JP5739034B1 - 攻撃検知システム、攻撃検知装置、攻撃検知方法および攻撃検知プログラム - Google Patents

Abstract

【課題】長期間のログ分析を実時間で実施するとともに、攻撃の継続性を判定してイベントの重複検知を防止することで効率的なセキュリティオペレーションを行う。【解決手段】攻撃検知装置１０は、収集されたログを用いて、所定の短い時間ごとに、ユーザ端末の通信先ＩＰアドレスがブラックリストの通信先ＩＰアドレスと一致する回数をカウントする。また、攻撃検知装置１０は、カウントされた回数のうち所定期間においてカウントされた回数を用いて、所定の長い時間ごとに、ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する。そして、攻撃検知装置１０は、検知された不正通信のうち、所定期間内に検知された不正通信と通信元ＩＰアドレスおよび通信先ＩＰアドレスが同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する。【選択図】図２

Description

本発明は、攻撃検知システム、攻撃検知装置、攻撃検知方法および攻撃検知プログラムに関する。

従来、企業システム等の守るべき資産群において、ファイヤウォールやＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）等のセキュリティアプライアンスの配備による、いわゆる入口対策では防ぎ切れず、未知のマルウェアに侵入を許してしまった後に、セキュリティアプライアンスやＷｅｂプロキシ等が出力するログの相関分析を行うことで当該マルウェアを検知するシステムとして、ＳＩＥＭ（Security Information and Event Management）と呼ばれるものがある。

中田健介著、「ネットワークログ分析による不正通信検出手法」、電子情報通信学会２０１３年総合大会（２０１３年３月１９日〜２２日）

しかしながら、従来のＳＩＥＭ技術では、長期間のログ分析を実時間で実施することができず、また、分析結果において同種のイベントを重複検知してしまい、セキュリティオペレーションを効率的に稼働できない場合があるという課題があった。

つまり、従来のＳＩＥＭ技術では、長期間のログを相関分析する際は、分析対象の全ログを読み込んで処理を行なうため、分析時間が長大化するとともに、マシンリソースも足りなくなってしまう結果、長期間のログ分析を実時間で実施することができない場合があった。

また、ログ分析は分析期間より短いサイクルで実施するため、同種のイベントを繰返し検知してしまい、膨大なイベント検知結果が表示され、セキュリティ・オペレータが対処すべきイベントを適切に表示できない場合があるため、セキュリティオペレーションを効率的に稼働できない場合があった。

ここで、図１１の例を用いて、従来のログ分析処理の一例を説明する。例えば、図１１に例示するように、従来のＳＩＥＭ技術では、セキュリティアプライアンス、ネットワーク装置、サーバ等からログを取得してログを正規化する。そして、正規化されたログを取得してイベントを検知する。ここで、イベントを検知する処理では、分析対象の全ログを読み込んで処理するので、分析時間が長大化するとともに、実時間の分析ができなかった。また、イベントの検知結果は、同種イベントが重複して検知され、さらに、膨大なイベント数によりオペレーションの稼働コストが増大する。

上述した課題を解決し、目的を達成するために、本発明の攻撃検知システムは、ユーザ端末と、該ユーザ端末の通信を中継する機器と、前記ユーザ端末の不正通信を検知する攻撃検知装置とを含む攻撃検知システムであって、前記攻撃検知装置は、前記ユーザ端末の通信に関するログを前記機器から収集する収集部と、前記収集部によって収集されたログを用いて、第一の時間ごとに、前記ユーザ端末の通信先情報がブラックリストの通信先情報と一致する回数をカウントするカウント部と、前記カウント部によってカウントされた回数のうち所定期間においてカウントされた回数を用いて、前記第一の時間よりも長い第二の時間ごとに、前記ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する検知部と、前記検知部によって検知された不正通信のうち、所定期間内に検知された不正通信と通信元情報および通信先情報が同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する判定部と、を備えることを特徴とする。

また、本発明の攻撃検知装置は、ユーザ端末の通信に関するログを収集する収集部と、前記収集部によって収集されたログを用いて、第一の時間ごとに、前記ユーザ端末の通信先情報がブラックリストの通信先情報と一致する回数をカウントするカウント部と、前記カウント部によってカウントされた回数のうち所定期間においてカウントされた回数を用いて、前記第一の時間よりも長い第二の時間ごとに、前記ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する検知部と、前記検知部によって検知された不正通信のうち、所定期間内に検知された不正通信と通信元情報および通信先情報が同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する判定部と、を備えることを特徴とする。

また、本発明の攻撃検知方法は、攻撃検知装置で実行される攻撃検知方法であって、ユーザ端末の通信に関するログを収集する収集工程と、前記収集工程によって収集されたログを用いて、第一の時間ごとに、前記ユーザ端末の通信先情報がブラックリストの通信先情報と一致する回数をカウントするカウント工程と、前記カウント工程によってカウントされた回数のうち所定期間においてカウントされた回数を用いて、前記第一の時間よりも長い第二の時間ごとに、前記ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する検知工程と、前記検知工程によって検知された不正通信のうち、所定期間内に検知された不正通信と通信元情報および通信先情報が同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する判定工程と、を含んだことを特徴とする。

また、本発明の攻撃検知プログラムは、ユーザ端末の通信に関するログを収集する収集ステップと、前記収集ステップによって収集されたログを用いて、第一の時間ごとに、前記ユーザ端末の通信先情報がブラックリストの通信先情報と一致する回数をカウントするカウントステップと、前記カウントステップによってカウントされた回数のうち所定期間においてカウントされた回数を用いて、前記第一の時間よりも長い第二の時間ごとに、前記ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する検知ステップと、前記検知ステップによって検知された不正通信のうち、所定期間内に検知された不正通信と通信元情報および通信先情報が同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する判定ステップと、をコンピュータに実行させることを特徴とする。

本発明によれば、長期間のログ分析を実時間で実施するとともに、攻撃の継続性を判定してイベントの重複検知を防止することで効率的なセキュリティオペレーションを可能とすることができるという効果を奏する。

図１は、第一の実施の形態に係る攻撃検知システムの全体構成を示す概略構成図である。 図２は、第一の実施形態に係る攻撃検知装置の構成を示すブロック図である。 図３は、カウント結果記憶部に記憶されるテーブルの一例を示す図である。 図４は、イベント検知結果記憶部に記憶されるテーブルの一例を示す図である。 図５は、継続イベント記憶部に記憶されるテーブルの一例を示す図である。 図６は、第一の実施形態に係る攻撃検知装置による攻撃検知処理の概要を説明する図である。 図７は、第一の実施の形態に係る攻撃検知装置によるログ収集処理の流れを示すフローチャートである。 図８は、第一の実施の形態に係る攻撃検知装置によるカウント処理の流れを示すフローチャートである。 図９は、第一の実施の形態に係る攻撃検知装置によるイベント検知処理の流れを示すフローチャートである。 図１０は、攻撃検知プログラムを実行するコンピュータを示す図である。 図１１は、従来のログ分析処理の概要を説明する図である。

以下に、本願に係る攻撃検知システム、攻撃検知装置、攻撃検知方法および攻撃検知プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本願に係る攻撃検知システム、攻撃検知装置、攻撃検知方法および攻撃検知プログラムが限定されるものではない。

［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係る攻撃検知システムの構成、攻撃検知装置の構成および処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。

［第一の実施の形態に係る攻撃検知システムの構成］
まず、図１を用いて、第一の実施の形態に係る攻撃検知システムについて説明する。図１は、第一の実施の形態に係る攻撃検知システムの全体構成を示す概略構成図である。

図１に示すように、攻撃検知システムは、攻撃検知装置１０、セキュリティアプライアンス２０、ネットワーク装置３０およびサーバ４０を有し、ネットワーク５０を介して各装置が接続されている。なお、図１では、セキュリティアプライアンス２０、ネットワーク装置３０およびサーバ４０を１台ずつ記載しているが、これに限定されるものではなく、複数台であってもよい。

攻撃検知装置１０は、ＳＩＥＭ（Security Information and Event Management）技術に関するものであり、セキュリティアプライアンス２０等から取得するログの相関分析において、短期間に実施するカウント処理と長期間を対象としたイベント検知処理の組み合わせにより、長時間継続的に発生する攻撃を実時間で検知するとともに、同種の攻撃を何度も検知することなく防御オペレーションを容易化する。

具体的には、攻撃検知装置１０は、セキュリティアプライアンス２０、ネットワーク装置３０およびサーバ４０からユーザ端末（図示せず）の通信に関するログを収集する。また、攻撃検知装置１０は、収集されたログを用いて、所定の短い時間（例えば、５分）ごとに、ユーザ端末のＤｓｔＩＰアドレス（以下、「通信先ＩＰアドレス」と記載）がブラックリストの通信先ＩＰアドレスと一致する回数をカウントする。

また、攻撃検知装置１０は、カウントされた回数のうち所定期間（例えば、２４時間の間）においてカウントされた回数を用いて、所定の長い時間（例えば、１時間）ごとに、ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する。そして、攻撃検知装置１０は、検知された不正通信のうち、所定期間（例えば、２４時間）内に検知された不正通信とＳｒｃＩＰアドレス（以下、「通信元ＩＰアドレス」と記載）および通信先ＩＰアドレスが同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する。

セキュリティアプライアンス２０は、ユーザ端末に対する不正アクセスやウイルスによる攻撃を防ぐ機器であり、例えば、ファイヤウォールやＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）等である。

ネットワーク装置３０は、ユーザ端末の通信を中継するスイッチやルータ等のネットワーク機器である。サーバ４０は、ユーザ端末と通信を行う各種サーバである。例えば、サーバ４０は、Ｐｒｏｘｙサーバ、ＤＮＳ（Domain Name System）サーバ、メールサーバ、ファイルサーバ、Ｗｅｂサーバ等である。

［攻撃検知装置の構成］
次に、図２を用いて、図１に示した攻撃検知装置の構成を説明する。図２は、第一の実施形態に係る攻撃検知装置の構成を示すブロック図である。図２に示すように、この攻撃検知装置１０は、入出力部１１、制御部１２、記憶部１３を有する。以下にこれらの各部の処理を説明する。

入出力部１１は、各種情報の入出力を司る入出力インタフェースである。この入出力部１１は、例えば、ユーザの操作により受け付けた検知ルール等を入力したり、検知結果を出力したりする。

また、記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、ブラックリスト記憶部１３ａ、正規化ログ記憶部１３ｂ、カウント結果記憶部１３ｃ、イベント検知結果記憶部１３ｄおよび継続イベント記憶部１３ｅを有する。たとえば、記憶部１３は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

ブラックリスト記憶部１３ａは、悪質なサイトを示すネットワークアドレスとしてＵＲＬ（Uniform Resource Locator）及びＩＰアドレスが列挙されたブラックリストを記憶する。なお、以下の例では、ブラックリストに列挙された通信先ＩＰアドレスを用いて、攻撃検知処理を行う。

正規化ログ記憶部１３ｂは、ユーザ端末の通信に関するログ情報であって、検索及び分析しやすいデータ形式に統一的に整理する正規化が行われたログ情報を記憶する。このログ情報は、後述する収集部１２ａによって収集されたログ情報である。

カウント結果記憶部１３ｃは、ユーザ端末の通信先ＩＰアドレスとブラックリストの通信先ＩＰアドレスとが一致した回数を記憶する。例えば、図３に例示するように、カウント結果記憶部１３ｃは、ユーザ端末の通信先のＩＰアドレスである「通信先ＩＰアドレス」と、該通信先ＩＰアドレスがブラックリストの通信先ＩＰアドレスと一致した回数である「マッチ回数」とを対応付けて記憶する。なお、カウント結果記憶部１３ｃに記憶された情報は、カウント処理が行われるごと、例えば、５分ごとにリセットされる。

イベント検知結果記憶部１３ｄは、後述する検知部１２ｃにより検知ルールに基づいて検知された所定の特徴を持つイベントの情報を記憶する。例えば、図４に例示するように、イベント検知結果記憶部１３ｄは、ユーザ端末を一意に識別する「端末ＩＤ」と、通信を行ったユーザ端末のＳｒｃＩＰアドレスである「通信元ＩＰアドレス」と、通信を行ったユーザ端末のＤｓｔＩＰアドレスである「通信先ＩＰアドレス」と、通信が行われた日時を示す「通信日時」と、検知ルールに適合するか否かを示す「検知結果」とを対応付けて記憶する。なお。図４の例では、検知結果が「○」となっている通信については、検知ルールに適合して、不正通信として検知されたことを示す。また、イベント検知結果記憶部１３ｄに記憶された情報は、イベント検知処理が行われるごと、例えば、１時間ごとにリセットされる。

継続イベント記憶部１３ｅは、前述したイベント検知結果について、通信元ＩＰアドレスおよび通信先ＩＰアドレスをキーとし、キーをもとに同種イベントを継続イベントとしてまとめたものを記憶する。例えば、図５に例示するように、継続イベント記憶部１３ｅは、「端末ＩＤ」と、「通信元ＩＰアドレス」と、「通信先ＩＰアドレス」と、「通信日時」と、「検知結果」とを記憶するとともに、攻撃が継続しているか否かを示す「状態」を記憶する。この状態では、攻撃が継続している場合には、「攻撃継続」が記憶され、攻撃が終了している場合には、「攻撃終了」が記憶される。なお、継続イベント記憶部１３ｅに記憶された情報は、継続イベント判定処理が行われるたびに更新される。

制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、収集部１２ａ、カウント部１２ｂ、検知部１２ｃ、判定部１２ｄおよび表示部１２ｅを有する。ここで、制御部１２は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。

収集部１２ａは、ユーザ端末の通信に関するログ情報を、ユーザ端末の通信を中継する機器から収集する。例えば、収集部１２ａは、ユーザ端末の通信に関するログ情報をセキュリティアプライアンス２０、ネットワーク装置３０、サーバ４０のいずれか一つまたは複数から受信すると、該ログ情報をカウント部１２ｂが検索及び分析しやすいデータ形式に統一的に整理する正規化を行う。そして、収集部１２ａは、正規化したログを正規化ログ記憶部１３ｂに格納する。

カウント部１２ｂは、収集部１２ａによって収集されたログを用いて、所定の短い時間（例えば、５分）ごとに、ユーザ端末が通信を行った通信先ＩＰアドレスがブラックリストの通信先ＩＰアドレスと一致する回数をカウントする。例えば、カウント部１２ｂは、５分ごとに、正規化ログ記憶部１３ｂに記憶されたログを取得する。そして、カウント部１２ｂは、ユーザ端末が通信を行った通信先ＩＰアドレスとブラックリストの通信先ＩＰアドレスとを比較し、一致する回数をカウントする。そして、カウント部１２ｂは、カウント結果をカウント結果記憶部１３ｃに格納する。

検知部１２ｃは、カウント部１２ｂによってカウントされた回数のうち所定期間（例えば、２４時間の間）においてカウントされた回数を用いて、所定の長い時間（例えば、１時間）ごとに、ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する。例えば、検知部１２ｃは、検知ルールとして、２４時間以内にユーザ端末の通信先ＩＰアドレスがブラックリストの通信先ＩＰアドレスと一致する回数がＮ回以上という条件に適合する通信を不正通信として検知する。

具体的には、検知部１２ｃは、１時間ごとに、カウント結果記憶部１３ｃから直近の２４時間分のカウント結果を取得する。そして、検知部１２ｃは、カウント結果および検知ルールを用いて、不正通信（攻撃）を検知する。つまり、上記の例では、２４時間以内にユーザ端末の通信先ＩＰアドレスがブラックリストの通信先ＩＰアドレスと一致する回数がＮ回以上という条件に適合する通信を不正通信として検知する。そして、検知部１２ｃは、検知結果をイベント検知結果記憶部１３ｄに格納する。

判定部１２ｄは、検知部１２ｃによって検知された不正通信のうち、所定期間（例えば、２４時間）内に検知された不正通信と、通信元ＩＰアドレスおよび通信先ＩＰアドレスが同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する。また、判定部１２ｄは、不正通信が継続状態であることを検出した後に、該不正通信が検知ルールに適合しなくなった場合には、該不正通信が終了したことを検出する。

例えば、判定部１２ｄは、継続状態であることを検出した場合には、継続イベント記憶部１３ｅに記憶される「状態」を「攻撃継続」に更新する。また、判定部１２ｄは、「状態」が「攻撃継続」であった不正通信について、検知ルールに規定された条件を満たさなくなった場合には、「状態」を「攻撃終了」に更新する。

具体的には、判定部１２ｄは、イベント検知結果記憶部１３ｄに記憶された検知結果を取得し、通信元ＩＰアドレスおよび通信先ＩＰアドレスが同一の通信については、同種のイベントとしてまとめてから継続イベント記憶部１３ｅに格納する。ここで、判定部１２ｄは、通信元ＩＰアドレスおよび通信先ＩＰアドレスが同一のイベントが既に継続イベント記憶部１３ｅに記憶されている場合には、攻撃が継続しているものとして、該イベントの「状態」を「攻撃継続」に更新する。

表示部１２ｅは、イベント検知結果記憶部１３ｄに記憶された情報を読み出して表示する。ここで、同種イベントを継続イベントとしてまとめ、繰返し検知しないようにしており、例えば、同一の通信元ＩＰアドレスおよび通信先ＩＰアドレスで過去２４時間以内にイベントを検知している場合には、イベントを「継続」状態とすることで、同一のイベントを複数回表示しないようにしている。このように、同種イベントと定義し攻撃の継続性を判定させ、イベントの重複検知を防止することで、効率的なセキュリティオペレーションにつなげることが可能である。

ここで、図６を用いて、攻撃検知装置１０による攻撃検知処理の全体の流れを説明する。図６は、第一の実施形態に係る攻撃検知装置による攻撃検知処理の概要を説明する図である。

図６に示すように、攻撃検知装置１０は、ユーザ端末の通信に関するログ情報をセキュリティアプライアンス２０、ネットワーク装置３０、サーバ４０から受信する（図６の（１）参照）。そして、攻撃検知装置１０は、５分の短期間の繰り返しで、ユーザ端末が通信を行った通信先ＩＰアドレスがブラックリストの通信先ＩＰアドレスと一致する回数をカウントする（図６の（２）参照）。

続いて、攻撃検知装置１０は、カウントした回数のうち２４時間の間においてカウントされた回数を用いて、１時間の長期間を対象に、ユーザ端末の通信のうち、検知ルールに適合する不正通信を検知する（図６の（３）参照）。

そして、攻撃検知装置１０は、検知した不正通信のうち、２４時間内に検知された不正通信と、通信元ＩＰアドレスおよび通信先ＩＰアドレスが同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する（図６の（４）参照）。

このように、短期間の「カウント処理」と長期間の「イベント検知処理」の組み合わせによって、長期間のログ分析を実時間で実施するとともに、同種イベントと定義し攻撃の継続性を判定させ、イベントの重複検知を防止することで、効率的なセキュリティオペレーションにつなげることが可能である。

［攻撃検知装置の処理の一例］
次に、図７〜図９を用いて、攻撃検知装置１０の処理について説明する。図７は、第一の実施の形態に係る攻撃検知装置によるログ収集処理の流れを示すフローチャートである。図８は、第一の実施の形態に係る攻撃検知装置によるカウント処理の流れを示すフローチャートである。図９は、第一の実施の形態に係る攻撃検知装置によるイベント検知処理の流れを示すフローチャートである。

まず、図７を用いて、攻撃検知装置１０によるログ収集処理の流れを説明する。図７に示すように、攻撃検知装置１０の収集部１２ａは、ユーザ端末の通信に関するログ情報をセキュリティアプライアンス２０、ネットワーク装置３０、サーバ４０のいずれか一つまたは複数から受信すると(ステップＳ１０１肯定)、該ログ情報をカウント部１２ｂが検索及び分析しやすいデータ形式に統一的に整理する正規化を行う（ステップＳ１０２）。そして、収集部１２ａは、正規化したログを正規化ログ記憶部１３ｂに格納する（ステップＳ１０３）。

次に、図８を用いて、攻撃検知装置１０によるカウント処理の流れを説明する。図８に示すように、攻撃検知装置１０のカウント部１２ｂは、前回のカウント処理を行ってから５分が経過すると（ステップＳ２０１肯定）、正規化ログ記憶部１３ｂに記憶されたログを取得する（ステップＳ２０２）。

そして、カウント部１２ｂは、ユーザ端末が通信を行った通信先ＩＰアドレスとブラックリストの通信先ＩＰアドレスとを比較し、一致する回数をカウントする（ステップＳ２０３）。そして、カウント部１２ｂは、カウント結果をカウント結果記憶部１３ｃに格納する（ステップＳ２０４）。

次に、図９を用いて、攻撃検知装置１０によるイベント検知処理を説明する。図９に示すように、攻撃検知装置１０の検知部１２ｃは、前回のイベント検知処理から１時間が経過すると（ステップＳ３０１肯定）、カウント結果記憶部１３ｃから直近の２４時間分のカウント結果を取得する（ステップＳ３０２）。そして、検知部１２ｃは、カウント結果および検知ルールを用いて、不正通信（攻撃）を検知する（ステップＳ３０３）。

つまり、例えば、検知部１２ｃは、２４時間以内にユーザ端末の通信先ＩＰアドレスがブラックリストの通信先ＩＰアドレスと一致する回数がＮ回以上という条件に適合する通信を不正通信として検知する。そして、検知部１２ｃは、検知結果をイベント検知結果記憶部１３ｄに格納する（ステップＳ３０４）。

その後、判定部１２ｄは、イベント検知結果記憶部１３ｄに記憶された検知結果を取得し、通信元ＩＰアドレスおよび送信先ＩＰアドレスが同一の通信については、同種のイベントとしてまとめてから継続イベント記憶部１３ｅに格納する（ステップＳ３０５）。

［第一の実施形態の効果］
このように、第一の実施形態に係る攻撃検知装置１０は、ユーザ端末の通信に関するログを収集する。また、攻撃検知装置１０は、収集されたログを用いて、所定の短い時間（例えば、５分）ごとに、ユーザ端末の通信先ＩＰアドレスがブラックリストの通信先ＩＰアドレスと一致する回数をカウントする。また、攻撃検知装置１０は、カウントされた回数のうち所定期間（例えば、２４時間の間）においてカウントされた回数を用いて、所定の長い時間（例えば、１時間）ごとに、ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する。そして、攻撃検知装置１０は、検知された不正通信のうち、所定期間（例えば、２４時間）内に検知された不正通信と通信元ＩＰアドレスおよび通信先ＩＰアドレスが同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する。このため、攻撃検知装置１０は、長期間のログ分析を実時間で実施するとともに、攻撃の継続性を判定してイベントの重複検知を防止することで効率的なセキュリティオペレーションを行うことが可能である。

（システム構成等）
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

（プログラム）
また、上記実施形態に係る攻撃検知装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータで読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、攻撃検知装置１０と同様の機能を実現する攻撃検知プログラムを実行するコンピュータの一例を説明する。

図１０は、攻撃検知プログラムを実行するコンピュータを示す図である。図１０に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。

ここで、図１０に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。

また、攻撃検知プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明した攻撃検知装置１０が実行する各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。

また、攻撃検知プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、攻撃検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、攻撃検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０ 攻撃検知装置
１１ 入出力部
１２ 制御部
１２ａ 収集部
１２ｂ カウント部
１２ｃ 検知部
１２ｄ 判定部
１２ｅ 表示部
１３ 記憶部
１３ａ ブラックリスト記憶部
１３ｂ 正規化ログ記憶部
１３ｃ カウント結果記憶部
１３ｄ イベント検知結果記憶部
１３ｅ 継続イベント記憶部
２０ セキュリティアプライアンス
３０ ネットワーク装置
４０ サーバ
５０ ネットワーク

Claims (7)

1. ユーザ端末と、該ユーザ端末の通信を中継する機器と、前記ユーザ端末の不正通信を検知する攻撃検知装置とを含む攻撃検知システムであって、
   前記攻撃検知装置は、
   前記ユーザ端末の通信に関するログを前記機器から収集する収集部と、
   前記収集部によって収集されたログを用いて、第一の時間ごとに、前記ユーザ端末の通信先情報がブラックリストの通信先情報と一致する回数をカウントするカウント部と、
   前記カウント部によってカウントされた回数のうち所定期間においてカウントされた回数を用いて、前記第一の時間よりも長い第二の時間ごとに、前記ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する検知部と、
   前記検知部によって検知された不正通信のうち、所定期間内に検知された不正通信と通信元情報および通信先情報が同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する判定部と、
   を備えることを特徴とする攻撃検知システム。
2. 前記収集部は、収集したログを、検索及び分析しやすいデータ形式に統一的に整理する正規化を行うことを特徴とする請求項１に記載の攻撃検知システム。
3. 前記検知部は、前記所定の検知ルールとして、所定の期間に前記ユーザ端末の通信先情報が前記ブラックリストの通信先情報と一致する回数が所定回数以上という条件に適合する通信を不正通信として検知することを特徴とする請求項１または２に記載の攻撃検知システム。
4. 前記判定部は、前記不正通信が継続状態であることを検出した後に、該不正通信が検知ルールに適合しなくなった場合には、該不正通信が終了したことを検出することを特徴とする請求項１〜３のいずれか一つに記載の攻撃検知システム。
5. ユーザ端末の通信に関するログを収集する収集部と、
   前記収集部によって収集されたログを用いて、第一の時間ごとに、前記ユーザ端末の通信先情報がブラックリストの通信先情報と一致する回数をカウントするカウント部と、
   前記カウント部によってカウントされた回数のうち所定期間においてカウントされた回数を用いて、前記第一の時間よりも長い第二の時間ごとに、前記ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する検知部と、
   前記検知部によって検知された不正通信のうち、所定期間内に検知された不正通信と通信元情報および通信先情報が同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する判定部と、
   を備えることを特徴とする攻撃検知装置。
6. 攻撃検知装置で実行される攻撃検知方法であって、
   ユーザ端末の通信に関するログを収集する収集工程と、
   前記収集工程によって収集されたログを用いて、第一の時間ごとに、前記ユーザ端末の通信先情報がブラックリストの通信先情報と一致する回数をカウントするカウント工程と、
   前記カウント工程によってカウントされた回数のうち所定期間においてカウントされた回数を用いて、前記第一の時間よりも長い第二の時間ごとに、前記ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する検知工程と、
   前記検知工程によって検知された不正通信のうち、所定期間内に検知された不正通信と通信元情報および通信先情報が同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する判定工程と、
   を含んだことを特徴とする攻撃検知方法。
7. ユーザ端末の通信に関するログを収集する収集ステップと、
   前記収集ステップによって収集されたログを用いて、第一の時間ごとに、前記ユーザ端末の通信先情報がブラックリストの通信先情報と一致する回数をカウントするカウントステップと、
   前記カウントステップによってカウントされた回数のうち所定期間においてカウントされた回数を用いて、前記第一の時間よりも長い第二の時間ごとに、前記ユーザ端末の通信のうち所定の検知ルールに適合する不正通信を検知する検知ステップと、
   前記検知ステップによって検知された不正通信のうち、所定期間内に検知された不正通信と通信元情報および通信先情報が同一である不正通信があるか判定し、同一である不正通信がある場合には、該不正通信が継続状態であることを検出する判定ステップと、
   をコンピュータに実行させるための攻撃検知プログラム。

Images