JP2008011008A - 不正アクセス防止システム - Google Patents

Abstract

【課題】サービスの稼動性を低下させることなく、効果的に不正アクセスの検知及び防止をすることができる常時稼動型の不正アクセス防止システムを提供する。
【解決手段】ネットワーク内のトラフィックを監視し、任意のネットワークセグメントに含まれるコンピュータに対する不正アクセスを任意の条件に基づいて検知する手段と、検知した不正アクセスにおけるアクセス元識別情報、アクセス先識別情報、サービス識別情報及びプロトコル情報等を含む不正アクセス情報をファイアウォールに送信する手段とを備えたＩＤＳサーバと、前記ＩＤＳサーバから受信した不正アクセス情報に基づき、当該不正アクセスを遮断するためのフィルタリングルールを生成する手段と、生成したフィルタリングルールに基づきトラフィックに対してフィルタリング処理を行う手段とを備えたファイアウォールとを有するシステム。
【選択図】図１

Description

本発明は、外部ネットワークに接続されたコンピュータシステムに対する不正アクセスを検知し防止するシステムに関し、特に、不正アクセスが検知された場合にコンピュータシステムを停止させることなく対処を行うことができる常時稼動型の不正アクセス防止システムに関するものである。

インターネットに接続されたコンピュータシステムは、サーバ等の脆弱性を狙って攻撃や侵入を企図する不正アクセスの脅威に晒されており、近年その被害がますます深刻なものとなっている。このような不正アクセスを検知、防止、遮断すべく、外部ネットワークとのゲートウェイ装置として通信データを監視・制御するファイアウォール（ＦＷ）や、内部ネットワークに流れるデータをモニタして不正アクセスデータを検知するＩＤＳ（Intrusion Detecting System）などが利用されている。また、ＩＤＳにＦＷの機能を追加し、内部ネットワークに流れるデータから不正アクセスデータを検知し当該アクセスを遮断するＩＰＳ（Intrusion Prevention System）も利用されている。

特許文献１には、ファイアウォール装置及びおとり装置を備え、ファイアウォール装置において不審パケットとされたパケットをおとり装置に送信し、おとり装置において攻撃の検知を行うことにより、ＳＳＬ等の通信路暗号化を施された不正アクセスデータを検知可能とする技術が記載されている。

特許文献２には、サーバコンピュータ及びファイアウォールを備え、外部端末が侵入により取得可能なダミーデータをサーバコンピュータに記憶しておき、ファイアウォールにおいてダミーデータの通過を監視することにより、不正侵入を検出する技術が記載されている。

特許文献３には、各サーバ等に接続された通信制限部を制御する通信制御部を備え、通信制御部において不正アクセスが検知された場合に、当該不正アクセスを遮断するための通信規則を生成し各通信制限部に適用する通信制御方法が記載されている。
特開２００６−０６７６０５号公報 特開２００５−２８４５２３号公報 特開２００５−２６８８５６号公報

しかしながら、上記した従来の不正アクセスの検知・防止技術には、以下のような問題点がある。
（１）ＩＤＳ等により不正アクセスが検知されると、被害の拡大を防止するため、内部サーバの稼動を停止したり、ファイアウォールにより通信を遮断したりするため、サービスの稼動性が低下してしまう。
（２）ＩＤＳ等では一定のルールに基づき不正アクセスデータを検知するが、正常な通信データを不正アクセスデータとして誤検知してしまうと、安定したサービス提供を行うことができない。例えば、特許文献１に記載の技術では、正常パケットまでもがおとり装置に捕獲されてしまうと、サービス提供の妨げとなってしまう。
（３）外部ネットワークとのゲートウェイ装置として設置されるファイアウォールやＩＰＳ等は、全トラフィックに対して監視、フィルタリング等の処理を行わなければならず、高負荷となってしまう。例えば、特許文献２に記載の技術では、ファイアウォールが全トラフィックのフィルタリング処理とダミーデータの監視とを行わねばならず、ファイアウォールは非常に高負荷となっている。
（４）ネットワーク構成が複雑である場合、不正アクセスを検知したとしても、問題となっている箇所を適切に切り分けて対処することができない。例えば、特許文献３に記載の技術では、単独の通信制限部が不正アクセス検知と多数の通信制限部の制御とを行うが、不正アクセスを検知しても、その問題箇所を切り分けて対処することはできない。

本発明は、このような実情に鑑みてなされたものであり、サービスの稼動性を低下させることなく、効果的に不正アクセスの検知及び防止をすることができる常時稼動型の不正アクセス防止システムを提供しようとするものである。

上記解決課題に鑑みて鋭意研究の結果、本発明者は、ネットワークの限られた箇所を監視対象とするＩＤＳサーバと、このＩＤＳサーバにより検知された不正アクセスのみを遮断するファイアウォールとを用いた最小限の構成により、不正アクセスを効果的に検知し遮断することができる下記のような不正アクセス防止システムを発明した。

すなわち、本発明は、ＩＤＳサーバとファイアウォールとを備える不正アクセス防止システムであって、前記ＩＤＳサーバは、ネットワーク内のトラフィックを自動監視し、当該トラフィックから任意のコンピュータ又は任意のネットワークセグメントに含まれるコンピュータに対する不正アクセスを任意の条件に基づいて検知する不正アクセス検知手段と、前記検知した不正アクセスにおけるアクセス元識別情報、アクセス先識別情報、サービス識別情報及びプロトコル情報のうち少なくとも１つを含む不正アクセス情報をファイアウォールに送信する不正アクセス情報送信手段とを有し、前記ファイアウォールは、前記ＩＤＳサーバから受信した不正アクセス情報に基づき、当該不正アクセスを遮断するためのフィルタリングルールを生成するフィルタリングルール生成手段と、前記フィルタリングルールに基づきトラフィックに対してフィルタリング処理を行うフィルタリング手段とを有することを特徴とする不正アクセス防止システムを提供するものである。

本発明の不正アクセス防止システムにおいて、前記ファイアウォールのフィルタリング手段は、前記フィルタリングルール生成手段により生成した後一定期間に限り、当該フィルタリングルールに基づくフィルタリング処理を行うことを特徴とする。これにより、不正アクセスがなくなった後もフィルタリングが継続されるのを防ぐことができ、また、誤検知等による影響を最小限に抑えることができる。

本発明の不正アクセス防止システムにおいて、前記ＩＤＳサーバの不正アクセス情報送信手段は、前記検知した不正アクセスにおけるアクセス元ＩＰアドレス、ポート番号及びプロトコルを含む不正アクセス情報を前記ファイアウォールに送信することを特徴とする。このように、ファイアウォールにおいて単純なフィルタリングルールを追加するだけで、不正アクセスを効果的に防止することができるので、ファイアウォール及びＩＤＳサーバが高負荷になることはない。

本発明の不正アクセス防止システムにおいて、前記ＩＤＳサーバの不正アクセス検知手段は、前記コンピュータに対するアクセス頻度に基づいて、不正アクセスを検知することを特徴とする。このように、ＩＤＳサーバにおいては簡易な判断条件に基づき不正アクセスの疑いが大きいアクセスを検出するので、ＩＤＳサーバが高負荷となるのを防ぐことができる。

本発明の不正アクセス防止システムにおいて、前記ＩＤＳサーバの不正アクセス検知手段は、前記コンピュータとアクセス元端末との間のコネクション確立要求及び応答の対応関係に基づいて、不正アクセスを検知することを特徴とする。これにより、不正アクセスに対してサーバ等のコンピュータが応答してしまった場合でも、不正アクセスを検知することが可能である。

以上、説明したように、本発明によれば、不正アクセス検知後にネットワーク全体のサービスの稼動性を低下させることなく不正アクセスに適切に対処することができ、不正アクセス誤検知による影響が最小限に抑えられ、不正アクセスを遮断するファイアウォール等が高負荷とならず、不正アクセスによる問題箇所を適切に切り分けることができる、常時稼動型の不正アクセス防止システムが提供される。

以下、添付図面を参照しながら、本発明の不正アクセス防止システムを実施するための最良の形態を詳細に説明する。図１〜図５は、本発明の実施の形態を例示する図であり、これらの図において、同一の符号を付した部分は同一物を表わし、基本的な構成及び動作は同様であるものとする。

図１は、本発明の不正アクセス防止システムが適用されるネットワークの構成を概略的に示す図である。図１に示すネットワークは、ＷＷＷサーバ101、ＤＮＳサーバ102、メールサーバ103、ＩＤＳサーバ110、ファイアウォール120、ルータ130、サーバ群141,142、ホストコンピュータ群151,152,153、デフォルトゲートウェイ160から構成されている。

図１に示すネットワークセグメントＡはいわゆるＤＭＺ（DeMilitarized Zone：非武装ゾーン）であり、デフォルトゲートウェイ160を介してインターネット等の外部ネットワークに接続されるとともに、ファイアウォール120を介して内部のネットワークセグメントＢに接続されている。ネットワークセグメントＡには、外部向けのＷＷＷやＤＮＳ等がサーバ群141,142として設置される。図１に示すネットワークセグメントＢには、内部向けのＷＷＷサーバ101、ＤＮＳサーバ102、メールサーバ103、ＩＤＳサーバ110が設置されている。ネットワークセグメントＢは、ルータ130を介してネットワークセグメントＣに接続されている。ネットワークセグメントＣには、クライアント端末等のホストコンピュータ群151,152,153が設置されている。

ＩＤＳサーバ110は、ネットワークセグメントＢ内を流れるトラフィックを解析し、不正アクセスを検知する。ここで、不正アクセスとは、サーバプログラム等の脆弱性をついた侵入や、ＤｏＳ攻撃、アクセス元詐称、ウイルス拡散を行うアクセスであり、ＩＤＳサーバ110は、例えば、あて先ＩＰアドレス、ポート番号、アクセス時間、アクセス頻度、コネクション状況などに基づき、所定の不正アクセスパターンに該当するものを不正アクセスとして検知する。

ファイアウォール120は、ネットワークセグメントＢ及びＣからネットワークセグメントＡや外部ネットワークに向かうトラフィックと、ネットワークセグメントＡや外部ネットワークからネットワークセグメントＢ及びＣに向かうトラフィックとを監視し、所定のルールに従ってトラフィックの許可／遮断をするフィルタリング処理を行う。フィルタリング処理は、例えば、あて先ＩＰアドレス、送信元ＩＰアドレス、ポート番号、送信方向等がフィルタリングルールに合致するかどうかをパケット毎に判断し、合致しないパケットを破棄するなどして行う。

尚、本発明の不正アクセス防止システムでは、ＩＤＳサーバ110及びファイアウォール120が協働して、検知された不正アクセスに対する防御を行うが、この際の動作に関しては、後に詳しく説明する。

図２は、図１に示すＩＤＳサーバ110の内部構成を詳細に示す図である。図２において、ＩＤＳサーバ110は、処理演算を行うＣＰＵ200、データを格納するメモリ210、ネットワークを流れるトラフィックを解析するトラフィック解析処理部220、ファイアウォール120に対して検知された不正アクセスを通知する不正アクセス通知制御部230、設定用シリアルコンソールＩ／Ｏ240、通信インタフェース250を備えている。

ＩＤＳサーバ110のメモリ210は、監視対象範囲や不正アクセス検知条件等を定義するシグネチャを格納するシグネチャ格納部211、通信インタフェース250から取得されるトラフィックデータを一時的に格納するトラフィックデータ格納バッファ212、ファイアウォール120に対する不正アクセス通知を一時的に格納する不正アクセス通知格納バッファ213、ＩＤＳサーバ110の基本的動作を制御するためのカーネルスケジューリングを格納するカーネルスケジューリング格納部214を有している。

ＩＤＳサーバ110のトラフィック解析処理部220は、トラフィックデータ格納バッファ212に格納されているトラフィックデータに対してシグネチャ格納部211に格納されたシグネチャを適用するシグネチャ解析部221、上記トラフィックデータから監視対象のサーバ等へのアクセス頻度を解析するアクセス頻度解析部222、上記トラフィックデータからコネクションの確立要求／応答を対応付けて解析するコネクション解析部223、これらの解析部221〜223における解析ログを蓄積し管理するログ管理部224を有している。

図３は、図１に示すファイアウォール120の内部構成を詳細に示す図である。図３において、ファイアウォール120は、処理演算を行うＣＰＵ300、データを格納するメモリ310、ファイアウォール120を通過するパケットのフィルタリングを行うパケットフィルタリング処理部320、ＩＤＳサーバ110からの不正アクセス通知を受信する不正アクセス通知受信部330、設定用シリアルコンソールＩ／Ｏ340、通信インタフェース350を備えている。

ファイアウォール120のメモリ310は、ＩＤＳサーバ110から不正アクセス通知受信部330を通じて受信される不正アクセス通知データを格納する不正アクセス通知格納部311、パケットフィルタリング処理部320におけるパケット遮断時間を記憶するパケット遮断タイマ312、パケットフィルタリング処理部320が適用するフィルタリングルールを格納するフィルタリングルール格納部313、ファイアウォール120の基本的動作を制御するためのカーネルスケジューリングを格納するカーネルスケジューリング格納部314を有している。

ファイアウォール120のパケットフィルタリング処理部320は、フィルタリングルール格納部313に格納されたフィルタリングルールに基づき、ファイアウォール120を通過するパケットに対して、あて先ポート番号によるフィルタリングを行うポートフィルタリング部321、プロトコルタイプによるフィルタリングを行うプロトコルフィルタリング部322、送信元ＩＰアドレスフィルタリング部323、これらのフィルタリング部321〜323におけるフィルタリング処理のログを蓄積し管理するログ管理部324を有している。

次に、図１に示すネットワークにおける本発明の不正アクセス防止システムの動作について説明する。このネットワーク構成では、ＩＤＳサーバ110の監視対象は、ＷＷＷサーバ101、ＤＮＳサーバ102、メールサーバ103となる。

ＩＤＳサーバ110のトラフィック解析処理部220は、通信インタフェース250から取得されるトラフィックデータを監視し、下記（１）〜（３）のいずれかに該当するアクセスを不正アクセスとして検知する。
（１）シグネチャ解析部221によりシグネチャに違反する（不正である）アクセスが発見された場合。
（２）アクセス頻度解析部222により監視対象のサーバ等に対する異常な頻度のアクセスが発見された場合。
（３）コネクション解析部223によりコネクションの確立要求／応答の対応が異常であるアクセスが発見された場合。

トラフィック解析処理部220が不正アクセスを検知すると、当該トラフィックデータに含まれるアクセス元ＩＰアドレス及びポート番号、アクセス対象ＩＰアドレス及びポート番号、プロトコルタイプ、検知時刻、不正アクセスの種類（上記いずれの場合に該当するか等）などを含む不正アクセス通知データを生成し、メモリ210の不正アクセス通知格納バッファ213に格納する。不正アクセス通知制御部230は、この不正アクセス通知データを、ファイアウォール120に送信する。

ファイアウォール120の不正アクセス通知受信部330は、ＩＤＳサーバ110からの不正アクセスデータ通知を受信し、メモリ310の不正アクセス通知格納部311に格納するとともに、当該不正アクセス通知の内容に応じたフィルタリングルールを生成し、フィルタリングルール格納部313に格納する。例えば、当該不正アクセス通知に含まれる送信元ＩＰアドレス、あて先ポート番号、プロトコルタイプ等に該当するパケットを遮断するフィルタリングルールを追加すればよい。また、不正アクセス通知受信部330は、上記フィルタリングルールを適用する期間を、不正アクセスの種類などに応じて設定し、適用期間の終了時刻をパケット遮断タイマ312に格納する。また、不正アクセス通知受信部330は、パケット遮断タイマ312を監視し、適用期間が終了したフィルタリングルールをフィルタリングルール格納部313から削除する。

以上のように、本発明の不正アクセス防止システムでは、ＩＤＳサーバ110とファイアウォール120とが協働して、ネットワーク内を流れるトラフィックから不正アクセスを検知し、この不正アクセスを防止するための措置を迅速かつ適切に行うことができる。ＩＤＳサーバ110では、ネットワーク全体を監視対象とするのではなく、シグネチャとして定義される特定の監視対象範囲や不正アクセス検知条件等に限定して局所的に不正アクセスの検知を行うので、構成が複雑なネットワークやＤＨＣＰなどを用いて動的に運用されるネットワークに適用しても、検知精度が低下したり検知処理が高負荷になったりすることはない。

また、ファイアウォール120では、不正アクセス通知により特定されるトラフィックのみを遮断するので、不正アクセスが検知されてもネットワーク全体をサービス停止にすることなく不正アクセスに対処することができる。また、不正アクセスと判断されたトラフィックの遮断は一定期間に限って行うので、誤検知による影響を最小限に抑えることができる。

また、上記のようにＩＤＳサーバ110により限られた範囲で局所的な不正アクセス検知を行うため、従来のように複雑で大規模なネットワーク全体を監視対象とする場合に比べて、不正アクセス対象となったサーバ等を問題箇所として切り分けることが格段に容易となる。

また、図２に示すように、ＩＤＳサーバ110は、イーサネット(登録商標)のＩＮポート及びＯＵＴポートを有する構成であるため、ネットワークの任意の箇所に挟み込むだけで設置することができ、利便性が高い。

さらには、図２及び図３に示すように本発明の不正アクセス防止システムで用いるＩＤＳサーバ110及びファイアウォール120は、必要最小限の機能のみを有していればよく、高い処理負荷がかかることもないため、マイクロサーバ等の簡易なハードウェア構成とすることができ、不正アクセス防止にかかるコストを低減することができる。

尚、本発明の不正アクセス防止システムにおけるＩＤＳサーバ110及びファイアウォール120の設置箇所は、図１に例示するものに限られない。特に、ＩＤＳサーバ110については、監視対象範囲に応じてネットワークの任意の箇所に設置すればよい。例えば、図４に示すように、メールサーバ103の直下に設置することにより、メールサーバ103のみを監視対象とすることも可能である。

以上、本発明の不正アクセス防止システムについて、具体的な実施の形態を示して説明したが、本発明はこれらに限定されるものではない。当業者であれば、本発明の要旨を逸脱しない範囲内において、上記各実施形態における不正アクセス防止システムの構成及び機能に様々な変更・改良を加えることが可能である。

本発明の不正アクセス防止システムは、図１〜３に示すように、コンピュータのＣＰＵ、メモリ、補助記憶装置等のハードウェア資源上に構築されたＯＳ、アプリケーション、データベース、ネットワークシステム等によって実現されるものであり、不正アクセスの検知及び遮断というソフトウェア処理が上記のハードウェア資源を用いて具体的に実現されるものであるから、自然法則を利用した技術的思想たる発明に該当するものであり、ソフトウェア産業の分野において利用することができるものである。

本発明の不正アクセス防止システムが適用されるネットワークの構成を概略的に示す図である。 図１に示すＩＤＳサーバの内部構成を詳細に示す図である。 図１に示すファイアウォールの内部構成を詳細に示す図である。 本発明の不正アクセス防止システムの他の適用例を示す図である。

符号の説明

101 ＷＷＷサーバ
102 ＤＮＳサーバ
103 メールサーバ
110 ＩＤＳサーバ
120 ファイアウォール
130 ルータ
210 メモリ
220 トラフィック解析処理部
230 不正アクセス通知制御部
240 設定用シリアルコンソールＩ／Ｏ
250 通信インタフェース
310 メモリ
320 パケットフィルタリング処理部
330 不正アクセス通知受信部
340 設定用シリアルコンソールＩ／Ｏ
350 通信インタフェース

Claims (5)

1. ＩＤＳサーバとファイアウォールとを備える不正アクセス防止システムであって、
   前記ＩＤＳサーバは、
   ネットワーク内のトラフィックを自動監視し、当該トラフィックから任意のコンピュータ又は任意のネットワークセグメントに含まれるコンピュータに対する不正アクセスを任意の条件に基づいて検知する不正アクセス検知手段と、
   前記検知した不正アクセスにおけるアクセス元識別情報、アクセス先識別情報、サービス識別情報及びプロトコル情報のうち少なくとも１つを含む不正アクセス情報をファイアウォールに送信する不正アクセス情報送信手段とを有し、
   前記ファイアウォールは、
   前記ＩＤＳサーバから受信した不正アクセス情報に基づき、当該不正アクセスを遮断するためのフィルタリングルールを生成するフィルタリングルール生成手段と、
   前記フィルタリングルールに基づきトラフィックに対してフィルタリング処理を行うフィルタリング手段とを有することを特徴とする不正アクセス防止システム。
2. 前記ファイアウォールのフィルタリング手段は、前記フィルタリングルール生成手段により生成した後一定期間に限り、当該フィルタリングルールに基づくフィルタリング処理を行うことを特徴とする請求項１に記載の不正アクセス防止システム。
3. 前記ＩＤＳサーバの不正アクセス情報送信手段は、前記検知した不正アクセスにおけるアクセス元ＩＰアドレス、ポート番号及びプロトコルを含む不正アクセス情報を前記ファイアウォールに送信することを特徴とする請求項１又は２に記載の不正アクセス防止システム。
4. 前記ＩＤＳサーバの不正アクセス検知手段は、前記コンピュータに対するアクセス頻度に基づいて、不正アクセスを検知することを特徴とする請求項１から３のいずれか１項に記載の不正アクセス防止システム。
5. 前記ＩＤＳサーバの不正アクセス検知手段は、前記コンピュータとアクセス元端末との間のコネクション確立要求及び応答の対応関係に基づいて、不正アクセスを検知することを特徴とする請求項１から４のいずれか１項に記載の不正アクセス防止システム。