JP5970041B2 - イベント分析に基づくサイバー攻撃探知装置及び方法 - Google Patents

Description

本発明は、サイバー保安技術に関し、より詳しくは、ウェブサービスを利用するユーザの動作によってユーザ端末から発生するイベントを分析してサイバー攻撃を探知する装置及び方法（APPARATUSFOR DETECTING CYBER ATTACK BASED ON ANALYSIS OF EVENT AND METHOD THEREOF）に関する。

ネットワーク技術が発達するにつれ、ユーザは多様な情報通信機器を利用して予約、銀行業務、品物の注文及び代金支払いのような多様なサービスをインターネット上で自由に利用するようになった。しかしながら、現代社会におけるインターネットに対する影響力が増加するにつれてサイバー攻撃による被害が拡散している趨勢である。

最近、農協の電算システムを攻撃し、システム障害を発生させたサイバー攻撃はＡＰＴ（Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ）攻撃であって、攻撃対象の好奇心を刺激する社会工学的技法を用いて攻撃対象のシステムに悪性コードを感染させ、次第に接続権限を上昇させて保安事故を誘発する新種のサイバー攻撃方法である。

ＡＰＴ攻撃は、主に政府や企業の主要情報施設を狙って産業機密、軍事機密及び顧客情報のように保安が維持されなければならない情報を盗むことを目的とする。

このように、最近発生するサイバー攻撃は、組織的なハッカーグループが特定標的を緻密かつ計画的にハッキングして企業の情報を奪取し、制御システムを攻撃して国家安保を脅威する水準となった。

このように、次第に知能化するサイバー攻撃に対処しようと政府や企業としては、ハッカーからのサイバー攻撃を探知し、攻撃から探知されたアクセスを遮断する攻撃探知技術及び侵入探知技術をシステムに適用して保安を強化しようとする。

例えば、防火壁（ｆｉｒｅ ｗａｌｌ）は、ネットワークとの間に位置して許可の侵入に対して接続を遮断する保安技術であって、ネットワークを物理的に分離するという長所を有しているが、サイバー攻撃を探知するためにネットワークトラフィックの流れを抑えるためトラフィック速度を遅延させ、アクセスが許容されたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）を利用するハッカーからの攻撃を探知できないという点で限界があった。

また、システムに対する脆弱性情報とネットワークトラフィック分析情報に基づいたサイバー脅威を事前に感知する保安技術は、予測可能なサイバー攻撃に対しては保安政策設定を介して対応することができるが、予測のつかない攻撃に対しては無防備であるという問題があった。

特に、悪性コードに感染された多数のシステム、すなわち、ゾンビＰＣによりなされるサイバー攻撃を事前に認知できないという点からアクセスが許容されたユーザによる正常なイベントのように偽装する非正常アクセスに対する攻撃を探知する技術が要求されるのが現状である。

上記のような問題点を解決するために本発明の目的は、ユーザ端末から発生するイベントをリアルタイムでモニタリングして分析することで、多様な形態のサイバー攻撃を迅速かつ正確に探知することができるサイバー攻撃探知装置を提供することにある。

また、本発明の他の目的は、サイバー攻撃を探知する過程で発生するシステムの負荷及び時間を最小化することで、ユーザに提供されるウェブサービスの速度に影響を与えずに、可用性及び信頼性の高い保安サービスを提供するサイバー攻撃探知方法を提供することにある。

上記目的を達成するための本発明の一側面によるサイバー攻撃探知装置は、ウェブページを管理するウェブサーバとウェブページを利用する少なくとも１つのユーザによって運用される少なくとも１つのユーザ端末がネットワークに接続された情報通信システムに実現され、ウェブサーバに接続してウェブページで提供するウェブサービスを利用する少なくとも１つのユーザの動作により少なくとも１つのユーザ端末から発生するイベントを受信するイベント受信部、受信したイベントに基づいてウェブサービスを利用する少なくとも１つのユーザの動作に相応するイベントパターンを抽出してイベントモデルを生成するモデル生成部及び生成されたイベントモデルと特定ユーザ端末から受信したイベントとを比較して特定ユーザ端末のウェブサーバに対するアクセスが攻撃であるか否かを探知する攻撃探知部を含む。

ここで、モデル生成部は、ウェブサービスを利用する少なくとも１つのユーザ要請により発生するウェブページ間の移動経路に沿ってイベント受信部から受信したイベントの順序を組み合わせて少なくとも１つのイベントパターンを抽出するパターン抽出モジュールを含む。

ここで、モデル生成部は、少なくとも１つのイベントパターンを収集し、収集したイベントパターンに基づいてウェブサービスを利用する少なくとも１つのユーザの動作に相応するイベントの流れを統計的に分析することで、イベントモデルを生成するモデル生成モジュールを含む。

ここで、イベントモデルは、あらかじめ設定されたアクセス頻度閾値よりも高い頻度で発生するイベントパターンを含んで生成する。

ここで、アクセス頻度閾値は、統計的に分析されたイベントモデルから相対的に低い頻度で発生するイベント流れの頻度数に基づいてあらかじめ設定する。

ここで、攻撃探知部は、イベントモデルと特定ユーザ端末から受信したイベントの流れを比較して特定ユーザ端末から受信したイベント流れがイベントモデルの範囲を離脱する場合に対し、特定ユーザ端末のウェブサーバに対するアクセスを攻撃として探知する。

ここで、特定ユーザ端末のウェブサーバに対するアクセスが攻撃として探知されることによって特定ユーザ端末のウェブサーバに対するアクセスを遮断するアクセス制御部をさらに含む。

ここで、ウェブページは、ウェブページを識別するページ識別アドレスに基づいて少なくとも１つのユーザ端末から発生するイベントに相応するウェブページが提供されるように、移動経路を示すことで抽象化される。

また、前記他の目的を達成するために本発明の一側面によるサイバー攻撃探知方法は、ウェブページを管理するウェブサーバとウェブページを利用する少なくとも１つのユーザによって運用される少なくとも１つのユーザ端末がネットワークに接続された情報通信システムのサイバー攻撃探知装置により行われ、ウェブサーバに接続してウェブページで提供するウェブサービスを利用する少なくとも１つのユーザの動作により少なくとも１つのユーザ端末から発生するイベントを受信する段階、受信したイベントに基づいてウェブサービスを利用する少なくとも１つのユーザの動作に相応するイベントパターンを抽出してイベントモデルを生成する段階、及び生成されたイベントモデルと特定ユーザ端末から受信したイベントを比較して特定ユーザ端末のウェブサーバに対するアクセスが攻撃であるか否かを探知する段階を含む。

ここで、特定ユーザ端末を利用したウェブサーバのアクセスが攻撃として探知されることで、特定ユーザ端末のウェブサーバに対するアクセスを遮断する段階をさらに含む。

上述のような本発明の実施形態によるサイバー攻撃探知装置及び方法によれば、ユーザ端末から発生するイベントをリアルタイムでモニタリングして分析することで、多様な形態のサイバー攻撃を迅速かつ正確に探知することができる。

また、サイバー攻撃を探知する過程で発生しうるシステムの負荷や時間を最小化することで、ユーザに提供されるウェブサービスの速度に影響を与えず、可用性及び信頼性の高い保安サービスを提供することができる。

本発明の一実施形態によるサイバー攻撃探知装置及び方法の動作環境を示す例示図である。 本発明の一実施形態によるサイバー攻撃探知装置を示すブロック図である。 本発明の一実施形態によるウェブページの構造を示す例示図である。 本発明の一実施形態によるユーザの動作に相応するイベントの流れを示す例示図である。 本発明の一実施形態によるサイバー攻撃探知方法を説明するフローチャートである。 本発明の一実施形態によるイベントモデルを生成することを説明するフローチャートである。 本発明の一実施形態によるユーザ端末のウェブサーバに対するアクセスが攻撃であるか否かを探知する方法を説明するフローチャートである。

本発明は、多様に変更することができ、さまざまな実施形態を有することができるので、特定の実施形態を図面に例示し、詳細な説明に詳しく説明することにする。しかしながら、これは本発明を特定の実施形態に対して限定しようとするものでなく、本発明の思想及び技術範囲に含まれるすべての変更、均等物ないし代替物を含むこととして理解すべきである。各図面を説明しながら同一の参照符号を同一の構成要素に対して用いられる。

第１、第２、Ａ、Ｂなどの用語は、多様な構成要素を説明するために用いられるが、上記構成要素は上記用語によって限定されてはいけない。上記用語は１つの構成要素を他の構成要素と区分する目的のみで用いられる。例えば、本発明の権利範囲を逸脱することなく、第１構成要素は第２構成要素に命名されることができ、同様に第２構成要素は第１構成要素と命名することができる。「及び／または」の用語は、複数の関連する記載項目の組み合わせまたは複数の関連する記載項目からいずれかの項目を含む。

ある構成要素が他の構成要素に「連結されて」あるとか、「接続されて」あると言及された場合には、その他の構成要素に直接的に連結されているか、または接続されることができるが、その間に、他の構成要素が存在すると理解すべきである。一方、ある構成要素が他の構成要素に「直接連結されて」あるとか、「直接接続されて」あると言及された場合には、間に他の構成要素が存在しないものと理解すべきである。

本出願で用いる用語は、単に特定の実施形態を説明するために用いるものであって、本発明を限定しようとする意図ではない。単数の表現は、文脈上に明白に他の意味を有しない限り、複数の表現を含む。本出願において、「含む」または「有する」との用語は、明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはそれらを組み合わせが存在することを指定するものであって、１つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはそれらを組み合わせの存在または付加可能性をあらかじめ排除しないものと理解すべきである。

別途定義しない限り、技術的や科学的な用語を含み、ここで用いるすべての用語は、本発明が属する技術分野で通常の知識を有する者が一般に理解するものと同一の意味を有する。一般的に用いる事前に定義されているもののような用語は、関連技術の文脈上有する意味と一致する意味を有するものと解釈すべきであり、本出願において明白に定義しない限り、理想的や過度に形式的な意味として解釈しない。

以下、本発明に係る好適な実施形態を添付した図面を参照しながら詳細に説明する。

図１は、本発明の一実施形態によるサイバー攻撃探知装置及び方法の動作環境を示す例示図である。

図１を参照すると、サイバー攻撃探知装置及び方法は、ウェブページを管理するウェブサーバ２００とウェブページを利用する少なくとも１つのユーザによって運用される、少なくとも１つのユーザ端末３００にネットワークとして接続された情報通信システムで行うことができる。

具体的に、サイバー攻撃探知装置及び方法は、ウェブサーバ２００と少なくとも１つのユーザ端末３００との間に位置して正常なアクセスとして偽装したユーザ端末３００でのサイバー攻撃を探知し、攻撃として探知されたユーザ端末３００によるウェブサーバ２００へのアクセスを制御することができる。

このとき、サイバー攻撃探知装置及び方法は、ウェブサーバ２００と少なくとも１つのユーザ端末３００で構成されたサーバクライアントシステムだけでなく、複数のユーザ端末３００が有・無線ネットワークに接続されたＰ２Ｐ（Ｐｅｅｒ−ｔｏ−Ｐｅｅｒ ｎｅｔｗｏｒｋ）システムのユーザ端末３００との間にも実現できるが、これに限定されなく、装置間に情報通信が必要なすべての通信システムに拡大適用することができる。

ここで、ウェブサーバ２００は、インターネット上のテキスト、イメージ、動画のようなマルチメディア情報で構成されたウェブページを保存していて、複数のウェブページはハイパーリンク（ｈｙｐｅｒｌｉｎｋ）に接続されてウェブサイトを構成することができる。

そして、ウェブサイトを利用するユーザによって運用されるユーザ端末３００からウェブサービスを受けるためのＨＴＴＰ要請（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ ｒｅｑｕｅｓｔ）がウェブサーバ２００に受信されると、ウェブサーバ２００はＨＴＴＰ要請に相応するウェブサービスをユーザ端末３００に提供することができる。

ユーザ端末３００は、ウェブサーバ２００から提供するウェブサイト及びウェブページを出力できる出力装置及びウェブサービスを要請できる入力装置を備え、ウェブサーバ２００または他のユーザ端末３００と有無線ネットワークで接続されて情報を交換するサーバ、コンピュータ、ノートパソコン、スマートフォン、タブレットＰＣ及びＰＤＡのような情報処理装置を意味するが、これに限定されない。

ここで、サイバー攻撃探知装置及び方法は、ウェブサーバ２００及び少なくとも１つのユーザ端末３００とＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ブルートゥース（ｂｌｕｅｔｏｏｔｈ）、Ｗｉ−Ｆｉ（Ｗｉｒｅｌｅｓｓ Ｆｉｄｅｌｉｔｙ）、３Ｇ（３Ｇｅｎｅｒａｔｉｏｎ）、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）のような有無線ネットワークで接続される。

図２は、本発明の一実施形態によるサイバー攻撃探知装置を示すブロック図である。

図２を参照すると、サイバー攻撃探知装置１００は、イベント受信部１１０、モデル生成部１２０及び攻撃探知部１３０を含んで実現することができる。さらに、アクセス制御部１４０を含むことができる。

ここで、サイバー攻撃探知装置１００は、ユーザ端末３００からのイベントを受信する通信装置と、イベントがサイバー攻撃であることを判断できるように、情報処理装置を備えるサーバ及びコンピュータ、ノートパソコン、スマートフォン、タブレットＰＣ及びＰＤＡのような情報処理装置で実現することができる。

イベント受信部１１０は、ウェブサーバ２００に接続してウェブページから提供するウェブサービスを利用する少なくとも１つのユーザの動作によって少なくとも１つのユーザ端末３００から発生するイベントを受信することができる。

ここで、イベント（ｅｖｅｎｔ）とは、ウェブページから提供するウェブサービスを利用するために、ユーザがユーザ端末３００の入力装置を介して発生させる一連のプログラム動作命令を意味するものとする。

例えば、ウェブサーバ２００から提供するウェブページを利用中のユーザがハイパーリンク（ｈｙｐｅｒｌｉｎｋ）で表現されたテキストをユーザ端末３００のマウスを利用してクリック（ｃｌｉｃｋ）するイベントを発生させると、ユーザ端末３００では関連するウェブページに移動を要請するＨＴＴＰ ｒｅｑｕｅｓｔイベントを生成してウェブサーバ２００に伝送し、ＨＴＴＰ ｒｅｑｕｅｓｔイベントを受信したウェブサーバ２００は関連するウェブページに移動を行うことができる。

このとき、イベント受信部１１０でユーザ端末３００から発生するイベントを受信する理由は、最近になって発生するサイバー犯罪が悪性コードに感染されたゾンビＰＣによってＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃、ｓｐａｍ伝送、ＡＰＴ（Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ）攻撃の形態として知能化したためである。

したがって、ユーザ端末３００からウェブサーバ２００に流入されるすべてのイベントを受信してゾンビＰＣがアクセス権限を有しているユーザからの正常なアクセスであるように偽装してウェブサーバ２００の攻撃を監視することができる。

モデル生成部１２０は、イベント受信部１１０から受信したイベントに基づいてウェブサービスを利用する少なくとも１つのユーザの動作に相応するイベントパターンを抽出してイベントモデルを生成することができる。

ここで、モデル生成部１２０は、パターン抽出モジュール１２１及びモデル生成モジュール１２３を含むことができる。

パターン抽出モジュール１２１は、ウェブサービスを利用する少なくとも１つのユーザの要請により発生するウェブページ間の移動経路に沿ってイベント受信部１１０で受信したイベントの順序を組み合わせて少なくとも１つのイベントパターンを抽出することができる。

例えば、電子メールサービスを提供するウェブページで、ユーザ端末３００はログイン（ｌｏｇｉｎ）のためにＩＤとパスワードを入力するイベントを発生させる。ログイン後にウェブサーバ２００から受けた初期ページでユーザの要請に従ってメール作成ページに移動するためのイベントが発生され、メール作成ページに送るメッセージの入力と関連するイベントが発生された後、メール作成ページ上の伝送と関連するイベントが発生される。

そこで、電子メールサービスを利用するユーザの動作によるウェブページ間の移動経路に相応するイベントを発生順序に合うように組み合わせるとメール伝送と関連するイベントパターンを抽出することができる。

このように、イベントパターンは、ウェブページから提供するウェブサービスを利用するユーザの動作に相応するイベントによって抽出することができるので、ユーザによるウェブサービス利用パターンにより多様な形態に抽出することができる。

モデル生成モジュール１２３は、パターン抽出モジュール１２１から抽出された少なくとも１つのイベントパターンを収集し、収集したイベントパターンに基づいてウェブサービスを利用する少なくとも１つのユーザの動作に相応するイベントの流れを統計的に分析することで、イベントモデルを生成することができる。

ここで、イベントモデルは、類似のイベントパターンを集めるクラスタリング（Clustering）方法またはイベントパターンに対する数値的統計に基づいた密度推定（densityestimation）方法を介して生成することができる。

特に、イベントモデルは、あらかじめ設定されたアクセス頻度閾値よりも高い頻度で発生するイベントパターンを含むことができ、ここで、アクセス頻度閾値とは、統計的に分析されたイベントモデルから相対的に低い頻度で発生するイベント流れの頻度数を基準としてあらかじめ設定することができる。

攻撃探知部１３０は、モデル生成モジュール１２３により生成されたイベントモデルとイベント受信部１１０により受信した特定ユーザ端末３００からのイベントとを比較して特定ユーザ端末３００のウェブサーバ２００に対するアクセスが攻撃であるか否かを探知することができる。

具体的に、攻撃探知部１３０は、イベントモデルと特定ユーザ端末３００から受信したイベントの流れを比較し、特定ユーザ端末３００から受信したイベント流れがイベントモデルの範囲を逸脱する場合に対して特定ユーザ端末３００のウェブサーバ２００に対するアクセスを攻撃として探知することができる。

例えば、特定ユーザ端末３００によるイベントの流れがイベントモデルに含まれている場合、特定ユーザ端末３００のウェブサーバ２００に対するアクセスを正常なアクセスとして探知することができる。

一方、特定ユーザ端末３００によるイベントの流れがイベントモデルに含まれないか、範囲を逸脱する場合、特定ユーザ端末３００のウェブサーバ２００に対するアクセスを攻撃として探知することができる。

アクセス制御部１４０は、攻撃探知部１３０により特定ユーザ端末３００のウェブサーバ２００に対するアクセスが正常なアクセスであるか、攻撃であるかを探知した後、保安政策に基づいて特定ユーザ端末３００のウェブサーバ２００に対するアクセスを制御することができる。

よって、特定ユーザ端末３００のウェブサーバ２００に対するアクセスが正常なアクセスとして判別される場合、特定ユーザ端末３００のウェブサーバ２００に対するアクセスを許容することができる。

一方、特定ユーザ端末３００のウェブサーバ２００に対するアクセスが攻撃として探知される場合には、特定ユーザ端末３００のウェブサーバ２００に対するアクセスを遮断することができる。

図３は本発明の一実施形態によるウェブページの構造を示す例示図であり、図４は本発明の一実施形態によるユーザの動作に相応するイベントの流れを示す例示図である。

図３及び図４を参照すると、ウェブページは、テキスト、イメージ、音、映像だけでなく、インターネット上の複数の他のウェブページと接続することができる。

特に、ウェブページは、ウェブページを識別するページ識別アドレスに基づいてユーザ端末から発生するイベントに相応するウェブページがユーザに提供されるように、移動経路を示すことで、抽象化されることができる。

より具体的に、ウェブページはウェブページが識別できる１つのＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）と対応することができる。このとき、ウェブページは、インターネット上の複数のウェブページと接続することができるので、ウェブページのＵＲＬに基づいてウェブページと接続された複数のウェブページに対するＵＲＬを動的に割り当てることができる。

すなわち、ウェブページのＵＲＬの後に複数のウェブページから提供するウェブサービスに対するキーワード（ｋｅｙｗｏｒｄ）またはイベントのようなＵＲＬ変数（ＵＲＬ ｐａｒａｍｅｔｅｒ）を追加構成し、ウェブページと接続された複数のウェブページのそれぞれに対応することができる。

このように、動的ＵＲＬ（ｄｙｎａｍｉｃ ＵＲＬ）方式を利用して抽象化されたウェブページを介してウェブページと接続された複数のウェブページでユーザ端末から発生するイベントに相応するウェブページをユーザに提供することができる。

例えば、図３に示すように、Ｆｏｌｄｅｒ １は、Ｐａｇｅ Ａ、Ｐａｇｅ ＢとＰａｇｅ Ｃで構成されたＦｏｌｄｅｒ ２、Ｐａｇｅ Ｄ、Ｐａｇｅ Ｅ及びＦｏｌｄｅｒ ４で構成されたＦｏｌｄｅｒ ３、Ｐａｇｅ Ｈ、Ｐａｇｅ Ｉ及びＦｏｌｄｅｒ ６で構成されたＦｏｌｄｅｒ ５と接続されて構成されることができる。このとき、Ｆｏｌｄｅｒ ４はＰａｇｅ ＦとＰａｇｅ Ｇで構成されることができ、Ｆｏｌｄｅｒ ６はＰａｇｅ Ｊで構成されることができる。

ここで、Ｐａｇｅ ＡないしＰａｇｅ Ｊは、テキスト、イメージ、音、映像のようなマルチメディア情報だけでなく、インターネット上の複数のウェブページが含まれているウェブページを意味することができ、Ｆｏｌｄｅｒ １ないしＦｏｌｄｅｒ ６は、Ｐａｇｅ ＡないしＰａｇｅ Ｊのような複数のウェブページを含むウェブサイトを意味するが、これに限定されない。また、Ｐａｇｅ ＡないしＰａｇｅ Ｊ及びＦｏｌｄｅｒ ２ないしＦｏｌｄｅｒ ６はＦｏｌｄｅｒ １が保存されたウェブサーバ２００と相違するサーバに保存される。

Ｆｏｌｄｅｒ １は、ハイパーリンク（ｈｙｐｅｒｌｉｎｋ）を介してＰａｇｅ Ａ、Ｆｏｌｄｅｒ ２、Ｆｏｌｄｅｒ ３及びＦｏｌｄｅｒ ５と接続されることができる。ハイパーリンクとは、ウェブページ内の内容中の他のウェブページと接続されているテキスト要素を下線（ｕｎｄｅｒ ｌｉｎｅ）で強調するか、異なった色で表示したタッグであって、ユーザからクリックイベントが入力されると関連ウェブページに移動が行われることができる。

具体的に、例えば、Ｆｏｌｄｅｒ １を、電子メールサービスを提供するウェブサイトとした場合、Ｆｏｌｄｅｒ １と接続されたＰａｇｅ Ａ、Ｆｏｌｄｅｒ ２、Ｆｏｌｄｅｒ ３及びＦｏｌｄｅｒ ５は受信した電子メールを表示する機能、電子メールを伝送する機能、伝送された電子メールの受信可否を確認する機能及び削除した電子メールを表示する機能のうちの少なくとも１つの機能を行うことができるウェブページを意味するが、これに限定されない。

ここで、サイバー攻撃探知装置１００は、Ｆｏｌｄｅｒ １と接続されたＰａｇｅ Ａ、Ｆｏｌｄｅｒ ２、Ｆｏｌｄｅｒ ３及びＦｏｌｄｅｒ ５との間に位置してユーザから発生するイベントをリアルタイムでモニタリングしてこれを利用してサイバー攻撃を探知することができる。

サイバー攻撃探知装置１００は、ユーザの動作によるウェブページ間の移動経路に相応するイベントを発生順序に合うように組み合わせてウェブサービス利用パターンによるイベントパターンを抽出することができる。

また、抽出されたイベントパターンに基づいてウェブサービスを利用する少なくとも１つのユーザの動作に相応するイベントの流れを統計的に分析することで、イベントモデルを生成することができる。

具体的に、図４を参照すると、線の太い矢印は、ウェブページ間の移動可能な連結を示し、点線の矢印はウェブページ間の移動が不可能な連結を示すものである。

ここで、ウェブページを利用するユーザは、ウェブページ間の移動を要請するために、ユーザ端末３００を利用してイベントを発生させることになるが、このときに発生されるイベントはウェブページを管理するウェブサーバ２００にウェブページの移動を要請するためのＨＴＴＰ ｒｅｑｕｅｓｔを意味するが、これに限定されない。

例えば、Ｐａｇｅ Ａを利用するユーザによってＰａｇｅ ＡからＰａｇｅ Ｂにアクセスした後、Ｐａｇｅ Ｃに移動するイベントが発生すると、ユーザの動作によるウェブページ間の移動経路に相応するイベントを発生順序に合うように組み合わせることで、イベントパターンを抽出することができる。

その後、抽出されたイベントパターンに対する統計的に分析してＰａｇｅ ＡからＰａｇｅ Ｂを通ってＰａｇｅ Ｃに移動するイベントの流れがあらかじめ設定されたアクセス頻度閾値よりも高い頻度で発生されると、これをイベントモデルとして生成することができる。

次に、サイバー攻撃探知装置１００で特定ユーザ端末３００によってＰａｇｅ ＡからＰａｇｅ Ｂに移動するか、またはＰａｇｅ ＢからＰａｇｅ Ｃに移動するイベントが発生した場合、発生したイベント流れがイベントモデルに含まれるので、正常なアクセスと判別して特定ユーザ端末３００に対するウェブサーバ２００へのアクセスを許容する。

一方、特定ユーザ端末３００がＰａｇｅ ＡからＰａｇｅＢを通ってＰａｇｅ Ｅに移動するか、Ｐａｇｅ ＡからＰａｇｅ Ｂを通ってＰａｇｅ Ｃに移動した後、またＰａｇｅ Ｄに移動するイベントを発生させた場合、イベントモデルに含まないので、攻撃に探知して特定ユーザ端末３００からウェブサーバ２００へのアクセスを遮断することができる。

図５は本発明の一実施形態によるサイバー攻撃探知方法を説明するフローチャートであり、図６は本発明の一実施形態によるイベントモデルを生成することを説明するフローチャートである。

また、図７は、本発明の一実施形態によるユーザ端末のウェブサーバに対するアクセスが攻撃であるか否かを探知する方法を説明するフローチャートである。

図５ないし図７を参照すると、サイバー攻撃探知方法は、少なくとも１つのユーザ端末３００から発生するイベントを受信する段階（Ｓ１００）、受信したイベントに基づいてイベントモデルを生成する段階（Ｓ２００）、及び特定ユーザ端末３００のウェブサーバ２００に対するアクセスが攻撃であるか否か探知する段階（Ｓ３００）を含むことができる。また、特定ユーザ端末３００のウェブサーバ２００に対するアクセスが攻撃であるか否か探知した後、特定ユーザ端末３００のウェブサーバ２００に対するアクセスを制御する段階（Ｓ４００）をさらに含むことができる。

ここで、サイバー攻撃探知方法は、ウェブページを管理するウェブサーバ２００とウェブページを利用する少なくとも１つのユーザによって運用される少なくとも１つのユーザ端末３００がネットワークに接続された情報通信システムのサイバー攻撃探知装置１００で行われることができる。

サイバー攻撃探知装置１００は、ユーザ端末３００からのイベントを受信する通信装置と、イベントがサイバー攻撃であることを判断できるように情報処理装置を備えるサーバ及びコンピュータ、ノートパソコン、スマートフォン、タブレットＰＣ及びＰＤＡのような情報処理装置により実現される。

ウェブサーバ２００に接続してウェブページから提供するウェブサービスを利用する少なくとも１つのユーザの動作によって少なくとも１つのユーザ端末３００から発生するイベントを受信することができる（Ｓ１００）。

ここで、イベント（ｅｖｅｎｔ）とは、ウェブページから提供されるウェブサービスを利用するため、ユーザがユーザ端末３００の入力装置を介して発生させる一連のプログラム動作命令を意味する。

このとき、ユーザ端末３００から発生するイベントを受信する理由は、最近発生するサイバー犯罪が悪性コードに感染されたゾンビＰＣによってＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌｏｆ Ｓｅｒｖｉｃｅ）攻撃、ｓｐａｍ伝送、ＡＰＴ（Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ）攻撃の形態に知能化されつつ、これに対応するためである。

すなわち、ユーザ端末３００からウェブサーバ２００に流入されるすべてのイベントを受信することで、ゾンビＰＣがアクセス権限を有しているユーザからの正常なアクセスであるように偽装し、ウェブサーバ２００の攻撃であるか否かを監視することができる。

受信したイベントに基づいてウェブサービスを利用する少なくとも１つのユーザの動作に相応するイベントパターンを抽出し、イベントモデルを生成することができる（Ｓ２００）。

より具体的に、図６に示すようにイベントモデルを生成するためには、ウェブサービスを利用する少なくとも１つのユーザの要請により発生するウェブページ間の移動経路に沿って受信されたイベントの順序を組み合わせて少なくとも１つのイベントパターンを抽出することができる（Ｓ２１０）。ここで、イベントパターンは、ユーザによるウェブサービス利用パターンによって多様な形態に抽出されることができる。

次に、抽出されたイベントパターンを収集し、収集されたイベントパターンに基づいてウェブサービスを利用する少なくとも１つのユーザの動作に相応するイベントの流れを統計的に分析することができる（Ｓ２２０）。

このとき、イベントパターンがあらかじめ設定されたアクセス頻度閾値よりも高い頻度で発生するか否かを分析し（Ｓ２３０）、アクセス頻度閾値よりも高い頻度で発生する場合、前記抽出されたイベントパターンを含んでイベントモデルを生成することができる（Ｓ２４０）。

一方、アクセス頻度閾値より低い頻度で発生する場合には、イベントモデルを生成することにおいて前記抽出されたイベントパターンを除去することができる（Ｓ２５０）。

ここで、アクセス頻度閾値とは、所定期間中にユーザのイベントなどを統計的に分析して生成されたイベントモデルで相対的に低い頻度で発生するイベント流れの頻度数に基づいてあらかじめ設定を行うことができる。

生成したイベントモデルと特定ユーザ端末３００から受信したイベントとを比較し、特定ユーザ端末３００のウェブサーバ２００に対するアクセスが攻撃であるか否かを探知することができる（Ｓ３００）。

図７に示すように、ユーザ端末のウェブサーバ２００に対するアクセスが攻撃であるか否かを探知するために、特定ユーザ端末からイベントの流れを受信し（Ｓ３１０）、生成したイベントモデルと特定ユーザ端末から受信したイベントの流れを比較することができる（Ｓ３２０）。

次に、特定ユーザ端末３００によるイベントの流れがイベントモデルに含まれているか否かを確認し（Ｓ３３０）、特定ユーザ端末３００によるイベントの流れがイベントモデルに含まれている場合、特定ユーザ端末３００のウェブサーバ２００に対するアクセスを正常なアクセスとして探知することができる（Ｓ３４０）。

一方、特定ユーザ端末３００によるイベントの流れがイベントモデルに含まれないか、または範囲を逸脱する場合、特定ユーザ端末３００のウェブサーバ２００に対するアクセスを攻撃として探知することができる（Ｓ３５０）。

このように、特定ユーザ端末３００のウェブサーバ２００に対するアクセスが正常なアクセスであるか否か、攻撃であるか否かを探知した後（Ｓ３００）、保安政策に基づいて特定ユーザ端末３００のウェブサーバ２００に対するアクセスを制御することができる（Ｓ４００）。

すなわち、特定ユーザ端末３００のウェブサーバ２００に対するアクセスが正常なアクセスと判別した場合、特定ユーザ端末３００のウェブサーバ２００に対するアクセスを許容することができる。

一方、特定ユーザ端末３００のウェブサーバ２００に対するアクセスが攻撃として探知された場合には、特定ユーザ端末３００のウェブサーバ２００に対するアクセスを遮断することができる。

上述のような本発明の実施形態によるサイバー攻撃探知装置及び方法によれば、ユーザ端末から発生するイベントをリアルタイムでモニタリングして分析することで、多様な形態のサイバー攻撃を迅速かつ正確に探知することができる。

また、サイバー攻撃を探知する過程で発生するシステムの負荷や時間を最小化することで、ユーザに提供されるウェブサービスの速度に影響を与えず、可用性及び信頼性の高い保安サービスを提供することができる。

上述では、本発明の好ましい実施形態を参照して説明したが、当該技術分野の熟練した当業者は、添付の特許請求範囲に記載された本発明の思想及び領域から逸脱しない範囲で、本発明を多様に修正及び変更させることを理解することができる。

１００ サイバー攻撃探知装置
１１０ イベント受信部
１２０ モデル生成部
１２１ パターン抽出モジュール
１２３ モデル生成モジュール
１３０ 攻撃探知部
１４０ アクセス制御部
２００ ウェブサーバ
３００ ユーザ端末

Claims (10)

1. ウェブページを管理するウェブサーバと前記ウェブページを利用する少なくとも１つのユーザによって運用される少なくとも１つのユーザ端末がネットワークに接続された情報通信システムにおいて、
   前記ウェブサーバに接続し、前記ウェブページで提供するウェブサービスを利用する少なくとも１つのユーザの動作によって前記少なくとも１つのユーザ端末から発生するイベントを受信するイベント受信部と、
   前記受信したイベントに基づいて前記ウェブサービスを利用する少なくとも１つのユーザの動作に相応するイベントパターン（ｐａｔｔｅｒｎ）を抽出し、イベントモデルを生成するモデル生成部と、
   前記生成されたイベントモデルと特定ユーザ端末から受信したイベントを比較し、前記特定ユーザ端末の前記ウェブサーバに対するアクセスが攻撃であるか否かを探知する攻撃探知部とを含み、
   前記モデル生成部は、
   前記ウェブサービスを利用する少なくとも１つのユーザの要請により発生する前記ウェブページ間の移動経路に沿って前記イベント受信部で受信したイベントの順序を組み合わせて少なくとも１つのイベントパターンを抽出するパターン抽出モジュールと、
   前記抽出された少なくとも１つのイベントパターンを収集し、前記収集したイベントパターンを統計的に分析してあらかじめ設定されたアクセス頻度閾値よりも高い頻度で発生する前記イベントパターンのみが含まれるようにイベントモデルを生成するモデル生成モジュールと、を含むことを特徴とするサイバー攻撃探知装置。
2. 前記アクセス頻度閾値は、
   前記統計的に分析されたイベントモデルで相対的に低い頻度で発生するイベント流れの頻度数に基づいてあらかじめ設定されることを特徴とする請求項１に記載のサイバー攻撃探知装置。
3. 前記攻撃探知部は、
   前記イベントモデルと前記特定ユーザ端末から受信したイベントの流れを比較し、前記特定ユーザ端末から受信したイベント流れが前記イベントモデルの範囲を逸脱する場合に対して前記特定ユーザ端末の前記ウェブサーバに対するアクセスを攻撃として探知することを特徴とする請求項１に記載のサイバー攻撃探知装置。
4. 前記特定ユーザ端末の前記ウェブサーバに対するアクセスが攻撃として探知されることで、前記特定ユーザ端末の前記ウェブサーバに対するアクセスを遮断するアクセス制御部をさらに含むことを特徴とする請求項３に記載のサイバー攻撃探知装置。
5. 前記ウェブページは、
   前記ウェブページを識別するページ識別アドレスに基づいて前記少なくとも１つのユーザ端末から発生するイベントに相応するウェブページが提供されるように、移動経路を示すことで、抽象化されることを特徴とする請求項１に記載のサイバー攻撃探知装置。
6. ウェブページを管理するウェブサーバと前記ウェブページを利用する少なくとも１つのユーザによって運用される少なくとも１つのユーザ端末がネットワークに接続された情報通信システムのサイバー攻撃探知装置で行われる方法において、
   前記ウェブサーバに接続し、前記ウェブページから提供するウェブサービスを利用する少なくとも１つのユーザの動作によって前記少なくとも１つのユーザ端末から発生するイベントを受信する段階と、
   前記受信したイベントに基づいて前記ウェブサービスを利用する少なくとも１つのユーザの動作に相応するイベントパターン（ｐａｔｔｅｒｎ）を抽出してイベントモデルを生成する段階と、
   前記生成されたイベントモデルと特定ユーザ端末から受信したイベントを比較し、前記特定ユーザ端末の前記ウェブサーバに対するアクセスが攻撃であるか否かを探知する段階とを含み、
   前記イベントモデルを生成する段階は、
   前記ウェブサービスを利用する少なくとも１つのユーザの要請により発生する前記ウェブページ間の移動経路に沿って前記受信したイベントの順序を組み合わせて少なくとも１つのイベントパターンを抽出し、
   前記抽出された少なくとも１つのイベントパターンを収集し、前記収集したイベントパターンを統計的に分析して、あらかじめ設定されたアクセス頻度閾値よりも高い頻度で発生する前記イベントパターンのみが含まれるようにイベントモデルを生成することを特徴とするサイバー攻撃探知方法。
7. 前記アクセス頻度閾値は、
   前記統計的に分析されたイベントモデルで相対的に低い頻度で発生するイベント流れの頻度数に基づいてあらかじめ設定されることを特徴とする請求項６に記載のサイバー攻撃探知方法。
8. 前記攻撃であるか否かを探知する段階は、
   前記イベントモデルと前記特定ユーザ端末から受信したイベントの流れを比較し、前記特定ユーザ端末から受信したイベント流れが前記イベントモデルの範囲を逸脱する場合に対して前記特定ユーザ端末の前記ウェブサーバに対するアクセスを攻撃として探知することを特徴とする請求項６に記載のサイバー攻撃探知方法。
9. 前記特定ユーザ端末を利用した前記ウェブサーバのアクセスが攻撃として探知されることで、前記特定ユーザ端末の前記ウェブサーバに対するアクセスを遮断する段階をさらに含むことを特徴とする請求項８に記載のサイバー攻撃探知方法。
10. 前記ウェブページは、
    前記ウェブページを識別するページ識別アドレスに基づいて前記少なくとも１つのユーザ端末から発生するイベントに相応するウェブページが提供されるように、移動経路を示すことで、抽象化されることを特徴とする請求項６に記載のサイバー攻撃探知方法。