JP7366320B1 - 情報処理システム、情報処理方法および情報処理プログラム - Google Patents

Abstract

情報処理システム（１）は、オーバレイネットワークを構成する装置である上位ＮＷ装置（１００）とアンダーレイネットワークを構成する装置である下位ＮＷ装置（２００）とからなる情報処理システムであって、上位ＮＷ装置（１００）は、不正な通信を検知し、検知された不正な通信の情報を下位ＮＷ装置（２００）に通知し、下位ＮＷ装置（２００）は、下位ＮＷ装置（２００）に接続される端末の通信に関する情報を取得し、通知された不正な通信の情報と接続先アドレスが同一であるアンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを判定し、判定したバラツキ度合いに応じて、通知された不正な通信の情報を不正な通信として遮断する。

Description

本発明は、情報処理システム、情報処理方法および情報処理プログラムに関する。

従来、パソコンやサーバ等、末端の端末におけるセキュリティ対策技術が存在する。例えば、ＥＤＲ（Endpoint Detection and Response）により末端での不審な通信や挙動を検知する技術が知られている。

ICT Business Online 意外と知らない？ITトレンド用語 EDRとは、[２０２３年６月２０日検索]、インターネット（https://www.ntt.com/bizon/glossary/e-e/edr.html）

従来技術においては、コスト面、セキュリティ面における問題が存在していた。例えば、ＥＤＲの場合、各端末に対して配備が必要なため高コストである。また、ＥＤＲを配備できないＯＡ（Office Automation）機器やＩｏＴ（Internet of Things）端末では対策が行われず、セキュリティリスクが残る。さらには、正常に機能している端末を不正端末として誤検知、または、正常に機能している端末からの正常な通信先を不正な通信先と誤検知する場合がある。

本発明は、上記に鑑みてなされたものであって、セキュリティの向上およびコストの低下を実現するための情報処理システム、情報処理方法および情報処理プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明の情報処理システムは、オーバレイネットワークを構成する装置である上位ＮＷ（network）装置とアンダーレイネットワークを構成する装置である下位ＮＷ装置とからなる情報処理システムであって、前記上位ＮＷ装置は、不正な通信を検知する検知部と、前記検知部により検知された前記不正な通信の情報を前記下位ＮＷ装置に通知する通知部とを有し、前記下位ＮＷ装置は、前記下位ＮＷ装置に接続される端末の通信に関する情報を取得する取得部と、前記通知部により通知された前記不正な通信の情報と接続先アドレスが同一である前記アンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを判定する判定部と、前記判定部により判定された前記バラツキ度合いに応じて、前記通知部により通知された前記不正な通信の情報を前記不正な通信として遮断する遮断部とを有することを特徴とする。

本発明によれば、セキュリティの向上およびコストの低下を実現することができる。

図１は、従来技術について説明するための図である。 図２は、実施形態に係る情報処理システムの構成の一例を説明するための図である。 図３は、実施形態に係る上位ＮＷ装置の構成の一例を説明するための図である。 図４は、実施形態に係る下位ＮＷ装置の構成の一例を説明するための図である。 図５は、実施形態に係る情報処理システムによる処理の概要を説明するための図である。 図６は、実施形態に係る情報処理システムによる検知処理と判定処理の一例を説明するための図である。 図７は、実施形態に係る情報処理システムによる検知処理と判定処理の一例を説明するための図である。 図８は、実施形態に係る情報処理システムによる検知処理と判定処理の一例を説明するための図である。 図９は、実施形態に係る情報処理システムによる遮断処理の一例を説明するための図である。 図１０は、実施形態に係る情報処理システムによる遮断処理の一例を説明するための図である。 図１１は、実施形態に係る情報処理システムによる処理の流れの一例を説明するためのフローチャートである。 図１２は、情報処理プログラムを実行するコンピュータの例を示す図である。

以下、図面を参照して、本願に係る情報処理システム、情報処理方法および情報処理プログラムの実施形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示しており、重複する説明は省略される。

［従来技術］
まず、図１を用いて、従来技術について説明する。図１は、従来技術について説明するための図である。

なお、以下では、オーバレイネットワークを構成する装置を上位ＮＷ装置と記載し、アンダーレイネットワークを構成する装置を下位ＮＷ装置と記載する。ここで上位ＮＷ装置とは、例えば、クラウドプロキシサーバやＵＴＭ（Unified Threat Management）のことをいう。また、下位ＮＷ装置とは、例えば、ＤＰＩ（Deep Packet Inspection）、ルータ、スイッチなどのネットワーク機器のことをいう。

従前のセキュリティ対策は、信頼できる「内側」と信頼できない「外側」にネットワークを分け、その境界線で対策を講じることが行われていた。例えば、内側のネットワークとしては、社内ＬＡＮ（Local Area Network）やＶＰＮ（Virtual Private Network）で接続されたデータセンタなどが該当し、外側のネットワークとしては、インターネットが該当する。例えば、境界線で講じられる対策として、境界線にファイアウォールやプロキシー、ＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）などのセキュリティ機器を設置し、通信の監視や制御を行うことで外部からのサイバー攻撃を遮断する。

こうした従前のセキュリティ対策は、保護すべきデータやシステムがネットワークの内側にあることを前提としている。しかし、クラウドが普及したことにより、外側であるインターネット上に保護すべきものがある状況が珍しくない。このように、守るべき対象がさまざまな場所に点在するようになったことで境界が曖昧になり、従来の考え方では十分な対策を講じることが難しくなりつつある。

そこで広まっているのがゼロトラストの考え方である。ゼロトラストセキュリティサービスにおいては、すべての通信を信頼しないことを前提に、さまざまなセキュリティ対策を講じている。具体的には、ネットワークの内外に関わらない通信経路の暗号化や多要素認証の利用などによるユーザ認証の強化、ネットワークやそれに接続される各種デバイスの統合的なログ監視などが挙げられる。ゼロトラストを実現するためのセキュリティソリューションはすでに多数登場している。例えば、クライアント装置の監視とログの分析によりサイバー攻撃の早い検知と対処を可能にするＥＤＲなどを設けることが行われている。

パソコンやサーバ等、末端の端末におけるセキュリティ対策技術として、ＥＤＲにより末端での不審な通信や挙動を検知する技術が知られている。

しかしながら、従来技術においては、コスト面、セキュリティ面における問題が存在する。例えば、ＥＤＲの場合、各端末に対して配備が必要なため高コストである。また、ＥＤＲを配備できないＯＡ機器やＩｏＴ端末では対策が行われず、セキュリティリスクが残る。さらには、正常に機能している端末を不正端末として誤検知する場合がある。

そこで、以下に記載する本実施の形態の情報処理システム１は、オーバレイネットワークを構成する装置である上位ＮＷ装置１００とアンダーレイネットワークを構成する装置である下位ＮＷ装置２００とからなる情報処理システムであって、上位ＮＷ装置１００は、不正な通信を検知し、検知された不正な通信の情報を下位ＮＷ装置２００に通知し、下位ＮＷ装置２００は、下位ＮＷ装置２００に接続される端末の通信に関する情報を取得し、通知された不正な通信の情報と接続先アドレスが同一であるアンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを判定し、判定されたバラツキ度合いに応じて、通知された不正な通信の情報を不正な通信として遮断する。

このような情報処理システムにより、コストの低減およびセキュリティの向上といった効果が得られる。また、不正な通信を行う端末からの通信を遮断することで、ＮＷ全体を遮断することなく、機器単位で通信を制御することにより、ＮＷの可用性を確保しつつ、堅牢なセキュリティを実現する。

また、情報処理システム１では、リモートワーク等の新しい働き方やＩｏＴ等の活用による新たな事業拡大によって一層複雑化、サイバーリスクの高まるＩＣＴ（Information and Communication Technology）環境に対し、アンダーレイＮＷとオーバレイＮＷが連携して防御する、回線事業者（キャリア）ならではのゼロトラストセキュリティサービスを提供する。

情報処理システム１は、オーバレイＮＷの機能とアンダーレイＮＷの機能が密接に連携したセキュアなＮａａＳ（Network as a Service）型ＩＣＴサービスを提供する。この情報処理システム１のサービスを受ける企業は、ＩＴ（Information Technology）ベンダー委託にコストを費やしたり、ＮＷ設計に掛かるコストを掛けたりすることなく、管理ポータルサイトから申し込むことで、即時に、本情報処理システム１のサービスの開始、変更、解約が容易に可能となり、設計から運用の稼働に係るコストを削減することが可能である。

また、情報処理システム１では、オーバレイＮＷとアンダーレイＮＷとを同一事業者が提供している。また、情報処理システム１を利用する利用者は、例えば、オーバレイＮＷのみの利用し、アンダーレイＮＷは他社を利用する等の柔軟な利用を可能とする。

［情報処理システムの構成］
次に、図２を用いて、情報処理システム１の構成について説明する。図２が示すように、情報処理システム１は、上位ＮＷ装置１００と、下位ＮＷ装置２００とを有する。以下、これら各装置について説明する。なお、情報処理システム１において、上位ＮＷ装置１００と下位ＮＷ装置２００とは、それぞれ一つである場合に限定されるものではなく、複数設けられていてもよい。

上位ＮＷ装置１００は、情報処理システム１の上位のネットワークを制御する装置である。上位ＮＷ装置１００は、不正な通信を検知し、下位ＮＷ装置２００に通知する。

下位ＮＷ装置２００は、情報処理システム１の下位のネットワークを制御する装置である。下位ＮＷ装置２００は、上位ＮＷ装置１００から通知された不正な通信の情報が誤検知であるか判定し、誤検知でない場合には、不正な通信を遮断する。一方、誤検知である場合には、検知に用いた不正な通信に関する情報を削除する。

［上位ＮＷ装置の構成］
次に、図３を用いて、上位ＮＷ装置１００の構成について説明する。図３が示すように、上位ＮＷ装置１００は、通信部１１０と、制御部１２０と、記憶部１３０とを有する。なお、これらの各部は、複数の装置が分散して保持してもよい。以下にこれら各部の処理を説明する。

通信部１１０は、ＮＩＣ（Network Interface Card）等で実現され、ＬＡＮ（Local Area Network）やインターネットなどの電気通信回線を介した外部装置と制御部１２０の通信を可能とする。例えば、通信部１１０は、外部装置と制御部１２０との通信を可能とする。

記憶部１３０は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部１３０が記憶する情報としては、例えば、上位ＮＷ装置１００が管理する端末情報、下位ＮＷ装置２００が管理する端末情報、検知に用いる不正な通信に関する情報、誤検知の判定に用いる不正な通信に関する情報、検知された不正な通信の情報、その他不正な通信の遮断に必要な情報が含まれる。ここで、検知に用いる不正な通信に関する情報には、不正な通信の通信先の端末情報、不正な通信の通信先のＩＰアドレスといった情報が含まれる。また、誤検知の判定に用いる不正な通信に関する情報には、下位ＮＷ装置２００が関与する通信の内容や、サイバー攻撃の情報といった情報が含まれる。なお、記憶部１３０が記憶する情報は上記に記載した例に限定されない。

ここで誤検知の判定に用いる不正な通信に関する情報とは、オーバレイネットワークで検知された不正な通信と接続先アドレスが同一であるアンダーレイネットワークにおける複数のフローデータのことをいう。

制御部１２０は、ＣＰＵ（Central Processing Unit）やＮＰ（Network Processor）やＦＰＧＡ（Field Programmable Gate Array）等を用いて実現され、メモリに記憶された処理プログラムを実行する。図３に示すように、制御部１２０は、検知部１２１と、通知部１２２とを有する。以下、制御部１２０が有する各部について説明する。

検知部１２１は、不正な通信を検知する。例えば、検知部１２１は、セキュリティ機能により、不正な通信を検知する。例えば、検知部１２１は、ＵＴＭのセキュリティ機能により、不正な通信を検知する。

例えば、検知部１２１は、パケットの接続先のＩＰアドレスが、予め記憶部１３０に記憶された不正な通信のＩＰアドレスと一致する場合には、当該通信を不正な通信として検知し、当該接続先のＩＰアドレスを、不正な通信先のＩＰアドレスとして特定する。なお、検知部１２１は、不正な通信の検知として、ＩＰアドレスに限らず、通信日時やＤＤｏＳ（Distributed Denial of Service）攻撃、Ｓｙｎフラッド（SYN flooding）攻撃、バッファオーバーフロー攻撃等の攻撃の際にみられるパケットの振る舞い等を用いてもよく、そのほか既存の検知方法のいずれを用いてもよい。

通知部１２２は、検知部１２１により検知された不正な通信の情報を下位ＮＷ装置２００に通知する。例えば、通知部１２２は、検知部１２１により検知された不正な通信の情報として、不正な通信の検知日時、検知種別、接続先ＩＰアドレス・ポート、接続元ＩＰアドレス・ポートといった情報を下位ＮＷ装置２００に通知する。

例えば、通知部１２２は、検知部１２１により検知された不正な通信の情報用いて、不正な通信の通信先を特定し、特定した不正な通信の通信先を下位ＮＷ装置２００に通知する。なお、「接続先ＩＰアドレス・ポート」とは、接続先ＩＰアドレスと接続先ポートのうちいずれか一つもしくは両方を含むものとし、「接続元ＩＰアドレス・ポート」とは、接続元ＩＰアドレスと接続元ポートのうちいずれか一つもしくは両方を含むものとする。

［下位ＮＷ装置の構成］
次に、図４を用いて、下位ＮＷ装置２００の構成について説明する。図４が示すように、下位ＮＷ装置２００は、通信部２１０と、制御部２２０と、記憶部２３０とを有する。なお、これらの各部は、複数の装置が分散して保持してもよい。以下にこれら各部の処理を説明する。

通信部２１０は、ＮＩＣ等で実現され、ＬＡＮやインターネットなどの電気通信回線を介した外部装置と制御部２２０の通信を可能とする。例えば、通信部２１０は、外部装置と制御部２２０との通信を可能とする。

記憶部２３０は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部２３０が記憶する情報としては、例えば、上位ＮＷ装置１００が管理する端末情報、下位ＮＷ装置２００が管理する端末情報、下位ＮＷ装置２００に接続された端末の通信に関する情報、検知に用いる不正な通信に関する情報、誤検知の判定に用いる不正な通信に関する情報、検知された不正な通信の情報、その他不正な通信の遮断に必要な情報が含まれる。ここで、検知に用いる不正な通信に関する情報には、不正な通信の通信先の端末情報、不正な通信の通信先のＩＰアドレスといった情報が含まれる。また、誤検知の判定に用いる不正な通信に関する情報には、下位ＮＷ装置２００が関与する通信の内容や、サイバー攻撃の情報といった情報が含まれる。なお、記憶部２３０が記憶する情報は上記に記載した例に限定されない。

制御部２２０は、ＣＰＵやＮＰやＦＰＧＡ等を用いて実現され、メモリに記憶された処理プログラムを実行する。図４に示すように、制御部２２０は、取得部２２１と、判定部２２２と、遮断部２２３と、削除部２２４とを有する。以下、制御部２２０が有する各部について説明する。

取得部２２１は、下位ＮＷ装置２００に接続される端末の通信に関する情報を取得する。例えば、取得部２２１は、下位ＮＷ装置２００に接続されるＯＡ機器やＩｏＴ機器の通信に関する情報を取得する。

判定部２２２は、通知部１２２により通知された不正な通信の情報と接続先アドレスが同一であるアンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを判定する。例えば、判定部２２２は、通知部１２２により通知された不正な通信の情報と接続先アドレスが同一であるアンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを算出し、バラツキ度合いが所定の閾値以上であるか否かを判定し、バラツキ度合いが所定の閾値以上である場合には、誤検知であると判定する。なお、フローデータの情報は、アンダーレイＮＷの各通信機器から取得されたデータであってもよいし、外部装置に記憶されるものであってもよい。

ここで、判定部２２２によるバラツキ度合いの算出方法の具体例について説明する。例えば、判定部２２２は、通知部１２２により通知された不正な通信の情報に含まれる接続先ＩＰアドレスが同一のフローデータを取得する。

そして、判定部２２２は、フローデータ同士の通信日時、接続先ポート番号、通信プロトコルおよび転送バイト数のうち、いずれか一つまたは複数に基づいて、バラツキ度合いを算出する。例えば、判定部２２２は、接続先ポート番号、通信プロトコルおよび転送バイト数に基づいて、バラツキ度合いを算出する場合には、取得した全フローデータについて、接続先ポート番号、通信プロトコルおよび転送バイト数の全てが一致しないレコードの割合が所定の閾値（例えば、５０％）以上であるかを判定し、所定の閾値以上である場合には、オーバレイネットワークにおける検知結果が誤検知であると判定する。なお、判定部２２２は、バラツキ度合いの算出方法について、これに限定されるものではなく、一致しないレコードの割合ではなく、一致しないレコードの数を計数し、所定の閾値以上であるかを判定してもよい。ここで、情報の一致は、完全一致でなく、一部一致であってもよい。

また、例えば、判定部２２２は、フローデータ同士の通信日時も用いてバラツキ度合いを算出する場合には、通信日時については、フローデータ通信日時が古いものから順番に並べ、通信日時が近いもの同士の通信日時の差分の平均値を計算し、平均値が所定の閾値（例えば、１分）以上であるかを判定し、所定の閾値以上である場合には、オーバレイネットワークにおける検知結果が誤検知であると判定してもよい。

つまり、オーバレイネットワークにおいて、例えば、Ｃ２サーバ（Command and Control server）との不正通信を検知した場合に、判定部２２２は、当該通信と接続先アドレスが同一であるアンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを判定し、バラツキが大きい場合には、Ｃ２サーバとの不正通信ではなく、誤検知とみなす。

遮断部２２３は、判定部２２２により判定されたバラツキ度合いに応じて、通知部１２２により通知された不正な通信の情報を不正な通信として遮断する。例えば、遮断部２２３は、判定部２２２によってバラツキ度合いが所定の閾値未満であると判定された場合には、誤検知でないと判定し、通知部１２２により通知された不正な通信の情報を不正な通信として遮断する。

例えば、遮断部２２３は、判定部２２２によってバラツキ度合いが所定の閾値未満であると判定された場合には、通知部１２２により通知された不正な通信の接続元ＩＰアドレス・ポートの情報と、取得部２２１により取得された下位ＮＷ装置２００に接続される端末の接続先および接続元ＩＰアドレス・ポートの情報とを用いて、不正な通信の通信先への通信を遮断する。

また、例えば、遮断部２２３は、判定部２２２によってバラツキ度合いが所定の閾値未満であると判定された場合には、通知部１２２により通知された不正な通信の情報を用いて、不正な通信の通信元からの通信を遮断する。例えば、遮断部２２３は、判定部２２２によってバラツキ度合いが所定の閾値未満であると判定された場合には、通知部１２２により通知された不正な通信の接続元ＩＰアドレス・ポートの情報と、取得部２２１により取得された下位ＮＷ装置２００に接続される端末の接続先および接続元ＩＰアドレス・ポートの情報とを用いて、不正な通信を行う端末からの通信を遮断する。

また、例えば、遮断部２２３は、判定部２２２によってバラツキ度合いが所定の閾値未満であると判定された場合には、通知部１２２により通知された不正な通信の情報を用いて、不正な通信の通信元が含まれるＮＷからの通信を遮断する。例えば、遮断部２２３は、判定部２２２によってバラツキ度合いが所定の閾値未満であると判定された場合には、通知部１２２により通知された不正な通信の接続元ＩＰアドレス・ポートの情報と、取得部２２１により取得された下位ＮＷ装置２００に接続される端末の接続先および接続元ＩＰアドレス・ポートの情報とを用いて、不正な通信を行う端末が含まれるＮＷからの通信を遮断する。

削除部２２４は、判定部２２２によりバラツキ度合いが所定の閾値以上である場合には、検知に用いる不正な通信に関する情報を削除する指示を上位ＮＷ装置１００に通知する。例えば、削除部２２４は、判定部２２２により対応しないと判定された場合、検知に用いる不正な通信に関する情報として、下位ＮＷ装置２００が関与する通信の内容や、サイバー攻撃の情報を削除する指示を上位ＮＷ装置１００に通知する。

なお、削除部２２４が削除する誤検知に用いる不正な通信に関する情報は、上位ＮＷ装置１００や外部装置に記憶されるものであってもよい。

［情報処理システムによる処理の概要］
次に、図５を用いて、情報処理システム１による処理の概要を説明する。図５は、情報処理システム１による処理の概要を説明するための図である。

まず、下位ＮＷ装置２００の取得部２２１は、下位ＮＷ装置２００に接続される端末の通信に関する情報を取得する。例えば、下位ＮＷ装置２００に接続されるＯＡ機器やＩｏＴ機器等の通信に関する情報を取得する。

続いて、上位ＮＷ装置１００の検知部１２１は、不正な通信を検知する。

続いて、上位ＮＷ装置１００の通知部１２３は、検知部１２１により検知された不正な通信の情報を下位ＮＷ装置２００に通知する。

続いて、判定部２２２は、通知部１２２により通知された不正な通信の情報と、誤検知の判定に用いる不正な通信に関する情報とが対応するか判定する。

そして、遮断部２２３は、判定部２２２により対応すると判定された場合には、通知部１２２により通知された不正な通信の情報に基づいて、不正な通信を行う端末の通信を遮断する。

一方、削除部２２４は、判定部２２２により対応しないと判定された場合には、削除部２２４は、判定部２２２により対応しないと判定された場合、不正な通信に関する情報を削除する指示を上位ＮＷ装置１００に通知する。

このように、情報処理システム１は、上位ＮＷ装置１００と下位ＮＷ装置２００とが密接に連携して、不正な通信の検知・判定・遮断を行う。

［情報処理システムによる検知・判定処理］
次に、図６を用いて、情報処理システム１による検知処理と判定処理とについて説明する。図６は、情報処理システム１による検知処理と判定処理とを説明するための図である。

図６（１）は、不正な通信先の種別、ＩＰアドレスといった検知に用いる不正な通信に関する情報である。なお、検知に用いる不正な通信に関する情報が記憶される場所は、上位ＮＷ装置１００のクラウドプロキシの他、上位ＮＷ装置１００の記憶部１３０であってもよい。

上位ＮＷ装置１００の検知部１２１は、クラウドプロキシに記憶される不正な通信先の種別、ＩＰアドレスといった情報を用いて、図６（２）に示すように、不正な通信を検知する。図６（２）においては、検知部１２１によって不正な通信として検知された通信の情報の一例を図示する。

そして、下位ＮＷ装置２００の判定部２２２は、通知部１２２により通知された不正な通信の情報と接続先アドレスが同一であるアンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを判定する。図６（３）においては、通知部１２２により通知された不正な通信の情報と接続先アドレスが同一であるアンダーレイネットワークにおける複数のフローデータを図示する。

例えば、判定部２２２は、通知部１２２により通知された不正な通信の情報と接続先アドレスが同一であるアンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを算出し、バラツキ度合いが所定の閾値以上であるか否かを判定し、バラツキ度合いが所定の閾値以上である場合には、誤検知であると判定する。

例えば、判定部２２２は、接続先ポート番号、通信プロトコルおよび転送バイト数に基づいて、バラツキ度合いを算出する場合には、取得した全フローデータについて、接続先ポート番号、通信プロトコルおよび転送バイト数の全てが一致しないレコード数の全レコード数に対する割合が所定の閾値（例えば、５０％）以上であるかを判定し、所定の閾値以上である場合には、オーバレイネットワークにおける検知結果が誤検知であると判定する。

例えば、図７の例では、１０のフローデータのうち、接続先ポート番号、通信プロトコルおよび転送バイト数の全てが一致しないレコードが１つであり、割合が約「１０％」であるため、判定部２２２は、バラツキ度が所定の閾値「５０％」未満であると判定する。つまり、判定部２２２は、バラツキが大きくないと判定し、オーバレイネットワークにおける検知結果が誤検知でないとみなされる。この場合には、遮断部２２３は、通知部１２２により通知された不正な通信の情報に基づいて、不正な通信を遮断する。

また、例えば、図８の例では、１０のフローデータのうち、接続先ポート番号、通信プロトコルおよび転送バイト数の全てが一致しないレコードが８つであり、割合が約「８０％」であるため、判定部２２２は、バラツキ度が所定の閾値「５０％」以上であると判定する。つまり、判定部２２２は、バラツキが大きいと判定し、オーバレイネットワークにおける検知結果が誤検知であるとみなされる。この場合には、削除部２２４は、検知に用いる不正な通信に関する情報（図８（１））を削除するように、上位ＮＷ装置１００に通知する。

［情報処理システムによる遮断処理］
次に、図９、図１０を用いて、情報処理システム１による遮断処理について説明する。図９、図１０は、情報処理システム１による遮断処理を説明するための図である。

下位ＮＷ装置２００の遮断部２２３は、不正な通信の検知情報を用いて、図９に示すように、ＤＰＩにより、不正な通信を遮断する。

図１０（１）は、図６（１）と同様に、不正な通信先の種別、ＩＰアドレスといった検知に用いる不正な通信に関する情報である。また、図１０（２）は、図６（２）と同様に、検知された不正な通信の情報である。

下位ＮＷ装置２００の遮断部２２３は、図１０（３）に示すように、不正な通信先の検知情報（不正な通信の接続先ＩＰアドレス・ポート）を用いて、ＤＰＩにより、不正な通信先との通信を遮断する。これにより情報処理システム１は、不正な通信先との通信を早期遮断する。

つまり、図１０（３）の例を用いて説明すると、遮断部２２３は、上位ＮＷ装置１００から送信された接続先のＩＰアドレス「２０３．０．１１３．１５」と、接続先のＩＰアドレスが一致する通信を遮断する。

また、例えば、下位ＮＷ装置２００の遮断部２２３は、図１０（４）に示すように、不正な通信先の検知情報（不正な通信の接続元ＩＰアドレス・ポート）を用いて、ＤＰＩにより、不正な通信を行う端末からの通信を遮断する。これにより情報処理システム１は、感染端末を遮断し、感染の拡散を防止する。

つまり、図１０（４）の例を用いて説明すると、遮断部２２３は、上位ＮＷ装置１００から送信された接続元のＩＰアドレス「１９２．０．２．１１８」と、接続元のＩＰアドレスが一致する通信を遮断する。

また、例えば、下位ＮＷ装置２００の遮断部２２３は、図１０（５）に示すように、不正な通信先の検知情報（不正な通信の接続元ＩＰアドレス・ポート）を用いて、ＤＰＩにより、不正な通信を行う端末が含まれるＮＷからの通信を遮断する。これにより情報処理システム１は、感染端末が属するＮＷを遮断し、感染の拡散を防止する。

つまり、図１０（５）の例を用いて説明すると、通知部１２２は、上位ＮＷ装置１００から送信された接続元のＩＰアドレス「１９２．０．２．１１８」をサブネットマスクでマスクしたＩＰアドレス「１９２．０．２．０／２４」に変換し、接続元のＩＰアドレス「１９２．０．２．０／２４」を下位ＮＷ装置２００へ通知する。そして、遮断部２２３は、接続元のＩＰアドレスが「１９２．０．２．０／２４」に該当する通信を遮断することで、感染端末だけでなく、感染端末が属するＮＷを遮断する。

このように情報処理システム１は、上位ＮＷ装置１００と下位ＮＷ装置２００とが連携して、不正な通信を検知し、不正な通信を行う端末が関係する各通信を遮断する。

［フローチャート］
次に、図１１を用いて、情報処理システム１による処理の流れについて説明する。なお、下記の各ステップは、異なる順序で実行することもでき、また、省略される処理があってもよい。

まず、下位ＮＷ装置２００の取得部２２１は、下位ＮＷ装置２００に接続される端末の通信に関する情報を取得する（ステップＳ１０１）。例えば、取得部２２１は、下位ＮＷ装置２００に接続されるＯＡ機器やＩｏＴ機器の通信に関する情報を取得する。

下位ＮＷ装置２００の取得部２２１が取得した情報を上位ＮＷ装置１００に送信する（ステップＳ１０２）。続いて、上位ＮＷ装置１００の検知部１２１は、不正な通信を検知する（ステップＳ１０３）。例えば、検知部１２１は、セキュリティ機能により、不正な通信を検知する。

続いて、上位ＮＷ装置１００の通知部１２２は、検知部１２１により検知された不正な通信の情報を下位ＮＷ装置２００に通知する（ステップＳ１０４）。例えば、通知部１２２は、検知部１２１により検知された不正な通信の情報として、不正な通信の検知日時、検知種別、接続先ＩＰアドレス・ポート、接続元ＩＰアドレス・ポートといった情報を下位ＮＷ装置２００に通知する。

続いて、下位ＮＷ装置２００の判定部２２２は、通知部１２２により通知された不正な通信の情報と接続先アドレスが同一であるフローデータ同士のバラツキ度合いを算出する（ステップＳ１０５）。例えば、判定部２２２は、通知部１２２により通知された不正な通信の情報と接続先アドレスが同一であるフローデータ同士の通信日時、接続先ポート番号、通信プロトコルおよび転送バイト数のうち、いずれか一つまたは複数に基づいて、バラツキ度合いを算出する。

続いて、下位ＮＷ装置２００の判定部２２２は、算出したバラツキ度合いが所定の閾値以上であるか判定する（ステップＳ１０６）。ここで、判定部２２２により所定の閾値以上でないと判定された場合（ステップＳ１０６“ＮＯ”）、下位ＮＷ装置２００の遮断部２２３は、通知部１２２により通知された不正な通信の情報に基づいて、不正な通信を遮断する（ステップＳ１０７）。例えば、遮断部２２３は、通知部１２２により通知された不正な通信の情報を用いて、不正な通信の通信先への通信を遮断する。

他方、判定部２２２により所定の閾値未満であると判定された場合（ステップＳ１０６“ＹＥＳ”）、下位ＮＷ装置２００の削除部２２４は、検知に用いる不正な通信に関する情報の削除を通知する（ステップＳ１０８）。例えば、削除部２２４は、判定部２２２により対応しないと判定された場合、検知に用いる不正な通信に関する情報として、下位ＮＷ装置２００が関与する通信の内容や、サイバー攻撃の情報を削除する指示を上位ＮＷ装置１００に通知する。

［効果］
実施形態に係る情報処理システム１は、オーバレイネットワークを構成する装置である上位ＮＷ装置１００とアンダーレイネットワークを構成する装置である下位ＮＷ装置２００とからなる情報処理システムであって、上位ＮＷ装置１００は、不正な通信を検知する検知部１２１と、検知部１２１により検知された不正な通信の情報を下位ＮＷ装置２００に通知する通知部１２２とを有し、下位ＮＷ装置２００は、下位ＮＷ装置２００に接続される端末の通信に関する情報を取得する取得部２２１と、通知部１２２により通知された不正な通信の情報と接続先アドレスが同一であるアンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを判定する判定部２２２と、判定部２２２により判定されたバラツキ度合いに応じて、通知部１２２により通知された不正な通信の情報を不正な通信として遮断する遮断部２２３とを有する。

これにより、情報処理システム１は、上位ＮＷ装置１００が不正な通信を検知し、下位ＮＷ装置２００によりバラツキ度合いを判定し、バラツキ度合いに応じて下位ＮＷ装置２００が通信を遮断することにより、セキュリティの向上およびコストの低下を実現する。また、情報処理システム１では、検知ポイントと遮断ポイントとを分けることにより、例えば、大規模なボットネットによる攻撃が発生し、上位ＮＷ装置１００でそのボットネットのＣ２サーバの通信を検知した際に、オーバレイネットワークを利用していない場合であっても、広範囲にアンダーレイネットワークで遮断できることで、被害を小さく抑えることが可能となる。

また、情報処理システム１は、不正な通信を行う端末からの通信を遮断することにより、ＮＷ全体を遮断することなく、機器単位で通信を制御することにより、ＮＷの可用性を確保しつつ堅牢なセキュリティを実現する。

実施形態に係る情報処理システム１の下位ＮＷ装置２００における判定部２２２は、通知部１２２により通知された不正な通信の情報と接続先アドレスが同一であるアンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを算出し、バラツキ度合いが所定の閾値以上であるか否かを判定し、バラツキ度合いが所定の閾値以上である場合には、誤検知であると判定し、遮断部２２３は、判定部２２２によってバラツキ度合いが所定の閾値未満であると判定された場合には、誤検知でないと判定し、通知部１２２により通知された不正な通信の情報を不正な通信として遮断する。

これにより、情報処理システム１は、上位ＮＷ装置１００により検知された不正な通信の情報と同一の接続先アドレスを有するフローデータのバラツキ度合いが閾値を超えるか否かによって誤検知か否かを確認して、不正な通信の通信先への通信を遮断することにより、セキュリティの向上およびコストの低下を実現する。

実施形態に係る情報処理システム１の下位ＮＷ装置２００における判定部２２２は、フローデータ同士の通信日時、接続先ポート番号、通信プロトコルおよび転送バイト数のうち、いずれか一つまたは複数に基づいて、バラツキ度合いを算出する。

これにより、情報処理システム１は、上位ＮＷ装置１００により検知された不正な通信の情報と同一の接続先アドレスを有するフローデータのバラツキ度合いを、フローデータ同士の通信日時、接続先ポート番号、通信プロトコルおよび転送バイト数に基づいて算出し、バラツキ度合いに応じて不正な通信の通信先への通信を遮断することにより、セキュリティの向上およびコストの低下を実現する。

実施形態に係る情報処理システム１の下位ＮＷ装置２００は、判定部２２２によりバラツキ度合いが所定の閾値以上であると判定された場合には、検知に用いる不正な通信に関する情報の削除を上位ＮＷ装置１００に通知する削除部２２４をさらに有する。

これにより、情報処理システム１は、上位ＮＷ装置１００により検知された不正な通信の情報と同一の接続先アドレスと有するフローデータ同士のバラツキが閾値以上である場合には、誤検知であると判定して、検知に用いる不正な通信に関する情報を削除することにより、セキュリティの向上およびコストの低下を実現する。

［プログラム］
上記実施形態において説明した情報処理システム１が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。

図１２は、情報処理プログラムを実行するコンピュータの一例を示す図である。図１２に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。

ここで、図１２に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating system）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。

また、情報処理プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明したコンピュータ１０００が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。

また、情報処理プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、情報処理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、制御プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

［その他］
様々な実施形態を、図面を参照して、本明細書で詳細に説明したが、これらの複数の実施形態は例であり、本発明をこれらの複数の実施形態に限定することを意図するものではない。本明細書に記載された特徴は、当業者の知識に基づく様々な変形や改良を含む、様々な方法によって実現され得る。

また、上述した「部（module、-er接尾辞、-or接尾辞）」は、ユニット、手段、回路などに読み替えることができる。例えば、通信部（communication module）、制御部（control module）および記憶部（storage module）は、それぞれ、通信ユニット、制御ユニットおよび記憶ユニットに読み替えることができる。

１ 情報処理システム
１００ 上位ＮＷ装置
１１０ 通信部
１２０ 制御部
１２１ 検知部
１２２ 通知部
１３０ 記憶部
２００ 下位ＮＷ装置
２１０ 通信部
２２０ 制御部
２２１ 取得部
２２２ 判定部
２２３ 遮断部
２２４ 削除部
２３０ 記憶部

Claims (5)

1. オーバレイネットワークを構成する装置である上位ＮＷ装置とアンダーレイネットワークを構成する装置である下位ＮＷ装置とからなる情報処理システムであって、
   前記上位ＮＷ装置は、
   不正な通信を検知する検知部と、
   前記検知部により検知された前記不正な通信の情報を前記下位ＮＷ装置に通知する通知部と
   を有し、
   前記下位ＮＷ装置は、
   前記下位ＮＷ装置に接続される端末の通信に関する情報を取得する取得部と、
   前記通知部により通知された前記不正な通信の情報と接続先アドレスが同一である前記アンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを算出し、バラツキ度合いが所定の閾値以上であるか否かを判定し、前記バラツキ度合いが所定の閾値以上である場合には、誤検知であると判定する判定部と、
   前記判定部により判定された前記バラツキ度合いが所定の閾値未満である場合には、誤検知でないと判定し、前記取得部により取得された前記端末の通信に関する情報を用いて、前記通知部により通知された前記不正な通信の情報を不正な通信として遮断する遮断部と
   を有することを特徴とする情報処理システム。
2. 前記判定部は、前記フローデータ同士の通信日時、接続先ポート番号、通信プロトコルおよび転送バイト数のうち、いずれか一つまたは複数に基づいて、前記バラツキ度合いを算出する
   ことを特徴とする請求項１に記載の情報処理システム。
3. 前記判定部によりバラツキ度合いが所定の閾値以上であると判定された場合には、検知に用いる不正な通信に関する情報の削除を前記上位ＮＷ装置に通知する削除部
   をさらに有することを特徴とする請求項１に記載の情報処理システム。
4. オーバレイネットワークを構成する装置である上位ＮＷ装置とアンダーレイネットワークを構成する装置である下位ＮＷ装置とが実行する情報処理方法であって、
   前記下位ＮＷ装置が、前記下位ＮＷ装置に接続される端末の通信に関する情報を取得する取得工程と、
   前記上位ＮＷ装置が、不正な通信を検知する検知工程と、
   前記上位ＮＷ装置が、前記検知工程により検知された前記不正な通信の情報を前記下位ＮＷ装置に通知する通知工程と、
   前記下位ＮＷ装置が、前記通知工程により通知された前記不正な通信の情報と接続先アドレスが同一である前記アンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを算出し、バラツキ度合いが所定の閾値以上であるか否かを判定し、前記バラツキ度合いが所定の閾値以上である場合には、誤検知であると判定する判定工程と、
   前記下位ＮＷ装置が、前記判定工程により判定された前記バラツキ度合いが所定の閾値未満である場合には、誤検知でないと判定し、前記取得工程により取得された前記端末の通信に関する情報を用いて、前記通知工程により通知された前記不正な通信の情報を不正な通信として遮断する遮断工程と
   を含むことを特徴とする情報処理方法。
5. オーバレイネットワークを構成する装置である上位ＮＷ装置としてのコンピュータと、アンダーレイネットワークを構成する装置である下位ＮＷ装置としてのコンピュータに実行させる情報処理プログラムであって、
   前記上位ＮＷ装置としてのコンピュータに、
   不正な通信を検知する検知ステップと、
   前記検知ステップにより検知された前記不正な通信の情報を前記下位ＮＷ装置に通知する通知ステップと
   を実行させ、
   前記下位ＮＷ装置としてのコンピュータに、
   前記下位ＮＷ装置に接続される端末の通信に関する情報を取得する取得ステップと、
   前記通知ステップにより通知された前記不正な通信の情報と接続先アドレスが同一である前記アンダーレイネットワークにおける複数のフローデータ同士のバラツキ度合いを算出し、バラツキ度合いが所定の閾値以上であるか否かを判定し、前記バラツキ度合いが所定の閾値以上である場合には、誤検知であると判定する判定ステップと、
   前記判定ステップにより判定された前記バラツキ度合いが所定の閾値未満である場合には、誤検知でないと判定し、前記取得ステップにより取得された前記端末の通信に関する情報を用いて、前記通知ステップにより通知された前記不正な通信の情報を不正な通信として遮断する遮断ステップと
   を実行させることを特徴とする情報処理プログラム。

Images