JP4052983B2 - 警戒システム及び広域ネットワーク防護システム - Google Patents
警戒システム及び広域ネットワーク防護システム Download PDFInfo
- Publication number
- JP4052983B2 JP4052983B2 JP2003184597A JP2003184597A JP4052983B2 JP 4052983 B2 JP4052983 B2 JP 4052983B2 JP 2003184597 A JP2003184597 A JP 2003184597A JP 2003184597 A JP2003184597 A JP 2003184597A JP 4052983 B2 JP4052983 B2 JP 4052983B2
- Authority
- JP
- Japan
- Prior art keywords
- policy
- wide area
- information
- area network
- access
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、警戒システム及び広域ネットワーク防護システムに関し、特に、広域イントラネットに関係するセキュリティ管理のシステムや方法に適用し得るものである。
【０００２】
例えば、政府で定める重要インフラ７分野の機能障害や機能停止を狙ったサイバーテロや不正アクセス等の攻撃からネットワークを守るためのセキュリティ管理に適用し得るものである。
【０００３】
【従来の技術】
近年、ネットワークのオープン化やネットワーク相互接続が進み、社会活動におけるネットワーク依存の度合いが増大しており、ネットワークシステムに対する不正なアクセスやいわゆる重要インフラを狙ったサイバーテロ等の脅威が増大してきている。
【０００４】
しかしながら、一般的にはネットワークシステム等のセキュリティ管理に関する運用方法がネットワーク上の各拠点によって異なっていたり、また、事案発生時の対応方法が、広域のイントラネットによって形成された会社規模などのネットワークシステムにおいても、本来、迅速かつ統一的なセキュリティ事案対応を行うべき各拠点においても異なっていたりするケースが多い。言い換えると、いわゆるセキュリティ管理の方法に関して、ネットワークシステム全体に対するセキュリティ管理領域内で個々のバラツキが生じているのが現状である。なお、拠点とは、ネットワークシステムにおいて、利用者に開放されたアクセスポイントや、他のＩＰネットワークとの相互接続点を指すものとする。
【０００５】
従来、アクセス制御系のセキュリティ管理技術として、例えば、ファイアウォールを各拠点に配置し、システム管理者が、各拠点に分散配置されたファイアウォールのアクセス制御ポリシーを遠隔地から一元的に管理する方法が考案されている。
【０００６】
しかし、この方法は、必ずしも観測された攻撃に連動するものではなく、統一的なセキュリティ事案対応としては不十分である。
【０００７】
また、不正侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）を分散配置し、一元的に各ＩＤＳを管理する方法も考案されている。
【０００８】
これも、従来のＩＤＳが有する検知機能が拠点単位で独立していることを前提にしており、あくまでもＩＤＳが発する警告を一元的に監視している程度に留まっている。市販のＩＤＳ製品の中では、攻撃検知後の通信遮断といった防御系機能も実装している製品もあるが、これは拠点のルータやファイアウォールと個別に連動するのみであり、観測された攻撃を元にアクセス制御機能と連動し、ネットワークシステム全体のセキュリティ管理領域内を統一的なポリシーにもとづき防御を試みるには至っていない。
【０００９】
さらに、異なるネットワークシステム間での防護ポリシー情報の共有も同様に行われていない。
【００１０】
【発明が解決しようとする課題】
近年のネットワークのオープン化やネットワークシステム同士の相互接続による広域化、さらには、政府が進めるｅ−Ｊａｐａｎ戦略による国内のＩＴ化が加速的に推進されている。これは、社会活動がネットワークシステム（ネットワーク基盤）に依存する方向に進んでいることを示すものである。社会活動そのものがネットワーク基盤に依存するということは、不正アクセス等が行われ、セキュリティ上の安全を害う事態が発生した場合、その被害の波及範囲が増大することをも意味する。また、組織的に企てられたサイバーテロなどによる脅威も増大することも意味している。
【００１１】
特に、複数の外部接続点を有する広域イントラネットによって形成されたネットワークシステムにおいては、アクセス制御による防御手段が局所的な手段に始終してしまい、ネットワーク基盤全体の統一的なセキュリティ管理が行えない状況に陥りがちであり、以下のような問題が生ずる。
【００１２】
（１）セキュリティ管理が各拠点によってバラバラで統一されていない。
【００１３】
（２）サイバー攻撃を想定した統一的ポリシーの実行が困難。
【００１４】
（３）異なるネットワーク基盤間で防護ポリシーが共有されていない。
【００１５】
会社規模のネットワークシステムにおいて、広域イントラネット内のある拠点では特に攻撃を検出していないので安全に見えた状況でも、別の拠点には既に攻撃が加えられたか、若しくは、その兆候と見なせる偵察行為を検出した場合に、広域イントラネット全体としてどのような運用をするべきかという問題が生ずる。また、セキュリティ事案発生時の対応方法や防護ポリシーの管理方法の隙間を通り抜け、セキュリティ管理の不統一を悪用した脅威が出現する可能性も危惧されている。
【００１６】
各拠点にインターネット等の外部ネットワークとのアクセスポイントを持つような広域のイントラネットをなすネットワークシステムにおいて、各拠点に、従来技術によるファイアウォールやＩＤＳといったセキュリティ対策製品を導入し、各拠点で不正アクセスの監視を行っても、各拠点の局所的なセキュリティレベルの確保には繋がるかもしれない。
【００１７】
しかし、これは局所的な観測による不正侵入検知を前提にしているため、各拠点を入り口として広域イントラネット全体を攻撃の対象としたサイバーテロの可能性があるセキュリティ事案や企業全体の対応体制を要する広範囲な事案の発生を見逃たり、攻撃すら検知できない。これでは、ある拠点で観測された攻撃に連動した統一的なアクセス制御を広域イントラネット全体に対して行なうことができないので、セキュリティ管理の方法として、効率的な防御手段とは言い難い。ある拠点に属するサーバを対象とした外部からの攻撃若しくはその兆候を検出した場合、同様のサービスを提供する他のサーバも攻撃の標的となる可能性があるため、安全確認の期間では、他の拠点に属する同様のサービスもアクセスを規制するなど、ネットワークシステムに隙間を作らないように、広域イントラネット全体の統一的ポリシーを適用しなければ全体的なセキュリティレベルの確保は困難である。
【００１８】
また、広域イントラネット全体の運用やサービスの停止は極力避けたい。しかし、極度に危険な状況が想定される攻撃が加えられる可能性がある場合には、広域イントラネット全体の安全確認を実施するといった運用が必要となる。絶えずＣＥＲＴ／ＣＣやＪＰＣＥＲＴ／ＣＣのような情報提供機関からアナウンスされる、こういったインシデント情報を自ら調査して防護する必要もある。各システム管理者が個別に調査して防御のためのアクセス制御に関する防護ポリシーを生成するよりも、即効性のある防御のための防護ポリシーを各拠点で統一的に共有した方が効率的である。異なる広域イントラネット間においても同様のことが言える。
【００１９】
以上のように、従来技術の範囲においては、市販のファイアウォールやＩＤＳの導入が有効と思われがちであるが、それだけでは不十分であり、セキュリティ管理領域内で統制されたセキュリティ管理の運用が伴って初めて安全確保が可能となる。また、会社規模の広域イントラネットで形成されたネットワークシステムにおいて、各拠点に外部ネットワークとの接続点を持つような場合には、各拠点毎のセキュリティ管理だけでなく、ネットワークシステム全体をセキュリティ管理領域とした統一的なセキュリティ管理が必要である。それを行うにはネットワークシステムの運用コストの増大を招かぬよう対応体制や信頼性の高い連携の仕組みを作る必要がある。
【００２０】
本発明は、ネットワークシステム全体のセキュリティ管理を対象とし、不正アクセスの監視の連携の強化、高度化と、検知時におけるアクセス制御の連携の強化、高度化とを達成できるシステムや方法を提供しようとしたものである。
【００２１】
また、本発明は、ネットワークシステム全体のセキュリティ管理を対象とし、サイバーテロ攻撃を想定したアクセス制御に関する統一的な防護ポリシーの実行システムや方法を提供しようとしたものである。
【００２２】
さらに、本発明は、異なるネットワークシステム間でセキュリティ管理上有効な情報の共有と協調連携するシステムや方法を提供しようとしたものである。
【００２４】
【課題を解決するための手段】
第１の本発明は、警戒センタサーバに接続された１若しくは複数の広域ネットワーク防護システムのうちの１つであり、外部ネットワークとの複数の接続点を持つ広域ネットワークを、不正アクセスから防護する広域ネットワーク防護システムであって、（イ）上記各接続点における不正アクセスを検知し、検知された不正アクセスを特定する、アクセス元とアクセス先、プロトコル種別、検知時刻を少なくとも含む警報情報を生成して送信する、上記各接続点毎に設けられた不正アクセス検知システムと、（ロ）いずれかの上記不正アクセス検知システムが送信した上記警報情報を受信して記憶する警報情報記憶手段と、
（ハ）上記各接続点における通信内容から、当該広域ネットワークへのアクセス状況に関する情報であって、各アクセスに関するアクセス元とアクセス先、プロトコル種別、検知時刻を少なくとも含む通信アクティビティを抽出する、上記各接続点毎に設けられたアクティビティモニタと、（ニ）いずれかの上記アクティビティモニタが抽出した通信アクティビティを記憶する通信アクティビティ記憶手段と、（ホ）個別フィルタリングポリシーに従って当該広域ネットワークへの特定のアクセスを排除するアクセス制御を実行する上記各接続点毎に設けられたゲートノードと、（ヘ）上記警報情報記憶手段に記憶された警報情報と、上記通信アクティビティ記憶手段に記憶した通信アクティビティとの照合により、警報情報に係る検知された不正アクセスの、当該広域ネットワークへの侵入経路を解析するものであって、警報情報の検出時刻と同一であるか若しくは時間差が所定時間内であり、アクセス元、アクセス先とプロトコル種別とが同じ属性を持つ通信アクティビティを抽出し、抽出した通信アクティビティが通過していた１又は複数のゲートノードを特定する識別情報からなる、当該広域ネットワーク内での不正アクセスの通過経路の情報を侵入経路の解析結果として得る侵入経路解析システムと、（ト）上記侵入経路解析システムによって得られた侵入経路解析結果と、この侵入経路解析結果に係る上記警報情報を元に、全て又は一部の上記ゲートノードにおけるアクセス制御ルールである個別フィルタリングポリシーを生成する防護ポリシー生成手段と、（チ）個別フィルタリングポリシーを全て又は一部の上記ゲートノードに配布すると共に、上記警戒センタサーバにも個別フィルタリングポリシーを配布する防護ポリシー配布手段とを備え、（リ）当該広域ネットワーク内の上記各接続点においてアクセス制御を実施することを特徴とする。
【００２５】
第２の本発明は、第１の本発明の広域ネットワーク防護システムを自警戒ドメインとして１若しくは複数を有すると共に、上記各広域ネットワーク防護システムに接続された警戒センタサーバを有する警戒システムであって、（イ）上記防護ポリシー配布手段は、上記警戒センタサーバにも個別フィルタリングポリシーを配布し、（ロ）上記警戒センタサーバが、（ロ−１）自警戒ドメイン内の上記広域ネットワーク防護システムからの個別フィルタリングポリシーを、汎用フィルタリングポリシーに変換する汎用防護ポリシー変換手段と、（ロ−２）汎用フィルタリングポリシーを、自警戒ドメイン内の上記広域ネットワーク防護システムへ配布する汎用防護ポリシー配布手段とを有し、（ハ）上記各広域ネットワーク防護システムが、受信した上記汎用フィルタリングポリシーを、自己の広域ネットワークに係る個別フィルタリングポリシーへ変換する個別防護ポリシー変換手段を有し、（ニ）複数の広域ネットワーク間を跨ってアクセス制御を実施することを特徴とする。
【００３７】
【発明の実施の形態】
（Ａ）実施形態
以下、本発明による警戒システム及び広域ネットワーク防護システムなどの一実施形態を図面を参照しながら詳述する。
【００３８】
（Ａ−１）実施形態の概要説明
（Ａ−１−１）システム及びセキュリティ管理領域の構成
図１は、実施形態の協調型警戒システムの全体構成イメージを示すブロック図であり、この図１では、協調型警戒システムと広域イントラネット防護システム（広域ネットワーク防護システム）との相互の関係も示している。
【００３９】
また、図２は、図１における各広域イントラネット防護システムの内部構成のイメージを示すブロック図である。
【００４０】
あるネットワークシステムが広域イントラネットにより形成され、各拠点がそれぞれ異なるアクセスポイントを有するような場合、このネットワークシステムのアクセス制御に関して、セキュリティ領域を「管理ドメイン」とする。また、このようなネットワークシステム（広域イントラネット）が何らかの外部ネットワーク（例えばインターネット等）によって相互接続された状態の管理ドメインを「警戒ドメイン」とする。
【００４１】
言い換えると、この実施形態の協調型警戒システムにおいては、ある広域イントラネット同士がインターネットのようなオープンな（セキュリティ的に未統制の）ネットワークによって接続されたモデルにおいて、管理ドメイン同士が階層関係によってある警戒ドメインに含まれている。
【００４２】
尚、本発明におけるイントラネットは、外部からアクセス不能な会社内のネットワークを指すイントラネットのみを対象とするものではなく、全てのＩＰネットワークを対象とする。
【００４３】
図１に示す協調型警戒システムの警戒ドメインの例は、広域イントラネットＡ、Ｂ、…、Ｃに、それぞれの中央監視センタ１Ａ、１Ｂ、…、１Ｃが設けられ、広域イントラネットＡ、Ｂ、…、Ｃに対応する管理ドメイン２Ａ、２Ｂ、…、２Ｃが並列状に構成されており、それらを階層の上位で包含する形態で構成された場合を示している。
【００４４】
各広域イントラネットＡ、Ｂ、…、Ｃの管理ドメイン（図１の各楕円領域に対応）２Ａ、２Ｂ、…、２Ｃは、対応する中央監視センタ１Ａ、１Ｂ、…、１Ｃでそれぞれ統一的なアクセス制御に関するセキュリティ管理が実行できる環境下にあるようになされている。
【００４５】
各管理ドメイン２Ａ、２Ｂ、…、２Ｃの上位に位置する（図１では、各中央監視センタ１Ａ、１Ｂ、…、１Ｃの上位に位置する）サイバーテロ警戒センタサーバ（以下、サイバーテロ警戒センタと呼ぶ）３は、管理ドメイン２Ａ、２Ｂ、…、２Ｃにおける全体的なアクセス制御に関するセキュリティ管理を行うために、警戒ドメインを形成し、各中央監視センタ１Ａ、１Ｂ、…、１Ｃとの間で、攻撃情報や防護ポリシーを授受し合い、情報の共有を行う。
【００４６】
また、サイバーテロ警戒センタ３は、他の同様な警戒ドメイン上の警戒センタ３ｘとの間で、攻撃情報や防護ポリシーを授受し合い、情報の共有を行う。
【００４７】
さらに、サイバーテロ警戒センタ３は、不正アクセスやサイバーテロ事案に関する情報センタ（情報提供組織；例えば、日本ではＪＰＣＥＲＴ／ＣＣや、ＩＰＡセキュリティセンタ（情報処理振興事業協会）等）４から攻撃情報や有効な防護手段に関する情報の提供を受けることができる他、情報センタ４に対して情報を提供することができるものとする。
【００４８】
管理ドメインと警戒ドメインの関係を図３及び図４に示す。
【００４９】
図３及び図４は、協調型警戒システムを実現するために、それぞれのネットワークシステム（広域イントラネット）において統一的ポリシー管理を実行する範囲（管理ドメイン）と、広域イントラネット相互でポリシー制御を互いに協調し合う協調の範囲（警戒ドメイン）と、複数の警戒ドメイン相互でポリシー制御を互いに協調し合う関係を示したものであり、図１を補完するものとなっている。
【００５０】
図３は、協調型警戒システムと広域イントラネット防護システム各々のセキュリティ管理領域の範囲として、管理ドメインと警戒ドメインの階層構造を示したものである。
【００５１】
図４は、広域イントラネット防護システム間のセキュリティ管理領域（管理ドメイン）を束ねる警戒ドメイン（各々はサイバーテロ警戒センタに対応）が相互に協調して構成される複数の協調型警戒システム相互の警戒ドメイン構成を示したものである。
【００５２】
（Ａ−１−２）広域イントラネット防護システムの構成
図２は、図１における各広域イントラネット防護システム５Ａ〜５Ｃの内部構成のイメージを、広域イントラネット防護システム５Ａを例に示したブロック図である。
【００５３】
図２に示したネットワーク（広域イントラネット）（図１では２Ａに相当）は、インターネット等の外部ネットワークと接続されるアクセスポイントを複数有する拠点が４拠点（Ａ１／ＧＮ、Ａ２／ＧＮ、Ａ３／ＧＮ、Ａ４／ＧＮ）あり、それらの拠点が内部ネットワークで相互に接続された一般的な広域イントラネットを示している。各拠点のアクセスポイントは、例えば、地理的な制約から公衆回線に接続され、このネットワークが提供する業務サービスを提供する。この場合、管理ドメインの範囲は、図２に示した４つの拠点を含む広域イントラネット全体となる。
【００５４】
広域イントラネットの全体的なセキュリティ管理を行うのが、図２（及び図１）に示す中央監視センタ１Ａである。中央監視センタ１Ａは、各拠点Ａ１／ＧＮ、Ａ２／ＧＮ、Ａ３／ＧＮ、Ａ４／ＧＮのアクセス制御を司り、管理ドメイン内のセキュリティ管理を実行するために、各拠点に配置されたアクティビティモニタ１０、不正アクセス検知システム１１、ゲートノード１２との間でアクセス制御に必要なセキュリティ管理情報を授受する。
【００５５】
中央監視センタ１Ａは、少なくとも、通信アクティビティ監視システム１Ａ−１と、侵入経路解析システム１Ａ−２、防護ポリシー管理システム１Ａ−３及びデータ蓄積システム１Ａ−４から構成される。
【００５６】
通信アクティビティ監視システム１Ａ−１は、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮに配置されたアクティビティモニタ１０から通知される通信アクティビティ等を収集し（▲１▼）、通信アクティビティと、これに添付された情報とをデータ蓄積システム１Ａ−４に蓄積すると共に、通信アクティビティの状態や属性を監視するものである。
【００５７】
なお、詳細は後述するが、本明細書においては、通信内容から判定できる、当該広域イントラネットへのアクセス状況を「通信アクティビティ」と呼んでいる。
【００５８】
侵入経路解析システム１Ａ−２は、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮに配置された不正アクセス検知システム１１から攻撃（▲２▼）検知に関する警報（▲３▼）を受けた防護ポリシー管理システム１Ａ−３からの解析指示に基づき、不正アクセス検知システム１１から送られた警報に含まれる情報と、通信アクティビティ監視システム１Ａ−１が収集した通信アクティビティとから、侵入経路の解析（▲４▼）を行い、解析結果を防護ポリシー管理システム１Ａ−３に通知するものである。
【００５９】
防護ポリシー管理システム１Ａ−３は、不正アクセス検知システム１１から警報（▲３▼）を受信すると、これをデータ蓄積システム１Ａ−４に蓄積し、警報に含まれる情報に基づき、検知された不正アクセスの危険レベルを判断し、危険レベルが高いと判断した場合に、侵入経路解析システム１Ａ−２に対し、侵入経路の解析を指示する。そして、侵入経路解析システム１Ａ−２からの侵入経路解析結果（▲４▼）と警報に含まれる情報を元に、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮに配置されたゲートノード１２へ配布するためのアクセス制御に関するフィルタリングポリシーを生成し、各ゲートノード１２へ配布（▲５▼）を行うものである。
【００６０】
フィルタリングポリシーは、例えば、ゲートノード１２に対し、アクセス拒否（Ｒｅｆｕｓｅ）やアクセス無視（Ｄｒｏｐ）等により、特定のアクセスを排除するアクセス制御を指示するためのものである。
【００６１】
データ蓄積システム１Ａ−４は、各種データを蓄積するためのものである。
【００６２】
尚、この実施形態では、防護ポリシー管理システム１Ａ−３が警報を受信・蓄積し、解析を指示する例について説明しているが、本発明は、これに限定されるものではなく、侵入経路解析システム１Ａ−２が警報を受信・蓄積し侵入経路の解析を実行するものであっても構わない。
【００６３】
広域イントラネット内の各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮは、単一若しくは複数の外部ネットワークとの接続点（アクセスポイント）を有している。各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮには、上述したように、アクティビティモニタ１０、不正アクセス検知システム１１及びゲートノード１２を配置している。
【００６４】
不正アクセス検知システム１１は、アクセスポイントにおける侵入検知を行うものである。アクティビティモニタ１０は、通信内容から当該広域イントラネット１Ａへのアクセス状況（通信アクティビティ）を監視するものである。ゲートノード１２は、各拠点の内部ネットワークとの境界点に位置するものであり、フィルタリングポリシーに基づいて通信を切断可能な中継装置である。
【００６５】
図５は、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮに配置されたハードウェア構成例を示すブロック図である。
【００６６】
図５では、図２の各拠点Ａｎ／ＧＮ（ｎは１〜４）において、公衆網やインターネット網などの外部ネットワークと、内部ネットワークシステムとが、ルータ２０、ゲートノード１２及びファイアウォール２２を介して接続されていることを示している。ルータ２０及びファイアウォール２２は、既知のものと同様なものである。
【００６７】
ゲートノード１２は、前述した通り防護ポリシーに基づいて通信を切断可能な中継装置であり、図２２に示す如く、信号の送受信を行う第１の送受信部６１、第２の送受信部６２、受信した信号を記憶する記憶部６３を備え、第１又は第２の送受信部６１、６２が受信した信号を判別し、記憶部６３に記憶させると共に、受信したフィルタリングポリシーに基づき、記憶部６３に記憶させた信号を他方の送受信部に送るか否かにより通信の切断を制御する制御部６４を備える。
【００６８】
また、各拠点には図５に示す通り、アクティビティモニタ１０、異常検出（ＡＤ；Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ）装置２３及び不正検出（ＭＤ；Ｍｉｓｕｓｅ Ｄｅｔｅｃｔｉｏｎ）装置２４が設けられている。
【００６９】
アクティビティモニタ１０は、通信経路上のパケット情報から通信アクティビティに関わる情報を抽出可能な回線モニタ装置であり、図２３に示す通り、通信系路上の信号を検出する信号検出部７１、検出した情報を記憶する信号記憶部７２、以上の構成を制御すると共に中央監視センタ１Ａに通信アクティビティを送信する制御部７３を備える。尚、通信アクティビティを送信する際、送信元となったアクティビティモニタを特定する情報や、アクティビティモニタが配置された拠点のゲートノードを特定する情報を添付しても構わない。
【００７０】
ここで、アクティビティモニタ１０の配置は、これに限定されるものではなく、破線で示したアクティビティモニタ１０’の配置でも構わない他、双方に配置しても構わない。また、アクティビティモニタをゲートノード１２中に配置しても構わない。
【００７１】
ＡＤ装置２３は、例えば、ルータ２０及びゲートノード１２間の通信経路上を検出対象とし、未知の攻撃や兆候を検出するものであり、ＭＤ装置２４は、例えば、ゲートノード１２及びファイアウォール２２間の通信経路上を検出対象とし、既知の攻撃を特定するものである。
【００７２】
不正アクセス検知システムは、ＡＤ装置２３若しくはＭＤ装置２４の何れか一方により構成しても良く、ＡＤ装置２３及びＭＤ装置２４の両方から構成しても構わず、更に、ＡＤ装置２３、ＭＤ装置２４及びゲートノード１２によって構成しても構わない。尚、ＡＤ装置２３及びＭＤ装置２４は、既知のものと同様なものである。
【００７３】
また、不正アクセス検知システムは、攻撃（不正アクセス）を検知すると、警報として、攻撃の危険レベル（高い、低い等）、攻撃名（個別に定義した攻撃の名称）、攻撃のアクセス元とアクセス先の情報、攻撃のプロトコル種別、攻撃の検知時刻等を中央監視センタに通知する。尚、警報に、送信元となった不正アクセス検知システムを特定する情報や、不正アクセス検知システムが配置された拠点のゲートノードを特定する情報を添付しても構わない。
【００７４】
ゲートノード１２、アクティビティモニタ１０、ＡＤ装置２３及びＭＤ装置２４などは、例えば、第２のルータ２５、ルータ１Ａ−５（図２）を介して、専用線などによって、上述した中央監視センタ１Ａ（図２）と接続されており、中央監視センタ１Ａとの情報授受を実行できるようになされている。
【００７５】
なお、ファイアウォール２２には、Ｗｅｂサーバ２６、メールサーバ２７、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ２８などの各種サーバが接続されている。
【００７６】
（Ａ−１−３）広域イントラネット防護システムの動作概要
次に、広域イントラネット防護システムの動作の概要を、図１、図２、図６を参照しながら説明する。
【００７７】
ステップＳ１：複数のアクセスポイントを有する広域イントラネットＡにおいて、各拠点Ａ１／ＧＮ〜Ａ４／ＧＮに配置されたアクティビティモニタ１０は、アクセス状況（通信アクティビティ）を常時監視し、アクセス状況が変化するたびに中央監視センタ１Ａの通信アクティビティ監視システム１Ａ−１に、変化後の通信アクティビティを通知する。
【００７８】
中央監視センタ１Ａ内の通信アクティビティ監視システム１Ａ−１では、全拠点Ａ１／ＧＮ〜Ａ４／ＧＮに配置されたアクティビティモニタ１０から送られてくる通信アクティビティを、通知元となったアクティビティモニタ１０を特定する情報と関連付けて、データ蓄積システム１Ａ−４に蓄積する（アクティビティモニタ１０が配置された拠点のゲートノード１２を特定する情報と関連付けて蓄積しても構わない）と共に、蓄積した通信アクティビティに基づいて、管理ドメイン２Ａ（図１）内の全ての拠点Ａ１／ＧＮ〜Ａ４／ＧＮを通過する通信アクティビティの属性や、発生、消滅等を監視し、広域イントラネットＡ全体のアクセス状況を把握する。
【００７９】
ステップＳ２−１：ある拠点Ａｎ／ＧＮのアクセスポイントに配置された不正アクセス検知システム１１が、攻撃若しくはその疑いがある情報等の不正アクセスを検知した場合、不正アクセス検知システム１１は、警報として、検出した不正アクセスの、危険レベル（高い、低い等）、アクセス元とアクセス先の情報（ソースＩＰアドレス、ソースポート番号、ディスティネーションＩＰアドレスや、ディスティネーションポート番号等の、発生した通信の端点のアドレス等）、プロトコル種別、検知時刻、等を中央監視センタ内１Ａの防護ポリシー管理システム１Ａ−３へ通知する。通知を受けた防護ポリシー管理システム１Ａ−３は、受信した警報を通知元となった不正アクセス検知システム１１を特定する情報と関連付けて、データ蓄積システム１Ａ−４に蓄積する（不正アクセス検知システム１１が配置された拠点のゲートノード１２を特定する情報と関連付けて蓄積しても構わない）と共に、危険レベルを元に、危険レベルが低いと判断した場合はそのまま放置し、危険レベルが高いと判断した場合（例えば、警報に含まれる攻撃の危険レベルが「高い」を示す場合）は侵入経路解析システム１Ａ−２に侵入経路の解析を指示する。
【００８０】
ステップＳ２−２：解析を指示された中央監視センタ１Ａ内の侵入経路解析システム１Ａ−２では、データ蓄積システム１Ａ−４を参照し、アクティビティモニタ１０から送られた広域イントラネットＡ全体の通信アクティビティと、不正アクセス検知システム１１から送られた警報に関する情報に基づき、検知された不正アクセスと関連する通信アクティビティが通過した広域イントラネットＡ内の侵入経路を解析する。
【００８１】
例えば、通信アクティビティと警報に含まれる情報とを照合し、検出時刻が同一若しくは所定時間内であり、アクセス元・アクセス先情報とプロトコル種別とが同じ属性を持つ通信アクティビティを抽出し、不正アクセスとみなされた通信アクティビティが通過していたゲートノード１２を特定することで、広域イントラネットＡ内の通過経路、すなわち侵入経路を割り出すことが可能である。解析結果としては、特定したゲートノード１２を特定する情報（アドレス等）を通知する。
【００８２】
これは、インターネットのような非常に広域なネットワークにおいて、あるサーバが攻撃者によって乗っ取られ、かつ、送信元のＩＰアドレスを偽る操作（踏み台となったホストのアドレス詐称や、ＩＰスプーフィング）が行われても、通信アクティビティの属性の判別によって実際に通信が通過した経路（侵入経路）を割り出すことが可能であることを意味しており、いわゆるインターネット上の発信源の追跡や逆探知技術として有効である。
【００８３】
ステップＳ３：中央監視センタ１Ａ内の防護ポリシー管理システム１Ａ−３では、侵入経路解析システム１Ａ−２からの侵入経路の解析結果をデータ蓄積システム１Ａ−４に蓄積すると共に、データ蓄積システム１Ａ−４を参照し、侵入経路の解析結果と警報に含まれる情報をもとに、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮに配置されたゲートノード１２に対して配布するべきフィルタリングポリシーを生成し、蓄積し、それを、各ゲートノード１２に配布する。
【００８４】
このとき、各ゲートノード１２へ配布するフィルタリングポリシーは、直接の侵入経路となったゲートノードと侵入経路から外れたゲートノードに対して、それぞれ別々のフィルタリングポリシーを生成しても良い。
【００８５】
例えば、直接の侵入経路となったゲートノードは、安全性が確認されるまで閉鎖とし、直接の侵入経路から外れたゲートノードは、攻撃の発信源からはアクセスを拒否するといったフィルタリングポリシーであっても良い。
【００８６】
また例えば、広域イントラネットＡ全体を外部ネットワークから閉鎖するために、全てのゲートノードに対して、閉鎖といったフィルタリングポリシーを生成し配布するようにしても良い。
【００８７】
さらに、例えば、以前に各ゲートノードへフィルタリングポリシーを配布している場合、実行中のフィルタリングポリシーの取り消しやフィルタリングポリシー間の矛盾を除去して、最適化できるようにフィルタリングポリシーを管理し、生成・配布するようにしても良い。
【００８８】
以上のように、広域イントラネット防護システム５Ａでは、広域イントラネットＡ内の各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮで個別に行っていたアクセス制御に関するセキュリティ管理を統一的に実行することで、各拠点の局所的防御では行えないネットワーク基盤全体の効率的セキュリティ管理を行うための、「広域イントラネット内の通信アクティビティ監視」と、「侵入経路の解析」と、「解析結果を元に各拠点単位のアクセス制御に関する管理」を行うことができる。
【００８９】
（Ａ−１−４）中央監視センタとサイバーテロ警戒センタとの情報授受
次に、広域イントラネット防護システムの中央監視センタ１Ａと、サイバーテロ警戒センタ３との間での情報授受について、図１、図２を利用しながら説明する。
【００９０】
サイバーテロ警戒センタ３は、受信した情報を蓄積する他、予め情報を記憶させるためのＤＢサーバと、他の構成との情報の授受や、汎用防護ポリシー生成・配布・管理や、情報の解析を行なうための管理サーバから構成される。
【００９１】
上述したように、各中央監視センタ（例えば１Ａ）には、その広域イントラネット（Ａ）内の各拠点（Ａ１／ＧＮ、…、Ａ４／ＧＮ）から通知されたアクセス状況に関する情報（通信アクティビティ）と、検知された不正アクセスに関する警報と、侵入経路に関する情報と、それらに対する防護ポリシーであるフィルタリングポリシーとが管理されている。
【００９２】
サイバーテロ警戒センタ３は、管轄下の各中央監視センタの管理ドメイン内で検知された不正アクセスに関する警報を元に中央監視センタが配布したフィルタリングポリシーの通知を受ける。図１の例では、中央監視センタ１Ａ、１Ｂからサイバーテロ警戒センタ３へ通知される防護ポリシーＡ、Ｂが相当する。また、中央監視センタからサイバーテロ警戒センタへの通知は、中央監視センタがゲートノードにフィルタリングポリシーを配布する際に通知する。
【００９３】
サイバーテロ警戒センタ３は、中央監視センタ１Ａ、１Ｂから通知を受けると、通知されたフィルタリングポリシーＡ、Ｂを、他の管理ドメイン（図１では、中央監視センタ１Ｃ）へ配布可能な情報に汎用化するために、検知された攻撃の種類や、追跡可能であった攻撃の発信源等を含む情報のみに集約し、かつ、各中央監視センタ１Ａ、１Ｂで使われたフィルタリングポリシーを、その配布先のゲートノードのアドレスは除去した情報に変換し、これを汎用フィルタリングポリシーとして各中央監視センタ１Ａ、１Ｂ、１Ｃへ配布する。
【００９４】
このことによって、中央監視センタ１Ｃが管理する広域イントラネットＣにおいては、実害が検知されなくても、結果的に汎用フィルタリングポリシーが共有された状況になる。
【００９５】
（Ａ−１−５）管理ドメイン内の汎用防護ポリシーの扱い
次に、管理ドメイン内における、サイバーテロ警戒センタからの汎用防護ポリシーの扱いについて汎用フィルタリングポリシーを例に、図１、図２を用いて説明する。
【００９６】
サイバーテロ警戒センタ３から配布された汎用フィルタリングポリシーは、サイバーテロ警戒センタ３において、配布先ゲートノードのアドレス情報等が除去されて汎用化された情報に変換されており、各中央監視センタ１Ａ、…、１Ｃの防護ポリシー管理システムにおいては、汎用フィルタリングポリシーを受信すると、それぞれの広域イントラネットＡ、…、Ｃ上のアドレス情報を付加しフィルタリングポリシー（個別フィルタリングポリシー）に変換した上で、各ゲートノード１２（図２）に配布する。
【００９７】
以上のように、汎用フィルタリングポリシーは、各中央監視センタ１Ａ、…、１Ｃの防護ポリシー管理システムにおいて、自管理ドメイン内のゲートノード１２へ配布可能な個別フィルタリングポリシーに変換され、各ゲートノード１２へ配布される。
【００９８】
このとき、中央監視センタ１Ａ、…、１Ｃの防護ポリシー管理システムでは、以前に配布済みのフィルタリングポリシーとの関係を整合し最適化できるようにフィルタリングポリシーを管理する。例えば、既に配布済みのフィルタリングポリシーと同一となった場合は再度の配布を省略する。また例えば、前回配布したフィルタリングポリシーのアクセス制御範囲が広く、新たに生成した個別フィルタリングポリシーによって、逆にアクセス制御範囲が狭まる恐れがある場合は、アクセス制御範囲が狭まることを回避する。
【００９９】
（Ａ−１−６）サイバーテロ警戒センタ間の情報授受
次に、サイバーテロ警戒センタ３と他のサイバーテロ警戒センタ３ｘとの間の情報授受についてフィルタリングポリシーを例に、図１を用いて説明する。
【０１００】
上述したように、サイバーテロ警戒センタ３は、自警戒ドメイン内からフィルタリングポリシー（個別フィルタリングポリシー）を受信すると、既に配布済みであるか否かにより有効性を判断し、有効な場合は、受信したフィルタリングポリシーをもとに汎用フィルタリングポリシーを生成し、自警戒ドメイン内の中央監視センタ１Ａ〜１Ｃへ配布する（有効性の判断は、汎用フィルタリングポリシーを生成した後にしても構わない）。
【０１０１】
さらに、サイバーテロ警戒センタ３は、他の同様のサイバーテロ警戒センタ（図１では、他の警戒センタ）３ｘとの間で、互いの警戒ドメイン内で蓄積された汎用防護ポリシーを授受し合い、既に配布済みであるか否かにより有効性を判断し、自警戒ドメイン内で有効な汎用防護ポリシーを抽出し、それを配下の各中央監視センタへ配布する。
【０１０２】
各中央監視センタ（１Ａ、…、１Ｃ）は、上位のサイバーテロ警戒センタ３（図１）から配布された汎用防護ポリシーに、個別情報を付加し、防護ポリシー（個別防護ポリシー）として各ゲートノード１２（図２）へ配布する。
【０１０３】
（Ａ−１−７）情報センタとサイバーテロ警戒センタとの情報授受
次に、セキュリティ事案（いわゆるインシデント情報）の情報提供を目的とした情報センタとサイバーテロ警戒センタとの情報授受について、図１を用いて説明する。
【０１０４】
サイバーテロ警戒センタ３は、セキュリティ事案の情報提供を目的とした他の組織の情報センタ（例えば、日本ではＪＰＣＥＲＴ／ＣＣやＩＰＡセキュリティセンタ（情報処理振興事業協会）、米国ではＣＥＲＴ／ＣＣ）から提供される不正アクセス事案やサイバーテロの恐れがある事案に関する攻撃情報と、その防護に関する情報を必要に応じて収集する。そして、それをもとに汎用防護ポリシーを生成し、自警戒ドメイン内の中央監視センタ１Ａ〜１Ｃに配布するとともに、他の警戒センタ３ｘとの間で汎用防護ポリシーの授受を行う。あるいは、それをもとに自警戒ドメイン内の中央監視センタ１Ａ〜１Ｃに、広域的攻撃の検出開始を指示する。
【０１０５】
このことによって、各警戒ドメインやその配下の管理ドメインに汲まなく情報が行き渡るため、アクセス制御に関する防御に必要な情報を有効活用することができる。
【０１０６】
（Ａ−２）実施形態の主要機能の詳細説明
図７は、実施形態のシステムの主要機能を、中央監視センタと、サイバーテロ警戒センタについて整理して示したものである。
【０１０７】
中央監視センタの主要機能としては、
▲１▼ネットワーク上の通信活動状況（通信アクティビティ）の収集・監視
▲２▼不正検出、異常検出を併用したハイブリッド型ＩＤＳ監視に基づく処理
▲３▼広域イントラネット上での攻撃、アクティビティ追跡（侵入経路解析）
▲４▼広域イントラネットの防護ポリシー（個別防護ポリシー）の生成とゲートノードへの配布
▲５▼上位警戒センタからの汎用防護ポリシーを防護ポリシー（個別防護ポリシー）に変換
があり、中央監視センタは、これらの機能の実現部を有している。
【０１０８】
また、サイバーテロ警戒センタの主要機能としては、
▲１▼下位中央監視センタからの防護ポリシー（個別防護ポリシー）の収集・分析
▲２▼各種分析結果による汎用防護ポリシーの生成・配布
▲３▼警戒センタ間の汎用防護ポリシーの授受と協調型のアクティビティ追跡
▲４▼情報センタ、警戒センタ等からのサイバーテロ情報収集、情報提供
があり、サイバーテロ警戒センタは、これらの機能の実現部を有している。
【０１０９】
（Ａ−２−１）中央監視センタの主要機能
以下、図１及び図２に示した中央監視センタ１Ａを例に、中央監視センタの主要機能を説明する。
【０１１０】
▲１▼ネットワーク上の通信活動状況（通信アクティビティ）の収集・監視
中央監視センタ１Ａの通信アクティビティ監視システム１Ａ−１は、アクティビティモニタ１０から与えられる、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮを通過する通信のアクセス状況（通信アクティビティ）を常時監視し、侵入経路解析システム１Ａ−２は、広域イントラネットＡ内の拠点を通過する通信アクティビティと、不正アクセス検知システム１１の警報によって、侵入経路を解析することができる。
【０１１１】
▲２▼不正検出、異常検出を併用したハイブリッド型ＩＤＳ監視に基づく処理
不正アクセス検知システム１１は、不正検出と異常検知とを併用したハイブリッド型ＩＤＳで構成することにより高度な不正アクセス検知を実行でき、中央監視センタ１Ａでは、不正アクセス検知システム１１からの警報として送られる情報に基づいて侵入経路の解析が行われる。さらに、１箇所の不正アクセス検知システム１１では攻撃とは見なせない場合や、危険レベルが低いと判定される場合であっても、中央監視センタ１Ａが総合的に解析することで、分散された攻撃と見なせるような不正アクセスも検知し（広域的攻撃検知）、これに基づいて防護ポリシーを生成し配布する。
【０１１２】
▲３▼広域イントラネット上での攻撃、アクティビティ追跡（侵入経路解析）
侵入経路解析システム１Ａ−２は、中央監視センタ１Ａの通信アクティビティ監視システム１Ａ−１で収集した通信アクティビティと、不正アクセス検知システム１１から警報として送られる情報を用いて、当該攻撃が通過した広域イントラネットＡ内の経路を分析する。このことにより、広域イントラネットＡ内のあるホストなどが踏み台に悪用され、発信源のアドレス情報を詐称された場合でも、通信アクティビティを観測できるネットワークの範囲において、攻撃の発信源の解析（逆探知）が可能である。
【０１１３】
▲４▼広域イントラネットの防護ポリシー（個別防護ポリシー）の生成とゲートノードへの配布
防護ポリシー管理システム１Ａ−３は、不正アクセス検知システム１１から警報として送られる情報と、侵入経路解析システム１Ａ−２かの解析結果として送られる情報をもとに、広域イントラネットＡ上の各ゲートノード１２のアドレス情報も含んだ防護ポリシー（個別防護ポリシー）を生成し、これを各ゲートノード１２に配布する（この際、上位のサイバーテロ警戒センタに対しても配布する）。
【０１１４】
また、防護ポリシー管理システム１Ａ−３では、広域イントラネットＡ上の全ゲートノード１２へ配布した防護ポリシーを一元的に管理し、広域イントラネットＡ内で防護ポリシー間の矛盾が生じないようにする。
【０１１５】
▲５▼上位警戒センタからの汎用防護ポリシーを防護ポリシー（個別防護ポリシー）に変換
広域イントラネットＡが属する警戒ドメイン内のサイバーテロ警戒センタ３から配布される汎用防護ポリシーを受け、各ゲートノード１２へ配布可能な防護ポリシー（個別防護ポリシー）に変換した上で配布を行う。また、上記機能▲４▼と同様の防護ポリシーの管理に適用される。
【０１１６】
（Ａ−２−２）サイバーテロ警戒センタ（協調型警戒システム）
以下、図１及び図２に示したサイバーテロ警戒センタ３を例に、サイバーテロ警戒センタの主要機能を説明する。
【０１１７】
▲１▼下位中央監視センタからの防護ポリシー（個別防護ポリシー）の収集・分析
サイバーテロ警戒センタ３が管理する警戒ドメイン内の各中央監視センタ１Ａ〜１Ｃから防護ポリシー（個別防護ポリシー）の配布を受けると、自サイバーテロ警戒センタ３で蓄積するほか、蓄積した防護ポリシーを分析する。
【０１１８】
▲２▼各種分析結果により汎用防護ポリシーを生成・配布
各中央監視センタ１Ａ〜１Ｃから配布された防護ポリシー（個別防護ポリシー）を分析し、配布済みであるか否かによって有効性を判断し、自警戒ドメイン内の他の中央監視センタ（送信元が１Ａであれば１Ｂ、１Ｃ）に有効な情報の場合、攻撃の標的となった個別のサーバのアドレスや、個別のゲートノードのアドレス情報等を除去した汎用防護ポリシーを生成し、これを各中央監視センタ（１Ｂ、１Ｃ）へ配布する。
【０１１９】
▲３▼警戒センタ間の汎用防護ポリシーの授受と協調型のアクティビティ追跡
自警戒ドメイン内で生成・配布した汎用防護ポリシーや、他の情報組織から収集した事案に関する情報を元に生成・配布した汎用防護ポリシーを、蓄積すると共に、自警戒ドメイン以外のサイバーテロ警戒センタ３ｘと授受し合う（汎用防護ポリシーを生成・配布する際に、自警戒ドメイン以外のサイバーテロ警戒センタ３ｘにも配布する）。
【０１２０】
他のサイバーテロ警戒センタ３ｘからも新たな汎用防護ポリシーを受け、蓄積すると共に、これをまた別のサイバーテロ警戒センタとの間で授受するようにしても良い（汎用防護ポリシーのフォワーディング（転送））。他のサイバーテロ警戒センタ３ｘから受けた新たな汎用防護ポリシーを、配布済みであるか否かによって有効性を判断し、自警戒ドメインに有効な場合は配下の各中央監視センタ１Ａ〜１Ｃへ汎用防護ポリシーとして配布する。
【０１２１】
協調型アクティビティ追跡は、自警戒ドメイン内のある中央監視センタ（例えば１Ａ）から受けた防護ポリシーを別の管理ドメインの中央監視センタ（例えば１Ｂ、１Ｃ）へ配布し、配布された中央監視センタ（例えば１Ｂ、１Ｃ）はその防護ポリシーを元に同じ属性の通信アクティビティが自管理ドメイン内で存在していないかを捜索し、当該通信アクティビティが存在していた場合、その旨をサイバーテロ警戒センタ３へ送る。このことにより、ある管理ドメイン内で検知された属性の通信アクティビティの発信源を別の管理ドメインに跨いで追跡することが可能となっている。また、防御という観点においては、より発信源に近いネットワーク上で、閉鎖などの防御手段を適用した方が、被害の最小化という意味において有効である。特にサービス妨害（ＤｏＳ攻撃）などは、発信源が他の管理ドメインを通過することが判明している場合、より発信源に近いゲートノードで閉鎖処置を適用する方が防御手段として有効である。
【０１２２】
上述した追跡機能については、図８を用いて、後でより詳細を説明する。
【０１２３】
▲４▼情報センタ、警戒センタ等からのサイバーテロ情報収集、情報提供
サイバーテロ事案や不正アクセス事案に関する情報提供を行う情報センタや警戒センタ等の他の情報組織から攻撃情報や防護手段を収集し、これを汎用防護ポリシーとして蓄積する。
【０１２４】
蓄積した汎用防護ポリシーは、他の情報組織も情報を利用できるような表現形式に変換し、情報提供を行う。
【０１２５】
（Ａ−３）実施形態での個別技術の説明
実施形態で適用している個別技術のうち、侵入検知技術、侵入経路解析技術、防護ポリシー管理技術、協調型ポリシー情報の授受技術について、以下、補足説明を行う。
【０１２６】
（Ａ−３−１）効率的防御のための攻撃検知方法（侵入検知技術）
（Ａ−３−１−１）検知対象となる攻撃分類
検知対象となる攻撃として、▲１▼ポートスキャン等のネットワーク探査に準ずる行為、▲２▼不正アクセス行為（プロトコルパラメータを使った既知の攻撃又はそれに準ずる未知の攻撃）、▲３▼ＤｏＳ攻撃やＤＤｏＳ攻撃、▲４▼ワーム型コンピュータウィルスの感染活動などを対象とする。
【０１２７】
（Ａ−３−１−２）局所的攻撃検知
各拠点における局所的攻撃検知方法として、以下に示す第１の方法又は第２の方法を適用する。
【０１２８】
第１の方法は、各拠点においては、図９に示すように、不正検出装置（ＭＤ）２４、異常検出装置（ＡＤ）２３を併用し、高感度な攻撃検知を実行でき、また、ワーム型コンピュータウィルス活動の攻撃検知を実行できるようにしたものである。
【０１２９】
図９において、異常検出装置（ＡＤ）２３は、ネットワーク観測点に対し、検出用エンジン（検出ルールなど）２３Ｅを利用して、攻撃の兆候や、未知の攻撃を検出するものであり、不正検出装置（ＭＤ）２４は既知攻撃のパターン情報などが格納されているデータベース２４Ｄを参照しながら既知攻撃を検出（特定）するものである。ここで、不正検出装置（ＭＤ）２４及び異常検出装置（ＡＤ）２３としては、既存のものを適用することができる。但し、防護ポリシーなどで提供された情報が、データベース２４Ｄや検出用エンジン２３Ｅに直ちに反映される点や、不正検出装置（ＭＤ）２４及び異常検出装置（ＡＤ）２３が直列に接続されながら並行動作する点が、従来技術と異なっている。
【０１３０】
なお、第１の方法においては、不正検出装置（ＭＤ）２４及び異常検出装置（ＡＤ）２３は、図示しないゲートノードに対し、外部ネットワーク側又は内部ネットワーク側の同一側に設けられている。
【０１３１】
第２の方法は、各拠点においては、図１０に示すように、不正検出装置（ＭＤ）２４、ゲートノード１２、異常検出装置（ＡＤ）２３を併用し、より高感度な攻撃検知を実現しようとしたものである。
【０１３２】
第２の方法は、ゲートノード１２のトラフィックフィルタ機能（通信切断機能）によって、図示しない中央監視センタからのフィルタリングポリシーに適合するトラフィックだけを内部ネットワークへ流入させるような制御が可能である。第１の方法では、全てのトラフィックがネットワーク観測点で観測されてしまい、内部ネットワークにとって影響がない攻撃も検知してしまう可能性がある。
【０１３３】
第２の方法を適用することにより、外部ネットワーク側のネットワーク観測点１では全てのトラフィックを観測することで攻撃の兆候を幅広く観測し、内部ネットワーク側のネットワーク観測点２では攻撃ノイズが除去され、内部ネットワークのセキュリティポリシーに関係する攻撃だけ観測することも可能である。
【０１３４】
以上のように、ゲートノード１２を組み合わせることにより、異常検出（アノーマリ検出）を攻撃の兆候検知用とし、ゲートノード１２を攻撃の絞り込み（攻撃ノイズ除去）用とし、不正検出（ミスユース検出）を攻撃の特定用とする仕組みがとれるため、セキュリティ管理上、より効率的な防御のための攻撃検知が可能となる。
【０１３５】
（Ａ−３−１−３）広域的攻撃検知（分散攻撃検知）
不正アクセス検知システムによる１箇所のローカル監視では、攻撃と見なされないアクセスや、危険レベルが低いと判定される不正アクセスでも、図１１（Ａ）に示すように、広域分散ネットワークとして関連度を分析することで危険レベルが高い不正アクセスとして検出することができる。広域イントラネットにおける広域的攻撃検知は、中央監視センタが各拠点から収集した通信アクティビティ又は警報に基づいて、広域的攻撃を検出する。
【０１３６】
広域的攻撃の検出は、常時、定期的に、又は必要に応じて（他の警戒ドメインや管理ドメインにおいて広域的攻撃が検出された場合や、頻繁に不正アクセスが検出された場合、他）行なうものとする。
【０１３７】
攻撃とみなされないアクセスに関する広域的攻撃は、通信アクティビティ監視システムが、新たに受信した通信アクティビティと、蓄積した通信アクティビティを比較し、分類し、危険度を判定することによって検出する。また、比較する通信アクティビティは、新たに受信したもの及び蓄積しているもののアクティビティ状態が、コネクション型のコネクション確立中の通信アクティビティを対象として行なうことを前提とする。
【０１３８】
詳細に説明すると、広域的攻撃の検出を開始すると、通信アクティビティ監視システムは、アクティビティモニタから新たな通信アクティビティ［ａ］が通知されると、通信アクティビティを記憶しているデータ蓄積システムを参照し、通知された通信アクティビティ［ａｎ］と、通信アクティビティ［ａ］の検出時刻から所定時間［ｔ］前迄の間に検出された１又は複数の通信アクティビティ［ｂ］のアクティビティ端点及びプロトコル種別を、通知される度に、比較し（［ａｎ］と比較するものを通信アクティビティ［ｂｎ］とする）、プロトコル種別が同一の通信アクティビティ［ｂｎ］を、送信元ＩＰアドレスと宛先ＩＰアドレスの一致・不一致に応じて分類する。また、通信アクティビティ［ｂ］は、通信アクティビティ［ｂ］が通知された拠点に配置されたゲートノードを特定する情報（アドレス等）と共に分類する。
【０１３９】
図１１（Ｂ）は、送信元ＩＰアドレスと宛先ＩＰアドレスの一致・不一致に応じた分類を示し、送信元及び宛先が同じ場合を関連度Ａ、送信元が同じで宛先が異なる場合を関連度Ｂ、送信元が異なり宛先が同じ場合を関連度Ｃ、送信元及び宛先が異なる場合を関連度Ｄと定義し、通信アクティビティ［ｂｎ］をゲートノードを特定する情報と共に分類する。
【０１４０】
通信アクティビティ［ｂｎ］の分類完了後、各関連度毎に、ゲートノードを特定する情報を用いて、同一ゲートノードからの通信アクティビティ［ｂｎ］を１件とカウントすることによって、全ての通信アクティビティ［ｂｎ］の件数Ｘと、関連度Ａ、Ｂ及びＣに分類された通信アクティビティ［ｂｎ］の件数Ｙとを求め、件数Ｘに対する件数Ｙの割合Ｚを求める。（以上の処理を、新たな通信アクティビティ［ａ］を受信する度に繰り返す。）そして、割合Ｚが所定の割合（例えば５０％）以上であった場合、広域的攻撃であると判定し、その旨を防護ポリシー管理システムに通知する。
【０１４１】
尚、上述の例では、アクティビティモニタから通知された新たな通信アクティビティ［ａ］と、通信アクティビティ［ｂ］とを比較する例を説明したが、通信アクティビティ［ａ］に替えて、所定の通信アクティビティ［ｃ］（危険度が高いと認定されたもの等）を用いるものとし、新たな通信アクティビティ［ａ］の通知を受ける度に、通信アクティビティ［ｃ］と、通信アクティビティ［ｂ］とを比較するようにしても構わない。
【０１４２】
危険レベルが低いと判定される不正アクセスに関する広域的攻撃は、防護ポリシー管理システムが、不正アクセス検知システムから送られる警報を比較し、分類し、危険度を判定することによって検出する。
【０１４３】
詳細に説明すると、防護ポリシー管理システムは、不正アクセス検知システムから受信した警報に関する情報をデータ蓄積システムに蓄積しており、広域的攻撃の検出を開始すると、新たな警報［ａ］が通知される毎に、蓄積した警報に関する情報を参照し、通知された警報［ａｎ］と、警報［ａ］の検出時刻から所定時間［ｔ］前迄の間に検出された１又は複数の警報［ｂ］に含まれるアクセス元とアクセス先の情報及びプロトコル種別を、比較し（［ａｎ］と比較するものを警報［ｂｎ］とする）、プロトコル種別が同一の警報［ｂｎ］を、アクセス元ＩＰアドレスとアクセス先ＩＰアドレスの一致・不一致に応じて分類する。また、警報［ｂ］は、警報［ｂ］が通知された拠点に配置されたゲートノードを特定する情報（アドレス等）と共に分類する。
【０１４４】
警報［ｂｎ］の分類や、分類完了後の処理は、前述した攻撃とみなされないアクセスに関する検出の通信アクティビティを警報に置き換えて、同様に行なうことで、割合Ｚを求め、割合Ｚが所定の割合（例えば５０％）以上であった場合、広域的攻撃であると判定する。
【０１４５】
広域的攻撃であると判定した後の処理は、攻撃とみなされないアクセスについての判定と、危険レベルが低いと判定される不正アクセスについての判定とは、同一であり、防護ポリシー管理システムにおいて、分類された通信アクティビティ又は警報に基づいてフィルタリングポリシーを生成し、関連度Ａ、Ｂ及びＣに分類されたゲートノードに配布する。尚、フィルタリングポリシーは、関連度Ｄに分類されたゲートノードも含めて配布しても構わない他、関連度に応じて異なるフィルタリングポリシーを生成・配布しても、共通のフィルタリングポリシーを生成・配布しても構わない。
【０１４６】
（Ａ−３−２）通信アクティビティ識別による追跡方法（追跡技術）
次に、通信アクティビティの詳細と、同一攻撃に係る通信アクティビティや攻撃検知などを識別し攻撃の通過ルートなどを把握する追跡方法について説明する。
【０１４７】
なお、従来技術においては、通信コネクションの存在のみか、あるいは、データ転送量（トラフィック量）のみを計測し、それらを蓄積し、攻撃検知時の追跡調査を手動で行うようになされていた。
【０１４８】
（Ａ−３−２−１）アクセス状況（通信アクティビティ）モデルの定義
実施形態において、通信アクティビティの発生とは、図１２に示すように、ネットワーク上の観測点において、コネクションが開設されたことや、無活動の状態から何らかのトラフィックを観測したことや、パケットの通過を検出したことを言う。
【０１４９】
また、通信アクティビティの消滅とは、図１２に示すように、ネットワーク上のある観測点において、コネクションが切断されたことや、発生を観測したトラフィックが一定時間観測されなかったことを言う。
【０１５０】
通信アクティビティ発生後は、トラフィックを観測したノードにおいて、通信アクティビティによって通信状態を管理する。
【０１５１】
この実施形態は、コネクション型（コネクションオリエンテッド型）もコネクションレス型のネットワークも対象としており、また、プロトコルレイヤによって、コネクション型及びコネクションレス型が異なる通信形態も対象としており、従って、以下のような定義によって、通信アクティビティを管理する。
【０１５２】
（Ａ−３−２−２）通信アクティビティの定義
通信アクティビティとは、広域イントラネットへのアクセス状況に関する情報であり、アクティビティ端点、プロトコル種別及び検出時刻から成る情報である（これにアクティビティタイプ及びアクティビティ状態を加えても構わない）。ここで、アクティビティ端点、プロトコル種別、検出時刻、アクティビティタイプ及びアクティビティ状態を総称してアクティビティ属性と呼ぶ。
【０１５３】
アクティビティ端点に関する情報とは、発生した通信の端点のアドレスに関する情報であり、アクセス元やアクセス先に関する、ソースＩＰアドレスや、ソースポート番号、ディスティネーションＩＰアドレス、ディスティネーションポート番号等を利用する。
【０１５４】
プロトコル種別とは、当該トラフィックの通信で適用されている通信プロトコルの種類に関する情報であり、例えば、ＩＡＮＡ番号を利用する。
【０１５５】
アクティビティタイプとは、コネクション型か、コネクションレスのリプライ（Ｒｅｐｌｙ）型か、コネクションレス片方向型（完全コネクションレス型）か等の、端点間のコネクションのタイプに関する情報であり、通信アクティビティの監視を考慮して、コネクションレス型として上記２種類を扱うことにしている。
【０１５６】
アクティビティ状態とは、コネクションの状態に関する情報であり、（ｉ）コネクション型（ＴＣＰ）のコネクション状態（例えば、確立、確立中、切断、切断中）、（ii）コネクションレス型のリプライ状態（例えば、応答の返信状態、無応答状態）、（iii）コネクションレス型の一方向通信状態（例えば、無応答）、等の状態の種類を扱うことにしている。
【０１５７】
検出時刻とは、アクティビティモニタが以上の情報を検出した時刻に関する情報である。
【０１５８】
以上では、プロトコルレイヤ３、４の情報をアクティビティ属性の情報とする例を示したが、他のプロトコルレイヤの情報などを、アクティビティ属性の情報に含めるようにしても良い。言い換えると、中央監視センタが収集し管理する任意のプロトコルレイヤの情報であっても良い。
【０１５９】
（Ａ−３−２−３）通信アクティビティの重ね合わせ分析
侵入経路解析システム（図２の１Ａ−２）が、不正アクセス検知システム（図２の１１）からの警報に応じて、検出時刻が同一若しくは所定時間内の通信アクティビティから、プロトコル種別が一致し、かつ、アクセス元・アクセス先の情報とアクティビティ端点が一致する通信アクティビティを抽出し、その通信アクティビティが通過したゲートノードを特定することを、通信アクティビティの重ね合わせ分析と呼ぶ。
【０１６０】
図１３に示すように、各拠点に配置されたアクティビティモニタ１０が得た通信アクティビティは、通信アクティビティ監視システム（図２の１Ａ−１）に送信され、中央監視センタ内のデータ蓄積システム１Ａ−４に、送信元となったアクティビティモニタ１０を特定する情報（ＩＰアドレス等）と関連付けて蓄積する（又は、ゲートノードを特定する情報（ＩＰアドレス等）と関連付けて蓄積する）。そして、不正アクセス検知システム（図２の１１）からの警報に基づいて、侵入経路解析システム（図２の１Ａ−２）は、通信アクティビティを重ね合わせ分析することによって警報と関わりのある通信アクティビティが通過したゲートノードを特定する。侵入経路解析システムは、データ蓄積システムに予め記憶した、監視対象内のゲートノードの配置とそれらの接続に関するネットワーク地図情報（いわゆるネットワーク構成マップ）を参照し、特定したゲートノードをネットワーク地図情報上に反映させ、それらを繋ぎ合わせてパスＰを特定し、管理対象ネットワーク上の侵入経路を示すアクティビティマップを作成する。
【０１６１】
尚、アクティビティモニタを特定する情報から、その拠点に配置されたゲートノードを特定する場合、データ蓄積システムにこれらを関連付ける情報を予め記憶させる必要がある。
【０１６２】
例えば、図１４に示すように、拠点Ａ１／ＧＮ、Ａ２／ＧＮ、Ａ５／ＧＮからの通信アクティビティを重ね合わせ分析し、ネットワーク地図情報上に反映させ、それらを繋ぎ合わせたマップ上の軌跡であるパスＰを上書きしてアクティビティマップ（図１４）を作成する。
【０１６３】
なお、通信アクティビティを中央監視センタに通知するためのプロトコルなどは、任意であって良く、通信専用線を適用するものであっても良い。また、動的ルーティングを採用しているパケットなどに関して、属性定義によって同一通信アクティビティと識別できるならば、その複数のパスを全てアクティビティマップに書き込むようにしても良い。
【０１６４】
（Ａ−３−２−４）攻撃元の追跡
侵入経路解析システム（図２の１Ａ−２）は、アクティビティマップを作成した後に、不正アクセスとみなされた通信アクティビティを通過させたゲートノードの中から、ゲートノードの配置に基づき、ネットワークの境界に位置するゲートノード（以下エッジノードと呼ぶ）を抽出し（エッジノードの判定と呼ぶ）、アクティビティマップへ反映させる。
【０１６５】
例えば、図１４のアクティビティマップの例において、拠点Ａ５／ＧＮに配置された不正アクセス検知システム（ＩＤＳ）１１が不正を検知し、その不正アクセス検知システム１１からの警報を元に、図示しない中央監視センタの侵入経路解析システムが、アクティビティマップを作成し、拠点Ａ１／ＧＮにおける外部ネットワークとの境界に位置するゲートノードがエッジノードＥＮであると判定しアクティビティマップに反映させる。
【０１６６】
尚、侵入経路解析システムは、侵入経路の解析結果として、特定したゲートノード及びエッジノードを特定する情報（ＩＰアドレス等）を通知する。
【０１６７】
また、同一の攻撃に対し、複数の不正アクセス検知システムが反応した場合、同一のエッジノードを解析する処理が複数生成されるが、例えば、通信アクティビティの属性情報を適宜利用しながら、複数の不正アクセス検知システムからの最初の警報に基づいたエッジノードの判定処理だけを実行させるようにし、エッジノードの判定が並行して実行されることを抑止するようにしても良い。
【０１６８】
（Ａ−３−３）ポリシー生成（防護ポリシー管理技術）
次に、ゲートノードに配布するためのフィルタリングポリシーや他の防護ポリシーの生成方法や管理方法などについて説明する。
【０１６９】
（Ａ−３−３−１）ポリシー表記方法
防護ポリシーの表記方法は、図１５に示すように、ポリシーＩＤ、発効日時、ポリシー有効期限、ポリシータイプ（ポリシー種別）、ポリシー端点、アクション種別、ポリシー適用タイプ、対抗攻撃参照ＩＤ、ポリシー認証カード、拡張情報などを情報の構成要素としており、防護ポリシーの種類によって一部内容が異なることがある。尚、ポリシー認証カードはオプションとして付加するものであり必須ではない。
【０１７０】
ポリシーＩＤ（Ｎｏ）には、防護ポリシーの識別情報（識別番号）が挿入される。ポリシーＩＤは、防護ポリシーの生成元などが任意に定めて良いものであるが、汎用防護ポリシーか個別防護ポリシーかを区別できる情報を盛り込むことが好ましい。
【０１７１】
ポリシー発効日時には、当該防護ポリシーが有効となるタイムスタンプが挿入される。
【０１７２】
ポリシー有効期限には、当該防護ポリシーが、有効期限が無期限である無期限防護ポリシーか、有限である場合には、その期限（タイムスタンプ）が挿入される。
【０１７３】
ポリシータイプ（ポリシー種別）には、当該防護ポリシーが、フィルタリング（Ｆｉｌｔｅｒｉｎｇ)ポリシーか、追跡（Ｔｒａｃｋｉｎｇ）ポリシーか、警戒（Ｓｃａｎｎｉｎｇ）ポリシーか、攻撃（Ｏｆｆｅｎｓｉｖｅ）ポリシーかを表す情報が挿入される。
【０１７４】
ポリシー端点には、防護ポリシーの適用対象となるアクセスに関する、通信アクティビティのアクセス元の情報である送信元ＩＰアドレス（発ＩＰアドレス）や、アクセス先の情報である宛先ＩＰアドレス（着ＩＰアドレス）や、通信プロトコルのプロトコル種別が挿入される。
【０１７５】
アクション種別には、ポリシー端点において条件を特定したアクセスに対するアクセス制御を定めるものとし、アクセス拒否（Ｒｅｆｕｓｅ）、アクセス無視（Ｄｒｏｐ）、アクセス許可（Ａｃｃｅｐｔ）、ネットワーク切断（ＮｅｔｗｏｒｋＣｌｏｓｅ）、以前の防護ポリシー解除（ＰｏｌｉｃｙＯｆｆ）、検出通知条件の変更（Ｃｏｎｆｉｇｕｒｅ Ｉｎｄｉｃａｔｉｏｎ）などのアクションの種類情報が挿入される。
【０１７６】
ポリシー適用タイプには、当該防護ポリシーの適用先（例えばフィルタリングポリシーをどのゲートノードへ適用すべきか等）を指定する情報が挿入される。この指定には、例えば、当該広域イントラネット又は警戒ドメイン内の全てのゲートノードという指定も可能とする。
【０１７７】
対抗攻撃参照ＩＤには、ＣＶＥ番号、ＣＥＲＴ番号など、情報提供機関が規定する対抗攻撃の参照番号が挿入される。
【０１７８】
ポリシー認証カードには、偽造防止のために、当該防護ポリシーを発行したサイバーテロ警戒センタ（図１の３参照）や中央監視センタ（図１の１Ａ〜１Ｃ参照）の認証証明書が挿入される。
【０１７９】
拡張領域には、必要に応じて、各種防護ポリシーに固有の情報が挿入される。
【０１８０】
なお、ポリシーの表記のためのコード体系やエンコード方法は問われない。また、防護ポリシーの要素として、当該防護ポリシーの配布先（例えばフィルタリングポリシーが与えられるべき、ゲートノードのタイプ等）など他の要素を、図１５に示した要素に代え、又は、図１５に示した要素に加え、設けるようにしても良い。
【０１８１】
（Ａ−３−３−３）防護ポリシーのタイプ
防護ポリシーとしては、フィルタリングポリシー、追跡ポリシー、警戒ポリシー、攻撃ポリシーなどがある。
【０１８２】
フィルタリングポリシーは、攻撃を回避する目的で適用するアクセス制御ルールである。
【０１８３】
追跡ポリシーは、他の管理ドメインにおいても不正アクセスに関する侵入経路を解析し、攻撃が行われた経路を追跡するための追跡ルールである。追跡ルールには、エッジノードにおいて収集された通信アクティビティを使用する。
【０１８４】
警戒ポリシーは、アミを張って警戒するためのものであり、将来攻撃元となり得る警戒対象（サーバー等）のＩＰアドレス、攻撃能力を抽出するためのルールである。ルールは、警戒する対象に関するスキャニングパターンを示している。警戒ポリシーは、サイバーテロ警戒センタにおいて、生成すると共に、スキャニングパターンからスキャニング用パケットを生成し警戒対象に送信しその応答を監視するために用いられる。
【０１８５】
攻撃ポリシーは、攻撃元が判明している場合の逆攻撃（Ｃｏｕｎｔｅｒ Ａｔｔａｃｋ）ルール（短時間の攻撃）である。なお、攻撃ポリシーを適用するためには、攻撃ポリシーに従った攻撃機能（攻撃ツールなど）が搭載されたサーバを設ける必要がある。
【０１８６】
尚、上記各ポリシーの構成については（Ａ−３−４−２）項の各ポリシー構成にて説明する。
【０１８７】
（Ａ−３−３−４）防護ポリシーの矛盾検出
この実施形態の場合、解除ポリシーに該当する防護ポリシーが存在しない。そのため、各ゲートノードなどは、ポリシー有効期限を遵守し、例えば、ポリシー有効期限経過時点で防護ポリシーを解除する。
【０１８８】
同一防護ポリシーの重複を検出したときには、各拠点などは、いずれか一方のみを有効とする。同一ではないが、例えば、ポリシー有効期限だけが異なっていたり、適用されるゲートノードの範囲だけが異なっていたり、複数の防護ポリシー間に情報の包含関係がある場合には、狭い範囲の防護ポリシーを優先させても良く、逆に、広い範囲の防護ポリシーを優先させても良く、また、ポリシー種別によって、優先させる防護ポリシーを変えるようにしても良い。
【０１８９】
防護ポリシーに認証情報が存在しないか、認証情報が無効の場合には、その防護ポリシーを無効として扱っても良く、認証情報が不存在又は無効でも、その防護ポリシーを有効なものと扱うようにしても良い。
【０１９０】
（Ａ−３−４）個別防護ポリシー／汎用防護ポリシーの変換
次に、中央監視センタで実行される個別防護ポリシー及び汎用防護ポリシー間の変換について説明する。
【０１９１】
（Ａ−３−４−１）個別防護ポリシーと汎用防護ポリシー
上述した図１５に示したように、防護ポリシーの情報要素は、ポリシーＩＤ、発効日時、ポリシー有効期限、ポリシータイプ、ポリシー端点、アクション種別、ポリシー適用タイプ、対抗攻撃参照ＩＤ、ポリシー認証カードなどである。
【０１９２】
個別防護ポリシーは、図１５に示した全ての防護ポリシー情報要素を含み、各中央監視センタから、管理対象のゲートノードへ配布されるべき情報である。すなわち、個別防護ポリシーは、当該システムの個別情報（発／着ＩＰアドレス等）も含んだ防護ポリシー情報である。
【０１９３】
汎用防護ポリシーは、図１６に示すように、防護ポリシーの情報要素の中から、ポリシー端点の宛先ＩＰアドレス（着ＩＰアドレス）、発効日時、ポリシー適用タイプを除外（マスク）した防護ポリシー情報である。
【０１９４】
すなわち、個別防護ポリシーから汎用防護ポリシーへの変換では、図１６に示したマスク要素を除外すれば良く、これは、サイバーテロ警戒センタにおいて行なわれる。
【０１９５】
逆に、汎用防護ポリシーから個別防護ポリシーへの変換では、上記マスク要素を追加すれば良く中央監視センタ（図１の１Ｂ参照）において行なわれる。発効日時には、例えば、中央監視センタが個別防護ポリシーへ変換した日時を挿入しても良い。ポリシー適用タイプには、例えば、その広域イントラネットにおいて、当該防護ポリシーの配布対象となるゲートノードのＩＤを挿入する。ポリシー端点の宛先ＩＰアドレス（着ＩＰアドレス）には、例えば、当該広域イントラネットについて予め定まっているデフォルト値を挿入する。
【０１９６】
（Ａ−３−４−２）各防護ポリシー構成
図１７は、防護ポリシーの種類によるポリシー要素（や個別防護ポリシーと汎用防護ポリシー）の相違などを示す説明図である。
【０１９７】
フィルタリングポリシーは、攻撃回避のための防護ポリシー情報であり、図１７（Ａ）に示す通り、ポリシーＩＤ、発効日時、ポリシー有効期限、ポリシータイプ、ポリシー端点、アクション種別、ポリシー適用タイプ、対抗攻撃参照ＩＤ、ポリシー認証カードから構成される（ポリシー認証カードはオプション）。また、フィルタリングポリシーの汎用ポリシーは、図１７（Ａ）に示すように、発効日時、ポリシー端点の着ＩＰアドレス、ポリシー適用タイプがマスクされる（協調型アクティビティ追跡においては、発行日時、ポリシー端点の着ＩＰアドレスがマスクされる）。
【０１９８】
追跡ポリシーは、「通信アクティビティＸを捜索範囲内で捜索する」ための防護ポリシー情報であり、図１７（Ｂ）に示す通り、ポリシーＩＤ、発効日時、ポリシー有効期限、ポリシータイプ、ポリシー適用タイプ、対抗攻撃参照ＩＤ、ポリシー認証カード、拡張領域から構成される（ポリシー認証カードはオプション）。追跡ポリシーに対し、サイバーテロ警戒センタや中央監視センタは、管理する範囲内で当該通信アクティビティを観測したゲートノードの情報を要求元に応答する。そのため、拡張領域にはエッジノードにおいて収集された通信アクティビティＸが設けられている。また、追跡ポリシーの汎用ポリシーは、図１７（Ｂ）に示す通りである。
【０１９９】
警戒ポリシーは、警戒条件のための防護ポリシーである。そのため、図１７（Ｃ）に示すように、拡張領域には、警戒条件を明示するために警戒対象のＩＰアドレスが設けられている。警戒ポリシーの汎用ポリシーは、図１７（Ｃ）に示す通りである。
【０２００】
攻撃ポリシーは、「Ｘに対してＹを行い、攻撃（反撃）する」ための防護ポリシーである。そのため、図１７（Ｄ）に示すように、拡張領域には、攻撃条件が設けられている。攻撃ポリシーの汎用ポリシーは、図１７（Ｄ）に示す通りである。
【０２０１】
なお、異なる警戒ドメインへ転送される、アクティビティ協調追跡のための警戒ポリシー（汎用ポリシー）の構成は、上述した通りのものであっても良く、上記要素に、アクティビティ協調追跡のための警戒ポリシーであることなどの情報を盛り込む要素などが設けられたものであっても良い。
【０２０２】
（Ａ−３−５）協調型アクティビティ追跡機能の詳細説明
図８は、協調型警戒システムにおける協調型アクティビティ追跡機能のイメージを示している。なお、図８において、図１との同一、対応部分には同一、対応符号を付して示している。
【０２０３】
サイバーテロ警戒センタ３（図１）が管理する警戒ドメインに属する管理ドメインＡ、Ｂ（図８では、それぞれ広域イントラネットＡ、Ｂで示される楕円部分に相当）がそれぞれ、中央監視センタ１Ａ、１Ｂで管理されているものとする。管理ドメインＡ、Ｂにおいては、中央監視センタ１Ａ、１Ｂについて上述した５つの機能、▲１▼通信アクティビティの収集・監視、▲２▼ハイブリッド型ＩＤＳ監視に基づく処理、▲３▼侵入経路解析、▲４▼防護ポリシー（個別防護ポリシー）生成・配布、▲５▼汎用防護ポリシーの個別変換が動作するものとする。
【０２０４】
サイバーテロ警戒センタ３は、警戒ドメイン内の協調型アクティビティ追跡機能を、以下の３個の手段（図８のサイバーテロ警戒センタ３内の部分▲１▼〜▲３▼）で実現する。
【０２０５】
なお、警戒ドメイン内の管理ドメイン相互で協調連携し合い、通信アクティビティを追跡する様子が想像できることから、協調型アクティビティ追跡機能と呼ぶ。
【０２０６】
▲１▼汎用追跡ポリシーの生成・配布
警戒ドメインに属する中央監視センタ１Ａ（図８）では、不正アクセス検知システムからの不正アクセス検知▲２▼に関する警報に基づき、侵入経路を解析▲３▼し、フィルタリングポリシーを生成し、ゲートノードに配布▲４▼する。この際、防護ポリシー管理システムにおいて、追跡ポリシーを生成し侵入経路解析結果、フィルタリングポリシーと共にサイバーテロ警戒センタ３に配布する。
【０２０７】
追跡ポリシーは、警報に関する管理ドメインＡ内のエッジノードにおいて収集された通信アクティビティを持ち、これを受信したサイバーテロ警戒センタは、情報を蓄積すると共に、汎用追跡ポリシーを生成し、中央監視センタ１Ｂに配布する。
【０２０８】
▲２▼アクティビティマップ作成
汎用追跡ポリシーを受信した中央監視センタ１Ｂの防護ポリシー管理システムは、侵入経路解析システムに、汎用追跡ポリシーに基づく侵入経路の解析を指示する。侵入経路解析システムは、汎用追跡ポリシーで指示された通信アクティビティのアクティビティ端点、プロトコル種別と検出時刻を元に、データ蓄積システムを参照し、これらが合致する通信アクティビティの抽出を試みる（検出時刻については同一若しくは所定時間以内のものを抽出する）。そして、通信アクティビティが抽出できた場合には、抽出した通信アクティビティを収集したアクティビティモニタが配置された拠点のゲートノードを特定すると共にエッジノードを特定する。防護ポリシー管理システムは、侵入経路解析システムから該当する通信アクティビティの有無と、有の場合には解析結果（抽出したゲートノードとエッジノードを特定する情報）の通知を受けると、これらを追跡ポリシー応答として、サイバーテロ警戒センタに通知する。
【０２０９】
追跡ポリシー応答では、汎用追跡ポリシーで指示された当該通信アクティビティが管理ドメインＢ内に存在した場合は、管理ドメインＡで検知された攻撃が管理ドメインＢ内も経路として通過したことを示しており、追跡が成功したことを意味する。当該通信アクティビティが管理ドメインＢ内に存在しなかった場合は、管理ドメインＢを経路として通過していないため、追跡不能であることを意味する。
【０２１０】
サイバーテロ警戒センタ３では、中央監視センタ１Ａから受信した侵入経路解析結果と、中央監視センタ１Ｂから受信した追跡ポリシー応答とを、予め記憶させた、自警戒ドメイン内のゲートノードの配置とそれらの接続に関するネットワーク地図情報上に反映させ、アクティビティマップを作成し、これを元にエッジノードを抽出しアクティビティマップに反映させる。
【０２１１】
仮に当該攻撃の通信アクティビティが、管理ドメインＢを上流側の経路として通過した場合、管理ドメインＢ上の通過点（管理ドメインＢ内の該当するゲートノード）に対する閉鎖等のアクセス制御を適用することが、管理ドメインＡ内でアクセス制御を適用するよりも、被害の最小化という意味で有効である。すなわち、ある攻撃が検知された場合、管理ドメインや警戒ドメイン全体から見た被害の最少化を目的とした防御のためには、より攻撃の上流となった通過点（図８では、管理ドメインＢ上のＢ２／ＧＮで示されるゲートノード）でアクセス制御する方が、管理ドメインＡ以外の他の管理ドメインへの波及を防ぐという意味で有効である。
【０２１２】
▲３▼フィルタリングポリシー生成・配布
アクティビティマップの作成により、警戒ドメイン内の最も上流に位置する当該攻撃の通過点（エッジノード）が、攻撃を検知した管理ドメイン以外の管理ドメイン内で割り出せた場合、サイバーテロ警戒センタ３は追跡に成功した管理ドメイン（図８では、管理ドメインＢ）に対する汎用フィルタリングポリシーを生成し、配布する。
【０２１３】
また、同時に追跡ポリシーの送付元（中央監視センタＡ）に対しては、追跡が成功したか否かの追跡結果を通知する。
【０２１４】
汎用フィルタリングポリシーの生成・配布では、管理ドメインＡで使用したフィルタリングポリシー（個別フィルタリングポリシー）から個別の（管理ドメインＡ内の）ゲートノードのアドレス等は除去された汎用フィルタリングポリシーが生成されており、中央監視センタ１Ｂでは、管理ドメインＢ上の個別のゲートノードのアドレス情報を付加するなど個別変換を行い、ゲートノード（図８では、Ｂ２／ＧＮ）へ配布される。ゲートノードＢ２／ＧＮでは、フィルタリングポリシー（個別フィルタリングポリシー）で指示されたアクセス制御を適用し、閉鎖等の処置を施す。
【０２１５】
（Ａ−３−６）協調型アクティビティ追跡によるＤＤｏＳ攻撃防御（ＤＤｏＳ攻撃に対する協調型ポリシー情報の授受技術）
次に、協調型アクティビティ追跡によるＤＤｏＳ攻撃の防御方法、言い換えると、ＤＤｏＳ攻撃に対する協調型ポリシー情報の授受技術について説明する。
【０２１６】
（Ａ−３−６−１）典型的なＤＤｏＳ攻撃の攻撃モデル
典型的なＤＤｏＳ攻撃ソフトウェアとして知られるＴｒｉｎｏｏ、ＴＦＮなどの攻撃モデルは、図１８に示すように、クライアント５０、マスタ５１及び多数のデーモン５２から構成された階層型の攻撃体制で構成される。
【０２１７】
（Ａ−３−６−２）警戒ドメイン内のエッジノード解析
図１９に示すように、管理ドメイン（中央監視センタ）Ａ、Ｂ、Ｃ間で通信アクティビティを授受し合う動作によって、警戒ドメイン内のエッジノード（侵入ポイント；Ｉｎｇｒｅｓｓ Ｐｏｉｎｔ）を解析し、そのエッジノードに対してフィルタリングポリシーを配布する。侵入経路解析では、被害ネットワーク（管理ドメイン）から最も遠くに位置するネットワーク及びそのエッジノードを検出する。
【０２１８】
図１９の例は、管理ドメイン（中央監視センタ）Ａ、Ｂ、Ｃ間の通信アクティビティの授受によって、中央監視センタ１ＡがＤＤｏＳ攻撃のエッジノードを解析して、サイバーテロ警戒センタ３にフィルタリングポリシーを与え、サイバーテロ警戒センタ３が、それを汎用フィルタリングポリシーに変換し、各中央監視センタ１Ｂ、１Ｃに与えて、エッジノードに対してフィルタリングを実行させる場合を示している。
【０２１９】
（Ａ−３−６−３）警戒ドメイン間のエッジノード追跡
図２０に示すように、警戒ドメイン（サイバーテロ警戒センタ）間で通信アクティビティを授受し合う協調動作によって警戒ドメイン間でエッジノードを追跡し、フィルタリングポリシーの適用を行う。
【０２２０】
図２０の例は、警戒ドメイン（サイバーテロ警戒センタ）Ａ、Ｂ間の通信アクティビティの授受によって、警戒ドメインＡ内の管理ドメインＡにおけるＤＤｏＳ攻撃の侵入ポイントを検出してエッジノードを追跡し、サイバーテロ警戒センタ３Ｂが配下の中央監視センタ１Ｂによって、エッジノードに対してフィルタリングポリシーを実行させる場合を示している。
【０２２１】
（Ａ−３−７）協調型ポリシー授受プロトコル（協調型ポリシー情報の授受技術）
次に、実施形態での協調型ポリシー授受プロトコル、言い換えると、協調型ポリシー情報の授受技術の概要について説明する。
【０２２２】
（Ａ−３−７−１）基本シーケンス（アラート（Ａｌｅｒｔ）系）
図２１は、アラート（警報）系の授受に関する基本シーケンスの一例を示すものである。
【０２２３】
中央監視センタ１及びゲートノード１２間や、サイバーテロ警戒センタ３及び中央監視センタ１間では、セッションを開設し、認証を行い、情報授受のためのキー（Ｋｅｙ）を交換する（Ｔ１、Ｔ２）。
【０２２４】
ゲートノード１２が配置された拠点の不正アクセス検知システム１１は、その後、規定フォーマットに従っているアラート（警報）メッセージを中央監視センタ１に与える（Ｔ３）。
【０２２５】
それを有効に受信した中央監視センタ１はアクノリッジ（Ａｃｋ）をゲートノード１２に返信すると共に（Ｔ４）、サイバーテロ警戒センタ３に対しては、規定フォーマットに従っているアラート（警報）メッセージを与える（Ｔ５）。
【０２２６】
それを有効に受信したサイバーテロ警戒センタ３はアクノリッジ（Ａｃｋ）を中央監視センタ１に返信する（Ｔ６）。アラートメッセージに対するアクノリッジを受領した中央監視センタ１は、配送を伝える個別防護ポリシー（Ｄｅｌｉｖｅｒｙ Ｏｒｉｇｉｎａｌ Ｐｏｌｉｃｙ）をゲートノード１２に送信し（Ｔ７）、それに対するゲートノード１２からのアクノリッジ（Ａｃｋ）を待って（Ｔ８）、配送を伝える個別防護ポリシーをサイバーテロ警戒センタ３に送信する（Ｔ９）。サイバーテロ警戒センタ３は、その防護ポリシーの有効な受信に対してアクノリッジ（Ａｃｋ）を中央監視センタ１に返信する（Ｔ１０）。
【０２２７】
その後、中央監視センタ１及びゲートノード１２間のセッションや、サイバーテロ警戒センタ３及び中央監視センタ１間のセッションの切断処理が実行される（Ｔ１１、Ｔ１２）。
【０２２８】
サイバーテロ警戒センタ３及び他のサイバーテロ警戒センタ３ｘ間では、セッションを開設し、認証を行い、情報授受のためのキー（Ｋｅｙ）を交換すると（Ｔ１３）、直ちに、サイバーテロ警戒センタ３が、配送を伝える汎用防護ポリシー（Ｄｅｌｉｖｅｒｙ Ｇｅｎｅｒａｌ Ｐｏｌｉｃｙ）を他のサイバーテロ警戒センタ３ｘに送信し（Ｔ１４）、他のサイバーテロ警戒センタ３ｘは、その防護ポリシーの有効な受信に対してアクノリッジ（Ａｃｋ）をサイバーテロ警戒センタ３に返信する（Ｔ１５）。
【０２２９】
その後、サイバーテロ警戒センタ３及び他のサイバーテロ警戒センタ３ｘ間のセッションの切断処理が実行される（Ｔ１６）。
【０２３０】
以上のようにして、防護ポリシー情報を、サイバーテロ警戒センタ３及び中央監視センタ１間やサイバーテロ警戒センタ３及び他のサイバーテロ警戒センタ３ｘ間などで授受し合う（転送する）ことができる。上記図２１に示す処理の起動が、他のサイバーテロ警戒センタ３ｘ配下の中央監視センタの管理下にあるゲートノードのことも当然あり得る。
【０２３１】
（Ａ−３−７−２）アラート系情報項目
図２１で上述したようなシーケンスで授受されるアラート系情報の項目としては、▲１▼メッセージ−ＩＤ、▲２▼検出イベント（攻撃の危険レベル、攻撃名、攻撃のアクセス元とアクセス先の情報、攻撃のプロトコル種別等）、▲３▼検知時刻、▲４▼検出履歴（検出回数など）、▲５▼検出元のゲートノードや不正アクセス検知システム（ＩＤＳ）の識別情報などを挙げることができる。
【０２３２】
（Ａ−３−７−３）アクノリッジ（やナック（Ｎａｃｋ））情報項目
図２１で上述したようなシーケンスで授受されるアクノリッジ（ナックとして機能することもある）の情報項目としては、▲１▼アクノリッジの対象となるメッセージ−ＩＤ、▲２▼センタ識別又はゲートノード識別情報、▲３▼理由コードを挙げることができる。
【０２３３】
（Ａ−３−７−４）クエリー（Ｑｕｅｒｙ；照会）系情報項目（警戒センタ外サービス）
図２１では示していないが、サイバーテロ警戒センタ３、３ｘは、外部の情報センタ等（警戒センタ外）に攻撃などを照会する（問い合わせる）ことができる他、外部の情報センタ等がサイバーテロ警戒センタ３、３ｘへ攻撃などを照会することができる。
【０２３４】
その際のシーケンスは、図示は省略するが、サイバーテロ警戒センタ３、３ｘが外部の情報センタ等に照会する場合は、サイバーテロ警戒センタ３、３ｘと外部の情報センタ等とのセッション確立（認証、キー交換を含む）、外部の情報センタ等への問合せ用のクエリー系情報の送信、サイバーテロ警戒センタ３、３ｘへの返信、セッションの切断などである。また、外部の情報センタ等がサイバーテロ警戒センタ３，３ｘに照会する場合は、サイバーテロ警戒センタ３、３ｘと外部の情報センタ等とのセッション確立（認証、キー交換を含む）、サイバーテロ警戒センタ３への問合せ用のクエリー系情報の送信、外部の情報センタ等への返信、セッションの切断などである。
【０２３５】
このようなシーケンスで用いられるクエリー系情報の項目としては、▲１▼メッセージ−ＩＤ、▲２▼クエリータイプ（問合せ種別；検索、所在問合せ等）、▲３▼検索結果、所在情報（ダウンロード可能なＵＲＬ等）などを挙げることができる。
【０２３６】
（Ａ−４）実施形態の効果
上記実施形態によれば、以下の効果を奏することができる。
【０２３７】
単一の広域イントラネット内の各拠点においてアクセス制御に関するセキュリティ管理を実施することができる。
【０２３８】
管理ドメインの異なる複数の広域イントラネット間でインシデント情報と防護ポリシー（アクセス制御に関するポリシー）とを授受し合い、複数の広域イントラネット間を跨ってアクセス制御に関するセキュリティ管理を実施することができる。
【０２３９】
また、複数の警戒ドメイン間でアクセス制御に関するセキュリティ管理を実施することができる。ここで、階層型のセキュリティ管理において、防護ポリシー情報を共有することができる。
【０２４０】
さらに、同一警戒ドメイン内の複数の広域イントラネット間で、常に最新のインシデント情報に基づいたアクセス制御に関するセキュリティ管理を実施することができる。
【０２４１】
さらにまた、情報センタからの情報を活用して汎用防護ポリシーを生成し、サイバーテロ警戒センタ間で授受し合うことによって、異なる警戒ドメイン間で常に最新のインシデント情報に基づいたアクセス制御に関するセキュリティ管理を実施することができる。
【０２４２】
また、複数の中央監視センタ及びサイバーテロ警戒センタ間の授受情報に通信アクティビティを付加することなどによって、ある広域イントラネット防護システムで観測された攻撃が別の広域イントラネット防護システム内を経由している場合でも、その攻撃の発信源を追跡することができる。
【０２４３】
同様に、複数のサイバーテロ警戒センタ間で授受し合う情報に、通信アクティビティを含めることによって、複数の異なる警戒ドメイン間に跨る攻撃の発信源を追跡することができる。
【０２４４】
同一の中央監視センタ配下の拠点間の通信アクティビティを重ね合わせ分析することにより、複数の異なる拠点間に跨る攻撃の発信源を追跡することができる。
【０２４５】
不正検出方式の不正侵入検知装置と異常検知方式の不正侵入検知装置との直列配置や、不正検出方式の不正侵入検知装置とゲートノードと異常検知方式の不正侵入検知装置との直列配置によって、局所的な観測点において、高度な侵入検知を行うことができる。
【０２４６】
局所的な攻撃だけでなく、広域イントラネット全体を利用し、複数のアクセスポイントへの攻撃を組合せて成立するような攻撃を検知することができる。
【０２４７】
アクティビティマップを生成することにより、不正侵入した複数のサーバを経由するいわゆる踏み台を使った不正アクセスでも、偽りの発信アドレスを使った不正アクセスでも追跡を行うことができる。
【０２４８】
不正アクセスの攻撃を検知した旨の警報情報と通信アクティビティを利用して、広域イントラネット内の各拠点への接続制限を行うアクセス制御ルールを自動生成し、それを各拠点に配置されたゲートノードへ配布することによって、広域イントラネット内のアクセス制御に関するセキュリティ管理技法を提供することができる。
【０２４９】
また、フィルタリングポリシー、追跡ポリシー、警戒ポリシー、攻撃ポリシーを用いたセキュリティ管理技法を提供することができる。
【０２５０】
協調型追跡技法を用いることにより、ＤＤｏＳ攻撃を、より効果的に防御することができる。
【０２５１】
（Ｂ）他の実施形態
なお、本発明に係るセキュリティ管理対象である広域ネットワーク（広域イントラネット等）の種類は限定されるものではない。例えば、各管理ドメインを都道府県単位のイントラネットとし、警戒ドメインを全自治体（全国）にするようなシステムに対しても、本発明を適用することができる。
【０２５２】
【発明の効果】
以上のように、本発明によれば、不正アクセスの監視の連携の強化、高度化と、検知時におけるアクセス制御の連携の強化、高度化とを達成できる。サイバーテロ攻撃を想定したアクセス制御に関する統一的な防護ポリシーの実行システムや方法を提供できる。さらに、異なるネットワークシステム間でセキュリティ管理上有効な情報の共有と協調連携するシステム等を提供できる。
【図面の簡単な説明】
【図１】実施形態の協調型警戒システムの全体構成イメージを示すブロック図である。
【図２】実施形態の広域イントラネット防護システムの構成イメージを示すブロック図である。
【図３】実施形態の警戒ドメインと管理ドメインとの関係の説明図（１）である。
【図４】実施形態の警戒ドメインと管理ドメインとの関係の説明図（２）である。
【図５】実施形態の拠点に配置されたハードウェア構成の一例を示すブロック図である。
【図６】実施形態の広域イントラネット防護システムの動作概要の説明図である。
【図７】実施形態の中央監視センタ及びサイバーテロ警戒センタの機能の説明図である。
【図８】実施形態の協調型アクティビティ追跡機能の説明図である。
【図９】実施形態の局所的攻撃の第１の検知方法の説明図である。
【図１０】実施形態の局所的攻撃の第２の検知方法の説明図である。
【図１１】実施形態の広域的攻撃の検知方法の説明図である。
【図１２】実施形態の通信活動（アクティビティ）モデルの定義の説明図である。
【図１３】実施形態のアクティビティモデルの説明図である。
【図１４】実施形態のアクティビティマップの説明図である。
【図１５】実施形態のポリシー表記方法（ポリシーカード）の説明図である。
【図１６】実施形態の個別／汎用防護ポリシーの相違の説明図である。
【図１７】実施形態の防護ポリシー毎のデータ構造の説明図である。
【図１８】ＤＤｏＳ攻撃の攻撃モデルの説明図である。
【図１９】実施形態のＤＤｏＳ攻撃時の警戒ドメイン内の追跡方法の説明図である。
【図２０】実施形態のＤＤｏＳ攻撃時の警戒ドメイン間の追跡方法の説明図である。
【図２１】実施形態の協調型ポリシー授受プロトコルのシーケンス図である。
【図２２】実施形態のゲートノードの内部構成例を示すブロック図である。
【図２３】実施形態のアクティビティモニタの内部構成例を示すブロック図である。
【符号の説明】
１Ａ〜１Ｃ…管理ドメインの中央監視センタ、
１Ａ−１…通信アクティビティ監視システム、
１Ａ−２…侵入経路解析システム、
１Ａ−３…防護ポリシー管理システム、
２Ａ〜２Ｃ…管理ドメイン、
３、３ｘ…サイバーテロ警戒センタ、
４…情報センタ、
５Ａ〜５Ｃ…広域イントラネット防護システム、
１０…アクティビティモニタ、
１１…不正アクセス検知システム、
１２…ゲートノード。
【発明の属する技術分野】
本発明は、警戒システム及び広域ネットワーク防護システムに関し、特に、広域イントラネットに関係するセキュリティ管理のシステムや方法に適用し得るものである。
【０００２】
例えば、政府で定める重要インフラ７分野の機能障害や機能停止を狙ったサイバーテロや不正アクセス等の攻撃からネットワークを守るためのセキュリティ管理に適用し得るものである。
【０００３】
【従来の技術】
近年、ネットワークのオープン化やネットワーク相互接続が進み、社会活動におけるネットワーク依存の度合いが増大しており、ネットワークシステムに対する不正なアクセスやいわゆる重要インフラを狙ったサイバーテロ等の脅威が増大してきている。
【０００４】
しかしながら、一般的にはネットワークシステム等のセキュリティ管理に関する運用方法がネットワーク上の各拠点によって異なっていたり、また、事案発生時の対応方法が、広域のイントラネットによって形成された会社規模などのネットワークシステムにおいても、本来、迅速かつ統一的なセキュリティ事案対応を行うべき各拠点においても異なっていたりするケースが多い。言い換えると、いわゆるセキュリティ管理の方法に関して、ネットワークシステム全体に対するセキュリティ管理領域内で個々のバラツキが生じているのが現状である。なお、拠点とは、ネットワークシステムにおいて、利用者に開放されたアクセスポイントや、他のＩＰネットワークとの相互接続点を指すものとする。
【０００５】
従来、アクセス制御系のセキュリティ管理技術として、例えば、ファイアウォールを各拠点に配置し、システム管理者が、各拠点に分散配置されたファイアウォールのアクセス制御ポリシーを遠隔地から一元的に管理する方法が考案されている。
【０００６】
しかし、この方法は、必ずしも観測された攻撃に連動するものではなく、統一的なセキュリティ事案対応としては不十分である。
【０００７】
また、不正侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）を分散配置し、一元的に各ＩＤＳを管理する方法も考案されている。
【０００８】
これも、従来のＩＤＳが有する検知機能が拠点単位で独立していることを前提にしており、あくまでもＩＤＳが発する警告を一元的に監視している程度に留まっている。市販のＩＤＳ製品の中では、攻撃検知後の通信遮断といった防御系機能も実装している製品もあるが、これは拠点のルータやファイアウォールと個別に連動するのみであり、観測された攻撃を元にアクセス制御機能と連動し、ネットワークシステム全体のセキュリティ管理領域内を統一的なポリシーにもとづき防御を試みるには至っていない。
【０００９】
さらに、異なるネットワークシステム間での防護ポリシー情報の共有も同様に行われていない。
【００１０】
【発明が解決しようとする課題】
近年のネットワークのオープン化やネットワークシステム同士の相互接続による広域化、さらには、政府が進めるｅ−Ｊａｐａｎ戦略による国内のＩＴ化が加速的に推進されている。これは、社会活動がネットワークシステム（ネットワーク基盤）に依存する方向に進んでいることを示すものである。社会活動そのものがネットワーク基盤に依存するということは、不正アクセス等が行われ、セキュリティ上の安全を害う事態が発生した場合、その被害の波及範囲が増大することをも意味する。また、組織的に企てられたサイバーテロなどによる脅威も増大することも意味している。
【００１１】
特に、複数の外部接続点を有する広域イントラネットによって形成されたネットワークシステムにおいては、アクセス制御による防御手段が局所的な手段に始終してしまい、ネットワーク基盤全体の統一的なセキュリティ管理が行えない状況に陥りがちであり、以下のような問題が生ずる。
【００１２】
（１）セキュリティ管理が各拠点によってバラバラで統一されていない。
【００１３】
（２）サイバー攻撃を想定した統一的ポリシーの実行が困難。
【００１４】
（３）異なるネットワーク基盤間で防護ポリシーが共有されていない。
【００１５】
会社規模のネットワークシステムにおいて、広域イントラネット内のある拠点では特に攻撃を検出していないので安全に見えた状況でも、別の拠点には既に攻撃が加えられたか、若しくは、その兆候と見なせる偵察行為を検出した場合に、広域イントラネット全体としてどのような運用をするべきかという問題が生ずる。また、セキュリティ事案発生時の対応方法や防護ポリシーの管理方法の隙間を通り抜け、セキュリティ管理の不統一を悪用した脅威が出現する可能性も危惧されている。
【００１６】
各拠点にインターネット等の外部ネットワークとのアクセスポイントを持つような広域のイントラネットをなすネットワークシステムにおいて、各拠点に、従来技術によるファイアウォールやＩＤＳといったセキュリティ対策製品を導入し、各拠点で不正アクセスの監視を行っても、各拠点の局所的なセキュリティレベルの確保には繋がるかもしれない。
【００１７】
しかし、これは局所的な観測による不正侵入検知を前提にしているため、各拠点を入り口として広域イントラネット全体を攻撃の対象としたサイバーテロの可能性があるセキュリティ事案や企業全体の対応体制を要する広範囲な事案の発生を見逃たり、攻撃すら検知できない。これでは、ある拠点で観測された攻撃に連動した統一的なアクセス制御を広域イントラネット全体に対して行なうことができないので、セキュリティ管理の方法として、効率的な防御手段とは言い難い。ある拠点に属するサーバを対象とした外部からの攻撃若しくはその兆候を検出した場合、同様のサービスを提供する他のサーバも攻撃の標的となる可能性があるため、安全確認の期間では、他の拠点に属する同様のサービスもアクセスを規制するなど、ネットワークシステムに隙間を作らないように、広域イントラネット全体の統一的ポリシーを適用しなければ全体的なセキュリティレベルの確保は困難である。
【００１８】
また、広域イントラネット全体の運用やサービスの停止は極力避けたい。しかし、極度に危険な状況が想定される攻撃が加えられる可能性がある場合には、広域イントラネット全体の安全確認を実施するといった運用が必要となる。絶えずＣＥＲＴ／ＣＣやＪＰＣＥＲＴ／ＣＣのような情報提供機関からアナウンスされる、こういったインシデント情報を自ら調査して防護する必要もある。各システム管理者が個別に調査して防御のためのアクセス制御に関する防護ポリシーを生成するよりも、即効性のある防御のための防護ポリシーを各拠点で統一的に共有した方が効率的である。異なる広域イントラネット間においても同様のことが言える。
【００１９】
以上のように、従来技術の範囲においては、市販のファイアウォールやＩＤＳの導入が有効と思われがちであるが、それだけでは不十分であり、セキュリティ管理領域内で統制されたセキュリティ管理の運用が伴って初めて安全確保が可能となる。また、会社規模の広域イントラネットで形成されたネットワークシステムにおいて、各拠点に外部ネットワークとの接続点を持つような場合には、各拠点毎のセキュリティ管理だけでなく、ネットワークシステム全体をセキュリティ管理領域とした統一的なセキュリティ管理が必要である。それを行うにはネットワークシステムの運用コストの増大を招かぬよう対応体制や信頼性の高い連携の仕組みを作る必要がある。
【００２０】
本発明は、ネットワークシステム全体のセキュリティ管理を対象とし、不正アクセスの監視の連携の強化、高度化と、検知時におけるアクセス制御の連携の強化、高度化とを達成できるシステムや方法を提供しようとしたものである。
【００２１】
また、本発明は、ネットワークシステム全体のセキュリティ管理を対象とし、サイバーテロ攻撃を想定したアクセス制御に関する統一的な防護ポリシーの実行システムや方法を提供しようとしたものである。
【００２２】
さらに、本発明は、異なるネットワークシステム間でセキュリティ管理上有効な情報の共有と協調連携するシステムや方法を提供しようとしたものである。
【００２４】
【課題を解決するための手段】
第１の本発明は、警戒センタサーバに接続された１若しくは複数の広域ネットワーク防護システムのうちの１つであり、外部ネットワークとの複数の接続点を持つ広域ネットワークを、不正アクセスから防護する広域ネットワーク防護システムであって、（イ）上記各接続点における不正アクセスを検知し、検知された不正アクセスを特定する、アクセス元とアクセス先、プロトコル種別、検知時刻を少なくとも含む警報情報を生成して送信する、上記各接続点毎に設けられた不正アクセス検知システムと、（ロ）いずれかの上記不正アクセス検知システムが送信した上記警報情報を受信して記憶する警報情報記憶手段と、
（ハ）上記各接続点における通信内容から、当該広域ネットワークへのアクセス状況に関する情報であって、各アクセスに関するアクセス元とアクセス先、プロトコル種別、検知時刻を少なくとも含む通信アクティビティを抽出する、上記各接続点毎に設けられたアクティビティモニタと、（ニ）いずれかの上記アクティビティモニタが抽出した通信アクティビティを記憶する通信アクティビティ記憶手段と、（ホ）個別フィルタリングポリシーに従って当該広域ネットワークへの特定のアクセスを排除するアクセス制御を実行する上記各接続点毎に設けられたゲートノードと、（ヘ）上記警報情報記憶手段に記憶された警報情報と、上記通信アクティビティ記憶手段に記憶した通信アクティビティとの照合により、警報情報に係る検知された不正アクセスの、当該広域ネットワークへの侵入経路を解析するものであって、警報情報の検出時刻と同一であるか若しくは時間差が所定時間内であり、アクセス元、アクセス先とプロトコル種別とが同じ属性を持つ通信アクティビティを抽出し、抽出した通信アクティビティが通過していた１又は複数のゲートノードを特定する識別情報からなる、当該広域ネットワーク内での不正アクセスの通過経路の情報を侵入経路の解析結果として得る侵入経路解析システムと、（ト）上記侵入経路解析システムによって得られた侵入経路解析結果と、この侵入経路解析結果に係る上記警報情報を元に、全て又は一部の上記ゲートノードにおけるアクセス制御ルールである個別フィルタリングポリシーを生成する防護ポリシー生成手段と、（チ）個別フィルタリングポリシーを全て又は一部の上記ゲートノードに配布すると共に、上記警戒センタサーバにも個別フィルタリングポリシーを配布する防護ポリシー配布手段とを備え、（リ）当該広域ネットワーク内の上記各接続点においてアクセス制御を実施することを特徴とする。
【００２５】
第２の本発明は、第１の本発明の広域ネットワーク防護システムを自警戒ドメインとして１若しくは複数を有すると共に、上記各広域ネットワーク防護システムに接続された警戒センタサーバを有する警戒システムであって、（イ）上記防護ポリシー配布手段は、上記警戒センタサーバにも個別フィルタリングポリシーを配布し、（ロ）上記警戒センタサーバが、（ロ−１）自警戒ドメイン内の上記広域ネットワーク防護システムからの個別フィルタリングポリシーを、汎用フィルタリングポリシーに変換する汎用防護ポリシー変換手段と、（ロ−２）汎用フィルタリングポリシーを、自警戒ドメイン内の上記広域ネットワーク防護システムへ配布する汎用防護ポリシー配布手段とを有し、（ハ）上記各広域ネットワーク防護システムが、受信した上記汎用フィルタリングポリシーを、自己の広域ネットワークに係る個別フィルタリングポリシーへ変換する個別防護ポリシー変換手段を有し、（ニ）複数の広域ネットワーク間を跨ってアクセス制御を実施することを特徴とする。
【００３７】
【発明の実施の形態】
（Ａ）実施形態
以下、本発明による警戒システム及び広域ネットワーク防護システムなどの一実施形態を図面を参照しながら詳述する。
【００３８】
（Ａ−１）実施形態の概要説明
（Ａ−１−１）システム及びセキュリティ管理領域の構成
図１は、実施形態の協調型警戒システムの全体構成イメージを示すブロック図であり、この図１では、協調型警戒システムと広域イントラネット防護システム（広域ネットワーク防護システム）との相互の関係も示している。
【００３９】
また、図２は、図１における各広域イントラネット防護システムの内部構成のイメージを示すブロック図である。
【００４０】
あるネットワークシステムが広域イントラネットにより形成され、各拠点がそれぞれ異なるアクセスポイントを有するような場合、このネットワークシステムのアクセス制御に関して、セキュリティ領域を「管理ドメイン」とする。また、このようなネットワークシステム（広域イントラネット）が何らかの外部ネットワーク（例えばインターネット等）によって相互接続された状態の管理ドメインを「警戒ドメイン」とする。
【００４１】
言い換えると、この実施形態の協調型警戒システムにおいては、ある広域イントラネット同士がインターネットのようなオープンな（セキュリティ的に未統制の）ネットワークによって接続されたモデルにおいて、管理ドメイン同士が階層関係によってある警戒ドメインに含まれている。
【００４２】
尚、本発明におけるイントラネットは、外部からアクセス不能な会社内のネットワークを指すイントラネットのみを対象とするものではなく、全てのＩＰネットワークを対象とする。
【００４３】
図１に示す協調型警戒システムの警戒ドメインの例は、広域イントラネットＡ、Ｂ、…、Ｃに、それぞれの中央監視センタ１Ａ、１Ｂ、…、１Ｃが設けられ、広域イントラネットＡ、Ｂ、…、Ｃに対応する管理ドメイン２Ａ、２Ｂ、…、２Ｃが並列状に構成されており、それらを階層の上位で包含する形態で構成された場合を示している。
【００４４】
各広域イントラネットＡ、Ｂ、…、Ｃの管理ドメイン（図１の各楕円領域に対応）２Ａ、２Ｂ、…、２Ｃは、対応する中央監視センタ１Ａ、１Ｂ、…、１Ｃでそれぞれ統一的なアクセス制御に関するセキュリティ管理が実行できる環境下にあるようになされている。
【００４５】
各管理ドメイン２Ａ、２Ｂ、…、２Ｃの上位に位置する（図１では、各中央監視センタ１Ａ、１Ｂ、…、１Ｃの上位に位置する）サイバーテロ警戒センタサーバ（以下、サイバーテロ警戒センタと呼ぶ）３は、管理ドメイン２Ａ、２Ｂ、…、２Ｃにおける全体的なアクセス制御に関するセキュリティ管理を行うために、警戒ドメインを形成し、各中央監視センタ１Ａ、１Ｂ、…、１Ｃとの間で、攻撃情報や防護ポリシーを授受し合い、情報の共有を行う。
【００４６】
また、サイバーテロ警戒センタ３は、他の同様な警戒ドメイン上の警戒センタ３ｘとの間で、攻撃情報や防護ポリシーを授受し合い、情報の共有を行う。
【００４７】
さらに、サイバーテロ警戒センタ３は、不正アクセスやサイバーテロ事案に関する情報センタ（情報提供組織；例えば、日本ではＪＰＣＥＲＴ／ＣＣや、ＩＰＡセキュリティセンタ（情報処理振興事業協会）等）４から攻撃情報や有効な防護手段に関する情報の提供を受けることができる他、情報センタ４に対して情報を提供することができるものとする。
【００４８】
管理ドメインと警戒ドメインの関係を図３及び図４に示す。
【００４９】
図３及び図４は、協調型警戒システムを実現するために、それぞれのネットワークシステム（広域イントラネット）において統一的ポリシー管理を実行する範囲（管理ドメイン）と、広域イントラネット相互でポリシー制御を互いに協調し合う協調の範囲（警戒ドメイン）と、複数の警戒ドメイン相互でポリシー制御を互いに協調し合う関係を示したものであり、図１を補完するものとなっている。
【００５０】
図３は、協調型警戒システムと広域イントラネット防護システム各々のセキュリティ管理領域の範囲として、管理ドメインと警戒ドメインの階層構造を示したものである。
【００５１】
図４は、広域イントラネット防護システム間のセキュリティ管理領域（管理ドメイン）を束ねる警戒ドメイン（各々はサイバーテロ警戒センタに対応）が相互に協調して構成される複数の協調型警戒システム相互の警戒ドメイン構成を示したものである。
【００５２】
（Ａ−１−２）広域イントラネット防護システムの構成
図２は、図１における各広域イントラネット防護システム５Ａ〜５Ｃの内部構成のイメージを、広域イントラネット防護システム５Ａを例に示したブロック図である。
【００５３】
図２に示したネットワーク（広域イントラネット）（図１では２Ａに相当）は、インターネット等の外部ネットワークと接続されるアクセスポイントを複数有する拠点が４拠点（Ａ１／ＧＮ、Ａ２／ＧＮ、Ａ３／ＧＮ、Ａ４／ＧＮ）あり、それらの拠点が内部ネットワークで相互に接続された一般的な広域イントラネットを示している。各拠点のアクセスポイントは、例えば、地理的な制約から公衆回線に接続され、このネットワークが提供する業務サービスを提供する。この場合、管理ドメインの範囲は、図２に示した４つの拠点を含む広域イントラネット全体となる。
【００５４】
広域イントラネットの全体的なセキュリティ管理を行うのが、図２（及び図１）に示す中央監視センタ１Ａである。中央監視センタ１Ａは、各拠点Ａ１／ＧＮ、Ａ２／ＧＮ、Ａ３／ＧＮ、Ａ４／ＧＮのアクセス制御を司り、管理ドメイン内のセキュリティ管理を実行するために、各拠点に配置されたアクティビティモニタ１０、不正アクセス検知システム１１、ゲートノード１２との間でアクセス制御に必要なセキュリティ管理情報を授受する。
【００５５】
中央監視センタ１Ａは、少なくとも、通信アクティビティ監視システム１Ａ−１と、侵入経路解析システム１Ａ−２、防護ポリシー管理システム１Ａ−３及びデータ蓄積システム１Ａ−４から構成される。
【００５６】
通信アクティビティ監視システム１Ａ−１は、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮに配置されたアクティビティモニタ１０から通知される通信アクティビティ等を収集し（▲１▼）、通信アクティビティと、これに添付された情報とをデータ蓄積システム１Ａ−４に蓄積すると共に、通信アクティビティの状態や属性を監視するものである。
【００５７】
なお、詳細は後述するが、本明細書においては、通信内容から判定できる、当該広域イントラネットへのアクセス状況を「通信アクティビティ」と呼んでいる。
【００５８】
侵入経路解析システム１Ａ−２は、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮに配置された不正アクセス検知システム１１から攻撃（▲２▼）検知に関する警報（▲３▼）を受けた防護ポリシー管理システム１Ａ−３からの解析指示に基づき、不正アクセス検知システム１１から送られた警報に含まれる情報と、通信アクティビティ監視システム１Ａ−１が収集した通信アクティビティとから、侵入経路の解析（▲４▼）を行い、解析結果を防護ポリシー管理システム１Ａ−３に通知するものである。
【００５９】
防護ポリシー管理システム１Ａ−３は、不正アクセス検知システム１１から警報（▲３▼）を受信すると、これをデータ蓄積システム１Ａ−４に蓄積し、警報に含まれる情報に基づき、検知された不正アクセスの危険レベルを判断し、危険レベルが高いと判断した場合に、侵入経路解析システム１Ａ−２に対し、侵入経路の解析を指示する。そして、侵入経路解析システム１Ａ−２からの侵入経路解析結果（▲４▼）と警報に含まれる情報を元に、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮに配置されたゲートノード１２へ配布するためのアクセス制御に関するフィルタリングポリシーを生成し、各ゲートノード１２へ配布（▲５▼）を行うものである。
【００６０】
フィルタリングポリシーは、例えば、ゲートノード１２に対し、アクセス拒否（Ｒｅｆｕｓｅ）やアクセス無視（Ｄｒｏｐ）等により、特定のアクセスを排除するアクセス制御を指示するためのものである。
【００６１】
データ蓄積システム１Ａ−４は、各種データを蓄積するためのものである。
【００６２】
尚、この実施形態では、防護ポリシー管理システム１Ａ−３が警報を受信・蓄積し、解析を指示する例について説明しているが、本発明は、これに限定されるものではなく、侵入経路解析システム１Ａ−２が警報を受信・蓄積し侵入経路の解析を実行するものであっても構わない。
【００６３】
広域イントラネット内の各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮは、単一若しくは複数の外部ネットワークとの接続点（アクセスポイント）を有している。各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮには、上述したように、アクティビティモニタ１０、不正アクセス検知システム１１及びゲートノード１２を配置している。
【００６４】
不正アクセス検知システム１１は、アクセスポイントにおける侵入検知を行うものである。アクティビティモニタ１０は、通信内容から当該広域イントラネット１Ａへのアクセス状況（通信アクティビティ）を監視するものである。ゲートノード１２は、各拠点の内部ネットワークとの境界点に位置するものであり、フィルタリングポリシーに基づいて通信を切断可能な中継装置である。
【００６５】
図５は、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮに配置されたハードウェア構成例を示すブロック図である。
【００６６】
図５では、図２の各拠点Ａｎ／ＧＮ（ｎは１〜４）において、公衆網やインターネット網などの外部ネットワークと、内部ネットワークシステムとが、ルータ２０、ゲートノード１２及びファイアウォール２２を介して接続されていることを示している。ルータ２０及びファイアウォール２２は、既知のものと同様なものである。
【００６７】
ゲートノード１２は、前述した通り防護ポリシーに基づいて通信を切断可能な中継装置であり、図２２に示す如く、信号の送受信を行う第１の送受信部６１、第２の送受信部６２、受信した信号を記憶する記憶部６３を備え、第１又は第２の送受信部６１、６２が受信した信号を判別し、記憶部６３に記憶させると共に、受信したフィルタリングポリシーに基づき、記憶部６３に記憶させた信号を他方の送受信部に送るか否かにより通信の切断を制御する制御部６４を備える。
【００６８】
また、各拠点には図５に示す通り、アクティビティモニタ１０、異常検出（ＡＤ；Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ）装置２３及び不正検出（ＭＤ；Ｍｉｓｕｓｅ Ｄｅｔｅｃｔｉｏｎ）装置２４が設けられている。
【００６９】
アクティビティモニタ１０は、通信経路上のパケット情報から通信アクティビティに関わる情報を抽出可能な回線モニタ装置であり、図２３に示す通り、通信系路上の信号を検出する信号検出部７１、検出した情報を記憶する信号記憶部７２、以上の構成を制御すると共に中央監視センタ１Ａに通信アクティビティを送信する制御部７３を備える。尚、通信アクティビティを送信する際、送信元となったアクティビティモニタを特定する情報や、アクティビティモニタが配置された拠点のゲートノードを特定する情報を添付しても構わない。
【００７０】
ここで、アクティビティモニタ１０の配置は、これに限定されるものではなく、破線で示したアクティビティモニタ１０’の配置でも構わない他、双方に配置しても構わない。また、アクティビティモニタをゲートノード１２中に配置しても構わない。
【００７１】
ＡＤ装置２３は、例えば、ルータ２０及びゲートノード１２間の通信経路上を検出対象とし、未知の攻撃や兆候を検出するものであり、ＭＤ装置２４は、例えば、ゲートノード１２及びファイアウォール２２間の通信経路上を検出対象とし、既知の攻撃を特定するものである。
【００７２】
不正アクセス検知システムは、ＡＤ装置２３若しくはＭＤ装置２４の何れか一方により構成しても良く、ＡＤ装置２３及びＭＤ装置２４の両方から構成しても構わず、更に、ＡＤ装置２３、ＭＤ装置２４及びゲートノード１２によって構成しても構わない。尚、ＡＤ装置２３及びＭＤ装置２４は、既知のものと同様なものである。
【００７３】
また、不正アクセス検知システムは、攻撃（不正アクセス）を検知すると、警報として、攻撃の危険レベル（高い、低い等）、攻撃名（個別に定義した攻撃の名称）、攻撃のアクセス元とアクセス先の情報、攻撃のプロトコル種別、攻撃の検知時刻等を中央監視センタに通知する。尚、警報に、送信元となった不正アクセス検知システムを特定する情報や、不正アクセス検知システムが配置された拠点のゲートノードを特定する情報を添付しても構わない。
【００７４】
ゲートノード１２、アクティビティモニタ１０、ＡＤ装置２３及びＭＤ装置２４などは、例えば、第２のルータ２５、ルータ１Ａ−５（図２）を介して、専用線などによって、上述した中央監視センタ１Ａ（図２）と接続されており、中央監視センタ１Ａとの情報授受を実行できるようになされている。
【００７５】
なお、ファイアウォール２２には、Ｗｅｂサーバ２６、メールサーバ２７、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ２８などの各種サーバが接続されている。
【００７６】
（Ａ−１−３）広域イントラネット防護システムの動作概要
次に、広域イントラネット防護システムの動作の概要を、図１、図２、図６を参照しながら説明する。
【００７７】
ステップＳ１：複数のアクセスポイントを有する広域イントラネットＡにおいて、各拠点Ａ１／ＧＮ〜Ａ４／ＧＮに配置されたアクティビティモニタ１０は、アクセス状況（通信アクティビティ）を常時監視し、アクセス状況が変化するたびに中央監視センタ１Ａの通信アクティビティ監視システム１Ａ−１に、変化後の通信アクティビティを通知する。
【００７８】
中央監視センタ１Ａ内の通信アクティビティ監視システム１Ａ−１では、全拠点Ａ１／ＧＮ〜Ａ４／ＧＮに配置されたアクティビティモニタ１０から送られてくる通信アクティビティを、通知元となったアクティビティモニタ１０を特定する情報と関連付けて、データ蓄積システム１Ａ−４に蓄積する（アクティビティモニタ１０が配置された拠点のゲートノード１２を特定する情報と関連付けて蓄積しても構わない）と共に、蓄積した通信アクティビティに基づいて、管理ドメイン２Ａ（図１）内の全ての拠点Ａ１／ＧＮ〜Ａ４／ＧＮを通過する通信アクティビティの属性や、発生、消滅等を監視し、広域イントラネットＡ全体のアクセス状況を把握する。
【００７９】
ステップＳ２−１：ある拠点Ａｎ／ＧＮのアクセスポイントに配置された不正アクセス検知システム１１が、攻撃若しくはその疑いがある情報等の不正アクセスを検知した場合、不正アクセス検知システム１１は、警報として、検出した不正アクセスの、危険レベル（高い、低い等）、アクセス元とアクセス先の情報（ソースＩＰアドレス、ソースポート番号、ディスティネーションＩＰアドレスや、ディスティネーションポート番号等の、発生した通信の端点のアドレス等）、プロトコル種別、検知時刻、等を中央監視センタ内１Ａの防護ポリシー管理システム１Ａ−３へ通知する。通知を受けた防護ポリシー管理システム１Ａ−３は、受信した警報を通知元となった不正アクセス検知システム１１を特定する情報と関連付けて、データ蓄積システム１Ａ−４に蓄積する（不正アクセス検知システム１１が配置された拠点のゲートノード１２を特定する情報と関連付けて蓄積しても構わない）と共に、危険レベルを元に、危険レベルが低いと判断した場合はそのまま放置し、危険レベルが高いと判断した場合（例えば、警報に含まれる攻撃の危険レベルが「高い」を示す場合）は侵入経路解析システム１Ａ−２に侵入経路の解析を指示する。
【００８０】
ステップＳ２−２：解析を指示された中央監視センタ１Ａ内の侵入経路解析システム１Ａ−２では、データ蓄積システム１Ａ−４を参照し、アクティビティモニタ１０から送られた広域イントラネットＡ全体の通信アクティビティと、不正アクセス検知システム１１から送られた警報に関する情報に基づき、検知された不正アクセスと関連する通信アクティビティが通過した広域イントラネットＡ内の侵入経路を解析する。
【００８１】
例えば、通信アクティビティと警報に含まれる情報とを照合し、検出時刻が同一若しくは所定時間内であり、アクセス元・アクセス先情報とプロトコル種別とが同じ属性を持つ通信アクティビティを抽出し、不正アクセスとみなされた通信アクティビティが通過していたゲートノード１２を特定することで、広域イントラネットＡ内の通過経路、すなわち侵入経路を割り出すことが可能である。解析結果としては、特定したゲートノード１２を特定する情報（アドレス等）を通知する。
【００８２】
これは、インターネットのような非常に広域なネットワークにおいて、あるサーバが攻撃者によって乗っ取られ、かつ、送信元のＩＰアドレスを偽る操作（踏み台となったホストのアドレス詐称や、ＩＰスプーフィング）が行われても、通信アクティビティの属性の判別によって実際に通信が通過した経路（侵入経路）を割り出すことが可能であることを意味しており、いわゆるインターネット上の発信源の追跡や逆探知技術として有効である。
【００８３】
ステップＳ３：中央監視センタ１Ａ内の防護ポリシー管理システム１Ａ−３では、侵入経路解析システム１Ａ−２からの侵入経路の解析結果をデータ蓄積システム１Ａ−４に蓄積すると共に、データ蓄積システム１Ａ−４を参照し、侵入経路の解析結果と警報に含まれる情報をもとに、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮに配置されたゲートノード１２に対して配布するべきフィルタリングポリシーを生成し、蓄積し、それを、各ゲートノード１２に配布する。
【００８４】
このとき、各ゲートノード１２へ配布するフィルタリングポリシーは、直接の侵入経路となったゲートノードと侵入経路から外れたゲートノードに対して、それぞれ別々のフィルタリングポリシーを生成しても良い。
【００８５】
例えば、直接の侵入経路となったゲートノードは、安全性が確認されるまで閉鎖とし、直接の侵入経路から外れたゲートノードは、攻撃の発信源からはアクセスを拒否するといったフィルタリングポリシーであっても良い。
【００８６】
また例えば、広域イントラネットＡ全体を外部ネットワークから閉鎖するために、全てのゲートノードに対して、閉鎖といったフィルタリングポリシーを生成し配布するようにしても良い。
【００８７】
さらに、例えば、以前に各ゲートノードへフィルタリングポリシーを配布している場合、実行中のフィルタリングポリシーの取り消しやフィルタリングポリシー間の矛盾を除去して、最適化できるようにフィルタリングポリシーを管理し、生成・配布するようにしても良い。
【００８８】
以上のように、広域イントラネット防護システム５Ａでは、広域イントラネットＡ内の各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮで個別に行っていたアクセス制御に関するセキュリティ管理を統一的に実行することで、各拠点の局所的防御では行えないネットワーク基盤全体の効率的セキュリティ管理を行うための、「広域イントラネット内の通信アクティビティ監視」と、「侵入経路の解析」と、「解析結果を元に各拠点単位のアクセス制御に関する管理」を行うことができる。
【００８９】
（Ａ−１−４）中央監視センタとサイバーテロ警戒センタとの情報授受
次に、広域イントラネット防護システムの中央監視センタ１Ａと、サイバーテロ警戒センタ３との間での情報授受について、図１、図２を利用しながら説明する。
【００９０】
サイバーテロ警戒センタ３は、受信した情報を蓄積する他、予め情報を記憶させるためのＤＢサーバと、他の構成との情報の授受や、汎用防護ポリシー生成・配布・管理や、情報の解析を行なうための管理サーバから構成される。
【００９１】
上述したように、各中央監視センタ（例えば１Ａ）には、その広域イントラネット（Ａ）内の各拠点（Ａ１／ＧＮ、…、Ａ４／ＧＮ）から通知されたアクセス状況に関する情報（通信アクティビティ）と、検知された不正アクセスに関する警報と、侵入経路に関する情報と、それらに対する防護ポリシーであるフィルタリングポリシーとが管理されている。
【００９２】
サイバーテロ警戒センタ３は、管轄下の各中央監視センタの管理ドメイン内で検知された不正アクセスに関する警報を元に中央監視センタが配布したフィルタリングポリシーの通知を受ける。図１の例では、中央監視センタ１Ａ、１Ｂからサイバーテロ警戒センタ３へ通知される防護ポリシーＡ、Ｂが相当する。また、中央監視センタからサイバーテロ警戒センタへの通知は、中央監視センタがゲートノードにフィルタリングポリシーを配布する際に通知する。
【００９３】
サイバーテロ警戒センタ３は、中央監視センタ１Ａ、１Ｂから通知を受けると、通知されたフィルタリングポリシーＡ、Ｂを、他の管理ドメイン（図１では、中央監視センタ１Ｃ）へ配布可能な情報に汎用化するために、検知された攻撃の種類や、追跡可能であった攻撃の発信源等を含む情報のみに集約し、かつ、各中央監視センタ１Ａ、１Ｂで使われたフィルタリングポリシーを、その配布先のゲートノードのアドレスは除去した情報に変換し、これを汎用フィルタリングポリシーとして各中央監視センタ１Ａ、１Ｂ、１Ｃへ配布する。
【００９４】
このことによって、中央監視センタ１Ｃが管理する広域イントラネットＣにおいては、実害が検知されなくても、結果的に汎用フィルタリングポリシーが共有された状況になる。
【００９５】
（Ａ−１−５）管理ドメイン内の汎用防護ポリシーの扱い
次に、管理ドメイン内における、サイバーテロ警戒センタからの汎用防護ポリシーの扱いについて汎用フィルタリングポリシーを例に、図１、図２を用いて説明する。
【００９６】
サイバーテロ警戒センタ３から配布された汎用フィルタリングポリシーは、サイバーテロ警戒センタ３において、配布先ゲートノードのアドレス情報等が除去されて汎用化された情報に変換されており、各中央監視センタ１Ａ、…、１Ｃの防護ポリシー管理システムにおいては、汎用フィルタリングポリシーを受信すると、それぞれの広域イントラネットＡ、…、Ｃ上のアドレス情報を付加しフィルタリングポリシー（個別フィルタリングポリシー）に変換した上で、各ゲートノード１２（図２）に配布する。
【００９７】
以上のように、汎用フィルタリングポリシーは、各中央監視センタ１Ａ、…、１Ｃの防護ポリシー管理システムにおいて、自管理ドメイン内のゲートノード１２へ配布可能な個別フィルタリングポリシーに変換され、各ゲートノード１２へ配布される。
【００９８】
このとき、中央監視センタ１Ａ、…、１Ｃの防護ポリシー管理システムでは、以前に配布済みのフィルタリングポリシーとの関係を整合し最適化できるようにフィルタリングポリシーを管理する。例えば、既に配布済みのフィルタリングポリシーと同一となった場合は再度の配布を省略する。また例えば、前回配布したフィルタリングポリシーのアクセス制御範囲が広く、新たに生成した個別フィルタリングポリシーによって、逆にアクセス制御範囲が狭まる恐れがある場合は、アクセス制御範囲が狭まることを回避する。
【００９９】
（Ａ−１−６）サイバーテロ警戒センタ間の情報授受
次に、サイバーテロ警戒センタ３と他のサイバーテロ警戒センタ３ｘとの間の情報授受についてフィルタリングポリシーを例に、図１を用いて説明する。
【０１００】
上述したように、サイバーテロ警戒センタ３は、自警戒ドメイン内からフィルタリングポリシー（個別フィルタリングポリシー）を受信すると、既に配布済みであるか否かにより有効性を判断し、有効な場合は、受信したフィルタリングポリシーをもとに汎用フィルタリングポリシーを生成し、自警戒ドメイン内の中央監視センタ１Ａ〜１Ｃへ配布する（有効性の判断は、汎用フィルタリングポリシーを生成した後にしても構わない）。
【０１０１】
さらに、サイバーテロ警戒センタ３は、他の同様のサイバーテロ警戒センタ（図１では、他の警戒センタ）３ｘとの間で、互いの警戒ドメイン内で蓄積された汎用防護ポリシーを授受し合い、既に配布済みであるか否かにより有効性を判断し、自警戒ドメイン内で有効な汎用防護ポリシーを抽出し、それを配下の各中央監視センタへ配布する。
【０１０２】
各中央監視センタ（１Ａ、…、１Ｃ）は、上位のサイバーテロ警戒センタ３（図１）から配布された汎用防護ポリシーに、個別情報を付加し、防護ポリシー（個別防護ポリシー）として各ゲートノード１２（図２）へ配布する。
【０１０３】
（Ａ−１−７）情報センタとサイバーテロ警戒センタとの情報授受
次に、セキュリティ事案（いわゆるインシデント情報）の情報提供を目的とした情報センタとサイバーテロ警戒センタとの情報授受について、図１を用いて説明する。
【０１０４】
サイバーテロ警戒センタ３は、セキュリティ事案の情報提供を目的とした他の組織の情報センタ（例えば、日本ではＪＰＣＥＲＴ／ＣＣやＩＰＡセキュリティセンタ（情報処理振興事業協会）、米国ではＣＥＲＴ／ＣＣ）から提供される不正アクセス事案やサイバーテロの恐れがある事案に関する攻撃情報と、その防護に関する情報を必要に応じて収集する。そして、それをもとに汎用防護ポリシーを生成し、自警戒ドメイン内の中央監視センタ１Ａ〜１Ｃに配布するとともに、他の警戒センタ３ｘとの間で汎用防護ポリシーの授受を行う。あるいは、それをもとに自警戒ドメイン内の中央監視センタ１Ａ〜１Ｃに、広域的攻撃の検出開始を指示する。
【０１０５】
このことによって、各警戒ドメインやその配下の管理ドメインに汲まなく情報が行き渡るため、アクセス制御に関する防御に必要な情報を有効活用することができる。
【０１０６】
（Ａ−２）実施形態の主要機能の詳細説明
図７は、実施形態のシステムの主要機能を、中央監視センタと、サイバーテロ警戒センタについて整理して示したものである。
【０１０７】
中央監視センタの主要機能としては、
▲１▼ネットワーク上の通信活動状況（通信アクティビティ）の収集・監視
▲２▼不正検出、異常検出を併用したハイブリッド型ＩＤＳ監視に基づく処理
▲３▼広域イントラネット上での攻撃、アクティビティ追跡（侵入経路解析）
▲４▼広域イントラネットの防護ポリシー（個別防護ポリシー）の生成とゲートノードへの配布
▲５▼上位警戒センタからの汎用防護ポリシーを防護ポリシー（個別防護ポリシー）に変換
があり、中央監視センタは、これらの機能の実現部を有している。
【０１０８】
また、サイバーテロ警戒センタの主要機能としては、
▲１▼下位中央監視センタからの防護ポリシー（個別防護ポリシー）の収集・分析
▲２▼各種分析結果による汎用防護ポリシーの生成・配布
▲３▼警戒センタ間の汎用防護ポリシーの授受と協調型のアクティビティ追跡
▲４▼情報センタ、警戒センタ等からのサイバーテロ情報収集、情報提供
があり、サイバーテロ警戒センタは、これらの機能の実現部を有している。
【０１０９】
（Ａ−２−１）中央監視センタの主要機能
以下、図１及び図２に示した中央監視センタ１Ａを例に、中央監視センタの主要機能を説明する。
【０１１０】
▲１▼ネットワーク上の通信活動状況（通信アクティビティ）の収集・監視
中央監視センタ１Ａの通信アクティビティ監視システム１Ａ−１は、アクティビティモニタ１０から与えられる、各拠点Ａ１／ＧＮ、…、Ａ４／ＧＮを通過する通信のアクセス状況（通信アクティビティ）を常時監視し、侵入経路解析システム１Ａ−２は、広域イントラネットＡ内の拠点を通過する通信アクティビティと、不正アクセス検知システム１１の警報によって、侵入経路を解析することができる。
【０１１１】
▲２▼不正検出、異常検出を併用したハイブリッド型ＩＤＳ監視に基づく処理
不正アクセス検知システム１１は、不正検出と異常検知とを併用したハイブリッド型ＩＤＳで構成することにより高度な不正アクセス検知を実行でき、中央監視センタ１Ａでは、不正アクセス検知システム１１からの警報として送られる情報に基づいて侵入経路の解析が行われる。さらに、１箇所の不正アクセス検知システム１１では攻撃とは見なせない場合や、危険レベルが低いと判定される場合であっても、中央監視センタ１Ａが総合的に解析することで、分散された攻撃と見なせるような不正アクセスも検知し（広域的攻撃検知）、これに基づいて防護ポリシーを生成し配布する。
【０１１２】
▲３▼広域イントラネット上での攻撃、アクティビティ追跡（侵入経路解析）
侵入経路解析システム１Ａ−２は、中央監視センタ１Ａの通信アクティビティ監視システム１Ａ−１で収集した通信アクティビティと、不正アクセス検知システム１１から警報として送られる情報を用いて、当該攻撃が通過した広域イントラネットＡ内の経路を分析する。このことにより、広域イントラネットＡ内のあるホストなどが踏み台に悪用され、発信源のアドレス情報を詐称された場合でも、通信アクティビティを観測できるネットワークの範囲において、攻撃の発信源の解析（逆探知）が可能である。
【０１１３】
▲４▼広域イントラネットの防護ポリシー（個別防護ポリシー）の生成とゲートノードへの配布
防護ポリシー管理システム１Ａ−３は、不正アクセス検知システム１１から警報として送られる情報と、侵入経路解析システム１Ａ−２かの解析結果として送られる情報をもとに、広域イントラネットＡ上の各ゲートノード１２のアドレス情報も含んだ防護ポリシー（個別防護ポリシー）を生成し、これを各ゲートノード１２に配布する（この際、上位のサイバーテロ警戒センタに対しても配布する）。
【０１１４】
また、防護ポリシー管理システム１Ａ−３では、広域イントラネットＡ上の全ゲートノード１２へ配布した防護ポリシーを一元的に管理し、広域イントラネットＡ内で防護ポリシー間の矛盾が生じないようにする。
【０１１５】
▲５▼上位警戒センタからの汎用防護ポリシーを防護ポリシー（個別防護ポリシー）に変換
広域イントラネットＡが属する警戒ドメイン内のサイバーテロ警戒センタ３から配布される汎用防護ポリシーを受け、各ゲートノード１２へ配布可能な防護ポリシー（個別防護ポリシー）に変換した上で配布を行う。また、上記機能▲４▼と同様の防護ポリシーの管理に適用される。
【０１１６】
（Ａ−２−２）サイバーテロ警戒センタ（協調型警戒システム）
以下、図１及び図２に示したサイバーテロ警戒センタ３を例に、サイバーテロ警戒センタの主要機能を説明する。
【０１１７】
▲１▼下位中央監視センタからの防護ポリシー（個別防護ポリシー）の収集・分析
サイバーテロ警戒センタ３が管理する警戒ドメイン内の各中央監視センタ１Ａ〜１Ｃから防護ポリシー（個別防護ポリシー）の配布を受けると、自サイバーテロ警戒センタ３で蓄積するほか、蓄積した防護ポリシーを分析する。
【０１１８】
▲２▼各種分析結果により汎用防護ポリシーを生成・配布
各中央監視センタ１Ａ〜１Ｃから配布された防護ポリシー（個別防護ポリシー）を分析し、配布済みであるか否かによって有効性を判断し、自警戒ドメイン内の他の中央監視センタ（送信元が１Ａであれば１Ｂ、１Ｃ）に有効な情報の場合、攻撃の標的となった個別のサーバのアドレスや、個別のゲートノードのアドレス情報等を除去した汎用防護ポリシーを生成し、これを各中央監視センタ（１Ｂ、１Ｃ）へ配布する。
【０１１９】
▲３▼警戒センタ間の汎用防護ポリシーの授受と協調型のアクティビティ追跡
自警戒ドメイン内で生成・配布した汎用防護ポリシーや、他の情報組織から収集した事案に関する情報を元に生成・配布した汎用防護ポリシーを、蓄積すると共に、自警戒ドメイン以外のサイバーテロ警戒センタ３ｘと授受し合う（汎用防護ポリシーを生成・配布する際に、自警戒ドメイン以外のサイバーテロ警戒センタ３ｘにも配布する）。
【０１２０】
他のサイバーテロ警戒センタ３ｘからも新たな汎用防護ポリシーを受け、蓄積すると共に、これをまた別のサイバーテロ警戒センタとの間で授受するようにしても良い（汎用防護ポリシーのフォワーディング（転送））。他のサイバーテロ警戒センタ３ｘから受けた新たな汎用防護ポリシーを、配布済みであるか否かによって有効性を判断し、自警戒ドメインに有効な場合は配下の各中央監視センタ１Ａ〜１Ｃへ汎用防護ポリシーとして配布する。
【０１２１】
協調型アクティビティ追跡は、自警戒ドメイン内のある中央監視センタ（例えば１Ａ）から受けた防護ポリシーを別の管理ドメインの中央監視センタ（例えば１Ｂ、１Ｃ）へ配布し、配布された中央監視センタ（例えば１Ｂ、１Ｃ）はその防護ポリシーを元に同じ属性の通信アクティビティが自管理ドメイン内で存在していないかを捜索し、当該通信アクティビティが存在していた場合、その旨をサイバーテロ警戒センタ３へ送る。このことにより、ある管理ドメイン内で検知された属性の通信アクティビティの発信源を別の管理ドメインに跨いで追跡することが可能となっている。また、防御という観点においては、より発信源に近いネットワーク上で、閉鎖などの防御手段を適用した方が、被害の最小化という意味において有効である。特にサービス妨害（ＤｏＳ攻撃）などは、発信源が他の管理ドメインを通過することが判明している場合、より発信源に近いゲートノードで閉鎖処置を適用する方が防御手段として有効である。
【０１２２】
上述した追跡機能については、図８を用いて、後でより詳細を説明する。
【０１２３】
▲４▼情報センタ、警戒センタ等からのサイバーテロ情報収集、情報提供
サイバーテロ事案や不正アクセス事案に関する情報提供を行う情報センタや警戒センタ等の他の情報組織から攻撃情報や防護手段を収集し、これを汎用防護ポリシーとして蓄積する。
【０１２４】
蓄積した汎用防護ポリシーは、他の情報組織も情報を利用できるような表現形式に変換し、情報提供を行う。
【０１２５】
（Ａ−３）実施形態での個別技術の説明
実施形態で適用している個別技術のうち、侵入検知技術、侵入経路解析技術、防護ポリシー管理技術、協調型ポリシー情報の授受技術について、以下、補足説明を行う。
【０１２６】
（Ａ−３−１）効率的防御のための攻撃検知方法（侵入検知技術）
（Ａ−３−１−１）検知対象となる攻撃分類
検知対象となる攻撃として、▲１▼ポートスキャン等のネットワーク探査に準ずる行為、▲２▼不正アクセス行為（プロトコルパラメータを使った既知の攻撃又はそれに準ずる未知の攻撃）、▲３▼ＤｏＳ攻撃やＤＤｏＳ攻撃、▲４▼ワーム型コンピュータウィルスの感染活動などを対象とする。
【０１２７】
（Ａ−３−１−２）局所的攻撃検知
各拠点における局所的攻撃検知方法として、以下に示す第１の方法又は第２の方法を適用する。
【０１２８】
第１の方法は、各拠点においては、図９に示すように、不正検出装置（ＭＤ）２４、異常検出装置（ＡＤ）２３を併用し、高感度な攻撃検知を実行でき、また、ワーム型コンピュータウィルス活動の攻撃検知を実行できるようにしたものである。
【０１２９】
図９において、異常検出装置（ＡＤ）２３は、ネットワーク観測点に対し、検出用エンジン（検出ルールなど）２３Ｅを利用して、攻撃の兆候や、未知の攻撃を検出するものであり、不正検出装置（ＭＤ）２４は既知攻撃のパターン情報などが格納されているデータベース２４Ｄを参照しながら既知攻撃を検出（特定）するものである。ここで、不正検出装置（ＭＤ）２４及び異常検出装置（ＡＤ）２３としては、既存のものを適用することができる。但し、防護ポリシーなどで提供された情報が、データベース２４Ｄや検出用エンジン２３Ｅに直ちに反映される点や、不正検出装置（ＭＤ）２４及び異常検出装置（ＡＤ）２３が直列に接続されながら並行動作する点が、従来技術と異なっている。
【０１３０】
なお、第１の方法においては、不正検出装置（ＭＤ）２４及び異常検出装置（ＡＤ）２３は、図示しないゲートノードに対し、外部ネットワーク側又は内部ネットワーク側の同一側に設けられている。
【０１３１】
第２の方法は、各拠点においては、図１０に示すように、不正検出装置（ＭＤ）２４、ゲートノード１２、異常検出装置（ＡＤ）２３を併用し、より高感度な攻撃検知を実現しようとしたものである。
【０１３２】
第２の方法は、ゲートノード１２のトラフィックフィルタ機能（通信切断機能）によって、図示しない中央監視センタからのフィルタリングポリシーに適合するトラフィックだけを内部ネットワークへ流入させるような制御が可能である。第１の方法では、全てのトラフィックがネットワーク観測点で観測されてしまい、内部ネットワークにとって影響がない攻撃も検知してしまう可能性がある。
【０１３３】
第２の方法を適用することにより、外部ネットワーク側のネットワーク観測点１では全てのトラフィックを観測することで攻撃の兆候を幅広く観測し、内部ネットワーク側のネットワーク観測点２では攻撃ノイズが除去され、内部ネットワークのセキュリティポリシーに関係する攻撃だけ観測することも可能である。
【０１３４】
以上のように、ゲートノード１２を組み合わせることにより、異常検出（アノーマリ検出）を攻撃の兆候検知用とし、ゲートノード１２を攻撃の絞り込み（攻撃ノイズ除去）用とし、不正検出（ミスユース検出）を攻撃の特定用とする仕組みがとれるため、セキュリティ管理上、より効率的な防御のための攻撃検知が可能となる。
【０１３５】
（Ａ−３−１−３）広域的攻撃検知（分散攻撃検知）
不正アクセス検知システムによる１箇所のローカル監視では、攻撃と見なされないアクセスや、危険レベルが低いと判定される不正アクセスでも、図１１（Ａ）に示すように、広域分散ネットワークとして関連度を分析することで危険レベルが高い不正アクセスとして検出することができる。広域イントラネットにおける広域的攻撃検知は、中央監視センタが各拠点から収集した通信アクティビティ又は警報に基づいて、広域的攻撃を検出する。
【０１３６】
広域的攻撃の検出は、常時、定期的に、又は必要に応じて（他の警戒ドメインや管理ドメインにおいて広域的攻撃が検出された場合や、頻繁に不正アクセスが検出された場合、他）行なうものとする。
【０１３７】
攻撃とみなされないアクセスに関する広域的攻撃は、通信アクティビティ監視システムが、新たに受信した通信アクティビティと、蓄積した通信アクティビティを比較し、分類し、危険度を判定することによって検出する。また、比較する通信アクティビティは、新たに受信したもの及び蓄積しているもののアクティビティ状態が、コネクション型のコネクション確立中の通信アクティビティを対象として行なうことを前提とする。
【０１３８】
詳細に説明すると、広域的攻撃の検出を開始すると、通信アクティビティ監視システムは、アクティビティモニタから新たな通信アクティビティ［ａ］が通知されると、通信アクティビティを記憶しているデータ蓄積システムを参照し、通知された通信アクティビティ［ａｎ］と、通信アクティビティ［ａ］の検出時刻から所定時間［ｔ］前迄の間に検出された１又は複数の通信アクティビティ［ｂ］のアクティビティ端点及びプロトコル種別を、通知される度に、比較し（［ａｎ］と比較するものを通信アクティビティ［ｂｎ］とする）、プロトコル種別が同一の通信アクティビティ［ｂｎ］を、送信元ＩＰアドレスと宛先ＩＰアドレスの一致・不一致に応じて分類する。また、通信アクティビティ［ｂ］は、通信アクティビティ［ｂ］が通知された拠点に配置されたゲートノードを特定する情報（アドレス等）と共に分類する。
【０１３９】
図１１（Ｂ）は、送信元ＩＰアドレスと宛先ＩＰアドレスの一致・不一致に応じた分類を示し、送信元及び宛先が同じ場合を関連度Ａ、送信元が同じで宛先が異なる場合を関連度Ｂ、送信元が異なり宛先が同じ場合を関連度Ｃ、送信元及び宛先が異なる場合を関連度Ｄと定義し、通信アクティビティ［ｂｎ］をゲートノードを特定する情報と共に分類する。
【０１４０】
通信アクティビティ［ｂｎ］の分類完了後、各関連度毎に、ゲートノードを特定する情報を用いて、同一ゲートノードからの通信アクティビティ［ｂｎ］を１件とカウントすることによって、全ての通信アクティビティ［ｂｎ］の件数Ｘと、関連度Ａ、Ｂ及びＣに分類された通信アクティビティ［ｂｎ］の件数Ｙとを求め、件数Ｘに対する件数Ｙの割合Ｚを求める。（以上の処理を、新たな通信アクティビティ［ａ］を受信する度に繰り返す。）そして、割合Ｚが所定の割合（例えば５０％）以上であった場合、広域的攻撃であると判定し、その旨を防護ポリシー管理システムに通知する。
【０１４１】
尚、上述の例では、アクティビティモニタから通知された新たな通信アクティビティ［ａ］と、通信アクティビティ［ｂ］とを比較する例を説明したが、通信アクティビティ［ａ］に替えて、所定の通信アクティビティ［ｃ］（危険度が高いと認定されたもの等）を用いるものとし、新たな通信アクティビティ［ａ］の通知を受ける度に、通信アクティビティ［ｃ］と、通信アクティビティ［ｂ］とを比較するようにしても構わない。
【０１４２】
危険レベルが低いと判定される不正アクセスに関する広域的攻撃は、防護ポリシー管理システムが、不正アクセス検知システムから送られる警報を比較し、分類し、危険度を判定することによって検出する。
【０１４３】
詳細に説明すると、防護ポリシー管理システムは、不正アクセス検知システムから受信した警報に関する情報をデータ蓄積システムに蓄積しており、広域的攻撃の検出を開始すると、新たな警報［ａ］が通知される毎に、蓄積した警報に関する情報を参照し、通知された警報［ａｎ］と、警報［ａ］の検出時刻から所定時間［ｔ］前迄の間に検出された１又は複数の警報［ｂ］に含まれるアクセス元とアクセス先の情報及びプロトコル種別を、比較し（［ａｎ］と比較するものを警報［ｂｎ］とする）、プロトコル種別が同一の警報［ｂｎ］を、アクセス元ＩＰアドレスとアクセス先ＩＰアドレスの一致・不一致に応じて分類する。また、警報［ｂ］は、警報［ｂ］が通知された拠点に配置されたゲートノードを特定する情報（アドレス等）と共に分類する。
【０１４４】
警報［ｂｎ］の分類や、分類完了後の処理は、前述した攻撃とみなされないアクセスに関する検出の通信アクティビティを警報に置き換えて、同様に行なうことで、割合Ｚを求め、割合Ｚが所定の割合（例えば５０％）以上であった場合、広域的攻撃であると判定する。
【０１４５】
広域的攻撃であると判定した後の処理は、攻撃とみなされないアクセスについての判定と、危険レベルが低いと判定される不正アクセスについての判定とは、同一であり、防護ポリシー管理システムにおいて、分類された通信アクティビティ又は警報に基づいてフィルタリングポリシーを生成し、関連度Ａ、Ｂ及びＣに分類されたゲートノードに配布する。尚、フィルタリングポリシーは、関連度Ｄに分類されたゲートノードも含めて配布しても構わない他、関連度に応じて異なるフィルタリングポリシーを生成・配布しても、共通のフィルタリングポリシーを生成・配布しても構わない。
【０１４６】
（Ａ−３−２）通信アクティビティ識別による追跡方法（追跡技術）
次に、通信アクティビティの詳細と、同一攻撃に係る通信アクティビティや攻撃検知などを識別し攻撃の通過ルートなどを把握する追跡方法について説明する。
【０１４７】
なお、従来技術においては、通信コネクションの存在のみか、あるいは、データ転送量（トラフィック量）のみを計測し、それらを蓄積し、攻撃検知時の追跡調査を手動で行うようになされていた。
【０１４８】
（Ａ−３−２−１）アクセス状況（通信アクティビティ）モデルの定義
実施形態において、通信アクティビティの発生とは、図１２に示すように、ネットワーク上の観測点において、コネクションが開設されたことや、無活動の状態から何らかのトラフィックを観測したことや、パケットの通過を検出したことを言う。
【０１４９】
また、通信アクティビティの消滅とは、図１２に示すように、ネットワーク上のある観測点において、コネクションが切断されたことや、発生を観測したトラフィックが一定時間観測されなかったことを言う。
【０１５０】
通信アクティビティ発生後は、トラフィックを観測したノードにおいて、通信アクティビティによって通信状態を管理する。
【０１５１】
この実施形態は、コネクション型（コネクションオリエンテッド型）もコネクションレス型のネットワークも対象としており、また、プロトコルレイヤによって、コネクション型及びコネクションレス型が異なる通信形態も対象としており、従って、以下のような定義によって、通信アクティビティを管理する。
【０１５２】
（Ａ−３−２−２）通信アクティビティの定義
通信アクティビティとは、広域イントラネットへのアクセス状況に関する情報であり、アクティビティ端点、プロトコル種別及び検出時刻から成る情報である（これにアクティビティタイプ及びアクティビティ状態を加えても構わない）。ここで、アクティビティ端点、プロトコル種別、検出時刻、アクティビティタイプ及びアクティビティ状態を総称してアクティビティ属性と呼ぶ。
【０１５３】
アクティビティ端点に関する情報とは、発生した通信の端点のアドレスに関する情報であり、アクセス元やアクセス先に関する、ソースＩＰアドレスや、ソースポート番号、ディスティネーションＩＰアドレス、ディスティネーションポート番号等を利用する。
【０１５４】
プロトコル種別とは、当該トラフィックの通信で適用されている通信プロトコルの種類に関する情報であり、例えば、ＩＡＮＡ番号を利用する。
【０１５５】
アクティビティタイプとは、コネクション型か、コネクションレスのリプライ（Ｒｅｐｌｙ）型か、コネクションレス片方向型（完全コネクションレス型）か等の、端点間のコネクションのタイプに関する情報であり、通信アクティビティの監視を考慮して、コネクションレス型として上記２種類を扱うことにしている。
【０１５６】
アクティビティ状態とは、コネクションの状態に関する情報であり、（ｉ）コネクション型（ＴＣＰ）のコネクション状態（例えば、確立、確立中、切断、切断中）、（ii）コネクションレス型のリプライ状態（例えば、応答の返信状態、無応答状態）、（iii）コネクションレス型の一方向通信状態（例えば、無応答）、等の状態の種類を扱うことにしている。
【０１５７】
検出時刻とは、アクティビティモニタが以上の情報を検出した時刻に関する情報である。
【０１５８】
以上では、プロトコルレイヤ３、４の情報をアクティビティ属性の情報とする例を示したが、他のプロトコルレイヤの情報などを、アクティビティ属性の情報に含めるようにしても良い。言い換えると、中央監視センタが収集し管理する任意のプロトコルレイヤの情報であっても良い。
【０１５９】
（Ａ−３−２−３）通信アクティビティの重ね合わせ分析
侵入経路解析システム（図２の１Ａ−２）が、不正アクセス検知システム（図２の１１）からの警報に応じて、検出時刻が同一若しくは所定時間内の通信アクティビティから、プロトコル種別が一致し、かつ、アクセス元・アクセス先の情報とアクティビティ端点が一致する通信アクティビティを抽出し、その通信アクティビティが通過したゲートノードを特定することを、通信アクティビティの重ね合わせ分析と呼ぶ。
【０１６０】
図１３に示すように、各拠点に配置されたアクティビティモニタ１０が得た通信アクティビティは、通信アクティビティ監視システム（図２の１Ａ−１）に送信され、中央監視センタ内のデータ蓄積システム１Ａ−４に、送信元となったアクティビティモニタ１０を特定する情報（ＩＰアドレス等）と関連付けて蓄積する（又は、ゲートノードを特定する情報（ＩＰアドレス等）と関連付けて蓄積する）。そして、不正アクセス検知システム（図２の１１）からの警報に基づいて、侵入経路解析システム（図２の１Ａ−２）は、通信アクティビティを重ね合わせ分析することによって警報と関わりのある通信アクティビティが通過したゲートノードを特定する。侵入経路解析システムは、データ蓄積システムに予め記憶した、監視対象内のゲートノードの配置とそれらの接続に関するネットワーク地図情報（いわゆるネットワーク構成マップ）を参照し、特定したゲートノードをネットワーク地図情報上に反映させ、それらを繋ぎ合わせてパスＰを特定し、管理対象ネットワーク上の侵入経路を示すアクティビティマップを作成する。
【０１６１】
尚、アクティビティモニタを特定する情報から、その拠点に配置されたゲートノードを特定する場合、データ蓄積システムにこれらを関連付ける情報を予め記憶させる必要がある。
【０１６２】
例えば、図１４に示すように、拠点Ａ１／ＧＮ、Ａ２／ＧＮ、Ａ５／ＧＮからの通信アクティビティを重ね合わせ分析し、ネットワーク地図情報上に反映させ、それらを繋ぎ合わせたマップ上の軌跡であるパスＰを上書きしてアクティビティマップ（図１４）を作成する。
【０１６３】
なお、通信アクティビティを中央監視センタに通知するためのプロトコルなどは、任意であって良く、通信専用線を適用するものであっても良い。また、動的ルーティングを採用しているパケットなどに関して、属性定義によって同一通信アクティビティと識別できるならば、その複数のパスを全てアクティビティマップに書き込むようにしても良い。
【０１６４】
（Ａ−３−２−４）攻撃元の追跡
侵入経路解析システム（図２の１Ａ−２）は、アクティビティマップを作成した後に、不正アクセスとみなされた通信アクティビティを通過させたゲートノードの中から、ゲートノードの配置に基づき、ネットワークの境界に位置するゲートノード（以下エッジノードと呼ぶ）を抽出し（エッジノードの判定と呼ぶ）、アクティビティマップへ反映させる。
【０１６５】
例えば、図１４のアクティビティマップの例において、拠点Ａ５／ＧＮに配置された不正アクセス検知システム（ＩＤＳ）１１が不正を検知し、その不正アクセス検知システム１１からの警報を元に、図示しない中央監視センタの侵入経路解析システムが、アクティビティマップを作成し、拠点Ａ１／ＧＮにおける外部ネットワークとの境界に位置するゲートノードがエッジノードＥＮであると判定しアクティビティマップに反映させる。
【０１６６】
尚、侵入経路解析システムは、侵入経路の解析結果として、特定したゲートノード及びエッジノードを特定する情報（ＩＰアドレス等）を通知する。
【０１６７】
また、同一の攻撃に対し、複数の不正アクセス検知システムが反応した場合、同一のエッジノードを解析する処理が複数生成されるが、例えば、通信アクティビティの属性情報を適宜利用しながら、複数の不正アクセス検知システムからの最初の警報に基づいたエッジノードの判定処理だけを実行させるようにし、エッジノードの判定が並行して実行されることを抑止するようにしても良い。
【０１６８】
（Ａ−３−３）ポリシー生成（防護ポリシー管理技術）
次に、ゲートノードに配布するためのフィルタリングポリシーや他の防護ポリシーの生成方法や管理方法などについて説明する。
【０１６９】
（Ａ−３−３−１）ポリシー表記方法
防護ポリシーの表記方法は、図１５に示すように、ポリシーＩＤ、発効日時、ポリシー有効期限、ポリシータイプ（ポリシー種別）、ポリシー端点、アクション種別、ポリシー適用タイプ、対抗攻撃参照ＩＤ、ポリシー認証カード、拡張情報などを情報の構成要素としており、防護ポリシーの種類によって一部内容が異なることがある。尚、ポリシー認証カードはオプションとして付加するものであり必須ではない。
【０１７０】
ポリシーＩＤ（Ｎｏ）には、防護ポリシーの識別情報（識別番号）が挿入される。ポリシーＩＤは、防護ポリシーの生成元などが任意に定めて良いものであるが、汎用防護ポリシーか個別防護ポリシーかを区別できる情報を盛り込むことが好ましい。
【０１７１】
ポリシー発効日時には、当該防護ポリシーが有効となるタイムスタンプが挿入される。
【０１７２】
ポリシー有効期限には、当該防護ポリシーが、有効期限が無期限である無期限防護ポリシーか、有限である場合には、その期限（タイムスタンプ）が挿入される。
【０１７３】
ポリシータイプ（ポリシー種別）には、当該防護ポリシーが、フィルタリング（Ｆｉｌｔｅｒｉｎｇ)ポリシーか、追跡（Ｔｒａｃｋｉｎｇ）ポリシーか、警戒（Ｓｃａｎｎｉｎｇ）ポリシーか、攻撃（Ｏｆｆｅｎｓｉｖｅ）ポリシーかを表す情報が挿入される。
【０１７４】
ポリシー端点には、防護ポリシーの適用対象となるアクセスに関する、通信アクティビティのアクセス元の情報である送信元ＩＰアドレス（発ＩＰアドレス）や、アクセス先の情報である宛先ＩＰアドレス（着ＩＰアドレス）や、通信プロトコルのプロトコル種別が挿入される。
【０１７５】
アクション種別には、ポリシー端点において条件を特定したアクセスに対するアクセス制御を定めるものとし、アクセス拒否（Ｒｅｆｕｓｅ）、アクセス無視（Ｄｒｏｐ）、アクセス許可（Ａｃｃｅｐｔ）、ネットワーク切断（ＮｅｔｗｏｒｋＣｌｏｓｅ）、以前の防護ポリシー解除（ＰｏｌｉｃｙＯｆｆ）、検出通知条件の変更（Ｃｏｎｆｉｇｕｒｅ Ｉｎｄｉｃａｔｉｏｎ）などのアクションの種類情報が挿入される。
【０１７６】
ポリシー適用タイプには、当該防護ポリシーの適用先（例えばフィルタリングポリシーをどのゲートノードへ適用すべきか等）を指定する情報が挿入される。この指定には、例えば、当該広域イントラネット又は警戒ドメイン内の全てのゲートノードという指定も可能とする。
【０１７７】
対抗攻撃参照ＩＤには、ＣＶＥ番号、ＣＥＲＴ番号など、情報提供機関が規定する対抗攻撃の参照番号が挿入される。
【０１７８】
ポリシー認証カードには、偽造防止のために、当該防護ポリシーを発行したサイバーテロ警戒センタ（図１の３参照）や中央監視センタ（図１の１Ａ〜１Ｃ参照）の認証証明書が挿入される。
【０１７９】
拡張領域には、必要に応じて、各種防護ポリシーに固有の情報が挿入される。
【０１８０】
なお、ポリシーの表記のためのコード体系やエンコード方法は問われない。また、防護ポリシーの要素として、当該防護ポリシーの配布先（例えばフィルタリングポリシーが与えられるべき、ゲートノードのタイプ等）など他の要素を、図１５に示した要素に代え、又は、図１５に示した要素に加え、設けるようにしても良い。
【０１８１】
（Ａ−３−３−３）防護ポリシーのタイプ
防護ポリシーとしては、フィルタリングポリシー、追跡ポリシー、警戒ポリシー、攻撃ポリシーなどがある。
【０１８２】
フィルタリングポリシーは、攻撃を回避する目的で適用するアクセス制御ルールである。
【０１８３】
追跡ポリシーは、他の管理ドメインにおいても不正アクセスに関する侵入経路を解析し、攻撃が行われた経路を追跡するための追跡ルールである。追跡ルールには、エッジノードにおいて収集された通信アクティビティを使用する。
【０１８４】
警戒ポリシーは、アミを張って警戒するためのものであり、将来攻撃元となり得る警戒対象（サーバー等）のＩＰアドレス、攻撃能力を抽出するためのルールである。ルールは、警戒する対象に関するスキャニングパターンを示している。警戒ポリシーは、サイバーテロ警戒センタにおいて、生成すると共に、スキャニングパターンからスキャニング用パケットを生成し警戒対象に送信しその応答を監視するために用いられる。
【０１８５】
攻撃ポリシーは、攻撃元が判明している場合の逆攻撃（Ｃｏｕｎｔｅｒ Ａｔｔａｃｋ）ルール（短時間の攻撃）である。なお、攻撃ポリシーを適用するためには、攻撃ポリシーに従った攻撃機能（攻撃ツールなど）が搭載されたサーバを設ける必要がある。
【０１８６】
尚、上記各ポリシーの構成については（Ａ−３−４−２）項の各ポリシー構成にて説明する。
【０１８７】
（Ａ−３−３−４）防護ポリシーの矛盾検出
この実施形態の場合、解除ポリシーに該当する防護ポリシーが存在しない。そのため、各ゲートノードなどは、ポリシー有効期限を遵守し、例えば、ポリシー有効期限経過時点で防護ポリシーを解除する。
【０１８８】
同一防護ポリシーの重複を検出したときには、各拠点などは、いずれか一方のみを有効とする。同一ではないが、例えば、ポリシー有効期限だけが異なっていたり、適用されるゲートノードの範囲だけが異なっていたり、複数の防護ポリシー間に情報の包含関係がある場合には、狭い範囲の防護ポリシーを優先させても良く、逆に、広い範囲の防護ポリシーを優先させても良く、また、ポリシー種別によって、優先させる防護ポリシーを変えるようにしても良い。
【０１８９】
防護ポリシーに認証情報が存在しないか、認証情報が無効の場合には、その防護ポリシーを無効として扱っても良く、認証情報が不存在又は無効でも、その防護ポリシーを有効なものと扱うようにしても良い。
【０１９０】
（Ａ−３−４）個別防護ポリシー／汎用防護ポリシーの変換
次に、中央監視センタで実行される個別防護ポリシー及び汎用防護ポリシー間の変換について説明する。
【０１９１】
（Ａ−３−４−１）個別防護ポリシーと汎用防護ポリシー
上述した図１５に示したように、防護ポリシーの情報要素は、ポリシーＩＤ、発効日時、ポリシー有効期限、ポリシータイプ、ポリシー端点、アクション種別、ポリシー適用タイプ、対抗攻撃参照ＩＤ、ポリシー認証カードなどである。
【０１９２】
個別防護ポリシーは、図１５に示した全ての防護ポリシー情報要素を含み、各中央監視センタから、管理対象のゲートノードへ配布されるべき情報である。すなわち、個別防護ポリシーは、当該システムの個別情報（発／着ＩＰアドレス等）も含んだ防護ポリシー情報である。
【０１９３】
汎用防護ポリシーは、図１６に示すように、防護ポリシーの情報要素の中から、ポリシー端点の宛先ＩＰアドレス（着ＩＰアドレス）、発効日時、ポリシー適用タイプを除外（マスク）した防護ポリシー情報である。
【０１９４】
すなわち、個別防護ポリシーから汎用防護ポリシーへの変換では、図１６に示したマスク要素を除外すれば良く、これは、サイバーテロ警戒センタにおいて行なわれる。
【０１９５】
逆に、汎用防護ポリシーから個別防護ポリシーへの変換では、上記マスク要素を追加すれば良く中央監視センタ（図１の１Ｂ参照）において行なわれる。発効日時には、例えば、中央監視センタが個別防護ポリシーへ変換した日時を挿入しても良い。ポリシー適用タイプには、例えば、その広域イントラネットにおいて、当該防護ポリシーの配布対象となるゲートノードのＩＤを挿入する。ポリシー端点の宛先ＩＰアドレス（着ＩＰアドレス）には、例えば、当該広域イントラネットについて予め定まっているデフォルト値を挿入する。
【０１９６】
（Ａ−３−４−２）各防護ポリシー構成
図１７は、防護ポリシーの種類によるポリシー要素（や個別防護ポリシーと汎用防護ポリシー）の相違などを示す説明図である。
【０１９７】
フィルタリングポリシーは、攻撃回避のための防護ポリシー情報であり、図１７（Ａ）に示す通り、ポリシーＩＤ、発効日時、ポリシー有効期限、ポリシータイプ、ポリシー端点、アクション種別、ポリシー適用タイプ、対抗攻撃参照ＩＤ、ポリシー認証カードから構成される（ポリシー認証カードはオプション）。また、フィルタリングポリシーの汎用ポリシーは、図１７（Ａ）に示すように、発効日時、ポリシー端点の着ＩＰアドレス、ポリシー適用タイプがマスクされる（協調型アクティビティ追跡においては、発行日時、ポリシー端点の着ＩＰアドレスがマスクされる）。
【０１９８】
追跡ポリシーは、「通信アクティビティＸを捜索範囲内で捜索する」ための防護ポリシー情報であり、図１７（Ｂ）に示す通り、ポリシーＩＤ、発効日時、ポリシー有効期限、ポリシータイプ、ポリシー適用タイプ、対抗攻撃参照ＩＤ、ポリシー認証カード、拡張領域から構成される（ポリシー認証カードはオプション）。追跡ポリシーに対し、サイバーテロ警戒センタや中央監視センタは、管理する範囲内で当該通信アクティビティを観測したゲートノードの情報を要求元に応答する。そのため、拡張領域にはエッジノードにおいて収集された通信アクティビティＸが設けられている。また、追跡ポリシーの汎用ポリシーは、図１７（Ｂ）に示す通りである。
【０１９９】
警戒ポリシーは、警戒条件のための防護ポリシーである。そのため、図１７（Ｃ）に示すように、拡張領域には、警戒条件を明示するために警戒対象のＩＰアドレスが設けられている。警戒ポリシーの汎用ポリシーは、図１７（Ｃ）に示す通りである。
【０２００】
攻撃ポリシーは、「Ｘに対してＹを行い、攻撃（反撃）する」ための防護ポリシーである。そのため、図１７（Ｄ）に示すように、拡張領域には、攻撃条件が設けられている。攻撃ポリシーの汎用ポリシーは、図１７（Ｄ）に示す通りである。
【０２０１】
なお、異なる警戒ドメインへ転送される、アクティビティ協調追跡のための警戒ポリシー（汎用ポリシー）の構成は、上述した通りのものであっても良く、上記要素に、アクティビティ協調追跡のための警戒ポリシーであることなどの情報を盛り込む要素などが設けられたものであっても良い。
【０２０２】
（Ａ−３−５）協調型アクティビティ追跡機能の詳細説明
図８は、協調型警戒システムにおける協調型アクティビティ追跡機能のイメージを示している。なお、図８において、図１との同一、対応部分には同一、対応符号を付して示している。
【０２０３】
サイバーテロ警戒センタ３（図１）が管理する警戒ドメインに属する管理ドメインＡ、Ｂ（図８では、それぞれ広域イントラネットＡ、Ｂで示される楕円部分に相当）がそれぞれ、中央監視センタ１Ａ、１Ｂで管理されているものとする。管理ドメインＡ、Ｂにおいては、中央監視センタ１Ａ、１Ｂについて上述した５つの機能、▲１▼通信アクティビティの収集・監視、▲２▼ハイブリッド型ＩＤＳ監視に基づく処理、▲３▼侵入経路解析、▲４▼防護ポリシー（個別防護ポリシー）生成・配布、▲５▼汎用防護ポリシーの個別変換が動作するものとする。
【０２０４】
サイバーテロ警戒センタ３は、警戒ドメイン内の協調型アクティビティ追跡機能を、以下の３個の手段（図８のサイバーテロ警戒センタ３内の部分▲１▼〜▲３▼）で実現する。
【０２０５】
なお、警戒ドメイン内の管理ドメイン相互で協調連携し合い、通信アクティビティを追跡する様子が想像できることから、協調型アクティビティ追跡機能と呼ぶ。
【０２０６】
▲１▼汎用追跡ポリシーの生成・配布
警戒ドメインに属する中央監視センタ１Ａ（図８）では、不正アクセス検知システムからの不正アクセス検知▲２▼に関する警報に基づき、侵入経路を解析▲３▼し、フィルタリングポリシーを生成し、ゲートノードに配布▲４▼する。この際、防護ポリシー管理システムにおいて、追跡ポリシーを生成し侵入経路解析結果、フィルタリングポリシーと共にサイバーテロ警戒センタ３に配布する。
【０２０７】
追跡ポリシーは、警報に関する管理ドメインＡ内のエッジノードにおいて収集された通信アクティビティを持ち、これを受信したサイバーテロ警戒センタは、情報を蓄積すると共に、汎用追跡ポリシーを生成し、中央監視センタ１Ｂに配布する。
【０２０８】
▲２▼アクティビティマップ作成
汎用追跡ポリシーを受信した中央監視センタ１Ｂの防護ポリシー管理システムは、侵入経路解析システムに、汎用追跡ポリシーに基づく侵入経路の解析を指示する。侵入経路解析システムは、汎用追跡ポリシーで指示された通信アクティビティのアクティビティ端点、プロトコル種別と検出時刻を元に、データ蓄積システムを参照し、これらが合致する通信アクティビティの抽出を試みる（検出時刻については同一若しくは所定時間以内のものを抽出する）。そして、通信アクティビティが抽出できた場合には、抽出した通信アクティビティを収集したアクティビティモニタが配置された拠点のゲートノードを特定すると共にエッジノードを特定する。防護ポリシー管理システムは、侵入経路解析システムから該当する通信アクティビティの有無と、有の場合には解析結果（抽出したゲートノードとエッジノードを特定する情報）の通知を受けると、これらを追跡ポリシー応答として、サイバーテロ警戒センタに通知する。
【０２０９】
追跡ポリシー応答では、汎用追跡ポリシーで指示された当該通信アクティビティが管理ドメインＢ内に存在した場合は、管理ドメインＡで検知された攻撃が管理ドメインＢ内も経路として通過したことを示しており、追跡が成功したことを意味する。当該通信アクティビティが管理ドメインＢ内に存在しなかった場合は、管理ドメインＢを経路として通過していないため、追跡不能であることを意味する。
【０２１０】
サイバーテロ警戒センタ３では、中央監視センタ１Ａから受信した侵入経路解析結果と、中央監視センタ１Ｂから受信した追跡ポリシー応答とを、予め記憶させた、自警戒ドメイン内のゲートノードの配置とそれらの接続に関するネットワーク地図情報上に反映させ、アクティビティマップを作成し、これを元にエッジノードを抽出しアクティビティマップに反映させる。
【０２１１】
仮に当該攻撃の通信アクティビティが、管理ドメインＢを上流側の経路として通過した場合、管理ドメインＢ上の通過点（管理ドメインＢ内の該当するゲートノード）に対する閉鎖等のアクセス制御を適用することが、管理ドメインＡ内でアクセス制御を適用するよりも、被害の最小化という意味で有効である。すなわち、ある攻撃が検知された場合、管理ドメインや警戒ドメイン全体から見た被害の最少化を目的とした防御のためには、より攻撃の上流となった通過点（図８では、管理ドメインＢ上のＢ２／ＧＮで示されるゲートノード）でアクセス制御する方が、管理ドメインＡ以外の他の管理ドメインへの波及を防ぐという意味で有効である。
【０２１２】
▲３▼フィルタリングポリシー生成・配布
アクティビティマップの作成により、警戒ドメイン内の最も上流に位置する当該攻撃の通過点（エッジノード）が、攻撃を検知した管理ドメイン以外の管理ドメイン内で割り出せた場合、サイバーテロ警戒センタ３は追跡に成功した管理ドメイン（図８では、管理ドメインＢ）に対する汎用フィルタリングポリシーを生成し、配布する。
【０２１３】
また、同時に追跡ポリシーの送付元（中央監視センタＡ）に対しては、追跡が成功したか否かの追跡結果を通知する。
【０２１４】
汎用フィルタリングポリシーの生成・配布では、管理ドメインＡで使用したフィルタリングポリシー（個別フィルタリングポリシー）から個別の（管理ドメインＡ内の）ゲートノードのアドレス等は除去された汎用フィルタリングポリシーが生成されており、中央監視センタ１Ｂでは、管理ドメインＢ上の個別のゲートノードのアドレス情報を付加するなど個別変換を行い、ゲートノード（図８では、Ｂ２／ＧＮ）へ配布される。ゲートノードＢ２／ＧＮでは、フィルタリングポリシー（個別フィルタリングポリシー）で指示されたアクセス制御を適用し、閉鎖等の処置を施す。
【０２１５】
（Ａ−３−６）協調型アクティビティ追跡によるＤＤｏＳ攻撃防御（ＤＤｏＳ攻撃に対する協調型ポリシー情報の授受技術）
次に、協調型アクティビティ追跡によるＤＤｏＳ攻撃の防御方法、言い換えると、ＤＤｏＳ攻撃に対する協調型ポリシー情報の授受技術について説明する。
【０２１６】
（Ａ−３−６−１）典型的なＤＤｏＳ攻撃の攻撃モデル
典型的なＤＤｏＳ攻撃ソフトウェアとして知られるＴｒｉｎｏｏ、ＴＦＮなどの攻撃モデルは、図１８に示すように、クライアント５０、マスタ５１及び多数のデーモン５２から構成された階層型の攻撃体制で構成される。
【０２１７】
（Ａ−３−６−２）警戒ドメイン内のエッジノード解析
図１９に示すように、管理ドメイン（中央監視センタ）Ａ、Ｂ、Ｃ間で通信アクティビティを授受し合う動作によって、警戒ドメイン内のエッジノード（侵入ポイント；Ｉｎｇｒｅｓｓ Ｐｏｉｎｔ）を解析し、そのエッジノードに対してフィルタリングポリシーを配布する。侵入経路解析では、被害ネットワーク（管理ドメイン）から最も遠くに位置するネットワーク及びそのエッジノードを検出する。
【０２１８】
図１９の例は、管理ドメイン（中央監視センタ）Ａ、Ｂ、Ｃ間の通信アクティビティの授受によって、中央監視センタ１ＡがＤＤｏＳ攻撃のエッジノードを解析して、サイバーテロ警戒センタ３にフィルタリングポリシーを与え、サイバーテロ警戒センタ３が、それを汎用フィルタリングポリシーに変換し、各中央監視センタ１Ｂ、１Ｃに与えて、エッジノードに対してフィルタリングを実行させる場合を示している。
【０２１９】
（Ａ−３−６−３）警戒ドメイン間のエッジノード追跡
図２０に示すように、警戒ドメイン（サイバーテロ警戒センタ）間で通信アクティビティを授受し合う協調動作によって警戒ドメイン間でエッジノードを追跡し、フィルタリングポリシーの適用を行う。
【０２２０】
図２０の例は、警戒ドメイン（サイバーテロ警戒センタ）Ａ、Ｂ間の通信アクティビティの授受によって、警戒ドメインＡ内の管理ドメインＡにおけるＤＤｏＳ攻撃の侵入ポイントを検出してエッジノードを追跡し、サイバーテロ警戒センタ３Ｂが配下の中央監視センタ１Ｂによって、エッジノードに対してフィルタリングポリシーを実行させる場合を示している。
【０２２１】
（Ａ−３−７）協調型ポリシー授受プロトコル（協調型ポリシー情報の授受技術）
次に、実施形態での協調型ポリシー授受プロトコル、言い換えると、協調型ポリシー情報の授受技術の概要について説明する。
【０２２２】
（Ａ−３−７−１）基本シーケンス（アラート（Ａｌｅｒｔ）系）
図２１は、アラート（警報）系の授受に関する基本シーケンスの一例を示すものである。
【０２２３】
中央監視センタ１及びゲートノード１２間や、サイバーテロ警戒センタ３及び中央監視センタ１間では、セッションを開設し、認証を行い、情報授受のためのキー（Ｋｅｙ）を交換する（Ｔ１、Ｔ２）。
【０２２４】
ゲートノード１２が配置された拠点の不正アクセス検知システム１１は、その後、規定フォーマットに従っているアラート（警報）メッセージを中央監視センタ１に与える（Ｔ３）。
【０２２５】
それを有効に受信した中央監視センタ１はアクノリッジ（Ａｃｋ）をゲートノード１２に返信すると共に（Ｔ４）、サイバーテロ警戒センタ３に対しては、規定フォーマットに従っているアラート（警報）メッセージを与える（Ｔ５）。
【０２２６】
それを有効に受信したサイバーテロ警戒センタ３はアクノリッジ（Ａｃｋ）を中央監視センタ１に返信する（Ｔ６）。アラートメッセージに対するアクノリッジを受領した中央監視センタ１は、配送を伝える個別防護ポリシー（Ｄｅｌｉｖｅｒｙ Ｏｒｉｇｉｎａｌ Ｐｏｌｉｃｙ）をゲートノード１２に送信し（Ｔ７）、それに対するゲートノード１２からのアクノリッジ（Ａｃｋ）を待って（Ｔ８）、配送を伝える個別防護ポリシーをサイバーテロ警戒センタ３に送信する（Ｔ９）。サイバーテロ警戒センタ３は、その防護ポリシーの有効な受信に対してアクノリッジ（Ａｃｋ）を中央監視センタ１に返信する（Ｔ１０）。
【０２２７】
その後、中央監視センタ１及びゲートノード１２間のセッションや、サイバーテロ警戒センタ３及び中央監視センタ１間のセッションの切断処理が実行される（Ｔ１１、Ｔ１２）。
【０２２８】
サイバーテロ警戒センタ３及び他のサイバーテロ警戒センタ３ｘ間では、セッションを開設し、認証を行い、情報授受のためのキー（Ｋｅｙ）を交換すると（Ｔ１３）、直ちに、サイバーテロ警戒センタ３が、配送を伝える汎用防護ポリシー（Ｄｅｌｉｖｅｒｙ Ｇｅｎｅｒａｌ Ｐｏｌｉｃｙ）を他のサイバーテロ警戒センタ３ｘに送信し（Ｔ１４）、他のサイバーテロ警戒センタ３ｘは、その防護ポリシーの有効な受信に対してアクノリッジ（Ａｃｋ）をサイバーテロ警戒センタ３に返信する（Ｔ１５）。
【０２２９】
その後、サイバーテロ警戒センタ３及び他のサイバーテロ警戒センタ３ｘ間のセッションの切断処理が実行される（Ｔ１６）。
【０２３０】
以上のようにして、防護ポリシー情報を、サイバーテロ警戒センタ３及び中央監視センタ１間やサイバーテロ警戒センタ３及び他のサイバーテロ警戒センタ３ｘ間などで授受し合う（転送する）ことができる。上記図２１に示す処理の起動が、他のサイバーテロ警戒センタ３ｘ配下の中央監視センタの管理下にあるゲートノードのことも当然あり得る。
【０２３１】
（Ａ−３−７−２）アラート系情報項目
図２１で上述したようなシーケンスで授受されるアラート系情報の項目としては、▲１▼メッセージ−ＩＤ、▲２▼検出イベント（攻撃の危険レベル、攻撃名、攻撃のアクセス元とアクセス先の情報、攻撃のプロトコル種別等）、▲３▼検知時刻、▲４▼検出履歴（検出回数など）、▲５▼検出元のゲートノードや不正アクセス検知システム（ＩＤＳ）の識別情報などを挙げることができる。
【０２３２】
（Ａ−３−７−３）アクノリッジ（やナック（Ｎａｃｋ））情報項目
図２１で上述したようなシーケンスで授受されるアクノリッジ（ナックとして機能することもある）の情報項目としては、▲１▼アクノリッジの対象となるメッセージ−ＩＤ、▲２▼センタ識別又はゲートノード識別情報、▲３▼理由コードを挙げることができる。
【０２３３】
（Ａ−３−７−４）クエリー（Ｑｕｅｒｙ；照会）系情報項目（警戒センタ外サービス）
図２１では示していないが、サイバーテロ警戒センタ３、３ｘは、外部の情報センタ等（警戒センタ外）に攻撃などを照会する（問い合わせる）ことができる他、外部の情報センタ等がサイバーテロ警戒センタ３、３ｘへ攻撃などを照会することができる。
【０２３４】
その際のシーケンスは、図示は省略するが、サイバーテロ警戒センタ３、３ｘが外部の情報センタ等に照会する場合は、サイバーテロ警戒センタ３、３ｘと外部の情報センタ等とのセッション確立（認証、キー交換を含む）、外部の情報センタ等への問合せ用のクエリー系情報の送信、サイバーテロ警戒センタ３、３ｘへの返信、セッションの切断などである。また、外部の情報センタ等がサイバーテロ警戒センタ３，３ｘに照会する場合は、サイバーテロ警戒センタ３、３ｘと外部の情報センタ等とのセッション確立（認証、キー交換を含む）、サイバーテロ警戒センタ３への問合せ用のクエリー系情報の送信、外部の情報センタ等への返信、セッションの切断などである。
【０２３５】
このようなシーケンスで用いられるクエリー系情報の項目としては、▲１▼メッセージ−ＩＤ、▲２▼クエリータイプ（問合せ種別；検索、所在問合せ等）、▲３▼検索結果、所在情報（ダウンロード可能なＵＲＬ等）などを挙げることができる。
【０２３６】
（Ａ−４）実施形態の効果
上記実施形態によれば、以下の効果を奏することができる。
【０２３７】
単一の広域イントラネット内の各拠点においてアクセス制御に関するセキュリティ管理を実施することができる。
【０２３８】
管理ドメインの異なる複数の広域イントラネット間でインシデント情報と防護ポリシー（アクセス制御に関するポリシー）とを授受し合い、複数の広域イントラネット間を跨ってアクセス制御に関するセキュリティ管理を実施することができる。
【０２３９】
また、複数の警戒ドメイン間でアクセス制御に関するセキュリティ管理を実施することができる。ここで、階層型のセキュリティ管理において、防護ポリシー情報を共有することができる。
【０２４０】
さらに、同一警戒ドメイン内の複数の広域イントラネット間で、常に最新のインシデント情報に基づいたアクセス制御に関するセキュリティ管理を実施することができる。
【０２４１】
さらにまた、情報センタからの情報を活用して汎用防護ポリシーを生成し、サイバーテロ警戒センタ間で授受し合うことによって、異なる警戒ドメイン間で常に最新のインシデント情報に基づいたアクセス制御に関するセキュリティ管理を実施することができる。
【０２４２】
また、複数の中央監視センタ及びサイバーテロ警戒センタ間の授受情報に通信アクティビティを付加することなどによって、ある広域イントラネット防護システムで観測された攻撃が別の広域イントラネット防護システム内を経由している場合でも、その攻撃の発信源を追跡することができる。
【０２４３】
同様に、複数のサイバーテロ警戒センタ間で授受し合う情報に、通信アクティビティを含めることによって、複数の異なる警戒ドメイン間に跨る攻撃の発信源を追跡することができる。
【０２４４】
同一の中央監視センタ配下の拠点間の通信アクティビティを重ね合わせ分析することにより、複数の異なる拠点間に跨る攻撃の発信源を追跡することができる。
【０２４５】
不正検出方式の不正侵入検知装置と異常検知方式の不正侵入検知装置との直列配置や、不正検出方式の不正侵入検知装置とゲートノードと異常検知方式の不正侵入検知装置との直列配置によって、局所的な観測点において、高度な侵入検知を行うことができる。
【０２４６】
局所的な攻撃だけでなく、広域イントラネット全体を利用し、複数のアクセスポイントへの攻撃を組合せて成立するような攻撃を検知することができる。
【０２４７】
アクティビティマップを生成することにより、不正侵入した複数のサーバを経由するいわゆる踏み台を使った不正アクセスでも、偽りの発信アドレスを使った不正アクセスでも追跡を行うことができる。
【０２４８】
不正アクセスの攻撃を検知した旨の警報情報と通信アクティビティを利用して、広域イントラネット内の各拠点への接続制限を行うアクセス制御ルールを自動生成し、それを各拠点に配置されたゲートノードへ配布することによって、広域イントラネット内のアクセス制御に関するセキュリティ管理技法を提供することができる。
【０２４９】
また、フィルタリングポリシー、追跡ポリシー、警戒ポリシー、攻撃ポリシーを用いたセキュリティ管理技法を提供することができる。
【０２５０】
協調型追跡技法を用いることにより、ＤＤｏＳ攻撃を、より効果的に防御することができる。
【０２５１】
（Ｂ）他の実施形態
なお、本発明に係るセキュリティ管理対象である広域ネットワーク（広域イントラネット等）の種類は限定されるものではない。例えば、各管理ドメインを都道府県単位のイントラネットとし、警戒ドメインを全自治体（全国）にするようなシステムに対しても、本発明を適用することができる。
【０２５２】
【発明の効果】
以上のように、本発明によれば、不正アクセスの監視の連携の強化、高度化と、検知時におけるアクセス制御の連携の強化、高度化とを達成できる。サイバーテロ攻撃を想定したアクセス制御に関する統一的な防護ポリシーの実行システムや方法を提供できる。さらに、異なるネットワークシステム間でセキュリティ管理上有効な情報の共有と協調連携するシステム等を提供できる。
【図面の簡単な説明】
【図１】実施形態の協調型警戒システムの全体構成イメージを示すブロック図である。
【図２】実施形態の広域イントラネット防護システムの構成イメージを示すブロック図である。
【図３】実施形態の警戒ドメインと管理ドメインとの関係の説明図（１）である。
【図４】実施形態の警戒ドメインと管理ドメインとの関係の説明図（２）である。
【図５】実施形態の拠点に配置されたハードウェア構成の一例を示すブロック図である。
【図６】実施形態の広域イントラネット防護システムの動作概要の説明図である。
【図７】実施形態の中央監視センタ及びサイバーテロ警戒センタの機能の説明図である。
【図８】実施形態の協調型アクティビティ追跡機能の説明図である。
【図９】実施形態の局所的攻撃の第１の検知方法の説明図である。
【図１０】実施形態の局所的攻撃の第２の検知方法の説明図である。
【図１１】実施形態の広域的攻撃の検知方法の説明図である。
【図１２】実施形態の通信活動（アクティビティ）モデルの定義の説明図である。
【図１３】実施形態のアクティビティモデルの説明図である。
【図１４】実施形態のアクティビティマップの説明図である。
【図１５】実施形態のポリシー表記方法（ポリシーカード）の説明図である。
【図１６】実施形態の個別／汎用防護ポリシーの相違の説明図である。
【図１７】実施形態の防護ポリシー毎のデータ構造の説明図である。
【図１８】ＤＤｏＳ攻撃の攻撃モデルの説明図である。
【図１９】実施形態のＤＤｏＳ攻撃時の警戒ドメイン内の追跡方法の説明図である。
【図２０】実施形態のＤＤｏＳ攻撃時の警戒ドメイン間の追跡方法の説明図である。
【図２１】実施形態の協調型ポリシー授受プロトコルのシーケンス図である。
【図２２】実施形態のゲートノードの内部構成例を示すブロック図である。
【図２３】実施形態のアクティビティモニタの内部構成例を示すブロック図である。
【符号の説明】
１Ａ〜１Ｃ…管理ドメインの中央監視センタ、
１Ａ−１…通信アクティビティ監視システム、
１Ａ−２…侵入経路解析システム、
１Ａ−３…防護ポリシー管理システム、
２Ａ〜２Ｃ…管理ドメイン、
３、３ｘ…サイバーテロ警戒センタ、
４…情報センタ、
５Ａ〜５Ｃ…広域イントラネット防護システム、
１０…アクティビティモニタ、
１１…不正アクセス検知システム、
１２…ゲートノード。
Claims (13)
- 警戒センタサーバに接続された１若しくは複数の広域ネットワーク防護システムのうちの１つであり、外部ネットワークとの複数の接続点を持つ広域ネットワークを、不正アクセスから防護する広域ネットワーク防護システムであって、
上記各接続点における不正アクセスを検知し、検知された不正アクセスを特定する、アクセス元とアクセス先、プロトコル種別、検知時刻を少なくとも含む警報情報を生成して送信する、上記各接続点毎に設けられた不正アクセス検知システムと、
いずれかの上記不正アクセス検知システムが送信した上記警報情報を受信して記憶する警報情報記憶手段と、
上記各接続点における通信内容から、当該広域ネットワークへのアクセス状況に関する情報であって、各アクセスに関するアクセス元とアクセス先、プロトコル種別、検知時刻を少なくとも含む通信アクティビティを抽出する、上記各接続点毎に設けられたアクティビティモニタと、
いずれかの上記アクティビティモニタが抽出した通信アクティビティを記憶する通信アクティビティ記憶手段と、
個別フィルタリングポリシーに従って当該広域ネットワークへの特定のアクセスを排除するアクセス制御を実行する上記各接続点毎に設けられたゲートノードと、
上記警報情報記憶手段に記憶された警報情報と、上記通信アクティビティ記憶手段に記憶した通信アクティビティとの照合により、警報情報に係る検知された不正アクセスの、当該広域ネットワークへの侵入経路を解析するものであって、警報情報の検出時刻と同一であるか若しくは時間差が所定時間内であり、アクセス元、アクセス先とプロトコル種別とが同じ属性を持つ通信アクティビティを抽出し、抽出した通信アクティビティが通過していた１又は複数のゲートノードを特定する識別情報からなる、当該広域ネットワーク内での不正アクセスの通過経路の情報を侵入経路の解析結果として得る侵入経路解析システムと、
上記侵入経路解析システムによって得られた侵入経路解析結果と、この侵入経路解析結果に係る上記警報情報を元に、全て又は一部の上記ゲートノードにおけるアクセス制御ルールである個別フィルタリングポリシーを生成する防護ポリシー生成手段と、
個別フィルタリングポリシーを全て又は一部の上記ゲートノードに配布すると共に、上記警戒センタサーバにも個別フィルタリングポリシーを配布する防護ポリシー配布手段とを備え、
当該広域ネットワーク内の上記各接続点においてアクセス制御を実施することを特徴とする広域ネットワーク防護システム。 - 請求項１に記載の広域ネットワーク防護システムにおいて、
上記侵入経路解析システムは、１又は複数のゲートノードを特定する識別情報からなる不正アクセスの通過経路の情報と、あらかじめ記憶した、ゲートノードの配置とそれらの接続に関するネットワーク地図情報とを元に、不正アクセスが侵入したエッジノードを特定し、侵入経路の解析結果にエッジノードに関する情報を含めることを特徴とする広域ネットワーク防護システム。 - 請求項１又は２に記載の広域ネットワーク防護システムにおいて、
上記防護ポリシー生成手段は、配布するゲートノードに応じて、アクセスを排除する通信を指定する情報を有する個別フィルタリングポリシーを生成することを特徴とする広域ネットワーク防護システム。 - 請求項１〜３のいずれかに記載の広域ネットワーク防護システムにおいて、
上記防護ポリシー生成手段は、上記アクセスを排除する通信として、上記警報情報に含まれるアクセス元の情報、アクセス先の情報及びプロトコル種別が一致する通信を指定する個別フィルタリングポリシーを生成することを特徴とする広域ネットワーク防護システム。 - 請求項１〜４のいずれかに記載の広域ネットワーク防護システムにおいて、
上記不正アクセス検知システムは、アノマリ解析技術を用いて、所定期間の通信アクティビティを統計的に解析して保護したい装置への異常なアクセスを検知する異常検出方式に従う第１の侵入検知装置と、上記ゲートノードと、シグネチャ解析技術を用いて、既知の攻撃パケットを検知する不正検出方式に従う第２の侵入検知装置とを、上記第１の侵入検知装置が上記外部ネットワーク側にくるようにこの順に直列に接続したことを特徴とする広域ネットワーク防護システム。 - 請求項１〜５のいずれかに記載の広域ネットワーク防護システムにおいて、
いずれかの上記不正アクセス検知システムから警報情報が送信される度に、送信されてきた警報情報と上記警報情報記憶手段に記憶した警報情報とを比較し、アクセス元の情報及びアクセス先の情報の異同で定まる関連度や検知時刻の同時性に基づいて警報情報を分類する警報情報分類手段と、
分類完了後、送信元の接続点が同じ警報情報の総数と、この総数に係る警報情報を関連度別に計数した関連度別警報情報数との割合を算出し、いずれか一つの割合が閾値以上のときに、広域的な不正アクセスがなされたと判定する第１の不正アクセス判定手段とをさらに備え、
上記防護ポリシー生成手段は、上記第１の不正アクセス判定手段による広域的な不正アクセスがなされたという判定結果と、この広域的な不正アクセスがなされたという判定結果を導出させる元となった、いずれかの上記不正アクセス検知システムから送信されてきた上記警報情報を元に、予めフォームが定まっているフィルタリングポリシーの一部項目に情報を挿入して、全て又は一部の上記ゲートノードに与える個別フィルタリングポリシーを生成し、
広域ネットワーク内の複数の接続点への不正アクセスを組み合わせて、攻撃が成立する広域的攻撃を検知し、当該広域ネットワーク内の上記各接続点においてアクセス制御を実施することを特徴とする広域ネットワーク防護システム。 - 請求項１〜６のいずれかに記載の広域ネットワーク防護システムにおいて、
上記アクティビティモニタから抽出された通信アクティビティが与えられる度に、抽出された通信アクティビティと上記通信アクティビティ記憶手段に記憶されている通信アクティビティとを比較し、アクセス元の情報及びアクセス先の情報の異同で定まる関連度や検知時刻の同時性に基づいて通信アクティビティを分類する通信アクティビティ分類手段と、
分類完了後、送信元の接続点が同じ通信アクティビティの総数と、この総数に係る通信アクティビティを関連度別に計数した関連度別通信アクティビティ数との割合を算出し、いずれか一つの割合が閾値以上のときに、広域的な不正アクセスがなされたと判定する第２の不正アクセス判定手段とをさらに備え、
上記防護ポリシー生成手段は、上記第２の不正アクセス判定手段による広域的な不正アクセスがなされたという判定結果と、この広域的な不正アクセスがなされたという判定結果を導出させる元となった、上記アクティビティモニタから与えられた上記通信アクティビティを元に、予めフォームが定まっているフィルタリングポリシーの一部項目に情報を挿入して、全て又は一部の上記ゲートノードに与える個別フィルタリングポリシーを生成し、
広域ネットワーク内の複数の接続点への不正アクセスを組み合わせて、攻撃が成立する広域的攻撃を検知し、当該広域ネットワーク内の上記各接続点においてアクセス制御を実施することを特徴とする広域ネットワーク防護システム。 - 請求項１〜７のいずれかに記載の広域ネットワーク防護システムを自警戒ドメインとして１若しくは複数を有すると共に、上記各広域ネットワーク防護システムに接続された警戒センタサーバを有する警戒システムであって、
上記防護ポリシー配布手段は、上記警戒センタサーバにも個別フィルタリングポリシーを配布し、
上記警戒センタサーバが、
自警戒ドメイン内の上記広域ネットワーク防護システムからの個別フィルタリングポリシーを、汎用フィルタリングポリシーに変換する汎用防護ポリシー変換手段と、
汎用フィルタリングポリシーを、自警戒ドメイン内の上記広域ネットワーク防護システムへ配布する汎用防護ポリシー配布手段とを有し、
上記各広域ネットワーク防護システムが、
受信した上記汎用フィルタリングポリシーを、自己の広域ネットワークに係る個別フィルタリングポリシーへ変換する個別防護ポリシー変換手段を有し、
複数の広域ネットワーク間を跨ってアクセス制御を実施することを特徴とする警戒システム。 - 請求項８に記載の警戒センタサーバを複数有すると共に、各警戒センタサーバ同士を接続した警戒システムであって、
上記汎用防護ポリシー配布手段は、他の警戒センタサーバにも汎用フィルタリングポリシーを配布し、
複数の警戒ドメイン間でアクセス制御を実施することを特徴とする請求項８に記載の警戒システム。 - 上記各警戒センタサーバは、
情報の提供を行う情報センタからのインシデント情報及び防御方法の少なくとも一方を取り込む外部情報取込手段と、
取り込んだ情報に基づき、予めフォームが定まっている汎用防護ポリシーの一部項目に情報を挿入して、汎用防護ポリシーを生成する汎用防護ポリシー生成手段とを有し、
同一警戒ドメイン内の複数の広域ネットワーク間で、インシデント情報に基づいたアクセス制御を実施することを特徴とする請求項８又９に記載の警戒システム。 - 上記警戒センタサーバを介して上記複数の広域ネットワーク防護システムの間で配布し合う情報に通信アクティビティを付加する通信アクティビティ配布手段を設けると共に、
上記警戒センタサーバに、いずれかの上記広域ネットワーク防護システムにおける通信アクティビティと、他の上記広域ネットワーク防護システムにおける通信アクティビティとの同一性の判定により、同一警戒ドメイン内で複数の広域ネットワークに跨った不正アクセスの発信源を追跡する不正アクセス発信源追跡手段を設けたことを特徴とする請求項８〜１０のいずれかに記載の警戒システム。 - 上記各警戒センタサーバにそれぞれ、
対向する警戒センタサーバとの間で配布し合う情報に通信アクティビティを付加する第２の通信アクティビティ配布手段と、
上記各警戒センタサーバに、自サーバに係る上記警戒ドメインにおける通信アクティビティと、他の上記警戒ドメインにおける通信アクティビティとの同一性の判定により、複数の警戒ドメイン間に跨った不正アクセスの発信源を追跡する第２の不正アクセス発信源追跡手段とを設けた
ことを特徴とする請求項１２に記載の警戒システム。 - 請求項８に記載の警戒システムにおいて、
上記広域ネットワーク防護システムは、
上記警戒センタサーバに、上記侵入経路解析システムの解析結果を通知する第１の通知手段と、
検知した不正アクセスについて、上記警戒センタサーバに警戒ドメイン内の侵入経路の解析を指示するために、検知した不正アクセスに係る通信アクティビティを含み、検知した不正アクセスの経路を追跡させるための、当該広域ネットワーク防護システムにおける個別追跡ポリシーを生成する追跡ポリシー生成手段と、
上記警戒センタサーバからの汎用追跡ポリシーに基づき、受信した汎用追跡ポリシーと上記記憶した通信アクティビティを元に、他の広域ネットワーク防護システムが検知した不正アクセスの、侵入経路を解析する第２の侵入経路解析システムと、
上記警戒センタサーバに、上記第２の侵入経路解析システムの解析結果を通知する第２の通知手段とを備え、
上記警戒センタサーバは、
受信した個別追跡ポリシーを、その個別追跡ポリシーを送信した上記広域ネットワーク防護システム以外の他の広域ネットワーク防護システムにも適用可能な汎用追跡ポリシーに変換する汎用追跡ポリシー変換手段と、
汎用追跡ポリシーを、個別追跡ポリシーを送信した上記広域ネットワーク防護システム以外の他の広域ネットワーク防護システムに配布する汎用追跡ポリシー配布手段と、
第１の通知手段及び第２の通知手段から受信した解析結果を元に、不正アクセスの、自管理ドメイン内の侵入経路を解析する第３の侵入経路解析システムと、
第３の侵入経路解析システムの解析結果を元に汎用フィルタリグポリシーを生成する第２の汎用防護ポリシー生成手段と、
該フィルタリングポリシーを管理ドメイン内の広域ネットワーク防護システムに配布する第２の汎用防護ポリシー配布手段と
を備えたことを特徴とする警戒システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003184597A JP4052983B2 (ja) | 2002-06-28 | 2003-06-27 | 警戒システム及び広域ネットワーク防護システム |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002190720 | 2002-06-28 | ||
| JP2003184597A JP4052983B2 (ja) | 2002-06-28 | 2003-06-27 | 警戒システム及び広域ネットワーク防護システム |
Related Child Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2007005509A Division JP2007122749A (ja) | 2002-06-28 | 2007-01-15 | 警戒システム、不正アクセス追跡方法、不正アクセス検知システム、セキュリティ管理方法及び攻撃防護方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004086880A JP2004086880A (ja) | 2004-03-18 |
| JP4052983B2 true JP4052983B2 (ja) | 2008-02-27 |
Family
ID=32071835
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003184597A Expired - Fee Related JP4052983B2 (ja) | 2002-06-28 | 2003-06-27 | 警戒システム及び広域ネットワーク防護システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4052983B2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9529690B2 (en) | 2011-03-28 | 2016-12-27 | International Business Machines Corporation | Anomaly detection system, anomaly detection method, and program for the same |
Families Citing this family (19)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8037144B2 (en) * | 2004-05-25 | 2011-10-11 | Google Inc. | Electronic message source reputation information system |
| JP4371905B2 (ja) * | 2004-05-27 | 2009-11-25 | 富士通株式会社 | 不正アクセス検知装置、不正アクセス検知方法、不正アクセス検知プログラムおよび分散型サービス不能化攻撃検知装置 |
| JP4341517B2 (ja) | 2004-06-21 | 2009-10-07 | 日本電気株式会社 | セキュリティポリシー管理システム、セキュリティポリシー管理方法およびプログラム |
| FR2872983A1 (fr) * | 2004-07-09 | 2006-01-13 | Thomson Licensing Sa | Systeme de pare-feu protegeant une communaute d'appareils, appareil participant au systeme et methode de mise a jour des regles de pare-feu au sein du systeme |
| US7353390B2 (en) * | 2004-08-20 | 2008-04-01 | Microsoft Corporation | Enabling network devices within a virtual network to communicate while the networks's communications are restricted due to security threats |
| JP2006228140A (ja) * | 2005-02-21 | 2006-08-31 | Fuji Xerox Co Ltd | 情報処理装置 |
| JP4190508B2 (ja) * | 2005-02-23 | 2008-12-03 | 日本電信電話株式会社 | ネットワーク制御システムおよびネットワーク制御方法 |
| US7653188B2 (en) | 2005-07-20 | 2010-01-26 | Avaya Inc. | Telephony extension attack detection, recording, and intelligent prevention |
| JP4699893B2 (ja) * | 2005-12-19 | 2011-06-15 | 三菱スペース・ソフトウエア株式会社 | パケット解析システム、パケット解析プログラム、パケット解析方法及びパケット取得装置 |
| US8949986B2 (en) * | 2006-12-29 | 2015-02-03 | Intel Corporation | Network security elements using endpoint resources |
| JP4903754B2 (ja) * | 2008-06-23 | 2012-03-28 | Ｎｅｃシステムテクノロジー株式会社 | 不正端末アクセス制御システム、管理端末、管理サーバ、不正端末アクセス制御方法、管理端末制御方法、管理サーバ制御方法、及びプログラム |
| JP5509796B2 (ja) * | 2009-11-02 | 2014-06-04 | コニカミノルタ株式会社 | 通信システム、通信装置、通信制御方法および通信制御プログラム |
| US9450781B2 (en) | 2010-12-09 | 2016-09-20 | Alcatel Lucent | Spam reporting and management in a communication network |
| CN105981079A (zh) | 2013-07-15 | 2016-09-28 | 赛博赛尔有限公司 | 网络保护 |
| US10616270B2 (en) | 2014-11-10 | 2020-04-07 | Nippon Telegraph And Telephone Corporation | Optimization apparatus, optimization method, and optimization program |
| JP7014125B2 (ja) * | 2018-10-12 | 2022-02-01 | 日本電信電話株式会社 | 検知装置、検知方法および検知プログラム |
| JP7346397B2 (ja) | 2018-10-17 | 2023-09-19 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | 侵入地点特定装置、および、侵入地点特定方法 |
| JP2021051481A (ja) * | 2019-09-24 | 2021-04-01 | 沖電気工業株式会社 | 制御装置、制御プログラム、制御方法、支援装置、支援プログラム、支援方法、及び支援システム |
| CN113660193B (zh) * | 2021-06-24 | 2022-11-01 | 南京邮电大学 | 一种软件定义网络中基于数据面网络特征采集的DDoS攻击检测方法 |
-
2003
- 2003-06-27 JP JP2003184597A patent/JP4052983B2/ja not_active Expired - Fee Related
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9529690B2 (en) | 2011-03-28 | 2016-12-27 | International Business Machines Corporation | Anomaly detection system, anomaly detection method, and program for the same |
| US9921938B2 (en) | 2011-03-28 | 2018-03-20 | International Business Machines Corporation | Anomaly detection system, anomaly detection method, and program for the same |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004086880A (ja) | 2004-03-18 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4052983B2 (ja) | 警戒システム及び広域ネットワーク防護システム | |
| US6775657B1 (en) | Multilayered intrusion detection system and method | |
| CN109587174B (zh) | 用于网络防护的协同防御方法和系统 | |
| KR100351306B1 (ko) | 다양한 침입탐지모델을 사용하는 침입탐지시스템 및 그 방법 | |
| US7398389B2 (en) | Kernel-based network security infrastructure | |
| Jou et al. | Architecture design of a scalable intrusion detection system for the emerging network infrastructure | |
| Sherif et al. | Intrusion detection: systems and models | |
| JP2007122749A (ja) | 警戒システム、不正アクセス追跡方法、不正アクセス検知システム、セキュリティ管理方法及び攻撃防護方法 | |
| US20030037258A1 (en) | Information security system and method` | |
| US20070011741A1 (en) | System and method for detecting abnormal traffic based on early notification | |
| JP2010539574A (ja) | 侵入検知の方法およびシステム | |
| Krishnan et al. | An adaptive distributed intrusion detection system for cloud computing framework | |
| CN116827675A (zh) | 一种网络信息安全分析系统 | |
| JP2004302538A (ja) | ネットワークセキュリティシステム及びネットワークセキュリティ管理方法 | |
| CN109150853A (zh) | 基于角色访问控制的入侵检测系统及方法 | |
| JP3609382B2 (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム | |
| KR20020075319A (ko) | 지능형 보안 엔진과 이를 포함하는 지능형 통합 보안 시스템 | |
| JP3699941B2 (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置、分散型サービス不能攻撃防止プログラム及び記録媒体 | |
| JP2000354034A (ja) | 事業：ハッカー監視室 | |
| Vokorokos et al. | Network security on the intrusion detection system level | |
| JP3609381B2 (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム | |
| Kishore et al. | Intrusion Detection System a Need | |
| Sourour et al. | Collaboration between security devices toward improving network defense | |
| Singh et al. | Comparative study of various distributed intrusion detection systems for WLAN | |
| Rizvi et al. | A review on intrusion detection system |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20061114 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070115 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070626 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070827 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20071204 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20071204 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101214 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111214 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111214 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121214 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131214 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |