JP2019097133A - 通信監視システム及び通信監視方法 - Google Patents

Abstract

【課題】攻撃者の挙動を把握することができる通信監視システム及び通信監視方法を提供する。【解決手段】実施形態における通信監視システム１００は、マルウェア３１の特徴に基づき、実ネットワーク２を模した仮想マシン２１ａ及び仮想ネットワーク２１ｂを有する並行ネットワーク２１を形成する環境構築手段（ステップＳ１２０）と、前記並行ネットワーク２１上で前記マルウェア３１を実行する実行手段（ステップＳ１３０）と、前記マルウェア３１を経由して前記並行ネットワーク２１に侵入した攻撃者の挙動履歴を取得する挙動解析手段（ステップＳ１４０）と、を備えることを特徴とする。【選択図】図１

Description

本発明は、サイバー攻撃への対策を支援する通信監視システム及び通信監視方法に関するものである。

近年、標的型攻撃に代表される政府や企業等の組織内のネットワークを狙うサイバー攻撃が社会問題となっている。このようなサイバー攻撃への対策技術を確立するためには、例えばセキュリティベンダが公開するレポート等から詳細な知見を得る方法がある。しかし、攻撃に関連した各種ログ等は、機密情報が含まれることが多く、その詳細が組織外に公開されることは稀である。上記の他、例えばサイバー攻撃で用いられたマルウェアを、仮想マシン、ハニーポット、サンドボックス機器等で解析する方法がある。このような方法として、例えば特許文献１記載の攻撃情報管理システム、及び特許文献２記載の通信監視システム等が提案されている。

特許文献１では、攻撃情報を受信し、攻撃情報とその攻撃情報を収集した囮システムの種別との組合せを攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを攻撃情報分析部に問合せ、攻撃情報をクラスタリングし、攻撃情報の所属するクラスタを示すクラスタ識別子を攻撃情報管理テーブルに記憶し、クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルにおいて、クラスタリングの結果、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、クラスタ管理テーブルを変更する攻撃情報管理システムが開示されている。

特許文献２では、受信したパケットのペイロードのパターンが登録されている攻撃パターンと一致する、類似するかにより新たに攻撃パターン、攻撃応答パターンを登録する通信監視装置が開示されている。また、仮想ホスト装置では、受信したパケットからペイロードを抽出し、ペイロードのパターンが攻撃応答パターンに一致する場合は擬似応答パケットを生成する旨が開示されている。また、類似する場合はマスキングルールを適用してマスキングを行い、マスキング後のパターンが攻撃応答パターンに一致する場合は、擬似応答パケットを生成する。また、類似しない場合、一致しない場合は攻撃パターンに追加する。

特開２０１３−８５１２４号公報 特開２０１３−９１８５号公報

しかし、上述した方法では、サイバー攻撃の表層的な面しか得られず、攻撃者が組織内のネットワークに侵入した後の活動（挙動）までは把握することができない、という課題が挙げられる。このため、サイバー攻撃への対策技術を開発する際に、実際の攻撃に基づいたデータセットを得られず、開発の効果を検証することが難しい。この点、特許文献１及び特許文献２の開示技術においても、攻撃者の挙動を把握することができない。

そこで本発明は、上述した問題点に鑑みて案出されたものであり、その目的とするところは、攻撃者の挙動を把握することができる通信監視システム及び通信監視方法を提供することにある。

本発明者らは、上述した問題点を解決するために、マルウェアの特徴に基づき、実ネットワークを模した並行ネットワークを形成する環境構築手段と、マルウェアを経由して前記並行ネットワークに侵入した攻撃者の挙動履歴を出力する挙動解析手段と、を備え、サイバー攻撃への対策を支援する通信監視システム及び通信監視方法を発明した。

請求項１に記載の通信監視システムは、サイバー攻撃への対策を支援する通信監視システムであって、マルウェアの特徴に基づき、実ネットワークを模した仮想マシン及び仮想ネットワークを有する並行ネットワークを形成する環境構築手段と、前記並行ネットワーク上で前記マルウェアを実行する実行手段と、前記マルウェアを経由して前記並行ネットワークに侵入した攻撃者の挙動履歴を取得する挙動解析手段と、を備えることを特徴とする。

請求項２に記載の通信監視システムは、請求項１において、前記環境構築手段は、前記挙動履歴に基づき、前記並行ネットワークを更新することを特徴とする。

請求項３に記載の通信監視システムは、請求項１又は２において、前記挙動解析手段は、前記仮想ネットワークから前記攻撃者の挙動に対応するネットワークトラフィックを取得する第１取得手段と、前記仮想マシンから前記攻撃者の挙動に対応するホスト情報を取得する第２取得手段と、に基づき、前記挙動履歴を取得することを特徴とする。

請求項４に記載の通信監視システムは、請求項１〜３の何れかにおいて、前記環境構築手段は、前記実ネットワークと、前記並行ネットワークとを接続するワームホールを形成し、前記挙動解析手段は、前記実ネットワークから前記ワームホールを介して前記並行ネットワークに侵入した前記攻撃者の前記挙動履歴を取得することを特徴とする。

請求項５に記載の通信監視システムは、請求項４において、前記ワームホールは、前記並行ネットワーク内に配置され、ＩＤＳ（Intrusion Detection System）又はＩＰＳ（Intrusion Prevention System）を有するゲート部と、前記実ネットワーク内に配置されたプロキシ部と、を有することを特徴とする。

請求項６に記載の通信監視方法は、サイバー攻撃への対策を支援する通信監視方法であって、マルウェアの特徴に基づき、実ネットワークを模した仮想マシン及び仮想ネットワークを有する並行ネットワークを形成する環境構築ステップと、前記並行ネットワーク上で前記マルウェアを実行する実行ステップと、前記マルウェアを経由して前記並行ネットワークに侵入した攻撃者の挙動履歴を取得する挙動解析ステップと、を備えることを特徴とする。

上述した構成からなる本発明によれば、マルウェアを経由して並行ネットワークに侵入した攻撃者の挙動履歴を取得する挙動解析手段を備える。このため、攻撃者が実ネットワーク（組織内のネットワーク）に侵入した場合の挙動を把握することができる。これにより、サイバー攻撃への対策技術を開発する際に、実際の攻撃に基づいたデータセットを得ることができ、開発の効果を検証することが可能となる。

また、上述した構成からなる本発明によれば、環境構築手段は、マルウェアの特徴に基づき、並行ネットワークを形成する。また、実行手段は、並行ネットワーク上でマルウェアを実行する。このため、マルウェアの特徴に対応した並行ネットワーク上で、攻撃者の挙動履歴取得することができる。これにより、実ネットワークに影響を与えることなく、攻撃者の挙動を把握することが可能となる。

また、上述した構成からなる本発明によれば、環境構築手段は、挙動履歴に基づき、並行ネットワークを更新する。このため、並行ネットワークを実ネットワークと同様な利用状況を演出することができる。これにより、攻撃者が並行ネットワークを実ネットワークであると錯覚させることができ、攻撃者の挙動履歴を取得できる期間を長くすることが可能となる。

また、上述した構成からなる本発明によれば、挙動解析手段は、ネットワークトラフィックと、ホスト内部情報とに基づき、挙動履歴を取得する。このため、攻撃者の挙動の特徴を、予め分類して把握することができる。これにより、膨大な挙動履歴を全て閲覧する必要が無くなり、効率良く開発を進めることが可能となる。また、ネットワークトラフィックと、ホスト内部情報とを組み合わせた挙動を把握することができる。これにより、攻撃者の挙動における解析結果の精度を向上させることが可能となる。

また、上述した構成からなる本発明によれば、挙動解析手段は、実ネットワークからワームホールを介して並行ネットワークに侵入した攻撃者の挙動履歴を取得する。このため、実ネットワークと並行ネットワークとの判別を困難にすることができる。これにより、攻撃者が並行ネットワークを実ネットワークであると容易に錯覚させることができ、攻撃者の挙動履歴を取得できる期間をさらに長くすることが可能となる。

また、上述した構成からなる本発明によれば、ゲート部は、ＩＤＳ又はＩＰＳを有する。このため、攻撃者の挙動履歴を取得中に、実ネットワークやインターネット等に対して影響を及ぼす恐れがある場合、攻撃者の活動を遮断することができる。これにより、実ネットワークやインターネットの安全性を確保することが可能となる。

本発明が適用される通信監視システムの一例を示す模式図である。 通信監視装置の構成の一例を示す模式図である。 図３（ａ）は、並行ネットワークの一例を示す模式図であり、図３（ｂ）は、ワームホールの一例を示す模式図である。 仮想マシンテンプレートの一例を示す図である。 挙動解析部の一例を示す模式図である。 本発明が適用される通信監視システムの動作の一例を示すフローチャートである。

（実施形態：通信監視システム１００の構成）
以下、本発明の実施形態としての通信監視システム１００について詳細に説明する。図１は、本実施形態における通信監視システム１００の一例を示す模式図である。

通信監視システム１００は、主にサイバー攻撃への対策を支援するために用いられる。図１に示すように、通信監視システム１００は、通信監視装置１を備える。通信監視システム１００では、組織内のネットワーク等のような実際のネットワーク（以下、実ネットワーク２）を模したネットワーク環境（以下、並行ネットワーク２１）が、通信監視装置１によって形成される。通信監視システム１００では、並行ネットワーク２１に対してサイバー攻撃を実行する実行者の挙動履歴を取得することができる。このため、挙動履歴を用いて、攻撃者が実ネットワーク２に侵入した場合の挙動を把握することができる。

＜通信監視装置１＞
通信監視装置１は、インターネット４を介して、攻撃者の保有する攻撃者端末３、及び実ネットワーク２と接続される。通信監視装置１は、解析者ネットワーク６を介して、解析者の保有する解析者端末５と接続される。

図２は、通信監視装置１の構成の一例を示す模式図である。通信監視装置１として、パーソナルコンピュータ（ＰＣ）等の電子機器が用いられるほか、例えばウェブサーバ等により具現化されてもよい。通信監視装置１は、筐体１０と、ＣＰＵ１０１と、ＲＯＭ１０２と、ＲＡＭ１０３と、記憶部１０４と、Ｉ／Ｆ１０５〜１０７とを備える。各構成１０１〜１０７は、内部バス１１０により接続される。

ＣＰＵ（Central Processing Unit）１０１は、通信監視装置１全体を制御する。ＲＯＭ（Read Only Memory）１０２は、ＣＰＵ１０１の動作コードを格納する。ＲＡＭ（Random Access Memory）１０３は、ＣＰＵ１０１の動作時に使用される作業領域である。記憶部１０４は、攻撃者の挙動履歴等の各種情報が保存される。記憶部１０４としてデータ保存装置が用いられ、例えばＨＤＤ（Hard Disk Drive）、ＳＳＤ（solid state drive）等が用いられる。

Ｉ／Ｆ１０５は、インターネット４及び解析者ネットワーク６と接続するためのインターフェースであり、例えばＩ／Ｆ１０５を介して攻撃者端末３や解析者端末５との各種情報の送受信が行われる。例えば図１に示すように、Ｉ／Ｆ１０５は、第１Ｉ／Ｆ１０５ａと、第２Ｉ／Ｆ１０５ｂとを有し、第１Ｉ／Ｆ１０５ａは、インターネット４に接続され、第２Ｉ／Ｆ１０５ｂは、解析者ネットワーク６に接続される。

Ｉ／Ｆ１０６は、入力部分１０８との情報の送受信を行うためのインターフェースである。入力部分１０８として、例えばキーボードが用いられ、通信監視システム１００の管理者等は、入力部分１０８を介して、各種情報又は通信監視装置１の制御コマンド等を入力できる。Ｉ／Ｆ１０７は、出力部分１０９との各種情報の送受信を行うためのインターフェースである。出力部分１０９は、記憶部１０４に保存された各種情報、又は通信監視装置１の処理状況等を出力できる。出力部分１０９として、例えばディスプレイが用いられる。

通信監視装置１は、例えば図１に示すように、環境構築部１１と、挙動解析部１２と、解析結果データストア１３と、入出力部１４と、を機能として備える。なお、各機能１１〜１４は、ＣＰＵ１０１が、ＲＡＭ１０３を作業領域として、記憶部１０４等に保存されたプログラム（命令）を実行することにより実現される。

＜環境構築部１１＞
環境構築部１１は、実ネットワーク２を模した並行ネットワーク２１を形成する。環境構築部１１は、解析者が指定するマルウェア３１の特徴に基づき、並行ネットワーク２１を形成する。環境構築部１１は、例えば複数の並行ネットワーク２１を有するハイパーバイザ群２０を形成してもよい。

並行ネットワーク２１は、実ネットワーク２を模したネットワークを示す。並行ネットワーク２１は、例えば仮想マシン２１ａと、仮想ネットワーク２１ｂとを有し、並行ネットワーク２１のネットワークトポロジは、解析者自身で定義できる。

仮想マシン２１ａは、例えばWindows（登録商標）、Linux（登録商標）、ソフトウェアルータ等のＯＳ（Operating System）を有し、各仮想マシン２１ａでは、ＤＨＣＰ（Dynamic Host Configuration Protocol）、ＤＮＳ（Domain Name System）、ＡＤ（Active Directory）等のサービスが動作できる。仮想ネットワーク２１ｂは、各仮想マシン２１ａと接続され、例えば第１Ｉ／Ｆ１０５ａを介してインターネット４と接続される。

並行ネットワーク２１は、例えばVMware vSphere（登録商標）やvSphere Distributed Switch（登録商標）等を用いて構築され、例えばAlfonsを介して操作される。

環境構築部１１は、例えば図３（ａ）に示すように、予め記憶部１０４に記憶されたクラスターリポジトリを参照して、並行ネットワーク２１等を形成する。クラスターリポジトリは、仮想マシンテンプレートと、コンテンツテンプレートと、ネットワークテンプレートとを有する。

図４は、仮想マシンテンプレートの一例を示す。仮想マシンテンプレートは、ＯＳイメージとアプリケーションとを有する。例えば、"httpd"が導入されたＣｅｎｔＯＳ７（Community ENTerprise Operating System 7）や、"bind"が導入されたUbuntu （登録商標）16.04 LTSのイメージ等を有する。コンテンツテンプレートは、文章やメール、アプリケーションの設定のような並行ネットワーク２１等の模倣性を向上させるファイル群を有する。ネットワークテンプレートは、サブネットやそのＶＬＡＮ（Virtual Local Area Network）ＩＤといったネットワーク情報を有する。このようなクレスタ―リポジトリを参照することで、環境構築部１１は高精細な並行ネットワーク２１を形成することが可能となる。

環境構築部１１は、解析者が作成したレシピ５１に基づき、並行ネットワーク２１等を形成する。レシピ５１には、例えば"vlan"に対応する名称及びＶＬＡＮ ＩＤが記載される。レシピ５１には、例えば"node"に対応する並行ネットワーク２１上に設置する仮想マシン２１ａの設定（例えばＩＤやホスト名、ＯＳ、導入するアプリケーション、コンテンツ、又はネットワーク設定）が記載される。レシピ５１には、例えば"network"に対応する、上述したvlanの指定や、ＩＰアドレス（Internet Protocol address）、デフォルトゲートウェイ、ＤＮＳ等の情報が記載される。

環境構築部１１は、例えばコンテンツテンプレートを参照して、Microsoft（登録商標） Office（登録商標）文章、ＰＤＦ（Portable Document Format）ファイル、壁紙、ブックマーク、メール等を仮想マシン２１ａ内に設定できる。

なお、環境構築部１１は、並行ネットワーク２１等を再構築する際、部分的な変更により実行することができ、並行ネットワーク２１全体を取り壊す必要がない。例えば、解析者がインターネット４の接続にＨＴＴＰ（Hypertext Transfer Protocol）プロキシを使用しない場合は、プロキシサーバの停止及びソフトウェアルータの設定変更命令を投入するような簡易的な手法により、早急に解析者の要求を満たすことができる。

環境構築部１１は、例えば図３（ｂ）に示すように、実ネットワーク２と、並行ネットワーク２１とを接続するワームホール２２を形成してもよい。ワームホール２２を形成することで、実ネットワーク２を介して攻撃者端末３との通信を発生させることができ、実ネットワーク２と並行ネットワーク２１との判別を困難にすることができる。

ワームホール２２は、プロキシ部２２ａと、ゲート部２２ｂとを有する。プロキシ部２２ａは、実ネットワーク２上に配置される。ゲート部２２ｂは、並行ネットワーク２１上に配置される。このとき、インターネット４への接続のネットワークトラフィックは、ワームホール２２を介する。このため、攻撃者端末３には、実ネットワーク２から接続される。また、実ネットワーク２のＩＰアドレスやデフォルトゲートウェイ等の情報を、並行ネットワーク２１に設定できる。

ワームホール２２には、例えば多段ＮＡＴ（Network Address Translator）及びＶＰＮ（Virtual Private Network）が用いられる。多段ＮＡＴにはiptablesのPREROUTINGがゲート部２２ｂに、POSTROUTINGがプロキシ部２２ａにそれぞれ適用される。プロキシ部２２ａとゲート部２２ｂとの間は、ＯｐｅｎＶＰＮ（登録商標）を用いて接続される。このとき、プロキシ部２２ａ及びゲート部２２ｂは、並行ネットワーク２１のルータとして機能する。このため、ゲート部２２ｂではＴＴＬ（Time To Live）を合わせて詐称する。

ゲート部２２ｂは、ＩＤＳ（Intrusion Detection System）又はＩＰＳ（Intrusion Prevention System）を有し、例えばSnort（登録商標）及びiptablesが利用される。例えば並行ネットワーク２１上での解析中に発生する通信が、実ネットワーク２やインターネット４に対して影響を及ぼす可能性がある。一例として、ＤＯＳ（Denial of Service attack）攻撃やマルウェア３１の感染拡大が挙げられる。このとき、ゲート部２２ｂの有するＩＤＳ又はＩＰＳにより、並行ネットワーク２１から実ネットワーク２及びインターネット４への攻撃活動を検知及び遮断することができる。

また、ワームホール２２を形成することで、例えば仮想マシン２１ａは、実ネットワーク２のホストと接続されない設定をすることができる。これにより、実ネットワーク２のホストへの影響を防止することが可能となる。

＜挙動解析部１２＞
挙動解析部１２は、並行ネットワーク２１上でマルウェア３１を実行する。挙動解析部１２は、マルウェア３１を経由して並行ネットワーク２１に侵入した攻撃者の挙動履歴を取得する。

挙動解析部１２は、例えば図５に示すように、第１解析部１２ａと、第２解析部１２ｂとを有する。第１解析部１２ａは、仮想ネットワーク２１ｂから攻撃者の挙動に対応するネットワークトラフィックを取得する。第２解析部１２ｂは、仮想マシン２１ａから攻撃者の挙動に対応するホスト情報を取得する。挙動解析部１２は、ネットワークトラフィックと、ホスト情報とに基づき、挙動履歴を取得し、例えば挙動履歴がネットワークトラフィック及びホスト情報を含んでもよい。挙動解析部１２は、例えば並行ネットワーク２１から取得したネットワークトラフィック、ホスト情報、及びログに基づき、挙動履歴を取得してもよい。

例えば並行ネットワーク２１上の仮想マシン２１ａは、攻撃者端末３にインターネット４を介して特に制限無く接続できる。このため、第１解析部１２ａは、攻撃者端末３とマルウェア３１との間の通信、悪性ツールの追加ダウンロード、並行ネットワーク２１からのファイルアップロード等の履歴を、ネットワークトラフィックとして取得することができる。また、第１解析部１２ａは、並行ネットワーク２１内におけるドメインコントローラやファイルサーバ等を探索するような攻撃者の挙動を、ネットワークトラフィックとして取得することができる。

第１解析部１２ａは、並行ネットワーク２１に関する全てのネットワークトラフィックを、ネットワーク上の挙動として解析結果データストア１３に記憶させることができる。このうち、例えばＨＴＴＰ、ＤＮＳ、ＩＣＭＰ（Internet Control Message Protocol）等といった解析作業で利用する主要なプロトコルを要約する。このため、通信監視システム１００を用いた解析を行うとき、解析者が膨大なpcapファイル等を全て閲覧する必要がない。

第２解析部１２ｂは、並行ネットワーク２１上の仮想マシン２１ａ内部の情報を、ホスト情報として取得することができる。例えば仮想マシン２１ａがサーバホスト及びクライアントホストを有する場合、第２解析部１２ｂは各ホストにおけるホスト情報を取得することができる。

例えばLinux（登録商標）及びWindows Server（登録商標）が搭載されるサーバホストの場合、第２解析部１２ｂは、ＯＳ標準のログ収集機能を利用して、ホスト情報を取得することができる。また、例えばWindows（登録商標）が搭載されるクライアントホストの場合、エンドポイント対策製品を利用して、ホスト情報を取得することができる。この場合、クライアントホストの状態、例えば起動中プロセスのツリー構造、ソケットやファイルの生成等がホスト情報として取得される。第２解析部１２ｂは、ホスト情報を、ホスト上の挙動として解析結果データストア１３に記憶させることができ、ネットワーク上の挙動（ネットワークトラフィック）に対し、ＩＰアドレスやドメイン名で関連付けることができる。

＜入出力部１４＞
入出力部１４は、解析者端末５との各種通信に用いられるＵＩ（User Interface）を形成する。ＵＩは、例えばRuby on Rails（登録商標）により実装される。ＵＩを介して、並行ネットワーク２１上の仮想マシン２１ａの操作や挙動履歴を確認することができる。また、入出力部１４は、解析フローを自動化するためのＡＰＩ（Application Programming Interface）を有し、例えばＲＥＳＴ（REpresentational State Transfer）ful ＡＰＩが実装される。

＜実ネットワーク２＞
実ネットワーク２は、政府や企業等の組織において利用される実際のネットワークを示し、マシン２ａ及びネットワーク２ｂを有する。実ネットワーク２は、例えばプライベート及びグローバルＩＰアドレス、デフォルトゲートウェイ、ホスト上のアプリケーション、並びに文書を含む。

＜攻撃者端末３＞
攻撃者端末３は、並行ネットワーク２１内で実行されたマルウェア３１を経由して侵入する攻撃者が操作する端末を示す。そのため、攻撃者端末３からの信号に基づく挙動履歴が、通信監視システム１００により取得される。

＜インターネット４＞
インターネット４は、通信監視装置１、実ネットワーク２、及び攻撃者端末３を接続するために用いられる。インターネット４の種類や特徴は任意である。

＜解析者端末５＞
解析者端末５は、解析者が操作する端末を示し、例えばＰＣ等の電子機器が用いられる。解析者端末５は、通信監視装置１と接続され、入出力部１４で形成されたＵＩ等を介して、環境構築部１１又は挙動解析部１２の操作、挙動履歴等の取得等を実行する。例えば、解析者端末５は、上述した通信監視装置１の構成を備えてもよい。

＜解析者ネットワーク６＞
解析者ネットワーク６は、通信監視装置１及び解析者端末５を接続するために用いられる。解析者ネットワーク６として、例えばインターネット４と独立したネットワークが用いられるほか、インターネット４の一部が用いられてもよい。

（実施形態：通信監視システム１００の動作）
次に、本実施形態における通信監視システム１００の動作について詳細に説明する。図６は、本実施形態における通信監視システム１００の動作の一例を示すフローチャートである。

＜初期情報取得手段：ステップＳ１１０＞
先ず、並行ネットワーク２１を形成するための初期情報を取得する（初期情報取得手段：ステップＳ１１０）。環境構築部１１は、例えば解析者が作成したレシピ５１を取得する。レシピ５１は、サンドボックス機器やマルウェア共有サービス等で取得されたマルウェア３１の特徴や、実ネットワーク２の特徴に基づき作成される。

環境構築部１１は、入出力部１４を介して、解析者端末５からレシピ５１を取得するほか、例えば入力部分１０８を用いて入力されたレシピ５１を取得してもよい。

＜環境構築手段：ステップＳ１２０＞
次に、マルウェア３１の特徴に基づき、実ネットワーク２を模した仮想マシン２１ａ及び仮想ネットワーク２１ｂを有する並行ネットワーク２１を形成する（環境構築手段：ステップＳ１２０）。環境構築部１１は、例えばレシピ５１に記載されたマルウェア３１の特徴に基づき、並行ネットワーク２１を形成する。環境構築部１１は、例えばクラスターリポジトリを参照して、並行ネットワーク２１を形成する。

なお、環境構築部１１が形成する並行ネットワーク２１の数は任意であり、環境構築部１１は複数の並行ネットワーク２１を有するハイパーバイザ群２０を形成してもよい。また、並行ネットワーク２１の有する仮想マシン２１ａの数は、任意である。

＜ワームホール２２を形成：ステップＳ１２１＞
次に、例えば環境構築部１１は、実ネットワーク２と、並行ネットワーク２１とを接続するワームホール２２を形成してもよい（ステップＳ１２１）。環境構築部１１は、例えば実ネットワーク２上に形成されたプロキシ部２２ａと、並行ネットワーク２１上に形成されたゲート部２２ｂとを有するワームホール２２を形成する。ゲート部２２ｂは、例えばＩＤＳ又はＩＰＳを有してもよい。なお、環境構築部１１は、ワームホール２２を形成するか否かは任意である。

＜実行手段：ステップＳ１３０＞
次に、並行ネットワーク２１上でマルウェア３１を実行する（ステップＳ１３０）。挙動解析部１２は、例えばレシピ５１を作成する際に用いたマルウェア３１を、並行ネットワーク２１上で実行する。

＜挙動解析手段：ステップＳ１４０＞
次に、マルウェア３１を経由して並行ネットワーク２１に侵入した攻撃者の挙動履歴を取得する（ステップＳ１４０）。例えば、第１解析部１２ａは、仮想ネットワーク２１ｂから攻撃者の挙動に対応するネットワークトラフィックを取得し（第１取得手段）、仮想マシン２１ａから攻撃者の挙動に対応するホスト情報を取得する（第２取得手段）。挙動解析部１２は、ネットワークトラフィックと、ホスト情報とに基づき、履歴情報を取得してもよい。挙動解析部１２は、例えば挙動履歴を解析結果データストア１３に記憶させる。

なお、解析結果を取得したあと、再度環境構築手段（ステップＳ１２０）を実施してもよい。この場合、環境構築部１１は、挙動履歴に基づき並行ネットワーク２１を更新する。例えば環境構築部１１は、挙動履歴に基づくレシピ５１を解析者端末５から取得し、レシピ５１に基づき並行ネットワーク２１の少なくとも一部を更新する。これにより、並行ネットワーク２１において、実ネットワーク２と同様の状況を演出することができる。本実施形態によれば、挙動解析手段（ステップＳ１４０）と、環境構築手段（ステップＳ１２０）とを交互に繰り返すことができ、より実ネットワーク２に近い状況を、並行ネットワーク２１として構築することができる。

ステップＳ１２１においてワームホール２２が形成された場合、攻撃者端末３は、実ネットワーク２及びワームホール２２を介して、並行ネットワーク２１と接続される。このため、挙動解析部１２は、実ネットワーク２からワームホール２２を介して並行ネットワーク２１に侵入した攻撃者の挙動履歴を取得する。

例えば、ゲート部２２ｂがＩＤＳ又はＩＰＳを有する場合、攻撃者の挙動情報に基づき、実ネットワーク２等に対する攻撃者の活動を遮断することができる。

これにより、本実施形態における通信監視システム１００の動作が終了する。

本実施形態によれば、マルウェア３１を経由して並行ネットワーク２１に侵入した攻撃者の挙動履歴を取得する挙動解析手段（ステップＳ１４０）を備える。このため、攻撃者が組織内のネットワークに侵入した場合の挙動を把握することができる。これにより、サイバー攻撃への対策技術を開発する際に、実際の攻撃に基づいたデータセットを得ることができ、開発の効果を検証することが可能となる。

また、本実施形態によれば、環境構築手段（ステップＳ１２０）は、マルウェア３１の特徴に基づき、並行ネットワーク２１を形成する。また、実行手段（ステップＳ１３０）は、並行ネットワーク２１上でマルウェア３１を実行する。このため、マルウェア３１の特徴に対応した並行ネットワーク２１上で、攻撃者の挙動履歴取得することができる。これにより、実ネットワーク２に影響を与えることなく、攻撃者の挙動を把握することが可能となる。

また、本実施形態によれば、環境構築手段（ステップＳ１２０）は、挙動履歴に基づき、並行ネットワーク２１を更新する。このため、並行ネットワーク２１を実ネットワーク２と同様な利用状況を演出することができる。これにより、攻撃者が並行ネットワーク２１を実ネットワーク２であると錯覚させることができ、攻撃者の挙動履歴を取得できる期間を長くすることが可能となる。

また、本実施形態によれば、挙動解析手段（ステップＳ１４０）は、ネットワークトラフィックと、ホスト内部情報とに基づき、挙動履歴を取得する。このため、攻撃者の挙動の特徴を、予め分類して把握することができる。これにより、膨大な挙動履歴を全て閲覧する必要が無くなり、効率良く開発を進めることが可能となる。また、ネットワークトラフィックと、ホスト内部情報とを組み合わせた挙動を把握することができる。これにより、攻撃者の挙動における解析結果の精度を向上させることが可能となる。

また、本実施形態によれば、挙動解析手段（ステップＳ１４０）は、実ネットワーク２からワームホール２２を介して並行ネットワーク２１に侵入した攻撃者の挙動履歴を取得する。このため、実ネットワーク２と並行ネットワーク２１との判別を困難にすることができる。これにより、攻撃者が並行ネットワーク２１を実ネットワーク２であると容易に錯覚させることができ、攻撃者の挙動履歴を取得できる期間をさらに長くすることが可能となる。

また、本実施形態によれば、ゲート部２２ｂは、ＩＤＳ又はＩＰＳを有する。このため、攻撃者の挙動履歴を取得中に、実ネットワーク２やインターネット４等に対して影響を及ぼす恐れがある場合、攻撃者の活動を遮断することができる。これにより、実ネットワーク２やインターネット４の安全性を確保することが可能となる。

また、本実施形態における通信監視方法は、上述した通信監視装置１が実行する環境構築手段（環境構築ステップＳ１２０）と、実行手段（実行ステップＳ１３０）と、挙動解析手段（挙動解析ステップＳ１４０）とを備えることで、上述した内容と同様に、攻撃者が組織内のネットワークに侵入した場合の挙動を把握することができる。これにより、サイバー攻撃への対策技術を開発する際に、実際の攻撃に基づいたデータセットを得ることができ、開発の効果を検証することが可能となる。

１ ：通信監視装置
２ ：実ネットワーク
２ａ ：マシン
２ｂ ：ネットワーク
３ ：攻撃者端末
４ ：インターネット
５ ：解析者端末
６ ：解析者ネットワーク
１０ ：筐体
１１ ：環境構築部
１２ ：挙動解析部
１２ａ ：第１解析部
１２ｂ ：第２解析部
１３ ：解析結果データストア
１４ ：入出力部
２０ ：ハイパーバイザ群
２１ ：並行ネットワーク
２１ａ ：仮想マシン
２１ｂ ：仮想ネットワーク
２２ ：ワームホール
２２ａ ：プロキシ部
２２ｂ ：ゲート部
３１ ：マルウェア
５１ ：レシピ
１００ ：通信監視システム
１０１ ：ＣＰＵ
１０２ ：ＲＯＭ
１０３ ：ＲＡＭ
１０４ ：記憶部
１０５ ：Ｉ／Ｆ
１０５ａ ：第１Ｉ／Ｆ
１０５ｂ ：第２Ｉ／Ｆ
１０６ ：Ｉ／Ｆ
１０７ ：Ｉ／Ｆ
１０８ ：入力部分
１０９ ：出力部分
１１０ ：内部バス

Claims (6)

1. サイバー攻撃への対策を支援する通信監視システムであって、
   マルウェアの特徴に基づき、実ネットワークを模した仮想マシン及び仮想ネットワークを有する並行ネットワークを形成する環境構築手段と、
   前記並行ネットワーク上で前記マルウェアを実行する実行手段と、
   前記マルウェアを経由して前記並行ネットワークに侵入した攻撃者の挙動履歴を取得する挙動解析手段と、
   を備えることを特徴とする通信監視システム。
2. 前記環境構築手段は、前記挙動履歴に基づき、前記並行ネットワークを更新すること
   を特徴とする請求項１記載の通信監視システム。
3. 前記挙動解析手段は、
   前記仮想ネットワークから前記攻撃者の挙動に対応するネットワークトラフィックを取得する第１取得手段と、
   前記仮想マシンから前記攻撃者の挙動に対応するホスト情報を取得する第２取得手段と、
   に基づき、前記挙動履歴を取得すること
   を特徴とする請求項１又は２記載の通信監視システム。
4. 前記環境構築手段は、前記実ネットワークと、前記並行ネットワークとを接続するワームホールを形成し、
   前記挙動解析手段は、前記実ネットワークから前記ワームホールを介して前記並行ネットワークに侵入した前記攻撃者の前記挙動履歴を取得すること
   を特徴とする請求項１〜３の何れか１項記載の通信監視システム。
5. 前記ワームホールは、
   前記並行ネットワーク内に配置され、ＩＤＳ（Intrusion Detection System）又はＩＰＳ（Intrusion Prevention System）を有するゲート部と、
   前記実ネットワーク内に配置されたプロキシ部と、
   を有すること
   を特徴とする請求項４記載の通信監視システム。
6. サイバー攻撃への対策を支援する通信監視方法であって、
   マルウェアの特徴に基づき、実ネットワークを模した仮想マシン及び仮想ネットワークを有する並行ネットワークを形成する環境構築ステップと、
   前記並行ネットワーク上で前記マルウェアを実行する実行ステップと、
   前記マルウェアを経由して前記並行ネットワークに侵入した攻撃者の挙動履歴を取得する挙動解析ステップと、
   を備えることを特徴とする通信監視方法。

Images