JP2016148939A - Detection system, detection method, detection program, accumulation apparatus, and accumulation method - Google Patents

Detection system, detection method, detection program, accumulation apparatus, and accumulation method Download PDF

Info

Publication number
JP2016148939A
JP2016148939A JP2015024548A JP2015024548A JP2016148939A JP 2016148939 A JP2016148939 A JP 2016148939A JP 2015024548 A JP2015024548 A JP 2015024548A JP 2015024548 A JP2015024548 A JP 2015024548A JP 2016148939 A JP2016148939 A JP 2016148939A
Authority
JP
Japan
Prior art keywords
communication
detection
session
communication data
unauthorized
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2015024548A
Other languages
Japanese (ja)
Other versions
JP6276207B2 (en
Inventor
貴広 濱田
Takahiro Hamada
貴広 濱田
裕一 首藤
Yuichi Shuto
裕一 首藤
弘幸 野岡
Hiroyuki Nooka
弘幸 野岡
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2015024548A priority Critical patent/JP6276207B2/en
Publication of JP2016148939A publication Critical patent/JP2016148939A/en
Application granted granted Critical
Publication of JP6276207B2 publication Critical patent/JP6276207B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Abstract

PROBLEM TO BE SOLVED: To effectively detect an attack of unauthorized communication, while reducing processing load.SOLUTION: A detection system 100 includes: a repeater 120 which repeats communication with a server to be monitored; a detection apparatus 130; and a control apparatus 110. The control apparatus 110 transmits an instruction to the detection apparatus 130 to mirror the communication repeated by the repeater 120 when a fault is detected in information on a communication resource of the server. The detection apparatus 130 detects unauthorized communication from communication mirrored in response to the instruction transmitted by the control apparatus 110. The control apparatus 110 transmits an instruction to shut off the specified unauthorized communication, to the repeater 120, on the basis of a result detected by the detection apparatus 130.SELECTED DRAWING: Figure 1

Description

本発明は、検出システム、検出方法、検出プログラム、蓄積装置および蓄積方法に関する。   The present invention relates to a detection system, a detection method, a detection program, a storage device, and a storage method.

インターネットを介した通信において、標的対象であるサーバ等の通信に障害を発生させる攻撃の一種として、ＳｌｏｗＤｏＳ（Slow Denial of Service）攻撃が知られている。ＳｌｏｗＤｏＳ攻撃とは、クライアントとサーバの間で確立されるセッションにおいて、無通信によるタイムアウトを回避するために少量サイズのパケットのやり取りを発生させ、セッションを長期継続させることによって、サーバが確立可能なセッションを埋め尽くす攻撃手法をいう。なお、セッションとは、サーバとクライアントがＴＣＰ（Transmission Control Protocol）を用いてパケットのやりとりをする際に成立させるＴＣＰコネクションの接続の単位であり、この接続開始から終了までの単位を１セッションとして、この一連の通信１回に相当する通信を意味する。   A slow DoS (Slow Denial of Service) attack is known as a kind of attack that causes a failure in communication of a target server or the like in communication via the Internet. The SlowDoS attack is a session in which a server can be established by exchanging packets of a small size in order to avoid timeout due to no communication in a session established between a client and a server, and by continuing the session for a long period of time. An attack technique that fills up. Note that a session is a unit of connection of a TCP connection established when a server and a client exchange packets using TCP (Transmission Control Protocol). The unit from the start to the end of this connection is defined as one session. This means communication corresponding to one series of communication.

大量のトラヒック（通信パケット）を発生させてネットワーク帯域を埋め尽くすタイプのＤｏＳ攻撃は、トラヒックの流量を監視することで攻撃を検出できるが、ＳｌｏｗＤｏＳ攻撃は、トラヒック量に着目して監視しても検出することができない。そこで、ＳｌｏｗＤｏＳ攻撃を検出する手法として、ウェブサーバ側で同一ＩＰアドレスから同時に確立できるセッション数に制限を設け、所定時間後に強制タイムアウト（セッション切断）させることで攻撃を食い止める技術が提案されている（例えば、非特許文献１）。   A DoS attack that generates a large amount of traffic (communication packets) and fills up the network bandwidth can detect the attack by monitoring the traffic flow, but a SlowDoS attack can be monitored by paying attention to the traffic volume. It cannot be detected. Therefore, as a technique for detecting a Slow DoS attack, a technique has been proposed in which the number of sessions that can be simultaneously established from the same IP address on the web server side is limited, and the attack is stopped by forcibly timeout (session disconnection) after a predetermined time ( For example, Non-Patent Document 1).

朴、岩井、田中、黒川、『Slow Read DoS攻撃とその対策に関する解析」、Computer Security Symposium 2014、22−24、 October 2014Park, Iwai, Tanaka, Kurokawa, “Analysis of Slow Read DoS Attacks and Countermeasures”, Computer Security Symposium 2014, 22-24, October 2014

しかしながら、上記の従来技術では、処理負荷を抑えた上で、不正通信による攻撃を効果的に検出することは困難である。例えば、上記の従来技術では、多数のＩＰアドレスから同時に攻撃を受けた場合は、対策としての効果が得られないことが示されている。または、同一ＩＰアドレスから多数のセッションが確立された場合であっても、これらのセッションがすべて攻撃によるものとは限らないため、単純にこのＩＰアドレスからの通信をフィルタすると正常なセッションも切断してしまうことになり得る。このように、攻撃の手法によって、特定のＩＰアドレスからの通信を制限することでは効果的な対策とならない場合がある。この場合、パケットの送信元を示すＩＰアドレスに関する情報のみならず、サーバとクライアントとの間に確立するセッションを監視し、セッションの内容の特徴を観測した上で、ＳｌｏｗＤｏＳ攻撃を検出することが望ましい。   However, with the above-described conventional technology, it is difficult to effectively detect an attack caused by unauthorized communication while suppressing the processing load. For example, in the above-described conventional technology, it has been shown that when an attack is simultaneously received from a large number of IP addresses, an effect as a countermeasure cannot be obtained. Or, even if a large number of sessions are established from the same IP address, not all of these sessions are caused by attacks, so if you simply filter communications from this IP address, normal sessions will also be disconnected. Can end up. Thus, limiting communication from a specific IP address by an attack technique may not be an effective measure. In this case, it is desirable to detect the SlowDoS attack after monitoring the session established between the server and the client as well as the information regarding the IP address indicating the packet transmission source and observing the characteristics of the content of the session. .

ところで、不正なセッションを検出するためには、１台のサーバ（例えば、ウェブサーバ）と不特定多数のクライアントの間でやり取りされる多量の通信トラヒック（traffic、以下では単に「トラヒック」と表記する）を検出装置に流すことで、セッションを常時監視することが要求される。かかる手法では、検出にかかる負荷が大きく、検出処理が追い付かない場合がある。このため、トラヒックを効率良く監視し、処理負荷を抑えて不正セッションを検出する手法が希求される。   By the way, in order to detect an unauthorized session, a large amount of communication traffic (traffic) exchanged between a single server (for example, a web server) and an unspecified number of clients, hereinafter simply referred to as “traffic”. ) To the detection device, it is required to constantly monitor the session. In such a method, the detection load is large and the detection process may not catch up. For this reason, there is a demand for a method for efficiently monitoring traffic and suppressing the processing load to detect an unauthorized session.

本発明は、上記に鑑みてなされたものであって、処理負荷を抑えた上で、不正通信による攻撃を効果的に検出することができる検出システム、検出方法、検出プログラム、蓄積装置および蓄積方法を提供することを目的とする。   The present invention has been made in view of the above, and has a detection system, a detection method, a detection program, a storage device, and a storage method capable of effectively detecting an attack caused by unauthorized communication while suppressing a processing load. The purpose is to provide.

上述した課題を解決し、目的を達成するために、本発明は、監視対象であるサーバとの通信を中継する中継装置と、検出装置と、制御装置とを備える検出システムであって、前記制御装置は、前記サーバの通信資源に関する情報に異常を検知した場合に、前記中継装置によって中継される通信を前記検出装置にミラーリングさせる指示を送信し、前記検出装置は、前記制御装置によって送信された指示に従ってミラーリングされた通信の中から、不正な通信を検出し、前記制御装置は、前記検出装置による検出処理の結果に基づいて、特定された不正な通信を遮断させる指示を前記中継装置に送信する、ことを特徴とする。   In order to solve the above-described problems and achieve the object, the present invention provides a detection system including a relay device that relays communication with a server that is a monitoring target, a detection device, and a control device. When an apparatus detects an abnormality in information related to communication resources of the server, the apparatus transmits an instruction to cause the detection apparatus to mirror communication relayed by the relay apparatus, and the detection apparatus is transmitted by the control apparatus An unauthorized communication is detected from communications mirrored according to the instruction, and the control device transmits an instruction to block the identified unauthorized communication to the relay device based on a result of detection processing by the detection device. It is characterized by.

本願が開示する実施形態の一例によれば、処理負荷を抑えた上で、不正通信による攻撃を効果的に検出することができる。   According to an example of the embodiment disclosed in the present application, it is possible to effectively detect an attack caused by unauthorized communication while suppressing the processing load.

図１は、第１の実施の形態に係る検出システムによる検出処理の一例を説明する図（１）である。FIG. 1 is a diagram (1) illustrating an example of detection processing by the detection system according to the first embodiment. 図２は、第１の実施の形態に係る検出システムによる検出処理の一例を説明する図（２）である。FIG. 2 is a diagram (2) illustrating an example of detection processing by the detection system according to the first embodiment. 図３は、第１の実施の形態に係る検出システムによる検出処理の一例を説明する図（３）である。FIG. 3 is a diagram (3) illustrating an example of the detection process performed by the detection system according to the first embodiment. 図４は、第１の実施の形態に係る検出システムによる処理手順を示すフローチャートである。FIG. 4 is a flowchart illustrating a processing procedure performed by the detection system according to the first embodiment. 図５は、第２の実施の形態に係る検出システムによる検出処理の一例を説明する図である。FIG. 5 is a diagram for explaining an example of detection processing by the detection system according to the second embodiment. 図６は、第２の実施の形態に係る蓄積装置の構成の一例を示す図である。FIG. 6 is a diagram illustrating an example of the configuration of the storage device according to the second embodiment. 図７は、第２の実施の形態に係る通信データ蓄積部の一例を示す図である。FIG. 7 is a diagram illustrating an example of a communication data storage unit according to the second embodiment. 図８は、第２の実施の形態に係る抽出セッション蓄積部の一例を示す図である。FIG. 8 is a diagram illustrating an example of the extraction session accumulation unit according to the second embodiment. 図９は、第２の実施の形態に係る検出システムによる処理手順を示すフローチャートである。FIG. 9 is a flowchart illustrating a processing procedure performed by the detection system according to the second embodiment. 図１０は、検出プログラムを実行するコンピュータを示す図である。FIG. 10 is a diagram illustrating a computer that executes a detection program.

以下に、本願に係る検出システム、検出方法、検出プログラム、蓄積装置および蓄積方法の実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本願に係る検出システム、検出方法、検出プログラム、蓄積装置および蓄積方法が限定されるものではない。   Hereinafter, embodiments of a detection system, a detection method, a detection program, a storage device, and a storage method according to the present application will be described in detail with reference to the drawings. In addition, the detection system, the detection method, the detection program, the storage device, and the storage method according to the present application are not limited by this embodiment.

［第１の実施の形態］
以下では、第１の実施の形態に係る検出システムの構成および処理を説明し、最後に第１の実施の形態による効果を説明する。 [First Embodiment]
Below, the structure and process of the detection system which concern on 1st Embodiment are demonstrated, and the effect by 1st Embodiment is demonstrated finally.

［第１の実施の形態に係る検出処理の一例］
まず、図１を用いて、第１の実施の形態に係る検出システム１００による検出処理の一例を説明する。図１は、第１の実施の形態に係る検出システム１００による検出処理の一例を説明する図（１）である。図１に示すように、検出システム１００は、制御装置１１０、中継装置１２０、検出装置１３０を有する。 [Example of detection processing according to the first embodiment]
First, an example of detection processing by the detection system 100 according to the first embodiment will be described with reference to FIG. FIG. 1 is a diagram (1) illustrating an example of detection processing by the detection system 100 according to the first embodiment. As illustrated in FIG. 1, the detection system 100 includes a control device 110, a relay device 120, and a detection device 130.

また、検出システム１００には、インターネットを介して、不正通信による攻撃の標的対象であるウェブサーバ３０と、ウェブサーバ３０と通信を行うクライアントとに接続される。クライアントには、ウェブサーバ３０に正常な通信（ここでは、攻撃性を有するような不正な通信ではない通信を意味する）を試みる端末１０と、ウェブサーバ３０に不正な通信を試みる攻撃生成端末２０１〜２０３とが含まれる。図１に示すように、検出システム１００は、端末１０や、攻撃生成端末２０１〜２０３と、ウェブサーバ３０との通信の経路上となる中継網（通信キャリア網や、ＩＳＰ（(Internet Service Provider)網）内に配置される。なお、図１での図示は省略するが、検出システム１００は、端末１０や、攻撃生成端末２０１〜２０３とは境界ルータを介して接続され、ウェブサーバ３０とは収容ルータを介して接続される。 The detection system 100 is connected via the Internet to a web server 30 that is a target of an attack by unauthorized communication and a client that communicates with the web server 30. For the client, a terminal 10 that attempts normal communication with the web server 30 (in this case, communication that is not illegal communication that has aggressiveness), and an attack generation terminal 20 that attempts unauthorized communication with the web server 30. 1 to 20 3 are included. As shown in FIG. 1, the detection system 100 includes a relay network (communication carrier network or ISP (Internet Service) on the communication path between the terminal 10 or the attack generation terminals 20 1 to 20 3 and the web server 30. 1, the detection system 100 is connected to the terminal 10 and the attack generation terminals 20 1 to 20 3 via border routers, and the web is not shown in FIG. The server 30 is connected via an accommodation router.

また、以下の説明において、端末１０や攻撃生成端末２０１〜２０３と、ウェブサーバ３０との間の通信は、トラヒックＴｎ（ｎは任意の数）として図示される。例えば、図１に示すように、端末１０とウェブサーバ３０との間の通信は、トラヒックＴ１によって示される。また、攻撃生成端末２０１とウェブサーバ３０との間の通信は、トラヒックＴ２によって示される。また、攻撃生成端末２０２とウェブサーバ３０との間の通信は、トラヒックＴ３によって示される。また、攻撃生成端末２０３とウェブサーバ３０との間の通信は、トラヒックＴ４によって示される。また、検出システム１００と接続される端末１０や、攻撃生成端末２０１〜２０３は、図示された数に限られず、さらに多くの数が接続されてもよい。また、攻撃生成端末２０１〜２０３を区別する必要のないときは、攻撃生成端末２０と表記する。 In the following description, communication between the terminal 10 and the attack generation terminals 20 1 to 20 3 and the web server 30 is illustrated as traffic Tn (n is an arbitrary number). For example, as shown in FIG. 1, communication between the terminal 10 and the web server 30 is indicated by traffic T1. The communication between the attacker generation terminal 20 1 and the web server 30 is indicated by traffic T2. The communication between the attacker generation terminal 20 2 and the web server 30 is indicated by traffic T3. The communication between the attacker generation terminal 20 3 and the web server 30 is indicated by traffic T4. Further, the number of terminals 10 and attack generation terminals 20 1 to 20 3 connected to the detection system 100 is not limited to the illustrated number, and a larger number may be connected. Moreover, when it is not necessary to distinguish the attack generation terminals 20 1 to 20 3 , they are described as attack generation terminals 20.

ここで、検出システム１００を構成する各装置について説明する。検出システム１００に係る制御装置１１０は、中継装置１２０や検出装置１３０の処理を制御する情報処理装置である。具体的には、制御装置１１０は、端末１０や攻撃生成端末２０と、ウェブサーバ３０との間の通信量に関する情報を中継装置１２０から受信する。また、制御装置１１０は、ウェブサーバ３０が確立しているセッション数に関する情報をウェブサーバ３０から、またはウェブサーバ３０の通信リソースを監視する外部装置を経由して受信する。そして、制御装置１１０は、受信した情報に基づいて、ウェブサーバ３０のリソース（通信資源やサーバ資源）に関する異常検知を行う。そして、制御装置１１０は、異常を検知した場合には、後述する所定の処理を実行させるために、中継装置１２０および／または検出装置１３０に指示を送信する。   Here, each apparatus which comprises the detection system 100 is demonstrated. The control device 110 according to the detection system 100 is an information processing device that controls processing of the relay device 120 and the detection device 130. Specifically, the control device 110 receives information about the traffic volume between the terminal 10 or the attack generation terminal 20 and the web server 30 from the relay device 120. In addition, the control device 110 receives information regarding the number of sessions established by the web server 30 from the web server 30 or via an external device that monitors communication resources of the web server 30. And the control apparatus 110 performs abnormality detection regarding the resources (communication resources and server resources) of the web server 30 based on the received information. Then, when detecting an abnormality, the control device 110 transmits an instruction to the relay device 120 and / or the detection device 130 in order to execute a predetermined process described later.

検出システム１００に係る中継装置１２０は、端末１０および攻撃生成端末２０からの通信を含む、ウェブサーバ３０との間の通信を中継する情報処理装置（またはネットワーク装置）である。中継装置１２０は、ウェブサーバ３０の通信状況に異常を検知した制御装置１１０から送信される指示に基づいて、トラヒックに対するミラーリング（mirroring）を実行して検出装置１３０にトラヒックを送る。ここでミラーリングとは、対象のトラヒックを複製して異なる場所にリアルタイムに送信することをいう。例えば、中継装置１２０が中継するトラヒックを検出装置１３０へミラーリングすることにより、検出装置１３０は、かかるトラヒックに含まれる通信データについて分析等の処理を実行できる。また、中継装置１２０は、検出処理により不正なセッションが特定された場合には、特定された不正なセッションを遮断させるよう、セッションに対するフィルタ処理を実行する。   The relay device 120 according to the detection system 100 is an information processing device (or network device) that relays communication with the web server 30 including communication from the terminal 10 and the attack generation terminal 20. The relay device 120 performs mirroring on the traffic based on an instruction transmitted from the control device 110 that has detected an abnormality in the communication status of the web server 30, and sends the traffic to the detection device 130. Here, mirroring refers to copying the target traffic and transmitting it to different locations in real time. For example, by mirroring the traffic relayed by the relay device 120 to the detection device 130, the detection device 130 can execute processing such as analysis on the communication data included in the traffic. In addition, when an unauthorized session is identified by the detection process, the relay device 120 performs a filtering process on the session so as to block the identified unauthorized session.

検出システム１００に係る検出装置１３０は、不正なセッションを検出する情報処理装置である。具体的には、検出装置１３０は、中継装置１２０からミラーリングにより送信されてきたトラヒックに含まれる通信データを所定の検出ルールに基づいて分析することで、不正なセッションを検出する。そして、検出装置１３０は、検出した不正セッションを特定する情報を制御装置１１０へ送信する。詳しくは後述するが、検出装置１３０は、少なくとも、ＴＣＰ／ＩＰプロトコルスタック（Protocol stack）における情報として、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号の情報等を特定する。そして、検出システム１００は、不正セッションの検出処理においては既知の技術を利用し、トランスポート層のヘッダ情報の詳細を分析すること等により不正なセッションを検出する。   The detection device 130 according to the detection system 100 is an information processing device that detects an unauthorized session. Specifically, the detection device 130 detects an unauthorized session by analyzing communication data included in traffic transmitted from the relay device 120 by mirroring based on a predetermined detection rule. Then, the detection device 130 transmits information specifying the detected unauthorized session to the control device 110. As will be described in detail later, the detection apparatus 130 specifies at least information on a source IP address, a source port number, a destination IP address, a destination port number, and the like as information in the TCP / IP protocol stack. Then, the detection system 100 detects an unauthorized session by analyzing the details of the header information of the transport layer using a known technique in the unauthorized session detection process.

以下では、検出システム１００が実行する検出処理の一例について、図１乃至図３を用いて詳細に説明する。図１に示すように、検出システム１００は、端末１０および攻撃生成端末２０１〜２０３からウェブサーバ３０へ送信されるトラヒックＴ１〜Ｔ４を中継する。このとき、中継装置１２０は、ウェブサーバ３０への通信量を監視する（ステップＳ１１）。そして、中継装置１２０は、通信量に関する情報を制御装置１１０に通知する（ステップＳ１２）。 Below, an example of the detection process which the detection system 100 performs is demonstrated in detail using FIG. 1 thru | or FIG. As illustrated in FIG. 1, the detection system 100 relays traffic T1 to T4 transmitted from the terminal 10 and the attack generation terminals 20 1 to 20 3 to the web server 30. At this time, the relay apparatus 120 monitors the traffic to the web server 30 (step S11). Then, the relay device 120 notifies the control device 110 of information related to the traffic (Step S12).

また、制御装置１１０は、ウェブサーバ３０から確立したセッション数の通知を受け付ける（ステップＳ１３）。制御装置１１０は、中継装置１２０から送信される通信量、およびウェブサーバ３０から通知されるセッション数に関する情報を定期的にまたは逐次取得する。なお、制御装置１１０は、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号の５タプル（tuple）の組が同じパケット群を同一セッションと判定する。このように、検出システム１００の平常時は、制御装置１１０が通信量およびセッション数に関する情報を取得し、取得された情報に基づいて、以下に説明する「監視モード」に移るか否かを判定している状態をいう。   In addition, the control device 110 receives a notification of the number of sessions established from the web server 30 (step S13). The control device 110 periodically or sequentially acquires information related to the communication amount transmitted from the relay device 120 and the number of sessions notified from the web server 30. The control device 110 determines that a group of packets having the same combination of five tuples of a transmission source IP address, a transmission source port number, a destination IP address, a destination port number, and a protocol number is the same session. As described above, in the normal time of the detection system 100, the control device 110 acquires information on the traffic and the number of sessions, and determines whether or not to move to the “monitoring mode” described below based on the acquired information. The state which is doing.

制御装置１１０は、取得された情報に基づいて、トラヒックの異常を検知する（ステップＳ１４）。ここで、制御装置１１０は、取得された情報が所定の条件を満たすことにより、監視対象であるウェブサーバ３０のリソースに異常が発生したことを検知する。具体的には、制御装置１１０は、中継装置１２０から通知される通信量が所定値より少ない、または平常時の通信量に対する増加分が所定値より少ないにもかかわらず、ウェブサーバ３０から通知される確立したセッション数が所定の閾値より多い場合に、ウェブサーバ３０のリソースに異常が発生したと判断する。すなわち、中継装置１２０が平常時の通信量を観測しているにもかかわらず、ウェブサーバ３０が確立しているセッション数が平常時よりも多くなっているということは、通信量の増大を引き起こさずにセッション数を増大させるような不正通信による攻撃をウェブサーバ３０が受けている可能性が高いと想定されることによる。または、制御装置１１０は、単純にウェブサーバ３０から通知される確立したセッション数が所定の閾値より多い場合に、ウェブサーバ３０のリソースに異常が発生したと判断することとしてもよい。または、制御装置１１０は、ウェブサーバ３０が同時に確立可能な最大セッション数に対して確立されているセッション数の割合が所定の閾値を超えた場合に異常が発生したと判断することとしてもよい。   The control device 110 detects an abnormality in traffic based on the acquired information (step S14). Here, the control device 110 detects that an abnormality has occurred in the resources of the web server 30 to be monitored when the acquired information satisfies a predetermined condition. Specifically, the control device 110 is notified from the web server 30 even though the communication amount notified from the relay device 120 is smaller than a predetermined value or the increase in the normal communication amount is smaller than the predetermined value. When the number of established sessions exceeds the predetermined threshold, it is determined that an abnormality has occurred in the resources of the web server 30. In other words, the fact that the number of sessions established by the web server 30 is larger than normal even though the relay device 120 observes the normal traffic, causes an increase in the traffic. This is because it is assumed that there is a high possibility that the web server 30 is receiving an attack due to unauthorized communication that increases the number of sessions. Alternatively, the control device 110 may simply determine that an abnormality has occurred in the resources of the web server 30 when the number of established sessions notified from the web server 30 is greater than a predetermined threshold. Alternatively, the control device 110 may determine that an abnormality has occurred when the ratio of the number of sessions established with respect to the maximum number of sessions that can be simultaneously established by the web server 30 exceeds a predetermined threshold.

制御装置１１０は、異常を検知した場合、中継装置１２０に対してトラヒックのミラーリングを行うように指示をする（ステップＳ１５）。中継装置１２０は、指示に従い、検出装置１３０にトラヒックをミラーリングする（ステップＳ１６）。すなわち、検出装置１３０は、ミラーリングにより中継装置１２０を介してウェブサーバ３０との間を流れるトラヒックを受信することで、監視するトラヒックに含まれる通信データと同一の通信データを取得し、取得された通信データから不正セッションの検出処理を試みる。このように、中継装置１２０が検出装置１３０に対してトラヒックのミラーリングを開始した状態を、検出システム１００における「監視モード」と表記する。   When detecting an abnormality, the control device 110 instructs the relay device 120 to perform traffic mirroring (step S15). The relay device 120 mirrors traffic on the detection device 130 in accordance with the instruction (step S16). That is, the detection device 130 receives the traffic flowing between the web server 30 via the relay device 120 by mirroring, thereby acquiring the same communication data as the communication data included in the monitored traffic. Attempts to detect unauthorized sessions from communication data. In this way, the state in which the relay apparatus 120 starts traffic mirroring with respect to the detection apparatus 130 is referred to as a “monitoring mode” in the detection system 100.

次に、図２を用いて、第１の実施の形態に係る検出システム１００による検出処理のうち、図１から継続する処理について説明する。図２は、第１の実施の形態に係る検出システム１００による検出処理の一例を説明する図（２）である。   Next, of the detection processing performed by the detection system 100 according to the first embodiment, processing continued from FIG. 1 will be described with reference to FIG. FIG. 2 is a diagram (2) illustrating an example of the detection process performed by the detection system 100 according to the first embodiment.

監視モードの状態において、検出装置１３０が不正セッションを検出した場合、検出装置１３０は、制御装置１１０に不正セッションを検出した結果を通知する（ステップＳ２１）。制御装置１１０は、かかる通知を受信した場合、中継装置１２０に対して、特定されたセッションに該当するクライアントの送信元ＩＰアドレスに対してフィルタをかけるよう指示を送信する（ステップＳ２２）。そして、中継装置１２０は、指示に従い、フィルタを実行する（ステップＳ２３）。フィルタが実行された場合、中継装置１２０は、特定したセッションを切断することができ、また以後の同一ＩＰアドレスからの不正なセッションの確立の試行を防止することができる。このように、中継装置１２０が検出された不正なセッションにフィルタを実施した状態を、検出システム１００における「防御モード」と表記する。   When the detection device 130 detects an unauthorized session in the monitoring mode state, the detection device 130 notifies the control device 110 of the result of detecting the unauthorized session (step S21). When receiving the notification, the control device 110 transmits an instruction to the relay device 120 to filter the transmission source IP address of the client corresponding to the identified session (step S22). And the relay apparatus 120 performs a filter according to an instruction | indication (step S23). When the filter is executed, the relay apparatus 120 can disconnect the identified session and can prevent subsequent attempts to establish an unauthorized session from the same IP address. In this way, a state where the filtering is performed on the unauthorized session in which the relay device 120 is detected is referred to as a “defense mode” in the detection system 100.

なお、上述のように、検出装置１３０は、トラヒックに係る不正なセッションの検出に関して、既知の種々のロジックを用いることができる。一例として、検出装置１３０は、クライアントとサーバの間を流れるトラヒックから各パケットのＩＰヘッダ情報、およびＴＣＰヘッダ情報を取得し、セッション単位でＴＣＰレイヤでの挙動を解析する。そして、検出装置１３０は、あらかじめ決めた検出ルールセットに基づいて、通常ユーザのセッションと異なる挙動をするセッションを検出して、検出されたセッションを不正なセッションと推定する。   Note that, as described above, the detection device 130 can use various known logics regarding detection of an unauthorized session related to traffic. As an example, the detection apparatus 130 acquires the IP header information and TCP header information of each packet from the traffic flowing between the client and the server, and analyzes the behavior in the TCP layer for each session. Then, the detection device 130 detects a session that behaves differently from the normal user session based on a predetermined detection rule set, and estimates the detected session as an unauthorized session.

また、制御装置１１０は、検出装置１３０から不正なセッションが検出された旨の通知を受ける際には、不正なセッションを特定する情報（例えば、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号など）を受信する。そして、制御装置１１０は、受信した情報に基づいて、監視対象であるウェブサーバ３０に関するセッションのうち、特定された不正なセッションに該当するクライアントの送信元ＩＰアドレスに対するフィルタの指示を中継装置１２０に送信する。また、制御装置１１０は、ウェブサーバ３０に対して、不正なセッションに対応するクライアント（ここでは、攻撃生成端末２０１〜２０３）との間に確立したセッション、または、フィルタするＩＰアドレスに該当するセッションすべてを解放する制御信号であるコネクションリセット命令（ＴＣＰリセット信号）をクライアントおよび／またはウェブサーバ３０へ送信する（ステップＳ２４）。これにより、ウェブサーバ３０と攻撃生成端末２０１〜２０３とのセッションが解除され、クライアントおよび／またはウェブサーバ３０内に残っているセッションに関するプロセスが終了する。すなわち、図２に示すように、ウェブサーバ３０と攻撃生成端末２０１〜２０３との間のトラヒックＴ２〜４が途絶える。このように、確立していた不正なセッションが解放されることにより、検出システム１００は、ウェブサーバ３０のセッションに関するリソースを回復させることができる。 When the control device 110 receives a notification from the detection device 130 that an unauthorized session has been detected, the control device 110 specifies information for identifying the unauthorized session (for example, a source IP address, a source port number, and a destination IP address). , Destination port number, etc.). Then, based on the received information, the control device 110 sends a filter instruction to the relay device 120 for the source IP address of the client corresponding to the identified unauthorized session among the sessions related to the web server 30 to be monitored. Send. In addition, the control device 110 corresponds to a session established with the client (here, the attack generation terminals 20 1 to 20 3 ) corresponding to an unauthorized session or an IP address to be filtered with respect to the web server 30. A connection reset command (TCP reset signal) that is a control signal for releasing all sessions to be transmitted is transmitted to the client and / or the web server 30 (step S24). As a result, the session between the web server 30 and the attack generation terminals 20 1 to 20 3 is released, and the process regarding the session remaining in the client and / or the web server 30 ends. That is, as shown in FIG. 2, the traffic T2-4 between the web server 30 and the attack generation terminals 20 1 to 20 3 is interrupted. In this way, the detection system 100 can recover resources related to the session of the web server 30 by releasing the established invalid session.

次に、図３を用いて、第１の実施の形態に係る検出システム１００による検出処理のうち、図２から継続する処理について説明する。図３は、第１の実施の形態に係る検出システム１００による検出処理の一例を説明する図（３）である。   Next, of the detection processing performed by the detection system 100 according to the first embodiment, processing continued from FIG. 2 will be described with reference to FIG. FIG. 3 is a diagram (3) illustrating an example of the detection process performed by the detection system 100 according to the first embodiment.

図３に示すように、中継装置１２０は、中継するトラヒックに関する通信状況を制御装置１１０に通知する（ステップＳ３０）。また、検出装置１３０は、ミラーリングしているトラヒックに関しての検出状況を制御装置１１０に通知する（ステップＳ３１）。そして、制御装置１１０は、双方の装置から通知された各情報により、現在のトラヒックの状況が所定の状態にあるか否かを判定する。例えば、制御装置１１０は、中継装置１２０から、所定時間フィルタの対象となっているＩＰアドレスからの通信が所定量以下となっている旨の情報を取得する。具体的には、制御装置１１０は、１つのＩＰアドレスあたりからの、または、フィルタの対象となっていた前ＩＰアドレスからの通信が、所定量以下（０の場合を含む）となっている状態が所定時間継続された旨の情報を中継装置１２０から取得する。また、制御装置１１０は、所定時間、検出装置１３０がミラーリングしているトラヒックに関して不正なセッションを検出していない旨の情報を取得する（所定時間不正なセッションの検出通知を受けないことでもよい）。そして、制御装置１１０は、取得した各情報に基づいて、不正通信による攻撃が止んだことを判定する。そして、制御装置１１０は、中継装置１２０に対してトラヒックのミラーリングを解除する指示を送信する（ステップＳ３２）。かかる指示を受け付けた中継装置１２０は、検出装置１３０へのミラーリングを解除する（ステップＳ３３）。   As shown in FIG. 3, the relay device 120 notifies the control device 110 of the communication status regarding the traffic to be relayed (step S30). Further, the detection device 130 notifies the control device 110 of the detection status regarding the traffic being mirrored (step S31). Then, the control device 110 determines whether or not the current traffic state is in a predetermined state based on the information notified from both devices. For example, the control device 110 acquires from the relay device 120 information indicating that the communication from the IP address that is subject to filtering for a predetermined time is equal to or less than a predetermined amount. Specifically, the control device 110 is in a state in which the communication from one IP address or from the previous IP address that is the target of filtering is equal to or less than a predetermined amount (including the case of 0). Is acquired from the relay device 120 to the effect that has been continued for a predetermined time. In addition, the control device 110 acquires information indicating that an unauthorized session has not been detected for traffic that is being mirrored by the detection device 130 for a predetermined time (it may not receive a detection notification of an unauthorized session for a predetermined time). . And the control apparatus 110 determines that the attack by unauthorized communication stopped based on each acquired information. Then, the control device 110 transmits an instruction to cancel the traffic mirroring to the relay device 120 (step S32). The relay device 120 that has received the instruction cancels the mirroring to the detection device 130 (step S33).

さらに、所定時間後、制御装置１１０は、中継装置１２０に指示していたフィルタについて、解除する指示を送信する（ステップＳ３４）。かかる指示により、中継装置１２０は、実施していたフィルタを解除する。そして、検出システム１００は、制御装置１１０が通信量およびセッション数に関する情報を逐次取得するという平常時の状態に戻り、ウェブサーバ３０に対するトラヒックの観測を継続する。   Further, after a predetermined time, the control device 110 transmits an instruction to cancel the filter that has been instructed to the relay device 120 (step S34). In response to the instruction, the relay apparatus 120 cancels the filter that has been executed. Then, the detection system 100 returns to a normal state in which the control device 110 sequentially acquires information on the traffic and the number of sessions, and continues to observe traffic on the web server 30.

なお、上記のステップＳ３０〜３２において、制御装置１１０は、中継装置１２０および検出装置１３０から所定の通知を受け、かかる通知に含まれる情報に基づいて、ミラーリングやフィルタを解除する指示を出す例について説明した。ここで、制御装置１１０は、中継装置１２０および検出装置１３０から送信される情報のうち、いずれか一方を判断要素として採用してもよく、また制御装置１１０から中継装置１２０へ送信する指示をいずれか一方のみとしてもよい。すなわち、制御装置１１０は、検出装置１３０が不正な通信を検出することなく、および／または中継装置１２０がフィルタしている通信に該当する送信元（例えば、ＩＰアドレスにより判別される）からの通信が所定量以下である状態が所定時間継続された場合に、ミラーリングを解除させる指示、および／またはフィルタを解除させる指示を中継装置１２０へ送信するようにしてもよい。具体的には、制御装置１１０は、検出装置１３０が不正な通信を検出しない場合に、ミラーリングを解除させること、フィルタを解除させること、もしくは、ミラーリング及びフィルタを解除させることのいずれかを指示することができる。また、制御装置１１０は、フィルタしている通信に該当する送信元からの通信が所定量以下である状態が所定時間継続された場合に、ミラーリングを解除させること、フィルタを解除させること、もしくは、ミラーリング及びフィルタを解除させることのいずれかを指示することができる。また、制御装置１１０は、検出装置１３０が不正な通信を検出しない、かつ、フィルタしている通信に該当する送信元からの通信が所定量以下である状態が所定時間継続された場合に、ミラーリングを解除させること、フィルタを解除させること、もしくは、ミラーリング及びフィルタを解除させることのいずれかを指示することができる。このように、制御装置１１０は、通信の監視状況、もしくは監視対象の動向に応じて、柔軟にミラーリング及びフィルタの設定を適切な状態に変更させることができる。   Note that, in steps S30 to S32 described above, the control device 110 receives a predetermined notification from the relay device 120 and the detection device 130, and issues an instruction to cancel mirroring or filtering based on information included in the notification. explained. Here, the control device 110 may adopt any one of the information transmitted from the relay device 120 and the detection device 130 as a determination element, and may also indicate any instruction to transmit from the control device 110 to the relay device 120. Only one of them may be used. That is, the control device 110 does not detect unauthorized communication by the detection device 130 and / or communicates from a transmission source (for example, determined by an IP address) corresponding to the communication filtered by the relay device 120. May be transmitted to relay device 120 when mirroring is canceled and / or when the filter is canceled when a state where is less than or equal to a predetermined amount continues for a predetermined time. Specifically, when the detection device 130 does not detect unauthorized communication, the control device 110 instructs to cancel the mirroring, release the filter, or release the mirroring and the filter. be able to. Also, the control device 110 cancels the mirroring, cancels the filter, or cancels the filter when the state where the communication from the transmission source corresponding to the communication being filtered is a predetermined amount or less continues for a predetermined time, or Either mirroring or disabling the filter can be instructed. In addition, the control device 110 performs mirroring when the detection device 130 does not detect unauthorized communication and the state where the communication from the transmission source corresponding to the filtered communication is less than or equal to a predetermined amount continues for a predetermined time. Can be instructed to cancel the filter, cancel the filter, or cancel the mirroring and the filter. In this way, the control device 110 can flexibly change the mirroring and filter settings to an appropriate state in accordance with the communication monitoring status or the trend of the monitoring target.

このように、第１の実施の形態に係る検出システム１００は、監視対象であるウェブサーバ３０との通信を中継する中継装置１２０と、検出装置１３０と、制御装置１１０とを備える。制御装置１１０は、ウェブサーバ３０のリソースに関する情報に異常を検知した場合に、中継装置１２０によって中継される通信を検出装置１３０にミラーリングさせる指示を送信する。検出装置１３０は、制御装置１１０によって送信された指示に従って中継装置１２０からミラーリングされた通信の中から、不正な通信を検出する。そして、制御装置１３０は、検出装置１３０による検出処理の結果に基づいて、特定された不正な通信を遮断させる指示を中継装置１２０に送信する。   As described above, the detection system 100 according to the first embodiment includes the relay device 120 that relays communication with the web server 30 to be monitored, the detection device 130, and the control device 110. When detecting an abnormality in the information related to the resources of the web server 30, the control device 110 transmits an instruction to cause the detection device 130 to mirror the communication relayed by the relay device 120. The detection device 130 detects unauthorized communication from the communication mirrored from the relay device 120 according to the instruction transmitted by the control device 110. Then, the control device 130 transmits an instruction to block the specified unauthorized communication to the relay device 120 based on the result of the detection process by the detection device 130.

すなわち、第１の実施の形態に係る検出システム１００は、常時通信に関する精密な検出を行わずとも、ウェブサーバ３０の通信量と、ウェブサーバ３０のリソース（例えば、セッション数）に関する情報とを定期的にまたは逐次取得することにより、通信に対して精密な検出を行うか否かを動的に判定する。これは、不正通信による攻撃の手法の一例であるＳｌｏｗＤｏＳ攻撃に有用な処理手法であるといえる。例えば、ＳｌｏｗＤｏＳ攻撃は、頻繁に発生している可能性は高くないため、常時監視の必要性は低いという特徴がある。また、ＳＱＬインジェクションやサーバの脆弱性を突いたマルウェアの埋込みなどといった侵入攻撃と比べて、ＳｌｏｗＤｏＳ攻撃は、攻撃を受けるネットワークやサーバのリソースを消費させられることになるが、リソースが枯渇しない限りにおいてサービスを継続できる。具体的には、サーバは、許容される最大数までセッションが埋め尽くされない限り新たなセッションを確立することができるため、ある程度の数の不正セッションを張られたとしても自身のサービスを提供し続けることができる。   That is, the detection system 100 according to the first embodiment periodically determines the communication amount of the web server 30 and information on the resources (for example, the number of sessions) of the web server 30 without performing precise detection related to constant communication. Whether or not to perform precise detection for communication is dynamically determined by acquiring automatically or sequentially. This can be said to be a processing technique useful for a SlowDoS attack, which is an example of an attack technique based on unauthorized communication. For example, SlowDoS attacks are not likely to occur frequently, and thus there is a feature that the necessity for constant monitoring is low. Also, compared to intrusion attacks such as SQL injection and malware intrusion that exploits server vulnerabilities, SlowDoS attacks consume the resources of the network or server under attack, but as long as the resources are not exhausted. The service can be continued. Specifically, the server can establish a new session as long as the maximum number of sessions is not filled, so it will continue to provide its services even if a certain number of unauthorized sessions are established. be able to.

このような攻撃の特徴に鑑み、検出システム１００は、上述したように、通信量とセッション数との関係性を監視することにより、ミラーリングする通信を抽出し、抽出された通信から不正なセッションを検出する。すなわち、検出システム１００は、不正通信による攻撃の手法に合わせて、常に全ての通信を監視するのではなく、動的に検出する通信を抽出することで、検出処理に係る負荷を軽減させる。これにより、検出システム１００は、検出に係る処理負荷を抑えた上で、不正通信による攻撃を効果的に検出することができる。   In view of the characteristics of such attacks, the detection system 100 extracts the communication to be mirrored by monitoring the relationship between the traffic and the number of sessions as described above, and detects an unauthorized session from the extracted communication. To detect. That is, the detection system 100 reduces the load related to the detection process by extracting the dynamically detected communication instead of always monitoring all the communication in accordance with the attack method by the unauthorized communication. Thereby, the detection system 100 can effectively detect an attack caused by unauthorized communication while suppressing the processing load related to detection.

［処理手順］
次に、図４を用いて、上述した検出システム１００による検出処理の手順について詳細に説明する。図４は、第１の実施の形態に係る検出システム１００による処理手順を示すフローチャートである。 [Processing procedure]
Next, the procedure of the detection process by the detection system 100 described above will be described in detail with reference to FIG. FIG. 4 is a flowchart illustrating a processing procedure performed by the detection system 100 according to the first embodiment.

図４に示すように、制御装置１１０は、通信量およびセッション数など、監視対象であるウェブサーバ３０に関する通信を監視する（ステップＳ１０１）。そして、制御装置１１０は、監視しているウェブサーバ３０において、セッションの異常を検知したか否かを判定する（ステップＳ１０２）。制御装置１１０は、セッションの異常を検知していない場合（ステップＳ１０２；Ｎｏ）、監視を継続する。   As illustrated in FIG. 4, the control device 110 monitors communication related to the web server 30 to be monitored, such as the traffic and the number of sessions (step S <b> 101). And the control apparatus 110 determines whether the abnormality of the session was detected in the web server 30 currently monitored (step S102). The control device 110 continues monitoring if no session abnormality is detected (step S102; No).

一方、セッションの異常を検知した場合（ステップＳ１０２；Ｙｅｓ）、制御装置１１０は、中継装置１２０に対して、トラヒックのミラーリングを開始させる指示を送信する。そして、中継装置１２０は、検出装置１３０に向けてトラヒックのミラーリングを開始する（ステップＳ１０３）。   On the other hand, when an abnormality of the session is detected (step S102; Yes), the control device 110 transmits an instruction to start traffic mirroring to the relay device 120. Then, the relay device 120 starts traffic mirroring toward the detection device 130 (step S103).

そして、ミラーリングされているトラヒックに関して、検出装置１３０は、不正セッションを検出したか否かを判定する（ステップＳ１０４）。不正なセッションを検出しない場合（ステップＳ１０４；Ｎｏ）、検出処理を継続し、所定時間が経過したか否かを判定する（ステップＳ１０５）。所定時間が経過していない間は（ステップＳ１０５；Ｎｏ）、検出装置１３０は、検出処理を継続する。所定時間が経過した場合（ステップＳ１０５；Ｙｅｓ）、検出装置１３０は、制御装置１１０に不正なセッションが検出されない旨を送信する。そして、制御装置１１０は、ミラーリング解除の指示を中継装置１２０へ送信することで、ミラーリングを解除させる（ステップＳ１０６）。そして、検出システム１００は、通信を監視するステップに戻る（Ｓ１０１）。   Then, regarding the traffic that has been mirrored, the detection device 130 determines whether or not an unauthorized session has been detected (step S104). When an unauthorized session is not detected (step S104; No), the detection process is continued, and it is determined whether a predetermined time has elapsed (step S105). While the predetermined time has not elapsed (step S105; No), the detection device 130 continues the detection process. When the predetermined time has elapsed (step S105; Yes), the detection device 130 transmits to the control device 110 that an unauthorized session is not detected. And the control apparatus 110 cancels | releases mirroring by transmitting the instruction | indication of mirroring cancellation | release to the relay apparatus 120 (step S106). Then, the detection system 100 returns to the step of monitoring communication (S101).

一方、検出装置１３０は、ステップＳ１０４において、不正なセッションを検出した場合には（ステップＳ１０４；Ｙｅｓ）、不正なセッションを特定する情報を送信する。そして、かかる情報を受信した制御装置１１０の指示に従い、中継装置１２０は、不正なセッションに該当する送信元ＩＰアドレスに対するフィルタを開始する（ステップＳ１０７）。   On the other hand, when detecting an unauthorized session in step S104 (step S104; Yes), the detection device 130 transmits information for identifying the unauthorized session. Then, according to the instruction of the control device 110 that has received such information, the relay device 120 starts filtering the transmission source IP address corresponding to the unauthorized session (step S107).

続いて、検出装置１３０は、不正セッションが所定時間検出されなくなったか否かを判定する（ステップＳ１０８）。不正セッションを検出している間は（ステップＳ１０８；Ｎｏ）、検出装置１３０は、検出を継続する。一方、不正セッションを所定時間検出しなくなったら（ステップＳ１０８；Ｙｅｓ）、検出装置１３０は、かかる情報を制御装置１１０に送信する。そして、制御装置１１０は、ミラーリング解除の指示を中継装置１２０へ送信する。これにより、中継装置１２０は、ミラーリングを解除する（ステップＳ１０９）。   Subsequently, the detection device 130 determines whether or not an unauthorized session is not detected for a predetermined time (step S108). While the unauthorized session is detected (step S108; No), the detection device 130 continues the detection. On the other hand, if the unauthorized session is not detected for a predetermined time (step S108; Yes), the detection device 130 transmits such information to the control device 110. Then, the control device 110 transmits a mirroring cancellation instruction to the relay device 120. Thereby, the relay apparatus 120 cancels | releases mirroring (step S109).

ミラーリングが解除された後においても、中継装置１２０は、端末１０や攻撃生成端末２０からの通信の中継を継続し、セッションの試行が所定時間止んだか否かを判定する（ステップＳ１１０）。所定時間が経過していない場合は（ステップＳ１１０；Ｎｏ）、中継装置１２０は、セッションの試行に関する観測を続ける。   Even after the mirroring is released, the relay device 120 continues relaying communication from the terminal 10 and the attack generation terminal 20, and determines whether or not the session attempt has stopped for a predetermined time (step S110). If the predetermined time has not elapsed (step S110; No), the relay device 120 continues to observe the session trial.

一方、所定時間が経過した場合は（ステップＳ１１０；Ｙｅｓ）、中継装置１２０は、中継するトラヒックにおいて、フィルタ設定している通信が観測されない旨の情報を制御装置１１０に送信する。そして、制御装置１１０からの指示に従い、中継装置１２０は、フィルタを解除する（ステップＳ１１１）。検出システム１００は、上記の処理を繰り返し実行する（ステップＳ１０１）。   On the other hand, when the predetermined time has elapsed (step S110; Yes), the relay apparatus 120 transmits information indicating that the filter-set communication is not observed to the control apparatus 110 in the relayed traffic. And according to the instruction | indication from the control apparatus 110, the relay apparatus 120 cancels | releases a filter (step S111). The detection system 100 repeatedly executes the above processing (step S101).

なお、上述したように、制御装置１１０は、不正セッションが所定時間検出されなくなったという検出装置１３０からの通知のみを判断要素としてミラーリングを解除する指示を出してもよいし、セッションの試行が所定時間止んだという中継装置１２０からの通知と併せて、ミラーリング及びフィルタの解除の指示を行ってもよい。また、制御装置１１０は、所定時間不正な通信を検出しないことを契機にミラーリングを解除するだけでなく、所定時間不正な通信の検出数が所定値以下である場合もミラーリング解除の対象としてもよい。すなわち、図４におけるステップＳ１０８〜Ｓ１１１の処理手順は、制御装置１１０がミラーリング及びフィルタ解除の指示に係る判断要素によって、柔軟に変更可能である。   Note that, as described above, the control device 110 may issue an instruction to cancel the mirroring based on only the notification from the detection device 130 that the unauthorized session is not detected for a predetermined time, or the session trial is predetermined. Along with the notification from the relay apparatus 120 that the time has stopped, an instruction to cancel the mirroring and the filter may be given. In addition, the control device 110 not only cancels the mirroring when no unauthorized communication is detected for a predetermined time, but may also be a mirroring cancellation target when the number of detected unauthorized communications for a predetermined time is equal to or less than a predetermined value. . That is, the processing procedure of steps S108 to S111 in FIG. 4 can be flexibly changed by the control device 110 according to the determination element related to the mirroring and filter release instructions.

［第１の実施の形態の効果］ [Effect of the first embodiment]

このように、第１の実施の形態に係る検出システム１００は、常に全ての通信を監視するのではなく、動的に検出する通信を抽出することで、検出処理に係る負荷を軽減させる。これにより、検出システム１００は、検出に係る処理負荷を抑えた上で、不正通信による攻撃を効果的に検出することができる。   As described above, the detection system 100 according to the first embodiment reduces the load related to the detection process by extracting the dynamically detected communication instead of always monitoring all the communication. Thereby, the detection system 100 can effectively detect an attack caused by unauthorized communication while suppressing the processing load related to detection.

［第２の実施の形態］
以下では、第２の実施の形態に係る検出システムの構成および処理を説明し、最後に第２の実施の形態による効果を説明する。 [Second Embodiment]
Below, the structure and process of the detection system which concern on 2nd Embodiment are demonstrated, and the effect by 2nd Embodiment is demonstrated finally.

［第２の実施の形態に係る検出処理の一例］
まず、図５を用いて、第２の実施の形態に係る検出システム１００による検出処理の一例を説明する。図５は、第２の実施の形態に係る検出システム１００による検出処理の一例を説明する図である。図５に示すように、検出システム１００は、制御装置１１０、中継装置１２０、検出装置１３０に加え、蓄積装置１４０を有する。なお、以下の説明において、第１の実施の形態において説明した内容については説明を省略する。また、図５においては、クライアントとウェブサーバ３０との通信をトラヒックＴ１１として示しているが、かかる通信を行うクライアントの図示は省略する。 [Example of Detection Processing According to Second Embodiment]
First, an example of detection processing by the detection system 100 according to the second embodiment will be described with reference to FIG. FIG. 5 is a diagram illustrating an example of detection processing by the detection system 100 according to the second embodiment. As illustrated in FIG. 5, the detection system 100 includes a storage device 140 in addition to the control device 110, the relay device 120, and the detection device 130. In the following description, description of the contents described in the first embodiment is omitted. In FIG. 5, communication between the client and the web server 30 is shown as traffic T11, but illustration of the client that performs such communication is omitted.

第１の実施の形態において、検出システム１００は、通信の異常を検知し、不正なセッションを検出する例を示した。すなわち、第１の実施の形態に係る検出システム１００が実行する検出処理は、検出装置１３０による検出処理の開始後に観測可能な不正なセッションを検出するものであり、適用される不正なセッションを検出する検出ルールによっては、例えばセッション開始時の通信から監視する必要がある検出ルールが適用された場合、既に確立済みのセッションについては検出が難しくなってしまう場合がある。   In 1st Embodiment, the detection system 100 showed the example which detects abnormality of communication and detects an unauthorized session. That is, the detection process executed by the detection system 100 according to the first embodiment is to detect an illicit session that can be observed after the detection process by the detection device 130 is started. Depending on the detection rule to be used, for example, when a detection rule that needs to be monitored from communication at the start of a session is applied, it may be difficult to detect an already established session.

そこで、第２の実施の形態に係る検出システム１００は、監視モードに移行する以前から、ウェブサーバ３０とクライアントとの通信に係る情報を蓄積しておく。具体的には、第２の実施の形態に係る検出システム１００が備える蓄積装置１４０は、中継装置１２０が中継するウェブサーバ３０とクライアントとのトラヒックをミラーリングすることで、トラヒックに係るデータ（すなわち、ウェブサーバ３０に関する通信データ）を蓄積し続ける。このとき、蓄積装置１４０は、蓄積しているデータ量が上限に近付くと、記憶している時間が古い順に通信データを破棄し、空き領域を確保して新たに入力される通信データを蓄積する。または、破棄してよいと判断した古い情報を新たに入力される情報で上書きすることとしてもよい。そして、蓄積装置１４０は、ウェブサーバ３０の通信量やセッション数の状況に異常が検知されたこと、または、中継装置１２０が制御装置１１０によって送信された指示に従ってミラーリングを開始したこと／開始すること（言い換えれば、制御装置１１０が中継装置１２０に対してミラーリング指示を送信したこと／送信すること）、または、検知装置１３０の不正なセッション検知により制御装置１１０が所定数の不正なセッションに関する通知を受けたことを契機として、制御装置１１０からの指示を受けて、蓄積したデータを検出装置１３０に流し込む。これにより、検出装置１３０は、トラヒックのミラーリングを開始した以前のセッションについて、蓄積されていたデータの分だけ遡って不正なセッションを検出することが可能となる。   Therefore, the detection system 100 according to the second embodiment accumulates information related to communication between the web server 30 and the client before shifting to the monitoring mode. Specifically, the storage device 140 included in the detection system 100 according to the second embodiment mirrors the traffic between the web server 30 and the client relayed by the relay device 120, so that the data related to the traffic (that is, The communication data regarding the web server 30 is continuously accumulated. At this time, when the amount of stored data approaches the upper limit, the storage device 140 discards the communication data in the oldest storage time, secures a free space, and stores newly input communication data. . Alternatively, the old information determined to be discarded may be overwritten with newly input information. Then, the storage device 140 has detected / abnormally detected an abnormality in the traffic volume or the number of sessions of the web server 30, or has started / started mirroring according to the instruction transmitted by the relay device 120 by the control device 110. (In other words, the control device 110 has transmitted / transmitted a mirroring instruction to the relay device 120), or the control device 110 has notified the predetermined number of unauthorized sessions due to the detection of an unauthorized session by the detection device 130. The received data is received as an opportunity to receive the instruction from the control device 110 and flow the accumulated data into the detection device 130. As a result, the detection device 130 can detect an unauthorized session retroactively by the amount of accumulated data with respect to the session before the start of traffic mirroring.

以下、第２の実施の形態に係る検出システム１００が実行する検出処理の一例について、図５を用いて詳細に説明する。図５に示すように、検出システム１００に係る中継装置１２０は、クライアントからウェブサーバ３０へ送信されるトラヒックＴ１１を中継する。このとき、蓄積装置１４０は、トラヒックＴ１１に係る通信データを所定の蓄積部に蓄える蓄積処理を行う（ステップＳ４１）。   Hereinafter, an example of the detection process executed by the detection system 100 according to the second embodiment will be described in detail with reference to FIG. As illustrated in FIG. 5, the relay device 120 according to the detection system 100 relays traffic T <b> 11 transmitted from the client to the web server 30. At this time, the storage device 140 performs a storage process for storing communication data related to the traffic T11 in a predetermined storage unit (step S41).

ここで、制御装置１１０は、ウェブサーバ３０に関する通信に異常を検知したものとする（ステップＳ４２）。そして、第１の実施の形態と同様に、制御装置１１０は、中継装置１２０に対してトラヒックＴ１１のミラーリング指示を送信する（ステップＳ４３）。そして、制御装置１１０は、ミラーリング指示を送信したことを契機として、蓄積装置１４０に対して、蓄積されているデータの流し込み処理を行うよう指示を送信する（ステップＳ４４）。なお、制御装置１１０は、上述のように、ミラーリング指示を送信したこと（あるいは、送信すること）のみならず、例えば、ウェブサーバ３０の通信量やセッション数の状況に異常が検知されたこと、または、検知装置１３０の不正なセッション検知により制御装置１１０が所定数の不正なセッションに関する通知を受けたこと等のいずれかを契機として、流し込み処理を行うよう指示を送信してもよい。これは、通信に異常が検知されたことや、不正セッションが検知されたことは、ミラーリング開始された時点において既に確立しているセッションの中にも不正セッションがある可能性が高いことが想定されるからである。   Here, the control apparatus 110 shall detect abnormality in communication regarding the web server 30 (step S42). Then, similarly to the first embodiment, the control device 110 transmits a traffic T11 mirroring instruction to the relay device 120 (step S43). And the control apparatus 110 transmits the instruction | indication to perform the pouring process of the accumulate | stored data with respect to the storage apparatus 140 by having triggered the mirroring instruction | indication (step S44). In addition, as described above, the control device 110 not only transmits (or transmits) the mirroring instruction, but also detects, for example, an abnormality in the communication amount of the web server 30 and the number of sessions. Alternatively, an instruction may be transmitted to perform the pouring process when the control device 110 receives a notification regarding a predetermined number of unauthorized sessions due to the detection of an unauthorized session by the detection device 130. This is because it is assumed that there is a high possibility that there is an unauthorized session among the sessions already established at the time mirroring was started because an abnormality in communication was detected or an invalid session was detected. This is because that.

そして、第１の実施の形態と同様に、中継装置１２０は、検出装置１３０へトラヒックをミラーリングする（ステップＳ４５）。このとき、蓄積装置１４０は、検出装置１３０に流し込むための蓄積したデータであって、検出処理に有用なデータを検出装置１３０に流し込む（ステップＳ４６）。そして、検出装置１３０は、中継装置１２０から直接的にミラーリングした通信のみならず、蓄積装置１４０から流し込まれた通信も含めて、不正なセッションを検出する。そして、検出装置１３０は、検出結果を制御装置１１０に通知する（ステップＳ４７）。   Then, as in the first embodiment, the relay device 120 mirrors traffic to the detection device 130 (step S45). At this time, the storage device 140 flows data that has been accumulated to flow into the detection device 130 and is useful for detection processing into the detection device 130 (step S46). Then, the detection device 130 detects an unauthorized session including not only communication directly mirrored from the relay device 120 but also communication sent from the storage device 140. Then, the detection device 130 notifies the detection result to the control device 110 (step S47).

このように、第２の実施の形態に係る検出システム１００は、中継装置１２０によって中継される通信に係る情報である通信データ（トラヒック、例えば、ミラーリングされたパケットそのものでもよいし、検出装置１３０に適用されている検出ルールによる判定に必要な情報を抽出、整形した通信データでもよい）を蓄積するとともに、蓄積可能な容量の上限に達する前に、蓄積している通信データを所定の順に廃棄する蓄積装置１４０をさらに備える。蓄積装置１４０は、蓄積された通信データのうち、検出装置１３０が制御装置１１０によって送信された指示に従ってミラーリングを開始したタイミング以前に蓄積された通信データを検出装置１３０に送信する。そして、検出装置１３０は、制御装置１１０によって送信された指示に従ってミラーリングされた通信、および蓄積装置１４０から送信された通信データの中から、不正な通信を検出する。   As described above, the detection system 100 according to the second embodiment may be communication data (traffic, for example, a mirrored packet itself, which is information related to communication relayed by the relay device 120, or may be included in the detection device 130. (It may be communication data that is extracted and shaped information necessary for determination based on the applied detection rule) and discards the accumulated communication data in a specified order before reaching the upper limit of the capacity that can be stored A storage device 140 is further provided. The storage device 140 transmits communication data stored before the timing at which the detection device 130 starts mirroring in accordance with the instruction transmitted by the control device 110 among the stored communication data to the detection device 130. The detection device 130 detects unauthorized communication from the communication mirrored according to the instruction transmitted from the control device 110 and the communication data transmitted from the storage device 140.

すなわち、第２の実施の形態に係る検出システム１００は、第１の実施の形態に加えて、検出を行う通信に関するバッファ（buffer）機構を備え、かかるバッファに蓄積された通信に関しても不正なセッションを検出する処理を行うことができる。言い換えれば、第２の実施の形態に係る検出システム１００は、監視モードに移行した時点で既に確立しているセッションに対しても、蓄積されたトラヒック分だけ遡って不正なセッションを検出できる。このように、第２の実施の形態に係る検出システム１００は、第１の実施の形態と比較して、検出処理の対象となるセッションを増大させることができるので、より多くの不正なセッションを検出することが期待できる。また、第２の実施の形態に係る検出システム１００において、セッションが開始される時点からの挙動に基づいて不正を検出するロジックなどが検出処理に用いられているような場合には、第２の実施の形態に係る検出システム１００は、より不正なセッションを検出する精度を向上させることができる。   In other words, in addition to the first embodiment, the detection system 100 according to the second embodiment includes a buffer mechanism related to communication that performs detection, and an unauthorized session is also performed regarding communication accumulated in the buffer. Can be processed. In other words, the detection system 100 according to the second embodiment can detect an unauthorized session as far back as the accumulated traffic even for a session already established at the time of shifting to the monitoring mode. As described above, the detection system 100 according to the second embodiment can increase the number of sessions that are targets of detection processing as compared to the first embodiment, and therefore, more unauthorized sessions can be performed. It can be expected to detect. Further, in the detection system 100 according to the second embodiment, when the logic for detecting fraud based on the behavior from the start of the session is used for the detection process, the second The detection system 100 according to the embodiment can improve the accuracy of detecting a more unauthorized session.

［蓄積装置１４０の構成］
以下では、上述してきた第２の実施の形態に係る蓄積装置１４０を構成する各処理部について、図６乃至図８を用いて詳細に説明する。まず、図６を用いて、第２の実施の形態に係る蓄積装置１４０の構成について説明する。図６は、第２の実施の形態に係る蓄積装置１４０の構成の一例を示す図である。図６に例示するように、蓄積装置１４０は、ＩＦ部１４１と、蓄積部１４２と、制御部１４５とを有する。 [Configuration of Storage Device 140]
Hereinafter, each processing unit constituting the storage device 140 according to the second embodiment described above will be described in detail with reference to FIGS. 6 to 8. First, the configuration of the storage device 140 according to the second embodiment will be described with reference to FIG. FIG. 6 is a diagram illustrating an example of the configuration of the storage device 140 according to the second embodiment. As illustrated in FIG. 6, the storage device 140 includes an IF unit 141, a storage unit 142, and a control unit 145.

ＩＦ部１４１は、例えば、ＮＩＣ（Network Interface Card）等であり、外部装置との間で各種データを送受信する。例えば、ＩＦ部１４１は、制御装置１１０、中継装置１２０、あるいは検出装置１３０との間で通信に関する情報を送受信する。   The IF unit 141 is a NIC (Network Interface Card), for example, and transmits / receives various data to / from an external device. For example, the IF unit 141 transmits and receives information related to communication with the control device 110, the relay device 120, or the detection device 130.

蓄積部１４２は、例えば、ＲＡＭ（Random Access Memory)、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。図６に示すように、蓄積部１４２は、通信データ蓄積部１４３と、抽出セッション蓄積部１４４とを有する。   The storage unit 142 is realized by, for example, a semiconductor memory device such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk. As illustrated in FIG. 6, the storage unit 142 includes a communication data storage unit 143 and an extraction session storage unit 144.

（通信データ蓄積部１４３について）
通信データ蓄積部１４３は、中継装置１２０を介するトラヒックに含まれる通信データ（パケットやパケットの一部分など）を逐次取得し、蓄積する。ここで、図７に、第２の実施の形態に係る通信データ蓄積部１４３の一例を示す。図７に示すように、通信データ蓄積部１４３は、「通信データ番号」、「送信元ＩＰアドレス」、「送信元ポート番号」、「宛先ＩＰアドレス」、「宛先ポート番号」、「プロトコル番号」、「パケットサイズ」といった項目を有する。 (About the communication data storage unit 143)
The communication data storage unit 143 sequentially acquires and stores communication data (packets, a part of the packets, etc.) included in the traffic via the relay device 120. FIG. 7 shows an example of the communication data storage unit 143 according to the second embodiment. As illustrated in FIG. 7, the communication data storage unit 143 includes “communication data number”, “source IP address”, “source port number”, “destination IP address”, “destination port number”, and “protocol number”. And “packet size”.

「通信データ番号」は、クライアントとウェブサーバ３０とのトラヒックに係る通信データを識別する番号を示す。ここでは、通信データ番号は、データが蓄積装置１４０に蓄積された順番に番号が振られる例を示している。   The “communication data number” indicates a number for identifying communication data related to traffic between the client and the web server 30. Here, the communication data number is an example in which numbers are assigned in the order in which data is stored in the storage device 140.

「送信元ＩＰアドレス」は、通信データを送信している送信元を特定するＩＰアドレスを示す。ここでは、送信元ＩＰアドレスは、クライアント、またはウェブサーバ３０を特定する情報となる。「送信元ポート番号」は、送信元のデータ送信に利用されているポート番号を示す。   The “source IP address” indicates an IP address that identifies a source that is transmitting communication data. Here, the source IP address is information that identifies the client or the web server 30. The “transmission source port number” indicates a port number used for data transmission of the transmission source.

「宛先ＩＰアドレス」は、通信データの送信先である宛先を特定するＩＰアドレスを示す。「宛先ポート番号」は、通信データの送信先である宛先側が利用するポート番号を示す。「プロトコル番号」は、通信に使用されているプロトコルを識別する番号を示す。「パケットサイズ」は、データ通信に係るパケットの通信量を示す。   The “destination IP address” indicates an IP address that identifies a destination that is a transmission destination of communication data. The “destination port number” indicates a port number used by the destination side that is the transmission destination of the communication data. “Protocol number” indicates a number for identifying a protocol used for communication. “Packet size” indicates the amount of packet communication related to data communication.

すなわち、図７では、通信データ番号が「００１」である通信データは、送信元ＩＰアドレスが「ＡＡＡ」であり、送信元ポート番号が「１１１１１」であり、宛先ＩＰアドレスが「ＳＳＳ」であり、宛先ポート番号が「８０」であり、プロトコル番号が「６」であり、パケットサイズが「１００」である例を示している。   That is, in FIG. 7, the communication data having the communication data number “001” has the transmission source IP address “AAA”, the transmission source port number “11111”, and the destination IP address “SSS”. In this example, the destination port number is “80”, the protocol number is “6”, and the packet size is “100”.

なお、図７での図示は省略しているが、ＴＣＰに着目した検出ルールが検出装置１３０に適用される場合は、通信データ蓄積部１４３に蓄積される各データには、蓄積された時間や、ＴＣＰフラグや、シーケンス番号や、Ｗｉｎｄｏｗサイズ、通信におけるヘッダサイズや、ペイロード等に関する情報が含まれてもよい。   Although illustration in FIG. 7 is omitted, when a detection rule focusing on TCP is applied to the detection device 130, each data accumulated in the communication data accumulation unit 143 includes the accumulated time and , A TCP flag, a sequence number, a window size, a header size in communication, a payload, and the like may be included.

（抽出セッション蓄積部１４４について）
抽出セッション蓄積部１４４は、通信データ蓄積部１４３に蓄積されたデータを、セッション抽出部１４６によって抽出されたセッション単位で蓄積する。ここで、図８に、第２の実施の形態に係る抽出セッション蓄積部１４４の一例を示す。図８に示すように、抽出セッション蓄積部１４４は、「セッション識別子」、「番号」、「送信元ＩＰアドレス」、「送信元ポート番号」、「宛先ＩＰアドレス」、「宛先ポート番号」、「プロトコル番号」、「時間」、「パケットサイズ」といった項目を有する。なお、図７で説明した項目については、説明を省略する。 (About the extraction session storage unit 144)
The extracted session storage unit 144 stores the data stored in the communication data storage unit 143 for each session extracted by the session extraction unit 146. Here, FIG. 8 illustrates an example of the extraction session storage unit 144 according to the second embodiment. As illustrated in FIG. 8, the extracted session storage unit 144 includes “session identifier”, “number”, “source IP address”, “source port number”, “destination IP address”, “destination port number”, “ It has items such as “protocol number”, “time”, and “packet size”. Note that description of the items described in FIG. 7 is omitted.

「セッション識別子」は、通信データをセッション毎に抽出する場合に、セッションを識別するために付与される識別情報を示す。「番号」は、データが蓄積された時間の早い順に、同一セッションに含まれるデータに対して振られた順番を示す。   “Session identifier” indicates identification information given to identify a session when communication data is extracted for each session. The “number” indicates the order assigned to the data included in the same session in the order of the time when the data is accumulated.

「時間」は、データが蓄積された時間を示す。なお、抽出セッション蓄積部１４４は、セッション単位で通信データを蓄積するとともに、セッション単位ごとに蓄積の上限を設定する。図８に示した例では、一つのセッションとして同一のセッション識別子が付与されるデータは、番号「１」のデータの時間から１分の間に蓄積されるデータであるものとする（例えば、検出ルールがセッション開始から所定時間、仮に１分間分やりとりされる通信データで判定できる場合など）。例えば、「２０１４年１２月１１日１０時００分００秒」に所定の通信データが蓄積された場合には、「２０１４年１２月１１日１０時０１分００秒」までに蓄積された通信データであって、同一のセッションに含まれる通信データに対して、同一のセッション識別子が付与される。   “Time” indicates a time when data is accumulated. The extracted session storage unit 144 stores communication data in session units, and sets an upper limit for storage for each session unit. In the example illustrated in FIG. 8, data to which the same session identifier is assigned as one session is data accumulated for one minute from the time of the data of the number “1” (for example, detection For example, a rule can be determined by communication data exchanged for a predetermined time, one minute from the start of a session). For example, when the predetermined communication data is accumulated at “December 11, 2014, 10:00:00”, the communication data accumulated by “December 11, 2014, 10:01:00” And the same session identifier is provided with respect to the communication data contained in the same session.

すなわち、図８では、セッション識別子「００１」で識別されるデータであって、かかる通信データは、セッション識別子「００１」における番号が「１」であり、送信元ＩＰアドレスが「ＡＡＡ」であり、送信元ポート番号が「１１１１１」であり、宛先ＩＰアドレスが「ＳＳＳ」であり、宛先ポート番号が「８０」であり、プロトコル番号が「６」であり、時間が「２０１４年１２月１１日１０時００分００秒」であり、パケットサイズが「１０００」である例を示している。   That is, in FIG. 8, the data is identified by the session identifier “001”, and the communication data has the number “1” in the session identifier “001” and the source IP address “AAA”. The source port number is “11111”, the destination IP address is “SSS”, the destination port number is “80”, the protocol number is “6”, and the time is “December 11, 2014 10 In this example, the time is “00:00” and the packet size is “1000”.

なお、図８での図示は省略しているが、ＴＣＰに着目した検出ルールが検出装置１３０に適用される場合は、抽出セッション蓄積部１４４に蓄積される各データには、ＴＣＰフラグや、シーケンス番号や、Ｗｉｎｄｏｗサイズ、通信におけるヘッダサイズや、ペイロード等に関する情報が含まれてもよい。   Although illustration in FIG. 8 is omitted, when a detection rule focusing on TCP is applied to the detection apparatus 130, each data stored in the extraction session storage unit 144 includes a TCP flag or a sequence. Information regarding a number, a window size, a header size in communication, a payload, and the like may be included.

（制御部１４５について）
制御部１４５は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現される。また、制御部１４５は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、図示しない記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部１４５は、図６に示すように、セッション抽出部１４６と、セッション管理部１４７とを備え、データを蓄積する処理を実行する。以下、各処理部について説明する。 (About the control unit 145)
The control unit 145 is realized by an integrated circuit such as an application specific integrated circuit (ASIC) or a field programmable gate array (FPGA). The control unit 145 is realized, for example, by executing a program stored in a storage device (not shown) using a RAM as a work area by a CPU (Central Processing Unit), an MPU (Micro Processing Unit), or the like. Further, as illustrated in FIG. 6, the control unit 145 includes a session extraction unit 146 and a session management unit 147, and executes a process of storing data. Hereinafter, each processing unit will be described.

（セッション抽出部１４６について）
セッション抽出部１４６は、通信データ蓄積部１４３に蓄積されている通信データから、検出装置１３０が行う不正なセッションの検出処理に用いられるデータを抽出する。そして、セッション抽出部１４６は、抽出したデータをセッション単位で抽出セッション蓄積部１４４に蓄積する。 (About the session extraction unit 146)
The session extraction unit 146 extracts data used for the unauthorized session detection process performed by the detection device 130 from the communication data stored in the communication data storage unit 143. Then, the session extraction unit 146 accumulates the extracted data in the extraction session accumulation unit 144 for each session.

また、セッション抽出部１４６は、検出装置１３０による検出処理には用いられないと想定される通信データを優先的に廃棄するとともに、検出装置１３０による検出処理に用いられることが想定される通信データを優先的に蓄積するようにしてもよい。例えば、セッション抽出部１４６は、通信データ蓄積部１４３が蓄積している通信データから不正なセッションの検出処理に用いられる通信データを抽出する場合に、所定の条件に該当する通信データを優先的に抽出して蓄積することとしてもよい。この場合、セッション抽出部１４６は、所定の条件に該当しない通信データについては、蓄積することを要しないため、廃棄することができる。これにより、セッション抽出部１４６は、抽出セッション蓄積部１４４に蓄積されるデータ量の増大を抑えることができる。   In addition, the session extraction unit 146 preferentially discards communication data that is assumed not to be used for the detection processing by the detection device 130, and communication data that is assumed to be used for the detection processing by the detection device 130. You may make it accumulate | store preferentially. For example, the session extraction unit 146 preferentially selects communication data corresponding to a predetermined condition when extracting communication data used for detecting an unauthorized session from communication data stored in the communication data storage unit 143. It is good also as extracting and accumulating. In this case, the session extraction unit 146 can discard the communication data that does not satisfy the predetermined condition because it does not need to be accumulated. Thereby, the session extraction unit 146 can suppress an increase in the amount of data stored in the extraction session storage unit 144.

具体的には、セッション抽出部１４６は、所定の条件として、通信データの蓄積された時間情報を用いることができる。すなわち、セッション抽出部１４６は、所定のセッションにおいて、セッション開始から所定時間内（例えば、数分間など）のパケットや、所定のセッション中の任意の起点から所定時間内（例えば、数分間など）のパケットを抽出して、抽出セッション蓄積部１４４に蓄積する。   Specifically, the session extraction unit 146 can use time information stored in communication data as a predetermined condition. In other words, the session extraction unit 146 is a packet within a predetermined time (for example, several minutes) from the start of the session or within a predetermined time (for example, several minutes) from any starting point in the predetermined session in a predetermined session. The packet is extracted and stored in the extraction session storage unit 144.

また、セッション抽出部１４６は、所定の条件として、通信量であるパケット数を基準にして、蓄積する通信データを抽出してもよい。すなわち、セッション抽出部１４６は、所定のセッションにおいて、セッション開始から所定量のパケットや、所定のセッション中の任意の起点から所定量のパケットを抽出して、抽出セッション蓄積部１４４に蓄積する。   In addition, the session extraction unit 146 may extract communication data to be accumulated on the basis of the number of packets that is a communication amount as a predetermined condition. That is, the session extraction unit 146 extracts a predetermined amount of packets from the start of the session or a predetermined amount of packets from an arbitrary starting point in the predetermined session, and stores them in the extraction session storage unit 144.

また、セッション抽出部１４６は、検出装置１３０の不正なセッションの判定処理に用いる通信データとして、通信データのペイロード部分のデータが不要な場合には、通信データのペイロード部分を０バイト、または小サイズに加工したうえで、抽出セッション蓄積部１４４に蓄積してもよい。   In addition, when the data of the payload portion of the communication data is unnecessary as the communication data used for the determination process of the unauthorized session of the detection device 130, the session extraction unit 146 sets the payload portion of the communication data to 0 bytes or a small size. May be stored in the extraction session storage unit 144.

（セッション管理部１４７について）
セッション管理部１４７は、通信データ蓄積部１４３や、抽出セッション蓄積部１４４に蓄積されたデータの入出力について管理する。具体的には、セッション管理部１４７は、制御装置１１０からデータの流し込みの指示を受けたことを契機に、かかる指示に対応する通信データを検出装置１３０へ流し込む（送信する）処理を実行させる。また、セッション管理部１４７は、通信データ蓄積部１４３や、抽出セッション蓄積部１４４の使用状況を監視し、通信データ蓄積部１４３や、抽出セッション蓄積部１４４に蓄積されるデータ量に所定の閾値を設定しておくことによって、蓄積可能な容量の上限に達する前に、不要となった通信データを廃棄する。例えば、セッション管理部１４７は、検出装置１３０による検出処理には用いられないと想定される通信データを優先的に廃棄するとともに、検出装置１３０による検出処理に用いられることが想定される通信データを優先的に蓄積するように管理する。 (About session management unit 147)
The session management unit 147 manages input / output of data stored in the communication data storage unit 143 and the extracted session storage unit 144. Specifically, the session management unit 147 executes a process of sending (transmitting) communication data corresponding to the instruction to the detection device 130 when receiving an instruction to send data from the control device 110. In addition, the session management unit 147 monitors the usage status of the communication data storage unit 143 and the extraction session storage unit 144, and sets a predetermined threshold value for the amount of data stored in the communication data storage unit 143 and the extraction session storage unit 144. By setting it, unnecessary communication data is discarded before reaching the upper limit of the capacity that can be stored. For example, the session management unit 147 preferentially discards communication data that is assumed not to be used for the detection process by the detection device 130, and communication data that is assumed to be used for the detection process by the detection device 130. Manage to preferentially accumulate.

セッション管理部１４７は、検出装置１３０へ通信データを流し込む際には、不正なセッションを検出するのに有用であると特定されるセッションに関する通信データを流し込む。例えば、セッション管理部１４７は、通信データの流し込みに関する指示を制御装置１１０から受信し、受信した指示によって特定された通信データを流し込む。すなわち、制御装置１１０は、中継装置１２０にミラーリング対象を指示するとともに、同対象に関する通信データが蓄積装置１４０に蓄積されている場合は、蓄積装置１４０から検出装置１３０に対して当該通信データの流し込みを指示する。具体的には、セッション管理部１４７は、制御装置１１０からの指示に含まれる情報に従い、抽出セッション蓄積部１４４内の通信データと、検出装置１３０にミラーリングされている通信データとに含まれるＩＰアドレス等の情報から流し込むセッションを特定する。   When the communication data is flowed into the detection device 130, the session management unit 147 flows in communication data related to a session identified as useful for detecting an unauthorized session. For example, the session management unit 147 receives an instruction regarding the flow of communication data from the control device 110, and flows the communication data specified by the received instruction. That is, the control device 110 instructs the relay device 120 on the mirroring target, and when communication data related to the target is stored in the storage device 140, the control device 110 flows the communication data from the storage device 140 into the detection device 130. Instruct. Specifically, the session management unit 147 follows the information included in the instruction from the control device 110, and the IP address included in the communication data in the extraction session storage unit 144 and the communication data mirrored in the detection device 130. Identify the session to be flowed from such information.

そして、セッション管理部１４７は、セッション識別子ごとにまとめられている抽出セッション蓄積部１４４内の通信データを検出装置１３０に流し込む。上述のように、蓄積装置１４０が通信データをパケットキャプチャ形式で蓄積している場合には、セッション管理部１４７は、通信データをパケット形式で検出装置１３０へ送信する。なお、通信データをパケット形式ではなく、不正な検出に要する特徴のみを抽出した通信データであって、外部へパケットとして送信できない形式の通信データ（例えば、ファイル形式でのみ送信可能なデータ）として蓄積しているような場合には、セッション管理部１４７は、かかる通信データを送信可能な形式に変換して検出装置１３０に送信する。この場合、検出装置１３０は、蓄積装置１４０から受信した情報に基づいて、不正なセッションの検出処理が可能な構成を有するものとする。例えば、検出装置１３０は、パケット形式のみならず、通信データの特徴を示すファイル形式の通信データを読み込み可能な構成を有する。   Then, the session management unit 147 flows the communication data in the extracted session storage unit 144 collected for each session identifier into the detection device 130. As described above, when the storage device 140 stores communication data in the packet capture format, the session management unit 147 transmits the communication data to the detection device 130 in the packet format. Note that the communication data is not the packet format, but is extracted only from the features required for unauthorized detection, and stored as communication data in a format that cannot be transmitted to the outside as a packet (for example, data that can be transmitted only in the file format). In such a case, the session management unit 147 converts the communication data into a transmittable format and transmits it to the detection device 130. In this case, it is assumed that the detection device 130 has a configuration capable of performing an unauthorized session detection process based on the information received from the storage device 140. For example, the detection apparatus 130 has a configuration capable of reading communication data in a file format indicating the characteristics of communication data as well as the packet format.

また、セッション管理部１４７は、中継装置１２０からトラヒックをミラーリングせずに、通信データ蓄積部１４３でトラヒックを蓄積しつつ、あるいはトラヒックをバッファリングすることにより、不正検出処理を継続できる通信レートに制限をかけて、通信データを検出装置１３０へ流し込むこととしてもよい。   In addition, the session management unit 147 limits the communication rate so that fraud detection processing can be continued by storing traffic in the communication data storage unit 143 without buffering traffic from the relay device 120 or by buffering traffic. The communication data may be poured into the detection device 130.

また、セッション管理部１４７は、検出装置１３０に流し込んだ通信データに関しては、順次、蓄積部１４２から廃棄していくものとする。これは、セッション管理部１４７は、検出システム１００が監視モードになる前から張られ続けているセッションを監視すること（すなわち、既に確立しているセッションに関する不正を検出すること）を目的として通信データを管理しているため、検出装置１３０に流し込んだセッションに対応する通信データや、既に終了したセッションに対応する通信データを蓄積し続ける要請がないことによる。このため、セッション管理部１４７は、これらのセッションに該当する情報を通信データ蓄積部１４３や抽出セッション蓄積部１４４から優先的に廃棄するように、蓄積された通信データを管理する。例えば、制御装置１１０は、ウェブサーバ３０の確立しているセッションに関する情報を定期的に収集し、該当セッションが存続していることを示す情報を収集できなかったことを契機に、当該セッションが終了したものとみなし、終了したものとみなしたセッションに関する情報を廃棄するように指示する。   In addition, the session management unit 147 sequentially discards the communication data flowed into the detection apparatus 130 from the storage unit 142. This is because the session management unit 147 monitors communication data that has been extended before the detection system 100 enters the monitoring mode (that is, detects fraud related to an already established session). This is because there is no request to continue storing communication data corresponding to a session poured into the detection apparatus 130 or communication data corresponding to a session that has already ended. For this reason, the session management unit 147 manages the accumulated communication data so that information corresponding to these sessions is preferentially discarded from the communication data accumulation unit 143 and the extraction session accumulation unit 144. For example, the control device 110 periodically collects information related to the session established by the web server 30, and the session ends when the information indicating that the corresponding session has not been collected. It is instructed to discard the information regarding the session considered to have been terminated.

例えば、セッション管理部１４７は、プロトコルがＴＣＰの場合、送受信における少なくとも一方向からＲＳＴ（リセット）フラグが含まれ、また、双方向からＦＩＮ（終了）フラグが含まれるパケットを確認した場合には、セッション終了とみなして、かかるパケットに対応するセッションに該当する情報を廃棄する。また、セッション管理部１４７は、抽出セッション蓄積部１４４に蓄積されたデータにおいて、セッション毎にｐｐｓ（packet per second）、またはｂｐｓ（bit per second）を計測し、所定値よりも小さくないセッションはＳｌｏｗＤｏＳ攻撃に該当しないものと判断して、廃棄することとしてもよい。   For example, when the protocol is TCP, the session management unit 147 confirms a packet that includes an RST (reset) flag from at least one direction in transmission and reception, and also includes a FIN (end) flag from both directions. Assuming that the session ends, information corresponding to the session corresponding to the packet is discarded. In addition, the session management unit 147 measures pps (packet per second) or bps (bit per second) for each session in the data stored in the extracted session storage unit 144, and a session that is not smaller than a predetermined value is SlowDoS. It may be determined that the attack does not apply and discarded.

また、セッション管理部１４７は、中継装置１２０が設定したフィルタによって、フィルタされたＩＰアドレスに該当するセッションが取得される場合には、かかる情報を蓄積しないようにしてもよい。また、セッション管理部１４７は、中継装置１２０が設定したフィルタによって、フィルタされたＩＰアドレスに該当するセッション情報が蓄積されている場合には、例えば、制御装置１１０からの指示に基づいて、優先的に廃棄してもよい。なお、中継装置１２０が設定したフィルタが解除された場合には、セッション管理部１４７は、かかるＩＰアドレスに該当するセッション情報を再び蓄積するようにする。   The session management unit 147 may not store such information when a session corresponding to the filtered IP address is acquired by the filter set by the relay device 120. In addition, when session information corresponding to the filtered IP address is accumulated by the filter set by the relay device 120, the session management unit 147 performs priority based on an instruction from the control device 110, for example. May be discarded. When the filter set by the relay device 120 is canceled, the session management unit 147 stores the session information corresponding to the IP address again.

上記のように、蓄積装置１４０について説明してきたが、蓄積装置１４０は、検出装置１３０を構成する各処理部として、検出装置１３０内に組み込まれて機能してもよい。   As described above, the storage device 140 has been described, but the storage device 140 may function by being incorporated in the detection device 130 as each processing unit constituting the detection device 130.

［処理手順］
次に、図９を用いて、第２の実施の形態に係る検出システム１００による検出処理の手順について詳細に説明する。図９は、第２の実施の形態に係る検出システム１００による処理手順を示すフローチャートである。 [Processing procedure]
Next, the procedure of detection processing by the detection system 100 according to the second embodiment will be described in detail with reference to FIG. FIG. 9 is a flowchart illustrating a processing procedure performed by the detection system 100 according to the second embodiment.

図９に示すように、蓄積装置１４０は、中継装置１２０が中継するクライアントとウェブサーバ３０間の通信データを蓄積する（ステップＳ２０１）。そして、蓄積装置１４０は、蓄積したデータをセッションごとに抽出する（ステップＳ２０２）。   As shown in FIG. 9, the storage device 140 stores communication data between the client relayed by the relay device 120 and the web server 30 (step S201). Then, the storage device 140 extracts the stored data for each session (step S202).

そして、制御装置１１０は、監視している通信において、セッションに関する異常を検知したか否かを判定する（ステップＳ２０３）。制御装置１１０がセッションに関する異常を検知していない場合（ステップＳ２０３；Ｎｏ）、蓄積装置１４０は、例えば、通信データの蓄積から所定時間経過後などの条件に応じて、蓄積した通信データのうち、検出処理には使用しないと想定される通信データを廃棄する（ステップＳ２０４）。   And the control apparatus 110 determines whether the abnormality regarding a session was detected in the monitored communication (step S203). When the control device 110 has not detected an abnormality related to the session (step S203; No), the storage device 140, for example, out of the stored communication data according to conditions such as a predetermined time after storage of communication data, Communication data that is assumed not to be used in the detection process is discarded (step S204).

一方、セッションに関する異常を検知した場合（ステップＳ２０３；Ｙｅｓ）、制御装置１１０は、中継装置１２０に対して、通信データのミラーリングを開始させる指示を送信する。そして、中継装置１２０は、検出装置１３０にミラーリングを開始する（ステップＳ２０５）。   On the other hand, when an abnormality related to the session is detected (step S203; Yes), the control device 110 transmits an instruction to start mirroring of communication data to the relay device 120. And the relay apparatus 120 starts mirroring to the detection apparatus 130 (step S205).

そして、中継装置１２０がミラーリングを開始したことを契機として、制御装置１１０からの指示に基づいて蓄積装置１４０は、ミラーリングの対象となったセッションに対応する蓄積データを検出装置１３０に流し込む処理を開始する（ステップＳ２０６）。   Then, when the relay device 120 starts mirroring, based on an instruction from the control device 110, the storage device 140 starts processing to flow the stored data corresponding to the session that is the target of mirroring into the detection device 130. (Step S206).

これにより、検出装置１３０は、蓄積装置１４０が蓄積していた通信データについても検出処理の対象とすることができるので、ミラーリングの開始時点よりも遡って不正なセッションを検出することが可能になる。なお、ステップＳ２０６以降の処理は、図４のステップＳ１０４以降の処理と共通するため、説明を省略する。また、ステップＳ２０４で記載した通信データの廃棄処理に関しては、必ずしも上記のタイミングで行う必要はなく、蓄積装置１４０は、蓄積量の上限値等に基づいて、順次通信データを廃棄してもよい。   As a result, the detection device 130 can also detect the communication data stored in the storage device 140, so that it is possible to detect an unauthorized session retroactive to the mirroring start time. . Note that the processing after step S206 is the same as the processing after step S104 in FIG. The communication data discarding process described in step S204 is not necessarily performed at the above timing, and the storage device 140 may sequentially discard communication data based on the upper limit value of the storage amount.

［第２の実施の形態の効果］
このように、第２の実施の形態に係る検出システム１００は、通信データを蓄積する蓄積装置１４０を備えることにより、予め蓄積された通信データを利用して不正なセッションを検出する処理を行うことができる。これにより、第２の実施の形態に係る検出システム１００は、第１の実施の形態と比較して、検出処理の対象となるセッションを増大させることができるので、より多くの不正なセッションを検出することできる。 [Effect of the second embodiment]
As described above, the detection system 100 according to the second embodiment includes the storage device 140 that stores communication data, thereby performing processing for detecting an unauthorized session using the communication data stored in advance. Can do. As a result, the detection system 100 according to the second embodiment can increase the number of sessions that are subject to detection processing as compared to the first embodiment, and thus detect more unauthorized sessions. Can do.

また、第２の実施の形態に係る蓄積装置１４０は、検出装置１３０による検出処理には用いられないと想定される通信データを優先的に廃棄するとともに、検出装置１３０による検出処理に用いられることが想定される通信データを優先的に蓄積する。   In addition, the storage device 140 according to the second embodiment preferentially discards communication data that is assumed not to be used for the detection processing by the detection device 130 and is used for the detection processing by the detection device 130. Communication data that is assumed to be stored preferentially.

このように、第２の実施の形態に係る検出システム１００は、ウェブサーバ３０との通信で発生する大量の通信データから優先的に蓄積する通信データを判定することによって、蓄積可能な容量の上限を超えないように、かつ、検出処理に有用な通信データを適切に蓄積することができる。これにより、第２の実施の形態に係る検出システム１００は、検出処理にかかる負荷を軽減させることができる。蓄積可能な容量の上限は、例えば、直近の所定時間、所定データサイズの容量、所定数のパケットなど、とすることとしてもよい。   As described above, the detection system 100 according to the second embodiment determines the upper limit of the capacity that can be accumulated by determining communication data that is preferentially accumulated from a large amount of communication data that is generated in communication with the web server 30. Thus, communication data useful for detection processing can be appropriately stored. Thereby, the detection system 100 according to the second embodiment can reduce the load on the detection process. The upper limit of the capacity that can be stored may be, for example, the most recent predetermined time, the capacity of a predetermined data size, a predetermined number of packets, and the like.

また、第２の実施の形態に係る蓄積装置１４０は、セッション単位で通信データを蓄積するとともに、セッション単位ごとに蓄積の上限を設定する。蓄積可能な容量の上限は、例えば、セッション毎に、セッション開始からまたは直近の、所定時間、所定データサイズの容量、所定数のパケットなど、とすることとしてもよい。上限を超える場合は、セッション単位で廃棄される。例えば、セッション開始時刻が古いセッションからセッション単位で廃棄されることとしてもよい。   In addition, the storage device 140 according to the second embodiment stores communication data in units of sessions and sets an upper limit of storage for each unit of sessions. The upper limit of the capacity that can be stored may be, for example, for each session, a predetermined time, a capacity of a predetermined data size, a predetermined number of packets, or the like from the start of the session or the latest. If it exceeds the upper limit, it is discarded in session units. For example, the session start time may be discarded in session units from the old session.

このように、第２の実施の形態に係る検出システム１００によれば、ウェブサーバ３０とクライアントとの間で成立した通信であるセッション単位で通信データを管理するので、検出処理等に有用な通信データを適切に送信したり、蓄積したりすることができる。   As described above, according to the detection system 100 according to the second embodiment, communication data is managed in units of sessions, which is communication established between the web server 30 and the client, and therefore communication useful for detection processing and the like. Data can be transmitted and stored appropriately.

また、第２の実施の形態に係る蓄積装置１４０は、監視対象であるウェブサーバ３０との通信に係る情報である通信データを蓄積する蓄積部１４２と、蓄積部１４２によって蓄積された通信データの中から、セッション単位で通信データを抽出するセッション抽出部１４６と、ウェブサーバ３０との通信に異常が検知されたことを契機として、通信を分析することによって不正な通信を検出する装置である検出装置に、セッション抽出部１４６によって抽出された通信データを送信する送信部（ここでは、セッション管理部１４７）とを備える。   In addition, the storage device 140 according to the second embodiment includes a storage unit 142 that stores communication data that is information related to communication with the web server 30 that is a monitoring target, and communication data stored by the storage unit 142. Detection that is an apparatus that detects unauthorized communication by analyzing communication triggered by an abnormality detected in communication between the session extraction unit 146 that extracts communication data in session units and communication with the web server 30 The apparatus includes a transmission unit (here, session management unit 147) that transmits the communication data extracted by the session extraction unit 146.

このように、第２の実施の形態に係る蓄積装置１４０は、不正なセッションを検出するシステムにおいて、検出処理が実行される前に予め通信を蓄積しておくバッファ機構として動作する。これにより、第２の実施の形態に係る蓄積装置１４０は、監視対象である通信に異常が検知された時点よりも遡った通信データを提供することができるので、不正なセッションを検出する対象範囲を広くすることができる。   As described above, the storage device 140 according to the second embodiment operates as a buffer mechanism that stores communication in advance before the detection process is executed in a system that detects an unauthorized session. As a result, the storage device 140 according to the second embodiment can provide communication data retroactive to the point in time when an abnormality is detected in the communication to be monitored. Can be widened.

［第３の実施の形態］
上述した実施形態では、検出システム１００は、不正セッションと判断した場合にフィルタを設定し、フィルタが設定された送信元ＩＰアドレスからの通信が止んだ後に、防御モード解除する例を示した。具体的には、検出システム１００は、フィルタが設定された送信元ＩＰアドレスからの通信が止み、所定時間経過後に、設定したフィルタを解除する例を示した。 [Third Embodiment]
In the above-described embodiment, the detection system 100 sets a filter when it is determined to be an unauthorized session, and shows an example in which the protection mode is canceled after communication from the transmission source IP address to which the filter is set stops. Specifically, the detection system 100 has shown an example in which communication from the transmission source IP address to which the filter is set stops and the set filter is released after a predetermined time has elapsed.

しかしながら、上記の処理手法によっては、断続的に発生する攻撃に対して対策が不十分となるおそれがある。すなわち、所定時間経過後にフィルタが解除された後であっても、当該不正セッションに該当する送信元ＩＰアドレスからの通信の監視を実施し、断続的に攻撃が発生していないか否かを判断することが望ましい。そこで、検出システム１００は、以下に説明する処理により、フィルタ解除後の通信を監視する。   However, depending on the processing method described above, there is a risk that countermeasures will be insufficient with respect to attacks that occur intermittently. That is, even after the filter is released after a predetermined time has elapsed, communication from the source IP address corresponding to the unauthorized session is monitored to determine whether or not an attack has occurred intermittently. It is desirable to do. Therefore, the detection system 100 monitors the communication after the cancellation of the filter by the process described below.

まず、検出システム１００に係る制御装置１１０は、所定のＩＰアドレスに対して設定されているフィルタについて、当該ＩＰアドレスからの通信が止んだ所定時間経過後に中継装置１２０よりその旨の通知を受けることにより、フィルタを解除する旨を中継装置１２０へ指示する。あるいは、制御装置１１０は、フィルタ設定時のタイマー設定により、所定時間経過後に当該フィルタが解除される旨を指示するようにしてもよい。   First, the control device 110 according to the detection system 100 receives a notification from the relay device 120 about a filter set for a predetermined IP address after a predetermined time after communication from the IP address stops. Thus, the relay apparatus 120 is instructed to cancel the filter. Alternatively, the control device 110 may instruct that the filter is released after a predetermined time elapses by setting a timer when setting the filter.

そして、制御装置１１０は、フィルタ解除後に、中継装置１２０に指示をフィルタ設定していた同一ＩＰアドレスのトラヒックを監視させる。具体的には、制御装置１１０は、当該ＩＰアドレスに対して設定されているフィルタを解除するときに、同一ＩＰアドレスによるトラヒックを検出装置１３０へミラーリングさせる旨を中継装置１２０へ指示する。あるいは、制御装置１１０は、フィルタが設定される際に、フィルタ解除を契機として、ミラーリングが有効化される旨を指示しておいてもよい。   Then, after canceling the filter, the control device 110 causes the relay device 120 to monitor the traffic of the same IP address whose instruction is set as a filter. Specifically, the control device 110 instructs the relay device 120 to mirror the traffic with the same IP address to the detection device 130 when releasing the filter set for the IP address. Alternatively, the control device 110 may instruct the mirroring to be activated when the filter is set, triggered by the cancellation of the filter.

そして、制御装置１１０は、かかるミラーリングにより当該ＩＰアドレスを送信元とする不正なコネクション（言い換えれば、不正セッション）が検出された場合には、再び当該ＩＰアドレスに対してフィルタを設定させる。すなわち、制御装置１１０は、検出装置１３０から不正セッション検出の通知を受けた場合に、中継装置１２０に対してフィルタを設定する旨の指示を送信する。   Then, when an unauthorized connection (in other words, an unauthorized session) having the IP address as a transmission source is detected by the mirroring, the control device 110 again sets a filter for the IP address. That is, the control device 110 transmits an instruction for setting a filter to the relay device 120 when receiving a notification of detecting an unauthorized session from the detection device 130.

このとき、制御装置１１０は、フィルタ設定が有効な所定時間として、最初にフィルタを設定したときと同一か、もしくは、より長い所定時間を設定してもよい。例えば、制御装置１１０は、最初のフィルタが有効な所定時間が「３分」であった場合には、２回目のフィルタの所定時間を「６分」に設定する。さらに、制御装置１１０は、３回目のフィルタを設定する場合には、所定時間を「９分」に設定する。   At this time, the control device 110 may set a predetermined time that is the same as or longer than the time when the filter is initially set as the predetermined time during which the filter setting is valid. For example, when the predetermined time during which the first filter is valid is “3 minutes”, the control device 110 sets the predetermined time for the second filter to “6 minutes”. Furthermore, when setting the third filter, the control device 110 sets the predetermined time to “9 minutes”.

［第３の実施の形態の効果］
このように、第３の実施の形態に係る検出システム１００は、所定時間を長くして繰り返しフィルタを設定することにより、断続的に発生する不正な通信に対する対策効果を向上させることができる。 [Effect of the third embodiment]
In this way, the detection system 100 according to the third embodiment can improve the countermeasure effect against intermittent communication that occurs intermittently by setting the filter repeatedly by extending the predetermined time.

（フィルタの解除処理について）
なお、上記のように、検出システム１００が、不正な通信が観測されなくなった後にフィルタを解除する処理を行うことが望ましい点について、以下に説明する。 (About filter cancellation processing)
In addition, as described above, the point that it is desirable for the detection system 100 to release the filter after unauthorized communication is no longer observed will be described below.

不正な通信による攻撃（例えば、ＳｌｏｗＤｏＳ攻撃等）は、攻撃者が自らのクライアントを使用して攻撃する場合もあるが、ボット（bot）を仕込んだ多数のクライアントを遠隔操作することにより、標的システムに対して異なる複数のＩＰアドレスから不正セッションの確立を試行する場合がある。このとき、セキュリティ対策等によりボットを駆除されたクライアントからの通信は、正常な通信となる。   Attacks caused by unauthorized communications (for example, SlowDoS attacks) may be attacked by an attacker using his / her own client. By remotely operating a large number of clients equipped with bots, the target system can be controlled. In some cases, an attempt is made to establish an unauthorized session from a plurality of different IP addresses. At this time, communication from a client whose bot has been removed by security measures or the like is normal communication.

一方、プロキシ（proxy）や、ＮＡＴ（Network Address Translation）、ＣＧＮ（Career Grade NAT）などを介した通信は、複数のクライアントからの通信であっても、共用する１つのＩＰアドレスからの通信とみなされる。   On the other hand, communication via proxy, NAT (Network Address Translation), CGN (Career Grade NAT), etc. is regarded as communication from one shared IP address, even from multiple clients. It is.

すなわち、検出した不正セッションの送信元ＩＰアドレスに基づいてフィルタすると、攻撃者からの通信のみをフィルタしていることとはならない場合がある。したがって、検出システム１００は、検出した不正セッションに該当する送信元ＩＰアドレスを永続的にフィルタするのではなく、攻撃が止んだらフィルタを解除することが望ましい。   In other words, if filtering is performed based on the detected source IP address of the unauthorized session, only the communication from the attacker may not be filtered. Therefore, it is desirable that the detection system 100 does not permanently filter the source IP address corresponding to the detected unauthorized session, but cancels the filter when the attack stops.

このとき、検出システム１００は、完全に攻撃が止んだことを確認できた後でフィルタを解除するのが望ましいが、かかる判断が難しい場合がある。そのため、上記の第３の実施の形態で行われる処理や、あるいは、ウェブサーバ３０に対して相当数のセッション確立を試行する通信が観測されなくなった場合や、ウェブサーバ３０が確立可能なセッション数として所定数の余裕が確保された場合等に、検出システム１００は、フィルタ解除することとしてもよい。前者では、中継装置１２０がこの観測結果を制御装置１１０へ通知し、後者では、ウェブサーバ３０が制御装置１１０へ通知することで、制御装置１１０が中継装置１２０に対してフィルタ解除を指示する。   At this time, the detection system 100 desirably releases the filter after confirming that the attack has completely stopped, but such a determination may be difficult. Therefore, the processing performed in the above third embodiment or the case where communication for trying to establish a considerable number of sessions with the web server 30 is not observed, or the number of sessions that the web server 30 can establish The detection system 100 may cancel the filter when a predetermined number of margins are secured. In the former, the relay device 120 notifies the control device 110 of the observation result, and in the latter, the web server 30 notifies the control device 110 so that the control device 110 instructs the relay device 120 to cancel the filter.

［第４の実施の形態］
上述した実施形態では、検出システム１００は、監視対象であるウェブサーバ３０に対して、確立しているセッション数が所定の閾値を超えた場合に、不正な通信が発生している可能性があると判断し、監視モードに移行する例を示した。ここで、検出システム１００は、確立したセッション数が所定の閾値を超えた場合以外であっても、不正な通信が発生している可能性があると判断し、監視モードに移行するようにしてもよい。 [Fourth Embodiment]
In the embodiment described above, the detection system 100 may have caused unauthorized communication when the number of established sessions exceeds a predetermined threshold with respect to the web server 30 to be monitored. An example is shown in which it is determined that the mode is shifted to the monitoring mode. Here, the detection system 100 determines that there is a possibility of unauthorized communication even when the number of established sessions exceeds a predetermined threshold value, and shifts to the monitoring mode. Also good.

例えば、検出システム１００は、確立したセッション数の増加率に着目し、監視モードに移行するようにしてもよい。この場合、制御装置１１０は、ウェブサーバ３０、あるいは、ウェブサーバ３０のリソースを監視する外部装置から、確立したセッションに関する情報について定期的に通知を受ける。そして、制御装置１１０は、確立しているセッション数の単位時間当たりの増加率を算出し、算出した値と予め設定している閾値とを比較する。そして、制御装置１１０は、算出した値が予め設定している閾値を超過しているか否かを判定する。超過していた場合、制御装置１１０は、中継装置１２０に対してミラーリングを実行させる指示を送信し、監視モードに移行させる。   For example, the detection system 100 may shift to the monitoring mode by paying attention to the increase rate of the number of established sessions. In this case, the control device 110 is periodically notified of information related to the established session from the web server 30 or an external device that monitors the resources of the web server 30. Then, the control device 110 calculates an increase rate per unit time of the number of established sessions, and compares the calculated value with a preset threshold value. Then, the control device 110 determines whether or not the calculated value exceeds a preset threshold value. If exceeded, the control device 110 transmits an instruction to execute the mirroring to the relay device 120 and shifts to the monitoring mode.

なお、検出システム１００は、確立したセッション数のうち、所定時間以上確立しているセッション数、または、セッション数の増加率に基づいて、監視モードに移行してもよい。すなわち、制御装置１１０は、ウェブサーバ３０、あるいは、ウェブサーバ３０のリソースを監視する外部装置から、送信元ＩＰアドレスと送信元ポート番号を組としたセッション毎の継続時間に関する情報の通知を受ける。例えば、ウェブサーバ３０内で確立しているセッション毎の情報の通知を定期的に受けることで、制御装置１１０は各セッションについて最初に通知を受けた時刻を契機に継続時間を算出することとしてもよい。そして、制御装置１１０は、通知された継続時間が所定時間を超えているセッションに関して、確立している数、または増加率が予め設定している閾値を超える場合に、監視モードに移行させる。   The detection system 100 may shift to the monitoring mode based on the number of sessions established for a predetermined time or more, or the rate of increase in the number of sessions, among the number of established sessions. In other words, the control device 110 receives a notification of information on the duration of each session using a transmission source IP address and a transmission source port number as a set from the web server 30 or an external device that monitors the resources of the web server 30. For example, by periodically receiving notification of information for each session established in the web server 30, the control device 110 may calculate the duration based on the time when the notification is first received for each session. Good. Then, the control device 110 shifts to the monitoring mode when the established number or the increase rate exceeds a preset threshold for a session whose notified duration exceeds a predetermined time.

［第４の実施の形態の効果］
このように、第４の実施の形態に係る検出システム１００は、ウェブサーバ３０に関して、セッション数のみならず、増加率や、セッションの確立している継続時間などといった要素も判定対象として監視を行う。このため、第４の実施の形態に係る検出システム１００は、攻撃者からの種々の攻撃手法に対して、柔軟に対応して不正なセッションを検出することができる。 [Effect of the fourth embodiment]
As described above, the detection system 100 according to the fourth embodiment monitors not only the number of sessions but also factors such as the rate of increase and the duration of session establishment as the determination targets for the web server 30. . For this reason, the detection system 100 according to the fourth embodiment can detect an unauthorized session flexibly in response to various attack methods from an attacker.

［その他の実施例］
上述した各実施形態に係る検出システム１００は、上記実施形態以外にも種々の異なる形態にて実施されてよい。そこで、以下では、検出システム１００の他の実施形態について説明する。 [Other Examples]
The detection system 100 according to each embodiment described above may be implemented in various different forms other than the above embodiment. Therefore, in the following, another embodiment of the detection system 100 will be described.

上述してきた検出システム１００は、通信キャリア網やＩＳＰ網以外に設置されてもよい。例えば、検出システム１００は、データセンタ上に構築されるクラウドサービスを守るため、データセンタ側に設置されてもよい。   The detection system 100 described above may be installed other than a communication carrier network or ISP network. For example, the detection system 100 may be installed on the data center side in order to protect a cloud service built on the data center.

また、上記では、中継装置１２０に設定するフィルタ単位をクライアントの送信元ＩＰアドレスとしていたが、不正セッションに該当する送信元ＩＰアドレスと送信元ポート番号の組や、または、さらに宛先ＩＰアドレスと宛先ポート番号とを合せた組としてもよい。また、検出システム１００は、不正と判断したセッションに対するフィルタとして、ＩＰアドレス単位に設定してもよいし、ＩＰアドレスとポート番号の組単位で設定してもよい。また、検出システム１００は、フィルタするＩＰアドレスについて、確立している不正セッション数が多いＩＰアドレスから順に、上位Ｎ個分（Ｎは自然数）についてフィルタするように予め設定しておいてもよい。または、ＩＰアドレスに対して、確立しているセッション数に対する確立している不正セッション数の割合が所定値以上のＩＰアドレスについてフィルタするように予め設定しておいてもよく、確立しているセッション数は、ウェブサーバ３０から通知を受けることで取得する。この場合、制御装置１１０は、設定に応じて該当するＩＰアドレスをフィルタする旨の指示を中継装置１２０に送信する。また、検出システム１００は、検出装置１３０が検出する不正セッション毎に不正であることの確からしさを示す度合（スコア）を算出するものである場合は、かかるスコアが所定の閾値以上であるセッションを不正セッションとみなすこととしてもよい。   In the above description, the filter unit set in the relay device 120 is the source IP address of the client. However, a pair of the source IP address and source port number corresponding to the unauthorized session, or a destination IP address and destination A combination of port numbers may be used. Further, the detection system 100 may be set in units of IP addresses as a filter for a session determined to be illegal, or may be set in units of pairs of IP addresses and port numbers. In addition, the detection system 100 may set in advance the IP addresses to be filtered so as to filter the top N addresses (N is a natural number) in order from the IP addresses with the largest number of established illegal sessions. Alternatively, it may be set in advance so as to filter for IP addresses in which the ratio of the number of established illegal sessions to the number of established sessions with respect to the IP address is a predetermined value or more. The number is acquired by receiving a notification from the web server 30. In this case, the control device 110 transmits an instruction to filter the corresponding IP address to the relay device 120 according to the setting. In addition, when the detection system 100 calculates a degree (score) indicating the likelihood of being fraudulent for each fraudulent session detected by the detection device 130, a session having such a score equal to or greater than a predetermined threshold is selected. It may be regarded as an unauthorized session.

また、検出システム１００に係る蓄積装置１４０は、蓄積する通信データとして、中継装置１２０によって中継される全トラヒックに係る通信データであってもよく、あるいは、標的システム（ここでは、ウェブサーバ３０）のリソースを枯渇させる攻撃に使われるトラヒックに限定して蓄積してもよい。具体的には、蓄積装置１４０は、ウェブサーバ３０が確立できるセッションに限定する場合、ＴＣＰ通信における宛先ポート番号がＨＴＴＰ（Hypertext Transfer Protocol）を示す「８０」番や「８０８０」番、ＨＴＴＰＳ（Hypertext Transfer Protocol Secure)を示す「４４３」番である通信（又は、その応答）を対象として蓄積するようにしてもよい。また、ＵＤＰ（User Datagram Protocol）やＩＰなどのコネクションレスの通信データは蓄積不要であるため、蓄積対象外とする、または優先的に廃棄してもよい。   Further, the storage device 140 related to the detection system 100 may be communication data related to all traffic relayed by the relay device 120 as communication data to be stored, or may be the target system (here, the web server 30). It may be accumulated only for traffic used for attacks that exhaust resources. Specifically, when the storage device 140 is limited to sessions that can be established by the web server 30, the destination port number in TCP communication is “80” or “8080” indicating HTTP (Hypertext Transfer Protocol), HTTPS (Hypertext) You may make it accumulate | store for the communication (or its response) which is "443" which shows Transfer Protocol Secure. Further, since connectionless communication data such as UDP (User Datagram Protocol) or IP does not need to be stored, it may be excluded from storage or discarded preferentially.

さらに、蓄積装置１４０は、標的システムが特定の１以上のウェブサーバである場合は、それらのウェブサーバを示すＩＰアドレスを含む通信（又は、その応答）を対象として蓄積するようにしてもよい。この場合、蓄積装置１４０は、ウェブサーバごと、あるいは、ウェブサーバに対応するＩＰアドレスごとに、通信データ蓄積部１４３および抽出セッション蓄積部１４４を管理するようにしてもよい。中継装置１２０は、１以上の標的システムのウェブサーバのＩＰアドレスに該当するトラヒックのみを検出装置１３０および／または蓄積装置１４０へミラーリングすることとしてもよく、この場合は制御装置１１０がミラーリング対象のトラヒックを明示的に指示する。また、ＳｌｏｗＤｏＳ攻撃に対する対策をサービスとして提供される場合、このサービスを利用するウェブサーバに関するトラヒックのみをミラーリングの対象とすることとしてもよい。   Further, when the target system is one or more specific web servers, the storage device 140 may store the communication (or the response) including the IP addresses indicating the web servers as targets. In this case, the storage device 140 may manage the communication data storage unit 143 and the extraction session storage unit 144 for each web server or for each IP address corresponding to the web server. The relay device 120 may mirror only the traffic corresponding to the IP address of the web server of one or more target systems to the detection device 130 and / or the storage device 140. In this case, the control device 110 performs traffic to be mirrored. Is explicitly indicated. In addition, when a countermeasure against the SlowDoS attack is provided as a service, only the traffic related to the web server that uses this service may be targeted for mirroring.

さらに、蓄積装置１４０は、中継装置１２０に中継されるトラヒックに係る通信データについて、直接、セッション抽出部１４６で抽出し、抽出セッション蓄積部１４４に蓄積する構成であってもよい。この場合、蓄積装置１４０は、通信データ蓄積部１４３を有しなくてもよい。   Further, the storage device 140 may be configured such that communication data related to traffic relayed to the relay device 120 is directly extracted by the session extraction unit 146 and stored in the extraction session storage unit 144. In this case, the storage device 140 may not include the communication data storage unit 143.

また、上述した各実施形態に係る検出システム１００を構成する各装置は、上記実施形態で示された数量と異なる数量によって実施されてもよい。例えば、上記実施形態では、１台の中継装置１２０が、検出装置１３０と蓄積装置１４０の両方へ、検出処理のためのミラーリングや、蓄積処理のための流し込みを行う例を示した。しかし、検出システム１００には２台以上の中継装置１２０が含まれ、各々の中継装置１２０が検出装置１３０や蓄積装置１４０に各処理を行うよう、処理が分担して行われてもよい。   Moreover, each apparatus which comprises the detection system 100 which concerns on each embodiment mentioned above may be implemented by the quantity different from the quantity shown by the said embodiment. For example, in the above-described embodiment, an example in which one relay device 120 performs mirroring for detection processing or pouring for storage processing to both the detection device 130 and the storage device 140 has been described. However, the detection system 100 may include two or more relay devices 120, and the processing may be performed in a shared manner so that each relay device 120 performs each process on the detection device 130 and the storage device 140.

また、検出システム１００内における通信について、制御装置１１０から中継装置１２０への指示は、ＯｐｅｎＦｌｏｗの仕様によるものであってもよい。この場合、制御装置１１０は、ＯｐｅｎＦｌｏｗコントローラを備え、中継装置１２０は、ＯｐｅｎＦｌｏｗ対応スイッチを備える。あるいは、検出システム１００は、制御装置１１０が受信する通知等をオペレータへ通知し、オペレータが入力する指示内容に基づいて制御装置１１０を動作させるようにしてもよい。   Further, for communication within the detection system 100, the instruction from the control device 110 to the relay device 120 may be based on the OpenFlow specification. In this case, the control device 110 includes an OpenFlow controller, and the relay device 120 includes an OpenFlow compatible switch. Alternatively, the detection system 100 may notify the operator of a notification received by the control device 110 and cause the control device 110 to operate based on the content of the instruction input by the operator.

また、上記実施の形態では、検出システム１００は、監視対象とする攻撃としてＳｌｏｗＤｏＳ攻撃を、攻撃の標的である標的システムとしてウェブサーバ３０を例に説明したが、これに限られず、任意の装置を標的とするその他の不正な通信全般に適用可能である。   In the above embodiment, the detection system 100 has been described by taking the SlowDoS attack as an attack to be monitored and the web server 30 as an example of a target system that is the target of the attack. Applicable to all other unauthorized communications targeted.

（構成等）
なお、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。 (Configuration etc.)
Note that each component of each illustrated apparatus is functionally conceptual and does not necessarily need to be physically configured as illustrated. In other words, the specific form of distribution / integration of each device is not limited to that shown in the figure, and all or a part thereof may be functionally or physically distributed or arbitrarily distributed in arbitrary units according to various loads or usage conditions. Can be integrated and configured. Further, all or any part of each processing function performed in each device may be realized by a CPU and a program analyzed and executed by the CPU, or may be realized as hardware by wired logic.

また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。   In addition, among the processes described in the present embodiment, all or part of the processes described as being automatically performed can be manually performed, or the processes described as being manually performed can be performed. All or a part can be automatically performed by a known method. In addition, the processing procedure, control procedure, specific name, and information including various data and parameters shown in the above-described document and drawings can be arbitrarily changed unless otherwise specified.

（プログラム）
また、上記実施形態に係る検出システム１００が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータに読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、検出システム１００と同様の機能を実現する検出プログラムを実行するコンピュータの一例を説明する。 (program)
In addition, it is possible to create a program in which processing executed by the detection system 100 according to the above embodiment is described in a language that can be executed by a computer. In this case, the same effect as the above-described embodiment can be obtained by the computer executing the program. Further, such a program may be recorded on a computer-readable recording medium, and the program recorded on the recording medium may be read by the computer and executed to execute the same processing as in the above embodiment. Hereinafter, an example of a computer that executes a detection program that realizes the same function as the detection system 100 will be described.

図１０は、検出プログラムを実行するコンピュータを示す図である。図１０に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。   FIG. 10 is a diagram illustrating a computer that executes a detection program. As shown in FIG. 10, a computer 1000 includes, for example, a memory 1010, a CPU (Central Processing Unit) 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, a network Interface 1070. These units are connected by a bus 1080.

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。   The memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM (Random Access Memory) 1012. The ROM 1011 stores a boot program such as BIOS (Basic Input Output System). The hard disk drive interface 1030 is connected to the hard disk drive 1090. The disk drive interface 1040 is connected to the disk drive 1041. For example, a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1041. For example, a mouse 1110 and a keyboard 1120 are connected to the serial port interface 1050. For example, a display 1130 is connected to the video adapter 1060.

ここで、図１０に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各情報は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。   Here, as shown in FIG. 10, the hard disk drive 1090 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094. Each piece of information described in the above embodiment is stored in, for example, the hard disk drive 1090 or the memory 1010.

また、検出プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明した検出システム１００に含まれる各装置によって実行される各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。   Further, the detection program is stored in the hard disk drive 1090 as a program module in which a command executed by the computer 1000 is described, for example. Specifically, a program module describing each process executed by each device included in the detection system 100 described in the above embodiment is stored in the hard disk drive 1090.

また、検出プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。   Data used for information processing by the detection program is stored as program data in, for example, the hard disk drive 1090. Then, the CPU 1020 reads out the program module 1093 and the program data 1094 stored in the hard disk drive 1090 to the RAM 1012 as necessary, and executes the above-described procedures.

なお、検出プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、検出プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。   The program module 1093 and the program data 1094 related to the detection program are not limited to being stored in the hard disk drive 1090. For example, the program module 1093 and the program data 1094 are stored in a removable storage medium and read by the CPU 1020 via the disk drive 1041 or the like. May be. Alternatively, the program module 1093 and the program data 1094 related to the detection program are stored in another computer connected via a network such as a LAN (Local Area Network) or a WAN (Wide Area Network), and are transmitted via the network interface 1070. It may be read by the CPU 1020.

１０ 端末
２０ 攻撃生成端末
３０ ウェブサーバ
１００ 検出システム
１１０ 制御装置
１２０ 中継装置
１３０ 検出装置
１４０ 蓄積装置
１４１ ＩＦ部
１４２ 蓄積部
１４３ 通信データ蓄積部
１４４ 抽出セッション蓄積部
１４５ 制御部
１４６ セッション抽出部
１４７ セッション管理部 10 terminal 20 attack generation terminal 30 web server 100 detection system 110 control device 120 relay device 130 detection device 140 storage device 141 IF unit 142 storage unit 143 communication data storage unit 144 extraction session storage unit 145 control unit 146 session extraction unit 147 session management Part

Claims (8)

監視対象であるサーバとの通信を中継する中継装置と、検出装置と、制御装置とを備える検出システムであって、
前記制御装置は、
前記サーバの通信資源に関する情報に異常を検知した場合に、前記中継装置によって中継される通信を前記検出装置にミラーリングさせる指示を送信し、
前記検出装置は、
前記制御装置によって送信された指示に従ってミラーリングされた通信の中から、不正な通信を検出し、
前記制御装置は、
前記検出装置による検出処理の結果に基づいて、特定された不正な通信を遮断させる指示を前記中継装置に送信する、
ことを特徴とする検出システム。 A detection system comprising a relay device that relays communication with a server to be monitored, a detection device, and a control device,
The controller is
When an abnormality is detected in the information related to the communication resources of the server, an instruction to mirror the communication relayed by the relay device to the detection device is transmitted.
The detection device includes:
Detecting unauthorized communications from among the communications mirrored according to the instructions transmitted by the control device;
The controller is
Based on the result of the detection process by the detection device, an instruction to block the specified unauthorized communication is transmitted to the relay device.
A detection system characterized by that. 前記中継装置によって中継される通信に係る情報である通信データを蓄積するとともに、蓄積可能な容量の上限に達する前に、蓄積している通信データを所定の順に廃棄する蓄積装置をさらに備え、
前記蓄積装置は、
蓄積された通信データのうち、前記検出装置が前記制御装置によって送信された指示に従ってミラーリングを開始したタイミング以前に蓄積された通信データを前記検出装置に送信し、
前記検出装置は、
前記制御装置によって送信された指示に従ってミラーリングされた通信、および前記蓄積装置から送信された通信データの中から、不正な通信を検出する、
ことを特徴とする請求項１に記載の検出システム。 A storage device that accumulates communication data that is information related to communication relayed by the relay device and that discards the communication data stored in a predetermined order before reaching the upper limit of the storable capacity,
The storage device
Among the accumulated communication data, the detection device transmits communication data accumulated before the timing at which mirroring is started according to the instruction transmitted by the control device to the detection device,
The detection device includes:
Detecting unauthorized communication from communication mirrored according to the instruction transmitted by the control device and communication data transmitted from the storage device;
The detection system according to claim 1. 前記蓄積装置は、
前記検出装置による検出処理には用いられないと想定される通信データを優先的に廃棄するとともに、前記検出装置による検出処理に用いられることが想定される通信データを優先的に蓄積する、
ことを特徴とする請求項２に記載の検出システム。 The storage device
Preferentially discarding communication data that is assumed not to be used for detection processing by the detection device, and preferentially storing communication data assumed to be used for detection processing by the detection device;
The detection system according to claim 2. 前記制御装置は、
前記検出装置が不正な通信を検出することなく、および／または前記中継装置が遮断している通信に該当する送信元からの通信が所定量以下である状態が所定時間継続された場合に、前記ミラーリングを解除させる指示および／または遮断を解除させる指示を前記中継装置へ送信する、
ことを特徴とする請求項１〜３のいずれか一つに記載の検出システム。 The controller is
When the detection device does not detect unauthorized communication and / or when a state where communication from a transmission source corresponding to communication blocked by the relay device is not more than a predetermined amount continues for a predetermined time, Transmitting an instruction to cancel mirroring and / or an instruction to cancel blocking to the relay device;
The detection system according to any one of claims 1 to 3. 監視対象であるサーバとの通信に係る情報である通信データを蓄積する蓄積部と、
前記蓄積部によって蓄積された通信データの中から、一連の通信単位で前記通信データを抽出する抽出部と、
前記サーバとの通信に異常が検知されたことを契機として、通信を分析することによって不正な通信を検出する装置である検出装置に、前記抽出部によって抽出された通信データを送信する送信部と、
を備えたことを特徴とする蓄積装置。 An accumulator that accumulates communication data that is information related to communication with the monitoring target server;
An extraction unit that extracts the communication data in a series of communication units from the communication data accumulated by the accumulation unit;
A transmission unit that transmits the communication data extracted by the extraction unit to a detection device that is a device that detects unauthorized communication by analyzing the communication when an abnormality is detected in communication with the server. ,
A storage device comprising: 検出システムが不正な通信を検出する検出方法であって、
監視対象であるサーバとの通信を中継する中継ステップと、
前記サーバの通信資源に関する情報に異常を検知した場合に、前記中継ステップによって中継される通信をミラーリングする監視ステップと、
前記監視ステップによってミラーリングされた通信の中から、不正な通信を検出する検出ステップと、
前記検出ステップによる検出結果に基づいて、特定された不正な通信を遮断させるよう指示する指示ステップと、
を含んだことを特徴とする検出方法。 A detection method in which a detection system detects unauthorized communication,
A relay step for relaying communication with the monitored server;
A monitoring step of mirroring the communication relayed by the relay step when an abnormality is detected in the information related to the communication resource of the server;
A detection step of detecting unauthorized communication out of the communication mirrored by the monitoring step;
An instruction step for instructing to block the specified unauthorized communication based on the detection result of the detection step;
The detection method characterized by including. 蓄積装置が通信に係る情報を蓄積する蓄積方法であって、
監視対象であるサーバとの通信に係る情報である通信データを蓄積する蓄積ステップと、
前記蓄積ステップによって蓄積された通信データの中から、一連の通信単位で前記通信データを抽出する抽出ステップと、
前記サーバとの通信に異常が検知されたことを契機として、通信を分析することによって不正な通信を検出する装置である検出装置に、前記抽出ステップによって抽出された通信データを送信する送信ステップと、
を含んだことを特徴とする蓄積方法。 A storage method in which a storage device stores information related to communication,
An accumulation step for accumulating communication data that is information relating to communication with a server to be monitored;
An extraction step for extracting the communication data in a series of communication units from the communication data accumulated by the accumulation step;
A transmission step of transmitting the communication data extracted by the extraction step to a detection device that is a device that detects unauthorized communication by analyzing communication triggered by an abnormality detected in communication with the server; ,
A storage method characterized by comprising 請求項１〜４のいずれか１つに記載の検出システムに係る制御装置としてコンピュータを機能させるための検出プログラム。   The detection program for functioning a computer as a control apparatus which concerns on the detection system as described in any one of Claims 1-4.
JP2015024548A 2015-02-10 2015-02-10 Detection system, detection method, and detection program Active JP6276207B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2015024548A JP6276207B2 (en) 2015-02-10 2015-02-10 Detection system, detection method, and detection program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2015024548A JP6276207B2 (en) 2015-02-10 2015-02-10 Detection system, detection method, and detection program

Publications (2)

Publication Number Publication Date
JP2016148939A true JP2016148939A (en) 2016-08-18
JP6276207B2 JP6276207B2 (en) 2018-02-07

Family

ID=56688371

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2015024548A Active JP6276207B2 (en) 2015-02-10 2015-02-10 Detection system, detection method, and detection program

Country Status (1)

Country Link
JP (1) JP6276207B2 (en)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019017056A1 (en) * 2017-07-19 2019-01-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ Vehicle-mounted relay device, relay method and program
JP2019022210A (en) * 2017-07-19 2019-02-07 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ On-board relay device, relay method and program
JP2020508592A (en) * 2018-02-02 2020-03-19 イージーサーティ インコーポレイテッド Log generation method and device based on packet collection by session in big data system

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006053788A (en) * 2004-08-12 2006-02-23 Ntt Docomo Inc Software operation monitoring device and software operation monitoring method
WO2006043310A1 (en) * 2004-10-19 2006-04-27 Fujitsu Limited False access program monitoring method, false access program detecting program, and false access program countermeasure program
JP2007156681A (en) * 2005-12-02 2007-06-21 Shinji Kudo Internet unauthorized access processing system and processing method
US20070157306A1 (en) * 2005-12-30 2007-07-05 Elrod Craig T Network threat detection and mitigation
JP2008211464A (en) * 2007-02-26 2008-09-11 Oki Electric Ind Co Ltd Traffic abnormality detection system, traffic information observation device, traffic information management device, traffic information observation program, and traffic information management program
JP2008278272A (en) * 2007-04-27 2008-11-13 Kddi Corp Electronic system, electronic equipment, central apparatus, program, and recording medium

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006053788A (en) * 2004-08-12 2006-02-23 Ntt Docomo Inc Software operation monitoring device and software operation monitoring method
WO2006043310A1 (en) * 2004-10-19 2006-04-27 Fujitsu Limited False access program monitoring method, false access program detecting program, and false access program countermeasure program
JP2007156681A (en) * 2005-12-02 2007-06-21 Shinji Kudo Internet unauthorized access processing system and processing method
US20070157306A1 (en) * 2005-12-30 2007-07-05 Elrod Craig T Network threat detection and mitigation
JP2008211464A (en) * 2007-02-26 2008-09-11 Oki Electric Ind Co Ltd Traffic abnormality detection system, traffic information observation device, traffic information management device, traffic information observation program, and traffic information management program
JP2008278272A (en) * 2007-04-27 2008-11-13 Kddi Corp Electronic system, electronic equipment, central apparatus, program, and recording medium

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019017056A1 (en) * 2017-07-19 2019-01-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ Vehicle-mounted relay device, relay method and program
JP2019022210A (en) * 2017-07-19 2019-02-07 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ On-board relay device, relay method and program
CN109804603A (en) * 2017-07-19 2019-05-24 松下电器（美国）知识产权公司 Vehicle-mounted relay, trunking method and program
JP7020990B2 (en) 2017-07-19 2022-02-16 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ In-vehicle relay device, relay method and program
CN109804603B (en) * 2017-07-19 2022-04-29 松下电器（美国）知识产权公司 In-vehicle relay device, relay method, and medium
US11824871B2 (en) 2017-07-19 2023-11-21 Panasonic Intellectual Property Corporation Of America Vehicle relay device, relay method, and recording medium storing program for stopping unauthorized control by in-vehicle equipment
JP2020508592A (en) * 2018-02-02 2020-03-19 イージーサーティ インコーポレイテッド Log generation method and device based on packet collection by session in big data system

Also Published As

Publication number Publication date
JP6276207B2 (en) 2018-02-07

Similar Documents

Publication Publication Date Title
WO2016150253A1 (en) Sdn-based ddos attack prevention method, device and system
Mirkovic et al. D-WARD: a source-end defense against flooding denial-of-service attacks
KR101263329B1 (en) Method and apparatus for preventing network attacks, method and apparatus for processing transmission and receipt of packet comprising the same
US10771501B2 (en) DDoS attack defense method, system, and related device
US8272044B2 (en) Method and system to mitigate low rate denial of service (DoS) attacks
US10505952B2 (en) Attack detection device, attack detection method, and attack detection program
CN109005175B (en) Network protection method, device, server and storage medium
RU2666289C1 (en) System and method for access request limits
US11716313B2 (en) Methods, systems, and computer readable media for implementing bandwidth limitations on specific application traffic at a proxy element
CN108737447B (en) User datagram protocol flow filtering method, device, server and storage medium
WO2014040292A1 (en) Protection method and device against attacks
KR20120060655A (en) Routing Method And Apparatus For Detecting Server Attacking And Network Using Method Thereof
CN102577240B (en) The method and apparatus carrying out virus for adopting rate limit and control
JP6276207B2 (en) Detection system, detection method, and detection program
WO2016139910A1 (en) Communication system, communication method, and non-transitory computer readable medium storing program
JP2008211464A (en) Traffic abnormality detection system, traffic information observation device, traffic information management device, traffic information observation program, and traffic information management program
US9906438B2 (en) Communication node, control apparatus, communication system, packet processing method, communication node controlling method and program
KR20110026926A (en) (method for blocking distributed denial of service
CN107018116B (en) Method, device and server for monitoring network traffic
JP4620070B2 (en) Traffic control system and traffic control method
JP2005293550A (en) Method and system for monitoring and protecting private network against attack from public network
JP5178573B2 (en) Communication system and communication method
KR100733830B1 (en) DDoS Detection and Packet Filtering Scheme
CN109889470B (en) Method and system for defending DDoS attack based on router
JP4322179B2 (en) Denial of service attack prevention method and system

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20161207

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20170926

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20170929

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20171108

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20180109

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20180111

R150 Certificate of patent or registration of utility model

Ref document number: 6276207

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150