JP2020046698A - 監視装置、監視方法及び監視プログラム - Google Patents

Abstract

【課題】サイバー攻撃の検知をより高い精度で行うことを可能とする監視装置、監視方法及び監視プログラムを提供する。【解決手段】外部からのアクセスが許可されている情報処理装置を監視する監視装置は、情報処理装置によって実行された複数のコマンドを取得する取得部と、取得した複数のコマンドに含まれる内容の関連性から、情報処理装置が他の情報処理装置に対して攻撃を行った可能性があるか否かを判定する判定部と、情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定した場合、情報処理装置に関する警告を出力する出力部と、を有する。【選択図】図４

Description

本発明は、監視装置、監視方法及び監視プログラムに関する。

近年、企業や組織が保有する重要情報を不正に入手することを目的としたサイバー攻撃が行われている。このようなサイバー攻撃では、例えば、脆弱性を突くことによって乗っ取った公開サーバ（外部からのアクセスが許可されているサーバ）を踏み台にすることにより、内部サーバ（外部からのアクセスが許可されていないサーバ）に蓄積されている重要情報の不正取得が行われる。

そのため、企業や組織におけるセキュリティ管理者（以下、単に管理者とも呼ぶ）は、例えば、公開サーバに対して行われたサイバー攻撃を公開サーバにおいて検知する方法や、ネットワークを流れる通信パケットからサイバー攻撃の存在を検知する方法等を導入することにより、管理対象の情報処理システムに対するサイバー攻撃の検知を行う必要がある（例えば、特許文献１乃至３参照）。

特開２００６−１７２１７１号公報 特開２０１６−０４６６５４号公報 特開２００６−２４６１０９号公報

しかしながら、近年のサイバー攻撃の多様化に伴い、上記のような方法を導入した場合であっても、検知を行うことができないサイバー攻撃が登場する可能性がある。そのため、上記のような企業や組織では、サイバー攻撃の検知をより高い精度で行うことができる新たな方法が望まれている。

そこで、一つの側面では、本発明は、サイバー攻撃の検知をより高い精度で行うことを可能とする監視装置、監視方法及び監視プログラムを提供することを目的とする。

実施の形態の一態様では、外部からのアクセスが許可されている情報処理装置を監視する監視装置は、前記情報処理装置によって実行された複数のコマンドを取得する取得部と、取得した前記複数のコマンドに含まれる内容の関連性から、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があるか否かを判定する判定部と、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定した場合、前記情報処理装置に関する警告を出力する出力部と、を有する。

一つの側面によれば、サイバー攻撃の検知をより高い精度で行うことを可能とする。

図１は、情報処理システム１０の構成について説明する図である。 図２は、監視装置１のハードウエア構成を説明する図である。 図３は、監視装置１の機能のブロック図である。 図４は、第１の実施の形態における監視処理の概略を説明するフローチャート図である。 図５は、第１の実施の形態における監視処理の概略を説明する図である。 図６は、第１の実施の形態における監視処理の概略を説明する図である。 図７は、第１の実施の形態における監視処理の概略を説明する図である。 図８は、第１の実施の形態における監視処理の詳細を説明するフローチャート図である。 図９は、第１の実施の形態における監視処理の詳細を説明するフローチャート図である。 図１０は、第１の実施の形態における監視処理の詳細を説明するフローチャート図である。 図１１は、第１の実施の形態における監視処理の詳細を説明するフローチャート図である。 図１２は、アクセス先情報１３１の具体例を説明する図である。 図１３は、コマンド情報１３２の具体例を説明する図である。 図１４は、Ｓ３１の処理で特定された情報の具体例を説明する図である。 図１５は、Ｓ３２の処理で特定された情報の具体例を説明する図である。 図１６は、Ｓ３２の処理で特定された情報の具体例を説明する図である。 図１７は、第２の実施の形態における監視処理を説明するフローチャート図である。 図１８は、第２の実施の形態における監視処理を説明するフローチャート図である。 図１９は、第２の実施の形態における監視処理を説明するフローチャート図である。 図２０は、コマンド情報１３２の具体例を説明する図である。 図２１は、Ｓ６１の処理で特定された情報の具体例を説明する図である。 図２２は、閾値情報１３３の具体例を説明する図である。

［情報処理システムの構成］
初めに、情報処理システム１０の構成について説明を行う。図１は、情報処理システム１０の構成について説明する図である。

具体的に、情報処理システム１０は、監視装置１と、公開サーバ２ａ、２ｂ及び２ｃと、内部サーバ３ａ、３ｂ及び３ｃと、ファイアーウォール装置５（以下、ＦＷ５とも呼ぶ）と、ファイアーウォール装置６（以下、ＦＷ６とも呼ぶ）とを有する。以下、公開サーバ２ａ、２ｂ及び２ｃを総称して公開サーバ２とも呼び、内部サーバ３ａ、３ｂ及び３ｃを総称して内部サーバ３とも呼ぶ。なお、情報処理システム１０は、３台以外の数の公開サーバ２を有するものであってもよく、３台以外の数の内部サーバ３を有するものであってもよい。

公開サーバ２は、例えば、Ｗｅｂサーバであり、外部（例えば、外部端末１１）からのアクセスが許可されたサーバである。

ＦＷ５は、例えば、許可されている目的以外での外部から公開サーバ２に対するアクセスを禁止する処理を行う装置である。すなわち、ＦＷ５は、例えば、公開サーバ２に対するサイバー攻撃を防ぐために設けられた装置である。

内部サーバ３は、例えば、顧客情報等の重要情報を蓄積するサーバであり、外部（例えば、外部端末１１）からのアクセスが許可されていないサーバである。

ＦＷ６は、例えば、許可されている目的以外での公開サーバ２から内部サーバ３に対するアクセスを禁止する処理を行う装置である。すなわち、ＦＷ６は、例えば、内部サーバ３に対するサイバー攻撃（公開サーバ２を踏み台としたサイバー攻撃）を防ぐための設けられた装置である。

そして、情報処理システム１０の管理者は、ＦＷ５及びＦＷ６の設置に加え、例えば、公開サーバ２に対して行われたサイバー攻撃を公開サーバ２において検知する方法や、情報処理システム１０のネットワークを流れる通信パケットからサイバー攻撃の存在を検知する方法等を情報処理システム１０に導入する。具体的に、管理者は、例えば、公開サーバ２に対して行われたサイバー攻撃の検知を行うソフトウエアを公開サーバ２において動作させる。また、管理者は、例えば、取得した通信パケットを解析することによってサイバー攻撃の検知を行う装置（図示しない）を導入する。

これにより、情報処理システム１０の管理者は、例えば、情報処理システム１０に対して行われたサイバー攻撃の検知（早期検知）を行うことが可能になる。

しかしながら、近年のサイバー攻撃の多様化に伴い、上記のようなＦＷ５及びＦＷ６の設置や、サイバー攻撃を検知するための各種方法の導入を行った場合であっても、情報処理システム１０に対するサイバー攻撃の検知を行うことができないケースが想定される。そのため、上記のような企業や組織では、サイバー攻撃の検知をより高い精度で行う必要性が生じている。

そこで、本実施の形態における監視装置１は、公開サーバ２（以下、情報処理装置２とも呼ぶ）によって実行された複数のコマンドを取得する。そして、監視装置１は、取得した複数のコマンドに含まれる内容の関連性から、公開サーバ２が他のサーバ（例えば、内部サーバ３）に対して攻撃を行った可能性があるか否かを判定する。

その後、監視装置１は、公開サーバ２が他のサーバに対して攻撃を行った可能性があると判定した場合、攻撃を行った可能性があると判定した公開サーバ２に関する警告を出力する。

すなわち、本実施の形態における監視装置１は、公開サーバ２がサイバー攻撃によって既に乗っ取られているケースを予め想定し、公開サーバ２において実行されたコマンドの内容に基づくサイバー攻撃の検知を行う。

これにより、監視装置１は、公開サーバ２が乗っ取られた後においてもサイバー攻撃の検知を行うことが可能になる。そのため、監視装置１は、サイバー攻撃の検知をより精度良く行うことが可能になる。

［情報処理システムのハードウエア構成］
次に、情報処理システム１０のハードウエア構成について説明する。図２は、監視装置１のハードウエア構成を説明する図である。

監視装置１は、図２に示すように、プロセッサであるＣＰＵ１０１と、メモリ１０２と、外部インターフェース（Ｉ／Ｏユニット）１０３と、記憶媒体１０４とを有する。各部は、バス１０５を介して互いに接続される。

記憶媒体１０４は、例えば、公開サーバ２の動作を監視する処理（以下、監視処理とも呼ぶ）を行うためのプログラム１１０を記憶するプログラム格納領域（図示しない）を有する。また、記憶媒体１０４は、例えば、監視処理を行う際に用いられる情報を記憶する記憶部１３０（以下、情報格納領域１３０とも呼ぶ）を有する。なお、記憶媒体１０４は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｋｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）であってよい。

ＣＰＵ１０１は、記憶媒体１０４からメモリ１０２にロードされたプログラム１１０を実行して監視処理を行う。

外部インターフェース１０３は、例えば、ＦＷ６と通信を行う。

［情報処理システムの機能］
次に、情報処理システム１０の機能について説明を行う。図３は、監視装置１の機能のブロック図である。

監視装置１は、図３に示すように、監視装置１のＣＰＵ１０１やメモリ１０２等のハードウエアとプログラム１１０とが有機的に協働することにより、情報取得部１１１と、情報管理部１１２と、コマンド取得部１１３と、攻撃判定部１１４と、警告出力部１１５とを含む各種機能を実現する。

また、監視装置１は、図３に示すように、アクセス先情報１３１と、コマンド情報１３２と、閾値情報１３３とを情報格納領域１３０に記憶する。

情報取得部１１１は、各公開サーバ２がアクセスを行う可能性がある他のサーバの識別情報を含むアクセス先情報１３１を、各公開サーバ２からそれぞれ取得する。アクセス先情報１３１は、例えば、各公開サーバ２が保持しているｈｏｓｔｓファイルである。

情報管理部１１２は、情報取得部１１１が取得したアクセス先情報１３１を情報格納領域１３０に記憶する。

コマンド取得部１１３は、各公開サーバ２によって実行されたコマンド（複数のコマンド）を示す情報であるコマンド情報１３２を、各公開サーバ２からそれぞれ取得する。具体的に、コマンド取得部１１３は、例えば、コマンドの取得を前回行ってから現在のまでの間に実行されたコマンドを示すコマンド情報１３２の取得を行う。

攻撃判定部１１４は、コマンド取得部１１３が取得したコマンド情報１３２に含まれるコマンドの内容の関連性から、各公開サーバ２が他のサーバに対して攻撃を行った可能性があるか否かを判定する。攻撃判定部１１４による処理の詳細については後述する。

警告出力部１１５は、公開サーバ２のうちの少なくともいずれか１つが他のサーバに対して攻撃を行った可能性があると攻撃判定部１１４が判定した場合、攻撃を行った可能性があると判定した公開サーバ２に関する警告を出力装置（図示しない）に出力する。

［第１の実施の形態の概略］
次に、第１の実施の形態の概略について説明する。図４は、第１の実施の形態における監視処理の概略を説明するフローチャート図である。また、図５から図７は、第１の実施の形態における監視処理の概略を説明する図である。なお、以下、図４から図７では、各公開サーバ２から取得したアクセス先情報１３１が予め情報格納領域１３０に記憶されているものとして説明を行う。

監視装置１は、図４に示すように、監視実行タイミングになるまで待機する（Ｓ１のＮＯ）。監視実行タイミングは、例えば、管理者によって公開サーバ２の監視を開始する旨の入力があったタイミングであってよい。

そして、監視実施タイミングになった場合（Ｓ１のＹＥＳ）、監視装置１は、公開サーバ２によって実行された複数のコマンドを取得する（Ｓ２）。

具体的に、監視装置１は、図５に示すように、公開サーバ２ａ、２ｂ及び２ｃのそれぞれによって実行された複数のコマンドを示すコマンド情報１３２を、公開サーバ２ａ、２ｂ及び２ｃのそれぞれから取得する。そして、監視装置１は、取得したコマンド情報１３２を情報格納領域１３０に記憶する。

続いて、監視装置１は、Ｓ２の処理で取得した複数のコマンドに含まれる内容の関連性から、Ｓ２の処理で複数のコマンドを取得した公開サーバ２が他のサーバに対して攻撃を行った可能性があるか否かを判定する（Ｓ３）。

具体的に、監視装置１は、図６に示すように、情報格納領域１３０に記憶されたアクセス先情報１３１及びコマンド情報１３２を参照し、公開サーバ２のうちの少なくとも１つが他のサーバ（例えば、内部サーバ３）に対して攻撃を行っていたか否かの判定を行う。

その結果、公開サーバ２が他のサーバに対して攻撃を行った可能性があると判定した場合（Ｓ４のＹＥＳ）、監視装置１は、Ｓ２の処理で複数のコマンドを取得した公開サーバ２に関する警告を出力する（Ｓ５）。

一方、公開サーバ２が他のサーバに対して攻撃を行った可能性がないと判定した場合（Ｓ４のＮＯ）、監視装置１は、Ｓ５の処理を行わない。

具体的に、監視装置１は、図７に示すように、例えば、公開サーバ２ｃが他のサーバに対して攻撃を行っていた可能性があると判定した場合、公開サーバ２ｃに関する警告を出力装置（図示しない）に出力する。

すなわち、本実施の形態における監視装置１は、公開サーバ２がサイバー攻撃によって既に乗っ取られているケースを予め想定し、公開サーバ２において実行されたコマンドの内容に基づくサイバー攻撃の検知を行う。

これにより、監視装置１は、公開サーバ２が乗っ取られた後においてもサイバー攻撃の検知を行うことが可能になる。そのため、監視装置１は、サイバー攻撃の検知をより精度良く行うことが可能になる。

そして、管理者は、例えば、出力装置に出力された情報を閲覧することで、公開サーバ２に対してサイバー攻撃が行われている可能性があると認識することが可能になる。そのため、管理者は、サイバー攻撃が行われている可能性がある公開サーバ２の調査を迅速に開始することが可能になる。

［第１の実施の形態の詳細］
次に、第１の実施の形態の詳細について説明する。図８から図１１は、第１の実施の形態における監視処理の詳細を説明するフローチャート図である。また、図１２から図１６は、第１の実施の形態における監視処理の詳細を説明する図である。

［第１の実施の形態における情報取得処理］
初めに、第１の実施の形態における監視処理のうち、各公開サーバ２からアクセス先情報１３１の取得を行う処理（以下、情報取得処理とも呼ぶ）について説明を行う。図８は、第１の実施の形態における情報取得処理について説明するフローチャート図である。

監視装置１の情報取得部１１１は、図８に示すように、情報取得タイミングまで待機する（Ｓ１１のＮＯ）。情報取得タイミングは、例えば、管理者によってアクセス先情報１３１の取得を行う旨の入力があったタイミングであってよい。

そして、情報取得タイミングになった場合（Ｓ１１のＹＥＳ）、情報取得部１１１は、各公開サーバ２がアクセスを行う可能性がある他のサーバの識別情報を含むアクセス先情報１３１を各公開サーバ２から取得する（Ｓ１２）。

その後、監視装置１の情報管理部１１２は、Ｓ１２の処理で取得したアクセス先情報１３１を情報格納領域１３０に記憶する（Ｓ１３）。以下、アクセス先情報１３１の具体例について説明を行う。

［アクセス先情報の具体例］
図１２は、アクセス先情報１３１の具体例を説明する図である。具体的に、図１２は、公開サーバ２のうちのいずれか１台（例えば、公開サーバ２ａ）から取得したアクセス先情報１３１の具体例を説明する図である。

図１２に示すアクセス先情報１３１は、各アクセス先情報１３１を識別する情報が記憶される「項番」と、公開サーバ２によってアクセスされる可能性がある他のサーバの識別情報（ホスト名）が記憶される「ホスト名」とを項目として有する。

具体的に、図１２に示すアクセス先情報１３１において、「項番」が「１」である情報には、「ホスト名」として「ｌｏｃａｌｈｏｓｔ」が記憶され、「項番」が「２」である情報には、「ホスト名」として「ｋｅｖｉｎ」が記憶されている。

また、図１２に示すアクセス先情報１３１において、「項番」が「３」である情報には、「ホスト名」として「ｊｓｔｅｓｔ」が記憶され、「項番」が「４」である情報には、「ホスト名」として「ｄｕｎｃａｎ」が記憶されている。図１２に含まれる他の情報についての説明は省略する。

［第１の実施の形態における監視処理の詳細］
次に、第１の実施の形態における監視処理の詳細について説明を行う。図９から図１１は、第１の実施の形態における監視処理の詳細について説明するフローチャート図である。

監視装置１のコマンド取得部１１３は、図９に示すように、監視実施タイミングになるまで待機する（Ｓ２１のＮＯ）。

そして、監視実施タイミングになった場合（Ｓ２１のＹＥＳ）、コマンド取得部１１３は、各公開サーバ２によって所定の時間内に実行されたコマンドの内容を示すコマンド情報１３２を各公開サーバ２からそれぞれ取得する（Ｓ２３）。

具体的に、コマンド取得部１１３は、例えば、コマンドの取得を前回行ってから現在のまでの間に実行されたコマンドの内容を示すコマンド情報１３２の取得を行う。

その後、情報管理部１１２は、Ｓ２２の処理で取得したコマンド情報１３２を情報格納領域１３０に記憶する（Ｓ２３）。以下、コマンド情報１３２の具体例について説明を行う。

［コマンド情報の具体例（１）］
図１３は、コマンド情報１３２の具体例を説明する図である。具体的に、図１３は、公開サーバ２のうちのいずれか１台（例えば、公開サーバ２ａ）から取得したコマンド情報１３２の具体例を説明する図である。

図１３に示すコマンド情報１３２は、各コマンド情報１３２を識別する情報が記憶される「項番」と、公開サーバ２によって実行されたコマンドが記憶される「コマンド」とを項目として有する。

具体的に、図１３に示すコマンド情報１３２において、「項番」が「１」である情報には、「コマンド」として「ｉｄ −ｕｎ」が記憶され、「項番」が「２」である情報には、「コマンド」として「／ｂｉｎ／ｈｏｓｔｎａｍｅ」が記憶されている。

また、図１３に示すコマンド情報１３２において、「項番」が「３」である情報には、「コマンド」として「ｃａｔ ／ｅｔｃ／ｈｏｓｔｓ」が記憶され、「項番」が「４」である情報には、「コマンド」として「ｓｓｈ ｌｏｃａｌｈｏｓｔ」が記憶されている。

さらに、図１３に示すコマンド情報１３２において、「項番」が「５」である情報には、「コマンド」として「ｓｓｈ ｋｅｖｉｎ」が記憶され、「項番」が「６」である情報には、「コマンド」として「ｓｓｈ ｊｓｔｅｓｔ」が記憶されている。図１３に含まれる他の情報についての説明は省略する。

図９に戻り、監視装置１の攻撃判定部１１４は、公開サーバ２のうちの１台を特定する（Ｓ２４）。具体的に、攻撃判定部１１４は、例えば、公開サーバ２ａの特定を行う。

そして、攻撃判定部１１４は、情報格納領域１３０に記憶されたコマンド情報１３２のうち、Ｓ２４の処理で特定した公開サーバ２に対応するコマンド情報１３２に、他のサーバに対してアクセスを行うコマンドを示す情報が含まれているか否かを判定する（Ｓ２５）。

その結果、他のサーバ２に対してアクセスを行うコマンドを示す情報が含まれていると判定した場合（Ｓ２６のＹＥＳ）、攻撃判定部１１４は、図１０に示すように、情報格納領域１３０に記憶されたコマンド情報１３２（Ｓ２２の処理で取得したコマンド情報１３２）のうち、Ｓ２４の処理で特定した公開サーバ２に対応するコマンド情報１３２から、他のサーバに対するアクセスを行うコマンドを示すコマンド情報１３２を特定する（Ｓ３１）。以下、Ｓ３１の処理で特定された情報の具体例について説明を行う。

［Ｓ３１の処理で特定された情報の具体例］
図１４は、Ｓ３１の処理で特定された情報の具体例を説明する図である。具体的に、図１３で説明したコマンド情報１３２から特定された情報の具体例を説明する図である。

攻撃判定部１１４は、Ｓ３１の処理において、図１３で説明したコマンド情報１３２に含まれる情報から、他のサーバに対してアクセスを行うコマンド（例えば、「ｓｓｈ」や「ｔｅｌｎｅｔ」を含むコマンド）が記憶された情報を特定する。

具体的に、図１３で説明したコマンド情報１３２において、「項番」が「４」、「５」、「６」、「８」、「９」、「１１」及び「１２」である情報の「コマンド」には、それぞれ「ｓｓｈ」を含むコマンドが設定されている。そのため、攻撃判定部１１４は、この場合、図１４に示すように、図１３で説明したコマンド情報１３２に含まれる情報のうち、「項番」が「４」、「５」、「６」、「８」、「９」、「１１」及び「１２」である情報を特定する。

図１０に戻り、攻撃判定部１１４は、Ｓ３１の処理で特定したコマンド情報１３２に含まれるコマンドから、アクセス先の他のサーバに対応する識別情報を特定する（Ｓ３２）。以下、Ｓ３２の処理で特定された情報の具体例について説明を行う。

［Ｓ３２の処理で特定された情報の具体例］
図１５及び図１６は、Ｓ３２の処理で特定された情報の具体例を説明する図である。具体的に、図１５は、図１４で説明した情報から特定された情報の具体例を説明する図である。

攻撃判定部１１４は、Ｓ３２の処理において、図１４で説明した情報から、アクセス先のサーバの識別情報をそれぞれ特定する。

具体的に、図１４で説明した情報には、「ｓｓｈ」以外の文字列（ホスト名）として「ｌｏｃａｌｃａｓｔ」、「ｋｅｖｉｎ」、「ｊｓｔｅｓｔ」、「ｄｕｎｃｕｎ」、「ｓｖ１」、「ｓｖ２」及び「ｓｖ３」がそれぞれ含まれている。そのため、攻撃判定部１１４は、図１５に示すように、「ｌｏｃａｌｃａｓｔ」、「ｋｅｖｉｎ」、「ｊｓｔｅｓｔ」、「ｄｕｎｃｕｎ」、「ｓｖ１」、「ｓｖ２」及び「ｓｖ３」を示す情報（ホスト名）を識別情報として特定する。

図１０に戻り、攻撃判定部１１４は、情報格納領域１３０に記憶されたアクセス先情報１３１のうち、Ｓ２４の処理で特定した公開サーバ２に対応するアクセス先情報１３１を特定する（Ｓ３３）。

そして、攻撃判定部１１４は、Ｓ３２の処理で特定した識別情報のうち、実行順序が連続する所定数のコマンドのそれぞれに対応する識別情報（以下、第１識別情報とも呼ぶ）の順序が、Ｓ３３の処理で特定したアクセス先情報１３１に含まれる識別情報のうち、記憶順序が連続する所定数の識別情報（以下、第２識別情報とも呼ぶ）の順序と一致するか否かを判定する（Ｓ３４）。

具体的に、攻撃判定部１１４は、例えば、図１５で説明した情報の「ホスト名」に設定された情報のうち、実行順序が連続する所定数のコマンドのそれぞれに対応する情報（第１識別情報）の順序と、図１２で説明したアクセス先情報１３１の「ホスト名」に設定された情報のうち、記憶順序が連続する所定数の情報（第２識別情報）の順序との比較を行う。所定数のコマンドは、例えば、５個のコマンドであってよい。

ここで、図１５で説明した情報の「ホスト名」に設定された情報と、図１２で説明したアクセス先情報１３１の「ホスト名」に設定された情報とは、各情報の順序及び内容が全て一致している。そのため、例えば、Ｓ３４の処理における所定数が「５」である場合、攻撃判定部１１４は、第１識別情報の順序と第２識別情報の順序とが一致していると判定する。

図１０に戻り、第１識別情報の順序と第２識別情報の順序とが一致すると判定した場合（Ｓ３５のＹＥＳ）、攻撃判定部１１４は、Ｓ２４の処理で特定した公開サーバ２を、警告の出力を行う必要がある公開サーバ２として特定する（Ｓ３６）。

すなわち、アクセス先情報１３１（例えば、ｈｏｓｔｓファイル）にホスト名が含まれている各サーバに対して、アクセス先情報１３１における記憶順に従ってアクセスを行っている公開サーバ２の存在を検知した場合、攻撃判定部１１４は、検知した公開サーバ２が悪意のある者（図示しない）によって既にサイバー攻撃を受けており、他のサーバ（例えば、内部サーバ３）に対して攻撃を行う際の踏み台にされているものと判定することが可能である。

そのため、攻撃判定部１１４は、Ｓ３５の処理において、第１識別情報の順序と第２識別情報の順序とが一致すると判定した場合、Ｓ２４の処理で特定した公開サーバ２が既にサイバー攻撃を受けていると判定し、Ｓ２４の処理で特定した公開サーバ２を警告の出力を行う必要がある公開サーバ２として特定する。

これにより、監視装置１は、後述するように、サイバー攻撃を受けている可能性がある公開サーバ２の存在を管理者に認識させることが可能になる。

なお、例えば、図１６に示すように、Ｓ３２の処理で特定した情報が各識別情報を複数回ずつ連続した状態で含んでいる場合、攻撃判定部１１４は、連続している複数の識別情報を１つに集約する（連続している複数の識別情報から１つ以外の識別情報を削除する）ものであってよい。そして、攻撃判定部１１４は、この場合、Ｓ３２の処理で特定した情報に対して集約が行われた後の情報を用いることにより、第１識別情報の順序と第２識別情報の順序との比較を行うものであってよい。

これにより、監視装置１は、公開サーバ２に対して行われたサイバー攻撃の検知をより精度良く行うことが可能になる。

図１１に戻り、Ｓ３６の処理の後、攻撃判定部１１４は、Ｓ２４の処理において全ての公開サーバ２の特定を行ったか否かを判定する（Ｓ４１）。

その結果、全ての公開サーバ２の特定を行っていないと判定した場合（Ｓ４２のＮＯ）、攻撃判定部１１４は、Ｓ２４以降の処理を再度行う。

一方、全ての公開サーバ２の特定を行っていると判定した場合（Ｓ４２のＹＥＳ）、監視装置１の警告出力部１１５は、Ｓ３６の処理で特定した公開サーバ２が外部から攻撃を受けている可能性があることを示す情報を出力装置（図示しない）に出力する（Ｓ４３）。その後、監視装置１は、監視処理を終了する。

これにより、管理者は、出力装置に出力された情報を閲覧することで、外部からサイバー攻撃を受けている可能性がある公開サーバ２の存在を認識することが可能になる。そのため、管理者は、サイバー攻撃を受けている可能性がある公開サーバ２の調査等を迅速に開始することが可能になる。

なお、監視装置１は、Ｓ２６の処理において、他のサーバ２に対してアクセスを行うコマンドを示す情報が含まれていないと判定した場合（Ｓ２６のＮＯ）についても同様に、監視処理を終了する。また、監視装置１は、Ｓ３５の処理において、第１識別情報の順序と第２識別情報の順序とが一致しないと判定した場合（Ｓ３５のＮＯ）についても同様に、監視処理を終了する。

このように、本実施の形態における監視装置１は、公開サーバ２によって実行された複数のコマンドを取得する。そして、監視装置１は、取得した複数のコマンドに含まれる内容の関連性から、公開サーバ２が他のサーバ（例えば、内部サーバ３）に対して攻撃を行った可能性があるか否かを判定する。

その後、監視装置１は、少なくともいずれか１つの公開サーバ２が他のサーバに対して攻撃を行った可能性があると判定した場合、攻撃を行った可能性があると判定した公開サーバ２に関する警告を出力する。

すなわち、監視装置１は、公開サーバ２がサイバー攻撃によって既に乗っ取られているケースを予め想定し、公開サーバ２において実行されたコマンドの内容に基づくサイバー攻撃の検知を行う。

これにより、監視装置１は、公開サーバ２が乗っ取られた後においてもサイバー攻撃の検知を行うことが可能になる。そのため、監視装置１は、サイバー攻撃の検知をより精度良く行うことが可能になる。

［第２の実施の形態の詳細］
次に、第２の実施の形態について説明する。図１７から図１９は、第２の実施の形態における監視処理を説明するフローチャート図である。また、図２０から図２２は、第２の実施の形態における監視処理を説明する図である。

コマンド取得部１１３は、図１７に示すように、監視実施タイミングになるまで待機する（Ｓ５１のＮＯ）。

そして、監視実施タイミングになった場合（Ｓ５１のＹＥＳ）、コマンド取得部１１３は、各公開サーバ２によって所定の時間内に実行されたコマンドの内容を示すコマンド情報１３２を各公開サーバ２からそれぞれ取得する（Ｓ５３）。

具体的に、コマンド取得部１１３は、例えば、コマンドの取得を前回行ってから現在のまでの間に実行されたコマンドの内容を示すコマンド情報１３２の取得を行う。

その後、情報管理部１１２は、Ｓ５２の処理で取得したコマンド情報１３２を情報格納領域１３０に記憶する（Ｓ５３）。以下、コマンド情報１３２の具体例について説明を行う。

［コマンド情報の具体例（２）］
図２０は、コマンド情報１３２の具体例を説明する図である。具体的に、図２０は、公開サーバ２のうちのいずれか１台（例えば、公開サーバ２ａ）から取得したコマンド情報１３２の具体例を説明する図である。

図２０に示すコマンド情報１３２は、図１３で説明したコマンド情報１３２と同じ項目を有している。

具体的に、図２０に示すコマンド情報１３２において、「項番」が「１」である情報には、「コマンド」として「ｕｎａｍｅ −ｍ」が記憶され、「項番」が「２」である情報には、「コマンド」として「ｃａｔ ／ｅｔｃ／ｈｏｓｔｓ」が記憶されている。

また、図２０に示すコマンド情報１３２において、「項番」が「３」である情報には、「コマンド」として「ｉｎｃｏｎｆｉｇ −ａ」が記憶され、「項番」が「４」である情報には、「コマンド」として「ｓｓｈ １９２．１６８．０．１」が記憶されている。

さらに、図２０に示すコマンド情報１３２において、「項番」が「５」である情報には、「コマンド」として「ｓｓｈ １９２．１６８．０．２」が記憶され、「項番」が「６」である情報には、「コマンド」として「ｓｓｈ １９２．１６８．０．３」が記憶されている。図２０に含まれる他の情報についての説明は省略する。

図１７に戻り、攻撃判定部１１４は、公開サーバ２のうちの１台を特定する（Ｓ５４）。具体的に、攻撃判定部１１４は、例えば、公開サーバ２ａの特定を行う。

そして、攻撃判定部１１４は、情報格納領域１３０に記憶されたコマンド情報１３２のうち、Ｓ５３の処理で特定した公開サーバ２に対応するコマンド情報１３２に、ＩＰアドレスを含むコマンドを示す情報が含まれているか否かを判定する（Ｓ５５）。

その結果、ＩＰアドレスを含むコマンドを示す情報が含まれていると判定した場合（Ｓ５６のＹＥＳ）、攻撃判定部１１４は、図１８に示すように、情報格納領域１３０に記憶されたコマンド情報１３２（Ｓ５２の処理で取得したコマンド情報１３２）のうち、Ｓ５４の処理で特定した公開サーバ２に対応するコマンド情報１３２から、ＩＰアドレスを含むコマンドを示すコマンド情報１３２を特定する（Ｓ６１）。以下、Ｓ６１の処理で特定された情報の具体例について説明を行う。

［Ｓ６１の処理で特定された情報の具体例］
図２１は、Ｓ６１の処理で特定された情報の具体例を説明する図である。具体的に、図２１は、図２０で説明したコマンド情報１３２から特定された情報の具体例を説明する図である。

攻撃判定部１１４は、Ｓ６１の処理において、図２０で説明したコマンド情報１３２に含まれる情報から、ＩＰアドレスを含むコマンドが記憶された情報を特定する。

具体的に、図２０で説明したコマンド情報１３２において、「項番」が「４」、「５」、「６」、「７」、「９」及び「１０」である情報の「コマンド」には、それぞれＩＰアドレスを含むコマンドが設定されている。そのため、攻撃判定部１１４は、この場合、図２１に示すように、図２０で説明したコマンド情報１３２に含まれる情報のうち、「項番」が「４」、「５」、「６」、「７」、「９」及び「１０」である情報を特定する。

図１８に戻り、攻撃判定部１１４は、Ｓ６１の処理で特定したコマンド情報１３２の発生頻度を特定する（Ｓ６２）。

具体的に、攻撃判定部１１４は、例えば、Ｓ５２の処理で取得されたコマンド情報１３２に対応するコマンドのうち、Ｓ６１の処理で特定したコマンド情報１３２に対応するコマンドの個数を発生頻度として特定するものであってよい。

また、攻撃判定部１１４は、例えば、Ｓ５２の処理で取得されたコマンド情報１３２に対応するコマンドを、各コマンドが実行されたタイムスタンプに従って単位時間毎に区分けするものであってよい。そして、攻撃判定部１１４は、例えば、区分けされたコマンドの個数が最も多い単位時間に含まれるコマンドの個数を発生頻度として特定するものであってもよい。なお、単位時間は、例えば、情報格納領域１３０に記憶された閾値情報１３３に情報が含まれる単位時間であってよい。以下、閾値情報１３３の具体例について説明を行う。

［閾値情報の具体例］
図２２は、閾値情報１３３の具体例を説明する図である。

図２２に示す閾値情報１３３は、各閾値情報１３３を識別する情報が記憶される「項番」と、Ｓ６２の処理で参照される単位時間が記憶される「単位時間」と、「単位時間」に記憶された単位時間内に実行されるコマンドの上限閾値が記憶される「上限閾値」とを項目として有する。

具体的に、図２２に示す閾値情報１３３において、「項番」が「１」である情報には、「単位時間」として「２０（秒）」が記憶され、「上限閾値」として「２０（個）」が記憶されている。

図１８に戻り、攻撃判定部１１４は、Ｓ６２の処理で特定した発生頻度が情報格納領域１３０に記憶された閾値情報１３３に含まれる上限閾値を上回っているか否かを判定する（Ｓ６３）。

具体的に、攻撃判定部１１４は、例えば、図２２で説明した閾値情報１３３を参照し、Ｓ５２の処理で取得されたコマンド情報１３２に対応するコマンドのタイムスタンプが含まれる単位時間（２０（秒））に、Ｓ６１の処理で特定したコマンド情報１３２に対応するコマンドが２０（個）以上実行されている単位時間が含まれているか否かの判定を行う。

その結果、Ｓ６２の処理で特定した発生頻度が上限閾値を上回っていると判定した場合（Ｓ６４のＹＥＳ）、攻撃判定部１１４は、Ｓ５４の処理で特定した公開サーバ２を警告の出力を行う必要がある公開サーバ２として特定する（Ｓ６５）。

すなわち、ＩＰアドレスを含むコマンドを頻繁に実行している公開サーバ２を検知した場合、攻撃判定部１１４は、検知した公開サーバ２が悪意のある者（図示しない）によって既にサイバー攻撃を受けており、他のサーバに対して攻撃を行う際の踏み台にされていると判定することが可能である。

そのため、攻撃判定部１１４は、Ｓ５４の処理で特定した公開サーバ２から取得したコマンド情報１３２に基づいて特定された発生頻度（Ｓ６１の処理で特定したコマンド情報１３２の発生頻度）が上限閾値を上回っていると判定した場合、Ｓ５４の処理で特定した公開サーバ２が既にサイバー攻撃を受けていると判定する。そして、攻撃判定部１１４は、この場合、Ｓ５４の処理で特定した公開サーバ２を警告の出力を行う必要がある公開サーバ２として特定する。

これにより、監視装置１は、後述するように、サイバー攻撃を受けている可能性がある公開サーバ２の存在を管理者に認識させることが可能になる。

なお、攻撃判定部１１４は、公開サーバ２から取得したコマンド情報１３２を参照することにより、ＩＰアドレスの名前解決が行われる前の状態のコマンド（ＩＰアドレスがホスト名等に変換される前の状態のコマンド）に基づく判定を行うことが可能になる。

図１９に戻り、Ｓ６６の処理の後、攻撃判定部１１４は、Ｓ５４の処理において全ての公開サーバ２の特定を行ったか否かを判定する（Ｓ７１）。

その結果、全ての公開サーバ２の特定を行っていないと判定した場合（Ｓ７２のＮＯ）、攻撃判定部１１４は、Ｓ５４以降の処理を再度行う。

一方、全ての公開サーバ２の特定を行っていると判定した場合（Ｓ７２のＹＥＳ）、警告出力部１１５は、Ｓ６６の処理で特定した公開サーバ２が外部から攻撃を受けている可能性があることを示す情報を出力装置（図示しない）に出力する（Ｓ７３）。

これにより、管理者は、出力装置に出力された情報を閲覧することで、外部からサイバー攻撃を受けている可能性がある公開サーバ２の存在を認識することが可能になる。そのため、管理者は、サイバー攻撃を受けている可能性がある公開サーバ２の調査等を迅速に開始することが可能になる。

なお、監視装置１は、Ｓ５６の処理において、他のサーバ２に対してアクセスを行うコマンドを示す情報が含まれていないと判定した場合（Ｓ５６のＮＯ）についても同様に、監視処理を終了する。また、監視装置１は、Ｓ６４の処理において、上限閾値を上回っていないと判定した場合（Ｓ６４のＮＯ）についても同様に、監視処理を終了する。

以上の実施の形態をまとめると、以下の付記のとおりである。

（付記１）
外部からのアクセスが許可されている情報処理装置を監視する監視装置であって、
前記情報処理装置によって実行された複数のコマンドを取得する取得部と、
取得した前記複数のコマンドに含まれる内容の関連性から、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があるか否かを判定する判定部と、
前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定した場合、前記情報処理装置に関する警告を出力する出力部と、を有する、
ことを特徴とする監視装置。

（付記２）
付記１において、
前記判定部は、
取得した前記複数のコマンドから、他の情報処理装置のＩＰアドレスが指定されている特定のコマンドを特定し、
特定した前記特定のコマンドが所定時間内に所定回数以上実行されていることを検知した場合、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定する、
ことを特徴とする監視装置。

（付記３）
付記１において、さらに、
前記情報処理装置がアクセスする可能性がある他の情報処理装置の識別情報を記憶する記憶部を有し、
前記判定部は、
取得した前記複数のコマンドから、他の情報処理装置に対するアクセスを伴う特定のコマンドを特定し、
特定した前記特定のコマンドのうち、実行順序が連続する所定数のコマンドのそれぞれに対応する他の情報処理装置の第１識別情報の順序が、前記記憶部に記憶された識別情報のうち、記憶順序が連続する前記所定数の第２識別情報の順序と一致する場合、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定する、
ことを特徴とする監視装置。

（付記４）
付記３において、
前記判定部は、
前記第１識別情報に、各識別情報が連続した状態で複数ずつ含まれている場合、前記第１識別情報の順序が前記第２識別情報の順序と一致するか否かの判定を行う前に、連続した状態で含まれる複数の同一の識別情報のうち、１つ以外の識別情報を前記第１識別情報から削除する、
ことを特徴とする監視装置。

（付記５）
付記１において、
前記出力部は、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定した場合、前記情報処理装置が外部から攻撃を受けている可能性があることを示す情報を出力する、
ことを特徴とする監視装置。

（付記６）
付記１において、
前記他の情報処理装置は、前記外部からのアクセスが許可されていない情報処理装置である、
ことを特徴とする監視装置。

（付記７）
外部からのアクセスが許可されている情報処理装置を監視する監視方法であって、
前記情報処理装置によって実行された複数のコマンドを取得し、
取得した前記複数のコマンドに含まれる内容の関連性から、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があるか否かを判定し、
前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定した場合、前記情報処理装置に関する警告を出力する、
ことを特徴とする監視方法。

（付記８）
付記７において、
前記判定する工程では、
取得した前記複数のコマンドから、他の情報処理装置のＩＰアドレスが指定されている特定のコマンドを特定し、
特定した前記特定のコマンドが所定時間内に所定回数以上実行されていることを検知した場合、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定する、
ことを特徴とする監視方法。

（付記９）
付記７において、さらに、
前記情報処理装置がアクセスする可能性がある他の情報処理装置の識別情報を記憶部に記憶し、
前記判定する工程では、
取得した前記複数のコマンドから、他の情報処理装置に対するアクセスを伴う特定のコマンドを特定し、
特定した前記特定のコマンドのうち、実行順序が連続する所定数のコマンドのそれぞれに対応する他の情報処理装置の第１識別情報の順序が、前記記憶部に記憶された識別情報のうち、記憶順序が連続する前記所定数の第２識別情報の順序と一致する場合、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定する、
ことを特徴とする監視方法。

（付記１０）
外部からのアクセスが許可されている情報処理装置を監視する監視方法であって、
前記情報処理装置によって実行された複数のコマンドを取得し、
取得した前記複数のコマンドに含まれる内容の関連性から、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があるか否かを判定し、
前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定した場合、前記情報処理装置に関する警告を出力する、
処理をコンピュータに実行させることを特徴とする監視プログラム。

（付記１１）
付記１０において、
前記判定する処理では、
取得した前記複数のコマンドから、他の情報処理装置のＩＰアドレスが指定されている特定のコマンドを特定し、
特定した前記特定のコマンドが所定時間内に所定回数以上実行されていることを検知した場合、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定する、
ことを特徴とする監視プログラム。

（付記１２）
付記１０において、さらに、
前記情報処理装置がアクセスする可能性がある他の情報処理装置の識別情報を記憶部に記憶する、
処理をコンピュータに実行させ、
前記判定する処理では、
取得した前記複数のコマンドから、他の情報処理装置に対するアクセスを伴う特定のコマンドを特定し、
特定した前記特定のコマンドのうち、実行順序が連続する所定数のコマンドのそれぞれに対応する他の情報処理装置の第１識別情報の順序が、前記記憶部に記憶された識別情報のうち、記憶順序が連続する前記所定数の第２識別情報の順序と一致する場合、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定する、
ことを特徴とする監視プログラム。

１：監視装置 ２ａ：公開サーバ
２ｂ：公開サーバ ２ｃ：公開サーバ
３ａ：内部サーバ ３ｂ：内部サーバ
３ｃ：内部サーバ ５：ファイアーウォール装置
６：ファイアーウォール装置 １０：情報処理システム
１１：外部端末

Claims (8)

1. 外部からのアクセスが許可されている情報処理装置を監視する監視装置であって、
   前記情報処理装置によって実行された複数のコマンドを取得する取得部と、
   取得した前記複数のコマンドに含まれる内容の関連性から、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があるか否かを判定する判定部と、
   前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定した場合、前記情報処理装置に関する警告を出力する出力部と、を有する、
   ことを特徴とする監視装置。
2. 請求項１において、
   前記判定部は、
   取得した前記複数のコマンドから、他の情報処理装置のＩＰアドレスが指定されている特定のコマンドを特定し、
   特定した前記特定のコマンドが所定時間内に所定回数以上実行されていることを検知した場合、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定する、
   ことを特徴とする監視装置。
3. 請求項１において、さらに、
   前記情報処理装置がアクセスする可能性がある他の情報処理装置の識別情報を記憶する記憶部を有し、
   前記判定部は、
   取得した前記複数のコマンドから、他の情報処理装置に対するアクセスを伴う特定のコマンドを特定し、
   特定した前記特定のコマンドのうち、実行順序が連続する所定数のコマンドのそれぞれに対応する他の情報処理装置の第１識別情報の順序が、前記記憶部に記憶された識別情報のうち、記憶順序が連続する前記所定数の第２識別情報の順序と一致する場合、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定する、
   ことを特徴とする監視装置。
4. 請求項３において、
   前記判定部は、
   前記第１識別情報に、各識別情報が連続した状態で複数ずつ含まれている場合、前記第１識別情報の順序が前記第２識別情報の順序と一致するか否かの判定を行う前に、連続した状態で含まれる複数の同一の識別情報のうち、１つ以外の識別情報を前記第１識別情報から削除する、
   ことを特徴とする監視装置。
5. 請求項１において、
   前記出力部は、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定した場合、前記情報処理装置が外部から攻撃を受けている可能性があることを示す情報を出力する、
   ことを特徴とする監視装置。
6. 請求項１において、
   前記他の情報処理装置は、前記外部からのアクセスが許可されていない情報処理装置である、
   ことを特徴とする監視装置。
7. 外部からのアクセスが許可されている情報処理装置を監視する監視方法であって、
   前記情報処理装置によって実行された複数のコマンドを取得し、
   取得した前記複数のコマンドに含まれる内容の関連性から、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があるか否かを判定し、
   前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定した場合、前記情報処理装置に関する警告を出力する、
   ことを特徴とする監視方法。
8. 外部からのアクセスが許可されている情報処理装置を監視する監視方法であって、
   前記情報処理装置によって実行された複数のコマンドを取得し、
   取得した前記複数のコマンドに含まれる内容の関連性から、前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があるか否かを判定し、
   前記情報処理装置が他の情報処理装置に対して攻撃を行った可能性があると判定した場合、前記情報処理装置に関する警告を出力する、
   処理をコンピュータに実行させることを特徴とする監視プログラム。

Images