JP6256773B2 - セキュリティシステム - Google Patents

Description

本発明はネットワークにおけるセキュリティシステムに関する。とくに，インターネットなどのグローバルネットワークのコンピュータから，ＬＡＮなどのプライベートネットワーク内のコンピュータ端末（以下，「クライアント端末」という）に対する不正な攻撃などの脅威を受けた場合に，プライベートネットワークの外から，プライベートネットワーク内のクライアント端末の通信を遮断等し，セキュリティを保持するセキュリティシステムに関する。

ネットワーク上でコンピュータを特定する情報としてＩＰアドレスなどのアドレス情報がある。アドレス情報は，プライベートネットワークで用いるローカルアドレスと，グローバルネットワークで用いるグローバルアドレスとがある。プライベートネットワーク内のクライアント端末がグローバルネットワークにアクセスする場合，クライアント端末のローカルアドレスをＮＡＴ／ＰＡＴ変換をしてグローバルアドレスとし，それをアクセスの際に用いることが一般的である。

ＮＡＴ／ＰＡＴ変換はゲートウェイと呼ばれる装置で行われ，ゲートウェイではローカルアドレスとグローバルアドレスとを対応づけたＮＡＴ／ＰＡＴテーブルを備えている。

一方，グローバルネットワークには，クライアント端末に対してサイバー攻撃を行うためのコンピュータがある。ネットワークの管理者はサイバー攻撃から自社のプライベートネットワークおよびそこにあるクライアント端末を防衛するため，サイバー攻撃などの脅威を検知するシステム（以下，「脅威検知システム」という）やさまざまな機能を有するセキュリティシステムを稼働させている。セキュリティシステムの役割としては，ファイアウォールやスパイウェア対策などの機能のほか，ウィルス感染等を防止する機能などがある。かかるセキュリティシステムでは，あるクライアント端末がウィルスに感染した場合，ほかのクライアント端末への感染を防止することが求められている。

プライベートネットワークの外でセキュリティシステムを稼働させる場合，脅威検知システムでサイバー攻撃を検知したとしても，その通信はグローバルアドレスによって行われており，攻撃を受けているクライアント端末のローカルアドレスが把握できなかったので，攻撃を受けているクライアント端末の通信のみを遮断等するなどの防衛ができなかった。その結果，プライベートネットワーク自体の通信を遮断しなければならず，攻撃を受けていない，プライベートネットワーク内のほかのクライアント端末まで通信が遮断され，業務などに与える影響が大きかった。

このことから，従来はセキュリティシステムはプライベートネットワーク内で稼働していることが多かった。しかし，近年ではより広範な脅威に対応し，複数のプライベートネットワークの監視を行うため，プライベートネットワークの外でセキュリティシステムを稼働させることが求められる場合もある。

そこで特許文献１に記載の発明では，ＬＡＮ内にあるルータが通信するパケットにおけるヘッダ情報に含まれる送信元ＭＡＣアドレスを識別，変換することによって，パケットを送信したホスト（クライアント端末）を識別している。

特開２０１１−１０９１８６号

しかし特許文献１に記載の発明は，異なるネットワークに属するホスト相互間で通信を行う場合，従来は，送信始端のホストからＮＡＴルータ（パケット中継装置）にパケットが送られた際に，ＮＡＴルータが，送信元ＭＡＣアドレスとして，当該ホストのＭＡＣアドレスから当該ルータのＭＡＣアドレスに書き換えて送信していたので，送信始端のホストが属するネットワークのほかのホストからパケットが送られた際に，それら各ホストを区別することができない，といった問題があった点を解決したものである。すなわち，送信始端のホストからＮＡＴルータにパケットが送られた際に，ＮＡＴルータが，送信元ＭＡＣアドレスとして，当該ルータのＭＡＣアドレスではなく，当該ホストのＭＡＣアドレスとして送信することにより，上記問題点を解決したものである。

しかし，ＮＡＴルーターの外側のグローバルネットワークに，ホストの特定を可能とするホストのＭＡＣアドレスを常に流してしまうことから，それを利用したホストへの不正アクセスが可能となり，セキュリティ上の問題が発生する。また，アクセス管理装置の故障や設定の誤りにより，グローバルネットワークに規格外の不正なパケットを送信する可能性があり，システム上好ましいとはいえない問題点がある。また，パケットの送信元ＭＡＣアドレスに基づいて送信元のホストを識別するため，ホストから送られたすべてのパケットについて，パケット中継装置でＭＡＣアドレスの付加機能が必要となる。

そこで本発明者は上記課題に鑑み，本発明のセキュリティシステムを発明した。

第１の発明は，ＳＤＮで構築されているプライベートネットワーク内のコンピュータに対して所定の制御処理を実行する，ＳＤＮコントローラであるセキュリティシステムであって，前記セキュリティシステムは前記プライベートネットワークの外側にあり，不正攻撃サーバからの脅威を検知した脅威検知システムから，脅威の対象となるグローバルアドレスを受け取り，グローバルアドレスとローカルアドレスとの変換テーブルを備える，前記プライベートネットワークのゲートウェイに対し，前記受け取ったグローバルアドレスを用いて前記変換テーブルを参照することで，前記グローバルアドレスに対応するローカルアドレスを特定し，前記プライベートネットワーク内にあるスイッチから，パケットに対する処理の問い合わせを受けた場合，前記パケットの送信元のアドレスとして，前記特定したローカルアドレスを含むことを特定すると，そのローカルアドレスを含むパケットについて所定の制御をする指示を行い，前記スイッチにおけるルールテーブルに，送信元として前記特定したローカルアドレスを有するパケットについて前記所定の制御をするように書き込む，セキュリティシステムである。

本発明のように構成することで，セキュリティシステムがプライベートネットワークの外側にあっても，プライベートネットワーク内のコンピュータのローカルアドレスを把握することができる。これによって，ローカルアドレスに基づいて，脅威の対象となっているコンピュータのみを特定し，その通信を遮断するなど，所定の制御を行うことができる。そのため，プライベートネットワーク全体の通信を遮断する等が不要となり，ほかのコンピュータへの影響を減らすことができる。

上述の発明において，前記セキュリティシステムは，前記プライベートネットワーク内のコンピュータに対して実行した制御処理とその日時情報とを通知することで，ログサーバに制御処理実行を記録させる，セキュリティシステムのように構成することができる。

本発明のように構成することで，セキュリティシステムが行った防御のための制御処理を記録することができる。これによって，フォレンジック対応をすることができる。

本発明の処理方法を実行することで，第１の発明を実現することができる。すなわち，ＳＤＮで構築されているプライベートネットワーク内のコンピュータに対して所定の制御処理を実行するＳＤＮコントローラと，不正攻撃サーバからの脅威を検知する脅威検知システムと，グローバルアドレスとローカルアドレスとの変換テーブルを備える前記プライベートネットワークのゲートウェイと，を備えるコンピュータネットワークにおけるセキュリティ処理方法であって，前記プライベートネットワークの外側にある前記ＳＤＮコントローラが，前記不正攻撃サーバからの脅威を検知した脅威検知システムから，脅威の対象となるグローバルアドレスを受け取り，前記受け取ったグローバルアドレスを用いて前記ゲートウェイの変換テーブルを参照することで，前記グローバルアドレスに対応するローカルアドレスを特定し，前記プライベートネットワーク内にあるスイッチから，パケットに対する処理の問い合わせを受けた場合，前記パケットの送信元のアドレスとして，前記特定したローカルアドレスを含むことを特定すると，そのローカルアドレスを含むパケットについて所定の制御をする指示を行い，前記スイッチにおけるルールテーブルに，送信元として前記特定したローカルアドレスを有するパケットについて前記所定の制御をするように書き込む，セキュリティ処理方法である。

本発明の処理方法を実行することで，第３の発明を実現することができる。すなわち，プライベートネットワークの外側にあるセキュリティシステムと，不正攻撃サーバからの脅威を検知する脅威検知システムと，グローバルアドレスとローカルアドレスとの変換を行う前記プライベートネットワークのゲートウェイにおけるグローバルアドレスとローカルアドレスとの変換の情報とタイムスタンプとの対応関係を記録するログサーバと，を備えるコンピュータネットワークにおけるセキュリティ処理方法であって，前記セキュリティシステムが，前記不正攻撃サーバからの脅威を検知した前記脅威検知システムから，脅威の対象となるグローバルアドレスと前記脅威を検知した日時情報とを受け取り，前記受け取った日時情報とグローバルアドレスとに基づいて，前記ログサーバを参照することで，前記脅威を検知した時点における前記グローバルアドレスに対応するローカルアドレスを特定する，セキュリティ処理方法である。

本発明のセキュリティシステムを用いることで，プライベートネットワークの外でセキュリティシステムを稼働させたとしても，プライベートネットワーク内のクライアント端末を特定することができる。そして，被害を受けたクライアント端末の特定によって，そのクライアント端末の通信のみを遮断等することができる。そのため，プライベートネットワーク内の攻撃を受けていないほかのクライアント端末に与える影響がない。

本発明の第１の実施態様における全体の構成を模式的に示す図である。 本発明のコンピュータのハードウェア構成の一例を模式的に示す図である。 本発明の第１の実施態様におけるフローチャートの一例を模式的に示す図である。 ＮＡＴ／ＰＡＴ変換テーブルの一例を模式的に示す図である。 本発明のセキュリティシステムを用いた場合の処理の一例を模式的に示す図である。

本発明のセキュリティシステム１を用いた全体の構成の一例を図１に模式的に示す。図１では，企業などが構成しているプライベートネットワークであるＬＡＮに３台のクライアント端末５（端末Ａ乃至端末Ｃ）がある場合を説明している。また，脅威検知システム３および本発明のセキュリティシステム１が，プライベートネットワークの外側（後述するゲートウェイであるルータの外側）に設けられている。なお図示はしていないが，クライアント端末５が通信を行う場合には，プライベートネットワーク内でポート接続しているスイッチ（中継装置）を介して行っている。

脅威検知システム３はグローバルネットワークとプライベートネットワークとの間の通信を監視しており，グローバルネットワークからサイバー攻撃を行う不正攻撃サーバ６からのサイバー攻撃などの脅威を検知する。脅威を検知すると，その検知したパケットにおける送信先のＩＰアドレスを攻撃先となっているクライアント端末５のグローバルアドレスとしてセキュリティシステム１に通知する。サイバー攻撃にはさまざまなものがあり，たとえばＤｏｓ（Denial of Servie）攻撃，ＤＤｏＳ（Distributed Denail of Service）攻撃，ポートスキャン（Port Scan）攻撃，ＰｏＤ（Ping of Death）攻撃などが一例としてあるが，それに限定されない。

セキュリティシステム１は，不正攻撃サーバ６からの脅威に対し，通信の遮断，ウィルス（マルウェア）の検出，隔離，修復などの，脅威に対する防衛を行うコンピュータシステムである。なおセキュリティシステム１はプライベートネットワークの外側に位置していても，プライベートネットワーク内のコンピュータにアクセスすることは可能にネットワークが構築されている。

プライベートネットワークとグローバルネットワークとの境界には，ＮＡＴ／ＰＡＴ変換を行うゲートウェイ２となるルータがある。ゲートウェイ２となるルータでは，プライベートネットワーク内のクライアント端末５がグローバルネットワークにアクセスするため，グローバルアドレスとローカルアドレスとを対応づけて記憶している。なおゲートウェイ２となるルータでは，ＮＡＴ変換またはＰＡＴ変換を行うが，いずれの変換方式を用いてもよく，これらをまとめてＮＡＴ／ＰＡＴ変換という。図４にゲートウェイ２となるルータで管理するＮＡＴ／ＰＡＴテーブルの一例を模式的に示す。また，グローバルアドレスとローカルアドレスとの変換を行うのであれば，ＮＡＴ／ＰＡＴ変換に限定されず，その場合，グローバルアドレスとローカルアドレスの変換テーブルを備えていれば良い。

ログサーバ４は，セキュリティシステム１がクライアント端末５の通信の遮断等の所定の防御のための制御処理を実行した場合に，その制御処理の内容をセキュリティシステム１から通知を受け，記録する。ログサーバ４では制御処理が行われた日時，制御処理を対応づけて記録する。制御処理として，対象となったクライアント端末５のローカルアドレス，その識別情報（ＭＡＣアドレスなど），実行した制御処理の内容（通信の遮断，ウィルスの検出，隔離，修復など）がある。

また，ログサーバ４は，ゲートウェイ２からタイムスタンプとともにＮＡＴ／ＰＡＴ変換の履歴を受け取り，それらを対応付けて記録する。

なお，本発明は，サーバやパーソナルコンピュータなどの各種のコンピュータにより実現される。図２にコンピュータのハードウェア構成の一例を示す。コンピュータは，プログラムの演算処理を実行するＣＰＵなどの演算装置７０と，情報を記憶するＲＡＭやハードディスクなどの記憶装置７１と，ディスプレイなどの表示装置７２と，キーボードやポインティングデバイス（マウスやテンキーなど）などの入力装置７３と，演算装置７０の処理結果や記憶装置７１に記憶する情報をインターネットやＬＡＮなどのネットワークを介して送受信する通信装置７４とを有している。

なお，図１ではそれぞれが一台のコンピュータで実現される場合を示したが，複数台のコンピュータにその機能が分散配置され，実現されても良い。また，本発明における各手段は，その機能が論理的に区別されているのみであって，物理上あるいは事実上は同一の領域を為していても良い。

本発明における各処理部は、その機能が論理的に区別されているのみであって、物理上あるいは事実上は同一の領域をなしていても良い。

つぎに本発明のセキュリティシステム１の処理の一例を図５を用いて説明する。図５では，グローバルネットワーク上の不正攻撃サーバ６がクライアント端末５Ａ，Ｂに対してサイバー攻撃を行っており，クライアント端末５のローカルアドレス，グローバルアドレスが図４であったとする。

脅威検知システム３はプライベートネットワークに対する通信を監視しており，不正攻撃サーバ６からの脅威があった場合，それを検知し，そのパケットから送信先のＩＰアドレスを特定する。そしてそのＩＰアドレスを攻撃先のクライアント端末５のグローバルアドレスとして認識する。たとえばグローバルアドレス「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００１」，「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００５」を利用しているクライアント端末５に対する脅威を検知したとする（Ｓ１００）。

脅威検知システム３は脅威を検知すると，攻撃対象となっているグローバルアドレス「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００１」，「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００５」と脅威があったことをセキュリティシステム１に通知する（Ｓ１１０）。セキュリティシステム１は，脅威検知システム３から脅威があった通知と，その攻撃対象となっているグローバルアドレス「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００１」，「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００５」を受け取ると，受け取ったグローバルアドレス「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００１」，「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００５」を用いて，ゲートウェイ２であるＮＡＴ／ＰＡＴルータのＮＡＴ／ＰＡＴ変換テーブルを参照し，対応するローカルアドレスを特定する（Ｓ１２０）。

すなわち，受け取ったグローバルアドレス「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００１」，「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００５」に対応するローカルアドレスを特定する。図４および図５では，セキュリティシステム１は，グローバルアドレス「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００１」にはローカルアドレス「１１．２２．３３．４４：ｘｘｘｘ」が対応しており，グローバルアドレス「ＡＡ．ＢＢ．ＣＣ．ＤＤ：０００５」にはローカルアドレス「５５．６６．７７．８８：ｘｘｘｘ」が対応していることを特定する。

そしてセキュリティシステム１は，上記で特定したローカルアドレスに基づいて，プライベートネットワーク内において，そのローカルアドレスを利用しているクライアント端末５Ａ，クライアント端末５Ｂの通信を遮断する（Ｓ１３０）。また，セキュリティシステム１は，ログサーバ４に対して，ローカルアドレス「１１．２２．３３．４４：ｘｘｘｘ」のクライアント端末５Ａ，ローカルアドレス「５５．６６．７７．８８：ｘｘｘｘ」のクライアント端末５Ｂの通信を遮断する制御処理を実行したことを，その日時情報とともに通知し，ログサーバ４で記録させる。

なお，セキュリティシステム１がクライアント端末５Ａ，クライアント端末５Ｂの通信を遮断する際には，プライベートネットワーク内において，それぞれのクライアント端末５とポート接続し，通信を中継しているスイッチが行う。そのためセキュリティシステム１はそのスイッチに対して，通信を遮断する制御指示を送り，スイッチはそれを受けて，通信を遮断する。

たとえばＯｐｅｎＦｌｏｗを一例とした，ＳＤＮ（Ｓｏｆｔｗａｒｅ Ｄｅｆｉｎｅｄ Ｎｅｔｗｏｒｋ）で構築されているネットワークの場合，セキュリティシステム１としてＳＤＮコントローラ（ＯｐｅｎＦｌｏｗコントローラ）を用いることができる。ＳＤＮコントローラは，ネットワークの制御や管理を行うソフトウェアであり，ＯｐｅｎＦｌｏｗスイッチのようにＬＡＮなどのプライベートネットワークにおけるデータ転送をするネットワーク機器であるスイッチに対して，クライアント端末から受け取ったパケットをどのように制御するかの制御指示を行う。またスイッチではパケットをどのように制御するかのルールを示すルールテーブル（フローエントリ−）が記憶されており，スイッチはそれにしたがってパケットを処理する。ルールテーブルに記憶されていない場合には，当該パケットの処理を一時保留し，ＳＤＮコントローラに問い合わせをし，ＳＤＮコントローラからの制御指示に基づいて一時保留したパケットを処理する。また，場合によってはＳＤＮコントローラに当該パケットを送り，ＳＤＮコントローラで当該パケットを書き換えるなどし，書き換えられたパケットをＳＤＮコントローラから受け取って処理をする。

そのため，ＳＤＮで構築されているネットワークの場合，ＳＤＮコントローラであるセキュリティシステム１は，ローカルアドレスを特定すると，スイッチからパケットに対する処理の問い合わせを受けた場合，当該パケットの送信元のアドレスとして，当該ローカルアドレスを含むことを特定すると，そのローカルアドレスを含むパケットを破棄する制御指示をスイッチに行う。そしてスイッチは当該制御指示に基づいて，当該パケットを破棄する。また，セキュリティシステム１は，スイッチにおけるルールテーブルに，送信元に，当該特定したローカルアドレスを有するパケットを破棄する制御をするように書き込む。これによって，以後，当該特定したローカルアドレスを有するパケットがスイッチで，セキュリティシステム１に問い合わせをすることなく破棄でき，通信を遮断できる。

以上のような処理を実行することで，セキュリティシステム１がプライベートネットワークの外部にあっても，プライベートネットワーク内部のクライアント端末５の通信を遮断するなど，防衛のための所定の制御処理を実行することができる。またログサーバ４でかかる制御処理を記録しているので，後にその制御処理があったことを確認することもできる。

上述の説明では，セキュリティシステム１は，脅威検知システム３から受け取ったグローバルアドレスに基づいて，ゲートウェイ２であるＮＡＴ／ＰＡＴ変換テーブルを参照し，対応するローカルアドレスを特定していたが，ログサーバ４から特定をしても良い。すなわち，ログサーバ４ではゲートウェイ２からタイムスタンプとともにＮＡＴ／ＰＡＴ変換の履歴を受け取って記録しているので，脅威を検知した日時情報および脅威検知システム３から受け取ったグローバルアドレスに基づいてログサーバ４を参照し，対応するローカルアドレスを特定することもできる。さらに，特定したローカルアドレスに基づいて，そのローカルアドレスを利用するクライアント端末５に対する制御処理を特定しても良い。

また，セキュリティシステム１は，脅威検知システム３から脅威を検知した日時情報とグローバルアドレスとを受け取った際に，その受け取った日時情報と脅威を検知した日時情報とを比較して，所定の間隔（たとえば５分，１０分，１時間など）がある場合には，ゲートウェイ２のＮＡＴ／ＰＡＴ変換テーブルを参照するのではなく，脅威を検知した日時情報に基づいて，ログサーバ４における，ゲートウェイ２から受け取っているＮＡＴ／ＰＡＴ変換とタイムスタンプの情報とを参照して当該脅威を検知した日時情報におけるローカルアドレスを特定する構成としても良い。何らかの理由で脅威検知システム３からセキュリティシステム１への通知が遅延した場合には，ＮＡＴ／ＰＡＴ変換テーブルが書き換わっている場合がある。その場合，通知を受けた段階でゲートウェイ２のＮＡＴ／ＰＡＴ変換テーブルを参照したとしても，異なるローカルアドレスを特定してしまう可能性がある。そのため，ログサーバ４を参照することで，脅威検知時点におけるグローバルアドレスが対応するローカルアドレスを適切に特定でき，クライアント端末５に対する制御をセキュリティシステム１が行うことができる。

本発明のセキュリティシステム１を用いることで，プライベートネットワークの外でセキュリティシステム１を稼働させたとしても，プライベートネットワーク内のクライアント端末５を特定することができる。そして被害を受けたクライアント端末５の特定によって，そのクライアント端末５の通信のみを遮断等することができる。そのため，プライベートネットワーク内の攻撃を受けていないほかのクライアント端末５に与える影響がない。

１：セキュリティシステム
２：ゲートウェイ
３：脅威検知システム
４：ログサーバ
５：クライアント端末
６：不正攻撃サーバ
７０：演算装置
７１：記憶装置
７２：表示装置
７３：入力装置
７４：通信装置

Claims (3)

1. ＳＤＮで構築されているプライベートネットワーク内のコンピュータに対して所定の制御処理を実行する，ＳＤＮコントローラであるセキュリティシステムであって，
   前記セキュリティシステムは前記プライベートネットワークの外側にあり，
   不正攻撃サーバからの脅威を検知した脅威検知システムから，脅威の対象となるグローバルアドレスを受け取り，
   グローバルアドレスとローカルアドレスとの変換テーブルを備える，前記プライベートネットワークのゲートウェイに対し，前記受け取ったグローバルアドレスを用いて前記変換テーブルを参照することで，前記グローバルアドレスに対応するローカルアドレスを特定し，
   前記プライベートネットワーク内にあるスイッチから，パケットに対する処理の問い合わせを受けた場合，前記パケットの送信元のアドレスとして，前記特定したローカルアドレスを含むことを特定すると，そのローカルアドレスを含むパケットについて所定の制御をする指示を行い，
   前記スイッチにおけるルールテーブルに，送信元として前記特定したローカルアドレスを有するパケットについて前記所定の制御をするように書き込む，
   ことを特徴とするセキュリティシステム。
2. 前記セキュリティシステムは，
   前記プライベートネットワーク内のコンピュータに対して実行した制御処理とその日時情報とを通知することで，ログサーバに制御処理実行を記録させる，
   ことを特徴とする請求項１に記載のセキュリティシステム。
3. ＳＤＮで構築されているプライベートネットワーク内のコンピュータに対して所定の制御処理を実行するＳＤＮコントローラと，不正攻撃サーバからの脅威を検知する脅威検知システムと，グローバルアドレスとローカルアドレスとの変換テーブルを備える前記プライベートネットワークのゲートウェイと，を備えるコンピュータネットワークにおけるセキュリティ処理方法であって，
   前記プライベートネットワークの外側にある前記ＳＤＮコントローラが，
   前記不正攻撃サーバからの脅威を検知した脅威検知システムから，脅威の対象となるグローバルアドレスを受け取り，
   前記受け取ったグローバルアドレスを用いて前記ゲートウェイの変換テーブルを参照することで，前記グローバルアドレスに対応するローカルアドレスを特定し，
   前記プライベートネットワーク内にあるスイッチから，パケットに対する処理の問い合わせを受けた場合，前記パケットの送信元のアドレスとして，前記特定したローカルアドレスを含むことを特定すると，そのローカルアドレスを含むパケットについて所定の制御をする指示を行い，
   前記スイッチにおけるルールテーブルに，送信元として前記特定したローカルアドレスを有するパケットについて前記所定の制御をするように書き込む，
   ことを特徴とするセキュリティ処理方法。

Images