JP2011097468A - 監視装置、監視システム、監視方法及び監視プログラム - Google Patents

Abstract

【課題】ＳＳＨサーバ装置等の装置に対する不正な攻撃の発見及び対策を、小さい処理負荷、かつ短時間で実現する監視装置、監視システム、監視方法及び監視プログラムを提供する。
【解決手段】監視装置１は、ドメイン名システムに対する照会に用いられるパケットに係るキー情報を取得し（Ｓ２０１）、取得した複数のパケットに係るキー情報に基づいて、対応するＩＰアドレス及びドメイン名をキー情報とする逆引きのＤＮＳクエリパケット及び正引きのＤＮＳクエリパケットの組の数を、対応するＩＰアドレス及びドメイン名の組み合わせ毎に組数として計数する（Ｓ２０３）。そして、監視装置１は、計数した組数が、所定の閾値を超える場合（Ｓ２０４：ＹＥＳ）、組数を計数した組み合わせに係るＩＰアドレスを出力する（Ｓ２０５）。
【選択図】図５

Description

本願は、ドメイン名システムとの通信に用いられるパケットを監視する監視装置、該監視装置を用いた監視システム、前記監視装置を用いた監視方法、及び前記監視装置を実現する監視プログラムに関する。

ルータ、ファイアウォール等の静的方法、又はＩＤＳ(Intrusion Detection System)と呼ばれる侵入検知システム、ＩＰＳ(Intrusion Prevention System)と呼ばれる侵入阻止システム等の動的方法により不正アクセス等の攻撃を防御するシステムが普及している。このようなシステムは、パケットを選択的に通過又は転送することによって、好ましからざるアクセス、データの流入等の危険を防止している。

好ましからざるアクセスとしては、辞書に記録されている用語に基づいてアクセスを繰り返すＳＳＨ(Secure SHell)辞書攻撃を例示することができる。ＳＳＨ辞書攻撃等の攻撃に対しては、例えば、攻撃元となる装置を特定した上で、特定した装置からのアクセスに対して所定の処理を行うように、攻撃先となるサーバ装置に対策が施される。攻撃元となる装置の特定は、攻撃先となるサーバ装置のシステムログに記録されたクライアント接続時のメッセージの監視、侵入検知システムを用いた特定のクライアント装置の監視等の方法により行われる。

不正な攻撃に対する対策として、本願発明者は、様々な方法を提案している（例えば、特許文献１参照）。

特開２００６−４２１８３号公報

しかしながら、前述した攻撃元の装置の特定方法は、攻撃を受けてから対策を施すまでに時間を要し、また対策に要する人的作業負荷、各種装置の処理負荷等の負荷が大きいという問題がある。

本発明は斯かる事情に鑑みてなされたものであり、ドメイン名システムに対して、ドメイン名又はＩＰアドレスの照会を要求するパケットを監視し、夫々対応するＩＰアドレス又はドメイン名をキー情報とするパケット組の組数が、所定の閾値以上である組に係るＩＰアドレスを出力する。これにより、対策の時間に関する問題を解消し、対策に要する様々な負荷を軽減することが可能な監視装置、該監視装置を用いた監視システム、前記監視装置を用いた監視方法、及び前記監視装置を実現する監視プログラムを開示する。

本発明に係る監視装置、監視システム、監視方法及び監視プログラムは、ドメイン名システムに対する照会に用いられるパケットに係るキー情報を取得し、取得した複数のパケットに係るキー情報に基づいて、ＩＰアドレスをキー情報としてドメイン名の照会を要求するパケット、及び該パケットにてキー情報としたＩＰアドレスに対応するドメイン名をキー情報としてＩＰアドレスの照会を要求するパケットの組の数を、対応するＩＰアドレス及びドメイン名の組み合わせ毎に組数として計数し、計数した組数が、所定の閾値を超えるか否かを判定し、所定の閾値を超えると判定した場合に、組数を計数した組み合わせに係るＩＰアドレスを出力することを特徴とする。

本発明では、ドメイン名又はＩＰアドレスの照会を要求するパケットから取得したキー情報を統計的に処理することで攻撃元の特定を支援するので、対策に要する負荷が小さく、また攻撃を受けてから対策を施すまでの時間を短縮することが可能である等、優れた効果を奏する。

本発明に係る監視システムの概要の一例を示す説明図である。 本発明に係る監視システムにて用いられる各種装置の構成例を示すブロック図である。 本発明に係る監視システムにて用いられるＤＮＳ装置のログデータベースの記録内容の一例を概念的に示す説明図である。 本発明に係る監視システムにて用いられる照会要求装置及びＤＮＳ装置の照会処理の一例を示すシーケンス図である。 本発明に係る監視装置の監視処理の一例を示すフローチャートである。 本発明に係る監視装置の監視処理の他の例を示すフローチャートである。 本発明に係る監視方法の適用の対象とした通信状況を示すグラフである。 本発明に係る監視方法の適用の結果を示す説明図である。

以下、本発明をその実施の形態を示す図面に基づいて詳述する。

図１は、本発明に係る監視システムの概要の一例を示す説明図である。図１中１は、本発明の監視装置である。監視装置１は、ドメイン名又はＩＰアドレスの照会を要求する照会要求装置２からドメイン名システム（ＤＮＳ：Domain Name System）として機能するＤＮＳ装置３へ送信されるパケットを監視する。

照会要求装置２は、一又は複数台が配設されており、例えば、ＳＳＨ(Secure SHell)サーバ装置等の装置を用いて構成される。また、照会要求装置２は、インターネット等の外部通信網ＮＷｏ及びＬＡＮ(Local Area Network)等の内部通信網ＮＷｉを接続するゲートウェイとしての機能を有する。

ＤＮＳ装置３は、例えば、ドメイン名及びＩＰアドレスの対応関係を記録（マッピング）するＤＮＳサーバ装置、又はＤＮＳサーバ装置の記録内容の一部を一時的に記録するＤＮＳキャッシュサーバ装置等の装置を用いて構成される。ＩＰアドレスとは、外部通信網ＮＷｏ又は内部通信網ＮＷｉ上の示す位置情報である。例えば、Version4として規定される位置情報は、３２ビットの数列を８ビット毎に区切った数列、すなわち、０〜２５５の数値を４つ並べた「aaa.bbb.ccc.ddd 」等の数列として示される。なお、「aaa 」、「bbb 」、「ccc 」及び「ddd 」は、数字を伏せ字として示した符号である。ドメイン名とは、人が認識しやすいように、ＩＰアドレスに対応付けられた「host.abc.xyz.net. 」等の名称情報である。なお、「abc 」及び「xyz 」は、任意の個数の英数字を伏せ字として示した符号である。そして、ＤＮＳ装置３は、ドメイン名又はＩＰアドレスをキー情報とする照会の要求に対し、ドメイン名及びＩＰアドレスの対応関係に基づいて応答する名前解決を行う。例えば、ＩＰアドレスをキー情報として、ドメイン名の照会を要求する逆引きのＤＮＳクエリパケットを受け付けた場合に、キー情報のＩＰアドレスに対応するドメイン名を応答する名前解決を行う。また、ドメイン名をキー情報として、ＩＰアドレスの照会を要求する正引きのＤＮＳクエリパケットを受け付けた場合に、キー情報のドメイン名に対応するＩＰアドレスを応答する名前解決を行う。なお、ドメイン名としては、例えば、完全ドメイン名（ＦＱＤＮ：Fully Qualified Domain Name ）が用いられる。

照会要求装置２は、例えば、ＳＳＨ、ＳＭＴＰ(Simple Mail Transfer Protocol )等のプロトコルに基づくアクセスを受け付けた場合に、アクセス元のＩＰアドレスをキー情報として、ＤＮＳ装置３に対してドメイン名の照会を要求する逆引き処理を行う。さらに、逆引き処理により得られたドメイン名をキー情報として、ＤＮＳ装置３に対してＩＰアドレスの照会を要求する正引き処理を行う。正引き処理により得られたＩＰアドレスが、アクセス元のＩＰアドレスと異なる場合、当該アクセスは、不正な目的を持ったアクセスである可能性が高いと判断することができる。なお、照会結果は、照会要求装置２、ＤＮＳ装置３、又は内部通信網ＮＷｉを介して接続される他の記録装置（図示せず）にログとして記録される。

監視装置１は、照会要求装置２からＤＮＳ装置３へ送信される照会要求に係るパケットを監視する。例えば、送信されているパケットの複製を取得し、取得したパケットに示されたキー情報等の情報を読み取る等の処理に基づいて監視が行われる。なお、照会要求装置２からＤＮＳ装置３へ送信されるパケットを中継することにより監視しても良い。また、監視装置１を、照会要求装置２又はＤＮＳ装置３と一体の装置として形成することによりパケットを取得して監視するようにしても良い。また、パケットの通信に係る情報を記録したログを読み取ることにより、監視しても良い。さらに、ＤＮＳ装置３から照会要求装置２へ送信される応答パケットに係る情報を前述の方法により取得して監視するようにしても良い。

照会要求装置２に対しては、外部通信網ＮＷｏを介した様々なアクセスがあり、例えば、不正装置４からの不正な攻撃としてのアクセスを受けることもある。不正装置４による不正な攻撃としては、例えば、照会要求装置２等の装置に設定されているパスワード等の文字列を推定し、推定した文字列に基づく侵入、破壊等の攻撃を例示することができる。このような攻撃として、例えば、辞書に記録されている用語等の文字列に基づいてアクセスを繰り返す辞書攻撃、辞書に記録されていない文字列をも含めてアクセスを繰り返す総当たり攻撃等の攻撃の方法がある。

なお、不正装置４は、必ずしも、不正者が直接操作する通信用コンピュータ等の装置であるとは限らない。むしろ、善意の所有者が所有するパーソナルコンピュータ等の装置が、不正者により、本来の所有者に認識されることなく遠隔操作される所謂攻撃用ボット装置となり、不正装置４として用いられることが往々にしてある。攻撃用ボット装置としての不正装置４により、攻撃が行われる場合、複数の不正装置４が同時に攻撃を行うこともあり、さらには、複数の照会要求装置２に対して同時に攻撃を行う分散型攻撃に発展することもある。

図２は、本発明に係る監視システムにて用いられる各種装置の構成例を示すブロック図である。監視装置１は、例えばサーバ用コンピュータ等の通信装置を用いて構成され、制御部１０、記憶部１１、記録部１２、通信部１３、出力部１４等の各種機構を備えている。

制御部１０は、ＣＰＵ（Central Processing Unit ）等の演算機構である。制御部１０は、内部通信線を介して監視装置１内のハードウェア各部と接続されており、本発明に係る監視プログラムＰＲＧ等の各種プログラムの手順に従って所定の処理を実行する。また、制御部１０は、演算に要する各種レジスタ、命令解読回路、演算回路、計数回路、計時回路等の回路を備えている。なお、監視プログラムＰＲＧ等の各種プログラムの実行ではなく、各種プログラムによる手順の一部又は全部を実現する一又は複数のＶＬＳＩ（Very Large Scale Integration）等の回路を組み込み、監視装置１に係る各種機能を実現するようにしても良い。

記憶部１１は、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）、ＳＲＡＭ（Static Random Access Memory）等の揮発性の主記憶機構である。

記録部１２は、ＨＤＤ（Hard Disk Drive）等の磁気記録機構、ＳＳＤ（Solid State Disk）等の不揮発性半導体記録機構等の不揮発性の補助記録機構である。記録部１２には、本発明に係る監視プログラムＰＲＧ等の各種プログラム及びデータが記録されている。そして、記録部１２に記録されている監視プログラムＰＲＧを、記憶部１１に記憶し、制御部１０の制御に基づき実行することにより、通信装置は、本発明の監視方法に係る処理等の各種処理を実行し、監視装置１として機能する。なお、便宜上、記憶部１１及び記録部１２として分けているが、両者とも各種情報の記録という同様の機能を有するものであり、装置の仕様、運用形態等に応じていずれの機構に記録させるかは、適宜決定することが可能である。

通信部１３は、内部通信網ＮＷｉに接続するコネクタ、通信回路等のハードウェア、及びドライバ等のソフトウェアを備える通信機構である。監視装置１は、通信部１３にて内部通信網ＮＷｉに接続し、照会要求装置２からＤＮＳ装置３へ送信されるＤＮＳクエリパケット等のパケットに係る情報を取得する。

出力部１４は、情報を出力させる出力機構である。先ず、制御部１０の制御により、記憶部１１又は記録部１２への記録を目的として、情報の内部出力が行われる。さらに、記憶部１１又は記録部１２に記録された情報は、出力部１４により、外部出力される。外部出力を行う出力部１４としては、画像である情報を出力するモニタ及びその付属機構、デジタルデータである情報を記録媒体に出力する各種メモリポート及びその付属回路を例示することができる。なお、通信部１３及び出力部１４を一つの機構とし、デジタルデータである情報を出力部１４として機能する通信部１３から他の装置へ出力するようにしても良い。

照会要求装置２は、制御部２０、記憶部２１、記録部２２、外部通信部２３、内部通信部２４等の各種機構を備えている。外部通信部２３は、外部通信網ＮＷｏとの接続に要する通信機構である。内部通信部２４は、内部通信網ＮＷｉとの接続に要する通信機構である。ＳＳＨサーバを用いた照会要求装置２の場合、制御部２０は、ＤＮＳクエリパケットを送信する前述の照会要求処理の他、必要に応じて、認証機能、暗号通信機能、ゲートウェイ機能、ルーティング機能、ファイアウォール機能等の各種機能を実現するための各種処理を実行する。

また、記録部２２の記録領域の一部は、ファイアウォール機能として通信を制限すべき不正装置４等の装置に係るＩＰアドレスを記録する制限対象データベース（制限対象ＤＢ）２２ａ等の各種データベースとして用いられる。そして、制御部２０は、制限対象データベース２２ａに記録されたＩＰアドレスに係る装置からのアクセスに対し、通信の遮断等の制限を行うファイアウォール機能等の機能を実現する制限手段２０ａとして動作する。

ＤＮＳ装置３は、制御部３０、記憶部３１、記録部３２、通信部３３等の各種機能を備えている。記録部３２の記録領域の一部は、ドメイン名データベース（ＤＮＳ ＤＢ）３２ａ、ログデータベース（Ｌｏｇ ＤＢ）３２ｂ等の各種データベースとして用いられる。なお、ＤＮＳ装置３が備える記録部３２の記録内容の一部を、ドメイン名データベース３２ａ、ログデータベース３２ｂ等の各種データベースとして用いるのではなく、ＤＮＳ装置３に接続された他の装置を各種データベースとして用い、必要に応じてアクセスするようにしてもよい。

ドメイン名データベース３２ａは、ＤＮＳサーバ装置としての機能を実現するため、ドメイン名及びＩＰアドレスを対応付けて記録するデータベースである。

図３は、本発明に係る監視システムにて用いられるＤＮＳ装置３のログデータベース３２ｂの記録内容の一例を概念的に示す説明図である。ログデータベース３２ｂには、ＤＮＳ装置３が、ＤＮＳサーバ装置として受信したＤＮＳクエリパケット等のパケットの内容が記録されている。図中「Ａ」として示した箇所は、受信日時を示している。「Ｂ」として示した箇所は、ホスト名、プロセス名及びプロセスＩＤを示している。「Ｃ」として示した箇所は、パケットの送信元の装置、例えば、照会要求装置２のＩＰアドレスを送信元情報として示している。「Ｄ」として示した箇所は、当該パケットの照会内容を示している。照会内容の末尾が「IN PTR」であるパケットはＰＴＲレコードと呼ばれ、ＩＰアドレスをキー情報としてドメイン名の照会を要求する逆引きのＤＮＳクエリパケットである。図３に示す例では、ＩＰアドレス「aaa.bbb.ccc.ddd 」をキー情報として、対応するドメイン名の照会を要求している。照会内容の末尾が「IN A」であるパケットはＡレコードと呼ばれ、ドメイン名をキー情報としてＩＰアドレスの照会を要求する正引きのＤＮＳクエリパケットである。図３に示す例では、ドメイン名「host.abc.xyz.net. 」をキー情報として、対応するＩＰアドレスの照会を要求している。照会内容の末尾が「IN MX 」であるパケットはＭＸレコードと呼ばれ、電子メールの配送先を照会している。

次に、本発明の監視システムに係る各種装置の処理について説明する。図４は、本発明に係る監視システムにて用いられる照会要求装置２及びＤＮＳ装置３の照会処理の一例を示すシーケンス図である。照会要求装置２は、例えば、外部通信網ＮＷｏを介して、ＳＳＨプロトコルに基づくアクセスを受け付けた場合に、照会要求を開始する。

照会要求装置２は、制御部２０の制御により、アクセス元の装置のＩＰアドレスを取得する（Ｓ１０１）。ステップＳ１０１では、例えば、アクセスとして受け付けたパケットにメタ情報等の情報として示されている送信元のＩＰアドレスを読み取ることにより、ＩＰアドレスの取得を行う。

照会要求装置２は、制御部２０の制御により、取得したＩＰアドレスをキー情報として、ＤＮＳ装置３に対し、ドメイン名の照会を要求する（Ｓ１０２）。ステップＳ１０２は、逆引きのＤＮＳクエリパケットを、内部通信部２４から内部通信網ＮＷｉを介して、ＤＮＳ装置３へ送信する処理である。逆引きのＤＮＳクエリパケットは、例えば、図３を用いて説明したＰＴＲレコードの内容を含む。

ＤＮＳ装置３は、制御部３０の制御により、通信部３３にて、ドメイン名の照会の要求を受け付ける（Ｓ１０３）。ステップＳ１０３は、照会要求装置２から送信された逆引きのＤＮＳクエリパケットを受信する処理である。

ＤＮＳ装置３は、制御部３０の制御により、ドメイン名の照会の要求として受け付けた逆引きのＤＮＳクエリパケットからキー情報であるＩＰアドレスを読み取り、読み取ったＩＰアドレスに対応するドメイン名をドメイン名データベース３から抽出する（Ｓ１０４）。なお、ＤＮＳ装置３が備えるドメイン名データベース３に、キー情報であるＩＰアドレスに対応するドメイン名が記録されていない場合、ＤＮＳ装置３は、他のＤＮＳサーバ装置等の装置に対し、問い合わせを行うことにより、ＩＰアドレスに対応するドメイン名を取得する。

ＤＮＳ装置３は、制御部３０の制御により、キー情報であるＩＰアドレスに対応するドメイン名を、要求に対する応答として、通信部３３から内部通信網ＮＷｉを介して、照会要求装置２へ送信する（Ｓ１０５）。ステップＳ１０５では、例えば、完全ドメイン名が応答として送信される。なお、ＤＮＳ装置３は、問い合わせの内容、即ち、ＤＮＳパケットの内容をログデータベース３２ｂに記録する。

照会要求装置２は、制御部２０の制御により、要求に対する応答としてドメイン名を取得する（Ｓ１０６）。ステップＳ１０６は、内部通信部２４にて、ドメイン名を受信し、受信したドメイン名を取得する処理である。

さらに、照会要求装置２は、制御部２０の制御により、取得したドメイン名をキー情報として、ＤＮＳ装置３に対し、ＩＰアドレスの照会を要求する（Ｓ１０７）。ステップＳ１０７は、正引きのＤＮＳクエリパケットを、内部通信部２４から内部通信網ＮＷｉを介して、ＤＮＳ装置３へ送信する処理である。正引きのＤＮＳクエリパケットは、例えば、図３を用いて説明したＡレコードの内容を含む。

ＤＮＳ装置３は、制御部３０の制御により、通信部３３にて、ＩＰアドレスの照会の要求を受け付ける（Ｓ１０８）。

ＤＮＳ装置３は、制御部３０の制御により、ＩＰアドレスの照会の要求として受け付けた正引きのＤＮＳクエリパケットからキー情報であるドメイン名を読み取り、読み取ったドメイン名に対応するＩＰアドレスをドメイン名データベース３から抽出する（Ｓ１０９）。

ＤＮＳ装置３は、制御部３０の制御により、キー情報であるドメイン名に対応するＩＰアドレスを、要求に対する応答として、通信部３３から内部通信網ＮＷｉを介して、照会要求装置２へ送信する（Ｓ１１０）。

照会要求装置２は、制御部２０の制御により、要求に対する応答としてＩＰアドレスを取得する（Ｓ１１１）。そして、照会要求装置２は、アクセス元のＩＰアドレスと取得したＩＰアドレスとの照会、照会要求及び取得内容の記録等の以降の処理を実行する。このようにして照会処理が実行される。

図５は、本発明に係る監視装置１の監視処理の一例を示すフローチャートである。図５を用いて説明する監視処理とは、監視装置１が、照会要求装置２及びＤＮＳ装置３間の通信に係るパケットに基づいて、不正な攻撃元である可能性が高い装置のＩＰアドレスを特定し、出力する処理である。監視装置１は、操作担当者による操作及び設定に基づいて、任意の時期、所定の時刻、所定の時間間隔等を契機として監視処理を実行する。

監視装置１は、監視プログラムＰＲＧを実行する制御部１０の制御により、ドメイン名システムに対する照会に用いられるパケットに係るキー情報等の情報を取得する（Ｓ２０１）。ドメイン名システムに対する照会に用いられるパケットとは、ＤＮＳクエリパケット等のパケットである。パケットに係るキー情報等の情報とは、逆引きのＤＮＳクエリパケットのキー情報であるＩＰアドレス、正引きのＤＮＳクエリパケットのキー情報であるドメイン名等の情報を示す。パケットに係る情報の取得は、照会要求装置２からＤＮＳ装置３へ送信されるＤＮＳパケットの取得、ＤＮＳ装置３のログデータベース３２ｂの記録内容の読み取り等の前述した様々な方法により実現される。取得の対象となる情報は、設定された監視期間に転送された複数のパケットに係る情報である。

監視装置１は、制御部１０の制御により、取得した情報に基づいて、所定数以上のパケットにてキー情報とされているドメイン名又はＩＰアドレスに係るパケットを、以降の処理の対象として選択する（Ｓ２０２）。ステップＳ２０２は、不正な攻撃元である不正装置４からは、多数のアクセスがあることから、キー情報とされた回数が所定数以上であるドメイン名又はＩＰアドレスをキー情報とするパケットに係る情報のみを以降の処理の対象とする処理である。ステップＳ２０２の処理により、処理の対象の選択を行い、以降の処理の負荷を軽減することができる。なお、所定数は、操作担当者が指定した数値を予め設定しておくようにしても良く、また、監視期間として設定された期間の長さ、取得したパケット数等の要因に応じて自動的に決定されるようにしても良い。

監視装置１は、制御部１０の制御により、選択した複数のパケットに係る情報に基づいて、対応するＩＰアドレス及びドメイン名をキー情報とする逆引きのＤＮＳクエリパケット及び正引きのＤＮＳクエリパケットの組の数を、対応するＩＰアドレス及びドメイン名の組み合わせ毎に組数として計数する（Ｓ２０３）。例えば、ＩＰアドレス「aaa.bbb.ccc.ddd 」とドメイン名「host.abc.xyz.net. 」とが対応付けられている場合、一対の「aaa.bbb.ccc.ddd 」をキー情報とする逆引きのＤＮＳクエリパケットと、「host.abc.xyz.net. 」をキー情報とする正引きのＤＮＳクエリパケットとの組み合わせを組とする。そして、対となるＤＮＳクエリパケットの数、即ち組数を計数する。図４を用いて示した照会処理により、照会要求装置２は、ＳＳＨプロトコルに基づくアクセスを受け付けた場合、逆引きに係る照会処理及び正引きに係る照会処理を実行する。従って、一回のアクセスに対し、一対となる逆引きのＤＮＳクエリパケット及び正引きのＤＮＳクエリパケットが送信されることになる。なお、ＩＰアドレス及びドメイン名の対応関係は、例えば、ＤＮＳ装置３に対し、ＤＮＳクエリパケットの送信等の方法にて問い合わせることにより、取得することができる。

監視装置１は、制御部１０の制御により、計数した組数が、所定の閾値を超えるか否かを判定する（Ｓ２０４）。照会要求装置２は、一の不正装置４からＳＳＨプロトコルに基づく攻撃としてアクセスを受けた場合、少なくともそのアクセス回数の組数のＤＮＳクエリパケットを送信することになる。ステップＳ２０４では、組数が所定の閾値を超える場合、当該クエリパケットの送信は、不正装置４からの攻撃に基づくものである可能性が高いと判断する。なお、閾値は、操作担当者が指定した数値を予め設定しておくようにしても良く、また、監視期間として設定された期間の長さ、取得したパケット数等の要因に応じて自動的に決定されるようにしても良い。

ステップＳ２０４において、計数した組数が所定の閾値を超えると判定した場合（Ｓ２０４：ＹＥＳ）、監視装置１は、制御部１０の制御により、組数を計数した組み合わせに係るＩＰアドレスを、出力部１４から出力し（Ｓ２０５）、処理を終了する。例えば、ＩＰアドレス「aaa.bbb.ccc.ddd 」と、ドメイン名「host.abc.xyz.net. 」との対に基づく組については、ＩＰアドレスである「aaa.bbb.ccc.ddd 」が出力される。また、組数が所定の閾値を超える組が複数である場合、各組に係るＩＰアドレスが出力される。ただし、対策の際の負荷を考慮して、出力するＩＰアドレスの数を限定するようにしてもよい。なお、ＩＰアドレスの代替情報としてドメイン名を出力するようにしても良い。出力部１４による出力は、モニタへの表示、記憶部１１又は記録部１２への記録、その他の記録媒体への記録、他の装置への送信等の出力方法を例示することができる。

ステップＳ２０４において、計数した組数が所定の閾値を超えないと判定した場合（Ｓ２０４：ＮＯ）、ステップＳ２０５の処理を実行せずに、処理を終了する。ステップＳ２０４において、計数した組数が所定の閾値を超えない場合とは、全ての組の組数が閾値以下である場合を示す。この場合、対策が必要な攻撃は受けていないと判断する。

操作担当者は、出力されたＩＰアドレスに基づいて、不正装置４からの攻撃に対する対策を施す。具体的には、照会要求装置２の制限対象データベース２２ａに出力されたＩＰアドレスを記録し、当該ＩＰアドレスに係る装置からのアクセスの制限等の対策を施す。なお、ＩＰアドレスの出力先を照会要求装置２とし、照会要求装置２は、出力されたＩＰアドレスを自動的に制限対象として制限対象データベース２２ａに記録するというような自動設定処理を行っても良い。また、不正装置４は、攻撃用ボット装置として不正に利用されているだけであることも考えられるので、制限対象とする期間に期限を設けるようにしても良い。

本願にて開示した監視方法では、ＤＮＳクエリパケットのキー情報等の情報だけで、不正装置４を特定するので、例えば、処理負荷の大きいアクセス内容の解析等の処理を必要としない。従って、人的作業負荷をも含む対策に要する様々な負荷を軽減することが可能である。また、処理負荷が小さいことから短時間での処理が可能であり、監視対象となる時間を適宜設定することができることから、攻撃から対策までの時間を短縮し、速やかな対応を行うことが可能である。さらに、転送されるパケットを取得して処理を実行した場合には、略実時間での対応を行うことが可能である。また、例えば、複数の照会要求装置２，２，…に対する分散型攻撃が行われた場合にでも、夫々の攻撃に基づくＤＮＳクエリパケットを纏めて計数することができるので、様々な攻撃に対応することが可能である。しかも、メタ情報であるキー情報に基づいて、不正装置４を特定するので、暗号化されたパケットに基づくアクセスに対しても、パケット内容の復号等の処理が不要である。

対となるＤＮＳクエリパケットの組数に基づいて、不正装置４のＩＰアドレスを特定する方法としては、図５を用いて示した監視処理以外にも様々な方法で実現することが可能である。図６は、本発明に係る監視装置１の監視処理の他の例を示すフローチャートである。図６を用いて説明する監視処理とは、図５を用いて説明した監視処理の他のアルゴリズムに基づく処理である。

監視装置１は、監視プログラムＰＲＧを実行する制御部１０の制御により、ドメイン名システムに対する照会に用いられるパケットに係るキー情報等の情報を取得する（Ｓ３０１）。

監視装置１は、制御部１０の制御により、キー情報の内容毎にパケットに係る情報を集約し（Ｓ３０２）、所定数以上のパケットにてキー情報とされているドメイン名又はＩＰアドレスに係るパケットを、以降の処理の対象として選択する（Ｓ３０３）。ステップＳ３０２のキー情報の内容とは、ドメイン名又はＩＰアドレスである。即ち、ステップＳ３０２は、キー情報であるドメイン名又はＩＰアドレスが同一のパケットを夫々集約する処理である。そして、ステップＳ３０３は、集約されたキー情報の内容毎のパケット数が所定数以上である場合に、以降の処理の対象として選択する。ステップＳ３０１〜Ｓ３０３の処理は、図５を用いて説明した監視処理のステップＳ２０１〜Ｓ２０２の処理に対応している。

監視装置１は、制御部１０の制御により、キー情報の内容毎に、ＤＮＳ装置３に対し、ＩＰアドレスの照会を要求する（Ｓ３０４）。ステップＳ３０４は、ステップＳ３０２にて内容毎に集約した各キー情報を、夫々キー情報とする正引きのＤＮＳクエリパケットを、通信部１３から内部通信網ＮＷｉを介してＤＮＳ装置３へ夫々送信する処理である。ステップＳ３０４では、各キー情報に基づいて夫々ＩＰアドレスの照会を要求する。従って、ドメイン名をキー情報とする正引きのＤＮＳクエリパケットだけでなく、ＩＰアドレスをキー情報とする正引きのＤＮＳクエリパケットをも送信することになる。

ＤＮＳ装置３は、受け付けた正引きのＤＮＳクエリパケットからキー情報を読み取り、読み取ったキー情報に対応するＩＰアドレスをドメイン名データベース３から抽出する。なお、キー情報がＩＰアドレスである場合、そのＩＰアドレスが、対応するＩＰアドレスとされる。そして、ＤＮＳ装置３は、対応するＩＰアドレスを、要求に対する応答として、監視装置１へ送信する。例えば、ＩＰアドレス「aaa.bbb.ccc.ddd 」と、ドメイン名「host.abc.xyz.net. 」とが対応する場合、ドメイン名「host.abc.xyz.net. 」をキー情報とする正引きのＤＮＳクエリパケットに対して、ＩＰアドレス「aaa.bbb.ccc.ddd 」が応答として送信される。また、ＩＰアドレス「aaa.bbb.ccc.ddd 」をキー情報とする正引きのＤＮＳクエリパケットに対しても、ＩＰアドレス「aaa.bbb.ccc.ddd 」が応答として送信される。即ち、対応するＩＰアドレス及びドメイン名を夫々キー情報とする正引きのＤＮＳクエリパケットに対しては、同じＩＰアドレスが応答結果となる。正引きのＤＮＳクエリパケットに対するＤＮＳ装置３の処理は、図４を用いて説明した照会処理におけるＤＮＳ装置３の処理と実質的に同様である。

監視装置１は、制御部１０の制御により、通信部１３により、キー情報毎の応答結果としてＩＰアドレスを受信する（Ｓ３０５）。

監視装置１は、制御部１０の制御により、応答結果となるＩＰアドレスが同一である異なる内容のキー情報の組を選択する（Ｓ３０６）。ステップＳ３０６では、夫々異なる内容の複数のキー情報に対して、応答結果となるＩＰアドレスが同一であるキー情報の組を選択する。前述したように、異なるキー情報であっても、対応するＩＰアドレス及びドメイン名に対しては、同一のＩＰアドレスが応答結果となる。従って、対応するＩＰアドレス及びドメイン名が、組として選択されることになる。なお、ＩＰアドレスが同一となるキー情報が他に存在しないキー情報は、組を形成することできないため、選択の対象から除外される。例えば、ドメイン名の照会だけしか必要がないプロトコルに係るアクセスに基づくＤＮＳクエリパケットは、この段階で除外される。即ち、処理の対象を、ドメイン名及びＩＰアドレスの照会が必要なアクセス、例えば、ＳＳＨプロトコルに基づくアクセスに係るパケットに絞り込むことができる。ＳＳＨプロトコルに基づくアクセスに絞り込むことにより、ＳＳＨ辞書攻撃等の攻撃を効率的に検出することができる。

監視装置１は、制御部１０の制御により、選択した組に含まれるキー情報の内容毎に、パケットの数を計数し（Ｓ３０７）。ステップＳ３０６にて選択された組に含まれるキー情報の内容とは、対応するＩＰアドレス及びドメイン名である。従って、ステップＳ３０７では、組に含まれるＩＰアドレスをキー情報とするパケットの数と、組に含まれるドメイン名をキー情報とするパケットの数とを計数することになる。

監視装置１は、制御部１０の制御により、選択した組のキー情報の内容毎のパケット数が、所定の閾値を超えるか否かを判定する（Ｓ３０８）。ステップＳ３０８では、選択した組に含まれるＩＰアドレスをキー情報とするパケットの数と、当該組に含まれるドメイン名のキー情報とするパケットの数とが、共に閾値を超えるか否かを判定する。組に含まれるＩＰアドレス及びドメイン名は対応していることから、夫々をキー情報とするパケット数が共に閾値を超える場合、対となるＩＰアドレス及びドメイン名の組数が閾値を超えていると推定することができる。即ち、ステップＳ３０７〜Ｓ３０８の処理は、実質的に、図５を用いて説明した監視処理のステップＳ２０３〜Ｓ２０４の処理に対応する。なお、ステップＳ３０７〜Ｓ３０８の処理は、ステップＳ３０６にて複数の組が選択された場合、各組毎に実行される。

ステップＳ３０８において、キー情報の内容毎のパケット数が、所定の閾値を超えると判定した場合（Ｓ３０８：ＹＥＳ）、監視装置１は、制御部１０の制御により、組数を計数した組に係るＩＰアドレスを、出力部１４から出力し（Ｓ３０９）、処理を終了する。ステップＳ３０８において、キー情報の内容毎のパケット数が、所定の閾値を超えないと判定した場合（Ｓ３０８：ＹＥＳ）、ステップＳ３０９の処理を実行せずに、処理を終了する。ステップＳ３０８〜Ｓ３０９の処理は、図５を用いて説明した監視処理のステップＳ２０４〜Ｓ２０５の処理に対応する。

図５を用いて説明した他の監視方法では、ＩＰアドレス及びドメイン名の対応付けを行った上での組数の計数を行わずとも、ＩＰアドレス及びドメイン名の対の数の計数結果に近似すると考えられる計数結果を算出することができる。従って、状況によっては図４を用いて説明した監視方法の処理負荷を更に軽減することができる。なお、他の監視方法では、ＤＮＳ装置３に対する照会を行っているが、キー情報の内容毎に１回ずつの照会となるので、大きな処理負荷となることはない。

次に、本発明に係る監視方法を適用した実験結果について説明する。図７は、本発明に係る監視方法の適用の対象とした通信状況を示すグラフである。図７は、或るドメイン名システムに対するＤＮＳクエリパケットの受信状況の経時変化を示している。図７は、横軸に時刻をとり、縦軸に１秒当たりに受信したＤＮＳクエリパケットの数をとって、その関係を示している。図７において、点線は、ＤＮＳクエリパケットの総数、実線は、正引きのＤＮＳクエリパケットの数、そして、一点鎖線は、逆引きのＤＮＳクエリパケットの数を示している。図７において、逆引きのＤＮＳクエリパケットは、低い値で安定しているが、４時頃及び８時頃にピークが観測される。また、正引きのＤＮＳクエリパケットの数は、８時頃から２１時頃にかけて増加しており、特に８時頃に大きなピークが観測される。

図８は、本発明に係る監視方法の適用の結果を示す説明図である。図８は、図７に示した通信状況のサンプルに対し、本発明に係る監視装置１の他の例として説明した処理を実行した状況を示している。図８は、図７の７時３０分から８時３０分までの期間を観測期間とし、観測期間中におけるＤＮＳクエリパケットの数をキー情報毎に示している。また、図８の説明図では、パケット数が１０００以上であるキー情報のみを、パケット数に基づいて、降順に並べ替えた状況を示している。即ち、図８は、図６を用いて説明した監視処理のステップＳ３０１〜Ｓ３０３の処理を実行し、所定数以上のパケットにてキー情報とされているドメイン名又はアドレスに係るパケットを選択した状況を示している。なお、図８において、「eee 」、「fff 」、「ggg 」、「hhh 」、「iii 」及び「jjj 」は、任意の個数の英数字を伏せ字として示した符号である。図８では、ドメイン名「host.abc.xyz.net. 」をキー情報とするＤＮＳクエリパケットが最も多く、次いでＩＰアドレス「aaa.bbb.ccc.ddd 」をキー情報とするＤＮＳクエリパケットが多いことが示されている。

ここで、ドメイン名「host.abc.xyz.net. 」及びＩＰアドレス「aaa.bbb.ccc.ddd 」は、対応している。従って、図６のステップＳ３０４〜Ｓ３０６の処理により、「host.abc.xyz.net. 」及び「aaa.bbb.ccc.ddd 」のいずれをキー情報とした場合でも応答結果は、「aaa.bbb.ccc.ddd 」となるため、ドメイン名「host.abc.xyz.net. 」及びＩＰアドレス「aaa.bbb.ccc.ddd 」がキー情報の組として選択されることになる。図８に示す例において、パケットの合計は、４００００を超えるが、ステップＳ３０４〜Ｓ３０５の処理による照会回数は５回で良い。なお、図８において、３位以降のキー情報は、ドメイン名のみであるため、ステップＳ３０６の処理にて組として選択されることはない。

そして、所定の閾値として、１００００が設定されている場合、図８のステップＳ３０７〜Ｓ３０９の処理により、ＩＰアドレス「aaa.bbb.ccc.ddd 」が出力されることになる。このことより、７時３０分から８時３０分までの期間において、ＩＰアドレスが「aaa.bbb.ccc.ddd 」である装置から攻撃を受けていた可能性があると判断される。

なお、図７に示す例では、８時頃にＤＮＳクエリパケットの数が極端に増加しているため、正引きのＤＮＳクエリパケットの数又はＤＮＳクエリパケットの総数からだけでも、攻撃を受けている可能性があると推定することができる。しかし、４時頃は、正引きのＤＮＳクエリパケットの数又はＤＮＳクエリパケットの総数に極端な変化はないものの、逆引きのＤＮＳクエリパケットの数が増加していることから、本願の監視方法を適用することで初めて発見可能な攻撃が行われている可能性もあると考えられる。

以上、詳述したように本願に係る監視方法は、ＳＳＨプロトコルによるアクセスに対して逆引き及び正引きによる照合を行うＳＳＨサーバ装置等の装置に対して攻撃を受けている場合、攻撃の発見及び攻撃元の特定に特に有効である。そして、本願に係る監視方法を適用することにより、処理負荷の小さい簡単な処理で、短時間に攻撃に対する対策を施すころが可能である。

前記実施の形態は、本願の無数にある形態の一部を例示したに過ぎず、各種ハードウェアの構成及び処理の手順は、目的、用途等に応じて適宜設計することが可能である。

１ 監視装置
２ 照会要求装置
３ ＤＮＳ装置
４ 不正装置

Claims (8)

1. ドメイン名又はＩＰアドレスをキー情報とする照会の要求に対し、ドメイン名及びＩＰアドレスの対応関係に基づいて応答するドメイン名システムとの通信に用いられるパケットを監視する監視装置において、
   ドメイン名システムに対する照会に用いられるパケットに係るキー情報を取得する取得手段と、
   該取得手段が取得した複数のパケットに係るキー情報に基づいて、ＩＰアドレスをキー情報としてドメイン名の照会を要求するパケット、及び該パケットにてキー情報としたＩＰアドレスに対応するドメイン名をキー情報としてＩＰアドレスの照会を要求するパケットの組の数を、対応するＩＰアドレス及びドメイン名の組み合わせ毎に組数として計数する手段と、
   計数した組数が、所定の閾値を超えるか否かを判定する手段と、
   所定の閾値を超えると判定した場合に、組数を計数した組み合わせに係るＩＰアドレスを出力する出力手段と
   を備えることを特徴とする監視装置。
2. ドメイン名又はＩＰアドレスをキー情報の内容とする照会の要求に対し、ドメイン名及びＩＰアドレスの対応関係に基づいて応答するドメイン名システムとの通信に用いられるパケットを監視する監視装置において、
   ドメイン名システムに対する照会に用いられるパケットに係るキー情報を取得する取得手段と、
   該取得手段が取得した複数のパケットに係るキー情報の内容毎に、ドメイン名システムに対し、ＩＰアドレスの照会を要求する手段と、
   夫々異なる内容の複数のキー情報に対して応答結果となるＩＰアドレスが同一である異なる内容のキー情報の組を選択する手段と、
   選択した組に含まれるキー情報の内容毎に、パケットの数を計数する手段と、
   選択した組のキー情報の内容毎のパケットの数が、所定の閾値を超えるか否かを判定する手段と、
   所定の閾値を超えると判定した場合に、選択した組のキー情報に対する応答結果であるＩＰアドレスを出力する出力手段と
   を備えることを特徴とする監視装置。
3. 前記取得手段は、所定数以上のパケットにてキー情報とされているドメイン名又はＩＰアドレスに係るパケットを、以降の処理の対象として選択するようにしてある請求項１又は請求項２に記載の監視装置。
4. 予め対応付けられている第１情報及び第２情報の対応関係に基づいて、第１情報又は第２情報をキー情報とする照会の要求に対し、キー情報に対応する情報を応答する応答システムの通信を監視する監視装置において、
   応答システムに対する照会の要求に係るキー情報を取得する手段と、
   取得した複数の照会の要求に係るキー情報に基づいて、第１情報をキー情報とした第２情報の照会の要求、及び該要求にてキー情報とした第１情報に対応する第２情報をキー情報とした第２情報の照会の要求の組の数を、対応する第１情報及び第２情報の組み合わせ毎に組数として計数する手段と、
   計数した組数が、所定の閾値を超えるか否かを判定する手段と、
   所定の閾値を超えると判定した場合に、組数を計数した組み合わせに係る第１情報又は第２情報を出力する手段と
   を備えることを特徴とする監視装置。
5. 請求項１乃至３のいずれかに記載の監視装置と、
   ドメイン名システムに対して、ドメイン名又はＩＰアドレスをキー情報とする照会を要求する一又は複数の照会要求装置と
   を備え、
   該照会要求装置は、
   アクセスを受け付けた場合に、アクセス元のＩＰアドレスを取得する手段と、
   取得したＩＰアドレスをキー情報として、ドメイン名システムに対し、ドメイン名の照会を要求する第１要求手段と、
   該第１要求手段による要求に対する応答としてドメイン名を取得する第１取得手段と、
   該第１取得手段が取得したドメイン名をキー情報として、ドメイン名システムに対し、ＩＰアドレスの照会を要求する第２要求手段と、
   該第２要求手段による要求に対する応答としてＩＰアドレスを取得する第２取得手段と
   を備えることを特徴とする監視システム。
6. 前記紹介要求装置は、前記監視装置が備える出力手段が出力したＩＰアドレスに係る装置からの通信を制限する手段を更に備えることを特徴とする請求項５に記載の監視システム。
7. ドメイン名又はＩＰアドレスをキー情報とする照会の要求に対し、ドメイン名及びＩＰアドレスの対応関係に基づいて応答するドメイン名システムとの通信に用いられるパケットを監視する監視装置を用いた監視方法において、
   ドメイン名システムに対する照会に用いられるパケットに係るキー情報を取得するステップと、
   取得した複数のパケットに係るキー情報に基づいて、ＩＰアドレスをキー情報としてドメイン名の照会を要求するパケット、及び該パケットにてキー情報としたＩＰアドレスに対応するドメイン名をキー情報としてＩＰアドレスの照会を要求するパケットの組の数を、対応するＩＰアドレス及びドメイン名の組み合わせ毎に組数として計数するステップと、
   計数した組数が、所定の閾値を超えるか否かを判定するステップと、
   所定の閾値を超えると判定した場合に、組数を計数した組み合わせに係るＩＰアドレスを出力するステップと
   を実行することを特徴とする監視方法。
8. ドメイン名又はＩＰアドレスをキー情報とする照会の要求に対し、ドメイン名及びＩＰアドレスの対応関係に基づいて応答するドメイン名システムとの通信に用いられるパケットを、コンピュータに監視させる監視プログラムにおいて、
   コンピュータに、
   ドメイン名システムに対する照会に用いられるパケットに係るキー情報を取得させる手順と、
   取得した複数のパケットに係るキー情報に基づいて、ＩＰアドレスをキー情報としてドメイン名の照会を要求するパケット、及び該パケットにてキー情報としたＩＰアドレスに対応するドメイン名をキー情報としてＩＰアドレスの照会を要求するパケットの組の数を、対応するＩＰアドレス及びドメイン名の組み合わせ毎に組数として計数させる手順と、
   計数した組数が、所定の閾値を超えるか否かを判定させる手順と、
   所定の閾値を超えると判定した場合に、組数を計数した組み合わせに係るＩＰアドレスを出力させる手順と
   を実行させることを特徴とする監視プログラム。

Images