JP6067195B2 - 情報処理装置及び情報処理方法及びプログラム - Google Patents

Description

本発明は、攻撃検知システムに関する。

従来の攻撃検知システムは、セキュリティ装置が検出した攻撃パケットの疑いのあるパケットが検証用ネットワーク上でどのような動作をするかを確認して、当該パケットが攻撃パケットであるか否かを判定していた（例えば、特許文献１）。

特開２００５−０５７５２２号公報

従来の攻撃検知システムでは、保護対象ネットワークの他に検証用ネットワークを用意しなければならないという課題がある。
また、検証用ネットワークは、保護対象ネットワークとは別のネットワークであるため、検証用ネットワークを用いた検証では保護対象ネットワークで攻撃が発生していないと判定されても、実際には保護対象ネットワークで攻撃が発生している場合もある。
また、逆に、検証用ネットワークを用いた検証では保護対象ネットワークで攻撃が発生していると判定されても、実際には保護対象ネットワークでは攻撃が発生していない場合もある。
このように、従来の攻撃検知システムでは、検証用ネットワークを用いることによる検知漏れ又は誤検知が起こり得るという課題がある。

本発明は、このような課題を解決することを主な目的とし、検証用ネットワークを用いることなく、攻撃パケットを検知できる構成を得ることを主な目的とする。

本発明に係る情報処理装置は、
送信元が保護対象装置であるパケットと送信先が前記保護対象装置であるパケットを収集する情報処理装置であって、
収集されたパケットごとにエントリを設け、各エントリに、パケットの発生時刻とともにパケットの属性データを記述してパケット情報を生成するパケット情報生成部と、
攻撃の複数の類型が示され、類型ごとに、抽出時間幅と抽出条件とが定義されている定義情報を記憶する定義情報記憶部と、
送信元が前記保護対象装置であるパケットと送信先が前記保護対象装置であるパケットの中から前記複数の類型のうちのいずれかの類型に該当するパケットが検出された際に、検出された検出パケットの類型に対して前記定義情報で定義されている抽出時間幅と抽出条件とを選択抽出時間幅と選択抽出条件として選択し、前記検出パケットの発生時刻から前記選択抽出時間幅分の抽出時間帯を指定する選択部と、
発生時刻が前記抽出時間帯に含まれ、属性データが前記選択抽出条件に合致するエントリを前記パケット情報から抽出する抽出部と、
前記抽出部の抽出結果に基づき、前記保護対象装置への攻撃の有無を判定する判定部とを有することを特徴とする。

本発明では、攻撃の類型ごとに定義された抽出時間幅と抽出条件と、収集されたパケットのデータ属性とに基づき、保護対象装置への攻撃の有無を判定する。
このため、本発明では、検証用ネットワークを設けることなく、保護対象装置への攻撃の有無を判定することができる。
また、本発明では、保護対象装置が送信元であるパケット及び保護対象装置が送信先であるパケットに対する分析により保護対象装置への攻撃の有無を判定するため、検知漏れ又は誤検知を回避することができる。

実施の形態１に係る攻撃検知システムの構成例を示す図。 実施の形態１に係る攻撃検知システムの別の構成例を示す図。 実施の形態１に係る攻撃検知装置のハードウェア構成例を示す図。 実施の形態１に係る攻撃検知装置の別のハードウェア構成例を示す図。 実施の形態１に係る攻撃検知装置の機能構成例を示す図。 実施の形態１に係る攻撃検知装置の記憶装置内のプログラム群及びデータ群の例を示す図。 実施の形態１に係るパケット情報の例を示す図。 実施の形態１に係る保護対象装置テーブルの例を示す図。 実施の形態１に係る確認ポイントファイルの例を示す図。 実施の形態１に係る攻撃検知システムでのデータの流れを示す図。 実施の形態１に係るパケット情報生成部の動作例を示すフローチャート図。 実施の形態１に係る抽出部の動作例を示すフローチャート図。 実施の形態１に係るアラート処理部の動作例を示すフローチャート図。 実施の形態１に係る判定部の動作例を示すフローチャート図。 実施の形態２に係る攻撃検知装置のハードウェア構成例を示す図。 実施の形態２に係る攻撃検知装置の機能構成例を示す図。 実施の形態２に係る確認ポイント生成部の操作画面イメージを示す図。 実施の形態２に係る確認ポイント生成部の動作例を示すフローチャート図。

実施の形態１．
図１は、本実施の形態における攻撃検知システム１のシステム構成例を示す図である。

図１の攻撃検知システム１において、外部ネットワーク２に接続されたネットワーク装置３は、セキュリティ装置４を介して保護対象装置５と接続されている。
また、ネットワーク装置３は、攻撃検知装置６を介して、監視装置７と接続されている。
セキュリティ装置４は、攻撃検知装置６とも接続されている。

ここで、保護対象装置５は、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）やサーバなどのコンピュータである。
保護対象装置５は、ネットワーク装置３とセキュリティ装置４を介して、外部ネットワーク２上のコンピュータ（図示せず）と通信を行っている。
図１では、保護対象装置５は１台のみが図示されているが、保護対象装置５は複数台あってもよい。

ネットワーク装置３は、ネットワークルータやネットワークスイッチなどの通信のパケットを中継する装置である。
ネットワーク装置３は、外部ネットワーク２とセキュリティ装置４の間で通信されるパケットを全て攻撃検知装置６へも転送する設定がなされている。
すなわち、ネットワーク装置３は、送信元が保護対象装置５であるパケットと、送信先が保護対象装置５であるパケットを、攻撃検知装置６に転送する。

セキュリティ装置４は、侵入検知装置（ＩＤＳ）、侵入防止装置（ＩＰＳ）、統合脅威管理装置（ＵＴＭ）またはアンチウイルスゲートウェイ装置などである。
また、セキュリティ装置４は、保護対象装置５への攻撃が疑われる不審なパケットを検出した際にアラートを、攻撃検知装置６へ送信する設定がなされている。

攻撃検知装置６は、ネットワーク装置３から転送されたパケットを受信する。
つまり、攻撃検知装置６は、送信元が保護対象装置５であるパケットと送信先が保護対象装置５であるパケットを収集する。
また、攻撃検知装置６は、ネットワーク装置３から受信したパケットの属性データを記録する。
そして、攻撃検知装置６は、不審なパケットがセキュリティ装置４により検出され、セキュリティ装置からアラートが送信された際に、記録しているパケットの属性データを解析し、当該不審なパケットによる保護対象装置５への攻撃の有無を判定する。
攻撃検知装置６は、情報処理装置の例に相当する。

図２は、本実施の形態における攻撃検知システム１のシステム構成の別の例を示す図である。

図２の構成例では、ネットワーク装置３と保護対象装置５がセキュリティ装置４を介さずに直接接続されている。
図２の各装置は、図１に示したものと同じである。
また、攻撃検知システム１の別の構成例として、セキュリティ装置４は、攻撃検知装置６と直接には接続されずに、ネットワーク装置３を介して攻撃検知装置６と接続されるようにすることもできる。

図３は、攻撃検知装置６のハードウェア資源の一例を示す図である。

図３において、攻撃検知装置６は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１を備えている。
ＣＰＵ１１はバス１２を介してＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１３、通信ボード１４、磁気ディスク装置、フラッシュメモリ、あるいはＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）からなる記憶装置１５と接続され、これらのハードウェアを制御する。
通信ボード１４は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）ケーブルなどの伝送媒体を介して、ネットワーク装置３、セキュリティ装置４、監視装置７と接続される。
記憶装置１５には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）１６、プログラム群１７、データ群１８が格納されており、ＯＳ１６及びプログラム群１７は、記憶装置１５からＲＡＭ１３上にロードされ、ＣＰＵ１１により実行される。

図４は、攻撃検知装置６のハードウェア資源の別の例を示す図である。

図４のハードウェア構成では、図３の構成と比較して、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１９が追加されている。
そして、ＲＯＭ１９にＯＳ１６が格納されている。

図５は、本実施の形態に係る攻撃検知装置６の機能構成例を示す。

パケット情報生成部２１は、パケット情報を生成する。
パケット情報は、ネットワーク装置３から受信したパケットごとにエントリが設けられ、各エントリにパケットの発生時刻とともにパケットの属性データが記述される情報である。
パケット情報は、例えば、図７に示す情報である。
パケット情報の詳細は、図７を参照して後述する。
パケット情報生成部２１は、ネットワーク装置３からパケットを受信する度に、受信したパケットについてのエントリを作成して、パケット情報２５０を更新する。

確認ポイントファイル記憶部２７は、確認ポイントファイルを記憶する。
確認ポイントファイルでは、攻撃の複数の類型（攻撃タイプ）が示され、類型（攻撃タイプ）ごとに、抽出時間幅と抽出条件とが定義されている。
確認ポイントファイルは、例えば、図９に示す情報である。
確認ポイントファイルの詳細は、図９を参照して後述する。
なお、確認ポイントファイルは定義情報の例であり、確認ポイントファイル記憶部２７は定義情報記憶部の例に相当する。

抽出部２２は、セキュリティ装置４により不審パケットが検出された際に、確認ポイントファイルに定義されている抽出時間幅（確認時間）と抽出条件（送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号、サイズ）とに基づき、パケット情報から所定のエントリを抽出する。

選択判定部２４は、セキュリティ装置４により不審パケットが検出された際に、抽出部２２が用いる抽出時間幅と抽出条件とを選択する。
また、選択判定部２４は、抽出部２２の抽出結果に確認ポイントファイルに記述されている判定基準を適用して、不審パケットによる保護対象装置５への攻撃の有無を判定する。
選択判定部２４は、選択部及び判定部の例に相当する。

アラート処理部２３は、選択判定部２４により保護対象装置５への攻撃が検知された場合に、監視装置７に攻撃の検知を通知するアラートを出力する。

パケット情報記憶部２５は、パケット情報生成部２１が生成したパケット情報を記憶する。

保護対象装置テーブル記憶部２６は、保護対象装置テーブルを記憶する。
保護対象装置テーブルは、保護対象装置の属性が記述されたテーブルであり、例えば、図８に示す情報である。
保護対象装置テーブルの詳細は、図８を参照して後述する。

図６は、記憶装置１５の記憶内容を示す。
記憶装置１５は、プログラム群１７とデータ群１８が格納されている。

プログラム群１７には、パケット情報生成プログラム２１０、抽出プログラム２２０、アラート処理プログラム２３０、選択判定プログラム２４０が格納される。
パケット情報生成プログラム２１０は、パケット情報生成部２１を実現するためのプログラムである。
すなわち、ＣＰＵ１１がパケット情報生成プログラム２１０を実行することでパケット情報生成部２１が実現される。
抽出プログラム２２０は、抽出部２２を実現するためのプログラムである。
すなわち、ＣＰＵ１１が抽出プログラム２２０を実行することで抽出部２２が実現される。
アラート処理プログラム２３０は、アラート処理部２３を実現するためのプログラムである。
すなわち、ＣＰＵ１１がアラート処理プログラム２３０を実行することでアラート処理部２３が実現される。
選択判定プログラム２４０は、選択判定部２４を実現するためのプログラムである。
すなわち、ＣＰＵ１１が選択判定プログラム２４０を実行することで選択判定部２４が実現される。

データ群１８には、パケット情報２５０、保護対象装置テーブル２６０、確認ポイントファイル２７０が格納される。
すなわち、記憶装置１５のデータ群１８が格納される領域が、パケット情報記憶部２５、保護対象装置テーブル記憶部２６、確認ポイントファイル記憶部２７に相当する。

図７は、パケット情報２５０の一例を示す。

パケット情報２５０には、パケットに対して割り当てた番号３１、パケットの発生時刻３２、送信元ＩＰアドレス３３、送信元ポート番号３４、送信先ＩＰアドレス３５、送信先ポート番号３６、プロトコル３７、パケットの長さ３８、その他の情報３９が記録される。
パケットの発生時刻３２は、パケットが送信元から送信された時刻である。

図８は、保護対象装置テーブル２６０の一例を示す。
図８の保護対象装置テーブル２６０には、複数の保護対象装置５の属性が記述されている。

保護対象装置テーブル２６０には、保護対象装置５に割り当てた番号４１、保護対象装置５のＩＰアドレス４２、保護対象装置５の種別４３、用途４４、外部との通信で許可されているポート番号４５が記述される。

図９は、確認ポイントファイル２７０の一例を示す。
確認ポイントファイル２７０には、シグニチャＩＤ５１、攻撃タイプ５２、送信元ＩＰアドレス５３、送信元ポート番号５４、送信先ＩＰアドレス５５、送信先ポート番号５６、確認時間５７、サイズ５８、判定基準５９が記述されている。
シグニチャＩＤ５１は、セキュリティ装置４に格納されている攻撃検知のシグニチャのＩＤであり、図９には一例を示している。
攻撃タイプ５２は、セキュリティ装置４に格納されている攻撃検知のシグニチャの分類であり、図９には一例を示している。
つまり、攻撃タイプ５２は、シグニチャＩＤで特定されるシグニチャで検出される攻撃の類型を表す。
例えば、シグニチャＩＤ：１のシグニチャではＥｘｐｌｏｉｔタイプの攻撃を検出することができる。

図９において、“Ａｎｙ”は特に指定しないことを示す。
“＄ＳＲＣ＿ＡＤＤＲ”は、アラートの原因になったパケットの送信元ＩＰアドレスを示す。
“＄ＳＲＣ＿ＰＯＲＴ”は、アラートの原因になったパケットの送信元ポート番号を示す。
“＄ＤＳＴ＿ＡＤＤＲ”は、アラートの原因になったパケットの送信先ＩＰアドレスを示す。
“＄ＤＳＴ＿ＰＯＲＴ”は、アラートの原因になったパケットの送信先ポート番号を示す。
番号が複数ある場合は［］に“，”で区切って列挙している。
指定番号以外を示す場合は、“〜”を前に付けている。

送信元ＩＰアドレス５３は、抽出対象のパケットの送信元ＩＰアドレスを示している。
送信元ポート番号５４は、抽出対象のパケットの送信元ポート番号を示している。
送信先ＩＰアドレス５５は、抽出対象のパケットの送信先ＩＰアドレスを示している。
送信先ポート番号５６は、抽出対象のパケットの送信先ポート番号を示している。

確認時間５７は、抽出時間幅と抽出時間幅の適用方向を示している。
つまり、確認時間５７の数値が抽出時間幅（秒数）を表し、“：”を挟んだ数値の位置が適用方向を表している。
“：”の前の数値は、不審パケットの発生時刻から遡る抽出時間幅の秒数を示し、“：”の後の数値は、不審パケットの発生時刻に後続する抽出時間幅の秒数を示している。
例えば、“６００：６００”は、不審パケットの発生時刻から６００秒遡った時刻から、不審パケットの発生時刻から６００秒経過した時刻までの時間を指定している。

サイズ５８は、抽出対象のパケットのサイズを示している。
数値の場合には、サイズが数値と一致するパケット、“Ａｎｙ”は全てのサイズのパケットを、“Ｓａｍｅ”は同じサイズのパケットを抽出の対象とすることを示している。
数値の場合は、前に＜、≦、＞、≧の不等号を置いて範囲を指定する。

判定基準５９は、抽出したパケットの個数と累計サイズとこれらの論理演算に関する判定条件を“，”で区切って示している。
パケットの個数は、“Ａｎｙ”は特に条件に指定しないこと、“≧ｍ”（ｍは正整数）はｍ以上の個数のパケットがあること、“≦ｎ”（ｎは正整数）はｎ以下の個数のパケットがあることを示している。
“＋ｘ％”（ｘは正整数）の場合は、不審パケットの発生時刻の前後で、パケットの個数がｘ％増加することを示す。
“−ｙ％”（ｙは１から１００の整数）の場合は、不審パケットの発生時刻の前後で、パケットの個数がｙ％減少することを示す。
パケットの累計サイズは、“Ａｎｙ”は特に条件を指定しないこと、“≧ｍ”（ｍは正整数）は累計サイズがｍ以上であること、“≦ｎ”（ｎは正整数）は累計サイズがｎ以下であることを示している。
“＋ｘ％”（ｘは正整数）の場合は、不審パケットの発生時刻の前後で、パケットの累計サイズがｘ％増加することを示す。
“−ｙ％”（ｙは１から１００の整数）の場合は、不審パケットの発生時刻の前後で、パケットの累計サイズがｙ％減少することを示す。
論理演算は、ＡＮＤとＯＲがあり、ＡＮＤはパケットの個数と累計サイズがともに条件を満たしていることが必要であることを示しており、ＯＲは何れか一方が条件を満たしていればよいことを示す。

攻撃者が保護対象装置５への侵入に成功していれば、攻撃者から保護対象装置５のポートに対して基盤構築のためのファイルをアップロードする通信が行われるため、通信量の増加が確認されるはずである。
１行目のエントリ（攻撃タイプ５２：Ｅｘｐｌｏｉｔ）では、このような観点から、“＄ＤＳＴ＿ＡＤＤＲ”を送信先ＩＰアドレスとし、“＄ＤＳＴ＿ＰＯＲＴ”を送信先ポート番号とするパケットの累計サイズが３０％増加することを判定基準５９としている。
また、ブラックリストに登録されているサイトと保護対象装置５との通信がなされていれば、遠隔操作のための、定期的な通信が行われるため、サイズが同じパケットの外部への通信が多数観測されるはずである。
２行目のエントリ（攻撃タイプ５２：Ｂｌａｃｋｌｉｓｔ）では、このような観点から、“＄ＳＲＣ＿ＡＤＤＲ”を送信元ＩＰアドレスとし、［８０、４４３］を送信先ポート番号とするパケットの個数が１００以上であることを判定基準５９としている。
また、マルウェアが検出されたならば、保護対象装置５から外部へ許可されていない通信が観測されるはずである。
３行目のエントリ（攻撃タイプ５２：Ｍａｌｗａｒｅ）では、このような観点から、“＄ＤＳＴ＿ＡＤＤＲ”を送信元ＩＰアドレスとし、“〜［８０，４４３］”を送信元ポート番号とするパケットが１つ以上あることを判定基準５９としている。

選択判定部２４は、確認ポイントファイル２７０を読み出し、セキュリティ装置４において不審パケットの検出に用いたシグニチャのシグニチャＩＤが記述されたエントリに記述されている確認時間５７を選択する。
また、選択判定部２４は、当該エントリに記述されている送信元ＩＰアドレス５３、送信元ポート番号５４、送信先ＩＰアドレス５５、送信先ポート番号５６及びサイズ５８を選択する。
選択判定部２４が選択した確認時間５７は選択抽出時間幅の例に相当し、抽出部２２が選択した送信元ＩＰアドレス５３、送信元ポート番号５４、送信先ＩＰアドレス５５、送信先ポート番号５６及びサイズ５８は選択抽出条件の例に相当する。
また、選択判定部２４は、検出された不審パケットの発生時刻から確認時間５７分の抽出時間帯を指定する。
次に、抽出部２２が、パケット情報２５０（図７）から、時刻３２が抽出時間帯に含まれ、属性データ（送信元ＩＰアドレス３３、送信元ポート番号３４、送信先ＩＰアドレス３５、送信先ポート番号３６、長さ３８）が選択された抽出条件（送信元ＩＰアドレス５３、送信元ポート番号５４、送信先ＩＰアドレス５５、送信先ポート番号５６及びサイズ５８）に合致するエントリを抽出する。
その後、選択判定部２４が、抽出部２２により抽出されたエントリの個数（パケットの個数）及び抽出部２２により抽出されたエントリに記述されたサイズの合計を、判定基準５９と照合し、判定基準５９に合致する場合は、選択判定部２４は不審パケットにより保護対象装置５への攻撃があったと判定する。

次にデータの流れについて説明する。
図１０は、攻撃検知システム１内の主なデータの流れを論理的に示した図である。
図１０は、図６をベースにしている。
また、図１０では、プログラム群１７の各プログラムは、記憶装置１５からＲＡＭ１３上へロードされている状態を示している。

各プログラムの命令は、バス１２を介してＣＰＵ１１に読み込まれて実行されるが、これはコンピュータを知っている者には明らかであるため、以下の説明では、ＣＰＵ１１及びバス１２についての説明は省略する。
つまり、以下では、ＣＰＵ１１がパケット情報生成プログラム２１０を実行することで実現される動作をパケット情報生成部２１の動作として説明する。
同様に、ＣＰＵ１１が抽出プログラム２２０を実行することで実現される動作を抽出部２２の動作として説明する。
同様に、ＣＰＵ１１が選択判定プログラム２４０を実行することで実現される動作を選択判定部２４の動作として説明する。
同様に、ＣＰＵ１１がアラート処理プログラム２３０を実行することで実現される動作をアラート処理部２３の動作として説明する。

ネットワーク装置３は、設定に従い、外部ネットワーク２と保護対象装置５の間で通信されるパケットを攻撃検知装置６へ送信する。

攻撃検知装置６のパケット情報生成部２１が、通信ボード１４を経由してこのパケットを受信し、受信したパケットのエントリをパケット情報２５０に追加する。
当該エントリには、図７に示すように、受信したパケットの属性データ（時刻、送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号、プロトコル、長さ、その他の情報）が記述される。
パケット情報生成部２１は、ネットワーク装置３からパケットを受信する度に、受信したパケットのエントリを生成する。
パケット情報２５０は、記憶装置１５上のパケット情報記憶部２５に格納する。

また、セキュリティ装置４は、シグニチャ（攻撃パターン）が含まれる不審なパケットを検知した際にアラートを、攻撃検知装置６へ送信する。
つまり、セキュリティ装置４は、確認ポイントファイル２７０（図９）のいずれかの攻撃タイプ５２に該当する不審なパケットを検出した場合には、検出した不審なパケットを通知するアラートを攻撃検知装置６へ送信する。
アラートには、シグニチャＩＤ、発生時刻、不審なパケットの送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号が含まれる。

攻撃検知装置６のアラート処理部２３が通信ボード１４を介してこのアラートを受信し、アラートを一時的に記憶する。
そして、アラート処理部２３は、アラートに含まれるシグニチャＩＤ、発生時刻、不審なパケットの送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号を含む確認要求を選択判定部２４に出力する。

選択判定部２４は、シグニチャＩＤに対応する確認ポイントファイル２７０のエントリ（確認ポイントともいう）を記憶装置１５から読み出す。
また、選択判定部２４は、読み出したエントリ（確認ポイント）に示される確認時間５７を抽出部２２が用いる抽出時間幅として選択する。
また、選択判定部２４は、読み出したエントリに示される送信元ＩＰアドレス５３、送信元ポート番号５４、送信先ＩＰアドレス５５、送信先ポート番号５６及びサイズ５８を抽出部２２が用いる抽出条件として選択する。
更に、選択判定部２４は、不審パケットの発生時刻から抽出時間幅分の時間帯を抽出時間帯として指定する。
そして、選択判定部２４は、抽出時間帯及び抽出条件と、アラート処理部２３からの確認要求とが含まれる抽出要求を抽出部２２に出力する。

抽出プログラム２２０は、選択判定部２４からのパケット取得要求に従い、該当するエントリを記憶装置１５のパケット情報２５０から抽出し、抽出結果を選択判定部２４へ返す。

選択判定部２４は、抽出部２２から受け取った抽出結果を、確認ポイントファイル２７０の判定基準５９に従って解析して、攻撃の有無を判定し、判定結果をアラート処理部２３へ返す。

アラート処理部２３では、選択判定部２４の判定結果に従い、アラートの破棄、あるいは、監視装置７へのアラート送信を行う。

次に、フローチャートを参照して、攻撃検知装置６の動作例を説明する。

図１１は、パケット情報生成部２１の動作例を示したフローチャートである。

パケット情報生成部２１は、通信ボード１４がネットワーク装置３から送られてきたパケットを受信した際に起動される。
パケット情報生成部２１は、受信したパケットを、パケット情報２５０のデータフィールドごとに切り分ける（ステップＳ１０１）。
次に、パケット情報生成部２１は、受信したパケットから、パケット情報２５０の新たなエントリを生成し、新たなエントリをパケット情報２５０に追加し、新たなエントリが追加されたパケット情報２５０を記憶装置１５に格納する（ステップＳ１０２）。

図１２は、抽出部２２の動作例を示したフローチャートである。

抽出部２２は、選択判定部２４から抽出要求が出力された際に起動される。
抽出部２２は、抽出要求の抽出時間帯及び抽出条件に合致するパケット情報２５０のエントリを記憶装置１５から読み込む（ステップＳ２０１）。
そして、抽出部２２は、読み込んだエントリを選択判定部２４へ返す（ステップＳ２０２）。

図１３は、アラート処理部２３の動作例を示したフローチャートである。

アラート処理部２３は、通信ボード１４がセキュリティ装置４からのアラートを受信した際に起動される。
アラート処理部２３は、受信したアラートをＲＡＭ１３上に一時的に記憶する（ステップＳ３０１）。
次に、アラート処理部２３は、アラートに含まれるシグニチャＩＤ、発生時刻、送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号を含む確認要求を選択判定部２４に出力する（ステップＳ３０２）。
次に、アラート処理部２３は、選択判定部２４からの応答に含まれる判定結果をチェックする（ステップＳ３０３）。
判定結果が「誤検知」の場合には、アラート処理部２３は、ステップＳ３０１で一時的にＲＡＭ１３上に記憶していたアラートを廃棄する（ステップＳ３０４）。
判定結果が「攻撃検知」の場合には、アラート処理部２３は、ステップＳ３０１でＲＡＭ１３上に一時的に記憶していたアラートを監視装置７に送信（ステップＳ３０５）する。

図１４は、選択判定部２４の動作例を示したフローチャートである。

選択判定部２４は、アラート処理部２３から確認要求が出力された際に起動される。
選択判定部２４は、確認要求のシグニチャＩＤに該当する確認ポイントファイル２７０のエントリ（確認ポイント）を記憶装置１５から読み込む（ステップＳ４０１）。

選択判定部２４は、確認ポイントの確認時間５７の“：”の前の数値が０よりも大きいか確認する（ステップＳ４０２）。
確認ポイントの確認時間５７の“：”の前の数値が０よりも大きい場合は、選択判定部２４は、不審パケットの発生時刻から“：”の前の数値分の秒数を引いた時刻から発生時刻までの時間を抽出時間帯として指定する。
また、選択判定部２４は、確認ポイントに記述されている送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号を抽出条件として指定する。
そして、選択判定部２４は、抽出時間帯と、抽出条件と、確認要求とが含まれる抽出要求を抽出部２２に出力する（ステップＳ４０３）。
確認ポイントの確認時間５７の“：”の前の数値が０の場合には、選択判定部２４は、ステップＳ４０５を実行する。

次に、選択判定部２４は、確認ポイントの確認時間５７の“：”の後の数値が０よりも大きいか確認する（ステップＳ４０４）。
確認ポイントの確認時間５７の“：”の後の数値が０よりも大きい場合は、選択判定部２４は、不審パケットの発生時刻から、発生時刻に“：”の後の数値分の秒数を足した時刻までの時間を抽出時間帯として指定する。
また、選択判定部２４は、確認ポイントに記述されている送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号を抽出条件として指定する。
そして、選択判定部２４は、抽出時間帯と、抽出条件と、確認要求とが含まれる抽出要求を抽出部２２に出力する（ステップＳ４０５）。

なお、確認ポイントの確認時間５７の“：”の前の数値も後の数値も０よりも大きい場合は、ステップＳ４０３を省略し、ステップＳ４０５において、不審パケットの発生時刻から“：”の前の数値分の秒数を引いた時刻から、不審パケットの発生時刻に“：”の後の数値分の秒数を足した時刻までの時間を抽出時間帯として指定し、確認ポイントに記述されている送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号を抽出条件として指定するようにしてもよい。

抽出部２２から抽出結果を得た場合に、選択判定部２４は、確認ポイントの判定基準５９のパケットの個数に“Ａｎｙ”が記述されているかをチェックする（ステップＳ４０６）。
パケットの個数が“Ａｎｙ”でない場合には、抽出部２２から取得したエントリの個数を元に、個数についての判定結果を生成する（ステップＳ４０７）。
次に、選択判定部２４は、確認ポイントの判定基準５９のパケットの累計サイズに“Ａｎｙ”が記述されているかをチェックする（ステップＳ４０８）。
パケットの累計サイズが“Ａｎｙ”でない場合には、抽出部２２から取得したエントリに記述されている“長さ”の累積を元に、パケットの累計サイズについての判定結果を生成する（ステップＳ４０９）。
ステップＳ４０６で、確認ポイントの判定基準５９のパケットの個数に“Ａｎｙ”が指定されている場合には、選択判定部２４は、ステップＳ４０８を実行する。
ステップＳ４０８で、確認ポイントの判定基準５９のパケットの累計サイズに“Ａｎｙ”が指定されている場合には、ステップＳ４１０を実行する。

次に、選択判定部２４は、判断基準５９の論理演算に従い、パケットの個数の判定結果とパケットの累計サイズの判定結果より、検知の判定結果を生成する（ステップＳ４１０）。
次に、選択判定部２４は、ステップＳ４１０で生成した検知の判定結果をアラート処理部２３へ応答する（ステップＳ４１１）。

次に、具体例を用いて、本実施の形態に係る攻撃検知装置６の動作例を説明する。
以下では、図７に示すパケット情報２５０が記憶装置１５で記憶されていると仮定する。

セキュリティ装置４において不審なパケットが検出されると、アラート処理部２３は、アラートに含まれるシグニチャＩＤ、発生時刻、送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号を含む確認要求を選択判定部２４に出力する。
ここでは、確認要求に含まれる内容は以下であるとする。
シグニチャＩＤ：１
発生時刻：２０１４．６．２８．１３：３６：１５．０００１
送信元ＩＰアドレス：１０．０．０．１００
送信元ポート番号：５１３５５
送信先ＩＰアドレス：１９２．１６８．１．１０
送信先ポート番号：８０

選択判定部２４は、シグニチャＩＤ：１のエントリを確認ポイントとして確認ポイントファイル２７０から読み出す。
確認ポイントの確認時間５７には、“６００：６００”が記述されているので、選択判定部２４は、“２０１４．６．２８．１３：２６：１５．０００１”から“２０１４．６．２８．１３：４６：１５．０００１”までの時間を抽出時間幅として指定する。
次に、選択判定部２４は、確認ポイントの送信元ＩＰアドレス５３、送信元ポート番号５４、送信先ＩＰアドレス５５、送信先ポート番号５６及びサイズ５８に記述されている、“Ａｎｙ”、“Ａｎｙ”、“＄ＤＳＴ＿ＡＤＤＲ”、“＄ＤＳＴ＿ＰＯＲＴ”、“Ａｎｙ”を抽出条件として指定する。
そして、選択判定部２４は、抽出時間幅と、抽出条件と、アラート処理部２３からの確認要求が含まれる抽出要求を抽出部２２に出力する。

抽出部２２は、抽出要求に従ってパケット情報２５０を探索する。
具体的には、抽出部２２は、時刻３２に記述されている時刻が、抽出時間幅である“２０１４．６．２８．１３：２６：１５．０００１”−“２０１４．６．２８．１３：４６：１５．０００１”の範囲に含まれ、抽出条件に合致するエントリをパケット情報２５０から抽出する。
例えば、図７の１行目では、時刻３２に記述されている時刻は抽出時間幅に含まれる。
また、図７の１行目の送信先ＩＰアドレスは“１９２．１６８．１．１０”であり、送信先ＩＰアドレスの抽出条件“＄ＤＳＴ＿ＡＤＤＲ”に合致し、送信先ポート番号は“８０”であり、送信先ポート番号の抽出条件“＄ＤＳＴ＿ＰＯＲＴ”に合致する。
また、送信元ＩＰアドレスの抽出条件と送信元ポート番号の抽出条件とサイズの抽出条件は“Ａｎｙ”である。
このため、抽出部２２は、図７の１行目のエントリを抽出する。
抽出部２２は、時刻３２に記述される時刻が抽出時間幅に含まれるエントリに対して、同様の照合を行い、抽出したエントリを選択判定部２４に出力する。

選択判定部２４では、抽出部２２からの抽出結果と確認ポイントの判定基準５９とを比較する。
確認ポイントの判定基準５９は、“Ａｎｙ，＋３０％，ＡＮＤ”である。
パケットの個数の判定基準は“Ａｎｙ”であるため、選択判定部２４は、図１４のステップＳ４０７は行わない。
一方、パケットの累計サイズの判定基準は“＋３０％”であるため、選択判定部２４は、図１４のステップＳ４０９を行う。
つまり、選択判定部２４は、抽出部２２から出力されたエントリの長さ３８の欄に記載のサイズに基づき、不審パケットの発生時刻より前の累計サイズと、不審パケットの発生時刻以後の累計サイズを算出する。
そして、発生時刻後の累計サイズが、発生時刻より前の累計サイズに比べて３０％以上大きい場合は、選択判定部２４は、不審パケットにより保護対象装置５への攻撃が発生していると判定する。

以上のように、本実施の形態によれば、検証用ネットワークを設けることなく、保護対象装置への攻撃の有無を判定することができる。
また、本実施の形態では、セキュリティ装置がシグニチャに基づいて検出したパケットの攻撃タイプに応じて、当該パケットの発生時刻の前の発生時刻のパケット、あるいは後の発生時刻のパケット、または前の発生時刻のパケットと後の発生時刻のパケットを分析する。
このため、検証用ネットワークを用いることによる検知漏れ又は誤検知を回避することができる。

なお、本実施の形態では、判定結果が「誤検知」の場合には、アラート処理部２３がアラートを廃棄したが、アラートを廃棄せずに、アラートのレベルを「低」（または、「１」）にした後に、アラートを監視装置７に送信するようにすることもできる。

実施の形態２．
以上の実施の形態１では、確認ポイントファイル２７０は、システム管理者がエディタ等を使って作成するようにしたものであるが、次にツールを使って作成する実施の形態を示す。
以下では、主に実施の形態１との差分を説明する。
以下で説明していない事項は、実施の形態１で説明したものと同様である。

図１５は、本実施の形態に係る攻撃検知装置６のハードウェア資源の一例を示す図である。
図１５では、図３のハードウェア資源と比較して、ディスプレイ６１、キーボード６２、マウス６３が追加されている。

図１６は、本実施の形態に係る攻撃検知装置６の機能構成例を示す。
図１６の構成では、図５の構成と比較して、確認ポイント生成部２８が追加されている。
確認ポイント生成部２８は、ユーザ（システム管理者）の指示に従って、確認ポイントファイル２７０の定義内容を変更する。
確認ポイント生成部２８は、定義情報変更部の例に相当する。
また、図１５では図示を省略しているが、確認ポイント生成部２８を実現する確認ポイント生成プログラムがプログラム群１７に含まれている。
ＣＰＵ１１が確認ポイント生成プログラムを実行することで、以下に説明する確認ポイント生成部２８の機能が実現される。

図１７は、確認ポイント生成部２８の操作画面イメージを示す。
操作画面には、確認ポイント説明６１０が表示され、確認ポイントの変更が可能な部分に対して、入力フィールドが表示される（図１７の場合は、符号６２０と符号６３０）。
図１７は、図９のシグニチャＩＤ：１の確認ポイントについての操作画面である。
符号６２０は、確認時間５７の秒数（６００：６００）が変更可能であることを示している。
符号６３０は、判定基準５９の累計サイズの基準（＋３０％）が変更可能であることを示している。
確認ポイント説明６１０の下には、保存ボタン６４０、終了ボタン６５０、前のシグニチャへの移動ボタン６６０、次のシグニチャへの移動ボタン６７０が表示される。
図１７の例では、確認時間５７の秒数と判定基準５９の累計サイズの基準が変更可能な例を示しているが、他の項目を変更の対象にすることも可能である。

次に、図１８のフローチャートを参照して、確認ポイント生成部２８の動作例を説明する。

確認ポイント生成部２８が起動されると、確認ポイント生成部２８は内部変数のシグニチャＩＤを１にセットする（ステップＳ５０１）。
次に、確認ポイント生成部２８は内部変数のシグニチャＩＤにセットされているシグニチャＩＤの確認ポイントを確認ポイントファイル２７０から読み込み、読み込んだ確認ポイントの内容を確認ポイント説明６１０に表示する。
ユーザからボタンが押下された際に、確認ポイント生成部２８は、どのボタンが押下されたかをチェックする（ステップＳ５０３）。
前のシグニチャへの移動ボタン６６０が押下された場合、確認ポイント生成部２８は、シグニチャＩＤを１減らし（ステップＳ５０４）、ステップＳ５０２からの処理を繰り返す。
次のシグニチャへの移動ボタン６７０が押下された場合、確認ポイント生成部２８は、シグニチャＩＤを１増やし（ステップＳ５０５）、ステップＳ５０２からの処理を繰り返す。
保存ボタン６４０が押下された場合、確認ポイント生成部２８は、入力フィールドの内容を、確認ポイントファイル２７０の該当するシグニチャＩＤのエントリへ書き込み（ステップＳ５０５）、ステップＳ５０２からの処理を繰り返す。
終了ボタン６５０が押下された場合には、確認ポイント生成部２８は、処理を終了する。

このように、本実施の形態によれば、攻撃タイプに合わせて、確認ポイントの説明を、システム管理者に表示し、確認時間や抽出条件をパラメータとして示すことで、システム管理者は、容易に確認ポイントを設定することができる。

以上、本発明の実施の形態について説明したが、これら２つの実施の形態を組み合わせて実施しても構わない。
あるいは、これら２つの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これら２つの実施の形態を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。

１ 攻撃検知システム、２ 外部ネットワーク、３ ネットワーク装置、４ セキュリティ装置、５ 保護対象装置、６ 攻撃検知装置、７ 監視装置、１１ ＣＰＵ、１２ バス、１３ ＲＡＭ、１４ 通信ボード、１５ 記憶装置、１６ ＯＳ、１７ プログラム群、１８ データ群、１９ ＲＯＭ、２１ パケット情報生成部、２２ 抽出部、２３ アラート処理部、２４ 選択判定部、２５ パケット情報記憶部、２６ 保護対象装置テーブル記憶部、２７ 確認ポイントファイル記憶部、２８ 確認ポイント生成部、６１ ディスプレイ、６２ キーボード、６３ マウス、２１０ パケット情報生成プログラム、２２０ 抽出プログラム、２３０ アラート処理プログラム、２４０ 選択判定プログラム、２５０ パケット情報、２６０ 保護対象装置テーブル、２７０ 確認ポイントファイル。

Claims (10)

1. 送信元が保護対象装置であるパケットと送信先が前記保護対象装置であるパケットを収集する情報処理装置であって、
   収集されたパケットごとにエントリを設け、各エントリに、パケットの発生時刻とともにパケットの属性データを記述してパケット情報を生成するパケット情報生成部と、
   攻撃の複数の類型が示され、類型ごとに、抽出時間幅と抽出条件とが定義されている定義情報を記憶する定義情報記憶部と、
   送信元が前記保護対象装置であるパケットと送信先が前記保護対象装置であるパケットの中から前記複数の類型のうちのいずれかの類型に該当するパケットが検出された際に、検出された検出パケットの類型に対して前記定義情報で定義されている抽出時間幅と抽出条件とを選択抽出時間幅と選択抽出条件として選択し、前記検出パケットの発生時刻から前記選択抽出時間幅分の抽出時間帯を指定する選択部と、
   発生時刻が前記抽出時間帯に含まれ、属性データが前記選択抽出条件に合致するエントリを前記パケット情報から抽出する抽出部と、
   前記抽出部の抽出結果に基づき、前記保護対象装置への攻撃の有無を判定する判定部とを有することを特徴とする情報処理装置。
2. 前記定義情報記憶部は、
   攻撃の類型ごとに、前記抽出時間幅と前記抽出条件とともに、前記抽出時間幅の適用方向が定義されている定義情報を記憶しており、
   前記選択部は、
   前記定義情報において前記検出パケットの類型に対して前記抽出時間幅の適用方向として前方が定義されている場合に、前記検出パケットの発生時刻から前記選択抽出時間幅分遡った抽出時間帯を指定し、
   前記定義情報において前記検出パケットの類型に対して前記抽出時間幅の適用方向として後方が定義されている場合に、前記検出パケットの発生時刻に後続する前記選択抽出時間幅分の抽出時間帯を指定し、
   前記定義情報において前記検出パケットの類型に対して前記抽出時間幅の適用方向として前方と後方とが定義されている場合に、前記検出パケットの発生時刻から前記選択抽出時間幅分遡った抽出時間帯と前記検出パケットの発生時刻に後続する前記選択抽出時間幅分の抽出時間帯とを指定することを特徴とする請求項１に記載の情報処理装置。
3. 前記パケット情報生成部は、
   各エントリに、前記属性データとして、収集されたパケットの送信元アドレス、送信元ポート番号、送信先アドレス、送信先ポート番号、通信プロトコル及びパケットサイズが記述されるパケット情報を生成し、
   前記定義情報記憶部は、
   前記抽出条件として、前記送信元アドレスについての条件、前記送信元ポート番号についての条件、前記送信先アドレスについての条件、前記送信先ポート番号についての条件、前記通信プロトコルについての条件及び前記パケットサイズについての条件の少なくともいずれかが定義されている定義情報を記憶していることを特徴とする請求項１に記載の情報処理装置。
4. 前記定義情報記憶部は、
   攻撃の類型ごとに、前記抽出時間幅と前記抽出条件とともに、前記保護対象装置に対する攻撃の有無を判定するための判定基準が定義されている定義情報を記憶しており、
   前記判定部は、
   前記抽出部の抽出結果と、前記検出パケットの類型に対して前記定義情報で定義されている判定基準とに基づき、前記保護対象装置への攻撃の有無を判定することを特徴とする請求項１に記載の情報処理装置。
5. 前記選択部は、
   送信元が前記保護対象装置であるパケットと送信先が前記保護対象装置であるパケットを検査するセキュリティ装置により前記複数の類型のうちのいずれかの類型に該当するパケットが検出された際に、前記選択抽出時間幅と前記選択抽出条件とを選択することを特徴とする請求項１に記載の情報処理装置。
6. 前記情報処理装置は、更に、
   前記判定部の判定の結果、前記保護対象装置への攻撃が検知された場合に、アラートを出力するアラート処理部を有することを特徴とする請求項１に記載の情報処理装置。
7. 前記情報処理装置は、更に、
   前記情報処理装置のユーザの指示に従って、前記定義情報に定義されている抽出時間幅及び抽出条件の少なくともいずれかを変更する定義情報変更部を有することを特徴とする請求項１に記載の情報処理装置。
8. 前記情報処理装置は、更に、
   前記情報処理装置のユーザの指示に従って、前記定義情報に定義されている判定基準を変更する定義情報変更部を有することを特徴とする請求項４に記載の情報処理装置。
9. 送信元が保護対象装置であるパケットと送信先が前記保護対象装置であるパケットを収集するコンピュータが行う情報処理方法であって、
   前記コンピュータが、収集されたパケットごとにエントリを設け、各エントリに、パケットの発生時刻とともにパケットの属性データを記述してパケット情報を生成し、
   前記コンピュータが、攻撃の複数の類型が示され、類型ごとに、抽出時間幅と抽出条件とが定義されている定義情報を記憶領域から読み出し、
   送信元が前記保護対象装置であるパケットと送信先が前記保護対象装置であるパケットの中から前記複数の類型のうちのいずれかの類型に該当するパケットが検出された際に、前記コンピュータが、検出された検出パケットの類型に対して前記定義情報で定義されている抽出時間幅と抽出条件とを選択抽出時間幅と選択抽出条件として選択し、前記検出パケットの発生時刻から前記選択抽出時間幅分の抽出時間帯を指定し、
   発生時刻が前記抽出時間帯に含まれ、属性データが前記選択抽出条件に合致するエントリを前記パケット情報から抽出し、
   前記コンピュータが、抽出結果に基づき、前記保護対象装置への攻撃の有無を判定することを特徴とする情報処理方法。
10. 送信元が保護対象装置であるパケットと送信先が前記保護対象装置であるパケットを収集するコンピュータに、
    収集されたパケットごとにエントリを設け、各エントリに、パケットの発生時刻とともにパケットの属性データを記述してパケット情報を生成するパケット情報生成処理と、
    攻撃の複数の類型が示され、類型ごとに、抽出時間幅と抽出条件とが定義されている定義情報を記憶領域から読み出す定義情報読み出し処理と、
    送信元が前記保護対象装置であるパケットと送信先が前記保護対象装置であるパケットの中から前記複数の類型のうちのいずれかの類型に該当するパケットが検出された際に、検出された検出パケットの類型に対して前記定義情報で定義されている抽出時間幅と抽出条件とを選択抽出時間幅と選択抽出条件として選択し、前記検出パケットの発生時刻から前記選択抽出時間幅分の抽出時間帯を指定する選択処理と、
    発生時刻が前記抽出時間帯に含まれ、属性データが前記選択抽出条件に合致するエントリを前記パケット情報から抽出する抽出処理と、
    前記抽出処理の抽出結果に基づき、前記保護対象装置への攻撃の有無を判定する判定処理とを実行させることを特徴とするプログラム。
    

Images