図１に、本発明によるホームネットワーク監視システムの一構成例を示す。図１に示すように、ホームネットワーク１１を有するユーザ宅１に、ホームネットワーク１１と公衆ネットワーク３０との間に、監視プローブ付ホームゲートウェイ１２を設置する。監視プローブ付ホームゲートウェイ１２は、ホームネットワーク１１と外部の公衆ネットワーク３０との間の関門機能を実現するホームゲートウェイ１２Ａと、ホームネットワーク１１と外部の公衆ネットワーク３０との間でやり取りされるトラヒックパターンを監視する監視プローブ１２Ｂとを備え、ホームゲートウェイ１２Ａをホームネットワーク１１側に、監視プローブ１２Ｂを公衆ネットワーク３０側に接続する。ここで、すでに、ホームネットワーク１１の関門機能を有するホームゲートウェイ１２Ａが構築済みの場合は、監視プローブ１２Ｂのみをホームゲートウェイ１２Ａに外部接続する形で公衆ネットワーク３０側に設置する。

セキュリティ管理者サイト２には、公衆ネットワーク３０に接続されているセキュリティ監視分析サーバ２１が設置されて、公衆ネットワーク３０を介して監視プローブ付ホームゲートウェイ１２から送信されてくる監視結果を分析する。すなわち、セキュリティ監視分析サーバ２１は、加入した各ユーザ宅１のホームネットワーク１１と公衆ネットワーク３０との間のトラヒックパターンを監視する。また、トラヒックパターンを分析して、監視パターンを監視プローブ１２Ｂ側に設定する。監視プローブ１２Ｂから、通常状態とは異なったり、監視パターンとは異なるという異常の通知を受けた場合は、監視プローブ１２Ｂに対し、遠隔から、フィルタリング設定の変更を実施し、公衆ネットワーク３０からの悪意のアタックを防止する。

まず、ホームネットワークセキュリティサービスを提供するセキュリティ管理者は、セキュリティ管理者サイト２に、ホームネットワークセキュリティサービスを提供するセキュリティ監視分析サーバ２１を構築して、ホームネットワークセキュリティサービスを受けたい加入者を募集する。セキュリティ管理者は、募集に応じてホームネットワークセキュリティサービスの契約をした加入者に対して、セキュリティ監視分析サーバ２１との間でセキュリティ関連の情報をやり取りし、ホームネットワーク１１のセキュリティを監視する監視プローブ付ホームゲートウェイ１２を販売あるいはレンタルし、加入者のユーザ宅１のホームネットワーク１１と公衆ネットワーク３０との間に接続する。ここで、契約した加入者が既にホームゲートウェイ１２Ａを導入している場合は、前述したように、監視プローブ付ホームゲートウェイ１２ではなく、監視プローブ１２Ｂのみを販売あるいはレンタルで提供し、設置済みのホームゲートウェイ１２Ａの公衆ネットワーク３０側に外部接続する。

この監視プローブ付ホームゲートウェイ１２の接続または既存のホームゲートウェイ１２Ａへの監視プローブ１２Ｂの接続により、ホームネットワークを監視するホームネットワークセキュリティサービスが提供される状態になる。

次に、図１のホームネットワーク監視システムの動作の一例について、図２、図３のフローチャートを用いて、さらに説明する。図２は、本発明によるホームネットワーク監視システムの初期設定動作の一例を説明するための概略フローチャートである。図３は、本発明によるホームネットワーク監視システムの監視動作の一例を説明するための概略フローチャートである。

なお、図１に示す監視プローブ１２Ｂは、公衆ネットワーク３０に接続され、公衆ネットワーク３０とホームネットワーク１１との間で送受信されるトラヒックパターンのモニタ、トラヒックパターンの記憶、監視結果のセキュリティ監視分析サーバ２１への通知、公衆ネットワーク３０との間で送受信される情報に対するフィルタリングの機能を少なくとも有する。すなわち、監視プローブ１２Ｂは、以下に示すような機能を少なくとも有している。

（１）トラヒックパターンのモニタ
あらかじめ定めた一定時間ごとに、ユーザ宅１のホームネットワーク１１と公衆ネットワーク３０との間で送受信される情報をモニタし、トラフィックパターンとして収集する。トラヒックパターンとは、あらかじめ定めた一定時間ごとのユーザ宅１のホームネットワーク１１と公衆ネットワーク３０との間の情報の送受信状況を示すものであり、送受信情報の転送帯域、時間的な転送帯域の変化、トラヒックの種類（シングルキャスト、マルチキャスト、ブロードキャスト等）、接続先の種類（サーバや端末の種類）、パケットヘッダ情報等のうち１ないし複数の情報を少なくとも含むものである。

（２）トラヒックパターンのセキュリティ監視分析サーバ２１への通知
あらかじめ定めた一定時間ごとに収集したトラヒックパターンを一時記憶するとともに、セキュリティ監視分析サーバ２１へ送信する。

（３）トラヒックパターンの記憶
契約した最初の時点で、あらかじめ定めた一定時間のトラヒックパターンを収集して、当該ユーザ宅１のホームネットワーク１１と公衆ネットワーク３０との間で正常時に送受信される情報を示す正常トラヒックパターンとして記憶する。あるいは、セキュリティ監視分析サーバ２１からトラヒックパターンの監視用として送信されてきた監視パターンを記憶する。

（４）トラヒックパターン一致検出
あらかじめ定めた一定時間ごとに収集されるトラヒックパターンと、記憶されている正常トラヒックパターンあるいは監視パターンとの比較を行い、一致しているか否かを検出する。一致していた場合は、悪意のアタックはなく、正常な情報送受信状態にあるものと判断し、一致していなかった場合は、何らかの悪意のアタックを被っているものとして、セキュリティ監視分析サーバ２１へ異常状態が発生した旨を通知する。

（５）フィルタリング機能
セキュリティ監視分析サーバ２１から設定指示がなされたフィルタリング規則に基づいて、公衆ネットワーク３０との間で送受信される情報（パケット）の破棄等のフィルタリング処理を行う。また、セキュリティ監視分析サーバ２１からのフィルタリング規則の設定変更の指示に基づいて、以降に適用するフィルタリング規則を変更して設定する。

まず、図２のフローチャートを用いて、ホームネットワーク監視システムの初期設定動作の一例を説明する。ユーザがホームネットワークセキュリティサービスの契約をして、ホームネットワークセキュリティサービスが開始されると（ステップＳ１）、加入者のユーザ宅１には、監視プローブ付ホームゲートウェイ１２が設置される（ステップＳ２）。

加入者のユーザ宅１に設置した監視プローブ１２Ｂは、通常状態における正常な情報のやり取りに関する正常トラヒックパターンを収集するために、あらかじめ定めた一定時間の間、当該加入者のユーザ宅１のホームネットワーク１１と公衆ネットワーク３０との間の情報のやり取り結果に関するトラヒックパターンの収集を行い（ステップＳ３）、正常トラヒックパターンとして記憶するとともに（ステップＳ４）、セキュリティ監視分析サーバ２１に送信する（ステップＳ５）。

セキュリティ監視分析サーバ２１では、当該加入者のユーザ宅１の監視プローブ１２Ｂから正常トラヒックパターンを受信すると（ステップＳ１１）、送信されてきたトラヒックパターンを分析して、監視用のトラヒックパターンとなる監視パターンを生成するとともに（ステップＳ１２）、フィルタリング規則を決定し（ステップＳ１３）、当該加入者のユーザ宅１の監視プローブ１２Ｂに該監視パターンと該フィルタリング規則とを返送する（ステップＳ１４）。当該加入者のユーザ宅１の監視プローブ１２Ｂは、セキュリティ監視分析サーバ２１から送信されてきた監視パターンとフィルタリング規則とを記憶することにより、今後の情報のやり取りを監視する状態に初期設定される（ステップＳ６）。

なお、セキュリティ監視分析サーバ２１により決定されるフィルタリング規則については、当該加入者のトラヒックパターン等の情報の他に、１ないし複数の他加入者のトラヒックパターンの分析で得た情報、および／または、既発生の他のホームネットワーク被害の情報等も盛り込んで決定される。監視パターンの生成についても同様である。

また、監視プローブ１２Ｂには、過去の正常動作時におけるパターンとして自律的に収集された正常トラヒックパターンが記憶されており、過去の正常トラヒックパターンあるいはセキュリティ監視分析サーバ２１から送信されてきた監視パターンと異なる状況が検出された場合は、セキュリティ監視分析サーバ２１に対して、異常トラヒックが発生した旨の通知を行うように設定されている。ここで、異常監視用のトラヒックパターンとして、監視プローブ１２Ｂで過去に収集した正常トラヒックパターンとセキュリティ監視分析サーバ２１から送信されてきた監視パターンとの双方を用いる場合について示すが、正常トラヒックパターン、監視パターンのいずれか一方のみを用いるようにしても良い。

次に、図３のフローチャートを用いて、ホームネットワーク監視システムの監視動作の一例を説明する。ユーザ宅１の監視プローブ１２Ｂは、あらかじめ定めた一定時間ごとに、公衆ネットワーク３０との間で送受信されるトラヒックパターンをモニタし（ステップＳ２１）、図２のフローチャートにおいて記憶した正常トラヒックパターンと一致しているか否かを確認する動作を繰り返している（ステップＳ２２）。モニタしたトラヒックパターンが正常トラヒックパターンと一致していない場合（ステップＳ２２のＮＯ）、監視パターンと一致しているか否かをさらに確認し、監視パターンとも一致していない場合は（ステップＳ２３のＮＯ）、異常トラヒックが発生した旨を、不一致情報とともにセキュリティ監視分析サーバ２１へ送信する（ステップＳ２４）。

セキュリティ監視分析サーバ２１では、異常トラヒックが発生した旨をユーザ宅１の監視プローブ１２Ｂから受信すると（ステップＳ３１）、受信した不一致情報に基づいて緊急事態が発生しているか否かを分析して（ステップＳ３２）、緊急事態であれば（ステップＳ３２のＹＥＳ）、当該ユーザから登録されていない未知サーバや未知の端末からの当該ユーザへのアクセスを一切遮断する（ステップＳ３３）。さらに、当該ユーザ宅１の監視プローブ１２Ｂに設定したフィルタリング規則を変更する処理を実施し（ステップＳ３４）、変更したフィルタリング規則を送信する（ステップＳ３５）。

当該ユーザ宅１の監視プローブ１２Ｂは、セキュリティ監視分析サーバ２１からフィルタリングの変更指示を受信すると、その指示に基づいて、フィルタリング規則を更新して記憶し直す（ステップＳ２５）。なお、監視プローブ１２Ｂで、モニタしたトラヒックパターンが正常トラヒックパターンと一致していた場合（ステップＳ２２のＹＥＳ）、あるいは、監視パターンと一致していた場合（ステップＳ２３のＹＥＳ）、公衆ネットワーク３０とのやり取りは正常な状態であり、そのままの状態が継続される。

以上のように、ユーザ宅１のホームネットワーク１１に対して、外部から公衆ネットワーク３０を介して悪意のアタックがあった場合には、最も典型的な例として、ホームネットワーク１１の通信品質の劣化を引き起こさせるような未知のサーバから連続してアクセスがあったりするので、過去の正常状態時の正常トラヒックパターンや監視パターンとの相違が監視プローブ１２Ｂで検知され、異常発生の旨がセキュリティ監視分析サーバ２１のセキュリティ管理者に通知される。

異常発生について緊急を要する場合は、セキュリティ監視分析サーバ２１は、遠隔制御により、当該ホームネットワーク１１への未知のサーバや端末からのアクセスを遮断する、および／または、遠隔制御により、当該ホームネットワーク１１の監視プローブ１２Ｂに設定されているフィルタリング規則の変更措置を行う。

ホームネットワーク１１がウィルスに感染した場合についても、ホームネットワーク１１と公衆ネットワーク３０との間における急激なトラヒック増や、不特定多数の相手先への大量メールの発信、あるいは、公衆ネットワーク３０へのトラヒック品質の劣化等が発生して、通常時の正常トラヒックパターンや監視パターンからの変化が生じるので、かかるトラヒックパターンの変化を検出することにより、ウィルスの感染を把握することが可能となる。而して、未知のサーバや端末からのアクセスを遮断し、ウィルス対策ソフト等によるウィルスの駆除や隔離が実施される。

以上のように、本発明によれば、加入者は、ホームセキュリティサービスを契約さえすれば、自身が面倒な設定を行う必要がなく、安全に、公衆ネットワーク３０を利用したネットワークサービスを受けることができる。すなわち、本発明は、各ユーザのトラヒックパターンを学習することによって、正常時のトラヒックパターンを取得しておき、トラヒックパターンの分析結果と正常時のトラヒックパターンや、あるいは、ホームネットワークセキュリティサービスの提供元のサーバから送信されてきた監視パターンとの差異を比較することにより、異常を検出する方法を採用している。これにより、加入したユーザは、監視プローブ付のホームゲートウェイを、公衆ネットワークとホームネットワークとの間に挿入設置するだけで、詳細な設定を行うことなく、外部からのアタックを防止することができる。

以上、本発明の好適実施例の構成を説明した。しかし、斯かる実施例は、本発明の単なる例示に過ぎず、何ら本発明を限定するものではないことに留意されたい。本発明の要旨を逸脱することなく、特定用途に応じて種々の変形変更が可能であることは、当業者には容易に理解できよう。

本発明によるホームネットワーク監視システムの一構成例を示すネットワーク構成図である。本発明によるホームネットワーク監視システムの初期設定動作の一例を説明するための概略フローチャートである。本発明によるホームネットワーク監視システムの監視動作の一例を説明するための概略フローチャートである。

符号の説明

１ユーザ宅
２セキュリティ管理者サイト
１１ホームネットワーク
１２監視プローブ付ホームゲートウェイ
１２Ａホームゲートウェイ
１２Ｂ監視プローブ
２１セキュリティ監視分析サーバ
３０公衆ネットワーク

Claims

ユーザ宅に設置したホームネットワークを公衆ネットワークに接続した環境下で、前記ホームネットワークのセキュリティを監視するホームネットワーク監視方法において、前記ホームネットワークと前記公衆ネットワークとの間で送受信されるトラヒックパターンを監視する監視プローブを、当該ホームネットワークと前記公衆ネットワークとの間に接続し、該トラヒックパターンの異常状態の発生を監視することを特徴とするホームネットワーク監視方法。
請求項１に記載のホームネットワーク監視方法において、前記トラヒックパターンとして、送受信情報の転送帯域、時間的な転送帯域の変化、トラヒックの種類、接続先の種類、パケットヘッダ情報のうち１ないし複数の情報を少なくとも含むことを特徴とするホームネットワーク監視方法。
請求項１または２のいずれかに記載のホームネットワーク監視方法において、前記監視プローブに、前記公衆ネットワークとの間の過去の正常状態におけるトラヒックパターンを正常トラヒックパターンとしてあらかじめ記憶しておき、あらかじめ定めた一定時間ごとに収集されるトラヒックパターンが、記憶されている前記正常トラヒックパターンと一致しているか否かを監視することにより、異常状態の発生を検出することを特徴とするホームネットワーク監視方法。
請求項１ないし３のいずれかに記載のホームネットワーク監視方法において、前記公衆ネットワークに接続され、１ないし複数の前記ホームネットワークのセキュリティ状況を監視し分析するセキュリティ監視分析サーバをさらに備え、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの正常時におけるトラヒックパターンに基づいて、各ホームネットワークにおいて送受信される情報をフィルタリングすべきフィルタリング規則を決定して、該当する各ホームネットワークの前記監視プローブに送信して設定させることを特徴とするホームネットワーク監視方法。
請求項４に記載のホームネットワーク監視方法において、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの前記フィルタリング規則を決定する際に、当該ホームネットワークの正常時のトラヒックパターンのみならず、１ないし複数の他の前記ホームネットワークにおける正常時のトラヒックパターン、および／または、既発生の他のホームネットワーク被害の情報をも参照して、決定することを特徴とするホームネットワーク監視方法。
請求項１ないし３のいずれかに記載のホームネットワーク監視方法において、前記公衆ネットワークに接続され、１ないし複数の前記ホームネットワークのセキュリティ状況を監視し分析するセキュリティ監視分析サーバをさらに備え、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの正常時におけるトラヒックパターンに基づいて、各ホームネットワークのトラヒックパターンを監視するための監視パターンを生成し、該当する各ホームネットワークの前記監視プローブに送信して設定させることを特徴とするホームネットワーク監視方法。
請求項６に記載のホームネットワーク監視方法において、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの前記監視パターンを生成する際に、当該ホームネットワークの正常時のトラヒックパターンのみならず、１ないし複数の他の前記ホームネットワークにおける正常時のトラヒックパターン、および／または、既発生の他のホームネットワーク被害の情報をも参照して、生成することを特徴とするホームネットワーク監視方法。
請求項６または７に記載のホームネットワーク監視方法において、前記監視プローブは、あらかじめ定めた一定時間ごとに収集されるトラヒックパターンが、前記セキュリティ監視分析サーバから設定された前記監視パターンと一致しているか否かを監視することにより、異常状態の発生を検出することを特徴とするホームネットワーク監視方法。
請求項３ないし８のいずれかに記載のホームネットワーク監視方法において、前記監視プローブが、トラヒックパターンの異常状態を検出した際に、前記セキュリティ監視分析サーバに異常状態の発生の旨を通知することを特徴とするホームネットワーク監視方法。
請求項９に記載のホームネットワーク監視方法において、前記セキュリティ監視分析サーバは、前記監視プローブから異常状態の発生の旨の通知を受信した際に、当該監視プローブのホームネットワークに対する未知のサーバや端末からのアクセスを遮断する、および／または、当該監視プローブに送信していたフィルタリング規則の変更を行うことを特徴とするホームネットワーク監視方法。
請求項１ないし１０のいずれかに記載のホームネットワーク監視方法において、前記ホームネットワークに接続される前記監視プローブが、当該ホームネットワークの関門機能を有するホームゲートウェイに内蔵されるか、あるいは、既設のホームゲートウェイに外部接続されるか、のいずれの形態でも可能であることを特徴とするホームネットワーク監視方法。
ユーザ宅に設置したホームネットワークを公衆ネットワークに接続した環境下で、前記ホームネットワークのセキュリティを監視するホームネットワーク監視システムにおいて、前記ホームネットワークと前記公衆ネットワークとの間で送受信されるトラヒックパターンを監視する監視プローブを、当該ホームネットワークと前記公衆ネットワークとの間に接続し、該トラヒックパターンの異常状態の発生を監視することを特徴とするホームネットワーク監視システム。
請求項１２に記載のホームネットワーク監視システムにおいて、前記トラヒックパターンとして、送受信情報の転送帯域、時間的な転送帯域の変化、トラヒックの種類、接続先の種類、パケットヘッダ情報のうち１ないし複数の情報を少なくとも含むことを特徴とするホームネットワーク監視システム。
請求項１２または１３に記載のホームネットワーク監視システムにおいて、前記監視プローブに、前記公衆ネットワークとの間の過去の正常状態におけるトラヒックパターンを正常トラヒックパターンとしてあらかじめ記憶しておき、あらかじめ定めた一定時間ごとに収集されるトラヒックパターンが、記憶されている前記正常トラヒックパターンと一致しているか否かを監視することにより、異常状態の発生を検出することを特徴とするホームネットワーク監視システム。
請求項１２ないし１４に記載のホームネットワーク監視システムにおいて、前記公衆ネットワークに接続され、１ないし複数の前記ホームネットワークのセキュリティ状況を監視し分析するセキュリティ監視分析サーバをさらに備え、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの正常時におけるトラヒックパターンに基づいて、各ホームネットワークにおいて送受信される情報をフィルタリングすべきフィルタリング規則を決定して、該当する各ホームネットワークの前記監視プローブに送信して設定させることを特徴とするホームネットワーク監視システム。
請求項１５に記載のホームネットワーク監視システムにおいて、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの前記フィルタリング規則を決定する際に、当該ホームネットワークの正常時のトラヒックパターンのみならず、１ないし複数の他の前記ホームネットワークにおける正常時のトラヒックパターン、および／または、既発生の他のホームネットワーク被害の情報をも参照して、決定することを特徴とするホームネットワーク監視システム。
請求項１２ないし１４に記載のホームネットワーク監視システムにおいて、前記公衆ネットワークに接続され、１ないし複数の前記ホームネットワークのセキュリティ状況を監視し分析するセキュリティ監視分析サーバをさらに備え、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの正常時におけるトラヒックパターンに基づいて、各ホームネットワークのトラヒックパターンを監視するための監視パターンを生成し、該当する各ホームネットワークの前記監視プローブに送信して設定させることを特徴とするホームネットワーク監視システム。
請求項１７に記載のホームネットワーク監視システムにおいて、前記セキュリティ監視分析サーバが、前記ホームネットワークごとの前記監視パターンを生成する際に、当該ホームネットワークの正常時のトラヒックパターンのみならず、１ないし複数の他の前記ホームネットワークにおける正常時のトラヒックパターン、および／または、既発生の他のホームネットワーク被害の情報をも参照して、生成することを特徴とするホームネットワーク監視システム。
請求項１７または１８に記載のホームネットワーク監視システムにおいて、前記監視プローブは、あらかじめ定めた一定時間ごとに収集されるトラヒックパターンが、前記セキュリティ監視分析サーバから設定された前記監視パターンと一致しているか否かを監視することにより、異常状態の発生を検出することを特徴とするホームネットワーク監視システム。
請求項１４ないし１９のいずれかに記載のホームネットワーク監視システムにおいて、前記監視プローブが、トラヒックパターンの異常状態を検出した際に、前記セキュリティ監視分析サーバに異常状態の発生の旨を通知することを特徴とするホームネットワーク監視システム。
請求項２０に記載のホームネットワーク監視システムにおいて、前記セキュリティ監視分析サーバは、前記監視プローブから異常状態の発生の旨の通知を受信した際に、当該監視プローブのホームネットワークに対する未知のサーバや端末からのアクセスを遮断する、および／または、当該監視プローブに送信していたフィルタリング規則の変更を行うことを特徴とするホームネットワーク監視システム。
請求項１２ないし２１のいずれかに記載のホームネットワーク監視システムにおいて、前記ホームネットワークに接続される前記監視プローブが、当該ホームネットワークの関門機能を有するホームゲートウェイに内蔵されるか、あるいは、既設のホームゲートウェイに外部接続されるか、のいずれの形態でも可能であることを特徴とするホームネットワーク監視システム。