JP2018073140A - ネットワーク監視装置、プログラム及び方法 - Google Patents

ネットワーク監視装置、プログラム及び方法 Download PDF

Info

Publication number
JP2018073140A
JP2018073140A JP2016212472A JP2016212472A JP2018073140A JP 2018073140 A JP2018073140 A JP 2018073140A JP 2016212472 A JP2016212472 A JP 2016212472A JP 2016212472 A JP2016212472 A JP 2016212472A JP 2018073140 A JP2018073140 A JP 2018073140A
Authority
JP
Japan
Prior art keywords
access
access source
dummy
attribute information
types
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2016212472A
Other languages
English (en)
Other versions
JP6750457B2 (ja
Inventor
聡美 齊藤
Satomi Saito
聡美 齊藤
悟 鳥居
Satoru Torii
悟 鳥居
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2016212472A priority Critical patent/JP6750457B2/ja
Priority to US15/796,485 priority patent/US20180124084A1/en
Priority to EP17198858.7A priority patent/EP3316550A1/en
Publication of JP2018073140A publication Critical patent/JP2018073140A/ja
Application granted granted Critical
Publication of JP6750457B2 publication Critical patent/JP6750457B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/144—Detection or countermeasures against botnets
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

【課題】アクセス元からのアクセスの中に不正なアクセスが混在している場合にも、アクセス元の正当性を高精度に推定する。
【解決手段】複数の公開サーバ１２によって形成される監視対象のネットワークに複数のダミーサーバ１４が設置されている。ネットワーク監視装置２４の集計部２８は、複数のダミーサーバ１４の各々に対するアクセスの履歴に含まれる、個々のダミーサーバ１４にアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセス元毎に、アクセスしたダミーサーバの数及び属性情報の種類数を集計する。不正アクセス元推定部３４は、アクセス元毎に集計したダミーサーバ１４の数及び属性情報の種類数に基づいて、個々のアクセス元の正当性を推定する。
【選択図】図１

Description

本発明はネットワーク監視装置、ネットワーク監視プログラム及びネットワーク監視方法に関する。
ダミーサーバを用い、マルウェア実行端末、ダミーサーバ及びログ解析端末を備えた隔離環境でマルウェアの動作を解析する第１の技術が提案されている。第１の技術は、マルウェア実行端末上でマルウェアを実行させ、マルウェアによりＡＰＩ呼び出しがなされたとき、実際の関数ではなく、マルウェア実行端末がログ収集のために用意した関数を呼び出すように仕向けることでＡＰＩ呼び出しログを収集する。また、第１の技術は、マルウェアがサーバへのアクセスを要求したとき、そのリクエストを実際のサーバへではなく、ダミーサーバへ送信することでサーバアクセスログを収集する。そして、第１の技術は、収集したログをログ解析端末へ送信し、ログ定義ファイルを参照して必要なログのみを取り出し、ビヘイビア定義ファイルを参照してビヘイビアを抽出する。
特開２００７−３３４５３６号公報
サーバの運営では、一般に、攻撃意図を持った不正なアクセスを監視し、不正なアクセスを行ったアクセス元をブラックリストに登録し、ブラックリストに登録されている不正なアクセス元からサーバへのアクセスを遮断することが行われる。但し、クライアントからサーバへのアクセスには、クライアントからサーバへ直接アクセスする以外に、クライアントからプロキシサーバ(代理サーバ)を経由してサーバへアクセスする方法がある。プロキシサーバを経由したアクセスでは、複数のクライアントから１台のプロキシサーバを経由してサーバにアクセスしていたとしても、サーバ側からは、１台のプロキシサーバが複数のクライアントからの全てのアクセスのアクセス元に見える。
また、プロキシサーバには、攻撃意図を持たない正規のクライアントが利用する正規のプロキシサーバと、攻撃意図を持ったアクセスを行う不正なクライアントが利用する不正なプロキシサーバと、が混在している。正規のプロキシサーバは、例えば、企業等の組織に設置され、組織内の正規のクライアントから組織外のネットワークへのアクセスを制御する。一方、不正なプロキシサーバは、攻撃意図を持ったアクセスを行う不正なクライアントが、サーバ側から本来のアクセス元を隠蔽する目的で用いられている。
しかし、正規のプロキシサーバを経由して不正なアクセスが発生することもある。例えば、組織内のクライアントがマルウェア等に感染すると、当該クライアントが不正なアクセスを行うクライアントとして動作することで、正規のプロキシサーバを経由して不正なアクセスが発生する可能性がある。この場合、正規のプロキシサーバが不正なアクセス元と認定されてブラックリストに登録されることで、正規のプロキシサーバの配下の正規のクライアントからのアクセスが遮断されてしまうことになる。
これに対して第１の技術は、隔離環境でマルウェアの動作を解析する技術であり、プロキシサーバからのアクセスの中に不正なアクセスが混在している場合に、アクセス元の正当性を推定できるものではない。
一つの側面では、本発明は、アクセス元からのアクセスの中に不正なアクセスが混在している場合にも、アクセス元の正当性を推定することが目的である。
一つの実施態様では、監視対象のネットワークに複数のダミーサーバが設置される。また、複数のダミーサーバの各々に対するアクセスの履歴に含まれる、個々のダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセス元毎に、アクセスしたダミーサーバの数及び属性情報の種類数を集計する。そして、アクセス元毎に集計したダミーサーバの数及び属性情報の種類数に基づいて、個々のアクセス元の正当性を推定する。
一つの側面として、アクセス元からのアクセスの中に不正なアクセスが混在している場合にも、アクセス元の正当性を推定することができる、という効果を有する。
ネットワーク監視装置及びサーバ群の機能ブロック図である。 ネットワーク監視装置として機能する第１コンピュータ及びダミーサーバとして機能する第２コンピュータの概略ブロック図である。 ダミーサーバによって実行される通信履歴記録処理の一例のフローチャートである。 サーバとクライアントとの間の通信シーケンスの一例を示すタイミングチャートである。 個々のダミーサーバに記録される通信履歴情報の一例を示す図表である。 ネットワーク監視装置によって実行されるネットワーク監視処理の一例のフローチャートである。 ダミーサーバからの通信履歴情報の収集結果の一例を示す図表である。 テーブルに登録される集計結果情報の一例を示す図表である。 第１実施形態に係る不正アクセス元推定処理の一例のフローチャートである。 ブラックリストの一例を示す図表である。 第２実施形態に係る不正アクセス元推定処理の一例のフローチャートである。 重大アプリケーションリストの一例を示す図表である。 第３実施形態に係る不正アクセス元推定処理の一例のフローチャートである。
以下、図面を参照して開示の技術の実施形態の一例を詳細に説明する。
〔第１実施形態〕
図１に示すサーバ群１０は、複数の公開サーバ１２及び複数のダミーサーバ１４を含んでいる。サーバ群１０に含まれる複数の公開サーバ１２は、ネットワーク監視装置２４の通信監視部３８を経由してインターネット２０に接続されており、所定のＩＰアドレスの範囲内でかつ互いに異なるＩＰアドレスが各々割り当てられている。個々の公開サーバ１２は、インターネット２０を経由して自サーバにアクセスしてきた任意のアクセス元(図示省略)に対し、例えばウェブページの配信などの所定のサービスを提供する。なお、複数の公開サーバ１２によって形成されるネットワークは、本発明における監視対象のネットワークの一例である。
また、サーバ群１０に含まれる複数のダミーサーバ１４は、ネットワーク監視装置２４の通信監視部３８を経由することなくインターネット２０に接続されている。複数のダミーサーバ１４は、前記所定のＩＰアドレスの範囲内でかつ互いに異なるＩＰアドレス(複数の公開サーバ１２とも異なるＩＰアドレス)が各々割り当てられている。従って、複数のダミーサーバ１４は、複数の公開サーバ１２によって形成される監視対象のネットワークに各々設置されている。また、複数のダミーサーバ１４は、ネットワーク監視装置２４と共にネットワーク監視システムを形成している。
また、複数のダミーサーバ１４は、通信履歴記録部１６を含み、通信履歴記憶領域１８が設けられている。個々のダミーサーバ１４の通信履歴記録部１６は、任意のアクセス元からインターネット２０を経由して自サーバがアクセスされる度に、通信履歴記憶領域１８に通信履歴情報を記録する。通信履歴情報には、アクセス時刻、アクセス元の識別情報及びアクセス元の属性情報が含まれる。アクセス元の識別情報の一例はアクセス元のＩＰアドレスである。アクセス元の属性情報の一例は、ダミーサーバ１４へのアクセスに利用されたアプリケーションの識別情報と、ダミーサーバ１４へのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの情報である。
ネットワーク監視装置２４は、通信履歴収集部２６、集計部２８、不正アクセス元推定部３４、ブラックリスト登録部３６及び通信監視部３８を含み、集計部２８はダミーサーバ数集計部３０及び属性情報種類数集計部３２を含んでいる。また、通信監視部３８はブラックリスト記憶部４０及び通信遮断部４２を含んでいる。なお、集計部２８が、集計部の一例であり、不正アクセス元推定部３４が、推定部の一例である。
通信履歴収集部２６は、複数のダミーサーバ１４に各々接続されており、個々のダミーサーバ１４の通信履歴記憶領域１８に記録されている通信履歴情報を、個々のダミーサーバ１４から各々収集する。
集計部２８のダミーサーバ数集計部３０及び属性情報種類数集計部３２は、通信履歴収集部２６に各々接続されている。ダミーサーバ数集計部３０は、通信履歴収集部２６によって収集された通信履歴情報から、個々のアクセス元がアクセスしたダミーサーバ１４の数を個々のアクセス元毎に集計する。属性情報種類数集計部３２は、通信履歴収集部２６によって収集された通信履歴情報から、個々のアクセス元毎に属性情報の種類数を集計する。属性情報の種類数の一例は、ダミーサーバ１４へのアクセスに利用されたアプリケーションの種類数と、ダミーサーバ１４へのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの種類数である。
不正アクセス元推定部３４は、集計部２８のダミーサーバ数集計部３０及び属性情報種類数集計部３２に各々接続されている。不正アクセス元推定部３４は、ダミーサーバ数集計部３０によって集計されたダミーサーバ１４の数及び属性情報種類数集計部３２によって集計された属性情報の種類数に基づいて、個々のアクセス元の正当性、すなわち不正アクセス元でないか否かを推定する。
ブラックリスト登録部３６は、不正アクセス元推定部３４及び通信監視部３８のブラックリスト記憶部４０に各々接続されている。ブラックリスト登録部３６は、不正アクセス元推定部３４によって正当性が無いと推定されたアクセス元、すなわち不正アクセス元の情報を、ブラックリスト記憶部４０に記憶されたブラックリストに追加登録する。
通信遮断部４２は、ブラックリスト記憶部４０に接続されている。通信遮断部４２は、インターネット２０を経由して公開サーバ１２にアクセスしてきたアクセス元が、ブラックリスト記憶部４０に記憶されたブラックリストに情報が登録されたアクセス元か否かを推定する。そして、通信遮断部４２は、ブラックリストに情報が登録されたアクセス元から公開サーバ１２へのアクセスを遮断する。なお、通信遮断部４２は、本発明におけるアクセス遮断部の一例である。
ネットワーク監視装置２４のうち、通信監視部３８以外の部分は、図２に示す第１コンピュータ５０で実現することができる。第１コンピュータ５０はＣＰＵ５２、一時記憶領域としてのメモリ５４及び不揮発性の記憶部５６、キーボード等の入力部５８、ディスプレイ等の表示部６０及び通信部６２を含む。ＣＰＵ５２、メモリ５４、記憶部５６、入力部５８、表示部６０及び通信部６２は、バス６４を介して互いに接続されている。また通信部６２は、通信監視部３８、インターネット２０及びダミーサーバ１４として各々機能する複数の第２コンピュータ８０と通信線を介して接続されている。
記憶部５６はＨＤＤ(Hard Disk Drive)、ＳＳＤ(Solid State Drive)、フラッシュメモリ等によって実現される。記憶部５６には、第１コンピュータ５０をネットワーク監視装置２４のうちの通信監視部３８以外の部分として機能させるためのネットワーク監視プログラム６６が記憶されている。ＣＰＵ５２は、ネットワーク監視プログラム６６を記憶部５６から読み出してメモリ５４に展開し、ネットワーク監視プログラム６６が有するプロセスを順次実行する。
ネットワーク監視プログラム６６は、通信履歴収集プロセス６８、集計プロセス７０、不正アクセス元推定プロセス７２及びブラックリスト登録プロセス７４を含む。ＣＰＵ５２は、通信履歴収集プロセス６８を実行することで、図１に示す通信履歴収集部２６として動作する。またＣＰＵ５２は、集計プロセス７０を実行することで、図１に示す集計部２８として動作する。またＣＰＵ５２は、不正アクセス元推定プロセス７２を実行することで、図１に示す不正アクセス元推定部３４として動作する。またＣＰＵ５２は、ブラックリスト登録プロセス７４を実行することで、図１に示すブラックリスト登録部３６として動作する。これにより、ネットワーク監視プログラム６６を実行した第１コンピュータ５０が、ネットワーク監視装置２４のうちの通信監視部３８以外の部分として機能し、第１コンピュータ５０及び通信監視部３８によってネットワーク監視装置２４が実現されることになる。
また、ダミーサーバ１４は図２に示す第２コンピュータ８０で実現することができる。第２コンピュータ８０はＣＰＵ８２、一時記憶領域としてのメモリ８４及び不揮発性の記憶部８６、キーボード等の入力部８８、ディスプレイ等の表示部９０及び通信部９２を含む。ＣＰＵ８２、メモリ８４、記憶部８６、入力部８８、表示部９０及び通信部９２は、バス９４を介して互いに接続されている。また、通信部９２は通信監視部３８、インターネット２０及び第１コンピュータ５０と通信線を介して接続されている。
記憶部８６はＨＤＤ、ＳＳＤ、フラッシュメモリ等によって実現される。記憶部８６には、第２コンピュータ８０を図１に示す通信履歴記録部１６として機能させるための通信履歴記録プログラム９６が記憶されており、通信履歴記憶領域１８が設けられている。ＣＰＵ８２は、通信履歴記録プログラム９６を記憶部８６から読み出してメモリ８４に展開し、通信履歴記録プログラム９６を順次実行する。これにより、通信履歴記録プログラム９６を実行した第２コンピュータ８０がダミーサーバ１４として機能することになる。
次に第１実施形態の作用を説明する。ダミーサーバ１４は、公開サーバ１２とは異なり、存在を公開していないサーバである。このため、複数の公開サーバ１２を含むネットワークが提供するサービスを利用する正規のクライアントであれば、ダミーサーバ１４へのアクセスは発生しない。
一方、攻撃意図を持った不正なクライアントは、例えば、ネットワーク内から攻撃の足掛かりになりそうなサーバを探し出すこと等を目的として、ネットワークのＩＰアドレスの範囲内の任意のＩＰアドレスに不正にアクセスすることを繰り返すことがある。この不正アクセスにおけるアクセス対象のＩＰアドレスは、ネットワークのＩＰアドレスの範囲内からランダムに選択される場合も、ＩＰアドレスの範囲内の先頭から順に選択される場合もある。このような不正アクセスが行われると、ダミーサーバ１４へもアクセスが発生する。
ダミーサーバ１４は、任意のアクセス元からインターネット２０を経由して自サーバがアクセスされる度に、通信履歴記録部１６が図３に示す通信履歴記録処理を行う。通信履歴記録処理のステップ１５０において、通信履歴記録部１６は、アクセス元から自サーバへの今回のアクセスにおけるアクセス時刻及びアクセス元のＩＰアドレスを通信履歴記憶領域１８に記録する。
次のステップ１５２において、通信履歴記録部１６は、アクセス元から自サーバへの今回のアクセスに利用されたアプリケーションの識別情報を取得し、取得したアプリケーションの識別情報を通信履歴記憶領域１８に記録する。
一例として、図４にはSecure Shell(SSH)のプロトコルに準拠した通信を行う場合のクライアントとサーバとの間の通信シーケンスを示す。この通信シーケンスでは、クライアントから送信されたACKnowledgement(ACK)がサーバで受信されると、Protocol Version Exchangeフェーズへ遷移し、クライアントとサーバとの間でProtocol Version Exchangeが交換される。このとき、クライアントからサーバへ送信されるProtocol Version Exchangeには、プロトコルのバージョン及びアプリケーションのバージョンを表す文字列が含まれている。このため、例えば図４に示す通信シーケンスにおいて、通信履歴記録部１６は、アクセス元から受信したProtocol Version Exchangeに含まれる上記の文字列を抽出することで、アプリケーションの識別情報を取得することができる。なお、ダミーサーバ１４とアクセス元との間の通信のプロトコルは上記のSSHに限られるものではない。
また、ステップ１５４において、通信履歴記録部１６は、アクセス元の鍵交換アルゴリズムの情報を取得し、取得した鍵交換アルゴリズムの情報を通信履歴記憶領域１８に記録する。一例として、図４に示す通信シーケンスでは、上述したProtocol Version Exchangeフェーズの後、Key Exchange Initフェーズへ遷移し、クライアントとサーバとの間でKey Exchange Initが交換される。このとき、クライアントからサーバへ送信されるKey Exchange Initには、クライアントがサポートする全ての鍵交換アルゴリズムの情報が含まれている。このため、例えば図４に示す通信シーケンスにおいて、通信履歴記録部１６は、アクセス元から受信したKey Exchange Initに含まれる上記の鍵交換アルゴリズムの情報を抽出することで、鍵交換アルゴリズムの情報を取得することができる。ステップ１５４で鍵交換アルゴリズムの情報を通信履歴記憶領域１８に記録すると、通信履歴記録処理を終了する。
監視対象のネットワークに設置された複数のダミーサーバ１４は、任意のアクセス元からインターネット２０を経由して自サーバがアクセスされる度に、上記の通信履歴記録処理を行う。これにより、個々のダミーサーバ１４の通信履歴記憶領域１８には、一例として図５に示す通信履歴情報１００Ａ,１００Ｂ,１００Ｃのように、互いに異なる通信履歴情報が各々記憶されることになる。
次に図６を参照し、ネットワーク監視装置２４で定期的に実行されるネットワーク監視処理を説明する。なお、ネットワーク監視処理の実行時間間隔は、例えば、監視対象のネットワークの規模、設置したダミーサーバ１４の数、監視対象のネットワークに設定されたセキュリティのレベルなどに応じて予め設定してもよい。また、ダミーサーバ１４へのアクセス数(アクセスの頻度)の変化に応じて、ネットワーク監視処理の実行時間間隔を変化させてもよい。
ネットワーク監視処理のステップ１６０において、通信履歴収集部２６は、個々のダミーサーバ１４を識別するための変数ｉに１を設定する。ステップ１６２において、通信履歴収集部２６は、ｉ番目のダミーサーバ１４から、通信履歴記憶領域１８に記録された通信履歴情報のうち、アクセス時刻が所定の時刻範囲内の通信履歴情報を収集する。なお、所定の時刻範囲としては、例えば、ネットワーク監視処理を前回実行した時刻から現時刻までの範囲を適用することができる。
ステップ１６４において、通信履歴収集部２６は、ステップ１６２で収集した通信履歴情報にｉ番目のダミーサーバ１４の識別情報を付加し、ダミーサーバ１４の識別情報を付加した通信履歴情報を収集結果テーブルに記憶させる。次のステップ１６６において、通信履歴収集部２６は、変数ｉの値がダミーサーバ１４の総数に達したか否か判定する。ステップ１６６の判定が否定された場合はステップ１６８へ移行し、ステップ１６８において、通信履歴収集部２６は、変数ｉを１だけインクリメントしてステップ１６２に戻る。
これにより、ステップ１６６の判定が肯定される迄、ステップ１６２〜１６８が繰り返され、個々のダミーサーバ１４から通信履歴情報が順次収集されて、収集結果テーブルに各々記憶される。そして、全てのダミーサーバ１４から通信履歴情報を各々収集し、ステップ１６６の判定が肯定される時点では、一例として図７に示すような通信履歴情報の収集結果１０２が収集結果テーブルに記憶される。
ステップ１６６の判定が肯定された場合はステップ１７０へ移行し、ステップ１７０において、集計部２８は、収集結果テーブルに記憶された通信履歴情報の収集結果の中に、次のステップ１７２以降の処理を未実行のＩＰアドレスが存在しているか否か判定する。ステップ１７０の判定が肯定された場合はステップ１７２へ移行する。ステップ１７２において、集計部２８は、収集結果テーブルに記憶された通信履歴情報の収集結果から、ステップ１７２以降の処理を未実行の１つのＩＰアドレスを、処理対象のＩＰアドレスとして取り出す。
次のステップ１７４において、集計部２８は、処理対象のＩＰアドレスをキーにして収集結果テーブルに記憶された通信履歴情報の収集結果を検索する。そして集計部２８は、通信履歴情報の収集結果で処理対象のＩＰアドレスと対応付けられているダミーサーバ１４の識別情報、アプリケーションの識別情報及び鍵交換アルゴリズムの情報を全て抽出する。
ステップ１７６において、集計部２８のダミーサーバ数集計部３０は、ステップ１７４で抽出したダミーサーバ１４の識別情報の種類数を計数することで、処理対象のＩＰアドレスのアクセス元からアクセスが有ったダミーサーバ１４の数を集計する。そして、ダミーサーバ数集計部３０は、集計したダミーサーバ１４の数を、処理対象のＩＰアドレスと対応付けて集計結果テーブルに記録する。
次のステップ１７８において、集計部２８の属性情報種類数集計部３２は、ステップ１７４で抽出したアプリケーションの識別情報の種類数を集計する。この集計の結果は、処理対象のＩＰアドレスのアクセス元からダミーサーバ１４へのアクセスに利用されたアプリケーションの種類数を表している。属性情報種類数集計部３２は、集計したアプリケーションの種類数を、処理対象のＩＰアドレスと対応付けて集計結果テーブルに記録する。また、属性情報種類数集計部３２は、ステップ１７４で抽出したアプリケーションの識別情報も、処理対象のＩＰアドレスと対応付けアプリケションリストとして集計結果テーブルに記録する。
また、ステップ１８０において、集計部２８の属性情報種類数集計部３２は、ステップ１７４で抽出した鍵交換アルゴリズムの情報の種類数を集計する。この集計の結果は、処理対象のＩＰアドレスのアクセス元からダミーサーバ１４へのアクセスでアクセス元から通知された鍵交換アルゴリズムの種類数を表している。属性情報種類数集計部３２は、集計した鍵交換アルゴリズムの種類数を、処理対象のＩＰアドレスと対応付けて集計結果テーブルに記録する。
ステップ１８０の処理を完了するとステップ１７０に戻り、ステップ１７０の判定が否定される迄、ステップ１７０〜１８０を繰り返す。これにより、ダミーサーバ１４へのアクセスを行った個々のアクセス元に対してステップ１７２〜１８０の処理が各々行われ、集計結果テーブルには、一例として図８に示すような集計結果情報１０４が記憶される。
ダミーサーバ１４へのアクセスを行った全てのアクセス元に対してステップ１７２〜１８０の処理を完了すると、ステップ１７０の判定が否定されることでステップ１８２へ移行する。ステップ１８２において、不正アクセス元推定部３４は、不正アクセス元推定処理を行う。この不正アクセス元推定処理について、図９を参照して説明する。
不正アクセス元推定処理のステップ１９０において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報の中に、次のステップ１９２以降の処理を未実行のＩＰアドレスが存在しているか否か判定する。ステップ１９０の判定が肯定された場合はステップ１９２へ移行する。ステップ１９２において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報から、ステップ１９２以降の処理を未実行の１つのＩＰアドレスを、処理対象のＩＰアドレスとして選択する。
ステップ１９４において、不正アクセス元推定部３４は、ステップ１９２で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されているダミーサーバ１４の数を読み出し、読み出したダミーサーバ１４の数が１を超えているか否か判定する。
アクセスしたダミーサーバ１４の数が０の場合、処理対象のＩＰアドレスのアクセス元は、ダミーサーバ１４へのアクセスを行っていないので、正規クライアントか、又は、不正クライアントが配下に存在しないプロキシサーバである可能性が高い。
一方、アクセスしたダミーサーバ１４の数が１の場合、処理対象のＩＰアドレスのアクセス元は、ダミーサーバ１４への不正アクセスを行っているので、不正クライアントか、又は、不正クライアントが配下に存在するプロキシサーバである可能性が有る。但し、アクセスしたダミーサーバ１４の数が１であれば、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模は小さく、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に存在する不正なプロキシサーバである可能性は低い。このため、ステップ１９４の判定が否定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が低いと推定し、ステップ１９０に戻る。
また、ステップ１９４の判定が否定された場合はステップ１９６へ移行する。ステップ１９６において、不正アクセス元推定部３４は、処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されているアプリケーションの種類数を読み出し、読み出したアプリケーションの種類数が１を超えているか否か判定する。なお、処理対象のＩＰアドレスのアクセス元は、ダミーサーバ１４への不正アクセスを行っているので、読み出したアプリケーションの種類数は１以上の値になる。
ここで、処理対象のＩＰアドレスのアクセス元からダミーサーバ１４へのアクセスに利用されたアプリケーションの種類数が１の場合、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模は小さい。このため、アクセス元が、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性は低い。このため、ステップ１９６の判定が否定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が低いと推定し、ステップ１９０に戻る。
一方、ステップ１９４,１９６の判定が各々肯定された場合は、複数のダミーサーバ１４に、複数種のアプリケーションを利用してアクセスしているので、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模が小さいとは言えない。すなわち、アプリケーションの識別情報は、プロトコルのバージョン及びアプリケーションのバージョンを表す文字列が含まれているので、クライアント毎に相違している可能性が高い。そして、アプリケーションの種類数が多くなるに従って、処理対象のＩＰアドレスのアクセス元は、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高くなる。
従って、ステップ１９６の判定が肯定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が高いと推定し、ステップ１９８へ移行する。ステップ１９８において、ブラックリスト登録部３６は、通信監視部３８のブラックリスト記憶部４０に記憶されているブラックリストに、処理対象のＩＰアドレスを追加登録し、ステップ１９０に戻る。
上述した処理により、ステップ１９０の判定が肯定される迄、ステップ１９０〜１９８が繰り返される。従って、例えば図８に示す集計結果情報１０４が集計結果テーブルに記憶されている場合、ＩＰアドレスが"8.8.8.8"のアクセス元はステップ１９４,１９６の判定が各々肯定され、上記のＩＰアドレス"8.8.8.8"がブラックリストに追加登録される(図１０参照)。ブラックリストに上記のＩＰアドレスが追加登録された以降は、通信監視部３８の通信遮断部４２により、上記のＩＰアドレスのアクセス元から公開サーバ１２へのアクセスが遮断されることになる。
また、集計結果テーブルに記憶された全てのＩＰアドレスに対してステップ１９２以降の処理を行うと、ステップ１９０の判定が否定されて不正アクセス元推定処理(図９)を終了し、ネットワーク監視処理(図６)を終了する。
〔第２実施形態〕
次に開示の技術の第２実施形態について説明する。なお、第２実施形態は第１実施形態と同一の構成であるので、各部分に同一の符号を付して構成の説明を省略し、図１１を参照して第２実施形態に係る不正アクセス元推定処理を説明する。
ステップ２１０において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報に基づいて、アクセス元毎に集計されたダミーサーバの数の平均値及びアプリケーションの種類数の平均値を各々演算する。ステップ２１２において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報の中に、次のステップ２１４以降の処理を未実行のＩＰアドレスが存在しているか否か判定する。ステップ２１２の判定が肯定された場合はステップ２１４へ移行する。
ステップ２１４において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報から、ステップ２１４以降の処理を未実行の１つのＩＰアドレスを、処理対象のＩＰアドレスとして選択する。
ステップ２１６において、不正アクセス元推定部３４は、ステップ２１４で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されているダミーサーバ１４の数を読み出す。そして、不正アクセス元推定部３４は、読み出したダミーサーバ１４の数と、先のステップ２１０で演算したダミーサーバの数の平均値とに基づいて、処理対象のＩＰアドレスのアクセス元についてダミーサーバの数の標準偏差を演算する。
次のステップ２１８において、不正アクセス元推定部３４は、ステップ２１６で演算したダミーサーバ数の標準偏差が、予め設定した第１閾値以上か否か判定する。ステップ２１８の判定が否定された場合、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模は小さく、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に存在する不正なプロキシサーバである可能性は低い。このため、ステップ２１８の判定が否定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が低いと推定し、ステップ２１２に戻る。
また、ステップ２１８の判定が肯定された場合はステップ２２０へ移行する。ステップ２２０において、不正アクセス元推定部３４は、ステップ２１４で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されているアプリケーションの種類数を読み出す。そして、不正アクセス元推定部３４は、読み出したアプリケーションの種類数と、先のステップ２１０で演算したアプリケーションの種類数の平均値とに基づいて、処理対象のＩＰアドレスのアクセス元についてアプリケーションの種類数の標準偏差を演算する。
次のステップ２２２において、不正アクセス元推定部３４は、ステップ２２０で演算したダミーサーバ数の標準偏差が、予め設定した第２閾値以上か否か判定する。ステップ２２２の判定が否定された場合、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模は小さく、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に存在する不正なプロキシサーバである可能性は低い。このため、ステップ２２２の判定が否定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が低いと推定し、ステップ２１２に戻る。
一方、ステップ２１６,２２２の判定が各々肯定された場合は、処理対象のＩＰアドレスのアクセス元はダミーサーバ１４の数もアプリケーションの種類数も平均値より明確に多く、当該アクセス元からの不正アクセスの規模が小さいとは言えない。そして、アプリケーションの種類数が平均値より明確に多い場合、処理対象のＩＰアドレスのアクセス元は、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高い。従って、ステップ２２２の判定が肯定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が高いと推定し、ステップ２２４へ移行する。ステップ２２４において、ブラックリスト登録部３６は、通信監視部３８のブラックリスト記憶部４０に記憶されているブラックリストに、処理対象のＩＰアドレスを追加登録し、ステップ２１２に戻る。
上述した処理により、ステップ２１２の判定が肯定される迄、ステップ２１２〜２２４が繰り返され、ステップ２１６,２２２の判定が各々肯定された処理対象のＩＰアドレスはブラックリストに追加登録される。そして、ブラックリストに追加登録されたＩＰアドレスのアクセス元から公開サーバ１２へのアクセスは、通信監視部３８の通信遮断部４２によって遮断されることになる。また、集計結果テーブルに記憶された全てのＩＰアドレスに対してステップ２１４以降の処理を行うと、ステップ２１２の判定が否定されて不正アクセス元推定処理(図１１)を終了する。
〔第３実施形態〕
次に開示の技術の第３実施形態について説明する。なお、第１実施形態及び第２実施形態と同一の部分には同一の符号を付し、説明を省略する。
第３実施形態では、不正アクセスに利用されるアプリケーションのうち、特にセキュリティ上の懸念が大きいアプリケーションの識別情報が、一例として図１２に示す重大アプリケーション情報１０６として重大アプリケーションテーブルに予め登録されている。重大アプリケーションテーブルは、例えば記憶部５６などに記憶され、不正アクセス元推定部３４によって参照される。重大アプリケーションテーブルに登録されている重大アプリケーション情報１０６は、ウィルス定義情報などと同様に、セキュリティ上の懸念が大きいアプリケーションの存在が新たに検知される度に、内容を更新することが好ましい。
なお、図１２に示す重大アプリケーション情報１０６に含まれる"HTC-Hydra"は、複数種類のプロトコルに対応したブルートフォース攻撃ツールである。また、図１２に示す重大アプリケーション情報１０６に含まれる"Medusa "は、複数種類のプロトコルに対応したブルートフォース攻撃ツールであり、並列処理が可能とされている。その他にセキュリティ上の懸念が大きいアプリケーションとしては、例えば"Ncrack"などのブルートフォース攻撃ツールが挙げられる。これらはネットワークへの攻撃に使用されるアプリケーションの一例であるが、上記に限定されるものではない。
次に図１３を参照し、第３実施形態に係る不正アクセス元推定処理を説明する。ステップ２３０において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報の中に、次のステップ２３２以降の処理を未実行のＩＰアドレスが存在しているか否か判定する。ステップ２３０の判定が肯定された場合はステップ２３２へ移行する。ステップ２３２において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報から、ステップ２３２以降の処理を未実行の１つのＩＰアドレスを、処理対象のＩＰアドレスとして選択する。
次のステップ２３４において、不正アクセス元推定部３４は、ステップ２３２で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されているダミーサーバ１４の数Ｄを読み出す。そして、不正アクセス元推定部３４は、読み出したダミーサーバ１４の数Ｄに応じた処理対象のＩＰアドレスのアクセス元の評価値ＲＤを演算する。評価値ＲＤは、例えば次の(１)式に従って演算することができる。なお、(１)式におけるｗ1は、ダミーサーバ１４の数Ｄに対する重み係数である。
ＲＤ＝Ｄ×ｗ1 …(１)
また、ステップ２３６において、不正アクセス元推定部３４は、ステップ２３２で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルにアプリケーションリストとして記憶されているアプリケーションの識別情報を全て読み出す。また、不正アクセス元推定部３４は、読み出した全てのアプリケーションの識別情報が重大アプリケーションテーブルに登録されているか否かを順次確認することで、確認したアプリケーションが重大アプリケーションか否かを弁別する。そして、不正アクセス元推定部３４は、アプリケーションが重大アプリケーションか否かを弁別した結果に基づいて、重大アプリケーションの種類数Ａ1及びその他のアプリケーションの種類数Ａ2を集計する。
次のステップ２３８において、不正アクセス元推定部３４は、処理対象のＩＰアドレスからのアクセスに利用されたアプリケーションの種類数Ａ1,Ａ2に応じた処理対象のＩＰアドレスのアクセス元の評価値ＲＡを演算する。評価値ＲＡは、例えば次の(２)式に従って演算することができる。なお、(２)式におけるｗ2は重大アプリケーションの種類数Ａ1に対する重み係数、ｗ3はその他のアプリケーションの種類数Ａ2に対する重み係数であり、ｗ2＞ｗ3である。
ＲＡ＝Ａ1×ｗ2＋Ａ2×ｗ3 …(２)
ステップ２４０において、不正アクセス元推定部３４は、ステップ２３２で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されている鍵交換アルゴリズムの種類数Ｋを読み出す。そして、不正アクセス元推定部３４は、読み出した鍵交換アルゴリズムの種類数Ｋに応じた処理対象のＩＰアドレスのアクセス元の評価値ＲＫを演算する。評価値ＲＫは、例えば次の(３)式に従って演算することができる。なお、(３)式におけるｗ4は、鍵交換アルゴリズムの種類数Ｋに対する重み係数である。
ＲＫ＝Ｋ×ｗ4 …(３)
なお、鍵交換アルゴリズム情報についても、アプリケーションの識別情報と同様にクライアント毎に相違している可能性が高い。このため、鍵交換アルゴリズムの種類数Ｋが多くなるに従って、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高くなる。
続いてステップ２４２において、不正アクセス元推定部３４は、上記の(１)〜(３)式で演算した評価値に基づいて、処理対象のＩＰアドレスのアクセス元の総合評価値Ｒを演算する。総合評価値Ｒは、例えば次の(４)式に従って演算することができる。
Ｒ＝ＲＤ＋ＲＡ＋ＲＫ …(４)
そして、次のステップ２４４において、不正アクセス元推定部３４は、ステップ２４２で演算した総合評価値Ｒが閾値Ｒth以上か否か判定する。なお、閾値Ｒthは、例えば所定値としてもよいし、例えば、ダミーサーバ１４の数Ｄの平均値、アプリケーションの種類数Ａ1,Ａ2の平均値及び鍵交換アルゴリズムの種類数Ｋの平均値に応じて値を切り替えてもよい。
前述の(１)〜(４)式から明らかなように、総合評価値Ｒは、処理対象のＩＰアドレスのアクセス元に関するダミーサーバ１４の数Ｄが増加するに従って値が増加し、アプリケーションの種類数Ａ1,Ａ2が増加するに従って値が増加する。また、重大アプリケーションの種類数Ａ1が増加した場合に総合評価値Ｒの値が増加する割合の方が、その他のアプリケーションの種類数Ａ2が増加した場合に総合評価値Ｒの値が増加する割合よりも高い。更に、総合評価値Ｒは、処理対象のＩＰアドレスのアクセス元に関する鍵交換アルゴリズムの種類数Ｋが増加するに従って値が増加する。従って、総合評価値Ｒは、処理対象のＩＰアドレスのアクセス元に対する危険度(セキュリティに対する懸念の度合い)を表しており、ステップ２４４の判定が否定された場合は処理対象のＩＰアドレスのアクセス元は危険度が低いと推定できる。このため、ステップ２４４の判定が否定された場合はステップ２３０に戻る。
一方、ステップ２４４の判定が肯定された場合、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模が小さいとは言えず、処理対象のＩＰアドレスのアクセス元は、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高い。従って、ステップ２４４の判定が肯定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が高いと推定し、ステップ２４６へ移行する。ステップ２４６において、ブラックリスト登録部３６は、通信監視部３８のブラックリスト記憶部４０に記憶されているブラックリストに、処理対象のＩＰアドレスを追加登録し、ステップ２３０に戻る。
上述した処理により、ステップ２３０の判定が肯定される迄、ステップ２３０〜２４６が繰り返され、ステップ２４４の判定が肯定された処理対象のＩＰアドレスはブラックリストに追加登録される。そして、ブラックリストに追加登録されたＩＰアドレスのアクセス元から公開サーバ１２へのアクセスは、通信監視部３８の通信遮断部４２によって遮断される。また、集計結果テーブルに記憶された全てのＩＰアドレスに対してステップ２３２以降の処理を行うと、ステップ２３０の判定が否定されて不正アクセス元推定処理(図１３)を終了する。
上記の各実施形態では、複数の公開サーバ１２によって形成される監視対象のネットワークに複数のダミーサーバ１４が設置されている。また、集計部２８は、複数のダミーサーバ１４の各々に対するアクセスの履歴に含まれる、個々のダミーサーバ１４にアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセス元毎に、アクセスしたダミーサーバの数及び属性情報の種類数を集計する。そして、不正アクセス元推定部３４は、アクセス元毎に集計したダミーサーバ１４の数及び属性情報の種類数に基づいて、個々のアクセス元の正当性を推定する。これにより、アクセス元からのアクセスの中に不正なアクセスが混在している場合にも、アクセス元の正当性を高精度に推定することができる。
また、上記の各実施形態では、アクセス元の属性情報は、ダミーサーバ１４へのアクセスに利用されたアプリケーションの識別情報を含み、集計部２８は、アクセス元の属性情報の種類数としてアプリケーションの種類数を集計する。アプリケーションの識別情報はクライアント毎に相違している可能性が高く、アプリケーションの種類数が多くなるに従って、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高くなる。これにより、アクセス元の正当性の推定精度を向上させることができる。
また、第３実施形態では、ネットワークへの攻撃に使用される重大アプリケーションの識別情報を記憶部５６などに記憶している。そして、不正アクセス元推定部３４は、重大アプリケーションを利用したアクセスが有ったアクセス元に対し、重大アプリケーションを利用したアクセスが無いアクセス元よりも、総合評価値Ｒが増加するように総合評価値Ｒを演算する。これにより、重大アプリケーションを使用した不正アクセスがあったアクセス元を、より危険度が高いアクセス元と評価することができ、アクセス元の正当性の推定精度を更に向上させることができる。
また、第３実施形態では、アクセス元の属性情報は、ダミーサーバ１４へのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの情報を含み、集計部２８は、アクセス元の属性情報の種類数として鍵交換アルゴリズムの種類数を集計する。鍵交換アルゴリズムの情報はクライアント毎に相違している可能性が高く、鍵交換アルゴリズムの種類数が多くなるに従って、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高くなる。これにより、アクセス元の正当性の推定精度を向上させることができる。
また、第１実施形態において、不正アクセス元推定部３４は、個々のアクセス元毎に、ダミーサーバ１４の数と第１閾値との大小関係及びアクセス元の属性情報の種類数と第２閾値との大小関係を判定することで、個々のアクセス元の正当性を推定している。また、第２実施形態において、不正アクセス元推定部３４は、ダミーサーバ１４の数の平均値との乖離度合い(標準偏差)及びアクセス元の属性情報の種類数の平均値との乖離度合い(標準偏差)を判定することで、個々のアクセス元の正当性を推定している。これにより、個々のアクセス元の正当性を推定することを簡易な処理で実現することができる。
また、上記の各実施形態では、不正アクセス元推定部３４によって正当性を有しないと推定されたアクセス元から監視対象のネットワークに含まれる公開サーバ１２へのアクセスを、通信監視部３８の通信遮断部４２が遮断する。これにより、監視対象のネットワークにおけるセキュリティ上の懸念を低減することができる。
なお、上記では通信監視部３８が第１コンピュータ５０と協働することでネットワーク監視装置２４が実現される態様を説明したが、これに限定されるものではなく、第１コンピュータ５０を通信監視部３８としても機能させてもよい。
また、上記では本発明に係るネットワーク監視プログラムの一例であるネットワーク監視プログラム６６が記憶部５６に予め記憶（インストール）されている態様を説明したが、これに限定されるものではない。本発明に係るネットワーク監視プログラムは、例えば、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ、メモリカード等の記録媒体に記録されている形態で提供することも可能である。
本明細書に記載された全ての文献、特許出願及び技術規格は、個々の文献、特許出願及び技術規格が参照により取り込まれることが具体的かつ個々に記された場合と同程度に、本明細書中に参照により取り込まれる。
以上の実施形態に関し、更に以下の付記を開示する。
（付記１）
監視対象のネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、個々の前記ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセス元毎に、アクセスした前記ダミーサーバの数及び前記属性情報の種類数を集計する集計部と、
前記集計部によってアクセス元毎に集計された前記ダミーサーバの数及び前記属性情報の種類数に基づいて、個々のアクセス元の正当性を推定する推定部と、
を含むネットワーク監視装置。
（付記２）
前記属性情報は、前記ダミーサーバへのアクセスに利用されたアプリケーションの識別情報を含み、
前記集計部は、前記属性情報の種類数として前記アプリケーションの種類数を集計する付記１記載のネットワーク監視装置。
（付記３）
ネットワークへの攻撃に使用される特定アプリケーションの識別情報を記憶する記憶部を更に備え、
前記推定部は、前記記憶部に識別情報が記憶された前記特定アプリケーションを利用したアクセスが有ったアクセス元に対し、前記特定アプリケーションを利用したアクセスが無いアクセス元よりも、正当性を有すると推定する確率が低下するように、前記正当性の推定を行う付記２記載のネットワーク監視装置。
（付記４）
前記属性情報は、前記ダミーサーバへのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの情報を含み、
前記集計部は、前記属性情報の種類数として鍵交換アルゴリズムの種類数を集計する付記１記載のネットワーク監視装置。
（付記５）
前記推定部は、個々のアクセス元毎に、前記ダミーサーバの数と第１閾値との大小関係及び前記属性情報の種類数と第２閾値との大小関係を判定するか、又は、前記ダミーサーバの数の平均値との乖離度合い及び前記属性情報の種類数の平均値との乖離度合いを判定することで、個々のアクセス元の正当性を推定する付記１〜付記４の何れか１項記載のネットワーク監視装置。
（付記６）
前記推定部によって正当性を有しないと推定されたアクセス元から監視対象のネットワークに含まれるサーバへのアクセスを遮断するアクセス遮断部を更に含む付記１〜付記５の何れか１項記載のネットワーク監視装置。
（付記７）
監視対象のネットワークに設置された複数のダミーサーバと、
付記１〜付記６の何れか１項記載のネットワーク監視装置と、
を含むネットワーク監視システム。
（付記８）
前記複数のダミーサーバは、前記監視対象のネットワークに割り当てられたアドレスの範囲内でかつ互いに異なるアドレスが割り当てられている付記１〜付記６の何れか１項記載のネットワーク監視装置、又は、付記７記載のネットワーク監視システム。
（付記９）
ネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセスしたダミーサーバの数及び属性情報の種類数をアクセス元毎に集計し、
集計したアクセス元毎のダミーサーバの数及び属性情報の種類数に基づいてアクセス元の正当性を推定する
処理をコンピュータに実行させるためのネットワーク監視プログラム。
（付記１０）
ネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセスしたダミーサーバの数及び属性情報の種類数をアクセス元毎に集計し、
集計したアクセス元毎のダミーサーバの数及び属性情報の種類数に基づいてアクセス元の正当性を推定する
処理をコンピュータが実行するネットワーク監視方法。
（付記１１）
前記属性情報は、前記ダミーサーバへのアクセスに利用されたアプリケーションの識別情報を含み、
前記集計部は、前記属性情報の種類数として前記アプリケーションの種類数を集計する付記９記載のネットワーク監視プログラム、又は、付記１０記載のネットワーク監視方法。
（付記１２）
ネットワークへの攻撃に使用される特定アプリケーションの識別情報を記憶する記憶部を更に備え、
前記推定部は、前記記憶部に識別情報が記憶された前記特定アプリケーションを利用したアクセスが有ったアクセス元に対し、前記特定アプリケーションを利用したアクセスが無いアクセス元よりも、正当性を有すると推定する確率が低下するように、前記正当性の推定を行う付記１１記載のネットワーク監視プログラム、又は、付記１１記載のネットワーク監視方法。
（付記１３）
前記属性情報は、前記ダミーサーバへのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの情報を含み、
前記集計部は、前記属性情報の種類数として鍵交換アルゴリズムの種類数を集計する付記９記載のネットワーク監視プログラム、又は、付記１０記載のネットワーク監視方法。
（付記１４）
前記推定部は、個々のアクセス元毎に、前記ダミーサーバの数と第１閾値との大小関係及び前記属性情報の種類数と第２閾値との大小関係を判定するか、又は、前記ダミーサーバの数の平均値との乖離度合い及び前記属性情報の種類数の平均値との乖離度合いを判定することで、個々のアクセス元の正当性を推定する付記９、付記１１〜付記１３の何れか１項記載のネットワーク監視プログラム、又は、付記１０〜付記１３の何れか１項記載のネットワーク監視方法。
（付記１５）
前記推定部によって正当性を有しないと推定されたアクセス元から監視対象のネットワークに含まれるサーバへのアクセスを遮断するアクセス遮断部を更に含む付記９、付記１１〜付記１４の何れか１項記載のネットワーク監視プログラム、又は、付記１０〜付記１４の何れか１項記載のネットワーク監視方法。
（付記１６）
前記複数のダミーサーバは、前記監視対象のネットワークに割り当てられたアドレスの範囲内でかつ互いに異なるアドレスが割り当てられている付記９、付記１１〜付記１５の何れか１項記載のネットワーク監視プログラム、又は、付記１０〜付記１５の何れか１項記載のネットワーク監視方法。
１０…サーバ群、１２…公開サーバ、１４…ダミーサーバ、１６…通信履歴記録部、１８…通信履歴記憶領域、２０…インターネット、２４…ネットワーク監視装置、２６…通信履歴収集部、２８…集計部、３０…ダミーサーバ数集計部、３２…属性情報種類数集計部、３４…不正アクセス元推定部、３６…ブラックリスト登録部、３８…通信監視部、４０…ブラックリスト記憶部、４２…通信遮断部、５０…第１コンピュータ、５２…ＣＰＵ、５４…メモリ、５６…記憶部、６６…ネットワーク監視プログラム

Claims (8)

  1. 監視対象のネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、個々の前記ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセス元毎に、アクセスした前記ダミーサーバの数及び前記属性情報の種類数を集計する集計部と、
    前記集計部によってアクセス元毎に集計された前記ダミーサーバの数及び前記属性情報の種類数に基づいて、個々のアクセス元の正当性を推定する推定部と、
    を含むネットワーク監視装置。
  2. 前記属性情報は、前記ダミーサーバへのアクセスに利用されたアプリケーションの識別情報を含み、
    前記集計部は、前記属性情報の種類数として前記アプリケーションの種類数を集計する請求項１記載のネットワーク監視装置。
  3. ネットワークへの攻撃に使用される特定アプリケーションの識別情報を記憶する記憶部を更に備え、
    前記推定部は、前記記憶部に識別情報が記憶された前記特定アプリケーションを利用したアクセスが有ったアクセス元に対し、前記特定アプリケーションを利用したアクセスが無いアクセス元よりも、正当性を有すると推定する確率が低下するように、前記正当性の推定を行う請求項２記載のネットワーク監視装置。
  4. 前記属性情報は、前記ダミーサーバへのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの情報を含み、
    前記集計部は、前記属性情報の種類数として鍵交換アルゴリズムの種類数を集計する請求項１記載のネットワーク監視装置。
  5. 前記推定部は、個々のアクセス元毎に、前記ダミーサーバの数と第１閾値との大小関係及び前記属性情報の種類数と第２閾値との大小関係を判定するか、又は、前記ダミーサーバの数の平均値との乖離度合い及び前記属性情報の種類数の平均値との乖離度合いを判定することで、個々のアクセス元の正当性を推定する請求項１〜請求項４の何れか１項記載のネットワーク監視装置。
  6. 前記推定部によって正当性を有しないと推定されたアクセス元から監視対象のネットワークに含まれるサーバへのアクセスを遮断するアクセス遮断部を更に含む請求項１〜請求項５の何れか１項記載のネットワーク監視装置。
  7. ネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセスしたダミーサーバの数及び属性情報の種類数をアクセス元毎に集計し、
    集計したアクセス元毎のダミーサーバの数及び属性情報の種類数に基づいてアクセス元の正当性を推定する
    処理をコンピュータに実行させるためのネットワーク監視プログラム。
  8. ネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセスしたダミーサーバの数及び属性情報の種類数をアクセス元毎に集計し、
    集計したアクセス元毎のダミーサーバの数及び属性情報の種類数に基づいてアクセス元の正当性を推定する
    処理をコンピュータが実行するネットワーク監視方法。
JP2016212472A 2016-10-31 2016-10-31 ネットワーク監視装置、プログラム及び方法 Expired - Fee Related JP6750457B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2016212472A JP6750457B2 (ja) 2016-10-31 2016-10-31 ネットワーク監視装置、プログラム及び方法
US15/796,485 US20180124084A1 (en) 2016-10-31 2017-10-27 Network monitoring device and method
EP17198858.7A EP3316550A1 (en) 2016-10-31 2017-10-27 Network monitoring device and method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2016212472A JP6750457B2 (ja) 2016-10-31 2016-10-31 ネットワーク監視装置、プログラム及び方法

Publications (2)

Publication Number Publication Date
JP2018073140A true JP2018073140A (ja) 2018-05-10
JP6750457B2 JP6750457B2 (ja) 2020-09-02

Family

ID=60201849

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016212472A Expired - Fee Related JP6750457B2 (ja) 2016-10-31 2016-10-31 ネットワーク監視装置、プログラム及び方法

Country Status (3)

Country Link
US (1) US20180124084A1 (ja)
EP (1) EP3316550A1 (ja)
JP (1) JP6750457B2 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230052533A1 (en) * 2020-03-05 2023-02-16 Aetna Inc. Systems and methods for identifying access anomalies using network graphs

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR3087910A1 (fr) * 2018-10-26 2020-05-01 Serenicity Dispositif d’enregistrement d’intrusion informatique
CN113037728B (zh) * 2021-02-26 2023-08-15 上海派拉软件股份有限公司 一种实现零信任的风险判定方法、装置、设备及介质
CN113297253A (zh) * 2021-06-15 2021-08-24 深信服科技股份有限公司 一种设备识别方法、装置、设备及可读存储介质
CN116150734B (zh) * 2023-04-23 2023-07-25 深圳市君润众乐数字科技有限公司 一种基于人工智能的应用资源数字化管理系统及方法

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005044277A (ja) * 2003-07-25 2005-02-17 Fuji Xerox Co Ltd 不正通信検出装置
JP2008152791A (ja) * 2001-03-13 2008-07-03 Fujitsu Ltd フィルタリング装置、フィルタリング方法およびこの方法をコンピュータに実行させるプログラム
JP2010152773A (ja) * 2008-12-26 2010-07-08 Mitsubishi Electric Corp 攻撃判定装置及び攻撃判定方法及びプログラム
JP2013011949A (ja) * 2011-06-28 2013-01-17 Nippon Telegr & Teleph Corp <Ntt> 特徴情報抽出装置、特徴情報抽出方法および特徴情報抽出プログラム
US20140317740A1 (en) * 2013-04-22 2014-10-23 Imperva, Inc. Community-based defense through automatic generation of attribute values for rules of web application layer attack detectors
JP2015179416A (ja) * 2014-03-19 2015-10-08 日本電信電話株式会社 ブラックリスト拡充装置、ブラックリスト拡充方法およびブラックリスト拡充プログラム
JP2016143320A (ja) * 2015-02-04 2016-08-08 富士通株式会社 ログ監視方法、ログ監視装置、ログ監視システム、及びログ監視プログラム

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007334536A (ja) 2006-06-14 2007-12-27 Securebrain Corp マルウェアの挙動解析システム
US8176178B2 (en) * 2007-01-29 2012-05-08 Threatmetrix Pty Ltd Method for tracking machines on a network using multivariable fingerprinting of passively available information
CN101119387B (zh) * 2007-09-10 2012-11-14 北京网秦天下科技有限公司 一种便利于定制、配置与迁移手机软件业务的方法和系统

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008152791A (ja) * 2001-03-13 2008-07-03 Fujitsu Ltd フィルタリング装置、フィルタリング方法およびこの方法をコンピュータに実行させるプログラム
JP2005044277A (ja) * 2003-07-25 2005-02-17 Fuji Xerox Co Ltd 不正通信検出装置
JP2010152773A (ja) * 2008-12-26 2010-07-08 Mitsubishi Electric Corp 攻撃判定装置及び攻撃判定方法及びプログラム
JP2013011949A (ja) * 2011-06-28 2013-01-17 Nippon Telegr & Teleph Corp <Ntt> 特徴情報抽出装置、特徴情報抽出方法および特徴情報抽出プログラム
US20140317740A1 (en) * 2013-04-22 2014-10-23 Imperva, Inc. Community-based defense through automatic generation of attribute values for rules of web application layer attack detectors
US20140317738A1 (en) * 2013-04-22 2014-10-23 Imperva, Inc. Automatic generation of attribute values for rules of a web application layer attack detector
JP2015179416A (ja) * 2014-03-19 2015-10-08 日本電信電話株式会社 ブラックリスト拡充装置、ブラックリスト拡充方法およびブラックリスト拡充プログラム
JP2016143320A (ja) * 2015-02-04 2016-08-08 富士通株式会社 ログ監視方法、ログ監視装置、ログ監視システム、及びログ監視プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
千葉 大紀 外: "マルウェア感染端末検知のためのＨＴＴＰ通信プロファイル技術の設計", 情報処理学会 研究報告 セキュリティ心理学とトラスト（ＳＰＴ） 2014−ＳＰＴ−008 ［ＯＮＬＩＮＥ］ INT, JPN6019025338, 20 March 2014 (2014-03-20), JP, pages 1 - 6, ISSN: 0004303877 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230052533A1 (en) * 2020-03-05 2023-02-16 Aetna Inc. Systems and methods for identifying access anomalies using network graphs
US11848952B2 (en) * 2020-03-05 2023-12-19 Aetna Inc. Systems and methods for identifying access anomalies using network graphs

Also Published As

Publication number Publication date
US20180124084A1 (en) 2018-05-03
JP6750457B2 (ja) 2020-09-02
EP3316550A1 (en) 2018-05-02

Similar Documents

Publication Publication Date Title
US10574681B2 (en) Detection of known and unknown malicious domains
JP6750457B2 (ja) ネットワーク監視装置、プログラム及び方法
US8549645B2 (en) System and method for detection of denial of service attacks
CN109194680B (zh) 一种网络攻击识别方法、装置及设备
CN113326514B (zh) 网络资产的风险评估方法、装置、交换机、设备及服务器
CN106302450B (zh) 一种基于ddos攻击中恶意地址的检测方法及装置
JP2016152594A (ja) ネットワーク攻撃監視装置、ネットワーク攻撃監視方法、及びプログラム
JP6717206B2 (ja) マルウェア対策装置、マルウェア対策システム、マルウェア対策方法、及び、マルウェア対策プログラム
WO2018191089A1 (en) System and method for detecting creation of malicious new user accounts by an attacker
CN113711559B (zh) 检测异常的系统和方法
JP4823813B2 (ja) 異常検知装置、異常検知プログラム、および記録媒体
JP2016146114A (ja) ブラックリストの管理方法
US12081569B2 (en) Graph-based analysis of security incidents
CN108183884B (zh) 一种网络攻击判定方法及装置
US10963562B2 (en) Malicious event detection device, malicious event detection method, and malicious event detection program
JP5719054B2 (ja) アクセス制御装置、アクセス制御方法、およびアクセス制御プログラム
CN112560085B (zh) 业务预测模型的隐私保护方法及装置
JP6712944B2 (ja) 通信予測装置、通信予測方法及び通信予測プログラム
JP6883535B2 (ja) 攻撃予測装置、攻撃予測方法及び攻撃予測プログラム
CN117857080B (en) DDoS attack detection method, system, equipment and medium
CN110445799B (zh) 入侵阶段的确定方法、装置及服务器
JP6857627B2 (ja) ホワイトリスト管理システム
CN117857080A (zh) DDoS攻击的检测方法、系统、设备及介质
CN118802195A (zh) 网络安全态势评估方法、装置、设备及存储介质
CN115296844A (zh) 一种安全防护方法和装置

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190709

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20200515

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200714

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200727

R150 Certificate of patent or registration of utility model

Ref document number: 6750457

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees