JP2010250607A - 不正アクセス解析システム、不正アクセス解析方法、および不正アクセス解析プログラム - Google Patents

Abstract

【課題】ＩＤＳにおける誤検知を低減し精度よく不正アクセスを検知する。
【解決手段】ホスト型ＩＤＳ１０よりネットワーク攻撃のログデータを受信し格納するログ取得部１１０と、ネットワーク型ＩＤＳ２０より前記ログデータが示すパケット送信元のＩＰアドレスに基づいて当該ＩＰアドレスを送信元とするパケットデータを取得し格納するパケットデータ取得部１１１と、攻撃パターン解析で得たパターンが未登録であれば記憶装置１０１に新規登録し登録済みであれば該当パターンのネットワーク攻撃に対する対処レベル値を上昇させるパターン解析部１１２と、パターンの新規登録ないし対処レベル値の変化を検知し新たなパターンないし対処レベル値の変化に対応した新たなシグネチャでネットワーク型ＩＤＳ２０のシグネチャを更新するシグネチャ更新部１１３とから不正アクセス解析システム１００を構成する。
【選択図】図１

Description

本発明は、不正アクセス解析システム、不正アクセス解析方法、および不正アクセス解析プログラムに関するものであり、具体的には、ＩＤＳにおける誤検知を低減し精度よく不正アクセスを検知する技術に関する。

一般的なＩＤＳ（（Intrusion Detection System：不正アクセス検知システム）は、異常パケットの検出、またはシグネチャによるパターン認識により、不正と思われるパケットを遮断する方式が採用されている。こうしたＩＤＳの技術として例えば以下のような技術が提案されている。

すなわち、実稼動サーバと擬似サーバとをインターネットに接続するとともに、上記実稼動サーバ及び擬似サーバとインターネットとの間に不正データ識別振分手段を介在させ、この不正データ識別振分手段は、インターネットを介して入力された不正データパターンを識別して不正アクセスを検知する機能と、識別した不正なデータを擬似サーバに送る機能と、不正なデータ以外のデータを実稼動サーバに送る機能とを備えたことを特徴とする通信セキュリティシステム（特許文献１参照）などが提案されている。

特開２００４−１５３４８５号公報

しかしながらＩＤＳを採用しさえすれば不正アクセス等を検知しネットワークのセキュリティが保たれる訳ではない。実際に、ＩＤＳを採用しても誤検知によるパケット遮断が多く発生し、本当の不正アクセス（不正パケット）を遮断するために、ネットワーク管理者等の判断によりパケット遮断の決定を行う状況も多い。従ってネットワーク管理者らの経験や勘に頼る場面が生じやすく、担当者のスキル等により不正アクセスへの対処内容やレベルに差異が生まれがちである。また、ネットワーク攻撃を受ける頻度が高い大規模システムなどでは、いかに経験豊富な担当者であっても全てのネットワーク攻撃の事象について過去の履歴も含めて常に把握して、各ネットワーク攻撃事案に対し適切な判断を下すことは難しいと言える。

そこで本発明は上記課題を鑑みてなされたものであり、ＩＤＳにおける誤検知を低減し精度よく不正アクセスを検知する技術の提供を主たる目的とする。

上記課題を解決する本発明の不正アクセス解析システムは、ホスト型ＩＤＳおよびネットワーク型ＩＤＳと通信して前記ホスト型ＩＤＳが実装されたサーバ（監視対象）に対する不正アクセスの解析を行うコンピュータシステムであり、以下の手段を備える。すなわち、前記不正アクセス解析システムは、所定ネットワーク内のサーバに設置されたホスト型ＩＤＳより、前記サーバに対するネットワーク攻撃のログデータを受信し記憶装置に格納する、ログ取得部を備える。

また、前記不正アクセス解析システムは、前記所定ネットワークを監視対象とするネットワーク型ＩＤＳより、前記ログデータが示すパケット送信元のＩＰアドレスに基づいて、当該ＩＰアドレスを送信元とするパケットデータを取得し記憶装置に格納する、パケットデータ取得部を備える。

また、前記不正アクセス解析システムは、前記記憶装置から前記パケットデータを読み出して攻撃パターン解析を実行し、この解析で得たパターンが記憶装置にて未登録であれば前記記憶装置に新規登録し、前記パターンが前記記憶装置にて登録済みであれば、前記記憶装置において登録されている該当パターンのネットワーク攻撃に対する対処レベル値を上昇させる、パターン解析部を備える。

また、前記不正アクセス解析システムは、前記記憶装置におけるパターンの新規登録ないし対処レベル値の変化を検知し、新たなパターンないし対処レベル値の変化に対応した新たなシグネチャで前記ネットワーク型ＩＤＳのシグネチャを更新する、シグネチャ更新部を備える。ネットワーク攻撃がＴＣＰを用いて行われる場合、前記シグネチャ更新部は、ＴＣＰリセットパケットを送信してそのＴＣＰセッションを切断する指示を、前記ネットワーク型ＩＤＳ（ないしホスト型ＩＤＳ）に送信するとしてよい（シグネチャに前記指示を含めるとしてよい）。

なお、前記ログ取得部は、前記ホスト型ＩＤＳより、前記サーバに対するネットワーク攻撃のログデータとしてパケット送信元のＩＰアドレスの他、ネットワーク攻撃を受けた攻撃時刻の情報を受信して記憶装置に格納するとすれば好適である。

この場合、前記パターン解析部は、前記攻撃パターン解析として、前記記憶装置に格納したパケットデータのうち前記攻撃時刻より所定時間だけタイムスタンプが古いパケットデータを予兆パケットデータとして記憶装置から読み出し、この予兆パケットデータを、記憶装置に予め記憶している攻撃前兆パケットの情報に照合し、前記予兆パケットデータ中から前記攻撃前兆パケットを検知し、該当ネットワーク攻撃に先だって前記攻撃前兆パケットが送信されるとのパターンを特定し、当該パターンが記憶装置にて未登録であれば前記記憶装置に新規登録し、前記パターンが前記記憶装置にて登録済みであれば、前記記憶装置において登録されている該当パターンのネットワーク攻撃に対する対処レベル値を上昇させる、こととなる。

また、本発明の不正アクセス解析方法は、情報処理装置が、以下の処理を実行するものとなる。すなわち、情報処理装置が、所定ネットワーク内のサーバに設置されたホスト型ＩＤＳより、前記サーバに対するネットワーク攻撃のログデータを受信し記憶装置に格納する処理を実行する。

また、前記情報処理装置は、前記所定ネットワークを監視対象とするネットワーク型ＩＤＳより、前記ログデータが示すパケット送信元のＩＰアドレスに基づいて、当該ＩＰアドレスを送信元とするパケットデータを取得し記憶装置に格納する処理を実行する。

また、前記情報処理装置は、前記記憶装置から前記パケットデータを読み出して攻撃パターン解析を実行し、この解析で得たパターンが記憶装置にて未登録であれば前記記憶装置に新規登録し、前記パターンが前記記憶装置にて登録済みであれば、前記記憶装置において登録されている該当パターンのネットワーク攻撃に対する対処レベル値を上昇させる処理を実行する。

また、前記情報処理装置は、前記記憶装置におけるパターンの新規登録ないし対処レベル値の変化を検知し、新たなパターンないし対処レベル値の変化に対応した新たなシグネチャで前記ネットワーク型ＩＤＳのシグネチャを更新する処理を実行する。

また、本発明の不正アクセス解析プログラムは、情報処理装置に以下の処理を実行させるものとなる。すなわち、前記不正アクセス解析プログラムは、所定ネットワーク内のサーバに設置されたホスト型ＩＤＳより、前記サーバに対するネットワーク攻撃のログデータを受信し記憶装置に格納する処理と、前記所定ネットワークを監視対象とするネットワーク型ＩＤＳより、前記ログデータが示すパケット送信元のＩＰアドレスに基づいて、当該ＩＰアドレスを送信元とするパケットデータを取得し記憶装置に格納する処理と、前記記憶装置から前記パケットデータを読み出して攻撃パターン解析を実行し、この解析で得たパターンが記憶装置にて未登録であれば前記記憶装置に新規登録し、前記パターンが前記記憶装置にて登録済みであれば、前記記憶装置において登録されている該当パターンのネットワーク攻撃に対する対処レベル値を上昇させる処理と、前記記憶装置におけるパターンの新規登録ないし対処レベル値の変化を検知し、新たなパターンないし対処レベル値の変化に対応した新たなシグネチャで前記ネットワーク型ＩＤＳのシグネチャを更新する処理と、を情報処理装置に実行させる。

なお、前記ホスト型ＩＤＳを実装したサーバは、実サービスを顧客等に提供中のサーバであれば、ネットワーク攻撃による影響が顧客サービスにまで及ぶ可能性があるため、例えば、いわゆるハニーポットとしてのサーバ装置を想定することもできる。ハニーポットは、ネットワーク攻撃者の侵入手法やコンピュータウイルスの振る舞いなどを調査・研究するためにインターネット上に設置したサーバやネットワーク機器である。また、ネットワーク攻撃には、例えば、DoS攻撃（Denial of Service attack）、ブルートフォース攻撃、DDoS、PoD、バッファオーバーフロー、SYNフラッド攻撃など様々なものがある。

本発明によれば、ＩＤＳにおける誤検知を低減し精度よく不正アクセスを検知できる。

本発明の一実施形態である不正アクセス解析システムのネットワーク構成図である。 本発明の一実施形態である（ａ）攻撃ログテーブル、（ｂ）知識テーブル、（ｃ）前兆情報テーブル、の各構成例を示す図である。 本発明の一実施形態である不正アクセス解析方法の処理フロー例１を示す図である。 本発明の一実施形態である不正アクセス解析方法の処理フロー例２を示す図である。 本発明の一実施形態である不正アクセス解析方法の処理フロー例３を示す図である。 本発明の一実施形態である不正アクセス解析方法の処理フロー例４を示す図である。 本発明の一実施形態である不正アクセス解析方法の処理フロー例５を示す図である。 本発明の一実施形態である不正アクセス解析方法の処理フロー例６を示す図である。

−−−システム構成−−−
以下に本発明の実施形態について図面を用いて詳細に説明する。図１は、本実施形態の不正アクセス解析システム１００のネットワーク構成図である。図１に示す不正アクセス解析システム１００は、ＩＤＳにおける誤検知を低減し精度良好な不正アクセス検知を実現するコンピュータシステムであり、サーバ装置を想定できる。

本実施形態において、前記不正アクセス解析システム１００（以下システム１００）は、例えば、監視対象のシステムやネットワークを管理する企業が運営するサーバコンピュータであり、例えば、企業内のネットワーク１９０に配置される。また、このシステム１００は、ホスト型ＩＤＳ１０を実装したサーバ５や、ネットワーク型ＩＤＳ２０などと前記ネットワーク１９０で結ばれている。

前記ネットワーク型ＩＤＳ２０は、前記ネットワーク１９０のＤＭＺ（DeMilitarized Zone：非武装地帯）に配置され、ネットワーク攻撃に関する攻撃パターンをシグネチャベースやアノマリベースで検知する。或いは、連続するパケットをシーケンス番号等に基づいて組立て直して解析し、攻撃有無を判断する機能を有する。また、このネットワーク型ＩＤＳ２０は、シグネチャデータや、前記ネットワーク１９０で取得したパケットデータを記憶した記憶装置、前記システム１００と前記ネットワーク１９０を介して通信するＮＩＣ（Network Interface Card）などの通信装置を当然有している。ネットワーク型ＩＤＳ２０は、前記システム１００からの要求に応じて記憶装置からパケットデータを抽出してＮＩＣ経由でシステム１００に返信したり、前記システム１００からの書換指示に応じてシグネチャ更新処理を行ったりする。

また、前記ホスト型ＩＤＳ１０は、ネットワーク攻撃から保護するサーバ５ごとに導入して、サーバ５自身のＮＩＣ（Network Interface Card）を出入りするパケットを前記ネットワーク型ＩＤＳ２０と同様の手法で解析するものであり、各種製品が販売されている。このホスト型ＩＤＳ１０は、前記サーバ５で稼働する各種ＯＳにて管理しているシステムログファイルをモニタリングし、ＯＳのセキュリティ機能などと協働し監視を行う。ホスト型ＩＤＳ１０は、前記サーバ５に対するネットワーク攻撃のログデータをサーバ５の記憶装置に記憶しており、適宜なタイミングで記憶装置からログデータを読み出し、前記サーバ５のＮＩＣ等を経由してシステム１００に送信する。

こうした本実施形態における前記システム１００は、本発明を実現する機能を備えるべくハードディスクドライブなどの不揮発性記憶装置たる記憶部１０１に格納されたプログラム１０２をＲＡＭ１０３に読み出し、演算装置たるＣＰＵ１０４により実行する。また、前記システム１００は、コンピュータ装置が一般に備えている各種キーボードやボタン類などの入力装置１０５、ディスプレイなどの出力装置１０６を備えることができる。また、サーバ５が実装したホスト型ＩＤＳ１０や、ネットワーク型ＩＤＳ２０らとの間のデータ授受を担うＮＩＣ（Network Interface Card）など通信部１０７を有している。

続いて、前記システム１００が、例えばプログラム１０２に基づき前記記憶部１０１にて構成・保持する機能部につき説明を行う。なお、システム１００は、記憶装置（記憶部）において、攻撃ログテーブル１２５、知識テーブル１２６、前兆情報テーブル１２７を格納している（各テーブルについては後述する）。

前記システム１００は、所定ネットワーク１９０内のサーバ５に設置されたホスト型ＩＤＳ１０より、前記サーバ５に対するネットワーク攻撃のログデータを受信し記憶装置１０１の攻撃ログテーブル１２５に格納する、ログ取得部１１０を備える。

また、前記システム１００は、前記所定ネットワーク１９０を監視対象とするネットワーク型ＩＤＳ２０より、前記ログデータが示すパケット送信元のＩＰアドレスに基づいて、当該ＩＰアドレスを送信元とするパケットデータを取得し記憶装置１０１に格納する、パケットデータ取得部１１１を備える。

また、前記システム１００は、前記記憶装置１０１から前記パケットデータを読み出して攻撃パターン解析を実行し、この解析で得たパターンが記憶装置１０１の知識テーブル１２６にて未登録であれば前記記憶装置１０１の知識テーブル１２６に新規登録し、前記パターンが前記記憶装置１０１の知識テーブル１２６にて登録済みであれば、前記記憶装置の知識テーブル１２６において登録されている該当パターンのネットワーク攻撃に対する対処レベル値を上昇させる、パターン解析部１１２を備える。

また、前記システム１００は、前記記憶装置１０１の知識テーブル１２６におけるパターンの新規登録ないし対処レベル値の変化を検知し、新たなパターンないし対処レベル値の変化に対応した新たなシグネチャで前記ネットワーク型ＩＤＳ２０のシグネチャを更新する、シグネチャ更新部１１３を備える。

なお、前記ログ取得部１１０は、前記ホスト型ＩＤＳ１０より、前記サーバ５に対するネットワーク攻撃のログデータとしてパケット送信元のＩＰアドレスの他、ネットワーク攻撃を受けた攻撃時刻の情報を受信して記憶装置１０１の攻撃ログテーブル１２５に格納するとすれば好適である。

この場合、前記パターン解析部１１２は、前記攻撃パターン解析として、前記記憶装置１０１に格納したパケットデータのうち前記攻撃時刻より所定時間だけタイムスタンプが古いパケットデータを予兆パケットデータとして記憶装置１０１から読み出し、この予兆パケットデータを、記憶装置１０１の前兆情報テーブル１２７に予め記憶している攻撃前兆パケットの情報に照合し、前記予兆パケットデータ中から前記攻撃前兆パケットを検知し、該当ネットワーク攻撃に先だって前記攻撃前兆パケットが送信されるとのパターンを特定し、当該パターンが記憶装置１０１の知識テーブル１２６にて未登録であれば前記記憶装置１０１の知識テーブル１２６に新規登録し、前記パターンが前記記憶装置１０１の知識テーブル１２６にて登録済みであれば、前記記憶装置１０１の知識テーブル１２６において登録されている該当パターンのネットワーク攻撃に対する対処レベル値を上昇させるこことする。

なお、前記システム１００が監視対象とする前記サーバ５は、前記ホスト型ＩＤＳ１０をインストールされたサーバ装置であり、サーバ装置として、不揮発性の記憶装置、当該記憶装置に格納されたサーバプログラム、ＲＡＭ、演算装置、前記システム１００との間のデータ授受を担うＮＩＣ（Network Interface Card）など有している。

これまで示した前記システム１００における各部１１０〜１１３はハードウェアとして実現してもよいし、メモリやＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）などの適宜な記憶装置に格納したプログラムとして実現するとしてもよい。この場合、システム１００のＣＰＵがプログラム実行に合わせて記憶装置より該当プログラムをＲＡＭに読み出して、これを実行することとなる。

−−−テーブル構造例−−−
次に、本実施形態の前記システム１００が利用するテーブルの例について説明する。図２は本発明の一実施形態である（ａ）攻撃ログテーブル１２５、（ｂ）知識テーブル１２６、（ｃ）前兆情報テーブル１２７の各構成例を示す図である。

前記攻撃ログテーブル１２５は、前記ネットワーク１９０内のサーバ５に設置されたホスト型ＩＤＳ１０が前記サーバ５に対するネットワーク攻撃のログデータ（パケットデータ含む）を前記システム１００に送信してきたデータの蓄積先となるテーブルである。このテーブルのデータ構造は、例えば、ＩＰヘッダ部とＩＰパケット部の各データからなるレコードの集合体となっており、前記ＩＰヘッダ部には、ネットワーク攻撃の実行体となったパケットに関して送信元ＩＰアドレスと送信先ＩＰアドレス、およびパケットの受信時刻（＝攻撃時刻）の各データが含まれている。また前記ＩＰパケット部には、該当パケットのパケット本体のデータが含まれている。

また、前記知識テーブル１２６は、ホスト型ＩＤＳ１０から得た前記ログデータが示す送信元ＩＰアドレスをキーに、ネットワーク型ＩＤＳ２０から取得したパケット（つまり、ホスト型ＩＤＳ１０およびネットワーク型ＩＤＳ２０のそれぞれでキャプチャしたパケットのうち、前記送信元ＩＰアドレスに関し一致するパケット）に関して攻撃パターン解析を実行して得たパターンの情報を格納したテーブルである。

このテーブルは、例えば、ネットワーク攻撃のパターンＩＤ（図の例ではパターン“Ａ”〜“Ｄ”）をキーとして、攻撃種名、攻撃手法（攻撃パケットのデータ）、前兆データ（＝ネットワーク攻撃に先だって送信されてくる攻撃前兆パケットのデータ）、および該当ネットワーク攻撃への対処レベル（例えば、“レベル１”は該当パケットの監視、“レベル２”は該当パケットの警戒、“レベル３”は該当パケットの遮断）を対応付けたレコードの集合体となっている。この対処レベルの値は、例えば、“１”であれば「システムから出力装置１０６や管理者端末等へのアラート出力を実行せずパケットの監視を継続」、“２”であれば「システムから出力装置１０６や管理者端末等へのアラート出力を実行」、“３”であれば「システムから出力装置１０６や管理者端末等へのアラート出力を実行し該当パケットの遮断」といった対処内容に対応している。なお、前記攻撃種名や攻撃方法と前記前兆データとの組み合わせをパターンとする。従って、攻撃種名や攻撃方法が同じネットワーク攻撃であっても、前兆データが異なる場合は別パターンとみなす。

また、ホスト型ＩＤＳ１０から攻撃ログデータとして受信したことはなくとも、既知の攻撃種名、攻撃手法に関するデータを１パターンのレコードとして当該知識テーブル１２６に格納していてもよい。この場合、前記対処レベルは、例えば、一致する攻撃手法（攻撃パケット）による攻撃を受けたとのログデータをホスト型ＩＤＳ１０から受信するまで“通常”とする。

また、前記前兆情報テーブル１２７は、攻撃前兆パケットの情報を格納したテーブルとなっている。攻撃前兆パケットとしては、例えば、所定ポートに対するバージョン情報の問い合わせを行うパケット、ポートスキャンを行うパケットなどネットワーク攻撃に先立って送られてくる偵察・調査用のパケットなどがあげられる（勿論、こうしたパケットに限定するものではない）。

−−−処理フロー例１−−−
以下、本実施形態における不正アクセス解析方法の実際手順について図に基づき説明する。なお、以下で説明する不正アクセス解析方法に対応する各種動作は、前記システム１００を構成する各装置のＲＡＭに読み出して実行するプログラムによって実現される。そして、このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。

図３は本実施形態の不正アクセス解析方法の処理フロー例１を示す図である。ここではまず、前記サーバ５に実装された前記ホスト型ＩＤＳ１０における処理について説明する。前記ホスト型ＩＤＳ１０は、サーバ５の仮想化プログラムによる仮想化コンピュータ上で実行されている各ＯＳ（図１の例では複数コンピュータ上のそれぞれで異なるＯＳが実行されている）環境下で稼働しているプログラムである。また各ＯＳ用のＮＩＣ（通信装置）経由で各ポート等が受信したパケットについて監視している。また、前記ホスト型ＩＤＳ１０は、ネットワーク攻撃を検知するために、攻撃検知の判断基準となるシグネチャ等のデータや攻撃検知アルゴリズムを当然備えており、受信パケットを前記判断基準のデータに照合したり、攻撃検知アルゴリズムに与えたりすることでネットワーク攻撃を検知する。

こうしたホスト型ＩＤＳ１０は、上述のようにネットワーク攻撃を検知し（ｓ１０）、その際のシステム時刻（サーバ５やＯＳのシステム時刻等、或いは前記システム１００に問い合わせしてもよい）を攻撃時刻として取得する（ｓ１１）。続いてホスト型ＩＤＳ１０は、該当ＯＳが稼働している仮想化コンピュータの記憶資源（ハードディスクドライブなど）において攻撃ログデータの格納用フォルダを作成し（ｓ１２）、攻撃ログデータおよび該当パケットデータが格納されたログファイル（ＨＩＤＳログファイル）を、前記格納用フォルダにコピーする（ｓ１３）。同様に、該当ＯＳにおけるシステムログファイルを前記格納用フォルダにコピーする（ｓ１４）。次に、前記ホスト型ＩＤＳ１０は、攻撃ログデータの転送プロセスへ処理を進める（ｓ１５）。

ここで前記ホスト型ＩＤＳ１０は、例えば前記ネットワーク１９０における前記システム１００との通信確立処理を試行し、前記システム１００との通信状況を判定する（ｓ２０）。前記システム１００と通信可能でなければ（ｓ２１：Ｎｏ）、処理を前記ステップｓ２０に戻し、通信可能になるまで処理を繰り返す。他方、前記システム１００と通信可能であれば（ｓ２１：Ｙｅｓ）、前記ホスト型ＩＤＳ１０は、前記格納用フォルダに格納しておいた攻撃ログデータおよび該当パケットデータを含むログファイル、とシステムログファイルを前記システム１００に送信する（ｓ２２）。一方、前記システム１００のログ取得部１１０は、前記ホスト型ＩＤＳ１０より、前記各ログファイル（サーバ５に対するネットワーク攻撃のログデータ）を受信し、記憶装置１０１の攻撃ログテーブル１２５に格納する（ｓ２３）。他方、前記ホスト型ＩＤＳ１０は、前記格納用フォルダを退避させ処理を終了する（ｓ２４）。

−−−処理フロー例２−−−
次に、前記ネットワーク型ＩＤＳ２０での処理について説明する。図４は本実施形態の不正アクセス解析方法の処理フロー例２を示す図である。前記ネットワーク型ＩＤＳ２０は、前記ネットワーク１９０を流れるパケットをキャプチャし（ｓ３０）、そのデータを自身の記憶装置に格納している（ｓ３１）。ネットワーク型ＩＤＳ２０のハードウェアやキャプチャ手法については既存のものを採用すればよい。前記ネットワーク型ＩＤＳ２０は、例えば自身の記憶装置の容量に応じた数量分の最新のパケットデータを保持することになる。

上記ネットワーク型ＩＤＳ２０は、例えば前記ネットワーク１９０における前記システム１００との通信確立処理を試行し、前記システム１００との通信状況を判定する（ｓ４０）。前記システム１００と通信可能でなければ（ｓ４１：Ｎｏ）、処理を前記ステップｓ４０に戻し、通信可能になるまで処理を繰り返す。他方、前記システム１００と通信可能であれば（ｓ４１：Ｙｅｓ）、前記ネットワーク型ＩＤＳ２０は、前記記憶装置に格納しておいたパケットデータを前記システム１００に送信する（ｓ４２）。一方、前記システム１００のパケットデータ取得部１１１は、前記ネットワーク型ＩＤＳ２０より、前記パケットデータを受信し、記憶装置１０１に格納する（ｓ４３）。

なお、前記システム１００のパケットデータ取得部１１１は、前記ネットワーク型ＩＤＳ２０から全パケットデータを受信するのではなく、前記ログデータ（ホスト型ＩＤＳ１０から取得したもの）が示すパケット送信元のＩＰアドレス（＝ネットワーク攻撃をしかけてきた機器のＩＰアドレス）に基づいて、当該ＩＰアドレスを送信元とするパケットデータのみを選択受信するとしてもよい。或いは、前記システム１００のパケットデータ取得部１１１が、前記ネットワーク型ＩＤＳ２０に対して、前記パケット送信元のＩＰアドレスをキーとしたパケットデータ要求を送信し、当該要求に基づいてネットワーク型ＩＤＳ２０から送られてくるパケットデータを受信し記憶装置に格納するとしてもよい。

−−−処理フロー例３−−−
次に、前記システム１００における攻撃ログの解析とパターン生成の処理について説明する。図５は本実施形態の不正アクセス解析方法の処理フロー例３を示す図である。この場合、前記システム１００のパケットデータ取得部１１１は、前記ネットワーク型ＩＤＳ２０より取得し記憶装置に格納しておいたパケットデータのうち、前記ホスト型ＩＤＳ１０から取得したログデータが示す仮想化コンピュータ（ないしサーバ５）＝攻撃を受けたコンピュータのＩＰアドレスを送信先ＩＰアドレスとし、前記ログデータが示すパケット送信元のＩＰアドレスを送信元ＩＰアドレスとするパケットデータを抽出する（ｓ５０）。つまり、あるネットワーク攻撃（例えば“ＺＺ Ａｔｔａｃｋ”）を受けたコンピュータ（例えば“127.123.456.100”）について、ホスト型ＩＤＳ１０からログデータを通じて通知があった攻撃パケット（例えば、送信元ＩＰアドレスが“123.456.789.111”のパケット）を抽出する。

続いて、前記システム１００のパターン解析部１１２は、前記ステップｓ５０で抽出したパケットデータを、各パケットデータのシーケンス番号に従って時系列ソートし（ｓ５１）、前記ログデータが示す攻撃時刻（例えば“12:00:02”）より所定時間だけタイムスタンプが古いパケットデータを予兆パケットデータとして検出する（ｓ５２）。また、前記パターン解析部１１２は、この予兆パケットデータを、前記前兆情報テーブル１２７の攻撃前兆パケットの情報に照合し、前記予兆パケットデータ中における前記攻撃前兆パケットをの有無を判定する（ｓ５３）。

前記ステップｓ５３の判定処理により、攻撃前兆パケットの存在を検知できなかった場合（ｓ５４：Ｎｏ）、前記パターン解析部１１２は処理を終了する。他方、前記ステップｓ５３の判定処理により、攻撃前兆パケット（例えば図２中の“Ａタイプ”）の存在を検知した場合（ｓ５４：Ｙｅｓ）、前記パターン解析部１１２は、前記予兆パケットデータから、前記“Ａタイプ”のパケットを攻撃前兆パケットとして抽出し（ｓ５５）、該当ネットワーク攻撃“ＺＺ Ａｔｔａｃｋ”に先だって前記攻撃前兆パケット“Ａタイプ”が送信されるとのパターンを特定する。前記パターン解析部１１２は、前記ステップｓ５５で特定したパターンを前記知識テーブル１２６に登録し（ｓ５６）、処理を終了する。このパターンの登録処理の詳細については下記処理フロー例４に示す。

なお、前記システム１００のパターン解析部１１２は、前記ログデータが攻撃時刻の情報を含まない場合、前記ステップｓ５０で抽出したパケットデータを、各パケットデータのシーケンス番号に従って時系列ソートし、前記記憶部１０１に備えた攻撃パターン情報のテーブル（攻撃名、攻撃手法のレコードが格納）に照合し、前記パケットデータが所定の攻撃パターンに該当するか判定することになる。前記パターン解析部１１２は、この判定で特定した攻撃パターンの情報（攻撃名、攻撃手法）を前記知識テーブル１２６に登録し、処理を終了する。

−−−処理フロー例４−−−
次に、前記パターンの登録処理と対処レベルの管理処理について説明する。図６は本実施形態の不正アクセス解析方法の処理フロー例４を示す図である。ここで前記システム１００のパターン解析部１１２は、前記ステップｓ５５で特定したパターン（攻撃名、攻撃手法、攻撃前兆パケットの組み合わせ。前記ログデータが攻撃時刻の情報を含まない場合は、攻撃名、攻撃手法の組み合わせ）が前記知識テーブル１２６にて未登録か否か判定する（ｓ６０）。前記パターンが未登録であれば（ｓ６１：Ｎｏ）、前記パターン解析部１１２は、前記知識テーブル１２６に該当パターンのデータを新規登録する（ｓ６２）。また前記パターン解析部１１２は、新規登録した前記パターンについて、前記知識テーブル１２６において対処レベルの値として“１”つまり“監視”レベルを設定して、知識テーブル１２６を更新する（ｓ６４）。

一方、前記ステップｓ６１で、前記パターンが登録済みと判定すれば（ｓ６１：Ｙｅｓ）、前記パターン解析部１１２は、前記知識テーブル１２６における該当パターンのレコードにおいて対処レベルの値を読み取り、その値が“３”、つまり“遮断”レベルであるか判定する（ｓ６５）。前記対処レベルの値が“３”であれば（ｓ６５：Ｙｅｓ）、前記パターン解析部１１２は、例えば、“遮断”レベルのネットワーク攻撃があって該当パケットの遮断処理を実行する旨のメッセージ（記憶装置１０１に予め保持）をメールフォームに設定し、メーラー（記憶装置１０１に備えていて当該ステップにあわせて実行）を利用して管理者の端末等に送信し（ｓ６６）、処理を終了する。

一方、前記対処レベルの値が“３”でなければ（ｓ６５：Ｎｏ）、前記パターン解析部１１２は、さらに、前記対処レベルの値が“２”、つまり“警戒”レベルであるか判定する（ｓ６７）。前記対処レベルの値が“２”であれば（ｓ６７：Ｙｅｓ）、前記パターン解析部１１２は、前記パターンについて、前記知識テーブル１２６において対処レベルの値を“２”から“３”つまり“警戒”レベルから“遮断”レベルへとレベル値を上昇させて（ｓ６８）、知識テーブル１２６を更新する（ｓ６４）。

他方、前記対処レベルの値が“２”でなければ（ｓ６７：Ｎｏ）、前記パターン解析部１１２は、前記パターンについて、前記知識テーブル１２６において対処レベルの値を“１”から“２”つまり“監視”レベルから“警戒”レベルへとレベル値を上昇させて（ｓ６９）、知識テーブル１２６を更新し（ｓ６４）、処理を終了する。

−−−処理フロー例５−−−
次に、シグネチャの更新処理について説明する。図７は本実施形態の不正アクセス解析方法の処理フロー例４を示す図である。この場合、前記システム１００のシグネチャ更新部１１３は、前記知識テーブル１２６におけるパターンの新規登録（処理フロー例４における前記ステップｓ６２の実行イベント）ないし対処レベル値の変化（処理フロー例４における前記ステップｓ６８、ｓ６９の実行イベント）といった更新処理の有無を検知する（ｓ７０）。

前記ステップｓ７０により、前記知識テーブル１２６の更新処理を検知しなかったならば（ｓ７１：Ｎｏ）、前記シグネチャ更新部１１３は処理を終了する。他方、前記ステップｓ７０により、前記知識テーブル１２６の更新処理を検知したならば（ｓ７１：Ｙｅｓ）、前記シグネチャ更新部１１３は、新たなパターンないし対処レベル値の変化に対応した新たなシグネチャファイルを生成し（ｓ７２）、記憶装置１０１に格納する。前記シグネチャ更新部１１３は、例えば、新たなパターンについては、該当パターンに関する情報（攻撃名、攻撃手法、攻撃前兆パケットの各データ、或いは特定のパケット送信元ＩＰアドレス）や、該当パケット（攻撃前兆パケット、或いは特定のパケット送信元ＩＰアドレスからのパケット）に対して行うべき前記“監視”に対応した処理内容に対応したシグネチャファイルを生成する。また例えば、対処レベル値が変化したパターンについては、該当パターンにおける該当パケット（攻撃前兆パケット、或いは特定のパケット送信元ＩＰアドレスからのパケット）に対して行うべき“警戒”や“遮断”などの処理内容に対応したシグネチャファイルを生成する。シグネチャファイルの生成処理については、既存手法を採用すればよい。前記ネットワーク型ＩＤＳ２０のシグネチャを更新する。

続いて、前記システム１００のシグネチャ更新部１１３は、例えば前記ネットワーク１９０における前記ネットワーク型ＩＤＳ２０との通信確立処理を試行し、前記ネットワーク型ＩＤＳ２０との通信状況を判定する（ｓ７４）。前記ネットワーク型ＩＤＳ２０と通信可能でなければ（ｓ７４：Ｎｏ）、処理を前記ステップｓ７３に戻し、通信可能になるまで処理を繰り返す。他方、前記ネットワーク型ＩＤＳ２０と通信可能であれば（ｓ７４：Ｙｅｓ）、前記シグネチャ更新部１１３は、前記記憶装置１０１に格納しておいたシグネチャファイルを前記ネットワーク型ＩＤＳ２０に送信する（ｓ７５）。

一方、前記ネットワーク型ＩＤＳ２０は前記シグネチャファイルを前記システム１００のシグネチャ更新部１１３から受信し、自身の記憶装置における該当パターンに関するシグネチャファイルを更新する（ｓ７６）。なお、前記ネットワーク型ＩＤＳ２０は、自身の記憶装置においてパターン毎のシグネチャファイルを記憶している。

−−−処理フロー例６−−−
次に、前記ネットワーク型ＩＤＳ２０での攻撃パケットの遮断処理について説明する。図８は本実施形態の不正アクセス解析方法の処理フロー例５を示す図である。前記システム１００のシグネチャ更新部１１３により管理されているシグネチャファイルを利用する前記ネットワーク型ＩＤＳ２０は、前記ネットワーク１９０を流れるパケットに対し、シグネチャファイルとの照合を行って、マッチするシグネチャファイルに応じた処理を行っている。

この場合、前記ネットワーク型ＩＤＳ２０は、前記ネットワーク１９０の入り口（前記ネットワーク１９０において外部ネットワークに最も近い位置＝外部ネットワークからファイヤウォールを通過した直後の全パケットを取得できる位置）にて、全パケットデータをキャプチャし（ｓ８０）、このパケットデータと前記各パターンのシグネチャファイルが示す攻撃前兆パケットのデータとの照合、或いは前記パケットデータの示すパケット送信元ＩＰアドレスと前記シグネチャファイルが示す特定のパケット送信元ＩＰアドレスとの照合を実行する（ｓ８１）。

前記ステップｓ８１での照合処理により、あるシグネチャファイルとの一致が認められるパケットデータを特定した場合、前記ネットワーク型ＩＤＳ２０は、前記パケットデータとの一致を認めた該当シグネチャファイルが示す処理内容（例：“監視”、“警戒”、“遮断”のいずれか）を読み取り、その処理内容が“遮断”であるか判定する（ｓ８２）。この判定処理で、該当シグネチャファイルが示す処理内容が“遮断”でなければ（ｓ８２：Ｎｏ）、前記ネットワーク型ＩＤＳ２０は、当該パケットデータの遮断フローを終了する。他方、該当シグネチャファイルが示す処理内容が“遮断”であれば（ｓ８２：Ｙｅｓ）、前記ネットワーク型ＩＤＳ２０は、当該パケットデータの破棄処理や該当ＩＰアドレスへのリセットパケット送信を行い（ｓ８３）、処理を終了する。

以上、本実施形態によれば、ＩＤＳにおける誤検知を低減し精度よく不正アクセスを検知できる。

以上、本発明の実施の形態について、その実施の形態に基づき具体的に説明したが、これに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

５ サーバ
１０ ホスト型ＩＤＳ
２０ ネットワーク型ＩＤＳ
１００ 不正アクセス解析システム
１０１ 記憶部
１０２ プログラム
１０３ ＲＡＭ（Random Access Memory）
１０４ ＣＰＵ（Central Processing Unit）
１０５ 入力装置
１０６ 出力装置
１０７ ＮＩＣ（通信部）
１１０ ログ取得部
１１１ パケットデータ取得部
１１２ パターン解析部
１１３ シグネチャ更新部
１２５ 攻撃ログテーブル
１２７ 前兆情報テーブル
１２６ 知識テーブル
１９０ ネットワーク

Claims (4)

1. 所定ネットワーク内のサーバに設置されたホスト型ＩＤＳより、前記サーバに対するネットワーク攻撃のログデータを受信し記憶装置に格納する、ログ取得部と、
   前記所定ネットワークを監視対象とするネットワーク型ＩＤＳより、前記ログデータが示すパケット送信元のＩＰアドレスに基づいて、当該ＩＰアドレスを送信元とするパケットデータを取得し記憶装置に格納する、パケットデータ取得部と、
   前記記憶装置から前記パケットデータを読み出して攻撃パターン解析を実行し、この解析で得たパターンが記憶装置にて未登録であれば前記記憶装置に新規登録し、前記パターンが前記記憶装置にて登録済みであれば、前記記憶装置において登録されている該当パターンのネットワーク攻撃に対する対処レベル値を上昇させる、パターン解析部と、
   前記記憶装置におけるパターンの新規登録ないし対処レベル値の変化を検知し、新たなパターンないし対処レベル値の変化に対応した新たなシグネチャで前記ネットワーク型ＩＤＳのシグネチャを更新する、シグネチャ更新部と、
   を備える不正アクセス解析システム。
2. 前記ログ取得部は、前記ホスト型ＩＤＳより、前記サーバに対するネットワーク攻撃のログデータとしてパケット送信元のＩＰアドレスの他、ネットワーク攻撃を受けた攻撃時刻の情報を受信して記憶装置に格納し、
   前記パターン解析部は、前記攻撃パターン解析として、前記記憶装置に格納したパケットデータのうち前記攻撃時刻より所定時間だけタイムスタンプが古いパケットデータを予兆パケットデータとして記憶装置から読み出し、この予兆パケットデータを、記憶装置に予め記憶している攻撃前兆パケットの情報に照合し、前記予兆パケットデータ中から前記攻撃前兆パケットを検知し、該当ネットワーク攻撃に先だって前記攻撃前兆パケットが送信されるとのパターンを特定し、当該パターンが記憶装置にて未登録であれば前記記憶装置に新規登録し、前記パターンが前記記憶装置にて登録済みであれば、前記記憶装置において登録されている該当パターンのネットワーク攻撃に対する対処レベル値を上昇させる、
   ことを特徴とする請求項１に記載の不正アクセス解析システム。
3. 情報処理装置が、
   所定ネットワーク内のサーバに設置されたホスト型ＩＤＳより、前記サーバに対するネットワーク攻撃のログデータを受信し記憶装置に格納する処理と、
   前記所定ネットワークを監視対象とするネットワーク型ＩＤＳより、前記ログデータが示すパケット送信元のＩＰアドレスに基づいて、当該ＩＰアドレスを送信元とするパケットデータを取得し記憶装置に格納する処理と、
   前記記憶装置から前記パケットデータを読み出して攻撃パターン解析を実行し、この解析で得たパターンが記憶装置にて未登録であれば前記記憶装置に新規登録し、前記パターンが前記記憶装置にて登録済みであれば、前記記憶装置において登録されている該当パターンのネットワーク攻撃に対する対処レベル値を上昇させる処理と、
   前記記憶装置におけるパターンの新規登録ないし対処レベル値の変化を検知し、新たなパターンないし対処レベル値の変化に対応した新たなシグネチャで前記ネットワーク型ＩＤＳのシグネチャを更新する処理と、
   を実行する不正アクセス解析方法。
4. 情報処理装置に、
   所定ネットワーク内のサーバに設置されたホスト型ＩＤＳより、前記サーバに対するネットワーク攻撃のログデータを受信し記憶装置に格納する処理と、
   前記所定ネットワークを監視対象とするネットワーク型ＩＤＳより、前記ログデータが示すパケット送信元のＩＰアドレスに基づいて、当該ＩＰアドレスを送信元とするパケットデータを取得し記憶装置に格納する処理と、
   前記記憶装置から前記パケットデータを読み出して攻撃パターン解析を実行し、この解析で得たパターンが記憶装置にて未登録であれば前記記憶装置に新規登録し、前記パターンが前記記憶装置にて登録済みであれば、前記記憶装置において登録されている該当パターンのネットワーク攻撃に対する対処レベル値を上昇させる処理と、
   前記記憶装置におけるパターンの新規登録ないし対処レベル値の変化を検知し、新たなパターンないし対処レベル値の変化に対応した新たなシグネチャで前記ネットワーク型ＩＤＳのシグネチャを更新する処理と、
   を実行させる不正アクセス解析プログラム。

Images