JP2013183458A - ネットワーク攻撃を感知する移動通信端末機およびその感知方法 - Google Patents

Abstract

【課題】本発明は、ネットワーク攻撃を感知する移動通信端末機およびその感知方法を提供する。
【解決手段】一実施形態に係る無線端末でネットワーク攻撃を感知する方法は、ソケットデータパケットのタイプを示す複数の制御ビットを使用して決定される攻撃パターンに関する情報をパターンデータベースに格納し、少なくとも１つのソケットデータパケットを特定する無線通信インターフェースを介して接続される対象のソケットデータパケットを受信し、少なくとも１つのソケットデータパケットを用いてソケットデータパケットのタイプを示す前記複数の制御ビットを抽出することによりソケット接続ヒストリーを生成し、攻撃パターンに関する情報とソケット接続ヒストリーとに基づいて、ネットワークに攻撃が存在するか否かを判定すること、を含む
【選択図】図２

Description

本発明は、ネットワーク攻撃を感知する移動通信端末機およびその感知方法に関する。

最近、無線ネットワークの迅速な発展による広帯域サービスのサポートおよびスマートフォンなどを介した多様なアプリケーション（Ａｐｐｌｉｃａｔｉｏｎ）の設置および起動が可能になることにより、無線網環境における悪性コードによるネットワーク攻撃（Ｎｅｔｗｏｒｋ Ａｔｔａｃｋ）が頻繁に発生している。ネットワーク攻撃の一例としてＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃が挙げられ、ＤｏＳ攻撃とは、ネットワークまたはサーバから提供されるサービスを妨害するための悪意のある攻撃である。最近、ＤｏＳ攻撃は、ボットネット（ｂｏｔｎｅｔ）によって数千台のゾンビＰＣを利用するＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃にまで強化されている。ＤＤｏＳ攻撃を防御するために多くの防御メカニズムが提案されたが、最近ではその攻撃が正常なトラフィックと類似しており、防御に困難を来たしている。

しかし、悪性コードを発見するためのプログラムは、既に知られている悪性コードのみを検出するため、実際のネットワークテロ攻撃時に対処できないことがある。また、ワクチンプログラムは、一般的にネットワーク接続許可をプログラム単位で設定するため、ユーザの認識がない状況において、不特定のサイト（ｓｉｔｅ）に対する活性化したアプリケーションを介したネットワークテロ攻撃を防ぐことは難しい。

本発明は、ネットワーク攻撃を感知する端末を提供する。

本発明は、ネットワーク攻撃を感知する方法を提供する。

本発明の一実施形態に係るネットワーク攻撃を感知する装置は、ネットワーク攻撃パターンを格納するパターンデータベースと、受信されたソケットデータパケットのソケット接続ヒストリーを生成する生成部と、前記ソケット接続ヒストリーと前記ネットワーク攻撃パターンの少なくとも１つとが一致するかを判定するプロセッサと、を備える。

本発明の一実施形態に係るネットワーク攻撃を感知するパケットドライバは、ソケットデータの接続フロー情報を格納するモニタリング部と、前記接続フロー情報に基づいてネットワークに攻撃が存在しているかを確認する検出部と、ネットワークに攻撃が存在していると確認された場合に、前記ソケットデータの送信を遮断する遮断部と、ネットワークに攻撃が存在していると確認された場合に、前記ソケットデータに関する情報を送信する情報送信部と、を備える。

本発明の一実施形態に係る無線端末でネットワーク攻撃を感知する方法は、ネットワーク攻撃の攻撃パターン制御ビットを受信し、ソケットデータパケットの制御ビットが前記攻撃パターン制御ビットに一致するかどうかを確認し、前記ソケットデータパケットの制御ビットが前記攻撃パターン制御ビットに一致している場合、前記ソケットデータパケットの送信を遮断すること、を含む。

本発明の一実施形態に係る無線端末でネットワーク攻撃を感知する方法は、サーバからネットワーク攻撃パターンを受信し、ソケットデータパケットを受信し、前記ソケットデータパケットのソケット接続ヒストリーを生成し、前記ソケット接続ヒストリーが前記ネットワーク攻撃パターンに一致するかどうかを確認し、前記ソケット接続ヒストリーが前記ネットワーク攻撃パターンに一致する場合、無線端末から前記ソケットデータパケットの送信を遮断し、前記ソケットデータパケットに関する情報を収集し、収集した前記ソケットデータパケットに関する情報をサーバに伝達すること、を含む。

本発明の一実施形態に係る無線端末でネットワーク攻撃を感知する方法は、ソケットデータパケットのタイプを示す複数の制御ビットを使用して決定される攻撃パターンに関する情報をパターンデータベースに格納し、少なくとも１つのソケットデータパケットを特定する無線通信インターフェースを介して接続される対象のソケットデータパケットを受信し、前記少なくとも１つのソケットデータパケットを用いて前記ソケットデータパケットのタイプを示す前記複数の制御ビットを抽出することによりソケット接続ヒストリーを生成し、前記攻撃パターンに関する情報と前記ソケット接続ヒストリーとに基づいて、ネットワークに攻撃が存在するか否かを判定すること、
を含む

上述した一般的な記載および以下の詳細な記載が、例示的、注釈的であること、請求さえる本発明のさらなる説明を意図するものであることが理解されるべきである。その他の特徴や態様は、以下の詳細な記載、図面および特許請求の範囲から明らかとなるだろう。

本発明の一実施形態によれば、送受信ソケットデータパケットに含まれた制御ビットを利用して生成したソケット接続ヒストリーの情報とネットワークアクセスパターンデータベースに格納された情報を比較してモバイルデバイス自体で自己防御機能を実行することにより、ウイルスなどのようなネットワーク攻撃による被害を事前に防ぐことができ、無線上で発生する無線ネットワーク資源枯渇とバッテリ消耗によるサービス拒否（ＤｏＳ）攻撃形態を効果的に防ぐことができる。

本発明の一実施形態によれば、少なくとも１つのソケットデータパケットに含まれた制御ビットの時間順序としての履歴情報であるソケットアクセスヒストリーをサーチングウィンドウによってスキャンして従来の攻撃パターンと比較することにより、ネットワーク攻撃による同時間帯の複数の接続攻撃による無線網の不安定性を防ぐことができる。

本発明の一実施形態によれば、ソケット接続ヒストリーの情報とネットワークアクセスパターンデータベースに格納された情報との比較結果に基づいてネットワークアダプタに該当ソケットデータパケットの送信遮断を要請することによって攻撃時点でネットワーク攻撃を遮断してネットワーク攻撃を防ぐことができ、ネットワーク攻撃に起因した不当なデータ使容量の増加によって不当に料金が付加されることを防ぐことができる。

本発明の一実施形態によれば、ネットワーク攻撃と判断されるソケットデータパケットを要請したアプリケーションのプロセッサＩＤを把握してネットワーク攻撃と関連する接続子情報およびアプリケーション情報をネットワーク攻撃防止のための管理サーバに提供することにより、ネットワーク攻撃当時の加担者に対する即時的な追跡および集中的な管理が可能になる。

本発明のさらなる理解を与えるために含まれ、本明細書に組み込まれ、一部を構成する添付の図面は、本発明の実施形態を示し、その記述とともに本発明の原理を説明するのに役立つ。

本発明の一実施形態に係るオープンソースモバイルアプリケーションプラットフォームの構造を示す図である。 本発明の一実施形態に係るオープンソースモバイルアプリケーションプラットフォームを示す図である。 本発明の一実施形態に係る無線端末でネットワーク攻撃を感知する方法を示したフローチャートである。 本発明の一実施形態に係るソケットデータパケットの構造を示す図である。 本発明の一実施形態に係るパケットドライバの構造を示す図である。 本発明の一実施形態に係るモニタリング部の動作を説明するための図である。 本発明の一実施形態に係るネットワーク攻撃を感知する方法を説明するための図である。 本発明の一実施形態に係る無線端末でネットワーク攻撃を感知する装置のブロック図である。 本発明の一実施形態に係る汎用的な装置でネットワーク攻撃を感知する方法を示したフローチャートである。

以下、本発明に係る実施形態について、図面を参照しながら詳細に説明する。本発明は、しかしながら、多くの異なる形態で具現され、ここに記載される実施形態に限定するように解釈されるべきではない。むしろ、これらの実施形態は、本開示が完全なものとなるように、本発明の範囲を当業者に完全に伝えるだろう。図面において、構成の相対的な大きさや描写は、明確さのために強調されることがある。各図面に提示された同じ参照符号は同じ部材を示す。

ある構成が他の構成に「接続されている（connected to）」と述べられているとき、他の構成に直接又は別の構成を介して接続されていると理解される。一方、ある構成が別の構成又は層に「上に直接（directly on）」又は「直接接続されている（directly connected to）」と述べられているとき、他の構成又は層は介在しない。本開示の目的のために、「Ｘ、Ｙ及びＺの少なくとも１つ」は、Ｘだけ、Ｙだけ、Ｚだけ、またはＸ、Ｙ及びＺの２つ以上のアイテムの何れかの組合せ（例えば、ＸＹＺ、ＸＹＹ、ＹＺ、ＺＺ）として解釈できる。

図１は、本発明の一実施形態に係るオープンソースモバイルアプリケーションプラットフォームの構造を示す図である。

図１を参照すると、プラットフォーム１００は、例えば、ダルビック（ｄａｌｖｉｋ）仮想マシーンなどを介してジャバで作成されたアプリケーション（Ａｐｐｌｉｃａｔｉｏｎ）を別途のプロセッサで実行する構造を有してもよい。開発者は、ソフトウェア開発キット（Ｓｏｆｔｗａｒｅ Ｄｅｖｅｌｏｐｍｅｎｔ Ｋｉｔ：ＳＤＫ）を使用してモバイル端末で動作するアプリケーションを作成してもよい。アプリケーションはジャバプログラミング言語で作成され、ダルビック仮想マシーン上で実行されてもよい。

プラットフォーム１００は、リナックス（登録商標）カーネル（Ｌｉｎｕｘ（登録商標） Ｋｅｒｎｅｌ）１１０、ライブラリ（Ｌｉｂｒａｒｙ）１２０、アプリケーションフレームワーク（Ａｐｐｌｉｃａｔｉｏｎ Ｆｒａｍｅｗｏｒｋ）１３０、およびアプリケーション（Ａｐｐｌｉｃａｔｉｏｎ）１４０を含んでもよい。

リナックス（登録商標）カーネル１１０は、メモリ管理、プロセス管理、ネットワークスタックなどのハードウェア管理をサポートする。

ライブラリ１２０は、プラットフォーム１００で使用されるＣ／Ｃ＋＋ライブラリをサポートし、プラットフォーム１００の基本的な機能を提供する構成要素を含む。

アプリケーションフレームワーク１３０は、アプリケーション開発時に必要なＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）を提供する。アプリケーションフレームワーク１３０は、アプリケーションが生成されるために必要な構成要素を含む。

アプリケーション１４０は、イーメールクライアント、ＳＭＳ（Ｓｈｏｒｔ Ｍｅｓｓａｇｅ Ｓｅｒｖｉｃｅ）プログラム、カレンダー、地図、ブラウザなどのように基本的に提供されるアプリケーションを含む。

この他にも、プラットフォーム１００は、アンドロイド実行環境における動作のためにアンドロイドランタイム１５０を含んでもよい。アンドロイドランタイム１５０は、ダルビック仮想マシーンとアンドロイド実行環境のためのコアライブラリを含んでもよい。プラットフォーム１００は、リナックス（登録商標）カーネル１１０、ライブラリ１２０、アプリケーションフレームワーク１３０、アプリケーション１４０のような順序で実行されてもよい。

図２は、本発明の一実施形態に係るオープンソースモバイルアプリケーションプラットフォーム２００を示す図である。

図２を参照すると、オープンソースモバイルアプリケーションプラットフォームは、リナックス（登録商標）カーネル２１０、ライブラリ２２０、アプリケーションフレームワーク２３０、アプリケーション２４０、モデム１及びモデム２を含んでもよい。一実施形態に係る無線端末でネットワーク攻撃を感知する方法は、リナックス（登録商標）カーネル２１０内に位置したパケットドライバ（Ｐａｃｋｅｔ Ｄｒｉｖｅｒ）２５０によって実行されてもよい。しかし、このようなパケットドライバ２５０の位置はこれに限定されることはなく、リナックス（登録商標）カーネル２１０以外にもライブラリ２２０、アプリケーションフレームワーク２３０、およびアプリケーション２４０など、必要に応じて多様な場所に位置してもよい。

図３は、本発明の一実施形態に係る無線端末でネットワーク攻撃を感知する方法を示したフローチャートである。図３は、図１の特徴を参照して説明されるが、実施形態はこれに限定されるわけではない。

図３を参照すると、無線端末でネットワーク攻撃を感知する装置（以下、「検出装置」）は、ソケットデータパケットの種類を示す複数の制御ビットによって決定される少なくとも１つの攻撃パターンをパターンデータベース（Ｐａｔｔｅｒｎ ＤＢ）（以下、ネットワーク攻撃アクセスパターンデータベース（ｎｅｔｗｏｒｋ ａｔｔａｃｋ ａｃｃｅｓｓ ＤＢ））に格納する（３０１）。少なくとも１つの攻撃パターンは、無線端末が複数の制御ビットを利用して直接決定あるいは確認されてもよく、中央管理サーバなどから受信されたものであってもよい。複数の制御ビットについては、図４を参照しながら後述する。

検出装置は、無線通信インターフェースを介して接続しようとする対象の少なくとも１つのソケットデータパケットを受信する（３０３）。

検出装置は、少なくとも１つのソケットデータパケットに含まれた複数の制御ビットを利用してソケット接続ヒストリー（Ｓｏｃｋｅｔ Ａｃｃｅｓｓ Ｈｉｓｔｏｒｙ）を生成する（３０５）。検出装置は、少なくとも１つのソケットデータパケットのデスティネーション（ｄｅｓｔｉｎａｔｉｏｎ）のアドレスおよびポートに基づいて受信された少なくとも１つのソケットデータパケットを識別し、識別された少なくとも１つのソケットデータパケットを利用してソケットデータパケットの種類を示す複数の制御ビットを抽出してソケット接続ヒストリーを生成してもよい。

検出装置がソケット接続ヒストリーを生成する方法は、次のとおりである。

検出装置は、後述する図６のように、少なくとも１つのデスティネーションそれぞれ（より詳しくは、デスティネーションそれぞれのアドレスおよびポート）に基づいて識別された少なくとも１つのソケットデータパケットに含まれた複数の制御ビットを分離してもよい。その後、検出装置は、分離した複数の制御ビットの時間順序による履歴に基づいてソケット接続ヒストリーを生成してもよい。

検出装置は、パターンデータベースおよびソケット接続ヒストリーを利用してネットワーク攻撃が存在するか否かを判断する。より具体的に、検出装置は、少なくとも１つのリファレンスサーチングウィンドウ（ｒｅｆｅｒｅｎｃｅ ｓｅａｒｃｈｉｎｇ ｗｉｎｄｏｗ）を利用してソケット接続ヒストリーのリファレンス領域（ｒｅｆｅｒｅｎｃｅ ａｒｅａ）をスキャンしてもよい（３０７）。検出装置は１つ以上のサーチングウィンドウを利用してもよい。このとき、検出装置は、少なくとも１つのリファレンスサーチングウィンドウのサイズおよび移動方向を調節し、サイズおよび移動方向が調節された少なくとも１つのリファレンスサーチングウィンドウに基づいてソケット接続ヒストリーのリファレンス領域をスキャンしてもよい。

すなわち、検出装置は、サーチングウィンドウのサイズを「４」から「６」に調節して制御ビットのより広い領域に該当するソケット接続ヒストリーをスキャンしてもよく、サーチングウィンドウを現在の位置からソケット接続ヒストリーにおける制御ビットの左側または右側に移動させてソケット接続ヒストリーの互いに異なる領域をスキャンしてもよい。また、検出装置は、２つのサーチングウィンドウを使用してソケット接続ヒストリーのリファレンス領域をスキャンしてもよい。例えば、検出装置は、２つのサーチングウィンドウをリファレンス領域からリファレンス領域の外側に一定位置だけ移動させた領域をスキャンしてもよく、リファレンス領域の外側からリファレンス領域の内側に一定位置だけ移動させた領域をスキャンしてもよい。

この後、検出装置は、ソケット接続ヒストリーのスキャンされたリファレンス領域に対応する制御ビットのパターンに関する情報をパターンデータベースに格納された少なくとも１つの攻撃パターンと比較してもよい（３０９）。このとき、ソケット接続ヒストリーのスキャンされたリファレンス領域に対応する制御ビットのパターンに関する情報がパターンデータベースに格納された少なくとも１つの攻撃パターンと一致すれば、検出装置はネットワーク攻撃が存在すると判断してもよい（３１１）。例えば、正常な制御ビットのパターンがＰＳＨ（ｐｕｓｈ）、ＡＣＫ（ａｃｋｎｏｗｌｅｄｇｅ）、ＰＳＨ、ＡＣＫ、ＰＳＨのようなパターンであり、パターンデータベースに格納された少なくとも１つの攻撃パターンがＰＳＨ、ＰＳＨ、ＰＳＨ、ＡＣＫであるとする。このとき、ソケット接続ヒストリーに含まれた制御ビットのパターンがＰＳＨ、ＰＳＨ、ＰＳＨ、ＡＣＫのようなパターンを有すれば、検出装置はネットワーク攻撃が存在すると判断してもよい。制御ビットのパターンについては、図４を参照して詳しく後述する。

ソケット接続ヒストリーに含まれた制御ビットのパターンに関する情報がパターンデータベースに格納された少なくとも１つの攻撃パターンと一致しなければ、検出装置はネットワーク攻撃が存在しないと判断して、検出装置は該当制御ビットのパターンに関する情報をソケット接続ヒストリーから消去（３１５）した後、動作を終了してもよい。

検出装置は、３１１において、ソケット接続ヒストリーに含まれた制御ビットのパターンに関する情報がパターンデータベースに格納された攻撃パターンと一致する場合にネットワーク攻撃が存在していると判断して、ネットワークアダプタに少なくとも１つのデスティネーションアドレスへのソケットデータパケットの送信を遮断することを要請してもよい（３１３）。このとき、検出装置は、少なくとも１つのデスティネーションアドレスへのソケットデータパケットの送信を要請したアプリケーションのプロセスＩＤを特定し、ネットワークアダプタに該当アプリケーションのプロセスＩＤを含む情報を送信してもよい。ここで、アプリケーションのプロセスＩＤは、プロセッサなどによってアプリケーションが駆動される場合に該当アプリケーションに割り当てられるＩＤを意味する。

この他にも、検出装置は、アプリケーションに関する情報およびソケットデータパケットに対するネットワーク攻撃に関連する情報を収集し、収集された情報を端末のユーザおよび管理サーバに送信することによってネットワーク攻撃に対する集中的な管理を可能にしてもよい。

図４は、本発明の一実施形態に係るソケットデータパケットの構造を示す図である。ソケットデータパケットは、無線端末でネットワーク攻撃を感知する方法において、送受信に利用される。

図４を参照すると、ソケットデータパケット４００は、ＩＰヘッダ（ＩＰ Ｈｅａｄｅｒ）フィールド４１０およびＩＰデータ（ＩＰ Ｄａｔａ）フィールド４５０を含む。ＩＰヘッダフィールド４１０は、プロトコル（Ｐｒｏｔｏｃｏｌ）４１１、ソースアドレス（Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ）４１３、およびデスティネーションアドレス（Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）４１５を含む。

プロトコル４１１は、ＩＰソケット（ＩＰ ｓｏｃｋｅｔ）に対する上位プロトコルを表示する。例えば、プロトコル４１１は、ＴＣＰ、ＵＤＰなどのような上位プロトコルを表示してもよい。

ソースアドレス４１３は、ネットワーク網から無線端末に付与された無線端末のＩＰアドレス（ＩＰ Ａｄｄｒｅｓｓ）である。

デスティネーションアドレス４１５は、アプリケーションのネットワークデータが実際に送信されることを所望するＩＰアドレス、すなわち、ターゲットＩＰアドレス（Ｔａｒｇｅｔ ＩＰ Ａｄｄｒｅｓｓ）である。

ＩＰデータフィールド４５０は、ＴＣＰヘッダ４３０およびＴＣＰデータ４４０を含む。ＩＰデータフィールド４５０は、ＴＣＰに関連することが述べられたが、実施の形態はこれに限定されず、例えば、ヘッダ４３０及びデータ４４０はＵＤＰヘッダ及びＵＤＰデータであってもよい。

ＴＣＰヘッダ４３０は、ソースポート（Ｓｏｕｒｃｅ Ｐｏｒｔ）４３１、デスティネーションポート（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）４３３、および複数の制御ビット４３５を含む。

ソースポート４３１は全体で１６ビット長を有し、該当ＴＣＰ／ＩＰソース（ｓｏｕｒｃｅ）側のＩＰポート番号を示す。例えば、Ｐｏｒｔ８０はＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を、Ｐｏｒｔ２１はＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を示してもよい。ソースポート４３１は１６ビット長を有すると述べたが、これに限定されず、いかなるビットであってもよい。

デスティネーションポート４３３は、該当ＴＣＰ／ＩＰデスティネーション（Ｄｅｓｔｉｎａｔｉｏｎ）側のＩＰポート番号である。

複数の制御ビット４３５は、以下のビットを含む。しかしながら、複数の制御ビット４３５は、以下に挙げるビットに限定されない。ＴＣＰは、これらのビットをパケットの目標及びコンテンツを明らかにするために使用してもよい。

ＵＲＧ（Ｕｒｇｅｎｔ）ビットは、緊急ポインタ優先パケット（Ｕｒｇｅｎｔ Ｐｏｉｎｔｅｒ Ｐｒｉｏｒｉｔｙ Ｐａｃｋｅｔ）を示す。すなわち、ＵＲＧビットが「１」に設定されれば、緊急ポインタ優先パケットにおける項目（ｉｔｅｍ）又はデータが既存のバイトストリーム、すなわち、データ交換あるいはアプリケーションプロセスの制御のために送信されるメッセージあるいはデータであってもよい。

ＡＣＫ（Ａｃｋｎｏｗｌｅｄｇｅ）ビットは、ＡＣＫ番号値を示し、「１」に設定されれば、確認応答のための番号項目にＡＣＫ番号値が入力されていることを示す。

ＰＳＨ（Ｐｕｓｈ）ビットは、ＴＣＰに受信されたデータを即時に上位階層のプロセッサに伝達しなければならないときに利用される。

ＲＳＴ（Ｒｅｓｅｔ）ビットは、ＴＣＰ接続を特定エラーあるいはユーザの命令によって再設定するために使用される。すなわち、ＲＳＴビットは、セッション（Ｓｅｓｓｉｏｎ）成立後の非正常動作による強制終了をしなければならないときに使用される。

ＳＹＮ（Ｓｙｎｃｈｒｏｎｉｚｅ）ビットは、デスティネーションホスト（Ｄｅｓｔｉｎａｔｉｏｎ Ｈｏｓｔ）側にパケット送信作業接続を要請するために利用される。すなわち、ＳＹＮビットが「１」に設定されれば、ＴＣＰ接続のための要請がなされたと理解される。

ＦＩＮ（Ｆｉｎｉｓｈ）ビットは、接続の終了のための要請を示す。すなわち、ＦＩＮビットは、デスティネーションホスト側にパケット送信作業の終結を通知するために利用される。

図５は、本発明の一実施形態に係る無線端末でネットワーク攻撃を感知する方法が実行されるパケットドライバの構造を示す図である。

図５を参照すると、パケットドライバは、モニタリング部５１０、検出部５２０、遮断部５３０、情報収集部５４０、および情報送信部５５０を含んでもよい。

５１０は、上位アプリケーション（Ａｐｐｌｉｃａｔｉｏｎ）から要請した、所望する接続対象のサーバ（Ｓｅｒｖｅｒ）あるいはウェブサイト、ＵＲＬアドレスに対応するターゲット（Ｔａｒｇｅｔ）ＩＰに対する送受信ソケットデータをモニタリングする。このとき、モニタリングされたソケットデータの接続フローと関連する情報（接続フロー情報ともいう）は、ターゲットＩＰ別に格納されてもよい。

検出部５２０は、ターゲットＩＰ別にモニタリング部５１０に格納されたソケットデータの接続フロー情報に準じてネットワーク攻撃が発生したか否かを確認する。

検出部５２０は、ネットワーク攻撃が発生したことが確認されれば、これを遮断部５３０に知らせ、ネットワーク攻撃が発生したソケットデータの送信を遮断するように要請する。検出部５２０は、ネットワーク攻撃が発生していないと確認されれば、現時点までのターゲットＩＰ別に分類した情報を整理し、選択されたネットワークアダプタ（Ｎｅｔｗｏｒｋ Ａｄａｐｔｅｒ）を介して通常のソケットデータパケットの処理と同じ過程によってソケットデータを処理する。

遮断部５３０は、検出部５２０によってネットワーク攻撃があると確認されたターゲットＩＰのソケットデータパケットのネットワークアダプタ側へのソケットデータの送信動作をブロックする。ここで、遮断部５３０は、該当ソケットデータパケットを要請したアプリケーションに関する情報を情報収集部５４０に伝達してもよい。

情報収集部５４０は、遮断部５３０から受信したネットワーク攻撃タイプまたは攻撃パターンについての情報を収集および整理する。

このとき、情報収集部５４０は、ソケットデータパケットに基づいてネットワーク攻撃に関する情報を収集し、モニタリング部５１０に保管されたデータおよびアプリケーション登録情報を介し、ソケットデータパケットに対するネットワーク攻撃を要請するアプリケーションに関連する情報を収集してもよい。ネットワークに関連する情報は、目標であるＩＰ、ネットワーク攻撃が試みられた時点、ソケットデータパケットの送信が遮断された時点を含んでもよい。アプリケーションに関連する情報は、該当アプリケーションの名前、インストールされたアプリケーションのバージョンなどを含んでもよい。

情報送信部５５０は、別途のソケットデータパケットを利用して収集された情報を指定された中央管理サーバに送信してもよい。情報送信部５５０は、ネットワーク攻撃の有無を通報してもよい。収集された情報は、ユーザにネットワーク攻撃が通知されるように、無線端末の画面に表示されてもよい。

パケットドライバはアプリケーションソケットデータ送信／受信部と、ネットワークアダプタの状態及びネットワークアダプタの送信／受信ソケットデータを確認するためのプロセッシング部を含んでもよい。アプリケーションソケットデータ送信／受信部は、アプリケーションソケットデータを送受信してもよい。プロセッシング部は、ネットワークアダプタの状態を確認してもよく、ネットワークアダプタの送信及び受信ソケットデータを確認してもよい。

図６は、図５のモニタリング部の動作を説明するための図である。図６は、図５に示したモニタリング部５１０及び図２のパケットドライバを参照して説明されるが、本発明の実施形態はこれに限定されない。

図６を参照すると、モニタリング部５１０は、図２のパケットドライバ２５０によって送受信されるソケットデータパケットを各ターゲットＩＰ別にモニタリングする。ここで、モニタリング部５１０は、ＩＰヘッダに含まれたデスティネーションアドレスとデスティネーションポートに基づいて送受信ソケットデータパケットのＴＣＰ制御ビットを各ターゲットＩＰ別に分離する。

その後、モニタリング部５１０は、分離された複数の制御ビットの時間順序による履歴情報を別途のファイル形態で格納してもよい。ここで、複数の制御ビットの時間順序による履歴情報は、デスティネーションアドレス及びデスティネーションポート別に区分して格納されてもよく、「ソケット接続ヒストリー（Ｓｏｃｋｅｔ Ａｃｃｅｓｓ Ｈｉｓｔｏｒｙ）」と呼ばれてもよい。

図７は、本発明の一実施形態によるネットワーク攻撃を感知する方法を説明するための図である。図７は図５の特徴を参照して説明されるが、実施の形態はこれに限定されない。

図７を参照すると、検出部５２０は、モニタリング部５１０によって格納されたソケット接続ヒストリー（Ｓｏｃｋｅｔ Ａｃｃｅｓｓ Ｈｉｓｔｏｒｙ）をパターンデータベースと比較してネットワークが攻撃されているのか否かを確認または判断してもよい（７１０）。

このとき、検出部５２０は、少なくとも１つのリファレンスサーチングウィンドウ（ｒｅｆｅｒｅｎｃｅ ｓｅａｒｃｈｉｎｇ ｗｉｎｄｏｗ）を利用してソケット接続ヒストリーのリファレンス領域をスキャンしてもよい。また、検出部５２０は、ソケット接続ヒストリーのスキャンされたリファレンス領域に対応する制御ビットのパターンに関する情報をパターンデータベースに格納された攻撃パターンと比較することによってネットワークが攻撃されているか否かを判断してもよい。

例えば、正常な制御ビットのパターンがＰＳＨ、ＡＣＫ、ＰＳＨ、ＡＣＫ、ＰＳＨのようなパターンであり、パターンデータベースに格納された少なくとも１つの攻撃パターンがＰＳＨ、ＰＳＨ、ＰＳＨ、ＡＣＫであるとする。このとき、ソケット接続ヒストリーに含まれた制御ビットのパターンがＰＳＨ、ＰＳＨ、ＰＳＨ、ＡＣＫのようなパターンを有すれば、検出部５２０はネットワーク攻撃が存在すると判断してもよい。

ここで、「サーチングウィンドウ（ｓｅａｒｃｈｉｎｇ ｗｉｎｄｏｗ）」とは、一定の時間間隔または制御ビットの個数を意味してもよく、予め格納された攻撃パターンと比較される一定の領域（ｒｅｆｅｒｎｃｅ ａｒｅａ）の大きさに対応してもよい。

検出部５２０は、ソケット接続ヒストリーのスキャンされた領域に対する検出結果に基づいて、予め格納された攻撃パターンを含まない領域に関連するデータをソケット接続ヒストリーから消去してもよい（７２０）。

ソケット接続ヒストリーのスキャンされた領域において該当パターンデータベースと一致するパターンが観察されると、遮断部５３０は、該当デスティネーションアドレスへのソケットデータパケットに対して検出部５２０にネットワークアダプタ側へのデータ送信行為を停止することを要請し、実際にデスティネーションアドレスに該当ソケットデータパケットが伝達されないようにする（７３０）。

遮断部５３０は、ネットワーク攻撃に関する情報を情報収集部５４０に伝達してもよい（７４０）。ここで、ネットワーク攻撃に関する情報は、例えば、ネットワーク攻撃タイプ、あるいは攻撃パターンやネットワーク攻撃が試みられた時間などのような情報であってもよい。

また、遮断部５３０は、該当デスティネーションアドレスへのソケットデータパケットの送信サービスを要請したアプリケーションのプロセスＩＤを確保して情報収集部５４０に伝達してもよい（７５０）。

情報収集部５４０は、ネットワーク攻撃に関する情報を収集および整理してもよい。情報収集部５４０は、例えば、ＡｃｔｉｖｉｔｙＭａｎａｇｅｒ．ＲｕｎｎｉｎｇＡｐｐＰｒｏｃｅｓｓＩｎｆｏなどのようなアンドロイド関数によって集められたアプリケーションに関する情報を取得してもよい。ここで、アプリケーションに関する情報には、アプリケーションのバージョン情報や最終アップデート時間などが含まれてもよい。

ここで、情報収集部５４０は、遮断部５３０から受信したアプリケーションのプロセスＩＤを利用して上述した情報を収集してもよい。

情報収集部５４０は、遮断部５３０から受信したネットワーク攻撃に関連する情報およびアプリケーションに関する情報を収集して格納してもよい。アプリケーションに関する情報は、該当アプリケーションの最終的な情報であってもよい。ネットワーク攻撃に関する情報は、ネットワーク攻撃に関連する最終的な情報であってもよい。

このとき、集められた情報を、ネットワーク攻撃防止情報（Ｎｅｔｗｏｒｋ Ａｔｔａｃｋ Ｐｒｅｖｅｎｔｉｎｇ Ｉｎｆｏｒｍａｔｉｏｎ）と呼んでもよい。

情報収集部５４０は、ネットワーク攻撃防止情報を情報送信部５５０に伝達してもよい。

情報送信部５５０は、ネットワーク攻撃防止情報を、例えば、法的機関やその他のエンティティ、あるいは別途のネットワーク攻撃防止対策中央管理サーバなどにソケットデータパケットの形態で送信してもよい。情報送信部５５０は、ユーザがネットワーク攻撃防止情報を閲覧することができるように、ユーザ端末の画面などを介してネットワーク攻撃防止情報を表示してもよい。

図８は、本発明の一実施形態に係る無線端末でネットワーク攻撃を感知する装置のブロック図である。図８を参照すると、装置８００は、パターンデータベース８１０、ネットワークモジュール８３０、生成部８５０、およびプロセッサ８７０を含んでもよい。

パターンデータベース８１０は、ソケットデータパケットの種類を示す複数の制御ビットによって決定される少なくとも１つの攻撃パターンを含む。このとき、少なくとも１つの攻撃パターンは、無線端末が複数の制御ビットを利用して直接決定あるいは把握されてもよく、中央管理サーバなどから受信されたものであってもよい。

ネットワークモジュール８３０は、無線通信インターフェースを介して少なくとも１つのソケットデータパケットを受信する。

生成部８５０は、ネットワークモジュール８３０で受信された少なくとも１つのソケットデータパケットを識別し、識別されたソケットデータパケットを利用してそのソケットデータパケットの種類を示す複数の制御ビットを抽出してソケット接続ヒストリーを生成する。

複数の制御ビットは、データ交換あるいはアプリケーションプロセスの制御のために送信されるデータであることを示すＵＲＧビット、確認応答のためのＡＣＫ番号値を示すＡＣＫビット、受信されるデータを即時に上位階層のプロセスに伝達することを示すＰＳＨビット、接続を特定エラーあるいはユーザの命令によって再設定するために使用するＲＳＴビット、接続要請を示すＳＹＮビット、接続終了を要請するＦＩＮビットのうちの少なくとも１つを含んでもよい。

生成部８５０は、ソケットデータパケットのアドレス及び少なくとも１つのデスティネーションそれぞれのポートに基づいて前記少なくとも１つのソケットデータパケットを識別してもよい。

生成部８５０は、分離手段８５３および生成手段８５６を含んでもよい。

分離手段８５３は、少なくとも１つのデスティネーションそれぞれに基づいて識別された少なくとも１つのソケットデータパケットに含まれた複数の制御ビットを分離してもよい。生成手段８５６は、分離された複数の制御ビットの時間順序による履歴に基づいてソケット接続ヒストリーを生成してもよい。

プロセッサ８７０は、パターンデータベース８１０および少なくとも１つのソケットデータパケットに含まれた複数の制御ビットのパターンに関する情報を利用してネットワーク攻撃が存在するか否かを判断する。

プロセッサ８７０は、スキャン部８７３、比較部８７６、および判断部８７９を含んでもよい。

スキャン部８７３は、少なくとも１つのリファレンスサーチングウィンドウ（ｒｅｆｅｒｅｎｃｅ ｓｅａｒｃｈｉｎｇ ｗｉｎｄｏｗ）を利用してソケット接続ヒストリーのリファレンス領域をスキャンしてもよい。

スキャン部８７３は、少なくとも１つのリファレンスサーチングウィンドウのサイズおよび移動方向を調節し、調節された少なくとも１つのリファレンスサーチングウィンドウの調節されたサイズおよび調節された移動方向に基づいてソケット接続ヒストリーのリファレンス領域をスキャンしてもよい。

比較部８７６は、ソケット接続ヒストリーのスキャンされたリファレンス領域に対応する制御ビットのパターンに関する情報をパターンデータベースに格納された少なくとも１つの攻撃パターンと比較してもよい。

判断部８７９は、比較部８７６の比較結果に基づいてネットワーク攻撃が存在するか否かを判断してもよい。

プロセッサ８７０は、判断部８７９による判断結果に基づき、ネットワークアダプタに少なくとも１つのデスティネーションのアドレスへのソケットデータパケットの送信を遮断することを要請してもよい。

図９は、本発明の一実施形態に係る汎用的な装置でネットワーク攻撃を感知する方法を示したフローチャートである。図９を参照すると、一実施形態に係る汎用的な装置（以下、「汎用装置」）は、ソケットデータパケットの種類を示す複数の制御ビットを用いて決定される少なくとも１つの攻撃パターンをパターンデータベースに格納する（９０１）。汎用装置は、ネットワークに接続できるいかなる装置であってもよく、携帯電話、スマートフォン、タブレット型コンピュータ、ノートパソコン、パソコン、ゲーム機などであってもよい。汎用装置は、１つ以上の攻撃パターンを格納してもよい。

少なくとも１つの攻撃パターンは、汎用装置が複数の制御ビットを利用して直接決定あるいは把握されてもよく、中央管理サーバなどから受信されたものであってもよい。

汎用装置は、アプリケーションが接続を要請する対象から少なくとも１つの対象データパケットを受信する（９０３）。

汎用装置は、対象データパケットのディスティネーションアドレスおよび少なくとも１つのデスティネーションそれぞれのポートに基づいて少なくとも１つの対象データパケットを識別する（９０５）。

汎用装置は、複数の制御ビットを利用して接続ヒストリーを生成する（９０７）。このとき、汎用装置は、ディスティネーションアドレスおよび少なくとも１つのデスティネーションそれぞれのポートに基づいて少なくとも１つの対象データパケットに含まれた複数の制御ビットを分離し、分離された複数の制御ビットの時間順序による履歴に基づいてソケット接続ヒストリーを生成してもよい。

汎用装置は、パターンデータベースおよび接続ヒストリーを利用してネットワーク攻撃が存在するか否かを判断する（９０９）。

より具体的には、汎用装置は、少なくとも１つのリファレンスサーチングウィンドウを利用して接続ヒストリーのリファレンス領域をスキャンし、接続ヒストリーのスキャンしたリファレンス領域に対応する制御ビットのパターンに関する情報をパターンデータベースに格納された少なくとも１つの攻撃パターンと比較することにより、ネットワーク攻撃が存在するか否かを判断してもよい。

汎用装置が接続ヒストリーのリファレンス領域をスキャンする方法は、次のとおりである。

汎用装置は、少なくとも１つのリファレンスサーチングウィンドウのサイズおよび移動方向を調節し、調節された少なくとも１つのサーチングウィンドウの調節されたサイズおよび調節された移動方向に基づいて接続ヒストリーのリファレンス領域をスキャンしてもよい。

また、汎用装置は、接続ヒストリーのスキャンされたリファレンス領域に対応する制御ビットのパターンに関する情報をパターンデータベースに格納された少なくとも１つの攻撃パターンと比較し、その比較結果に基づいてネットワーク攻撃が存在するか否かを判断してもよい。ここで、パターンデータベースは、図７に示すように、現在までに確認されたネットワーク攻撃のＴＣＰ／ＩＰ接続試行行為に関する制御ビットの情報を形態別に整理した情報（例えば、Ｐａｔｔｅｒｎい、Ｐａｔｔｅｒｎろ…）を格納してもよい。

サイバー捜査隊（ｃｙｂｅｒ ｔｅｒｒｏｒ ｒｅｓｐｏｎｓｅ ｃｅｎｔｅｒ）やネットワーク関連サーバなどは従来のネットワーク攻撃で使用されたパターンを汎用装置に提供し、汎用装置は該当パターンをネットワーク攻撃パターンデータベースに格納することにより、既存のネットワーク攻撃で使用されたパターンに対する防御を可能にする。

上述した方法は多様な、コンピュータ手段によって実行されるプログラム命令形態で実現され、コンピュータで読み取り可能な記録媒体に記録されてもよい。前記コンピュータで読み取り可能な記録媒体は、プログラム命令、データファイル、データ構造などを単独または組み合わせて含んでもよい。前記媒体に記録されるプログラム命令は、本発明のために特別に設計されて構成されたものや、コンピュータソフトウェア当業者に公示されて使用可能なものであってもよい。コンピュータ読み取り可能な記録媒体の例としては、ハードディスク、フロッピー（登録商標）ディスク、および磁気テープのような磁気媒体（ｍａｇｎｅｔｉｃ ｍｅｄｉａ）、ＣＤ−ＲＯＭ、ＤＶＤのような光気録媒体（ｏｐｔｉｃａｌ ｍｅｄｉａ）、フロプティカルディスク（ｆｌｏｐｔｉｃａｌ ｄｉｓｋ）のような磁気−光媒体（ｍａｇｎｅｔｏ−ｏｐｔｉｃａｌ ｍｅｄｉａ）、およびＲＯＭ、ＲＡＭ、フラッシュメモリなどのようなプログラム命令を格納して実行するように特別に構成されたハードウェア装置が含まれる。プログラム命令の例としては、コンパイラによって生成されるような機械語コードだけではなく、インタープリタなどを使用してコンピュータによって実行される高級言語コードを含む。上述したハードウェア装置は、本発明の動作を実行するために１つ以上のソフトウェアモジュールとして作動するように構成されてもよく、その逆も同じであってもよい。

上述したように、本発明は限定された実施形態と図面によって説明されたが、本発明が上述した実施形態に限定されることはなく、本発明が属する分野において通常の知識を有する者であれば、このような記載から多様な修正および変形が可能である。

したがって、本発明の範囲は上述した実施形態に限定されて定められてはならず、添付の特許請求の範囲だけでなく、この特許請求の範囲と均等なものによって定められなければならない。

５１０：モニタリング部
５２０：検出部
５３０：遮断部
５４０：情報収集部
５５０：情報送信部

Claims (20)

1. ネットワーク攻撃パターンを格納するパターンデータベースと、
   受信されたソケットデータパケットのソケット接続ヒストリーを生成する生成部と、
   前記ソケット接続ヒストリーと前記ネットワーク攻撃パターンの少なくとも１つとが一致するかを判定するプロセッサと、
   を備えるネットワーク攻撃を感知する装置。
2. 前記生成部は、
   ディスティネーションアドレス及び制御ビットのディスティネーションポートに基づいてソケットデータパケットの前記制御ビットを分離する分離手段と、
   分離された前記制御ビットに基づいて前記ソケット接続ヒストリーを生成する生成手段と、
   を含む請求項１に記載の装置。
3. 前記プロセッサは、リファレンスサーチングウィンドウを用いて前記ソケット接続ヒストリーをスキャンし、スキャンされた前記ソケット接続ヒストリーと前記ネットワーク攻撃パターンとを比較して前記ソケット接続ヒストリーが前記ネットワーク攻撃パターンに一致するかを判定することを特徴とする請求項１に記載の装置。
4. ソケットデータの接続フロー情報を格納するモニタリング部と、
   前記接続フロー情報に基づいてネットワークに攻撃が存在しているかを確認する検出部と、
   ネットワークに攻撃が存在していると確認された場合に、前記ソケットデータの送信を遮断する遮断部と、
   ネットワークに攻撃が存在していると確認された場合に、前記ソケットデータに関する情報を送信する情報送信部と、
   を備えるネットワーク攻撃を感知するパケットドライバ。
5. ネットワークに攻撃が存在していると確認された場合に、前記ソケットデータに関する情報を収集する情報収集部をさらに備える請求項４に記載のパケットドライバ。
6. 前記検出部は、ソケット接続ヒストリーを生成し、前記ソケット接続ヒストリーがネットワーク攻撃パターンに一致するかどうかを確認することにより、接続フロー情報に基づいて、ネットワーク攻撃が存在しているかを確認することを特徴とする請求項４に記載のパケットドライバ。
7. 前記検出部は、サーチングウィンドウに基づいて前記ソケット接続ヒストリーの一部と前記ネットワーク攻撃パターンとを比較することにより、前記ソケット接続ヒストリーが前記ネットワーク攻撃パターンに一致するかを確認することを特徴とする請求項６に記載のパケットドライバ。
8. 前記モニタリング部は、制御ビットのディスティネーションアドレス及びディスティネーションポートに基づいて前記ソケットデータの前記制御ビットを分類することを特徴とする請求項４に記載のパケットドライバ。
9. 前記検出部は、ネットワーク攻撃が存在しないと確認された場合、前記ソケット接続ヒストリーを消去することを特徴とする請求項６に記載のパケットドライバ。
10. ネットワーク攻撃の攻撃パターン制御ビットを受信し、
    ソケットデータパケットの制御ビットが前記攻撃パターン制御ビットに一致するかどうかを確認し、
    前記ソケットデータパケットの制御ビットが前記攻撃パターン制御ビットに一致している場合、前記ソケットデータパケットの送信を遮断すること、
    を含む無線端末でネットワーク攻撃を感知する方法。
11. 前記ソケットデータパケットの前記制御ビットからソケット接続ヒストリーを生成し、
    リファレンスサーチングウィンドウを用いて前記ソケット接続ヒストリーをスキャンすること、
    をさらに含み、
    前記ソケットデータパケットの前記制御ビットが前記攻撃パターン制御ビットに一致する場合、前記確認することは、スキャンされた前記ソケット接続ヒストリーが前記攻撃パターン制御ビットに一致するかどうかを確認することを含むころを特徴とする請求項１０に記載の方法。
12. 前記ソケット接続ヒストリーを生成することは、
    ディスティネーションアドレス及びディスティネーションポートに基づいて前記制御ビットを分類すること、を含むことを特徴とする請求項１１に記載の方法。
13. 前記制御ビットは、ＵＲＧビット、ＡＣＫビット、ＰＳＨビット、ＲＳＴビット及びＳＹＮビットのうち少なくとも１つを含むことを特徴とする請求項１０に記載の方法。
14. 前記ソケットデータパケットの前記制御ビットが前記攻撃パターン制御ビットに一致しない場合、前記ソケット接続ヒストリーを消去すること、
    をさらに含む請求項１１に記載の方法。
15. 前記ソケットデータパケットの前記制御ビットが前記攻撃パターン制御ビットに一致する場合、ネットワーク攻撃の情報を伝達すること、
    をさらに含む請求項１０に記載の方法。
16. 前記ソケットデータパケットの前記制御ビットが前記攻撃パターン制御ビットに一致する場合、前記ソケットデータパケットを要請したアプリケーションに関連する情報を伝達すること、
    をさらにふくむ請求項１０に記載の方法。
17. サーバからネットワーク攻撃パターンを受信し、
    ソケットデータパケットを受信し、
    前記ソケットデータパケットのソケット接続ヒストリーを生成し、
    前記ソケット接続ヒストリーが前記ネットワーク攻撃パターンに一致するかどうかを確認し、
    前記ソケット接続ヒストリーが前記ネットワーク攻撃パターンに一致する場合、
    無線端末から前記ソケットデータパケットの送信を遮断し、
    前記ソケットデータパケットに関する情報を収集し、
    収集した前記ソケットデータパケットに関する情報をサーバに伝達すること、
    を含む無線端末でネットワーク攻撃を感知する方法。
18. リファレンスサーチングウィンドウを用いて前記ソケット接続ヒストリーをスキャンし、
    前記ソケット接続ヒストリーが前記ネットワーク攻撃パターンに一致する場合、前記確認することは、スキャンされた前記ソケット接続ヒストリーが前記ネットワーク攻撃パターンに一致するかどうかを確認することを含むことを特徴とする請求項１７に記載の方法。
19. 前記ソケット接続ヒストリーが前記ネットワーク攻撃パターンに一致しない場合、前記ソケット接続ヒストリーを消去すること、
    をさらに含む請求項１７に記載の方法。
20. ソケットデータパケットのタイプを示す複数の制御ビットを使用して決定される攻撃パターンに関する情報をパターンデータベースに格納し、
    少なくとも１つのソケットデータパケットを特定する無線通信インターフェースを介して接続される対象のソケットデータパケットを受信し、
    前記少なくとも１つのソケットデータパケットを用いて前記ソケットデータパケットのタイプを示す前記複数の制御ビットを抽出することによりソケット接続ヒストリーを生成し、
    前記攻撃パターンに関する情報と前記ソケット接続ヒストリーとに基づいて、ネットワークに攻撃が存在するか否かを判定すること、
    を含む無線端末でネットワーク攻撃を感知する方法。