セキュリティ監査における自動レポート生成方法及びプログラム並びに不正侵入検知装置
【課題】 セキュリティ監査レポートを自動的に生成する。
【解決手段】 （１）ネットワークを、外部ネットワーク、内部ネットワーク、ＤＭＺの３つのセグメントに分割し、その情報をテーブル又はプログラムに与える。（２）前記グループに、送信元と送信先を割り当てることで、３×３＝９のケースを作成する。（３）ＩＤＳが検知する各イベントについて、予め上記９のケースに対する監査結果を作成する。
（４）レポート生成時に、ログを上記９つのケースに基づいた監査結果を取り出し、レポートを自動的に生成する。
【解決手段】 （１）ネットワークを、外部ネットワーク、内部ネットワーク、ＤＭＺの３つのセグメントに分割し、その情報をテーブル又はプログラムに与える。（２）前記グループに、送信元と送信先を割り当てることで、３×３＝９のケースを作成する。（３）ＩＤＳが検知する各イベントについて、予め上記９のケースに対する監査結果を作成する。
（４）レポート生成時に、ログを上記９つのケースに基づいた監査結果を取り出し、レポートを自動的に生成する。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）においてセキュリティ監査のレポートを自動的に作成する手法に関する。
【背景技術】
【０００２】
コンピュータ及び電気通信網の発達に伴い、データ通信が飛躍的に普及している。企業ばかりでなく一般個人もインターネットに接続し、各種情報をダウンロードしたり、自分のウェブページを設けて情報を発信するようになってきている。
【０００３】
インターネットは誰でも利用できるため、一部の悪意を持つ者がコンピュータウイルスをばら撒いたり、コンピュータへ不正にアクセスして個人情報や秘密情報を盗み出したり、ウェブページを改ざんしたり、特定のサーバへ攻撃を掛けてその利用をできなくするようなことが発生している。このようなことからコンピュータ及びネットワークを守るためのセキュリティの確立が求められている。不正アクセスを防止するための装置として、ファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）、内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）が知られている。これらについて簡単に説明を加える。
【０００４】
（１）ファイアウォール
ファイアウォールは、インターネットなどの外部ネットワークとローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークの間に設けられるコンピュータであって、オープンでそれゆえ必ずしも信頼できない外部ネットワークを、企業のネットワークのように機密性の高い内部ネットワークから分離し、悪意を持った攻撃から内部ネットワークを守る「防火壁」に相当する装置である。
ファイアウォールは、管理者が意図するようなポリシー（ルール）に従ってデータ（パケット）の中継を管理し、ルールに適合しないデータの中継を拒否することにより、不正なデータが内部ネットワークに流れることを防止することができる。具体的には、ファイアウォールは、アクセス制限、アドレス変換、ログ収集／解析、ルーティングなどの処理を行う。
ファイアウォールだけではセキュリティの完全を期すことはできない。ファイアウォールは許可されていないアクセスを拒否できるが、許可されているアクセスを用いた不正アクセスのやり方があるためである。例えば、ウェブページの改ざんには、サーバのプログラムのバグを突いた攻撃が多く利用されているが、ファイアウォールによりそのような攻撃を防ぐことはできない。また、DoS（Denial of Services：ルータやサーバに不正なデータを送信したり、トラフィックを増大させることによりサービスを停止させる攻撃。「サービス停止攻撃」などと呼ばれる）やDDos（Distributed Denial of Services：攻撃の意図がない管理者、利用者のコンピュータを巻き込んだ複数のコンピュータによるDoS攻撃）といった攻撃もファイアウォールで防ぐことはできない。
【０００５】
（２）不正侵入検知装置（Intrusion Detection System：ＩＤＳ）
不正アクセス監視システム／侵入検知システムとも呼ばれ、ネットワークに流れるパケットを監視して、不正アクセスと思われるパケットを発見したときにアラームを表示するとともに、当該通信記録を収集して保存する装置である。Dos攻撃やDDos攻撃を検知することができる。
IDSのタイプとして、ネットワーク型監視（ネットワーク上のパケットを監視するもの）とサーバ型監視（サーバのＩ／Ｏパケットを監視するもの）がある。IDSによる不正アクセス検知の方式には、「シグネチャ」ベースの侵入検知（予め登録されたシグネチャと呼ばれる侵入手口のパターンとマッチングを行うことにより侵入を検知する手法）と、統計ベースの侵入検知（通常とは異なる振る舞いを検出する手法）がある。
IDSは不正侵入検知に有効であるが、他方限界もある。例えば次のような点に留意する必要がある。
・IDSは不審なパケットを検知することができても、対象サーバに対してそのパケットがもたらす影響、その通信による不正行為が成功したかどうかについては検知できない。
・ネットワークの高速化に伴い、キャプチャリングロスが発生したり、パケットシグネチャ分析の速度が追随できなくなることがある。
・誤検知／過剰検知が多く、正常な通信であるにもかかわらず、攻撃として検出されるケースが多い。
【０００６】
ファイアウォールと不正侵入検知装置は情報セキュリティを確保するための装置であるが、実際にどのような脅威を受けているか、システムの脆弱な部分はどこかなどの問題は個々のシステムにおいて異なる。そのため、システムごとに情報セキュリティ監査を行い、システム及びその運用の改善を心がけるべきである。情報セキュリティ監査とは、いわばシステムの「Check−点検」の段階に当たり、実施された情報セキュリティに関する対策を、補強、修正および改善するために設けられる、いわゆる「見直し」を行うためのものである。情報セキュリティ監査のために、不正侵入検知装置のログに基づきレポートを作成する必要がある。当該レポートは、システムにおいてどのような問題が生じているかを具体的に指摘するものであり、見直しのための有用な情報である。従来、各コンピュータ等の問題をレポートするツールは存在した。
【０００７】
監査レポート生成プログラムを開示するものとして下記特許文献１がある。
【特許文献１】特開２００４−１８５４５５号公報「情報セキュリティポリシーの監査支援方法および装置」 上記先行技術は、高度な専門知識がなくても、情報セキュリティポリシーに基づいたセキュリティ監査を実施する事を可能とするものであるが、各コンピュータ等の問題をレポートするだけのものであって、ネットワークの構成を反映したレポートを生成するツールではない。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
上述のようにネットワークの構成を反映したレポートを生成するツールは存在しなかった。そのため、コンサルタントが独自のノウハウでレポートを作成しているのが現状である。しかし、実際に求められているのは個々のコンピュータ（ファイアウォールなど）の問題のレポートではなく、ネットワーク全体のレポートである。このようなレポートの作成に要する労力は大きく、その軽減が求められている。
【０００９】
本発明は上記課題を解決するためになされたもので、ネットワークの構成を反映したレポートを自動的に作成することのできる手法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
この発明は、
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）と、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルを備えるか、又は、前記９通りのケースに関する情報が予めプログラムに与えられており、さらに、前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースとを備える前記不正侵入検知装置のデータを分析する装置と、を備えるシステムで監査レポートを作成するための方法であって、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先を取得し、
取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当て、
レポート作成時に、前記テーブルに係る前記９通りのケースの内容又は前記プログラムにより割り当てられた前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成する、ことを特徴とする。
【００１１】
例えば、前記テーブルはイベントの種類ごとに作成されるか（図３、図８参照）、又はイベントの種類を区別するための情報も併せて格納される。
【００１２】
例えば、前記レポートデータベースは、イベントの種類ごとに前記９通りのケースにそれぞれ対応するレポートを予め記憶している（図５、図９参照）。
【００１３】
この発明に係るプログラムは、
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、を備えるシステムで監査レポートをコンピュータに作成させるためのプログラムであって、
検知したイベントのデータの送信元と送信先を取得するステップと、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルが用意され、取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当てるステップと、
前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースとが用意されレポート作成時に、前記テーブルに係る前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成するステップとを実行させるためのものである。
【００１４】
この発明に係るセキュリティ監査における自動レポート生成装置は、
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、を備えるシステムにおいて、前記不正侵入検知装置のデータを分析するための装置であって、
前記装置は、
検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルを備えるか、又は、前記９通りのケースに関する情報が予めプログラムに与えられており、さらに、前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースとを備え、
検知したイベントのデータの送信元と送信先を取得し、取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当て、レポート作成時に、前記テーブルに係る前記９通りのケースの内容又は前記プログラムにより割り当てられた前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成する、ことを特徴とする。
【００１５】
この発明に係るプログラムは、例えば、記録媒体に記録される。
媒体には、例えば、ＥＰＲＯＭデバイス、フラッシュメモリデバイス、フレキシブルディスク、ハードディスク、磁気テープ、光磁気ディスク、ＣＤ（ＣＤ−ＲＯＭ、Ｖｉｄｅｏ−ＣＤを含む）、ＤＶＤ（ＤＶＤ−Ｖｉｄｅｏ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭを含む）、ＲＯＭカートリッジ、バッテリバックアップ付きのＲＡＭメモリカートリッジ、フラッシュメモリカートリッジ、不揮発性ＲＡＭカートリッジ等を含む。
【００１６】
媒体とは、何等かの物理的手段により情報（主にデジタルデータ、プログラム）が記録されているものであって、コンピュータ、専用プロセッサ等の処理装置に所定の機能を行わせることができるものである。
【発明を実施するための最良の形態】
【００１７】
図１はこの発明が適用されるシステムの一例を示す。図１において、１はインターネットなどの外部ネットワーク、２はローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークである。ここで、内部ネットワーク２は、インターネット１に対比して、外部に資源を公開していないネットワークを意味する。３は外部ネットワーク１と内部ネットワーク２の間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）である。内部ネットワーク２は、ＬＡＮとこれに接続されたＰＣ端末５ａ、５ｂ、社内用のＷＷＷサーバ７ａ、７ｂなどを含んでいる。４は内部ネットワーク２を流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）である。IDS４はインターネット１の直下（外部ネットワーク）や、内部ネットワークやDMZを含む複数の（好ましくは全ての）セグメントに設置される。このように各セグメントにIDSを設置するのは、例えば内部ネットワークにのみIDSを設置した場合、外部からDMZへの攻撃を検知することが出来ないなどの問題を避けるためである。
【００１８】
９は本発明の実施の形態に係る自動レポート作成装置であり、IDS４の全部又は一部から監視に係るデータを取得し、これに基づき監査レポートを作成する装置（プログラム）である。図２では自動レポート作成装置９を独立したひとつの装置として表現されているが、本発明はこのような形態に限定されない。他のシステム／装置の機能の一部として実現されることもある。
１０はＤＭＺ（De-Militarized Zone）、直訳すると「非武装地帯」と呼ばれるセグメントであり、インターネットなどの信頼できない外部ネットワーク１と、内部ネットワーク２の中間に置かれるものである。一般的に、内部ネットワークをインターネットに接続する際に、ＷＷＷサーバやメールサーバなどインターネットに公開しなければならないサーバは、ＤＭＺセグメント１０に設置される。ＤＭＺセグメント１０は、図１に示すように、２つのファイアウォール３の間に囲まれ、インターネットなどからの不正なアクセスから保護されるとともに、内部ネットワーク２への被害の拡散を防止する。図１に示すように、２つの別個独立したコンピュータ３でファイアウォールを構成するとセキュリティの強度が向上するので好ましいが、図１の点線で示すようにひとつのコンピュータでファイアウォール３を構成することもできる。
【００１９】
自動レポート作成装置９は、分類用の送信先−受信先テーブル９ａと、予めレポートの文面を記憶しているレポートデータベース９ｂと、検知したイベントを分類するためのイベント分類テーブル９ｃとを備える（図２参照）。これらの具体例は後述するが、簡単な説明を加える。
【００２０】
テーブル９ａは、不正侵入検知装置４が検知したイベントのデータから取得した送信元と送信先の対応関係を記憶する表である。送信元及び送信先に外部ネットワーク１、内部ネットワーク２及びＤＭＺ１０がそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルを備える（図３参照）。テーブル９ａを備える代わりに、前記９通りのケースに関する情報がプログラムに与えられていてもよい（当該プログラムにより合計９通りのケースの記憶場所が確保される）。
【００２１】
レポートデータベース９ｂは、前記９通りのケースそれぞれに対応して予め作成されたレポートの文言を記憶する（図５参照）。
【００２２】
イベント分類テーブル９ｃは検知したイベントを分類するためのものである。イベントを大まかに分類することもあれば（後述の「業務外の通信」など）、細かく分類することもある（後述の「チャット関係」など）。イベント分類テーブル９ｃに合わせてテーブル９ａを用意するとともに、レポートデータベース９ｂのレポートの内容を用意しておく。イベントとは、不正侵入検知装置４での監視対象になっているデータの送受信のことである。データには必ず送信先アドレスと受信先アドレスの情報が含まれている（図４参照）。イベント分類テーブル９ｃにより監査レポートの項目の増減できる。複数のイベント分類テーブル９ｃとともにテーブル９ａ及びレポートデータベース９ｂを用意しておけば、ひとつのシステムで複数種類の監査レポートを自動生成することができる。
【００２３】
図６及び図７を参照して発明の実施の形態に係る処理を説明する。
【００２４】
図６はテーブルへの割り当て処理を示す。不正侵入検知装置４でイベントを検知したら（Ｓ１）、当該イベントに係るデータの送信先及び送信元を取得する（Ｓ２）。イベントごとにテーブルを作成する場合は、検出したイベントに対応するテーブルを準備する（Ｓ３）。なお、複数のイベントをひとつのテーブルに割り当てるときは、イベントの識別情報を一緒に各ケースに割り当てるようにしてもよい。当該テーブルの３×３のケースのうち取得した送信先及び送信元に対応するケースに当該イベントを割り当てる（Ｓ４）。例えば、あるイベントの送信先と送信元がいずれも内部ネットワークであれば、図３の（内−内）のケースに当該イベントが割り当てられる（例えば、（内−内）の当該イベントが発生したフラグを立てたり、その回数を累積していく）。図６の処理を繰り返すことにより、不正侵入検知装置４の監視対象であるシステムにおいて、送信先−送信元に基づく分類が行われることになる。
【００２５】
図７は監査レポートの生成処理を示す。所望のタイミングで同図の処理を起動し、監査レポートを自動的に作成する。レポートを作成すべきイベントを指定し（Ｓ１０）、当該イベントの送信先−送信元テーブルの内容を取得する（Ｓ１１）。当該イベントについて、図３の送信先−送信元に基づく分類の結果を取得する。そして、当該テーブルの内容に対応するレポートを図５から取得する（Ｓ１２）。例えば、イベント１の送信先−送信元テーブルで（内−内）のケースのフラグが立っているとき、図５で対応するコメント（１，１）を取得する。このようにして取得したレポート（コメント）を出力する（Ｓ１３）。以上の処理を所望のイベントについて繰り返し行う（Ｓ１４）。
【００２６】
発明の実施の形態に係るセキュリティ監査における自動レポート生成手法によれば、予めネットワークを複数のグループに分割することで、ネットワーク構成を反映したレポートを生成することができる。すなわち、ＩＤＳ（不正侵入検知装置）を利用したネットワークセキュリティ監査システムにおいて、ＩＤＳにより生成されるログを、ネットワーク構成に基づいた分析を行い、自動的にレポートを作成することができる。
【００２７】
本発明の実施の形態に係る手法のポイントは次の通りである。
（１）ネットワークを、外部ネットワーク、内部ネットワーク、ＤＭＺの３つのセグメントに分割し、その情報をテーブル又はプログラムに与える。
（２）前記グループに、送信元と送信先を割り当てることで、３×３＝９のケースを作成する。
（３）ＩＤＳが検知する各イベントについて、予め上記９のケースに対する監査結果を作成する。
（４）レポート生成時に、ログを上記９つのケースに基づいた監査結果を取り出し、レポートを自動的に生成する。
【００２８】
発明の実施の形態によれば、コンサルタントが手書きで作成するレポートと同等のレポートを自動的に作成することができる。例えば、コンピュータウイルスメールが(内−内）で多く検出されれば、当該ウイルスが「内部ネットワークでどんどん拡散している」というレポートを提示し、（内−外）で多く検出されれば、当該ウイルスが「外部へ拡散している」というレポートを提示する。このような具体的なレポートの提示を受ければ、直ちに具体的な対策を講ずることができるようになる。
【００２９】
＜検出対象のイベントの説明＞
発明の実施の形態に関連する検出対象のイベントについて例を挙げて説明する。
当該イベントとして次のようなものがある。
１．業務外の通信
（１−１）チャット関係
（１−２）Ｐ２Ｐ接続
（１−３）ウェブメール
２．不正アクセスなど疑わしい通信
（２−１）バックドア、ＷＥＢクライアントへの攻撃
（２−２）パスワード取得、認証の失敗、管理者権限取得
（２−３）スキャン関係
（２−４）ＴＦＴＰ関係、ウイルス・ワーム
（２−５）脆弱なパスワード
３．その他問題となる通信
（３−１）データベース関連
（３−２）ネットワーク設定、サーバの設定等、クライアントの設定等、機器設定
（３−３）リモート接続、スパム（第三者中継）
【００３０】
図３のテーブルを３つ備え、１．業務外の通信、２．不正アクセスなど疑わしい通信、３．その他問題となる通信、のそれぞれに対応付けることもできる。また、１１個の（１−１）チャット関係、・・・のそれぞれに対応付けることもできる。いずれの場合も３×３のテーブルを用いる。上記は一例であり、イベントをさらに細かい区分に分類してもよい。
【００３１】
参考までに上記カテゴリについて説明を加える。
１．業務外の通信
（１−１）チャット関係
チャットがすぐにセキュリティ上の脅威になるわけではないが、業務時間中の私的私用の可能性が高く好ましくない。さらに、情報漏洩のおそれがある。
（１−２）Ｐ２Ｐ接続
Ｐ２Ｐは著作権法上問題の有るコンテンツのやり取りが多い。さらに、情報漏洩のおそれがある。
（１−３）ウェブメール
内部ネットワーク（又はＤＭＺ）のメールサーバに記録が残らないため、情報漏洩が発生した場合に追跡することができない。
２．不正アクセスなど疑わしい通信
（２−１）バックドア、ＷＥＢクライアントへの攻撃
バックドア、トロイの木馬、スパイウエア等のカテゴリであり、ネットワークセキュリティに対して大きな脅威である。
（２−２）パスワード取得、認証の失敗、管理者権限取得
パスワードを盗まれたり管理者権限を取得されるとシステムに容易に侵入できてしまう。認証の失敗が多いことは、パスワードを取得するためにいわゆる辞書攻撃や総当り攻撃を受けている可能性がある。
（２−３）スキャン関係
自動化ツール等を用いたネットワークスキャンに関するイベントである。このカテゴリのイベントは攻撃の前触れの可能性がある。
（２−４）ＴＦＴＰ関係、ウイルス・ワーム
ＴＦＴＰはファームウエアの更新などに利用される場合があるが、パスワードを必要としないプロトコルであることから、侵入に利用されることがある。また、ワーム感染時のファイル転送に使われることもある。ウイルス・ワーム自体の挙動又はその侵入による副次的に検出されるイベントである。
（２−５）脆弱なパスワード
３．その他問題となる通信
（３−１）データベース関連
データベースの攻撃やデータベースの利用に関するイベントである。データベースへのアクセスは情報漏洩の際に利用されることが多く、一見正常な通信であっても確認する必要がある。
（３−２）ネットワーク設定、サーバの設定等、クライアントの設定等、機器設定
（３−３）リモート接続、スパム（第三者中継）
【００３２】
上記イベントの具体例の「１．業務外の通信（１）チャット関係」に即して図６及び図７を説明する。図８及び図９は、それぞれ図６及び図７の具体例を示す。
【００３３】
ＩＤＳ（不正侵入検知装置）が「１．業務外の通信（１）チャット関係」を検出すると（図６のＳ１）、そのデータの送信先（ＤＳＴ）と送信元（ＳＣＲ）を取得する（Ｓ２）。対応する図８のテーブルを準備する（Ｓ３）。図８の対応するケースを＋１する（Ｓ４）。内部ネットワークから外部ネットワークへの通信であるので、図８の１行２列目のケースが該当する。
【００３４】
監査レポートを生成する場合、「１．業務外の通信（１）チャット関係」を指定し（Ｓ１０）、図８のテーブルを読み込む（Ｓ１１）。当該テーブルで０より大きい値をもつものは内部ネットワークから外部ネットワークへの通信（内−外）である。他のケースに該当するイベントは発生しなかった。そこで、図９のデータベース（同図は「１．業務外の通信（１）チャット関係」の内容のみを示す）から、（内−外）に対応するコメント（３）を読み込む。コメント（３）は次のような内容である。なお、コメント（１）〜（９）は予め用意されている。これらに含まれる変数部分には具体的な送信先・送信元が表示される。
「コメント（３）＝％１サーバが利用されているようです。セキュリティポリシー上、許可されたサーバであるか、確認してください。」（％１はサーバの種類を示す変数）
【００３５】
このコメントは、内部の者（クライアントコンピュータ）が外部ネットワークに存在するサーバを利用してチャットを行っていることを示し、そのような行為がセキュリティポリシー上、許されているかどうか管理者に対して確認するように促すものである。
【００３６】
発明の実施の形態によれば、上記のような具体的なレポートを自動的に作成することができる。
【００３７】
本発明は、以上の実施の形態に限定されることなく、特許請求の範囲に記載された発明の範囲内で、種々の変更が可能であり、それらも本発明の範囲内に包含されるものであることは言うまでもない。
【００３８】
また、本明細書において、手段とは必ずしも物理的手段を意味するものではなく、各手段の機能が、ソフトウェアによって実現される場合も包含する。さらに、一つの手段の機能が、二つ以上の物理的手段により実現されても、若しくは、二つ以上の手段の機能が、一つの物理的手段により実現されてもよい。
【図面の簡単な説明】
【００３９】
【図１】発明の実施の形態が適用されるシステムの一例を示す図である。
【図２】発明の実施の形態に係る不正侵入検知装置を示す図である。
【図３】発明の実施の形態に係る送信先-送信元テーブルの説明図である。
【図４】不正侵入検知装置で検知したイベントに係るデータの説明図である。
【図５】発明の実施の形態に係るレポートデータベースの説明図である。
【図６】発明の実施の形態に係るイベントをテーブルへ割り当てる処理のフローチャートである。
【図７】発明の実施の形態に係る監査レポート生成処理のフローチャートである。
【図８】発明の実施の形態に係る送信先-送信元テーブルの具体例である。
【図９】発明の実施の形態に係るレポートデータベースの具体例である。
【符号の説明】
【００４０】
１ インターネット（外部ネットワーク）
２ 内部ネットワーク
３ ファイアウォール（ＦＷ）
４ 不正侵入検知装置（ＩＤＳ）
９ 自動レポート作成装置
１０ ＤＭＺ（De-Militarized zone）
【技術分野】
【０００１】
この発明は、内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）においてセキュリティ監査のレポートを自動的に作成する手法に関する。
【背景技術】
【０００２】
コンピュータ及び電気通信網の発達に伴い、データ通信が飛躍的に普及している。企業ばかりでなく一般個人もインターネットに接続し、各種情報をダウンロードしたり、自分のウェブページを設けて情報を発信するようになってきている。
【０００３】
インターネットは誰でも利用できるため、一部の悪意を持つ者がコンピュータウイルスをばら撒いたり、コンピュータへ不正にアクセスして個人情報や秘密情報を盗み出したり、ウェブページを改ざんしたり、特定のサーバへ攻撃を掛けてその利用をできなくするようなことが発生している。このようなことからコンピュータ及びネットワークを守るためのセキュリティの確立が求められている。不正アクセスを防止するための装置として、ファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）、内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）が知られている。これらについて簡単に説明を加える。
【０００４】
（１）ファイアウォール
ファイアウォールは、インターネットなどの外部ネットワークとローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークの間に設けられるコンピュータであって、オープンでそれゆえ必ずしも信頼できない外部ネットワークを、企業のネットワークのように機密性の高い内部ネットワークから分離し、悪意を持った攻撃から内部ネットワークを守る「防火壁」に相当する装置である。
ファイアウォールは、管理者が意図するようなポリシー（ルール）に従ってデータ（パケット）の中継を管理し、ルールに適合しないデータの中継を拒否することにより、不正なデータが内部ネットワークに流れることを防止することができる。具体的には、ファイアウォールは、アクセス制限、アドレス変換、ログ収集／解析、ルーティングなどの処理を行う。
ファイアウォールだけではセキュリティの完全を期すことはできない。ファイアウォールは許可されていないアクセスを拒否できるが、許可されているアクセスを用いた不正アクセスのやり方があるためである。例えば、ウェブページの改ざんには、サーバのプログラムのバグを突いた攻撃が多く利用されているが、ファイアウォールによりそのような攻撃を防ぐことはできない。また、DoS（Denial of Services：ルータやサーバに不正なデータを送信したり、トラフィックを増大させることによりサービスを停止させる攻撃。「サービス停止攻撃」などと呼ばれる）やDDos（Distributed Denial of Services：攻撃の意図がない管理者、利用者のコンピュータを巻き込んだ複数のコンピュータによるDoS攻撃）といった攻撃もファイアウォールで防ぐことはできない。
【０００５】
（２）不正侵入検知装置（Intrusion Detection System：ＩＤＳ）
不正アクセス監視システム／侵入検知システムとも呼ばれ、ネットワークに流れるパケットを監視して、不正アクセスと思われるパケットを発見したときにアラームを表示するとともに、当該通信記録を収集して保存する装置である。Dos攻撃やDDos攻撃を検知することができる。
IDSのタイプとして、ネットワーク型監視（ネットワーク上のパケットを監視するもの）とサーバ型監視（サーバのＩ／Ｏパケットを監視するもの）がある。IDSによる不正アクセス検知の方式には、「シグネチャ」ベースの侵入検知（予め登録されたシグネチャと呼ばれる侵入手口のパターンとマッチングを行うことにより侵入を検知する手法）と、統計ベースの侵入検知（通常とは異なる振る舞いを検出する手法）がある。
IDSは不正侵入検知に有効であるが、他方限界もある。例えば次のような点に留意する必要がある。
・IDSは不審なパケットを検知することができても、対象サーバに対してそのパケットがもたらす影響、その通信による不正行為が成功したかどうかについては検知できない。
・ネットワークの高速化に伴い、キャプチャリングロスが発生したり、パケットシグネチャ分析の速度が追随できなくなることがある。
・誤検知／過剰検知が多く、正常な通信であるにもかかわらず、攻撃として検出されるケースが多い。
【０００６】
ファイアウォールと不正侵入検知装置は情報セキュリティを確保するための装置であるが、実際にどのような脅威を受けているか、システムの脆弱な部分はどこかなどの問題は個々のシステムにおいて異なる。そのため、システムごとに情報セキュリティ監査を行い、システム及びその運用の改善を心がけるべきである。情報セキュリティ監査とは、いわばシステムの「Check−点検」の段階に当たり、実施された情報セキュリティに関する対策を、補強、修正および改善するために設けられる、いわゆる「見直し」を行うためのものである。情報セキュリティ監査のために、不正侵入検知装置のログに基づきレポートを作成する必要がある。当該レポートは、システムにおいてどのような問題が生じているかを具体的に指摘するものであり、見直しのための有用な情報である。従来、各コンピュータ等の問題をレポートするツールは存在した。
【０００７】
監査レポート生成プログラムを開示するものとして下記特許文献１がある。
【特許文献１】特開２００４−１８５４５５号公報「情報セキュリティポリシーの監査支援方法および装置」 上記先行技術は、高度な専門知識がなくても、情報セキュリティポリシーに基づいたセキュリティ監査を実施する事を可能とするものであるが、各コンピュータ等の問題をレポートするだけのものであって、ネットワークの構成を反映したレポートを生成するツールではない。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
上述のようにネットワークの構成を反映したレポートを生成するツールは存在しなかった。そのため、コンサルタントが独自のノウハウでレポートを作成しているのが現状である。しかし、実際に求められているのは個々のコンピュータ（ファイアウォールなど）の問題のレポートではなく、ネットワーク全体のレポートである。このようなレポートの作成に要する労力は大きく、その軽減が求められている。
【０００９】
本発明は上記課題を解決するためになされたもので、ネットワークの構成を反映したレポートを自動的に作成することのできる手法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
この発明は、
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）と、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルを備えるか、又は、前記９通りのケースに関する情報が予めプログラムに与えられており、さらに、前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースとを備える前記不正侵入検知装置のデータを分析する装置と、を備えるシステムで監査レポートを作成するための方法であって、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先を取得し、
取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当て、
レポート作成時に、前記テーブルに係る前記９通りのケースの内容又は前記プログラムにより割り当てられた前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成する、ことを特徴とする。
【００１１】
例えば、前記テーブルはイベントの種類ごとに作成されるか（図３、図８参照）、又はイベントの種類を区別するための情報も併せて格納される。
【００１２】
例えば、前記レポートデータベースは、イベントの種類ごとに前記９通りのケースにそれぞれ対応するレポートを予め記憶している（図５、図９参照）。
【００１３】
この発明に係るプログラムは、
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、を備えるシステムで監査レポートをコンピュータに作成させるためのプログラムであって、
検知したイベントのデータの送信元と送信先を取得するステップと、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルが用意され、取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当てるステップと、
前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースとが用意されレポート作成時に、前記テーブルに係る前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成するステップとを実行させるためのものである。
【００１４】
この発明に係るセキュリティ監査における自動レポート生成装置は、
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、を備えるシステムにおいて、前記不正侵入検知装置のデータを分析するための装置であって、
前記装置は、
検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルを備えるか、又は、前記９通りのケースに関する情報が予めプログラムに与えられており、さらに、前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースとを備え、
検知したイベントのデータの送信元と送信先を取得し、取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当て、レポート作成時に、前記テーブルに係る前記９通りのケースの内容又は前記プログラムにより割り当てられた前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成する、ことを特徴とする。
【００１５】
この発明に係るプログラムは、例えば、記録媒体に記録される。
媒体には、例えば、ＥＰＲＯＭデバイス、フラッシュメモリデバイス、フレキシブルディスク、ハードディスク、磁気テープ、光磁気ディスク、ＣＤ（ＣＤ−ＲＯＭ、Ｖｉｄｅｏ−ＣＤを含む）、ＤＶＤ（ＤＶＤ−Ｖｉｄｅｏ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭを含む）、ＲＯＭカートリッジ、バッテリバックアップ付きのＲＡＭメモリカートリッジ、フラッシュメモリカートリッジ、不揮発性ＲＡＭカートリッジ等を含む。
【００１６】
媒体とは、何等かの物理的手段により情報（主にデジタルデータ、プログラム）が記録されているものであって、コンピュータ、専用プロセッサ等の処理装置に所定の機能を行わせることができるものである。
【発明を実施するための最良の形態】
【００１７】
図１はこの発明が適用されるシステムの一例を示す。図１において、１はインターネットなどの外部ネットワーク、２はローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークである。ここで、内部ネットワーク２は、インターネット１に対比して、外部に資源を公開していないネットワークを意味する。３は外部ネットワーク１と内部ネットワーク２の間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）である。内部ネットワーク２は、ＬＡＮとこれに接続されたＰＣ端末５ａ、５ｂ、社内用のＷＷＷサーバ７ａ、７ｂなどを含んでいる。４は内部ネットワーク２を流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）である。IDS４はインターネット１の直下（外部ネットワーク）や、内部ネットワークやDMZを含む複数の（好ましくは全ての）セグメントに設置される。このように各セグメントにIDSを設置するのは、例えば内部ネットワークにのみIDSを設置した場合、外部からDMZへの攻撃を検知することが出来ないなどの問題を避けるためである。
【００１８】
９は本発明の実施の形態に係る自動レポート作成装置であり、IDS４の全部又は一部から監視に係るデータを取得し、これに基づき監査レポートを作成する装置（プログラム）である。図２では自動レポート作成装置９を独立したひとつの装置として表現されているが、本発明はこのような形態に限定されない。他のシステム／装置の機能の一部として実現されることもある。
１０はＤＭＺ（De-Militarized Zone）、直訳すると「非武装地帯」と呼ばれるセグメントであり、インターネットなどの信頼できない外部ネットワーク１と、内部ネットワーク２の中間に置かれるものである。一般的に、内部ネットワークをインターネットに接続する際に、ＷＷＷサーバやメールサーバなどインターネットに公開しなければならないサーバは、ＤＭＺセグメント１０に設置される。ＤＭＺセグメント１０は、図１に示すように、２つのファイアウォール３の間に囲まれ、インターネットなどからの不正なアクセスから保護されるとともに、内部ネットワーク２への被害の拡散を防止する。図１に示すように、２つの別個独立したコンピュータ３でファイアウォールを構成するとセキュリティの強度が向上するので好ましいが、図１の点線で示すようにひとつのコンピュータでファイアウォール３を構成することもできる。
【００１９】
自動レポート作成装置９は、分類用の送信先−受信先テーブル９ａと、予めレポートの文面を記憶しているレポートデータベース９ｂと、検知したイベントを分類するためのイベント分類テーブル９ｃとを備える（図２参照）。これらの具体例は後述するが、簡単な説明を加える。
【００２０】
テーブル９ａは、不正侵入検知装置４が検知したイベントのデータから取得した送信元と送信先の対応関係を記憶する表である。送信元及び送信先に外部ネットワーク１、内部ネットワーク２及びＤＭＺ１０がそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルを備える（図３参照）。テーブル９ａを備える代わりに、前記９通りのケースに関する情報がプログラムに与えられていてもよい（当該プログラムにより合計９通りのケースの記憶場所が確保される）。
【００２１】
レポートデータベース９ｂは、前記９通りのケースそれぞれに対応して予め作成されたレポートの文言を記憶する（図５参照）。
【００２２】
イベント分類テーブル９ｃは検知したイベントを分類するためのものである。イベントを大まかに分類することもあれば（後述の「業務外の通信」など）、細かく分類することもある（後述の「チャット関係」など）。イベント分類テーブル９ｃに合わせてテーブル９ａを用意するとともに、レポートデータベース９ｂのレポートの内容を用意しておく。イベントとは、不正侵入検知装置４での監視対象になっているデータの送受信のことである。データには必ず送信先アドレスと受信先アドレスの情報が含まれている（図４参照）。イベント分類テーブル９ｃにより監査レポートの項目の増減できる。複数のイベント分類テーブル９ｃとともにテーブル９ａ及びレポートデータベース９ｂを用意しておけば、ひとつのシステムで複数種類の監査レポートを自動生成することができる。
【００２３】
図６及び図７を参照して発明の実施の形態に係る処理を説明する。
【００２４】
図６はテーブルへの割り当て処理を示す。不正侵入検知装置４でイベントを検知したら（Ｓ１）、当該イベントに係るデータの送信先及び送信元を取得する（Ｓ２）。イベントごとにテーブルを作成する場合は、検出したイベントに対応するテーブルを準備する（Ｓ３）。なお、複数のイベントをひとつのテーブルに割り当てるときは、イベントの識別情報を一緒に各ケースに割り当てるようにしてもよい。当該テーブルの３×３のケースのうち取得した送信先及び送信元に対応するケースに当該イベントを割り当てる（Ｓ４）。例えば、あるイベントの送信先と送信元がいずれも内部ネットワークであれば、図３の（内−内）のケースに当該イベントが割り当てられる（例えば、（内−内）の当該イベントが発生したフラグを立てたり、その回数を累積していく）。図６の処理を繰り返すことにより、不正侵入検知装置４の監視対象であるシステムにおいて、送信先−送信元に基づく分類が行われることになる。
【００２５】
図７は監査レポートの生成処理を示す。所望のタイミングで同図の処理を起動し、監査レポートを自動的に作成する。レポートを作成すべきイベントを指定し（Ｓ１０）、当該イベントの送信先−送信元テーブルの内容を取得する（Ｓ１１）。当該イベントについて、図３の送信先−送信元に基づく分類の結果を取得する。そして、当該テーブルの内容に対応するレポートを図５から取得する（Ｓ１２）。例えば、イベント１の送信先−送信元テーブルで（内−内）のケースのフラグが立っているとき、図５で対応するコメント（１，１）を取得する。このようにして取得したレポート（コメント）を出力する（Ｓ１３）。以上の処理を所望のイベントについて繰り返し行う（Ｓ１４）。
【００２６】
発明の実施の形態に係るセキュリティ監査における自動レポート生成手法によれば、予めネットワークを複数のグループに分割することで、ネットワーク構成を反映したレポートを生成することができる。すなわち、ＩＤＳ（不正侵入検知装置）を利用したネットワークセキュリティ監査システムにおいて、ＩＤＳにより生成されるログを、ネットワーク構成に基づいた分析を行い、自動的にレポートを作成することができる。
【００２７】
本発明の実施の形態に係る手法のポイントは次の通りである。
（１）ネットワークを、外部ネットワーク、内部ネットワーク、ＤＭＺの３つのセグメントに分割し、その情報をテーブル又はプログラムに与える。
（２）前記グループに、送信元と送信先を割り当てることで、３×３＝９のケースを作成する。
（３）ＩＤＳが検知する各イベントについて、予め上記９のケースに対する監査結果を作成する。
（４）レポート生成時に、ログを上記９つのケースに基づいた監査結果を取り出し、レポートを自動的に生成する。
【００２８】
発明の実施の形態によれば、コンサルタントが手書きで作成するレポートと同等のレポートを自動的に作成することができる。例えば、コンピュータウイルスメールが(内−内）で多く検出されれば、当該ウイルスが「内部ネットワークでどんどん拡散している」というレポートを提示し、（内−外）で多く検出されれば、当該ウイルスが「外部へ拡散している」というレポートを提示する。このような具体的なレポートの提示を受ければ、直ちに具体的な対策を講ずることができるようになる。
【００２９】
＜検出対象のイベントの説明＞
発明の実施の形態に関連する検出対象のイベントについて例を挙げて説明する。
当該イベントとして次のようなものがある。
１．業務外の通信
（１−１）チャット関係
（１−２）Ｐ２Ｐ接続
（１−３）ウェブメール
２．不正アクセスなど疑わしい通信
（２−１）バックドア、ＷＥＢクライアントへの攻撃
（２−２）パスワード取得、認証の失敗、管理者権限取得
（２−３）スキャン関係
（２−４）ＴＦＴＰ関係、ウイルス・ワーム
（２−５）脆弱なパスワード
３．その他問題となる通信
（３−１）データベース関連
（３−２）ネットワーク設定、サーバの設定等、クライアントの設定等、機器設定
（３−３）リモート接続、スパム（第三者中継）
【００３０】
図３のテーブルを３つ備え、１．業務外の通信、２．不正アクセスなど疑わしい通信、３．その他問題となる通信、のそれぞれに対応付けることもできる。また、１１個の（１−１）チャット関係、・・・のそれぞれに対応付けることもできる。いずれの場合も３×３のテーブルを用いる。上記は一例であり、イベントをさらに細かい区分に分類してもよい。
【００３１】
参考までに上記カテゴリについて説明を加える。
１．業務外の通信
（１−１）チャット関係
チャットがすぐにセキュリティ上の脅威になるわけではないが、業務時間中の私的私用の可能性が高く好ましくない。さらに、情報漏洩のおそれがある。
（１−２）Ｐ２Ｐ接続
Ｐ２Ｐは著作権法上問題の有るコンテンツのやり取りが多い。さらに、情報漏洩のおそれがある。
（１−３）ウェブメール
内部ネットワーク（又はＤＭＺ）のメールサーバに記録が残らないため、情報漏洩が発生した場合に追跡することができない。
２．不正アクセスなど疑わしい通信
（２−１）バックドア、ＷＥＢクライアントへの攻撃
バックドア、トロイの木馬、スパイウエア等のカテゴリであり、ネットワークセキュリティに対して大きな脅威である。
（２−２）パスワード取得、認証の失敗、管理者権限取得
パスワードを盗まれたり管理者権限を取得されるとシステムに容易に侵入できてしまう。認証の失敗が多いことは、パスワードを取得するためにいわゆる辞書攻撃や総当り攻撃を受けている可能性がある。
（２−３）スキャン関係
自動化ツール等を用いたネットワークスキャンに関するイベントである。このカテゴリのイベントは攻撃の前触れの可能性がある。
（２−４）ＴＦＴＰ関係、ウイルス・ワーム
ＴＦＴＰはファームウエアの更新などに利用される場合があるが、パスワードを必要としないプロトコルであることから、侵入に利用されることがある。また、ワーム感染時のファイル転送に使われることもある。ウイルス・ワーム自体の挙動又はその侵入による副次的に検出されるイベントである。
（２−５）脆弱なパスワード
３．その他問題となる通信
（３−１）データベース関連
データベースの攻撃やデータベースの利用に関するイベントである。データベースへのアクセスは情報漏洩の際に利用されることが多く、一見正常な通信であっても確認する必要がある。
（３−２）ネットワーク設定、サーバの設定等、クライアントの設定等、機器設定
（３−３）リモート接続、スパム（第三者中継）
【００３２】
上記イベントの具体例の「１．業務外の通信（１）チャット関係」に即して図６及び図７を説明する。図８及び図９は、それぞれ図６及び図７の具体例を示す。
【００３３】
ＩＤＳ（不正侵入検知装置）が「１．業務外の通信（１）チャット関係」を検出すると（図６のＳ１）、そのデータの送信先（ＤＳＴ）と送信元（ＳＣＲ）を取得する（Ｓ２）。対応する図８のテーブルを準備する（Ｓ３）。図８の対応するケースを＋１する（Ｓ４）。内部ネットワークから外部ネットワークへの通信であるので、図８の１行２列目のケースが該当する。
【００３４】
監査レポートを生成する場合、「１．業務外の通信（１）チャット関係」を指定し（Ｓ１０）、図８のテーブルを読み込む（Ｓ１１）。当該テーブルで０より大きい値をもつものは内部ネットワークから外部ネットワークへの通信（内−外）である。他のケースに該当するイベントは発生しなかった。そこで、図９のデータベース（同図は「１．業務外の通信（１）チャット関係」の内容のみを示す）から、（内−外）に対応するコメント（３）を読み込む。コメント（３）は次のような内容である。なお、コメント（１）〜（９）は予め用意されている。これらに含まれる変数部分には具体的な送信先・送信元が表示される。
「コメント（３）＝％１サーバが利用されているようです。セキュリティポリシー上、許可されたサーバであるか、確認してください。」（％１はサーバの種類を示す変数）
【００３５】
このコメントは、内部の者（クライアントコンピュータ）が外部ネットワークに存在するサーバを利用してチャットを行っていることを示し、そのような行為がセキュリティポリシー上、許されているかどうか管理者に対して確認するように促すものである。
【００３６】
発明の実施の形態によれば、上記のような具体的なレポートを自動的に作成することができる。
【００３７】
本発明は、以上の実施の形態に限定されることなく、特許請求の範囲に記載された発明の範囲内で、種々の変更が可能であり、それらも本発明の範囲内に包含されるものであることは言うまでもない。
【００３８】
また、本明細書において、手段とは必ずしも物理的手段を意味するものではなく、各手段の機能が、ソフトウェアによって実現される場合も包含する。さらに、一つの手段の機能が、二つ以上の物理的手段により実現されても、若しくは、二つ以上の手段の機能が、一つの物理的手段により実現されてもよい。
【図面の簡単な説明】
【００３９】
【図１】発明の実施の形態が適用されるシステムの一例を示す図である。
【図２】発明の実施の形態に係る不正侵入検知装置を示す図である。
【図３】発明の実施の形態に係る送信先-送信元テーブルの説明図である。
【図４】不正侵入検知装置で検知したイベントに係るデータの説明図である。
【図５】発明の実施の形態に係るレポートデータベースの説明図である。
【図６】発明の実施の形態に係るイベントをテーブルへ割り当てる処理のフローチャートである。
【図７】発明の実施の形態に係る監査レポート生成処理のフローチャートである。
【図８】発明の実施の形態に係る送信先-送信元テーブルの具体例である。
【図９】発明の実施の形態に係るレポートデータベースの具体例である。
【符号の説明】
【００４０】
１ インターネット（外部ネットワーク）
２ 内部ネットワーク
３ ファイアウォール（ＦＷ）
４ 不正侵入検知装置（ＩＤＳ）
９ 自動レポート作成装置
１０ ＤＭＺ（De-Militarized zone）
【特許請求の範囲】
【請求項１】
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）と、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルを備えるか、又は、前記９通りのケースに関する情報が予めプログラムに与えられており、さらに、前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースとを備える前記不正侵入検知装置のデータを分析する装置と、を備えるシステムで監査レポートを作成するための方法であって、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先を取得し、
取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当て、
レポート作成時に、前記テーブルに係る前記９通りのケースの内容又は前記プログラムにより割り当てられた前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成する、ことを特徴とするセキュリティ監査における自動レポート生成方法。
【請求項２】
前記テーブルはイベントの種類ごとに作成されるか、又はイベントの種類を区別するための情報も併せて格納されることを特徴とする請求項１記載のセキュリティ監査における自動レポート生成方法。
【請求項３】
前記レポートデータベースは、イベントの種類ごとに前記９通りのケースにそれぞれ対応するレポートを予め記憶していることを特徴とする請求項１記載のセキュリティ監査における自動レポート生成方法。
【請求項４】
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、を備えるシステムで監査レポートをコンピュータに作成させるためのプログラムであって、
検知したイベントのデータの送信元と送信先を取得するステップと、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルが用意され、取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当てるステップと、
前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースが用意され、レポート作成時に、前記テーブルに係る前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成するステップとを実行させるためのプログラム。
【請求項５】
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、を備えるシステムにおいて、前記不正侵入検知装置のデータを分析するための装置であって、
前記装置は、
検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルを備えるか、又は、前記９通りのケースに関する情報が予めプログラムに与えられており、さらに、前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースとを備え、
検知したイベントのデータの送信元と送信先を取得し、取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当て、レポート作成時に、前記テーブルに係る前記９通りのケースの内容又は前記プログラムにより割り当てられた前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成する、ことを特徴とするセキュリティ監査における自動レポート生成装置。
【請求項１】
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）と、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルを備えるか、又は、前記９通りのケースに関する情報が予めプログラムに与えられており、さらに、前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースとを備える前記不正侵入検知装置のデータを分析する装置と、を備えるシステムで監査レポートを作成するための方法であって、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先を取得し、
取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当て、
レポート作成時に、前記テーブルに係る前記９通りのケースの内容又は前記プログラムにより割り当てられた前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成する、ことを特徴とするセキュリティ監査における自動レポート生成方法。
【請求項２】
前記テーブルはイベントの種類ごとに作成されるか、又はイベントの種類を区別するための情報も併せて格納されることを特徴とする請求項１記載のセキュリティ監査における自動レポート生成方法。
【請求項３】
前記レポートデータベースは、イベントの種類ごとに前記９通りのケースにそれぞれ対応するレポートを予め記憶していることを特徴とする請求項１記載のセキュリティ監査における自動レポート生成方法。
【請求項４】
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、を備えるシステムで監査レポートをコンピュータに作成させるためのプログラムであって、
検知したイベントのデータの送信元と送信先を取得するステップと、
前記不正侵入検知装置で検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルが用意され、取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当てるステップと、
前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースが用意され、レポート作成時に、前記テーブルに係る前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成するステップとを実行させるためのプログラム。
【請求項５】
インターネットなどの外部ネットワークと、
ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、
前記外部ネットワークと前記内部ネットワークの中間に置かれるセグメントであるＤＭＺ（De-Militarized Zone）と、
前記外部ネットワークと前記内部ネットワークの間、前記外部ネットワークと前記ＤＭＺの間及び／又は前記内部ネットワークと前記ＤＭＺの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、
前記外部ネットワークと他のセグメントの接続個所又は前記内部ネットワーク、前記ＤＭＺを含むセグメントの全部又は一部に設置され、データを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、を備えるシステムにおいて、前記不正侵入検知装置のデータを分析するための装置であって、
前記装置は、
検知したイベントのデータの送信元と送信先の対応表であって、送信元及び送信先に前記３つの外部ネットワーク、内部ネットワーク及びＤＭＺがそれぞれ割り当てられて３×３の合計９通りのケースを含むテーブルを備えるか、又は、前記９通りのケースに関する情報が予めプログラムに与えられており、さらに、前記９通りのケースの全部又は一部に対応して予め作成されたレポートを記憶するレポートデータベースとを備え、
検知したイベントのデータの送信元と送信先を取得し、取得した送信元と送信先に基づき当該イベントを前記９通りのケースのいずれかに割り当て、レポート作成時に、前記テーブルに係る前記９通りのケースの内容又は前記プログラムにより割り当てられた前記９通りのケースの内容の全部又は一部に基づき前記レポートデータベースから対応するレポートを取り出すことにより監査レポートを生成する、ことを特徴とするセキュリティ監査における自動レポート生成装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２００６−２２７８４２（Ｐ２００６−２２７８４２Ａ）
【公開日】平成１８年８月３１日（２００６．８．３１）
【国際特許分類】
【出願番号】特願２００５−３９８６３（Ｐ２００５−３９８６３）
【出願日】平成１７年２月１６日（２００５．２．１６）
【出願人】（５０４２５２６６２）インターネットセキュリティシステムズ株式会社 (2)
【Ｆターム（参考）】
【公開日】平成１８年８月３１日（２００６．８．３１）
【国際特許分類】
【出願日】平成１７年２月１６日（２００５．２．１６）
【出願人】（５０４２５２６６２）インターネットセキュリティシステムズ株式会社 (2)
【Ｆターム（参考）】
[ Back to top ]