JP2009539271A - コンピュータ・ネットワーク侵入検出のシステムおよび方法 - Google Patents

コンピュータ・ネットワーク侵入検出のシステムおよび方法 Download PDF

Info

Publication number
JP2009539271A
JP2009539271A JP2008515191A JP2008515191A JP2009539271A JP 2009539271 A JP2009539271 A JP 2009539271A JP 2008515191 A JP2008515191 A JP 2008515191A JP 2008515191 A JP2008515191 A JP 2008515191A JP 2009539271 A JP2009539271 A JP 2009539271A
Authority
JP
Japan
Prior art keywords
tcp
connection
network
information
violation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2008515191A
Other languages
English (en)
Other versions
JP4742144B2 (ja
Inventor
ドクヴィ、ジャン−ジャック
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of JP2009539271A publication Critical patent/JP2009539271A/ja
Application granted granted Critical
Publication of JP4742144B2 publication Critical patent/JP4742144B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/663—Transport layer addresses, e.g. aspects of transmission control protocol [TCP] or user datagram protocol [UDP] ports

Abstract

【課題】ＴＣＰ／ＩＰプロトコル・ベースのネットワーク内へ侵入を試行するデバイスを特定する方法が開示される。
【解決手段】本発明は、一方をＴＣＰ／ＩＰスタック情報、他方をＷｉｎｄｏｗｓ（登録商標）セキュリティ・イベント・ログ情報とする２つの独立した情報レベル間の関連付けを行うことを可能にする。本方法により、セキュリティ・イベント・ログに格納されているとおりの攻撃側デバイスのコンピュータ名と、このコンピュータ名に関するＴＣＰ／ＩＰ情報との間に関連性を確立できる。
【選択図】図１

Description

本発明は、全般的にコンピュータ・システムのセキュリティに関し、特に、このようなコンピュータ・システムにログオンしてコンピュータ・ネットワークにアクセスしようとする無効な試行の発信者を、検出および特定するシステムおよび方法に関する。
今日の広域ネットワーク・エンタープライズでは、ネットワークの数多くのコンピュータ・システムに対する無許可のアクセスを防ぐために、セキュリティが大きな懸案事項となっている。一般的に、１つの営業所内のコンピュータ・システムは、ローカル・エリア・ネットワーク（ＬＡＮ：Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を使用して接続されており、ネットワーク管理者が、ネットワークを維持し適切に実行させる責任を負っている。ローカル・エリア・ネットワーク（ＬＡＮ）が増え続け、ＬＡＮに接続されたパーソナル・コンピュータ（ＰＣ：ｐｅｒｓｏｎａｌ ｃｏｍｐｕｔｅｒ）の数が急速な増大を続けるに従い、ネットワーク管理者にとってのネットワーク・セキュリティの問題はさらに増加する。
分散型ＬＡＮが展開される傾向が続くにつれ、エンタープライズ・ネットワークに対し複数のアクセス・ポイントがもたらされる。これら分散型アクセス・ポイントはそれぞれ、制御されていない場合、ネットワークに対する潜在的なセキュリティ・リスクとなる。こういったリスクの中でも、ウイルス攻撃は、ウイルスが急速に拡散することによりＩＴインフラストラクチャ全体に多大な影響を与える。攻撃全体の１／３超に相当する特定の種類のウイルスは、よく知られている「ワーム」というウイルスである。この後者のものは、オペレーティング・システムにおけるセキュリティの抜け穴を使用し、ＴＣＰ／ＩＰのウェルノウン・ポート番号１３７、１３９および４４５を通り、ネットワーク経由で、あるシステムから別のシステムへ拡散する。
ＴＣＰ／ＩＰは、伝送制御プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ：Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）のポート番号１３７（すなわち、ＮｅｔＢＩＯＳ Ｎａｍｅ Ｓｅｒｖｉｃｅ）、１３９（すなわち、ＮｅｔＢＩＯＳ Ｓｅｓｓｉｏｎ Ｓｅｒｖｉｃｅ）および４４５（すなわち、Ｍｉｃｒｏｓｏｆｔ（Ｍｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎの商標）−ＤＳ）の頭字語である。
別のリスクは、保護されたリソースに対する自発的攻撃（ｖｏｌｕｎｔａｒｙ ａｔｔａｃｋ）および（なりすましも使用した）無許可のアクセスである。
ファイアウォールは攻撃を認識してそれらをブロックする、という誤解が多く見られる。ファイアウォールは単に、全てを遮断してから、数少ない適切なアイテムだけを再び通すデバイスである。理想的なのは、システムが既に「封鎖」され安全であり、ファイアウォールが不要な状態である。セキュリティ・ホールが偶然開いたままになってしまっているということが、ファイアウォールを備える理由に他ならない。
したがって、ファイアウォールのインストール時にファイアウォールがまず行うのは、全ての通信を停止することである。続いて、ファイアウォールの管理者が慎重に「ルール」を追加して、特定の種類のトラフィックにファイアウォールの通過を許可する。例えば、インターネットへのアクセスを許可する典型的な企業ファイアウォールは、ユーザ・データグラム・プロトコル（ＵＤＰ：Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）およびインターネット制御メッセージ・プロトコル（ＩＣＭＰ：Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）のデータグラム・トラフィックを全て止め、入方向のＴＣＰ接続を止めるであろうが、出方向のＴＣＰ接続は許可するであろう。これは、インターネット・ハッカーからの入方向の接続を全て止めながらも、内部ユーザの出方向への接続は許可する。
ファイアウォールは単に、２、３の適切な入り口を備えた、ネットワークの周りの囲いである。囲いは、押し入ろうとしている者（囲いの下に穴を掘るなど）を検出する機能を有さず、入り口を通り抜ける者が入る許可を得ているのかどうかもフェンスは認識しない。単に指定ポイントへのアクセスを制限するだけである。
結局のところ、ファイアウォールは動的な防御システムではない。それに比べ、侵入検出システム（ＩＤＳ：ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ）の方がむしろ、この動的なシステムに当てはまる。ＩＤＳは、ネットワークに対するファイアウォールが確認できない攻撃を認識する。
ファイアウォールの別の問題は、エンタープライズ・ネットワークの境界にしか存在しないということである。ハッキングによる財務上の損失全体のうち約８０％がネットワークの内側から生じている。ネットワークの周辺にあるファイアウォールは、内側で起こっていることは全く確認しない。ファイアウォールは、そのトラフィックが内部ネットワークとインターネットとの間を通過するのを確認するだけである。
ログ・ファイルおよびその他の会計機構は、ユーザおよびその活動の追跡に使用できる。ログ・ファイルおよび監査情報を使用することは、データ・セットの受動的な解析に頼ることから、受動検知（ｐａｓｓｉｖｅ ｄｅｔｅｃｔｉｏｎ）として知られている。システム管理者は、オペレーティング・システムのセキュリティ・イベント・ログを点検し、システム攻撃またはセキュリティ違反が発生したかどうかを判断する責任がある。本出願人のＴｉｖｏｌｉ Ｒｉｓｋ Ｍａｎａｇｅｒ（ＴｉｖｏｌｉはＩＢＭ Ｃｏｒｐｏｒａｔｉｏｎの登録商標（ＩＢＭはＩＢＭ Ｃｏｒｐｏｒａｔｉｏｎの商標））、およびＧＦＩソフトウェア社（ＧＦＩ Ｓｏｆｔｗａｒｅ Ｌｔｄ．）のＧＦｉ ＬＡＮｇｕａｒｄ Ｓ．Ｅ．Ｌ．Ｍ．など、いくつかの既知の製品によって、これらのログを点検できる。
Ｔｉｖｏｌｉ Ｒｉｓｋ Ｍａｎａｇｅｒは、クロス・オペレーティング・システムの可用性（ＯＳ／２（ＯＳ／２はＩＢＭ Ｃｏｒｐｏｒａｔｉｏｎの商標）、Ｗｉｎｄｏｗｓ（登録商標）、Ｌｉｎｕｘ（ＬｉｎｕｘはＬｉｎｕｓ Ｔｏｒｖａｌｄｓの商標）、およびＡＩＸ（ＡＩＸはＩＢＭ Ｃｏｒｐｏｒａｔｉｏｎの商標））を実現するフレームワーク・インフラストラクチャに基づいており、集中コンソール上で警報を通知する。このソリューションによって、管理者は、種々のセキュリティ警報間の適切な関連性をつくることができるようになる。しかし、異なるオペレーティング・システム間のＮｅｔＢＩＯＳの無効な試行に関する関連性は、深く解析されず、外部データベースに関連していない。
ＧＦｉ ＬＡＮｇｕａｒｄ Ｓ．Ｅ．Ｌ．Ｍ．は、１つの中央データベース内にすべてのセキュリティ・イベントを収集し、レポートおよびカスタム・フィルタを作成する、セキュリティ・イベント・ログ・モニタである。このソリューションは、１つのオペレーティング・システムのみ、すなわちＷｉｎｄｏｗｓ（登録商標）での動作に制限されるため、他のオペレーティング・システムに関しては攻撃の可能性が残る。
より広くいえば、既存のどのソリューションでも、誤った多数の警告メッセージを管理者が受信し、長時間かけてこれらのメッセージを手動で解析して、違反に該当しないものを本物の違反と区別しなければならない状態が続く。
そのため、前述の欠点を打開するソリューションが必要である。
本出願人による、「Ｓｙｓｔｅｍ ａｎｄ Ｍｅｔｈｏｄ ｆｏｒ ｄｅｔｅｃｔｉｎｇ ｉｎｖａｌｉｄ ａｃｃｅｓｓ ｔｏ ｃｏｍｐｕｔｅｒ ｎｅｔｗｏｒｋ」と題された、特許出願番号０４２９２４６１．３は、あらゆるオペレーティング・システム・サーバにおいてあらゆる侵入を検出するソリューションを提供している。
しかし、このソリューションの欠点は、すべてのソース情報がオペレーティング・システムの組み込みのログ・ファイルに由来するということ、および、これらのログ・ファイルは、攻撃側デバイスのワークステーション／コンピュータ名しか与えないということである。このコンピュータ名がどのドメイン・ネーム・サーバ（ＤＮＳ：Ｄｏｍａｉｎ Ｎａｍｅ Ｓｅｒｖｅｒ）サーバにも登録されていない場合、または被害側企業に知られていない場合、この攻撃側デバイスを物理的に捜し当てることは不可能なことが多い。
これら既存の解析用ソリューションでは、ログ・アラートがセキュリティ・イベントの後に行われるため、依然として問題が残っており、１つのＷｉｎｄｏｗｓ（登録商標）サーバへのＴＣＰ／ＩＰポートの履歴を確認する組み込み式の方法がないことが原因で、デバイスが被害側サーバに接続されているかどうかを確認できない。
その他のＴＣＰ／ＩＰロガー・ツールも存在するが、セキュリティ・イベントが発生した後に手動でログ・ファイルを確認して、遠隔攻撃があったかどうかを確かめる必要がある。
さらに、これらＴＣＰ／ＩＰツールでは、１３７／１３９／４４５ＴＣＰポートがアクセスできるようにすることを主な役割とするＷｉｎｄｏｗｓ（登録商標）ファイル・サーバに対するログオンが起こると、ＴＣＰ／ＩＰスタック（ＴＣＰ／ＩＰプロトコルを監視するソフトウェア）を詳しく調べる必要があり、加えて、１つのＷｉｎｄｏｗｓ（登録商標）ログオン１３７／１３９／４４５が正常であるかどうかを検査することはできない。
したがって、これが、こういったログ解析法の主な欠点である。さらに、解析して攻撃側デバイスを物理的に捜し当て切断するには、時間もかかる。
本発明は、これらの欠点をなくすソリューションを提供する。
よって、すべてのＴＣＰ／ＩＰポートを１つのローカルのログ・ファイルに記録する、即座に機能する「オンライン」のソリューションを提供することが、本発明の目的である。本発明は、ＴＣＰ／ＩＰスタック・レベルおよびセキュリティ・イベント・ログ・レベルの２レベルで、同時に機能する。
ＴＣＰ／ＩＰポート番号１３７／１３９／４４５のうちの１つにおいて攻撃があった場合に、攻撃側デバイスのＭＡＣアドレス（ＭＡＣは、ネットワークの各ノードを一意的に特定するハードウェア・アドレス、メディア・アクセス制御（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）の略である）を読み出し記録するシステムおよび方法を提供することが、本発明の別の目的である。
ＴＣＰ／ＩＰポート番号１３７／１３９／４４５のうちの１つにおいて攻撃があった場合に、攻撃側デバイスのＩＰアドレスを読み出し記録するシステムおよび方法を提供することが、本発明の別の目的である。
ＴＣＰ／ＩＰポート番号１３７／１３９／４４５のうちの１つにおいて攻撃があった場合に、ＩＰアドレスを企業のネットワーク・インフラストラクチャの記述に関連付けることにより、攻撃側デバイスの物理的位置（都市、建物、階、スイッチ番号、スイッチ上のポート）を読み出し記録するシステムおよび方法を提供することが、本発明の別の目的である。
本発明のさらなる目的は、エンタープライズ・コンピュータ・ネットワークにおいて、ワーム・ウイルスに感染しているデバイスを容易かつ効率的に特定するソリューションを提供することである。
本発明のさらに別の目的は、コンピュータ・システムでの違反イベントを解析するために必要な人的資源を減らし、結果として迅速な積極的反応を可能にするソリューションを提供することである。
本発明の態様によれば、添付の請求項に記載のシステムは、コンピュータ・ネットワークに対するコンピュータ・デバイスの無効なアクセスを検出することを目的として提案される。
より全般的には、本方法は、異なる複数のオペレーティング・システム上で動作する複数のコンピュータ・サーバと、複数のコンピュータ・デバイスとを有する、コンピュータ・ネットワーク内で機能することが好ましい。各コンピュータ・デバイスは、オペレーティング・システム・レベルでコンピュータ・サーバにより管理される。コンピュータ・ネットワークは、コンピュータ・ネットワークのユーザおよびコンピュータ・デバイスに関連した情報を含む、複数の情報データベースを含む。本方法は、各コンピュータ・サーバ上で、そのコンピュータ・サーバにより管理されている各コンピュータ・デバイスに対応する識別ファイルのセットを生成できるようにする。識別ファイルの全セットは、複数のコンピュータ・サーバから一意の中央違反データベースに収集される。各コンピュータ・デバイスについてネットワーク・アクセス違反のレベルを確定するために、識別ファイルの各セットと複数の情報データベースとが関連付けられる。各コンピュータ・デバイスに対応する違反メッセージは、ネットワーク・アクセス違反のレベルに基づき生成される。
本発明は、独立請求項において定義されているとおりの方法、システムおよびコンピュータ・プログラムを対象とする。
本発明の態様によれば、ＴＣＰ／ＩＰプロトコル・ベースのネットワーク内への侵入を試行しているデバイスを特定することを目的として提案された、添付の請求項１に記載の方法が提示される。本方法は、複数の管理対象デバイスを含むネットワークにおいて機能し、管理対象デバイスの中の少なくとも１つの管理対象デバイスは、セキュリティ・イベント・ログを処理する。本方法は、以下の工程を含む：
該少なくとも１つの管理対象デバイスにおいて、入方向のＴＣＰ／ＩＰ接続を検出する工程、
該少なくとも１つの管理対象デバイスのＴＣＰ／ＩＰスタックから、検出された入接続を生成しているデバイスに関係した全ＴＣＰ／ＩＰ情報を抽出する工程、
入方向のＴＣＰ／ＩＰ接続のポート番号を定義済みポート番号のセットと比較する工程、
比較が一致した場合は、検出された入方向のＴＣＰ／ＩＰ接続に関連した全イベント・ログ情報を、セキュリティ・イベント・ログから読み出す工程、および
検出された入方向のＴＣＰ／ＩＰ接続を生成しているデバイスのＴＣＰ／ＩＰ情報およびイベント・ログ情報を、違反ログ・ファイルに収集する工程。
本発明のさらなる実施形態は、添付の従属請求項中で提供される。
商用形態では、方法の請求項のいずれか１項に従った方法をコンピュータ・マシンが実行できるようにするコンピュータ可読プログラム手段が、コンピュータ・マシンによって読み取り可能なプログラム記憶デバイスに具現化される。
コンピュータ・プログラム製品は、クライアント・マシンへロード／ダウンロードされ、中央違反マシンにより遠隔監視されてもよい。この中央違反マシンは、プログラム実行の終わりに受信される違反ログ・ファイルを解読する。違反レポートは、ネットワーク管理者へ侵入を通知するよう、違反が起きた場合に生成されればよい。
本発明の詳細な説明に入る前に、以降この文書で使用される用語は、以下の意味を有する。
ＴＣＰ／ＩＰプロトコル（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ：伝送制御プロトコル／インターネット・プロトコル）：ネットワークを通したデータ伝送の標準として、加えて標準インターネット・プロトコルの基礎として使用される、コンピュータ間の通信用のプロトコル。
ＴＣＰ／ＩＰポート番号：ポートは論理接続の終点である。一部のポートは、事前割り当てされた番号を有する。ポート番号は、ウェルノウン・ポート、レジスタード・ポート、ならびに、ダイナミック・ポートまたはプライベート・ポートあるいはその両方の、３つの範囲に分けられる。ウェルノウン・ポートは、０から１０２３までのものである。レジスタード・ポートは、１０２４から４９１５１までのものである。ダイナミック・ポートまたはプライベート・ポートあるいはその両方は、４９１５２から６５５３５までのものである。
ＴＣＰ／ＩＰスタック：ＴＣＰ／ＩＰプロトコルのソフトウェアによる実現。ネットワーク内で管理されているあらゆるデバイスに関連した、全ＴＣＰ／ＩＰ情報を収集する。
ＩＰアドレス（インターネット・プロトコル・アドレス）：ＩＰネットワーク（ＴＣＰ／ＩＰネットワーク）に接続されたデバイスのアドレス。クライアント、サーバおよびネットワーク・デバイスはどれも、各ネットワーク接続用に一意のＩＰアドレスを有する。
ホスト名：一意の名前であり、デバイスはこの名前によってネットワーク上で認識される。
セキュリティ・イベント・ログ：あらゆるセキュリティ・イベントに関係した全情報を記録するログ・ファイル。イベントは、オペレーティング・システムが実行されているのと同じコンピュータにある、ハード・ディスク・ドライブなどの記憶装置にローカルに記録される。イベント記録のプロセスは、ネットワークを通して行われてもよく、その場合イベントは、イベントが起こるホスト・コンピュータから離れた別のコンピュータ上で記録される。セキュリティ・イベント・ログには、有効なログオン試行および無効なログオン試行を含むことができる。各種類のイベントは、固有番号を用いて参照される。
イベントＩＤ：イベントの種類を特定する番号。
Ｕｓｅｒｉｄ：共有コンピューティング・システム上で、特定ユーザのアカウントを一意的に特定する名前。
本発明の侵入検出ツールが動作するのに好適なネットワーク環境が、図１に示されている。図示されているとおり、構内ネットワークは、ルータ１００、スイッチ１０２、１０６（イーサネット（登録商標）のものが好ましい）、メール・サーバ１０８、オペレーティング・システム・サーバ（Ｗｉｎｄｏｗｓ（登録商標） １１０、ＡＩＸ（ＩＢＭ社の登録商標）１１２、ＯＳ／２（ＩＢＭ社の登録商標）１１４）、および中央違反データベース１１６を含む。ネットワークへのアクセスを試行する第１の攻撃側デバイスを図示するために、ローカル構内ネットワーク内の第１パーソナル・コンピュータ１０４が、イーサネット（登録商標）・スイッチ１０２を介してネットワークへつながれた状態で示されている。ネットワークへのアクセスを試行する第２の攻撃側デバイスを図示するために、物理的にローカル構内ネットワークの外側に位置する第２パーソナル・コンピュータ１２０が、ルータ１００を介してローカル構内ネットワークにつながれた状態で示されている。攻撃側デバイスは、ワークステーションもしくはサーバ、またはより一般的には、ネットワークに入ることができる任意のコンピュータ・デバイスであると考えられる。
本発明の主な狙いは、一方をＴＣＰ／ＩＰスタック情報、他方をＷｉｎｄｏｗｓ（登録商標）セキュリティ・イベント・ログ情報とする、２つの独立した情報間の関連付けを行うことによって、不正ログオンを追跡することである。本方法は、セキュリティ・イベント・ログに格納されたワークステーション／コンピュータ名と、このワークステーション／コンピュータ名に関係したＴＣＰ／ＩＰ情報との関連性を確立できるようにする。
入方向または出方向のＴＣＰ／ＩＰ接続の全詳細を含むログ・ファイルは、新たな接続に伴い絶えず更新される。
１３７／１３９／４４５ＴＣＰ／ＩＰポートの１つが検出されると、すぐにセキュリティ・イベント・ログが探索され、このＮｅｔＢＩＯＳ接続が不正ログオンを作成しているかどうかが確認される。
発信者デバイスが少なくとも１つの不正なログオンを作成すると、この攻撃側デバイス（図１の１０４または１２０あるいはその両方）に関するすべての論理情報および物理情報が、ＴＣＰ／ＩＰスタックおよびセキュリティ・イベント・ログの両方から読み出される。
読み出される論理情報は、以下を含む：
ＩＰアドレス；
ネットワーク・ホスト名；
そのネットワーク・アダプタのＭＡＣアドレス；
ワークステーション／コンピュータ名；
ｕｓｅｒｉｄ；
このｕｓｅｒｉｄが、サーバ上で定義されている許可されたｕｓｅｒｉｄのリストに存在するかどうか；
このｕｓｅｒｉｄが、ワーム・ウイルスにより使用されるデフォルトのｕｓｅｒｉｄすべてを含むＳＰＹリスト内に存在するかどうか。
読み出される物理情報は、以下を含む：
国；
建物；
階；
イーサネット・スイッチの識別情報；
このスイッチのポート番号。
当該情報は全て、ネットワーク管理者（単数または複数）にセキュリティ違反が発生していることをリアル・タイムで通知するために、中央違反データベース１１６に収集および追加される。
加えて、１通またはそれより多くの情報メールが、１人またはそれより多くの受信者に送信されてもよい。
ここで図２を参照すると、本発明の全般的なプロセスの好適な実施形態が図示されている。このプロセスは、Ｗｉｎｄｏｗｓ（登録商標）環境（Ｗｉｎｄｏｗｓ（登録商標） ２０００ Ｐｒｏｆｅｓｓｉｏｎａｌ、Ｓｅｒｖｅｒ ２０００、Ｓｅｒｖｅｒ ２００３またはＷｉｎｄｏｗｓ（登録商標） ＸＰ Ｐｒｏｆｅｓｓｉｏｎａｌ）で動作している任意のコンピュータ・デバイス上で実行されるものであることが好ましい。
第１の工程２００において、解析デバイスの起動からプロセスが開始する。
工程２０２において、プロセスは、該プロセスが動作している解析デバイスの、オペレーティング・システムを確認する。
工程２０４において、構成ファイル（一般的に「．ＩＮＩ」ファイルと名づけられている）に定義された複数の構成パラメータが以下のように特定および格納される：
［ＭＡＩＬ］
ＳＥＮＤＩＮＧ＝ＹＥＳ
［ＳＥＲＶＥＲ］
ＭＡＩＬＳＥＲＶＥＲ＝“＜ｍａｉｌ ｓｅｒｖｅｒ ａｄｄｒｅｓｓ＞”
［ＤＥＳＴＩＮＡＴＩＯＮ］
ＭＡＩＬ１＝“＜ｍａｉｌ ｒｅｃｉｐｉｅｎｔ １＞”
ＭＡＩＬ２＝“＜ｍａｉｌ ｒｅｃｉｐｉｅｎｔ ２＞”
ＢＣＣ＝“＜ｍａｉｌ ｂｌａｎｋ ｃｏｐｙ＞”
［ＳＰＥＥＤ］
ＩＮＴＥＲＶＡＬ＝２ｓｅｃ．
［ＭＡＣ＿ＡＤＤＲＥＳＳ］
ＭＡＣ＝ＹＥＳ
［ＬＯＧＦＩＬＥ］
ＭＡＸＳＩＺＥ＝１００００ｂｙｔｅｓ
［ＰＯＰＵＰ］
ＳＨＯＷ＝ＹＥＳ
当然のことながら、これら２サイクル間の時間間隔などのパラメータは、ネットワーク特性に応じて調整されるとよい。
工程２０６において、プロセスは、現在のログ・ファイルのサイズを「．ＩＮＩ」ファイル内で事前に定義されているＭＡＸＳＩＺＥパラメータと比較する。現在値がＭＡＸＳＩＺＥ値よりも大きいと、プロセスは工程２０８へ進み（分岐のはい）、ここでログ・ファイルが空にされる。
現在値がＭＡＸＳＩＺＥ値よりも低いと、プロセスは工程２１０へ進む（分岐のいいえ）。
工程２１０において、プロセスは、工程２１２でさらにＩＰスタック情報を格納するために、ＩＰスタック・メモリ・アレイを作成する。
工程２１２において、よく知られているＷｉｎｄｏｗｓ（登録商標）「ＧｅｔＴｃｐＴａｂｌｅ」ＡＰＩから、ＩＰスタック情報が瞬時に読み取られる。このＡＰＩに関するさらに詳しい情報は、例えばｈｔｔｐ：／／ｍｓｄｎ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍ／ｌｉｂｒａｒｙ／ｄｅｆａｕｌｔ．ａｓｐ？ｕｒｌ＝／ｌｉｂｒａｒｙ／ｅｎ−ｕｓ／ｉｐｈｌｐ／ｉｐｈｌｐ／ｇｅｔｔｃｐｔａｂｌｅ．ａｓｐで見つけられるであろう。
前述のＡＰＩは、以下の情報を提供する：
解析デバイスのローカルＩＰアドレス；
解析デバイスのローカルＴＣＰ通信ポート；
攻撃側デバイスのリモートＩＰアドレス；
攻撃側デバイスのリモートＴＣＰ通信ポート；および
攻撃側デバイスのリモート・ホスト名。
次に工程２１３において、プロセスはＡＰＩの深さの終点をテストする。このテストは、それが記録される最後の接続であるかどうかを確認することを目的とする。ＡＰＩが終了されていなければ（分岐のいいえ）プロセスは工程２１４へ進み、そうでなくＡＰＩの最後の記録であれば（分岐のはい）プロセスは工程２０４へ進んで「．ＩＮＩ」ファイル読み取りサイクルを再開する。
工程２１４において、プロセスは、先に工程２１２において読み取られた最新接続情報を、前回の読み取りサイクルから存在する接続情報と比較する。このテストは、どの接続が新しいかを確認することを目的とする。新たな接続が発見されなければ（分岐のいいえ）、プロセスは工程２０４へ戻って新たな「．ＩＮＩ」ファイル読み取りサイクルを開始する。新たな接続が少なくとも１つ発見されると（分岐のはい）、プロセスは工程２１６を続行する。
工程２１６において、プロセスは不要なＩＰアドレスをフィルタする。好適な実装では、「１２７．０．０．１」または「０．０．０．０」に相当する不要なＩＰアドレスは、記録するほど重要ではないものとして分類される。
不要値の１つと合う場合（分岐のはい）、プロセスは工程２１３へ戻り、次のアクティブ接続を解析する。
不要値と合わない場合（分岐のいいえ）、プロセスは工程２１８を続行する。
工程２１８において、プロセスは、発見された新たな接続情報を、１つのＩＰスタック・メモリ・アレイに格納して工程２２０へ進む。
工程２２０において、プロセスは、現在解析対象である接続の中に１３７、１３９または４４５ポートのうちの１つが存在するかどうか探索する。テスト結果が「いいえ」であれば、プロセスは工程２２６へ進み、そうでなく、テスト結果がウイルス攻撃の可能性があることを意味する「はい」であれば、プロセスは工程２２２を続行する。
工程２２２において、プロセスは、現在解析対象である接続のネットワーク・ホスト名を読み出す。ネットワーク・ホスト名は、固定ホスト名、または動的ホスト構成プロトコル（ＤＨＣＰ：Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバによって分配される動的なもののうちの、いずれかである。続いて、プロセスは工程２２４へ進む。
工程２２４において、プロセスはサブルーチンを呼び出し、セキュリティ・イベント・ログを解析する。このプロセスは、図４を参照してさらに詳説される。ルーチン工程２２４が完了すると、プロセスは工程２２６へ進む。
工程２２６において、先のセキュリティ・イベント解析の結果により、違反結果ログ・ファイルに新たなエントリが追加される。以下のように、異なる３タイプのエントリを書き込めることが好ましい。
解析された接続がＮｅｔＢＩＯＳ接続ではない場合、少なくとも以下のフィールドが記録に含まれる：
日付および時間
ローカルＩＰアドレス
ローカルＩＰポート
リモートＩＰアドレス
リモートＩＰポート。
解析された接続はＮｅｔＢＩＯＳ接続であるが、違反は検出されていない場合、先に記載したフィールドに加えてホスト名が記録に含まれる。
解析された接続はＮｅｔＢＩＯＳ接続であり、違反が検出された場合、ワークステーション／コンピュータ名および違反に使用されたｕｓｅｒｉｄなど、攻撃側デバイスを特定するための補足情報が記録に含まれる。下のリストはそのような詳細情報を例示する：
日付および時間
ローカルＩＰアドレス
ローカルＩＰポート
リモートＩＰアドレス
リモート・ポート・アドレス
ホスト名
ワークステーション名
違反に使用されたｕｓｅｒｉｄ
ＭＡＣアドレス
違反の警告レベル（低、中、高）
エントリが違反ログ・ファイルに記録されると、プロセスは工程２２８へ進む。
工程２２８において、先のエントリがタイプＩＩＩのエントリであると確認されると、プロセスは工程２３０へ進み、そうでない場合、プロセスは工程２１３へ戻る。
工程２３０において、セキュリティ・イベント・ログの詳細、ＩＰスタック情報と、警告レベルなどの全追加情報との両方を含む完全情報が、最終違反レポートとして中央違反データベースへ送信される。続いて、プロセスは工程２１３へ戻る。
図３は、ウイルス攻撃に関するこのような違反レポートの例を示す。ウィンドウの上部には、警告メッセージが配置されている。例示されたウィンドウは幾つかの領域に分割され、それぞれ、被害側デバイス、攻撃側デバイスのＴＣＰ／ＩＰスタック、攻撃の論理情報および物理情報に関連した情報を提供する。
ここで図４へ進み、セキュリティ・イベント・ログから情報を読み取るプロセスをここから説明する。
工程４００において、工程２２４から呼び出されたプロセスが開始する。
工程４０２において、プロセスを実行しているデバイスのローカル・ホスト名が読み出される。
工程４０４において、プロセスは、セキュリティ・イベント・ログから最新の違反イベントを抽出する。当業者には知られているとおり、セキュリティ・イベント・ログは複数の情報フィールドを含み、その中にはセキュリティ・イベントの性質を識別する、よく知られた「イベントＩＤ」がある。工程４０４で、イベントＩＤ「５２９、５３０、５３１、５３２、５３３、５３４、５３５、５３７および５３９」が分類され、これらのイベントＩＤのみに該当する違反情報が抽出されることが好ましい。イベントＩＤに関するさらなる情報は、例えばｈｔｔｐ：／／ｓｕｐｐｏｒｔ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍ／ｄｅｆａｕｌｔ．ａｓｐｘ？ｓｃｉｄ＝ｋｂ；ｅｎ−ｕｓ；３０５８２２＆ｓｄ＝ｅｅで得られるであろう。
次に工程４０６において、プロセスは、前回のプロセス実行以降に不正（無効）ログオンが発生したかを確認する。
不正ログオンが検出されると、プロセスはこの不正ログオンを、工程２２０で検出された最も新しいＮＥＴＢＩＯＳ接続に関連付け、工程４１０へ進む。
不正ログオンが検出されなければ、プロセスは工程４３６へ続く。
工程４１０において、プロセスは、ローカル・デバイス上に定義されている複数のｕｓｅｒｉｄを抽出する。
次に工程４１２において、プロセスは、最新の違反により発見されたｕｓｅｒｉｄを、ローカル・デバイス上で先に発見および定義されているｕｓｅｒｉｄと比較する。
違反に使用されたｕｓｅｒｉｄが、ローカル・デバイスに定義された複数のｕｓｅｒｉｄのうちの１つである場合、プロセスは工程４１４へ続き、「低」レベルの警告を設定する（工程４１４）。続いて、プロセスは工程４２２へ続く。
違反に使用されたｕｓｅｒｉｄがローカル・デバイスに定義された複数のｕｓｅｒｉｄのうちの１つでない場合、プロセスは工程４１６へ続く。
工程４１６において、プロセスは、違反に使用されたｕｓｅｒｉｄを、ローカルにあるＳＰＹリスト内で定義されているｕｓｅｒｉｄと比較する。
ＳＰＹリストは、当業者には知られているとおり、ウイルスによって継続的に使用されているｕｓｅｒｉｄ全てを参照用に記載したものである。
違反に使用されたｕｓｅｒｉｄが、ＳＰＹリストのｕｓｅｒｉｄのうちの１つである場合、プロセスは工程４２０へ進んで、ウイルス攻撃に関する「高」レベルの警告を設定する。続いて、プロセスは工程４２２へ続く。
違反に使用されたｕｓｅｒｉｄがＳＰＹリストのｕｓｅｒｉｄのうちの１つでない場合、プロセスは工程４１８へ進み、「中」レベルの警告を設定する。
次の工程４２２において、プロセスは、工程２０４で読み取られたパラメータに基づき、攻撃側デバイスのＭＡＣアドレスを読み出す。
工程４２４において、新たなサブルーチン「ＬＯＣＡＴＩＯＮ」が開始され、攻撃側デバイスのＩＰアドレスが、各ＩＰアドレスの物理的位置を定義するネットワーク・インフラストラクチャ・データベースに含まれたＩＰアドレスのリストと比較される。
工程４２６において、攻撃側デバイスのＩＰアドレスがネットワーク・インフラストラクチャ・データベースに存在するもののうちの１つであるかどうかを判断するために、テストが行われる。
はいの場合、プロセスは、工程４２８へ続き、攻撃側デバイスの所有者に関係する全情報が、ネットワーク・インフラストラクチャ・データベースから抽出される。この情報は、工程２３０で送信される違反レポートに追加される。続いてプロセスは、工程４３４へ進む。
いいえの場合、攻撃側デバイスのＩＰアドレスはネットワーク・インフラストラクチャ・データベース内で発見されなかったことを意味し、プロセスは工程４３０へ続く。
工程４３０において、プロセスは、位置探索を広げ、ＩＰアドレスの同一グループに関連する全デバイスの位置を確認できるようにする。これを行うためには、攻撃側デバイスのＩＰアドレスを切り捨てして最後の範囲を削除する（例えば、「９．３６．１６４．７６」の代わりに「９．３６．１６４」で新たに探索する）。
探索結果が「はい」で、同じＩＰアドレスの範囲を有するデバイス・グループが特定されたことを意味する場合、プロセスは工程４２８へ続き、そうでない場合、プロセスは工程４３２へ進む。
工程４３２において、後で工程２３０において送信される最終違反レポートに、「位置不明」に関するコメントが追加される。
次の工程４３４において、後で工程２３０において送信される最終違反レポートに、ローカル・デバイスのＩＰアドレスが追加される。
続いて、最後に工程４３６において、サブルーチンは工程２２６の最初の呼び出しプロセスへ戻る。
要約すると、本発明は、ウイルス攻撃を検出すること、および攻撃されたデバイスのユーザが攻撃に気づく前に即座にネットワーク管理者へ警報を出すことを可能にする。
さらに、迅速なウイルス検出により、ネットワーク管理者はウイルス攻撃の拡散を制御および軽減でき、それによってウイルス攻撃の影響による費用を大幅に削減できる。
本発明は、任意のウイルス攻撃の検出に関して説明されているが、当然のことながら、リアル・タイムであらゆる無効なアクセスを監視し迅速に必要な処置をするために、容易に使用できる。
最後に、本発明のもう１つの他の利点は、ＣＰＵリソースがあまり使用されないことである。
本発明の方法を実行するネットワーク・インフラストラクチャの全体図である。 本発明の方法の好適な実施形態の段階のフロー・チャートである。 最終違反レポートの画像である。 セキュリティ・イベント・ログを解析するプロセス段階のフロー・チャートである。

Claims (19)

  1. 複数の管理対象デバイス（１０８、１１０、１１２、１１４、１１６）を有するＴＣＰ／ＩＰプロトコル・ベースのネットワーク内への侵入を試行するデバイス（１０４、１２０）を特定する方法であって、前記ネットワークは、セキュリティ・イベント・ログを処理する少なくとも１つの管理対象デバイスをさらに有し、前記方法は、
    前記少なくとも１つの管理対象デバイスにおいて入方向のＴＣＰ／ＩＰ接続を検出する工程と、
    前記検出された入方向の接続を生成している前記デバイスに関係する全ＴＣＰ／ＩＰ情報を、前記少なくとも１つの管理対象デバイスのＴＣＰ／ＩＰスタックから抽出する工程と、
    前記入方向のＴＣＰ／ＩＰ接続のポート番号を、定義済みポート番号のセットと比較する工程と、
    前記比較が一致した場合、前記検出された入方向のＴＣＰ／ＩＰ接続に関連した全イベント・ログ情報を、前記セキュリティ・イベント・ログから読み出す工程と、
    前記検出された入方向のＴＣＰ／ＩＰ接続を生成している前記デバイスの、前記ＴＣＰ／ＩＰ情報および前記イベント・ログ情報を、違反ログ・ファイルに収集する工程と
    を含む、方法。
  2. 定義済みポート番号の前記セットは、ポート番号１３７、１３９および４４５を含む、請求項１に記載の方法。
  3. セキュリティ・イベント・ログを処理する前記少なくとも１つの管理対象デバイスは、Ｗｉｎｄｏｗｓ（登録商標）オペレーティング・システム上で動作する、請求項１または２に記載の方法。
  4. 前記ＴＣＰ／ＩＰ情報を抽出する前記工程は、Ｗｉｎｄｏｗｓ（登録商標）「ＧｅｔＴｃｐＴａｂｌｅ」ＡＰＩを読み取る工程を含む、請求項１、２または３に記載の方法。
  5. 前記検出工程の後に、前記入方向のＴＣＰ／ＩＰ接続のＩＰアドレスを不要なＩＰアドレスのセットと比較し、一致する場合には識別プロセスを停止する工程をさらに含む、請求項１〜４のうちのいずれか１項に記載の方法。
  6. 不要なＩＰアドレスの前記セットは、「１２７．０．０．１」および「０．０．０．０」に相当するＩＰアドレスを含む、請求項５に記載の方法。
  7. 前記ポート番号の比較工程において一致する場合、前記検出された入方向のＴＣＰ／ＩＰ接続を生成している前記デバイスのホスト名を読み出す工程を、前記比較工程の後にさらに含む、請求項１〜６のうちのいずれか１項に記載の方法。
  8. 前記セキュリティ・イベント・ログ情報を読み出す前記工程は、前記少なくとも１つの管理対象デバイスのホスト名を読み出す工程をさらに含む、請求項１〜７のうちのいずれか１項に記載の方法。
  9. 前記入方向のＴＣＰ／ＩＰ接続のイベントＩＤの値に従い、前記入方向の接続をフィルタする工程をさらに含む、請求項１〜８のうちのいずれか１項に記載の方法。
  10. 前記入方向のＴＣＰ／ＩＰ接続のログオン情報が１つまたは複数のフィルタのセットを満たすかどうかを確認する工程をさらに含む、請求項１〜９のうちのいずれか１項に記載の方法。
  11. １つまたは複数のフィルタの前記セットは、無許可ログオンのリストを１つまたは複数含む、請求項１０に記載の方法。
  12. 前記セキュリティ・イベント・ログ情報を読み出す前記工程は、前記ＴＣＰ／ＩＰの入方向の接続を生成している前記デバイスのＭＡＣアドレスを読み出す工程をさらに含む、請求項１１に記載の方法。
  13. 前記入方向のＴＣＰ／ＩＰ接続を生成している前記デバイスの前記ＩＰアドレスを、前記ＴＣＰ／ＩＰプロトコル・ベースのネットワークに関し定義されたＩＰアドレスのセットと比較する工程をさらに含む、請求項１２に記載の方法。
  14. 前記ＴＣＰ／ＩＰ情報と共に収集された前記イベント・ログ情報は、前記入方向のＴＣＰ／ＩＰ接続を生成している前記デバイスの論理情報および物理的位置情報を含む、請求項１〜１３のうちのいずれか１項に記載の方法。
  15. 前記収集された情報を中央違反データベースへ送信して、侵入が特定されたことを示す工程をさらに含む、請求項１〜１４のうちのいずれか１項に記載の方法。
  16. 複数の管理対象デバイス（１０８、１１０、１１２、１１４、１１６）を有するＴＣＰ／ＩＰプロトコル・ベースのネットワーク内への侵入を試行しているデバイス（１０４、１２０）を特定するシステムであって、前記ネットワークは、セキュリティ・イベント・ログを処理する少なくとも１つの管理対象デバイスをさらに有し、前記システムは、請求項１〜１５のうちのいずれか１項に記載の前記方法の前記工程それぞれを実施する手段を含む、システム。
  17. コンピュータ・マシンにより読み取り可能な媒体に格納されたコンピュータ・プログラム製品であって、前記コンピュータ・マシンに請求項１〜１５のうちのいずれか１項による前記方法を実行させる可読プログラム手段を有形に具現化する、前記コンピュータ・プログラム製品。
  18. Ｗｉｎｄｏｗｓ（登録商標）ベースの複数のデバイスを有するＴＣＰ／ＩＰベースのネットワークにおいて、セキュリティ・イベントの記録を残すようセキュリティ・イベント記録プロシージャを使用して、セキュリティ・イベントを監視する方法であって、前記Ｗｉｎｄｏｗｓ（登録商標）ベースのデバイスは中央違反データベースにつながれ、前記方法は、
    前記Ｗｉｎｄｏｗｓ（登録商標）ベースの複数のデバイスのうちの少なくとも１つにおいて、請求項１に記載の前記方法の前記工程を実行する工程と、
    前記中央違反データベースにおいて、前記実行工程により生成された前記違反ログ・ファイルを受信する工程と、
    前記違反ログ・ファイルを解読し、違反が起こっている場合には、ネットワーク管理者への違反レポートを生成する工程と
    を含む方法。
  19. 前記実行工程の前に、請求項１７に記載の前記コンピュータ・プログラム製品を、前記Ｗｉｎｄｏｗｓ（登録商標）ベースの複数のデバイスのうちの前記少なくとも１つにロードする工程をさらに含む、請求項１８に記載の方法。
JP2008515191A 2005-06-06 2006-05-31 Ｔｃｐ／ｉｐプロトコル・ベースのネットワーク内への侵入を試行するデバイスを識別する方法およびコンピュータ・プログラム Active JP4742144B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP05300457 2005-06-06
PCT/EP2006/062766 WO2006131475A1 (en) 2005-06-06 2006-05-31 Computer network intrusion detection system and method

Publications (2)

Publication Number Publication Date
JP2009539271A true JP2009539271A (ja) 2009-11-12
JP4742144B2 JP4742144B2 (ja) 2011-08-10

Family

ID=37081617

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008515191A Active JP4742144B2 (ja) 2005-06-06 2006-05-31 Ｔｃｐ／ｉｐプロトコル・ベースのネットワーク内への侵入を試行するデバイスを識別する方法およびコンピュータ・プログラム

Country Status (8)

Country Link
US (2) US8272054B2 (ja)
EP (1) EP1889443B1 (ja)
JP (1) JP4742144B2 (ja)
CN (1) CN101176331B (ja)
AT (1) ATE459184T1 (ja)
CA (1) CA2610350C (ja)
DE (1) DE602006012479D1 (ja)
WO (1) WO2006131475A1 (ja)

Families Citing this family (163)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8171553B2 (en) 2004-04-01 2012-05-01 Fireeye, Inc. Heuristic based capture with replay to virtual machine
US9106694B2 (en) 2004-04-01 2015-08-11 Fireeye, Inc. Electronic message analysis for malware detection
US8528086B1 (en) 2004-04-01 2013-09-03 Fireeye, Inc. System and method of detecting computer worms
US8898788B1 (en) 2004-04-01 2014-11-25 Fireeye, Inc. Systems and methods for malware attack prevention
US8881282B1 (en) 2004-04-01 2014-11-04 Fireeye, Inc. Systems and methods for malware attack detection and identification
US7587537B1 (en) 2007-11-30 2009-09-08 Altera Corporation Serializer-deserializer circuits formed from input-output circuit registers
US8584239B2 (en) 2004-04-01 2013-11-12 Fireeye, Inc. Virtual machine with dynamic data flow analysis
US8549638B2 (en) 2004-06-14 2013-10-01 Fireeye, Inc. System and method of containing computer worms
US8793787B2 (en) 2004-04-01 2014-07-29 Fireeye, Inc. Detecting malicious network content using virtual environment components
US8566946B1 (en) 2006-04-20 2013-10-22 Fireeye, Inc. Malware containment on connection
US8646038B2 (en) * 2006-09-15 2014-02-04 Microsoft Corporation Automated service for blocking malware hosts
US8850571B2 (en) 2008-11-03 2014-09-30 Fireeye, Inc. Systems and methods for detecting malicious network content
US8997219B2 (en) 2008-11-03 2015-03-31 Fireeye, Inc. Systems and methods for detecting malicious PDF network content
CN101662480B (zh) * 2009-09-01 2012-03-07 卡斯柯信号有限公司 一种基于访问控制的日志系统
US8832829B2 (en) 2009-09-30 2014-09-09 Fireeye, Inc. Network-based binary file extraction and analysis for malware detection
CN102026253B (zh) * 2010-12-21 2014-04-02 大唐移动通信设备有限公司 告警上报和处理方法、系统及设备
US20120259870A1 (en) * 2011-04-07 2012-10-11 Infosys Technologies Limited Method and system for establishing sorting order for events
CN102663274B (zh) * 2012-02-07 2015-12-02 北京奇虎科技有限公司 一种检测远程入侵计算机行为的方法及系统
US10572665B2 (en) 2012-12-28 2020-02-25 Fireeye, Inc. System and method to create a number of breakpoints in a virtual machine via virtual machine trapping events
US9159035B1 (en) 2013-02-23 2015-10-13 Fireeye, Inc. Framework for computer application analysis of sensitive information tracking
US9176843B1 (en) 2013-02-23 2015-11-03 Fireeye, Inc. Framework for efficient security coverage of mobile software applications
US9824209B1 (en) 2013-02-23 2017-11-21 Fireeye, Inc. Framework for efficient security coverage of mobile software applications that is usable to harden in the field code
US9009823B1 (en) 2013-02-23 2015-04-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications installed on mobile devices
US9195829B1 (en) 2013-02-23 2015-11-24 Fireeye, Inc. User interface with real-time visual playback along with synchronous textual analysis log display and event/time index for anomalous behavior detection in applications
US9367681B1 (en) 2013-02-23 2016-06-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications using symbolic execution to reach regions of interest within an application
US9009822B1 (en) 2013-02-23 2015-04-14 Fireeye, Inc. Framework for multi-phase analysis of mobile applications
US8990944B1 (en) 2013-02-23 2015-03-24 Fireeye, Inc. Systems and methods for automatically detecting backdoors
US9565202B1 (en) * 2013-03-13 2017-02-07 Fireeye, Inc. System and method for detecting exfiltration content
US9104867B1 (en) 2013-03-13 2015-08-11 Fireeye, Inc. Malicious content analysis using simulated user interaction without user involvement
US9626509B1 (en) 2013-03-13 2017-04-18 Fireeye, Inc. Malicious content analysis with multi-version application support within single operating environment
US9355247B1 (en) 2013-03-13 2016-05-31 Fireeye, Inc. File extraction from memory dump for malicious content analysis
US9311479B1 (en) 2013-03-14 2016-04-12 Fireeye, Inc. Correlation and consolidation of analytic data for holistic view of a malware attack
US9430646B1 (en) 2013-03-14 2016-08-30 Fireeye, Inc. Distributed systems and methods for automatically detecting unknown bots and botnets
US10713358B2 (en) 2013-03-15 2020-07-14 Fireeye, Inc. System and method to extract and utilize disassembly features to classify software intent
US9413781B2 (en) 2013-03-15 2016-08-09 Fireeye, Inc. System and method employing structured intelligence to verify and contain threats at endpoints
US9251343B1 (en) 2013-03-15 2016-02-02 Fireeye, Inc. Detecting bootkits resident on compromised computers
US9495180B2 (en) 2013-05-10 2016-11-15 Fireeye, Inc. Optimized resource allocation for virtual machines within a malware content detection system
US9635039B1 (en) 2013-05-13 2017-04-25 Fireeye, Inc. Classifying sets of malicious indicators for detecting command and control communications associated with malware
US9536091B2 (en) 2013-06-24 2017-01-03 Fireeye, Inc. System and method for detecting time-bomb malware
US10133863B2 (en) 2013-06-24 2018-11-20 Fireeye, Inc. Zero-day discovery system
US9888016B1 (en) 2013-06-28 2018-02-06 Fireeye, Inc. System and method for detecting phishing using password prediction
US9300686B2 (en) 2013-06-28 2016-03-29 Fireeye, Inc. System and method for detecting malicious links in electronic messages
US9690936B1 (en) 2013-09-30 2017-06-27 Fireeye, Inc. Multistage system and method for analyzing obfuscated content for malware
US9171160B2 (en) 2013-09-30 2015-10-27 Fireeye, Inc. Dynamically adaptive framework and method for classifying malware using intelligent static, emulation, and dynamic analyses
US9628507B2 (en) 2013-09-30 2017-04-18 Fireeye, Inc. Advanced persistent threat (APT) detection center
US10515214B1 (en) 2013-09-30 2019-12-24 Fireeye, Inc. System and method for classifying malware within content created during analysis of a specimen
US9294501B2 (en) 2013-09-30 2016-03-22 Fireeye, Inc. Fuzzy hash of behavioral results
US9736179B2 (en) 2013-09-30 2017-08-15 Fireeye, Inc. System, apparatus and method for using malware analysis results to drive adaptive instrumentation of virtual machines to improve exploit detection
US10192052B1 (en) 2013-09-30 2019-01-29 Fireeye, Inc. System, apparatus and method for classifying a file as malicious using static scanning
US9921978B1 (en) 2013-11-08 2018-03-20 Fireeye, Inc. System and method for enhanced security of storage devices
US9189627B1 (en) 2013-11-21 2015-11-17 Fireeye, Inc. System, apparatus and method for conducting on-the-fly decryption of encrypted objects for malware detection
US9747446B1 (en) 2013-12-26 2017-08-29 Fireeye, Inc. System and method for run-time object classification
US9756074B2 (en) 2013-12-26 2017-09-05 Fireeye, Inc. System and method for IPS and VM-based detection of suspicious objects
US9507935B2 (en) 2014-01-16 2016-11-29 Fireeye, Inc. Exploit detection system with threat-aware microvisor
US9262635B2 (en) 2014-02-05 2016-02-16 Fireeye, Inc. Detection efficacy of virtual machine-based analysis with application specific events
US9241010B1 (en) 2014-03-20 2016-01-19 Fireeye, Inc. System and method for network behavior detection
US10242185B1 (en) 2014-03-21 2019-03-26 Fireeye, Inc. Dynamic guest image creation and rollback
US9591015B1 (en) 2014-03-28 2017-03-07 Fireeye, Inc. System and method for offloading packet processing and static analysis operations
US9432389B1 (en) 2014-03-31 2016-08-30 Fireeye, Inc. System, apparatus and method for detecting a malicious attack based on static analysis of a multi-flow object
US9223972B1 (en) 2014-03-31 2015-12-29 Fireeye, Inc. Dynamically remote tuning of a malware content detection system
US9594912B1 (en) 2014-06-06 2017-03-14 Fireeye, Inc. Return-oriented programming detection
US9438623B1 (en) 2014-06-06 2016-09-06 Fireeye, Inc. Computer exploit detection using heap spray pattern matching
US9973531B1 (en) 2014-06-06 2018-05-15 Fireeye, Inc. Shellcode detection
US10084813B2 (en) 2014-06-24 2018-09-25 Fireeye, Inc. Intrusion prevention and remedy system
US10805340B1 (en) 2014-06-26 2020-10-13 Fireeye, Inc. Infection vector and malware tracking with an interactive user display
US9398028B1 (en) 2014-06-26 2016-07-19 Fireeye, Inc. System, device and method for detecting a malicious attack based on communcations between remotely hosted virtual machines and malicious web servers
US10002252B2 (en) 2014-07-01 2018-06-19 Fireeye, Inc. Verification of trusted threat-aware microvisor
US9363280B1 (en) 2014-08-22 2016-06-07 Fireeye, Inc. System and method of detecting delivery of malware using cross-customer data
US10671726B1 (en) 2014-09-22 2020-06-02 Fireeye Inc. System and method for malware analysis using thread-level event monitoring
US9773112B1 (en) * 2014-09-29 2017-09-26 Fireeye, Inc. Exploit detection of malware and malware families
US10027689B1 (en) 2014-09-29 2018-07-17 Fireeye, Inc. Interactive infection visualization for improved exploit detection and signature generation for malware and malware families
US9690933B1 (en) 2014-12-22 2017-06-27 Fireeye, Inc. Framework for classifying an object as malicious with machine learning for deploying updated predictive models
US10075455B2 (en) 2014-12-26 2018-09-11 Fireeye, Inc. Zero-day rotating guest image profile
US9934376B1 (en) 2014-12-29 2018-04-03 Fireeye, Inc. Malware detection appliance architecture
US9838417B1 (en) 2014-12-30 2017-12-05 Fireeye, Inc. Intelligent context aware user interaction for malware detection
US10165004B1 (en) 2015-03-18 2018-12-25 Cequence Security, Inc. Passive detection of forged web browsers
US9690606B1 (en) 2015-03-25 2017-06-27 Fireeye, Inc. Selective system call monitoring
US10148693B2 (en) 2015-03-25 2018-12-04 Fireeye, Inc. Exploit detection system
US9438613B1 (en) 2015-03-30 2016-09-06 Fireeye, Inc. Dynamic content activation for automated analysis of embedded objects
US10417031B2 (en) 2015-03-31 2019-09-17 Fireeye, Inc. Selective virtualization for security threat detection
US10474813B1 (en) 2015-03-31 2019-11-12 Fireeye, Inc. Code injection technique for remediation at an endpoint of a network
US9483644B1 (en) 2015-03-31 2016-11-01 Fireeye, Inc. Methods for detecting file altering malware in VM based analysis
US9654485B1 (en) 2015-04-13 2017-05-16 Fireeye, Inc. Analytics-based security monitoring system and method
US9594904B1 (en) 2015-04-23 2017-03-14 Fireeye, Inc. Detecting malware based on reflection
US11418520B2 (en) * 2015-06-15 2022-08-16 Cequence Security, Inc. Passive security analysis with inline active security device
US10642753B1 (en) 2015-06-30 2020-05-05 Fireeye, Inc. System and method for protecting a software component running in virtual machine using a virtualization layer
US10454950B1 (en) 2015-06-30 2019-10-22 Fireeye, Inc. Centralized aggregation technique for detecting lateral movement of stealthy cyber-attacks
US10726127B1 (en) 2015-06-30 2020-07-28 Fireeye, Inc. System and method for protecting a software component running in a virtual machine through virtual interrupts by the virtualization layer
US11113086B1 (en) 2015-06-30 2021-09-07 Fireeye, Inc. Virtual system and method for securing external network connectivity
CN105138915B (zh) * 2015-08-07 2018-03-06 天脉聚源(北京)传媒科技有限公司 一种进程操作的处理方法及装置
US10715542B1 (en) 2015-08-14 2020-07-14 Fireeye, Inc. Mobile application risk analysis
US10176321B2 (en) 2015-09-22 2019-01-08 Fireeye, Inc. Leveraging behavior-based rules for malware family classification
US10033747B1 (en) 2015-09-29 2018-07-24 Fireeye, Inc. System and method for detecting interpreter-based exploit attacks
US9825989B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Cyber attack early warning system
US9825976B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Detection and classification of exploit kits
US10706149B1 (en) 2015-09-30 2020-07-07 Fireeye, Inc. Detecting delayed activation malware using a primary controller and plural time controllers
US10210329B1 (en) 2015-09-30 2019-02-19 Fireeye, Inc. Method to detect application execution hijacking using memory protection
US10601865B1 (en) 2015-09-30 2020-03-24 Fireeye, Inc. Detection of credential spearphishing attacks using email analysis
US10817606B1 (en) 2015-09-30 2020-10-27 Fireeye, Inc. Detecting delayed activation malware using a run-time monitoring agent and time-dilation logic
US9860273B2 (en) * 2015-10-09 2018-01-02 T-Mobile Usa, Inc. Logging encrypted data communications for QOE analysis
US10284575B2 (en) 2015-11-10 2019-05-07 Fireeye, Inc. Launcher for setting analysis environment variations for malware detection
US10846117B1 (en) 2015-12-10 2020-11-24 Fireeye, Inc. Technique for establishing secure communication between host and guest processes of a virtualization architecture
US10447728B1 (en) 2015-12-10 2019-10-15 Fireeye, Inc. Technique for protecting guest processes using a layered virtualization architecture
US10108446B1 (en) 2015-12-11 2018-10-23 Fireeye, Inc. Late load technique for deploying a virtualization layer underneath a running operating system
US10565378B1 (en) 2015-12-30 2020-02-18 Fireeye, Inc. Exploit of privilege detection framework
US10621338B1 (en) 2015-12-30 2020-04-14 Fireeye, Inc. Method to detect forgery and exploits using last branch recording registers
US10050998B1 (en) 2015-12-30 2018-08-14 Fireeye, Inc. Malicious message analysis system
US10133866B1 (en) 2015-12-30 2018-11-20 Fireeye, Inc. System and method for triggering analysis of an object for malware in response to modification of that object
US10581874B1 (en) 2015-12-31 2020-03-03 Fireeye, Inc. Malware detection system with contextual analysis
US11552986B1 (en) 2015-12-31 2023-01-10 Fireeye Security Holdings Us Llc Cyber-security framework for application of virtual features
US9824216B1 (en) 2015-12-31 2017-11-21 Fireeye, Inc. Susceptible environment detection system
US10785255B1 (en) 2016-03-25 2020-09-22 Fireeye, Inc. Cluster configuration within a scalable malware detection system
US10601863B1 (en) 2016-03-25 2020-03-24 Fireeye, Inc. System and method for managing sensor enrollment
US10616266B1 (en) 2016-03-25 2020-04-07 Fireeye, Inc. Distributed malware detection system and submission workflow thereof
US10671721B1 (en) 2016-03-25 2020-06-02 Fireeye, Inc. Timeout management services
US10893059B1 (en) 2016-03-31 2021-01-12 Fireeye, Inc. Verification and enhancement using detection systems located at the network periphery and endpoint devices
US10826933B1 (en) 2016-03-31 2020-11-03 Fireeye, Inc. Technique for verifying exploit/malware at malware detection appliance through correlation with endpoints
US10169585B1 (en) 2016-06-22 2019-01-01 Fireeye, Inc. System and methods for advanced malware detection through placement of transition events
US10462173B1 (en) 2016-06-30 2019-10-29 Fireeye, Inc. Malware detection verification and enhancement by coordinating endpoint and malware detection systems
US10187414B2 (en) * 2016-07-20 2019-01-22 Cisco Technology, Inc. Differential malware detection using network and endpoint sensors
US10592678B1 (en) 2016-09-09 2020-03-17 Fireeye, Inc. Secure communications between peers using a verified virtual trusted platform module
US10491627B1 (en) 2016-09-29 2019-11-26 Fireeye, Inc. Advanced malware detection using similarity analysis
CN107948125A (zh) * 2016-10-13 2018-04-20 腾讯科技（深圳）有限公司 一种网络攻击的处理方法及装置
US10795991B1 (en) 2016-11-08 2020-10-06 Fireeye, Inc. Enterprise search
US10587647B1 (en) 2016-11-22 2020-03-10 Fireeye, Inc. Technique for malware detection capability comparison of network security devices
US10581879B1 (en) 2016-12-22 2020-03-03 Fireeye, Inc. Enhanced malware detection for generated objects
US10552610B1 (en) 2016-12-22 2020-02-04 Fireeye, Inc. Adaptive virtual machine snapshot update framework for malware behavioral analysis
US10523609B1 (en) 2016-12-27 2019-12-31 Fireeye, Inc. Multi-vector malware detection and analysis
US20180255076A1 (en) 2017-03-02 2018-09-06 ResponSight Pty Ltd System and Method for Cyber Security Threat Detection
US10904286B1 (en) 2017-03-24 2021-01-26 Fireeye, Inc. Detection of phishing attacks using similarity analysis
US10798112B2 (en) 2017-03-30 2020-10-06 Fireeye, Inc. Attribute-controlled malware detection
US10791138B1 (en) 2017-03-30 2020-09-29 Fireeye, Inc. Subscription-based malware detection
US10902119B1 (en) 2017-03-30 2021-01-26 Fireeye, Inc. Data extraction system for malware analysis
US10848397B1 (en) 2017-03-30 2020-11-24 Fireeye, Inc. System and method for enforcing compliance with subscription requirements for cyber-attack detection service
US10601848B1 (en) 2017-06-29 2020-03-24 Fireeye, Inc. Cyber-security system and method for weak indicator detection and correlation to generate strong indicators
US10503904B1 (en) 2017-06-29 2019-12-10 Fireeye, Inc. Ransomware detection and mitigation
US10855700B1 (en) 2017-06-29 2020-12-01 Fireeye, Inc. Post-intrusion detection of cyber-attacks during lateral movement within networks
US10893068B1 (en) 2017-06-30 2021-01-12 Fireeye, Inc. Ransomware file modification prevention technique
US10747872B1 (en) 2017-09-27 2020-08-18 Fireeye, Inc. System and method for preventing malware evasion
US10805346B2 (en) 2017-10-01 2020-10-13 Fireeye, Inc. Phishing attack detection
US11108809B2 (en) 2017-10-27 2021-08-31 Fireeye, Inc. System and method for analyzing binary code for malware classification using artificial neural network techniques
US11005860B1 (en) 2017-12-28 2021-05-11 Fireeye, Inc. Method and system for efficient cybersecurity analysis of endpoint events
US11271955B2 (en) 2017-12-28 2022-03-08 Fireeye Security Holdings Us Llc Platform and method for retroactive reclassification employing a cybersecurity-based global data store
US11240275B1 (en) 2017-12-28 2022-02-01 Fireeye Security Holdings Us Llc Platform and method for performing cybersecurity analyses employing an intelligence hub with a modular architecture
US10826931B1 (en) 2018-03-29 2020-11-03 Fireeye, Inc. System and method for predicting and mitigating cybersecurity system misconfigurations
US10956477B1 (en) 2018-03-30 2021-03-23 Fireeye, Inc. System and method for detecting malicious scripts through natural language processing modeling
US11558401B1 (en) 2018-03-30 2023-01-17 Fireeye Security Holdings Us Llc Multi-vector malware detection data sharing system for improved detection
US11003773B1 (en) 2018-03-30 2021-05-11 Fireeye, Inc. System and method for automatically generating malware detection rule recommendations
US11314859B1 (en) 2018-06-27 2022-04-26 FireEye Security Holdings, Inc. Cyber-security system and method for detecting escalation of privileges within an access token
US11075930B1 (en) 2018-06-27 2021-07-27 Fireeye, Inc. System and method for detecting repetitive cybersecurity attacks constituting an email campaign
US11228491B1 (en) 2018-06-28 2022-01-18 Fireeye Security Holdings Us Llc System and method for distributed cluster configuration monitoring and management
US11316900B1 (en) 2018-06-29 2022-04-26 FireEye Security Holdings Inc. System and method for automatically prioritizing rules for cyber-threat detection and mitigation
US11182473B1 (en) 2018-09-13 2021-11-23 Fireeye Security Holdings Us Llc System and method for mitigating cyberattacks against processor operability by a guest process
US11763004B1 (en) 2018-09-27 2023-09-19 Fireeye Security Holdings Us Llc System and method for bootkit detection
US11368475B1 (en) 2018-12-21 2022-06-21 Fireeye Security Holdings Us Llc System and method for scanning remote services to locate stored objects with malware
EP3713189A1 (de) * 2019-03-22 2020-09-23 Siemens Aktiengesellschaft Intrusionserkennung bei computersystemen
US11258806B1 (en) 2019-06-24 2022-02-22 Mandiant, Inc. System and method for automatically associating cybersecurity intelligence to cyberthreat actors
US11556640B1 (en) 2019-06-27 2023-01-17 Mandiant, Inc. Systems and methods for automated cybersecurity analysis of extracted binary string sets
US11392700B1 (en) 2019-06-28 2022-07-19 Fireeye Security Holdings Us Llc System and method for supporting cross-platform data verification
US11886585B1 (en) 2019-09-27 2024-01-30 Musarubra Us Llc System and method for identifying and mitigating cyberattacks through malicious position-independent code execution
US11637862B1 (en) 2019-09-30 2023-04-25 Mandiant, Inc. System and method for surfacing cyber-security threats with a self-learning recommendation engine
US11695787B2 (en) 2020-07-01 2023-07-04 Hawk Network Defense, Inc. Apparatus and methods for determining event information and intrusion detection at a host device
CN114301616A (zh) * 2021-09-29 2022-04-08 广西交通设计集团有限公司 基于elg实现防火墙安全日志统计分析方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10164064A (ja) * 1996-12-05 1998-06-19 Hitachi Ltd ネットワーク侵入経路追跡方式
JP2001217834A (ja) * 2000-02-02 2001-08-10 Internatl Business Mach Corp <Ibm> アクセス・チェーン追跡システム、ネットワーク・システム、方法、及び記録媒体
WO2002098085A1 (fr) * 2001-05-25 2002-12-05 Mitsubishi Denki Kabushiki Kaisha Systeme de communication internet
JP2004128733A (ja) * 2002-09-30 2004-04-22 Internatl Business Mach Corp <Ibm> 通信監視システム及びその方法、情報処理方法並びにプログラム
JP2004206564A (ja) * 2002-12-26 2004-07-22 Hitachi Information & Control Systems Inc 不正アクセス検証装置及び方法

Family Cites Families (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CA2137587C (en) * 1994-12-08 1999-03-23 Murray Charles Baker Broadcast/multicast filtering by the bridge-based access point
US5809235A (en) * 1996-03-08 1998-09-15 International Business Machines Corporation Object oriented network event management framework
US6460141B1 (en) * 1998-10-28 2002-10-01 Rsa Security Inc. Security and access management system for web-enabled and non-web-enabled applications and content on a computer network
US6405318B1 (en) 1999-03-12 2002-06-11 Psionic Software, Inc. Intrusion detection system
US7065657B1 (en) * 1999-08-30 2006-06-20 Symantec Corporation Extensible intrusion detection system
US7134141B2 (en) * 2000-06-12 2006-11-07 Hewlett-Packard Development Company, L.P. System and method for host and network based intrusion detection and response
US7007301B2 (en) * 2000-06-12 2006-02-28 Hewlett-Packard Development Company, L.P. Computer architecture for an intrusion detection system
US7290283B2 (en) 2001-01-31 2007-10-30 Lancope, Inc. Network port profiling
JP2002330177A (ja) * 2001-03-02 2002-11-15 Seer Insight Security Inc セキュリティ管理サーバおよびこれと連携して動作するホストサーバ
US7284267B1 (en) * 2001-03-08 2007-10-16 Mcafee, Inc. Automatically configuring a computer firewall based on network connection
US7845004B2 (en) * 2001-07-27 2010-11-30 International Business Machines Corporation Correlating network information and intrusion information to find the entry point of an attack upon a protected computer
CN1421777A (zh) * 2001-11-27 2003-06-04 四川安盟科技有限责任公司 一种伪装服务的网络安全防护技术
JP2003183497A (ja) * 2001-12-19 2003-07-03 Riken Corp 摺動部材
US7174566B2 (en) * 2002-02-01 2007-02-06 Intel Corporation Integrated network intrusion detection
US8972589B2 (en) * 2002-03-01 2015-03-03 Enterasys Networks, Inc. Location-based access control in a data network
US20030188189A1 (en) * 2002-03-27 2003-10-02 Desai Anish P. Multi-level and multi-platform intrusion detection and response system
DE10242917A1 (de) 2002-09-16 2004-03-25 Siemens Ag System zur Erfassung und Anzeige eines Sicherstatus von Geräten
US7191241B2 (en) * 2002-09-27 2007-03-13 Alacritech, Inc. Fast-path apparatus for receiving data corresponding to a TCP connection
US20040205419A1 (en) * 2003-04-10 2004-10-14 Trend Micro Incorporated Multilevel virus outbreak alert based on collaborative behavior
CN100459563C (zh) * 2003-11-21 2009-02-04 维豪信息技术有限公司 认证网关及其数据处理方法
CN100407089C (zh) 2004-10-15 2008-07-30 国际商业机器公司 检测非法访问计算机网络的系统和方法
US7610375B2 (en) * 2004-10-28 2009-10-27 Cisco Technology, Inc. Intrusion detection in a data center environment
US7676841B2 (en) * 2005-02-01 2010-03-09 Fmr Llc Network intrusion mitigation

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10164064A (ja) * 1996-12-05 1998-06-19 Hitachi Ltd ネットワーク侵入経路追跡方式
JP2001217834A (ja) * 2000-02-02 2001-08-10 Internatl Business Mach Corp <Ibm> アクセス・チェーン追跡システム、ネットワーク・システム、方法、及び記録媒体
WO2002098085A1 (fr) * 2001-05-25 2002-12-05 Mitsubishi Denki Kabushiki Kaisha Systeme de communication internet
JP2004128733A (ja) * 2002-09-30 2004-04-22 Internatl Business Mach Corp <Ibm> 通信監視システム及びその方法、情報処理方法並びにプログラム
JP2004206564A (ja) * 2002-12-26 2004-07-22 Hitachi Information & Control Systems Inc 不正アクセス検証装置及び方法

Also Published As

Publication number Publication date
JP4742144B2 (ja) 2011-08-10
WO2006131475A1 (en) 2006-12-14
US8272054B2 (en) 2012-09-18
CN101176331A (zh) 2008-05-07
DE602006012479D1 (de) 2010-04-08
EP1889443B1 (en) 2010-02-24
US8631496B2 (en) 2014-01-14
CA2610350C (en) 2015-04-28
US20080209541A1 (en) 2008-08-28
CN101176331B (zh) 2011-12-21
ATE459184T1 (de) 2010-03-15
EP1889443A1 (en) 2008-02-20
US20120297489A1 (en) 2012-11-22
CA2610350A1 (en) 2006-12-14

Similar Documents

Publication Publication Date Title
JP4742144B2 (ja) Ｔｃｐ／ｉｐプロトコル・ベースのネットワーク内への侵入を試行するデバイスを識別する方法およびコンピュータ・プログラム
US9917857B2 (en) Logging attack context data
Fuchsberger Intrusion detection systems and intrusion prevention systems
US8640234B2 (en) Method and apparatus for predictive and actual intrusion detection on a network
Gula Correlating ids alerts with vulnerability information
US6907533B2 (en) System and method for computer security using multiple cages
US20050216956A1 (en) Method and system for authentication event security policy generation
US20050005017A1 (en) Method and system for reducing scope of self-propagating attack code in network
US20040098623A1 (en) Intrusion detection system
WO2002086724A1 (en) System and method for analyzing logfiles
JP2010508598A (ja) ストリング分析を利用する１つまたは複数のパケット・ネットワークでの望まれないトラフィックを検出する方法および装置
Wu et al. A novel approach to trojan horse detection by process tracing
JP2003186763A (ja) コンピュータシステムへの不正侵入の検知と防止方法
JP2003218949A (ja) ネットワークの不正利用の監視方法
Hooper Intelligent autonomic strategy to attacks in network infrastructure protection: Feedback methods to IDS, using policies, alert filters and firewall packet filters for multiple protocols
Perez Practical SIEM tools for SCADA environment
Brenton Honeynets
Dwivedi et al. A Real Time Host and Network Mobile Agent based Intrusion Detection System (HNMAIDS)
Asarcıklı Firewall monitoring using intrusion detection systems
Belsis et al. A security incident data model
He Network security threats and defense
Stephens Network Forensics
Barish Windows Forensics: A Case Study, Part One
Mohammed Cybercafé Systems Security
Cui Security incidents in an academic setting: A case study

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20101124

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110216

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20110426

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20110509

R150 Certificate of patent or registration of utility model

Ref document number: 4742144

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140513

Year of fee payment: 3

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313113

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250