不正アクセス検知装置
【課題】踏み台攻撃や新種あるいは未知のウィルスも検知が可能な不正アクセス検知装置を提供する。
【解決手段】不正アクセス検知装置１において、TCP PUSHパケット(受信)抽出部４０２は、宛先IPがホストコンピュータであってPUSHフラグのセットされているTCP PUSHパケットPinを抽出する。TCP PUSHパケット(送信)抽出部4０３は、送信元IPがホストコンピュータであるTCP PUSHパケットPoutを抽出する。不正アクセス検知部４０４は、前記各抽出部４０２，４０３により抽出された各TCP PUSHパケットを参照し、宛先ポート番号およびデータのうち、少なくともデータが相互に一致しているTCP PUSHパケットが所定時間内に送受信されると、当該各TCP PUSHパケットの送受信を不正アクセスと判定する。
【解決手段】不正アクセス検知装置１において、TCP PUSHパケット(受信)抽出部４０２は、宛先IPがホストコンピュータであってPUSHフラグのセットされているTCP PUSHパケットPinを抽出する。TCP PUSHパケット(送信)抽出部4０３は、送信元IPがホストコンピュータであるTCP PUSHパケットPoutを抽出する。不正アクセス検知部４０４は、前記各抽出部４０２，４０３により抽出された各TCP PUSHパケットを参照し、宛先ポート番号およびデータのうち、少なくともデータが相互に一致しているTCP PUSHパケットが所定時間内に送受信されると、当該各TCP PUSHパケットの送受信を不正アクセスと判定する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータへの不正なアクセスを検知する不正アクセス検知装置に係り、特に、踏み台攻撃や新種あるいは未知のコンピュータウィルスの侵入検知に好適な不正アクセス検知装置に関する。
【背景技術】
【０００２】
侵入者が身元を隠すためにセキュリティ対策の甘いコンピュータへ不正侵入し、このコンピュータから別のコンピュータに侵入する踏み台攻撃が知られている。図１５は、踏み台攻撃の一例を模式的に表現した図であり、踏み台にされたホストコンピュータは被害者であるにもかかわらず不正攻撃の共犯者となり得る。このような問題は上記した踏み台攻撃に限らず、コンピュータウィルス（以下、ウィルスと表現する）に感染した場合も同様に起こり得る。
【０００３】
ウィルスに関しては、ファイアウォールやIDS(Intrusion Detection System＝不正侵入検知システム)を利用して侵入を防止する技術が知られている。しかしながら、新種のウィルスに関しては、IDSの検知パターンが作成されるまでは検知できない。踏み台攻撃では、悪意の第三者が正規のパスワードを不正に入手してコンピュータへ侵入するために、パスワードを厳重に管理する以外には有効な防止策がなかった。
【０００４】
このような技術課題に対して、特許文献１には、攻撃者を追跡する技術として、ネットワーク上を流れるパケットのヘッダ情報をルータで収集し、ターゲットホストが攻撃を検知すると各ルータに攻撃パケットのヘッダ情報を問い合わせ、同じパケットが記録されているルータを逆戻りすることで経路を追跡する技術が開示されている。
【０００５】
特許文献２には、ウィルス感染検知技術として、ネットワーク上に流れるパケットを監視して、通常は使用されない例外ポートを使用したTCP/IP通信、不完全パケット、多量な通信、多量なエラー通信等が検出された場合にウィルス感染と判定する技術が開示されている。
【０００６】
特許文献３には、ウィルスの渡り歩きを検知するために、ネットワーク上に設置したウィルス検知装置とホストのアクセス履歴とを利用する技術が開示されている。ウィルス検知装置がウィルスによるパケットを検知すると、該当するホストのアクセス履歴を参照し、別のホストへのアクセス履歴がある場合を渡り歩きと判定する。ここではメール添付型のウィルスを対象としており、メールが内部に侵入した後のホストの挙動に注目してウィルスの渡り歩きが検知される。
【０００７】
特許文献４には、ウィルスアクセスを防御するために、ネットワーク上にウィルス感染パケットの検知装置を設置してウィルスのアクセスを検知する技術が開示されている。
【０００８】
特許文献５には、侵入検知技術として、侵入検知の精度を高めるために、インバウンドトラヒックとアウトバウンドトラヒックの双方向を監視し、不正なインバウンドトラヒックが与える内部ネットワークへの影響をアウトバウンドトラヒックにより確認することで被害の状況を把握する技術が開示されている。
【特許文献１】特開２００３−２５８９１０号公報
【特許文献２】特開２００３−２４１９８９号公報
【特許文献３】特開２００４−８６２４１号公報
【特許文献４】特開平１１−１６７４８７号公報
【特許文献５】特開２００４−３０２２８７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
特許文献１の技術では、詐称された攻撃パケットの発信源とその経路を特定できるものの、攻撃の検知は既存のIDSに依存している。したがって、新種あるいは未知のウィルスに関してはIDSの検知パターンが作成されるまで検知できない。
【００１０】
特許文献２の技術では、ネットワーク内部のホストコンピュータから送信されるパケットのみに注目してウィルス検知が行われるため、通常と異なる利用を行った正しいユーザによる操作を不正アクセスと誤検知してしまう可能性がある。
【００１１】
特許文献３、５の技術では、既存のウィルス検知装置を用いているので新種あるいは未知のウィルスを検知できない。のみならず、該当ホストコンピュータの通常利用の中で複数の外部ホストコンピュータにアクセスした履歴がある場合に不正アクセスと誤検知される可能性がある。
【００１２】
特許文献４の技術では、ウィルスパケット検知装置は既存のウィルスパケットを検知できるだけなので、新種あるいは未知のウィルスパケットは検知できない。
【００１３】
本発明の目的は、上記した従来技術の課題を解決し、踏み台攻撃や新種あるいは未知のウィルスも検知が可能な不正アクセス検知装置を提供することにある。
【課題を解決するための手段】
【００１４】
上記した目的を達成するために、本発明は、コンピュータへの不正アクセスを検知する不正アクセス検知装置において、以下のような手段を講じた点に特徴がある。
【００１５】
(1)コンピュータで送受信されるTCP PUSHパケットを監視する送受信パケット監視手段と、TCP PUSHパケットが受信されてから所定時間内に、当該パケットと宛先ポート番号およびデータのうち、少なくともデータが同一のTCP PUSHパケットが送信されると、当該各TCP PUSHパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする。
【００１６】
(2)前記不正アクセス判定手段は、送受信される各TCP PUSHパケットに分散して登録されているデータ片をそれぞれ収集して所定長の送受信データを構築し、両者を比較することを特徴とする。
【００１７】
(3)コンピュータで送受信されるTCP パケットを監視する送受信パケット監視手段と、TCP PUSHパケットが受信されてから所定時間内にTCP SYNパケットが送信されると、当該各TCPパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする。
【００１８】
(4)コンピュータで送受信されるICMPエコーリクエストパケットを監視する送受信パケット監視手段と、ICMPエコーリクエストパケットが受信されてから所定時間内にICMPエコーリクエストパケットが送信されると、当該各エコーリクエストパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする。
【００１９】
(5)コンピュータで送受信されるTCP SYNパケットを監視する送受信パケット監視手段と、前記TCP SYNパケットが受信されてから所定時間内に、宛先ポート番号が前記受信されたTCP SYNパケットと同一のTCP SYNパケットが送信されると、当該各TCP SYNパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする。
【００２０】
(6)コンピュータで送受信されるUDPパケットを監視する送受信パケット監視手段と、前記UDPパケットが受信されてから所定時間内に、当該UDPパケットと宛先ポート番号およびデータが同一のUDPパケットが送信されると、当該各UDPパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする。
【００２１】
(7)送受信パケット監視手段は、ネットワークとコンピュータとを結ぶ経路上でパケットを監視することを特徴とする。
【００２２】
(8)送受信パケット監視手段は、コンピュータ内において、MAC層とIP層との間でパケットを監視することを特徴とする。
【００２３】
(9)送受信パケット監視手段は、コンピュータ内において、アプリケーション層とTCP/UDP層との間でパケットを監視することを特徴とする。
【００２４】
(10)信頼できるコンピュータの識別情報を登録する手段をさらに具備し、不正アクセス判定手段は、信頼できるコンピュータからのアクセスを不正アクセスと判定しないことを特徴とする。
【発明の効果】
【００２５】
本発明によれば、以下のような効果が達成される。
(1)請求項１の発明によれば、踏み台攻撃においてポートスキャンに用いられるTCP PUSHパケットに基づいて不正アクセスを検知できるので、踏み台攻撃の検知が可能になる。
(2)請求項２の発明によれば、データを複数のパケットに分散するアプリケーションで送受信されるパケットに関して、不正アクセスの誤検知を防止できるようになる。
(3)請求項３の発明によれば、踏み台攻撃においてポートスキャンに用いられるTCP PUSHパケットと、侵入先ホストから次の侵入先との間にセッションを確立するために送信されるTCP SYNパケットに基づいて不正アクセスを検知できるので、踏み台攻撃の検知が可能になる。
(4)請求項４の発明によれば、侵入者が宛先ホストの存在を確認する際にPingコマンドなどによって発信するエコーリクエストパケットに基づいて不正アクセスを検知できるので、踏み台攻撃や新種あるいは未知のウィルスも検知が可能になる。
(5)請求項５の発明によれば、TCP通信路を構築する際の３Wayハンドシェイクの開始パケットであって、悪意の侵入者やウィルスが攻撃目標のサービスポートを探索する際に用いられるTCP SYNパケットに基づいて不正アクセスを検知できるので、踏み台攻撃や新種あるいは未知のウィルスも検知が可能になる。
(6)請求項６の発明によれば、所定のUDPポートへのスキャンや攻撃パケットの送信に基づいて不正アクセスを検知できるので、踏み台攻撃や新種あるいは未知のウィルスも検知が可能になる。
(7)請求項７の発明によれば、ネットワーク上で送受信されるパケットに基づいて不正アクセスを検知できるようになる。
(8)請求項８、９の発明によれば、ホストコンピュータ上で送受信されるパケットに基づいて不正アクセスを検知できるようになる。また、特に請求項８の発明によれば、通信経路がSSLやTLSにより暗号化されている場合でも不正アクセスを検知できるようになる。
(9)請求項１０の発明によれば、信頼できるホストコンピュータからのアクセスは不正アクセスと判定されないので、誤検知を低減できる。
【発明を実施するための最良の形態】
【００２６】
以下、図面を参照して本発明の好ましい実施の形態について詳細に説明する。図１は、本発明に係る不正アクセス検知装置の第１実施形態のブロック図であり、本実施形態では、侵入者が宛先ホストの存在を確認する際にPingコマンドなどによって発信するエコーリクエストパケットに基づいて不正アクセスが検知される。
【００２７】
不正アクセス検知装置１は、ネットワークとホストコンピュータとを結ぶネットワークゲートウェイに接続されている。不正アクセス検知装置１において、パケット取込部１０１はプロミスキャストモード(全フレーム収集モード）で動作し、宛先がホストコンピュータであるか否かにかかわらず、ネットワークゲートウェイ上の全てのパケットを取り込む。ICMP（Internet Control Message Protocol）受信パケット抽出部１０２は、宛先IPがホストコンピュータであるICMP受信パケットPinを抽出する。ICMP送信パケット抽出部１０３は、送信元IPがホストコンピュータであるICMP送信パケットPoutを抽出する。
【００２８】
図２は、ICMPパケットの構造を示した図であり、８ビットの「タイプ（機能コード）」フィールド、８ビットの「コード（補助的な機能コード）」フィールド、および１６ビットの「チェックサム」フィールドを含み、それ以降の「データ」フィールドには、ICPMのタイプごとに可変長のデータが登録される。
【００２９】
不正アクセス検知部１０４は、前記各抽出部１０２，１０３により抽出されたICMPパケットを参照し、タイプが「８(Echo Request)」でコードが「０(Network Unreachable)」のエコーリクエストパケットの受信タイミングから所定時間内に、同じくタイプが「８」でコードが「０」のエコーリクエストパケットがホストコンピュータから送信されると、当該各エコーリクエストパケットの送受信を不正アクセスと判定する。
【００３０】
図３は、本実施形態の動作を示したフローチャートであり、主に不正アクセス検知部１０４の動作を示している。
【００３１】
ステップＳ１では、前記ICMP受信パケット抽出部１０２によりICMP受信パケットが抽出されたか否かが判定される。ICMP受信パケットが抽出されると、ステップＳ２では、当該受信パケットのタイプおよびコードが参照され、タイプが「８」でコードが「０」のエコーリクエストパケットであるか否かが判定される。エコーリクエストパケットが受信されていれば、ステップＳ３へ進んで不正アクセス判定タイマTがスタートする。
【００３２】
ステップＳ４では、前記ICMP送信パケット抽出部１０３によりICMP送信パケットが抽出されたか否かが判定される。ICMP送信パケットが抽出されると、ステップＳ５では、当該パケットのタイプおよびコードが参照され、タイプが「８」でコードが「０」のエコーリクエストパケットであるか否かが判定される。エコーリクエストパケット以外であればステップＳ８へ進み、前記不正アクセス判定タイマTがタイムアウトしているか否かが判定され、タイムアウトするまではステップＳ４へ戻って上記した各処理が繰り返される。不正アクセス判定タイマTがタイムアウトすると、ステップＳ９で不正アクセス判定タイマTをリセットした後にステップＳ１へ戻る。
【００３３】
これに対して、前記ステップＳ５において、ICMP送信パケットがエコーリクエストパケットであると判定されると、ステップＳ６では、送信されたパケットの宛先IPと受信されたパケットの送信元IPとが比較される。両者が一致していれば、一対のホストコンピュータ間での正常なパケット交換なのでステップＳ８へ進む。両者が不一致であればステップＳ７へ進み、前記各エコーリクエストパケットの送受信が不正アクセスと判定される。
【００３４】
図４は、本発明に係る不正アクセス検知装置の第２実施形態のブロック図であり、前記と同一の符号は同一または同等部分を表している。本実施形態では、TCP通信路を構築する際の３Wayハンドシェイクの開始パケットであって、悪意の侵入者やウィルスが攻撃目標のサービスポートを探索する際に用いるTCP SYNパケットに基づいて不正アクセスが検知される。
【００３５】
TCP(Transmission Control Protocol）受信パケット抽出部２０２は、宛先IPがホストコンピュータであるTCP受信パケットPinを抽出する。TCP送信パケット抽出部２０３は、送信元IPがホストコンピュータであるTCP送信パケットPoutを抽出する。
【００３６】
図５は、TCPパケットのヘッダ構造を示した図であり、TCPパケットの送信元のアプリケーションを識別するための「送信元ポート番号」フィールド、宛先となるアプリケーションが待ち受けしている「宛先ポート番号」フィールド等と共に６ビットのフラグフィールドを含み、このフラグフィールド内に、TCP接続を要求する場合にセットされる「SYN（synchronize）フラグ」や「FUSHフラグ」フィールドが確保されている。
【００３７】
不正アクセス検知部２０４は、前記各抽出部１０２，１０３により抽出されたTCPパケットを参照し、SYNプラグがセットされており、宛先ポート番号が相互に一致しているTCP受信パケットおよびTCP送信パケットが所定時間内に抽出されると、当該各TCPパケットの送受信を不正アクセスと判定する。
【００３８】
図６は、本実施形態の動作を示したフローチャートであり、主に不正アクセス検知部２０４の動作を示している。
【００３９】
ステップＳ１１では、前記TCP受信パケット抽出部２０２によりTCP受信パケットが抽出されたか否かが判定される。TCP受信パケットが抽出されると、ステップＳ１２では、当該受信パケットのSYNフラグがセットされているか否かが判定される。SYNフラグがセットされていればステップＳ１３へ進み、当該受信パケットの宛先ポート番号が抽出されて一時記憶される。ステップＳ１４では、不正アクセス判定タイマTがスタートする。
【００４０】
ステップＳ１５では、前記TCP送信パケット抽出部２０３によりTCP送信パケットが抽出されたか否かが判定される。TCP送信パケットが抽出されると、ステップＳ１６では、当該送信パケットのSYNフラグがセットされているか否かが判定される。SYNフラグがセットされていればステップＳ１７へ進み、当該送信パケットの宛先ポート番号が、前記一時記憶されている受信パケットの宛先ポート番号と比較される。
【００４１】
前記ステップＳ１５，Ｓ１６，Ｓ１７の判定が否定であればステップＳ２０へ進み、前記不正アクセス判定タイマTがタイムアウトしているか否かが判定され、タイムアウトするまではステップＳ１５へ戻って上記した各処理が繰り返される。不正アクセス判定タイマTがタイムアウトすると、ステップＳ２１で不正アクセス判定タイマTをリセットした後にステップＳ１１へ戻る。
【００４２】
これに対して、前記ステップＳ１７において、送信パケットの宛先ポート番号受信パケットの宛先ポート番号と一致していると判定されると、ステップＳ１８では、送信されたTCP SYNパケットの宛先IPと受信されたTCP SYNパケットの送信元IPとが比較される。両者が不一致であればステップＳ１９へ進み、前記各TCPパケットの送受信が不正アクセスと判定される。
【００４３】
図７は、本発明に係る不正アクセス検知装置の第３実施形態のブロック図であり、前記と同一の符号は同一または同等部分を表している。本実施形態では、所定のUDPポートへのスキャンや攻撃パケットの送信の有無に基づいて不正アクセスが検知される。
【００４４】
UDP(User Datagram Protocol)受信パケット抽出部３０２は、宛先IPがホストコンピュータであるUDP受信パケットを抽出する。UDP送信パケット抽出部３０３は、送信元IPがホストコンピュータであるUDP送信パケットを抽出する。
【００４５】
図８は、UDPパケットのヘッダ構造を示した図であり、UDPパケットの送信元のアプリケーションを識別するための「送信元ポート番号」フィールド、UDPパケットの宛先となるアプリケーションが待ち受けしている「宛先ポート番号」フィールド、UDPパケットの長さを表す「UDPデータ長」フィールド、UDPパケットの整合性を検査するための「UDPチェックサム」フィールド、および「データ」フィールドを含む。
【００４６】
不正アクセス検知部３０４は、前記各抽出部１０２，１０３により抽出されたUDPパケットを参照し、宛先ポート番号およびデータのいずれもが一致しているUDP受信パケットおよびUDP送信パケットが所定時間内に抽出されると、当該各UDPパケットの送受信を不正アクセスと判定する。
【００４７】
図９は、本実施形態の動作を示したフローチャートであり、主に不正アクセス検知部３０４の動作を示している。
【００４８】
ステップＳ３１では、前記UDP受信パケット抽出部３０２によりUDP受信パケットが抽出されたか否かが判定される。UDP受信パケットが抽出されると、ステップＳ３２では、当該受信パケットの宛先ポート番号およびデータが抽出されて一時記憶される。ステップＳ３３では、不正アクセス判定タイマTがスタートする。
【００４９】
ステップＳ３４では、前記UDP送信パケット抽出部３０３によりUDP送信パケットが抽出されたか否かが判定される。UDP送信パケットが抽出されると、ステップＳ３５では、当該送信パケットの宛先ポート番号およびデータが、前記一時記憶されている受信パケットの宛先ポート番号およびデータと比較される。
【００５０】
前記ステップＳ３４，Ｓ３５の判定が否定であればステップＳ３８へ進み、前記不正アクセス判定タイマTがタイムアウトしているか否かが判定され、タイムアウトするまではステップＳ３４へ戻って上記した各処理が繰り返される。不正アクセス判定タイマTがタイムアウトすると、ステップＳ３９で不正アクセス判定タイマTをリセットした後にステップＳ３１へ戻る。
【００５１】
これに対して、前記ステップＳ３５において、送信パケットの宛先ポート番号およびデータが、それぞれ受信パケットの宛先ポート番号およびデータと一致していると判定されると、ステップＳ３６では、UDP送信パケットの宛先IPとUDP受信パケットの送信元IPとが比較される。両者が不一致であればステップＳ３７へ進み、前記各UDPパケットの送受信が不正アクセスと判定される。
【００５２】
図１０は、本発明に係る不正アクセス検知装置の第４実施形態のブロック図であり、本実施形態では、例えばtelnetを利用した踏み台攻撃であればTCP２３番ポートに対して送信される、ポートスキャン用のTCP PUSHパケットに基づいて不正アクセスが検知される。
【００５３】
TCP PUSHパケット(受信)抽出部４０２は、宛先IPがホストコンピュータであって、PUSHフラグのセットされているTCP PUSHパケットPinを抽出する。TCP PUSHパケット(送信)抽出部４０３は、送信元IPがホストコンピュータであるTCP PUSHパケットPoutを抽出する。
【００５４】
不正アクセス検知部４０４は、前記各抽出部４０２，４０３により抽出された各TCP PUSHパケットを参照し、宛先ポート番号およびデータのうち、少なくともデータが相互に一致しているTCP PUSHパケットが所定時間内に送受信されると、当該各TCP PUSHパケットの送受信を不正アクセスと判定する。
【００５５】
図１１は、本実施形態の動作を示したフローチャートであり、主に不正アクセス検知部４０４の動作を示している。
【００５６】
ステップＳ４１では、前記TCP PUSHパケット(受信)抽出部４０２によりTCP PUSHパケットが抽出されたか否かが判定される。TCP PUSHパケットが抽出されると、ステップＳ４２では、当該受信パケットの宛先ポート番号およびデータが抽出されて一時記憶される。ステップＳ４３では、不正アクセス判定タイマTがスタートする。
【００５７】
ステップＳ４４では、前記TCP PUSHパケット（送信）抽出部４０３によりTCP PUSHパケットが抽出されたか否かが判定される。TCP PUSHパケットが抽出されると、ステップＳ４５では、当該送信パケットの宛先ポート番号およびデータが、前記一時記憶されている受信パケットの宛先ポート番号およびデータと比較される。
【００５８】
前記ステップＳ４４，Ｓ４５の判定が否定であればステップＳ４８へ進み、前記不正アクセス判定タイマTがタイムアウトしているか否かが判定され、タイムアウトするまではステップＳ４４へ戻って上記した各処理が繰り返される。不正アクセス判定タイマTがタイムアウトすると、ステップＳ４９で不正アクセス判定タイマTをリセットした後にステップＳ４１へ戻る。
【００５９】
これに対して、前記ステップＳ４５において、送信パケットの宛先ポート番号およびデータが、それぞれ受信パケットの宛先ポート番号およびデータと一致していると判定されると、ステップＳ４６では、送信されたTCP SYNパケットの宛先IPと受信されたTCP SYNパケットの送信元IPとが比較される。両者が不一致であればステップＳ４７へ進み、前記各TCPパケットの送受信が不正アクセスと判定される。
【００６０】
なお、telnetアプリケーションのように、キーボードから入力された文字列が一文字ずつ異なるパケットのデータ部に格納されて送受信される場合には、パケット単位でデータを比較して不正アクセスを検知することが難しい。このような場合には、各パケット抽出部４０２，４０３あるいは不正アクセス検知部４０４が、複数のパケットに分散されている送信データ片および受信データ片をそれぞれ収集して所定長の送信データおよび受信データを構築し、両者を比較することが望ましい。
【００６１】
また、上記した実施形態では、ステップＳ４５において宛先ポート番号およびデータのいずれもが一致していることを条件に不正アクセスと判定しているが、侵入者が不正の発覚を恐れて故意にデータを異ならせる場合もあるので、宛先ポート番号の一致のみを条件に不正アクセスと判定するようにしても良い。
【００６２】
図１２は、本発明に係る不正アクセス検知装置の第５実施形態のブロック図であり、本実施形態では、踏み台攻撃であればTCP PUSHパケットが受信されたホストコンピュータからは、次の侵入先へ短時間のうちにTCPコネクションの確立要求が送信されることに着目し、TCP PUSHパケットの受信およびTCP SYNパケットの送信に基づいて不正アクセスが検知される。
【００６３】
すなわち、第４実施形態のように、送受信されるTCP PUSHパケットの宛先ポート番号およびデータが一致している場合のみ不正アクセスと判断すると、例えば侵入者が最初のホストへtelnetで侵入し、その後、SSHによる暗号化通信で次のホストに侵入するといったように、アプリケーションを次々と変化させながらホストを渡り歩くと、データが変化するために不正アクセスを検知できなくなる。そこで、本実施形態では、侵入者がアプリケーションを次々と変化させながらホストを渡り歩く場合も、これを検知できるようにしている。
【００６４】
TCP PUSHパケット(受信)抽出部５０２は、宛先IPがホストコンピュータであって、PUSHフラグのセットされているTCP PUSHパケットPinを抽出する。TCP SYNパケット(送信)抽出部５０３は、送信元IPがホストコンピュータであるTCP SYNパケットPoutを抽出する。
【００６５】
不正アクセス検知部５０４は、前記各抽出部１０２，１０３により抽出された各TCP PUSHパケットおよびTCP SYNパケットが所定時間内に抽出されると、当該各TCPパケットの送受信を不正アクセスと判定する。
【００６６】
図１３は、本実施形態の動作を示したフローチャートであり、主に不正アクセス検知部２０４の動作を示している。
【００６７】
ステップＳ５１では、前記TCP PUSHパケット(受信)抽出部５０２によりTCP PUSHパケットが抽出されたか否かが判定される。TCP PUSHパケットが抽出されると、ステップＳ５２では、不正アクセス判定タイマTがスタートする。ステップＳ５３では、前記TCP SYNパケット（送信）抽出部５０３によりTCP SYNパケットが抽出されたか否かが判定される。TCP SYNパケットが抽出されなければステップＳ５６へ進み、前記不正アクセス判定タイマTがタイムアウトしているか否かが判定され、タイムアウトするまではステップＳ５３へ戻って上記した各処理が繰り返される。不正アクセス判定タイマTがタイムアウトすると、ステップＳ５７で不正アクセス判定タイマTをリセットした後にステップＳ５１へ戻る。
【００６８】
これに対して、前記ステップＳ５３においてTCP SYNパケットが抽出されるとステップＳ５４へ進み、送信されたTCP SYNパケットの宛先IPと受信されたTCP PUSHパケットの送信元IPとが比較される。両者が不一致であればステップＳ５５へ進み、前記各TCPパケットの送受信が不正アクセスと判定される。
【００６９】
なお、上記した各実施形態では、ネットワークとホストコンピュータとを結ぶネットワークゲートウェイから取り込んだパケットに基づいて不正アクセスを検知するものとして説明したが、ホストコンピュータの内部で取り込んだパケットに基づいて不正アクセスを検知することもできる。
【００７０】
図１４は、本発明の第６実施形態の構成を示したブロック図であり、本実施形態では、ホストコンピュータ内で全てのパケットを監視するために、不正アクセス検知プロセス２はMAC層とIP層との間でパケットを取り込み、上記と同様の手順で不正アクセスを検知する。ただし、通信経路がSSLやTLSにより暗号化されている場合には、暗号化前の状態でなければパケットを参照できないので、図１４に破線で示したように、不正アクセス検知プロセス２はアプリケーション層とTCP/UDP層との間でパケットを取り込む必要がある。
【００７１】
なお、上記した各実施形態では、コンピュータで送受信されるパケットに基づいて不正アクセスを検知するものとして説明したが、不正アクセスの誤検知を防止して信頼性を向上させるためには、信頼できるホストコンピュータのアドレスを予め不正アクセス検知部１０４（２０４，３０４…）等に登録しておき、送受信されるパケットに基づいて不正アクセスと判定された場合であっても、相手ホストが前記信頼できるホストとして既登録であれば、不正アクセスと判定しないようにすることが望ましい。
【図面の簡単な説明】
【００７２】
【図１】本発明に係る不正アクセス検知装置の第１実施形態のブロック図である。
【図２】ICMPパケットの構造を示した図である。
【図３】第１実施形態の動作を示したフローチャートである。
【図４】本発明に係る不正アクセス検知装置の第２実施形態のブロック図である。
【図５】TCPパケットのヘッダ構造を示した図である。
【図６】第２実施形態の動作を示したフローチャートである。
【図７】本発明に係る不正アクセス検知装置の第３実施形態のブロック図である。
【図８】UDPパケットのヘッダ構造を示した図である。
【図９】第３実施形態の動作を示したフローチャートである。
【図１０】本発明に係る不正アクセス検知装置の第４実施形態のブロック図である。
【図１１】第４実施形態の動作を示したフローチャートである。
【図１２】本発明に係る不正アクセス検知装置の第５実施形態のブロック図である。
【図１３】第５実施形態の動作を示したフローチャートである。
【図１４】本発明に係る不正アクセス検知装置の第４実施形態のブロック図である。
【図１５】踏み台攻撃の一例を模式的に表現した図である。
【符号の説明】
【００７３】
１…不正アクセス検知装置
１０１…パケット取込部
１０２…ICMP受信パケット抽出部
１０３…ICMP送信パケット抽出部
１０４，２０４，３０４、４０４，５０４…不正アクセス検知部
２０２…TCP受信パケット抽出部
２０３…TCP送信パケット抽出部
３０２…UDP受信パケット抽出部
３０３…UDP送信パケット抽出部
４０２，５０２…TCP PUSHパケット(受信)抽出部
４０３…TCP PUSHパケット(送信)抽出部
５０３…TCP SYNパケット(送信)抽出部
【技術分野】
【０００１】
本発明は、コンピュータへの不正なアクセスを検知する不正アクセス検知装置に係り、特に、踏み台攻撃や新種あるいは未知のコンピュータウィルスの侵入検知に好適な不正アクセス検知装置に関する。
【背景技術】
【０００２】
侵入者が身元を隠すためにセキュリティ対策の甘いコンピュータへ不正侵入し、このコンピュータから別のコンピュータに侵入する踏み台攻撃が知られている。図１５は、踏み台攻撃の一例を模式的に表現した図であり、踏み台にされたホストコンピュータは被害者であるにもかかわらず不正攻撃の共犯者となり得る。このような問題は上記した踏み台攻撃に限らず、コンピュータウィルス（以下、ウィルスと表現する）に感染した場合も同様に起こり得る。
【０００３】
ウィルスに関しては、ファイアウォールやIDS(Intrusion Detection System＝不正侵入検知システム)を利用して侵入を防止する技術が知られている。しかしながら、新種のウィルスに関しては、IDSの検知パターンが作成されるまでは検知できない。踏み台攻撃では、悪意の第三者が正規のパスワードを不正に入手してコンピュータへ侵入するために、パスワードを厳重に管理する以外には有効な防止策がなかった。
【０００４】
このような技術課題に対して、特許文献１には、攻撃者を追跡する技術として、ネットワーク上を流れるパケットのヘッダ情報をルータで収集し、ターゲットホストが攻撃を検知すると各ルータに攻撃パケットのヘッダ情報を問い合わせ、同じパケットが記録されているルータを逆戻りすることで経路を追跡する技術が開示されている。
【０００５】
特許文献２には、ウィルス感染検知技術として、ネットワーク上に流れるパケットを監視して、通常は使用されない例外ポートを使用したTCP/IP通信、不完全パケット、多量な通信、多量なエラー通信等が検出された場合にウィルス感染と判定する技術が開示されている。
【０００６】
特許文献３には、ウィルスの渡り歩きを検知するために、ネットワーク上に設置したウィルス検知装置とホストのアクセス履歴とを利用する技術が開示されている。ウィルス検知装置がウィルスによるパケットを検知すると、該当するホストのアクセス履歴を参照し、別のホストへのアクセス履歴がある場合を渡り歩きと判定する。ここではメール添付型のウィルスを対象としており、メールが内部に侵入した後のホストの挙動に注目してウィルスの渡り歩きが検知される。
【０００７】
特許文献４には、ウィルスアクセスを防御するために、ネットワーク上にウィルス感染パケットの検知装置を設置してウィルスのアクセスを検知する技術が開示されている。
【０００８】
特許文献５には、侵入検知技術として、侵入検知の精度を高めるために、インバウンドトラヒックとアウトバウンドトラヒックの双方向を監視し、不正なインバウンドトラヒックが与える内部ネットワークへの影響をアウトバウンドトラヒックにより確認することで被害の状況を把握する技術が開示されている。
【特許文献１】特開２００３−２５８９１０号公報
【特許文献２】特開２００３−２４１９８９号公報
【特許文献３】特開２００４−８６２４１号公報
【特許文献４】特開平１１−１６７４８７号公報
【特許文献５】特開２００４−３０２２８７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
特許文献１の技術では、詐称された攻撃パケットの発信源とその経路を特定できるものの、攻撃の検知は既存のIDSに依存している。したがって、新種あるいは未知のウィルスに関してはIDSの検知パターンが作成されるまで検知できない。
【００１０】
特許文献２の技術では、ネットワーク内部のホストコンピュータから送信されるパケットのみに注目してウィルス検知が行われるため、通常と異なる利用を行った正しいユーザによる操作を不正アクセスと誤検知してしまう可能性がある。
【００１１】
特許文献３、５の技術では、既存のウィルス検知装置を用いているので新種あるいは未知のウィルスを検知できない。のみならず、該当ホストコンピュータの通常利用の中で複数の外部ホストコンピュータにアクセスした履歴がある場合に不正アクセスと誤検知される可能性がある。
【００１２】
特許文献４の技術では、ウィルスパケット検知装置は既存のウィルスパケットを検知できるだけなので、新種あるいは未知のウィルスパケットは検知できない。
【００１３】
本発明の目的は、上記した従来技術の課題を解決し、踏み台攻撃や新種あるいは未知のウィルスも検知が可能な不正アクセス検知装置を提供することにある。
【課題を解決するための手段】
【００１４】
上記した目的を達成するために、本発明は、コンピュータへの不正アクセスを検知する不正アクセス検知装置において、以下のような手段を講じた点に特徴がある。
【００１５】
(1)コンピュータで送受信されるTCP PUSHパケットを監視する送受信パケット監視手段と、TCP PUSHパケットが受信されてから所定時間内に、当該パケットと宛先ポート番号およびデータのうち、少なくともデータが同一のTCP PUSHパケットが送信されると、当該各TCP PUSHパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする。
【００１６】
(2)前記不正アクセス判定手段は、送受信される各TCP PUSHパケットに分散して登録されているデータ片をそれぞれ収集して所定長の送受信データを構築し、両者を比較することを特徴とする。
【００１７】
(3)コンピュータで送受信されるTCP パケットを監視する送受信パケット監視手段と、TCP PUSHパケットが受信されてから所定時間内にTCP SYNパケットが送信されると、当該各TCPパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする。
【００１８】
(4)コンピュータで送受信されるICMPエコーリクエストパケットを監視する送受信パケット監視手段と、ICMPエコーリクエストパケットが受信されてから所定時間内にICMPエコーリクエストパケットが送信されると、当該各エコーリクエストパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする。
【００１９】
(5)コンピュータで送受信されるTCP SYNパケットを監視する送受信パケット監視手段と、前記TCP SYNパケットが受信されてから所定時間内に、宛先ポート番号が前記受信されたTCP SYNパケットと同一のTCP SYNパケットが送信されると、当該各TCP SYNパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする。
【００２０】
(6)コンピュータで送受信されるUDPパケットを監視する送受信パケット監視手段と、前記UDPパケットが受信されてから所定時間内に、当該UDPパケットと宛先ポート番号およびデータが同一のUDPパケットが送信されると、当該各UDPパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする。
【００２１】
(7)送受信パケット監視手段は、ネットワークとコンピュータとを結ぶ経路上でパケットを監視することを特徴とする。
【００２２】
(8)送受信パケット監視手段は、コンピュータ内において、MAC層とIP層との間でパケットを監視することを特徴とする。
【００２３】
(9)送受信パケット監視手段は、コンピュータ内において、アプリケーション層とTCP/UDP層との間でパケットを監視することを特徴とする。
【００２４】
(10)信頼できるコンピュータの識別情報を登録する手段をさらに具備し、不正アクセス判定手段は、信頼できるコンピュータからのアクセスを不正アクセスと判定しないことを特徴とする。
【発明の効果】
【００２５】
本発明によれば、以下のような効果が達成される。
(1)請求項１の発明によれば、踏み台攻撃においてポートスキャンに用いられるTCP PUSHパケットに基づいて不正アクセスを検知できるので、踏み台攻撃の検知が可能になる。
(2)請求項２の発明によれば、データを複数のパケットに分散するアプリケーションで送受信されるパケットに関して、不正アクセスの誤検知を防止できるようになる。
(3)請求項３の発明によれば、踏み台攻撃においてポートスキャンに用いられるTCP PUSHパケットと、侵入先ホストから次の侵入先との間にセッションを確立するために送信されるTCP SYNパケットに基づいて不正アクセスを検知できるので、踏み台攻撃の検知が可能になる。
(4)請求項４の発明によれば、侵入者が宛先ホストの存在を確認する際にPingコマンドなどによって発信するエコーリクエストパケットに基づいて不正アクセスを検知できるので、踏み台攻撃や新種あるいは未知のウィルスも検知が可能になる。
(5)請求項５の発明によれば、TCP通信路を構築する際の３Wayハンドシェイクの開始パケットであって、悪意の侵入者やウィルスが攻撃目標のサービスポートを探索する際に用いられるTCP SYNパケットに基づいて不正アクセスを検知できるので、踏み台攻撃や新種あるいは未知のウィルスも検知が可能になる。
(6)請求項６の発明によれば、所定のUDPポートへのスキャンや攻撃パケットの送信に基づいて不正アクセスを検知できるので、踏み台攻撃や新種あるいは未知のウィルスも検知が可能になる。
(7)請求項７の発明によれば、ネットワーク上で送受信されるパケットに基づいて不正アクセスを検知できるようになる。
(8)請求項８、９の発明によれば、ホストコンピュータ上で送受信されるパケットに基づいて不正アクセスを検知できるようになる。また、特に請求項８の発明によれば、通信経路がSSLやTLSにより暗号化されている場合でも不正アクセスを検知できるようになる。
(9)請求項１０の発明によれば、信頼できるホストコンピュータからのアクセスは不正アクセスと判定されないので、誤検知を低減できる。
【発明を実施するための最良の形態】
【００２６】
以下、図面を参照して本発明の好ましい実施の形態について詳細に説明する。図１は、本発明に係る不正アクセス検知装置の第１実施形態のブロック図であり、本実施形態では、侵入者が宛先ホストの存在を確認する際にPingコマンドなどによって発信するエコーリクエストパケットに基づいて不正アクセスが検知される。
【００２７】
不正アクセス検知装置１は、ネットワークとホストコンピュータとを結ぶネットワークゲートウェイに接続されている。不正アクセス検知装置１において、パケット取込部１０１はプロミスキャストモード(全フレーム収集モード）で動作し、宛先がホストコンピュータであるか否かにかかわらず、ネットワークゲートウェイ上の全てのパケットを取り込む。ICMP（Internet Control Message Protocol）受信パケット抽出部１０２は、宛先IPがホストコンピュータであるICMP受信パケットPinを抽出する。ICMP送信パケット抽出部１０３は、送信元IPがホストコンピュータであるICMP送信パケットPoutを抽出する。
【００２８】
図２は、ICMPパケットの構造を示した図であり、８ビットの「タイプ（機能コード）」フィールド、８ビットの「コード（補助的な機能コード）」フィールド、および１６ビットの「チェックサム」フィールドを含み、それ以降の「データ」フィールドには、ICPMのタイプごとに可変長のデータが登録される。
【００２９】
不正アクセス検知部１０４は、前記各抽出部１０２，１０３により抽出されたICMPパケットを参照し、タイプが「８(Echo Request)」でコードが「０(Network Unreachable)」のエコーリクエストパケットの受信タイミングから所定時間内に、同じくタイプが「８」でコードが「０」のエコーリクエストパケットがホストコンピュータから送信されると、当該各エコーリクエストパケットの送受信を不正アクセスと判定する。
【００３０】
図３は、本実施形態の動作を示したフローチャートであり、主に不正アクセス検知部１０４の動作を示している。
【００３１】
ステップＳ１では、前記ICMP受信パケット抽出部１０２によりICMP受信パケットが抽出されたか否かが判定される。ICMP受信パケットが抽出されると、ステップＳ２では、当該受信パケットのタイプおよびコードが参照され、タイプが「８」でコードが「０」のエコーリクエストパケットであるか否かが判定される。エコーリクエストパケットが受信されていれば、ステップＳ３へ進んで不正アクセス判定タイマTがスタートする。
【００３２】
ステップＳ４では、前記ICMP送信パケット抽出部１０３によりICMP送信パケットが抽出されたか否かが判定される。ICMP送信パケットが抽出されると、ステップＳ５では、当該パケットのタイプおよびコードが参照され、タイプが「８」でコードが「０」のエコーリクエストパケットであるか否かが判定される。エコーリクエストパケット以外であればステップＳ８へ進み、前記不正アクセス判定タイマTがタイムアウトしているか否かが判定され、タイムアウトするまではステップＳ４へ戻って上記した各処理が繰り返される。不正アクセス判定タイマTがタイムアウトすると、ステップＳ９で不正アクセス判定タイマTをリセットした後にステップＳ１へ戻る。
【００３３】
これに対して、前記ステップＳ５において、ICMP送信パケットがエコーリクエストパケットであると判定されると、ステップＳ６では、送信されたパケットの宛先IPと受信されたパケットの送信元IPとが比較される。両者が一致していれば、一対のホストコンピュータ間での正常なパケット交換なのでステップＳ８へ進む。両者が不一致であればステップＳ７へ進み、前記各エコーリクエストパケットの送受信が不正アクセスと判定される。
【００３４】
図４は、本発明に係る不正アクセス検知装置の第２実施形態のブロック図であり、前記と同一の符号は同一または同等部分を表している。本実施形態では、TCP通信路を構築する際の３Wayハンドシェイクの開始パケットであって、悪意の侵入者やウィルスが攻撃目標のサービスポートを探索する際に用いるTCP SYNパケットに基づいて不正アクセスが検知される。
【００３５】
TCP(Transmission Control Protocol）受信パケット抽出部２０２は、宛先IPがホストコンピュータであるTCP受信パケットPinを抽出する。TCP送信パケット抽出部２０３は、送信元IPがホストコンピュータであるTCP送信パケットPoutを抽出する。
【００３６】
図５は、TCPパケットのヘッダ構造を示した図であり、TCPパケットの送信元のアプリケーションを識別するための「送信元ポート番号」フィールド、宛先となるアプリケーションが待ち受けしている「宛先ポート番号」フィールド等と共に６ビットのフラグフィールドを含み、このフラグフィールド内に、TCP接続を要求する場合にセットされる「SYN（synchronize）フラグ」や「FUSHフラグ」フィールドが確保されている。
【００３７】
不正アクセス検知部２０４は、前記各抽出部１０２，１０３により抽出されたTCPパケットを参照し、SYNプラグがセットされており、宛先ポート番号が相互に一致しているTCP受信パケットおよびTCP送信パケットが所定時間内に抽出されると、当該各TCPパケットの送受信を不正アクセスと判定する。
【００３８】
図６は、本実施形態の動作を示したフローチャートであり、主に不正アクセス検知部２０４の動作を示している。
【００３９】
ステップＳ１１では、前記TCP受信パケット抽出部２０２によりTCP受信パケットが抽出されたか否かが判定される。TCP受信パケットが抽出されると、ステップＳ１２では、当該受信パケットのSYNフラグがセットされているか否かが判定される。SYNフラグがセットされていればステップＳ１３へ進み、当該受信パケットの宛先ポート番号が抽出されて一時記憶される。ステップＳ１４では、不正アクセス判定タイマTがスタートする。
【００４０】
ステップＳ１５では、前記TCP送信パケット抽出部２０３によりTCP送信パケットが抽出されたか否かが判定される。TCP送信パケットが抽出されると、ステップＳ１６では、当該送信パケットのSYNフラグがセットされているか否かが判定される。SYNフラグがセットされていればステップＳ１７へ進み、当該送信パケットの宛先ポート番号が、前記一時記憶されている受信パケットの宛先ポート番号と比較される。
【００４１】
前記ステップＳ１５，Ｓ１６，Ｓ１７の判定が否定であればステップＳ２０へ進み、前記不正アクセス判定タイマTがタイムアウトしているか否かが判定され、タイムアウトするまではステップＳ１５へ戻って上記した各処理が繰り返される。不正アクセス判定タイマTがタイムアウトすると、ステップＳ２１で不正アクセス判定タイマTをリセットした後にステップＳ１１へ戻る。
【００４２】
これに対して、前記ステップＳ１７において、送信パケットの宛先ポート番号受信パケットの宛先ポート番号と一致していると判定されると、ステップＳ１８では、送信されたTCP SYNパケットの宛先IPと受信されたTCP SYNパケットの送信元IPとが比較される。両者が不一致であればステップＳ１９へ進み、前記各TCPパケットの送受信が不正アクセスと判定される。
【００４３】
図７は、本発明に係る不正アクセス検知装置の第３実施形態のブロック図であり、前記と同一の符号は同一または同等部分を表している。本実施形態では、所定のUDPポートへのスキャンや攻撃パケットの送信の有無に基づいて不正アクセスが検知される。
【００４４】
UDP(User Datagram Protocol)受信パケット抽出部３０２は、宛先IPがホストコンピュータであるUDP受信パケットを抽出する。UDP送信パケット抽出部３０３は、送信元IPがホストコンピュータであるUDP送信パケットを抽出する。
【００４５】
図８は、UDPパケットのヘッダ構造を示した図であり、UDPパケットの送信元のアプリケーションを識別するための「送信元ポート番号」フィールド、UDPパケットの宛先となるアプリケーションが待ち受けしている「宛先ポート番号」フィールド、UDPパケットの長さを表す「UDPデータ長」フィールド、UDPパケットの整合性を検査するための「UDPチェックサム」フィールド、および「データ」フィールドを含む。
【００４６】
不正アクセス検知部３０４は、前記各抽出部１０２，１０３により抽出されたUDPパケットを参照し、宛先ポート番号およびデータのいずれもが一致しているUDP受信パケットおよびUDP送信パケットが所定時間内に抽出されると、当該各UDPパケットの送受信を不正アクセスと判定する。
【００４７】
図９は、本実施形態の動作を示したフローチャートであり、主に不正アクセス検知部３０４の動作を示している。
【００４８】
ステップＳ３１では、前記UDP受信パケット抽出部３０２によりUDP受信パケットが抽出されたか否かが判定される。UDP受信パケットが抽出されると、ステップＳ３２では、当該受信パケットの宛先ポート番号およびデータが抽出されて一時記憶される。ステップＳ３３では、不正アクセス判定タイマTがスタートする。
【００４９】
ステップＳ３４では、前記UDP送信パケット抽出部３０３によりUDP送信パケットが抽出されたか否かが判定される。UDP送信パケットが抽出されると、ステップＳ３５では、当該送信パケットの宛先ポート番号およびデータが、前記一時記憶されている受信パケットの宛先ポート番号およびデータと比較される。
【００５０】
前記ステップＳ３４，Ｓ３５の判定が否定であればステップＳ３８へ進み、前記不正アクセス判定タイマTがタイムアウトしているか否かが判定され、タイムアウトするまではステップＳ３４へ戻って上記した各処理が繰り返される。不正アクセス判定タイマTがタイムアウトすると、ステップＳ３９で不正アクセス判定タイマTをリセットした後にステップＳ３１へ戻る。
【００５１】
これに対して、前記ステップＳ３５において、送信パケットの宛先ポート番号およびデータが、それぞれ受信パケットの宛先ポート番号およびデータと一致していると判定されると、ステップＳ３６では、UDP送信パケットの宛先IPとUDP受信パケットの送信元IPとが比較される。両者が不一致であればステップＳ３７へ進み、前記各UDPパケットの送受信が不正アクセスと判定される。
【００５２】
図１０は、本発明に係る不正アクセス検知装置の第４実施形態のブロック図であり、本実施形態では、例えばtelnetを利用した踏み台攻撃であればTCP２３番ポートに対して送信される、ポートスキャン用のTCP PUSHパケットに基づいて不正アクセスが検知される。
【００５３】
TCP PUSHパケット(受信)抽出部４０２は、宛先IPがホストコンピュータであって、PUSHフラグのセットされているTCP PUSHパケットPinを抽出する。TCP PUSHパケット(送信)抽出部４０３は、送信元IPがホストコンピュータであるTCP PUSHパケットPoutを抽出する。
【００５４】
不正アクセス検知部４０４は、前記各抽出部４０２，４０３により抽出された各TCP PUSHパケットを参照し、宛先ポート番号およびデータのうち、少なくともデータが相互に一致しているTCP PUSHパケットが所定時間内に送受信されると、当該各TCP PUSHパケットの送受信を不正アクセスと判定する。
【００５５】
図１１は、本実施形態の動作を示したフローチャートであり、主に不正アクセス検知部４０４の動作を示している。
【００５６】
ステップＳ４１では、前記TCP PUSHパケット(受信)抽出部４０２によりTCP PUSHパケットが抽出されたか否かが判定される。TCP PUSHパケットが抽出されると、ステップＳ４２では、当該受信パケットの宛先ポート番号およびデータが抽出されて一時記憶される。ステップＳ４３では、不正アクセス判定タイマTがスタートする。
【００５７】
ステップＳ４４では、前記TCP PUSHパケット（送信）抽出部４０３によりTCP PUSHパケットが抽出されたか否かが判定される。TCP PUSHパケットが抽出されると、ステップＳ４５では、当該送信パケットの宛先ポート番号およびデータが、前記一時記憶されている受信パケットの宛先ポート番号およびデータと比較される。
【００５８】
前記ステップＳ４４，Ｓ４５の判定が否定であればステップＳ４８へ進み、前記不正アクセス判定タイマTがタイムアウトしているか否かが判定され、タイムアウトするまではステップＳ４４へ戻って上記した各処理が繰り返される。不正アクセス判定タイマTがタイムアウトすると、ステップＳ４９で不正アクセス判定タイマTをリセットした後にステップＳ４１へ戻る。
【００５９】
これに対して、前記ステップＳ４５において、送信パケットの宛先ポート番号およびデータが、それぞれ受信パケットの宛先ポート番号およびデータと一致していると判定されると、ステップＳ４６では、送信されたTCP SYNパケットの宛先IPと受信されたTCP SYNパケットの送信元IPとが比較される。両者が不一致であればステップＳ４７へ進み、前記各TCPパケットの送受信が不正アクセスと判定される。
【００６０】
なお、telnetアプリケーションのように、キーボードから入力された文字列が一文字ずつ異なるパケットのデータ部に格納されて送受信される場合には、パケット単位でデータを比較して不正アクセスを検知することが難しい。このような場合には、各パケット抽出部４０２，４０３あるいは不正アクセス検知部４０４が、複数のパケットに分散されている送信データ片および受信データ片をそれぞれ収集して所定長の送信データおよび受信データを構築し、両者を比較することが望ましい。
【００６１】
また、上記した実施形態では、ステップＳ４５において宛先ポート番号およびデータのいずれもが一致していることを条件に不正アクセスと判定しているが、侵入者が不正の発覚を恐れて故意にデータを異ならせる場合もあるので、宛先ポート番号の一致のみを条件に不正アクセスと判定するようにしても良い。
【００６２】
図１２は、本発明に係る不正アクセス検知装置の第５実施形態のブロック図であり、本実施形態では、踏み台攻撃であればTCP PUSHパケットが受信されたホストコンピュータからは、次の侵入先へ短時間のうちにTCPコネクションの確立要求が送信されることに着目し、TCP PUSHパケットの受信およびTCP SYNパケットの送信に基づいて不正アクセスが検知される。
【００６３】
すなわち、第４実施形態のように、送受信されるTCP PUSHパケットの宛先ポート番号およびデータが一致している場合のみ不正アクセスと判断すると、例えば侵入者が最初のホストへtelnetで侵入し、その後、SSHによる暗号化通信で次のホストに侵入するといったように、アプリケーションを次々と変化させながらホストを渡り歩くと、データが変化するために不正アクセスを検知できなくなる。そこで、本実施形態では、侵入者がアプリケーションを次々と変化させながらホストを渡り歩く場合も、これを検知できるようにしている。
【００６４】
TCP PUSHパケット(受信)抽出部５０２は、宛先IPがホストコンピュータであって、PUSHフラグのセットされているTCP PUSHパケットPinを抽出する。TCP SYNパケット(送信)抽出部５０３は、送信元IPがホストコンピュータであるTCP SYNパケットPoutを抽出する。
【００６５】
不正アクセス検知部５０４は、前記各抽出部１０２，１０３により抽出された各TCP PUSHパケットおよびTCP SYNパケットが所定時間内に抽出されると、当該各TCPパケットの送受信を不正アクセスと判定する。
【００６６】
図１３は、本実施形態の動作を示したフローチャートであり、主に不正アクセス検知部２０４の動作を示している。
【００６７】
ステップＳ５１では、前記TCP PUSHパケット(受信)抽出部５０２によりTCP PUSHパケットが抽出されたか否かが判定される。TCP PUSHパケットが抽出されると、ステップＳ５２では、不正アクセス判定タイマTがスタートする。ステップＳ５３では、前記TCP SYNパケット（送信）抽出部５０３によりTCP SYNパケットが抽出されたか否かが判定される。TCP SYNパケットが抽出されなければステップＳ５６へ進み、前記不正アクセス判定タイマTがタイムアウトしているか否かが判定され、タイムアウトするまではステップＳ５３へ戻って上記した各処理が繰り返される。不正アクセス判定タイマTがタイムアウトすると、ステップＳ５７で不正アクセス判定タイマTをリセットした後にステップＳ５１へ戻る。
【００６８】
これに対して、前記ステップＳ５３においてTCP SYNパケットが抽出されるとステップＳ５４へ進み、送信されたTCP SYNパケットの宛先IPと受信されたTCP PUSHパケットの送信元IPとが比較される。両者が不一致であればステップＳ５５へ進み、前記各TCPパケットの送受信が不正アクセスと判定される。
【００６９】
なお、上記した各実施形態では、ネットワークとホストコンピュータとを結ぶネットワークゲートウェイから取り込んだパケットに基づいて不正アクセスを検知するものとして説明したが、ホストコンピュータの内部で取り込んだパケットに基づいて不正アクセスを検知することもできる。
【００７０】
図１４は、本発明の第６実施形態の構成を示したブロック図であり、本実施形態では、ホストコンピュータ内で全てのパケットを監視するために、不正アクセス検知プロセス２はMAC層とIP層との間でパケットを取り込み、上記と同様の手順で不正アクセスを検知する。ただし、通信経路がSSLやTLSにより暗号化されている場合には、暗号化前の状態でなければパケットを参照できないので、図１４に破線で示したように、不正アクセス検知プロセス２はアプリケーション層とTCP/UDP層との間でパケットを取り込む必要がある。
【００７１】
なお、上記した各実施形態では、コンピュータで送受信されるパケットに基づいて不正アクセスを検知するものとして説明したが、不正アクセスの誤検知を防止して信頼性を向上させるためには、信頼できるホストコンピュータのアドレスを予め不正アクセス検知部１０４（２０４，３０４…）等に登録しておき、送受信されるパケットに基づいて不正アクセスと判定された場合であっても、相手ホストが前記信頼できるホストとして既登録であれば、不正アクセスと判定しないようにすることが望ましい。
【図面の簡単な説明】
【００７２】
【図１】本発明に係る不正アクセス検知装置の第１実施形態のブロック図である。
【図２】ICMPパケットの構造を示した図である。
【図３】第１実施形態の動作を示したフローチャートである。
【図４】本発明に係る不正アクセス検知装置の第２実施形態のブロック図である。
【図５】TCPパケットのヘッダ構造を示した図である。
【図６】第２実施形態の動作を示したフローチャートである。
【図７】本発明に係る不正アクセス検知装置の第３実施形態のブロック図である。
【図８】UDPパケットのヘッダ構造を示した図である。
【図９】第３実施形態の動作を示したフローチャートである。
【図１０】本発明に係る不正アクセス検知装置の第４実施形態のブロック図である。
【図１１】第４実施形態の動作を示したフローチャートである。
【図１２】本発明に係る不正アクセス検知装置の第５実施形態のブロック図である。
【図１３】第５実施形態の動作を示したフローチャートである。
【図１４】本発明に係る不正アクセス検知装置の第４実施形態のブロック図である。
【図１５】踏み台攻撃の一例を模式的に表現した図である。
【符号の説明】
【００７３】
１…不正アクセス検知装置
１０１…パケット取込部
１０２…ICMP受信パケット抽出部
１０３…ICMP送信パケット抽出部
１０４，２０４，３０４、４０４，５０４…不正アクセス検知部
２０２…TCP受信パケット抽出部
２０３…TCP送信パケット抽出部
３０２…UDP受信パケット抽出部
３０３…UDP送信パケット抽出部
４０２，５０２…TCP PUSHパケット(受信)抽出部
４０３…TCP PUSHパケット(送信)抽出部
５０３…TCP SYNパケット(送信)抽出部
【特許請求の範囲】
【請求項１】
TCP(Transmission Control Protocol)で送受信されるパケットに基づいてコンピュータへの不正アクセスを検知する不正アクセス検知装置において、
前記コンピュータで送受信されるTCP PUSHパケットを監視する送受信パケット監視手段と、
前記TCP PUSHパケットが受信されてから所定時間内に、当該パケットと宛先ポート番号およびデータのうち、少なくともデータが同一のTCP PUSHパケットが送信されると、当該各TCP PUSHパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする不正アクセス検知装置。
【請求項２】
前記不正アクセス判定手段は、前記送受信される各TCP PUSHパケットに分散して登録されているデータ片をそれぞれ収集して所定長の送受信データを構築し、両者を比較することを特徴とする請求項１に記載の不正アクセス検知装置。
【請求項３】
TCP(Transmission Control Protocol)で送受信されるパケットに基づいてコンピュータへの不正アクセスを検知する不正アクセス検知装置において、
前記コンピュータで送受信されるTCP パケットを監視する送受信パケット監視手段と、
TCP PUSHパケットが受信されてから所定時間内にTCP SYNパケットが送信されると、当該各TCPパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする不正アクセス検知装置。
【請求項４】
ICMP(Internet Control Message Protocol)で送受信されるパケットに基づいてコンピュータへの不正アクセスを検知する不正アクセス検知装置において、
前記コンピュータで送受信されるICMPエコーリクエストパケットを監視する送受信パケット監視手段と、
ICMPエコーリクエストパケットが受信されてから所定時間内にICMPエコーリクエストパケットが送信されると、当該各エコーリクエストパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする不正アクセス検知装置。
【請求項５】
TCP(Transmission Control Protocol)で送受信されるパケットに基づいてコンピュータへの不正アクセスを検知する不正アクセス検知装置において、
前記コンピュータで送受信されるTCP SYNパケットを監視する送受信パケット監視手段と、
前記TCP SYNパケットが受信されてから所定時間内に、宛先ポート番号が前記受信されたTCP SYNパケットと同一のTCP SYNパケットが送信されると、当該各TCP SYNパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする不正アクセス検知装置。
【請求項６】
UDP(User Datagram Protocol )で送受信されるパケットに基づいてコンピュータへの不正アクセスを検知する不正アクセス検知装置において、
前記コンピュータで送受信されるUDPパケットを監視する送受信パケット監視手段と、
前記UDPパケットが受信されてから所定時間内に、当該UDPパケットと宛先ポート番号およびデータが同一のUDPパケットが送信されると、当該各UDPパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする不正アクセス検知装置。
【請求項７】
前記送受信パケット監視手段は、ネットワークとコンピュータとを結ぶ経路上でパケットを監視することを特徴とする請求項１ないし６のいずれかに記載の不正アクセス検知装置。
【請求項８】
前記送受信パケット監視手段は、コンピュータ内において、MAC層とIP層との間でパケットを監視することを特徴とする請求項１ないし６のいずれかに記載の不正アクセス検知装置。
【請求項９】
前記送受信パケット監視手段は、コンピュータ内において、アプリケーション層とTCP/UDP層との間でパケットを監視することを特徴とする請求項１ないし６のいずれかに記載の不正アクセス検知装置。
【請求項１０】
信頼できるコンピュータの識別情報を登録する手段をさらに具備し、
前記不正アクセス判定手段は、前記信頼できるコンピュータからのアクセスを不正アクセスと判定しないことを特徴とする請求項１ないし９のいずれかに記載の不正アクセス検知装置。
【請求項１１】
前記受信パケットの送信元アドレスと送信パケットの宛先アドレスとを比較する手段を更に具備し、
前記不正アクセス判定手段は、前記送信元アドレスと宛先アドレスとが一致すると、当該各パケットの送受信を不正アクセスと判定しないことを特徴とする請求項１ないし１０のいずれかに記載の不正アクセス検知装置。
【請求項１】
TCP(Transmission Control Protocol)で送受信されるパケットに基づいてコンピュータへの不正アクセスを検知する不正アクセス検知装置において、
前記コンピュータで送受信されるTCP PUSHパケットを監視する送受信パケット監視手段と、
前記TCP PUSHパケットが受信されてから所定時間内に、当該パケットと宛先ポート番号およびデータのうち、少なくともデータが同一のTCP PUSHパケットが送信されると、当該各TCP PUSHパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする不正アクセス検知装置。
【請求項２】
前記不正アクセス判定手段は、前記送受信される各TCP PUSHパケットに分散して登録されているデータ片をそれぞれ収集して所定長の送受信データを構築し、両者を比較することを特徴とする請求項１に記載の不正アクセス検知装置。
【請求項３】
TCP(Transmission Control Protocol)で送受信されるパケットに基づいてコンピュータへの不正アクセスを検知する不正アクセス検知装置において、
前記コンピュータで送受信されるTCP パケットを監視する送受信パケット監視手段と、
TCP PUSHパケットが受信されてから所定時間内にTCP SYNパケットが送信されると、当該各TCPパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする不正アクセス検知装置。
【請求項４】
ICMP(Internet Control Message Protocol)で送受信されるパケットに基づいてコンピュータへの不正アクセスを検知する不正アクセス検知装置において、
前記コンピュータで送受信されるICMPエコーリクエストパケットを監視する送受信パケット監視手段と、
ICMPエコーリクエストパケットが受信されてから所定時間内にICMPエコーリクエストパケットが送信されると、当該各エコーリクエストパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする不正アクセス検知装置。
【請求項５】
TCP(Transmission Control Protocol)で送受信されるパケットに基づいてコンピュータへの不正アクセスを検知する不正アクセス検知装置において、
前記コンピュータで送受信されるTCP SYNパケットを監視する送受信パケット監視手段と、
前記TCP SYNパケットが受信されてから所定時間内に、宛先ポート番号が前記受信されたTCP SYNパケットと同一のTCP SYNパケットが送信されると、当該各TCP SYNパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする不正アクセス検知装置。
【請求項６】
UDP(User Datagram Protocol )で送受信されるパケットに基づいてコンピュータへの不正アクセスを検知する不正アクセス検知装置において、
前記コンピュータで送受信されるUDPパケットを監視する送受信パケット監視手段と、
前記UDPパケットが受信されてから所定時間内に、当該UDPパケットと宛先ポート番号およびデータが同一のUDPパケットが送信されると、当該各UDPパケットの送受信を不正アクセスと判定する不正アクセス判定手段とを含むことを特徴とする不正アクセス検知装置。
【請求項７】
前記送受信パケット監視手段は、ネットワークとコンピュータとを結ぶ経路上でパケットを監視することを特徴とする請求項１ないし６のいずれかに記載の不正アクセス検知装置。
【請求項８】
前記送受信パケット監視手段は、コンピュータ内において、MAC層とIP層との間でパケットを監視することを特徴とする請求項１ないし６のいずれかに記載の不正アクセス検知装置。
【請求項９】
前記送受信パケット監視手段は、コンピュータ内において、アプリケーション層とTCP/UDP層との間でパケットを監視することを特徴とする請求項１ないし６のいずれかに記載の不正アクセス検知装置。
【請求項１０】
信頼できるコンピュータの識別情報を登録する手段をさらに具備し、
前記不正アクセス判定手段は、前記信頼できるコンピュータからのアクセスを不正アクセスと判定しないことを特徴とする請求項１ないし９のいずれかに記載の不正アクセス検知装置。
【請求項１１】
前記受信パケットの送信元アドレスと送信パケットの宛先アドレスとを比較する手段を更に具備し、
前記不正アクセス判定手段は、前記送信元アドレスと宛先アドレスとが一致すると、当該各パケットの送受信を不正アクセスと判定しないことを特徴とする請求項１ないし１０のいずれかに記載の不正アクセス検知装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２００６−３３４７２（Ｐ２００６−３３４７２Ａ）
【公開日】平成１８年２月２日（２００６．２．２）
【国際特許分類】
【出願番号】特願２００４−２１０１２７（Ｐ２００４−２１０１２７）
【出願日】平成１６年７月１６日（２００４．７．１６）
【新規性喪失の例外の表示】特許法第３０条第１項適用申請有り 平成１６年３月９日 社団法人情報処理学会発行の「情報処理学会第６６回全国大会（平成１６年）講演論文集」に発行
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【出願人】（５０４２７５２９２）
【Ｆターム（参考）】
【公開日】平成１８年２月２日（２００６．２．２）
【国際特許分類】
【出願日】平成１６年７月１６日（２００４．７．１６）
【新規性喪失の例外の表示】特許法第３０条第１項適用申請有り 平成１６年３月９日 社団法人情報処理学会発行の「情報処理学会第６６回全国大会（平成１６年）講演論文集」に発行
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【出願人】（５０４２７５２９２）
【Ｆターム（参考）】
[ Back to top ]