不正アクセス対応ネットワークシステム
【課題】広域ネットワークに接続されたコンピュータシステム内の構成機器で生じる不正アクセスに応じた対処手法を実行する。
【解決手段】検知制御装置ＭＧ１は、インシデントログをイベント形式のインシデント情報（イベント）に変換するインシデントログ定型化手段１０１、イベントを格納する定型化イベントデータベース１０２、対処が必要なイベントを抽出するイベント候補抽出手段１０３、対処が必要なイベントに対応する対処手法を定義する対処手法定義データベース１０４、対処が必要なイベントの実例を格納するイベントフィルタ定義データベース１０５、対象機器の情報を格納する対象機器管理データベース１０６、イベントフィルタ定義から抽出された対象機器に関連する定義を格納する発生イベント管理データベース１０７、及び対処手法実行手段２１１を備えて構成されている。
【解決手段】検知制御装置ＭＧ１は、インシデントログをイベント形式のインシデント情報（イベント）に変換するインシデントログ定型化手段１０１、イベントを格納する定型化イベントデータベース１０２、対処が必要なイベントを抽出するイベント候補抽出手段１０３、対処が必要なイベントに対応する対処手法を定義する対処手法定義データベース１０４、対処が必要なイベントの実例を格納するイベントフィルタ定義データベース１０５、対象機器の情報を格納する対象機器管理データベース１０６、イベントフィルタ定義から抽出された対象機器に関連する定義を格納する発生イベント管理データベース１０７、及び対処手法実行手段２１１を備えて構成されている。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、広域ネットワークに接続されたコンピュータシステムに対してセキュリティ管理手段を施すことにより、前記広域ネットワークを含むシステム全体のセキュリティを高める不正アクセス対応ネットワークシステムに係り、特に、ネットワークに接続されたコンピュータシステムのセキュリティを確保するために、不正アクセスに対する検知及び対処を行う手段を備えた不正アクセス対応ネットワークシステムに関する。
【背景技術】
【０００２】
近年、インターネット技術が企業活動のインフラとして広く活用されるようになったことに伴い、コンピュータウィルスやスパイウェア等による情報資産への不正アクセスの脅威を回避するためのセキュリティ対策が重要となってきている。このため、広域ネットワーク（インターネット網等）とコンピュータシステムとの境界にファイアウォールを設置して、外部からの不正アクセスを排除することが一つの対策となっている。
また、ウイルス検知ソフトウェアをインストールすることによるウイルス対策や、侵入検知装置（以下、「ＩＤＳ」と呼称する）を設置することによって不正アクセスを検知することが、他の一般的な対策として実施されている。
従来は、前述の対策をコンピュータシステムに施すことでもって、不正アクセス対応ネットワークシステムを構築していた。
【０００３】
ところで、不正アクセス対応ネットワークシステムを構築するための従来の対策では、変身し続ける新たなコンピュータウィルスへの別途対策が必要となる。
例えば、ウイルス検知ソフトウェアは、既にコンピュータシステムへのインストールが完了したものであっても、コンピュータシステム全体に渡って、ウイルス定義ファイルや、パターンファイル等を常に最新のものに更新しておかないと、有効に動作しない。即ち、コンピュータシステムに属する複数の端末装置のうち、その一部でもウイルス定義ファイルの更新を怠ってしまうと、その端末装置はウイルスやスパイウェアに感染する結果を招き、やがては、その端末装置自体も他の端末装置に対して不正アクセスを行ってしまうことになるという問題点があった。
【０００４】
そこで、このような問題点に対処するために、セキュリティ対策が十分でない端装置末からのウイルスの感染や不正アクセスを防止する共に、端末装置におけるセキュリティ対策を取ることを容易にするネットワークシステム及びネットワーク制御方法が提案されている（例えば、特許文献１参照。）。
【０００５】
また、従来は不正アクセスを前述のＩＤＳによって検知するものとしているが、実際にはＩＤＳで検知できない不正アクセスも存在する。そこで、ＩＤＳでは検知できないタイプの不正アクセスを検知することを意図し、各種ネットワーク構成機器からの情報を使用して、不正アクセスを見逃す可能性を低減するシステムが提案されている（例えば、特許文献２参照。）。
【特許文献１】特開２００５−１９７８１５号公報
【特許文献２】特開２００５−２０２６６４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、前述の特許文献１に記載のシステムでは、各端末装置のセキュリティ対策が十分になされたとしても、或る端末装置が、最新のウイルス定義ファイルに対応していない新型のウイルスやスパイウェアに感染した場合には、この端末装置がネットワークに接続されたままとなるので、不正アクセスがネットワーク中に蔓延してしまう。また、特許文献１に記載のネットワークシステムでは、前述のＩＤＳ（即ち、不正アクセスを検知する機器）が導入されていないため、不正アクセスの検出手段が無く、よって、ウイルスに感染した端末装置を特定するのに多大の時間と労力とを要するという問題点が有る。
【０００７】
また、前述の特許文献２に記載のシステムでは、或る端末装置がウイルスやスパイウェアに感染した場合、ＩＤＳによって不正アクセスが検知できたとしても、この端末装置はネットワークに接続されたままなので、隣接する端末装置がウイルスやスパイウェアに感染してしまうという問題点がある。
【０００８】
本発明は、上記従来の問題点に鑑みてなされたものであって、広域ネットワークに接続されたコンピュータシステム内の構成機器で生じる不正アクセスに応じた対処手法を実行することが可能として、不正アクセス見逃しの可能性を低減することができる不正アクセス対応ネットワークシステムを提供することを目的としている。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明に係る不正アクセス対応ネットワークシステムは、広域ネットワークに接続されたコンピュータシステムに対してセキュリティ管理手段を施すことにより、前記広域ネットワークを含むシステム全体のセキュリティを高める不正アクセス対応ネットワークシステムにおいて、前記広域ネットワークに接続された前記コンピュータシステム毎に、ネットワーク構成機器、複数種類の不正アクセスを検出するセンサ類、及び各種セキュリティアプリケーション等の、インシデントログ収集手段を備え、さらに、前記収集されたインシデントログの各々を定型形式のインシデントログ情報（以下、「イベント」と呼称する）に変換する手段と、前記イベントの内から、不正アクセスのイベントを検知する手段と、を備えたことを特徴とする不正アクセス対応ネットワークシステムを提供するものである。
このように構成することにより、ネットワーク構成機器、複数種類の不正アクセスに関する検知機器、及び各種セキュリティアプリケーションからの各種インシデントログを定型化し、定型化されたインシデントから不正アクセスのイベント検知を行い、ネットワーク機器の設定変更といったイベントに対応する対処手法を自動的に実行することによって、未知ウィルスやスパイウェアの感染等による不正アクセスを低減することができる。
【００１０】
また、前記不正アクセス対応ネットワークシステムにおいて、前記検知手段は、対象管理機器情報、イベントフィルタ定義情報、及び発生イベント管理情報が事前に格納されたデータベースを備え、前記の各情報と前記収集されたイベントとを前記データベース上で照合することにより、不正アクセスのイベントを検知することを特徴とする。
このように構成することにより、様々な種類の不正アクセスをきめ細かく照合することができるので、効率良く、かつ漏れなく不正アクセスを検知することができる。
【００１１】
さらに、前記不正アクセス対応ネットワークシステムにおいて、前記検知手段は、不正アクセスのイベントに対応する対処手法を定義した定義情報を事前に格納する対処手法格納データベースと、前記検知されたイベントと前記対処手法の定義情報とを前記対処手法格納データベース上で照合することにより、前記検知されたイベントに対応する対処手法を確定する手段と、前記確定された対処手法を実行する手段とを備えたことを特徴とする。
このように構成することにより、様々な種類の不正アクセスに対応する対処手法をきめ細かく照合することができるので、当該不正アクセスに最適な対処手法を実行することができる。また、前記イベントフィルタ定義情報と、対処手法格納データベース上の前記対処手法との組み合わせによって、多様なネットワーク構成機器、センサ、及びセキュリティ製品をそれぞれ連携させることが可能となる。例えば、セキュリティ製品ログＳＬ１から取得できるインシデントログと連動させたファイアウォールに対するプロトコルの遮断制御、及び前述のＩＤＳのインシデントログと連動させた各端末装置のウイルス定義ファイル強制更新の実施等、各種のセキュリティ製品と連動させたセキュリティ対策が可能となり、これにより、ネットワークシステム全体に対してセキュリティに関する多様な判断及び処置を行うことができる。
【００１２】
また、前記不正アクセス対応ネットワークシステムは、不正アクセスのイベントに対応する対処手法の１つとして、不正アクセスを行った機器の接続ポートを閉塞する手段を有することを特徴とする。
このように構成することにより、例えば、端末装置からのウイルス感染による不正アクセスの拡大を確実に防止することができて、不正アクセスが有ったウェブサーバの性能低下を防ぐことができる。
【００１３】
また、イベントフィルタ定義データベースに登録するイベントフィルタの定義と対処手法定義データベースに登録する対処手法の定義との組み合わせによって、多様なネットワーク構成機器、センサ、及びセキュリティ製品をそれぞれ連携させることが可能となる。例えば、セキュリティ製品ログＳＬ１から取得できるインシデントログと連動したファイアウォールＦＷ１に対してプロトコルの遮断制御、ＩＤＳのインシデントログと連動した各端末装置のウイルス定義ファイル強制更新といったセキュリティ製品ＳＰ１との連動、といったセキュリティ対策が可能となる。これにより、ネットワークシステム全体に対してセキュリティに関する多様な判断及び処置を行うことが可能となる。
【発明の効果】
【００１４】
以上説明したように、本発明の不正アクセス対応ネットワークシステムによれば、ネットワーク構成機器、複数種類の不正アクセスに関する検知機器、及び各種セキュリティアプリケーションからの各種インシデントログを全て使用した不正アクセスの検知が行われると共に、検知された不正アクセスの各々に対応した対処手法が実行されるので、不正アクセスを低減することができて、セキュリティ管理の面でネットワークシステムの信頼性と保全性を向上させることができる効果がある。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の不正アクセス対応ネットワークシステムの最良の実施形態について、〔第１の実施形態〕、〔第２の実施形態〕の順に図面を参照して詳細に説明する。
【００１６】
〔第１の実施形態〕
図１は、本発明の第１の実施形態に係る不正アクセス対応ネットワークシステムの全体構成を示す構成図である。同図では、１つのコンピュータシステム（サイト）を含む構成例を示しているが、本実施形態に係る不正アクセス対応ネットワークシステムは、一般に、複数のサイトを配置することが可能である。
【００１７】
図１において、本実施形態の不正アクセス対応ネットワークシステムは、まず、ネットワーク構成として、広域ネットワークＮＷ１と、広域ネットワークＮＷ１との接続を担う外部ネットワークＮＥ１と、外部ネットワークＮＥ１に接続されたルータＲＴ１と、ルータＲＴ１に接続されたファイアウォールＦＷ１と、ファイアウォールＦＷ１に接続された公開ネットワークＮＤ１及び内部ネットワークＮＬ１と、ルータＲＴ１及びファイアウォールＦＷ１に接続された管理ネットワークＮＭ１と、を備える。
【００１８】
公開ネットワークＮＤ１には、ＰＲＯＸＹサーバＳＶ１、ＷｅｂサーバＳＶ２、ＤＮＳサーバＳＶ３、メールサーバＳＶ４が接続され、内部ネットワークＮＬ１には、スイッチＳＷ１が接続されている。
スイッチＳＷ１には、端末装置ＰＣ１，ＰＣ２、ウイルス対策サーバＳＶ５が接続され、管理ネットワークＮＭ１には、検知制御装置ＭＧ１が接続されている。
侵入検知装置（ＩＤＳ）ＩＤ１，ＩＤ２には、外部ネットワークＮＥ１と、公開ネットワークＮＤ１とにそれぞれ接続されている。
【００１９】
ファイアウォールＦＷ１、侵入検知装置ＩＤ１，１Ｄ２、ルーターＲＴ１、スイッチＳＷ１、ＰＲＯＸＹサーバＳＶ１、ＷｅｂサーバＳＶ２、ＤＮＳサーバＳＶ３、メールサーバＳＶ４、及びウイルス対策サーバＳＶ５におけるインシデントログ（事件記録）は、サイト内のインシデントログとして、管理ネットワークＮＭ１を介して検知制御装置ＭＧ１へ送出される。
【００２０】
なお、図１では省略しているが、他に、各種サービスアプリケーション、各種オペレーティングシステム、各種セキュリティアプリケーション（例えばウィルス検知アプリケーション）を備えるものとし、また、これらのインシデントログもサイト内における他のインシデントログとして、検知制御装置ＭＧ１へ送出されるものとする（図２参照）。
なお、各種のインシデントログは、所定のテーブル項目を有する形式に定型化することで、イベント形式のインシデントログ情報に変換することが可能となる（図３参照）。
【００２１】
検知制御装置ＭＧ１は、前記送出されたインシデントログを解析し、不正アクセスを検知する。その後、不正アクセスの種類に応じた対処手法を実行する。
図２は、検知制御装置ＭＧを中心とする機能ブロックの１構成例を示す構成図である。同図では、図１に示す検知制御装置ＭＧ１の詳細構成例と、不正アクセスが行われた時に、セキリティ対策として、その対処手法が施されるべき対象を含むブロック３０１の各構成要素と、ブロック３０１の各構成要素が備えるインシデントログとが示されている。ブロック３０１は、ＩＤＳ、各種ネットワーク機器、ファイアウォール、各種サーバ、各種セキュリティアプリケーションを含む。
【００２２】
検知制御装置ＭＧ１は、インシデントログをイベント形式のインシデント情報（即ちイベント；図３参照）に変換するインシデントログ定型化手段１０１と、イベントを格納する定型化イベントデータベース１０２と、対処が必要なイベントか否かを判定して対処が必要なイベントを抽出するイベント候補抽出手段１０３と、対処が必要なイベントに対応する対処手法を定義する対処手法定義データベース１０４と、対処が必要なイベントの実例を格納するイベントフィルタ定義データベース１０５と、対象機器の情報を格納する対象機器管理データベース１０６と、イベントフィルタ定義から抽出された対象機器に関連する定義を格納する発生イベント管理データベース１０７と、対処手法実行手段２１１と、を備える。
【００２３】
検知制御装置ＭＧ１では、定型化手段１０２が、各種インシデントログを、図３に示すイベント形式のインシデントログ情報へ変換する。
このイベント形式のインシデントログ情報は、イベント候補抽出手段１０３（図２）によって、イベントフィルタ定義データベース１０５（図２）を照合することによって、予め構成されたイベントフィルタと合致したイベントだけが抽出され、合致しないイベントは除外される。
即ち、イベント候補抽出手段１０３は、イベント形式のインシデントログ情報（以下、「イベント」と略称する）から、このイベントフィルタと合致したものだけを不正アクセスのイベント候補として抽出する。
このイベントフィルタには、特定の送信元ＩＰアドレスや宛先ＩＰアドレス、プロトコル種類、宛先ＴＣＰポート番号（ＩＰアドレス）の他、各種インシデントログ中のステータスメッセージ文字列等の各種条件を設定することができる。
【００２４】
図３は、インシデントログが定型のイベント形式に変換されたインシデントログ情報の１例を示した説明図である。ネットワーク構成機器、複数種類の不正アクセスに関するセンサ、及び各種セキュリティアプリケーションの各インシデントログは、所定のテーブル項目を有する形式に定型化することで、図３に示すイベント形式のインシデントログ情報とすることができる。
【００２５】
図３に示すイベント形式のインシデントログ情報は、日付、時刻、サービス、プロトコル、発信元ホスト、発信元ＩＰアドレス、発信元ＭＡＣアドレス、ユーザアカウント名、宛先元ホスト、宛先ＩＰアドレス、及びイベントメッセージの各項目を含む。
【００２６】
図４は、イベントフィルタ定義データベース１０５の１構成例を示す説明図である。同図において、項番ＦＴＣ１は、ステータスの定義であり、対象とするイベントのステータスを指定する項目である。
項番ＦＴＣ２は、アクションの定義であり、イベント定義の条件が成立した場合に、対処手法を実行するか否かの動作を指定する項目である。
項番ＦＴＣ３は、監視対象ＩＰアドレスの定義であり、イベント定義の対象とする監視対象機器のＩＰアドレスを指定する項目である。
項番ＦＴＣ４は、監視対象ＭＡＣアドレスの定義であり、イベント定義の対象とする監視対象機器のＭＡＣアドレスを指定する項目である。
項番ＦＴＣ５は、監視対象ホスト名の定義であり、イベント定義の対象とする監視対象機器のホスト名を指定する項目である。
項番ＦＴＣ６は、ユーザアカウントの定義であり、ユーザアカウントを指定する項目である。
項番ＦＴＣ７は、送信元ＩＰアドレスの定義であり、イベント定義の対象とするパケット送信元機器のＩＰアドレスを指定する項目である。
項番ＦＴＣ８は、送信元ＭＡＣアドレスの定義であり、イベント定義の対象とするパケット送信元機器のＭＡＣアドレスを指定する項目である。
項番ＦＴＣ９は、送信元ホスト名の定義であり、イベント定義の対象とするパケット送信元機器のホスト名を指定する項目である。
項番ＦＴＣ１０は、「対象時間」の定義であり、イベントを検知してから、同一イベントが後述する「対象回数」の項目で指定した回数発生した後、当該イベントに対応する対処手法を実行するまでの時間を指定する項目である。
項番ＦＴＣ１１は、「対象回数」の定義であり、前述の「対象時間」で指定した期間内に、当該イベントに対応する対処手法を実行するまでの当該イベントの発生回数を指定する項目である。
項番ＦＴＣ１２は、「対象間隔」の定義であり、当該イベントに対応する対処手法を実行してから、当該イベントに対応する対処手法の実行を抑止する時間間隔を指定する項目である。
項番ＦＴＣ１３は、「対象期間」の定義であり、当該イベントが有効となる時間を指定するか、若しくは当該イベントが有効となることが特定される曜日を指定する項目である。
【００２７】
なお、図４において、フィルタ例１として記載されている各項目を総合した意味は、監視対象のホスト（ここでは「ＷｅｂＳｅｒｖｅｒ」）に対して、不正アクセスが１時間以内に１０００回行われた場合に対処手法を実行することである。
また、フィルタ例２として記載されている各項目を総合した意味は、監視対象のＩＰアドレス（ここでは「１９２．１６８．０．１」）に対して、盗聴が１時間以内に行われた場合に対処手法を実行することである。
【００２８】
図５は、不正アクセスのイベント候補を抽出するイベント候補抽出手段１０３の動作を示すフローチャート図である。以下、図１〜３を参照しながら、図５に示すフローチャートに従ってイベント候補抽出手段１０３の動作を説明する。
【００２９】
まず、イベントに含まれる送信元ＩＰアドレスに一致する対象機器情報を、対象機器管理データベース１０６から検索する（ステップ２０１）。
次に、この対象機器情報の検索結果を検証し、対象機器情報が有る場合にはステップ２０５に進む。また、対象機器情報が無い場合には、ステップ２０３に移り、該当する対象機器の情報を対象機器管理データベース１０６に登録する。その後、ステップ２０４にて、対象機器の情報をデータベース１０６に登録する際にはイベントフィルタ定義から対象機器に関連する定義を関連付けるため、イベントフィルタ定義から対象機器に関連する定義を抽出して成る発生イベント管理情報を発生イベント管理データベース１０７に登録する。
【００３０】
ステップ２０５では、ＩＰアドレス／コンピュータ名／ステータス等に一致するイベントを、対象機器管理データベース１０６及び発生イベント管理データベース１０７から検索する。
次に、このイベントの検索結果をステップ２０６にて検証し、該当イベントが無い場合には、イベント候補抽出処理を終了する。また、該当イベントが有る場合には、ステップ２０７に進む。
【００３１】
ステップ２０７では、発生イベント管理データベースに発生イベント詳細情報の登録を行う。
更に、発生イベント詳細情報のチェックを行う（ステップ２０８）。
なお、この発生イベント詳細情報のチェックにおいて、指定した監視時間／繰り返し期間が一致するか否かの検証を行い（ステップ２０９）、指定した監視時間／繰り返し期間が一致しない場合には、イベント候補抽出処理を終了する。また、指定した監視時間／繰り返し期間が一致する場合には、ステップ２１０に進む。
【００３２】
ステップ２１０では、イベントフィルタの定義条件が成立した場合の対処実行の指定の有無を判定し、対処実行の指定が無い場合には、イベント候補抽出処理を終了する。また、対処実行の指定が有る場合には、ステップ２１１に進む。
ステップ２１１では、当該イベントに対応する対処手法を実行する（これにより、各種インシデントログから不正アクセスのイベントを検知することが可能となる。）。より具体的には、ステップ２１１では、当該イベントに対応する対処手法を、対処手法定義データベース１０４より抽出し、当該対処手法を対処先（図２に示すブロック３０１内のネットワーク構成機器、複数種類の不正アクセスに関するセンサ、及び各種セキュリティアプリケーション）に対して実施する（これにより、前述のネットワーク構成機器、複数種類の不正アクセスに関するセンサ、及び各種セキュリティアプリケーションに対する設定変更等の指示が行われ、不正アクセスの低減が可能となる）。
【００３３】
この実施形態によれば、サイト内の主要な機器で生じた不正アクセスのインシデントログは、全て検知制御装置ＭＧ１に集中させ、検知制御装置ＭＧ１によって不正アクセスがなされたことを検知して、この不正アクセスの種類に応じた対処手法を実施することができるので、広域ネットワークＮＷ１に接続されたサイト内のセキュリティ管理が強固になり、ひいては広域ネットワークＮＷ１のセキュリティ管理も強化することができる効果がある。
【００３４】
〔第２の実施形態〕
図６は、本発明の第２の実施形態に係る不正アクセス対応ネットワークシステムの全体構成を示す構成図である。同図において、図１と重複する部分には同一の符号を附して説明を省略する。
同図に示す本発明の第２の実施形態に係る不正アクセス対応ネットワークシステムの全体構成は、図１に示す本発明の第１の実施形態に係る不正アクセス対応ネットワークシステムの全体構成と同じであり、スイッチＳＷ１を使用した不正アクセスへの対処手法だけが異なる。
【００３５】
図７は、本発明の第２の実施形態に係る不正アクセス対応ネットワークシステムの動作を示すフローチャート図である。
本実施形態では、まず、端末装置ＰＣ１がウイルスに感染する（ステップ５０１）。
これにより、端末装置ＰＣ１は、ＷｅｂサーバＳＶ２に対して、ウイルス感染による不正アクセスＡＣ１を行う（ステップ５０２）。
この時、ＩＤＳ（ＩＤ２）は、端末装置ＰＣ１のＷｅｂサーバＳＶ２への不正アクセスＡＣ１を検知する（ステップ５０３）。
これにより、ＩＤＳ（ＩＤ２）は、インシデントログＬ０１を出力する（ステップ５０４）。
次に、検知制御装置ＭＧ１は、インシデントログＬ０１を収集する（ステップ５０５）。
次に、検知制御装置ＭＧ１は、インシデントログＬ０１から定型化したイベントに変換する（ステップ５０６）。
次に、検知制御装置ＭＧ１は、イベントフィルタの定義よりイベント候補抽出処理を行い、不正アクセスのイベントを検知する（ステップ５０７）。
さらに、検知制御装置ＭＧ１は、対処手法実行手段によりイベントに対応する対処手法ＣＬ１（ポート閉塞）を取得する（ステップ５０８）。
さらに、検知制御装置ＭＧ１は、スイッチＳＷ１に指示して対処手法ＣＬ１を実施させる（ステップ５０９）。
検知制御装置ＭＧ１より指示を受けたスイッチＳＷ１は、指示された対処手法ＣＬ１により、端末装置ＰＣ１が接続しているポートを閉塞する（ステップ５１０）。
【００３６】
このように動作することにより、端末装置ＰＣ１からのウイルス感染による不正アクセスの拡大を確実に防止し、不正アクセスが有ったＷｅｂサーバＳＶ２の性能低下を防ぐことが可能となる。
【００３７】
以上の各実施形態によれば、ネットワーク構成機器、複数種類の不正アクセスに関するセンサ及び各種セキュリティアプリケーションのインシデントログを定型化し、定型化されたインシデントから不正アクセスのイベント検知を行い、ネットワーク機器の設定変更といったイベントに対応する対処手法を自動的に実行することによって、未知ウィルスやスパイウェアの感染等による不正アクセスを低減することが可能となる。
【００３８】
また、イベントフィルタ定義データベースに登録するイベントフィルタの定義と対処手法定義データベースに登録する対処手法の定義との組み合わせによって、多様なネットワーク構成機器、センサ、及びセキュリティ製品をそれぞれ連携させることが可能となる。例えば、セキュリティ製品ログＳＬ１から取得できるインシデントログと連動させたファイアウォールＦＷ１に対するプロトコルの遮断制御、及び前述のＩＤＳのインシデントログと連動させた各端末装置のウイルス定義ファイル強制更新の実施等、各種セキュリティアプリケーションＳＰ１と連動させたセキュリティ対策が可能となる。これにより、ネットワークシステム全体に対してセキュリティに関する多様な判断及び処置を行うことが可能になる。
【００３９】
なお、本発明に係る不正アクセス対応ネットワークシステムの各構成要素の処理の少なくとも一部をコンピュータ制御により実行するものとし、かつ、上記処理を、図５，７のフローチャートで示した手順によりコンピュータに実行せしめるプログラムは、半導体メモリを始め、ＣＤ−ＲＯＭや磁気テープなどのコンピュータ読み取り可能な記録媒体に格納して配付してもよい。そして、少なくともマイクロコンピュータ，パーソナルコンピュータ，汎用コンピュータを範疇に含むコンピュータが、上記の記録媒体から上記プログラムを読み出して、実行するものとしてもよい。
【産業上の利用可能性】
【００４０】
本発明は、ウィルスやスパイウェア等による情報資産への脅威を低減し、コンピュータシステム、ひいては広域ネットワーク全体のセキュリティ管理機能を強化することができるので、特に、インターネット技術を企業活動のインフラとして活用している産業において極めて有効である。
【図面の簡単な説明】
【００４１】
【図１】本発明の第１の実施形態に係る不正アクセス対応ネットワークシステムの全体構成を示す構成図である。
【図２】検知制御装置ＭＧを中心とする機能ブロックの１構成例を示す構成図である。
【図３】インシデントログが定型のイベント形式に変換されたインシデントログ情報の１例を示した説明図である。
【図４】イベントフィルタ定義データベース１０５の１構成例を示す説明図である。
【図５】不正アクセスのイベント候補を抽出するイベント候補抽出手段１０３の動作を示すフローチャート図である。
【図６】本発明の第２の実施形態に係る不正アクセス対応ネットワークシステムの全体構成を示す構成図である。
【図７】本発明の第２の実施形態に係る不正アクセス対応ネットワークシステムの動作を示すフローチャート図である。
【符号の説明】
【００４２】
１０１ インシデントログ定型化手段
１０２ 定型化イベント
１０３ イベント候補抽出手段
１０４ 対処手法定義データベース
１０５ イベントフィルタ定義データベース
１０６ 対象機器管理データベース
１０７ 発生イベント管理データベース
３０１ ブロック（対処法が施されるべき対象を含む）
ＡＣ１ ウイルス感染による不正アクセス
ＣＬ１ ポート閉塞の指示
ＦＷ１ ファイアウォール
ＩＤ１，ＩＤ２ 侵入検知装置（ＩＤＳ）
ＬＯ１ ＩＤ２のインシデントログ
ＭＧ１ 検知制御装置
ＮＤ１ 公開ネットワーク
ＮＥ１ 外部ネットワーク
ＮＬ１ 内部ネットワーク
ＮＭ１ 管理ネットワーク
ＮＷ１ 広域ネットワーク
ＰＣ１ 端末装置
ＰＣ２ 端末装置
ＲＴ１ ルータ
ＳＬ１ 各種セキュリティアプリケーションインシデントログ
ＳＰ１ 対処手法を適用する各種セキュリティアプリケーション
ＳＶ１ ＰＲＯＸＹサーバ
ＳＶ２ Ｗｅｂサーバ
ＳＶ３ ＤＮＳサーバ
ＳＶ４ メールサーバ
ＳＶ５ ウイルス対策サーバ
ＳＷ１ スイッチ
【技術分野】
【０００１】
本発明は、広域ネットワークに接続されたコンピュータシステムに対してセキュリティ管理手段を施すことにより、前記広域ネットワークを含むシステム全体のセキュリティを高める不正アクセス対応ネットワークシステムに係り、特に、ネットワークに接続されたコンピュータシステムのセキュリティを確保するために、不正アクセスに対する検知及び対処を行う手段を備えた不正アクセス対応ネットワークシステムに関する。
【背景技術】
【０００２】
近年、インターネット技術が企業活動のインフラとして広く活用されるようになったことに伴い、コンピュータウィルスやスパイウェア等による情報資産への不正アクセスの脅威を回避するためのセキュリティ対策が重要となってきている。このため、広域ネットワーク（インターネット網等）とコンピュータシステムとの境界にファイアウォールを設置して、外部からの不正アクセスを排除することが一つの対策となっている。
また、ウイルス検知ソフトウェアをインストールすることによるウイルス対策や、侵入検知装置（以下、「ＩＤＳ」と呼称する）を設置することによって不正アクセスを検知することが、他の一般的な対策として実施されている。
従来は、前述の対策をコンピュータシステムに施すことでもって、不正アクセス対応ネットワークシステムを構築していた。
【０００３】
ところで、不正アクセス対応ネットワークシステムを構築するための従来の対策では、変身し続ける新たなコンピュータウィルスへの別途対策が必要となる。
例えば、ウイルス検知ソフトウェアは、既にコンピュータシステムへのインストールが完了したものであっても、コンピュータシステム全体に渡って、ウイルス定義ファイルや、パターンファイル等を常に最新のものに更新しておかないと、有効に動作しない。即ち、コンピュータシステムに属する複数の端末装置のうち、その一部でもウイルス定義ファイルの更新を怠ってしまうと、その端末装置はウイルスやスパイウェアに感染する結果を招き、やがては、その端末装置自体も他の端末装置に対して不正アクセスを行ってしまうことになるという問題点があった。
【０００４】
そこで、このような問題点に対処するために、セキュリティ対策が十分でない端装置末からのウイルスの感染や不正アクセスを防止する共に、端末装置におけるセキュリティ対策を取ることを容易にするネットワークシステム及びネットワーク制御方法が提案されている（例えば、特許文献１参照。）。
【０００５】
また、従来は不正アクセスを前述のＩＤＳによって検知するものとしているが、実際にはＩＤＳで検知できない不正アクセスも存在する。そこで、ＩＤＳでは検知できないタイプの不正アクセスを検知することを意図し、各種ネットワーク構成機器からの情報を使用して、不正アクセスを見逃す可能性を低減するシステムが提案されている（例えば、特許文献２参照。）。
【特許文献１】特開２００５−１９７８１５号公報
【特許文献２】特開２００５−２０２６６４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、前述の特許文献１に記載のシステムでは、各端末装置のセキュリティ対策が十分になされたとしても、或る端末装置が、最新のウイルス定義ファイルに対応していない新型のウイルスやスパイウェアに感染した場合には、この端末装置がネットワークに接続されたままとなるので、不正アクセスがネットワーク中に蔓延してしまう。また、特許文献１に記載のネットワークシステムでは、前述のＩＤＳ（即ち、不正アクセスを検知する機器）が導入されていないため、不正アクセスの検出手段が無く、よって、ウイルスに感染した端末装置を特定するのに多大の時間と労力とを要するという問題点が有る。
【０００７】
また、前述の特許文献２に記載のシステムでは、或る端末装置がウイルスやスパイウェアに感染した場合、ＩＤＳによって不正アクセスが検知できたとしても、この端末装置はネットワークに接続されたままなので、隣接する端末装置がウイルスやスパイウェアに感染してしまうという問題点がある。
【０００８】
本発明は、上記従来の問題点に鑑みてなされたものであって、広域ネットワークに接続されたコンピュータシステム内の構成機器で生じる不正アクセスに応じた対処手法を実行することが可能として、不正アクセス見逃しの可能性を低減することができる不正アクセス対応ネットワークシステムを提供することを目的としている。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明に係る不正アクセス対応ネットワークシステムは、広域ネットワークに接続されたコンピュータシステムに対してセキュリティ管理手段を施すことにより、前記広域ネットワークを含むシステム全体のセキュリティを高める不正アクセス対応ネットワークシステムにおいて、前記広域ネットワークに接続された前記コンピュータシステム毎に、ネットワーク構成機器、複数種類の不正アクセスを検出するセンサ類、及び各種セキュリティアプリケーション等の、インシデントログ収集手段を備え、さらに、前記収集されたインシデントログの各々を定型形式のインシデントログ情報（以下、「イベント」と呼称する）に変換する手段と、前記イベントの内から、不正アクセスのイベントを検知する手段と、を備えたことを特徴とする不正アクセス対応ネットワークシステムを提供するものである。
このように構成することにより、ネットワーク構成機器、複数種類の不正アクセスに関する検知機器、及び各種セキュリティアプリケーションからの各種インシデントログを定型化し、定型化されたインシデントから不正アクセスのイベント検知を行い、ネットワーク機器の設定変更といったイベントに対応する対処手法を自動的に実行することによって、未知ウィルスやスパイウェアの感染等による不正アクセスを低減することができる。
【００１０】
また、前記不正アクセス対応ネットワークシステムにおいて、前記検知手段は、対象管理機器情報、イベントフィルタ定義情報、及び発生イベント管理情報が事前に格納されたデータベースを備え、前記の各情報と前記収集されたイベントとを前記データベース上で照合することにより、不正アクセスのイベントを検知することを特徴とする。
このように構成することにより、様々な種類の不正アクセスをきめ細かく照合することができるので、効率良く、かつ漏れなく不正アクセスを検知することができる。
【００１１】
さらに、前記不正アクセス対応ネットワークシステムにおいて、前記検知手段は、不正アクセスのイベントに対応する対処手法を定義した定義情報を事前に格納する対処手法格納データベースと、前記検知されたイベントと前記対処手法の定義情報とを前記対処手法格納データベース上で照合することにより、前記検知されたイベントに対応する対処手法を確定する手段と、前記確定された対処手法を実行する手段とを備えたことを特徴とする。
このように構成することにより、様々な種類の不正アクセスに対応する対処手法をきめ細かく照合することができるので、当該不正アクセスに最適な対処手法を実行することができる。また、前記イベントフィルタ定義情報と、対処手法格納データベース上の前記対処手法との組み合わせによって、多様なネットワーク構成機器、センサ、及びセキュリティ製品をそれぞれ連携させることが可能となる。例えば、セキュリティ製品ログＳＬ１から取得できるインシデントログと連動させたファイアウォールに対するプロトコルの遮断制御、及び前述のＩＤＳのインシデントログと連動させた各端末装置のウイルス定義ファイル強制更新の実施等、各種のセキュリティ製品と連動させたセキュリティ対策が可能となり、これにより、ネットワークシステム全体に対してセキュリティに関する多様な判断及び処置を行うことができる。
【００１２】
また、前記不正アクセス対応ネットワークシステムは、不正アクセスのイベントに対応する対処手法の１つとして、不正アクセスを行った機器の接続ポートを閉塞する手段を有することを特徴とする。
このように構成することにより、例えば、端末装置からのウイルス感染による不正アクセスの拡大を確実に防止することができて、不正アクセスが有ったウェブサーバの性能低下を防ぐことができる。
【００１３】
また、イベントフィルタ定義データベースに登録するイベントフィルタの定義と対処手法定義データベースに登録する対処手法の定義との組み合わせによって、多様なネットワーク構成機器、センサ、及びセキュリティ製品をそれぞれ連携させることが可能となる。例えば、セキュリティ製品ログＳＬ１から取得できるインシデントログと連動したファイアウォールＦＷ１に対してプロトコルの遮断制御、ＩＤＳのインシデントログと連動した各端末装置のウイルス定義ファイル強制更新といったセキュリティ製品ＳＰ１との連動、といったセキュリティ対策が可能となる。これにより、ネットワークシステム全体に対してセキュリティに関する多様な判断及び処置を行うことが可能となる。
【発明の効果】
【００１４】
以上説明したように、本発明の不正アクセス対応ネットワークシステムによれば、ネットワーク構成機器、複数種類の不正アクセスに関する検知機器、及び各種セキュリティアプリケーションからの各種インシデントログを全て使用した不正アクセスの検知が行われると共に、検知された不正アクセスの各々に対応した対処手法が実行されるので、不正アクセスを低減することができて、セキュリティ管理の面でネットワークシステムの信頼性と保全性を向上させることができる効果がある。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の不正アクセス対応ネットワークシステムの最良の実施形態について、〔第１の実施形態〕、〔第２の実施形態〕の順に図面を参照して詳細に説明する。
【００１６】
〔第１の実施形態〕
図１は、本発明の第１の実施形態に係る不正アクセス対応ネットワークシステムの全体構成を示す構成図である。同図では、１つのコンピュータシステム（サイト）を含む構成例を示しているが、本実施形態に係る不正アクセス対応ネットワークシステムは、一般に、複数のサイトを配置することが可能である。
【００１７】
図１において、本実施形態の不正アクセス対応ネットワークシステムは、まず、ネットワーク構成として、広域ネットワークＮＷ１と、広域ネットワークＮＷ１との接続を担う外部ネットワークＮＥ１と、外部ネットワークＮＥ１に接続されたルータＲＴ１と、ルータＲＴ１に接続されたファイアウォールＦＷ１と、ファイアウォールＦＷ１に接続された公開ネットワークＮＤ１及び内部ネットワークＮＬ１と、ルータＲＴ１及びファイアウォールＦＷ１に接続された管理ネットワークＮＭ１と、を備える。
【００１８】
公開ネットワークＮＤ１には、ＰＲＯＸＹサーバＳＶ１、ＷｅｂサーバＳＶ２、ＤＮＳサーバＳＶ３、メールサーバＳＶ４が接続され、内部ネットワークＮＬ１には、スイッチＳＷ１が接続されている。
スイッチＳＷ１には、端末装置ＰＣ１，ＰＣ２、ウイルス対策サーバＳＶ５が接続され、管理ネットワークＮＭ１には、検知制御装置ＭＧ１が接続されている。
侵入検知装置（ＩＤＳ）ＩＤ１，ＩＤ２には、外部ネットワークＮＥ１と、公開ネットワークＮＤ１とにそれぞれ接続されている。
【００１９】
ファイアウォールＦＷ１、侵入検知装置ＩＤ１，１Ｄ２、ルーターＲＴ１、スイッチＳＷ１、ＰＲＯＸＹサーバＳＶ１、ＷｅｂサーバＳＶ２、ＤＮＳサーバＳＶ３、メールサーバＳＶ４、及びウイルス対策サーバＳＶ５におけるインシデントログ（事件記録）は、サイト内のインシデントログとして、管理ネットワークＮＭ１を介して検知制御装置ＭＧ１へ送出される。
【００２０】
なお、図１では省略しているが、他に、各種サービスアプリケーション、各種オペレーティングシステム、各種セキュリティアプリケーション（例えばウィルス検知アプリケーション）を備えるものとし、また、これらのインシデントログもサイト内における他のインシデントログとして、検知制御装置ＭＧ１へ送出されるものとする（図２参照）。
なお、各種のインシデントログは、所定のテーブル項目を有する形式に定型化することで、イベント形式のインシデントログ情報に変換することが可能となる（図３参照）。
【００２１】
検知制御装置ＭＧ１は、前記送出されたインシデントログを解析し、不正アクセスを検知する。その後、不正アクセスの種類に応じた対処手法を実行する。
図２は、検知制御装置ＭＧを中心とする機能ブロックの１構成例を示す構成図である。同図では、図１に示す検知制御装置ＭＧ１の詳細構成例と、不正アクセスが行われた時に、セキリティ対策として、その対処手法が施されるべき対象を含むブロック３０１の各構成要素と、ブロック３０１の各構成要素が備えるインシデントログとが示されている。ブロック３０１は、ＩＤＳ、各種ネットワーク機器、ファイアウォール、各種サーバ、各種セキュリティアプリケーションを含む。
【００２２】
検知制御装置ＭＧ１は、インシデントログをイベント形式のインシデント情報（即ちイベント；図３参照）に変換するインシデントログ定型化手段１０１と、イベントを格納する定型化イベントデータベース１０２と、対処が必要なイベントか否かを判定して対処が必要なイベントを抽出するイベント候補抽出手段１０３と、対処が必要なイベントに対応する対処手法を定義する対処手法定義データベース１０４と、対処が必要なイベントの実例を格納するイベントフィルタ定義データベース１０５と、対象機器の情報を格納する対象機器管理データベース１０６と、イベントフィルタ定義から抽出された対象機器に関連する定義を格納する発生イベント管理データベース１０７と、対処手法実行手段２１１と、を備える。
【００２３】
検知制御装置ＭＧ１では、定型化手段１０２が、各種インシデントログを、図３に示すイベント形式のインシデントログ情報へ変換する。
このイベント形式のインシデントログ情報は、イベント候補抽出手段１０３（図２）によって、イベントフィルタ定義データベース１０５（図２）を照合することによって、予め構成されたイベントフィルタと合致したイベントだけが抽出され、合致しないイベントは除外される。
即ち、イベント候補抽出手段１０３は、イベント形式のインシデントログ情報（以下、「イベント」と略称する）から、このイベントフィルタと合致したものだけを不正アクセスのイベント候補として抽出する。
このイベントフィルタには、特定の送信元ＩＰアドレスや宛先ＩＰアドレス、プロトコル種類、宛先ＴＣＰポート番号（ＩＰアドレス）の他、各種インシデントログ中のステータスメッセージ文字列等の各種条件を設定することができる。
【００２４】
図３は、インシデントログが定型のイベント形式に変換されたインシデントログ情報の１例を示した説明図である。ネットワーク構成機器、複数種類の不正アクセスに関するセンサ、及び各種セキュリティアプリケーションの各インシデントログは、所定のテーブル項目を有する形式に定型化することで、図３に示すイベント形式のインシデントログ情報とすることができる。
【００２５】
図３に示すイベント形式のインシデントログ情報は、日付、時刻、サービス、プロトコル、発信元ホスト、発信元ＩＰアドレス、発信元ＭＡＣアドレス、ユーザアカウント名、宛先元ホスト、宛先ＩＰアドレス、及びイベントメッセージの各項目を含む。
【００２６】
図４は、イベントフィルタ定義データベース１０５の１構成例を示す説明図である。同図において、項番ＦＴＣ１は、ステータスの定義であり、対象とするイベントのステータスを指定する項目である。
項番ＦＴＣ２は、アクションの定義であり、イベント定義の条件が成立した場合に、対処手法を実行するか否かの動作を指定する項目である。
項番ＦＴＣ３は、監視対象ＩＰアドレスの定義であり、イベント定義の対象とする監視対象機器のＩＰアドレスを指定する項目である。
項番ＦＴＣ４は、監視対象ＭＡＣアドレスの定義であり、イベント定義の対象とする監視対象機器のＭＡＣアドレスを指定する項目である。
項番ＦＴＣ５は、監視対象ホスト名の定義であり、イベント定義の対象とする監視対象機器のホスト名を指定する項目である。
項番ＦＴＣ６は、ユーザアカウントの定義であり、ユーザアカウントを指定する項目である。
項番ＦＴＣ７は、送信元ＩＰアドレスの定義であり、イベント定義の対象とするパケット送信元機器のＩＰアドレスを指定する項目である。
項番ＦＴＣ８は、送信元ＭＡＣアドレスの定義であり、イベント定義の対象とするパケット送信元機器のＭＡＣアドレスを指定する項目である。
項番ＦＴＣ９は、送信元ホスト名の定義であり、イベント定義の対象とするパケット送信元機器のホスト名を指定する項目である。
項番ＦＴＣ１０は、「対象時間」の定義であり、イベントを検知してから、同一イベントが後述する「対象回数」の項目で指定した回数発生した後、当該イベントに対応する対処手法を実行するまでの時間を指定する項目である。
項番ＦＴＣ１１は、「対象回数」の定義であり、前述の「対象時間」で指定した期間内に、当該イベントに対応する対処手法を実行するまでの当該イベントの発生回数を指定する項目である。
項番ＦＴＣ１２は、「対象間隔」の定義であり、当該イベントに対応する対処手法を実行してから、当該イベントに対応する対処手法の実行を抑止する時間間隔を指定する項目である。
項番ＦＴＣ１３は、「対象期間」の定義であり、当該イベントが有効となる時間を指定するか、若しくは当該イベントが有効となることが特定される曜日を指定する項目である。
【００２７】
なお、図４において、フィルタ例１として記載されている各項目を総合した意味は、監視対象のホスト（ここでは「ＷｅｂＳｅｒｖｅｒ」）に対して、不正アクセスが１時間以内に１０００回行われた場合に対処手法を実行することである。
また、フィルタ例２として記載されている各項目を総合した意味は、監視対象のＩＰアドレス（ここでは「１９２．１６８．０．１」）に対して、盗聴が１時間以内に行われた場合に対処手法を実行することである。
【００２８】
図５は、不正アクセスのイベント候補を抽出するイベント候補抽出手段１０３の動作を示すフローチャート図である。以下、図１〜３を参照しながら、図５に示すフローチャートに従ってイベント候補抽出手段１０３の動作を説明する。
【００２９】
まず、イベントに含まれる送信元ＩＰアドレスに一致する対象機器情報を、対象機器管理データベース１０６から検索する（ステップ２０１）。
次に、この対象機器情報の検索結果を検証し、対象機器情報が有る場合にはステップ２０５に進む。また、対象機器情報が無い場合には、ステップ２０３に移り、該当する対象機器の情報を対象機器管理データベース１０６に登録する。その後、ステップ２０４にて、対象機器の情報をデータベース１０６に登録する際にはイベントフィルタ定義から対象機器に関連する定義を関連付けるため、イベントフィルタ定義から対象機器に関連する定義を抽出して成る発生イベント管理情報を発生イベント管理データベース１０７に登録する。
【００３０】
ステップ２０５では、ＩＰアドレス／コンピュータ名／ステータス等に一致するイベントを、対象機器管理データベース１０６及び発生イベント管理データベース１０７から検索する。
次に、このイベントの検索結果をステップ２０６にて検証し、該当イベントが無い場合には、イベント候補抽出処理を終了する。また、該当イベントが有る場合には、ステップ２０７に進む。
【００３１】
ステップ２０７では、発生イベント管理データベースに発生イベント詳細情報の登録を行う。
更に、発生イベント詳細情報のチェックを行う（ステップ２０８）。
なお、この発生イベント詳細情報のチェックにおいて、指定した監視時間／繰り返し期間が一致するか否かの検証を行い（ステップ２０９）、指定した監視時間／繰り返し期間が一致しない場合には、イベント候補抽出処理を終了する。また、指定した監視時間／繰り返し期間が一致する場合には、ステップ２１０に進む。
【００３２】
ステップ２１０では、イベントフィルタの定義条件が成立した場合の対処実行の指定の有無を判定し、対処実行の指定が無い場合には、イベント候補抽出処理を終了する。また、対処実行の指定が有る場合には、ステップ２１１に進む。
ステップ２１１では、当該イベントに対応する対処手法を実行する（これにより、各種インシデントログから不正アクセスのイベントを検知することが可能となる。）。より具体的には、ステップ２１１では、当該イベントに対応する対処手法を、対処手法定義データベース１０４より抽出し、当該対処手法を対処先（図２に示すブロック３０１内のネットワーク構成機器、複数種類の不正アクセスに関するセンサ、及び各種セキュリティアプリケーション）に対して実施する（これにより、前述のネットワーク構成機器、複数種類の不正アクセスに関するセンサ、及び各種セキュリティアプリケーションに対する設定変更等の指示が行われ、不正アクセスの低減が可能となる）。
【００３３】
この実施形態によれば、サイト内の主要な機器で生じた不正アクセスのインシデントログは、全て検知制御装置ＭＧ１に集中させ、検知制御装置ＭＧ１によって不正アクセスがなされたことを検知して、この不正アクセスの種類に応じた対処手法を実施することができるので、広域ネットワークＮＷ１に接続されたサイト内のセキュリティ管理が強固になり、ひいては広域ネットワークＮＷ１のセキュリティ管理も強化することができる効果がある。
【００３４】
〔第２の実施形態〕
図６は、本発明の第２の実施形態に係る不正アクセス対応ネットワークシステムの全体構成を示す構成図である。同図において、図１と重複する部分には同一の符号を附して説明を省略する。
同図に示す本発明の第２の実施形態に係る不正アクセス対応ネットワークシステムの全体構成は、図１に示す本発明の第１の実施形態に係る不正アクセス対応ネットワークシステムの全体構成と同じであり、スイッチＳＷ１を使用した不正アクセスへの対処手法だけが異なる。
【００３５】
図７は、本発明の第２の実施形態に係る不正アクセス対応ネットワークシステムの動作を示すフローチャート図である。
本実施形態では、まず、端末装置ＰＣ１がウイルスに感染する（ステップ５０１）。
これにより、端末装置ＰＣ１は、ＷｅｂサーバＳＶ２に対して、ウイルス感染による不正アクセスＡＣ１を行う（ステップ５０２）。
この時、ＩＤＳ（ＩＤ２）は、端末装置ＰＣ１のＷｅｂサーバＳＶ２への不正アクセスＡＣ１を検知する（ステップ５０３）。
これにより、ＩＤＳ（ＩＤ２）は、インシデントログＬ０１を出力する（ステップ５０４）。
次に、検知制御装置ＭＧ１は、インシデントログＬ０１を収集する（ステップ５０５）。
次に、検知制御装置ＭＧ１は、インシデントログＬ０１から定型化したイベントに変換する（ステップ５０６）。
次に、検知制御装置ＭＧ１は、イベントフィルタの定義よりイベント候補抽出処理を行い、不正アクセスのイベントを検知する（ステップ５０７）。
さらに、検知制御装置ＭＧ１は、対処手法実行手段によりイベントに対応する対処手法ＣＬ１（ポート閉塞）を取得する（ステップ５０８）。
さらに、検知制御装置ＭＧ１は、スイッチＳＷ１に指示して対処手法ＣＬ１を実施させる（ステップ５０９）。
検知制御装置ＭＧ１より指示を受けたスイッチＳＷ１は、指示された対処手法ＣＬ１により、端末装置ＰＣ１が接続しているポートを閉塞する（ステップ５１０）。
【００３６】
このように動作することにより、端末装置ＰＣ１からのウイルス感染による不正アクセスの拡大を確実に防止し、不正アクセスが有ったＷｅｂサーバＳＶ２の性能低下を防ぐことが可能となる。
【００３７】
以上の各実施形態によれば、ネットワーク構成機器、複数種類の不正アクセスに関するセンサ及び各種セキュリティアプリケーションのインシデントログを定型化し、定型化されたインシデントから不正アクセスのイベント検知を行い、ネットワーク機器の設定変更といったイベントに対応する対処手法を自動的に実行することによって、未知ウィルスやスパイウェアの感染等による不正アクセスを低減することが可能となる。
【００３８】
また、イベントフィルタ定義データベースに登録するイベントフィルタの定義と対処手法定義データベースに登録する対処手法の定義との組み合わせによって、多様なネットワーク構成機器、センサ、及びセキュリティ製品をそれぞれ連携させることが可能となる。例えば、セキュリティ製品ログＳＬ１から取得できるインシデントログと連動させたファイアウォールＦＷ１に対するプロトコルの遮断制御、及び前述のＩＤＳのインシデントログと連動させた各端末装置のウイルス定義ファイル強制更新の実施等、各種セキュリティアプリケーションＳＰ１と連動させたセキュリティ対策が可能となる。これにより、ネットワークシステム全体に対してセキュリティに関する多様な判断及び処置を行うことが可能になる。
【００３９】
なお、本発明に係る不正アクセス対応ネットワークシステムの各構成要素の処理の少なくとも一部をコンピュータ制御により実行するものとし、かつ、上記処理を、図５，７のフローチャートで示した手順によりコンピュータに実行せしめるプログラムは、半導体メモリを始め、ＣＤ−ＲＯＭや磁気テープなどのコンピュータ読み取り可能な記録媒体に格納して配付してもよい。そして、少なくともマイクロコンピュータ，パーソナルコンピュータ，汎用コンピュータを範疇に含むコンピュータが、上記の記録媒体から上記プログラムを読み出して、実行するものとしてもよい。
【産業上の利用可能性】
【００４０】
本発明は、ウィルスやスパイウェア等による情報資産への脅威を低減し、コンピュータシステム、ひいては広域ネットワーク全体のセキュリティ管理機能を強化することができるので、特に、インターネット技術を企業活動のインフラとして活用している産業において極めて有効である。
【図面の簡単な説明】
【００４１】
【図１】本発明の第１の実施形態に係る不正アクセス対応ネットワークシステムの全体構成を示す構成図である。
【図２】検知制御装置ＭＧを中心とする機能ブロックの１構成例を示す構成図である。
【図３】インシデントログが定型のイベント形式に変換されたインシデントログ情報の１例を示した説明図である。
【図４】イベントフィルタ定義データベース１０５の１構成例を示す説明図である。
【図５】不正アクセスのイベント候補を抽出するイベント候補抽出手段１０３の動作を示すフローチャート図である。
【図６】本発明の第２の実施形態に係る不正アクセス対応ネットワークシステムの全体構成を示す構成図である。
【図７】本発明の第２の実施形態に係る不正アクセス対応ネットワークシステムの動作を示すフローチャート図である。
【符号の説明】
【００４２】
１０１ インシデントログ定型化手段
１０２ 定型化イベント
１０３ イベント候補抽出手段
１０４ 対処手法定義データベース
１０５ イベントフィルタ定義データベース
１０６ 対象機器管理データベース
１０７ 発生イベント管理データベース
３０１ ブロック（対処法が施されるべき対象を含む）
ＡＣ１ ウイルス感染による不正アクセス
ＣＬ１ ポート閉塞の指示
ＦＷ１ ファイアウォール
ＩＤ１，ＩＤ２ 侵入検知装置（ＩＤＳ）
ＬＯ１ ＩＤ２のインシデントログ
ＭＧ１ 検知制御装置
ＮＤ１ 公開ネットワーク
ＮＥ１ 外部ネットワーク
ＮＬ１ 内部ネットワーク
ＮＭ１ 管理ネットワーク
ＮＷ１ 広域ネットワーク
ＰＣ１ 端末装置
ＰＣ２ 端末装置
ＲＴ１ ルータ
ＳＬ１ 各種セキュリティアプリケーションインシデントログ
ＳＰ１ 対処手法を適用する各種セキュリティアプリケーション
ＳＶ１ ＰＲＯＸＹサーバ
ＳＶ２ Ｗｅｂサーバ
ＳＶ３ ＤＮＳサーバ
ＳＶ４ メールサーバ
ＳＶ５ ウイルス対策サーバ
ＳＷ１ スイッチ
【特許請求の範囲】
【請求項１】
コンピュータシステムが有するサーバ、ネットワーク構成機器、不正アクセス検出機器及びセキュリティアプリケーションにおけるインシデントログを収集する手段と、
前記収集されたインシデントログを定型形式のインシデントログ情報に変換する手段と、
前記インシデントログ情報から不正アクセスに該当するインシデントログ情報を検知する手段と、
を備えたことを特徴とする不正アクセス対応ネットワークシステム。
【請求項２】
前記検知手段は、管理対象機器に関する情報、不正アクセスの類型を定義したフィルタ定義情報、不正アクセス検知の履歴情報を格納したデータベースを備えており、
前記インシデントログ情報を、前記データベース上に格納された情報に照合することにより、不正アクセスを検知することを特徴とする請求項１記載の不正アクセス対応ネットワークシステム。
【請求項３】
不正アクセスの各類型に対応する対処手法を定義した定義情報を格納した対処手法データベースと、
不正アクセスとして検知されたインシデントログ情報を、前記対処手法データベースに照合することにより、当該不正アクセス対する対処手法を判定する手段と、
前記判定された対処手法を実行する手段とを備えたことを特徴とする請求項１又は２記載の不正アクセス対応ネットワークシステム。
【請求項４】
不正アクセスに対する対処手法として、不正アクセスを行った機器の接続ポートを閉塞することを特徴とする請求項３記載の不正アクセス対応ネットワークシステム。
【請求項１】
コンピュータシステムが有するサーバ、ネットワーク構成機器、不正アクセス検出機器及びセキュリティアプリケーションにおけるインシデントログを収集する手段と、
前記収集されたインシデントログを定型形式のインシデントログ情報に変換する手段と、
前記インシデントログ情報から不正アクセスに該当するインシデントログ情報を検知する手段と、
を備えたことを特徴とする不正アクセス対応ネットワークシステム。
【請求項２】
前記検知手段は、管理対象機器に関する情報、不正アクセスの類型を定義したフィルタ定義情報、不正アクセス検知の履歴情報を格納したデータベースを備えており、
前記インシデントログ情報を、前記データベース上に格納された情報に照合することにより、不正アクセスを検知することを特徴とする請求項１記載の不正アクセス対応ネットワークシステム。
【請求項３】
不正アクセスの各類型に対応する対処手法を定義した定義情報を格納した対処手法データベースと、
不正アクセスとして検知されたインシデントログ情報を、前記対処手法データベースに照合することにより、当該不正アクセス対する対処手法を判定する手段と、
前記判定された対処手法を実行する手段とを備えたことを特徴とする請求項１又は２記載の不正アクセス対応ネットワークシステム。
【請求項４】
不正アクセスに対する対処手法として、不正アクセスを行った機器の接続ポートを閉塞することを特徴とする請求項３記載の不正アクセス対応ネットワークシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２００８−８３７５１（Ｐ２００８−８３７５１Ａ）
【公開日】平成２０年４月１０日（２００８．４．１０）
【国際特許分類】
【出願番号】特願２００６−２５９７４９（Ｐ２００６−２５９７４９）
【出願日】平成１８年９月２５日（２００６．９．２５）
【出願人】（０００１５２９８５）株式会社日立情報システムズ (409)
【Ｆターム（参考）】
【公開日】平成２０年４月１０日（２００８．４．１０）
【国際特許分類】
【出願日】平成１８年９月２５日（２００６．９．２５）
【出願人】（０００１５２９８５）株式会社日立情報システムズ (409)
【Ｆターム（参考）】
[ Back to top ]