JP6736380B2 - セキュリティ確認装置、システム、情報処理方法及びプログラム - Google Patents
セキュリティ確認装置、システム、情報処理方法及びプログラム Download PDFInfo
- Publication number
- JP6736380B2 JP6736380B2 JP2016125798A JP2016125798A JP6736380B2 JP 6736380 B2 JP6736380 B2 JP 6736380B2 JP 2016125798 A JP2016125798 A JP 2016125798A JP 2016125798 A JP2016125798 A JP 2016125798A JP 6736380 B2 JP6736380 B2 JP 6736380B2
- Authority
- JP
- Japan
- Prior art keywords
- information processing
- inspection
- firewall
- security confirmation
- port
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1433—Vulnerability analysis
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1458—Denial of Service
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Accessory Devices And Overall Control Thereof (AREA)
Description
一方、装置がネットワークに接続されることにより、装置内に保持されている情報に外部装置から意図せずアクセスされる等、セキュリティ面でのリスクが高まっている。
従来、このような外部装置からの意図しないアクセスを防ぐための技術として、特許文献1には、装置とネットワークとの間にファイアウォールを設けることが開示されている。
また特許文献2には、外部装置から対象装置に対してポートスキャンを行うことにより、対象装置のセキュリティホールを検出し、セキュリティ対策を促すことができるようにすることが開示されている。
装置側で十分なセキュリティ対策が行われているかを外部から確認する方法として、特許文献2に記載のようなポートスキャンの実行が有効である。
しかしながら従来のポートスキャン方法では、ファイアウォール経由で通信する情報処理装置なのか、ファイアウォールを経由せずに通信する情報処理装置なのか関係なくポートスキャンを行っていた。
ファイアウォールを経由せず通信を行う情報処理装置においては利用しているかどうかにかかわらず全ポート(65535)に関しての検査を行うと、検査には非常に長い時間がかかる。一方、検査するポート数を削減した検査方法では、セキュリティ的にも不安が残る検査しかできない課題があった。
本発明は、検査に要する時間の短縮とセキュリティ面でのセキュリティの確保との両立を図ることを目的とする。
図1は、情報処理システムのシステム構成の一例を示す図である。情報処理システムは、複数の情報処理装置102、103と、これらの情報処理装置102、103が行うすべての外部ネットワーク通信を中継するファイアウォール101と、を含む。また、情報処理システムは、インターネット110とファイアウォール101を経由することなしに通信することができるセキュリティ確認装置111及び情報処理装置112を含む。
本実施形態ではファイアウォール101を経由してインターネット110と通信する情報処理装置を2台としたが、ファイアウォール101を経由してインターネット110と通信する情報処理装置は1台でも3台以上でもよい。またファイアウォール101を経由せずにインターネット110と通信する情報処理装置を1台としているが複数台以上でもよい。
CPU121が2次記憶装置122に記憶されたプログラムに基づき処理を実行することによって、セキュリティ確認装置111の機能及び後述する図4、5のセキュリティ確認装置111のフローチャートの処理が実現される。
CPU131が2次記憶装置132に記憶されたプログラムに基づき処理を実行することによって、情報処理装置の機能及び後述する図4、5の情報処理装置のフローチャートの処理が実現される。
S4201において、情報処理装置112のCPU131(以下、図4及び図5において単にCPU131という)は、セキュリティ確認装置111に対してセキュリティ確認指示を行う。S4101において、CPU121は、セキュリティ確認指示を受信する。S4103において、CPU121は、ファイアウォール経由の通信かどうかを判定する。CPU121は、ファイアウォール経由の通信であると判定した場合(S4103においてYes)、S4104に進み、ファイアウォール経由の通信でないと判定した場合(S4103においてNo)、S4105に進む。S4103の処理の詳細は、後述する図5を用いて説明する。S4105において、CPU121は、セキュリティ確認指示を送信してきた情報処理装置112に対して利用ポート一覧の送付依頼を行う。S4202において、利用ポート一覧の送付依頼を受信したCPU131は、ファイアウォール101を経由することなくセキュリティ確認装置111と通信していることを2次記憶装置132に記憶する。S4203において、CPU131は、受信した利用ポート一覧の送付依頼に基づき自身が利用するネットワークポートを利用ポートとして確認し、利用ポート一覧を作成する。S4204において、CPU131は、セキュリティ確認装置111へ利用ポート一覧を通知する。S4106において、CPU121は、受信した利用ポート一覧を検査対象ポートに設定する。S4105、S4106の処理は、利用ポート一覧を取得する処理の一例である。一方、S4104において、CPU121は、既定のポートを検査対象と設定する。既定のポートとは、例えば、0番から1023番までのウェルノウンポート(well−knownポート)である。S4107において、CPU121は、検査対象に設定した全ポートを検査する。S4108において、CPU121は、検査結果を、セキュリティ確認指示を送信してきた情報処理装置112へ通知する。S4205において、CPU131は、検査結果を受信する。S4206において、CPU131は、受信した検査結果に基づき検査不合格ポートが存在する場合、検査不合格ポートのネットワーク通信を停止する。S4207において、CPU131は、ファイアウォール101を経由してセキュリティ確認装置111と通信を行っているか否かを判定する。CPU131は、ファイアウォール101を経由してセキュリティ確認装置111と通信を行っていると判定した場合(S4207においてYes)、S4208に進む。一方、CPU131は、ファイアウォール101を経由してセキュリティ確認装置111と通信を行っていないと判定した場合(S4207においてNo)、S4209に進む。S4208において、CPU131は、検査不合格ポートが存在する場合、ファイアウォール101の設定に問題があるため検査結果をネットワーク管理者へ通知する。また、CPU131は、検査不合格ポートが存在しない場合であっても、検査結果をネットワーク管理者へ通知するようにしてもよい。また、CPU131は、検査結果をネットワーク管理者へ通知すると共に表示装置135に表示するようにしてもよい。S4209において、CPU131は、S4205で受信した検査結果、又はS4206で停止したポートの情報を表示装置135に表示する。S4208、S4209の処理は、検査結果の出力の処理の一例である。
S5101において、CPU121は、セキュリティ確認指示を送信してきた情報処理装置112に対して自IPアドレスの通知指示を送信する。S5201において、CPU131は、セキュリティ確認装置111より自IPアドレスの通知指示を受信する。S5202において、CPU131は、自装置のIPアドレスをセキュリティ確認装置111に送信する。S5102において、CPU121は、情報処理装置112より送信されたIPアドレス(通知アドレス)を受信する。S5102において受信されたIPアドレスは、装置識別情報の一例である。S5103において、CPU121は、IPアドレスを受信した際の、受信パケット内に含まれている送信元IPアドレスを確認する。受信パケット内に含まれている送信元IPアドレスは、送信元識別情報の一例である。S5104において、CPU121は、通知アドレスと受信パケット内の送信元IPアドレスとを比較する。CPU121は、比較の結果、同一であると判定すると、S5105に進み、非同一であると判定すると、S5106に進む。S5105において、CPU121は、ファイアウォール経由の通信でないと判定する。一方、S5106において、CPU121は、ファイアウォール経由の通信であると判定する。
なお、図4の例では、情報処理装置は、検査不合格となったポートを即時通信停止としたが設定によっては停止せず管理者やユーザに通知するだけにしてもよい。
本発明は、上述の実施形態の1以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給する。そして、そのシステム又は装置のコンピュータにおける1つ以上のプロセッサーがプログラムを読み出し実行する処理でも実現可能である。また、1以上の機能を実現する回路(例えば、ASIC)によっても実現可能である。
102、103、112 情報処理装置
121 CPU
131 CPU
Claims (11)
- セキュリティ確認の指示を送信した情報処理装置がファイアウォール経由の通信を行っているか否かを判定する判定手段と、
前記判定手段によりファイアウォール経由の通信を行っていると判定された場合、既定のポートを検査対象に設定し、前記判定手段によりファイアウォール経由の通信を行っていないと判定された場合、前記情報処理装置より受信した利用ポート一覧のポートを検査対象に設定する設定手段と、
前記設定手段により検査対象に設定されたポートを検査する検査手段と、
前記検査手段による検査の結果を通知する通知手段と、
を有するセキュリティ確認装置。 - 前記判定手段は、前記情報処理装置より受信した装置識別情報と、前記装置識別情報を受信した際の受信パケット内の送信元識別情報と、に基づいて、前記情報処理装置がファイアウォール経由の通信を行っているか否かを判定する請求項1記載のセキュリティ確認装置。
- 前記判定手段は、前記情報処理装置より受信した装置識別情報と、前記装置識別情報を受信した際の受信パケット内の送信元識別情報と、が同一の場合、前記情報処理装置がファイアウォール経由の通信を行っていないと判定し、前記情報処理装置より受信した装置識別情報と、前記装置識別情報を受信した際の受信パケット内の送信元識別情報と、が同一でない場合、前記情報処理装置がファイアウォール経由の通信を行っていると判定する請求項2記載のセキュリティ確認装置。
- 前記判定手段によりファイアウォール経由の通信を行っていないと判定された場合、前記情報処理装置より利用ポート一覧を取得する取得手段を更に有し、
前記設定手段は、前記判定手段によりファイアウォール経由の通信を行っていると判定された場合、既定のポートを検査対象に設定し、前記判定手段によりファイアウォール経由の通信を行っていないと判定された場合、前記取得手段により取得された前記利用ポート一覧のポートを検査対象に設定する請求項1乃至3何れか1項記載のセキュリティ確認装置。 - 前記既定のポートとは、ウェルノウンポートである請求項1乃至4何れか1項記載のセキュリティ確認装置。
- セキュリティ確認装置と、複数の情報処理装置と、を含むシステムであって、
前記セキュリティ確認装置は、
前記複数の情報処理装置のうちのセキュリティ確認の指示を送信した一の情報処理装置から情報処理装置がファイアウォール経由の通信を行っているか否かを判定する判定手段と、
前記判定手段によりファイアウォール経由の通信を行っていると判定された場合、既定のポートを検査対象に設定し、前記判定手段によりファイアウォール経由の通信を行っていないと判定された場合、前記情報処理装置より受信した利用ポート一覧のポートを検査対象に設定する設定手段と、
前記設定手段により検査対象に設定されたポートを検査する検査手段と、
前記検査手段による検査の結果を通知する通知手段と、
を有し、
前記複数の情報処理装置の各情報処理装置は、
前記セキュリティ確認の指示を前記セキュリティ確認装置に送信する送信手段と、
前記検査の結果を受信する受信手段と、
前記受信手段により受信された前記検査の結果を出力する出力手段と、
を有するシステム。 - 前記複数の情報処理装置の各情報処理装置は、更に、前記受信手段により受信された前記検査の結果に基づき、検査不合格ポートが存在した場合、前記検査不合格ポートの通信を停止する停止手段を更に有する請求項6記載のシステム。
- 前記送信手段は、定期的に前記セキュリティ確認の指示を前記セキュリティ確認装置に送信する請求項6又は7記載のシステム。
- セキュリティ確認装置が実行する情報処理方法であって、
セキュリティ確認の指示を送信した情報処理装置がファイアウォール経由の通信を行っているか否かを判定する判定ステップと、
前記判定ステップによりファイアウォール経由の通信を行っていると判定された場合、既定のポートを検査対象に設定し、前記判定ステップによりファイアウォール経由の通信を行っていないと判定された場合、前記情報処理装置より受信した利用ポート一覧のポートを検査対象に設定する設定ステップと、
前記設定ステップにより検査対象に設定されたポートを検査する検査ステップと、
前記検査ステップによる検査の結果を通知する通知ステップと、
を含む情報処理方法。 - セキュリティ確認装置と、複数の情報処理装置と、を含むシステムにおける情報処理方法であって、
前記複数の情報処理装置のうちの一の情報処理装置が、セキュリティ確認の指示を前記セキュリティ確認装置に送信する送信ステップと、
前記セキュリティ確認装置が、前記情報処理装置から情報処理装置がファイアウォール経由の通信を行っているか否かを判定する判定ステップと、
前記セキュリティ確認装置が、前記判定ステップによりファイアウォール経由の通信を行っていると判定された場合、既定のポートを検査対象に設定し、前記判定ステップによりファイアウォール経由の通信を行っていないと判定された場合、前記情報処理装置より受信した利用ポート一覧のポートを検査対象に設定する設定ステップと、
前記セキュリティ確認装置が、前記設定ステップにより検査対象に設定されたポートを検査する検査ステップと、
前記セキュリティ確認装置が、前記検査ステップによる検査の結果を通知する通知ステップと、
前記情報処理装置が、前記検査の結果を受信する受信ステップと、
前記情報処理装置が、前記受信ステップにより受信された前記検査の結果を出力する出力ステップと、
を含む情報処理方法。 - コンピュータを、請求項1乃至5何れか1項記載のセキュリティ確認装置の各手段として機能させるためのプログラム。
Priority Applications (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2016125798A JP6736380B2 (ja) | 2016-06-24 | 2016-06-24 | セキュリティ確認装置、システム、情報処理方法及びプログラム |
US15/615,723 US10666665B2 (en) | 2016-06-24 | 2017-06-06 | Security confirmation apparatus, system, information processing method, and storage medium |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2016125798A JP6736380B2 (ja) | 2016-06-24 | 2016-06-24 | セキュリティ確認装置、システム、情報処理方法及びプログラム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2017228231A JP2017228231A (ja) | 2017-12-28 |
JP6736380B2 true JP6736380B2 (ja) | 2020-08-05 |
Family
ID=60678119
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2016125798A Active JP6736380B2 (ja) | 2016-06-24 | 2016-06-24 | セキュリティ確認装置、システム、情報処理方法及びプログラム |
Country Status (2)
Country | Link |
---|---|
US (1) | US10666665B2 (ja) |
JP (1) | JP6736380B2 (ja) |
Families Citing this family (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10594725B2 (en) * | 2017-07-27 | 2020-03-17 | Cypress Semiconductor Corporation | Generating and analyzing network profile data |
JP2019129427A (ja) * | 2018-01-25 | 2019-08-01 | ブラザー工業株式会社 | 通信装置、および、コンピュータプログラム |
Family Cites Families (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7290283B2 (en) * | 2001-01-31 | 2007-10-30 | Lancope, Inc. | Network port profiling |
JP2005025269A (ja) | 2003-06-30 | 2005-01-27 | Toshiba Corp | ネットワーク中継装置及びセキュリティ検査方法 |
US7620988B1 (en) * | 2003-07-25 | 2009-11-17 | Symantec Corporation | Protocol identification by heuristic content analysis |
US7421734B2 (en) * | 2003-10-03 | 2008-09-02 | Verizon Services Corp. | Network firewall test methods and apparatus |
US7451212B2 (en) * | 2004-03-17 | 2008-11-11 | At&T Intellectual Property I, L.P. | Logical port configuration system |
JP2007272396A (ja) | 2006-03-30 | 2007-10-18 | Nec Personal Products Co Ltd | セキュリティ管理システム、中継装置、プログラム |
-
2016
- 2016-06-24 JP JP2016125798A patent/JP6736380B2/ja active Active
-
2017
- 2017-06-06 US US15/615,723 patent/US10666665B2/en active Active
Also Published As
Publication number | Publication date |
---|---|
US20170374087A1 (en) | 2017-12-28 |
JP2017228231A (ja) | 2017-12-28 |
US10666665B2 (en) | 2020-05-26 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US9594912B1 (en) | Return-oriented programming detection | |
US9591015B1 (en) | System and method for offloading packet processing and static analysis operations | |
US11956279B2 (en) | Cyber-security in heterogeneous networks | |
US11570201B2 (en) | System and method for detecting and blocking malicious attacks on a network | |
US11075915B2 (en) | System and method for securing communication between devices on a network | |
US20190372939A1 (en) | Malicious network activity mitigation | |
JP6736380B2 (ja) | セキュリティ確認装置、システム、情報処理方法及びプログラム | |
JP6081386B2 (ja) | 情報共有装置、情報共有方法、および、情報共有プログラム | |
CN115190062A (zh) | 业务处理方法及装置、电子设备和计算机可读存储介质 | |
US11593296B2 (en) | Edge component redirect for IoT analytics groups | |
US20150208142A1 (en) | Method for the efficient transmission of data | |
CN112769686B (zh) | 一种智能物联网关及数据传输方法 | |
CN109391707B (zh) | 域名解析的方法、装置、设备及存储介质 | |
WO2018168822A1 (ja) | セキュリティリスク管理装置、セキュリティリスク管理方法およびセキュリティリスク管理プログラム | |
KR102080189B1 (ko) | 비인가 장치의 접속을 차단하기 위한 방법 및 그 전자 장치 | |
KR101428004B1 (ko) | 데이터를 유출하는 악성 코드 탐색 방법 및 장치 | |
US11546251B2 (en) | System and method for securing communication between devices on a network with multiple access points | |
KR102321683B1 (ko) | 비인가 블루투스 기기를 선별적으로 차단할수 있는 방법 및 장치 | |
KR101854391B1 (ko) | 로그 검색을 이용한 단말의 보안 검사 방법 | |
KR102044870B1 (ko) | Url 맵을 이용하여 도메인을 관리하는 장치 및 방법 | |
CN114064288B (zh) | 用于分布式存储系统的数据链路分配方法、装置和设备 | |
US20230412572A1 (en) | Securing metrics in a service mesh | |
US11552960B2 (en) | Technique for processing messages sent by a communicating device | |
CN106357664A (zh) | 漏洞检测方法及装置 | |
KR20230061725A (ko) | 비인가 블루투스 기기를 선별적으로 차단할수 있는 방법 및 장치 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20190614 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20200327 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20200407 |
|
A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20200522 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20200616 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20200715 |
|
R151 | Written notification of patent or utility model registration |
Ref document number: 6736380 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |