セキュリティリスク検出システム
【課題】フィルタ群のパターンファイルで誤検出となったウイルスを早期発見し、ウイルスの登場時期や送信元も特定するセキュリティリスク検出システムを提供することを目的とする。
【解決手段】実施態様によれば、第１のネットワークと第２のネットワークとの間に設けられ、第１のネットワークから入力された通信データをフィルタリングして出力する第１のフィルタ手段と、第１のフィルタ手段に入力された通信データを保存する第１の保存手段と、第１のフィルタ手段から出力された通信データを保存する第２の保存手段と、第１の保存手段に保存されている通信データをフィルタリングして出力する第２のフィルタ手段と、第２のフィルタ手段から出力された通信データを保存する第３の保存手段と、第２の保存手段に保存されている通信データと第３の保存手段に保存された通信データとを比較し、この比較結果を外部システムに通知する比較手段とを備える。
【解決手段】実施態様によれば、第１のネットワークと第２のネットワークとの間に設けられ、第１のネットワークから入力された通信データをフィルタリングして出力する第１のフィルタ手段と、第１のフィルタ手段に入力された通信データを保存する第１の保存手段と、第１のフィルタ手段から出力された通信データを保存する第２の保存手段と、第１の保存手段に保存されている通信データをフィルタリングして出力する第２のフィルタ手段と、第２のフィルタ手段から出力された通信データを保存する第３の保存手段と、第２の保存手段に保存されている通信データと第３の保存手段に保存された通信データとを比較し、この比較結果を外部システムに通知する比較手段とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、過去のパターンファイルで検出出来なかった潜在セキュリティリスクや誤検知を発見する機能を有するセキュリティリスク検出システムに関する。
【背景技術】
【０００２】
企業システム等へのウイルスや不正侵入／攻撃を防ぐ手段として、ファイアウォール（Ｆｉｒｅ Ｗａｌｌ）、ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）／ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）、ウイルス対策ソフト等がある。
【０００３】
しかし、最新ウイルスや最新の不正侵入方法が登場してから、その対処のためのパターンファイルが出るまでにはタイムラグがあり、この間にセキュリティ上問題のある通信パケットがシステムに入り込む可能性がある。ウイルスに関しては、例えば、システム内の全てのマシンにて常に最新状態のウイルス対策ソフトが稼働し、定期的に全検索を行うよう徹底されていれば回避できる可能性は高いが、実際にはこうした完全な徹底は難しい。このため、実際には、セキュリティ上問題のある状態が放置されて被害がかなり広まってから発覚するリスクは避けられず、リスク発生時は極めて大きなビジネスインパクトを被ることとなる（第１の課題）。
【０００４】
一方で、最近のパターンファイルは複雑化しており、誤検知のリスクがある。このため、不正に通信パケットが誤検知→ブロックされてしまう可能性があり、こちらも課題となっている（第２の課題）。
【０００５】
こういった課題に対し、インターネットと各端末との間で転送されるパケットデータをすべてゲートウェイでウイルスチェックする、といった技術が開示されている（例えば特許文献１参照）。
【０００６】
また、ＩＥＥＥ８０２．１Ｘ認証が可能な端末を用い、端末からバーチャルＬＡＮ（ＶＬＡＮ）方式で分けられたネットワークへのログオンを行う際に、認証情報センター端末が端末から送られるユーザ認証情報を受信し、ウイルス対策状況管理センター端末へのウイルス対策チェック状況問い合わせを自動的に行い、ウイルス対策が完全に行われているときのみ、端末の正規イントラネットへのログオンを許可する応答を送信する認証情報センター端末を提供する、といった対処を行う方法がある（例えば、特許文献２参照）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００１−２５６０４５号公報
【特許文献２】特開２００６−１７８７６２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、上記した特許文献１記載の従来技術においては、以下のような課題がある。
【０００９】
ゲートウェイでは、その時点で最新のパターンファイルでウイルスチェックできるものの、まだパターンファイルで対応できていないウイルスは通過させてしまうことになり、こういったウイルスは潜在ウイルスとしてシステム内で被害拡大する可能性がある。
【００１０】
一方、上記した特許文献２記載の従来技術においては、以下のような課題がある。
【００１１】
ウイルス対策の完全性の証明を（信用できるかどうか不明な）端末側に委ねているため、例えば、ウイルス対策ソフトが誤動作していてウイルス対策が完全であるように見える端末は、正規のイントラネットにログオン可能ということを意味する。状況としては、ウイルス対策ソフトにバグがあったり、ウイルスに犯されていたり、悪意を持ったユーザがウイルス対策ソフトを改造したりといった状況が考えられる。
【００１２】
また、端末側で、ウイルス対策の完全性と、ウイルス検索頻度によるマシン負荷がトレードオフとなる。ウイルス対策の完全性を高める場合、例えば、パターンファイルが更新されるたびにディスクの全検索をしないとネットワークにつなげなくなる等、運用負荷が高くなる。逆にウイルス対策の完全性を緩めると、過去のパターンファイルで検出できなかった潜在ウイルスがしばらくの間端末に潜在するリスクがある。
【００１３】
本発明は、上記した従来の問題点を解決するためになされたもので、ウイルス検索装置や侵入検知装置等を利用したネットワークセキュリティ対策システムにおいて、各端末のセキュリティ対策の完全性によらず、過去のパターンファイルを適用したフィルタ群では検出できなかった潜在セキュリティリスクを早期発見すると共に、各セキュリティリスク要因の登場時期や送信元も特定できるセキュリティリスク検出システムを提供することを目的とする。
【課題を解決するための手段】
【００１４】
上記目的を達成するために、本発明によるセキュリティリスク検出システムは、第１のネットワークと第２のネットワークとの間に設けられ、前記第１のネットワークから入力された通信データをフィルタリングして出力する第１のフィルタ手段と、前記第１のネットワークから前記第１のフィルタ手段に入力された通信データを保存する第１の保存手段と、前記第１のフィルタ手段から出力された通信データを保存する第２の保存手段と、
前記第１の保存手段に保存されている通信データをフィルタリングして出力する第２のフィルタ手段と、前記第２のフィルタ手段から出力された通信データを保存する第３の保存手段と、前記第２の保存手段に保存されている通信データと前記第１の保存手段に保存されている通信データが前記第２のフィルタ手段でフィルタリングされた結果として前記第２のフィルタ手段から出力され前記第３の保存手段に保存された通信データとを比較し、この比較結果を外部システムに通知する比較手段とを備えることを特徴とする。
【図面の簡単な説明】
【００１５】
【図１】本発明の第１の実施例のセキュリティリスク検出システムの構成を示すブロック図。
【図２】フィルタ群によるパケットの遮断が過去も現在もない場合のブロック図
【図３】フィルタ群によるパケットの遮断が現在のみの場合のブロック図
【図４】フィルタ群によるパケットの遮断が過去のみの場合のブロック図
【図５】フィルタ群によるパケットの遮断が過去も現在もある場合のブロック図
【図６】通信データ記録処理（内向き）の流れを示すフローチャート。
【図７】通信データ記録処理（内向き）を示すシーケンス図。
【図８】通信データ記録処理（外向き）の流れを示すフローチャート。
【図９】通信データ記録処理（外向き）を示すシーケンス図。
【図１０】再検証／比較処理の流れの概要を示すフローチャート。
【図１１】再検証／比較処理の流れ（内向き）を示すフローチャート。
【図１２】本発明の第２の実施例のセキュリティリスク検出システム全体の構成例を示すブロック図。
【図１３】本発明の第３の実施例のセキュリティリスク検出システム全体の構成例を示すブロック図。
【図１４】本発明の第４の実施例のセキュリティリスク検出システム全体の構成例を示すブロック図。
【発明を実施するための形態】
【００１６】
以下、本発明の実施例について図面を参照して説明する。
【実施例１】
【００１７】
（１）システム構成
本実施例のセキュリティリスク検出システムの構成を示すブロック図を図１に示す。同図に示すように、本実施形態に係るセキュリティリスク検出システム１０は、
フィルタ群５０と、ネットワークフォレンジックツール（ＮＦＴ）６０と、再検証／比較サーバ８０とから構成されている。
【００１８】
フィルタ群５０ａは、外部ネットワーク（インターネット）２０と内部ネットワーク（イントラネット）３０の間に設けられ、外部ネットワーク２０から入力された通信データをフィルタリングして出力するもので、パターンファイルをはじめ最新の設定が適用されている。
【００１９】
ＮＦＴ６０ａは、外部ネットワーク２０からフィルタ群５０ａに入力された通信データをディスク７０ａに保存するもので、ＮＦＴ６０ｂは、フィルタ群５０ａから出力された通信データをディスク７０ｂに保存する。
【００２０】
再検証／比較サーバ８０ａは、ディスク７０ａに保存されている通信データを取得して、フィルタ群５０ｂでフィルタリングするために送信する。再検証／比較サーバ８０ｂは、ディスク７０ｂに保存されている通信データと、ディスク７０ａに保存されている通信データがフィルタ群５０ｂでフィルタリングされた結果としてフィルタ群５０ｂから出力された通信データとを比較し、この比較結果を外部システム１００に通知する。
【００２１】
スイッチ（ＳＷ）４０ａ、４０ｂはネットワークスイッチで、受信データを通常の送信先以外にミラーポートにも流す機能を持つ。
【００２２】
フィルタ群５０ａ、５０ｂは、ファイアウォール（ＦＷ）５１、不正侵入不正行為検出装置５２（ＩＰＳ／ＩＤＳ）、ウイルス対策ゲートウェィ（ＧＷ）５３の総称をさす。ＦＷ５１は、パケットフィルタをはじめとした、いわゆる通常のファイアウォールである。ＩＰＳはコンピュータやネットワークに対する不正侵入を阻止するシステム、ＩＤＳはコンピュータやネットワークに対する不正行為を検出し通知するためのシステムである。ＧＷ５３は、ネットワークゲートウェイ型のウイルス対策ソフト／装置である。
【００２３】
コンピュータ（ＰＣ）３１ａ、３１ｂは、内部ネットワーク３０にノードとして接続されている。
【００２４】
ＮＴＦ６０ａ、６０ｂは、通信データをディスク７０ａ、７０ｂ上に保存し、保存期間を設定することが可能である。
【００２５】
以下にＮＦＴ６０ａによりディスク７０ａに保存した過去の通信データを、最新の設定を適用した現在のフィルタ群５０ｂに所定のタイミングで通し、その結果と当時のフィルタ群５０ａを通した結果とを比較し、相違があれば運用管理者に警告メールを送信する場合の概要を記載する。
【００２６】
本実施例では、図１に示すように、ＮＴＦ６０ａは外部ネットワークに最も近い位置（フィルタ群５０ａの外側）で通信データを保存し、ＮＴＦ６０ｂはセキュリティが最も確保された位置（フィルタ群５０ａの内側）で通信データを保存する。
【００２７】
再検証／比較サーバ８０は本実施例では２つあり、この２つの再検証／比較サーバ８０ａと８０ｂは連携して動作する。
【００２８】
再検証／比較サーバ８０ａは過去の通信データをディスク７０ａから取得して、パターンファイルをはじめ最新の設定を適用した現在のフィルタ群５０ｂでフィルタリングし、再検証／比較サーバ８０ｂは
・ 過去の通信データをその通信当時フィルタ群５０ａでフィルタリングした結果
と
・ 上記と同じ過去の通信データを最新の設定を適用した現在のフィルタ群５０ｂでフィルタリングした結果
を比較する。
【００２９】
この比較結果を外部システム１００に通知し、比較結果に応じて運用管理者等への警告を行なう。
【００３０】
なお外部システム１００は、検疫ネットワーク等で用いられ、ＩＰパケットで判別して通信を遮断することで、ネットワークからセキュリティ上問題のある（またはその可能性がある）端末を隔離する、例えば端末隔離用装置である。本実施例では、バーチャルＬＡＮ（ＶＬＡＮ）方式により、ネットワークを正規ＬＡＮと検査用ＬＡＮに分ける。
【００３１】
（２）処理
以下、内向き（外部ネットワーク２０から内部ネットワーク３０方向）の通信にて、通信当時のフィルタ群５０ａでフィルタリングした結果と、最新の設定を適用したフィルタ群５０ｂでフィルタリングを通した結果を比較する例を、フィルタリングによる通信データの遮断の有無によって以下の４パターンに分けて記載する。
【００３２】
［１］フィルタ群５０による遮断が当時も現在も無い（図２参照）。
【００３３】
［２］フィルタ群５０による遮断が現在のみ（過去には遮断されていない）（図３参照）。
【００３４】
［３］フィルタ群５０による遮断が当時のみ（現在は遮断されていない）（図４参照）。
【００３５】
［４］フィルタ群５０による遮断が当時も現在もある（図５参照）。
【００３６】
通信当時のフィルタ群５０ａを通した結果と、現在のフィルタ群５０ｂを通した結果を比較して、相違があれば、運用管理者に警告メールを送信する。
【００３７】
上記の処理は、外向き（システム内から外部ネットワーク２０方向）の通信についても同様で、再検証／比較サーバ８０ａと８０ｂの役割が逆になる程度の違いであるため、説明を省略する。
【００３８】
［通信データ記録処理（内向き）］
通信データ記録処理（内向き）を図６のフローチャートと図７のシーケンス図を用いて説明する。ここで内向きとは、外部ネットワーク２０から内部ネットワーク３０への方向を意味する。
【００３９】
ＳＷ４０ａにインターネット２０から通信データが入ると（Ｓ３０１）、ＳＷ４０ａが下流に設けられたフィルタ群５０ａ、及びミラーポートに接続されたＮＦＴ６０ａにこの通信データを送信する（Ｓ３０２）。すると、ＮＦＴ６０ａがディスク７０ａに通信データを保存する（Ｓ３０３）。
【００４０】
ディスク７０ａに保存された通信データが、フィルタ群５０ａでのフィルタリングにより遮断される通信データかどうかをフィルタ群５０ａが判定する（Ｓ３０４）。遮断される通信データの場合には、処理を終了する。
【００４１】
一方、遮断される通信データでない場合には、ＳＷ４０ｂが下流に設けられた内部ネットワーク３０内の各ノードとしてのサーバ（３１ａ、３１ｂ）、及びミラーポートに接続されたＮＦＴ６０ｂに通信データを送信し（Ｓ３０５）、ＮＴＦ６０ｂがディスク７０ｂにこの通信データを保存する（Ｓ３０６）。
【００４２】
［通信データ記録処理（外向き）］
通信データ記録処理（外向き）を図８のフローチャートと図９のシーケンス図を用いて説明する。ここで外向きとは、システム内から外部ネットワーク２０への方向を意味する。
【００４３】
例えばＳＷ４０ｂにイントラネット３０からインターネット２０に出て行く通信データが入ると（Ｓ４０１）、ＳＷ４０ｂが上流に設けられたフィルタ群５０ａ、及びミラーポートに接続されたＮＦＴ６０ｂにこの通信データを送信する（Ｓ４０２）。すると、ＮＦＴ６０ｂがディスク７０ｂに通信データと、到着時刻と連番を通信データの付属情報として保存する（Ｓ４０３）。
【００４４】
ディスク７０ｂに保存された通信データがフィルタ群５０ａにより遮断される通信データかどうかをフィルタ群５０ａが判定する（Ｓ４０４）。遮断される通信データの場合には、処理を終了する。
【００４５】
一方、遮断される通信データでない場合には、ＳＷ４０ａが下流に設けられた外部ネットワーク２０の各サーバ（メールサーバ、Ｗｅｂサーバ等）、及び（ミラーポートに接続された）ＮＦＴ６０ａに通信データを送信し（Ｓ４０５）、ＮＴＦ６０ａがディスク７０ａにこの通信データと、到着時刻と連番を通信データの付属情報として保存する（Ｓ４０６）。
【００４６】
［再検証／比較処理］
再検証／比較処理を図１０のフローチャートに従い説明する。
【００４７】
再検証／比較サーバ８０ａがディスク７０ａから通信データと、その到着時刻を１つ読込む（Ｓ５０１）。さらに、再検証／比較サーバ８０ａが再検証／比較サーバ８０ｂに通信データ読込みを依頼する（Ｓ５０２）。
【００４８】
すると、再検証／比較サーバ８０ｂがディスク７０ｂから通信データと、その到着時刻を１つ読込む（Ｓ５０３）。
【００４９】
ここで、読込んだ通信データが再検証／比較サーバ８０ａと再検証／比較サーバ８０ｂとで同じかどうかを再検証／比較サーバ８０ｂが判定する（Ｓ５０４）。同じ場合は、再検証／比較フロー（内向き）を実施する（Ｓ５０５）。一方、読込んだ通信データが再検証／比較サーバ８０ａと再検証／比較サーバ８０ｂとで異なる場合は、再検証／比較サーバ８０ｂが到着時刻を比較する（Ｓ５０６）。
【００５０】
再検証／比較サーバ８０ａの通信データの方が、再検証／比較サーバ８０ｂの通信データより到着時刻が先または同時（ａ＜＝ｂ）なら、再検証／比較フロー（内向き）を実施する（Ｓ５０５）。
【００５１】
再検証／比較サーバ８０ａの通信データの方が、再検証／比較サーバ８０ｂの通信データより到着時刻が後（ａ＞ｂ）なら、再検証／比較フロー（外向き）を実施する（Ｓ５０７）。
【００５２】
［再検証／比較処理（内向き）］
再検証／比較フロー（内向き）の流れを示すフローチャートを図１１に示す。
【００５３】
再検証／比較サーバ８０ａがディスク７０ａから通信データを１つ読込む（Ｓ６０１）。さらに、再検証／比較サーバ８０ａが再検証／比較サーバ８０ｂに送信予告を行なう。この際に通信データも送信予告に合わせてフィルタ郡５０ｂへ送る（Ｓ６０２）。
【００５４】
再検証／比較サーバ８０ａから送信された通信データを、パターンファイルをはじめ最新の設定を適用した、すなわち最新状態のフィルタ群５０ｂが受信する。（Ｓ６０３）。
【００５５】
再検証／比較サーバ８０ａから送信されたこの通信データが、最新状態のフィルタ群５０ｂにより遮断される通信データかどうかを、この最新状態のフィルタ群５０ｂが判定する（Ｓ６０４）。
【００５６】
最新状態のフィルタ群５０ｂで遮断されない通信データの場合は、最新遮断有無フラグを「無」に設定する（Ｓ６０５）。一方、遮断される場合は、最新遮断有無フラグを「有」に設定する（Ｓ６０６）。
【００５７】
再検証／比較サーバ８０ｂにディスク７０ｂと対応する通信データがあるかどうか（過去のフィルタ群５０ａに遮断されていたかどうか）を、フィルタ群５０ａがＳ６０８で判定するため、再検証／比較サーバ８０ａからの依頼に基づいて、再検証／比較サーバ８０ｂがディスク７０ｂから通信データを読込む（Ｓ６０７）。
【００５８】
通信データが、過去のフィルタ群５０ａに遮断されていたかどうか判定する（Ｓ６０８）。
【００５９】
遮断されていなかった場合には、過去遮断有無フラグを「無」に設定する（Ｓ６０９）。
【００６０】
一方、遮断されていた場合には、過去遮断有無フラグを「有」に設定する（Ｓ６１０）。
【００６１】
さらに最新遮断有無フラグの値と過去遮断有無フラグの値が、同じかを判定する（Ｓ６１１）。
【００６２】
最新遮断有無フラグの値と過去遮断有無フラグの値が、同じ場合にはＳ６１２に進む。一方、最新遮断有無フラグの値と過去遮断有無フラグの値が、異なる場合にはＳ６１３に進む。
【００６３】
最新遮断有無フラグの値と過去遮断有無フラグの値が、両方とも遮断「無」かつ、通信データが異なっているか判定する（Ｓ６１２）。
【００６４】
最新遮断有無フラグの値と過去遮断有無フラグの値が、少なくともどちらか一方が遮断「有」の場合、または、両方とも遮断「無」かつ、通信データが同じ場合には、処理を終了する。
【００６５】
ここで、両方とも遮断「無」かつ、通信データが異なっている場合には、再検証／比較サーバ８０ｂが外部システム１００を通じて運用管理者宛に警告メールを送信（Ｓ６１３）し、処理を終了する。
【００６６】
＜本実施例によって得られる効果＞
本実施例のセキュリティリスク検出システムによれば、各端末のセキュリティ対策の完全性によらず、過去のパターンファイルを適用したフィルタ群５０では検出できなかった潜在的なセキュリティリスクを早期発見することで、時限ウイルス等による被害を防ぐと共に、各セキュリティリスク要因の登場時期や送信元も特定できるようになる。
【００６７】
また、過去のパターンファイルによる誤検知が早期に発見でき、運用管理者が誤検知などを容易に把握することができる。
【実施例２】
【００６８】
続いて以下に、本発明の第２の実施例について図面を用いて説明する。本実施例のセキュリティリスク検出システムの構成を示すブロック図を図１２に示す。同図に示すように、本実施形態に係るセキュリティリスク検出システム１０では、パーチャルＬＡＮ（ＶＬＡＮ）対応のネットワークスイッチ（ＳＷ）３２を備え、内部ネットワーク３０に検疫ネットワークの技術を適用する。
【００６９】
本実施例では、内部ネットワーク３０内の装置としてＩＥＥＥ８０２．１Ｘ認証が可能なコンピュータ３１及びＶＬＡＮ対応のネットワークＳＷ３２を用い、コンピュータ３１からはバーチャルＬＡＮ方式で分けられたネットワークにアクセスするようにして実現する。
【００７０】
ある通信データを過去のフィルタ群５０ａを通した結果と現在（最新状態）のフィルタ群５０ｂを通した結果とで相違があり、過去の結果が「遮断無」、現在の結果が「遮断有」の場合は、過去に潜在セキュリティリスクが入り込んだ可能性がある。そこで、前記通信データの送信元または受信元となる内部ネットワーク３０内のノードである例えばコンピュータ３１と内部ネットワーク３０との通信データを、ＶＬＡＮ対応ＳＷ３２の設定変更により遮断（隔離）する。
【００７１】
また、前記通信データの送信元または受信元となる外部ネットワーク２０側のＩＰアドレスからの通信データを、ファイアウォールの設定変更により遮断する。
【００７２】
＜本実施例によって得られる効果＞
本実施例のセキュリティリスク検出システムによれば、実施例１の効果に加えて、早期発見したセキュリティリスクの被害拡大を抑制することが可能となる。
【実施例３】
【００７３】
続いて以下に、本発明の第３の実施例について図面を用いて説明する。まず本実施例のセキュリティリスク検出システムの構成例を図１３に示す。同図に示すように、本実施形態に係るセキュリティリスク検出システム１０は、実施例１の構成要素に加え、ウイルスＤＢサーバと、保存期間算出／指示サーバをさらに備える。
【００７４】
ウイルスＤＢサーバは、例えばウイルス対策ソフト製造元等が用意しているＤＢサーバであって、各ウイルスの登場時期やパターンファイルによる対処時期を、外部から問い合わせ可能なものである。
【００７５】
保存期間算出／指示サーバは、ウイルスＤＢサーバから各ウイルスの登場時期やパターンファイルによる対処時期を取得して、ウイルス登場からパターンファイル作成までの期間の統計情報を例えば、対処数を度数とする度数分布などにより定期的に作成する。統計的に大部分のケースが当てはまる期間、すなわち例えば、正規分布を当てはめて、平均＋標準偏差×３を算出するなどした結果を、フォレンジックツールの保存期間として設定する。
【００７６】
＜本実施例によって得られる効果＞
本実施例のセキュリティリスク検出システムによれば、統計情報に基づいてフォレンジックツールの保存期間を限定するので、高いセキュリティリスク発見率を維持したまま、ディスク使用量を抑えることが可能となる。
【実施例４】
【００７７】
続いて以下に、本発明の第４の実施例について図面を用いて説明する。まず本実施例の
セキュリティリスク検出システムの構成例を図１４に示す。同図に示すように、本実施形態に係るセキュリティリスク検出システム１０は、フィルタ群５０として、メールサーバに加えてスパムフィルタ（ＳＰＡＭ Ｆｉｌｔｅｒ）を使用する場合の例である。
【００７８】
一般的にスパムフィルタは、あるメールがスパムメールと判断した場合に、例えば標題に[ＳＰＡＭ]を付加する等のメールを加工する機能を持つ。なお、スパムメールはメール受信側でゴミ箱フォルダ等に振り分けされていることが多い。
【００７９】
本実施例では、あるメールについて過去のフィルタ群５０ａを通した結果と、現在（最新状態）のフィルタ群５０ｂを通した結果とで相違がある場合に、
再検証／比較サーバは、
過去の結果が「加工無」であり、 現在の結果が「加工有」なら、過去にＳＰＡＭメールをそのまま通過させてしまった可能性があるので、ＳＭＴＰサーバ（メール送信用サーバ）１０５を利用して、前記メールの取消しメールと、前記メールをＳＰＡＭとして加工した結果をメール送信する。
【００８０】
過去の結果が「加工有」であり、現在の結果が「加工無」なら過去のＳＰＡＭ判定が誤りであった可能性が高いので、ＳＭＴＰサーバ１０５を利用して、前記メールの取消しメールを送信し、前記メールを未加工のまま送信する。
【００８１】
＜本実施例によって得られる効果＞
本実施例のセキュリティリスク検出システムによれば、スパムフィルタが過去にスパムメールをそのまま通過させてしまっていた場合でも、取り消して正しい結果をメール受信者に伝えることが可能となる。
【００８２】
また、スパムフィルタが過去にスパムと誤判定していた場合でも、取り消して正しい結果をメール受信者に伝えることが可能となる。例えば、誤判定により重要なメールがゴミ箱フォルダに振り分けられていた場合でも再送信によりメール受信者がその旨気付くことができる。
【００８３】
上記のように、本発明の実施例によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなる。
【００８４】
本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【符号の説明】
【００８５】
１０・・・セキュリティリスク検出システム
２０・・・外部ネットワーク（インターネット）
３０・・・内部ネットワーク（イントラネット）
３１・・・コンピュータ（ＰＣ）
３１ａ・・・コンピュータａ（ＰＣａ）
３１ｂ・・・コンピュータｂ（ＰＣｂ）
３２・・・バーチャルＬＡＮ対応ネットワークスイッチ（ＶＬＡＮ対応ＳＷ）
４０・・・スイッチ（ＳＷ）
４０ａ・・・スイッチａ（ＳＷａ）
４０ｂ・・・スイッチｂ（ＳＷｂ）
５０・・・フィルタ群
５０ａ・・・フィルタ群ａ
５０ｂ・・・フィルタ群ｂ
５１・・・ファイアウォール（ＦＷ）
５２・・・不正侵入不正行為検出装置（ＩＰＳ／ＩＤＳ）
５３・・・ウイルス対策ゲートウェイ（ＧＷ）
６０・・・ネットワークフォレンジックツール
６０ａ・・・ネットワークフォレンジックツールａ（ＮＦＴａ）
６０ｂ・・・ネットワークフォレンジックツールｂ（ＮＦＴｂ）
７０・・・ディスク
７０ａ・・・ディスクａ
７０ｂ・・・ディスクｂ
８０・・・再検証／比較サーバ
８０ａ・・・再検証／比較サーバａ
８０ｂ・・・再検証／比較サーバｂ
１００・・・外部システム
１０５・・・ＳＭＴＰサーバ（メール送信用サーバ）
１１０・・・保存期間判定サーバ
１２０・・・ウィルスデータベースサーバ
【技術分野】
【０００１】
本開示は、過去のパターンファイルで検出出来なかった潜在セキュリティリスクや誤検知を発見する機能を有するセキュリティリスク検出システムに関する。
【背景技術】
【０００２】
企業システム等へのウイルスや不正侵入／攻撃を防ぐ手段として、ファイアウォール（Ｆｉｒｅ Ｗａｌｌ）、ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）／ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）、ウイルス対策ソフト等がある。
【０００３】
しかし、最新ウイルスや最新の不正侵入方法が登場してから、その対処のためのパターンファイルが出るまでにはタイムラグがあり、この間にセキュリティ上問題のある通信パケットがシステムに入り込む可能性がある。ウイルスに関しては、例えば、システム内の全てのマシンにて常に最新状態のウイルス対策ソフトが稼働し、定期的に全検索を行うよう徹底されていれば回避できる可能性は高いが、実際にはこうした完全な徹底は難しい。このため、実際には、セキュリティ上問題のある状態が放置されて被害がかなり広まってから発覚するリスクは避けられず、リスク発生時は極めて大きなビジネスインパクトを被ることとなる（第１の課題）。
【０００４】
一方で、最近のパターンファイルは複雑化しており、誤検知のリスクがある。このため、不正に通信パケットが誤検知→ブロックされてしまう可能性があり、こちらも課題となっている（第２の課題）。
【０００５】
こういった課題に対し、インターネットと各端末との間で転送されるパケットデータをすべてゲートウェイでウイルスチェックする、といった技術が開示されている（例えば特許文献１参照）。
【０００６】
また、ＩＥＥＥ８０２．１Ｘ認証が可能な端末を用い、端末からバーチャルＬＡＮ（ＶＬＡＮ）方式で分けられたネットワークへのログオンを行う際に、認証情報センター端末が端末から送られるユーザ認証情報を受信し、ウイルス対策状況管理センター端末へのウイルス対策チェック状況問い合わせを自動的に行い、ウイルス対策が完全に行われているときのみ、端末の正規イントラネットへのログオンを許可する応答を送信する認証情報センター端末を提供する、といった対処を行う方法がある（例えば、特許文献２参照）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００１−２５６０４５号公報
【特許文献２】特開２００６−１７８７６２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、上記した特許文献１記載の従来技術においては、以下のような課題がある。
【０００９】
ゲートウェイでは、その時点で最新のパターンファイルでウイルスチェックできるものの、まだパターンファイルで対応できていないウイルスは通過させてしまうことになり、こういったウイルスは潜在ウイルスとしてシステム内で被害拡大する可能性がある。
【００１０】
一方、上記した特許文献２記載の従来技術においては、以下のような課題がある。
【００１１】
ウイルス対策の完全性の証明を（信用できるかどうか不明な）端末側に委ねているため、例えば、ウイルス対策ソフトが誤動作していてウイルス対策が完全であるように見える端末は、正規のイントラネットにログオン可能ということを意味する。状況としては、ウイルス対策ソフトにバグがあったり、ウイルスに犯されていたり、悪意を持ったユーザがウイルス対策ソフトを改造したりといった状況が考えられる。
【００１２】
また、端末側で、ウイルス対策の完全性と、ウイルス検索頻度によるマシン負荷がトレードオフとなる。ウイルス対策の完全性を高める場合、例えば、パターンファイルが更新されるたびにディスクの全検索をしないとネットワークにつなげなくなる等、運用負荷が高くなる。逆にウイルス対策の完全性を緩めると、過去のパターンファイルで検出できなかった潜在ウイルスがしばらくの間端末に潜在するリスクがある。
【００１３】
本発明は、上記した従来の問題点を解決するためになされたもので、ウイルス検索装置や侵入検知装置等を利用したネットワークセキュリティ対策システムにおいて、各端末のセキュリティ対策の完全性によらず、過去のパターンファイルを適用したフィルタ群では検出できなかった潜在セキュリティリスクを早期発見すると共に、各セキュリティリスク要因の登場時期や送信元も特定できるセキュリティリスク検出システムを提供することを目的とする。
【課題を解決するための手段】
【００１４】
上記目的を達成するために、本発明によるセキュリティリスク検出システムは、第１のネットワークと第２のネットワークとの間に設けられ、前記第１のネットワークから入力された通信データをフィルタリングして出力する第１のフィルタ手段と、前記第１のネットワークから前記第１のフィルタ手段に入力された通信データを保存する第１の保存手段と、前記第１のフィルタ手段から出力された通信データを保存する第２の保存手段と、
前記第１の保存手段に保存されている通信データをフィルタリングして出力する第２のフィルタ手段と、前記第２のフィルタ手段から出力された通信データを保存する第３の保存手段と、前記第２の保存手段に保存されている通信データと前記第１の保存手段に保存されている通信データが前記第２のフィルタ手段でフィルタリングされた結果として前記第２のフィルタ手段から出力され前記第３の保存手段に保存された通信データとを比較し、この比較結果を外部システムに通知する比較手段とを備えることを特徴とする。
【図面の簡単な説明】
【００１５】
【図１】本発明の第１の実施例のセキュリティリスク検出システムの構成を示すブロック図。
【図２】フィルタ群によるパケットの遮断が過去も現在もない場合のブロック図
【図３】フィルタ群によるパケットの遮断が現在のみの場合のブロック図
【図４】フィルタ群によるパケットの遮断が過去のみの場合のブロック図
【図５】フィルタ群によるパケットの遮断が過去も現在もある場合のブロック図
【図６】通信データ記録処理（内向き）の流れを示すフローチャート。
【図７】通信データ記録処理（内向き）を示すシーケンス図。
【図８】通信データ記録処理（外向き）の流れを示すフローチャート。
【図９】通信データ記録処理（外向き）を示すシーケンス図。
【図１０】再検証／比較処理の流れの概要を示すフローチャート。
【図１１】再検証／比較処理の流れ（内向き）を示すフローチャート。
【図１２】本発明の第２の実施例のセキュリティリスク検出システム全体の構成例を示すブロック図。
【図１３】本発明の第３の実施例のセキュリティリスク検出システム全体の構成例を示すブロック図。
【図１４】本発明の第４の実施例のセキュリティリスク検出システム全体の構成例を示すブロック図。
【発明を実施するための形態】
【００１６】
以下、本発明の実施例について図面を参照して説明する。
【実施例１】
【００１７】
（１）システム構成
本実施例のセキュリティリスク検出システムの構成を示すブロック図を図１に示す。同図に示すように、本実施形態に係るセキュリティリスク検出システム１０は、
フィルタ群５０と、ネットワークフォレンジックツール（ＮＦＴ）６０と、再検証／比較サーバ８０とから構成されている。
【００１８】
フィルタ群５０ａは、外部ネットワーク（インターネット）２０と内部ネットワーク（イントラネット）３０の間に設けられ、外部ネットワーク２０から入力された通信データをフィルタリングして出力するもので、パターンファイルをはじめ最新の設定が適用されている。
【００１９】
ＮＦＴ６０ａは、外部ネットワーク２０からフィルタ群５０ａに入力された通信データをディスク７０ａに保存するもので、ＮＦＴ６０ｂは、フィルタ群５０ａから出力された通信データをディスク７０ｂに保存する。
【００２０】
再検証／比較サーバ８０ａは、ディスク７０ａに保存されている通信データを取得して、フィルタ群５０ｂでフィルタリングするために送信する。再検証／比較サーバ８０ｂは、ディスク７０ｂに保存されている通信データと、ディスク７０ａに保存されている通信データがフィルタ群５０ｂでフィルタリングされた結果としてフィルタ群５０ｂから出力された通信データとを比較し、この比較結果を外部システム１００に通知する。
【００２１】
スイッチ（ＳＷ）４０ａ、４０ｂはネットワークスイッチで、受信データを通常の送信先以外にミラーポートにも流す機能を持つ。
【００２２】
フィルタ群５０ａ、５０ｂは、ファイアウォール（ＦＷ）５１、不正侵入不正行為検出装置５２（ＩＰＳ／ＩＤＳ）、ウイルス対策ゲートウェィ（ＧＷ）５３の総称をさす。ＦＷ５１は、パケットフィルタをはじめとした、いわゆる通常のファイアウォールである。ＩＰＳはコンピュータやネットワークに対する不正侵入を阻止するシステム、ＩＤＳはコンピュータやネットワークに対する不正行為を検出し通知するためのシステムである。ＧＷ５３は、ネットワークゲートウェイ型のウイルス対策ソフト／装置である。
【００２３】
コンピュータ（ＰＣ）３１ａ、３１ｂは、内部ネットワーク３０にノードとして接続されている。
【００２４】
ＮＴＦ６０ａ、６０ｂは、通信データをディスク７０ａ、７０ｂ上に保存し、保存期間を設定することが可能である。
【００２５】
以下にＮＦＴ６０ａによりディスク７０ａに保存した過去の通信データを、最新の設定を適用した現在のフィルタ群５０ｂに所定のタイミングで通し、その結果と当時のフィルタ群５０ａを通した結果とを比較し、相違があれば運用管理者に警告メールを送信する場合の概要を記載する。
【００２６】
本実施例では、図１に示すように、ＮＴＦ６０ａは外部ネットワークに最も近い位置（フィルタ群５０ａの外側）で通信データを保存し、ＮＴＦ６０ｂはセキュリティが最も確保された位置（フィルタ群５０ａの内側）で通信データを保存する。
【００２７】
再検証／比較サーバ８０は本実施例では２つあり、この２つの再検証／比較サーバ８０ａと８０ｂは連携して動作する。
【００２８】
再検証／比較サーバ８０ａは過去の通信データをディスク７０ａから取得して、パターンファイルをはじめ最新の設定を適用した現在のフィルタ群５０ｂでフィルタリングし、再検証／比較サーバ８０ｂは
・ 過去の通信データをその通信当時フィルタ群５０ａでフィルタリングした結果
と
・ 上記と同じ過去の通信データを最新の設定を適用した現在のフィルタ群５０ｂでフィルタリングした結果
を比較する。
【００２９】
この比較結果を外部システム１００に通知し、比較結果に応じて運用管理者等への警告を行なう。
【００３０】
なお外部システム１００は、検疫ネットワーク等で用いられ、ＩＰパケットで判別して通信を遮断することで、ネットワークからセキュリティ上問題のある（またはその可能性がある）端末を隔離する、例えば端末隔離用装置である。本実施例では、バーチャルＬＡＮ（ＶＬＡＮ）方式により、ネットワークを正規ＬＡＮと検査用ＬＡＮに分ける。
【００３１】
（２）処理
以下、内向き（外部ネットワーク２０から内部ネットワーク３０方向）の通信にて、通信当時のフィルタ群５０ａでフィルタリングした結果と、最新の設定を適用したフィルタ群５０ｂでフィルタリングを通した結果を比較する例を、フィルタリングによる通信データの遮断の有無によって以下の４パターンに分けて記載する。
【００３２】
［１］フィルタ群５０による遮断が当時も現在も無い（図２参照）。
【００３３】
［２］フィルタ群５０による遮断が現在のみ（過去には遮断されていない）（図３参照）。
【００３４】
［３］フィルタ群５０による遮断が当時のみ（現在は遮断されていない）（図４参照）。
【００３５】
［４］フィルタ群５０による遮断が当時も現在もある（図５参照）。
【００３６】
通信当時のフィルタ群５０ａを通した結果と、現在のフィルタ群５０ｂを通した結果を比較して、相違があれば、運用管理者に警告メールを送信する。
【００３７】
上記の処理は、外向き（システム内から外部ネットワーク２０方向）の通信についても同様で、再検証／比較サーバ８０ａと８０ｂの役割が逆になる程度の違いであるため、説明を省略する。
【００３８】
［通信データ記録処理（内向き）］
通信データ記録処理（内向き）を図６のフローチャートと図７のシーケンス図を用いて説明する。ここで内向きとは、外部ネットワーク２０から内部ネットワーク３０への方向を意味する。
【００３９】
ＳＷ４０ａにインターネット２０から通信データが入ると（Ｓ３０１）、ＳＷ４０ａが下流に設けられたフィルタ群５０ａ、及びミラーポートに接続されたＮＦＴ６０ａにこの通信データを送信する（Ｓ３０２）。すると、ＮＦＴ６０ａがディスク７０ａに通信データを保存する（Ｓ３０３）。
【００４０】
ディスク７０ａに保存された通信データが、フィルタ群５０ａでのフィルタリングにより遮断される通信データかどうかをフィルタ群５０ａが判定する（Ｓ３０４）。遮断される通信データの場合には、処理を終了する。
【００４１】
一方、遮断される通信データでない場合には、ＳＷ４０ｂが下流に設けられた内部ネットワーク３０内の各ノードとしてのサーバ（３１ａ、３１ｂ）、及びミラーポートに接続されたＮＦＴ６０ｂに通信データを送信し（Ｓ３０５）、ＮＴＦ６０ｂがディスク７０ｂにこの通信データを保存する（Ｓ３０６）。
【００４２】
［通信データ記録処理（外向き）］
通信データ記録処理（外向き）を図８のフローチャートと図９のシーケンス図を用いて説明する。ここで外向きとは、システム内から外部ネットワーク２０への方向を意味する。
【００４３】
例えばＳＷ４０ｂにイントラネット３０からインターネット２０に出て行く通信データが入ると（Ｓ４０１）、ＳＷ４０ｂが上流に設けられたフィルタ群５０ａ、及びミラーポートに接続されたＮＦＴ６０ｂにこの通信データを送信する（Ｓ４０２）。すると、ＮＦＴ６０ｂがディスク７０ｂに通信データと、到着時刻と連番を通信データの付属情報として保存する（Ｓ４０３）。
【００４４】
ディスク７０ｂに保存された通信データがフィルタ群５０ａにより遮断される通信データかどうかをフィルタ群５０ａが判定する（Ｓ４０４）。遮断される通信データの場合には、処理を終了する。
【００４５】
一方、遮断される通信データでない場合には、ＳＷ４０ａが下流に設けられた外部ネットワーク２０の各サーバ（メールサーバ、Ｗｅｂサーバ等）、及び（ミラーポートに接続された）ＮＦＴ６０ａに通信データを送信し（Ｓ４０５）、ＮＴＦ６０ａがディスク７０ａにこの通信データと、到着時刻と連番を通信データの付属情報として保存する（Ｓ４０６）。
【００４６】
［再検証／比較処理］
再検証／比較処理を図１０のフローチャートに従い説明する。
【００４７】
再検証／比較サーバ８０ａがディスク７０ａから通信データと、その到着時刻を１つ読込む（Ｓ５０１）。さらに、再検証／比較サーバ８０ａが再検証／比較サーバ８０ｂに通信データ読込みを依頼する（Ｓ５０２）。
【００４８】
すると、再検証／比較サーバ８０ｂがディスク７０ｂから通信データと、その到着時刻を１つ読込む（Ｓ５０３）。
【００４９】
ここで、読込んだ通信データが再検証／比較サーバ８０ａと再検証／比較サーバ８０ｂとで同じかどうかを再検証／比較サーバ８０ｂが判定する（Ｓ５０４）。同じ場合は、再検証／比較フロー（内向き）を実施する（Ｓ５０５）。一方、読込んだ通信データが再検証／比較サーバ８０ａと再検証／比較サーバ８０ｂとで異なる場合は、再検証／比較サーバ８０ｂが到着時刻を比較する（Ｓ５０６）。
【００５０】
再検証／比較サーバ８０ａの通信データの方が、再検証／比較サーバ８０ｂの通信データより到着時刻が先または同時（ａ＜＝ｂ）なら、再検証／比較フロー（内向き）を実施する（Ｓ５０５）。
【００５１】
再検証／比較サーバ８０ａの通信データの方が、再検証／比較サーバ８０ｂの通信データより到着時刻が後（ａ＞ｂ）なら、再検証／比較フロー（外向き）を実施する（Ｓ５０７）。
【００５２】
［再検証／比較処理（内向き）］
再検証／比較フロー（内向き）の流れを示すフローチャートを図１１に示す。
【００５３】
再検証／比較サーバ８０ａがディスク７０ａから通信データを１つ読込む（Ｓ６０１）。さらに、再検証／比較サーバ８０ａが再検証／比較サーバ８０ｂに送信予告を行なう。この際に通信データも送信予告に合わせてフィルタ郡５０ｂへ送る（Ｓ６０２）。
【００５４】
再検証／比較サーバ８０ａから送信された通信データを、パターンファイルをはじめ最新の設定を適用した、すなわち最新状態のフィルタ群５０ｂが受信する。（Ｓ６０３）。
【００５５】
再検証／比較サーバ８０ａから送信されたこの通信データが、最新状態のフィルタ群５０ｂにより遮断される通信データかどうかを、この最新状態のフィルタ群５０ｂが判定する（Ｓ６０４）。
【００５６】
最新状態のフィルタ群５０ｂで遮断されない通信データの場合は、最新遮断有無フラグを「無」に設定する（Ｓ６０５）。一方、遮断される場合は、最新遮断有無フラグを「有」に設定する（Ｓ６０６）。
【００５７】
再検証／比較サーバ８０ｂにディスク７０ｂと対応する通信データがあるかどうか（過去のフィルタ群５０ａに遮断されていたかどうか）を、フィルタ群５０ａがＳ６０８で判定するため、再検証／比較サーバ８０ａからの依頼に基づいて、再検証／比較サーバ８０ｂがディスク７０ｂから通信データを読込む（Ｓ６０７）。
【００５８】
通信データが、過去のフィルタ群５０ａに遮断されていたかどうか判定する（Ｓ６０８）。
【００５９】
遮断されていなかった場合には、過去遮断有無フラグを「無」に設定する（Ｓ６０９）。
【００６０】
一方、遮断されていた場合には、過去遮断有無フラグを「有」に設定する（Ｓ６１０）。
【００６１】
さらに最新遮断有無フラグの値と過去遮断有無フラグの値が、同じかを判定する（Ｓ６１１）。
【００６２】
最新遮断有無フラグの値と過去遮断有無フラグの値が、同じ場合にはＳ６１２に進む。一方、最新遮断有無フラグの値と過去遮断有無フラグの値が、異なる場合にはＳ６１３に進む。
【００６３】
最新遮断有無フラグの値と過去遮断有無フラグの値が、両方とも遮断「無」かつ、通信データが異なっているか判定する（Ｓ６１２）。
【００６４】
最新遮断有無フラグの値と過去遮断有無フラグの値が、少なくともどちらか一方が遮断「有」の場合、または、両方とも遮断「無」かつ、通信データが同じ場合には、処理を終了する。
【００６５】
ここで、両方とも遮断「無」かつ、通信データが異なっている場合には、再検証／比較サーバ８０ｂが外部システム１００を通じて運用管理者宛に警告メールを送信（Ｓ６１３）し、処理を終了する。
【００６６】
＜本実施例によって得られる効果＞
本実施例のセキュリティリスク検出システムによれば、各端末のセキュリティ対策の完全性によらず、過去のパターンファイルを適用したフィルタ群５０では検出できなかった潜在的なセキュリティリスクを早期発見することで、時限ウイルス等による被害を防ぐと共に、各セキュリティリスク要因の登場時期や送信元も特定できるようになる。
【００６７】
また、過去のパターンファイルによる誤検知が早期に発見でき、運用管理者が誤検知などを容易に把握することができる。
【実施例２】
【００６８】
続いて以下に、本発明の第２の実施例について図面を用いて説明する。本実施例のセキュリティリスク検出システムの構成を示すブロック図を図１２に示す。同図に示すように、本実施形態に係るセキュリティリスク検出システム１０では、パーチャルＬＡＮ（ＶＬＡＮ）対応のネットワークスイッチ（ＳＷ）３２を備え、内部ネットワーク３０に検疫ネットワークの技術を適用する。
【００６９】
本実施例では、内部ネットワーク３０内の装置としてＩＥＥＥ８０２．１Ｘ認証が可能なコンピュータ３１及びＶＬＡＮ対応のネットワークＳＷ３２を用い、コンピュータ３１からはバーチャルＬＡＮ方式で分けられたネットワークにアクセスするようにして実現する。
【００７０】
ある通信データを過去のフィルタ群５０ａを通した結果と現在（最新状態）のフィルタ群５０ｂを通した結果とで相違があり、過去の結果が「遮断無」、現在の結果が「遮断有」の場合は、過去に潜在セキュリティリスクが入り込んだ可能性がある。そこで、前記通信データの送信元または受信元となる内部ネットワーク３０内のノードである例えばコンピュータ３１と内部ネットワーク３０との通信データを、ＶＬＡＮ対応ＳＷ３２の設定変更により遮断（隔離）する。
【００７１】
また、前記通信データの送信元または受信元となる外部ネットワーク２０側のＩＰアドレスからの通信データを、ファイアウォールの設定変更により遮断する。
【００７２】
＜本実施例によって得られる効果＞
本実施例のセキュリティリスク検出システムによれば、実施例１の効果に加えて、早期発見したセキュリティリスクの被害拡大を抑制することが可能となる。
【実施例３】
【００７３】
続いて以下に、本発明の第３の実施例について図面を用いて説明する。まず本実施例のセキュリティリスク検出システムの構成例を図１３に示す。同図に示すように、本実施形態に係るセキュリティリスク検出システム１０は、実施例１の構成要素に加え、ウイルスＤＢサーバと、保存期間算出／指示サーバをさらに備える。
【００７４】
ウイルスＤＢサーバは、例えばウイルス対策ソフト製造元等が用意しているＤＢサーバであって、各ウイルスの登場時期やパターンファイルによる対処時期を、外部から問い合わせ可能なものである。
【００７５】
保存期間算出／指示サーバは、ウイルスＤＢサーバから各ウイルスの登場時期やパターンファイルによる対処時期を取得して、ウイルス登場からパターンファイル作成までの期間の統計情報を例えば、対処数を度数とする度数分布などにより定期的に作成する。統計的に大部分のケースが当てはまる期間、すなわち例えば、正規分布を当てはめて、平均＋標準偏差×３を算出するなどした結果を、フォレンジックツールの保存期間として設定する。
【００７６】
＜本実施例によって得られる効果＞
本実施例のセキュリティリスク検出システムによれば、統計情報に基づいてフォレンジックツールの保存期間を限定するので、高いセキュリティリスク発見率を維持したまま、ディスク使用量を抑えることが可能となる。
【実施例４】
【００７７】
続いて以下に、本発明の第４の実施例について図面を用いて説明する。まず本実施例の
セキュリティリスク検出システムの構成例を図１４に示す。同図に示すように、本実施形態に係るセキュリティリスク検出システム１０は、フィルタ群５０として、メールサーバに加えてスパムフィルタ（ＳＰＡＭ Ｆｉｌｔｅｒ）を使用する場合の例である。
【００７８】
一般的にスパムフィルタは、あるメールがスパムメールと判断した場合に、例えば標題に[ＳＰＡＭ]を付加する等のメールを加工する機能を持つ。なお、スパムメールはメール受信側でゴミ箱フォルダ等に振り分けされていることが多い。
【００７９】
本実施例では、あるメールについて過去のフィルタ群５０ａを通した結果と、現在（最新状態）のフィルタ群５０ｂを通した結果とで相違がある場合に、
再検証／比較サーバは、
過去の結果が「加工無」であり、 現在の結果が「加工有」なら、過去にＳＰＡＭメールをそのまま通過させてしまった可能性があるので、ＳＭＴＰサーバ（メール送信用サーバ）１０５を利用して、前記メールの取消しメールと、前記メールをＳＰＡＭとして加工した結果をメール送信する。
【００８０】
過去の結果が「加工有」であり、現在の結果が「加工無」なら過去のＳＰＡＭ判定が誤りであった可能性が高いので、ＳＭＴＰサーバ１０５を利用して、前記メールの取消しメールを送信し、前記メールを未加工のまま送信する。
【００８１】
＜本実施例によって得られる効果＞
本実施例のセキュリティリスク検出システムによれば、スパムフィルタが過去にスパムメールをそのまま通過させてしまっていた場合でも、取り消して正しい結果をメール受信者に伝えることが可能となる。
【００８２】
また、スパムフィルタが過去にスパムと誤判定していた場合でも、取り消して正しい結果をメール受信者に伝えることが可能となる。例えば、誤判定により重要なメールがゴミ箱フォルダに振り分けられていた場合でも再送信によりメール受信者がその旨気付くことができる。
【００８３】
上記のように、本発明の実施例によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなる。
【００８４】
本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【符号の説明】
【００８５】
１０・・・セキュリティリスク検出システム
２０・・・外部ネットワーク（インターネット）
３０・・・内部ネットワーク（イントラネット）
３１・・・コンピュータ（ＰＣ）
３１ａ・・・コンピュータａ（ＰＣａ）
３１ｂ・・・コンピュータｂ（ＰＣｂ）
３２・・・バーチャルＬＡＮ対応ネットワークスイッチ（ＶＬＡＮ対応ＳＷ）
４０・・・スイッチ（ＳＷ）
４０ａ・・・スイッチａ（ＳＷａ）
４０ｂ・・・スイッチｂ（ＳＷｂ）
５０・・・フィルタ群
５０ａ・・・フィルタ群ａ
５０ｂ・・・フィルタ群ｂ
５１・・・ファイアウォール（ＦＷ）
５２・・・不正侵入不正行為検出装置（ＩＰＳ／ＩＤＳ）
５３・・・ウイルス対策ゲートウェイ（ＧＷ）
６０・・・ネットワークフォレンジックツール
６０ａ・・・ネットワークフォレンジックツールａ（ＮＦＴａ）
６０ｂ・・・ネットワークフォレンジックツールｂ（ＮＦＴｂ）
７０・・・ディスク
７０ａ・・・ディスクａ
７０ｂ・・・ディスクｂ
８０・・・再検証／比較サーバ
８０ａ・・・再検証／比較サーバａ
８０ｂ・・・再検証／比較サーバｂ
１００・・・外部システム
１０５・・・ＳＭＴＰサーバ（メール送信用サーバ）
１１０・・・保存期間判定サーバ
１２０・・・ウィルスデータベースサーバ
【特許請求の範囲】
【請求項１】
第１のネットワークと第２のネットワークとの間に設けられ、前記第１のネットワークから入力された通信データをフィルタリングして出力する第１のフィルタ手段と、
前記第１のネットワークから前記第１のフィルタ手段に入力された通信データを保存する第１の保存手段と、
前記第１のフィルタ手段から出力された通信データを保存する第２の保存手段と、
前記第１の保存手段に保存されている通信データをフィルタリングして出力する第２のフィルタ手段と、
前記第２のフィルタ手段から出力された通信データを保存する第３の保存手段と、
前記第２の保存手段に保存されている通信データと前記第１の保存手段に保存されている通信データが前記第２のフィルタ手段でフィルタリングされた結果として前記第２のフィルタ手段から出力され前記第３の保存手段に保存された通信データとを比較し、この比較結果を外部システムに通知する比較手段と
を具備することを特徴とするセキュリティリスク検出システム。
【請求項２】
前記比較手段で比較した通信データが一致しない場合、前記一致しない通信データの少なくとも送信元または受信先いずれかのノードを指定するアドレスを持つ通信データを前記第１のフィルタ手段が遮断する
ことを特徴とする請求項１記載のセキュリティリスク検出システム。
【請求項３】
前記第１のネットワークと前記第２のネットワーク内に設けられたノードとの通信データの通過をアドレスごとに遮断する検疫ネットワーク手段を更に備え、
前記比較手段で比較した通信データが一致しない場合、前記検疫ネットワーク手段は前記一致しない通信データの送信元または受信先となるノードのうち、少なくともいずれかのノードとの通信データの通過を遮断する
ことを特徴とする請求項１乃至請求項２記載のセキュリティリスク検出システム。
【請求項４】
ウイルスの登場時期とそれらの検出と駆除のためのパターンファイル作成時期の情報を保存したウイルス情報保存手段と、
前記第１の保存手段と前記第２の保存手段における通信データの保存期間を指示する指示手段とを備え、
前記指示手段は、前記ウイルス情報保存手段から前記ウイルスの登場時期とそのウイルスに対応する前記パターンファイルの作成時期を取得してその差から各ウイルスの対処期間と対処数を算出し、
この対処数を度数とする度数分布に基づいてウイルスの前記対処期間が含まれる期間を判断し、
この期間を前記通信データの保存期間として前記第１の保存手段と前記第２の保存手段に指示すること
を特徴とする請求項１乃至請求項３記載のセキュリティリスク検出システム。
【請求項１】
第１のネットワークと第２のネットワークとの間に設けられ、前記第１のネットワークから入力された通信データをフィルタリングして出力する第１のフィルタ手段と、
前記第１のネットワークから前記第１のフィルタ手段に入力された通信データを保存する第１の保存手段と、
前記第１のフィルタ手段から出力された通信データを保存する第２の保存手段と、
前記第１の保存手段に保存されている通信データをフィルタリングして出力する第２のフィルタ手段と、
前記第２のフィルタ手段から出力された通信データを保存する第３の保存手段と、
前記第２の保存手段に保存されている通信データと前記第１の保存手段に保存されている通信データが前記第２のフィルタ手段でフィルタリングされた結果として前記第２のフィルタ手段から出力され前記第３の保存手段に保存された通信データとを比較し、この比較結果を外部システムに通知する比較手段と
を具備することを特徴とするセキュリティリスク検出システム。
【請求項２】
前記比較手段で比較した通信データが一致しない場合、前記一致しない通信データの少なくとも送信元または受信先いずれかのノードを指定するアドレスを持つ通信データを前記第１のフィルタ手段が遮断する
ことを特徴とする請求項１記載のセキュリティリスク検出システム。
【請求項３】
前記第１のネットワークと前記第２のネットワーク内に設けられたノードとの通信データの通過をアドレスごとに遮断する検疫ネットワーク手段を更に備え、
前記比較手段で比較した通信データが一致しない場合、前記検疫ネットワーク手段は前記一致しない通信データの送信元または受信先となるノードのうち、少なくともいずれかのノードとの通信データの通過を遮断する
ことを特徴とする請求項１乃至請求項２記載のセキュリティリスク検出システム。
【請求項４】
ウイルスの登場時期とそれらの検出と駆除のためのパターンファイル作成時期の情報を保存したウイルス情報保存手段と、
前記第１の保存手段と前記第２の保存手段における通信データの保存期間を指示する指示手段とを備え、
前記指示手段は、前記ウイルス情報保存手段から前記ウイルスの登場時期とそのウイルスに対応する前記パターンファイルの作成時期を取得してその差から各ウイルスの対処期間と対処数を算出し、
この対処数を度数とする度数分布に基づいてウイルスの前記対処期間が含まれる期間を判断し、
この期間を前記通信データの保存期間として前記第１の保存手段と前記第２の保存手段に指示すること
を特徴とする請求項１乃至請求項３記載のセキュリティリスク検出システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２０１１−１９８１４９（Ｐ２０１１−１９８１４９Ａ）
【公開日】平成２３年１０月６日（２０１１．１０．６）
【国際特許分類】
【出願番号】特願２０１０−６５２０２（Ｐ２０１０−６５２０２）
【出願日】平成２２年３月１９日（２０１０．３．１９）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
【公開日】平成２３年１０月６日（２０１１．１０．６）
【国際特許分類】
【出願日】平成２２年３月１９日（２０１０．３．１９）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
[ Back to top ]