JP7028559B2 - 攻撃検知システム、攻撃検知方法および攻撃検知プログラム - Google Patents

Description

本発明は、攻撃検知システム、攻撃検知方法および攻撃検知プログラムに関する。

近年、ネットワークを通じて行われるサイバー攻撃の脅威はますます増しており、入口を防御する多層防御に加え、攻撃が成功することによって、企業網内の端末が感染してしまう場合を前提としたセキュリティ対策の重要性が増している。

このようなセキュリティ対策に関する技術として、例えば、セキュリティアプライアンス等からのログが集積されるＳＩＥＭ（Security Information and Event Management）基盤を用いて、感染端末が行う通信を検知する技術が知られている。

特開２０１５－１７９９７９号公報

しかしながら、従来のセキュリティ対策に関する技術では、二次感染や情報漏洩などの被害を迅速に防ぐことができず、被害の拡大を防ぐことができない場合があるという課題があった。例えば、従来のセキュリティ対策に関する技術では、感染端末の行う不正な通信を検知するのみで、端末への感染自体は成功しているため、不正な通信が検知されてから対処を行うまでに時間が掛かることにより、二次感染や情報漏洩などの被害を迅速に防ぐことができず、被害の拡大を防ぐことが難しいという問題があった。

上述した課題を解決し、目的を達成するために、本発明の攻撃検知システムは、セキュリティアプライアンスおよびネットワーク機器から各通信イベントに関するログ情報を取得する取得部と、前記取得部によって取得されたログ情報の相関分析を行い、前記ログ情報に関する各通信イベントのうち、不正な通信イベントである可能性がある通信イベントを抽出する抽出部と、前記抽出部によって抽出された通信イベントに関するログ情報に対して前記相関分析よりも詳細な高度分析を行い、該通信イベントが発生したことによるリスクの度合いを計算する計算部と、前記計算部によって計算されたリスクの度合いが所定の閾値以上である場合には、特定の端末の通信に対して所定の対処を行う旨を所定の装置に指示する指示部と、を備えることを特徴とする。

また、本発明の攻撃検知方法は、攻撃検知システムによって実行される攻撃検知方法であって、セキュリティアプライアンスおよびネットワーク機器から各通信イベントに関するログ情報を取得する取得工程と、前記取得工程によって取得されたログ情報の相関分析を行い、前記ログ情報に関する各通信イベントのうち、不正な通信イベントである可能性がある通信イベントを抽出する抽出工程と、前記抽出工程によって抽出された通信イベントに関するログ情報に対して前記相関分析よりも詳細な高度分析を行い、該通信イベントが発生したことによるリスクの度合いを計算する計算工程と、前記計算工程によって計算されたリスクの度合いが所定の閾値以上である場合には、特定の端末の通信に対して所定の対処を行う旨を所定の装置に指示する指示工程と、を含んだことを特徴とする。

また、本発明の攻撃検知プログラムは、セキュリティアプライアンスおよびネットワーク機器から各通信イベントに関するログ情報を取得する取得ステップと、前記取得ステップによって取得されたログ情報の相関分析を行い、前記ログ情報に関する各通信イベントのうち、不正な通信イベントである可能性がある通信イベントを抽出する抽出ステップと、前記抽出ステップによって抽出された通信イベントに関するログ情報に対して前記相関分析よりも詳細な高度分析を行い、該通信イベントが発生したことによるリスクの度合いを計算する計算ステップと、前記計算ステップによって計算されたリスクの度合いが所定の閾値以上である場合には、特定の端末の通信に対して所定の対処を行う旨を所定の装置に指示する指示ステップと、をコンピュータに実行させることを特徴とする。

本発明によれば、二次感染や情報漏洩などの被害を迅速に防ぐことで、被害の拡大を防ぐことができるという効果を奏する。

図１は、第１の実施形態に係る攻撃検知装置を含む通信システムの構成の一例を示す概略図である。 図２は、第１の実施形態に係る攻撃検知装置の構成例を示すブロック図である。 図３は、ログ情報記憶部が記憶するテーブルの一例を示す図である。 図４は、ログ情報記憶部が記憶するテーブルの一例を示す図である。 図５は、第１の実施形態に係る攻撃検知装置がクライアント端末の通信を遮断する処理を説明する図である。 図６は、第１の実施形態に係る攻撃検知装置における攻撃検知処理の流れの一例を示すフローチャートである。 図７は、攻撃検知プログラムを実行するコンピュータを示す図である。

以下に、本願に係る攻撃検知システム、攻撃検知方法および攻撃検知プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る攻撃検知システム、攻撃検知方法および攻撃検知プログラムが限定されるものではない。

（第１の実施形態）
図１は、第１の実施形態に係る攻撃検知装置を含む通信システムの構成の一例を示す概略図である。図１に例示するように、第１の実施形態に係る通信システム１００は、攻撃検知装置１０と、クライアント拠点内におけるセキュリティアプライアンス２０、ネットワーク機器３０、クライアント端末４０Ａ、４０Ｂ、コントローラ５０、ＧＷ（Gateway）６０および管理者端末７０と、インターネット８０上のサーバ９０とで構成される。なお、図１に示す構成は一例にすぎず、具体的な構成や各装置の数は特に限定されない。また、クライアント端末４０Ａ、４０Ｂについて、特に区別なく説明する場合には、適宜クライアント端末４０と記載する。

攻撃検知装置１０は、ＳＩＥＭ分析エンジンが適用されたサーバ装置である。攻撃検知装置１０は、例えば、ＳＩＥＭ分析エンジンにより通信のログ情報を分析して攻撃の痕跡を発見する等のログ分析サービスを提供する。

図１の例では、攻撃検知装置１０は、防御対象であるクライアント拠点内のセキュリティアプライアンス２０やネットワーク機器３０からログ情報を収集してＳＩＥＭ分析エンジンで分析し、クライアント拠点内のクライアント端末４０に対するリスクを把握し、該リスクに応じて特定のクライアント端末４０の通信を制御する。

例えば、攻撃検知装置１０は、ログ情報を分析した結果、クライアント拠点内でマルウェアに感染したクライアント端末４０を検出した場合には、該クライアント端末４０の通信を、ＳＤＮ（Software Defined Network）技術を用いて自動的に遮断する。また、攻撃検知装置１０は、悪性な通信先を検出した場合には、該悪性な通信先に対するクライアント端末４０の通信を遮断する。このように、攻撃検知装置１０は、クライアント拠点内のリスクを把握し、真のリスクが検知された場合には迅速に通信を遮断し、被害の拡大を防ぐことができる。また、攻撃検知装置１０は、リスクの真偽判定が難しい場合には、精密検査に回して追加で詳細なログを取得し、精密検査の結果を踏まえて再分析を行うようにしてもよい。

セキュリティアプライアンス２０は、クライアント端末４０に対する不正アクセスやウィルスによる攻撃を防ぐ機器であり、例えば、ＩＰＳ（Intrusion Protection System）やＩＤＳ（Intrusion Detection System）、ＵＴＭ（Unified Threat Management）等である。

ネットワーク機器３０は、クライアント端末４０の通信を中継する機器であり、例えば、ルータやファイアウォール、Ｐｒｏｘｙサーバ、ＳＤＮ対応スイッチ等である。なお、以下の説明では、ネットワーク機器３０の例として、ＳＤＮ対応スイッチ３０Ａを用いて適宜説明する。

クライアント端末４０Ａ、４０Ｂは、クライアント拠点に設置された端末装置であり、例えば、企業網における従業員等が使用するＰＣ（Personal Computer）等の端末である。クライアント端末４０Ａ、４０Ｂは、例えば、Ｗｅｂサイトにアクセスする等の際には、セキュリティアプライアンス２０やネットワーク機器３０、ＧＷ６０を介してインターネット８０上のサーバ９０との間で通信を行う。

コントローラ５０は、ネットワーク機器３０を制御する装置である。例えば、コントローラ５０は、特定のクライアント端末４０Ａの通信を遮断する旨の指示を攻撃検知装置１０から受信すると、クライアント端末４０Ａと接続するネットワーク機器３０に対して、クライアント端末４０Ａの通信を遮断するように制御する。なお、以下の説明では、コントローラ５０の例として、ＳＤＮ対応スイッチ３０Ａを制御するＳＤＮコントローラ５０Ａを用いて適宜説明する。

ＧＷ６０は、クライアント拠点において、インターネット８０との境界に配置される中継装置である。管理者端末７０は、クライアント拠点を管理する管理者の端末装置である。管理者端末７０では、管理者の操作に応じて、攻撃検知装置１０から通知された分析結果や遮断されたクライアント端末４０の情報等を表示したり、クライアント端末４０の遮断を解除する指示をコントローラ５０に通知したりする。

サーバ９０は、クライアント端末４０と通信を行うインターネット８０上のサーバ装置であって、例えば、ＷｅｂサーバやＣ＆Ｃ（Command and Control）サーバ等である。

このような通信システム１００において、第１の実施形態に係る攻撃検知装置１０は、防御対象であるクライアント拠点におけるセキュリティアプライアンス２０およびネットワーク機器３０から各通信イベントに関するログ情報を取得する。

そして、攻撃検知装置１０は、取得したログ情報の相関分析を行い、ログ情報に関する各通信イベントのうち、不正な通信イベントである可能性がある通信イベントを抽出し、抽出した通信イベントに関するログ情報に対して相関分析よりも詳細な高度分析を行い、該通信イベントが発生したことによるリスクの度合いを計算する。続いて、攻撃検知装置１０は、リスクの度合いが所定の閾値以上である場合には、クライアント端末４０の通信を遮断する旨をコントローラ５０に指示する。

つまり、攻撃検知装置１０は、例えば、ログの相関分析の結果から、特に重大なインシデントにつながる可能性がある通信イベントを抽出し、通信イベントの脅威度を判別し、真に危険なイベントと判別された場合には感染したクライアント端末４０をネットワークからＳＤＮ技術を用いて自動的に遮断したり、特定の宛先に対する通信を遮断したりする。

［攻撃検知装置の構成］
次に、図２を用いて、図１に示した攻撃検知装置１０の構成を説明する。図２は、第１の実施形態に係る攻撃検知装置の構成例を示すブロック図である。図２に示すように、この攻撃検知装置１０は、通信処理部１１、入力部１２、出力部１３、制御部１４および記憶部１５を有する。以下に攻撃検知装置１０が有する各部の処理を説明する。なお、攻撃検知装置１０の各機能は、攻撃検知システムとして複数の装置が分散して保持してもよい。

通信処理部１１は、接続されるセキュリティアプライアンス２０やネットワーク機器３０、コントローラ５０、管理者端末７０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、セキュリティアプライアンス２０およびネットワーク機器３０から通信ログを受信する。また、例えば、通信処理部１１は、コントローラ５０に対して、特定のクライアント端末４０Ａの通信を遮断する旨の指示を送信する。また、通信処理部１１は、管理者端末７０に対して、攻撃検知装置１０から通知された分析結果や遮断されたクライアント端末４０の情報を送信する。

入力部１２は、キーボードやマウスなどの入力デバイスであり、管理者から各種情報の入力操作を受付ける。出力部１３は、ディスプレイなどの出力デバイスであり、各種情報を出力する。

また、記憶部１５は、制御部１４による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、ログ情報記憶部１５ａを有する。例えば、記憶部１５は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

ログ情報記憶部１５ａは、後述する取得部１４ａによって取得されたログ情報を記憶する。ここで、図３および図４を用いて、ログ情報記憶部１５ａが記憶するログ情報の具体例について説明する。図３および図４は、ログ情報記憶部が記憶するテーブルの一例を示す図である。図３に例示するログ情報が、ネットワーク機器３０から取得されたログ情報の一例であり、図４に例示するログ情報が、セキュリティアプライアンス２０から取得されたログ情報の一例である。

図３に例示するように、ログ情報記憶部１５ａは、ネットワーク機器３０から取得されたログ情報の項目として、通信に関するログが出力された日時を示す「日時」と、通信の送信元ＩＰアドレスを示す「送信元ＩＰアドレス」と、通信の宛先ＩＰアドレスを示す「宛先ＩＰアドレス」と、通信の送信元のポート番号を示す「送信元ポート」と、通信の宛先のポート番号を示す「宛先ポート」と、通信のプロトコル情報を示す「プロトコル」と、通信に対するネットワーク機器３０の挙動を示す「判定」と、通信におけるアクセス先ＵＲＬを示す「ＵＲＬ」と、通信で用いられるＵｓｅｒＡｇｅｎｔ名を示す「ＵｓｅｒＡｇｅｎｔ」と、通信におけるＨＴＴＰプロトコルのメソッド名を示す「メソッド」と、通信における送信バイト数を示す「送信バイト数」と、通信における受信バイト数を示す「受信バイト数」とを記憶する。

また、図４に例示するように、ログ情報記憶部１５ａは、セキュリティアプライアンス２０から取得されたログ情報の項目として、「日時」と、「送信元ＩＰアドレス」と、「宛先ＩＰアドレス」と、「送信元ポート」と、「宛先ポート」と、「プロトコル」と、「判定」と、ログの検知理由を示す「検知名」と、ログのリスクの高さを表す「脅威度」と、ログの検知の種類カテゴリを示す「カテゴリ」とを記憶する。このように、セキュリティアプライアンス２０から取得されたログ情報には、セキュリティアプライアンス２０側で不正通信を検知した検知結果等が含まれている。

制御部１４は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、取得部１４ａ、抽出部１４ｂ、計算部１４ｃおよび指示部１４ｄを有する。ここで、制御部１４は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。

取得部１４ａは、セキュリティアプライアンス２０およびネットワーク機器３０から各通信イベントに関するログ情報を取得する。具体的には、取得部１４ａは、防御対象のクライアント拠点におけるセキュリティアプライアンス２０およびネットワーク機器３０からクライアント端末４０の通信に関するログ情報を取得し、取得したログ情報をログ情報記憶部１５ａに格納する。なお、取得部１４ａは、ログ情報の取得タイミングとして、所定の時間間隔でログ情報を取得してもよいし、所定のイベント等をトリガとして取得してもよいし、ユーザの指示に従って取得するようにしてもよい。また、取得部１４ａは、クライアント端末４０に含まれるエンドポイントセキュリティ製品からのログ情報をさらに取得するようにしてもよい。

抽出部１４ｂは、取得部１４ａによって取得されたログ情報の相関分析を行い、ログ情報に関する各通信イベントのうち、不正な通信イベントである可能性がある通信イベントを抽出する。ここで、抽出部１４ｂは、相関分析の手法として、既存の手法のいずれを用いてもよい。

具体的には、抽出部１４ｂは、ログ情報の相関分析を行い、相関分析の結果から重大なインシデントにつながる可能性があるイベントを抽出し、計算部１４ｃに通知する。例えば、抽出部１４ｂは、ログ情報から各クライアント端末４０の通信に関する一連の挙動を分析し、クライアント端末４０がマルウェアに感染する疑いがあるイベントとして、悪性な通信先または良性と判明していない通信先と通信を行ったり、不明なファイルのダウンロードを行ったりする等の特定のイベントを抽出する。

計算部１４ｃは、抽出部１４ｂによって抽出された通信イベントに関するログ情報に対して相関分析よりも詳細な高度分析を行い、該通信イベントが発生したことによるリスクの度合いを計算する。ここで、計算部１４ｃは、高度分析として、例えば、ログの時系列を考慮した分析手法や、機械学習などの技術を用いて平常時とのログの出力傾向が違うものを検知する手法等、既存の手法のいずれを用いてもよい。なお、上述した相関分析や高度分析に関する処理の一部または全部を手動やＡＩ（Artificial Intelligence）によって実行するようにしてもよい。

指示部１４ｄは、計算部１４ｃによって計算されたリスクの度合いが所定の閾値以上である場合には、特定のクライアント端末４０の通信に対して所定の対処を行う旨をＳＤＮコントローラ５０Ａに指示する。例えば、指示部１４ｄは、計算部１４ｃによって計算されたリスクの度合いが所定の閾値以上である場合には、特定のクライアント端末４０の通信を遮断する旨をＳＤＮコントローラ５０Ａに指示する。なお、指示部１４ｄは、特定のクライアント端末４０の通信の遮断を指示する以外にも、管理者へのメール通知や警報装置の鳴動等、あらかじめ決められたアクションを行うものであってもよく、通信の遮断を指示するアクションに限られるものではない。また、指示部１４ｄは、計算部１４ｃによって計算されたリスクの度合いが所定の閾値未満である場合には、特定のクライアント端末４０の通信が精密検査センタを経由して行われるように経路変更を行う旨をＳＤＮコントローラ５０Ａに指示する。

例えば、指示部１４ｄは、計算部１４ｃによって計算されたリスクの度合いが所定の閾値以上であるか否かを判定する。この結果、指示部１４ｄは、リスクの度合いが所定の閾値以上であると判定した場合には、ＳＤＮコントローラ５０Ａを通じて、ＳＤＮ対応スイッチ６０Ａに対して遮断対象となるクライアント端末４０の通信を遮断する旨を指示する。なお、通信を遮断するクライアント端末４０を特定する情報として、送信元ＩＰアドレスやＭＡＣアドレス等を用いてもよい。また、悪性と判断された通信先を遮断対象とする場合には、宛先ＩＰアドレスやＵＲＬの情報を基にＳＤＮ対応スイッチ６０Ａもしくはセキュリティアプライアンス２０にルールを追加することで、悪性と判断された通信先とクライアント端末４０との通信を遮断する。

一方、指示部１４ｄは、リスクの度合いが所定の閾値未満であると判定した場合には、現時点の情報ではクライアント端末４０がマルウェアに感染していること等が断定できないため、外部の精密検査センタ（図示せず）に対して精密検査を行う旨を指示する。具体的には、指示部１４ｄは、ＳＤＮコントローラ５０Ａを通じて対象の被疑端末の通信のみを、あらかじめ構築してある精密検査センタを通すように経路変更を行うように指示する。

なお、精密検査センタを常時設定していると莫大なコストが掛かり、処理のボトルネックにもなりかねないため、詳細なログを取得できる機器を別途設置してもよい。このような詳細なログを取得できる機器が有する機能として、例えば、精密検査センタは、通信に含まれるファイルを検査するＳａｎｄｂｏｘ機能や、通信そのものをすべて保存しておくＮｅｔｗｏｒｋ Ｆｏｒｅｎｓｉｃ機能や、当該端末の通信の挙動を分析する振る舞い分析機能を有するものとする。

そして、精密検査センタで一定期間被疑端末の通信の検査が行われた場合には、計算部１４ｃは、検査の結果を精密検査センタから取得し、再度高度分析を実施して、リスクの度合いを計算する。その後、指示部１４ｄは、計算部１４ｃによって計算されたリスクの度合いが所定の閾値以上である場合には、クライアント端末４０の通信を遮断する旨をＳＤＮコントローラ５０Ａに指示する。なお、上述した指示部１４ｄの処理の一部または全部を手動やＡＩによって実行するようにしてもよい。

ここで、図５を用いて、第１の実施形態に係る攻撃検知装置１０がクライアント端末４０Ａの通信を遮断する処理を説明する。図５は、第１の実施形態に係る攻撃検知装置がクライアント端末の通信を遮断する処理を説明する図である。なお、図５の例では、クライアント拠点内のクライアント端末４０Ａがマルウェアに感染した場合を例として説明する。

図５に例示するように、攻撃検知装置１０は、セキュリティアプライアンス２０等から送信されたログ情報を定期的に取得する（図５の（１）参照）。そして、攻撃検知装置１０は、ログ情報の相関分析を行い、ログ情報に関する各通信イベントのうち、不正な通信イベントである可能性がある通信イベントを抽出する（図５の（２）参照）。

そして、攻撃検知装置１０は、抽出された通信イベントに関するログ情報に対して相関分析よりも詳細な高度分析を行い、該通信イベントが発生したことによるリスクの度合いを計算する（図５の（３）参照）。この結果、攻撃検知装置１０は、計算されたリスクの度合いが所定の閾値以上である場合には、クライアント端末４０Ａの通信を遮断する旨をＳＤＮコントローラ５０Ａに指示する（図５の（４）参照）。

ＳＤＮコントローラ５０Ａは、攻撃検知装置１０から通信遮断の指示を受信すると、ＳＤＮ対応スイッチ３０Ａがクライアント端末４０Ａの通信を遮断するように制御し（図５の（５）参照）、クライアント端末４０Ａの通信を遮断した実行結果を攻撃検知装置１０に通知する（図５の（６）参照）。

その後、攻撃検知装置１０は、クライアント端末４０Ａの通信を遮断した旨を管理者端末７０に通知する（図５の（７）参照）。管理者端末７０は、管理者の操作に応じて、詳細な分析結果等を攻撃検知装置１０から取得して、管理者が分析結果等を確認できるように表示する（図５の（８）参照）。そして、管理者端末７０は、管理者が解析結果等を参考に遮断を解除すると判断した場合には、ＳＤＮコントローラ５０Ａに対してクライアント端末４０Ａの通信の遮断を解除する旨を指示する（図５の（９）参照）。

［攻撃検知装置の処理手順］
次に、図６を用いて、第１の実施形態に係る攻撃検知装置１０による処理手順の例を説明する。図６は、第１の実施形態に係る攻撃検知装置における攻撃検知処理の流れの一例を示すフローチャートである。

図６に示すように、攻撃検知装置１０の抽出部１４ｂは、所定の条件を満たした場合に（ステップＳ１０１肯定）、ログ情報の相関分析を実行する（ステップＳ１０２）。この所定の条件とは、ログ情報の相関分析の実行を開始する条件であり、例えば、所定の時間間隔で実行を開始する条件を設定してもよいし、ログ情報が更新される等のイベントをトリガとして条件を設定してもよいし、ユーザの指示に従って実行する開始する条件を設定してもよい。

そして、抽出部１４ｂは、ログ情報の相関分析を行った結果から、ログ情報に関する各通信イベントのうち、不正な通信イベントである可能性がある通信イベントを抽出する（ステップＳ１０３）。続いて、計算部１４ｃは、抽出部１４ｂによって抽出された通信イベントに関するログ情報に対して高度分析を実行し（ステップＳ１０４）、通信イベントが発生したことによるリスクの度合いを計算する（ステップＳ１０５）。

続いて、指示部１４ｄは、計算部１４ｃによって計算されたリスクの度合いが所定の閾値以上であるか否かを判定する（ステップＳ１０６）。この結果、指示部１４ｄは、リスクの度合いが所定の閾値以上であると判定した場合には（ステップＳ１０６肯定）、ＳＤＮコントローラ５０Ａを通じて、ＳＤＮ対応スイッチ３０Ａに対して遮断対象となるクライアント端末４０の通信を遮断する指示を通知する（ステップＳ１０７）。

一方、指示部１４ｄは、リスクの度合いが所定の閾値以上でないと判定した場合には（ステップＳ１０６否定）、現時点の情報ではクライアント端末４０がマルウェアに感染していること等が断定できないため、外部の精密検査センタに対して精密検査を行う指示を通知する（ステップＳ１０８）。

（第１の実施形態の効果）
第１の実施形態に係る攻撃検知装置１０は、セキュリティアプライアンス２０およびネットワーク機器３０から各通信イベントに関するログ情報を取得する。そして、攻撃検知装置１０は、取得されたログ情報の相関分析を行い、ログ情報に関する各通信イベントのうち、不正な通信イベントである可能性がある通信イベントを抽出する。続いて、攻撃検知装置１０は、抽出された通信イベントに関するログ情報に対して相関分析よりも詳細な高度分析を行い、該通信イベントが発生したことによるリスクの度合いを計算する。その後、攻撃検知装置１０は、計算されたリスクの度合いが所定の閾値以上である場合には、特定のクライアント端末４０の通信に対して所定の対処を行う旨をＳＤＮコントローラ５０Ａに指示する。このため、攻撃検知装置１０は、二次感染や情報漏洩などの被害を迅速に防ぐことができ、被害の拡大を防ぐことが可能である。

また、攻撃検知装置１０は、計算されたリスクの度合いが所定の閾値以上である場合には、特定のクライアント端末４０の通信を遮断する旨をＳＤＮコントローラ５０Ａに指示する。このため、例えば、攻撃検知装置１０は、クライアント拠点内のリスクを把握し、真のリスクが検知された場合には迅速に通信を遮断し、被害の拡大を確実に防ぐことが可能である。

また、攻撃検知装置１０は、計算されたリスクの度合いが所定の閾値未満である場合には、特定のクライアント端末４０の通信が精密検査センタを経由して行われるように経路変更を行う旨をＳＤＮコントローラ５０Ａに指示する。このため、リスクの真偽判定が難しい場合には、精密検査に回して追加で詳細なログを取得し、精密検査の結果を踏まえて再分析を行うことができ、もれなくリスクを検知することが可能である。

また、攻撃検知装置１０は、計算されたリスクの度合いが所定の閾値以上である場合には、ＳＤＮコントローラ５０Ａを通じて、ＳＤＮ対応スイッチ３０Ａに対して特定のクライアント端末４０の通信を遮断する旨を指示する。このため、ＳＤＮ技術を利用して、真のリスクが検知された場合の対処までの時間を短縮できるため、被害の拡大を防ぐことが可能である。

（システム構成等）
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

（プログラム）
また、上記実施形態において説明した攻撃検知装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態に係る攻撃検知装置１０が実行する処理をコンピュータが実行可能な言語で記述した攻撃検知プログラムを作成することもできる。この場合、コンピュータが攻撃検知プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる攻撃検知プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された攻撃検知プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。

図７は、攻撃検知プログラムを実行するコンピュータ１０００を示す図である。図７に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図７に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図７に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図７に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図７に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図７に例示するように、例えばディスプレイ１１３０に接続される。

ここで、図７に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の攻撃検知プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。

なお、攻撃検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、攻撃検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１０ 攻撃検知装置
１１ 通信処理部
１２ 入力部
１３ 出力部
１４ 制御部
１４ａ 取得部
１４ｂ 抽出部
１４ｃ 計算部
１４ｄ 指示部
１５ 記憶部
１５ａ ログ情報記憶部
２０ セキュリティアプライアンス
３０ ネットワーク機器
３０Ａ ＳＤＮ対応スイッチ
４０、４０Ａ、４０Ｂ クライアント端末
５０ コントローラ
５０Ａ ＳＤＮコントローラ
６０ ＧＷ
７０ 管理者端末
８０ インターネット
９０ サーバ
１００ 通信システム

Claims (4)

1. セキュリティアプライアンスおよびネットワーク機器から各通信イベントに関するログ情報を取得する取得部と、
   前記取得部によって取得されたログ情報の相関分析を行い、前記ログ情報に関する各通信イベントのうち、不正な通信イベントである可能性がある通信イベントのみを抽出する抽出部と、
   前記抽出部によって抽出された通信イベントであって、不正な通信イベントである可能性がある通信イベントに関するログ情報のみに対して前記相関分析よりも詳細な高度分析を行い、該通信イベントが発生したことによるリスクの度合いを計算する計算部と、
   前記計算部によって計算されたリスクの度合いが所定の閾値以上である場合に、マルウェアに感染した特定の端末が検出された際には、該特定の端末の通信を遮断し、悪性な通信先が検出された際には、該悪性な通信先に対する各端末の通信を遮断する旨を所定の装置に指示し、前記計算部によって計算されたリスクの度合いが所定の閾値未満である場合には、特定の端末の通信が精密検査センタを経由して行われるように経路変更を行う旨を前記所定の装置に指示する指示部と、
   を備えることを特徴とする攻撃検知システム。
2. 前記指示部は、前記計算部によって計算されたリスクの度合いが所定の閾値以上である場合には、ＳＤＮコントローラを通じて、ＳＤＮ対応スイッチに対して特定の端末の通信を遮断する旨を指示することを特徴とする請求項１に記載の攻撃検知システム。
3. 攻撃検知システムによって実行される攻撃検知方法であって、
   セキュリティアプライアンスおよびネットワーク機器から各通信イベントに関するログ情報を取得する取得工程と、
   前記取得工程によって取得されたログ情報の相関分析を行い、前記ログ情報に関する各通信イベントのうち、不正な通信イベントである可能性がある通信イベントのみを抽出する抽出工程と、
   前記抽出工程によって抽出された通信イベントであって、不正な通信イベントである可能性がある通信イベントに関するログ情報のみに対して前記相関分析よりも詳細な高度分析を行い、該通信イベントが発生したことによるリスクの度合いを計算する計算工程と、
   前記計算工程によって計算されたリスクの度合いが所定の閾値以上である場合に、マルウェアに感染した特定の端末が検出された際には、該特定の端末の通信を遮断し、悪性な通信先が検出された際には、該悪性な通信先に対する各端末の通信を遮断する旨を所定の装置に指示し、前記計算工程によって計算されたリスクの度合いが所定の閾値未満である場合には、特定の端末の通信が精密検査センタを経由して行われるように経路変更を行う旨を前記所定の装置に指示する指示工程と、
   を含んだことを特徴とする攻撃検知方法。
4. セキュリティアプライアンスおよびネットワーク機器から各通信イベントに関するログ情報を取得する取得ステップと、
   前記取得ステップによって取得されたログ情報の相関分析を行い、前記ログ情報に関する各通信イベントのうち、不正な通信イベントである可能性がある通信イベントのみを抽出する抽出ステップと、
   前記抽出ステップによって抽出された通信イベントであって、不正な通信イベントである可能性がある通信イベントに関するログ情報のみに対して前記相関分析よりも詳細な高度分析を行い、該通信イベントが発生したことによるリスクの度合いを計算する計算ステップと、
   前記計算ステップによって計算されたリスクの度合いが所定の閾値以上である場合に、マルウェアに感染した特定の端末が検出された際には、該特定の端末の通信を遮断し、悪性な通信先が検出された際には、該悪性な通信先に対する各端末の通信を遮断する旨を所定の装置に指示し、前記計算ステップによって計算されたリスクの度合いが所定の閾値未満である場合には、特定の端末の通信が精密検査センタを経由して行われるように経路変更を行う旨を前記所定の装置に指示する指示ステップと、
   をコンピュータに実行させることを特徴とする攻撃検知プログラム。

Images