JP2009516266A - ネットワーク発見情報を用いた侵入イベント相関方法およびシステム - Google Patents

Abstract

ポリシーコンポーネントは、ポリシー構成情報からなる。ポリシー構成情報は、一または複数の規則を含む。各々の規則とそのグループは、応答動作のセット（２５）に関連付けできる。監視したネットワーク（４０）上のノードが変更されるか、または侵入イベントがネットワーク上において導入されると、ネットワーク変更イベントまたは侵入イベント（２２）が生成される。ポリシーコンポーネントは、ネットワーク変更イベントまたは侵入イベントのいずれか１つをネットワークマップ（１５）情報に相関付ける。ネットワークマップ（１５）は、ネットワークトポロジ、サービスおよびネットワーク装置の情報を含む。特定の条件が相関に基づき満たされる場合、ポリシー違反イベントが、アラート（３５）または修復（３０）をもたらすシステムによって発行可能である。

Description

本発明の実施形態は、コンピュータネットワークの特性を判定するためのシステムと方法に関する。特に、本発明の実施形態は、自動的且つ受動的にコンピュータネットワークのホスト構成を判定することに関する。

コンピュータとこのようなコンピュータに接続するコンピュータネットワークは、現代社会において極めて重要な構成要素である。残念ながら、このようなコンピュータネットワークは、内部と外部の敵意あるソースから攻撃を受易い。このような攻撃を防ぐために侵入検出システム（ＩＤＳ）が使用される。従来の侵入検出システムは、トラフィックに関してネットワークトラフィックを分析することによって機能する。しかし、侵入検出システムは、ネットワークトラフィックのエンドポイントを認識しない。エンドポイントとは、発信元と受信者のメッセージトラフィックのことである。たとえばこのようなエンドポイントとしては、クライアントやサーバが挙げられる。エンドポイントを分析することによって、ホストアドレスやサービスなどネットワークに関してコンテキスト情報が分かる。これらのエンドポイントを考慮に入れないと、ネットワークに関してコンテキスト情報の極めて重要な部分が失われる。この結果、コンピュータネットワークトラフィックのエンドポイントに関する情報を提供する技術がとても必要である。

侵入検出システムは、監視しているコンピュータネットワークに関してコンテキスト情報を持たないため、実際よりも効果が小さい。たとえばコンテキスト情報がなければ、侵入検出システムは、検出回避として知られるコンピュータネットワーク攻撃を受け易い。コンテキスト情報の欠如は、侵入検出システム（ＩＤＳ）を更に攻撃され易くするだけでなく、侵入検出システムの効率も低下させる。このような１つの非効率として、コンテキスト情報がなければ、侵入検出システムは攻撃が害を及ぼすか否か見分けできない。攻撃は、ターゲットホスト上において実行される特定のサービスに向けられることができる。ターゲットホストにおいて実行されるサービスに関する情報なしに、侵入検出システムは、狙われているサービスをホストが実行していなくても攻撃を誤って検出することがある。つまり侵入検出システムは、攻撃が無害であっても警告を発行する。このようなイベントは、誤検出と呼ばれる。多数の誤検出は、ネットワーク上のホストを害する本当の攻撃を見つけることを一層困難にし、高コストにする。

コンテキスト情報を侵入検出システムに提供する従来の技術が幾つか知られている。このような技術の１つは、人が手動で各々のホストを監視して、すべての希望するコンテキスト情報を収集するものである。この手動方式は、時間が掛かる、エラーが生じ易い、メンテナンスが困難であるなどの短所が数多くある。これらの欠点の１つの理由は、現実的にネットワークが動的であるということである。コンピュータネットワークのホストコンピュータは、追加されたり、取外されたり、再構成されたりする。これらの修正が細部に至るまで正確に記載されていなければ、コンテキスト情報が最新のものであるか確認するためにネットワーク上の各々のコンピュータを定期的に巡回しなければならない。

コンテキスト情報を侵入検出システムに提供する別の従来の方式は、自動発見システムである。従来の自動発見システムは、アクティブスキャンシステムであり、コンピュータネットワーク上のエンドホストをアクティブに調査し、エンドホストにおいて刺激応答テストを実施して、エンドホストに存在する脆弱性を見つけ出して記録する。手動ではないが、スキャンシステムは様々な問題を抱える。１つの問題は、アクティブスキャンがネットワークに対して有害であるということである。脆弱性のテストにおいて、スキャンシス
テムによってルータとサーバの両方が誤動作を引き起こしたり、機能を停止したりすることがある。別の問題は、多くの例において、アクティブスキャナが提供する情報と、侵入検出システムが使用できる情報との間に１対１のマッピングが存在しないため、スキャンシステムが有益な情報を侵入検出システムに提供できないことである。別の問題は、スキャンが実施されるときにアクティブスキャナだけがネットワークのスナップショットを提供することにある。ホストは、脆弱なサービスを一時的に実行可能であるため、このスナップショットには問題がある。このような場合、脆弱なサービスを実行していないときにアクティブスキャンを実行する場合もある。この結果、脆弱性の一時的性質にも拘わらず、アクティブスキャンはアラームを発行しない。

自動的且つ受動的にホストの構成を判定する利点がある一方で、受動的に判定したマップに役立つ情報が組込まれていない場合が存在することもある。前述を鑑みると、コンピュータネットワークの自動的且つ受動的に判定したホスト構成を修正するためのユーザインタフェースを効率的に提供できるシステムと方法の必要性が実質的にあることを十分理解できる。

本発明の実施形態は、たとえばポリシーコンポーネントによってネットワークマップに記憶されたネットワーク特性を用いて、侵入検出システムイベントのようなイベントに相互に関連付けることによって誤検出を最小限にする。この方法において、ポリシーコンポーネントにおける誤検出を低減できる。

本発明の一実施形態は、ポリシー構成情報が一または複数の規則からなるポリシーコンポーネントにおけるポリシー構成情報の使用を含むネットワークの特性を自動的且つ受動的に判定する方法を含む。イベントは、ネットワーク上において識別される。このイベントとの関連付けは、ＩＰアドレスまたはＭＡＣアドレス（メディアアクセスコントロールアドレス）などのネットワークアドレスである。このイベントは、この処理のポリシーコンポーネントにおける一または複数の規則に基づき評価される。この処理の一部として、ポリシーコンポーネントは、ネットワークマップにアクセスし、イベント情報が相関処理の一部として一または複数の基準に一致するか否か判定する。またこのイベントは、一または複数の基準に一致するという判定に基づきポリシー違反イベントを生成する。たとえば侵入イベント情報は、ポリシーコンポーネントの一または複数の規則に関連付けたクエリに応答するために、ネットワークマップ情報に相関付けられることが可能である。

本発明の別の実施形態は、自動的且つ受動的にネットワークの特性を判定するシステムを含む。前記システムは、ネットワークマップ記憶装置とポリシーコンポーネントを含む。ネットワークマップ記憶装置は、ネットワーク装置アドレス、サービス、およびネットワークトポロジ情報を含む。ポリシーコンポーネントは、侵入イベントを受信して一または複数のネットワーク構成規則を実行する。しかもポリシーコンポーネントは、侵入情報に関連付けられた装置アドレスによって提供されるリンクを通じてネットワークマップ記憶装置内の情報にアクセスし、一または複数の規則を評価することの一部として、侵入イベントに関連付けられた情報がネットワークマップ情報に一致するか否か判定する。イベントの評価が完了すると、たとえばイベントが許可されたものでないと判定した場合、ポリシー違反が生成可能である。ポリシー違反イベントの開始に際して、システムによって修復またはアラートの実行が可能である。装置アドレスは、ＩＰアドレスまたはメディアアクセスコントロールアドレスを含む通信またはコンピュータの任意のタイプのアドレスとすることが可能である。侵入イベントは、ネットワーク上の一または複数のパケットの受信、復号、および解析に基づき識別可能である。

一または複数のポリシーに基づいたネットワークイベントを処理するシステムと方法の実施形態は、本発明のこの詳細な説明において記述される。この詳細な説明によれば、説明を目的として、多くの特有の詳細が、本発明の実施形態を完全に理解できるように示されている。しかし、当然のことながら、当業者は、これらの詳細が示されていなくても、本発明の実施形態を実施できる。他の例においては、ブロック図の形態で構造と装置が示されている。更に当業者は、方法を提示して実施される特定の順序が実例であることを容易に理解でき、この順序は、修正されることも可能であり、また本発明の実施形態の精神と範囲は、維持されたままであると考えられる。

図１は、本発明の実施形態にかかる侵入イベント情報をネットワーク発見情報に相関付ける例示的なシステム５を示す。一または複数のセキュリティ装置２０は、攻撃の識別を実行し、イベントを生成する。一または複数のセキュリティ装置２０は、侵入検出システム（ＩＤＳ）、ネットワーク侵入検出システム（ＮＩＤ）、ネットワーク管理システム（ＮＭＳ）、ネットワークセンサ、ホスト侵入検出システム（ＨＩＤ）、ルータ、ファイアウォール、およびシステムロガーを具備できる。図１の実施形態は、ターゲットネットワーク装置に関する公知の前から存在するホストとサービスの情報を、イベント情報に相関付けることによって、侵入検出システムの誤検出を減少できる。

本システムの一実施形態では、単一のコンピュータは、ポリシーコンポーネント１０、ネットワークマップ１５、セキュリティ装置２０、および応答コンポーネント２５を具備できる。他の実施形態では、複数のコンピュータは、別々に各々のコンピュータを収容すること、または上記のコンポーネントの組合せを具備できる。たとえばポリシーコンポーネント１０は、任意の伝送媒体を通じて、別のコンピュータに記憶されているネットワークマップ１５に通信できる。単一のコンポーネントは、複数の装置に亘って分散可能である。たとえばポリシーコンポーネント１０は、複数のコンピュータに亘って分散可能である。ポリシーコンポーネント１０とネットワークマップ１５は、ＲＡＭ、ＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、フラッシュＲＯＭ、または取外可能な記憶装置を含む揮発性または不揮発性の記憶装置に記憶可能である。図１に示すネットワークは、インターネット、イントラネット、ＬＡＮ、オンライン情報ネットワーク、ワイヤレスネットワーク、プライベートネットワークまたはパブリックネットワーク（たとえばＰＳＴＮ）、音声またはデータネットワークのいずれか１つ、またはケーブルとｄＢＳ（直接放送衛星）を含む一または複数のネットワークを表わすことがある。

以下で詳細に説明するように、ネットワークのネットワーク構成と使用ポリシーは、ネットワークに対して定義付けられ、ポリシーエンジン１０に適用できる。ユーザはポリシーを構成する。ポリシーは、規則のリストと規則のグループによって構成される。各々の規則と規則のグループは、応答動作のセットに関連付けできる。アクティブポリシーの一部となるように各々の規則をアクティブにできる。監視しているネットワーク上のノードが変更されると、その変更を反映するためイベントが生成される。たとえばホスト上において新しいサービスが検出された場合、新しいサービス情報を含むイベントが生成される。イベントとイベントに含まれるデータは、現在アクティブになっているポリシーに基づき評価される。誤検出を低減させる助けとなるように、イベントと前記イベントに含まれるデータは、ネットワークマップ１５の情報に相関付けられる。イベントまたはイベントに含まれるデータが規則を起動する場合、一または複数の構成応答を開始するイベント２２が生成される。

図１を参照して、ネットワークマップの現在のスナップショットを維持するようにネットワークマップ１５を構成できる。ネットワークマップ１５は、たとえば以下で詳細に説
明するように、ホスト、ネットワークトポロジ、サービス、および脆弱性に関する情報を包含できる。

ポリシーエンジン１０は、ネットワークマップ１５に対して新しいイベントをマッピングし、以下で説明するような任意のポリシーイベントが存在しているか否か判定する。ポリシー違反が存在していれば、図１に示すように、一または複数の修復３０を実行するか、またはアラート３５を出力できる。

［イベントの検出］
一または複数のセキュリティ装置２０たとえば侵入検出システムによって生成されたイベントは、収集され、ポリシーコンポーネント１０に送信される。この方法の別の実施形態においては、イベントは収集され、第１のイベントはデータベースに記憶され、ポリシーコンポーネント１０に送信される。

侵入イベントは、多数の異なる方法論によって一または複数のセキュリティ装置２０からの侵入イベントを判定できる。本発明の実施形態は、受動的に判定されるネットワークマップまたは特性データベースに適用できる。これらのシステムは、ネットワーク間を移動するパケットを検査するために受動的である。つまりこれらのシステムは、能動スキャンを実行しない。これらのシステムは、殆どまたは全く人の介入を必要としないために自動的である。このような受動的システムは、（１）ネットワーク上においてネットワーク装置を識別すること、（２）オペレーティングシステムとネットワーク装置上において動作するサービスを識別すること、（３）ネットワーク上において生じる変更をリアルタイムに記録すること、および（４）ネットワーク報告メカニズムによって使用できる形式でこの情報を収集することを含む機能の実行によって動作する。例示的なネットワーク報告メカニズムは、侵入検出システムとネットワーク管理システム（ＮＭＳ）を含む。

図１に示すように、セキュリティ装置２０は、ネットワークに送信されるトラフィック４０を受動的に収集し、データを復号化し、次にそのデータを、確定したオペレーティングシステムおよびサービスフィンガープリントと比較する。またセキュリティ装置２０は、少なくとも１つの監視したホストが関わるネットワークセッションからデータを収集する。

図１に示すセキュリティ装置２０を再び参照することによって、ネットワーク報告メカニズムは、ネットワークに関する特性情報について、リアルタイムでネットワーク４０間を移動するパケットを調べることができる。特性情報の１つのこのようなタイプは、ネットワーク上のネットワーク装置またはホストに関する情報である。当業者は、ネットワーク装置がネットワーク接続を備えた任意の装置であると理解できる。ネットワーク装置は、ホスト、サーバ、ゲートウェイ、ブリッジ、コンピュータ、プリンタ、スイッチ、ゲーム機、ワイヤレス装置、携帯電話、ネットワーク化テレビ、ＰＤＡ、およびルータを包含できるが、これらに限定されない。

［ネットワークマップ］
図１を参照して、ネットワークマップ１５は、ホスト、サービス、ネットワークトポロジ、および脆弱性を含むデータベースである。幾つかの実施形態では、データベースは、ホストまたは他のネットワーク装置のＩＰアドレスに連携する。この方法において、ネットワークマップに対するクエリは、ＩＰアドレスまたは他のタイプのアドレスを使用して識別可能である。ネットワークマップは、各々のホスト、ブリッジまたはルータ、サービスのプロファイル、およびネットワーク上の各々のＲＮＡセンサの脆弱性を提供する。ネットワークマップを使用することによって、特定ホストのホストプロファイルを表示できる。ホストプロファイルは、ホスト、実行中のサービス、特定ホストの脆弱性に関する詳
細な情報を包含できる。見出されたホストとサービスは、ネットワークのネットワークマップ表現でマッピングできる。

ネットワークマップは、ネットワーク上に常駐するホスト、ネットワーク上のブリッジ（ハブ、ルータ、またはスイッチを含むことが可能である）、ネットワーク上において実行されるサービス、オペレーティングシステム、またはネットワーク上の脆弱性のいずれかの点からネットワークトポロジを表示できる。ユーザは、慣れたユーザインタフェースを介して上記のいずれかを表示できる。ネットワークマップは、以下のコンポーネントに分割できる。つまりネットワークマップは、ホストマップ（コンピュータ、プリンタなどのネットワーク装置を表示）、ブリッジマップ（ネットワーク上において検出されたブリッジ、スイッチ、またはルータを表示）、サービスマップ（ネットワーク上において検出されたサービスを表示）、および脆弱性マップ（ネットワーク上において検出された脆弱性を表示）に分割できる。

ネットワークマップの情報は、一または複数のセンサから送られてくる。一または複数のセンサが存在する場合、このデータは、複合ネットワークマップに相関付けできる。複数のセンサが同一のホストまたはサービスからイベントを生成する場合、この情報は所定のプロトコルによって各々のセンサから前記ホストまたはサービスの複合表現に組合わせされる。

ネットワークマップは、特定のホストのホストプロファイルを包含できる。ホストプロファイルは、ホスト、実行中のサービス、特定ホストの脆弱性に関する情報を含む。１つの例示的なホストプロファイルは、以下の一または複数の、ホスト名、ホストを検出したセンサからのネットワークホップの距離、オペレーティングシステム、ホストタイプ、このホストの重要度レベル（自動またはユーザ指定のもの）、ホストに関わるイベントに対するリンク、ホストがソースＩＰまたは宛先ＩＰのいずれかである場合の侵入イベントに対するリンク、ホストによって使用されるプロトコル、ホスト上において実行されるサービス、攻撃を受ける可能性があるホストの脆弱性を含むことが可能である。ホストプロファイルは、ユーザインタフェースを介してユーザによって表示可能である。

ネットワークマップのブリッジ部は、ネットワークの１つのセグメントを別のセグメントに接続するネットワークブリッジとルータの情報を含む。ブリッジ部は、ユーザインタフェースを通じてユーザによって表示可能である。

ネットワークマップのサービス部は、ネットワーク上において実行されているサービス、各々のサービスのベンダおよびバージョン、ならびに各々のサービスを実行するホストの表示を提供する。ユーザは、ホストのサービスと各々のサービスを実行するリストを表示するために、ユーザインタフェースを介してネットワークマップにアクセス可能である。

ネットワークトラフィックに応答して、ネットワーク装置のＩＤ（識別データ）が記録される。ＩＤは、たとえばファイルまたはデータベースにデータ構造として記憶される。パケットは、以前に記録されているネットワーク装置を識別する場合、現在の情報と以前の情報が比較され、いずれの修正も記録される。修正が見つからない場合、新しい情報は記録されない。いずれにしても次のパケットが読取られる。

図２は、本発明の実施形態によってネットワーク特性を自動的且つ受動的に判定するための例示的な方法１００を示すフローチャートである。
方法１００のステップ１１０において、ネットワーク上を転送されるパケットが読取られる。ステップ１２０においてネットワーク装置は、パケットを用いて識別される。ネッ
トワーク装置としてはコンピュータ、プリンタ、およびルータがあるが、これらに限定されない。当業者は、ネットワーク装置がホストとも呼ばれることを十分に認識している。ステップ１３０では、ネットワーク装置のＩＤが記録される。ＩＤは、たとえばファイルまたはデータベースにデータ構造として格納される。パケットが以前に記録されたネットワーク装置を識別する場合、現在の情報が以前の情報と比較され、修正点が記録される。修正が見つからなければ、新たな情報は記録されない。いずれの場合でも、次のパケットを読取るために方法１００はステップ１１０に戻る。

更にたとえばネットワーク装置のオペレーティングシステム、ルータ、ネットワーク装置上において実行されているサービス、ネットワーク上の伝送制御プロトコルまたはサブセットは、２００４年５月１２日に出願された「ネットワーク特性を判定し、脆弱性を解析するためのシステムおよび方法」という発明の名称の米国特許出願第１０／８４３，４５９号に記載されるような任意の方法によって判定でき、参照によってその全体をここに援用する。更に２つのサブネット間の距離を判定するための、ネットワーク上の推測されるサブネットを生成するための、および脆弱性をネットワーク装置に割当てるための方法が米国特許出願第１０／８４３，４５９号に示される。

図３は、ネットワーク装置情報またはホスト情報を格納する例示的なデータ構造である。このデータ構造は、ホストの代表的データ構造である。限定されない例として、ホスト情報に、イニシエータＩＰ（インターネットプロトコル）アドレス、各々のメディアアクセスコントロールアドレス（ＭＡＣアドレス）用の有効期限（ＴＴＬ）パラメータを持ったメディアアクセスコントロールアドレスのリスト、オペレーティングシステムのリスト、ネットワークプロトコルのリスト、トランスポートプロトコルのリスト、通信制御プロトコル（ＴＣＰ）サービスデータ構造、ユーザデータグラムプロトコル（ＵＤＰ）サービスデータ構造のリスト、仮想ＬＡＮ（ＶＬＡＮ）タグ、および最終確認日時を含めることができる。ネットワーク上の少なくとも１つのネットワーク装置のＩＰアドレス、メディアアクセスコントロールアドレス、およびＴＴＬパラメータは、通常、ネットワーク上を転送される各々のパケットに含まれる。この結果、ホスト情報のこれらの一部は、各々のパケットのネットワークプロトコルフィールドと転送プロトコルフィールドを直接的に構文解析することによって得られる。

［ポリシーエンジン］
図１を再び参照して、ポリシーエンジン１０は、一または複数のポリシーからなる。ポリシーは、規則のリストと規則のグループによって構成される。各々の規則は、アクティブポリシーの一部となるようにアクティブにできる。監視されているネットワーク上のノードが修正されると、イベントが、その修正を反映するために生成される。ホスト上において新しいサービスが検出される場合、新しいサービス情報を含むイベントが生成される。イベントとこのイベントに含まれるデータは、現在アクティブになっているポリシーに基づき評価される。イベントまたは前記イベントに含まれるデータが規則を機能させなくする場合、構成応答を起動するイベント２２が生成される。

別の実施形態では、ネットワーク上において受動的に発見された情報は、ネットワーク構成と使用ポリシーを実施するために使用される。この処理の一部として、ポリシーコンポーネントは、ネットワークマップにアクセスし、イベント情報が定義済みの範囲または値に一致するか否か判定する。使用ポリシーが阻害される場合、動作が実行される。例示的な動作は、発見された情報のタイプに基づき、またはこの情報が発見された場合のユーザへの警告とネットワークアクセスの拒否を包含できる。

１つの例示的な使用ポリシーは、オペレーティングシステムの未許可の使用を防止できる。発見されたオペレーティングシステムが、指定ＩＰアドレスの容認可能なオペレーテ
ィングシステムに一致しない場合、動作が開始される。たとえばユーザは、Ｗｉｎｄｏｗ（登録商標）２０００とＷｉｎｄｏｗｓ（登録商標）ＸＰのみが、ネットワーク上において使用可能であることを指定する。他のオペレーティングシステムを持つホストが検出された場合、アラートが生成され、害を及ぼすホストは、ファイアウォールによって阻止される。この処理の一部として、ポリシーコンポーネントはネットワークマップにアクセスし、オペレーティングシステム特性またはネットワーク装置特性が定義済みの範囲または値に一致するか否か判定する。

別の例示的な使用ポリシーは、未許可のサービス使用を防止する。禁止されているサービスが検出された場合、動作が開始される。たとえばユーザは、サービスＡがサブネットＸにおいて許可されないように指定する。サービスＡがサブネットＸにおいて検出された場合、アラートが生成される。再びこの処理の一部としてポリシーコンポーネントは、イベントをネットワークマップに関連付けるためにネットワークマップにアクセスし、サービスイベントに関連する情報が定義済みの範囲または値に一致するか否か判定する。たとえば特定のＩＰアドレスが、特定のサービスまたはアプリケーションを有することが許可されているか否か判定するために、ネットワークマップが照会可能である。別の例では、ネットワークマップは、Ｌｉｎｕｘ（登録商標）がサブネットＺのために唯一許可されたオペレーティングシステムであることを示唆可能である。更に唯一許可されたサービスは、セキュアシェル（ＳＳＨ）とセキュアソケットレイヤ（ＳＳＬ）である。例外は、ホストＸが、追加的にＨＴＴＰを実行可能なことである。またホストＹは、サービスの制約条件を設けずにＷｉｎｄｏｗｓ（登録商標）２００３サーバを実行可能である。このポリシーのいかなる違反も、ポリシー違反イベント（ＰＶＥ）を生成する。

別の例示的な使用ポリシーは、イベントの制限である。アラートの重要度は、複数のソースから収集された情報に基づき調整される。たとえばＩＩＳ（インターネットインフォメーションサービス（登録商標））だけに影響を及ぼす攻撃が検出され、ホストがＩＩＳを実行するＷｉｎｄｏｗｓ（登録商標）システムである場合、重要度アラートを生成する。ＩＩＳだけに影響を及ぼす攻撃が検出され、ホストがＩＩＳを実行できないＬｉｎｕｘ（登録商標）システムである場合、情報アラートが生成される。

別の例示的な使用ポリシーは、単一イベントの閾値を定義付けることである。指定時間内に同一タイプのイベントが複数検出されると、動作が開始される。たとえば１０回の単一サービスへの不成功ログイン試行が３０秒以内に検出された場合、アラートは、強制的なログイン試行を示すように生成される。別の例では、次に成功ログインが続く１５回の単一サービスへの不成功ログイン試行が５５秒以内に検出された場合、アラートが強制的な成功ログインを示すように生成され、クライアントシステムはファイアウォールによってブロックされる。

別の例示的な使用ポリシーは、侵入検出システムイベントのシーケンスの検出である。指定時間内に指定のシーケンスにおいて複数のイベントが検出されると、動作が開始される。たとえば単一のホストに向けられたイベントＥ、Ｆ、およびＧのシーケンスは、ホストの妥協が正常であることの表示である。個々としてはイベントは重要でないと考えられ、無視される。しかし、順次６０秒以内に起こる場合、イベントは重要なイベントであることを表わし、重要なアラートを生成する。

別の例では、バッファオーバーフロー攻撃はホストに対して検出され、また５秒以内に新しいテルネットサーバがホストによって検出される。重要なアラートが生成され、ファイアウォールはホストとの間でやり取りされるトラフィックをブロックする。

別の実施形態では、使用ポリシーは一時的な制約条件を維持する。禁止時間中に確立さ
れたセッションが検出されると、動作が開始される。たとえば通常のバーチャルプライベートネットワーク（ＶＰＮ）接続は、東部標準時間の午前７時３０分から午後９時までの間に行われる。午前２時から始まった接続は、アラートを生成する。別の例示的なポリシーは、統計学的な制約条件を維持する。正常なオペレーティングパラメータからの逸脱を検出されると、動作が開始される。たとえば、通常１時間当たり３００００回のヒットを処理するウェブサーバは、現在１時間当たり５回のヒットを処理する。アラートが生成される。

追加ポリシー応答動作は、ローカルデータベース４５に記録するイベントとサービスメッセージを記録し、シンプルネットワーク管理プロトコル（ＳＮＭＰ）トラップを実行し、電子メールメッセージを生成し、ネットワーク装置を制御し（たとえばファイアウォールを呼出すか、またはネットワークスイッチポートを無効にする）、侵入検出システムイベントの優先順位を上げるかまたは下げるシステムを含む。ノードがＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムに変更され、Ｗｉｎｄｏｗｓ（登録商標）オペレーティングシステムを禁止することが書込まれたポリシーが電子メール応答動作によって実施するよう構成される場合、電子メールメッセージは、イベントデータと規則ＩＤを含むように生成される。

更にポリシー解析は、２００４年５月１２日に出願された「ネットワーク特性を判定し、脆弱性を解析するためのシステムおよび方法」という発明の名称の米国特許出願第１０／８４３，３９８号に記載されており、参照によってその全体をここに援用する。

図４は、本発明の実施形態にかかる受動的ネットワーク検出システムを使用するオペレーティングシステムに基づき、ネットワーク構成と使用ポリシーを実行するための方法２６００を示すフローチャートである。方法２６００のステップ２６０５において、オペレーティングシステムに対するネットワーク構成と使用ポリシーは、予め定義される。ステップ２６１０において、ネットワーク上においてネットワーク装置によって使用されるオペレーティングシステムは、ネットワークに送信されるパケットの読取、復号、解析によって判定される。ステップ２６１５において、オペレーティングシステムに対するネットワーク構成と使用ポリシーによって識別される動作が実行される。

図５は、本発明の実施形態にかかる受動的ネットワーク検出システムを使用するサービスに基づき、ネットワーク構成と使用ポリシーを実行する方法２７００を示すフローチャートである。方法２７００のステップ２７０５において、サービスに対するネットワーク構成と使用ポリシーは、予め定義される。ステップ２７１０において、ネットワーク上においてネットワーク装置によって使用されるサービスは、ネットワークに送信されるパケットの読取、復号、および解析によって判定される。ステップ２７１５において、サービスに対するネットワーク構成と使用ポリシーによって識別される動作が実行される。

［オペレーション］
図６は、本発明の実施形態にかかるポリシー違反イベント（ＰＶＥ）を判定する例示的な方法のステップを示すフローチャートである。方法６００のステップ６１０において、ネットワーク構成と使用ポリシーは、ネットワークに対して定義される。ステップ６２０において、新しいサービスのような新しい侵入イベントが、ネットワークに送信されるパケットの読取、復号、および解析によってネットワーク上のネットワーク装置に加えられるか否か判定する。たとえば侵入検出システムは、侵入イベントを識別可能である。ステップ６３０において、識別されたＩＰアドレスに関連付けられた新しいイベントは、ネットワークマップに報告される。たとえば識別されたサービスが新しい場合、新しいエントリがネットワークマップに生成される。イベントに関連付けられた情報が新しくなくて単なる更新である場合、ネットワークマップは新しい情報によって更新される。ステップ６
４０においてポリシーエンジンは、ポリシーエンジンにおける一または複数の規則に対してイベント情報を評価する。この評価の一部として、ステップ６５０においてネットワークマップは、侵入イベントに関連付けられた識別ＩＰアドレスを使用してアクセスされ、イベント情報が特定の基準に一致するか否か判定される。ＩＰアドレスは、ネットワークマップにおけるホスト情報または他のネットワーク装置情報にリンクするように使用される。たとえばＩＰアドレスが、Ｗｉｎｄｏｗｓ（登録商標）オペレーティングシステムで動作することを判定できる。ステップ６６０において、この処理は、新しいサービスなどのイベントが一または複数の前述の規則の起動に基づき許可されているか否か判定する。新しいイベントが許可されていない場合、ポリシー違反イベント（ＰＶＥ）が発行される。ポリシー違反イベントに基づき、修復またはアラートはシステムによって起動可能である。一実施形態において、ポリシー違反イベントは、データベース４５に記録される。この方法において、ポリシー違反イベントは、任意のイベントタイプで生成でき、またトリガイベントのＩＰアドレスに基づきクエリが発行されるホスト情報などのネットワークマップ情報を用いて制約条件を設けることができる。

図６は、未許可のサービスがネットワーク装置に導入されているか否か判定するための例示的な処理を図示する。一方、同一または同様の方法論を使用して、たとえば以下のイベントを含む任意のイベントを判定できる。前記イベントは、指定ＩＰアドレスに対する許可されないまたは許可されたオペレーティングシステム、イベントの制限、侵入検出システムイベントシーケンスの検出、バッファオーバーフローの検出、禁止時間中に確立されたセッションの検出、ネットワーク装置の許されない制御などを含む。

図７は、新しいサービスイベントを処理する例示的な方法を示す。この方法は、以下の仮説に基づき記述される。つまり未許可のサービスは、１０．４．０．０の範囲内に入り、また８０，８０８０または４４３として識別されたポート上において実行されるＩＰアドレスによって識別されるネットワーク装置上において開始される。ステップ７００において、ネットワーク上の一または複数のパケットの解析に基づき、新しいサービスが侵入検出システムによって検出される。ステップ７２０において、新たに検出されたサービスイベントは、ネットワーク装置のＩＰアドレス（またはその他の識別子）に関連付けられたレコードに追加される。次に、サービスイベントと関連ＩＰアドレスは、ステップ７３０においてポリシーエンジンに報告される。このポリシーエンジンは、イベント情報を一または複数の規則と比較する。ステップ７４０において、ポリシーエンジンは、ＩＰアドレスが特定のカテゴリまたはクラスの範囲内に入るか否か判定する。たとえば特定のカテゴリは、１０．４．０／１６とすることも可能である。アドレスがこのカテゴリの範囲内に入らない場合、処理が違反なく完了される。しかし、ＩＰアドレスが１０．４．０／１６の範囲内に入る場合、ポリシーエンジンは、ネットワークマップに通信して、ステップ７５０においてＩＰアドレスがＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムに関連付けられているか否か判定する。この方法において、侵入イベント情報は、ネットワークマップにおいて現在のネットワーク特性に相関付けられる。次にステップ７６０において、ポリシーエンジンは、サービスイベントポートが特定の範囲内に入っているか、または８０，８０８０または４４３などの特定値を持つか否か判定する。上記に該当する場合、ポリシー違反イベントは、ステップ７７０において発行される。この実施形態においては、修復が修復コンポーネントによって実施されるか、またはアラートがシステムによって発行される。

［修復とアラート］
ポリシーエンジンによって示されるように、コンプライアンスポリシーが阻害される場合、修復は、実施形態において実行されるプログラムを包含できる。修復モジュールは、違反を起動して特定の動作を実行したポリシー違反イベント（ＰＶＥ）によって与えられる情報を使用できる。ポリシー違反が起動される場合、本発明の実施形態は、デフォルト
定義済みの修復モジュールと特定のタスクを実行するユーザカスタマイズ修復モジュールを包含できる。或る実施形態は、ユーザがポリシー違反イベントに応答するためにカスタム修復モジュールを生成し、アップロードすることを可能にするフレキシブルアプリケーションプログラミングインタフェース（ＡＰＩ）を包含できる。

たとえばネットワークがＬｉｎｕｘ（登録商標）ベースのファイアウォールを実行している場合、修復モジュールは、Ｌｉｎｕｘ（登録商標）サーバ上においてＩＰテーブルを動的に更新でき、その結果、コンプライアンスポリシーに違反するトラフィックがブロックされる。他の可能な修復は、ファイアウォールまたはルータまたは他のネットワーク装置の再構成またはシャットダウンを含む。更に修復は、コンプライアンスポリシーに違反するＩＰアドレスまたはネットワークに送られるトラフィックの動的な阻止を含むことが可能である。

一実施形態において、複数の実例が各々のモジュールに対して生成でき、そのうちの幾つかは、特定のネットワーク装置への接続を表わすことが可能である。たとえばサブネットが修復のために送付を必要とするルータを４つ備える場合、４つの実例がそのモジュールに対して構成されるべきである。実例が生成される場合、構成情報は、ネットワーク発見システムがネットワーク装置との接続を確立できるように指定される。次に、構成された実例に対して、ポリシーの違反が生じると、ネットワーク装置に実行させたい一または複数の動作を記述した修復が追加可能である。一実施形態において、このシステムが修復を実行する場合、前記システムは、イベントをメモリに記録する。イベントに関連付けられることは、修復名、そして修復を起動したポリシーと規則に関する情報を含む。一実施形態において、ユーザは、従来のユーザインタフェースを通じて修復ステータスを表示できる。

ポリシー違反イベントは、システムアラートを生じさせることも可能である。アラートは、電子メール、システムログ、ＳＮＭＰトラップアラート、ＳＭＳメッセージ、テキストメッセージング、ＩＭ、ボイスメールなどを含む任意のメカニズムによって送出可能である。たとえばアクティブアラートが、本発明の実施形態にかかる生成されたポリシー違反イベント（ＰＶＥ）に割当てられる場合、そのアクティブアラートが立ち上げられることも可能である。

本発明の実施形態によれば、本方法を実行するプロセッサによって実行される命令は、コンピュータ読取可能な媒体に記憶される。コンピュータ読取可能な媒体は、デジタル情報を記憶する装置であることができる。たとえばコンピュータ読取可能な媒体は、ソフトウェアを記憶するために本技術分野で周知のように、読取専用メモリ（たとえばコンパクトディスク−ＲＯＭつまりＣＤ−ＲＯＭ）を含む。もう１つの方法として、コンピュータ読取可能な媒体は、リードアクセスメモリ（ＲＡＭ）、ＥＰＲＯＭ、フラッシュＲＯＭ、ＤＶＤ、ＣＤまたはその他のタイプのコンピュータメモリであること可能である。コンピュータ読取可能な媒体は、実行される命令を実行するのに適したプロセッサによってアクセスできる。

本発明の実施形態は、一または複数のネットワーク上のデータ通信に関する。データ通信は、一または複数のネットワークの一または複数通信チャネルによって実行できる。ネットワークは、有線通信リンク（たとえば同軸ケーブル、銅線、光ファイバ、それらの組合せなど）、無線通信リンク（たとえば衛星通信リンク、地上無線通信リンク、衛星対地上通信リンク、それらの組合せなど）、またはそれらの組合せを包含できる。通信リンクは、通信チャネルが通信を伝搬する一または複数の通信チャネルを包含できる。

ここに開示する本発明の実施形態にかかるシステムと方法は、コンピュータネットワー
クに関するコンテキスト情報を与えることによって、既存の侵入検出システムまたはリアルタイムネットワーク報告メカニズムを有利に改善できる。このようなシステムと方法は、情報が自動的に更新される点において手動の方法に比べて特に有利である。ポリシーコンポーネントによって誤検出を減少させる本発明の機能は、従来のネットワーク検出システムに比べて重要な利点である。

前述の詳細な説明において、本発明の実施形態にかかるシステムと方法は、特定の例示的な実施形態を引用して記述されている。従って、本仕様と図は、限定的なものではなく例示とみなされるべきである。本発明の範囲は、請求の範囲によって、且つそれらの均等物によって、更に理解されるべきである。

侵入イベント情報をネットワーク発見情報に相関付ける実施形態のブロック図。 ネットワークの特性を自動的且つ受動的に判定するための方法例のフローチャート。 ネットワーク装置情報またはホスト情報を格納する例のデータ構造の図。 ネットワーク構成と利用ポリシーを実行するための例示的な方法のフローチャート。 受動的なネットワーク検出システムを利用してネットワーク構成と利用ポリシーを実行するための例示的な方法のフローチャート。 ポリシー違反イベントを判別するための例示的な方法のフローチャート。 新しいサービスイベントを処理するための例示的な方法のフローチャート。

Claims (21)

1. ネットワークの特性を自動的且つ受動的に判定する方法であって、前記方法は、
   一または複数の規則からなるポリシー構成情報をポリシーコンポーネントに記憶することと、
   関連付けた装置アドレスを含む情報からなる侵入イベントを検出することと、
   サービスとネットワークトポロジ情報を含むネットワークマップをメモリに記憶することと、
   前記関連付けた装置アドレスによって前記侵入イベント情報を前記ネットワークマップ情報にリンクさせることと、および
   前記ポリシーコンポーネントにおける前記一または複数の規則に関連付けられたクエリに応えるために、前記侵入イベント情報を前記ネットワークマップ情報に相関付けることと
   を含む、方法。
2. 前記方法は更にポリシー違反イベントを生成することを含む、請求項１記載の方法。
3. 前記装置アドレスはインターネットプロトコルアドレスである、請求項１記載の方法。
4. 前記装置アドレスはメディアアクセスコントロールアドレスである、請求項１記載の方法。
5. 前記ポリシー違反イベントは、ネットワーク装置上の未許可サービスイベントの識別に基づき生成される、請求項２記載の方法。
6. 前記方法は更に修復を開始することを含む、請求項２記載の方法。
7. 前記方法は更にアラートを開始することを含む、請求項２記載の方法。
8. 前記方法は更に、前記侵入イベントがポリシー違反イベントではないことを判定することを含む、請求項１記載の方法。
9. 前記ネットワークに送信される一または複数のパケットは、前記侵入イベントを識別するために使用される、請求項１記載の方法。
10. ネットワークの特性を自動的且つ受動的に判定するシステムであって、前記システムは、
    装置アドレス、サービス、およびネットワークトポロジ情報を含むネットワークマップ記憶装置と、
    前記ネットワークマップ記憶装置に動作可能に通信するポリシーコンポーネントであって、前記ポリシーコンポーネントは侵入イベントを受信し、一または複数のネットワーク構成規則を実施することと
    を備え、
    前記ポリシーコンポーネントは、前記侵入情報に関連付けられた前記装置アドレスを使用して前記ネットワークマップ記憶装置内の情報にアクセスし、一または複数の規則を評価することの一部として、前記侵入イベントに関連付けられた情報がネットワークマップ情報に一致するか否か判定する、システム。
11. 前記システムは更に応答コンポーネントを備え、前記ポリシー違反イベントは前記応答コンポーネントによって生成される、請求項１０記載のシステム。
12. 前記システムは更に侵入検出装置を備え、前記侵入検出装置は前記侵入イベントを検出する、請求項１０記載のシステム。
13. 前記装置アドレスはインターネットプロトコルアドレスである、請求項１０記載のシステム。
14. 前記装置アドレスはメディアアクセスコントロールアドレスである、請求項１０記載のシステム。
15. 前記システムは更に応答コンポーネントを備え、アラートは前記応答コンポーネントによって生成される、請求項１０記載のシステム。
16. ネットワークの特性を自動的且つ受動的に判定するシステムであって、前記システムは、
    装置アドレス、サービス、およびネットワークトポロジ情報を含むネットワークマップ記憶手段と、
    前記ネットワークマップ記憶手段に動作可能に通信するポリシーコンポーネント記憶手段であって、前記ポリシーコンポーネント記憶手段は侵入イベントを受信し、一または複数のネットワーク構成規則を実施することと
    を備え、
    前記ポリシーコンポーネント記憶手段は、前記侵入イベントに関連付けられた前記装置アドレスを使用して前記ネットワークマップ記憶手段内の情報にアクセスし、一または複数の規則を評価することの一部として、前記侵入イベントに関連付けられた情報がネットワークマップ情報に一致するか否か判定する、システム。
17. 前記システムは更に応答コンポーネントを備え、前記ポリシー違反イベントは前記応答コンポーネントによって生成される、請求項１６記載のシステム。
18. 前記システムは更に侵入検出装置を備え、前記侵入検出装置は前記侵入イベントを検出する、請求項１６記載のシステム。
19. 前記装置アドレスはインターネットプロトコルアドレスである、請求項１６記載のシステム。
20. 前記装置アドレスはメディアアクセスコントロールアドレスである、請求項１６記載のシステム。
21. 前記システムは更に応答コンポーネントを備え、アラートは前記応答コンポーネントによって生成される、請求項１６記載のシステム。

Images