JP2008193538A - ネットワークへの攻撃監視装置および攻撃証跡管理装置 - Google Patents

Abstract

【課題】
ネットワークの攻撃監視システムにおいて、複数レイヤの攻撃ログから共通するIPアドレスを抽出し、攻撃発信元の特定とその攻撃活動の証跡を保存する装置を提供する。
【解決手段】
攻撃の発信元の特定と攻撃活動の証跡を保存するため、ファイヤウォール（FW）や侵入検知装置（IDS）といったネットワークレイヤにおける攻撃検知システムが出力するログ情報と、迷惑メールフィルタなどのアプリケーションレイヤにおける攻撃検知システムが出力するログ情報を連携させたネットワーク攻撃監視および証跡保存管理装置を実現する。
【選択図】図１

Description

本発明は、ネットワークに接続した電子計算機からなるシステムにおいて、不正侵入や迷惑メール送信などネットワークに発生する攻撃に関わる装置の特定と、攻撃活動の証跡を保存する技術に関する。

インターネットが企業活動におけるインフラとして定着するにつれて、システムへの不正侵入の試みや、迷惑メールの大量送信といったネットワークを通じた攻撃が常態化するようになってきた。近年におけるネットワーク攻撃は、攻撃者の実力誇示を目的とした愉快犯的なものから、営利目的の潜伏型に移行してきており、迅速な対策を行わないと、ネットワーク攻撃の踏み台にされるなど間接的に犯罪に加担してしまう恐れもあり、社会的な信用の失墜にもつながりかねない。

そこで重要になってくるのが、ネットワークを監視して攻撃を素早く検知するシステムであり、さらに攻撃を元から断つために、攻撃活動の把握と証跡の保存を行って攻撃元を特定して対策するシステムも必要になる。

ネットワーク攻撃の検知情報から攻撃活動の把握を行う従来技術として、複数の侵入検知装置（IDS）が出力するログを収集してデータベースに蓄積し、攻撃の時間的な推移をもとに侵入行為パターンを求める方法がある（例えば特許文献１）。また、攻撃の発信元を追跡する従来技術としては、ネットワークを通過するパケットの特徴を記録しておき、侵入を検知した際にそのパケットがどの経路を通過してきたかを追跡する方法がある（例えば特許文献２）
特開２００４−２２０３７３号公報 特開２００３−２９８６５２号公報

しかし上記従来技術では、分析の対象となるのがネットワークレイヤにおける攻撃検知ログや監視ログの時間的、空間的な分析にとどまっており、迷惑メールの大量送信やウイルス送付行為などアプリケーションレイヤを対象とした攻撃に関するログ情報は活用されていない。そのため、攻撃者がネットワークレイヤでの攻撃以外にどのような攻撃活動を行っているかを把握するのは難しい。

本発明は、攻撃の発信元の特定と攻撃活動の証跡を保存するため、ファイヤウォール（FW）やIDSといったネットワークレイヤにおける攻撃検知システムが出力するログ情報と、迷惑メールフィルタなどのアプリケーションレイヤにおける攻撃検知システムが出力するログ情報を連携させたネットワーク攻撃監視および証跡保存管理装置を実現する。

本発明を構成するシステムは、IDSやFWのような複数の不正アクセス検知装置が出力する攻撃ログを収集する機能を有する攻撃ログ収集部と、収集した攻撃ログから攻撃の発信元を抽出する攻撃アドレス抽出部に加え、電子メールの受信装置が迷惑メールと判定したメール受信ログを収集する機能を有する迷惑メールログ収集部と、収集した迷惑メールログからメールの発信元を抽出するメール発信元抽出部からなり、前記攻撃ログと迷惑メールログから共通に検知された発信元IPアドレスを攻撃発信元と判定し、その攻撃発信元IPアドレスの分布を地理上、あるいはアドレスブロック別といった論理空間上に表示することを特徴とする。さらにその攻撃発信元IPアドレスの攻撃活動の履歴を攻撃の証跡として記録する。

すなわち，本発明は，ネットワークに接続された電子計算機からなるシステムにおいて、不正侵入行為と判定されたパケットの発信元を検知する手段と、迷惑メールと判定された電子メールの発信元を検知する手段とを備え、前記２つの手段で共通に検知された発信元のIPアドレスを攻撃発信元と判定する攻撃監視装置を提供する。

さらに，上記攻撃監視装置は，攻撃発信元と判定されたIPアドレスについて、そのIPアドレスと、該IPアドレスを発信元とする攻撃の履歴を保存してもよいし，攻撃発信元と判定されたIPアドレス群の地理上の分布を地図上に表示してもよい。

また，本発明は，攻撃発信元と判定されたIPアドレス群について、アドレスブロックごとの分布をグラフに表示する攻撃証跡管理装置を提供する。

上記態様によれば、IDSやFWのログに加え、各種アプリケーションに記録されたIPアドレス痕跡を集約することで、そのIPアドレスを持つシステムの活動をトレースすることが可能になる。

本発明によれば、攻撃元を特定してパケットを遮断したり、踏み台になっているシステムを検出してネットワークから切り離すなどの対策が可能になる。

以下、本発明の実施の形態について、図面を用いて説明する。なお以降の説明は本発明の一実施形態を示すものであり、本発明の構成や機能その他を制限するものではない。

図１は本実施例で示される装置の構成を表す概略図である。攻撃監視を行うネットワークと外部ネットワークとの境界には、FWやIDSといった不正アクセス検知装置12を備える。監視するネットワークの内部にはメールサーバ13、攻撃監視装置14、攻撃証跡管理装置15を備え、それぞれネットワークを介して接続されている。不正アクセス検知装置は攻撃を検知すると、攻撃ログ出力部121を介して攻撃ログを出力する。メールサーバ13には受信メールから迷惑メールを検知する迷惑メール判定部131を備え、迷惑メールログ出力部132を介して迷惑メール検知ログを出力する。

攻撃監視装置14は、121のログ出力部から出力される攻撃ログを収集する攻撃ログ収集部141と、収集したログから攻撃発信元IPアドレスを抽出する攻撃アドレス抽出部142と、抽出された情報を蓄積する攻撃ログ蓄積部143、および迷惑メール検知ログについても同様の処理を行う迷惑メールログ収集部154、メール発信元抽出部145、迷惑メールログ蓄積部146を備える。さらに両ログ蓄積部に格納されたIPアドレスを検索して、攻撃発信元を判定する攻撃発信元判定部147を備える。

攻撃証跡管理装置15は、攻撃発信元判定部147が攻撃発信元と判定したIPアドレスに関する攻撃活動の履歴を保存する攻撃証跡保存部151、および攻撃発信元の分布状態を視覚的に捉えやすくするための分布地図作成部152、グラフ作成部153を備える。

明示していないが，図１に示す各装置は，CPUと記憶装置を備える一般的な情報処理装置により構成され，各装置において，記憶装置に格納されたプログラムをCPUが実行することにより各処理部が具現化される。

図２は攻撃ログ蓄積部141に格納する攻撃ログ情報の例である。攻撃ログ情報21は、FWやIDSといった不正アクセス検知装置12が攻撃を検知すると、その検知情報を検知日時211、発信元IPアドレス212、検知装置種別213、攻撃内容214に分けて格納する。

図３は迷惑メールログ蓄積部146に格納する迷惑メールログ情報の例である。迷惑メールログ情報31は、検知日時311、発信元IPアドレス312、差出人アドレス313、迷惑メール題名314からなる。なお本図は迷惑メールログ情報の一例に過ぎず、他にも迷惑メール検知に関する情報、例えば到着ホップ数や迷惑メール判定ルーチンの評価値などの情報を含めたりしてもよい。

図４は攻撃証跡保存部151に格納する攻撃証跡情報の例である。攻撃証跡情報41は発信元IPアドレス411と、攻撃や迷惑メール受信を受けた検知日時412、攻撃を受けた装置の種別413、および攻撃や迷惑メールの概要を示した内容214からなる。

図５は不正アクセス検知装置12およびメールサーバ13におけるログ出力の処理手順である。不正アクセス検知装置はネットワークを流れるパケットを監視し、攻撃を検知すると（ステップ501）、攻撃パケットを遮断するとともにパケットヘッダから、そのパケットの送信元IPアドレスを抽出する（ステップ502）。取得した発信元IPアドレスとともに攻撃検知日時と攻撃パターンの内容とを攻撃ログ蓄積部143に格納する（ステップ503）。メールサーバ13についても同様に、メールを受信する待機状態からメールを受信すると（ステップ511）、そのメールが迷惑メールであるかどうかを判定する（ステップ512）。受信メールが迷惑メールと判定された場合には、受信メールのヘッダ情報からメールの発信元IPアドレスを抽出し（ステップ513）、メール受信日時、差出人や題名の情報とともに迷惑メールログ蓄積部146に格納する。

図６は攻撃発信元判定部147の動作を示した処理手順である。攻撃発信元判定部はタイマー等で定期的に起動される（ステップ601）。起動されると、攻撃ログ蓄積部143および迷惑メールログ蓄積部146を検索し、あらかじめ指定されている期間（例えば直近１週間）において、両蓄積部に共通して出現する発信元IPアドレスの数を検索する（ステップ602）。検索されたIPアドレス数が閾値を越えているかどうかを判定し（ステップ603）、閾値を越えていた場合は、そのIPアドレスを攻撃発信元と判定し、両蓄積部から該当する発信元IPアドレスが含まれるレコードを抽出し（ステップ604）、攻撃証跡格納部のフォーマットにデータを変換し（ステップ605）、攻撃証跡保存部151に格納する（ステップ606）。

以上の処理を行うことにより、ネットワークレイヤにおける攻撃活動とアプリケーションレイヤにおける攻撃活動、本実施例においては迷惑メールの送信活動の両方を行っているシステムのIPアドレスの情報とそのシステムの攻撃活動の記録が、攻撃証跡保存部に蓄積されていくことになり、両レイヤに渡って攻撃を行っているシステムの特定が可能になり、さらにインシデント発生時には攻撃者の活動記録を証跡として保存することが可能になる。

さらに本実施例においては、この活動証跡データをもとに、攻撃者の活動や分布を分析者が詳細に把握し、迅速に攻撃の遮断活動やインシデントの深刻度を認識できるように、特定の攻撃発信元IPアドレスにおける攻撃の時間的推移をグラフ表示する機能と、攻撃発信者の地理的な分布と、アドレスブロック分布を表示する機能を備える。

図７は攻撃証跡管理装置15において、グラフ作成部153を介して入出力装置に表示される発信元IPアドレス別表示画面の例である。分析者が特定の攻撃発信元IPアドレス71を選択すると、そのIPアドレスから発信された攻撃の日別の攻撃検知数が棒グラフ72で表示され、該当期間の攻撃の一覧が表形式(73,74)で表示される。この画面により、特定の攻撃者の活動の量と詳細を確認することが可能になるため、攻撃遮断に向けた対策の要否や方法の決定の一助にすることができる。

図９は攻撃発信元IPアドレス群を、図８で例示したIPアドレスと位置情報のマッピングデータを用いて、地理的な分布図として表示した画面の例である。位置情報データ81はIPアドレスのブロック811と、そのIPアドレスを持つシステムの位置情報の対応を記したものであり、本例では位置情報として緯度と経度を用いた例を示している。図９では分布図を示す地図91上に、各レイヤの攻撃ログ情報から検出されたシステムの位置を表示しており、92、93、94の各記号は、それぞれネットワークレイヤの攻撃検知ログから得られたIPアドレス、アプリケーションレイヤの攻撃検知ログから得られたIPアドレス、両レイヤで検知されたIPアドレスを持つシステムの位置を表している。本画面を用いることにより、攻撃者システム、あるいは攻撃者に乗っ取られた踏み台システムの物理ネットワーク上での位置関係と量が一覧して見えるようになるため、ネットワークの切り離しなどの対策を迅速に行うことが可能になる。

図１０は、攻撃発信元IPアドレス群を、IPアドレスの各オクテットをもとに3次元座標上に表示した画面の例である。表示設定操作パネル102において、IPアドレスが持つ４つのオクテットのうち3つの値をXYZの各軸にマッピングして表示することにより、同じアドレスブロックをもつ攻撃発信元システムが平面上、あるいは直線上に配置されて見えるため、どのアドレスブロックに攻撃者システムや踏み台システムが存在するかの把握の一助となる。これにより、不正アクセス検知装置や迷惑メール判定部における接続拒絶リストの更新などの対策を容易に行うことが可能になる。

本実施例によれば、複数のレイヤに渡る攻撃活動を行っているシステムのIPアドレスの情報とそのシステムの攻撃活動の記録が、攻撃証跡保存部に蓄積されることで、複数レイヤに渡って攻撃を行っているシステムの特定が可能になり、インシデント発生時には攻撃者の活動記録を証跡として保存することができる。さらに証跡情報を利用して、IPアドレスを絞った活動詳細と時系列表示や、攻撃者システムの地理的分布およびアドレスブロック分布を表示することで、分析者による攻撃活動の量や詳細の把握を可能にし、インシデント対策の要否や方法の決定の一助にすることができる。

本発明におけるシステム概略図 攻撃ログ蓄積部に格納する攻撃ログ情報の例 迷惑メールログ蓄積部に格納する迷惑メールログ情報の例 攻撃証跡保存部に格納する攻撃証跡情報の例 不正アクセス検知装置およびメールサーバのログ出力処理手順 攻撃発信元判定部の処理手順 発信元IPアドレス別表示画面の例 IPアドレスと位置情報のマッピングデータの例 攻撃発信元IPアドレス群の地理的な分布図の例 攻撃発信元IPアドレス群のアドレスブロック分布図の例

符号の説明

１２：不正アクセス検知装置，１２１：ログ出力部，１３：メールサーバ，１３１：迷惑メール判定部，１３２：ログ出力部，１４：攻撃監視装置，１４１：攻撃ログ収集部，１４２：攻撃アドレス抽出部，１４３：攻撃ログ蓄積部，１４４：迷惑メールログ収集部，１４５：メール発信元抽出部，１４６：迷惑メールログ蓄積部，１４７：攻撃発信元判定部，１５：攻撃証跡管理装置，１５１：攻撃証跡保存部，１５２：分布地図作成部，１５３：グラフ作成部，２１：攻撃ログ情報，２１１：検知日時，２１２：発信元IPアドレス，２１３：検知装置種別，２１４：攻撃内容，３１：迷惑メールログ情報，３１１：検知日時，３１２：発信元IPアドレス，３１３：差出人アドレス，３１４：迷惑メール題名，４１：攻撃証跡情報，４１１：発信元IPアドレス，４１２：検知日時，４１３：検知装置種別，４１４：攻撃内容，５０１〜５０４：不正アクセス検知装置の処理手順，５１１〜５１５：メールサーバの処理手順，６０１〜６０７：攻撃発信元判定プログラムの処理手順，７１：発信元IPアドレス別表示画面におけるIPアドレス，７２：発信元IPアドレス別表示画面における検知件数グラフ，７３：発信元IPアドレス別表示画面におけるネットワークレイヤ攻撃検知情報，７４：発信元IPアドレス別表示画面におけるアプリケーションレイヤ攻撃検知情報，８１：位置情報データ，８１１：IPアドレスブロック，８１２：位置情報１（経度），８１３：位置情報２（緯度），９１：攻撃発信元IPアドレスの地理的分布図，９２〜９４：IPアドレスの位置を示す記号，１０１：攻撃発信元IPアドレスのアドレスブロック分布図，１０２：表示設定操作パネル。

Claims (4)

1. ネットワークに接続された電子計算機からなるシステムにおいて、
   不正侵入行為と判定されたパケットの発信元を検知する手段と、迷惑メールと判定された電子メールの発信元を検知する手段とを備え、前記２つの手段で共通に検知された発信元のIPアドレスを攻撃発信元と判定する
   ことを特徴とする攻撃監視装置。
2. 請求項１に記載のシステムにおいて、
   攻撃発信元と判定されたIPアドレスについて、そのIPアドレスと、該IPアドレスを発信元とする攻撃の履歴を保存する
   ことを特徴とした攻撃証跡管理装置。
3. 請求項２に記載のシステムにおいて、攻撃発信元と判定されたIPアドレス群の地理上の分布を地図上に表示する
   ことを特徴とした攻撃証跡管理装置。
4. 請求項２に記載のシステムにおいて、攻撃発信元と判定されたIPアドレス群について、アドレスブロックごとの分布をグラフに表示する
   ことを特徴とした攻撃証跡管理装置。

Images