JP4434053B2

JP4434053B2 - 不正侵入検知装置

Info

Publication number: JP4434053B2
Application number: JP2005081124A
Authority: JP
Inventors: 聡五百蔵; 秀己永島
Original assignee: Yokogawa Electric Corp
Current assignee: Yokogawa Electric Corp
Priority date: 2004-08-10
Filing date: 2005-03-22
Publication date: 2010-03-17
Anticipated expiration: 2025-03-22
Also published as: JP2006079587A

Description

本発明は、インターネットからの不正アクセスなどを検知するＩＤＳ（Intrusion Detection System：以下、不正侵入検知装置と呼ぶ。）に関し、特に同一パケットの場合には伝播経路に関わりなく１つのログ情報として処理する不正侵入検知装置に関する。

従来のインターネットからの不正アクセスなどを検知する不正侵入検知装置に関連する先行技術文献としては次のようなものがある。

特開平１１−２８２８０３号公報特開２００１−１８４２３５号公報特開２００１−３５６９３９号公報特開２００３−０６７２６９号公報特開２００３−２０４３５８号公報特開２００５−０３８１１６号公報

図１２はこのような従来の不正侵入検知装置を用いたネットワークシステムの一例を示す構成ブロック図である。図１２において１はクライアントであるコンピュータ、２はコンピュータ１に代わってサーバにサービスの提供を要求等するプロキシサーバ、３はサービスの提供等を行うサーバ、４は不正アクセスなどを検知する不正侵入検知手段、５はハードディスク等の記憶手段、１００はインターネットやＬＡＮ（Local Area Network）等の汎用のネットワークである。また、不正侵入検知手段４及び記憶手段５は不正侵入検知装置５０を構成している。

コンピュータ１はネットワーク１００に相互に接続され、プロキシサーバ２及びサーバ３もまたネットワーク１００に相互に接続される。また、不正侵入検知手段４はネットワーク１００に相互に接続されると共にログ情報出力が記憶手段５に接続される。

ここで、図１２に示す従来例の動作を図１３、図１４及び図１５を用いて説明する。図１３は不正侵入検知手段４の動作を説明するフロー図、図１４及び図１５はパケット等の情報の流れを説明する説明図である。

図１３中”Ｓ００１”において不正侵入検知手段４は、ネットワーク１００上を伝播する通信（パケット）を監視すると共に不正な通信（パケット）を受信したか否かを判断し、もし、不正な通信（パケット）を受信したと判断した場合には、図１３中”Ｓ００２”において不正侵入検知手段４は、不正な通信（パケット）に関する受信時刻、送信元ＩＰ（Internet Protocol）アドレス、送信先ＩＰ（Internet Protocol）アドレス等のログ情報を記憶手段５に記録する。

例えば、不正侵入検知手段４は、図１４中”ＰＣ０１”に示すようなコンピュータ１からプロキシサーバ２への不正な通信（パケット）を図１４中”ＣＰ０１”に示すように受信したと判断した場合には、図１４中”ＳＬ０１”に示すような受信した不正な通信（パケット）の受信時刻、送信元ＩＰアドレス、送信先ＩＰアドレス等のログ情報を記憶手段５に記録する。

また、例えば、不正侵入検知手段４は、図１５中”ＰＣ１１”に示すようなプロキシサーバ２からサーバ３への不正な通信（パケット）を図１５中”ＣＰ１１”に示すように受信したと判断した場合には、図１５中”ＳＬ１１”に示すような受信した不正な通信（パケット）の受信時刻、送信元ＩＰアドレス、送信先ＩＰアドレス等のログ情報を記憶手段５に記録する。

この結果、不正侵入検知手段４がネットワーク１００上を伝播する通信（パケット）を監視すると共に不正な通信（パケット）を受信したか否かを判断し、もし、不正な通信（パケット）を受信したと判断した場合に受信した不正な通信（パケット）の受信時刻、送信元ＩＰアドレス、送信先ＩＰアドレス等のログ情報を記憶手段５に記録することにより、ネットワークを伝播する不正な通信（パケット）のログ情報を収集蓄積することが可能になる。

しかし、図１２に示す従来例では、コンピュータ１からの不正な通信（パケット）は、プロキシサーバ２を介してサーバ３に送信されるため、ログ情報としては、図１４中”ＰＣ０１”に示す不正な通信（パケット）に関するログ情報と図１５中”ＰＣ１１”に示す不正な通信（パケット）に関するログ情報との２つのログ情報が記録されることになる。

すなわち、内容的に同一の通信（同一パケット）であっても伝播経路によっては、内容的に同一の通信（同一パケット）に関するログ情報が重複して記録されてしまうことになり、記録蓄積されるログ情報の情報量が膨大になってしまうといった問題点があった。
従って本発明が解決しようとする課題は、同一パケットの場合には伝播経路に関わりなく１つのログ情報として処理する不正侵入検知装置を実現することにある。

このような課題を達成するために、本発明のうち請求項１記載の発明は、
不正アクセスを検知する不正侵入検知装置において、
ネットワーク上を伝播する通信を監視すると共に不正な通信を受信した場合には不正な通信に関するログ情報を収集し、収集したログ情報を解析して、２つのログ情報の記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であり、２つのログ情報の送信元と送信先のノードが同一であり、且つ、同一パケットである場合に、当該２つのログ情報を統合して１つのログ情報として記録する処理手段を備えたことにより、同一パケットの場合には伝播経路に関わりなく１つのログ情報として処理することが可能になる。また、同一パケットを２つのログ情報として重複して記録させることがないので、ログ情報解析時のネットワークの状態を正確に把握でき、不必要のログ情報の削除により記録されるログ情報の量を低減させることが可能になる。

請求項２記載の発明は、
請求項１記載の発明である不正侵入検知装置において、
前記処理手段が、
ネットワーク上を伝播する通信を監視すると共に不正な通信を受信した場合には不正な通信に関するログ情報を収集する不正侵入検知手段と、記録手段と、収集した前記ログ情報を解析して、２つのログ情報の記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であり、２つのログ情報の送信元と送信先のノードが同一であり、且つ、同一パケットである場合に、当該２つのログ情報を１つのログ情報として統合して前記記憶手段に記録するログ情報集約手段とから構成されたことにより、同一パケットの場合には伝播経路に関わりなく１つのログ情報として処理することが可能になる。また、同一パケットを２つのログ情報として重複して記録させることがないので、ログ情報解析時のネットワークの状態を正確に把握でき、不必要のログ情報の削除により記録されるログ情報の量を低減させることが可能になる。

請求項３記載の発明は、
請求項２記載の発明である不正侵入検知装置において、
前記不正侵入検知手段が、
前記ネットワーク上を伝播する通信を監視すると共に不正な通信を受信したと判断した場合に、不正な通信に関するログ情報を前記ログ情報集約手段に出力することにより、同一パケットの場合には伝播経路に関わりなく１つのログ情報として処理することが可能になる。また、同一パケットを２つのログ情報として重複して記録させることがないので、ログ情報解析時のネットワークの状態を正確に把握でき、不必要のログ情報の削除により記録されるログ情報の量を低減させることが可能になる。

請求項４記載の発明は、
請求項２記載の発明である不正侵入検知装置において、
前記ログ情報集約手段が、
前記不正侵入検知手段から入力されるログ情報を解析すると共に記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であるか否かを判断し、記録時刻がネットワークの負荷状況に応じて予め設定されている値以内でないと判断した場合には前記ログ情報を前記記憶手段に記録し、記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であると判断した場合には２つのログ情報の送信元と送信先のノードが同一であるか否かを判断し、２つのログ情報の送信元と送信先のノードが同一ではないと判断した場合には前記ログ情報を前記記憶手段に記録し、２つのログ情報の送信元と送信先のノードが同一であると判断した場合には通信プロトコルに基づきパケットの同一性を解析すると共に通信プロトコルに基づくパケット解析により同一パケットであるか否かを判断し、同一パケットではないと判断した場合には前記ログ情報を前記記憶手段に記録し、同一パケットであると判断した場合には当該２つのログ情報を１つのログ情報として統合すると共に統合したログ情報を前記記憶手段に記録することにより、同一パケットの場合には伝播経路に関わりなく１つのログ情報として処理することが可能になる。また、同一パケットを２つのログ情報として重複して記録させることがないので、ログ情報解析時のネットワークの状態を正確に把握でき、不必要のログ情報の削除により記録されるログ情報の量を低減させることが可能になる。

請求項５記載の発明は、
不正アクセスを検知する不正侵入検知装置において、
ネットワーク上を伝播する通信を複数の地点で監視すると共に不正な通信を受信した場合には不正な通信に関するログ情報を収集し、複数の地点で収集したログ情報を解析して、２つのログ情報の記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であり、２つのログ情報の送信元の情報が同一で、且つ、送信先の情報が同一である場合に、当該２つのログ情報を１つのログ情報として統合して記録する処理手段を備えたことにより、単一のパケットの伝播であっても複数の不正侵入検知手段で重複して記録されてしまうことを防止できる。同一パケットを２つのログ情報として重複して記録させることがないので、ログ情報解析時のネットワークの状態を正確に把握でき、不必要のログ情報の削除により記録されるログ情報の量を低減させることが可能になる。

請求項６記載の発明は、
請求項５記載の発明である不正侵入検知装置において、
前記処理手段が、
ネットワーク上を伝播する通信を複数の地点で監視すると共に不正な通信を受信した場合には不正な通信に関するログ情報を収集する複数の不正侵入検知手段と、記録手段と、複数の地点で収集した前記ログ情報を解析して、２つのログ情報の記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であり、２つのログ情報の送信元の情報が同一で、且つ、送信先の情報が同一である場合に、当該２つのログ情報を１つのログ情報として統合して前記記憶手段に記録するログ情報集約手段とから構成されたことにより、単一のパケットの伝播であっても複数の不正侵入検知手段で重複して記録されてしまうことを防止できる。同一パケットを２つのログ情報として重複して記録させることがないので、ログ情報解析時のネットワークの状態を正確に把握でき、不必要のログ情報の削除により記録されるログ情報の量を低減させることが可能になる。

請求項７記載の発明は、
請求項６記載の発明である不正侵入検知装置において、
前記複数の不正侵入検知手段が、
前記ネットワーク上を伝播する通信を監視すると共に不正な通信を受信したと判断した場合に、不正な通信に関するログ情報を前記ログ情報集約手段に出力することにより、単一のパケットの伝播であっても複数の不正侵入検知手段で重複して記録されてしまうことを防止できる。同一パケットを２つのログ情報として重複して記録させることがないので、ログ情報解析時のネットワークの状態を正確に把握でき、不必要のログ情報の削除により記録されるログ情報の量を低減させることが可能になる。

請求項８記載の発明は、
請求項６記載の発明である不正侵入検知装置において、
前記ログ情報集約手段が、
前記不正侵入検知手段から入力されるログ情報を解析すると共に記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であるか否かを判断し、
記録時刻がネットワークの負荷状況に応じて予め設定されている値以内でないと判断した場合には前記ログ情報を前記記憶手段に記録し、記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であると判断した場合には２つのログ情報の送信元の情報が同一であるか否かを判断し、２つのログ情報の送信元の情報が同一ではないと判断した場合には前記ログ情報を前記記憶手段に記録し、２つのログ情報の送信元の情報が同一であると判断した場合には２つのログ情報の送信先の情報が同一であるか否かを判断し、２つのログ情報の送信先の情報が同一ではないと判断した場合には前記ログ情報を前記記憶手段に記録し、２つのログ情報の送信先の情報が同一であると判断した場合には当該２つのログ情報を１つのログ情報として統合すると共に統合したログ情報を前記記憶手段に記録することにより、単一のパケットの伝播であっても複数の不正侵入検知手段で重複して記録されてしまうことを防止できる。同一パケットを２つのログ情報として重複して記録させることがないので、ログ情報解析時のネットワークの状態を正確に把握でき、不必要のログ情報の削除により記録されるログ情報の量を低減させることが可能になる。

本発明によれば次のような効果がある。
請求項１，２，３及び請求項４の発明によれば、ネットワーク上を伝播する通信を監視すると共に不正な通信を受信した場合には不正な通信に関するログ情報を収集し、収集したログ情報を解析して、２つのログ情報の記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であり、２つのログ情報の送信元と送信先の同一ノードであり、且つ、同一パケットである場合に、当該２つのログ情報を１つのログ情報として統合して記録することにより、同一パケットの場合には伝播経路に関わりなく１つのログとして処理することが可能になる。また、同一パケットを２つのログ情報として重複して記録させることがないので、ログ解析時のネットワークの状態を正確に把握でき、不必要のログ情報の削除により記録されるログ情報の量を低減させることが可能になる。

また、請求項５，６，７及び請求項８の発明によれば、ログ情報集約手段が、複数の不正侵入検知手段がそれぞれ収集したログ情報を解析して、２つのログ情報の記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であり、２つのログ情報の送信元の情報が同一で、且つ、送信先の情報が同一である場合に、当該２つのログ情報を１つのログ情報として統合して記憶手段に記録することにより、単一のパケットの伝播であっても複数の不正侵入検知手段で重複して記録されてしまうことを防止できる。また、同一パケットを２つのログ情報として重複して記録させることがないので、ログ情報解析時のネットワークの状態を正確に把握でき、不必要のログ情報の削除により記録されるログ情報の量を低減させることが可能になる。

以下本発明を図面を用いて詳細に説明する。図１は本発明に係る不正侵入検知装置を用いたネットワークシステムの一実施例を示す構成ブロック図である。

図１において６はクライアントであるコンピュータ、７はコンピュータ６に代わってサーバにサービスの提供を要求等するプロキシサーバ、８はサービスの提供等を行うサーバ、９は不正アクセスなどを検知する不正侵入検知手段、１０は重複したログ情報を集約するログ情報集約手段、１１はハードディスク等の記憶手段、１０１はインターネットやＬＡＮ等の汎用のネットワークである。

また、不正侵入検知手段９、ログ情報集約手段１０及び記憶手段１１は不正侵入検知装置５１を構成している。

コンピュータ６はネットワーク１０１に相互に接続され、プロキシサーバ７及びサーバ８もまたネットワーク１０１に相互に接続される。また、不正侵入検知手段９はネットワーク１０１に相互に接続されると共にログ情報出力がログ情報集約手段１０に接続され、ログ情報集約手段１０の出力が記憶手段１１に接続される。

ここで、図１に示す実施例の動作を図２、図３、図４及び図５を用いて説明する。図２は不正侵入検知手段９の動作を説明するフロー図、図３及び図４はパケット等の情報の流れを説明する説明図、図５はログ情報集約手段１０の動作を説明するフロー図である。

図２中”Ｓ１０１”において不正侵入検知手段９は、ネットワーク１０１上を伝播する通信（パケット）を監視すると共に不正な通信（パケット）を受信したか否かを判断し、もし、不正な通信（パケット）を受信したと判断した場合には、図２中”Ｓ１０２”において不正侵入検知手段９は、不正な通信（パケット）に関する受信時刻、送信元ＩＰ（Internet Protocol）アドレス、送信先ＩＰ（Internet Protocol）アドレス等のログ情報をログ情報集約手段１０に出力する。

例えば、不正侵入検知手段９は、図３中”ＰＣ２１”に示すようなコンピュータ６からプロキシサーバ７への不正な通信（パケット）を図３中”ＣＰ２１”に示すように受信したと判断した場合には、図３中”ＳＬ２１”に示すような受信した不正な通信（パケット）の受信時刻、送信元ＩＰアドレス、送信先ＩＰアドレス等のログ情報をログ情報集約手段１０に出力する。

また、例えば、不正侵入検知手段９は、図４中”ＰＣ３１”に示すようなプロキシサーバ７からサーバ８への不正な通信（パケット）を図４中”ＣＰ３１”に示すように受信したと判断した場合には、図４中”ＳＬ３１”に示すような受信した不正な通信（パケット）の受信時刻、送信元ＩＰアドレス、送信先ＩＰアドレス等のログ情報をログ情報集約手段１０に出力する。

一方、図５中”Ｓ２０１”においてログ情報集約手段１０は、不正侵入検知手段９から入力されるログ情報を解析すると共に図５中”Ｓ２０２”においてログ情報集約手段１０は、記録時刻が近接しているか否かを判断する。

例えば、ログ情報集約手段１０は、ネットワークの負荷状況に応じて記録時刻が予め設定されている値である”ｎ秒（ｎは任意の整数）”以内であれば２つのログ情報の記録時刻が近接していると判断する。

もし、図５中”Ｓ２０２”において記録時刻が近接していないと判断した場合には図５中”Ｓ２０７”のステップに進み、記録時刻が近接していると判断した場合には、図５中”Ｓ２０３”においてログ情報集約手段１０は、２つのログ情報の送信元と送信先のノードが同一であるか否かを判断する。

この場合、プロキシサーバ７は複数のネットワーク・インターフェースを有することがあり、同一ノードであっても同一のＩＰアドレスとはならない可能性があるため、ＩＰアドレスの比較ではなく、ノードが同一であるか否かで判断する。

もし、図５中”Ｓ２０３”において２つのログ情報の送信元と送信先のノードが同一ではないと判断した場合には図５中”Ｓ２０７”のステップに進み、２つのログ情報の送信元と送信先のノードが同一であると判断した場合には、図５中”Ｓ２０４”においてログ情報集約手段１０は、通信プロトコルに基づきパケットの同一性を解析すると共に図５中”Ｓ２０５”においてログ情報集約手段１０は、通信プロトコルに基づくパケット解析により内容的に同一の通信（同一パケット）であるか否かを判断する。

例えば、通信プロトコルがＨＴＴＰ（HyperText Transfer Protocol）であればＨＴＴＰのヘッダの内容を比較して内容的に同一の通信（同一パケット）であるか否かを判断する。

そして、図５中”Ｓ２０５”において内容的に同一の通信（同一パケット）ではないと判断した場合には図５中”Ｓ２０７”のステップに進み、内容的に同一の通信（同一パケット）であると判断した場合には、図５中”Ｓ２０６”においてログ情報集約手段１０は、当該２つのログ情報を１つのログ情報として統合する。

最後に、図５中”Ｓ２０７”においてログ情報集約手段１０は、統合したログ情報或いは統合していないログ情報を記憶手段１２に記録する。

例えば、図４中”ＳＬ３２”に示すように統合したログ情報或いは統合していないログ情報を記憶手段１２に記録する。

この結果、ログ情報集約手段１０が、不正侵入検知手段９が収集したログ情報を解析して、２つのログ情報の記録時刻が近接し、２つのログ情報の送信元と送信先の同一ノードであり、且つ、同一パケットである場合に、当該２つのログ情報を統合して記憶手段１１に記録することにより、同一パケットの場合には伝播経路に関わりなく１つのログ情報として処理することが可能になる。

また、同一パケットを２つのログ情報として重複して記録させることがないので、ログ情報解析時のネットワークの状態を正確に把握でき、不必要のログ情報の削除により記録されるログ情報の量を低減させることが可能になる。

なお、図１に示す不正侵入検知装置５１では説明の簡単のために、不正侵入検知手段１０、ログ情報集約手段１１及び記憶手段１２とを別個に記述しているが、勿論、１つの処理手段として統合しても構わない。

また、図１に示すネットワークシステムでは説明の簡単のために、コンピュータ６、プロキシサーバ７及びサーバ８と、不正侵入検知装置５１を例示しているが、勿論、コンピュータの台数やサーバの台数等は何らこれに限定されるものではない。

また、ネットワーク上の複数の地点において、複数の不正侵入検知手段で不正な通信に関するログ情報を収集した場合には、単一のパケットの伝播であっても複数の不正侵入検知手段で重複して記録されてしまう。

図６はこのような状況を説明する構成ブロック図である。図６において１２及び１５はクライアントであるコンピュータ、１３及び１６はサービスの提供等を行うサーバ、１４はネットワークとネットワークとを間に設けられ通信を中継するルータ、１７及び１８は不正アクセスなどを検知する不正侵入検知手段、１９はハードディスク等の記憶手段、１０２及び１０３はインターネットやＬＡＮ等の汎用のネットワークである。

コンピュータ１２及びサーバ１３はそれぞれネットワーク１０２に相互に接続され、コンピュータ１５及びサーバ１６はそれぞれネットワーク１０３に相互に接続される。また、不正侵入検知手段１７及び１８がそれぞれネットワーク１０２及び１０３に相互に接続されると共にそれぞれのログ情報出力が記憶手段１９に接続される。さらに、ネットワーク１０２とネットワーク１０３との間にルータ１４が設置される。

ここで、図６に示す事例の動作を図７を用いて説明する。図７はパケット等の情報の流れを説明する説明図である。

図７中”ＰＣ４１”に示すようにコンピュータ１２からサーバ１６への不正な通信（パケット）があった場合、不正侵入検知手段１７は図７中”ＣＰ４１”に示すように不正な通信（パケット）を検知し、不正侵入検知手段１８は図７中”ＣＰ４２”に示すように不正な通信（パケット）を検知する。

そして、不正侵入検知手段１７及び１８はそれぞれ図７中”ＳＬ４１”及び”ＳＬ４２”に示すように受信した不正な通信（パケット）の受信時刻、送信元ＩＰアドレス、送信先ＩＰアドレス等のログ情報を記憶手段１９に記録する。

このような場合、単一のパケットの伝播であっても２つの不正侵入検知手段１７及び１８によってログ情報が重複して記録されてしまうことになる。

図８は本発明に係る不正侵入検知装置を用いたネットワークシステムの第２の実施例を示す構成ブロック図であり、このようなログ情報の重複記録を防止するものである。

図８において１２，１３，１４，１５，１６，１７，１８，１０２及び１０３は図６と同一符号を付してあり、２０重複したログ情報を集約するログ情報集約手段は、２１はハードディスク等の記憶手段である。また、１７，１８，２０及び２１は不正侵入検知装置５２を構成している。

コンピュータ１２及びサーバ１３はそれぞれネットワーク１０２に相互に接続され、コンピュータ１５及びサーバ１６はそれぞれネットワーク１０３に相互に接続される。また、不正侵入検知手段１７及び１８がそれぞれネットワーク１０２及び１０３に相互に接続されると共にそれぞれのログ情報出力がログ情報集約手段２０に接続され、ログ情報集約手段２０の出力が記憶手段２１に接続される。さらに、ネットワーク１０２とネットワーク１０３との間にルータ１４が設置される。

ここで、図８に示す第２の実施例の動作を図９、図１０及び図１１を用いて説明する。図９はログ情報集約手段２０の動作を説明するフロー図、図１０及び図１１はパケット等の情報の流れを説明する説明図である。

図９中”Ｓ３０１”においてログ情報集約手段２０は、不正侵入検知手段１７及び１８から入力されるログ情報を解析する。

図１０中”ＰＣ５１”に示すようにコンピュータ１２からサーバ１６への不正な通信（パケット）があった場合、不正侵入検知手段１７は図１０中”ＣＰ５１”に示すように不正な通信（パケット）を検知し、不正侵入検知手段１８は図１０中”ＣＰ５２”に示すように不正な通信（パケット）を検知する。

そして、図１１中”ＳＬ６１”及び”ＳＬ６２”に示すように受信した不正な通信（パケット）の受信時刻、送信元ＩＰアドレス、送信先ＩＰアドレス等のログ情報が不正侵入検知手段１７及び１８からログ情報集約手段２０に出力される。

図９中”Ｓ３０２”においてログ情報集約手段２０は、不正侵入検知手段１７及び１８から出力されたログ情報の記録時刻が近接しているか否かを判断する。

例えば、ログ情報集約手段２０は、ネットワークの負荷状況に応じて記録時刻が予め設定されている値である”ｎ秒（ｎは任意の整数）”以内であれば２つのログ情報の記録時刻が近接していると判断する。

もし、図９中”Ｓ３０２”において記録時刻が近接していないと判断した場合には図９中”Ｓ３０６”のステップに進み、記録時刻が近接していると判断した場合には、図９中”Ｓ３０３”においてログ情報集約手段２０は、２つのログ情報の送信元の情報が同一であるか否かを判断する。

例えば、送信元の情報は、ログ情報に記録されている送信元のＩＰアドレスや送信元のポート番号等であり、ログ情報集約手段２０はこれらの情報を比較して同一であるか否かを判断する。

もし、図９中”Ｓ３０３”において送信元の情報が同一ではないと判断した場合には図９中”Ｓ３０６”のステップに進み、送信元の情報が同一であると判断した場合には、図９中”Ｓ３０４”においてログ情報集約手段２０は、２つのログ情報の送信先の情報が同一であるか否かを判断する。

例えば、送信先の情報は、ログ情報に記録されている送信先のＩＰアドレスや送信先のポート番号等であり、ログ情報集約手段２０はこれらの情報を比較して同一であるか否かを判断する。

もし、図９中”Ｓ３０４”において送信先の情報が同一ではないと判断した場合には図９中”Ｓ３０６”のステップに進み、送信先の情報が同一であると判断した場合には、図９中”Ｓ３０５”においてログ情報集約手段２０は、当該２つのログ情報を１つのログ情報として統合する。

最後に、図９中”Ｓ３０６”においてログ情報集約手段２０は、統合したログ情報或いは統合していないログ情報を記憶手段２１に記録する。

例えば、図１１中”ＳＬ６３”に示すようにログ情報集約手段２０は、統合したログ情報或いは統合していないログ情報を記憶手段２１に記録する。

この結果、ログ情報集約手段２０が、複数の不正侵入検知手段１７及び１８がそれぞれ収集したログ情報を解析して、２つのログ情報の記録時刻が近接し、２つのログ情報の送信元の情報が同一で、且つ、送信先の情報が同一である場合に、当該２つのログ情報を統合して記憶手段２１に記録することにより、単一のパケットの伝播であっても複数の不正侵入検知手段で重複して記録されてしまうことを防止できる。

ちなみに、図８に示す不正侵入検知装置５２では説明の簡単のために、不正侵入検知手段１７及び１８、ログ情報集約手段２０、記憶手段２１とを別個に記述しているが、勿論、１つの処理手段として統合しても構わない。

また、図８に示すネットワークシステムでは説明の簡単のために、コンピュータ１２及び１５、サーバ１３及び１６、ルータ１４と、不正侵入検知装置５２を例示しているが、勿論、コンピュータの台数やサーバの台数等は何らこれに限定されるものではない。

本発明に係る不正侵入検知装置を用いたネットワークシステムの一実施例を示す構成ブロック図である。不正侵入検知手段の動作を説明するフロー図である。パケット等の情報の流れを説明する説明図である。パケット等の情報の流れを説明する説明図である。ログ情報集約手段の動作を説明するフロー図である。状況を説明する構成ブロック図である。パケット等の情報の流れを説明する説明図である。本発明に係る不正侵入検知装置を用いたネットワークシステムの第２の実施例を示す構成ブロック図である。ログ情報集約手段の動作を説明するフロー図である。パケット等の情報の流れを説明する説明図である。パケット等の情報の流れを説明する説明図である。従来の不正侵入検知装置を用いたネットワークシステムの一例を示す構成ブロック図である。不正侵入検知手段の動作を説明するフロー図である。パケット等の情報の流れを説明する説明図である。パケット等の情報の流れを説明する説明図である。

符号の説明

１，６，１２，１５コンピュータ
２，７プロキシサーバ
３，８，１３，１６サーバ
４，９，１７，１８不正侵入検知手段
５，１１，１９，２１記憶手段
１０，２０ログ情報集約手段
１４ルータ
５０，５１，５２不正侵入検知装置
１００，１０１，１０２，１０３ネットワーク

Claims

不正アクセスを検知する不正侵入検知装置において、
ネットワーク上を伝播する通信を監視すると共に不正な通信を受信した場合には不正な通信に関するログ情報を収集し、収集したログ情報を解析して、２つのログ情報の記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であり、２つのログ情報の送信元と送信先のノードが同一であり、且つ、同一パケットである場合に、当該２つのログ情報を統合して１つのログ情報として記録する処理手段
を備えたことを特徴とする不正侵入検知装置。
前記処理手段が、
ネットワーク上を伝播する通信を監視すると共に不正な通信を受信した場合には不正な通信に関するログ情報を収集する不正侵入検知手段と、
記録手段と、
収集した前記ログ情報を解析して、２つのログ情報の記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であり、２つのログ情報の送信元と送信先のノードが同一であり、且つ、同一パケットである場合に、当該２つのログ情報を１つのログ情報として統合して前記記憶手段に記録するログ情報集約手段とから構成されたことを特徴とする
請求項１記載の不正侵入検知装置。
前記不正侵入検知手段が、
前記ネットワーク上を伝播する通信を監視すると共に不正な通信を受信したと判断した場合に、不正な通信に関するログ情報を前記ログ情報集約手段に出力することを特徴とする
請求項２記載の不正侵入検知装置。
前記ログ情報集約手段が、
前記不正侵入検知手段から入力されるログ情報を解析すると共に記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であるか否かを判断し、
記録時刻がネットワークの負荷状況に応じて予め設定されている値以内でないと判断した場合には前記ログ情報を前記記憶手段に記録し、
記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であると判断した場合には２つのログ情報の送信元と送信先のノードが同一であるか否かを判断し、
２つのログ情報の送信元と送信先のノードが同一ではないと判断した場合には前記ログ情報を前記記憶手段に記録し、
２つのログ情報の送信元と送信先のノードが同一であると判断した場合には通信プロトコルに基づきパケットの同一性を解析すると共に通信プロトコルに基づくパケット解析により同一パケットであるか否かを判断し、
同一パケットではないと判断した場合には前記ログ情報を前記記憶手段に記録し、
同一パケットであると判断した場合には当該２つのログ情報を１つのログ情報として統合すると共に統合したログ情報を前記記憶手段に記録することを特徴とする
請求項２記載の不正侵入検知装置。
不正アクセスを検知する不正侵入検知装置において、
ネットワーク上を伝播する通信を複数の地点で監視すると共に不正な通信を受信した場合には不正な通信に関するログ情報を収集し、複数の地点で収集したログ情報を解析して、２つのログ情報の記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であり、２つのログ情報の送信元の情報が同一で、且つ、送信先の情報が同一である場合に、当該２つのログ情報を１つのログ情報として統合して記録する処理手段
を備えたことを特徴とする不正侵入検知装置。
前記処理手段が、
ネットワーク上を伝播する通信を複数の地点で監視すると共に不正な通信を受信した場合には不正な通信に関するログ情報を収集する複数の不正侵入検知手段と、
記録手段と、
複数の地点で収集した前記ログ情報を解析して、２つのログ情報の記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であり、２つのログ情報の送信元の情報が同一で、且つ、送信先の情報が同一である場合に、当該２つのログ情報を１つのログ情報として統合して前記記憶手段に記録するログ情報集約手段とから構成されたことを特徴とする
請求項５記載の不正侵入検知装置。
前記複数の不正侵入検知手段が、
前記ネットワーク上を伝播する通信を監視すると共に不正な通信を受信したと判断した場合に、不正な通信に関するログ情報を前記ログ情報集約手段に出力することを特徴とする
請求項６記載の不正侵入検知装置。
前記ログ情報集約手段が、
前記不正侵入検知手段から入力されるログ情報を解析すると共に記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であるか否かを判断し、
記録時刻がネットワークの負荷状況に応じて予め設定されている値以内でないと判断した場合には前記ログ情報を前記記憶手段に記録し、
記録時刻がネットワークの負荷状況に応じて予め設定されている値以内であると判断した場合には２つのログ情報の送信元の情報が同一であるか否かを判断し、
２つのログ情報の送信元の情報が同一ではないと判断した場合には前記ログ情報を前記記憶手段に記録し、
２つのログ情報の送信元の情報が同一であると判断した場合には２つのログ情報の送信先の情報が同一であるか否かを判断し、
２つのログ情報の送信先の情報が同一ではないと判断した場合には前記ログ情報を前記記憶手段に記録し、
２つのログ情報の送信先の情報が同一であると判断した場合には当該２つのログ情報を１つのログ情報として統合すると共に統合したログ情報を前記記憶手段に記録することを特徴とする
請求項６記載の不正侵入検知装置。