JP2019004249A - ブラックリスト設定装置、ブラックリスト設定方法およびブラックリスト設定プログラム - Google Patents

Abstract

【課題】効率よくサイバー攻撃を検知する。【解決手段】ブラックリスト設定装置１０は、インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得し、取得されたサイバー攻撃の情報から、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する。そして、ブラックリスト設定装置１０は、算出された攻撃頻度に基づいて、各攻撃元ＩＰアドレスについて、現在から所定時間後の攻撃頻度を予測し、予測された攻撃頻度に応じて、ネットワーク機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する。【選択図】図１

Description

本発明は、ブラックリスト設定装置、ブラックリスト設定方法およびブラックリスト設定プログラムに関する。

従来、インターネット上で観測したサイバー攻撃の情報をもとに生成したブラックリストをファイアウォール機器等のネットワーク機器に設定することで、ネットワーク機器器によるサイバー攻撃を検知する技術が知られている。

また、ファイアウォール機器等のネットワーク機器には、設定可能なルール数が予め決まっているが、サイバー攻撃は増加傾向にあるため、既知の攻撃元ＩＰアドレスの数は一般的なファイアウォール機器に設定可能なルール数を超えている。このため、例えば、一定期間において攻撃頻度が高かったＩＰアドレスを選択してブラックリストに設定する方法が知られている。

小山高明他、「グローバルな脅威情報基盤を用いたセキュリティオーケストレーションの実現」、ＮＴＴ技術ジャーナル 2015.10、pp.23-26.

しかしながら、従来の技術では、効率よくサイバー攻撃を検知することができない場合があるという課題があった。例えば、一定期間において攻撃頻度が高かったＩＰアドレスを選択してブラックリストに設定する方法では、サイバー攻撃の攻撃頻度が同一攻撃元ＩＰアドレスであっても常に一定ではないため、防御効果に偏りが生じる場合があった。

上述した課題を解決し、目的を達成するために、本発明のブラックリスト設定装置は、インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得する取得部と、前記取得部によって取得されたサイバー攻撃の情報から、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する算出部と、前記算出部によって算出された攻撃頻度に基づいて、各攻撃元ＩＰアドレスについて、現在から所定時間後の攻撃頻度を予測する予測部と、前記予測部によって予測された攻撃頻度に応じて、ネットワーク機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する選択部とを備えることを特徴とする。

また、本発明のブラックリスト設定方法は、ブラックリスト設定装置によって実行されるブラックリスト設定方法であって、インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得する取得工程と、前記取得工程によって取得されたサイバー攻撃の情報から、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する算出工程と、前記算出工程によって算出された攻撃頻度に基づいて、各攻撃元ＩＰアドレスについて、現在から所定時間後の攻撃頻度を予測する予測工程と、前記予測工程によって予測された攻撃頻度に応じて、ネットワーク機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する選択工程とを含んだことを特徴とする。

また、本発明のブラックリスト設定プログラムは、インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得する取得ステップと、前記取得ステップによって取得されたサイバー攻撃の情報から、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する算出ステップと、前記算出ステップによって算出された攻撃頻度に基づいて、各攻撃元ＩＰアドレスについて、現在から所定時間後の攻撃頻度を予測する予測ステップと、前記予測ステップによって予測された攻撃頻度に応じて、ネットワーク機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する選択ステップとをコンピュータに実行させることを特徴とする。

本発明によれば、効率よくサイバー攻撃を検知することができるという効果を奏する。

図１は、第一の実施の形態に係るブラックリスト設定装置の構成を示すブロック図である。 図２は、攻撃情報記憶部に記憶される情報の一例を示す図である。 図３は、予測情報記憶部に記憶される情報の一例を示す図である。 図４は、各攻撃元ＩＰアドレスの攻撃頻度を予測する処理例を説明する図である。 図５は、攻撃頻度に応じて、ファイアウォール機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する処理例を説明する図である。 図６は、第一の実施の形態に係るブラックリスト設定装置による処理を説明するフローチャートである。 図７は、ブラックリスト設定プログラムを実行するコンピュータを示す図である。

以下に、本願に係るブラックリスト設定装置、ブラックリスト設定方法およびブラックリスト設定プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係るブラックリスト設定装置、ブラックリスト設定方法およびブラックリスト設定プログラムが限定されるものではない。

［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係るブラックリスト設定装置の構成、通信システムにおける全体の処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。

［ブラックリスト設定装置の構成］
図１を用いて、第一の実施の形態に係るブラックリスト設定装置１０の構成を説明する。図１は、第一の実施の形態に係るブラックリスト設定装置の構成を示すブロック図である。図１に示すように、このブラックリスト設定装置１０は、通信処理部１１、制御部１２および記憶部１３を有する。以下にこれらの各部の処理を説明する。

通信処理部１１は、インターネット上におけるサイバー攻撃を観測する外部の観測装置や、ファイアウォール機器等のネットワーク機器との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を観測装置から受信する。また、例えば、通信処理部１１は、ネットワーク機器のブラックリストに設定する攻撃元ＩＰアドレスをファイアウォール機器に送信する。

また、記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、攻撃情報記憶部１３ａおよび予測情報記憶部１３ｂを有する。例えば、記憶部１３は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

攻撃情報記憶部１３ａは、インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を記憶する。例えば、攻撃情報記憶部１３ａは、図２に例示するように、サイバー攻撃が観測された「時刻」と、インターネット上で観測された「攻撃元ＩＰアドレス」とを対応付けて記憶する。図２は、攻撃情報記憶部に記憶される情報の一例を示す図である。

予測情報記憶部１３ｂは、各攻撃元ＩＰアドレスについて、現在から所定時間後の攻撃頻度をタイムスロット（ＴＳ）ごとに記憶する。なお、以下では、攻撃頻度として、単位時間当たりの攻撃回数を記憶する場合を説明するが、攻撃回数に代えて攻撃時間を記憶するようにしてもよい。なお、タイムスロットの時間幅として、例えば「１時間」と設定されている場合を例に以下では説明するが、これに限定されるものではなく、例えば、「１日」や「１週間」等と設定してもよい。

例えば、予測情報記憶部１３ｂは、図３に例示するように、各攻撃元ＩＰアドレス「ＩＰ１」、「ＩＰ２」、「ＩＰ３」、「ＩＰ４」・・・について、タイムスロット（ＴＳ１〜ＴＳ３）ごとに攻撃頻度を記憶する。図３は、予測情報記憶部に記憶される情報の一例を示す図である。図３の例を挙げて説明すると、予測情報記憶部１３ｂは、タイムスロット「ＴＳ１」において、攻撃元ＩＰアドレス「ＩＰ１」の攻撃頻度として「５」を記憶し、攻撃元ＩＰアドレス「ＩＰ２」の攻撃頻度として「７」を記憶し、攻撃元ＩＰアドレス「ＩＰ３」、「ＩＰ４」の攻撃頻度として「０」を記憶する。

制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、取得部１２ａ、算出部１２ｂ、予測部１２ｃおよび選択部１２ｄを有する。

取得部１２ａは、インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得する。例えば、取得部１２ａは、インターネット上におけるサイバー攻撃を観測する外部の観測装置から、攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得し、攻撃情報記憶部１３ａに格納する。また、取得部１２ａは、サイバー攻撃の情報を取得するタイミングとして、例えば、所定時間間隔であってもよいし、ユーザの指示を受け付けた際であってもよいし、所定の条件を満たした際であってもよい。

算出部１２ｂは、取得部１２ａによって取得されたサイバー攻撃の情報から、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する。例えば、算出部１２ｂは、攻撃情報記憶部１３ａからサイバー攻撃の情報を読み出して、攻撃元ＩＰアドレスごとに、単位時間当たりの攻撃回数を集計することで、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する。

予測部１２ｃは、算出部１２ｂによって算出された攻撃頻度に基づいて、各攻撃元ＩＰアドレスについて、現在から所定時間後の攻撃頻度を予測する。また、予測部１２ｃは、予測した攻撃頻度を予測情報記憶部１３ｂに格納する。

例えば、予測部１２ｃは、攻撃元ＩＰアドレス毎の時系列の攻撃頻度から、各攻撃元ＩＰアドレスの攻撃頻度について、時間により攻撃頻度がほぼ変化しない「定常状態」、直近に攻撃頻度が大幅に増加して今後も攻撃が継続すると予測される「活動状態」、直近に攻撃頻度が減少して今後もその状態が継続されると予測される「休眠状態」、平日のみ休日のみ等特定の周期変動パターンで変化している「周期変動状態」、前述の４つの状態のいずれにも分類できない「不定形」のうち、いずれかの攻撃パターンに分類する。なお、攻撃パターンは上記の５つに限定されるものではない。

そして、予測部１２ｃは、分類した攻撃パターンに応じて、攻撃頻度を予測する。例えば、予測部１２ｃは、攻撃パターンが「定常状態」に分類された場合には、今後の攻撃頻度も変化がないものとして予測する。また、予測部１２ｃは、攻撃パターンが「活動状態」に分類された場合には、増加した攻撃頻度が継続するものとして予測する。また、予測部１２ｃは、攻撃パターンが「休眠状態」に分類された場合には、減少した攻撃頻度が継続するものとして予測する。また、予測部１２ｃは、攻撃パターンが「周期変動状態」に分類された場合には、攻撃頻度が変動する周期を解析して未来の攻撃頻度を予測する。なお、予測部１２ｃは、攻撃パターンが「不定形」に分類された場合には、例えば、手動により未来の攻撃頻度を予測するようにしてもよいし、既知の予測アルゴリズムを用いて予測するようにしてもよい。

ここで、図４を用いて、各攻撃元ＩＰアドレスの攻撃頻度を予測する処理を説明する。図４は、各攻撃元ＩＰアドレスの攻撃頻度を予測する処理例を説明する図である。図４の例では、攻撃元ＩＰアドレス「ＩＰ１」〜「ＩＰ４」それぞれについて、単位時間当たりの攻撃回数が集計されることで、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出されているものとする。また、図４に示すように、攻撃元ＩＰアドレス「ＩＰ１」の観測期間における攻撃数の総数が「１００」であり、攻撃元ＩＰアドレス「ＩＰ２」の観測期間における攻撃数の総数が「１０」であり、攻撃元ＩＰアドレス「ＩＰ３」の観測期間における攻撃数の総数が「１５０」であり、攻撃元ＩＰアドレス「ＩＰ４」の観測期間における攻撃数の総数が「３０」である。

そして、図４の例では、予測部１２ｃは、攻撃元ＩＰアドレス「ＩＰ１」の攻撃頻度について、攻撃パターンを「定常状態」に分類して、今後の攻撃頻度も直近のものと比べて変化がないものとして「ＴＳ１」〜「ＴＳ３」の予測期間の攻撃頻度を予測する。また、予測部１２ｃは、攻撃元ＩＰアドレス「ＩＰ２」の攻撃頻度について、攻撃パターンを「活動状態」に分類して、増加した攻撃頻度が継続するものとして「ＴＳ１」〜「ＴＳ３」の予測期間の攻撃頻度を予測する。

また、予測部１２ｃは、攻撃元ＩＰアドレス「ＩＰ３」の攻撃頻度について、攻撃パターンを「休眠状態」に分類して、減少した攻撃頻度が継続するものとして「ＴＳ１」〜「ＴＳ３」の予測期間の攻撃頻度を予測する。また、予測部１２ｃは、攻撃元ＩＰアドレス「ＩＰ４」の攻撃頻度について、攻撃パターンを「周期変動状態」に分類して、攻撃頻度が変動する周期を解析して「ＴＳ１」〜「ＴＳ３」の予測期間の攻撃頻度を予測する。

選択部１２ｄは、予測部１２ｃによって予測された攻撃頻度に応じて、ファイアウォール機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する。具体的には、選択部１２ｄは、予測情報記憶部１３ｂから予測部１２ｃによって予測された各攻撃元ＩＰアドレスの攻撃頻度を読み出す。そして、選択部１２ｄは、複数の攻撃元ＩＰアドレスのうち、予測部１２ｃによって予測された攻撃頻度が多い攻撃元ＩＰアドレスから順に、ファイアウォール機器のブラックリストに設定可能な数だけ選択する。

ここで、図５を用いて、攻撃頻度に応じて、ファイアウォール機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する処理を説明する。図５は、攻撃頻度に応じて、ファイアウォール機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する処理例を説明する図である。

図５の例では、ファイアウォール機器（ＦＷ機器）２０のブラックリストに設定可能な攻撃元ＩＰアドレスが「２」であるものとする。図５に示すように、「ＴＳ１」の予測期間において予測された攻撃頻度が、攻撃元ＩＰアドレス「ＩＰ１」については「５」であり、攻撃元ＩＰアドレス「ＩＰ２」については「７」であり、攻撃元ＩＰアドレス「ＩＰ３」については「０」であり、攻撃元ＩＰアドレス「ＩＰ４」については「０」である。この場合には、選択部１２ｄは、攻撃頻度の多かった、攻撃元ＩＰアドレス「ＩＰ２」および攻撃元ＩＰアドレス「ＩＰ１」を選択し、実際にＴＳ１の期間になった際にはＦＷ機器２０のブラックリストに設定する。

また、「ＴＳ２」の予測期間において予測された攻撃頻度が、攻撃元ＩＰアドレス「ＩＰ１」については「５」であり、攻撃元ＩＰアドレス「ＩＰ２」については「７」であり、攻撃元ＩＰアドレス「ＩＰ３」については「０」であり、攻撃元ＩＰアドレス「ＩＰ４」については「１０」である。この場合には、選択部１２ｄは、攻撃頻度の多かった、攻撃元ＩＰアドレス「ＩＰ４」および攻撃元ＩＰアドレス「ＩＰ２」を選択し、実際にＴＳ２の期間になった際にはＦＷ機器２０のブラックリストに設定する。

また、「ＴＳ３」の予測期間において予測された攻撃頻度が、攻撃元ＩＰアドレス「ＩＰ１」については「５」であり、攻撃元ＩＰアドレス「ＩＰ２」については「７」であり、攻撃元ＩＰアドレス「ＩＰ３」については「０」であり、攻撃元ＩＰアドレス「ＩＰ４」については「０」である。この場合には、選択部１２ｄは、攻撃頻度の多かった、攻撃元ＩＰアドレス「ＩＰ２」および攻撃元ＩＰアドレス「ＩＰ１」を選択し、実際にＴＳ３の期間になった際にはＦＷ機器２０のブラックリストに設定する。

このように、ブラックリスト設定装置１０は、定期的にブラックリストを書き換えることにより、ブラックリスト設定可能数が有限であるファイアウォール機器において検知率を最大化することが可能である。

［ブラックリスト設定装置の処理の流れ］
次に、図６を用いて、第一の実施の形態に係るブラックリスト設定装置１０の処理の流れを説明する。図６は、第一の実施の形態に係るブラックリスト設定装置による処理を説明するフローチャートである。なお、下記の処理は、所定時間間隔で定期的に実行されてもよいし、ユーザの指示を受け付けたことをトリガとして実行してもよいし、所定の条件を満たしたことをトリガとして実行してもよい。

図６に示すように、ブラックリスト設定装置１０の取得部１２ａは、インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得する（ステップＳ１０１）。例えば、取得部１２ａは、インターネット上におけるサイバー攻撃を観測する外部の観測装置から、攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得し、攻撃情報記憶部１３ａに格納する。

そして、算出部１２ｂは、取得部１２ａによって取得されたサイバー攻撃の情報から、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する（ステップＳ１０２）。例えば、算出部１２ｂは、攻撃情報記憶部１３ａからサイバー攻撃の情報を読み出して、攻撃元ＩＰアドレスごとに、単位時間当たりの攻撃回数を集計することで、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する。

続いて、予測部１２ｃは、算出部１２ｂによって算出された攻撃頻度に基づいて、各攻撃元ＩＰアドレスについて、現在から所定時間後の攻撃頻度を予測する（ステップＳ１０３）。例えば、予測部１２ｃは、攻撃元ＩＰアドレス毎の時系列の攻撃頻度から、各攻撃元ＩＰアドレスの攻撃頻度について、「定常状態」、「活動状態」、「休眠状態」、「周期変動状態」、「不定形」のうち、いずれかの攻撃パターンに分類し、分類した攻撃パターンに応じて、攻撃頻度を予測する。

そして、選択部１２ｄは、予測部１２ｃによって予測された攻撃頻度に応じて、ファイアウォール機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する（ステップＳ１０４）。具体的には、選択部１２ｄは、予測情報記憶部１３ｂから予測部１２ｃによって予測された各攻撃元ＩＰアドレスの攻撃頻度を読み出す。そして、選択部１２ｄは、複数の攻撃元ＩＰアドレスのうち、予測部１２ｃによって予測された攻撃頻度が多い攻撃元ＩＰアドレスから順に、ファイアウォール機器のブラックリストに設定可能な数だけ選択する。なお、選択部１２ｄは、現在時刻が予測期間に相当する時刻になった際に、ＦＷ機器２０のブラックリストに選択した攻撃元ＩＰアドレスを設定する。

［第一の実施の形態の効果］
このように、第一の実施の形態に係るブラックリスト設定装置１０は、インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得し、取得されたサイバー攻撃の情報から、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する。そして、ブラックリスト設定装置１０は、算出された攻撃頻度に基づいて、各攻撃元ＩＰアドレスについて、現在から所定時間後の攻撃頻度を予測し、予測された攻撃頻度に応じて、ネットワーク機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する。このため、ブラックリスト設定装置１０は、効率よくサイバー攻撃を検知することが可能である。

つまり、ブラックリスト設定装置１０は、攻撃元ＩＰアドレスごとに、攻撃頻度を時系列に観察し、そこから将来の攻撃頻度を予測し、攻撃頻度の多い攻撃元ＩＰアドレスから、ファイアウォール機器のブラックリストに登録し、優先的に攻撃元ＩＰアドレスをブロックする。このため、ファイアウォール機器に設定可能な数まで攻撃元ＩＰアドレスの設定数を減らしつつ、検知漏れを最小限に抑えることが可能である。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、複数の装置が、取得部１２ａ、算出部１２ｂ、予測部１２ｃおよび選択部１２ｄの全部または一部を有していてもよい。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
図７は、ブラックリスト設定プログラムを実行するコンピュータを示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ（Central Processing Unit）１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ブラックリスト設定装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、装置における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク、ＷＡＮを介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０ ブラックリスト設定装置
１１ 通信処理部
１２ 制御部
１２ａ 取得部
１２ｂ 算出部
１２ｃ 予測部
１２ｄ 選択部
１３ 記憶部
１３ａ 攻撃情報記憶部
１３ｂ 予測情報記憶部
２０ ＦＷ機器

Claims (5)

1. インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得する取得部と、
   前記取得部によって取得されたサイバー攻撃の情報から、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する算出部と、
   前記算出部によって算出された攻撃頻度に基づいて、各攻撃元ＩＰアドレスについて、現在から所定時間後の攻撃頻度を予測する予測部と、
   前記予測部によって予測された攻撃頻度に応じて、ネットワーク機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する選択部と
   を備えることを特徴とするブラックリスト設定装置。
2. 前記予測部は、前記攻撃元ＩＰアドレス毎の時系列の攻撃頻度から、各攻撃元ＩＰアドレスの攻撃頻度について、定常状態、活動状態、休眠状態、周期変動状態、不定形のうち、いずれかの攻撃パターンに分類し、分類した攻撃パターンに応じて、前記攻撃頻度を予測することを特徴とする請求項１に記載のブラックリスト設定装置。
3. 前記選択部は、複数の攻撃元ＩＰアドレスのうち、前記予測部によって予測された攻撃頻度が多い攻撃元ＩＰアドレスから順に、前記ネットワーク機器のブラックリストに設定可能な数だけ選択することを特徴とする請求項１に記載のブラックリスト設定装置。
4. ブラックリスト設定装置によって実行されるブラックリスト設定方法であって、
   インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得する取得工程と、
   前記取得工程によって取得されたサイバー攻撃の情報から、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する算出工程と、
   前記算出工程によって算出された攻撃頻度に基づいて、各攻撃元ＩＰアドレスについて、現在から所定時間後の攻撃頻度を予測する予測工程と、
   前記予測工程によって予測された攻撃頻度に応じて、ネットワーク機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する選択工程と
   を含んだことを特徴とするブラックリスト設定方法。
5. インターネット上で観測された攻撃元ＩＰアドレスからのサイバー攻撃の情報を取得する取得ステップと、
   前記取得ステップによって取得されたサイバー攻撃の情報から、攻撃元ＩＰアドレス毎の時系列の攻撃頻度を算出する算出ステップと、
   前記算出ステップによって算出された攻撃頻度に基づいて、各攻撃元ＩＰアドレスについて、現在から所定時間後の攻撃頻度を予測する予測ステップと、
   前記予測ステップによって予測された攻撃頻度に応じて、ネットワーク機器のブラックリストに設定する攻撃元ＩＰアドレスを選択する選択ステップと
   をコンピュータに実行させるブラックリスト設定プログラム。

Images