JP2013121008A - 攻撃対策装置、攻撃対策方法及び攻撃対策プログラム - Google Patents

Abstract

【課題】攻撃を検知した際の対処を管理者がより適切に行うための情報を取得できる攻撃対策装置、攻撃対策方法及び攻撃対策プログラムを提供すること。
【解決手段】攻撃対策装置１は、ネットワークに属するホストそれぞれについて、当該ホストへ至る通信経路の規模を示す所定種類の構成特徴量を記憶するネットワーク構成ＤＢ２１と、攻撃に係る通信のデータを取得し、当該データから、当該通信の特徴を示す所定種類の通信特徴量を抽出する通信抽出部１３と、過去の複数の攻撃事例に係る構成特徴量及び通信特徴量の組み合わせをクラス分類するクラス分類部１５と、新たな攻撃が検知された場合に、当該新たな攻撃がいずれのクラスに該当するかを判定するクラス判定部１７と、判定されたクラスを新たな攻撃の通信経路と共に報知する報知部１８と、を備える。
【選択図】図１

Description

本発明は、所定のネットワークに属するホストへの攻撃が検知された場合に、当該ネットワークの管理者が行う対処を支援する攻撃対策装置、攻撃対策方法及び攻撃対策プログラムに関する。

従来、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）攻撃に対処するサービスが存在する（例えば、非特許文献１乃至４参照）。これらのサービスは、インターネットサービスプロバイダが一元管理するネットワーク上で、ＤｏＳ攻撃を検知した際に、攻撃対象のホスト宛の通信の中から、異常と判定される通信を取り除き、正常と判定される通信のみを攻撃対象ホストへ届ける仕組みである。なお、これらのサービスは、攻撃対象となり得るホストの管理者が任意にインターネットサービスプロバイダと契約するものである。

また、バックボーンネットワークにおいて、ネットワーク運用者は、自社の設備を保守するためにトラフィックを監視する。ところが、例えば数百Ｇｂｐｓの大量のトラフィックを管理するインターネットサービスプロバイダでは、運用コストが高額になるため、上述のサービス等の仕組みは利用されない場合が多い。この場合、ＤｏＳ攻撃が発生すると、ブラックホールルータ等に攻撃パケットを迂回させる方式等が採用される。

ＤｏＳ（ＤＤｏＳ）攻撃対策サービス、［平成２３年１１月１４日］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｓｅｃｏｍｔｒｕｓｔ．ｎｅｔ／ｓｅｒｖｉｃｅ／ｄａｔａｃｅｎｔｅｒ／ｓｅｒｖｉｃｅ／ｍａｎａｇｅｄ＿ｄｏｓ．ｈｔｍｌ＞ トラフィック異常検出および軽減（ＤＤｏＳ攻撃対策）ソリューション、［平成２３年１１月１４日］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｃｉｓｃｏ．ｃｏｍ／ｗｅｂ／ＪＰ／ｐｒｏｄｕｃｔ／ｈｓ／ｓｅｃｕｒｉｔｙ／ｄｄｏｓ．ｈｔｍｌ＞ ＩＩＪ ＤＤｏＳ対策サービス、［平成２３年１１月１４日］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｉｉｊ．ａｄ．ｊｐ／ｓｅｒｖｉｃｅ／ｓｙｓｔｅｍ／ＩＩＪ−ＳＤ．ｈｔｍｌ＞ ＯＣＮ ＤＤｏＳ攻撃対策サービス、［平成２３年１１月１４日］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｏｃｎ．ｎｅ．ｊｐ／ｂｕｓｉｎｅｓｓ／ｓｅｃｕｒｉｔｙ／ｄｄｏｓ／＞

しかしながら、例えば、攻撃パケットを迂回させる方式の場合、正常なパケットも大きく影響を受ける。これらの正常なパケットを分別するためには、攻撃を解析する必要があるため、対処に時間が掛かる。また、リンク容量又はルータの許容パケット数等によって、通信機器を保護するための緊急度も異なるため、攻撃に対して画一的な対処が実行されることは適切ではなかった。

本発明は、攻撃を検知した際の対処を管理者がより適切に行うための情報を取得できる攻撃対策装置、攻撃対策方法及び攻撃対策プログラムを提供することを目的とする。

本発明では、以下のような解決手段を提供する。

（１）所定のネットワークに属するホストへの攻撃が検知された場合に、当該ネットワークの管理者が行う対処を支援する攻撃対策装置であって、少なくとも前記所定のネットワークを含む１又は複数のネットワークに属するホストそれぞれについて、当該ホストへ至る通信経路の規模を示す所定種類の構成特徴量を記憶する構成記憶部と、前記攻撃に係る通信のデータを取得し、当該データから、当該通信の特徴を示す所定種類の通信特徴量を抽出する通信抽出部と、過去の複数の攻撃事例に係る前記構成特徴量及び前記通信特徴量の組み合わせをクラス分類するクラス分類部と、新たな攻撃が検知された場合に、当該新たな攻撃が前記クラス分類部により分類されたいずれのクラスに該当するかを判定するクラス判定部と、前記クラス判定部により判定されたクラスを、前記新たな攻撃の通信経路と共に報知する報知部と、を備える攻撃対策装置。

このような構成によれば、攻撃対策装置は、過去の攻撃事例に関する構成特徴量及び通信特徴量の組み合わせをクラス分類することにより、新たな攻撃の特徴量がいずれのクラスに該当するかを判定する。したがって、攻撃対策装置は、攻撃を検知した際の対処を管理者がより適切に行うための情報を提供できる。
このとき、特徴量の組み合わせは、膨大な数になり得るが、実際の攻撃事例から生成されるクラスの数は大幅に低減される。したがって、攻撃対策装置は、容易に類似するクラスを特定できるので、処理効率が低減されると共に、管理者が攻撃に対する対処を適切に行える。

（２）前記構成記憶部は、前記構成特徴量として、各ホストに接続されるエッジルータに対するリンク容量、又は当該エッジルータの収容ホスト数のうち、少なくともいずれかを含む（１）に記載の攻撃対策装置。

このような構成によれば、攻撃対策装置は、構成特徴量として、各ホストに接続されるエッジルータに対するリンク容量、又はエッジルータの収容ホスト数のうち、少なくともいずれかを用いる。したがって、エッジルータの規模に応じた緊急度が構成特徴量に表されるので、管理者は、適切な対処を行うことができる。

（３）前記通信抽出部は、前記通信特徴量として、前記攻撃に係る通信の送信元ホストの数、プロトコルタイプ、所定のＴＣＰフラグの割合、所定時間当たりのパケット数、バイト数、又はフロー数のうち、少なくともいずれかを含む（１）又は（２）に記載の攻撃対策装置。

このような構成によれば、攻撃対策装置は、通信特徴量として、攻撃に係る通信の送信元ホストの数、プロトコルタイプ、所定のＴＣＰフラグの割合、所定時間当たりのパケット数、バイト数、又はフロー数のうち、少なくともいずれかを用いる。したがって、攻撃の種類及び規模が通信特徴量に表されるので、管理者は、適切な対処を行うことができる。

（４）前記構成特徴量若しくは前記通信特徴量のいずれか又は組み合わせに対応して、対処方法に関するデータを予め記憶する対処情報記憶部と、前記クラス分類部により分類された各クラスについて、当該クラスに含まれる前記構成特徴量及び前記通信特徴量の組み合わせと、前記対処情報記憶部に記憶されている前記構成特徴量若しくは前記通信特徴量のいずれか又は組み合わせとを比較することにより、当該クラスに対して前記対処方法に関するデータのいずれかを紐付けて当該クラスを定義するクラス定義部と、を備える（１）から（３）のいずれかに記載の攻撃対策装置。

このような構成によれば、攻撃対策装置は、対処情報記憶部と照合することにより、各クラスに属する攻撃への対処方法に関するデータを提供できる。したがって、管理者は、攻撃に対する対処をより適切に行える。

（５）前記対処方法に関するデータは、前記攻撃の悪性度、規模、又は対処の緊急度を示すデータである（４）に記載の攻撃対策装置。

このような構成によれば、対処方法に関するデータは、攻撃の悪性度、規模、又は対処の緊急度を示すデータであるので、管理者は、適時に適切な対処を行うことができる。

（６）前記クラス定義部により紐付けられた前記対処方法に関するデータに基づいて、予め設定されている所定の処理を実行する対処実行部を備える（４）又は（５）に記載の攻撃対策装置。

このような構成によれば、攻撃対策装置は、クラスに紐付けて記憶されている対処方法に関するデータに基づいて、予め設定されている所定の処理を自動的に実行できるので、管理者の負荷を低減できると共に、対処の正確性を向上できる可能性がある。

（７）所定のネットワークに属するホストへの攻撃が検知された場合に、当該ネットワークの管理者が行う対処をコンピュータが支援する攻撃対策方法であって、前記コンピュータは、少なくとも前記所定のネットワークを含む１又は複数のネットワークに属するホストそれぞれについて、当該ホストへ至る通信経路の規模を示す所定種類の構成特徴量を記憶する構成記憶部を備え、前記攻撃に係る通信のデータを取得し、当該データから、当該通信の特徴を示す所定種類の通信特徴量を抽出する通信抽出ステップと、過去の複数の攻撃事例に係る前記構成特徴量及び前記通信特徴量の組み合わせをクラス分類するクラス分類ステップと、新たな攻撃が検知された場合に、当該新たな攻撃が前記クラス分類ステップにおいて分類されたいずれのクラスに該当するかを判定するクラス判定ステップと、前記クラス判定ステップにおいて判定されたクラスを、前記新たな攻撃の通信経路と共に報知する報知ステップと、を含む攻撃対策方法。

このような構成によれば、攻撃対策方法をコンピュータが実行することにより、（１）と同様の効果が期待できる。

（８）所定のネットワークに属するホストへの攻撃が検知された場合に、当該ネットワークの管理者が行う対処をコンピュータに支援させるための攻撃対策プログラムであって、前記コンピュータは、少なくとも前記所定のネットワークを含む１又は複数のネットワークに属するホストそれぞれについて、当該ホストへ至る通信経路の規模を示す所定種類の構成特徴量を記憶する構成記憶部を備え、前記攻撃に係る通信のデータを取得し、当該データから、当該通信の特徴を示す所定種類の通信特徴量を抽出する通信抽出ステップと、過去の複数の攻撃事例に係る前記構成特徴量及び前記通信特徴量の組み合わせをクラス分類するクラス分類ステップと、新たな攻撃が検知された場合に、当該新たな攻撃が前記クラス分類ステップにおいて分類されたいずれのクラスに該当するかを判定するクラス判定ステップと、前記クラス判定ステップにおいて判定されたクラスを、前記新たな攻撃の通信経路と共に報知する報知ステップと、を前記コンピュータに実行させるための攻撃対策プログラム。

このような構成によれば、攻撃対策プログラムをコンピュータに実行させることにより、（１）と同様の効果が期待できる。

本発明によれば、攻撃を検知した際の対処を管理者がより適切に行うための情報を提供できる。

実施形態に係る攻撃対策装置の機能構成を示す図である。 実施形態に係る監視対象ネットワークにおける攻撃対象ホストへ至る通信経路を示す図である。 実施形態に係るクラス定義ＤＢを生成する処理を示すフローチャートである。 実施形態に係る監視対象ネットワークへの攻撃が検知された場合の処理を示すフローチャートである。

以下、本発明の実施形態の一例について説明する。
本実施形態に係る攻撃対策装置１は、インターネットサービスプロバイダ等の所定のネットワークに属するホストへの攻撃が検知された場合に、このネットワークの管理者が行う対処を支援するサーバ装置である。なお、攻撃対策装置１は、ネットワーク内の少なくともコアルータを含む各種ルータと通信可能であり、ルータからネットワークフローデータ又はパケットキャプチャデータ等、通信のデータを取得すると共に、攻撃対処のために通信経路を制御したり、フィルタリング機能の実行を指示したりできる。

図１は、本実施形態に係る攻撃対策装置１の機能構成を示す図である。
攻撃対策装置１は、制御部１０と、記憶部２０と、通信部３０と、入力部４０と、表示部５０とを備える。

制御部１０は、攻撃対策装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、前述のハードウェアと協働し、本実施形態における各種機能を実現している。制御部１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であってよい。なお、制御部１０が備える各部の機能は後述する。

記憶部２０は、ハードウェア群を攻撃対策装置１として機能させるための各種プログラム、本実施形態の各種機能を制御部１０に実行させるためのプログラム、及び各種データ等を記憶する。なお、記憶部２０が備える各種データは後述する。

通信部３０は、攻撃対策装置１が他の装置と情報を送受信する場合のネットワーク・アダプタであり、ネットワーク内のコアルータにアクセスし、ネットワークフローデータ又はパケットキャプチャデータ等、通信のデータを取得して制御部１０へ提供する。また、通信部３０は、制御部１０からの指示に従ってルータに制御信号を送信する。

入力部４０は、攻撃対策装置１に対するユーザからの指示入力を受け付けるインタフェース装置である。入力部４０は、例えばキー操作部やタッチパネルにより構成される。

表示部５０は、ユーザにデータの入力を受け付ける画面を表示したり、攻撃対策装置１による処理結果の画面を表示したりするものである。ユーザは、表示部５０に表示された画面により、攻撃が検知されたこと、及び対処方法に関する情報を確認する。表示部５０は、液晶ディスプレイや有機ＥＬディスプレイであってよい。

前述の制御部１０は、構成収集部１１と、事例収集部１２と、通信抽出部１３と、攻撃検知部１４と、クラス分類部１５と、クラス定義部１６と、クラス判定部１７と、報知部１８と、対処実行部１９とを備える。また、記憶部２０は、ネットワーク構成ＤＢ２１（構成記憶部）と、クラス定義ＤＢ２２と、対処情報ＤＢ２３（対処情報記憶部）とを有する。

構成収集部１１は、監視対象である所定のネットワークと、攻撃事例の収集のためのネットワークとに属するホストそれぞれについて、このホストへ至る通信経路の規模を示す所定種類の構成特徴量を取得し、ネットワーク構成ＤＢ２１に記憶する。
具体的には、構成収集部１１は、構成特徴量の１つとして、「ｐｃｈａｒ」又は「ｐａｔｈｃｈａｒ」等のコマンドを利用して、各ホストに接続されるエッジルータに対する直前の回線のリンク容量を取得する。また、構成収集部１１は、構成特徴量の１つとして、「ｔｒａｃｅｒｏｕｔｅ」コマンドを利用してトポロジを把握することにより、エッジルータの収容ホスト数を取得する。

図２は、本実施形態に係る監視対象ネットワークにおける攻撃対象ホストへ至る通信経路を示す図である。
攻撃対象ホストを宛先とするデータパケットは、コアルータを基点に配下のルータを経由して、ホストに隣接するエッジルータに至る。このとき、エッジルータに対するリンク容量、又はエッジルータの収容ホスト数は、間接的にエッジルータが処理可能な通信量、すなわち規模を表している。

事例収集部１２は、監視対象である所定のネットワーク、又は攻撃事例の収集のためのネットワークにおけるコアルータから、攻撃事例に係る通信のネットワークフローデータ（例えば、ＮｅｔＦｌｏｗ又はｓＦｌｏｗ）又はパケットキャプチャデータ等、通信のデータを取得する。

通信抽出部１３は、事例収集部１２により取得された通信のデータから、通信の特徴を示す所定種類の通信特徴量を抽出する。
具体的には、通信抽出部１３は、通信特徴量として、攻撃に係る通信の送信元ホストの数、プロトコルタイプ、所定のＴＣＰフラグの割合、所定時間当たりのパケット数、バイト数、及びフロー数を取得する。

攻撃検知部１４は、監視対象である所定のネットワークにおいて、トラフィックを監視し、ＤｏＳ攻撃を受けたことを検知する。

クラス分類部１５は、過去の複数の攻撃事例に係る構成特徴量及び通信特徴量の組み合わせからなる特徴ベクトルをクラス分類し、クラス定義ＤＢ２２に各特徴ベクトル及び分類情報を記憶する。なお、分類手法は、既存のクラスタリング技術が利用可能である。

ここで、特徴ベクトルの一例を以下に示す。
特徴ベクトルｘ＝（ｘ_１，ｘ_２，ｘ_３，ｘ_４，ｘ_５，ｘ_６，ｘ_７，ｘ_８）は、０又は１の２値を取り得る８つの要素ｘ_１〜ｘ_８からなる。

ｘ_１：送信元ホストの数。
送信元ホストが所定数以上の場合は１、それ以外の場合は０である。
ｘ_２：プロトコルタイプ。
プロトコルがＴＣＰ又はＵＤＰの場合は１、それ以外の場合は０である。
ｘ_３：ＴＣＰフラグの割合。
ＴＣＰフラグのうちＳＹＮフラグを有するパケットが全体の所定割合を超える場合１、それ以外の場合は０である。
ｘ_４：パケット数。
単位時間当たりのパケット数の平均が所定値を超える場合は１、それ以外の場合は０である。
ｘ_５：バイト数。
単位時間当たりのバイト数の平均が所定値を超える場合は１、それ以外の場合は０である。
ｘ_６：フロー数。
単位時間当たりのフロー数の平均が所定値を超える場合は１、それ以外の場合は０である。
ｘ_７：直前のエッジルータ周辺のリンク容量。
リンク容量が所定値［ｂｐｓ］以下の場合は１、それ以外の場合は０である。
ｘ_８：直前のエッジルータの規模。
エッジルータの規模（収容ホスト数）が所定値以下の場合は１、それ以外の場合は０である。

クラス定義部１６は、クラス分類部１５により分類された各クラスについて、当該クラスの特徴ベクトルと、対処情報ＤＢ２３に記憶されている要素とを比較することにより、当該クラスに対して対処方法に関するデータのいずれかを紐付けて当該クラスを定義する。

ここで、対処情報ＤＢ２３は、構成特徴量若しくは通信特徴量のいずれか又は組み合わせに対応して、攻撃の悪性度、規模、又は対処の緊急度を示す対処方法に関するデータを予め記憶している。
例えば、上述の特徴ベクトルの要素ｘ_１＝１（分散ＤｏＳ攻撃）、ｘ_４＝１（パケット数が多い）、ｘ_７＝１（リンク容量が小さい）の場合、悪性度、規模及び緊急度がいずれも高い攻撃として、対処方法に関するデータが記憶される。

具体的には、例えば、ｘ_１＝１、ｘ_４＝１、ｘ_７＝１を共通項とするクラスに属する攻撃は、緊急性が高いため、早急に攻撃を軽減する必要がある。ところが、攻撃ホストが多数であるため、特定の攻撃元のトラフィックを遮断したとしても攻撃は収まらない。したがって、ブラックホールルータへトラフィックを迂回させる等の対処法によりネットワーク設備を保守する。
また、例えば、共通項がｘ_１＝１、ｘ_４＝１、ｘ_７＝０（リンク容量が大きい）であるクラスに属する攻撃は、直ちにネットワークを逼迫する可能性が低いため、所定のフィルタリングルール（ＩＣＭＰ等の所定のプロトコルを排除する、又はＳＹＮＦｌｏｏｄ攻撃者を排除する等）を適用して、攻撃を低減する。

クラス判定部１７は、新たな攻撃が検知された場合に、この新たな攻撃に係る構成特徴量及び通信特徴量の組み合わせからなる特徴ベクトルを生成し、この特徴ベクトルがクラス分類部１５により分類されたいずれのクラスに該当するかを判定する。

報知部１８は、クラス判定部１７により判定されたクラスを、攻撃検知部１４によって検知された新たな攻撃の通信経路と共に表示部５０に表示させて報知する。

対処実行部１９は、クラス定義部１６により紐付けられた対処方法に関するデータに基づいて、予め設定されている所定の処理を実行する。このとき、対処実行部１９は、表示部５０を介して、実行の可否を管理者に問い合わせ、入力部４０を介して、指示入力を受け付けてもよい。

図３は、本実施形態に係るクラス定義ＤＢ２２を生成する処理を示すフローチャートである。

ステップＳ１において、構成収集部１１は、監視対象ネットワーク、及び攻撃事例の収集対象であるネットワークの構成に関する情報として、構成特徴量を収集し、ネットワーク構成ＤＢ２１に記憶する。

ステップＳ２において、事例収集部１２は、攻撃事例の収集対象であるネットワークから、攻撃事例のネットワークフローデータ又はパケットキャプチャデータ等、攻撃事例に係る通信のデータを収集する。

ステップＳ３において、通信抽出部１３は、ステップＳ２で収集された攻撃事例に係る通信のデータから、通信特徴量を抽出する。

ステップＳ４において、クラス分類部１５は、攻撃事例それぞれについて、ステップＳ３で抽出された通信特徴量、及びステップＳ１で記憶された構成特徴量からなる特徴ベクトルを生成し、これらをクラス分類して、クラス定義ＤＢ２２に記憶する。

ステップＳ５において、クラス定義部１６は、ステップＳ４で分類されたクラスのそれぞれを、対処情報ＤＢ２３と照合することにより、各クラスに対して対処方法に関するデータを紐付けて記憶する。

図４は、本実施形態に係る監視対象ネットワークへの攻撃が検知された場合の処理を示すフローチャートである。

ステップＳ１１において、通信抽出部１３は、検知された攻撃に関するネットワークフローデータ又はパケットキャプチャデータ等、通信のデータから、通信特徴量を抽出する。

ステップＳ１２において、クラス判定部１７は、ステップＳ１１で抽出された通信特徴量、及びネットワーク構成ＤＢ２１に記憶されている構成特徴量からなる特徴ベクトルを生成し、クラス定義ＤＢ２２に記憶されているクラスのいずれに該当するかを判定する。

ステップＳ１３において、報知部１８は、ステップＳ１２で判定されたクラスに紐付けられている対処方法に関するデータ（悪性度、規模、緊急度、及び対処方法等）を、表示部５０に出力する。

ステップＳ１４において、対処実行部１９は、入力部４０を介して指示入力を受け付け、攻撃に対する対処を実行するか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ１５に移り、判定がＮＯの場合、処理は終了する。

ステップＳ１５において、対処実行部１９は、監視対象ネットワークのルータを制御して、ステップＳ１３で出力された対処方法を実行する。

以上のように、本実施形態によれば、攻撃対策装置１は、過去の攻撃事例に関する構成特徴量及び通信特徴量の組み合わせからなる特徴ベクトルをクラス分類することにより、新たな攻撃の特徴ベクトルがいずれのクラスに該当するかを判定する。したがって、攻撃対策装置１は、攻撃を検知した際の対処を管理者がより適切に行うための情報を提供できる。

このとき、特徴ベクトルの各要素値の組み合わせは、膨大な数になり得るが、実際の攻撃事例から生成されるクラスの数は大幅に低減される。したがって、攻撃対策装置１は、容易に類似するクラスを特定できるので、処理効率が低減されると共に、管理者が攻撃に対する対処を適切に行える。

また、攻撃対策装置１は、特徴ベクトルの要素として、各ホストに接続されるエッジルータに対するリンク容量及びエッジルータの収容ホスト数を用いる。したがって、エッジルータの規模に応じた緊急度が特徴ベクトルに表されるので、管理者は、適切な対処を行うことができる。

また、攻撃対策装置１は、特徴ベクトルの要素として、攻撃に係る通信の送信元ホストの数、プロトコルタイプ、所定のＴＣＰフラグの割合、所定時間当たりのパケット数、バイト数及びフロー数を用いる。したがって、攻撃の種類及び規模が特徴ベクトルに表されるので、管理者は、適切な対処を行うことができる。

また、攻撃対策装置１は、対処情報ＤＢに２３と照合することにより、各クラスに属する攻撃への対処方法に関するデータを提供できる。したがって、管理者は、攻撃に対する対処をより適切に行える。
さらに、対処方法に関するデータは、攻撃の悪性度、規模、又は対処の緊急度を示すデータであるので、管理者は、適時に適切な対処を行うことができる。

また、攻撃対策装置１は、クラス定義ＤＢ２２に記憶されている対処方法に関するデータに基づいて、予め設定されている所定の処理を自動的に実行できるので、管理者の負荷を低減できると共に、対処の正確性を向上できる可能性がある。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。

例えば、前述した実施形態の特徴ベクトルは、攻撃の特徴を定量化して示す一例であり、特徴量の種類及び値の範囲は適宜設計できる。

また、攻撃対策装置１は、ネットワークに接続可能な情報処理装置の一例であり、サーバ装置又はＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等、様々な情報処理装置（コンピュータ）であってよく、前述の各機能は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、上記情報処理装置にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。

１ 攻撃対策装置
１０ 制御部
１１ 構成収集部
１２ 事例収集部
１３ 通信抽出部
１４ 攻撃検知部
１５ クラス分類部
１６ クラス定義部
１７ クラス判定部
１８ 報知部
１９ 対処実行部
２０ 記憶部
２１ ネットワーク構成ＤＢ（構成記憶部）
２２ クラス定義ＤＢ
２３ 対処情報ＤＢ（対処情報記憶部）

Claims (8)

1. 所定のネットワークに属するホストへの攻撃が検知された場合に、当該ネットワークの管理者が行う対処を支援する攻撃対策装置であって、
   少なくとも前記所定のネットワークを含む１又は複数のネットワークに属するホストそれぞれについて、当該ホストへ至る通信経路の規模を示す所定種類の構成特徴量を記憶する構成記憶部と、
   前記攻撃に係る通信のデータを取得し、当該データから、当該通信の特徴を示す所定種類の通信特徴量を抽出する通信抽出部と、
   過去の複数の攻撃事例に係る前記構成特徴量及び前記通信特徴量の組み合わせをクラス分類するクラス分類部と、
   新たな攻撃が検知された場合に、当該新たな攻撃が前記クラス分類部により分類されたいずれのクラスに該当するかを判定するクラス判定部と、
   前記クラス判定部により判定されたクラスを、前記新たな攻撃の通信経路と共に報知する報知部と、を備える攻撃対策装置。
2. 前記構成記憶部は、前記構成特徴量として、各ホストに接続されるエッジルータに対するリンク容量、又は当該エッジルータの収容ホスト数のうち、少なくともいずれかを含む請求項１に記載の攻撃対策装置。
3. 前記通信抽出部は、前記通信特徴量として、前記攻撃に係る通信の送信元ホストの数、プロトコルタイプ、所定のＴＣＰフラグの割合、所定時間当たりのパケット数、バイト数、又はフロー数のうち、少なくともいずれかを含む請求項１又は請求項２に記載の攻撃対策装置。
4. 前記構成特徴量若しくは前記通信特徴量のいずれか又は組み合わせに対応して、対処方法に関するデータを予め記憶する対処情報記憶部と、
   前記クラス分類部により分類された各クラスについて、当該クラスに含まれる前記構成特徴量及び前記通信特徴量の組み合わせと、前記対処情報記憶部に記憶されている前記構成特徴量若しくは前記通信特徴量のいずれか又は組み合わせとを比較することにより、当該クラスに対して前記対処方法に関するデータのいずれかを紐付けて当該クラスを定義するクラス定義部と、を備える請求項１から請求項３のいずれかに記載の攻撃対策装置。
5. 前記対処方法に関するデータは、前記攻撃の悪性度、規模、又は対処の緊急度を示すデータである請求項４に記載の攻撃対策装置。
6. 前記クラス定義部により紐付けられた前記対処方法に関するデータに基づいて、予め設定されている所定の処理を実行する対処実行部を備える請求項４又は請求項５に記載の攻撃対策装置。
7. 所定のネットワークに属するホストへの攻撃が検知された場合に、当該ネットワークの管理者が行う対処をコンピュータが支援する攻撃対策方法であって、
   前記コンピュータは、少なくとも前記所定のネットワークを含む１又は複数のネットワークに属するホストそれぞれについて、当該ホストへ至る通信経路の規模を示す所定種類の構成特徴量を記憶する構成記憶部を備え、
   前記攻撃に係る通信のデータを取得し、当該データから、当該通信の特徴を示す所定種類の通信特徴量を抽出する通信抽出ステップと、
   過去の複数の攻撃事例に係る前記構成特徴量及び前記通信特徴量の組み合わせをクラス分類するクラス分類ステップと、
   新たな攻撃が検知された場合に、当該新たな攻撃が前記クラス分類ステップにおいて分類されたいずれのクラスに該当するかを判定するクラス判定ステップと、
   前記クラス判定ステップにおいて判定されたクラスを、前記新たな攻撃の通信経路と共に報知する報知ステップと、を含む攻撃対策方法。
8. 所定のネットワークに属するホストへの攻撃が検知された場合に、当該ネットワークの管理者が行う対処をコンピュータに支援させるための攻撃対策プログラムであって、
   前記コンピュータは、少なくとも前記所定のネットワークを含む１又は複数のネットワークに属するホストそれぞれについて、当該ホストへ至る通信経路の規模を示す所定種類の構成特徴量を記憶する構成記憶部を備え、
   前記攻撃に係る通信のデータを取得し、当該データから、当該通信の特徴を示す所定種類の通信特徴量を抽出する通信抽出ステップと、
   過去の複数の攻撃事例に係る前記構成特徴量及び前記通信特徴量の組み合わせをクラス分類するクラス分類ステップと、
   新たな攻撃が検知された場合に、当該新たな攻撃が前記クラス分類ステップにおいて分類されたいずれのクラスに該当するかを判定するクラス判定ステップと、
   前記クラス判定ステップにおいて判定されたクラスを、前記新たな攻撃の通信経路と共に報知する報知ステップと、を前記コンピュータに実行させるための攻撃対策プログラム。

Images