JP4687978B2 - パケット解析システム - Google Patents

Description

本発明は、インターネット等のネットワークを伝播するパケットを捕捉して解析するパケット解析システムに関し、特に複数のパケットの伝播のパターンを自動的に分離すると共にパケットのふるまいを可視化することが可能なパケット解析システムに関する。

従来のインターネット等のネットワークを伝播するパケットによる攻撃手法の特定やネットワーク状況把握するパケット解析システムに関連する先行技術文献としては次のようなものがある。

特開２００４−１８６８７８号公報 特開２００４−２８０７２４号公報 特開２００４−３０２９５６号公報 特開２００４−３０４７５２号公報 特開２００５−３３３２００号公報

図１６は特定された攻撃手法を排除するためのＩＤＳ（Intrusion Detection System：侵入検知システム：以下、単にＩＤＳと呼ぶ。）の一例を示す構成ブロック図である。図１６において１，２及び３はコンピュータ、４は不正アクセスが検知された場合にトラフィックを遮断するＩＤＳ、５はサーバ、１００はインターネット等の汎用のネットワークである。

コンピュータ１，２及び３はネットワーク１００に相互に接続され、ＩＤＳ４の一方の入出力端子もまたネットワーク１００に相互に接続される。そして、ＩＤＳ４の他方の入出力端子はサーバ５に接続される。

ここで、図１６に示す従来例の動作を図１７を用いて説明する。図１７は各コンピュータからのパケットの伝播の状況を説明する説明図である。但し、ＩＤＳ４はシグネチャ型のＩＤＳとして説明する。

図１７中”ＣＰ０１”に示すようにコンピュータ１からサーバ５へパケットの伝播があった場合、ＩＤＳ４は伝播しているパケットの中身と予め設定されている不正パケットの情報（以下、単に、シグネチャと呼ぶ。）とを照合する。

例えば、図１７中”ＣＰ０１”に示すパケットの中身がシグネチャと一致しなければ、ＩＤＳ４は正常なパケットとしてサーバ５に転送する。

一方、図１７中”ＣＰ０２”に示すようなコンピュータ３からのパケットが、パケットの中身と予め設定されているシグネチャと一致した場合には、ＩＤＳ４は不正パケットと判断して図１７中”ＢＫ０１”に示すように当該不正なパケットの通過を遮断する。

これに対して、ＩＤＳ４がアノマリ型であった場合には、ＩＤＳ４は統計的な手法で予め正常状態が定義されており、現在の状態が予め定義されている正常状態から逸脱した場合に異常であると判断して不正パケットの通過を遮断する。

この結果、シグネチャ型（或いは、アノマリ型）のＩＤＳを介してインターネット等の汎用のネットワークに接続することにより、不正なパケットの侵入を検知してこれを遮断することが可能になる。

しかし、図１６に示す従来例では、特に、シグネチャ型のＩＤＳでは、予め設定されたシグネチャとの対比によって不正なパケットを検知するため、新種や亜種の不正パケットをうまく検知できないといった問題点があった。

また、伝播してくるパケットの中身とシグネチャを対比するため、複数のパケットの伝播のパターンを検知することはできないといった問題点があった。

また、アノマリ型のＩＤＳでは、統計的な手法で正常状態を判定するものであり、パケット数が少ない新規の伝播のパターンを検知することが困難であるといった問題点があった。
従って本発明が解決しようとする課題は、複数のパケットの伝播のパターンを自動的に分離すると共にパケットのふるまいを可視化することが可能なパケット解析システムを実現することにある。

このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、
複数の場所に設置され、あるＩＰアドレスからのパケットを受信後一定時間の間に伝播してくるパケットを記憶して前記ＩＰアドレスからの複数のパケットの伝播のパターンを分類する端末ノード型センサと、
前記ネットワークを介して前記複数の端末ノード型センサから分類された複数のパケットの伝播のパターンを取得してシステムの全体的な管理を行うサーバと
を備え、
前記端末ノード型センサが、
前記ネットワークを伝播するパケットを捕捉する通信手段と、
記憶手段と、
前記ＩＰアドレスからのパケットを受信後一定時間の間に伝播してくるパケットを前記記憶手段に格納すると共に格納された前記ＩＰアドレスからの複数の前記パケットの伝播のパターンを分類し前記記憶手段に保存する演算制御手段とから構成され、
前記サーバが、
表示手段上に、左右に隣接する２つの領域から構成される表示画面を表示させ、
左側の領域では縦軸に送信元ポート番号、横軸にパケットを受信した時刻をそれぞれ目盛り、
右側の領域では縦軸に送信先ポート番号、横軸に送信先ＩＰアドレスを目盛し、
前記端末ノード型センサの前記記憶手段に格納されている前記ＩＰアドレスからの各々の前記パケットの情報が有する送信元ポート番号と時刻の交点と、送信先ポート番号と送信先ＩＰアドレスの交点を求め、
前記２つの交点を線分で結ぶように順次表示させることにより、端末ノード型センサにおいて複数のパケットの伝播のパターンを自動的に分類することができる。

請求項２記載の発明は、
請求項１記載の発明であるパケット解析システムにおいて、
ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、
複数の場所に設置され、あるＩＰアドレスからのパケットを受信後一定時間の間に伝播してくるパケットを記憶して前記ＩＰアドレスからの複数のパケットの伝播のパターンを分類する端末ノード型センサと、
前記ネットワークを介して前記複数の端末ノード型センサから分類された複数のパケットの伝播のパターンを取得してシステムの全体的な管理を行うサーバと
を備え、
前記サーバが、
表示手段上に、左右に隣接する２つの領域から構成される表示画面を表示させ、
左側の領域では縦軸に送信元ポート番号、横軸にパケットを受信した時刻をそれぞれ目盛り、
右側の領域では縦軸に送信先ポート番号、横軸に送信先ＩＰアドレスを目盛し、
前記端末ノード型センサに記憶されている前記ＩＰアドレスからの各々の前記パケットの情報が有する送信元ポート番号と時刻の交点と、送信先ポート番号と送信先ＩＰアドレスの交点を求め、
前記２つの交点を線分で結ぶように順次表示させることにより、端末ノード型センサにおいて複数のパケットの伝播のパターンを自動的に分類することができる。

請求項３記載の発明は、
請求項１記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
前記ＩＰアドレスからのパケットを受信後一定時間の間に伝播してくるパケットを記憶し、送信元アドレスの種類数、送信元ポート番号の種類数、送信先ポート番号の種類数、パケットの数、パケットが連続したＩＰアドレスを走査するように伝播、パケットがランダムなＩＰアドレスに伝播に基づき前記ＩＰアドレスからの複数のパケットの伝播のパターンを分類することにより、端末ノード型センサにおいて複数のパケットの伝播のパターンを自動的に分類することができる。

請求項４記載の発明は、
請求項１または２に記載の発明であるパケット解析システムにおいて、
前記サーバが、
表示手段に、前記表示画面を複数枚同時に別々のウィンドウで表示させ、或いは、前記
表示画面を複数枚同時に重ねて表示させることにより、複数の表示画面の相違点を対比す
ることができるので、これまで検出された既知の複数のパケットの伝播のパターンと同様
のパターンであるか否かを判断することが可能になる。

請求項５記載の発明は、
請求項１または３に記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
前記ＩＰアドレスからのパケットを受信後一定時間の間に伝播してきた前記ＩＰアドレスからのパケットを前記記憶手段から読み出し、送信元アドレスの種類数、送信元ポート番号の種類数、送信先ポート番号の種類数、パケットの数、パケットが連続したＩＰアドレスを走査するように伝播、パケットがランダムなＩＰアドレスに伝播に基づき前記ＩＰアドレスからの複数のパケットの伝播のパターンを分類し、前記分類した複数のパケットの伝播のパターンに対してハッシュ関数を適用してハッシュ値を生成し、前記生成したハッシュ値が予め蓄積されているデータベース内に存在するかを検索し、前記データベースに前記生成したハッシュ値が存在しない場合に前記ＩＰアドレスからのパケットを受信後一定時間の間に伝播してきたパケットが新規の伝播のパターンであると判断すると共に前記生成したハッシュ値を前記データベースに登録することにより、新規の伝播のパターンの自動検知することが可能になる。

本発明によれば次のような効果がある。
請求項３の発明によれば、あるＩＰアドレスから伝播してきたパケットを受信した場合に、あるＩＰアドレスからのパケットを受信（捕捉）後一定時間の間に伝播してくる当該ＩＰアドレスからのパケットを記憶し、送信元アドレスの種類数、送信元ポート番号の種類数、送信先ポート番号の種類数、パケットの数、パケットが連続したＩＰアドレスを走査するように伝播、パケットがランダムなＩＰアドレスに伝播と言ったパケットが有するパラメータに基づき複数のパケットの伝播のパターンを分類することにより、端末ノード型センサにおいて複数のパケットの伝播のパターンを自動的に分類することができる。

また、請求項１、２の発明によれば、請求項３の発明で得られる効果に加えて、表示手段に、左右に隣接する２つの領域から構成される表示画面を表示させ、左側の領域では縦軸に”送信元ポート番号”、横軸にパケットを受信した”時刻”をそれぞれ目盛り、右側の領域では縦軸に”送信先ポート番号”、横軸に”送信先ＩＰアドレス”を目盛し、端末ノード型センサの記憶手段に格納されている各々のパケットの情報が有する”送信元ポート番号”と”時刻”の交点と、”送信先ポート番号”と”送信先ＩＰアドレス”の交点を求め、２つの交点を線分で結ぶように順次表示させることにより、複数のパケットの伝播のパターンを可視化することができる。

また、請求項４の発明によれば、このような表示画面を複数枚同時に別々のウィンドウで表示させ、或いは、表示画面を複数枚同時に重ねて表示させることにより、複数の表示画面の相違点を対比することができるので、これまで検出された既知の複数のパケットの伝播のパターンと同様のパターンであるか否かを判断することが可能になる。

また、請求項５の発明によれば、分類した複数のパケットの伝播のパターンに対してハッシュ関数を適用して生成されたハッシュ値が蓄積されたデータベースを予め備え、分類した複数のパケットの伝播のパターンに対してハッシュ関数を適用して生成したハッシュ値が当該データベースに存在するか否かを検査することにより、新規の伝播のパターンの自動検知することが可能になる。

以下本発明を図面を用いて詳細に説明する。図１は本発明に係るパケット解析システムの一実施例を示す構成ブロック図である。

図１において６はパケット解析システムの全体的な管理をするサーバ、７及び８はコンピュータ、９，１０及び１１はコンピュータと接続され、或いは、単独で複数の場所に設置され伝播するパケットを捕捉して複数のパケットの伝播のパターンを分類する端末ノード型センサ、１０１はインターネット等の汎用のネットワークである。

サーバ６はネットワーク１０１に相互に接続され、端末ノード型センサ９，１０及び１１もまたネットワーク１０１に相互に接続される。端末ノード型センサ９及び１０の端子にはコンピュータ７及び８がそれぞれ接続される。

また、図２は端末ノード型センサ９〜１１の具体例を示す構成ブロック図である。図２において１２はネットワーク１０１（図示せず。）を介して伝播するパケットを捕捉等する通信手段、１３はＣＰＵ（Central Processing Unit）等の演算制御手段、１４は端子に接続されるコンピュータ等の機器との間でパケットのやり取りを行なう入出力手段、１５は端末ノード型センサ自体を制御するプログラムや捕捉したパケット及びそれを分類した情報等が格納される記憶手段である。また、１２，１３，１４及び１５は端末ノード型センサ５０を構成している。

ここで、図１及び図２に示す実施例の動作、特に端末ノード型センサの動作を図３，図４，図５，図６，図７及び図８を用いて説明する。

図３及び図６は端末ノード型センサの動作を説明するフロー図、図４及び図５はパケット等の情報の流れを説明する説明図、図７及び図８は複数のパケットの伝播のパターンの分類方法を説明する説明図である。

図３中”Ｓ００１”において端末ノード型センサ、具体的には演算制御手段１３は、定常状態において通信手段１２を介して、あるＩＰアドレスからネットワーク１０１を伝播してきたパケットを受信（捕捉）したか否かを判断し、もし、パケットを受信（捕捉）したと判断した場合には、図３中”Ｓ００２”において端末ノード型センサ、具体的には演算制御手段１３は、あるＩＰアドレスからのパケットを受信（捕捉）後一定時間の間に伝播してくる全てのパケットを記憶手段１５に格納する。また、演算制御手段１３は必要に応じて受信（捕捉）したパケットを入出力手段１４を介して後段の機器に転送する。

例えば、端末ノード型センサ９（具体的には演算制御手段１３）は、図４中”ＣＰ１１”に示すように通信手段１２を介して、あるＩＰアドレスからネットワーク１０１を伝播してきたパケットを受信（捕捉）した場合には図４中”ＳＴ１１”に示すように、あるＩＰアドレスからのパケットを受信後一定時間の間に伝播してくる全てのパケットを記憶手段１５に格納する。

例えば、同様に、端末ノード型センサ１０及び１１（具体的には演算制御手段１３）は、図５中”ＣＰ２１”及び”ＣＰ２２”に示すように通信手段１２を介して、あるＩＰアドレスからネットワーク１０１を伝播してきたパケットを受信（捕捉）した場合には図５中”ＳＴ２１”及び”ＳＴ２２”に示すように、あるＩＰアドレスからのパケットを受信後一定時間の間に伝播してくる全てのパケットをそれぞれの記憶手段１５に格納する。

一方、図６中”Ｓ１０１”において端末ノード型センサ、具体的には演算制御手段１３は、あるＩＰアドレスからのパケットを受信（捕捉）後一定時間の間に伝播してきた当該ＩＰアドレスからのパケットを記憶手段１５から読み出すと共に図６中”Ｓ１０２”において、
（１）送信元アドレスの種類数（ｄｓｔＡｄｄｒ）
（２）送信元ポート番号の種類数（ｓｒｃＰｏｒｔ）
（３）送信先ポート番号の種類数（ｄｓｔＰｏｒｔ）
（４）パケットの数（ｐａｃｋｅｔ）
（５）パケットが連続したＩＰアドレスを走査するように伝播（ｓｅｑｕｅｎｃｅ）
（６）パケットがランダムなＩＰアドレスに伝播（ｒａｎｄｏｍ）
と言ったパケットが有するパラメータに基づき図７及び図８に示す表にから当該ＩＰアドレスからの複数のパケットの伝播のパターンを分類する。

図６中”Ｓ１０３”において端末ノード型センサ、具体的には演算制御手段１３は、それぞれ分類された複数のパケットの伝播のパターンを記憶手段１６に保存する。

例えば、図７に示す表から分かるように、
ｄｓｔＰｏｒｔ＝１
ｄｓｔＡｄｄｒ＝１
ｓｒｃＰｏｒｔ＝１
であれば、複数の（或いは、単数の）パケットの伝播のパターン”Ｎｏｒｍａｌ １”若しくは”Ｎｏｒｍａｌ Ｎ”に分類される。

同様に、例えば、図７に示す表から分かるように、
ｄｓｔＰｏｒｔ＝１
ｄｓｔＡｄｄｒ＝１
ｓｒｃＰｏｒｔ＞１
であれば、”ｐａｃｋｅｔ＝ｓｒｃＰｏｒｔ”若しくは”ｐａｃｋｅｔ＞ｓｒｃＰｏｒｔ”の違いにより、複数のパケットの伝播のパターン”ｂａｒｒａｇｅ １”若しくは”ｂａｒｒａｇｅ ２”に分類される。

同様に、例えば、図７に示す表から分かるように、
ｄｓｔＰｏｒｔ＝１
ｄｓｔＡｄｄｒ＞１
ｓｒｃＰｏｒｔ＝１
ｐａｃｋｅｔ＞１
であれば、”ｓｅｑｕｅｎｃｅ”若しくは”ｒａｎｄｏｍ”の違いにより、複数のパケットの伝播のパターン”Ｎｅｔｗｏｒｋ Ｓｃａｎ １”若しくは”Ｎｅｔｗｏｒｋ Ｓｃａｎ ２”に分類される。

同様に、例えば、図７に示す表から分かるように、
ｄｓｔＰｏｒｔ＝１
ｄｓｔＡｄｄｒ＞１
ｓｒｃＰｏｒｔ＞１
ｐａｃｋｅｔ＝ｓｒｃＰｏｒｔ
であれば、”ｓｅｑｕｅｎｃｅ”若しくは”ｒａｎｄｏｍ”の違いにより、複数のパケットの伝播のパターン”Ｎｅｔｗｏｒｋ Ｓｃａｎ ３”若しくは”Ｎｅｔｗｏｒｋ Ｓｃａｎ ４”に分類される。

さらに、例えば、図７に示す表から分かるように、
ｄｓｔＰｏｒｔ＝１
ｄｓｔＡｄｄｒ＞１
ｓｒｃＰｏｒｔ＞１
ｐａｃｋｅｔ＞ｓｒｃＰｏｒｔ
であれば、”ｓｅｑｕｅｎｃｅ”若しくは”ｒａｎｄｏｍ”の違いにより、複数のパケットの伝播のパターン”Ｎｅｔｗｏｒｋ Ｓｃａｎ ５”若しくは”Ｎｅｔｗｏｒｋ Ｓｃａｎ ６”に分類される。

一方、図８に示す表から分かるように、
ｄｓｔＰｏｒｔ＞１
ｄｓｔＡｄｄｒ＝１
ｓｒｃＰｏｒｔ＝１
であれば、複数のパケットの伝播のパターン”Ｎｏｒｍａｌ Ｐｏｒｔ Ｓｃａｎ １”に分類される。

同様に、例えば、図８に示す表から分かるように、
ｄｓｔＰｏｒｔ＞１
ｄｓｔＡｄｄｒ＝１
ｓｒｃＰｏｒｔ＞１
であれば、”ｐａｃｋｅｔ＝ｓｒｃＰｏｒｔ”若しくは”ｐａｃｋｅｔ＞ｓｒｃＰｏｒｔ”の違いにより、複数のパケットの伝播のパターン” Ｎｏｒｍａｌ Ｐｏｒｔ Ｓｃａｎ ２”若しくは” Ｎｏｒｍａｌ Ｐｏｒｔ Ｓｃａｎ ３”に分類される。

同様に、例えば、図８に示す表から分かるように、
ｄｓｔＰｏｒｔ＞１
ｄｓｔＡｄｄｒ＞１
ｓｒｃＰｏｒｔ＝１
ｐａｃｋｅｔ＞１
であれば、”ｓｅｑｕｅｎｃｅ”若しくは”ｒａｎｄｏｍ”の違いにより、複数のパケットの伝播のパターン”Ｎｅｔｗｏｒｋ Ｐｏｒｔ Ｓｃａｎ １”若しくは”Ｎｅｔｗｏｒｋ Ｐｏｒｔ Ｓｃａｎ ２”に分類される。

同様に、例えば、図８に示す表から分かるように、
ｄｓｔＰｏｒｔ＞１
ｄｓｔＡｄｄｒ＞１
ｓｒｃＰｏｒｔ＞１
ｐａｃｋｅｔ＝ｓｒｃＰｏｒｔ
であれば、”ｓｅｑｕｅｎｃｅ”若しくは”ｒａｎｄｏｍ”の違いにより、複数のパケットの伝播のパターン”Ｎｅｔｗｏｒｋ Ｐｏｒｔ Ｓｃａｎ ３”若しくは”Ｎｅｔｗｏｒｋ Ｐｏｒｔ Ｓｃａｎ ４”に分類される。

さらに、例えば、図８に示す表から分かるように、
ｄｓｔＰｏｒｔ＞１
ｄｓｔＡｄｄｒ＞１
ｓｒｃＰｏｒｔ＞１
ｐａｃｋｅｔ＞ｓｒｃＰｏｒｔ
であれば、”ｓｅｑｕｅｎｃｅ”若しくは”ｒａｎｄｏｍ”の違いにより、複数のパケットの伝播のパターン”Ｎｅｔｗｏｒｋ Ｐｏｒｔ Ｓｃａｎ ５”若しくは”Ｎｅｔｗｏｒｋ Ｐｏｒｔ Ｓｃａｎ ６”に分類される。

この結果、あるＩＰアドレスから伝播してきたパケットを受信した場合に、あるＩＰアドレスからのパケットを受信（捕捉）後一定時間の間に伝播してくる当該ＩＰアドレスからのパケットを記憶し、送信元アドレスの種類数（ｄｓｔＡｄｄｒ）、送信元ポート番号の種類数（ｓｒｃＰｏｒｔ）、送信先ポート番号の種類数（ｄｓｔＰｏｒｔ）、パケットの数（ｐａｃｋｅｔ）、パケットが連続したＩＰアドレスを走査するように伝播（ｓｅｑｕｅｎｃｅ）、パケットがランダムなＩＰアドレスに伝播（ｒａｎｄｏｍ）と言ったパケットが有するパラメータに基づきあるＩＰアドレスからの複数のパケットの伝播のパターンを分類することにより、端末ノード型センサにおいて複数のパケットの伝播のパターンを自動的に分類することができる。

また、端末ノード型センサの記憶手段に格納されている複数のパケットの伝播のパターンを可視化して表示するための表示手段を有するコンピュータ７若しくは８やサーバ６等（以下、単にサーバと呼ぶ）で表示させることも可能であり、図９、図１０、図１１、図１２及び図１３を用いて説明する。

図９は可視化するための表示手段における表示画面の定義を説明する説明図、図１０はサーバの動作を説明するフロー図、図１１、図１２及び図１３は複数のパケットの伝播のパターンを可視化した一例を示す説明図である。

表示手段に、図９中”ＡＲ３１”及び”ＡＲ３２”に示すように左右に隣接する２つの領域から構成される表示画面を表示させ、図９中”ＡＲ３１”に示す領域では縦軸に”送信元ポート番号”を昇順に目盛り、横軸にパケットを受信した”時刻”を昇順に目盛る。

一方、図９中”ＡＲ３２”に示す領域では縦軸に”送信先ポート番号”を昇順に目盛り、横軸に”送信先ＩＰアドレス”を昇順に目盛る。

このように定義された表示手段の表示画面において、図１０中”Ｓ２０１”においてサーバは、ネットワークを介して端末ノード型センサの記憶手段に格納されているあるＩＰアドレスからのパケットの情報を読み出し、図１０中”Ｓ２０２”においてサーバは、表示手段（表示せず。）を制御して読み出したパケットの情報が有する”送信元ポート番号”と”時刻”の交点を求める。

例えば、表示画面上において、図１１中”ＰＮ４１”に示す読み出したパケットの情報が有する”送信元ポート番号”に一致する縦軸の位置と、図１１中”ＴＭ４１”に示す読み出したパケットの情報が有する”時刻”に一致する横軸の位置との交点（図１１中”ＰＬ４１”）を求める。

同様に、図１０中”Ｓ２０３”においてサーバは、表示手段（表示せず。）を制御して読み出したパケットの情報が有する”送信先ポート番号”と”送信先ＩＰアドレス”の交点を求める。

例えば、表示画面上において、図１１中”ＰＮ４２”に示す読み出したパケットの情報が有する”送信先ポート番号”に一致する縦軸の位置と、図１１中”ＩＰ４１”に示す読み出したパケットの情報が有する”送信先ＩＰアドレス”に一致する横軸の位置との交点（図１１中”ＰＬ４２”）を求める。

そして、図１０中”Ｓ２０４”においてサーバは、表示手段（表示せず。）を制御して求めた２つの交点の間を線分で結ぶように表示させる。

例えば、表示画面上において、図１１中”ＬＮ４１”に示すように求めた２つの交点の間を線分で結ぶように表示させる。

最後に、図１０中”Ｓ２０５”においてサーバは、端末ノード型センサの記憶手段に格納されているあるＩＰアドレスからの全てのパケットの情報に対して図１０中”Ｓ２０１”〜”Ｓ２０４”のステップを行ったか否かを判断し、もし、完了していなければ図１０中”Ｓ２０１”のステップに戻る。

例えば、端末ノード型センサの記憶手段に、あるＩＰアドレスからの５個のパケットの情報が格納されている場合には、前述のようにして、図１１中”ＬＮ４２”、”ＬＮ４３”、”ＬＮ４４”及び”ＬＮ４５”に示すように線分を順次表示させる。

ちなみに、図１１に示す可視化の一例では、送信元のポート番号も受信時刻もまちまちであるが、送信先のポート番号（図１１中”ＰＮ４２”）は一致しているので、異なるＩＰアドレスの複数のコンピュータ等に対し、ある特定なポート番号をスキャン（ネットワークスキャン）していることが分かる。

同様に、図１２に示す可視化の一例では、送信元のポート番号も受信時刻もまちまちであるが、送信先のＩＰアドレス（図１２中”ＩＡ５１”）は一致しているので、ある一台のコンピュータ等の複数のポート番号をスキャン（ポートスキャン）していることが分かる。

同様に、図１３に示す可視化の一例では、送信元のポート番号も受信時刻もまちまちであるが、送信先の２つのポート番号（図１３中”ＰＮ６１”及び”ＰＮ６２”）は一致しているので、異なるＩＰアドレスの複数のコンピュータ等に対し、ある特定な２つのポート番号をスキャン（ネットワークスキャン）していることが分かる。

この結果、表示手段に、左右に隣接する２つの領域から構成される表示画面を表示させ、左側の領域では縦軸に”送信元ポート番号”、横軸にパケットを受信した”時刻”をそれぞれ目盛り、右側の領域では縦軸に”送信先ポート番号”、横軸に”送信先ＩＰアドレス”を目盛し、端末ノード型センサの記憶手段に格納されている各々のパケットの情報が有する”送信元ポート番号”と”時刻”の交点と、”送信先ポート番号”と”送信先ＩＰアドレス”の交点を求め、２つの交点を線分で結ぶように順次表示させることにより、あるＩＰアドレスからの複数のパケットの伝播のパターンを可視化することができる。

このような表示画面を複数枚同時に別々のウィンドウで表示させ、或いは、表示画面を複数枚同時に重ねて表示させることにより、複数の表示画面の相違点を対比することができるので、これまで検出された既知の複数のパケットの伝播のパターンと同様のパターンであるか否かを判断することが可能になる。

また、前述のように複数のパケットの伝播のパターンを自動的に分類すると共に宛先ポートの組み合わせを使用して新規の伝播のパターンを自動検知することが可能である。

このような新規の伝播のパターンの自動検知の動作を図１４及び図１５を用いて説明する。図１４は端末ノード型センサの動作を説明するフロー図、図１５は宛先ポートの組み合わせの表現方法を説明する表である。

図１４中”Ｓ３０１”において端末ノード型センサ、具体的には演算制御手段１３は、あるＩＰアドレスからのパケットを受信（捕捉）後一定時間の間に伝播してきた当該ＩＰアドレスからのパケットを記憶手段１５から読み出すと共に図１４中”Ｓ３０２”において前述のように、送信元アドレスの種類数（ｄｓｔＡｄｄｒ）、送信元ポート番号の種類数（ｓｒｃＰｏｒｔ）、送信先ポート番号の種類数（ｄｓｔＰｏｒｔ）、パケットの数（ｐａｃｋｅｔ）、パケットが連続したＩＰアドレスを走査するように伝播する（ｓｅｑｕｅｎｃｅ）、パケットがランダムなＩＰアドレスに伝播する（ｒａｎｄｏｍ）に基づき図７及び図８に示す表にから複数のパケットの伝播のパターンを分類する。

また、図１４中”Ｓ３０３”において端末ノード型センサ、具体的には演算制御手段１３は、宛先の組み合わせ表現を生成する。

例えば、図１５中”ＰＴ７１”に示す事例では、”ＴＣＰ／４４５（ＴＣＰ（Transmission Control Protocol：以下、単にＴＣＰと呼ぶ。）のプロトコルでポート番号４４５）”宛にＳＹＭパケットが３回飛んできて、”ＴＣＰ／１３５のプロトコルでポート番号１３５”宛にＳＹＭパケットが２回飛んできて、さらに、”ＵＤＰ／１４３４（ＵＤＰ（User Datagram Protocol：以下、単にＵＤＰと呼ぶ。）のプロトコルでポート番号１４３４）”宛にパケットが１回飛んできた場合、
Ｓ／１３５：Ｓ／４４５：Ｕ／１４３４
と表現する。

すなわち、ＴＣＰ４４５へのＳＹＮパケットは”Ｓ／４４５”と、ＵＤＰ／１４３４へのパケットは”Ｕ／１４３４”とプロトコル番号やＴＣＰフラグを考慮して表現する。また、複数パケットが存在する場合には、”：”で区切って表現し、同じ種類のパケットは重複して表現せず、全体をソートした表現にする。

このため、各種パケットの飛来数に関わりなく、
Ｓ／４４５：Ｓ／１３５：Ｕ／１４３４
と表現し、全体をソートして、
Ｓ／１３５：Ｓ／４４５：Ｕ／１４３４
と表現される。

また、例えば、図１５中”ＰＴ７２”に示す事例では、”ＴＣＰ／８０（ＴＣＰのプロトコルでポート番号８０）”宛にＳＹＭ／ＡＣＫパケットが１０回飛んできた場合、
Ｂ／８０
と表現する。

そして、図１４中”Ｓ３０４”において端末ノード型センサ、具体的には演算制御手段１３は、分類した複数のパケットの伝播のパターンと生成した宛先の組み合わせ表現に対してハッシュ関数を適用してハッシュ値を生成し、図１４中”Ｓ３０５”において端末ノード型センサ、具体的には演算制御手段１３は、生成したハッシュ値が予め蓄積されているデータベース内に存在するかを検索する。

ここで、ハッシュ関数とは、原文から固定長の疑似乱数（ハッシュ値）を生成する関数であって、このハッシュ関数は不可逆な一方向関数を含むために生成されたハッシュ値から元の原文を再現することはできない。また、同じハッシュ値となる異なるデータを作成することは極めて困難である。

また、当該データベースには、これまで検出された複数のパケットの伝播のパターンが格納、厳密に言えば、分類した複数のパケットの伝播のパターンと生成した宛先の組み合わせ表現に対してハッシュ関数を適用して生成されたハッシュ値が格納されている。

図１４中”Ｓ３０６”において端末ノード型センサ、具体的には演算制御手段１３は、データベースに生成したハッシュ値が存在しないと判断した場合、図１４中”Ｓ３０７”において端末ノード型センサ、具体的には演算制御手段１３は、あるＩＰアドレスからのパケットを受信（捕捉）後一定時間の間に伝播してきた当該ＩＰアドレスからのパケットが新規の伝播のパターンであると判断すると共に生成したハッシュ値をデータベースに登録する。

図１４中”Ｓ３０６”において端末ノード型センサ、具体的には演算制御手段１３は、データベースに生成したハッシュ値が存在したと判断した場合、既知の伝播のパターンであると判断して図１４中”Ｓ３０７”のステップをスキップして処理を終了する。

この結果、分類した複数のパケットの伝播のパターンと生成した宛先の組み合わせ表現に対してハッシュ関数を適用して生成されたハッシュ値が蓄積されたデータベースを予め備え、分類した複数のパケットの伝播のパターンと生成した宛先の組み合わせ表現に対してハッシュ関数を適用して生成したハッシュ値が当該データベースに存在するか否かを検査することにより、あるＩＰアドレスからの新規の伝播のパターンの自動検知することが可能になる。

なお、図１等に示す実施例ではインターネット等の汎用のネットワークを介して伝播してくるパケットの分類を例示しているが、プラント内のネットワーク等、どのようなパケットが流れるかが予め想定されるようなネットワークでは異常検知を容易に行うことが可能になる。

また、プラント内のネットワークでは独自のプロトコルが使用されたり、独自の暗号化やエンコードがなされている場合が想定されるので、パケットのふるまいで複数のパケットの伝播のパターンを分類する本願発明を適用することで低コストで高い効果を奏するセキュリティシステムを構築することが可能になる。

また、実施例の説明に際しては、あるＩＰアドレスからのパケットを受信（捕捉）後一定時間の間に伝播してきた全てのパケットを記憶手段に格納し、当該ＩＰアドレスからのパケットを記憶手段から読み出し分類等を行っていたが、あるＩＰアドレスからのパケットを受信（捕捉）後一定時間の間に伝播してきた当該ＩＰアドレスからのパケットを選別して記憶手段に格納しても構わない。

また、実施例の説明に際しては、分類した複数のパケットの伝播のパターンと生成した宛先の組み合わせ表現に対してハッシュ関数を適用してハッシュ値を生成しているが、勿論、分類した複数のパケットの伝播のパターンに対してのみハッシュ関数を適用してハッシュ値を生成しても構わない。

本発明に係るパケット解析システムの一実施例を示す構成ブロック図である。 端末ノード型センサの具体例を示す構成ブロック図である。 端末ノード型センサの動作を説明するフロー図である。 パケット等の情報の流れを説明する説明図である。 パケット等の情報の流れを説明する説明図である。 端末ノード型センサの動作を説明するフロー図である。 複数のパケットの伝播のパターンの分類方法を説明する説明図である。 複数のパケットの伝播のパターンの分類方法を説明する説明図である。 可視化するための表示手段における表示画面の定義を説明する説明図である。 サーバの動作を説明するフロー図である。 複数のパケットの伝播のパターンを可視化した一例を示す説明図である。 複数のパケットの伝播のパターンを可視化した一例を示す説明図である。 複数のパケットの伝播のパターンを可視化した一例を示す説明図である。 端末ノード型センサの動作を説明するフロー図である。 宛先ポートの組み合わせの表現方法を説明する表である。 特定された攻撃手法を排除するためのＩＤＳの一例を示す構成ブロック図である。 各コンピュータからのパケットの伝播の状況を説明する説明図である。

符号の説明

１，２，３，７，８ コンピュータ
４ ＩＤＳ
５，６ サーバ
９，１０，１１，５０ 端末ノード型センサ
１２ 通信手段
１３ 演算制御手段
１４ 入出力手段
１５ 記憶手段
１００，１０１ ネットワーク

Claims (5)

1. ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、
   複数の場所に設置され、あるＩＰアドレスからのパケットを受信後一定時間の間に伝播してくるパケットを記憶して前記ＩＰアドレスからの複数のパケットの伝播のパターンを分類する端末ノード型センサと、
   前記ネットワークを介して前記複数の端末ノード型センサから分類された複数のパケットの伝播のパターンを取得してシステムの全体的な管理を行うサーバと
   を備え、
   前記端末ノード型センサが、
   前記ネットワークを伝播するパケットを捕捉する通信手段と、
   記憶手段と、
   前記ＩＰアドレスからのパケットを受信後一定時間の間に伝播してくるパケットを前記記憶手段に格納すると共に格納された前記ＩＰアドレスからの複数の前記パケットの伝播のパターンを分類し前記記憶手段に保存する演算制御手段とから構成され、
   前記サーバが、
   表示手段上に、左右に隣接する２つの領域から構成される表示画面を表示させ、
   左側の領域では縦軸に送信元ポート番号、横軸にパケットを受信した時刻をそれぞれ目盛り、
   右側の領域では縦軸に送信先ポート番号、横軸に送信先ＩＰアドレスを目盛し、
   前記端末ノード型センサの前記記憶手段に格納されている前記ＩＰアドレスからの各々の前記パケットの情報が有する送信元ポート番号と時刻の交点と、送信先ポート番号と送信先ＩＰアドレスの交点を求め、
   前記２つの交点を線分で結ぶように順次表示させることを特徴とするパケット解析システム。
2. ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、
   複数の場所に設置され、あるＩＰアドレスからのパケットを受信後一定時間の間に伝播してくるパケットを記憶して前記ＩＰアドレスからの複数のパケットの伝播のパターンを分類する端末ノード型センサと、
   前記ネットワークを介して前記複数の端末ノード型センサから分類された複数のパケットの伝播のパターンを取得してシステムの全体的な管理を行うサーバと
   を備え、
   前記サーバが、
   表示手段上に、左右に隣接する２つの領域から構成される表示画面を表示させ、
   左側の領域では縦軸に送信元ポート番号、横軸にパケットを受信した時刻をそれぞれ目盛り、
   右側の領域では縦軸に送信先ポート番号、横軸に送信先ＩＰアドレスを目盛し、
   前記端末ノード型センサに記憶されている前記ＩＰアドレスからの各々の前記パケットの情報が有する送信元ポート番号と時刻の交点と、送信先ポート番号と送信先ＩＰアドレスの交点を求め、
   前記２つの交点を線分で結ぶように順次表示させることを特徴とするパケット解析システム。
3. 前記演算制御手段が、
   前記ＩＰアドレスからのパケットを受信後一定時間の間に伝播してくるパケットを記憶し、送信元アドレスの種類数、送信元ポート番号の種類数、送信先ポート番号の種類数、パケットの数、パケットが連続したＩＰアドレスを走査するように伝播、パケットがランダムなＩＰアドレスに伝播に基づき前記ＩＰアドレスからの複数のパケットの伝播のパターンを分類することを特徴とする
   請求項１記載のパケット解析システム。
4. 前記サーバが、
   表示手段に、前記表示画面を複数枚同時に別々のウィンドウで表示させ、或いは、前記表示画面を複数枚同時に重ねて表示させることを特徴とする
   請求項１または２に記載のパケット解析システム。
5. 前記演算制御手段が、
   前記ＩＰアドレスからのパケットを受信後一定時間の間に伝播してきた前記ＩＰアドレスからのパケットを前記記憶手段から読み出し、
   送信元アドレスの種類数、送信元ポート番号の種類数、送信先ポート番号の種類数、パケットの数、パケットが連続したＩＰアドレスを走査するように伝播、パケットがランダムなＩＰアドレスに伝播に基づき前記ＩＰアドレスからの複数のパケットの伝播のパターンを分類し、
   前記分類した複数のパケットの伝播のパターンに対してハッシュ関数を適用してハッシュ値を生成し、
   前記生成したハッシュ値が予め蓄積されているデータベース内に存在するかを検索し、 前記データベースに前記生成したハッシュ値が存在しない場合に前記ＩＰアドレスからのパケットを受信後一定時間の間に伝播してきたパケットが新規の伝播のパターンであると判断すると共に前記生成したハッシュ値を前記データベースに登録することを特徴とする
   請求項１または３に記載のパケット解析システム。

Images