JP4201263B2 - 侵入検知システムおよび記録媒体 - Google Patents

Description

本発明は、外部ネットワークからの不正なアクセスを防止する装置および方法に係り、特に、下位侵入検知装置の連係動作機能を用いることによって、外部ネットワークからの不正なアクセスを防止する侵入検知システム、侵入検知方法および記録媒体に関する。

図７は、従来の下位侵入検知装置５００を示す図である。

従来の下位侵入検知装置５００は、インターネットや外部で構築された外部ネットワーク１０と、侵入検知装置７０と、監視対象である内部ネットワーク８０とを有する。

侵入検知装置７０は、外部ネットワーク１０から内部ネットワーク８０への通信、内部ネットワーク８０から外部ネットワーク１０への通信、内部ネットワーク８０同士の通信を監視することが可能な位置に設置されている侵入検知装置である。

上記従来の侵入検知システム５００において、外部ネットワーク１０と、監視対象である内部ネットワーク８０との間に、侵入検知装置７０が単体で設置され、管理者があらゆる外部からの不正な攻撃を検知し、管理者の過去の経験等に基づいて、誤検知であるか、不正アクセスであるかを見極める（たとえば、特許文献１参照）。

さらに、侵入検知装置７０は、シグネチャという攻撃パターンと、監視対象ネットワークである内部ネットワーク８０上に流れるパケットとを、１つ１つ照らし合わせることによって、不正アクセスであるか否かを監視する。

つまり、従来の侵入検知システム５００において、侵入検知装置７０は、シグネチャ（ネットワーク上で過去に行われた犯罪を分析し、攻撃や不正なアクセスと見なせる要素を抽出した攻撃パターン）と、監視対象とするネットワーク上に流れてきた通信パケットとを照らし合わせ、不正な通信であるか否かを判断する。

侵入検知装置７０には、上記シグネチャが、侵入検知装置７０内のデータベース上に複数個存在する。侵入検知装置７０は、シグネチャデータベース内のシグネチャと、１つ１つの通信パケットとを順番に照らし合わせ、通信パケットとデータベース内のシグネチャの１つとが一致した場合、そのネットワーク上を流れてきた通信パケットを不正な通信と見なす。
特開２００２−３２８８９６号公報

上記従来例において、侵入検知装置７０に接続されている内部ネットワーク８０が攻撃を受けると、内部ネットワーク８０から外部に対して、２次被害となる攻撃をすることがある。この内部から外部に対する防御手段を、侵入検知装置７０が持っていないという問題がある。

つまり、上記従来例は、外部ネットワークからの不正な通信を監視するネットワークにおいて、２次被害を受けるという問題がある。

本発明は、外部ネットワークからの不正な通信を監視するネットワークにおいて、２次被害を受けない侵入検知システム、侵入検知方法および記録媒体を提供することを目的とするものである。

本発明は、上位ネットワークと複数の下位ネットワークとで構成されるネットワークに接続され、外部ネットワークからの不正な通信を監視する侵入検知システムであって、上記外部ネットワークと上記上位ネットワークとの間に設けられる上位侵入検知装置と、上記上位ネットワークとそれぞれの下位ネットワークとの間に設けられる複数の下位侵入検知装置とで構成され、
上記上位侵入検知装置は、所定の下位侵入検知装置から、攻撃による障害を起こした場合に得たデータと攻撃を検知したときに使用したシグネチャとを受け取る手段と、上記受け取ったデータとシグネチャとを、上記所定の下位侵入検知装置を除く上記下位侵入検知装置に知らせる手段とを備え、
上記下位侵入検知装置は、シグネチャを下位侵入検知装置間で分割して保持する手段と、攻撃による障害を起こした場合に得たデータと、上記攻撃を検知したときに使用したシグネチャとを、上記上位侵入検知装置に知らせる手段と、他の下位侵入検知装置で攻撃による障害を起こした場合のデータとシグネチャとを、上記上位侵入検知装置から受け取り、受け取ったシグネチャを上記保持する手段に登録する手段とを備えることを特徴とする侵入検知システムである。

本発明によれば、外部ネットワークからの不正な通信を監視するネットワークにおいて、２次被害を受けないという効果を奏する。

発明を実施するための最良の形態は、以下の実施例である。

図１は、本発明の実施例１である侵入検知システム１００を示す図である。

侵入検知システム１００は、外部ネットワーク１０と、上位侵入検知装置２０と、上位ネットワーク３０と、下位侵入検知装置４１、４２、４３と、下位ネットワーク（監視対象ネットワーク）５１、５２、５３とを有する。

上位侵入検知装置２０は、外部ネットワーク１０と上位ネットワーク３０との間に設けられている上位侵入検知装置であり、所定の上記下位侵入検知装置（たとえば、下位侵入検知装置４２）が障害を起こした場合、下位侵入検知装置４２以外の下位侵入検知装置４１、４３に、上記障害が起こったことを知らせ、すなわち、上記障害が起こった場合に得たデータと、上記攻撃を検知したときに使用したシグネチャとを知らせ、上記データと上記シグネチャとを知った上記下位侵入検知装置が、攻撃に対して事前の対策を練る。

つまり、上位侵入検知装置２０は、下位侵入検知装置が検知を行い、下位ネットワークを利用できなくなったときに、シグネチャを補完する機能をもつ侵入検知装置である。

下位侵入検知装置４１、４２、４３は、上位ネットワーク２０と下位ネットワーク５１、５２、５３との間に設けられている侵入検知装置であって、不正な通信によって、下位侵入検知装置４１、４２、４３が故障または攻撃による障害を起こしたことを検知し、上記故障または攻撃による障害を起こしたことを、上位侵入検知装置２０に知らせる侵入検知装置である。

下位ネットワーク５１、５２、５３は、それぞれ、下位侵入検知装置４１、４２、４３の監視対象となる下位ネットワークである。

図２は、侵入検知システム１００における下位侵入検知装置４１、４２、４３、４４、４５の挙動を説明する図である。

図３は、シグネチャと呼ばれる攻撃を検知するための材料を記述したデータを示す図である。

シグネチャが全部で５０個あるとすると、下位侵入検知装置４１、４２、４３、４４、４５は、それぞれ、データベースＤＢ１、ＤＢ２、ＤＢ３、ＤＢ４、ＤＢ５を有する。

侵入検知システム１００では、５０個のシグネチャを、下位侵入検知装置４１、４２、４３、４４、４５のそれぞれの内部に設けられているデータベースＤＢ１、ＤＢ２、ＤＢ３、ＤＢ４、ＤＢ５に分割して格納する。

侵入検知システム１００において、５個の下位侵入検知装置４１〜４５のそれぞれに、１０個ずつシグネチャを格納している。下位侵入検知装置４１〜４５の上位ネットワーク上に存在する上位侵入検知装置２０の内部に、それぞれ設けられているデータベース２１は、下位侵入検知装置４１〜４５の指示によって、侵入検知の代理を行う。

たとえば、シグネチャＳＧ１１〜ＳＧ２０を格納した下位侵入検知装置４２が攻撃された場合、攻撃された影響から、下位侵入検知装置４２をネットワーク上から切り離す。

上位ネットワーク上に存在する上位侵入検知装置２０の内部に設けられているデータベース２は、データベースＤＢ３の指示によって、他の下位侵入検知装置に対してシグネチャを配布するものとする。

図４は、実施例１において、侵入検知を行った後に、他の下位侵入検知装置へ配布する手順を示すフローチャートである。

たとえば、図２に示す侵入検知システム１００において、シグネチャＳＧ１１〜２０を格納した下位侵入検知装置４２が攻撃され、この攻撃に対して検知を行い、シグネチャＳＧ１５が検知できたとする。この場合、下位侵入検知装置４２は、上位ネットワーク３０上に設けられている上位侵入検知装置２０に、検知したという検知情報と検知したシグネチャとを、通知し、この通知された検知情報と検知したシグネチャとを、上位侵入検知装置２０内のデータベース２１に格納する。上位侵入検知装置２０は、下位侵入検知装置４２が検知した情報をログ２２として取ると同時に、シグネチャ１８をデータベース２１に格納する。このデータベース格納と同時に、上位侵入検知装置２０は、他の下位侵入検知装置４１、４３、４４、４５に、最新検知情報として通知する。

他の下位侵入検知装置４１、４３、４４、４５は、最新のシグネチャが自らのデータベースに格納されていることを確認し、もし格納されていなければ、上位侵入検知装置２０からシグネチャを取得し、各下位侵入検知装置内のデータベースヘ登録する。

また、各下位侵入検知装置内のデータベースにおいて格納スペースが存在しない場合は、図５に示すデータベース構造を利用して、古いシグネチャを削除することによって、格納スペースを作成する。

格納されるシグネチャを、３つのカテゴリ（区画）に分類する。

図５は、上記実施例におけるシグネチャデータベースＤＢ１の構成を示す図である。

なお、シグネチャデータベースＤＢ２〜ＤＢ５は、シグネチャデータベースＤＢ１と同様である。

シグネチャデータベースＤＢ１は、ＩＳ（Indispensable Signature）６１と、ＮＳ（New Signature）６２と、ＯＳ（Old Signature）６３という３つの区画を有する。

ＩＳ（Indispensable Signature）６１は、管理者権限を取得する攻撃や、ネットワーク機器としてその攻撃の被害に合うと致命的になる攻撃に対するシグネチャを格納する区画である。

ＮＳ（New Signature）６２は、上記ネットワーク３０上に接続されている下位侵入検知装置４１〜４５が検知した最新のシグネチャを格納する区画である。このように、最新のシグネチャを随時更新することによって、２次被害を未然に防ぐことができる。

ＯＳ（Old Signature）６３は、侵入検知システム１００の処理能力で可能なシグネチャ数から、ＩＳ６１のシグネチャ数とＮＳ６２のシグネチャ数とを引いた数だけ、シグネチャを取得し、格納する区画である。つまり、ＯＳ６３は、ＮＳ６２の中で一番古いものを格納する区画である。

各区画６１、６２、６３は、侵入検知システム１００の処理能力によって格納できるシグネチヤの数を変更することができる。ただし、格納できるシグネチャの数を決定できる優先度は、ＩＳ６１が最も高く、ＯＳ６３が最も低い。

たとえば、侵入検知システム１００の処理能力として、シグネチャを全部で１００個、格納することができ、管理者権限等に対する攻撃等の必ず検知しなければならない必須のシグネチャが３０個であるとすると、ＩＳ６１は、必須のシグネチャであるので、３０個を格納する。現在ネットワーク上で攻撃を受けている流行の攻撃が、１０種類ある場合、最新シグネチャが１０個、格納され、ＯＳ６３には、残りの６０個のシグネチャを格納する。

ただし、必須のシグネチャが増加すれば、これを優先し、追加する。この場合、ＯＳ６３の格納領域を減少させる。

次に、侵入検知システム１００、全体機能として、低リソース（シグネチャを少なく抑えた状態）で、相互間の通信によって状況に応じて行うセキュリティ対策について説明する。

図６は、侵入検知システム１００において、全体機能として、低リソース（シグネチャを少なく抑えた状態）で、相互間の通信によって状況に応じて行うセキュリティ対策の説明図である。

図６に示すネットワーク環境において、攻撃者が監視対象ネットワーク上の下位侵入検知装置４３ａに、破線で示すように、攻撃９１を与えると、シグネチャＳＧ５によって、下位侵入検知装置４３ａが、その攻撃を検知したとする。このときに、侵入検知装置２０は、監視対象ネットワークである下位ネットワーク５１、５２、５３に、検知情報とその検知を行ったシグネチャＳＧ５とを通知する。

検知情報を受けた下位侵入検知装置４１ａと下位侵入検知装置４２ａとは、その検知情報に付属しているシグネチャＳＧ５を、最新情報を格納するＮＳ６２へ追加する。このときに、下位侵入検知装置４１ａの処理量について、シグネチャ数が限度を超えた場合、最新のシグネチャＳＧ５は、ＮＳ６２へ格納され、シグネチャＳＧ５の格納以前にあった古いシグネチャＳ２は、ＯＳ６３に移動する。ＯＳ６３に格納されていたシグネチャＳＧ６が、更新履歴の中で最も古いとすると、シグネチャＳＧ６は廃棄される。

侵入検知システム１００によれば、上記相互間通信によって、最新の情報を常に持ちつつ、全体として、全てのシグネチャをカバーすることができる。

ところで、従来の下位侵入検知装置は、シグネチャ（ネットワーク上で過去に行われた犯罪を分析し、攻撃や不正なアクセスと見なせる要素を抽出した攻撃パターン）と、監視対象であるネットワーク上に流れてきた通信パケットとを、照らし合わせ、不正な通信であるか否かを判断する。従来の下位侵入検知装置において、上記シグネチャが下位侵入検知装置内のデータベース上に複数個、存在する。下位侵入検知装置は、シグネチャデータベース内のシグネチャと、１つ１つの通信パケットとを順番に照らし合わせ、通信パケットと、データベース内のシグネチャの１つとが一致した場合、そのネットワーク上を流れてきた通信パケットが不正な通信であると見なす。

監視対象であるネットワーク上に流れてきた通信パケットと、複数個のシグネチャとを照らし合わせるという下位侵入検知装置内の動作が、リソース不足の原因の１つであり、そこで、複数個存在しているシグネチャの数を減らすことによって、少ないリソースで動作させることができる。しかし、攻撃パターンであるこのシグネチャを減らすことは、従来不正な通信と見なしていた通信パケットを正常な通信であると判断する可能性がある。たとえば、従来１０００個のシグネチャと照らし合わせる下位侵入検知装置は、１０００種類の攻撃パケットを監視対象ネットワークヘ通信したときに、１０００種類の攻撃があったことを検出できるが、一方、４００個のシグネチャと照らし合わせる下位侵入検知装置は、４００種類の攻撃があったことは検出するが、残りの６００種類の攻撃は、不正な通信であるにも関わらず、正常な通信であると判断し、検出しなくなる。このことによって監視対象としているネットワークは、６００種類の攻撃が蔓延するネットワークとなってしまう。

ところが、上記実施例１では、複数の下位侵入検知装置４１〜４５と上位侵入検知装置２０とを利用し、データの並列化によって、低リソースで全種類の攻撃パターンに対応し、最新の攻撃に即座に対応することができる。

上記実施例において、下位侵入検知装置４１、４２、４３、４４、４５は、攻撃の一部しか検知することができない。そして、図２に示す場合、下位侵入検知装置４２に、１５という攻撃がされたときに、１５という攻撃が現在のトレンドとなる攻撃であると想定し、他の下位侵入検知装置４１、４３、４４、４５へブラックリスト（障害が起こった場合に得たデータと、上記攻撃を検知したときに使用したシグネチャ）を配ることによって、２次被害を防ぐことができる。

なお、上記実施例を、プログラムの発明として把握することができる。つまり、上記実施例は、外部ネットワークからの不正な通信を監視する侵入検知プログラムにおいて、上位ネットワークと下位ネットワークとの間に設けられている下位侵入検知装置が、不正な通信によって、故障または攻撃による障害を起こしたことを検知する障害検知手順と、上記下位侵入検知装置が上記障害を起こした場合、上記障害が起こった場合に得たデータと、上記攻撃を検知したときに使用したシグネチャとを、上記上位侵入検知装置に知らせる第１の障害発生通知手順と、所定の上記下位侵入検知装置が障害を起こした場合、上記所定の下位侵入検知装置以外の上記下位侵入検知装置に、上記障害が起こった場合に得たデータと、上記攻撃を検知したときに使用したシグネチャとを、上記上位侵入検知装置が知らせる第２の障害発生通知手順とをコンピュータに実施させるプログラムの例である。

また、上記プログラムを、ＦＤ、ＣＤ、ＤＶＤ、ＨＤ、半導体メモリ等の記録媒体に記録するようにしてもよい。

本発明の実施例１である侵入検知システム１００を示す図である。 侵入検知システム１００における下位侵入検知装置４１、４２、４３、４４、４５の挙動を説明する図である。 シグネチャと呼ばれる攻撃を検知するための材料を記述したデータを示す図である。 実施例１において、侵入検知を行った後に、他の下位侵入検知装置へ配布する手順を示すフローチャートである。 上記実施例におけるシグネチャデータベースＤＢ１の構成図である。 侵入検知システム１００において、全体機能として、低リソースで、相互間の通信によって状況に応じて行うセキュリティ対策の説明図である。 従来の下位侵入検知装置５００を示す図である。

符号の説明

１０…外部ネットワーク、
２０…上位侵入検知装置、
２１…データベース、
２２…ログデータベース、
３０…上位ネットワーク、
４１〜４５…下位侵入検知装置、
５１〜５３…下位ネットワーク、
６１…ＩＳ（Indispensable Signature）、
６２…ＮＳ（New Signature）、
６３…ＯＳ（Old Signature）。

Claims (2)

1. 上位ネットワークと複数の下位ネットワークとで構成されるネットワークに接続され、外部ネットワークからの不正な通信を監視する侵入検知システムであって、
   上記外部ネットワークと上記上位ネットワークとの間に設けられる上位侵入検知装置と、上記上位ネットワークとそれぞれの下位ネットワークとの間に設けられる複数の下位侵入検知装置とで構成され、
   上記上位侵入検知装置は、
   所定の下位侵入検知装置から、攻撃による障害を起こした場合に得たデータと攻撃を検知したときに使用したシグネチャとを受け取る手段と；
   上記受け取ったデータとシグネチャとを、上記所定の下位侵入検知装置を除く上記下位侵入検知装置に知らせる手段と；
   を備え、
   上記下位侵入検知装置は、
   シグネチャを下位侵入検知装置間で分割して保持する手段と；
   攻撃による障害を起こした場合に得たデータと、上記攻撃を検知したときに使用したシグネチャとを、上記上位侵入検知装置に知らせる手段と；
   他の下位侵入検知装置で攻撃による障害を起こした場合のデータとシグネチャとを、上記上位侵入検知装置から受け取り、受け取ったシグネチャを上記保持する手段に登録する手段と；
   を備えることを特徴とする侵入検知システム。
2. 請求項１に記載の侵入検知システムを構成する各手段としてコンピュータを機能させるプログラムを記録したコンピュータ読取可能な記録媒体。

Images