JP3828557B2

JP3828557B2 - 排他的ネットワーク管理システム及びその管理方法

Info

Publication number: JP3828557B2
Application number: JP2004254385A
Authority: JP
Inventors: 正浩鈴木; 秀喜吉田
Original assignee: Toshiba Corp; Toshiba Solutions Corp
Current assignee: Toshiba Corp; Toshiba Digital Solutions Corp
Priority date: 2004-09-01
Filing date: 2004-09-01
Publication date: 2006-10-04
Anticipated expiration: 2024-09-01
Also published as: JP2006074363A

Description

本発明は、組織内ネットワークへの不正端末の接続に対して、強制力をもって排除する排他的ネットワーク管理システム及びその管理方法に関する。

従来、コンピュータウィルスは電子メールを感染経路として不正に侵入する場合がほとんどであったが、近年ではＯＳの脆弱性に付け入ってサービスを停止させる攻撃を仕掛けて来る直接的な攻撃タイプのものが増えている。現実には、サービス提供サーバ、ポータルサイト、公的機関のサイト等に対し、クラッキング・ツールを用いて、サービスを停止させるＤＯＳ（ＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ）攻撃がかけられ、多大な被害を受けている。

そこで、一般的には、インターネットと組織内ネットワークとを接続する際、情報セキュリティの観点から、インターネットと組織内ネットワークとの間にファイアウォールを設置し、外部から不正に侵入する攻撃を回避する防御策をとっている組織がほとんどである。しかし、組織内ネットワークに接続される端末を源とする攻撃に関しては、各組織とも十分な防御策をとっていない。

特に、ウィルスによる被害や不正アクセスによる情報の流出は、組織の損失だけでなく、社会的な信頼性を損ねる事象でもある。それだけに、外部からの防御は勿論のこと、組織内のネットワークについても包括的に管理する重要性が益々高まっている。

そこで、組織内ネットワーク管理の重要性を踏まえ、ネットワークに不正に接続してくる不正端末を回避するために幾つかのシステムが提案されている。

（１）ＤＨＣＰ（ＤｙｍａｎｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）サーバに事前に許容端末ＭＡＣアドレスを登録しておき、端末からネットワークを通してＩＰアドレスの割当て要求を受けると、ＤＨＣＰサーバは、その端末のＭＡＣアドレスが許容端末ＭＡＣアドレスに登録されていればＩＰアドレスを割当て、登録されていなければＩＰアドレスの付与を制限するシステムである（例えば、特許文献１参照）。

（２）他の１つは侵入防止機能付きハブである。侵入防止機能付きハブは、事前に全ポートへの接続許可を与える端末のＩＰアドレスを登録しておき、ネットワークを流れるブロードキャストフレームを受信したとき、その受信したフレームがＡＲＰ（ＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ）フレームか否かを判断する。ここで、侵入防止機能付きハブは、ＡＲＰフレームであれば、当該ＡＲＰフレームの送信元ＩＰアドレスが登録済みの端末のＩＰアドレスに既に登録されているか否かをチェックし、登録されていない場合にはその未登録端末が接続されている該当ポートを利用できないようにする（例えば、特許文献２参照）。
特開２００１−２１１１８０号公報特開平１１−１７７５９７号公報

しかしながら、前述した特許文献１の技術では、次のような不都合な問題がある。
特許文献１で適用されているＤＨＣＰは、ＩＰアドレスの割当て要求があった端末に対して、ＩＰアドレスを割当てる枠組みとなっている。しかし、ＩＰアドレスを割当てる枠組みを採用するシステムでは、ＩＰアドレスの自動割当て以外にも、端末を所有する者がネットワーク周りのＩＰアドレス，サブネットマスク，デフォルト・ゲートウェイ等を設定できれば、組織内ネットワークに容易にアクセスすることが可能となる。このことは、不正な侵入者が故意に端末に以上した設定手続を施せば、組織内ネットワークに簡単に侵入することができる。よって、特許文献１の技術では、組織内ネットワークの管理には不十分であると言える。

次に、特許文献２の技術は、端末の接続許可をＩＰアドレスレベルで設定し、未登録端末が接続されたとき、ハブの該当ポートを使用不可とする技術である。しかし、ＩＰアドレスの設定を前提に正規端末とする限り、ＩＰアドレスが端末の一意性を特定するものでないことから、前述したように不正な侵入者が正規端末のＩＰアドレスを勝手に自身の端末に設定すれば、ネットワークに容易に侵入可能となる。よって、特許文献２の技術においても、組織内ネットワークの管理には不十分である。

また、組織内ネットワークでは、全国的なネットワーク網を張り巡らしたイントラネットなどの場合、無数の端末が存在することから、階層化された各ハブに例えば部署単位ごとの多数の端末を接続する構成をとっている。このようなネットワークシステムでは、ある下層ハブから不正端末が中層ハブ及び上層ハブを経由して不正侵入してきた場合、ＩＰアドレスが未登録であると判断し、上層ハブの該当ポートを使用不可とすると、該当ポートに連なる中層ハブ及び下層ハブに接続される正規端末がネットワークを使用できなくなる問題がある。

さらに、不正端末が階層化されたハブを経由してネットワークに不正に侵入して来た場合、当該不正端末の不正アクセスをブロックする必要があるが、そのためには上層の該当ポートに連なる該当部署単位のネットワーク機器の全てをリプレースするか、或いは該当部署単位の全てのネットワーク機器におけるＩＰアドレスなどを設定変更する必要がある。従って、現実的には、組織ネットワークに不正侵入された場合、多大な損害を蒙るとか、大掛かりな設定変更作業を必要とし、ネットワーク管理者の負担が非常に大きくなる問題がある。

本発明は以上のような事情に鑑みてなされたもので、組織内ネットワークに接続する不正端末に対し、より積極的にセキュリティを確保し、組織内管理ポリシーの一貫性を保証する排他的ネットワーク管理システム及びその管理方法を提供することを目的とする。

上記課題を解決するために、本発明に係る排他的ネットワーク管理システムは、組織内ネットワークに対する接続許可を受けている正規端末のＭＡＣアドレスを登録するＭＡＣアドレス登録手段と、
複数の攻撃パターンと前記組織内ネットワークにおける負荷の影響を少なく抑えつつ不正端末の活動を停止させるための攻撃内容規定データとを記憶する手段と、
前記組織内ネットワークを流れるフレーム中の送信元ＭＡＣアドレスと前記ＭＡＣアドレス登録手段に登録されるＭＡＣアドレスとから前記組織内ネットワークへの接続を許可されていない不正端末の接続を監視する監視エージェント部と、この監視エージェント部が接続許可を受けていない不正端末の接続と判断された場合、当該不正端末から必要な情報を収集し、予め設定されている複数の攻撃パターンの中から前記攻撃内容規定データに基づいて所望の攻撃パターンを選択し攻撃開始指令を出す管理サービス部と、この管理サービス部から攻撃開始指令を受けて前記攻撃パターンに応じた攻撃内容を用いて、前記不正端末にＤｏＳ攻撃をかけて動作不能状態にする攻撃エージェント部とを有する管理サービスサーバとを設けた構成である。

また、本発明に係る排他的ネットワーク管理システムは、組織内ネットワークに対する接続許可を受けている正規端末のＭＡＣアドレスを登録するＭＡＣアドレス登録手段と、
複数の攻撃パターンと前記組織内ネットワークにおける負荷の影響を少なく抑えつつ不正端末の活動を停止させるための攻撃内容規定データとを記憶する手段と、
前記組織内ネットワークを流れるフレーム中の送信元ＭＡＣアドレスと前記ＭＡＣアドレス登録手段に登録されるＭＡＣアドレスとから前記組織内ネットワークへの接続を許可されていない不正端末の接続を監視する監視エージェント部と、この監視エージェント部が接続許可を受けていない不正端末の接続と判断された場合、当該不正端末から必要な情報を収集し、予め設定されている複数の攻撃パターンの中から前記攻撃内容規定データに基づいて所望の攻撃パターンを選択し、攻撃開始指令とともに攻撃パターンを前記正規端末に分散配置されている攻撃エージェント部に送信し、当該攻撃パターンに応じた攻撃内容を用いて、前記不正端末にＤｏＳ攻撃をかけて動作不能状態にすることを要請する管理サービス部とを有する管理サービスサーバとを設けた構成である。

さらに、本発明は、予め組織内ネットワークに接続許可されている正規端末のＭＡＣアドレスが登録され、前記組織内ネットワークへの端末接続状態を管理する排他的ネットワーク管理方法であって、前記組織内ネットワークを流れるフレーム中の送信元ＭＡＣアドレスと前記登録されているＭＡＣアドレスとから前記組織内ネットワークへの接続を許可されていない不正端末の接続を監視する監視処理ステップと、この監視処理ステップで接続許可を受けていない不正端末の接続と判断された場合、当該不正端末から必要な情報を収集し、予め設定されている複数の攻撃パターンの中から当該各攻撃パターンごとに規定される前記組織内ネットワークにおける負荷の影響を少なく抑えつつ不正端末の活動を停止させるための攻撃内容規定データに基づいて所望の攻撃パターンを選択し出力する管理サービス処理ステップと、この管理サービス処理ステップから受けた前記攻撃パターンに応じた攻撃内容を用いて、前記不正端末にＤｏＳ攻撃をかけて動作不能状態にする攻撃ステップとを有する排他的ネットワーク管理方法である。

本発明によれば、組織内ネットワークに接続する不正端末に対し、より積極的にセキュリティを確保でき、組織内管理ポリシーの一貫性を保証することができる。

以下、本発明の実施の形態について図面を参照して説明するに先立ち、本発明を実現するに至った経緯について説明する。一般に、組織内ネットワーク管理者から接続許可を受けた端末が組織内ネットワークに接続することが原則である。しかし、組織内ネットワークに許可されていない端末（例えば自宅から持ち込んだ私物のパソコンなど）を同一組織内ネットワークに不正に接続することがある。ここで、接続とは、組織内ネットワークのＬＡＮに物理的にケーブル接続することを指す。

このように組織内ネットワークに接続を許可されていない端末が接続されると、自宅から持ち込んだパソコンがウィルスに感染している場合、そのウィルス感染が引き金となり、大きな損害を蒙ることが多い。また、高度に重要性及び機密性の高い個人情報が組織内サーバに保存されている場合、重要性及び機密性の高い個人情報が漏出する問題も多く出回っている。

そこで、従来、その対策に関し、前述した背景技術で説明した通りであるが、組織内ネットワークを完全に管理することができない。また、従来、組織内ネットワークへの不正端末の接続に対して、ネットワーク管理者は常に受身の体制しかとっていない。つまり、ネットワーク管理者は、不正端末の接続を検出した場合、コンピュータウイルスがどのような経路で侵入したか、不正端末が何れのネットワークに接続されているか等について徹底的に調べる。そして、不正端末が判明した段階で、不正端末の所有者に注意を促すか、別の対策を講じていた。その結果、ネットワーク管理者ないし組織は多大の損害を蒙るだけでなく、ネットワークを完全に復旧するまでに多大な負担がかかっている。

そこで、不正端末の接続を検出した場合、不正端末に対して自動的にＤｏＳ攻撃をかけることにより、迅速に不正端末のネットワーク接続を利用不可能状態にすることにより、より積極的、かつ強制力をもって組織内ネットワークを管理し、ネットワーク管理者の負担を大幅に軽減するために実現するに至ったものである。

図１は本発明に係る排他的ネットワーク管理システムの一実施の形態を示す構成図である。このシステムは、ＭＡＣアドレスデータベース（以下、ＭＡＣアドレスＤＢと呼ぶ）１と、ルータ等のフレーム中継部２を通るフレームのＭＡＣアドレスから不正端末のネットワーク接続を監視する監視エージェント部３と、管理サービス部４と、管理サービス部４の攻撃指示内容に従って組織内ネットワークに接続される不正端末にＤｏＳ攻撃をかける攻撃エージェント部５とが設けられている。

ＭＡＣアドレスＤＢ１は、ネットワーク管理者が組織内ネットワークへの接続を許可した正規端末のＭＡＣアドレスを一元管理する機能をもっている。ＭＡＣアドレスは、組織内ネットワークであるネットワーク媒体に接続する際に使用するものであって、インターネットインタフェースカード（ＮＩＣ）、ハブ（ＨＵＢ）などのあらゆる種類の組織内ネットワーク接続機器に割当てられている。なお、組織内ネットワークとは、ＬＡＮを含むイントラネットを指す。

監視エージェント部３は、フレーム中継部２のチェックポートを介して組織内ネットワークを流れるフレームを取り込み、フレーム内の送信元ＭＡＣアドレスに基づき、ＭＡＣアドレスＤＢ１に既に正規端末のＭＡＣアドレスとして登録されているか否かを監視する。この監視エージェント部３は、フレーム内の送信元ＭＡＣアドレスがＭＡＣアドレスＤＢ１に登録されていない場合、組織内ネットワークに不正に侵入する不正端末であると判断し、フレームに含まれるＩＰアドレスとともに接続アラート（警告）を管理サービス部４に送付する。すなわち、組織内ネットワーク内に不正端末がアクセスされてきたことを管理サービス部４に通知する。

管理サービス部４は、管理サービスデータベース（以下、管理サービスＤＢと呼ぶ）６を備えている。管理サービスＤＢ６には、例えば所定の管理サービス処理を実行する管理サービス処理用プログラム、図２に示すような複数種類のＤｏＳ（ＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ）攻撃パターン、攻撃内容を規定する攻撃内容規定データその他必要な情報が記憶されている。この攻撃内容規定データとは、不正端末のＯＳなどの脆弱性に応じて何れの攻撃パターンを選択するかの指標データを表し、具体的には、不正端末及び当該不正端末と直接接続されているハブ等の中継装置の間でできるだけ少ないネットワーク負荷で不正端末の活動を停止するために、不正端末のＣＰＵ（中央制御処理装置）やネットワーク接続手段（ネットワークインターフェースカード（ＮＩＣ））の稼働率を極限的に上げるなどするように攻撃エージェントの数を規定している。

管理サービス部４は、自ら、或いは組織内ネットワーク上に接続される１つ以上の正規端末に委託した全ての攻撃エージェント部５，…を統括し、監視エージェント部３から不正端末のＩＰアドレスとともに接続アラートを受け取ると、不正端末を攻撃する攻撃パターンを選択し、攻撃開始命令及び選択した攻撃パターンを攻撃エージェント部５に送信する。なお、管理サービス部４は、前述したように自らが攻撃エージェントの機能を持つ場合もあるが、クライアントサーバモデルを適用し、攻撃エージェントを組織内ネットワークに接続される正規端末に分散配置することもできる。この攻撃エージェントを分散配置した場合、組織内ネットワークに与える負荷の影響を考慮し、攻撃内容規定データに定める攻撃エージェント数に従い、負荷小（攻撃弱い）から負荷大（攻撃強い）とするＤｏＳ攻撃を行うための攻撃の強さデータ（攻撃エージェント指定データ）を各攻撃エージェント部５に送信する。

また、管理サービス部４は、ＧＵＩ（ＧｒａｐｈｉｃａｌＵｓｅｒ Iｎｔｅｒｆａｃｅ）インタフェースを用いて、攻撃パターンの設定変更を実施するサービス機能を持っている。この他、管理サービス部４は、ＧＵＩインタフェースを用いて、攻撃パターンの優先度付け、未知の端末に対する接続アラートを送信しない例外的処理及び管理者へのメール通知設定を実施するサービス機能を持っている。

さらに、管理サービス部４は、予め管理サービスＤＢに複数種類の攻撃パターンを記憶するが、組織内ネットワーク内に与える影響を最小限に抑えるために、ハブを経由してポートスキャンを実施し、不正端末から必要な情報を収集し、これら収集情報から例えばＯＳの脆弱性を判断して最適なＤｏＳ攻撃パターンを選択し、効果的に不正端末を利用不可能状態にする。

管理サービスＤＢに記憶されるＤｏＳ攻撃パターンの一例としては、ＳＹＮＦｌｏｏｄ（シンフラッド）攻撃パターン、Ｓｍｕｒｆ攻撃パターン、ｐｉｎｇｏｆｄｅａｔｈ攻撃パターン等が挙げられる。ＳＹＮＦｌｏｏｄ攻撃パターンはＤｏＳ攻撃の１つの手法である。このＳＹＮＦｌｏｏｄ攻撃は、具体的には、ＴＣＰセッションを確立する際に、不正端末に対して、セッションの確立を要求するＳＹＮフレーム（パケットともいう）を大量に送信する方法をとる。フレームを受けた不正端末はＳＹＮ＋ＡＣＫフレームを送信元に返信するが、フレームの送信元アドレスには存在しないアドレスが書かれているので、コネクションの確立完了を示すＡＣＫフレームが不正端末に返送されない。その結果、不正端末がＡＣＫフレームを待っている間にも、大量のＳＹＮフレームが送信されるので、バッファがオーバフローを起こし、不正端末が正常機能をできなくする。Ｓｍｕｒｆ攻撃は、同じくＤｏＳ攻撃パターンの１つであって、複数の攻撃エージェント部５から不正端末をターゲットに偽装したＩＣＭＰ（ＩｎｔｅｒｎｅｔＣｏｎｔｒｏｌＭｅｓｓａｇｅＰｒｏｔｏｃｏｌ）エコーリクエストをブロードキャストで一斉に送信する。そして、組織内ネットワークに接続される多数の正規端末の攻撃エージェント部５が一斉にレスポンスを返すことにより、ターゲットのネットワークリソースを枯渇させる攻撃である。ｐｉｎｇｏｆｄｅａｔｈ攻撃は、同じくＤｏＳ攻撃パターンの１つであって、複数の攻撃エージェント部５から不正端末に対して、通常よりもサイズの大きなｐｉｎｇパケットを送り付け、他の処理を不能に陥らせる攻撃である。

前記攻撃エージェント部５は、予め複数種類の攻撃パターンに対応するＤｏＳ攻撃用ソフトウエア（図２の攻撃方法）が搭載され、管理サービス部４からの攻撃開始指示に従って不正端末へのＤｏＳ攻撃を実施する。各攻撃エージェント部５は、それぞれ独立したＤｏＳ攻撃用ソフトウエアのモジュールを実装することから、組織内ネットワークに接続される任意の正規端末を指定して委託することができる。その結果、管理サービス部４は、組織内ネットワークに多数接続される正規端末の中から必要な数の正規端末に攻撃エージェント部５を搭載することができる。

図３は本発明に係る排他的ネットワーク管理システムを適用した１つの具体例であるネットワーク構成図である。
本発明のシステムを適用するネットワークは、管理サービスサーバ１１と、この管理サービスサーバ１１に接続されているルータ等のフレーム中継部２と、このフレーム中継部２に階層構造をもって接続されたハブ１２₁−１２₁₁，１２₁₂，…，１２_1nと、例えば最下層に位置する各ハブ１２₁₁，１２₁₂，…，１２_1nに接続される正規端末１３，…及び不正端末１４とで構成されている。なお、正規端末１３はネットワーク管理者から組織内ネットワークへの接続を許可された端末である。不正端末１４はネットワーク管理者から組織内ネットワークの接続を許可されていない端末である。

管理サービスサーバ１１は、前述した監視エージェント部３、管理サービス部４及び攻撃エージェント部５の全てのサービスを提供可能にした最も単純な形態をとったサーバである。この管理サービスサーバ１１には図１に示すＭＡＣアドレスＤＢ１及び管理サービスＤＢ６が接続されている。

管理サービスサーバ１１内の監視エージェント部３は、フレーム中継部２のチェックポイントから組織内ネットワークを流れるフレームの中から送信元ＭＡＣアドレスを取り込み、この取り込んだ送信元ＭＡＣアドレスがＭＡＣアドレスＤＢ１内に登録されているか否かを調べる。送信元ＭＡＣアドレスが未登録である場合に接続許可を受けていない不正端末１４からネットワークの接続を受けていると判断し、フレームに含まれる送信元ＩＰアドレス及び接続アラートを管理サービス部４に送信する機能を有する。

管理サービスサーバ１１内の管理サービス部４は、機能的には、図４に示すようにポートスキャン手段４１と、攻撃パターン決定手段４２と、ＤｏＳ攻撃指示手段４３と、不正端末不能確認手段４４とを設けている。なお、図1に示す管理サービス部４においても、同様の手段４１〜４４を設けている。

ポートスキャン手段４１は、監視エージェント部３から送られてくるＩＰアドレス及び接続アラートを受けると、このＩＰアドレスのもとに各ハブ１２₁−１２₁₁，１２₁₂，…，１２_1nの多数のポートに対してポートスキャンを実施し、不正端末１４からハブ１２を通して送られてくるリプライに含まれるＩＰアドレス及びポート番号を確定する。攻撃パターン決定手段４２は、ポートスキャン手段４１で確定したＩＰアドレス及びポート番号のもとに、当該不正端末１４に対して所望のリクエストを出し、不正端末１４のＯＳやバージョン等の必要な情報を収集し、不正端末１４のＯＳやバージョン等の脆弱性を含む情報の内容に応じて最適な攻撃パターンを決定する機能をもっている。ＤｏＳ攻撃指示手段４３は、攻撃パターン決定手段４２で攻撃パターンが決定されると、攻撃開始指令とともに、コード化された当該攻撃パターン、不正端末１４のＩＰアドレスその他必要とする設定情報等を攻撃エージェント部５に渡す。不正端末不能確認手段４４は、攻撃エージェント部５からＤｏＳ攻撃を行った後に該当ハブ例えば１２₁₁及び１２₁のポートからアクセスが確認されなくなったときに不正端末１４が動作不能状態になったことを確認する。

管理サービスサーバ１１内の攻撃エージェント部５は、管理サービス部４から攻撃開始、当該攻撃パターン、不正端末１４のＩＰアドレス等を受けると、攻撃パターンに応じたＤｏＳ攻撃方法を用いて不正端末１４にＤｏＳ攻撃を繰り返す機能をもっている。

このような実施の形態によれば、同一の管理サービスサーバ１１に監視エージェント部３、管理サービス部４及び攻撃エージェント部５に関する全てのサービス機能を設けたので、物理的に１台のサーバとなり、非常に安価なシステムを実現できるが、フレーム中継部１２及び上位層のハブ１２₁を利用することから、ネットワークに過大な負荷を与える恐れがあるので、ネットワークに与える影響を考慮しつつ必要な設定を行う必要がある。

しかしながら、管理サービス部４は、監視エージェント部３が不正端末１４を検出した場合、所定の手順に従って自動的に所望の攻撃パターンを決定し、攻撃エージェント部５を介して不正端末１４にＤｏＳ攻撃を行うので、組織内ネットワークに不正に接続する前に不正端末１４を迅速に利用不可能な状態にすることができる。よって、積極的、かつ強制力をもって組織内ネットワークを管理でき、従来のような不正端末のネットワーク接続による復旧・対策等の負担を大幅に軽減することができる。

図５は本発明に係る排他的ネットワーク管理システムを適用した別の具体例であるネットワーク構成図である。
本発明のシステムを適用するネットワークは、組織内ネットワークに与える負荷を軽減するために所望の正規端末１３，…に攻撃エージェント部５を委託し、組織内ネットワークを分散管理する例である。このような正規端末１３，…を攻撃エージェント部５を符号５ａを付して説明する。

このシステムは、管理サービスサーバ１１に監視エージェント部３及び管理サービス部４が設けられている。管理サービス部４においても、前述したようにポートスキャン手段４１、攻撃パターン決定手段４２、ＤｏＳ攻撃指示手段４３及び不正端末不能確認手段４４を有する。

また、管理サービスＤＢには管理サービス処理用プログラム、複数種類のＤｏＳ攻撃パターン、攻撃内容規定データが記憶されている。この攻撃内容規定データとは、不正端末のＯＳなどの脆弱性に応じて何れの攻撃パターンを選択するかの指標データを表し、具体的には、不正端末及び当該不正端末と直接接続されているハブ等の中継装置の間でできるだけ少ないネットワーク負荷で不正端末の活動を停止するために、不正端末のＣＰＵ（中央制御処理装置）やネットワーク接続手段（ネットワークインターフェースカード（ＮＩＣ））の稼働率を極限的に上げるなどするように攻撃エージェントの数を規定している。

このシステムにおいて、図３と比較して特に異なるところは、ＤｏＳ攻撃指示手段４３として、攻撃パターン決定手段４２で攻撃パターンを決定すると、攻撃開始指令とともに、当該攻撃パターン、攻撃の強さデータ（攻撃内容規定データで定める攻撃エージェント部５ａ及びエージェント数）、不正端末１４のＩＰアドレスその他必要とする設定情報等を各攻撃エージェント部５ａ，…に渡す。

不正端末不能確認手段４４は、各攻撃エージェント部５ａ，…が攻撃パターンに応じたＤｏＳ攻撃を予め定める回数にわたって不正端末１４に行ったにも拘らず、不正端末１４から該当ハブ例えば１２₁₁及び１２₁のポートを介してアクセスを受け取ると、不正端末１４が正常に動作していると判断し、ＤｏＳ攻撃指示手段４３に通知する。ＤｏＳ攻撃指示手段４３は、不正端末１４が正常に動作していることを知ると、攻撃パターン決定手段４２を含めてさらに強力な攻撃パターン及び追加すべきエージェント数の攻撃エージェント部５ａ，…を定めた攻撃の強さデータを該当する攻撃エージェント部５ａ，…に渡す。

各攻撃エージェント部５ａ，…は、さらに強化シグナルを用いて、不正端末１４にＤｏＳ攻撃を繰り返し、最終的に不正端末１４を動作不能状態にするものである。

この具体的な実施の形態によれば、管理サービスサーバ１１ではなく、各正規端末１３，…に攻撃エージェント部５ａを分散配置するとともに、不正端末１４を検出したとき、不正端末１４の脆弱性に基づく攻撃パターンを含めて攻撃エージェント部５ａの数を定めてネットワークに与える負荷を徐々大きくしていく。よって、図３に示すシステムと同様の効果を奏する他、例えば不正端末１４まで極力短い経路に存在する攻撃エージェント部５ａ，…を選択するようにすれば、組織内ネットワークへの負荷を大幅に軽減することが期待できる。

次に、以上のようなシステムの動作及び本発明に係る排他的ネットワーク管理方法について図６を参照して説明する。なお、説明の便宜上、図５に示す正規端末１３，…に攻撃エージェント部５ａ，…を分散配置したネットワークシステムの例について述べる。

先ず、監視エージェント部３は、フレーム中継部２のチェックポイントから組織内ネットワークを流れるフレームの中から送信元ＭＡＣアドレスを取り込んだ後（Ｓ１）、当該送信元ＭＡＣアドレスがＭＡＣアドレスＤＢ１内に登録されているか否かを調べ、不正端末１４のネットワーク接続の有無を判断する（Ｓ２）。送信元ＭＡＣアドレスがＭＡＣアドレスＤＢ１内に未登録である場合、接続許可を受けていない不正端末１４からのネットワーク接続であると判断し、管理サービス部４にフレームに含まれる不正端末１４のＩＰアドレス及び接続アラートを渡す。一方、送信元ＭＡＣアドレスがＭＡＣアドレスＤＢ１内に存在する場合には正規端末１３からのネットワーク接続と判断し、組織内ネットワークの接続を許可するとともに、最初のステップＳ１に戻り、同様の処理を繰り返し実行する。このステップＳ１及びＳ２は監視処理ステップに相当する。

管理サービス部４は、監視エージェント部３から不正端末１４のＩＰアドレス及び接続アラートを受けると、ポートスキャン手段４１を実行する。ポートスキャン手段４１は、受け取ったＩＰアドレスのもとに、不正端末１４に対して、ポートスキャンを実施し、不正端末１４からハブ１２を通して送られてくる不正端末１４のＯＳの諸情報（バージョン、サービスの稼動状態、脆弱性等）を取得する（Ｓ３：ポートスキャンステップ）。

引き続き、管理サービス部４は攻撃パターン決定手段４２を実行する。この攻撃パターン決定手段４２は、不正端末１４側から収集したＩＰアドレス及びポート番号、ＯＳやバージョン等の脆弱性から最適な攻撃パターンを決定し、組織内ネットワークに与える負荷を最小限に抑えるための攻撃の強さ（予め定めた数の攻撃エージェント部５ａ，…）を決定する（Ｓ４：攻撃パターン決定ステップ）。攻撃の強さとは、例えば図２に示す「ＳＹＮＦｌｏｏｄ」で一秒に数十個から数千個の大量パケットを送信する場合には、パケットの数量の多さ・少なさを表すものであり、攻撃パターンによって個別に規定されるものである。

攻撃パターン決定手段４２は、攻撃パターン等を決定すると、ＤｏＳ攻撃指示手段４３を実行する。ＤｏＳ攻撃指示手段４３は、攻撃開始命令に攻撃パターン、攻撃の強さデータ及び不正端末１４のＩＰアドレスを付加し、該当する攻撃エージェント部５ａ，…に送信する（Ｓ５：ＤｏＳ攻撃指示ステップ）。

ここで、攻撃エージェント部５ａ，…は、自身が攻撃の委託を受けたと判断すると、攻撃開始命令に攻撃パターン、攻撃の強さデータ及び不正端末１４のＩＰアドレスに基づき、攻撃パターンに応じた攻撃方法を用いて、受け取ったＩＰアドレスのもとに不正端末１４に対して所定回数ＤｏＳ攻撃をかける（攻撃ステップ）。

ここで、管理サービス部４の不正端末不能確認手段４４は、該当ハブ例えば１２₁₁及び１２₁のポートを通して不正端末１４からアクセスされているか否かを確認し（Ｓ６：不正端末不能確認ステップ）、未だ不正端末１４からアクセスされている場合、ステップＳ４に移行し、攻撃パターン決定手段４２に対して再度の攻撃パターン決定を要請し、更にネットワークに与える負荷の大きな攻撃パターン及び攻撃の強さを受け取り、ＤｏＳ攻撃指示手段４３から攻撃開始命令に攻撃パターン、攻撃の強さデータを付加し、該当する攻撃エージェント部５ａ，…に送信し、再度該当する攻撃エージェント部５ａ，…から不正端末１４にＤｏＳ攻撃をかける。そして、ＤｏＳ攻撃をかけた後、不正端末１４からアクセスが確認されなかったとき、不正端末１４が動作不能状態になったと判断し、最初の監視ルーチンに戻り、同様の処理を繰り返し実行する。

従って、以上のような方法の実施の形態によれば、前述するシステムと同様な効果を奏する。

すなわち、本発明システム及び方法によれば、不正端末のネットワーク接続時、ポートスキャンを行って不正端末から必要な情報を収集し、この収集した情報から最適な攻撃パターンを決定し、不正端末にＤｏＳ攻撃をかけるので、僅かに短い遅延をもって不正端末からのアクセスを完全に不能状態にすることができる。

また、監視エージェント部３及び管理サービス部４と攻撃エージェント部５とを分離し、攻撃エージェント部５を正規端末１３に分散配置するので、組織内ネットワークの負荷や影響範囲を軽減することができる。

なお、本発明は、上記実施の形態に限定されるものでなく、その要旨を逸脱しない範囲で種々変形して実施できる。また、各実施の形態は組み合わせて実施することが可能であり、その場合には組み合わせによる効果が得られる。

本発明に係る排他的ネットワーク管理システムの実施形態を示す構成図。本発明システムで用いる攻撃パターンの一例を説明する図。本発明に係る排他的ネットワーク管理システムの一具体例を示すネットワーク構成図。図１及び図３に示す管理サービス部内の機能構成図。本発明に係る排他的ネットワーク管理システムの別の具体例を示すネットワーク構成図。本発明に係る排他的ネットワーク管理システムの動作及び本発明に係る排他的ネットワーク管理方法を説明するフローチャート。

符号の説明

１…ＭＡＣアドレスＤＢ、２…フレーム中継部、３…監視エージェント部、４…管理サービス部、５，５ａ…攻撃エージェント部、６…管理サービスＤＢ、１１…管理サービスサーバ、１２_1，１２₁₁，１２₁₂，…，１２_1n…ハブ、１３…正規端末、１４…不正端末、４１…ポートスキャン手段、４２…攻撃パターン決定手段、４３…ＤｏＳ攻撃指示手段、４４…不正端末不能確認手段。

Claims

組織内ネットワークへの端末接続状態を管理する排他的ネットワーク管理システムにおいて、
前記組織内ネットワークに対する接続許可を受けている正規端末のＭＡＣアドレスを登録するＭＡＣアドレス登録手段と、
複数の攻撃パターンと前記組織内ネットワークにおける負荷の影響を少なく抑えつつ不正端末の活動を停止させるための攻撃内容規定データとを記憶する手段と、
前記組織内ネットワークを流れるフレーム中の送信元ＭＡＣアドレスと前記ＭＡＣアドレス登録手段に登録されるＭＡＣアドレスとから前記組織内ネットワークへの接続を許可されていない不正端末の接続を監視する監視エージェント部と、この監視エージェント部が接続許可を受けていない不正端末の接続と判断された場合、当該不正端末から必要な情報を収集し、予め設定されている複数の攻撃パターンの中から前記攻撃内容規定データに基づいて所望の攻撃パターンを選択し攻撃開始指令を出す管理サービス部と、この管理サービス部から攻撃開始指令を受けて前記攻撃パターンに応じた攻撃内容を用いて、前記不正端末にＤｏＳ攻撃をかけて動作不能状態にする攻撃エージェント部とを有する管理サービスサーバと
を備えたことを特徴とする排他的ネットワーク管理システム。
組織内ネットワークへの端末接続状態を管理する排他的ネットワーク管理システムにおいて、
前記組織内ネットワークに対する接続許可を受けている正規端末のＭＡＣアドレスを登録するＭＡＣアドレス登録手段と、
複数の攻撃パターンと前記組織内ネットワークにおける負荷の影響を少なく抑えつつ不正端末の活動を停止させるための攻撃内容規定データとを記憶する手段と、
前記組織内ネットワークを流れるフレーム中の送信元ＭＡＣアドレスと前記ＭＡＣアドレス登録手段に登録されるＭＡＣアドレスとから前記組織内ネットワークへの接続を許可されていない不正端末の接続を監視する監視エージェント部と、この監視エージェント部が接続許可を受けていない不正端末の接続と判断された場合、当該不正端末から必要な情報を収集し、予め設定されている複数の攻撃パターンの中から前記攻撃内容規定データに基づいて所望の攻撃パターンを選択し、攻撃開始指令とともに攻撃パターンを前記正規端末に分散配置されている攻撃エージェント部に送信し、当該攻撃パターンに応じた攻撃内容を用いて、前記不正端末にＤｏＳ攻撃をかけて動作不能状態にすることを要請する管理サービス部とを有する管理サービスサーバと
を備えたことを特徴とする排他的ネットワーク管理システム。
請求項１または請求項２記載の排他的ネットワーク管理システムにおいて、
前記管理サービス部は、
前記監視エージェント部が接続許可を受けていない不正端末の接続と判断された場合、前記不正端末から必要な情報を収集するポートスキャン手段と、
このポートスキャン手段で収集された情報から当該不正端末の脆弱性を判断し、この脆弱性に基づいて複数の攻撃パターンの中から前記攻撃内容規定データに基づいて所望の攻撃パターンを決定する攻撃パターン決定手段と、
この攻撃パターン決定手段による攻撃パターンの決定後、攻撃開始指令とともに、決定した攻撃パターン、前記攻撃内容規定データから得られる前記攻撃エージェント数を指定する攻撃の強さデータを送信するＤｏＳ攻撃指示手段と、
このＤｏＳ攻撃指示手段による攻撃開始指令に基づいて前記攻撃エージェント部から前記不正端末にＤｏＳ攻撃をかけた結果の当該不正端末の応答状態を確認する不正端末不能確認手段と
を備えたことを特徴とする排他的ネットワーク管理システム。
請求項３記載の排他的ネットワーク管理システムにおいて、
前記ＤｏＳ攻撃指示手段は、前記攻撃エージェント部から前記不正端末にＤｏＳ攻撃をかけた結果の当該不正端末の応答状態に基づいて前記不正端末不能確認手段が未だ不正端末が正常動作状態にあると判断した場合、更に攻撃エージェント数を増やした攻撃の強さデータを前記攻撃エージェント部に送信する
ことを特徴とする排他的ネットワーク管理システム。
予め組織内ネットワークに接続許可されている正規端末のＭＡＣアドレスが登録され、前記組織内ネットワークへの端末接続状態を管理する排他的ネットワーク管理方法において、
前記組織内ネットワークを流れるフレーム中の送信元ＭＡＣアドレスと前記登録されているＭＡＣアドレスとから前記組織内ネットワークへの接続を許可されていない不正端末の接続を監視する監視処理ステップと、
この監視処理ステップで接続許可を受けていない不正端末の接続と判断された場合、当該不正端末から必要な情報を収集し、予め設定されている複数の攻撃パターンの中から当該各攻撃パターンごとに規定される前記組織内ネットワークにおける負荷の影響を少なく抑えつつ不正端末の活動を停止させるための攻撃内容規定データに基づいて所望の攻撃パターンを選択し出力する管理サービス処理ステップと、
この管理サービス処理ステップから受けた前記攻撃パターンに応じた攻撃内容を用いて、前記不正端末にＤｏＳ攻撃をかけて動作不能状態にする攻撃ステップと
を有することを特徴とする排他的ネットワーク管理方法。
請求項５記載の排他的ネットワーク管理方法において、
管理サービス処理ステップは、
前記監視処理ステップで接続許可を受けていない不正端末の接続と判断された場合、前記不正端末から必要な情報を収集するポートスキャンステップと、
このポートスキャンステップで収集された情報から当該不正端末の脆弱性を判断し、この脆弱性に基づいて複数の攻撃パターンの中から所望の攻撃パターンを決定する攻撃パターン決定ステップと、
この攻撃パターン決定ステップによる攻撃パターンの決定後、攻撃開始指令とともに、決定した攻撃パターン、攻撃エージェント数を指定する攻撃の強さデータを送信するＤｏＳ攻撃指示ステップと、
このＤｏＳ攻撃指示ステップによる攻撃開始指令に基づいて前記攻撃ステップで前記不正端末にＤｏＳ攻撃をかけた結果の当該不正端末の応答状態を確認する不正端末不能確認ステップと
を有することを特徴とする排他的ネットワーク管理方法。