JP2019536158A

JP2019536158A - 検知結果が有効であるかないかを検証する方法およびシステム

Info

Publication number: JP2019536158A
Application number: JP2019525866A
Authority: JP
Inventors: ユン，ジュホ; カ，ソンホ
Original assignee: Line Corp
Current assignee: Line Corp
Priority date: 2016-11-23
Filing date: 2016-11-23
Publication date: 2019-12-12
Anticipated expiration: 2036-11-23
Also published as: US11956264B2; JP6932779B2; US20190260797A1; WO2018097344A1

Abstract

検知結果が有効であるかないかを検証する方法およびシステムを提供する。有効であるかないかを検証する方法は、セキュリティ情報イベント管理（ＳｅｃｕｒｉｔｙＩｎｆｏｒｍａｔｉｏｎ＆ＥｖｅｎｔＭａｎａｇｅｍｅｎｔ：ＳＩＥＭ）サーバにおいて、複数のセキュリティサービスから検知されたイベントを受信し、受信された前記イベントを相関分析し、受信された前記イベントのうち予め設定された相関ルールに該当するイベントを分析対象のイベントとして決定することにより、前記セキュリティ情報イベント管理サーバから前記分析対象のイベントを受信して登録する工程と、前記複数のセキュリティサービスのうち登録された前記イベントに対応するセキュリティサービスから、登録された前記イベントのローデータを収集する工程と、収集された前記ローデータを分析し、登録された前記イベントにおける攻撃対象のネットワーク上の位置情報を取得する工程と、取得された前記位置情報に基づいて前記分析対象のイベントが有効であるかないかを判定する工程と、前記分析対象のイベントが有効でないと判定された場合、前記分析対象のイベントの例外処理メッセージを生成して前記セキュリティ情報イベント管理サーバに送信する工程と、を有する。

Description

以下の説明は、検知結果が有効であるかないかを検証する方法およびシステムに関する。

不正侵入検知システム（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ：ＩＤＳ）／不正侵入防止システム（ＩｎｔｒｕｓｉｏｎＰｒｅｖｅｎｔｉｏｎＳｙｓｔｅｍ：ＩＰＳ）は、ネットワーク上でワクチンと同じような役割をするものであって、ネットワーク上での攻撃を検知／防止するためのサービスである。このようなＩＤＳ／ＩＰＳは、保護しようとするシステムに印加されなかった行為や非正常的な挙動を検知し、検知した不正行為を区分し、その侵入をリアルタイムで防ぐ機能を行う。さらに、内部ネットワークの挙動を検知して記録しておき、異常状況が発生したときには即時にそれを把握し、不正行為を引き起こしたパケットを遮断して内部システムのセキュリティを実現する。このようなＩＤＳ／ＩＰＳは、一例として、複数のコンポーネントによって構成される。センサはセキュリティイベントを発生させ、コンソールは発生したイベントをモニタリングしてセンサを制御あるいは警戒（ａｌｅｒｔ）し、中央エンジンはセンサによって記録されたイベントをデータベースに記録したり、システム規則に基づいて受信したセキュリティイベントから警告を生成したりする。例えば、特許文献１は、相互協力的なマルチサーバによる侵入検知システムおよび方法、侵入検知統制システム、および方法について開示している。

なお、このような侵入検知システムを含む多様な異種のセキュリティサービスによって検知されてデータベースに記録された検知結果が有効であるかないかは、保護しようとするシステムのために配置された管制人員のように人間が直接検証しなければならない。例えば、管制センターの担当者が、同じ形態の検知結果に対する応答内容を確認する有効であるかないかの検証を行わなければならないのである。しかしながら、大部分の検知結果は、影響力のない検知結果を含んでいる。例えば、特定ページに対して、実際には攻撃されそうになったにも関わらず、サーバが要求されたページを見つけられずに４０４エラーメッセージを返す場合のように、実際には影響力のないサイトへの攻撃に対しても検知結果が生成および記録されてしまうことがある。この場合、管制人員は、このように影響力もない上に検知結果全体で大多数を占める検知結果に対しても、不必要とも言える検証作業を直接処理しなければならない。言い換えれば、すべての検知結果が有効であるかないかを人間が直接検証することは、極めて非効率的であるという問題を抱えている。

韓国公開特許第１０−２００９−００７６６１２号公報

セキュリティ動作と関連して検知されるイベントの影響力に応じて、有効であるかないかの検証の必要性が低い検知結果に対する有効であるかないかの確認を自動化することにより、不必要な資源の浪費を防ぐことができ、ネットワークを介した攻撃に対する対応の効率性を高めることができる、有効であるかないかを検証する方法およびシステムを提供する。

セキュリティ情報イベント管理（ＳｅｃｕｒｉｔｙＩｎｆｏｒｍａｔｉｏｎ＆ＥｖｅｎｔＭａｎａｇｅｍｅｎｔ：ＳＩＥＭ）サーバなどのセキュリティ管理サーバにおいて、複数のセキュリティサービスから検知されたイベントを受信し、受信された前記イベントを相関分析し、受信された前記イベントのうち予め設定された相関ルールに該当するイベントを分析対象のイベントとして決定することにより、前記セキュリティ管理サーバから前記分析対象のイベントを受信して登録する工程と、前記複数のセキュリティサービスのうち登録された前記イベントに対応するセキュリティサービスから、登録された前記イベントのロー（ｒａｗ）データを収集する工程と、収集された前記ローデータを分析し、登録された前記イベントにおける攻撃対象のネットワーク上の位置情報を取得する工程と、取得された前記位置情報に基づいて前記分析対象のイベントが有効であるかないかを判定する工程と、前記分析対象のイベントが有効でないと判定された場合、前記分析対象のイベントの例外処理メッセージを生成して前記セキュリティ管理サーバに送信する工程と、を有する、有効であるかないかを検証する方法を提供する。

セキュリティ管理サーバにおいて、複数のセキュリティサービスから検知されたイベントを受信し、受信された前記イベントを相関分析し、受信された前記イベントのうち予め設定された相関ルールに該当するイベントを分析対象のイベントとして決定することにより、前記セキュリティ管理サーバから前記分析対象のイベントを受信して登録する手段と、前記複数のセキュリティサービスのうち登録された前記イベントに対応するセキュリティサービスから、登録された前記イベントのローデータを収集する手段と、収集された前記ローデータを分析し、登録された前記イベントにおける攻撃対象のネットワーク上の位置情報を取得する手段と、取得された前記位置情報に基づいて前記分析対象のイベントが有効であるかないかを判定する手段と、前記分析対象のイベントが有効でないと判定された場合、前記分析対象のイベントの例外処理メッセージを生成して前記セキュリティ管理サーバに送信する手段と、を有する、有効であるかないかを検証するサーバを提供する。

セキュリティ動作と関連して検知されるイベントの影響力に応じて、有効であるかないかの検証の必要性が低い検知結果に対する有効であるかないかの確認を自動化することにより、不必要な資源の浪費を防ぐことができ、ネットワークを介した攻撃に対する対応の効率性を高めることができる。

本発明の一実施形態における、有効であるかないかを検証するシステムの全体構成の例を示した図である。本発明の一実施形態における、ＩＤＳ管理コンソールで検知されたイベントリストの例を示した図である。本発明の一実施形態における、ＩＤＳ管理コンソールで検知されたイベントに関する詳細情報の例を示した図である。本発明の一実施形態における、ＩＤＳ管理コンソールで検知されたイベントに関する実際のネットワークパケット情報の例を示した図である。本発明の一実施形態における、セキュリティ情報イベント管理サーバで発生する警告の例を示した図である。本発明の一実施形態における、登録されたイベントの待機リストの例を示した図である。本発明の一実施形態における、検知されたイベントの影響力を確認する例を示した図である。本発明の一実施形態における、有効であるかないかを検証するサーバの内部構成を説明するためのブロック図である。本発明の一実施形態における、有効であるかないかを検証するサーバのプロセッサが含むことのできる構成要素の例を示したブロック図である。本発明の一実施形態における、有効であるかないかを検証するサーバが実行することのできる有効であるかないかを検証する方法の例を示したフローチャートである。本発明の一実施形態における、有効であるかないかを検証する方法がさらに含むことのできる工程の例を示した図である。本発明の一実施形態における、有効であるかないかを検証する方法がさらに含むことのできる工程の例を示した図である。

以下、実施形態について、添付の図面を参照しながら詳しく説明する。

図１は、本発明の一実施形態における、有効であるかないかを検証するシステムの全体構成の例を示した図である。

図１において、点線ボックス１１０は、不正侵入検知／防止システム（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎ／ＰｒｅｖｅｎｔｉｏｎＳｙｓｔｅｍ：ＩＤＳ／ＩＰＳ）、クラウド・セキュリティ・ソリューションであるディープセキュリティ（Ｄｅｅｐｓｅｃｕｒｉｔｙ）、およびＳＥＰＭ（ＳｙｍａｎｔｅｃＥｎｄｐｏｉｎｔＰｒｏｔｅｃｔｉｏｎＭａｎａｇｅｒ）などのようなセキュリティサービスを示している。このようなセキュリティサービスは、既に周知のとおりである。したがって、図１に示したセキュリティサービスの他にも、ＨＩＤＳ（Ｈｏｓｔ−ｂａｓｅｄＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）などのようにやはり周知の多様なセキュリティサービスのうちの１つ以上が本発明の実施形態のために利用されてもよいこと、さらにこのようなセキュリティサービスがネットワークを介した攻撃を検知するためにどのように動作するかについては、当業者であれば容易に理解することができるであろう。

このようなセキュリティサービスで検知されたイベントは、セキュリティ情報イベント管理（ＳＩＥＭ）サーバ１２０に送信されてよい。図１に示した（１）の過程は、セキュリティサービスで検知されたイベントがセキュリティ情報イベント管理サーバ１２０に送信される過程の例であってよい。

また、セキュリティ情報イベント管理サーバ１２０は、異種（複数）のイベントを相関分析し、予め設定された相関ルールに該当するイベントを決定してよい。例えば、２つ以上のセキュリティサービスにおいて、第１イベントおよび第２イベントが予め設定された時間間隔（一例として、１分間隔）以内に発生してセキュリティ情報イベント管理サーバ１２０に送信された場合、セキュリティ情報イベント管理サーバ１２０は、第１イベントおよび第２イベントを相関ルールに該当するイベントとして決定してよい。このような相関ルールは、セキュリティ情報イベント管理に関する周知の技術から、当業者が容易に理解することができるであろう。この場合、セキュリティ情報イベント管理サーバ１２０は、決定されたイベントをセキュリティ管制業務管理サーバ１３０に送信し、業務として登録されるようにしてよい。図１に示した（２）の過程が、このようなイベントをセキュリティ情報イベント管理サーバ１２０からセキュリティ管制業務管理サーバ１３０に送信して登録する過程の例であってよい。例えば、セキュリティ情報イベント管理サーバ１２０は、決定されたイベントに関するセキュリティ情報イベント管理チケットを生成してセキュリティ管制業務管理サーバ１３０に送信してよく、セキュリティ管制業務管理サーバ１３０が受信したセキュリティ情報イベント管理チケットを登録することにより、特定の攻撃に対するイベント（分析対象のイベント／分析が要求されるイベント）を登録してよい。

セキュリティ管制業務管理サーバ１３０は、業務として登録された攻撃に対するイベントの情報を管制人員に提供し、登録されたイベントを管制人員が処理できるように機能を提供してよい。例えば、セキュリティ管制業務管理サーバ１３０は、管制人員が個別のイベントに関する詳細情報を詳察しながら個別のイベントの攻撃が有効であるかないかを検証して、個別のイベントが有効であるかないかを指定することのできるユーザインタフェースを管制人員に提供してよい。このようなセキュリティ管制業務管理サーバ１３０は、一例として、脅威管理システム（ＴｈｒｅａｔＭａｎａｇｅｍｅｎｔＳｙｓｔｅｍ：ＴＭＳ）のような技術から、当業者が容易に理解することができるであろう。

一方、登録されたすべてのイベントが有効であるかないかを人間が直接検証することは極めて非効率的であることは、上述したとおりである。このような問題を解決するために、本実施形態に係る有効であるかないかを検証するシステムは、図１に示すように、イベント分析サーバ１４０およびログ確認サーバ１５０を備えてよい。図１の実施形態に係る有効であるかないかを検証するシステムは、セキュリティ管制業務管理サーバ１３０、イベント分析サーバ１４０、およびログ確認サーバ１５０を個別装置として備えているが、実施形態によっては、イベント分析サーバ１４０およびログ確認サーバ１５０は、セキュリティ管制業務管理サーバ１３０と統合される１つのシステムで構成されてもよい。例えば、１つのサーバ装置から、セキュリティ管制業務管理サーバ１３０、イベント分析サーバ１４０、およびログ確認サーバ１５０が提供しようとするすべての機能を提供することも可能である。

イベント分析サーバ１４０は、セキュリティ管制業務管理サーバ１３０に登録されたイベントを収集してよい。例えば、イベント分析サーバ１４０は、予め設定された時間間隔（一例として、１分間隔）ごとにセキュリティ管制業務管理サーバ１３０に登録されたイベントを収集してよい。図１に示した（３）の過程は、イベント分析サーバ１４０が登録されたイベントを収集する過程の例であってよい。

また、イベント分析サーバ１４０は、収集したイベントをログ確認サーバ１５０に伝達してよい。例えば、図１に示した（４）の過程は、イベント分析サーバ１４０が収集したイベントをログ確認サーバ１５０に挿入（ｉｎｓｅｒｔ）する過程の例であってよい。

ログ確認サーバ１５０は、受信したイベントに対応するローデータを、該当のイベントを生成したセキュリティサービスのデータベース１６０から収集してよい。例えば、ログ確認サーバ１５０は、受信したイベントの名称および送信元のＩＰアドレス／ポート番号、さらに送信先のＩＰアドレス／ポート番号などの情報を利用しながら該当のイベントを生成したセキュリティサービスのデータベース１６０を照会してよく、照会結果として該当のイベントに対応するローデータを得てよい。図１に示した（５）の過程は、ローデータを収集する過程の例であってよい。

ログ確認サーバ１５０は、収集したローデータをパースしてよい。図１に示した（６）の過程は、収集したローデータをパースする過程の例であってよい。例えば、ローデータのパースは、該当のイベントに対応する攻撃が対象とするページのＵＲＩ（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＩｄｅｎｔｉｆｉｅｒ）を抽出するために行われてよい。

また、ログ確認サーバ１５０は、パースした情報を利用してイベントに対応する攻撃と同じ攻撃を実施して応答結果を確認してよい。例えば、ログ確認サーバ１５０は、抽出したＵＲＩを利用して確認されたページに対して、ネットワーク１７０を介して実際の攻撃と同じ攻撃を実行することにより、該当のページの応答結果を確認してよい。図１に示した（７）の過程は、このような応答結果を確認するための過程の例であってよい。

ログ確認サーバ１５０は、確認された応答結果をイベント分析サーバ１４０に伝達してよい。図１に示した（８）の過程は、このような応答結果を伝達するための過程の例であってよい。

イベント分析サーバ１４０は、伝達された応答結果を分析してイベントのリスク程度を決定してよい。例えば、上述した（７）の過程において、ＵＲＩを利用して実行された攻撃によって該当のページを見つけることができないというＨＴＴＰ４０４メッセージが受信された場合、該当の攻撃は影響力のない攻撃と判定されてよく、該当のイベントはリスクが低いイベントとして決定されてよい。このとき、イベント分析サーバ１４０は、リスクが大きいイベント（一例として、リスクが予め設定された程度以上のイベント）に対しては、セキュリティ情報イベント管理イベントをセキュリティ情報イベント管理サーバ１２０に送信してよい。一方、イベント分析サーバ１４０は、リスクが低いイベント（一例として、リスクが予め設定された程度未満のイベント）に対しては、例外処理メッセージをセキュリティ情報イベント管理サーバ１２０に送信してよい。図１に示した（９）の過程は、このようなセキュリティ情報イベント管理イベントおよび／または例外処理メッセージを送信する過程の例であってよい。

このとき、セキュリティ情報イベント管理サーバ１２０は、例外処理メッセージの受信により、例外処理メッセージに対応するイベントをセキュリティ情報イベント管理フィルタに追加してよい。この場合、以後からは、同じＵＲＩに対して発生する攻撃によるイベントは、セキュリティ情報イベント管理サーバ１２０で追加的にフィルタリングされてよい。したがって、このような例外処理されたイベントはセキュリティ管制業務管理サーバ１３０に伝達されないようになるし、同じ攻撃のための多数のパケットが存在することから、このような例外処理が増加するほど、セキュリティ管制業務管理サーバ１３０で管制人員が有効であるかないかを検証しなければならないイベントの数が急激に減少するようになる。言い換えれば、本実施形態に係る有効であるかないかを検証するシステムにより、影響力のないイベントに対して有効であるかないかは自動的に検証されるようになるため、不必要な資源の浪費を防ぐことができ、ネットワークを介した攻撃に対する対応の効率性を高めることができる。

図２は、本発明の一実施形態における、ＩＤＳ管理コンソールで検知されたイベントリストの例を示した図である。セキュリティサービスであるＩＤＳは、ネットワークトラフィック（一例として、受信したパケット）でセキュリティ攻撃と判定される文字列に対し、事前に登録されたパターンと一致するトラフィックを検知してよい。図２のイベントリストは、ＩＤＳで検知されたイベントのリストを意味してよく、図２に示すように、攻撃類型（ＡｔｔａｃｋＴｙｐｅ）、署名グループ（ＳｉｇｎａｔｕｒｅＧｒｏｕｐ）、深刻度（Ｓｅｖｅｒｉｔｙ）、検知された時刻（Ｔｉｍｅｄｅｔｅｃｔｅｄ）、送信元ＩＰアドレス（ＳｏｕｒｃｅＩＰ）、攻撃者ポート（Ａｔｔａｃｋｅｒｐｏｒｔ）、送信先ＩＰアドレス（ＤｅｓｔｉｎａｔｉｏｎＩＰ）、送信先ポート（ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ）のような情報を含んでよい。

図３は、本発明の一実施形態における、ＩＤＳ管理コンソールで検知されたイベントに関する詳細情報の例を示した図であり、図４は、本発明の一実施形態における、ＩＤＳ管理コンソールで検知されたイベントに関する実際のネットワークパケット情報の例を示した図である。図３は、１つのイベントが、イベント名、送信元ＩＰアドレス、送信元ポート、送信先ＩＰアドレス、送信先ポート、検知された時刻などを利用して識別されることを間接的に示している。また、図４は、１つのイベントに対して実際のネットワークパケット情報が管理されることを示している。

また、ＩＤＳのようなセキュリティサービスで検知されたイベントは、セキュリティ情報イベント管理サーバ１２０に送信されてよく、セキュリティ情報イベント管理サーバ１２０は、受信したイベントに対し、相関ルールにしたがって条件をチェックして警告（Ａｌｅｒｔ）を発生させるかを判定してよく、追加の分析が必要なイベントに対しては警告を発生させてよい。

図５は、本発明の一実施形態における、セキュリティ情報イベント管理サーバで発生する警告の例を示した図である。図５は、警告が発生したイベントに関する情報および関連データの例を示している。このような情報は、セキュリティ情報イベント管理サーバ１２０からセキュリティ管制業務管理サーバ１３０に送信され、セキュリティ管制業務管理サーバ１３０に登録されてよい。

図６は、本発明の一実施形態における、登録されたイベントの待機リストの例を示した図である。図６は、セキュリティ管制業務管理サーバ１３０が管制人員に提供するユーザインタフェース画面の一部６００であり、セキュリティ管制業務管理サーバ１３０に登録されて有効であるかないかの検証のために待機中であるイベントのリストを示している。このとき、管制人員は、画面６００に示されたイベントを選択することで各イベントの詳細情報を確認し、選択したイベントが有効であるかないかを検証してよい。例えば、図６の「探察」ボタン６１０は、選択されたイベントが有効である検知であることを指定するために利用されてよく、「誤探」ボタン６２０は、選択されたイベントが有効でない検知であることを指定するために利用されてよい。

このように、セキュリティ管制業務管理サーバ１３０に登録されたイベントに対しては、管制人員がその度に手動で有効であるかないかを検証する必要があった。しかしながら、本発明の実施形態では、上述したように、イベント分析サーバ１４０およびログ確認サーバ１５０が影響力のないイベントに対する例外処理をセキュリティ情報イベント管理サーバ１２０に登録し、セキュリティ情報イベント管理サーバ１２０が影響力のないイベントをフィルタリングしてセキュリティ管制業務管理サーバ１３０に登録されないようにすることにより、管制人員が有効であるかないかを手動で検証しなければならないイベントの数を減らすことができる。

図７は、本発明の一実施形態における、検知されたイベントの影響力を確認する例を示した図である。

第１点線ボックス７１０は、図１に示した（５）の過程によってログ確認サーバ１５０が受信したイベントを生成したセキュリティサービスのデータベース１６０から収集したローデータの例を示している。

また、第２点線ボックス７２０は、図１に示した（６）の過程によってログ確認サーバ１５０がローデータをパースして抽出したＵＲＬ（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＬｏｃａｔｏｒ）の例を示している。

さらに、第３点線ボックス７３０は、図１に示した（７）の過程によってログ確認サーバ１５０が抽出したＵＲＬにアクセスすることによって該当のサーバから受信した応答結果（ＵＲＬに対応するページのソースコード）の例を示している。

上述したように、ログ確認サーバ１５０は、受信した応答結果をイベント分析サーバ１４０に送信してよく、イベント分析サーバ１４０は、応答結果から４０４応答コードを確認することにより、該当のイベントには影響力がないことを確認してよい。

第４点線ボックス７４０は、該当の攻撃の識別子（ＵＳＤ＿３１６＿Ｅｖａｌ＿Ｏｎｅ＿Ｌｉｎｅ＿ＰＨＰ＿ＷｅｂＳｈｅｌｌ＿０９０８０３）と対象ＩＰアドレス（１２５．６．１９０．６）、さらに対象ポート番号８０を示している。セキュリティ情報イベント管理サーバ１２０は、このような攻撃、対象ＩＰアドレス、および対象ポート番号を例外処理することにより、以後からは該当の攻撃や対象に対してイベントが発生しないように措置してよい。

図７は、影響力のないイベントに対する例外処理の実施形態について説明したが、実施形態によっては、影響力の高いイベントに対し、イベントの登録だけではなく、セキュリティ情報イベント管理サーバ１２０からセキュリティ管制業務管理サーバ１３０に別途の警告メッセージを送信することにより、管制人員が影響力の高いイベントを見逃さないようにすることも可能である。

図８は、本発明の一実施形態における、有効であるかないかを検証するサーバの内部構成を説明するためのブロック図である。本実施形態では、セキュリティ管制業務管理サーバ１３０、イベント分析サーバ１４０、およびログ確認サーバ１５０が１つの装置である有効であるかないかを検証するサーバ８００として実現された例について説明する。有効であるかないかを検証するサーバ８００は、図８に示すように、メモリ８１０、プロセッサ８２０、通信モジュール８３０、および入力／出力インタフェース８４０を含んでよい。メモリ８１０は、コンピュータ読み取り可能な記録媒体であって、ＲＡＭ（ｒａｎｄｏｍａｃｃｅｓｓｍｅｍｏｒｙ）、ＲＯＭ（ｒｅａｄｏｎｌｙｍｅｍｏｒｙ）、およびディスクドライブのような永続的大容量記録装置を含んでよい。ここで、ＲＯＭおよび永続的大容量記録装置は、メモリ８１０とは区分される別の永続的記録装置として含まれてもよい。また、メモリ８１０には、オペレーティングシステムと少なくとも１つのプログラムコードとが記録されてよい。このようなソフトウェア構成要素は、メモリ８１０とは別のコンピュータ読み取り可能な記録媒体からロードされてよい。このような別のコンピュータ読み取り可能な記録媒体は、フロッピー（登録商標）ドライブ、ディスク、テープ、ＤＶＤ／ＣＤ−ＲＯＭドライブ、メモリカードなどのコンピュータ読み取り可能な記録媒体を含んでよい。他の実施形態において、ソフトウェア構成要素は、コンピュータ読み取り可能な記録媒体ではない通信モジュール８３０を通じてメモリ８１０にロードされてもよい。

プロセッサ８２０は、基本的な算術、ロジック、および入力／出力演算を実行することにより、コンピュータプログラムの命令を処理するように構成されてよい。命令は、メモリ８１０または通信モジュール８３０によって、プロセッサ８２０に提供されてよい。例えば、プロセッサ８２０は、メモリ８１０にロードされたプログラムコードにしたがって受信される命令を実行するように構成されてよい。

通信モジュール８３０は、ネットワークを介して他の物理的な機器と互いに通信するための機能を提供してよい。一例として、通信モジュール８３０は、セキュリティ情報イベント管理サーバ１２０やセキュリティサービスとの間でネットワークを介してデータを送受信するための機能を提供してよい。

入力／出力インタフェース８４０は、入力／出力装置８５０とのインタフェースのための手段であってよい。例えば、入力／出力装置８５０において、入力装置は、キーボードまたはマウスなどの装置を含んでよく、出力装置は、ディスプレイやスピーカのような装置を含んでよい。図８において、入力／出力装置８５０は、有効であるかないかを検証するサーバ８００とは別の装置で表現されてもよいが、実施形態によっては、入力／出力装置８５０が有効であるかないかを検証するサーバ８００に含まれるように有効であるかないかを検証するサーバ８００が実現されてもよい。

また、他の実施形態において、有効であるかないかを検証するサーバ８００は、図８の構成要素よりも多くの構成要素を含んでもよい。しかしながら、大部分の従来技術的構成要素を明確に図に示す必要はない。例えば、有効であるかないかを検証するサーバ８００は、物理的な各種ボタンやタッチパネル、光出力装置などの多様な構成要素をさらに含むように実現されてもよい。

図９は、本発明の一実施形態における、有効であるかないかを検証するサーバのプロセッサが含むことのできる構成要素の例を示したブロック図であり、図１０は、本発明の一実施形態における、有効であるかないかを検証するサーバが実行することのできる有効であるかないかを検証する方法の例を示したフローチャートである。また、図１１および図１２は、本発明の一実施形態における、有効であるかないかを検証する方法がさらに含むことのできる工程の例を示した図である。

図９は、上述した有効であるかないかを検証するサーバ８００のプロセッサ８２０が含むことのできる構成要素として、イベント登録部９１０、ローデータ収集部９２０、位置情報取得部９３０、判定部９４０、および例外処理メッセージ送信部９５０を示している。また、プロセッサ８２０は、図９に示すように、実施形態によっては、有効メッセージ送信部９６０、警告メッセージ受信部９７０、およびユーザインタフェース提供部９８０のうちの少なくとも１つをさらに含んでもよい。このようなプロセッサ８２０およびプロセッサ８２０の構成要素は、図１０の有効であるかないかを検証する方法が含む工程１０１０〜１０６０、さらに図１１および１２に示す工程１１１０、１１２０、および１２１０を実行してよい。このとき、プロセッサ８２０およびプロセッサ８２０の構成要素は、メモリ８１０が含むオペレーティングシステムのコードおよび／または少なくとも１つのコンピュータプログラムのコードによる命令を実行するように実現されてよい。ここで、プロセッサ８２０の構成要素は、有効であるかないかを検証するサーバ８００に記録されたコンピュータプログラムのコードが提供する制御命令にしたがってプロセッサ８２０によって実行される、プロセッサ８２０の互いに異なる機能の表現であってよい。例えば、プロセッサ８２０は、有効であるかないかを検証するサーバ８００の制御と関連する命令がロードされたメモリ８１０から必要な制御命令を読み取ってよく、読み取られた制御命令にしたがって以下で説明される工程１０１０〜１０６０、１１１０、１１２０、および１２１０を実行するように、有効であるかないかを検証するサーバ８００を制御してよい。

工程１０１０において、イベント登録部９１０は、セキュリティ情報イベント管理（ＳＩＥＭ）サーバにおいて、異種（複数）のセキュリティサービスから検知されたイベントを受信し、受信されたイベントなどを相関分析し、受信されたイベントのうち予め設定された相関ルールに該当するイベントを、分析対象のイベント（分析が要求されるイベント）として決定することにより、セキュリティ情報イベント管理サーバから分析対象のイベントを受信して登録するように、有効であるかないかを検証するサーバ８００を制御してよい。ここで、セキュリティ情報イベント管理サーバは、図１を参照しながら説明したセキュリティ情報イベント管理サーバ１２０に対応してよい。言い換えれば、セキュリティ情報イベント管理サーバは、図１の点線ボックス１１０に示すような異種のセキュリティサービスから検知されたイベントを受信してよく、受信されたイベントを相関分析し、このようなイベントのうち予め設定された相関ルールに該当するイベントを有効であるかないかを検証するサーバ８００に送信して登録されるようにしてよい。このとき、イベント登録部９１０は、セキュリティ情報イベント管理サーバから受信したイベントを登録するように、有効であるかないかを検証するサーバ８００を制御してよい。

上述した工程１０１０の後には、図１２に示す工程１２１０が実行されてよい。

工程１２１０において、ユーザインタフェース提供部９８０は、登録されたイベントに対して有効であるかないかを指定することのできるユーザインタフェースを提供してよい。例えば、上述した図６のように、有効であるかないかを検証するサーバ８００に登録されたイベントの待機リストと、このような待機リスト上のイベントに対して有効であるかないかを指定することのできるユーザインタフェースが、管制人員に提供されてよい。このようなユーザインタフェースは、有効であるかないかを検証するサーバ８００と直接接続されるディスプレイまたは有効であるかないかを検証するサーバ８００と通信する管制人員の端末のディスプレイを通じて管制人員に表示されてよい。

工程１０２０において、ローデータ収集部９２０は、異種のセキュリティサービスのうち登録されたイベントに対応するセキュリティサービスから、登録されたイベントのローデータを収集するように、有効であるかないかを検証するサーバ８００を制御してよい。例えば、前述の登録されたイベントが、図１で第１点線ボックス１１０に示されたＩＤＳ／ＩＰＳセキュリティサービスで生成されたイベントである場合、有効であるかないかを検証するサーバ８００は、ローデータ収集部９２０の制御にしたがってＩＤＳ／ＩＰＳセキュリティサービスにアクセスし、ＩＤＳ／ＩＰＳセキュリティサービスが含むデータベースから登録されたイベントのローデータを収集してよい。ローデータの例は、図７を参照しながら説明したとおりである。

工程１０３０において、位置情報取得部９３０は、収集されたローデータを分析し、登録されたイベントにおける攻撃対象のネットワーク上の位置情報を取得してよい。このようなネットワーク上の位置情報は、ＵＲＬを含むＵＲＩであってよい。上述した実施形態ではネットワーク上の特定のページに限定して説明したが、ネットワーク上の攻撃がページに限定されることはない。言い換えれば、本実施形態において、ネットワーク上の位置情報は、攻撃者のパケットが対象とするネットワーク上のソースに関する位置情報を意味してよい。

工程１０４０において、判定部９４０は、取得された位置情報に基づいて分析対象のイベントが有効であるかないかを判定してよい。例えば、判定部９４０は、取得された位置情報に基づいて前述の攻撃と同じ攻撃を実施し、取得された位置情報に対応するシステムからの応答結果を確認および分析し、分析対象のイベントが有効であるかないかを判定してよい。より具体的な例として、取得された位置情報は、ネットワーク上のページに対するＵＲＩを含んでよい。この場合、判定部９４０は、ＵＲＩからページへの接続を試みてページの状態に対する応答コードを受信し、受信した応答コードを分析することで、分析対象のイベントが有効であるかないかを判定してよい。ＨＴＴＰ４０４コードのように未検出ページに対する攻撃は影響力がないため、イベントが有効でないことについては、上述したとおりである。

工程１０５０は、有効であるかないかの判定により、有効でない場合は工程１０６０が実行され、有効である場合は図１１の工程１１１０が実行されることを示している。

工程１０６０において、例外処理メッセージ送信部９５０は、分析対象のイベントが有効でないと判定された場合、分析対象のイベントの例外処理メッセージを生成してセキュリティ情報イベント管理サーバに送信するように、有効であるかないかを検証するサーバ８００を制御してよい。この場合、セキュリティ情報イベント管理サーバは、例外処理メッセージに対応するイベントが異種のセキュリティサービスから再検知されて受信された場合には、再検知されて受信されたイベントを例外処理するように予め設定された相関ルールを更新してよい。すなわち、例外処理メッセージに対応するイベントは、セキュリティ情報イベント管理サーバでフィルタリングされて、有効であるかないかを検証するサーバ８００に登録されなくなるため、これにより、管制人員が有効であるかないかを検証しなければならないイベントの数が減るようになる。

工程１１１０において、有効メッセージ送信部９６０は、分析対象のイベントが有効であると判定された場合、分析対象のイベントに対する有効メッセージをセキュリティ情報イベント管理サーバに送信するように、有効であるかないかを検証するサーバ８００を制御してよい。例えば、特定のイベントに対してリスクが高いと決定された場合、有効であるかないかを検証するサーバ８００は、セキュリティ情報イベント管理サーバに該当のイベントに対する有効メッセージを送信してよい。

工程１１２０において、警告メッセージ受信部９７０は、セキュリティ情報イベント管理サーバにおいて、有効メッセージに対応するイベントが異種のセキュリティサービスから再検知されて受信された場合、セキュリティ情報イベント管理サーバが再検知されて受信されたイベントに対して生成した警告メッセージを、セキュリティ情報イベント管理サーバから受信するように、有効であるかないかを検証するサーバ８００を制御してよい。言い換えれば、セキュリティ情報イベント管理サーバは、有効メッセージに対応するイベントが異種のセキュリティサービスから再検知されて受信された場合、工程１０１０において説明したように、該当のイベントを有効であるかないかを検証するサーバ８００に登録するだけでなく、別途の警告メッセージを有効であるかないかを検証するサーバ８００にさらに送信してよい。この場合、有効であるかないかを検証するサーバ８００は、警告メッセージに基づいたイベントに関する追加情報や警告を管制人員に提供することにより、管制人員が該当のイベントに対する分析を見逃さないようにすることができる。

以上のように、本発明の実施形態によると、セキュリティ動作と関連して検知されるイベントの影響力に応じて、有効であるかないかの検証の必要性が低い検知結果に対する有効であるかないかの確認を自動化することにより、不必要な資源の浪費を防ぐことができ、ネットワークを介した攻撃に対する対応の効率性を高めることができる。

上述したシステムまたは装置は、ハードウェア構成要素、ソフトウェア構成要素、またはハードウェア構成要素とソフトウェア構成要素との組み合わせによって実現されてよい。例えば、実施形態で説明された装置および構成要素は、例えば、プロセッサ、コントローラ、ＡＬＵ（ａｒｉｔｈｍｅｔｉｃｌｏｇｉｃｕｎｉｔ）、デジタル信号プロセッサ、マイクロコンピュータ、ＦＰＧＡ（ｆｉｅｌｄｐｒｏｇｒａｍｍａｂｌｅｇａｔｅａｒｒａｙ）、ＰＬＵ（ｐｒｏｇｒａｍｍａｂｌｅｌｏｇｉｃｕｎｉｔ）、マイクロプロセッサ、または命令を実行して応答することができる様々な装置のように、１つ以上の汎用コンピュータまたは特殊目的コンピュータを利用して実現されてよい。処理装置は、オペレーティングシステム（ＯＳ）およびＯＳ上で実行される１つ以上のソフトウェアアプリケーションを実行してよい。また、処理装置は、ソフトウェアの実行に応答し、データにアクセスし、データを記録、操作、処理、および生成してもよい。理解の便宜のために、１つの処理装置が使用されるとして説明される場合もあるが、当業者は、処理装置が複数個の処理要素および／または複数種類の処理要素を含んでもよいことが理解できるであろう。例えば、処理装置は、複数個のプロセッサまたは１つのプロセッサおよび１つのコントローラを含んでよい。また、並列プロセッサのような、他の処理構成も可能である。

ソフトウェアは、コンピュータプログラム、コード、命令、またはこれらのうちの１つ以上の組み合わせを含んでもよく、思うままに動作するように処理装置を構成したり、独立的または集合的に処理装置に命令したりしてよい。ソフトウェアおよび／またはデータは、処理装置に基づいて解釈されたり、処理装置に命令またはデータを提供したりするために、いかなる種類の機械、コンポーネント、物理装置、仮想装置、コンピュータ記録媒体または装置に永続的または一時的に具現化されてよい。ソフトウェアは、ネットワークによって接続されたコンピュータシステム上に分散され、分散された状態で記録されても実行されてもよい。ソフトウェアおよびデータは、１つ以上のコンピュータ読み取り可能な記録媒体に記録されてよい。

実施形態に係る方法は、多様なコンピュータ手段によって実行可能なプログラム命令の形態で実現されてコンピュータ読み取り可能な媒体に記録されてよい。コンピュータ読み取り可能な媒体は、プログラム命令、データファイル、データ構造などを単独でまたは組み合わせて含んでよい。媒体に記録されるプログラム命令は、実施形態のために特別に設計されて構成されたものであってもよいし、コンピュータソフトウェア当業者に公知な使用可能なものであってもよい。コンピュータ読み取り可能な記録媒体の例としては、ハードディスク、フロッピー（登録商標）ディスク、および磁気テープのような磁気媒体、ＣＤ−ＲＯＭ、ＤＶＤのような光媒体、フロプティカルディスク（ｆｌｏｐｔｉｃａｌｄｉｓｋ）のような光磁気媒体、およびＲＯＭ、ＲＡＭ、フラッシュメモリなどのようなプログラム命令を記録して実行するように特別に構成されたハードウェア装置が含まれる。プログラム命令の例は、コンパイラによって生成されるもののような機械語コードだけではなく、インタプリタなどを使用してコンピュータによって実行される高級言語コードを含む。

以上のように、実施形態を、限定された実施形態および図面に基づいて説明したが、当業者であれば、上述した記載から多様な修正および変形が可能であろう。例えば、説明された技術が、説明された方法とは異なる順序で実行されたり、かつ／あるいは、説明されたシステム、構造、装置、回路などの構成要素が、説明された方法とは異なる形態で結合されたりまたは組み合わされたり、他の構成要素または均等物によって対置されたり置換されたとしても、適切な結果を達成することができる。

したがって、異なる実施形態であっても、特許請求の範囲と均等なものであれば、添付される特許請求の範囲に属する。

８２０：プロセッサ
９１０：イベント登録部
９２０：ローデータ収集部
９３０：位置情報取得部
９４０：判定部
９５０：例外処理メッセージ送信部
９６０：有効メッセージ送信部
９７０：警告メッセージ受信部
９８０：ユーザインタフェース提供部

Claims

セキュリティ管理サーバにおいて、複数のセキュリティサービスから検知されたイベントを受信し、受信された前記イベントを相関分析し、受信された前記イベントのうち予め設定された相関ルールに該当するイベントを分析対象のイベントとして決定することにより、前記セキュリティ管理サーバから前記分析対象のイベントを受信して登録する工程と、
前記複数のセキュリティサービスのうち登録された前記イベントに対応するセキュリティサービスから、登録された前記イベントのローデータを収集する工程と、
収集された前記ローデータを分析し、登録された前記イベントにおける攻撃対象のネットワーク上の位置情報を取得する工程と、
取得された前記位置情報に基づいて前記分析対象のイベントが有効であるかないかを判定する工程と、
前記分析対象のイベントが有効でないと判定された場合、前記分析対象のイベントの例外処理メッセージを生成して前記セキュリティ管理サーバに送信する工程と、を有する、有効であるかないかを検証する方法。
前記セキュリティ管理サーバは、前記例外処理メッセージに対応するイベントが前記複数のセキュリティサービスから再検知されて受信された場合、再検知されて受信された前記イベントを例外処理するように前記予め設定された相関ルールを更新する、請求項１に記載の方法。
前記分析対象のイベントが有効であると判定された場合、前記分析対象のイベントに対する有効メッセージを前記セキュリティ管理サーバに送信する工程と、
前記セキュリティ管理サーバで前記有効メッセージに対応するイベントが前記複数のセキュリティサービスから再検知されて受信された場合、前記セキュリティ管理サーバが再検知されて受信された前記イベントに対して生成した警告メッセージを前記セキュリティ管理サーバから受信する工程と、をさらに有する、請求項１に記載の方法。
前記分析対象のイベントが有効であるかないかを判定する工程は、
取得された前記位置情報に基づいて前記攻撃と同じ攻撃を実施し、取得された前記位置情報に対応するシステムからの応答結果を確認および分析して前記分析対象のイベントが有効であるかないかを判定する、請求項１に記載の方法。
取得された前記位置情報は、ネットワーク上のページに対するＵＲＩを含み、
前記分析対象のイベントが有効であるかないかを判定する工程は、
前記ＵＲＩから前記ページへの接続を試みて前記ページの状態に対する応答コードを受信し、受信された前記応答コードを分析して前記分析対象のイベントが有効であるかないかを判定する、請求項１に記載の方法。
登録された前記イベントに対して有効であるかないかを指定することのできるユーザインタフェースを提供する工程をさらに有する、請求項１に記載の方法。
請求項１〜６のうちのいずれか一項に記載の方法をコンピュータに実行させるプログラム。
セキュリティ管理サーバにおいて、複数のセキュリティサービスから検知されたイベントを受信し、受信された前記イベントを相関分析し、受信された前記イベントのうち予め設定された相関ルールに該当するイベントを分析対象のイベントとして決定することにより、前記セキュリティ管理サーバから前記分析対象のイベントを受信して登録する手段と、
前記複数のセキュリティサービスのうち登録された前記イベントに対応するセキュリティサービスから、登録された前記イベントのローデータを収集する手段と、
収集された前記ローデータを分析し、登録された前記イベントにおける攻撃対象のネットワーク上の位置情報を取得する手段と、
取得された前記位置情報に基づいて前記分析対象のイベントが有効であるかないかを判定する手段と、
前記分析対象のイベントが有効でないと判定された場合、前記分析対象のイベントの例外処理メッセージを生成して前記セキュリティ管理サーバに送信する手段と、を有する、有効であるかないかを検証するサーバ。
前記セキュリティ管理サーバは、前記例外処理メッセージに対応するイベントが前記複数のセキュリティサービスから再検知されて受信された場合、再検知されて受信された前記イベントを例外処理するように前記予め設定された相関ルールを更新する、請求項８に記載のサーバ。
前記分析対象のイベントが有効であると判定された場合、前記分析対象のイベントに対する有効メッセージを前記セキュリティ管理サーバに送信する手段と、
前記セキュリティ管理サーバで前記有効メッセージに対応するイベントが前記複数のセキュリティサービスから再検知されて受信された場合、前記セキュリティ管理サーバが再検知されて受信された前記イベントに対して生成した警告メッセージを前記セキュリティ管理サーバから受信する手段と、をさらに有する、請求項８に記載のサーバ。
前記分析対象のイベントが有効であるかないかを判定する手段は、
取得された前記位置情報に基づいて前記攻撃と同じ攻撃を実施し、取得された前記位置情報に対応するシステムからの応答結果を確認および分析して前記分析対象のイベントが有効であるかないかを判定する、請求項８に記載のサーバ。
取得された前記位置情報は、ネットワーク上のページに対するＵＲＩを含み、
前記分析対象のイベントが有効であるかないかを判定する手段は、
前記ＵＲＩから前記ページへの接続を試みて前記ページの状態に対する応答コードを受信し、受信された前記応答コードを分析して前記分析対象のイベントが有効であるかないかを判定する、請求項８に記載のサーバ。
登録された前記イベントに対して有効であるかないかを指定することのできるユーザインタフェースを提供する手段をさらに有する、請求項８に記載のサーバ。