JP6460112B2 - セキュリティシステム、セキュリティ方法およびプログラム - Google Patents

Description

本発明は、ネットワークのセキュリティシステム、セキュリティ方法、及びコンピュータ可読媒体に関する。

特許文献１には、悪意があると推定できる場合に疑似的なホスト装置を生成する通信監視システムが開示されている。特許文献１の通信監視システムは、悪意がある攻撃者からの攻撃については、あたかも攻撃が成功しているかのように疑似的な応答を生成している。

また、特許文献２には、ネットワーク経由でアクセス可能な機器におとりを生成する不正侵入検知装置が開示されている。特許文献２の不正侵入検知装置は、おとりへのアクセス制御の事象のパターンと、挙動パターンデータベースに格納された挙動パターンとの一致度に基づいて、攻撃者の侵入を検知している。具体的には、攻撃者が組織内部ネットワーク内を探索する挙動を検出することによって、標的型攻撃が発生していることを検知している。

特開２０１３−９１８５号公報 国際公開第２０１４／１０３１１５号

特許文献１では、予め悪意があることを推定しなければならない。したがって、新たに開発された攻撃については、悪意があることを推定することができない場合がある。また、特許文献２では、挙動パターンデータベースに格納された挙動パターンと一致しない場合は、攻撃者の侵入を検知できない。したがって、新たに開発された攻撃の挙動パターンについては、攻撃者の侵入を検知することができない場合がある。

ネットワークを通じた不正侵入を防ぐことは困難であり、システムにマルウェアが感染しないようにするためには、セキュリティが高コストになってしまう。例えば、外部からの不正侵入（攻撃）を検知する毎に、削除又は防御することを繰り返していると、防御コストが高くなってしまう。

特に、サイバー空間における攻防では、攻撃者は、どこからでも攻撃が可能であるが、防御者はどこからくる攻撃に対しても防御しないといけない。また、攻撃者の失敗は許容されるが、防御者の失敗は許容されず、防御者は全ての攻撃を確実に防御しないといけない。攻撃者は、わずかなコストで防御ネットワークを洞察することができるが、防御者は、ネットワークセキュリティに構築と維持の膨大な費用がかかってしまう。さらに、攻撃者は、サイバー空間の技術的、組織的な革新の恩恵を受けやすいが、防御者は革新による脅威を受けやすい。

上記のように、サイバーセキュリティの性質上、攻撃者が防御者に対して優位性を持っている。したがって、ネットワークセキュリティを向上するためには、攻撃コストを増加させることで、防御側のコスト優位性を高くすることが重要である。すなわち、攻撃者により多くの攻撃コストをかけさせた上で、被害を最小限に抑える縦深防御を実現することができれば、セキュリティを向上することができる。

例えば、システムがマルウェアに感染することを前提とした上で、攻撃による影響を最小限にすることが重要となる。ネットワーク上の知的財産などの重要データの流出は被害が大きい。そのため、不正侵入による重要データの流出を防ぐことが重要となる。

本発明は、セキュリティの高いセキュリティシステム、セキュリティ方法、及びプログラムを提供することを目的とする。

本願発明の一態様にかかるセキュリティシステムは、ネットワークシステムへの不正侵入を防御するセキュリティシステムであって、不正侵入を試みる侵入装置からのパケットを受信するパケット受信部と、複数の仮想的な模擬装置の固有情報を格納する固有情報蓄積部と、前記固有情報に基づいて前記模擬装置を起動させるか否かを管理する起動管理部と、前記パケットに含まれる要求に基づいて、前記起動管理部が起動させた複数の前記模擬装置が応答するか否かを判定する模擬装置管理部と、前記模擬装置管理部において応答すると判定された前記模擬装置毎に、前記模擬装置への前記要求に応じて模擬応答を生成する模擬応答生成部と、前記模擬応答を前記侵入装置に送信する模擬応答送信部と、を備えたものである。

本願発明の一態様にかかるセキュリティシステムは、ネットワークシステムへの不正侵入を防御するセキュリティ方法であって、不正侵入を試みる侵入装置からのパケットを受信するステップと、予め格納された複数の仮想的な模擬装置の固有情報を参照して、前記模擬装置を起動させるか否かを管理するステップと、前記パケットに含まれる要求に基づいて、起動させた複数の前記模擬装置が応答するか否かを判定するステップと、応答すると判定された模擬装置毎に、前記要求に応じた模擬応答を生成するステップと、前記模擬応答を前記侵入装置に送信するステップと、を備えたものである。

本願発明の一態様にかかるプログラムは、ネットワークシステムへの不正侵入を防御するセキュリティ方法をコンピュータに実行させるためのプログラムであって、前記セキュリティ方法が、不正侵入を試みる侵入装置からのパケットを受信するステップと、予め格納された複数の仮想的な模擬装置の固有情報を参照して、前記模擬装置を起動させるか否かを管理するステップと、前記パケットに含まれる要求に基づいて、起動させた複数の前記模擬装置が応答するか否かを判定するステップと、応答すると判定された模擬装置毎に、前記模擬装置への前記要求に応じて模擬応答を生成するステップと、前記模擬応答を前記侵入装置に送信するステップと、を備えるものである。

本発明によれば、セキュリティの高いセキュリティシステム、セキュリティ方法、及びプログラムを提供することができる。

セキュリティシステムの全体構成を示す図である。 実施の形態１にかかるセキュリティ装置の構成を示すブロック図である。 通信プロトコルの階層を示す図である。 探索要求に応じて作成された模擬応答に含まれる模擬ホストの固有情報を示す図である。 実施の形態２にかかるセキュリティ装置の構成を示すブロック図である。 実施の形態３にかかるセキュリティシステムの構成を示すブロック図である。

添付の図面を参照して本発明の実施形態を説明する。以下に説明する実施形態は本発明の実施例であり、本発明は、以下の実施形態に制限されるものではない。なお、本明細書及び図面において符号が同じ構成要素は、相互に同一のものを示すものとする。

実施の形態１．
本実施の形態にかかるセキュリティシステム、及びセキュリティ方法は縦深防御に基づいて、セキュリティを向上するものである。例えば、サイバーキルチェーンには、諜報、侵攻、潜伏、橋頭堡確保、索敵、浸透、占領、収奪、撤収等の攻撃ステップがある。本実施の形態では、セキュリティシステムが各攻撃ステップで、種々の欺瞞を仕掛けている。例えば、仮想的な通信装置群（模擬的欺瞞）を生成して、索敵ステップや浸透ステップにおいて、あいまいな情報、偽の情報、又は不明瞭な情報を攻撃者に与えている。悪意のある攻撃者の行動を邪魔又は誘導することができ、目的の達成にかかる攻撃コストを増加させることができる。すなわち、攻撃者が重要なデータに到達するまでの攻撃コストが増加することが可能になる。知的財産などの重要なデータが外部に流出するのを防止することが可能になる。

上記の考え方に基づく、セキュリティシステム１００について説明する。図１は、本実施の形態に係るセキュリティシステム１００の全体構成を示す図である。セキュリティシステム１００は、セキュリティ装置１０１と、実ネットワークシステム１２０と、模擬ネットワークシステム１１０とを備えている。セキュリティ装置１０１と、実ネットワークシステム１２０と、模擬ネットワークシステム１１０とは、ネットワーク２００を介して互いに接続されている。さらに、攻撃者として感染装置３００がネットワーク２００に接続されている。

実ネットワークシステム１２０は、複数の実ホスト１２１、１２２等を備えている。実ホスト１２１、１２２は、実際に存在する通信装置（ホスト装置、コンピュータ、又は通信端末）であり、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットなどのネットワークを介して接続されている。なお、図１では２つの実ホスト１２１、１２２が示されているが、実ホスト１２１、１２２の数は特に限定されるものではない。

実ホスト１２１、１２２には、例えば、コンピュータ名（もしくはＮｅｔＢＩＯＳ名）、ＩＰアドレス、ＭＡＣアドレス、ドメイン名、グループ名、ネットワーク管理名等のネットワーク管理情報が設定されている。実ホスト１２１，１２２には、Ｗｉｎｄｏｗｓ（登録商標）やＬｉｎｕｘ（登録商標）などのＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）が搭載されている。

セキュリティ装置１０１は、模擬ネットワークシステム１１０を生成する。模擬ネットワークシステム１１０は、複数の模擬ホスト１１１〜１１４によって構成されている。模擬ホスト１１１〜１１４は、仮想的な通信装置（仮想ホスト装置）、すなわち、実在しない通信装置である。セキュリティ装置１０１は、バーチャルハニーポットと同様に、模擬ホスト１１１〜１１４を生成する。セキュリティ装置１０１は、様々な欺瞞を仕掛け、実際に存在していない模擬ホスト１１１〜１１４を実在するかのように見せかける。

なお、セキュリティ装置１０１は、実際に存在する実ホストにより構成することができる。例えば、セキュリティ装置１０１にインストールされたネットワークセキュリティプログラムによって、セキュリティ装置１０１は、本実施形態にかかるセキュリティ方法を実行する。また、セキュリティ装置１０１は、専用のコンピュータであってもよく、実ネットワークシステム１２０に実ホストとして含まれるコンピュータを用いてもよい。また、セキュリティ装置１０１は、物理的に単一な装置に限られるものではなく、複数の装置によって構成されていてもよい。

セキュリティ装置１０１が模擬ホスト１１１〜１１４を欺瞞として生成することで、感染装置３００が重要なデータを窃取するまでの攻撃コストを増加させる。セキュリティ装置１０１は、模擬ホスト１１１，１１２を仮想的に生成しているため、模擬ホストの数を低コストで増やすことができる。多数の模擬ホスト１１１、１１２を生成することで、より攻撃者を欺きやすくなる。なお、セキュリティ装置１０１が生成する模擬ホスト１１１〜１１４の数は、特に限定されるものではない。セキュリティ装置１０１がより多くの模擬を生成することで、より攻撃コストを増加させることができる。

本実施形態にかかるセキュリティシステム１００は、感染装置３００からの不正侵入を防御する。例えば、感染装置３００がマルウェアに感染した通信装置（ホスト）である。感染装置３００は外部からのリモートコントロールによって、実ネットワークシステム１２０への不正侵入を試みる。例えば、感染装置３００は、実ネットワークシステム１２０に含まれる実ホスト１２１、１２２等から重要なデータを窃取しようとする。なお、実ネットワークシステム１２０に不正侵入を試みる侵入装置は、マルウェアに感染した感染装置３００に限らず、インターネットなどの外部ネットワークを介して接続された外部通信装置であってもよい。

セキュリティ装置１０１、感染装置３００、実ネットワークシステム１２０は、ネットワーク２００を介して接続されている。なお、セキュリティ装置１０１、又は実ホスト１２１、１２２がファイアウォールを介して、ネットワーク２００と接続されていてもよい。

次に、セキュリティ装置１０１の構成について、図２を用いて説明する。図２は、セキュリティ装置１０１の構成を模式的に示すブロック図である。セキュリティ装置１０１は、パケット受信部１１、パケット配送部１２、ブロードキャストパケット処理部１３、ユニキャストパケット処理部１４、探索要求判定部１５、模擬ホスト管理部１６、固有情報蓄積部１７、模擬ホスト起動管理部１８、模擬応答生成部１９、模擬応答テンプレート蓄積部２０、模擬応答送信制御部２１、模擬応答送信キュー２２、及び模擬応答送信部２３を備えている。以下、各部の処理について説明する。

パケット受信部１１は、ネットワーク２００上に流れるパケットを受信する。パケット受信部１１は、パケットの送信先アドレスが所定のアドレスである場合にパケットを受信する。パケット受信部１１は、不正侵入を試みる感染装置３００からのパケットを受信する。

パケット配送部１２は、パケット受信部１１が受信した受信パケットの種別を判定する。具体的には、パケット配送部１２は、パケットがブロードキャストパケットであるか、又は、ユニキャストパケットであるかを判定する。そして、パケット配送部１２は、ブロードキャストパケットをブロードキャストパケット処理部１３に配送し、ユニパケットをユニキャストパケット処理部１４に配送する。また、パケット配送部１２は、固有情報蓄積部１７を参照し、送信先アドレスが、模擬ホスト１１１〜１１４のアドレスに含まれるかどうかを識別する。

なお、ユニキャストパケットは、単一のアドレスを指定して、１対１のデータ通信を行うためのパケットである。ブロードキャストパケットは、ブロードキャストアドレスを指定して、１対不特定多数のデータ通信を行うためのパケットである。ブロードキャストパケットは、実ホスト１２１、１２２、及び模擬ホスト１１１〜１１４の全てを対象とするメッセージを含むことになる。例えば、感染装置３００は、ブロードキャストパケットを送信して、実ネットワークシステム１２０内の実ホスト１２１、１２２に関する情報を取得しようと試みる。

なお、ブロードバンドキャストパケットは、マルチキャストパケットであってもよい。例えば、マルチキャストパケットを受信した場合は、パケット配送部１２がマルチキャストパケットをブロードキャストパケット処理部１３に配送してもよい。そして、ブロードキャストパケット処理部１３がマルチキャストパケットを処理してもよい。さらには、セキュリティ装置１０１が、マルチキャストパケット処理部を備えていてもよい。なお、マルチキャストパケットは１対複数のデータ通信を行うためのパケットである。

具体的には、感染装置３００は、通信装置（ホスト）の探索やネットワークサービスの探索などの探索メッセージが含まれるブロードキャストパケットをブロードキャスト探索要求として送信する（図１参照）。例えば、この探索要求のメッセージは、ＮｅｔＢＩＯＳ Ｎａｍｅ Ｓｅｒｖｉｃｅ（ＮＢＮＳ）メッセージである。そして、実ホスト１２１、１２２又は模擬ホスト１１１〜１１４が探索要求に対する応答をユニキャスト探索応答として感染装置３００に送信する。探索が終了した後、感染装置３００は、特定のホストに対してユニキャストネゴシエーション要求を送信する。例えば、この要求のメッセージは、ＳＭＢ（Ｓｅｒｖｅｒ Ｍｅｓｓａｇｅ Ｂｌｏｃｋ）である。模擬ホスト１１１〜１１４、又は実ホスト１２１、１２２は、ユニキャストネゴシエーション応答を感染装置３００に送信する。
より具体的には、先のブロードキャスト探索要求に対する応答に対応して、感染装置３００がユニキャストネゴシエーション要求を送信する。図１の例では、１つのユニキャストネゴシエーションしか示されていないが、ホスト分だけ行われる場合もある、図１の構成では、実ホスト１２１、１２２、及び模擬ホスト１１１〜１１４からの６つのユニキャスト探索応答を感染装置３００が受信した場合、６つ全ての要求に対して順番にユニキャストネゴシエーションが実施される。さらに、一つのホストに対しても複数のシーケンスが行われる場合もあり、これがホスト分だけ行われることになる。そして、セッションが確立したら、感染装置３００はホスト装置とのファイル共有などを試みる。具体的には、感染装置３００は、ＳＭＢ（Ｓｅｒｖｅｒ Ｍｅｓｓａｇｅ Ｂｌｏｃｋ）によってファイル共有を試みる。このようにして、感染装置３００はデータを窃取しようとする。

図２の説明に戻る。固有情報蓄積部１７は、複数の仮想的な模擬ホスト１１１〜１１４の固有情報を格納する。固有情報は、模擬すべき模擬ホストに必要な情報であり、模擬ホスト毎に設定されている。例えば、模擬ホスト起動管理部１８が固有情報に基づいて模擬ホスト１１１〜１１４の起動を管理する。なお、模擬ホスト管理部１６は、固有情報に基づいて、模擬ホスト１１１〜１１４を管理する。模擬ホスト管理部１６と模擬ホスト起動管理部１８については後述する。

固有情報には、例えば、コンピュータ名（もしくはＮｅｔＢＩＯＳ名）、ＩＰアドレス、ＭＡＣアドレス、ドメイン名、ＯＳ情報（例えば、ＯＳ名、及びＯＳのバージョン）、グループ名、ネットワーク管理名等が含まれる。もちろん、上記の情報は例示である。従って、固有情報には、上記以外の情報が含まれていてもよく、上記のうちの一部の情報が無くてもよい。固有情報蓄積部１７は、例えば、複数の模擬ホスト１１１〜１１４の固有情報をテーブルとして格納している。さらに、固有情報蓄積部１７は、模擬ホスト１１１〜１１４のネットワーク距離を模擬ホスト毎に格納していてもよい。固有情報蓄積部１７は、実ホスト１２１、１２２のネットワーク管理情報と同等の固有情報を模擬ホスト１１１〜１１４の固有情報として格納している。

さらに、固有情報蓄積部１７には、実ホスト１２１、１２２の有する情報と同一の管理情報を有する模擬ホストを登録してもよい。例えば、模擬ホスト１１１の固有情報は、例えば実ホスト１２１のコンピュータ名（もしくはＮｅｔＢＩＯＳ名）、ＩＰアドレス、ＭＡＣアドレス、ＯＳ情報、ドメイン名、グループ名、ネットワーク管理名等と一致させる。こうすることで、実ホスト１２１の停止中においても実ホスト１２１が存在するかのように見せることができる。もちろん、固有情報蓄積部１７には、実ホスト１２１、１２２と全く無関係な模擬ホストを登録してもよい。

ブロードキャストパケット処理部１３は、そのままブロードキャストパケットを模擬ホスト管理部１６へ渡す。ユニキャストパケット処理部１４はユニキャストパケットがＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）パケットかＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）パケットかを判別する。ＴＣＰパケットの場合、ユニキャストパケット処理部１４は３ウェイハンドシェイクを実施し、ペイロードを探索要求判定部１５へ渡す。一方、ＵＤＰパケットの場合、ユニキャストパケット処理部１４は、ＵＤＰパケットをそのまま模擬ホスト管理部１６へ渡す。

探索要求判定部１５は受信パケットに探索要求が含まれているか否かを判定する。例えば、探索要求判定部１５は通信装置（ホスト装置）の探索、ネットワークサービスの探索等の探索メッセージであるか、セッションのネゴシエーション等の情報詳細を取得するメッセージかどうかを判定する。探索要求判定部１５は、ＴＣＰパケットのペイロードに探索に属するメッセージが含まれている否かを判定する。

探索要求判定部１５は、探索に属するメッセージが含まれている場合、探索要求があると判定する。そして、探索要求判定部１５は、探索に属するメッセージを探索要求として模擬ホスト管理部１６に通過させる。このように、探索要求判定部１５は、受信パケットに含まれるメッセージが探索系のメッセージ（探索要求）であるか否かを判定する。そして、探索要求判定部１５は、探索要求のみを通過させ、探索要求以外の要求については、通過させないようにする。例えば、ファイル共有を要求するメッセージについては、通過させないようにする。探索要求判定部１５がこのような判定機能、及びフィルタリング機能を有することで、重要なデータの流出を防ぐことができる。

探索要求判定部１５は、例えば、ホワイトリストを用いて、探索要求があるか否かを判定している。すなわち、予めリストに登録されているメッセージのみを探索要求として、模擬ホスト管理部１６に通過させる。こうすることで、悪意のある攻撃をフィルタリングすることができ、セキュリティを高くすることができる。

なお、ホワイトリストの設定は、模擬ホストの各種固有情報と組み合わせて設定することができる。これによって、模擬ホスト等毎に通過させるメッセージを変更することで、模擬ホスト毎に成功するシーケンスの到達度が変わる。よって、より欺きやすい欺瞞を仕掛けることができる。

模擬ホスト起動管理部１８は、固有情報蓄積部１７を参照して、模擬ホストのそれぞれに対して、起動すべきか起動すべきでないかを管理する。すなわち、模擬ホスト起動管理部１８は、固有情報に基づいて前記模擬装置を起動させるか否かを管理する。模擬ホスト起動管理部１８は、固有情報蓄積部１７に含まれる模擬ホスト１１１〜１１４のそれぞれを起動させるか、停止させるかを判定する。

例えば、模擬ホスト起動管理部１８は、外部からの要求をトリガーとして、模擬ホストの起動を管理する。具体的には、模擬ホスト１１１のＯＮの要求（起動要求）を受けると、模擬ホスト起動管理部１８は、模擬ホスト１１１を起動させる。模擬ホスト１１１のＯＦＦの要求（停止要求）を受けると、模擬ホスト起動管理部１８は模擬ホスト１１１の起動を停止する。そして、模擬ホスト起動管理部１８は、模擬ホスト管理部１６にそれぞれの模擬ホストが起動しているか否かを示す起動情報を出力する。模擬ホスト起動管理部１８は、固有情報蓄積部１７に含まれている複数の模擬ホストの起動を独立に管理する。模擬ホスト起動管理部１８は、起動中の模擬ホストを動的に変化することができる。

模擬ホスト管理部１６は、模擬ホスト起動管理部１８からの起動情報に基づいて、模擬する模擬ホストを管理する。すなわち、模擬ホスト管理部１６が模擬ホストが模擬応答を行うか否かを判定する。例えば、起動中の模擬ホストに対する要求があった場合、模擬ホスト管理部１６は、応答を行うと判定する。一方、停止中の模擬ホストについては、模擬応答を行わないと判定する。なお、以下の説明では、模擬ホスト１１３が起動しており、模擬ホスト１１２が停止している例について説明する。

さらに、模擬ホスト管理部１６は、固有情報蓄積部１７を参照し、探索要求に応じた応答を行うかどうかを判定する。例えば、模擬ホスト管理部１６が、受信パケットに含まれる送信先アドレスに基づいて、応答を行う模擬ホストを特定する。すなわち、受信パケットに含まれる送信先アドレスと一致するアドレスを有する模擬ホストが応答を行うと、模擬ホスト管理部１６が判定する。なお、ブロードキャストパケットを受信した場合、起動中の全ての模擬ホストが応答を行うと模擬ホスト管理部１６は判定する。

さらに、模擬ホスト管理部１６は、パケットに探索要求が含まれている場合、探索要求の対象となる模擬ホストについては、模擬応答を行うと判定する。パケットの送信先アドレスを参照して、模擬ホストが探索要求の対象か否かを判定する。模擬ホスト管理部１６は、送信先アドレスと固有情報との比較結果、及び探索要求判定部１５での判定結果に基づいて、模擬ホストが応答を行うか否かを判定している。模擬ホスト管理部１６は起動中の模擬ホスト毎に応答の要否を判定する。

模擬ホスト管理部１６は、起動中の模擬ホスト１１３が探索要求を受けた場合に、模擬ホスト１１３が存在するかのように模擬応答を行わせると判定する。一方、模擬ホスト管理部１６は、起動中の模擬ホストではない場合、パケットに探索要求が含まれていない場合、又は探索要求の対象となる模擬ホストではない場合、模擬応答を行わないと判定する。模擬ホスト管理部１６は、停止中の模擬ホスト１１２については、模擬ホスト１１２が応答するのを停止させる。さらに、起動中の模擬ホストであっても探索要求を受けていない場合は、模擬応答を行わせない。模擬ホスト管理部１６は、探索要求の対象となる起動中の模擬ホストの全てに対して、応答が必要であると判定する。

なお、模擬ホスト起動管理部１８に対する外部からの要求は、設定ファイル、ＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）、ＩＦ（Ｉｎｔｅｒｆａｃｅ）などによって実現可能である。設定ファイルは、例えば、予め設定されたスケジュールデータであり、例えば、模擬ホスト毎に起動時間や停止時間が設定されている。セキュリティ装置１０１が設定ファイルを記憶していてもよい。さらに、実ホストからの要求によって、模擬ホスト起動管理部１８が模擬ホストの起動を管理してもよい。

以下に、模擬ホスト起動管理部１８による管理の一例について説明する。ここでは、固有情報蓄積部１７において、模擬ホスト１１１には、実ホスト１２１と同じアドレス等が登録されていると仮定する。例えば、実ホスト１２１に対応する模擬ホスト１１１を構築する情報は、模擬ホスト起動管理部１８に事前もしくは要求に応じて格納されている。すなわち、実ホスト１２１の管理情報をコピーした固有情報が模擬ホスト１１１に設定されている。この場合、実ホスト１２１がＯＮしているときは、模擬ホスト起動管理部１８は模擬ホスト１１１の起動を停止する。一方、実ホスト１２１がＯＦＦしている場合、模擬ホスト起動管理部１８は模擬ホスト１１１を起動させる。すなわち、実ホスト１２１がシャットダウンするタイミングで、模擬ホスト起動管理部１８が模擬ホスト１１１の起動を指示する。一方、実ホスト１２１が起動するタイミングで、模擬ホスト起動管理部１８が模擬ホスト１１１の停止を指示する。

このように、実ホスト１２１のＯＮ／ＯＦＦをトリガーとして、模擬ホスト起動管理部１８は、模擬ホスト１１１を停止／起動する。実ホスト１２１がネットワーク２００から切り離されている状況であっても、ネットワーク２００上には模擬ホスト１１１が存在している。このようにすることで、攻撃者をより欺きやすい欺瞞を仕掛けることができる。感染装置３００からはあたかも実ホスト１２１が存在しているかのように見える。このように、実ホスト１２１の起動中か否かに応じて、模擬ホスト起動管理部１８が、模擬ホスト１１１の起動を管理してもよい。

模擬応答テンプレート蓄積部２０は、探索要求に対応する模擬応答のテンプレートを格納する。例えば、模擬応答テンプレート蓄積部２０は、メッセージフォーマットをハードコーディングにて保持する。また、模擬応答テンプレート蓄積部２０には、応答文のメッセージフォーマットを格納している。模擬応答テンプレート蓄積部２０は、要求毎又はプロトコル毎にテンプレートを格納している。模擬応答テンプレート蓄積部２０は、要求されたサービスに対応するメッセージ応答文をテンプレートとして記憶している。模擬応答テンプレート蓄積部２０は、複数のテンプレートを格納している。

模擬応答生成部１９は模擬ホスト管理部１６からの要求に応じて、模擬応答を作成する。模擬ホスト管理部１６が応答すると判定した場合に、模擬応答生成部１９は、模擬ホストへの要求に応じて模擬応答を生成する。模擬応答の作成にあたって、模擬応答生成部１９は、模擬応答テンプレート蓄積部２０に蓄積されたテンプレートを参照する。これにより、模擬応答生成部１９は、要求に応じて適切な模擬応答メッセージを作成することができる。

また、模擬応答生成部１９は、固有情報蓄積部１７から応答すべき模擬ホストの固有情報を取得する。そして、模擬応答生成部１９は固有情報と応答メッセージフォーマットとを組み合わせて模擬応答メッセージを生成する。すなわち、模擬応答生成部１９は、固有情報に含まれるアドレスやＯＳ情報等をメッセージフォーマットに含ませて模擬応答メッセージを生成する。すなわち、模擬応答生成部１９は、模擬ホスト１１１に関する模擬情報を含む模擬応答メッセージを生成する。これにより、より欺きやすい欺瞞を仕掛けることができる。

模擬応答テンプレート蓄積部２０は、模擬ホスト１１１〜１１４が使用できるサービスに応じたテンプレートを格納している。さらに、模擬ホスト１１１と模擬ホスト１１２が同じサービスを使用できる場合、模擬応答生成部１９が共通のテンプレートを用いて模擬ホスト１１１と模擬ホスト１１２との模擬応答メッセージを作成する。さらに、模擬応答テンプレート蓄積部２０は、探索要求判定部１５のホワイトリストに含まれる全てのメッセージに対する応答テンプレートを格納している。テンプレートの種類が増えるほど、対応できる要求の種類が増えていく。また、ホワイトリストに設定される内容は、模擬応答テンプレート蓄積部２０と一致している必要はなく、独立に設定されていてもよい。例えば、ホワイトリストに設定されているメッセージは、テンプレートの一部分のみを使用できるようなものであってもよい。

模擬応答送信キュー２２は、模擬応答生成部１９で作成された模擬応答メッセージをキューイングする。模擬応答送信部２３は、模擬応答送信キュー２２にキューイングされた模擬応答メッセージを模擬応答として感染装置３００に送信する。模擬応答送信部２３は、感染装置３００のアドレスを送信先アドレスとするパケットにより、模擬応答を送信する。

さらに、模擬応答送信キュー２２に蓄えられた模擬応答メッセージは、模擬応答送信制御部２１の指示により模擬応答送信部２３を介してネットワークへ送信される。すなわち、模擬応答送信部２３は、模擬応答送信部２３における模擬応答の送信タイミングを制御する。模擬応答送信制御部２１の指示に応じたタイミングで、模擬応答送信部２３がネットワーク２００を介して、模擬応答メッセージを感染装置３００に送信する。

このように、模擬応答送信制御部２１は模擬応答送信キュー２２に蓄えられた模擬応答の送信タイミングを制御する。模擬応答送信制御部２１は、例えば、キューの順番に模擬応答メッセージを送信するよう制御する。あるいは、模擬応答送信制御部２１は、ランダムに模擬応答メッセージを送信するように制御してもよい。さらには、模擬応答送信制御部２１は、パターンに従って模擬応答メッセージを送信するようにしてもよい。模擬応答送信制御部２１の制御によって、模擬応答の送信順番を入れ替えることができる。模擬応答送信部２３は模擬応答送信制御部２１の指示に基づいて、模擬応答送信キュー２２の模擬応答をネットワーク２００に送信する。

例えば、探索要求のブロードキャストメッセージを受信すると、模擬応答生成部１９は、起動中の模擬ホスト分の模擬応答メッセージを生成する。そして、固有情報蓄積部１７に蓄積された模擬ホストの順番で模擬応答送信キュー２２が模擬応答メッセージをキューイングする。例えば、模擬ホスト１１１、模擬ホスト１１２、模擬ホスト１１３、及び模擬ホスト１１４の順番で、模擬応答送信キュー２２が模擬応答メッセージをキューイングする。そして、キューの順番で模擬応答送信部２３が模擬応答メッセージを送信する。あるいは、模擬応答送信部２３がランダムな順番で模擬応答メッセージを送信するようにしてもよい。さらには、模擬応答送信制御部２１に模擬ホスト毎に応答タイミングが設定されている場合は、その応答タイミングにしたがって模擬応答送信部２３が模擬応答メッセージを送信するようにしてもよい。また、予め設定されたスケジュールに応じた順番又はタイミングで模擬応答送信部２３が模擬応答メッセージを送信してもよい。

模擬応答送信制御部２１は、模擬応答送信部２３における模擬応答のタイミングを模擬ホスト毎に制御する。なお、応答タイミングは、固有情報蓄積部１７に格納されたネットワーク距離に応じて設定されていてもよい。すなわち、ネットワーク距離が遠い模擬ホストについては、模擬応答送信制御部２１が応答タイミングを遅くする。また、ネットワーク距離が近い模擬ホストについては、模擬応答送信制御部２１が応答タイミングを速くする。模擬応答送信制御部２１が固有情報蓄積部１７を参照して、ネットワーク距離に応じた遅延時間を設定すればよい。このように、模擬応答送信制御部２１が模擬応答メッセージの送信タイミングを制御することで、感染装置３００からは模擬ホスト１１１〜１１４が実在しているかのように見える。すなわち、攻撃者をより欺きやすい欺瞞を仕掛けることができる。

なお、ネットワーク２００の通信プロトコルは、例えば、図３に示すような層構成を有している。通信機能が図３に示すような９つの階層（レイヤー）に分けて定義されている。第１層として物理層、第２層としてデータリンク層、第３層としてネットワーク層、第４層としてトランスポート層、第５層としてセッション層、第６層としてプレゼンテーション層、第７層としてアプリケーション層、第８層としてサービス層、第９層としてオペレーション層とが定義されている。

物理層からアプリケーション層までの７層は、公知のＯＳＩ参照モデルとなっている。さらに、アプリケーション層よりも上位に、サービス層、及びオペレーション層が設けられている。サービス層は、アプリケーションによるサービスを想定した層である。オペレーション層はコンピュータ名等の運用において設定された情報を想定した層である。模擬応答生成部１９は、実際にアプリケーションソフトを運用した場合に、アプリケーションのサービスに関する情報や、コンピュータのオペレーションに関する情報を含む模擬応答メッセージを作成する。

公知のバーチャルハニーポットでは、第４層のトランスポート層までに対応しているため、トランスポート層よりも上位層では、模擬ホストが存在するように見えなかった。したがって、攻撃者がすぐに模擬ホストが仮想的な装置であることを発見してしまう場合がある。しかしながら、本実施の形態では、トランスポート層よりも上位層である、セッション層、プレゼンテーション層、アプリケーション層、サービス層、及びオペレーション層にも対応した模擬応答メッセージを送信している。すなわち、模擬応答にはセッション層、プレゼンテーション層、アプリケーション層、サービス層、及びオペレーション層の少なくとも１層に関する模擬情報が含まれていればよい。模擬応答生成部１９は、ネットワーク層よりも上位層に関する情報を含む模擬応答を生成する。
より具体的には、模擬応答生成部１９が、セッション層の情報を含む模擬応答メッセージ、セッション層とプレゼンテーション層の情報を含む模擬応答メッセージ、セッション層とプレゼンテーション層とアプリケーション層の情報を含む模擬応答メッセージ、セッション層とプレゼンテーション層とアプリケーション層とサービス層との情報を含む模擬応答メッセージ、又はセッション層とプレゼンテーション層とアプリケーション層とサービス層とオペレーション層との情報を含む模擬応答メッセージを生成する。

さらに、アプリケーション層、サービス層、及びオペレーション層の１層以上の情報を模擬応答メッセージに含ませるようにすることが好ましい。さらに、アプリケーションのサービスやコンピュータのオペレーションに関する情報を含ませている。このような階層の情報を含めることで、より欺きやすい模擬応答を送信することができる。

こうすることで、模擬ホスト１１１〜１１４が実ホスト１２１、１２２に見られるような模擬応答が生成されるため、感染装置３００を確実に欺くことができる。すなわち、実ホスト１２１、１２２を索敵した場合と同等の情報を模擬応答メッセージに含ませることによって、感染装置３００から模擬ホストが実ホストのように見える。これにより、攻撃者をより欺きやすい欺瞞を仕掛けることができる。よって、攻撃コストを増加させることができ、セキュリティを向上することができる。

さらに、模擬応答生成部１９が全ての層に関する情報を含んだ模擬応答メッセージを生成する。例えば、模擬応答テンプレート蓄積部２０に格納されたテンプレートには、全ての層に関する情報が組み込まれている。こうすることで、いずれの階層からでも実ホストが存在するような模擬応答が行われる。よって、より攻撃者を欺きやすい欺瞞を仕掛けることができる。

セキュリティ装置１０１は、複数の模擬ホストに対するネゴシエーション部分の模擬応答を行う。すると、感染装置３００と複数の模擬ホストとのセッションが確立する。したがって、感染装置３００からはネットワーク上に多数の模擬ホストが存在するかのように見える。セキュリティ装置１０１は、ネゴシエーションによってセッションが確立した後の実際の機能（サービス）については、模擬応答を行わない。これにより、ファイル共有などによる重要データの流出を防ぐことができる。よって、セキュリティを向上することができる。

上記のように、本実施の形態にかかるセキュリティシステム１００では、固有情報蓄積部１７が複数の模擬ホストの固有情報を有している。模擬ホスト起動管理部１８が、固有情報に基づいて、複数の模擬ホストの起動を管理している。模擬ホスト管理部１６が、パケットに含まれる要求に基づいて、模擬ホスト起動管理部１８が起動させた複数の模擬ホストが応答するか否かを判定する。そして、模擬応答生成部１９が模擬ホスト毎に模擬応答を生成して、模擬応答送信部２３が送信している。こうすることで、模擬ホストを実在するかのように見せることが可能になる。すなわち、感染装置３００に対して、複数の模擬ホストを備えた模擬ネットワークシステム１１０の幻想を見せることができる。

さらに、模擬応答送信制御部２１が模擬応答の送信タイミングを制御している。よって、より欺きやすい欺瞞を仕掛けることができる。また、探索要求判定部１５が探索要求の場合のみ、要求を通過させ、探索以外の要求（例えば、ファイル共有の要求）についてはフィルタリングしている。これにより、重要データの流出を防ぐことができる。さらに、探索要求判定部１５は、通過させる要求を動的に変化させてもよい。すなわち、探索要求判定部１５は、通過させるか否かを判定する閾値を動的に変化させるようにしてもよい。

また、セキュリティ装置１０１は、パケットの送信元の通信装置が悪意のある攻撃者であるか否かに関係なく、複数の模擬ホスト１１１〜１１４を生成している。したがって、悪意を攻撃者であるか検知する必要がなくなる。よって、悪意を隠した巧妙な攻撃に対するセキュリティを向上することができる。

また、固有情報蓄積部１７に蓄積されている模擬ホストの数を増やすことで、攻撃者を欺きやすくすることができる。さらに、固有情報蓄積部１７に蓄積する情報を適切に設定することで、攻撃者を欺きやすくすることができる。例えば、固有情報蓄積部１７に蓄積するアドレスとして、ＩＰアドレスを設定しているネットワークに適したアドレスを活用する、もしくはＤＨＣＰでネットワークに存在している実際のＤＨＣＰサーバから取得してもよい。また、ＭＡＣアドレスについても、ベンダーコード＋数字という構成が用いられている場合、この構成に沿って生成することも可能である。

ドメイン名についても、ドメイン毎に同じ文字列が使用されている場合、実ネットワークシステムで使われている文字列を設定することが好ましい。グループ名についても、実ネットワークシステム１２０のグループ名と同じ文字列を使用することができる。もしくは、いくつかのグループを構成するようにグループ名を設定することも可能である。ＯＳ名とネットワーク管理名に関しては、実在する有限のバリエーションからどれかを選択するようにしてもよい。

図４は、感染装置３００が探索要求にて取得した模擬ホストの情報を示す図である。図４に示すように、感染装置３００は、ＳＭＢプロトコル（findSMB）によって、模擬ホストのＩＰアドレス、ＮＥＴＢＩＯＳ、グループ名、ＯＳ，及びＯＳのバージョンを取得している。図４では、感染装置３００の探索要求によって取得された６つの模擬ホストの固有情報が示されている。このように、複数の模擬ホストに関する情報を感染装置３００に与えることで、外部侵入者が目的とするデータに到達するまでの攻撃コストを増加させることができる。よって、防御側のコスト優位性を高くすることができ、高いセキュリティを実現することができる。

なお、模擬応答生成部１９が模擬応答テンプレート蓄積部２０に格納されたテンプレートを参照して、模擬応答メッセージを作成したが、模擬応答メッセージを自動作成するようにしてもよい。例えば、実ホスト１２１、またセキュリティ装置１０１が要求されたサービスに対する応答メッセージを作成し、一部の情報を模擬ホストに関する情報に置き換えればよい。

なお、上記の実施の形態において、感染装置３００からのアクセスを記録するアクセス記録部が設けられていてもよい。すなわち、受信したパケット、すなわち、受信した要求に関する情報を記録する。そして、セキュリティ装置１０１は、このアクセス情報を不正侵入の検知、インシデントレスポンス、フォレンジック解析等に活用する。

実施の形態２．
本実施の形態にかかるセキュリティ装置について、図５を用いて説明する。図５は、セキュリティ装置１０１の構成を示すブロック図である。なお、セキュリティシステム１００の全体構成については、実施の形態１と同様であるため説明を省略する。実施の形態２にかかるセキュリティ装置１０１、実施の形態１の構成に対して、送信元判定部２４が追加されて構成を有している。なお、送信元判定部２４以外の構成については、実施の形態１で示した構成と同様であるため、説明を省略する。

送信元判定部２４は、受信パケットの送信元を判定する。例えば、感染装置３００が索敵中に、感染装置３００が悪意を持つ攻撃者であることをセキュリティ装置１０１が検知する。あるいは、他の検知装置（実ホスト）が不正侵入を検知して、検知したことをセキュリティ装置１０１に通知するようにしてもよい。そして、セキュリティ装置１０１が悪意を持つ攻撃者であることを検知した場合、送信元判定部２４は、感染装置３００の送信元アドレスを抽出する。そして、送信元アドレスの情報を模擬ホスト管理部１６に送信する。模擬ホスト管理部１６は、特定の送信元に対して、模擬ホストの管理を行う。すなわち、模擬ホスト管理部１６は、悪意のある送信元のみに対して、模擬応答が行われるよう、模擬ホストを管理する。したがって、感染装置３００からのみ模擬ホスト１１１、１１２が見えるようになる。換言すると、悪意のない正常な通信装置からは、模擬ホストが見えないようになる。こうすることで、正常な通信装置からの要求に対しては模擬ホストが応答しないことになる。したがって、本実施形態では、正常な通信装置への影響を抑制することが可能になる。

実施の形態３．
本実施の形態にかかるセキュリティシステムについて説明する。セキュリティシステムは、ネットワークシステムへの不正侵入を防御するセキュリティシステムであって、不正侵入を試みる侵入装置からのパケットを受信するパケット受信部５１と、複数の仮想的な模擬装置の固有情報を格納する固有情報蓄積部５２と、前記固有情報に基づいて前記模擬装置を起動させるか否かを管理する起動管理部５３と、前記パケットに含まれる要求に基づいて、前記起動管理部が起動させた複数の前記模擬装置が応答するか否かを判定する模擬装置管理部５４と、前記模擬装置管理部において応答すると判定された模擬装置毎に、前記模擬装置への前記要求に応じて模擬応答を生成する模擬応答生成部５５と、前記模擬応答を前記侵入装置に送信する模擬応答送信部５６と、を備えたものである。

このセキュリティシステム１００によれば、悪意のある攻撃者をより欺きやすい欺瞞を仕掛けることができる。よって、攻撃コストを増加させて、高いセキュリティを実現することができる。なお、実施の形態３の構成に実施の形態１、２の構成を適宜組み合わせたり、置き換えたりすることも可能である。

上記の実施の形態にかかるセキュリティ方法における処理のうちの一部又は全部は、コンピュータプログラムによって実行されても良い。上述したプログラムは、様々なタイプの非一時的なコンピュータ可読媒体(non-transitory computer readable medium)を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体(tangible storage medium)を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体(例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ)、光磁気記録媒体(例えば光磁気ディスク)、ＣＤ−ＲＯＭ(Read Only Memory）、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ(例えば、マスクＲＯＭ、ＰＲＯＭ(Programmable ROM）、ＥＰＲＯＭ(Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ(Random Access Memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体(transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１４年８月２５日に出願された日本出願特願２０１４−１７０３６８を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１００ セキュリティシステム
１０１ セキュリティ装置
１１０ 模擬ネットワークシステム
１１１〜１１４ 模擬ホスト
１２０ 実ネットワークシステム
１２１ 実ホスト
１１ パケット受信部
１２ パケット配送部
１３ ブロードキャストパケット処理部
１４ ユニキャストパケット処理部
１５ 探索要求判定部
１６ 模擬ホスト管理部
１７ 固有情報蓄積部
１８ 模擬ホスト起動管理部
１９ 模擬応答生成部
２０ 模擬応答テンプレート蓄積部
２１ 模擬応答送信制御部
２２ 模擬応答送信キュー
２３ 模擬応答送信部
２４ 送信元判定部
２００ ネットワーク
３００ 感染装置

Claims (12)

1. ネットワークシステムへの不正侵入を防御するセキュリティシステムであって、
   不正侵入を試みる侵入装置からのパケットを受信するパケット受信手段と、
   複数の仮想的な模擬装置の固有情報を格納する固有情報蓄積手段と、
   前記固有情報に基づいて前記模擬装置を起動させるか否かを管理する起動管理手段と、
   前記パケットに含まれる要求に基づいて、前記起動管理手段が起動させた複数の前記模擬装置が応答するか否かを判定する模擬装置管理手段と、
   前記模擬装置管理手段において応答すると判定された模擬装置毎に、前記模擬装置への前記要求に応じて模擬応答を生成する模擬応答生成手段と、
   前記模擬応答を前記侵入装置に送信する模擬応答送信手段と、を備えたセキュリティシステム。
2. 通信プロトコルには、トランスポート層よりも上位層として、セッション層、プレゼンテーション層、アプリケーション層、サービス層、及びオペレーション層の少なくとも１層が含まれ、
   前記模擬応答には、ネットワーク層よりも上位層に関する情報が含まれている請求項１に記載のセキュリティシステム。
3. 前記パケットに探索要求が含まれているか否かを判定する探索要求判定手段をさらに備え、
   前記探索要求が含まれている場合に、前記模擬装置管理手段において前記模擬装置が応答すると判定され、
   前記探索要求が含まれていない場合に、前記模擬装置管理手段において前記模擬装置が応答しないと判定される請求項１、又は２に記載のセキュリティシステム。
4. 前記模擬応答送信手段が前記模擬応答を送信するタイミングを前記模擬装置毎に制御する送信制御手段をさらに備えた請求項１〜３のいずれか１項に記載のセキュリティシステム。
5. ネットワークシステムへの不正侵入を防御するセキュリティ方法であって、
   不正侵入を試みる侵入装置からのパケットを受信するステップと、
   予め格納された複数の仮想的な模擬装置の固有情報を参照して、前記模擬装置を起動させるか否かを管理するステップと、
   前記パケットに含まれる要求に基づいて、起動させた複数の前記模擬装置が応答するか否かを判定するステップと、
   応答すると判定された模擬装置毎に、前記要求に応じた模擬応答を生成するステップと、
   前記模擬応答を前記侵入装置に送信するステップと、を備えたセキュリティ方法。
6. 通信プロトコルには、トランスポート層よりも上位層として、セッション層、プレゼンテーション層、アプリケーション層、サービス層、及びオペレーション層の少なくとも１層が含まれ、
   前記模擬応答には、ネットワーク層よりも上位層に関する情報が含まれている請求項５に記載のセキュリティ方法。
7. 前記パケットに探索要求が含まれているか否かを判定するステップをさらに備え、
   前記探索要求が含まれている場合に、前記模擬装置が応答すると判定し、
   前記探索要求が含まれていない場合に、前記模擬装置が応答しないと判定する請求項５、又は６に記載のセキュリティ方法。
8. 前記模擬応答を送信するタイミングを前記模擬装置毎に制御するステップをさらに備えた請求項５〜７のいずれか１項に記載のセキュリティ方法。
9. ネットワークシステムへの不正侵入を防御するセキュリティ方法をコンピュータに実行させるためのプログラムであって
   前記セキュリティ方法が、
   不正侵入を試みる侵入装置からのパケットを受信するステップと、
   予め格納された複数の仮想的な模擬装置の固有情報を参照して、前記模擬装置を起動させるか否かを管理するステップと、
   前記パケットに含まれる要求に基づいて、起動させた複数の前記模擬装置が応答するか否かを判定するステップと、
   応答すると判定された模擬装置毎に、前記模擬装置への前記要求に応じて模擬応答を生成するステップと、
   前記模擬応答を前記侵入装置に送信するステップと、を備えるプログラム。
10. 通信プロトコルには、トランスポート層よりも上位層として、セッション層、プレゼンテーション層、アプリケーション層、サービス層、及びオペレーション層の少なくとも１層が含まれ、
    前記模擬応答には、ネットワーク層よりも上位層に関する情報が含まれている請求項９に記載のプログラム。
11. 前記パケットに探索要求が含まれているか否かを判定するステップをさらに備え、
    前記探索要求が含まれている場合に、前記模擬装置が応答すると判定し、
    前記探索要求が含まれていない場合に、前記模擬装置が応答しないと判定する請求項９、又は１０に記載のプログラム。
12. 前記模擬応答を送信するタイミングを前記模擬装置毎に制御するステップをさらに備えた請求項９〜１１のいずれか１項に記載のプログラム。
    

Images