ネットワーク統合監視装置、ネットワーク統合監視方法及びネットワーク統合監視システム
【課題】既存の設備を利用して不正アクセスによる攻撃を監視し、感染コンピュータから他のコンピュータへの攻撃を防ぐネットワーク統合監視装置を提供する。
【解決手段】 不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信する受信部１１と、記憶装置１０７からコンピュータのＩＰアドレスとコンピュータが接続されたルータの識別子が関連付けられたネットワークデータベース１２を読み出すとともに、感染情報に含まれる感染コンピュータのＩＰアドレスに基づいて、感染コンピュータが接続されたルータの識別子を検索する検索部１３と、この検索部１３で検索されたルータに感染コンピュータのＩＰアドレスを通知する通知部１４とを備える。
【解決手段】 不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信する受信部１１と、記憶装置１０７からコンピュータのＩＰアドレスとコンピュータが接続されたルータの識別子が関連付けられたネットワークデータベース１２を読み出すとともに、感染情報に含まれる感染コンピュータのＩＰアドレスに基づいて、感染コンピュータが接続されたルータの識別子を検索する検索部１３と、この検索部１３で検索されたルータに感染コンピュータのＩＰアドレスを通知する通知部１４とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータウィルスや不正アクセスによる攻撃を受けた感染コンピュータから他のコンピュータへの攻撃を防ぐネットワーク統合監視装置、ネットワーク統合監視方法及びネットワーク統合監視システムに関する。
【背景技術】
【０００２】
近年のコンピュータネットワークの発達に伴い、コンピュータワーム、ウィルス、ハッキングなどの不正アクセスも増加し、コンピュータネットワークを介して機密情報が流出したりサービス不能攻撃を受けたりする場合がある。コンピュータワームは、例えばＮｉｍｄａ、Ｃｏｄｅ Ｒｅｄ等が挙げられ、コンピュータにインストールされるオペレーションシステムやソフトウェアのセキュリティホールと呼ばれるバグを狙ってコンピュータを攻撃する。感染速度が早く危険度も高いコンピュータワームが度々発生され、莫大な損害を与える場合もある。
【０００３】
しかし、ネットワークの利便性を享受しながら安全性も確保するためには、適切なセキュリティ対策が不可欠である。特に企業や団体などの組織においては、この様に不正アクセスに対して、ファイアウォールを設ける方法や、ウィルス対策ソフトウェアをインストールすることにより不正アクセスを防御する対策が求められている。
【０００４】
しかし、ＴＣＰ／ＩＰを採用したコンピュータネットワークにおいてファイアウォールは、送信元のＩＰアドレスやポート番号によって通信を許可するか否かを判定しているので、ファイアウォールのみによるセキュリティ対策は安全性の確保が困難になっている。
【０００５】
このような攻撃に対応すべく、従来のネットワーク統合監視システムにおいては、図９に示すように、不正アクセスの侵入を検知するＩＤＳ（Intrusion Detection System）装置５２や更に保護対象となるサーバを侵入から保護するＩＤＰ（Intrusion Detection and Prevention）装置５３を備えることで、感染コンピュータ７１からの攻撃を検知し、感染を防いでいる。
【０００６】
このような従来のシステムとして、例えば、一方側の通信路との接続とを排他的に選択して不正行為からデータを守るために、外部ネットワークと内部ネットワークとを目的に応じたアクセス要求の制御信号によって切り離す制御端末を利用した技術がある（例えば、特許文献１）。
【０００７】
また、パケットの内容で不正か否かを判断することにより、正規な要求元からの攻撃を検知する技術もある（例えば、特許文献２）。
【０００８】
さらに、特異データを収集することで、コンピュータウィルスの種別やその仕組みが明らかとなり、そのワクチン等の対策データが提供される以前の状態でその発生を検出して感染を防止する技術もある（例えば、特許文献３）。
【特許文献１】特開２００３−１５２８０６号公報
【特許文献２】特開２００２−７３４３３号公報
【特許文献３】特開２００３−２４１９８９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
しかしながら、ＩＤＰは保護対象となるサーバを保護するものであるので、社内イントラネットなどの通信ネットワークに存在する全ての情報機器をＩＤＰ装置によって保護することは不可能である。
【００１０】
例えば、コンピュータは、ウィルス対策ソフトウェアについて常に最新のウィルスパターンファイルを取得し、セキュリティホールを修正する修正ファイルを適用することにより、不正アクセスから防御する場合も多い。しかし、組織の通信ネットワーク上に存在する全てのコンピュータを防御するためには、多大なコストと労力とを引換に厳密に管理しなければならない。従ってウィルスパターンファイルの管理や修正ファイルの管理によって全てのコンピュータを不正アクセスから防御することは事実上不可能で、管理されないコンピュータの脆弱性が高くなってしまう。
【００１１】
従って、通信ネットワークに不正アクセスが侵入してコンピュータに感染してしまうと、脆弱性の高いコンピュータが狙われ、更に被害が拡大してしまう問題がある。
【００１２】
そのため、上記の問題を解決するためにネットワーク内で感染コンピュータからの脆弱コンピュータへの連鎖的な感染を防止するシステムが求められている。
【００１３】
また、上述した特許文献１に記載のシステムにおいては、制御端末を外部のネットワークと内部のネットワークとの通信を切断する制御端末を設置することで、外部ネットワークの攻撃から内部ネットワークを守る技術が記載されているが、社内ネットワークなど、同一のネットワーク環境における防御については考慮されていない。
【００１４】
さらに、上述した特許文献２に記載の発明においては、侵入を検知し、攻撃に対応するためのパケット分析部等を有する侵入検知装置を備える必要がある。また、感染コンピュータではなく予め定義されている不正なパケットのデータのみに基づいて通信の遮断をしているため、感染コンピュータの通信を確立させる可能性がある。
【００１５】
また、特許文献３に記載の発明においても、外部との通信を切断する技術が記載されており、同一ネットワーク内における攻撃については考慮されていない。
【００１６】
従って、本発明は、既存の設備を利用して不正アクセスによる攻撃を監視し、感染コンピュータから他のコンピュータへの攻撃を防ぐネットワーク統合監視装置を提供することを目的とする。
【課題を解決するための手段】
【００１７】
上記課題を解決するために、本発明の第１の特徴に係るネットワーク統合監視装置は、不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信する受信部と、記憶装置からコンピュータのＩＰアドレスとコンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、感染情報に含まれる感染コンピュータのＩＰアドレスに基づいて、感染コンピュータが接続されたルータの識別子を検索する検索部と、この検索部で検索されたルータに感染コンピュータのＩＰアドレスを通知する通知部とを備えることを特徴としている。
【００１８】
上記構成の本発明によれば、既存の設備を利用して不正アクセスによる攻撃を監視し、攻撃がされていることを受信すると、感染コンピュータの通信を遮断させるためにルータに感染コンピュータを特定するＩＰアドレスをルータに送信して、感染コンピュータから他のコンピュータへの攻撃を防ぐネットワーク統合監視装置を提供することを可能とする。
【００１９】
本発明の第２の特徴に係るネットワーク統合監視装置は、感染情報は、更に攻撃の属性を含み、感染情報に基づいたフィルタリングルールに適合する通信制御命令をネットワークデータベースに登録されたルータに送信するか否かを判定する判定部を備え、判定部によって送信すると判定されると、通知部は、ネットワークデータベースに登録されたルータに通信制御命令を送信することが好ましい。
【００２０】
上記構成の本発明によれば、感染情報に基づいて通信制御命令をルータに送信することで感染の蔓延を防止することを可能とする。
【００２１】
本発明の第３の特徴に係るネットワーク統合監視方法は、不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信し、記憶装置からコンピュータのＩＰアドレスとコンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、感染情報に含まれる感染コンピュータのＩＰアドレスに基づいて、感染コンピュータが接続されたルータの識別子を検索し、検索されたルータに感染コンピュータのＩＰアドレスを通知することを特徴としている。
【００２２】
上記構成の本発明によれば、既存の設備を利用して不正アクセスによる攻撃を監視し、攻撃がされている場合には、ルータの制御によりＩＰアドレスで特定される感染コンピュータから他のコンピュータへの攻撃を防ぐネットワーク統合監視方法を提供することを可能とする。
【００２３】
本発明の第４の特徴に係るネットワーク統合監視システムは、不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信する第１の受信部と、記憶装置からコンピュータのＩＰアドレスとコンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、感染情報に含まれる感染コンピュータのＩＰアドレスに基づいて、感染コンピュータが接続されたルータの識別子を検索する検索部と、この検索部で検索されたルータに感染コンピュータのＩＰアドレスを含む切断命令を通知する通知部とを有するネットワーク統合監視装置と、 ネットワーク統合監視装置から送信された切断命令及び接続される各コンピュータから送信されるデータを受信する第２の受信部と、第２の受信部で受信した切断命令に含まれる感染コンピュータのＩＰアドレスを感染リストとして記憶する感染リスト記憶部と、第２の受信部で送信データを受信したとき、この送信データに記述されている送信元ＩＰアドレスまたは宛先ＩＰアドレスが感染リスト記憶部で記憶されているリストに存在するか否かを比較する比較部と、この比較部で送信データが、感染コンピュータから送信された送信データまたは、感染コンピュータに対して送信された送信データであることが判断された場合、この送信データをフィルタリングする攻撃パケットフィルタリング部とを有するルータとを備えることを特徴としている。
【００２４】
上記構成の本発明によれば、既存の設備を利用して不正アクセスによる攻撃を監視し、感染コンピュータの攻撃がされると、ＩＰアドレスに基づいて感染コンピュータを特定してルータの制御によって感染コンピュータから他のコンピュータへの攻撃を防ぐネットワーク統合監視システムを提供することを可能とする。
【発明の効果】
【００２５】
本発明によれば、不正アクセスによる攻撃を受けた感染コンピュータからの攻撃を検出すると、この感染コンピュータの通信を切断するネットワーク統合監視装置及びネットワーク統合監視システムを提供することができる。
【発明を実施するための最良の形態】
【００２６】
次に、図面を参照して、本発明の実施の形態を説明する。
【００２７】
図１に、本発明の最良の実施の形態に係るネットワーク統合監視装置１０が接続されるネットワーク統合監視システム１を示す。
【００２８】
［ネットワーク統合監視システム］
図１に示す例は、例えば、社内ネットワークなどのネットワーク環境などが想定される。図１に示す例では、本発明に係るネットワーク統合監視装置１０は第１のネットワークセグメント２０に接続されている。この第１のネットワークセグメント２０は、ルータ４０ａを介して第２のネットワークセグメント３０ａと相互に接続されている。また、第１のネットワークセグメント２０は、ルータ４０ｂを介して第３のネットワークセグメント３０ｂと相互に接続されている。
【００２９】
第１のネットワークセグメント２０は、ネットワーク統合監視装置１０、第１のネットワークセグメント２０への不正アクセスの侵入を検知するＩＤＳ装置２１及びＩＤＰ装置２２が接続されている。また、ＩＤＰ装置２２には、ＩＤＰ装置２２によって保護されるウェブサーバ２３が接続されている。
【００３０】
第２のネットワークセグメント３０ａは、侵入したコンピュータワームによって感染された感染コンピュータ３１ａ及びコンピュータ３２ａが接続されている。
【００３１】
第３のネットワークセグメント３０ｂは、セキュリティパッチやウィルスパターンファイルの管理が不十分な脆弱コンピュータ３１ｂ及びコンピュータ３２ｂが接続されている。
【００３２】
［ネットワーク統合監視装置］
本発明の最良の実施の形態に係るネットワーク統合監視装置１０は、図２に示すように、中央処理制御装置１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３及び入出力インタフェース１０９が、バス１１０を介して接続されている。入出力インタフェース１０９には、入力装置１０４、表示装置１０５、通信制御装置１０６、記憶装置１０７及びリムーバブルディスク１０８が接続されている。
【００３３】
中央処理制御装置１０１は、入力装置１０４からの入力信号に基づいてＲＯＭ１０２からネットワーク統合監視装置１０を起動するためのブートプログラムを読み出して実行し、更に記憶装置１０７に記憶されたオペレーティングシステムを読み出す。更に中央処理制御装置１０１は、入力装置１０４や通信制御装置１０６などの入力信号に基づいて、各種装置の制御を行ったり、ＲＡＭ１０３や記憶装置１０７などに記憶されたプログラム及びデータを読み出してＲＡＭ１０３にロードするとともに、ＲＡＭ１０３から読み出されたプログラムのコマンドに基づいて、データの計算又は加工など、後述する一連の処理を実現する処理装置である。
【００３４】
入力装置１０４は、操作者が各種の操作を入力するキーボード、マウスなどの入力デバイスにより構成されており、操作者の操作に基づいて入力信号を作成し、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送信される。表示装置１０５は、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイなどであり、中央処理制御装置１０１からバス１１０及び入出力インタフェース１０９を介して表示装置１０５において表示させる出力信号を受信し、例えば中央処理制御装置１０１の処理結果などを表示する装置である。通信制御装置１０６は、ＬＡＮカードやモデムなどの装置であり、ネットワーク統合監視装置１０をインターネットやＬＡＮなどの通信ネットワークに接続する装置である。通信制御装置１０６を介して通信ネットワークと送受信したデータは入力信号又は出力信号として、入出力インタフェース及びバス１１０を介して中央処理制御装置１０１に送受信される。
【００３５】
記憶装置１０７は半導体記憶装置又は磁気ディスク装置等であって、中央処理制御装置１０１で実行されるプログラムやデータが記憶されている。リムーバブルディスク１０８は、光ディスクやフレキシブルディスクのことであり、ディスクドライブによって読み書きされた信号は、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送受信される。
【００３６】
本発明の第１の実施の形態に係るネットワーク統合監視装置１０の記憶装置１０７には、通信切断プログラムが記憶されるとともに、ネットワークデータベース１２が記憶される。また、この通信妨害プログラムがネットワーク統合監視装置１０の中央処理制御装置１０１に読み込まれて実行されることによって、受信部１１、検索部１３及び通知部１４が実装される。
【００３７】
上述したように、記憶装置１０７に実装された本発明に係るネットワーク統合監視装置１０は、図１に示すように、受信部１１と、ネットワークデータベース１２と、検索部１３及び通知部１４を有している。
【００３８】
受信部１１は、不正アクセスによる攻撃を受けた感染コンピュータ３１ａのＩＰアドレスを受信し、感染コンピュータ３１ａを特定する少なくともＩＰアドレスを含む感染情報を受信する。この感染情報は、例えば、第１のネットワークセグメント２０を介して接続されるＩＤＳ装置２１やＩＤＰ装置２２から送信される。また、感染情報には、攻撃プロトコル、ポート番号、アプリケーションの重要度又は危険度のいずれか１つ以上の情報を含んでいる。
【００３９】
ネットワークデータベース１２は、ネットワーク統合監視装置１０によって管理されるコンピュータのＩＰアドレスと、各コンピュータが接続されたルータの識別子が関連付けられたデータを備えて記憶装置１０７に記憶している。ネットワークデータベース１２は、例えば、図５に示す様に、ルータ、ルータが接続されているネットワークセグメント、ネットワークセグメントに接続されているコンピュータのＩＰアドレス等の関係が関連付けられている。
【００４０】
検索部１３は、ネットワークデータベース１２を記憶装置１０７から読み出すとともに、感染情報に含まれる感染コンピュータ３１ａのＩＰアドレスに基づいて、感染コンピュータ３１ａが接続されたルータ４０ａの識別子を検索する。
【００４１】
通知部１４は、検索部１３で検索された感染コンピュータ３１ａが接続されるルータ４０ａに対して感染コンピュータ３１ａのＩＰアドレスを含む切断命令を送信する。
【００４２】
［ルータ］
本発明に係るネットワーク統合監視システム１で使用されるルータ４０ａには、受信部４１ａと、感染リスト記憶部４２ａと、比較部４３ａ及び攻撃パケットフィルタリング部４４ａを有している。
【００４３】
受信部４１ａは、ネットワーク統合監視装置１０から送信された切断命令及び接続される各コンピュータから送信されるデータを受信する。
【００４４】
感染リスト記憶部４２ａは、受信部４１ａで受信した切断命令に記述される感染コンピュータ３１ａのＩＰアドレスを感染リストとして記憶する。
【００４５】
比較部４３ａは、ルータ４０ａの受信部４１ａで通信データを受信したとき、この通信データに記述されている送信元ＩＰアドレスまたは宛先ＩＰアドレスが感染リスト記憶部４２ａで記憶されているリストに存在するか否かを比較する。
【００４６】
攻撃パケットフィルタリング部４４ａは、比較部４３ａでリストに存在する感染コンピュータ３１ａから送信された通信データまたは、感染コンピュータ３１ａに対して送信された通信データを受信したことが判断された場合、この通信データを破棄する。また、受信した通信データが感染コンピュータ３１ａから送信された通信データまたは、感染コンピュータ３１ａに対して送信された通信データではないことが判断された場合、この通信データは通過させる。
【００４７】
本発明に係るネットワーク統合監視システム１で使用されるルータ４０ｂも、上述したルータ４０ａと同様の構成を備えている。
【００４８】
本発明に係るネットワーク統合監視システムの一例として、ルータを例として説明しているが、ルータにはレイヤ３スイッチも含み、このようなＩＰアドレスを元にパケットの宛先を決定することのできる通信制御装置であれば、実現することができる。
【００４９】
［ネットワーク統合監視装置における通知処理］
次に、図４に示すフローチャートを参照して、図１で示した本発明の最良の実施の形態に係るネットワーク統合監視システム１における処理の流れを説明する。
【００５０】
ネットワーク統合監視システム１は、ＩＤＳ装置２１やＩＤＰ装置２２によって感染コンピュータ３１ａからの攻撃を監視している。この監視は、例えば、ＩＤＳ装置２１内に予め記憶されている攻撃を特定する攻撃データと第１のネットワークセグメント２０を介して入力されるデータとのパターンマッチングを行なうことで、感染コンピュータ３１ａからの攻撃を検出する。
【００５１】
このネットワーク統合監視システム１に接続されるネットワーク統合監視装置１０では、受信部１１において、例えばＩＤＳ装置２１から送信される攻撃に関する感染情報を待機している（Ｓ０１）。受信部１１に入力される感染情報は、感染コンピュータ３１ａを特定するために送信元ＩＰアドレスを有するデータである。
【００５２】
ステップＳ０１で受信部１１で感染情報を受信したことを確認すると、検索部１３は、ネットワークデータベース１２を参照して取得した感染情報に記述される送信元ＩＰアドレスに基づいて、感染コンピュータ３１ａを特定する（Ｓ０２）。
【００５３】
また、検索部１３は、特定された感染コンピュータ３１ａが属しているネットワークセグメント３０ａを判別するとともに、判別されたネットワークセグメント３０ａに接続されるルータ４０ａを検索する（Ｓ０３）。
【００５４】
続いて、ネットワーク統合監視装置１０の通知部１４は、ステップＳ０３で検索されたルータ４０ａに感染コンピュータ３１ａの通信を切断することを指示する切断命令を送信する（Ｓ０４）。この切断命令には、感染コンピュータ３１ａを特定するために、例えば、感染コンピュータ３１ａのＩＰアドレスが記述されている。
【００５５】
［ルータにおける切断処理］
続いて、図５に示すフローチャートを用いて、ルータ４０ａにおける切断処理の流れについて説明する。具体的には、ネットワーク統合監視装置１０から切断命令を受信したルータ４０ａが、切断命令で対象とされるＩＰアドレスの感染コンピュータ３１ａに関する通信を切断する処理の流れである。
【００５６】
ルータ４０ａの受信部４１ａは、ネットワーク統合監視装置１０から送信された切断命令を受信すると、この切断命令に記述されている感染コンピュータ３１ａのＩＰアドレスを感染リスト記憶部４２ａとして記憶し、ルータ４０ａでは切断処理が開始される。
【００５７】
まず、受信部４１ａは、通信データの受信を待機している（Ｓ１１）。ここで、ルータ４０ａの受信部４１ａで通信データが受信されると（Ｓ１１でＹＥＳ）、比較部４３ａにおいて、受信した通信データに記述された宛先ＩＰアドレス又は宛先ＩＰアドレスを感染リスト記憶部４２ａで記憶される感染コンピュータ３１ａのＩＰアドレスと比較する（Ｓ１２）。ここで、一致する場合には攻撃パケットフィルタリング部４４ａの処理により、通知データが破棄され（Ｓ１３）、一致しなかった場合には宛先ＩＰアドレスあてに通知データを送信する（Ｓ１４）。
【００５８】
具体的には、ステップＳ１２における比較により、受信した通知データの送信元ＩＰアドレスまたは宛先ＩＰアドレスが感染リストにある場合には（Ｓ１２でＹＥＳ）、この通知データを送信すると感染コンピュータ３１ａから脆弱コンピュータ３１ｂへのネットワークの接続が確立される恐れがあるため、これを防止するためにステップＳ１３で攻撃パケットフィルタリング部４４ａにおいて感染コンピュータ３１ａに関する通信を切断する。
【００５９】
また、ステップＳ１２における比較において、一致しないとされた場合には（Ｓ１２でＮＯ）、この通知データでは感染の恐れがないと判断されたことにより、破棄されることなく、宛先ＩＰアドレスあてに通信データを送信し、通常の通信が行われる。
【００６０】
ステップＳ１３における第１の切断の方法として、例えば、ネットワーク統合監視装置１０の通知部１４から通信を切断される命令が通知されると、通知されたＩＰアドレスのデータに関して通信を切断するパケットフィルタリングを利用する方法が考えられる。
【００６１】
また、ステップＳ１３における第２の切断の方法として、ポートをダウンする方法も考えられる。例えば、該当するＩＰアドレスのデータを破棄する。
【００６２】
さらに、ステップＳ１３における第３の切断の方法として、ポートを別のＶＬＡＮを設定して感染コンピュータ３１ａを独立したセグメントに設定する方法も考えられる。
【００６３】
このように、感染コンピュータ３１ａに関する通信を切断して、感染コンピュータ３１ａは、ルータ４０ａを介して他のネットワークセグメント３０ｂに接続される脆弱コンピュータ３１ｂと通信が確立されないため、感染コンピュータ３１ａによる二次感染を防ぐことができる。例えば、図１に示すネットワーク統合監視システム１の例では、第２のセグメントに属する感染コンピュータ３１ａから送信された攻撃は、第３のセグメントに属する脆弱コンピュータ３１ｂに受信されることはない。
【００６４】
上述したように、本発明に係るネットワーク統合監視装置１０を利用することで、社内ネットワーク等のネットワーク環境において、感染コンピュータの攻撃から脆弱コンピュータを保護することが可能になる。
【００６５】
また、本発明に係るネットワーク統合監視システム１は、ＩＤＳ装置やＩＤＰ装置を備える既存のシステムを利用して容易に実現することができる。
【００６６】
（変形例）
以下に、本発明の変形例として、感染が確認された際の感染の蔓延を防止するための処理について説明する。
【００６７】
図６に示すのは、本発明の変形例に係るネットワーク統合監視システム１ａを説明する図である。図６に示すネットワーク統合監視システム１ａは、図１と比較して、ネットワーク統合監視装置１０ａに判定部１５を備える点で異なる。
【００６８】
判定部１５は、感染情報に基づいたフィルタリングルールに適合する通信制御命令をネットワークデータベース１２に登録されたルータ４０ａ，４０ｂに送信するか否かを判定する。通信制御命令とは例えば、感染情報に含まれる攻撃プロトコル、ポート番号、アプリケーションの重要度又は危険度などの攻撃の属性に基づいて通信の許可がされる命令である。
【００６９】
また、このとき通知部１４は、判定部１５によって通信制御命令を送信すると判定されると、ネットワークデータベース１２に登録されたルータ４０ａ，４０ｂに通信制御命令を送信する。
【００７０】
［ルータを用いた感染蔓延の防止処理］
ネットワーク統合監視装置１０ａは、感染情報を受信すると、ルータ４０ａ，４０ｂを用いて、感染の蔓延を防止するための処理を行う。図７に示すフローチャートを参照して、ネットワーク統合監視装置１０ａにおける感染の蔓延を防止するための処理について説明する。
【００７１】
変形例に係るネットワーク統合監視装置１０ａの受信部１１は、ステップＳ２１において、ＩＤＳ装置２１からの感染情報を待機している（Ｓ２１）。
【００７２】
ネットワーク統合監視装置１０ａの判定部１５の判定に基づいた結果により、通知部１４は、受信部１１で感染情報を受信すると、接続される各ルータ４０ａ，４０ｂに対して通信制御命令として、非常時用のフィルタリングルールにしたがって通信を遮断する遮断命令を送信する（Ｓ２２）。
【００７３】
この非常時用のフィルタリングルールとは、通信データの送受信が行われる際、予め決められている重要な通信データに関しては破棄せずに通過させ、定められていない通信データについては破棄するものである。
【００７４】
攻撃に使用されているプロトコルで記述された通信データは、攻撃である可能性が高いため、これらの通信データを破棄することで予め感染を防いでいる。
【００７５】
判定部１５では、ステップＳ２２で設定したフィルタリングルールの対象となる通信データの送信がされていないことが確認されている（Ｓ２４）。この判定部１５において、攻撃がないことが確認されると（ステップＳ２４でＹＥＳ）、ステップＳ２２で設定されたフィルタリングルールを解除する解除命令が送信される（Ｓ２５）。その後、ステップＳ２１に戻り、再び新たな感染コンピュータ３１ａからの攻撃を監視する。
【００７６】
ここで、ステップＳ２４で、攻撃がないことを確認するためには、例えば、一定時間が経過する間に、再びステップＳ２１で検出された攻撃と同一種類の攻撃が検出されない場合に攻撃がないと確認できたと判断することができる。
【００７７】
また、他の方法として図８のフローチャートの処理に示すように、感染を防止することも可能である。図８に示すフローチャートでは、上述した図７の感染蔓延の防止処理と比較して、ステップＳ２２の処理に替えて、ステップＳ２３の処理を備えている点で異なる。
【００７８】
ステップＳ２３の処理においては、通信制御命令として、攻撃対象となるプロトコル及びポート番号の通信を遮断する命令を送信する。具体的には、現在検出された攻撃に使用されているプロトコル及びポート番号の通信データについては通過させないように破棄する遮断命令をルータ４０ａ，４０ｂに送信する。
【００７９】
上述した図７及び図８に示す例では、ステップＳ２２における廃棄処理と、ステップＳ２３における廃棄処理との２つの廃棄処理方法を別々に用いて感染を防止しているが、これら両者の廃棄処理を用いて感染蔓延の防止処理を行っても良い。
【００８０】
本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【図面の簡単な説明】
【００８１】
【図１】本発明に係るネットワーク統合監視装置を含むネットワーク統合監視システムを説明する図である。
【図２】本発明に係るネットワーク統合監視装置を説明する図である。
【図３】本発明に係るネットワーク統合監視装置で備えるネットワークデータベースの一例を説明する図である。
【図４】本発明に係るネットワーク統合監視装置における攻撃検出時の通信の切断の処理の流れを説明するフローチャートである。
【図５】ルータにおけるデータ受信時のフィルタリングの処理の流れを説明するフローチャートである。
【図６】本発明の変形例に係るネットワーク統合監視装置を含むネットワーク統合監視システムを説明する図である。
【図７】本発明の変形例に係るネットワーク統合監視装置における感染の蔓延を防止する処理の流れを説明するフローチャートである。
【図８】本発明の変形例に係るネットワーク統合監視装置における感染の蔓延を防止する処理の流れを説明するフローチャートである。
【図９】従来のネットワーク統合監視システムを説明する図である。
【符号の説明】
【００８２】
１，１ａ…ネットワーク統合監視システム
１０，１０ａ…ネットワーク統合監視装置
１１…受信部
１２…ネットワークデータベース
１３…検索部
１４…通知部
１５…判定部
２０，３０ａ，３０ｂ…ネットワークセグメント
２１…ＩＤＳ装置
２２…ＩＤＰ装置
２３…ウェブサーバ
３１ａ…感染コンピュータ
３１ｂ…脆弱コンピュータ
３２ａ，３２ｂ…コンピュータ
４０ａ，４０ｂ…ルータ
４１ａ…受信部
４２ａ…感染リスト記憶部
４３ａ…比較部
４４ａ…攻撃パケットフィルタリング部
１０１…中央処理制御装置
１０２…ＲＯＭ
１０３…ＲＡＭ
１０４…入力装置
１０５…表示装置
１０６…通信制御装置
１０７…記憶装置
１０８…リムーバブルディスク
１０９…入出力インタフェース
１１０…バス
【技術分野】
【０００１】
本発明は、コンピュータウィルスや不正アクセスによる攻撃を受けた感染コンピュータから他のコンピュータへの攻撃を防ぐネットワーク統合監視装置、ネットワーク統合監視方法及びネットワーク統合監視システムに関する。
【背景技術】
【０００２】
近年のコンピュータネットワークの発達に伴い、コンピュータワーム、ウィルス、ハッキングなどの不正アクセスも増加し、コンピュータネットワークを介して機密情報が流出したりサービス不能攻撃を受けたりする場合がある。コンピュータワームは、例えばＮｉｍｄａ、Ｃｏｄｅ Ｒｅｄ等が挙げられ、コンピュータにインストールされるオペレーションシステムやソフトウェアのセキュリティホールと呼ばれるバグを狙ってコンピュータを攻撃する。感染速度が早く危険度も高いコンピュータワームが度々発生され、莫大な損害を与える場合もある。
【０００３】
しかし、ネットワークの利便性を享受しながら安全性も確保するためには、適切なセキュリティ対策が不可欠である。特に企業や団体などの組織においては、この様に不正アクセスに対して、ファイアウォールを設ける方法や、ウィルス対策ソフトウェアをインストールすることにより不正アクセスを防御する対策が求められている。
【０００４】
しかし、ＴＣＰ／ＩＰを採用したコンピュータネットワークにおいてファイアウォールは、送信元のＩＰアドレスやポート番号によって通信を許可するか否かを判定しているので、ファイアウォールのみによるセキュリティ対策は安全性の確保が困難になっている。
【０００５】
このような攻撃に対応すべく、従来のネットワーク統合監視システムにおいては、図９に示すように、不正アクセスの侵入を検知するＩＤＳ（Intrusion Detection System）装置５２や更に保護対象となるサーバを侵入から保護するＩＤＰ（Intrusion Detection and Prevention）装置５３を備えることで、感染コンピュータ７１からの攻撃を検知し、感染を防いでいる。
【０００６】
このような従来のシステムとして、例えば、一方側の通信路との接続とを排他的に選択して不正行為からデータを守るために、外部ネットワークと内部ネットワークとを目的に応じたアクセス要求の制御信号によって切り離す制御端末を利用した技術がある（例えば、特許文献１）。
【０００７】
また、パケットの内容で不正か否かを判断することにより、正規な要求元からの攻撃を検知する技術もある（例えば、特許文献２）。
【０００８】
さらに、特異データを収集することで、コンピュータウィルスの種別やその仕組みが明らかとなり、そのワクチン等の対策データが提供される以前の状態でその発生を検出して感染を防止する技術もある（例えば、特許文献３）。
【特許文献１】特開２００３−１５２８０６号公報
【特許文献２】特開２００２−７３４３３号公報
【特許文献３】特開２００３−２４１９８９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
しかしながら、ＩＤＰは保護対象となるサーバを保護するものであるので、社内イントラネットなどの通信ネットワークに存在する全ての情報機器をＩＤＰ装置によって保護することは不可能である。
【００１０】
例えば、コンピュータは、ウィルス対策ソフトウェアについて常に最新のウィルスパターンファイルを取得し、セキュリティホールを修正する修正ファイルを適用することにより、不正アクセスから防御する場合も多い。しかし、組織の通信ネットワーク上に存在する全てのコンピュータを防御するためには、多大なコストと労力とを引換に厳密に管理しなければならない。従ってウィルスパターンファイルの管理や修正ファイルの管理によって全てのコンピュータを不正アクセスから防御することは事実上不可能で、管理されないコンピュータの脆弱性が高くなってしまう。
【００１１】
従って、通信ネットワークに不正アクセスが侵入してコンピュータに感染してしまうと、脆弱性の高いコンピュータが狙われ、更に被害が拡大してしまう問題がある。
【００１２】
そのため、上記の問題を解決するためにネットワーク内で感染コンピュータからの脆弱コンピュータへの連鎖的な感染を防止するシステムが求められている。
【００１３】
また、上述した特許文献１に記載のシステムにおいては、制御端末を外部のネットワークと内部のネットワークとの通信を切断する制御端末を設置することで、外部ネットワークの攻撃から内部ネットワークを守る技術が記載されているが、社内ネットワークなど、同一のネットワーク環境における防御については考慮されていない。
【００１４】
さらに、上述した特許文献２に記載の発明においては、侵入を検知し、攻撃に対応するためのパケット分析部等を有する侵入検知装置を備える必要がある。また、感染コンピュータではなく予め定義されている不正なパケットのデータのみに基づいて通信の遮断をしているため、感染コンピュータの通信を確立させる可能性がある。
【００１５】
また、特許文献３に記載の発明においても、外部との通信を切断する技術が記載されており、同一ネットワーク内における攻撃については考慮されていない。
【００１６】
従って、本発明は、既存の設備を利用して不正アクセスによる攻撃を監視し、感染コンピュータから他のコンピュータへの攻撃を防ぐネットワーク統合監視装置を提供することを目的とする。
【課題を解決するための手段】
【００１７】
上記課題を解決するために、本発明の第１の特徴に係るネットワーク統合監視装置は、不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信する受信部と、記憶装置からコンピュータのＩＰアドレスとコンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、感染情報に含まれる感染コンピュータのＩＰアドレスに基づいて、感染コンピュータが接続されたルータの識別子を検索する検索部と、この検索部で検索されたルータに感染コンピュータのＩＰアドレスを通知する通知部とを備えることを特徴としている。
【００１８】
上記構成の本発明によれば、既存の設備を利用して不正アクセスによる攻撃を監視し、攻撃がされていることを受信すると、感染コンピュータの通信を遮断させるためにルータに感染コンピュータを特定するＩＰアドレスをルータに送信して、感染コンピュータから他のコンピュータへの攻撃を防ぐネットワーク統合監視装置を提供することを可能とする。
【００１９】
本発明の第２の特徴に係るネットワーク統合監視装置は、感染情報は、更に攻撃の属性を含み、感染情報に基づいたフィルタリングルールに適合する通信制御命令をネットワークデータベースに登録されたルータに送信するか否かを判定する判定部を備え、判定部によって送信すると判定されると、通知部は、ネットワークデータベースに登録されたルータに通信制御命令を送信することが好ましい。
【００２０】
上記構成の本発明によれば、感染情報に基づいて通信制御命令をルータに送信することで感染の蔓延を防止することを可能とする。
【００２１】
本発明の第３の特徴に係るネットワーク統合監視方法は、不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信し、記憶装置からコンピュータのＩＰアドレスとコンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、感染情報に含まれる感染コンピュータのＩＰアドレスに基づいて、感染コンピュータが接続されたルータの識別子を検索し、検索されたルータに感染コンピュータのＩＰアドレスを通知することを特徴としている。
【００２２】
上記構成の本発明によれば、既存の設備を利用して不正アクセスによる攻撃を監視し、攻撃がされている場合には、ルータの制御によりＩＰアドレスで特定される感染コンピュータから他のコンピュータへの攻撃を防ぐネットワーク統合監視方法を提供することを可能とする。
【００２３】
本発明の第４の特徴に係るネットワーク統合監視システムは、不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信する第１の受信部と、記憶装置からコンピュータのＩＰアドレスとコンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、感染情報に含まれる感染コンピュータのＩＰアドレスに基づいて、感染コンピュータが接続されたルータの識別子を検索する検索部と、この検索部で検索されたルータに感染コンピュータのＩＰアドレスを含む切断命令を通知する通知部とを有するネットワーク統合監視装置と、 ネットワーク統合監視装置から送信された切断命令及び接続される各コンピュータから送信されるデータを受信する第２の受信部と、第２の受信部で受信した切断命令に含まれる感染コンピュータのＩＰアドレスを感染リストとして記憶する感染リスト記憶部と、第２の受信部で送信データを受信したとき、この送信データに記述されている送信元ＩＰアドレスまたは宛先ＩＰアドレスが感染リスト記憶部で記憶されているリストに存在するか否かを比較する比較部と、この比較部で送信データが、感染コンピュータから送信された送信データまたは、感染コンピュータに対して送信された送信データであることが判断された場合、この送信データをフィルタリングする攻撃パケットフィルタリング部とを有するルータとを備えることを特徴としている。
【００２４】
上記構成の本発明によれば、既存の設備を利用して不正アクセスによる攻撃を監視し、感染コンピュータの攻撃がされると、ＩＰアドレスに基づいて感染コンピュータを特定してルータの制御によって感染コンピュータから他のコンピュータへの攻撃を防ぐネットワーク統合監視システムを提供することを可能とする。
【発明の効果】
【００２５】
本発明によれば、不正アクセスによる攻撃を受けた感染コンピュータからの攻撃を検出すると、この感染コンピュータの通信を切断するネットワーク統合監視装置及びネットワーク統合監視システムを提供することができる。
【発明を実施するための最良の形態】
【００２６】
次に、図面を参照して、本発明の実施の形態を説明する。
【００２７】
図１に、本発明の最良の実施の形態に係るネットワーク統合監視装置１０が接続されるネットワーク統合監視システム１を示す。
【００２８】
［ネットワーク統合監視システム］
図１に示す例は、例えば、社内ネットワークなどのネットワーク環境などが想定される。図１に示す例では、本発明に係るネットワーク統合監視装置１０は第１のネットワークセグメント２０に接続されている。この第１のネットワークセグメント２０は、ルータ４０ａを介して第２のネットワークセグメント３０ａと相互に接続されている。また、第１のネットワークセグメント２０は、ルータ４０ｂを介して第３のネットワークセグメント３０ｂと相互に接続されている。
【００２９】
第１のネットワークセグメント２０は、ネットワーク統合監視装置１０、第１のネットワークセグメント２０への不正アクセスの侵入を検知するＩＤＳ装置２１及びＩＤＰ装置２２が接続されている。また、ＩＤＰ装置２２には、ＩＤＰ装置２２によって保護されるウェブサーバ２３が接続されている。
【００３０】
第２のネットワークセグメント３０ａは、侵入したコンピュータワームによって感染された感染コンピュータ３１ａ及びコンピュータ３２ａが接続されている。
【００３１】
第３のネットワークセグメント３０ｂは、セキュリティパッチやウィルスパターンファイルの管理が不十分な脆弱コンピュータ３１ｂ及びコンピュータ３２ｂが接続されている。
【００３２】
［ネットワーク統合監視装置］
本発明の最良の実施の形態に係るネットワーク統合監視装置１０は、図２に示すように、中央処理制御装置１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３及び入出力インタフェース１０９が、バス１１０を介して接続されている。入出力インタフェース１０９には、入力装置１０４、表示装置１０５、通信制御装置１０６、記憶装置１０７及びリムーバブルディスク１０８が接続されている。
【００３３】
中央処理制御装置１０１は、入力装置１０４からの入力信号に基づいてＲＯＭ１０２からネットワーク統合監視装置１０を起動するためのブートプログラムを読み出して実行し、更に記憶装置１０７に記憶されたオペレーティングシステムを読み出す。更に中央処理制御装置１０１は、入力装置１０４や通信制御装置１０６などの入力信号に基づいて、各種装置の制御を行ったり、ＲＡＭ１０３や記憶装置１０７などに記憶されたプログラム及びデータを読み出してＲＡＭ１０３にロードするとともに、ＲＡＭ１０３から読み出されたプログラムのコマンドに基づいて、データの計算又は加工など、後述する一連の処理を実現する処理装置である。
【００３４】
入力装置１０４は、操作者が各種の操作を入力するキーボード、マウスなどの入力デバイスにより構成されており、操作者の操作に基づいて入力信号を作成し、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送信される。表示装置１０５は、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイなどであり、中央処理制御装置１０１からバス１１０及び入出力インタフェース１０９を介して表示装置１０５において表示させる出力信号を受信し、例えば中央処理制御装置１０１の処理結果などを表示する装置である。通信制御装置１０６は、ＬＡＮカードやモデムなどの装置であり、ネットワーク統合監視装置１０をインターネットやＬＡＮなどの通信ネットワークに接続する装置である。通信制御装置１０６を介して通信ネットワークと送受信したデータは入力信号又は出力信号として、入出力インタフェース及びバス１１０を介して中央処理制御装置１０１に送受信される。
【００３５】
記憶装置１０７は半導体記憶装置又は磁気ディスク装置等であって、中央処理制御装置１０１で実行されるプログラムやデータが記憶されている。リムーバブルディスク１０８は、光ディスクやフレキシブルディスクのことであり、ディスクドライブによって読み書きされた信号は、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送受信される。
【００３６】
本発明の第１の実施の形態に係るネットワーク統合監視装置１０の記憶装置１０７には、通信切断プログラムが記憶されるとともに、ネットワークデータベース１２が記憶される。また、この通信妨害プログラムがネットワーク統合監視装置１０の中央処理制御装置１０１に読み込まれて実行されることによって、受信部１１、検索部１３及び通知部１４が実装される。
【００３７】
上述したように、記憶装置１０７に実装された本発明に係るネットワーク統合監視装置１０は、図１に示すように、受信部１１と、ネットワークデータベース１２と、検索部１３及び通知部１４を有している。
【００３８】
受信部１１は、不正アクセスによる攻撃を受けた感染コンピュータ３１ａのＩＰアドレスを受信し、感染コンピュータ３１ａを特定する少なくともＩＰアドレスを含む感染情報を受信する。この感染情報は、例えば、第１のネットワークセグメント２０を介して接続されるＩＤＳ装置２１やＩＤＰ装置２２から送信される。また、感染情報には、攻撃プロトコル、ポート番号、アプリケーションの重要度又は危険度のいずれか１つ以上の情報を含んでいる。
【００３９】
ネットワークデータベース１２は、ネットワーク統合監視装置１０によって管理されるコンピュータのＩＰアドレスと、各コンピュータが接続されたルータの識別子が関連付けられたデータを備えて記憶装置１０７に記憶している。ネットワークデータベース１２は、例えば、図５に示す様に、ルータ、ルータが接続されているネットワークセグメント、ネットワークセグメントに接続されているコンピュータのＩＰアドレス等の関係が関連付けられている。
【００４０】
検索部１３は、ネットワークデータベース１２を記憶装置１０７から読み出すとともに、感染情報に含まれる感染コンピュータ３１ａのＩＰアドレスに基づいて、感染コンピュータ３１ａが接続されたルータ４０ａの識別子を検索する。
【００４１】
通知部１４は、検索部１３で検索された感染コンピュータ３１ａが接続されるルータ４０ａに対して感染コンピュータ３１ａのＩＰアドレスを含む切断命令を送信する。
【００４２】
［ルータ］
本発明に係るネットワーク統合監視システム１で使用されるルータ４０ａには、受信部４１ａと、感染リスト記憶部４２ａと、比較部４３ａ及び攻撃パケットフィルタリング部４４ａを有している。
【００４３】
受信部４１ａは、ネットワーク統合監視装置１０から送信された切断命令及び接続される各コンピュータから送信されるデータを受信する。
【００４４】
感染リスト記憶部４２ａは、受信部４１ａで受信した切断命令に記述される感染コンピュータ３１ａのＩＰアドレスを感染リストとして記憶する。
【００４５】
比較部４３ａは、ルータ４０ａの受信部４１ａで通信データを受信したとき、この通信データに記述されている送信元ＩＰアドレスまたは宛先ＩＰアドレスが感染リスト記憶部４２ａで記憶されているリストに存在するか否かを比較する。
【００４６】
攻撃パケットフィルタリング部４４ａは、比較部４３ａでリストに存在する感染コンピュータ３１ａから送信された通信データまたは、感染コンピュータ３１ａに対して送信された通信データを受信したことが判断された場合、この通信データを破棄する。また、受信した通信データが感染コンピュータ３１ａから送信された通信データまたは、感染コンピュータ３１ａに対して送信された通信データではないことが判断された場合、この通信データは通過させる。
【００４７】
本発明に係るネットワーク統合監視システム１で使用されるルータ４０ｂも、上述したルータ４０ａと同様の構成を備えている。
【００４８】
本発明に係るネットワーク統合監視システムの一例として、ルータを例として説明しているが、ルータにはレイヤ３スイッチも含み、このようなＩＰアドレスを元にパケットの宛先を決定することのできる通信制御装置であれば、実現することができる。
【００４９】
［ネットワーク統合監視装置における通知処理］
次に、図４に示すフローチャートを参照して、図１で示した本発明の最良の実施の形態に係るネットワーク統合監視システム１における処理の流れを説明する。
【００５０】
ネットワーク統合監視システム１は、ＩＤＳ装置２１やＩＤＰ装置２２によって感染コンピュータ３１ａからの攻撃を監視している。この監視は、例えば、ＩＤＳ装置２１内に予め記憶されている攻撃を特定する攻撃データと第１のネットワークセグメント２０を介して入力されるデータとのパターンマッチングを行なうことで、感染コンピュータ３１ａからの攻撃を検出する。
【００５１】
このネットワーク統合監視システム１に接続されるネットワーク統合監視装置１０では、受信部１１において、例えばＩＤＳ装置２１から送信される攻撃に関する感染情報を待機している（Ｓ０１）。受信部１１に入力される感染情報は、感染コンピュータ３１ａを特定するために送信元ＩＰアドレスを有するデータである。
【００５２】
ステップＳ０１で受信部１１で感染情報を受信したことを確認すると、検索部１３は、ネットワークデータベース１２を参照して取得した感染情報に記述される送信元ＩＰアドレスに基づいて、感染コンピュータ３１ａを特定する（Ｓ０２）。
【００５３】
また、検索部１３は、特定された感染コンピュータ３１ａが属しているネットワークセグメント３０ａを判別するとともに、判別されたネットワークセグメント３０ａに接続されるルータ４０ａを検索する（Ｓ０３）。
【００５４】
続いて、ネットワーク統合監視装置１０の通知部１４は、ステップＳ０３で検索されたルータ４０ａに感染コンピュータ３１ａの通信を切断することを指示する切断命令を送信する（Ｓ０４）。この切断命令には、感染コンピュータ３１ａを特定するために、例えば、感染コンピュータ３１ａのＩＰアドレスが記述されている。
【００５５】
［ルータにおける切断処理］
続いて、図５に示すフローチャートを用いて、ルータ４０ａにおける切断処理の流れについて説明する。具体的には、ネットワーク統合監視装置１０から切断命令を受信したルータ４０ａが、切断命令で対象とされるＩＰアドレスの感染コンピュータ３１ａに関する通信を切断する処理の流れである。
【００５６】
ルータ４０ａの受信部４１ａは、ネットワーク統合監視装置１０から送信された切断命令を受信すると、この切断命令に記述されている感染コンピュータ３１ａのＩＰアドレスを感染リスト記憶部４２ａとして記憶し、ルータ４０ａでは切断処理が開始される。
【００５７】
まず、受信部４１ａは、通信データの受信を待機している（Ｓ１１）。ここで、ルータ４０ａの受信部４１ａで通信データが受信されると（Ｓ１１でＹＥＳ）、比較部４３ａにおいて、受信した通信データに記述された宛先ＩＰアドレス又は宛先ＩＰアドレスを感染リスト記憶部４２ａで記憶される感染コンピュータ３１ａのＩＰアドレスと比較する（Ｓ１２）。ここで、一致する場合には攻撃パケットフィルタリング部４４ａの処理により、通知データが破棄され（Ｓ１３）、一致しなかった場合には宛先ＩＰアドレスあてに通知データを送信する（Ｓ１４）。
【００５８】
具体的には、ステップＳ１２における比較により、受信した通知データの送信元ＩＰアドレスまたは宛先ＩＰアドレスが感染リストにある場合には（Ｓ１２でＹＥＳ）、この通知データを送信すると感染コンピュータ３１ａから脆弱コンピュータ３１ｂへのネットワークの接続が確立される恐れがあるため、これを防止するためにステップＳ１３で攻撃パケットフィルタリング部４４ａにおいて感染コンピュータ３１ａに関する通信を切断する。
【００５９】
また、ステップＳ１２における比較において、一致しないとされた場合には（Ｓ１２でＮＯ）、この通知データでは感染の恐れがないと判断されたことにより、破棄されることなく、宛先ＩＰアドレスあてに通信データを送信し、通常の通信が行われる。
【００６０】
ステップＳ１３における第１の切断の方法として、例えば、ネットワーク統合監視装置１０の通知部１４から通信を切断される命令が通知されると、通知されたＩＰアドレスのデータに関して通信を切断するパケットフィルタリングを利用する方法が考えられる。
【００６１】
また、ステップＳ１３における第２の切断の方法として、ポートをダウンする方法も考えられる。例えば、該当するＩＰアドレスのデータを破棄する。
【００６２】
さらに、ステップＳ１３における第３の切断の方法として、ポートを別のＶＬＡＮを設定して感染コンピュータ３１ａを独立したセグメントに設定する方法も考えられる。
【００６３】
このように、感染コンピュータ３１ａに関する通信を切断して、感染コンピュータ３１ａは、ルータ４０ａを介して他のネットワークセグメント３０ｂに接続される脆弱コンピュータ３１ｂと通信が確立されないため、感染コンピュータ３１ａによる二次感染を防ぐことができる。例えば、図１に示すネットワーク統合監視システム１の例では、第２のセグメントに属する感染コンピュータ３１ａから送信された攻撃は、第３のセグメントに属する脆弱コンピュータ３１ｂに受信されることはない。
【００６４】
上述したように、本発明に係るネットワーク統合監視装置１０を利用することで、社内ネットワーク等のネットワーク環境において、感染コンピュータの攻撃から脆弱コンピュータを保護することが可能になる。
【００６５】
また、本発明に係るネットワーク統合監視システム１は、ＩＤＳ装置やＩＤＰ装置を備える既存のシステムを利用して容易に実現することができる。
【００６６】
（変形例）
以下に、本発明の変形例として、感染が確認された際の感染の蔓延を防止するための処理について説明する。
【００６７】
図６に示すのは、本発明の変形例に係るネットワーク統合監視システム１ａを説明する図である。図６に示すネットワーク統合監視システム１ａは、図１と比較して、ネットワーク統合監視装置１０ａに判定部１５を備える点で異なる。
【００６８】
判定部１５は、感染情報に基づいたフィルタリングルールに適合する通信制御命令をネットワークデータベース１２に登録されたルータ４０ａ，４０ｂに送信するか否かを判定する。通信制御命令とは例えば、感染情報に含まれる攻撃プロトコル、ポート番号、アプリケーションの重要度又は危険度などの攻撃の属性に基づいて通信の許可がされる命令である。
【００６９】
また、このとき通知部１４は、判定部１５によって通信制御命令を送信すると判定されると、ネットワークデータベース１２に登録されたルータ４０ａ，４０ｂに通信制御命令を送信する。
【００７０】
［ルータを用いた感染蔓延の防止処理］
ネットワーク統合監視装置１０ａは、感染情報を受信すると、ルータ４０ａ，４０ｂを用いて、感染の蔓延を防止するための処理を行う。図７に示すフローチャートを参照して、ネットワーク統合監視装置１０ａにおける感染の蔓延を防止するための処理について説明する。
【００７１】
変形例に係るネットワーク統合監視装置１０ａの受信部１１は、ステップＳ２１において、ＩＤＳ装置２１からの感染情報を待機している（Ｓ２１）。
【００７２】
ネットワーク統合監視装置１０ａの判定部１５の判定に基づいた結果により、通知部１４は、受信部１１で感染情報を受信すると、接続される各ルータ４０ａ，４０ｂに対して通信制御命令として、非常時用のフィルタリングルールにしたがって通信を遮断する遮断命令を送信する（Ｓ２２）。
【００７３】
この非常時用のフィルタリングルールとは、通信データの送受信が行われる際、予め決められている重要な通信データに関しては破棄せずに通過させ、定められていない通信データについては破棄するものである。
【００７４】
攻撃に使用されているプロトコルで記述された通信データは、攻撃である可能性が高いため、これらの通信データを破棄することで予め感染を防いでいる。
【００７５】
判定部１５では、ステップＳ２２で設定したフィルタリングルールの対象となる通信データの送信がされていないことが確認されている（Ｓ２４）。この判定部１５において、攻撃がないことが確認されると（ステップＳ２４でＹＥＳ）、ステップＳ２２で設定されたフィルタリングルールを解除する解除命令が送信される（Ｓ２５）。その後、ステップＳ２１に戻り、再び新たな感染コンピュータ３１ａからの攻撃を監視する。
【００７６】
ここで、ステップＳ２４で、攻撃がないことを確認するためには、例えば、一定時間が経過する間に、再びステップＳ２１で検出された攻撃と同一種類の攻撃が検出されない場合に攻撃がないと確認できたと判断することができる。
【００７７】
また、他の方法として図８のフローチャートの処理に示すように、感染を防止することも可能である。図８に示すフローチャートでは、上述した図７の感染蔓延の防止処理と比較して、ステップＳ２２の処理に替えて、ステップＳ２３の処理を備えている点で異なる。
【００７８】
ステップＳ２３の処理においては、通信制御命令として、攻撃対象となるプロトコル及びポート番号の通信を遮断する命令を送信する。具体的には、現在検出された攻撃に使用されているプロトコル及びポート番号の通信データについては通過させないように破棄する遮断命令をルータ４０ａ，４０ｂに送信する。
【００７９】
上述した図７及び図８に示す例では、ステップＳ２２における廃棄処理と、ステップＳ２３における廃棄処理との２つの廃棄処理方法を別々に用いて感染を防止しているが、これら両者の廃棄処理を用いて感染蔓延の防止処理を行っても良い。
【００８０】
本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【図面の簡単な説明】
【００８１】
【図１】本発明に係るネットワーク統合監視装置を含むネットワーク統合監視システムを説明する図である。
【図２】本発明に係るネットワーク統合監視装置を説明する図である。
【図３】本発明に係るネットワーク統合監視装置で備えるネットワークデータベースの一例を説明する図である。
【図４】本発明に係るネットワーク統合監視装置における攻撃検出時の通信の切断の処理の流れを説明するフローチャートである。
【図５】ルータにおけるデータ受信時のフィルタリングの処理の流れを説明するフローチャートである。
【図６】本発明の変形例に係るネットワーク統合監視装置を含むネットワーク統合監視システムを説明する図である。
【図７】本発明の変形例に係るネットワーク統合監視装置における感染の蔓延を防止する処理の流れを説明するフローチャートである。
【図８】本発明の変形例に係るネットワーク統合監視装置における感染の蔓延を防止する処理の流れを説明するフローチャートである。
【図９】従来のネットワーク統合監視システムを説明する図である。
【符号の説明】
【００８２】
１，１ａ…ネットワーク統合監視システム
１０，１０ａ…ネットワーク統合監視装置
１１…受信部
１２…ネットワークデータベース
１３…検索部
１４…通知部
１５…判定部
２０，３０ａ，３０ｂ…ネットワークセグメント
２１…ＩＤＳ装置
２２…ＩＤＰ装置
２３…ウェブサーバ
３１ａ…感染コンピュータ
３１ｂ…脆弱コンピュータ
３２ａ，３２ｂ…コンピュータ
４０ａ，４０ｂ…ルータ
４１ａ…受信部
４２ａ…感染リスト記憶部
４３ａ…比較部
４４ａ…攻撃パケットフィルタリング部
１０１…中央処理制御装置
１０２…ＲＯＭ
１０３…ＲＡＭ
１０４…入力装置
１０５…表示装置
１０６…通信制御装置
１０７…記憶装置
１０８…リムーバブルディスク
１０９…入出力インタフェース
１１０…バス
【特許請求の範囲】
【請求項１】
不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信する受信部と、
記憶装置からコンピュータのＩＰアドレスと前記コンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、前記感染情報に含まれる前記感染コンピュータのＩＰアドレスに基づいて、前記感染コンピュータが接続されたルータの識別子を検索する検索部と、
この検索部で検索されたルータに前記感染コンピュータのＩＰアドレスを通知する通知部と、
を備えることを特徴とするネットワーク統合監視装置。
【請求項２】
請求項１に記載のネットワーク統合監視装置において、
前記感染情報は、更に前記攻撃の属性を含み、前記感染情報に基づいたフィルタリングルールに適合する通信制御命令を前記ネットワークデータベースに登録されたルータに送信するか否かを判定する判定部を備え、
前記判定部によって送信すると判定されると、前記通知部は、前記ネットワークデータベースに登録されたルータに前記通信制御命令を送信する
ことを特徴とするネットワーク統合監視装置。
【請求項３】
不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信し、
記憶装置からコンピュータのＩＰアドレスと前記コンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、前記感染情報に含まれる前記感染コンピュータのＩＰアドレスに基づいて、前記感染コンピュータが接続されたルータの識別子を検索し、
検索されたルータに前記感染コンピュータのＩＰアドレスを通知する、
ことを特徴とするネットワーク統合監視方法。
【請求項４】
不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信する第１の受信部と、
記憶装置からコンピュータのＩＰアドレスと前記コンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、前記感染情報に含まれる前記感染コンピュータのＩＰアドレスに基づいて、前記感染コンピュータが接続されたルータの識別子を検索する検索部と、
この検索部で検索されたルータに前記感染コンピュータのＩＰアドレスを含む切断命令を通知する通知部と、
を有するネットワーク統合監視装置と、
前記ネットワーク統合監視装置から送信された切断命令及び接続される各コンピュータから送信されるデータを受信する第２の受信部と、
前記第２の受信部で受信した切断命令に含まれる感染コンピュータのＩＰアドレスを感染リストとして記憶する感染リスト記憶部と、
前記第２の受信部で送信データを受信したとき、この送信データに記述されている送信元ＩＰアドレスまたは宛先ＩＰアドレスが感染リスト記憶部で記憶されているリストに存在するか否かを比較する比較部と、
この比較部で前記送信データが、前記感染コンピュータから送信された送信データまたは、前記感染コンピュータに対して送信された送信データであることが判断された場合、この送信データをフィルタリングする攻撃パケットフィルタリング部と、
を有するルータと、
を備えることを特徴とするネットワーク統合監視システム。
【請求項１】
不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信する受信部と、
記憶装置からコンピュータのＩＰアドレスと前記コンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、前記感染情報に含まれる前記感染コンピュータのＩＰアドレスに基づいて、前記感染コンピュータが接続されたルータの識別子を検索する検索部と、
この検索部で検索されたルータに前記感染コンピュータのＩＰアドレスを通知する通知部と、
を備えることを特徴とするネットワーク統合監視装置。
【請求項２】
請求項１に記載のネットワーク統合監視装置において、
前記感染情報は、更に前記攻撃の属性を含み、前記感染情報に基づいたフィルタリングルールに適合する通信制御命令を前記ネットワークデータベースに登録されたルータに送信するか否かを判定する判定部を備え、
前記判定部によって送信すると判定されると、前記通知部は、前記ネットワークデータベースに登録されたルータに前記通信制御命令を送信する
ことを特徴とするネットワーク統合監視装置。
【請求項３】
不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信し、
記憶装置からコンピュータのＩＰアドレスと前記コンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、前記感染情報に含まれる前記感染コンピュータのＩＰアドレスに基づいて、前記感染コンピュータが接続されたルータの識別子を検索し、
検索されたルータに前記感染コンピュータのＩＰアドレスを通知する、
ことを特徴とするネットワーク統合監視方法。
【請求項４】
不正アクセスによる攻撃を受けた感染コンピュータを特定するＩＰアドレスを含む感染情報を受信する第１の受信部と、
記憶装置からコンピュータのＩＰアドレスと前記コンピュータが接続されたルータの識別子が関連付けられたネットワークデータベースを読み出すとともに、前記感染情報に含まれる前記感染コンピュータのＩＰアドレスに基づいて、前記感染コンピュータが接続されたルータの識別子を検索する検索部と、
この検索部で検索されたルータに前記感染コンピュータのＩＰアドレスを含む切断命令を通知する通知部と、
を有するネットワーク統合監視装置と、
前記ネットワーク統合監視装置から送信された切断命令及び接続される各コンピュータから送信されるデータを受信する第２の受信部と、
前記第２の受信部で受信した切断命令に含まれる感染コンピュータのＩＰアドレスを感染リストとして記憶する感染リスト記憶部と、
前記第２の受信部で送信データを受信したとき、この送信データに記述されている送信元ＩＰアドレスまたは宛先ＩＰアドレスが感染リスト記憶部で記憶されているリストに存在するか否かを比較する比較部と、
この比較部で前記送信データが、前記感染コンピュータから送信された送信データまたは、前記感染コンピュータに対して送信された送信データであることが判断された場合、この送信データをフィルタリングする攻撃パケットフィルタリング部と、
を有するルータと、
を備えることを特徴とするネットワーク統合監視システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２００６−１００９９６（Ｐ２００６−１００９９６Ａ）
【公開日】平成１８年４月１３日（２００６．４．１３）
【国際特許分類】
【出願番号】特願２００４−２８２２８４（Ｐ２００４−２８２２８４）
【出願日】平成１６年９月２８日（２００４．９．２８）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
【公開日】平成１８年４月１３日（２００６．４．１３）
【国際特許分類】
【出願日】平成１６年９月２８日（２００４．９．２８）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
[ Back to top ]