JPWO2016042587A1 - 攻撃観察装置、及び攻撃観察方法 - Google Patents

Abstract

本発明は、攻撃者が作成したマルウェアなどの不正プログラムを動作させ、その挙動や攻撃手法を観察するために構築された模擬環境である攻撃観察装置に関する。攻撃観察装置は、端末上でマルウェアからの通信に対して予め決められた応答を実行する低対話型模擬環境と、端末を模擬する仮想マシンによりマルウェアからの通信に対して応答を実行する高対話型模擬環境と、マルウェアからの通信に対する低対話型模擬環境の実行状態を監視し、低対話型模擬環境の実行状態に応じて、マルウェアからの通信を高対話型模擬環境へ切り替える通信管理部とを備える。

Description

本発明は、攻撃者が作成したマルウェアなどの不正プログラムを動作させ、その挙動や攻撃手法を観察するために構築された模擬環境である攻撃観察装置に関する。

従来、攻撃者が作成したマルウェアなどの不正プログラムを動作させ、その挙動や攻撃手法を観察するために構築された模擬ネットワークシステムにおいて、ネットワークシステム内で動作する端末またはサーバを模擬する方式（以降、模擬環境と呼ぶ）が知られている。例えば、特許文献１に記載されているように、マルウェアの感染端末から送信された通信データを入力とし、その内容に応じて応答データを決定し、返信する模擬プログラムによってシミュレートする方式が知られている。このような模擬環境を、以後、低対話型ハニーポット（低対話型模擬環境の一例）と呼ぶ。
また、例えば、特許文献２や非特許文献１に記載されているように、市販されている製品を利用した仮想化環境上で仮想マシンを稼働させ、それを模擬環境として利用する方式も知られている。このような模擬環境を、以後、高対話型ハニーポット（高対話型模擬環境の一例）と呼ぶ。

特開２００９−１８１３３５号公報 特開２０１２−２１２３９１号公報

笠間 貴弘、他、"疑似クライアントを用いたサーバ応答蓄積型マルウェア動的解析システム、" 情報処理学会、マルウェア対策研究人材ワークショップ ２００９（ＭＷＳ２００９） Ａ７−２、（２００９年１０月）．

低対話型ハニーポットでは、各模擬端末やサーバは、受け取った通信パケットの内容に対し、あらかじめプログラムで決められた方法で応答を返す。マルウェアから送信されたパケットに対して決められた応答を返すだけで良いため、処理の負荷が軽く、大量の端末やサーバを同時に模擬できるメリットがある反面、プログラムで処理できない内容（例えば、未知の攻撃）を含んだパケットを受け取った場合に、実物と同様に応答することができないという問題がある。また、マルウェア感染を伴う攻撃を受けたとしても、模擬環境内でマルウェアを動作させることができないという問題がある。
一方、高対話型ハニーポットでは、未知の攻撃やマルウェアの感染という先の課題に対しても対応可能である。しかし、これらを用いた模擬環境では、端末やサーバを１台模擬するために、実物と同等なリソース（ＣＰＵ、メモリ、ＨＤＤ等）を必要とするため、例えば、業務システム全体を模擬しようとすると、大量の端末やサーバを用意しなければならないという問題がある。
以上のように、従来技術では、大規模なシステムを精巧に模擬することができないという課題があった。

この発明は、上記のような問題点を解決するためになされたもので、業務システム等の大きなネットワークシステムであっても、少ない計算機資源で、かつ精巧に模擬可能な攻撃観察装置を実現することを目的とする。

上記で述べた課題を解決するため、本発明の攻撃観察装置は、マルウェアを動作させて前記マルウェアの攻撃を観察する環境である攻撃観察装置であって、端末上で前記マルウェアからの通信に対して予め決められた応答を実行する低対話型模擬環境と、前記端末を模擬する仮想マシンにより前記マルウェアからの通信に対して応答を実行する高対話型模擬環境と、前記マルウェアからの通信に対する前記低対話型模擬環境の実行状態を監視し、前記低対話型模擬環境の前記実行状態に応じて、前記マルウェアからの通信を前記高対話型模擬環境へ切り替える通信管理部とを備える。

本発明によれば、最初は低対話型ハニーポットで通信を処理させ、必要な場合のみ高対話型ハニーポットに切り替えて、高対話型ハニーポットの使用を抑えることができるため、大規模なシステムを模擬した攻撃観察装置を少ない計算機資源で実現できるという効果がある。

実施の形態１に係る攻撃観察装置の一構成例を示す構成図である。 通信管理部１１２とネットワーク１１１の構成について詳細に説明する図である。 低対話型ハニーポット部１０６の構成について詳細に説明する図である。 ハニーポット実行状態管理部１１５に格納されているハニーポット実行状態データの一例を示す図である。 端末状態遷移シナリオ蓄積部１１０に格納されている端末状態遷移シナリオの一例を示す図である。 高対話型ハニーポット実行コマンド蓄積部１１６に格納されている高対話型ハニーポット実行コマンド定義テーブルの一例を示す図である。 端末状態蓄積部１０９の一構成例を示す図である。 通信管理部１１２が他の端末と行なう通信と、通信管理部１１２内で実行する処理を示すシーケンス図である。 通信プロトコルの状態遷移の一例を示す図である。 低対話型ハニーポット８０２の動作の流れを示すフローチャートである。 通信処理プログラム３０３内の動作の流れを示すフローチャートである。 端末状態管理部１０８の動作の流れを示すフローチャートである。 端末状態管理部１１２で実行可能なコマンドの例を示す図である。 端末状態遷移シナリオ実行部１０７の動作の流れを示すフローチャートである。 実施の形態２に係る通信管理部１１２周辺のシステム構成の一例を示す図である。 本実施の形態３に係る通信管理部１１２周辺のシステム構成の一例を示す図である。 ＡＲＰ応答パケットの一例を示す図である。 本実施の形態４に係る通信管理部１１２周辺のシステム構成の一例を示す図である。 本実施の形態４に係る低対話型ハニーポット部１０６の構成の一例を示す図である。 実施の形態４に係る低対話型ハニーポット部１０６の動作の流れを示すフローチャートである。 実施の形態４に係る通信処理プログラムの動作の流れを示すフローチャートである。 実施の形態５に係る通信管理部１１２周辺のシステム構成の一例を示す図である。

実施の形態１．
図１は、実施の形態１に係る攻撃観察装置の一構成例を示す構成図である。
図１において、攻撃観察装置であるハニーポットシステム１０１は、高対話型模擬環境である高対話型ハニーポット部１０３、低対話型模擬環境である低対話型ハニーポット部１０６、端末状態遷移シナリオ実行部１０７、端末状態管理部１０８、端末状態蓄積部１０９、端末状態遷移シナリオ蓄積部１１０、通信管理部１１２、実行状態管理部であるハニーポット実行状態管理部１１５、及び実行コマンド蓄積部である高対話型ハニーポット実行コマンド蓄積部１１６で構成されている。以下、高対話型ハニーポット部１０３と低対話型ハニーポット部１０６を総称してハニーポットと呼ぶ。

高対話型ハニーポット部１０３は、高対話型ハニーポットとして機能する仮想マシン群１０４、及び同仮想マシン群１０４を実行する仮想マシン実行環境１０５を格納する。低対話型ハニーポット部１０６は、低対話型ハニーポットとして動作する。端末状態遷移シナリオ実行部１０７は、ハニーポットシステム１０１内で模擬する各端末内で自発的に発生するファイル等の状態変化を端末状態管理部１０８に命令する。端末状態管理部１０８は、端末状態遷移シナリオ実行部１０７や低対話型ハニーポット部１０６からのコマンドに従い、各端末内のファイル等の状態を取得・変更する。端末状態遷移シナリオ蓄積部１１０は、各端末の状態遷移のシナリオを示す端末状態遷移シナリオを蓄積する。通信管理部１１２は、ハニーポット間、あるいはハニーポットと外部ネットワーク１０２との通信を中継・管理する。ハニーポット実行状態管理部１１５は、ハニーポットの現在の実行状態を示すハニーポット実行状態データを管理する。高対話型ハニーポット実行コマンド蓄積部１１６は、高対話型ハニーポット部１０３上で端末状態遷移シナリオを再現する際に起動するコマンド等を定義する高対話型ハニーポット実行コマンド定義テーブルを蓄積する。通信管理部１１２は、ネットワーク１１１を通じて仮想マシン群１０４と接続され、ネットワーク１１３を通じて低対話型ハニーポット部１０６と接続されている。また、ネットワーク１１４を通じて外部ネットワーク１０２と接続されている。

図２は、通信管理部１１２とネットワーク１１１の構成について詳細に説明する図である。
図２において、通信管理部１１２は、通信管理部１１２へのパケットを受信するパケット受信部２０７、通信管理部１１２からパケットを送信するパケット送信部２０８、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）に対する偽装応答を返すＡＲＰ応答部２０９、通信を中継するゲートウェイ部２１０、模擬端末の実行状態遷移時に、遷移前の通信状態を、遷移後の模擬端末上に再構築するために必要なデータを蓄積した通信復元用データ蓄積部２１１で構成されている。また、通信管理部１１２は、低対話型ハニーポット１０６とネットワーク１１３で接続され、ハニーポットシステム外とネットワーク１１４で接続されている。

図１中のネットワーク１１１は、図２において、高対話型ハニーポット部１０３内の仮想スイッチ２０５、各仮想マシン２０１〜２０２毎に仮想スイッチ２０５との間に張られたＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）２０３〜２０４、仮想スイッチ２０５と通信管理部１１２とをｔｒｕｎｋ接続するネットワーク２０６で構成されている。

図３は、低対話型ハニーポット部１０６の構成について詳細に説明する図である。
図３において、低対話型ハニーポット部１０６は、通信処理プログラム実行部３０１、通信処理プログラム蓄積部３０２を備える。通信処理プログラム実行部３０１は、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）やＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）といった共通的な通信プロトコルの処理、及びアプリケーション層通信を処理する通信処理プログラムの実行を行なう。通信処理プログラム蓄積部３０２は、一つ以上の通信処理プログラム３０３を格納する。なお、各通信処理プログラム３０３は、プログラム名で識別可能である。

図４は、ハニーポット実行状態管理部１１５に格納されているハニーポット実行状態データの一例を示す図である。
図４において、ハニーポット実行状態データは、端末ＩＤ４０１、通信処理プログラム名４０２、ファイルシステム名４０３、ＩＰアドレス４０４、実行状態４０５、ＶＬＡＮ ＩＤ４０６で構成されている。

図５は、端末状態遷移シナリオ蓄積部１１０に格納されている端末状態遷移シナリオの一例を示す図である。
図５において、端末状態遷移シナリオは、シナリオの実施時刻５０１、実施対象とする模擬端末のＩＤを示す端末ＩＤ５０２、状態遷移を発生するために実施するコマンド５０３で構成されている。

図６は、高対話型ハニーポット実行コマンド蓄積部１１６に格納されている高対話型ハニーポット実行コマンド定義テーブルの一例を示す図である。
図６において、高対話型ハニーポット実行コマンド定義テーブルは、コマンド名６０１、コマンドを実施する端末の端末ＩＤ６０２、コマンドの実施時に起動する起動プログラム６０３、操作を実施する際のユーザ権限を持つユーザＩＤ６０４で構成されている。起動プログラム６０３には、６０５に示すように、起動プログラム６０３のコマンドに与えられる引数を参照する変数（図６では、＄１）を指定することができる。

図７は、端末状態蓄積部１０９の一構成例を示す図である。
図７において、端末状態蓄積部１０９には、各模擬端末の仮想マシンイメージ７０１〜７０２が格納されている。仮想マシンイメージは、各模擬端末のファイルシステムのイメージをファイルとして保存したものである。このようなファイルシステムのイメージをファイルとして保存する方法は、例えば基本ＯＳのｄｄコマンドのように、ＨＤＤ内の各セクタを順番に読み取り、ファイルに保存していくことなどで容易に実現可能である。

次に、実施の形態１に係る攻撃観察装置の動作について説明する。
はじめに、全体の動作の概要について説明する。本実施の形態１に係るハニーポットシステム１０１内で模擬される端末は、低対話型ハニーポット状態、高対話型ハニーポット状態の２通りの実行状態の間を遷移する。

通信管理部１１２は、本システム内で模擬する対象の端末を宛先とした通信が発生した場合、同端末の実行状態に応じ、低対話型ハニーポット部１０６、もしくは高対話型ハニーポット部１０３内の仮想マシン群１０４に通信データを中継する。

低対話型ハニーポット部１０６では、通信処理プログラム３０３に従い、送信されてきた通信データに対する応答を返す。もし処理方法について未定義の通信が来た場合等の理由により、通信処理プログラム３０３が高対話型ハニーポットへの切り替えが必要と判断した場合、宛先端末を模擬する仮想マシンが高対話型ハニーポット部１０３内で起動し、当該端末の実行状態は、高対話型ハニーポット状態に遷移する。以降の通信は、通信管理部１１２により、仮想マシンに転送される。

端末状態遷移シナリオ実行部１０７は、端末状態管理部１０８を操作することで、各模擬端末内の自発的な状態変更をシナリオにそって実施する。自発的な状態変更とは、模擬端末への通信とは無関係に発生する状態変化、すなわちファイルの変更であり、模擬端末上であたかも正規のユーザが活動を行なっているかのように見せかけることを目的としている。

次に、攻撃観察装置の各部の詳細な動作について説明する。はじめに通信管理部１１２の動作について図８を参照しながら説明する。
図８は、通信管理部１１２が他の端末と行なう通信と、通信管理部１１２内で実行する処理を示すシーケンス図である。

図８において、まず、端末１（８０１）が、模擬端末（ＩＰアドレスがＩＰ２）へ通信を行なう場合、端末１は、ＩＰ２を宛先として接続要求を送信する(８０３)。接続要求は、通信管理部１１２のパケット受信部２０７によって受信され、ゲートウェイ部２１０へと渡される。ゲートウェイ部２１０では、送信元とのコネクションを確立する。宛先ＩＰアドレスをキーとして、ハニーポット実行状態管理部１１５内のハニーポット実行状態データ（図４）を検索し、同端末が模擬端末であることを確認すると、低対話型ハニーポット８０２に対し、通信管理部１１２から接続要求を行ない、コネクションを確立する（８０４）。つまり、端末から別の端末へのコネクションは、通信管理部１１２内のゲートウェイ部２１０によって終端され、２本のコネクションとなる。ＴＣＰだけでなく、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）等の、さらに上位のプロトコルが構築するセッションも、通信管理部１１２で終端される。

その後、端末１（８０１）と低対話型ハニーポット（８０２）は、通信管理部１１２に通信を中継されながら通信を行なっていく（８０５〜８１５）。通信管理部１１２は、通信を中継しつつ、中継している通信のアプリケーション層の通信状態変化を監視し、状態遷移が発生した時の通信を通信復元用データ蓄積部２１１に保存する。

例えば、図８で例示している通信が、図９に示されるような状態遷移図で表されるような状態遷移を行なうアプリケーション層プロトコルを中継していたとする。
図９は、通信プロトコルの状態遷移の一例を示す図である。
図９の状態遷移の場合、ログイン（９０４）通信が発生した時に、通信状態が接続済（９０３）からログイン済（９０５）へと遷移することが判る。そのため、８０８でログインが成功後、８０９においてログインデータを通信復元用データ蓄積部２１１に保存しておく。なお、ログイン後に中継したコマンドは、図９の９０６の遷移に該当し、状態遷移を引き起こさないため、通信復元用データ蓄積部２１１には保存されない。

次に、８１５において、低対話型ハニーポット８０２へコマンド＃ｎの通信を転送後、低対話型ハニーポット８０２からハニーポットの切替要求８１６が送られてくると、通信管理部１１２は、ハニーポット実行状態管理部１１５内のハニーポット実行状態データ（図４）内の模擬端末の実行状態を高対話型ハニーポット状態へと変更する（８１７）。そして、高対話型ハニーポット部１０３内に、新たな仮想マシンを起動し、他の仮想マシンとは独立したＶＬＡＮを使い、仮想スイッチに接続させる（８１９）。

その後、通信管理部１１２は、起動した仮想マシンに接続を行ない（８２０）、通信状態を、直前まで低対話型ハニーポット８０２と端末1（８０１）との間で行われていた通信の状態まで復元させるため、通信復元用データ蓄積部２１１に保存しておいたログインデータを用い、ログイン要求を送信し（８２１）、ログイン応答を受け取る（８２２）。なお、８２１から８２２までの通信状態復元では、ハニーポット切替直前の通信状態を復元するため、コマンド＃１〜コマンド＃ｎ−１までは復元対象としない。その後、最後に低対話型ハニーポット８０２へ送信したコマンド＃ｎ（８２３）を送信し、その応答であるコマンド＃ｎ結果（８２４）を端末１（８０１）へと転送する（８２５）。

このように、両端末間に配置され、それぞれの端末と別個のコネクションを張って二つのコネクション間でデータを転送する装置としてプロキシ−サーバなどが知られているが、これら公知の実施例と本実施の形態１が異なる点として、本実施の形態１における通信管理部１１２が、ＩＰアドレスを偽装することで、どちらの端末からも、通信相手が通信管理部１１２であることを識別できないようにしている点が挙げられる。この動作は、各模擬端末への通信を開始する際に、通信元端末が相手のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスをブロードキャストするＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）要求に対し、通信管理部１１２のＡＲＰ応答部２０９が通信管理部１１２のＭＡＣアドレスを応答することによって実現される。

本実施の形態１において、通信管理部１１２のパケット送信部２０８は、パケットをどのネットワーク上に流さなければならないかを決定する必要がある。そのため、パケット送信部２０８は、ハニーポット実行状態管理部１１５に格納されているハニーポット実行状態データを参照し、宛先ＩＰに対応する模擬端末の実行状態を確認する。もし実行状態が低対話型であれば、低対話型ハニーポット８０２へ接続されたネットワーク（図２では、１１３）上にパケットを送信し、高対話型であれば、ハニーポット実行状態データ中から当該模擬端末が接続されているＶＬＡＮ ＩＤを取得し、同ＶＬＡＮに到着するように、ＶＬＡＮ ＩＤをタグとして格納したＬ２フレーム（タグＶＬＡＮ）に格納してパケットを送信する。

次に、図１０を参照しながら、低対話型ハニーポット８０２の動作について説明する。
図１０は、低対話型ハニーポット８０２の動作の流れを示すフローチャートである。

まず、ステップＳ１０１において、低対話型ハニーポット８０２は、パケットの到着を待つ。
次に、ステップＳ１０２において、低対話型ハニーポット８０２は、低対話型ハニーポット８０２にパケットが到着すると、宛先ＩＰを取得する。
次に、ステップＳ１０３において、低対話型ハニーポット８０２は、取得した宛先ＩＰをキーとして、実行状態管理部１１５に格納されているハニーポット実行状態データを検索し、同データに登録されている端末ＩＤと通信処理プログラム名を取得する。
次に、ステップＳ１０４において、低対話型ハニーポット８０２は、取得した端末ＩＤをパラメータとして与えて通信処理プログラム３０３を実行する。

ここで、通信処理プログラム３０３内での処理は、同プログラムが模擬するプロトコルによって詳細は変化するが、処理の流れは、図１１のフローチャートに示すようなものとなる。
図１１は、通信処理プログラム３０３内の動作の流れを示すフローチャートである。

まず、ステップＳ２０１において、通信処理プログラム３０３は、到着したパケットのデータを通信処理プログラム実行部３０１から受信する。
次に、ステップＳ２０２において、通信処理プログラム３０３は、受信したデータの解析を行ない、応答を返す、処理を終了する、あるいは高対話型ハニーポットへ切り替えるべきかを決定する。
次に、ステップＳ２０３において、通信処理プログラム３０３は、ステップＳ２０２でデータを解析した結果、高対話型ハニーポットへの切り替えが必要という結果になった場合、ステップＳ２０４に分岐し、実行結果に「切替要求」をセットして、プログラムは終了する。
次に、ステップＳ２０５において、通信処理プログラム３０３は、ステップＳ２０２でデータを解析した結果、処理の終了を決定した場合、ステップＳ２０６に分岐し、実行結果に「終了」をセットしてプログラムを終了する。また、ステップＳ２０２でデータを解析した結果、応答を返す場合、ステップＳ２０７に分岐する。

次に、ステップＳ２０７において、通信処理プログラム３０３は、受信したデータに対する応答を作成する上で、端末状態の参照もしくは変更が必要かどうかを判定する。例えば、応答に模擬端末内の何らかのファイルの内容を格納する必要があったり、あるいは受信したデータが何らかのファイルの変更を要求するコマンドであったりした場合などが該当する。端末状態の参照もしくは変更が必要と判断された場合、ステップＳ２０８に分岐し、端末状態管理部１０８を端末ＩＤとコマンドをパラメータとして呼出し、必要な参照もしくは変更を実施する。

最後に、ステップＳ２０９において、通信処理プログラム３０３は、応答データを作成し、通信管理部１１２に送信する。送信されたデータは、通信管理部１１２のゲートウェイ部２１０を通じて宛先端末へと転送される。その後、通信処理プログラム３０３は、再びステップＳ２０１に戻り、次のデータが到着するのを待つ。

通信処理プログラムが終了すると、処理は、図１０のステップＳ１０５に復帰する。
ステップＳ１０５において、低対話型ハニーポット８０２は、通信処理プログラムの実行結果を確認し、「切替要求」だった場合にはステップＳ１０６に分岐し、通信管理部１１２にハニーポット切替要求を通知する。その後、低対話型ハニーポット８０２は、再びステップＳ１０１に戻る。

次に、端末状態管理部１０８の動作について図１２を参照しながら説明する。
図１２は、端末状態管理部１０８の動作の流れを示すフローチャートである。

まず、ステップＳ３０１において、端末状態管理部１０８は、端末ＩＤとコマンドを受信する。
次に、ステップＳ３０１において、端末状態管理部１０８は、受信した同端末ＩＤをキーとして、実行状態管理部１１５に格納されているファイルシステム名を取得する。
次に、ステップＳ３０１において、端末状態管理部１０８は、取得したファイルシステム名を基に、同ファイルシステムが格納された仮想マシンイメージ上で与えられたコマンドを実行するための関数を選択し呼出す。このような関数は、例えば基本ＯＳのｍｏｕｎｔコマンドのように、ファイルを仮想的なファイルシステムとして操作可能にするコマンドに適用されている技術を用いれば、作成することができる。

なお、本実施の形態１では、関数は、端末状態管理部１０８に関数として実装されているが、モジュールとして分け、ファイルシステム名でロードするモジュールを切り替えることも可能である。

また、本実施の形態１において、端末状態管理部１１２で実行可能なコマンドの例を説明する。
図１３は、端末状態管理部１１２で実行可能なコマンドの例を示す図である。
図１３にある通り、コマンドには操作対象とするファイル名等、パラメータを必要とするものがある。その場合、コマンド名と必要なパラメータで、一つの完全なコマンドとなる。なお、端末状態管理部１１２で実行可能なコマンドは、図１３に示した例に限定されるものではない。

最後に、ステップＳ３０４において、端末状態管理部１０８は、関数を実行した処理結果を、呼出し元に返し、処理は終了する。

次に、端末状態遷移シナリオ実行部１０７の処理について図１４を参照しながら説明する。
図１４は、端末状態遷移シナリオ実行部１０７の動作の流れを示すフローチャートである。

まず、ステップＳ４０１において、端末状態遷移シナリオ実行部１０７は、システム起動時に、端末状態遷移シナリオ蓄積部１１０から端末状態遷移シナリオをロードする。端末状態遷移シナリオは、図５のように、実施時刻５０１、端末ＩＤ５０２、コマンド５０３を要素とする表形式で構成されている。
次に、ステップＳ４０２において、端末状態遷移シナリオ実行部１０７は、現在の時刻を取得する。
次に、ステップＳ４０３において、端末状態遷移シナリオ実行部１０７は、ステップＳ４０２で取得した時刻に一致する実施時刻５０１が記載された実施シナリオが端末状態遷移シナリオに有るか調べる。もし無ければ、ステップＳ４０２に戻る。

次に、ステップＳ４０４において、端末状態遷移シナリオ実行部１０７は、当該シナリオの端末ＩＤ５０２とコマンド５０３を取得する。
次に、ステップＳ４０５において、端末状態遷移シナリオ実行部１０７は、取得した端末ＩＤをキーとして実行状態管理部１１５を検索し、当該ＩＤの端末の実行状態を取得する。
次に、ステップＳ４０６において、端末状態遷移シナリオ実行部１０７は、同端末ＩＤで示される模擬端末の実行状態が高対話型ハニーポットかどうかを確認する。もし高対話型ハニーポットであった場合には、ステップＳ４０７に分岐する。

次に、ステップＳ４０７において、端末状態遷移シナリオ実行部１０７は、高対話型ハニーポット実行コマンド蓄積部１１６に格納された高対話型ハニーポット実行コマンド定義テーブル（図６）を、コマンド名と端末ＩＤをキーとして検索し、操作に該当する起動プログラム６０３とユーザＩＤ６０４を取得する。起動プログラム６０３には、仮想マシン上で起動するプログラム名と、起動時に与える引数が記載されている。図６中＄１と書かれている部分は、コマンドに含まれるパラメータのうち、一つ目の値を指す変数である。取得した起動プログラム６０３を、当該仮想マシン上で、取得したユーザＩＤの権限で起動する。このような仮想マシン内でのプログラム起動は、既存の仮想マシン実行環境の製品でも提供されている機能であり、実現は容易である。

最後に、ステップＳ４０８において、端末状態遷移シナリオ実行部１０７は、端末状態管理部１０８に、端末ＩＤと、シナリオから取得したコマンドを渡し、ステップＳ４０２に戻る。

以上のように、本実施の形態１の発明では、通信管理部１１２で転送先ハニーポットを切り替えることにより、最初は低対話型ハニーポットで通信を処理させ、必要な場合のみ高対話型ハニーポットに切り替えて、高対話型ハニーポットの使用を抑えることができるため、大規模なシステムを模擬した攻撃観察装置を少ない計算機資源で実現できるという効果がある。

また、端末状態蓄積部１０９に格納する端末状態として、仮想マシンのイメージファイルを用い、さらに端末状態管理部１０８で同ファイルを操作することで、低対話型ハニーポットと高対話型ハニーポットの実行状態を同期させることができる。

また、通信管理部１１２でアプリケーション層のプロトコル状態遷移を追跡し、状態復元に必要なデータを蓄積し、ハニーポット切替時に通信状態復元のための通信を行なうことで、通信の状態不整合など起こすことなくハニーポットを切り替えることができる。

また、通信管理部１１２内で、通信を終端させることで、ＴＣＰやＴＬＳといったプロトコルを用いた通信であっても、ハニーポットを切り替えることができる。

また、全ての模擬端末ＩＰに対するＡＲＰ要求に、通信管理部１１２がＡＲＰ応答を返すこと、さらに仮想マシンを各々異なるＶＬＡＮ上に接続した状態で起動することで、全ての通信が通信管理部１１２を経由することを保証することができる。

また、端末状態遷移シナリオに従い、端末状態を変更していくことで、模擬端末内であたかもユーザが業務を行なっているかのような状態を再現できる。

また、高対話型ハニーポットに対し、端末状態遷移シナリオにそった状態遷移を行わせる際に、仮想マシン内にプロセスを起動することで、一層、ユーザが業務を行なっているかのように偽装することができる。

実施の形態２．
以上の実施の形態１では、通信管理部１１２が通信を低対話型ハニーポット、及び高対話型ハニーポットに転送するようにしたものであるが、次に、本実施の形態２では、通信管理部１１２のゲートウェイ部２１０で低対話型ハニーポットを動作させる場合について説明する。

図１５は、実施の形態２に係る通信管理部１１２周辺のシステム構成の一例を示す図である。
図１５を図２と比較すると、低対話型ハニーポット部１０６が無くなり、かわりにゲートウェイ部２１０が、ゲートウェイ部兼低対話型ハニーポット部１５０１になっていることが判る。

次に、本実施の形態２におけるゲートウェイ部兼低対話型ハニーポット部１５０１の動作について説明する。ゲートウェイ部兼低対話型ハニーポット部１５０１は、端末からの通信を受けると、実施の形態１のゲートウェイ部２１０と同様に通信復元用のデータを保存しつつ、通信を低対話型ハニーポット部で処理する。このような処理は、実施の形態１のゲートウェイ部２１０上で、通信を転送するかわりに実施の形態１で開示した通信処理プログラム３０３にデータを入力することで容易に実現することが可能である。通信処理プログラム３０３が、ハニーポットの切替要求を返してきた場合、実施の形態１と同様な方法で高対話型ハニーポットの起動、および通信状態の復元を行なう。以降は実施の形態１と同様に通信を起動した高対話型ハニーポットへ転送する。

以上のように、本実施の形態２の発明では、低対話型ハニーポットの処理を通信管理部１１２上で実施することにより、通信を低対話型ハニーポットへ転送するオーバヘッドが無くなり、通信に対する応答遅延を低減できるという効果がある。

実施の形態３．
以上の実施の形態1、２では、高対話型ハニーポット部１０３内の各仮想マシンをそれぞれ別のＶＬＡＮに接続させるようにしたものであるが、次に、本実施の形態３では、ＶＬＡＮを使用せず通信管理部１１２上で各仮想マシンのＡＲＰキャッシュを設定することで同等の効果を得るようにした場合について説明する。

図１６は、本実施の形態３に係る通信管理部１１２周辺のシステム構成の一例を示す図である。
図１６を図２と比較すると、仮想マシン２０１、２０２、及び通信管理部１１２が、同一のＬＡＮに接続されていることが判る。また、実施の形態１の通信管理部１１２内ではＡＲＰ応答部２０９とされていた構成が、ＡＲＰキャッシュ設定部１６０１に置き換えられている。

次に、本実施の形態３における通信管理部１１２の動作について説明する。本実施の形態３では、起動中の各仮想マシンに対し、通信管理部１１２が、全ての模擬端末のＩＰに対応するＭＡＣアドレスが、ネットワーク２０６に接続されている通信管理部１１２のインタフェースに割り当てられたＭＡＣアドレスであることを示すＡＲＰ応答パケットを定期的に送信する。
図１７は、ＡＲＰ応答パケットの一例を示す図である。
図１７に示すように、パケットには、各仮想マシンＩＰ（１７０２）に対するＭＡＣアドレス（１７０１）として通信管理部１１２のＭＡＣアドレスが使用される。これにより、各仮想マシンは、たとえ通信相手が隣接する仮想マシンであっても、その仮想マシンに直接通信を送ることはなく、通信管理部１１２へとパケットを送信することとなる。

以上のように、本実施の形態３の発明では、ＡＲＰ応答を偽装して各仮想マシンに送信することで、各仮想マシンをＶＬＡＮで分離する必要が無くなり、システムの構成を簡略化できるという効果がある。
なお、本実施の形態３で開示した方式は、実施の形態１だけでなく、実施の形態２であっても同じ様に適用できることは言うまでもない。

実施の形態４．
以上の実施の形態１〜３では、通信状態復元に必要なデータを全て通信管理部１１２に保存し、通信状態復元時には通信管理部１１２が起動した仮想マシンと通信を行なっていたが、次に、本実施の形態４では、アプリケーション層の通信状態復元については、低対話型ハニーポットを使用する場合について説明する。

図１８は、本実施の形態４に係る通信管理部１１２周辺のシステム構成の一例を示す図である。
図１８を実施の形態１の図２と比較すると、通信復元用データ蓄積部２１１が無くなり、また、低対話型ハニーポットからのアプリケーション層通信状態を復元するための通信を仮想マシンへ転送するアプリケーション層復元用通信転送部１８０１が付加されている。

図１９は、本実施の形態４に係る攻撃観察装置の低対話型ハニーポット部１０６の構成の一例を示す図である。
図１９を、実施の形態１の低対話型ハニーポット部１０６の構成を示す図３と比較すると、アプリケーション層通信を復元するためのデータを蓄積するアプリケーション層通信復元用データ蓄積部１９０１と、アプリケーション層の通信を復元するための復元プログラム１９０３を蓄積する通信状態復元用プログラム蓄積部１９０２が付加されている。

次に、実施の形態４に係る攻撃観察装置の動作について説明する。実施の形態４では、低対話型ハニーポット部１０６の動作は、図２０のように行われる。
図２０は、実施の形態４に係る低対話型ハニーポット部１０６の動作の流れを示すフローチャートである。

図２０のフローチャートでは、ステップＳ５０６までは、実施の形態１と同じであるが、ステップＳ５０６でハニーポット切替要求を実行後、ステップＳ５０７で通信復元プログラムを取得し、同プログラムを用いて、ステップＳ５０８でアプリケーション層の通信状態を復元する。

ステップＳ５０８でアプリケーション層の通信状態を復元する為に必要なデータを蓄積するため、本実施の形態４における通信処理プログラムは、図２１に示されるフローチャートのように動作する。
図２１は、実施の形態４に係る通信処理プログラムの動作の流れを示すフローチャートである。

図２１のフローチャートでは、実施の形態１で示したフローチャートに、ステップＳ６０７、及びステップＳ６０８を付加したものとなっている。つまり、通信処理プログラム内で、通信状態復元のためにデータ保存が必要と判断した場合（例えば、実施の形態１の図８において、アプリケーション層プロトコル上でのログイン要求を受信した時など)、必要なデータを保存する処理が追加されている。

通信管理部１１２がハニーポット切替要求を受けると、実施の形態１と同様に仮想マシンを起動し、下位層の通信（例えば、ＴＣＰやＴＬＳセッション等）を復元する。その後、低対話型ハニーポット内の通信復元プログラムから送信されてくる通信復元用アプリケーション層データを、復元した通信コネクション上で仮想マシンに転送する。同様に、仮想マシンからの応答を通信復元プログラムに転送する。以上の通信を、通信復元プログラムが終了するまで実行し、通信の復元が終了する。

以上のように、本実施の形態４の発明は、通信管理部１１２ではＴＣＰやＴＬＳといったアプリケーション層以下のプロトコルの復元までを担当し、アプリケーション層の通信状態復元は、低対話型ハニーポット上の通信復元プログラムで実行することで、通信管理部１１２をアプリケーション層のプロトコルの変更に対して影響を受けないようにすることができるという効果がある。なお、実施の形態２で述べた通り、本実施の形態４も通信管理部１１２上で動作可能であることは言うまでもない。

実施の形態５．
以上の実施の形態１〜４では、低対話型ハニーポットからの要求に応じて高対話型ハニーポットへと切り替えたが、次に、本実施の形態５では、低対話型ハニーポット内、もしくは低対話型ハニーポットと通信管理部１１２とを接続しているネットワーク上に侵入検知装置（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）を設置し、ＩＤＳが攻撃を検知したことをハニーポット切替の条件とする場合を説明する。

図２２は、実施の形態５に係る通信管理部１１２周辺のシステム構成の一例を示す図である。
図２２において、ＩＤＳ２２０１が低対話型ハニーポットへの通信を監視し、攻撃を検知した時点で通信管理部１１２に通知され、高対話型ハニーポットへの切り替えが実行される。ハニーポットの切り替えや、切替後の通信状態復元は、実施の形態１〜４と同様である。

以上のように、本実施の形態５の発明は、ＩＤＳが攻撃を検知したことをハニーポット切替の条件とすることにより、未定義の通信が来た場合だけでなく、ＩＤＳが検知可能な攻撃全体を対象として、網羅的にハニーポットを切り替えることができ、より精巧に大規模システムを模擬することができるという効果がある。

１０１ ハニーポットシステム（攻撃観察装置）、１０２ 外部ネットワーク、１０３ 高対話型ハニーポット部、１０４ 仮想マシン群、１０５ 仮想マシン実行環境、１０６ 低対話型ハニーポット部、１０７ 端末状態遷移シナリオ実行部、１０８ 端末状態管理部、１０９ 端末状態蓄積部、１１０ 端末状態遷移シナリオ蓄積部、１１２ 通信管理部、１１５ ハニーポット実行状態管理部、１１６ 高対話型ハニーポット実行コマンド蓄積部、２０１〜２０２ 仮想マシン、２０５ 仮想スイッチ、２０７ パケット受信部、２０８ パケット送信部、２０９ ＡＲＰ応答部、２１０ ゲートウェイ部、２１１ 通信復元用データ蓄積部、３０１ 通信処理プログラム実行部、３０２ 通信処理プログラム蓄積部、３０３ 通信処理プログラム、７０１〜７０２ 仮想マシンイメージ、１５０１ ゲートウェイ部兼低対話型ハニーポット部、１６０１ ＡＲＰキャッシュ設定部、１８０１ アプリケーション層復元用通信転送部、１９０１ アプリケーション層通信復元用データ蓄積部、１９０２ 通信状態復元用プログラム蓄積部、１９０３ 復元プログラム、２２０１ ＩＤＳ。

Claims (12)

1. マルウェアを動作させて前記マルウェアの攻撃を観察する環境である攻撃観察装置であって、
   端末上で前記マルウェアからの通信に対して予め決められた応答を実行する低対話型模擬環境と、
   前記端末を模擬する仮想マシンにより前記マルウェアからの通信に対して応答を実行する高対話型模擬環境と、
   前記マルウェアからの通信に対する前記低対話型模擬環境の実行状態を監視し、前記低対話型模擬環境の前記実行状態に応じて、前記マルウェアからの通信を前記高対話型模擬環境へ切り替える通信管理部と
   を備える攻撃観察装置。
2. 前記低対話型模擬環境は、自らの実行状態に応じて前記マルウェアからの通信を前記高対話型模擬環境へ切り替える切替要求を前記通信管理部に送信し、
   前記通信管理部は、前記低対話型模擬環境から送信された前記切替要求を受信した場合に、前記マルウェアからの通信を前記高対話型模擬環境へ切り替える請求項１記載の攻撃観察装置。
3. 前記低対話型模擬環境及び前記高対話型模擬環境の前記実行状態を格納して管理する実行状態管理部を備え、
   前記通信管理部は、前記実行状態管理部により管理されている前記実行状態に応じて、前記マルウェアからの通信を前記高対話型模擬環境へ切り替える請求項１記載の攻撃観察装置。
4. 各端末の状態遷移のシナリオを示す端末状態遷移シナリオを蓄積する端末状態遷移シナリオ蓄積部と、
   前記端末状態遷移シナリオに従って前記端末の状態遷移を実行する命令を出力する端末状態遷移シナリオ実行部と、
   前記端末状態遷移シナリオ実行部が出力した前記命令に従って前記端末の状態を変更する端末状態管理部と
   を備える請求項１記載の攻撃観察装置。
5. 前記高対話型模擬環境上で前記端末状態遷移シナリオを実行するコマンドを蓄積する実行コマンド蓄積部を備え、
   前記端末状態遷移シナリオ実行部は、前記実行コマンド蓄積部に蓄積された前記コマンドにより前記端末の状態遷移を実行する命令を出力する請求項４記載の攻撃観察装置。
6. 前記端末の通信状態の復元に必要な復元用データを蓄積する通信復元用データ蓄積部を備え、
   前記通信管理部は、前記復元用データを用いて、前記マルウェアからの通信を前記高対話型模擬環境へ切り替える際に通信状態を復元する通信を行なう請求項１記載の攻撃観察装置。
7. 前記通信管理部は、前記端末からの通信を終端させて、前記通信を各端末へ中継する請求項１記載の攻撃観察装置。
8. 前記通信管理部は、自らの内部に備えられた前記低対話型模擬環境により、前記低対話型模擬環境の処理を実行する請求項１記載の攻撃観察装置。
9. ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）に対する偽装応答の設定であるＡＲＰキャッシュを格納するＡＲＰキャッシュ設定部を備え、
   前記通信管理部は、前記高対話型模擬環境の前記仮想マシンに前記ＡＲＰキャッシュを送信する請求項１記載の攻撃観察装置。
10. 前記低対話型模擬環境は、前記端末のアプリケーション層の通信状態を復元した通信復元用アプリケーション層データを前記通信管理部に送信し、
    前記通信管理部は、前記通信復元用アプリケーション層データを前記高対話型模擬環境の前記仮想マシンに転送する請求項１記載の攻撃観察装置。
11. 前記通信管理部は、前記マルウェアの侵入を検知する侵入検知装置の検知結果により、前記マルウェアからの通信を前記高対話型模擬環境へ切り替える請求項１記載の攻撃観察装置。
12. マルウェアを動作させて前記マルウェアの攻撃を観察する環境である攻撃観察装置の攻撃観察方法であって、
    低対話型模擬環境が、端末上で前記マルウェアからの通信に対して予め決められた応答を実行する低対話型模擬環境ステップと、
    高対話型模擬環境が、前記端末を模擬する仮想マシンにより前記マルウェアからの通信に対して応答を実行する高対話型模擬環境ステップと、
    通信管理部が、前記マルウェアからの通信に対する前記低対話型模擬環境の実行状態を監視し、前記低対話型模擬環境の前記実行状態に応じて、前記マルウェアからの通信を前記高対話型模擬環境へ切り替える通信管理ステップと
    を備える攻撃観察方法。

Images