JP2009005122A - 不正アクセス検知装置、セキュリティ管理装置およびこれを用いた不正アクセス検知システム - Google Patents

Abstract

【課題】クライアント機器等、並列処理による負荷分散ができない機器を含めて、リソースが限られた環境においても、自機器のセキュリティレベルを保つこと。
【解決手段】単数または複数の上流機器のセキュリティ強度の情報を問い合わせるセキュリティ強度問い合わせ手段１０１と、機器で送受信するパケットが、前記機器内部または前記上流機器で検査されなければならないルール全体を管理する全体ルール管理手段１０３と、前記上流機器のセキュリティ強度の情報を問い合わせた結果、送信されたセキュリティ強度情報をもとに、検査を省略するルール、運用中に参照するルールを決定する運用ルール決定手段１０４と、運用中に参照するとしたルールを参照して、不正アクセスの検知を実行する不正アクセス検知手段１０５を備える。
【選択図】図１

Description

本発明は通信ネットワーク上の機器やシステムに対する不正アクセスに対処する技術に関するものである。

インターネットの普及に伴い、Ｗｅｂアクセスや、電子メールをはじめとした、ネットワークを利用したサービスがますます増加しつつある。しかしながら、その一方で、ネットワークを介した不正アクセスやｖｉｒｕｓ感染により、サービスの正常運用が妨げられる危険も頻繁に生じており、その対策が必要となってきている。

ファイアウォールや侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）をネットワークに設置するなどといった対策がその代表的なものである。ＩＤＳでは、一般に、攻撃検出対象の攻撃パターンを記述した「シグネチャ」とよばれるルールに照らし合わせて攻撃を検出する方法が用いられている。しかしながら、セキュリティレベルを保つために、不正アクセス検知ルールを多く設定し、不正アクセス検知を行う必要がある。このため、不正アクセス検知処理の負荷が大きくなるという課題があった。

こういった課題に対し、特許文献１においては、パケット収集分析装置に、パケットを判別するルールを設定する。それぞれの装置に設定するルールはそれぞれ排他的な内容とし、且つネットワークを流れるパケットは設定されたルールの何れか１つに必ずマッチするように設定する。このようにして、パケットは必ずパケット収集分析装置の何れか１台で収集分析されるように構成している。

また、特許文献２においては、通信相手や、通信に対応するアプリケーションに応じて、通信相手側との直接の通信経路と、通信セキュリティをチェックする装置２を経由する通信経路とのいずれかを選択する装置１を備える。また通信パケットに経路選択用のマーキングを行う装置３を備え、装置１がそのマーキングの内容に応じて経路選択を行っている。
特開２００４−６４６９４号公報 特開２００６−１８０２８０号公報

しかしながら、前記従来の特許文献１の構成では、検査処理を分担、複数機器で並列に検査することで負荷分散を行う方式であり、並列に動作する複数の機器を必要とする。１つ１つのパケットについては、いずれか１つの機器で検査が行われ、検査項目はネットワークの状況によらず決められている。

また、特許文献２の構成では、先行技術は、検査処理を複数の機器で分担するために、パケットの経路選択を行っている。経路選択機能と、複数の検査機器をもつシステムで適用する負荷分散方法であり、通信パケットにマーキングするという特別な処理を必要とする。

本発明は、クライアント機器等、並列処理による負荷分散ができない機器を含めて、リソースが限られた環境においても、自機器のセキュリティレベルを保つために、不正アクセス検知ルールを多く設定し、不正アクセス検知を行う必要がある。このため、不正アクセス検知処理の負荷が大きくなるという課題を解決するものである。

前記従来の課題を解決するために、本発明の不正アクセス検知装置は、単数または複数の上流機器のセキュリティ強度の情報を問い合わせるセキュリティ強度問い合わせ手段と、機器で送受信するパケットが、機器内部または上流機器で検査されなければならないルール全体を管理する全体ルール管理手段と、上流機器のセキュリティ強度の情報を問い合わせた結果、送信されたセキュリティ強度情報をもとに、検査を省略するルール、運用中に参照するルールを決定する運用ルール決定手段と、運用中に参照するとしたルールを参照して、不正アクセスの検知を実行する不正アクセス検知手段を備える。

本発明の不正アクセス検知装置によれば、機器が、機器が、セキュリティ強度問い合わせ手段を持つことにより、上流機器の状況に応じて自身のルールを自律的に変更することができ、上流機器で検査しているルールを機器で重複して検査することを回避できる。結果として機器で検査するルールが必要最小限となり、検査処理の負荷を最小限に抑えることが可能となる。すなわち、セキュリティレベルが低い環境では、セキュリティ対策のためにアプリの機能・性能は制限されるが、セキュリティを守られた環境では、機器を高性能、高機能にできる。

以下本発明の実施の形態について、図面を参照しながら説明する。

（実施の形態１）
図１は、本発明の実施の形態１における不正アクセス検知装置の機能構成図である。また、図２は、不正アクセス検知装置が適用される機器が複数接続されているネットワーク構成例である。

図２において、２０１〜２０３は、不正アクセス検知装置が適用される機器を示す。機器２０１〜２０３に存在する２０４〜２０６は不正アクセス検知装置を示す。２０７は機器２０１〜２０３に接続されている上流機器を示し、２０８は不特定な機器が接続される外部ネットワークを示す。２０９はある程度限定された機器が接続される内部ネットワークを示す。２１０は内部ネットワークのセキュリティ機能を管理するセキュリティ管理装置を示す。セキュリティ管理装置２１０は、図２では、上流機器２０７と切り離して記述したが、上流機器２０７の内部の１機能として存在する場合も、図２のように独立した装置として存在する場合もある。外部ネットワーク２０８と内部ネットワーク２０９の間の通信は、上流機器２０７を介して行われる。機器２０１〜２０３など、複数の機器が内部ネットワークに接続されている。上流機器２０７では、上流機器２０７を通過するパケットが不正アクセスに関連するものかどうかを検査し、内部ネットワークのセキュリティ強度を保つ。また、セキュリティ管理装置２１０は、上流機器２０７のセキュリティ強度を管理し、機器２０１〜２０３からの問い合わせに応じて上流機器２０７のセキュリティ強度情報を送信する。機器２０１〜２０３には、図１で示した不正アクセス検知装置２０４〜２０６があり、機器２０１〜２０３のセキュリティ強度を保つ。図１において、１０１はセキュリティ強度問い合わせ手段を示す。１０２は機器２０１〜２０３で必ず検査しなければならないルールを管理する必須ルール管理手段を示す。１０３は、機器２０１〜２０３としてセキュリティ強度を保つために必要なルール全体を管理する全体ルール管理手段を示す。全体ルール管理手段で管理されているルールについては、機器２０１〜２０３内部または上流機器で検査されなければならない。１０４は、機器２０１〜２０３で実際に検査するルールを決定する運用ルール決定手段を示す。１０５は、運用ルールを参照して、不正アクセス検知を行う不正アクセス検知手段を示す。

不正アクセス検知装置２０４〜２０６とセキュリティ管理装置２１０の動作について、以下、図１〜図７を用いて説明する。

図３は運用ルール決定手段１０４の動作を示す。運用ルール決定手段１０４では、セキュリティ強度問い合わせ手段１０１を介して、セキュリティ管理装置２１０に上流機器２０７のセキュリティ強度の問い合わせを行う（図３のステップＳ３０１）。上流機器のセキュリティ強度を受信すると（同図ステップＳ３０２）、全体ルール管理手段１０３で管理している全ルールから、セキュリティ強度に対応するルールを省き、運用候補ルールを作成する（同図ステップＳ３０３）。そして、運用候補ルールに必須ルール管理手段１０２で管理している必須ルールを加え、運用ルールを作成する（同図ステップＳ３０４）。最後に、不正アクセス検知手段が作成した運用ルールを用いて不正アクセス検知処理を開始する様指示を行う（同図ステップＳ３０５）。

図４はセキュリティ管理装置２１０の機能構成図である。４０１は、セキュリティ強度情報とこれに対応するルールのリストを管理するセキュリティ強度管理手段であり、４０２は、上流機器がもつルールのリストから、セキュリティ強度を決定し、機器におけるセキュリティ強度問い合わせ手段１０１からのセキュリティ強度問い合わせに応じて指定された上流機器のセキュリティ強度情報を送信するセキュリティ強度送信手段である。

図５は本発明の実施の形態におけるセキュリティ強度管理手段４０１で管理するルールの内容、ポリシーとセキュリティ強度の対応表のイメージを示した表である。セキュリティ強度管理手段４０１では、セキュリティ強度毎に対応するルールのリストを上流機器２０７で参照される順に管理している。図５に示したルールのいくつかが上流機器２０７に設定されていることとなる。たとえば、上流機器２０７がセキュリティ強度１の場合には、ルール番号１〜２４が設定されており、パケットが上流機器２０７を通過するときに、ルール番号１、２、３と設定されているルールの上から順番に参照され、パケットが条件に一致しているかどうか検査される。

上流機器２０７がセキュリティ強度２の場合には、ルール番号１〜１９が設定されており、上流機器２０７がセキュリティ強度３の場合には、ルール番号１〜７が設定されており、パケットが上流機器２０７を通過するときに、ルール番号１、２、３と設定されているルールの上から順番に参照され、パケットが条件に一致しているかどうか検査される。

上流機器２０７がセキュリティ強度４の場合には、通過するパケットについて検査は行われない。

セキュリティ強度送信手段４０２では、上流機器２０７がもつルールのリストを、上流機器２０７に問い合わせるなどしてあらかじめ入手し、入手した上流機器２０７のルールのリストを、セキュリティ強度管理手段４０１で管理している情報と比較し、上流機器２０７のセキュリティ強度を決定する。セキュリティ強度管理手段４０１で管理しているセキュリティ強度に、該当するルールのリストが存在しない場合には、新たなセキュリティ強度を生成し、生成したセキュリティ強度とルールのリストの対応表を追加して管理する。

ルールには、たとえば、ルール番号１の様に、送信元、あて先ＩＰアドレスを同じに設定したパケットをターゲットへ送信する攻撃のパターンのパケットを検出するＬａｎｄ Ａｔｔａｃｋ、ルール番号２の様に、送信元ＩＰアドレスを詐称したパケットをターゲットへ送信する攻撃のパターンのパケットを検出するＩＰ Ｓｐｏｏｆｉｎｇ、ルール番号３の様に、送信元ＩＰアドレスを詐称したＩＣＭＰパケットをブロードキャストアドレスへ送信する攻撃のパターンのパケットを検出するＳｍｕｒｆ Ａｔｔａｃｋ、ルール番号４の様に、ＩＰパケットの最初のフラグメンテーションに、長さ０のパケットを送信する攻撃のパターンのパケットを検出するＩＰ ｗｉｔｈ Ｚｅｒｏ ｌｅｎｇｔｈ、ルール番号５の様に、コントロールビットに何も設定が無いＴＣＰパケットを送信する攻撃のパターンのパケットを検出するＴＣＰ ＮＵＬＬ、ルール番号６の様に、コントロールビットにＦＩＮが設定され、ＡＣＫは設定されないパケットを送信する攻撃のパターンのパケットを検出するＴＣＰ ＦＩＮ ｎｏｔ ＡＣＫ、ルール番号７の様に、コントロールビットが全て設定されたＴＣＰパケットを送信する攻撃のパターンのパケットを検出するＴＣＰ Ｘｍａｓといったものがあり、方向でしめされたパケット、この場合には、外部ネットワーク２０８から内部ネットワーク２０９に入力されるパケットについて、ルールに一致するかどうか検査を行い、ルールに一致するパケットが検出された場合には、ポリシーに設定された処理、ここでは、破棄する処理を行う。

さらに、ルールとしては、ルール番号８〜ルール番号１３のように、送信元のＩＰアドレス、ポート番号、宛先のＩＰアドレス、ポート番号、プロトコルのいずれか、またはすべてを指定するものがあり、指定した条件に一致するパケットが到着した場合には、ポリシーに設定された処理、ここでは許可し、ルール１５以下について検査を続行する処理をおこなう。ここでは、たとえば、内部ネットワーク２０９に存在する機器２０１〜２０３のＩＰアドレスと、ユーザアプリケーションで使用されているサービスのポート番号、プロトコルを指定したルールが設定されているというように、指定される。

ルール番号８〜ルール番号１３に一致しなかったパケットのみが、ルール番号１４を参照し、ルール番号１４では、ポリシーとして、破棄が設定されており、一致しなかったパケットすべてが破棄される。

また、別の種類のルールとしては、ルール番号１５〜ルール番号１９の様にプロトコル、ＴＣＰプロトコルのコントロールビット、閾値、検知時間などを指定するものがあり、指定した条件に一致するパケットが到着した場合には、内部でもつカウンタのカウントアップを行い、検知時間毎の到着パケット数がカウントされ、カウンタ値が閾値に達した場合には、ユーザアプリケーションなどに通知を行うものもある。

ここでは、ユーザアプリケーションが運用されているときに送受信する可能性のあるパケットの流量を閾値として定め、これをこえたときに異常と判断する様に、それぞれのパラメータが設定されるというように、指定される。

さらにまた、特定のサービス、たとえばルール番号２０、２１の様にＷｅｂサービス、ルール番号２３、２４の様にＳＭＴＰサービスというように、特定のサービスに使用されるパケットに限定して、パケットのペイロードの情報が特定の指定されたパターンに一致するかどうかを検査するためのルールもある。

ペイロードの情報が、不正アクセスのパターンであるかどうかの判断のために、指定される。

不正アクセスのパターンの可能性はあるが、誤検知の可能性を含む場合には、パケットの廃棄処理は行わず、ユーザアプリケーションへ通知を行い、ログとして記録する様にポリシーを指定できる。

セキュリティ管理装置２１０では、以上に説明した様なルールのリストと、セキュリティ強度の対応管理と、上流機器２０７のセキュリティ強度の管理を行っており、セキュリティ強度問い合わせ手段１０１からの問い合わせに応じて、上流機器２０７のセキュリティ強度の情報を送信する。

図６は、セキュリティ強度問い合わせ手段１０１がセキュリティ管理装置２１０に対して、上流機器のセキュリティ強度の問い合わせを行う場合のメッセージの例である。図６において、６０１はメッセージ全体を示す。６０２は宛先が格納されている領域、６０３は送信元が格納されている領域、６０４はメッセージ識別子が格納されている領域を示す。宛先は、セキュリティ管理装置宛に届く様に設定され、送信元には機器２０１または、機器２０２または機器２０３のアドレスが設定され、メッセージ識別子により、セキュリティ強度の問い合わせメッセージであることを識別する。

図７は、セキュリティ強度問い合わせ手段１０１がセキュリティ管理装置２１０に対して、上流機器のセキュリティ強度の問い合わせを行った結果として送信されるセキュリティ強度情報通知メッセージの例である。図７において、７０１はメッセージ全体を示す。７０２は宛先が格納されている領域、７０３は送信元が格納されている領域、７０４はメッセージ識別子が格納されている領域そして７０５はセキュリティ強度情報が格納されている領域を示す。宛先は、セキュリティ強度の問い合わせを行った機器２０１〜２０３のセキュリティ強度問い合わせ手段１０１に届く様に設定され、メッセージ識別子により、セキュリティ強度情報の通知メッセージであることを識別する。そして、メッセージに格納されたセキュリティ強度情報により、上流機器２０７のセキュリティ強度情報を得る。

図８は、不正アクセス検知装置２０４〜２０６が管理している全体ルールと運用ルールおよびそのポリシーを管理する情報のイメージを示した表である。

機器２０１〜２０３に内部ネットワーク２０９から到着する入力パケットあるいは、機器２０１〜２０３が他の機器や、上流機器２０７、セキュリティ管理装置２１０や、外部ネットワーク２０８に接続された機器に送信する出力パケットについて、ルール番号１、２、３と設定されているルールの上から順番に参照され、パケットが条件に一致しているかどうか検査される。

ルールの内容、ポリシーの内容としては、図９に示した様な入力パケットに対するルール、ポリシー、図１０に示した様な出力パケットに対するルール・ポリシーを例としたものが設定され、機器が外部ネットワークに直接接続されたときに必要とされると想定されるルールが全体ルールとして管理される。

図９で示したルールの内容、ポリシーの内容については、一般的には、セキュリティ強度管理手段４０１で管理しているルールの内容とは、必ずしも一致しないが、ここでは、図５の説明を行ったものと同じものを例としてあげている。

図１０で示したルールの内容について以下に説明する。

ルール番号１０１はＩＣＭＰパケットをブロードキャストアドレスへ送信する攻撃のパターンのパケットを検出するＳｍｕｒｆ Ａｔｔａｃｋ、ルール番号１０２は、コントロールビットに何も設定が無いＴＣＰパケットを送信する攻撃のパターンのパケットを検出するＴＣＰ ＮＵＬＬ、ルール番号１０３は、コントロールビットにＦＩＮが設定され、ＡＣＫは設定されないパケットを送信する攻撃のパターンのパケットを検出するＴＣＰ ＦＩＮ ｎｏｔ ＡＣＫ、ルール番号１０４は、コントロールビットが全て設定されたＴＣＰパケットを送信する攻撃のパターンのパケットを検出するＴＣＰ Ｘｍａｓで、機器から出力されるパケットについて、ルールに一致するかどうか検査を行い、ルールに一致するパケットが検出された場合には、ポリシーに設定された処理、ここでは、破棄する処理を行う。

そして、ルール番号１０５〜ルール番号１１０は、送信元のＩＰアドレス、ポート番号、宛先のＩＰアドレス、ポート番号、プロトコルのいずれか、またはすべてを指定するものであり、指定した条件に一致するパケットが出力される場合には、ポリシーに設定された処理、ここでは許可し、ルール１１２以下について検査を続行する処理をおこなう。ルール番号１０５〜ルール番号１１０に一致しなかったパケットのみが、ルール番号１１１を参照し、ルール番号１１１では、ポリシーとして、破棄が設定されており、一致しなかったパケットすべてが破棄される。たとえば、内部ネットワーク２０９に存在する機器２０１のＩＰアドレスと、ユーザアプリケーションで使用されているサービスのポート番号、プロトコルを指定したルールが設定される。

それから、ルール番号１１２〜ルール番号１１６は、プロトコル、ＴＣＰプロトコルのコントロールビット、閾値、検知時間などを指定するものであり、指定した条件に一致するパケットが出力される場合には、内部でもつカウンタのカウントアップを行い、検知時間毎の到着パケット数がカウントされ、カウンタ値が閾値に達した場合には、ユーザアプリケーションなどに通知を行うものである。

以上、全体ルール管理手段１０３では、図９、図１０で示したようなルールをはじめとしたルールで、機器にとって必要とされるルールが、全体ルールとして管理されている。機器にとって必要とされるルールは、機器がサポートするユーザアプリケーションの種類や、機器がもつリソース、外部ネットワークの危険度合いによって決定される。

全体ルールは、図５では、表のルール番号１から２８すべてである。必須ルール管理手段１０２では、その中で、必須ルールとして該当するものが管理されている。必須ルールは、上位機器のセキュリティ強度によらず参照されなければならないとするルールである。表では、ルール番号２、１２、１９、２０が必須ルールとなっている。必須ルールは、内部ネットワークの機器からの通信に起因する脅威を防ぐ目的として、機器が最低限検査しなければならないルールである。また、運用ルール決定手段１０４では、上流機器のセキュリティ強度に対応する、上流機器で検査しているルールを管理している。たとえば、セキュリティ強度１の上流機器では、ルール番号１、２、３、４、５、２６、２７、２８に該当するルールが検査されている。セキュリティ強度２の上流機器では、ルール番号１〜１０および２１に該当するルールが検査されている。セキュリティ強度３の上流機器では、ルール番号１〜１４および２１に該当するルールが検査されている。セキュリティ強度４の上流機器では、機器が監査すべきルールに該当する検査は行っていない。

以上の様な上流機器２０４のセキュリティ強度と、上流機器２０４が検査するルールの内容の対応情報については、あらかじめ、セキュリティ管理装置２１０などから送信されるなどして保持している。

図８では、運用ルール決定手段１０４が決定した、上流機器がセキュリティ強度２のときの運用ルールが示されている。運用ルールは、全体ルールから上位機器が検査しているルールを省き、必須ルールを加えたものである。ここでは、ルール番号２、１１〜２０、２２〜２８が運用ルールとなっている。これらのルールについて、２、１１〜２０、２２〜２８と上から順にルールを参照して到着パケットの検査を行い、マッチしたルールのポリシーに対応する処理を行う。

運用ルールの具体的な例としては、図９のルール番号１〜７、図１０のルール番号１０１〜１０４にみられる様なプロトコル仕様に反したパケットによる不正アクセスについて、上流機器２０４で検知をサポートしている場合で、必須ルールがない場合には、機器２０１〜２０３では、これ以外のルールすなわち図９のルール番号８〜２４および図１０のルール番号１０５〜１１６を運用ルールとし、検査を行う。

他の例として、上流機器２０４で入力側ルール、すなわち図９のルールすべてを管理している場合で、必須ルールがない場合には、機器２０１〜２０３では、これ以外、すなわち図１０で示した出力側ルールを運用ルールとし、検査を行う。

また、別の例として、トランスポート層以下のプロトコルに関するルールに該当する図９のルール番号１〜１９および、図１０の出力側ルール１０１〜１１１について、上流機器２０４で検知をサポートしている場合で、必須ルールがない場合には、機器２０１〜２０３では、これ以外のルールすなわち図９のルール番号２０〜２４、図１０のルール番号１１２〜１１６を運用ルールとし、検査を行う。

さらに、別の例として、ポリシーが破棄または許可となっている図９のルール番号１〜１４、図１０のルール番号１０１〜１１１について、上流機器２０４で検知をサポートしている場合で、必須ルールがない場合には、機器２０１〜２０３では、これ以外のルールすなわちポリシーが通知である図９のルール番号１５〜２４、図１０のルール番号１１２〜１１６を運用ルールとし、検査を行う。

以上に述べたように、セキュリティ管理装置２１０に上流機器２０７のセキュリティ強度の問い合わせを行い、運用ルールを決定する処理はたとえば、機器２０１が接続される際に行われ、接続環境に応じた運用ルールで不正アクセス検知処理を行うことができる。

セキュリティ管理装置２１０に対するセキュリティ強度の問い合わせは、定期的に行うなどすることができ、これによって、上流機器のセキュリティ強度が変更された場合にも自立的に追随可能な運用ルールとできる。

たとえば、機器２０１が、機器接続時にセキュリティ管理装置２１０に上流機器２０７のセキュリティ強度の問い合わせを行い、上流機器２０７のセキュリティ強度を受信する。そのセキュリティ強度が図５の４であるときには、上流機器２０７で検査されているルールはない。そこで、全体ルールとして管理されているルールすべてを運用ルールとして検査する。図１１に、上位機器２０７がセキュリティ強度４のときの運用ルールの例を示した。その後、機器２０１は、定期的にセキュリティ強度の問い合わせを行う。上流機器２０７のファームウェアがバージョンアップされたり、セキュリティ設定の変更がなされたり、上流機器２０７が別のものと置き換えられたりなどして、上流機器２０７のセキュリティ強度が図５の１に変更された場合には、この定期的問い合わせにより受信した上位機器２０７のセキュリティ強度が１となる。そのときには、図１２に上位機器２０７が図５のセキュリティ強度１のときの運用ルールの例を示したが、全ルールから、上流機器検査ルールを除くルールを運用ルールと変更を行い、機器２０１において入力パケットおよび出力パケットの検査を実施する。

（実施の形態２）
図１３は、本発明の実施の形態２における不正アクセス検知装置が適用される機器が接続されているネットワーク構成例である。

図１３において、１３０１〜１３０５は、不正アクセス検知装置が適用される機器を示す。機器１３０１〜１３０５には、図２の機器２０１〜２０３と同様に、不正アクセス検知装置がある。１３０６は、機器１３０１〜機器１３０３の上流機器である、上流機器２を示す。１３０７は、機器１３０４〜機器１３０５の上流機器である、上流機器３を示す。また、１３０８は、上流機器２（１３０６）および上流機器３（１３０７）が接続されている、さらに上流の上流機器１を示す。１３０９は、上流機器２（１３０６）および上流機器３（１３０７）と上流機器１（１３０８）が接続されているネットワークのセキュリティ機能を管理するセキュリティ管理装置１を示す。１３１０は、機器１３０１〜機器１３０３が接続されているネットワークのセキュリティ機能を管理するセキュリティ管理装置２を示す。１３１１は、機器１３０４〜機器１３０５が接続されているネットワークのセキュリティ機能を管理するセキュリティ管理装置３を示す。

図１３では、機器１３０１〜機器１３０３の上流に接続されている上流機器２（１３０６）の上流に上流機器１（１３０８）というように、上流機器が多段に接続されており、機器１３０１〜機器１３０３と、上流機器１（１３０８）の上流にある機器と通信を行う際に、上流機器１（１３０８）、上流機器２（１３０６）および機器１３０１〜機器１３０３でそれぞれ通信されるパケットについて不正アクセス検知処理を行う。

このような場合、セキュリティ管理装置２（１３１０）は、機器１３０１におけるセキュリティ強度問い合わせ手段１０１からのセキュリティ強度問い合わせに応じて、上流機器２（１３０６）及びその上流の上流機器１（１３０８）を併せて実現できているセキュリティ強度情報を送信する。送信されたセキュリティ強度情報を用いて、機器１３０１における運用ルールを決定し、不正アクセス検知処理を行う。

また、上流機器２（１３０６）においても、図１に示す様な不正アクセス検知装置を保持し、上流機器１（１３０８）に接続されているセキュリティ管理装置１（１３０９）により、上流機器２（１３０６）に対し、上流機器１（１３０８）でのセキュリティ強度情報を送信し、これをもとに、上流機器２での運用ルールを決定し、不正アクセス検知処理を行う。これは、また、上流機器１（１３０８）の上流にさらに上流機器が存在する場合も同様である。

以上の様な多段接続構成の場合も、実施の形態１に示した例と同様に、ルール、ポリシー、セキュリティ強度情報、上流機器のセキュリティ強度をセキュリティ管理装置１（１３０９）、セキュリティ管理装置２（１３１０）、セキュリティ管理装置３（１３１１）で管理し、ルール、ポリシー、全体ルール、必須ルール、運用ルールを不正アクセス検知装置で管理しており、上流機器のセキュリティ強度情報を用いて運用ルールを決定し、不正アクセス検知処理をおこなうことができる。

また、図１３では、セキュリティ管理装置１（１３０９）は上流機器１（１３０８）と切り離して記述したが、上流機器１（１３０８）の１機能として存在する場合も含む。同様に、セキュリティ管理装置２（１３１０）は上流機器２（１３０６）の１機能として、セキュリティ管理装置３（１３１１）は上流機器３（１３０７）の１機能として存在する場合も含む。

以上、本発明の実施の形態について説明したが、上記で説明したルールの内容、ポリシーはあくまでも一例であり、これに限定されない。たとえば、パケットサイズを限定した条件のものや、ＩＣＭＰパケットのタイプを指定した条件のものなど、様々なルールが想定される。ルールとして設定例を挙げた不正アクセスのパターンについても、例以外に様々なものが存在し、これについては限定しない。ポリシーとしても、ログに記録など実施の形態で示したポリシー以外に様々なポリシーが想定される。

また、上流機器２０７で検査しているルールで、機器２０１〜２０３における全体ルールに含まれないルールの種類が存在する場合も考えられうる。

上流機器２０７で検査しているルールの種類と、機器２０１での運用ルールの分担については、あくまでも例をあげたにすぎず、これについては限定しない。

セキュリティ強度管理手段４０１では、上流機器２０７がもつルールのリストを、上流機器２０７に問い合わせるなどしてあらかじめ入手し、入手した上流機器２０７のルールのリストを、セキュリティ強度管理手段４０１で管理している情報と比較し、上流機器２０７のセキュリティ強度を決定するとしたが、上流機器２０７からセキュリティ強度の情報そのものが送信される場合もあり、上流機器２０７のセキュリティ強度を得る方法については限定しない。

運用ルール決定手段１０４では、上流機器２０７のセキュリティ強度と、上流機器２０７が検査するルールの内容の対応情報については、あらかじめ、セキュリティ管理装置２１０などから送信されるなどして保持していると記述したが、セキュリティ管理装置２１０から送信される場合に限定されない。あらかじめ機器自身が保持している場合もあり、また、セキュリティ強度情報がルール情報とポリシー情報そのものである場合もあり、上記実施例に限定されない。

図６、図７で示したメッセージのフォーマットはあくまでも一例であり、実施の形態で説明した項目が含まれたメッセージであれば、各項目の記載順序などはこれに限定されない。

かかる構成によれば、上流機器のセキュリティ強度の情報を問い合わせるセキュリティ強度問い合わせ手段と、機器で送受信するパケットが、機器内部または上流機器で検査されなければならないルール全体を管理する全体ルール管理手段と、上流機器のセキュリティ強度の情報を問い合わせた結果、送信されたセキュリティ強度情報をもとに、検査を省略するルール、運用中に参照するルールを決定する運用ルール決定手段を備えることにより、上流機器の状況に応じて自身のルールを変更することができ、上流機器で検査しているルールを機器で重複して検査することを回避できる。結果として機器で検査するルールが必要最小限となり、検査処理の負荷を最小限に抑えることが可能となる。

本発明の不正アクセス検知システムは、通信ネットワーク上の機器で、クライアント機器等、並列処理による負荷分散ができない機器を含めて、リソースが限られた機器において有効である。

本発明の実施の形態１における不正アクセス検知装置２０４の機能構成図 本発明の実施の形態１における不正アクセス検知装置が適用される機器が接続されているネットワーク構成例を示す図 本発明の実施の形態１における運用ルール決定手段１０４の動作を示す図 本発明の実施の形態１におけるセキュリティ管理装置２１０の機能構成図 本発明の実施の形態１におけるセキュリティ強度管理手段４０１で管理するルールの内容、ポリシーとセキュリティ強度の対応表を示す図 本発明の実施の形態１におけるセキュリティ強度問い合わせ手段１０１がセキュリティ管理装置２１０に対して、上流機器のセキュリティ強度の問い合わせを行う場合のメッセージの例を示す図 本発明の実施の形態１におけるセキュリティ強度問い合わせ手段１０１がセキュリティ管理装置２１０に対して、上流機器のセキュリティ強度の問い合わせを行った結果として送信されるセキュリティ強度情報通知メッセージの例を示す図 本発明の実施の形態１における全体ルール管理手段１０３で管理する全体ルールと運用ルール決定手段１０４が決定する運用ルールの管理の例を示す図 本発明の実施の形態１における入力パケットの検査に用いるルールの例を示す図 本発明の実施の形態１における出力パケットの検査に用いるルールの例を示す図 本発明の実施の形態１における上位機器２０７が図５のセキュリティ強度４のときの運用ルールの例を示す図 本発明の実施の形態１における上位機器２０７が図５のセキュリティ強度１のときの運用ルールの例を示す図 本発明の実施の形態２における不正アクセス検知装置が適用される機器および上流機器が多段で接続されているネットワーク構成例を示す図

符号の説明

１０１ セキュリティ強度問い合わせ手段
１０２ 必須ルール管理手段
１０３ 全体ルール管理手段
１０４ 運用ルール決定手段
１０５ 不正アクセス検知手段
２０１〜２０３ 機器
２０４〜２０６ 不正アクセス検知装置
２０７ 上流機器
２０８ 外部ネットワーク
２０９ 内部ネットワーク
２１０ セキュリティ管理装置
４０１ セキュリティ強度管理手段
４０２ セキュリティ強度送信手段
６０１ メッセージ全体
６０２ 宛先が格納されている領域
６０３ 送信元が格納されている領域
６０４ メッセージ識別子が格納されている領域
７０１ メッセージ全体
７０２ 宛先が格納されている領域
７０３ 送信元が格納されている領域
７０４ メッセージ識別子が格納されている領域
７０５ セキュリティ強度情報が格納されている領域
１３０１〜１３０５ 機器
１３０６ 上流機器２
１３０７ 上流機器３
１３０８ 上流機器１
１３０９ セキュリティ管理装置１
１３１０ セキュリティ管理装置２
１３１１ セキュリティ管理装置３

Claims (10)

1. 単数または複数の上流機器と、機器とが接続され、前記機器は前記上流機器を介した通信を行うネットワークにおいて、
   前記上流機器のセキュリティ強度の情報を問い合わせるセキュリティ強度問い合わせ手段と、前記機器で送受信するパケットが、前記機器内部または前記上流機器で検査されなければならないルール全体を管理する全体ルール管理手段と、前記上流機器のセキュリティ強度の情報を問い合わせた結果、送信されたセキュリティ強度情報をもとに、検査を省略するルール、運用中に参照するルールを決定する運用ルール決定手段と、運用中に参照するとしたルールを参照して、不正アクセスの検知を実行する不正アクセス検知手段を備えたことを特徴とする前記機器における不正アクセス検知装置。
2. 前記上流機器では不正アクセスのパターンの破棄ルールが設定されており、前記機器では、前記上流機器のセキュリティ強度情報を受信すると、不正アクセスのパターンの破棄ルールは設定せず、使用している条件のパケットの通過ルールまたは、到着パケットが特定の条件をみたした場合の通知ルールを運用ルールとして設定し、不正アクセスの検知を実行することを特徴とする請求項１に記載の不正アクセス検知装置。
3. 前記上流機器では前記機器への入力パケットに関するルールが設定されており、前記機器では、前記上流機器のセキュリティ強度情報を受信すると、機器からの出力パケットに関するルールを運用ルールとして設定し、不正アクセスの検知を実行することを特徴とする請求項１に記載の不正アクセス検知装置。
4. 前記上流機器では、所定のレイヤに関するルールが設定されており、前記機器では、前記上流機器のセキュリティ強度情報を受信すると、前記上流機器で設定されていないレイヤのルールを運用ルールとして設定し、不正アクセスの検知を実行することを特徴とする請求項１に記載の不正アクセス検知装置。
5. 前記上流機器では、ルールに記載された条件に一致したときに行われる処理を示すポリシーで、所定のポリシーに関するルールが設定されており、前記機器では、前記上流機器のセキュリティ強度情報を受信すると、前記上流機器で設定されていないポリシーのルールを運用ルールとして設定し、不正アクセスの検知を実行することを特徴とする請求項１に記載の不正アクセス検知装置。
6. 前記機器では、必ず検査しなければならない必須ルールを管理する必須ルール管理手段を設けることを特徴とする請求項１に記載の不正アクセス検知装置。
7. 前記機器は、前記セキュリティ管理装置に、受信したセキュリティ強度に対応するルールの情報を問い合わせ、前記上流機器でチェックされているルールを特定することを特徴とする請求項１記載の不正アクセス検知装置。
8. 前記セキュリティ強度の情報は、ルールの情報であることを特徴とする請求項１に記載の不正アクセス検知装置。
9. 単数または複数の上流機器と、機器と、セキュリティ管理装置が接続され、前記機器は前記上流機器を介した通信を行うネットワークにおいて、
   セキュリティ強度情報とこれに対応するルールの情報を管理するセキュリティ強度管理手段と、前記上流機器がもつルールの情報から、セキュリティ強度を決定し、前記機器からのセキュリティ強度問い合わせに応じて指定された前記上流機器のセキュリティ強度情報を前記機器に送信するセキュリティ強度送信手段を備えたことを特徴とするセキュリティ管理装置。
10. 単数または複数の上流機器と、機器と、セキュリティ管理装置が接続され、前記機器は前記上流機器を介した通信を行うネットワークにおいて、
    前記セキュリティ管理装置は、セキュリティ強度情報とこれに対応するルールのリストを管理し、上流機器がもつルールの情報から、セキュリティ強度を決定し、機器からのセキュリティ強度問い合わせに応じてセキュリティ強度の情報を送信し、
    前記機器は、セキュリティ管理装置に前記上流機器のセキュリティ強度の問い合わせをし、
    通知されたセキュリティ強度の情報に基づき、検査を省略するルール、運用中に参照するルールを決定することを特徴とする不正アクセス検知システム。

Images