JP2010198386A - 不正アクセス監視システムおよび不正アクセス監視方法 - Google Patents

Abstract

【課題】不正アクセスを適切に阻止することを課題とする。
【解決手段】不正アクセス監視システムは、外部ネットワークからの不正アクセスを囮となって受け付ける囮サーバを設置する。そして、不正アクセス監視システムは、プログラムのダウンロードを要求するダウンロード要求が囮サーバから送信されたことで、不正アクセスの兆候を検知する。次に、不正アクセス監視システムは、不正アクセスの兆候を検知すると、ダウンロード要求の宛先を識別する識別子を該ダウンロード要求から抽出する。続いて、不正アクセス監視システムは、抽出した識別子を記憶部に格納する。
【選択図】図１

Description

本発明は、不正アクセス監視システムおよび不正アクセス監視方法に関する。

近年、インターネットの普及に伴い、個人情報の管理やアプリケーションの配信を実施するサーバに対するサイバー攻撃が急増している。サイバー攻撃の代表例としては、マルウェア（攻撃者が正規ユーザのサーバや端末に不正アクセスするために用いる攻撃ツールプログラム）を利用したＤＤｏＳ（Distributed Denial of Services）攻撃やスパム送信、情報盗難などが挙げられる。これらの攻撃の多くは、既存のサーバを乗っ取り踏み台として他のサーバを攻撃する形で実施される。

従来、これらの脅威に対処することを目的として、ファイアウォール機能や転送データ監視機能をルータ等のパケット転送装置に実装してサーバ監視機能を構築し、それをサーバの前段に配置することで、送受信されるデータの内容やパケットヘッダの内容に応じて通信を制御するアクセス制御技術が用いられる。この技術では、サーバ監視機能を開発したセキュリティベンダが、既知のソフトウェアの脆弱性やマルウェアを解析することで、攻撃者がサーバに対して取りうる送信メッセージパターンをシグネチャ化し、シグネチャにマッチする送信メッセージをサーバ監視機能でフィルタする。これにより、攻撃者の不正アクセスからサーバを防御する。

特開２００３−２６３３７６号公報 特開２００６−１１４０４４号公報 特開２００７−１５７０５９号公報 特開２００８−０７９０２８号公報

しかしながら、上記した従来の技術では、不正アクセスを適切に阻止することが困難であるという課題があった。

すなわち、上記した従来の技術では、シグネチャにマッチしない通信についてはネットワークの通過を許容するため、この通過可能な通信サービスを悪用した不正アクセスを完全に阻止することは困難である。このため、例えば、セキュリティベンダにとって未知となるソフトウェア（アプリケーションに代表されるソフトウェア）の脆弱性や、セキュリティベンダが解析していないソフトウェアの脆弱性に基づいた攻撃には対応することができなかった。

また、上記した従来の技術では、サーバに搭載したソフトウェア以外の脆弱性に関するシグネチャ情報もセキュリティベンダから通知されるため、必要なフィルタ情報が不必要なフィルタ情報に埋もれる可能性があった。さらに、上記した従来の技術では、継続的に発見されるソフトウェアの脆弱性に即座に追従してシグネチャを随時追加しなければならず、そのためには多大な運用コストを必要としていた。

開示の技術は、上記に鑑みてなされたものであって、不正アクセスを適切に阻止することが可能な不正アクセス監視システムおよび不正アクセス監視方法を提供することを目的とする。

本願の開示する不正アクセス監視システムは、一つの態様において、外部ネットワークからの不正アクセスを囮となって受け付ける囮サーバを含む不正アクセス監視システムであって、プログラムのダウンロードを要求するダウンロード要求が前記囮サーバから送信されたことで、不正アクセスの兆候を検知する検知手段と、前記検知手段によって不正アクセスの兆候が検知されると、前記ダウンロード要求の宛先を識別する識別子を該ダウンロード要求から抽出する抽出手段と、前記抽出手段によって抽出された識別子を記憶手段に格納する格納手段とを備えたことを特徴とする。

また、本願の開示する不正アクセス監視方法は、一つの態様において、外部ネットワークからの不正アクセスを囮となって受け付ける囮サーバを含む不正アクセス監視システムにおける不正アクセス監視方法であって、コンピュータが、プログラムのダウンロードを要求するダウンロード要求が前記囮サーバから送信されたことで、不正アクセスの兆候を検知する検知工程と、前記検知工程によって不正アクセスの兆候が検知されると、前記ダウンロード要求の宛先を識別する識別子を該ダウンロード要求から抽出する抽出工程と、前記抽出工程によって抽出された識別子を記憶手段に格納する格納工程とを含んだことを特徴とする。

本願の開示する不正アクセス監視システムおよび不正アクセス監視方法の一つの態様によれば、不正アクセスを適切に阻止することが可能になるという効果を奏する。

図１は、実施例１に係る不正アクセス監視システムの概要を説明するための図である。 図２は、実施例１におけるネットワークモデルの一例を示すブロック図である。 図３は、サーバ監視機能部の構成を説明するためのブロック図である。 図４は、サーバ監視機能部が生成するリスト例を説明するための図である。 図５は、監視機能制御サーバの構成を説明するためのブロック図である。 図６は、監視機能制御サーバが生成するマスタリスト例を説明するための図である。 図７は、想定する攻撃手順例を説明するための図である。 図８は、従来の攻撃防御の処理手順例を説明するための図である。 図９は、実施例１に係る不正アクセス監視システムにおけるデータフローを示す図である。 図１０は、実施例１に係る不正アクセス監視システムによる処理手順（リスト生成）を示すシーケンス図である。 図１１は、実施例１に係る不正アクセス監視システムによる処理手順（攻撃防御）を示すシーケンス図である。 図１２は、監視機能制御サーバによるリスト配布を説明するための図である。

以下に、本願の開示する不正アクセス監視システムおよび不正アクセス監視方法の実施例を詳細に説明する。なお、以下の実施例により本発明が限定されるものではない。

［実施例１に係る不正アクセス監視システムの概要］
まず、図１を用いて、実施例１に係る不正アクセス監視システムの概要を説明する。図１は、実施例１に係る不正アクセス監視システムの概要を説明するための図である。

図１に示すように、実施例１に係る不正アクセス監視システムは、外部ネットワークからの不正アクセスを囮となって受け付ける囮サーバを設置する。

そして、不正アクセス監視システムは、図１に示すように、囮サーバによって実行される処理を監視し、不正アクセスの兆候を検知する。例えば、不正アクセスが、マルウェアを配布するマルウェア配布サイトへの誘導を試みるものである場合に、不正アクセス監視システムは、プログラムのダウンロードを要求するダウンロード要求が囮サーバから送信されたことを不正アクセスの兆候として検知する。

次に、不正アクセス監視システムは、図１に示すように、不正アクセスに関連して囮サーバと外部ネットワークとの間で送受信されるパケットから、不正アクセスに関連するサイトを識別する不正サイト識別子を抽出する。例えば、不正アクセス監視システムは、不正サイト識別子として、ダウンロード要求の宛先を識別する宛先識別子を、ダウンロード要求から抽出する。

続いて、不正アクセス監視システムは、図１に示すように、抽出した不正サイト識別子を記憶部に格納する。例えば、不正アクセス監視システムは、ダウンロード要求から抽出した宛先識別子を記憶部に格納することで、マルウェア配布サイトのリストを生成する。

このように、実施例１に係る不正アクセス監視システムは、囮サーバによって実行される処理を監視することで不正アクセスの兆候を検知し、不正アクセスの兆候を検知すると、不正サイトの識別子をパケットから抽出してリストを生成するので、不正アクセスを適切に阻止することが可能になる。

すなわち、実施例１に係る不正アクセス監視システムは、囮サーバが攻撃を受けたその機会に、不正サイトの識別子をその都度収集し、リストを作成するので、作成したリストは、常に最新の攻撃に対応するリストとなる。この結果、このようにして作成されたリストを用いてフィルタリングが行われれば、例えば、セキュリティベンダにとって未知となるソフトウェアの脆弱性や、セキュリティベンダが解析していないソフトウェアの脆弱性に基づいた攻撃であっても、阻止することが可能になる。

また、不正サイト識別子のリストは不正アクセス監視システムにおいて自動的に生成される。このため、継続的に発見されるソフトウェアの脆弱性に追従してシグネチャを随時追加しなければならない運用コストも不要となる。

［実施例１に係る不正アクセス監視システムの構成］
次に、図２を用いて、実施例１に係る不正アクセス監視システムの構成を説明する。図２は、実施例１におけるネットワークモデルの一例を示すブロック図である。

図２に示すように、ネットワーク１は、データ中継装置６〜９を経由することでネットワーク２〜５を収容している。ここで、データ中継装置とは、一般的なルータやスイッチ、ゲートウェイ装置などである。また、ネットワーク１は、インターネットのような広域ネットワークであり、ネットワーク２〜５は、それ以外のＬＡＮ（Local Area Network）やホームネットワークなどのネットワークである。

データ中継装置６は、顧客から預かるユーザＷｅｂサーバ１０、１１を収容し、サーバ監視機能部１４経由で囮Ｗｅｂサーバ１６、１７も収容している。

なお、サーバ監視機能部１４は、図２に示すようにデータ中継装置６の外に配置してもよいが、データ中継装置６の一機能の位置付けでデータ中継装置６内に配置してもよい。

また、サーバ監視機能部１４、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７の物理インタフェースを１口とするのであれば、各々の装置に接続した物理リンクをルータやスイッチ、ハブなどの転送装置に接続すればよい。すなわち、例えば、サーバ監視機能部１４、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７それぞれの物理インタフェースを１台のルータに接続し、該ルータの他の物理インタフェースを、データ中継装置６に接続すればよい。一方で、各サーバ監視機能部１４、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７の物理インタフェースを複数口とするのであれば、サーバ監視機能部１４と囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７をハブ＆スポーク状に物理リンクで接続すればよい。すなわち、例えば、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７それぞれの物理インタフェースをサーバ監視機能部１４のある物理インタフェースに接続し、サーバ監視機能部１４の他の物理インタフェースをデータ中継装置６に接続すればよい。これはデータ中継装置６、ユーザＷｅｂサーバ１０およびユーザＷｅｂサーバ１１も同様である。

同様に、データ中継装置７は、顧客から預かるユーザＷｅｂサーバ１２、１３を収容し、サーバ監視機能部１５経由で囮Ｗｅｂサーバ１８、１９も収容している。

これらのネットワーク２、３では、囮ＷｅｂサーバとユーザＷｅｂサーバとを各々２台配置しているが、台数は単数でも３台でもよく、１台のデータ中継装置に収容される囮Ｗｅｂサーバの台数とユーザＷｅｂサーバの台数とが異なってもよい。さらに、攻撃情報の収集のみを目的にして囮Ｗｅｂサーバのみを配置してもよい。

囮サーバには、脆弱性のあるソフトウェアを搭載する。実施例１では、脆弱性のあるＷｅｂアプリケーションを搭載することになる。搭載するソフトウェアは単数でも複数でもよい。この囮Ｗｅｂサーバを構築する際、脆弱性を利用しないようなアクセスでは外部へプログラムのダウンロード要求を送信しないような環境を構築する。例えば、他のＷｅｂサイトにプログラムのダウンロード要求を送信する機能へのアクセスを拒否したり、脆弱性のあるログイン画面のみ表示するが入力は不可能なように設定したり、複数のページを閲覧可能なようにしておくが入力やデータベースの書き換えなどを制限したりするなどが考えられる。

また、ネットワーク１には、不正アクセスを試行する攻撃者が使用する端末２０や、攻撃者が正規ユーザやユーザＷｅｂサーバに不正アクセスするために用いるマルウェアを保存しているマルウェア配布サーバ２１が、各々データ中継装置８、９経由で収容されている。

さらに、実施例１においては、各サーバ機能監視部１４、１５と接続する機能を保有する監視機能制御サーバ２２が配置される。監視機能制御サーバ２２は、各サーバ監視機能部１４、１５と、インチャネル方式もしくはアウトチャネル方式により接続されるが、その形態は、ネットワーク１経由である場合もあれば、監視機能制御サーバ２２と各サーバ監視機能部間を接続する独自ネットワーク経由である場合もある。

［サーバ監視機能部の構成］
次に、図３および図４を用いて、サーバ監視機能部の構成を説明する。図３は、サーバ監視機能部の構成を説明するためのブロック図であり、図４は、サーバ監視機能部が生成するリスト例を説明するための図である。なお、図３においては、サーバ監視機能部１４を説明するが、サーバ監視機能部１５も同様の構成となる。

図３に示すように、サーバ監視機能部１４は、スケジューリング部２４、ダウンロード検知部２５およびサーバリフレッシュ部２６を有する送受信データ監視部２３と、送受信データ記録部２７と、プログラム監査部２８と、リスト生成管理部２９と、制御サーバ送受信部３０とを有する。

スケジューリング部２４は、データ中継装置から受信したパケットから、囮Ｗｅｂサーバへのリクエストメッセージに相当するパケットを抽出する機能を有する。また、スケジューリング部２４は、抽出したリクエストメッセージの状態管理を実施し、転送を一旦停止する機能を有する。なお、転送を一旦停止する機能は、囮Ｗｅｂサーバからのレスポンスメッセージに相当するパケットを受信するまでの間継続される。

囮Ｗｅｂサーバへのリクエストメッセージの判断基準としては、ＴＣＰ（Transmission Control Protocol）通信の際にはセッション開始に相当するパケットを検知したという基準など、また、ＵＤＰ（User Datagram Protocol）通信の際には一定期間観測されなかったパケット送信元識別子を検知したという基準などが考えられる。なお、スケジューリング部２４による処理は、囮Ｗｅｂサーバ毎に実施される。

ダウンロード検知部２５は、囮Ｗｅｂサーバが通信を開始したパケットを検知する機能を有する。また、ダウンロード検知部２５は、当該パケットへのレスポンスとしてデータ中継装置から受信したプログラムダウンロードを検知する機能を有する。また、ダウンロード検知部２５は、当該プログラムダウンロードを検知した際に、後述のプログラム監査部２８へ、囮Ｗｅｂサーバが通信を開始してからプログラムダウンロードを完了するまでに送受信したパケットのコピーを送信する機能を有する。

サーバリフレッシュ部２６は、送受信データ監視部２３によって囮Ｗｅｂサーバからのレスポンスメッセージに相当するパケットが検知されると、データ中継装置からのリクエストメッセージに相当するパケットを受信する前の状態に囮Ｗｅｂサーバを戻す機能を有する。

例えば、囮ＷｅｂサーバをＶＭｗａｒｅという仮想化機能を用いて実装すれば、ＶＭｗａｒｅに搭載されているリバート機能を用いて実現できる。また、近年では、サーバ環境をコピーする技術が普及しているので、囮Ｗｅｂサーバのマスタ環境を用意しておき、このマスタを囮Ｗｅｂサーバに上書きコピーすることでも実現できる。

送受信データ監視部２３は、スケジューリング部２４とダウンロード検知部２５とサーバリフレッシュ部２６とを動作させて、データ中継装置と囮Ｗｅｂサーバとの間の転送パケットおよび囮Ｗｅｂサーバを監視する機能を有する。また、送受信データ監視部２３は、転送パケットの内容データを送受信データ記録部２７に送信する機能を有する。

この際採取する転送パケットの内容データとしては、ｔｃｐｄｕｍｐのような詳細なデータや、Ａｐａｃｈｅのログのようなデータが考えられるが、採取方法は運用形態に応じて決定する。例えばＡｐａｃｈｅのログのようなデータを採取する場合は、送受信データ監視部２３上に囮Ｗｅｂサーバ用のリバースプロキシを配置し、リバースプロキシ上のＡｐａｃｈｅでログを採取すればよい。

さらに、データ送信間隔としては、リアルタイムにデータを送信する形と、一定周期毎のデータを蓄積して定期的に送信する形があるが、これも運用形態に応じて決定することとする。ここで定期的に送信する形態をとる場合、当該間隔を管理するためのタイマが必要になる。

また、上記では、送受信データ監視部２３が送受信データ記録部２７にデータを送信する形態を説明したが、送受信データ記録部２７が定期的に送受信データ監視部２３に蓄積されたデータを取得する形態をとることが可能である。

送受信データ記録部２７は、送受信データ監視部２３から受信したデータを時刻情報とともに保存管理する機能を有する。また、上記したように、送受信データ記録部２７が送受信データ監視部２３にデータ送信を要求する形態と、送受信データ監視部２３が送受信データ記録部２７に自動的にデータを送信する形態とをとりえるが、前者を採用する場合は、送受信データ記録部２７は、定期的にデータ送信を要求するために、要求周期を管理するためのタイマが必要になる。

プログラム監査部２８は、ダウンロード検知部２５から受信したパケットを用いて、囮Ｗｅｂサーバとデータ中継装置との間でのデータ転送を再現する機能を有する。また、プログラム監査部２８は、データ転送を再現した際に、囮Ｗｅｂサーバにプログラムがダウンロードされるか否かを確認する機能を有する。また、プログラム監査部２８は、ダウンロードを確認した際に、当該プログラムの動作を仮想的な閉域領域で確認する機能を有する。

また、プログラム監査部２８は、確認の結果、記録すべきプログラムだと判断された場合は、ダウンロード検知部２５から受信したデータおよび送受信データ記録部２７に記録されているデータから、当該ダウンロードを要求するために囮Ｗｅｂサーバが通信を開始した送信パケットの宛先識別子を抽出する機能を有する。

また、プログラム監査部２８は、抽出した情報を後述のリスト生成管理部２９に送信する機能を有する。この際、プログラム監査部２８は、ダウンロードしたプログラムおよびダウンロードの送信元識別子も同時に抽出してリスト生成管理部２９に送信してもよい。宛先識別子や送信元識別子としては、ＵＲＬ（Uniform Resource Locator）やＵＲＩ（Uniform Resource Identifier）、ＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control）アドレス等の識別子が挙げられる。

また、データ転送を再現する機能およびデータ転送再現時のダウンロード発生および当該プログラムの動作を確認して記録すべきプログラムだと判断する機能は、従来、Ｓａｎｄｂｏｘというセキュリティモデルで採用されている機能を流用することでも実現できる。

リスト生成管理部２９は、プログラム監査部２８から受信した識別子等の情報を、リスト形式で保存する機能を有する。

一例としては、例えば、図４に示すように、リスト生成管理部２９は、項目としてＵＲＬ、ＩＰアドレス、ダウンロードファイル名を有するデータベースを構築し、プログラム監査部２８から受信した情報を当該データベースに入力する。この際、データベースに保有させる項目は、例えば実際にユーザＷｅｂサーバもしくはその前段に配置された装置に実装されたＦｉｒｅｗａｌｌなどのフィルタ機構に沿う形で決定するか、もしくは、プログラム監査部２８が転送パケットから採取可能な全情報を保存可能なように決定する。なお、プログラムファイルについては、内容を表示してもよいが、ファイル名およびファイルを保存しているディレクトリ名を含めたパスを表示すればよい。

また、当該リストの各エントリには、図４に示すように、初検出時間や最終検出時間、検出回数を記録してもよい。この際、初検出時間とは、当該エントリを書き込んだ時間であり、最終検出時間とは、各リストの既登録エントリの再検出時間であり、既登録エントリと重複するエントリの書き込みが発生した際に、新エントリを生成する代わりに最終検出時間を更新するものとする。また、この際、初期値を１とした検出回数を１増加させることで、それまでに当該エントリと重複するエントリの書き込みが何回発生したかを記録させる。

ここで、図４には、攻撃種類として、「ＤＢ」という種類を記述している。これは、実施例２として後述するデータベース変更検知時に記述する内容の例を示すものである。なお、リストの各項目は、該当項目が検知できなかった際は空欄となる。

制御サーバ送受信部３０は、リスト生成管理部２９が生成したリスト情報をファイル化して監視機能制御サーバ２２に送信する機能を有する。また、制御サーバ送受信部３０は、監視機能制御サーバ２２から受信したリストファイルを元にリスト生成管理部２９の保有情報を書き換える機能を有する。

この際、リストファイル送信間隔としては、リストが更新された際に送信する形と、定期的にリストを送信する形とがあるが、これは運用形態に応じて決定することとする。ここで、定期的に送信する形態をとる場合、当該間隔を管理するためのタイマが必要となる。また、上記では、制御サーバ送受信部３０が監視機能制御サーバ２２にリストファイルを送信する形態を説明しているが、監視機能制御サーバ２２が定期的にリストファイル送信要求を制御サーバ送受信部３０に送信する形態をとることが可能である。

上記してきたように、サーバ監視機能部１４は、囮Ｗｅｂサーバからのプログラムダウンロード要求を検知した際に、当該ダウンロードを要求するために囮Ｗｅｂサーバが通信を開始した際に送信したパケットの宛先識別子を抽出して記録する。これにより、不正アクセスを試行するユーザがプログラムを配信するために使用した装置の識別子リストを自動的に生成するサービス、または当該リストに記載された装置へのアクセスを制限する設定を顧客のサーバまたは顧客のサーバをネットワークへ接続する装置に施すサービスを提供することが可能になる。

［監視機能制御サーバの構成］
次に、図５および図６を用いて、監視機能制御サーバの構成を説明する。図５は、監視機能制御サーバの構成を説明するためのブロック図であり、監視機能制御サーバが生成するマスタリスト例を説明するための図である。

図５に示すように、監視機能制御サーバ２２は、サーバ監視機能接続部３１、リスト収集部３３、およびマスタリスト配布部３４からなるマスタリスト生成部３２から構成される。

サーバ監視機能接続部３１は、各サーバ監視機能部内の制御サーバ送受信部と接続する機能を有する。この際、接続方法としては、インチャネル方式もしくはアウトチャネル方式により接続されるが、その形態は、インターネットのような広域ネットワーク経由である場合もあれば、独自ネットワーク経由である場合もある。すなわち、同一アドレス体系を保有することや、パケット転送テーブルを保有して送信パケットの宛先識別子から出力物理インタフェース等を特定する機能を有する。

リスト収集部３３は、サーバ監視機能接続部３１経由で、各サーバ監視機能部からリストファイルを収集して管理する機能を有する。実施例１におけるリスト収集部３３は、各サーバ監視機能部からリストを収集した最終日時等を確認し、一定期間リストファイルの受信が確認できないサーバ監視機能部に対して、リストファイル送信要求を送信する。

マスタリスト配布部３４は、マスタリスト生成部３２が生成したマスタリストを各サーバ監視機能部へ配布管理する機能を有する。実施例１におけるマスタリスト配布部３４は、各サーバ監視機能部に対してサーバ監視機能接続部３１経由で最新のマスタリストを配布するとともに、最新のマスタファイルの配布が完了したか否かを管理する。

マスタリスト生成部３２は、リスト収集部３３が収集した各サーバ監視機能部上のリストから、全サーバ監視機能部上で検知されている情報を統合してマスタリストを生成する機能を有する。

マスタリスト生成過程の一例を図６に示す。（Ａ）および（Ｂ）は、異なるサーバ監視機能部が生成したリストであり、（Ｃ）がマスタリストとなる。マスタファイルでは、ＵＲＬ、ＩＰアドレス、ｐｏｒｔ、攻撃種別が同一のエントリをマージする。この際、初検出時間は早いものを、最終検出時間は遅いものを採用する。また、攻撃情報は、各サーバ監視機能部で使われているファイル名に当該サーバ監視機能部の識別子を付与する形で命名される。なお、攻撃情報のファイルは、サーバ監視機能部に保存しておくが、運用形態に応じて、監視機能制御サーバ２２が収集してもよく、この際は、監視機能制御サーバ内で唯一の名前であればファイル名は任意でよい。

マスタリストを受信したサーバ監視機能部は、自身の保有するリストに対し、マスタリストに記載されているエントリと同一のＵＲＬ、ＩＰアドレス、ｐｏｒｔ、攻撃種別を有するエントリに関しては、初検出時間、最終検出時間および回数をマスタリストに記載された内容に変更し、それ以外のマスタリストのエントリに関しては、新たにリストに追記する。この際、攻撃情報については記載しないか、監視機能制御サーバが保有している旨を記述する。

このように、監視機能制御サーバ２２は、複数のサーバ監視機能部からリスト情報を収集するとともに、各サーバ監視機能部に不足しているリスト情報を抽出してサーバ監視機能部に通知する。これにより、複数地点で監視した結果を元に不正アクセスを試行するユーザがプログラムを配信するために使用する装置の識別子リストを自動的に生成することが可能になる。

さらに、例えば、複数の事業者が各々で特定した装置の識別子リストを事業者間で共有することが可能になる。また、複数の事業者が各々で特定した装置の識別子リストを他事業者に売却するためのプラットフォームを提供することが可能になる。また、リストに記載された装置へのアクセスを制限する設定を顧客のサーバもしくは顧客のサーバをネットワークへ接続する装置に施すことが可能になる。

［実施例１に係る不正アクセス監視システムの処理手順］
続いて、図７〜１１を用いて、実施例１に係る不正アクセス監視システムの処理手順を説明する。図７は、想定する攻撃手順例を説明するための図であり、図８は、従来の攻撃防御の処理手順例を説明するための図であり、図９は、実施例１に係る不正アクセス監視システムにおけるデータフローを示す図であり、図１０は、実施例１に係る不正アクセス監視システムによる処理手順（リスト生成）を示すシーケンス図であり、図１１は、実施例１に係る不正アクセス監視システムによる処理手順（攻撃防御）を示すシーケンス図である。

［想定している攻撃手順例］
図７に示すように、攻撃者は、自身の端末を用い、ユーザＷｅｂサーバの脆弱性をつくアクセスを実施する（ステップＳ１）。この際、脆弱性ともいえる遠隔ファイル実行命令などが埋め込まれ、そのアクセス先として、マルウェアをダウンロードさせるために攻撃者が配置したマルウェア配布サイトが記述されている。

本アクセスを受けたユーザＷｅｂサーバは、指定された遠隔ファイル実行命令に従い、マルウェア配布サイトへアクセスする（ステップＳ２）。

すると、マルウェア配布サイトは、当該アクセスへのリプライとしてマルウェア、すなわちプログラムファイルをユーザＷｅｂサーバへ送信する（ステップＳ３）。

本プログラムを受信したユーザＷｅｂサーバ上でプログラムファイルは実行され、ユーザＷｅｂサーバはマルウェアに感染し（ステップＳ４）、その後、ユーザＷｅｂサーバから攻撃者端末に、アクセスへのリプライが送信される（ステップＳ５）。

その結果、攻撃者の不正アクセスを許容し、攻撃者の操作に従って他のユーザにＤｏＳ攻撃やスパム送信を実行する（ステップＳ６）。

［従来方式］
この問題を解決するための手段として採用されている従来方式を説明する。図８に示すように、従来方式では、ユーザＷｅｂサーバの前段にサーバ監視機能部を配備し、さらに、当該サーバ監視機能部に、セキュリティベンダが解析した脆弱性情報に基づくフィルタを設定する。これにより、既知の脆弱性を利用した攻撃者からのアクセスを防ぐことが可能になる。

しかし、一方で、セキュリティベンダが解析していない脆弱性情報に基づく攻撃者からのアクセスは防ぐことができない。例えば、最新の脆弱性情報に基づく攻撃や、主流ではないソフトウェアの脆弱性情報に基づく攻撃については、本方式の有効性は低く、不正アクセスを適切に阻止することができない。

［サーバ監視機能部のデータフロー］
続いて、図９を用いて、実施例１に係る不正アクセス監視システムにおけるデータフローを説明する。図９に示すように、実施例１におけるサーバ監視機能部１４において、スケジューリング部２４が、１０１のように、データ中継装置からのパケットを受信する。この際、スケジューリング部２４は、パケットの内容から、囮Ｗｅｂサーバへのリクエストメッセージに該当するパケットか否かを確認し、リクエストメッセージに該当するパケットである際は、当該囮Ｗｅｂサーバに対応するキューにパケットを送信する。

ここで、スケジューリング部２４は、処理中のリクエストメッセージの処理が終了するまで、当該パケットの送信を停止する。パケットは、囮Ｗｅｂサーバに転送される前に、１０２のように、送受信データ監視部２３において記録され、その内容は、１０３のように、送受信データ記録部２７に保存され、その後、１０４のように、囮Ｗｅｂサーバに送信される。

囮Ｗｅｂサーバからのパケットは、１０５のように、ダウンロード検知部２５により受信される。この際、ダウンロード検知部２５は、囮Ｗｅｂサーバから通信を開始したと考えられるパケットを検知し、また、当該パケットへのレスポンスであるプログラムダウンロードを検知する。そして、ダウンロード検知部２５は、１０６のように、パケットへのリプライに相当するパケットとともに（すなわち、囮Ｗｅｂサーバが通信を開始してからプログラムダウンロードを完了するまでに送受信したパケットのコピーを）、プログラム監査部２８に送信する。プログラム監査部２８は、リプライに相当するパケットを囮Ｗｅｂサーバに送信した際に囮Ｗｅｂサーバ上で観測されうるプログラムを監査し、監査の結果、記録すべきプログラムであると判断した場合に、囮Ｗｅｂサーバから通信を開始したと考えられるパケットの宛先識別子を、１０７および１０８のように送受信データ記録部２７のデータを参照しつつ特定し、当該情報およびプログラム情報を、１０９のように、リスト生成管理部２９へ通知する。

具体的には、まず、プログラム監査部２８は、パケットのコピーを保持しているので、このパケットから宛先識別子（ＩＰアドレスやＵＲＬなど）を特定する。次に、プログラム監査部２８は、送受信データ記録部２７に記憶されているデータに関して、ＩＰアドレスやＵＲＬなどをキーにして参照し、実際の送受信時間など追加の情報を獲得する。なお、時間情報の獲得が必要でない場合には、プログラム監査部２８は必ずしも送受信データ記録部２７に記憶されているデータを参照する必要はない。

ここで、リスト生成管理部２９は、当該宛先識別子のリストを生成するとともに、１１０のように、制御サーバ送受信部３０経由で監視装置制御サーバ２２に自身のリストをファイル化して送信する。また、リスト生成管理部２９は、１１１のように、監視装置制御サーバ２２からリストファイルを受信した際は、当該リストファイルに基づいて自身のリストを更新する。

また、囮Ｗｅｂサーバからデータ中継装置に向けてリクエストメッセージに対するレスポンスメッセージに該当するパケットを送受信データ監視部２３で検知した際には、送受信データ監視部２３は、当該メッセージをデータ中継装置に転送するとともに、サーバリフレッシュ部２６を用いて、囮Ｗｅｂサーバをリクエストメッセージを受信する前の状態に戻す。

［処理手順（リスト生成）］
図１０に示すように、攻撃者は、自身の端末を用い、囮Ｗｅｂサーバの脆弱性をつくアクセスを実施する（ステップＳ２０１）。この際、脆弱性ともいえる遠隔ファイル実行命令が埋め込まれ、そのアクセス先として、マルウェアをダウンロードさせるために攻撃者が配置したマルウェア配布サイトが記述されている。

サーバ監視機能部は、当該アクセスを記録して、囮Ｗｅｂサーバに転送する（ステップＳ２０２）。

一方、本アクセスを受けた囮Ｗｅｂサーバは、指定された遠隔ファイル実行命令に従い、マルウェア配布サイトへアクセスする（ステップＳ２０３）。

この際、サーバ監視機能部は、当該アクセスを記録して、転送する（ステップＳ２０４）。

すると、マルウェア配布サイトは、当該アクセスへのリプライとして、マルウェア、すなわちプログラムファイルを囮Ｗｅｂサーバへ送信する（ステップＳ２０５）。

この際、サーバ監視機能部は、当該アクセスを記録し、囮Ｗｅｂサーバに転送するとともに（ステップＳ２０６）、さらに、プログラム内容を監査してマルウェアの送信を確認する。

一方、本プログラムを受信した囮Ｗｅｂサーバ上で、プログラムファイルは実行され、その結果は、攻撃者へリプライという形で伝わる一方（ステップＳ２０７）、攻撃者の操作に従って他のユーザにＤｏＳ攻撃やスパム送信が発生する前に、囮Ｗｅｂサーバを攻撃者のアクセス前の状態に戻し（ステップＳ２０８）、これと並行して、マルウェア配布サイトのリストを生成する。この際、他者への攻撃発生を防ぐ意味で、囮Ｗｅｂサーバから他ユーザへのアクセスを制限する方法を併用してもよい。

［処理手順（攻撃防御）］
実施例１に係る不正アクセス監視システムは、従来のように、ソフトウェアの脆弱性に基づく攻撃者からのアクセス（ステップＳ３０１）をフィルタするのではなく、マルウェア配布サイトへの誘導をフィルタする（ステップＳ３０２）。

これにより、ソフトウェアの脆弱性が未知である場合や、主流でないソフトウェアの脆弱性を利用された攻撃に対しても、マルウェア感染前にその攻撃を防御することが可能になる。

また、これと同時に、図１２に示すように、監視機能制御サーバ２２を用いて各サーバ監視機能部が生成したリストを全サーバ監視機能部で共有することで、その防御確率を高めることが可能になる。なお、図１２は、監視機能制御サーバによるリスト配布を説明するための図である。

［実施例１の効果］
上記してきたように、実施例１に係る不正アクセス監視システムは、外部ネットワークからの不正アクセスを囮となって受け付ける囮Ｗｅｂサーバを設置する。そして、サーバ監視機能部のダウンロード検知部が、囮Ｗｅｂサーバによって実行される処理を監視し、プログラムのダウンロードを要求するダウンロード要求が囮Ｗｅｂサーバから送信されたことを検知することで、不正アクセスの兆候を検知する。次に、サーバ監視機能部のプログラム監査部が、不正サイト識別子として、ダウンロード要求の宛先を識別する宛先識別子を該ダウンロード要求から抽出し、リスト生成管理部が、不正サイト識別子のリストを作成する。また、実施例１に係る不正アクセス監視システムは、サーバ監視機能部のリスト生成管理部によって作成されたリストを、例えばデータ中継装置などに適用することで、不正サイト識別子を含むパケットをフィルタリングする。

このように、実施例１に係る不正アクセス監視システムによれば、攻撃者がアプリケーション提供サーバ等に不正アクセスする際に利用されるマルウェアを代表としたプログラムのダウンロード、囮Ｗｅｂサーバおよびその前段に配置したサーバ監視機能部を用いて検知し、プログラムダウンロードを引き起こした装置の識別子リストを自動的に生成することが可能になる。また、ダウンロード元へのアクセスを制御する設定をユーザＷｅｂサーバおよびその前段に配置したファイアウォール機能相当の制御部に施すことが可能になる。

これにより、ソフトウェアの新しい脆弱性が短期間で発見された際や、顧客のサーバが主流でないソフトウェアを搭載していた際であっても、顧客のサーバを、マルウェアを代表としたプログラムの感染から保護することができる。さらに、フィルタ制御に必要となる情報を自動的に取得することができる。このため、多種多様なソフトウェアを搭載するサーバファームをまとめて監視しても、不正アクセスや誤検知が起きない検知、防御サービスを低コストで実現できる。

また、実施例１に係る不正アクセス監視システムは、囮Ｗｅｂサーバを設置したサイトごとにサーバ監視機能部を有するものであって、監視機能制御サーバが、サイトごとに設置されたサーバ監視機能部からリストを収集し、収集したリストを用いてマスタリストを作成し、作成したマスタリストを各サイトのサーバ監視機能部に配布する。

言い換えると、複数のサーバ監視機能部との接続インタフェースを保有する監視機能制御サーバをネットワーク内に配置し、監視機能制御サーバが、複数のサーバ監視機能部からリスト情報を収集するとともに、各サーバ監視機能部に対して、他のサーバ監視機能部上で観測された不足しているリスト情報を抽出して当該サーバ監視機能部に通知する。

このようなことから、各サーバ監視機能部が作成したリスト（複数地点で監視した結果）を全サーバ監視機能部で共有することができ、その防御確率を高めることが可能になる。例えば、複数の事業者が各々で特定したリストを事業者間で共有することが可能になり、複数の事業者が各々で特定したリストを他の事業者に売却するためのプラットフォームを提供することも可能になる。

上記してきたように、実施例１に係る不正アクセス監視システムは、Ｗｅｂサーバに代表されるようなアプリケーション提供サーバを、悪意あるユーザの攻撃から防衛することができる。特に、ＩＤＳ（Intrusion Detection System）や、ＷＡＦ（Web Application Firewall）でみられるような攻撃トラヒックを検知してアクセス制御を実施することに有効である。

これまで本発明の実施例１について説明してきたが、本発明は上記の実施例以外にも、種々の異なる形態にて実施されてよいものである。

［データベースの遠隔操作］
実施例１では、不正アクセスが、マルウェア配布サイトへの誘導を試みるものであることを想定したが、本発明はこれに限られるものではなく、他の不正アクセスに対しても同様に適用することができる。例えば、不正アクセスが、データベースの遠隔操作を行うものであってもよい。

この場合には、サーバ監視機能部は、例えば、囮サーバのデータベースに変更が生じたことを不正アクセスの兆候として検知する。そして、サーバ監視機能部は、囮サーバと外部ネットワークとの間で送受信されたパケットの記録情報から、データベースの変更を指定したパケットを、例えばメッセージ内容を参照することなどで特定する。次に、サーバ監視機能部は、データベースの変更を指定したパケットの送信元を識別する送信元識別子をパケットから抽出し、抽出した送信元識別子でリストを作成する。このリストは、不正アクセスのサイトのリストとなる。なお、サーバ監視機能部は、変更前のデータベースの内容を保持することで、変更前後の差分を抽出することができ、また、変更後のデータベースを変更前のデータベースで上書きすることで、変更前のデータベースに囮サーバを戻すことができる。

すなわち、図３に示した構成を用いて一例を挙げて説明すると、例えばダウンロード検知部２５が、囮Ｗｅｂサーバへリクエストメッセージに相当するパケットを送信した後、当該リクエストメッセージへのレスポンスメッセージに相当するパケットを囮Ｗｅｂサーバから受信した際に、囮Ｗｅｂサーバのデータベースの内容を閲覧および記録する機能を有する。また、例えばダウンロード検知部２５が、後者のパケットを囮Ｗｅｂサーバから受信した際に、記録している囮Ｗｅｂサーバのデータベースと、閲覧している囮Ｗｅｂサーバのデータベースとの内容を比較し、差分があった際に、変更されたデータベースの内容と、リクエストメッセージに相当するパケットの送信元識別子を抽出してリスト生成管理部２９に通知する機能を有する。

これにより、不正アクセスを試行するユーザが引き起こすデータベース操作およびデータベース操作を遠隔実施した装置の識別子リストを自動的に生成するサービス、または当該リストに記載された装置へのアクセスを制限する設定を顧客のサーバまたは顧客のサーバをネットワークへ接続する装置に施すサービスを併せて提供することが可能になる。

なお、当然のことながら、本発明に係る不正アクセス監視システムは、マルウェア配布サイト、データベースの遠隔操作、その他の不正アクセスなど、複数種類の不正アクセスに対して同時に適用するものであってもよい。

［必要なフィルタ情報のみの収集］
また、不正アクセス監視システムは、囮サーバに所定の脆弱性を有するソフトウェアを搭載することで、必要なフィルタ情報のみを収集することも可能である。例えば、不正アクセスを防止したいユーザＷｅｂサーバがあった場合に、このユーザＷｅｂサーバに搭載されているソフトウェアと同一のソフトウェアを囮Ｗｅｂサーバに搭載しておく。すると、ユーザＷｅｂサーバへ発生する可能性がある攻撃が、囮Ｗｅｂサーバに発生することになる。これは、二つのサーバが共通して搭載しているソフトウェアの脆弱性を利用した攻撃が発生しているからである。このような場合に、不正アクセス監視システムは、例えば攻撃者から囮Ｗｅｂサーバに向かうパケット内に記述されている識別子をリストとして記憶し、このリストを用いてユーザＷｅｂサーバに向かうパケットを監査もしくは適宜フィルタすることで、ユーザＷｅｂサーバを不正アクセスから守ることが可能になる。

なお、この場合に、不正アクセス監視システムは、例えば、不正アクセスが所定の脆弱性を利用した不正アクセスであるか否かを判断する判断部と、判断部によって不正アクセスが所定の脆弱性を利用した不正アクセスであると判断された場合にのみ、囮Ｗｅｂサーバが応答するように制御する応答部とをさらに備えてもよい。

すなわち、攻撃者からの不正アクセスのパケット中には、アプリケーションがインストールされているディレクトリの情報が記述されている。このため、例えば判断部は、このディレクトリの情報を用いて、どのソフトウェアが攻撃されたものであるかを判断することができる。そこで、応答部は、判断部によって、所定のソフトウェアが攻撃されたと判断された場合にのみ囮Ｗｅｂサーバが応答するように、囮Ｗｅｂサーバを制御することができるのである。

こうして、顧客のサーバ上で発生し得る不正アクセスを引き起こすプログラムを配信するために使用された装置のみの装置識別子リストを自動的に生成することが可能になる。さらに、当該リストに記載された装置へのアクセスを制限する設定を顧客のサーバもしくは顧客のサーバをネットワークへ接続する装置に施すことが可能になる。

以上のように、本願の開示する不正アクセス監視システムおよび不正アクセス監視方法は、不正アクセスを阻止することに有用であり、特に、不正アクセスを適切に阻止することに適している。

１ ネットワーク
２ ネットワーク
３ ネットワーク
４ ネットワーク
５ ネットワーク
６ データ中継装置
７ データ中継装置
８ データ中継装置
９ データ中継装置
１０ ユーザＷｅｂサーバ
１１ ユーザＷｅｂサーバ
１２ ユーザＷｅｂサーバ
１３ ユーザＷｅｂサーバ
１４ サーバ監視機能部
１５ サーバ監視機能部
１６ 囮Ｗｅｂサーバ
１７ 囮Ｗｅｂサーバ
１８ 囮Ｗｅｂサーバ
１９ 囮Ｗｅｂサーバ
２０ 攻撃者端末
２１ マルウェア配布サーバ
２２ 監視機能制御サーバ
２３ 送受信データ監視部
２４ スケジューリング部
２５ ダウンロード検知部
２６ サーバリフレッシュ部
２７ 送受信データ記憶部
２８ プログラム監査部
２９ リスト生成管理部
３０ 制御サーバ送受信部
３１ サーバ監視機能接続部
３２ マスタリスト生成部
３３ リスト収集部
３４ マスタリスト配布部

Claims (6)

1. 外部ネットワークからの不正アクセスを囮となって受け付ける囮サーバを含む不正アクセス監視システムであって、
   プログラムのダウンロードを要求するダウンロード要求が前記囮サーバから送信されたことで、不正アクセスの兆候を検知する検知手段と、
   前記検知手段によって不正アクセスの兆候が検知されると、前記ダウンロード要求の宛先を識別する識別子を該ダウンロード要求から抽出する抽出手段と、
   前記抽出手段によって抽出された識別子を記憶手段に格納する格納手段と
   を備えたことを特徴とする不正アクセス監視システム。
2. 前記検知手段は、前記囮サーバのデータベースに変更が生じたことを前記不正アクセスの兆候としてさらに検知し、
   前記抽出手段は、前記データベースの変更を指定したパケットの送信元を識別する識別子を該パケットからさらに抽出し、
   前記格納手段は、前記抽出手段によって抽出された識別子をさらに記憶手段に格納することを特徴とする請求項１に記載の不正アクセス監視システム。
3. 前記記憶手段に格納されている識別子を含むパケットをフィルタリングするフィルタリング手段をさらに備えたことを特徴とする請求項１または２に記載の不正アクセス監視システム。
4. 前記囮サーバは、所定の脆弱性を有するソフトウェアを搭載するものであって、
   前記不正アクセスが、前記所定の脆弱性を利用した不正アクセスであるか否かを判断する判断手段と、
   前記判断手段によって前記不正アクセスが前記所定の脆弱性を利用した不正アクセスであると判断された場合にのみ、前記囮サーバが応答するように制御する応答手段と
   をさらに備えたことを特徴とする請求項１〜３のいずれか一つに記載の不正アクセス監視システム。
5. 前記不正アクセス監視システムは、前記囮サーバを設置したサイトごとに前記記憶手段を有するものであって、
   サイトごとに設置された前記記憶手段からリストを収集する収集手段と、
   前記収集手段によって収集されたリストを用いてリストを統合したマスタリストを作成するマスタリスト作成手段と、
   前記マスタリスト作成手段によって作成されたマスタリストを、前記囮サーバを設置した各サイトに配布するマスタリスト配布手段と
   をさらに備えたことを特徴とする請求項１〜４のいずれか一つに記載の不正アクセス監視システム。
6. 外部ネットワークからの不正アクセスを囮となって受け付ける囮サーバを含む不正アクセス監視システムにおける不正アクセス監視方法であって、
   コンピュータが、
   プログラムのダウンロードを要求するダウンロード要求が前記囮サーバから送信されたことで、不正アクセスの兆候を検知する検知工程と、
   前記検知工程によって不正アクセスの兆候が検知されると、前記ダウンロード要求の宛先を識別する識別子を該ダウンロード要求から抽出する抽出工程と、
   前記抽出工程によって抽出された識別子を記憶手段に格納する格納工程と
   を含んだことを特徴とする不正アクセス監視方法。

Images