WO2021240752A1 - プロトコル識別装置、プロトコル識別方法、及びプログラム - Google Patents

プロトコル識別装置、プロトコル識別方法、及びプログラム Download PDF

Info

Publication number
WO2021240752A1
WO2021240752A1 PCT/JP2020/021222 JP2020021222W WO2021240752A1 WO 2021240752 A1 WO2021240752 A1 WO 2021240752A1 JP 2020021222 W JP2020021222 W JP 2020021222W WO 2021240752 A1 WO2021240752 A1 WO 2021240752A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
protocol
destination port
destination
protocol identification
Prior art date
Application number
PCT/JP2020/021222
Other languages
English (en)
French (fr)
Inventor
弘樹 長山
貴広 濱田
麻美 宮島
知暁 鷲尾
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US17/999,431 priority Critical patent/US20230208944A1/en
Priority to PCT/JP2020/021222 priority patent/WO2021240752A1/ja
Priority to JP2022527418A priority patent/JP7380868B2/ja
Publication of WO2021240752A1 publication Critical patent/WO2021240752A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/18—Multiprotocol handlers, e.g. single devices capable of handling multiple protocols
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units

Definitions

  • Non-Patent Document 1 As a method of directly analyzing the information in the payload, by holding the dictionary information about the byte string and character string of the payload and referring to the dictionary information, the byte string and character string peculiar to a certain protocol exist in the packet. If so, there is a way to identify the protocol. Since this method enables protocol identification regardless of the port number, it is possible to identify a packet using a plurality of destination port utilization protocols from the same protocol if there is dictionary information (Non-Patent Document 1).
  • the protocol for using multiple destination ports is a protocol unique to vendors that manufacture industrial network equipment, and most of the specifications are not disclosed. Therefore, it is difficult to obtain dictionary information such as the destination port number and the payload structure in advance. Therefore, it is difficult to identify a packet of a protocol using a plurality of destination ports as a packet of the same protocol by the conventional method using the prior information as described above.
  • port is used to mean an inlet (in the case of a destination) or an exit (in the case of a source) of communication data (which may be referred to as a packet) identified by a port number.
  • srcPort is a source port and dstPort is a destination port.
  • srcPort means a source port number and dstPort means a destination port number.
  • application protocol may be referred to as a "protocol”.
  • the protocol identification device 100 identifies all the correspondences between the source port number and the destination port number in the communication between the two hosts, and then performs the communication from the same source port to the plurality of destination ports. Identified as communication using a protocol that uses multiple destination ports.
  • FIG. 1 shows a system configuration diagram according to the present embodiment.
  • the system in the present embodiment has a protocol identification device 100, a communication source device 200, and a communication destination device 300, which are connected to a SW (switch) 400 via a network.
  • SW switch
  • the protocol identification device 100 includes a reception unit 110, a UDP communication extraction unit 120, a communication data division unit 130, and a protocol identification unit 140. The detailed operation of the protocol identification device 100 will be described later.
  • ⁇ Prerequisites for the network in this embodiment> it is premised that communication using a plurality of destination port usage protocols (identification targets) and a single destination port usage protocol coexist. Further, it is premised that the protocol for using multiple destination ports is communication using UDP (User Datagram Protocol).
  • UDP User Datagram Protocol
  • the receiving unit 110, the UDP communication extracting unit 120, and the communication data dividing unit 130 acquire a plurality of communication data related to communication from a certain source IP address to a certain destination IP address, "reception unit + UDP".
  • the "communication extraction unit + communication data division unit” may be referred to as a "acquisition unit”.
  • the protocol identification unit 140 of the protocol identification device 100 performs a process of identifying a plurality of destination port utilization protocols by analyzing the communication data obtained in S103.
  • each step of S104 to S107 will be described in detail with reference to the drawings.
  • the protocol identification unit 140 extracts each communication from srcPort-H to dstPort-L and M as a communication candidate for a protocol using a plurality of destination ports, and each communication from srcPort-I to dstPort-L and M. Is extracted as a communication candidate for a protocol using multiple destination ports.
  • the protocol identification unit 140 identifies the dstPort of the communication destination having a plurality of srcPorts as the transmission source and each srcPort of the transmission source of the communication addressed to the dstPort from the target communication data, and the protocol identification unit 140 identifies the destination from each srcPort. It is determined that the communication to the dstPort is the communication of the single destination port use protocol, and the communication of the single destination port use protocol is excluded from the candidates of the multiple destination port use protocol communication extracted in S104.
  • the communication from srcPort-H to dstPort-L and the communication from srcPort-H to dstPort-M are multiple destination ports with srcPort-H as srcPort.
  • the communication from srcPort-I to dstPort-L and the communication from srcPort-I to dstPort-M are protocol communication using a plurality of destination ports with srcPort-I as srcPort.
  • S106 dstPort duplication handling processing between protocols using multiple destination ports> First, the necessity of S106 will be described. When the used dstPorts are duplicated among a plurality of multiple destination port use protocols, the communication associated with the duplicated dstPorts is determined by S105 to be the communication of the single destination port use protocol and is excluded.
  • DstPort-E and F overlap between the communication of these two multiple destination port usage protocols.
  • Example 1 and 2 will be described as examples using the protocol identification technology described so far.
  • Example 1 and Example 2 may be carried out in combination.
  • FIG. 13 shows a display example visualized by the protocol identification device 100 of the first embodiment.
  • FIG. 13 shows the source IP address and MAC address and the identified service.
  • FIG. 14 shows a configuration example of the system having the protocol identification device 100 in the second embodiment.
  • the protocol identification device 100 of the second embodiment has a reception unit 110, a UDP communication extraction unit 120, a communication data division unit 130, a protocol identification unit 140, and a white list generation unit 160.
  • the receiving unit 110, the UDP communication extraction unit 120, the communication data dividing unit 130, and the protocol identification unit 140 are as described above.
  • the white list generation unit 160 generates a white list entry by a method described later.
  • the white list generation unit 160 uses the srcPort-A of the multi-destination port use protocol identified by srcPort-A as the source port number for each communication data destination port number (1). dstPort) is extracted, and the minimum and maximum values of the extracted dstPort are calculated.
  • the white list generation unit 160 sets (srcIP, dstIP, srcPort, dstPort, udp / tcp) of communication data having srcPort-A of the multiple destination port utilization protocol as the source port number as entry information.
  • dstPort is specified as a range, and the range is from the minimum value to the maximum value extracted in advance. If the range cannot be specified, use a wild card.
  • FIG. 15 is a diagram showing an example of the hardware configuration of the computer.
  • the computer of FIG. 15 has a drive device 1000, an auxiliary storage device 1002, a memory device 1003, a CPU 1004, an interface device 1005, a display device 1006, an input device 1007, an output device 1008, and the like, which are connected to each other by a bus BS, respectively.
  • This specification describes at least the protocol identification device, the protocol identification method, and the program described in each of the following sections.
  • (Section 1) An acquisition unit that acquires multiple communication data related to communication from a certain source IP address to a certain destination IP address, and Based on the plurality of communication data, the communication from one source port to a plurality of destination ports is extracted as a communication candidate of the multiple destination port utilization protocol, and is simply selected from the communication candidates of the multiple destination port utilization protocol.
  • a protocol identification device including a protocol identification unit that excludes communication of one destination port utilization protocol and identifies the remaining communication as communication of multiple destination port utilization protocols.

Abstract

プロトコル識別装置において、ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データを取得する取得部と、前記複数の通信データに基づいて、１つの送信元ポートから複数の宛先ポートへの通信を、複数宛先ポート利用プロトコルの通信の候補として抽出し、当該複数宛先ポート利用プロトコルの通信の候補から、単一宛先ポート利用プロトコルの通信を除外し、残った通信を複数宛先ポート利用プロトコルの通信として識別するプロトコル識別部とを備える。

Description

プロトコル識別装置、プロトコル識別方法、及びプログラム
　本発明は、産業用ネットワークにおける、特定のアプリケーションプロトコルによる通信を識別するための技術に関連するものである。
　セキュリティアセスメントの観点では、意図しないアプリケーションが悪意をもって利用されていないか判断するために、ネットワーク上で利用されているアプリケーションプロトコルを把握することが重要である。
　アプリケーションプロトコルの識別は一般的に宛先ポート番号の情報を利用して行われるが、産業用ネットワークでは多数の宛先ポート番号を利用するプロトコル（以降、複数宛先ポート利用プロトコルと記載）が存在することがあり、その結果、同一のプロトコルが多数の異なるプロトコルとして識別されてしまい、プロトコルの誤認や可読性低下を引き起こしてしまう。
　アプリケーションプロトコルを識別する方法としては主に宛先ポート番号を利用する方法とペイロード内の情報を直接解析する方法がある。
　宛先ポート番号を利用する方法として、プロトコル毎に個別に利用ポート番号表（対応表）を作成し、保持しておく方法がある。個別に対応表を保持しておけば、異なる多数の宛先ポート番号を利用するパケットに対しても、それが同一のプロトコルによるものであると識別可能である。
　ペイロード内の情報を直接解析する方法としては、ペイロードのバイト列や文字列に関する辞書情報を保持し、その辞書情報を参照することで、あるプロトコルに固有のバイト列や文字列がパケット内に存在した場合にプロトコルを識別する方法がある。この方法はポート番号によらないプロトコル識別を可能とするため、辞書情報があれば複数宛先ポート利用プロトコルによるパケットを同一のプロトコルによるものと識別可能である（非特許文献１）。
S. Dharmapurikar ; P. Krishnamurthy ; T. Sproull ; J. Lockwood; Deep packet inspection using parallel Bloom filters, Proc. of 11th Symposium on High Performance Interconnects
　しかし、複数宛先ポート利用プロトコルは産業用ネットワーク機器を製造するベンダ固有のプロトコルであり、仕様非公開なことが大半である。従って、宛先ポート番号やペイロード構造等の辞書情報を事前に入手することは困難である。そのため、上述したような事前情報を用いる従来の方法では、複数宛先ポート利用プロトコルのパケットを同一プロトコルのパケットとして識別することは困難である。
　本発明は上記の点に鑑みてなされたものであり、事前情報を用いず、複数宛先ポート利用プロトコルのパケットを同一プロトコルのパケットとして識別することを可能とする技術を提供することを目的とする。
　開示の技術によれば、ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データを取得する取得部と、
　前記複数の通信データに基づいて、１つの送信元ポートから複数の宛先ポートへの通信を、複数宛先ポート利用プロトコルの通信の候補として抽出し、当該複数宛先ポート利用プロトコルの通信の候補から、単一宛先ポート利用プロトコルの通信を除外し、残った通信を複数宛先ポート利用プロトコルの通信として識別するプロトコル識別部と
　を備えるプロトコル識別装置が提供される。
　開示の技術によれば、事前情報を用いず、複数宛先ポート利用プロトコルのパケットを同一プロトコルのパケットとして識別することを可能とする技術が提供される。
本発明の実施の形態におけるシステムの全体構成図である。 プロトコルの定義を説明するための図である。 プロトコルの定義を説明するための図である。 プロトコル識別装置の処理の流れを説明するためのフローチャートである。 Ｓ１０４を説明するための図である。 Ｓ１０５を説明するための図である。 Ｓ１０６を説明するための図である。 Ｓ１０６を説明するための図である。 Ｓ１０７を説明するための図である。 Ｓ１０７を説明するための図である。 実施例１のプロトコル識別装置の構成図である。 本発明に係る技術を適用せずに可視化した場合の例を示す図である。 本発明に係る技術を適用して可視化した場合の例を示す図である。 実施例２のプロトコル識別装置の構成図である。 装置のハードウェア構成例を示す図である。
　以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。
　本実施の形態では、「ポート」を、ポート番号で識別される、通信データ（パケットと称してもよい）の入口（宛先の場合）又は出口（送信元の場合）の意味で使用する。また、ｓｒｃＰｏｒｔは送信元ポートであり、ｄｓｔＰｏｒｔは宛先ポートである。なお、ｓｒｃＰｏｒｔを送信元ポート番号、ｄｓｔＰｏｒｔを宛先ポート番号の意味で使用する場合もある。また、「アプリケーションプロトコル」を「プロトコル」と呼ぶ場合がある。
　（実施の形態の概要）
　本実施の形態では、プロトコル識別装置１００が、事前情報を用いず、複数宛先ポート利用プロトコルのパケットを同一プロトコルのパケットとして識別する。
　上記の同一プロトコルとして識別される複数宛先ポート利用プロトコルの多くは、送信元ポートを固定して多数の宛先ポート宛にパケットを送信するという一般的なプロトコルにない挙動を示す。そこで、プロトコル識別装置１００は、２ホスト間の通信に関して、送信元ポート番号と宛先ポート番号の対応関係を全て洗い出した上で、同一の送信元ポートから複数の宛先ポートに向けて行われる通信を複数宛先ポート利用プロトコルによる通信として識別する。
　その際、プロトコル識別装置１００は、複数宛先ポート利用プロトコルと一般的なプロトコルとの間、もしくは複数の複数宛先ポート利用プロトコルの間で、利用する宛先ポート番号が重複してまった場合でも、それぞれの通信を正しく区別可能とする例外対応処理も実施することとしている。
　本実施の形態におけるプロトコル識別装置１００により、従来技術では複数の異なるアプリケーションプロトコルとして誤認識されてしまう複数宛先ポート利用プロトコルの識別が可能となる。これにより、セキュリティリスクをより正確に認識可能となる。
　（システム構成）
　図１に、本実施の形態におけるシステム構成図を示す。図１に示すように、本実施の形態におけるシステムは、プロトコル識別装置１００、通信元装置２００、通信先装置３００を有し、これらがネットワークを介してＳＷ（スイッチ）４００に接続されている。
　通信元装置２００、通信先装置３００はそれぞれＩＰ通信を行う装置であり、通信元装置２００がパケットを送信し、通信先装置３００がパケットを受信する。通信元装置２００と通信先装置３００をそれぞれホストと称してもよい。また、図１には、通信元装置２００と通信先装置３００がそれぞれ１つずつ示されているが、複数の通信元装置２００と複数の通信先装置３００が存在してもよい。
　通信元装置２００から通信先装置３００へ送信されるパケットは、ＳＷ４００により、プロトコル識別装置１００へも送信され、プロトコル識別装置１００が当該パケットを受信する。プロトコル識別装置１００は、受信したパケットを解析することで、プロトコルの識別を行う。
　図１に示すとおり、プロトコル識別装置１００は、受信部１１０、ＵＤＰ通信抽出部１２０、通信データ分割部１３０、プロトコル識別部１４０を有する。プロトコル識別装置１００の詳細動作については後述する。
　（プロトコルの定義及び前提条件）
　本実施の形態におけるプロトコル識別装置１００の動作を説明するにあたり、まず、本実施の形態におけるプロトコルの定義及び前提条件を説明する。
　＜プロトコルの定義＞
　「複数宛先ポート利用プロトコル」は、図２に示すように、ある送信元ＩＰアドレス（ｓｒｃＩＰ）－宛先ＩＰアドレス（ｄｓｔＩＰ）間の通信であって、同一の送信元ポート（ｓｒｃＰｏｒｔ）から複数の宛先ポート（ｄｓｔＰｏｒｔ）宛に通信を行うプロトコルである。
　「単一宛先ポート利用プロトコル」は、図３に示すように、ある送信元ＩＰアドレス（ｓｒｃＩＰ）－宛先ＩＰアドレス（ｄｓｔＩＰ）間の通信であって、同一のｄｓｔＰｏｒｔに対して、通信のセッション毎に異なるｓｒｃＰｏｒｔで通信を行うプロトコルである。
　なお、図２、図３（及び以降の図も同様）に示される「〇」は、ポート番号で識別されるポートを示す。
　＜本実施の形態におけるネットワークの前提条件＞
　本実施の形態では、複数宛先ポート利用プロトコル（識別対象）と単一宛先ポート利用プロトコルによる通信が混在することを前提としている。また、複数宛先ポート利用プロトコルはＵＤＰ（Ｕｓｅｒ　Ｄａｔａｇｒａｍ　Ｐｒｏｔｏｃｏｌ）での通信であることを前提としている。
　（プロトコル識別装置の動作例）
　次に、図４のフローチャートに示す手順に沿って、図１に示す構成を備えるプロトコル識別装置１００の動作例を説明する。
　＜Ｓ１０１、Ｓ１０２、Ｓ１０３：前処理＞
　プロトコル識別装置１００は、前処理として、下記のＳ１０１～Ｓ１０３を実行する。
　Ｓ１０１において、受信部１１０が、通信データ（パケットと称してもよい）を受信する。Ｓ１０１においては、受信部１１０は、例えば、予め定めた期間における複数の通信データを受信する。受信部１１０により受信した通信データはＵＤＰ通信抽出部１２０に入力される。
　Ｓ１０２において、ＵＤＰ通信抽出部１２０は、入力された通信データから、ＵＤＰ通信の通信データを抽出する。Ｓ１０３において、通信データ分割部１３０は、送信元と宛先のＩＰアドレスの組（ｓｒｃＩＰ，ｄｓｔＩＰ）毎に通信データを分割する。
　例えば、（ｓｒｃＩＰ１，ｄｓｔＩＰ２）である１０個の通信データ、（ｓｒｃＩＰ１，ｄｓｔＩＰ３）である２０個の通信データ、（ｓｒｃＩＰ１，ｄｓｔＩＰ３）である１０個の通信データ、（ｓｒｃＩＰ２，ｄｓｔＩＰ１）である２０個の通信データ、のようにして、送信元と宛先のＩＰアドレスの組（ｓｒｃＩＰ，ｄｓｔＩＰ）毎に通信データが分割される。
　分割により得られた通信データは、プロトコル識別装置１００におけるメモリやハードディスク等の記憶媒体（記憶部と呼んでもよい）に格納され、プロトコル識別部１４０により読み出されて、後述するプロトコル識別処理が実行される。
　なお、受信部１１０、ＵＤＰ通信抽出部１２０、及び通信データ分割部１３０により、ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データが取得されることから、「受信部＋ＵＤＰ通信抽出部＋通信データ分割部」を「取得部」と呼んでもよい。
　続いて、Ｓ１０４～Ｓ１０７において、プロトコル識別装置１００のプロトコル識別部１４０は、Ｓ１０３で得られた通信データを分析することで、複数宛先ポート利用プロトコルを識別する処理を行う。以下、Ｓ１０４～Ｓ１０７の各ステップを、図面を参照しながら詳細に説明する。
　Ｓ１０４～Ｓ１０７は、送信元と宛先のＩＰアドレスの組毎に実行される。以下では、処理対象の送信元と宛先のＩＰアドレスの組として、特定の（ｓｒｃＩＰ，ｄｓｔＩＰ）の組を対象とした処理について説明する。
　また、Ｓ１０４～Ｓ１０７の説明において、（送信元ＩＰアドレス，送信元ポート番号，宛先ＩＰアドレス，宛先ポート番号）の組で識別されるものを「通信」と呼ぶ。Ｓ１０４～Ｓ１０７では、特定の（ｓｒｃＩＰ，ｄｓｔＩＰ）の組を対象としているので、（送信元ポート番号，宛先ポート番号）の組で識別されるものを「通信」と呼んでよい。
　また、例えば、複数の通信データから、送信元ポートＡ（ポート番号＝Ａ）から宛先ポートＢ（ポート番号＝Ｂ）への通信を抽出するとは、当該複数の通信データから、（ｓｒｃＰｏｒｔ＝Ａ，ｄｓｔＰｏｒｔ＝Ｂ）にマッチする通信データを抽出することに相当する。
　＜Ｓ１０４：複数宛先ポート利用プロトコル通信候補の抽出＞
　Ｓ１０４において、プロトコル識別部１４０は、対象の通信データの中から、複数のｄｓｔＰｏｒｔ宛の通信の送信元となるｓｒｃＰｏｒｔを、複数宛先ポート利用プロトコル通信候補のｓｒｃＰｏｒｔとして特定し、特定したｓｒｃＰｏｒｔから当該複数のｄｓｔＰｏｒｔへのそれぞれの通信を複数宛先ポート利用プロトコル通信候補として抽出する。
　図５に抽出の一例を示す。図５の例では、プロトコル識別部１４０は、（ｓｒｃＩＰ，ｄｓｔＩＰ）の組の複数の通信データに基づいて、ｓｒｃＰｏｒｔ－Ａを送信元とする複数のｄｓｔＰｏｒｔ－Ｂ、Ｃ、Ｄ、Ｅ、Ｆ宛の通信を検出したので、ｓｒｃＰｏｒｔ－Ａを複数宛先ポート利用プロトコル通信候補のｓｒｃＰｏｒｔとして特定し、特定したｓｒｃＰｏｒｔ‐Ａから当該複数のｄｓｔＰｏｒｔ－Ｂ、Ｃ、Ｄ、Ｅ、Ｆへのそれぞれの通信を複数宛先ポート利用プロトコル通信候補として抽出する。
　同様にして、プロトコル識別部１４０は、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ－Ｌ、Ｍへのそれぞれの通信を複数宛先ポート利用プロトコル通信候補として抽出し、ｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ－Ｌ、Ｍへのそれぞれの通信を複数宛先ポート利用プロトコル通信候補として抽出する。
　なお、図５には、Ｓ１０５の処理により識別されることになる単一宛先ポート利用プロトコル１、２も示されている。
　＜Ｓ１０５：単一宛先ポート利用プロトコル通信の除外＞
　Ｓ１０５において、プロトコル識別部１４０は、Ｓ１０４において抽出した複数宛先ポート利用プロトコル通信の候補から、単一宛先ポート利用プロトコル通信の除外を行う。具体的には下記のとおりである。
　プロトコル識別部１４０は、対象の通信データの中から、複数のｓｒｃＰｏｒｔを送信元とする通信の宛先のｄｓｔＰｏｒｔと、そのｄｓｔＰｏｒｔ宛の通信の送信元の各ｓｒｃＰｏｒｔを識別し、当該各ｓｒｃＰｏｒｔから宛先のｄｓｔＰｏｒｔへの通信を単一宛先ポート利用プロトコルの通信であると判定し、単一宛先ポート利用プロトコルの通信を、Ｓ１０４において抽出した複数宛先ポート利用プロトコル通信の候補から除外する。
　プロトコル識別部１４０は、単一宛先ポート利用プロトコルの通信を除外することにより残った通信を複数宛先ポート利用プロトコルの通信として識別し、その通信のｓｒｃＰｏｒｔを複数宛先ポート利用プロトコル通信の識別子として抽出する。
　図６の具体例では、プロトコル識別部１４０は、（ｓｒｃＩＰ，ｄｓｔＩＰ）の組の複数の通信データに基づいて、ｓｒｃＰｏｒｔ‐ＧからｄｓｔＰｏｒｔ‐Ｌへの通信、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ‐Ｌへの通信、及びｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ‐Ｌへの通信を単一宛先ポート利用プロトコル１の通信として抽出する。また、プロトコル識別部１４０は、ｓｒｃＰｏｒｔ‐ＧからｄｓｔＰｏｒｔ‐Ｊへの通信、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ‐Ｊへの通信、及びｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ‐Ｊへの通信を単一宛先ポート利用プロトコル１の通信として抽出する。
　また、プロトコル識別部１４０は、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ‐Ｍへの通信、ｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ‐Ｍへの通信、ｓｒｃＰｏｒｔ‐ＪからｄｓｔＰｏｒｔ‐Ｍへの通信、及びｓｒｃＰｏｒｔ‐ＫからｄｓｔＰｏｒｔ‐Ｍへの通信を単一宛先ポート利用プロトコル２の通信として抽出する。
　上記の単一宛先ポート利用プロトコル１、２の通信のうち、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ‐Ｌへの通信と、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ‐Ｍへの通信は、ｓｒｃＰｏｒｔ‐ＨをｓｒｃＰｏｒｔとする複数宛先ポート利用プロトコル通信であり、ｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ‐Ｌへの通信とｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ‐Ｍへの通信は、ｓｒｃＰｏｒｔ‐ＩをｓｒｃＰｏｒｔとする複数宛先ポート利用プロトコル通信である。
　これらの複数宛先ポート利用プロトコル通信は、Ｓ１０４において、複数宛先ポート利用プロトコル通信の候補として抽出されていたものである。Ｓ１０５では、これらの通信が、Ｓ１０４において複数宛先ポート利用プロトコル通信の候補として抽出された通信から除外される。
　＜Ｓ１０６：複数宛先ポート利用プロトコル間のｄｓｔＰｏｒｔ重複対応処理＞
　まず、Ｓ１０６の必要性を説明する。複数の複数宛先ポート利用プロトコル間で利用ｄｓｔＰｏｒｔが重複した場合、重複したｄｓｔＰｏｒｔに紐づく通信がＳ１０５により単一宛先ポート利用プロトコルの通信と判定され除外されてしまう。
　このことについて、図７を参照して説明する。図７は、Ｓ１０４において、複数宛先ポート利用プロトコル１の通信（ｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ‐Ｂ、Ｃ、Ｄ、Ｅ、Ｆへの通信）と、複数宛先ポート利用プロトコル２の通信（ｓｒｃＰｏｒｔ－ＧからｄｓｔＰｏｒｔ‐Ｅ、Ｆ、Ｈ、Ｉ、Ｊへの通信）の２つの複数宛先ポート利用プロトコルの通信が抽出された場合の例を示している。
　これら２つの複数宛先ポート利用プロトコルの通信の間で、ｄｓｔＰｏｒｔ‐Ｅ、Ｆが重複している。
　この場合、Ｓ１０５において、ｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｅへの単一宛先ポート利用プロトコル通信と、ｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｆへの単一宛先ポート利用プロトコル通信とが除外される。しかし、これらの通信はいずれも、複数宛先ポート利用プロトコルの通信の中の一部の通信であるため、除外されるべきではない。そのため、例外的に複数宛先ポート利用プロトコルの通信として判定し直す必要がある。
　そこで、Ｓ１０６において、プロトコル識別部１４０は、Ｓ１０５で除外された通信であっても、それが複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔからのみ発信される通信であれば、当該通信を複数宛先ポート利用プロトコルの通信として識別し直す。つまり、複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔのみをｓｒｃＰｏｒｔとして有する単一宛先ポート利用プロトコルの通信を複数宛先ポート利用プロトコルの通信として再識別する。
　図７に示した具体例では、Ｓ１０５で除外されたｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｅへの通信と、ｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｆへの通信はいずれも、ｓｒｃＰｏｒｔ－Ａ、ＧをｓｒｃＰｏｒｔとしており、ｓｒｃＰｏｒｔ－Ａ、Ｇは、複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔのみを有する。
　従って、図８に示すように、プロトコル識別部１４０は、ｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｅへの通信、及びｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｆへの通信のうち、ｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ－Ｅ、Ｆへの通信を複数宛先ポート利用プロトコル１の通信として再識別し、ｓｒｃＰｏｒｔ－ＧからｄｓｔＰｏｒｔ－Ｅ、Ｆへの通信を複数宛先ポート利用プロトコル２の通信として再識別する。
　＜Ｓ１０７：複数宛先ポート利用-単一宛先ポート利用プロトコル間のｄｓｔＰｏｒｔ重複対応処理＞
　まず、Ｓ１０７の必要性を説明する。複数宛先ポート利用プロトコルの通信と単一宛先ポート利用プロトコルの通信との間で利用ｄｓｔＰｏｒｔが重複した場合、重複したｄｓｔＰｏｒｔに紐づく通信がＳ１０５により単一宛先ポート利用プロトコルの通信と判定され除外されてしまう。
　このことについて、図９を参照して説明する。図９の例では、Ｓ１０４において、ｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ‐Ｂ、Ｃ、Ｄ、Ｅへの通信である複数宛先ポート利用プロトコルの通信が抽出される。また、Ｓ１０５において、ｓｒｃＰｏｒｔ－Ａ、Ｆ、Ｇ、Ｈ、ＩからｄｓｔＰｏｒｔ‐Ｅへの通信である単一宛先ポート利用プロトコルの通信が抽出され、ｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ‐Ｅへの通信が、複数宛先ポート利用プロトコルの通信から除外される。
　しかし、ｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ‐Ｅへの通信は、複数宛先ポート利用プロトコルの通信の中の一部の通信であるため、除外されるべきではない。そのため、複数宛先ポート利用プロトコルの通信として判定し直す必要がある。
　そこで、Ｓ１０７において、プロトコル識別部１４０は、Ｓ１０５で除外された通信であっても、それが複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔからのみ発信される通信であれば、当該通信を複数宛先ポート利用プロトコルの通信として識別し直す。
　すなわち、プロトコル識別部１４０は、Ｓ１０５において候補から除外された単一宛先ポート利用プロトコルの通信のうち、当該候補に係る複数宛先ポート利用プロトコルの宛先ポートを宛先ポートとする単一宛先ポート利用プロトコルにおける、当該候補に係る複数宛先ポート利用プロトコルの送信元ポートからの通信を複数宛先ポート利用プロトコルの通信として再識別する。
　図９で説明した具体例では、Ｓ１０５で除外されたｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ－Ｅへの通信は、複数宛先ポート利用プロトコルのｄｓｔＰｏｒｔ－Ｅを宛先ポートとする単一宛先ポート利用プロトコルにおける、複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔ－Ａからの通信である。
　よって、図１０に示すように、ｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ－Ｅへの通信を複数宛先ポート利用プロトコルの通信として再識別する。
　以下、これまでに説明したプロトコル識別技術を用いた実施例として、実施例１、２を説明する。なお、実施例１と実施例２は組み合わせて実施してもよい。
　（実施例１）
　実施例１では、産業用制御システムネットワークにおいて、プロトコル識別装置１００が、各ホストが利用するアプリケーションの特定を行う。
　図１１に、実施例１におけるプロトコル識別装置１００を有するシステムの構成例を示す。図１１に示すように、実施例１のプロトコル識別装置１００は、受信部１１０、ＵＤＰ通信抽出部１２０、通信データ分割部１３０、プロトコル識別部１４０、可視化部１５０を有する。受信部１１０、ＵＤＰ通信抽出部１２０、通信データ分割部１３０、プロトコル識別部１４０は、既に説明したとおりである。
　可視化部１５０は、プロトコル識別部１４０により識別されたアプリケーションプロトコル名を表示する。プロトコル識別部１４０によりアプリケーションプロトコルが識別できなかった場合、可視化部１５０は、（ポート番号／Ｌ４プロトコル名）の組をアプリケーション名として表示する
　実施例１では、送信元ポート番号１３０００番を利用して１００００個以上の宛先ポート番号のポートに通信する仕様非公開のアプリケーションプロトコルが存在することをネットワーク環境条件としている。
　図１２は、本発明に係る技術を適用せずに、宛先ポート番号に基づいてアプリケーションプロトコルを識別して可視化した表示例を示している。図１２には、送信元のＩＰアドレス及びＭＡＣアドレスと、識別されたアプリケーションプロトコルが示されている。
　図１２に示すように、本発明に係る技術を適用しない場合、１００００個以上存在するポート番号毎にアプリケーションプロトコルが動作しているように見えてしまう。そのため、本来存在するアプリケーションの数を正確に把握することができず、また可視化結果の可読性も大きく低下させる。
　図１３は、実施例１のプロトコル識別装置１００により可視化した表示例を示す。図１３には、送信元のＩＰアドレス及びＭＡＣアドレスと、識別されたサービスが示されている。
　図１３に示すように、同一の送信元ポート（ポート番号１３０００番）から複数の宛先ポートを利用する通信を、送信元ポート番号を識別キーとして一つアプリケーション（サービス）として識別し、表示する。これにより、アプリケーション数を正しく把握でき、可読性も向上する。
　（実施例２）
　実施例２では、プロトコル識別装置１００が、産業用制御システムネットワークにおけるホワイトリストエントリの自動生成を行う。
　図１４に、実施例２におけるプロトコル識別装置１００を有するシステムの構成例を示す。図１４に示すように、実施例２のプロトコル識別装置１００は、受信部１１０、ＵＤＰ通信抽出部１２０、通信データ分割部１３０、プロトコル識別部１４０、ホワイトリスト生成部１６０を有する。受信部１１０、ＵＤＰ通信抽出部１２０、通信データ分割部１３０、プロトコル識別部１４０は、既に説明したとおりである。ホワイトリスト生成部１６０は、後述する方法でホワイトリストのエントリを生成する。
　実施例２でも、送信元ポート番号１３０００番を利用して１００００個以上の宛先ポート番号のポートに通信する仕様非公開のアプリケーションプロトコルが存在することをネットワーク環境条件としている。
　実施例２では、まず、プロトコル識別部１４０が、取得した通信データ（パケットと称してもよい）に対して本発明に係る技術を適用し、複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔを抽出する。説明の便宜上、この抽出されたｓｒｃＰｏｒｔをｓｒｃＰｏｒｔ－Ａとする。抽出されたｓｒｃＰｏｒｔが複数である場合は、各ｓｒｃＰｏｒｔに対して以下の処理を行う。
　ホワイトリスト生成部１６０は、（１）複数宛先ポート利用プロトコル通信に関する処理、及び（２）単一宛先ポート利用プロトコル通信に関する処理を実行する。以下、（１）、（２）それぞれの処理を説明する。
　（１）複数宛先ポート利用プロトコル通信に関する処理
　ホワイトリスト生成部１６０は、ｓｒｃＰｏｒｔ―Ａにより識別される複数宛先ポート利用プロトコルの当該ｓｒｃＰｏｒｔ‐Ａを送信元ポート番号とする各通信データの宛先ポート番号（ｄｓｔＰｏｒｔ）を抽出し、抽出したｄｓｔＰｏｒｔの最小値と最大値を計算する。
　続いて、ホワイトリスト生成部１６０は、当該複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔ‐Ａを送信元ポート番号とする通信データの（ｓｒｃＩＰ，ｄｓｔＩＰ，ｓｒｃＰｏｒｔ，ｄｓｔＰｏｒｔ，ｕｄｐ／ｔｃｐ）をエントリ情報として設定する。なお、ｄｓｔＰｏｒｔのみ範囲指定とし、範囲は事前に抽出した最小値から最大値までとする。範囲指定が不可能な場合はワイルドカードとする。
　以上の処理により、複数宛先ポート利用プロトコル通信に関するホワイトリストが生成される。
　（２）単一宛先ポート利用プロトコル通信に関する処理
　ホワイトリスト生成部１６０は、ｓｒｃＰｏｒｔ‐Ａにより識別される複数宛先ポート利用プロトコルの当該ｓｒｃＰｏｒｔ－Ａを送信元ポート番号としない通信データについて、通信データ内の（ｓｒｃＩＰ，ｄｓｔＩＰ，ｄｓｔＰｏｒｔ，ｕｄｐ／ｔｃｐ）をエントリ情報として設定し、ｓｒｃＰｏｒｔはワイルドカードとする。
　以上の処理により、単一宛先ポート利用プロトコル通信に関するホワイトリストが生成される。
　＜実施例２の期待される効果＞
　実施例２により、機器リソース及び運用管理コストの削減が可能である。すなわち、実施例２により、１００００個以上利用されることがある複数宛先ポート利用プロトコルのｄｓｔＰｏｒｔを別エントリとして登録せず、範囲指定の１エントリに圧縮することでホワイトリストエントリ数を大幅に削減し、ＩＤＳ（Intrusion Detection System）等の機器リソース及びＩＤＳ運用者のホワイトリスト運用管理コストを削減することが可能となる。
　（ハードウェア構成例）
　図１、図１１、図１４を参照して説明した本実施の形態におけるプロトコル識別装置１００は、例えば、コンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現することができる。
　上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。
　図１５は、上記コンピュータのハードウェア構成例を示す図である。図１５のコンピュータは、それぞれバスＢＳで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、入力装置１００７、出力装置１００８等を有する。
　当該コンピュータでの処理を実現するプログラムは、例えば、ＣＤ－ＲＯＭ又はメモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１０００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
　メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って、プロトコル識別装置１００に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１００６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ　Ｕｓｅｒ　Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。出力装置１００８は演算結果を出力する。
　（実施の形態の効果）
　本実施の形態に係る技術により、従来技術では複数の異なるアプリケーションプロトコルとして誤認識されてしまう複数宛先ポート利用プロトコルの識別を行うことが可能となり、セキュリティリスクをより正確に認識可能となる。
　（実施の形態のまとめ）
　本明細書には、少なくとも下記の各項に記載したプロトコル識別装置、プロトコル識別方法、及びプログラムが記載されている。
（第１項）
　ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データを取得する取得部と、
　前記複数の通信データに基づいて、１つの送信元ポートから複数の宛先ポートへの通信を、複数宛先ポート利用プロトコルの通信の候補として抽出し、当該複数宛先ポート利用プロトコルの通信の候補から、単一宛先ポート利用プロトコルの通信を除外し、残った通信を複数宛先ポート利用プロトコルの通信として識別するプロトコル識別部と
　を備えるプロトコル識別装置。
（第２項）
　前記プロトコル識別部は、前記候補から除外された単一宛先ポート利用プロトコルの通信のうち、複数宛先ポート利用プロトコルの送信元ポートのみを複数の送信元ポートとして有する単一宛先ポート利用プロトコルの通信を複数宛先ポート利用プロトコルの通信として再識別する
　第１項に記載のプロトコル識別装置。
（第３項）
　前記プロトコル識別部は、前記候補から除外された単一宛先ポート利用プロトコルの通信のうち、前記候補に係る複数宛先ポート利用プロトコルの宛先ポートを宛先ポートとする単一宛先ポート利用プロトコルにおける、前記候補に係る複数宛先ポート利用プロトコルの送信元ポートからの通信を複数宛先ポート利用プロトコルの通信として再識別する
　第１項又は第２項に記載のプロトコル識別装置。
（第４項）
　前記プロトコル識別部は、複数宛先ポート利用プロトコルの通信として識別された通信の送信元ポートを、当該複数宛先ポート利用プロトコルの識別子として抽出し、前記プロトコル識別装置は、前記識別子を表示する可視化部を備える
　第１項ないし第３項のうちいずれか１項に記載のプロトコル識別装置。
（第５項）
　前記プロトコル識別部により抽出された複数宛先ポート利用プロトコルの通信の送信元ポート番号と、当該複数宛先ポート利用プロトコルの通信の宛先ポート番号の最小値と最大値による範囲指定とを有するホワイトリストを生成するホワイトリスト生成部
　を備える第１項ないし第４項のうちいずれか１項に記載のプロトコル識別装置。
（第６項）
　プロトコル識別装置が実行するプロトコル識別方法であって、
　ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データを取得するステップと、
　前記複数の通信データに基づいて、１つの送信元ポートから複数の宛先ポートへの通信を、複数宛先ポート利用プロトコルの通信の候補として抽出し、当該複数宛先ポート利用プロトコルの通信の候補から、単一宛先ポート利用プロトコルの通信を除外し、残った通信を複数宛先ポート利用プロトコルの通信として識別するステップと
　を備えるプロトコル識別方法。
（第７項）
　コンピュータを、第１項ないし第５項のうちいずれか１項に記載のプロトコル識別装置における各部として機能させるためのプログラム。
　以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
１００　プロトコル識別装置
１１０　受信部
１２０　ＵＤＰ通信抽出部
１３０　通信データ分割部
１４０　プロトコル識別部
１５０　可視化部
１６０　ホワイトリスト生成部
２００　通信元装置
３００　通信先装置
４００　ＳＷ
１０００　ドライブ装置
１００１　記録媒体
１００２　補助記憶装置
１００３　メモリ装置
１００４　ＣＰＵ
１００５　インタフェース装置
１００６　表示装置
１００７　入力装置
１００８　出力装置

Claims (7)

  1. 　ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データを取得する取得部と、
    　前記複数の通信データに基づいて、１つの送信元ポートから複数の宛先ポートへの通信を、複数宛先ポート利用プロトコルの通信の候補として抽出し、当該複数宛先ポート利用プロトコルの通信の候補から、単一宛先ポート利用プロトコルの通信を除外し、残った通信を複数宛先ポート利用プロトコルの通信として識別するプロトコル識別部と
    　を備えるプロトコル識別装置。
  2. 　前記プロトコル識別部は、前記候補から除外された単一宛先ポート利用プロトコルの通信のうち、複数宛先ポート利用プロトコルの送信元ポートのみを複数の送信元ポートとして有する単一宛先ポート利用プロトコルの通信を複数宛先ポート利用プロトコルの通信として再識別する
    　請求項１に記載のプロトコル識別装置。
  3. 　前記プロトコル識別部は、前記候補から除外された単一宛先ポート利用プロトコルの通信のうち、前記候補に係る複数宛先ポート利用プロトコルの宛先ポートを宛先ポートとする単一宛先ポート利用プロトコルにおける、前記候補に係る複数宛先ポート利用プロトコルの送信元ポートからの通信を複数宛先ポート利用プロトコルの通信として再識別する
    　請求項１又は２に記載のプロトコル識別装置。
  4. 　前記プロトコル識別部は、複数宛先ポート利用プロトコルの通信として識別された通信の送信元ポートを、当該複数宛先ポート利用プロトコルの識別子として抽出し、前記プロトコル識別装置は、前記識別子を表示する可視化部を備える
    　請求項１ないし３のうちいずれか１項に記載のプロトコル識別装置。
  5. 　前記プロトコル識別部により抽出された複数宛先ポート利用プロトコルの通信の送信元ポート番号と、当該複数宛先ポート利用プロトコルの通信の宛先ポート番号の最小値と最大値による範囲指定とを有するホワイトリストを生成するホワイトリスト生成部
    　を備える請求項１ないし４のうちいずれか１項に記載のプロトコル識別装置。
  6. 　プロトコル識別装置が実行するプロトコル識別方法であって、
    　ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データを取得するステップと、
    　前記複数の通信データに基づいて、１つの送信元ポートから複数の宛先ポートへの通信を、複数宛先ポート利用プロトコルの通信の候補として抽出し、当該複数宛先ポート利用プロトコルの通信の候補から、単一宛先ポート利用プロトコルの通信を除外し、残った通信を複数宛先ポート利用プロトコルの通信として識別するステップと
    　を備えるプロトコル識別方法。
  7. 　コンピュータを、請求項１ないし５のうちいずれか１項に記載のプロトコル識別装置における各部として機能させるためのプログラム。
PCT/JP2020/021222 2020-05-28 2020-05-28 プロトコル識別装置、プロトコル識別方法、及びプログラム WO2021240752A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US17/999,431 US20230208944A1 (en) 2020-05-28 2020-05-28 Protocol identifying apparatus, protocol identifying method and program
PCT/JP2020/021222 WO2021240752A1 (ja) 2020-05-28 2020-05-28 プロトコル識別装置、プロトコル識別方法、及びプログラム
JP2022527418A JP7380868B2 (ja) 2020-05-28 2020-05-28 プロトコル識別装置、プロトコル識別方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/021222 WO2021240752A1 (ja) 2020-05-28 2020-05-28 プロトコル識別装置、プロトコル識別方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2021240752A1 true WO2021240752A1 (ja) 2021-12-02

Family

ID=78723231

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/021222 WO2021240752A1 (ja) 2020-05-28 2020-05-28 プロトコル識別装置、プロトコル識別方法、及びプログラム

Country Status (3)

Country Link
US (1) US20230208944A1 (ja)
JP (1) JP7380868B2 (ja)
WO (1) WO2021240752A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007049262A (ja) * 2005-08-08 2007-02-22 Sony Computer Entertainment Inc 端末、通信装置、通信確立方法および認証方法
JP2010057034A (ja) * 2008-08-29 2010-03-11 Nec Infrontia Corp ルータにおけるアクセス制御方法、ルータ、およびアクセス制御プログラム
JP2014236461A (ja) * 2013-06-05 2014-12-15 日本電信電話株式会社 遮断システム、遮断サーバ、遮断方法、およびプログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007049262A (ja) * 2005-08-08 2007-02-22 Sony Computer Entertainment Inc 端末、通信装置、通信確立方法および認証方法
JP2010057034A (ja) * 2008-08-29 2010-03-11 Nec Infrontia Corp ルータにおけるアクセス制御方法、ルータ、およびアクセス制御プログラム
JP2014236461A (ja) * 2013-06-05 2014-12-15 日本電信電話株式会社 遮断システム、遮断サーバ、遮断方法、およびプログラム

Also Published As

Publication number Publication date
JP7380868B2 (ja) 2023-11-15
JPWO2021240752A1 (ja) 2021-12-02
US20230208944A1 (en) 2023-06-29

Similar Documents

Publication Publication Date Title
JP5972401B2 (ja) 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム
US8701192B1 (en) Behavior based signatures
CN107426242B (zh) 网络安全防护方法、装置及存储介质
US7703138B2 (en) Use of application signature to identify trusted traffic
US8881271B2 (en) System and method for forensic identification of elements within a computer system
US20060130145A1 (en) System and method for analyzing malicious code protocol and generating harmful traffic
US10313370B2 (en) Generating malware signatures based on developer fingerprints in debug information
US20230362182A1 (en) Abnormality sensing device and abnormality sensing method
US20200304521A1 (en) Bot Characteristic Detection Method and Apparatus
JP6308601B2 (ja) パケット処理方法およびデバイス
CN106133742B (zh) 确定装置、确定方法以及确定程序
US20100287304A1 (en) Internet Protocol Version 6 Network Connectivity in a Virtual Computer System
US11647032B2 (en) Apparatus and method for classifying attack groups
JP6674036B2 (ja) 分類装置、分類方法及び分類プログラム
CN114422387A (zh) 一种网络资产探测方法、装置、电子设备和存储介质
US20070266431A1 (en) Firewall Inspecting System and Firewall Information Extraction System
US10097567B2 (en) Information processing apparatus and identifying method
US8910281B1 (en) Identifying malware sources using phishing kit templates
US20160028628A1 (en) Communication system, control apparatus, address allocation method, and program
KR101772681B1 (ko) 방화벽 장치 및 그의 구동방법
WO2021240752A1 (ja) プロトコル識別装置、プロトコル識別方法、及びプログラム
US20150222648A1 (en) Apparatus for analyzing the attack feature dna and method thereof
US8607310B2 (en) Association of in-band and out-of-band identification credentials of a target device
US10909243B2 (en) Normalizing entry point instructions in executable program files
WO2024038566A1 (ja) 抽出装置、抽出方法および抽出プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20937707

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022527418

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20937707

Country of ref document: EP

Kind code of ref document: A1