JP6698507B2 - 通信監視装置、通信監視方法及び通信監視プログラム - Google Patents

Description

本発明は、大量通信による攻撃を検知する通信監視装置、通信監視方法及び通信監視プログラムに関する。

従来、複数の端末から大量の通信パケットを送信してサービスを妨害するＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃が課題となっている。このような攻撃を検知し対処するためには、ネットワーク上のルータ等に監視装置を設置し、通信量が著しく大きい場合に攻撃と判定して、問題の原因となっている通信を廃棄するという方法が取られる。

このような監視装置は、ＩＰパケットのヘッダ情報であるＮｅｔＦｌｏｗ又はｓＦｌｏｗと呼ばれるフロー情報を監視して、攻撃を判定している（例えば、非特許文献１及び２参照）。
また、攻撃の検知には、以下の判定条件が利用されている。
（条件１）通信量が予め決められた閾値を上回る。
（条件２）通信量が過去の水準を上回る。
（条件３）通信に含まれるプロトコルに異常が見られる。
（条件４）パケットのペイロードを分析した結果、アプリケーションレイヤに異常がある。
（条件５）ダークＩＰと呼ばれる未使用のＩＰアドレスが送信元になっている。
（条件６）ウィルス等が悪用していると考えられる所定のＩＰアドレスが送信元になっている。

Ａｒｂｏｒ Ｎｅｔｗｏｒｋｓ社、Ａｒｂｏｒ ＳＰ、インターネット＜https://www.arbornetworks.com/images/documents/Data%20Sheets/DS_SP_EN.pdf＞ ＧｅｎｉｅＮｅｔｗｏｒｋｓ社、ＧｅｎｉｅＡＴＭ、インターネット＜http://www.genie-networks.com/images/Download_Files/GenieATM_ServiceWhitepaper_v5.6_ENG.pdf＞

ネットワーク運用の観点では、大量通信が不正に実施されたか否かという観点での検知精度が求められず、運用に影響を及ぼす又は障害につながる可能性が高いか否かという観点での検知精度が求められる。しかしながら、従来の攻撃検知方法では、不正に発生させた通信か否かという観点に基づいて攻撃検知を行っているため、ネットワーク運用の観点から検知する必要がない攻撃を検知してしまったり、検知すべき攻撃を見逃してしまったりする場合があり、実被害又は実影響に基づいた高い検知精度を得られなかった。

本発明は、ネットワーク設備に影響を与える可能性が高い攻撃を高精度に検知できる通信監視装置、通信監視方法及び通信監視プログラムを提供することを目的とする。

本発明に係る通信監視装置は、通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知部と、監視対象のネットワークに含まれるアドレス群に対してポートスキャンを行い、アドレス毎の提供サービスの情報を取得するサービスホスト推定部と、前記被害ホスト候補を宛先とする前記通信パケットの宛先ポート番号及び通信パターンを、前記提供サービスの情報と比較した結果の相違度合いに基づいて、前記通信パケットによる影響度を評価する評価部と、を備える。

前記通信監視装置は、通信パケットの宛先アドレス毎に、宛先ポート番号及び通信パターンに基づいて、当該宛先アドレスでの利用サービスの情報を取得する通信プロファイル部を備え、前記サービスホスト推定部は、前記提供サービスの情報を前記通信プロファイル部により取得された情報とマッチングさせ、当該提供サービスの情報のうち確度の高い情報を抽出してもよい。

前記検知部は、前記通信パケットのフロー情報に基づいて、宛先アドレス毎の通信量を測定してもよい。

本発明に係る通信監視方法は、通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知ステップと、監視対象のネットワークに含まれるアドレス群に対してポートスキャンを行い、アドレス毎の提供サービスの情報を取得するサービスホスト推定ステップと、前記被害ホスト候補を宛先とする前記通信パケットの宛先ポート番号及び通信パターンを、前記提供サービスの情報と比較した結果の相違度合いに基づいて、前記通信パケットによる影響度を評価する評価ステップと、をコンピュータが実行する。

本発明に係る通信監視プログラムは、通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知ステップと、監視対象のネットワークに含まれるアドレス群に対してポートスキャンを行い、アドレス毎の提供サービスの情報を取得するサービスホスト推定ステップと、前記被害ホスト候補を宛先とする前記通信パケットの宛先ポート番号及び通信パターンを、前記提供サービスの情報と比較した結果の相違度合いに基づいて、前記通信パケットによる影響度を評価する評価ステップと、をコンピュータに実行させる。

本発明によれば、ネットワーク設備に影響を与える可能性が高い攻撃を高精度に検知できる。

実施形態に係る通信監視装置の機能構成を示す図である。 実施形態に係るサービスホスト推定処理を示すフローチャートである。 実施形態に係る通信監視処理を示すフローチャートである。

以下、本発明の実施形態の一例について説明する。
図１は、本実施形態に係る通信監視装置１の機能構成を示す図である。
通信監視装置１は、主にネットワーク内の上位階層のルータ（コアルータ）に配置される。通信監視装置１は、大量通信による被害ホスト候補を検知すると共に、この被害ホスト候補を宛先とする通信のうち、実被害のある又は実影響の大きい通信を判定し評価情報を出力する。

通信監視装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス又は通信デバイス等を備える。

制御部１０は、通信監視装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各種機能を実現している。制御部１０は、ＣＰＵであってよい。

記憶部２０は、ハードウェア群を通信監視装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスク（ＨＤＤ）等であってよい。具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させる通信監視プログラムを記憶する。

制御部１０は、検知部１１と、サービスホスト推定部１２と、通信プロファイル部１３と、評価部１４とを備える。また、記憶部２０は、サービスホストデータベース（ＤＢ）２１を備える。

検知部１１は、通信パケット、又は通信パケットのフロー情報に基づいて宛先ＩＰアドレス毎の通信量を測定し、測定した宛先アドレス毎の通信量に基づいて、大量通信を受け取っている可能性が高い被害ホスト候補を検知し、評価部１４へ通知する。
検知部１１は、検知した被害ホスト候補を所定のデータベースに登録又は更新し、評価部１４に参照させてもよい。

サービスホスト推定部１２は、監視対象のネットワークに含まれるＩＰアドレス群に対してポートスキャン及びアプリケーション走査を行い、アドレス毎の提供サービスの情報として、オープンポート、サーバＯＳ種別、サーバソフトウェア種別等を取得する。
また、サービスホスト推定部１２は、推定した提供サービスの情報を通信プロファイル部１３により取得された情報とマッチングさせ、この提供サービスの情報のうち確度の高い情報を抽出する。

通信プロファイル部１３は、通信パケット又はフロー情報を監視し、通信パケットの宛先アドレス毎に、宛先ポート番号及び通信パターンに基づいて、この宛先アドレスで利用されているサービスの情報を取得する。

評価部１４は、被害ホスト候補を宛先とする通信パケットの宛先ポート番号及び通信パターンを、サービスホスト推定部１２により推定された提供サービスの情報と比較した結果の相違度合いに基づいて、通信パケットによる影響度を評価する。
具体的には、評価部１４は、検知部１１により検知された被害ホスト候補を宛先とする通信パケットについて、宛先ポート番号及び通信パターンを記録する。そして、評価部１４は、サービスホスト推定部１２により推定された該当のＩＰアドレスでの提供サービスと、観測した宛先ポート及び通信パターンとを比較する。評価部１４は、比較の結果、両者に著しく相違がある場合に影響が大きい通信であると評価する。

図２は、本実施形態に係る通信監視装置１によるサービスホスト推定処理を示すフローチャートである。
本処理は、例えば攻撃が想定されるサーバ群等、指定されたＩＰアドレスを対象として、このＩＰアドレスが被害ホスト候補として検知されていない通常時の所定のタイミングで実行される。

ステップＳ１において、制御部１０（通信プロファイル部１３）は、指定されたＩＰアドレスを宛先とする通信パケットの宛先ポート番号及び通信パターンを取得する。

ステップＳ２において、制御部１０（通信プロファイル部１３）は、ステップＳ１で取得した宛先ポート番号及び通信パターンから、利用サービスの情報を取得する。

ステップＳ３において、制御部１０（サービスホスト推定部１２）は、指定されたＩＰアドレスに対して、ポートスキャン及びアプリケーション走査を行い、提供サービスの情報を取得する。

ステップＳ４において、制御部１０（サービスホスト推定部１２）は、ステップＳ３で取得した提供サービスの情報を、ステップＳ２で取得した利用サービスの情報とマッチングすることにより、確度の高い提供サービス情報を抽出する。

ステップＳ５において、制御部１０（サービスホスト推定部１２）は、ステップＳ４で抽出された確度の高い提供サービス情報を、サービスホストデータベース２１に登録する。

図３は、本実施形態に係る通信監視装置１による通信監視処理を示すフローチャートである。
本処理は、通信の監視を実施している間、繰り返し実行される。

ステップＳ１１において、制御部１０（評価部１４）は、検知部１１により測定された宛先アドレス毎の通信量に基づいて、大量通信を受け取っている可能性が高い被害ホスト候補が検知されたか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ１２に移り、判定がＮＯの場合、処理は終了する。

ステップＳ１２において、制御部１０（評価部１４）は、ステップＳ１１で検知された被害ホスト候補を宛先とする通信パケットの情報（宛先ポート番号及び通信パターン）を取得する。

ステップＳ１３において、制御部１０（評価部１４）は、サービスホストデータベース２１から、ステップＳ１１で検知された被害ホスト候補の提供サービス情報を抽出する。

ステップＳ１４において、制御部１０（評価部１４）は、ステップＳ１２で取得した通信パケットの情報を、ステップＳ１３で抽出した提供サービスで想定される通信の情報と比較する。制御部１０（評価部１４）は、比較の結果、両者に所定の範囲を超える著しい相違があるか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ１５に移り、判定がＮＯの場合、処理は終了する。

ステップＳ１５において、制御部１０（評価部１４）は、被害ホスト候補を宛先とする通信パケットを、ネットワークへの影響度が高い通信と評価し、この通信パケットの情報、例えばフロー情報を出力する。
なお、評価部１４は、宛先ポート番号及び通信パターンで示される通信パケットの特徴が通常と異なる点及び相違量に基づく評価値を算出して出力してもよい。

本実施形態によれば、通信監視装置１は、ポートスキャンにより、アドレス毎の提供サービスを推定し、被害ホスト候補を宛先とする通信の情報を通常の提供サービス情報と比較することにより、相違の度合いに応じたネットワーク設備への影響度を評価する。
したがって、通信監視装置１は、提供サービスに合致する通常に観測される通信と大きく相違する通信がネットワーク設備への影響度が高いと判定でき、ネットワーク設備に影響を与える可能性が高い大量通信による攻撃を高精度に検知できる。

通信監視装置１は、大量通信が検知されていない通常時における通信パケットの宛先ポート番号及び通信パターンに基づいて、宛先ＩＰアドレス毎の利用サービスの情報を取得する。通信監視装置１は、この利用サービスの情報とポートスキャンに基づくＩＰアドレス毎の提供サービスの情報とを突き合わせることにより、確度の高い提供サービスの情報を取得し、ネットワーク設備への影響度の評価の精度を向上できる。

通信監視装置１は、通信パケットをサンプリングしたフロー情報を用いることにより、大規模なネットワークにおいて大量に観測される通信パケットを効率的に処理し、処理負荷を低減できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。

通信監視装置１による通信監視方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 通信監視装置
１０ 制御部
１１ 検知部
１２ サービスホスト推定部
１３ 通信プロファイル部
１４ 評価部
２０ 記憶部
２１ サービスホストデータベース

Claims (5)

1. 通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知部と、
   監視対象のネットワークに含まれるアドレス群に対してポートスキャンを行い、アドレス毎の提供サービスの情報を取得するサービスホスト推定部と、
   前記被害ホスト候補を宛先とする前記通信パケットの宛先ポート番号及び通信パターンを、前記提供サービスで想定されるポート番号及び通信パターンと比較した結果、両者に所定の範囲を超える相違がある場合、前記通信パケットによる影響が大きいと評価する評価部と、を備える通信監視装置。
2. 通信パケットの宛先アドレス毎に、宛先ポート番号及び通信パターンに基づいて、当該宛先アドレスでの利用サービスの情報を取得する通信プロファイル部を備え、
   前記サービスホスト推定部は、前記提供サービスの情報を前記通信プロファイル部により取得された情報とマッチングさせ、当該提供サービスの情報のうち確度の高い情報を抽出する請求項１に記載の通信監視装置。
3. 前記検知部は、前記通信パケットのフロー情報に基づいて、宛先アドレス毎の通信量を測定する請求項１又は請求項２に記載の通信監視装置。
4. 通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知ステップと、
   監視対象のネットワークに含まれるアドレス群に対してポートスキャンを行い、アドレス毎の提供サービスの情報を取得するサービスホスト推定ステップと、
   前記被害ホスト候補を宛先とする前記通信パケットの宛先ポート番号及び通信パターンを、前記提供サービスで想定されるポート番号及び通信パターンと比較した結果、両者に所定の範囲を超える相違がある場合、前記通信パケットによる影響が大きいと評価する評価ステップと、をコンピュータが実行する通信監視方法。
5. 通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知ステップと、
   監視対象のネットワークに含まれるアドレス群に対してポートスキャンを行い、アドレス毎の提供サービスの情報を取得するサービスホスト推定ステップと、
   前記被害ホスト候補を宛先とする前記通信パケットの宛先ポート番号及び通信パターンを、前記提供サービスで想定されるポート番号及び通信パターンと比較した結果、両者に所定の範囲を超える相違がある場合、前記通信パケットによる影響が大きいと評価する評価ステップと、をコンピュータに実行させるための通信監視プログラム。

Images