WO2014129587A1 - ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム - Google Patents

ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム Download PDF

Info

Publication number
WO2014129587A1
WO2014129587A1 PCT/JP2014/054190 JP2014054190W WO2014129587A1 WO 2014129587 A1 WO2014129587 A1 WO 2014129587A1 JP 2014054190 W JP2014054190 W JP 2014054190W WO 2014129587 A1 WO2014129587 A1 WO 2014129587A1
Authority
WO
WIPO (PCT)
Prior art keywords
log
information
analysis
log data
network
Prior art date
Application number
PCT/JP2014/054190
Other languages
English (en)
French (fr)
Inventor
健介 中田
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to CN201480009739.7A priority Critical patent/CN105027510B/zh
Priority to JP2015501520A priority patent/JP5844938B2/ja
Priority to EP14754256.7A priority patent/EP2961111B1/en
Priority to US14/769,666 priority patent/US9661008B2/en
Publication of WO2014129587A1 publication Critical patent/WO2014129587A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/64—Hybrid switching systems
    • H04L12/6418—Hybrid transport
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Definitions

  • the present invention relates to a technology for supporting detection of cyber attacks from external networks such as the Internet and information leakage to external networks.
  • FIG. 8 is a diagram for explaining an example of a countermeasure technique according to the conventional technique.
  • the FW is arranged at a connection point between an internal network and an external network as a packet filtering function of a network device such as a router or as a dedicated device.
  • the FW is a packet of a service provided by a terminal included in the internal network to a terminal of the external network, and a packet used by a terminal of the internal network to use a service provided by the terminal of the external network.
  • a rule is set by a user of a terminal included in the internal network so that only the packet is allowed to pass and other packets are blocked.
  • IDS and IPS are provided as a function of a network device such as a router or a dedicated device.
  • An anomaly type is known in which traffic is monitored using various logs and statistical information collected from network devices, and abnormal data is detected by analyzing monitoring data.
  • a packet is acquired at a point after passing through the FW, it is determined whether or not the packet includes an invalid bit string, and an invalid bit string exists.
  • a normal state is defined for behaviors such as addition of resources and communication amount in a terminal of an internal network, and an abnormality is detected when the normal state is deviated.
  • an alert is output to notify the network administrator of the abnormality.
  • the above-described conventional technology has a certain limit as a countermeasure technology against unauthorized communication.
  • FW whether or not a packet is allowed to pass is determined for each packet, and the attacker's communication cannot be identified by just looking at a single log of packets that passed when the attack was successful.
  • IDS and IPS signature types are based on a pre-defined pattern, so that the response to an unknown attack is delayed, and there is a certain limit as a countermeasure technique.
  • the IDS and IPS anomaly types if the definition of the normal state is strictly defined, false detections frequently occur, and it is difficult to detect all unauthorized communications, and there are certain limitations as countermeasure technology. It was.
  • the technology according to the present application has been made in view of the above-described problems of the prior art, and includes a network monitoring device, a network monitoring method, and a network monitoring program that can detect unauthorized communication with high accuracy.
  • the purpose is to provide.
  • a network monitoring apparatus includes a firewall provided at at least one of a connection point with an external network and an internal segment division point and a proxy server for web access.
  • a log analysis unit that inquires log data to the log collection unit, analyzes the log data according to set analysis conditions, and outputs an analysis result, and is stored by the log collection unit
  • Log data is 5-tuple, send size, receive size, http Information extracted from Da is information including at least one time stamp, information extracted from the http header contains at least one destination URL, User-Agent name and request method.
  • the network monitoring device makes it possible to detect unauthorized communications with high accuracy.
  • FIG. 1 is a diagram illustrating an example of a configuration of a network including a network monitoring apparatus according to the first embodiment.
  • FIG. 2 is a diagram illustrating an example of the configuration of the network monitoring apparatus according to the first embodiment.
  • FIG. 3 is a diagram illustrating an example of log information stored by the log DB according to the first embodiment.
  • FIG. 4 is a flowchart illustrating a processing procedure performed by the network monitoring apparatus according to the first embodiment.
  • FIG. 5 is a diagram illustrating an example of the configuration of a system for detecting and protecting against unauthorized access and intrusion.
  • FIG. 6 is a block diagram illustrating a configuration of a detection device according to the second embodiment.
  • FIG. 7 is a diagram illustrating an example of a network configuration to which the detection apparatus according to the second embodiment is applied.
  • FIG. 8 is a diagram for explaining an example of a countermeasure technique according to the conventional technique.
  • FIG. 1 is a diagram illustrating an example of a configuration of a network including a network monitoring apparatus 100 according to the first embodiment.
  • the network including the network monitoring apparatus according to the first embodiment is an in-house NW (Network) as shown in FIG. 1 and is connected to the Internet (denoted as an external network as appropriate).
  • the corporate NW includes a network monitoring device 100, an FW (FireWall) 200, and a proxy server 300 as shown in FIG.
  • the corporate NW includes a user PC, a file server, SW (Switch) / router, IDS / IPS, and the like.
  • SW Switch
  • IDS IDS / IPS
  • a file server is accessed from a user PC, or the Internet is accessed from the user PC via the FW 200.
  • a user PC accesses the Internet via a proxy server 300.
  • the FW 200 monitors packets in communication executed between the user PC and file server included in the corporate NW and a terminal and server on the Internet. Specifically, the FW 200 controls packet transfer between the Internet and the corporate NW based on conditions defined in advance by the user. For example, the FW 200 determines whether the packet is related to unauthorized communication based on the 5-tuple information (destination IP (Internet Protocol) address, source IP address, destination port, transmission port and protocol) of the packet. If it is determined that the communication is illegal, the packet is discarded. Further, the FW 200 controls the connection between the user PC or file server included in the corporate NW and the Internet so as to be connected via the proxy server 300. That is, the FW 200 controls the user PC and file server included in the corporate NW so that they are not directly connected to the Internet.
  • destination IP Internet Protocol
  • the FW 200 monitors packets in communication executed between the user PC included in the corporate NW and the file server. Specifically, the FW 200 controls packet transfer between the user PC and the file server based on conditions defined in advance by the user. For example, the FW 200 determines whether the packet is related to illegal communication based on the 5-tuple information of the packet, and discards the packet when determining that the packet is illegal communication.
  • the FW 200 outputs various logs for packets passing through the FW 200.
  • the FW 200 includes 5-tuple information on a packet that has passed through the FW 200, information on a passage time (packet passage time stamp) of the packet, and information on a determination result (passability result) on the packet. Etc. are output. Note that the information described above is merely an example, and the FW 200 can output other information as appropriate depending on the device.
  • the FW 200 may output various logs and store various logs.
  • the proxy server 300 acts as a proxy for communication between the user PC and file server included in the corporate NW and the terminal and server included in the Internet. That is, when a user PC or file server included in the corporate NW accesses the Internet, the proxy server 300 performs communication with the access destination terminal or server as a proxy.
  • the proxy server 300 holds (caches) a file once read in communication with a terminal and server included in the Internet for a certain period of time, and a similar connection request is received from a user PC or file server included in the corporate NW. If there is, provide the cached file. Further, the proxy server 300 restricts the connection destination Web site and the connection source user terminal on the Internet based on the destination URL (Uniform Resource Locator) of the packet.
  • URL Uniform Resource Locator
  • the proxy server 300 stores a log of packets in the communication that it proxyed.
  • the proxy server 300 includes the communication connection time, the connection source user terminal, the connection result, the packet transmission / reception size, the access method, the URL information of the access destination, the time when the communication was performed (the communication was executed). Time stamp) information and the like are stored. Note that the information described above is merely an example, and the proxy server 300 can appropriately store other information depending on the device.
  • the network monitoring device 100 monitors packets transferred in the corporate NW and detects unauthorized communication with high accuracy. Specifically, as illustrated in FIG. 1, the network monitoring apparatus 100 collects packet information from the FW 200 and the proxy server 300 and detects unauthorized communication. For example, the network monitoring apparatus 100 collects and analyzes log information (appropriately described as “log data”) from the FW 200 or the proxy server 300, and as shown in FIG. Detection of “communications executed between infected user PCs infected with the Internet and malicious sites on the Internet”, “2: Investigation of unauthorized communications inside the corporate NW”, “3: Attacks on the Internet Communication between a user and a server included in the in-company NW, and detection of “take-out of data by attacker”.
  • log data log information
  • FIG. 2 is a diagram illustrating an example of the configuration of the network monitoring apparatus 100 according to the first embodiment.
  • the network monitoring apparatus 100 is connected to the FW 200 and the proxy server 300 and monitors communication in the in-company NW.
  • the network monitoring apparatus 100 is connected to the FW 200 and the proxy server 300 and monitors communication in the in-company NW.
  • one FW 200 and one proxy server 300 are shown, but in practice, an arbitrary number of FWs 200 and proxy servers 300 are connected to the network monitoring apparatus 100.
  • the network monitoring apparatus 100 includes a communication control I / F unit 110, an input unit 120, a display unit 130, a storage unit 140, and a control unit 150. Then, the network monitoring apparatus 100 collects log information from the FW 200 and the proxy server 300 included in the in-company NW, and monitors communication in the in-company NW based on the collected log information.
  • the communication control I / F unit 110 controls communication regarding various information exchanged between the control unit 150 and the FW 200 and the proxy server 300 included in the corporate NW. For example, the communication control I / F unit 110 controls communication related to log collection from the FW 200 and the proxy server 300. The communication control I / F unit 110 controls the exchange of various information between the input unit 120 and the display unit 130 and the control unit 150.
  • the input unit 120 is a keyboard or a mouse, for example, and accepts various information input processes by the user.
  • the input unit 120 accepts input processing such as conditions for analyzing log information.
  • the conditions for analyzing the log information will be described later.
  • the display unit 130 is, for example, a display, and displays and outputs the processing result to the user.
  • the display unit 130 displays and outputs log information corresponding to conditions for analyzing log information. That is, the display unit 130 displays and outputs log information related to unauthorized communication in the corporate NW.
  • the storage unit 140 includes a log DB 141, an analysis information DB 142, and an analysis result DB 143.
  • the storage unit 140 is, for example, a storage device such as a hard disk or an optical disk, or a semiconductor memory device such as a RAM (Random Access Memory) or a flash memory (Flash Memory), and stores various programs executed by the network monitoring device 100.
  • a storage device such as a hard disk or an optical disk
  • a semiconductor memory device such as a RAM (Random Access Memory) or a flash memory (Flash Memory)
  • the log DB 141 stores logs collected from at least one of the FW 200 and the proxy server 300 by the control unit 150 described later. Specifically, the log DB 141 stores normalized log information collected from at least one of the FW 200 and the proxy server 300 by the control unit 150 described later. For example, the log DB 141 includes 5-tuple information (destination IP address, transmission source IP address, destination port, transmission port and protocol) of a packet that has passed through the FW 200 or the proxy server 300, communication connection time, connection result, packet Log information obtained by normalizing information including the transmission / reception size, URL information of the access destination, and information including a time stamp.
  • 5-tuple information destination IP address, transmission source IP address, destination port, transmission port and protocol
  • FIG. 3 is a diagram illustrating an example of log information stored by the log DB 141 according to the first embodiment.
  • the log DB 141 stores log information in which information of each packet is arranged in time series based on time stamp information. That is, as illustrated in FIG. 3, the log DB 141 includes a destination IP address, a source IP address, a destination port, a transmission port, a protocol, a transmission size, a reception size, and a destination as “date / time”. Log information in which a URL, a user agent, a request method, and a determination result are associated with each other is stored.
  • “date / time” shown in FIG. 3 indicates the time when the packet passes through the FW 200 or the time when the proxy server 300 executes communication.
  • the “destination IP address” shown in FIG. 3 refers to a packet destination terminal (user PC of an in-company NW, a terminal on the Internet, etc.) or a server (file server of in-company NW, server on the Internet, etc.) ) IP address.
  • the “source IP address” shown in FIG. 3 is a packet source terminal (a user PC of a company NW, a terminal on the Internet, etc.) or a server (a file server of a company NW, a server on the Internet, etc.). IP address of the server).
  • the “destination port” shown in FIG. 3 is a terminal (a user PC of an in-company NW, a terminal on the Internet, etc.) or a server (a file server of an in-company NW, a server on the Internet, etc.) ) Port.
  • the “transmission port” shown in FIG. 3 is a terminal (a user PC of an in-company NW, a terminal on the Internet) or a server (a file server of an in-company NW or a server on the Internet) that is a packet transmission source. Etc.) port.
  • the “protocol” shown in FIG. 3 indicates a communication protocol used for packet transmission / reception.
  • the “transmission size” shown in FIG. 3 indicates the size of the packet transmitted by the FW 200 or the proxy server 300. Further, the “reception size” illustrated in FIG. 3 indicates the size of the packet received by the FW 200 or the proxy server 300. Further, the “destination URL” shown in FIG. 3 refers to a server (such as a file server of a corporate NW or a server on the Internet) accessed by a terminal (such as a user PC of a corporate NW or a terminal on the Internet). URL of the site is shown.
  • the “user agent” shown in FIG. 3 refers to a terminal (such as a user PC of a corporate NW or a terminal on the Internet) that accesses a site on a server (such as a file server of a corporate NW or a server on the Internet). ) Browser information. For example, when a user requests browsing of a website, a series of headers are transmitted from the browser to the server that hosts the site. Each header contains detailed information for the server to determine the best way to provide the information requested to be viewed.
  • the “user agent” is a header for identifying an application that requests information from the server.
  • the “user agent” includes information such as the browser of the terminal that requested browsing of the Web site, the browser version, and the OS.
  • the “request method” shown in FIG. 3 is a request transmitted from a terminal (a user PC of a corporate NW, a terminal on the Internet, etc.) (a file server of a corporate NW, a server on the Internet, etc.). Indicates.
  • a terminal a user PC of a corporate NW, a terminal on the Internet, etc.
  • a file server of a corporate NW, a server on the Internet, etc. Indicates.
  • the “request method” for example, “GET” that the browser requests the server to acquire a website, “HEAD” that requests only header information, “PUT” that requests the server to upload a file, There is “POST”.
  • the “determination result” illustrated in FIG. 3 indicates a determination result by the FW 200 or the proxy server 300.
  • the “determination result” includes a result of packet transfer control between the user PC and the Internet based on conditions predefined by the user.
  • the “determination result” includes, for example, the result of the connection restriction on the connection destination Web site on the Internet and the connection source user terminal based on the destination URL of the packet.
  • the log DB 141 is collected by the control unit 150 described later, and stores log information as shown in FIG.
  • the log information illustrated in FIG. 3 is merely an example, and the embodiment is not limited thereto. That is, the log DB 141 can also store other information as log information.
  • not all information shown in FIG. 3 is collected for all packets, and for example, logs corresponding to log output devices that output logs are collected. In other words, some information may not be collected depending on the type of log output device.
  • the analysis information DB 142 stores information used for analysis by the control unit 150 described later. Specifically, the analysis information DB 142 stores various information used when extracting log information satisfying a predetermined condition from the log information stored by the log DB 141. For example, the analysis information DB 142 stores information that is a key when extracting log information with information included in the header of the packet. For example, the analysis information DB 142 stores information that becomes a key when log information is extracted by a character string included in a user agent. For example, the analysis information DB 142 stores a predetermined character string for extracting log information in which a character string other than the predetermined character string is included in the user agent.
  • the analysis information DB 142 can store any information as long as it can be used when extracting log information satisfying a predetermined condition from the log information stored in the log DB 141. .
  • the analysis result DB 143 stores an analysis result by the control unit 150 described later. Specifically, the analysis result DB 143 stores log information extracted from log information stored in the log DB 141 by a control unit 150 described later based on a predetermined condition. More specifically, the analysis result DB 143 stores log information that satisfies a predetermined condition in a predetermined period, which is extracted by analyzing log information stored in the log DB 141 over time.
  • the control unit 150 includes a log collection unit 151, a log analysis unit 152, and an output control unit 153.
  • the control unit 150 is, for example, an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit), or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array), and a network monitoring device. 100 total control is executed.
  • CPU Central Processing Unit
  • MPU Micro Processing Unit
  • ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • the log collection unit 151 collects logs related to packets passing through at least one of the FW 200 and the proxy server 300 included in the in-company NW with respect to the packets transferred through the in-company NW. Specifically, the log collection unit 151 receives information on the 5-tuple of a packet from the FW 200, information on the passage time of the packet (time stamp of packet passage), and a determination result (invalid communication or not) on the packet. Information on the result of the failure). In addition, the log collection unit 151 connects the communication connection time from the proxy server 300, the connection source user terminal, the connection result, the packet transmission / reception size, the access method, the access destination URL information, and the communication time ( Collect information such as the time stamp when the communication was executed.
  • the log collection unit 151 normalizes the collected information to convert log files of different formats into a unified common format log information. Then, the log collecting unit 151 stores the normalized log information in the log DB 141.
  • the log collection unit 151 stores log information obtained by normalizing the above-described log information in the log DB 141 (see FIG. 3). That is, the log collection unit 151 uses, as log information, a destination IP address, a source IP address, a destination port, a transmission port, a protocol, a packet transmission / reception size, a packet, Log information including the destination URL, the user agent, the request method, the determination result by the FW 200 or the proxy server 300, and the time information is stored in the log DB 141.
  • the log collection unit 151 can also select log information to be collected according to the conditions of analysis of log information by the log analysis unit 152 described later.
  • the log collection unit 151 collects a log including a destination IP address, a source IP address, a destination port, a transmission port, a protocol, and time information (time stamp) in a packet transferred through the network.
  • the log collection unit 151 may include a destination IP address, a source IP address, a destination port, a transmission port, a protocol, a packet transmission / reception size, and time information (time stamp) in a packet transferred through the network.
  • the log collection unit 151 uses, as log information, a destination IP address, a source IP address, a destination port, a transmission port, a protocol, a packet destination URL, and a user agent in a packet transferred over the network.
  • Information including request method and time information (time stamp) is collected. That is, by selecting the log information to be collected, the configuration of the log information stored in the log DB 141 by the log collection unit 151 changes as appropriate.
  • the log analysis unit 152 analyzes the log information collected by the log collection unit 151 over time, and extracts log information that satisfies a predetermined condition in a predetermined period. Specifically, based on the log information collected by the log collection unit 151, the log analysis unit 152 extracts log information in which the number of communication connections and the interval satisfy a predetermined condition in a predetermined period. For example, the log analysis unit 152 uses the destination IP address, the source IP address, the destination port, the transmission port, the protocol, and the time information of the log information collected by the log collection unit 151 to use the log DB 141. The log information stored in is stored in the log information in which the number of communication connections is “10” and the communication that occurs every “30 seconds” continues for a predetermined period. . Then, the log analysis unit 152 stores the extracted log information in the analysis result DB 143.
  • the log analysis unit 152 extracts log information in which a packet transmission / reception size satisfies the predetermined condition in a predetermined period based on the log information collected by the log collection unit 151.
  • the log analysis unit 152 includes a destination IP address, a source IP address, a destination port, a transmission port, a protocol, a packet transmission / reception size, and time information of the log information collected by the log collection unit 151. Is used to extract from the log information stored in the log DB 141 the log information in which the transmission / reception size of the packet exceeds the predetermined number of bytes and continues for a predetermined period. Then, the log analysis unit 152 stores the extracted log information in the analysis result DB 143.
  • the log analysis unit 152 extracts log information that satisfies the predetermined condition of the header information of the original communication included in the log in a predetermined period based on the log information collected by the log collection unit 151.
  • the log analysis unit 152 includes a destination IP address, a source IP address, a destination port, a transmission port, a protocol, a packet destination URL, a user agent, and a log information collected by the log collection unit 151.
  • the log information in which the communication that is the character string in which the character string included in the user agent is not stored in the analysis information DB 142 continues for a predetermined period is extracted. Then, the log analysis unit 152 stores the extracted log information in the analysis result DB 143.
  • the log analysis unit 152 extracts log information that satisfies a predetermined condition in a predetermined period by analyzing the log information collected by the log collection unit 151 over time.
  • the condition for extracting log information can be arbitrarily set by the user.
  • various conditions may be set for a plurality of pieces of information (for example, each information shown in FIG. 3), and log information in which communication that satisfies the set conditions continues for a predetermined period may be extracted. These conditions may be set when the user inputs the log information via the input unit 120 when analyzing the log information, or when the log analysis unit 152 reads a preset condition. Also good.
  • it is possible to detect log information having a high possibility of unauthorized communication by setting various conditions for analogy with unauthorized communication and analyzing them.
  • the output control unit 153 controls the display unit 130 to display and output the analysis result analyzed by the log analysis unit 152 and stored in the analysis result DB 143. That is, the output control unit 153 displays and outputs the log information extracted under the conditions set by the user. Therefore, information that has a high possibility of unauthorized communication can be confirmed on the display unit 130 by setting various conditions that are presumed to be unauthorized communication by the user.
  • FIG. 4 is a flowchart illustrating a processing procedure performed by the network monitoring apparatus 100 according to the first embodiment.
  • the log collection unit 151 collects log information from the FW 200 and the proxy server 300 (step S101), and normalizes the collected log information. And stored in the log DB 141 (step S102).
  • the log analysis unit 152 extracts log information according to the received analysis conditions (step S104). Thereafter, the log analysis unit 152 stores the analysis result that is the extracted log information in the analysis result DB 143 (step S105). The log information is continuously collected until the log analysis unit 152 accepts the analysis conditions (No at Step S103).
  • the output control unit 153 displays and outputs the analysis result stored in the analysis result DB 143 on the display unit 130 (step S106).
  • the log collection unit 151 collects log information from at least one of the FW 200 and the proxy server 300 included in the company NW, with respect to a packet transferred through the company NW. Then, the log analysis unit 152 analyzes the log information collected by the log collection unit 151 over time, thereby extracting log information satisfying a predetermined condition in a predetermined period. Therefore, the network monitoring apparatus 100 according to the first embodiment extracts the log information based on the change over time of the log information satisfying the predetermined condition, so that the illegal communication candidates that have been overlooked so far are extracted. Can be detected, and unauthorized communication can be identified efficiently.
  • the network monitoring apparatus 100 of the present application can detect attacks and the like that could not be detected so far by analyzing log information that satisfies a predetermined condition over time. It is possible to specify efficiently.
  • unauthorized communication can be widely detected by flexibly changing predetermined conditions regarding information of a plurality of logs stored in the FW 200 or the proxy server 300.
  • the log collection unit 151 uses, as log information, a destination IP address, a source IP address, a destination port, a transmission port, a protocol, and the like in a packet transferred through the company NW. Collect information including time stamps. Based on the log information collected by the log collection unit 151, the log analysis unit 152 extracts log information in which the number of communication connections and the interval satisfy a predetermined condition in a predetermined period. Therefore, for example, the network monitoring apparatus 100 according to the first embodiment can detect unauthorized communication such as communication continuously executed with a malicious site and data taken out by an attacker on the Internet.
  • the log collection unit 151 includes, as log information, a destination IP address, a source IP address, a destination port, a transmission port, a protocol, and a packet transferred through the network. Information including packet transmission / reception size and time stamp is collected. Further, the log analysis unit 152 extracts log information satisfying a predetermined condition for the transmission / reception size of the packet in a predetermined period based on the log information collected by the log collection unit 151. Therefore, the network monitoring apparatus 100 according to the first embodiment can detect unauthorized communication such as an attack on a file server in the company NW from an attacker on the Internet, for example.
  • the log collection unit 151 uses, as log information, a destination IP address, a source IP address, a destination port, a transmission port, a protocol, and the like in a packet transferred through the company NW. Collect information including the destination URL of the packet, the user agent, the request method, and the time stamp. Based on the log information collected by the log collection unit 151, the log analysis unit 152 extracts log information in which the original communication header information included in the log satisfies a predetermined condition in a predetermined period. Therefore, the network monitoring apparatus 100 according to the first embodiment can detect, for example, unauthorized communication including unauthorized HTTP header information.
  • a detection apparatus (corresponding to the network monitoring apparatus according to the first embodiment) according to the second embodiment will be described.
  • the detection apparatus according to the second embodiment it is possible to detect a cyber attack that is difficult to detect at present, and to detect an event such as communication with an attacker and information leakage after a successful attack.
  • An example of such a threat is that a server provided in the internal network is illegally accessed from the external network to steal confidential information. Not only illegally access the internal network from the external network, but also maliciously embed malicious software into the PC (personal computer) connected to the internal network, that is, infect the PC with malicious software In some cases, the infected software is used to illegally collect information from a server in the internal network and send it to the outside. In addition, there is a technique in which a normal operation of a server in the internal network is prevented by sending an illegal packet from the external network to the internal network.
  • IDS / IPS In order to protect the internal network from such threats, an IDS / IPS has been deployed after providing a firewall (FW) at the connection point between the external network and the internal network.
  • IDS / IPS is a system that detects an event suspected of intrusion from the outside, and executes necessary defense measures such as disconnection of communication when such an event is detected.
  • FIG. 5 is a diagram showing an example of a system configuration for detecting and protecting against unauthorized access and intrusion.
  • the internal network 62 is connected to the external network 61. Both networks transfer IP packets, and TCP (Transmission Control Protocol) or UDP (User Datagram Protocol) is used as an upper layer protocol of IP.
  • TCP Transmission Control Protocol
  • UDP User Datagram Protocol
  • a firewall 71 is provided between the external network 61 and the internal network 62 to prevent unauthorized communication by performing packet filtering.
  • the firewall 71 performs packet filtering processing based on a so-called 5-tuple included in the packet header.
  • a 5-tuple is a combination of five parameters consisting of the source IP address, destination IP address and protocol included in the header of the IP packet, and the source port number and destination port number included in the header of the TCP packet or UDP packet. is there.
  • the firewall 71 has a log function, and can provide the administrator with a log regarding whether or not a packet that is about to pass can be passed.
  • servers 75 and 76 are provided, and an IDS / IPS 73 is also provided to detect and prevent cyber attacks such as unauthorized access and intrusion that could not be blocked by the firewall 71.
  • the IDS / IPS 73 detects unauthorized access or intrusion, the IDS / IPS 73 issues an alarm to the network manager 63.
  • Detecting methods used in IDS / IPS 73 for detecting unauthorized access and intrusion are roughly classified into a signature type and an anomaly type.
  • the signature type detection method assuming that a bit string that characterizes unauthorized access or intrusion is known, a packet passing through a certain point in the network is inspected, and if an illegal bit string exists in the packet, it is detected as abnormal.
  • the anomaly type defines normal states for resource load, traffic, and user behavior, and monitors various logs, statistical information, load, traffic, etc., and the network and servers connected to it. An error is detected when the state deviates from the normal state.
  • the signature type is based on matching with a predefined pattern and is based on the assumption that an illegal bit string is known, there is a problem that response to an unknown attack tends to be delayed.
  • the anomaly type there is a problem that it is difficult to find illegal communication without fail because there are many false detections if the normal state is strictly defined.
  • Cyber attack techniques have evolved and diversified, but continue to evolve only by techniques that use firewalls to make decisions by looking at logs from logs or using IDS / IPS to protect against signatures and pattern files. Difficult to respond to cyber attacks. Therefore, protection by a security appliance such as a conventional firewall or IDS / IPS is not sufficient, and a new technique for detecting a cyber attack without missing it is necessary. There are also security appliances that detect when the traffic flow exceeds a threshold value or when the traffic flow deviates from a predetermined pattern, but the infected terminals on the internal network (terminals with malicious software embedded) ) And an external network side attacker cannot be detected.
  • the detection device detects the above-described evolved cyber attack, which is difficult to detect at present, and detects events such as communication and information leakage with an attacker after the successful attack. By detecting it, the above problem is solved.
  • FIG. 6 is a block diagram illustrating a configuration of a detection device according to the second embodiment.
  • the detection device 20 is provided separately from a conventional security appliance such as IDS / IPS.
  • the detection device 20 uses the logs from the firewall 41 and the proxy server 44 to perform correlation analysis focusing on the time series of the logs, and extracts illegal patterns from the analysis results, thereby generating cyber attacks and information leaks. Is detected. It is preferable to perform the correlation analysis focusing on the time series over a long period of time.
  • the detection apparatus 20 uses, in particular, a 5-tuple, a transmission size, a reception size, a destination URL, a User-Agent name, a request method, and a time stamp.
  • the transmission size and the reception size can be obtained from both the log of the firewall 41 and the http header.
  • the destination URL, User-Agent name, and request method are all obtained from the http header or the https header.
  • the time stamp is time information regarding log recording in devices such as the firewall 41 and the proxy server 44, and represents, for example, the time when an event corresponding to the log occurs or the time when the log was actually recorded.
  • such a detection device 20 is roughly divided into a log collection unit 21 that collects and stores log data from the firewall 41 and the proxy server 44, and log data stored in the log collection unit 21. And a log analysis unit 22 that performs the above analysis.
  • the log collection unit 21 includes a collection execution unit 31 that collects log data from the firewall 41 and the proxy server 44, a normalization unit 32 that normalizes log data to facilitate analysis, and normalized log data Is stored in response to a query from the log management storage unit 33 and the log analysis unit 22, and log analysis is performed by receiving a response to the search result from the log management storage unit 33.
  • the log data collected by the collection execution unit 31 includes, for example, a destination IP address, a source IP address, a destination port, a transmission port, and protocol 5-tuple information, a transmission size, a reception size, a destination URL, and a User- Includes Agent name, request method, and time stamp information.
  • the log data is determined by the firewall 41 and the proxy server 44 as to whether the target packet or http message has been passed or rejected as an illegal one (this is referred to as a device determination result), the firewall 41 and Information such as each device ID of the proxy server 44 may be included.
  • the format of the log data output from the firewall 41 or the proxy server 44 is unified, the analysis can be easily performed without necessarily performing the normalization process, so the normalization unit 32 is not provided.
  • the log data collected by the collection execution unit 31 may be directly stored in the log management storage unit 33.
  • the log analysis unit 22 makes an inquiry to the log extraction unit 34 of the log collection unit 21 to acquire a log, and requests log data from the log acquisition unit 35 and sends a response to the log data.
  • An analysis execution unit 36 that receives and sets log data according to the set analysis conditions, and an analysis result DB (database) 37 that stores the analysis results output from the analysis execution unit 36 are provided.
  • the log analysis unit 22 includes a storage unit 38 (denoted as “NW information 38” as appropriate) for storing network (NW) information, and various analysis rules as analysis conditions.
  • a storage unit 39 (described as “analysis rule 39” as appropriate) may be provided.
  • the network information is information such as the topology, address, and subnet of the network to be monitored.
  • the log acquisition unit 35 acquires log data from the log collection unit 21, which communication direction is related to the log data? It is used to determine the direction (communication from the internal network to the external network, the opposite direction, or communication closed to the internal network). The determined communication direction is sent to the analysis execution unit 36 together with the log data.
  • the analysis execution unit 36 can read a plurality of analysis rules for analyzing time-series correlation for a plurality of log data instead of a single log data from the storage unit 39. .
  • the analysis execution unit 36 uses the value of the item determined by each analysis rule out of the log data accumulated in the log collection unit 21 for each analysis rule. Output analysis results. Further, the analysis execution unit 36 identifies an illegal communication candidate from the combination pattern of analysis results based on each analysis rule, and outputs the candidate.
  • Log data is transmitted from the firewall 41 and the proxy server 44 in the internal network at any time.
  • the collection execution unit 31 collects the log data and transfers it to the normalization unit 32.
  • the normalizing unit 32 normalizes the log data and stores it in the log management storage unit 33.
  • the analysis execution unit 36 sends a log data request to the log acquisition unit 35, and the log acquisition unit 35 makes an inquiry to the log extraction unit 34 in the log collection unit 21 based on the log data request.
  • the log extraction unit 34 searches the log data in the log management storage unit 33 based on the inquiry. A result response to this search is sent from the log management storage unit 33 to the log extraction unit 34, whereby the log acquisition unit 35 acquires log data from the log extraction unit 34.
  • the log acquisition unit 35 determines the communication direction of communication related to the acquired log data based on the network information in the NW information 38, and analyzes the log data and the determination result of the communication direction as a log data response.
  • Send to part 36 the analysis execution unit 36 applies single or plural analysis rules read from the analysis rule 39 to the log data, and extracts candidates for unauthorized communication by time-series correlation analysis.
  • the analysis execution unit 36 detects unauthorized communication with higher accuracy by analyzing the output frequency and pattern of analysis results obtained from the plurality of analysis rules.
  • the extracted illegal communication candidates are accumulated in the analysis result DB 37.
  • the detection device 20 can use the log data itself that is output from an existing device, it can be introduced without greatly affecting the network configuration. .
  • analysis rules that can be used in the detection device 20 according to the second embodiment, in particular, communication between an infected terminal and an attacker, or communication that may cause information leakage, can be used.
  • An example of an analysis rule that can analyze a time series correlation for data will be described.
  • the time of the time stamp is based on at least the 5-tuple information, the number of transmission bytes, and the time stamp information of the log data stored in the log collecting unit 21.
  • communication in which the value of the number of transmitted bytes is different from the normal value within a set period is regarded as communication with suspected fraud.
  • the time information of the time stamp is obtained based on at least 5-tuple information of the log data stored in the log collection unit 21, destination URL, and time stamp information.
  • the detection apparatus 20 can be configured as dedicated hardware, but uses a general-purpose computer including a microprocessor, a memory, a communication interface, and the like to execute the functions of the inspection apparatus 20. It can also be realized by executing a computer program on this computer. The same applies to the network monitoring apparatus 100 according to the first embodiment.
  • FIG. 7 is a diagram illustrating an example of a network configuration to which the detection apparatus according to the second embodiment is applied.
  • An internal network 12 that is an internal network is connected to the Internet 11, and a firewall 41 is provided at a connection point between the internal network 12 and the Internet 11.
  • a switch (SW) / router 42 connected to the firewall 41 is provided.
  • the switch / router 42 includes an IDS / IPS 43, a proxy server 44, file servers 45 and 46, and a user PC 47 that is a terminal. To 49 are provided.
  • the inspection device 20 described above is provided so as to receive log data from the firewall 41 and the proxy server 44.
  • the network may be further divided into several segments, and an internal firewall may be provided at the segment division point. If log data of the internal firewall is also provided to the inspection device 20, it is possible to detect communications that are suspected of fraud with the internal network 12 as a start and end point.
  • the Internet 11 includes a malicious site 51 and an attacker 52.
  • the user PC 49 indicated by a double line frame is an infected terminal in which malicious software is embedded.
  • an attacker tries to steal information from within the corporate network 12
  • the user PC 49 communicates with the malicious site 51 to investigate the file servers 45 and 46.
  • the user PC 49 conducts internal investigation activities to obtain information from the file servers 45 and 46, and finally, as shown in [3], the infected terminal
  • the user PC 49 communicates as the attacker 52 and transmits the illegally obtained data to the attacker 52, the data is taken out to the Internet 11 side.
  • the firewall 41 and the internal firewall at any stage indicated by [1], [2], and [3] in the figure. Based on the log data from at least one of the above and the log data from the proxy server 44, communication suspected of fraud can be detected.
  • the detection device uses the log data from the devices generally provided in the existing network such as the firewall and the proxy server, and combines these log data to obtain an unauthorized Suspicious communication can be detected, and in particular, there is an effect that it is possible to detect communication with an attacker after an attack is successful and events such as information leakage.
  • each device for example, the form shown in FIG. 2
  • the specific form of distribution / integration of each device is not limited to the one shown in the figure, and all or a part thereof can be changed in arbitrary units according to various loads and usage conditions.
  • Functionally or physically distributed and integrated for example, the log DB 141 and the analysis result DB 143 may be integrated as one DB.
  • the log collection unit 151 is divided into a collection unit that collects logs and a normalization processing unit that performs normalization processing. It may be dispersed.
  • the storage unit 140 may be a case where an existing management system or an external DB is used.
  • an existing management system DB or an external DB has a log DB 141, an analysis information DB 142, and an analysis result DB 143 included in the storage unit 140, and the control unit 150 is an existing management system DB or an external DB.
  • the DB may be accessed and information is read / written.
  • control unit 150 may be connected as an external device of the network monitoring device 100 via a network, or the log collection unit 151 and the log analysis unit 152 are respectively provided as separate devices and connected to the network.
  • the functions of the network monitoring device 100 described above may be realized.
  • the embodiment is not limited to this, and can be applied to any environment as long as it is an environment in which packets are exchanged between a plurality of networks.
  • the embodiment is not limited to this, and the number of devices is arbitrarily changed by the network. That is, the network monitoring apparatus 100 collects log information from the FW 200 and the proxy server 300 arranged in the network to be monitored.
  • log information is collected from the FW 200 and the proxy server 300 has been described.
  • the embodiment is not limited to this, and for example, log information may be collected from either one.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

　ネットワーク監視装置（１００）は、ログ収集部（１５１）と、ログ分析部（１５２）とを備える。ログ収集部（１５１）は、ネットワークを転送されるパケットについて、ネットワークに含まれるＦＷ（２００）及びプロキシサーバ（３００）のうち少なくとも一方から通過するパケットに関するログ情報を収集する。ログ分析部（１５２）は、ログ収集部（１５１）によって収集されたログ情報を経時的に分析することで、所定の期間において所定の条件を満たすログ情報を抽出する。

Description

ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム
　本発明は、インターネットなどの外部ネットワークからのサイバー攻撃や外部ネットワークへの情報漏えいの検出を支援するための技術に関する。
　近年、ネットワークを介して提供される各種サービスや、インフラなどに対して攻撃する不正な通信（サイバー攻撃）は、多種多様な手法を用いたものへと日々進化し、ますます脅威が増大している。このような不正な通信に対する対策技術としては、例えば、ＦＷ（FireWall：ファイアウォール）やＩＤＳ（Intrusion　Detection　System）、ＩＰＳ（Intrusion　Prevention　System）などが知られている。図８は、従来技術に係る対策技術の一例を説明するための図である。
　例えば、ＦＷは、図８に示すように、ルータ等のネットワーク装置のパケットフィルタリング機能、あるいは、専用装置として、内部ネットワークと外部ネットワークとの接続点に配置される。そして、例えば、ＦＷは、内部ネットワークに含まれる端末が外部ネットワークの端末に提供しているサービスのパケット、および、外部ネットワークの端末が提供しているサービスを内部ネットワークの端末が利用するためのパケットのみを通過させ、それ以外のパケットを遮断するように、内部ネットワークに含まれる端末のユーザによってルールが設定される。
　また、例えば、ＩＤＳやＩＰＳは、ルータ等のネットワーク装置の機能、あるいは、専用装置として提供される。ここで、ＩＤＳやＩＰＳには、例えば、図８に示すように、取得したパケットを、予め定義された攻撃パケットのパターンとマッチングすることによって攻撃を検出するシグネチャ型や、取得したパケット、又は、ネットワーク機器から収集した各種ログ、統計情報を用いてトラフィックを監視し、監視データを分析することによって異常なトラフィックを検出するアノマリ型が知られている。
　一例を挙げると、シグネチャ型では、図８に示すように、ＦＷ通過後の地点でパケットを取得して、当該パケットに不正なビット列が含まれるか否かを判定し、不正なビット列が存在する場合に異常と検出する。また、例えば、アノマリ型では、内部ネットワークの端末におけるリソースの付加や通信量などの振る舞いに正常状態を定義して、それを外れる場合に異常と検出する。上述した技術においては、異常を検出すると、例えば、図８に示すように、アラートを出力することでネットワーク管理者に異常を通知する。
特開２００８－２１９１４９号公報 特開２００６－１１５００７号公報 特開２００５－２１０６０１号公報
　しかしながら、上述した従来技術では、不正な通信に対する対策技術として一定の限界があった。例えば、ＦＷにおいては、パケットごとに通過の可否を決定しており、攻撃成功時の通過したパケットについてのログを単一で見るだけでは攻撃者の通信が見分けることができないなど、対策技術として一定の限界があった。また、例えば、ＩＤＳやＩＰＳのシグネチャ型においても、予め定義されたパターンに基づくため、未知の攻撃への対応が遅れ、対策技術として一定の限界があった。また、例えば、ＩＤＳやＩＰＳのアノマリ型では、正常状態の定義を厳密に定義すると誤検出が多発することとなり、不正な通信をもれなく検出することが困難であり、対策技術として一定の限界があった。
　そこで、本願に係る技術は、上述した従来技術の問題に鑑みてなされたものであって、不正な通信を高精度に検出することを可能にするネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラムを提供することを目的とする。
　上述した課題を解決し、目的を達成するため、本願に係るネットワーク監視装置は、外部ネットワークとの接続点及び内部のセグメント分割点の少なくとも一方に設けられるファイアウォールとウェブアクセス用のプロキシサーバとを備えてＩＰパケットを転送するネットワーク内に設けられ、不正の疑いがある通信を検出するネットワーク監視装置であって、前記ファイアウォール及び前記プロキシサーバの少なくとも一方からログデータを収集して格納するログ収集部と、前記ログ収集部に対してログデータの問い合わせを行い、設定された分析条件にしたがって前記ログデータを分析して分析結果を出力するログ分析部と、を備え、前記ログ収集部により格納されるログデータは、５－タプル、送信サイズ、受信サイズ、ｈｔｔｐヘッダから抽出された情報、タイムスタンプの少なくとも一つ以上を含む情報であり、前記ｈｔｔｐヘッダから抽出される情報は、宛先ＵＲＬ、Ｕｓｅｒ－Ａｇｅｎｔ名及びリクエストメソッドの少なくとも１つ以上を含んでいる。
　本願に係るネットワーク監視装置は、不正な通信を高精度に検出することを可能にする。
図１は、第１の実施形態に係るネットワーク監視装置が含まれるネットワークの構成の一例を示す図である。 図２は、第１の実施形態に係るネットワーク監視装置の構成の一例を示す図である。 図３は、第１の実施形態に係るログＤＢによって記憶されるログ情報の一例を示す図である。 図４は、第１の実施形態に係るネットワーク監視装置による処理の手順を示すフローチャートである。 図５は、不正なアクセスや侵入を検出して防御するためのシステムの構成の一例を示す図である。 図６は、第２の実施形態に係る検出装置の構成を示すブロック図である。 図７は、第２の実施形態に係る検出装置が適用されるネットワークの構成の一例を示す図である。 図８は、従来技術に係る対策技術の一例を説明するための図である。
　以下に添付図面を参照して、本願に係るネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラムの実施形態を詳細に説明する。なお、本願に係るネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラムは、以下の実施形態により限定されるものではない。
（第１の実施形態）
［第１の実施形態に係るネットワーク監視装置を含むネットワークの構成］
　まず、第１の実施形態に係るネットワーク監視装置１００を含むネットワークの構成について説明する。図１は、第１の実施形態に係るネットワーク監視装置１００が含まれるネットワークの構成の一例を示す図である。例えば、第１の実施形態に係るネットワーク監視装置を含むネットワークは、図１に示すように、企業内ＮＷ（Network）であり、インターネット（適宜、外部ネットワークと記載）と接続される。
　ここで、企業内ＮＷは、図１に示すように、ネットワーク監視装置１００と、ＦＷ（FireWall）２００と、プロキシサーバ３００とを含む。また、企業内ＮＷは、図１に示すように、ユーザＰＣや、ファイルサーバ、ＳＷ（Switch）／ルータ、ＩＤＳ／ＩＰＳなどが含まれる。例えば、企業内ＮＷにおいては、ユーザＰＣからファイルサーバにアクセスされたり、或いは、ユーザＰＣからＦＷ２００を介してインターネットにアクセスされたりする。また、例えば、企業内ＮＷにおいては、ユーザＰＣからプロキシサーバ３００を介してインターネットにアクセスされる。
　ＦＷ２００は、企業内ＮＷに含まれるユーザＰＣ及びファイルサーバと、インターネット上の端末及びサーバとの間で実行される通信におけるパケットを監視する。具体的には、ＦＷ２００は、ユーザによって予め定義された条件に基づいて、インターネットと企業内ＮＷとの間のパケットの転送を制御する。例えば、ＦＷ２００は、パケットの５－ｔｕｐｌｅの情報（宛先ＩＰ（インターネットプロトコル(Internet　Protocol)）アドレス、送信元ＩＰアドレス、宛先ポート、送信ポート及びプロトコル）に基づいて、不正な通信に係るパケットか否かを判定して、不正な通信であると判定した場合には、パケットを破棄する。また、ＦＷ２００は、企業内ＮＷに含まれるユーザＰＣやファイルサーバとインターネットとの接続を、プロキシサーバ３００を介した接続となるように制御する。すなわち、ＦＷ２００は、企業内ＮＷに含まれるユーザＰＣやファイルサーバが、インターネットと直接接続されないように制御する。
　また、ＦＷ２００は、企業内ＮＷに含まれるユーザＰＣとファイルサーバとの間で実行される通信におけるパケットを監視する。具体的には、ＦＷ２００は、ユーザによって予め定義された条件に基づいて、ユーザＰＣとファイルサーバとの間のパケットの転送を制御する。例えば、ＦＷ２００は、パケットの５－ｔｕｐｌｅの情報に基づいて、不正な通信に係るパケットか否かを判定して、不正な通信であると判定した場合には、パケットを破棄する。
　ここで、ＦＷ２００は、自身を通過するパケットについて、各種ログを出力する。例えば、ＦＷ２００は、自身を通過したパケットの５－ｔｕｐｌｅの情報や、当該パケットの通過時刻（パケット通過のタイムスタンプ）の情報、さらには、当該パケットに対する判定結果（通過の可否の結果）の情報などを出力する。なお、上記した情報はあくまでも一例であり、ＦＷ２００は、機器によってその他の情報も適宜出力することが可能である。また、ＦＷ２００は、各種ログを出力するとともに、各種ログを記憶するものであってもよい。
　プロキシサーバ３００は、企業内ＮＷに含まれるユーザＰＣ及びファイルサーバと、インターネットに含まれる端末及びサーバとの通信を代理する。すなわち、プロキシサーバ３００は、企業内ＮＷに含まれるユーザＰＣ又はファイルサーバがインターネットにアクセスする場合に、アクセス先の端末又はサーバとの通信を代理で実行する。
　また、プロキシサーバ３００は、インターネットに含まれる端末及びサーバとの通信において一度読み込んだファイルを一定期間保持（キャッシュ）しておき、企業内ＮＷに含まれるユーザＰＣ又はファイルサーバから同様の接続要求があった場合に、キャッシュしたファイルを提供する。また、プロキシサーバ３００は、パケットの宛先ＵＲＬ（Uniform　Resource　Locator）などに基づいて、インターネット上の接続先のＷｅｂサイトや接続元のユーザ端末を制限したりする。
　ここで、プロキシサーバ３００は、自身が代理した通信におけるパケットのログを記憶する。例えば、プロキシサーバ３００は、通信の接続時間や、接続元のユーザ端末、接続結果、パケットの送受信サイズ、アクセス方法、アクセス先のＵＲＬの情報や、通信が行われた時刻（通信が実行されたタイムスタンプ）の情報などを記憶する。なお、上記した情報はあくまでも一例であり、プロキシサーバ３００は、機器によってその他の情報も適宜記憶することが可能である。
　ネットワーク監視装置１００は、企業内ＮＷにおいて転送されるパケットを監視して、不正な通信を高精度に検出する。具体的には、ネットワーク監視装置１００は、図１に示すように、ＦＷ２００及びプロキシサーバ３００からパケットの情報を収集して、不正な通信を検出する。例えば、ネットワーク監視装置１００は、ＦＷ２００やプロキシサーバ３００からログ情報（適宜、「ログデータ」と記載）を収集して分析することで、図１に示すように、「１：企業内ＮＷにおいてウィルス等に感染した感染ユーザＰＣとインターネット上の悪性サイトとの間で実行される通信」の検出や、「２：企業内ＮＷの内部での不正な通信の調査」、「３：インターネット上の攻撃者と企業内ＮＷに含まれるサーバ等との通信及び攻撃者によるデータの持ち出し」の検出などを行う。
［第１の実施形態に係るネットワーク監視装置の構成］
　次に、第１の実施形態に係るネットワーク監視装置の構成について説明する。図２は、第１の実施形態に係るネットワーク監視装置１００の構成の一例を示す図である。図２に示すように、ネットワーク監視装置１００は、ＦＷ２００及びプロキシサーバ３００に接続され、企業内ＮＷにおける通信を監視する。なお、図２においては、ＦＷ２００及びプロキシサーバ３００がそれぞれ１台ずつ示されているが、実際には、任意の台数のＦＷ２００及びプロキシサーバ３００がネットワーク監視装置１００に接続される。
　ネットワーク監視装置１００は、図２に示すように、通信制御Ｉ／Ｆ部１１０と、入力部１２０と、表示部１３０と、記憶部１４０と、制御部１５０とを有する。そして、ネットワーク監視装置１００は、企業内ＮＷに含まれるＦＷ２００及びプロキシサーバ３００からログ情報を収集して、収集したログ情報に基づいて、企業内ＮＷにおける通信を監視する。
　通信制御Ｉ／Ｆ部１１０は、企業内ＮＷに含まれるＦＷ２００及びプロキシサーバ３００と、制御部１５０との間でやり取りする各種情報に関する通信を制御する。例えば、通信制御Ｉ／Ｆ部１１０は、ＦＷ２００及びプロキシサーバ３００からのログ収集に係る通信を制御する。また、通信制御Ｉ／Ｆ部１１０は、入力部１２０及び表示部１３０と、制御部１５０との間での各種情報のやり取りを制御する。
　入力部１２０は、例えば、キーボードやマウスなどであり、ユーザによる種々の情報の入力処理を受付ける。一例を挙げると、入力部１２０は、ログ情報の分析するための条件などの入力処理などを受付ける。なお、ログ情報を分析するための条件については後述する。表示部１３０は、例えば、ディスプレイなどであり、ユーザに対して処理結果を表示出力する。一例を挙げると、表示部１３０は、ログ情報を分析するための条件に応じたログ情報を表示出力する。すなわち、表示部１３０は、企業内ＮＷにおける不正な通信に関するログ情報を表示出力する。
　記憶部１４０は、図１に示すように、ログＤＢ１４１と、分析情報ＤＢ１４２と、分析結果ＤＢ１４３とを有する。記憶部１４０は、例えば、ハードディスク、光ディスクなどの記憶装置、または、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）などの半導体メモリ素子であり、ネットワーク監視装置１００によって実行される各種プログラムなどを記憶する。
　ログＤＢ１４１は、後述する制御部１５０によってＦＷ２００及びプロキシサーバ３００のうち、少なくとも一方から収集されたログを記憶する。具体的には、ログＤＢ１４１は、後述する制御部１５０がＦＷ２００及びプロキシサーバ３００のうち少なくとも一方から収集し、正規化されたログ情報を記憶する。例えば、ログＤＢ１４１は、ＦＷ２００又はプロキシサーバ３００を通過したパケットの５－ｔｕｐｌｅの情報（宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート、送信ポート及びプロトコル）や通信の接続時間や、接続結果、パケットの送受信サイズ、アクセス先のＵＲＬの情報や、タイムスタンプを含む情報が正規化されたログ情報を記憶する。
　図３は、第１の実施形態に係るログＤＢ１４１によって記憶されるログ情報の一例を示す図である。例えば、ログＤＢ１４１は、図３に示すように、タイムスタンプの情報に基づいて、各パケットの情報を時系列に並べたログ情報を記憶する。すなわち、ログＤＢ１４１は、図３に示すように、「日付／時刻」に宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ポートと、送信ポートと、プロトコルと、送信サイズと、受信サイズと、宛先ＵＲＬと、ユーザエージェントと、リクエストメソッドと、判定結果とが対応付けられたログ情報を記憶する。
　ここで、図３に示す「日付／時刻」とは、パケットがＦＷ２００を通過した時刻、又は、プロキシサーバ３００が通信を実行した時刻を示す。また、図３に示す「宛先ＩＰアドレス」とは、パケットの宛先の端末（企業内ＮＷのユーザＰＣや、インターネット上の端末など）又はサーバ（企業内ＮＷのファイルサーバや、インターネット上のサーバなど）のＩＰアドレスを示す。また、図３に示す「送信元ＩＰアドレス」とは、パケットの送信元の端末（企業内ＮＷのユーザＰＣや、インターネット上の端末など）又はサーバ（企業内ＮＷのファイルサーバや、インターネット上のサーバなど）のＩＰアドレスを示す。
　また、図３に示す「宛先ポート」とは、パケットの宛先となる端末（企業内ＮＷのユーザＰＣや、インターネット上の端末など）又はサーバ（企業内ＮＷのファイルサーバや、インターネット上のサーバなど）のポートを示す。また、図３に示す「送信ポート」とは、パケットの送信元となる端末（企業内ＮＷのユーザＰＣや、インターネット上の端末など）又はサーバ（企業内ＮＷのファイルサーバや、インターネット上のサーバなど）のポートを示す。また、図３に示す「プロトコル」とは、パケットの送受信に用いられる通信プロトコルを示す。
　また、図３に示す「送信サイズ」とは、ＦＷ２００又はプロキシサーバ３００が送信したパケットのサイズを示す。また、図３に示す「受信サイズ」とは、ＦＷ２００又はプロキシサーバ３００が受信したパケットのサイズを示す。また、図３に示す「宛先ＵＲＬ」とは、端末（企業内ＮＷのユーザＰＣや、インターネット上の端末など）によってアクセスされるサーバ（企業内ＮＷのファイルサーバや、インターネット上のサーバなど）上のサイトのＵＲＬを示す。
　また、図３に示す「ユーザエージェント」とは、サーバ（企業内ＮＷのファイルサーバや、インターネット上のサーバなど）上のサイトにアクセスする端末（企業内ＮＷのユーザＰＣや、インターネット上の端末など）のブラウザの情報を示す。例えば、ユーザがＷｅｂサイトの閲覧を要求すると、サイトをホストするサーバに対してブラウザから一連のヘッダが送信される。各ヘッダは、閲覧が要求された情報を提供する最適な方法をサーバ側で決定するための詳細な情報を含む。ここで、「ユーザエージェント」は、サーバに対して情報を要求しているアプリケーションを識別するためのヘッダである。一例を挙げると、「ユーザエージェント」には、Ｗｅｂサイトの閲覧を要求した端末のブラウザや、ブラウザのバージョン、ＯＳなどの情報が含まれる。
　また、図３に示す「リクエストメソッド」とは、端末（企業内ＮＷのユーザＰＣや、インターネット上の端末など）から（企業内ＮＷのファイルサーバや、インターネット上のサーバなど）に発信される要求を示す。「リクエストメソッド」としては、例えば、ブラウザがサーバに対してＷｅｂサイトの取得を要求する「ＧＥＴ」や、ヘッダのみの情報を要求する「ＨＥＡＤ」、サーバにファイルのアップロードを要求する「ＰＵＴ」、「ＰＯＳＴ」などがある。
　また、図３に示す「判定結果」とは、ＦＷ２００や、プロキシサーバ３００による判定結果を示す。例えば、「判定結果」としては、ユーザによって予め定義された条件に基づくユーザＰＣとインターネットとの間のパケットの転送制御の結果を含む。また、「判定結果」としては、例えば、パケットの宛先ＵＲＬなどに基づくインターネット上の接続先のＷｅｂサイトや接続元のユーザ端末の接続制限の結果を含む。
　上述したように、ログＤＢ１４１は、後述する制御部１５０によって収集され、図３に示すようなログ情報を記憶する。ここで、図３に示すログ情報はあくまでも一例であり、実施形態はこれに限定されるものではない。すなわち、ログＤＢ１４１は、ログ情報としてその他の情報を記憶することも可能である。また、すべてのパケットについて、図３に示す全ての情報が収集されるわけではなく、例えば、ログを出力するログ出力機器に応じたログが収集される。言い換えると、ログ出力機器の種類によっては、いずれかの情報が収集されない場合もある。
　図２に戻って、分析情報ＤＢ１４２は、後述する制御部１５０による分析に用いられる情報を記憶する。具体的には、分析情報ＤＢ１４２は、ログＤＢ１４１によって記憶されるログ情報の中から、所定の条件を満たすログ情報を抽出する際の各種情報を記憶する。例えば、分析情報ＤＢ１４２は、パケットのヘッダに含まれる情報でログ情報を抽出する場合のキーとなる情報を記憶する。一例を挙げると、分析情報ＤＢ１４２は、ユーザエージェントに含まれる文字列によってログ情報を抽出する場合のキーとなる情報を記憶する。例えば、分析情報ＤＢ１４２は、所定の文字列以外の文字列がユーザエージェントに含まれるログ情報を抽出するための所定の文字列を記憶する。なお、上述した例は、あくまでも一例であり、分析情報ＤＢ１４２によって記憶される情報は、これに限られるものではない。すなわち、分析情報ＤＢ１４２は、ログＤＢ１４１によって記憶されるログ情報の中から、所定の条件を満たすログ情報を抽出する際に用いることができる情報であれば、どのような情報でも記憶することができる。
　分析結果ＤＢ１４３は、後述する制御部１５０による分析結果を記憶する。具体的には、分析結果ＤＢ１４３は、後述する制御部１５０がログＤＢ１４１に記憶されるログ情報から所定の条件に基づいて抽出したログ情報を記憶する。より具体的には、分析結果ＤＢ１４３は、ログＤＢ１４１に記憶されるログ情報が経時的に分析されることで抽出された、所定の期間において所定の条件を満たすログ情報を記憶する。
　制御部１５０は、ログ収集部１５１と、ログ分析部１５２と、出力制御部１５３とを有する。制御部１５０は、例えば、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などの集積回路であり、ネットワーク監視装置１００の全体制御を実行する。
　ログ収集部１５１は、企業内ＮＷを転送されるパケットについて、企業内ＮＷに含まれるＦＷ２００及びプロキシサーバ３００のうち少なくとも一方から通過するパケットに関するログを収集する。具体的には、ログ収集部１５１は、ＦＷ２００からパケットの５－ｔｕｐｌｅの情報や、当該パケットの通過時刻（パケット通過のタイムスタンプ）の情報、さらには、当該パケットに対する判定結果（不正な通信か否かの結果）の情報などを収集する。また、ログ収集部１５１は、プロキシサーバ３００から通信の接続時間や、接続元のユーザ端末、接続結果、パケットの送受信サイズ、アクセス方法、アクセス先のＵＲＬの情報や、通信が行われた時刻（通信が実行されたタイムスタンプ）の情報などを収集する。
　そして、ログ収集部１５１は、収集した情報を正規化することで形式の異なるログファイルを統一された共通の形式のログ情報に変換する。そして、ログ収集部１５１は、正規化したログ情報をログＤＢ１４１に格納する。例えば、ログ収集部１５１は、上述したログの情報を正規化したログ情報をログＤＢ１４１に格納する（図３参照）。すなわち、ログ収集部１５１は、ログ情報として、企業内ＮＷを転送されるパケットにおける宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ポートと、送信ポートと、プロトコルと、パケットの送受信サイズと、パケットの宛先ＵＲＬと、ユーザエージェントと、リクエストメソッドと、ＦＷ２００又はプロキシサーバ３００による判定結果と、時刻情報とを含むログ情報をログＤＢ１４１に格納する。
　ここで、ログ収集部１５１は、後述するログ分析部１５２によるログ情報の分析の条件に応じて、収集するログ情報を選択することも可能である。例えば、ログ収集部１５１は、ネットワークを転送されるパケットにおける宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ポートと、送信ポートと、プロトコルと、時刻情報（タイムスタンプ）とを含むログを収集する。或いは、ログ収集部１５１は、ネットワークを転送されるパケットにおける宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ポートと、送信ポートと、プロトコルと、パケットの送受信サイズと、時刻情報（タイムスタンプ）とを含む情報を収集する。或いは、ログ収集部１５１は、ログ情報として、ネットワークを転送されるパケットにおける宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ポートと、送信ポートと、プロトコルと、パケットの宛先ＵＲＬと、ユーザエージェントと、リクエストメソッドと、時刻情報（タイムスタンプ）とを含む情報を収集する。すなわち、収集されるログ情報が選択されることにより、ログ収集部１５１によってログＤＢ１４１に格納されるログ情報の構成は適宜変化することとなる。
　ログ分析部１５２は、ログ収集部１５１によって収集されたログ情報を経時的に分析することで、所定の期間において所定の条件を満たすログ情報を抽出する。具体的には、ログ分析部１５２は、ログ収集部１５１によって収集されたログ情報に基づいて、所定の期間において通信のコネクション数及び間隔が所定の条件を満たすログ情報を抽出する。例えば、ログ分析部１５２は、ログ収集部１５１によって収集されたログ情報の宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ポートと、送信ポートと、プロトコルと、時刻情報とを用いて、ログＤＢ１４１に記憶されたログ情報の中から通信のコネクションの数が「１０回」であり、かつ、その時間間隔が「３０秒」ごとに発生する通信が所定の期間継続しているログ情報を抽出する。そして、ログ分析部１５２は、抽出したログ情報を分析結果ＤＢ１４３に格納する。
　また、ログ分析部１５２は、ログ収集部１５１によって収集されたログ情報に基づいて、所定の期間においてパケットの送受信サイズが前記所定の条件を満たすログ情報を抽出する。例えば、ログ分析部１５２は、ログ収集部１５１によって収集されたログ情報の宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ポートと、送信ポートと、プロトコルと、パケットの送受信サイズと、時刻情報とを用いて、ログＤＢ１４１に記憶されたログ情報の中からパケットの送受信サイズがそれぞれ所定のバイト数を上回っている通信が所定の期間継続しているログ情報を抽出する。そして、ログ分析部１５２は、抽出したログ情報を分析結果ＤＢ１４３に格納する。
　また、ログ分析部１５２は、ログ収集部１５１によって収集されたログ情報に基づいて、所定の期間においてログに含まれる元の通信のヘッダ情報が所定の条件を満たすログ情報を抽出する。例えば、ログ分析部１５２は、ログ収集部１５１によって収集されたログ情報の宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ポートと、送信ポートと、プロトコルと、パケットの宛先ＵＲＬと、ユーザエージェントと、リクエストメソッドと、時刻情報とを用いて、ユーザエージェントに含まれる文字列が分析情報ＤＢ１４２に記憶されていない文字列である通信が所定の期間継続しているログ情報を抽出する。そして、ログ分析部１５２は、抽出したログ情報を分析結果ＤＢ１４３に格納する。
　このように、ログ分析部１５２は、ログ収集部１５１によって収集されたログ情報を経時的に分析することで、所定の期間において所定の条件を満たすログ情報を抽出する。ここで、上述した抽出の例は、あくまでも一例であり、ログ情報を抽出する条件はユーザが任意に設定することができる。例えば、複数の情報（例えば、図３に示す各情報）に対して種々の条件を設定し、設定した条件を満たす通信が所定の期間継続するログ情報を抽出するようにしてもよい。また、これらの条件の設定は、ログ情報を分析する際に入力部１２０を介してユーザが入力する場合であってもよく、或いは、予め設定した条件をログ分析部１５２が読み出す場合であってもよい。ここで、ユーザが不正な通信と類推される条件を種々設定して、分析させることで不正通信の可能性が高いログ情報を検出することが可能となる。
　出力制御部１５３は、ログ分析部１５２によって分析され、分析結果ＤＢ１４３に記憶された分析結果を表示部１３０に表示出力するように制御する。すなわち、出力制御部１５３は、ユーザによって設定された条件で抽出されたログ情報を表示出力させる。従って、ユーザが不正な通信と類推される条件を種々設定することで、不正な通信の可能性が高い情報を表示部１３０に確認することができる。
［第１の実施形態に係るネットワーク監視装置による処理の手順］
　次に、第１の実施形態に係るネットワーク監視装置１００による処理の手順について、図４を用いて説明する。図４は、第１の実施形態に係るネットワーク監視装置１００による処理の手順を示すフローチャートである。図４に示すように、第１の実施形態に係るネットワーク監視装置１００においては、ログ収集部１５１が、ＦＷ２００及びプロキシサーバ３００からログ情報を収集し（ステップＳ１０１）、収集したログ情報を正規化してログＤＢ１４１に格納する（ステップＳ１０２）。
　そして、入力部１２０が操作者から分析の条件を受け付けると（ステップＳ１０３肯定）、ログ分析部１５２が、受け付けた分析の条件に応じたログ情報を抽出する（ステップＳ１０４）。その後、ログ分析部１５２は、抽出したログ情報である分析結果を分析結果ＤＢ１４３に格納する（ステップＳ１０５）。なお、ログ分析部１５２が分析の条件を受け付けるまで、ログ情報の収集が継続して実行される（ステップＳ１０３否定）。
　そして、出力制御部１５３が、分析結果ＤＢ１４３に記憶される分析結果を表示部１３０に表示出力する（ステップＳ１０６）。
［第１の実施形態の効果］
　上述したように、第１の実施形態によれば、ログ収集部１５１が、企業ＮＷを転送されるパケットについて、企業ＮＷに含まれるＦＷ２００及びプロキシサーバ３００のうち少なくとも一方からログ情報を収集する。そして、ログ分析部１５２が、ログ収集部１５１によって収集されたログ情報を経時的に分析することで、所定の期間において所定の条件を満たすログ情報を抽出する。従って、第１の実施形態に係るネットワーク監視装置１００は、所定の条件を満たすログ情報の経時的な変化に基づいてログ情報を抽出することで、これまでは見逃されていた不正な通信の候補を検出することができ、不正な通信を効率よく特定することを可能とする。
　例えば、従来技術のＦＷにおいては、パケットごとに通過の可否を決定しており、攻撃成功時の通過したパケットについてのログを単一で見るだけでは攻撃者の通信が見分けることができず、進化し続ける未知の攻撃に対して対応が遅れることがあった。また、例えば、従来技術のＩＤＳやＩＰＳのシグネチャ型においても、予め定義されたパターンに基づくため、未知の攻撃への対応が遅れる場合があった。これに対して、本願のネットワーク監視装置１００では、所定の条件を満たすログ情報の経時的な分析をすることで、これまでに検出できなかった攻撃などを検出することができ、不正な通信を効率よく特定することを可能とする。
　また、例えば、本願に係るネットワーク監視装置１００では、ＦＷ２００やプロキシサーバ３００に記憶された複数のログの情報に関する所定の条件を柔軟に変化させることで、不正な通信を幅広く検出することができる。
　また、第１の実施形態によれば、ログ収集部１５１は、ログ情報として、企業ＮＷを転送されるパケットにおける宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ポートと、送信ポートと、プロトコルと、タイムスタンプとを含む情報を収集する。そして、ログ分析部１５２は、ログ収集部１５１によって収集されたログ情報に基づいて、所定の期間において通信のコネクション数及び間隔が所定の条件を満たすログ情報を抽出する。従って、第１の実施形態に係るネットワーク監視装置１００は、例えば、悪性サイトと継続して実行される通信や、インターネット上の攻撃者によるデータの持ち出しなどの不正な通信を検出することができる。
　また、第１の実施形態によれば、ログ収集部１５１は、ログ情報として、ネットワークを転送されるパケットにおける宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ポートと、送信ポートと、プロトコルと、パケットの送受信サイズと、タイムスタンプとを含む情報を収集する。また、ログ分析部１５２は、ログ収集部１５１によって収集されたログ情報に基づいて、所定の期間においてパケットの送受信サイズが所定の条件を満たすログ情報を抽出する。従って、第１の実施形態に係るネットワーク監視装置１００は、例えば、インターネット上の攻撃者から企業ＮＷ内のファイルサーバへの攻撃などの不正な通信を検出することができる。
　また、第１の実施形態によれば、ログ収集部１５１は、ログ情報として、企業ＮＷを転送されるパケットにおける宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ポートと、送信ポートと、プロトコルと、パケットの宛先ＵＲＬと、ユーザエージェントと、リクエストメソッドと、タイムスタンプとを含む情報を収集する。ログ分析部１５２は、ログ収集部１５１によって収集されたログ情報に基づいて、所定の期間においてログに含まれる元の通信のヘッダ情報が所定の条件を満たすログ情報を抽出する。従って、第１の実施形態に係るネットワーク監視装置１００は、例えば、不正なＨＴＴＰヘッダ情報を含む不正な通信を検出することができる。
（第２の実施形態）
　次に、第２の実施形態に係る検出装置（第１の実施形態に係るネットワーク監視装置に対応）について説明する。第２の実施形態に係る検出装置では、現状では検出が難しいサイバー攻撃を検出し、また、攻撃成功後の攻撃者との間の通信や情報漏えいなどの事象を検出することができる。
　従来、企業内ネットワークなどの内部ネットワークをインターネットなどの外部ネットワークに接続し、外部ネットワーク上に展開された各種のサービスを利用することは極めて一般的なこととなっている。その一方で、ネットワークを介しての各種のサービスやインフラストラクチャ（社会基盤）へのサイバー攻撃は多種多様な手法を用いた執拗なものへと日々進化しており、ますますそれらの脅威が増大している。
　それらの脅威の一例としては、内部ネットワーク内に設けられているサーバに対して外部ネットワークから不正にアクセスし、機密情報を盗み出す、というものがある。単純に外部ネットワークから内部ネットワークに不正にアクセスするだけではなく、内部ネットワークに接続されているＰＣ（パーソナルコンピュータ）に対し、悪意のあるソフトウェアを不正に埋め込み、すなわち悪意のあるソフトウェアによってＰＣを感染させ、その感染させたソフトウェアを用いて内部ネットワーク内のサーバから不正に情報を収集して外部に送信する、というものもある。また、不正なパケットを外部ネットワークから内部ネットワークに送りつけることによって、内部ネットワーク内のサーバの正常な動作を妨げる、というものもある。
　そのような脅威から内部ネットワークを防御するために、外部ネットワークと内部ネットワークとの接続点にファイアウォール（ＦＷ）を設けた上で、ＩＤＳ／ＩＰＳを配備するようになってきている。ＩＤＳ／ＩＰＳは、外部からの侵入を疑わせる事象を検出し、さらに、そのような事象を検出した場合に、通信の切断など、必要な防御策を実行するシステムである。
　図５は、不正なアクセスや侵入を検出して防御するためのシステムの構成の一例を示す図である。ここでは、外部ネットワーク６１に対して内部ネットワーク６２が接続している。いずれのネットワークもＩＰパケットを転送するものであり、ＩＰの上位レイヤのプロトコルとして、ＴＣＰ（伝送制御プロトコル(Transmission　Control　Protocol)）あるいはＵＤＰ（ユーザデータプロトコル(User　Datagram　Protocol)）が用いられている。
　外部ネットワーク６１と内部ネットワーク６２との間には、パケットフィルタリングを行うことによって不正な通信を防止するためのファイアウォール７１が設けられている。ファイアウォール７１は、パケットヘッダに含まれるいわゆる５－タプル（5-tuple）に基づいてパケットフィルタリングの処理を実行する。５－タプルは、ＩＰパケットのヘッダに含まれる送信元ＩＰアドレス、宛先ＩＰアドレス及びプロトコルと、ＴＣＰパケットあるいはＵＤＰパケットのヘッダに含まれる送信元ポート番号及び宛先ポート番号からなる５つのパラメータの組み合わせである。ファイアウォール７１は、ログ機能を有しており、通過しようとしたパケットについての通過の可否に関するログを管理者に提供できるようになっている。
　内部ネットワーク６２内には、例えばサーバ７５、７６が設けられるとともに、ファイアウォール７１では阻止できなかった不正アクセスや侵入などのサイバー攻撃を検出し防御するためにＩＤＳ／ＩＰＳ７３も設けられている。ＩＤＳ／ＩＰＳ７３は、不正なアクセスや侵入などを検出すると、ネットワークの管理者６３に対して警報を発する。
　不正アクセスや侵入を検出するためにＩＤＳ／ＩＰＳ７３に用いられる検出方法としては、大きく分けるとシグネチャ型とアノマリ型とがある。シグネチャ型の検出方法では、不正アクセスや侵入等を特徴づけるビット列が既知であるとして、ネットワーク内のある地点を通過するパケットを検査し、その中に不正なビット列が存在する場合に異常として検出する。一方、アノマリ型では、リソースの負荷や通信量、ユーザの振る舞いなどに関して正常状態を定義し、各種のログや統計情報、負荷量、通信量などを監視し、ネットワークやそこに接続されるサーバの状態が正常状態から外れる場合に異常として検出する。シグネチャ型は、予め定義されたパターンとのマッチングに基づくものであって、不正なビット列が既知であることが前提なので、未知の攻撃への対応が遅れがちになるという課題を有する。一方、アノマリ型では、正常状態を厳密に定義すると誤検知が多くなるので、もれなく不正な通信を見つけるのが難しい、という課題がある。
　サイバー攻撃の手法は進化し多様化しているが、ファイアウォールからのログを見て判断したり、ＩＤＳ／ＩＰＳなどを用いてシグネチャやパターンファイルとのマッチングによって防御したりする手法だけでは、進化し続けるサイバー攻撃に対応することが難しい。したがって、従来のファイアウォールやＩＤＳ／ＩＰＳといったセキュリティアプライアンスによる防御では十分ではなく、サイバー攻撃を取りこぼすことなく検出する新たな技術が必要である。また、トラフィック流量が閾値を超える場合や、あらかじめ定められたパターンとはずれた場合を異常として検知するセキュリティアプライアンスも存在するが、内部ネットワーク上の感染端末（悪意のあるソフトウェアが埋め込まれてしまった端末）と外部ネットワーク側の攻撃者との間の継続的な通信などは検出することができないという問題がある。
　そこで、第２の実施形態に係る検出装置では、現状では検出が難しい上述したような進化したサイバー攻撃を検出し、また、攻撃成功後の攻撃者との間の通信や情報漏えいなどの事象を検出することで、上記の問題を解決する。
　次に、第２の実施形態に係る検出装置について、図面を参照して説明する。図６は、第２の実施形態に係る検出装置の構成を示すブロック図である。
　図６に示す検出装置２０は、ＩＰパケットが転送される内部ネットワークに設けられるものである。内部ネットワークは、外部ネットワークであるインターネットに対してファイアウォール４１を介して接続しているものとし、また、内部ネットワーク内には、ウェブアクセスのためのプロキシサーバ４４が設けられているものとする。プロキシサーバ４４は、内部ネットワーク内の端末からインターネット上のウェブサイトへのアクセスを代理し必要に応じてアクセス制限を行うものであり、特に、ｈｔｔｐ（ハイパーテキスト転送プロトコル：Hypertext　Transmission　Protocol）やｈｔｔｐｓ(http　secure)によるメッセージの代理応答や転送制御を行う。第２の実施形態に係る検出装置２０は、ＩＤＳ／ＩＰＳといった従来のセキュリティアプライアンスとは別個に設けられるものである。検出装置２０は、ファイアウォール４１とプロキシサーバ４４からのログを用いて、ログの時系列に着目した相関分析を行い、その分析結果から不正なパターンを抽出することで、サイバー攻撃や情報漏えいの発生を検出する。時系列に着目した相関分析は長期にわたって行うことが好ましい。検出装置２０は、ファイアウォール４１及びプロキシサーバ４４から取得されるログにおいて、特に、５－タプルと、送信サイズ、受信サイズ、宛先ＵＲＬ、Ｕｓｅｒ－Ａｇｅｎｔ名、リクエストメソッド及びタイムスタンプとを使用する。ここで、送信サイズ及び受信サイズは、ファイアウォール４１のログからもｈｔｔｐヘッダからも得ることができるものである。宛先ＵＲＬ、Ｕｓｅｒ－Ａｇｅｎｔ名及びリクエストメソッドは、いずれも、ｈｔｔｐヘッダあるいはｈｔｔｐｓヘッダから得られるものである。タイムスタンプは、ファイアウォール４１やプロキシサーバ４４などの機器におけるログの記録に関する時刻情報であり、例えば、ログに対応するイベントの発生時刻、あるいは実際にログを記録した時刻を表すものである。
　このような検出装置２０は、図６に示すように、大別すると、ファイアウォール４１及びプロキシサーバ４４からログデータを収集して記憶するログ収集部２１と、ログ収集部２１に記憶されたログデータの分析を行うログ分析部２２とから構成されている。
　ログ収集部２１は、ファイアウォール４１及びプロキシサーバ４４からログデータを収集する収集実行部３１と、分析を容易にするためにログデータの正規化を行う正規化部３２と、正規化されたログデータが格納されるログ管理記憶部３３と、ログ分析部２２からの問合せに応じてログ管理記憶部３３内のログデータを検索し、ログ管理記憶部３３からの検索結果の応答を受け取ってログ分析部２２に渡すログ抽出部３４と、を備えている。収集実行部３１が収集するログデータは、例えば、宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート、送信ポート、プロトコルの５－タプルの情報に加えて、送信サイズ、受信サイズ、宛先ＵＲＬ、Ｕｓｅｒ－Ａｇｅｎｔ名、リクエストメソッド、タイムスタンプの情報を含んでいる。さらにはログデータは、ファイアウォール４１及びプロキシサーバ４４において、対象とするパケットあるいはｈｔｔｐメッセージを通過させたかあるいは不正なものとして拒絶したかの判定結果（これを機器判定結果と呼ぶ）や、ファイアウォール４１及びプロキシサーバ４４の各々の装置ＩＤなどの情報を含んでいてもよい。ファイアウォール４１やプロキシサーバ４４から出力されるログデータの書式が統一されたものである場合などには、必ずしも正規化処理を行わなくても分析を容易に行えるので、正規化部３２を設けることなく収集実行部３１で収集したログデータを、直接、ログ管理記憶部３３に格納するようにしてもよい。
　一方、ログ分析部２２は、ログ収集部２１のログ抽出部３４に対して問合せを行ってログを取得するログ取得部３５と、ログ取得部３５に対してログデータを要求してその応答を受け取り、設定された分析条件に応じてログデータの分析を行う分析実行部３６と、分析実行部３６から出力される分析結果を格納する分析結果ＤＢ（データベース）３７と、を備えている。さらに、柔軟な分析及び分析精度向上のために、ログ分析部２２は、ネットワーク（ＮＷ）情報を格納する記憶部３８（適宜「ＮＷ情報３８」と記載）と、分析条件として各種の分析ルールを格納する記憶部３９（適宜「分析ルール３９」と記載）とを備えていてもよい。ネットワーク情報は、監視対象のネットワークのトポロジーやアドレス及びサブネットなどの情報であって、ログ取得部３５がログ収集部２１からログデータを取得した際に、ログデータに関係する通信の方向がどちらの方向であるのか（内部ネットワークから外部ネットワークに向かう通信か、その逆方向か、または内部ネットワークに閉じた通信か）を判別するために使用される。判別した通信方向は、ログデータとともに分析実行部３６に送られる。
　この検出装置２０では、分析実行部３６は、単一のログデータではなく複数のログデータについて時系列相関を分析するための分析ルールを記憶部３９から複数読み込むことができるようにすることができる。複数の分析ルールを読み込む場合には、分析実行部３６は、ログ収集部２１に蓄積されたログデータのうち、各分析ルールで定められた項目の値を分析に使用し、各分析ルールごとの分析結果を出力する。さらに分析実行部３６は、各分析ルールによる分析結果の組み合わせパターンから、不正な通信の候補を識別してその候補を出力する。
　次に、この検出装置２０の動作について説明する。
　内部ネットワーク内のファイアウォール４１及びプロキシサーバ４４からは、随時、ログデータが送信されており、ログ収集部２１において収集実行部３１がそれらのログデータを収集して正規化部３２に転送し、正規化部３２はログデータの正規化を行ってログ管理記憶部３３内に格納する。一方、ログ分析部２２において、分析実行部３６は、ログデータ要求をログ取得部３５に送り、ログ取得部３５は、ログデータ要求に基づいてログ収集部２１内のログ抽出部３４に問合せを行い、ログ抽出部３４は、問合せに基づいてログ管理記憶部３３内のログデータを検索する。この検索に対する結果応答がログ管理記憶部３３からログ抽出部３４に送られ、それにより、ログ取得部３５がログ抽出部３４からログデータを取得する。次にログ取得部３５は、ＮＷ情報３８内のネットワーク情報に基づいて、取得したログデータに関係する通信の通信方向を判定し、ログデータと通信方向の判定結果とをログデータ応答として分析実行部３６に送る。すると分析実行部３６は、分析ルール３９から読出した単一もしくは複数の分析ルールをログデータに適用し、時系列相関分析によって不正通信の候補を抽出する。特に、複数の分析ルールを適用した場合には、分析実行部３６は、複数の分析ルールから得られた分析結果の出力頻度やパターンを解析することで、より精度よく不正な通信を検出する。抽出された不正通信の候補は、分析結果ＤＢ３７に蓄積される。
　企業内多くの内部ネットワークでは、ファイアウォールを通過できるパケットのプロトコルやポート番号が限定されている。通過できる数少ないプロトコル／ポート番号の代表的なものが、ウェブアクセスのためのｈｔｔｐメッセージである。このため、悪意のあるソフトウェアを内部ネットワーク上の端末に感染させ、そのソフトウェアを用いて内部ネットワーク上の端末やサーバ内のデータを盗み出そうとする場合、攻撃者はｈｔｔｐメッセージを利用することが考えられる。第２の実施形態に係る検出装置２０では、ファイアウォール４１からのログデータに加え、ウェブアクセス用のプロキシサーバ４４からのログデータを用いることにより、不正の疑いがあるｈｔｔｐ通信を検出することができ、特に、感染端末と攻撃者との間の通信や、情報漏えいの恐れのある通信を検出することができる。
　第２の実施形態に係る検出装置２０は、その使用するログデータ自体としては既存の装置から出力されるものを利用できるので、ネットワーク構成に大きな影響を与えることなく、導入することが可能である。
　以下、第２の実施形態に係る検出装置２０において利用可能な分析ルール、とりわけ感染端末と攻撃者との間の通信や情報漏えいの恐れのある通信を検出するために利用することができ、ログデータについて時系列相関を分析することができる分析ルールの例について、説明する。
　（１）ｈｔｔｐコネクションの送信バイト数に着目し、ログ収集部２１に蓄積されたログデータのうち少なくとも５－タプルの情報と送信バイト数、タイムスタンプの情報とを基にして、タイムスタンプの時刻情報を参照し、設定された期間内で送信バイト数の値が正常値と差がある通信を不正の疑いがある通信とする。
　（２）ｈｔｔｐコネクションの数に着目し、ログ収集部２１に蓄積されたログデータのうちの少なくとも５－タプルの情報と宛先ＵＲＬ、タイムスタンプの情報とを基にして、タイムスタンプの時刻情報を参照し、設定された期間内で同一通信の組のコネクション数が正常値と差がある通信を不正の疑いがある通信とする。
　（３）内部ネットワークにあらかじめポリシーが設定されているとして、ポリシー違反のコネクションに着目し、ログ収集部２１に蓄積されたログデータのうち少なくとも５－タプルの情報と、上述の機器判定結果、タイムスタンプの情報とを基にして、タイムスタンプの時刻情報を参照し、設定された期間内で同一通信の組のコネクションにおけるポリシー違反の発生頻度が正常値と差がある通信を不正の疑いがある通信とする。
　（４）ｈｔｔｐコネクションの送受信バイト数の差分に着目し、ログ収集部２１に蓄積されたログデータのうち少なくとも５－タプルの情報と送信バイト数、受信バイト数、タイムスタンプの情報とを基にして、タイムスタンプの時刻情報を参照し、設定された期間内で、送信バイト数と受信バイト数の差の値が正常値と差がある通信を不正の疑いがある通信とする。
　（５）ｈｔｔｐ通信のヘッダの情報のうちＵｓｅｒ－Ａｇｅｎｔ名に着目し、ログ収集部２１に蓄積されるログデータのうち少なくとも５－タプルの情報とＵｓｅｒ－Ａｇｅｎｔ名、タイムスタンプの情報とを基にして、タイムスタンプの時刻情報を参照し、設定された期間内でＵｓｅｒ－Ａｇｅｎｔ名が正常値と差がある通信を不正の疑いがある通信とする。
　（６）ｈｔｔｐ通信のヘッダの情報のうちリクエストメソッドと送受信バイト数に着目し、ログ収集部２１に蓄積されたログデータのうち少なくとも５－タプルの情報と送信バイト数、受信バイト数、リクエストメソッド、タイムスタンプの情報とを基にして、タイムスタンプの時刻情報を参照し、設定された期間内で特定のリクエストメソッドとその通信に伴う送受信バイト数の差の値が正常値と差がある通信を不正の疑いがある通信とする。
　（７）宛先ＵＲＬに着目し、ログ収集部２１に蓄積されたログデータのうち少なくとも５－タプルの情報と宛先ＵＲＬ、タイムスタンプの情報とを基にして、タイムスタンプの時刻情報を参照し、設定された期間内で宛先ＵＲＬに異常がある通信を不正の疑いがある通信とする。
　例えば、第２の実施形態に係る検出装置２０は、専用ハードウェアとして構成することもできるが、マイクロプロセッサやメモリ、通信インタフェースなどを備える汎用のコンピュータを利用し、検査装置２０の機能を実行するコンピュータプログラムをこのコンピュータ上で実行させることによっても実現できる。なお、第１の実施形態に係るネットワーク監視装置１００についても同様である。
　図７は第２の実施形態に係る検出装置が適用されるネットワークの構成の一例を示す図である。内部ネットワークである企業内ネットワーク１２がインターネット１１に接続しており、企業内ネットワーク１２とインターネット１１との接続点にはファイアウォール４１が設けられている。企業内ネットワーク１２内では、ファイアウォール４１に接続するスイッチ（ＳＷ）／ルータ４２が設けられており、スイッチ／ルータ４２にはＩＤＳ／ＩＰＳ４３、プロキシサーバ４４、ファイルサーバ４５、４６、端末であるユーザＰＣ４７～４９が設けられている。そして上述した検査装置２０が、ファイアウォール４１及びプロキシサーバ４４からログデータを受け取るように設けられている。図には示されていないが、企業内ネットワーク１２では、そのネットワークがさらにいくつかのセグメントに分割されてセグメント分割点に内部ファイアウォールが設けられていてもよい。内部ファイアウォールのログデータも検査装置２０に提供されるようにすれば、企業内ネットワーク１２内を始終点とする不正の疑いがある通信を検出することができる。
　インターネット１１には、悪性サイト５１が存在し、また、攻撃者５２も存在するものとする。ここで、ユーザＰＣ４７～４９のうち、二重線の枠で示されているユーザＰＣ４９は、悪意のあるソフトウェアが埋め込まれた感染端末であるとする。攻撃者が企業内ネットワーク１２内から情報を窃取しようとする場合、典型的な例では、まず、［１］で示すように、ユーザＰＣ４９が悪性サイト５１と通信してファイルサーバ４５、４６の調査を指示され、次に、［２］に示すように、ユーザＰＣ４９が内部での調査活動を行ってファイルサーバ４５、４６から情報を入手し、最後に、［３］に示すように、感染端末であるユーザＰＣ４９が攻撃者５２として通信して、不正に入手したデータを攻撃者５２に送信することによりデータがインターネット１１側に持ち出される。第２の実施形態に係る検査装置２０を用い上述したような分析ルールを適用することによって、図において［１］、［２］、［３］で示すいずれの段階においても、ファイアウォール４１及び内部ファイアウォールの少なくとも一方からのログデータと、プロキシサーバ４４からのログデータとに基づいて、不正の疑いがある通信を検出することができる。
　このように、第２の実施形態に係る検出装置では、ファイアウォール及びプロキシサーバという既存のネットワークにおいて一般的に設けられている装置からのログデータを用い、これらのログデータを組み合わせることによって、不正の疑いがある通信を検出できるようになり、特に、攻撃成功後の攻撃者との間の通信や情報漏えいなどの事象を検出できるようになる、という効果がある。
（第３の実施形態）
　これまで第１の実施形態および第２の実施形態を説明したが、本願に係る実施例は、第１の実施形態および第２の実施形態に限定されるものではない。すなわち、これらの実施例は、その他の様々な形態で実施されることが可能であり、種々の省略、置き換え、変更を行うことができる。
　例えば、各装置の分散・統合の具体的形態（例えば、図２の形態）は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合することができる。一例を挙げると、ログＤＢ１４１と分析結果ＤＢ１４３とを１つのＤＢとして統合してもよく、一方、ログ収集部１５１を、ログを収集する収集部と、正規化処理を行う正規化処理部とに分散してもよい。また、記憶部１４０は、既存の管理システムや外部のＤＢを利用する場合であってもよい。すなわち、既存の管理システムのＤＢ、或いは、外部のＤＢが、記憶部１４０に含まれるログＤＢ１４１、分析情報ＤＢ１４２及び分析結果ＤＢ１４３を有し、制御部１５０が既存の管理システムのＤＢ、或いは、外部のＤＢに対してアクセスし、情報の読み書きを実行する場合であってもよい。
　また、制御部１５０をネットワーク監視装置１００の外部装置としてネットワーク経由で接続するようにしてもよく、或いは、ログ収集部１５１とログ分析部１５２とを別の装置がそれぞれ有し、ネットワークに接続されて協働することで、上述したネットワーク監視装置１００の機能を実現するようにしてもよい。
　上述した第１の実施形態においては、インターネットと企業ＮＷとの間でパケットがやり取りされる場合を１例に挙げて説明した。しかしながら、実施形態はこれに限定されるものではなく、例えば、複数のネットワーク間でパケットがやり取りされる環境であればどのような環境にも適用することができる。
　上述した第１の実施形態においては、図１に示すように、２台のＦＷ２００と、１台のプロキシサーバ３００が企業ＮＷに含まれる場合について説明した。しかしながら、実施形態はこれに限定されるものではなく、各装置の台数はネットワークによって任意に変更される。すなわち、ネットワーク監視装置１００は、監視するネットワーク内に配置されたＦＷ２００及びプロキシサーバ３００からそれぞれログ情報を収集する。
　上述した第１の実施形態においては、ＦＷ２００及びプロキシサーバ３００からそれぞれログ情報を収集する場合について説明した。しかしながら、実施形態はこれに限定されるものではなく、例えば、どちらか一方からログ情報を収集する場合であってもよい。
　これらの実施例やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。
　１１　インターネット
　１２　企業内ネットワーク
　２０　検出装置
　２１、１５１　ログ収集部
　２２、１５２　ログ分析部
　３１　収集実行部
　３２　正規化部
　３３　ログ管理記憶部
　３４　ログ抽出部
　３５　ログ取得部
　３６　分析実行部
　３７、１４３　分析結果データベース（ＤＢ）
　３８　ネットワーク（ＮＷ）情報を格納する記憶部
　３９　分析ルールを格納する記憶部
　４１、２００　ファイアウォール（ＦＷ）
　４２　スイッチ／ルータ
　４３　ＩＤＳ／ＩＰＳ
　４４、３００　プロキシサーバ
　４５、４６　ファイルサーバ
　４７～４９　ユーザＰＣ
　１００　ネットワーク監視装置
　１４１　ログＤＢ
　１４２　分析情報ＤＢ
　１５３　出力制御部

Claims (9)

  1. 　外部ネットワークとの接続点及び内部のセグメント分割点の少なくとも一方に設けられるファイアウォールとウェブアクセス用のプロキシサーバとを備えてＩＰパケットを転送するネットワーク内に設けられ、不正の疑いがある通信を検出するネットワーク監視装置であって、
    　前記ファイアウォール及び前記プロキシサーバの少なくとも一方からログデータを収集して格納するログ収集部と、
    　前記ログ収集部に対してログデータの問い合わせを行い、設定された分析条件にしたがって前記ログデータを分析して分析結果を出力するログ分析部と、
    　を備え、
    　前記ログ収集部により格納されるログデータは、５－タプル、送信サイズ、受信サイズ、ｈｔｔｐヘッダから抽出された情報、タイムスタンプの少なくとも一つ以上を含む情報であり、前記ｈｔｔｐヘッダから抽出される情報は、宛先ＵＲＬ、Ｕｓｅｒ－Ａｇｅｎｔ名及びリクエストメソッドの少なくとも１つ以上を含んでいることを特徴とするネットワーク監視装置。
  2. 　前記ログ分析部は、複数の前記ログデータについて時系列相関を分析するための分析条件を複数設定可能であって、各分析条件にしたがって分析を実行することを特徴とする請求項１に記載のネットワーク監視装置。
  3. 　前記ログ分析部は、前記各分析条件での分析結果の組み合わせパターンから不正な通信の候補を検出して出力することを特徴とする請求項２に記載のネットワーク監視装置。
  4. 　前記ログ分析部において、監視対象のネットワークについての情報に基づきログデータの対象となる通信の方向を判別し、判別した方向と当該ログデータとに基づいて分析を実行することを特徴とする請求項１乃至３のいずれか１項に記載のネットワーク監視装置。
  5. 　前記ログ収集部は、前記ログデータとして、前記５－タプルと前記タイムスタンプとを含む情報を収集し、
    　前記ログ分析部は、前記ログ収集部によって収集されたログデータに基づいて、所定の期間において通信のコネクション数及び間隔が所定の条件を満たすログデータを抽出することを特徴とする請求項３に記載のネットワーク監視装置。
  6. 　前記ログ収集部は、前記ログデータとして、前記５－タプルと前記送信サイズと前記受信サイズと前記タイムスタンプとを含む情報を収集し、
    　前記ログ分析部は、前記ログ収集部によって収集されたログデータに基づいて、所定の期間において前記ＩＰパケットの送受信サイズが所定の条件を満たすログデータを抽出することを特徴とする請求項３に記載のネットワーク監視装置。
  7. 　前記ログ収集部は、前記ログデータとして、前記５－タプルと前記宛先ＵＲＬと前記Ｕｓｅｒ－Ａｇｅｎｔ名と前記リクエストメソッドと前記タイムスタンプとを含む情報を収集し、
    　前記ログ分析部は、前記ログ収集部によって収集されたログデータに基づいて、所定の期間において前記ログデータに含まれる元の通信のヘッダ情報が所定の条件を満たすログデータを抽出することを特徴とする請求項３に記載のネットワーク監視装置。
  8. 　外部ネットワークとの接続点及び内部のセグメント分割点の少なくとも一方に設けられるファイアウォールとウェブアクセス用のプロキシサーバとを備えてＩＰパケットを転送するネットワーク内に設けられ、不正の疑いがある通信を検出するネットワーク監視装置で実行するネットワーク監視方法であって、
    　前記ファイアウォール及び前記プロキシサーバの少なくとも一方からログデータを収集して格納するログ収集工程と、
    　前記ログ収集工程に対してログデータの問い合わせを行い、設定された分析条件にしたがって前記ログデータを分析して分析結果を出力するログ分析工程と、
    　を含み、
    　前記ログ収集工程により格納されるログデータは、５－タプル、送信サイズ、受信サイズ、ｈｔｔｐヘッダから抽出された情報、タイムスタンプの少なくとも一つ以上を含む情報であり、前記ｈｔｔｐヘッダから抽出される情報は、宛先ＵＲＬ、Ｕｓｅｒ－Ａｇｅｎｔ名及びリクエストメソッドの少なくとも１つ以上を含んでいることを特徴とするネットワーク監視方法。
  9. 　外部ネットワークとの接続点及び内部のセグメント分割点の少なくとも一方に設けられるファイアウォールとウェブアクセス用のプロキシサーバとを備えてＩＰパケットを転送するネットワーク内に設けられ、不正の疑いがある通信を検出するネットワーク監視プログラムであって、
    　前記ファイアウォール及び前記プロキシサーバの少なくとも一方からログデータを収集して格納するログ収集ステップと、
    　前記ログ収集ステップに対してログデータの問い合わせを行い、設定された分析条件にしたがって前記ログデータを分析して分析結果を出力するログ分析ステップと、
    　をコンピュータに実行させ、
    　前記ログ収集ステップにより格納されるログデータは、５－タプル、送信サイズ、受信サイズ、ｈｔｔｐヘッダから抽出された情報、タイムスタンプの少なくとも一つ以上を含む情報であり、前記ｈｔｔｐヘッダから抽出される情報は、宛先ＵＲＬ、Ｕｓｅｒ－Ａｇｅｎｔ名及びリクエストメソッドの少なくとも１つ以上を含んでいることを特徴とするネットワーク監視プログラム。
PCT/JP2014/054190 2013-02-21 2014-02-21 ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム WO2014129587A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201480009739.7A CN105027510B (zh) 2013-02-21 2014-02-21 网络监视装置和网络监视方法
JP2015501520A JP5844938B2 (ja) 2013-02-21 2014-02-21 ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム
EP14754256.7A EP2961111B1 (en) 2013-02-21 2014-02-21 Network monitoring device, network monitoring method, and network monitoring program
US14/769,666 US9661008B2 (en) 2013-02-21 2014-02-21 Network monitoring apparatus, network monitoring method, and network monitoring program

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2013-032587 2013-02-21
JP2013032587 2013-02-21
JP2013-034529 2013-02-25
JP2013034529 2013-02-25

Publications (1)

Publication Number Publication Date
WO2014129587A1 true WO2014129587A1 (ja) 2014-08-28

Family

ID=51391367

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/054190 WO2014129587A1 (ja) 2013-02-21 2014-02-21 ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム

Country Status (5)

Country Link
US (1) US9661008B2 (ja)
EP (1) EP2961111B1 (ja)
JP (1) JP5844938B2 (ja)
CN (1) CN105027510B (ja)
WO (1) WO2014129587A1 (ja)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016114985A (ja) * 2014-12-11 2016-06-23 Tis株式会社 ログ解析方法、ログ解析プログラム及びログ解析装置
CN106559241A (zh) * 2015-09-29 2017-04-05 阿里巴巴集团控股有限公司 应用日志的收集、发送方法、装置、系统及日志服务器
JP2018121218A (ja) * 2017-01-25 2018-08-02 エヌ・ティ・ティ・コミュニケーションズ株式会社 攻撃検知システム、攻撃検知方法および攻撃検知プログラム
JP2018157373A (ja) * 2017-03-17 2018-10-04 日本電気通信システム株式会社 不正通信監視装置、不正通信監視方法、不正通信監視プログラム、および不正通信監視システム
WO2019043804A1 (ja) * 2017-08-30 2019-03-07 日本電気株式会社 ログ分析装置、ログ分析方法及びコンピュータ読み取り可能記録媒体
JP2019186686A (ja) * 2018-04-06 2019-10-24 富士通株式会社 ネットワーク監視装置，ネットワーク監視プログラム及びネットワーク監視方法
CN110838949A (zh) * 2018-08-16 2020-02-25 阿里巴巴集团控股有限公司 一种网络流量日志记录方法及装置
JP2020114016A (ja) * 2015-03-30 2020-07-27 アマゾン・テクノロジーズ、インコーポレイテッド マルチテナント環境のためのネットワークフローログ
JP2022000987A (ja) * 2018-08-06 2022-01-04 日本電気株式会社 通信装置

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3011430A4 (en) * 2013-06-19 2017-02-08 Hewlett-Packard Enterprise Development LP Unifying application log messages using runtime instrumentation
JP6252254B2 (ja) * 2014-02-28 2017-12-27 富士通株式会社 監視プログラム、監視方法および監視装置
KR101564644B1 (ko) * 2014-07-03 2015-10-30 한국전자통신연구원 접근제어리스트 추출 방법 및 시스템
US10592566B2 (en) * 2015-10-29 2020-03-17 Ca, Inc. Intelligent edge device for filtering internet of things (IoT) data
US10164990B2 (en) * 2016-03-11 2018-12-25 Bank Of America Corporation Security test tool
US10313384B1 (en) * 2016-08-11 2019-06-04 Balbix, Inc. Mitigation of security risk vulnerabilities in an enterprise network
JP6652912B2 (ja) * 2016-12-21 2020-02-26 アラクサラネットワークス株式会社 ネットワーク装置および異常検知システム
US20180211252A1 (en) * 2017-01-20 2018-07-26 Jiko Group, Inc. Systems and methods for private node-level data computing and reconciliation
JP7031667B2 (ja) * 2017-06-05 2022-03-08 日本電気株式会社 情報処理装置、情報処理システム、情報処理方法、及び、プログラム
US11095678B2 (en) * 2017-07-12 2021-08-17 The Boeing Company Mobile security countermeasures
JP6973227B2 (ja) 2018-03-23 2021-11-24 日本電信電話株式会社 異常トラヒック分析装置、異常トラヒック分析方法及び異常トラヒック分析プログラム
JP7010268B2 (ja) * 2019-04-19 2022-01-26 オムロン株式会社 通信監視システムおよび通信監視方法
CN110062049A (zh) * 2019-04-30 2019-07-26 深圳前海微众银行股份有限公司 一种办公网络的监控方法、装置、计算机设备及存储介质
KR102295947B1 (ko) * 2019-11-15 2021-08-30 한전케이디엔주식회사 사이버 보안관제의 실시간 모니터링 시스템 및 방법
JP7388203B2 (ja) 2020-01-20 2023-11-29 株式会社Ihi コンテナ型仮想化環境における通信管理装置
CN117061139A (zh) * 2022-05-07 2023-11-14 华为技术有限公司 一种检测攻击的方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005210601A (ja) 2004-01-26 2005-08-04 Nippon Telegr & Teleph Corp <Ntt> 不正侵入検知装置
JP2006115007A (ja) 2004-10-12 2006-04-27 Nippon Telegr & Teleph Corp <Ntt> 侵入検知処理装置、侵入検知処理方法および記録媒体
JP2008219149A (ja) 2007-02-28 2008-09-18 Nippon Telegr & Teleph Corp <Ntt> トラヒック制御システムおよびトラヒック制御方法
JP2009044665A (ja) * 2007-08-10 2009-02-26 Fujitsu Ltd 通信装置を制御するプログラム及び通信装置

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6321338B1 (en) * 1998-11-09 2001-11-20 Sri International Network surveillance
US7599939B2 (en) * 2003-11-26 2009-10-06 Loglogic, Inc. System and method for storing raw log data
JP2006295232A (ja) * 2005-04-05 2006-10-26 Lac Co Ltd セキュリティ監視装置、セキュリティ監視方法、及びプログラム
US7661136B1 (en) * 2005-12-13 2010-02-09 At&T Intellectual Property Ii, L.P. Detecting anomalous web proxy activity
JP5011234B2 (ja) * 2008-08-25 2012-08-29 株式会社日立情報システムズ 攻撃ノード群判定装置およびその方法、ならびに情報処理装置および攻撃対処方法、およびプログラム
CN102164129A (zh) * 2011-03-19 2011-08-24 东北电力大学 防火墙与入侵检测系统的联动方法
CN102394885B (zh) * 2011-11-09 2015-07-15 中国人民解放军信息工程大学 基于数据流的信息分类防护自动化核查方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005210601A (ja) 2004-01-26 2005-08-04 Nippon Telegr & Teleph Corp <Ntt> 不正侵入検知装置
JP2006115007A (ja) 2004-10-12 2006-04-27 Nippon Telegr & Teleph Corp <Ntt> 侵入検知処理装置、侵入検知処理方法および記録媒体
JP2008219149A (ja) 2007-02-28 2008-09-18 Nippon Telegr & Teleph Corp <Ntt> トラヒック制御システムおよびトラヒック制御方法
JP2009044665A (ja) * 2007-08-10 2009-02-26 Fujitsu Ltd 通信装置を制御するプログラム及び通信装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
See also references of EP2961111A4
TAKAHIRO KASAMA ET AL.: "Malicious Traffic Detection based on Multimodal Analysis", IEICE TECHNICAL REPORT, vol. 112, no. 315, 15 November 2012 (2012-11-15), pages 25 - 30, XP008180425 *

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016114985A (ja) * 2014-12-11 2016-06-23 Tis株式会社 ログ解析方法、ログ解析プログラム及びログ解析装置
US11659004B2 (en) 2015-03-30 2023-05-23 Amazon Technologies, Inc. Networking flow logs for multi-tenant environments
JP7211391B2 (ja) 2015-03-30 2023-01-24 アマゾン・テクノロジーズ、インコーポレイテッド マルチテナント環境のためのネットワークフローログ
JP2020114016A (ja) * 2015-03-30 2020-07-27 アマゾン・テクノロジーズ、インコーポレイテッド マルチテナント環境のためのネットワークフローログ
CN106559241A (zh) * 2015-09-29 2017-04-05 阿里巴巴集团控股有限公司 应用日志的收集、发送方法、装置、系统及日志服务器
CN106559241B (zh) * 2015-09-29 2019-11-08 阿里巴巴集团控股有限公司 应用日志的收集、发送方法、装置、系统及日志服务器
JP7028559B2 (ja) 2017-01-25 2022-03-02 エヌ・ティ・ティ・コミュニケーションズ株式会社 攻撃検知システム、攻撃検知方法および攻撃検知プログラム
JP2018121218A (ja) * 2017-01-25 2018-08-02 エヌ・ティ・ティ・コミュニケーションズ株式会社 攻撃検知システム、攻撃検知方法および攻撃検知プログラム
JP2018157373A (ja) * 2017-03-17 2018-10-04 日本電気通信システム株式会社 不正通信監視装置、不正通信監視方法、不正通信監視プログラム、および不正通信監視システム
WO2019043804A1 (ja) * 2017-08-30 2019-03-07 日本電気株式会社 ログ分析装置、ログ分析方法及びコンピュータ読み取り可能記録媒体
JP7172104B2 (ja) 2018-04-06 2022-11-16 富士通株式会社 ネットワーク監視装置，ネットワーク監視プログラム及びネットワーク監視方法
JP2019186686A (ja) * 2018-04-06 2019-10-24 富士通株式会社 ネットワーク監視装置，ネットワーク監視プログラム及びネットワーク監視方法
JP2022000987A (ja) * 2018-08-06 2022-01-04 日本電気株式会社 通信装置
JP7168053B2 (ja) 2018-08-06 2022-11-09 日本電気株式会社 通信装置
CN110838949A (zh) * 2018-08-16 2020-02-25 阿里巴巴集团控股有限公司 一种网络流量日志记录方法及装置
CN110838949B (zh) * 2018-08-16 2023-09-29 阿里巴巴集团控股有限公司 一种网络流量日志记录方法及装置

Also Published As

Publication number Publication date
JP5844938B2 (ja) 2016-01-20
CN105027510B (zh) 2018-06-12
JPWO2014129587A1 (ja) 2017-02-02
US9661008B2 (en) 2017-05-23
EP2961111A1 (en) 2015-12-30
US20160014146A1 (en) 2016-01-14
EP2961111A4 (en) 2016-12-14
EP2961111B1 (en) 2018-01-31
CN105027510A (zh) 2015-11-04

Similar Documents

Publication Publication Date Title
JP5844938B2 (ja) ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム
Stiawan et al. Investigating brute force attack patterns in IoT network
JP6001689B2 (ja) ログ分析装置、情報処理方法及びプログラム
US7197762B2 (en) Method, computer readable medium, and node for a three-layered intrusion prevention system for detecting network exploits
US8561129B2 (en) Unified network threat management with rule classification
US20030084319A1 (en) Node, method and computer readable medium for inserting an intrusion prevention system into a network stack
US20030097557A1 (en) Method, node and computer readable medium for performing multiple signature matching in an intrusion prevention system
CA2886058A1 (en) Identifying and mitigating malicious network threats
Mangino et al. Internet-scale insecurity of consumer internet of things: An empirical measurements perspective
Debar et al. Intrusion detection: Introduction to intrusion detection and security information management
Seo et al. A study on efficient detection of network-based IP spoofing DDoS and malware-infected Systems
JP4161989B2 (ja) ネットワーク監視システム
Choi et al. A model of analyzing cyber threats trend and tracing potential attackers based on darknet traffic
KR20070072835A (ko) 실시간 웹로그 수집을 통한 웹해킹 대응 방법
CN113660222A (zh) 基于强制访问控制的态势感知防御方法及系统
Seo et al. Abnormal behavior detection to identify infected systems using the APChain algorithm and behavioral profiling
KR20120000942A (ko) 블랙리스트 접근 통계 기반의 봇 감염 호스트 탐지 장치 및 그 탐지 방법
JP2006018527A (ja) コンピュータネットワークの運用監視方法及び装置並びにプログラム
Lu et al. An adaptive real-time intrusion detection system using sequences of system call
Shyla et al. The Geo-Spatial Distribution of Targeted Attacks sources using Honeypot Networks
Kumar et al. Recent advances in intrusion detection systems: An analytical evaluation and comparative study
KR102671718B1 (ko) 머신러닝을 통한 새로운 침입을 예측하는 웹로그 신규 위협 탐지 보안 시스템
Loginova et al. Class allocation of events in an automated information system as the basis for increasing organization's cyber resilience
Gheorghe et al. Attack evaluation and mitigation framework
Sqalli et al. Classifying malicious activities in Honeynets using entropy and volume‐based thresholds

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201480009739.7

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14754256

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2015501520

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 14769666

Country of ref document: US

Ref document number: 2014754256

Country of ref document: EP