JP2001313640A - 通信ネットワークにおけるアクセス種別を判定する方法及びシステム、記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 未知の手法を含む種々のパターンの不正アク
セスを検知可能な不正アクセス検知システムを提供す
る。 【解決手段】 管理対象となるサイトの最新のアクセス
ポリシーを管理サーバ２０から取得して保持しておく。
ネットワークを流通するパケットの中からサイト宛のも
のを捕獲し、捕獲したパケットの中からアクセスポリシ
ーに適合するパケットと適合しないパケットとを選別す
る。適合しないパケットが選別されたときは、これを不
正アクセスの蓋然性があるパケットとして特定し、その
特定したパケットに基づくアクセスを排除するためのア
クセス条件の変更等を行わせるために、管理サーバ２０
に通知する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、イーサネット（登
録商標）やインターネットのような通信ネットワークに
おいて発生する不正アクセスを検知する手法に係り、よ
り詳しくはアクセス先に於いて固有となる正常アクセス
の条件を定めた条件情報をもとに、未知のパターンの不
正アクセスも検知することができるようにする方法及び
それを実現するためのシステム技術に関する。

【０００２】

【従来の技術】多数の者がアクセス可能な通信ネットワ
ークに接続されている通信システム又は内部ネットワー
ク等によって構築される通信システムグループ（以下、
便宜上、これらを総称して「サイト」と称する）に対し
て当該通信ネットワーク経由で不正に行われるアクセス
（以下、「不正アクセス」）を検知する手法として、従
来、以下の３つの方式が知られている。

【０００３】第１の方式は、既存の不正アクセスの特徴
パターン（以下、「シグネチャ」と称する。）、例え
ば、通信プロトコルの種類、パケットの大きさ、そのパ
ケットのデータ部に含まれている文字列等の組み合わせ
を予め検知対象となる不正アクセスの数だけ保持してお
き、所定の検知システムが、ネットワーク上を流れるパ
ケットを捕獲してアクセス内容を監視し、そのアクセス
の内容がシグネチャと一致した場合に、不正アクセスが
発生したとして、そのアクセスの内容と発信源の情報と
を管理者等に知らせる方式である。この方式を採用する
既存のソフトウエアとしては、アメリカ合衆国Cisco Sy
stems, Inc社の「Cisco Secure IntrusionDetection Sy
stem」（同社の商標），アメリカ合衆国Internet Secur
ity Systems, Inc社の「RealSecure」（同社の商標）等
がある。

【０００４】第２の方式は、通信ネットワークのユーザ
毎のアクションパターンデータを使用するもので、その
詳細は、下記文献に示されている。 （１）H.S.Javits and A.Valdes.The SRI IDES Statist
ical Anomaly Detector.In Proceedings of the IEEE S
ymposium on Security and Privacy,May 1991 （２）岡本他，なりすましに対する不正侵入検知システ
ム（IDS‐M），信学技報OFS99‐15，AI99‐27，pp．39
‐46，July 1999 この方式は、要するに、ログインしているユーザ毎に、
所定の検知システムが、対象システム内でのアクション
パターンデータ、例えばコマンドの種類、順序、使い方
等の統計データを長期的に収集することで、平均的な通
常アクセスのパターン、すなわち、プロファイルをその
統計から生成し、そのプロファイルから大きく離れた行
動をした場合に、正規ユーザになりすました不正アクセ
スが発生したとして警告を発する方式である。

【０００５】第３の方式は、利用サービスやアクセス先
機器毎のアクセスパターンデータを使用するもので、そ
の詳細は、下記文献に示されている。 （３）P.A Porras and P.G Neumann. EMERALD:Event mo
nitoring enabling responses to anomalous live dist
urbances. In Proceeding of the 20th NationalInform
ation Systems Security Conference. pp.353-365.Oct.
1997 この方式では、所定の検知システムが、利用プロトコル
やアクセス先アドレス毎にアクセスの内容、手順等の統
計を長期的に収集することで、第２方式と同様、プロフ
ァイル（但し、この場合のプロファイルは、アクセスパ
ターンデータとなる）を生成する。そして、生成したプ
ロファイルから大きく離れたアクセスが発生した場合に
不正アクセスが発生したとして警告を発する。

【０００６】

【発明が解決しようとしている課題】しかしながら、従
来の各方式には、以下のような問題点があった。第１の
方式では、予め登録されているシグネチャに対応する不
正アクセスのみが検知対象であるため、未知の手法の不
正アクセスを検知することができない。また、新しい手
法のシグネチャの作成と登録までの間に、その新しい手
法による不正アクセスが自由に行われる可能性が高く、
不正アクセスを行う者（「攻撃者」）が攻撃対象のシス
テムの管理者に気づかれずに行われる不正アクセスの範
囲が広がる可能性がある。

【０００７】第２及び第３の方式では、攻撃者が、検知
システムに警告されない程度に通常アクセスパターンか
ら少し逸脱したアクセスを継続して行っていくことで、
検知システムの統計を狂わせ、その結果、検知システム
において異常であると判断するための基準を攻撃者の都
合の良いようにずらしていくことが可能である。つま
り、攻撃者は、最終的に自分が行おうとする不正アクセ
スを検知システムの通常アクセスの範囲内に収めてしま
うことが可能となる。そうすると、検知システムは、も
はやそのアクセスを不正アクセスであると判断すること
ができなくなる。また、通常アクセスパターンからどの
程度逸脱したら不正アクセスとして検知するのか、その
判断の基準が非常に曖昧となり、検知結果に確信が持て
なくなる。さらに、不特定多数のユーザの利用を許可す
るようなサービス、例えばインターネットにおけるWWW
（world wide web）、電子メール、DNS（domain name s
ervice）等の場合には、ユーザ毎のプロファイルは作成
できないし、実際のアクセスの統計を長時間取らなけれ
ばならないため、導入後すぐに利用することが困難であ
る。

【０００８】本発明は、上記の問題点に鑑み、未知の手
法を含めた広範囲のアクセス種別を判定することがで
き、且つ判定の基準を攻撃者に操作されることがない新
たな仕組みを提供することを主たる課題とする。

【０００９】

【課題を解決するための手段】上記の課題を解決するた
め、本発明では、上記のシグネチャを登録しておくとい
う既存の不正アクセス検知方法では、未知の手法に対応
できないことや頻繁なアップデートの必要性があること
から、逆に、シグネチャではなく、正常アクセスのため
の条件に適合するかどうかで不正アクセスの蓋然性の有
無を判定する新たな手法を採用する。ここでいう「正常
アクセス」とは、実際のアクセスの統計から得られる通
常のアクセスとは類似するものの、本質的な相違があ
る。通常のアクセスには正常アクセスに加えて、怪しい
アクセスも含まれる。これに対して、正常アクセスは、
実際のアクセスからではなく、予め定められたアクセス
条件に基づくものであって、運用時にそれが変更される
ことはない。そのアクセス条件が変更されるのは、通信
ネットワークの構成が変更された場合のみである。この
ため、上記の従来技術のように、運用中に攻撃者に変更
されるおそれもない。「正常なアクセスのための条件」
は、例えば、（１）アクセスに使用されるプロトコルの
仕様に準拠しているかどうか、（２）管理対象となる通
信システム又は通信システムグループのアクセスポリシ
ー（例えばあるホストを保持する組織がそのホストに対
して許可したアクセス条件を定めた情報。実際にはアク
セスを制限するための条件が記述される。送信元アドレ
ス／宛先アドレス／利用プロトコル（ポート番号）／こ
れら組合せは、その一例となる）に準拠しているかどう
か、（３）プロトコルポリシー（プロトコルで使用され
ているコマンドやＵＲＬ等の内容、データの長さ）に準
拠しているかどうか、（４）単位時間あたりのアクセス
の回数が、上記のアクセスポリシーに記述されているア
クセスの許容頻度以内であるかどうか、という観点から
決定する。その後、各チェックの結果を予め学習された
ニューラルネットワークに入力し、危険度を定量化す
る。この危険度が一定値以上であれば、発信源の追跡手
段で追跡を行うことになる。この追跡手段については、
例えば本願出願人による特開２０００−１２４９５２号
公報に記載された技術を用いることができる。なお、
（２）における「通信システムグループ」とは、ＬＡＮ
等の内部ネットワークによってグループ化された通信シ
ステムをいう。

【００１０】上記の思想を具現化した本発明の方法は、
通信ネットワークを介して外部から行われるアクセスを
正常アクセスとして受容するためのプロトコル仕様及び
／又はアクセスポリシーを、対象となる通信システム又
は通信システムグループ毎に定めておき、前記通信ネッ
トワークを流通する伝送情報の中から前記通信システム
又は通信システムグループ宛の伝送情報を捕獲するとと
もに、捕獲した伝送情報の中から前記プロトコル仕様及
び／又はアクセスポリシーに適合しない伝送情報を不正
アクセスの蓋然性がある伝送情報として特定する過程を
含む、通信ネットワークにおけるアクセス種別を判定す
る方法である。

【００１１】本発明は、また、上記アクセス種別を判定
する方法の実施に適したシステムを提供する。 このシ
ステムは、通信ネットワークに存在する通信システム又
は通信システムグループのアクセス管理を行う管理サー
バ（２０）と、この管理サーバ（２０）によるアクセス
管理の補助処理を行う不正アクセス検知システム（１
０）とを含んで構成される。便宜上、後述する実施の形
態に対応する参照符号を付して、その構成を具体的に説
明する。管理サーバ（２０）は、前記通信ネットワーク
を介して外部から行われるアクセスを正常アクセスとし
て受容するための伝送情報の特徴条件を定めた条件情報
を管理対象となる通信システム又は通信システムグルー
プ毎に更新自在に登録する条件情報登録手段２１，ＤＢ
２２）と、各通信システム又は通信システムグループに
対するアクセス許可条件の変更を行う条件変更手段（２
２，ＤＢ２３）とを有するものである。また、不正アク
セス検知システム（１０）は、前記管理サーバの条件情
報登録手段から最新の前記条件情報を取得する条件情報
取得手段（１１）と、前記通信ネットワークを流通する
伝送情報の中から管理対象となる通信システム又は通信
システムグループ宛の伝送情報を捕獲する伝送情報捕獲
手段（１２）と、捕獲した伝送情報の中から前記取得し
た条件情報に適合する第１伝送情報と適合しない第２伝
送情報とを選別する伝送情報選別手段（１３，１４，１
５）と、前記第２伝送情報が選別されたときに当該第２
伝送情報に基づくアクセスを排除するためのアクセス条
件の変更を前記条件変更手段に促す通知手段（１６）と
を具備するものである。

【００１２】上記の不正アクセス検知システム（１０）
は、以下のような構成も可能である。すなわち、通信ネ
ットワークを介して外部から行われるアクセスを正常ア
クセスとして受容するための伝送情報の特徴条件を定め
た条件情報を対象となる通信システム又は通信システム
グループ毎に更新自在に保持する条件情報保持手段（Ｄ
Ｂ１１，ＤＢ１２）と、前記通信ネットワークを流通す
る伝送情報の中から管理対象となる通信システム又は通
信システムグループ宛の伝送情報を捕獲する伝送情報捕
獲手段（１２）と、捕獲した伝送情報の中から最新の前
記条件情報に適合する第１伝送情報と適合しない第２伝
送情報とを選別する伝送情報選別手段（１３，１４，１
５）とを具備し、第２伝送情報を不正アクセスの蓋然性
がある伝送情報として扱う構成。

【００１３】外部から行われるアクセスを正常アクセス
として受容するための伝送情報の特徴条件を定めた条件
情報を管理対象となる通信システム又は通信システムグ
ループ毎に更新自在に登録してなる条件情報登録手段
（２１，ＤＢ２２）と、各通信システム又は通信システ
ムグループに対するアクセス条件の変更を行う条件変更
手段（２２，ＤＢ２３）とを有する通信ネットワークに
接続され、前記条件情報登録手段から最新の前記条件情
報を取得する条件情報取得手段（１１）と、前記通信ネ
ットワークを流通する伝送情報の中から前記取得した条
件情報に対応する通信システム又は通信システムグルー
プ宛の伝送情報を捕獲する伝送情報捕獲手段（１２）
と、捕獲した伝送情報の中から前記取得した条件情報に
適合する第１伝送情報と適合しない第２伝送情報とを選
別する伝送情報選別手段（１３，１４，１５）と、前記
第２伝送情報が選別されたときに当該第２伝送情報に基
づくアクセスを排除するためのアクセス条件の変更を前
記条件変更手段に促す通知手段（１６）とを具備し、第
２伝送情報を不正アクセスの蓋然性がある伝送情報とし
て扱う構成。

【００１４】本発明は、また、上記のアクセス種別を判
定する方法を汎用のコンピュータで実施する上で好適と
なる記録媒体を提供する。この記録媒体は、外部から行
われるアクセスを正常アクセスとして受容するための伝
送情報の特徴条件を定めた条件情報を管理対象となる通
信システム又は通信システムグループ毎に更新自在に登
録してなる条件情報登録手段と、各通信システム又は通
信システムグループに対するアクセス条件の変更を行う
条件変更手段とを有する通信ネットワークに接続される
通信機能付きコンピュータに下記の処理を実行させるた
めのプログラムコードが記録された、コンピュータ読み
取り可能な記録媒体である。 （１）前記条件情報登録手段から最新の前記条件情報を
取得する処理、（２）前記通信ネットワークを流通する
伝送情報の中から前記取得した条件情報に対応する通信
システム又は通信システムグループ宛の伝送情報を捕獲
する処理、（３）捕獲した伝送情報の中から前記取得し
た条件情報に適合する第１伝送情報と適合しない第２伝
送情報とを選別する処理、（４）前記第２伝送情報が選
別されたときに当該第２伝送情報に基づくアクセスを排
除するためのアクセス条件の変更を前記条件変更手段に
促す処理。

【００１５】

【発明の実施の形態】以下、図面を参照して本発明の実
施の形態を説明する。図１は、本発明が適用されるネッ
トワークシステムの全体構成図である。このネットワー
クシステムには、インターネットα、ISDN及び電話網の
公衆通信網β、内部ネットワークγが相互通信可能な形
態で接続されている。内部ネットワークγには、管理対
象となる通信システム又は通信システムグループ（ＬＡ
Ｎ等によってグループ化された通信システム群：以下、
この実施形態では、「サイト」と称する）が接続されて
いる。Ｔ１は、攻撃者が操作する端末すなわち不正アク
セス発信源である。内部ネットワークγには、通常、そ
の前段にファイヤーウォール等のセキュリティ機構が設
けられている。

【００１６】ネットワークシステムには、さらに、複数
の不正アクセス検知システム１０と、管理サーバ２０
と、認証局３０とが接続されている。管理サーバ２０
は、サイトのアクセス管理を行うものであり、不正アク
セス検知システム１０は、管理サーバ２０によるアクセ
ス管理の補助処理を行うものである。認証局３０は、求
めに応じて、認証された電子証明書を発行するものであ
る。この電子証明書は、後述するアクセスポリシーをや
り取りして良い相手かどうかの認証を利用される。

【００１７】＜不正アクセス検知システムの構成＞不正
アクセス検知システム１０は、プロトコルの仕様やサイ
ト毎のアクセスポリシーに基づく正常アクセスのための
条件情報と実際のアクセス内容とを比較していくことに
よって、正常アクセスではない、不正アクセスの蓋然性
があるものを検知する。まず、この不正アクセス検知シ
ステム１０の構成について説明する。

【００１８】不正アクセス検知システム１０は、通信機
能付きのコンピュータによって実現されるもので、その
構成は図２に示されるとおりである。すなわち、プロト
コル仕様データベースＤＢ１１、アクセスポリシーデー
タベースＤＢ１２、アラーム通知先データベースＤＢ１
３、ネットワークインタフェースＩＮＴ１のほか、所定
のプログラムコードを読み取って実行することにより形
成されるアクセスポリシー取得モジュール１１と、パケ
ット捕獲モジュール１２と、パケット選別モジュール１
３と、プロトコル仕様違反検知モジュール１４と、アク
セスポリシー違反検知モジュール１５と、通知モジュー
ル１６と、これらのモジュールを統括的に制御する（補
完処理を含む）主制御部ＣＯＮ１を具備するものであ
る。上記のプログラムコードは、通常は、図示しない上
記コンピュータの外部記録装置（ハードディスク等）に
記録され、当該コンピュータのＣＰＵが適宜読み出して
実行されるようになっているが、コンピュータ読み取り
可能な可搬性の記録媒体に記録される形態や、プログラ
ムサーバを介して上記外部記録装置に記録されるもので
あっても良い。

【００１９】ネットワークインタフェース１４は、管理
サーバ２０との間の通信を制御したり、ネットワークシ
ステムを流通する伝送情報、ここではパケットを取得す
る機能を有するものである。このネットワークインタフ
ェース１４には、自己宛のMAC（Media Access Contro
l）アドレスを持つパケットのみを捕獲するモードと、
自己宛のＭＡＣアドレス以外の宛先を持つパケットも含
めてネットワークシステムを流通するすべてのパケット
を取得するモードの二つが用意されている。この実施形
態では、後者のモードを利用する。

【００２０】アクセスポリシー取得モジュール１１は、
管理サーバ２０からアクセスポリシーを取得するもので
ある。具体的には、ＦＴＰ（File Transfer Protocol）
プロトコル等によるファイル転送機能を利用して管理サ
ーバ２０から管理対象となるサイトのアクセスポリシー
をネットワーク経由で取得し、これをアクセスポリシー
データベースＤＢ１２に保持しておく。なお、管理サー
バ２０上のアクセスポリシーが変更された場合は、管理
サーバ２０から新しいアクセスポリシーが送付されるよ
うになっている。

【００２１】パケット捕獲モジュール１２は、ネットワ
ークシステムを流通するパケットを捕獲（キャプチャリ
ング）するものである。パケット選別モジュール１３
は、管理対象となるサイトへのパケットを選別（パケッ
トフィルタリング）するものである。具体的には、管理
対象となるサイトのＩＰアドレスを登録しておき、その
ＩＰアドレスを宛先ＩＰアドレスとして持つパケットの
みを、捕獲されたパケットの中から選別する。

【００２２】プロトコル仕様違反検知モジュール１４
は、プロトコル仕様に違反しているアクセスかどうかを
予め登録されているプロトコル（IP、TCP、UDP、ICMP、
HTTP、FTP、SMTP、DNS、TELNET等）毎に判定するもので
ある。具体的には、パケット選別モジュール１３で選別
されたパケットに対し、そのパケットで使用されている
各プロトコルが仕様どおりに正しく使用されているかど
うか、各プロトコルのヘッダの長さ、フィールドの構
造、各フィールドの値、データの長さ、データの内容等
が仕様で規定されている範囲であるか、各フィールドの
値に矛盾がないかどうかをプロトコル毎に判定する。正
しく使用されていないアクセスは、不正アクセスの蓋然
性があると判定する。このプロトコル仕様判定は、プロ
トコル層別に行われ、まず、はじめにIPヘッダ、そし
て、トランスポート層ヘッダ（TCP、UDP、ICMP）、最後
にアプリケーション層（HTTP、SMTP、DNS等）の内容が
判定対象となる。

【００２３】アクセスポリシー違反検知モジュール１５
は、サイトのアクセスポリシーに違反しているアクセス
を検知するものである。ここでは、アクセスポリシーの
一例として、アクセスポリシーデータベースＤＢ１２に
保持されている、許可する送信元アドレス、宛先アドレ
ス、利用プロトコル（ポート番号）の組み合わせと一致
するパケットを選別する。この選別は、パケットのIPヘ
ッダの送信元アドレス、宛先アドレス、プロトコルの各
フィールドを調べることによって行う。不一致であった
場合は、不正アクセスの蓋然性があると判定する。一致
した場合には、引き続き、そのアクセスのアプリケーシ
ョン層プロトコルの内容に含まれるサイト特有のパラメ
ータ、例えばHTTPの場合はURL、SMTPの場合はコマンド
名や電子メールアドレス等やデータの長さ等がアクセス
ポリシーによって許可されている内容であるかどうかを
プロトコル毎にチェックする。許可されていないパラメ
ータをもつアクセスについては、不正アクセスの蓋然性
があると判定する。

【００２４】通知モジュール１６は、不正アクセスの蓋
然性があると判定されたときに、その旨を表示したり、
関係者に通知したりするものである。具体的には、対象
となるアクセスがプロコトルの仕様に違反している場
合、またはアクセスポリシーに違反している場合に、画
面に警告分やアイコンとして表示したり、管理者宛にメ
ールを送信したり、管理者のページャ（ポケベル）や携
帯電話に通知したりする。アラーム通知先データベース
ＤＢ１３には、この通知の際に取るべきアクション（メ
ールの発信、ポケベルの発信、画面上への表示等）とそ
の通知先（メールの宛先、ポケベルの番号等）が予め登
録されている。

【００２５】＜管理システムの構成＞次に、管理サーバ
２０の構成について説明する。管理サーバ２０もまた、
通信機能付きのコンピュータによって実現されるもの
で、その要部構成は図３に示されるとおりである。すな
わち、サーバとしての本来の機能のほか、ネットワーク
構成情報データベースＤＢ２１、登録情報データベース
ＤＢ２２、アクセス条件データベースＤＢ２３及びネッ
トワークインタフェースＩＮＴ２のほか、所定のプログ
ラムコードを読み取って実行することにより形成される
登録情報管理モジュール２１と、アクション管理モジュ
ール２２と、これらのモジュールの機能を統括的に制御
する（補完処理を含む）主制御部ＣＯＮ２を具備する。
プログラムコードは、通常は、図示しない上記コンピュ
ータの外部記録装置（ハードディスク等）に記録され、
当該コンピュータのＣＰＵが適宜読み出して実行される
ようになっているが、コンピュータ読み取り可能な可搬
性の記録媒体に記録される形態や、プログラムサーバを
介して上記外部記録装置に記録されるものであっても良
い。

【００２６】ネットワーク構成情報データベースＤＢ２
１は、管理対象となるネットワークシステム全体の構成
情報を蓄積するものである。この構成情報は、アクセス
ポリシーやプロトコル仕様（以下、「アクセスポリシー
等」）を配布したり、アクション条件を変更する際に参
照される。

【００２７】ネットワークインタフェースＩＮＴ２は、
主として、不正アクセス検知１０、認証局３０及び内部
ネットワークγの前段に設けられるファイアウォール等
との通信制御を行う。登録情報管理モジュール２１は、
新規ホストからのアクセスポリシーやプロトコル仕様、
あるいは、新規不正アクセス検知システム１０からのア
ドレスと電子証明書（必要に応じて）の登録を受け付
け、これらを登録情報データベース２１に保持するとと
もに、求めに応じてあるいは自律的に、アクセスポリシ
ー等を不正アクセス検知システム１０に配布するもので
ある。アクセスポリシー等が変更された場合には、変更
された内容を配布する。配布は、ＦＴＰ（File Transfe
r Protocol）プロトコル等によるファイル転送機能を利
用し、ネットワーク経由で行う。その際、アクセスポリ
シー等が攻撃者に取得されないようにするため、これを
共通鍵暗号方式等によって暗号化し、認証された電子証
明書を添付する。アクセスポリシー等を配布するタイミ
ングは、不正アクセス検知システム１０が新たに設置さ
れた場合またはアクセスポリシー等が管理者によって変
更された場合である。

【００２８】アクション管理モジュール２２は、不正ア
クセス検知システム１０から不正アクセスの蓋然性があ
るアクセスを検知した旨の通知を受けた場合に、後続の
アクションをとるための条件（管理者へのアラームの送
信方法等）や対象となるサイトへのアクセス条件（アク
ション条件）を変更するものである。サイトへのアクセ
ス条件としては、例えば、ファイアーウォールの設定変
更、コネクションの切断、発信源の追跡指示等が挙げら
れる。

【００２９】より具体的には、不正アクセス検知システ
ム１０からの通知内容と、そのアクセス内容のサマリ
（宛先IPアドレス、利用プロトコル、送信元IPアドレス
等）とをアクション条件データベースＤＢ２３に保持し
ておき、必要に応じて、管理者が現在のアクション条件
をブラウザ等のインタフェースから変更できるようにす
る。変更された後は、同様の通知結果（プロトコル仕様
判定の結果とアクセスポリシー判定の結果を並べたも
の）となる不正アクセスについては、その変更後のアク
ション条件が適用される。不正アクセス検知システム１
０からの通知結果が同様となるアクセスについては、た
とえ攻撃に使用するプログラム等の手法が異なっていて
も同様の結果を引き起こすものと予想されるため、未知
の不正アクセスでも、既知の不正アクセスのチェック結
果パターンと同じであれば、その被害の度合を予測する
ことができ、適切なアクションを行うことが可能とな
る。

【００３０】＜アクセスの種別判定方法＞次に、上記の
不正アクセス検知システム１０及び管理サーバ２０を用
いてアクセスの種別を判定する方法の実施形態を説明す
る。本実施形態の方法では、不正アクセス検知システム
１０が図１のネットワークシステムにおけるパケットの
流通形態のセンサとして機能するので、不正アクセス検
知システム１０における処理手順（主制御部ＣＯＮ１の
統括的な制御に基づく各種モジュールの実行による処
理）を中心に説明する。図４はその全体処理手順図、図
５〜図９は具体的な内容説明図である。

【００３１】まず、本実施形態において不正アクセスの
蓋然性が高いとして検知されるアクセスの概念を図５の
例により明らかにする。図５は、外部にその存在を知ら
しめていない内部ホストＭ１、SMTPアクセスのみを受容
するメールサーバＭ２、URLを公開しているWWWサーバＭ
３をそれぞれ管理対象サイトとする場合の例である。こ
の場合、内部ホストＭ１へのアクセスＬ１はすべて検知
される。メールサーバＭ２へのアクセスＬ２について
は、正常なSMTPアクセスは検知されないが、SMTPアクセ
ス以外、許可していないSMTPコマンドによるアクセス、
正しくない形式のメールはすべて検知される。WWWサー
バＭ３のアクセスＬ３については、公開しているURLに
よる正常なWWWアクセスは検知されないが、それ以外の
アクセスは、すべて検知される。

【００３２】図４を参照し、上記のようなアクセスの種
別を判定できるようにするため、不正アクセス検知シス
テム１０は、管理サーバ２０から管理対象となるサイト
のアクセスポリシー及びプロトコル仕様のデータをダウ
ンロードして保持しておく（ステップＳ１０１）。既に
保持してあるデータが変更された場合はそれらを更新す
る。図６は、保持されているデータの内容例を示した図
である。

【００３３】図６の上段は、「a.b.c.d」という「宛先
アドレス」を持つサイトに対するインターネットα上の
「すべて」の「送信元アドレス」を持つ端末からの「ht
tp／tcp」プロトコル仕様によるアクセスについては、
これを正常アクセスとして扱うべきことを意味してい
る。同様に、「a.b.c.e」という「宛先アドレス」を持
つ端末に対するインターネットα上の「すべて」の「送
信元アドレス」を持つ端末からの「smtp／tcp」プロト
コル仕様によるアクセスも正常アクセスとして扱われ
る。「プロトコル特有の条件」もプロトコル仕様の範囲
であり、ここでは許可するプロトコル別の条件を指定す
る。例えばWWW（HTTP）の場合は、閲覧を許可するディ
レクトリ／ファイルとURLの最大長を指定する。但し、
これらのプロトコルとそれに対応する指定項目は、予め
管理サーバ２０に登録しておく必要がある。図６の例で
は、WWWサービス（プロトコルがHTTPの場合）では、
「公開するファイル」と使用するURLの「最大文字長」
を指定することができ、ルートディレクトリの下の「／
Index．html」ファイル、「／whatsnew／＊」、「／pro
ducts／＊」、「／profile／＊」（＊は任意の文字列を
示す。）のディレクトリ配下のすべてのファイルへのア
クセスを許可することを示している。その他、「プロト
コル特有の条件」では、社内で「使用するメールアドレ
ス」や使用を「許可するコマンド」等を指定させること
もできる。

【００３４】図４に戻り、アクセスポリシー等をダウン
ロードした不正アクセス検知システム１０は、ネットワ
ークシステム上を流通するパケットを常時監視し、管理
対象となるサイト宛のパケットがあった場合はそれを捕
獲する（ステップＳ１０２）。これは、流通するパケッ
トのヘッダ情報等を参照することによって行う。その
後、捕獲したパケットに対して、プロトコル仕様チェッ
ク及びアクセスポリシーチェックを行う（ステップＳ１
０３）。

【００３５】図７は、プロトコル仕様チェックの概念の
一例を示した図である。プロトコル仕様チェックは、プ
ロトコル仕様データベースＤＢ１１に保持されているIP
ヘッダ、トランスポート層ヘッダ、アプリケーション層
というようにプロトコル層別の一致性をみることで行
う。図７には、HTTPプロトコル仕様の場合の例が示され
ている。HTTPプロトコル仕様のもとでは、IPヘッダ、TC
Pヘッダ、HTTPヘッダ、HTTPデータの順にチェックされ
る。チェック内容は、パケットにおけるIPヘッダの各フ
ィールドの値が正しい範囲に収まっているかどうか、IP
ヘッダのIPパケット全体長フィールドの値とIPヘッダ長
フィールドの値に矛盾がないかどうか（IPパケット全体
長はヘッダ長よりも長くなくてはならない。）等であ
る。否定的であった場合は、違反するパケットとする。
TCPヘッダもIPヘッダと同様の内容となる。その後、HTT
Pヘッダの各フィールドのフォーマットが仕様通りに記
述されているか、HTTPデータのフォーマットが仕様通り
に記述されているかどうかのチェックが続く。HTTPプロ
トコルの仕様は、標準規格であるRFC1945やRFC2068に記
述されているので、これを参考にすることができる。例
えば、HTTPのリクエストのデータ部には、以下の形式の
内容が含まれることになっている。なお、実際には“GE
T”以外にも“POST”等があるが、ここでは省略する。 GET“Request‐URL”HTTP／1.1（バージョン1.1の場
合） GET“Request‐URL”HTTP／1.0（バージョン1.0の場
合） GET“Request‐URL” このとき、“Request‐URL”というパラメータには、サ
ーバへ要求するURLが挿入される。この段階では、この
ようなサイト特有の内容まではチェックせずに、その他
の部分が仕様に合っているかどうかをチェックする。仕
様にあっていない場合（“HTTP／1.0”や“HTTP／1.1”
以外の文字列が存在している等）、この時点で、不正ア
クセスの蓋然性があると判定する。

【００３６】一方、アクセスポリシーチェックでは、パ
ケット中の「宛先アドレス／送信元アドレス／利用プロ
トコル（＝TCP及びUDPのポートの番号）」の内容を、ア
クセスポリシーデータベースＤＢ１２に登録されてい
る、当該サイトで許可するアクセスポリシーの内容と比
較し、一致していなければ違反するパケットであると判
定する。先ほどの仕様のチェックでは行わなかった"Req
uest-URL"の内容のチェックは、ここでアクセスポリシ
ーチェックとして行う。なお、プロトコル仕様チェック
とアクセスポリシーチェックでは、少しでも不一致があ
れば違反するパケットと判定するが、特定部分の不一致
については、これを不問とする扱いも可能である。な
お、プロトコル仕様チェックとアクセスポリシーチェッ
クについては、両方を判定するのが好ましいが、必要に
応じて、いずれか一方のみを判定するようにしても良
い。

【００３７】以上の各チェックの結果、違反しないパケ
ットであれば、正常アクセスであることを意味するの
で、それが流通することに対して何らの処理を行わない
（ステップＳ１０４：No）。一方、違反するパケット
は、実際に不正アクセスによるものかどうかを問わず、
不正アクセスの蓋然性があると判定する（ステップＳ１
０４：Yes）。このチェック結果は、図示しないジャー
ナル管理機構に、チェック履歴として記録しておく。こ
のチェック履歴の一例を示したのが図９である。図９
（ａ）は、プロトコル仕様チェックの結果、同（ｂ）
は、アクセスポリシーチェックの結果の履歴である。

【００３８】違反したパケットであった場合は、当該パ
ケットに関する情報（送信元アドレス等）を特定すると
ともに（ステップＳ１０５）、アラーム通知先データデ
ースＤＢ１３を参照して、通知手段及び通知内容を特定
し（ステップＳ１０６）、通知処理を実行する（ステッ
プＳ１０７）。

【００３９】アラーム通知先データデースＤＢ１３に
は、図８に示される内容例が登録されているので、該当
する「通知先」に、該当する「通知内容」で不正アクセ
スの蓋然性があるパケットを検知した旨を通知する。こ
れにより、通知された側では、該当するアクセスに対す
る注意が喚起されるので、不正アクセス回避のためのア
クションをとることができるようになる。通知先が管理
サーバ２０である場合には、アクション管理モジュール
２２によって、以後のアクションをアクション条件デー
タベースＤＢ２３の登録内容に従って自動実行させるこ
とができる。

【００４０】このように、本実施形態の方法によれば、
未知の手法を含む広範囲の不正アクセスを検知できるよ
うになる利点がある。また、従来のように統計的方式を
採用して不正アクセスかどうかを判定するものではない
ので、その基準が攻撃者に操作されることもなく、安定
的な運用が可能になる。さらに、ユーザ毎のプロファイ
ルを扱わないので、不特定多数のユーザがアクセスする
通信ネットワーク環境にも柔軟に対応することができ
る。さらに、アクセス中の実際のパケットを用いて不正
アクセスの蓋然性の有無をリアルタイムで検知している
ため、その後の対策、例えば発信源の追跡やファイアー
ウォールの条件変更による防御等が迅速になる利点もあ
る。

【００４１】なお、本実施形態では、直接的には触れて
いないが、プロトコル仕様やアクセスポリシーのほか、
上述のプロトコルポリシーや、単位時間あたりのアクセ
スの回数がアクセスポリシーに記述されているアクセス
の許容頻度以内であるかどうかも、必要に応じて考慮す
るようにしても良い。

【００４２】

【発明の効果】以上の説明から明らかなように、本発明
の方法によれば、未知の手法を含めた広範囲のアクセス
種別を判定することができ、且つ判定の基準を攻撃者に
操作されることがないという、特有の効果を奏する。ま
た、本発明のシステムによれば、通信ネットワーク経由
で行われる広範囲な不正アクセスを検知し、それを回避
するためのアクションを迅速にとれるようになるとい
う、効果を奏する。

【図面の簡単な説明】

【図１】本発明が適用されるネットワークシステムの全
体構成図。

【図２】不正アクセス検知システムの機能構成図。

【図３】管理サーバの機能構成図。

【図４】不正アクセス検知システムの手順説明図。

【図５】本実施形態において違反とされるアクセスの概
念を示した図。

【図６】アクセスポリシー及びプロトコル仕様の例を示
した図。

【図７】プロトコル仕様チェックの概念を示した図。

【図８】アラーム通知先データベースの内容例を示した
図。

【図９】（ａ）はプロトコル仕様チェックの結果、
（ｂ）はアクセスポリシーチェックの結果の一例を示し
た図。

【符号の説明】

１０ 不正アクセス検知システム １１ アクセスポリシー取得モジュール １２ パケット捕獲モジュール １３ パケット選別モジュール １４ プロトコル仕様違反検知モジュール １５ アクセスポリシー違反検知モジュール １６ 通知モジュール ２０ 管理サーバ ２１ 登録情報管理モジュール ２２ アクション管理モジュール ＤＢ１１ プロトコル仕様データベース ＤＢ１２ アクセスポリシーデータベース ＤＢ１３ アラーム通知先データベース ＤＢ２１ ネットワーク構成情報データベース ＤＢ２２ 登録情報データベース ＤＢ２３ アクション条件データベース ＩＮＴ１，ＩＮＴ２ ネットワークインタフェース ＣＯＮ１，ＣＯＮ２ 主制御部 ３０ 認証局 Ｔ１ 不正アクセス発信源 α インターネット β ISDN／電話網 γ 内部ネットワーク

───────────────────────────────────────────────────── フロントページの続き (72)発明者 小久保 勝敏 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 (72)発明者 松田 栄之 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 Ｆターム(参考） 5B089 GA11 GA21 GB02 HA03 HA06 HA10 JA22 JA31 JB22 KA17 KB04 KB06 KB13 5K030 GA15 HB16 HB18 HC01 KA04 KA13 LA08 LB02 LD19 LD20 9A001 CC06 JJ14 JJ25 LL03

Claims (5)

【特許請求の範囲】
1. 【請求項１】 通信ネットワークを介して外部から行わ
   れるアクセスを正常アクセスとして受容するためのプロ
   トコル仕様及び／又はアクセスポリシーを、対象となる
   通信システム又は通信システムグループ毎に定めてお
   き、前記通信ネットワークを流通する伝送情報の中から
   前記通信システム又は通信システムグループ宛の伝送情
   報を捕獲するとともに、捕獲した伝送情報の中から前記
   プロトコル仕様及び／又はアクセスポリシーに適合しな
   い伝送情報を不正アクセスの蓋然性がある伝送情報とし
   て特定する過程を含む、 通信ネットワークにおけるアクセス種別を判定する方
   法。
2. 【請求項２】 通信ネットワークに存在する通信システ
   ム又は通信システムグループのアクセス管理を行う管理
   サーバと、この管理サーバによるアクセス管理の補助処
   理を行う不正アクセス検知システムとを含み、 前記管理サーバは、 前記通信ネットワークを介して外部から行われるアクセ
   スを正常アクセスとして受容するための伝送情報の特徴
   条件を定めた条件情報を管理対象となる通信システム又
   は通信システムグループ毎に更新自在に登録する条件情
   報登録手段と、 各通信システム又は通信システムグループに対するアク
   セス許可条件の変更を行う条件変更手段とを有するもの
   であり、 前記不正アクセス検知システムは、 前記管理サーバの条件情報登録手段から最新の前記条件
   情報を取得する条件情報取得手段と、 前記通信ネットワークを流通する伝送情報の中から管理
   対象となる通信システム又は通信システムグループ宛の
   伝送情報を捕獲する伝送情報捕獲手段と、 捕獲した伝送情報の中から前記取得した条件情報に適合
   する第１伝送情報と適合しない第２伝送情報とを選別す
   る伝送情報選別手段と、 前記第２伝送情報が選別されたときに当該第２伝送情報
   に基づくアクセスを排除するためのアクセス条件の変更
   を前記条件変更手段に促す通知手段とを具備するもので
   ある、 通信ネットワークにおけるアクセス種別を判定するシス
   テム。
3. 【請求項３】 通信ネットワークを介して外部から行わ
   れるアクセスを正常アクセスとして受容するための伝送
   情報の特徴条件を定めた条件情報を対象となる通信シス
   テム又は通信システムグループ毎に更新自在に保持する
   条件情報保持手段と、 前記通信ネットワークを流通する伝送情報の中から前記
   通信システム又は通信システムグループ宛の伝送情報を
   捕獲する伝送情報捕獲手段と、 捕獲した伝送情報の中から最新の前記条件情報に適合す
   る第１伝送情報と適合しない第２伝送情報とを選別する
   伝送情報選別手段とを具備し、 前記第２伝送情報を不正アクセスの蓋然性がある伝送情
   報として扱うことを特徴とする、不正アクセス検知シス
   テム。
4. 【請求項４】 外部から行われるアクセスを正常アクセ
   スとして受容するための伝送情報の特徴条件を定めた条
   件情報を管理対象となる通信システム又は通信システム
   グループ毎に更新自在に登録してなる条件情報登録手段
   と、各通信システム又は通信システムグループに対する
   アクセス条件の変更を行う条件変更手段とを有する通信
   ネットワークに接続され、 前記条件情報登録手段から最新の前記条件情報を取得す
   る条件情報取得手段と、 前記通信ネットワークを流通する伝送情報の中から前記
   取得した条件情報に対応する通信システム又は通信シス
   テムグループ宛の伝送情報を捕獲する伝送情報捕獲手段
   と、 捕獲した伝送情報の中から前記取得した条件情報に適合
   する第１伝送情報と適合しない第２伝送情報とを選別す
   る伝送情報選別手段と、 前記第２伝送情報が選別されたときに当該第２伝送情報
   に基づくアクセスを排除するためのアクセス条件の変更
   を前記条件変更手段に促す通知手段とを具備し、 前記第２伝送情報を不正アクセスの蓋然性がある伝送情
   報として扱うことを特徴とする、不正アクセス検知シス
   テム。
5. 【請求項５】 外部から行われるアクセスを正常アクセ
   スとして受容するための伝送情報の特徴条件を定めた条
   件情報を管理対象となる通信システム又は通信システム
   グループ毎に更新自在に登録してなる条件情報登録手段
   と、各通信システム又は通信システムグループに対する
   アクセス条件の変更を行う条件変更手段とを有する通信
   ネットワークに接続される通信機能付きコンピュータ
   に、 前記条件情報登録手段から最新の前記条件情報を取得す
   る処理と、 前記通信ネットワークを流通する伝送情報の中から前記
   取得した条件情報に対応する通信システム又は通信シス
   テムグループ宛の伝送情報を捕獲する処理と、捕獲した
   伝送情報の中から前記取得した条件情報に適合する第１
   伝送情報と適合しない第２伝送情報とを選別する処理
   と、 前記第２伝送情報が選別されたときに当該第２伝送情報
   に基づくアクセスを排除するためのアクセス条件の変更
   を前記条件変更手段に促す処理とを実行させるためのプ
   ログラムコードが記録された、 コンピュータ読み取り可能な記録媒体。