JP2006350561A - 攻撃検出装置 - Google Patents

Abstract

【課題】 ネットワーク上の機器やシステムが、ＤｏＳ攻撃やＤＤｏＳ攻撃を受けて、該攻撃の踏み台装置になっているかを検出する攻撃検出装置を提供する。
【解決手段】 本発明の攻撃検出装置は、複数の登録機器１０４〜１０７から、各機器が情報を送信した宛先を示す宛先ログ情報を収集するログ収集手段３０１と、収集した宛先ログ情報に基づいて、複数の登録機器１０４〜１０７から同一の宛先へ送信される情報の数が、予め設定された閾値を超えているかを検出し、同一の宛先に前記閾値を超える数の情報が送信されていることを検出したときに、該宛先に対する不正アクセスが発生したと判断する不正アクセス判断手段３０２とを有する。
【選択図】 図３

Description

本発明は、通信ネットワーク上の機器やシステムに対する不正アクセスに対処する技術に関し、特に、通信ネットワーク上の機器やシステムに対する分散型サービス拒否攻撃を検出する攻撃検出装置に関する。

近年、インターネットの普及に伴い、Ｗｅｂアクセスや、電子メールをはじめとするネットワークを利用したサービスがますます増加しつつある。しかし、その一方で、ネットワークを介した不正アクセスやウィルスによって、サービスの正常運用が妨げられる危険性も増し、その対策が必要となってきている。

例えば、ファイアウォールや侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）をネットワークに設置するといった対策がその代表的なものである。ＩＤＳでは、攻撃検出対象の攻撃パターンを記述した「シグネチャ」と呼ばれるルールに照らし合わせて攻撃を検出する。

しかし、故意に大量の処理要求を送信することで攻撃先のシステムの正常運用を妨げるサービス拒否攻撃（ＤｏＳ：Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅｓ）の場合、１つ１つの処理要求は正常時に用いられるものであるため、ＩＤＳは、この攻撃をシグネチャによって検出することは困難であった。特に、攻撃元がネットワーク上に多数分散している分散型サービス拒否攻撃（ＤＤｏＳ：Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅｓ）の場合、攻撃者はネットワーク上で多数の踏み台装置を作成し、踏み台装置となった攻撃元は同時に同一宛先への処理要求を発行する。このため、踏み台装置の１つ１つが発行する処理要求を量的にも正常時のものと区別するのは困難であった。

図２は、ＤＤｏＳ攻撃が実行された状態のネットワークのイメージ図である。図２において、攻撃者２０１は、機器に侵入したり、機器にウィルスを感染させるなどして、ネットワーク２０２を介して踏み台装置を多数作成する。例えば、図２に示すように、攻撃者２０１は踏み台装置２０３〜２０６を作成する。踏み台装置２０３〜２０６は、攻撃者が作成した仕掛けにしたがって、例えば、被攻撃機器２０７に対して同時に処理要求を送出する。被攻撃機器２０７は、多数の踏み台装置（踏み台装置２０３〜２０６）から同時に処理要求を受けることになるので、正常な運用が妨げられることになる。

従来、ＤｏＳ攻撃やＤＤｏＳ攻撃への対処方法としては、以下のような技術が提案されている。
例えば、攻撃の兆候を被攻撃側のエッジルータで検出し、このエッジルータで攻撃防御サーバにより決定された攻撃防御処理を行うシステム（例えば、特許文献１）や、防御側ネットワークの状況を監視し、攻撃を検出した際には、不正アクセス側ネットワークの機器に通信制御を指示して、踏み台装置の通信を制御するシステム（例えば、特許文献２）や、ネットワークにより公開されているサービスに対する不正アクセスの流入路を探索して、流入路のルータで不正アクセスを防ぐシステム（例えば、特許文献３）が提案されている。

このような従来のシステムは、ネットワークに存在するルータ２０８〜２１６の単体処理又は連携処理によって、ＤｏＳ攻撃やＤＤｏＳ攻撃に対する攻撃防御処理を行うことを特徴とする。
特開２００４−３２８３０７号公報 特開２００２−１５８６６０号公報 特開２００４−２８０７２４号公報

従来、ＤｏＳ攻撃やＤＤｏＳ攻撃に対処する技術として、攻撃を受ける被攻撃機器近くのエッジルータやネットワークで攻撃の兆候を検出し、検出した兆候に対して攻撃防御処理を行うシステムが提案されている。

例えば、エッジルータで攻撃を検出して攻撃防御処理を行うシステム（特許文献１）や、防御側ネットワークで攻撃を検出して、不正アクセス側ネットワークの機器により攻撃防御処理を行うシステム（特許文献２）や、不正アクセスの流入路を探索して、流入路のルータで不正アクセスに対する防御処理を行うシステムが提案されている。

これらのシステムは、ネットワーク上に存在するルータなどの機器間で連携をとり、被攻撃機器がＤｏＳ攻撃やＤＤｏＳ攻撃されたことを検出して、被攻撃機器がシステムダウンしないように防御処理をすることはできる。しかし、攻撃元を特定したり、攻撃元付近で防御処理をするためには、被攻撃機器近くのルータから順に探索して攻撃元機器を特定する必要があり、探索のための手間や負荷がかかる。このため、攻撃元機器に対して、セキュリティパッチをあてたり、攻撃元機器に近いルータに対して攻撃防御処理を行うなどの対処処理が遅れたり、できない場合がある。セキュリティパッチをあてる処理とは、攻撃を受けた機器のソフトウェアを修正する処理である。また、攻撃防御処理とはルータから異常パケットや異常メッセージが送出されないようにする処理である。

また、従来のシステムでは、送信元を偽装された攻撃パケットについては、その攻撃元を特定することができないため、ＤｏＳ攻撃やＤＤｏＳ攻撃により踏み台装置になった機器を特定することはできない。

また、従来のシステムは、被攻撃機器近くのルータで攻撃防御処理を行う場合があり、この場合、攻撃パケットがネットワークのリソースを消費することを防止できない。

以上のことから、本発明では、ネットワーク上の機器やシステムが、ＤｏＳ攻撃やＤＤｏＳ攻撃を受けて該攻撃の踏み台装置になっているかを検出して、踏み台装置に対するメンテナンス処理や、踏み台装置又は踏み台装置近くのルータに対する攻撃防御処理を指示する攻撃検出装置を提供することを目的とする。

本発明の攻撃検出装置は、複数の機器の各々から送信される、前記各機器が情報を送信した宛先を示す宛先ログ情報を収集して、集計するログ収集手段と、前記ログ収集手段が集計した宛先ログ情報に基づいて、前記複数の機器から同一の宛先に送信される情報の数が所定の閾値を超えていることを検出したとき、該宛先に対する不正アクセスが発生したと判断する不正アクセス判断手段と、を備えることを特徴とする。

また、本発明の攻撃検出装置は、前記攻撃検出装置において、前記不正アクセス判断手段が、前記複数の機器のうち、不正アクセスされていると判断した宛先に情報を送信している機器を、該宛先を示す前記宛先ログ情報から特定することを特徴とする。

また、本発明の攻撃検出装置は、前記攻撃検出装置において、前記不正アクセス判断手段によって不正アクセスが行われていることが検出されたとき、前記宛先ログ情報を送信した複数の機器に対するメンテナンス処理を指示するメンテナンス処理指示手段を備えることを特徴とする。

また、本発明の攻撃検出装置は、前記攻撃検出装置において、前記不正アクセス判断手段によって不正アクセスが行われていることが検出されたとき、前記宛先ログ情報を送信した複数の機器、又は前記不正アクセスされている宛先から前記複数の機器への経路上にあるルータ、に対する攻撃防御処理を指示する攻撃防御処理指示手段を備えることを特徴とする。

また、本発明の攻撃検出装置は、前記攻撃検出装置において、前記ログ収集手段が前記宛先ログ情報を前記機器の種別毎に集計し、前記閾値が前記機器の種別毎に設定されていることを特徴とする。

また、本発明の攻撃防御システムは、情報を送信した宛先を示す宛先ログ情報を収集する宛先ログ収集手段と、前記宛先ログ収集手段が収集した宛先ログ情報を送信するログ送信手段とを各々有する複数の機器と、前記複数の機器の各々の前記ログ送信手段から送信される前記宛先ログ情報を収集して、集計するログ収集手段と、前記ログ収集手段が集計した宛先ログ情報に基づいて、前記複数の機器から同一の宛先に送信される情報の数が所定の閾値を超えていることを検出したとき、該宛先に対する不正アクセスが発生したと判断する不正アクセス判断手段とを有する攻撃検出装置とを備えることを特徴とする。

本発明の攻撃検出方法は、複数の機器の各々から送信される、前記各機器が情報を送信した宛先を示す宛先ログ情報を収集するステップと、前記収集した宛先ログ情報を集計するステップと、前記集計した宛先ログ情報に基づいて、前記複数の機器から同一の宛先に送信される情報の数が所定の閾値を超えていることを検出したとき、該宛先に対する不正アクセスが発生したと判断するステップと、を含むことを特徴とする。

本発明の攻撃検出装置によれば、予め決められた複数の機器から、前記機器が情報を送信した宛先を示す宛先ログ情報を収集して、集計し、前記宛先ログ情報に基づいて、前記複数の機器から同一の宛先へ送信される情報の数が、予め設定された閾値を超えているかを検出して、該宛先が不正アクセスされているかを判断するようにしたことから、前記複数の機器が、ＤｏＳ攻撃やＤＤｏＳ攻撃を受けて該攻撃の踏み台となり、不正アクセスを行っているかを検出することができる。

また、本発明の攻撃検出装置によれば、前記攻撃検出装置において、不正アクセスを検出したとき、前記宛先ログ情報を送信した複数の機器に対するメンテナンス処理を指示する手段を備えるようにしたことから、複数の機器にメンテナンス処理を行う手段に、ＤｏＳ攻撃やＤＤｏＳ攻撃によって踏み台にされた機器に対してセキュリティパッチをあてるといったメンテナンス処理を行うように指示することができる。

また、本発明の攻撃検出装置によれば、前記攻撃検出装置において、不正アクセスを検出したときに、前記宛先ログ情報を送信した複数の機器、又は不正アクセスの攻撃先である宛先から前記複数の機器への経路上にあるルータに対する攻撃防御処理を指示する手段を備えるようにしたことから、機器やルータに攻撃防御処理を行う手段に、ＤｏＳ攻撃やＤＤｏＳ攻撃によって踏み台にされた機器又はそれに近いルータに対して異常パケットや異常メッセージの送信を制限するといった攻撃防御処理を行うように指示することができる。その結果、異常パケットや異常メッセージの送信によるネットワークのリソースの消費を攻撃元に近いところで早急に抑えることができる。

また、本発明の攻撃検出装置によれば、前記攻撃検出装置において、前記宛先ログ情報を前記機器の種別毎に集計し、不正アクセスの判断に用いる前記閾値を前記機器の種別毎に管理するようにしたことから、前記機器の用途や機能に応じて、前記機器の宛先に対する閾値を容易に設定することできる。

以下、本発明の実施の形態について、図面を参照しながら説明する。
（実施の形態１）
図１は、本発明の実施の形態１に係る攻撃検出装置を適用したネットワークのイメージ図である。図１に示すように、攻撃検出装置１０１は複数の登録機器を管理し、登録機器が攻撃者２０１からＤｏＳ攻撃やＤＤｏＳ攻撃を受けて、該攻撃の踏み台になっているかを検出する。そして、登録機器による不正アクセスを検出すると、登録機器にセキュリティパッチをあてるなどのメンテナンス処理を行うようメンテナンス処理手段１０２に指示する。さらに、登録機器、又は登録機器に近いルータに対して、異常パケットや異常メッセージの送出を制限するなどの攻撃防御処理を行うよう攻撃防御処理手段１０３に指示する。

図３に、本実施の形態１に係る攻撃検出装置１０１、及び攻撃検出装置１０１を含むネットワークシステムの構成例を示す。
図３に示すシステムは、攻撃検出装置１０１と、攻撃検出装置１０１が管理する登録機器１０４〜１０７と、メンテナンス処理手段１０２と、攻撃防御処理手段１０３とを有する。なお、図３において、登録機器１０４〜１０７は同一種類の機器であることとする。

攻撃検出装置１０１は、登録機器１０４〜１０７から、各機器が情報を送信した宛先を示す宛先ログ情報を収集して、集計するログ収集手段３０１と、宛先ログ情報を元に登録機器１０４〜１０７が被攻撃機器に不正アクセスしているかを判断する不正アクセス判断手段３０２と、不正アクセス判断手段３０２が不正アクセスを検出したときに、メンテナンス処理手段１０２にメンテナンス処理を指示するメンテナンス処理指示手段３０３と、不正アクセス判断手段３０２が不正アクセスを検出したときに、攻撃防御処理手段１０３に攻撃防御処理を指示する攻撃防御処理指示手段３０４とを備える。

メンテナンス処理手段１０２は、メンテナンス処理指示手段３０３からの指示に基づいて、予め登録されている同一種類の登録機器全てに対してメンテナンス処理を行う。図３では、登録機器１０４〜１０７が同一種類の機器であるので、登録機器１０４〜１０７にセキュリティパッチをあてるなどのメンテナンス処理を行う。

攻撃防御処理手段１０３は、攻撃防御処理指示手段３０４からの指示に基づいて、登録機器又は登録機器から被攻撃機器への経路上に存在するルータに対して攻撃防御処理を行う。例えば、図１に示すように、登録機器１０５が踏み台装置となった場合には、登録機器１０５に問い合わせを行うなどして、被攻撃機器２０７への経路上で、登録機器１０５に近いルータ２１０を特定し、ルータ２１０に対して攻撃防御処理を行う。さらに、ルータ２１０に攻撃防御処理が行えない場合には、ルータ２０９など、経路上の他のルータに対して攻撃防御処理を行うようにする。また、予め登録されている同一種類の登録機器（登録機器１０４，１０６，１０７）から被攻撃機器２０７への経路上のルータに対しても、同様の攻撃防御処理を行う。これにより、攻撃元に近いところで、踏み台装置から異常パケットや異常メッセージなどがネットワークへ送出されるのを制限して、ネットワークリソースの無駄な消費を回避できる。

登録機器１０４〜１０７は、情報を送信した宛先（例えば、他の機器や端末やサーバ）を示す宛先ログ情報を収集する宛先ログ収集手段３０５と、宛先ログ収集手段３０５が収集した宛先ログ情報を攻撃検出装置１０１のログ収集手段３０１に送信するログ送信手段３０６とを備える。

なお、登録機器１０４〜１０７は、宛先ログ収集手段３０５及びログ送信手段３０６を備えるようにしても、収集するログの種類は限定されており、また、重複するログ情報を１まとめにしたりできるので、宛先ログ情報を収集する処理の負荷や、宛先ログ情報を通信する負荷が大きくなることはない。

また、登録機器１０４〜１０７は、メンテナンス処理実行手段を備えるようにしても良い。メンテナンス処理実行手段は、メンテナンス処理手段１０２からの指示に基づいて、セキュリティパッチをあてるなどのメンテナンス処理を行い、さらに、セキュリティパッチの適用に伴いソフトウェアをバージョンアップして攻撃に対処する。

また、登録機器１０４〜１０７は、攻撃防御処理実行手段を備えるようにしても良い。攻撃防御処理実行手段は、攻撃防御処理手段１０３の指示に基づいて、ファイアウォールの設定を変更したり、異常パケットや異常メッセージの送出を制限したりする。また、このような攻撃防御処理実行手段を、図１に示す各ルータが備えるようにしても良い。

次に、攻撃検出装置１０１の動作について図４〜図８を用いて説明する。
図４は攻撃検出装置１０１が行う処理内容を示すフロー図である。図５、図６は、それぞれ登録機器１０４、登録機器１０５が送信する宛先ログ情報を示す図である。図５、図６に示す宛先ログ情報はそれぞれ、登録機器１０４、登録機器１０５が情報を送信した宛先ＩＰアドレスと各宛先に送信した情報の数を組にしたリストである。「ＡＡ．ＡＡ．ＡＡ．ＡＡ」、「ＢＢ．ＢＢ．ＢＢ．ＢＢ」、「ＸＸ．ＸＸ．ＸＸ．ＸＸ」、「ＹＹ．ＹＹ．ＹＹ．ＹＹ」、及び「ＺＺ．ＺＺ．ＺＺ．ＺＺ」はそれぞれ宛先ＩＰアドレスを示す文字列である。また、「数」とは、例えば、「送信パケット数」や「送信メッセージ数」や「セッション設定数」であり、どの数にするかは予め決めておく。図７は宛先ＩＰアドレスと宛先ログ情報の集計結果である宛先集計値とを組したリストである。図８は宛先ＩＰアドレスと攻撃検出装置１０１が管理している閾値とを組したリストである。

まず、ログ収集手段３０１は、一定時間おきに登録機器１０４〜１０７から宛先ログ情報を取得する（ステップＳ４０１）。
次に、ログ収集手段３０１は収集した宛先ログ情報を集計する（ステップＳ４０２）。図７に示すように、ログ収集手段３０１は同一の宛先ＩＰ毎に「数」を集計する。例えば、宛先ＩＰ「ＺＺ．ＺＺ．ＺＺ．ＺＺ」については、登録機器１０４が情報を送信した数「１」と登録機器１０５が情報を送信した数「１」とが加算され、宛先集計値は「２」となる。他の宛先ＩＰについても同様に集計される。

次に、不正アクセス判断手段３０２は、未参照の宛先集計値が存在するかどうかを判断し（ステップＳ４０３）、順次、宛先ＩＰ毎に宛先集計値と閾値との比較を行う（ステップＳ４０４）。不正アクセス判断手段３０２は、宛先集計値のうち、宛先ＩＰ「ＸＸ．ＸＸ．ＸＸ．ＸＸ」、「ＡＡ．ＡＡ．ＡＡ．ＡＡ」、及び「ＢＢ．ＢＢ．ＢＢ．ＢＢ」については閾値を超えていないため、正常と判断する（ステップＳ４０５）。また、宛先ＩＰ「ＹＹ．ＹＹ．ＹＹ．ＹＹ」については、閾値が設定されていないため、正常と判断する。一方、宛先ＩＰ「ＺＺ．ＺＺ．ＺＺ．ＺＺ」については、宛先集計値が「２」となっており、閾値「１」を超えているため、宛先ＩＰ「ＺＺ．ＺＺ．ＺＺ．ＺＺ」に対する不正アクセスが発生したと判断する（ステップＳ４０６）。

次に、不正アクセスが検出されると、メンテナンス処理指示手段３０３はメンテナンス処理手段１０２にメンテナンス処理を、攻撃防御処理指示手段３０４は攻撃防御処理手段１０３に攻撃防御処理を指示する。すなわち、攻撃検出装置１０１はメンテナンス処理手段１０２及び攻撃防御処理手段１０３に不正アクセス対処処理の指示をする（ステップＳ４０７）。

以上のようにして、宛先集計値と閾値とを順次比較し、全ての比較が終了すると、一連の攻撃検出動作は終了となる（ステップＳ４０８）。そして、次のログ取得タイミングで再び同様の動作が行われる。

なお、図５、６で、登録機器１０４〜１０７が送信する宛先ログ情報の例として、宛先ＩＰアドレスと各宛先へ送信される情報数とのリストを示したが、宛先ログ情報はこれに限るものではなく、送信先を示す情報であれば良い。例えば、宛先として、「宛先ＵＲＬ」や「メールアドレス」を示すものでも良い。

また、図５〜図８では、「数」が１種類として示されているが、閾値は１種類に限定されるものではない。例えば、「送信パケット数」や「送信メッセージ数」や「セッション設定数」といった数を組み合わせて閾値として定めることでも良い。

また、登録機器が送信する宛先ログ情報は図５、図６に示すリストに限るものではなく、宛先のみを示すリストでも良い。図９は宛先（宛先ＵＲＬ）のみを示す宛先ログ情報の一例を示す図である。図９に示す宛先ログ情報を受信した攻撃検出装置１０１は、１台の登録機器が送信した宛先の個数については検査せず、複数の登録機器から同一宛先に同時に情報が送信されているかどうかを検査することになる。宛先ログ情報が図９に示すリストの場合、ログ収集手段３０１は、図１０に示すように、「登録機器数」を集計することになる。この場合、１つの登録機器から同一宛先へ情報が複数送信されても、１とみなし、集計を行う。そして、不正アクセス判断手段３０２が集計値と比較する閾値は、図１１に示すように、宛先毎に設定された「登録機器数の閾値」となる。この場合、不正アクセス判断手段３０２は、「ｈｔｔｐ：／／ｗｗｗ．ｂｂｂｂ」の宛先ＵＲＬに情報を送信した登録機器の数が閾値を超えるので、「ｈｔｔｐ：／／ｗｗｗ．ｂｂｂｂ」に対する不正アクセスが発生したと判断する。

また、攻撃検出装置１０１で管理する閾値については、登録機器の種別毎に設定するようにしても良い。この場合、宛先ログ情報の集計処理は登録機器の種別毎に行われる。ここでいう「登録機器の種別」とは、例えば、「電話」や「ネットワークカメラ」や「ＰＣ」や「ＤＶＤレコーダ」などの機器の用途やその機能を特定する種別を意味する。登録機器の用途や機能が特定されれば、その送信先に対する閾値を容易に定めることが可能となる。例えば、２者間通信を行う機能のみを有する「電話」であれば、呼制御等の特別な処理を行うサーバ以外への通信先が複数の機器で重複することはない。このため、複数の機器から同一の宛先に情報が送信された場合には、不正アクセスと判断することができる。また、サーバへのアクセスについても、仕様上、送信される限度の数を超える場合には、不正アクセスと判断することとして、閾値を設定することもできる。

以上のように、本実施の形態１に係る攻撃検出装置によれば、管理している複数の登録機器（登録機器１０４〜１０７）から、各登録機器が情報を送信した宛先を示す宛先ログ情報を取得して、該宛先ログ情報に基づいて登録機器が不正アクセスを行っているかを判断するようにしたことから、登録機器が、ＤｏＳ攻撃やＤＤｏＳ攻撃を受けて、該攻撃の踏み台となっているかを検出することができる。

さらに、本実施の形態１に係る攻撃検出装置によれば、不正アクセスを検出したときに、メンテナンス処理手段１０２にメンテナンス処理を指示するメンテナンス処理指示手段３０３を備えたことから、ＤｏＳ攻撃やＤＤｏＳ攻撃を受けて攻撃元となった登録機器に対するメンテナンス処理の指示を行うことができる。

さらに、本実施の形態１に係る攻撃検出装置は、不正アクセスを検出したときに、攻撃防御処理手段１０３に攻撃防御処理を指示する攻撃防御処理指示手段３０４を備えたことから、ＤｏＳ攻撃やＤＤｏＳ攻撃を受けて攻撃元となった登録機器や該登録機器に近いルータに対する攻撃防御処理の指示を行うことができる。その結果、異常パケットや異常メッセージがネットワークリソースを消費するのを、攻撃元となった登録機器に近いところで抑えることができる。

（実施の形態２）
本発明の実施の形態２に係る攻撃検出装置は、不正アクセスを行っている登録機器を特定することを特徴とする。
本実施の形態２で、攻撃検出装置１０１は、まず、図４に示すステップＳ４０１〜ステップＳ４０６の処理を行う。そして、不正アクセス判断手段３０２が、不正アクセスの発生を検出したとき、不正アクセスをしている登録機器を特定する。図１２は、不正アクセス判断手段３０２が不正アクセスをしている登録機器を特定する処理内容を示すフロー図である。

まず、不正アクセス判断手段３０２は、宛先ログ情報を参照していない登録機器があるかを判断し（ステップＳ１２０１）、未参照の登録機器の宛先ログ情報を参照する（ステップＳ１２０２）。そして、閾値を超える数の情報が送信された宛先が宛先ログ情報に含まれるかを判断し（ステップＳ１２０３）、登録機器が不正アクセスをしているかを判定する（ステップＳ１２０４、ステップＳ１２０５）。不正アクセスをしている登録機器を検出すると、不正アクセス判断手段３０２は、メンテナンス処理指示手段３０３と攻撃防御処理指示手段３０４に、その登録機器の情報を通知する。その後、メンテナンス処理指示手段３０３は、メンテナンス処理手段１０２に対して、メンテナンス処理を指示すると共に、不正アクセスしている登録機器の情報を通知する。また、攻撃防御処理指示手段３０４は、攻撃防御処理手段１０３に対して、攻撃防御処理を指示すると共に、不正アクセスしている登録機器の情報を通知する。

例えば、登録機器１０４が図４に示す宛先ログ情報を、登録機器１０５が図５に示す宛先ログ情報を攻撃検出装置１０１に送信する場合、図７、８に示すように、宛先ＩＰ「ＺＺ．ＺＺ．ＺＺ．ＺＺ」の「数」が閾値を超えることから、不正アクセス判断手段３０２は、宛先ＩＰ「ＺＺ．ＺＺ．ＺＺ．ＺＺ」に不正アクセスが行われていると判断し、宛先ＩＰ「ＺＺ．ＺＺ．ＺＺ．ＺＺ」に情報を送信している登録機器１０４と登録機器１０５とが、不正アクセスをしている登録機器であることを特定する。

また、登録機器１０４〜１０７が図９に示すような宛先ＵＲＬのみを含む宛先ログ情報を攻撃検出装置１０１に送信する場合、図１０、図１１に示すように、宛先ＵＲＬ「ｈｔｔｐ：／／ｗｗｗｗ．ｂｂｂｂ」に情報を送信する登録機器の数が閾値を超えることから、この宛先ＵＲＬに情報を送信している登録機器が不正アクセスをしている登録機器であることを特定する。

以上のように、本実施の形態２に係る攻撃検出装置によれば、管理する登録機器が不正アクセスをしていることを検出したときに、宛先ログ情報から不正アクセスしている登録機器を特定して、該登録機器の情報をメンテナンス処理手段１０２と攻撃防御処理手段１０３とに通知するようにしたことから、メンテナンス処理手段１０２は、不正アクセスをしている登録機器のみにメンテナンス処理をしたり、不正アクセスをしている登録機器から順にメンテナンス処理をすることができる。また、攻撃防御処理手段１０３は、不正アクセスをしている登録機器や該登録機器から被攻撃機器への経路上にあるルータのみに攻撃防御処理をしたり、不正アクセスをしている登録機器や該登録機器から被攻撃機器への経路上にあるルータから順に攻撃防御処理をすることができる。

本発明は、ネットワーク上で、ネットワーク家電やＩＰ電話等の機器がＤｏＳ攻撃やＤＤｏＳ攻撃を受けたことを検出して、機器がＤｏＳ攻撃やＤＤｏＳ攻撃の踏み台装置となることを防ぐ、攻撃検出装置として有用である。

本発明の実施の形態１に係る攻撃検出装置を含むネットワークのイメージ図である。 ＤＤｏＳ攻撃が実行された状態のネットワークのイメージ図である。 本発明の実施の形態１に係る攻撃検出装置を有するネットワークシステムの構成例を示す図である。 本発明の実施の形態１に係る攻撃検出装置が行う処理内容を示すフロー図である。 本発明の実施の形態１に係る攻撃検出装置が登録機器から受信する宛先ログ情報の一例を示す図である。 本発明の実施の形態１に係る攻撃検出装置が登録機器から受信する宛先ログ情報の一例を示す図である。 本発明の実施の形態１に係る攻撃検出装置が、登録機器から受信した宛先ログ情報を集計した結果の一例を示す図である。 本発明の実施の形態１に係る攻撃検出装置が管理している閾値の一例を示す図である。 本発明の実施の形態１に係る攻撃検出装置が登録機器から受信する宛先ログ情報の一例を示す図である。 本発明の実施の形態１に係る攻撃検出装置が、登録機器から受信した宛先ログ情報を集計した結果の一例を示す図である。 本発明の実施の形態１に係る攻撃検出装置が管理している閾値の一例を示す図である。 本発明の実施の形態２に係る攻撃検出装置が行う処理内容を示すフロー図である。

符号の説明

１０１ 攻撃検出装置
１０２ メンテナンス処理手段
１０３ 攻撃防御処理手段
１０４〜１０７ 登録機器
２０１ 攻撃者
２０２ ネットワーク
２０３〜２０６ 踏み台装置
２０７ 被攻撃機器
２０８〜２１６ ルータ
３０１ ログ収集手段
３０２ 不正アクセス判断手段
３０３ メンテナンス処理指示手段
３０４ 攻撃防御処理指示手段
３０５ 宛先ログ収集手段
３０６ ログ送信手段

Claims (7)

1. 複数の機器の各々から送信される、前記各機器が情報を送信した宛先を示す宛先ログ情報を収集して、集計するログ収集手段と、
   前記ログ収集手段が集計した宛先ログ情報に基づいて、前記複数の機器から同一の宛先に送信される情報の数が所定の閾値を超えていることを検出したとき、該宛先に対する不正アクセスが発生したと判断する不正アクセス判断手段と、
   を備えることを特徴とした攻撃検出装置。
2. 請求項１に記載の攻撃検出装置において、
   前記不正アクセス判断手段は、
   前記複数の機器のうち、不正アクセスされていると判断した宛先に情報を送信している機器を、該宛先を示す前記宛先ログ情報から特定することを特徴とした攻撃検出装置。
3. 請求項１または２に記載の攻撃検出装置において、
   前記不正アクセス判断手段によって不正アクセスが行われていることが検出されたとき、前記宛先ログ情報を送信した複数の機器に対するメンテナンス処理を指示するメンテナンス処理指示手段を備える、
   ことを特徴とした攻撃検出装置。
4. 請求項１から３のいずれかに記載の攻撃検出装置において、
   前記不正アクセス判断手段によって不正アクセスが行われていることが検出されたとき、前記宛先ログ情報を送信した複数の機器、又は前記不正アクセスされている宛先から前記複数の機器への経路上にあるルータ、に対する攻撃防御処理を指示する攻撃防御処理指示手段を備える、
   ことを特徴とした攻撃検出装置。
5. 請求項１記載の攻撃検出装置において、
   前記ログ収集手段は、前記宛先ログ情報を前記機器の種別毎に集計し、
   前記閾値は、前記機器の種別毎に設定されている、
   ことを特徴とした攻撃検出装置。
6. 情報を送信した宛先を示す宛先ログ情報を収集する宛先ログ収集手段と、前記宛先ログ収集手段が収集した宛先ログ情報を送信するログ送信手段とを各々有する複数の機器と、
   前記複数の機器の各々の前記ログ送信手段から送信される前記宛先ログ情報を収集して、集計するログ収集手段と、前記ログ収集手段が集計した宛先ログ情報に基づいて、前記複数の機器から同一の宛先に送信される情報の数が所定の閾値を超えていることを検出したとき、該宛先に対する不正アクセスが発生したと判断する不正アクセス判断手段とを有する攻撃検出装置と、
   を備えることを特徴とした攻撃検出システム。
7. 複数の機器の各々から送信される、前記各機器が情報を送信した宛先を示す宛先ログ情報を収集するステップと、
   前記収集した宛先ログ情報を集計するステップと、
   前記集計した宛先ログ情報に基づいて、前記複数の機器から同一の宛先に送信される情報の数が所定の閾値を超えていることを検出したとき、該宛先に対する不正アクセスが発生したと判断するステップと、
   を含むことを特徴とした攻撃検出方法。

Images