JP7167240B2 - コンピュータネットワーク及びシステムのプロテクションのためのリアクティブ及びプリエンプティブセキュリティシステム - Google Patents

Description

本開示は、コンピュータネットワークセキュリティ、侵入検出及び侵入プロテクションに関する。本発明は、コンピュータベースデバイス又はシステムの未認証のアクセス又は誤用の監視、検出、応答及び／又は防止に利用するのに特に適している。本発明の実施例は、攻撃者のプロファイリング及び／又はコンピュータベースデコイ（ハニーポット／ハニーネット）の利用に関するものであってもよい。

侵入検出システム（ＩＤＳ）は、攻撃者についてネットワークアクティビティを監視するのに利用される。レポートが生成され、アラートが特定のネットワークの所有者又は管理者に通知される。例えば、ファイアウォールを利用してトラフィックをブロックすることによって、攻撃に応答する侵入検出システムは、侵入防止システム（ＩＰＳ）又は侵入検出防止システム（ＩＤＰＳ）として参照されうる。いくつかの実現形態では、攻撃者のトラフィックは１つ以上のハニーポットによって検出及び／又はルーティングされる。

ハニーポットは、ネットワーク上のより脆弱なプロダクションマシーンから攻撃者をそらすため攻撃者を引き付けるネットワークデコイである。ハニーポットは、未割り当てのアドレスを用いてネットワーク内にしばしば配置され、攻撃者を引き付けるためのサービス及び／又はデータを提供する。ハニーポットはプロダクション価値を有さず、典型的には、未割り当てのアドレスに配置されるため、ハニーポットに接触しようとする全ての試みは疑わしい。これは、ハニーポットが攻撃を特定するのに利用可能であることを意味し、従って、ハニーポットはまた、攻撃者がハニーポットを利用している間、攻撃者の行動及び攻撃者の身元に関する情報の収集を可能にする。さらに、攻撃者は、ネットワークにおけるターゲットがハニーポットである可能性を評価するため、行動（提供されるサービスなど）を観察することによってハニーポットを回避しようとする。

物理的なハニーポットは、自らのＩＰアドレスを備えた実際のマシーンであり、従って、実現するのが高価である。他方、バーチャルなハニーポットは、より少ない物理的なマシーンしか必要とせず、従って、コストを減少させる。オペレーティングシステム及びハニーポットによって提供されるサービスは、ネットワーク上のアクティビティ及び当該時点で特定のハニーポットの意図された目的に従って構成される。ハニーポットを構成することは、困難、複雑且つ時間を要するため、動的なバーチャルなハニーポットは、コンフィギュレーション処理を自動化するのに利用される。動的なハニーポットは、ネットワークを発見し（例えば、フィンガープリンティングによって）、何れのハニーポットコンフィギュレーションを利用するか決定し、ハニーポットを作成及び構成することが可能である。

複数のハニーポットが、“ハニーネット”、すなわち、意図的な脆弱性によりセットアップされたデコイネットワークを形成するのに組み合わせ可能である。個々のハニーポットと同様に、ハニーネットは、所有者／管理者が攻撃者のアクティビティを観察及び解析し、収集した情報を利用してシステムのセキュリティ機構を強化することを可能にする。

技術分野に一般に関連する背景文献は、WO2012/011070 A1, US2015/0229656 A1, US8661102, US20060242701, US2007271614, US2007192863, US2011214182, US2013152199, US2015106889, US2016080414, US2016065614, US2006212942, JP2005004617, US20040128543及びUS2010269175に見つけることができる。

本明細書に含まれた文献、処理、物質、デバイス、物などの何れかの議論は、これらの題材の何れか又は全てが先行技術の基礎の一部を構成するか、あるいは、本出願の各請求項の優先日前にそれが存在したとき、本開示に関連する分野における共通の一般的知識であったという自認としてとられるべきでない。

全ての新たな攻撃者又は修正された攻撃者の行動があると、ＩＤＰＳは、攻撃者の行動を監視し、攻撃者に関するログされたデータを更新し、またレスポンス戦略を更新する。例えば、特定の攻撃者のプロファイルが、当該攻撃者に対してバーチャルなハニーポットが作成させてもよい。当該処理が新たな各攻撃者に対して繰り返され、攻撃者の行動又はプロファイルのある側面が変わった場合、繰り返されてもよい。これは、複雑で時間のかかる処理である。検出された攻撃者に応答し、レスポンスを更新する簡単化された処理を有することが効果的である。当該処理を簡単化することによって、セキュリティ手段が、より迅速により効率的なやり方で配置可能である。さらに、侵入検出システムに関して改良されたデータの通信及び転送が必要とされる。そのような改良は、攻撃者を検出、防止及び応答するようにより良く備えられたより効果的なプロテクションシステムをもたらす。

本発明の各種態様及び実施例は、そのような改良されたセキュリティ手段を提供し、コンピュータベースデバイ及びネットワークと、そこに格納されているデータとに対するエンハンスされたプロテクションをもたらす。本発明は、リアクティブでプリエンプティブなセキュリティシステムを提供しうる。システムは、選択理論に基づくものであってもよい。それは、計算デバイス、ネットワーク及びそれらの関連するデータのプロテクションのため構成されてもよい。

本発明によると、コンピュータにより実現される方法であって、
ネットワークトラフィックデータを受信、処理及びログするステップと、
ネットワークトラフィックデータから攻撃者プロファイルを決定するステップと、
攻撃者プロファイルに基づきハニーポット又はハニーネットコンフィギュレーションを決定するステップと、
ユーザから有効な情報リクエストを受信すると、決定された攻撃者プロファイル及びコンフィギュレーションをユーザに提供するステップと、
を有する方法が提供されてもよい。

ネットワークトラフィックデータは、複数のユーザから受信されてもよく、複数のユーザは、当該（要求元）ユーザを含んでもよい。

ネットワークにおけるハニーポットの処理を改良するため、好ましくは、ハニーポットが攻撃者によって容易に特定されないような方法で、ハニーポットは攻撃者を引き付けるよう構成可能である場合、それは効果的であろう。これを実行する１つの方法は、攻撃者に関する更新された情報に従ってハニーポットを再構成することである。例えば、動的なハニーポットは、攻撃者が当該ハニーポットによって以前に提供されていないサービスをリクエストするログされた攻撃者の行動に基づき追加的なサービスを提供するよう自動的に更新されてもよい。

当該方法は、コンピュータベースリソースを利用して、ネットワークトラフィックデータ、攻撃者プロファイル、前記ハニーポット又はハニーネットコンフィギュレーション、及び／又はユーザに関連するデータを格納するステップを有してもよい。

ネットワークトラフィックは、決定されたコンフィギュレーションに従って、あるいは利用して生成されたハニーポット又はハニーネットに誘導されてもよい。複数のユーザは、有効な、認証された又は正当なユーザとして示されるユーザを含んでもよい。複数のユーザの一部又は全ては、本発明によるシステムに登録されるか、あるいは、認証されたとして示されてもよい。認証されたユーザのリストが、格納又は維持されてもよい。認証されたユーザは、ネットワークトラフィックに関連するデータを共有及び／又は貢献することに同意した協力する参加者であってもよい。

当該方法は、ユーザからリクエストを受信するステップと、リクエストが認証されたユーザ、攻撃者又は未認証のパーティからであるか判断するステップとを有してもよい。

当該方法は、複数のユーザのユーザの１人以上のプロファイルを決定するステップを有してもよい。

本発明はまた、上記の何れかの方法を実現するよう構成されるコンピュータにより実現される（セキュリティ）システムであって、システムの複数のユーザによって提供されるネットワークトラフィックデータを格納するよう構成されるコンピュータベースストレージリソースと、リクエストに応答して１人以上の正当なユーザにハニーポット又はハニーネットコンフィギュレーションを提供するよう構成されるソフトウェアコンポーネントとを有し、コンフィギュレーションは、ネットワークトラフィックデータに基づき又は利用して導出された攻撃者プロファイルに基づく。

ストレージリソースは更に、複数のユーザの１人以上に関連するプロファイル、１人以上の攻撃者又は攻撃者のグループ若しくはタイプに関連するプロファイル、及び／又はハニーポット／ハニーネットコンフィギュレーションパラメータを格納するよう構成されてもよい。

本発明の各種態様は、侵入検出プロテクションシステム（ＩＤＰＳ）（及び対応する方法）を提供してもよい。当該方法は、データベース（又はレポジトリ）を提供するステップを有してもよい。データベースは、“通常”ユーザ、すなわち、正当及び／又は登録されたユーザのためのプロファイルを格納してもよい。これは、正当なユーザに利用されるか、あるいは利益のあるトラフィックに関連するリファレンスデータを提供してもよい。データベースは、既知の攻撃者又は攻撃なのグループに関連するデータ（プロファイル）を格納してもよい。それは、攻撃者の分類データ、コードシグネチャなどを格納してもよい。それは、例えば、ハニーポット／ネットコンフィギュレーションパラメータなどの攻撃防止データを格納してもよい。

データベースは、データマネージャによって管理されうる。複数のユーザが、例えば、ネットワークを介しデータマネージャと通信してもよい。中央化されたデータベースは、攻撃者シグネチャ及び／又はプロファイルなどの情報をユーザ又はユーザらのシステムに提供してもよい。これは、提供された攻撃者プロファイル又はシグネチャとネットワーク上のトラフィックとをユーザがマッチングすることを可能にしうる。互いの有益な情報によって共有レポジトリを実現することは、参加者が現在の攻撃者を特定及び応答するだけでなく、他の参加者によって収集されたデータに基づき潜在的な攻撃者に対して自らを効果的に守ることを可能にする。１つ以上の実施例では、参加ユーザは、レポジトリに登録又は加入してもよい。

データマネージャは、単一の計算デバイスであってもよいし、あるいは、分散計算、グリッド計算又はクラウド計算を可能にするための複数の計算デバイス又はプロセッサを含む計算ネットワークであってもよい。データベースは、通信リンクを介しデータマネージャに接続されてもよい。あるいは、データベースは、データ処理時間を低減するためのデータマネージャの一部であってもよい。他の実施例では、データベースは、通信ネットワークを介しデータマネージャに接続されてもよい。通信ネットワークは、ワイドエリアネットワーク（ＷＡＮ）などの何れかの形態の既知のネットワークであってもよい。データベースは、データベース上で実行されるデータベース管理システム（ＤＢＭＳ）に従って動作してもよい。それは、異なるＤＢＭＳに基づき動作する複数のサブデータベースを含んでもよい。

データマネージャは、いくつかのサービスを提供することによってデータベースを管理してもよい。これらは、
ＩＤＰＳのユーザから受信したネットワークトラフィックデータを受信、処理及びログし、複数のユーザのトラフィックデータをソースとする単一のデータリソースを形成するため、ネットワークトラフィックデータによって中央化されたデータベースを更新するステップ、
例えば、特定の攻撃者に適したハニーポットコンフィギュレーションの形式によってプロテクションパラメータを決定するステップ、及び／又は
中央化されたデータベース上の共有情報へのアクセスをユーザに提供するステップ、
ユーザが攻撃者を特定し、適切なプロテクションパラメータを実現することを可能にするステップを含んでもよい。

データマネージャは、認証されたユーザからのリクエストがトラフィックプロファイルデータに対するリクエストに関連するか、あるいは、リクエストの目的が処理及びログのためにトラフィックデータを提供することであるかを判断してもよい。

未処理のトラフィックデータが、データマネージャによって受信されてもよい。この未処理のデータは、そのまま未処理形式でログされてもよい。さらに又はあるいは、それはまた、トラフィックを通常ユーザトラフィック又は攻撃者トラフィックに関連するとして分類するため処理されてもよい。これは、例えば、シグネチャベース又はアノマリベース検出、ステートフル検出及びアプリケーションレベル検出などを含む何れか既知の検出方法及びツールの利用を伴うものであってもよい。

本発明は、データベースと通信しうるシステムプロテクションシステム（ＳＰＳ）を有してもよい。これは、データベースとの直接的な通信であってもよいし、あるいは、データマネージャを介してもよい。本発明は、入力されたリクエストが正当な参加者（ユーザ）又は悪意のある／未認証の第三者（攻撃者）から発信されているか判断するよう構成されてもよい。本発明はまた、リクエストに対するレスポンスを決定するよう構成されてもよい。リクエストが攻撃者からであると判断された場合、本発明は、バーチャルなハニーポット及び／又はハニーネット（すなわち、デコイ）及びデータベースを生成してもよい。データベースは、改良された、又は偽のデータベースであってもよい。それは、商業的又は機密性の高いセンシティブでないデータを含んでもよい。それはランダム化されたデータであってもよい。本発明は、ハニーポット及び偽のデータベースにリクエストのソースを誘導するよう構成されてもよい。

複数の攻撃者が特定された場合、複数のハニーポット及び各自のデータベースが生成されてもよい。ハニーポットを作成及び／又は構成するのに利用されるパラメータは、データベースから受信した攻撃者情報に基づきＳＰＳによってローカルに決定されてもよい。あるいは又は加えて、ハニーポットパラメータがデータベースから取得されてもよい。他の攻撃者プロファイルデータがまた、データベースから取得されてもよい。

上述した何れかの特徴はまた、後述される実施例に適用可能であってもよい。

さらに又はあるいは、本発明は、コンピュータにより実現される方法であって、
攻撃者プロファイル情報を受信するステップ、
ネットワークアドレスへのトラフィックを監視するステップ、
監視されたトラフィックを攻撃者プロファイル情報と比較するステップ、
監視されたトラフィックが攻撃者に関連すると判断すると、コンピュータデコイのコンフィギュレーション情報を抽出するステップ、及び／又は、
抽出されたコンフィギュレーションに基づきコンピュータデコイを設定するステップを有する方法を提供してもよい。

攻撃者プロファイル情報は、コンフィギュレーション情報を含んでもよい。コンピュータデコイを設定するステップは、コンピュータデコイを作成し、及び／又はコンピュータデコイを再設定することを含んでもよい。デコイは、ハニーポット又はハニーネットとして参照されうる。

さらに又はあるいは、コンピュータにより実現される方法であって、
ネットワークトラフィックデータを受信、処理及びログするステップ、及び／又は
処理されたネットワークトラフィックデータに基づき、ネットワークトラフィックが攻撃者から発信されたと判断し、分類を決定し、分類に基づきデコイコンフィギュレーションを決定するステップ、
有効なユーザからのリクエストを受信すると、決定されたリスク分類及びデコイコンフィギュレーションをユーザに提供するステップ、
を有する方法を提供してもよい。当該リクエストは情報リクエストであってもよい。

分類の決定は、例えば、マルチレイヤパーセプトロン（ＭＬＰ）などの教師有り学習パターン認識を利用してもよい。当該分類は、攻撃者分類、コンピュータシステム／ネットワークリスク分類又はトラフィック分類であってもよい。

当該分類は、攻撃者の精巧化に関連するリスク又は重大性の分類であってもよい。例えば、特定の行動は相対的に小さな脅威であるとみなされる攻撃者に関連付けされる一方、より精巧な行動は潜在的により危険であるとみなされる攻撃者に関連付けされてもよい。

攻撃者分類の決定は、例えば、攻撃者によって何れのサービスがリクエストされたかに閾値が基づく場合、攻撃者の行動に関連する閾値に応じて生成されたトラフィックのタイプ又は攻撃者のタイプを分類することを含んでもよい。

さらに又はあるいは、特定の計算システム又はローカルネットワークのリスク特性が、ネットワークトラフィックから決定されてもよく、攻撃のリスクがネットワークトラフィック特性に関するシステム／ネットワークコンフィギュレーションに与えられる。分類は、ニューラルネットワーク、パーセプトロン、又はランダムフォレストアルゴリズムなどを利用したツリー学習法などの学習法によって未処理のトラフィックデータを処理することによって実行されてもよいし、あるいは、ルールベースであってもよい。例えば、パーセプトロンベースのニューラルネットワーク（例えば、マルチレイヤパーセプトロンＭＬＰ）に基づく教師有り学習パターン認識を利用するとき、各入力に対して１つのニューロンを有する入力レイヤが、ＩＰオプション、マルウェア及びバッファオーバフロー状態について、選択された攻撃などをマッピングするのに利用されてもよい。パーセプトロンのシステムは、入力の組み合わせを表し、各ニューロンが予想される以降のデータ、以前のデータ及び外部のシステムデータと結合される現在データに基づきレスポンスを計算する隠れニューロンレイヤを用いて処理されてもよい。このレベルで処理されるデータは、出力レイヤに提供されてもよい。ニューラルネットワークの結果は、リスクファンクションなどとして出力を提供してもよい。パーセプトロンは、本発明について選択されたリスクファクタをモデル化し、経時的に訓練及び更新されたベースリスクを計算するのに利用されてもよい。

本発明の一態様又は実施例に関して上述された何れかの特徴はまた、上述された他の何れかの態様又は実施例に関して適用可能であって、関連していてもよい。

本明細書を通じて、“有する”という単語又はその変形は、他の何れかの要素、整数若しくはステップ又は要素、整数若しくはステップのグループを排除することなく、説明された要素、整数若しくはステップ又は要素、整数若しくはステップのグループの包含を意味すると解釈される。

本開示の実施例が、添付した図面を参照して具体例によってここで説明される。
侵入検出防止システム（ＩＤＰＳ）の実施例の概略表現である。 トラフィックデータ管理のための一例となるコンピュータシステムを示す。 ＩＤＰＳの実現形態の実施例の概略表現である。 ＩＤＰＳを提供する方法の実施例を説明するフロー図である。 侵入検出防止システムを利用する方法の実施例を説明するフロー図である。 図面において、同様の参照番号は同様のパーツを示す。

コンピュータシステム又はネットワークが攻撃されるとき、典型的な応答は、ファイアウォールを用いて攻撃をブロックすることであり、いくつかの具体例では、攻撃者をハニーポットに接続することである。これらの攻撃の詳細は他のパーティと共有されず、実行される全ての攻撃は独立して処理される。他のグループと情報は共有されず、この共有の欠如は、攻撃者が脆弱なターゲットを検出するため、複数のネットワークにわたって同一の攻撃戦略を実現することを簡単且つ経済的なものにする。

従って、コンピュータベースデバイス及びネットワークと、そこに格納されるデータのためのエンハンスされたプロテクションを提供する改良されたセキュリティ手段が必要とされる。

図１は、データマネージャ１０４によって管理される中央化されたデータベース１０２を提供することによって、この欠点に対処する侵入検出防止システム（ＩＤＰＳ）１００を示す。複数のユーザ１０６，１０８，１１０が、例えば、ネットワーク１１２を介しデータマネージャ１０４と通信する。中央化されたデータベース１０２は、攻撃者のプロファイルと自らのネットワーク上のトラフィックとをマッチングさせることが可能なユーザ１０６，１０８，１１０の個別のシステムに攻撃者のシグネチャなどの情報を提供する。相互に有用な情報を備えた共有されたデータベースを実現することは、加入ユーザ１０６，１０８，１１０が現在の攻撃者を特定及び応答するだけでなく、他のユーザによって収集されたデータに基づき潜在的な攻撃者に対して自らを効果的に守ることを可能にする。

データマネージャ１０４は、単一の計算デバイスであってもよいし、あるいは、分散計算、グリッド計算又はクラウド計算を可能に得する複数の計算デバイス又はプロセッサを含む計算ネットワークであってもよい。

データベース１０２は、図１において、通信リンクを介しデータマネージャ１０４に接続されるとして示される。しかしながら、データベース１０２は、データ処理時間を減少させるためのデータマネージャ１０４の一部であってもよい。他の例では、データベース１０２は、本開示の範囲から逸脱することなく、通信ネットワーク１１２を介しデータマネージャ１０４に接続されてもよい。

中央化されたデータベース１０２は、データベース１０２上で実行されるデータベースマネージメントシステム（ＤＢＭＳ）に従って動作する。ＤＢＭＳは、Microsoft SQL, Oracle, Sybase, IBM DB2, MySQL又はOrient DBを含んでもよい。中央化されたデータベース１０２は、異なるＤＢＭＳに基づき動作する複数のサブデータベースを含んでもよい。

通信ネットワーク１１２は、典型的には、ワイドエリアネットワーク（ＷＡＮ）であり、ワイヤラインネットワーク、セルラ通信ネットワーク、ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）、光通信ネットワークなどの何れか適したタイプのネットワークを利用して実現されてもよい。通信ネットワーク１１２は、例えば、インターネットなど、適したネットワークの組み合わせであってもよい。通信ネットワーク１１２はまた、具体的にはＩＤＰＳ１００のために構築されるプライベート通信ネットワークとすることが可能である。

図２は、本開示によるデータ管理のための一例となるコンピュータシステム１２０を示す。コンピュータシステム１２０は、上述したデータマネージャ１０４の一例となる構成を表す。

コンピュータシステム１２０は、ストレージデバイス１２６、メモリデバイス１２４、通信インタフェース１２８及びプロセッサ１２２を含む。コンピュータ１２０は更に、ストレージデバイス１２６、メモリデバイス１２４、通信インタフェース１２８及びプロセッサ１２２を接続するバス１３０を含む。

ストレージデバイス１２６は、複数のユーザから受信した通常のユーザ及び攻撃者のトラフィックデータを含むトラフィックデータを格納するよう構成される。ストレージデバイス１２６はコンピュータシステム１２０の一部として示されるが、ストレージデバイス１２６は、例えば、図１に示される中央化されたデータベース１０２など、コンピュータシステム１２０に接続される別のエンティティであってもよい。

メモリデバイス１２４は、図４及び５を参照して説明されるように、データマネージャ１０２の処理に関連する命令を格納するよう構成される。これらの命令は、プロセッサ１２２によって実行されると、ＩＤＰＳを動作及び利用するこれらの方法をプロセッサ１２２に実行させるコンピュータソフトウェアプログラムに含まれるマシーン可読命令として実現される。

通信インタフェース１２８は、コンピュータシステム１２０と通信ネットワーク１１０との間のリンクを介し、通信ネットワーク、特に、図１に示されるような通信ネットワーク１０２に接続するよう構成される。

プロセッサ１２２は、メモリデバイス１２４、ストレージデバイス１２６及び通信インタフェース１２８に接続される。プロセッサ１２２は、ＩＤＰＳの動作及び利用においてメモリデバイス１２４から命令を取得するよう構成される。

図２に示される具体例では、ストレージデバイス１２６、メモリデバイス１２４及びプロセッサ１２２は、例えば、Windows Server, Mac OS X Server, Linux（登録商標）, Unix, Windows及びMac OSなどのシステムを実行するコンピュータに従って動作するよう構成される。

プロセッサ１２２は、汎用の中央処理ユニット（ＣＰＵ）であってもよく、メモリデバイス１２４に格納される命令は、HyperText Markup Language (HTML), HTML5, JavaScript（登録商標）及びJQueryのプログラミング言語の１つ以上によって規定される。命令はまた、JAVA（登録商標）, Python及びPHPのプログラミング言語の１つ以上によって規定されてもよい。命令はまた、Objective-C, C++, C及びSwiftのプログラミング言語の１つ以上によって規定されてもよい。

図３は、図１を参照して上述されたようなＩＤＰＳサービスを利用するコンピュータネットワーク２００の一例を示す。言例では、ネットワーク２０２から受信したユーザリクエストは、リアルサーバ２０６がプロダクションデータベース２０８へのアクセスを提供するコンピュータネットワーク２００にサーバプロテクションシステム（ＳＰＳ）２０４を介しわたされる。もちろん、異なるタイプのサービスを提供する多数の異なるタイプのネットワークが、ＩＤＰＳとの通信においてＳＰＳを利用可能である。

ＳＰＳ２０４は、図２を参照して上述された一例となるコンピュータシステム１２０などのコンピュータシステム上で実現されてもよい。メモリデバイス１２４は、そのときＳＰＳ２０４の処理に関連する命令を格納するよう構成される。これらの命令は、プロセッサ１２２によって実行されるとき、後述されるＳＰＳ２０４をプロセッサ１２２に実現させるコンピュータソフトウェアプログラムに含まれるマシーン可読命令として実現される。

ＳＰＳ２０４は、中央化されたデータベース１０２からの情報へのアクセスを有する。図３に示されるように、中央化されたデータベース１０２は、上述されたようにユーザ２１０のコミュニティからのデータを利用して更新される。データベース１０２からのトラフィックパターンデータは、受信したユーザリクエストが通常のユーザからか、あるいは、攻撃者からか判断するためにＳＰＳ２０４によって利用される。ユーザリクエストが攻撃者からのものである場合、ＳＰＳ２０４は、バーチャルなハニーポット２１２及び変換されたデータベース２１４を生成し、攻撃者を当該ハニーポット２１２及び実際のものであるように見える偽のデータベース２１４に誘導する。

複数の攻撃者が特定された場合、複数のハニーポット２１６，２１８及び各自の変換されたデータベース２２０，２２２が生成されてもよい。ハニーポットを作成及び／又は構成するのに利用されるパラメータは、データベース１０２から受信される攻撃者情報に基づき、ＳＰＳによってローカルに決定されてもよい。あるいは又はさらに、ハニーポットパラメータは、他の攻撃者プロファイルデータと一緒にデータベース１０２から取得されてもよい。

ＳＰＳ２０４は、図３に示される具体例に示されるように、必要に応じて情報を抽出するため、データベース１０２と直接通信してもよい。図５に示される例（何れかにおいてより詳細に説明される）では、データベース１０２とＳＰＳ２０４との間の通信はデータマネージャ１０４を介したものであり、データマネージャ１０４は、情報がＳＰＳ２０４に提供されるコンテンツ及びフォーマットを管理する。ＳＰＳ２０４に提供されるサービスを管理する１つの方法は、加入ユーザ（ＳＰＳ所有者）が関連付けされる加入サービスプロファイルに従う。

図４は、図１に示されるようなＩＤＰＳを提供する方法３００の一例を説明するフロー図である。ステップ３０２において、データマネージャ１０４は、例えば、接続がなされたとき、特定及び認証される加入ＳＰＳなどの認証されたユーザから接続リクエストを受信する。

データマネージャ１０４は、
（１）ＩＤＰＳのユーザから受信したネットワークトラフィックデータを受信、処理及びログし、複数のユーザのトラフィックデータをソースとする単一のデータリソースを形成するため、ネットワークトラフィックデータによって中央化されたデータベースを更新すること、
（２）例えば、特定の攻撃者に適したハニーポットコンフィギュレーションの形式によるプロテクションパラメータを決定すること、
（３）中央化されたデータベース１０２上の共有された情報へのアクセスをユーザに提供し、ユーザが攻撃者を特定し、更に適切なプロテクションパラメータを実現することを可能にすること、
を含む多数のサービスを提供することによって中央化されたデータベース１０２を管理する。

ステップ３０４において、データマネージャ１０４は、認証されたユーザからの接続リクエストがトラフィックプロファイルデータに対するリクエストに関連するか３０６、あるいは、トラフィックデータが処理及びログのために提供されているか３０８を判断する。

ステップ３１０において、未処理のトラフィックデータ３１２がデータマネージャ１０４によって受信される。この未処理のデータは、そのままログされてもよいが、当該データはまたいくつかの事を決定するため処理される。

第１に、通常ユーザトラフィック又は攻撃者トラフィックに関連するとしてトラフィックを分類するため、データが解析される。侵入検出システムは、シグネチャベース若しくはアノマリベース検出、ステートフル検出及びアプリケーションレベル検出を含む何れかの数の検出方法及びツールに依拠してもよい。アノマリベース検出は、例えば、ネットワークトラフィックボリューム、パケットカウント、ＩＰフラグメント、ＩＰＩＤ、ＩＰオプション、ＩＰヘッダ情報などに関連するなど、ローカルネットワーク環境を記述するのに選択される閾値に依拠してもよい。例えば、攻撃者トラフィックの典型的なインジケータは、トラフィックが未使用又は制限されているＩＰアドレスに向かうか、あるいは、ターゲットネットワークによって制限されるか、あるいは提供されないサービスがリクエストされているかである。ソースが攻撃者からのものであるか判断するためトラフィックデータから抽出される他の情報は、ＩＰアドレスブラックリストから知られているＩＰアドレス、攻撃者に関連するコードシグネチャ及びネットワークスキャン動作の１つ以上を含んでもよい。

トラフィックが攻撃者に関連すると判断された場合、いくつかの実現形態では、攻撃者のタイプ又は分類を確認するためにデータを更に解析することが可能であってもよい。当該分類は、攻撃者の精巧化に関連するリスク又は厳格さの分類であってもよい。例えば、特定の行動は低減された脅威の攻撃者に関連するものであってもよい一方（例えば、所有者に知られている脆弱性が攻撃者によって利用されていない場合のスクリプトキディ（script kiddie）など）、より精巧な行動はより危険な攻撃者と関連付けされてもよい（例えば、コードシグネチャなどの隠れインジケータを見破る熟練したハッカなど）。

攻撃者分類の決定は、例えば、何れのサービスが攻撃者によってリクエストされているかに閾値が基づいている場合など、攻撃者の行動に関連する閾値に依存して生成されるトラフィックのタイプ又は攻撃者のタイプを分類することを含んでもよい。

さらに又はあるいは、特定の計算システム又はローカルネットワークのリスク特性はネットワークトラフィック、すなわち、ネットワークトラフィック特性の観点においてシステム／ネットワークコンフィギュレーションに与えられる攻撃のリスク、から決定されてもよい。

分類はルールベースであってもよいし、あるいは、例えば、ランダムフォレストアルゴリズムを利用して、ツリー学習法、パーセプトロン又はニューラルネットワークなどの学習法によって未処理のトラフィックデータを処理することによって実行されてもよい。例えば、パーセプトロンベースのニューラルネットワーク（例えば、マルチレイヤパーセプトロンMLP）に基づく教師有り学習パターン認識を利用するとき、各入力に対して１つのニューロンを有する入力レイヤが、ＩＰオプション、マルウェア及びバッファオーバフロー条件に対して、選択された攻撃などをマッピングするのに利用される。パーセプトロンのシステムは、各ニューロンが入力の組み合わせを表し、予想される以降のデータ、以前のデータ及び外部システムデータと結合した現在データに基づきレスポンスを計算する隠れニューロンレイヤを用いて処理される。このレベルにおいて処理されるデータは出力レイヤに提供される。ニューラルネットワークの結果は、例えば、リスクファンクションとして出力を供給する。パーセプトロンは、本システムにおける計算の主力であり、システムについて選択されたリスクファクタをモデル化し、経時的に訓練及び更新されるベースリスクを計算するのに利用可能である。

システムの処理又はユーザのアクションを監視するとき、それ以上又は以下ではアラート、アラーム及び例外が報告されない閾値が特徴的に規定される。このアクティビティの範囲は、ベースライン又はルーチンアクティビティとしてみなされる。このようにして、既存及び既知の変数に基づきデータを計算するだけでなく、外部ソース及びトレンドを用いて自動的に更新するリスクファンクションが作成可能である。本例では、外部ソースは、外部のトレンド及び相関ポイントを提供するユーザ２１０のコミュニティから収集されるデータを表す。

第２に、ステップ３１０において、トラフィックデータのソースを決定するのに加えて（通常データｖｓ攻撃者データ）、データマネージャ１０４はまた、例えば、攻撃者の行動の既知の特徴に基づきルックアップテーブルを利用するなど、適切なレスポンスを決定する。いくつかの実現形態では、レスポンスは、ハニーポットの作成及び／又はコンフィギュレーションを含み、これにより、攻撃者トラフィックはリダイレクト可能であり、この結果、プロダクションネットワークを保護し、更に特定の攻撃者に関する更なる情報を抽出するための機会を提供する。ステップ３１４において、ハニーポットコンフィギュレーションパラメータは、攻撃者プロファイルと一緒にデータベース３１６に格納される。

通常ユーザからのプロファイルがまた格納され、真のユーザのリファレンストラフィックデータを提供する。

認証されたユーザからの接続リクエストがトラフィックプロファイルデータ３０６に対するリクエストに関連する場合、ステップ３１８において、プロファイルデータはデータベース３１６から抽出され、プロファイルパッケージ３２０が認証されたユーザに提供される。

プロファイルパッケージ３２０のコンテンツは、データマネージャ１０４によって管理されるように、認証されたユーザの情報の権利又は要件に依存する。プロファイルパッケージは、データベース３１６上のトラフィックデータの包括的な編集であってもよく、この場合、データベース上の全ての情報に対する直接的なアクセスがユーザに提供されてもよい。あるいは、プロファイルパッケージは、特定のユーザの関連性又は要件に応じてトラフィックデータの一部のみを含んでもよい。例えば、一実現形態では、データリクエストは、特定の攻撃者のプロファイル（例えば、発信元のＩＰアドレスに基づく）及び当該攻撃者に関連する情報に対するものであってもよい。そのようなリクエストに対して、プロファイルパッケージ３２０は、攻撃者の身元に関連する情報（例えば、攻撃者の行動ファイル、攻撃者の分類、コードシグネチャなど）を含み、また、攻撃防止情報（例えば、ハニーポットコンフィギュレーションパラメータ）を含む。

認証されたユーザに提供されるデータはまた、例えば、異なるフォーマット（例えば、特定の攻撃者のプロファイル又は攻撃者のプロファイルのグループ）による通常ユーザのプロファイル又は攻撃者のプロファイルなど、データベースから利用可能な他の情報を含んでもよい。

図５は、ＩＤＰＳ１００を実現する一例となる方法４００のフロー図を示す。局所的には、ＳＰＳ２０４は、ユーザシステム（例えば、図１に示されるようなユーザ１０６，１０８，１１０）とＩＤＰＳ１００のデータマネージャ１０４との間のインタフェースをとる。ステップ４０２において、ＳＰＳ２０４は、トラフィックを監視し、ステップ４０４において、ＩＤＰＳから受信されたデータ３２０に基づきトラフィックのソース（通常ユーザｖｓ攻撃者）を決定する。受信したＩＤＰＳデータは、図４を参照して上述されたような１つ以上のプロファイルパッケージであり、これにより、ステップ４０６において、攻撃者が特定された場合、ステップ４０８において、プロテクションレスポンスがプロファイルパッケージにおける情報に基づき実現される。当該情報は、例えば、ＩＤＰＳによって提供されるハニーポットコンフィギュレーションパラメータなどを含む。ハニーポットが作成、設定及び／又は再設定されると、ステップ４１０において、攻撃者のトラフィックがハニーポットに送信される。

ステップ４１２において、攻撃者の行動を記述するトラフィックデータが、未処理のトラフィックデータ３１２をＩＤＰＳに提供することによってログされる。同様に、トラフィックのソースが（攻撃者でなく）通常ユーザであると判断された場合、ステップ４１４において、この通常トラフィックデータがログされる。ステップ４１６において、通常トラフィックがリアルサーバ（例えば、図３におけるリアルサーバ２０６）に転送される。

共有トラフィックデータの中心のリソースを提供することは、攻撃者（すなわち、それら自らのネットワークトラフィック）に関する単一の情報ソースに依拠するスタンドアローンシステムと比較したとき、攻撃者に対するコンピュータシステムのレスポンス時間及び効率性を向上させる。

多数の変形及び／又は修正が、本開示の広範な一般的範囲から逸脱することなく上述した実施例に対して行われうることが、当業者によって理解されるであろう。従って、本実施例は、全ての点において限定的でなく例示的であるとみなされるべきである。

１０２ 中央化されたデータベース
１０４ データマネージャ
１０６、１０８、１１０ ユーザ
１１２ ネットワーク

Claims (11)

1. 侵入検出プロテクションシステム（ＩＤＰＳ）を提供する方法であって、前記方法は、
   データマネージャにより管理される中央化されたデータベースを提供するステップを含み、
   前記データマネージャは、前記中央化されたデータベースを、
   前記ＩＤＰＳのユーザから受信したネットワークトラフィックデータを受信し、処理し及びログし、複数のユーザのトラフィックデータをソースとする単一のデータリソースを形成するため、前記ネットワークトラフィックデータにより前記中央化されたデータベースを更新し、
   特定の攻撃者に適するハニーポットコンフィギュレーションの形式でプロテクションパラメータを決定し、
   ユーザに前記中央化されたデータベース上の情報を共有するためのアクセスを提供して、前記ユーザが攻撃者を識別し及び適切なプロテクションパラメータを実装できるようにする、
   ことにより管理する、方法。
2. 前記データマネージャが、認証されたユーザからリクエストを受信するステップと、
   前記認証されたユーザからの前記リクエストが、トラフィックプロファイルデータに関連するかどうか、又は前記リクエストの目的が処理及びログのためにトラフィックデータを提供することであるかどうかを決定するステップと、
   を更に含む請求項１に記載の方法。
3. 前記データマネージャにおいて、未処理トラフィックデータを受信するステップであって、前記未処理トラフィックデータは、未処理形式でログされる、ステップ、を更に含む請求項１又は２に記載の方法。
4. トラフィックが通常ユーザトラフィック又は攻撃者トラフィックに関連するとして分類するために、前記未処理トラフィックデータを処理するステップ、を更に含む請求項３に記載の方法。
5. 前記データベースと通信し、入力されたリクエストが正当なユーザ又は攻撃者から生じているかを決定するよう構成されるシステムプロテクションシステム（ＳＰＳ）、を更に含む請求項１～４のいずれかに記載の方法。
6. 前記リクエストが攻撃者からであると決定され、バーチャルなハニーポット及び／又はハニーネットと、改良された又は偽のデータベースである偽データベースと、を生成するステップと、
   前記ハニーポット及び／又は前記ハニーネットと前記偽データベースに前記リクエストのソースを誘導するステップと、
   を含む請求項５に記載の方法。
7. 前記偽データベースは、センシティブなデータではない及び／又はランダム化されたデータであるデータを含む、請求項６に記載の方法。
8. 前記ハニーポットを生成する及び／又は構成するために使用されるパラメータは、前記データベースから受信した攻撃者情報に基づき、前記ＳＰＳによりローカルに決定される、請求項６又は７に記載の方法。
9. 複数のユーザが前記データマネージャとネットワークを介して通信する、請求項１～８のいずれかに記載の方法。
10. 前記データマネージャは、単一のコンピューティング装置、又は分散型コンピューティング、グリッドコンピューティング若しくはクラウドコンピューティングを可能にする複数のコンピューティング装置若しくはプロセッサを含むコンピューティングネットワークである、請求項１～９のいずれかに記載の方法。
11. 前記データベースは、通信リンクを介して前記データマネージャに接続される、又は前記データマネージャの一部である、請求項１～１０のいずれかに記載の方法。

Images