JP2018137500A

JP2018137500A - セキュリティ対処案設計装置、セキュリティ対処案評価装置、セキュリティ対処案設計方法及びセキュリティ対処案評価方法

Info

Publication number: JP2018137500A
Application number: JP2017028607A
Authority: JP
Inventors: 雄太風戸; Yuta Kazeto
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2017-02-20
Filing date: 2017-02-20
Publication date: 2018-08-30
Anticipated expiration: 2037-02-20
Also published as: JP6649296B2

Abstract

【課題】攻撃の検知から攻撃の対処までのオペレーション時間を短縮し、攻撃に対する早期対応を実現する。【解決手段】ネットワーク内で発生した攻撃に対するセキュリティ対処案を設計するセキュリティ対処案設計装置は、攻撃に対するセキュリティ対処案を作成するための対処テンプレートを記憶する対処テンプレート記憶部と、攻撃を検知する攻撃検知装置から、攻撃の検知情報を受信する受信部と、前記対処テンプレート記憶部から、前記検知情報に対応する対処テンプレートを抽出し、当該抽出された対処テンプレート及び前記検知情報に基づいてセキュリティ対処案を作成し、ネットワーク内の機器情報及びトポロジ情報を参照して、当該作成されたセキュリティ対処案の中から実施可能なセキュリティ対処案を抽出する対処案作成部と、前記抽出されたセキュリティ対処案を出力する対処案出力部とを有する。【選択図】図２

Description

本発明は、セキュリティ対処案設計装置、セキュリティ対処案評価装置、セキュリティ対処案設計方法及びセキュリティ対処案評価方法に関する。特に、本発明は、ネットワーク内で発生した攻撃に対するセキュリティ対処案の選定を支援するための技術に関する。

ネットワークセキュリティ運用では、ＤＤｏＳ（Distributed Denial of Service attack）攻撃等のサイバー攻撃の発生に対して、「１．収集、２．検知、３．対処判断、４．対処実行・確認、５．復旧」というインシデントレスポンスを実施することで、攻撃の無効化を行う。オペレータは、インシデントレスポンスにおいて、収集したログデータや検知ログ、セキュリティ脅威情報を基にどのような対処を行うべきか評価・判断し、対処の実行を行う。特にセキュリティ対処が必要な場合、オペレータによる対処影響調査・対処判断を正確に行うことが重要となる。

国際公開第WO2016/076207号

小山高明他，"サイバー攻撃から早期回復を図るリジリエント・セキュリティ技術"，ＮＴＴ技術ジャーナル，2014年3月

従来のネットワークセキュリティ運用では、オペレータがセキュリティ対処案を作成し、セキュリティ対処案による影響の調査を行う。そのため、オペレータの負担が増加し、攻撃への対応が長期化するという問題がある。そこで、オペレータが事前に対処方法を記述したシナリオを用意し、攻撃発生時にはシナリオに沿って対処を行うことで対応を自動化することが検討されている（特許文献１、非特許文献１参照）。

図１は、従来のネットワークセキュリティ運用の概要を示す図である。事前準備フェーズにおいて、オペレータが攻撃検知時にどのような対処を行うかをスクリプトで記述したシナリオを複数用意する。対処判断フェーズにおいて、オペレータは、攻撃を検知した場合、攻撃の検知情報を基にシナリオを選定する。例えば、シナリオに記述されたリコメンド優先度の高いものから実際に対処を行ったときの影響を調査する。対処実行フェーズにおいて、オペレータは最も適切なシナリオを選択し、Ｆ／Ｗ（Firewall）、ＷＡＦ（Web Application Firewall）、ＩＰＳ（Intrusion Prevention System）等のセキュリティアプライアンス機器に対して対処内容を設定する。

しかし、ＩＳＰ（Internet Service Provider）のような多数のユーザを収容する大規模ネットワークでは、セキュリティ対処を行うべき対象が膨大であり、かつ影響範囲が広域であり、ネットワーク構成も刻々と変動することから、それらを網羅するようなスクリプトを事前に作成することは困難である。また、対処を行ったときの影響を評価するときも、スクリプト内に評価用のスクリプトを記述する必要があるが、上記のように網羅的なスクリプトを事前に作成することは困難である。さらに、共通的なサービス影響を評価する指標も存在しないため、サービス影響の調査にはオペレータの関与が必要になる。

本発明は、ネットワーク内で発生した攻撃に対する実施可能なセキュリティ対処案を自動的に生成することにより、攻撃の検知から攻撃の対処までのオペレーション時間を短縮し、攻撃に対する早期対応を実現することを目的とする。また、本発明は、ネットワーク内で発生した攻撃に対するセキュリティ対処案のサービスへの影響を評価することを目的とする。

本発明の一形態に係るセキュリティ対処案設計装置は、
ネットワーク内で発生した攻撃に対するセキュリティ対処案を設計するセキュリティ対処案設計装置であって、
攻撃に対するセキュリティ対処案を作成するための対処テンプレートを記憶する対処テンプレート記憶部と、
攻撃を検知する攻撃検知装置から、攻撃の検知情報を受信する受信部と、
前記対処テンプレート記憶部から、前記検知情報に対応する対処テンプレートを抽出し、当該抽出された対処テンプレート及び前記検知情報に基づいてセキュリティ対処案を作成し、ネットワーク内の機器情報及びトポロジ情報を参照して、当該作成されたセキュリティ対処案の中から実施可能なセキュリティ対処案を抽出する対処案作成部と、
前記抽出されたセキュリティ対処案を出力する対処案出力部と、
を有することを特徴とする。

また、本発明の一形態に係るセキュリティ対処案評価装置は、
ネットワーク内で発生した攻撃に対するセキュリティ対処案を評価するセキュリティ対処案評価装置であって、
ネットワーク内の機器情報及びトポロジ情報を参照して、入力されたセキュリティ対処案がサービスに及ぼす影響を評価する対処案評価部と、
前記セキュリティ対処案の評価結果を出力する評価結果出力部と、
を有することを特徴とする。

また、本発明の一形態に係るセキュリティ対処案設計方法は、
ネットワーク内で発生した攻撃に対するセキュリティ対処案を設計するセキュリティ対処案設計装置におけるセキュリティ対処案設計方法であって、
攻撃を検知する攻撃検知装置から、攻撃の検知情報を受信するステップと、
攻撃に対するセキュリティ対処案を作成するための対処テンプレートを記憶する対処テンプレート記憶部から、前記検知情報に対応する対処テンプレートを抽出し、当該抽出された対処テンプレート及び前記検知情報に基づいてセキュリティ対処案を作成し、ネットワーク内の機器情報及びトポロジ情報を参照して、当該作成されたセキュリティ対処案の中から実施可能なセキュリティ対処案を抽出するステップと、
前記抽出されたセキュリティ対処案を出力するステップと、
を有することを特徴とする。

また、本発明の一形態に係るセキュリティ対処案評価方法は、
ネットワーク内で発生した攻撃に対するセキュリティ対処案を評価するセキュリティ対処案評価装置におけるセキュリティ対処案評価方法であって、
ネットワーク内の機器情報及びトポロジ情報を参照して、入力されたセキュリティ対処案がサービスに及ぼす影響を評価するステップと、
前記セキュリティ対処案の評価結果を出力するステップと、
を有することを特徴とする。

本発明の一形態によれば、ネットワーク内で発生した攻撃に対する実施可能なセキュリティ対処案を自動的に生成することにより、攻撃の検知から攻撃の対処までのオペレーション時間を短縮し、攻撃に対する早期対応を実現することが可能になる。また、本発明の一形態によれば、ネットワーク内で発生した攻撃に対するセキュリティ対処案のサービスへの影響を評価することが可能になる。

従来のネットワークセキュリティ運用の概要を示す図である。本発明の実施例に係るセキュリティ対処選定支援システムの概略図である。本発明の実施例に係るセキュリティ対処選定支援システムにおける処理を示すフローチャートである。攻撃の検知情報の例を示す図である。セキュリティ対処案の評価結果の例を示す図である。本発明の実施例に係るセキュリティ対処選定支援システムの機能構成図である。本発明の実施例１に係るセキュリティ対処選定支援システムにおけるシーケンス図である。本発明の実施例２に係るセキュリティ対処選定支援システムにおけるシーケンス図である。本発明の実施例３に係るセキュリティ対処選定支援システムにおけるシーケンス図である。本発明の実施例に係るセキュリティ対処選定支援システムの各装置のハードウェア構成例を示す図である。

以下、図面を参照して本発明の実施例について説明する。

本発明の実施例では、ネットワーク内で発生した攻撃に対するセキュリティ対処案をテンプレート化し、セキュリティ対処案の作成を自動化する手法を説明する。また、セキュリティ対処案がサービスに及ぼす影響を評価する手法についても説明する。なお、セキュリティ対処案には、どの機器でどのようなセキュリティ対処を実行するかを具体的に記述した内容が含まれる。

図２は、本発明の実施例に係るセキュリティ対処選定支援システムの概略図である。セキュリティ対処選定支援システムは、ログ管理装置１０と、セキュリティ対処案設計装置２０と、セキュリティ対処案評価装置３０とを有する。また、セキュリティ対処選定支援システムが対象とするネットワークは、複数のネットワーク転送機器４０で構成されており、ネットワーク内で発生した攻撃を検出するためのセキュリティアプライアンス機器５０が配置される。

ネットワーク転送機器４０は、パケットを転送するルータ等の装置である。ネットワーク転送機器４０を介して、各ユーザ端末から受信したパケットが送信先のサーバ等に転送される。

セキュリティアプライアンス機器５０は、ネットワーク内で発生した攻撃を検知する装置である。セキュリティアプライアンス機器５０が出力する攻撃の検知情報には、攻撃種類（例えば、ＤＮＳａｍｐＤＤｏＳ攻撃、ＶｏｌｕｍｅＤＤｏＳ攻撃、Ｌａｙｅｒ７ＤＤｏＳ攻撃、マルウェア感染、ブルートフォース攻撃）、送信元ＩＰアドレス、宛先ＩＰアドレス、ポート番号、プロトコル等が含まれる。セキュリティアプライアンス機器５０の例として、Ｆ／Ｗ、ＷＡＦ、ＩＰＳ等がある。セキュリティアプライアンス機器５０によっては、不正なパケットに対する遮断、詳細分析等を行うこともできる。

ログ管理装置１０は、ネットワーク内の機器情報及びトポロジ情報を管理する。機器情報は、ネットワーク内に存在する機器（ネットワーク転送機器４０、セキュリティアプライアンス機器５０、サーバ等を含む）の情報、及び各機器が使用できる対処機能の機能コンポーネント情報、リソース情報等を含む。トポロジ情報は、ネットワーク内に存在する機器（ネットワーク転送機器４０、セキュリティアプライアンス機器５０、サーバ等を含む）の論理・物理接続情報である。また、ログ管理装置１０は、セキュリティアプライアンス機器５０によって検出された攻撃の検知情報を管理する。さらに、ログ管理装置１０は、ネットワーク転送機器４０からログを収集し、ネットワーク転送機器４０から収集したログに基づいて攻撃を検知することも可能である。ログ管理装置１０の例として、ＳＩＥＭ（Security Information and Event Management）等がある。

セキュリティ対処案設計装置２０は、セキュリティアプライアンス機器５０やログ管理装置１０において検知された攻撃の検知情報を受信し、セキュリティ対処案の対処テンプレート及び検知情報に基づいてセキュリティ対処案を作成する。対処テンプレートは、攻撃に対するセキュリティ対処案を作成するためのテンプレートであり、攻撃種類と対処アクションを記述したものである。セキュリティ対処案設計装置２０は、検知情報に含まれる攻撃種類から対処テンプレートを絞り込み、検知情報からセキュリティ対処案の実行範囲（ＩＰアドレス、ポート番号、プロトコル等）を割り出す。例えば、送信元ＩＰアドレスから宛先ＩＰアドレスへの特定のプロトコルのパケットの遮断、クリーニング、詳細分析、経路変更、レート制限、退避、関係する機器の再起動等のセキュリティ対処案が生成される。そして、セキュリティ対処案設計装置２０は、ログ管理装置１０において管理されている機器情報及びトポロジ情報を参照して、ネットワーク内で実施可能なセキュリティ対処案を絞り込む。例えば、セキュリティ対処案の実行範囲の機器に、クリーニング、詳細分析等の機能コンポーネントが存在しない場合、そのようなセキュリティ対処案は実施することができない。また、セキュリティ対処案の実行範囲の機器にクリーニング、詳細分析等のためのリソース（ＣＰＵ、メモリ等のリソース）が存在しない場合、そのようなセキュリティ対処案は実施することができない。また、セキュリティ対処案の実行範囲の機器に経路変更のためのリソース（回線帯域）が存在しない場合、そのようなセキュリティ対処案は実施することができない。その結果、実施可能なセキュリティ対処案が作成される。

セキュリティ対処案評価装置３０は、セキュリティ対処案設計装置２０やオペレータ等から入力されたセキュリティ対処案を受け取り、ログ管理装置１０において管理されている機器情報及びトポロジ情報を参照して、セキュリティ対処案がサービスに及ぼす影響を評価し、評価結果を出力する。例えば、セキュリティ対処案評価装置３０は、セキュリティ対処案が遮断である場合、攻撃ユーザのパケット遮断数、正常ユーザのパケット遮断数等の影響を評価する。また、セキュリティ対処案がクリーニングである場合、通信の遅延時間等の影響を評価する。また、セキュリティ対処案が詳細分析である場合、詳細分析を行う機器の余剰リソース（ＣＰＵ、メモリ等のリソース）等の影響を評価する。また、セキュリティ対処案が経路変更である場合、回線帯域の使用率等の影響を評価する。他のセキュリティ対処案についても、適切な指標によって影響を評価することができる。

なお、図２にはログ管理装置１０と、セキュリティ対処案設計装置２０と、セキュリティ対処案評価装置３０とが別々の装置として示されているが、これらの装置のいずれかが１つの装置に組み合わされてもよい。

図３は、本発明の実施例に係るセキュリティ対処選定支援システムにおける処理を示すフローチャートである。

ログ管理装置１０は、セキュリティアプライアンス機器５０によって検出された攻撃の検知情報を受信する（Ｓ１０１）。攻撃の検知情報には、攻撃種類、ＩＰアドレス、ポート番号、プロトコル等が含まれる。図４に、検知情報の例を示す。ここでは、フロー検知及びＷＡＦ検知によってＶｏｌｕｍｅＤＤｏＳ攻撃及びＬａｙｅｒ７ＤＤｏＳが検知された例が示されている。ログ管理装置１０は、攻撃の検知情報をセキュリティ対処案設計装置２０に転送する。以下では、図４のフロー検知によって検知されたＶｏｌｕｍｅＤＤｏＳ攻撃に対するセキュリティ対処案の作成について説明する。

セキュリティ対処案設計装置２０は、対処テンプレート及び検知情報に基づいて、取り得る全てのセキュリティ対処案（全対処案）を作成する（Ｓ１０２）。例えば、ＶｏｌｕｍｅＤＤｏＳ攻撃に対して遮断の対処テンプレート、詳細分析のテンプレート、緩和策（Mitigation）の対処テンプレートが存在する場合、検知情報に含まれるＩＰアドレス、ポート番号、プロトコル等をこれらの対処テンプレートに入力してセキュリティ対処案を作成する。

セキュリティ対処案設計装置２０は、検知情報からセキュリティ対処案の実行範囲を割り出し、全対処案の中から、ログ管理装置１０において管理されている機器情報及びトポロジ情報を参照して、ネットワーク内で実施可能なセキュリティ対処案を作成する（Ｓ１０３）。例えば、セキュリティ対処案を実施すべき箇所のＦ／Ｗがパケットを遮断する機能を有する場合、そのＦ／ＷにおいてＵＤＰパケットを遮断するという対処案Ａを作成する。また、セキュリティ対処案を実施すべき箇所のルータがパケットを遮断するためのＡＣＬ（Access Control List）を有する場合、そのルータにおいて送信元ＩＰアドレスがＩＰＡであるパケットを遮断するという対処案Ｂを作成する。また、セキュリティ対処案を実施すべき箇所のルータがMitigation装置に接続されている場合、そのルータにおいて宛先ＩＰアドレスがＩＰＢであるパケットをMitigation装置にステアリングするという対処案Ｃを作成する。一方、セキュリティ対処案を実施すべき箇所のルータが詳細分析を行うことができるセキュリティ装置に接続されていない場合、詳細分析のセキュリティ対処案は作成しない。

セキュリティ対処案評価装置３０は、セキュリティ対処案設計装置２０において作成されたセキュリティ対処案を受け取り、ログ管理装置１０において管理されている機器情報及びトポロジ情報を参照して、セキュリティ対処案がサービスに及ぼす影響を評価する。図５に、評価結果の例を示す。対処案Ａ〜Ｃ毎に、予め設定された指標（攻撃ユーザのパケット遮断割合、正常ユーザのパケット誤遮断割合、遅延時間、余剰リソース等）によって影響が評価される。そして、ネットワークごとに優先すべき事項をセキュリティポリシとして設定し、セキュリティポリシを参照してサービスに及ぼす影響を再評価する（Ｓ１０４）。セキュリティポリシの例として、例えば、正常ユーザの通信を誤遮断しない、サービス全体に影響が或る場合は、原因となる攻撃は全て遮断する、社内ネットワークにおいてマルウェアを検知した場合は当該社内ネットワーク内の通信を即遮断する、エンタープライズネットワークにおいて負荷が増加した場合、特定のサービスの提供を優先する等がある。

セキュリティ対処案評価装置３０において、対処案Ａ〜Ｃは、スコアリング、機械学習（決定木等）、強化学習等を用いて定量化され、最適なセキュリティ対処案Ｃがオペレータに出力される。同時に、選定理由がオペレータに出力されてもよい（Ｓ１０５）。なお、最適なセキュリティ対処案Ｃは、対処案Ａ〜Ｃのうち、最も対処の効用が高く、サービスへの負の影響が小さい対処案であるという基準で選定されてもよい。選定理由は、選定された対処案Ｃが最適である理由を示し、例えば、正常ユーザへのサービスの影響が小さい、サービスの即時復旧が可能等の理由がある。

図６は、本発明の実施例に係るセキュリティ対処選定支援システムの機能構成図である。

ネットワーク転送機器４０は、フロー生成部４０１と、フロー転送部４０３と、フロー保管部４０５と、ログ保管部４０７とを有する。フロー生成部４０１は、パケットのフロー情報である送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコル等を生成してフロー保管部４０５に保管する。フロー転送部４０３は、フロー保管部４０５に保管されているフロー情報に従ってパケットを転送する。ログ保管部４０７は、フロー毎に計測されたトラヒック情報等のログを保管する。なお、ネットワーク転送機器４０は、ログ保管部４０７に保管されているログをセキュリティアプライアンス機器５０及びログ管理装置１０に転送するログ転送部を有してもよい。

セキュリティアプライアンス機器５０は、攻撃検知部５０１と、ログ生成部５０３と、ログ送信部５０５と、ログ保管部５０７とを有する。攻撃検知部５０１は、ネットワーク内で発生した攻撃を検知する。ログ生成部５０３は、検知された攻撃の検知情報をログ形式に変換してログ保管部５０７に保管する。ログ送信部５０５は、ログ保管部５０７に保管されているログをログ管理装置１０に転送する。

ログ管理装置１０は、ログ受信部１０１と、ログ転送部１０３と、検知情報記憶部１０５と、機器情報記憶部１０７と、トポロジ情報記憶部１０９とを有する。ログ受信部１０１は、セキュリティアプライアンス機器５０から送信されたログを受信し、検知情報記憶部１０５に記憶する。また、ログ受信部１０１は、ネットワーク転送機器４０からログを収集し、攻撃を検知した場合に検知情報を検知情報記憶部１０５に記憶する。ログ転送部１０３は、検知情報記憶部１０５に記憶されている検知情報をセキュリティ対処案設計装置２０に転送する。また、ログ転送部１０３は、機器情報記憶部１０７に記憶されている機器情報及びトポロジ情報記憶部１０９に記憶されているトポロジ情報をセキュリティ対処案設計装置２０及びセキュリティ対処案評価装置３０に転送することもできる。機器情報記憶部１０７は、ネットワーク内に存在する機器の情報、各機器が使用できる対処機能の機能コンポーネント情報、リソース情報等を記憶する。このような機器情報は、ネットワーク転送機器４０、セキュリティアプライアンス機器５０、サーバ等の機器から直接取得されてもよく、これらの機器を管理する別の管理装置から取得されてもよく、オペレータにより入力されてもよい。トポロジ情報記憶部１０９は、ネットワーク内に存在する機器の論理・物理接続情報を記憶する。このようなトポロジ情報は、ネットワーク転送機器４０、セキュリティアプライアンス機器５０、サーバ等の機器から取得した情報に基づいて生成されてもよく、これらの機器を管理する別の管理装置から取得されてもよく、オペレータにより入力されてもよい。

セキュリティ対処案設計装置２０は、ログ受信部２０１と、対処案設計部２０３と、対処案出力部２０５と、対処テンプレート記憶部２０７とを有する。ログ受信部２０１は、ログ管理装置１０から転送されたログである攻撃の検知情報を受信する。対処案設計部２０３は、攻撃に対するセキュリティ対処案を作成するための対処テンプレートを記憶する対処テンプレート記憶部２０７から、受信した検知情報に対応する対処テンプレートを抽出し、抽出された対処テンプレート及び検知情報に基づいてセキュリティ対処案を作成する。また、対処案設計部２０３は、ログ管理装置１０に記憶されている機器情報及びトポロジ情報を取得し、作成されたセキュリティ対処案の中から実施可能なセキュリティ対処案を抽出する。対処案出力部２０５は、実施可能なセキュリティ対処案をオペレータやセキュリティ対処案評価装置３０に出力する。

セキュリティ対処案評価装置３０は、対処案受信部３０１と、対処案評価部３０３と、評価結果出力部３０５と、サービス影響指標管理部３０７と、セキュリティポリシ管理部３０９とを有する。対処案受信部３０１は、セキュリティ対処案設計装置２０が出力した実施可能なセキュリティ対処案を受信する。対処案評価部３０３は、ログ管理装置１０に記憶されている機器情報及びトポロジ情報を取得し、所定のアルゴリズムを用いて、実施可能なセキュリティ対処案がサービスに及ぼす影響を評価する。評価のための指標は予め定義され、サービス影響指標管理部３０７において管理される。また、対処案評価部３０３は、セキュリティポリシ管理部３０９において管理されているセキュリティポリシを参照して、サービスに及ぼす影響を再評価する。評価結果出力部３０５は、セキュリティ対処案の評価結果を出力する。評価結果出力部３０５は、最適なセキュリティ対処案とその選定理由を出力することもできる。

それぞれの機能について以下の実施例１〜実施例３において更に詳細に説明する。

＜実施例１＞
本発明の実施例１では、セキュリティ対処案設計装置２０が攻撃検知後にネットワーク内で実施可能なセキュリティ対処案を自動生成し、セキュリティ対処案評価装置３０がその中から最適な対処案とその選定理由をオペレータへアウトプットする手順について説明する。図７は、本発明の実施例１に係るセキュリティ対処選定支援システムにおけるシーケンス図である。

セキュリティアプライアンス機器５０は、ネットワーク内で発生した攻撃を検知し、検知情報をログ管理装置１０に送信する（Ｓ２０１）。ログ管理装置１０は、検知情報をセキュリティ対処案設計装置２０に送信する（Ｓ２０２）。

セキュリティ対処案設計装置２０は、対処テンプレート及び検知情報に基づいて、取り得る全てのセキュリティ対処案（全対処案）を作成する（Ｓ２０３）。また、セキュリティ対処案設計装置２０は、検知情報からセキュリティ対処案の実行範囲を割り出す（Ｓ２０４）。セキュリティ対処案設計装置２０は、ログ管理装置１０に対して機器情報及びトポロジ情報を問い合わせ（Ｓ２０５）、その回答を受信する（Ｓ２０６）。セキュリティ対処案設計装置２０は、取得した機器情報及びトポロジ情報を参照して、ネットワーク内で実施可能なセキュリティ対処案を作成する（Ｓ２０７）。セキュリティ対処案設計装置２０は、実施可能なセキュリティ対処案をセキュリティ対処案評価装置３０に送信する（Ｓ２０８）。

セキュリティ対処案評価装置３０は、実施可能なセキュリティ対処案を受け取ると、ログ管理装置１０に対して機器情報及びトポロジ情報を問い合わせ（Ｓ２０９）、その回答を受信する（Ｓ２１０）。なお、セキュリティ対処案設計装置２０がログ管理装置１０から取得した機器情報及びトポロジ情報をセキュリティ対処案設計装置２０内に保持しておき、セキュリティ対処案評価装置３０は、セキュリティ対処案設計装置２０に対して機器情報及びトポロジ情報を問い合わせるようにしてもよい。セキュリティ対処案評価装置３０は、取得した機器情報及びトポロジ情報を参照して、各セキュリティ対処案がサービスに及ぼす影響を評価する（Ｓ２１１）。セキュリティ対処案評価装置３０は、各セキュリティ対処案の評価結果とその選定理由をオペレータに出力する（Ｓ２１２）。その結果、オペレータによるセキュリティ対処の選定支援が可能になり、オペレータが最終的なセキュリティ対処案を適切に選定することできる（Ｓ２１３）。

＜実施例２＞
本発明の実施例２では、ネットワーク転送機器４０からの異常検知に基づいて、ログ管理装置１０が攻撃を検知し、セキュリティ対処案設計装置２０がネットワーク内で実施可能なセキュリティ対処案を自動生成し、オペレータへアウトプットする手順について説明する。図８は、本発明の実施例２に係るセキュリティ対処選定支援システムにおけるシーケンス図である。

ネットワーク転送機器４０は、計測されたトラヒック情報により異常を検知すると、検知情報をログ管理装置１０に送信する（Ｓ３００）。ログ管理装置１０は、ログの相関分析等を実行し（Ｓ３０１）、攻撃を検知する（Ｓ３０２）。ログ管理装置１０は、検知情報をセキュリティ対処案設計装置２０に送信する。

セキュリティ対処案設計装置２０は、対処テンプレート及び検知情報に基づいて、取り得る全てのセキュリティ対処案（全対処案）を作成する（Ｓ３０３）。また、セキュリティ対処案設計装置２０は、検知情報からセキュリティ対処案の実行範囲を割り出す（Ｓ３０４）。セキュリティ対処案設計装置２０は、ログ管理装置１０に対して機器情報及びトポロジ情報を問い合わせ（Ｓ３０５）、その回答を受信する（Ｓ３０６）。セキュリティ対処案設計装置２０は、取得した機器情報及びトポロジ情報を参照して、ネットワーク内で実施可能なセキュリティ対処案を作成する（Ｓ３０７）。セキュリティ対処案設計装置２０は、実施可能なセキュリティ対処案をオペレータに提示する（Ｓ３０８）。その結果、オペレータの知識不足を補填することが可能になり、オペレータが最終的なセキュリティ対処案を選定することできる（Ｓ３０９）。

＜実施例３＞
本発明の実施例３では、オペレータがセキュリティ対処案をセキュリティ対処案評価装置３０に入力し、セキュリティ対処案評価装置３０がセキュリティポリシを考慮して評価結果をオペレータへアウトプットする手順について説明する。図９は、本発明の実施例３に係るセキュリティ対処選定支援システムにおけるシーケンス図である。

オペレータはセキュリティ対処案をセキュリティ対処案評価装置３０に入力する（Ｓ４０８）。セキュリティ対処案評価装置３０は、ログ管理装置１０に対して機器情報及びトポロジ情報を問い合わせ（Ｓ４０９）、その回答を受信する（Ｓ４１０）。セキュリティ対処案評価装置３０は、取得した機器情報及びトポロジ情報を参照して、各セキュリティ対処案がサービスに及ぼす影響を評価する（Ｓ４１１）。さらに、セキュリティ対処案評価装置３０は、セキュリティポリシを参照して、サービスに及ぼす影響を再評価する（Ｓ４１２）。セキュリティ対処案評価装置３０は、各セキュリティ対処案の評価結果とその選定理由をオペレータに出力する（Ｓ４１３）。その結果、オペレータによるセキュリティ対処の選定支援が可能になり、オペレータが最終的なセキュリティ対処案を適切に選定することできる（Ｓ４１４）。

＜本発明の実施例による効果＞
本発明の実施例によれば、ネットワーク内で発生した攻撃に対する実施可能なセキュリティ対処案を自動的に生成することにより、攻撃の検知から攻撃の対処までのオペレーション時間を短縮し、攻撃に対する早期対応を実現することが可能になる。また、ネットワーク内で発生した攻撃に対するセキュリティ対処案のサービスへの影響を評価することが可能になる。

従来技術では、事前準備としてオペレータによる各セキュリティ対処のスクリプト記述が必要であった。一方、本発明の実施例によれば、セキュリティ対処の内容をテンプレート化することで、セキュリティ対処案の作成を一定程度自動化することが可能になる。また、対処アクションごとにサービス影響指標を定義し、セキュリティ対処案のサービス影響評価を行うことで、セキュリティ対処実行によるサービス影響を踏まえた最適なセキュリティ対処案の選定が可能となる。

各セキュリティ対処案のサービス影響評価が可能になることで、特に複数のオペレータ、関連組織が関わるネットワークセキュリティ運用において、オペレーションが効率化する。また、装置構成が異なるネットワークにおいても、機器情報とトポロジ情報を用意することで本システムが適用可能になる。

本発明の実施例では、実施可能なセキュリティ対処案、最適な対処案、サービス影響の情報等がオペレータに提示されるため、オペレータの理解度向上、スキル差の補填が可能となる。

＜ハードウェア構成例＞
図１０に、本発明の実施例に係るセキュリティ対処選定支援システムの各装置（ログ管理装置１０、セキュリティ対処案設計装置２０、セキュリティ対処案評価装置３０、セキュリティアプライアンス機器５０）のハードウェア構成例を示す。各装置は、ＣＰＵ（Central Processing Unit）１５１等のプロセッサ、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）等のメモリ装置１５２、ハードディスク等の記憶装置１５３等から構成されたコンピュータでもよい。例えば、各装置の機能及び処理は、記憶装置１５３又はメモリ装置１５２に格納されているデータやプログラムをＣＰＵ１５１が実行することによって実現される。また、各装置に必要な情報は、入出力インタフェース装置１５４から入力され、各装置において求められた結果は、入出力インタフェース装置１５４から出力されてもよい。

また、ネットワーク転送機器４０はルータなどの通信装置であるが、図１０と同様のハードウェアで構成されてもよい。

＜補足＞
説明の便宜上、本発明の実施例に係るセキュリティ対処選定支援システムの各装置は機能的なブロック図を用いて説明しているが、本発明の実施例に係るセキュリティ対処選定支援システムの各装置は、ハードウェア、ソフトウェア又はそれらの組み合わせで実現されてもよい。例えば、本発明の実施例は、コンピュータに対して本発明の実施例に係るセキュリティ対処選定支援システムの各装置の機能を実現させるプログラム、コンピュータに対して本発明の実施例に係る方法の各手順を実行させるプログラム等により、実現されてもよい。また、各機能部が必要に応じて組み合わせて使用されてもよい。また、本発明の実施例に係る方法は、実施例に示す順序と異なる順序で実施されてもよい。

以上、ネットワーク内で発生した攻撃に対する実施可能なセキュリティ対処案を自動的に生成することにより、攻撃の検知から攻撃の対処までのオペレーション時間を短縮し、攻撃に対する早期対応を実現するための手法について説明したが、本発明は、上記の実施例に限定されることなく、特許請求の範囲内において、種々の変更・応用が可能である。

１０ログ管理装置
１０１ログ受信部
１０３ログ転送部
１０５検知情報記憶部
１０７機器情報記憶部
１０９トポロジ情報記憶部
２０セキュリティ対処案設計装置
２０１ログ受信部
２０３対処案設計部
２０５対処案出力部
２０７対処テンプレート記憶部
３０セキュリティ対処案評価装置
３０１対処案受信部
３０３対処案評価部
３０５評価結果出力部
３０７サービス影響指標管理部
３０９セキュリティポリシ管理部
４０ネットワーク転送機器
４０１フロー生成部
４０３フロー転送部
４０５フロー保管部
４０７ログ保管部
５０セキュリティアプライアンス機器
５０１攻撃検知部
５０３ログ生成部
５０５ログ送信部
５０７ログ保管部

Claims

ネットワーク内で発生した攻撃に対するセキュリティ対処案を設計するセキュリティ対処案設計装置であって、
攻撃に対するセキュリティ対処案を作成するための対処テンプレートを記憶する対処テンプレート記憶部と、
攻撃を検知する攻撃検知装置から、攻撃の検知情報を受信する受信部と、
前記対処テンプレート記憶部から、前記検知情報に対応する対処テンプレートを抽出し、当該抽出された対処テンプレート及び前記検知情報に基づいてセキュリティ対処案を作成し、ネットワーク内の機器情報及びトポロジ情報を参照して、当該作成されたセキュリティ対処案の中から実施可能なセキュリティ対処案を抽出する対処案作成部と、
前記抽出されたセキュリティ対処案を出力する対処案出力部と、
を有するセキュリティ対処案設計装置。
ネットワーク内の機器情報及びトポロジ情報を参照して、セキュリティ対処案がサービスに及ぼす影響を評価する対処案評価部を更に有し、
前記対処案出力部は、前記セキュリティ対処案と共にサービスへの評価結果を出力する、請求項１に記載のセキュリティ対処案設計装置。
ネットワーク内で発生した攻撃に対するセキュリティ対処案を評価するセキュリティ対処案評価装置であって、
ネットワーク内の機器情報及びトポロジ情報を参照して、入力されたセキュリティ対処案がサービスに及ぼす影響を評価する対処案評価部と、
前記セキュリティ対処案の評価結果を出力する評価結果出力部と、
を有するセキュリティ対処案評価装置。
前記対処案評価部は、予め定義されたセキュリティポリシを参照して、サービスへの影響を評価する、請求項３に記載のセキュリティ対処案評価装置。
ネットワーク内で発生した攻撃に対するセキュリティ対処案を設計するセキュリティ対処案設計装置におけるセキュリティ対処案設計方法であって、
攻撃を検知する攻撃検知装置から、攻撃の検知情報を受信するステップと、
攻撃に対するセキュリティ対処案を作成するための対処テンプレートを記憶する対処テンプレート記憶部から、前記検知情報に対応する対処テンプレートを抽出し、当該抽出された対処テンプレート及び前記検知情報に基づいてセキュリティ対処案を作成し、ネットワーク内の機器情報及びトポロジ情報を参照して、当該作成されたセキュリティ対処案の中から実施可能なセキュリティ対処案を抽出するステップと、
前記抽出されたセキュリティ対処案を出力するステップと、
を有するセキュリティ対処案設計方法。
ネットワーク内で発生した攻撃に対するセキュリティ対処案を評価するセキュリティ対処案評価装置におけるセキュリティ対処案評価方法であって、
ネットワーク内の機器情報及びトポロジ情報を参照して、入力されたセキュリティ対処案がサービスに及ぼす影響を評価するステップと、
前記セキュリティ対処案の評価結果を出力するステップと、
を有するセキュリティ対処案評価方法。