JP2016162350A - 最適化装置、最適化方法および最適化プログラム - Google Patents

Abstract

【課題】サイバー攻撃の検知性能を低下させることなく、通信遅延を削減し、セキュリティ機器が処理すべき負荷を低減すること。
【解決手段】検知特性記録部１１が、通信の特徴を示すパターンと該パターンを検知したセキュリティ機器との対応付けを示す検知パターン情報を格納し、算出部１２１が、入力された通信の特徴を示すパターンを算出し、決定部１２２が、算出されたパターンと類似する類似パターンを検知特性記録部１１から抽出し、該類似パターンを検知したセキュリティ機器を基にして、入力された通信を経由させるセキュリティ機器を決定する。
【選択図】図１

Description

本発明は、最適化装置、最適化方法および最適化プログラムに関する。

複雑かつ巧妙化するサイバー攻撃からネットワークを保護するために、ＦＷ（Fire Wall）、ＩＤＳ（Intrusion Detection System）、ＷＡＦ（Web Application Firewall）等の多様なセキュリティ機器が存在する。サイバー攻撃からネットワークを保護するため、事前に決められた静的なポリシーに基づいて、入力された通信のプロトコルやアプリケーション等の各種別に特化したセキュリティ機器を利用するようにトラヒック制御が行われている。

しかしながら、セキュリティ機器によってサイバー攻撃の検知特性に差があるため、単一のセキュリティ機器によれば、複雑かつ巧妙化するサイバー攻撃の見逃しが発生してしまう。サイバー攻撃を見逃すと、ネットワークに対して重大な問題を引き起こしかねないため、サイバー攻撃の見逃しを削減することは重要な課題である。そこで、複数のセキュリティ機器を利用してサイバー攻撃の検知性能の低下を防止している。

なお、入力されたパケットの特徴に応じて経由させるネットワーク機器を動的に選択するサービスチェイニングと言われる技術が知られている（非特許文献１参照）。サービスチェイニングによれば、事前に設定されたポリシーに従って、入力された通信の送信元ＩＰ（Interet Protocol）アドレス、プロトコル、またはＬ（Layer）７の通信内容等の特徴に応じて利用するネットワーク機器の組み合わせおよび順序を指定することができる。例えば、ＨＴＴＰ（HyperText Transfer Protocol）通信を含む複数の種別の通信が混在する場合に、ＨＴＴＰ通信のみがＨＴＴＰ通信用に特化したネットワーク機器を利用するように、トラヒックを制御することができる。

W.John, K.Pentikousis, G.Agapiou et al., "Research Directions in Network Service Chaining," IEEE SDN4FNS, 2013

サイバー攻撃の恐れのある各種別の通信に対してサービスチェイニングを適用すれば、各種別の通信でのサイバー攻撃に特化したセキュリティ機器を経由するようトラヒックを制御することができる。しかしながら、同じ種別の通信でのサイバー攻撃に特化した検知特性に差があるセキュリティ機器が複数存在する場合に、事前に設定された静的なポリシーおよび通信の種別によるトラヒック制御では、セキュリティ機器の検知特性に応じて選択して利用することができなかった。そのため、同一種別の通信でのサイバー攻撃に特化したセキュリティ機器群の全てのセキュリティ機器を同時に利用しなければならず、通信に遅延が生じ、各セキュリティ機器が処理すべきトラヒック量が増加してしまうおそれがあった。

本発明は、上記に鑑みてなされたものであって、サイバー攻撃の検知性能を低下させることなく、通信遅延を削減し、セキュリティ機器が処理すべき負荷を低減することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る最適化装置は、通信の特徴を示すパターンと該パターンを検知したセキュリティ機器との対応付けを示す検知パターン情報を格納する検知特性記録部と、入力された通信の特徴を示すパターンを算出する算出部と、算出された前記パターンと類似するパターンである類似パターンを前記検知特性記録部から抽出し、該類似パターンを検知した前記セキュリティ機器を基にして、入力された前記通信を経由させるセキュリティ機器を決定する決定部と、を備えることを特徴とする。

本発明によれば、サイバー攻撃の検知性能を低下させることなく、通信遅延を削減し、セキュリティ機器が処理すべき負荷を低減することができる。

図１は、本発明の一実施形態に係る最適化装置および最適化装置が適用されるセキュリティ対処システムの概略構成を示す模式図である。 図２は、従来のセキュリティ対処システムを説明するための説明図である。 図３は、本実施形態の検知パターン情報のデータ構成例を示す図である。 図４は、本実施形態の最適化装置の動作を説明するための説明図である。 図５は、本実施形態の最適化装置の動作を説明するための説明図である。 図６は、本実施形態の最適化装置の動作を説明するための説明図である。 図７は、本実施形態の最適化処理手順を示すフローチャートである。 図８は、本実施形態の最適化処理手順を示すシーケンス図である。 図９は、最適化プログラムを実行するコンピュータを示す図である。

以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［セキュリティ対処システムの構成］
図１は、本実施形態に係る最適化装置および最適化装置が適用されるセキュリティ対処システムの概略構成を示す模式図である。図１に示すように、セキュリティ対処システム１０は、最適化装置１と、セキュリティ機器群２と、ネットワーク（ＮＷ）機器３と、ネットワーク（ＮＷ）制御装置４とを備える。セキュリティ機器群２を構成するセキュリティ機器は、例えば、次世代ＦＷ、ＩＤＳ／ＩＰＳ（Intrusion Prevention System）、ＷＡＦ等であり、各種別のサイバー攻撃を検知する。ネットワーク機器３は、例えば、ルーターやスイッチ等である。ネットワーク制御装置４は、例えば、ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ、仮想スイッチ、Ｒｅｖｅｒｓｅ Ｐｒｏｘｙ等であり、セキュリティ機器群２のうち指定されたセキュリティ機器を経由するようにパケット通信を制御する。

インターネット等の外部のネットワ−ク５から届いたパケットは、ネットワーク機器３、ネットワーク制御装置４、およびセキュリティ機器群２を経由して、内部ネットワーク（ＮＷ）６内の端末装置に送達される。

なお、図２に例示するように、従来のセキュリティ対処システム１００では、入力されたパケットがセキュリティ機器群２の全てのセキュリティ機器を通過するように構成されていた。

本実施形態では、最適化装置１が後述する最適化処理を実行することにより、サイバー攻撃の恐れのある通信の特徴に応じて、セキュリティ機器群２のうちのパケットを経由させるセキュリティ機器をネットワーク制御装置４に対して指定する。

ネットワーク制御装置４は、例えばサービスチェイニングを適用し、パケットが指定されたセキュリティ機器を経由するように通信制御を行う。

セキュリティ機器は、パケットを受信した場合に、予め設定された設定情報に従って動作する。例えば、通信を遮断したり、検知したサイバー攻撃の情報を、ログ通信機能（ｓｙｓｌｏｇ）等により最適化装置１に通知したりする。

［最適化装置の構成］
最適化装置１は、ワークステーションやパソコン等の汎用コンピュータで実現され、検知特性記録部１１と制御部１２とを備える。

検知特性記録部１１は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。なお、検知特性記録部１１は、ＬＡＮ（Local Area Network）やインターネットなどの電気通信回線を介して制御部１２と通信する構成でもよい。

検知特性記録部１１は、通信の特徴を示すパターンと該パターンを検知したセキュリティ機器との対応付けを示す検知パターン情報を格納する。具体的に、検知特性記録部１１が格納する検知パターン情報は、図３に例示するように、各行に対応する各パターンについて、特徴、攻撃、およびセキュリティ機器別の検知特性の有無を含んで構成される。

ここで、特徴とは、通信の特徴を示すパターンを意味し、例えば、ＨＴＴＰリクエストに含まれるクエリ文字列が例示される。図３に示す例では、１行目のパターンは、クエリ文字列「‘ｏｒ Ｘ＝Ｘ」が含まれることを特徴とするものである。

攻撃とは、検知された各パターンがサイバー攻撃であったか否かを示す。図３に示す例では、検知されたパターンがサイバー攻撃であった場合に「○」、サイバー攻撃ではなかった場合に「×」が記録されている。

セキュリティ機器別の検知特性の有無とは、セキュリティ機器群２の各セキュリティ機器が各パターンの通信の特徴を検知したか否かを意味する。図３に示す例では、１行目のパターン「‘ｏｒ Ｘ＝Ｘ」について、セキュリティ機器としてのＷＡＦ ＡおよびＷＡＦ Ｂがサイバー攻撃として検知したこと、すなわち検知特性を有することが「検知」として記録されている。図３では、検知特性を有しないものについては何ら記録されておらず空白になっている。

制御部１２は、メモリに記憶された処理プログラムを実行するＣＰＵ（Central Processing Unit）等を用いて実現され、処理プログラムを実行することにより、算出部１２１および決定部１２２として機能する。

算出部１２１は、入力された通信の特徴を示すパターンを算出する。具体的に、図４に示すように、算出部１２１は、ネットワーク制御装置４から、入力された通信に関するヘッダ情報、通信データ、またはネットワーク機器３等による分析結果等の情報の入力を受け付けて、通信の特徴を示すパターンを算出する。

図４には、入力された通信がＨＴＴＰ通信である場合のセキュリティ対処システム１０が例示され、セキュリティ機器群２として、複数のＷＡＦ（ＷＡＦ Ａ，ＷＡＦ Ｂ、およびＷＡＦ Ｃ）が例示されている。そして、この図４に示す例では、入力されたＨＴＴＰリクエストのクエリ文字列に「ＩＤ＝ｕｓｅｒ１」、「Ｐａｓｓｗｏｒｄ＝‘ｏｒ １＝１−−」等の文字列が含まれている。この場合に、算出部１２１は、例えば文字列カーネル等の算出アルゴリズムを適用して、「ｕｓｅｒ１」、「‘ｏｒ Ｘ＝Ｘ−−」、「Ｘ＝Ｘ−−」等のパターンを算出する。

ここで、文字列カーネルは、文字列に含まれる部分文字列特定のルールに従って特徴ベクトルと呼ばれる数値列に変換するものである。ただし、通信の特徴を示すパターンを算出するアルゴリズムは、文字列カーネルに限定されない。また、通信の特徴を示すパターンは、算出されるかわりに、入力された通信に関する情報から収集されてもよい。

決定部１２２は、算出されたパターンと類似するパターンである類似パターンを検知特性記録部１１から抽出し、該類似パターンを検知したセキュリティ機器を基にして、入力された通信を経由させるセキュリティ機器を決定する。

具体的に、決定部１２２は、まず、算出部１２１が算出したパターンを検知特性記録部１１に格納されているパターンと対比させ、類似している類似パターンを検知特性記録部１１から抽出する。図４に示す例では、類似パターンとして、検知特性記録部１１から「‘ｏｒ Ｘ＝Ｘ」および「Ｘ＝Ｘ」を抽出する。

次に、決定部１２２は、抽出した類似パターンに対応付けされている情報を参照し、この類似パターンを検知したセキュリティ機器を基にして、入力された通信を経由させる最小数のセキュリティ機器の組み合わせを決定する。そして、決定部１２２は、ネットワーク制御装置４に決定されたセキュリティ機器を指定して、入力された通信が決定されたセキュリティ機器を経由するように、ネットワーク制御装置４に通信制御を実行させる。

図５に示す例では、抽出した類似パターンから、「‘ｏｒ Ｘ＝Ｘ」のパターンを、ＷＡＦ ＡおよびＷＡＦ Ｂとサイバー攻撃として検知できること、また「Ｘ＝Ｘ」のパターンを、ＷＡＦ Ａがサイバー攻撃ではないものとして検知できることがわかる。そこで、決定部１２２は、ＷＡＦ ＡおよびＷＡＦ Ｂを入力された通信を経由させるセキュリティ機器として決定する。こうすれば、「‘ｏｒ Ｘ＝Ｘ−−」のパターンをＷＡＦ ＡおよびＷＡＦ Ｂが検知した場合に、サイバー攻撃であると判断できることが推測される。

なお、決定部１２２は、算出されたパターンと決定されたセキュリティ機器の組み合わせと検知結果とを検知特性記録部１１に格納する。具体的に、決定部１２２は、図６に示すように、「‘ｏｒ Ｘ＝Ｘ−−」をサイバー攻撃として、ＷＡＦ ＡおよびＷＡＦ Ｂが検知できたことを検知特性記録部１１に記録する。これにより、通信の特徴に対応するサイバー攻撃の検知事例が蓄積され、各セキュリティ機器の検知特性が学習される。したがって、利用するセキュリティ機器を高精度に最適化すなわち最小数化できる。

また、検知特性記録部１１の検知パターン情報には、検知されたサイバー攻撃ではないパターンも記録されている。これにより、サイバー攻撃ではないものをサイバー攻撃と誤って検知する誤検知が学習されるので、誤検知を高精度に防止することができる。

［最適化処理手順］
次に、図７のフローチャートおよび図８のシーケンス図を参照して、最適化装置１における最適化処理手順について説明する。図７のフローチャートおよび図８のシーケンス図は、例えば、操作者が図示しない入力部を操作して処理開始の指示入力を行ったタイミングで開始となる。

まず、算出部１２１が、ネットワーク機器３からネットワーク制御装置４を介して通信情報を受信する（ステップＳ１，Ｓ１１，Ｓ１２）。

算出部１２１は、通信の特徴を算出する。そして、決定部１２２は、検知特性記録部１１を参照し、算出された通信の特徴のパターンに類似する過去の類似パターンを検索する（ステップＳ２，Ｓ１３）。

類似パターンがない場合には（ステップＳ３，Ｎｏ）、決定部１２２は、事前に指定されているセキュリティ機器の組み合わせを、入力された通信を経由させるセキュリティ機器として決定する（ステップＳ４）。

一方、類似パターンがあった場合には（ステップＳ３，Ｙｅｓ，Ｓ１４）、決定部１２２は、類似パターンを検知したセキュリティ機器を基にして、入力された通信を経由させる最小数のセキュリティ機器の組み合わせを決定する（ステップＳ５）。

決定部１２２は、決定したセキュリティ機器の組み合わせをネットワーク制御装置４に指定する（ステップＳ６，Ｓ１５）。

また、決定部１２２は、セキュリティ機器から検知結果を取得して（ステップＳ１６，Ｓ１７）、算出したパターンを検知特性記録部１１に記録する（ステップＳ７，Ｓ１８）。これにより、一連の最適化処理は終了する。

以上、説明したように、本実施形態の最適化装置１では、算出部１２１が、入力された通信の特徴を示すパターンを算出し、決定部１２２が、算出されたパターンと類似する類似パターンを検知特性記録部１１から抽出し、該類似パターンを検知したセキュリティ機器を基にして、入力された通信を経由させるセキュリティ機器を決定する。これにより、本実施形態の最適化装置１は、検知特性に応じて最小数のセキュリティ機器を利用して確実かつ効率よくサイバー攻撃を検知することをできる。したがって、サイバー攻撃の検知性能を低下させることなく、通信遅延を削減し、セキュリティ機器が処理すべき負荷を低減することができる。

また、最適化装置１は、通信の特徴に対応するサイバー攻撃の検知事例を検知特性記録部１１に蓄積して各セキュリティ機器の検知特性を学習する。これにより、利用するセキュリティ機器を高精度に最適化すなわち最小数化できる。

［他の実施形態］
［プログラム］
上記実施形態に係る最適化装置１が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、係るプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、最適化装置１と同様の機能を実現する最適化プログラムを実行するコンピュータの一例を説明する。

図９に示すように、最適化プログラムを実行するコンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。

ここで、図９に示すように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。

また、最適化プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した最適化装置１が実行する各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０３１に記憶される。

また、最適化プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、最適化プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、最適化プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。

１０ セキュリティ対処システム
１ 最適化装置
１１ 検知特性記録部
１２ 制御部
１２１ 算出部
１２２ 決定部
２ セキュリティ機器群
３ ネットワーク機器
４ ネットワーク制御装置

Claims (4)

1. 通信の特徴を示すパターンと該パターンを検知したセキュリティ機器との対応付けを示す検知パターン情報を格納する検知特性記録部と、
   入力された通信の特徴を示すパターンを算出する算出部と、
   算出された前記パターンと類似するパターンである類似パターンを前記検知特性記録部から抽出し、該類似パターンを検知した前記セキュリティ機器を基にして、入力された前記通信を経由させるセキュリティ機器を決定する決定部と、
   を備えることを特徴とする最適化装置。
2. 前記決定部は、算出された前記パターンと決定された前記セキュリティ機器との対応付けを前記検知特性記録部に格納することを特徴とする請求項１に記載の最適化装置。
3. 最適化装置で実行される最適化方法であって、
   前記最適化装置は、通信の特徴を示すパターンと該パターンを検知したセキュリティ機器との対応付けを示す検知パターン情報を格納する検知特性記録部を備え、
   入力された通信の特徴を示すパターンを算出する算出工程と、
   算出された前記パターンと類似するパターンである類似パターンを前記検知特性記録部から抽出し、該類似パターンを検知した前記セキュリティ機器を基にして、入力された前記通信を経由させるセキュリティ機器を決定する決定工程と、
   を含んだことを特徴とする最適化方法。
4. 入力された通信の特徴を示すパターンを算出する算出ステップと、
   算出された前記パターンと類似するパターンである類似パターンを、通信の特徴を示すパターンと該パターンを検知したセキュリティ機器との対応付けを示す検知パターン情報を格納する検知特性記録部から抽出し、該類似パターンを検知した前記セキュリティ機器を基にして、入力された前記通信を経由させるセキュリティ機器を決定する決定ステップと、
   をコンピュータに実行させるための最適化プログラム。

Images