WO2021124485A1 - 管理装置、管理方法、及びプログラム - Google Patents

管理装置、管理方法、及びプログラム Download PDF

Info

Publication number
WO2021124485A1
WO2021124485A1 PCT/JP2019/049650 JP2019049650W WO2021124485A1 WO 2021124485 A1 WO2021124485 A1 WO 2021124485A1 JP 2019049650 W JP2019049650 W JP 2019049650W WO 2021124485 A1 WO2021124485 A1 WO 2021124485A1
Authority
WO
WIPO (PCT)
Prior art keywords
address information
information
management
management device
period
Prior art date
Application number
PCT/JP2019/049650
Other languages
English (en)
French (fr)
Inventor
健太郎 園田
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US17/780,637 priority Critical patent/US20230006969A1/en
Priority to JP2021565237A priority patent/JP7416089B2/ja
Priority to PCT/JP2019/049650 priority patent/WO2021124485A1/ja
Publication of WO2021124485A1 publication Critical patent/WO2021124485A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Definitions

  • the present invention relates to a management device, a management method, and a program for managing address information to be managed for access control via a communication network.
  • CTI cyber threat intelligence
  • Governments and businesses are using CTI to take measures to prevent cyber attacks.
  • CTI mainly uses information such as the IP address of the attack source and the hash value indicating malware.
  • information is called, for example, a blacklist. That is, the government or a company uses such a blacklist as, for example, an access control list (Access Control List, ACL) of a firewall, that is, a list of IP addresses to be blocked.
  • ACL Access Control List
  • an attack source address that satisfies an arbitrary predicted coverage rate by calculating an attack type, an attack source address, and the number of attacks from threat information and the like It is disclosed to be registered as a blacklist.
  • the blacklist can be huge. Therefore, if all the address information included in the blacklist is continuously managed as an access control target, for example, the performance of the firewall may deteriorate.
  • An object of the present invention is to provide a management device, a management method, and a program capable of appropriately managing address information that can be the target of access control.
  • the management device has an acquisition unit that acquires address information to be managed for access control via a communication network, and the address based on the information related to the address information.
  • the information includes a setting unit for setting an effective management period to be managed for the access control.
  • the management method is to acquire the address information to be managed for access control via the communication network, and the address information is based on the information related to the address information. To set an effective management period to be managed for the above access control.
  • the program acquires the address information to be managed for access control via the communication network, and based on the information related to the address information, the program obtains the address information. , Set the effective management period to be managed for the above access control, and let the computer execute.
  • FIG. 1 is a block diagram showing an example of a schematic configuration of the management device 100a according to the first embodiment.
  • FIG. 2 is a diagram showing a specific example of the threat information 200.
  • FIG. 3 is a flowchart showing a flow of an example of the effective management period setting process for idle timeout.
  • FIG. 4 is a diagram showing a specific example of a change in the effective management period for a hard timeout according to a change in a risk value.
  • FIG. 5 is a flowchart showing a flow of an example of the effective management period setting process for idle timeout.
  • FIG. 6 is a diagram showing a calculation example 600 of the appearance frequency of addresses.
  • FIG. 7 is a flowchart showing an example flow of a process for adjusting the effective management period.
  • FIG. 1 is a block diagram showing an example of a schematic configuration of the management device 100a according to the first embodiment.
  • FIG. 2 is a diagram showing a specific example of the threat information 200.
  • FIG. 3 is
  • FIG. 8 is a diagram showing a specific example of the process of updating the effective management period.
  • FIG. 9 is a flowchart showing a flow of an example of processing performed by the determination unit 137.
  • FIG. 10 is a diagram showing an example of information indicating the correspondence.
  • FIG. 11 is a time chart showing the overall processing flow of the management device 100a.
  • FIG. 12 is a block diagram showing an example of a schematic configuration of the management device 100b according to the modified example.
  • FIG. 13 is a time chart showing the overall processing flow of the management device 100b.
  • FIG. 14 is a block diagram showing an example of a schematic configuration of the management device 100c according to the second embodiment.
  • CTI cyber threat intelligence
  • Governments and businesses are using CTI to take measures to prevent cyber attacks.
  • CTI mainly uses information such as the IP address of the attack source and the hash value indicating malware.
  • information is called, for example, a blacklist. That is, the government or a company uses such a blacklist as, for example, an access control list (Access Control List, ACL) of a firewall, that is, a list of IP addresses to be blocked.
  • ACL Access Control List
  • the blacklist can be huge. Therefore, if all the address information included in the blacklist is continuously managed as an access control target, for example, the performance of the firewall may be deteriorated.
  • the attack source IP address is rarely used continuously. Therefore, the attack source IP address is likely to be deleted immediately after the attack. That is, a cyber attacker is likely to make a new attack using another IP address. Therefore, the generated blacklist is likely to quickly become obsolete.
  • the purpose of this embodiment is to appropriately manage the address information that can be the target of access control. More specifically, the purpose is to appropriately determine whether or not it is effective in managing address information that can be the target of access control.
  • address information to be managed for access control via a communication network is acquired, and based on the information related to the address information, the above address information is added to the above. Set the effective management period to be managed for access control.
  • FIG. 1 is a block diagram showing an example of a schematic configuration of the management device 100a according to the first embodiment.
  • the management device 100a includes a network communication unit 110, a storage unit 120, and a processing unit 130.
  • the network communication unit 110 receives a signal from the network and transmits the signal to the network.
  • Storage unit 120 The storage unit 120 temporarily or permanently stores programs (instructions) and parameters for the operation of the management device 100a, as well as various data.
  • the program includes one or more instructions for the operation of the management device 100a.
  • the processing unit 130 provides various functions of the management device 100a.
  • the processing unit 130 includes an address information acquisition unit 131, a setting unit 133, a risk information acquisition unit 135, a determination unit 137, and a generation unit 139.
  • the processing unit 130 may further include other components other than these components. That is, the processing unit 130 may perform operations other than the operations of these components.
  • the specific operations of the address information acquisition unit 131, the setting unit 133, the risk information acquisition unit 135, the determination unit 137, and the generation unit 139 will be described in detail later.
  • the network communication unit 110 may be implemented by a network adapter and / or a network interface card or the like.
  • the storage unit 120 may be mounted by a memory (for example, a non-volatile memory and / or a volatile memory) and / or a hard disk.
  • the processing unit 130 may be implemented by one or more processors.
  • the address information acquisition unit 131, the setting unit 133, the risk information acquisition unit 135, the determination unit 137, and the generation unit 139 may be implemented by the same processor or may be separately implemented by different processors.
  • the memory (storage unit 120) may be contained in the one or more processors, or may be outside the one or more processors.
  • the management device 100a may include a memory for storing a program (instruction) and one or more processors capable of executing the program (instruction).
  • the one or more processors execute the above program and operate the processing unit 130 (operations of the address information acquisition unit 131, the setting unit 133, the risk information acquisition unit 135, the judgment unit 137, and / or the generation unit 139). May be done.
  • the above program is a program for causing the processor to execute the operation of the processing unit 130 (the operation of the address information acquisition unit 131, the setting unit 133, the risk information acquisition unit 135, the judgment unit 137, and / or the generation unit 139). May be good.
  • the management device 100a acquires the address information to be managed for access control via the communication network.
  • the management device 100a sets the effective management period to be managed for the access control in the address information based on the information related to the address information.
  • the address information that can be the target of the access control can be appropriately managed. It will be possible.
  • the above address information is information (IP address, domain name, etc.) included in the threat information as described below.
  • the threat information is a list suggesting a cyber attack, and is a list of information related to the attack.
  • FIG. 2 is a diagram showing a specific example of the threat information 200.
  • the threat information 200 is, for example, information regarding a cyber attack received by a government or a company.
  • the threat information 200 includes an observation point for observing access that may be a threat target, a time stamp relating to the time identified as a threatening access by the observation point, an IP address of the threatening access, and the threatening access.
  • the domain name, the e-mail message sent from the threatening access, the malware sent from the threatening access, and the like are associated with each other.
  • the threat information 200 includes malware
  • the hash value of the malware is also included in the threat information 200.
  • the above-mentioned threat information 200 is collected by, for example, the address information acquisition unit 131. That is, the address information acquisition unit 131 receives the threat information 200 by crawling for automatic collection, or receives the threat information 200 from another organization. For example, the address information acquisition unit 131 stores the collected threat information 200 in the storage unit 120.
  • the information on the address information includes, for example, the location information assigned to the address.
  • the location information assigned to the address information is country information, regional information, or the like specified from the address information (for example, an IP address).
  • the above-mentioned information regarding the above-mentioned address information may include attack history information regarding a cyber attack from a network node specified by the above-mentioned address information.
  • the attack history information is historical information obtained based on a plurality of threat information having different acquisition routes and acquisition timings, as will be described later. More specifically, the attack history information is the number of occurrences of address information appearing as threat information in a plurality of threat information collected by a plurality of observation points on a communication network (hereinafter, also referred to as appearance frequency). Contains information about. For example, it can be determined that addresses collected as threat information at multiple observation points are likely to be the source of cyber attacks. Further, each observation point is specified by the type included in the threat information 200 shown in FIG. 2, for example.
  • the attack history information may include information (attack frequency) regarding the number of cyber attacks in a predetermined period.
  • the effective management period includes a period from the time when the address information becomes the management target to the time when the address information should be excluded from the management target. Specifically, such a period corresponds to an effective management period for a hard timeout that is forcibly expired at a specified time.
  • the effective management period may include a period from the time when the last communication is performed from the network node specified by the address information to the time when the address information should be excluded from the management target. Specifically, such a period corresponds to an effective management period for idle timeout, in which the deadline is extended when there is an access satisfying a predetermined condition from the network node by a specified time.
  • FIG. 3 is a flowchart showing a flow of an example of the effective management period setting process for idle timeout.
  • the management device 100a (setting unit 133) accesses the storage unit 120 or the like and acquires the address information to be set (step S301).
  • the management device 100a refers to the geopolitical risk information and identifies the risk value associated with the location information (for example, country information) assigned to the address information (step S303).
  • the geopolitical risk information is, for example, information that is updated monthly or daily, and includes information including geopolitical risk values of each country. Such information is acquired, for example, by the risk information acquisition unit 135 and stored in the storage unit 120.
  • the management device 100a sets the effective management period for the hard timeout based on the risk value associated with the position information (step S305). For example, the set valid management period for the hard timeout is stored in the storage unit 120. Then, the process shown in FIG. 3 is completed.
  • FIG. 4 is a diagram showing a specific example of the change in the effective management period for the hard timeout according to the fluctuation of the risk value.
  • Case 410 corresponds to an example of an effective management period for a hard timeout calculated based on a risk value as of February 20xx. That is, in Case 410, the risk value of "Country X" is specified as the country assigned to the IP address based on the geopolitical risk information, and the risk value is specified as "81.94" as the initial value of the effective management period for hard timeout. , "90 days" is set.
  • Case 420 corresponds to an example of an effective management period for hard timeout calculated based on the risk value 8 months after Case 410 (October 20xx).
  • the risk value of "country X" is higher in the country assigned to the IP address than in case 410, that is, it fluctuates from "81.94" to "210.6", so that the hard timeout occurs.
  • the valid management period for is set to "231.3 days”.
  • geopolitical risk information for example, GPR (Geopolitical Risk) Index, which quantifies geopolitical risk, is used.
  • GPR Index Geopolitical Risk Index
  • other evaluation indexes related to geopolitical risk may be used as geopolitical risk information.
  • the management device 100a (setting unit 133) can appropriately set the effective management period for the hard timeout in consideration of the geopolitical risk information.
  • FIG. 5 is a flowchart showing a flow of an example of the effective management period setting process for idle timeout.
  • the management device 100a (setting unit 133) accesses the storage unit 120 and the like to acquire a plurality of threat information having different aggregation times, aggregation routes, and the like (step S501).
  • the management device 100a calculates the appearance frequency of the address (for example, IP address) included in the address information to be set for the effective management period based on the plurality of threat information (step S503).
  • FIG. 6 is a diagram showing a calculation example 600 of the appearance frequency of addresses.
  • the appearance frequency of the IP address is calculated based on the four threat information AD. For example, focusing on the IP address "1.1.1.1”, since it is included in each of the four threat information AD, the appearance frequency is calculated to be 4/4. Further, paying attention to the IP address "2.2.2.2", since it is included in each of the two threat information B and D, the appearance frequency is calculated to be 2/4. If access from a certain address can be collected as threat information at many observation points, the frequency of appearance of that address will increase. Therefore, it can be determined that an address with a high frequency of appearance is likely to be an attack source of a cyber attack.
  • the management device 100a sets an effective management period for idle timeout based on the calculated frequency of occurrence of addresses (step S505). For example, it is assumed that the higher the frequency of appearance, the higher the risk, in other words, the higher the need for access. Therefore, the management device 100a (setting unit 133) sets the period so that the higher the frequency of occurrence of the address, the longer the effective management period for the idle timeout.
  • the effective management period for idle timeout is 14 days and the effective management period for the IP address "1.1.1.1” and the IP address "2.2.2.2", respectively. It is set to 7 days.
  • the set effective management period for idle timeout is stored in the storage unit 120. Then, the process shown in FIG. 5 is completed.
  • the management device 100a (setting unit 133) may calculate the effective management period for the hard timeout based on the frequency of occurrence of the address, or calculate the effective management period for the idle timeout based on the geopolitical risk information. You may.
  • FIG. 7 is a flowchart showing an example flow of a process for adjusting the effective management period.
  • the management device 100a (setting unit 133) accesses the storage unit 120, and for example, whether or not the valid management period for the hard timeout has been set for the address information for which the valid management period is set. Is determined (step S701). If the settings have already been made (S701: Yes), the management device 100a (setting unit 133) updates the effective management period for the hard timeout (step S703), and proceeds to step S707. On the other hand, if it has not been set (S701: No), the management device 100a (setting unit 133) initially sets the effective management period for the hard timeout (step S705), and proceeds to step S707.
  • the management device 100a accesses the storage unit 120 and determines whether or not the valid management period for idle timeout has been set for the address information for which the valid management period is set, for example. (Step S707). If the settings have already been made (S707: Yes), the management device 100a (setting unit 133) updates the effective management period for idle timeout (step S709), and ends the process shown in FIG. 7. On the other hand, if it has not been set (S707: No), the management device 100a (setting unit 133) initially sets the effective management period for idle timeout (step S711), and ends the process shown in FIG. ..
  • FIG. 8 is a diagram showing a specific example of the process of updating the effective management period.
  • the valid management period for idle timeout is updated in the order of periods 813 and 815 every time there is a request from the IP address to be set after the period 811 is initially set.
  • the effective management period for hard timeout is set to period 823, for example, when new geopolitical risk information is acquired, regardless of whether or not there is a request from the IP address to be set after the period 821 is initially set. Will be updated.
  • the management device 100a may determine whether or not communication is possible with the network node specified by the address information.
  • FIG. 9 is a flowchart showing a flow of an example of processing performed by the determination unit 137.
  • the management device 100a (determination unit 137) accesses the storage unit 120 and acquires the address information (IP address) for which the valid management period is set (step S901).
  • the management device 100a determines whether or not communication to the IP address is possible (step S903). Specifically, the management device 100a (determination unit 137) may determine whether or not communication to the IP address is possible by using a typical communication confirmation tool such as ping or Traceroute. Not limited to the above example, other communication confirmation tools may be used.
  • a typical communication confirmation tool such as ping or Traceroute. Not limited to the above example, other communication confirmation tools may be used.
  • the management device 100a determines that communication is possible (S903: Yes)
  • the management device 100a registers information indicating communication is possible (step S905). That is, the information indicating that communication is possible is stored in the storage unit 120. Then, the process shown in FIG. 9 is completed.
  • the management device 100a determines that communication is not possible (S903: No)
  • the management device 100a registers information indicating that communication is not possible (step S907). That is, the information indicating that communication is impossible is stored in the storage unit 120. Then, the process shown in FIG. 9 is completed.
  • the management device 100a determines the effective management period based on the result of the determination regarding whether or not communication is possible. It may be set. For example, when the management device 100a (setting unit 133) cannot communicate with the network node specified by the address information, the effective management period may be set to 0, and when communication is possible. The period may be set so that the effective management period is shorter than that of.
  • the management device 100a (generation unit 139) generates information indicating the correspondence between the address information and the effective management period set in the address.
  • the information generated in this way is stored in the storage unit 120, so that the information is managed.
  • FIG. 10 is a diagram showing an example of information indicating the correspondence relationship.
  • the information 1000 indicating the correspondence relationship includes an IP address, a hard timeout value (the end time of the effective management period for the hard timeout), an idle timeout value (the end time of the effective management period for the idle timeout), and communication. Includes status and last updated date and time.
  • the communication state is "1"
  • the communication state is "0"
  • FIG. 11 is a time chart showing the overall processing flow of the management device 100a.
  • the address information included in the threat information is acquired by the address information acquisition unit (S1101).
  • communication confirmation determination of communication availability
  • the management device 100a determination unit 137
  • information regarding the determination result is stored (registered) in the storage unit 120 (S1105).
  • the management device 100a sets an effective management period for a hard timeout related to the address information based on the geopolitical risk information and the like (S1107).
  • the set effective management period is stored (registered) in the storage unit 120.
  • the management device 100a sets an effective management period for idle timeout regarding the address information based on the threat information or the like (S1109).
  • the set effective management period is stored (registered) in the storage unit 120.
  • the information generated by the management device 100a (generation unit 139), which indicates the correspondence between the address information and the effective management period, is stored (registered) in the storage unit 120 as information regarding the effective management period. (S1111). After that, the process shown in FIG. 11 ends.
  • an effective management period for hard timeout utilizing geopolitical risk information is set, and for idle timeout utilizing the frequency of occurrence of threat information. You can set the effective management period of.
  • the management device 100a can manage the effective management period by utilizing the latest threat information and taking into consideration the above-mentioned update of each effective management period and the information indicating whether or not communication with the IP address is possible. .. In this way, the management device 100a can appropriately manage the expiration date of the blacklist, for example.
  • FIG. 12 is a block diagram showing an example of a schematic configuration of the management device 100b according to the modified example.
  • the management device 100b is described above in that the processing unit 130 further includes a management control unit 141 that manages the address information as a management target based on the effective management period set by the setting unit 133. It is different from the management device 100a.
  • the processing related to the management control unit 141 will be described.
  • the management device 100b (management control unit 141) performs a process of excluding the address information from the management target when the effective management period set in the address information has elapsed.
  • the management device 100b (management control unit 141) operates a timer function for a hard timeout and an idle timeout set in the IP address, and at the moment when each effective management period elapses, the management device 100b Instructs a security device that can communicate with (for example, a device that constitutes a firewall) to remove the IP address from the blacklist.
  • FIG. 13 is a time chart showing the overall processing flow of the management device 100b.
  • the processes shown in S1301 to S1311 are the same as the processes shown in S1101 to 1111 shown in FIG. 11 described above, and thus the description thereof will be omitted.
  • the management device 100b manages the effective management period such as operating the timer function for the hard timeout and the idle timeout (S1311). S1313). Then, the management device 100b (management control unit 141) performs access control such as an instruction to delete the IP address to the security device based on the timer function (S1315).
  • Second embodiment >> Subsequently, a second embodiment of the present invention will be described with reference to FIG.
  • the first embodiment described above is a specific embodiment, but the second embodiment is a more generalized embodiment.
  • FIG. 14 is a block diagram showing an example of a schematic configuration of the management device 100c according to the second embodiment.
  • the management device 100c includes an acquisition unit 151 and a setting unit 153.
  • the acquisition unit 151 and the setting unit 153 may be implemented by one or more processors, a memory (for example, a non-volatile memory and / or a volatile memory), and / or a hard disk.
  • the acquisition unit 151 and the setting unit 153 may be implemented by the same processor, or may be separately implemented by different processors.
  • the memory may be contained in the one or more processors, or may be outside the one or more processors.
  • the management device 100c acquires the address information to be managed for access control via the communication network.
  • the management device 100c sets the effective management period to be managed for the access control in the address information based on the information related to the address information.
  • the acquisition unit 151 and the setting unit 153 included in the management device 100c according to the second embodiment are addresses provided by the management devices 100a and 100b according to the first embodiment, respectively.
  • the information acquisition unit 131 and the setting unit 133 may be operated. In this case, the description of the first embodiment may also be applied to the second embodiment.
  • the second embodiment is not limited to this example.
  • the second embodiment has been described above. According to the second embodiment, it becomes possible to appropriately manage the address information that can be the target of access control.
  • the steps in the processes described herein do not necessarily have to be performed in chronological order in the order described in the sequence diagram.
  • the steps in the process may be executed in an order different from the order described in the sequence diagram, or may be executed in parallel.
  • some of the steps in the process may be deleted, and additional steps may be added to the process.
  • one or more of devices for example, a plurality of devices (or units) constituting the management device
  • the components of the management device for example, acquisition unit and / or setting unit
  • a device (or unit), or a module for one of the plurality of devices (or units) described above) may be provided.
  • a method including the processing of the above-mentioned component may be provided, and a program for causing the processor to execute the processing of the above-mentioned component may be provided.
  • a non-transitory computer readable medium may be provided that can be read by the computer on which the program is recorded.
  • such devices, modules, methods, programs, and computer-readable non-temporary recording media are also included in the present invention.
  • An acquisition unit that acquires address information to be managed for access control via a communication network, Based on the information related to the address information, the setting unit for setting the effective management period to be managed for the access control in the address information, and the setting unit.
  • a management device An acquisition unit that acquires address information to be managed for access control via a communication network, Based on the information related to the address information, the setting unit for setting the effective management period to be managed for the access control in the address information, and the setting unit.
  • Appendix 2 The management device according to Appendix 1, wherein the information related to the address information includes position information assigned to the address information.
  • Appendix 3 The management device according to Appendix 1, wherein the information related to the address information includes attack history information regarding a cyber attack from a network node specified by the address information.
  • Appendix 4 The management device according to Appendix 3, wherein the attack history information includes information on the number of appearances of address information appearing as threat information in a plurality of threat information collected by a plurality of observation points on a communication network.
  • Appendix 6 The management according to any one of Appendix 1 to 5, wherein the effective management period includes a period from the time when the address information becomes the management target to the time when the address information should be excluded from the management target. apparatus.
  • the effective management period includes a period from the time when the last communication is performed from the network node specified by the address information to the time when the address information should be excluded from the management target, among the appendices 1 to 5.
  • the management device according to any one of the items.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

【課題】アクセス制御の対象となりうるアドレス情報を適切に管理すること。 【解決手段】管理装置は、通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得するアドレス情報取得部１３１と、上記アドレス情報に関連する情報に基づいて、上記アドレス情報に、上記アクセス制御のための管理対象とする有効管理期間を設定する設定部１５３と、を備える。

Description

管理装置、管理方法、及びプログラム
　本発明は、通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報の管理を行う管理装置、管理方法、及びプログラムに関する。
　昨今、政府や企業などに対するサイバー攻撃が増加している。このため、甚大な被害を発生させる事例が頻繁に発生している。このようなサイバー攻撃に対する防衛策が研究されている。
　例えば、防衛策の一例として、サイバー脅威インテリジェンス（Cyber Threat Intelligence、以下ＣＴＩとも呼ぶ。）を活用したサイバー攻撃を遮断する方策がある。ＣＴＩとは、政府や企業を標的としたサイバー攻撃の攻撃元や種類、手口等を集約した脅威情報である。政府や企業は、ＣＴＩを活用してサイバー攻撃を未然に防ぐ対策を行っている。
　ＣＴＩでは、主に攻撃元のＩＰアドレスやマルウェアを示すハッシュ値などの情報を利用する。このような情報は、例えばブラックリストと呼ばれている。すなわち、政府や企業は、このようなブラックリストを、例えばファイアウォールのアクセス制御リスト（Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ　Ｌｉｓｔ、ＡＣＬ）、すなわち、遮断対象となるＩＰアドレスのリストとして利用する。
　また、適切なブラックリストを生成する技術として、例えば特許文献１には、脅威情報等から攻撃種別、攻撃元アドレスおよび攻撃回数を計算し、任意の予測カバー率を上回る条件を満たす攻撃元アドレスをブラックリストとして登録することが開示されている。
特開２０１９－００４３３９号公報
　しかしながら、ブラックリストは膨大な量になりうる。このため、ブラックリストに含まれる全てのアドレス情報をアクセス制御の対象として継続的に管理すると、例えば、ファイアウォールの性能が低下するおそれがある。
　本発明の目的は、アクセス制御の対象となりうるアドレス情報を適切に管理することが可能な管理装置、管理方法、及びプログラムを提供することにある。
　本発明の一つの態様によれば、管理装置は、通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得する取得部と、上記アドレス情報に関連する情報に基づいて、上記アドレス情報に、上記アクセス制御のための管理対象とする有効管理期間を設定する設定部と、を備える。
　本発明の一つの態様によれば、管理方法は、通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得することと、上記アドレス情報に関連する情報に基づいて、上記アドレス情報に、上記アクセス制御のための管理対象とする有効管理期間を設定することと、を備える。
　本発明の一つの態様によれば、プログラムは、通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得することと、上記アドレス情報に関連する情報に基づいて、上記アドレス情報に、上記アクセス制御のための管理対象とする有効管理期間を設定することと、をコンピュータに実行させる。
　本発明の一つの態様によれば、アクセス制御の対象となりうるアドレス情報を適切に管理することが可能になる。なお、本発明により、当該効果の代わりに、又は当該効果とともに、他の効果が奏されてもよい。
図１は、第１の実施形態に係る管理装置１００ａの概略的な構成の例を示すブロック図である。 図２は、脅威情報２００の具体例を示す図である。 図３は、アイドルタイムアウト用の有効管理期間の設定処理の一例の流れを示すフローチャートである。 図４は、リスク値の変動に応じたハードタイムアウト用の有効管理期間の変化の具体例を示す図である。 図５は、アイドルタイムアウト用の有効管理期間の設定処理の一例の流れを示すフローチャートである。 図６は、アドレスの出現頻度の算出事例６００を示す図である。 図７は、有効管理期間を調整する処理の一例の流れを示すフローチャートである。 図８は、有効管理期間を更新する処理の具体例を示す図である。 図９は、判断部１３７により行われる処理の一例の流れを示すフローチャートである。 図１０は、当該対応関係を示す情報の一例を示す図である。 図１１は、管理装置１００ａの全体の処理の流れを示すタイムチャートである。 図１２は、変形例に係る管理装置１００ｂの概略的な構成の例を示すブロック図である。 図１３は、管理装置１００ｂの全体の処理の流れを示すタイムチャートである。 図１４は、第２の実施形態に係る管理装置１００ｃの概略的な構成の例を示すブロック図である。
　以下、添付の図面を参照して本発明の実施形態を詳細に説明する。なお、本明細書及び図面において、同様に説明されることが可能な要素については、同一の符号を付することにより重複説明が省略され得る。
　説明は、以下の順序で行われる。
　１．本発明の実施形態の概要
　２．第１の実施形態
　　２．１．管理装置１００ａの構成
　　２．２．動作例
　　２．３．変形例
　３．第２の実施形態
　　３．１．管理装置１００ｃの構成
　　３．２．動作例
　４．他の実施形態
　＜＜１．本発明の実施形態の概要＞＞
　まず、本発明の実施形態の概要を説明する。
　（１）技術的課題
　昨今、政府や企業などに対するサイバー攻撃が増加している。このため、甚大な被害を発生させる事例が頻繁に発生している。このようなサイバー攻撃に対する防衛策が研究されている。
　例えば、防衛策の一例として、サイバー脅威インテリジェンス（Cyber Threat Intelligence、以下ＣＴＩとも呼ぶ。）を活用したサイバー攻撃を遮断する方策がある。ＣＴＩとは、政府や企業を標的としたサイバー攻撃の攻撃元や種類、手口等を集約した脅威情報である。政府や企業は、ＣＴＩを活用してサイバー攻撃を未然に防ぐ対策を行っている。
　ＣＴＩでは、主に攻撃元のＩＰアドレスやマルウェアを示すハッシュ値などの情報を利用する。このような情報は、例えばブラックリストと呼ばれている。すなわち、政府や企業は、このようなブラックリストを、例えばファイアウォールのアクセス制御リスト（Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ　Ｌｉｓｔ、ＡＣＬ）、すなわち、遮断対象となるＩＰアドレスのリストとして利用する。
　しかしながら、ブラックリストは膨大な量になりうる。このため、ブラックリストに含まれる全てのアドレス情報をアクセス制御の対象として継続的に管理すると、例えば、ファイアウォールの性能低下の可能性がある。
　特に、サイバー攻撃者にとって攻撃元ＩＰアドレスを知られることは致命的であるため、攻撃元ＩＰアドレスを継続的に使用することはほとんどない傾向にある。このため、攻撃元ＩＰアドレスは、攻撃後にすぐに削除される可能性が高い。すなわち、サイバー攻撃者は、別のＩＰアドレスを利用して新たな攻撃を行う可能性が高い。したがって、生成されたブラックリストはすぐに陳腐化してしまう可能性が高い。
　そこで、本実施形態では、アクセス制御の対象となりうるアドレス情報を適切に管理することを目的とする。より具体的には、アクセス制御の対象となりうるアドレス情報を管理するのに有効か否かを適切に判断することを目的とする。
　（２）技術的特徴
　本発明の実施形態では、通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得し、上記アドレス情報に関連する情報に基づいて、上記アドレス情報に、上記アクセス制御のための管理対象とする有効管理期間を設定する。
　これにより、例えば、アクセス制御の対象となりうるアドレス情報を適切に管理することが可能になる。なお、上述した技術的特徴は本発明の実施形態の具体的な一例であり、当然ながら、本発明の実施形態は、上述した技術的特徴に限定されない。
　＜＜２．第１の実施形態＞＞
　続いて、図１～図１３を参照して、第１の実施形態を説明する。
　＜２．１．管理装置１００ａの構成＞
　図１を参照して、第１の実施形態に係る管理装置１００ａの構成の例を説明する。図１は、第１の実施形態に係る管理装置１００ａの概略的な構成の例を示すブロック図である。図１を参照すると、管理装置１００ａは、ネットワーク通信部１１０、記憶部１２０、及び処理部１３０を備える。
　（１）ネットワーク通信部１１０
　ネットワーク通信部１１０は、ネットワークから信号を受信し、ネットワークへ信号を送信する。
　（２）記憶部１２０
　記憶部１２０は、管理装置１００ａの動作のためのプログラム（命令）及びパラメータ、並びに様々なデータを、一時的に又は恒久的に記憶する。当該プログラムは、管理装置１００ａの動作のための１つ以上の命令を含む。
　（３）処理部１３０
　処理部１３０は、管理装置１００ａの様々な機能を提供する。処理部１３０は、アドレス情報取得部１３１、設定部１３３、リスク情報取得部１３５、判断部１３７、及び生成部１３９を含む。なお、処理部１３０は、これらの構成要素以外の他の構成要素をさらに含み得る。すなわち、処理部１３０は、これらの構成要素の動作以外の動作も行い得る。アドレス情報取得部１３１、設定部１３３、リスク情報取得部１３５、判断部１３７、及び生成部１３９の具体的な動作は、後に詳細に説明する。
　（４）実装例
　ネットワーク通信部１１０は、ネットワークアダプタ並びに／又はネットワークインタフェースカード等により実装されてもよい。記憶部１２０は、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスク等により実装されてもよい。処理部１３０は、１つ以上のプロセッサにより実装されてもよい。アドレス情報取得部１３１、設定部１３３、リスク情報取得部１３５、判断部１３７、及び生成部１３９は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。上記メモリ（記憶部１２０）は、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
　管理装置１００ａは、プログラム（命令）を記憶するメモリと、当該プログラム（命令）を実行可能な１つ以上のプロセッサとを含んでもよい。当該１つ以上のプロセッサは、上記プログラムを実行して、処理部１３０の動作（アドレス情報取得部１３１、設定部１３３、リスク情報取得部１３５、判断部１３７、及び／又は生成部１３９の動作）を行ってもよい。上記プログラムは、処理部１３０の動作（アドレス情報取得部１３１、設定部１３３、リスク情報取得部１３５、判断部１３７、及び／又は生成部１３９の動作）をプロセッサに実行させるためのプログラムであってもよい。
　＜２．２．動作例＞
　次に、第１の実施形態に係る動作例について説明する。
　第１の実施形態によれば、管理装置１００ａ（アドレス情報取得部１３１）は、通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得する。管理装置１００ａ（設定部１３３）は、上記アドレス情報に関連する情報に基づいて、上記アドレス情報に、上記アクセス制御のための管理対象とする有効管理期間を設定する。
　第１の実施形態によれば、上記アドレス情報に、上記アクセス制御のための管理対象とする上記有効管理期間を設定することにより、上記アクセス制御の対象となりうるアドレス情報を適切に管理することが可能になる。
　（１）アドレス情報
　上記アドレス情報は、具体的には、次に説明するような脅威情報に含まれる情報（ＩＰアドレス、ドメイン名など）である。具体的に、脅威情報は、サイバー攻撃を示唆するリストであって、攻撃に係る情報のリストである。
　図２は、脅威情報２００の具体例を示す図である。図２に示すように、脅威情報２００は、例えば、政府や企業が受けたサイバー攻撃に関する情報である。具体的に、脅威情報２００は、脅威対象となりうるアクセスを観測する観測点の種類と、観測点により脅威なアクセスとして識別された時間に関するタイムスタンプ、当該脅威なアクセスのＩＰアドレス、当該脅威なアクセスのドメイン名、当該脅威なアクセスから送信されるＥメールメッセージ、当該脅威なアクセスから送信されるマルウェアなどが互いに対応付けられた情報である。脅威情報２００がマルウェアを含む場合、該マルウェアのハッシュ値も脅威情報２００に含まれる。
　上述した脅威情報２００は、例えばアドレス情報取得部１３１により収集される。すなわち、アドレス情報取得部１３１は、自動収集のためのクローリングにより脅威情報２００を受信する、又は他組織から脅威情報２００を受信する。例えば、アドレス情報取得部１３１は、収集した脅威情報２００を記憶部１２０に記憶させる。
　（２）アドレス情報に関する情報
　上記アドレス情報に関する上記情報は、例えば、上記アドレスに割り当てられた位置情報を含む。具体的には、上記アドレス情報に割り当てられた上記位置情報は、上記アドレス情報（例えばＩＰアドレス）から特定される国情報、地域情報などである。
　―第２の具体例
　また、上記アドレス情報に関する上記情報は、上記アドレス情報により特定されるネットワークノードからのサイバー攻撃に関する攻撃履歴情報を含んでもよい。
　具体的には、攻撃履歴情報は、具体的には後述するように取得経路や取得タイミングが異なる複数の脅威情報に基づいて得られる履歴情報である。より具体的には、攻撃履歴情報は、通信ネットワーク上の複数の観測点によりそれぞれ収集される複数の脅威情報において、脅威情報として出現されたアドレス情報の出現数（以下、出現頻度とも呼ぶ。）に関する情報を含む。例えば、複数の観測点で脅威情報として収集されたアドレスはサイバー攻撃の攻撃元となる可能性が高い、と判断することができる。また、各々の観測点は、例えば図２に示した脅威情報２００内に含まれる種類によって特定される。
　なお、攻撃履歴情報は、所定期間におけるサイバー攻撃の攻撃回数に関する情報（攻撃頻度）を含んでもよい。
　（３）有効管理期間
　上記有効管理期間は、上記アドレス情報が上記管理対象になった時点から、上記アドレス情報を上記管理対象から除外させるべき時点までの期間を含む。このような期間は、具体的には、指定時刻に強制的に有効期限切れとなるハードタイムアウト用の有効管理期間に相当する。
　また、上記有効管理期間は、上記アドレス情報により特定されるネットワークノードから最後に通信が行われた時点から、上記アドレス情報を上記管理対象から除外させるべき時点までの期間を含んでもよい。このような期間は、具体的には、ネットワークノードから指定時刻までに所定条件を満たすアクセスがあった場合に期限が延長される、アイドルタイムアウト用の有効管理期間に相当する。
　（３－１）有効管理期間の設定処理
　（３－１－１）第１の具体例：アイドルタイムアウト用の有効管理期間の設定処理
　第１の具体例として、アイドルタイムアウト用の有効管理期間の設定処理を説明する。図３は、アイドルタイムアウト用の有効管理期間の設定処理の一例の流れを示すフローチャートである。
　まず、図３を参照すると、管理装置１００ａ（設定部１３３）は、記憶部１２０などにアクセスして、設定対象となるアドレス情報を取得する（ステップＳ３０１）。
　次に、管理装置１００ａ（設定部１３３）は、地政学リスク情報を参照して、アドレス情報に割り当てられた位置情報（例えば、国情報）に対応付けられたリスク値を特定する（ステップＳ３０３）。ここで、地政学リスク情報は、例えば月次、日次で情報更新される情報であって、各国の地政学リスク値を含む情報である。このような情報は、例えばリスク情報取得部１３５により取得され、記憶部１２０に記憶される。
　次に、管理装置１００ａ（設定部１３３）は、位置情報に対応付けられたリスク値に基づいてハードタイムアウト用の有効管理期間を設定する（ステップＳ３０５）。例えば設定されたハードタイムアウト用の有効管理期間は、記憶部１２０に記憶される。そして、図３に示す処理が終了する。
　図４は、リスク値の変動に応じたハードタイムアウト用の有効管理期間の変化の具体例を示す図である。図４を参照すると、例えば事例４１０は、２０ｘｘ年２月時点におけるリスク値に基づいて算出されるハードタイムアウト用の有効管理期間の一例に当たる。すなわち、事例４１０では、地政学リスク情報に基づいて、ＩＰアドレスに割り当てられた国が「Ｘ国」のリスク値が「８１．９４」に特定され、ハードタイムアウト用の有効管理期間の初期値として、「９０日間」が設定される。
　一方、事例４２０は、事例４１０から８ヶ月経過（２０ｘｘ年１０月）時点におけるリスク値に基づいて算出されるハードタイムアウト用の有効管理期間の一例に当たる。事例４２０では、事例４１０に比べて、ＩＰアドレスに割り当てられた国が「Ｘ国」のリスク値が高くなるため、すなわち、「８１．９４」から「２１０．６」へ変動するため、ハードタイムアウト用の有効管理期間が「２３１．３日間」に設定される。
　図４に示す例では、地政学リスク情報の具体例として、例えば地政学リスクを数値化したＧＰＲ（Ｇｅｏｐｏｌｉｔｉｃａｌ　Ｒｉｓｋ）　Ｉｎｄｅｘが用いられる。なお、ＧＰＲ　Ｉｎｄｅｘに限らず、地政学リスクに関連する他の評価指標が、地政学リスク情報として用いられてもよい。
　このようにして、第１の具体例によれば、管理装置１００ａ（設定部１３３）は、地政学リスク情報を考慮してハードタイムアウト用の有効管理期間を適切に設定することができる。
　（３－１－２）第２の具体例：アイドルタイムアウト用の有効管理期間の設定処理
　図５を参照して、アイドルタイムアウト用の有効管理期間の設定処理の具体例を説明する。図５は、アイドルタイムアウト用の有効管理期間の設定処理の一例の流れを示すフローチャートである。
　図５を参照すると、管理装置１００ａ（設定部１３３）は、記憶部１２０などにアクセスして、集計時間や集計経路などが互いに異なる複数の脅威情報を取得する（ステップＳ５０１）。
　次に、管理装置１００ａ（設定部１３３）は、複数の脅威情報に基づいて、有効管理期間の設定対象のアドレス情報に含まれるアドレス（例えばＩＰアドレス）の出現頻度を算出する（ステップＳ５０３）。
　図６は、アドレスの出現頻度の算出事例６００を示す図である。算出事例６００では、例えば、４つの脅威情報Ａ－Ｄに基づいてＩＰアドレスの出現頻度を算出する。例えば、ＩＰアドレス「１．１．１．１」に着目すると、４つの脅威情報Ａ－Ｄのそれぞれに含まれているので、出現頻度が４／４に算出される。また、ＩＰアドレス「２．２．２．２」に着目すると、２つの脅威情報Ｂ、Ｄのそれぞれに含まれているので、出現頻度が２／４に算出される。あるアドレスからのアクセスが多くの観測点で脅威情報として収集できれば、そのアドレスの出現頻度が高くなる。このため、出現頻度が高いアドレスは、サイバー攻撃の攻撃元となる可能性が高いと判断されうる。
　次に、管理装置１００ａ（設定部１３３）は、算出されたアドレスの出現頻度に基づいて、アイドルタイムアウト用の有効管理期間を設定する（ステップＳ５０５）。例えば、出現頻度が高いほどリスクが高いこと、言い換えれば、アクセス対象としての必要性が高いことが想定される。このため、管理装置１００ａ（設定部１３３）は、アドレスの出現頻度が高いほど、アイドルタイムアウト用の有効管理期間が長くなるように、当該期間を設定する。図６に示す算出事例６００に適用した場合、ＩＰアドレス「１．１．１．１」及びＩＰアドレス「２．２．２．２」について、それぞれアイドルタイムアウト用の有効管理期間は、１４日間及び７日間に設定される。
　例えば設定されたアイドルタイムアウト用の有効管理期間は、記憶部１２０に記憶される。そして、図５に示す処理が終了する。
　（３－１－３）その他
　例えば、上述した第１及び第２の具体例に限らず、種々の変更が可能である。例えば、管理装置１００ａ（設定部１３３）は、アドレスの出現頻度に基づいてハードタイムアウト用の有効管理期間を算出してもよく、地政学リスク情報に基づいてアイドルタイムアウト用の有効管理期間を算出してもよい。
　（３－２）有効管理期間の調整
　次に、図７を参照して、有効管理期間を調整する処理を説明する。図７は、有効管理期間を調整する処理の一例の流れを示すフローチャートである。
　図７を参照すると、管理装置１００ａ（設定部１３３）は、記憶部１２０にアクセスして、例えば有効管理期間の設定対象となるアドレス情報に関し、ハードタイムアウト用の有効管理期間が設定済みか否かを判断する（ステップＳ７０１）。そして、設定済みの場合（Ｓ７０１：Ｙｅｓ）には、管理装置１００ａ（設定部１３３）は、ハードタイムアウト用の有効管理期間を更新して（ステップＳ７０３）、ステップＳ７０７に進む。一方、設定済みではない場合（Ｓ７０１：Ｎｏ）には、管理装置１００ａ（設定部１３３）は、ハードタイムアウト用の有効管理期間を初期設定して（ステップＳ７０５）、ステップＳ７０７に進む。
　次に、管理装置１００ａ（設定部１３３）は、記憶部１２０にアクセスして、例えば有効管理期間の設定対象となるアドレス情報に関し、アイドルタイムアウト用の有効管理期間が設定済みか否かを判断する（ステップＳ７０７）。そして、設定済みの場合（Ｓ７０７：Ｙｅｓ）には、管理装置１００ａ（設定部１３３）は、アイドルタイムアウト用の有効管理期間を更新して（ステップＳ７０９）、図７に示す処理を終了する。一方、設定済みではない場合（Ｓ７０７：Ｎｏ）には、管理装置１００ａ（設定部１３３）は、アイドルタイムアウト用の有効管理期間を初期設定して（ステップＳ７１１）、図７に示す処理を終了する。
　図８は、有効管理期間を更新する処理の具体例を示す図である。図８を参照すると、まず、アイドルタイムアウト用の有効管理期間は、期間８１１が初期設定された後に、設定対象のＩＰアドレスからのリクエストがあるごとに、期間８１３、８１５の順番で更新される。また、ハードタイムアウト用の有効管理期間は、期間８２１が初期設定された後、設定対象のＩＰアドレスからのリクエストの有無にかかわらず、例えば新たな地政学リスク情報を取得したタイミングで、期間８２３に更新される。
　（４）通信確認に基づいた有効管理期間の設定
　管理装置１００ａ（判断部１３７）は、アドレス情報により特定されるネットワークノードとの間で通信可能か否かの判断を行ってもよい。図９は、判断部１３７により行われる処理の一例の流れを示すフローチャートである。
　図９を参照すると、管理装置１００ａ（判断部１３７）は、記憶部１２０にアクセスして、有効管理期間の設定対象のアドレス情報（ＩＰアドレス）を取得する（ステップＳ９０１）。
　次に、管理装置１００ａ（判断部１３７）は、当該ＩＰアドレスへの通信が可能か否かを判断する（ステップＳ９０３）。具体的には、管理装置１００ａ（判断部１３７）は、ｐｉｎｇやＴｒａｃｅｒｏｕｔｅなどの典型的な疎通確認ツールを用いて、当該ＩＰアドレスへの通信が可能か否かを判断してもよい。なお、上記の例に限らず、その他の疎通確認ツールが用いられてもよい。
　通信可能であると判断された場合（Ｓ９０３：Ｙｅｓ）には、管理装置１００ａ（判断部１３７）は、通信可能を示す情報を登録する（ステップＳ９０５）。すなわち、通信可能を示す情報が、記憶部１２０に記憶される。そして図９に示す処理が終了する。
　一方、通信不可能であると判断された場合（Ｓ９０３：Ｎｏ）には、管理装置１００ａ（判断部１３７）は、通信不可能を示す情報を登録する（ステップＳ９０７）。すなわち、通信不可能を示す情報が、記憶部１２０に記憶される。そして図９に示す処理が終了する。
　上述した図９に示すように、判断部１３７によりＩＰアドレスへの通信可否が判断される場合、管理装置１００ａ（設定部１３３）は、当該通信可否に関する判断の結果に基づいて、有効管理期間を設定してもよい。例えば、管理装置１００ａ（設定部１３３）は、アドレス情報により特定されるネットワークノードとの間で通信できなかった場合には、有効管理期間を０に設定してもよく、通信可能であった場合に比べて有効管理期間が短くなるように期間を設定してもよい。
　（５）有効管理期間に関する情報の生成
　管理装置１００ａ（生成部１３９）は、アドレス情報とアドレスに設定された有効管理期間との対応関係を示す情報を生成する。このように生成された情報は記憶部１２０に記憶されることにより、当該情報が管理される。
　図１０は、当該対応関係を示す情報の一例を示す図である。図１０を参照すると、対応関係を示す情報１０００は、ＩＰアドレス、ハードタイムアウト値（ハードタイムアウト用の有効管理期間の終了時刻）、アイドルタイムアウト値（アイドルタイムアウト用の有効管理期間の終了時刻）、疎通状態、及び最終更新日時を含む。図１０に示す情報１０００において、例えば、疎通状態が「１」である場合は通信可能であることを示し、疎通状態が「０」である場合は通信不可能であることを示している。
　（６）管理装置１００ａの全体の処理の流れ
　図１１は、管理装置１００ａの全体の処理の流れを示すタイムチャートである。図１１を参照すると、まず、脅威情報に含まれるアドレス情報が、アドレス情報取得部により取得される（Ｓ１１０１）。次に、当該アドレス情報への疎通確認（通信可否の判断）が管理装置１００ａ（判断部１３７）により行われる（Ｓ１１０３）。次に、当該判断結果（通信可否）に関する情報が記憶部１２０に記憶（登録）される（Ｓ１１０５）。
　続いて、管理装置１００ａ（設定部１３３）は、地政学リスク情報などに基づいて、当該アドレス情報に関するハードタイムアウト用の有効管理期間を設定する（Ｓ１１０７）。設定された有効管理期間は、記憶部１２０に記憶（登録）される。次に、管理装置１００ａ（設定部１３３）は、脅威情報などに基づいて、当該アドレス情報に関するアイドルタイムアウト用の有効管理期間を設定する（Ｓ１１０９）。設定された有効管理期間は、記憶部１２０に記憶（登録）される。
　続いて、管理装置１００ａ（生成部１３９）により生成された情報であって、アドレス情報と有効管理期間との対応関係を示す情報が、有効管理期間に関する情報として記憶部１２０に記憶（登録）される（Ｓ１１１１）。その後、図１１に示す処理が終了する。
　上記図１１に示す処理によれば、ＩＰアドレスなどの脅威情報に対して、地政学リスク情報を活用したハードタイムアウト用の有効管理期間を設定し、脅威情報の発生頻度を活用してアイドルタイムアウト用の有効管理期間を設定することができる。
　さらに、管理装置１００ａは、最新の脅威情報を活用して、上述した各々の有効管理期間の更新、及び当該ＩＰアドレスへの通信可否を示す情報も考慮して有効管理期間を管理することができる。このようにして、管理装置１００ａは、例えばブラックリストの有効期限を適切に管理することができる。
　＜２．３．変形例＞
　次に、図１２を参照して、変形例に係る管理装置１００ｂについて説明する。図１２は、変形例に係る管理装置１００ｂの概略的な構成の例を示すブロック図である。図１２を参照すると、管理装置１００ｂは、処理部１３０が、設定部１３３により設定された有効管理期間に基づいて、アドレス情報を管理対象として管理する管理制御部１４１を更に備える点で、上述した管理装置１００ａと異なる。以下では、管理制御部１４１に関連する処理について説明する。
　具体的に、管理装置１００ｂ（管理制御部１４１）は、アドレス情報に設定された有効管理期間を経過した場合に、当該アドレス情報を管理対象から除外する処理を行う。
　一例として、管理装置１００ｂ（管理制御部１４１）は、ＩＰアドレスに設定されているハードタイムアウトとアイドルタイムアウトとに対してタイマー機能を動作させ、それぞれの有効管理期間を経過した瞬間に、管理装置１００ｂと通信可能なセキュリティ機器（例えば、ファイアウォールを構成する機器）に当該ＩＰアドレスをブラックリストから削除することを指示する。
　図１３は、管理装置１００ｂの全体の処理の流れを示すタイムチャートである。図１３を参照すると、Ｓ１３０１～Ｓ１３１１に示す処理は、上述した図１１に示すＳ１１０１～１１１１に示す処理と同様なので、その説明を省略する。
　管理装置１００ｂ（管理制御部１４１）は、有効管理期間に関する情報が登録されると（Ｓ１３１１）、例えば、ハードタイムアウトとアイドルタイムアウトとに対してタイマー機能を動作させるなどの有効管理期間を管理する（Ｓ１３１３）。そして、管理装置１００ｂ（管理制御部１４１）は、当該タイマー機能に基づいて例えば、セキュリティ機器へのＩＰアドレスの削除指示などのアクセス制御を行う（Ｓ１３１５）。
　上記図１３に示す処理によれば、ＩＰアドレスの有効期限をタイマー機能により管理することで、セキュリティ機器へのアクセス制御対象となるアドレスリスト（ブラックリスト）の更新または削除を制御することができる。
　＜＜３．第２の実施形態＞＞
　続いて、図１４を参照して、本発明の第２の実施形態を説明する。上述した第１の実施形態は、具体的な実施形態であるが、第２の実施形態は、より一般化された実施形態である。
　＜３．１．管理装置１００ｃの構成＞
　図１４は、第２の実施形態に係る管理装置１００ｃの概略的な構成の例を示すブロック図である。図１４を参照すると、管理装置１００ｃは、取得部１５１、及び設定部１５３を備える。
　取得部１５１、及び設定部１５３は、１つ以上のプロセッサと、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスクとにより実装されてもよい。取得部１５１、及び設定部１５３は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。上記メモリは、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
　＜３．２．動作例＞
　第２の実施形態に係る動作例を説明する。
　第２の実施形態によれば、管理装置１００ｃ（取得部１５１）は、通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得する。管理装置１００ｃ（設定部１５３）は、上記アドレス情報に関連する情報に基づいて、上記アドレス情報に、上記アクセス制御のための管理対象とする有効管理期間を設定する。
　－第１の実施形態との関係
　一例として、第２の実施形態に係る管理装置１００ｃが備える取得部１５１及び設定部１５３は、それぞれ、第１の実施形態に係る管理装置１００ａ、１００ｂが備えるアドレス情報取得部１３１及び設定部１３３の動作を行ってもよい。この場合に、第１の実施形態についての説明は、第２の実施形態にも適用されうる。なお、第２の実施形態は、この例に限定されない。
　以上、第２の実施形態を説明した。第２の実施形態によれば、アクセス制御の対象となりうるアドレス情報を適切に管理することが可能になる。
　＜＜４．他の実施形態＞＞
　以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。
　例えば、本明細書に記載されている処理におけるステップは、必ずしもシーケンス図に記載された順序に沿って時系列に実行されなくてよい。例えば、処理におけるステップは、シーケンス図として記載した順序と異なる順序で実行されても、並列的に実行されてもよい。また、処理におけるステップの一部が削除されてもよく、さらなるステップが処理に追加されてもよい。
　また、本明細書において説明した管理装置の構成要素（例えば、取得部、及び／又は設定部）を備える装置（例えば、管理装置を構成する複数の装置（又はユニット）のうちの１つ以上の装置（又はユニット）、又は上記複数の装置（又はユニット）のうちの１つのためのモジュール）が提供されてもよい。また、上記構成要素の処理を含む方法が提供されてもよく、上記構成要素の処理をプロセッサに実行させるためのプログラムが提供されてもよい。また、当該プログラムを記録したコンピュータに読み取り可能な非一時的記録媒体（Non-transitory　computer　readable　medium）が提供されてもよい。当然ながら、このような装置、モジュール、方法、プログラム、及びコンピュータに読み取り可能な非一時的記録媒体も本発明に含まれる。
　上記実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
（付記１）
　通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得する取得部と、
　前記アドレス情報に関連する情報に基づいて、前記アドレス情報に、前記アクセス制御のための管理対象とする有効管理期間を設定する設定部と、
　を備える、管理装置。
（付記２）
　前記アドレス情報に関連する前記情報は、前記アドレス情報に割り当てられた位置情報を含む、付記１記載の管理装置。
（付記３）
　前記アドレス情報に関連する前記情報は、前記アドレス情報により特定されるネットワークノードからのサイバー攻撃に関する攻撃履歴情報を含む、付記１記載の管理装置。
（付記４）
　前記攻撃履歴情報は、通信ネットワーク上の複数の観測点によりそれぞれ収集される複数の脅威情報において、脅威情報として出現されたアドレス情報の出現数に関する情報を含む、付記３記載の管理装置。
（付記５）
　前記アドレス情報により特定されるネットワークノードとの間で通信可能か否かの判断を行う判断部を更に備え、
　前記設定部は、前記アドレス情報に関連する前記情報と前記判断の結果に基づいて、前記有効管理期間を設定する、付記１乃至４のうち何れか１項記載の管理装置。
（付記６）
　前記有効管理期間は、前記アドレス情報が前記管理対象になった時点から、前記アドレス情報を前記管理対象から除外させるべき時点までの期間を含む、付記１乃至５のうち何れか１項記載の管理装置。
（付記７）
　前記有効管理期間は、前記アドレス情報により特定されるネットワークノードから最後に通信が行われた時点から、前記アドレス情報を前記管理対象から除外させるべき時点までの期間を含む、付記１乃至５のうち何れか１項記載の管理装置。
（付記８）
　前記有効管理期間に基づいて、前記アドレス情報を前記管理対象として管理する、管理制御部を更に備える、付記１乃至７のうち何れか１項記載の管理装置。
（付記９）
　前記管理制御部は、前記アドレス情報に設定された前記有効管理期間を経過した場合に、前記アドレス情報を前記管理対象から除外する処理を行う、付記８記載の管理装置。
（付記１０）
　前記アドレス情報と前記有効管理期間との対応関係を示す情報を生成する生成部を更に備える、付記１乃至９のうち何れか１項記載の管理装置。
（付記１１）
　通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得することと、
　前記アドレス情報に関連する情報に基づいて、前記アドレス情報に、前記アクセス制御のための管理対象とする有効管理期間を設定することと、
　を備える、管理方法。
（付記１２）
　通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得することと、
　前記アドレス情報に関連する情報に基づいて、前記アドレス情報に、前記アクセス制御のための管理対象とする有効管理期間を設定することと、
　をコンピュータに実行させるためのプログラム。
　通信ネットワークを介したアクセス管理において、アクセス制御の対象となりうるアドレス情報を適切に管理することが可能になる。
　１００ａ、１００ｂ、１００ｃ　管理装置
　１３１　アドレス情報取得部
　１３３、１５３　設定部
　１３５　リスク情報取得部
　１３７　判断部
　１３９　生成部
　１４１　管理制御部
　１５１　取得部

 

Claims (12)

  1. 　通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得する取得部と、
    　前記アドレス情報に関連する情報に基づいて、前記アドレス情報に、前記アクセス制御のための管理対象とする有効管理期間を設定する設定部と、
    　を備える、管理装置。
  2. 　前記アドレス情報に関連する前記情報は、前記アドレス情報に割り当てられた位置情報を含む、請求項１記載の管理装置。
  3. 　前記アドレス情報に関連する前記情報は、前記アドレス情報により特定されるネットワークノードからのサイバー攻撃に関する攻撃履歴情報を含む、請求項１記載の管理装置。
  4. 　前記攻撃履歴情報は、通信ネットワーク上の複数の観測点によりそれぞれ収集される複数の脅威情報において、脅威情報として出現されたアドレス情報の出現数に関する情報を含む、請求項３記載の管理装置。
  5. 　前記アドレス情報により特定されるネットワークノードとの間で通信可能か否かの判断を行う判断部を更に備え、
    　前記設定部は、前記アドレス情報に関連する前記情報と前記判断の結果に基づいて、前記有効管理期間を設定する、請求項１乃至４のうち何れか１項記載の管理装置。
  6. 　前記有効管理期間は、前記アドレス情報が前記管理対象になった時点から、前記アドレス情報を前記管理対象から除外させるべき時点までの期間を含む、請求項１乃至５のうち何れか１項記載の管理装置。
  7. 　前記有効管理期間は、前記アドレス情報により特定されるネットワークノードから最後に通信が行われた時点から、前記アドレス情報を前記管理対象から除外させるべき時点までの期間を含む、請求項１乃至５のうち何れか１項記載の管理装置。
  8. 　前記有効管理期間に基づいて、前記アドレス情報を前記管理対象として管理する、管理制御部を更に備える、請求項１乃至７のうち何れか１項記載の管理装置。
  9. 　前記管理制御部は、前記アドレス情報に設定された前記有効管理期間を経過した場合に、前記アドレス情報を前記管理対象から除外する処理を行う、請求項８記載の管理装置。
  10. 　前記アドレス情報と前記有効管理期間との対応関係を示す情報を生成する生成部を更に備える、請求項１乃至９のうち何れか１項記載の管理装置。
  11. 　通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得することと、
    　前記アドレス情報に関連する情報に基づいて、前記アドレス情報に、前記アクセス制御のための管理対象とする有効管理期間を設定することと、
    　を備える、管理方法。
  12. 　通信ネットワークを介したアクセス制御のための管理対象となるアドレス情報を取得することと、
    　前記アドレス情報に関連する情報に基づいて、前記アドレス情報に、前記アクセス制御のための管理対象とする有効管理期間を設定することと、
    　をコンピュータに実行させるためのプログラム。

     
PCT/JP2019/049650 2019-12-18 2019-12-18 管理装置、管理方法、及びプログラム WO2021124485A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US17/780,637 US20230006969A1 (en) 2019-12-18 2019-12-18 Management apparatus, management method, and program
JP2021565237A JP7416089B2 (ja) 2019-12-18 2019-12-18 管理装置、管理方法、及びプログラム
PCT/JP2019/049650 WO2021124485A1 (ja) 2019-12-18 2019-12-18 管理装置、管理方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/049650 WO2021124485A1 (ja) 2019-12-18 2019-12-18 管理装置、管理方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2021124485A1 true WO2021124485A1 (ja) 2021-06-24

Family

ID=76477421

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/049650 WO2021124485A1 (ja) 2019-12-18 2019-12-18 管理装置、管理方法、及びプログラム

Country Status (3)

Country Link
US (1) US20230006969A1 (ja)
JP (1) JP7416089B2 (ja)
WO (1) WO2021124485A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014027696A (ja) * 2013-11-01 2014-02-06 Nec Corp 通信装置、制御装置、通信システム、通信制御方法及びプログラム
JP2017117224A (ja) * 2015-12-24 2017-06-29 株式会社Pfu ネットワークセキュリティ装置、セキュリティシステム、ネットワークセキュリティ方法、及びプログラム
JP2019129337A (ja) * 2018-01-22 2019-08-01 富士通株式会社 セキュリティ装置、セキュリティプログラム及びセキュリティ方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004030286A (ja) * 2002-06-26 2004-01-29 Ntt Data Corp 侵入検知システムおよび侵入検知プログラム
JPWO2006087908A1 (ja) * 2005-02-18 2008-07-03 デュアキシズ株式会社 通信制御装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014027696A (ja) * 2013-11-01 2014-02-06 Nec Corp 通信装置、制御装置、通信システム、通信制御方法及びプログラム
JP2017117224A (ja) * 2015-12-24 2017-06-29 株式会社Pfu ネットワークセキュリティ装置、セキュリティシステム、ネットワークセキュリティ方法、及びプログラム
JP2019129337A (ja) * 2018-01-22 2019-08-01 富士通株式会社 セキュリティ装置、セキュリティプログラム及びセキュリティ方法

Also Published As

Publication number Publication date
US20230006969A1 (en) 2023-01-05
JPWO2021124485A1 (ja) 2021-06-24
JP7416089B2 (ja) 2024-01-17

Similar Documents

Publication Publication Date Title
US11924251B2 (en) System and method for cybersecurity reconnaissance, analysis, and score generation using distributed systems
US20220224710A1 (en) System and method for cybersecurity analysis and score generation for insurance purposes
US11757945B2 (en) Collaborative database and reputation management in adversarial information environments
US11991215B2 (en) System and method for self-adjusting cybersecurity analysis and score generation
US20180276372A1 (en) System and methods for sandboxed malware analysis and automated patch development, deployment and validation
CN109194661B (zh) 网络攻击告警阈值配置方法、介质、装置和计算设备
US12003544B2 (en) System and methods for automatically assessing and improving a cybersecurity risk score
US9245147B1 (en) State machine reference monitor for information system security
US10204021B2 (en) Recovery of an infected and quarantined file in a primary storage controller from a secondary storage controller
US20230008173A1 (en) System and method for detection and mitigation of data source compromises in adversarial information environments
WO2021243321A1 (en) A system and methods for score cybersecurity
US11968235B2 (en) System and method for cybersecurity analysis and protection using distributed systems
CN116235172A (zh) 使用安全度量对资产进行优先级排序
WO2020172037A1 (en) Centrally managing data for distributed identity-based firewalling
JP2014127037A (ja) 情報処理プログラム、情報処理方法及び装置
US10678621B2 (en) System error codes for edge encryption
CN113168319A (zh) 轮询计算设备
US20220043723A1 (en) Method, electronic device and computer program product for storage management
US9286055B1 (en) System, method, and computer program for aggregating fragments of data objects from a plurality of devices
WO2021124485A1 (ja) 管理装置、管理方法、及びプログラム
CN108494766A (zh) Waf规则管理方法及waf群组
US11218357B1 (en) Aggregation of incident data for correlated incidents
US11082484B2 (en) Load balancing system
US10742484B1 (en) Generating action suggestions based on anonymized data from multiple information technology environments
CN112148551A (zh) 用于确定存储系统的使用变化率的方法、设备和计算机程序产品

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19956629

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021565237

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19956629

Country of ref document: EP

Kind code of ref document: A1