JP5385867B2 - データ転送装置及びアクセス解析方法 - Google Patents

Description

本発明は、データ転送装置及びアクセス解析方法に関する。

近年、インターネットの普及に伴い、個人情報の管理やアプリケーションを配信するサーバ装置に対するサイバー攻撃が急増し、社会問題となっている。かかるサイバー攻撃の例としては、正規ユーザのサーバ装置や端末装置等に不正アクセスするための攻撃ツールプログラムであるマルウェアを利用したＤＤｏＳ（Distributed Denial of Services）攻撃、スパム送信及び情報盗難等が挙げられる。このようなサイバー攻撃では、主に既存のサーバ装置を乗っ取り、乗っ取ったサーバ装置を利用して他のサーバ装置を攻撃する形で実施されることが多い。

サイバー攻撃を対処する技術としては、例えば、ファイアウォール機能と転送データ監視機能とがルータ等のパケット転送装置に実装されたサーバ監視機能を、攻撃対象となるサーバ装置の前段に配置する技術がある。サーバ監視機能では、送受信されるデータの内容やパケットヘッダの内容に応じて通信が制御される。

詳細には、セキュリティベンダによって収集及び解析された攻撃について、攻撃者がサーバ装置に対して取り得る送信メッセージパターンがシグネチャ化され、シグネチャにマッチする送信メッセージをサーバ監視機能でフィルタする。これにより、サーバ監視機能は、攻撃者の不正アクセスからサーバ装置を防御できる。

また、既存の攻撃を収集及び解析する手法としては、ハニーポットがある。かかるハニーポットは、低対話型と高対話型とに分類される。このうち、低対話型ハニーポットは、特定のオペレーションシステムやアプリケーション等のソフトウェアの動作をエミュレートして、攻撃を監視するものである。一方、高対話型ハニーポットは、脆弱性のある実際のソフトウェアを利用して攻撃を監視するものである。

すなわち、低対話型ハニーポットは、エミュレートした範囲に機能が制限されるため、攻撃の被害を受けることなく、比較的安全に攻撃の情報を収集することができるものの、収集可能な情報が制限される。一方、高対話型ハニーポットは、実際に攻撃を受けてから挙動を観測するため、攻撃に伴う被害が発生する可能性があるものの、低対話型ハニーポットよりも攻撃時の情報を詳細に観測できる。これらにより、収集可能な攻撃の情報量は、高対話型ハニーポットがより有用となる。

八木 毅，谷本 直人，針生 剛男，伊藤 光恭，「高対話型Ｗｅｂハニーポットにおける攻撃情報収集方式の改善」，情報処理学会，コンピュータセキュリティシンポジウム２００９．

しかしながら、上述した従来技術では、攻撃対象への攻撃に関する検知精度が低下するという課題がある。具体的には、従来技術に係る高対話型ハニーポットでは、攻撃対象として狙われたプログラムの配置箇所と宛先のＵＲＬ（Uniform Resource Locator）に記述されたパスが一致しない等の理由により失敗する攻撃について、攻撃を受け付けられないメッセージ等を攻撃者側に送信することしかできない。すなわち、従来技術に係る高対話型ハニーポットでは、攻撃に関する多くの情報を収集することができない。

また、攻撃に関する多くの情報を収集するために、攻撃を故意に成功させたとしても、プログラムの実際の配置箇所とパスが大きく異なる攻撃は失敗してしまうので、該攻撃に関する情報はほとんど収集できない。これらにより、従来技術では、多数の攻撃を収集したとしても、攻撃に対する防御のために抽出可能な攻撃の情報量が減少するので、攻撃対象への攻撃に関する検知精度が低下する。

そこで、本願に開示する技術は、上記に鑑みてなされたものであって、攻撃対象への攻撃に関する検知精度を向上させることが可能なデータ転送装置及びアクセス解析方法を提供することを目的とする。

上述した課題を解決し、目的を達成するため、本願に開示するデータ転送装置は、データを転送するデータ転送装置であって、ファイルが格納された場所を示すパス情報と、データの転送先となる装置を示すデータ転送先装置情報とを対応付けて記憶するデータ転送テーブルと、データの転送先となる装置に対して送信される転送データに含まれる統一資源位置指定子を抽出し、抽出された統一資源位置指定子に対応するパス情報が前記データ転送テーブルに記憶されているか否かを判定する判定部と、前記判定部によってパス情報が前記データ転送テーブルに記憶されていると判定された場合に、該パス情報に対応するデータ転送先装置情報に該当する装置に前記転送データを転送し、パス情報が前記データ転送テーブルに記憶されていないと判定された場合に、予め決定された装置に前記転送データを転送する転送部とを有する。

また、本願に開示するアクセス解析方法は、データを転送するデータ転送装置で実行されるアクセス解析方法であって、データの転送先となる装置に対して送信される転送データに含まれる統一資源位置指定子を抽出する抽出ステップと、前記抽出ステップによって抽出された統一資源位置指定子に対応するパス情報が、ファイルが格納された場所を示すパス情報と、データの転送先となる装置を示すデータ転送先装置情報とを対応付けて記憶するデータ転送テーブルに記憶されているか否かを判定する判定ステップと、前記判定ステップによってパス情報が前記データ転送テーブルに記憶されていると判定された場合に、該パス情報に対応するデータ転送先装置情報に該当する装置に前記転送データを転送し、パス情報が前記データ転送テーブルに記憶されていないと判定された場合に、予め決定された装置に前記転送データを転送する転送ステップとを含む。

本願に開示するデータ転送装置及びアクセス解析方法の一つの様態によれば、攻撃対象への攻撃に関する検知精度を向上させることができるという効果を奏する。

図１は、データ転送装置を適用するネットワークモデルの例を示す図である。 図２は、ＵＲＬの例を示す図である。 図３は、データ転送装置を適用するネットワークモデルの例を示す図である。 図４は、実施例１に係るデータ転送装置の構成例を示す図である。 図５は、実施例１に係るデータ転送テーブルに記憶される情報の例を示す図である。 図６Ａは、サーバ端末のディレクトリ構成例を示す図である。 図６Ｂは、サーバ端末のディレクトリ構成例を示す図である。 図７は、実施例１に係るＵＲＬと出力先との例を示す図である。 図８は、実施例１に係るデータ転送処理の流れの例を示すフローチャートである。 図９は、実施例２に係るデータ転送テーブルに記憶される情報の例を示す図である。 図１０は、実施例２に係るＵＲＬと出力先との例を示す図である。 図１１は、実施例２に係るデータ転送処理の流れの例を示すフローチャートである。 図１２は、実施例３に係るデータ転送テーブルに記憶される情報の例を示す図である。 図１３は、実施例３に係るＵＲＬと出力先との例を示す図である。 図１４は、実施例３に係るデータ転送処理の流れの例を示すフローチャートである。 図１５は、実施例４に係るデータ転送テーブルに記憶される情報の例を示す図である。 図１６は、実施例４に係るＵＲＬと出力先との例を示す図である。 図１７は、実施例４に係るデータ転送処理の流れの例を示すフローチャートである。 図１８は、実施例５に係るデータ転送テーブルに記憶される情報の例を示す図である。 図１９は、実施例５に係るデータ転送処理の流れの例を示すフローチャートである。 図２０は、アクセス解析方法の動作例を説明するためのネットワークモデル例を示す図である。

以下に添付図面を参照して、本願に開示するデータ転送装置及びアクセス解析方法の実施例を説明する。なお、以下の実施例により本発明が限定されるものではない。また、各実施例は、内容を矛盾させない範囲で適宜組み合わせることが可能である。

［ネットワークモデル］
最初に、図１を用いて、本願に係るデータ転送装置を適用するネットワークモデルを説明する。図１は、データ転送装置を適用するネットワークモデルの例を示す図である。

例えば、図１に示すネットワークモデルは、ユーザ端末１１と、ユーザ端末１２と、サーバ端末２１と、サーバ端末２２と、サーバ端末２３と、データ転送装置１００とを有する。これらのうち、データ転送装置１００は、例えば、ハイパーテキスト転送プロトコル等によるデータを転送し、ネットワーク１に含まれる。

このネットワーク１は、例えば、インターネット等の広域なネットワークや、企業ネットワーク等の比較的狭域なネットワークであり、ネットワーク２〜４を収容する。また、ネットワーク２は、サーバ端末２１〜２３を収容し、ネットワーク３は、ユーザ端末１１を収容し、ネットワーク４は、ユーザ端末１２を収容する。

上記構成において、ユーザ端末１１及びユーザ端末１２からサーバ端末２１〜２３へのアクセスは、データ転送装置１００を経由するようにネットワーク２のトポロジが構成される。具体的には、ネットワーク２は、ユーザ端末１１やユーザ端末１２を含まない構成であり、データ転送装置１００は、ネットワーク２のゲートウェイとして配置される。さらに、ネットワーク２は、仮想ネットワークとして１台又は複数の物理サーバ上に実装することも可能であり、かかる場合に、データ転送装置１００やサーバ端末２１〜２３は、ＶＭＷａｒｅやＸｅｎ等の仮想化技術で構築された仮想端末上に構築可能である。

サーバ端末２１には、ホスト名として「ｈｏｓｔ＃１」が割り当てられており、サーバ端末２２には、ホスト名として「ｈｏｓｔ＃２」が割り当てられており、サーバ端末２３には、ホスト名として「ｈｏｓｔ＃３」が割り当てられている。例えば、ユーザ端末１１やユーザ端末１２がサーバ端末２１の「ｄ−Ａ／ｄ−Ｂ／ｄ−Ｃ」というパスに配置されたファイル「ｆｉｌｅ−ａ」にアクセスするためには、宛先のＵＲＬとして、「ｈｔｔｐ：／／ｈｏｓｔ＃１／ｄ−Ａ／ｄ−Ｂ／ｄ−Ｃ／ｆｉｌｅ−ａ」が指定される。

図２は、ＵＲＬの例を示す図である。例えば、図２に示すように、宛先のＵＲＬ「ｈｔｔｐ：／／ｈｏｓｔ＃１／ｄ−Ａ／ｄ−Ｂ／ｄ−Ｃ／ｆｉｌｅ−ａ」のうち、「ｈｔｔｐ：」は、アクセス手段識別子を示す。加えて、「ｈｏｓｔ＃１」は、ホスト名を示し、「ｄ−Ａ／ｄ−Ｂ／ｄ−Ｃ／ｆｉｌｅ−ａ」は、パス名を示し、「ｆｉｌｅ−ａ」は、ファイル名を示す。本願では、ホスト名を参照して転送先を決定せずに、主にパスを参照して転送先を決定する。

次に、図３を用いて、図１とは異なるネットワークモデルを説明する。図３は、データ転送装置を適用するネットワークモデルの例を示す図である。

例えば、図３に示すネットワークモデルは、ユーザ端末１１と、ユーザ端末１２と、データ処理装置４０とを有する。これらのうち、データ処理装置４０は、データ転送装置１００と、データ受信部３１〜３３とを有するサーバ端末であり、ネットワーク１に含まれる。なお、ネットワーク１、ネットワーク３、ネットワーク４、ユーザ端末１１及びユーザ端末１２は、図１に示したものと同一であるためその説明を省略する。また、データ処理装置４０は、ホスト名として「ｈｏｓｔ＃４」が割り当てられたサーバ端末である。

上記構成において、ユーザ端末１１及びユーザ端末１２によるアクセスは、サーバ端末を対象にしたデータの転送ではなく、サーバ端末であるデータ処理装置４０内のデータ転送装置１００に対してデータを受け渡す。本願では、ＵＲＬに含まれるホスト名を有するデータ転送装置１００がデータを受信した場合に、パス名に含まれるプログラムを含むデータ受信部にデータを受け渡すのではなく、パス名の部分一致に応じてデータを受け渡すデータ受信部を設定する。

このようなネットワークモデルを適用する場合には、出力先として内部識別子が指定される。かかる内部識別子には、例えば、プロセスＩＤ（IDentifier）等のデータの受け渡し先の機能を特定できる識別子を適用する。

［データ転送装置の構成］
次に、図４を用いて、実施例１に係るデータ転送装置１００の構成を説明する。図４は、実施例１に係るデータ転送装置１００の構成例を示す図である。例えば、図４に示すように、データ転送装置１００は、記憶部１１０と、制御部１２０とを有し、ハイパーテキスト転送プロトコルによるデータを転送する。

記憶部１１０は、制御部１２０による各種処理に要するデータや、制御部１２０による各種処理結果を記憶し、データ転送テーブル１１１を有する。また、記憶部１１０は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置である。

データ転送テーブル１１１は、パス名に対して出力先を特定するエントリで構成される。具体的には、データ転送テーブル１１１は、ファイルが格納された場所を示すパス名と、データの転送先となる装置を示す出力先とを対応付けて記憶する。

図５は、実施例１に係るデータ転送テーブル１１１に記憶される情報の例を示す図である。例えば、図５に示すように、データ転送テーブル１１１は、パス名「ｄ−Ａ／ｄ−Ｂ／ｄ−Ｃ／ｆｉｌｅ−ａ」と、出力先「ｈｏｓｔ＃２」とを対応付けて記憶する。また、図５では、パス名に対して出力先を特定するエントリが「エントリ００１」である例を示している。

制御部１２０は、制御プログラム、各種の処理手順等を規定したプログラム及び所要データを格納するための内部メモリを有し、宛先ＵＲＬ抽出部１２１と、転送先特定部１２２と、転送部１２３とを有する。また、制御部１２０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路、又は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の電子回路である。

宛先ＵＲＬ抽出部１２１は、データの転送先となる装置に対して送信される転送データに含まれる統一資源位置指定子を抽出する。例えば、宛先ＵＲＬ抽出部１２１は、ユーザ端末からサーバ端末宛てへのパケットを受信した場合に、該パケットに含まれる宛先ＵＲＬを抽出する。

転送先特定部１２２は、宛先ＵＲＬ抽出部１２１によって抽出された統一資源位置指定子に対応するパス情報がデータ転送テーブル１１１に記憶されているか否かを判定し、データを転送する転送先を特定する。例えば、転送先特定部１２２は、宛先ＵＲＬ抽出部１２１によって抽出されたＵＲＬのパス名に基づいてデータ転送テーブル１１１を検索し、該パス名に対応する出力先を特定する。このとき、転送先特定部１２２は、ＵＲＬのパス名とデータ転送テーブル１１１のパス名とが完全一致するエントリを検索する。

転送部１２３は、転送先特定部１２２によって特定された転送先に転送データを転送する。例えば、転送部１２３は、転送先特定部１２２によって特定された出力先にパケットを転送する。また、転送部１２３は、転送先特定部１２２によって転送先が特定されない場合、すなわち一致するパス名がデータ転送テーブル１１１に記憶されていない場合に、予め決定された所定装置に転送データを転送する。

また、転送先がネットワークであり、出力先がホスト名である場合には、上記機能はアプリケーションスイッチとしてレイヤ７での転送を行なう。一方、図３に示したネットワークモデルにおいては、転送先特定部１２２は出力先として装置内のデータ受信部の識別子を特定し、転送部１２３は受信部に対してデータを転送する。具体例を挙げると、転送先特定部１２２は、データ受け渡し先のプロセス識別子を特定し、転送部１２３は、該プロセスにデータを受け渡す。

ここで、図６Ａ、図６Ｂ及び図７を用いて、サーバ端末のディレクトリ構成例と、該ディレクトリ構成に関するＵＲＬと出力先との例を説明する。なお、図６Ａの例は、図１に示したサーバ端末２１のディレクトリ構成を示しており、図６Ｂの例は、図１に示したサーバ端末２２のディレクトリ構成を示している。

例えば、図６Ａに示すように、ホスト名「ｈｏｓｔ＃１」であるサーバ端末２１のディレクトリ構成は、「ｄ−Ａ／ｄ−Ｂ／ｄ−Ｃ／ｆｉｌｅ−ａ」や、「ｄ−Ａ／ｄ−Ｂ／ｄ−Ｃ／ｆｉｌｅ−ｂ」等である。また、例えば、図６Ｂに示すように、ホスト名「ｈｏｓｔ＃２」であるサーバ端末２２のディレクトリ構成は、「ｄ−Ａ／ｄ−Ｂ／ｄ−Ｃ／ｆｉｌｅ−ａ」や、「ｄ−Ａ／ｄ−Ｂ／ｄ−Ｃ／ｆｉｌｅ−ｂ」等である。

図７は、実施例１に係るＵＲＬと出力先との例を示す図である。例えば、図７に示すように、データ転送装置１００は、ＵＲＬに含まれるパス名が「ｄ−Ａ／ｄ−Ｂ／ｄ−Ｃ／ｆｉｌｅ−ａ」である宛先７１及び７２に関しては、ホスト名に関係なく、ホスト名「ｈｏｓｔ＃１」であるサーバ端末２１にデータを転送する。

［実施例１に係るデータ転送処理］
次に、図８を用いて、実施例１に係るデータ転送処理を説明する。図８は、実施例１に係るデータ転送処理の流れの例を示すフローチャートである。

例えば、図８に示すように、データ転送装置１００は、ユーザ端末等から転送データを受信した場合に（ステップＳ１０１肯定）、受信された転送データに含まれるＵＲＬを抽出する（ステップＳ１０２）。なお、データ転送装置１００は、転送データを受信していない場合に（ステップＳ１０１否定）、該転送データの受信待ちの状態となる。

そして、データ転送装置１００は、抽出されたＵＲＬに含まれるパス名がデータ転送テーブル１１１に記憶されているか否かを判定する（ステップＳ１０３）。このとき、データ転送装置１００は、パス名がデータ転送テーブル１１１に記憶されていると判定された場合に（ステップＳ１０３肯定）、データ転送テーブル１１１に記憶されたパス名に対応する出力先の装置に対してデータを転送する（ステップＳ１０４）。一方、データ転送装置１００は、パス名がデータ転送テーブル１１１に記憶されていないと判定された場合に（ステップＳ１０３否定）、予め決定された所定装置に対してデータを転送する（ステップＳ１０５）。

［実施例１による効果］
上述したように、データ転送装置１００は、ＵＲＬに含まれるホスト名に関係なく、攻撃対象となるプログラムが配置されたホストに対してアクセスを転送する。この結果、データ転送装置１００は、攻撃を受け付けない旨のメッセージを攻撃者側に送信したり、攻撃を故意に成功させたりする従来技術と比較して、本来失敗する攻撃を成功させて該攻撃に関する多くの情報を獲得させることができるので、攻撃対象への攻撃に関する検知精度を向上させることができる。

ところで、上記実施例１では、ＵＲＬに全一致するパス名に対応する出力先にデータを転送する場合を説明したが、上位のディレクトリのみの情報としてのパス名に対応する出力先が複数であれば、前方最長一致するパス名に対応する出力先にデータを転送することもできる。そこで、実施例２では、上位のディレクトリのみの情報としてのパス名に対応する出力先が複数であれば、前方最長一致するパス名に対応する出力先にデータを転送する場合を説明する。

［実施例２に係るデータ転送テーブル］
図９を用いて、実施例２に係るデータ転送テーブル１１１を説明する。図９は、実施例２に係るデータ転送テーブル１１１に記憶される情報の例を示す図である。

例えば、図９に示すように、データ転送テーブル１１１は、パス名「ｄ−Ａ」と、出力先「ｈｏｓｔ＃１」とを対応付けて記憶する。また、データ転送テーブル１１１は、パス名「ｄ−Ａ／ｄ−Ｅ」と、出力先「ｈｏｓｔ＃２」とを対応付けて記憶する。すなわち、データ転送テーブル１１１は、ディレクトリ単位に分解され、上位のディレクトリのみの情報としてのパス名と、出力先とを対応付けて記憶する。なお、図９では、パス名に対して出力先を特定するエントリが「エントリ００２」と「エントリ００３」とである例を示している。

図９に示すデータ転送テーブル１１１を利用し、宛先ＵＲＬ抽出部１２１は、例えば、ユーザ端末からサーバ端末宛てへのパケットを受信した場合に、該パケットに含まれる宛先ＵＲＬを抽出する。また、転送先特定部１２２は、宛先ＵＲＬ抽出部１２１によって抽出されたＵＲＬのパス名に基づいてデータ転送テーブル１１１を検索し、該パス名に対応する出力先を特定する。

このとき、転送先特定部１２２は、ＵＲＬのパス名とデータ転送テーブル１１１のパス名とが全一致又は部分一致するエントリを検索する。加えて、転送先特定部１２２は、出力先が複数であれば前方最長一致するパス名に対応するものを出力先として特定する。一方、転送先特定部１２２は、出力先が単数であれば該当するパス名に対応するものを出力先として特定する。

また、転送部１２３は、転送先特定部１２２によって特定された出力先にパケットを転送する。但し、転送部１２３は、転送先特定部１２２によって転送先が特定されない場合、すなわち全一致又は部分一致するエントリがデータ転送テーブル１１１に記憶されていない場合に、予め決定された所定装置にパケットを転送する。

図１０は、実施例２に係るＵＲＬと出力先との例を示す図である。例えば、図１０に示す宛先７３のようにＵＲＬに含まれるパス名の前方が「ｄ−Ａ」である場合に、データ転送装置１００は、ホスト名「ｈｏｓｔ＃１」であるサーバ端末２１にデータを転送する。一方、図１０に示す宛先７４のようにＵＲＬに含まれるパス名の前方が「ｄ−Ａ／ｄ−Ｅ」である場合に、データ転送装置１００は、ホスト名「ｈｏｓｔ＃２」であるサーバ端末２２にデータを転送する。

［実施例２に係るデータ転送処理］
次に、図１１を用いて、実施例２に係るデータ転送処理を説明する。図１１は、実施例２に係るデータ転送処理の流れの例を示すフローチャートである。

例えば、図１１に示すように、データ転送装置１００は、ユーザ端末等から転送データを受信した場合に（ステップＳ２０１肯定）、受信された転送データに含まれるＵＲＬを抽出する（ステップＳ２０２）。なお、データ転送装置１００は、転送データを受信していない場合に（ステップＳ２０１否定）、該転送データの受信待ちの状態となる。

そして、データ転送装置１００は、抽出されたＵＲＬに含まれるパス名に全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されているか否かを判定する（ステップＳ２０３）。このとき、データ転送装置１００は、全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されていると判定された場合に（ステップＳ２０３肯定）、出力先が複数存在するか否かを判定する（ステップＳ２０４）。一方、データ転送装置１００は、全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されていないと判定された場合に（ステップＳ２０３否定）、予め決定された所定装置に対してデータを転送する（ステップＳ２０５）。

また、データ転送装置１００は、出力先が複数存在すると判定された場合に（ステップＳ２０４肯定）、複数の出力先に対応するパス名のうち、ＵＲＬのパス名に前方最長一致するものを特定して、特定されたパス名に対応する出力先の装置に対してデータを転送する（ステップＳ２０６）。一方、データ転送装置１００は、出力先が単数であると判定された場合に（ステップＳ２０４否定）、該出力先の装置に対してデータを転送する（ステップＳ２０７）。

［実施例２による効果］
上述したように、データ転送装置１００は、ＵＲＬのパス名と全一致又は部分一致するパス名に対応する出力先が複数存在する場合に、前方最長一致するパス名に対応する出力先の装置に対してデータを転送する。換言すると、データ転送装置１００は、同一のアプリケーションであっても、攻撃対象となるプログラムが具備されているか否かでアクセスの転送先を変更する。この結果、データ転送装置１００は、アプリケーションのバージョンやインストール済みのプラグインの環境の違いに対しても、攻撃対象となるプログラムが配備されているホストにアクセスを転送するので、攻撃を成功させ、該攻撃に関するより多くの情報を獲得させることができ、攻撃対象への攻撃に関する検知精度を向上させることができる。

ところで、上記実施例２では、複数の出力先のうちパス名が前方最長一致するものにデータを転送する場合を説明したが、複数の出力先のうちパス名が後方最長一致するものにデータを転送することもできる。そこで、実施例３では、複数の出力先のうちパス名が後方最長一致するものにデータを転送する場合を説明する。

［実施例３に係るデータ転送テーブル］
図１２を用いて、実施例３に係るデータ転送テーブル１１１を説明する。図１２は、実施例３に係るデータ転送テーブル１１１に記憶される情報の例を示す図である。

例えば、図１２に示すように、データ転送テーブル１１１は、パス名「ｆｉｌｅ−ａ」と、出力先「ｈｏｓｔ＃１」とを対応付けて記憶する。また、データ転送テーブル１１１は、パス名「ｄ−Ｃ／ｆｉｌｅ−ａ」と、出力先「ｈｏｓｔ＃３」とを対応付けて記憶する。すなわち、データ転送テーブル１１１は、ディレクトリ単位に分解され、上位のディレクトリのみの情報としてのパス名と、出力先とを対応付けて記憶する。なお、図１２では、パス名に対して出力先を特定するエントリが「エントリ００４」と「エントリ００５」とである例を示している。

図１２に示すデータ転送テーブル１１１を利用し、宛先ＵＲＬ抽出部１２１は、例えば、ユーザ端末からサーバ端末宛てへのパケットを受信した場合に、該パケットに含まれる宛先ＵＲＬを抽出する。また、転送先特定部１２２は、宛先ＵＲＬ抽出部１２１によって抽出されたＵＲＬのパス名に基づいてデータ転送テーブル１１１を検索し、該パス名に対応する出力先を特定する。

このとき、転送先特定部１２２は、ＵＲＬのパス名とデータ転送テーブル１１１のパス名とが全一致又は部分一致するエントリを検索する。加えて、転送先特定部１２２は、出力先が複数であれば後方最長一致するパス名に対応するものを出力先として特定する。一方、転送先特定部１２２は、出力先が単数であれば該当するパス名に対応するものを出力先として特定する。

また、転送部１２３は、転送先特定部１２２によって特定された出力先にパケットを転送する。但し、転送部１２３は、転送先特定部１２２によって転送先が特定されない場合、すなわち全一致又は部分一致するエントリがデータ転送テーブル１１１に記憶されていない場合に、予め決定された所定装置にパケットを転送する。

図１３は、実施例３に係るＵＲＬと出力先との例を示す図である。例えば、図１３に示す宛先７５のようにＵＲＬに含まれるパス名の後方が「ｆｉｌｅ−ａ」である場合に、データ転送装置１００は、ホスト名「ｈｏｓｔ＃１」であるサーバ端末２１にデータを転送する。一方、図１３に示す宛先７６のようにＵＲＬに含まれるパス名の後方が「ｄ−Ｃ／ｆｉｌｅ−ａ」である場合に、データ転送装置１００は、ホスト名「ｈｏｓｔ＃３」であるサーバ端末２３にデータを転送する。

［実施例３に係るデータ転送処理］
次に、図１４を用いて、実施例３に係るデータ転送処理を説明する。図１４は、実施例３に係るデータ転送処理の流れの例を示すフローチャートである。

例えば、図１４に示すように、データ転送装置１００は、ユーザ端末等から転送データを受信した場合に（ステップＳ３０１肯定）、受信された転送データに含まれるＵＲＬを抽出する（ステップＳ３０２）。なお、データ転送装置１００は、転送データを受信していない場合に（ステップＳ３０１否定）、該転送データの受信待ちの状態となる。

そして、データ転送装置１００は、抽出されたＵＲＬに含まれるパス名に全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されているか否かを判定する（ステップＳ３０３）。このとき、データ転送装置１００は、全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されていると判定された場合に（ステップＳ３０３肯定）、出力先が複数存在するか否かを判定する（ステップＳ３０４）。一方、データ転送装置１００は、全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されていないと判定された場合に（ステップＳ３０３否定）、予め決定された所定装置に対してデータを転送する（ステップＳ３０５）。

また、データ転送装置１００は、出力先が複数存在すると判定された場合に（ステップＳ３０４肯定）、複数の出力先に対応するパス名のうち、ＵＲＬのパス名に後方最長一致するものを特定して、特定されたパス名に対応する出力先の装置に対してデータを転送する（ステップＳ３０６）。一方、データ転送装置１００は、出力先が単数であると判定された場合に（ステップＳ３０４否定）、該出力先の装置に対してデータを転送する（ステップＳ３０７）。

［実施例３による効果］
上述したように、データ転送装置１００は、ＵＲＬのパス名と全一致又は部分一致するパス名に対応する出力先が複数存在する場合に、後方最長一致するパス名に対応する出力先の装置に対してデータを転送する。換言すると、データ転送装置１００は、複数のホストのパス構造が類似していても、攻撃対象となるプログラムが配置されている可能性がより高いホストにアクセスを転送できる。この結果、データ転送装置１００は、類似するプログラム名が複数存在する環境において、攻撃対象となるプログラムが配置されているホストにアクセスを転送するので、攻撃を成功させ、該攻撃に関するより多くの情報を獲得させることができ、攻撃対象への攻撃に関する検知精度を向上させることができる。

ところで、上記実施例２又は３では、複数の出力先のうちパス名が前方最長一致或いは後方最長一致するものにデータを転送する場合を説明したが、複数の出力先のうちパス名が最長一致するものにデータを転送することもできる。そこで、実施例４では、複数の出力先のうちパス名が最長一致するものにデータを転送する場合を説明する。

［実施例４に係るデータ転送テーブル］
図１５を用いて、実施例４に係るデータ転送テーブル１１１を説明する。図１５は、実施例４に係るデータ転送テーブル１１１に記憶される情報の例を示す図である。

例えば、図１５に示すように、データ転送テーブル１１１は、パス名「ｄ−Ｇ／ｄ−Ｄ」と、出力先「ｈｏｓｔ＃２」とを対応付けて記憶する。また、データ転送テーブル１１１は、パス名「ｄ−Ｇ」と、出力先「ｈｏｓｔ＃１」とを対応付けて記憶する。また、データ転送テーブル１１１は、パス名「＊」と、出力先「ｈｏｓｔ＃３」とを対応付けて記憶する。図１５では、パス名に対して出力先を特定するエントリが「エントリ００６」と「エントリ００７」と「エントリ００８」とである例を示している。また、図１５に示す「エントリ００８」のパス名「＊」は、他のエントリに該当しないパス名を持つＵＲＬを含んだ転送データを「ｈｏｓｔ＃３」に出力することを意味している。

図１５に示すデータ転送テーブル１１１を利用し、宛先ＵＲＬ抽出部１２１は、例えば、ユーザ端末からサーバ端末宛てへのパケットを受信した場合に、該パケットに含まれる宛先ＵＲＬを抽出する。また、転送先特定部１２２は、宛先ＵＲＬ抽出部１２１によって抽出されたＵＲＬのパス名に基づいてデータ転送テーブル１１１を検索し、該パス名に対応する出力先を特定する。

このとき、転送先特定部１２２は、ＵＲＬのパス名とデータ転送テーブル１１１のパス名とが全一致又は部分一致するエントリを検索する。加えて、転送先特定部１２２は、出力先が複数であれば最長一致するパス名に対応するものを出力先として特定する。一方、転送先特定部１２２は、出力先が単数であれば該当するパス名に対応するものを出力先として特定する。

また、転送部１２３は、転送先特定部１２２によって特定された出力先にパケットを転送する。但し、転送部１２３は、転送先特定部１２２によって転送先が特定されない場合、すなわち全一致又は部分一致するエントリがデータ転送テーブル１１１に記憶されていない場合に、予め決定された所定装置にパケットを転送する。

図１６は、実施例４に係るＵＲＬと出力先との例を示す図である。例えば、図１６に示す宛先７７のようにＵＲＬに含まれるパス名に「ｄ−Ｇ」が存在する場合に、データ転送装置１００は、ホスト名「ｈｏｓｔ＃１」であるサーバ端末２１にデータを転送する。一方、図１６に示す宛先７８のようにＵＲＬに含まれるパス名に「ｄ−Ｇ／ｄ−Ｄ」が存在する場合に、データ転送装置１００は、ホスト名「ｈｏｓｔ＃２」であるサーバ端末２２にデータを転送する。

［実施例４に係るデータ転送処理］
次に、図１７を用いて、実施例４に係るデータ転送処理を説明する。図１７は、実施例４に係るデータ転送処理の流れの例を示すフローチャートである。

例えば、図１７に示すように、データ転送装置１００は、ユーザ端末等から転送データを受信した場合に（ステップＳ４０１肯定）、受信された転送データに含まれるＵＲＬを抽出する（ステップＳ４０２）。なお、データ転送装置１００は、転送データを受信していない場合に（ステップＳ４０１否定）、該転送データの受信待ちの状態となる。

そして、データ転送装置１００は、抽出されたＵＲＬに含まれるパス名に全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されているか否かを判定する（ステップＳ４０３）。このとき、データ転送装置１００は、全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されていると判定された場合に（ステップＳ４０３肯定）、出力先が複数存在するか否かを判定する（ステップＳ４０４）。一方、データ転送装置１００は、全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されていないと判定された場合に（ステップＳ４０３否定）、予め決定された所定装置に対してデータを転送する（ステップＳ４０５）。

また、データ転送装置１００は、出力先が複数存在すると判定された場合に（ステップＳ４０４肯定）、複数の出力先に対応するパス名のうち、ＵＲＬのパス名に最長一致するものを特定して、特定されたパス名に対応する出力先の装置に対してデータを転送する（ステップＳ４０６）。一方、データ転送装置１００は、出力先が単数であると判定された場合に（ステップＳ４０４否定）、該出力先の装置に対してデータを転送する（ステップＳ４０７）。

［実施例４による効果］
上述したように、データ転送装置１００は、ＵＲＬのパス名と全一致又は部分一致するパス名に対応する出力先が複数存在する場合に、最長一致するパス名に対応する出力先の装置に対してデータを転送する。換言すると、データ転送装置１００は、攻撃者が攻撃対象としている可能性が最も高い宛先にアクセスを転送できる。この結果、データ転送装置１００は、アプリケーションのバージョンの微小な変化に伴い、攻撃対象となるプログラム名が変更されている場合であっても、攻撃対象となるプログラムが配置されているホストにアクセスを転送するので、攻撃を成功させ、該攻撃に関するより多くの情報を獲得させることができ、攻撃対象への攻撃に関する検知精度を向上させることができる。

ところで、上記実施例１〜４では、パス名に対応する出力先にデータを転送する場合を説明したが、データの転送先となる装置を識別するホスト名が一致しないときに予め決定された出力先にデータを転送することもできる。そこで、実施例５では、データの転送先となる装置を識別するホスト名が一致しないときに予め決定された出力先にデータを転送する場合を説明する。

［実施例５に係るデータ転送テーブル］
図１８を用いて、実施例５に係るデータ転送テーブル１１１を説明する。図１８は、実施例５に係るデータ転送テーブル１１１に記憶される情報の例を示す図である。

例えば、図１８に示すように、データ転送テーブル１１１は、ファイルが格納された場所を示す「パス名」と、データの転送先となる装置を識別する「ホスト名」と、データの転送先となる装置を示す「出力先」とを対応付けて記憶する。具体的に例を挙げると、データ転送テーブル１１１は、パス名「ｄ−Ａ／ｄ−Ｂ／ｄ−Ｃ／ｆｉｌｅ−ａ」と、ホスト名「ｈｏｓｔ＃１，ｈｏｓｔ＃２」と、出力先「ｈｏｓｔ＃２」とを対応付けて記憶する。

また、データ転送テーブル１１１は、パス名「ｄ−Ａ」と、ホスト名「＊」と、出力先「ｈｏｓｔ＃１」とを対応付けて記憶する。また、データ転送テーブル１１１は、パス名「ｄ−Ａ／ｄ−Ｅ」と、ホスト名「ｈｏｓｔ＃１，ｈｏｓｔ＃３」と、出力先「ｈｏｓｔ＃２」とを対応付けて記憶する。また、データ転送テーブル１１１は、パス名「ｆｉｌｅ−ａ」と、ホスト名「ｈｏｓｔ＃１，ｈｏｓｔ＃２」と、出力先「ｈｏｓｔ＃１」とを対応付けて記憶する。

また、データ転送テーブル１１１は、パス名「ｄ−Ｃ／ｆｉｌｅ−ａ」と、ホスト名「ｈｏｓｔ＃２，ｈｏｓｔ＃３」と、出力先「ｈｏｓｔ＃３」とを対応付けて記憶する。また、データ転送テーブル１１１は、パス名「ｄ−Ｇ／ｄ−Ｄ」と、ホスト名「＊」と、出力先「ｈｏｓｔ＃２」とを対応付けて記憶する。また、データ転送テーブル１１１は、パス名「ｄ−Ｇ」と、ホスト名「＊」と、出力先「ｈｏｓｔ＃１」とを対応付けて記憶する。

図１８に示すデータ転送テーブル１１１を利用し、宛先ＵＲＬ抽出部１２１は、例えば、ユーザ端末からサーバ端末宛てへのパケットを受信した場合に、該パケットに含まれる宛先ＵＲＬを抽出する。また、転送先特定部１２２は、宛先ＵＲＬ抽出部１２１によって抽出されたＵＲＬのパス名に基づいてデータ転送テーブル１１１を検索し、該パス名に対応する出力先を特定する。

このとき、転送先特定部１２２は、ＵＲＬのパス名とデータ転送テーブル１１１のパス名とが全一致又は部分一致するエントリを検索する。加えて、転送先特定部１２２は、パス名に対応するホスト名がＵＲＬに含まれるホスト名と一致するか否かを判定し、一致する場合にパス名に対応するものを出力先として特定する。

また、転送部１２３は、転送先特定部１２２によって特定された出力先にパケットを転送する。但し、転送部１２３は、転送先特定部１２２によって転送先が特定されない場合、ホスト名が一致しないと判定された場合に、予め決定された所定装置にパケットを転送する。

［実施例５に係るデータ転送処理］
次に、図１９を用いて、実施例５に係るデータ転送処理を説明する。図１９は、実施例５に係るデータ転送処理の流れの例を示すフローチャートである。

例えば、図１９に示すように、データ転送装置１００は、ユーザ端末等から転送データを受信した場合に（ステップＳ５０１肯定）、受信された転送データに含まれるＵＲＬを抽出する（ステップＳ５０２）。なお、データ転送装置１００は、転送データを受信していない場合に（ステップＳ５０１否定）、該転送データの受信待ちの状態となる。

そして、データ転送装置１００は、抽出されたＵＲＬに含まれるパス名に全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されているか否かを判定する（ステップＳ５０３）。このとき、データ転送装置１００は、全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されていると判定された場合に（ステップＳ５０３肯定）、パス名に対応するホスト名がＵＲＬに含まれるホスト名と一致するか否かを判定する（ステップＳ５０４）。

続いて、データ転送装置１００は、一致するホスト名が存在する場合に（ステップＳ５０４肯定）、パス名に対応する出力先の装置に対しデータを転送する（ステップＳ５０５）。一方、データ転送装置１００は、全一致又は部分一致するパス名がデータ転送テーブル１１１に記憶されていないと判定された場合（ステップＳ５０３否定）、一致するホスト名が存在しない場合に（ステップＳ５０４否定）、予め決定された所定装置に対してデータを転送する（ステップＳ５０６）。

［実施例５による効果］
上述したように、データ転送装置１００は、ＵＲＬのパス名と全一致又は部分一致するパス名に対応するホスト名がＵＲＬに含まれるホスト名と一致する場合に、該パス名に対応する出力先の装置に対してデータを転送する。換言すると、データ転送装置１００は、管理対象外となるホスト宛てへの通信をフィルタして、不自然な挙動の発生を防止する。この結果、データ転送装置１００は、攻撃者に攻撃を収集する機構が発見され、以後の攻撃対象から除外されるような事態を回避し、継続的に攻撃に関する情報を獲得させることができるので、攻撃対象への攻撃に関する検知精度を向上させることができる。

さて、これまで本願に開示するデータ転送装置の実施例について説明したが、上述した実施例以外にも種々の異なる形態にて実施されてよいものである。そこで、（１）アクセス解析方法の動作、（２）ホスト名の変換、（３）装置の構成、において異なる実施例を説明する。

（１）アクセス解析方法の動作
図２０を用いて、上記実施例を用いたアクセス解析方法の動作を説明する。図２０は、アクセス解析方法の動作例を説明するためのネットワークモデル例を示す図である。

例えば、図２０に示すネットワークモデルは、ユーザ端末１１と、ユーザ端末１２と、囮サーバ装置５１と、囮サーバ装置５２と、囮模倣サーバ装置５３と、データ転送装置１００とを有する。これらのうち、データ転送装置１００は、例えば、ネットワーク１に含まれる。このネットワーク１は、ネットワーク２〜４を収容し、ネットワーク２は、囮サーバ装置５１、囮サーバ装置５２及び囮模倣サーバ装置５３を収容する。また、ネットワーク３は、ユーザ端末１１を収容し、ネットワーク４は、ユーザ端末１２を収容する。また、囮サーバ装置５１と囮サーバ装置５２とは、異なるディレクトリ構造を有し、搭載されるアプリケーションのプラグインやバージョン等も異なる可能性がある。

上記構成において、データ転送装置１００は、ネットワーク３或いはネットワーク４からデータを受信した場合にＵＲＬを参照し、ＵＲＬに含まれるパス名とデータ転送テーブル１１１に含まれるパス名とに基づき出力先を特定する。そして、データ転送装置１００は、特定された出力先に基づいて、囮サーバ装置５１、囮サーバ装置５２或いは囮模倣サーバ装置５３に対してデータを転送する。

このとき、データ転送テーブル１１１には、各囮サーバ装置が有するディレクトリ構造の各パスから、各囮サーバ装置を出力先として特定するエントリで構成される。すなわち、データは、データ処理に要するソフトウェアが搭載された囮サーバ装置５１や囮サーバ装置５２に転送されるか、若しくは、データ処理に要するソフトウェアが搭載された囮サーバが存在しなければ囮模倣サーバ装置５３に転送されることになる。

また、転送先は、プラグインのプログラム毎に設定可能であり、例えば、パス名について前方最長一致を採用するデータ転送方法であれば、あるソフトウェアのあるプラグイン宛てのデータのみ該プラグインがインストールされている囮サーバ装置に転送し、その他は囮模倣サーバ装置に転送することができる。

要するに、図２０に示すアクセス解析方法では、囮サーバ装置で処理可能なデータは該データを処理可能な囮サーバ装置を特定してデータを特定して内容を解析し、その他は囮模倣サーバ装置にデータを転送して内容を解析することができる。

（２）ホスト名の変換
また、本願では、データ転送時にホスト名を抽出しておき、データ応答時に抽出されたホスト名を適用（ホスト名を変換）することもできる。具体的には、転送部１２３は、上記実施例１〜５等のデータ転送処理時に、転送データを識別する転送データ識別情報と、ＵＲＬに含まれるホスト名とを抽出する。転送データ識別情報は、例えば、転送データのセッションＩＤ等が挙げられる。

その後、転送部１２３によって抽出された転送データ識別情報に一致する応答データを受信した場合に、データ転送装置１００は、該応答データに送信元のホスト名が含まれているか否かを判定する。このとき、データ転送装置１００は、応答データに送信元のホスト名が含まれていると判定すると、該送信元のホスト名を転送部１２３によって抽出されたホスト名に変換する。ホスト名が変換された応答データは、送信先のユーザ端末等に送信されることになる。

要するに、データ転送装置１００は、外部からのＨＴＴＰ（HyperText Transfer Protocol）リクエストへのＨＴＴＰレスポンス等、外部からの要求に対する応答において、外部の要求元装置が送信先と異なるホスト名からの応答であることを認識することを防止することができる。換言すると、攻撃者による要求において、攻撃者が送信先とする装置のホスト名とは異なるホスト名であることを攻撃者によって認識されると、何らかの処理がされていることが攻撃者に伝わってしまうため、データ転送装置１００は、転送データ及び応答データにホスト名が含まれている場合に、該ホスト名を転送データに含まれるホスト名に統一する。これらの結果、データ転送装置１００は、攻撃対象への攻撃に関する検知精度を向上させるとともに、攻撃者が攻撃に関する検知が行なわれていることを認識することを防止することができる。

（３）装置の構成
また、上記文書中や図面中などで示した処理手順、制御手順、具体的名称、各種のデータやパラメータなどを含む情報（例えば、上記実施例で記載した各ディレクトリ構成等）については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は、機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は、図示のものに限られず、その全部または一部を各種の負担や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、或いは、ワイヤードロジックによるハードウェアとして実現され得る。

以上のように、本発明に係るデータ転送装置及びアクセス解析方法は、データを転送する場合に有用であり、特に、攻撃対象への攻撃に関する検知精度を向上させることに適する。

１００ データ転送装置
１１０ 記憶部
１１１ データ転送テーブル
１２０ 制御部
１２１ 宛先ＵＲＬ抽出部
１２２ 転送先特定部
１２３ 転送部

Claims (3)

1. データを転送するデータ転送装置であって、
   ファイルが格納された場所を示すパス情報と、ホスト名と、データの転送先となる装置を示すデータ転送先装置情報とを対応付けて記憶するデータ転送テーブルと、
   データの転送先となる装置に対して送信される転送データに含まれる統一資源位置指定子を抽出し、抽出された統一資源位置指定子に対応するパス情報として、全一致または部分一致するパス情報が前記データ転送テーブルに記憶されているか否かを判定し、前記パス情報が前記データ転送テーブルに記憶されていると判定された場合に、該パス情報に対応するホスト名が前記統一資源位置指定子に含まれる情報と一致するか否かをさらに判定する判定部と、
   前記判定部によってパス情報が前記データ転送テーブルに記憶されていると判定され、かつ、該パス情報に対応するホスト名が前記統一資源位置指定子に含まれる情報と一致すると判定された場合に、該パス情報に対応するデータ転送先装置情報に該当する装置に前記転送データを転送し、パス情報が前記データ転送テーブルに記憶されていないと判定された場合、および、該パス情報に対応するホスト名が前記統一資源位置指定子に含まれる情報と一致しないと判定された場合に、予め決定された装置に前記転送データを転送する転送部と
   を有することを特徴とするデータ転送装置。
2. 前記転送部は、さらに、前記転送データを識別する転送データ識別情報と、前記統一資源位置指定子に含まれるホスト名とを抽出し、
   前記転送部によって転送された転送データの転送データ識別情報と一致する応答データに、送信元のホスト名が含まれている場合に、該送信元のホスト名を前記転送部によって抽出されたホスト名に変換するホスト名変換部をさらに有することを特徴とする請求項１に記載のデータ転送装置。
3. データを転送するデータ転送装置で実行されるアクセス解析方法であって、
   データの転送先となる装置に対して送信される転送データに含まれる統一資源位置指定子を抽出する抽出ステップと、
   前記抽出ステップによって抽出された統一資源位置指定子に対応するパス情報として、全一致または部分一致するパス情報が、ファイルが格納された場所を示すパス情報と、ホスト名と、データの転送先となる装置を示すデータ転送先装置情報とを対応付けて記憶するデータ転送テーブルに記憶されていると判定された場合に、該パス情報に対応するホスト名が前記統一資源位置指定子に含まれる情報と一致するか否かをさらに判定する判定ステップと、
   前記判定ステップによってパス情報が前記データ転送テーブルに記憶されていると判定され、かつ、該パス情報に対応するホスト名が前記統一資源位置指定子に含まれる情報と一致すると判定された場合に、該パス情報に対応するデータ転送先装置情報に該当する装置に前記転送データを転送し、パス情報が前記データ転送テーブルに記憶されていないと判定された場合、および、該パス情報に対応するホスト名が前記統一資源位置指定子に含まれる情報と一致しないと判定された場合に、予め決定された装置に前記転送データを転送する転送ステップと
   を含んだことを特徴とするアクセス解析方法。

Images