WO2016140198A1 - セキュリティ対処無効化防止装置、セキュリティ対処無効化防止方法およびセキュリティ対処無効化防止プログラム - Google Patents

セキュリティ対処無効化防止装置、セキュリティ対処無効化防止方法およびセキュリティ対処無効化防止プログラム Download PDF

Info

Publication number
WO2016140198A1
WO2016140198A1 PCT/JP2016/056108 JP2016056108W WO2016140198A1 WO 2016140198 A1 WO2016140198 A1 WO 2016140198A1 JP 2016056108 W JP2016056108 W JP 2016056108W WO 2016140198 A1 WO2016140198 A1 WO 2016140198A1
Authority
WO
WIPO (PCT)
Prior art keywords
security
countermeasure
invalidation
point
function
Prior art date
Application number
PCT/JP2016/056108
Other languages
English (en)
French (fr)
Inventor
寿春 岸
泰大 寺本
博 胡
永渕　幸雄
高明 小山
秀雄 北爪
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to AU2016226956A priority Critical patent/AU2016226956B2/en
Priority to JP2017503649A priority patent/JP6348655B2/ja
Priority to EP16758891.2A priority patent/EP3252648B1/en
Priority to CN201680013029.0A priority patent/CN107430665B/zh
Priority to US15/554,380 priority patent/US11050776B2/en
Publication of WO2016140198A1 publication Critical patent/WO2016140198A1/ja
Priority to AU2019203446A priority patent/AU2019203446B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H04L63/0218—Distributed architectures, e.g. distributed firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/70—Virtual switches
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Definitions

  • the present invention relates to a security countermeasure invalidation prevention device, a security countermeasure invalidation prevention method, and a security countermeasure invalidation prevention program.
  • such a security control architecture provides provisioning to a pre-configured security network configuration tailored to the server application, as well as pre-configured security policies and control equipment for security events. Add policy settings dynamically based on mapping information. Thereby, the security control architecture dynamically changes the security policy, so that security can be enhanced.
  • the above-described conventional technology has a problem that security countermeasures may become invalid.
  • security countermeasures may become invalid.
  • the network configuration is dynamically changed, there is no method for dynamically following security countermeasures and optimizing. For this reason, in the above technique, when a packet does not pass through the security device due to a dynamic change of the network, the security device cannot execute security countermeasures. Therefore, in the above technique, security countermeasures may be invalidated.
  • the security countermeasure invalidation preventing apparatus of the present invention has a countermeasure function invalidated among security points having a countermeasure function for performing security countermeasures for nodes connected to a network.
  • a determination unit that determines whether or not a security event exists by the determination unit, and an extraction unit that extracts a security point to which the countermeasure function of the invalidated security point can be transferred when it is determined
  • an acquisition unit that acquires invalidation security point information related to the invalidation security point, and there is a security event that is addressed by the invalidation security point handling function based on the invalidation security point information acquired by the acquisition unit
  • a determination unit that determines whether or not a security event exists by the determination unit, and an extraction unit that extracts a security point to which the countermeasure function of the invalidated security point can be transferred when it is determined
  • FIG. 1 is a diagram illustrating a configuration of a security countermeasure invalidation prevention system according to an embodiment.
  • FIG. 2 is a diagram illustrating a configuration of the security countermeasure invalidation preventing apparatus according to the embodiment.
  • FIG. 3 is a diagram illustrating an example of a security information storage unit of the security countermeasure invalidation preventing apparatus according to the embodiment.
  • FIG. 4 is an explanatory diagram for explaining an example of processing before the network path change in the security countermeasure invalidation prevention system according to the embodiment.
  • FIG. 5 is an explanatory diagram for explaining an example of an acquisition process in the security countermeasure invalidation prevention process according to the embodiment.
  • FIG. 6 is an explanatory diagram for explaining an example of a determination process in the security countermeasure invalidation prevention process according to the embodiment.
  • FIG. 1 is a diagram illustrating a configuration of a security countermeasure invalidation prevention system according to an embodiment.
  • FIG. 2 is a diagram illustrating a configuration of the security countermeasure invalidation preventing apparatus according to the embodiment.
  • FIG. 7 is an explanatory diagram for explaining an example of an extraction process in the security countermeasure invalidation prevention process according to the embodiment.
  • FIG. 8 is an explanatory diagram for explaining an example of output processing in the security countermeasure invalidation prevention processing according to the embodiment.
  • FIG. 9 is an explanatory diagram for explaining an example of processing after the security event transition in the security countermeasure invalidation prevention processing according to the embodiment.
  • FIG. 10 is a flowchart illustrating a procedure of security countermeasure invalidation prevention processing in the security countermeasure invalidation prevention apparatus according to the embodiment.
  • FIG. 11 is a diagram illustrating a configuration of a security countermeasure invalidation preventing apparatus according to another embodiment.
  • FIG. 12 is a diagram illustrating a computer that executes a security countermeasure invalidation prevention program.
  • FIG. 1 is a diagram illustrating a configuration of a security countermeasure invalidation prevention system 1 according to the embodiment.
  • the security countermeasure invalidation prevention system 1 includes a vFW (virtual FireWall) 10, a vIPS (virtual Intrusion Prevention System) 15, a vWAF (virtual Web Application Firewall) 20, a web server 50, and a security countermeasure invalidation prevention apparatus 100.
  • vFW virtual FireWall
  • vIPS virtual Intrusion Prevention System
  • vWAF virtual Web Application Firewall
  • VFW 10, vIPS 15, vWAF 20, Web server 50, and security countermeasure invalidation prevention apparatus 100 communicate via network N.
  • network N there is a communication network such as a LAN (Local Area Network) or a VPN (Virtual Private Network) regardless of wired or wireless.
  • LAN Local Area Network
  • VPN Virtual Private Network
  • the packet flows through the network N in the order of vFW 10, vIPS 15, vWAF 20, and Web server 50 and reaches the security countermeasure invalidation prevention apparatus 100.
  • the vFW 10, vIPS 15, vWAF 20, Web server 50, and security countermeasure invalidation prevention device 100 are illustrated as one unit, but the present invention is not limited to this. It can be any number.
  • the security countermeasure invalidation prevention system 1 may further include other security devices.
  • VFW 10 is a firewall that protects the Web server 50 from an external attack as a security point. Specifically, the vFW 10 blocks communication determined to be illegal according to a predetermined standard. For example, as a security countermeasure function, the vFW 10 blocks “Layer 3 blocking (hereinafter referred to as L3 blocking)” that blocks unauthorized communication in the network layer and “Layer 4 blocking (hereinafter referred to as L4 blocking) that blocks unauthorized communication in the transport layer. It has. As an example, the vFW 10 is realized by a virtual machine.
  • VIPS 15 is an intrusion prevention system that prevents unauthorized intrusion into the Web server 50 as a security point. Specifically, when the vIPS 15 detects a characteristic pattern of a packet such as a worm or denial of service (DoS) attack, the vIPS 15 blocks communication. For example, the vIPS 15 has “L3 blocking” and “L4 blocking” as security countermeasure functions. As an example, the vIPS 15 is realized by a virtual machine.
  • DoS denial of service
  • VWAF 20 is a Web application firewall that protects the Web server 50 as a security point.
  • the vWAF 20 blocks communications that are attacks on the Web application such as SQL injection and cross-site scripting.
  • the vWAF 20 has “Layer 7 blocking (hereinafter referred to as L7 blocking)” that blocks unauthorized communication in the application layer as a security countermeasure function.
  • L7 blocking Layer 7 blocking
  • the vWAF 20 is realized by a virtual machine.
  • the Web server 50 is a server to be protected in the security countermeasure invalidation prevention system 1. Specifically, the Web server 50 performs security countermeasures by using the security countermeasure function of the vFW 10, vIPS 15, and vWAF 20, and receives a highly reliable packet from the network N. As an example, the Web server 50 is realized by a virtual machine.
  • the security countermeasure invalidation prevention apparatus 100 is an apparatus that prevents the security countermeasure function of the security point from being invalidated.
  • the security countermeasure invalidation prevention apparatus 100 includes a vFW 10 having a security countermeasure function (corresponding to an example of a countermeasure function) that performs security countermeasures for a Web server 50 (corresponding to an example of a node) connected to the network N.
  • a security countermeasure function corresponding to an example of a countermeasure function
  • Web server 50 corresponding to an example of a node
  • the security countermeasure invalidation prevention device 100 is removed from the network path to the Web server 50 due to a network change performed by an external system (not shown), and the security countermeasure function of the invalidation security point is invalidated. Outputs security points that can be migrated. Note that the security countermeasure invalidation prevention device 100 cannot migrate a security point that is invalidated due to a network change and does not perform security countermeasures when there is no security point to which the security countermeasure function of the invalidated security point can be migrated. Since a security event that is not performed occurs, a warning that a security hole has occurred is output.
  • the security countermeasure invalidation prevention apparatus 100 outputs the invalidation security point migration candidate, and thus can prevent the security countermeasure from being invalidated.
  • FIG. 2 is a diagram illustrating an example of a functional configuration of the security countermeasure invalidation preventing apparatus.
  • the security countermeasure invalidation prevention apparatus 100 includes a communication I / F unit 130, a storage unit 131, and a control unit 132.
  • the communication I / F unit 130 is an interface that controls communication with other devices.
  • the communication I / F unit 130 transmits and receives various types of information to and from other devices and systems via the network N.
  • the communication I / F unit 130 receives a packet from an external device via the network N.
  • the communication I / F unit 130 invalidates the security point related to the invalidation security point in which the security handling function is invalidated among the security points having the security handling function for performing the security handling of the Web server 50 connected to the network N. Receive information.
  • the communication I / F unit 130 also handles security point information regarding a security point having a security countermeasure function for performing security countermeasures for the Web server 50, security countermeasure function information regarding a security countermeasure function possessed by the security point, and a security countermeasure function. Security event information related to the security event to be received.
  • a network interface card such as a LAN card can be adopted as the communication I / F unit 130.
  • the storage unit 131 is a storage device such as a semiconductor memory element such as a flash memory, a hard disk, or an optical disk. Note that the storage unit 131 may be a semiconductor memory capable of rewriting data such as RAM (Random Access Memory), flash memory, NVSRAM (Non Volatile Static Random Access Memory).
  • RAM Random Access Memory
  • flash memory Non Volatile Static Random Access Memory
  • the storage unit 131 stores an OS (Operating System) executed by the control unit 132 and various programs for processing received requests. Further, the storage unit 131 stores various data used in programs executed by the control unit 132. For example, the storage unit 131 includes a security information storage unit 140.
  • OS Operating System
  • the storage unit 131 includes a security information storage unit 140.
  • the security information storage unit 140 stores information on a security point having a security countermeasure function for performing security countermeasures for nodes connected to the network N.
  • the security information storage unit 140 includes security point information regarding a security point having a security countermeasure function for performing security countermeasures for the Web server 50, and security countermeasure function information regarding a security countermeasure function possessed by the security point (the countermeasure function information).
  • a security event information (corresponding to an example of event information) related to a security event to be handled by the security countermeasure function.
  • the security information storage unit 140 stores, as security point information, information related to a security point having a security countermeasure function for performing security countermeasures for the Web server 50 on a network path to which the Web server 50 is connected.
  • the security information storage unit 140 stores information regarding cyber attacks that the security countermeasure function deals with as security event information.
  • the security information storage unit 140 stores security event information in association with a security point and a security countermeasure function.
  • FIG. 3 shows an example of the security information storage unit 140 of the security countermeasure invalidation prevention apparatus 100 according to the embodiment.
  • the security information storage unit 140 includes items such as “security point”, “security countermeasure function”, and “security event”.
  • “Security point” indicates a name for identifying a security point having a security countermeasure function for performing security countermeasures for a node connected to the network.
  • “Security countermeasure function” indicates the name of the security countermeasure function possessed by the security point.
  • the “security countermeasure function” stores information arbitrarily defined for each security point or network.
  • “Security event” indicates an event that is handled by the security countermeasure function of the security point.
  • the “security event” stores an event that causes the security countermeasure function to be executed.
  • “security event information” stores information arbitrarily defined for each security countermeasure function.
  • FIG. 3 shows an example in which the security point “vFW” has security countermeasure functions “L3 blocking” and “L4 blocking”. Further, the security countermeasure function “L3 blocking” of the security point “vFW” shows an example of dealing with the security event “event e1”. That is, the security point “vFW” prevents unauthorized communication by executing the security countermeasure function “L3 blocking” when the security event “event e1” occurs. On the other hand, the security countermeasure function “L4 blocking” of the security point “vFW” is an example in which there is no security event to be addressed.
  • FIG. 3 shows an example in which the security point “vIPS” has security countermeasure functions “L3 blocking” and “L4 blocking”. That is, the security point “vIPS” is an example having the same security countermeasure function as the security point “vFW”.
  • the security countermeasure function “L3 blocking” of the security point “vIPS” shows an example of dealing with the security event “event e2”.
  • the security countermeasure function “L4 blocking” of the security point “vIPS” shows an example of dealing with the security event “event e3”.
  • FIG. 3 shows an example in which the security point “vWAF” has a security countermeasure function “L7 blocking”. That is, the security point “vWAF” is an example that does not have the same security countermeasure function as the security point “vIPS”.
  • the security countermeasure function “L7 blocking” of the security point “vWAF” shows an example of dealing with the security event “event e4”.
  • the control unit 132 is a device that controls the security countermeasure invalidation prevention apparatus 100.
  • an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit), or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array) can be adopted.
  • the control unit 132 has an internal memory for storing programs defining various processing procedures and control data, and executes various processes using these.
  • the control unit 132 functions as various processing units by operating various programs.
  • the control unit 132 includes an acquisition unit 135, a determination unit 136, an extraction unit 137, and an output unit 138.
  • the acquisition unit 135 acquires various types of information related to security points. Specifically, the acquisition unit 135 acquires invalidation security point information related to an invalidation security point in which the countermeasure function is invalidated among security points having a countermeasure function that performs security countermeasures for nodes connected to the network. For example, the acquisition unit 135 acquires, as invalidated security point information, information that identifies a security point controlled by an external system that performs a network change when the network is changed. In other words, the acquisition unit 135 acquires information for identifying a security point that is off the network path due to a network change as invalidated security point information. As an example, the acquisition unit 135 acquires invalidation security point information from an external system or an invalidation security point.
  • the acquisition unit 135 acquires information related to the security event that is handled by the security countermeasure function of each security point.
  • the acquisition unit 135 includes security point information related to a security point having a security countermeasure function that performs security countermeasures on the node, security countermeasure function information related to a security countermeasure function possessed by the security point, and security handled by the security countermeasure function.
  • Get security event information related to the event For example, the acquisition unit 135 acquires, as security point information, information related to a security point having a security countermeasure function for performing security countermeasures for the Web server 50 on the network path to which the Web server 50 is connected. Further, the acquisition unit 135 acquires information related to a cyber attack that is handled by the security countermeasure function as security event information.
  • the acquisition unit 135 acquires the latest information on security point information, security countermeasure function information, and security event information from an external system or each security point.
  • the acquisition unit 135 acquires security point information, security countermeasure function information, and security event information by a polling method.
  • the acquisition unit 135 acquires security point information, security countermeasure function information, and security event information by a notification method that is notified when each information is changed from each security point or external system. Then, the acquisition unit 135 stores the acquired security point information, security countermeasure function information, and security event information in the security information storage unit 140.
  • the determination unit 136 determines whether there is a security event. Specifically, based on the invalidated security point information acquired by the acquiring unit 135, the determining unit 136 determines whether there is a security event that is addressed by the security countermeasure function of the invalidated security point. For example, the determination unit 136 determines the invalidation security point information based on the invalidation security point information acquired by the acquisition unit 135, the security point information stored in the security information storage unit 140, the security countermeasure function information, and the security event information. It is determined whether there is a security event to be handled by the point security handling function.
  • the determination unit 136 determines whether or not there is a security event to be handled by the security countermeasure function of the invalidation security point, among the security event information stored in the security information storage unit 140, the security of the invalidation security point. Judgment is made for each security countermeasure function by referring to the security event information corresponding to the countermeasure function.
  • the extraction unit 137 extracts security points as migration candidates. Specifically, when the determination unit 136 determines that a security event exists, the extraction unit 137 extracts a security point to which the security countermeasure function of the invalidated security point can be transferred. For example, when the determination unit 136 determines that at least one security event exists, the extraction unit 137 migrates the security countermeasure function of the invalidation security point among the security points other than the invalidation security point for each security event. Extract possible security points. As an example, the extraction unit 137 extracts a security point to which the security countermeasure function of the invalidation security point can be transferred from the security points on the network path to which the Web server 50 is connected as the transferable security point.
  • the output unit 138 outputs the security points as migration candidates. Specifically, the output unit 138 outputs the security point extracted by the extraction unit 137 as a migration candidate security point. For example, the output unit 138 outputs a security point extracted for each security event by the extraction unit 137 as a security point of a migration candidate. As an example, the output unit 138 outputs an invalidated security point in association with a transferable security point.
  • the output unit 138 outputs that there is no transferable security point.
  • the output unit 138 cannot transfer a security event that is addressed by a security point that is invalidated due to a network change, and a security event that does not perform security processing occurs, so that a security hole occurs. Output a warning.
  • the security countermeasure invalidation prevention system 1 includes a vFW 10, a vIPS 15, a vWAF 20, a Web server 50, and a security countermeasure invalidation prevention apparatus 100.
  • the case where a security attack is performed on the Web server 50 will be described.
  • FIG. 4 is an explanatory diagram for explaining an example of processing before the network path change in the security countermeasure invalidation prevention system according to the embodiment.
  • FIG. 4 shows an example of a security event in which the security countermeasure function of the vFW 10, vIPS 15, and vWAF 20 copes with a security attack that has occurred on the network path from the network N to the Web server 50.
  • the network path L ⁇ b> 1 is formed so that packets flow from the network N in the order of vFW 10, vIPS 15, vWAF 20, and Web server 50.
  • the L3 blocking function of vFW 10 handles the security event “event e1”.
  • the L3 blocking function of the vFW 10 stores “A” as the source IP (SrcIP) of the attacker of the security event “event e1”.
  • the LFW blocking function of the vFW 10 stores “Web-1” as the protection target IP (DstIP) of the security event “event e1”.
  • the L3 blocking function of vIPS 15 handles the security event “event e2”.
  • the L3 blocking function of the vIPS 15 stores “B” as SrcIP of the security event “event e2”.
  • the L3 blocking function of the vIPS 15 stores “Web-1” as DstIP of the security event “event e2”.
  • the L4 blocking function of vIPS 15 handles the security event “event e3”.
  • the L4 blocking function of the vIPS 15 stores “C” as SrcIP of the security event “event e3”.
  • the L4 blocking function of the vIPS 15 stores “Web-1” as the DstIP of the security event “event e3”.
  • the L4 blocking function of the vIPS 15 stores “a” as the TCP port number (DstPort) to be protected against the security event “event e3”.
  • the L7 blocking function of vWAF20 handles the security event “event e4”.
  • the L7 blocking function of the vWAF 20 stores “D” as the SrcIP of the security event “event e4”.
  • the L7 blocking function of the vWAF 20 stores “Web-1” as the DstIP of the security event “event e4”.
  • the L7 blocking function of the vWAF 20 stores “I” as the signature information (Signature) of the security event “event e4”.
  • vFW10, vIPS15, and vWAF20 shall have implemented the security setting based on the security event which each security countermeasure function of each security point copes with.
  • the security countermeasure invalidation prevention apparatus 100 holds information related to the security countermeasure function of each security point and the security event that the security countermeasure function is addressing in association with the security point.
  • the security countermeasure invalidation prevention apparatus 100 acquires and stores the latest information on the security countermeasure function of each security point and the security event being addressed by the security countermeasure function from each security point or external system.
  • the security countermeasure invalidation prevention apparatus 100 acquires the latest information on security points, security countermeasure functions, and security events by a polling method or a notification method.
  • FIG. 5 is an explanatory diagram for explaining an example of an acquisition process in the security countermeasure invalidation prevention process according to the embodiment.
  • FIG. 5 shows an example in which the network path is changed from the network path L1 shown in FIG. 4 to the network path L2.
  • the packet flows on the network path L2 in the order of the network N, the vFW 10, the vWAF 20, and the Web server 50.
  • the packet does not pass through the vIPS 15 that is off the network path due to the change of the network path L2 from the network path L1. For this reason, the vIPS 15 out of the vFW 10, vIPS 15, and vWAF 20 that protects the Web server 50 is invalidated because the packet does not pass through and the security countermeasure function is not executed.
  • the security countermeasure invalidation prevention apparatus 100 is an invalidation security point in which the security countermeasure function is invalidated among the vFW 10, vIPS 15 and vWAF 20 having the security countermeasure function for performing the security countermeasure of the Web server 50 connected to the network N.
  • the invalidation security point information regarding a certain vIPS 15 is acquired.
  • the security countermeasure invalidation prevention apparatus 100 acquires “vIPS” as the invalidation security point information In1.
  • the security countermeasure invalidation prevention apparatus 100 acquires invalidation security point information In1 from an external system that performs network change or vIPS15 that is a security point to be invalidated.
  • the security countermeasure invalidation prevention apparatus 100 checks the current status of the security countermeasure function and security event of the invalidation security point. Specifically, the security countermeasure invalidation prevention apparatus 100 determines whether there is a security event to be dealt with by the security countermeasure function of the invalidated security point based on the acquired invalidated security point information.
  • FIG. 6 is an explanatory diagram for explaining an example of a determination process in the security countermeasure invalidation prevention process according to the embodiment.
  • the security countermeasure invalidation prevention apparatus 100 uses the security countermeasure function and security event of the security point “vIPS” stored in the security information storage unit 140 using “vIPS” of the invalidated security point information In1 as a search key.
  • the security countermeasure invalidation prevention apparatus 100 determines that “event e2” exists as a security event to be handled by the security countermeasure function “L3 blocking”. Further, the security countermeasure invalidation prevention apparatus 100 determines that “event e3” exists as a security event to be handled by the security countermeasure function “L4 blocking”.
  • the security countermeasure invalidation prevention apparatus 100 extracts security points that are candidates for migration of the security countermeasure function possessed by the invalidation security point. Specifically, when it is determined that there is a security event, the security countermeasure invalidation prevention apparatus 100 extracts a security point to which the security countermeasure function of the invalidated security point can be transferred.
  • FIG. 7 is an explanatory diagram for explaining an example of an extraction process in the security countermeasure invalidation prevention process according to the embodiment.
  • the security point “vFW” has “L3 blocking” and “L4 blocking” which are the same functions as the security countermeasure functions “L3 blocking” and “L4 blocking” of the invalidation security point “vIPS”. .
  • the security point “vWAF” has only the security countermeasure function “L7 blocking”, and does not have the same functions as the security countermeasure functions “L3 blocking” and “L4 blocking” of the invalidated security point “vIPS”. Therefore, the security countermeasure invalidation prevention device 100 uses the security point “vFW” having the same function as the security countermeasure functions “L3 blocking” and “L4 blocking” of the invalidating security point “vIPS” as the transferable security point. Extract.
  • the security countermeasure invalidation prevention apparatus 100 outputs information on the security point to which the security countermeasure function of the invalidated security point can be transferred. Specifically, the security countermeasure invalidation prevention apparatus 100 outputs the extracted security points as security points of migration candidates. For example, the security countermeasure invalidation prevention apparatus 100 outputs a security point that is a migration candidate for each security event that is handled by each security countermeasure function of the invalidated security point.
  • FIG. 8 is an explanatory diagram for explaining an example of output processing in the security countermeasure invalidation prevention processing according to the embodiment.
  • the security countermeasure invalidation prevention apparatus 100 outputs migration information 141 indicating a security point to which the security countermeasure function of the invalidated security point is migrated.
  • the migration information 141 includes items such as “migration target security point”, “migration target function”, “migration target security event”, and “migration destination candidate”.
  • “Migration target security point” indicates an invalidation security point that is a target for migrating the security countermeasure function to another security point.
  • “Migration target function” indicates a security processing function to be migrated which the migration target security point has.
  • “Migration target security event” indicates a security event that is handled by the migration target security countermeasure function of the migration target security point.
  • “Migration destination candidate” indicates a migration destination security point to which a security event addressed by the migration target security countermeasure function of the migration target security point is migrated.
  • the security countermeasure invalidation prevention apparatus 100 sets “vFW” as a migration destination candidate of the migration target security event “event e2” to be handled by the migration target function “L3 blocking” of the migration target security point “vIPS”. Output. Further, the security countermeasure invalidation prevention apparatus 100 outputs “vFW” as a migration destination candidate of the migration target security event “event e3” to be dealt with by the migration target function “L4 blocking” of the migration target security point “vIPS”.
  • FIG. 9 is an explanatory diagram for explaining an example of processing after the security event transition in the security countermeasure invalidation prevention processing according to the embodiment. In the example of FIG.
  • the security countermeasure function “L3 blocking” of the vFW 10 is the security event “event e2” that the security countermeasure function “L3 blocking” of the disabled vIPS 15 handles.
  • the security handling function “L3 blocking” of the vFW 10 handles the security event “event e2” in addition to the security event “event e1”.
  • the L3 blocking function of the vFW 10 stores the SrcIP “B” and the DstIP “Web-1” of the security event e2 in addition to the SrcIP “A” and the DstIP “Web-1” of the security event e1.
  • the security countermeasure function “L4 blocking” of the vFW 10 handles the security event “event e3” that the security countermeasure function “L4 blocking” of the disabled vIPS 15 is addressing. For this reason, the L4 blocking function of the vFW 10 stores the SrcIP “C”, the DstIP “Web-1”, and the DstPort “a” of the security event e3.
  • the L7 blocking function of the vWAF 20 continues to deal with the security event e4 even after the change from the network path L1 to the network path L2. Therefore, the L7 blocking function of the vWAF 20 continuously stores the SrcIP “D”, DstIP “Web-1”, and Signature “I” of the security event e4.
  • the security countermeasure invalidation prevention apparatus 100 outputs information on a security point that can be migrated to a security event handled by the security countermeasure function of the security point to be invalidated.
  • the security countermeasure invalidation preventing apparatus 100 can cause other security points to deal with a security event that is handled by the security countermeasure function of the security point to be invalidated. Can be prevented.
  • the security countermeasure invalidation prevention apparatus 100 can cause an external system to set a security point based on information about a migratable security point, the security level is maintained even if an invalid security point occurs. be able to. Further, the security countermeasure invalidation prevention apparatus 100 can change the network without lowering the security level, so that free network operation is possible.
  • the external system may execute an operation for canceling the network change based on the migration information 141. For example, when there is no security point that can be migrated, the external system executes an operation of canceling the network change because a security hole occurs when the network change is performed.
  • FIG. 10 is a flowchart illustrating a procedure of security countermeasure invalidation prevention processing in the security countermeasure invalidation prevention apparatus according to the embodiment.
  • the security countermeasure invalidation prevention apparatus 100 starts the security countermeasure invalidation prevention processing when the network path of the Web server 50 to be protected is changed by an external system or the like.
  • the security countermeasure invalidation prevention apparatus 100 first disables a security countermeasure function that disables the security countermeasure function among security points having a security countermeasure function for performing security countermeasures for the Web server 50 connected to the network.
  • the invalidation security point information regarding is acquired (step S101).
  • the security countermeasure invalidation prevention apparatus 100 acquires information for identifying a security point that is off the network path due to a network change as invalidation security point information from an external system or the invalidation security point.
  • the security countermeasure invalidation prevention apparatus 100 determines whether or not there is a security event to be dealt with by the security countermeasure function of the invalidated security point based on the acquired invalidated security point information (step S102). For example, the security countermeasure invalidation prevention device 100 performs invalidation security based on the acquired invalidation security point information, the security point information stored in the security information storage unit 140, the security countermeasure function information, and the security event information. It is determined whether there is a security event to be handled by the point security handling function.
  • the security countermeasure invalidation prevention apparatus 100 extracts a security point to which the security countermeasure function of the invalidated security point can be transferred (step S105). ). For example, the security countermeasure invalidation prevention apparatus 100 extracts, for each security event, a security point that can transfer the security countermeasure function of the invalidated security point among security points other than the invalidated security point.
  • step S106 When the security countermeasure invalidation prevention apparatus 100 extracts a migratable security point (step S106; Yes), the security point to be determined is associated with the migratable security point as a migration candidate security point. Output (step S107).
  • the security countermeasure invalidation prevention apparatus 100 determines whether or not extraction processing has been executed for all security events handled by the security countermeasure function of the invalidated security point (step S109). If the security countermeasure invalidation prevention device 100 determines that the extraction process has not been executed for all security events handled by the security countermeasure function of the invalidated security point (step S109; No), it still extracts. Steps S105 to S109 are repeatedly executed for security events that have not been processed. On the other hand, when the security countermeasure invalidation prevention apparatus 100 determines that the extraction process has been executed for all security events handled by the security countermeasure function of the invalidated security point (step S109; Yes), the security countermeasure invalidation prevention End the process.
  • the security countermeasure invalidation prevention apparatus 100 extracts a security point to which the security countermeasure function of the invalidated security point can be transferred when the determination unit 136 determines that a security event exists. did.
  • the security countermeasure invalidation preventing apparatus 100 may extract a security point that can be transferred according to various selection criteria. . Specifically, when there are a plurality of security points to which the security countermeasure function of the invalidation security point can be transferred, the security countermeasure invalidation prevention apparatus 100 selects various security points from among the plurality of security points that can be transferred. One is extracted according to the selection algorithm. For example, the extraction unit 137 of the security countermeasure invalidation prevention apparatus 100 extracts the security point closest to the attacking source that attacks the Web server 50 from the security points to which the security countermeasure function of the invalidated security point can be transferred.
  • the extraction unit 137 selects the Web server 50 among a plurality of security points that are security points other than the invalidation security point and can be migrated based on the security event handled by the security handling function of the invalidation security point.
  • the security point closest to the attacking source is extracted.
  • the extraction unit 137 of the security countermeasure invalidation prevention apparatus 100 extracts the security point closest to the attack source that attacks the Web server 50 from the security points that can be migrated to the security countermeasure function of the invalidation security point.
  • the security countermeasure invalidation prevention apparatus 100 can extract the security point that is most effective in dealing with the security event from the plurality of security points that can be migrated. Can do.
  • the vFW 10, the vIPS 15, the vWAF 20, and the Web server 50 are virtual resources realized by virtual machines. However, even if they are physical security devices. Good. Thereby, the security countermeasure invalidation preventing apparatus 100 can prevent the security countermeasure from being invalidated even when the protection node is protected by a physical security point.
  • the security countermeasure invalidation prevention device 100 stores and manages security point information, security countermeasure function information, and security event information for protecting each node in the security information storage unit 140 for each node to be protected. Thereby, the security countermeasure invalidation preventing apparatus 100 can prevent the security countermeasure from being invalidated even when there are a plurality of nodes to be protected, and can maintain the security level.
  • the security countermeasure invalidation prevention apparatus 100 disables the security countermeasure function of the security points having the security countermeasure function for performing the security countermeasure of the Web server 50 connected to the network.
  • the acquisition unit 135 that acquires invalidation security point information related to points, and whether there is a security event that the security countermeasure function of the invalidation security point deals with based on the invalidation security point information acquired by the acquisition unit 135
  • a determination unit 136 for determining the security point, and an extraction unit 137 for extracting a security point to which the security countermeasure function of the invalidated security point can be transferred when the determination unit 136 determines that a security event exists. And it outputs a security point extracted by the extraction unit 137 as a security point of transfer candidate and an output unit 138.
  • the security countermeasure invalidation preventing apparatus 100 includes security point information regarding a security point having a security countermeasure function for performing security countermeasures of the Web server 50, security countermeasure function information regarding a security countermeasure function of the security point, It further includes a security information storage unit 140 that stores security event information related to security events that are handled by the security handling function.
  • the determination unit 136 includes the invalidation security point information acquired by the acquisition unit 135, the security point information stored in the security information storage unit 140, and the security countermeasure function. Based on the information and the security event information, it is determined whether there is a security event to be dealt with by the security countermeasure function of the invalidated security point.
  • the security information storage unit 140 has a security countermeasure function that performs security countermeasures for the Web server 50 on the network path to which the Web server 50 is connected as security point information.
  • Information related to security points possessed and information related to cyber attacks handled by the security countermeasure function are stored as security event information.
  • the determination unit 136 stores in the security information storage unit 140 whether there is a security event that the security countermeasure function of the invalidated security point addresses.
  • the security event information corresponding to the security countermeasure function of the invalidated security point is referred to and determined for each security countermeasure function.
  • the extraction unit 137 when the determination unit 136 determines that at least one security event exists, the security other than the invalidation security point for each security event. Security points that can be transferred to the invalidation security point handling function are extracted from the points.
  • the output unit 138 outputs the security point extracted for each security event by the extraction unit 137 as the security point of the migration candidate.
  • the extraction unit 137 includes the security countermeasures of the invalidation security points among the security points on the network path to which the Web server 50 is connected as the migratable security points. Extract security points to which functions can be transferred.
  • the security countermeasure invalidation prevention apparatus 100 outputs information on the security point to which the security event addressed by the security countermeasure function of the security point to be invalidated can be transferred.
  • the security countermeasure invalidation prevention apparatus 100 can cause other security points to deal with security events that are handled by the security countermeasure function of the security point to be invalidated. It is possible to avoid invalidation.
  • the security countermeasure invalidation prevention apparatus 100 can cause an external system to set a security point based on information about a migratable security point, the security level is maintained even if an invalid security point occurs. be able to.
  • the extraction unit 137 selects a security point closest to the attack source that attacks the Web server 50 among the security points that can be transferred to the security countermeasure function of the invalidation security point. Extract.
  • the security countermeasure invalidation prevention apparatus 100 can extract a security point that is most effective in dealing with a security event from a plurality of security points that can be migrated. The effect can be enhanced.
  • the security countermeasure invalidation prevention apparatus 100 outputs the migration information 141 regarding the security point that is the migration candidate after extracting the security point that is the migration candidate. Thereafter, in the above-described embodiment, a case where the migration process is performed by the external system performing an operation of changing the setting of the security point based on the migration information 141 output by the security countermeasure invalidation prevention device 100.
  • the security countermeasure invalidation prevention apparatus may automatically move to the extracted security point after extracting the security point as the migration candidate.
  • the security countermeasure invalidation prevention device 100A automatically migrates to an extracted security point after extracting a security point as a migration candidate.
  • description is abbreviate
  • FIG. 11 is a diagram showing a configuration of a security countermeasure invalidation preventing apparatus according to another embodiment. As illustrated in FIG. 11, the security countermeasure invalidation prevention apparatus 100A according to the other embodiment does not include the output unit 138 as compared with the security countermeasure invalidation prevention apparatus 100 of FIG. Is different.
  • the migration unit 139 migrates the security event handled by the security handling function of the invalidation security point so that it can be handled by the security point extracted by the extraction unit 137. Specifically, when a security point is extracted by the extraction unit 137, the migration unit 139 migrates a security event that is addressed by the security countermeasure function of the invalidated security point so that it can be handled by the extracted security point. .
  • the security countermeasure invalidation prevention apparatus 100A executes an operation of changing the setting of the extracted security point. This point will be described with reference to the examples of FIGS. 7 and 9 described above. As illustrated in FIG. 7, for example, the security countermeasure invalidation prevention apparatus 100A has the same functions as the security countermeasure functions “L3 blocking” and “L4 blocking” of the invalidating security point “vIPS” as the security points that can be transferred. Security point “vFW” having
  • the security countermeasure invalidation prevention apparatus 100A has the security countermeasure function “L3 blocking” of the vFW 10 in addition to the security event “event e1” and the security of the vIPS 15 that has been invalidated.
  • the migration process is performed so that the security event “event e2” that the handling function “L3 block” has dealt with can be dealt with.
  • the security countermeasure invalidation prevention apparatus 100A for the LFW blocking function of the vFW 10, in addition to the SrcIP “A” and the DstIP “Web-1” of the security event e1, the SrcIP “B” and the DstIP of the security event e2. Save “Web-1”.
  • the security countermeasure invalidation preventing apparatus 100A can cope with the security event “event e3” that the security countermeasure function “L4 blocking” of the vFW 10 has been addressed by the security countermeasure function “L4 blocking” of the disabled vIPS 15. Then, the migration process is performed. Therefore, the security countermeasure invalidation prevention apparatus 100A stores the SrcIP “C”, DstIP “Web-1”, and DstPort “a” of the security event e3 for the L4 blocking function of the vFW 10.
  • the security countermeasure invalidation prevention apparatus 100A extracts the security points that can be transferred according to various selection criteria as described above. May be.
  • the extraction unit 137 of the security countermeasure invalidation prevention apparatus 100A extracts the security point closest to the attacking source that attacks the Web server 50 from the security points that can be migrated to the security countermeasure function of the invalidation security point.
  • the migration unit 139 of the security countermeasure invalidation prevention device 100A controls to migrate to the security point closest to the attack source.
  • the security countermeasure invalidation prevention apparatus 100A shifts the security event addressed by the security countermeasure function of the invalidation security point so that it can be addressed by the security point extracted by the extraction unit 137. Therefore, it is possible to automatically shift the security event addressed by the security countermeasure function of the security point to be invalidated to another security point and deal with it.
  • each component of each device illustrated in the above embodiment is functionally conceptual and does not necessarily have to be the same as the physically illustrated component. That is, the specific form of distribution / integration of each device (for example, the form shown in FIG. 2) is not limited to the one shown in the figure, and all or a part thereof can be changed in arbitrary units depending on various loads and usage conditions. It can be configured functionally or physically distributed and integrated.
  • the determination unit 136 and the extraction unit 137 may be integrated as one unit.
  • the acquisition unit 135 is changed into an acquisition unit that acquires invalidated security point information and an acquisition unit that acquires security point information. It may be dispersed.
  • each processing function performed in each device can be realized by a CPU and a program analyzed and executed by the CPU, or can be realized as hardware by wired logic.
  • program It is also possible to create a program in which the processing executed by the security countermeasure invalidation prevention devices 100 and 100A according to the embodiment is described in a language that can be executed by a computer. In this case, the same effect as the above-described embodiment can be obtained by the computer executing the program. Further, such a program may be recorded on a computer-readable recording medium, and the program recorded on the recording medium may be read by the computer and executed to execute the same processing as in the above embodiment.
  • An example of a computer that executes a security countermeasure invalidation prevention program that implements the same function as the security countermeasure invalidation prevention devices 100 and 100A will be described below.
  • FIG. 12 is a diagram illustrating a computer that executes a security countermeasure invalidation prevention program.
  • the computer 1000 includes, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1090.
  • the disk drive interface 1040 is connected to the disk drive 1041.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1041.
  • a mouse 1110 and a keyboard 1120 are connected to the serial port interface 1050.
  • a display 1130 is connected to the video adapter 1060.
  • the hard disk drive 1090 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094.
  • Each table described in the above embodiment is stored in the hard disk drive 1090 or the memory 1010, for example.
  • the security countermeasure invalidation prevention program is stored in the hard disk drive 1090 as a program module in which a command executed by the computer 1000 is described, for example.
  • a program module 1093 in which each process executed by the security countermeasure invalidation prevention devices 100 and 100A described in the above embodiment is described is stored in the hard disk drive 1090.
  • data used for information processing by the security countermeasure invalidation prevention program is stored as, for example, a hard disk drive 1090 as program data. Then, the CPU 1020 reads out the program module 1093 and the program data 1094 stored in the hard disk drive 1090 to the RAM 1012 as necessary, and executes the above-described procedures.
  • the program module 1093 and the program data 1094 related to the security countermeasure invalidation prevention program are not limited to being stored in the hard disk drive 1090.
  • the program module 1093 and the program data 1094 are stored in a removable storage medium and are stored via the disk drive 1041 or the like. It may be read by the CPU 1020.
  • the program module 1093 and the program data 1094 related to the security countermeasure invalidation prevention program are stored in another computer connected via a network such as a LAN or a WAN (Wide Area Network), and the CPU 1020 via the network interface 1070. May be read.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Debugging And Monitoring (AREA)

Abstract

セキュリティ対処無効化防止装置（１００）は、ネットワークに接続されたノードのセキュリティ対処を行う対処機能を有するセキュリティポイントのうち対処機能が無効化される無効化セキュリティポイントに関する無効化セキュリティポイント情報を取得する取得部（１３５）と、取得部（１３５）によって取得された無効化セキュリティポイント情報に基づいて、無効化セキュリティポイントの対処機能が対処するセキュリティ事象が存在するか否かを判定する判定部（１３６）と、判定部（１３６）によってセキュリティ事象が存在すると判定された場合に、無効化セキュリティポイントの対処機能を移行可能なセキュリティポイントを抽出する抽出部（１３７）とを有する。

Description

セキュリティ対処無効化防止装置、セキュリティ対処無効化防止方法およびセキュリティ対処無効化防止プログラム
　本発明は、セキュリティ対処無効化防止装置、セキュリティ対処無効化防止方法およびセキュリティ対処無効化防止プログラムに関する。
　近年、複雑化・巧妙化するサイバー攻撃に対抗する各種の方法が提案されている。例えば、クラウドコンピューティング環境やＳＤＮ（Software　Defined　Network）上において複数のセキュリティ機器を利用するセキュリティ制御アーキテクチャーが提案されている。
　一例としては、このようなセキュリティ制御アーキテクチャーは、サーバ用途に合わせて事前に設定されたセキュリティネットワーク構成へのプロビジョニングを実施するとともに、セキュリティイベントに対して事前に設定されたセキュリティポリシーと制御機器のマッピング情報とに基づいて動的にポリシー設定を追加する。これにより、セキュリティ制御アーキテクチャーは、動的にセキュリティポリシーを変更するので、セキュリティを高めることができる。
Xiang　Wang，Zhi　Liu，Jun　Li，Baohua　Yang，Yaxuan　Qi，"Tualatin:　Towards　Network　Security　Service　Provision　in　Cloud　Datacenters"，IEEE，978-1-4799-3572-7/14/$31.00　2014
　しかしながら、上記の従来技術では、セキュリティ対処が無効になる場合があるという問題があった。例えば、上記技術では、動的にネットワーク構成が変更された場合に、セキュリティ対処を動的に追従して最適化する方式が存在しない。このため、上記技術では、ネットワークの動的変更によってセキュリティ機器にパケットが通過しなくなった場合に、かかるセキュリティ機器は、セキュリティ対処を実行することができなくなる。したがって、上記技術では、セキュリティ対処が無効になる場合がある。
　上述した課題を解決し、目的を達成するために、本発明のセキュリティ対処無効化防止装置は、ネットワークに接続されたノードのセキュリティ対処を行う対処機能を有するセキュリティポイントのうち対処機能が無効化される無効化セキュリティポイントに関する無効化セキュリティポイント情報を取得する取得部と、前記取得部によって取得された無効化セキュリティポイント情報に基づいて、前記無効化セキュリティポイントの対処機能が対処するセキュリティ事象が存在するか否かを判定する判定部と、前記判定部によってセキュリティ事象が存在すると判定された場合に、前記無効化セキュリティポイントの対処機能を移行可能なセキュリティポイントを抽出する抽出部とを有することを特徴とする。
　本発明によれば、セキュリティ対処が無効になることを防止することができるという効果を奏する。
図１は、実施形態に係るセキュリティ対処無効化防止システムの構成を示す図である。 図２は、実施形態に係るセキュリティ対処無効化防止装置の構成を示す図である。 図３は、実施形態に係るセキュリティ対処無効化防止装置のセキュリティ情報記憶部の一例を示す図である。 図４は、実施形態に係るセキュリティ対処無効化防止システムにおけるネットワーク経路変更前の処理の一例を説明するための説明図である。 図５は、実施形態に係るセキュリティ対処無効化防止処理における取得処理の一例を説明するための説明図である。 図６は、実施形態に係るセキュリティ対処無効化防止処理における判定処理の一例を説明するための説明図である。 図７は、実施形態に係るセキュリティ対処無効化防止処理における抽出処理の一例を説明するための説明図である。 図８は、実施形態に係るセキュリティ対処無効化防止処理における出力処理の一例を説明するための説明図である。 図９は、実施形態に係るセキュリティ対処無効化防止処理におけるセキュリティ事象移行後の処理の一例を説明するための説明図である。 図１０は、実施形態に係るセキュリティ対処無効化防止装置におけるセキュリティ対処無効化防止処理の手順を示すフローチャートである。 図１１は、その他の実施形態に係るセキュリティ対処無効化防止装置の構成を示す図である。 図１２は、セキュリティ対処無効化防止プログラムを実行するコンピュータを示す図である。
　以下に、本願に係るセキュリティ対処無効化防止装置、セキュリティ対処無効化防止方法およびセキュリティ対処無効化防止プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本願に係るセキュリティ対処無効化防止装置、セキュリティ対処無効化防止方法およびセキュリティ対処無効化防止プログラムが限定されるものではない。
［実施形態］
　以下の実施形態では、実施形態に係るセキュリティ対処無効化防止システムの構成、セキュリティ対処無効化防止装置の構成、セキュリティ対処無効化防止装置の処理の流れを順に説明し、最後に実施形態による効果を説明する。
［セキュリティ対処無効化防止システムの構成］
　図１を用いて、実施形態に係るセキュリティ対処無効化防止システム１の構成を説明する。図１は、実施形態に係るセキュリティ対処無効化防止システム１の構成を示す図である。セキュリティ対処無効化防止システム１は、ｖＦＷ（virtual　FireWall）１０と、ｖＩＰＳ（virtual　Intrusion　Prevention　System）１５と、ｖＷＡＦ（virtual　Web　Application　Firewall）２０と、Ｗｅｂサーバ５０と、セキュリティ対処無効化防止装置１００とを有する。
　ｖＦＷ１０と、ｖＩＰＳ１５と、ｖＷＡＦ２０と、Ｗｅｂサーバ５０と、セキュリティ対処無効化防止装置１００とは、ネットワークＮを介して通信を行う。ネットワークＮの一態様としては、有線または無線を問わず、ＬＡＮ（Local　Area　Network）やＶＰＮ（Virtual　Private　Network）などの通信網が挙げられる。例えば、セキュリティ対処無効化防止システム１では、パケットは、ネットワークＮを介して、ｖＦＷ１０、ｖＩＰＳ１５、ｖＷＡＦ２０、Ｗｅｂサーバ５０の順に流れ、セキュリティ対処無効化防止装置１００に到達する。
　なお、図１の例では、ｖＦＷ１０と、ｖＩＰＳ１５と、ｖＷＡＦ２０と、Ｗｅｂサーバ５０と、セキュリティ対処無効化防止装置１００とは、それぞれ１台とした場合を例示したが、これに限定されず、それぞれ任意の数とすることができる。また、図１の例では、セキュリティ対処無効化防止システム１は、その他のセキュリティ機器等をさらに有してもよい。
　ｖＦＷ１０は、セキュリティポイントとして外部の攻撃からＷｅｂサーバ５０を保護するファイヤーウォールである。具体的には、ｖＦＷ１０は、所定の基準に従って不正と判断した通信を遮断する。例えば、ｖＦＷ１０は、セキュリティ対処機能として、ネットワークレイヤーにおける不正な通信を遮断する「Ｌａｙｅｒ３遮断（以下、Ｌ３遮断）」と、トランスポートレイヤーにおける不正な通信を遮断する「Ｌａｙｅｒ４遮断（以下、Ｌ４遮断）」とを有する。一例としては、ｖＦＷ１０は、仮想マシンで実現される。
　ｖＩＰＳ１５は、セキュリティポイントとしてＷｅｂサーバ５０への不正侵入を防ぐ侵入防止システムである。具体的には、ｖＩＰＳ１５は、ワームやサービス拒否(ＤｏＳ)攻撃などのパケットが持つ特徴的なパターンを検知すると通信を遮断する。例えば、ｖＩＰＳ１５は、セキュリティ対処機能として、「Ｌ３遮断」と「Ｌ４遮断」とを有する。一例としては、ｖＩＰＳ１５は、仮想マシンで実現される。
　ｖＷＡＦ２０は、セキュリティポイントとしてＷｅｂサーバ５０を保護するＷｅｂアプリケーションファイヤーウォールである。具体的には、ｖＷＡＦ２０は、ＳＱＬインジェクションやクロスサイトスクリプティングなどＷｅｂアプリケーションへの攻撃となる通信を遮断する。例えば、ｖＷＡＦ２０は、セキュリティ対処機能として、アプリケーションレイヤーにおける不正な通信を遮断する「Ｌａｙｅｒ７遮断（以下、Ｌ７遮断）」を有する。一例としては、ｖＷＡＦ２０は、仮想マシンで実現される。
　Ｗｅｂサーバ５０は、セキュリティ対処無効化防止システム１において保護される対象となるサーバである。具体的には、Ｗｅｂサーバ５０は、ｖＦＷ１０とｖＩＰＳ１５とｖＷＡＦ２０とが有するセキュリティ対処機能によってセキュリティ対処が行われ、ネットワークＮから信頼性の高いパケットを受信する。一例としては、Ｗｅｂサーバ５０は、仮想マシンで実現される。
　セキュリティ対処無効化防止装置１００は、セキュリティポイントのセキュリティ対処機能の無効化を防ぐ装置である。具体的には、セキュリティ対処無効化防止装置１００は、ネットワークＮに接続されたＷｅｂサーバ５０（ノードの一例に相当）のセキュリティ対処を行うセキュリティ対処機能（対処機能の一例に相当）を有するｖＦＷ１０、ｖＩＰＳ１５及びｖＷＡＦ２０のうちセキュリティ対処機能が無効化される無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントを抽出して出力する。例えば、セキュリティ対処無効化防止装置１００は、図示しない外部システムによって行われるネットワーク変更に伴ってＷｅｂサーバ５０までのネットワーク経路上から外れてセキュリティ対処機能が無効化される無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントを出力する。なお、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントが存在しない場合には、ネットワーク変更に伴って無効化されるセキュリティポイントを移行できずセキュリティ対処を行わないセキュリティ事象が発生するのでセキュリティホールが生じる旨の警告を出力する。
　このように、セキュリティ対処無効化防止システム１では、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントの移行候補を出力するので、セキュリティ対処が無効になることを防止することができる。
［セキュリティ対処無効化防止装置の構成］
　次に、実施形態に係るセキュリティ対処無効化防止装置１００について説明する。図２は、セキュリティ対処無効化防止装置の機能的な構成の一例を示す図である。図２に示すように、セキュリティ対処無効化防止装置１００は、通信Ｉ／Ｆ部１３０と、記憶部１３１と、制御部１３２とを有する。
　通信Ｉ／Ｆ部１３０は、他の装置との間で通信制御を行うインタフェースである。通信Ｉ／Ｆ部１３０は、ネットワークＮを介して他の装置やシステムと各種情報を送受信する。例えば、通信Ｉ／Ｆ部１３０は、ネットワークＮを介して、外部の装置からパケットを受信する。また、通信Ｉ／Ｆ部１３０は、ネットワークＮに接続されたＷｅｂサーバ５０のセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントのうちセキュリティ対処機能が無効化される無効化セキュリティポイントに関する無効化セキュリティポイント情報を受信する。また、通信Ｉ／Ｆ部１３０は、Ｗｅｂサーバ５０のセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントに関するセキュリティポイント情報と、セキュリティポイントが有するセキュリティ対処機能に関するセキュリティ対処機能情報と、セキュリティ対処機能が対処するセキュリティ事象に関するセキュリティ事象情報とを受信する。通信Ｉ／Ｆ部１３０としては、ＬＡＮカードなどのネットワークインタフェースカードを採用できる。
　記憶部１３１は、フラッシュメモリなどの半導体メモリ素子、ハードディスク、光ディスクなどの記憶装置である。なお、記憶部１３１は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non　Volatile　Static　Random　Access　Memory）などのデータを書き換え可能な半導体メモリであってもよい。
　記憶部１３１は、制御部１３２で実行されるＯＳ（Operating　System）や受信される要求を処理する各種プログラムを記憶する。さらに、記憶部１３１は、制御部１３２で実行されるプログラムで用いられる各種データを記憶する。例えば、記憶部１３１は、セキュリティ情報記憶部１４０を有する。
　セキュリティ情報記憶部１４０は、ネットワークＮに接続されたノードのセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントに関する情報を記憶する。具体的には、セキュリティ情報記憶部１４０は、Ｗｅｂサーバ５０のセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントに関するセキュリティポイント情報と、セキュリティポイントが有するセキュリティ対処機能に関するセキュリティ対処機能情報（対処機能情報の一例に相当）と、セキュリティ対処機能が対処するセキュリティ事象に関するセキュリティ事象情報（事象情報の一例に相当）とを記憶する。例えば、セキュリティ情報記憶部１４０は、セキュリティポイント情報として、Ｗｅｂサーバ５０が接続されたネットワーク経路上でＷｅｂサーバ５０のセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントに関する情報を記憶する。また、セキュリティ情報記憶部１４０は、セキュリティ事象情報として、セキュリティ対処機能が対処するサイバー攻撃に関する情報を記憶する。一例としては、セキュリティ情報記憶部１４０は、セキュリティ事象情報を、セキュリティポイントおよびセキュリティ対処機能と対応付けて記憶する。ここで、図３に、実施形態に係るセキュリティ対処無効化防止装置１００のセキュリティ情報記憶部１４０の一例を示す。図３に示すように、セキュリティ情報記憶部１４０は、「セキュリティポイント」、「セキュリティ対処機能」、「セキュリティ事象」といった項目を有する。
　「セキュリティポイント」は、ネットワークに接続されたノードのセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントを識別する名称を示す。「セキュリティ対処機能」は、セキュリティポイントが有するセキュリティ対処機能の名称を示す。例えば、「セキュリティ対処機能」は、セキュリティポイントやネットワークごとに任意に定義された情報が記憶される。「セキュリティ事象」は、セキュリティポイントのセキュリティ対処機能が対処する事象を示す。例えば、「セキュリティ事象」には、セキュリティ対処機能を実行させる起因となる事象が記憶される。一例としては、「セキュリティ事象情報」は、セキュリティ対処機能ごとに任意に定義された情報が記憶される。
　すなわち、図３では、セキュリティポイント「ｖＦＷ」は、セキュリティ対処機能「Ｌ３遮断」と「Ｌ４遮断」とを有する例を示している。また、セキュリティポイント「ｖＦＷ」のセキュリティ対処機能「Ｌ３遮断」は、セキュリティ事象「事象ｅ１」を対処する例を示している。すなわち、セキュリティポイント「ｖＦＷ」は、セキュリティ事象「事象ｅ１」が発生した場合に、セキュリティ対処機能「Ｌ３遮断」を実行することで不正な通信を防ぐ。一方、セキュリティポイント「ｖＦＷ」のセキュリティ対処機能「Ｌ４遮断」は、対処するセキュリティ事象が存在しない例を示している。
　また、図３では、セキュリティポイント「ｖＩＰＳ」は、セキュリティ対処機能「Ｌ３遮断」と「Ｌ４遮断」とを有する例を示している。すなわち、セキュリティポイント「ｖＩＰＳ」は、セキュリティポイント「ｖＦＷ」と同一のセキュリティ対処機能を有する例である。セキュリティポイント「ｖＩＰＳ」のセキュリティ対処機能「Ｌ３遮断」は、セキュリティ事象「事象ｅ２」を対処する例を示している。一方、セキュリティポイント「ｖＩＰＳ」のセキュリティ対処機能「Ｌ４遮断」は、セキュリティ事象「事象ｅ３」を対処する例を示している。
　また、図３では、セキュリティポイント「ｖＷＡＦ」は、セキュリティ対処機能「Ｌ７遮断」を有する例を示している。すなわち、セキュリティポイント「ｖＷＡＦ」は、セキュリティポイント「ｖＩＰＳ」と同一のセキュリティ対処機能を有さない例である。セキュリティポイント「ｖＷＡＦ」のセキュリティ対処機能「Ｌ７遮断」は、セキュリティ事象「事象ｅ４」を対処する例を示している。
　制御部１３２は、セキュリティ対処無効化防止装置１００を制御するデバイスである。制御部１３２としては、ＣＰＵ（Central　Processing　Unit）、ＭＰＵ（Micro　Processing　Unit）等の電子回路や、ＡＳＩＣ（Application　Specific　Integrated　Circuit）、ＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路を採用できる。制御部１３２は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、これらによって種々の処理を実行する。制御部１３２は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１３２は、取得部１３５と、判定部１３６と、抽出部１３７と、出力部１３８とを有する。
　取得部１３５は、セキュリティポイントに関する各種の情報を取得する。具体的には、取得部１３５は、ネットワークに接続されたノードのセキュリティ対処を行う対処機能を有するセキュリティポイントのうち対処機能が無効化される無効化セキュリティポイントに関する無効化セキュリティポイント情報を取得する。例えば、取得部１３５は、ネットワーク変更を実施する外部システムが変更時に制御するセキュリティポイントを識別する情報を無効化セキュリティポイント情報として取得する。言い換えると、取得部１３５は、ネットワーク変更に伴ってネットワーク経路上から外れるセキュリティポイントを識別する情報を無効化セキュリティポイント情報として取得する。一例としては、取得部１３５は、外部システムや無効化セキュリティポイントから無効化セキュリティポイント情報を取得する。
　また、取得部１３５は、各セキュリティポイントのセキュリティ対処機能が対処しているセキュリティ事象に関する情報を取得する。具体的には、取得部１３５は、ノードのセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントに関するセキュリティポイント情報と、セキュリティポイントが有するセキュリティ対処機能に関するセキュリティ対処機能情報と、セキュリティ対処機能が対処するセキュリティ事象に関するセキュリティ事象情報とを取得する。例えば、取得部１３５は、セキュリティポイント情報として、Ｗｅｂサーバ５０が接続されたネットワーク経路上でＷｅｂサーバ５０のセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントに関する情報を取得する。また、取得部１３５は、セキュリティ事象情報として、セキュリティ対処機能が対処するサイバー攻撃に関する情報を取得する。一態様としては、取得部１３５は、外部システムや各セキュリティポイントから、セキュリティポイント情報、セキュリティ対処機能情報およびセキュリティ事象情報の最新情報を取得する。一例としては、取得部１３５は、ポーリング方式によってセキュリティポイント情報、セキュリティ対処機能情報およびセキュリティ事象情報を取得する。他の例では、取得部１３５は、各セキュリティポイントや外部システムから各情報の変更時に通知を受ける通知方式によってセキュリティポイント情報、セキュリティ対処機能情報およびセキュリティ事象情報を取得する。そして、取得部１３５は、取得したセキュリティポイント情報、セキュリティ対処機能情報およびセキュリティ事象情報をセキュリティ情報記憶部１４０に格納する。
　判定部１３６は、セキュリティ事象の有無を判定する。具体的には、判定部１３６は、取得部１３５によって取得された無効化セキュリティポイント情報に基づいて、無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象が存在するか否かを判定する。例えば、判定部１３６は、取得部１３５によって取得された無効化セキュリティポイント情報と、セキュリティ情報記憶部１４０に記憶されたセキュリティポイント情報とセキュリティ対処機能情報とセキュリティ事象情報とに基づいて、無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象が存在するか否かを判定する。一例としては、判定部１３６は、無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象が存在するか否かを、セキュリティ情報記憶部１４０に記憶されたセキュリティ事象情報のうち無効化セキュリティポイントのセキュリティ対処機能に対応するセキュリティ事象情報を参照してセキュリティ対処機能ごとに判定する。
　抽出部１３７は、移行候補となるセキュリティポイントを抽出する。具体的には、抽出部１３７は、判定部１３６によってセキュリティ事象が存在すると判定された場合に、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントを抽出する。例えば、抽出部１３７は、判定部１３６によってセキュリティ事象が少なくとも１つ存在すると判定された場合に、セキュリティ事象ごとに、無効化セキュリティポイント以外のセキュリティポイントのうち無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントを抽出する。一例としては、抽出部１３７は、移行可能なセキュリティポイントとして、Ｗｅｂサーバ５０が接続されるネットワーク経路上にあるセキュリティポイントのうち無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントを抽出する。
　出力部１３８は、移行候補のセキュリティポイントを出力する。具体的には、出力部１３８は、抽出部１３７によって抽出されたセキュリティポイントを移行候補のセキュリティポイントとして出力する。例えば、出力部１３８は、抽出部１３７によってセキュリティ事象ごとに抽出されたセキュリティポイントを移行候補のセキュリティポイントとして出力する。一例としては、出力部１３８は、無効化セキュリティポイントを移行可能なセキュリティポイントと対応付けて出力する。
　なお、出力部１３８は、判定部１３６によって無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象が存在しないと判定された場合には、移行対象のセキュリティ事象がない旨を出力する。一例としては、出力部１３８は、「移行対象のセキュリティ事象＝なし」と出力する。
　また、出力部１３８は、抽出部１３７によって無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントが存在せず抽出されなかった場合には、移行可能なセキュリティポイントが存在しない旨を出力する。一例としては、出力部１３８は、判断対象のセキュリティ事象と対応付けて「移行可能セキュリティポイント＝なし」と出力する。他の一態様としては、出力部１３８は、ネットワーク変更に伴って無効化されるセキュリティポイントが対処しているセキュリティ事象を移行できずセキュリティ対処を行わないセキュリティ事象が発生するのでセキュリティホールが生じる旨の警告を出力する。
　ここで、図４～９を用いて、実施形態に係るセキュリティ対処無効化防止装置１００によるセキュリティ対処無効化防止処理の一例について説明する。図４～９の例では、セキュリティ対処無効化防止システム１は、ｖＦＷ１０と、ｖＩＰＳ１５と、ｖＷＡＦ２０と、Ｗｅｂサーバ５０と、セキュリティ対処無効化防止装置１００とを有する。以下、Ｗｅｂサーバ５０に対してセキュリティ攻撃が行われる場合を想定して説明する。
　まず、図４を用いて、ネットワーク経路変更前におけるセキュリティ対処無効化防止システム１の処理状況を説明する。図４は、実施形態に係るセキュリティ対処無効化防止システムにおけるネットワーク経路変更前の処理の一例を説明するための説明図である。図４では、ネットワークＮからＷｅｂサーバ５０までのネットワーク経路上で発生したセキュリティ攻撃に対して、ｖＦＷ１０、ｖＩＰＳ１５およびｖＷＡＦ２０のセキュリティ対処機能が対処しているセキュリティ事象の例を示す。また、図４の例では、ネットワークＮからｖＦＷ１０、ｖＩＰＳ１５、ｖＷＡＦ２０、Ｗｅｂサーバ５０の順にパケットが流れるようにネットワーク経路Ｌ１が形成されている。
　図４に示すように、ｖＦＷ１０のＬ３遮断機能は、セキュリティ事象「事象ｅ１」を対処している。ここで、ｖＦＷ１０のＬ３遮断機能は、セキュリティ事象「事象ｅ１」の攻撃者の送信元ＩＰ（ＳｒｃＩＰ）として「Ａ」を保存している。また、ｖＦＷ１０のＬ３遮断機能は、セキュリティ事象「事象ｅ１」の保護対象のＩＰ（ＤｓｔＩＰ）として「Ｗｅｂ-１」を保存している。
　ｖＩＰＳ１５のＬ３遮断機能は、セキュリティ事象「事象ｅ２」を対処している。ここで、ｖＩＰＳ１５のＬ３遮断機能は、セキュリティ事象「事象ｅ２」のＳｒｃＩＰとして「Ｂ」を保存している。また、ｖＩＰＳ１５のＬ３遮断機能は、セキュリティ事象「事象ｅ２」のＤｓｔＩＰとして「Ｗｅｂ-１」を保存している。
　ｖＩＰＳ１５のＬ４遮断機能は、セキュリティ事象「事象ｅ３」を対処している。ここで、ｖＩＰＳ１５のＬ４遮断機能は、セキュリティ事象「事象ｅ３」のＳｒｃＩＰとして「Ｃ」を保存している。また、ｖＩＰＳ１５のＬ４遮断機能は、セキュリティ事象「事象ｅ３」のＤｓｔＩＰとして「Ｗｅｂ-１」を保存している。また、ｖＩＰＳ１５のＬ４遮断機能は、セキュリティ事象「事象ｅ３」に対する保護対象のＴＣＰポート番号（ＤｓｔＰｏｒｔ）として「ａ」を保存している。
　ｖＷＡＦ２０のＬ７遮断機能は、セキュリティ事象「事象ｅ４」を対処している。ここで、ｖＷＡＦ２０のＬ７遮断機能は、セキュリティ事象「事象ｅ４」のＳｒｃＩＰとして「Ｄ」を保存している。また、ｖＷＡＦ２０のＬ７遮断機能は、セキュリティ事象「事象ｅ４」のＤｓｔＩＰとして「Ｗｅｂ-１」を保存している。また、ｖＷＡＦ２０のＬ７遮断機能は、セキュリティ事象「事象ｅ４」のシグニチャ情報（Ｓｉｇｎａｔｕｒｅ）として「Ｉ」を保存している。
　そして、ｖＦＷ１０、ｖＩＰＳ１５およびｖＷＡＦ２０は、各セキュリティポイントの各セキュリティ対処機能が対処するセキュリティ事象に基づいて、セキュリティ設定を実施しているものとする。
　ここで、セキュリティ対処無効化防止装置１００は、各セキュリティポイントのセキュリティ対処機能と、セキュリティ対処機能が対処しているセキュリティ事象とに関する情報をセキュリティポイントと対応付けて保持しているものとする。例えば、セキュリティ対処無効化防止装置１００は、各セキュリティポイントや外部システムから、各セキュリティポイントのセキュリティ対処機能とセキュリティ対処機能が対処しているセキュリティ事象との最新情報を取得して記憶する。一例としては、セキュリティ対処無効化防止装置１００は、ポーリング方式や通知方式によってセキュリティポイント、セキュリティ対処機能およびセキュリティ事象の最新情報を取得する。
　そして、図示しない外部システムによってネットワーク経路Ｌ１の変更が実施されたものとする。この場合、セキュリティ対処無効化防止装置１００は、ネットワーク経路Ｌ１の変更に伴ってセキュリティ対処機能が無効化される無効化セキュリティポイントに関する情報を取得する。この点について、図５を用いて説明する。図５は、実施形態に係るセキュリティ対処無効化防止処理における取得処理の一例を説明するための説明図である。図５では、図４に示すネットワーク経路Ｌ１からネットワーク経路Ｌ２にネットワーク経路が変更された例を示す。この場合、パケットは、ネットワークＮからｖＦＷ１０、ｖＷＡＦ２０、Ｗｅｂサーバ５０の順にネットワーク経路Ｌ２上を流れる。言い換えると、ネットワーク経路Ｌ１からネットワーク経路Ｌ２の変更に伴ってネットワーク経路上から外れたｖＩＰＳ１５には、パケットが通過しなくなる。このため、Ｗｅｂサーバ５０を保護するｖＦＷ１０、ｖＩＰＳ１５およびｖＷＡＦ２０のうちｖＩＰＳ１５は、パケットが通過せずセキュリティ対処機能が実行されないので、無効化される。
　そこで、セキュリティ対処無効化防止装置１００は、ネットワークＮに接続されたＷｅｂサーバ５０のセキュリティ対処を行うセキュリティ対処機能を有するｖＦＷ１０、ｖＩＰＳ１５およびｖＷＡＦ２０のうちセキュリティ対処機能が無効化される無効化セキュリティポイントであるｖＩＰＳ１５に関する無効化セキュリティポイント情報を取得する。図５の例では、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイント情報Ｉｎ１として、「ｖＩＰＳ」を取得する。例えば、セキュリティ対処無効化防止装置１００は、ネットワーク変更を実施する外部システムや無効化されるセキュリティポイントであるｖＩＰＳ１５から無効化セキュリティポイント情報Ｉｎ１を取得する。
　その後、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントのセキュリティ対処機能とセキュリティ事象とについて現状の確認を行う。具体的には、セキュリティ対処無効化防止装置１００は、取得した無効化セキュリティポイント情報に基づいて無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象が存在するか否かを判定する。この点について、図６を用いて説明する。図６は、実施形態に係るセキュリティ対処無効化防止処理における判定処理の一例を説明するための説明図である。図６の例では、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイント情報Ｉｎ１の「ｖＩＰＳ」を検索キーとしてセキュリティ情報記憶部１４０に記憶されたセキュリティポイント「ｖＩＰＳ」のセキュリティ対処機能とセキュリティ事象を参照する。そして、セキュリティ対処無効化防止装置１００は、セキュリティ対処機能「Ｌ３遮断」が対処するセキュリティ事象として「事象ｅ２」が存在すると判定する。また、セキュリティ対処無効化防止装置１００は、セキュリティ対処機能「Ｌ４遮断」が対処するセキュリティ事象として「事象ｅ３」が存在すると判定する。
　続いて、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントが有するセキュリティ対処機能の移行候補となるセキュリティポイントを抽出する。具体的には、セキュリティ対処無効化防止装置１００は、セキュリティ事象が存在すると判定された場合に、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントを抽出する。この点について、図７を用いて説明する。図７は、実施形態に係るセキュリティ対処無効化防止処理における抽出処理の一例を説明するための説明図である。図７の例では、セキュリティポイント「ｖＦＷ」は、無効化セキュリティポイント「ｖＩＰＳ」のセキュリティ対処機能「Ｌ３遮断」および「Ｌ４遮断」と同一の機能である「Ｌ３遮断」および「Ｌ４遮断」を有する。一方、セキュリティポイント「ｖＷＡＦ」は、セキュリティ対処機能「Ｌ７遮断」のみを有し、無効化セキュリティポイント「ｖＩＰＳ」のセキュリティ対処機能「Ｌ３遮断」および「Ｌ４遮断」と同一の機能を有さない。そこで、セキュリティ対処無効化防止装置１００は、移行可能なセキュリティポイントとして、無効化セキュリティポイント「ｖＩＰＳ」のセキュリティ対処機能「Ｌ３遮断」および「Ｌ４遮断」と同一の機能を有するセキュリティポイント「ｖＦＷ」を抽出する。
　その後、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントに関する情報を出力する。具体的には、セキュリティ対処無効化防止装置１００は、抽出されたセキュリティポイントを移行候補のセキュリティポイントとして出力する。例えば、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントの各セキュリティ対処機能が対処するセキュリティ事象ごとに、移行候補のセキュリティポイントを出力する。
　この点について、図８を用いて説明する。図８は、実施形態に係るセキュリティ対処無効化防止処理における出力処理の一例を説明するための説明図である。図８の例では、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントのセキュリティ対処機能を移行するセキュリティポイントを示す移行情報１４１を出力する。例えば、移行情報１４１は、図８に示すように、「移行対象セキュリティポイント」、「移行対象機能」、「移行対象セキュリティ事象」、「移行先候補」といった項目を有する。「移行対象セキュリティポイント」は、セキュリティ対処機能を他のセキュリティポイントに移行する対象となる無効化セキュリティポイントを示す。「移行対象機能」は、移行対象セキュリティポイントが有する移行対象のセキュリティ対処機能を示す。「移行対象セキュリティ事象」は、移行対象セキュリティポイントの移行対象のセキュリティ対処機能が対処するセキュリティ事象を示す。「移行先候補」は、移行対象セキュリティポイントが有する移行対象のセキュリティ対処機能が対処するセキュリティ事象を移行する移行先のセキュリティポイントを示す。
　図８の例では、セキュリティ対処無効化防止装置１００は、移行対象セキュリティポイント「ｖＩＰＳ」の移行対象機能「Ｌ３遮断」が対処する移行対象セキュリティ事象「事象ｅ２」の移行先候補として「ｖＦＷ」を出力する。また、セキュリティ対処無効化防止装置１００は、移行対象セキュリティポイント「ｖＩＰＳ」の移行対象機能「Ｌ４遮断」が対処する移行対象セキュリティ事象「事象ｅ３」の移行先候補として「ｖＦＷ」を出力する。
　その後、セキュリティ対処無効化防止装置１００によって出力された移行先候補に関する移行情報１４１に基づいて、無効化セキュリティポイントが有する対処機能が対処するセキュリティ事象の移行処理が行われる。例えば、移行処理は、セキュリティ対処無効化防止装置１００によって出力された移行情報１４１に基づいて外部システムがセキュリティポイントの設定を変更する操作を実行する。この点について、図９を用いて説明する。図９は、実施形態に係るセキュリティ対処無効化防止処理におけるセキュリティ事象移行後の処理の一例を説明するための説明図である。図９の例では、セキュリティ対処無効化防止システム１では、ｖＦＷ１０のセキュリティ対処機能「Ｌ３遮断」は、無効化されたｖＩＰＳ１５のセキュリティ対処機能「Ｌ３遮断」が対処していたセキュリティ事象「事象ｅ２」を対処する。すなわち、ｖＦＷ１０のセキュリティ対処機能「Ｌ３遮断」は、セキュリティ事象「事象ｅ１」に加えて、セキュリティ事象「事象ｅ２」を対処する。このため、ｖＦＷ１０のＬ３遮断機能は、セキュリティ事象ｅ１のＳｒｃＩＰ「Ａ」及びＤｓｔＩＰ「Ｗｅｂ-１」に加えて、セキュリティ事象ｅ２のＳｒｃＩＰ「Ｂ」及びＤｓｔＩＰ「Ｗｅｂ-１」を保存する。
　また、ｖＦＷ１０のセキュリティ対処機能「Ｌ４遮断」は、無効化されたｖＩＰＳ１５のセキュリティ対処機能「Ｌ４遮断」が対処していたセキュリティ事象「事象ｅ３」を対処する。このため、ｖＦＷ１０のＬ４遮断機能は、セキュリティ事象ｅ３のＳｒｃＩＰ「Ｃ」、ＤｓｔＩＰ「Ｗｅｂ-１」及びＤｓｔＰｏｒｔ「ａ」を保存する。
　なお、ｖＷＡＦ２０のＬ７遮断機能は、ネットワーク経路Ｌ１からネットワーク経路Ｌ２への変更後もセキュリティ事象ｅ４を継続して対処する。このため、ｖＷＡＦ２０のＬ７遮断機能は、セキュリティ事象ｅ４のＳｒｃＩＰ「Ｄ」、ＤｓｔＩＰ「Ｗｅｂ-１」及びＳｉｇｎａｔｕｒｅ「Ｉ」を継続して保存する。
　このように、セキュリティ対処無効化防止装置１００は、無効化されるセキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象を移行可能なセキュリティポイントに関する情報を出力する。これにより、セキュリティ対処無効化防止装置１００は、無効化されるセキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象を他のセキュリティポイントによって対処させることが可能となるので、セキュリティ対処が無効になることを防止することができる。例えば、セキュリティ対処無効化防止装置１００は、移行可能なセキュリティポイントに関する情報に基づいてセキュリティポイントの設定を外部システムに行わせることができるので、無効化セキュリティポイントが発生してもセキュリティレベルを維持することができる。また、セキュリティ対処無効化防止装置１００は、セキュリティレベルを落とすことなくネットワークの変更を可能とすることができるので、自由なネットワーク運用が可能となる。
　なお、外部システムは、移行情報１４１に基づいてネットワーク変更を中止する操作などを実行してもよい。例えば、外部システムは、移行可能なセキュリティポイントがない場合には、ネットワーク変更を実施するとセキュリティホールが発生してしまうので、ネットワーク変更を中止する操作を実行する。
［処理手順］
　次に、図１０を用いて、実施形態に係るセキュリティ対処無効化防止装置１００によるセキュリティ対処無効化防止処理の流れについて説明する。図１０は、実施形態に係るセキュリティ対処無効化防止装置におけるセキュリティ対処無効化防止処理の手順を示すフローチャートである。
　図１０の例では、セキュリティ対処無効化防止装置１００は、外部システムなどによって保護対象であるＷｅｂサーバ５０のネットワーク経路が変更された場合に、セキュリティ対処無効化防止処理を開始する。
　具体的には、セキュリティ対処無効化防止装置１００は、まず、ネットワークに接続されたＷｅｂサーバ５０のセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントのうちセキュリティ対処機能が無効化される無効化セキュリティポイントに関する無効化セキュリティポイント情報を取得する（ステップＳ１０１）。例えば、セキュリティ対処無効化防止装置１００は、ネットワーク変更に伴ってネットワーク経路上から外れるセキュリティポイントを識別する情報を無効化セキュリティポイント情報として外部システムや無効化セキュリティポイントから取得する。
　その後、セキュリティ対処無効化防止装置１００は、取得された無効化セキュリティポイント情報に基づいて、無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象が存在するか否かを判定する（ステップＳ１０２）。例えば、セキュリティ対処無効化防止装置１００は、取得された無効化セキュリティポイント情報と、セキュリティ情報記憶部１４０に記憶されたセキュリティポイント情報とセキュリティ対処機能情報とセキュリティ事象情報とに基づいて、無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象が存在するか否かを判定する。
　そして、セキュリティ対処無効化防止装置１００は、セキュリティ事象が１つも存在しないと判定した場合には（ステップＳ１０３；Ｎｏ）、「移行対象のセキュリティ事象＝なし」と出力し（ステップＳ１０４）、セキュリティ対処無効化防止処理を終了する。
　一方、セキュリティ対処無効化防止装置１００は、セキュリティ事象が１以上存在すると判定した場合には（ステップＳ１０３；Ｙｅｓ）、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントを抽出する（ステップＳ１０５）。例えば、セキュリティ対処無効化防止装置１００は、セキュリティ事象ごとに、無効化セキュリティポイント以外のセキュリティポイントのうち無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントを抽出する。
　そして、セキュリティ対処無効化防止装置１００は、移行可能なセキュリティポイントを抽出した場合には（ステップＳ１０６；Ｙｅｓ）、判断対象のセキュリティポイントを移行可能なセキュリティポイントと対応付けて移行候補のセキュリティポイントとして出力する（ステップＳ１０７）。
　一方、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントが存在せず抽出されなかった場合には（ステップＳ１０６；Ｎｏ）、判断対象のセキュリティ事象と対応付けて「移行可能なセキュリティポイント＝なし」と出力する（ステップＳ１０８）。一例としては、セキュリティ対処無効化防止装置１００は、ネットワーク変更に伴って無効化されるセキュリティポイントを移行できずセキュリティ対処を行わないセキュリティ事象が発生するのでセキュリティホールが生じる旨の警告を出力してもよい。
　そして、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントのセキュリティ対処機能が対処するすべてのセキュリティ事象について抽出処理を実行したか否かを判定する（ステップＳ１０９）。ここで、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントのセキュリティ対処機能が対処するすべてのセキュリティ事象について抽出処理を実行していないと判定した場合には（ステップＳ１０９；Ｎｏ）、まだ抽出処理を行っていないセキュリティ事象についてステップＳ１０５～Ｓ１０９を繰り返し実行する。一方、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントのセキュリティ対処機能が対処するすべてのセキュリティ事象について抽出処理を実行したと判定した場合には（ステップＳ１０９；Ｙｅｓ）、セキュリティ対処無効化防止処理を終了する。
［変形例］
　上記の実施形態では、セキュリティ対処無効化防止装置１００は、判定部１３６によってセキュリティ事象が存在すると判定された場合に、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントを抽出することを説明した。
　ここで、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントが複数存在する場合には、各種の選定基準に従って移行可能なセキュリティポイントを抽出してもよい。具体的には、セキュリティ対処無効化防止装置１００は、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントが複数存在する場合に、移行可能な複数のセキュリティポイントのうち最適なセキュリティポイントを各種の選択アルゴリズムに従って１つ抽出する。例えば、セキュリティ対処無効化防止装置１００の抽出部１３７は、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントのうちＷｅｂサーバ５０を攻撃する攻撃元と最も近いセキュリティポイントを抽出する。一例としては、抽出部１３７は、無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象に基づいて、無効化セキュリティポイント以外のセキュリティポイントであって移行可能な複数のセキュリティポイントのうちＷｅｂサーバ５０を攻撃する攻撃元と最も近いセキュリティポイントを抽出する。
　このように、セキュリティ対処無効化防止装置１００の抽出部１３７は、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントのうちＷｅｂサーバ５０を攻撃する攻撃元と最も近いセキュリティポイントを抽出する。
　これにより、セキュリティ対処無効化防止装置１００は、移行可能な複数のセキュリティポイントのうちセキュリティ事象の対処が最も効率的なセキュリティポイントを抽出することができるので、無効化セキュリティポイントの移行効果を高めることができる。
　また、上記の実施形態では、ｖＦＷ１０と、ｖＩＰＳ１５と、ｖＷＡＦ２０と、Ｗｅｂサーバ５０とは、仮想マシンで実現されている仮想化リソースである場合を示したが、物理的なセキュリティ機器であってもよい。これにより、セキュリティ対処無効化防止装置１００は、物理的なセキュリティポイントによって保護ノードが保護される場合でも、セキュリティ対処が無効になることを防止することができる。
　また、上記の実施形態では、保護対象のノードがＷｅｂサーバ５０のみである例を示したが、保護対象のノードが複数であってもよい。この場合、セキュリティ対処無効化防止装置１００は、保護対象のノードごとに、かかるノードを保護するセキュリティポイント情報、セキュリティ対処機能情報およびセキュリティ事象情報をセキュリティ情報記憶部１４０に記憶して管理する。これにより、セキュリティ対処無効化防止装置１００は、保護対象のノードが複数ある場合でもセキュリティ対処が無効になることを防止することができるので、セキュリティレベルを維持することができる。
［実施形態の効果］
　このように、実施形態に係るセキュリティ対処無効化防止装置１００は、ネットワークに接続されたＷｅｂサーバ５０のセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントのうちセキュリティ対処機能が無効化される無効化セキュリティポイントに関する無効化セキュリティポイント情報を取得する取得部１３５と、取得部１３５によって取得された無効化セキュリティポイント情報に基づいて、無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象が存在するか否かを判定する判定部１３６と、判定部１３６によってセキュリティ事象が存在すると判定された場合に、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントを抽出する抽出部１３７と、抽出部１３７によって抽出されたセキュリティポイントを移行候補のセキュリティポイントとして出力する出力部１３８とを有する。
　また、実施形態に係るセキュリティ対処無効化防止装置１００は、Ｗｅｂサーバ５０のセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントに関するセキュリティポイント情報と、セキュリティポイントが有するセキュリティ対処機能に関するセキュリティ対処機能情報と、セキュリティ対処機能が対処するセキュリティ事象に関するセキュリティ事象情報とを記憶するセキュリティ情報記憶部１４０をさらに有する。また、実施形態に係るセキュリティ対処無効化防止装置１００において、判定部１３６は、取得部１３５によって取得された無効化セキュリティポイント情報と、セキュリティ情報記憶部１４０に記憶されたセキュリティポイント情報とセキュリティ対処機能情報とセキュリティ事象情報とに基づいて、無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象が存在するか否かを判定する。
　また、実施形態に係るセキュリティ対処無効化防止装置１００において、セキュリティ情報記憶部１４０は、セキュリティポイント情報として、Ｗｅｂサーバ５０が接続されたネットワーク経路上でＷｅｂサーバ５０のセキュリティ対処を行うセキュリティ対処機能を有するセキュリティポイントに関する情報と、セキュリティ事象情報として、セキュリティ対処機能が対処するサイバー攻撃に関する情報とを記憶する。
　また、実施形態に係るセキュリティ対処無効化防止装置１００において、判定部１３６は、無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象が存在するか否かを、セキュリティ情報記憶部１４０に記憶されたセキュリティ事象情報のうち無効化セキュリティポイントのセキュリティ対処機能に対応するセキュリティ事象情報を参照してセキュリティ対処機能ごとに判定する。また、実施形態に係るセキュリティ対処無効化防止装置１００において、抽出部１３７は、判定部１３６によってセキュリティ事象が少なくとも１つ存在すると判定された場合に、セキュリティ事象ごとに、無効化セキュリティポイント以外のセキュリティポイントのうち無効化セキュリティポイントの対処機能を移行可能なセキュリティポイントを抽出する。また、実施形態に係るセキュリティ対処無効化防止装置１００において、出力部１３８は、抽出部１３７によってセキュリティ事象ごとに抽出されたセキュリティポイントを移行候補のセキュリティポイントとして出力する。
　また、実施形態に係るセキュリティ対処無効化防止装置１００において、抽出部１３７は、移行可能なセキュリティポイントとして、Ｗｅｂサーバ５０が接続されるネットワーク経路上にあるセキュリティポイントのうち無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントを抽出する。
　これにより、実施形態に係るセキュリティ対処無効化防止装置１００は、無効化されるセキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象を移行可能なセキュリティポイントに関する情報を出力する。これにより、セキュリティ対処無効化防止装置１００は、無効化されるセキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象を他のセキュリティポイントによって対処させることが可能となるので、セキュリティ対処による既存のセキュリティ効果が無効になることを回避することができる。例えば、セキュリティ対処無効化防止装置１００は、移行可能なセキュリティポイントに関する情報に基づいてセキュリティポイントの設定を外部システムに行わせることができるので、無効化セキュリティポイントが発生してもセキュリティレベルを維持することができる。
　また、実施形態に係るセキュリティ対処無効化防止装置１００において、抽出部１３７は、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントのうちＷｅｂサーバ５０を攻撃する攻撃元と最も近いセキュリティポイントを抽出する。
　これにより、実施形態に係るセキュリティ対処無効化防止装置１００は、移行可能な複数のセキュリティポイントのうちセキュリティ事象の対処が最も効率的なセキュリティポイントを抽出することができるので、無効化セキュリティポイントの移行効果を高めることができる。
［その他の実施形態］
　また、上述した実施形態では、セキュリティ対処無効化防止装置１００が、移行候補となるセキュリティポイントを抽出した後、移行候補となるセキュリティポイントに関する移行情報１４１を出力する。その後、上述した実施形態においては、セキュリティ対処無効化防止装置１００によって出力された移行情報１４１に基づいて外部システムがセキュリティポイントの設定を変更する操作を実行することで、移行処理が行われる場合を説明したが、本発明はこれに限定されるものではない。例えば、セキュリティ対処無効化防止装置が、移行候補となるセキュリティポイントを抽出した後、抽出したセキュリティポイントに自動的に移行するようにしてもよい。
　そこで、以下では、その他の実施形態として、セキュリティ対処無効化防止装置１００Ａが、移行候補となるセキュリティポイントを抽出した後、抽出されたセキュリティポイントに自動的に移行する場合について説明する。なお、上記の実施形態と同様の構成および処理については説明を省略する。
　図１１は、その他の実施形態に係るセキュリティ対処無効化防止装置の構成を示す図である。図１１に示すように、その他の実施形態に係るセキュリティ対処無効化防止装置１００Ａは、図２のセキュリティ対処無効化防止装置１００と比較して、出力部１３８を有していないが、移行部１３９を有している点が異なる。
　移行部１３９は、無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象を、抽出部１３７によって抽出されたセキュリティポイントで対処可能に移行する。具体的には、移行部１３９は、抽出部１３７によってセキュリティポイントが抽出されると、無効化されるセキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象を、抽出されたセキュリティポイントで対処可能に移行する。
　例えば、移行処理においては、セキュリティ対処無効化防止装置１００Ａが、抽出したセキュリティポイントの設定を変更する操作を実行する。この点について、前述した図７および図９の例を用いて説明する。図７に例示するように、例えば、セキュリティ対処無効化防止装置１００Ａは、移行可能なセキュリティポイントとして、無効化セキュリティポイント「ｖＩＰＳ」のセキュリティ対処機能「Ｌ３遮断」および「Ｌ４遮断」と同一の機能を有するセキュリティポイント「ｖＦＷ」を抽出する。
　この場合には、図９に例示するように、セキュリティ対処無効化防止装置１００Ａは、ｖＦＷ１０のセキュリティ対処機能「Ｌ３遮断」が、セキュリティ事象「事象ｅ１」に加えて、無効化されたｖＩＰＳ１５のセキュリティ対処機能「Ｌ３遮断」が対処していたセキュリティ事象「事象ｅ２」を対処できるように、移行処理を行う。このため、セキュリティ対処無効化防止装置１００Ａは、ｖＦＷ１０のＬ３遮断機能に対して、セキュリティ事象ｅ１のＳｒｃＩＰ「Ａ」及びＤｓｔＩＰ「Ｗｅｂ-１」に加えて、セキュリティ事象ｅ２のＳｒｃＩＰ「Ｂ」及びＤｓｔＩＰ「Ｗｅｂ-１」を保存させる。
　また、セキュリティ対処無効化防止装置１００Ａは、ｖＦＷ１０のセキュリティ対処機能「Ｌ４遮断」が、無効化されたｖＩＰＳ１５のセキュリティ対処機能「Ｌ４遮断」が対処していたセキュリティ事象「事象ｅ３」を対処できるように、移行処理を行う。このため、セキュリティ対処無効化防止装置１００Ａは、ｖＦＷ１０のＬ４遮断機能に対して、セキュリティ事象ｅ３のＳｒｃＩＰ「Ｃ」、ＤｓｔＩＰ「Ｗｅｂ-１」及びＤｓｔＰｏｒｔ「ａ」を保存させる。
　なお、セキュリティ対処無効化防止装置１００Ａは、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントが複数存在する場合には、前述したように、各種の選定基準に従って移行可能なセキュリティポイントを抽出してもよい。例えば、セキュリティ対処無効化防止装置１００Ａの抽出部１３７は、無効化セキュリティポイントのセキュリティ対処機能を移行可能なセキュリティポイントのうちＷｅｂサーバ５０を攻撃する攻撃元と最も近いセキュリティポイントを抽出する。この場合には、セキュリティ対処無効化防止装置１００Ａの移行部１３９は、攻撃元と最も近いセキュリティポイントに移行するように制御する。
　このように、その他の実施形態に係るセキュリティ対処無効化防止装置１００Ａは、無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象を、抽出部１３７によって抽出されたセキュリティポイントで対処可能に移行するので、無効化されるセキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象を他のセキュリティポイントに自動的に移行し、対処させることが可能となる。
　以上、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これらの実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、請求の範囲に記載された発明とその均等の範囲に含まれるものである。
　上記の実施形態において図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示された構成要素と同一であることを要しない。すなわち、各装置の分散・統合の具体的形態（例えば、図２の形態）は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、判定部１３６と抽出部１３７とを一つの部として統合してもよく、一方、取得部１３５を、無効化セキュリティポイント情報を取得する取得部と、セキュリティポイント情報を取得する取得部とに分散してもよい。
　また、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、上記の実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともできる。あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。
［プログラム］
　また、上記実施形態に係るセキュリティ対処無効化防止装置１００、１００Ａが実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータが読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、セキュリティ対処無効化防止装置１００、１００Ａと同様の機能を実現するセキュリティ対処無効化防止プログラムを実行するコンピュータの一例を説明する。
　図１２は、セキュリティ対処無効化防止プログラムを実行するコンピュータを示す図である。図１２に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
　ここで、図１２に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
　また、セキュリティ対処無効化防止プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明したセキュリティ対処無効化防止装置１００、１００Ａが実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。
　また、セキュリティ対処無効化防止プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
　なお、セキュリティ対処無効化防止プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、セキュリティ対処無効化防止プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide　Area　Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１　　セキュリティ対処無効化防止システム
　１００、１００Ａ　セキュリティ対処無効化防止装置
　１３５　取得部
　１３６　判定部
　１３７　抽出部
　１３８　出力部
　１３９　移行部
　１４０　セキュリティ情報記憶部

Claims (14)

  1. 　ネットワークに接続されたノードのセキュリティ対処を行う対処機能を有するセキュリティポイントのうち対処機能が無効化される無効化セキュリティポイントに関する無効化セキュリティポイント情報を取得する取得部と、
    　前記取得部によって取得された無効化セキュリティポイント情報に基づいて、前記無効化セキュリティポイントの対処機能が対処するセキュリティ事象が存在するか否かを判定する判定部と、
    　前記判定部によってセキュリティ事象が存在すると判定された場合に、前記無効化セキュリティポイントの対処機能を移行可能なセキュリティポイントを抽出する抽出部と、
    　を有することを特徴とするセキュリティ対処無効化防止装置。
  2. 　前記抽出部によって抽出されたセキュリティポイントを移行候補のセキュリティポイントとして出力する出力部をさらに有することを特徴とする請求項１に記載のセキュリティ対処無効化防止装置。
  3. 　前記無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象を、前記抽出部によって抽出されたセキュリティポイントで対処可能に移行する移行部をさらに有することを特徴とする請求項１に記載のセキュリティ対処無効化防止装置。
  4. 　前記ノードのセキュリティ対処を行う対処機能を有するセキュリティポイントに関するセキュリティポイント情報と、当該セキュリティポイントが有する対処機能に関する対処機能情報と、当該対処機能が対処するセキュリティ事象に関する事象情報とを記憶する記憶部
    　をさらに有し、
    　前記判定部は、
    　前記取得部によって取得された無効化セキュリティポイント情報と、前記記憶部に記憶されたセキュリティポイント情報と対処機能情報と事象情報とに基づいて、前記無効化セキュリティポイントの対処機能が対処するセキュリティ事象が存在するか否かを判定する
    　ことを特徴とする請求項１に記載のセキュリティ対処無効化防止装置。
  5. 　前記記憶部は、
    　前記セキュリティポイント情報として、前記ノードが接続されたネットワーク経路上で当該ノードのセキュリティ対処を行う対処機能を有するセキュリティポイントに関する情報と、
    　前記事象情報として、前記対処機能が対処するサイバー攻撃に関する情報と
    　を記憶することを特徴とする請求項４に記載のセキュリティ対処無効化防止装置。
  6. 　前記判定部は、
    　前記無効化セキュリティポイントの対処機能が対処するセキュリティ事象が存在するか否かを、前記記憶部に記憶された事象情報のうち当該無効化セキュリティポイントの対処機能に対応する事象情報を参照して対処機能ごとに判定し、
    　前記抽出部は、
    　前記判定部によってセキュリティ事象が少なくとも１つ存在すると判定された場合に、セキュリティ事象ごとに、前記無効化セキュリティポイント以外のセキュリティポイントのうち前記無効化セキュリティポイントの対処機能を移行可能なセキュリティポイントを抽出する
    　ことを特徴とする請求項４に記載のセキュリティ対処無効化防止装置。
  7. 　前記抽出部は、
    　前記移行可能なセキュリティポイントとして、前記ノードが接続されるネットワーク経路上にあるセキュリティポイントのうち前記無効化セキュリティポイントの対処機能を移行可能なセキュリティポイントを抽出する
    　ことを特徴とする請求項１に記載のセキュリティ対処無効化防止装置。
  8. 　前記抽出部は、
    　前記無効化セキュリティポイントの対処機能を移行可能なセキュリティポイントのうち前記ノードを攻撃する攻撃元と最も近いセキュリティポイントを抽出する
    　ことを特徴とする請求項１に記載のセキュリティ対処無効化防止装置。
  9. 　セキュリティ対処無効化防止装置で実行されるセキュリティ対処無効化防止方法であって、
    　ネットワークに接続されたノードのセキュリティ対処を行う対処機能を有するセキュリティポイントのうち対処機能が無効化される無効化セキュリティポイントに関する無効化セキュリティポイント情報を取得する取得工程と、
    　前記取得工程によって取得された無効化セキュリティポイント情報に基づいて、前記無効化セキュリティポイントの対処機能が対処するセキュリティ事象が存在するか否かを判定する判定工程と、
    　前記判定工程によってセキュリティ事象が存在すると判定された場合に、前記無効化セキュリティポイントの対処機能を移行可能なセキュリティポイントを抽出する抽出工程と、
    　を含んだことを特徴とするセキュリティ対処無効化防止方法。
  10. 　前記抽出工程によって抽出されたセキュリティポイントを移行候補のセキュリティポイントとして出力する出力工程をさらに含んだことを特徴とする請求項９に記載のセキュリティ対処無効化防止方法。
  11. 　前記無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象を、前記抽出工程によって抽出されたセキュリティポイントで対処可能に移行する移行工程をさらに有することを特徴とする請求項９に記載のセキュリティ対処無効化防止方法。
  12. 　ネットワークに接続されたノードのセキュリティ対処を行う対処機能を有するセキュリティポイントのうち対処機能が無効化される無効化セキュリティポイントに関する無効化セキュリティポイント情報を取得する取得ステップと、
    　前記取得ステップによって取得された無効化セキュリティポイント情報に基づいて、前記無効化セキュリティポイントの対処機能が対処するセキュリティ事象が存在するか否かを判定する判定ステップと、
    　前記判定ステップによってセキュリティ事象が存在すると判定された場合に、前記無効化セキュリティポイントの対処機能を移行可能なセキュリティポイントを抽出する抽出ステップと、
    　をコンピュータに実行させるためのセキュリティ対処無効化防止プログラム。
  13. 　前記抽出ステップによって抽出されたセキュリティポイントを移行候補のセキュリティポイントとして出力する出力ステップをさらに実行させることを特徴とする請求項１２に記載のセキュリティ対処無効化防止プログラム。
  14. 　前記無効化セキュリティポイントのセキュリティ対処機能が対処するセキュリティ事象を、前記抽出ステップによって抽出されたセキュリティポイントで対処可能に移行する移行ステップをさらに有することを特徴とする請求項１２に記載のセキュリティ対処無効化防止プログラム。
PCT/JP2016/056108 2015-03-04 2016-02-29 セキュリティ対処無効化防止装置、セキュリティ対処無効化防止方法およびセキュリティ対処無効化防止プログラム WO2016140198A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
AU2016226956A AU2016226956B2 (en) 2015-03-04 2016-02-29 Security measure invalidation prevention device, security measure invalidation prevention method, and security measure invalidation prevention program
JP2017503649A JP6348655B2 (ja) 2015-03-04 2016-02-29 セキュリティ対処無効化防止装置、セキュリティ対処無効化防止方法およびセキュリティ対処無効化防止プログラム
EP16758891.2A EP3252648B1 (en) 2015-03-04 2016-02-29 Security measure invalidation prevention device, security measure invalidation prevention method, and security measure invalidation prevention program
CN201680013029.0A CN107430665B (zh) 2015-03-04 2016-02-29 安全措施无效化防止装置、安全措施无效化防止方法和记录介质
US15/554,380 US11050776B2 (en) 2015-03-04 2016-02-29 Security measure invalidation prevention device, security measure invalidation prevention method, and security measure invalidation prevention program
AU2019203446A AU2019203446B2 (en) 2015-03-04 2019-05-16 Security measure invalidation prevention device, security measure invalidation prevention method, and security measure invalidation prevention program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015042377 2015-03-04
JP2015-042377 2015-03-04

Publications (1)

Publication Number Publication Date
WO2016140198A1 true WO2016140198A1 (ja) 2016-09-09

Family

ID=56848311

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/056108 WO2016140198A1 (ja) 2015-03-04 2016-02-29 セキュリティ対処無効化防止装置、セキュリティ対処無効化防止方法およびセキュリティ対処無効化防止プログラム

Country Status (6)

Country Link
US (1) US11050776B2 (ja)
EP (1) EP3252648B1 (ja)
JP (1) JP6348655B2 (ja)
CN (1) CN107430665B (ja)
AU (2) AU2016226956B2 (ja)
WO (1) WO2016140198A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2017047341A1 (ja) * 2015-09-15 2018-08-16 日本電気株式会社 情報処理装置、情報処理方法、およびプログラム
JPWO2018134865A1 (ja) * 2017-01-17 2019-06-27 株式会社日立製作所 情報管理システム
WO2021019637A1 (ja) * 2019-07-29 2021-02-04 オムロン株式会社 セキュリティ装置、サーバ装置、セキュリティシステム、及びセキュリティ機能設定方法
WO2023090012A1 (ja) * 2021-11-19 2023-05-25 株式会社日立製作所 通信管理装置および方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4469910B1 (ja) * 2008-12-24 2010-06-02 株式会社東芝 セキュリティ対策機能評価プログラム
JP2012208863A (ja) * 2011-03-30 2012-10-25 Hitachi Ltd 脆弱性判定システム、脆弱性判定方法、および、脆弱性判定プログラム

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6957348B1 (en) * 2000-01-10 2005-10-18 Ncircle Network Security, Inc. Interoperability of vulnerability and intrusion detection systems
US9525696B2 (en) * 2000-09-25 2016-12-20 Blue Coat Systems, Inc. Systems and methods for processing data flows
US7581249B2 (en) * 2003-11-14 2009-08-25 Enterasys Networks, Inc. Distributed intrusion response system
CA2612017A1 (en) * 2005-06-23 2007-01-04 Xds, Inc. Methods and apparatus for network address change for mobile devices
US7870602B2 (en) 2005-09-14 2011-01-11 At&T Intellectual Property I, L.P. System and method for reducing data stream interruption during failure of a firewall device
US8572735B2 (en) 2007-03-29 2013-10-29 George Mason Research Foundation, Inc. Attack resistant continuous network service trustworthiness controller
CN101360053A (zh) * 2008-09-08 2009-02-04 华南理工大学 基于信息熵的路由干扰影响度量方法
GB2474545B (en) * 2009-09-24 2015-06-24 Fisher Rosemount Systems Inc Integrated unified threat management for a process control system
US8539545B2 (en) * 2010-07-22 2013-09-17 Juniper Networks, Inc. Domain-based security policies
CN103067344B (zh) * 2011-10-24 2016-03-30 国际商业机器公司 在云环境中自动分发安全规则的非侵入性方法和设备
US10003525B2 (en) * 2014-11-14 2018-06-19 Fisher-Rosemount Systems, Inc. Methods and apparatus to provide redundancy in a process control system

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4469910B1 (ja) * 2008-12-24 2010-06-02 株式会社東芝 セキュリティ対策機能評価プログラム
JP2012208863A (ja) * 2011-03-30 2012-10-25 Hitachi Ltd 脆弱性判定システム、脆弱性判定方法、および、脆弱性判定プログラム

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
"Network Security Taisaku no Saitekika -Keiei ShitenxTanto ShitenxPDCA=Saitekika", 2008 NENDO KENKYU SEIKA HOKOKUSHO ABSTRACT SHU, FUJITSU FAMILY KAI LS KENKYU IINKAI, 21 May 2009 (2009-05-21), pages 31 - 32, XP055473335, Retrieved from the Internet <URL:http://jp.fujitsu.com/family/lsken/activity/work-group/08/abstract/pdf/00_abstract.pdf> [retrieved on 20160427] *
CHIHARU MORIOKA ET AL.: "A Study on Policy Control Functions in Service Chaining Architecture", IEICE TECHNICAL REPORT, vol. 114, no. 477, 23 February 2015 (2015-02-23), pages 469 - 473, XP009505282 *
HIDEYUKI SHIMONISHI: "Recent Activities on Network Functions Virtualization (NFV", THE JOURNAL OF THE INSTITUTE OF ELECTRONICS, INFORMATION AND COMMUNICATION ENGINEERS, vol. 98, no. 3, 1 March 2015 (2015-03-01), pages 225 - 231, XP009505321 *
See also references of EP3252648A4 *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2017047341A1 (ja) * 2015-09-15 2018-08-16 日本電気株式会社 情報処理装置、情報処理方法、およびプログラム
US10922417B2 (en) 2015-09-15 2021-02-16 Nec Corporation Information processing apparatus, information processing method, and program
JPWO2018134865A1 (ja) * 2017-01-17 2019-06-27 株式会社日立製作所 情報管理システム
WO2021019637A1 (ja) * 2019-07-29 2021-02-04 オムロン株式会社 セキュリティ装置、サーバ装置、セキュリティシステム、及びセキュリティ機能設定方法
WO2023090012A1 (ja) * 2021-11-19 2023-05-25 株式会社日立製作所 通信管理装置および方法

Also Published As

Publication number Publication date
JPWO2016140198A1 (ja) 2017-07-27
EP3252648B1 (en) 2021-09-22
AU2019203446A1 (en) 2019-06-06
AU2019203446B2 (en) 2021-04-08
JP6348655B2 (ja) 2018-06-27
AU2016226956A1 (en) 2017-09-07
EP3252648A4 (en) 2018-09-05
CN107430665B (zh) 2021-08-10
AU2016226956B2 (en) 2019-04-18
US20180041535A1 (en) 2018-02-08
CN107430665A (zh) 2017-12-01
US11050776B2 (en) 2021-06-29
EP3252648A1 (en) 2017-12-06

Similar Documents

Publication Publication Date Title
US20210273998A1 (en) Sub-networks based security method, apparatus and product
US10033745B2 (en) Method and system for virtual security isolation
US11102220B2 (en) Detection of botnets in containerized environments
JP5853327B2 (ja) 仮想コンピューティング環境を保護するためのシステムおよび方法
US8261355B2 (en) Topology-aware attack mitigation
JP6348655B2 (ja) セキュリティ対処無効化防止装置、セキュリティ対処無効化防止方法およびセキュリティ対処無効化防止プログラム
US11171985B1 (en) System and method to detect lateral movement of ransomware by deploying a security appliance over a shared network to implement a default gateway with point-to-point links between endpoints
US20180176262A1 (en) Systems and methods for device specific security policy control
US11240204B2 (en) Score-based dynamic firewall rule enforcement
US20170250998A1 (en) Systems and methods of preventing infection or data leakage from contact with a malicious host system
WO2017048340A1 (en) Method and apparatus for detecting security anomalies in a public cloud environment using network activity monitoring, application profiling, and self-building host mapping
CN106797378B (zh) 用于控制通信网络的装置和方法
US9661006B2 (en) Method for protection of automotive components in intravehicle communication system
US11539722B2 (en) Security threat detection based on process information
US9774611B1 (en) Dynamically deploying a network traffic filter
JP7150552B2 (ja) ネットワーク防御装置およびネットワーク防御システム
JP2018121218A (ja) 攻撃検知システム、攻撃検知方法および攻撃検知プログラム
Juba et al. Dynamic isolation of network devices using OpenFlow for keeping LAN secure from intra-LAN attack
JP6272258B2 (ja) 最適化装置、最適化方法および最適化プログラム
US11159533B2 (en) Relay apparatus
KR20200006035A (ko) 제공된 구성 정보를 사용하여 트리거된 스캐닝
JP2008160249A (ja) セキュリティシステム及びセキュリティ対策方法
Alsaleem et al. Cloud computing-based attacks and countermeasures: A survey
US20240022579A1 (en) System to terminate malicious process in a data center
US20230208848A1 (en) Centralized network response to mitigate a data-based security risk

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16758891

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017503649

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 15554380

Country of ref document: US

REEP Request for entry into the european phase

Ref document number: 2016758891

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2016226956

Country of ref document: AU

Date of ref document: 20160229

Kind code of ref document: A