JP4319585B2

JP4319585B2 - 被害拡散防止システム及びパケット転送装置及びパケット収集分析装置及びプログラム

Info

Publication number: JP4319585B2
Application number: JP2004178419A
Authority: JP
Inventors: 徹稲田; 忍後沢; 明子豊国
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2004-06-16
Filing date: 2004-06-16
Publication date: 2009-08-26
Anticipated expiration: 2024-06-16
Also published as: JP2006005555A

Description

本発明は、端末からの入力パケットを、あらかじめ登録された登録済み端末リストと照会し、安全性の確認されていないパケットをエンカプセルしてパケット収集分析装置に転送し、そこで、安全性が確認されたパケットのみ、再度、エンカプセルし、パケット転送装置へ返信することにより、グローバルアドレス空間のサーバを介したウィルス被害の拡大を防止するとともに、ローカルアドレス空間内に閉じた企業内直接感染の防止も可能とする被害拡散防止システムに関する。

企業内でコンピュータウィルス感染が広がるケースとして注目されているケースが、自宅へ持ち帰ったノートＰＣなどのいわゆる未対策端末（ＯＳ、アプリケーションのパッチプログラムのインストールやウィルス対策プログラムのパターンファイルの更新が行われているかが不明の端末）からの感染である。未対策端末からの感染パターンとしては、大きく以下の２つの感染パターンがある。

一つ目は、間接感染で、これは、公開メールサーバなどのサーバを介して感染するパターンである。もう一つが、直接感染で、感染源の端末から社内網などを使って他の端末やサーバに直接的に被害を拡大するパターンである。

一方、企業ネットワークは、ＩＰアドレス体系的に、グローバルＩＰアドレスを使用するグローバル空間とローカルＩＰアドレスを使用するローカル空間に一般的には分離されている。

前述した、感染パターンとＩＰアドレス空間の関係を示すと、例外もあるが、大まかには、間接感染はグローバル空間を介した感染、直接感染は、ローカル空間に閉じた感染と言うことができる。

間接感染を防御する技術として特開２００２−３５８２５３号公報に示されたようにＰＣなどの端末からのデータをグローバル空間上に置いたセキュリティサーバに転送し、内容をチェックし、感染データでないことを確認してから、セキュリティサーバより本来のあて先へ転送する技術が知られている。

特開２００２−３５８２５３号公報に示された技術では、グローバル空間を介した間接感染を防止することは可能であるが、ローカル空間に閉じた直接感染を防止することは、以下の理由により不可能であった。

特開２００２−３５８２５３号公報に示された技術では、グローバル空間上のセキュリティサーバにパケットをエンカプセルして転送し、セキュリティサーバでウィルスチェックを実施した後、エンカプセルヘッダをデカプセルした後の本来のあて先にパケットを送信している。
間接感染の場合は、通常、デカプセルした後の本来のあて先ＩＰアドレスは、グローバルＩＰアドレスであり、セキュリティサーバと同じグローバル空間のアドレスであるため、セキュリティサーバからの転送は可能である。

しかし、デカプセルした後の本来のあて先ＩＰアドレスがローカル空間のＩＰアドレスである直接感染の場合は、グローバル空間上のセキュリティサーバからローカル空間あてのＩＰアドレスを持つパケットを転送することになり、転送そのものが不可能となってしまう。つまり、特開２００２−３５８２５３号公報に示された技術の場合、本来のあて先ＩＰアドレスと同じＩＰアドレス空間にセキュリティサーバが存在する感染のみ防御可能である。

また、特開２００２−３５８２５３号公報に示された技術では、セキュリティセンタで感染チェックするパケットをプロトコルにより決定していたが、本来、感染活動は、ＰＣなどの端末のＯＳやアプリケーションのセキュリティホールを利用するものであり、通常、パッチプログラムやウィルスチェックプログラムのパターンファイルにより感染活動そのものを防止するようになっている。つまり、パッチプログラムやパターンファイルが最新のものに更新されている端末（対策済み端末と呼ぶ）の場合、感染活動を行わないケースがほとんどであり、一般にこれらの対策の行き届いたといわれる企業内の端末においては、セキュリティサーバの負荷のほとんどは、正常のパケットであるというケースが容易に想像できる。

特開２００２−３５８２５３号公報に示された技術の構成の場合、感染の有無にかかわらず、チェック対象プロトコルに指定されたパケットは全てセキュリティサーバを介して転送されることになるため、セキュリティサーバの負荷によっては、通信遅延が増大するという欠点がある。
特開２００２−３５８２５３号公報

この発明は上記のような問題点を解決するためになされたもので、間接感染と同時に直接感染を防止するとともに、対策済み端末のデータベースと連動することにより、必要な端末からのデータ、つまり未対策端末からのデータのみ感染チェックを行うことにより、センタでの感染チェック負荷を減らし、システム全体の効率を向上することを目的とする。

本発明に係る被害拡散防止システムは、
ローカル空間で端末と接続しているパケット転送装置と、グローバル空間で当該パケット転送装置と接続しているパケット収集分析装置とからなる被害拡散防止システムであって、
パケット転送装置は、
（１）端末からパケットを受信するローカル側パケット受信部と、
（２）受信したパケットの送信元の端末が、セキュリティ対策済みであるかを判定する端末対策判定部と、
（３）送信元の端末がセキュリティ対策済みでない場合に、当該パケットをパケット収集分析装置宛てにエンカプセルするエンカプセル部と、
（４）エンカプセルしたパケットをグローバル空間へ送出するグローバル側パケット送信部とを有し、
パケット収集分析装置は、
（５）グローバル空間からパケットを受信するパケット受信部と、
（６）受信したパケットをデカプセルして、オリジナルのパケットを得るデカプセル部と、
（７）オリジナルのパケットが安全であるかを判定するパケット分析機能部と、
（８）安全であるオリジナルのパケットを、送信元であったパケット転送装置宛てにエンカプセルするエンカプセル部と、
（９）エンカプセルしたパケットをグローバル空間へ送出するパケット送信部とを有し、
パケット転送装置は、
（１０）グローバル空間からパケットを受信するグローバル側パケット受信部と、
（１１）受信したパケットをデカプセルして、オリジナルのパケットを得るデカプセル部と、
（１２）オリジナルのパケットを、オリジナルの送信先へ送信するローカル側パケット送信部とを有することを特徴する。

本発明においては、グローバルアドレス空間のサーバを介したウィルス被害の拡大を防止するとともに、ローカルアドレス空間内に閉じた企業内直接感染の防止も可能となる。

実施の形態１．
以下本発明を図面に示す実施例に基づいて説明する。図１は、本発明のシステム構成図である。通常の企業網は、インターネットなど広域網４に接続された複数の企業ネットワーク５とネットワーク管理センタとで構成される。ネットワーク管理センタは、例えば、本社のような企業ネットワーク５の一部に置かれるケースもある。また、規模によっては、各企業ネットワーク５内にネットワーク管理センタが設置されるようなケースも考えられる。

本発明は、企業ネットワーク５に置かれたパケット転送装置２とネットワーク管理センタに置かれたパケット収集分析装置３によって実現される。パケット転送装置２は、企業ネットワーク５のローカルセグメントごとに設置される。ローカルセグメントとは、比較的少数の端末１のグループであり、企業の組織を例にとると、部単位、課単位、係単位などとなる。ローカルセグメントは、万一、感染被害が発生した場合の隔離単位でもあるため、なるべく、細かい単位にしておいた方が、感染被害は少なくなる。

なお、企業ネットワーク５のセキュリティ管理は、本発明のシステム以外にもフィアウォール、ＩＤＳ（侵入検知システム）、アップデート監視システム（社内の端末のソフトウェアやウィルス監視プログラムが最新版にアップデートされているかを管理するシステム）など様々なシステムが必要に応じて運用されているのが一般的である。

図２は、パケット転送装置の内部ブロック構成図である。パケット精査機能部２１は、ローカルセグメントから受信したパケットをパケット収集分析装置３に転送するかどうかを精査する機能である。精査は、受信パケットを対策済み端末リストと照合することによって実施する。なお、本機能の目的は、パケット収集分析装置３にパケットを転送するかどうかの決定と共に、なるべくパケット収集分析装置３へ無駄なパケットを転送しないという目的があるため、対策済み端末リストの内容は、その時の脅威によって照合箇所が変わってくる。例えば、ＯＳに基本的な欠陥があるような場合では、そのＯＳを使用する端末１を特定するための情報（送信元ＩＰアドレス）と照合し、あるプロトコルに欠陥があるような場合は、送信元ＩＰアドレスとそのパケットのプロトコルと照合を行う。基本的には、詳細な照合を行えば行うほどパケット収集分析装置３へ転送するパケットの数は減る。

パケット転送機能部２３は、後述するパケット収集分析装置３へパケットを転送するための機能を有し、パケット収集分析装置３のパケット転送機能部３１とペアで動作する機能を有する。パケット精査機能部２１により、パケット収集分析装置３へ転送されることが決定したパケットは、パケット転送機能部２３において、エンカプセル処理が施される。エンカプセル処理前後のパケットフォーマットを図４に示す。図４は、簡略化のため、ＩＰヘッダを構成するパラメータのうち、本発明に関連する部分のみ記述してある。

図３は、パケット収集分析装置の内部ブロック構成図である。パケット転送機能部３１は、前述のパケット転送装置２のパケット転送機能部２３のペアとなる機能で、転送されてきたパケットのデカプセル処理、および安全と判断され、パケット転送装置２へ再転送（送り返される）されるパケットのエンカプセル処理を実施する。パケット分析機能部３２は、パケット転送装置２より転送されてきたパケットのオリジナルデータの分析を行う機能を有し、この分析によって安全であると判断されたパケットは、パケット転送機能部３１を介して、パケット転送装置２へ返信される。

対策済み端末データベース部３４は、あるインシデントに対して、対策済みである端末１のデータベースである。例えば、ＯＳの最新パッチがインストール済みである端末１のデータベースなどが該当し、このデータベースの情報は、アップデート用のサーバなどから入手するものである。企業内の端末１は、パッチ配布から一定期間経過後は、一般に最新パッチがインストールされているため、本データベースに登録されることになる。逆に、発生直後のインシデントで、対策用のパッチプログラムの配布が行われていない場合は、対策済み端末１のデータベースの登録数は０となる。また、社内へ持ち込んだ個人ＰＣなどは、このデータベースに登録されていないことから割り出しが可能となる。

パケット転送装置管理機能部３３は、パケット転送装置２の動作を管理する機能を有し、前述した対策済み端末データベース部３４の最新情報をパケット転送装置２へ通知する役割を持っている。本機能からの通知によって、パケット転送装置２の対策済み端末リストが更新され、分析の必要なパケットのみ、パケット収集分析装置３へ転送される動作が実現する。

実施の形態２．
図を用いて、新たなインシデントが発生した場合のシステムの動作を説明する。図５は、インターネットを介して構成された企業ネットワーク５の例で、企業ネットワーク５内部は、ローカルアドレスが使用されており、インターネットとの接続点においてＮＡＴ（ローカルアドレスからグローバルアドレスへの変換）が行われているものとする。よって、端末Ａ〜Ｄおよびパケット転送装置Ｅ、サーバＳは企業内ネットワークのローカルアドレスＡ〜Ｄ、Ｅ、Ｓを持ち、パケット収集分析装置３は、グローバルアドレスαを持っている。また、端末Ａ〜Ｄのうち、Ｄ以外の端末はインシデントに対する最新のパッチがあたっているので、パケット転送装置Ｅの対策済み端末リストに登録されている。

ここで、端末ＤからサーバＳへの通信を例にとって動作を説明する。図６は、パケット精査による転送処理に係る詳細な構成図である。図７は、パケット精査による転送処理フローを示す図である。

パケット転送装置Ｅのローカル側パケット受信部６１でローカル側からパケットを受信すると（Ｓ７０１）、端末対策判定部６２で対策済み端末リストと比較する（Ｓ７０２）。端末Ｄは、端末リストに登録されていないため、パケット転送装置Ｅのパケット転送機能部２３のエンカプセル部６４でエンカプセルされ（Ｓ７０４）、グローバル側パケット送信部６５よりパケット収集分析装置３へ転送される（Ｓ７０５）。このときのパケットフォーマットは、図８の通りである。

パケット転送装置Ｅから送信された図８のパケットは、インターネット接続点でエンカプセルヘッダ内のローカルアドレスＥをグローバルアドレスＧに変換された後、パケット収集分析装置３へ転送される。パケット収集分析装置３の受信するパケットフォーマットを図９に示す。

図１０は、パケット収集分析装置の詳細な構成図である。図１１は、パケット収集分析装置の処理フローを示す図である。パケット受信部１０１で、エンカプセルパケットを受信したパケット収集分析装置３では、デカプセル部１０２でパケットをデカプセルし（Ｓ１１０２）、パケット分析機能部３２でオリジナルパケットのデータを分析する（Ｓ１１０３）。分析結果が危険であった場合には、パケットを廃棄し（Ｓ１１０６）、安全であった場合には、エンカプセル部１０３でエンカプセル処理を実施し（Ｓ１１０４）、パケット送信部１０４よりパケット転送装置Ｅへパケットを返信する（Ｓ１１０５）。この時のパケットフォーマットを図１２に示す。

パケット分析収集装置からのエンカプセルパケットは、インタネット接続点でＮＡＴにより、あて先であるパケット転送装置ＥのグローバルアドレスＧをローカルアドレスＥに変換された後、パケット転送装置Ｅに到着する。

図１３は、安全なパケットの転送処理に関する構成を示す図である。図１４は、安全なパケットの転送処理フローを示す図である。グローバル側パケット受信部１３１によりグローバル側からパケットを受信したパケット転送装置Ｅは、デカプセル部１３２でパケットをデカプセルし（Ｓ１４０２）、ローカル側パケット送信部１３３よりサーバＳ側のポートに送信する（Ｓ１４０３）。このとき、パケット転送装置からサーバＳに送信されるパケットは、図１５に示すように、最初に端末Ｄからパケット転送装置が受信したパケットと同じものとなる。なお、図８、図９、図１２、及び図１５のパケットフォーマットは、本発明に関係する部分のみ記述してあり、例えば、ＭＡＣヘッダなどは省略している。

パケット収集分析装置３からのパケットを、一度パケット転送装置へ戻すことにより、ローカルアドレス空間内の直接感染の疑いのあるパケットについても安全性を確認した上で、転送することが可能となる。

なお、本シーケンスは、パケット転送装置の対策済み端末リストに登録されていない端末１全てに適用されるため、対策済み端末リストの内容を変化させることにより、自宅からの持込ＰＣ（社内ＰＣを対策済み端末リストに登録）や、修正プログラムのリリースされていない攻撃（対策済み端末リストの登録を全てなくし、全通の安全性をパケット収集分析装置３で検査する）にも容易に対応可能となる。

実施の形態３．
パケット収集分析装置で、分析結果が危険であった場合に、警告パケットを返信することも有効である。図１６は、実施の形態３に係るパケット収集分析装置の構成図である。図１７は、実施の形態３に係るパケット収集分析装置の処理フローを示す図である。

図に示すように、パケット分析機能部３２で危険と判断した場合に（Ｓ１７０３）、警告パケットを生成し（Ｓ１７０６）、エンカプセルし（Ｓ１７０４）、パケット転送装置へ返信する（Ｓ１７０５）。

このように動作することにより、パケット転送装置側で、転送したパケットが危険であったことを認識することができる。

尚、パケット転送装置及びパケット収集分析装置は、コンピュータであり、各要素はプログラムにより処理を実行することができる。また、プログラムを記憶媒体に記憶させ、記憶媒体からコンピュータに読み取られるようにすることができる。

図１８は、パケット転送装置及びパケット収集分析装置装置のハードウエア構成例を示す図である。バスに、演算装置１８０１、データ記憶装置１８０２、メモリ１８０３、通信インターフェース１８０４が接続されている。データ記憶装置１８０２は、例えばＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）やハードディスクである。メモリ１８０３は、通常ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）である。

プログラムは、通常データ記憶装置１８０２に記憶されており、メモリ１８０３にロードされた状態で、順次演算装置１８０１に読み込まれ処理を行う。

本発明のシステム構成図である。パケット転送装置の内部ブロック構成図である。パケット収集分析装置の内部ブロック構成図である。エンカプセル処理前後のパケットフォーマットを示す図である。インターネットを介して構成された企業ネットワークの例を示す図である。パケット精査による転送処理に係る詳細な構成図である。パケット精査による転送処理フローを示す図である。パケット収集分析装置へ転送されるパケットフォーマットを示す図である。パケット収集分析装置で受信するパケットフォーマットを示す図である。パケット収集分析装置の詳細な構成図である。パケット収集分析装置の処理フローを示す図である。パケット転送装置へ返信するパケットフォーマットを示す図である。安全なパケットの転送処理に関する構成を示す図である。安全なパケットの転送処理フローを示す図である。サーバＳに送信されるパケットフォーマットを示す図である。実施の形態３に係るパケット収集分析装置の構成図である。実施の形態３に係るパケット収集分析装置の処理フローを示す図である。パケット転送装置及びパケット収集分析装置装置のハードウエア構成例を示す図である。

符号の説明

１端末、２パケット転送装置、３パケット収集分析装置、４広域網、５企業ネットワーク、２１パケット精査機能部、２２対策済み端末リスト記憶部、２３パケット転送機能部、３１パケット転送機能部、３２パケット分析機能部、３３パケット転送装置管理機能部、３４対策済み端末データベース部、６１ローカル側パケット受信部、６２端末対策判定部、６３ローカル側パケット送信部、６４エンカプセル部、６５グローバル側パケット送信部、１０１パケット受信部、１０２デカプセル部、１０３エンカプセル部、１０４パケット送信部、１３１グローバル側パケット受信部、１３２デカプセル部、１３３ローカル側パケット送信部。

Claims

ローカル空間で端末と接続しているパケット転送装置と、グローバル空間で当該パケット転送装置と接続しているパケット収集分析装置とからなる被害拡散防止システムであって、
パケット転送装置は、
（１）端末からパケットを受信するローカル側パケット受信部と、
（２）受信したパケットの送信元の端末が、セキュリティ対策済みであるかを判定する端末対策判定部と、
（３）送信元の端末がセキュリティ対策済みでない場合に、当該パケットをパケット収集分析装置宛てにエンカプセルするエンカプセル部と、
（４）エンカプセルしたパケットをグローバル空間へ送出するグローバル側パケット送信部とを有し、
パケット収集分析装置は、
（５）グローバル空間からパケットを受信するパケット受信部と、
（６）受信したパケットをデカプセルして、オリジナルのパケットを得るデカプセル部と、
（７）オリジナルのパケットが安全であるかを判定するパケット分析機能部と、
（８）安全であるオリジナルのパケットを、送信元であったパケット転送装置宛てにエンカプセルするエンカプセル部と、
（９）エンカプセルしたパケットをグローバル空間へ送出するパケット送信部とを有し、
パケット転送装置は、
（１０）グローバル空間からパケットを受信するグローバル側パケット受信部と、
（１１）受信したパケットをデカプセルして、オリジナルのパケットを得るデカプセル部と、
（１２）オリジナルのパケットを、オリジナルの送信先へ送信するローカル側パケット送信部とを有することを特徴する被害拡散防止システム。
パケット分析機能部は、オリジナルのパケットが安全でない場合に、当該パケットを廃棄することを特徴とする請求項１記載の被害拡散防止システム。
パケット分析機能部は、オリジナルのパケットが安全でない場合に、オリジナルのパケットが安全でない旨を伝える警告パケットを生成し、
エンカプセル部は、警告パケットを、送信元のパケット転送装置宛てにエンカプセルし、
パケット送信部は、エンカプセルしたパケットをグローバル空間へ送出することを特徴とする請求項１記載の被害拡散防止システム。
ローカル空間で端末と接続し、グローバル空間でパケット収集分析装置と接続するパケット転送装置であって、以下の要素を有することを特徴とするパケット転送装置
（１）端末からパケットを受信するローカル側パケット受信部
（２）受信したパケットの送信元の端末が、セキュリティ対策済みであるかを判定する端末対策判定部
（３）送信元の端末がセキュリティ対策済みでない場合に、当該パケットをパケット収集分析装置宛てにエンカプセルするエンカプセル部
（４）エンカプセルしたパケットをグローバル空間へ送出するグローバル側パケット送信部
（５）グローバル空間からパケットを受信するグローバル側パケット受信部
（６）受信したパケットをデカプセルして、オリジナルのパケットを得るデカプセル部
（７）オリジナルのパケットを、オリジナルの送信先へ送信するローカル側パケット送信部。
グローバル空間でパケット転送装置と接続しているパケット収集分析装置であって、以下の要素を有することを特徴とするパケット収集分析装置
（１）グローバル空間からパケットを受信するパケット受信部
（２）受信したパケットをデカプセルして、オリジナルのパケットを得るデカプセル部
（３）オリジナルのパケットが安全であるかを判定するパケット分析機能部
（４）安全であるオリジナルのパケットを、送信元であったパケット転送装置宛てにエンカプセルするエンカプセル部
（５）エンカプセルしたパケットをグローバル空間へ送出するパケット送信部。
ローカル空間で端末と接続し、グローバル空間でパケット収集分析装置と接続するパケット転送装置となるコンピュータに、以下の手順を実行させるためのプログラム
（１）端末からパケットを受信する手順
（２）受信したパケットの送信元の端末が、セキュリティ対策済みであるかを判定する手順
（３）送信元の端末がセキュリティ対策済みでない場合に、当該パケットをパケット収集分析装置宛てにエンカプセルする手順
（４）エンカプセルしたパケットをグローバル空間へ送出する手順
（５）グローバル空間からパケットを受信する手順
（６）受信したパケットをデカプセルして、オリジナルのパケットを得る手順
（７）オリジナルのパケットを、オリジナルの送信先へ送信する手順。
グローバル空間でパケット転送装置と接続しているパケット収集分析装置なるコンピュータに、以下の手順を実行させるためのプログラム
（１）グローバル空間からパケットを受信する手順
（２）受信したパケットをデカプセルして、オリジナルのパケットを得る手順
（３）オリジナルのパケットが安全であるかを判定する手順
（４）安全であるオリジナルのパケットを、送信元であったパケット転送装置宛てにエンカプセルする手順
（５）エンカプセルしたパケットをグローバル空間へ送出する手順。