JP4808703B2 - 改良型侵入検出監査およびインテリジェント・セキュリティ分析の比較を使用して関連するネットワーク・セキュリティの脅威を識別するための方法およびシステム - Google Patents

Description

本発明は、一般にネットワーク・セキュリティに関し、とりわけ、潜在的なセキュリティの脅威を特定および削除するための概念的クラスタリングの使用に関する。

現在のビジネス界では情報技術（ＩＴ）への依存が高まっているため、これまでになくＩＴインフラストラクチャを保護する必要が増している。ＩＴインフラストラクチャを保護するには、ネットワーク・セキュリティが主要な問題となっている。ダウンタイムの制限およびセキュアなデータ伝送の提供などの様々な理由から、ＩＴインフラストラクチャを保護することが求められている。

しかしながら、セキュリティ手段の実施は単純な作業ではない。ＩＴシステムの場合、セキュリティの基本的な手法は、ＩＴネットワークを横切るトラフィックを監視して、システム侵入を示すパターンを識別することである。侵入パターンを識別するためには、回帰分析およびある特定の帰納技法などの様々な方法が採用できる。一般にセキュリティ手法は、潜在的な侵入リスクを特定するために、ネットワーク・ポートおよびリソースの動作および要求の使用率を監視する。たとえば、日中または夜間のある一定の時間のある特定の要求がシステム攻撃を示す場合がある。したがって、パターン分析を採用してこうした特定を行うことができる。しかしながら、攻撃の方法は有限でもなければ静的でもない。むしろ攻撃の方法は変化する。したがって、パターン分析は、ＩＴインフラストラクチャに害を及ぼそうとしている者と少なくとも同じ体制または少なくとも同等の外観を維持するように更新されなければならない。

加えて、ネットワーク上で発生しているイベントの量が、一般にそれよりも量の少ない実際の侵入と比較して増加した場合、脅威の特定における難しさはそれに応じて増加する。スペースを簡略化することは可能であるが、スペースがあまりに一般的である場合、パターンは偽陽性（false positives）をトリガしてシステム・オペレーションを不必要に中断し、管理リソースを無駄に使用し、システムの信頼性を低下させることになる。

したがって、現在のセキュリティ・アルゴリズムに関連付けられた従来の方法および装置に関連付けられた問題の少なくとも一部に対処する、潜在的なセキュリティ・リスクを分析する際の正確度を向上させるために質的および量的な測定値を利用するための方法あるいは装置またはその両方が求められている。

本発明は、情報技術（ＩＴ）インフラストラクチャに対するコンピュータ・セキュリティの脅威を特定するための装置を提供する。ネットワーク・スキャナは、少なくとも１つのタクソノミ（taxonomy）を利用して可能性のある侵入、すなわちネットワークからのアクセスがあったときにそれが侵入である可能性があるものを特定する。侵入検出器は、少なくとも１つの実際の侵入を検出する。偽陽性／真陽性（true-positive）（ＦＰＴＰ）検出器は、特定された可能性のある侵入と検出された実際の侵入とを比較して、タクソノミを更新する。

次に、本発明およびその利点をより完全に理解するために、添付の図面に関連して以下の説明を参照する。

以下の考察では、本発明を完全に理解するために多数の特定の細部が示される。しかしながら、当業者であれば、本発明がこうした特定の細部なしで実施できることを理解されよう。その他の場合では、不必要な細部で本発明を不明瞭にしないために、良く知られた要素が概略図またはブロック図の形で示されている。さらにほとんどの部分で、ネットワーク通信、電磁信号技法などに関する細部は、こうした細部が本発明の完全な理解を得るために必要とみなされないため、および関連分野の技術者の理解の範囲内であるとみなされるため、省略されている。

さらに、特に指示されていない限り、本明細書で説明されたすべての機能は、ハードウェアまたはソフトウェア、あるいはそれらの何らかの組み合わせで実行可能であることに留意されたい。しかしながら好ましい実施形態では、これらの機能は、特に指示のない限り、コンピュータ・プログラム・コード、ソフトウェア、あるいはこうした機能を実行するために符号化された集積回路、またはそれらすべてなどの、コードに従って、コンピュータまたは電子データ・プロセッサなどのプロセッサによって実行される。

図面のうちの図１を参照すると、参照番号１００は、サンプル・タクソノミを示すブロック図を全体として指定する。タクソノミ１００は、第１のレベル１２０、第２のレベル１２２、第３のレベル１２４、および第４のレベル１２６を有する。さらに第１のレベル１２０は、曜日カテゴリ１０２を有する。さらに第２のレベル１２２は、週末カテゴリ１０４および平日カテゴリ１０６を有する。さらに第３のレベルは、土曜日カテゴリ１０８、日曜日カテゴリ１１０、月曜日カテゴリ１１２、および金曜日カテゴリ１１４を有する。さらに第４のレベル１２６は、第１のタイムスタンプｔ１、第２のタイムスタンプｔ２、および第３のタイムスタンプｔ３を有する。

タクソノミを形成する場合、変化するレベルのそれぞれが相互に関係付けられる。タイムスタンプｔ１、ｔ２、およびｔ３は、週のうちの特定の時間に発生する。したがって、各タイムスタンプｔ１、ｔ２、およびｔ３は、土曜日１０８などの週のうちの特定の曜日としてカテゴリ化することが可能であり、週末１０４などの週のうちの時間としてカテゴリ化することが可能である。言い換えれば、後続の各レベルは、前のレベルの単一または複数のサブセットである。

これに応じて、タイムスタンプが属するサブセットに関する各タイムスタンプｔ１、ｔ２、およびｔ３に、数値を関係付けることができる。この種のカテゴリ化は「クラスタ」と呼ばれ、その定式化は「クラスタリング」として知られている。その後、この数値を使用して脅威のレベルを特定することができる。

セキュリティ分析には、通常、イベントの組み合わせおよび順序とわかっている侵入とを相関させる必要がある。可能な組み合わせおよび順序は莫大な数であるため、有用なパターンを識別するのは極端に困難な可能性がある。図１のサンプル・タクソノミなどのタクソノミを利用するクラスタ分析は、可能な組み合わせおよび順序の数をリアルタイムでより速く処理されるサイズにまで削減するための効果的なデータ削減ツールである。クラスタリングは、オブジェクトをカテゴリまたはクラスタにグループ化することを追求し、カテゴリのオブジェクトは同様の特徴を有する。

ほとんどのパターン分析は、類似点および相違点の量的または数値的測定値を使用して非常に適切に実行される。しかしながら、多くの有用な測定値およびパターンは質的または主観的であるため、類似点および相違点の測定値に容易に修正できるようにする特性を持たない。たとえば、バナナ、岩、およびヨーヨーの間の類似点の程度を決定する際に、量的測定値を一貫して適用することは困難である。

セキュリティにおいてＩＰアドレス（たとえば９．８．７６５．４３）などの共通の測定値が考えられる場合、この「数値」は実際には一致を表す。異なるＩＰアドレスは、セキュリティの観点から意味のある異なる特性を有する可能性がある。たとえば図１に示すように、アドレスが動的な場合、これらは特定のＩＰプロバイダ、特定の地理、または曜日を表す。

図面のうちの図２を参照すると、参照番号２００は、関連するセキュリティの脅威を識別するシステムを示すブロック図を全体として指定する。システム２００は、コンピュータ・ネットワーク２０１、情報技術コンピュータ（ＩＴ）インフラストラクチャ２０３、サーバおよび侵入検出器２０４、ならびに偽陽性／真陽性検出器２０５を備える。

コンピュータ・ネットワーク２０１は、第１の通信チャネル２１０を介してネットワーク・スキャナ２０２に結合される。またコンピュータ・ネットワーク２０１は、第２の通信チャネル２１１を介してＩＴコンピュータ・インフラストラクチャ２０３にも結合される。コンピュータ・ネットワーク２０１は、インターネットを含むがこれに限定されることのない、任意のタイプを有することもできる。さらに、前述の通信チャネルのうちのいずれかが、無線リンク、パケット交換チャネル、回路交換または直接通信チャネル、情報転送の任意の他のチャネル、ならびにこうしたチャネルの任意の組み合わせを包含することになる。さらに、前述の通信チャネルのうちのいずれかを、図２に示されるように複数の通信チャネルまたは単一の通信チャネルを介して各構成要素に結合することができる。

ネットワーク・スキャナ２０２はシステム２００の他の要素である。ネットワーク・スキャナ２０２は、ＩＴコンピュータ・インフラストラクチャ２０３の脅威の事前評価（assessment）分析を提供する。ネットワーク・スキャナ２０２は、第３の通信チャネル２１２を介してＩＴコンピュータ・インフラストラクチャ２０３に結合される。ネットワーク・スキャナは、第１の通信チャネル２１０を介してコンピュータ・ネットワーク２０１にも結合される。加えてネットワーク・スキャナ２０２は、第４の通信チャネル２１３を介して偽陽性／真陽性検出器２０５にも結合される。攻撃のシミュレーションおよび様々な他の技法を介して、ネットワーク・スキャナは、攻撃に関する可能性のあるパターンを特定することができる。言い換えれば、ネットワーク・スキャナ２０２は、観察可能なデータを有意味の構造に編成するかまたはタクソノミを展開する。たとえば、特定の会社から検出された使用量それ自体は有用でない可能性があるが、他のデータと併用して攻撃に対応する相関関係が展開される場合がある。ＣｙｃＳｅｃｕｒｅ（登録商標）（Ｃｙｃｏｒｐ，Ｉｎｃ．，Ｓｕｉｔｅ １００， ３７２１ Ｅｘｅｃｕｔｉｖｅ Ｃｅｎｔｅｒ Ｄｒｉｖｅ， Ａｕｓｔｉｎ， ＴＸ ７８７３１の登録商標および製品）などの、ネットワーク・スキャンを提供してタクソノミを展開する、いくつかのサービスがある。さらに、前述の通信チャネルのいずれかが、無線回線、パケット交換チャネル、直接通信チャネル、およびこの３つの任意の組み合わせを包含することになる。さらに、図２に示されるように、前述の通信チャネルのいずれかを複数の通信チャネルまたは単一の通信を介して各構成要素に結合することができる。

ＩＴコンピュータ・インフラストラクチャ２０３は、保護を必要とする構成要素である。ＩＴコンピュータ・インフラストラクチャ２０３は、第２の通信チャネル２１１を介してコンピュータ・ネットワークに結合される。また、ＩＴコンピュータ・インフラストラクチャ２０３は、第３の通信チャネル２１２を介してネットワーク・スキャナ２０２にも結合される。ＩＴコンピュータ・インフラストラクチャ２０３は、第５の通信チャネル２１４を介してサーバおよび侵入検出器２０４にも結合される。ＩＴコンピュータ・インフラストラクチャ２０３は、単一または複数のコンピュータあるいはサーバまたはその両方からなることができる。ＩＴコンピュータ・インフラストラクチャ２０３は、企業が運営に使用するフレームワークも提供する。さらに、前述の通信チャネルのいずれかが、無線回線、パケット交換チャネル、直接通信チャネル、およびこの３つの任意の組み合わせを包含することになる。さらに、図２に示されるように、前述の通信チャネルのいずれかを複数の通信チャネルまたは単一の通信を介して各構成要素に結合することができる。

サーバおよび侵入検出器２０４は、ＩＴコンピュータ・インフラストラクチャ２０３を監視する。サーバおよび侵入検出器２０４は、第５の通信チャネル２１４を介してＩＴコンピュータ・インフラストラクチャ２０３に結合される。また、サーバおよび侵入検出器２０４は、第６の通信チャネル２１５を介して偽陽性／真陽性検出器２０５にも結合される。サーバおよび侵入検出器は、ＩＴコンピュータ・インフラストラクチャ２０３上での実際の使用量および攻撃を監視し、ネットワーク侵入レポートを生成する。サーバおよび侵入検出器２０４は、偽陽性／真陽性検出器２０５からＩＴコンピュータ・インフラストラクチャ２０３へ比較データをリレーして、意味クラスタ分析を改良することもできる。さらに、前述の通信チャネルのいずれかが、無線回線、パケット交換チャネル、直接通信チャネル、およびこの３つの任意の組み合わせを包含することになる。さらに、図２に示されるように、前述の通信チャネルのいずれかを複数の通信チャネルまたは単一の通信を介して各構成要素に結合することができる。

偽陽性／真陽性検出器２０５は、脅威の事前評価の正確さを向上させる更新構成要素である。偽陽性／真陽性検出器２０５は、第４の通信チャネル２１３を介してネットワーク・スキャナに結合される。また偽陽性／真陽性検出器２０５は、第６の通信チャネル２１５を介してサーバおよび侵入検出器にも結合される。偽陽性／真陽性検出器２０５は、ネットワーク・スキャナ２０２から生成されたデータとサーバおよび侵入検出器２０４から生成されたデータとを比較して、偽陽性であると特定された識別済み脅威と、真陽性であると特定された識別済み脅威との相違点を特定する。脅威の区別が実施されると、脅威は優先順位付けされ、ＩＴコンピュータ・インフラストラクチャの防御ソフトウェアが更新される。偽陽性／真陽性検出器２０５によって使用される脅威の分析方法について、以下および図３の流れ図で詳細に説明する。さらに、前述の通信チャネルのいずれかが、無線リンク、パケット交換チャネル、回路交換または直接通信チャネル、情報転送の任意の他のチャネル、ならびにこうしたチャネルの任意の組み合わせを包含することになる。さらに、前述の通信チャネルのうちのいずれかを、図２に示されるように複数の通信チャネルまたは単一の通信チャネルを介して各構成要素に結合することができる。

図３を参照すると、参照番号３００は、関連するセキュリティの脅威を識別する方法を示す流れ図を全体として指定する。

ステップ３０１で、ネットワーク侵入検出装置が監査される。図２のシステム２００は、図２のネットワーク・スキャナ２０２などの様々なネットワーク・スキャン装置を監視することができる。図２のネットワーク・スキャナ２０２は、図２のＩＴコンピュータ・インフラストラクチャ２０３の防御構造の弱点について脅威の事前評価を実行する。図２の偽陽性／真陽性検出器２０５は、脅威の事前評価を介して特定されたすべての可能性のある脅威を取得するために、図２のネットワーク・スキャナ２０２の結果を監査する。

ステップ３０２で、ネットワーク侵入レポートが取り出される。図２のサーバおよび侵入検出器２０４は、侵入およびセキュリティ低下の実際の測定値を作成する。図２のシステム２００を監視することから、図２のサーバおよび侵入検出器２０４は、ネットワーク侵入レポートを生成し、図２の偽陽性／真陽性検出器２０５にこのレポートを転送する。

ステップ３０３、３０４、および３０５で、ネットワーク侵入レポートと脅威の事前評価とが比較される。図２の偽陽性／真陽性検出器２０５がこの比較を実行する。比較することにより、図２の偽陽性／真陽性検出器２０５は、事前評価された脅威のいずれが実際の脅威であるか、および事前評価された脅威のいずれが良性（benign）であるかを特定することができる。その後図２の偽陽性／真陽性検出器２０５は、事前評価された脅威が良性である場合、ステップ３０４で、事前評価された脅威を偽陽性に分類することができる。また、図２の偽陽性／真陽性検出器２０５は、事前評価された脅威が実際の脅威である場合、ステップ３０５で、事前評価された脅威を真陽性に分類することができる。

ステップ３０６、３０７、および３０８で、意味クラスタリングが改良される。図２のＩＴコンピュータ・インフラストラクチャ２０３の防御アルゴリズムは、分類済みの事前評価された脅威を、図２の偽陽性／真陽性検出器２０５からリアルタイムで受け取る。精密な分類は、防御アルゴリズムが、以前に誤って実際のセキュリティ・リスクであると特定された可能性のある良性の使用を可能にするための防御アルゴリズムを有する意味クラスタリングを、高速で更新できるようにする。さらにステップ３０７で、真陽性はサイズごとにソートされ、ステップ３０８で、ユーザ定義の優先順位に従って優先順位付けされる。真陽性セキュリティ脅威の編成により、図２のＩＴコンピュータ・インフラストラクチャ２０３の防御をより良くすることができる。したがって、図３の改良型技法は、パターン・スペースのサイズを小さくし、多くの偽インスタンスを起動することなく潜在的な脅威を識別する。

前述の説明から、本発明の好ましい実施形態において、その真の趣旨を逸脱することなく、様々な修正および変更が実行可能であることをさらに理解されよう。この説明は単なる例示の目的であると意図されたものであり、限定的な意味であるとみなすべきではない。本発明の範囲は、添付の特許請求の範囲の言い回しによってのみ限定されるものとする。

以上、本発明について、ある特定の好ましい諸実施形態を参照しながら説明してきたが、開示された諸実施形態は、本来限定的でなく例示的であり、前述の開示では広範囲におよぶ変形、修正、変更、および置き換えが企図され、一部のインスタンスでは、対応する他の特徴を使用することなく本発明のいくつかの特徴が採用できることに留意されたい。多くのこうした変形および修正が、好ましい諸実施形態の前述の説明を再検討することに基づいて、当業者によって望ましいとみなされる場合がある。したがって、添付の特許請求の範囲は、広範囲にわたって、および本発明の範囲と一致する様式で、解釈されることが適切である。

サンプル・タクソノミを示すブロック図である。 関連するセキュリティの脅威を識別するためのシステムを示すブロック図である。 関連するセキュリティの脅威を識別するための方法を示す流れ図である。

Claims (1)

1. 少なくとも１つの可能性のある侵入（ネットワークからのアクセスがあったときにそれが侵入である可能性があるもの）を特定するために少なくとも１つのタクソノミを利用する、ネットワーク・スキャナと、
   少なくとも１つの実際の侵入を検出する、侵入検出器と、
   前記少なくとも１つのタクソノミを更新するために、前記少なくとも１つの可能性のある侵入と前記少なくとも１つの実際の侵入とを比較する、偽陽性／真陽性（ＦＰＴＰ）検出器とを備え、
   前記ＦＰＴＰ検出器が、前記少なくとも１つの可能性のある侵入を、良性である場合に偽陽性に分類し、実際の侵入である場合に真陽性に分類する、情報技術（ＩＴ）インフラストラクチャに結合された、コンピュータ・セキュリティの脅威を特定するための装置。

Images