WO2016189841A1 - セキュリティシステム、セキュリティ方法、及びプログラムを記憶する記録媒体 - Google Patents

セキュリティシステム、セキュリティ方法、及びプログラムを記憶する記録媒体 Download PDF

Info

Publication number
WO2016189841A1
WO2016189841A1 PCT/JP2016/002461 JP2016002461W WO2016189841A1 WO 2016189841 A1 WO2016189841 A1 WO 2016189841A1 JP 2016002461 W JP2016002461 W JP 2016002461W WO 2016189841 A1 WO2016189841 A1 WO 2016189841A1
Authority
WO
WIPO (PCT)
Prior art keywords
simulated
response
request
resource
simulated response
Prior art date
Application number
PCT/JP2016/002461
Other languages
English (en)
French (fr)
Inventor
角丸　貴洋
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US15/574,543 priority Critical patent/US10868830B2/en
Priority to JP2017520228A priority patent/JP6693516B2/ja
Publication of WO2016189841A1 publication Critical patent/WO2016189841A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/30—Definitions, standards or architectural aspects of layered protocol stacks
    • H04L69/32—Architecture of open systems interconnection [OSI] 7-layer type protocol stacks, e.g. the interfaces between the data link level and the physical level
    • H04L69/322—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions
    • H04L69/326—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions in the transport layer [OSI layer 4]

Definitions

  • the present invention relates to network security technology.
  • Patent Document 1 describes an unauthorized intrusion prevention system for guiding unauthorized access to a virtual decoy server as an example of a honeypot.
  • a decoy area of the hard disk is allocated to the virtual decoy server.
  • the decoy area has the same directory structure as the regular area assigned to the virtual regular server.
  • the decoy area is created, for example, by copying a normal area assigned to the virtual normal server.
  • the unauthorized intrusion prevention system of Patent Literature 1 guides access by unauthorized intruders to a virtual decoy server.
  • Honeytoken is a kind of honeypots, but is a kind of honeypot that is not a computer system.
  • Honey tokens are electronic information composed of fake information that was originally created for the purpose of not being used in normal use. It is used for the purpose of detecting unintentional unauthorized use, etc. by using a honey token composed of fake information.
  • honey token An example of a honey token is a fake email address. This fake email address is used to track whether the mailing list has been stolen. Examples of other honey tokens include credit card numbers, office documents, database entries, and combinations of login IDs (Identifications) and passwords. All of these honey tokens are deployed in cyberspace on the assumption that they are not originally used, and are used to catch attackers who perform illegal actions in cyberspace.
  • Honey tokens are originally fake information that is not used for legitimate reasons and is not confidential. Therefore, when deployed in an organization, a honey token is infiltrated into the organization by a cyber attacker and the honey token is acquired. Even so, there should be no impact on the organization. However, if it is difficult to determine whether the information obtained by the attacker is genuine or fake information, a reputation for leaking genuine information will be released and the brand power of the organization will decline. There is a concern.
  • an unauthorized intruder guided to a virtual decoy server can access the decoy area of the hard disk. That is, the unauthorized intruder can obtain information from the decoy area.
  • attackers can attack from anywhere, but defenders must defend against attacks coming from anywhere.
  • the attacker's failure is allowed, but the defender's failure is not allowed, and the defender must surely defend all attacks.
  • attackers can gain insight into the defense network at a fraction of the cost, defenders spend enormous amounts on maintaining and maintaining network security.
  • attackers are likely to benefit from the technical and organizational benefits of cyberspace, while defenders are susceptible to innovation.
  • attackers have an advantage over defenders due to the nature of cyber security. Therefore, in order to improve network security, it is important to increase the cost advantage of the defender by increasing the attack cost. In other words, security can be improved if a deep defense that minimizes damage can be realized while increasing the cost of an attack by an attacker.
  • An object of the present invention is to provide a security system or the like that can improve security.
  • a security system includes a packet receiving unit that receives a request from an intrusion device that attempts to intrude, a simulated resource specific information storage unit that stores specific information of a plurality of virtual simulated resources, and the simulation Simulated response generation means for generating a simulated response based on the specific information in response to the request to the resource, and simulated response transmission control means for controlling a request end flag indicating the presence or absence of the simulated resource that has not been transmitted based on a timer value And a simulated response transmission means for transmitting the simulated response to the intrusion device that transmits the request based on the request end flag.
  • a security method receives a request from an intrusion device attempting to intrude and generates a simulated response based on specific information of a plurality of virtual simulated resources in response to the request to the simulated resources. Then, a request end flag indicating presence / absence of the simulated resource that has not been transmitted is controlled based on a timer value, and the simulated response is transmitted to the intrusion device that transmits the request based on the request end flag.
  • a recording medium includes a packet reception process for receiving a request from an intrusion device attempting to intrude into a computer, and unique information of a plurality of virtual simulated resources according to the request to the simulated resources
  • a simulated response generation process for generating a simulated response based on the request, a simulated response transmission control process for controlling a request end flag indicating whether or not the simulated resource is not transmitted based on a timer value, and the simulated response for the request end flag.
  • a simulated response transmission process for transmitting the request to the intrusion device that transmits the request based on the program.
  • One embodiment of the present invention is also realized by the above-described program. .
  • FIG. 1 is a block diagram showing the overall configuration of the security system.
  • FIG. 2 is a block diagram showing a configuration of the security device according to the first exemplary embodiment of the present invention.
  • FIG. 3A is a diagram showing a communication sequence when acquiring a simulated resource list.
  • FIG. 3B is a diagram showing a communication sequence when acquiring a simulated resource list.
  • FIG. 4A is a diagram illustrating a message generated by the simulated response generation unit 21.
  • FIG. 4B is a diagram illustrating a message generated by the simulated response generation unit 21.
  • FIG. 4C is a diagram illustrating a message generated by the simulated response generation unit 21.
  • FIG. 4D is a diagram illustrating a message generated by the simulated response generation unit 21.
  • FIG. 4A is a diagram showing a communication sequence when acquiring a simulated resource list.
  • FIG. 4B is a diagram showing a communication sequence when acquiring a simulated resource list.
  • FIG. 4A is
  • FIG. 4E is a diagram illustrating a message generated by the simulated response generation unit 21.
  • FIG. 5 is a block diagram illustrating an example of a configuration of a security system 100A according to the second embodiment of this invention.
  • FIG. 6 is a diagram illustrating an example of a hardware configuration of a computer 1000 that can realize the security device 101 according to the first embodiment of the present invention and the security system 100A according to the second embodiment.
  • the security system and security method according to this embodiment improve security based on deep defense.
  • the cyber kill chain has attack steps such as intelligence, invasion, hiding, securing a bridgehead, searching for enemies, penetration, occupation, capture, and withdrawal.
  • attack steps such as intelligence, invasion, hiding, securing a bridgehead, searching for enemies, penetration, occupation, capture, and withdrawal.
  • the basic attack steps are the same and are not limited to those described here.
  • the security system makes various deceptions at each attack step. For example, a virtual directory and a group of files (simulated deception) are generated, and ambiguous information, fake information, or unclear information is given to the attacker in the search step and the capture step. It is possible to obstruct or guide the behavior of a malicious attacker, and to increase the attack cost for achieving the purpose. That is, it is possible to increase the attack cost until the attacker reaches important data.
  • attack costs include, but are not limited to, time, money, resources, research, information, labor, and things. It is possible to prevent important data such as
  • FIG. 1 is a block diagram showing an overall configuration of a security system 100 according to the present embodiment.
  • the security system 100 includes a security device 101, a simulated shared network resource 110, a communication device 102, a shared network resource 120, and a network system 200.
  • the security device 101, the simulated shared network resource 110, the communication device 102, and the shared network resource 120 are communicably connected to each other via a network system 200 that is a communication network.
  • the infected apparatus 300 is connected to the network system 200 as an attacker.
  • the network system 200 is a communication network such as a LAN (Local Area Network), a WAN (Wide Area Network), and the Internet.
  • LAN Local Area Network
  • WAN Wide Area Network
  • the communication device 102 is a communication device that actually exists (a host device, a computer, or a communication terminal), and holds a shared network resource 120 that can be used from the communication device connected to the network system 200.
  • the shared network resource 120 includes a plurality of real directories 121 and a plurality of real files 122.
  • the real directory 121 and the real file 122 are resources shared in the network (shared network resource 120), that is, shared network resources configured by existing directories and files. In FIG. 1, one real directory 121 and one real file 122 are shown, but the number of real directories 121 and real files 122 is not particularly limited.
  • the real directory 121 and the real file 122 are, for example, directories and files created on a computer disk, and a file system on an OS (Operating System) such as Windows (registered trademark) or Linux (registered trademark).
  • OS Operating System
  • Windows registered trademark
  • Linux registered trademark
  • the security device 101 generates a simulated shared network resource 110.
  • the simulated shared network resource 110 includes a plurality of simulated directories 111 and 112 and a plurality of simulated files 113 and 114.
  • the simulated directories 111 and 112 and the simulated files 113 and 114 are resources shared on a virtual network (virtual shared network resources), that is, virtual shared network resources configured with nonexistent directories and files.
  • the security device 101 generates the simulated shared network resource 110 by communicating using the same message as the communication device 102 responding to the resource list acquisition request for the shared network resource 120. More specifically, it is realized by utilizing a part of messages necessary for handling shared network resources.
  • the security device 101 performs various deceptions and makes it appear as if the simulated shared network resource 110 that does not actually exist, that is, the simulated directories 111 and 112 and the simulated files 113 and 114 exist.
  • the security device 101 can be configured by a real host that actually exists.
  • the security device 101 executes the security method according to the present embodiment by a network security program installed in the security device 101.
  • the security device 101 may be a dedicated computer or may be realized using a computer included as a host in the network system 200.
  • the security device 101 is not limited to a physically single device.
  • the security device 101 may be composed of a plurality of devices.
  • the security device 101 generates the simulated directories 111 and 112 and the simulated files 113 and 114 as frauds, thereby increasing the attack cost for the infected device 300 to steal important data. Since the security device 101 virtually generates the simulated directories 111 and 112 and the simulated files 113 and 114, the number of simulated directories and simulated files can be increased at a low cost. By creating a large number of simulated directories 111 and 112 and simulated files 113 and 114, it becomes easier to deceive an attacker. Note that the number of simulated directories 111 and 112 and simulated files 113 and 114 generated by the security device 101 is not particularly limited. The security device 101 can generate unlimited simulation directories 111 and 112 and simulation files 113 and 114. Since the security device 101 generates more simulations, the attack cost can be further increased.
  • the simulated directories 111 and 112 and simulated files 113 and 114 generated by the security device 101 may be configured to exist on the same network resource, or may be configured to exist on different network resources.
  • the simulated directories 111 and 112 and the simulated files 113 and 114 may be configured such that the simulated directory 111 and the simulated file 113 exist in the host A, and the simulated directory 112 and the simulated file 114 exist in the host B, for example. Good.
  • the simulation directories 111 and 112 and the simulation files 113 and 114 are, for example, ⁇ host-A ⁇ doc ⁇ directory111, ⁇ host-A ⁇ doc ⁇ file113.txt, and ⁇ host-B ⁇ doc ⁇ , respectively. It appears to exist as directory112, ⁇ host-B ⁇ doc ⁇ file114.txt.
  • the security system 100 prevents unauthorized intrusion from the infected apparatus 300.
  • the infected device 300 is, for example, a communication device (host) infected with malware.
  • the infecting device 300 attempts to intrude into the network system 200 by remote control from the outside.
  • the infected device 300 tries to steal important data such as the real directory 121 and the real file 122 from the shared network resource 120 deployed on the communication device 102 included in the network system 200, for example.
  • the intrusion device that attempts unauthorized intrusion into the network system 200 is not limited to the infection device 300 infected with malware.
  • the intruder device may be an external communication device connected via an external network such as the Internet.
  • the security device 101, the infection device 300, and the communication device 102 are communicably connected via the network system 200. Note that the security device 101 or the communication device 102 may be connected to the network system 200 via a firewall.
  • FIG. 2 is a block diagram schematically showing the configuration of the security device 101.
  • the security device 101 includes a packet receiving unit 11, a packet delivery unit 12, a broadcast packet processing unit 13, a unicast packet processing unit 14, a request determination unit 15, a simulated host management unit 16, a unique information storage unit 17, and a simulated host unique information storage. 17A, simulated resource specific information storage unit 17B, simulated host activation management unit 18, simulated resource management unit 19, simulated resource operation management unit 20, simulated response generation unit 21, simulated response template storage unit 22, simulated response transmission control unit 23
  • the simulated response transmission queue 24 and the simulated response transmission unit 25 are provided.
  • processing of each unit will be described.
  • the packet receiving unit 11 receives a packet flowing through the network system 200.
  • the packet receiver 11 receives the packet when the destination address of the packet is a predetermined address.
  • the packet receiving unit 11 receives a packet from the infected apparatus 300 that attempts an unauthorized intrusion.
  • the packet delivery unit 12 determines the type of the received packet received by the packet receiving unit 11. Specifically, the packet delivery unit 12 determines whether the packet is a broadcast packet or a unicast packet. The packet delivery unit 12 delivers the broadcast packet to the broadcast packet processing unit 13 and delivers the unipacket to the unicast packet processing unit 14. Further, the packet delivery unit 12 refers to the unique information storage unit 17 and identifies whether the transmission destination address is included in the address of the host that pretends that the simulated shared network resource 110 is deployed.
  • a unicast packet is a packet for specifying a single address and performing one-to-one data communication.
  • the broadcast packet is a packet for specifying a broadcast address and performing one-to-unspecified many data communication.
  • the transmission destinations of the broadcast packet received by the packet receiving unit 11 include all of the communication hosts 102 and the simulated hosts on which the simulated shared network resources that the security device 101 virtually appears. In that case, the message included in the broadcast packet targets all the simulated hosts.
  • the infected device 300 attempts to acquire information related to the communication device 102 on the network system 200 by transmitting a broadcast packet, for example.
  • the packet delivery unit 12 may determine whether the packet received by the packet receiving unit 11 is a broadcast packet, a unicast packet, or a multicast packet. For example, when receiving a multicast packet, the packet delivery unit 12 may deliver the multicast packet to the broadcast packet processing unit 13. Then, the broadcast packet processing unit 13 may process the multicast packet. Furthermore, the security device 101 may include a multicast packet processing unit.
  • a multicast packet is a packet for performing one-to-multiple data communication.
  • the infected device 300 transmits a broadcast packet including a search message such as a search for a communication device (host) or a search for network resources as a broadcast search request (see FIG. 1).
  • the search request message is a NetBIOS (Network Basic Input Output System) Name Service (NBNS) message.
  • NBNS NetBIOS
  • the simulated host on which the shared network resource virtually generated by the communication device 102 or the security device 101 is deployed transmits a response to the search request to the infected device 300 as a unicast search response.
  • the infected apparatus 300 transmits a unicast negotiation request to a specific host.
  • the message of this request is SMB (Server Message Block).
  • the simulated host managed by the security device 101 or the communication device 102 transmits a unicast negotiation response to the infected device 300.
  • the infected device 300 transmits a unicast negotiation request in response to a response to the previous broadcast search request.
  • a unicast negotiation is shown, but there are cases where it is performed only for the host.
  • unicast negotiation is sequentially performed for all six requests.
  • a plurality of sequences may be performed for one host. In this case, the plurality of sequences are performed for the host.
  • the infected device 300 tries to share a file with the host device. Specifically, the infection apparatus 300 tries to share a file by SMB (Server Message Block). In this way, the infected device 300 tries to steal data.
  • SMB Server Message Block
  • the broadcast packet processing unit 13 passes the received broadcast packet as it is to the simulated host management unit 16.
  • the unicast packet processing unit 14 determines whether the unicast packet is a TCP (Transmission Control Protocol) packet or a UDP (User Datagram Protocol) packet. In the case of a TCP packet, the unicast packet processing unit 14 performs 3 way handshake and passes the payload to the search request determination unit 15. On the other hand, in the case of a UDP packet, the unicast packet processing unit 14 passes the UDP packet as it is to the simulated host management unit 16.
  • TCP Transmission Control Protocol
  • UDP User Datagram Protocol
  • the request determination unit 15 determines whether or not a search request is included in the received packet (received packet). For example, the request determination unit 15 includes a search message for searching for a communication device (host device), a search for a network service, or the like, or a message for acquiring information details such as session negotiation. Determine whether or not. The search request determination unit 15 determines whether a message belonging to the search is included in the payload of the TCP packet.
  • the request determination unit 15 determines that there is a search request when a message belonging to the search is included in the received packet. Then, the request determination unit 15 passes the message belonging to the search to the simulated host management unit 16 as a search request. In this way, the request determination unit 15 determines whether the message included in the received packet is a search message (search request) in response to the search request. Then, the request determination unit 15 passes only predetermined messages, and does not pass other request messages. For example, the request determination unit 15 passes the request message through the file list, but does not pass the message requesting file sharing. Since the request determination unit 15 has such a determination function and a filtering function, leakage of important data can be prevented.
  • the request determination unit 15 determines, for example, whether there is a search request using a white list. That is, the request determination unit 15 allows only the message registered in the list in advance to pass through the simulated host management unit 16 as a search request. In this way, malicious attacks can be filtered and security can be increased.
  • the white list can be set in combination with various unique information of the simulated host.
  • the reach of the sequence that succeeds for each simulated host changes. Therefore, deception that is easier to deceive can be set.
  • the simulated host management unit 16 manages the simulated host to be simulated based on the activation information from the simulated host activation management unit 18. That is, the simulated host management unit 16 determines whether the simulated host makes a simulated response. For example, when there is a request for a running simulation host, the simulation host management unit 16 determines to make a response. On the other hand, for the suspended simulated host, the simulated host management unit 16 determines not to perform a simulated response. In the following description, an example in which the simulated host A is activated will be described.
  • the simulated host management unit 16 determines whether to make a response according to the search request by referring to the specific information storage unit 17. For example, the simulated host management unit 16 specifies a simulated host that makes a response based on the transmission destination address included in the received packet. That is, the simulated host management unit 16 determines that a simulated host having an address that matches the destination address included in the received packet responds. When the broadcast packet is received, the simulated host management unit 16 determines that all the activated simulated hosts respond.
  • the simulated host management unit 16 determines that the simulated host that is the target of the search request performs a simulated response.
  • the simulated host management unit 16 determines whether the simulated host is a search request target by referring to the transmission destination address of the packet.
  • the simulated host management unit 16 determines whether or not the simulated host responds based on the comparison result between the transmission destination address and the specific information and the determination result by the request determination unit 15.
  • the simulated host management unit 16 determines whether or not a response is required for each activated simulated host.
  • the simulated host management unit 16 determines that a simulated response is made as if the simulated host exists when the active simulated host receives a search request. On the other hand, if the simulated host management unit 16 is not a running simulated host, if a search request is not included in the packet, or if it is not a simulated host that is the target of the search request, the simulated host management unit 16 determines not to perform a simulated response . The simulated host management unit 16 stops the response of the simulated host for the stopped simulated host. Further, the simulated host management unit 16 does not perform a simulated response when the search request is not received even if the simulated host is active. The simulated host management unit 16 determines that a response is required for all of the activated simulated hosts that are targets of the search request.
  • an external request to the simulated host activation management unit 18 can be realized by a setting file, API (Application Programming Interface), IF (Interface), or the like.
  • the setting file is, for example, preset schedule data. For example, the start time and stop time are set for each simulated host.
  • the security device 101 may store a setting file.
  • the simulation host is activated so as to start the simulation host when the power is turned off and stop the simulation host when the power is turned on in accordance with the power on and off timing of the communication apparatus.
  • the activation management unit 18 may manage the activation of the simulated host.
  • the simulated host activation management unit 18 In this case, when the communication apparatus is powered on, the simulated host activation management unit 18 stops the activation of the simulated host. On the other hand, when the power of the communication device is OFF, the simulated host activation management unit 18 activates the simulated host.
  • the simulated host activation management unit 18 instructs the activation of the simulated host.
  • the simulated host activation management unit 18 instructs to stop the simulated host.
  • the simulation host activation management unit 18 stops the simulation host by using the power ON of the communication device as a trigger.
  • the simulated host activation management unit 18 activates the simulated host using the power-off of the communication device as a trigger. Even in a situation where the communication device is disconnected from the network system 200, the network system 200 has a simulated host. By doing in this way, it is possible to set a deception that makes it easier for an attacker to deceive. From the infected device 300, it looks as if a communication device exists.
  • the simulated host activation management unit 18 may manage the activation of the simulated host depending on whether the communication device is activated.
  • the unique information accumulation unit 17 includes a simulated host unique information accumulation unit 17A that stores information related to the simulated host, and a simulated resource unique information accumulation unit 17B that stores information related to the simulated resource.
  • the simulated host unique information storage unit 17A stores unique information of a plurality of virtual simulated hosts.
  • the unique information is information necessary for the simulated host to be simulated, and is set for each simulated host.
  • the simulated host activation management unit 18 manages the activation of the simulated host based on the unique information.
  • the simulated host management unit 16 manages the simulated host based on the unique information.
  • the simulated host management unit 16 and the simulated host activation management unit 18 are as described above.
  • Specific information includes, for example, a computer name (or NetBIOS name), an IP address, a MAC address, a domain name, OS information (for example, an OS name and an OS version), a group name, a network management name, and the like.
  • the above information is exemplary. Accordingly, the unique information may include information other than the above, and may not include some of the above information.
  • the simulated host unique information storage unit 17A stores, for example, unique information of a plurality of simulated hosts as a table. Further, the simulated host unique information storage unit 17A may store the network distance of the simulated host for each simulated host. The simulated host unique information storage unit 17A stores unique information equivalent to the network management information of the communication device as unique information of the simulated host.
  • a simulated host having the same management information as the information possessed by the communication device may be registered in the simulated host unique information storage unit 17A.
  • the simulated host unique information storage unit 17A matches, for example, the computer name (or NetBIOS name), IP address, MAC address, OS information, domain name, group name, network management name, etc. of the communication device as the unique information of the simulated host. Stores unique information. By doing so, it is possible to make it appear as if the communication device exists even when the communication device is stopped.
  • a simulated host that is completely unrelated to the communication device may be registered in the simulated host unique information storage unit 17A.
  • the simulated host activation management unit 18 manages, for each simulated host, whether the simulated host should be activated or not by referring to the simulated host unique information storage unit 17A. That is, the simulated host activation management unit 18 manages whether to activate the simulated host based on the unique information of the simulated host stored in the simulated host unique information storage unit 17A. The simulated host activation management unit 18 determines whether to activate or stop each of the simulated hosts included in the simulated host unique information storage unit 17A.
  • the simulated host activation management unit 18 manages the activation of the simulated host with an external request as a trigger. Specifically, upon receiving a simulated host ON request (activation request), the simulated host activation management unit 18 activates the simulated host. Upon receiving the simulated host OFF request (stop request), the simulated host activation management unit 18 stops the activation of the simulated host. The simulated host activation management unit 18 then outputs activation information indicating whether or not each simulated host is activated to the simulated host management unit 16.
  • the simulated host activation management unit 18 independently manages activation of a plurality of simulated hosts included in the simulated host unique information storage unit 17A. The simulated host activation management unit 18 can dynamically change the activated simulated host.
  • the simulated resource management unit 19 manages simulated resources based on the operation information from the simulated resource operation management unit 20. That is, the simulated resource management unit 19 determines whether to perform a simulated response to the requested simulated resource. For example, when there is a request for a running simulated resource, the simulated resource management unit 19 determines to make a response. On the other hand, the simulated resource management unit 19 determines that the simulated response is not performed for the stopped simulated resource.
  • the simulated resource management unit 19 determines whether to make a response according to the resource list request by referring to the specific information storage unit 17. For example, the simulated resource management unit 19 determines a simulated resource that makes a response based on a target network resource included in the request message. That is, the simulated resource management unit 19 determines to make a response regarding the simulated resource having a resource that matches the resource included in the request message. When the resource list request is received, the simulated resource management unit 19 determines to make a response based on the information on all the simulated directories included in the network resource and the list information on the simulated files.
  • the simulated resource management unit 19 determines that the simulated resource that is the target of the resource list request performs a simulated response.
  • the simulated resource management unit 19 refers to the target resource of the request message and determines whether the simulated resource is the target of the list request.
  • the simulated resource management unit 19 determines whether or not to make a response regarding the simulated resource based on the comparison result between the request target and the specific information and the determination result by the request determination unit 15.
  • the simulated resource management unit 19 determines whether or not a response is required for each active simulated resource.
  • the simulated resource management unit 19 determines that a simulated response is made as if the simulated resource exists. On the other hand, if the resource that received the list request is not an active simulated resource, the request message does not include a list request, or the resource that received the list request is not the target simulated resource The simulated resource management unit 19 determines not to perform a simulated response. The simulated resource management unit 19 stops the response of the simulated resource for the stopped simulated resource. Further, the simulated resource management unit 19 determines that a response is required for all of the operating simulated resources.
  • a request from the outside to the simulated resource operation management unit 20 can be realized by a setting file, an API (Application Programming Interface), an IF (Interface), or the like.
  • the setting file is, for example, preset schedule data. In such a configuration file, for example, an operation time and a stop time are set for each simulated resource.
  • the security device 101 may store a setting file.
  • the simulated resource operation management unit 20 may manage the operation of the simulated resource by following a request from a communication device existing in the network system 200. For example, the simulated resource operation management unit 20 operates the simulated resource with the operation off and stops the simulated resource with the operation on in accordance with the operation on and off timing of the shared network resource of the communication device. Operation may be managed.
  • the simulated resource operation management unit 20 will be described.
  • the same address and network resource information as the shared network resource of the communication device are registered as the simulated resource address and network resource information in the unique information storage unit 17.
  • information that can construct a simulated resource corresponding to the shared network resource of the communication device is stored in the simulated resource operation management unit 20 in advance or upon request.
  • a copy of information related to the shared network resource of the communication device is set as unique information of the simulated resource.
  • the simulated resource operation management unit 20 stops the operation of the simulated resource.
  • the simulated resource operation management unit 20 instructs the operation of the simulated resource.
  • the simulated resource operation management unit 20 instructs the operation stop of the simulated resource.
  • the simulated resource operation management unit 20 operates the simulated resource, triggered by the operation ON of the shared network resource on the communication device.
  • the simulated resource operation management unit 20 stops the simulated resource, triggered by the operation OFF of the shared network resource on the communication device.
  • the network system 200 Even in a situation where the communication device is disconnected from the network, the network system 200 has a simulated resource. By doing in this way, it becomes possible to set a deception that makes it easier for an attacker to deceive. From the infected device 300, it appears as if a simulated shared network resource exists. In this way, the simulated resource operation management unit 20 may manage the operation of the simulated resource according to whether or not the communication device is operating.
  • the simulated resource unique information storage unit 17B stores unique information of a plurality of virtual simulated shared network resources.
  • the unique information is information necessary for the network resource to be simulated, and is set for each simulated shared network resource.
  • the simulated resource operation management unit 20 manages the operation of the simulated shared network resource based on the unique information.
  • the simulated resource management unit 19 manages simulated resources based on the unique information. The simulated resource management unit 19 and the simulated resource operation management unit 20 will be described later.
  • the unique information includes information about directories and files virtually simulated.
  • the unique information includes a directory name, a file name, a directory / file type, a last access date, a last write date, and a change date.
  • the unique information includes information related to a virtually simulated file system.
  • the unique information includes, for example, a file system name (for example, NTFS (NT File System)), generation date / time, volume serial number, label name, and the like.
  • NTFS NT File System
  • the simulated resource unique information storage unit 17B stores, for example, unique information of a plurality of simulated resources as a table.
  • the simulated resource unique information storage unit 17B stores unique information equivalent to the shared network resource management information of the communication device as unique information of the simulated resource.
  • a simulated resource having the same specific information as the management information included in the shared network resource of the communication device may be registered in the simulated resource specific information storage unit 17B.
  • the management information of the shared network resource of the communication device includes, for example, the name of the directory or file in addition to the computer name (or NetBIOS name), IP address, MAC address, OS information, domain name, and network management name of the communication device. Directory tree structure, update date and time, etc. Simulated resources having unique information that matches these are registered in the simulated resource unique information storage unit 17B. By doing so, it is possible to make it appear as if the shared network resource exists even when the operation of the shared network resource on the communication device is stopped.
  • simulated resources that are completely unrelated to the shared network resource on the communication device may be registered in the simulated resource specific information storage unit 17B.
  • the simulated resource operation management unit 20 manages whether each simulated resource should be operated or not by referring to the simulated resource specific information storage unit 17B. That is, the simulated resource operation management unit 20 manages whether to operate the simulated resource based on the unique information of the simulated resource. The simulated resource operation management unit 20 determines whether or not to operate each of the simulated resources whose specific information is included in the simulated resource specific information storage unit 17B.
  • the simulated resource operation management unit 20 manages the operation of the simulated resource with an external request as a trigger. Specifically, when a simulated resource ON request (operation request) is received, the simulated resource operation management unit 20 operates the simulated resource. Upon receiving the simulated resource OFF request (stop request), the simulated resource operation management unit 20 stops the operation of the simulated resource. Then, the simulated resource operation management unit 20 outputs operation information indicating whether or not each simulated resource is operating to the simulated resource management unit 19.
  • the simulated resource operation management unit 20 independently manages the operation of a plurality of simulated resources including specific information in the simulated resource specific information storage unit 17B.
  • the simulated resource operation management unit 20 can dynamically change the operating simulated resource.
  • the simulated response template storage unit 22 stores a simulated response template for a search request.
  • the simulated response template storage unit 22 holds the message format by hard coding.
  • the simulated response template storage unit 22 stores the message format of the simulated response text.
  • the simulated response template storage unit 22 stores templates for each request or for each protocol.
  • the simulated response template storage unit 22 stores a message response sentence corresponding to the requested service as a template.
  • the simulated response template storage unit 22 stores a plurality of templates.
  • the simulated response template storage unit 22 stores a simulated response message template corresponding to the resource list request.
  • the simulated response template storage unit 22 holds the message format by hard coding.
  • the simulated response template storage unit 22 stores the message format of the response sentence.
  • the simulated response template storage unit 22 stores a template for each resource list request or protocol.
  • the simulated response template storage unit 22 stores a message response sentence corresponding to the list request as a template.
  • the simulated response template storage unit 22 stores a plurality of templates.
  • the simulated response generation unit 21 creates a simulated response in response to a request from the simulated host management unit 16 and a request from the simulated resource management unit 19.
  • the simulated response generation unit 21 When it is determined that the simulated host management unit 16 responds, the simulated response generation unit 21 generates a simulated response in response to a request to the simulated host. At that time, the simulated response generation unit 21 generates a simulated response using the template stored in the simulated response template storage unit 22. As a result, the simulated response generation unit 21 can create an appropriate simulated response message in response to the request.
  • the simulated response generation unit 21 acquires the specific information of the simulated host to be responded and the specific information of the simulated resource from the specific information storage unit 17. Then, the simulated response generation unit 21 generates a simulated response message by combining the acquired unique information and the response message format.
  • the simulated response generation unit 21 includes a simulated response message including addresses and OS information included in the unique information, information about directories and files that are virtually simulated, and information about file systems that are virtually simulated. Is generated.
  • Information about the directory and file includes, for example, a directory name, a file name, a directory type, a file type, a last access date, a last write date, a change date, and the like.
  • the information about the file system is, for example, NTFS, generation date / time, volume serial number, and label name as the file system name.
  • the simulated response template storage unit 22 stores templates corresponding to services provided by the simulated host and simulated resources. Furthermore, when a plurality of simulated hosts and simulated resources can use the same service, the simulated response generation unit 21 generates a simulated response message for the resource list request using a common template. Furthermore, the simulated response template storage unit 22 may store a response template for each message included in the white list of the request determination unit 15. The more types of templates, the more types of requests that can be handled. In addition, the messages included in the white list do not necessarily have to be associated with the templates stored in the simulated response template storage unit 22 on a one-to-one basis. For example, a message set in the white list may be associated with a part of any template. The simulated response generation unit 21 may generate a simulated response message for a message set in the white list by using a part of the template associated with the message.
  • the simulated response transmission queue 24 queues the simulated response message created by the simulated response generation unit 21.
  • the simulated response transmission unit 25 transmits the simulated response message queued in the simulated response transmission queue 24 to the infection apparatus 300 as a simulated response.
  • the simulated response transmission unit 25 transmits a simulated response using a packet whose destination address is the address of the infected device 300.
  • the simulated response message stored in the simulated response transmission queue 24 is transmitted to the network system 200 via the simulated response transmission unit 25 according to an instruction from the simulated response transmission control unit 23. That is, the simulated response transmission unit 25 controls the transmission timing at which the simulated response transmission unit 25 transmits the simulated response.
  • the simulated response transmission unit 25 transmits a simulated response message to the infection apparatus 300 via the network system 200 at a timing according to an instruction from the simulated response transmission control unit 23.
  • the simulated response transmission control unit 23 controls the transmission timing of the simulated responses stored in the simulated response transmission queue 24.
  • the simulated response transmission control unit 23 controls, for example, the simulated response transmission unit 25 to transmit the simulated response messages in the queue order.
  • the simulated response transmission control unit 23 may control the simulated response transmission unit 25 to transmit a simulated response message at random.
  • the simulated response transmission control unit 23 may control the simulated response transmission unit 25 to transmit a simulated response message according to a predetermined pattern. The order in which the simulated responses are transmitted can be changed by the control of the simulated response transmission control unit 23.
  • the simulated response transmission control unit 23 may control the simulated response transmission unit 25 to transmit a simulated response message after waiting for a predetermined time based on a preset delay time.
  • the simulated response transmission control unit 23 transmits the simulated response in the simulated response transmission queue 24 to the network system 200 based on an instruction from the simulated response transmission control unit 23.
  • the simulated response generation unit 21 when a broadcast message for a search request is received, the simulated response generation unit 21 generates a simulated response message for the active simulated host. Then, the simulated response transmission queue 24 queues the simulated response messages in the order of the unique information of the simulated host accumulated in the unique information storage unit 17, for example. For example, when it appears that four simulated hosts are operating, the simulated response transmission queue 24 queues the simulated response messages in the order of the four simulated hosts. Then, the simulated response transmission unit 25 transmits the simulated response message in the queue order. Alternatively, the simulated response transmission unit 25 may transmit the simulated response messages in a random order.
  • the simulated response transmission unit 25 may transmit a simulated response message according to the response timing.
  • the simulated response transmission unit 25 may transmit the simulated response message in the order and timing according to a preset schedule.
  • the simulated response transmission control unit 23 may set a timer value based on the time that has elapsed since the simulated response message was transmitted.
  • the timer value may be a value that represents the time that has elapsed since the simulated response message was transmitted.
  • the simulated response transmission control unit 23 counts the transmission amount of the simulated response message, and controls the transmission amount of the simulated response message based on the counted transmission amount value (count value) in addition to the transmission timing of the simulated response message. May be.
  • the simulated response transmission control unit 23 sets the timer value based on the count value so that the timer value increases as the count value increases.
  • the simulated response transmission control unit 23 may set the count value as a timer value.
  • the simulated response generation unit 21 can cause the infected apparatus 300 to continue the file enumeration request endlessly by returning a response indicating that there is information when responding to the directory and file enumeration request for the simulated resource.
  • the simulated response transmission control unit 23 determines whether the simulated response generation unit 21 continues the response or stops based on the timer value. For example, when the timer value is greater than a predetermined timer threshold, the simulated response transmission control unit 23 determines to stop the response. For example, when the timer value is not larger than a predetermined timer threshold value, the simulated response transmission control unit 23 determines to continue the response.
  • the simulated response transmission control unit 23 causes the infected device 300 to continue the file enumeration request by causing the simulated response generation unit 21 to continue the response.
  • the simulated response transmission control unit 23 causes the infected device 300 to complete file listing by causing the simulated response generation unit 21 to stop the response.
  • the simulated response transmission control unit 23 causes the simulated response generation unit 21 to always return a response indicating that there is information.
  • the simulated response generation unit 21 for example, in the response to the first file enumeration request, includes the flag End Of File (“request end flag” in the description of the present embodiment). For example, an invalid value (for example, 0) indicating that the flag is invalid.
  • the simulated response generation unit 21 continues to set the flag End Of File to an invalid value in subsequent responses. If the value of the flag End Of File included in the response is an invalid value, the infected apparatus 300 continues the file enumeration request.
  • the simulated response generation unit 21 sets the flag End Of File to a valid value (for example, 1) indicating that the flag is valid, for example. If the value of the flag End Of File is a valid value, the infected apparatus 300 stops the file enumeration request.
  • the simulated response transmission control unit 23 sets the transmission timing so that the interval at which the simulated response message is transmitted is shortened and keeps the infected device 300 continuing the file enumeration request, thereby causing the infected device 300 to perform a large amount of transmission. It is possible to continue sending information. In addition, by continuing the file enumeration request while maximizing the transmission timing of the mock response message within an interval that does not cause a timeout, the processing can be continued indefinitely even though the amount of information per hour is small. It becomes possible.
  • the simulated response generation unit 21 when the SMB negotiate protocol request message is received, if it is determined that the request is for an operating simulated resource, the simulated response generation unit 21 generates a simulated response message based on the operating simulated resource. Then, the simulated response generation unit 21 queues a simulated response message based on the simulated resource stored in the unique information storage unit 17. The simulated response transmission unit 25 transmits the simulated response message in the queue.
  • the simulated response transmission control unit 23 controls the timing of the simulated response performed by the simulated response transmission unit 25 for each simulated host.
  • the response timing may be set according to the network distance for each simulated host stored in the unique information storage unit 17. In this case, the simulated response transmission control unit 23 delays the response timing for the simulated host having a long network distance. For the simulated host having a short network distance, the simulated response transmission control unit 23 advances the response timing.
  • the simulated response transmission control unit 23 may set a delay time according to the network distance of the simulated host with reference to the unique information storage unit 17. In this manner, the simulated response transmission control unit 23 controls the transmission timing of the simulated response message, so that it appears to the infected apparatus 300 as if each simulated host actually exists. That is, it is possible to set a deception that makes it easier for an attacker to deceive.
  • the simulated response transmission unit 25 transmits the simulated response message queued in the simulated response transmission queue 24 to the network system 200.
  • 3a and 3b are sequence diagrams showing a communication sequence for making a list request to the simulated resource according to the present embodiment.
  • the infection apparatus 300 is infected with malware, for example.
  • the attacker is in a state where the infected device 300 can be operated.
  • the attacker searches for a communication device connected to the network system 200 using a program included in the infected device 300.
  • a communication apparatus is discovered by using a Netview command or a findsmb command. More specifically, the attacker uses the Netview command to discover shared network resources.
  • the attacker finds that the shared name (doc) of the virtual network resource simulated by the security device 101 is shared by the simulated host ( ⁇ host-101).
  • the path to the simulated resource at this time is ( ⁇ host-101 ⁇ doc).
  • the attacker operates the infected apparatus 300 without being aware of the simulated resources, and executes a command for requesting the file list to the infected apparatus 300.
  • a dir command included in the Windows OS may be used.
  • FindFirst () published as Windows API may be called.
  • the infected apparatus 300 transmits a file list request (for example, a NetBIOS message) (step S1).
  • the request determination unit 15 of the security device 101 checks the type of the NetBIOS message transmitted from the infected device 300 to check whether the message is a message intended for the simulated host (step S2).
  • the simulated host management unit 16 checks whether the simulated host targeted by the message is an operating simulated host. (Step S3). If the simulated host targeted by the message is not an operating simulated host, the simulated host management unit 16 discards the message. If the simulated host targeted by the message is an active simulated host, the process proceeds to the next process.
  • the simulated resource management unit 19 checks whether the resource requested by the message is an operating simulated resource (step S4). If the resource requested by the message is not operating, the simulated resource management unit 19 discards the message. If the resource requested by the message is a running simulated resource, the simulated response generation unit 21 generates a simulated response message in response to the message (step S5). The simulated response generation unit 21 transmits the purified simulated response message to the infection apparatus 300 via the simulated response transmission unit 25. As a result, the infected apparatus 300 receives the response to the NetBIOS message, thereby confirming that it exists.
  • the infected device 300 starts an SMB session (step S6).
  • the simulated resource management unit 19 acquires information necessary to make the simulated resource appear as an actual resource from the simulated resource specific information storage unit 17B by referring to the simulated resource specific information storage unit 17B.
  • the simulated response generation unit 21 generates a simulated response message using the read necessary information.
  • the simulated response generation unit 21 responds with the generated simulated response message (step S8).
  • the security device 101 performs the same processing in the subsequent SMB message processing, though not explicitly shown.
  • the characteristic part of the operation by the simulated response generation unit 21 will be mainly described.
  • the simulated response generation unit 21 sets a time stamp and a file attribute as shown in FIG. 4A in the SMB Trans2 Response message (M1).
  • the simulated response generation unit 21 sets a flag indicating a directory in File Attributes.
  • the simulated response generation unit 21 sets the time stamp to a value that does not point to the future (that is, a date and time that is not in the future). For example, a newly updated shared folder is attractive to attackers. By setting the date and time as close as possible to the time stamp, the simulated resource can be shown as attractive information for the attacker.
  • the simulated response generation unit 21 may use any setting method such as a method of setting the time stamp based on a preset date and time, or a method of selecting at random.
  • the simulated response generation unit 21 sets the End of File flag to 0, which is a value indicating that it is not the end of the file, as shown in FIG. 4B. By setting this flag to 0, the infected apparatus 300 that has received the message M2 determines that directory and file information still exists, and continues the request.
  • the simulated response generation unit 21 sets the file system attribute (FS Attribute) to, for example, the value of the file system attribute acquired from actual Windows host communication, as shown in FIG. 4C. . Further, the simulated response generation unit 21 sets FS Name to NTFS.
  • the value set in FS Attribute is not limited to the value described here, and an assumed value that is normally used may be used.
  • the simulated response generation unit 21 sets the value of Label in the SMB Trans2 Response message (M4) as shown in FIG. 4D.
  • This Label corresponds to a shared name when creating a shared folder.
  • the simulated response generation unit 21 sets the values of Search Count and End Of Search in the FIND_FIRST2 parameter, as shown in FIG. 4E, in the SMB Trans2 Response message (M5).
  • the simulated response generation unit 21 sets the number of Search Counts to a number that matches the total number of directories and files stored in the subsequent data area. Directories and files stored in the data area correspond to simulated directories and simulated files generated by the security device 101.
  • the information stored in the data area is information acquired from the simulated resource specific information storage unit 17B. Further, the simulated response generation unit 21 sets the End Of Search flag to 0.
  • the infecting device 300 as the inquiry source determines that at least one of the simulated directory and the simulated file still exists on the simulated resource being accessed. And such an infection apparatus 300 has high possibility of acquiring the information regarding a simulation resource. That is, unless this flag is set to 1, the infecting apparatus 300 that is the inquiry source may continue to make an inquiry. Conversely, when terminating the inquiry, the simulated response generation unit 21 sets this flag to 1, for example. By setting this flag to 1, the infected apparatus 300 may end the directory and file list acquisition processing.
  • the infection apparatus 300 When receiving the message (M5) in which the End Of Search flag is set to 0, the infection apparatus 300 further requests a list of simulated directories or simulated files that have not been acquired. Specifically, the infection apparatus 300 transmits an SMB Trans2 Request (FIND_NEXT2) message (M6) in order to further request a list of simulated directories or simulated files. As long as the End Of Search flag is not set to 1, the security device 101 and the infection device 300 continue to exchange this message (after M7).
  • FIND_NEXT2 SMB Trans2 Request
  • the present embodiment described above has the first effect that security can be improved.
  • the simulated response transmission control unit 23 sets a request end flag indicating the presence or absence of a simulated response that is not transmitted by the simulated response generated by the simulated response generation unit 21 in response to a request from the infected device 300 to the simulated resource. This is because the control is performed based on the timer value. Infecting device 300 When intrusion is attempted based on the request end flag, infecting device 300 repeats the request while the request end flag indicates that there is a simulated response that has not been transmitted. As a result, the operation of entering the infection apparatus 300 is hindered. Therefore, security can be improved.
  • a honey token is information in any format, but it is fake information that is not confidential and is not used for purposes in which the information in that format is originally used. Therefore, even if a honey token deployed in a network of an organization is acquired by a cyber attacker who has entered the network, there should be no impact on the organization. However, if it is difficult to determine whether the information leaked by the attacker is real or fake information, the reputation of the real information leaked out will lead to a decline in the brand power of the organization. There are concerns. However, in this embodiment, there is no entity of electronic information configured as a honey token by fake information, and only meta information of electronic information exists as a honey token. Even if an attacker obtains a honey token, only this meta information is passed to the attacker. Therefore, it is possible to use a virtual honey token with higher security.
  • the information passed to the attacker is only meta information such as directory and file generation date, type, name, and size. Limited. Electronic information including the contents of directory and file information is not passed to the attacker. This is because the entity of electronic information does not exist in the first place.
  • the attacker obtained a list of simulated directories and files that seem to exist in front of him.
  • the attacker can waste useless time. In this way, it is possible to set a deception that makes it easier for an attacker to deceive. And the attack cost can be increased. Therefore, security can be improved.
  • the simulation resource unique information storage unit 17B stores a large amount of simulation resource specific information and the simulation resource operation management unit 20 is set to operate the huge amount of simulation resource, the attacker This huge amount of simulated resources can continue to be sent. For example, if the simulated resource is set to appear as if 10 million directories and files exist, the attacker will be 10 million unless the attacker stops receiving information halfway. Continue to receive endless directories and files. For example, information on 10 million directories and files can be continuously sent for a long time (for example, one week).
  • the infected device 300 stores the received information in the in-memory
  • the memory usage continues to increase.
  • the memory usage of the infected device 300 exceeds the allowable memory usage
  • the memory shortage affects the operation of the infected device 300.
  • an illegal termination of the program for example, an illegal termination of the program, an unstable operation of the program, a state where the performance of the program is not sufficiently exhibited, and an increase in the amount of CPU used can be considered.
  • RAT Remote Administration Tool
  • information received by the infecting device 300 is connected to the outside of the network system 200 by the RAT and the device that operates the program that communicates with the RAT operates. Sent.
  • the infection apparatus 300 continues to transmit the received information to the apparatus on which the program that communicates with the RAT operates.
  • the infection apparatus 300 continues to transmit the received information to the apparatus on which the program that communicates with the RAT operates.
  • an adverse effect similar to that described above occurs in an apparatus in which a program that communicates with the RAT operates.
  • the infected device 300 When the infected device 300 writes the received information in a file instead of in-memory, the file in which the received information is written becomes enormous by continuing to receive a large amount of information.
  • the infecting apparatus 300 a huge file of, for example, several gigabytes is generated or the hard disk area to be held is pressed regardless of the attacker's intention. If an attacker finds an attack early by a defender, the cost that the attacker has spent for the attack is wasted. The attacker intends to build a long-lived attack base in which the attack is not discovered by defenders. For this reason, the attack is controlled so as to operate as secretly as possible without passing through the detection mechanism as much as possible or detecting that it is operating on the analysis system. According to the present embodiment, an effect is expected as a mechanism for inducing a flashy movement against an attack that is controlled so as to be inconspicuous.
  • the security device 101 appears to have a plurality of simulated directories, a plurality of simulated files, and these expanded regardless of whether the communication device that is the source of the message is a malicious attacker. Create a simulated host. Therefore, it is not necessary to detect whether the attacker is malicious. Therefore, security against a clever attack concealing malicious intent can be improved.
  • the names of the simulated directory and simulated file need only be set based on names and naming rules often used in organizations where the security device 101 is used. As a result, it is possible to make it appear that the information is more attractive to the attacker, so that higher security can be realized.
  • the simulated host specific information storage unit 17A and the simulated resource specific information storage unit 17B store necessary information in advance.
  • the security device 101 updates the setting values stored in the simulated host specific information storage unit 17A and the simulated resource specific information storage unit 17B (not shown) in response to an external input (not shown). ) May be provided. Thereby, flexible system operation is possible.
  • the simulated network resource generated by the security device 101 is seen as an external network resource when viewed from the infected device 300.
  • a symbolic link to such a simulated network resource may be generated in the infection apparatus 300.
  • the simulated resource specific information storage unit 17B has specific information of a plurality of simulated resources.
  • the simulated resource operation management unit 20 manages the operation states of a plurality of simulated hosts based on the unique information.
  • the simulated resource management unit 19 determines whether or not a plurality of simulated resources operated by the simulated resource operation management unit 20 responds based on the request included in the received message.
  • the simulated response generator 21 generates a simulated response for each simulated resource, and the simulated response transmitter 25 transmits the simulated response. This makes it possible to make the simulated network resource appear to exist. That is, the illusion of the virtual simulated shared network resource 110 having a plurality of simulated resources can be shown to the infected device 300.
  • FIG. 5 is a block diagram showing an example of the configuration of the security system 100A of the present embodiment.
  • the security system 100A of the present embodiment includes a packet receiving unit 11, a simulated resource specific information storage unit 17B, a simulated response generation unit 21, a simulated response transmission control unit 23, a simulated response transmission unit 25, .
  • the packet receiving unit 11 receives a request from the intrusion device 300 attempting to enter.
  • the simulated resource unique information accumulation unit 17B stores unique information of a plurality of virtual simulated resources.
  • the simulated response generation unit 21 generates a simulated response based on the specific information in response to the request to the simulated resource.
  • the simulated response transmission control unit 23 controls a request end flag indicating the presence / absence of the simulated resource that has not been transmitted based on a timer value.
  • the simulated response transmission unit 25 determines the simulated response based on the request end flag. Is transmitted to the intrusion device.
  • the security system 100A can be realized by a single device including the above-described units.
  • the present embodiment described above has the first effect of the first embodiment.
  • the reason is the same as the reason why the first effect of the first embodiment occurs.
  • Non-transitory computer readable media include various types of tangible regular media (tangible storage medium). Examples of non-transitory computer readable media are magnetic storage (eg flexible disk, magnetic tape, hard disk drive), magneto-optical storage medium (eg magneto-optical disk), CD-ROM (Read Only Memory), CD-R, CD-R / W, semiconductor memory (for example, mask ROM, PROM (Programmable ROM), EPROM (Erasable ROM), flash ROM, RAM (Random Access Memory)) are included.
  • the program may also be supplied to the computer by various types of temporary computer-readable media.
  • Examples of transitory computer readable media include electrical signals, optical signals, and electromagnetic waves.
  • the temporary computer-readable medium can supply the program to the computer via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.
  • the security system 100 and the security system 100A can be realized by a computer and a program for controlling the computer, dedicated hardware, or a combination of the computer and the program for controlling the computer and dedicated hardware, respectively. it can.
  • FIG. 6 is a diagram illustrating an example of a hardware configuration of a computer 1000 capable of realizing the security device 101 according to the first embodiment of the present invention and the security system 100A according to the second embodiment.
  • a computer 1000 includes a processor 1001, a memory 1002, a storage device 1003, and an I / O (Input / Output) interface 1004.
  • the computer 1000 can access the recording medium 1005.
  • the memory 1002 and the storage device 1003 are storage devices such as a RAM (Random Access Memory) and a hard disk, for example.
  • the recording medium 1005 is, for example, a storage device such as a RAM or a hard disk, a ROM (Read Only Memory), or a portable recording medium.
  • the storage device 1003 may be the recording medium 1005.
  • the processor 1001 can read and write data and programs from and to the memory 1002 and the storage device 1003.
  • the processor 1001 can access the network system 200 via the I / O interface 1004, for example.
  • the processor 1001 can access the recording medium 1005.
  • the recording medium 1005 stores a program that causes the computer 1000 to operate as the security system 100 or the security system 100A.
  • the processor 1001 loads, into the memory 1002, a program stored in the recording medium 1005 and causing the computer 1000 to operate as the security system 100 or the security system 100A. Then, when the processor 1001 executes the program loaded in the memory 1002, the computer 1000 operates as the security system 100 or the security system 100A.
  • Each unit included in the first group shown below includes, for example, a dedicated program that can be read from a recording medium 1005 that stores the program into the memory 1002 and that can realize the function of each unit, and a processor 1001 that executes the program. Can be realized.
  • the first group includes a packet receiving unit 11, a packet delivery unit 12, a broadcast packet processing unit 13, a unicast packet processing unit 14, and a request determination unit 15.
  • the first group further includes a simulated host management unit 16, a simulated host activation management unit 18, a simulated resource management unit 19, a simulated resource operation management unit 20, a simulated response generation unit 21, and a simulated response transmission control unit 23. And a simulated response transmission unit 25.
  • Each unit included in the second group described below can be realized by a memory 1002 included in the computer 1000 or a storage device 1003 such as a hard disk device.
  • the second group includes a simulated host specific information storage unit 17A, a simulated resource specific information storage unit 17B, a simulated response template storage unit 22, and a simulated response transmission queue 24.
  • the second group may include a specific information storage unit 17 including a simulated host specific information storage unit 17A and a simulated resource specific information storage unit 17B, a simulated response template storage unit 22, and a simulated response transmission queue 24.
  • part or all of the units included in the first group and the units included in the second group can be realized by a dedicated circuit that realizes the functions of these units.
  • a packet receiving means for receiving a request from an intrusion device attempting to intrude; Simulated resource unique information storage means for storing unique information of a plurality of virtual simulated resources; Simulated response generation means for generating a simulated response based on the specific information in response to the request to the simulated resource; Simulated response transmission control means for controlling a request end flag indicating the presence or absence of the simulated resource not transmitted by the simulated response based on a timer value; Simulated response transmission means for transmitting the simulated response to the intrusion device that transmits the request based on the request end flag; Security system with
  • the simulated response transmission control means determines the timer value based on the amount of the simulated response transmitted by the simulated response transmission means, If the timer value is not greater than a preset timer threshold, the request end flag is set to a value that is not the valid value; The security system according to claim 1, wherein when the timer value is greater than the timer threshold, the request end flag is set to the valid value.
  • the simulated response transmission control means determines the timer value based on an elapsed time from the time when the simulated response transmission means starts transmitting the simulated response, If the timer value is not greater than a preset timer threshold, the request end flag is set to a value that is not the valid value;
  • the security system according to claim 1, wherein when the timer value is greater than the timer threshold, the request end flag is set to the valid value.
  • the simulated response transmission control unit sets the timer value according to the amount of simulated response transmitted per time, and controls the transmission timing of the simulated response transmission unit based on the timer value.
  • the security system according to item 1.
  • the simulated response generation means generates the simulated response including the value of the request end flag,
  • the security system according to any one of appendices 1 to 5, wherein the simulated response transmission unit transmits the simulated response using a communication protocol that determines whether to continue processing based on the request end flag.
  • Appendix 7 The security system according to any one of appendices 1 to 6, wherein the communication protocol includes NetBIOS Name Service (NBNS) and SMB (Server Message Block).
  • NBNS NetBIOS Name Service
  • SMB Server Message Block
  • Appendix 8 Receive a request from an intruder attempting to break in, In response to the request to the simulated resource, generate a simulated response based on specific information of a plurality of virtual simulated resources, Control a request end flag indicating the presence or absence of the simulated resource that has not been transmitted based on the timer value, Transmitting the simulated response to the intrusion device that transmits the request based on the request end flag; Security method.
  • Appendix 11 The security method according to appendix 9 or 10, wherein the simulated response is continuously transmitted when the timer value is not greater than the timer threshold value.
  • Appendix 14 The security method according to any one of appendices 8 to 13, wherein the communication protocol includes NetBIOS Name Service (NBNS) and SMB (Server Message Block).
  • NBNS NetBIOS Name Service
  • SMB Server Message Block
  • a packet reception process for receiving a request from an intrusion device attempting an intrusion;
  • a simulated response generation process for generating a simulated response based on unique information of a plurality of virtual simulated resources in response to the request to the simulated resources;
  • a simulated response transmission control process for controlling a request end flag indicating the presence or absence of the simulated resource that has not been transmitted based on a timer value;
  • a simulated response transmission process for transmitting the simulated response to the intrusion device that transmits the request based on the request end flag;

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

セキュリティを向上させることができるセキュリティシステム等を提供する。　本発明の一態様に係るセキュリティシステムは、侵入を試みる侵入装置からの要求を受信するパケット受信手段と、複数の仮想的な模擬リソースの固有情報を格納する模擬リソース固有情報蓄積手段と、前記模擬リソースへの前記要求に応じて前記固有情報に基づき模擬応答を生成する模擬応答生成手段と、送信されていない前記模擬リソースの有無を表す要求終了フラグをタイマー値に基づき制御する模擬応答送信制御手段と、前記模擬応答を、前記要求終了フラグに基づいて前記要求を送信する前記侵入装置に送信する模擬応答送信手段と、を備える。

Description

セキュリティシステム、セキュリティ方法、及びプログラムを記憶する記録媒体
　本発明は、ネットワークのセキュリティ技術に関する。
　特許文献１には、ハニーポットの例として、不正アクセスを仮想おとりサーバへ誘導する不正侵入防止システムが記載されている。仮想おとりサーバには、ハードディスクのおとり領域が割り当てられる。おとり領域は、仮想正規サーバに割り当てられる正規領域と同じディレクトリ構造を持つ。おとり領域は、例えば、仮想正規サーバに割り当てられる正規領域のコピーによって作成される。特許文献１の不正侵入防止システムは、不正進入者によるアクセスを仮想おとりサーバに誘導する。
　ハニートークン（Honeytoken）は、ハニーポット（Honeypots）の一種であるが、コンピュータシステムではない種類のハニーポットに位置づけられる。ハニートークンは、本来は正常な利用では使用されない目的で生成された、偽の情報で構成された電子情報である。敢えて偽の情報で構成されたハニートークンを用いることにより、意図しない不正利用を検知する目的などで使われる。
　ハニートークンの例として、偽の電子メールアドレスがある。この偽の電子メールアドレスはメーリングリストが盗まれたかどうかを追跡するために使われる。また、他のハニートークンの例として、クレジットカード番号、オフィスドキュメント類、データベースエントリー、及び、ログインID（Identification）とパスワードとの組み合わせ、などが存在する。これらのハニートークンは、どれも、本来は使用されないことを前提としてサイバー空間に展開され、サイバー空間において不正な行動を行う攻撃者を捕まえるためなどに用いられる。
特開２００３－０３６２４３号公報
　ハニートークンは、本来、正当な理由で用いられることなく、かつ機密ではない偽の情報であるため、ある組織内で展開された場合、サイバー攻撃者によって組織内部へ侵入され、ハニートークンを取得されたとしても組織にとって本来影響はないはずである。しかし、攻撃者が取得した情報が本物の情報なのか偽の情報なのかの判断が困難である場合、本物の情報が流出したという評判が世に出ることになり、組織のブランド力が低下してしまう懸念がある。
　特許文献１の不正侵入防止システムでは、仮想おとりサーバに誘導された不正進入者は、ハードディスクのおとり領域にアクセスすることができる。すなわち、不正進入者は、おとり領域から情報を取得することができる。特許文献１の不正侵入防止システムでは、不正進入者によって取得された情報が本物の情報であるのか否かを判断することは、不正進入者にとって困難である。
　ネットワークを通じた不正侵入を防ぐことは困難であり、システムにマルウェアが感染しないようにするためには、セキュリティが高コストになってしまう。例えば、外部からの不正侵入（攻撃）を検知する毎に、削除または防御することを繰り返していると、防御コストが高くなってしまう。
　特に、サイバー空間における攻防では、攻撃者は、どこからでも攻撃が可能であるが、防御者はどこからくる攻撃に対しても防御しないといけない。また、攻撃者の失敗は許容されるが、防御者の失敗は許容されず、防御者はすべての攻撃を確実に防御しないといけない。攻撃者は、わずかなコストで防御ネットワークを洞察することができるが、防御者は、ネットワークセキュリティの維持と維持に膨大な費用がかかってしまう。さらに、攻撃者は、サイバー空間の技術的、組織的な恩恵を受けやすいが、防御者は革新による影響を受けやすい。
　上述のように、サイバーセキュリティの性質上、攻撃者が防御者に対して優位性をもっている。したがって、ネットワークセキュリティを向上するためには、攻撃コストを増加させることで、防御側のコスト優位性を高くすることが重要である。すなわち、攻撃者により多くの攻撃コストをかけさせた上で、被害を最小限に抑える縦深防御を実現することができれば、セキュリティを向上させることができる。
　例えば、システムがマルウェアに感染することを前提とした上で、攻撃による影響を最小限にすることが重要になる。ネットワーク上の知的財産などの重要データの流出は被害が大きい。そのため、不正侵入による重要データの流出を防ぐことが重要となる。
　本発明は、セキュリティを向上させることができるセキュリティシステム等を提供することを目的とする。
　本発明の一態様に係るセキュリティシステムは、侵入を試みる侵入装置からの要求を受信するパケット受信手段と、複数の仮想的な模擬リソースの固有情報を格納する模擬リソース固有情報蓄積手段と、前記模擬リソースへの前記要求に応じて前記固有情報に基づき模擬応答を生成する模擬応答生成手段と、送信されていない前記模擬リソースの有無を表す要求終了フラグをタイマー値に基づき制御する模擬応答送信制御手段と、前記模擬応答を、前記要求終了フラグに基づいて前記要求を送信する前記侵入装置に送信する模擬応答送信手段と、を備える。
　本発明の一態様に係るセキュリティ方法は、侵入を試みる侵入装置からの要求を受信し、前記模擬リソースへの前記要求に応じて複数の仮想的な模擬リソースの固有情報に基づき模擬応答を生成し、送信されていない前記模擬リソースの有無を表す要求終了フラグをタイマー値に基づき制御し、前記模擬応答を、前記要求終了フラグに基づいて前記要求を送信する前記侵入装置に送信する。
　本発明の一態様に係る記録媒体は、コンピュータに、侵入を試みる侵入装置からの要求を受信するパケット受信処理と、前記模擬リソースへの前記要求に応じて複数の仮想的な模擬リソースの固有情報に基づき模擬応答を生成する模擬応答生成処理と、送信されていない前記模擬リソースの有無を表す要求終了フラグをタイマー値に基づき制御する模擬応答送信制御処理と、前記模擬応答を、前記要求終了フラグに基づいて前記要求を送信する前記侵入装置に送信する模擬応答送信処理と、を実行させるプログラムを記憶する。本発明の一態様は、上述のプログラムによっても実現される。。
　本発明によれば、セキュリティを向上させることができる。
図１は、セキュリティシステムの全体構成を示すブロック図である。 図２は、本発明の第１の実施の形態にかかるセキュリティ装置の構成を示すブロック図である。 図３Ａは、模擬リソース一覧取得時の通信シーケンスを示す図である。 図３Ｂは、模擬リソース一覧取得時の通信シーケンスを示す図である。 図４Ａは、模擬応答生成部２１が生成するメッセージを示す図である。 図４Ｂは、模擬応答生成部２１が生成するメッセージを示す図である。 図４Ｃは、模擬応答生成部２１が生成するメッセージを示す図である。 図４Ｄは、模擬応答生成部２１が生成するメッセージを示す図である。 図４Ｅは、模擬応答生成部２１が生成するメッセージを示す図である。 図５は、本発明の第２の実施形態のセキュリティシステム１００Ａの構成の例を表すブロック図である。 図６は、本発明の第１の実施形態に係るセキュリティ装置１０１及び第２の実施形態のセキュリティシステム１００Ａを実現することができる、コンピュータ１０００のハードウェア構成の一例を表す図である。
　添付の図面を参照して本発明の実施形態を説明する。以下に説明する実施形態は例であり、本発明は、以下の実施形態に制限されるものではない。なお、以下の説明及び図面において、付与されている符号が同じである構成要素は、同一の構成要素を示す。
　本実施の形態にかかるセキュリティシステム、及びセキュリティ方法は縦深防御に基づいて、セキュリティを向上させる。例えば、サイバーキルチェーンには、諜報、侵攻、潜伏、橋頭堡確保、索敵、浸透、占領、収奪、及び、撤収等の攻撃ステップがある。なお、サイバーキルチェーンにおける攻撃ステップの表現には他にも何種類か存在するが、基本的な攻撃ステップは同様であり、ここでの記載に制限されない。本実施の形態では、セキュリティシステムが各攻撃ステップで、種々の欺瞞を仕掛けている。例えば、仮想的なディレクトリ及びファイル群（模擬的欺瞞）を生成して、索敵ステップや収奪ステップにおいて、あいまいな情報、偽の情報、又は不明瞭な情報を攻撃者に与えている。悪意のある攻撃者の行動を邪魔または誘導することができ、目的の達成にかかる攻撃コストを増加させることができる。すなわち、攻撃者が重要なデータに到達するまでの攻撃コストを増加させることが可能になる。例えば、攻撃コストは、時間、金銭、リソース、研究、情報、労力、及び、物などが含まれるが、これに制限されない。知的財産などの重要なデータが外部に流出するのを防止することが可能になる。
　（第１の実施形態）
　上記の考え方に基づく、本発明の第１の実施形態のセキュリティシステム１００について説明する。図１は、本実施の形態に係るセキュリティシステム１００の全体構成を示すブロック図である。セキュリティシステム１００は、セキュリティ装置１０１と、模擬共有ネットワークリソース１１０と、通信装置１０２と、共有ネットワークリソース１２０と、ネットワークシステム２００と、を備えている。セキュリティ装置１０１と、模擬共有ネットワークリソース１１０と、通信装置１０２と、共有ネットワークリソース１２０は、通信ネットワークであるネットワークシステム２００を介してお互いに通信可能に接続されている。さらに、攻撃者として感染装置３００がネットワークシステム２００に接続されている。ネットワークシステム２００は、LAN（Local Area Network）、WAN（Wide Area Network）、インターネットなどの通信ネットワークである。
　通信装置１０２は、実際に存在する通信装置（ホスト装置、コンピュータ、または通信端末）であり、ネットワークシステム２００に接続された通信装置から利用可能な共有ネットワークリソース１２０を保持する。共有ネットワークリソース１２０は、複数の実ディレクトリ１２１、及び、複数の実ファイル１２２を含む。実ディレクトリ１２１、及び、実ファイル１２２は、ネットワークにおいて共有されるリソース（共有ネットワークリソース１２０）、すなわち、実在するディレクトリやファイルによって構成される共有ネットワークリソースである。なお、図１では、各１つの実ディレクトリ１２１、及び、実ファイル１２２が示されているが、実ディレクトリ１２１、及び、実ファイル１２２の数はそれぞれ特に限定されない。
　実ディレクトリ１２１、及び、実ファイル１２２は、例えば、コンピュータのディスク上に作成されたディレクトリ、およびファイルであり、Windows（登録商標）やLinux（登録商標）などのOS（Operating System）上のファイルシステムに基づき構築される。
　セキュリティ装置１０１は、模擬共有ネットワークリソース１１０を生成する。模擬共有ネットワークリソース１１０は、複数の模擬ディレクトリ１１１、１１２、及び複数の模擬ファイル１１３、１１４によって構成されている。模擬ディレクトリ１１１、１１２、模擬ファイル１１３、１１４は、仮想的なネットワーク上で共有されるリソース（仮想共有ネットワークリソース）、すなわち、実在しないディレクトリやファイルで構成される仮想的な共有ネットワークリソースである。セキュリティ装置１０１は、前記通信装置１０２が、共有ネットワークリソース１２０に対するリソース一覧取得要求に対して応答するのと同様なメッセージを用いて通信することによって、模擬共有ネットワークリソース１１０を生成する。より具体的には、共有ネットワークリソースを取り扱うのに必要なメッセージのうちの一部を活用することで実現する。セキュリティ装置１０１は、様々な欺瞞を仕掛け、実際に存在していない模擬共有ネットワークリソース１１０、すなわち模擬ディレクトリ１１１、１１２、模擬ファイル１１３、１１４を実在するかのように見せかける。
　なお、セキュリティ装置１０１は、実在に存在する実ホストにより構成することができる。例えば、セキュリティ装置１０１にインストールされたネットワークセキュリティプログラムによって、セキュリティ装置１０１は、本実施形態にかかるセキュリティ方法を実行する。また、セキュリティ装置１０１は、専用のコンピュータであってもよく、ネットワークシステム２００にホストとして含まれるコンピュータを用いて実現されてもよい。また、セキュリティ装置１０１は、物理的に単一な装置に限られない。セキュリティ装置１０１は、複数の装置によって構成されていてもよい。
　セキュリティ装置１０１が模擬ディレクトリ１１１、１１２、及び模擬ファイル１１３、１１４を欺瞞として生成することで、感染装置３００が重要なデータを窃取するための攻撃コストを増加させる。セキュリティ装置１０１は、模擬ディレクトリ１１１、１１２、及び模擬ファイル１１３、１１４を仮想的に生成しているため、模擬ディレクトリ及び模擬ファイルの数を低コストで増やすことができる。多数の模擬ディレクトリ１１１、１１２、及び模擬ファイル１１３、１１４を生成することで、より攻撃者を欺きやすくなる。なお、セキュリティ装置１０１が生成する模擬ディレクトリ１１１、１１２、及び模擬ファイル１１３、１１４の数は、特に限定されない。セキュリティ装置１０１は、模擬ディレクトリ１１１、１１２、及び模擬ファイル１１３、１１４を無制限に生成することができる。セキュリティ装置１０１がより多くの模擬を生成することで、より攻撃コストを増加させることができる。
　さらに、セキュリティ装置１０１が生成する模擬ディレクトリ１１１、１１２、模擬ファイル１１３、１１４は同一のネットワークリソース上に存在するよう構成されてもよいし、それぞれ異なるネットワークリソース上に存在するよう構成されてもよい。この場合、模擬ディレクトリ１１１、１１２、模擬ファイル１１３、１１４は、例えば、ホストAに模擬ディレクトリ１１１、模擬ファイル１１３が存在し、ホストBに模擬ディレクトリ１１２、模擬ファイル１１４が存在するよう構成されてもよい。この場合、模擬ディレクトリ１１１、１１２、模擬ファイル１１３、１１４は、それぞれ、例えば、\\host-A\doc\directory111、\\host-A\doc\file113.txt、\\host-B\doc\directory112、\\host-B\doc\file114.txtとして存在するように見える。
　本実施形態にかかるセキュリティシステム１００は、感染装置３００からの不正侵入を妨害する。感染装置３００は、例えば、マルウェアに感染した通信装置（ホスト）である。感染装置３００は、外部からのリモートコントロールによって、ネットワークシステム２００への不正侵入を試みる。感染装置３００は、ネットワークシステム２００に含まれる通信装置１０２に展開される共有ネットワークリソース１２０等から実ディレクトリ１２１や実ファイル１２２等の、例えば重要なデータを窃取しようとする。なお、ネットワークシステム２００に不正侵入を試みる侵入装置は、マルウェアに感染した感染装置３００に限られない。侵入装置は、インターネットなどの外部ネットワークを介して接続された外部通信装置であってもよい。
　セキュリティ装置１０１、感染装置３００、及び、通信装置１０２は、ネットワークシステム２００を介して通信可能に接続されている。なお、セキュリティ装置１０１、又は通信装置１０２は、ファイアウォールを介して、ネットワークシステム２００と接続されていてもよい。
　次に、セキュリティ装置１０１の構成について、図２を用いて説明する。図２は、セキュリティ装置１０１の構成を模式的に示すブロック図である。セキュリティ装置１０１は、パケット受信部１１、パケット配送部１２、ブロードキャストパケット処理部１３、ユニキャストパケット処理部１４、要求判定部１５、模擬ホスト管理部１６、固有情報蓄積部１７、模擬ホスト固有情報蓄積部１７Ａ、模擬リソース固有情報蓄積部１７Ｂ、模擬ホスト起動管理部１８、模擬リソース管理部１９、模擬リソース稼働管理部２０、模擬応答生成部２１、模擬応答テンプレート蓄積部２２、模擬応答送信制御部２３、模擬応答送信キュー２４、模擬応答送信部２５、を備えている。以下、各部の処理について説明する。
　パケット受信部１１は、ネットワークシステム２００に流れるパケットを受信する。パケット受信部１１は、パケットの送信先アドレスが所定のアドレスである場合にそのパケットを受信する。パケット受信部１１は、不正侵入を試みる感染装置３００からのパケットを受信する。
　パケット配送部１２は、パケット受信部１１が受信した受信パケットの種別を判定する。具体的には、パケット配送部１２は、パケットがブロードキャストパケットであるか、又は、ユニキャストパケットであるかを判定する。そして、パケット配送部１２は、ブロードキャストパケットをブロードキャストパケット処理部１３に配送し、ユニパケットをユニキャストパケット処理部１４に配送する。また、パケット配送部１２は、固有情報蓄積部１７を参照し、送信先アドレスが、模擬共有ネットワークリソース１１０が展開されていると見せかけるホストのアドレスに含まれるかどうかを識別する。
　なお、ユニキャストパケットは、単一のアドレスを指定して、１対１のデータ通信を行うためのパケットである。ブロードキャストパケットは、ブロードキャストアドレスを指定して、１対不特定多数のデータ通信を行うためのパケットである。パケット受信部１１が受信したブロードキャストパケットの送信先は、通信装置１０２、及びセキュリティ装置１０１が仮想的に見せかける模擬共有ネットワークリソースが展開されている模擬ホストの全てを含む。その場合、そのブロードキャストパケットが含むメッセージは、模擬ホストの全てを対象とする。感染装置３００は、例えば、ブロードキャストパケットを送信することによって、ネットワークシステム２００上の通信装置１０２に関する情報を取得しようと試みる。
　なお、パケット配送部１２は、パケット受信部１１が受信したパケットがブロードキャストパケットであるか、又は、ユニキャストパケット若しくはマルチキャストパケットであるかを判定してもよい。例えば、マルチキャストパケットを受信した場合は、パケット配送部１２は、マルチキャストパケットをブロードキャストパケット処理部１３に配送してもよい。そして、ブロードキャストパケット処理部１３がマルチキャストパケットを処理してもよい。さらには、セキュリティ装置１０１が、マルチキャストパケット処理部を備えていてもよい。なお、マルチキャストパケットは１対複数のデータ通信を行うためのパケットである。
　具体的には、感染装置３００は、通信装置（ホスト）の探索やネットワークリソースの探索などの探索メッセージが含まれるブロードキャストパケットをブロードキャスト探索要求として送信する（図１参照）。例えば、この探索要求のメッセージは、ＮｅｔＢＩＯＳ（Ｎｅｔｗｏｒｋ　Ｂａｓｉｃ　Ｉｎｐｕｔ　Ｏｕｔｐｕｔ　Ｓｙｓｔｅｍ）　Ｎａｍｅ　Ｓｅｒｖｉｃｅ（ＮＢＮＳ）メッセージである。そして、通信装置１０２又はセキュリティ装置１０１が仮想的に生成する共有ネットワークリソースが展開される模擬ホストが、探索要求に対する応答をユニキャスト探索応答として感染装置３００に送信する。探索が終了した後、感染装置３００は、特定のホストに対してユニキャストネゴシエーション要求を送信する。例えば、この要求のメッセージは、ＳＭＢ（Ｓｅｒｖｅｒ　Ｍｅｓｓａｇｅ　Ｂｌｏｃｋ）である。セキュリティ装置１０１が管理する模擬ホスト、又は通信装置１０２は、ユニキャストネゴシエーション応答を感染装置３００に送信する。
　より具体的には、先のブロードキャスト探索要求に対する応答に応じて、感染装置３００がユニキャストネゴシエーション要求を送信する。図１の例では、１つのユニキャストネゴシエーションしか示されていないが、ホスト分だけ行われる場合もある。図１の構成では、通信装置１０２及びセキュリティ装置１０１が管理する模擬ホストからの６つのユニキャスト探索応答を、感染装置３００が受信した場合、６つすべての要求に対して順番にユニキャストネゴシエーションが実施される。さらに、一つのホストに対しても複数のシーケンスが行われる場合もある。その場合、その複数のシーケンスがホスト分だけ行われる。そして、セッションが確立したら、感染装置３００はホスト装置とのファイル共有などを試みる。具体的には、感染装置３００は、ＳＭＢ（Ｓｅｒｖｅｒ　Ｍｅｓｓａｇｅ　Ｂｌｏｃｋ）によってファイル共有を試みる。このようにして、感染装置３００はデータを窃取しようとする。
　ブロードキャストパケット処理部１３は、受信したブロードキャストパケットをそのまま模擬ホスト管理部１６へ渡す。ユニキャストパケット処理部１４は、ユニキャストパケットがＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ）パケットかＵＤＰ（Ｕｓｅｒ　Ｄａｔａｇｒａｍ　Ｐｒｏｔｏｃｏｌ）パケットかを判別する。ＴＣＰパケットの場合、ユニキャストパケット処理部１４は３、ウェイハンドシェイクを実施し、ペイロードを探索要求判定部１５へ渡す。一方、ＵＤＰパケットの場合、ユニキャストパケット処理部１４は、ＵＤＰパケットをそのまま模擬ホスト管理部１６へ渡す。
　要求判定部１５は、受信したパケット（受信パケット）に探索要求が含まれているか否かを判定する。例えば、要求判定部１５は、受信パケットに含まれるメッセージが、通信装置（ホスト装置）の探索、ネットワークサービスの探索等の探索メッセージであるか、セッションのネゴシエーション等の情報詳細を取得するメッセージであるかどうかを判定する。探索要求判定部１５は、ＴＣＰパケットのペイロードに、探索に属するメッセージが含まれている否かを判定する。
　要求判定部１５は、探索に属するメッセージが受信パケットに含まれている場合、探索要求があると判定する。そして、要求判定部１５は、探索に属するメッセージを探索要求として模擬ホスト管理部１６に通過させる。このように、要求判定部１５は、探索要求に対して、受信パケットに含まれるメッセージが探索系のメッセージ（探索要求）であるか否かを判定する。そして、要求判定部１５は、予め決められたメッセージのみを通過させ、それ以外の要求メッセージについては、通過させない。要求判定部１５は、例えば、ファイル一覧を要求メッセージは通過させるが、一方でファイル共有を要求するメッセージについては、通過させない。要求判定部１５がこのような判定機能、及びフィルタリング機能を有することで、重要なデータの流出を防ぐことができる。
　要求判定部１５は、例えば、ホワイトリストを用いて、探索要求があるか否かを判定する。すなわち、要求判定部１５は、予めリストに登録されているメッセージのみを、探索要求として、模擬ホスト管理部１６に通過させる。こうすることで、悪意のある攻撃をフィルタリングすることができ、セキュリティを高くすることができる。
　なお、ホワイトリストは、模擬ホストの各種固有情報と組み合わせて設定することができる。これによって、模擬ホスト等毎に通過させるメッセージを変更することで、模擬ホスト毎に成功するシーケンスの到達度が変わる。よって、より欺きやすい欺瞞を仕掛けることができる。
　模擬ホスト管理部１６は、模擬ホスト起動管理部１８からの起動情報に基づいて、模擬する模擬ホストを管理する。すなわち、模擬ホスト管理部１６が、模擬ホストが模擬応答を行うか否かを判定する。例えば、起動中の模擬ホストに対する要求があった場合、模擬ホスト管理部１６は、応答を行うと判定する。一方、停止中の模擬ホストについては、模擬ホスト管理部１６は、模擬応答を行わないと判定する。なお、以下の説明では、模擬ホストＡが起動している例について説明する。
　さらに、模擬ホスト管理部１６は、探索要求に応じた応答を行うかどうかを、固有情報蓄積部１７を参照することにより判定する。例えば、模擬ホスト管理部１６が、受信パケットに含まれる送信先アドレスに基づいて、応答を行う模擬ホストを特定する。すなわち、受信パケットに含まれる送信先アドレスと一致するアドレスを有する模擬ホストが応答を行うと、模擬ホスト管理部１６が判定する。なお、ブロードキャストパケットを受信した場合、模擬ホスト管理部１６は、起動中の全ての模擬ホストが応答を行うと判定する。
　さらに、模擬ホスト管理部１６は、パケットに探索要求が含まれている場合、探索要求の対象である模擬ホストについては、模擬応答を行うと判定する。模擬ホスト管理部１６は、パケットの送信先アドレスを参照することによって、模擬ホストが探索要求の対象か否かを判定する。模擬ホスト管理部１６は、模擬ホストが応答を行うか否かを、送信先アドレスと固有情報との比較結果、及び要求判定部１５による判定結果に基づいて判定する。模擬ホスト管理部１６は起動中の模擬ホスト毎に応答の要否を判定する。
　模擬ホスト管理部１６は、起動中の模擬ホストが探索要求を受けた場合に、模擬ホストが存在するかのように模擬応答を行わせると判定する。一方、模擬ホスト管理部１６は、起動中の模擬ホストではない場合、パケットに探索要求が含まれていない場合、又は探索要求の対象となる模擬ホストではない場合、模擬応答を行わないと判定する。模擬ホスト管理部１６は、停止中の模擬ホストについては、模擬ホストが応答するのを停止させる。模擬ホスト管理部１６は、さらに、起動中の模擬ホストであっても探索要求を受けていない場合は、模擬応答を行わせない。模擬ホスト管理部１６は、探索要求の対象となる起動中の模擬ホストの全てに対して、応答が必要であると判定する。
　なお、模擬ホスト起動管理部１８に対する外部からの要求は、設定ファイル、ＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ　Ｐｒｏｇｒａｍｉｎｇ　Ｉｎｔｅｒｆａｃｅ）、ＩＦ（Ｉｎｔｅｒｆａｃｅ）などによって実現可能である。設定ファイルは、例えば、予め設定されたスケジュールデータであり、例えば、模擬ホスト毎に起動時間や停止時間が設定されている。セキュリティ装置１０１が設定ファイルを記憶していてもよい。さらに、ネットワークシステム２００に存在する通信装置からの要求に従って、通信装置の電源オンとオフのタイミングに合わせて、電源オフと共に模擬ホストを起動し、電源オンと共に模擬ホストを停止するように、模擬ホスト起動管理部１８が模擬ホストの起動を管理してもよい。
　以下に、模擬ホスト起動管理部１８による管理の一例について説明する。ここでは、固有情報蓄積部１７において、模擬ホストには、通信装置と同じアドレス等が登録されていると仮定する。例えば、通信装置に対応する模擬ホストを構築する情報は、模擬ホスト起動管理部１８に事前もしくは要求に応じて格納されている。すなわち、通信装置の管理情報をコピーした固有情報が模擬ホストに設定されている。この場合、通信装置の電源がＯＮになっているときは、模擬ホスト起動管理部１８は模擬ホストの起動を停止する。一方、通信装置の電源がＯＦＦになっている場合、模擬ホスト起動管理部１８は模擬ホストを起動させる。すなわち、通信装置がシャットダウンするタイミングで、模擬ホスト起動管理部１８が模擬ホストの起動を指示する。一方、通信装置が起動するタイミングで、模擬ホスト起動管理部１８が模擬ホストの停止を指示する。
　このように、通信装置の電源ＯＮをトリガーとして、模擬ホスト起動管理部１８は、模擬ホストを停止する。通信装置の電源ＯＦＦをトリガーとして、模擬ホスト起動管理部１８は、模擬ホストを起動する。通信装置がネットワークシステム２００から切り離されている状況であっても、ネットワークシステム２００には模擬ホストが存在している。このようにすることで、攻撃者をより欺きやすい欺瞞を仕掛けることができる。感染装置３００からはあたかも通信装置が存在しているかのように見える。このように、通信装置の起動中か否かに応じて、模擬ホスト起動管理部１８が、模擬ホストの起動を管理してもよい。
　固有情報蓄積部１７は、模擬ホストに関する情報を格納する模擬ホスト固有情報蓄積部１７Ａと、模擬リソースに関する情報を格納する模擬リソース固有情報蓄積部１７Ｂを備える。模擬ホスト固有情報蓄積部１７Ａは、複数の仮想的な模擬ホストの固有情報を格納する。固有情報は、模擬すべき模擬ホストに必要な情報であり、模擬ホスト毎に設定されている。例えば、模擬ホスト起動管理部１８が固有情報に基づいて模擬ホストの起動を管理する。なお、模擬ホスト管理部１６は、固有情報に基づいて、模擬ホストを管理する。模擬ホスト管理部１６と模擬ホスト起動管理部１８については前述したとおりである。
　固有情報には、例えば、コンピュータ名（もしくはＮｅｔＢＩＯＳ名）、ＩＰアドレス、ＭＡＣアドレス、ドメイン名、ＯＳ情報（例えば、ＯＳ名、及びＯＳのバージョン）、グループ名、ネットワーク管理名等が含まれる。もちろん、上記の情報は例示である。従って、固有情報には、上記以外の情報が含まれていてもよく、上記のうちの一部の情報が含まれていなくてもよい。模擬ホスト固有情報蓄積部１７Ａは、例えば、複数の模擬ホストの固有情報をテーブルとして格納している。さらに、模擬ホスト固有情報蓄積部１７Ａは、模擬ホストのネットワーク距離を模擬ホスト毎に格納していてもよい。模擬ホスト固有情報蓄積部１７Ａは、通信装置のネットワーク管理情報と同等の固有情報を模擬ホストの固有情報として格納している。
　さらに、模擬ホスト固有情報蓄積部１７Ａには、通信装置の有する情報と同一の管理情報を有する模擬ホストを登録してもよい。模擬ホスト固有情報蓄積部１７Ａは、模擬ホストの固有情報として、例えば通信装置のコンピュータ名（もしくはＮｅｔＢＩＯＳ名）、ＩＰアドレス、ＭＡＣアドレス、ＯＳ情報、ドメイン名、グループ名、ネットワーク管理名等と一致する固有情報を格納する。こうすることで、通信装置の停止中においても通信装置が存在するかのように見せることができる。もちろん、模擬ホスト固有情報蓄積部１７Ａには、通信装置と全く無関係な模擬ホストが登録されていてもよい
　模擬ホスト起動管理部１８は、模擬ホストのそれぞれに対して、模擬ホストを起動すべきか起動すべきでないかを、模擬ホスト固有情報蓄積部１７Ａを参照することによって管理する。すなわち、模擬ホスト起動管理部１８は、模擬ホストを起動させるか否かを、模擬ホスト固有情報蓄積部１７Ａに格納されている模擬ホストの固有情報に基づいて管理する。模擬ホスト起動管理部１８は、模擬ホスト固有情報蓄積部１７Ａに含まれる模擬ホストのそれぞれを起動させるか、停止させるかを判定する。
　例えば、模擬ホスト起動管理部１８は、外部からの要求をトリガーとして、模擬ホストの起動を管理する。具体的には、模擬ホストのＯＮの要求（起動要求）を受けると、模擬ホスト起動管理部１８は、模擬ホストを起動させる。模擬ホストのＯＦＦの要求（停止要求）を受けると、模擬ホスト起動管理部１８は、模擬ホストの起動を停止する。そして、模擬ホスト起動管理部１８は、それぞれの模擬ホストが起動しているか否かを示す起動情報を模擬ホスト管理部１６に出力する。模擬ホスト起動管理部１８は、模擬ホスト固有情報蓄積部１７Ａに含まれている複数の模擬ホストの起動を独立に管理する。模擬ホスト起動管理部１８は、起動中の模擬ホストを動的に変化することができる。
　模擬リソース管理部１９は、模擬リソース稼働管理部２０からの稼働情報に基づいて、模擬する模擬リソースを管理する。すなわち、模擬リソース管理部１９が、要求のあった模擬リソースに対する模擬応答を行うか否かを判定する。例えば、稼働中の模擬リソースに対する要求があった場合、模擬リソース管理部１９は、応答を行うと判定する。一方、停止中の模擬リソースについては、模擬リソース管理部１９は、模擬応答を行わないと判定する。
　さらに、模擬リソース管理部１９は、リソース一覧要求に応じた応答を行うかどうかを、固有情報蓄積部１７を参照することにより判定する。例えば、模擬リソース管理部１９が、要求メッセージに含まれる対象とするネットワークリソースに基づいて、応答を行う模擬リソースを判定する。すなわち、模擬リソース管理部１９は、要求メッセージに含まれるリソースと一致するリソースを有する模擬リソースに関する応答を行うと判定する。なお、リソース一覧要求を受信した場合、模擬リソース管理部１９は、該当のネットワークリソースに含まれるすべての模擬ディレクトリに関する情報、および模擬ファイルに関する情報の一覧情報をもとに応答を行うと判定する。
　さらに、模擬リソース管理部１９は、リソース一覧要求を受信した場合、模擬リソース管理部１９は、そのリソース一覧要求の対象である模擬リソースについては、模擬応答を行うと判定する。模擬リソース管理部１９は、要求メッセージの対象リソースを参照し、模擬リソースが一覧要求の対象であるか否かを判定する。模擬リソース管理部１９は、模擬リソースに関する応答を行うか否かを、要求の対象と固有情報との比較結果、及び要求判定部１５による判定結果に基づいて判定する。模擬リソース管理部１９は、稼働中の模擬リソース毎に応答の要否を判定する。
　稼働中の模擬リソースが一覧要求を受けた場合に、模擬リソース管理部１９は、模擬リソースが存在するかのように模擬応答を行わせると判定する。一方、一覧要求を受けたリソースが稼働中の模擬リソースではない場合、要求メッセージに一覧要求が含まれていない場合、又は、一覧要求を受けたリソースが一覧要求の対象となる模擬リソースではない場合、模擬リソース管理部１９は、模擬応答を行わないと判定する。模擬リソース管理部１９は、停止中の模擬リソースについては、模擬リソースが応答するのを停止させる。さらに、模擬リソース管理部１９は、稼働中の模擬リソースの全てに対して、応答が必要であると判定する。
　なお、模擬リソース稼働管理部２０に対する外部からの要求は、設定ファイル、ＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ　Ｐｒｏｇｒａｍｉｎｇ　Ｉｎｔｅｒｆａｃｅ）、ＩＦ（Ｉｎｔｅｒｆａｃｅ）などによって実現可能である。設定ファイルは、例えば、予め設定されたスケジュールデータである。そのような設定ファイルには、例えば、模擬リソース毎に稼働時間や停止時間が設定されている。セキュリティ装置１０１が設定ファイルを記憶していてもよい。さらに、模擬リソース稼働管理部２０は、ネットワークシステム２００に存在する通信装置からの要求に従うことによって、模擬リソースの稼働を管理してもよい。模擬リソース稼働管理部２０は、例えば、通信装置の共有ネットワークリソースの稼働オンとオフのタイミングに合わせて、稼働オフと共に模擬リソースを稼働し、稼働オンと共に模擬リソースを停止するように、模擬リソースの稼働を管理してもよい。
　以下に、模擬リソース稼働管理部２０による管理の一例について説明する。ここでは、固有情報蓄積部１７において、通信装置の共有ネットワークリソースと同じアドレス及びネットワークリソース情報が、模擬リソースのアドレス及びネットワークリソース情報として登録されていると仮定する。例えば、通信装置の共有ネットワークリソースに対応する模擬リソースを構築できる情報が、模擬リソース稼働管理部２０に事前に又は要求に応じて格納される。具体的には、通信装置の共有ネットワークリソースに関する情報のコピーが模擬リソースの固有情報として設定されている。この場合、通信装置の共有ネットワークリソースが稼働中であるときは、模擬リソース稼働管理部２０は模擬リソースの稼働を停止する。一方、通信装置の共有ネットワークが稼働ＯＦＦである場合、模擬リソース稼働管理部２０は、模擬リソースの稼働を指示する。一方、通信装置上の共有ネットワークが稼働するタイミングで、模擬リソース稼働管理部２０が模擬リソースの稼働停止を指示する。
　このように、通信装置上の共有ネットワークリソースの稼働ＯＮをトリガーとして、模擬リソース稼働管理部２０は、模擬リソースを稼働する。通信装置上の共有ネットワークリソースの稼働ＯＦＦをトリガーとして、模擬リソース稼働管理部２０は、模擬リソースを停止する。通信装置がネットワークから切り離されている状況であっても、ネットワークシステム２００には模擬リソースが存在している。このようにすることで、攻撃者をより欺きやすい欺瞞を仕掛けることが可能となる。感染装置３００からは、あたかも模擬共有ネットワークリソースが存在しているかのように見える。このようにすることで、模擬リソース稼働管理部２０が、通信装置の稼働中か否かに応じて、模擬リソースの稼働を管理してもよい。
　模擬リソース固有情報蓄積部１７Ｂは、複数の仮想的な模擬共有ネットワークリソースの固有情報を格納する。固有情報は、模擬すべきネットワークリソースに必要な情報であり、模擬共有ネットワークリソース毎に設定されている。例えば、模擬リソース稼働管理部２０が固有情報に基づいて模擬共有ネットワークリソースの稼働を管理する。なお、模擬リソース管理部１９は、固有情報に基づいて、模擬リソースを管理する。模擬リソース管理部１９と模擬リソース稼働管理部２０については後述する。
　固有情報には、仮想的に模擬するディレクトリ、及びファイルに関する情報が含まれる。例えば、固有情報には、ディレクトリ名称、ファイル名称、及び、ディレクトリ／ファイル種別、最終アクセス日時、最終書き込み日時、変更日時が含まれる。さらに、固有情報には、仮想的に模擬するファイルシステムに関する情報が含まれる。固有情報には、例えば、ファイルシステムの名称（例えばＮＴＦＳ（ＮＴ　Ｆｉｌｅ　Ｓｙｓｔｅｍ））、生成日時、ボリュームシリアル番号、ラベル名称などが含まれる。もちろん、上記の情報は例示である。従って、固有情報には、上記以外の情報が含まれていてもよく、上記のうちの一部の情報がなくてもよい。模擬リソース固有情報蓄積部１７Ｂは、例えば、複数の模擬リソースの固有情報をテーブルとして格納している。模擬リソース固有情報蓄積部１７Ｂは、通信装置の共有ネットワークリソース管理情報と同等の固有情報を模擬リソースの固有情報として格納している。
　さらに、模擬リソース固有情報蓄積部１７Ｂには、通信装置の共有ネットワークリソースが有する管理情報と同一の固有情報を有する模擬リソースが登録されていてもよい。通信装置の共有ネットワークリソースの管理情報は、例えば、通信装置のコンピュータ名（又はＮｅｔＢＩＯＳ名）、ＩＰアドレス、ＭＡＣアドレス、ＯＳ情報、ドメイン名、及び、ネットワーク管理名等に加え、ディレクトリ又はファイルの名称、ディレクトリツリー構成、更新日時等である。これらと一致する固有情報を有する模擬リソースが、模擬リソース固有情報蓄積部１７Ｂに登録される。こうすることで、通信装置上の共有ネットワークリソースの稼働が停止中においても共有ネットワークリソースが存在するかのように見せることができる。もちろん、模擬リソース固有情報蓄積部１７Ｂには、通信装置上の共有ネットワークリソースと全く無関係な模擬リソースが登録されてもよい。
　模擬リソース稼働管理部２０は、模擬リソースのそれぞれに対して、模擬リソースを稼働すべきか稼働すべきでないかを、模擬リソース固有情報蓄積部１７Ｂを参照することにより管理する。すなわち、模擬リソース稼働管理部２０は、模擬リソースを稼働させるか否かを模擬リソースの固有情報に基づいて管理する。模擬リソース稼働管理部２０は、固有情報が模擬リソース固有情報蓄積部１７Ｂに含まれる模擬リソースのそれぞれを稼働させるか、稼働させないかを判定する。
　例えば、模擬リソース稼働管理部２０は、外部からの要求をトリガーとして、模擬リソースの稼働を管理する。具体的には、模擬リソースのＯＮの要求（稼働要求）を受けると、模擬リソース稼働管理部２０は、模擬リソースを稼働させる。模擬リソースのＯＦＦの要求（停止要求）を受けると、模擬リソース稼働管理部２０は、模擬リソースの稼働を停止する。そして、模擬リソース稼働管理部２０は、模擬リソース管理部１９にそれぞれの模擬リソースが稼働しているか否かを示す稼働情報を出力する。模擬リソース稼働管理部２０は、模擬リソース固有情報蓄積部１７Ｂに固有情報が含まれている複数の模擬リソースの稼働を独立に管理する。模擬リソース稼働管理部２０は、稼働中の模擬リソースを動的に変化させることができる。
　模擬応答テンプレート蓄積部２２は、探索要求に対する模擬応答のテンプレートを格納している。例えば、模擬応答テンプレート蓄積部２２は、メッセージフォーマットをハードコーディングにて保持する。また、模擬応答テンプレート蓄積部２２には、模擬応答文のメッセージフォーマットを格納している。模擬応答テンプレート蓄積部２２は、要求毎にまたはプロトコル毎に、テンプレートを格納している。模擬応答テンプレート蓄積部２２は、要求されたサービスに対応するメッセージ応答文をテンプレートとして記憶している。模擬応答テンプレート蓄積部２２は、複数のテンプレートを格納している。
　さらに、模擬応答テンプレート蓄積部２２は、リソース一覧要求に対応する模擬応答メッセージのテンプレートを格納する。例えば、模擬応答テンプレート蓄積部２２は、メッセージフォーマットをハードコーディングにて保持する。また、模擬応答テンプレート蓄積部２２は、応答文のメッセージフォーマットを格納する。模擬応答テンプレート蓄積部２２は、リソース一覧要求毎又はプロトコル毎にテンプレートを格納する。模擬応答テンプレート蓄積部２２は、一覧要求に対応するメッセージ応答文をテンプレートとして記憶する。模擬応答テンプレート蓄積部２２は、複数のテンプレートを格納する。
　模擬応答生成部２１は、模擬ホスト管理部１６からの要求と、模擬リソース管理部１９からの要求とに応じて、模擬応答を作成する。模擬ホスト管理部１６が応答すると判定した場合に、模擬応答生成部２１は、模擬ホストへの要求に応じて模擬応答を生成する。その際、模擬応答生成部２１は、模擬応答テンプレート蓄積部２２に蓄積されたテンプレートを使用して、模擬応答を生成する。これにより、模擬応答生成部２１は、要求に応じて適切な模擬応答メッセージを作成することができる。
　また、模擬応答生成部２１は、固有情報蓄積部１７から応答すべき模擬ホストの固有情報、及び、模擬リソースの固有情報を取得する。そして、模擬応答生成部２１は、取得した固有情報と応答メッセージフォーマットとを組み合わせて模擬応答メッセージ生成する。すなわち、模擬応答生成部２１は、固有情報に含まれるアドレスやＯＳ情報等と、仮想的に模擬される、ディレクトリ及びファイルに関する情報と、仮想的に模擬するファイルシステムに関する情報とを含む模擬応答メッセージを生成する。ディレクトリ及びファイルに関する情報は、例えば、ディレクトリ名称、ファイル名称、ディレクトリ種別、ファイル種別、最終アクセス日時、最終書き込み日時、及び、変更日時等である。ファイルシステムに関する情報は、例えば、ファイルシステム名称としてＮＴＦＳ、生成日時、ボリュームシリアル番号、及び、ラベル名称等である。これにより、より欺きやすい欺瞞を仕掛けることができる。
　模擬応答テンプレート蓄積部２２は、模擬ホストならびに模擬リソースが提供するサービスに応じたテンプレートを格納する。さらに、複数の模擬ホストや模擬リソースが同じサービスを使用できる場合、模擬応答生成部２１が、共通のテンプレートを用いてリソース一覧要求に対する模擬応答メッセージを生成する。さらに、模擬応答テンプレート蓄積部２２は、要求判定部１５のホワイトリストに含まれるメッセージのそれぞれに対する応答テンプレートを格納していてもよい。テンプレートの種類が増えれば増えるほど、対応できる要求の種類が増える。また、ホワイトリストに含まれるメッセージは、模擬応答テンプレート蓄積部２２に格納されているテンプレートと、必ずしも１対１で関連付けられている必要はない。例えば、ホワイトリストに設定されているメッセージは、いずれかのテンプレートの一部分に関連付けられていてもよい。模擬応答生成部２１は、ホワイトリストに設定されているメッセージに対して、テンプレートの、そのメッセージに関連付けられている一部分を使用して、模擬応答メッセージを生成してもよい。
　模擬応答送信キュー２４は、模擬応答生成部２１によって作成された模擬応答メッセージをキューキングする。模擬応答送信部２５は、模擬応答送信キュー２４にキューイングされた模擬応答メッセージを模擬応答として感染装置３００に送信する。模擬応答送信部２５は、送信先アドレスが感染装置３００のアドレスであるパケットにより、模擬応答を送信する。
　さらに、模擬応答送信キュー２４に蓄えられた模擬応答メッセージは、模擬応答送信制御部２３の指示により模擬応答送信部２５を介してネットワークシステム２００へ送信される。すなわち、模擬応答送信部２５は、模擬応答送信部２５が模擬応答を送信する送信タイミングを制御する。模擬応答送信制御部２３の指示に応じたタイミングで、模擬応答送信部２５は、ネットワークシステム２００を介して、模擬応答メッセージを感染装置３００に送信する。
　このように、模擬応答送信制御部２３は、模擬応答送信キュー２４に蓄えられた模擬応答の送信タイミングを制御する。模擬応答送信制御部２３は、例えば、模擬応答送信部２５がキューの順番で模擬応答メッセージを送信するよう制御する。あるいは、模擬応答送信制御部２３は、模擬応答送信部２５がランダムに模擬応答メッセージを送信するように制御してもよい。さらには、模擬応答送信制御部２３は、模擬応答送信部２５があらかじめ定められているパターンに従って模擬応答メッセージを送信するように制御してもよい。模擬応答送信制御部２３の制御によって、模擬応答が送信される順番を入れ替えることができる。さらには、模擬応答送信制御部２３は、模擬応答送信部２５が、予め設定された遅延時間に基づき、一定時間待ったのち模擬応答メッセージを送信するように制御してもよい。模擬応答送信制御部２３は、模擬応答送信制御部２３の指示に基づいて、模擬応答送信キュー２４の模擬応答をネットワークシステム２００に送信する。
　例えば、探索要求のブロードキャストメッセージを受信した場合、模擬応答生成部２１は、起動中の模擬ホスト分の模擬応答メッセージを生成する。そして、模擬応答送信キュー２４は、例えば、固有情報蓄積部１７に蓄積された模擬ホストの固有情報の順番で模擬応答メッセージをキューイングする。例えば、４つの模擬ホストが稼働しているように見せかける場合、模擬応答送信キュー２４は、４つの模擬ホストの順番で、模擬応答メッセージをキューイングする。そして、模擬応答送信部２５は、キューの順番で模擬応答メッセージを送信する。あるいは、模擬応答送信部２５は、ランダムな順番で模擬応答メッセージを送信してもよい。さらには、模擬応答送信制御部２３に模擬ホスト毎に応答タイミングが設定されている場合、模擬応答送信部２５は、その応答タイミングにしたがって模擬応答メッセージを送信するようにしてもよい。また、模擬応答送信部２５は、予め設定されたスケジュールに応じた順番及びタイミングで、模擬応答メッセージを送信してもよい。
　模擬応答送信制御部２３は、模擬応答メッセージを送信し始めてから経過した時間に基づいて、タイマー値を設定してもよい。タイマー値は、模擬応答メッセージを送信し始めてから経過した時間を表す値であってもよい。模擬応答送信制御部２３は、模擬応答メッセージの送信量をカウントし、模擬応答メッセージの送信タイミングに加えて、カウントされた送信量の値（カウント値）に基づき、模擬応答メッセージの送信量を制御してもよい。その場合、模擬応答送信制御部２３は、カウント値に基づいて、カウント値が大きいほどタイマー値が大きくなるように、タイマー値を設定する。模擬応答送信制御部２３は、カウント値をタイマー値に設定してもよい。
　模擬応答生成部２１は、模擬リソースに対するディレクトリ及びファイルの列挙要求に対する応答時に、引き続き情報がある旨の応答を返答することにより、感染装置３００に延々とファイル列挙要求を続けさせることができる。模擬応答送信制御部２３は、模擬応答生成部２１が応答を継続するか停止するかを、タイマー値に基づき判定する。例えば、タイマー値が、あらかじめ定められているタイマー閾値より大きい場合、模擬応答送信制御部２３は、応答を停止すると判定する。例えば、タイマー値が、あらかじめ定められているタイマー閾値より大きくない場合、模擬応答送信制御部２３は、応答を継続すると判定する。応答を継続すると判定した場合、模擬応答送信制御部２３は、模擬応答生成部２１に応答を継続させることによって、感染装置３００にファイル列挙要求を続けさせる。応答を停止すると判定した場合、模擬応答送信制御部２３は、模擬応答生成部２１に応答を停止させることによって、感染装置３００にファイル列挙を完了させる。感染装置３００にファイル列挙要求を無制限に継続させる場合、模擬応答送信制御部２３は、模擬応答生成部２１に、常に引き続き情報がある旨の応答を返答させる。引き続き情報がある旨の応答を行う場合、模擬応答生成部２１は、例えば、最初のファイル列挙要求に対する応答において、その応答に含まれるフラグＥｎｄ　Ｏｆ　Ｆｉｌｅ（本実施形態の説明において「要求終了フラグ」とも表記）を、例えばフラグが無効であることを表す無効値（例えば０）にセットする。そして、模擬応答生成部２１は、以降の応答においても、フラグＥｎｄ　Ｏｆ　Ｆｉｌｅを無効値にセットし続ける。応答に含まれるフラグＥｎｄ　Ｏｆ　Ｆｉｌｅの値が無効値である場合、感染装置３００は、ファイル列挙要求を継続する。ファイル列挙要求を停止させる場合、模擬応答生成部２１は、このフラグＥｎｄ　Ｏｆ　Ｆｉｌｅを、例えばフラグが有効であることを表す有効値（例えば１）にセットする。フラグＥｎｄ　Ｏｆ　Ｆｉｌｅの値が有効値である場合、感染装置３００はファイル列挙要求を停止する。
　これにより、模擬応答送信制御部２３は、模擬応答メッセージが送信される間隔が短くなるよう送信タイミングを設定し、かつ、感染装置３００にファイル列挙要求を継続させ続けることによって、感染装置３００に大量の情報を送信し続けさせることが可能になる。さらに、模擬応答メッセージの送信タイミングをタイムアウトが発生しない間隔以内で最大限長くしつつ、ファイル列挙要求を継続させ続けることによって、時間当たりの情報量は少ないながらも延々と処理を継続させ続けることが可能になる。
　次に、SMBネゴシエートプロトコル要求メッセージを受信すると、稼働中の模擬リソースに対する要求であると判定されると、模擬応答生成部２１は、稼働中の模擬リソースに基づく模擬応答メッセージを生成する。そして、模擬応答生成部２１は、固有情報蓄積部１７に蓄積された模擬リソースに基づく模擬応答メッセ―ジをキューイングする。そして、模擬応答送信部２５はキューに入っている模擬応答メッセージを送信する。
　模擬応答送信制御部２３は、模擬応答送信部２５が行う模擬応答のタイミングを模擬ホスト毎に制御する。なお、応答タイミングは、固有情報蓄積部１７に格納されている模擬ホスト毎のネットワーク距離に応じて設定されていてもよい。その場合、ネットワーク距離が遠い模擬ホストについては、模擬応答送信制御部２３は、応答タイミングを遅らせる。また、ネットワーク距離が近い模擬ホストについては、模擬応答送信制御部２３は、応答タイミングを早める。模擬応答送信制御部２３は、固有情報蓄積部１７を参照して、模擬ホストのネットワーク距離に応じた遅延時間を設定すればよい。このように、模擬応答送信制御部２３が模擬応答メッセージの送信タイミングを制御することによって、感染装置３００からは各模擬ホストが実在しているかのように見える。すなわち、攻撃者をより欺きやすい欺瞞を仕掛けることができる。
　模擬応答送信部２５は、模擬応答送信キュー２４にキューイングされた模擬応答メッセージをネットワークシステム２００へ送信する。
　上記構成及び動作に基づく、模擬リソース一覧の取得シーケンスについて説明する。図３ａ、図３ｂは、本実施の形態に係る模擬リソースに対して一覧要求を行う通信シーケンスを示すシーケンス図である。
　これらの図において、感染装置３００は、例えば、マルウェアに感染している。そして、攻撃者は感染装置３００を操作することができる状態である。攻撃者は、感染装置３００が備えるプログラムを用いて、ネットワークシステム２００に接続された通信装置を探索する。例えば、Ｎｅｔｖｉｅｗコマンドやｆｉｎｄｓｍｂコマンドを用いることによって、通信装置を発見する。より具体的には、攻撃者は、Ｎｅｔｖｉｅｗコマンドを用いて、共有されたネットワークリソースを発見する。攻撃者は、例えば、セキュリティ装置１０１が模擬している仮想的なネットワークリソースの共有名称（doc）が模擬ホスト（\\host-101）で共有されていることを見つける。この時の模擬リソースへのパスは（\\host-101\doc）となる。
　次に、攻撃者は、ネットワークリソースのディレクトリ及びファイルの一覧を入手するために、模擬リソースとは気づかずに、感染装置３００を操作することによって、ファイルリストを要求するコマンドを感染装置３００に実行させる。この時、Windows ＯＳが備えるdirコマンドが使われてもよい。Windows APIとして公開されているFindFirst()が呼び出されてもよい。そして、感染装置３００は、ファイルリストの要求（例えばNetBIOSメッセージ）を発信する（ステップＳ１）。
　セキュリティ装置１０１の要求判定部１５は、感染装置３００から送信されたNetBIOSメッセージの種別をチェックすることによって、そのメッセージが、模擬ホストを対象とするメッセージであるかどうかをチェックする（ステップＳ２）。感染装置３００から送信されたNetBIOSメッセージが、模擬ホストを対象とするメッセージである場合、模擬ホスト管理部１６は、メッセージが対象とする模擬ホストが、稼働している模擬ホストであるかどうかをチェックする（ステップＳ３）。メッセージが対象とする模擬ホストが、稼働している模擬ホストでない場合、模擬ホスト管理部１６は、そのメッセージを破棄する。メッセージが対象とする模擬ホストが、稼働している模擬ホストである場合は、次の処理へ進む。
　模擬リソース管理部１９は、メッセージによって要求されたリソースが、稼働している模擬リソースであるか否かをチェックする（ステップＳ４）。メッセージによって要求されたリソースが、稼働していないものであった場合、模擬リソース管理部１９は、そのメッセージを破棄する。メッセージによって要求されたリソースが、稼働している模擬リソースであった場合、模擬応答生成部２１は、そのメッセージに応答する模擬応答メッセージを生成する（ステップＳ５）。模擬応答生成部２１は、精製した模擬応答メッセージを、模擬応答送信部２５を介して感染装置３００へ送信する。これにより、感染装置３００では、NetBIOSメッセージに対する応答を受信することにより、確かに存在している旨の確認がされることになる。
　次に、感染装置３００は、SMBセッションを開始する（ステップＳ６）。セキュリティ装置１０１においては、模擬リソース管理部１９が、模擬リソースを実際のリソースとして見せかけるために必要な情報を、模擬リソース固有情報蓄積部１７Ｂを参照することによって、模擬リソース固有情報蓄積部１７Ｂから取得する（ステップＳ８）。模擬応答生成部２１は、読み出された上述の必要な情報を使用して、模擬応答メッセージを生成する。模擬応答生成部２１は、生成した模擬応答メッセージによって応答する（ステップＳ８）。
　セキュリティ装置１０１は、引き続くSMBメッセージ処理においても、明示的に図示はしていないが、同様の処理を行う。以下の説明では、主に、模擬応答生成部２１による動作の、特徴がある部分について説明する。
　模擬応答生成部２１は、ＳＭＢ　Ｔｒａｎｓ２　Ｒｅｓｐｏｎｓｅメッセージ（Ｍ１）において、図４Ａに示すように、タイムスタンプ及びファイル属性を設定する。模擬応答生成部２１は、Ｆｉｌｅ　Ａｔｔｒｉｂｕｔｅｓにはディレクトリを表すフラグを立てる。模擬応答生成部２１は、タイムスタンプを、未来を指さない値（すなわち未来ではない日時）に設定する。例えば新しく更新した共有フォルダは、攻撃者にとって魅力的である。タイムスタンプにできるだけ最近に近い日時を設定することによって、模擬リソースを攻撃者にとって魅力的な情報として見せることが可能となる。また、模擬応答生成部２１は、タイムスタンプを設定する方法として、予め設定された日時に基づき設定する方法、又は、ランダムに選択する方法など、どのような設定方法が用いられてもよい。
　模擬応答生成部２１は、ＳＭＢ　Ｔｒａｎｓ２　Ｒｅｓｐｏｎｓｅメッセージ（Ｍ２）において、図４Ｂに示すように、Ｅｎｄ　ｏｆ　Ｆｉｌｅフラグを、ファイルの末尾でないことを表す値である０に設定する。このフラグを０に設定することによって、メッセージＭ２を受信した感染装置３００は、まだディレクトリやファイルの情報が存在すると判断し、要求を継続する。
　模擬応答生成部２１は、ＳＭＢ　Ｔｒａｎｓ２　Ｒｅｓｐｏｎｓｅメッセージ（Ｍ３）において、図４Ｃに示すように、ファイルシステム属性（ＦＳ　Ａｔｔｒｉｂｕｔｅ）を、例えば実際のWindowsホストの通信から取得したファイルシステム属性の値に設定する。また、模擬応答生成部２１は、ＦＳ　ＮａｍｅをＮＴＦＳに設定する。ＦＳ　Ａｔｔｒｉｂｕｔｅに設定される値は、ここで記述した値に限られるわけではなく、通常用いられる想定される値が使われても構わない。
　模擬応答生成部２１は、ＳＭＢ　Ｔｒａｎｓ２　Ｒｅｓｐｏｎｓｅメッセージ（Ｍ４）において、図４Ｄに示すように、Ｌａｂｅｌの値を設定する。このＬａｂｅｌは共有フォルダを作成する際の共有名にあたる。このＬａｂｅｌの値を攻撃者にとって魅力的なフォルダ名を設定することによって、攻撃者を誘い込みやすくすることも可能である。
　模擬応答生成部２１は、ＳＭＢ　Ｔｒａｎｓ２　Ｒｅｓｐｏｎｓｅメッセージ（Ｍ５）において、図４Ｅに示すように、ＦＩＮＤ＿ＦＩＲＳＴ２パラメータにおいて、Ｓｅａｒｃｈ　ＣｏｕｎｔとＥｎｄ　Ｏｆ　Ｓｅａｒｃｈの値を設定する。模擬応答生成部２１は、Ｓｅａｒｃｈ　Ｃｏｕｎｔの数を、その後のデータ領域に格納される、ディレクトリおよびファイルの総数に一致する数に設定する。このデータ領域に格納されるディレクトリおよびファイルが、セキュリティ装置１０１が生成する模擬ディレクトリおよび模擬ファイルに相当する。前述のデータ領域に格納される情報は、模擬リソース固有情報蓄積部１７Ｂから取得した情報である。さらに、模擬応答生成部２１は、Ｅｎｄ　Ｏｆ　Ｓｅａｒｃｈフラグを０に設定する。このフラグを０にしている限り、問い合わせ元である感染装置３００は、アクセスしている模擬リソース上に、まだ模擬ディレクトリ及び模擬ファイルの少なくともいずれかが存在していると判断する。そして、そのような感染装置３００は、模擬リソースに関する情報を取得し続ける可能性が高い。すなわち、このフラグを１に設定しない限り、問い合わせ元である感染装置３００は、問い合わせをし続ける可能性がある。逆に、問い合わせを打ち切る場合、模擬応答生成部２１は、例えばこのフラグを１に設定する。このフラグを１に設定することによって、感染装置３００は、ディレクトリおよびファイルの一覧取得処理を終了する可能性がある。
　Ｅｎｄ　Ｏｆ　 Ｓｅａｒｃｈフラグが０に設定されたメッセージ（Ｍ５）を受信した場合、感染装置３００は、取得できていない模擬ディレクトリ又は模擬ファイルの一覧をさらに要求する。具体的には、感染装置３００は、模擬ディレクトリ又は模擬ファイルの一覧をさらに要求するために、ＳＭＢ　Ｔｒａｎｓ２　Ｒｅｑｕｅｓｔ（ＦＩＮＤ＿ＮＥＸＴ２）メッセージ（Ｍ６）を送信する。Ｅｎｄ　Ｏｆ　Ｓｅａｒｃｈフラグが１に設定されない限り、セキュリティ装置１０１及び感染装置３００は、このメッセージのやりとりを継続する（Ｍ７以降）。
　以上で説明した本実施形態には、セキュリティを向上させることができるという第１の効果がある。
　その理由は、模擬応答送信制御部２３が、感染装置３００から模擬リソースへの要求に応じて模擬応答生成部２１が生成した模擬応答によって送信されていない模擬応答の有無を表す要求終了フラグを、タイマー値に基づき制御するからである。感染装置３００その要求終了フラグに基づいて侵入を試みる場合、その要求終了フラグが、送信されていない模擬応答があることを表す間、感染装置３００は、要求を繰り返す。それにより、感染装置３００の侵入を行う動作は妨害される。従ってセキュリティを向上させることができる。
　一般に、ハニートークンは、いずれかの形式の情報であるが、その形式の情報が本来用いられる用途には用いられない、機密ではない偽の情報である。そのため、ある組織のネットワーク内において展開されているハニートークンが、そのネットワークに侵入したサイバー攻撃者によって取得されたとしても、組織にとって本来影響がないはずである。しかし、攻撃者によって流出した情報が本物の情報なのか偽の情報なのかの判断が困難である場合、本物の情報が流出したという評判が世に出ることによって、組織のブランド力が低下してしまう懸念がある。しかし、本実施の形態では、偽の情報によってハニートークンとして構成された電子情報の実体は存在せず、電子情報のメタ情報のみがハニートークンとして存在する。攻撃者がハニートークンを取得しても、このメタ情報のみが攻撃者の手に渡る。従って、より安全性の高い仮想的なハニートークンを利用することが可能である。
　より具体的には、本実施形態において仮想的に模擬されるディレクトリおよび模擬されるファイルに関して、攻撃者の手に渡る情報は、ディレクトリやファイルの生成日時、種別、名前、サイズなどのメタ情報のみ限られる。ディレクトリ及びファイルの情報の内容が含まれる電子情報は攻撃者の手に渡ることはない。なぜならば、そもそも電子情報の実体が存在しないからである。
　さらに、前述のメタ情報が、攻撃者にとって魅力的に映る情報を用いて構成されている場合、攻撃者は、目の前に存在しているように見える模擬ディレクトリや模擬ファイルの一覧を入手した時に、安易にあきらめずになんとかして電子情報の実体を取得しようと試みる可能性がある。このように、攻撃者が本来は存在しないディレクトリやファイルに対する試行を繰り返した場合、攻撃者に無駄な時間を浪費させることができる。このように、攻撃者をより欺きやすい欺瞞を仕掛けることができる。そして、攻撃コストを増加させることができる。従って、セキュリティを向上することができる。
　さらに、模擬リソース固有情報蓄積部１７Ｂに膨大な量の模擬リソースの固有情報が格納され、模擬リソース稼働管理部２０が、その膨大な量の模擬リソースを稼働させるよう設定されている場合、攻撃者に対してこの膨大な量の模擬リソースを送りかえし続けることができる。模擬リソースとして、例えば1,000万のディレクトリおよびファイルが存在しているかのように見えるように設定されている場合、攻撃者が情報の受信を途中でやめない限り、その攻撃者は、1,000万という数のディレクトリおよびファイルを延々と受信し続ける。例えば、1,000万のディレクトリ及びファイルの情報を、長時間（例えば１週間）延々と送り続けることも可能である。
　これによって、感染装置３００が、受信した情報をインメモリに蓄えている場合、メモリ使用量が増え続ける。その結果、感染装置３００のメモリ使用量が、許容できるメモリ使用量を超えた場合、メモリ不足が感染装置３００の動作に影響を及ぼす。感染装置３００の動作に対する影響として、例えば、プログラムの不正終了、プログラムの動作の不安定、プログラムの性能が十分には発揮されない状態になること、及び、ＣＰＵ使用量の上昇、などが考えられる。感染装置３００に、例えばＲＡＴ（Ｒｅｍｏｔｅ　Ａｄｍｉｎｉｓｔｒａｔｉｏｎ　Ｔｏｏｌ）が用いられている場合、感染装置３００が受信した情報は、ＲＡＴによって、ネットワークシステム２００の外に接続され、ＲＡＴと通信するプログラムが動作する装置に送信される。その場合、感染装置３００は、ＲＡＴと通信するプログラムが動作する装置に対して、受信した情報を送信し続ける。この時、ＲＡＴと通信するプログラムが動作する装置において、上述と同様の悪影響が発生することが想定される。
　感染装置３００が、受信した情報を、インメモリではなくファイルに書き出している場合、大量の情報を延々と受信し続けることによって、受信した情報が書き出されているファイルが巨大化する。この場合、感染装置３００において、攻撃者の意図によらず、例えば数ギガバイトの、巨大なサイズのファイルが生成されたり、保持するハードディスク領域が圧迫されたりする。攻撃者は、攻撃が早々に防御者によって発見されてしまうと、攻撃者が攻撃のためにこれまでにかけたコストが無駄になってしまう。攻撃者は、攻撃が防御者によって発見されない、息の長い攻撃基盤の構築を意図している。そのため、攻撃は、できるだけ検知の仕組みをすり抜けたり、解析システム上で動作していることを検知したり、とできるだけ派手な動きをせずにこっそりと動作するように制御される。本実施形態によると、目立たないよう制御される攻撃に対して、派手な動きを誘発する仕組みとしても効果が期待される。
　また、セキュリティ装置１０１は、メッセージの送信元の通信装置が悪意のある攻撃者であるか否かに関係なく、複数の模擬ディレクトリ、複数の模擬ファイル、及び、これらが展開されているように見える模擬ホストを生成する。従って、攻撃者が悪意をもつか検知する必要がない。よって、悪意を隠した巧妙な攻撃に対するセキュリティを向上することができる。
　仮想的に模擬する共有ネットワークリソースに関して、模擬ディレクトリや模擬ファイルの名称は、セキュリティ装置１０１が使用される組織でよく用いられる名称や名称規則に基づき設定されていればよい。これによって、攻撃者に対して、より魅力的な情報であると見せかけることができるので、さらに高いセキュリティを実現することができる。
　以上の説明では、本実施の形態では、模擬ホスト固有情報蓄積部１７Ａ及び模擬リソース固有情報蓄積部１７Ｂは、予め必要な情報が蓄積されている。しかし、セキュリティ装置１０１は、外部からの入力（図示されない）に応じて、前記模擬ホスト固有情報蓄積部１７Ａ及び模擬リソース固有情報蓄積部１７Ｂに格納されている設定値を更新する更新部（図示されない）を備えていてもよい。これにより、柔軟なシステム運用が可能である。
　以上の説明では、本実施の形態では、セキュリティ装置１０１が生成する模擬ネットワークリソースは、感染装置３００から見ると、外部に存在するネットワークリソースとして見えている。しかし、そのような模擬ネットワークリソースへのシンボリックリンクが感染装置３００において生成されていてもよい。模擬ネットワークリソースへのシンボリックリンクを生成することにより、感染装置３００のファイルシステムにおいて、その模擬ネットワークリソースを擬似的に展開することが可能である。
　以上で説明したように、攻撃者が感染装置３００上のディレクトリおよびファイルを捜索している状況において、本実施の形態の仕組みの効果を得ることができる。
　上述のように、本実施の形態にかかるセキュリティシステム１００では、模擬リソース固有情報蓄積部１７Ｂが複数の模擬リソースの固有情報を有する。模擬リソース稼働管理部２０が固有情報に基づいて、複数の模擬ホストの稼働状態を管理する。模擬リソース管理部１９が、受信したメッセージに含まれる要求に基づいて、模擬リソース稼働管理部２０が稼働させた複数の模擬リソースが応答するか否かを判定する。そして、模擬応答生成部２１が模擬リソース毎に模擬応答を生成して、模擬応答送信部２５が送信する。こうすることで、模擬ネットワークリソースを実在するかのように見せることが可能になる。すなわち、感染装置３００に対して、複数の模擬リソースを備えた仮想的な模擬共有ネットワークリソース１１０の幻想を見せることができる。
　＜第２の実施形態＞
　次に、本発明の第２の実施形態について、図面を参照して詳細に説明する。
　図５は、本実施形態のセキュリティシステム１００Ａの構成の例を表すブロック図である。
　図５を参照すると、本実施形態のセキュリティシステム１００Ａは、パケット受信部１１と、模擬リソース固有情報蓄積部１７Ｂと、模擬応答生成部２１と模擬応答送信制御部２３と、模擬応答送信部２５と、を備える。パケット受信部１１は、侵入を試みる侵入装置３００からの要求を受信する。模擬リソース固有情報蓄積部１７Ｂは、複数の仮想的な模擬リソースの固有情報を格納する。模擬応答生成部２１は、前記模擬リソースへの前記要求に応じて前記固有情報に基づき模擬応答を生成する。模擬応答送信制御部２３は、送信されていない前記模擬リソースの有無を表す要求終了フラグをタイマー値に基づき制御する模擬応答送信部２５は、前記模擬応答を、前記要求終了フラグに基づいて前記要求を送信する前記侵入装置に送信する。セキュリティシステム１００Ａは、以上の各部を含む１つの装置によって実現することができる。
　以上で説明した本実施形態には、第１の実施形態の第１の効果がある。その理由は、第１の実施形態の第１の効果が生じる理由と同じである。
　上述の実施の形態にかかるセキュリティシステム１００の一部または全部は、コンピュータプログラムによって実現されても良い。上述したプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある規則媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記憶（例えばフレキシブルディスク、磁気テープ、ハードディスドライブ）、光磁気記憶媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
　具体的には、セキュリティシステム１００及びセキュリティシステム１００Ａは、それぞれ、コンピュータ及びコンピュータを制御するプログラム、専用のハードウェア、又は、コンピュータ及びコンピュータを制御するプログラムと専用のハードウェアの組合せにより実現することができる。
　図６は、本発明の第１の実施形態に係るセキュリティ装置１０１及び第２の実施形態のセキュリティシステム１００Ａを実現することができる、コンピュータ１０００のハードウェア構成の一例を表す図である。図６を参照すると、コンピュータ１０００は、プロセッサ１００１と、メモリ１００２と、記憶装置１００３と、Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）インタフェース１００４とを含む。また、コンピュータ１０００は、記録媒体１００５にアクセスすることができる。メモリ１００２と記憶装置１００３は、例えば、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）、ハードディスクなどの記憶装置である。記録媒体１００５は、例えば、ＲＡＭ、ハードディスクなどの記憶装置、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、可搬記録媒体である。記憶装置１００３が記録媒体１００５であってもよい。プロセッサ１００１は、メモリ１００２と、記憶装置１００３に対して、データやプログラムの読み出しと書き込みを行うことができる。プロセッサ１００１は、Ｉ／Ｏインタフェース１００４を介して、例えば、ネットワークシステム２００にアクセスすることができる。プロセッサ１００１は、記録媒体１００５にアクセスすることができる。記録媒体１００５には、コンピュータ１０００を、セキュリティシステム１００又はセキュリティシステム１００Ａとして動作させるプログラムが格納されている。
　プロセッサ１００１は、記録媒体１００５に格納されている、コンピュータ１０００を、セキュリティシステム１００又はセキュリティシステム１００Ａとして動作させるプログラムを、メモリ１００２にロードする。そして、プロセッサ１００１が、メモリ１００２にロードされたプログラムを実行することにより、コンピュータ１０００は、セキュリティシステム１００又はセキュリティシステム１００Ａとして動作する。
　以下に示す第１グループに含まれる各部は、例えば、プログラムを記憶する記録媒体１００５からメモリ１００２に読み込まれた、各部の機能を実現することができる専用のプログラムと、そのプログラムを実行するプロセッサ１００１により実現することができる。第１グループは、パケット受信部１１と、パケット配送部１２と、ブロードキャストパケット処理部１３と、ユニキャストパケット処理部１４と、要求判定部１５とを含む。第１グループは、さらに、模擬ホスト管理部１６と、模擬ホスト起動管理部１８と、模擬リソース管理部１９と、模擬リソース稼働管理部２０と、模擬応答生成部２１と、模擬応答送信制御部２３と、模擬応答送信部２５とを含む。また、以下に示す第２グループに含まれる各部は、コンピュータ１０００が含むメモリ１００２やハードディスク装置等の記憶装置１００３により実現することができる。第２グループは、模擬ホスト固有情報蓄積部１７Ａと、模擬リソース固有情報蓄積部１７Ｂと、模擬応答テンプレート蓄積部２２と、模擬応答送信キュー２４とを含む。第２グループは、模擬ホスト固有情報蓄積部１７Ａ及び模擬リソース固有情報蓄積部１７Ｂを含む固有情報蓄積部１７と、模擬応答テンプレート蓄積部２２と、模擬応答送信キュー２４とを含んでいてもよい。あるいは、第１のグループに含まれる部と第２のグループに含まれる部の一部又は全部を、それらの部の機能を実現する専用の回路によって実現することもできる。
　また、上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
　（付記１）
　侵入を試みる侵入装置からの要求を受信するパケット受信手段と、
　複数の仮想的な模擬リソースの固有情報を格納する模擬リソース固有情報蓄積手段と、
　前記模擬リソースへの前記要求に応じて前記固有情報に基づき模擬応答を生成する模擬応答生成手段と、
　前記模擬応答によって送信されていない前記模擬リソースの有無を表す要求終了フラグをタイマー値に基づき制御する模擬応答送信制御手段と、
　前記模擬応答を、前記要求終了フラグに基づいて前記要求を送信する前記侵入装置に送信する模擬応答送信手段と、
　を備えるセキュリティシステム。
　（付記２）
　前記模擬応答送信制御手段は、前記模擬応答送信手段が送信した前記模擬応答の量に基づき前記タイマー値を決定し、
　前記タイマー値が予め設定されたタイマー閾値より大きくない場合に、前記要求終了フラグを前記有効値ではない値にセットし、
　前記タイマー値が前記タイマー閾をより大きい場合に、前記要求終了フラグを前記有効値にセットする
　付記１に記載のセキュリティシステム。
　（付記３）
　前記模擬応答送信制御手段は、模擬応答送信手段が模擬応答を送信しはじめた時刻からの経過時間に基づき前記タイマー値を決定し、
　前記タイマー値が予め設定されたタイマー閾値より大きくない場合に、前記要求終了フラグを前記有効値ではない値にセットし、
　前記タイマー値が前記タイマー閾値より大きい場合に、前記要求終了フラグを前記有効値にセットする
　付記１に記載のセキュリティシステム。
　（付記４）
　前記模擬応答送信手段は、前記タイマー値が前記タイマー閾値より大きくない場合に、前記模擬応答を送信し続ける
　付記２又は３に記載のセキュリティシステム。
　（付記５）
　前記模擬応答送信制御手段は、時間当たりに送信する模擬応答の量に応じて前記タイマー値をセットし、前記模擬応答送信手段の送信タイミングを前記タイマー値に基づき制御する
　付記１乃至４のいずれか１項に記載のセキュリティシステム。
　（付記６）
　前記模擬応答生成手段は、前記要求終了フラグの値を含む前記模擬応答を生成し、
　前記模擬応答送信手段は、前記要求終了フラグに基づき処理の継続判定を行う通信プロトコルを用いて前記模擬応答を送信する
　付記１乃至５のいずれか１項に記載のセキュリティシステム。
　（付記７）
　前記通信プロトコルは、ＮｅｔＢＩＯＳ　Ｎａｍｅ　Ｓｅｒｖｉｃｅ（ＮＢＮＳ）、ＳＭＢ（Ｓｅｒｖｅｒ　Ｍｅｓｓａｇｅ　Ｂｌｏｃｋ）を含む
　付記１乃至６のいずれか１項に記載のセキュリティシステム。
　（付記８）
　侵入を試みる侵入装置からの要求を受信し、
　前記模擬リソースへの前記要求に応じて複数の仮想的な模擬リソースの固有情報に基づき模擬応答を生成し、
　送信されていない前記模擬リソースの有無を表す要求終了フラグをタイマー値に基づき制御し、
　前記模擬応答を、前記要求終了フラグに基づいて前記要求を送信する前記侵入装置に送信する、
　セキュリティ方法。
　（付記９）
　送信した前記模擬応答の量に基づき前記タイマー値を決定し、
　前記タイマー値が予め設定されたタイマー閾値より大きい場合に、前記要求終了フラグを有効値にセットし、
　前記タイマー値が前記タイマー閾値より大きくない場合に、前記要求終了フラグを前記有効値以外の値にセットする
　付記８に記載のセキュリティ方法。
　（付記１０）
　前記模擬応答を送信しはじめた時刻からの経過時間に基づき前記タイマー値を決定し、
　前記タイマー値が予め設定されたタイマー閾値より大きい場合に、前記要求終了フラグを有効値にセットし、
　前記タイマー値が前記タイマー閾値より大きくない場合に、前記要求終了フラグを前記有効値以外の値にセットする
　付記８に記載のセキュリティ方法。
　（付記１１）
　前記タイマー値が前記タイマー閾値より大きくない場合に、前記模擬応答を送信し続ける
　付記９又は１０に記載のセキュリティ方法。
　（付記１２）
　時間あたりに送信する前記模擬応答の量に応じて前記タイマー値をセットし、前記模擬応答の送信タイミングを前記タイマー値に基づき制御する
　付記８乃至１１のいずれか１項に記載のセキュリティ方法。
　（付記１３）
　前記要求終了フラグの値を含む前記模擬応答を生成し、
　前記要求終了フラグに基づき処理の継続判定を行う通信プロトコルを用いて前記模擬応答を送信する
　付記８乃至１２のいずれか１項に記載のセキュリティ方法。
　（付記１４）
　前記通信プロトコルは、ＮｅｔＢＩＯＳ　Ｎａｍｅ　Ｓｅｒｖｉｃｅ（ＮＢＮＳ）、ＳＭＢ（Ｓｅｒｖｅｒ　Ｍｅｓｓａｇｅ　Ｂｌｏｃｋ）を含む
　付記８乃至１３のいずれか１項に記載のセキュリティ方法。
　（付記１５）
　コンピュータに、
　侵入を試みる侵入装置からの要求を受信するパケット受信処理と、
　前記模擬リソースへの前記要求に応じて複数の仮想的な模擬リソースの固有情報に基づき模擬応答を生成する模擬応答生成処理と、
　送信されていない前記模擬リソースの有無を表す要求終了フラグをタイマー値に基づき制御する模擬応答送信制御処理と、
　前記模擬応答を、前記要求終了フラグに基づいて前記要求を送信する前記侵入装置に送信する模擬応答送信処理と、
　を実行させるプログラム。
　（付記１６）
　コンピュータに、
　送信した前記模擬応答の量に基づき前記タイマー値を決定し、
　前記タイマー値が予め設定されたタイマー閾値より大きい場合に、前記要求終了フラグを有効値にセットせず、
　前記タイマー値が前記タイマー閾値より大きくない場合に、前記要求終了フラグを前記有効値以外の値にセットする前記模擬応答送信制御処理
　を実行させる付記１５に記載のプログラム。
　（付記１７）
　コンピュータに、
　前記模擬応答を送信しはじめた時刻からの経過時間に基づき前記タイマー値を決定し、
　前記タイマー値が予め設定されたタイマー閾値より大きい場合に、前記要求終了フラグを有効値にセットしない、
　前記タイマー値が前記タイマー閾値より大きくない場合に、前記要求終了フラグを前記有効値ではない値にセットする前記模擬応答送信制御処理
　を実行させる付記１５に記載のプログラム。
　（付記１８）
　コンピュータに、
　前記タイマー値が前記タイマー閾値より大きくない場合に、前記模擬応答を送信し続ける前記模擬応答送信処理
　を実行させる付記１６又は１７に記載のプログラム。
　（付記１９）
　コンピュータに、
　時間当たりに送信する前記もぎ応答の量に応じて前記タイマー値をセットし、前記模擬応答の送信タイミングを前記タイマー値に基づき制御する前記模擬応答送信制御処理
　を実行させる付記１５乃至１８のいずれか１項に記載のプログラム。
　（付記２０）
　コンピュータに、
　前記要求終了フラグの値を含む前記模擬応答を生成する前記模擬応答生成処理と、
　前記要求終了フラグに基づき処理の継続判定を行う通信プロトコルを用いて前記模擬応答を送信する前記模擬応答送信処理と、
　を実行させる付記１５乃至１９のいずれか１項に記載のプログラム。
　（付記２１）
　前記通信プロトコルは、ＮｅｔＢＩＯＳ　Ｎａｍｅ　Ｓｅｒｖｉｃｅ（ＮＢＮＳ）、ＳＭＢ（Ｓｅｒｖｅｒ　Ｍｅｓｓａｇｅ　Ｂｌｏｃｋ）を含む
　付記１５乃至２０のいずれか１項に記載のプログラム。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解しえる様々な変更をすることができる。
　この出願は、２０１５年５月２７日に出願された日本出願特願２０１５－１０７１１５を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　１１　　パケット受信部
　１２　　パケット配送部
　１３　　ブロードキャストパケット処理部
　１４　　ユニキャストパケット処理部
　１５　　要求判定部
　１６　　模擬ホスト管理部
　１７　　固有情報蓄積部
　１７Ａ　　模擬ホスト固有情報蓄積部
　１７Ｂ　　模擬リソース固有情報蓄積部
　１８　　模擬ホスト起動管理部
　１９　　模擬リソース管理部
　２０　　模擬リソース稼働管理部
　２１　　模擬応答生成部
　２２　　模擬応答テンプレート蓄積部
　２３　　模擬応答送信制御部
　２４　　模擬応答送信キュー
　２５　　模擬応答送信部
　１００　　セキュリティシステム
　１００Ａ　　セキュリティシステム
　１０１　　セキュリティ装置
　１１０　　模擬共有ネットワークリソース
　１１１、１１２　　模擬ディレクトリ
　１１３、１１４　　模擬ファイル
　１０２　　通信装置
　１２０　　共有ネットワークリソース
　１２１　　実ディレクトリ
　１２２　　実ファイル
　２００　　ネットワークシステム
　３００　　感染装置
　１０００　　コンピュータ
　１００１　　プロセッサ
　１００２　　メモリ
　１００３　　記憶装置
　１００４　　Ｉ／Ｏインタフェース
　１００５　　記録媒体
　Ｓ１～Ｓ８　　模擬リソース一覧の取得シーケンスにおける処理
　Ｍ１～Ｍ７　　模擬応答生成部が生成するメッセージ

Claims (10)

  1. 　侵入を試みる侵入装置からの要求を受信するパケット受信手段と、
    　複数の仮想的な模擬リソースの固有情報を格納する模擬リソース固有情報蓄積手段と、
    　前記模擬リソースへの前記要求に応じて前記固有情報に基づき模擬応答を生成する模擬応答生成手段と、
    　前記模擬応答によって送信されていない前記模擬リソースの有無を表す要求終了フラグをタイマー値に基づき制御する模擬応答送信制御手段と、
    　前記模擬応答を、前記要求終了フラグに基づいて前記要求を送信する前記侵入装置に送信する模擬応答送信手段と、
    　を備えるセキュリティシステム。
  2. 　前記模擬応答送信制御手段は、前記模擬応答送信手段が送信した前記模擬応答の量に基づき前記タイマー値を決定し、
    　前記タイマー値が予め設定されたタイマー閾値より大きくない場合に、前記要求終了フラグを前記有効値ではない値にセットし、
    　前記タイマー値が前記タイマー閾をより大きい場合に、前記要求終了フラグを前記有効値にセットする
    　請求項１に記載のセキュリティシステム。
  3. 　前記模擬応答送信制御手段は、模擬応答送信手段が模擬応答を送信しはじめた時刻からの経過時間に基づき前記タイマー値を決定し、
    　前記タイマー値が予め設定されたタイマー閾値より大きくない場合に、前記要求終了フラグを前記有効値ではない値にセットし、
    　前記タイマー値が前記タイマー閾値より大きい場合に、前記要求終了フラグを前記有効値にセットする
    　請求項１に記載のセキュリティシステム。
  4. 　前記模擬応答送信手段は、前記タイマー値が前記タイマー閾値より大きくない場合に、前記模擬応答を送信し続ける
    　請求項２又は３に記載のセキュリティシステム。
  5. 　前記模擬応答送信制御手段は、時間当たりに送信する模擬応答の量に応じて前記タイマー値をセットし、前記模擬応答送信手段の送信タイミングを前記タイマー値に基づき制御する
    　請求項１乃至４のいずれか１項に記載のセキュリティシステム。
  6. 　前記模擬応答生成手段は、前記要求終了フラグの値を含む前記模擬応答を生成し、
    　前記模擬応答送信手段は、前記要求終了フラグに基づき処理の継続判定を行う通信プロトコルを用いて前記模擬応答を送信する
    　請求項１乃至５のいずれか１項に記載のセキュリティシステム。
  7. 　前記通信プロトコルは、ＮｅｔＢＩＯＳ　Ｎａｍｅ　Ｓｅｒｖｉｃｅ（ＮＢＮＳ）、ＳＭＢ（Ｓｅｒｖｅｒ　Ｍｅｓｓａｇｅ　Ｂｌｏｃｋ）を含む
    　請求項１乃至６のいずれか１項に記載のセキュリティシステム。
  8. 　侵入を試みる侵入装置からの要求を受信し、
    　前記模擬リソースへの前記要求に応じて複数の仮想的な模擬リソースの固有情報に基づき模擬応答を生成し、
    　送信されていない前記模擬リソースの有無を表す要求終了フラグをタイマー値に基づき制御し、
    　前記模擬応答を、前記要求終了フラグに基づいて前記要求を送信する前記侵入装置に送信する、
    　セキュリティ方法。
  9. 　送信した前記模擬応答の量に基づき前記タイマー値を決定し、
    　前記タイマー値が予め設定されたタイマー閾値より大きい場合に、前記要求終了フラグを有効値にセットし、
    　前記タイマー値が前記タイマー閾値より大きくない場合に、前記要求終了フラグを前記有効値以外の値にセットする
    　請求項８に記載のセキュリティ方法。
  10. 　コンピュータに、
    　侵入を試みる侵入装置からの要求を受信するパケット受信処理と、
    　前記模擬リソースへの前記要求に応じて複数の仮想的な模擬リソースの固有情報に基づき模擬応答を生成する模擬応答生成処理と、
    　送信されていない前記模擬リソースの有無を表す要求終了フラグをタイマー値に基づき制御する模擬応答送信制御処理と、
    　前記模擬応答を、前記要求終了フラグに基づいて前記要求を送信する前記侵入装置に送信する模擬応答送信処理と、
    　を実行させるプログラムを記憶する記録媒体。
PCT/JP2016/002461 2015-05-27 2016-05-20 セキュリティシステム、セキュリティ方法、及びプログラムを記憶する記録媒体 WO2016189841A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US15/574,543 US10868830B2 (en) 2015-05-27 2016-05-20 Network security system, method, recording medium and program for preventing unauthorized attack using dummy response
JP2017520228A JP6693516B2 (ja) 2015-05-27 2016-05-20 セキュリティシステム、セキュリティ方法、及びプログラムを記憶する記録媒体

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-107115 2015-05-27
JP2015107115 2015-05-27

Publications (1)

Publication Number Publication Date
WO2016189841A1 true WO2016189841A1 (ja) 2016-12-01

Family

ID=57392689

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/002461 WO2016189841A1 (ja) 2015-05-27 2016-05-20 セキュリティシステム、セキュリティ方法、及びプログラムを記憶する記録媒体

Country Status (3)

Country Link
US (1) US10868830B2 (ja)
JP (1) JP6693516B2 (ja)
WO (1) WO2016189841A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020008872A1 (ja) * 2018-07-06 2020-01-09 日立オートモティブシステムズ株式会社 車載セキュリティシステムおよび攻撃対処方法

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20170324774A1 (en) * 2016-05-05 2017-11-09 Javelin Networks, Inc. Adding supplemental data to a security-related query
US10515187B2 (en) 2016-06-29 2019-12-24 Symantec Corporation Artificial intelligence (AI) techniques for learning and modeling internal networks
US10637864B2 (en) 2016-05-05 2020-04-28 Ca, Inc. Creation of fictitious identities to obfuscate hacking of internal networks
US11102214B2 (en) * 2018-08-27 2021-08-24 Amazon Technologies, Inc. Directory access sharing across web services accounts
CN112242984B (zh) * 2019-07-19 2023-05-30 伊姆西Ip控股有限责任公司 检测异常网络请求的方法、电子设备和计算机程序产品
US11509691B2 (en) * 2020-05-15 2022-11-22 Paypal, Inc. Protecting from directory enumeration using honeypot pages within a network directory

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002342279A (ja) * 2001-03-13 2002-11-29 Fujitsu Ltd フィルタリング装置、フィルタリング方法およびこの方法をコンピュータに実行させるプログラム
JP2008306610A (ja) * 2007-06-11 2008-12-18 Hitachi Ltd 不正侵入・不正ソフトウェア調査システム、および通信振分装置
WO2009032379A1 (en) * 2007-06-12 2009-03-12 The Trustees Of Columbia University In The City Of New York Methods and systems for providing trap-based defenses

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6643795B1 (en) * 2000-03-30 2003-11-04 Hewlett-Packard Development Company, L.P. Controller-based bi-directional remote copy system with storage site failover capability
US20020133606A1 (en) 2001-03-13 2002-09-19 Fujitsu Limited Filtering apparatus, filtering method and computer product
JP4683518B2 (ja) 2001-07-24 2011-05-18 Ｋｄｄｉ株式会社 不正侵入防止システム
US7383578B2 (en) * 2002-12-31 2008-06-03 International Business Machines Corporation Method and system for morphing honeypot
JP2005004617A (ja) 2003-06-13 2005-01-06 Mitsubishi Electric Corp 不正侵入対策処理システム、攻撃分析・応答装置およびネットワーク遮断・模擬装置並びに不正侵入対策処理方法
JP2005084820A (ja) 2003-09-05 2005-03-31 Toshiba Corp 入出力装置の模擬機能を備えた制御装置
US9076132B2 (en) * 2003-11-07 2015-07-07 Emc Corporation System and method of addressing email and electronic communication fraud
US8065722B2 (en) * 2005-03-21 2011-11-22 Wisconsin Alumni Research Foundation Semantically-aware network intrusion signature generator
US8015605B2 (en) * 2005-08-29 2011-09-06 Wisconsin Alumni Research Foundation Scalable monitor of malicious network traffic
US8479288B2 (en) * 2006-07-21 2013-07-02 Research In Motion Limited Method and system for providing a honeypot mode for an electronic device
JP2008236415A (ja) 2007-03-20 2008-10-02 Toshiba Corp ウィルス感染防止装置、ウィルス感染防止システム及びウィルス感染防止プログラム
US7937468B2 (en) * 2007-07-06 2011-05-03 Yahoo! Inc. Detecting spam messages using rapid sender reputation feedback analysis
JP5697206B2 (ja) * 2011-03-31 2015-04-08 インターナショナル・ビジネス・マシーンズ・コーポレーションＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ 不正アクセスに対する防御をするシステム、方法およびプログラム
US8789179B2 (en) * 2011-10-28 2014-07-22 Novell, Inc. Cloud protection techniques
US20140101724A1 (en) * 2012-10-10 2014-04-10 Galois, Inc. Network attack detection and prevention based on emulation of server response and virtual server cloning
US9495180B2 (en) * 2013-05-10 2016-11-15 Fireeye, Inc. Optimized resource allocation for virtual machines within a malware content detection system
WO2016031103A1 (ja) 2014-08-25 2016-03-03 日本電気株式会社 セキュリティシステム、セキュリティ方法、及びコンピュータ可読媒体
US9560075B2 (en) * 2014-10-22 2017-01-31 International Business Machines Corporation Cognitive honeypot

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002342279A (ja) * 2001-03-13 2002-11-29 Fujitsu Ltd フィルタリング装置、フィルタリング方法およびこの方法をコンピュータに実行させるプログラム
JP2008306610A (ja) * 2007-06-11 2008-12-18 Hitachi Ltd 不正侵入・不正ソフトウェア調査システム、および通信振分装置
WO2009032379A1 (en) * 2007-06-12 2009-03-12 The Trustees Of Columbia University In The City Of New York Methods and systems for providing trap-based defenses

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
TAKAHIRO KAKUMARU ET AL.: "A Simulative Deception Method against Targeted Attack Activities on Intranet", CSS2014, 24 October 2014 (2014-10-24), pages 735 - 742 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020008872A1 (ja) * 2018-07-06 2020-01-09 日立オートモティブシステムズ株式会社 車載セキュリティシステムおよび攻撃対処方法

Also Published As

Publication number Publication date
US20180159897A1 (en) 2018-06-07
JP6693516B2 (ja) 2020-05-13
US10868830B2 (en) 2020-12-15
JPWO2016189841A1 (ja) 2018-04-26

Similar Documents

Publication Publication Date Title
JP6690644B2 (ja) セキュリティシステム、セキュリティ方法、及びプログラムを記憶する記録媒体
WO2016189841A1 (ja) セキュリティシステム、セキュリティ方法、及びプログラムを記憶する記録媒体
Mairh et al. Honeypot in network security: a survey
EP3171572B1 (en) Network security protection method and device
US8561188B1 (en) Command and control channel detection with query string signature
JP6460112B2 (ja) セキュリティシステム、セキュリティ方法およびプログラム
JP5713445B2 (ja) 通信監視システム及び方法及び通信監視装置及び仮想ホスト装置及び通信監視プログラム
JP6441510B2 (ja) Ｕｓｂ攻撃防御
US20130031626A1 (en) Methods of detecting dns flooding attack according to characteristics of type of attack traffic
Shi et al. Dynamic distributed honeypot based on blockchain
CN112491892A (zh) 一种网络攻击诱导方法、装置、设备及介质
Arukonda et al. The innocent perpetrators: reflectors and reflection attacks
CN112688900B (zh) 一种防御arp欺骗和网络扫描的局域网安全防护系统及方法
JP2020017809A (ja) 通信装置及び通信システム
Khalaf et al. A simulation study of syn flood attack in cloud computing environment
CN111800401A (zh) 业务报文的防护方法、装置、系统和计算机设备
Anwar et al. Android botnets: a serious threat to android devices.
Sharp An introduction to malware
CN104796386B (zh) 一种僵尸网络的检测方法、装置和系统
CN111865876B (zh) 网络的访问控制方法和设备
CN112118204B (zh) 一种Windows文件系统非法访问的感知方法及系统
CN113630381A (zh) 一种基于分布式与人工智能的双工赋能网络攻防的方法及系统
KR20090081619A (ko) 파일 전송 보안 방법 및 장치
KR101445817B1 (ko) 서비스 이용 제어 방법 및 장치
KR102184757B1 (ko) 네트워크 은닉 시스템 및 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16799554

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017520228

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 15574543

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16799554

Country of ref document: EP

Kind code of ref document: A1