JP2016170651A - 不正アクセス検出方法、装置、及びプログラム - Google Patents

Abstract

【課題】不正アクセスの検出精度を高める技術を提供する。
【解決手段】特定のアクセス元から情報処理システムに対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定する。特定されたアクセスの種別の組合せに基づいて、特定のアクセス元から情報処理システムに対するアクセスの危険度を判定する処理を含む。
【選択図】図８

Description

本発明は、不正アクセスの検出技術に関する。

不正アクセスの検出に関して、或る文献は以下のような技術を開示する。具体的には、攻撃検出部が、ネットワークからのアクセス内容を調査し、不正アクセスであるか判断するとともに、そのアクセス内容から危険度を判定する。ブラックリスト管理部は、不正アクセスであると判断されたアクセスを発行してきた送信元を、その危険度とともに管理する。サービス管理部は、アクセス先のサービスを危険度とともに管理する。そして、ブラックリスト管理部は、不正アクセスの送信元がすでに要注意監視サービスリストに登録されている場合、不正アクセスの内容から求められる危険度よりも高い危険度を使用する。

上記の技術は、パケット中の送信元アドレスを偽装して不正アクセスを試みる攻撃に着目した技術である。しかし、不正アクセスの手口はますます巧妙化及び複雑化しているため、上記の技術を利用しても検出できない不正アクセスが存在する。また、本来は不正ではないアクセスを不正アクセスとして検出してしまうこともある。

特開２００５−１３４９７２号公報

従って、本発明の目的は、１つの側面では、不正アクセスの検出精度を高めるための技術を提供することである。

本発明の１つの態様は、特定のアクセス元から情報処理システムに対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定し、特定されたアクセスの種別の組合せに基づいて、特定のアクセス元から情報処理システムに対するアクセスの危険度を判定する処理を含む。

１つの側面では、不正アクセスの検出精度を高めることができるようになる。

図１は、本実施の形態におけるシステムの概要を示す図である。 図２は、検出システムのシステム構成図である。 図３は、本実施の形態において取り扱う不正アクセスの一例を示す図である。 図４は、ＨＴＴＰヘッダにおけるバナー情報の一例を示す図である。 図５は、管理サーバが実行する処理の処理フローを示す図である。 図６は、サーバデータ格納部に格納されるデータの一例を示す図である。 図７は、検知サーバが実行する処理の処理フローを示す図である。 図８は、解析サーバが実行する処理の処理フローを示す図である。 図９は、登録処理の処理フローを示す図である。 図１０は、パケットデータ格納部に格納されるデータの一例を示す図である。 図１１は、リスクテーブル格納部に格納されるリスクテーブルの一例を示す図である。 図１２は、アドレステーブル格納部に格納されるデータの一例を示す図である。 図１３は、フローデータ格納部に格納されるデータの一例を示す図である。 図１４は、不正アクセスの検出について説明するため図である。 図１５は、管理者端末が実行する処理の処理フローを示す図である。 図１６は、検出装置の機能ブロック図である。 図１７は、管理者端末の表示装置に表示される画面の一例を示す図である。 図１８は、コンピュータの機能ブロック図である。

［実施の形態１］
図１に、本実施の形態におけるシステムの概要を示す。データセンタ１に構築されたクラウドシステム１１は、システムＡ乃至Ｃと、ファイアウォール装置Ａ乃至Ｃとを有する。システムＡはユーザＡ用のシステムであり、システムＢはユーザＢ用のシステムであり、システムＣはユーザＣ用のシステムである。システムＡ乃至Ｃは、物理サーバ（ウェブサーバ、アプリケーションサーバ、データベースサーバなど）、物理スイッチ、及び物理ルータ等を含む。

ファイアウォール装置Ａ乃至Ｃは、システムＡ乃至Ｃを、インターネット３に接続された攻撃者端末５による不正アクセスから保護するための装置であり、パケットのフィルタリング等を実行する。ファイアウォール装置Ａ乃至Ｃは、データセンタ１内のネットワークを介してパケット送信装置１２に接続される。

パケット送信装置１２は、クラウドシステム１１に送信されるパケット及びクラウドシステム１１から送信されるパケットのコピーを、ポートミラーリング等によって検出システム１０に送信する。

検出システム１０は、受信したパケットについて解析を実行し、不正アクセスを検出する。検出システム１０は、検出した不正アクセスに関するデータを、管理者端末７に送信する。検出システム１０は、不正アクセスから保護するための対策（例えば、ファイアウォール装置Ａ乃至Ｃにおけるパケットの遮断）を実行する。なお、管理者端末７を操作する管理者が、不正アクセスに関するデータの内容を確認し、管理者端末７を操作することにより対策を行ってもよい。

図２に、検出システム１０のシステム構成を示す。検出システム１０は、管理サーバ１０１と、解析サーバ１０２と、検知サーバ１０３とを有する。

管理サーバ１０１は、管理部１０１１と、サーバデータ格納部１０１２とを有する。管理部１０１１は、クラウドシステム１１内の物理サーバに関するデータ（以下、サーバデータと呼ぶ）をサーバデータ格納部１０１２において管理する。管理部１０１１は、サーバデータ格納部１０１２に格納されたサーバデータを更新した場合、更新後のサーバデータを解析サーバ１０２に送信する。

検知サーバ１０３は、選別部１０３１と、条件格納部１０３２とを有する。選別部１０３１は、パケット送信装置１２から受信したパケットのうち、条件格納部１０３２に格納された条件を満たすパケットを特定する。選別部１０３１は、特定したパケットに関するデータを解析サーバ１０２に送信する。

解析サーバ１０２は、解析部１０２１と、フローデータ格納部１０２２と、サーバデータ格納部１０２３と、リスクテーブル格納部１０２４と、パケットデータ格納部１０２５と、アドレステーブル格納部１０２６とを有する。解析部１０２１は、管理サーバ１０１から受信したサーバデータをサーバデータ格納部１０２３に格納する。解析部１０２１は、検知サーバ１０３から受信した、パケットに関するデータをパケットデータ格納部１０２５に格納する。解析部１０２１は、パケットデータ格納部１０２５に格納されたデータ、サーバデータ格納部１０２３に格納されたデータ、アドレステーブル格納部１０２６に格納されたデータ、及びリスクテーブル格納部１０２４に格納されたデータに基づきアクセスのリスク値を決定し、フローデータ格納部１０２２に格納する。本実施の形態において、フローとは、送信元アドレスと宛先アドレスとの組合せから特定される通信フローのことである。解析部１０２１は、アクセス毎のリスク値からフローのリスク値を決定し、送信元から宛先への一連のアクセスが不正アクセスに該当するか否か判定する。

図３に、本実施の形態において取り扱う不正アクセスの一例を示す。攻撃者端末５は、情報収集のためのパケットをクラウドシステム１１におけるサーバに対して送信する（図３における（１））。検知サーバ１０３は、情報収集のためのパケットを検知すると、解析サーバ１０２に通知する（図３における（２））。例えば、ｐｉｎｇコマンドによるホストスキャン及びｎｍａｐコマンドによるポートスキャンが図３における（１）の情報収集に該当する。これにより、サーバのグローバルＩＰ（Internet Protocol）アドレス（例えば、１９２．ｘｘｘ．ｘｘｘ．ｘｘｘ）とＴＣＰ（Transmission Control Protocol）のポート番号（例えば８０）とが収集される。但し、情報収集のためのパケットは日常的に送受信されるパケットであるため、情報収集のためのパケットを検出しただけでは不正アクセスに該当するとは判断されない。なお、攻撃者端末５は、Ｃ＆Ｃ（Command and Control）サーバと呼ばれることが有る。

攻撃者端末５は、情報収集のためのパケットをクラウドシステム１１における攻撃対象のサーバに対してさらに送信する（図３における（３））。検知サーバ１０３は、情報収集のためのパケットを検知すると、解析サーバ１０２に通知する（図３における（４））。例えば、図４に示すようなＨＴＴＰ（HyperText Transfer Protocol）ヘッダに含まれるデータ（例えばバナー情報）から、攻撃対象のサーバにおいて動作するアプリケーションに関する情報を収集する処理が図３における（３）の情報収集に該当する。攻撃者端末５は、収集した情報から、アプリケーションの脆弱性を特定することができる。

攻撃者端末５は、攻撃のためのパケットをクラウドシステム１１における攻撃対象のサーバに対してさらに送信する（図３における（５））。検知サーバ１０３は、攻撃のためのパケットを検知すると、解析サーバ１０２に通知する（図３における（６））。例えば、脆弱性を利用して情報を窃取するためのマルウエアを攻撃対象のサーバに送り込むことが図３における（５）の攻撃に該当する。

なお、図３における（１）、（３）及び（５）のパケットは、インバウンド通信のパケットである。

攻撃者端末５は、窃取された情報を含むパケットをクラウドシステム１１における攻撃対象のサーバから受信する（図３における（７））。検知サーバ１０３は、窃取された情報を含むパケットを検知すると、解析サーバ１０２に通知する（図３における（８））。例えば、バックドア通信が図３における（７）の通信に該当する。なお、図３における（７）のパケットはアウトバウンド通信に該当する。

解析サーバ１０２は、攻撃者端末５と攻撃対象のサーバとの間で交換されるパケットを遮断することを指示する遮断指示を、該当するファイアウォール装置に送信する（図３における（９））。これにより、攻撃者端末５と攻撃対象のサーバとの間で交換されるパケットはファイアウォール装置を通過できなくなり（図３における（１０））、情報窃取が停止する。

なお、ここでは情報収集、攻撃、及び情報窃取という一連のアクセスを検出した場合にファイアウォール装置においてパケットを遮断するが、管理者は、他の段階でパケットを遮断するように予め設定を行うこともできる。例えば、情報収集のためのアクセス及び攻撃のためのアクセスの両方を検出した場合にパケットを遮断してもよい。

次に、図５乃至図１５を用いて、検出システム１０において行われる処理について説明する。まず、図５及び図６を用いて、管理サーバ１０１が実行する処理について説明する。

まず、管理サーバ１０１における管理部１０１１は、サーバデータ格納部１０１２に格納されたサーバデータが更新されたか判断する（図５：ステップＳ１）。

図６に、サーバデータ格納部１０１２に格納されるサーバデータの一例を示す。図６の例では、サーバの識別子と、アプリケーションの識別子と、バージョンを表す情報と、脆弱性を表す情報とが格納される。サーバデータは、アプリケーションのバージョン変更が行われた場合等に管理者によって更新される。

サーバデータが更新されていない場合（ステップＳ１：Ｎｏルート）、ステップＳ５の処理に移行する。サーバデータが更新された場合（ステップＳ１：Ｙｅｓルート）、管理部１０１１は、更新されたサーバデータをサーバデータ格納部１０１２から読み出し、解析サーバ１０２に送信する（ステップＳ３）。ステップＳ３においては、サーバデータ格納部１０１２に格納されたサーバデータをそのまま送信してもよいし、更新された部分だけ送信してもよい。

管理部１０１１は、例えば、管理者から処理の終了指示が入力された場合には処理を終了し（ステップＳ５：Ｙｅｓルート）、管理者から処理の終了指示が入力されていない場合（ステップＳ５：Ｎｏルート）、ステップＳ１の処理に戻る。

以上のような処理を実行すれば、解析サーバ１０２が最新のサーバデータを利用できるようになる。

次に、図７を用いて、検知サーバ１０３が実行する処理について説明する。

まず、検知サーバ１０３における選別部１０３１は、パケット送信装置１２からパケットを受信し（図７：ステップＳ１１）、パケットに含まれるデータが、条件格納部１０３２に格納された検知条件を満たすか判断する（ステップＳ１３）。パケットに含まれるデータとは、例えば、ＩＰヘッダに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレス、サーバからの応答パケットのＴＣＰヘッダに含まれるポート番号、サーバからの応答パケットに含まれるバナー情報、ＨＴＴＰヘッダに含まれる情報、及びロボット型検索エンジンに対する命令を記述するためのファイル（例えば、ｒｏｂｏｔｓ．ｔｘｔ）の情報などである。但し、ここで示したようなデータに限られるわけではない。

検知条件は、例えば、特定の国であることを表す送信元ＩＰアドレスであるという条件、宛先が複数であるという条件、ポート番号が所定の番号（例えば８０）であるという条件、ＨＴＴＰヘッダに含まれる情報が攻撃を表しているという条件、アウトバウンドパケットの送信先ＩＰアドレスが国外のＩＰアドレスであるという条件、又はポートスキャン或いはホストスキャンのコマンドに該当するという条件等である。但し、ここで示した条件に限られるわけではない。

パケットに含まれるデータが検出条件を満たさない場合（ステップＳ１５：Ｎｏルート）、選別部１０３１は、ステップＳ１１において受信したパケットを廃棄する（ステップＳ１９）。パケットに含まれるデータが検出条件を満たす場合（ステップＳ１５：Ｙｅｓルート）、選別部１０３１は、ステップＳ１１において受信したパケットに関するデータ（以下、パケットデータと呼ぶ）を、解析サーバ１０２に送信する（ステップＳ１７）。パケットデータは、例えば、パケットの受信時刻、送信元アドレス、宛先アドレス、及びアクセス種別（例えば、ポートスキャン、ホストスキャンなど）を表すデータ等を含む。

選別部１０３１は、例えば、管理者から処理の終了指示が入力された場合には処理を終了し（ステップＳ２１：Ｙｅｓルート）、管理者から処理の終了指示が入力されていない場合（ステップＳ２１：Ｎｏルート）、ステップＳ１１の処理に戻る。

以上のような処理を実行すれば、解析サーバ１０２は、検知条件を満たすパケットだけを処理すればよいので、解析サーバ１０２の処理負荷を低減できるようになる。

次に、図８乃至図１５を用いて、解析サーバ１０２が実行する処理について説明する。

まず、解析サーバ１０２における解析部１０２１は、登録処理を実行する（ステップＳ３１）。登録処理については、図９乃至図１３を用いて説明する。

解析部１０２１は、更新されたサーバデータを管理サーバ１０１から受信したか判断する（図９：ステップＳ５１）。更新されたサーバデータを管理サーバ１０１から受信していない場合（ステップＳ５１：Ｎｏルート）、ステップＳ５５の処理に移行する。更新されたサーバデータを管理サーバ１０１から受信した場合（ステップＳ５１：Ｙｅｓルート）、解析部１０２１は、更新されたサーバデータをサーバデータ格納部１０２３に登録する（ステップＳ５３）。なお、ステップＳ５３においては、更新された部分のみ受信してもよいし、サーバデータ全体を受信してもよい。なお、解析サーバ１０２におけるサーバデータ格納部１０２３に格納されるサーバデータのフォーマットは、管理サーバ１０１におけるサーバデータ格納部１０１２に格納されるサーバデータのフォーマットと同じである。

解析部１０２１は、パケットデータを検知サーバ１０３から受信したか判断する（ステップＳ５５）。パケットデータを検知サーバ１０３から受信していない場合（ステップＳ５５：Ｎｏルート）、呼び出し元の処理に戻る。パケットデータを検知サーバ１０３から受信した場合（ステップＳ５５：Ｙｅｓルート）、解析部１０２１は、受信したパケットデータをパケットデータ格納部１０２５に登録する（ステップＳ５７）。

図１０に、パケットデータ格納部１０２５に格納されるデータの一例を示す。図１０の例では、パケットの受信時刻と、送信元アドレスと、宛先アドレスと、アクセス種別を表すデータとが格納される。

解析部１０２１は、受信したパケットデータに含まれる、アクセス種別を表すデータに対応するリスク値を、リスクテーブル格納部１０２４から特定する（ステップＳ５９）。

図１１に、リスクテーブル格納部１０２４に格納されるリスクテーブルの一例を示す。図１１の例では、番号と、通信の方向を表す情報と、アクセス種別を表す情報と、該当又は非該当のいずれであるかを表す情報と、リスク値とが格納される。例えば、「ポートスキャン」は情報収集に該当するので、アクセス種別が「ポートスキャン」であり且つインバウンドのパケットである場合、リスク値は「１」である。また、例えばインバウンドのパケットのアクセス種別が「攻撃」ではあるが、その攻撃に関係する脆弱性をサーバが有しているか不明である場合、リスク値は「１」である。

なお、ステップＳ５９において「攻撃」についてのリスク値を特定する際には、サーバデータ格納部１０２３に格納された、脆弱性についてのデータが使用される。例えば、或るパケットが特定の脆弱性に関するものであっても、攻撃対象のサーバがその脆弱性を有していない場合には、リスク値は「１」である。

なお、説明を簡単にするため処理を単純化しているが、通常は、情報収集や攻撃、情報窃取等に関連するパケットの数は複数（例えば数百以上）である。従って、着目するフローについて、（直近の期間において該当するパケットの数）／（直近の期間におけるパケットの総数）が所定の閾値（例えば０．９）以上である場合に「該当」すると判定してもよい。実際に情報収集や攻撃、情報窃取等が行われている場合には上記の計算によって算出される値はほぼ１になることが確認されている。

解析部１０２１は、受信したパケットデータに含まれる送信元アドレスと宛先アドレスとの組合せに対応するフローを、アドレステーブル格納部１０２６から特定する（ステップＳ６１）。

図１２に、アドレステーブル格納部１０２６に格納されるデータの一例を示す。図１２の例では、アドレスの組合せと、そのアドレスの組合せに対応するフローの識別子とが格納される。

解析部１０２１は、ステップＳ６１において特定されたフローについて、パケットデータに含まれる、アクセス種別を表すデータと、ステップＳ５９において特定されたリスク値とを、フローデータ格納部１０２２に格納する（ステップＳ６３）。そして呼び出し元の処理に戻る。

図１３に、フローデータ格納部１０２２に格納されるデータの一例を示す。図１３の例では、フローの識別子と、情報収集に関連するアクセスの種別を表す情報と、そのアクセスの種別に対応するリスク値と、攻撃に関連するアクセスの種別を表す情報と、そのアクセスの種別に対応するリスク値と、情報窃取に関連するアクセスの種別を表す情報と、そのアクセスの種別に対応するリスク値とが格納される。

例えばフロー「Ｆ１」については、図１３の状態においてはリスク値は１である。例えばフロー「Ｆ３」については、図１３の状態においてはリスク値は６（＝１＋２＋３）である。例えばフロー「Ｆ５」については、図１３の状態においてはリスク値は２（＝１＋１）である。

以上のようにすれば、アクセス種別の組合せに基づきリスク値を決定できるようになる。

図８の説明に戻り、解析部１０２１は、リスク値についての条件を満たすフローを探索する（ステップＳ３３）。リスク値についての条件とは、例えば、「リスク値が３以上である」というような条件である。

リスク値についての条件を満たすフローが無い場合（ステップＳ３５：Ｎｏルート）、ステップＳ４３の処理に移行する。リスク値についての条件を満たすフローが有る場合（ステップＳ３５：Ｙｅｓルート）、解析部１０２１は、リスク値についての条件を満たすフローにおけるアクセス種別の組合せが、予め定められた組合せに該当するか判定する（ステップＳ３７）。

予め定められた組合せとは、例えば「情報収集＋攻撃」という組合せ及び「情報収集＋攻撃＋情報窃取」という組合せである。ステップＳ３７の処理を実行することで、リスク値が予め定められた値以上であっても不正アクセスに該当する可能性が低いケース（例えば、情報窃取に該当するパケットだけが検出されたケース）を排除できるようになる。

アクセス種別の組合せが予め定められた組合せに該当しない場合（ステップＳ３９：Ｎｏルート）、ステップＳ４３の処理に移行する。アクセス種別の組合せが予め定められた組合せに該当する場合（ステップＳ３９：Ｙｅｓルート）、不正アクセスのフローであると判断できる。従って、解析部１０２１は、不正アクセスに関するデータ（すなわち、リスク値についての条件を満たすフローについてのデータ）を管理者端末７に送信する（ステップＳ４１）。

ステップＳ４１においては、例えばメールによって、不正アクセスに関するデータを管理者端末７に送信する。送信されるデータは、例えば、フローデータ格納部１０２２に格納されているデータである。

図１４を用いて、不正アクセスの検出について説明する。なお、この例では、リスク値についての条件は「リスク値が３以上である」という条件であるとし、予め定められた組合せを「情報収集＋攻撃」という組合せ及び「情報収集＋攻撃＋情報窃取」という組合せとする。

フロー「Ｆ１」は、情報収集にのみ該当し、攻撃及び情報窃取には該当しない。この場合、リスク値は「１」である。情報収集のためのパケットは比較的頻繁に送受信され、これだけでは不正アクセスに該当すると判断することはできないので、パケットの遮断を行わず、経過観察が行われることになる。

フロー「Ｆ２」は、情報収集及び攻撃に該当するが、情報窃取には該当しない。この場合、リスク値は「３」である。フロー「Ｆ２」については、サーバの脆弱性を狙った攻撃が行われており危険度が高いので、情報窃取が行われていなくても対策を実行する。これにより、情報窃取が行われることを未然に防ぐことができる。

フロー「Ｆ３」は、情報収集、攻撃、及び情報窃取に該当する。この場合、リスク値は「６」である。フロー「Ｆ３」については、既に情報窃取が行われているので、被害の拡大を防ぐため、対策を迅速に実行する。

フロー「Ｆ４」は、情報収集に該当するが、攻撃に該当するかが不明であり、情報窃取には該当しない。この場合、リスク値は「２」である。この場合は、パケットの遮断を行わず、攻撃対象のサーバが脆弱性を有するか否かを管理者が確認することになる。

フロー「Ｆ５」は、情報収集及び攻撃には該当しないが、情報窃取には該当する。この場合、リスク値は「３」である。この場合、リスク値についての条件を満たすことになるが、誤検知の可能性があるので、パケットの遮断が行われない。まずは、フローにおけるアクセスの内容を管理者が確認することになる。

解析部１０２１は、不正アクセスに対する対策を実行する（ステップＳ４２）。本実施の形態においては、攻撃者端末５と攻撃対象のサーバとの間で交換されるパケットを遮断することを指示する遮断指示を、該当するファイアウォール装置に送信する。

解析部１０２１は、例えば、管理者から処理の終了指示が入力された場合には処理を終了し（ステップＳ４３：Ｙｅｓルート）、管理者から処理の終了指示が入力されていない場合（ステップＳ４３：Ｎｏルート）、ステップＳ３１の処理に戻る。

以上のような処理を実行すれば、不正アクセスの検出精度を高めることができるようになる。例えば、単に情報収集だけが行われるようなアクセスは危険性が低いので、そのようなアクセスの危険度を下げるようにリスクテーブルを設定することで、不正アクセスとして検出されることを防げるようになる。また、情報窃取に該当するアクセスが行われた場合であっても、情報収集に該当するアクセス及び攻撃に該当するアクセスが行われていなければ、不正アクセスとして検出しなくてよいことがある。このような場合も、ステップＳ３７の処理に使用する組合せの情報を予め定義しておくことで、不正アクセスとして検出されることを防げるようになる。よって、本実施の形態によれば、複数種類のアクセスが行われるような不正アクセス（例えば、標的型攻撃）にも適切に対処できるようになる。

次に、図１５を用いて、管理者端末７が実行する処理について説明する。

まず、管理者端末７は、不正アクセスに関するデータを解析サーバ１０２から受信する（図１５：ステップＳ７１）。ステップＳ７１において受信するデータは、解析サーバ１０２がステップＳ４１において送信したデータである。

管理者端末７は、不正アクセスに関するデータを含む表示データを、表示装置（例えばモニタ）に表示する（ステップＳ７３）。そして処理を終了する。

以上のような処理を実行すれば、管理者端末７を操作する管理者は、不正アクセスに関するデータを確認し、ファイアウォール装置Ａ乃至Ｃによるパケットの遮断以外の対策を検討することができるようになる。また、検出精度が高くなるので、管理者が無駄な対策をせずに済むようになる。

［実施の形態２］
第１の実施の形態においては、不正アクセスの検出を検出システム１０が実行したが、１台の物理サーバである検出装置１５が不正アクセスの検出を実行してもよい。

図１６に、検出装置１５の機能ブロック図を示す。検出装置１５は、管理部１５０と、解析部１５１と、選別部１５２と、サーバデータ格納部１５３と、フローデータ格納部１５４と、パケットデータ格納部１５５と、リスクテーブル格納部１５６と、アドレステーブル格納部１５７と、条件格納部１５８とを有する。

管理部１５０は、サーバデータをサーバデータ格納部１５３において管理する。選別部１５２は、パケット送信装置１２から受信したパケットのうち、条件格納部１５８に格納された条件を満たすパケットを特定する。選別部１５２は、特定したパケットに関するデータを解析部１５１に出力する。解析部１５１は、選別部１５２から受け取った、パケットに関するデータをパケットデータ格納部１５５に格納する。解析部１５１は、パケットデータ格納部１５５に格納されたデータ、サーバデータ格納部１５３に格納されたデータ、アドレステーブル格納部１５７に格納されたデータ、及びリスクテーブル格納部１５６に格納されたデータに基づきアクセスのリスク値を決定し、フローデータ格納部１５４に格納する。解析部１５１は、アクセス毎のリスク値からフローのリスク値を決定し、送信元から宛先への一連のアクセスが不正アクセスに該当するか否か判定を行う。

以上のような検出装置１５を使用すれば、第１の実施の形態における検出システム１０と同様の検出を実行できるようになる。

以上本発明の一実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上で説明した管理サーバ１０１、解析サーバ１０２、検知サーバ１０３、及び検出装置１５の機能ブロック構成は実際のプログラムモジュール構成に一致しない場合もある。

また、上で説明した各テーブルの構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ処理の順番を入れ替えることも可能である。さらに、並列に実行させるようにしても良い。

なお、上で述べた例では、不正アクセスに関するデータを管理者端末７にメールによって送信する例を示したが、管理者が管理者端末７のブラウザを使用して、不正アクセスに関するデータを管理者端末７の表示装置に表示させるようにしてもよい。この場合、表示装置には、例えば図１７に示すようなウィンドウ１７０１が表示される。図１７の例では、管理者端末７を操作する管理者に関係するサーバ２台が表示されており、各サーバは危険度によって色付けされている。ここでは、Ｗｅｂ／ＡＰ（Application）サーバ（ここでは、ウェブサーバの機能及びアプリケーションサーバの機能を有するサーバ）１７０２の危険度が、６段階の危険度のうち最も高い危険度であり、ＤＢ（DataBase）サーバの危険度が、６段階の危険度のうち４番目に高い危険度である。管理者が管理者端末７のマウスをクリックすることにより、画面上のＷｅｂ／ＡＰサーバ１７０２が選択されると、不正アクセスに関するデータを表示するため画面に遷移する。

なお、上で述べた例では、ステップＳ３５における判定とステップＳ３９における判定とを両方行っているが、リスクテーブルの設定をより詳細に行ったうえで、ステップＳ３５における判定のみを行うようにしてもよい。

なお、上で述べた管理サーバ１０１、検知サーバ１０３、解析サーバ１０２、管理者端末７、攻撃者端末５、及び検出装置１５は、コンピュータ装置であって、図１８に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本発明の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

以上述べた本発明の実施の形態をまとめると、以下のようになる。

本実施の形態に係る不正アクセス検出方法は、（Ａ）特定のアクセス元から情報処理システムに対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定し、（Ｂ）特定されたアクセスの種別の組合せに基づいて、特定のアクセス元から情報処理システムに対するアクセスの危険度を判定する処理を含む。

このようにすれば、特定のアクセス元から情報処理システムに対するアクセスの危険度がより適切な値になるので、不正アクセスの検出精度を高めることができるようになる。

また、本不正アクセス検出方法は、（Ｃ）情報処理システムから特定のアクセス元に対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定する処理を含んでもよい。そして、危険度を判定する処理において、（ｂ１）特定のアクセス元から情報処理システムに対して送信される複数のパケットの各々について特定されたアクセスの種別と、情報処理システムから特定のアクセス元に対して送信される複数のパケットの各々について特定されたアクセスの種別との組合せに基づいて、特定のアクセス元から情報処理システムに対するアクセスの危険度を判定してもよい。このようにすれば、検出可能な不正アクセスの種類を増やすことができるようになり、また、不正アクセスの検出精度をより高めることができるようになる。

また、本不正アクセス検出方法は、（Ｄ）判定された危険度が所定の閾値以上である場合、特定のアクセス元から情報処理システムに対するアクセスが不正であることを表すデータを出力してもよい。このようにすれば、出力されたデータを確認した管理者等が、不正なアクセスに対する対策を実施できるようになる。

また、本不正アクセス検出方法は、（Ｅ）判定された危険度が所定の閾値以上である場合に、アクセスの種別の組合せが、所定の組合せであるか判断し、（Ｆ）アクセスの種別の組合せが所定の組合せである場合、特定のアクセス元から情報処理システムに対するアクセスが不正であることを表すデータを出力してもよい。たとえ危険度が所定の閾値以上であったとしても、不正なアクセスには該当しないケースも存在すると考えられる。従って、上で述べたようにすれば、誤検出の発生を抑制できるようになる。

また、特定のアクセス元から情報処理システムに対して送信されるパケットによるアクセスの種別は、情報処理システムにおける脆弱性の発見に関係するアクセスの種別である第１の種別と、情報処理システム内の情報を取得するためのプログラムの送信に関係するアクセスの種別である第２の種別とを含み、情報処理システムから特定のアクセス元に対して送信されるパケットによるアクセスの種別は、情報処理システム内の情報の送信に関係するアクセスの種別である第３の種別を含んでもよい。これにより、標的型攻撃などの不正アクセスを検出できるようになる。

なお、上記方法による処理をコンピュータに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納される。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）
コンピュータに、
特定のアクセス元から情報処理システムに対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定し、
特定された前記アクセスの種別の組合せに基づいて、前記特定のアクセス元から前記情報処理システムに対するアクセスの危険度を判定する、
処理を実行させるプログラム。

（付記２）
前記情報処理システムから前記特定のアクセス元に対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定する
処理をさらに実行させ、
前記危険度を判定する処理において、
前記特定のアクセス元から前記情報処理システムに対して送信される前記複数のパケットの各々について特定された前記アクセスの種別と、前記情報処理システムから前記特定のアクセス元に対して送信される前記複数のパケットの各々について特定された前記アクセスの種別との組合せに基づいて、前記特定のアクセス元から前記情報処理システムに対するアクセスの危険度を判定する、
付記１記載のプログラム。

（付記３）
判定された前記危険度が所定の閾値以上である場合、前記特定のアクセス元から前記情報処理システムに対するアクセスが不正であることを表すデータを出力する、
処理をさらに実行させる付記１又は２記載のプログラム。

（付記４）
判定された前記危険度が所定の閾値以上である場合に、前記アクセスの種別の組合せが、所定の組合せであるか判断し、
前記アクセスの種別の組合せが前記所定の組合せである場合、前記特定のアクセス元から前記情報処理システムに対するアクセスが不正であることを表すデータを出力する、
処理をさらに実行させる付記１又は２記載のプログラム。

（付記５）
前記特定のアクセス元から前記情報処理システムに対して送信されるパケットによるアクセスの種別は、前記情報処理システムにおける脆弱性の発見に関係するアクセスの種別である第１の種別と、前記情報処理システム内の情報を取得するためのプログラムの送信に関係するアクセスの種別である第２の種別とを含み、前記情報処理システムから前記特定のアクセス元に対して送信されるパケットによるアクセスの種別は、前記情報処理システム内の情報の送信に関係するアクセスの種別である第３の種別を含む
付記２記載のプログラム。

（付記６）
コンピュータが、
特定のアクセス元から情報処理システムに対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定し、
特定された前記アクセスの種別の組合せに基づいて、前記特定のアクセス元から前記情報処理システムに対するアクセスの危険度を判定する、
処理を実行する不正アクセス検出方法。

（付記７）
特定のアクセス元から情報処理システムに対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定する特定部と、
特定された前記アクセスの種別の組合せに基づいて、前記特定のアクセス元から前記情報処理システムに対するアクセスの危険度を判定する判定部と、
を有する不正アクセス検出装置。

１ データセンタ １０ 検出システム
１１ クラウドシステム １２ パケット送信装置
３ インターネット ５ 攻撃者端末
７ 管理者端末 １０１ 管理サーバ
１０１１ 管理部 １０１２ サーバデータ格納部
１０２ 解析サーバ １０２１ 解析部
１０２２ フローデータ格納部 １０２３ サーバデータ格納部
１０２４ リスクテーブル格納部 １０２５ パケットデータ格納部
１０２６ アドレステーブル格納部 １０３ 検知サーバ
１０３１ 選別部 １０３２ 条件格納部
１５ 検出装置 １５０ 管理部
１５１ 解析部 １５２ 選別部
１５３ サーバデータ格納部 １５４ フローデータ格納部
１５５ パケットデータ格納部 １５６ リスクテーブル格納部
１５７ アドレステーブル格納部 １５８ 条件格納部

Claims (7)

1. コンピュータに、
   特定のアクセス元から情報処理システムに対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定し、
   特定された前記アクセスの種別の組合せに基づいて、前記特定のアクセス元から前記情報処理システムに対するアクセスの危険度を判定する、
   処理を実行させるプログラム。
2. 前記情報処理システムから前記特定のアクセス元に対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定する
   処理をさらに実行させ、
   前記危険度を判定する処理において、
   前記特定のアクセス元から前記情報処理システムに対して送信される前記複数のパケットの各々について特定された前記アクセスの種別と、前記情報処理システムから前記特定のアクセス元に対して送信される前記複数のパケットの各々について特定された前記アクセスの種別との組合せに基づいて、前記特定のアクセス元から前記情報処理システムに対するアクセスの危険度を判定する、
   請求項１記載のプログラム。
3. 判定された前記危険度が所定の閾値以上である場合、前記特定のアクセス元から前記情報処理システムに対するアクセスが不正であることを表すデータを出力する、
   処理をさらに実行させる請求項１又は２記載のプログラム。
4. 判定された前記危険度が所定の閾値以上である場合に、前記アクセスの種別の組合せが、所定の組合せであるか判断し、
   前記アクセスの種別の組合せが前記所定の組合せである場合、前記特定のアクセス元から前記情報処理システムに対するアクセスが不正であることを表すデータを出力する、
   処理をさらに実行させる請求項１又は２記載のプログラム。
5. 前記特定のアクセス元から前記情報処理システムに対して送信されるパケットによるアクセスの種別は、前記情報処理システムにおける脆弱性の発見に関係するアクセスの種別である第１の種別と、前記情報処理システム内の情報を取得するためのプログラムの送信に関係するアクセスの種別である第２の種別とを含み、前記情報処理システムから前記特定のアクセス元に対して送信されるパケットによるアクセスの種別は、前記情報処理システム内の情報の送信に関係するアクセスの種別である第３の種別を含む
   請求項２記載のプログラム。
6. コンピュータが、
   特定のアクセス元から情報処理システムに対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定し、
   特定された前記アクセスの種別の組合せに基づいて、前記特定のアクセス元から前記情報処理システムに対するアクセスの危険度を判定する、
   処理を実行する不正アクセス検出方法。
7. 特定のアクセス元から情報処理システムに対して送信される複数のパケットの各々について、当該パケットに含まれる、アクセスの種別を示す情報に基づいてアクセスの種別を特定し、
   特定された前記アクセスの種別の組合せに基づいて、前記特定のアクセス元から前記情報処理システムに対するアクセスの危険度を判定する、
   処理を実行する不正アクセス検出装置。

Images