JP2016127391A - ネットワーク監視システム及び方法 - Google Patents

Abstract

【課題】ＲＡＴ（Ｒｅｍｏｔｅ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ Ｔｏｏｌ）による攻撃を適切に検知するネットワーク監視システム及び方法を提供する。【解決手段】ネットワーク監視システムは第１監視装置と第２監視装置と情報処理装置とを有する。第１監視装置は、ネットワーク外の装置からネットワーク内の第１端末へのパケットと、第１端末からネットワーク内の第２端末へのパケットとを取得し、取得したパケットの内第１条件を満たす第１の複数のパケットの情報を情報処理装置に送信する。第２監視装置は、第１端末から第２端末へのパケットと、第２端末からネットワーク外の装置へのパケットとを取得し、取得したパケットの内第２条件を満たす第２の複数のパケットの情報を情報処理装置に送信する。情報処理装置は、第１の複数のパケットと第２の複数のパケットとに同じパケットが含まれるか否かに基づき、ネットワーク外からの攻撃が発生したか判断する。【選択図】図２

Description

本発明は、ネットワークの監視技術に関する。

図１に、特定の組織を標的として機密情報を窃取する標的型攻撃の一例を示す。図１の例では、組織内ネットワークの外部にある攻撃者端末が、指令となるパケットＡを組織内ネットワークにおける端末（この端末が踏み台である）に送信する。踏み台は、組織内ネットワークにおける他の端末（この端末が標的である）に、遠隔操作型のマルウエアであるＲＡＴ（Remote Administration Tool）のプログラム等を含むパケットＢを送信し、標的に実行させる。標的は、攻撃者端末との間で新たなコネクションを構築し、標的内の情報等を含むパケットＣを攻撃者端末に送信する。あるいは、標的が新たな踏み台として利用され、ＲＡＴへの感染が広がる。以下では、組織内ネットワークにおいてＲＡＴへの感染が広がることをＲＡＴ拡散と呼ぶ。

マルウエアを検知する技術として、シグネチャ方式が知られている。シグネチャ方式とは、マルウエア毎に通信データのパターンを定義し、ネットワークを流れる通信データとパターンとの比較によりマルウエアを検知する技術である。しかし、シグネチャ方式では、既にパターンが作成されているマルウエアしか検知することができず、独自に開発されたり、カスタマイズされたマルウエアを検知できない。ＲＡＴ拡散においては、独自に開発された巧妙なＲＡＴが使用されることがあるため、シグネチャ方式では攻撃を検知できない場合がある。

また、ＲＡＴ拡散に関係するパケットは通常のパケットに紛れて送信されるため、単一のパケットに基づきＲＡＴ拡散であるか否か判別するのは困難である。例えば図１の例においては、パケットＡ及びパケットＣは正常なウェブアクセスのパケットを偽装しているため、個別のパケットを調べただけではＲＡＴ拡散であるか否かがわからない。一方で、ＲＡＴ拡散には複数台の端末が関係するため、ＲＡＴ拡散に関係するパケットを単一の装置が漏れなく組織内ネットワークから収集するのが難しいという問題がある。

さらに、ＲＡＴ拡散に関係するパケットはネットワークにおいて転送されるパケットのごく一部であるため、単純にネットワーク内の全パケットを収集して検知するような方法を利用すると、処理負荷及び通信負荷が膨大になる。従来技術においては、以上のような問題についての検討が十分ではない。

特開２００８−１７６７５３号公報 国際公開第２００７／０８１０２３号

従って、本発明の目的は、１つの側面では、ＲＡＴによる攻撃を適切に検知するための技術を提供することである。

本発明に係るネットワーク監視システムは、第１監視装置と、第２監視装置と、情報処理装置とを有する。そして、上で述べた第１監視装置は、ネットワーク外の装置からネットワーク内の第１端末へのパケットと、第１端末からネットワーク内の第２端末へのパケットとを取得し、取得したパケットのうち第１の条件を満たす第１の複数のパケットの情報を情報処理装置に送信し、第２監視装置は、第１端末から第２端末へのパケットと、第２端末からネットワーク外の装置へのパケットとを取得し、取得したパケットのうち第２の条件を満たす第２の複数のパケットの情報を情報処理装置に送信し、情報処理装置は、第１の複数のパケットの情報及び第２の複数のパケットの情報を受信し、第１の複数のパケットと第２の複数のパケットとに同じパケットが含まれるか否かに基づき、ネットワーク外からの攻撃が発生したか判断する。

１つの側面では、ＲＡＴによる攻撃を適切に検知できるようになる。

図１は、標的型攻撃の一例を示す図である。 図２は、本実施の形態のシステム概要を示す図である。 図３は、第１の実施の形態における監視装置の機能ブロック図である。 図４は、サーバの機能ブロック図である。 図５は、本実施の形態の概要について説明するための図である。 図６は、第１の実施の形態における監視装置が実行する処理の処理フローを示す図である。 図７は、前半データについての基準を示す図である。 図８は、後半データについての基準を示す図である。 図９は、パケットデータ格納部に格納されるデータの一例を示す図である。 図１０は、完成した後半データの一例を示す図である。 図１１は、サーバが実行する処理の処理フローを示す図である。 図１２は、前半データ格納部に格納されるデータの一例を示す図である。 図１３は、第２の実施の形態における監視装置の機能ブロック図である。 図１４は、第２の実施の形態における監視装置が実行する処理の処理フローを示す図である。 図１５は、頻度格納部に格納されるデータの一例を示す図である。 図１６は、開始パケットの変更について説明するための図である。 図１７は、開始パケットの変更について説明するための図である。 図１８は、開始パケットの変更による処理負荷の軽減について説明するための図である。 図１９は、コンピュータの機能ブロック図である。

［実施の形態１］
図２に、本実施の形態のシステム概要を示す。例えばＬＡＮ（Local Area Network）である組織内ネットワークには、ユーザ端末５１と、ユーザ端末５２とが接続される。ユーザ端末５１には監視ポイントであるスイッチ１１が接続されるので、ユーザ端末５１が受信するパケット及びユーザ端末５１が送信するパケットはスイッチ１１によって監視される。同様に、ユーザ端末５２には監視ポイントであるスイッチ２１が接続されるので、ユーザ端末５２が受信するパケット及びユーザ端末５２が送信するパケットはスイッチ２１によって監視される。スイッチ１１及びスイッチ２１はスイッチ７０に接続される。スイッチ７０はユーザ端末９０に接続される。但し、スイッチ７０とユーザ端末９０との間のネットワークは、インターネット等のＷＡＮ（Wide Area Network）を含む場合がある。

なお、図１においてはユーザ端末９０が攻撃者端末であり、ユーザ端末５１が踏み台であり、ユーザ端末５２が標的であるが、このような例に限られるわけではない。例えば、ユーザ端末５１が標的であり且つユーザ端末５２が踏み台になる場合もある。また、図示しない他のユーザ端末が踏み台或いは標的になることもある。

監視装置１０はスイッチ１１が中継するパケットをミラーリングによってスイッチ１１から取得し、取得したパケットから、サーバ３０に転送すべきデータを生成する。そして、監視装置１０は、生成されたデータをサーバ３０を宛先として送信する。同様に、監視装置２０はスイッチ２１が中継するパケットをミラーリングによってスイッチ２１から取得し、取得したパケットから、サーバ３０に転送すべきデータを生成する。そして、監視装置２０は、生成されたデータをサーバ３０を宛先として送信する。スイッチ３１は、監視装置１０から受信したデータ及び監視装置２０から受信したデータをサーバ３０に中継する。

サーバ３０は、監視装置１０から受信したデータ及び監視装置２０から受信したデータに基づき、ＲＡＴ拡散を検知する処理を実行する。サーバ３０は、ＲＡＴ拡散を検知した場合、ファイル生成或いはメール送信等によって、組織内ネットワークの管理者にＲＡＴ拡散が検知されたことを通知する。

図３に、第１の実施の形態における監視装置１０の機能ブロック図を示す。監視装置１０は、受信部１０１と、第１解析部１０２と、第２解析部１０３と、抽出部１０４と、送信部１０５と、パケットデータ格納部１０６とを含む。

受信部１０１は、スイッチ１１が中継するパケットを取得し、取得したパケットに取得時刻の情報を付加して第１解析部１０２に出力する。第１解析部１０２は、受信部１０１から受け取ったパケットから抽出した特徴データに基づき処理を実行し、処理結果である特徴データを第２解析部１０３に出力する。第２解析部１０３は、第１解析部１０２から受け取った特徴データ及びパケットデータ格納部１０６に格納されたデータに基づき処理を実行し、処理結果を抽出部１０４に通知する。抽出部１０４は、第２解析部１０３から通知された処理結果及びパケットデータ格納部１０６に格納されたデータに基づき処理を実行し、サーバ３０に転送すべきデータを生成する。そして、抽出部１０４は、生成されたデータを送信部１０５に出力する。送信部１０５は、抽出部１０４から受け取ったデータをサーバ３０に送信する。

なお、監視装置２０の機能ブロック図は監視装置１０の機能ブロック図と同じであるので、説明を省略する。

図４に、サーバ３０の機能ブロック図を示す。サーバ３０は、受信部３０１と、第１判別部３０２と、比較部３０３と、第２判別部３０４と、通知部３０５と、前半データ格納部３０６とを含む。

受信部３０１は、監視装置１０及び２０からデータを受信し、第１判別部３０２に出力する。第１判別部３０２は、受信部３０１から受け取ったデータを前半データ格納部３０６に格納するか、又は、受信部３０１から受け取ったデータを比較部３０３に出力する。比較部３０３は、第１判別部３０２から受け取ったデータ及び前半データ格納部３０６に格納されたデータに基づき処理を実行し、処理結果を第２判別部３０４に通知する。第２判別部３０４は、比較部３０３から通知された処理結果に基づき、ＲＡＴ拡散を検知し、ＲＡＴ拡散が検知されたことを通知部３０５に通知する。通知部３０５は、第２判別部３０４からＲＡＴ拡散が検知されたことを通知されると、ファイル生成或いはメール送信等によって、組織内ネットワークの管理者にＲＡＴ拡散が検知されたことを通知する。

図５を用いて、本実施の形態の概要について説明する。本実施の形態においては、組織内ネットワークにおける監視装置１０、監視装置２０及びサーバ３０が連携して動作することでＲＡＴ拡散を検知する。例えば、ユーザ端末９０が攻撃者端末であり、ユーザ端末５１が踏み台であり、ユーザ端末５２が標的であるとする。この場合、監視装置１０は、ユーザ端末５１が受信するパケット及びユーザ端末５１が送信するパケットを監視できるので、図１に示したパケットＡ及びパケットＢが出現したことを検知できる。監視装置２０は、ユーザ端末５２が受信するパケット及びユーザ端末５２が送信するパケットを監視できるので、図１に示したパケットＢ及びパケットＣが出現したことを検知できる。このように、複数台の監視装置が連携することによってパケットＡ乃至Ｃが出現したことを検知できるようにし、単一の監視装置がＲＡＴ拡散に関係するパケットを組織内ネットワークから収集するのが難しいケースに対処できるようにする。

また、監視装置１０はパケットＡ及びＢの情報（以下では、前半データと呼ぶ）をサーバ３０に送信し、監視装置２０はパケットＢ及びＣの情報（以下では、後半データと呼ぶ）をサーバ３０に送信する。サーバ３０は、監視装置１０から受信した前半データに含まれるパケットＢの情報と、監視装置２０から受信した後半データに含まれるパケットＢの情報とが同じであるか否かに基づき、一連の攻撃パケットが出現したか判断する。従って、サーバ３０は組織内ネットワークにおける全パケットを処理せずに済み、監視装置１０及び２０から送られてきた前半データ及び後半データのみを処理すればよい。これにより、サーバ３０の処理負荷を削減することができるようになる。また、サーバ３０と監視装置１０及び２０との間の通信のトラフィックを抑制できる。

次に、図６乃至図１２を用いて、本実施の形態におけるシステムにおいて行われる処理について説明する。まず、図６乃至図１０を用いて、監視装置１０が実行する処理について説明する。なお、ここでは監視装置１０が実行する処理について説明するが、監視装置２０が実行する処理は監視装置１０が実行する処理と同様である。

まず、監視装置１０における受信部１０１は、スイッチ１１からミラーリングによってパケットを１つ取得し（図６：ステップＳ１）、第１解析部１０２に出力する。

第１解析部１０２は、受信部１０１からパケットを受け取り、特徴データをパケットから抽出し、特徴データに基づき、攻撃パケットである可能性が有るか判断する（ステップＳ３）。特徴データは、例えば、送信元ＩＰ（Internet Protocol）アドレス、宛先ＩＰアドレス、取得時刻、ＳＭＢ（Server Message Block）ヘッダにおける特定のフィールド値、ＤＣＥ/ＲＰＣ（Distributed Computing Environment / Remote Procedure Calls）ヘッダにおける特定のフィールド値、ＴＣＰ（Transmission Control Protocol）ポート番号、及びＴＣＰシーケンス番号等を含む。但し、ここで例示した全情報を含まなくてもよいし、その他の情報を含んでもよい。

ステップＳ３における判断は、例えば図７及び８に示す「攻撃性の判断基準」に従って実行される。図７に前半データについての判断基準を示し、図８に後半データについての判断基準を示す。図７及び８においては、パケットのタイプ（種別）を表す番号と、プロトコルと、パケットの役割と、攻撃性の判断基準と、関連性の判断基準とが示されている。タイプ１のパケットは攻撃者端末から踏み台へのパケットであり、タイプ２乃至４のパケットは踏み台から標的へのパケットであり、タイプ５のパケットは標的から攻撃者端末へのパケットである。

攻撃パケットである可能性が無い場合（ステップＳ３：Ｎｏルート）、第１解析部１０２はステップＳ１において取得したパケットを廃棄する。そしてステップＳ１の処理に戻る。一方、攻撃パケットである可能性が有る場合（ステップＳ３：Ｙｅｓルート）、第１解析部１０２は、ステップＳ１において取得したパケットの特徴データを第２解析部１０３に出力する。

第２解析部１０３は、第１解析部１０２から受け取った特徴データに基づき、ステップＳ１において取得したパケットに関連するパケットを、パケットデータ格納部１０６において検索する（ステップＳ５）。ステップＳ５における検索は、例えば図７及び８に示した「関連性の判断基準」に従って実行される。

図９に、パケットデータ格納部１０６に格納されるデータの一例を示す。図９の例では、攻撃者端末（例えばユーザ端末９０）のＩＰアドレスと、踏み台（例えばユーザ端末５１）のＩＰアドレスと、標的（例えばユーザ端末５２）のＩＰアドレスと、次のタイプを表す番号と、比較に使う情報（ここでは、タイプ４のパケットＴＣＰシーケンス番号）と、各タイプのパケットの取得時刻とが格納される。なお、パケットデータ格納部１０６に格納されたエントリのうち予め定められた時間以上変化しないエントリは削除される。

図６の説明に戻り、関連するパケットが有る場合（ステップＳ７：Ｙｅｓルート）、第２解析部１０３は、前半データ又は後半データが完成したか判断する（ステップＳ９）。前半データはタイプ１乃至４のパケットが揃えば完成であり、後半データはタイプ２乃至５のパケットが揃えば完成である。従って、ステップＳ１において取得したパケットがタイプ４のパケットであり且つタイプ１乃至４のパケットが揃った場合、前半データが完成する。また、ステップＳ１において取得したパケットがタイプ５のパケットであり且つタイプ２乃至５のパケットが揃った場合、後半データが完成する。

前半データ又は後半データが完成していない場合（ステップＳ９：Ｎｏルート）、第２解析部１０３は、特徴データを抽出部１０４に出力する。そして、抽出部１０４は、第２解析部１０３から受け取った特徴データをパケットデータ格納部１０６に格納する（ステップＳ１５）。そしてステップＳ１の処理に戻る。ここでは、既に存在するエントリに取得時刻及びＩＰアドレス等を追加する。そして、抽出部１０４は、次のタイプを表す番号を１インクリメントする。

前半データ又は後半データが完成した場合（ステップＳ９：Ｙｅｓルート）、第２解析部１０３は、特徴データを抽出部１０４に出力する。そして、抽出部１０４は、ステップＳ１において取得したパケットの特徴データ及びそのパケットに関連するパケットの特徴データを含む前半データ又は後半データを、送信部１０５に出力する。そして、抽出部１０４は、完成した前半データ又は後半データについてのエントリをパケットデータ格納部１０６から削除する。

図１０に、完成した後半データの一例を示す。図１０の例では、後半データは、攻撃者端末のＩＰアドレスと、踏み台のＩＰアドレスと、標的のＩＰアドレスと、比較に使う情報と、各タイプのパケットの取得時刻とを含む。なお、前半データも同様のフォーマットであるが、前半データの場合はタイプ１乃至４のパケットについての取得時刻が含まれる。

図６の説明に戻り、送信部１０５は、抽出部１０４から受け取った前半データ又は後半データをサーバ３０に送信する（ステップＳ１１）。そしてステップＳ１の処理に戻る。

一方、ステップＳ７において関連するパケットが無いと判断された場合（ステップＳ７：Ｎｏルート）、第２解析部１０３は、ステップＳ１において取得したパケットが前半の開始パケット又は後半の開始パケットであるか判断する（ステップＳ１３）。本実施の形態においては、前半の開始パケットはタイプ１のパケットであり、後半の開始パケットはタイプ２のパケットである。

取得したパケットが前半の開始パケット又は後半の開始パケットではない場合（ステップＳ１３：Ｎｏルート）、ステップＳ１の処理に戻る。一方、取得したパケットが前半の開始パケット又は後半の開始パケットである場合（ステップＳ１３：Ｙｅｓルート）、第２解析部１０３は、特徴データを抽出部１０４に出力する。そして、抽出部１０４は、ステップＳ１において取得したパケットについてのエントリをパケットデータ格納部１０６に新たに格納する（ステップＳ１５）。そしてステップＳ１の処理に戻る。

例えば前半の開始パケットである場合、攻撃者端末のＩＰアドレス、踏み台のＩＰアドレス、タイプ１のパケットの取得時刻を格納し、次のタイプを表す番号を「２」に設定する。また、例えば前半の開始パケットである場合、踏み台のＩＰアドレス、攻撃者端末のＩＰアドレス、タイプ２のパケットの取得時刻を格納し、次のタイプを表す番号を「３」に設定する。

以上のような処理を実行すれば、前半データ又は後半データが完成した場合にのみサーバ３０との間で通信が発生することになる。これにより、サーバ３０と監視装置１０及び２０との間におけるトラフィックを削減できるようになる。

次に、図１１及び図１２を用いて、サーバ３０が実行する処理について説明する。

まず、サーバ３０における受信部３０１は、監視装置１０又は２０から、前半データ又は後半データを受信し（図１１：ステップＳ２１）、第１判別部３０２に出力する。

第１判別部３０２は、ステップＳ２１において受信したデータが前半データであるか否か判断する（ステップＳ２３）。例えば、受信したデータにタイプ１のパケットの特徴データが含まれる場合、受信したデータは前半データである。また、受信したデータにタイプ５のパケットの特徴データが含まれていない場合、受信したデータは前半データである。

受信したデータが前半データである場合（ステップＳ２５：Ｙｅｓルート）、第１判別部３０２は、受信した前半データを前半データ格納部３０６に格納する（ステップＳ２７）。そしてステップＳ２１の処理に戻る。

図１２に、前半データ格納部３０６に格納されるデータの一例を示す。図１２の例では、攻撃者端末のＩＰアドレスと、踏み台のＩＰアドレスと、標的のＩＰアドレスと、比較に使う情報（ここでは、タイプ４のパケットのＴＣＰシーケンス番号）と、各タイプのパケットの取得時刻とが格納される。なお、前半データ格納部３０６に格納されたエントリのうち予め定められた時間以上変化しないエントリは削除される。

図１１の説明に戻り、ステップＳ２５において受信したデータが前半データではない（すなわち、後半データである）と判断された場合（ステップＳ２５：Ｎｏルート）、第１判別部３０２は、後半データを比較部３０３に出力する。これに応じ、比較部３０３は、前半データ格納部３０６において、後半データに対応する前半データを検索する（ステップＳ２９）。ステップＳ２９においては、後半データに含まれる特徴データと同じ特徴データを含む前半データが検索される。本実施の形態においては、特徴データとしてタイプ４のパケットのＴＣＰシーケンス番号が利用される。但し、タイプ２又は３の特徴データを利用してもよい。また、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ＴＣＰポート番号、宛先ＴＣＰポート番号、ＳＭＢヘッダにおけるマルチプレクスＩＤ及びＳＭＢヘッダにおけるコマンドシーケンス番号をＴＣＰシーケンス番号の代わりに利用してもよいし、それらを組み合わせて利用してもよい。

比較部３０３は、後半データに対応する前半データが有るか判断する（ステップＳ３１）。後半データに対応する前半データが無い場合（ステップＳ３１：Ｎｏルート）、ステップＳ２１の処理に戻る。

後半データに対応する前半データが有る場合（ステップＳ３１：Ｙｅｓルート）、比較部３０３は、後半データ及び前半データを第２判別部３０４に出力する。これに応じ、第２判別部３０４は、前半データ及び後半データに基づき、ＲＡＴによる攻撃であるか否か判断する（ステップＳ３３）。例えば、送信元ＩＰアドレスが、事前に定義されたホワイトリストのＩＰアドレスに合致する場合には、ＲＡＴによる攻撃ではないと判断される。また、例えば、タイプ１のパケットの取得時刻とタイプ５のパケットの取得時刻との差が予め定められた時間より長い場合には、ＲＡＴによる攻撃ではないと判断される。

ＲＡＴによる攻撃ではないと判断された場合（ステップＳ３５：Ｎｏルート）、ステップＳ２１の処理に戻る。ＲＡＴによる攻撃であると判断された場合（ステップＳ３５：Ｙｅｓルート）、第２判別部３０４は、後半データ及び前半データを通知部３０５に出力する。

通知部３０５は、後半データ及び前半データに基づき、ＲＡＴによる攻撃が発生したことを示すデータを生成して出力する（ステップＳ３７）。ステップＳ３７においては、例えば、データをサーバ３０の表示装置に表示したり、メールの文面データを生成してメールを送信する処理が行われる。そしてステップＳ２１の処理に戻る。

以上のような処理を実行すれば、２台の監視装置がパケットを収集する場合であっても、ＲＡＴによる攻撃を適切に検知できるようになる。また、サーバ３０は受信した前半データ及び後半データを処理すればよく、組織内ネットワークにおいて転送されるパケットを個別に処理しなくてもよいので、サーバ３０の処理負荷を減らせるようになる。

［実施の形態２］
第２の実施の形態においては、監視装置１０及び２０の処理負荷を削減する方法について説明する。

第２の実施の形態における監視装置１０及び２０は、第１の実施の形態における監視装置１０及び２０とは異なる。図１３に、第２の実施の形態における監視装置１０の機能ブロック図を示す。監視装置１０は、受信部１０１と、第１解析部１０２と、第２解析部１０３と、抽出部１０４と、送信部１０５と、パケットデータ格納部１０６と、変更部１０７と、計数部１０８と、頻度格納部１０９とを含む。

受信部１０１は、スイッチ１１が中継するパケットを取得し、取得したパケットに取得時刻の情報を付加して第１解析部１０２に出力する。第１解析部１０２は、受信部１０１から受け取ったパケットから抽出した特徴データに基づき処理を実行し、処理結果である特徴データを第２解析部１０３に出力する。第２解析部１０３は、第１解析部１０２から受け取った特徴データ及びパケットデータ格納部１０６に格納されたデータに基づき処理を実行し、処理結果を抽出部１０４に通知する。抽出部１０４は、第２解析部１０３から通知された処理結果及びパケットデータ格納部１０６に格納されたデータに基づき処理を実行し、後述する前半データ及び後半データを送信部１０５に出力する。送信部１０５は、抽出部１０４から受け取った前半データ及び後半データを、サーバ３０に送信する。計数部１０８は、タイプ毎にパケットの数を計数し、計数の結果に基づき頻度格納部１０９を更新する。変更部１０７は、計数部１０８からの通知に応じて、開始パケットの指定を第２解析部１０３に出力する。

なお、監視装置２０の機能ブロック図は監視装置１０の機能ブロック図と同じであるので、説明を省略する。

次に、図１４乃至図１８を用いて、第２の実施の形態における監視装置１０が実行する処理について説明する。なお、ここでは監視装置１０が実行する処理について説明するが、監視装置２０が実行する処理は監視装置１０が実行する処理と同様である。

まず、監視装置１０における受信部１０１は、スイッチ１１からミラーリングによってパケットを１つ取得し（図１４：ステップＳ４１）、第１解析部１０２に出力する。

第１解析部１０２は、受信部１０１からパケットを受け取り、特徴データをパケットから抽出し、特徴データに基づき、攻撃パケットである可能性が有るか判断する（ステップＳ４３）。特徴データは、例えば、送信元ＩＰ（Internet Protocol）アドレス、宛先ＩＰアドレス、取得時刻、ＳＭＢ（Server Message Block）ヘッダにおける特定のフィールド値、ＤＣＥ/ＲＰＣ（Distributed Computing Environment / Remote Procedure Calls）ヘッダにおける特定のフィールド値、ＴＣＰ（Transmission Control Protocol）ポート番号、及びＴＣＰシーケンス番号等を含む。但し、ここで例示した全情報を含まなくてもよいし、その他の情報を含んでもよい。

ステップＳ４３における判断は、例えば図７及び８に示した「攻撃性の判断基準」に従って実行される。攻撃パケットである可能性が無い場合（ステップＳ４３：Ｎｏルート）、第１解析部１０２はステップＳ４１において取得したパケットを廃棄する。そしてステップＳ４１の処理に戻る。一方、攻撃パケットである可能性が有る場合（ステップＳ４３：Ｙｅｓルート）、第１解析部１０２は、ステップＳ４１において取得したパケットの特徴データを第２解析部１０３に出力する。

第２解析部１０３は、第１解析部１０２から受け取った特徴データに基づき、ステップＳ４１において取得したパケットに関連するパケットを、パケットデータ格納部１０６において検索する（ステップＳ４５）。ステップＳ４５における検索は、例えば図７及び８に示した「関連性の判断基準」に従って実行される。

関連するパケットが有る場合（ステップＳ４７：Ｙｅｓルート）、第２解析部１０３は、前半データ又は後半データが完成したか判断する（ステップＳ４９）。前半データはタイプ１乃至４のパケットが揃えば完成であり、後半データはタイプ２乃至５のパケットが揃えば完成である。従って、ステップＳ４１において取得したパケットがタイプ４のパケットであり且つタイプ１乃至４のパケットが揃った場合、前半データが完成する。また、ステップＳ４１において取得したパケットがタイプ５のパケットであり且つタイプ２乃至５のパケットが揃った場合、後半データが完成する。

前半データ又は後半データが完成していない場合（ステップＳ４９：Ｎｏルート）、第２解析部１０３は、特徴データを抽出部１０４に出力する。そして、抽出部１０４は、ステップＳ４３において抽出された特徴データをパケットデータ格納部１０６に格納する（ステップＳ５５）。ここでは、既に存在するエントリに取得時刻及びＩＰアドレス等を追加する。そして、抽出部１０４は、次のタイプを表す番号を１インクリメントする。

前半データ又は後半データが完成した場合（ステップＳ４９：Ｙｅｓルート）、第２解析部１０３は、特徴データを抽出部１０４に出力する。そして、抽出部１０４は、ステップＳ４１において取得したパケットの特徴データ及びそのパケットに関連するパケットの特徴データを含む前半データ又は後半データを、送信部１０５に出力する。そして、抽出部１０４は、完成した前半データ又は後半データについてのエントリをパケットデータ格納部１０６から削除する。

送信部１０５は、抽出部１０４から受け取った前半データ又は後半データをサーバ３０に送信する（ステップＳ５１）。そしてステップＳ４１の処理に戻る。

一方、ステップＳ４７において関連するパケットが無いと判断された場合（ステップＳ４７：Ｎｏルート）、第２解析部１０３は、ステップＳ４１において取得したパケットが前半の開始パケット又は後半の開始パケットであるか判断する（ステップＳ５３）。本実施の形態においては、前半の開始パケットはタイプ１のパケットであり、後半の開始パケットは変更部１０７により指定されたタイプのパケットである。

取得したパケットが前半の開始パケット又は後半の開始パケットではない場合（ステップＳ５３：Ｎｏルート）、ステップＳ５７の処理に移行する。一方、取得したパケットが前半の開始パケット又は後半の開始パケットである場合（ステップＳ５３：Ｙｅｓルート）、第２解析部１０３は、特徴データを抽出部１０４に出力する。そして、抽出部１０４は、ステップＳ４１において取得したパケットについてのエントリをパケットデータ格納部１０６に新たに格納する（ステップＳ５５）。

第２解析部１０３は、ステップＳ４１において取得したパケットが、後半のパケットのうち前半のパケットと共通のパケットであるか判断する（ステップＳ５７）。図８の例であれば、後半のパケットのうち前半と共通のパケットとは、タイプ２乃至４のパケットである。

取得したパケットが後半のパケットのうち前半のパケットと共通のパケットではない場合（ステップＳ５７：Ｎｏルート）、ステップＳ４１の処理に戻る。一方、取得したパケットが後半のパケットのうち前半のパケットと共通のパケットである場合（ステップＳ５７：Ｙｅｓルート）、第２解析部１０３は、頻度更新指示を計数部１０８に出力する。これに応じ、計数部１０８は、頻度格納部１０９に格納された、ステップＳ４１において取得したパケットのタイプについての頻度を更新する（ステップＳ５９）。

図１５に、頻度格納部１０９に格納されるデータの一例を示す。図１５の例では、後半のパケットのうち前半のパケットと共通のパケット（ここでは、タイプ２乃至４のパケット）の各々について、頻度の情報が格納される。頻度は、例えば１秒間あたりのパケットの取得数である。

図１４の説明に戻り、計数部１０８は、現在の開始パケットのタイプの頻度より低頻度であるタイプが有るか判断する（ステップＳ６１）。現在の開始パケットのタイプの頻度より低頻度であるタイプが無い場合（ステップＳ６１：Ｎｏルート）、開始パケットを変更すべきではないので、ステップＳ４１の処理に戻る。一方、現在の開始パケットの頻度より低頻度であるタイプが有る場合（ステップＳ６１：Ｙｅｓルート）、計数部１０８は、最も頻度が低いタイプを変更部１０７に通知する。これに応じ、変更部１０７は、後半の開始パケットを変更する（ステップＳ６３）。具体的には、変更部１０７は、後半の開始パケットの指定を第２解析部１０３に出力する。そしてステップＳ４１の処理に戻る。

図１６及び図１７を用いて、開始パケットの変更について具体的に説明する。図１６の例では、タイプ２の頻度が毎秒８０パケットであり、タイプ３の頻度が毎秒１２パケットであり、タイプ４の頻度が毎秒２０パケットである。この場合、タイプ３のパケットが開始パケットである。タイプ２のパケットは前半でのみ抽出され、後半では抽出されない。そのため、ステップＳ２９における比較部３０３の処理には利用されない。タイプ３及び４のパケットは比較に利用される可能性がある。

図１７の例では、タイプ２の頻度が毎秒８０パケットであり、タイプ３の頻度が毎秒２０パケットであり、タイプ４の頻度が毎秒１パケットである。この場合、タイプ４のパケットが開始パケットである。タイプ２及び３のパケットは前半でのみ抽出され、後半では抽出されない。そのため、ステップＳ２９における比較部３０３の処理には利用されない。タイプ４のパケットの情報のみが比較部３０３の処理に利用される。

以上のような処理を実行すれば、監視装置１０及び２０の処理負荷を軽減できるようになる。図１８を用いて、開始パケットの変更による処理負荷の軽減について説明する。図１８の例では、後半のパケットのうち前半のパケットと共通するパケットであるタイプ２のパケット、タイプ３のパケット、及びタイプ４のパケットについて頻度を求めている。ここでは、タイプ２の頻度が最も高く、タイプ３の頻度が最も低く、タイプ４の頻度はタイプ２の頻度より低くタイプ３の頻度より高い。このような状況において後半の開始パケットをタイプ２のパケットに設定すると、タイプ３のパケットと関連するタイプ２のパケットを検索する処理の負荷が多くなる。図１８の例であれば、６つのタイプ２のパケットについて関連性を確認することになる。これに対し、後半の開始パケットをタイプ３のパケットに変更すると、タイプ３のパケットと関連するタイプ２のパケットを検索する処理が不要になる。

なお、第２の実施の形態においては開始パケットが変更される可能性があるため、比較に利用する情報は、開始パケットがいずれであっても取得されるタイプ４のパケットの特徴データであることが好ましい。第１の実施の形態においては開始パケットが変更されないので、タイプ２乃至４のいずれであっても特徴データを比較に利用することができる。

以上本発明の一実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上で説明した監視装置１０及び２０並びにサーバ３０の機能ブロック構成は実際のプログラムモジュール構成に一致しない場合もある。

また、上で説明した各データ保持の構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ処理の順番を入れ替えることも可能である。さらに、並列に実行させるようにしても良い。

例えば、監視装置１０及び２０の機能を、組織内ネットワークにおいてパケットを中継する中継装置（例えば、ルータ、スイッチ、或いはファイアウォールなど）がもつようにしてもよい。

また、監視装置１０及び２０とサーバ３０との間のネットワークは、攻撃に関係するネットワークと同一であってもよいし、その他の用途のネットワークであってもよい。また、組織内ネットワークの形態は、図２に示した形態に限られるわけではない。

なお、予め行われたテスト運用時の頻度に基づき開始パケットを決定してもよいし、管理者が開始パケットを指定してもよい。

なお、上で述べた監視装置１０及び２０並びにサーバ３０は、コンピュータ装置であって、図１９に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本発明の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

以上述べた本発明の実施の形態をまとめると、以下のようになる。

本実施の形態に係るネットワーク監視システムは、（Ａ）第１監視装置と、（Ｂ）第２監視装置と、（Ｃ）情報処理装置とを有する。そして、上で述べた第１監視装置は、（ａ１）ネットワーク外の装置からネットワーク内の第１端末へのパケットと、第１端末からネットワーク内の第２端末へのパケットとを取得し、取得したパケットのうち第１の条件を満たす第１の複数のパケットの情報を情報処理装置に送信し、第２監視装置は、（ｂ１）第１端末から第２端末へのパケットと、第２端末からネットワーク外の装置へのパケットとを取得し、取得したパケットのうち第２の条件を満たす第２の複数のパケットの情報を情報処理装置に送信し、情報処理装置は、（ｃ１）第１の複数のパケットの情報及び第２の複数のパケットの情報を受信し、第１の複数のパケットと第２の複数のパケットとに同じパケットが含まれるか否かに基づき、ネットワーク外からの攻撃が発生したか判断する。

このようにすれば、情報処理装置の処理負荷を増大させず且つ情報処理装置と監視装置との間の通信負荷を増大させずに、ＲＡＴによる攻撃を検知できるようになる。

また、上で述べた第２監視装置は、（ｂ２）第１端末から第２端末へのパケットの種別毎に数を計数し、（ｂ３）計数された数に基づき、第２端末へのパケットのうち第２監視装置による監視の対象となるパケットを決定してもよい。このようにすれば、例えばパケット数が多い場合に監視の対象から外すことが可能になるので、第２監視装置の処理負荷を減らすことができるようになる。

また、上で述べた第１の条件及び第２の条件は、第１端末から第２端末へのパケットのヘッダに所定の情報が含まれるという条件を含んでもよい。このようにすれば、攻撃に関わるパケットを特定できるようになる。

また、上で述べた第１の条件は、ネットワーク外の装置から第１端末へのパケットの取得時刻と第１端末から第２端末へのパケットの取得時刻との差が第１の時間以内であるという条件を含んでもよく、上で述べた第２の条件は、第１端末から第２端末へのパケットの取得時刻と第２端末からネットワーク外の装置へのパケットの取得時刻との差が第２の時間以内であるという条件を含んでもよい。同じ攻撃に関わる複数のパケットは比較的短時間に出現すると考えられる。従って、上で述べたようにすれば、攻撃に関わらないパケットを排除できるようになる。

また、上で述べた第１の複数のパケットの情報及び第２の複数のパケットの情報は、ＩＰ（Internet Protocol）アドレス、ＴＣＰ（Transmission Control Protocol）ポート番号、ＴＣＰシーケンス番号、ＳＭＢ（Server Message Block）ヘッダにおけるマルチプレクスＩＤ（IDentifier）、及びＳＭＢヘッダにおけるコマンドシーケンス番号の少なくともいずれかを含んでもよい。これにより、同じパケットであるか否かを適切に判断できるようになる。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）
第１監視装置と、
第２監視装置と、
情報処理装置と、
を有し、
前記第１監視装置は、
ネットワーク外の装置から前記ネットワーク内の第１端末へのパケットと、前記第１端末から前記ネットワーク内の第２端末へのパケットとを取得し、取得したパケットのうち第１の条件を満たす第１の複数のパケットの情報を前記情報処理装置に送信し、
前記第２監視装置は、
前記第１端末から前記第２端末へのパケットと、前記第２端末から前記ネットワーク外の装置へのパケットとを取得し、取得したパケットのうち第２の条件を満たす第２の複数のパケットの情報を前記情報処理装置に送信し、
前記情報処理装置は、
前記第１の複数のパケットの情報及び前記第２の複数のパケットの情報を受信し、前記第１の複数のパケットと前記第２の複数のパケットとに同じパケットが含まれるか否かに基づき、前記ネットワーク外からの攻撃が発生したか判断する、
ネットワーク監視システム。

（付記２）
前記第２監視装置は、
前記第１端末から前記第２端末へのパケットの種別毎に数を計数し、
計数された前記数に基づき、前記第２端末へのパケットのうち前記第２監視装置による監視の対象となるパケットを決定する、
付記１記載のネットワーク監視システム。

（付記３）
前記第１の条件及び第２の条件は、前記第１端末から前記第２端末へのパケットのヘッダに所定の情報が含まれるという条件を含む
付記１又は２記載のネットワーク監視システム。

（付記４）
第１の条件は、前記ネットワーク外の装置から前記第１端末へのパケットの取得時刻と前記第１端末から前記第２端末へのパケットの取得時刻との差が第１の時間以内であるという条件を含み、
第２の条件は、前記第１端末から前記第２端末へのパケットの取得時刻と前記第２端末から前記ネットワーク外の装置へのパケットの取得時刻との差が第２の時間以内であるという条件を含む、
付記１乃至３のいずれか１つ記載のネットワーク監視システム。

（付記５）
前記第１の複数のパケットの情報及び前記第２の複数のパケットの情報は、
ＩＰ（Internet Protocol）アドレス、ＴＣＰ（Transmission Control Protocol）ポート番号、ＴＣＰシーケンス番号、ＳＭＢ（Server Message Block）ヘッダにおけるマルチプレクスＩＤ（IDentifier）、及びＳＭＢヘッダにおけるコマンドシーケンス番号の少なくともいずれかを含む
付記１乃至４のいずれか１つ記載のネットワーク監視システム。

（付記６）
第１監視装置と第２監視装置と情報処理装置とを有するネットワーク監視システムにおいて実行されるネットワーク監視方法であって、
前記第１監視装置は、ネットワーク外の装置から前記ネットワーク内の第１端末へのパケットと、前記第１端末から前記ネットワーク内の第２端末へのパケットとを取得し、取得したパケットのうち第１の条件を満たす第１の複数のパケットの情報を前記情報処理装置に送信し、
前記第２監視装置は、前記第１端末から前記第２端末へのパケットと、前記第２端末から前記ネットワーク外の装置へのパケットとを取得し、取得したパケットのうち第２の条件を満たす第２の複数のパケットの情報を前記情報処理装置に送信し、
前記情報処理装置は、前記第１の複数のパケットの情報及び前記第２の複数のパケットの情報を受信し、前記第１の複数のパケットと前記第２の複数のパケットとに同じパケットが含まれるか否かに基づき、前記ネットワーク外からの攻撃が発生したか判断する、
処理を実行するネットワーク監視方法。

１０，２０ 監視装置 １１，２１，３１，７０ スイッチ
５１，５２，９０ ユーザ端末 ３０ サーバ
１０１ 受信部 １０２ 第１解析部
１０３ 第２解析部 １０４ 抽出部
１０５ 送信部 １０６ パケットデータ格納部
１０７ 変更部 １０８ 計数部
１０９ 頻度格納部
３０１ 受信部 ３０２ 第１判別部
３０３ 比較部 ３０４ 第２判別部
３０５ 通知部 ３０６ 前半データ格納部

Claims (6)

1. 第１監視装置と、
   第２監視装置と、
   情報処理装置と、
   を有し、
   前記第１監視装置は、
   ネットワーク外の装置から前記ネットワーク内の第１端末へのパケットと、前記第１端末から前記ネットワーク内の第２端末へのパケットとを取得し、取得したパケットのうち第１の条件を満たす第１の複数のパケットの情報を前記情報処理装置に送信し、
   前記第２監視装置は、
   前記第１端末から前記第２端末へのパケットと、前記第２端末から前記ネットワーク外の装置へのパケットとを取得し、取得したパケットのうち第２の条件を満たす第２の複数のパケットの情報を前記情報処理装置に送信し、
   前記情報処理装置は、
   前記第１の複数のパケットの情報及び前記第２の複数のパケットの情報を受信し、前記第１の複数のパケットと前記第２の複数のパケットとに同じパケットが含まれるか否かに基づき、前記ネットワーク外からの攻撃が発生したか判断する、
   ネットワーク監視システム。
2. 前記第２監視装置は、
   前記第１端末から前記第２端末へのパケットの種別毎に数を計数し、
   計数された前記数に基づき、前記第２端末へのパケットのうち前記第２監視装置による監視の対象となるパケットを決定する、
   請求項１記載のネットワーク監視システム。
3. 前記第１の条件及び第２の条件は、前記第１端末から前記第２端末へのパケットのヘッダに所定の情報が含まれるという条件を含む
   請求項１又は２記載のネットワーク監視システム。
4. 第１の条件は、前記ネットワーク外の装置から前記第１端末へのパケットの取得時刻と前記第１端末から前記第２端末へのパケットの取得時刻との差が第１の時間以内であるという条件を含み、
   第２の条件は、前記第１端末から前記第２端末へのパケットの取得時刻と前記第２端末から前記ネットワーク外の装置へのパケットの取得時刻との差が第２の時間以内であるという条件を含む、
   請求項１乃至３のいずれか１つ記載のネットワーク監視システム。
5. 前記第１の複数のパケットの情報及び前記第２の複数のパケットの情報は、
   ＩＰ（Internet Protocol）アドレス、ＴＣＰ（Transmission Control Protocol）ポート番号、ＴＣＰシーケンス番号、ＳＭＢ（Server Message Block）ヘッダにおけるマルチプレクスＩＤ（IDentifier）、及びＳＭＢヘッダにおけるコマンドシーケンス番号の少なくともいずれかを含む
   請求項１乃至４のいずれか１つ記載のネットワーク監視システム。
6. 第１監視装置と第２監視装置と情報処理装置とを有するネットワーク監視システムにおいて実行されるネットワーク監視方法であって、
   前記第１監視装置は、ネットワーク外の装置から前記ネットワーク内の第１端末へのパケットと、前記第１端末から前記ネットワーク内の第２端末へのパケットとを取得し、取得したパケットのうち第１の条件を満たす第１の複数のパケットの情報を前記情報処理装置に送信し、
   前記第２監視装置は、前記第１端末から前記第２端末へのパケットと、前記第２端末から前記ネットワーク外の装置へのパケットとを取得し、取得したパケットのうち第２の条件を満たす第２の複数のパケットの情報を前記情報処理装置に送信し、
   前記情報処理装置は、前記第１の複数のパケットの情報及び前記第２の複数のパケットの情報を受信し、前記第１の複数のパケットと前記第２の複数のパケットとに同じパケットが含まれるか否かに基づき、前記ネットワーク外からの攻撃が発生したか判断する、
   処理を実行するネットワーク監視方法。

Images