WO2014103115A1 - 不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体 - Google Patents

不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体 Download PDF

Info

Publication number
WO2014103115A1
WO2014103115A1 PCT/JP2013/006230 JP2013006230W WO2014103115A1 WO 2014103115 A1 WO2014103115 A1 WO 2014103115A1 JP 2013006230 W JP2013006230 W JP 2013006230W WO 2014103115 A1 WO2014103115 A1 WO 2014103115A1
Authority
WO
WIPO (PCT)
Prior art keywords
decoy
log
behavior pattern
access control
attacker
Prior art date
Application number
PCT/JP2013/006230
Other languages
English (en)
French (fr)
Inventor
北澤　繁樹
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Publication of WO2014103115A1 publication Critical patent/WO2014103115A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2123—Dummy operation

Definitions

  • the present invention relates to an unauthorized intrusion detection device that detects unauthorized intrusion into a network.
  • behavior information for identifying behavior indicating an illegal attack or intrusion is stored in a database in advance, and a process that operates on a terminal is stored.
  • a process that operates on a terminal is stored.
  • Patent Document 2 for the purpose of detecting a virus infection in a network, a server, a folder, an application, etc. are installed on a monitoring network as a decoy means accessible via the network. By detecting access to the means, and detecting the invasion of the virus, and detecting the intrusion of the virus, by detecting the computer that is the source of the virus from the communication information acquired at the time of the virus intrusion A method for detecting an unknown virus has also been proposed.
  • Patent Document 1 In the conventional fraud detection device (for example, Patent Document 1), after clarifying what behavior is shown during normal operation for all processes to be monitored, all the behavior that is not shown during normal operation is made into a database. If it is not kept, there is a problem that detection failure occurs. In the first place, it is practically difficult to clarify the behavior of all processes operating on a computer during normal operation.
  • the present invention has been made to solve the above-described problems.
  • a targeted attack allows an attacker to enter an internal network from an external network
  • the attacker can The purpose is to detect the occurrence of a targeted attack by detecting the behavior of searching the network.
  • an unauthorized intrusion detection apparatus includes a decoy generation unit that generates a decoy in a device accessible via a network, and access control for the decoy generated by the decoy generation unit.
  • a decoy generation unit that generates a decoy in a device accessible via a network, and access control for the decoy generated by the decoy generation unit.
  • log collection means for collecting logs
  • behavior pattern database for storing behavior patterns indicating patterns of access control events observed when an attacker enters the network
  • Log analysis means for detecting an intruder by an attacker based on the degree of coincidence between the event pattern of access control for the decoy and the behavior pattern stored in the behavior pattern database.
  • the unauthorized intrusion detection method includes a decoy generating step in which a decoy generating unit generates a decoy in a device accessible via a network, and a log collecting unit for the decoy generated by the decoy generating unit.
  • a log collection step for collecting access control logs
  • a behavior pattern database storage step for storing behavior patterns indicating a pattern of access control events observed when an attacker enters the network
  • a log An analysis unit detects an intruder by an attacker based on a degree of coincidence between an access control event pattern for the decoy included in the log collected by the log collection unit and the behavior pattern stored in the behavior pattern database.
  • Log analysis step to detect Than is.
  • the unauthorized intrusion detection program collects a decoy generation unit that generates a decoy in a device accessible via a network, and an access control log for the decoy generated by the decoy generation unit.
  • Log collection means a behavior pattern database storing a behavior pattern indicating an access control event pattern observed when an attacker enters the network, and the decoy included in the log collected by the log collection means It is made to function as a log analysis means for detecting an intruder by an attacker based on the degree of coincidence between an access control event pattern and the behavior pattern stored in the behavior pattern database.
  • the computer-readable recording medium recording the unauthorized intrusion detection program includes a decoy generating unit that generates a decoy in a device accessible via a network, and the decoy generating unit that generates the decoy generating unit.
  • Log collection means for collecting access control logs for decoys, behavior pattern database for storing behavior patterns indicating patterns of access control events observed when an attacker enters the network, and collection by the log collection means For functioning as log analysis means for detecting an intruder of an attacker based on the degree of coincidence between the pattern of the access control event for the decoy included in the recorded log and the behavior pattern stored in the behavior pattern database Record an intrusion detection program It is obtained by and.
  • an event that is suspected of an attacker entering the internal network is detected based on the presence or absence of access to the decoy, and is determined from the behavior pattern related to the user and terminal that accessed the decoy. There is an effect that it becomes possible to detect that an attacker is invading the internal network by the type attack.
  • FIG. 1 It is a block diagram which shows one Example of the unauthorized intrusion detection apparatus which concerns on Embodiment 1 of this invention. It is a figure which shows an example of a structure of the unauthorized intrusion detection apparatus.
  • 2 is a diagram illustrating an example of a configuration of a file server 2.
  • FIG. An example of a log data storage format 28 stored in the log database 19 is shown.
  • 4 is a flowchart showing the operation of the decoy generation unit 12 of the unauthorized intrusion detection device 1. It is a figure which shows the data structure 29 of the decoy information database. It is a figure which shows the data structure 30 of a decoy database. It is a flowchart which shows operation
  • FIG. 1 is a configuration diagram showing an example of an unauthorized intrusion detection apparatus according to Embodiment 1 of the present invention.
  • an unauthorized intrusion detection apparatus 1 a file server 2, a terminal A3, a terminal B4, a mail server 5, and an authentication server 6 are connected via a network 7 inside the organization. Further, it is assumed that the terminal A3 is infected with malware and is remotely operated from the attacker server 8 through the Internet 9, the firewall 10, and the proxy 11.
  • FIG. 2 is a diagram illustrating an example of the configuration of the unauthorized intrusion detection apparatus 1.
  • the unauthorized intrusion detection device 1 includes a decoy generation unit 12 and a log collection analysis unit 13.
  • the decoy generation unit 12 further includes a decoy creation registration unit 14, a decoy information database 15, and a decoy database 16.
  • the log collection and analysis unit 13 includes a log collection unit 17, a log analysis unit 18, a log database 19, and a behavior pattern database 20.
  • a pattern of an event observed when an attacker enters the internal network by a targeted attack is stored as a behavior pattern.
  • authentication is performed by multiple different users from the same terminal
  • access to files and folders by a specific user account is more frequent than usual
  • specific terminal Examples of event patterns (behavior patterns) such as “I frequently visit suspicious websites from” and “Users using the terminal received an email with a suspicious file attached”. is there.
  • the log database 19 of the log collection and analysis means 13 stores logs collected from various devices such as the firewall 10, the proxy 11, the mail server 5, the authentication server 6, the file server 2, the terminal A3, and the terminal B4. Yes.
  • logs may be stored in a table created in accordance with the format of each collected log.
  • the format differs as in a log collection device generally called an “integrated log management system”. It is assumed that each log is converted to a single format and managed centrally.
  • FIG. 3 is a diagram illustrating an example of the configuration of the file server 2.
  • folders 22 to 24 and files 25 to 27 are stored in the data storage unit 21 as electronic data.
  • the folder 22 represents a decoy folder
  • the file 25 represents a decoy file.
  • the folder 22 and the file 25 are distinguished from other folders and files.
  • the folders 22 and the files 25 cannot be distinguished from other folders and files.
  • the stored electronic data 22 to 27 can be accessed from other terminals A3 and B4 connected via the network 7 inside the organization.
  • the electronic data 22 to 27 on the file server 2 are set for access control based on appropriate user authentication by the authentication server 6. Accordingly, when a user without access right accesses a folder or file of the electronic data 22 to 27, a log in which access is denied is recorded in the log database 19. In addition, a log is also recorded when access is permitted.
  • FIG. 4 shows an example of a log data storage format 28 stored in the log database 19.
  • the log includes date and time, data attributes (file access or user authentication), terminal name, user name, access control target name (folder path or file path), and access control result (permission or Rejected) and user authentication result (permitted or rejected) are described as items.
  • Logs related to access to folders and files recorded on the file server 2 are collected by the unauthorized intrusion detection device 1 via the network 7 and stored in the log database 19 by the log collection means 17 of the log collection analysis means 13.
  • the Logs collected by the unauthorized intrusion detection device 1 are referred to by the log analysis means 18 from the log database 19 and analyzed in order to detect unauthorized intrusion.
  • FIG. 4 shows an example of a log data storage format 28 stored in the log database 19.
  • the log includes date and time, data attributes (file access or user authentication), terminal name, user name, access control target name (folder path or file path), and access control result (permission or Rejected) and user authentication result (per
  • the unauthorized intrusion detection device 1 and other devices are connected by the network 7.
  • the unauthorized intrusion detection device 1 only needs to collect logs generated by each device on the network, Not only the configuration of FIG. 1, but each device and a network for log collection may be separately configured.
  • the operation of the unauthorized intrusion detection device 1 includes three operations: (1) decoy creation, (2) log collection, and (3) intrusion detection by log analysis. Each operation will be described with reference to FIG. 5, FIG. 6, and FIG.
  • FIG. 5 is a flowchart showing the operation of the decoy generation unit 12 of the unauthorized intrusion detection apparatus 1.
  • the decoy creation operation by the decoy generation unit 12 is performed at regular or random time intervals.
  • step S ⁇ b> 101 the decoy generation unit 12 refers to the decoy information database 15 by the decoy creation registration unit 14 and acquires the decoy information currently installed on the file server 2.
  • FIG. 6 is a diagram showing the data structure 29 of the decoy information database 15. The first line in FIG. 6 represents a column name indicating a decoy information item. From the second line onward, the name of the file server where the decoy is installed, the decoy attribute (by file or folder), the decoy classification (individual, customer, specification, etc.), and the decoy is installed on the file server. A path (installation path) is registered.
  • step S102 if there is a decoy on the decoy installation path acquired in step S101, the decoy creation registration unit 14 proceeds to a Yes branch and performs the process of step S103. If there is no decoy, the process proceeds to branch No, and the process of step S105 is performed.
  • step S103 the decoy creation registration unit 14 deletes the decoy already installed on the installation path from the file server 2, and in step S104, the decoy deleted from the file server 2 from the decoy information database 15. Delete the decoy information.
  • step S105 the decoy creation registration unit 14 accesses the file server 2 and randomly selects an arbitrary folder for creating a decoy.
  • step S106 the decoy creation registration unit 14 refers to the decoy database 16 and randomly selects a decoy folder or file.
  • FIG. 7 is a diagram showing the data structure 30 of the decoy database 16.
  • the first line in FIG. 7 represents a column name indicating a decoy item.
  • the attributes of the decoy file by file or folder
  • decoy classification individual, customer, specification, etc.
  • electronic data that is the basis of the decoy
  • a folder keeps a plurality of files under the folder, a plurality of files including the folder are compressed into a single file.
  • the decoy file name and folder name can be increased by the decoy intrusion detection rate by making the name that the attacker is likely to access with interest.
  • step S107 the decoy creation registration unit 14 creates a decoy in the folder selected in step S105.
  • step S108 the decoy creation registration unit 14 registers the created decoy decoy information in the decoy information database 15, and ends the decoy generation operation.
  • FIG. 8 is a flowchart showing the operation of the log collection means 17 of the unauthorized intrusion detection apparatus 1.
  • the log collection unit 17 determines whether or not a log is received from each device connected to the network 7 being monitored. If the log is received, the process proceeds to the branch of step S202. If the log is not received, the process waits for the log to be received.
  • step S ⁇ b> 202 the log collection unit 17 sequentially stores the received logs in the log database 19.
  • FIG. 9 is a flowchart showing the operation of the log analysis means 18 of the unauthorized intrusion detection device 1.
  • Intrusion detection by log analysis is an operation when access to the decoy installed on the file server 2 occurs.
  • the access control log sent from the file server 2 is monitored, and the unauthorized intrusion detection apparatus 1 receives the access control log that matches the decoy information stored in the decoy information database 15. If this happens, it is determined that access to the decoy has occurred.
  • step S301 the log analysis means 18 first initializes the value of the counter X to zero.
  • step S ⁇ b> 302 the log analysis unit 18 reads one behavior pattern from the behavior pattern database 20.
  • FIG. 10 is a diagram showing the data structure 31 of the behavior pattern database 20.
  • the first line in FIG. 10 represents a column name indicating a behavior pattern.
  • a list of behavior patterns is stored from the second line.
  • the behavior patterns are not limited to those shown in FIG. 10, but can be defined and registered by the user.
  • step S303 when the log analysis unit 18 has successfully read the behavior pattern, the log analysis unit 18 proceeds to a Yes branch and performs the process of step S304.
  • step S304 the log analysis means 18 specifies the user and terminal that accessed the decoy from the access control log, and searches the log database 19 based on the information.
  • step S305 if the log analysis unit 18 searches the log database 19 and an event that matches the behavior pattern read in S302 has occurred, the process proceeds to a Yes branch.
  • step S306 the counter X 1 is added to and the process returns to step S302.
  • step S305 if no event matching the behavior pattern is detected, the process returns to step S302.
  • step S306 the processing from step S302 to step S306 is repeated, and when reading of the behavior pattern fails in step S303, it is determined that the processing has been completed for all items in the behavior pattern database 20, and the branch of No The process proceeds to step S307.
  • step S307 the log analysis unit 18 compares the value of the counter X at that time with a predetermined threshold value. If the counter X is equal to or greater than the threshold value, the process proceeds to a Yes branch, and in step S307. Since the decoy access frequency (counter X) is high as the degree of coincidence with the behavior pattern, it is determined that a target-type attack has occurred, and the process is terminated. If the value of the counter X is less than the threshold value, the process is terminated as it is. In this case, it is determined that the generated access to the decoy was harmless such as an operation error or a setting error by a legitimate user.
  • Embodiment 2 the occurrence of the target-type attack is determined based on the access frequency to the decoy. However, instead of the access frequency to the decoy that is the degree of coincidence with the behavior pattern, the importance to the decoy is set. It is also possible to determine the occurrence of a targeted attack in consideration of this importance.
  • FIG. 11 is a diagram illustrating an example 32 in which importance is given to the data structure 30 of the decoy database 16.
  • the importance assigned to the decoy file is set in advance according to the importance of the information included in the decoy file.
  • FIG. 12 is a flowchart showing the operation of the log analysis means 18 of the unauthorized intrusion detection apparatus 1 when the importance assigned to the decoy file is used.
  • step S401 to step S405 in FIG. 12 is the same as the processing from step S301 to step S305 in FIG.
  • the log analysis means 18 refers to the importance assigned to the decoy in the decoy database 16 for the accessed decoy, adds the importance to the counter X, and performs the process of step S402. Return to.
  • step S407 the log analysis unit 18 compares the value of the counter X at that time with a predetermined threshold value. If the counter X is equal to or greater than the threshold value, the process proceeds to a Yes branch, and in step S408. Since the degree of coincidence with the behavior pattern has a high importance value (counter X), it is determined that a target-type attack has occurred, and the process ends.
  • the importance is assigned to each behavior pattern stored in the behavior pattern database 20 in addition to the case where the importance is assigned to the decoy file.
  • the importance assigned to the detected behavior pattern is counted. You may add to X. As a result, there is an effect that it is possible to more appropriately determine that a targeted attack against an important behavior pattern has occurred.
  • the number of accesses to the suspicious website may be used.
  • a list of suspicious websites is stored as a black list, and when a predetermined number or more of suspicious websites are included in the access destination included in the access control log of a specific terminal, the behavior pattern matches. Since the number of accesses to suspicious websites (counter X) is high, it is determined that a target-type attack has occurred. Accordingly, there is an effect that it is possible to more appropriately determine that a targeted attack using a suspicious website has occurred.
  • the frequency at which suspicious mail is included in the mail received by the user may be used. Whether or not the email is suspicious is determined by, for example, text information such as the subject, body, and attached file name of the email received by the user, such as “important information”, “important notice”, “customer list”, etc. When a specific keyword is included, it is determined that the email is suspicious.
  • the log analysis means 18 stores a list of these specific keywords in advance, and in the process of detecting an event that matches the behavior pattern, the log analysis means 18 refers to the list of the specific keywords, and the character of the received mail of the user A specific keyword included in the information is extracted, and for example, the number of extracted specific keywords is added to the counter X to determine whether a target-type attack has occurred. Accordingly, there is an effect that it is possible to more appropriately determine that a targeted attack using suspicious mail has occurred.
  • Embodiment 3 In the first embodiment, when a decoy is created on the file server 2, the decoy selected from the decoy database 16 is placed in a randomly selected folder on the file server 2. In the case of creating a decoy, an embodiment is described in which the decoy is more difficult for an attacker to understand.
  • folders and files registered in the decoy database 16 are created as decoys in a folder arbitrarily selected on the file server 2.
  • similar folders and files associated with the folder name are stored in the folder on the file server 2.
  • a folder named “Store List” stores folders and files having similar names such as “XX Store” and “XX Store”.
  • XX Store folders and files having similar names
  • it will appear suspicious to the attacker and be regarded as a decoy The possibility of being violated increases. Therefore, it is considered to change the name of the decoy created based on the synonym obtained using the synonym dictionary based on the names of folders and files that existed in the folder before creating the decoy.
  • FIG. 13 is a configuration diagram illustrating an example of the unauthorized intrusion detection device 1 according to the second embodiment of the present invention.
  • a synonym dictionary 33 is newly added in addition to the configuration of the first embodiment in FIG. Since other configurations are the same as those of the first embodiment, description thereof is omitted.
  • the decoy creation registration unit 14 refers to the synonym dictionary 33 when creating a decoy in a randomly selected folder, extracts words included in the name of the folder or file to be created, Search for the synonym associated with this word, and use the obtained synonym to replace the word contained in the name of the folder or file you are about to create, creating multiple decoy folders or files with different names To do.
  • the decoy creating unit 12 newly provides a representative content storage unit that stores the representative content associated with the word, and the representative content storage unit stores the representative content corresponding to the word included in the name of the decoy file.
  • the content stored in the decoy file is changed to the representative content. This makes it more difficult for an attacker to tell whether a decoy file is a decoy.
  • FIG. 14 is a configuration diagram showing an example of changing the name of the decoy file using the access history in the unauthorized intrusion detection apparatus 1 according to the second embodiment of the present invention.
  • an access history 34 is newly added to the configuration of the first embodiment shown in FIG. Since other configurations are the same as those of the first embodiment, description thereof is omitted.
  • FIG. 15 is a diagram illustrating a data structure 35 of the access history 34.
  • the access history 34 includes a decoy attribute (file or folder), a decoy classification (individual, customer, specification, etc.), a decoy-based electronic data (decoy file), and Access frequency is recorded as an item.
  • the decoy creation registration unit 14 refers to the access history 34 when creating a decoy in a randomly selected folder, and preferentially creates a decoy file having a high access frequency. As a result, a decoy file that is actually easy for an attacker to target can be created, and the intrusion detection rate can be improved.
  • 1 intrusion detection device 2 file server, 3 terminal A, 4 terminal B, 5 mail server, 6 authentication server, 7 network, 8 attacker server, 9 internet, 10 firewall, 11 proxy, 12 decoy generation means, 13 log Collection analysis means, 14 decoy creation registration means, 15 decoy information database, 16 decoy database, 17 log collection means, 18 log analysis means, 19 log database, 20 behavior pattern database, 21 data storage unit, 22 to 24 folders, 25 to 25 27 file, 28 log data storage format, 29 decoy information database 15 data structure, 30 decoy database 16 data structure, 31 behavior pattern database 20 data structure, 32 decoy data An example imparted with importance in the data structure 30 of over scan 16, 33 synonym dictionary, 34 access history.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

　組織内部ネットワークへ攻撃者の侵入を許してしまった場合に、標的型攻撃が発生していることを検知する。　ネットワーク経由でアクセス可能な機器におとりを生成するおとり生成手段と、前記おとり生成手段により生成された前記おとりに対するアクセス制御のログを収集するログ収集手段と、ネットワークに攻撃者が侵入した場合に観測されるアクセス制御の事象のパターンを示す挙動パターンを格納する挙動パターンデータベースと、前記ログ収集手段により収集されたログに含まれる前記おとりに対するアクセス制御の事象のパターンと、前記挙動パターンデータベースに格納された前記挙動パターンとの一致度に基づいて攻撃者の侵入を検知するログ分析手段とを備える。

Description

不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体
　本発明は、ネットワークへの不正な侵入を検知する不正侵入検知装置に関する。
　近年、標的とする組織や個人を絞り込み、ユーザを巧みに騙してプログラムをダウンロード・実行させたり、未知の脆弱性を悪用したりといった手口で標的固有のマルウェアを組織内部の端末へ感染させることにより、機密情報の窃取や社内システムの破壊などを行なうことを目的とした標的型攻撃が増えている。標的型攻撃で用いられるマルウェアは、ウイルス対策ソフトウェアによる検知を回避するように作られているため、ウイルス対策ソフトウェアによって防ぐことは難しい。
　従来の不正検知装置では、例えば、特許文献１に開示されているように、不正な攻撃や侵入を示す挙動を特定する挙動情報を予めデータベース化して保持しておき、端末上で動作するプロセスの挙動を監視中に、挙動情報と一致する挙動をプロセスが行なった場合に、不正な攻撃や侵入が行われたものとして検知する方式が提案されている。
　また、例えば、特許文献２では、ネットワークでのウイルス感染を検出することを目的に、ネットワークを介してアクセス可能なおとり手段として、サーバ、フォルダ、アプリケーション等を監視ネットワーク上に設置しておき、おとり手段へのアクセスを検出することによって、ウイルスの侵入を検出し、かつ、ウイルスの侵入を検出したとき、ウイルス侵入時に取得した通信情報から当該ウイルスの送信元となっているコンピュータを検出することよって、未知のウイルスを検出する方法も提案されている。
特開２０１０－０９２１７４ ＷＯ２００４／０８４０６３
　従来の不正検知装置（例えば、特許文献１）では、監視対象となる全てのプロセスに関して、正常動作時にどんな挙動を示すのかを明らかにした上で、さらに、正常動作時には示されない挙動を全てデータベース化して保持しておかなければ、検知漏れが発生するという問題点があった。なお、そもそもコンピュータ上で動作する全てのプロセスに関して、正常動作時にどんな挙動を示すのかを明らかにすることは、事実上困難である。
　また、従来のおとり手段を用いたウイルスの検出方式（例えば、特許文献２）では、おとり手段にアクセスした発信元が、本当にウイルスに感染しているのか、または、設定ミスや操作ミスなどの人為的な要因によってアクセスが発生したのかについては、単におとり手段へアクセスしたという事象を観測しただけでは、判別することができないという問題があった。
　この発明は上記のような問題点を解決するためになされたもので、標的型攻撃によって、組織外部ネットワークから、組織内部ネットワークへ攻撃者の侵入を許してしまった場合に、攻撃者が組織内部ネットワーク内を探索する挙動を検出することによって、標的型攻撃が発生していることを検知することを目的とする。
　上記で述べた課題を解決するため、本発明の不正侵入検知装置は、ネットワーク経由でアクセス可能な機器におとりを生成するおとり生成手段と、前記おとり生成手段により生成された前記おとりに対するアクセス制御のログを収集するログ収集手段と、ネットワークに攻撃者が侵入した場合に観測されるアクセス制御の事象のパターンを示す挙動パターンを格納する挙動パターンデータベースと、前記ログ収集手段により収集されたログに含まれる前記おとりに対するアクセス制御の事象のパターンと、前記挙動パターンデータベースに格納された前記挙動パターンとの一致度に基づいて攻撃者の侵入を検知するログ分析手段とを備えることとしたものである。
　また、本発明に係る不正侵入検知方法は、おとり生成手段が、ネットワーク経由でアクセス可能な機器におとりを生成するおとり生成ステップと、ログ収集手段が、前記おとり生成手段により生成された前記おとりに対するアクセス制御のログを収集するログ収集ステップと、挙動パターンデータベースが、ネットワークに攻撃者が侵入した場合に観測されるアクセス制御の事象のパターンを示す挙動パターンを格納する挙動パターンデータベース格納ステップと、ログ分析手段が、前記ログ収集手段により収集されたログに含まれる前記おとりに対するアクセス制御の事象のパターンと、前記挙動パターンデータベースに格納された前記挙動パターンとの一致度に基づいて攻撃者の侵入を検知するログ分析ステップとを備えることとしたものである。
　また、本発明に係る不正侵入検知プログラムは、コンピュータを、ネットワーク経由でアクセス可能な機器におとりを生成するおとり生成手段と、前記おとり生成手段により生成された前記おとりに対するアクセス制御のログを収集するログ収集手段と、ネットワークに攻撃者が侵入した場合に観測されるアクセス制御の事象のパターンを示す挙動パターンを格納する挙動パターンデータベースと、前記ログ収集手段により収集されたログに含まれる前記おとりに対するアクセス制御の事象のパターンと、前記挙動パターンデータベースに格納された前記挙動パターンとの一致度に基づいて攻撃者の侵入を検知するログ分析手段として機能させることとしたものである。
　また、本発明に係る不正侵入検知プログラムを記録したコンピュータ読み取り可能な記録媒体は、コンピュータを、ネットワーク経由でアクセス可能な機器におとりを生成するおとり生成手段と、前記おとり生成手段により生成された前記おとりに対するアクセス制御のログを収集するログ収集手段と、ネットワークに攻撃者が侵入した場合に観測されるアクセス制御の事象のパターンを示す挙動パターンを格納する挙動パターンデータベースと、前記ログ収集手段により収集されたログに含まれる前記おとりに対するアクセス制御の事象のパターンと、前記挙動パターンデータベースに格納された前記挙動パターンとの一致度に基づいて攻撃者の侵入を検知するログ分析手段として機能させるための不正侵入検知プログラムを記録させることとしたものである。
　本発明によれば、おとりへのアクセスの有無により、内部ネットワークへ攻撃者が侵入した疑いのある事象を検出し、おとりへアクセスしたユーザ及び端末に関する挙動パターンから判別するようにしているので、標的型攻撃によって攻撃者が内部ネットワークへ侵入していることを検知することができるようになるという効果がある。
本発明の実施の形態１に係る不正侵入検知装置の一実施例を示す構成図である。 不正侵入検知装置１の構成の一例を示す図である。 ファイルサーバ２の構成の一例を示す図である。 ログデータベース１９に格納されるログのデータ格納形式２８の一例を示す。 不正侵入検知装置１のおとり生成手段１２の動作を示すフローチャートである。 おとり情報データベース１５のデータ構造２９を示す図である。 おとりデータベースのデータ構造３０を示す図である。 不正侵入検知装置１のログ収集手段１７の動作を示すフローチャートである。 不正侵入検知装置１のログ分析手段１８の動作を示すフローチャートである。 挙動パターンデータベース２０のデータ構造３１を示す図である。 おとりデータベース１６のデータ構造３０に重要度を付与した一例を示す図である。 おとりファイルに付与された重要度を用いる場合の不正侵入検知装置１のログ分析手段１８の動作を示すフローチャートである。 本発明の実施の形態２に係る不正侵入検知装置１の一実施例を示す構成図である。 本発明の実施の形態２に係る不正侵入検知装置１において、アクセス履歴を利用しておとりファイルの名前を変更する一実施例を示す構成図である。 アクセス履歴３４のデータ構造３５を示す図である。
実施の形態１．
　図１は、本発明の実施の形態１に係る不正侵入検知装置の一実施例を示す構成図である。
　図１において、不正侵入検知装置１、ファイルサーバ２、端末A３、端末B４、メールサーバ５、認証サーバ６が、組織内部のネットワーク７を介して接続されている。また、端末A３は、マルウェアに感染しており、攻撃者サーバ８からインターネット９、ファイアウォール１０、プロキシ１１を通じて、遠隔操作されているものとする。
　図２は、不正侵入検知装置１の構成の一例を示す図である。
　不正侵入検知装置１は、おとり生成手段１２、ログ収集分析手段１３を備えている。おとり生成手段１２は、さらに、おとり作成登録手段１４、おとり情報データベース１５、おとりデータベース１６を備えている。また、ログ収集分析手段１３は、ログ収集手段１７、ログ分析手段１８、ログデータベース１９、挙動パターンデータベース２０で構成されている。
　ログ収集分析手段１３の挙動パターンデータベース２０には、標的型攻撃によって、内部ネットワークに攻撃者が侵入した場合に観測される事象のパターンが挙動パターンとして格納されている。具体的には、「同じ端末から複数の異なるユーザでの認証が行われている」、「特定のユーザアカウントによるファイルやフォルダへのアクセス拒否が普段よりも多く発生している」、「特定端末から不審なＷｅｂサイトへ頻繁にアクセスしている」、「端末を利用しているユーザが不審なファイルが添付されたメールを受信していた」などが、事象のパターン（挙動パターン）の例である。
　また、ログ収集分析手段１３のログデータベース１９には、ファイアウォール１０、プロキシ１１、メールサーバ５、認証サーバ６、ファイルサーバ２、端末Ａ３、端末Ｂ４などの様々な機器から収集したログが格納されている。ログの格納では、収集した各ログの形式にあわせて作成したテーブルへログを格納するとしてもよいが、本発明では、一般に「統合ログ管理システム」と呼ばれるログ収集装置のように、形式の異なる各ログを単一の形式に変換し、一元管理することを想定する。
　図３は、ファイルサーバ２の構成の一例を示す図である。
　ファイルサーバ２では、データ記憶部２１に、フォルダ２２～２４やファイル２５～２７を電子データとして保管している。ここで、フォルダ２２は、おとりフォルダを表わし、ファイル２５は、おとりファイルを表している。これらのフォルダ２２とファイル２５は、本実施の形態を説明するために、便宜上、他のフォルダやファイルと区別して示しているが、実際は、他のフォルダやファイルとは区別がつかないものとする。保管している電子データ２２～２７は、組織内部のネットワーク７で接続された他の端末Ａ３、端末Ｂ４からアクセス可能であるものとする。
　また、ファイルサーバ２上の電子データ２２～２７は、認証サーバ６による適切なユーザ認証に基づいたアクセス制御の設定がなされているものとする。従って、アクセス権が無いユーザが、電子データ２２～２７のフォルダやファイルにアクセスした場合には、アクセスが拒否されたログがログデータベース１９に記録される。この他、アクセスが許可された場合にも、ログが記録される。
　図４は、ログデータベース１９に格納されるログのデータ格納形式２８の一例を示す。
　図４に示すように、ログには、日時、データ属性（ファイルアクセス、またはユーザ認証）、端末名、ユーザ名、アクセス制御対象名（フォルダパス、またはファイルパス）、アクセス制御結果（許可、または拒否）、ユーザ認証結果（許可、または拒否）が項目として記載されている。
　ファイルサーバ２上で記録されたフォルダやファイルへのアクセスに関するログは、ネットワーク７を介して不正侵入検知装置１へ収集され、ログ収集分析手段１３のログ収集手段１７によって、ログデータベース１９へ格納される。不正侵入検知装置１へ収集されたログは、ログデータベース１９からログ分析手段１８によって参照され、不正侵入を検知するために分析される。なお、図１では、ネットワーク７によって不正侵入検知装置１とその他の機器が接続されているが、不正侵入検知装置１には、ネットワーク上の各機器で発生するログが収集されれば良いため、図１の構成に限らず、各機器とログ収集用のネットワークを別途構成してもよい。
　次に、不正侵入検知装置１の動作について説明する。
　不正侵入検知装置１の動作は、（１）おとり作成、（２）ログ収集、（３）ログ分析による侵入検知、の３つの動作がある。それぞれの動作について、図５、図６、図７を用いて説明する。
　まず、図５を用いて（１）おとり作成時の動作について説明する。
　図５は、不正侵入検知装置１のおとり生成手段１２の動作を示すフローチャートである。
　以下、おとり生成手段１２によるおとり作成の動作は、定期的もしくはランダムな時間間隔で動作するものとする。
　図５において、まず、ステップＳ１０１において、おとり生成手段１２は、おとり作成登録手段１４により、おとり情報データベース１５を参照して、現在、ファイルサーバ２上に設置されているおとり情報を取得する。
　図６は、おとり情報データベース１５のデータ構造２９を示す図である。
　図６の１行目は、おとり情報の項目を示すカラム名を表している。２行目以降、おとりを設置したファイルサーバ名、おとりの属性（ファイル、またはフォルダの別）、おとりの分類（個人、客先、仕様など）、及びそのファイルサーバ上でおとりが設置されているパス（設置パス）が登録されている。
　次に、ステップＳ１０２において、おとり作成登録手段１４は、ステップＳ１０１で取得したおとりの設置パス上におとりがあった場合、Ｙｅｓの分岐に進み、ステップＳ１０３の処理を行なう。おとりが無かった場合、Ｎｏの分岐に進み、ステップＳ１０５の処理を行なう。
　次に、ステップＳ１０３において、おとり作成登録手段１４は、設置パス上に既に設置されていたおとりをファイルサーバ２から削除するとともに、ステップＳ１０４において、おとり情報データベース１５から、ファイルサーバ２から削除したおとりのおとり情報を削除する。
　次に、ステップＳ１０５において、おとり作成登録手段１４は、ファイルサーバ２へアクセスして、おとりを作成する任意のフォルダをランダムに選択する。
　その後、ステップＳ１０６において、おとり作成登録手段１４は、おとりデータベース１６を参照して、おとりとなるフォルダもしくはファイルをランダムに選択する。
　図７は、おとりデータベース１６のデータ構造３０を示す図である。
　図７の１行目は、おとりの項目を示すカラム名を表している。２行目以降、おとりファイルの属性（ファイル、またはフォルダの別）、おとりの分類（個人、客先、仕様など）、及びおとりの基となる電子データがおとりファイルとして登録されている。なお、フォルダは、フォルダ以下に複数のファイルをおとりとしておくため、フォルダを含め複数のファイルを１つのファイルに圧縮してまとめている。おとりのファイル名やフォルダ名は、攻撃者が興味を持ってアクセスしそうな名称にしておくことで、おとりによる侵入の検出率を上げることができる。
　次に、ステップＳ１０７において、おとり作成登録手段１４は、ステップＳ１０５により選択したフォルダへおとりを作成する。
　最後に、ステップＳ１０８において、おとり作成登録手段１４は、作成したおとりのおとり情報を、おとり情報データベース１５へ登録して、おとり生成の動作を終了する。
　次に、図８を用いて、不正侵入検知装置１の（２）ログ収集の動作について説明する。
　図８は、不正侵入検知装置１のログ収集手段１７の動作を示すフローチャートである。
　まず、ステップＳ２０１で、ログ収集手段１７は、監視しているネットワーク７上に接続された各機器からログを受信したか否かを判定する。ログを受信した場合、ステップＳ２０２の分岐に進み、ログを受信していない場合は、ログを受信するのを待機する。
　次に、ステップＳ２０２において、ログ収集手段１７は、受信したログを、ログデータベース１９へ逐次格納していく。
　次に、図９を用いて（３）ログ分析による侵入検知の動作について説明する。
　図９は、不正侵入検知装置１のログ分析手段１８の動作を示すフローチャートである。
　ログ分析による侵入検知は、ファイルサーバ２に設置したおとりへのアクセスが発生した場合の動作である。おとりへのアクセスの発生は、ファイルサーバ２から送られてくるアクセス制御のログを監視し、おとり情報データベース１５に格納されているおとり情報と一致するアクセス制御のログを不正侵入検知装置１が受信した場合に、おとりへのアクセスが発生したと判断する。
　図９において、まず、ステップＳ３０１において、ログ分析手段１８は、最初にカウンタＸの値を０に初期化する。
　次に、ステップＳ３０２において、ログ分析手段１８は、挙動パターンデータベース２０から、挙動パターンを１つ読み込む。
　図１０は、挙動パターンデータベース２０のデータ構造３１を示す図である。
　図１０の１行目は、挙動パターンを示すカラム名を表している。２行目以降、挙動パターンの一覧が格納されている。なお、挙動パターンは、図１０に記載のものだけに限らず、ユーザが独自に定義して登録及び削除することもできる。
　次に、ステップＳ３０３において、ログ分析手段１８は、挙動パターンの読み込みに成功した場合、Ｙｅｓの分岐に進み、ステップＳ３０４の処理を行なう。
　次に、ステップＳ３０４において、ログ分析手段１８は、アクセス制御のログから、おとりにアクセスしたユーザ及び端末を特定し、その情報を基に、ログデータベース１９を検索する。
　次に、ステップＳ３０５において、ログ分析手段１８は、ログデータベース１９を検索した結果、Ｓ３０２で読み込んだ挙動パターンと一致する事象が発生していた場合、Ｙｅｓの分岐に進み、ステップＳ３０６において、カウンタＸに１を加算し、ステップＳ３０２の処理に戻る。
　また、ステップＳ３０５において、挙動パターンに一致する事象が検出されなかった場合にも、ステップＳ３０２の処理に戻る。
　以上のようにして、ステップＳ３０２からステップＳ３０６の処理を繰り返し、ステップＳ３０３で挙動パターンの読み込みに失敗した場合は、挙動パターンデータベース２０の全ての項目について処理が完了したものと判断し、Ｎｏの分岐に進んで、ステップＳ３０７の処理を行なう。
　次に、ステップＳ３０７において、ログ分析手段１８は、その時のカウンタＸの値と予め与えられている閾値とを比較し、カウンタＸが閾値以上だった場合は、Ｙｅｓの分岐に進み、ステップＳ３０７において、挙動パターンへの一致度としておとりへのアクセス頻度（カウンタＸ）が多いため標的型攻撃発生と判断して、処理を終了する。
　また、カウンタＸの値が閾値未満だった場合は、そのまま処理を終了する。この場合、発生したおとりへのアクセスは、正規のユーザによる操作ミスや設定ミスなど無害なものであったと判断される。
　以上のように、おとりへのアクセスの有無により、組織内部のネットワークへ攻撃者が侵入した疑いのある事象を検出し、おとりへアクセスしたユーザ及び端末に関する挙動パターンから判別するようにしているので、標的型攻撃によって攻撃者が組織内部のネットワークへ侵入していることを検知することができるようになるという効果がある。
　更に、おとりへのアクセス頻度に基づいて標的型攻撃発生を判断することにより、おとりへのアクセスが、攻撃者によるものか、正規のユーザが誤ってアクセスしてしまったものであるのかを、適切に判定できるようになるという効果がある。
実施の形態２．
　実施の形態１では、おとりへのアクセス頻度に基づいて標的型攻撃発生を判断するようにしたが、挙動パターンへの一致度合いとしたおとりへのアクセス頻度に代えて、おとりに対して重要度を与え、この重要度を考慮して標的型攻撃発生を判断するようにしても良い。
　図１１は、おとりデータベース１６のデータ構造３０に重要度を付与した一例３２を示す図である。
　本実施の形態２では、おとりファイルに付与する重要度は、おとりファイルが含む情報の重要性に応じて、予め設定されているものとする。
　次に、図１２を用いて本実施の形態２における（３）ログ分析による侵入検知の動作について説明する。
　図１２は、おとりファイルに付与された重要度を用いる場合の不正侵入検知装置１のログ分析手段１８の動作を示すフローチャートである。
　図１２のステップＳ４０１からステップＳ４０５までの処理は、実施の形態１における図９のステップＳ３０１からステップＳ３０５までの処理と同様の処理であるため、説明を省略する。
　次に、ステップＳ４０６において、ログ分析手段１８は、アクセスされたおとりについて、おとりデータベース１６中でおとりに付与されている重要度を参照し、カウンタＸに重要度を加算して、ステップＳ４０２の処理に戻る。
　次に、ステップＳ４０７において、ログ分析手段１８は、その時のカウンタＸの値と予め与えられている閾値とを比較し、カウンタＸが閾値以上だった場合は、Ｙｅｓの分岐に進み、ステップＳ４０８において、挙動パターンへの一致度として重要度の積算値（カウンタＸ）が高いため標的型攻撃発生と判断して、処理を終了する。
　以上のように、おとりファイルに付与された重要度を利用して標的型攻撃発生を判断するようにしたことにより、重要な情報に対する標的型攻撃が発生したことを、より適切に判定できるようになるという効果がある。
　なお、重要度は、おとりファイルに付与する場合の他に、挙動パターンデータベース２０に格納された挙動パターン別に重要度を付与し、ステップＳ４０６において、検出された挙動パターンに付与された重要度をカウンタＸに加算しても良い。
　これにより、重要な挙動パターンに対する標的型攻撃が発生したことを、より適切に判定できるようになるという効果がある。
　さらに、挙動パターンへの一致度としては、不審なＷｅｂサイトへのアクセス数（カウンタＸ）を利用しても良い。この場合、不審なＷｅｂサイトのリストをブラックリストとして記憶しておき、特定の端末のアクセス制御のログに含まれるアクセス先に不審なＷｅｂサイトが所定数以上含まれる場合に、挙動パターンへの一致度として不審なＷｅｂサイトへのアクセス数（カウンタＸ）が高いため標的型攻撃発生と判断する。
　これにより、不審なＷｅｂサイトを利用する標的型攻撃が発生したことを、より適切に判定できるようになるという効果がある。
　さらにまた、挙動パターンへの一致度としては、ユーザが受信するメールの中に不審なメールが含まれている頻度を利用しても良い。不審なメールであるか否かの判定は、例えば、ユーザが受信するメールの件名、本文、添付ファイル名などの文字情報に、「重要情報」、「重要なお知らせ」、「顧客リスト」などの特定のキーワードを含んでいる場合に不審なメールであると判定する。ログ分析手段１８は、これらの特定のキーワードのリストを予め記憶しておき、挙動パターンと一致する事象を検出する処理の中で、特定のキーワードのリストを参照して、ユーザの受信メールの文字情報に含まれる特定のキーワードを抽出して、例えば、抽出した特定のキーワード数をカウンタＸに加算して、標的型攻撃発生を判断する。
　これにより、不審なメールを利用する標的型攻撃が発生したことを、より適切に判定できるようになるという効果がある。
実施の形態３．
　以上の実施の形態１では、ファイルサーバ２へおとりを作成する際に、ファイルサーバ２上のランダムに選択したフォルダへおとりデータベース１６から選択したおとりを設置するようにしたものであるが、次に、おとりを作成する場合に、攻撃者にとっておとりをより分かりにくくする実施形態を示す。
　実施の形態１では、ファイルサーバ２上で任意に選択したフォルダへ、おとりデータベース１６に登録されているフォルダやファイルをおとりとして作成していた。通常、ファイルサーバ２上のフォルダの中には、そのフォルダ名で関連付けられた類似のフォルダやファイルが格納される。例えば、「店舗一覧」という名前のフォルダには、「○○店」、「××店」といった類似した名前を持つフォルダやファイルが格納されている。このため、ファイルサーバ２上で任意に選択したフォルダ内に既に存在するフォルダやファイルと明らかに異なる名前のおとりを作成しても、攻撃者から見て、不審に感じられ、おとりであると見破られてしまう可能性が高まる。そこで、作成したおとりの名前を、おとりを作成する前に、フォルダ内に存在していたフォルダやファイルの名前を基に、類義語辞書を用いて得られた類義語を基に変更することを考える。
　図１３は、本発明の実施の形態２に係る不正侵入検知装置１の一実施例を示す構成図である。
　図１３では、図２の実施の形態１の構成に加え、類義語辞書３３が新たに追加されている。その他の構成は、実施の形態１と同様であるため、説明を省略する。
　実施の形態２のおとり作成登録手段１４は、ランダムに選択したフォルダにおとりを作成する際に、類義語辞書３３を参照して、作成しようとするフォルダやファイルの名前に含まれる単語を抽出し、この単語に対応付けられた類義語を検索し、得られた類義語を用いて、生成しようとしているフォルダやファイルの名前に含まれる単語を置換して、複数の別の名前のおとりフォルダやファイルを作成する。
　以上のように、類義語辞書を使っておとりの名前に、おとりを作成するフォルダ内のその他のフォルダやファイルの名前と類似する名前をつけることによって、攻撃者は、おとりかどうかを見分けにくくなるため、侵入の検知率を向上させることができるようになる。
　また、おとりファイルの名前だけを変更するのではなく、おとりファイルが内部に格納している文字情報、画像情報や数値データなどのコンテンツについても、おとりファイルの名前から類推できる代表的なコンテンツに変更するようにすることもできる。この場合は、おとり作成手段１２は、単語に対応付けられた代表コンテンツを格納する代表コンテンツ記憶部を新たに設けておき、おとりファイルの名前に含まれる単語に対応する代表コンテンツを代表コンテンツ記憶部から取得し、おとりファイルが内部に格納しているコンテンツを代表コンテンツに変更する。
　これにより、攻撃者に対して、おとりファイルがおとりかどうかをより見分けにくくすることができる。
　さらに、実際に攻撃者がアクセスしたと判定されたおとりファイルについて、アクセス履歴を保存しておき、アクセス履歴を利用して、攻撃者が標的にし易いおとりファイルを作成することもできる。
　図１４は、本発明の実施の形態２に係る不正侵入検知装置１において、アクセス履歴を利用しておとりファイルの名前を変更する一実施例を示す構成図である。
　図１４では、図２の実施の形態１の構成に加え、アクセス履歴３４が新たに追加されている。その他の構成は、実施の形態１と同様であるため、説明を省略する。
　ログ分析手段１８は、アクセス制御のログから、挙動パターンと一致する事象を検出した場合、検出されたおとりファイルへのアクセスがあったことをアクセス履歴３４に記録する。
　図１５は、アクセス履歴３４のデータ構造３５を示す図である。
　図１５に示すように、アクセス履歴３４には、おとりの属性（ファイル、またはフォルダ）、おとりの分類（個人、客先、仕様など）、及びおとりの基となる電子データ（おとりファイル）、及びアクセス頻度が項目として記録されている。
　おとり作成登録手段１４は、ランダムに選択したフォルダにおとりを作成する際に、アクセス履歴３４を参照し、アクセス頻度が高いおとりファイルを優先的に作成するようにする。
　これにより、実際に攻撃者が標的にし易いおとりファイルを作成することができ、侵入の検知率を向上させることができるようになる。
１　不正侵入検知装置、２　ファイルサーバ、３　端末Ａ、４　端末Ｂ、５　メールサーバ、６　認証サーバ、７　ネットワーク、８　攻撃者サーバ、９　インターネット、１０　ファイアウォール、１１　プロキシ、１２　おとり生成手段、１３　ログ収集分析手段、１４　おとり作成登録手段、１５　おとり情報データベース、１６　おとりデータベース、１７　ログ収集手段、１８　ログ分析手段、１９　ログデータベース、２０　挙動パターンデータベース、２１　データ記憶部、２２～２４　フォルダ、２５～２７　ファイル、２８　ログのデータ格納形式、２９　おとり情報データベース１５のデータ構造、３０　おとりデータベース１６のデータ構造、３１　挙動パターンデータベース２０のデータ構造、３２　おとりデータベース１６のデータ構造３０に重要度を付与した一例、３３　類義語辞書、３４　アクセス履歴。

Claims (12)

  1. ネットワーク経由でアクセス可能な機器におとりを生成するおとり生成手段と、
    　前記おとり生成手段により生成された前記おとりに対するアクセス制御のログを収集するログ収集手段と、
    　ネットワークに攻撃者が侵入した場合に観測されるアクセス制御の事象のパターンを示す挙動パターンを格納する挙動パターンデータベースと、
    　前記ログ収集手段により収集されたログに含まれる前記おとりに対するアクセス制御の事象のパターンと、前記挙動パターンデータベースに格納された前記挙動パターンとの一致度に基づいて攻撃者の侵入を検知するログ分析手段と
    を備えた不正侵入検知装置。
  2. 前記ログ分析手段は、前記おとりに対するアクセス制御の事象のパターンと前記挙動パターンデータベースに格納された挙動パターンとが一致する頻度により攻撃者の侵入を検知する請求項１記載の不正侵入検知装置。
  3. 前記ログ分析手段は、前記おとりに対するアクセス制御の事象のパターンと前記挙動パターンデータベースに格納された挙動パターンとが一致する場合、前記おとりに付与された重要度により攻撃者の侵入を検知する請求項１記載の不正侵入検知装置。
  4. 前記ログ分析手段は、前記おとりに対するアクセス制御の事象のパターンと前記挙動パターンデータベースに格納された挙動パターンとが一致する場合、前記挙動パターンに付与された重要度により攻撃者の侵入を検知する請求項１記載の不正侵入検知装置。
  5. 前記ログ分析手段は、予め記憶されたＷｅｂサイトのリストを参照し、前記おとりに対するアクセス制御の事象に含まれる前記Ｗｅｂサイトの数により攻撃者の侵入を検知する請求項１記載の不正侵入検知装置。
  6. 前記ログ分析手段は、予め記憶された特定キーワードのリストを参照し、ユーザが受信したメールに含まれる前記特定キーワードを抽出することにより攻撃者の侵入を検知する請求項１記載の不正侵入検知装置。
  7. 前記ログ分析手段が攻撃者のアクセスを検知したおとりへのアクセス頻度を記憶するアクセス履歴を備え、
    　前記おとり生成手段は、前記アクセス履歴に記憶された前記アクセス頻度に基づいて前記おとりを生成する請求項１から請求項６のいずれかに記載の不正侵入検知装置。
  8. 単語に対応付けられた類義語を格納する類義語辞書を備え、
    　前記おとり生成手段は、前記おとりの名前に含まれる単語を、この単語に対応する前記類義語辞書に格納された前記類義語により置換した名前のおとりを生成する請求項１から請求項７のいずれかに記載の不正侵入検知装置。
  9. 単語に対応付けられた代表コンテンツを格納する代表コンテンツ記憶部を備え、
    　前記おとり生成手段は、前記おとりの名前に含まれる単語に対応する前記代表コンテンツを前記代表コンテンツ記憶部から取得し、前記おとり内部のコンテンツを前記代表コンテンツに変更する請求項１から請求項８のいずれかに記載の不正侵入検知装置。
  10. おとり生成手段が、ネットワーク経由でアクセス可能な機器におとりを生成するおとり生成ステップと、
    　ログ収集手段が、前記おとり生成手段により生成された前記おとりに対するアクセス制御のログを収集するログ収集ステップと、
    　挙動パターンデータベースが、ネットワークに攻撃者が侵入した場合に観測されるアクセス制御の事象のパターンを示す挙動パターンを格納する挙動パターンデータベース格納ステップと、
    　ログ分析手段が、前記ログ収集手段により収集されたログに含まれる前記おとりに対するアクセス制御の事象のパターンと、前記挙動パターンデータベースに格納された前記挙動パターンとの一致度に基づいて攻撃者の侵入を検知するログ分析ステップと
    を備えた不正侵入検知方法。
  11. コンピュータを、
    　ネットワーク経由でアクセス可能な機器におとりを生成するおとり生成手段と、
    　前記おとり生成手段により生成された前記おとりに対するアクセス制御のログを収集するログ収集手段と、
    　ネットワークに攻撃者が侵入した場合に観測されるアクセス制御の事象のパターンを示す挙動パターンを格納する挙動パターンデータベースと、
    　前記ログ収集手段により収集されたログに含まれる前記おとりに対するアクセス制御の事象のパターンと、前記挙動パターンデータベースに格納された前記挙動パターンとの一致度に基づいて攻撃者の侵入を検知するログ分析手段として機能させるための不正侵入検知プログラム。
  12. コンピュータを、
    　ネットワーク経由でアクセス可能な機器におとりを生成するおとり生成手段と、
    　前記おとり生成手段により生成された前記おとりに対するアクセス制御のログを収集するログ収集手段と、
    　ネットワークに攻撃者が侵入した場合に観測されるアクセス制御の事象のパターンを示す挙動パターンを格納する挙動パターンデータベースと、
    　前記ログ収集手段により収集されたログに含まれる前記おとりに対するアクセス制御の事象のパターンと、前記挙動パターンデータベースに格納された前記挙動パターンとの一致度に基づいて攻撃者の侵入を検知するログ分析手段として機能させるための不正侵入検知プログラムを記録したコンピュータ読み取り可能な記録媒体。
PCT/JP2013/006230 2012-12-26 2013-10-22 不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体 WO2014103115A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2012281989A JP2016033690A (ja) 2012-12-26 2012-12-26 不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体
JP2012-281989 2012-12-26

Publications (1)

Publication Number Publication Date
WO2014103115A1 true WO2014103115A1 (ja) 2014-07-03

Family

ID=51020256

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/006230 WO2014103115A1 (ja) 2012-12-26 2013-10-22 不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体

Country Status (2)

Country Link
JP (1) JP2016033690A (ja)
WO (1) WO2014103115A1 (ja)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016042762A1 (ja) * 2014-09-19 2016-03-24 日本電気株式会社 情報生成装置、情報生成方法および記録媒体
WO2016088351A1 (ja) * 2014-12-01 2016-06-09 日本電気株式会社 ダミー情報挿入装置、ダミー情報挿入方法および記録媒体
JP2018041163A (ja) * 2016-09-05 2018-03-15 富士通株式会社 マルウエア検知プログラム、マルウエア検知装置及びマルウエア検知方法
CN109074452A (zh) * 2016-03-15 2018-12-21 赛门铁克公司 用于生成绊网文件的系统和方法
CN113572778A (zh) * 2021-07-27 2021-10-29 北京卫达信息技术有限公司 检测非法侵入网络的方法
CN113572776A (zh) * 2021-07-27 2021-10-29 北京卫达信息技术有限公司 非法侵入检测装置及方法
JP7361997B1 (ja) 2022-12-06 2023-10-16 三菱電機株式会社 配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102000369B1 (ko) * 2017-12-28 2019-07-15 숭실대학교산학협력단 랜섬웨어 탐지 방법, 이를 수행하기 위한 기록매체 및 램섬웨어 탐지 시스템
US10904283B2 (en) * 2018-06-19 2021-01-26 AO Kaspersky Lab System and method of countering an attack on computing devices of users

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004054330A (ja) * 2002-07-16 2004-02-19 Nec Nexsolutions Ltd 不正コマンド・データ検知方式、不正コマンド・データ検知方法および不正コマンド・データ検知プログラム
WO2004084063A1 (ja) * 2003-03-17 2004-09-30 Seiko Epson Corporation ウィルスの感染を阻止する方法およびシステム
JP2005316779A (ja) * 2004-04-28 2005-11-10 Intelligent Cosmos Research Institute 不正アクセス検出装置ならびに検知ルール生成装置、検知ルール生成方法および検知ルール生成プログラム
WO2008129915A1 (ja) * 2007-04-18 2008-10-30 Hitachi Software Engineering Co., Ltd. 電子メールのフィルタリング手段を備えた機器
JP2009134714A (ja) * 2007-11-29 2009-06-18 Palo Alto Research Center Inc プライバシーポリシーを強化するためにコンピュータが実行する方法
JP2012500441A (ja) * 2008-08-18 2012-01-05 マイクロソフト コーポレーション ウェブページプライバシーリスク保護方法及びシステム
JP2012216083A (ja) * 2011-03-31 2012-11-08 Nifty Corp 文書作成装置、文書作成プログラム、文書作成方法及び文書作成装置を用いた漏洩元特定システム

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004054330A (ja) * 2002-07-16 2004-02-19 Nec Nexsolutions Ltd 不正コマンド・データ検知方式、不正コマンド・データ検知方法および不正コマンド・データ検知プログラム
WO2004084063A1 (ja) * 2003-03-17 2004-09-30 Seiko Epson Corporation ウィルスの感染を阻止する方法およびシステム
JP2005316779A (ja) * 2004-04-28 2005-11-10 Intelligent Cosmos Research Institute 不正アクセス検出装置ならびに検知ルール生成装置、検知ルール生成方法および検知ルール生成プログラム
WO2008129915A1 (ja) * 2007-04-18 2008-10-30 Hitachi Software Engineering Co., Ltd. 電子メールのフィルタリング手段を備えた機器
JP2009134714A (ja) * 2007-11-29 2009-06-18 Palo Alto Research Center Inc プライバシーポリシーを強化するためにコンピュータが実行する方法
JP2012500441A (ja) * 2008-08-18 2012-01-05 マイクロソフト コーポレーション ウェブページプライバシーリスク保護方法及びシステム
JP2012216083A (ja) * 2011-03-31 2012-11-08 Nifty Corp 文書作成装置、文書作成プログラム、文書作成方法及び文書作成装置を用いた漏洩元特定システム

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016042762A1 (ja) * 2014-09-19 2016-03-24 日本電気株式会社 情報生成装置、情報生成方法および記録媒体
JPWO2016042762A1 (ja) * 2014-09-19 2017-07-20 日本電気株式会社 情報生成装置、情報生成方法およびプログラム
WO2016088351A1 (ja) * 2014-12-01 2016-06-09 日本電気株式会社 ダミー情報挿入装置、ダミー情報挿入方法および記録媒体
US10423784B2 (en) 2014-12-01 2019-09-24 Nec Corporation Dummy information insertion device, dummy information insertion method, and storage medium
US11520884B2 (en) 2014-12-01 2022-12-06 Nec Corporation Dummy information insertion device, dummy information insertion method, and storage medium
CN109074452A (zh) * 2016-03-15 2018-12-21 赛门铁克公司 用于生成绊网文件的系统和方法
CN109074452B (zh) * 2016-03-15 2021-12-03 诺顿卫复客公司 用于生成绊网文件的系统和方法
JP2018041163A (ja) * 2016-09-05 2018-03-15 富士通株式会社 マルウエア検知プログラム、マルウエア検知装置及びマルウエア検知方法
CN113572778A (zh) * 2021-07-27 2021-10-29 北京卫达信息技术有限公司 检测非法侵入网络的方法
CN113572776A (zh) * 2021-07-27 2021-10-29 北京卫达信息技术有限公司 非法侵入检测装置及方法
JP7361997B1 (ja) 2022-12-06 2023-10-16 三菱電機株式会社 配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム

Also Published As

Publication number Publication date
JP2016033690A (ja) 2016-03-10

Similar Documents

Publication Publication Date Title
WO2014103115A1 (ja) 不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体
KR102046789B1 (ko) 웹 어플리케이션에 대한 딥러닝 기반의 침입탐지 방법, 시스템 및 컴퓨터 프로그램
US9311476B2 (en) Methods, systems, and media for masquerade attack detection by monitoring computer user behavior
US9501639B2 (en) Methods, systems, and media for baiting inside attackers
US8572740B2 (en) Method and system for detection of previously unknown malware
Niakanlahiji et al. Phishmon: A machine learning framework for detecting phishing webpages
JP5144488B2 (ja) 情報処理システムおよびプログラム
CN113660224B (zh) 基于网络漏洞扫描的态势感知防御方法、装置及系统
US11960604B2 (en) Online assets continuous monitoring and protection
CN108768989A (zh) 一种采用拟态技术的apt攻击防御方法、系统
JP6717206B2 (ja) マルウェア対策装置、マルウェア対策システム、マルウェア対策方法、及び、マルウェア対策プログラム
WO2009032379A1 (en) Methods and systems for providing trap-based defenses
JP2010182019A (ja) 異常検知装置およびプログラム
JP5102659B2 (ja) 悪性Ｗｅｂサイト判定装置、悪性Ｗｅｂサイト判定システム、それらの方法、プログラム
GB2614426A (en) Enterprise network threat detection
CN109639726A (zh) 入侵检测方法、装置、系统、设备及存储介质
JP2013152497A (ja) ブラックリスト抽出装置、抽出方法および抽出プログラム
US9239907B1 (en) Techniques for identifying misleading applications
Jang et al. Function-oriented mobile malware analysis as first aid
Farinholt et al. Dark matter: uncovering the DarkComet RAT ecosystem
CN115001724B (zh) 网络威胁情报管理方法、装置、计算设备及计算机可读存储介质
JP2010182020A (ja) 不正検知装置およびプログラム
Kergl et al. Detection of zero day exploits using real-time social media streams
CN113572776A (zh) 非法侵入检测装置及方法
JPWO2015097889A1 (ja) 情報処理装置及び情報処理方法及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13869437

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13869437

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP