JP2004336130A - ネットワーク状態監視システム及びプログラム - Google Patents
ネットワーク状態監視システム及びプログラム Download PDFInfo
- Publication number
- JP2004336130A JP2004336130A JP2003125397A JP2003125397A JP2004336130A JP 2004336130 A JP2004336130 A JP 2004336130A JP 2003125397 A JP2003125397 A JP 2003125397A JP 2003125397 A JP2003125397 A JP 2003125397A JP 2004336130 A JP2004336130 A JP 2004336130A
- Authority
- JP
- Japan
- Prior art keywords
- alert
- model
- information
- alerts
- generated
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
【課題】信頼度の高いネットワーク状態監視システムを提供する。
【解決手段】複数のＩＤＳ３１から発生されたアラートを収集し、アラートの出力パターンと出力パターンに対するアクションとを対応付けるモデルを生成し、各ローカルシステム２１の異常検出装置３５に提供する。異常検出装置３５は、実際に発行されたアラートの履歴を取り、新たに発生したアラートと過去のアラートとの組み合わせと、モデルとを対比し、対比結果に基づいて異常を検知する。モデルは、出力アラートの組合せとアクションとを対応付けるもの、アラートの発行順番とアクションとを対応付けるもの等がある。実際のアラートの組み合わせが、モデルに一致するときは、モデルに規定されたアクションを行い、一致しないときは、アラームを発行する。また、定常時のアラートの発行状況から、現在のアラートの発行状況を予想し、大きく異なる場合には、アラームを発行する。
【選択図】 図１
【解決手段】複数のＩＤＳ３１から発生されたアラートを収集し、アラートの出力パターンと出力パターンに対するアクションとを対応付けるモデルを生成し、各ローカルシステム２１の異常検出装置３５に提供する。異常検出装置３５は、実際に発行されたアラートの履歴を取り、新たに発生したアラートと過去のアラートとの組み合わせと、モデルとを対比し、対比結果に基づいて異常を検知する。モデルは、出力アラートの組合せとアクションとを対応付けるもの、アラートの発行順番とアクションとを対応付けるもの等がある。実際のアラートの組み合わせが、モデルに一致するときは、モデルに規定されたアクションを行い、一致しないときは、アラームを発行する。また、定常時のアラートの発行状況から、現在のアラートの発行状況を予想し、大きく異なる場合には、アラームを発行する。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
本発明は、ネットワークの監視技術に関する。
【０００２】
【従来の技術】
ネットワークへの様々な攻撃を検知してアラートを発生するＩＤＳ（侵入検知システム；Ｉｎｔｒｕｔｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）が開発され、利用されている（例えば、特許文献１）。ＩＤＳは、ネットワーク上の機器に何らかの攻撃が発生したときにアラートを発生する。
【０００３】
しかし、従来のＩＤＳは、攻撃の事実を取りこぼさないようにするため、攻撃に敏感に反応するように作られている。このため、普通の運用であっても、ＩＤＳからは大量のアラートが出力され続ける。そこで、現在、セキュリティ管理の分野では、実害のあるアラートのみを監視装置に表示してセキュリティ管理者に知らせるようにフィルタリングしている。フィルタリングされたアラートは捨てられている。捨てられたアラートには重要な情報が眠っていると考えられているが、その利用方法が確立していない。
【０００４】
また、ＩＤＳから発行されるアラートを有効に活用するため、侵入パターンに応じた複数の検出パターンを準備しておき、発生したアラートを検出パターンと比較することにより、不正を検出することが特許文献１に開示されている。特許文献１に開示された監視システムでは、予め準備した検出パターンに一致しない侵入パターンについては、検知することができないという問題があった。
【０００５】
【特許文献１】
特開２００２−３４２２７６号公報
【０００６】
また、従来、ネットワーク上に配置されるファイアウオール装置や各ネットワーク機器から出力される情報を、ネットワーク状態の管理に有効に活用することができなかった。また、従来は、情報システム全体を概観して、正常に使われているのか、一部のサイトで異常な使われ方をしているのか、全体的に異常な使われ方をしているのか、把握する手法が確立していない。
【０００７】
【発明が解決しようとする課題】
本発明は、上述した事情に鑑みてなされたもので、信頼度の高いネットワーク状態監視システムを提供することを目的とする。
【０００８】
【課題を解決するための手段】
上記目的を達成するため、本発明の第１の観点に係る、ネットワーク状態監視システムは、
ネットワーク上に配置され、ネットワークへの攻撃を検出し、攻撃を検出すると、アラートを発生する侵入検知手段と、
前記複数の侵入検知手段により発生されたアラートを特定する情報を収集するアラート情報収集手段と、
前記アラート情報収集手段により収集されたアラートに関する情報に基づいて生成されたアラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを記憶するモデル記憶手段と、
発生したアラートの履歴情報を取得するアラート履歴情報取得手段と、
前記アラート履歴情報取得手段で取得されたアラート履歴情報により特定されるアラートの組合せを前記モデル記憶手段に記憶されたモデルと対比し、いずれかのモデルに合致する場合には、登録されているアクションを実行し、いずれのモデルにも合致しない場合には、異常を検知する異常検知手段と、
を備えることを特徴とする。
【０００９】
例えば、前記モデル記憶手段は、出力されたアラートの種類の組合せとアクションとを対応付けて記憶し、前記異常検知手段は、新たなアラートが発生した場合に、攻撃者とアラートの種類とを特定し、前記アラート履歴情報取得手段に記憶されているアラート履歴情報から、その攻撃者が過去に発行させたアラートの種類を求め、その攻撃者が過去に発行させたアラートの種類の組合せと今回のアラートの種類との組合せが、前記モデル記憶手段に記憶されているアラートの種類の組合せのいずれかに合致する場合には、登録されているアクションを実行し、いずれにも合致しない場合には、異常を通知する。
【００１０】
例えば、前記モデル記憶手段は、出力されたアラートの種類の順番とアクションとを対応付けて記憶し、前記異常検知手段は、新たなアラートが発生した場合に、攻撃者とアラートの種類とを特定し、前記アラート履歴情報取得手段に記憶されているアラート履歴情報から、その攻撃者が過去に発行させたアラートの種類の順番を求め、その攻撃者が過去に発行させたアラートと今回のアラートとの種類の順番が、前記モデル記憶手段に記憶されているアラートの種類の順番のいずれかに合致する場合には、登録されているアクションを実行し、いずれにも合致しない場合には、異常を通知する。
【００１１】
例えば、前記モデル記憶手段は、アラートの出力量の時間推移のモデルを記憶し、前記異常検知手段は、前記アラート履歴情報取得手段により取得されたアラートの量と前記アラートの出力量の時間推移のモデルとを対比し、対比結果に基づいて、異常を通知する。
【００１２】
発生したアラートの種類に基づいて、アラート発生者を分類（クラスタリング）する分類手段を配置してもよい。また、アラートの発生者別に、発生したアラートの種類と量とを求める手段と、求めたアラートの種類と量とに基づいて、同一傾向のアラート発生者を同一の分類に分類する分類手段とを配置してもよい。
【００１３】
通信量を測定する通信量測定手段をさらに配置し、前記モデル記憶手段は、前記通信量の時間推移のモデルを記憶し、前記異常検知手段は、前記通信量測定手段で測定された通信量と前記通信量の時間推移のモデルとを対比し、対比結果に基づいて、異常を通知するようにしてもよい。
【００１４】
アクセス量を測定するアクセス量測定手段をさらに配置し、前記モデル記憶手段は、前記アクセス量の時間推移のモデルを記憶し、前記異常検知手段は、前記アクセス量測定手段で測定されたアクセス量と前記アクセス量の時間推移のモデルとを対比し、対比結果に基づいて、異常を通知するようにしてもよい。
【００１５】
上記目的を達成するため、本発明の第２の観点に係るネットワーク状態監視システムは、
ネットワークへの攻撃を検出するとアラートを発生する複数の侵入検知手段から、発生したアラートの情報を収集するアラート情報収集手段と、
前記アラート情報収集手段により収集されたアラートの情報に基づいてアラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを生成するモデル生成手段と、
前記アラート情報収集手段により収集されたアラートの情報に基づいて、発生したアラートの履歴情報を生成するアラート履歴生成手段と、
を備えることを特徴とする。
【００１６】
例えば、前記アラート情報収集手段は、複数のローカルシステムに配置された侵入検知手段が発生したアラートの情報を収集し、前記モデル生成手段は、前記アラート情報収集手段により収集された複数のローカルシステムで発生したアラートの情報に基づいて、アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを生成する手段と、発生したアラートの履歴情報を生成する手段と、各ローカルシステムの異常検出装置に、生成したモデルと履歴情報とを提供する送信手段と、を備える。
【００１７】
上記目的を達成するため、本発明の第３の観点に係るネットワーク状態監視システムは、
ネットワークへの攻撃を検出する侵入検知手段から発生されるアラートを受信するアラート受信手段と、
前記アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを記憶するモデル記憶手段と、
前記侵入検知手段が発生したアラートの履歴情報を記憶するアラート履歴記憶手段と、
前記アラート受信手段で受信した新たなアラートと前記アラート履歴記憶手段に記憶されているアラートの履歴とから生成されたアラート情報を、前記モデル記憶手段に記憶されたモデルと対比し、いずれかのモデルに合致する場合には、登録されているアクションを実行し、いずれのモデルにも合致しない場合には、異常を検知する異常検知手段と、
を備えることを特徴とする。
【００１８】
上記目的を達成するため、本発明の第４の観点に係る、コンピュータプログラムは、
コンピュータ又はコンピュータ群を、
ネットワークへの攻撃を検出するとアラートを発生する複数の侵入検知手段から、発生したアラートの情報を収集するアラート情報収集手段、
前記アラート情報収集手段で収集されたアラートの情報に基づいて、アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを生成するモデル生成手段、
前記アラート情報収集手段で収集されたアラートの情報に基づいて、発生したアラートの履歴情報を生成するアラート履歴生成手段、
として機能させることを特徴とする。
【００１９】
上記目的を達成するため、本発明の第５の観点に係る、コンピュータプログラムは、
アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを記憶するモデル記憶手段、
発生したアラートの履歴情報を記憶するアラート履歴記憶手段、
ネットワークへの攻撃を検出する侵入検知手段からのアラートを受信するアラート受信手段、
前記アラート受信手段で受信した新たなアラートと前記アラート履歴記憶手段に記憶されているアラートの履歴とから生成されたアラート情報を、前記モデル記憶手段に記憶されたモデルと対比し、いずれかのモデルに合致する場合には、登録されているアクションを実行し、いずれのモデルにも合致しない場合には、異常を検知する異常検知手段、
として機能させる。
【００２０】
【発明の実施の形態】
以下、本発明の実施の形態に係るネットワーク状態監視システムを備えたネットワークシステムを説明する。
【００２１】
この実施形態に係るネットワークシステム１１は、図１に示すように、複数のローカルシステム２１（２１−１〜２１−ｎ）と、該複数のローカルシステム２１にＷＡＮ（広域ネットワーク）２５を介して接続されたサイバー攻撃対処センタ２３とを備える。
【００２２】
各ローカルシステム２１は、一又は複数の侵入検知システム（ＩＤＳ；Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）３１と、ファイアウオール３３と、異常検出装置３５と、ルータ３７と、一又は複数のネットワーク機器３９と、を備える。
【００２３】
各ＩＤＳ３１は、ローカルシステム２１内の機器に何らかの攻撃があったときに、攻撃元のＩＰアドレス、ポート番号、攻撃対象のＩＰアドレス、ポート番号、攻撃の内容等を示すアラート（アラート情報）を異常検出装置３５に出力する。
【００２４】
異常検出装置３５は、ＩＤＳ３１から出力されるアラートに基づいて、ローカルシステム２１内の異常の有無を判別し、また、発生されたアラートの情報を集約してサイバー攻撃センタ２３に通知する。また、ローカルシステム２１内のシステム異常を検出し、その情報を集約してサイバー攻撃センタ２３に通知する。
【００２５】
異常検出装置３５は、図２に示すように、制御部１１１と、記憶部１１２と、通信部１１３と、入力部１１４と、表示部１１５とを備える。
【００２６】
制御部１１１は、プロセッサ等から構成され、記憶部１１２に記憶された動作プログラムに従って後述する異常検出動作を行う。
記憶部１１２には、制御部１１１の動作プログラムと共に、１）アラート出力パターンモデル、２）アラート出力シーケンシャルパターンモデル、３）攻撃者情報１及び２、４）時間遷移モデル、が記憶されている。
【００２７】
ここで、１）アラート出力パターンモデルは、図３（ａ）に示すように、アラートの種類の組合せと、それに対するアクションとを対応付けるモデルである。「結論」に相当する種類のアラートが発生されたときに、それ以前のフラグ「１」が設定されている種類のアラートが出力されている場合に、対応する「アクション」を実行することを定義する。
【００２８】
また、２）アラート出力シーケンシャルパターンモデルは、図３（ｂ）に示すように、出力の順番まで考慮して、アラートの種類の組合せと、それに対するアクションとを対応付けるモデルである。登録されている順番通りにアラートが発生したときに、対応する「アクション」を実行することを定義する。
【００２９】
３）攻撃者情報１は、図３（ｃ）に示すように、攻撃者別に、どの種類のアラートを発生させたかを示す情報である。攻撃者情報２は、図３（ｄ）に示すように、攻撃者別に、どのような順番でアラートを発生させたかを示す情報である。
【００３０】
さらに、４）時間遷移モデルは、図４（ａ）〜（ｃ）に示すように、ＩＤＳ３１から出力されるアラートの総量を予想するモデル、ルータ３７等が判別するパケット量（トラヒック量；通信量）を予想するモデル、さらに、アクセス量（総アクセス量）を予想するモデル、等を含む。例えば、１日、１週間、１時間、等を１タイムスロットとして、過去の実績に基づいて、アラートの総量や、通信パケット量（トラヒック量；通信量）や、アクセス量を予想するモデルである。
【００３１】
通信部１１３は、ＬＡＮ（ローカルエリアネットワーク）を介して、ローカルシステム２１内の各種装置やＷＡＮ２５を介した通信を行う。入力部１１４は、各種情報、コマンド、等を入力する。表示部１１５は、各種情報を表示する。
【００３２】
図１に示すファイアウオール３３は、そこを通過する様々なアクセスを条件によって制限したり、あるいは内容を置き換えたりして外部からローカルシステム２１を防護する。例えば、外部側の相手のＩＰアドレスを見て、通過を許したり許さなかったりの制御（パケット・フィルタリング）を行う。また、アクセスするプロトコル（ｈｔｔｐ，ＳＭＴＰ，ｆｔｐ，ｔｅｌｎｅｔなど）とアクセス方向（ローカルシステムから外部か、その逆か）に応じて通過を許したり許さなかったりの制御（アプリケーション・ゲートウエイ）を行う。なお、ｈｔｔｐは、ホームページ送受信用のプロトコル。ＳＭＴＰ はインターネットメール送信のためのプロトコル。ｆｔｐは、ファイル転送用のプロトコル。ｔｅｌｎｅｔは、サーバにログインし、操作を行うためのプロトコルである。また、ファイアウオール３３は、ｔｅｌｎｅｔ，ｆｔｐ等のセッションの履歴を取得し、異常検出装置３５に履歴情報を提供する。
【００３３】
ルータ３７は、ローカルシステム２１と外部のＷＡＮ２５間の通信を可能とするものである。ルータ３７は、ローカルシステム２１と外部との間の通信量（パケット総量；トラヒック量）とを測定し、異常検出装置３５に提供する。
【００３４】
ネットワーク機器３９は、クライアント端末、サーバ装置等から構成され、ローカルシステム２１内部で相互にアクセスすると共にファイアウオール３３、ルータ３７を介して外部と通信を行う。ネットワーク機器３９によるアクセス及びネットワーク機器へのアクセスの状況がＩＤＳ３１により監視される。
【００３５】
一方、サイバー攻撃対処センタ２３は、各ローカルシステム２１の各異常検出装置３５の記憶部１１２に記憶されるモデルを適宜更新すると共にネットワーク全体を監視するためのものであり、１又は複数の侵入検知システム（ＩＤＳ）３１と、異常検出装置３５と、ファイアウオール３３と、ルータ３７と、監視装置４１と、攻撃者管理システム４３と、ＤＢ（データベース）サーバ４５と、を備える。
【００３６】
侵入検知装置（ＩＤＳ）３１〜ルータ３７までは、ローカルシステム２１に配置されているものと実質的に同一である。
監視装置４１は、システム全体及び各ローカルシステム２１のネットワークコンデションを監視する装置であり、例えば、バッチ処理で、回帰分析等を用いたデータ・マイニング処理を行って、前述の種々のモデルを生成し、各ローカルシステム２１の異常検出装置３５に深夜などに配信する。
攻撃者管理システム４３は、後述する攻撃者のクラスタリング結果（同一傾向の攻撃を行う攻撃者の分類）に基づいて、注視すべき攻撃者を登録する。
【００３７】
ＤＢサーバ４５は、複数のローカルシステム２１のＩＤＳ３１から発行されたアラートの履歴、複数のローカルシステム２１の異常検出装置３５から出力された異常検出の通知の履歴、複数のローカルシステム２１のファイアウオール３３から出力されたアクセスの頻度の履歴、複数のローカルシステム２１のルータ３７から出力された通信パケットの総量等の情報を蓄積し、その履歴を取得する。また、ＤＢサーバ４５は、各ローカルシステム２１で発生したシステム障害の情報等をも蓄積する。
【００３８】
次に、上記構成のネットワーク状態監視システムによる監視動作を説明する。
まず、各ローカルシステム２１内の異常検出装置３５による異常検出動作を、図５〜図７のフローチャートを参照して説明する。
【００３９】
まず、ＩＤＳ３１は、ローカルシステム２１内のいずれかの機器への攻撃を検出すると、発生時間、攻撃者（ＩＰアドレス、ポート番号）、攻撃を受けたもの（ＩＰアドレス、ポート番号）、攻撃の内容、等を特定して、アラートを発行する。このアラートは異常検出装置３５の通信部１１３を介して制御部１１１に伝達される。
【００４０】
制御部１１１は、アラートに応答して、図５のフローチャートに示す異常検出処理を開始し、まず、アラートの内容（攻撃者、攻撃対象、アラートの種類）を特定する（ステップＳ１１）。
次に、現在のタイムスロットのアラート数を＋１する（ステップＳ１２）。
続いて、アラート出力パターンに基づく異常検出を行う（ステップＳ１３）。
続いて、アラート出力のシーケンシャルパターンに基づく異常検出を行う（ステップＳ１４）。
【００４１】
次に、ステップＳ１３のアラート出力パターンに基づく異常検出処理について、図６を参照して説明する。
まず、ステップＳ１１で特定したアラートの攻撃者をキーに、図３（ｃ）に示す記憶部１１２に記憶されている攻撃者情報１を検索し、その攻撃者が過去にどのようなアラートを発生させているか、即ち、アラート発生履歴を特定する（ステップＳ２１）。
【００４２】
次に、特定した過去のアラート履歴と今回のアラートとの組合せが、図３（ａ）に示すアラート出力パターンモデルに登録されているか否かを判別する（ステップＳ２２）。即ち、今回のアラートを「結論」、過去のアラート発生履歴を条件とするアラートの組合せがアラート出力パターンモデルに登録されているか否かを判別する（ステップＳ２２）。
【００４３】
登録されていれば、モデルに設定されているアクション（無視又はアラーム発生）を実行する（ステップＳ２３）。
一方、登録されていなければ、アラームを発生する（ステップＳ２４）。
【００４４】
次に、今回のアラートが攻撃者情報１に登録されているか否かを判別し（ステップＳ２５）、登録されていなければ、登録する（ステップＳ２６）。
【００４５】
以上の動作を具体例に基づいて説明すると、例えば、あるアラートが発生する直前の攻撃者情報１が図３（ｃ）に示す内容で、アラート出力パターンモデルが（ａ）に示す内容であり、この状態で、攻撃者βによるアラートＣが発生したとする。
【００４６】
制御部１１１は、攻撃者βをキーに、攻撃者情報１を検索し、（アラートＡ，Ｂ，Ｃ，Ｄ．．．）について（１，０，０，１．．．）を求める（ステップＳ２１）。（なお、フラグ「１」が過去にそのアラートが発生したことを示しているとする）。
【００４７】
次に、判別した過去のアラートを条件として、今回のアラートを結果とするパターンが図３（ａ）のアラート出力パターンモデルに登録されているいずれかのパターンと一致するか否かを判別する（ステップＳ２２）。すると、図３（ａ）の第３行に示すパターンに一致することが判別される。そこで、その行に設定されているアクションである「アラーム」が実行され、異常を示すアラームがステップＳ２３で発行される。
【００４８】
続いて、今回のアラートが攻撃者情報１に登録されているか否かを判別する（ステップＳ２５）。この例では、図３（ｃ）には攻撃者βとアラートＣの組合せには、フラグがセットされていないので、新たにフラグをセットし、攻撃者情報１を（１，０，１、１．．．）に更新する（ステップＳ２６）。
【００４９】
なお、仮に、判別した過去のアラートを条件として、今回のアラートを結果とするパターンが図３（ａ）のアラート出力パターンモデルに登録されているいずれかのパターンと一致しない場合（ステップＳ２２；Ｎｏ）は、アラームがステップＳ２４で発行される。
【００５０】
次に、ステップＳ１４のアラート出力のシーケンシャルパターンに基づく異常検出処理について、図７を参照して説明する。
まず、ステップＳ１１で特定したアラートの攻撃者をキーに、図３（ｄ）に示す攻撃者情報２を検索し、その攻撃者が過去にどのよう順番でアラートを発生させているかを特定する（ステップＳ３１）。
【００５１】
次に、検索したアラートの履歴（シーケンス）の最後尾に今回発生したアラートを付け加え、アラートの新たなシーケンスを生成する（ステップＳ３２）。
【００５２】
次に、生成したアラートのシーケンスについて、アラートの取りうるシーケンシャルパターンを全て作成する（ステップＳ３３）。仮に、ｎ個のアラートのシーケンスが存在するとすれば、最初に、任意の２個を抽出して、これらのシーケンシャルパターンを作成する。次に、任意の３個を抽出して、これらのシーケンシャルパターンを作成する。．．．ｎ個を抽出してシーケンシャルパターンを作成するまで、同様の処理を繰り返す。
【００５３】
次に、ステップＳ３３で生成した、アラートの取りうるシーケンシャルパターンのそれぞれについて、図３（ｂ）に示すシーケンシャルモデルのいずれかに一致するか否か判別する（ステップＳ３４）。
一致するものがあれば、モデルに設定されているアクション（無視又はアラーム発行）を実行する（ステップＳ３５）。なお、取りうるシーケンシャルパターンの複数のものがモデルに一致する場合には、それぞれについて、アクションを実行する。
【００５４】
一方、一致するものがなければ、アラームを発生する（ステップＳ３６）。一致しないものが複数ある場合には、それぞれについて、アラームを発生する。
次に、今回のアラートを攻撃者情報２に登録する（ステップＳ３７）。
【００５５】
以上の動作を具体例で説明すると、例えば、あるアラートが発生する直前の攻撃者情報２が図３（ｄ）に示すような内容で、アラート出力シーケンシャルパターンモデルが図３（ｂ）に示す内容であり、この状態で、攻撃者βによるアラートＣが発生したとする。
【００５６】
すると、制御部１１１は、攻撃者がβで、アラートがＣであることを判別し（ステップＳ１１）、攻撃者βをキーに、攻撃者情報２を検索し（ステップＳ３１）、攻撃者βによる攻撃のシーケンス（この例では、アラートＡ，アラートＤ）を求める。次に、このアラートのシーケンスの末尾に今回のアラートを追加し、（アラートＡ，アラートＤ，アラートＣ）というシーケンスを求める（ステップＳ３２）。
【００５７】
このアラートのシーケンスを、取りうるシーケンシャルパターンに展開し（ステップＳ３３）、図８（ａ）に示す４つのシーケンシャルパターンが得られる。
次に、いずれかのパターンがシーケンシャルモデルのいずれかに合致するか否かを判別する（ステップＳ３４）。この例では、第４行のパターン（アラートＡ、アラートＤ，アラートＣ）がアラート出力シーケンシャルパターンモデルの第３行のパターンに合致するので、そこに登録されているアクション「アラーム」を実行する（ステップＳ３５）。続いて、今回のアラートを攻撃者情報２に追加し、図８（ｂ）に示すように更新する（ステップＳ３７）。
【００５８】
なお、仮に、図８（ａ）に示す取りうるシーケンシャルパターンのいずれかが、図３（ｂ）のアラート出力シーケンシャルパターンモデルのいずれにも一致しない場合（ステップＳ３４；Ｎｏ）は、アラームがステップＳ３６で発行される。
【００５９】
以上で、アラート発生時の異常検出装置３５の動作の説明を終了する。
【００６０】
一方、異常検出装置３５の制御部１１１は、時間遷移モデルに基づいて予め設定されているタイムスロットが終了するタイミングで、タイマ割込等に従って、図９に示す処理を実行する。
【００６１】
まず、現在時刻が、時間遷移モデル上のタイムスロットのいずれに属すかを判別する（ステップＳ４１）。
【００６２】
次に、記憶部１１２に記憶されている現在のタイムスロットのアラート数（ステップＳ１２でカウントされていたもの）を読み出し（ステップＳ４２）、さらに、記憶部１１２に格納されている時間遷移アラートモデル（図４（ａ））を読み出し（ステップＳ４３）、アラート数が予測範囲を逸脱しているか否かを判別する（ステップＳ４４）。例えば、実際のアラート数が予測モデルが予測しているアラート数の２／３から４／３の範囲にあれば、これは予測範囲内であると判別し、また、この範囲以外であれば、予測範囲を逸脱していると判別する。実際のアラート数が予測範囲を逸脱する場合には、アラームを発生する（ステップＳ４５）。一方、予測範囲内の場合には、例えば、何もしない。
【００６３】
次に、パケットの入出力量（数）の履歴をルータ３７に問い合わせて取得し（ステップＳ４６）、記憶部１１２から、図４（ｂ）に示すパケット入出量の時間遷移予測モデルを読み出し（ステップＳ４７）、現タイムスロットの実際のパケット数が予測範囲を逸脱しているか否かを判別する（ステップＳ４８）。例えば、実際のパケット数が予測モデルが予測しているパケット数の２／３から４／３の範囲にあれば、これは予測範囲内であると判別し、また、この範囲以外であれば、予測範囲を逸脱していると判別する。実際のパケット数が予測範囲を逸脱する場合には、アラームを発生し（ステップＳ４９）、予測範囲内の場合には何もしない。
【００６４】
次に、ファイヤウオール３３に問い合わせて、現タイムスロットでのｔｅｌｎｅｔ， ｆｔｐ等の実際のアクセス頻度（量）を取得し（ステップＳ５０）、記憶部１１２から、図４（ｃ）に示すアクセス量の予測モデルを読み出し（ステップＳ５１）、アクセス頻度が予測範囲を逸脱しているか否かを判別する（ステップＳ５２）。例えば、実際のアクセス頻度が予測モデルが予測しているアクセス頻度の２／３から４／３の範囲にあれば、これは予測範囲内であると判別し、また、この範囲以外であれば、予測範囲を逸脱していると判別する。実際のアクセス頻度が予測範囲を逸脱する場合には、アラームを発生する（ステップＳ５３）。一方、予測範囲内の場合には何もしない。
【００６５】
以上で、今回の割り込み処理を終了する。
【００６６】
次に、サイバー攻撃対処センタ２３の動作を説明する。
前述のように、サイバー攻撃対処センタ２３は、大きく分けて２つの機能を有する。第１は、前述の各異常検出装置３５の記憶部１１２に記憶されるモデルを適宜更新する処理であり、第２は、ローカルシステム２１全体を監視する処理である。
【００６７】
まず、モデルを生成して、配信する処理について図１０を参照して説明する。ＤＢサーバ４５は、深夜等に、全てのローカルシステム２１の異常検出装置３５にアクセスし、全てのログ情報（アラートログ、パケットの入出力量、エラーパケットの数、許可されていないトラヒックや許可されていてもｔｅｌｎｅｔ，ｌｏｇｉｎ，ｆｔｐ等のセッションがあった場合のログ、パケットの入出量、エラーパケット数等の情報）、及び、ローカルシステム２１に発生した異常の情報を取得する（ステップＳ６１）。
【００６８】
一方、監視装置４１は、ＤＢサーバ４５が収集して蓄積したログに対して、データマイニングの手法を用いて、アラートの組とその結果とを対応付ける（ステップＳ６２）。ここで、アラートの組とは、例えば、アラートの種類の組み合わせ（順番を問題としない）とアラートのシーケンス（順番を問題とする）との両方を含む。
【００６９】
次に、監視装置４１は、アラートの組合せの結果と任意に設定した基準とを比較して、結果が基準以上（重大）ならば、「アラームの発生」をアクションに設定し、結果が基準未満（軽微）ならば、「無視」をアクションに設定する（ステップＳ６３）。例えば、ある特定のアラートの組合せが成立した後に、基準以上の重大な結果が発生する（蓋然性が高い）と判別された場合には、「アラームの発生」をアクションに設定する。逆に、ある特定のアラートの組合せが成立しても、なにも異変が起こらない（蓋然性が高い）と判別された場合には、「無視」をアクションに設定する。
【００７０】
また、監視装置４１は、アラートの履歴を攻撃者別にソートして、整理し、攻撃者情報１と攻撃者情報２とを更新する（ステップＳ６４）。
【００７１】
また、監視装置４１は、収集したアラート履歴、通信パケット量、エラーパケット量、アクセス量などに基づいて、各ローカルシステム２１で、今後の規定期間に発生するであろうアラートの量、通信パケットの量、アクセス量の予想値を求める（ステップＳ６５）。この予想値を求める際には、月、日、曜日等を考慮する。これは、攻撃者は、「一定期間継続して攻撃を仕掛ける傾向」や、「複数の攻撃者が同時に攻撃を仕掛ける傾向」や「特定の曜日や時期に攻撃を仕掛ける傾向」があることに着目したものである。このようにして、時間遷移モデルを生成する。このような予想は、例えば、月、日、曜日等を説明変数に加えた回帰分析により可能である。
【００７２】
このようにして、アラート出力パターンモデルと、アラート出力シーケンシャルパターンモデルと、３つの時間遷移モデルとを生成し、各異常検出装置３５に配信する（ステップＳ６６）。各異常検出装置３５は、これらのモデルを受信して、記憶部１１２に記憶する。
【００７３】
一方、攻撃者管理システム４３は、図１１に示すように、ＤＢサーバ４５よりアラート情報のログを受領する（ステップＳ７１）。
【００７４】
次に、図１１に示すように、攻撃者別にアラートの種類とそのアラートの発生のさせ方を、図１２に示すようにまとめ、アラートの発生のさせ方をベクトル化する（ステップＳ７２）。即ち、アラートの種類別の発生回数を要素とするベクトルを生成する。各攻撃者のアラートの発生のさせ方をベクトル化する。生成されたベクトルを特徴ベクトルと呼ぶ。例えば、図１２の攻撃者αであれば、（２４，２０，０，０）という特徴ベクトルが得られる。次に、特徴ベクトルを用いて、攻撃者をクラスタ化する（ステップＳ７３）。即ち、各特徴ベクトルの類似度を求め（例えば、特徴ベクトルの単位ベクトル同士の内積を求めて、内積の小さいものは類似すると認定できる）、一定の基準に基づいて、類似の攻撃を行う攻撃者を１つのまとまりとして、攻撃者を分類する。さらに、図１３に例示するように、クラスタ化した攻撃者を可視化して（ステップＳ７４）、オペレータの要求に応じて、表示装置に表示する（ステップＳ７５）。セキュリティ管理者は、分類結果を見て、攻撃者の特徴を把握し、注意が必要な攻撃者をピックアップし、今後の監視方式に役立てることができる。このような処理を行うことにより、例えば、図１２の攻撃者αとγとが類似することが容易に判別できる。
【００７５】
なお、アラートの発生のさせ方をベクトル化する手法は任意である。例えば、各攻撃者が単位時間に発生されたアラート数で表現することも可能である。
【００７６】
監視装置４１は、ネットワーク全体を監視し、各ローカルシステム２１からのアラーム信号を検知し、ローカルシステム２１毎及びネットワーク全体の異常状態を判別する。即ち、情報システムを概観して、正常に使われているのか、一部のサイトで異常な使われ方をしているのか、全体的に異常な使われ方をしているのか、等を判別する。そして、必要に応じて、各ローカルシステム２１の異常検出のしきい値を修正したり、システム全体の安全性（ネットワークコンデンション）を調整する。
【００７７】
例えば、監視装置４１は、特定のローカルシステム２１−ｋの異常検出装置３５から異常状態が通知された場合に、そのローカルシステム２１−ｋのネットワークコンデション（情報システムがどれだけ安全な状態かを示す指標）を引き上げ、そのローカルシステム２１−ｋのＩＤＳ３１のシグネチャ（攻撃と推測されるパケットの特徴をパターン化したもの）を、より危険の高い状態用のシグネチャに切り替えることを指示する。この指示に応答して、ローカルシステム２１−ｋのＩＤＳ３１は、シグネチャを切り替える。
【００７８】
また、監視装置４１は、例えば、特定数以上のローカルシステム２１、例えば、２つ以上のローカルシステム２１の異常検出装置３５から異常状態が通知された場合に、本情報システムのネットワークコンデションを引き上げ、各ローカルシステム２１のＩＤＳ３１のシグネチャを、より危険の高い状態用のシグネチャに切り替えることを指示する。この指示に応答して、各ローカルシステム２１のＩＤＳ３１は、シグネチャを切り替える。
【００７９】
このように、監視装置４１は、情報システム全体を概観して、正常に使われているのか、一部のサイトで異常な使われ方をしているのか、全体的に異常な使われ方をしているのかを把握し、正常に使われている場合には、その状態を維持し（或いは、ネットワークコンデションを下げて）、一部のサイトで異常な使われ方をしている場合には、そのローカルサイトのネットワークコンデションのレベルを引き上げ、全体的に異常な使われ方をしている場合には、情報システム全体のネットワークコンデションを上げる等、情報システムの安全性を適宜高めることができる。
【００８０】
以上、説明したように、この実施の形態によれば、ＩＤＳ３１のアラート出力のログを使って、アラート出力パターンモデル、アラート出力シーケンシャルパターンモデル、アラート出力量推移モデル等で表現し、各ローカルシステム２１でのＩＤＳ３１のアラートの出力され方の異常を検知し、対応するアクションを実行させることができる。
また、アラートが発生したときに、ＩＤＳ３１のアラート出力のログを使って、アラート出力パターンモデル、アラート出力シーケンシャルパターンモデルのいずれにも該当しない場合に、異常を報知させることにより、パターンモデルに登録されていない異常を検出できる。
【００８１】
また、各ローカルシステム２１のトラヒック（パケット量）をモデル化し、各サイトのトラヒックの異常を検知することができる。
さらに、蓄積されたファイアウオール３３のログを使って、定常時の情報システムの状態（Ｔｅｌｎｅｔ，ｆｔｐセッション等の頻度）をモデル化し、セッションの頻度の異常を検知することができる。
【００８２】
さらに、監視装置で全体を監視して、システム全体のネットワークコンディションを決めることにより、ＩＤＳ３１のシグネチャの変更、ファイアウオール３３のルール変更等のアクションを統一的に指示することができる。
また、攻撃者をアラートの特徴ベクトルで分類することにより、注視すべき攻撃者を特定しやすくなる。
【００８３】
なお、この発明は上記実施の形態に限定されず、種々の変形及び応用が可能である。
【００８４】
また、コンピュータ又はコンピュータ群に、上述の動作を実行するためのプログラム、即ち、上述のマウスポインタユーティリティプログラムを格納した媒体（フレキシブルディスク、ＣＤ−ＲＯＭ等）から該プログラムをインストールすることにより、上述の処理を実行するコンピュータ等を構成することができる。なお、上述の機能を、ＯＳが分担又はＯＳとアプリケーションの共同により実現する場合等には、ＯＳ以外の部分のみを媒体に格納してもよい。
【００８５】
なお、搬送波をプログラム信号で変調して、通信を介して配信することも可能である。
【００８６】
【発明の効果】
以上説明したように、本発明によれば、信頼性の高いネットワーク状態監視システムを提供できる。
【図面の簡単な説明】
【図１】本発明の実施形態に係る監視システムを備えるネットワークの構成例を示す図である。
【図２】図１に示す異常検出装置の構成例を示す図である。
【図３】異常監視装置に格納されるデータの例を示す図である。
【図４】異常監視装置に格納されるデータの例を示す図である。
【図５】ＩＤＳからアラートが発生された際の異常検出装置の動作を説明するためのフローチャートである。
【図６】図５のフローチャートのうち、アラート出力パターンモデルに基づく異常検出動作を説明するためのフローチャートである。
【図７】図５のフローチャートのうち、アラート出力のシーケンシャルパターンモデルに基づく異常検出動作を説明するためのフローチャートである。
【図８】（ａ）は、図７のステップＳ３３で実行されるアラートのとりうるシーケンシャルパターンを求める処理を説明するための図、（ｂ）は攻撃者情報２の更新された状態を示す図である。
【図９】時間遷移モデルに基づく異常検出処理を説明するためのフローチャートである。
【図１０】モデル更新処理を説明するための図である。
【図１１】攻撃者をクラスタリングする処理を説明するための図である。
【図１２】攻撃者をクラスタリングする処理を説明するための図である。
【図１３】攻撃者をクラスタリングし、可視化した例を説明するための図である。
【符号の説明】
２１ ローカルシステム
２３ サイバー攻撃対処センタ
３３ ファイアウオール
３５ 異常検出装置
３７ ルータ
４１ 監視装置
４３ 攻撃者管理システム
４５ ＤＢサーバ
【発明の属する技術分野】
本発明は、ネットワークの監視技術に関する。
【０００２】
【従来の技術】
ネットワークへの様々な攻撃を検知してアラートを発生するＩＤＳ（侵入検知システム；Ｉｎｔｒｕｔｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）が開発され、利用されている（例えば、特許文献１）。ＩＤＳは、ネットワーク上の機器に何らかの攻撃が発生したときにアラートを発生する。
【０００３】
しかし、従来のＩＤＳは、攻撃の事実を取りこぼさないようにするため、攻撃に敏感に反応するように作られている。このため、普通の運用であっても、ＩＤＳからは大量のアラートが出力され続ける。そこで、現在、セキュリティ管理の分野では、実害のあるアラートのみを監視装置に表示してセキュリティ管理者に知らせるようにフィルタリングしている。フィルタリングされたアラートは捨てられている。捨てられたアラートには重要な情報が眠っていると考えられているが、その利用方法が確立していない。
【０００４】
また、ＩＤＳから発行されるアラートを有効に活用するため、侵入パターンに応じた複数の検出パターンを準備しておき、発生したアラートを検出パターンと比較することにより、不正を検出することが特許文献１に開示されている。特許文献１に開示された監視システムでは、予め準備した検出パターンに一致しない侵入パターンについては、検知することができないという問題があった。
【０００５】
【特許文献１】
特開２００２−３４２２７６号公報
【０００６】
また、従来、ネットワーク上に配置されるファイアウオール装置や各ネットワーク機器から出力される情報を、ネットワーク状態の管理に有効に活用することができなかった。また、従来は、情報システム全体を概観して、正常に使われているのか、一部のサイトで異常な使われ方をしているのか、全体的に異常な使われ方をしているのか、把握する手法が確立していない。
【０００７】
【発明が解決しようとする課題】
本発明は、上述した事情に鑑みてなされたもので、信頼度の高いネットワーク状態監視システムを提供することを目的とする。
【０００８】
【課題を解決するための手段】
上記目的を達成するため、本発明の第１の観点に係る、ネットワーク状態監視システムは、
ネットワーク上に配置され、ネットワークへの攻撃を検出し、攻撃を検出すると、アラートを発生する侵入検知手段と、
前記複数の侵入検知手段により発生されたアラートを特定する情報を収集するアラート情報収集手段と、
前記アラート情報収集手段により収集されたアラートに関する情報に基づいて生成されたアラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを記憶するモデル記憶手段と、
発生したアラートの履歴情報を取得するアラート履歴情報取得手段と、
前記アラート履歴情報取得手段で取得されたアラート履歴情報により特定されるアラートの組合せを前記モデル記憶手段に記憶されたモデルと対比し、いずれかのモデルに合致する場合には、登録されているアクションを実行し、いずれのモデルにも合致しない場合には、異常を検知する異常検知手段と、
を備えることを特徴とする。
【０００９】
例えば、前記モデル記憶手段は、出力されたアラートの種類の組合せとアクションとを対応付けて記憶し、前記異常検知手段は、新たなアラートが発生した場合に、攻撃者とアラートの種類とを特定し、前記アラート履歴情報取得手段に記憶されているアラート履歴情報から、その攻撃者が過去に発行させたアラートの種類を求め、その攻撃者が過去に発行させたアラートの種類の組合せと今回のアラートの種類との組合せが、前記モデル記憶手段に記憶されているアラートの種類の組合せのいずれかに合致する場合には、登録されているアクションを実行し、いずれにも合致しない場合には、異常を通知する。
【００１０】
例えば、前記モデル記憶手段は、出力されたアラートの種類の順番とアクションとを対応付けて記憶し、前記異常検知手段は、新たなアラートが発生した場合に、攻撃者とアラートの種類とを特定し、前記アラート履歴情報取得手段に記憶されているアラート履歴情報から、その攻撃者が過去に発行させたアラートの種類の順番を求め、その攻撃者が過去に発行させたアラートと今回のアラートとの種類の順番が、前記モデル記憶手段に記憶されているアラートの種類の順番のいずれかに合致する場合には、登録されているアクションを実行し、いずれにも合致しない場合には、異常を通知する。
【００１１】
例えば、前記モデル記憶手段は、アラートの出力量の時間推移のモデルを記憶し、前記異常検知手段は、前記アラート履歴情報取得手段により取得されたアラートの量と前記アラートの出力量の時間推移のモデルとを対比し、対比結果に基づいて、異常を通知する。
【００１２】
発生したアラートの種類に基づいて、アラート発生者を分類（クラスタリング）する分類手段を配置してもよい。また、アラートの発生者別に、発生したアラートの種類と量とを求める手段と、求めたアラートの種類と量とに基づいて、同一傾向のアラート発生者を同一の分類に分類する分類手段とを配置してもよい。
【００１３】
通信量を測定する通信量測定手段をさらに配置し、前記モデル記憶手段は、前記通信量の時間推移のモデルを記憶し、前記異常検知手段は、前記通信量測定手段で測定された通信量と前記通信量の時間推移のモデルとを対比し、対比結果に基づいて、異常を通知するようにしてもよい。
【００１４】
アクセス量を測定するアクセス量測定手段をさらに配置し、前記モデル記憶手段は、前記アクセス量の時間推移のモデルを記憶し、前記異常検知手段は、前記アクセス量測定手段で測定されたアクセス量と前記アクセス量の時間推移のモデルとを対比し、対比結果に基づいて、異常を通知するようにしてもよい。
【００１５】
上記目的を達成するため、本発明の第２の観点に係るネットワーク状態監視システムは、
ネットワークへの攻撃を検出するとアラートを発生する複数の侵入検知手段から、発生したアラートの情報を収集するアラート情報収集手段と、
前記アラート情報収集手段により収集されたアラートの情報に基づいてアラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを生成するモデル生成手段と、
前記アラート情報収集手段により収集されたアラートの情報に基づいて、発生したアラートの履歴情報を生成するアラート履歴生成手段と、
を備えることを特徴とする。
【００１６】
例えば、前記アラート情報収集手段は、複数のローカルシステムに配置された侵入検知手段が発生したアラートの情報を収集し、前記モデル生成手段は、前記アラート情報収集手段により収集された複数のローカルシステムで発生したアラートの情報に基づいて、アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを生成する手段と、発生したアラートの履歴情報を生成する手段と、各ローカルシステムの異常検出装置に、生成したモデルと履歴情報とを提供する送信手段と、を備える。
【００１７】
上記目的を達成するため、本発明の第３の観点に係るネットワーク状態監視システムは、
ネットワークへの攻撃を検出する侵入検知手段から発生されるアラートを受信するアラート受信手段と、
前記アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを記憶するモデル記憶手段と、
前記侵入検知手段が発生したアラートの履歴情報を記憶するアラート履歴記憶手段と、
前記アラート受信手段で受信した新たなアラートと前記アラート履歴記憶手段に記憶されているアラートの履歴とから生成されたアラート情報を、前記モデル記憶手段に記憶されたモデルと対比し、いずれかのモデルに合致する場合には、登録されているアクションを実行し、いずれのモデルにも合致しない場合には、異常を検知する異常検知手段と、
を備えることを特徴とする。
【００１８】
上記目的を達成するため、本発明の第４の観点に係る、コンピュータプログラムは、
コンピュータ又はコンピュータ群を、
ネットワークへの攻撃を検出するとアラートを発生する複数の侵入検知手段から、発生したアラートの情報を収集するアラート情報収集手段、
前記アラート情報収集手段で収集されたアラートの情報に基づいて、アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを生成するモデル生成手段、
前記アラート情報収集手段で収集されたアラートの情報に基づいて、発生したアラートの履歴情報を生成するアラート履歴生成手段、
として機能させることを特徴とする。
【００１９】
上記目的を達成するため、本発明の第５の観点に係る、コンピュータプログラムは、
アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを記憶するモデル記憶手段、
発生したアラートの履歴情報を記憶するアラート履歴記憶手段、
ネットワークへの攻撃を検出する侵入検知手段からのアラートを受信するアラート受信手段、
前記アラート受信手段で受信した新たなアラートと前記アラート履歴記憶手段に記憶されているアラートの履歴とから生成されたアラート情報を、前記モデル記憶手段に記憶されたモデルと対比し、いずれかのモデルに合致する場合には、登録されているアクションを実行し、いずれのモデルにも合致しない場合には、異常を検知する異常検知手段、
として機能させる。
【００２０】
【発明の実施の形態】
以下、本発明の実施の形態に係るネットワーク状態監視システムを備えたネットワークシステムを説明する。
【００２１】
この実施形態に係るネットワークシステム１１は、図１に示すように、複数のローカルシステム２１（２１−１〜２１−ｎ）と、該複数のローカルシステム２１にＷＡＮ（広域ネットワーク）２５を介して接続されたサイバー攻撃対処センタ２３とを備える。
【００２２】
各ローカルシステム２１は、一又は複数の侵入検知システム（ＩＤＳ；Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）３１と、ファイアウオール３３と、異常検出装置３５と、ルータ３７と、一又は複数のネットワーク機器３９と、を備える。
【００２３】
各ＩＤＳ３１は、ローカルシステム２１内の機器に何らかの攻撃があったときに、攻撃元のＩＰアドレス、ポート番号、攻撃対象のＩＰアドレス、ポート番号、攻撃の内容等を示すアラート（アラート情報）を異常検出装置３５に出力する。
【００２４】
異常検出装置３５は、ＩＤＳ３１から出力されるアラートに基づいて、ローカルシステム２１内の異常の有無を判別し、また、発生されたアラートの情報を集約してサイバー攻撃センタ２３に通知する。また、ローカルシステム２１内のシステム異常を検出し、その情報を集約してサイバー攻撃センタ２３に通知する。
【００２５】
異常検出装置３５は、図２に示すように、制御部１１１と、記憶部１１２と、通信部１１３と、入力部１１４と、表示部１１５とを備える。
【００２６】
制御部１１１は、プロセッサ等から構成され、記憶部１１２に記憶された動作プログラムに従って後述する異常検出動作を行う。
記憶部１１２には、制御部１１１の動作プログラムと共に、１）アラート出力パターンモデル、２）アラート出力シーケンシャルパターンモデル、３）攻撃者情報１及び２、４）時間遷移モデル、が記憶されている。
【００２７】
ここで、１）アラート出力パターンモデルは、図３（ａ）に示すように、アラートの種類の組合せと、それに対するアクションとを対応付けるモデルである。「結論」に相当する種類のアラートが発生されたときに、それ以前のフラグ「１」が設定されている種類のアラートが出力されている場合に、対応する「アクション」を実行することを定義する。
【００２８】
また、２）アラート出力シーケンシャルパターンモデルは、図３（ｂ）に示すように、出力の順番まで考慮して、アラートの種類の組合せと、それに対するアクションとを対応付けるモデルである。登録されている順番通りにアラートが発生したときに、対応する「アクション」を実行することを定義する。
【００２９】
３）攻撃者情報１は、図３（ｃ）に示すように、攻撃者別に、どの種類のアラートを発生させたかを示す情報である。攻撃者情報２は、図３（ｄ）に示すように、攻撃者別に、どのような順番でアラートを発生させたかを示す情報である。
【００３０】
さらに、４）時間遷移モデルは、図４（ａ）〜（ｃ）に示すように、ＩＤＳ３１から出力されるアラートの総量を予想するモデル、ルータ３７等が判別するパケット量（トラヒック量；通信量）を予想するモデル、さらに、アクセス量（総アクセス量）を予想するモデル、等を含む。例えば、１日、１週間、１時間、等を１タイムスロットとして、過去の実績に基づいて、アラートの総量や、通信パケット量（トラヒック量；通信量）や、アクセス量を予想するモデルである。
【００３１】
通信部１１３は、ＬＡＮ（ローカルエリアネットワーク）を介して、ローカルシステム２１内の各種装置やＷＡＮ２５を介した通信を行う。入力部１１４は、各種情報、コマンド、等を入力する。表示部１１５は、各種情報を表示する。
【００３２】
図１に示すファイアウオール３３は、そこを通過する様々なアクセスを条件によって制限したり、あるいは内容を置き換えたりして外部からローカルシステム２１を防護する。例えば、外部側の相手のＩＰアドレスを見て、通過を許したり許さなかったりの制御（パケット・フィルタリング）を行う。また、アクセスするプロトコル（ｈｔｔｐ，ＳＭＴＰ，ｆｔｐ，ｔｅｌｎｅｔなど）とアクセス方向（ローカルシステムから外部か、その逆か）に応じて通過を許したり許さなかったりの制御（アプリケーション・ゲートウエイ）を行う。なお、ｈｔｔｐは、ホームページ送受信用のプロトコル。ＳＭＴＰ はインターネットメール送信のためのプロトコル。ｆｔｐは、ファイル転送用のプロトコル。ｔｅｌｎｅｔは、サーバにログインし、操作を行うためのプロトコルである。また、ファイアウオール３３は、ｔｅｌｎｅｔ，ｆｔｐ等のセッションの履歴を取得し、異常検出装置３５に履歴情報を提供する。
【００３３】
ルータ３７は、ローカルシステム２１と外部のＷＡＮ２５間の通信を可能とするものである。ルータ３７は、ローカルシステム２１と外部との間の通信量（パケット総量；トラヒック量）とを測定し、異常検出装置３５に提供する。
【００３４】
ネットワーク機器３９は、クライアント端末、サーバ装置等から構成され、ローカルシステム２１内部で相互にアクセスすると共にファイアウオール３３、ルータ３７を介して外部と通信を行う。ネットワーク機器３９によるアクセス及びネットワーク機器へのアクセスの状況がＩＤＳ３１により監視される。
【００３５】
一方、サイバー攻撃対処センタ２３は、各ローカルシステム２１の各異常検出装置３５の記憶部１１２に記憶されるモデルを適宜更新すると共にネットワーク全体を監視するためのものであり、１又は複数の侵入検知システム（ＩＤＳ）３１と、異常検出装置３５と、ファイアウオール３３と、ルータ３７と、監視装置４１と、攻撃者管理システム４３と、ＤＢ（データベース）サーバ４５と、を備える。
【００３６】
侵入検知装置（ＩＤＳ）３１〜ルータ３７までは、ローカルシステム２１に配置されているものと実質的に同一である。
監視装置４１は、システム全体及び各ローカルシステム２１のネットワークコンデションを監視する装置であり、例えば、バッチ処理で、回帰分析等を用いたデータ・マイニング処理を行って、前述の種々のモデルを生成し、各ローカルシステム２１の異常検出装置３５に深夜などに配信する。
攻撃者管理システム４３は、後述する攻撃者のクラスタリング結果（同一傾向の攻撃を行う攻撃者の分類）に基づいて、注視すべき攻撃者を登録する。
【００３７】
ＤＢサーバ４５は、複数のローカルシステム２１のＩＤＳ３１から発行されたアラートの履歴、複数のローカルシステム２１の異常検出装置３５から出力された異常検出の通知の履歴、複数のローカルシステム２１のファイアウオール３３から出力されたアクセスの頻度の履歴、複数のローカルシステム２１のルータ３７から出力された通信パケットの総量等の情報を蓄積し、その履歴を取得する。また、ＤＢサーバ４５は、各ローカルシステム２１で発生したシステム障害の情報等をも蓄積する。
【００３８】
次に、上記構成のネットワーク状態監視システムによる監視動作を説明する。
まず、各ローカルシステム２１内の異常検出装置３５による異常検出動作を、図５〜図７のフローチャートを参照して説明する。
【００３９】
まず、ＩＤＳ３１は、ローカルシステム２１内のいずれかの機器への攻撃を検出すると、発生時間、攻撃者（ＩＰアドレス、ポート番号）、攻撃を受けたもの（ＩＰアドレス、ポート番号）、攻撃の内容、等を特定して、アラートを発行する。このアラートは異常検出装置３５の通信部１１３を介して制御部１１１に伝達される。
【００４０】
制御部１１１は、アラートに応答して、図５のフローチャートに示す異常検出処理を開始し、まず、アラートの内容（攻撃者、攻撃対象、アラートの種類）を特定する（ステップＳ１１）。
次に、現在のタイムスロットのアラート数を＋１する（ステップＳ１２）。
続いて、アラート出力パターンに基づく異常検出を行う（ステップＳ１３）。
続いて、アラート出力のシーケンシャルパターンに基づく異常検出を行う（ステップＳ１４）。
【００４１】
次に、ステップＳ１３のアラート出力パターンに基づく異常検出処理について、図６を参照して説明する。
まず、ステップＳ１１で特定したアラートの攻撃者をキーに、図３（ｃ）に示す記憶部１１２に記憶されている攻撃者情報１を検索し、その攻撃者が過去にどのようなアラートを発生させているか、即ち、アラート発生履歴を特定する（ステップＳ２１）。
【００４２】
次に、特定した過去のアラート履歴と今回のアラートとの組合せが、図３（ａ）に示すアラート出力パターンモデルに登録されているか否かを判別する（ステップＳ２２）。即ち、今回のアラートを「結論」、過去のアラート発生履歴を条件とするアラートの組合せがアラート出力パターンモデルに登録されているか否かを判別する（ステップＳ２２）。
【００４３】
登録されていれば、モデルに設定されているアクション（無視又はアラーム発生）を実行する（ステップＳ２３）。
一方、登録されていなければ、アラームを発生する（ステップＳ２４）。
【００４４】
次に、今回のアラートが攻撃者情報１に登録されているか否かを判別し（ステップＳ２５）、登録されていなければ、登録する（ステップＳ２６）。
【００４５】
以上の動作を具体例に基づいて説明すると、例えば、あるアラートが発生する直前の攻撃者情報１が図３（ｃ）に示す内容で、アラート出力パターンモデルが（ａ）に示す内容であり、この状態で、攻撃者βによるアラートＣが発生したとする。
【００４６】
制御部１１１は、攻撃者βをキーに、攻撃者情報１を検索し、（アラートＡ，Ｂ，Ｃ，Ｄ．．．）について（１，０，０，１．．．）を求める（ステップＳ２１）。（なお、フラグ「１」が過去にそのアラートが発生したことを示しているとする）。
【００４７】
次に、判別した過去のアラートを条件として、今回のアラートを結果とするパターンが図３（ａ）のアラート出力パターンモデルに登録されているいずれかのパターンと一致するか否かを判別する（ステップＳ２２）。すると、図３（ａ）の第３行に示すパターンに一致することが判別される。そこで、その行に設定されているアクションである「アラーム」が実行され、異常を示すアラームがステップＳ２３で発行される。
【００４８】
続いて、今回のアラートが攻撃者情報１に登録されているか否かを判別する（ステップＳ２５）。この例では、図３（ｃ）には攻撃者βとアラートＣの組合せには、フラグがセットされていないので、新たにフラグをセットし、攻撃者情報１を（１，０，１、１．．．）に更新する（ステップＳ２６）。
【００４９】
なお、仮に、判別した過去のアラートを条件として、今回のアラートを結果とするパターンが図３（ａ）のアラート出力パターンモデルに登録されているいずれかのパターンと一致しない場合（ステップＳ２２；Ｎｏ）は、アラームがステップＳ２４で発行される。
【００５０】
次に、ステップＳ１４のアラート出力のシーケンシャルパターンに基づく異常検出処理について、図７を参照して説明する。
まず、ステップＳ１１で特定したアラートの攻撃者をキーに、図３（ｄ）に示す攻撃者情報２を検索し、その攻撃者が過去にどのよう順番でアラートを発生させているかを特定する（ステップＳ３１）。
【００５１】
次に、検索したアラートの履歴（シーケンス）の最後尾に今回発生したアラートを付け加え、アラートの新たなシーケンスを生成する（ステップＳ３２）。
【００５２】
次に、生成したアラートのシーケンスについて、アラートの取りうるシーケンシャルパターンを全て作成する（ステップＳ３３）。仮に、ｎ個のアラートのシーケンスが存在するとすれば、最初に、任意の２個を抽出して、これらのシーケンシャルパターンを作成する。次に、任意の３個を抽出して、これらのシーケンシャルパターンを作成する。．．．ｎ個を抽出してシーケンシャルパターンを作成するまで、同様の処理を繰り返す。
【００５３】
次に、ステップＳ３３で生成した、アラートの取りうるシーケンシャルパターンのそれぞれについて、図３（ｂ）に示すシーケンシャルモデルのいずれかに一致するか否か判別する（ステップＳ３４）。
一致するものがあれば、モデルに設定されているアクション（無視又はアラーム発行）を実行する（ステップＳ３５）。なお、取りうるシーケンシャルパターンの複数のものがモデルに一致する場合には、それぞれについて、アクションを実行する。
【００５４】
一方、一致するものがなければ、アラームを発生する（ステップＳ３６）。一致しないものが複数ある場合には、それぞれについて、アラームを発生する。
次に、今回のアラートを攻撃者情報２に登録する（ステップＳ３７）。
【００５５】
以上の動作を具体例で説明すると、例えば、あるアラートが発生する直前の攻撃者情報２が図３（ｄ）に示すような内容で、アラート出力シーケンシャルパターンモデルが図３（ｂ）に示す内容であり、この状態で、攻撃者βによるアラートＣが発生したとする。
【００５６】
すると、制御部１１１は、攻撃者がβで、アラートがＣであることを判別し（ステップＳ１１）、攻撃者βをキーに、攻撃者情報２を検索し（ステップＳ３１）、攻撃者βによる攻撃のシーケンス（この例では、アラートＡ，アラートＤ）を求める。次に、このアラートのシーケンスの末尾に今回のアラートを追加し、（アラートＡ，アラートＤ，アラートＣ）というシーケンスを求める（ステップＳ３２）。
【００５７】
このアラートのシーケンスを、取りうるシーケンシャルパターンに展開し（ステップＳ３３）、図８（ａ）に示す４つのシーケンシャルパターンが得られる。
次に、いずれかのパターンがシーケンシャルモデルのいずれかに合致するか否かを判別する（ステップＳ３４）。この例では、第４行のパターン（アラートＡ、アラートＤ，アラートＣ）がアラート出力シーケンシャルパターンモデルの第３行のパターンに合致するので、そこに登録されているアクション「アラーム」を実行する（ステップＳ３５）。続いて、今回のアラートを攻撃者情報２に追加し、図８（ｂ）に示すように更新する（ステップＳ３７）。
【００５８】
なお、仮に、図８（ａ）に示す取りうるシーケンシャルパターンのいずれかが、図３（ｂ）のアラート出力シーケンシャルパターンモデルのいずれにも一致しない場合（ステップＳ３４；Ｎｏ）は、アラームがステップＳ３６で発行される。
【００５９】
以上で、アラート発生時の異常検出装置３５の動作の説明を終了する。
【００６０】
一方、異常検出装置３５の制御部１１１は、時間遷移モデルに基づいて予め設定されているタイムスロットが終了するタイミングで、タイマ割込等に従って、図９に示す処理を実行する。
【００６１】
まず、現在時刻が、時間遷移モデル上のタイムスロットのいずれに属すかを判別する（ステップＳ４１）。
【００６２】
次に、記憶部１１２に記憶されている現在のタイムスロットのアラート数（ステップＳ１２でカウントされていたもの）を読み出し（ステップＳ４２）、さらに、記憶部１１２に格納されている時間遷移アラートモデル（図４（ａ））を読み出し（ステップＳ４３）、アラート数が予測範囲を逸脱しているか否かを判別する（ステップＳ４４）。例えば、実際のアラート数が予測モデルが予測しているアラート数の２／３から４／３の範囲にあれば、これは予測範囲内であると判別し、また、この範囲以外であれば、予測範囲を逸脱していると判別する。実際のアラート数が予測範囲を逸脱する場合には、アラームを発生する（ステップＳ４５）。一方、予測範囲内の場合には、例えば、何もしない。
【００６３】
次に、パケットの入出力量（数）の履歴をルータ３７に問い合わせて取得し（ステップＳ４６）、記憶部１１２から、図４（ｂ）に示すパケット入出量の時間遷移予測モデルを読み出し（ステップＳ４７）、現タイムスロットの実際のパケット数が予測範囲を逸脱しているか否かを判別する（ステップＳ４８）。例えば、実際のパケット数が予測モデルが予測しているパケット数の２／３から４／３の範囲にあれば、これは予測範囲内であると判別し、また、この範囲以外であれば、予測範囲を逸脱していると判別する。実際のパケット数が予測範囲を逸脱する場合には、アラームを発生し（ステップＳ４９）、予測範囲内の場合には何もしない。
【００６４】
次に、ファイヤウオール３３に問い合わせて、現タイムスロットでのｔｅｌｎｅｔ， ｆｔｐ等の実際のアクセス頻度（量）を取得し（ステップＳ５０）、記憶部１１２から、図４（ｃ）に示すアクセス量の予測モデルを読み出し（ステップＳ５１）、アクセス頻度が予測範囲を逸脱しているか否かを判別する（ステップＳ５２）。例えば、実際のアクセス頻度が予測モデルが予測しているアクセス頻度の２／３から４／３の範囲にあれば、これは予測範囲内であると判別し、また、この範囲以外であれば、予測範囲を逸脱していると判別する。実際のアクセス頻度が予測範囲を逸脱する場合には、アラームを発生する（ステップＳ５３）。一方、予測範囲内の場合には何もしない。
【００６５】
以上で、今回の割り込み処理を終了する。
【００６６】
次に、サイバー攻撃対処センタ２３の動作を説明する。
前述のように、サイバー攻撃対処センタ２３は、大きく分けて２つの機能を有する。第１は、前述の各異常検出装置３５の記憶部１１２に記憶されるモデルを適宜更新する処理であり、第２は、ローカルシステム２１全体を監視する処理である。
【００６７】
まず、モデルを生成して、配信する処理について図１０を参照して説明する。ＤＢサーバ４５は、深夜等に、全てのローカルシステム２１の異常検出装置３５にアクセスし、全てのログ情報（アラートログ、パケットの入出力量、エラーパケットの数、許可されていないトラヒックや許可されていてもｔｅｌｎｅｔ，ｌｏｇｉｎ，ｆｔｐ等のセッションがあった場合のログ、パケットの入出量、エラーパケット数等の情報）、及び、ローカルシステム２１に発生した異常の情報を取得する（ステップＳ６１）。
【００６８】
一方、監視装置４１は、ＤＢサーバ４５が収集して蓄積したログに対して、データマイニングの手法を用いて、アラートの組とその結果とを対応付ける（ステップＳ６２）。ここで、アラートの組とは、例えば、アラートの種類の組み合わせ（順番を問題としない）とアラートのシーケンス（順番を問題とする）との両方を含む。
【００６９】
次に、監視装置４１は、アラートの組合せの結果と任意に設定した基準とを比較して、結果が基準以上（重大）ならば、「アラームの発生」をアクションに設定し、結果が基準未満（軽微）ならば、「無視」をアクションに設定する（ステップＳ６３）。例えば、ある特定のアラートの組合せが成立した後に、基準以上の重大な結果が発生する（蓋然性が高い）と判別された場合には、「アラームの発生」をアクションに設定する。逆に、ある特定のアラートの組合せが成立しても、なにも異変が起こらない（蓋然性が高い）と判別された場合には、「無視」をアクションに設定する。
【００７０】
また、監視装置４１は、アラートの履歴を攻撃者別にソートして、整理し、攻撃者情報１と攻撃者情報２とを更新する（ステップＳ６４）。
【００７１】
また、監視装置４１は、収集したアラート履歴、通信パケット量、エラーパケット量、アクセス量などに基づいて、各ローカルシステム２１で、今後の規定期間に発生するであろうアラートの量、通信パケットの量、アクセス量の予想値を求める（ステップＳ６５）。この予想値を求める際には、月、日、曜日等を考慮する。これは、攻撃者は、「一定期間継続して攻撃を仕掛ける傾向」や、「複数の攻撃者が同時に攻撃を仕掛ける傾向」や「特定の曜日や時期に攻撃を仕掛ける傾向」があることに着目したものである。このようにして、時間遷移モデルを生成する。このような予想は、例えば、月、日、曜日等を説明変数に加えた回帰分析により可能である。
【００７２】
このようにして、アラート出力パターンモデルと、アラート出力シーケンシャルパターンモデルと、３つの時間遷移モデルとを生成し、各異常検出装置３５に配信する（ステップＳ６６）。各異常検出装置３５は、これらのモデルを受信して、記憶部１１２に記憶する。
【００７３】
一方、攻撃者管理システム４３は、図１１に示すように、ＤＢサーバ４５よりアラート情報のログを受領する（ステップＳ７１）。
【００７４】
次に、図１１に示すように、攻撃者別にアラートの種類とそのアラートの発生のさせ方を、図１２に示すようにまとめ、アラートの発生のさせ方をベクトル化する（ステップＳ７２）。即ち、アラートの種類別の発生回数を要素とするベクトルを生成する。各攻撃者のアラートの発生のさせ方をベクトル化する。生成されたベクトルを特徴ベクトルと呼ぶ。例えば、図１２の攻撃者αであれば、（２４，２０，０，０）という特徴ベクトルが得られる。次に、特徴ベクトルを用いて、攻撃者をクラスタ化する（ステップＳ７３）。即ち、各特徴ベクトルの類似度を求め（例えば、特徴ベクトルの単位ベクトル同士の内積を求めて、内積の小さいものは類似すると認定できる）、一定の基準に基づいて、類似の攻撃を行う攻撃者を１つのまとまりとして、攻撃者を分類する。さらに、図１３に例示するように、クラスタ化した攻撃者を可視化して（ステップＳ７４）、オペレータの要求に応じて、表示装置に表示する（ステップＳ７５）。セキュリティ管理者は、分類結果を見て、攻撃者の特徴を把握し、注意が必要な攻撃者をピックアップし、今後の監視方式に役立てることができる。このような処理を行うことにより、例えば、図１２の攻撃者αとγとが類似することが容易に判別できる。
【００７５】
なお、アラートの発生のさせ方をベクトル化する手法は任意である。例えば、各攻撃者が単位時間に発生されたアラート数で表現することも可能である。
【００７６】
監視装置４１は、ネットワーク全体を監視し、各ローカルシステム２１からのアラーム信号を検知し、ローカルシステム２１毎及びネットワーク全体の異常状態を判別する。即ち、情報システムを概観して、正常に使われているのか、一部のサイトで異常な使われ方をしているのか、全体的に異常な使われ方をしているのか、等を判別する。そして、必要に応じて、各ローカルシステム２１の異常検出のしきい値を修正したり、システム全体の安全性（ネットワークコンデンション）を調整する。
【００７７】
例えば、監視装置４１は、特定のローカルシステム２１−ｋの異常検出装置３５から異常状態が通知された場合に、そのローカルシステム２１−ｋのネットワークコンデション（情報システムがどれだけ安全な状態かを示す指標）を引き上げ、そのローカルシステム２１−ｋのＩＤＳ３１のシグネチャ（攻撃と推測されるパケットの特徴をパターン化したもの）を、より危険の高い状態用のシグネチャに切り替えることを指示する。この指示に応答して、ローカルシステム２１−ｋのＩＤＳ３１は、シグネチャを切り替える。
【００７８】
また、監視装置４１は、例えば、特定数以上のローカルシステム２１、例えば、２つ以上のローカルシステム２１の異常検出装置３５から異常状態が通知された場合に、本情報システムのネットワークコンデションを引き上げ、各ローカルシステム２１のＩＤＳ３１のシグネチャを、より危険の高い状態用のシグネチャに切り替えることを指示する。この指示に応答して、各ローカルシステム２１のＩＤＳ３１は、シグネチャを切り替える。
【００７９】
このように、監視装置４１は、情報システム全体を概観して、正常に使われているのか、一部のサイトで異常な使われ方をしているのか、全体的に異常な使われ方をしているのかを把握し、正常に使われている場合には、その状態を維持し（或いは、ネットワークコンデションを下げて）、一部のサイトで異常な使われ方をしている場合には、そのローカルサイトのネットワークコンデションのレベルを引き上げ、全体的に異常な使われ方をしている場合には、情報システム全体のネットワークコンデションを上げる等、情報システムの安全性を適宜高めることができる。
【００８０】
以上、説明したように、この実施の形態によれば、ＩＤＳ３１のアラート出力のログを使って、アラート出力パターンモデル、アラート出力シーケンシャルパターンモデル、アラート出力量推移モデル等で表現し、各ローカルシステム２１でのＩＤＳ３１のアラートの出力され方の異常を検知し、対応するアクションを実行させることができる。
また、アラートが発生したときに、ＩＤＳ３１のアラート出力のログを使って、アラート出力パターンモデル、アラート出力シーケンシャルパターンモデルのいずれにも該当しない場合に、異常を報知させることにより、パターンモデルに登録されていない異常を検出できる。
【００８１】
また、各ローカルシステム２１のトラヒック（パケット量）をモデル化し、各サイトのトラヒックの異常を検知することができる。
さらに、蓄積されたファイアウオール３３のログを使って、定常時の情報システムの状態（Ｔｅｌｎｅｔ，ｆｔｐセッション等の頻度）をモデル化し、セッションの頻度の異常を検知することができる。
【００８２】
さらに、監視装置で全体を監視して、システム全体のネットワークコンディションを決めることにより、ＩＤＳ３１のシグネチャの変更、ファイアウオール３３のルール変更等のアクションを統一的に指示することができる。
また、攻撃者をアラートの特徴ベクトルで分類することにより、注視すべき攻撃者を特定しやすくなる。
【００８３】
なお、この発明は上記実施の形態に限定されず、種々の変形及び応用が可能である。
【００８４】
また、コンピュータ又はコンピュータ群に、上述の動作を実行するためのプログラム、即ち、上述のマウスポインタユーティリティプログラムを格納した媒体（フレキシブルディスク、ＣＤ−ＲＯＭ等）から該プログラムをインストールすることにより、上述の処理を実行するコンピュータ等を構成することができる。なお、上述の機能を、ＯＳが分担又はＯＳとアプリケーションの共同により実現する場合等には、ＯＳ以外の部分のみを媒体に格納してもよい。
【００８５】
なお、搬送波をプログラム信号で変調して、通信を介して配信することも可能である。
【００８６】
【発明の効果】
以上説明したように、本発明によれば、信頼性の高いネットワーク状態監視システムを提供できる。
【図面の簡単な説明】
【図１】本発明の実施形態に係る監視システムを備えるネットワークの構成例を示す図である。
【図２】図１に示す異常検出装置の構成例を示す図である。
【図３】異常監視装置に格納されるデータの例を示す図である。
【図４】異常監視装置に格納されるデータの例を示す図である。
【図５】ＩＤＳからアラートが発生された際の異常検出装置の動作を説明するためのフローチャートである。
【図６】図５のフローチャートのうち、アラート出力パターンモデルに基づく異常検出動作を説明するためのフローチャートである。
【図７】図５のフローチャートのうち、アラート出力のシーケンシャルパターンモデルに基づく異常検出動作を説明するためのフローチャートである。
【図８】（ａ）は、図７のステップＳ３３で実行されるアラートのとりうるシーケンシャルパターンを求める処理を説明するための図、（ｂ）は攻撃者情報２の更新された状態を示す図である。
【図９】時間遷移モデルに基づく異常検出処理を説明するためのフローチャートである。
【図１０】モデル更新処理を説明するための図である。
【図１１】攻撃者をクラスタリングする処理を説明するための図である。
【図１２】攻撃者をクラスタリングする処理を説明するための図である。
【図１３】攻撃者をクラスタリングし、可視化した例を説明するための図である。
【符号の説明】
２１ ローカルシステム
２３ サイバー攻撃対処センタ
３３ ファイアウオール
３５ 異常検出装置
３７ ルータ
４１ 監視装置
４３ 攻撃者管理システム
４５ ＤＢサーバ
Claims (13)
- ネットワーク上に配置され、ネットワークへの攻撃を検出し、攻撃を検出すると、アラートを発生する侵入検知手段と、
前記複数の侵入検知手段により発生されたアラートを特定する情報を収集するアラート情報収集手段と、
前記アラート情報収集手段により収集されたアラートに関する情報に基づいて生成されたアラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを記憶するモデル記憶手段と、
発生したアラートの履歴情報を取得するアラート履歴情報取得手段と、
前記アラート履歴情報取得手段で取得されたアラート履歴情報により特定されるアラートの組合せを前記モデル記憶手段に記憶されたモデルと対比し、いずれかのモデルに合致する場合には、登録されているアクションを実行し、いずれのモデルにも合致しない場合には、異常を検知する異常検知手段と、
を備えることを特徴とするネットワーク状態監視システム。 - 前記モデル記憶手段は、出力されたアラートの種類の組合せとアクションとを対応付けて記憶し、
前記異常検知手段は、新たなアラートが発生した場合に、攻撃者とアラートの種類とを特定し、前記アラート履歴情報取得手段に記憶されているアラート履歴情報から、その攻撃者が過去に発行させたアラートの種類を求め、その攻撃者が過去に発行させたアラートの種類の組合せと今回のアラートの種類との組合せが、前記モデル記憶手段に記憶されているアラートの種類の組合せのいずれかに合致する場合には、登録されているアクションを実行し、いずれにも合致しない場合には、異常を通知する、
ことを特徴とする請求項１に記載のネットワーク状態監視システム。 - 前記モデル記憶手段は、出力されたアラートの種類の順番とアクションとを対応付けて記憶し、
前記異常検知手段は、新たなアラートが発生した場合に、攻撃者とアラートの種類とを特定し、前記アラート履歴情報取得手段に記憶されているアラート履歴情報から、その攻撃者が過去に発行させたアラートの種類の順番を求め、その攻撃者が過去に発行させたアラートと今回のアラートとの種類の順番が、前記モデル記憶手段に記憶されているアラートの種類の順番のいずれかに合致する場合には、登録されているアクションを実行し、いずれにも合致しない場合には、異常を通知する、
ことを特徴とする請求項１又は２に記載のネットワーク状態監視システム。 - 前記モデル記憶手段は、アラートの出力量の時間推移のモデルを記憶し、
前記異常検知手段は、前記アラート履歴情報取得手段により取得されたアラートの量と前記アラートの出力量の時間推移のモデルとを対比し、対比結果に基づいて、異常を通知する、
ことを特徴とする請求項１、２又は３に記載のネットワーク状態監視システム。 - 発生したアラートの種類に基づいて、アラート発生者を分類する分類手段をさらに備える、ことを特徴とする請求項１乃至４のいずれか１項に記載のネットワーク状態監視システム。
- アラートの発生者別に、発生したアラートの種類と量とを求める手段と、求めたアラートの種類と量とに基づいて、同一傾向のアラートを発生する発生者を同一の分類に分類する分類手段とをさらに備える、ことを特徴とする請求項１乃至４のいずれか１項に記載のネットワーク状態監視システム。
- 通信量を測定する通信量測定手段をさらに備え、
前記モデル記憶手段は、前記通信量の時間推移のモデルを記憶し、
前記異常検知手段は、前記通信量測定手段で測定された通信量と前記通信量の時間推移のモデルとを対比し、対比結果に基づいて、異常を通知する、
ことを特徴とする請求項１乃至６のいずれか１項に記載のネットワーク状態監視システム。 - アクセス量を測定するアクセス量測定手段をさらに備え、
前記モデル記憶手段は、前記アクセス量の時間推移のモデルを記憶し、
前記異常検知手段は、前記アクセス量測定手段で測定されたアクセス量と前記アクセス量の時間推移のモデルとを対比し、対比結果に基づいて、異常を通知する、
ことを特徴とする請求項１乃至７のいずれか１項に記載のネットワーク状態監視システム。 - ネットワークへの攻撃を検出するとアラートを発生する複数の侵入検知手段から、発生したアラートの情報を収集するアラート情報収集手段と、
前記アラート情報収集手段により収集されたアラートの情報に基づいてアラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを生成するモデル生成手段と、
前記アラート情報収集手段により収集されたアラートの情報に基づいて、発生したアラートの履歴情報を生成するアラート履歴生成手段と、
を備えることを特徴とするネットワーク状態監視システム。 - 前記アラート情報収集手段は、複数のローカルシステムに配置された侵入検知手段が発生したアラートの情報を収集し、
前記モデル生成手段は、前記アラート情報収集手段により収集された複数のローカルシステムで発生したアラートの情報に基づいて、アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを生成する手段と、発生したアラートの履歴情報を生成する手段と、各ローカルシステムの異常検出装置に、生成したモデルと履歴情報とを提供する送信手段と、を備える、
ことを特徴とする請求項９に記載のネットワーク状態監視システム。 - ネットワークへの攻撃を検出する侵入検知手段から発生されるアラートを受信するアラート受信手段と、
前記アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを記憶するモデル記憶手段と、
前記侵入検知手段が発生したアラートの履歴情報を記憶するアラート履歴記憶手段と、
前記アラート受信手段で受信した新たなアラートと前記アラート履歴記憶手段に記憶されているアラートの履歴とから生成されたアラート情報を、前記モデル記憶手段に記憶されたモデルと対比し、いずれかのモデルに合致する場合には、登録されているアクションを実行し、いずれのモデルにも合致しない場合には、異常を検知する異常検知手段と、
を備えることを特徴とするネットワーク状態監視システム。 - コンピュータ又はコンピュータ群を、
ネットワークへの攻撃を検出するとアラートを発生する複数の侵入検知手段から、発生したアラートの情報を収集するアラート情報収集手段、
前記アラート情報収集手段で収集されたアラートの情報に基づいて、アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを生成するモデル生成手段、
前記アラート情報収集手段で収集されたアラートの情報に基づいて、発生したアラートの履歴情報を生成するアラート履歴生成手段、
として機能させるコンピュータプログラム。 - コンピュータ又はコンピュータ群を、
アラートの出力パターンと該出力パターンに対するアクションとを対応付けるモデルを記憶するモデル記憶手段、
発生したアラートの履歴情報を記憶するアラート履歴記憶手段、
ネットワークへの攻撃を検出する侵入検知手段からのアラートを受信するアラート受信手段、
前記アラート受信手段で受信した新たなアラートと前記アラート履歴記憶手段に記憶されているアラートの履歴とから生成されたアラート情報を、前記モデル記憶手段に記憶されたモデルと対比し、いずれかのモデルに合致する場合には、登録されているアクションを実行し、いずれのモデルにも合致しない場合には、異常を検知する異常検知手段、
として機能させるコンピュータプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003125397A JP3697249B2 (ja) | 2003-04-30 | 2003-04-30 | ネットワーク状態監視システム及びプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003125397A JP3697249B2 (ja) | 2003-04-30 | 2003-04-30 | ネットワーク状態監視システム及びプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004336130A true JP2004336130A (ja) | 2004-11-25 |
| JP3697249B2 JP3697249B2 (ja) | 2005-09-21 |
Family
ID=33502677
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003125397A Expired - Lifetime JP3697249B2 (ja) | 2003-04-30 | 2003-04-30 | ネットワーク状態監視システム及びプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3697249B2 (ja) |
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2006077666A1 (ja) * | 2004-12-28 | 2006-07-27 | Kyoto University | 観測データ表示装置、観測データ表示方法、観測データ表示プログラムおよびそれを記録したコンピュータ読み取り可能な記録媒体 |
| JP2007335951A (ja) * | 2006-06-12 | 2007-12-27 | Kddi R & D Laboratories Inc | 通信監視装置、通信監視方法およびプログラム |
| US7752663B2 (en) | 2005-05-12 | 2010-07-06 | Hitachi, Ltd. | Log analysis system, method and apparatus |
| JP2016027491A (ja) * | 2011-09-15 | 2016-02-18 | マカフィー， インコーポレイテッド | 脅威に対してリアルタイムでカスタマイズされた保護を行う方法、ロジック及び装置 |
| JP2017139558A (ja) * | 2016-02-02 | 2017-08-10 | 日本電信電話株式会社 | 異常検知装置、異常検知システム、異常検知方法、及びプログラム |
| EP3246841A4 (en) * | 2015-01-16 | 2017-12-06 | Mitsubishi Electric Corporation | Data assessment device, data assessment method, and program |
| EP3460701A4 (en) * | 2016-06-23 | 2019-05-22 | Mitsubishi Electric Corporation | IMPACT DETECTOR AND IMPACT DETECTION PROGRAM |
| JP2019080211A (ja) * | 2017-10-26 | 2019-05-23 | 株式会社日立製作所 | 制御システムのための対策立案システムおよび監視装置 |
| JP2021018630A (ja) * | 2019-07-22 | 2021-02-15 | ソフトバンク株式会社 | 警報集約選別装置及び警報集約選別方法 |
| AT523933A4 (de) * | 2020-11-18 | 2022-01-15 | Ait Austrian Inst Tech Gmbh | Verfahren zur Klassifizierung von anomalen Betriebszuständen eines Computernetzwerks |
-
2003
- 2003-04-30 JP JP2003125397A patent/JP3697249B2/ja not_active Expired - Lifetime
Cited By (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2006077666A1 (ja) * | 2004-12-28 | 2006-07-27 | Kyoto University | 観測データ表示装置、観測データ表示方法、観測データ表示プログラムおよびそれを記録したコンピュータ読み取り可能な記録媒体 |
| US7752663B2 (en) | 2005-05-12 | 2010-07-06 | Hitachi, Ltd. | Log analysis system, method and apparatus |
| JP2007335951A (ja) * | 2006-06-12 | 2007-12-27 | Kddi R & D Laboratories Inc | 通信監視装置、通信監視方法およびプログラム |
| JP2016027491A (ja) * | 2011-09-15 | 2016-02-18 | マカフィー， インコーポレイテッド | 脅威に対してリアルタイムでカスタマイズされた保護を行う方法、ロジック及び装置 |
| KR20160128434A (ko) * | 2011-09-15 | 2016-11-07 | 맥아피 인코퍼레이티드 | 실시간 맞춤화된 위협 보호를 위한 시스템 및 방법 |
| KR101898793B1 (ko) * | 2011-09-15 | 2018-09-13 | 맥아피, 엘엘씨 | 실시간 맞춤화된 위협 보호를 위한 시스템 및 방법 |
| EP3246841A4 (en) * | 2015-01-16 | 2017-12-06 | Mitsubishi Electric Corporation | Data assessment device, data assessment method, and program |
| US10171252B2 (en) | 2015-01-16 | 2019-01-01 | Mitsubishi Electric Corporation | Data determination apparatus, data determination method, and computer readable medium |
| JP2017139558A (ja) * | 2016-02-02 | 2017-08-10 | 日本電信電話株式会社 | 異常検知装置、異常検知システム、異常検知方法、及びプログラム |
| EP3460701A4 (en) * | 2016-06-23 | 2019-05-22 | Mitsubishi Electric Corporation | IMPACT DETECTOR AND IMPACT DETECTION PROGRAM |
| JP2019080211A (ja) * | 2017-10-26 | 2019-05-23 | 株式会社日立製作所 | 制御システムのための対策立案システムおよび監視装置 |
| JP2021018630A (ja) * | 2019-07-22 | 2021-02-15 | ソフトバンク株式会社 | 警報集約選別装置及び警報集約選別方法 |
| JP7034989B2 (ja) | 2019-07-22 | 2022-03-14 | ソフトバンク株式会社 | 警報集約選別装置及び警報集約選別方法 |
| AT523933A4 (de) * | 2020-11-18 | 2022-01-15 | Ait Austrian Inst Tech Gmbh | Verfahren zur Klassifizierung von anomalen Betriebszuständen eines Computernetzwerks |
| AT523933B1 (de) * | 2020-11-18 | 2022-01-15 | Ait Austrian Inst Tech Gmbh | Verfahren zur Klassifizierung von anomalen Betriebszuständen eines Computernetzwerks |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3697249B2 (ja) | 2005-09-21 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US20230080471A1 (en) | Endpoint agent and system | |
| US10476749B2 (en) | Graph-based fusing of heterogeneous alerts | |
| US20230111771A1 (en) | Method, apparatus, and system to map network reachability | |
| US11201882B2 (en) | Detection of malicious network activity | |
| EP2040435B1 (en) | Intrusion detection method and system | |
| EP3170122B1 (en) | Explaining causes of network anomalies | |
| US7752665B1 (en) | Detecting probes and scans over high-bandwidth, long-term, incomplete network traffic information using limited memory | |
| Treinen et al. | A framework for the application of association rule mining in large intrusion detection infrastructures | |
| US10476752B2 (en) | Blue print graphs for fusing of heterogeneous alerts | |
| WO2002019077A2 (en) | Probabilistic alert correlation | |
| JP6442051B2 (ja) | コンピュータネットワークへの攻撃を検出する方法 | |
| KR20150091775A (ko) | 비정상 행위 탐지를 위한 네트워크 트래픽 분석 방법 및 시스템 | |
| Ding et al. | Application of machine learning techniques to detecting anomalies in communication networks: Datasets and feature selection algorithms | |
| White et al. | Cooperating security managers: Distributed intrusion detection systems | |
| Iturbe et al. | Towards Large‐Scale, Heterogeneous Anomaly Detection Systems in Industrial Networks: A Survey of Current Trends | |
| CN114189361B (zh) | 防御威胁的态势感知方法、装置及系统 | |
| CN113660115B (zh) | 基于告警的网络安全数据处理方法、装置及系统 | |
| JP3697249B2 (ja) | ネットワーク状態監視システム及びプログラム | |
| JP6616045B2 (ja) | 異種混在アラートのグラフベース結合 | |
| US20230009270A1 (en) | OPC UA-Based Anomaly Detection and Recovery System and Method | |
| Lee et al. | Sierra: Ranking anomalous activities in enterprise networks | |
| CN114172881A (zh) | 基于预测的网络安全验证方法、装置及系统 | |
| Bailey et al. | Intrusion detection using clustering of network traffic flows | |
| WO2017176673A1 (en) | Blue print graphs for fusing of heterogeneous alerts | |
| Capuzzi et al. | IRSS: Incident response support system |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050323 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20050329 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050621 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050701 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 3697249 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080708 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090708 Year of fee payment: 4 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090708 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100708 Year of fee payment: 5 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110708 Year of fee payment: 6 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110708 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120708 Year of fee payment: 7 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120708 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130708 Year of fee payment: 8 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| EXPY | Cancellation because of completion of term |