JP4649080B2 - ネットワーク侵入検知システム、装置及びプログラム - Google Patents
ネットワーク侵入検知システム、装置及びプログラム Download PDFInfo
- Publication number
- JP4649080B2 JP4649080B2 JP2001282089A JP2001282089A JP4649080B2 JP 4649080 B2 JP4649080 B2 JP 4649080B2 JP 2001282089 A JP2001282089 A JP 2001282089A JP 2001282089 A JP2001282089 A JP 2001282089A JP 4649080 B2 JP4649080 B2 JP 4649080B2
- Authority
- JP
- Japan
- Prior art keywords
- intrusion detection
- computer
- configuration information
- network
- rule information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ネットワーク上に接続された計算機への侵入を検知及び阻止するためのネットワーク侵入検知システム、装置及びプログラムに関する。
【０００２】
【従来の技術】
一般に、ネットワーク経由での侵入の予兆・行為を検知する技術として、ネットワーク侵入検知システム（ＮＩＤＳ；Network Intrusion Detection System）が知られている。
【０００３】
図８は係るネットワーク侵入検知システムの概略構成を示す模式図である。このネットワーク侵入検知システムは、イベント分析部１を有する侵入検知装置２がデータベース３及び対策マネージャ（図示せず）に接続されている。
【０００４】
侵入検知装置２は、初期動作として、監視対象のリンクを流れる全てのパケットＰを補足し、各パケットＰが含む断片を再構成し、各パケットＰ同士の関連を侵入検知のイベントソースとして収集し、イベントソースをイベント分析部１に入力する。
【０００５】
イベント分析部１は、このイベントソースに関し、データベース３内の全ての侵入パターンを参照し、侵入か否かを判定する。なお、データベース３は、全ての侵入パターンに関して判定用の署名やルールセット（例、許容ログイン回数、許容ログイン時間）などを知識ベースとして格納されている。
【０００６】
また、イベント分析部１は、侵入と判定すると、侵入通知Ｎｔを対策マネージャに送出する。対策マネージャは、侵入通知を受けると、警報を出力する。
【０００７】
【発明が解決しようとする課題】
しかしながら以上のようなネットワーク侵入検知システムは、全ての侵入パターンを参照して侵入か否かを判定する構成から、必然的に、記憶領域と処理能力とを大量に消費するものとなる。
【０００８】
例えば、リンク上を流れるパケットＰの種類は、リンク上のホスト計算機が提供中のサービスや実行中のプログラムに依存する。これに伴い、データベース３は、各サービスや各プログラム毎に、侵入検知のためのルールセットを保持するので、大量の記憶領域が必要となる。
【０００９】
また、複雑な構成のパケットの場合、侵入検知装置２は、パケットを自己の理解可能な形式に変換するが、この際に、自己の計算機の処理能力を大量に消費してしまう。
【００１０】
なお、計算機の処理能力を大量に消費すると、パケット取得や侵入判定を取りこぼすといった不確実な処理の可能性が生じると共に、侵入判定処理を全体として低速化させてしまう。
【００１１】
本発明は上記実情を考慮してなされたもので、記憶領域の消費量を低減でき、ハードウェア資源をより有効に利用し得るネットワーク侵入検知システム、装置及びプログラムを提供することを目的とする。
【００１２】
また、本発明の他の目的は、処理能力の消費量を低減でき、高速且つ確実な侵入検知を実現し得るネットワーク侵入検知システム、装置及びプログラムを提供することにある。
【００１３】
【課題を解決するための手段】
第１の発明は、監視対象ネットワークを流れるパケットのうち、前記監視対象ネットワークに接続された計算機に不正に侵入する不正パケットを検知するための侵入検知装置の公開鍵及び秘密鍵を用いるネットワーク侵入検知システムであって、予め計算機の複数種類の構成情報に対応して用意された全ての侵入検知ルール情報が記憶される第１のルール情報記憶手段と、前記監視対象ネットワークに接続された計算機の構成情報を前記公開鍵により暗号化して送信する構成情報送信手段と、前記侵入検知装置から読出／書込処理され、前記第１のルール情報記憶手段内の全ての侵入検知ルール情報のうち、前記構成情報送信手段により暗号化されて送信された構成情報を前記秘密鍵により復号して得られた構成情報に対応する侵入検知ルール情報が記憶される第２のルール情報記憶手段と、前記侵入検知装置に設けられ、前記第２のルール情報記憶手段を参照して前記不正パケットの検知処理を実行する不正パケット検知手段と、を備え、前記計算機の構成情報としては、当該計算機の監視対象のポート及びプログラムを示す内容を有するネットワーク侵入検知システムである。
【００１４】
このように、不正パケットの検知処理時に参照する第２のルール情報記憶手段には、全ての侵入検知ルール情報のうち、監視対象ネットワークに接続された計算機の構成情報に対応する侵入検知ルール情報が記憶されるので、記憶領域の消費量を低減でき、ハードウェア資源をより有効に利用することができる。
【００１５】
また、不正パケットの検知処理時には、全ての侵入検知ルール情報のうち、監視対象ネットワークに接続された計算機の構成情報に対応する侵入検知ルール情報を参照するので、処理能力の消費量を低減でき、高速且つ確実な侵入検知を実現させることができる。
【００１６】
第２の発明は、監視対象ネットワークを流れるパケットのうち、前記監視対象ネットワークに接続された計算機に不正に侵入する不正パケットを検知するための侵入検知装置の公開鍵及び秘密鍵を用いるネットワーク侵入検知システムに関し、予め計算機の複数種類の構成情報に対応して用意された全ての侵入検知ルール情報を管理するマネージャ装置に接続された前記侵入検知装置であって、前記マネージャ装置に管理される全ての侵入検知ルール情報のうち、前記監視対象ネットワークに接続された計算機から前記公開鍵により暗号化されて送信された構成情報を前記秘密鍵により復号して得られた構成情報に対応する侵入検知ルール情報を登録するルール情報登録手段と、前記ルール情報登録手段の登録内容に基づいて、前記不正パケットの検知処理を実行する不正パケット検知手段と、を備え、前記計算機の構成情報としては、当該計算機の監視対象のポート及びプログラムを示す内容を有する侵入検知装置である。
【００１７】
このように、侵入検知装置の構成を規定したので、第１の発明と同様の作用を容易且つ確実に奏することができる。
【００１８】
第３の発明は、監視対象ネットワークを流れるパケットのうち、前記監視対象ネットワークに接続された計算機に不正に侵入する不正パケットを検知するための侵入検知装置の公開鍵及び秘密鍵を用いるネットワーク侵入検知システムに関し、予め計算機の複数種類の構成情報に対応して用意された全ての侵入検知ルール情報が記憶される第１のルール情報記憶手段と、前記監視対象ネットワークに接続された計算機から前記公開鍵により暗号化されて送信された構成情報を前記秘密鍵により復号して得られた構成情報に対応する侵入検知ルール情報に基づいて前記不正パケットの検知処理を実行する前記侵入検知装置とに接続されたマネージャ装置であって、前記監視対象ネットワークに接続された計算機の構成情報を前記侵入検知装置から受信すると、前記第１のルール情報記憶手段を参照して前記受信した構成情報に対応する侵入検知ルール情報を前記侵入検知装置に送信するルール情報送信手段を備え、前記計算機の構成情報としては、当該計算機の監視対象のポート及びプログラムを示す内容を有するマネージャ装置である。
【００１９】
このように、マネージャ装置の構成を規定したので、第１の発明と同様の作用を容易且つ確実に奏することができる。
【００２０】
第４の発明は、第２の発明の侵入検知装置を備えたネットワーク侵入検知システムに関し、前記計算機に用いられる計算機用プログラムであって、前記計算機のコンピュータを、前記監視対象ネットワークに対して前記計算機の構成が追加又は変更されるとき、当該追加又は変更に関する構成情報を前記公開鍵により暗号化して送信する構成情報送信手段、として機能させるための計算機用プログラムである。
【００２１】
このように、計算機用プログラムの構成を規定したので、第１の発明と同様の作用を容易且つ確実に奏することができる。
【００２２】
なお、第１の発明は「システム」と表現され、第２，第３の発明は「装置」と表現され、第４の発明は「プログラム」と表現されたが、これに限らず、それぞれ他の表現を用いて表してもよい。例えば、第１の発明は「装置」、「方法」又は「プログラム」と表現してもよく、第２，第３の発明は「方法」又は「プログラム」と表現してもよい。同様に、第４の発明は「装置」又は「方法」として表現してもよい。
【００２３】
【発明の実施の形態】
以下、本発明の一実施形態について図面を参照しながら説明する。
図１は本発明の一実施形態に係るネットワーク侵入検知システムの構成を示す模式図である。このネットワーク侵入検知システムは、監視対象ネットワーク１０に接続されたホスト計算機１１，１２に対応する種類のパケットのみを検査するものであり、一方向ルータ２１、侵入検知装置２２、侵入検知データベース２３、マネージャ装置２４、統合ルールデータベース２５及び更新用ネットワーク２６を備えている。なお、監視対象ネットワーク１０は、他のルータ１３を介してインターネット１４に接続された形態（インターネット１４経由で侵入される形態）を想定するが、この形態には限定されない。
【００２４】
ここで、各ホスト計算機１１，１２は、通常の処理機能の他、構成スキャナ１１ｘ，１２ｘというプログラムが予めインストールされている。
【００２５】
構成スキャナ１１ｘ、１２ｘは、監視対象ネットワーク１０経由でマネージャ装置２４と秘密鍵を共有する機能と、マネージャ装置２４から監視対象ネットワーク１０経由で送信された暗号化された侵入検知装置２２の公開鍵を当該秘密鍵で復号する機能と、常にバックグラウンド処理として自己のホスト計算機１１，１２に侵入検知に関わる構成の変更がされたか否かを検査し、変更に係る構成情報を侵入検知装置２２の公開鍵で暗号化して監視対象ネットワーク１０にブロードキャスト（同報通信）する機能とを実現させるためのものである。
【００２６】
ここで、共有される秘密鍵の暗号方式は共通鍵暗号であるが、アルゴリズムは任意である。また、侵入検知装置２２の公開鍵に係る公開鍵暗号方式は、サービス不能攻撃に対抗するために暗号化の速度よりも復号の速度の方が速いことが必要である。この公開鍵は、ホスト計算機１１，１２内の耐タンパー性メモリ（図示せず）に格納されるが、耐タンパ性を持たないメモリに格納してもよい。
【００２７】
構成情報は、ホスト計算機１１，１２の監視対象のポートやプログラム等を示す内容を有し、この内容に応じて侵入検知のルールセットを選択可能とする性質をもつ。
【００２８】
一方向ルータ２１は、監視対象ネットワーク１０上のパケットを侵入検知装置２２に転送するが、侵入検知装置２２のパケットを監視対象ネットワーク１０には転送しないという一方向の転送機能をもっている。
【００２９】
この一方向の転送機能は、監視対象ネットワーク１０側から侵入検知装置による侵入検知処理を隠蔽する性質をもつ。例えば、監視対象ネットワーク１０側からのＡＲＰ（Address Resolution Protocol）要求などに侵入検知装置２２が応答しても、一方向転送機能により、応答の転送が阻止されるので、見かけ上、侵入検知装置２２が存在しないことになる。これは、侵入検知装置への攻撃を生じさせない観点から、非常に重要な事項である。
【００３０】
侵入検知装置２２は、具体的には図２に示すように、前述したイベント分析部１の他、ネットワーク侵入検知システムを効率的に運用するための構成管理サーバ２２ｘが付加されている。
【００３１】
構成管理サーバ２２ｘは、全ルールセットのうち、各ホスト計算機１１，１２の構成に対応したルールセットＲのみを侵入検知データベース２３に登録するためのプログラムが予めインストールされたサーバである。
【００３２】
具体的には、構成管理サーバ２２ｘは、自装置２２の秘密鍵を用い、各ホスト計算機から暗号化送信されて一方向ルータ２１を通過した構成情報Ｄを復号する機能と、復号した構成情報Ｄのうち、新規な部分を侵入検知データベース２３に登録する機能と、新しい構成情報Ｄを更新用ネットワーク２６経由でマネージャ装置２４に送信する機能と、折り返し、マネージャ装置２４から更新用ネットワーク２６経由で受信した新ルールセットＲを侵入検知データベース２３に登録する機能と、新ルールセットＲの登録の後、侵入検知データベース２３全体として新しいルールセットＲのみを更新する機能とを実現するためのプログラムが予めインストールされている。
【００３３】
但し、構成管理サーバ２２ｘは、プログラムによるソフトウェア構成のみで実現する場合に限らず、ハードウェア構成及び／又はソフトウェア構成により実現してもよい。
【００３４】
侵入検知データベース２３は、前述同様にイベント分析部１から読出処理される他、構成管理サーバ２２ｘから読出／書込処理され、統合ルールデータベース２５の記憶内容のうち、監視対象ネットワーク１０上の各ホスト計算機１１，１２毎の構成情報と、各構成情報に対応しつつ重複を避けて編集されたルールセットと、がサブセットとして記憶されたものである。
【００３５】
マネージャ装置２４は、統合ルールデータベース２５内の全ルールセットのうち、侵入検知装置２３から更新用ネットワーク２６経由で受ける構成情報に対応したルールセットを読出し、このルールセットを侵入検知装置２２に送信する旨のプログラムが予めインストールされたサーバである。
【００３６】
また、マネージャ装置２４は、監視対象ネットワーク１０上のホスト計算機１１，１２と秘密鍵を共有する機能と、この秘密鍵を用いて侵入検知装置２２の公開鍵をホスト計算機１１，１２に送信する機能とを実現させるためのプログラムが予めインストールされたサーバでもある。
【００３７】
但し、マネージャ装置２４は、プログラムによるソフトウェア構成のみで実現する場合に限らず、ハードウェア構成及び／又はソフトウェア構成により実現してもよい。
【００３８】
統合ルールデータベース２５は、マネージャ装置２４に管理され、ホスト計算機１１，１２の存在の有無に関わらず、ホスト計算機の種々の構成情報に対応した侵入検知用の全てのルールセットを保持している。
【００３９】
更新用ネットワーク２６は、侵入検知装置２２とマネージャ装置２４との間の通信のみに使用されるものであり、インターネット１４や監視対象ネットワーク１０といった外部のネットワークから隠蔽されている。
【００４０】
次に、以上のように構成されたネットワーク侵入検知システムの動作を図３〜図７を参照しながら「ホスト計算機の追加時」及び「ホスト計算機の変更時」の順に説明する。
【００４１】
（ホスト計算機の追加時）
いま、監視対象ネットワーク１０は、図３に初期状態を示すように、ホスト計算機が接続されていない。このため、侵入検知データベース２３では、構成情報ＤやルールセットＲが初期状態（空）のままである。
【００４２】
次に、図４に示すように、構成スキャナ１１ｘを有するホスト計算機１１が監視対象ネットワーク１０に接続されたとする（時刻ｔ０）。
【００４３】
ホスト計算機１１は、マネージャ装置２４と秘密鍵を共有する。次に、ホスト計算機１１は、この秘密鍵を用いてマネージャ装置２４と通信をし、この監視対象ネットワーク１０に対する侵入検知装置２２の公開鍵を受取る。
【００４４】
構成スキャナ１１ｘは、ホスト計算機１１上で実行されているプログラムや開いているポートの構成を走査し、構成情報Ｄを作成する（時刻ｔ１）。
【００４５】
ホスト計算機１１は、構成情報Ｄを侵入検知装置２２の公開鍵で暗号化して監視対象ネットワーク１０上にブロードキャストする（時刻ｔ２）。
【００４６】
監視対象ネットワーク１０上の構成情報Ｄは、一方向ルータ２１を通過して侵入検知装置２２に受信される。
【００４７】
侵入検知装置２２では、構成管理サーバ２２ｘが、受信した構成情報Ｄを自己の秘密鍵で復号し、正常に復号されたら構成情報Ｄを受理する（時刻ｔ３）。復号に失敗したら、受信した構成情報を破棄する。
【００４８】
また、構成管理サーバ２２ｘは、図５に示すように、受理した新しい構成情報を侵入検知データベース２３内の既存の構成情報と比較し、新しい構成情報のうちの新規な部分である新構成Ｄnew（既存の構成情報に無い部分）を侵入検知データベース２３に追加更新する（時刻ｔ４）。但し、ホスト計算機１１の追加時は、既存の構成情報が無いので、新しい構成情報Ｄの全体が新構成Ｄnewとして追加更新される。
【００４９】
次に、構成管理サーバ２２ｘは、新しい構成情報Ｄに対応する新ルールセットＲnewを取得するため、新しい構成情報Ｄを更新用ネットワーク２６経由でマネージャ装置２４に転送する（時刻ｔ５）。
【００５０】
マネージャ装置２４は、受信した構成情報Ｄに基づいて、統合ルールデータベース２５から対応する新ルールセットＲnewを取得し（時刻ｔ６）、得られた新ルールセットＲnewを更新用ネットワーク２６を経由して送信元の侵入検知装置２３に返信する（時刻ｔ７）。
【００５１】
侵入検知装置２２では、構成管理サーバ２２ｘが、この新ルールセットＲnewを侵入検知データベース２３に登録する（時刻ｔ８）。
【００５２】
その後、構成管理サーバ２２ｘは、新ルールセットＲnewと既存のルールセットを統合して新しいルールセットＲを作成し、この新しいルールセットＲを侵入検知データベース２３に追加更新する。但し、ホスト計算機１１の追加時は、既存のルールセットが無いので、新ルールセットＲnewの全体がルールセットＲとして追加更新される。
【００５３】
これにより、侵入検知装置２２のイベント分析部１は、監視対象ネットワーク１０に接続されたホスト計算機１１に関するルールセットＲのみを参照可能となる。以下、イベント分析部１は、侵入検知データベース２３内のルールセットＲを用い、監視対象ネットワーク１０上を流れるパケットを監視する。
【００５４】
これによって、侵入検知データベース２３は、監視対象ネットワーク１０上に無いホスト計算機のルールセットを格納せずに済むため、記憶領域の消費量を大幅に低減させることができる。
【００５５】
また、侵入検知装置２２は、監視対象ネットワーク１０上のホスト計算機１１に対応する種類のパケットのみを監視するので、従来とは異なり、無関係で複雑なパケットの侵入判定処理の間に必要なパケットを取りこぼすといった不確実な処理の可能性が無くなり、効率的に監視を行うことができる。
【００５６】
（ホスト計算機の変更時）
いま、監視対象ネットワーク１０は、図１に示すように、１台以上のホスト計算機１１，１２が接続されているとする。なお、各ホスト計算機１１，１２は、前述同様の追加時に暗号アルゴリズムや鍵の共有が完了しているものである。
【００５７】
次に、図６に示すように、あるホスト計算機１１の構成が変更されたとする（時刻ｔ１１）。構成の変更としては、例えば、サーバプログラムの起動や、新しいクライアントプログラムのインストール完了、などがある。
【００５８】
このとき、構成スキャナ１１ｘは、構成の変更を検知して構成情報２０２を作成し（時刻ｔ１２）、前述同様に、構成情報を暗号化してブロードキャストする（時刻ｔ１３）。
【００５９】
侵入検知装置２２の構成管理サーバ２２ｘは、前述同様に、構成情報を復号し、正常に復号されたときのみ構成情報を受理する（時刻ｔ１４）。
また前述同様に、構成管理サーバ２２ｘは、図７に示すように、受理した新しい構成情報Ｄを侵入検知データベース内の既存の構成情報Ｄと比較し、新しい構成情報Ｄのうちの新構成Ｄnewを侵入検知データベース２３に追加更新する（時刻ｔ１５）。
【００６０】
次に、構成管理サーバ２２ｘは、新構成Ｄnewと不変構成Ｄconstとを合せたものを新しい構成情報Ｄ’とし、前述同様に、新しい構成情報Ｄ’を更新用ネットワーク２６経由でマネージャ装置２４に送信する（時刻ｔ１６）。ここで、不変構成Ｄconstは、新規の構成情報Ｄnewと既存の構成情報Ｄとで同一の内容を意味している。
【００６１】
また構成管理サーバ２２ｘは、折り返し、対応する新ルールセットＲnewをマネージャ装置２４から受信すると（時刻ｔ１７〜ｔ１８）、この新ルールセットＲnewを侵入検知データベース２３に登録する（時刻ｔ１９）。
【００６２】
しかる後、構成管理サーバ２２ｘは、新ルールセットＲnewと既存のルールセットＲを統合して新しいルールセットＲ’を作成し、この新しいルールセットＲ’を侵入検知データベース２３に更新する。
【００６３】
さらに、構成管理サーバ２２ｘは、不要となった旧ルールセットＲoldを破棄する（時刻ｔ２０）。また、構成管理サーバ２２ｘは、旧構成Ｄoldを破棄し（時刻ｔ２１）、新構成Ｄnewと不変構成Ｄconstを統合したものをホスト計算機１１の新しい構成情報Ｄ”として侵入検知データベース２３に登録する。ここで、旧構成Ｄoldは、新規の構成情報Ｄnewには無くて既存の構成情報Ｄには含まれる内容を意味している。なお、前述した追加時は、全てが新構成Ｄnewであり、不変構成Ｄconst及び旧構成Ｄoldが無い場合に相当する。
【００６４】
これにより、監視対象ネットワーク１０上のホスト計算機１１，１２の最新の構成情報に対応したルールセットＲ’のみが侵入検知データベース２３に登録される。従って、ホスト計算機１１，１２に対応しない無関係なパケットを検査せずに済むので、侵入検知処理を高速化でき、さらに、不要な旧ルールセットＲoldを破棄するので侵入検知データベース２３の記憶領域の消費量を低減できる。
【００６５】
上述したように本実施形態によれば、侵入検知データベース２３には、全てのルールセットのうち、監視対象ネットワークに接続されたホスト計算機１１，１２の構成情報に対応するルールセットが記憶されるので、記憶領域の消費量を低減でき、ハードウェア資源をより有効に利用することができる。
【００６６】
また、不正パケットの検知処理時には、全てのルールセットのうち、監視対象ネットワークに接続されたホスト計算機１１，１２の構成情報に対応するルールセットを参照するので、処理能力の消費量を低減でき、高速且つ確実な侵入検知を実現させることができる。
【００６７】
次に、本実施形態の効果について補足的に説明する。
本発明者の考察によれば、ホスト計算機が受理するパケットの種類は、そのホスト計算機が提供中のサービスや実行中のプログラムに依存するので、ネットワーク上を流れることのできる全てのパケットの種類よりも遥かに少ない場合が一般的である。
【００６８】
すなわち、（ホスト計算機が受理するパケットの種類）＜＜（全てのパケットの種類）の関係がある。ここで、本実施形態によれば、記憶領域の消費量を（ホスト計算機が受理するパケットの種類）／（全てのパケットの種類）の比率で示すように、顕著に低減することができる。
【００６９】
また、従来は、監視対象ネットワークを通過する全てのパケット、すなわち、ホスト計算機では利用されないパケットについても検査しており、無駄な処理を行なっている。
【００７０】
特に、従来は、検査の不要なパケットが複雑な構成の場合、侵入検知システムが理解できる形式に変換する際に、計算機の処理能力を大量に無駄に消費している。ここで、本実施形態によれば、検査の不要なパケットを無視するので、検査の不要なパケットが複雑な構成の場合における計算機の処理能力の浪費（大量の無駄な消費）を阻止することができる。
【００７１】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【００７２】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【００７３】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【００７４】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【００７５】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【００７６】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【００７７】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【００７８】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成用件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【００７９】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【００８０】
【発明の効果】
以上説明したように本発明によれば、記憶領域の消費量を低減でき、ハードウェア資源をより有効に利用できる。また、処理能力の消費量を低減でき、高速且つ確実な侵入検知を実現できる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係るネットワーク侵入検知システムの構成を示す模式図
【図２】同実施形態における侵入検知装置の構成を説明するための模式図
【図３】同実施形態における動作を説明するための模式図
【図４】同実施形態における動作を説明するための模式図
【図５】同実施形態における動作を説明するための模式図
【図６】同実施形態における動作を説明するための模式図
【図７】同実施形態における動作を説明するための模式図
【図８】従来のネットワーク侵入検知システムの概略構成を示す模式図
【符号の説明】
１…イベント分析部
監視対象ネットワーク１０
ホスト計算機１１，１２
１１ｘ，１２ｘ…構成スキャナ
ルータ１３
インターネット１４
一方向ルータ２１
侵入検知装置２２
２２ｘ…構成管理サーバ
侵入検知データベース２３
マネージャ装置２４
統合ルールデータベース２５
更新用ネットワーク２６
Ｄ…構成情報
Ｒ…ルールセット
【発明の属する技術分野】
本発明は、ネットワーク上に接続された計算機への侵入を検知及び阻止するためのネットワーク侵入検知システム、装置及びプログラムに関する。
【０００２】
【従来の技術】
一般に、ネットワーク経由での侵入の予兆・行為を検知する技術として、ネットワーク侵入検知システム（ＮＩＤＳ；Network Intrusion Detection System）が知られている。
【０００３】
図８は係るネットワーク侵入検知システムの概略構成を示す模式図である。このネットワーク侵入検知システムは、イベント分析部１を有する侵入検知装置２がデータベース３及び対策マネージャ（図示せず）に接続されている。
【０００４】
侵入検知装置２は、初期動作として、監視対象のリンクを流れる全てのパケットＰを補足し、各パケットＰが含む断片を再構成し、各パケットＰ同士の関連を侵入検知のイベントソースとして収集し、イベントソースをイベント分析部１に入力する。
【０００５】
イベント分析部１は、このイベントソースに関し、データベース３内の全ての侵入パターンを参照し、侵入か否かを判定する。なお、データベース３は、全ての侵入パターンに関して判定用の署名やルールセット（例、許容ログイン回数、許容ログイン時間）などを知識ベースとして格納されている。
【０００６】
また、イベント分析部１は、侵入と判定すると、侵入通知Ｎｔを対策マネージャに送出する。対策マネージャは、侵入通知を受けると、警報を出力する。
【０００７】
【発明が解決しようとする課題】
しかしながら以上のようなネットワーク侵入検知システムは、全ての侵入パターンを参照して侵入か否かを判定する構成から、必然的に、記憶領域と処理能力とを大量に消費するものとなる。
【０００８】
例えば、リンク上を流れるパケットＰの種類は、リンク上のホスト計算機が提供中のサービスや実行中のプログラムに依存する。これに伴い、データベース３は、各サービスや各プログラム毎に、侵入検知のためのルールセットを保持するので、大量の記憶領域が必要となる。
【０００９】
また、複雑な構成のパケットの場合、侵入検知装置２は、パケットを自己の理解可能な形式に変換するが、この際に、自己の計算機の処理能力を大量に消費してしまう。
【００１０】
なお、計算機の処理能力を大量に消費すると、パケット取得や侵入判定を取りこぼすといった不確実な処理の可能性が生じると共に、侵入判定処理を全体として低速化させてしまう。
【００１１】
本発明は上記実情を考慮してなされたもので、記憶領域の消費量を低減でき、ハードウェア資源をより有効に利用し得るネットワーク侵入検知システム、装置及びプログラムを提供することを目的とする。
【００１２】
また、本発明の他の目的は、処理能力の消費量を低減でき、高速且つ確実な侵入検知を実現し得るネットワーク侵入検知システム、装置及びプログラムを提供することにある。
【００１３】
【課題を解決するための手段】
第１の発明は、監視対象ネットワークを流れるパケットのうち、前記監視対象ネットワークに接続された計算機に不正に侵入する不正パケットを検知するための侵入検知装置の公開鍵及び秘密鍵を用いるネットワーク侵入検知システムであって、予め計算機の複数種類の構成情報に対応して用意された全ての侵入検知ルール情報が記憶される第１のルール情報記憶手段と、前記監視対象ネットワークに接続された計算機の構成情報を前記公開鍵により暗号化して送信する構成情報送信手段と、前記侵入検知装置から読出／書込処理され、前記第１のルール情報記憶手段内の全ての侵入検知ルール情報のうち、前記構成情報送信手段により暗号化されて送信された構成情報を前記秘密鍵により復号して得られた構成情報に対応する侵入検知ルール情報が記憶される第２のルール情報記憶手段と、前記侵入検知装置に設けられ、前記第２のルール情報記憶手段を参照して前記不正パケットの検知処理を実行する不正パケット検知手段と、を備え、前記計算機の構成情報としては、当該計算機の監視対象のポート及びプログラムを示す内容を有するネットワーク侵入検知システムである。
【００１４】
このように、不正パケットの検知処理時に参照する第２のルール情報記憶手段には、全ての侵入検知ルール情報のうち、監視対象ネットワークに接続された計算機の構成情報に対応する侵入検知ルール情報が記憶されるので、記憶領域の消費量を低減でき、ハードウェア資源をより有効に利用することができる。
【００１５】
また、不正パケットの検知処理時には、全ての侵入検知ルール情報のうち、監視対象ネットワークに接続された計算機の構成情報に対応する侵入検知ルール情報を参照するので、処理能力の消費量を低減でき、高速且つ確実な侵入検知を実現させることができる。
【００１６】
第２の発明は、監視対象ネットワークを流れるパケットのうち、前記監視対象ネットワークに接続された計算機に不正に侵入する不正パケットを検知するための侵入検知装置の公開鍵及び秘密鍵を用いるネットワーク侵入検知システムに関し、予め計算機の複数種類の構成情報に対応して用意された全ての侵入検知ルール情報を管理するマネージャ装置に接続された前記侵入検知装置であって、前記マネージャ装置に管理される全ての侵入検知ルール情報のうち、前記監視対象ネットワークに接続された計算機から前記公開鍵により暗号化されて送信された構成情報を前記秘密鍵により復号して得られた構成情報に対応する侵入検知ルール情報を登録するルール情報登録手段と、前記ルール情報登録手段の登録内容に基づいて、前記不正パケットの検知処理を実行する不正パケット検知手段と、を備え、前記計算機の構成情報としては、当該計算機の監視対象のポート及びプログラムを示す内容を有する侵入検知装置である。
【００１７】
このように、侵入検知装置の構成を規定したので、第１の発明と同様の作用を容易且つ確実に奏することができる。
【００１８】
第３の発明は、監視対象ネットワークを流れるパケットのうち、前記監視対象ネットワークに接続された計算機に不正に侵入する不正パケットを検知するための侵入検知装置の公開鍵及び秘密鍵を用いるネットワーク侵入検知システムに関し、予め計算機の複数種類の構成情報に対応して用意された全ての侵入検知ルール情報が記憶される第１のルール情報記憶手段と、前記監視対象ネットワークに接続された計算機から前記公開鍵により暗号化されて送信された構成情報を前記秘密鍵により復号して得られた構成情報に対応する侵入検知ルール情報に基づいて前記不正パケットの検知処理を実行する前記侵入検知装置とに接続されたマネージャ装置であって、前記監視対象ネットワークに接続された計算機の構成情報を前記侵入検知装置から受信すると、前記第１のルール情報記憶手段を参照して前記受信した構成情報に対応する侵入検知ルール情報を前記侵入検知装置に送信するルール情報送信手段を備え、前記計算機の構成情報としては、当該計算機の監視対象のポート及びプログラムを示す内容を有するマネージャ装置である。
【００１９】
このように、マネージャ装置の構成を規定したので、第１の発明と同様の作用を容易且つ確実に奏することができる。
【００２０】
第４の発明は、第２の発明の侵入検知装置を備えたネットワーク侵入検知システムに関し、前記計算機に用いられる計算機用プログラムであって、前記計算機のコンピュータを、前記監視対象ネットワークに対して前記計算機の構成が追加又は変更されるとき、当該追加又は変更に関する構成情報を前記公開鍵により暗号化して送信する構成情報送信手段、として機能させるための計算機用プログラムである。
【００２１】
このように、計算機用プログラムの構成を規定したので、第１の発明と同様の作用を容易且つ確実に奏することができる。
【００２２】
なお、第１の発明は「システム」と表現され、第２，第３の発明は「装置」と表現され、第４の発明は「プログラム」と表現されたが、これに限らず、それぞれ他の表現を用いて表してもよい。例えば、第１の発明は「装置」、「方法」又は「プログラム」と表現してもよく、第２，第３の発明は「方法」又は「プログラム」と表現してもよい。同様に、第４の発明は「装置」又は「方法」として表現してもよい。
【００２３】
【発明の実施の形態】
以下、本発明の一実施形態について図面を参照しながら説明する。
図１は本発明の一実施形態に係るネットワーク侵入検知システムの構成を示す模式図である。このネットワーク侵入検知システムは、監視対象ネットワーク１０に接続されたホスト計算機１１，１２に対応する種類のパケットのみを検査するものであり、一方向ルータ２１、侵入検知装置２２、侵入検知データベース２３、マネージャ装置２４、統合ルールデータベース２５及び更新用ネットワーク２６を備えている。なお、監視対象ネットワーク１０は、他のルータ１３を介してインターネット１４に接続された形態（インターネット１４経由で侵入される形態）を想定するが、この形態には限定されない。
【００２４】
ここで、各ホスト計算機１１，１２は、通常の処理機能の他、構成スキャナ１１ｘ，１２ｘというプログラムが予めインストールされている。
【００２５】
構成スキャナ１１ｘ、１２ｘは、監視対象ネットワーク１０経由でマネージャ装置２４と秘密鍵を共有する機能と、マネージャ装置２４から監視対象ネットワーク１０経由で送信された暗号化された侵入検知装置２２の公開鍵を当該秘密鍵で復号する機能と、常にバックグラウンド処理として自己のホスト計算機１１，１２に侵入検知に関わる構成の変更がされたか否かを検査し、変更に係る構成情報を侵入検知装置２２の公開鍵で暗号化して監視対象ネットワーク１０にブロードキャスト（同報通信）する機能とを実現させるためのものである。
【００２６】
ここで、共有される秘密鍵の暗号方式は共通鍵暗号であるが、アルゴリズムは任意である。また、侵入検知装置２２の公開鍵に係る公開鍵暗号方式は、サービス不能攻撃に対抗するために暗号化の速度よりも復号の速度の方が速いことが必要である。この公開鍵は、ホスト計算機１１，１２内の耐タンパー性メモリ（図示せず）に格納されるが、耐タンパ性を持たないメモリに格納してもよい。
【００２７】
構成情報は、ホスト計算機１１，１２の監視対象のポートやプログラム等を示す内容を有し、この内容に応じて侵入検知のルールセットを選択可能とする性質をもつ。
【００２８】
一方向ルータ２１は、監視対象ネットワーク１０上のパケットを侵入検知装置２２に転送するが、侵入検知装置２２のパケットを監視対象ネットワーク１０には転送しないという一方向の転送機能をもっている。
【００２９】
この一方向の転送機能は、監視対象ネットワーク１０側から侵入検知装置による侵入検知処理を隠蔽する性質をもつ。例えば、監視対象ネットワーク１０側からのＡＲＰ（Address Resolution Protocol）要求などに侵入検知装置２２が応答しても、一方向転送機能により、応答の転送が阻止されるので、見かけ上、侵入検知装置２２が存在しないことになる。これは、侵入検知装置への攻撃を生じさせない観点から、非常に重要な事項である。
【００３０】
侵入検知装置２２は、具体的には図２に示すように、前述したイベント分析部１の他、ネットワーク侵入検知システムを効率的に運用するための構成管理サーバ２２ｘが付加されている。
【００３１】
構成管理サーバ２２ｘは、全ルールセットのうち、各ホスト計算機１１，１２の構成に対応したルールセットＲのみを侵入検知データベース２３に登録するためのプログラムが予めインストールされたサーバである。
【００３２】
具体的には、構成管理サーバ２２ｘは、自装置２２の秘密鍵を用い、各ホスト計算機から暗号化送信されて一方向ルータ２１を通過した構成情報Ｄを復号する機能と、復号した構成情報Ｄのうち、新規な部分を侵入検知データベース２３に登録する機能と、新しい構成情報Ｄを更新用ネットワーク２６経由でマネージャ装置２４に送信する機能と、折り返し、マネージャ装置２４から更新用ネットワーク２６経由で受信した新ルールセットＲを侵入検知データベース２３に登録する機能と、新ルールセットＲの登録の後、侵入検知データベース２３全体として新しいルールセットＲのみを更新する機能とを実現するためのプログラムが予めインストールされている。
【００３３】
但し、構成管理サーバ２２ｘは、プログラムによるソフトウェア構成のみで実現する場合に限らず、ハードウェア構成及び／又はソフトウェア構成により実現してもよい。
【００３４】
侵入検知データベース２３は、前述同様にイベント分析部１から読出処理される他、構成管理サーバ２２ｘから読出／書込処理され、統合ルールデータベース２５の記憶内容のうち、監視対象ネットワーク１０上の各ホスト計算機１１，１２毎の構成情報と、各構成情報に対応しつつ重複を避けて編集されたルールセットと、がサブセットとして記憶されたものである。
【００３５】
マネージャ装置２４は、統合ルールデータベース２５内の全ルールセットのうち、侵入検知装置２３から更新用ネットワーク２６経由で受ける構成情報に対応したルールセットを読出し、このルールセットを侵入検知装置２２に送信する旨のプログラムが予めインストールされたサーバである。
【００３６】
また、マネージャ装置２４は、監視対象ネットワーク１０上のホスト計算機１１，１２と秘密鍵を共有する機能と、この秘密鍵を用いて侵入検知装置２２の公開鍵をホスト計算機１１，１２に送信する機能とを実現させるためのプログラムが予めインストールされたサーバでもある。
【００３７】
但し、マネージャ装置２４は、プログラムによるソフトウェア構成のみで実現する場合に限らず、ハードウェア構成及び／又はソフトウェア構成により実現してもよい。
【００３８】
統合ルールデータベース２５は、マネージャ装置２４に管理され、ホスト計算機１１，１２の存在の有無に関わらず、ホスト計算機の種々の構成情報に対応した侵入検知用の全てのルールセットを保持している。
【００３９】
更新用ネットワーク２６は、侵入検知装置２２とマネージャ装置２４との間の通信のみに使用されるものであり、インターネット１４や監視対象ネットワーク１０といった外部のネットワークから隠蔽されている。
【００４０】
次に、以上のように構成されたネットワーク侵入検知システムの動作を図３〜図７を参照しながら「ホスト計算機の追加時」及び「ホスト計算機の変更時」の順に説明する。
【００４１】
（ホスト計算機の追加時）
いま、監視対象ネットワーク１０は、図３に初期状態を示すように、ホスト計算機が接続されていない。このため、侵入検知データベース２３では、構成情報ＤやルールセットＲが初期状態（空）のままである。
【００４２】
次に、図４に示すように、構成スキャナ１１ｘを有するホスト計算機１１が監視対象ネットワーク１０に接続されたとする（時刻ｔ０）。
【００４３】
ホスト計算機１１は、マネージャ装置２４と秘密鍵を共有する。次に、ホスト計算機１１は、この秘密鍵を用いてマネージャ装置２４と通信をし、この監視対象ネットワーク１０に対する侵入検知装置２２の公開鍵を受取る。
【００４４】
構成スキャナ１１ｘは、ホスト計算機１１上で実行されているプログラムや開いているポートの構成を走査し、構成情報Ｄを作成する（時刻ｔ１）。
【００４５】
ホスト計算機１１は、構成情報Ｄを侵入検知装置２２の公開鍵で暗号化して監視対象ネットワーク１０上にブロードキャストする（時刻ｔ２）。
【００４６】
監視対象ネットワーク１０上の構成情報Ｄは、一方向ルータ２１を通過して侵入検知装置２２に受信される。
【００４７】
侵入検知装置２２では、構成管理サーバ２２ｘが、受信した構成情報Ｄを自己の秘密鍵で復号し、正常に復号されたら構成情報Ｄを受理する（時刻ｔ３）。復号に失敗したら、受信した構成情報を破棄する。
【００４８】
また、構成管理サーバ２２ｘは、図５に示すように、受理した新しい構成情報を侵入検知データベース２３内の既存の構成情報と比較し、新しい構成情報のうちの新規な部分である新構成Ｄnew（既存の構成情報に無い部分）を侵入検知データベース２３に追加更新する（時刻ｔ４）。但し、ホスト計算機１１の追加時は、既存の構成情報が無いので、新しい構成情報Ｄの全体が新構成Ｄnewとして追加更新される。
【００４９】
次に、構成管理サーバ２２ｘは、新しい構成情報Ｄに対応する新ルールセットＲnewを取得するため、新しい構成情報Ｄを更新用ネットワーク２６経由でマネージャ装置２４に転送する（時刻ｔ５）。
【００５０】
マネージャ装置２４は、受信した構成情報Ｄに基づいて、統合ルールデータベース２５から対応する新ルールセットＲnewを取得し（時刻ｔ６）、得られた新ルールセットＲnewを更新用ネットワーク２６を経由して送信元の侵入検知装置２３に返信する（時刻ｔ７）。
【００５１】
侵入検知装置２２では、構成管理サーバ２２ｘが、この新ルールセットＲnewを侵入検知データベース２３に登録する（時刻ｔ８）。
【００５２】
その後、構成管理サーバ２２ｘは、新ルールセットＲnewと既存のルールセットを統合して新しいルールセットＲを作成し、この新しいルールセットＲを侵入検知データベース２３に追加更新する。但し、ホスト計算機１１の追加時は、既存のルールセットが無いので、新ルールセットＲnewの全体がルールセットＲとして追加更新される。
【００５３】
これにより、侵入検知装置２２のイベント分析部１は、監視対象ネットワーク１０に接続されたホスト計算機１１に関するルールセットＲのみを参照可能となる。以下、イベント分析部１は、侵入検知データベース２３内のルールセットＲを用い、監視対象ネットワーク１０上を流れるパケットを監視する。
【００５４】
これによって、侵入検知データベース２３は、監視対象ネットワーク１０上に無いホスト計算機のルールセットを格納せずに済むため、記憶領域の消費量を大幅に低減させることができる。
【００５５】
また、侵入検知装置２２は、監視対象ネットワーク１０上のホスト計算機１１に対応する種類のパケットのみを監視するので、従来とは異なり、無関係で複雑なパケットの侵入判定処理の間に必要なパケットを取りこぼすといった不確実な処理の可能性が無くなり、効率的に監視を行うことができる。
【００５６】
（ホスト計算機の変更時）
いま、監視対象ネットワーク１０は、図１に示すように、１台以上のホスト計算機１１，１２が接続されているとする。なお、各ホスト計算機１１，１２は、前述同様の追加時に暗号アルゴリズムや鍵の共有が完了しているものである。
【００５７】
次に、図６に示すように、あるホスト計算機１１の構成が変更されたとする（時刻ｔ１１）。構成の変更としては、例えば、サーバプログラムの起動や、新しいクライアントプログラムのインストール完了、などがある。
【００５８】
このとき、構成スキャナ１１ｘは、構成の変更を検知して構成情報２０２を作成し（時刻ｔ１２）、前述同様に、構成情報を暗号化してブロードキャストする（時刻ｔ１３）。
【００５９】
侵入検知装置２２の構成管理サーバ２２ｘは、前述同様に、構成情報を復号し、正常に復号されたときのみ構成情報を受理する（時刻ｔ１４）。
また前述同様に、構成管理サーバ２２ｘは、図７に示すように、受理した新しい構成情報Ｄを侵入検知データベース内の既存の構成情報Ｄと比較し、新しい構成情報Ｄのうちの新構成Ｄnewを侵入検知データベース２３に追加更新する（時刻ｔ１５）。
【００６０】
次に、構成管理サーバ２２ｘは、新構成Ｄnewと不変構成Ｄconstとを合せたものを新しい構成情報Ｄ’とし、前述同様に、新しい構成情報Ｄ’を更新用ネットワーク２６経由でマネージャ装置２４に送信する（時刻ｔ１６）。ここで、不変構成Ｄconstは、新規の構成情報Ｄnewと既存の構成情報Ｄとで同一の内容を意味している。
【００６１】
また構成管理サーバ２２ｘは、折り返し、対応する新ルールセットＲnewをマネージャ装置２４から受信すると（時刻ｔ１７〜ｔ１８）、この新ルールセットＲnewを侵入検知データベース２３に登録する（時刻ｔ１９）。
【００６２】
しかる後、構成管理サーバ２２ｘは、新ルールセットＲnewと既存のルールセットＲを統合して新しいルールセットＲ’を作成し、この新しいルールセットＲ’を侵入検知データベース２３に更新する。
【００６３】
さらに、構成管理サーバ２２ｘは、不要となった旧ルールセットＲoldを破棄する（時刻ｔ２０）。また、構成管理サーバ２２ｘは、旧構成Ｄoldを破棄し（時刻ｔ２１）、新構成Ｄnewと不変構成Ｄconstを統合したものをホスト計算機１１の新しい構成情報Ｄ”として侵入検知データベース２３に登録する。ここで、旧構成Ｄoldは、新規の構成情報Ｄnewには無くて既存の構成情報Ｄには含まれる内容を意味している。なお、前述した追加時は、全てが新構成Ｄnewであり、不変構成Ｄconst及び旧構成Ｄoldが無い場合に相当する。
【００６４】
これにより、監視対象ネットワーク１０上のホスト計算機１１，１２の最新の構成情報に対応したルールセットＲ’のみが侵入検知データベース２３に登録される。従って、ホスト計算機１１，１２に対応しない無関係なパケットを検査せずに済むので、侵入検知処理を高速化でき、さらに、不要な旧ルールセットＲoldを破棄するので侵入検知データベース２３の記憶領域の消費量を低減できる。
【００６５】
上述したように本実施形態によれば、侵入検知データベース２３には、全てのルールセットのうち、監視対象ネットワークに接続されたホスト計算機１１，１２の構成情報に対応するルールセットが記憶されるので、記憶領域の消費量を低減でき、ハードウェア資源をより有効に利用することができる。
【００６６】
また、不正パケットの検知処理時には、全てのルールセットのうち、監視対象ネットワークに接続されたホスト計算機１１，１２の構成情報に対応するルールセットを参照するので、処理能力の消費量を低減でき、高速且つ確実な侵入検知を実現させることができる。
【００６７】
次に、本実施形態の効果について補足的に説明する。
本発明者の考察によれば、ホスト計算機が受理するパケットの種類は、そのホスト計算機が提供中のサービスや実行中のプログラムに依存するので、ネットワーク上を流れることのできる全てのパケットの種類よりも遥かに少ない場合が一般的である。
【００６８】
すなわち、（ホスト計算機が受理するパケットの種類）＜＜（全てのパケットの種類）の関係がある。ここで、本実施形態によれば、記憶領域の消費量を（ホスト計算機が受理するパケットの種類）／（全てのパケットの種類）の比率で示すように、顕著に低減することができる。
【００６９】
また、従来は、監視対象ネットワークを通過する全てのパケット、すなわち、ホスト計算機では利用されないパケットについても検査しており、無駄な処理を行なっている。
【００７０】
特に、従来は、検査の不要なパケットが複雑な構成の場合、侵入検知システムが理解できる形式に変換する際に、計算機の処理能力を大量に無駄に消費している。ここで、本実施形態によれば、検査の不要なパケットを無視するので、検査の不要なパケットが複雑な構成の場合における計算機の処理能力の浪費（大量の無駄な消費）を阻止することができる。
【００７１】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【００７２】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【００７３】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【００７４】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【００７５】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【００７６】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【００７７】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【００７８】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成用件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【００７９】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【００８０】
【発明の効果】
以上説明したように本発明によれば、記憶領域の消費量を低減でき、ハードウェア資源をより有効に利用できる。また、処理能力の消費量を低減でき、高速且つ確実な侵入検知を実現できる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係るネットワーク侵入検知システムの構成を示す模式図
【図２】同実施形態における侵入検知装置の構成を説明するための模式図
【図３】同実施形態における動作を説明するための模式図
【図４】同実施形態における動作を説明するための模式図
【図５】同実施形態における動作を説明するための模式図
【図６】同実施形態における動作を説明するための模式図
【図７】同実施形態における動作を説明するための模式図
【図８】従来のネットワーク侵入検知システムの概略構成を示す模式図
【符号の説明】
１…イベント分析部
監視対象ネットワーク１０
ホスト計算機１１，１２
１１ｘ，１２ｘ…構成スキャナ
ルータ１３
インターネット１４
一方向ルータ２１
侵入検知装置２２
２２ｘ…構成管理サーバ
侵入検知データベース２３
マネージャ装置２４
統合ルールデータベース２５
更新用ネットワーク２６
Ｄ…構成情報
Ｒ…ルールセット
Claims (6)
- 監視対象ネットワークを流れるパケットのうち、前記監視対象ネットワークに接続された計算機に不正に侵入する不正パケットを検知するための侵入検知装置の公開鍵及び秘密鍵を用いるネットワーク侵入検知システムであって、
予め計算機の複数種類の構成情報に対応して用意された全ての侵入検知ルール情報が記憶される第１のルール情報記憶手段と、
前記監視対象ネットワークに接続された計算機の構成情報を前記公開鍵により暗号化して送信する構成情報送信手段と、
前記侵入検知装置から読出／書込処理され、前記第１のルール情報記憶手段内の全ての侵入検知ルール情報のうち、前記構成情報送信手段により暗号化されて送信された構成情報を前記秘密鍵により復号して得られた構成情報に対応する侵入検知ルール情報が記憶される第２のルール情報記憶手段と、
前記侵入検知装置に設けられ、前記第２のルール情報記憶手段を参照して前記不正パケットの検知処理を実行する不正パケット検知手段と、
を備え、
前記計算機の構成情報は、当該計算機の監視対象のポート及びプログラムを示す内容を有することを特徴とするネットワーク侵入検知システム。 - 監視対象ネットワークを流れるパケットのうち、前記監視対象ネットワークに接続された計算機に不正に侵入する不正パケットを検知するための侵入検知装置の公開鍵及び秘密鍵を用いるネットワーク侵入検知システムに関し、予め計算機の複数種類の構成情報に対応して用意された全ての侵入検知ルール情報を管理するマネージャ装置に接続された前記侵入検知装置であって、
前記マネージャ装置に管理される全ての侵入検知ルール情報のうち、前記監視対象ネットワークに接続された計算機から前記公開鍵により暗号化されて送信された構成情報を前記秘密鍵により復号して得られた構成情報に対応する侵入検知ルール情報を登録するルール情報登録手段と、
前記ルール情報登録手段の登録内容に基づいて、前記不正パケットの検知処理を実行する不正パケット検知手段と、
を備え、
前記計算機の構成情報は、当該計算機の監視対象のポート及びプログラムを示す内容を有することを特徴とする侵入検知装置。 - 請求項２に記載の侵入検知装置を備えたネットワーク侵入検知システムに関し、前記計算機に用いられる計算機用プログラムであって、
前記計算機のコンピュータを、
前記監視対象ネットワークに対して前記計算機の構成が追加又は変更されるとき、当該追加又は変更に関する構成情報を前記公開鍵により暗号化して送信する構成情報送信手段、
として機能させるための計算機用プログラム。 - 監視対象ネットワークを流れるパケットのうち、前記監視対象ネットワークに接続された計算機に不正に侵入する不正パケットを検知するための侵入検知装置の公開鍵及び秘密鍵を用いるネットワーク侵入検知システムに関し、予め計算機の複数種類の構成情報に対応して用意された全ての侵入検知ルール情報が記憶される第１のルール情報記憶手段と、前記監視対象ネットワークに接続された計算機から前記公開鍵により暗号化されて送信された構成情報を前記秘密鍵により復号して得られた構成情報に対応する侵入検知ルール情報に基づいて前記不正パケットの検知処理を実行する前記侵入検知装置とに接続されたマネージャ装置であって、
前記監視対象ネットワークに接続された計算機の構成情報を前記侵入検知装置から受信すると、前記第１のルール情報記憶手段を参照して前記受信した構成情報に対応する侵入検知ルール情報を前記侵入検知装置に送信するルール情報送信手段を備え、
前記計算機の構成情報は、当該計算機の監視対象のポート及びプログラムを示す内容を有することを特徴とするマネージャ装置。 - 監視対象ネットワークを流れるパケットのうち、前記監視対象ネットワークに接続された計算機に不正に侵入する不正パケットを検知するための侵入検知装置の公開鍵及び秘密鍵を用いるネットワーク侵入検知システムに関し、予め計算機の複数種類の構成情報に対応して用意された全ての侵入検知ルール情報を管理するマネージャ装置に接続された前記侵入検知装置に用いられる侵入検知装置用プログラムであって、
前記侵入検知装置のコンピュータを、
前記マネージャ装置に管理される全ての侵入検知ルール情報のうち、前記監視対象ネットワークに接続された計算機から前記公開鍵により暗号化されて送信された構成情報を前記秘密鍵により復号して得られた構成情報に対応する侵入検知ルール情報を登録するルール情報登録手段、
前記ルール情報登録手段の登録内容に基づいて、前記不正パケットの検知処理を実行する不正パケット検知手段、
として機能させ、
前記計算機の構成情報は、当該計算機の監視対象のポート及びプログラムを示す内容を有するための侵入検知装置用プログラム。 - 監視対象ネットワークを流れるパケットのうち、前記監視対象ネットワークに接続された計算機に不正に侵入する不正パケットを検知するための侵入検知装置の公開鍵及び秘密鍵を用いるネットワーク侵入検知システムに関し、予め計算機の複数種類の構成情報に対応して用意された全ての侵入検知ルール情報が記憶される第１のルール情報記憶手段と、前記監視対象ネットワークに接続された計算機から前記公開鍵により暗号化されて送信された構成情報を前記秘密鍵により復号して得られた構成情報に対応する侵入検知ルール情報に基づいて前記不正パケットの検知処理を実行する侵入検知装置とに接続されたマネージャ装置に用いられるマネージャ装置用プログラムであって、
前記マネージャ装置のコンピュータを、
前記監視対象ネットワークに接続された計算機の構成情報を前記侵入検知装置から受信すると、前記第１のルール情報記憶手段を参照して前記受信した構成情報に対応する侵入検知ルール情報を前記侵入検知装置に送信するルール情報送信手段、
として機能させ、
前記計算機の構成情報は、当該計算機の監視対象のポート及びプログラムを示す内容を有するためのマネージャ装置用プログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001282089A JP4649080B2 (ja) | 2001-09-17 | 2001-09-17 | ネットワーク侵入検知システム、装置及びプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001282089A JP4649080B2 (ja) | 2001-09-17 | 2001-09-17 | ネットワーク侵入検知システム、装置及びプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003092603A JP2003092603A (ja) | 2003-03-28 |
| JP4649080B2 true JP4649080B2 (ja) | 2011-03-09 |
Family
ID=19105788
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001282089A Expired - Fee Related JP4649080B2 (ja) | 2001-09-17 | 2001-09-17 | ネットワーク侵入検知システム、装置及びプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4649080B2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US11991206B2 (en) | 2018-05-22 | 2024-05-21 | Mitsubishi Electric Corporation | Installation location selection assistance apparatus, installation location selection assistance method, and computer readable medium |
Families Citing this family (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1317855C (zh) * | 2003-09-16 | 2007-05-23 | 联想(北京)有限公司 | 一种入侵检测系统及其入侵检测方法 |
| CN1333552C (zh) * | 2005-03-23 | 2007-08-22 | 北京首信科技有限公司 | 基于机器学习的用户行为异常的检测方法 |
| JP2010033100A (ja) * | 2006-10-26 | 2010-02-12 | Nec Corp | 通信装置およびネットワークへの不正侵入検知装置 |
| WO2020136837A1 (ja) | 2018-12-27 | 2020-07-02 | 三菱電機株式会社 | アタックツリー生成装置、アタックツリー生成方法およびアタックツリー生成プログラム |
| CN111491002B (zh) * | 2019-01-29 | 2023-12-05 | 杭州海康威视系统技术有限公司 | 设备巡检方法、装置、被巡检设备、巡检服务器及系统 |
| JP7065356B2 (ja) | 2019-11-11 | 2022-05-12 | パナソニックＩｐマネジメント株式会社 | 情報処理装置、情報処理方法、およびプログラム |
| JP6924294B1 (ja) * | 2020-03-02 | 2021-08-25 | パシフィックコンサルタンツ株式会社 | 制御システム |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH08116334A (ja) * | 1994-10-14 | 1996-05-07 | Fujitsu Ltd | 複数のｌａｎで構成するネットワークにおける監視・障害解析方法及び装置 |
| JP2000261483A (ja) * | 1999-03-09 | 2000-09-22 | Hitachi Ltd | ネットワーク監視システム |
| JP2001273211A (ja) * | 2000-02-15 | 2001-10-05 | Hewlett Packard Co <Hp> | ファイヤウォール内部の装置を外部から制御する方法及び装置 |
-
2001
- 2001-09-17 JP JP2001282089A patent/JP4649080B2/ja not_active Expired - Fee Related
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH08116334A (ja) * | 1994-10-14 | 1996-05-07 | Fujitsu Ltd | 複数のｌａｎで構成するネットワークにおける監視・障害解析方法及び装置 |
| JP2000261483A (ja) * | 1999-03-09 | 2000-09-22 | Hitachi Ltd | ネットワーク監視システム |
| JP2001273211A (ja) * | 2000-02-15 | 2001-10-05 | Hewlett Packard Co <Hp> | ファイヤウォール内部の装置を外部から制御する方法及び装置 |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US11991206B2 (en) | 2018-05-22 | 2024-05-21 | Mitsubishi Electric Corporation | Installation location selection assistance apparatus, installation location selection assistance method, and computer readable medium |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003092603A (ja) | 2003-03-28 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11075955B2 (en) | Methods and systems for use in authorizing access to a networked resource | |
| US8705348B2 (en) | Use of metadata for time based anti-replay | |
| US6115816A (en) | Optimized security functionality in an electronic system | |
| US7886365B2 (en) | Content-log analyzing system and data-communication controlling device | |
| JP4579969B2 (ja) | ネットワーク・ドメインのネットワークエンドポイントにおける組込みエージェントの間で暗号化キーを共有するための方法、装置及びコンピュータプログラム製品 | |
| US7617541B2 (en) | Method and/or system to authorize access to stored data | |
| US6751728B1 (en) | System and method of transmitting encrypted packets through a network access point | |
| US6192477B1 (en) | Methods, software, and apparatus for secure communication over a computer network | |
| US8336108B2 (en) | Method and system for collaboration involving enterprise nodes | |
| US8392700B2 (en) | Apparatus and system for asymmetric security | |
| US20090049307A1 (en) | System and Method for Providing a Multifunction Computer Security USB Token Device | |
| US7926090B2 (en) | Separate secure networks over a non-secure network | |
| US20110060915A1 (en) | Managing Encryption of Data | |
| US20020069370A1 (en) | System and method for tracking and preventing illegal distribution of proprietary material over computer networks | |
| US7281269B1 (en) | Methods, data structures, and systems to remotely validate a message | |
| US20050138402A1 (en) | Methods and apparatus for hierarchical system validation | |
| US6944762B1 (en) | System and method for encrypting data messages | |
| KR960012819A (ko) | 컴퓨터 네트워크들 사이에 데이터 패킷의 서명없는 전송 및 수신을 위한 시스템 | |
| JP3180054B2 (ja) | ネットワーク・セキュリティ・システム | |
| JP2007028014A (ja) | デジタル署名プログラム、デジタル署名システム、デジタル署名方法、署名検証方法 | |
| CN101366242A (zh) | 分区通信系统 | |
| CN113162943B (zh) | 一种防火墙策略动态管理的方法、系统 | |
| JP4649080B2 (ja) | ネットワーク侵入検知システム、装置及びプログラム | |
| US7216226B2 (en) | Unique and secure identification of a networked computing node | |
| CN115801442A (zh) | 一种加密流量的检测方法、安全系统及代理模块 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20080408 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20100209 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20100412 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20100622 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20100823 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20101116 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20101213 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131217 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131217 Year of fee payment: 3 |
|
| LAPS | Cancellation because of no payment of annual fees |