JP2011205572A - 不正アクセス監視システム及びプログラム - Google Patents

Abstract

【課題】コンピュータに送信されてくるパケットである送信パケットを取得するパケット取得手段と、パケットを解析する解析手段とを備え、前記コンピュータへの不正アクセスを監視するにあたり、自身に高いセキュリティが確保され且つ不正アクセス監視をサイバー攻撃の攻撃元に知られる可能性も低い不正アクセス監視システム及び不正アクセス監視プログラムを提供することを課題とする。
【解決手段】本発明は、コンピュータ３，４，６に送信されてくるパケットである送信パケットを取得するパケット取得手段１８と、パケットを解析する解析手段２８，３１とを備え、前記コンピュータ３，４，６への不正アクセスを監視する不正アクセス監視システムにおいて、ポートミラーリングによって分岐された送信パケットを取得するようにパケット取得手段１８を構成し、該取得された送信パケットの情報を記憶する記憶装置２２を備える。
【選択図】図２

Description

この発明は、不正アクセス監視システム及びプログラムに関する。

従来、ＤｏＳ攻撃等のサイバー攻撃に対しては、サイバー攻撃されたコンピュータに記憶されたログ情報を解析することにより、サイバー攻撃の攻撃元や攻撃手段等の特定を行うことが一般的であったが、解析に手間や時間を要するログ情報を利用した上記手法では、サイバー攻撃の攻撃元や攻撃手段等の特定等を迅速に行うことが難しい場合が多く、リアルタイムにサイバー攻撃に対処することが困難であった。

これに対して、コンピュータに送信されてくるパケットである送信パケットを取得するパケット取得手段と、パケットを解析する解析手段とを備え、前記コンピュータへの不正アクセスを監視する特許文献１，２に示す不正アクセス監視システムが公知になっている。

特許第３９９９１８８号公報（第９頁、第１図） 特許第４２９８６２２号公報（第１図）

上記文献の不正アクセス監視システムは、送信パケットを解析手段によって解析し、この解析結果に基づいて、サイバー攻撃の攻撃元や攻撃手段等の特定を迅速に行うことが可能であり、サイバー攻撃にリアルタイムに対処することができる一方で、この不正アクセス監視システムが監視対象のコンピュータと相互通信可能なようにネットワーク内に設置されているため、この不正アクセス監視システム自体がサイバー攻撃の対象になる可能性がある他、不正アクセス監視をサイバー攻撃の攻撃元に知られる虞がある。

本発明は、コンピュータに送信されてくるパケットである送信パケットを取得するパケット取得手段と、パケットを解析する解析手段とを備え、前記コンピュータへの不正アクセスを監視するにあたり、自身に高いセキュリティが確保され且つ不正アクセス監視をサイバー攻撃の攻撃元に知られる可能性も低い不正アクセス監視システム及び不正アクセス監視プログラムを提供することを課題とする。

上記課題を解決するため本発明は、第１に、コンピュータ３，４，６に送信されてくるパケットである送信パケットを取得するパケット取得手段１８と、パケットを解析する解析手段２８，３１とを備え、前記コンピュータ３，４，６への不正アクセスを監視する不正アクセス監視システムにおいて、ポートミラーリングによって分岐された送信パケットを取得するようにパケット取得手段１８を構成し、該取得された送信パケットの情報を記憶する記憶装置２２を備えたことを特徴としている。

第２に、パケット取得手段１８がＴＣＰ／ＩＰをサポートしたネットワークインターフェースを備え、該ネットワークインターフェースが送信パケットを一方的に受信して応答しないようにパケット取得手段１８を構成したことを特徴としている。

第３に、送信パケットが送られてくる通信ケーブルが前記ネットワークインターフェースに物理的に接続された際に、該ネットワークインターフェースに前記ネットワーク内のＩＰアドレスを割当てなられないようにパケット取得手段１８を構成することにより、該ネットワークインターフェースが送信パケットを一方的に受信することを特徴としている。

第４に、送信パケットに対して応答する際に前記コンピュータ３，４，６から送られ且つポートミラーリングによって分岐されたパケットである応答パケットを取得可能なようにパケット取得手段１８を構成したことを特徴としている。

第５に、予め定めた所定数以上のパケットを、予め定めた所定時間内に、パケット取得手段１８が取得した場合には、不正アクセスされている可能性がある旨を報知する報知手段３７を備えたことを特徴としている。

第６に、パケット取得手段１８が取得されたパケットを前記解析手段２８，３１を介して解析し且つ集計手段２９，３２を介して集計するとともに該集計された情報を記憶装置２２に記憶する情報処理手段２３を設け、パケットの集計処理及び該集計された情報の記憶装置２２への記憶処理を、予め定めた所定間隔毎に行うように情報処理手段２３を構成したことを特徴としている。

第７に、前記所定間隔毎に、集計された情報に基づいてグラフを作成し、該グラフを画像データとして記憶装置２２に記憶するように情報処理手段２３を構成したことを特徴としている。

第８に、電子計算機１４を、不正アクセス監視システムとして機能させることを特徴としている。

上記構成の本発明によれば、ポートミラーリングによって分岐された送信パケットを取得するようにパケット取得手段が構成されるため、本発明の不正アクセス監視システム自体を監視対象となるコンピュータと相互通信可能なネットワーク内に配置する必要がなくなるため、自身のセキュリティが確保され且つ不正アクセス監視をサイバー攻撃の攻撃元に知られる可能性も低いという効果がある。

また、パケット取得手段がＴＣＰ／ＩＰをサポートしたネットワークインターフェースを備え、送信パケットが送られてくる通信ケーブルが前記ネットワークインターフェースに物理的に接続された際に、該ネットワークインターフェースに前記ネットワーク内のＩＰアドレスを割当てなられないようにパケット取得手段を構成することにより、該ネットワークインターフェースが送信パケットを一方的に受信して応答しないようにパケット取得手段を構成すれば、本発明の不正アクセス監視システム自体のセキュリティがさらに向上する他、本発明の不正アクセス監視システムから、監視対象となるコンピュータと相互通信可能なネットワーク内に及ぼす影響がさらに小さくなる。

また、送信パケットに対して応答する際に前記コンピュータから送られ且つポートミラーリングによって分岐されたパケットである応答パケットを取得可能なようにパケット取得手段を構成すれば、応答パケットによって、監視対象のコンピュータの状態を知ることもできるため、サイバー攻撃に対してより適切な対処が可能になる。

さらに、予め定めた所定数以上のパケットを、予め定めた所定時間内に、パケット取得手段が取得した場合には、不正アクセスされている可能性がある旨を報知する報知手段を備えることにより、コンピュータへの不正アクセスをより早い段階で確実に知ることが可能になる。

なお、パケット取得手段が取得されたパケットを前記解析手段を介して解析し且つ集計手段を介して集計するとともに該集計された情報を記憶装置に記憶する情報処理手段を設け、パケットの集計処理及び該集計された情報の記憶装置への記憶処理を、予め定めた所定間隔毎に行うように情報処理手段を構成すれば、データベース等の高価なソフトや装置を用いること無く、所望日時のパケット情報に容易にアクセス可能になるため、前記コンピュータの状態をさらに容易に把握可能になる。

また、前記所定間隔毎に、集計された情報に基づいてグラフを作成し、該グラフを画像データとして記憶装置に記憶するように情報処理手段を構成すれば、視覚的に状況を知ることが可能になるため、前記コンピュータの状況を過去から現在に亘って、より容易に把握可能になる。

ＴＣＰ／ＩＰプロトコルによって構築されたネットワークの構成を示すブロック図である。 本発明を適用した不正アクセス監視システムの構成を示すブロック図である。 パケット取得手段のパケット取得処理のフロー図である。 パケット情報処理部の解析手段によって解析されるパケット情報の一覧表である。 パケット情報処理部の集計手段によって集計される集計情報であって、（Ａ）はＩＰアドレス集計情報の一覧表であり、（Ｂ）は訪問者数集計情報の一覧表であり、（Ｃ）はパケット種類集計情報の一覧表である。 （Ａ）はアクセス情報処理部の解析手段によって解析されるウェッブサーバへの送信パケットの情報の一覧表であり、（Ｂ）はアクセス情報処理部の解析手段によって解析されるウェッブサーバからの応答パケットの情報の一覧表である。 アクセス情報処理部の集計手段によって集計される集計情報であって、（Ａ）はアクセス先アドレス集計情報の一覧表であり、（Ｂ）はリンク元アドレス集計情報の一覧表であり、（Ｃ）は応答種類集計情報の一覧表である。 情報処理手段のパケット情報処理の手順を示すフロー図である。 情報処理手段のパケット情報処理時に作成するグラフ画像である。 情報処理手段のアクセス情報処理の手順を示すフロー図である。 情報処理手段のアクセス情報処理時に作成するグラフ画像である。 報知手段の処理手順を示すフロー図である。 本発明の別実施形態の不正アクセス監視システムのブロック図である。

図１は、ＴＣＰ／ＩＰプロトコルによって構築されたネットワークの構成を示すブロック図である。同図に示すネットワークでは、内部ネットワーク２にサーバとして機能する複数のコンピュータ３，４，６が設置され、内部ネットワーク２はルータ７等を介してＷＡＮの一種であるインターネット８に接続されており、インターネット８にはＰＣやスマートフォン等の情報端末９，９，９が接続されている。

上記複数のサーバ３，４，６の１つはウェブサーバ３であって、該ウェブサーバ３には１台のコンピュータに複数のドメインを割当てる仮想ドメインサービス１１が実装されている他、残りのコンピュータ４，６もＰＯＰサーバ、ＩＭＡＰサーバ、ＳＭＴＰサーバ、ＤＮＳサーバ、ＦＴＰサーバ、ファイルサーバ等として機能している。また、各サーバ３，４，６は、情報端末９，９，９等からサーバ３，４，６へのアクセス時にサーバ３，４，６に送信されてくるパケットである送信パケット等の情報をログ情報として記憶する記憶装置３ａ，４ａ，６ａを備えている。

上記ルータ７は従来公知のもの同様にＩＰマスカレート機能を有し、該機能によって、ルータ７より内部ネットワーク２側にある複数の電子計算機が１つのグローバルＩＰアドレスのみでインターネット８にアクセス可能になる。

このようなネットワーク構成においては、インターネット８を介した情報端末９等からサーバ３，４，６への不正アクセスを監視するため、本発明の不正アクセス監視システム１３（図２参照）が実装された監視用コンピュータ（電子計算機）１４が設置されている。

ルータ７と内部ネットワーク２（具体的にはサーバ３，４，６）はスイッチングハブ（ＨＵＢ）１６を介して接続されているが、このスイッチングハブ１６に通信ケーブルを介して上述の監視用コンピュータ１４も物理的に接続されている。

すなわち、内部ネットワーク２内のサーバ３，４，６に送信されてくるパケットを送信パケットとし、該送信パケットに応答して前記サーバ３，４，６から送信パケットの送信元に送られるパケットを応答パケットとした場合に、全ての送信パケット及び応答パケットが上記スイッチングハブ１６を通過するようにスイッチングハブ１６が配置構成されており、このスイッチングハブ１６に不正アクセス監視システム１３が接続されている。ただし、この監視用コンピュータ１４は、各種サーバ３，４，６と相互通信可能な内部ネットワーク２及びインターネット８等を含む通信網からは、後述する手段によって隔絶されている。

このように内部ネットワーク２、各サーバ３，４，６又はインターネット８の何れともＴＣＰ／ＩＰプロトコルでの相互通信可能な接続が確立されていない監視用コンピュータ１４は、内部ネットワーク２、各サーバ３，４，６及びインターネット８に対して殆ど影響を与えることが無いとともに自身の高いセキュリティが確保される他、内部ネットワーク２や各サーバ３，４，６のシステム構築後に後付けすることも容易であり、汎用性も高い。

そして、このように高いセキュリティ、利便性及び汎用性が確保された不正アクセス監視システム１３は、後述の構成によって、サーバ３，４，６への不正アクセス及びサーバ３，４，６の異常を容易に検知できるため、サイバー攻撃等に迅速に対応することも容易になる。

なお、サーバ３，４，６等には、ルータ７のＩＰマスカレート機能によって、プライベートＩＰを割当て且つ必要に応じて送信パケットをサーバ３，４，６に転送（例えば８０ポートのパケットはウェッブサーバ３に転送）するが、ルータ７を省いて、サーバ３，４，６等にグローバルＩＰアドレスを割当ててもよい。この場合には、スイッチングハブ１６はインターネット８に直に接続される。

また、図示する例では、スイッチングハブ１６と、ルータ７とが別体となっているが、スイッチングハブ１６を有するルータ７を用いてもよい。

次に、図２乃至１２に基づき不正アクセス監視システム１３について説明する。
図２は、本発明を適用した不正アクセス監視システムの構成を示すブロック図である。不正アクセス監視プログラムを監視用コンピュータ１４にインストールすることにより、該監視用コンピュータ１４が不正アクセス監視システム１３として機能する。

この不正アクセス監視システム１３は、スイッチングハブ１６に設けられた分岐手段１７によって分岐されてくるパケットを取得するパケット取得手段１８と、パケット情報処理部１９と、アクセス情報処理部２１と、各種情報を記憶する記憶装置２２と、パケット情報処理部１９及びアクセス情報処理部２１からの情報等を処理する情報処理手段２３と、出力部２４とを備えている。

上記分岐手段１７は、スイッチングハブ１６のポートミラーリング機能によって構成されている。具体的には、スイッチングハブ１６の複数の接続ポートの内、１つの接続ポートがミラーポートとなる一方で、残りの接続ポートがモニターポートになり、各モニターポートを通過するパケットが全てモニターポートにコピーされるため、モニターポートに通信ケーブルを介して接続される上述の監視用コンピュータ１４に、全ての送信パケット及び応答パケットが送られる。

上記パケット取得手段１８は監視用コンピュータ１４のＴＣＰ／ＩＰプロトコルに対応したネットワークインターフェースからなり、上述したミラーポートから送られてくる送信パケット及び応答パケットが通過する通信ケーブルがこのネットワークインターフェースに物理的に接続されるため、このパケット取得手段１８は全ての送信パケット及び応答パケットを取得可能に構成されている。

そして、このネットワークインターフェースの通信ケーブルが接続された際、このネットワークインターフェースにＩＰアドレスが割当てられないように該パケット取得手段１８が構成されている。

図３は、パケット取得手段のパケット取得処理のフロー図である。同図に示すとおり、処理が開始されるステップＳ１に進む。ステップＳ１では、上記ネットワークインターフェースに物理的に通信ケーブルが接続された状態（リンクアップ状態）か否かの検出を行い、リンクアップ状態でなければ処理をステップＳ１に処理を戻し、リンクアップ状態であれば、ステップＳ２に進む。

ステップＳ２では、該ネットワークインターフェースにＩＰアドレスが割当てられているか否かを検出し、ＩＰアドレスが割当てられていればステップＳ３に進み、割当てられていなければステップＳ４に進む。ステップＳ３では、割当てられたＩＰアドレスを破棄して、ステップＳ４に進む。ステップＳ４では、ミラーポートからネットワークインターフェースに送信されてくるパケットの検出を行い、パケットが検出された場合にはステップＳ５に進み、検出されない場合にはステップＳ１に処理を戻す。ステップＳ５では、検出されたパケットの取得処理を行ないステップＳ１に処理を戻す。

該構成のパケット取得手段１８によれば、ネットワークインターフェースにＩＰアドレスが割当てられず、パケットを受信することはできても、該受信したパケットの送信元に対して自身のＩＰアドレス情報を送って応答することはできないため、双方向通信可能なＴＣＰ／ＩＰ通信が確立されず、パケットを一方的に受信するのみになる。

すなわち、前記送信パケット及び応答パケットを一方的に受信して応答しないようにパケット取得手段１８が構成され、該構成によって、不正アクセス監視システム１３が、内部ネットワーク２、内部ネットワーク２内のコンピュータ３，４，６、ルータ７及びインターネット８に干渉することが殆どなくなる。

なお、ステップＳ２の処理において、該受信した送信パケット及び応答パケットの送信元に対して、双方向通信可能なＴＣＰ／ＩＰ通信が確立されるＩＰアドレスがネットワークインターフェースに割当てられた場合のみ、ステップＳ３に処理を進めるようにしてもよい。また、該受信した送信パケット及び応答パケットの送信元に対して、双方向通信可能なＴＣＰ／ＩＰ通信が確立されない固定ＩＰアドレスを意図的にネットワークインターフェースに割当てることにより、パケットを一方的に受信するようにパケット取得手段１８を構成してもよい。

上記記憶装置２２は、長期的にデータを保存するＨＤＤやＳＳＤ等の長期保存用記憶装置２６と、一時的にデータを保存するＲＡＭ２７とを備え、パケット取得手段１８によって取得されたパケットの情報等を記憶するように構成されている。

上記パケット情報処理部１９は、パケット取得手段１８によって取得された上述の送信パケットを解析する解析手段２８と、該解析されたパケット情報を集計する集計手段２９とを備えている。

図４は、パケット情報処理部の解析手段によって解析されるパケット情報の一覧表である。該パケット情報には、前記送信パケットの送信元のＩＰアドレス情報と、その送信パケットの種類情報と、その送信パケットを受信した時刻である受信時刻情報とが含まれている。

図示する例で解析対象となる送信パケットの種類は、接続を確立する際に用いられるＳＹＮパケットと、転送速度が良好なＵＤＰパケットと、エラーメッセージや制御メッセージを転送する際に用いられるＩＣＭＰパケットと、電子メール送信の際に用いられるＳＭＴＰパケットとの４種類であって、送信パケットがこれらの何れに該当するかに関する情報が、パケットの種類情報となる。受信時刻情報は、西暦何年、何月、何日、何時、何分、何秒（０．０１刻み）の情報から構成されている。

図５は、パケット情報処理部の集計手段によって集計される集計情報であって、（Ａ）はＩＰアドレス集計情報の一覧表であり、（Ｂ）は訪問者数集計情報の一覧表であり、（Ｃ）はパケット種類集計情報の一覧表である。

同図（Ａ）に示す通り、パケット取得手段１８によって取得され且つ解析手段２８によって解析された送信パケットの数を、該送信パケットの送信元のＩＰアドレス毎に分けて集計し、その集計データをＩＰアドレスの集計データとしている。この集計データには、集計開始時刻及び集計終了時刻を示す集計時刻情報と、集計開始から集計終了までの時間を示す集計時間情報とが含まれている他、ＩＰアドレス毎に該ＩＰアドレスがどの国のＩＰアドレスであるかに関する情報が含まれている。時刻情報は上述の受信時刻情報と同一精度の情報となり、時間情報は、何日間、何時間（０〜２３時間）、何分間（０〜５９分）、何数間（０〜５９秒で０．０１刻み）の情報を有している。

同図（Ｂ）に示す通り、パケット取得手段１８によって取得され且つ解析手段２８によって解析された送信パケットから、送信パケットの送信元のＩＰアドレスが重複している場合には該送信パケットを除き、送信元ＩＰアドレスが重複しない送信パケットの数をカウントして訪問者数とし、この集計データを訪問者数の集計データとしている。この訪問者数の集計データには、ＩＰアドレスの集計データと同様に、集計時刻情報及び集計時間情報が含まれている。

同図（Ｃ）に示す通り、パケット取得手段１８によって取得され且つ解析手段２８によって解析された送信パケットの数を、該送信パケットの種類（具体的には、ＳＹＭとＵＤＰとＩＣＭＰとＳＭＴＰの４種類）毎に分けて集計し、その集計データをパケットの種類の集計データとしている。このパケットの種類の集計データには、ＩＰアドレスの集計データと同様に、集計時刻情報及び集計時間情報が含まれている。

上記アクセス情報処理部２１は、パケット取得手段１８によって取得されるパケットの内でウェブサーバ３に送られてくる送信パケットを解析するとともにウェップサーバ３の応答パケットを解析する解析手段３１と、該解析されたパケット情報を集計する集計手段３２とを備えている。

図６（Ａ）はアクセス情報処理部の解析手段によって解析されるウェッブサーバへの送信パケットの情報の一覧表であり、（Ｂ）はアクセス情報処理部の解析手段によって解析されるウェッブサーバからの応答パケットの情報の一覧表である。

同図（Ａ）に示す通り、送信パケット情報には、該ウェッブサーバ３が管理しているホームページのどこにアクセスを試みているかをＵＲＬで示すアクセス先アドレス情報と、アクセスを試みているホームページのリンク元をＵＲＬで表したリンク元アドレス情報と、その送信パケットを受信した時刻である受信時刻情報とが含まれている。ちなみに、アクセス先アドレス情報にはウェブサーバ３で複数の管理しているドメインの何れを指定しているかに関する情報も含まれ、リンク元アドレス情報が無い場合にはこのデータはブランクになり、受信時刻情報は上述したものと同様に構成されている。

同図（Ｂ）に示す通り、応答パケット情報には、ウェブサーバ３がどのような応答を送信元に対して行っているかを示す応答種類情報と、その応答パケットを送信した時刻を示す応答時刻情報とが含まれている。解析手段３１により解析する応答種類情報は、応答パケットによってどのような種類の応答をしているかを示す情報であり、具体的には、ホームページにアクセスしている送信元に対してウェブサーバ３が正常に応答していることを示す正常応答と、ウェブサーバ３にエラー原因があることを示すサーバエラー応答と、送信元にエラー原因があることを示すクライアントエラー応答と、情報をリダイレクトしたことを示すリダイレクト応答との４種類の何れに属するかに関する情報が含まれている。応答時刻情報は、受信時刻情報と同様に、西暦何年、何月、何日、何時、何分、何秒（０．０１刻み）の情報から構成されている。

図７は、アクセス情報処理部の集計手段によって集計される集計情報であって、（Ａ）はアクセス先アドレス集計情報の一覧表であり、（Ｂ）はリンク元アドレス集計情報の一覧表であり、（Ｃ）は応答種類集計情報の一覧表である。

同図（Ａ）に示す通り、パケット取得手段１８によって取得され且つ解析手段３１によって解析された送信パケットの数を、アクセス先リンク毎に分けて集計し、その集計データをアクセス先アドレスの集計データとしている。この集計データには、上述した集計データと同様に集計開始時刻及び集計終了時刻を示す集計時刻情報と、集計開始から集計終了までの時間を示す集計時間情報とが含まれている。ちなみに、分類するアクセス先アドレスは、ウェッブサーバ３の管理するドメイン単位にしてもよいし、それよりも細かいページ情報を含んだページ単位にしてもよい。

同図（Ｂ）に示す通り、パケット取得手段１８によって取得され且つ解析手段３１によって解析された送信パケットの数を、リンク元リンク毎に分けて集計し、その集計データをリンク元アドレスの集計データとしている。この集計データには、上述した集計データと同様に集計開始時刻及び集計終了時刻を示す集計時刻情報と、集計開始から集計終了までの時間を示す集計時間情報とが含まれている。ちなみに、分類するリンク元アドレスは、ドメイン単位にしてもよいし、それよりも細かいページ情報を含んだページ単位にしてもよい。

同図（Ｃ）に示す通り、パケット取得手段１８によって取得され且つ解析手段３１によって解析された応答パケットの数を、上述した応答種類（具体的には、正常応答とリダイレクト応答とサーバエラー応答とクライアントエラー応答の４種類）毎に分けて集計し、その集計データを応答種類の集計データとしている。の集計データには、上述した集計データと同様に集計開始時刻及び集計終了時刻を示す集計時刻情報と、集計開始から集計終了までの時間を示す集計時間情報とが含まれている。

上記情報処理手段２３は、図２に示すように、パケット情報処理部１９からの解析情報及び集計情報を処理するパケット情報処理と、アクセス情報処理部２１からの解析情報及び集計情報を処理するアクセス情報処理とを行なうように構成されている。

図８は、情報処理手段のパケット情報処理の手順を示すフロー図である。パケット情報処理では、処理が開始されると、まずステップＳ１１に進む。ステップＳ１１では、パケット情報処理部１９の解析手段２８によって、上述したパケット情報解析を行い、ステップＳ１２に進む。ステップＳ１２では、ステップＳ１１で解析したパケット情報を記憶装置２２にログ情報として記憶し、ステップＳ１３に進む。

ステップＳ１３では、タイマーｔ１のカウントがチェックタイムＴ１を超えているか否かを検出し、超えている場合にはステップＳ１４に進む。ステップＳ１４では、現時点からチェックタイムＴ１前まで遡った期間におけるパケット種類の集計データを、解析手段２８、集計手段２９又は記憶装置２２から取得し、ステップＳ１５に進む。ステップＳ１５では、ステップＳ１４で取得したパケット種類集計情報を集計時刻情報及び集計時間情報とともに上記出力部２４に送ってステップＳ１６に進む。ステップＳ１６では、タイマーｔ１のカウントを０にリセットして再カウントを開始させ、ステップＳ１７に進む。ステップＳ１３において、タイマーｔ１がチェックタイムＴ１を超えてない場合にはステップＳ１７に進む。

すなわち、チェックタイムＴ１間隔毎に、チェックタイムＴ１間のパケット種類の集計データが出力部２４に送られる。出力部２４は、この送られてくるパケット種類の集計情報をもとに後述する処理を行う。ちなみに、チェックタイムＴ１は、予め定められる任意の定数であって、変更設定であり、本例では１秒に設定されている。

ステップＳ１７では、タイマーｔ２のカウントが短期集計タイムＴ２を超えているか否かを検出し、超えている場合にはステップＳ１８に進む。ステップＳ１８では、現時点から短期集計タイムＴ２前まで遡った期間におけるＩＰアドレスの集計データ、訪問者数の集計データ及びパケット種類の集計データを、解析手段２８、集計手段２９又は記憶装置２２から取得し、ステップＳ１９に進む。

ステップＳ１９では、ステップＳ１８で取得した各種集計情報をその集計時刻情報及び集計時間情報と共に記憶装置２２を記憶する他、該各種集計情報をグラフ化して画像データとして記憶装置２２に記憶し、ステップＳ２０に進む。ステップＳ２０では、タイマーｔ２のカウントを０にリセットして再カウントを開始させ、ステップＳ２１に進む。ステップＳ１７において、タイマーｔ２が短期集計タイムＴ２を超えてない場合にはステップＳ２１に進む。

すなわち、短期集計タイムＴ２間隔毎に、短期集計タイムＴ２間の上記各種集計情報及びそのグラフの画像が、記憶装置２２に記憶される。ちなみに、短期集計タイムＴ２は、予め定められる任意の定数であって、変更設定であり、本例では１時間に設定されている。

ステップＳ２１では、タイマーｔ３のカウントが長期集計タイムＴ３を超えているか否かを検出し、超えている場合にはステップＳ２２に進む。ステップＳ２２では、現時点から長期短期集計タイムＴ３まで遡った期間におけるＩＰアドレスの集計データ、訪問者数の集計データ及びパケット種類の集計データを、解析手段２８、集計手段２９又は記憶装置２２から取得し、ステップＳ２３に進む。

ステップＳ２３では、ステップＳ２２で取得した各種集計情報を集計時刻情報及び集計時間情報と共に記憶装置２２を記憶する他、この該各種集計情報をグラフ化して画像データとして記憶装置２２に記憶し、ステップＳ２４に進む。ステップＳ２４では、タイマーｔ３のカウントを０にリセットして再カウントを開始させ、処理をステップＳ１１に戻す。ステップＳ２１において、タイマーｔ３が長期集計タイムＴ３を超えてない場合には処理をステップＳ１１に戻す。

すなわち、長期集計タイムＴ３間隔毎に、長期集計タイムＴ３間の上記各種集計情報及びそのグラフ画像３３（図９参照）が、記憶装置２２に記憶される。ちなみに、長期集計タイムＴ３は、短期集計タイムＴ２よりも長くなるように予め定められる任意の定数であって、変更設定であり、本例では１日に設定されている。

図９は、情報処理手段のパケット情報処理時に作成するグラフ画像である。作成されるグラフ画像３３には、対象の集計時間の始期から終期の間の時間を縦軸とし且つＳＹＮパケット数とＵＤＰパケット数とＩＣＭＰパケット数とＳＭＴＰパケット数を合計した総パケット数を横軸とした総パケット数グラフ３３ａと、対象の集計時間の始期から終期の間の時間を横軸とし且つ訪問者数を縦軸とした訪問者数グラフ３３ｂと、対象の集計時間の始期から終期の間の時間を横軸とし且つＳＹＮパケット数を縦軸としたＳＹＮパケット数グラフ３３ｃと、対象の集計時間の始期から終期の間の時間を横軸とし且つＵＤＰパケット数を縦軸としたＵＤＰパケット数グラフ３３ｄと、対象の集計時間の始期から終期の間の時間を横軸とし且つＩＣＭＰパケット数を縦軸としたＩＣＭＰパケット数グラフ３３ｅと、対象の集計時間の始期から終期の間の時間を横軸とし且つＳＭＴＰパケット数を縦軸としたＳＭＴＰパケット数グラフ３３ｆとが含まれている。

また、このグラフ画像３３は、出力部２４を介して、画面に出力することが可能であるが、この際、各グラフ３３ａ，３３ｂ，３３ｃ，３３ｄ，３３ｅ，３３ｆの拡大表示可能であり、該拡大表示時には送信パケットの送信元のＩＰアドレス及び国が表示される。

図１０は、情報処理手段のアクセス情報処理の手順を示すフロー図である。アクセス情報処理では、処理が開始されると、まずステップＳ３１に進む。ステップＳ３１では、アクセス情報処理部２１の解析手段３１によって、上述したアクセス情報解析を行い、ステップＳ３２に進む。ステップＳ３２では、ステップＳ３１で解析したパケット情報を記憶装置２２にログ情報として記憶し、ステップＳ３３に進む。

ステップＳ３３では、タイマーｔ４のカウントが短期集計タイムＴ４を超えているか否かを検出し、超えている場合にはステップＳ３４に進む。ステップＳ３４では、現時点から短期集計タイムＴ４前まで遡った期間におけるアクセス先アドレスの集計データ、リンク元アドレスの集計データ及び応答種類の集計データを、解析手段３１、集計手段３２又は記憶装置２２から取得し、ステップＳ３５に進む。

ステップＳ３５では、ステップＳ３４で取得した各種集計情報を集計時刻情報及び集計時間情報と共に記憶装置２２を記憶する他、この該各種集計情報をグラフ化等して画像データとして記憶装置２２に記憶し、ステップＳ３６に進む。ステップＳ３６では、タイマーｔ４のカウントを０にリセットして再カウントを開始させ、ステップＳ３７に進む。ステップＳ３３において、タイマーｔ４が短期集計タイムＴ２を超えてない場合にはステップＳ３７に進む。

すなわち、短期集計タイムＴ４間隔毎に、短期集計タイムＴ４間の上記各種集計情報及びそのグラフ等の画像が、記憶装置２２に記憶される。ちなみに、短期集計タイムＴ４は、予め定められる任意の定数であって、変更設定であり、本例では１時間に設定されている。

ステップＳ３７では、タイマーｔ５のカウントが長期集計タイムＴ５を超えているか否かを検出し、超えている場合にはステップＳ３８に進む。ステップＳ３８では、現時点から長期集計タイムＴ５前まで遡った期間におけるアクセス先アドレスの集計データ、リンク元アドレスの集計データ及び応答種類の集計データを、解析手段３１、集計手段３２又は記憶装置２２から取得し、ステップＳ３９に進む。

ステップＳ３９では、ステップＳ３８で取得した各種集計情報を集計時刻情報及び集計時間情報と共に記憶装置２２を記憶する他、この該各種集計情報をグラフ化等して画像データとして記憶装置２２に記憶し、ステップＳ４０に進む。ステップＳ４０では、タイマーｔ５のカウントを０にリセットして再カウントを開始させ、処理をステップＳ３１にも戻す。ステップＳ３７において、タイマーｔ５が長期集計タイムＴ５を超えてない場合にはステップＳ３１に処理を戻す。

すなわち、長期集計タイムＴ５間隔毎に、長期集計タイムＴ５間の上記各種集計情報及びそのグラフ画像３４（図１１参照）が、記憶装置２２に記憶される。ちなみに、長期集計タイムＴ５は、短期集計タイムＴ４よりも長くなるように予め定められる任意の定数であって、変更設定であり、本例では１日に設定されている。

図１１は、情報処理手段のアクセス情報処理時に作成するグラフ画像である。作成されるグラフ画像３４には、対象の集計時間の始期から終期の間の時間を縦軸とし且つウェブサーバ３が管理するドメイン毎に各アクセス先アドレスのアクセス数を合算した総アクセス数を横軸とした総アクセス数グラフ３４ａ（すなわち、管理するドメインの数分だけグラフが生成）と、対象の集計時間の始期から終期の間の時間を横軸とし且つ応答種類毎の応答数を縦軸とした応答数グラフ３４ｂ（すなわち、応答種類の数分だけグラフが生成）と、ウェブサーバ３が管理するドメイン毎のアクセス数の一覧表３４ｃと、リンク元アドレス毎のアクセス数の一覧表３４ｄとが含まれている。

また、このグラフ画像３４は、出力部２４を介して、画面に出力することが可能であるが、この際、リンク元アドレスの一覧表３４ｄの拡大表示が可能であり、該拡大表示時にはリンク元アドレスが詳細表示される。

上記出力部２４は、図２に示すとおり、上述のグラフ画像３３，３４を画面出力するとともにこの不正アクセス監視システム１３を操作するＧＵＩを提供する画面出力手段３６と、不正アクセスされている可能性がある旨をブザー音や警告画面によって報知する報知手段３７とを備えている。

図１２は、報知手段の処理手順を示すフロー図である。報知手段３７は、情報処理手段２３からパケット種類の集計データが送られてくることをトリガーとして処理を開始する。処理が開始されると、ステップＳ５１に進む。ステップＳ５１では、ＳＹＮパケット数が予め定めたＳＹＮ用閾値Ｐ１を超えているか否かを検出し、超えていなければステップＳ５２に進む。

ステップＳ５２では、ＵＤＰパケット数が予め定めたＵＤＰ用閾値Ｐ２を超えているか否かを検出し、超えていなければステップＳ５３に進む。ステップＳ５３では、ＩＣＭＰパケット数が予め定めたＩＣＭＰ用閾値Ｐ３を超えているか否かを検出し、超えていなければステップＳ５４に進む。ステップＳ５４では、ＳＭＴＰパケット数が予め定めたＳＭＴＰ用閾値Ｐ４を超えているか否かを検出し、超えていなければステップＳ５５に進む。

ステップＳ５５では、ＳＹＮパケット数とＵＤＰパケット数とＩＣＭＰパケット数とＳＭＴＰパケット数とを合算した総パケット数が予め定めた合算用閾値Ｐ５を超えているか否かを検出し、超えていなければ処理を終了させる。ちなみに、各閾値Ｐ１，Ｐ２，Ｐ３，Ｐ４，Ｐ５はチェックタイムＴ１の値によって変更され且つ任意にも変更設定可能である他、合算遥閾値Ｐ５は、ＳＹＮ用閾値Ｐ１とＤＵＰ用閾値Ｐ２とＩＣＭＰ閾値Ｐ３とＳＭＴＰ用閾値Ｐ４とを合算した値よりは小さくなる。

また、ステップＳ５１においてＳＹＮパケット数が予め定めたＳＹＮ用閾値Ｐ１を超えている場合と、ステップＳ５２においてＵＤＰパケット数が予め定めたＵＤＰ用閾値Ｐ２を超えている場合と、ステップＳ５３においてＩＣＭＰパケット数が予め定めたＩＣＭＰ用閾値Ｐ３を超えている場合と、ステップＳ５４においてＳＭＴＰパケット数が予め定めたＳＭＴＰ用閾値Ｐ４を超えている場合と、ステップＳ５５において総パケット数が予め定めた合算用閾値Ｐ５を超えている場合との少なくとも一に該当する際には、ステップＳ５６に進む。ステップＳ５６では、上述の報知処理を行なった後、処理を終了させる。

このように、種類毎にパケット数を調査し、それに基づいて報知を行うことにより、不正アクセスの状況を的確に把握できる。

次に、図１３に基づき、本発明の別実施形態について、上述の形態に異なる点を説明する。
図１３は、本発明の別実施形態の不正アクセス監視システムのブロック図である。上述の例では、１台の監視用コンピュータ１４に不正アクセス監視システム１３を搭載したが、図１３に示す不正アクセス監視システム１３は、パケット情報処理部１９と、アクセス情報処理部２１とを各別の監視用コンピュータ１４に搭載する。この場合には、パケット情報処理部１９とアクセス情報処理部２１に、それぞれ各別に、パケット取得手段１８、記憶装置２２及び出力部２４を設ける必要がある。

また、パケット情報処理部１９側の情報処理手段２３は、アクセス情報処理を行なわず、パケット情報処理のみを行なう一方で、アクセス情報処理部２１側の情報処理手段２３はパケット情報処理を行わず、アクセス情報処理の手順のみを行う他、アクセス情報処理部２１側の出力部２４には画面出力手段３６のみを設け、報知手段３７を設けない。

さらに、該構成の不正アクセス監視システム１３では、分岐手段１７からのパケットが、一方向パケット分割手段３８で分割され、２つの各パケット取得手段１８，１８に一方的に送信されている。ちなみに、この一方向パケット分割手段３８は、具体的には、スイッチング機能を有しないハブによって実現されている。

該構成の不正アクセス監視システム１３では、各監視用コンピュータ１４の負荷が分散されるため、監視する対象のコンピュータ３，４，６をさらに増やすことが容易になる。

３ ウェブサーバ（コンピュータ，サーバ）
４ サーバ（コンピュータ）
６ サーバ（コンピュータ）
１４ 監視用コンピュータ（電子計算機）
１８ パケット取得手段
２２ 記憶装置
２３ 情報処理手段
２８ 解析手段
２９ 集計手段
３１ 解析手段
３２ 集計手段
３７ 報知手段

Claims (8)

1. コンピュータ（３），（４），（６）に送信されてくるパケットである送信パケットを取得するパケット取得手段（１８）と、パケットを解析する解析手段（２８），（３１）とを備え、前記コンピュータ（３），（４），（６）への不正アクセスを監視する不正アクセス監視システムにおいて、ポートミラーリングによって分岐された送信パケットを取得するようにパケット取得手段（１８）を構成し、該取得された送信パケットの情報を記憶する記憶装置（２２）を備えた不正アクセス監視システム。
2. パケット取得手段（１８）がＴＣＰ／ＩＰをサポートしたネットワークインターフェースを備え、該ネットワークインターフェースが送信パケットを一方的に受信して応答しないようにパケット取得手段（１８）を構成した請求項１に記載の不正アクセス監視システム。
3. 送信パケットが送られてくる通信ケーブルが前記ネットワークインターフェースに物理的に接続された際に、該ネットワークインターフェースに前記ネットワーク内のＩＰアドレスを割当てなられないようにパケット取得手段（１８）を構成することにより、該ネットワークインターフェースが送信パケットを一方的に受信する請求項２に記載の不正アクセス監視システム。
4. 送信パケットに対して応答する際に前記コンピュータ（３），（４），（６）から送られ且つポートミラーリングによって分岐されたパケットである応答パケットを取得可能なようにパケット取得手段（１８）を構成した請求項１乃至３の何れか一に記載の不正アクセス監視システム。
5. 予め定めた所定数以上のパケットを、予め定めた所定時間内に、パケット取得手段（１８）が取得した場合には、不正アクセスされている可能性がある旨を報知する報知手段（３７）を備えた請求項１乃至４の何れか一に記載の不正アクセス監視システム。
6. パケット取得手段（１８）が取得されたパケットを前記解析手段（２８），（３１）を介して解析し且つ集計手段（２９），（３２）を介して集計するとともに該集計された情報を記憶装置（２２）に記憶する情報処理手段（２３）を設け、パケットの集計処理及び該集計された情報の記憶装置（２２）への記憶処理を、予め定めた所定間隔毎に行うように情報処理手段（２３）を構成した請求項１乃至５の何れか一に記載の不正アクセス監視システム。
7. 前記所定間隔毎に、集計された情報に基づいてグラフを作成し、該グラフを画像データとして記憶装置（２２）に記憶するように情報処理手段（２３）を構成した請求項６に記載の不正アクセス監視システム。
8. 電子計算機（１４）を、請求項１乃至７の何れか一に記載の不正アクセス監視システムとして機能させる不正アクセス監視プログラム。

Images