JP3968724B2

JP3968724B2 - ネットワーク保安システム及びその動作方法

Info

Publication number: JP3968724B2
Application number: JP2004323784A
Authority: JP
Inventors: ソンソ−ラ; シリューヨン; ウーリーサン; ヤンホンオー; ヨンピヨシュン
Original assignee: エルジーエヌ−シスインコーポレーテッド
Priority date: 2004-02-13
Filing date: 2004-11-08
Publication date: 2007-08-29
Anticipated expiration: 2024-11-08
Also published as: JP2005229573A; KR100609170B1; CN100463409C; CN1655518A; US20050182950A1; KR20050081439A

Description

本発明は、ネットワーク保安システム及びその動作方法に係り、より詳しくは、ネットワークトラフィックに対する損失なしで高速に処理するため、トラフィック攻撃探知及び遮断のためのＡＳＩＣに基づくパケット専用処理器を備え、トラフィック攻撃に対するハードウェア的フィルタリングを行う一方で、ソフトウェア的には一定時間トラフィックの程度を分析し、サービス拒否（Denial of Service：ＤｏＳ）攻撃のような動的攻撃に対してフィルタリングを行い、蓄積されたトラフィック統計情報を用いて攻撃予防情報を提供するネットワーク保安システム及びその動作方法に関するものである。

従来の場合、ネットワークトラフィック攻撃を遮断するため、各ホストに防火壁を設けるか、ゲートウェイ次元で、事前にネットワーク網に攻撃が浸透しないように、ソフトウェア及びハードウェアに基づく遮断システムを設置した。

そのほかに、ネットワークトラフィック攻撃を遮断するために設けるＬ７アプリケーションスイッチの場合、コンテンツフィルタリング機能を用いて、パターンの露出した特定攻撃に対してパターンを分析することにより、これを遮断した。

ここで、上記のような従来のゲートウェイ次元のソフトウェア及びハードウェアに基づく遮断システムとしては、一般の汎用ネットワークカードを内部／外部ネットワークに区分して搭載し、ネットワークパケットをソフトウェア的に処理して、ネットワークトラフィックの攻撃を遮断し、関連情報を管理者に伝達する構造、又は汎用システムとは別途の運営体制が搭載されたエンベデッドハードウェアをＰＣＩインターフェースで結合した構造で、エンベデッドハードウェアで高速のトラフィックを遮断するか伝達する機能を果たし、汎用システムではエンベデッドハードウェアの主要機能を除く侵入ログ管理者警報機能のようなほかの機能を果たすようにする構造がある。

前述したような、各ホストに設けられた防火壁(firewall)は、当該ホストに伝送されるネットワークパケットのうち、接近制御政策に基づき、パケットを伝達するか又は遮断する機能をするもので、ネットワーク網に不法使用者が接近してコンピュータ資源を使用又は撹乱し、あるいは重要な情報を不法に外部に流出することを防止することがその目的である。

また、ソフトウェアに基づく遮断システムは、探知及び遮断のためのソフトウェアエンジンを基にし、ネットワークカードから入力されたパケットを攻撃ルールに基づいて遮断するか又は伝達する機能をし、ハードウェアに基づく遮断システムは、探知及び遮断のためのエンジンを、別途の運営体制、メモリ、ＣＰＵを有するエンベデッドシステムに備えて保安機能を行うようにし、それに関連した情報を、結合された汎用コンピュータに通信して処理することになる。

また、Ｌ７アプリケーションスイッチの場合、通過するパケットのデータ部分に対し、アプリケーションレベルで、攻撃に対するパターンマッチングを行い、攻撃パケットと判断される場合、遮断することにより攻撃を防御することができる。

しかし、ホストに基づいて設けられる防火壁の場合は、ネットワークの規模が大きくなるほど、管理者が管理しにくくなり、ソフトウェアに基づく遮断システムの場合は、トラフィックが増加するほど、システムにかかる負荷により、全体トラフィック処理率が低下するため、トラフィックの攻撃を受けたとき、これに対する遮断率が低下する。

また、Ｌ７アプリケーションスイッチを用いる場合においても、コンテンツフィルタリングの際、性能低下及び装備のクラッシュが発生し得るという欠点がある。

また、ハードウェアに基づく遮断システムの場合、エンベデッドシステムで行われる主要機能を除くほかの機能を、これに連結されたウィンドウズ（登録商標）運営体制に基づく汎用コンピュータで行う構造であって、大規模のネットワーク環境で多数の遮断システムを統合管理しなければならない環境では、多少適しない構造を持っている。また、エンベデッドシステムと汎用コンピュータの直接的な結合により、汎用コンピュータの遮断のほかに、動作に対する安定性がエンベデッドシステムの遮断機能に直接的な影響を与える。

ネットワークトラフィック攻撃は、各単位パケットを調査して判断できるものと、連続したパケットのストリームから得られるものとに分類できるが、前述した従来のネットワーク保安システムは、パケットのストリームに対する検査と各単位パケットに対する検査を並行するため、パケット伝送の遅延の原因となり、ＣＰＵとＲＯＭ／ＲＡＭの要素を主構成とするエンベデッドシステムの場合においても、侵入判断のためのソフトウェア動作が必要であるため、実時間／全体トラフィック処理に限界があるという欠点がある。

また、従来のネットワーク保安技術は、単位パケットの調査に基づき、攻撃判断のための専用ボードを使用しているが、専用ボードは実時間／全体トラフィック処理のため、別途のＣＰＵ／ＲＯＭ／ＲＡＭに基づくソフトウェア的な動作を伴わないという問題点がある。

したがって、本発明は、ハードウェア処理及びソフトウェア処理を結合して、異常トラフィックの分析及び防止を行うネットワーク保安システム及びその動作方法を提供することをその目的とする。より具体的には、本発明は、ギガネットワーク網のような高容量トラフィックの環境で、保護しようとするネットワークラインにインライン（In-Line）モードで設置され、ネットワークに対する多段階の攻撃に対し、フィルタリングに基づき、実時間でネットワーク攻撃を探知及び遮断し、その後、管理者に関連情報を実時間で伝達するネットワーク保安システム及びその動作方法を提供することをその目的とする。

上記のような目的を達成するため、本発明によるネットワーク保安システムは、ネットワークトラフィックの静的攻撃に対するハードウェア的フィルタリングを一次的に行うパケット専用処理器と、ネットワークトラフィックの動的攻撃に対するソフトウェア的フィルタリングを二次的に行うソフトウェアフィルタを有するホストシステムとからなることを特徴とする。

静的攻撃に対するハードウェア的フィルタリングは、入力されるネットワークパケットに対して定義された保安政策に基づいてパターンマッチングして行い、動的攻撃に対するソフトウェア的フィルタリングは、パケット専用処理器で処理された結果が選択的にソフトウェアフィルタに伝達され、一定時間の間に発生するパケットストリームを分析して行うものであり、
前記ホストシステムに備えられたソフトウェアフィルタは、
ＤＭＡメモリ領域を介して、前記パケット専用処理器から遮断結果情報及びパケット情報を受けるパケット処理モジュールと、
前記パケット処理モジュールから遮断結果情報を受け、管理者警報機能を行う対応管理モジュールと、
前記パケット処理モジュールパケット情報を受けて動的攻撃フィルタリングを行う動的攻撃フィルタ及びスケジュール遮断フィルタと、
トラフィック攻撃に対する分析のため、前記パケット処理モジュールから受けた所定の情報をネットワークトラフィック分析システムに伝送するトラフィック処理モジュールと、
前記遮断結果情報を管理者に警報するため、これをデータ送受信モジュールに伝達する対応管理モジュールと、
ＴＣＰ／ＩＰソケットを介して遠隔管理システムに結果を伝送するデータ送受信モジュールと、
前記パケット専用処理器の状態初期化及び駆動モードに対する機能を行う構成管理モジュールと、
パケット専用処理器上の探知／遮断の基準となる静的保安政策をダウンロードして実時間でオンライン政策変更の機能を行う政策管理モジュールとを含むことを特徴とする。

パケット専用処理器及びソフトウェアフィルタに適用すべき保安政策を生成し、これをオンライン上で伝送する遠隔管理システムと、パケット専用処理器及びソフトウェアフィルタからネットワークトラフィック情報を受け、これを蓄積／分析して侵入予防情報を管理者に提供するネットワークトラフィック分析システムとをさらに含むことを特徴とする。

また、本発明の他の実施形態によれば、前記パケット専用処理器は、パケットをネットワーク及びゲートウェイに対して入出力するイーサネット（登録商標）コントローラと、前記イーサネット（登録商標）から入力されたパケットを分析し、ヘッダ情報はヘッダ検索エンジンに、かつコンテンツはパターン検索エンジンに伝達し、前記ヘッダ検索エンジン及びパターン検索で分析した結果を用いて、保安規則に違背するパケットを実時間で検索及び遮断するインラインコントローラと、前記インラインコントローラにより設定された値によってコンテンツ検索を行い、その結果を前記インラインコントローラに伝達するパターン検索エンジンと、前記インラインコントローラにより設定されたパケットのヘッダ検索を行い、その結果を前記インラインコントローラに伝達するヘッダ検索エンジンと、パケット検索結果による処理方法を記憶しており、前記インラインコントローラのパケット検索結果を入力として、前記処理方法を前記インラインコントローラに伝達するＳＲＡＭ（Action Info Database）と、前記パターン検索エンジン及び前記ヘッダ検索エンジンで使用する検索条件及び前記ＳＲＡＭで使用する情報の設定のため、前記ホストシステムから所定の情報を受け、パケット処理の結果、統計情報データをホストシステムに伝達して、処理結果及び状態を報告するＰＣＩと、を含んでいる。

また、前記ネットワーク分析システムは、前記防止システムから伝達されるトラフィック情報を受信し、これをデータベースシステムに記憶させるデータ送受信モジュールと、蓄積されたトラフィック情報を用いてトラフィック分布情報を管理者に提供するサービス別トラフィック分析モジュール又はパケットサイズ別トラフィック分析モジュールと、知られていない攻撃から生じ得る異常トラフィックを分析するための政策管理モジュールと、前記データベースシステムに蓄積されたトラフィック情報を用いて、管理者のための統計情報及び異常トラフィック関連情報に対する形式化した報告書を提供する報告書管理モジュールとを含んでいる。

また、本発明のほかの実施形態によるネットワーク保安システムは、ネットワークに対するトラフィック攻撃を遮断するため、ネットワークのゲートウェイに透過性（transparent）モードで連結された防止システムと、防止システムに適用される保安規則を生成し、これをオンライン上で防止システムに伝送する遠隔管理システムと、防止システムからネットワークトラフィック情報を受け、これを蓄積／分析して侵入予防情報を管理者に提供するネットワークトラフィック分析システムとを含んでなることを特徴とする。

防止システムは、前述したネットワークトラフィックの静的攻撃に対するハードウェア的フィルタリングを一次的に行うパケット専用処理器と、ネットワークトラフィックの動的攻撃に対するソフトウェア的フィルタリングを二次的に行うソフトウェアフィルタを有するホストシステムとからなることを特徴とする。

また、本発明によるネットワーク保安システムの動作方法は、ネットワークトラフィックの静的攻撃に対するハードウェア的フィルタリングを行う段階と、ハードウェア的フィルタリングにより処理された結果、及び前記ハードウェア的フィルタリングに流入したパケットにより一定時間の間に発生するパケットストリームを分析して、ネットワークトラフィックの動的攻撃に対するソフトウェア的フィルタリングを行う段階と、前記ソフトウェア的フィルタリングにより処理された結果情報を蓄積及び分析して、侵入予防情報管理者に提供する段階とを含んでなることを特徴とする。

前記方法は、前記静的保安政策及び動的攻撃に対する設定、遮断ログのデータ管理、及びそのほかの保安管理を含む情報をオンライン上で伝送する段階をさらに含むことを特徴とする。

前記ハードウェア的フィルタリングを行う段階は、ネットワーク及びゲートウェイからパケットを入力する段階と、前記パケット内部のヘッダ情報、コンテンツ情報を設定された保安政策により実時間で分析する段階と、前記保安政策に違背するパケットを実時間で検索及び遮断して、パケットの形態及び長さにかかわらず、パケットを処理する段階とを含むことを特徴とする。

前記ソフトウェア的フィルタリングを行う段階は、前記ハードウェア的フィルタリングによる遮断結果情報とパケット情報を受ける段階と、前記遮断結果情報を受けて管理者警報機能を行い、前記パケット情報を受けて動的攻撃フィルタリングを行う段階と、前記動的攻撃フィルタリングの結果を遠隔管理システムに伝送する段階とを含むことを特徴とする。

前記動的攻撃フィルタリングは、前もって定義された動的攻撃保安政策及びスケジュール遮断政策に基づき、入力されたパケット情報を累積し、一定時間の間のトラフィック推移を分析し、前記トラフィックが異常トラフィックで限界値を超えると判断されるとき、前記遮断政策を対応管理モジュールに伝達し、これをパケット専用処理器に伝達することであることを特徴とする。

以上のような本発明のネットワーク保安システム及びその動作方法によると、ギガ級の高容量トラフィック環境で、パケットの損失又は遅延なしで実時間で攻撃の入っているパケットをハードウェアに基づくパケット専用処理器で探知及び遮断することにより、効果的に攻撃を防御することができ、さらに、静的攻撃でない動的攻撃に対しては、汎用コンピュータ上のソフトウェアフィルタを介してフィルタリングが行われるため、異常トラフィックに対し、より安全に内部ネットワーク網を保護することができる利点がある。

また、本発明によると、従来のネットワーク構造の変更なしで設置することができるので、費用を最小にすることができ、さらに、多数の防止システムを統合して管理することができるので、大規模環境のネットワーク環境での管理が容易であるという利点がある。

以下、添付図面に基づき、本発明の実施形態を詳細に説明する。
図１は、本発明によるネットワーク保安システムを備えたネットワーク網の構成を概略的に示す図である。

同図に示すように、インターネット、つまり外部ネットワークにクライアント１１とサーバ１２が連結され、外部ネットワークから内部ネットワークに流入するトラフィック攻撃を遮断するため、本発明による異常分析／防止システム１４（以下、防止システムという）は、既存のネットワーク環境が変更されないように保護しようとする内部ネットワークのゲートウェイ１３に透過性モードで連結されている。

すなわち、防止システム１４は、保護しようとする内部ネットワークにあるホストと、インターネットに連結されたホストとの全ての通信トラフィックに対して実時間攻撃探知及び遮断を行い、その結果を管理コンソール、つまり遠隔管理システム５０に伝送する。

防止システム１４は、ＰＣＩ形態のカードから製作されたパケット専用処理器２０と、該パケット専用処理器が設けられたホストシステム２７とからなり、これにより、トラフィック攻撃に対し、ハードウェア的フィルタリングとソフトウェア的フィルタリングを順次行う。

また、遠隔管理システム５０においては、防止システム１４に適用すべき保安規則を生成することができ、これをオンラインで防止システム１４に伝送して適用することができる。

この際、遠隔管理システム５０が同時に多数の防止システム１４を統合して管理し得るように、防止システム１４には、遠隔管理システム５０との通信のための別途のネットワークインターフェースカードが設けられている。

本発明によるネットワーク保安システムの構成及びその動作をより詳細に説明すると次のようである。

まず、防止システム１４には、ネットワークインターフェースとスタティックルール（以下、静的保安政策という）、つまり攻撃に対する対応情報をロードするためのＳＲＡＭ及びＰＣＩインターフェースなどに基づいてカードから構成されたパケット専用処理器が設けられているので、これにより、１次的にネットワークトラフィックに対する静的攻撃をフィルタリングする。

また、パケット専用処理器で処理された結果として、流入したパケットに対する遮断結果情報、パケット専用処理器で一次的にフィルタリングされたパケット、パケット専用処理器に流入した全体パケット、又は任意の条件によるパケットの一部情報（一例として、全体パケットに対するそれぞれのヘッダ情報）が防止システムのホストシステムに設けられる所定のソフトウェアフィルタに伝達され、これにより、一定時間発生するパケットストリームを分析して、サービス拒否（ＤｏＳ）攻撃などのような動的攻撃を２次的にフィルタリングする。

すなわち、防止システム１４は、パケット処理部分に対して攻撃探知及び遮断のためのパケット専用処理器をＡＳＩＣで実現し、ネットワークパケットの入力を受け、これを定義されたルール（静的保安政策）に基づいてパターンマッチングさせることにより、ネットワークトラフィックの静的攻撃（Static Attack）に対するハードウェア的フィルタリングを一次に行う。

パケット専用処理器で処理された結果として、流入したパケットに対する遮断結果情報、前記パケット専用処理器で一次的にフィルタリングされたパケット、前記パケット専用処理器に流入した全体パケット、又は任意の条件によるパケットの一部情報（一例として、全体パケットに対するそれぞれのヘッダ情報）が選択的に所定のソフトウェアフィルタに伝達され、これにより、一定時間の間に発生するパケットストリームを分析することにより、ネットワークトラフィックの動的攻撃（Dynamic Attack）に対するソフトウェア的フィルタリングを二次的に行う役割をする。

ここで、静的攻撃は、一例としてシグネチャによる攻撃（Signature Detection）により収集された単位パケットのみで攻撃の特性を判断し得る攻撃を意味するものであり、動的攻撃は、一例としてＤｏＳ攻撃又は異常(anomaly)攻撃により一定期間の間に収集されたパケットストリームを分析することで攻撃可否を判断し得る攻撃を意味するものである。

このように、防止システム１４により得られるネットワークトラフィック情報は別途のネットワークトラフィック分析システム６０に伝達し、ネットワークトラフィック分析システム６０はこれら情報を蓄積、分析して、侵入予防情報を管理者に提供する役割をする。
この際、ネットワークトラフィック分析システム６０は、遠隔管理システム５０に搭載されるか、又は独立的に運営できるシステムである。

また、遮断ログのデータ管理、あるいは静的保安政策及び動的攻撃政策に対する設定、パケット専用処理器及びソフトウェアフィルタの環境設定、及びそのほかの保安管理の機能をする管理機能は、ＴＣＰ／ＩＰ環境のソケット通信を介して遠隔で連結可能な別途の遠隔管理システム５０で実現し、大規模の統合環境の構築が可能である。

また、防止システム１４は、遮断ログ情報を受信し、これをデータベース化し、管理者にメール、ＳＭＳなどを介して伝送して、第２警報機能を行うようにする。

図２は、図１に示す防止システムの構成を示すブロック図である。
同図に示すように、防止システムは、ネットワークトラフィックの静的攻撃に対するハードウェア的フィルタリングを一次的に行うパケット専用処理器２０と、二次的にネットワークトラフィックの動的攻撃（サービス拒否（ＤｏＳ）攻撃など）に対するソフトウェア的なフィルタリングを行うホストシステム２７とから構成される。

パケット専用処理器２０は、ＡＳＩＣで構成された大容量トラフィック処理専用パケットパターン検索エンジン（Pattern Search Engine；ＰＳＥ）２４が搭載されているので、ギガ環境で両方向２Ｇｂｐｓのトラフィックをインラインモードで、パケットの大きさにかかわらず、実時間で処理することができる。

このようなパケット処理能力を基にして、パケット内部のヘッダ情報、コンテンツなどを設定ルールによって実時間で分析して、保安規則に違背するパケットを実時間で検索及び遮断することにより、パケット形態及び長さにもかかわらず、安定で透明にパケットを処理する。

パケット専用処理器２０のイーサネット（登録商標）コントローラ(以下ＰＨＹという）２１はギガバイトラインのインターフェースからパケットを入力してインラインコントローラ（In-Line Controller、以下ＩＬＣという）２２で処理できるようにするもので、２階層（Layer 2）の機能を行う。さらに、入力されてパケット専用処理器２０の内部で処理されたパケットをラインに出力する機能をする。

また、ＩＬＣ２２はＰＨＹ２１から入力されたパケットを分析し、ヘッダ情報はヘッダ検索エンジン（Header Search Engine、以下ＨＳＥという）２３に、かつコンテンツ、つまりパターンはパターン検索エンジン（Pattern Search Engine、以下ＰＳＥという）２４に伝達し、ＨＳＥ２３及びＰＳＥ２４の両エンジンで分析した結果を用いて当該パケットのフォーワーディングなどの処理を行う。

また、遠隔管理システム５０からＰＣＩコントローラ２６及びホストシステム２７を介して伝達されたＰＳＥ２４、ＨＳＥ２３などの内部設定情報を当該ＰＳＥ２４、ＨＳＥ２３などに伝達し、パケット処理結果などの情報をＰＣＩコントローラ２６を介してホストシステム２７に伝達する。

ここで、パケット専用処理器２１とホストシステム２７間の通信を担当するＰＣＩコントローラ２６はホストシステム２７とのデータ伝達パスであって、ＰＳＥ２４、ＨＳＥ２３で使用する検索条件と、ＳＲＡＭ（Action info Database）２５で使用すべき情報などの設定のため、遠隔管理システム５０からホストシステム２７を介して所定の情報を受け、また、パケット処理結果、統計情報などのデータをホストシステム２７を介して遠隔管理システム５０に伝達して、処理結果、状態などを報告するパスとして使用する。

この際、ＡＳＩＣで構成されたＰＳＥ２４には、検索条件（すなわち、流入するパケットが正常パケットであるか否かを判断し得る比較情報）が最初に遠隔管理システム５０から伝送されて記憶され、ＳＲＡＭ２５には、ネットワークトラフィック攻撃に対する対応情報（すなわち、フィルタリングパケットを遮断するか、又はパスするかなどに対する判断情報）が最初に遠隔管理システム５０から伝送されて記憶されるものである。

すなわち、パケット分析の主要構成要素として、トラフィック攻撃に対するロジックを有するＰＳＥ２４はＡＳＩＣから構成され、遠隔管理システム５０からＩＬＣ２２を介して伝送された検索条件が設定され、その設定値によってコンテンツ検索を行い、その結果をＩＬＣ２２に伝達する役割をする。

また、ＨＳＥ２３もＩＬＣ２３により設定された値によってパケットのヘッダ検索を行い、その結果をＩＬＣ２２に伝達する役割をする。
また、パケット専用処理器２０のＳＲＡＭ２５はパケット検索結果による処理方法を持っているＤＢであって、遠隔管理システム５０からＩＬＣ２２を介して伝送された対応情報が設定され、ＩＬＣ２２のパケット検索結果を入力とし、入力されるパケットに対する処理方法をＩＬＣ２２に伝達する。

図３は、図２に示すホストシステムに設けられたソフトウェアフィルタの内部構成モジュール間の機能流れを示すブロック図である。

ここで、ソフトウェアフィルタは、ネットワークトラフィックの動的攻撃をソフトウェア的にフィルタリングするもので、図２に示すホストシステムのＣＰＵ２８上で動的攻撃探知及びそのほかの保安機能をする。

ソフトウェアフィルタの主要機能である動的攻撃フィルタリング機能の動作を説明すると次のようである。

まず、パケット処理モジュール３３が、ＤＭＡ（Direct Memory Access）のメモリ領域を介して、パケット専用処理器２０から処理結果として、流入したパケットに対する遮断結果情報、パケット専用処理器で一次的にフィルタリングされたパケット、パケット専用処理器に流入した全体パケット、又は任意の条件によるパケットの一部情報（一例として、全体パケットに対するそれぞれのヘッダ情報）を選択的に受けた後、遮断結果情報は対応管理モジュール３７に伝達して、管理者警報機能を行うようにし、パケット情報は、動的攻撃フィルタリングのため、動的攻撃フィルタ３５とスケジュール遮断フィルタ３６に伝達する。

この際、パケット処理モジュール３３は、使用者の設定によって、パケット専用処理器２０から処理結果として、流入したパケットに対する遮断結果情報、パケット専用処理器で一次的にフィルタリングされたパケット、パケット専用処理器に流入した全体パケット、又は任意の条件によるパケットの一部情報（一例として、全体パケットに対するそれぞれのヘッダ情報）を選択的に受けることができる。

また、パケット処理モジュール３３は、所定のトラフィック情報をトラフィック処理モジュール３４に伝達して、ネットワークトラフィック分析システム６０に統計情報が伝送できるようにする。

動的攻撃フィルタ３５とスケジュール遮断フィルタ３６は、前もって定義された動的攻撃保安政策及びスケジュール遮断政策に基づき、入力されたパケット情報の一定期間のトラフィック推移を分析し、トラフィックが異常トラフィックで、限界値を超えると判断されるとき、遮断政策を対応管理モジュール３７に伝達し、これをパケット専用処理器２０に伝達することにより、パケット専用処理器２０が異常トラフィックを遮断し得るようにする。すなわち、パケット専用処理器２０に遮断政策を付け加えるようにする。

対応管理モジュール３７は、パケット専用処理器２０から伝達されたパケットの遮断結果情報を管理者に警報するため、データ送受信モジュール４０に伝達し、データ送受信モジュール４０は、結果をＴＣＰ／ＩＰソケットを介して遠隔管理システム５０に伝送する。

データ送受信モジュール４０は、遮断結果情報の管理者警報機能のほかにも、遠隔管理システム５０により定義された保安政策及び構成管理情報を受信し、これを構成管理モジュール３８及び政策管理モジュール３９に伝達し、これにより、構成管理モジュール３８及び政策管理モジュール３９は、パケット専用処理器２０及びソフトウェアフィルタ３０に保安政策及び構成管理情報を適用する機能を行う。

また、データ送受信モジュール４０は、遠隔管理システム５０とパケット専用処理器及びホストシステムが設けられた防止システム１４間の通信上の相互認証機能を持っている。

構成管理モジュール３８はパケット専用処理器２０の状態初期化及び駆動モードに対する機能を行い、政策管理モジュール３９は、ＰＣＩコントローラ２６を介して、パケット専用処理器２０上の探知／遮断の基準となる静的保安政策をダウンロードして、実時間でオンライン政策変更機能を行う。

図４は、図１に示す遠隔管理システムの構成を示すブロック図である。
すなわち、図４は、防止システム１４から生じた遮断情報の管理者警報機能と、防止システム１４の運営のための保安政策を含む全ての構成管理情報を管理する遠隔管理システム５０の構成要素を示すものである。

遠隔管理システム５０の主要機能は、防止システム１４から生じた遮断ログをデータ送受信モジュール５６を介して管理者に警報するとともに、多数の防止システム１４から受信した遮断ログを統合して管理し得るようにするものである。さらに、防止システムの構成管理情報及び遮断関連保安政策を防止システムに伝送し、これを適用させる機能を行う。

図４に示すように、データ送受信モジュール５６は、受信したログ情報を侵入遮断ログ管理モジュール５４を介してデータベースシステム１５に記憶し、そのほかにも、構成管理モジュール５２から定義される防止システム１４の構成管理情報と、政策管理モジュール５３から定義される遮断関連保安政策を防止システム１４に適用する機能をする。

また、データ送受信モジュール５６は、遠隔管理システム５０と防止システム１４間の通信上の相互認証機能をさらに持っている。

政策管理モジュール５３は、防止システム１４のパケット専用処理器２０上の静的攻撃に対するフィルタリング規則を定義する機能と、ホストシステム２７のＣＰＵ２８上のソフトウェアフィルタ３０の動的攻撃のフィルタリング規則とスケジュールフィルタリングのための規則を定義する機能を行う。

そのほかに、使用者認証管理モジュール５１は、遠隔管理システム５０及び防止システム１４の使用者認証情報を管理し、遠隔管理システムの５０の印加された使用者が接近できるように使用者認証機能を行う。
また、報告書管理モジュール５５は、データベースシステムに蓄積された遮断情報を用いて、管理者のための統計情報及び遮断ログに対する形式化した報告書を提供する役割をする。

図５は、図１に示すトラフィック分析システムの構成を示すブロック図である。
すなわち、図５は防止システム１４からトラフィック情報を受けてトラフィックの変化を分析するネットワークトラフィック分析システム６０の構成要素を示すものである。

同図に示すように、データ送受信モジュール６６は、防止システム１４から伝達されたトラフィック情報を受信し、これをデータベースシステム１５に記憶させ、これをトラフィック負荷変化率分析モジュール６１に伝達して実時間変化率を管理者に提供する。

また、サービス別トラフィック分析モジュール６２又はパケットサイズ別トラフィック分析モジュール６３は、蓄積されたトラフィック情報を用いてトラフィック分布情報を管理者に提供する。

また、ネットワークトラフィック分析システム６０は、知られていない攻撃から生じ得る異常トラフィックを分析するため、政策管理モジュール６４を備えているが、これは、正常トラフィックと区分できる異常トラフィックの基準を定立して政策化し、これを分析し、異常トラフィックと分析される情報を管理者に通報して、侵入予防が可能であるようにする役割をする。

また、報告書管理モジュール６５は、データベースシステム１５に蓄積されたトラフィック情報を用いて、管理者のための統計情報及び異常トラフィック関連情報に対する形式化した報告書を提供する。

ここで、ネットワークトラフィック分析システム６０は、遠隔管理システム５０に搭載されるかあるいは独立的に運営できるシステムである。

このような本発明によるネットワーク保安システムは、高い負荷がかかるパターンマッチング作業を用いる攻撃探知及び遮断機能をハードウェア的に処理するように、ＰＣＩ形態のカードで製作することができ、カードが設けられたホストは、遠隔管理システムとの通信を担当し、探知及び遮断結果を遠隔管理システムに伝送し、そのほかのトラフィック情報もネットワークトラフィック分析システムに伝送することにより、トラフィック情報を管理者に実時間で提供することができる。

本発明によるネットワーク保安システムを備えたネットワーク網の構成を概略的に示す図である。図１に示す防止システムの構成を示すブロック図である。図２に示すホストシステムに設けられたソフトウェアフィルタの内部構成モジュール間の機能流れを示すブロック図である。図１に示す遠隔管理システムの構成を示すブロック図である。図１に示すトラフィック分析システムの構成を示すブロック図である。

符号の説明

１４防止システム
１５データベースシステム
２０パケット専用処理器
２１イーサネット（登録商標）コントローラ
２２インラインコントローラ
２３ヘッダ検索エンジン
２４パターン検索エンジン
２５ＳＲＡＭ
２６ＰＣＩコントローラ
２７ホストシステム
２８ＣＰＵ
３０ソフトウェアフィルタ
５０遠隔管理システム
６０ネットワーク分析システム

Claims

ネットワークトラフィックの静的攻撃に対するハードウェア的フィルタリングを一次的に行うパケット専用処理器と、
ネットワークトラフィックの動的攻撃に対するソフトウェア的フィルタリングを二次的に行うソフトウェアフィルタを有するホストシステムとからなり、
前記静的攻撃に対するハードウェア的フィルタリングは、入力されるネットワークパケットに対して定義された保安政策に基づいてパターンマッチングして行い、
前記動的攻撃に対するソフトウェア的フィルタリングは、前記パケット専用処理器で処理された結果が選択的に前記ソフトウェアフィルタに伝達され、一定時間の間に発生するパケットストリームを分析して行うものであり、
前記ホストシステムに備えられたソフトウェアフィルタは、
ＤＭＡメモリ領域を介して、前記パケット専用処理器から遮断結果情報及びパケット情報を受けるパケット処理モジュールと、
前記パケット処理モジュールから遮断結果情報を受け、管理者警報機能を行う対応管理モジュールと、
前記パケット処理モジュールパケット情報を受けて動的攻撃フィルタリングを行う動的攻撃フィルタ及びスケジュール遮断フィルタと、
トラフィック攻撃に対する分析のため、前記パケット処理モジュールから受けた所定の情報をネットワークトラフィック分析システムに伝送するトラフィック処理モジュールと、
前記遮断結果情報を管理者に警報するため、これをデータ送受信モジュールに伝達する対応管理モジュールと、
ＴＣＰ／ＩＰソケットを介して遠隔管理システムに結果を伝送するデータ送受信モジュールと、
前記パケット専用処理器の状態初期化及び駆動モードに対する機能を行う構成管理モジュールと、
パケット専用処理器上の探知／遮断の基準となる静的保安政策をダウンロードして実時間でオンライン政策変更の機能を行う政策管理モジュールとを含むことを特徴とすることを特徴とするネットワーク保安システム。
前記パケット専用処理器で処理された結果は、パケット処理器に流入したパケットに対する遮断結果情報、前記パケット専用処理器で一次的にフィルタリングされたパケット、前記パケット専用処理器に流入した全体パケット、又は全体パケットに対するそれぞれのヘッダ情報であることを特徴とする請求項１に記載のネットワーク保安システム。
前記パケット専用処理器及びソフトウェアフィルタに適用すべき保安政策を生成し、これをオンライン上で伝送する遠隔管理システムをさらに含むことを特徴とする請求項１に記載のネットワーク保安システム。
前記パケット専用処理器及びソフトウェアフィルタからネットワークトラフィック情報を受け、これを蓄積／分析して侵入予防情報を管理者に提供するネットワークトラフィック分析システムをさらに含むことを特徴とする請求項１に記載のネットワーク保安システム。
前記パケット専用処理器は、
パケットをネットワーク及びゲートウェイに対して入出力するイーサネット（登録商標）コントローラと、
前記イーサネット（登録商標）から入力されたパケットを分析し、ヘッダ情報はヘッダ検索エンジンに、かつコンテンツはパターン検索エンジンに伝達し、前記ヘッダ検索エンジン及びパターン検索で分析した結果を用いて、保安規則に違背するパケットを実時間で検索及び遮断するインラインコントローラと、
前記インラインコントローラにより設定された値によってコンテンツ検索を行い、その結果を前記インラインコントローラに伝達するパターン検索エンジンと、
前記インラインコントローラにより設定されたパケットのヘッダ検索を行い、その結果を前記インラインコントローラに伝達するヘッダ検索エンジンと、
パケット検索結果による処理方法を記憶しており、前記インラインコントローラのパケット検索結果を入力として、前記処理方法を前記インラインコントローラに伝達するＳＲＡＭと、
前記パターン検索エンジン及び前記ヘッダ検索エンジンで使用する検索条件及び前記ＳＲＡＭで使用する情報の設定のため、前記ホストシステムから所定の情報を受け、パケット処理の結果、統計情報データをホストシステムに伝達して、処理結果及び状態を報告するＰＣＩと、を含むことを特徴とする請求項１に記載のネットワーク保安システム。
前記パターン検索エンジンはＡＳＩＣでなり、流入するパケットに対する検索条件を記憶することを特徴とする請求項５に記載のネットワーク保安システム。
前記検索条件は、流入するパケットが正常パケットであるか否かを判断し得る比較情報であることを特徴とする請求項６に記載のネットワーク保安システム。
前記ＳＲＡＭには、ネットワークトラフィック攻撃に対する対応情報が記憶されることを特徴とする請求項５に記載のネットワーク保安システム。
前記対応情報は、前記パケット専用処理器でフィルタリングされたパケットを遮断するかあるいはパスするかに対する判断情報を含むことを特徴とする請求項８に記載のネットワーク保安システム。
前記データ送受信モジュールは、前記遠隔管理システムにより定義された保安政策及び構成管理情報を受信し、これを前記構成管理モジュール及び政策管理モジュールに伝達することを特徴とする請求項１に記載のネットワーク保安システム。
前記パケット処理モジュールは、使用者の設定によって、前記パケット専用処理器から、処理結果として、流入したパケットに対する遮断結果情報、前記パケット専用処理器で一次的にフィルタリングされたパケット、前記パケット専用処理器に流入した全体パケット、又は全体パケットに対するそれぞれのヘッダ情報を選択的に受けることを特徴とする請求項１に記載のネットワーク保安システム。
前記動的攻撃フィルタ及びスケジュール遮断フィルタは、前もって定義された動的攻撃保安政策及びスケジュール遮断政策に基づき、入力されたパケット情報を累積し一定期間のトラフィック推移を分析し、前記トラフィックが異常トラフィックで、限界値を超えると判断されるとき、前記遮断政策を対応管理モジュールに伝達し、これをパケット専用処理器に伝達することを特徴とする請求項１に記載のネットワーク保安システム。
前記遠隔管理システムは、
前記防止システムからログ情報を受信するデータ送受信モジュールと、
前記受信したログ情報をデータベースシステムに記憶するように伝送する侵入遮断ログ管理モジュールと、
前記防止システムの構成管理情報を定義する構成管理モジュールと、
前記防止システムの遮断関連保安政策を定義する政策管理モジュールと、
前記データベースシステムに蓄積された遮断情報を用い、管理者のための統計情報及び遮断ログに対する形式化した報告書を提供する報告書管理モジュールとを含むことを特徴とする請求項３に記載のネットワーク保安システム。
前記政策管理モジュールは、ネットワークトラフィック静的攻撃に対するフィルタリング規則及びネットワークトラフィック動的攻撃に対するフィルタリング規則を定義する機能を行うことを特徴とする請求項１３に記載のネットワーク保安システム。
前記遠隔管理システムは、前記遠隔管理システム及び防止システムの使用者認証情報を管理し、遠隔管理システムの印加された使用者が接近できるように使用者認証機能を行う使用者認証管理モジュールをさらに含むことを特徴とする請求項１３に記載のネットワーク保安システム。
前記ネットワークトラフィック分析システムは、
前記防止システムから伝達されるトラフィック情報を受信し、これをデータベースシステムに記憶させるデータ送受信モジュールと、
蓄積されたトラフィック情報を用いてトラフィック分布情報を管理者に提供するサービス別トラフィック分析モジュール又はパケットサイズ別トラフィック分析モジュールと、
知られていない攻撃から生じ得る異常トラフィックを分析するための政策管理モジュールと、
前記データベースシステムに蓄積されたトラフィック情報を用いて、管理者のための統計情報及び異常トラフィック関連情報に対する形式化した報告書を提供する報告書管理モジュールとを含むことを特徴とする請求項４に記載のネットワーク保安システム。
前記政策管理モジュールは、正常トラフィックと区分できる異常トラフィックの基準を定立して政策化し、これを分析して、異常トラフィックと分析される情報を管理者に通報する機能を行うことを特徴とする請求項１６に記載のネットワーク保安システム。
前記防止システムから伝達されるトラフィック情報に対する実時間変化率を管理者に提供するトラフィック負荷変化率分析モジュールをさらに含むことを特徴とする請求項
１６に記載のネットワーク保安システム。
ネットワークトラフィックの静的攻撃に対するハードウェア的フィルタリングを行う段階と、
前記ハードウェア的フィルタリングにより処理された結果、及び前記ハードウェア的フィルタリングに流入したパケットにより一定時間の間に発生するパケットストリームを分析して、ネットワークトラフィックの動的攻撃に対するソフトウェア的フィルタリングを行う段階と、
前記ソフトウェア的フィルタリングにより処理された結果情報を蓄積及び分析して、侵入予防情報管理者に提供する段階とを含み、
前記ソフトウェア的フィルタリングを行う段階は、
前記ハードウェア的フィルタリングによる遮断結果情報とパケット情報を受ける段階と、
前記遮断結果情報を受けて管理者警報機能を行い、前記パケット情報を受けて動的攻撃フィルタリングを行う段階と、
前記動的攻撃フィルタリングの結果を遠隔管理システムに伝送する段階とを含み、
前記動的攻撃フィルタリングは、前もって定義された動的攻撃保安政策及びスケジュール遮断政策に基づき、入力されたパケット情報を累積し、一定時間の間のトラフィック推移を分析し、前記トラフィックが異常トラフィックで限界値を超えると判断されるとき、前記遮断政策を対応管理モジュールに伝達し、これをパケット専用処理器に伝達することであることを特徴とするネットワーク保安システムの動作方法。
前記静的保安政策及び動的攻撃に対する設定、遮断ログのデータ管理、及びそのほかの保安管理を含む情報をオンライン上で伝送する段階をさらに含むことを特徴とする請求項１９に記載のネットワーク保安システムの動作方法。
前記ハードウェア的フィルタリングを行う段階は、
ネットワーク及びゲートウェイからパケットを入力する段階と、
前記パケット内部のヘッダ情報、コンテンツ情報を設定された保安政策により実時間で分析する段階と、
前記保安政策に違背するパケットを実時間で検索及び遮断して、パケットの形態及び長さにかかわらず、パケットを処理する段階とを含むことを特徴とする請求項１９に記載のネットワーク保安システムの動作方法。