JP2006243878A - 不正アクセス検知システム - Google Patents

Abstract

【課題】不正アクセス検知後に、不正アクセスの内容に応じた適切な処理方法を早期に提供、実施することができる不正アクセス検知システムを提供する。
【解決手段】対処法付きシグネチャ提供サーバ１０１は、不正アクセスの特徴を示す攻撃パターンと不正アクセスが発見された後の適切な対処方法を対にしたシグネチャを作成し、エンド機器やルータ１０２に提供する。シグネチャは、対処法付きシグネチャ提供サーバ１０１を運営する専門家などによって作成される。エンド機器やルータ１０２においては、送受信するデータを不正アクセス検知・対策部１０４が検査し、シグネチャに合致するパケットを発見した場合は、不正アクセスとみなして検知する。さらに、不正アクセス対策部１０７がその不正アクセスに対応する対処方法を機器アプリケーション１０８へ提供し、対策方法を実施する。
【選択図】図１

Description

本発明は、不正アクセス検知システム技術の中でも、特に不正アクセスを検出するためのシグネチャの作成方法に関して、シグネチャに不正アクセスの特徴を示す攻撃パターンと不正アクセスが検知された際の適切な対処方法を対にして記録しておき、実際に不正アクセスが検知された際に、管理者に対処方法を提供することで、不正アクセスを検知するたびに管理者が判断してその後の対策を立てる手間を省き、不正アクセスに対する早期対処を可能とする不正アクセス検知システムに関するものである。

近年、インターネットなどのネットワークの普及にともない、企業や家庭などにおいて、インターネットの常時接続環境の導入が盛んになっている。また、従来は、企業や家庭などにおいて、内部でＬＡＮ環境を構成した際(以下、内部ネットワークと記す)、インターネットなどの外部に接続可能な回線(以下、外部ネットワークと記す)と内部ネットワークとを中継するためにゲートウェイやルータを用い、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）の設定を行うことで、外部ネットワークから内部ネットワーク内の機器へ直接通信出来ないよう制限するケースが一般的であった。しかし、近年では、ＩＰｖ６（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｖｅｒｓｉｏｎ ６）や、ピアツーピア接続の普及により、ゲートウェイやルータの設定を行わず、パソコンやネットワーク接続が可能な電化製品など(以下、エンド機器と記す)が直接通信しあう形態も盛んになってきている。

しかし、宅外ネットワークに宅内ネットワークが常時接続されることで、宅内ネットワークに接続された機器は、宅外ネットワークから不正アクセスを受ける可能性がある。この場合の不正アクセスとは、外部ネットワークから行う不正な攻撃のことであり、不正侵入や、ＤＤｏＳ(Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ)攻撃、システムの脆弱性を狙った攻撃などである。また、宅内ネットワークに接続されたエンド機器が外部ネットワークからの不正アクセスを受け、不正侵入されることで、外部ネットワークに対して不正アクセスを行ってしまう可能性がある。この場合の不正アクセスとは、内部ネットワークに接続されたエンド機器が、例として、ウィルスなどに感染したことによって、踏み台になり、外部に対して攻撃を行うことであり、スパムメールの不正中継や、ＤＤｏＳ攻撃を行うケースなどが挙げられる。

そこで、宅外ネットワークから宅内ネットワークに対して行われる不正アクセスを対象として、侵入検知システム（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）や、侵入検知・防御システム（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｐｒｅｖｅｎｔｉｏｎ）などがある。前者は、システムやネットワークの資源及び活動を監視し、不正アクセスを検出するシステムである。後者は、前者に加えて、不正アクセスの遮断も行うシステムである。これらのシステムは、主にゲートウェイに広く導入されている。

侵入検知システム、侵入検知・防御システムが不正アクセスを検出する方法としては、シグネチャを用いて不正アクセスを検出するシグネチャ型が一般的である。シグネチャとは、不正アクセスに使われるパケット内に存在する攻撃のパターンのことである。シグネチャ型では、過去に不正アクセスとして発見された攻撃のパターンをシグネチャとして記憶しており、パケットを受信するたびに、そのパケットとシグネチャとを比較することで、不正アクセスか否かを判断することである。不正アクセスを検知した後の処理としては、侵入検知システムの場合は、不正アクセスの検知を行うだけであるため、管理者によって、不正アクセスの遮断などの対策が施される。侵入検知・防御システムの場合は、不正アクセスのみを自動遮断し、その他の正常な通信は遮断しないという処理を行うものが多い。

不正アクセス検知後の処理の仕方を規定した文献として、特許文献１の公報に開示されている技術がある。この公報に開示された方法によると、機器が受信したＩＰパケットのヘッダ情報に基づいて、あらかじめ設定されたＩＰパケットのヘッダ情報と攻撃との関係を示す設定ルールを参照し、攻撃となるＩＰパケットを遮断する一方、その他のＩＰパケットを通過させるフィルタの設定を行う。さらに、フィルタを通過したＩＰパケットのペイロード情報に基づいて、攻撃となるＩＰパケットを遮断し、その他のＩＰパケットを通過させることで、攻撃となるＩＰパケットを受け付けなくすることが可能である。
特開２００３−９９３３９号公報

不正アクセスを検知した後の処理としては、不正アクセスによる被害を拡大させないためにも、早期に適切な対処方法を実施する必要がある。しかし、侵入検知システムでは、不正アクセスを検知するだけであるため、不正アクセス検知後の処理は、管理者がその不正アクセスに適した対処方法をその都度検討し、行わなければならないため、早期対処が図れない場合がある。

また、侵入検知・防御システムや前記従来の構成では、不正アクセスの検知後に常に不正アクセスのみの遮断を行うが、不正アクセスの種類によっては、遮断によって他の通信に影響を及ぼすことがあるため、適切な対処方法とは言い難い。遮断によって他の通信に影響を及ぼす不正アクセスの例として、ＤｏＳ攻撃の一つであるＡＣＫ ＳＣＡＮが挙げられる。通常、システムが提供するサービスは、外部ネットワークからアクセスされないようにパケットフィルタリングの設定が施され、保護されている。しかし、管理者がパケットフィルタリングの設定を怠ったか、誤った設定をしてしまったことにより、正しく設定されていない場合がある。そこで、攻撃者は標的とした端末に対してＴＣＰ ＡＣＫパケットを不正に大量に送りつけることで、システムがサービスしているポートの内、フィルタリングの設定がされていないものを検索することができる。攻撃者はフィルタリングの設定がされていないポートに関する情報を取得すると、そのポートを用いてサービスの不正利用を試みる可能性があり危険である。しかし、仮に、ＡＣＫ ＳＣＡＮを検知した場合、ＴＣＰ ＡＣＫパケットのみを遮断してしまうと、通常のＴＣＰでの通信は、ＴＣＰ ＡＣＫパケットをやりとりすることでコネクションを確立させているため、その他のＴＣＰでの通信も停止してしまい、他の通信に影響を及ぼすことになる。また、不正アクセスのみを遮断していった場合、新たに外部ネットワークとの通信を必要とするサービスを動作させるたびに、管理者が遮断された不正アクセスを全て解析し、正しく通信させることが可能か否か調査する必要がある。例えば、前記のＡＣＫ ＳＣＡＮを遮断していた場合、新たなサービスの動作の開始を試みても、ＴＣＰ ＡＣＫが破棄されることによって、通信が出来ないため無駄である。

また、上記の全てのシステムは、外部ネットワークから、内部ネットワークへ流れるパケットを調査対象として監視し、検知するが、逆に、エンド機器がウィルスなどに感染することによって、踏み台になり、内部ネットワークから外部ネットワークに対してＤＤｏＳ攻撃などの不正アクセスを行う場合に関しては検知できない。

本発明は、前記従来の課題を解決するもので、シグネチャを作成する際に不正アクセスに使われるパケット内に存在する攻撃のパターンと、その不正アクセスが検知された後の適切な対処方法を対にして記録しておき、不正アクセスを検知した時点で、管理者に不正アクセスの内容に応じた適切な処理方法を提供、実施するものである。例えば、以下のような不正アクセスに対応する対処方法をシグネチャに規定しておく。

感染した際のダメージが小さく、遮断してもその他の正常な通信に影響を及ぼさない種類の不正アクセスに関しては、管理者に対して検知時にその種類のパケットのみ遮断する要求を発行し、管理者が遮断するか、一定時間後にその種類のパケットのみを遮断する。

感染した際のダメージが大きく、遮断するとその他の通信に影響を及ぼす種類の不正アクセスに関しては、管理者に検知時にシステムの停止を要求し、管理者が停止させるか、一定時間後に停止させる。

不正アクセスを検知した際に、不正アクセスに対応する対処方法も提供されるため、不正アクセスを検知するたびに管理者が判断してその後の対策を立てる必要が無く、不正アクセスに対する早期対処が可能である。また、不正アクセスに応じて遮断の方法を変化させるため、できるだけ正常な通信に影響を与えないで、不正アクセスから保護することが可能であり、新たに通信させたいサービスが発生した際に、遮断されている不正アクセスの内容を解析する必要がない。

さらに、パケットの流れる方向に関係なくパケットを調査し、不正アクセスを検知するため、エンド機器が不正アクセスにさらされるなどして、踏み台になり、外部ネットワークに対してＤＤｏＳ攻撃などの不正アクセスを行うような場合も検知することができるため、エンド機器を使用するユーザが気付かないうちに踏み台にされ、外部ネットワークに対して迷惑をかけているような場合も防ぐことが可能である。

前記従来の課題を解決するために、本願の請求項１に係る発明は、不正アクセスの特徴となる攻撃パターンを示すシグネチャに基づいて、ネットワークを流れるパケットから不正アクセスを検出する不正アクセス検知システムであって、不正アクセスが検知された後の適切な対処方法を作成し、前記シグネチャをそれぞれ対応付けて、対処法付きシグネチャを作成する対処法付きシグネチャ提供サーバと、不正アクセス検知・対策部おいては、前記対処法付きシグネチャ提供サーバから提供される前記対処法付きシグネチャを、システムの必要に応じて修正し、管理する対処法付きシグネチャ修正・管理部と、前記ネットワークを流れるパケットを監視し、前記対処法付きシグネチャ修正・管理部により管理された前記対処法付きシグネチャと比較し、不正アクセスであるか否かを判定する不正アクセス検知部と、不正アクセスが検知された際、前記対処法付きシグネチャから前記不正アクセスに対応する対処方法を抽出し、機器アプリケーションに提供する不正アクセス対策部とを備えることを特徴とする。

また、本願の請求項２に係る発明は、前記対処法付きシグネチャ提供サーバから前記対処法付きシグネチャを受信した際、前記機器アプリケーションに対して、修正が必要であるか否かを問い合わせ、前記機器アプリケーションの判断により必要であれば前記機器アプリケーションの要求に基づいて修正し、管理する対処法付きシグネチャ管理部を有することを特徴とする。

また、本願の請求項３に係る発明は、不正アクセスが検知された際、前記対処法付きシグネチャから前記不正アクセスに対応する対処方法を前記機器アプリケーションへ提供した後、一定時間経過しても前記機器アプリケーションで前記対処方法が実行されていない場合、自らが前記対処方法を実行する不正アクセス対策部を有することを特徴とする。

また、本願の請求項４に係る発明は、新たなサービスを開始する際、既に対処方法の施された不正アクセスから、前記新たなサービスを開始するにあたって問題が生じる対処方法を検出し、問題のある対処方法が施されている場合は、対処方法一覧を機器アプリケーションに提供し、場合によっては前記問題が生じる対処方法を解除する不正アクセス対策部を有することを特徴とする。

また、本願の請求項５に係る発明は、既に幾つかの不正アクセスが検知され、対処方法が施されている状態において、一定時間ごとに、前記不正アクセスに対応する対処方法が適切であるか否かを検査し、適切でなくなった場合は、前記不正アクセスの内容と、症状を前記対処法付きシグネチャ提供サーバに送信する不正アクセス対策部を有することを特徴とする。

また、本願の請求項６に係る発明は、不正アクセスの特徴となる攻撃パターンを示すシグネチャに基づいて、ネットワークを流れるパケットから不正アクセスを検出する不正アクセス検知システムであって、不正アクセス検知・対策部は、不正アクセスが検知された後の適切な対処方法を作成し、前記シグネチャをそれぞれ対応付けて、対処法付きシグネチャを作成する対処法付きシグネチャ作成部と、前記対処法付きシグネチャ作成部から提供される前記対処法付きシグネチャを、システムの必要に応じて修正し、管理する対処法付きシグネチャ修正・管理部と、前記ネットワークを流れるパケットを監視し、前記対処法付きシグネチャ修正・管理部により管理された前記対処法付きシグネチャと比較し、不正アクセスであるか否かを判定する不正アクセス検知部と、不正アクセスが検知された際、前記対処法付きシグネチャから前記不正アクセスに対応する対処方法を抽出し、機器アプリケーションに提供する不正アクセス対策部と備えることを特徴とする。

本発明において、シグネチャに不正アクセスに使われる攻撃のパターンと、その不正アクセスが検知された後の適切な対処方法を対にして記録しておき、不正アクセス検知時に、管理者に対処方法を提供することで、不正アクセスを検知するたびに管理者が判断してその後の対策を立てる必要が無く、不正アクセスに対する早期対処が可能となる。また、不正アクセスに応じて遮断の方法を適切に変化させることで、できるだけ正常な通信に影響を与えないで不正アクセスから保護でき、さらに、管理者が新たに通信させたいサービスが発生した際に、遮断されている不正アクセスの内容を解析する必要がなく、管理者の手間を省くことができる。

以下本発明の実施の形態について、図面を参照しながら説明する。

（実施の形態１）
図１は、本発明の実施の形態１における不正アクセス検知対策システムの概要構成を示すブロック図である。

図１において、インターネットなどのネットワークには、対処法付きシグネチャ提供サーバ１０１、エンド機器やルータ１０２などが接続されている。対処法付きシグネチャ提供サーバ１０１は、不正アクセスが発見された後の適切な対処方法を不正アクセスごとに作成し、対処方法と不正アクセスの特徴を示す攻撃パターンを示すシグネチャとを対にした、対処法付きシグネチャを作成する。以下、不正アクセスの特徴を示す攻撃パターンと不正アクセスが検知された後の対処方法との組を羅列したデータを対処法付きシグネチャと記す。対処法付きシグネチャは、主に、対処法付きシグネチャ提供サーバ１０１を運営する専門家などによって作成され、対処法付きシグネチャ提供サーバ１０１によって、企業や家庭などのネットワークで用いられるゲートウェイやルータ、エンド機器に提供される。エンド機器やルータ１０２は、エンド機器やルータ１０２からネットワークへデータを送信、ネットワークからエンド機器やルータ１０２がデータを受信するためのデータ送受信部１０３、不正アクセスを検知し、その後の対処方法を機器アプリケーション１０８に提供、実施する不正アクセス検知・対策部１０４、機器アプリケーション１０８で構成される。不正アクセス検知・対策部１０４は、対処法付きシグネチャ提供サーバ１０１から提供された対処法付きシグネチャを管理し、必要に応じてシステムに適した形式にカスタマイズも可能とする対処法付きシグネチャ修正・管理部１０５と、データ送受信部１０３を流れるパケットを抽出し、対処法付きシグネチャ修正・管理部１０５で管理される対処法付きシグネチャを用いて不正アクセスか否かを検査する不正アクセス検知部１０６と、不正アクセスが検知された際、対処法付きシグネチャの内容をもとに不正アクセスに対応した対策方法を機器アプリケーション１０８へ提供し、機器アプリケーション１０８から対処方法の実施の依頼を受けて対策方法を実施する不正アクセス対策部１０７から構成される。

図２に、対処法付きシグネチャ提供サーバ１０１で作成される対処法付きシグネチャの一例を示す。不正アクセス名は、不正アクセスの名前を示す。不正アクセスパターンは、不正アクセスの特徴を示す攻撃のパターンである。受けた際のダメージは、システムが不正アクセスを受けた際の被害の度合いであり、被害が小さいほど低い値となり、大きいほど高い値となる。また、遮断の影響は、不正アクセスのみを遮断した際、その他の通信に与える影響の度合いであり、不正アクセスのみを遮断した場合、その他の通信が遮断前と何ら変わることなく継続できれば低い値となり、不正アクセスを遮断したことが影響し、その他の通信も継続できなくなるような場合は高い値となる。センターへの通知の必要性は、対処法付きシグネチャ提供サーバ１０１や、プロバイダーなどに通知する必要があるか否かを示す。深刻な不正アクセスである場合や、エンド機器やルータ１０４自身で対応しきれない不正アクセスである場合などは、センターへの通知は必要であると考えられる。ハニーポットへの誘導は、不正アクセスをおとり用のサーバ(ハニーポット)へ誘導し、不正アクセスを詳細に解析する必要があるか否かを示す。不正アクセスを行った侵入者の身元などの記録や、行動内容などを記録することで、侵入者を訴求する際の証拠を収集する場合や、侵入方法や攻撃手法の研究を行う場合などは、ハニーポットへの誘導の必要があると考えられる。図２の１行目の不正アクセスは、“ＡＢＣ Ａｔｔａｃｋ”という名前であり、“ｅｅｅ．ｅｘｅ“という文字列を含むパケットで構成されている。この不正アクセスを受けた際のダメージは“４”、遮断の影響は“６”であり、合計点数は１０である。合計点数と、対処方法との関係の一例は後述の図３に示す。センターへの通知は必要、ハニーポットへの誘導も必要である。

図３は、図２のそれぞれの対処法付きシグネチャが具体的にどのような対処方法に該当するかを示した一例である。合計点数は、図２の合計点数と対応している。対処方法は、合計点数によって異なる。図２の１行目の不正アクセスである“ＡＢＣ Ａｔｔａｃｋ”の場合は、合計点数が１０であるため、対処方法として、システムの停止を行う必要があることになる。図２の２行目の不正アクセスである“ＤＤＤ Ｏｖｅｒｆｌｏｗ”の場合は、合計点数は５であるため、不正アクセスのみを遮断(一部遮断)すればよい。ただし、合計点数から図３の対処方法を抽出する方法は一例であり、必ずしも合計点数である必要はない。システムの運用形態により、受けた際のダメージのみで対処方法を判断したい場合は、受けた際のダメージに示した値を図３の合計点数に当てはめ、対処方法を決定してもよい。

図４は、エンド機器やルータ１０２が、対処法付きシグネチャ提供サーバ１０１から対処法付きシグネチャを受信し、対処法付きシグネチャ修正・管理部１０５によって管理されるまでの流れを示したフローチャートである。対処法付きシグネチャ提供サーバ１０１が各エンド機器やルータ１０２の対処法付きシグネチャ修正・管理部１０５へ対処法付きシグネチャを送信する（Ｓ４０１）。対処法付きシグネチャ修正・管理部１０５は、対処法付きシグネチャを受信したことを機器アプリケーション１０８へ通知する（Ｓ４０２）。機器アプリケーション１０８は、通知を受けて、対処法付きシグネチャ修正・管理部１０５へ問い合わせ、対処法付きシグネチャを修正する必要があるか否かを判断する（Ｓ４０３）。システムの都合などにより、修正の必要がある場合は、機器アプリケーション１０８は、対処法付きシグネチャの修正内容と修正箇所を対処法付きシグネチャ修正・管理部１０５へ通知し（Ｓ４０４、４０５）、対処法付きシグネチャ修正・管理部１０５は、対処法付きシグネチャを修正して保存する（Ｓ４０６）。修正の必要が無い場合は、機器アプリケーション１０８は対処法付きシグネチャ修正・管理部１０５へ修正不要であることを通知し（Ｓ４０４、４０７）、対処法付きシグネチャ修正・管理部１０５は、対処法付きシグネチャを保存する（Ｓ４０８）。

図５は、データ送受信部１０３がインターネットから、あるいは、図示しない他のエンド機器やルータから受信したパケットを不正アクセス検知部１０６が検査する際の処理を示すフローチャートである。不正アクセス検知部１０６によりデータ送受信部１０３を流れるパケットを検査する（Ｓ５０１）。その際、対処法付きシグネチャに合致するパケットを検知しなかった場合は、正常なパケットとみなし、パケットは通過する（Ｓ５０２）。検知した場合は、不正アクセス対策部１０７へ通知し、不正アクセス対策部１０７が、対処法付きシグネチャに記載された、その不正アクセスに対応した対処方法を抽出し、対処方法を機器アプリケーション１０８に提供する（Ｓ５０３、５０４）。不正アクセス対策部１０７は、機器アプリケーション１０８から対処方法の実施を依頼された場合は、対処方法を実行する（Ｓ５０５、５０６）。依頼されて無い場合は、一定時間経過するまで依頼されたか否かを検査し（Ｓ５０７）、一定時間経過した場合は、不正アクセス対策部１０７によって、対処方法を自動実行する（Ｓ５０７、５０８）。

図６に、遮断状況一覧の一例を示す。遮断状況一覧は、実際に検知され、対策方法の施された不正アクセスの一覧を示したリストであり、実際に検知された不正アクセスと図３で示した合計点数と、実際に実施された対処方法などで構成される。１行目の不正アクセスの場合は、“ＤＤＤ Ｏｖｅｒｆｌｏｗ”という不正アクセスが実際に検知されたことを示しており、合計点数は５であるため、図３より、この不正アクセスのみを遮断（一部遮断）している状態である。

図７は、機器アプリケーション１０８が新たにサービスを開始したい場合に関して示したフローチャートである。機器アプリケーション１０８が不正アクセス対策部１０７へ問い合わせ（Ｓ７０１）、不正アクセス対策部１０７が遮断状況一覧から新たにサービスを開始する際に弊害となる不正アクセスが既に検知されているかを検索する（Ｓ７０２）。弊害となる不正アクセスが無かった場合、不正アクセス対策部１０７が機器アプリケーション１０８へ弊害となる不正アクセスが検知されてないことを通知し、機器アプリケーション１０８がサービスを開始する（Ｓ７０３、７０４）。弊害となる不正アクセスが既に検知されていた場合、不正アクセス対策部１０７が機器アプリケーション１０８へ遮断状況一覧を提供する（Ｓ７０３、７０５）。機器アプリケーション１０８は遮断状況一覧からサービスを開始するか否かを検討し（Ｓ７０６）、サービスを開始しない場合は、何もしないで終了する（Ｓ７０７、７０８）。サービスを開始する場合は、機器アプリケーション１０８が、不正アクセス対策部１０７へサービスの開始を許可する通知を発行する（Ｓ７０７、７０９）。不正アクセス対策部１０７は、弊害となる不正アクセスに関して、その対処方法を解除した後（Ｓ７１０）、機器アプリケーション１０８がサービスを開始する（Ｓ７１１）。図６に挙げた例の場合では、“ＨＯＥ Ｓｃａｎ”が既に検知されており、全遮断の対処方法が適用されているが、全遮断されていることにより、新たなサービスを開始させても通信できないことになる。よって、“ＨＯＥ Ｓｃａｎ”が弊害となる不正アクセスとなる。ただし、全遮断だけに限らず、その他の対処方法が適用されている不正アクセスであっても弊害となる不正アクセスとみなす場合もある。例えば、開始させたいサービスの内容によっては、一部遮断により、遮断されている種類のパケットを用いて通信することも考えられる。この場合は、一部遮断の不正アクセスであっても弊害となる不正アクセスとみなす。

図８は、遮断状況一覧の内容をもとに、既に検知された不正アクセスが適切に対処されているか否かを確認する際のフローチャートである。確認は一定期間ごとに行う。不正アクセス対策部１０７は、遮断状況一覧の先頭の不正アクセスに対して実施された対処方法に問題が無いか否かを検索する（Ｓ８０１）。不正アクセス対策部１０７は、問題が無いか否か検査し、問題が無い場合は、遮断状況一覧に次の行が存在するか否かをチェックし、存在する場合は、遮断状況一覧の次の行を検査対象とする（Ｓ８０２、８０３、８０４）。次の行が存在しない場合は、終了する（Ｓ８０３）。対処方法に問題があった場合は、不正アクセスの内容、症状を対処法付きシグネチャ提供サーバ１０１やプロバイダなどのサーバに提供する（Ｓ８０２、８０５）。例えば、図６で示す不正アクセスが既に検知されている場合、“ＰＱＲ Ａｔｔａｃｋ”は、エンド機器やルータが攻撃を受けても大きな被害を被らないため、対処方法として、アラートを発生させる方法が施されている。しかし、この不正アクセスの亜種などが発生したことにより、エンド機器やルータ１０２が大きな被害を被るようになった場合、対処方法を変更する必要があるため、その旨と被害内容を対処法付きシグネチャ提供サーバ１０１やプロバイダなどのサーバに提供する。対処法付きシグネチャ提供サーバ１０１は、これによっても、新たな対処法付きシグネチャを作成することができる。

（実施の形態２）
図９は、本発明の実施の形態２における不正アクセス検知対策システムの概要構成を示すブロック図である。

図９において、インターネットなどのネットワークには、エンド機器やルータ９０１が接続される。エンド機器やルータ９０１は、エンド機器やルータ９０１からネットワークへデータを送信、ネットワークからエンド機器やルータ９０１がデータを受信するためのデータ送受信部９０２、不正アクセスを検知し、その後の対処方法を機器アプリケーション９０８に提供、実施する不正アクセス検知・対策部９０３、機器アプリケーション９０８で構成される。不正アクセス検知・対策部９０３は、不正アクセスが発見された後の適切な対処方法を不正アクセスごとに作成し、不正アクセスの特徴を示す攻撃パターンを示すシグネチャとを対にした対処法付きシグネチャを作成する対処法付きシグネチャ作成部９０４と、対処法付きシグネチャ作成部９０４で作成された対処法付きシグネチャを管理し、必要に応じてシステムに適した形式にカスタマイズも可能とする対処法付きシグネチャ修正・管理部９０５と、データ送受信部９０２を流れるパケットを抽出し、対処法付きシグネチャ修正・管理部９０５で管理される対処法付きシグネチャを用いて不正アクセスか否かを検査する不正アクセス検知部９０６と、不正アクセスが検知された際、シグネチャの内容をもとに不正アクセスに応じた対策方法を機器アプリケーション９０８へ提供し、対策方法を実施する不正アクセス対策部９０７から構成される。

実施の形態２は、図１の実施の形態１において、対処法付きシグネチャ提供サーバ１０１で行う対処法付きシグネチャの作成を、各エンド機器やルータ９０１の不正アクセス検知・対策部９０３における対処法付きシグネチャ作成部９０４が行うこととしたものである。対処法付きシグネチャ作成部９０４で作成された対処法付きシグネチャは、対処法付きシグネチャ修正・管理部９０５で管理される。以降、実施の形態２の全ての動作に関しては、実施の形態１における対処法付きシグネチャ提供サーバ１０１を対処法付きシグネチャ作成部９０４に置き換えることで、実施の形態１の記載方法と同様となる。

本発明の不正アクセス検出システムは、不正アクセスに使われる攻撃パターンと、不正アクセスが検知された後の適切な対処方法をシグネチャとして記録しておき、不正アクセス検知時に、管理者に対処方法を提供することで、不正アクセスを検知するたびに管理者が判断してその後の対策を立てる必要無く、早急に不正アクセスに対応することができるため、管理者が家庭内の一般ユーザである場合など、ネットワークセキュリティに関する知識が不足している場合や、管理者の手間を省いて迅速に不正アクセスに対応する必要がある場合に利用できる。

本発明の実施の形態１に係る不正アクセス検知システムの概要構成を示すブロック図 対処法付きシグネチャの一例を示す図 対処方法の一例を示す図 対処法付きシグネチャ管理サーバから受信した対処法付きシグネチャを対処法付きシグネチャ修正・管理部が修正、管理する際の処理を示すフローチャート データ送受信部がインターネットから、あるいは、エンド機器やルータからパケットを受信した際の処理を示すフローチャート 遮断状況一覧の一例を示す図 機器アプリケーションが新たにサービスを開始したい場合に関して示したフローチャート 既検知された不正アクセスが適切に対処されているか否かを確認する際のフローチャート 本発明の実施の形態２に係る不正アクセス検知システムの概要構成を示すブロック図

符号の説明

１０１ 対処法付きシグネチャ提供サーバ
１０２ エンド機器やルータ
１０３ データ送受信部
１０４ 不正アクセス検知・対策部
１０５ 対処法付きシグネチャ修正・管理部
１０６ 不正アクセス検知部
１０７ 不正アクセス対策部
１０８ 機器アプリケーション
９０１ エンド機器やルータ
９０２ データ送受信部
９０３ 不正アクセス検知・対策部
９０４ 対処法付きシグネチャ作成部
９０５ 対処法付きシグネチャ修正・管理部
９０６ 不正アクセス検知部
９０７ 不正アクセス対策部
９０８ 機器アプリケーション

Claims (6)

1. 不正アクセスの特徴となる攻撃パターンを示すシグネチャに基づいて、ネットワークを流れるパケットから不正アクセスを検出する不正アクセス検知システムであって、
   不正アクセスが検知された後の適切な対処方法を作成し、前記シグネチャをそれぞれ対応付けて、対処法付きシグネチャを作成する対処法付きシグネチャ提供サーバと、
   不正アクセス検知・対策部は、
   前記対処法付きシグネチャ提供サーバから提供される前記対処法付きシグネチャを、システムの必要に応じて修正し、管理する対処法付きシグネチャ修正・管理部と、
   前記ネットワークを流れるパケットを監視し、前記対処法付きシグネチャ修正・管理部により管理された前記対処法付きシグネチャと比較し、不正アクセスであるか否かを判定する不正アクセス検知部と、
   不正アクセスが検知された際、前記対処法付きシグネチャから前記不正アクセスに対応する対処方法を抽出し、機器アプリケーションに提供する不正アクセス対策部とを備えることを特徴とする不正アクセス検知システム。
2. 前記対処法付きシグネチャ提供サーバから前記対処法付きシグネチャを受信した際、前記機器アプリケーションに対して、修正が必要であるか否かを問い合わせ、前記機器アプリケーションの判断により必要であれば前記機器アプリケーションの要求に基づいて修正し、管理する対処法付きシグネチャ修正・管理部を有する請求項１記載の不正アクセス検知システム。
3. 不正アクセスが検知された際、前記対処法付きシグネチャから前記不正アクセスに対応する対処方法を前記機器アプリケーションへ提供した後、一定時間経過しても前記機器アプリケーションから前記対処方法の実行を依頼されていない場合、自らが前記対処方法を実行する不正アクセス対策部を有する請求項１記載の不正アクセス検知システム。
4. 新たなサービスを開始する際、既に対処方法の施された不正アクセスから、前記新たなサービスを開始するにあたって問題が生じる対処方法を検出し、問題のある対処方法が施されている場合は、対処方法一覧を機器アプリケーションに提供し、場合によっては前記問題が生じる対処方法を解除する不正アクセス対策部を有する請求項１記載の不正アクセス検知システム。
5. 既に幾つかの不正アクセスが検知され、対処方法が施されている状態において、一定時間ごとに、前記不正アクセスに対応する対処方法が適切であるか否かを検査し、適切でなくなった場合は、前記不正アクセスの内容と、症状を前記対処法付きシグネチャ提供サーバに送信する不正アクセス対策部を有する請求項１に記載の不正アクセス検知システム。
6. 不正アクセスの特徴となる攻撃パターンを示すシグネチャに基づいて、ネットワークを流れるパケットから不正アクセスを検出する不正アクセス検知システムであって、
   不正アクセス検知・対策部は、
   不正アクセスが検知された後の適切な対処方法を作成し、前記シグネチャをそれぞれ対応付けて、対処法付きシグネチャを作成する対処法付きシグネチャ作成部と、
   前記対処法付きシグネチャ作成部から提供される前記対処法付きシグネチャをシステムの必要に応じて修正し、管理する対処法付きシグネチャ修正・管理部と、
   前記ネットワークを流れるパケットを監視し、前記対処法付きシグネチャ修正・管理部により管理された前記対処法付きシグネチャと比較し、不正アクセスであるか否かを判定する不正アクセス検知部と、
   不正アクセスが検知された際、前記対処法付きシグネチャから前記不正アクセスに対応する対処方法を抽出し、機器アプリケーションに提供する不正アクセス対策部と備えることを特徴とする不正アクセス検知システム。

Images