JP4670690B2 - アプリケーショントレースバックにおけるデータ収集装置及び方法並びにそのプログラム - Google Patents

Description

本発明は、ネットワーク上のサイバー攻撃の発信源を探索するアプリケーショントレースバックにおけるデータ収集装置に関する。

近年、インターネットの急速な拡大と重要性が向上していることに伴い、インターネットに対する攻撃・脅威により引き起こされ得るインシデントの大きさについても年々増大の一途を辿っており、大規模インシデントに対する早期警戒態勢の整備が急務となっている。

一般に、企業内におけるコンピュータシステムは、ＬＡＮ(Local Area Network)又はＷＡＮ(Wide Area Network)等のコンピュータネットワーク網を介して複数のクライアントコンピュータとクライアントコンピュータを管理するサーバコンピュータとをネットワーク接続し、各クライアントコンピュータ間でのデータの転送及び共有などが行われている。

このように構成されたコンピュータシステムは、例えば外部からのメールにコンピュータウィルスが添付され、そのメールを受信したクライアントコンピュータがまずウィルスに感染し、次いで当該ウィルスの他への感染プログラムによってＬＡＮ等を介して他の多数のクライアントコンピュータに増殖することがある。

従来技術によるコンピュータシステムは、コンピュータウィルス対策として、例えば複数のクライアントコンピュータ及びサーバコンピュータにウィルス対策ソフトをインストールし、ウィルス感染を検知したクライアントコンピュータがサーバコンピュータに当該感染を報告するものや、新たに不正侵入検知コンピュータをＬＡＮ上に用意し、この不正侵入検知コンピュータが検知対象の不正パターンとしてウィルス情報を登録しておき、ＬＡＮ上を伝送するデータを監視してウィルスを検知し、サーバコンピュータに報告することが行われている。

また、不正アクセス、ＤｏＳ攻撃、ウィルス発信などのサイバー攻撃は、攻撃パケットのソースアドレスを詐称していることが多いため、攻撃の発信源を把握することは困難である。このためパケットのソースアドレスが詐称されているサイバー攻撃であっても、その発信源を把握し得るトレースバック技術が求められ、十数年に渡り研究が進められてきた。

これらは、ＩＰアドレスレベルでのトレースバック技術により追跡を行っているが、その仕組みからスパイウェア／ボットネット／ウィルス／ワーム等などのアプリケーションに依存したトレースバックを実現するのは、困難であった。

例えば、ホストベースやネットワークベースのアンチウイルス製品が普及してきており、多くの既知の攻撃に対して対応する仕組みになっているが、それらはウィルスの検知を目的としており、ウィルス発信元を特定することはできない。

また、ＩＰネットワークにおけるＤｏＳ攻撃判定の精度を高めることで、経路検出時間の短縮を図り、更にはＩＰトレースバック逆探知パケットの送信数を軽減するネットワーク管理装置があるが（例えば、特許文献１参照）、アプリケーションに依存したウィルス発信元の特定までは行っていない。

あるいは、クライアントコンピュータに専用のソフトウェアを導入することによってＬＡＮシステム内におけるウィルス感染源を検知するウィルス感染元検知システムがあるが、（例えば、特許文献２参照）、ソフトウェアを導入していないクライアントコンピュータへのウィルス感染を検出することはできない。

従来のアプリケーションに依存した処理を行うシステムにおいては、ネットワークを流れるトラフィックの中から特定のアプリケーションを選別し、さらに目的のセッションを識別した上で、当該パケットの内容の解析を行うことで必要な処理を行っていた。これらの例として、ファイアウオールのアプリケーションゲートウェイやネットワーク型のウィルス検知システムが挙げられる。
特開２００５−１３０１２１号公報 特開２００４−０８６２４１号公報

しかしながら、これらの既存システムは、アプリケーショントレースバックを行う上で必要となる特定アプリケーションを選別する機能、および、アプリケーショントレースバックに必要な情報を抽出する機能を十分に考慮されたものではなかった。そのため、アプリケーショントレースバックを実現するためのデータ収集装置として利用できなかった。

また、これらの既存システムでは、ユーザのプライバシ保護を実現する匿名化機能がないため、通信におけるプライバシ保護を実現することができなかった。

そこで本発明は、ネットワークを流れるトラフィックの中から特定のアプリケーションを選別し、アプリケーショントレースバックに必要な情報を抽出し、さらに、これらの内容に含まれるユーザのプライバシ情報を匿名化するアプリケーショントレースバックにおけるデータ収集装置及び方法並びにそのプログラムを提供することを目的とする。

上述の課題を解決するための、本発明の解決手段を、図１を参照して説明する。パケットキャプチャハードウェア１は、ＬＡＮなどのネットワークから受信したパケットをキャプチャするハードウェアである。パケットキャプチャドライバ２は、パケットキャプチャハードウェア１がキャプチャしたデータを取得するソフトウェアである。アプリケーション選別機能３は、パケットキャプチャドライバ２が取得したパケットからデータを再構成し、プロトコルの判定を行う。アプリケーション個別処理・秘匿化機能４は、各プロトコルに応じた処理を行うため、入力をチェックし、各プロトコルに応じてアプリケーショントレースバックに必要な情報を抽出する。さらに、個人を特定できる個人情報については、秘匿化を行う。フォーマット共通化機能５は、プロトコルごとの処理データを統一したフォーマットに整形する。アプリケーショントレースバック検知機能６は、フォーマット共通化機能５およびログ７のデータから発信元をトレースバックする機能を実現する。ログ７は、ファイアウオール、侵入検知システム（ＩＤＳ：Intrusion Detection System）、Ｗｅｂサーバ、メールサーバなどのネットワーク上の通信記録を格納する記録媒体である。

以上の構成によって、アプリケーショントレースバックを検知するために必要な情報を取得することが可能となり、かつ、トレースバックに用いる情報に対してユーザを特定できるといったプライバシ問題を回避することが可能となる。

本発明による第一の効果は、アプリケーショントレースバックを検知するために必要な情報を取得することが可能となる点である。これは、ネットワークを流れるトラフィックの中から特定のアプリケーションを選別する機能、目的のセッションを識別した上で当該パケットの内容の解析を行うためである。

第二の効果は、トレースバックに用いる情報に対してユーザを特定できるといったプライバシ問題を回避することが可能となる点である。これは、トレースバックに用いる情報に対してユーザを特定できるといったプライバシ問題を回避する匿名化機能を持たせているためである。

次に、本発明の最良の形態について図面を参照して説明する。

図２は、本発明の構成例を示す図である。本発明のアプリケーショントレースバックにおけるデータ収集装置は、プログラム制御による情報処理装置であり、パケットキャプチャハードウェア１０、パケットキャプチャドライバ２０、共通ルール３５、メモリ３６、アプリケーション選別機能３０、個別ルール４７、メモリ４８、ＳＭＴＰ(Simple Mail Transfer Protocol)処理４０、プロトコルＡ処理４０Ａ、プロトコルＢ処理４０Ｂ、共通化フォーマット出力５０、ログ７０、アプリケーショントレースバック検知機能６０から構成される。

アプリケーション選別機能３０は、メモリ３１、パケット／ストリーム収集３２、パケット／ストリーム再構築３３、プロトコル判定３４を含む。

ＳＭＴＰ処理４０は、ＳＭＴＰデータチェック４１、ＳＭＴＰ個別処理４２、添付ファイルデコード４３、ハッシュ計算４４、プライバシ秘匿化４５、ＳＭＴＰ情報集約４６を含む。

これらはそれぞれ概略つぎのように動作する。パケットキャプチャハードウェア１０は、ネットワークからのパケットをキャプチャする。パケットキャプチャドライバ２０は、パケットキャプチャハードウェア１０の制御を行い、ハードウェアがキャプチャしたパケットを取得する。共通ルール３５は、本発明のシステム全体で利用する設定情報である。例えば、ネットワーク上を流れるパケットについてどのような情報を取得して、ログとして記録するか等である。メモリ３６は、共通ルール３５から読み出した情報で動作させるための情報を格納する。

アプリケーション選別機能３０は、パケットキャプチャドライバ２０から受信したパケットやストリームの情報を判別し、アプリケーションに応じて、個別処理を行うためのＳＭＴＰ処理４０、プロトコルＡ処理４０Ａ、プロトコルＢ処理４０Ｂなどにデータを受け渡すものである。なお、対応するプロトコルがなければ、データは破棄される。パケット／ストリーム収集３２は、パケットキャプチャドライバ２０からデータを収集する機能である。対応しているプロトコルでなければ、データは破棄される。キャプチャしたデータは、メモリ３１に保存される。パケット／ストリーム再構築３３は、パケット／ストリーム収集３２からのデータを受信し、かつ、メモリ３１からデータを読み出すことで、１つのストリームとして再構成し、メモリ３１に格納する。プロトコル判定３４は、メモリ３１からデータを読み出し、個別処理を行うためのプロトコル判定を実施し、次に渡すプロトコル個別処理を決定する。

ＳＭＴＰ処理４０、プロトコルＡ処理４０Ａ、プロトコルＢ処理４０Ｂは、それぞれ対応するプロトコル単位で処理を行う。個別ルール４７は、プロトコルごとに動作を制御するための情報がハードディスクなどの記録媒体に記録されている。メモリ４８は、個別ルール４７から読み出した情報で動作させるための情報を格納する。

ＳＭＴＰ処理４０は、ＳＭＴＰプロトコルに応じた処理を実施する機能ブロックである。ＳＭＴＰデータチェック４１は、受け取ったデータがＳＭＴＰプロトコルデータであるか否かを確認する。ＳＭＴＰ個別処理４２は、ＳＭＴＰプロトコルデータにおいて、アプリケーショントレースバックに必要な情報を取り出す機能である。添付ファイルデコード４３は、ＳＭＴＰプロトコルデータから取り出した添付ファイルに関する情報をデコードする機能である。ハッシュ計算４４は、添付ファイルデコード４３で取り出したファイルの内容に関し、ハッシュ値を計算するものである。プライバシ秘匿化４５は、電子メールに含まれる個人情報などの秘匿化を行う。ＳＭＴＰ情報集約４６は、ＳＭＴＰ個別処理４２で取り出したアプリケーショントレースバックで攻撃者を特定するために用いられる情報を集約する。

共通化フォーマット出力５０は、各プロトコルの個別処理で生成した情報を共通化されたフォーマットで出力する。

ログ７０は、本データ収集装置で収集したデータ以外に、メールサーバのログなどネットワーク上の通信記録が格納されている。

アプリケーショントレースバック検知機能６０は、共通化フォーマット出力５０から渡された各プロトコルで処理したデータとログ７０との相関に基づき、攻撃元を特定するアプリケーショントレースバックを行うものである。

次に、図３を参照して、本発明の処理の流れを、ＳＭＴＰプロトコルでのアプリケーショントレースバックを例に説明する。

まず、ネットワークを流れるパケットをパケットキャプチャハードウェア１０にてキャプチャし、パケットキャプチャドライバ２０で受信する（Ｓ１）。受信できなかった場合は、受信待ちの状態となる。次に、パケット／ストリーム収集３２において、パケットキャプチャドライバ２０からデータを収集し、メモリ３１にその状態を保存する（Ｓ２）。パケット／ストリーム再構築３３において、メモリ３１に格納されたデータが１つの完全なデータとして完了しているか否かを確認する。完了していない場合、パケット／ストリーム受信に戻り、完了している場合、次のステップへ進む（Ｓ３）。メモリ３１に格納されたデータのプロトコル情報を確認し、対応可能プロトコルか否かを確認する。対応可能プロトコルでない場合、メモリ３１のデータを破棄し、完了する。対応可能プロトコルである場合、その該当プロトコル（ＳＭＴＰ）の処理に移る（Ｓ４）。

ＳＭＴＰデータチェック４１において、受信したデータのチェックを行い（Ｓ５）、ＳＭＴＰプロトコル独自の個別処理を行う（Ｓ６）。例えば、電子メールとして、図４に示すようなデータとなっていた場合に、アプリケーショントレースバック検知機能６０が、「送信先ユーザ名」、「メッセージＩＤ」、「攻撃者が偽装したメールアドレス」、「年月日時分秒」、「添付ファイル名」を必要としている場合、ＳＭＴＰ個別処理４２は、図５に下線で示す項目を取り出し、添付ファイル名の内容について、添付ファイルデコード４３がファイルのデコードを行う。なお、エンコード方式には、ＢＡＳＥ６４などいくつかの方式があるが、添付ファイルデコード４３で対応した方式であればデコードを行う。また、圧縮されている場合には、その圧縮を展開する処理を含んでも良い。デコード後のデータにハッシュ計算４４でハッシュ値の計算を行う。ハッシュ値のアルゴリズムとしてしては、ＭＤ５やＳＨＡ−１などがあるが、いずれの方式でも良い。このとき、デコードできない方式であった場合には、デコードせず、添付ファイルのハッシュ値の計算を行う。これにより、情報として、図６に示すように共通フォーマット化する。

次に、秘匿化において、例えば、宛先のみを秘匿化する場合には、宛先のハッシュ値を計算する（Ｓ７）。この結果が、図７に示すようになるように、ＳＭＴＰ情報集約４６は、アプリケーショントレースバック検知機能６０に渡すデータ形式を共通化したフォーマットに変換し（Ｓ８）、その結果を共通化フォーマット出力５０を介してアプリケーショントレースバック検知機能６０に出力する（Ｓ９）。例えば、ｓｙｓｌｏｇなどのインタフェースとして出力する。

第２の実施例として、対応するプロトコルがＨＴＴＰ(Hyper Text Transfer Protocol)の場合がある。この場合には、第１の実施例のＳＭＴＰが、ＨＴＴＰに対応した形態となる。プロトコル依存となるため、取得できる情報は異なるが、ファイルのダウンロード時に「ファイル名」「ファイルサイズ」「ファイルのハッシュ値」を取得することは同一である。

インターネットの急速な拡大と重要性の向上は、改めていうまでもないところである。また、インターネットに対する攻撃・脅威により引き起こされうるインシデントの大きさについても年々増大の一途を辿っており、大規模インシデントに対する早期警戒態勢の整備が急務となっている。ウィルス発信等のサイバー攻撃は、攻撃パケットのソースアドレスを詐称しているなどにより、攻撃の発信源を把握することは困難となっている。

このようなパケットのソースアドレスが詐称されているサイバー攻撃であっても、本発明によって、その発信源を把握することができるので、当該ソースアドレス（またはＩＳＰ）からの攻撃であることを検知でき、インシデントに対する警戒が可能となる。一例として、攻撃発信元のＩＳＰをネットワークから隔離するなどの対策も可能となる。

本発明の解決手段を示す図である。 本発明の構成例を示す図である。 本発明の処理の流れを示すフローチャートである。 受信した電子メールの例を示す図である。 受信した電子メールから取り出す項目例を示す図である。 電子メールから取り出した情報を共通フォーマット化した例を示す図である。 電子メールから取り出した情報の一部を秘匿化した例を示す図である。

符号の説明

１ パケットキャプチャハードウェア
２ パケットキャプチャドライバ
３ アプリケーション選別機能
４ アプリケーション個別処理・秘匿化機能
５ フォーマット共通化機能
６ アプリケーショントレースバック検知機能
７ ログ

Claims (6)

1. ネットワークに接続され、ネットワークを流れるデータを収集する装置であって、
   ネットワークを流れるパケットをキャプチャするパケットキャプチャ手段と、
   キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか否か判別するアプリケーション選別手段と、
   対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当プロトコルによる処理を行うアプリケーション個別処理手段と、
   前記アプリケーション個別処理手段により取り出された情報に含まれている個人を特定できる個人情報について、秘匿化を行う秘匿化手段と、
   少なくとも、前記秘匿化後の個人情報及び前記取り出された情報に含まれている個人情報以外の情報をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化手段と、
   前記共通フォーマットに変換した前記情報を出力する出力手段と、
   を備えることを特徴とするデータ収集装置。
2. 請求項１に記載のデータ収集装置であって、
   前記アプリケーション個別処理手段により取り出された情報にデコード可能なファイルが含まれている場合、当該ファイルをデコードするファイルデコード手段と、
   前記デコード後のデータ又は前記アプリケーション個別処理手段により取り出された情報に含まれている前記デコードが不可能なファイルを入力として任意のハッシュ関数を用いてハッシュ値を出力するハッシュ計算手段と、を更に備え、
   前記共通フォーマットに変換した前記情報には、前記ハッシュ値が含まれていることを特徴とするデータ収集装置。
3. ネットワークに接続され、ネットワークを流れるデータを収集する装置であるデータ収集装置が行うデータ収集方法であって、
   前記データ収集装置が、ネットワークを流れるパケットをキャプチャするパケットキャプチャ・ステップと、
   前記データ収集装置が、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか否か判別するアプリケーション選別ステップと、
   前記データ収集装置が、対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当プロトコルによる処理を行うアプリケーション個別処理ステップと、
   前記データ収集装置が、前記アプリケーション個別処理ステップにより取り出された情報に含まれている個人を特定できる個人情報について、秘匿化を行う秘匿化ステップと、
   前記データ収集装置が、少なくとも、前記秘匿化後の個人情報及び前記取り出された情報に含まれている個人情報以外の情報をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化ステップと、
   前記データ収集装置が、前記共通フォーマットに変換した前記情報を出力する出力ステップと、
   を備えることを特徴とするデータ収集方法。
4. 請求項３に記載のデータ収集方法であって、
   前記データ収集装置が、前記アプリケーション個別処理ステップにより取り出された情報にデコード可能なファイルが含まれている場合、当該ファイルをデコードするファイルデコードステップと、
   前記データ収集装置が、前記デコード後のデータ又は前記アプリケーション個別処理ステップにより取り出された情報に含まれている前記デコードが不可能なファイルを入力として任意のハッシュ関数を用いてハッシュ値を出力するハッシュ計算ステップと、を更に備え、
   前記共通フォーマットに変換した前記情報には、前記ハッシュ値が含まれていることを特徴とするデータ収集方法。
5. ネットワークを流れるデータを収集するプログラムであって、
   ネットワークを流れるパケットをキャプチャするパケットキャプチャ機能と、
   キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか否か判別するアプリケーション選別機能と、
   対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当プロトコルによる処理を行うアプリケーション個別処理機能と、
   前記アプリケーション個別処理機能により取り出された情報に含まれている個人を特定できる個人情報について、秘匿化を行う秘匿化機能と、
   少なくとも、前記秘匿化後の個人情報及び前記取り出された情報に含まれている個人情報以外の情報をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化機能と、
   前記共通フォーマットに変換した前記情報を出力する出力機能と、
   をコンピュータに実現させることを特徴とするデータ収集プログラム。
6. 請求項５に記載のデータ収集プログラムであって、
   前記アプリケーション個別処理機能により取り出された情報にデコード可能なファイルが含まれている場合、当該ファイルをデコードするファイルデコード機能と、
   前記デコード後のデータ又は前記アプリケーション個別処理機能により取り出された情報に含まれている前記デコードが不可能なファイルを入力として任意のハッシュ関数を用いてハッシュ値を出力するハッシュ計算機能と、を更に備え、
   前記共通フォーマットに変換した前記情報には、前記ハッシュ値が含まれていることを特徴とするデータ収集プログラム。

Images