アプリケーショントレースバックにおけるデータ収集装置及び方法並びにそのプログラム
【課題】ネットワークを流れるトラフィックの中から特定のアプリケーションを選別し、アプリケーショントレースバックに必要な情報を抽出するアプリケーショントレースバックにおけるデータ収集装置を提供する。
【解決手段】パケットキャプチャハードウェア１及びパケットキャプチャドライバ２は、ネットワークから受信したパケットをキャプチャする。アプリケーション選別機能３は、取得したパケットからデータを再構成し、プロトコルの判定を行う。アプリケーション個別処理・秘匿化機能４は、各プロトコルに応じてアプリケーショントレースバックに必要な情報を抽出し、個人情報を秘匿化する。フォーマット共通化機能５は、プロトコルごとの処理データを統一したフォーマットに整形する。アプリケーショントレースバック検知機能６は、フォーマット共通化機能５およびログ７のデータから発信元をトレースバックする。
【解決手段】パケットキャプチャハードウェア１及びパケットキャプチャドライバ２は、ネットワークから受信したパケットをキャプチャする。アプリケーション選別機能３は、取得したパケットからデータを再構成し、プロトコルの判定を行う。アプリケーション個別処理・秘匿化機能４は、各プロトコルに応じてアプリケーショントレースバックに必要な情報を抽出し、個人情報を秘匿化する。フォーマット共通化機能５は、プロトコルごとの処理データを統一したフォーマットに整形する。アプリケーショントレースバック検知機能６は、フォーマット共通化機能５およびログ７のデータから発信元をトレースバックする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上のサイバー攻撃の発信源を探索するアプリケーショントレースバックにおけるデータ収集装置に関する。
【背景技術】
【０００２】
近年、インターネットの急速な拡大と重要性が向上していることに伴い、インターネットに対する攻撃・脅威により引き起こされ得るインシデントの大きさについても年々増大の一途を辿っており、大規模インシデントに対する早期警戒態勢の整備が急務となっている。
【０００３】
一般に、企業内におけるコンピュータシステムは、ＬＡＮ(Local Area Network)又はＷＡＮ(Wide Area Network)等のコンピュータネットワーク網を介して複数のクライアントコンピュータとクライアントコンピュータを管理するサーバコンピュータとをネットワーク接続し、各クライアントコンピュータ間でのデータの転送及び共有などが行われている。
【０００４】
このように構成されたコンピュータシステムは、例えば外部からのメールにコンピュータウィルスが添付され、そのメールを受信したクライアントコンピュータがまずウィルスに感染し、次いで当該ウィルスの他への感染プログラムによってＬＡＮ等を介して他の多数のクライアントコンピュータに増殖することがある。
【０００５】
従来技術によるコンピュータシステムは、コンピュータウィルス対策として、例えば複数のクライアントコンピュータ及びサーバコンピュータにウィルス対策ソフトをインストールし、ウィルス感染を検知したクライアントコンピュータがサーバコンピュータに当該感染を報告するものや、新たに不正侵入検知コンピュータをＬＡＮ上に用意し、この不正侵入検知コンピュータが検知対象の不正パターンとしてウィルス情報を登録しておき、ＬＡＮ上を伝送するデータを監視してウィルスを検知し、サーバコンピュータに報告することが行われている。
【０００６】
また、不正アクセス、ＤｏＳ攻撃、ウィルス発信などのサイバー攻撃は、攻撃パケットのソースアドレスを詐称していることが多いため、攻撃の発信源を把握することは困難である。このためパケットのソースアドレスが詐称されているサイバー攻撃であっても、その発信源を把握し得るトレースバック技術が求められ、十数年に渡り研究が進められてきた。
【０００７】
これらは、ＩＰアドレスレベルでのトレースバック技術により追跡を行っているが、その仕組みからスパイウェア／ボットネット／ウィルス／ワーム等などのアプリケーションに依存したトレースバックを実現するのは、困難であった。
【０００８】
例えば、ホストベースやネットワークベースのアンチウイルス製品が普及してきており、多くの既知の攻撃に対して対応する仕組みになっているが、それらはウィルスの検知を目的としており、ウィルス発信元を特定することはできない。
【０００９】
また、ＩＰネットワークにおけるＤｏＳ攻撃判定の精度を高めることで、経路検出時間の短縮を図り、更にはＩＰトレースバック逆探知パケットの送信数を軽減するネットワーク管理装置があるが（例えば、特許文献１参照）、アプリケーションに依存したウィルス発信元の特定までは行っていない。
【００１０】
あるいは、クライアントコンピュータに専用のソフトウェアを導入することによってＬＡＮシステム内におけるウィルス感染源を検知するウィルス感染元検知システムがあるが、（例えば、特許文献２参照）、ソフトウェアを導入していないクライアントコンピュータへのウィルス感染を検出することはできない。
【００１１】
従来のアプリケーションに依存した処理を行うシステムにおいては、ネットワークを流れるトラフィックの中から特定のアプリケーションを選別し、さらに目的のセッションを識別した上で、当該パケットの内容の解析を行うことで必要な処理を行っていた。これらの例として、ファイアウオールのアプリケーションゲートウェイやネットワーク型のウィルス検知システムが挙げられる。
【特許文献１】特開２００５−１３０１２１号公報
【特許文献２】特開２００４−０８６２４１号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
しかしながら、これらの既存システムは、アプリケーショントレースバックを行う上で必要となる特定アプリケーションを選別する機能、および、アプリケーショントレースバックに必要な情報を抽出する機能を十分に考慮されたものではなかった。そのため、アプリケーショントレースバックを実現するためのデータ収集装置として利用できなかった。
【００１３】
また、これらの既存システムでは、ユーザのプライバシ保護を実現する匿名化機能がないため、通信におけるプライバシ保護を実現することができなかった。
【００１４】
そこで本発明は、ネットワークを流れるトラフィックの中から特定のアプリケーションを選別し、アプリケーショントレースバックに必要な情報を抽出し、さらに、これらの内容に含まれるユーザのプライバシ情報を匿名化するアプリケーショントレースバックにおけるデータ収集装置及び方法並びにそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１５】
上述の課題を解決するための、本発明の解決手段を、図１を参照して説明する。パケットキャプチャハードウェア１は、ＬＡＮなどのネットワークから受信したパケットをキャプチャするハードウェアである。パケットキャプチャドライバ２は、パケットキャプチャハードウェア１がキャプチャしたデータを取得するソフトウェアである。アプリケーション選別機能３は、パケットキャプチャドライバ２が取得したパケットからデータを再構成し、プロトコルの判定を行う。アプリケーション個別処理・秘匿化機能４は、各プロトコルに応じた処理を行うため、入力をチェックし、各プロトコルに応じてアプリケーショントレースバックに必要な情報を抽出する。さらに、個人を特定できる個人情報については、秘匿化を行う。フォーマット共通化機能５は、プロトコルごとの処理データを統一したフォーマットに整形する。アプリケーショントレースバック検知機能６は、フォーマット共通化機能５およびログ７のデータから発信元をトレースバックする機能を実現する。ログ７は、ファイアウオール、侵入検知システム（ＩＤＳ：Intrusion Detection System）、Ｗｅｂサーバ、メールサーバなどのネットワーク上の通信記録を格納する記録媒体である。
【００１６】
以上の構成によって、アプリケーショントレースバックを検知するために必要な情報を取得することが可能となり、かつ、トレースバックに用いる情報に対してユーザを特定できるといったプライバシ問題を回避することが可能となる。
【発明の効果】
【００１７】
本発明による第一の効果は、アプリケーショントレースバックを検知するために必要な情報を取得することが可能となる点である。これは、ネットワークを流れるトラフィックの中から特定のアプリケーションを選別する機能、目的のセッションを識別した上で当該パケットの内容の解析を行うためである。
【００１８】
第二の効果は、トレースバックに用いる情報に対してユーザを特定できるといったプライバシ問題を回避することが可能となる点である。これは、トレースバックに用いる情報に対してユーザを特定できるといったプライバシ問題を回避する匿名化機能を持たせているためである。
【発明を実施するための最良の形態】
【００１９】
次に、本発明の最良の形態について図面を参照して説明する。
【実施例１】
【００２０】
図２は、本発明の構成例を示す図である。本発明のアプリケーショントレースバックにおけるデータ収集装置は、プログラム制御による情報処理装置であり、パケットキャプチャハードウェア１０、パケットキャプチャドライバ２０、共通ルール３５、メモリ３６、アプリケーション選別機能３０、個別ルール４７、メモリ４８、ＳＭＴＰ(Simple Mail Transfer Protocol)処理４０、プロトコルＡ処理４０Ａ、プロトコルＢ処理４０Ｂ、共通化フォーマット出力５０、ログ７０、アプリケーショントレースバック検知機能６０から構成される。
【００２１】
アプリケーション選別機能３０は、メモリ３１、パケット／ストリーム収集３２、パケット／ストリーム再構築３３、プロトコル判定３４を含む。
【００２２】
ＳＭＴＰ処理４０は、ＳＭＴＰデータチェック４１、ＳＭＴＰ個別処理４２、添付ファイルデコード４３、ハッシュ計算４４、プライバシ秘匿化４５、ＳＭＴＰ情報集約４６を含む。
【００２３】
これらはそれぞれ概略つぎのように動作する。パケットキャプチャハードウェア１０は、ネットワークからのパケットをキャプチャする。パケットキャプチャドライバ２０は、パケットキャプチャハードウェア１０の制御を行い、ハードウェアがキャプチャしたパケットを取得する。共通ルール３５は、本発明のシステム全体で利用する設定情報である。例えば、ネットワーク上を流れるパケットについてどのような情報を取得して、ログとして記録するか等である。メモリ３６は、共通ルール３５から読み出した情報で動作させるための情報を格納する。
【００２４】
アプリケーション選別機能３０は、パケットキャプチャドライバ２０から受信したパケットやストリームの情報を判別し、アプリケーションに応じて、個別処理を行うためのＳＭＴＰ処理４０、プロトコルＡ処理４０Ａ、プロトコルＢ処理４０Ｂなどにデータを受け渡すものである。なお、対応するプロトコルがなければ、データは破棄される。パケット／ストリーム収集３２は、パケットキャプチャドライバ２０からデータを収集する機能である。対応しているプロトコルでなければ、データは破棄される。キャプチャしたデータは、メモリ３１に保存される。パケット／ストリーム再構築３３は、パケット／ストリーム収集３２からのデータを受信し、かつ、メモリ３１からデータを読み出すことで、１つのストリームとして再構成し、メモリ３１に格納する。プロトコル判定３４は、メモリ３１からデータを読み出し、個別処理を行うためのプロトコル判定を実施し、次に渡すプロトコル個別処理を決定する。
【００２５】
ＳＭＴＰ処理４０、プロトコルＡ処理４０Ａ、プロトコルＢ処理４０Ｂは、それぞれ対応するプロトコル単位で処理を行う。個別ルール４７は、プロトコルごとに動作を制御するための情報がハードディスクなどの記録媒体に記録されている。メモリ４８は、個別ルール４７から読み出した情報で動作させるための情報を格納する。
【００２６】
ＳＭＴＰ処理４０は、ＳＭＴＰプロトコルに応じた処理を実施する機能ブロックである。ＳＭＴＰデータチェック４１は、受け取ったデータがＳＭＴＰプロトコルデータであるか否かを確認する。ＳＭＴＰ個別処理４２は、ＳＭＴＰプロトコルデータにおいて、アプリケーショントレースバックに必要な情報を取り出す機能である。添付ファイルデコード４３は、ＳＭＴＰプロトコルデータから取り出した添付ファイルに関する情報をデコードする機能である。ハッシュ計算４４は、添付ファイルデコード４３で取り出したファイルの内容に関し、ハッシュ値を計算するものである。プライバシ秘匿化４５は、電子メールに含まれる個人情報などの秘匿化を行う。ＳＭＴＰ情報集約４６は、ＳＭＴＰ個別処理４２で取り出したアプリケーショントレースバックで攻撃者を特定するために用いられる情報を集約する。
【００２７】
共通化フォーマット出力５０は、各プロトコルの個別処理で生成した情報を共通化されたフォーマットで出力する。
【００２８】
ログ７０は、本データ収集装置で収集したデータ以外に、メールサーバのログなどネットワーク上の通信記録が格納されている。
【００２９】
アプリケーショントレースバック検知機能６０は、共通化フォーマット出力５０から渡された各プロトコルで処理したデータとログ７０との相関に基づき、攻撃元を特定するアプリケーショントレースバックを行うものである。
【００３０】
次に、図３を参照して、本発明の処理の流れを、ＳＭＴＰプロトコルでのアプリケーショントレースバックを例に説明する。
【００３１】
まず、ネットワークを流れるパケットをパケットキャプチャハードウェア１０にてキャプチャし、パケットキャプチャドライバ２０で受信する（Ｓ１）。受信できなかった場合は、受信待ちの状態となる。次に、パケット／ストリーム収集３２において、パケットキャプチャドライバ２０からデータを収集し、メモリ３１にその状態を保存する（Ｓ２）。パケット／ストリーム再構築３３において、メモリ３１に格納されたデータが１つの完全なデータとして完了しているか否かを確認する。完了していない場合、パケット／ストリーム受信に戻り、完了している場合、次のステップへ進む（Ｓ３）。メモリ３１に格納されたデータのプロトコル情報を確認し、対応可能プロトコルか否かを確認する。対応可能プロトコルでない場合、メモリ３１のデータを破棄し、完了する。対応可能プロトコルである場合、その該当プロトコル（ＳＭＴＰ）の処理に移る（Ｓ４）。
【００３２】
ＳＭＴＰデータチェック４１において、受信したデータのチェックを行い（Ｓ５）、ＳＭＴＰプロトコル独自の個別処理を行う（Ｓ６）。例えば、電子メールとして、図４に示すようなデータとなっていた場合に、アプリケーショントレースバック検知機能６０が、「送信先ユーザ名」、「メッセージＩＤ」、「攻撃者が偽装したメールアドレス」、「年月日時分秒」、「添付ファイル名」を必要としている場合、ＳＭＴＰ個別処理４２は、図５に下線で示す項目を取り出し、添付ファイル名の内容について、添付ファイルデコード４３がファイルのデコードを行う。なお、エンコード方式には、ＢＡＳＥ６４などいくつかの方式があるが、添付ファイルデコード４３で対応した方式であればデコードを行う。また、圧縮されている場合には、その圧縮を展開する処理を含んでも良い。デコード後のデータにハッシュ計算４４でハッシュ値の計算を行う。ハッシュ値のアルゴリズムとしてしては、ＭＤ５やＳＨＡ−１などがあるが、いずれの方式でも良い。このとき、デコードできない方式であった場合には、デコードせず、添付ファイルのハッシュ値の計算を行う。これにより、情報として、図６に示すように共通フォーマット化する。
【００３３】
次に、秘匿化において、例えば、宛先のみを秘匿化する場合には、宛先のハッシュ値を計算する（Ｓ７）。この結果が、図７に示すようになるように、ＳＭＴＰ情報集約４６は、アプリケーショントレースバック検知機能６０に渡すデータ形式を共通化したフォーマットに変換し（Ｓ８）、その結果を共通化フォーマット出力５０を介してアプリケーショントレースバック検知機能６０に出力する（Ｓ９）。例えば、ｓｙｓｌｏｇなどのインタフェースとして出力する。
【実施例２】
【００３４】
第２の実施例として、対応するプロトコルがＨＴＴＰ(Hyper Text Transfer Protocol)の場合がある。この場合には、第１の実施例のＳＭＴＰが、ＨＴＴＰに対応した形態となる。プロトコル依存となるため、取得できる情報は異なるが、ファイルのダウンロード時に「ファイル名」「ファイルサイズ」「ファイルのハッシュ値」を取得することは同一である。
【産業上の利用可能性】
【００３５】
インターネットの急速な拡大と重要性の向上は、改めていうまでもないところである。また、インターネットに対する攻撃・脅威により引き起こされうるインシデントの大きさについても年々増大の一途を辿っており、大規模インシデントに対する早期警戒態勢の整備が急務となっている。ウィルス発信等のサイバー攻撃は、攻撃パケットのソースアドレスを詐称しているなどにより、攻撃の発信源を把握することは困難となっている。
【００３６】
このようなパケットのソースアドレスが詐称されているサイバー攻撃であっても、本発明によって、その発信源を把握することができるので、当該ソースアドレス（またはＩＳＰ）からの攻撃であることを検知でき、インシデントに対する警戒が可能となる。一例として、攻撃発信元のＩＳＰをネットワークから隔離するなどの対策も可能となる。
【図面の簡単な説明】
【００３７】
【図１】本発明の解決手段を示す図である。
【図２】本発明の構成例を示す図である。
【図３】本発明の処理の流れを示すフローチャートである。
【図４】受信した電子メールの例を示す図である。
【図５】受信した電子メールから取り出す項目例を示す図である。
【図６】電子メールから取り出した情報を共通フォーマット化した例を示す図である。
【図７】電子メールから取り出した情報の一部を秘匿化した例を示す図である。
【符号の説明】
【００３８】
１ パケットキャプチャハードウェア
２ パケットキャプチャドライバ
３ アプリケーション選別機能
４ アプリケーション個別処理・秘匿化機能
５ フォーマット共通化機能
６ アプリケーショントレースバック検知機能
７ ログ
【技術分野】
【０００１】
本発明は、ネットワーク上のサイバー攻撃の発信源を探索するアプリケーショントレースバックにおけるデータ収集装置に関する。
【背景技術】
【０００２】
近年、インターネットの急速な拡大と重要性が向上していることに伴い、インターネットに対する攻撃・脅威により引き起こされ得るインシデントの大きさについても年々増大の一途を辿っており、大規模インシデントに対する早期警戒態勢の整備が急務となっている。
【０００３】
一般に、企業内におけるコンピュータシステムは、ＬＡＮ(Local Area Network)又はＷＡＮ(Wide Area Network)等のコンピュータネットワーク網を介して複数のクライアントコンピュータとクライアントコンピュータを管理するサーバコンピュータとをネットワーク接続し、各クライアントコンピュータ間でのデータの転送及び共有などが行われている。
【０００４】
このように構成されたコンピュータシステムは、例えば外部からのメールにコンピュータウィルスが添付され、そのメールを受信したクライアントコンピュータがまずウィルスに感染し、次いで当該ウィルスの他への感染プログラムによってＬＡＮ等を介して他の多数のクライアントコンピュータに増殖することがある。
【０００５】
従来技術によるコンピュータシステムは、コンピュータウィルス対策として、例えば複数のクライアントコンピュータ及びサーバコンピュータにウィルス対策ソフトをインストールし、ウィルス感染を検知したクライアントコンピュータがサーバコンピュータに当該感染を報告するものや、新たに不正侵入検知コンピュータをＬＡＮ上に用意し、この不正侵入検知コンピュータが検知対象の不正パターンとしてウィルス情報を登録しておき、ＬＡＮ上を伝送するデータを監視してウィルスを検知し、サーバコンピュータに報告することが行われている。
【０００６】
また、不正アクセス、ＤｏＳ攻撃、ウィルス発信などのサイバー攻撃は、攻撃パケットのソースアドレスを詐称していることが多いため、攻撃の発信源を把握することは困難である。このためパケットのソースアドレスが詐称されているサイバー攻撃であっても、その発信源を把握し得るトレースバック技術が求められ、十数年に渡り研究が進められてきた。
【０００７】
これらは、ＩＰアドレスレベルでのトレースバック技術により追跡を行っているが、その仕組みからスパイウェア／ボットネット／ウィルス／ワーム等などのアプリケーションに依存したトレースバックを実現するのは、困難であった。
【０００８】
例えば、ホストベースやネットワークベースのアンチウイルス製品が普及してきており、多くの既知の攻撃に対して対応する仕組みになっているが、それらはウィルスの検知を目的としており、ウィルス発信元を特定することはできない。
【０００９】
また、ＩＰネットワークにおけるＤｏＳ攻撃判定の精度を高めることで、経路検出時間の短縮を図り、更にはＩＰトレースバック逆探知パケットの送信数を軽減するネットワーク管理装置があるが（例えば、特許文献１参照）、アプリケーションに依存したウィルス発信元の特定までは行っていない。
【００１０】
あるいは、クライアントコンピュータに専用のソフトウェアを導入することによってＬＡＮシステム内におけるウィルス感染源を検知するウィルス感染元検知システムがあるが、（例えば、特許文献２参照）、ソフトウェアを導入していないクライアントコンピュータへのウィルス感染を検出することはできない。
【００１１】
従来のアプリケーションに依存した処理を行うシステムにおいては、ネットワークを流れるトラフィックの中から特定のアプリケーションを選別し、さらに目的のセッションを識別した上で、当該パケットの内容の解析を行うことで必要な処理を行っていた。これらの例として、ファイアウオールのアプリケーションゲートウェイやネットワーク型のウィルス検知システムが挙げられる。
【特許文献１】特開２００５−１３０１２１号公報
【特許文献２】特開２００４−０８６２４１号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
しかしながら、これらの既存システムは、アプリケーショントレースバックを行う上で必要となる特定アプリケーションを選別する機能、および、アプリケーショントレースバックに必要な情報を抽出する機能を十分に考慮されたものではなかった。そのため、アプリケーショントレースバックを実現するためのデータ収集装置として利用できなかった。
【００１３】
また、これらの既存システムでは、ユーザのプライバシ保護を実現する匿名化機能がないため、通信におけるプライバシ保護を実現することができなかった。
【００１４】
そこで本発明は、ネットワークを流れるトラフィックの中から特定のアプリケーションを選別し、アプリケーショントレースバックに必要な情報を抽出し、さらに、これらの内容に含まれるユーザのプライバシ情報を匿名化するアプリケーショントレースバックにおけるデータ収集装置及び方法並びにそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１５】
上述の課題を解決するための、本発明の解決手段を、図１を参照して説明する。パケットキャプチャハードウェア１は、ＬＡＮなどのネットワークから受信したパケットをキャプチャするハードウェアである。パケットキャプチャドライバ２は、パケットキャプチャハードウェア１がキャプチャしたデータを取得するソフトウェアである。アプリケーション選別機能３は、パケットキャプチャドライバ２が取得したパケットからデータを再構成し、プロトコルの判定を行う。アプリケーション個別処理・秘匿化機能４は、各プロトコルに応じた処理を行うため、入力をチェックし、各プロトコルに応じてアプリケーショントレースバックに必要な情報を抽出する。さらに、個人を特定できる個人情報については、秘匿化を行う。フォーマット共通化機能５は、プロトコルごとの処理データを統一したフォーマットに整形する。アプリケーショントレースバック検知機能６は、フォーマット共通化機能５およびログ７のデータから発信元をトレースバックする機能を実現する。ログ７は、ファイアウオール、侵入検知システム（ＩＤＳ：Intrusion Detection System）、Ｗｅｂサーバ、メールサーバなどのネットワーク上の通信記録を格納する記録媒体である。
【００１６】
以上の構成によって、アプリケーショントレースバックを検知するために必要な情報を取得することが可能となり、かつ、トレースバックに用いる情報に対してユーザを特定できるといったプライバシ問題を回避することが可能となる。
【発明の効果】
【００１７】
本発明による第一の効果は、アプリケーショントレースバックを検知するために必要な情報を取得することが可能となる点である。これは、ネットワークを流れるトラフィックの中から特定のアプリケーションを選別する機能、目的のセッションを識別した上で当該パケットの内容の解析を行うためである。
【００１８】
第二の効果は、トレースバックに用いる情報に対してユーザを特定できるといったプライバシ問題を回避することが可能となる点である。これは、トレースバックに用いる情報に対してユーザを特定できるといったプライバシ問題を回避する匿名化機能を持たせているためである。
【発明を実施するための最良の形態】
【００１９】
次に、本発明の最良の形態について図面を参照して説明する。
【実施例１】
【００２０】
図２は、本発明の構成例を示す図である。本発明のアプリケーショントレースバックにおけるデータ収集装置は、プログラム制御による情報処理装置であり、パケットキャプチャハードウェア１０、パケットキャプチャドライバ２０、共通ルール３５、メモリ３６、アプリケーション選別機能３０、個別ルール４７、メモリ４８、ＳＭＴＰ(Simple Mail Transfer Protocol)処理４０、プロトコルＡ処理４０Ａ、プロトコルＢ処理４０Ｂ、共通化フォーマット出力５０、ログ７０、アプリケーショントレースバック検知機能６０から構成される。
【００２１】
アプリケーション選別機能３０は、メモリ３１、パケット／ストリーム収集３２、パケット／ストリーム再構築３３、プロトコル判定３４を含む。
【００２２】
ＳＭＴＰ処理４０は、ＳＭＴＰデータチェック４１、ＳＭＴＰ個別処理４２、添付ファイルデコード４３、ハッシュ計算４４、プライバシ秘匿化４５、ＳＭＴＰ情報集約４６を含む。
【００２３】
これらはそれぞれ概略つぎのように動作する。パケットキャプチャハードウェア１０は、ネットワークからのパケットをキャプチャする。パケットキャプチャドライバ２０は、パケットキャプチャハードウェア１０の制御を行い、ハードウェアがキャプチャしたパケットを取得する。共通ルール３５は、本発明のシステム全体で利用する設定情報である。例えば、ネットワーク上を流れるパケットについてどのような情報を取得して、ログとして記録するか等である。メモリ３６は、共通ルール３５から読み出した情報で動作させるための情報を格納する。
【００２４】
アプリケーション選別機能３０は、パケットキャプチャドライバ２０から受信したパケットやストリームの情報を判別し、アプリケーションに応じて、個別処理を行うためのＳＭＴＰ処理４０、プロトコルＡ処理４０Ａ、プロトコルＢ処理４０Ｂなどにデータを受け渡すものである。なお、対応するプロトコルがなければ、データは破棄される。パケット／ストリーム収集３２は、パケットキャプチャドライバ２０からデータを収集する機能である。対応しているプロトコルでなければ、データは破棄される。キャプチャしたデータは、メモリ３１に保存される。パケット／ストリーム再構築３３は、パケット／ストリーム収集３２からのデータを受信し、かつ、メモリ３１からデータを読み出すことで、１つのストリームとして再構成し、メモリ３１に格納する。プロトコル判定３４は、メモリ３１からデータを読み出し、個別処理を行うためのプロトコル判定を実施し、次に渡すプロトコル個別処理を決定する。
【００２５】
ＳＭＴＰ処理４０、プロトコルＡ処理４０Ａ、プロトコルＢ処理４０Ｂは、それぞれ対応するプロトコル単位で処理を行う。個別ルール４７は、プロトコルごとに動作を制御するための情報がハードディスクなどの記録媒体に記録されている。メモリ４８は、個別ルール４７から読み出した情報で動作させるための情報を格納する。
【００２６】
ＳＭＴＰ処理４０は、ＳＭＴＰプロトコルに応じた処理を実施する機能ブロックである。ＳＭＴＰデータチェック４１は、受け取ったデータがＳＭＴＰプロトコルデータであるか否かを確認する。ＳＭＴＰ個別処理４２は、ＳＭＴＰプロトコルデータにおいて、アプリケーショントレースバックに必要な情報を取り出す機能である。添付ファイルデコード４３は、ＳＭＴＰプロトコルデータから取り出した添付ファイルに関する情報をデコードする機能である。ハッシュ計算４４は、添付ファイルデコード４３で取り出したファイルの内容に関し、ハッシュ値を計算するものである。プライバシ秘匿化４５は、電子メールに含まれる個人情報などの秘匿化を行う。ＳＭＴＰ情報集約４６は、ＳＭＴＰ個別処理４２で取り出したアプリケーショントレースバックで攻撃者を特定するために用いられる情報を集約する。
【００２７】
共通化フォーマット出力５０は、各プロトコルの個別処理で生成した情報を共通化されたフォーマットで出力する。
【００２８】
ログ７０は、本データ収集装置で収集したデータ以外に、メールサーバのログなどネットワーク上の通信記録が格納されている。
【００２９】
アプリケーショントレースバック検知機能６０は、共通化フォーマット出力５０から渡された各プロトコルで処理したデータとログ７０との相関に基づき、攻撃元を特定するアプリケーショントレースバックを行うものである。
【００３０】
次に、図３を参照して、本発明の処理の流れを、ＳＭＴＰプロトコルでのアプリケーショントレースバックを例に説明する。
【００３１】
まず、ネットワークを流れるパケットをパケットキャプチャハードウェア１０にてキャプチャし、パケットキャプチャドライバ２０で受信する（Ｓ１）。受信できなかった場合は、受信待ちの状態となる。次に、パケット／ストリーム収集３２において、パケットキャプチャドライバ２０からデータを収集し、メモリ３１にその状態を保存する（Ｓ２）。パケット／ストリーム再構築３３において、メモリ３１に格納されたデータが１つの完全なデータとして完了しているか否かを確認する。完了していない場合、パケット／ストリーム受信に戻り、完了している場合、次のステップへ進む（Ｓ３）。メモリ３１に格納されたデータのプロトコル情報を確認し、対応可能プロトコルか否かを確認する。対応可能プロトコルでない場合、メモリ３１のデータを破棄し、完了する。対応可能プロトコルである場合、その該当プロトコル（ＳＭＴＰ）の処理に移る（Ｓ４）。
【００３２】
ＳＭＴＰデータチェック４１において、受信したデータのチェックを行い（Ｓ５）、ＳＭＴＰプロトコル独自の個別処理を行う（Ｓ６）。例えば、電子メールとして、図４に示すようなデータとなっていた場合に、アプリケーショントレースバック検知機能６０が、「送信先ユーザ名」、「メッセージＩＤ」、「攻撃者が偽装したメールアドレス」、「年月日時分秒」、「添付ファイル名」を必要としている場合、ＳＭＴＰ個別処理４２は、図５に下線で示す項目を取り出し、添付ファイル名の内容について、添付ファイルデコード４３がファイルのデコードを行う。なお、エンコード方式には、ＢＡＳＥ６４などいくつかの方式があるが、添付ファイルデコード４３で対応した方式であればデコードを行う。また、圧縮されている場合には、その圧縮を展開する処理を含んでも良い。デコード後のデータにハッシュ計算４４でハッシュ値の計算を行う。ハッシュ値のアルゴリズムとしてしては、ＭＤ５やＳＨＡ−１などがあるが、いずれの方式でも良い。このとき、デコードできない方式であった場合には、デコードせず、添付ファイルのハッシュ値の計算を行う。これにより、情報として、図６に示すように共通フォーマット化する。
【００３３】
次に、秘匿化において、例えば、宛先のみを秘匿化する場合には、宛先のハッシュ値を計算する（Ｓ７）。この結果が、図７に示すようになるように、ＳＭＴＰ情報集約４６は、アプリケーショントレースバック検知機能６０に渡すデータ形式を共通化したフォーマットに変換し（Ｓ８）、その結果を共通化フォーマット出力５０を介してアプリケーショントレースバック検知機能６０に出力する（Ｓ９）。例えば、ｓｙｓｌｏｇなどのインタフェースとして出力する。
【実施例２】
【００３４】
第２の実施例として、対応するプロトコルがＨＴＴＰ(Hyper Text Transfer Protocol)の場合がある。この場合には、第１の実施例のＳＭＴＰが、ＨＴＴＰに対応した形態となる。プロトコル依存となるため、取得できる情報は異なるが、ファイルのダウンロード時に「ファイル名」「ファイルサイズ」「ファイルのハッシュ値」を取得することは同一である。
【産業上の利用可能性】
【００３５】
インターネットの急速な拡大と重要性の向上は、改めていうまでもないところである。また、インターネットに対する攻撃・脅威により引き起こされうるインシデントの大きさについても年々増大の一途を辿っており、大規模インシデントに対する早期警戒態勢の整備が急務となっている。ウィルス発信等のサイバー攻撃は、攻撃パケットのソースアドレスを詐称しているなどにより、攻撃の発信源を把握することは困難となっている。
【００３６】
このようなパケットのソースアドレスが詐称されているサイバー攻撃であっても、本発明によって、その発信源を把握することができるので、当該ソースアドレス（またはＩＳＰ）からの攻撃であることを検知でき、インシデントに対する警戒が可能となる。一例として、攻撃発信元のＩＳＰをネットワークから隔離するなどの対策も可能となる。
【図面の簡単な説明】
【００３７】
【図１】本発明の解決手段を示す図である。
【図２】本発明の構成例を示す図である。
【図３】本発明の処理の流れを示すフローチャートである。
【図４】受信した電子メールの例を示す図である。
【図５】受信した電子メールから取り出す項目例を示す図である。
【図６】電子メールから取り出した情報を共通フォーマット化した例を示す図である。
【図７】電子メールから取り出した情報の一部を秘匿化した例を示す図である。
【符号の説明】
【００３８】
１ パケットキャプチャハードウェア
２ パケットキャプチャドライバ
３ アプリケーション選別機能
４ アプリケーション個別処理・秘匿化機能
５ フォーマット共通化機能
６ アプリケーショントレースバック検知機能
７ ログ
【特許請求の範囲】
【請求項１】
ネットワークに接続され、ネットワークを流れるデータを収集する装置であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ手段と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか否か判別するアプリケーション選別手段と、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当プロトコルによる処理を行うアプリケーション個別処理手段と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化手段と、
ネットワーク上の通信記録を格納するログ記録手段と、
前記フォーマット共通化手段からのデータと、前記ログ記録手段のデータとの相関に基づき、攻撃元を特定するアプリケーショントレースバック機能を実現するアプリケーショントレースバック検知手段と、を備えることを特徴とするアプリケーショントレースバックにおけるデータ収集装置。
【請求項２】
個人を特定できる個人情報について、秘匿化を行う秘匿化手段をさらに備えることを特徴とする請求項１に記載のアプリケーショントレースバックにおけるデータ収集装置。
【請求項３】
ネットワークを流れるデータを収集する方法であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ・ステップと、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか否か判別するアプリケーション選別ステップと、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当プロトコルによる処理を行うアプリケーション個別処理ステップと、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化ステップと、
フォーマット共通化されたデータと、ネットワーク上の通信記録を格納するログ記録手段のデータとの相関に基づき、攻撃元を特定するアプリケーショントレースバック機能を実現するアプリケーショントレースバック検知ステップと、を含むことを特徴とするアプリケーショントレースバックにおけるデータ収集方法。
【請求項４】
個人を特定できる個人情報について、秘匿化を行う秘匿化ステップをさらに含むことを特徴とする請求項３に記載のアプリケーショントレースバックにおけるデータ収集方法。
【請求項５】
ネットワークを流れるデータを収集するプログラムであって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ機能と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか否か判別するアプリケーション選別機能と、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当プロトコルによる処理を行うアプリケーション個別処理機能と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化機能と、
フォーマット共通化されたデータと、ネットワーク上の通信記録を格納するログ記録手段のデータとの相関に基づき、攻撃元を特定するアプリケーショントレースバック機能と、をコンピュータに実現させることを特徴とするアプリケーショントレースバックにおけるデータ収集プログラム。
【請求項６】
個人を特定できる個人情報について、秘匿化を行う秘匿化機能をさらにコンピュータに実現させることを特徴とする請求項５に記載のアプリケーショントレースバックにおけるデータ収集プログラム。
【請求項１】
ネットワークに接続され、ネットワークを流れるデータを収集する装置であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ手段と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか否か判別するアプリケーション選別手段と、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当プロトコルによる処理を行うアプリケーション個別処理手段と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化手段と、
ネットワーク上の通信記録を格納するログ記録手段と、
前記フォーマット共通化手段からのデータと、前記ログ記録手段のデータとの相関に基づき、攻撃元を特定するアプリケーショントレースバック機能を実現するアプリケーショントレースバック検知手段と、を備えることを特徴とするアプリケーショントレースバックにおけるデータ収集装置。
【請求項２】
個人を特定できる個人情報について、秘匿化を行う秘匿化手段をさらに備えることを特徴とする請求項１に記載のアプリケーショントレースバックにおけるデータ収集装置。
【請求項３】
ネットワークを流れるデータを収集する方法であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ・ステップと、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか否か判別するアプリケーション選別ステップと、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当プロトコルによる処理を行うアプリケーション個別処理ステップと、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化ステップと、
フォーマット共通化されたデータと、ネットワーク上の通信記録を格納するログ記録手段のデータとの相関に基づき、攻撃元を特定するアプリケーショントレースバック機能を実現するアプリケーショントレースバック検知ステップと、を含むことを特徴とするアプリケーショントレースバックにおけるデータ収集方法。
【請求項４】
個人を特定できる個人情報について、秘匿化を行う秘匿化ステップをさらに含むことを特徴とする請求項３に記載のアプリケーショントレースバックにおけるデータ収集方法。
【請求項５】
ネットワークを流れるデータを収集するプログラムであって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ機能と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか否か判別するアプリケーション選別機能と、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当プロトコルによる処理を行うアプリケーション個別処理機能と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化機能と、
フォーマット共通化されたデータと、ネットワーク上の通信記録を格納するログ記録手段のデータとの相関に基づき、攻撃元を特定するアプリケーショントレースバック機能と、をコンピュータに実現させることを特徴とするアプリケーショントレースバックにおけるデータ収集プログラム。
【請求項６】
個人を特定できる個人情報について、秘匿化を行う秘匿化機能をさらにコンピュータに実現させることを特徴とする請求項５に記載のアプリケーショントレースバックにおけるデータ収集プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２００７−２４９３４８（Ｐ２００７−２４９３４８Ａ）
【公開日】平成１９年９月２７日（２００７．９．２７）
【国際特許分類】
【出願番号】特願２００６−６８９６３（Ｐ２００６−６８９６３）
【出願日】平成１８年３月１４日（２００６．３．１４）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１７年度、独立行政法人 情報通信研究機構、「インターネットにおけるトレースバック技術に関する研究開発」委託研究、産業再生法第３０条の適用を受ける特許出願
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成１９年９月２７日（２００７．９．２７）
【国際特許分類】
【出願日】平成１８年３月１４日（２００６．３．１４）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１７年度、独立行政法人 情報通信研究機構、「インターネットにおけるトレースバック技術に関する研究開発」委託研究、産業再生法第３０条の適用を受ける特許出願
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]