侵入検知システム及び通信装置
【課題】少ないリソースで無駄なく、頻繁に発生する不正アクセスに対する不正アクセスを検出することができる侵入検知システムを提供する。
【解決手段】管理サーバ１０１は、各不正アクセス検知部１０４の中のログ収集部１０６からログを収集し、不正アクセスの多い順に集計し、ログを順位付けする。不正アクセス検知部１０４は、管理サーバ１０１から順位付けされたログを取得し、順位の高い不正アクセスが自らの不正アクセス検知部では検知されていない場合、不正アクセスに対応するシグネチャがシグネチャ管理部１０８に存在するか否かを問い合わせ、シグネチャが無い場合は更新する。順位の低い不正アクセスや、ログに無い不正アクセスに関しては、不正アクセスに対応するシグネチャが存在するか否かをシグネチャ管理部１０８に問い合わせ、シグネチャがある場合はシグネチャを一定時間保持しておき、一定時間経過後、シグネチャ管理部１０８から削除する。
【解決手段】管理サーバ１０１は、各不正アクセス検知部１０４の中のログ収集部１０６からログを収集し、不正アクセスの多い順に集計し、ログを順位付けする。不正アクセス検知部１０４は、管理サーバ１０１から順位付けされたログを取得し、順位の高い不正アクセスが自らの不正アクセス検知部では検知されていない場合、不正アクセスに対応するシグネチャがシグネチャ管理部１０８に存在するか否かを問い合わせ、シグネチャが無い場合は更新する。順位の低い不正アクセスや、ログに無い不正アクセスに関しては、不正アクセスに対応するシグネチャが存在するか否かをシグネチャ管理部１０８に問い合わせ、シグネチャがある場合はシグネチャを一定時間保持しておき、一定時間経過後、シグネチャ管理部１０８から削除する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正アクセス検知システム技術の中でも、特に不正アクセスを検出するためのシグネチャの作成方法に関し、複数の不正アクセス検知システムで頻繁に発生する不正アクセスに対するシグネチャのみを共通にもつことを可能にすることで、無駄なく効率的に不正アクセスを検知する侵入検知システム、及びそれを構成する通信装置に関するものである。
【背景技術】
【０００２】
近年、インターネットなどのネットワークの普及にともない、ＡＤＳＬ（非対称デジタル加入者線）やＦＴＴＨ（光ファイバ）といったインターネットの常時接続環境の企業、または家庭への導入が盛んになってきている。これにともない、家庭などにおいて利用される電化製品の多くが、ネットワーク接続のためのインタフェースを持ち、ネットワーク接続が可能となってきている（以下、ネットワークに接続可能な電化製品をネット家電と記す）。
【０００３】
企業や家庭において、内部でＬＡＮ環境を構成した際、内部のネットワークに、ネット家電やパソコンなどの機器が接続される（以下、内部ネットワークと記す）。これらの機器はネットワークに接続されることで、新たなサービスを提供することができる。例えば、インターネット等の外部に接続可能な回線（以下、外部ネットワークと記す）と内部ネットワークが接続されることで、宅外ネットワークに接続されるパソコンから、宅内ネットワークに接続されるビデオデッキに対して録画予約の指示を行ったり、エアコンのスイッチを切り替えたりすることも可能である。そのためには、宅内ネットワークに複数存在するネット家電やパソコンなどの機器を集線する機能を持ち、宅内ネットワークと宅外ネットワークとを中継するゲートウェイが必要となる。
【０００４】
しかし、宅内ネットワークが宅外ネットワークに常時接続されることで、宅内に接続された機器は、不正アクセスなどを受ける可能性がでてくる。不正アクセス行為とは、外部ネットワークから行う不正な攻撃のことであり、不正侵入や、サービス不能攻撃（ＤＤｏＳ Ａｔｔａｃｋ）、システムの脆弱性を狙った攻撃などを行うことである。
【０００５】
そこで、宅外ネットワークから宅内ネットワークに対して行われる不正アクセスを検出し、防止するために、侵入検知システム（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）や、侵入防御システム（Ｉｎｔｒｕｓｉｏｎ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）などの機能をゲートウェイへ導入する必要がある。
【０００６】
侵入検知システムによって不正アクセスを検出する方法としては、パターンデータ（以下、シグネチャと記載）を用いて、不正アクセスを検出するシグネチャ型が一般的である。シグネチャとは、不正アクセスに使われるパケットの内部に存在する特徴的なパターンのことを言う。シグネチャ型侵入検知システムは、過去に不正アクセスとして発見された攻撃のパターンをシグネチャとして記憶しており、侵入して来たパケットを解析する際に、侵入して来たパケットとパターンデータとを比較することで、不正アクセスか否かを判断することである。つまり、侵入検知システムでは、ＴＣＰ層よりも上位層における不正アクセスを検知する。ＴＣＰパケットのペイロードに不正なデータ（コンピュータに不正な動作をさせるプログラムなど）が含まれているかどうかを検知する。ＴＣＰ層やＩＰ層において不正アクセスを検知する機能としては、従来のファイアウォールにおけるパケットフィルタリングがある。
【０００７】
近年のインターネット利用人口の増加にともなって、悪意のある利用者の不正アクセス攻撃も増加しているため、侵入検知システムのニーズは非常に高まっている。不正アクセス攻撃が増加することで、侵入検知システムは膨大の種類のシグネチャを持つ必要があり、また、新たな不正アクセスに対応するため、侵入検知システムの製造元などから提供されるシグネチャを侵入検知システムの管理者が日々更新する必要がある。
【０００８】
侵入検知システムの高精度化、分散管理手法を図った方法として、特許文献１の公報に開示されている技術がある。この公報に開示された侵入検知システムによると、ある端末（仮に端末Ａとする）で収集した動作の履歴（ログ）を他の端末に送信し、各端末は、そのログを診断し、予め決められた閾値以上の端末が、そのログから不正アクセスを検知した（不正アクセスと判断した）場合、各端末は不正アクセスを受けている端末との通信を中止することが可能である。端末Ａで不正アクセスを検知できなくても、他の複数の端末でも共同で不正アクセスを検知するため、端末Ａで検知できなかった不正アクセスを他の端末で補うことが可能である。
【特許文献１】特開平９−１２８３３６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
侵入検知システムを家庭やＳＯＨＯにおけるネットワークへ導入する場合、少ないリソースで導入でき、かつ、頻繁に発生する不正アクセスは検知できなければならない。しかしながら、前記従来の構成では、シグネチャ自体は、各侵入検知システムで膨大な量を持たなければならないため、無駄が多く、リソースも大きいため家庭やＳＯＨＯにおけるネットワークへ導入するには不向きである。また、最新のシグネチャは常に管理者が更新しなければならないが、管理者が更新を怠ったか、ネットワーク上のトラブルなどにより、侵入検知システムの製造元などから、シグネチャが提供されず、更新できていない場合もありうるため、頻繁に行われる、特に新規に発見された不正アクセスが検知できていないことがある。
【００１０】
本発明は、前記従来の課題を解決するもので、ネットワーク上に存在する管理サーバが、各通信装置で検知された不正アクセスに関するログを収集し、発生頻度により順位付けした結果（ログ）を各通信装置に通知する。通信装置は、管理サーバから受信したログを解析し、自身の不正アクセス検知部では検知して無く、その他の多くの不正アクセス検知部では検知しているような不正アクセスを発見した場合、自身にその不正アクセスに対応するシグネチャが無いためであると仮定し、シグネチャが無い場合は、他の通信端末からシグネチャを受信する。また、発生頻度が低くなってしまった不正アクセスに対するパターンデータは、一定時間保持しておき、一定時間経過後、削除するため、無駄なく効率的に不正アクセスを検知することが可能となり、少ないリソースでシグネチャを持つことが可能である。また、最新のシグネチャを更新し損なっていた場合も、最新のシグネチャのうち、頻繁に行われる不正アクセスに関してのシグネチャを常に保持しておくことが可能である。
【課題を解決するための手段】
【００１１】
上記の課題を解決するために、本発明の請求項１記載の発明は、ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する侵入検知システムであって、前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部を有する管理サーバと、前記順位付けしたログ情報を前記管理部から収集するログ収集部と、前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、前記シグネチャを記憶するシグネチャ管理部と、前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを前記管理部から取得し、前記シグネチャ管理部に格納するシグネチャ更新部を有する１つ以上の通信装置とで構成されることを特徴とするものである。
【００１２】
また、本発明の請求項２記載の発明は、請求項１記載の侵入検知システムにおいて、前記管理部は、前記シグネチャ更新部から要求された前記順位の高い不正アクセスに対応するシグネチャを保持していない場合、前記ネットワーク上の他の通信装置から前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ更新部に提供することを特徴とするものである。
【００１３】
また、本発明の請求項３記載の発明は、請求項１記載の侵入検知システムにおいて、前記シグネチャ更新部は、前記順位付けしたログ情報において順位の低い不正アクセスに対応するシグネチャを所定の条件を満たした場合に削除することを特徴とするものである。
【００１４】
また、本発明の請求項４記載の発明は、請求項１記載の侵入検知システムにおいて、前記通信装置は、前記不正アクセスを検知した場合、前記不正アクセスを検知したことを示すアラートをユーザに通知すると共に、必要に応じて前記検知した不正アクセスを遮断するようにファイアウォールを設定するアラート発生部を更に有することを特徴とするものである。
【００１５】
また、本発明の請求項５記載の発明は、ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する通信装置であって、前記ネットワーク上の不正アクセスに関するログを、不正アクセスの多い順に順位付けしたログ情報を収集するログ収集部と、前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、前記シグネチャを記憶するシグネチャ管理部と、前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ管理部に格納するシグネチャ更新部を備えることを特徴とするものである。
【００１６】
また、本発明の請求項６記載の発明は、ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する侵入検知システムであって、前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部と、前記順位付けしたログ情報を前記管理部から収集するログ収集部と、前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、前記シグネチャを記憶するシグネチャ管理部と、前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを前記管理部から取得し、前記シグネチャ管理部に格納するシグネチャ更新部とを有する第１の通信装置と、前記ログ収集部と、前記ログ解析部と、前記シグネチャ管理部と、前記シグネチャ更新部とを有する１つ以上の第２の通信装置により構成されることを特徴とするものである。
【００１７】
また、本発明の請求項７記載の発明は、ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する通信装置であって、前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部と、前記ネットワーク上の不正アクセスに関するログを、不正アクセスの多い順に順位付けしたログ情報を収集するログ収集部と、前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、前記シグネチャを記憶するシグネチャ管理部と、前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ管理部に格納するシグネチャ更新部を備えることを特徴とするものである。
【発明の効果】
【００１８】
本発明において、管理サーバが、ネットワーク上の複数の通信装置が検知した不正アクセスに関するログを収集し、ログの情報から不正アクセスの多い順に順位付けし、各侵入検知システムが管理サーバから取得したログ情報から自身の侵入検知システムで頻繁に検知される不正アクセスに関するシグネチャの有無を確認し、無い場合、追加することで、頻繁に検知される不正アクセスに関する共通のシグネチャを複数の通信装置で持つことができる。また、ログの情報から発生頻度が低くなってしまった不正アクセスに対するシグネチャは、削除しあうことで、無駄なく効率的に不正アクセスを検知することが可能となり、少ないリソースでシグネチャを持つことができる。更に、侵入検知システムの製造元からのシグネチャを更新し損なっていたとしても、複数の通信装置の連携により、最新のシグネチャの中でも頻繁に行われる不正アクセスに対するもののみ持つことができる。
【発明を実施するための最良の形態】
【００１９】
以下本発明の実施の形態について、図面を参照しながら説明する。
【００２０】
（実施の形態１）
図１は、本発明の実施の形態１における侵入検知システムの概要構成を示すブロック図である。
【００２１】
図１において、インターネットなどの第１のネットワークには、管理サーバ１０１が存在する。家庭内、ＳＯＨＯ内などの第２のネットワークには、ホームゲートウェイ（以下、ＨＧＷ）１０２が設置される。ホームゲートウェイの中にはファイアウォール１０３と不正アクセス検知部１０４が設置され、第１のネットワークから第２のネットワークへの不正アクセスを監視する。不正アクセス検知部１０４は、ＨＧＷ１０２を流れるパケットを解析するパケット解析部１０５、不正アクセスに関する履歴（ログ）を管理するログ収集部１０６、ログ収集部１０６のログを解析するログ解析部１０７、不正アクセスを検知するためのパターンファイル（シグネチャ）を保持するシグネチャ管理部１０８、シグネチャ管理部１０８のシグネチャを更新するシグネチャ更新部１０９、パケット解析部１０５によって不正アクセスが検知された際に、アラートを発生するアラート発生部１１０で構成される。また、ＨＧＷ１０２にはユーザ端末１１１が接続される。なお、図１では第１のネットワーク上に３つのＨＧＷが接続され、それぞれに不正アクセス検知部が設置された場合であるが、第１のネットワーク上に接続される不正アクセス検知部を持つＨＧＷは、２つ以下であっても、４つ以上であっても構わない。
【００２２】
管理サーバ１０１に関して、主な役割は、ネットワーク上に存在する複数のＨＧＷの不正アクセス検知部で保持している不正アクセスに関するログを収集し、収集したログから頻繁に発生した不正アクセスを集計し、検知した不正アクセスの多い順に順位付けすることである。また、管理サーバ１０１はシグネチャを不正アクセス検知部１０４に送信する機能ももつ。前者については図２で、後者については図６〜８で述べる。シグネチャとログのフォーマットの一例については図４で述べる。
【００２３】
図２は、管理サーバ１０１がネットワーク上の複数の不正アクセス検知部で保持している不正アクセスに関するログを収集し、収集したログから頻繁に発生した不正アクセスを集計し、検知した不正アクセスの多い順に順位付けする際の動作の一例について示したフローチャートである。管理サーバ１０１は、事前にネットワーク上の複数の不正アクセス検知部１０４を実装したＨＧＷの位置を示す位置情報リストを持つ。位置情報リストは図３のフォーマットに従う。位置情報リストは、ＩＰアドレスとホームゲートウェイの名前を対にして羅列したファイルである。管理サーバ１０１は、位置情報リストの先頭に記載の位置に存在するＨＧＷの不正アクセス検知部１０４に対して問い合わせ（ステップＳ２０１）、応答があった場合は、問い合わせ先の不正アクセス検知部１０４のログ収集部１０６からログを収集する（ステップＳ２０２、２０３）。応答が無い場合は、位置情報リストの次に記載の位置に存在するＨＧＷの不正アクセス検知部へ問い合わせる（ステップＳ２０２、２０４）。位置情報リストの最後まで問い合わせ終わるまで繰り返し（ステップＳ２０５、２０６）、問い合わせが終わった場合、管理サーバ１０１が収集したログをもとに不正アクセスの検知数の多い順に順位付けする（ステップＳ２０５、２０７）。順位付けしたログのフォーマットの一例については、以下の図５の説明で述べる。
【００２４】
図４に、シグネチャとログのフォーマットの一例とその具体例を示す。情報４０１は、シグネチャのフォーマットの一例である。シグネチャは、番号（不正アクセスごとに連番を振っておく）、不正アクセス名、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、キーワード（パケットに含まれる不正アクセスを特徴付けるキーワードなど）で構成される。情報４０２は、シグネチャの一例であり、１番目の不正アクセスは、“ＡＢＣＤ Ｏｖｅｒｆｌｏｗ”である。この不正アクセスは、送信元ＩＰアドレス、宛先ＩＰアドレスは任意、送信元ポート番号がＨＴＴＰサーバのポート番号（ＨＴＴＰ＿ＳＥＲＶＥＲ）、宛先ポート番号が４３番であるパケットで、パケットのペイロード内に“／ａｂｃｄ／ｈｓｄｗ．ｐｉｆ”が含まれるパケットであることを特徴として持っている。情報４０３は、ログのフォーマットである。ログは、番号（情報４０１のシグネチャの番号と対応）、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、不正アクセス名で構成される。情報４０４は、ログの一例であり、先頭のログは、シグネチャの中の１２番目に該当する不正アクセスであり、送信元ＩＰアドレス１３５．１８４．１２．１２、送信元ポート番号３１８２から、宛先ＩＰアドレス１３３．１５．３２．３１、宛先ポート番号８０への不正アクセスで、“ＦＦＦＦ Ｒｅｑｕｅｓｔ”という名前の不正アクセスである。
【００２５】
図５に、順位付けしたログのフォーマットの一例とその具体例を示す。情報５０１は、順位付けしたログのフォーマットの一例であり、順位（検知数の多い順に順位付けした数値）、検知数（その不正アクセスを検知したＨＧＷの数、ログから検出された数など）、番号（図４の情報４０１のシグネチャの番号と対応）、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、不正アクセス名で構成される。情報５０２は、順位付けしたログの一例であり、１位の不正アクセスは、検知数が２２、シグネチャの中の２番目に該当する不正アクセスで、送信元ＩＰアドレス１３３．１３８．１２２．１００、送信元ポート番号１４４９から、宛先ＩＰアドレス１３３．１５．３２．３１、宛先ポート番号８０への“ＯＰＱ Ａｔｔａｃｋ”という名前の不正アクセスである。
【００２６】
図６は、管理サーバがシグネチャの登録されたデータベースを保持する場合における、各不正アクセス検知部１０４と管理サーバ１０１の連携により、シグネチャ管理部１０８のシグネチャを追加更新する手順を示したフローチャートである。管理サーバ１０１が不正アクセス検知部１０４のログ収集部１０６へ順位付けしたログを送信すると（ステップＳ６０１）、ログ解析部１０７は、順位付けしたログから、順位の上位（上位を具体的に何位と定義するかはユーザに依存、デフォルトの順位を定義しておくことも可能）の不正アクセスが自らの不正アクセス検知部１０４で検知されているか否かを自らで検知したログと、順位付けしたログとを比較することで解析し、検知されている場合は、追加更新しないで終了する（ステップＳ６０２）。検知されていない場合は、シグネチャ更新部１０９が順位の上位の不正アクセスに対するシグネチャがあるかシグネチャ管理部１０８に問い合わせる（ステップＳ６０３）。シグネチャがある場合は、追加更新しないで終了し（ステップＳ６０４）、シグネチャが無い場合は、シグネチャ更新部１０９が順位付けしたログの中の番号に該当するシグネチャを管理サーバ１０１に問い合わせ、シグネチャを取得し、シグネチャ管理部１０８を追加更新する（ステップＳ６０５）。
【００２７】
図７は、図６のステップＳ６０５において、シグネチャ更新部１０９が管理サーバ１０１にシグネチャの取得を要求した際の、管理サーバ１０１の動作を示したフローチャートである。シグネチャ更新部１０９が管理サーバ１０１に対してシグネチャの取得を要求すると（ステップＳ７０１）、管理サーバ１０１は、データベースに要求されたシグネチャが存在するか否かを検索し、データベースにシグネチャが存在しない場合は（ステップＳ７０２）、位置情報リストよりネットワーク上の他の不正アクセス検知部に問い合わせ、シグネチャを取得し（ステップＳ７０３）、シグネチャをシグネチャ更新部１０９に送信する（ステップＳ７０４）。データベースにシグネチャが存在する場合は、シグネチャをシグネチャ更新部１０９に送信する（ステップＳ７０４）。
【００２８】
図８は、管理サーバ１０１がデータベースを保持しない場合における、各不正アクセス検知部１０４と管理サーバ１０１の連携により、シグネチャ管理部１０８のシグネチャを追加更新する手順を示したフローチャートである。管理サーバ１０１が不正アクセス検知部１０４のログ収集部１０６へ順位付けされたログを送信すると（ステップＳ８０１）、ログ解析部１０７は、順位付けしたログから、順位の上位の不正アクセスが自らの不正アクセス検知部１０４で検知されているか否かを解析し、検知されている場合は、追加更新しないで終了する（ステップ８０２）。検知されていない場合は、シグネチャ更新部１０９が順位の上位の不正アクセスに対するシグネチャがあるかシグネチャ管理部１０８に問い合わせる（ステップＳ８０３）。シグネチャがある場合は、追加更新しないで終了し（ステップＳ８０４）、シグネチャが無い場合は、シグネチャ更新部１０９が順位付けしたログの中の番号に該当するシグネチャを管理サーバ１０１に問い合わせ（ステップＳ８０５）、管理サーバ１０１が位置情報リストよりネットワーク上の他のＨＧＷの不正アクセス検知部に問い合わせ、シグネチャを取得し、要求元のシグネチャ更新部１０９に送信する（ステップＳ８０６）。シグネチャ更新部１０９は、シグネチャ管理部１０８のシグネチャを追加更新する（ステップＳ８０７）。
【００２９】
図９は、各不正アクセス検知部１０４と管理サーバ１０１の連携により、シグネチャ管理部１０８のシグネチャを削除更新する手順を示したフローチャートである。管理サーバ１０１が不正アクセス検知部１０４のログ収集部１０６へ順位付けしたログを送信すると（ステップＳ９０１）、ログ解析部１０７は、順位付けしたログから、ログに記載されていないか、あるいは、順位の下位（下位を具体的に何位と定義するかはユーザに依存、デフォルトの順位を定義しておくことも可能）の不正アクセスに対するシグネチャがあるか否かシグネチャ更新部１０９に問い合わせる（ステップＳ９０２）。シグネチャ更新部１０９は、シグネチャ管理部１０８を検索し、シグネチャがある場合、図１０に示す低頻度シグネチャの該当する不正アクセスを１カウントする（ステップＳ９０３、Ｓ９０４）。シグネチャが無い場合、削除更新しないで終了する（ステップＳ９０２）。図１０に低頻度シグネチャのフォーマットを示す。情報１００１は、低頻度シグネチャのフォーマットであり、不正アクセス名、順位、カウント数で構成される。情報１００２は、低頻度シグネチャの一例であり、番号１は、“ＡＢＣＤ Ａｔｔａｃｋ”という不正アクセスであり、３回カウントされたことを示している。カウントが一定数（具体的なカウント数はユーザが定義、デフォルトのカウント数を定義しておくことも可能）に達した場合、該当するパターンデータを削除する。
【００３０】
図１１は、パケット解析部１０５により不正アクセスが検知された際の、アラート発生部１１０の処理について示したフローチャートである。パケット解析部１０５が不正アクセスを検知すると（ステップＳ１１０１）、不正アクセスを遮断するポリシーであった場合は、ユーザに対してアラートを発信し、ファイアウォール１０３に対して検出された不正アクセスを遮断するためのパケットフィルタリングの設定を行う（ステップＳ１１０２、１１０３）。不正アクセスを遮断しないポリシーであった場合は、ユーザに対してアラートを発信する（ステップＳ１１０４）。ポリシーは予めユーザが定義しておく。
【００３１】
このように、侵入検知システムにおいて不正アクセスを検出した結果、特定のＩＰアドレスから不正アクセスが行われていることが検知できれば、そのＩＰアドレスからのアクセスはブロックするようにパケットフィルタリングの設定を変更することも出来る。つまり、侵入検知システムにおける検知結果をパケットフィルタリングに反映させてセキュリティを高めることも可能である。侵入検知システムは、従来の家庭用ルータにおいてパケットフィルタリングのみが実装されていた場合と比べて、セキュリティを高めることが出来る。
【００３２】
（実施の形態２）
図１２は、本発明の実施の形態２における侵入検知システムの概要構成を示すブロック図である。
【００３３】
図１２において、家庭内、ＳＯＨＯ内などの第２のネットワークには、ホームゲートウェイ（以下、ＨＧＷ）１２０１が設置される。管理サーバは存在しない。ホームゲートウェイの中にはファイアウォール１２０２と不正アクセス検知部１２０３が設置され、第１のネットワークから第２のネットワークへの不正アクセスを監視する。不正アクセス検知部１２０３は、ＨＧＷ１２０１を流れるパケットを解析するパケット解析部１２０４、不正アクセスに関する履歴（ログ）を管理するログ収集部１２０５、ログ収集部１２０５のログを解析するログ解析部１２０６、不正アクセスを検知するためのパターンデータ（シグネチャ）を保持するシグネチャ管理部１２０７、シグネチャ管理部１２０７のシグネチャを更新するシグネチャ更新部１２０８、パケット解析部１２０４によって不正アクセスが検知された際に、アラートを発生するアラート発生部１２０９、ログ管理部１２１０で構成される。ログ管理部１２１０の役割は、実施の形態１の管理サーバと同様であり、ネットワーク上に存在する複数のＨＧＷの不正アクセス検知部で保持している不正アクセスに関するログを収集し、収集したログから頻繁に発生した不正アクセスを集計し、検知した不正アクセスの多い順に順位付けすることである。また、ＨＧＷ１２０１にはユーザ端末１２１１が接続される。なお、図１２では第１のネットワーク上に３つのＨＧＷが接続され、それぞれに不正アクセス検知部が設置された場合であるが、第１のネットワーク上に接続される不正アクセス検知部を持つＨＧＷは、２つ以下であっても、４つ以上であっても構わない。ただし、ログ管理部１２１０を持つ不正アクセス検知部１２０３は第１のネットワーク上に１つのみである。
【００３４】
図１３に、ログの収集方法の一例を示す。ログ収集部１２０５は、図３に示す管理情報リストを事前に保持しておく。位置情報リストの先頭は、ログ管理部１２１０を持つ不正アクセス検知部１２０３であり、ログ管理部１２１０は、リストの２番目のＨＧＷの不正アクセス検知部１２０３に自らのログ情報を転送する（ステップＳ１３０１）。位置情報リストの２番目のＨＧＷと通信できない場合は、位置情報リストを１つ飛ばして、位置情報リストの３番目のＨＧＷの不正アクセス検知部１２０３へ転送する（ステップＳ１３０２、１３０３）。通信できる場合は、位置情報リストの２番目のＨＧＷの不正アクセス検知部１２０３におけるログ収集部１２０５が位置情報リストの１番目のＨＧＷの不正アクセス検知部１２０３から受信したログを加えて、位置情報リストの次のＨＧＷの不正アクセス検知部１２０３に転送する（ステップＳ１３０４）。位置情報リストが一巡するまで転送し、一巡し、再びログ管理部１２１０を持つ不正アクセス検知部１２０３に戻ってきた場合、処理を終了する（ステップＳ１３０５）。一巡していない場合は、一巡するまで位置情報リストの次の不正アクセス検知部１２０３へ転送する（ステップＳ１３０５、１３０６）。
【００３５】
図１４は、不正アクセス検知部１２０３が、シグネチャ管理部１２０７のシグネチャを追加更新する手順を示したフローチャートである。ログ管理部１２１０が不正アクセス検知部１２０３のログ収集部１２０５へ順位付けされたログを送信すると（ステップＳ１４０１）、ログ解析部１２０６は、順位付けしたログから、順位の上位の不正アクセスが自らの侵入検知システムで検知されているか否かを解析し、検知されている場合は、追加更新しないで終了する（ステップＳ１４０２）。検知されていない場合は、シグネチャ更新部１２０８が順位の上位の不正アクセスに対するシグネチャがあるかシグネチャ管理部１２０７に問い合わせる（ステップＳ１４０３）。シグネチャがある場合は、追加更新しないで終了し（ステップＳ１４０４）、シグネチャが無い場合は、シグネチャ更新部１２０７が順位付けしたログの中の番号に該当するシグネチャを位置情報リストの先頭から順に問い合わせ（ステップＳ１４０５）、シグネチャを取得し、要求元のシグネチャ更新部１２０８に送信し、シグネチャ更新部１２０８は、シグネチャ管理部１２０７のシグネチャを追加更新する（ステップＳ１４０５）。
【００３６】
以上説明したように、本発明の第２の実施形態によれば、ログ管理部１２１０が管理サーバの機能を有することにより、第１の実施形態のように管理サーバ１０１を別途設置する必要が無くなるという効果が得られる。
【産業上の利用可能性】
【００３７】
本発明の侵入検知システムは、無駄なく頻繁に発生する不正アクセスに関するパターンデータのみを持つことが可能であるため、家庭内ネットワークなどの比較的リソースの少ない環境に適用できる。
【図面の簡単な説明】
【００３８】
【図１】本発明の実施の形態１における侵入検知システムの概要構成を示すブロック図
【図２】管理サーバがログを収集し、不正アクセスの多い順に順位付けする際のフローチャート
【図３】位置情報リストのフォーマットを示す図
【図４】シグネチャとログのフォーマットの一例を示す図
【図５】順位付けしたログのフォーマットの一例を示す図
【図６】管理サーバでシグネチャの登録されたデータベースを保持する場合における、シグネチャ管理部のシグネチャを追加更新するフローチャート
【図７】シグネチャ更新部が管理サーバにシグネチャの取得を要求した際の管理サーバの動作を示すフローチャート
【図８】管理サーバがシグネチャを管理するデータベースを保持しない場合における、シグネチャ管理部のシグネチャを追加更新するフローチャート
【図９】シグネチャ管理部のシグネチャを削除更新するフローチャート
【図１０】低頻度シグネチャのフォーマットを示す図
【図１１】アラート発生部の詳細動作を示すフローチャート
【図１２】本発明の実施の形態２における侵入検知システムの概要構成を示すブロック図
【図１３】ログの収集方法のフローチャート
【図１４】シグネチャ管理部のシグネチャを追加更新するフローチャート
【符号の説明】
【００３９】
１０１ 管理サーバ
１０２ ホームゲートウェイ
１０３ ファイアウォール
１０４ 不正アクセス検知部
１０５ パケット解析部
１０６ ログ収集部
１０７ ログ解析部
１０８ シグネチャ管理部
１０９ シグネチャ更新部
１１０ アラート発生部
１１１ ユーザ
１２０１ ホームゲートウェイ
１２０２ ファイアウォール
１２０３ 不正アクセス検知部
１２０４ パケット解析部
１２０５ ログ収集部
１２０６ ログ解析部
１２０７ シグネチャ管理部
１２０８ シグネチャ更新部
１２０９ アラート発生部
１２１０ ログ管理部
１２１１ ユーザ端末
【技術分野】
【０００１】
本発明は、不正アクセス検知システム技術の中でも、特に不正アクセスを検出するためのシグネチャの作成方法に関し、複数の不正アクセス検知システムで頻繁に発生する不正アクセスに対するシグネチャのみを共通にもつことを可能にすることで、無駄なく効率的に不正アクセスを検知する侵入検知システム、及びそれを構成する通信装置に関するものである。
【背景技術】
【０００２】
近年、インターネットなどのネットワークの普及にともない、ＡＤＳＬ（非対称デジタル加入者線）やＦＴＴＨ（光ファイバ）といったインターネットの常時接続環境の企業、または家庭への導入が盛んになってきている。これにともない、家庭などにおいて利用される電化製品の多くが、ネットワーク接続のためのインタフェースを持ち、ネットワーク接続が可能となってきている（以下、ネットワークに接続可能な電化製品をネット家電と記す）。
【０００３】
企業や家庭において、内部でＬＡＮ環境を構成した際、内部のネットワークに、ネット家電やパソコンなどの機器が接続される（以下、内部ネットワークと記す）。これらの機器はネットワークに接続されることで、新たなサービスを提供することができる。例えば、インターネット等の外部に接続可能な回線（以下、外部ネットワークと記す）と内部ネットワークが接続されることで、宅外ネットワークに接続されるパソコンから、宅内ネットワークに接続されるビデオデッキに対して録画予約の指示を行ったり、エアコンのスイッチを切り替えたりすることも可能である。そのためには、宅内ネットワークに複数存在するネット家電やパソコンなどの機器を集線する機能を持ち、宅内ネットワークと宅外ネットワークとを中継するゲートウェイが必要となる。
【０００４】
しかし、宅内ネットワークが宅外ネットワークに常時接続されることで、宅内に接続された機器は、不正アクセスなどを受ける可能性がでてくる。不正アクセス行為とは、外部ネットワークから行う不正な攻撃のことであり、不正侵入や、サービス不能攻撃（ＤＤｏＳ Ａｔｔａｃｋ）、システムの脆弱性を狙った攻撃などを行うことである。
【０００５】
そこで、宅外ネットワークから宅内ネットワークに対して行われる不正アクセスを検出し、防止するために、侵入検知システム（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）や、侵入防御システム（Ｉｎｔｒｕｓｉｏｎ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）などの機能をゲートウェイへ導入する必要がある。
【０００６】
侵入検知システムによって不正アクセスを検出する方法としては、パターンデータ（以下、シグネチャと記載）を用いて、不正アクセスを検出するシグネチャ型が一般的である。シグネチャとは、不正アクセスに使われるパケットの内部に存在する特徴的なパターンのことを言う。シグネチャ型侵入検知システムは、過去に不正アクセスとして発見された攻撃のパターンをシグネチャとして記憶しており、侵入して来たパケットを解析する際に、侵入して来たパケットとパターンデータとを比較することで、不正アクセスか否かを判断することである。つまり、侵入検知システムでは、ＴＣＰ層よりも上位層における不正アクセスを検知する。ＴＣＰパケットのペイロードに不正なデータ（コンピュータに不正な動作をさせるプログラムなど）が含まれているかどうかを検知する。ＴＣＰ層やＩＰ層において不正アクセスを検知する機能としては、従来のファイアウォールにおけるパケットフィルタリングがある。
【０００７】
近年のインターネット利用人口の増加にともなって、悪意のある利用者の不正アクセス攻撃も増加しているため、侵入検知システムのニーズは非常に高まっている。不正アクセス攻撃が増加することで、侵入検知システムは膨大の種類のシグネチャを持つ必要があり、また、新たな不正アクセスに対応するため、侵入検知システムの製造元などから提供されるシグネチャを侵入検知システムの管理者が日々更新する必要がある。
【０００８】
侵入検知システムの高精度化、分散管理手法を図った方法として、特許文献１の公報に開示されている技術がある。この公報に開示された侵入検知システムによると、ある端末（仮に端末Ａとする）で収集した動作の履歴（ログ）を他の端末に送信し、各端末は、そのログを診断し、予め決められた閾値以上の端末が、そのログから不正アクセスを検知した（不正アクセスと判断した）場合、各端末は不正アクセスを受けている端末との通信を中止することが可能である。端末Ａで不正アクセスを検知できなくても、他の複数の端末でも共同で不正アクセスを検知するため、端末Ａで検知できなかった不正アクセスを他の端末で補うことが可能である。
【特許文献１】特開平９−１２８３３６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
侵入検知システムを家庭やＳＯＨＯにおけるネットワークへ導入する場合、少ないリソースで導入でき、かつ、頻繁に発生する不正アクセスは検知できなければならない。しかしながら、前記従来の構成では、シグネチャ自体は、各侵入検知システムで膨大な量を持たなければならないため、無駄が多く、リソースも大きいため家庭やＳＯＨＯにおけるネットワークへ導入するには不向きである。また、最新のシグネチャは常に管理者が更新しなければならないが、管理者が更新を怠ったか、ネットワーク上のトラブルなどにより、侵入検知システムの製造元などから、シグネチャが提供されず、更新できていない場合もありうるため、頻繁に行われる、特に新規に発見された不正アクセスが検知できていないことがある。
【００１０】
本発明は、前記従来の課題を解決するもので、ネットワーク上に存在する管理サーバが、各通信装置で検知された不正アクセスに関するログを収集し、発生頻度により順位付けした結果（ログ）を各通信装置に通知する。通信装置は、管理サーバから受信したログを解析し、自身の不正アクセス検知部では検知して無く、その他の多くの不正アクセス検知部では検知しているような不正アクセスを発見した場合、自身にその不正アクセスに対応するシグネチャが無いためであると仮定し、シグネチャが無い場合は、他の通信端末からシグネチャを受信する。また、発生頻度が低くなってしまった不正アクセスに対するパターンデータは、一定時間保持しておき、一定時間経過後、削除するため、無駄なく効率的に不正アクセスを検知することが可能となり、少ないリソースでシグネチャを持つことが可能である。また、最新のシグネチャを更新し損なっていた場合も、最新のシグネチャのうち、頻繁に行われる不正アクセスに関してのシグネチャを常に保持しておくことが可能である。
【課題を解決するための手段】
【００１１】
上記の課題を解決するために、本発明の請求項１記載の発明は、ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する侵入検知システムであって、前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部を有する管理サーバと、前記順位付けしたログ情報を前記管理部から収集するログ収集部と、前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、前記シグネチャを記憶するシグネチャ管理部と、前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを前記管理部から取得し、前記シグネチャ管理部に格納するシグネチャ更新部を有する１つ以上の通信装置とで構成されることを特徴とするものである。
【００１２】
また、本発明の請求項２記載の発明は、請求項１記載の侵入検知システムにおいて、前記管理部は、前記シグネチャ更新部から要求された前記順位の高い不正アクセスに対応するシグネチャを保持していない場合、前記ネットワーク上の他の通信装置から前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ更新部に提供することを特徴とするものである。
【００１３】
また、本発明の請求項３記載の発明は、請求項１記載の侵入検知システムにおいて、前記シグネチャ更新部は、前記順位付けしたログ情報において順位の低い不正アクセスに対応するシグネチャを所定の条件を満たした場合に削除することを特徴とするものである。
【００１４】
また、本発明の請求項４記載の発明は、請求項１記載の侵入検知システムにおいて、前記通信装置は、前記不正アクセスを検知した場合、前記不正アクセスを検知したことを示すアラートをユーザに通知すると共に、必要に応じて前記検知した不正アクセスを遮断するようにファイアウォールを設定するアラート発生部を更に有することを特徴とするものである。
【００１５】
また、本発明の請求項５記載の発明は、ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する通信装置であって、前記ネットワーク上の不正アクセスに関するログを、不正アクセスの多い順に順位付けしたログ情報を収集するログ収集部と、前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、前記シグネチャを記憶するシグネチャ管理部と、前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ管理部に格納するシグネチャ更新部を備えることを特徴とするものである。
【００１６】
また、本発明の請求項６記載の発明は、ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する侵入検知システムであって、前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部と、前記順位付けしたログ情報を前記管理部から収集するログ収集部と、前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、前記シグネチャを記憶するシグネチャ管理部と、前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを前記管理部から取得し、前記シグネチャ管理部に格納するシグネチャ更新部とを有する第１の通信装置と、前記ログ収集部と、前記ログ解析部と、前記シグネチャ管理部と、前記シグネチャ更新部とを有する１つ以上の第２の通信装置により構成されることを特徴とするものである。
【００１７】
また、本発明の請求項７記載の発明は、ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する通信装置であって、前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部と、前記ネットワーク上の不正アクセスに関するログを、不正アクセスの多い順に順位付けしたログ情報を収集するログ収集部と、前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、前記シグネチャを記憶するシグネチャ管理部と、前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ管理部に格納するシグネチャ更新部を備えることを特徴とするものである。
【発明の効果】
【００１８】
本発明において、管理サーバが、ネットワーク上の複数の通信装置が検知した不正アクセスに関するログを収集し、ログの情報から不正アクセスの多い順に順位付けし、各侵入検知システムが管理サーバから取得したログ情報から自身の侵入検知システムで頻繁に検知される不正アクセスに関するシグネチャの有無を確認し、無い場合、追加することで、頻繁に検知される不正アクセスに関する共通のシグネチャを複数の通信装置で持つことができる。また、ログの情報から発生頻度が低くなってしまった不正アクセスに対するシグネチャは、削除しあうことで、無駄なく効率的に不正アクセスを検知することが可能となり、少ないリソースでシグネチャを持つことができる。更に、侵入検知システムの製造元からのシグネチャを更新し損なっていたとしても、複数の通信装置の連携により、最新のシグネチャの中でも頻繁に行われる不正アクセスに対するもののみ持つことができる。
【発明を実施するための最良の形態】
【００１９】
以下本発明の実施の形態について、図面を参照しながら説明する。
【００２０】
（実施の形態１）
図１は、本発明の実施の形態１における侵入検知システムの概要構成を示すブロック図である。
【００２１】
図１において、インターネットなどの第１のネットワークには、管理サーバ１０１が存在する。家庭内、ＳＯＨＯ内などの第２のネットワークには、ホームゲートウェイ（以下、ＨＧＷ）１０２が設置される。ホームゲートウェイの中にはファイアウォール１０３と不正アクセス検知部１０４が設置され、第１のネットワークから第２のネットワークへの不正アクセスを監視する。不正アクセス検知部１０４は、ＨＧＷ１０２を流れるパケットを解析するパケット解析部１０５、不正アクセスに関する履歴（ログ）を管理するログ収集部１０６、ログ収集部１０６のログを解析するログ解析部１０７、不正アクセスを検知するためのパターンファイル（シグネチャ）を保持するシグネチャ管理部１０８、シグネチャ管理部１０８のシグネチャを更新するシグネチャ更新部１０９、パケット解析部１０５によって不正アクセスが検知された際に、アラートを発生するアラート発生部１１０で構成される。また、ＨＧＷ１０２にはユーザ端末１１１が接続される。なお、図１では第１のネットワーク上に３つのＨＧＷが接続され、それぞれに不正アクセス検知部が設置された場合であるが、第１のネットワーク上に接続される不正アクセス検知部を持つＨＧＷは、２つ以下であっても、４つ以上であっても構わない。
【００２２】
管理サーバ１０１に関して、主な役割は、ネットワーク上に存在する複数のＨＧＷの不正アクセス検知部で保持している不正アクセスに関するログを収集し、収集したログから頻繁に発生した不正アクセスを集計し、検知した不正アクセスの多い順に順位付けすることである。また、管理サーバ１０１はシグネチャを不正アクセス検知部１０４に送信する機能ももつ。前者については図２で、後者については図６〜８で述べる。シグネチャとログのフォーマットの一例については図４で述べる。
【００２３】
図２は、管理サーバ１０１がネットワーク上の複数の不正アクセス検知部で保持している不正アクセスに関するログを収集し、収集したログから頻繁に発生した不正アクセスを集計し、検知した不正アクセスの多い順に順位付けする際の動作の一例について示したフローチャートである。管理サーバ１０１は、事前にネットワーク上の複数の不正アクセス検知部１０４を実装したＨＧＷの位置を示す位置情報リストを持つ。位置情報リストは図３のフォーマットに従う。位置情報リストは、ＩＰアドレスとホームゲートウェイの名前を対にして羅列したファイルである。管理サーバ１０１は、位置情報リストの先頭に記載の位置に存在するＨＧＷの不正アクセス検知部１０４に対して問い合わせ（ステップＳ２０１）、応答があった場合は、問い合わせ先の不正アクセス検知部１０４のログ収集部１０６からログを収集する（ステップＳ２０２、２０３）。応答が無い場合は、位置情報リストの次に記載の位置に存在するＨＧＷの不正アクセス検知部へ問い合わせる（ステップＳ２０２、２０４）。位置情報リストの最後まで問い合わせ終わるまで繰り返し（ステップＳ２０５、２０６）、問い合わせが終わった場合、管理サーバ１０１が収集したログをもとに不正アクセスの検知数の多い順に順位付けする（ステップＳ２０５、２０７）。順位付けしたログのフォーマットの一例については、以下の図５の説明で述べる。
【００２４】
図４に、シグネチャとログのフォーマットの一例とその具体例を示す。情報４０１は、シグネチャのフォーマットの一例である。シグネチャは、番号（不正アクセスごとに連番を振っておく）、不正アクセス名、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、キーワード（パケットに含まれる不正アクセスを特徴付けるキーワードなど）で構成される。情報４０２は、シグネチャの一例であり、１番目の不正アクセスは、“ＡＢＣＤ Ｏｖｅｒｆｌｏｗ”である。この不正アクセスは、送信元ＩＰアドレス、宛先ＩＰアドレスは任意、送信元ポート番号がＨＴＴＰサーバのポート番号（ＨＴＴＰ＿ＳＥＲＶＥＲ）、宛先ポート番号が４３番であるパケットで、パケットのペイロード内に“／ａｂｃｄ／ｈｓｄｗ．ｐｉｆ”が含まれるパケットであることを特徴として持っている。情報４０３は、ログのフォーマットである。ログは、番号（情報４０１のシグネチャの番号と対応）、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、不正アクセス名で構成される。情報４０４は、ログの一例であり、先頭のログは、シグネチャの中の１２番目に該当する不正アクセスであり、送信元ＩＰアドレス１３５．１８４．１２．１２、送信元ポート番号３１８２から、宛先ＩＰアドレス１３３．１５．３２．３１、宛先ポート番号８０への不正アクセスで、“ＦＦＦＦ Ｒｅｑｕｅｓｔ”という名前の不正アクセスである。
【００２５】
図５に、順位付けしたログのフォーマットの一例とその具体例を示す。情報５０１は、順位付けしたログのフォーマットの一例であり、順位（検知数の多い順に順位付けした数値）、検知数（その不正アクセスを検知したＨＧＷの数、ログから検出された数など）、番号（図４の情報４０１のシグネチャの番号と対応）、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、不正アクセス名で構成される。情報５０２は、順位付けしたログの一例であり、１位の不正アクセスは、検知数が２２、シグネチャの中の２番目に該当する不正アクセスで、送信元ＩＰアドレス１３３．１３８．１２２．１００、送信元ポート番号１４４９から、宛先ＩＰアドレス１３３．１５．３２．３１、宛先ポート番号８０への“ＯＰＱ Ａｔｔａｃｋ”という名前の不正アクセスである。
【００２６】
図６は、管理サーバがシグネチャの登録されたデータベースを保持する場合における、各不正アクセス検知部１０４と管理サーバ１０１の連携により、シグネチャ管理部１０８のシグネチャを追加更新する手順を示したフローチャートである。管理サーバ１０１が不正アクセス検知部１０４のログ収集部１０６へ順位付けしたログを送信すると（ステップＳ６０１）、ログ解析部１０７は、順位付けしたログから、順位の上位（上位を具体的に何位と定義するかはユーザに依存、デフォルトの順位を定義しておくことも可能）の不正アクセスが自らの不正アクセス検知部１０４で検知されているか否かを自らで検知したログと、順位付けしたログとを比較することで解析し、検知されている場合は、追加更新しないで終了する（ステップＳ６０２）。検知されていない場合は、シグネチャ更新部１０９が順位の上位の不正アクセスに対するシグネチャがあるかシグネチャ管理部１０８に問い合わせる（ステップＳ６０３）。シグネチャがある場合は、追加更新しないで終了し（ステップＳ６０４）、シグネチャが無い場合は、シグネチャ更新部１０９が順位付けしたログの中の番号に該当するシグネチャを管理サーバ１０１に問い合わせ、シグネチャを取得し、シグネチャ管理部１０８を追加更新する（ステップＳ６０５）。
【００２７】
図７は、図６のステップＳ６０５において、シグネチャ更新部１０９が管理サーバ１０１にシグネチャの取得を要求した際の、管理サーバ１０１の動作を示したフローチャートである。シグネチャ更新部１０９が管理サーバ１０１に対してシグネチャの取得を要求すると（ステップＳ７０１）、管理サーバ１０１は、データベースに要求されたシグネチャが存在するか否かを検索し、データベースにシグネチャが存在しない場合は（ステップＳ７０２）、位置情報リストよりネットワーク上の他の不正アクセス検知部に問い合わせ、シグネチャを取得し（ステップＳ７０３）、シグネチャをシグネチャ更新部１０９に送信する（ステップＳ７０４）。データベースにシグネチャが存在する場合は、シグネチャをシグネチャ更新部１０９に送信する（ステップＳ７０４）。
【００２８】
図８は、管理サーバ１０１がデータベースを保持しない場合における、各不正アクセス検知部１０４と管理サーバ１０１の連携により、シグネチャ管理部１０８のシグネチャを追加更新する手順を示したフローチャートである。管理サーバ１０１が不正アクセス検知部１０４のログ収集部１０６へ順位付けされたログを送信すると（ステップＳ８０１）、ログ解析部１０７は、順位付けしたログから、順位の上位の不正アクセスが自らの不正アクセス検知部１０４で検知されているか否かを解析し、検知されている場合は、追加更新しないで終了する（ステップ８０２）。検知されていない場合は、シグネチャ更新部１０９が順位の上位の不正アクセスに対するシグネチャがあるかシグネチャ管理部１０８に問い合わせる（ステップＳ８０３）。シグネチャがある場合は、追加更新しないで終了し（ステップＳ８０４）、シグネチャが無い場合は、シグネチャ更新部１０９が順位付けしたログの中の番号に該当するシグネチャを管理サーバ１０１に問い合わせ（ステップＳ８０５）、管理サーバ１０１が位置情報リストよりネットワーク上の他のＨＧＷの不正アクセス検知部に問い合わせ、シグネチャを取得し、要求元のシグネチャ更新部１０９に送信する（ステップＳ８０６）。シグネチャ更新部１０９は、シグネチャ管理部１０８のシグネチャを追加更新する（ステップＳ８０７）。
【００２９】
図９は、各不正アクセス検知部１０４と管理サーバ１０１の連携により、シグネチャ管理部１０８のシグネチャを削除更新する手順を示したフローチャートである。管理サーバ１０１が不正アクセス検知部１０４のログ収集部１０６へ順位付けしたログを送信すると（ステップＳ９０１）、ログ解析部１０７は、順位付けしたログから、ログに記載されていないか、あるいは、順位の下位（下位を具体的に何位と定義するかはユーザに依存、デフォルトの順位を定義しておくことも可能）の不正アクセスに対するシグネチャがあるか否かシグネチャ更新部１０９に問い合わせる（ステップＳ９０２）。シグネチャ更新部１０９は、シグネチャ管理部１０８を検索し、シグネチャがある場合、図１０に示す低頻度シグネチャの該当する不正アクセスを１カウントする（ステップＳ９０３、Ｓ９０４）。シグネチャが無い場合、削除更新しないで終了する（ステップＳ９０２）。図１０に低頻度シグネチャのフォーマットを示す。情報１００１は、低頻度シグネチャのフォーマットであり、不正アクセス名、順位、カウント数で構成される。情報１００２は、低頻度シグネチャの一例であり、番号１は、“ＡＢＣＤ Ａｔｔａｃｋ”という不正アクセスであり、３回カウントされたことを示している。カウントが一定数（具体的なカウント数はユーザが定義、デフォルトのカウント数を定義しておくことも可能）に達した場合、該当するパターンデータを削除する。
【００３０】
図１１は、パケット解析部１０５により不正アクセスが検知された際の、アラート発生部１１０の処理について示したフローチャートである。パケット解析部１０５が不正アクセスを検知すると（ステップＳ１１０１）、不正アクセスを遮断するポリシーであった場合は、ユーザに対してアラートを発信し、ファイアウォール１０３に対して検出された不正アクセスを遮断するためのパケットフィルタリングの設定を行う（ステップＳ１１０２、１１０３）。不正アクセスを遮断しないポリシーであった場合は、ユーザに対してアラートを発信する（ステップＳ１１０４）。ポリシーは予めユーザが定義しておく。
【００３１】
このように、侵入検知システムにおいて不正アクセスを検出した結果、特定のＩＰアドレスから不正アクセスが行われていることが検知できれば、そのＩＰアドレスからのアクセスはブロックするようにパケットフィルタリングの設定を変更することも出来る。つまり、侵入検知システムにおける検知結果をパケットフィルタリングに反映させてセキュリティを高めることも可能である。侵入検知システムは、従来の家庭用ルータにおいてパケットフィルタリングのみが実装されていた場合と比べて、セキュリティを高めることが出来る。
【００３２】
（実施の形態２）
図１２は、本発明の実施の形態２における侵入検知システムの概要構成を示すブロック図である。
【００３３】
図１２において、家庭内、ＳＯＨＯ内などの第２のネットワークには、ホームゲートウェイ（以下、ＨＧＷ）１２０１が設置される。管理サーバは存在しない。ホームゲートウェイの中にはファイアウォール１２０２と不正アクセス検知部１２０３が設置され、第１のネットワークから第２のネットワークへの不正アクセスを監視する。不正アクセス検知部１２０３は、ＨＧＷ１２０１を流れるパケットを解析するパケット解析部１２０４、不正アクセスに関する履歴（ログ）を管理するログ収集部１２０５、ログ収集部１２０５のログを解析するログ解析部１２０６、不正アクセスを検知するためのパターンデータ（シグネチャ）を保持するシグネチャ管理部１２０７、シグネチャ管理部１２０７のシグネチャを更新するシグネチャ更新部１２０８、パケット解析部１２０４によって不正アクセスが検知された際に、アラートを発生するアラート発生部１２０９、ログ管理部１２１０で構成される。ログ管理部１２１０の役割は、実施の形態１の管理サーバと同様であり、ネットワーク上に存在する複数のＨＧＷの不正アクセス検知部で保持している不正アクセスに関するログを収集し、収集したログから頻繁に発生した不正アクセスを集計し、検知した不正アクセスの多い順に順位付けすることである。また、ＨＧＷ１２０１にはユーザ端末１２１１が接続される。なお、図１２では第１のネットワーク上に３つのＨＧＷが接続され、それぞれに不正アクセス検知部が設置された場合であるが、第１のネットワーク上に接続される不正アクセス検知部を持つＨＧＷは、２つ以下であっても、４つ以上であっても構わない。ただし、ログ管理部１２１０を持つ不正アクセス検知部１２０３は第１のネットワーク上に１つのみである。
【００３４】
図１３に、ログの収集方法の一例を示す。ログ収集部１２０５は、図３に示す管理情報リストを事前に保持しておく。位置情報リストの先頭は、ログ管理部１２１０を持つ不正アクセス検知部１２０３であり、ログ管理部１２１０は、リストの２番目のＨＧＷの不正アクセス検知部１２０３に自らのログ情報を転送する（ステップＳ１３０１）。位置情報リストの２番目のＨＧＷと通信できない場合は、位置情報リストを１つ飛ばして、位置情報リストの３番目のＨＧＷの不正アクセス検知部１２０３へ転送する（ステップＳ１３０２、１３０３）。通信できる場合は、位置情報リストの２番目のＨＧＷの不正アクセス検知部１２０３におけるログ収集部１２０５が位置情報リストの１番目のＨＧＷの不正アクセス検知部１２０３から受信したログを加えて、位置情報リストの次のＨＧＷの不正アクセス検知部１２０３に転送する（ステップＳ１３０４）。位置情報リストが一巡するまで転送し、一巡し、再びログ管理部１２１０を持つ不正アクセス検知部１２０３に戻ってきた場合、処理を終了する（ステップＳ１３０５）。一巡していない場合は、一巡するまで位置情報リストの次の不正アクセス検知部１２０３へ転送する（ステップＳ１３０５、１３０６）。
【００３５】
図１４は、不正アクセス検知部１２０３が、シグネチャ管理部１２０７のシグネチャを追加更新する手順を示したフローチャートである。ログ管理部１２１０が不正アクセス検知部１２０３のログ収集部１２０５へ順位付けされたログを送信すると（ステップＳ１４０１）、ログ解析部１２０６は、順位付けしたログから、順位の上位の不正アクセスが自らの侵入検知システムで検知されているか否かを解析し、検知されている場合は、追加更新しないで終了する（ステップＳ１４０２）。検知されていない場合は、シグネチャ更新部１２０８が順位の上位の不正アクセスに対するシグネチャがあるかシグネチャ管理部１２０７に問い合わせる（ステップＳ１４０３）。シグネチャがある場合は、追加更新しないで終了し（ステップＳ１４０４）、シグネチャが無い場合は、シグネチャ更新部１２０７が順位付けしたログの中の番号に該当するシグネチャを位置情報リストの先頭から順に問い合わせ（ステップＳ１４０５）、シグネチャを取得し、要求元のシグネチャ更新部１２０８に送信し、シグネチャ更新部１２０８は、シグネチャ管理部１２０７のシグネチャを追加更新する（ステップＳ１４０５）。
【００３６】
以上説明したように、本発明の第２の実施形態によれば、ログ管理部１２１０が管理サーバの機能を有することにより、第１の実施形態のように管理サーバ１０１を別途設置する必要が無くなるという効果が得られる。
【産業上の利用可能性】
【００３７】
本発明の侵入検知システムは、無駄なく頻繁に発生する不正アクセスに関するパターンデータのみを持つことが可能であるため、家庭内ネットワークなどの比較的リソースの少ない環境に適用できる。
【図面の簡単な説明】
【００３８】
【図１】本発明の実施の形態１における侵入検知システムの概要構成を示すブロック図
【図２】管理サーバがログを収集し、不正アクセスの多い順に順位付けする際のフローチャート
【図３】位置情報リストのフォーマットを示す図
【図４】シグネチャとログのフォーマットの一例を示す図
【図５】順位付けしたログのフォーマットの一例を示す図
【図６】管理サーバでシグネチャの登録されたデータベースを保持する場合における、シグネチャ管理部のシグネチャを追加更新するフローチャート
【図７】シグネチャ更新部が管理サーバにシグネチャの取得を要求した際の管理サーバの動作を示すフローチャート
【図８】管理サーバがシグネチャを管理するデータベースを保持しない場合における、シグネチャ管理部のシグネチャを追加更新するフローチャート
【図９】シグネチャ管理部のシグネチャを削除更新するフローチャート
【図１０】低頻度シグネチャのフォーマットを示す図
【図１１】アラート発生部の詳細動作を示すフローチャート
【図１２】本発明の実施の形態２における侵入検知システムの概要構成を示すブロック図
【図１３】ログの収集方法のフローチャート
【図１４】シグネチャ管理部のシグネチャを追加更新するフローチャート
【符号の説明】
【００３９】
１０１ 管理サーバ
１０２ ホームゲートウェイ
１０３ ファイアウォール
１０４ 不正アクセス検知部
１０５ パケット解析部
１０６ ログ収集部
１０７ ログ解析部
１０８ シグネチャ管理部
１０９ シグネチャ更新部
１１０ アラート発生部
１１１ ユーザ
１２０１ ホームゲートウェイ
１２０２ ファイアウォール
１２０３ 不正アクセス検知部
１２０４ パケット解析部
１２０５ ログ収集部
１２０６ ログ解析部
１２０７ シグネチャ管理部
１２０８ シグネチャ更新部
１２０９ アラート発生部
１２１０ ログ管理部
１２１１ ユーザ端末
【特許請求の範囲】
【請求項１】
ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する侵入検知システムであって、
前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部を有する管理サーバと、
前記順位付けしたログ情報を前記管理部から収集するログ収集部と、
前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、
前記シグネチャを記憶するシグネチャ管理部と、
前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを前記管理部から取得し、前記シグネチャ管理部に格納するシグネチャ更新部を有する１つ以上の通信装置
とで構成されることを特徴とする侵入検知システム。
【請求項２】
前記管理部は、前記シグネチャ更新部から要求された前記順位の高い不正アクセスに対応するシグネチャを保持していない場合、前記ネットワーク上の他の通信装置から前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ更新部に提供することを特徴とする請求項１記載の侵入検知システム。
【請求項３】
前記シグネチャ更新部は、前記順位付けしたログ情報において順位の低い不正アクセスに対応するシグネチャを所定の条件を満たした場合に削除することを特徴とする請求項１記載の侵入検知システム。
【請求項４】
前記通信装置は、前記不正アクセスを検知した場合、前記不正アクセスを検知したことを示すアラートをユーザに通知すると共に、必要に応じて前記検知した不正アクセスを遮断するようにファイアウォールを設定するアラート発生部を更に有することを特徴とする請求項１記載の侵入検知システム。
【請求項５】
ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する通信装置であって、
前記ネットワーク上の不正アクセスに関するログを、不正アクセスの多い順に順位付けしたログ情報を収集するログ収集部と、
前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、
前記シグネチャを記憶するシグネチャ管理部と、
前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ管理部に格納するシグネチャ更新部
を備えることを特徴とする通信装置。
【請求項６】
ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する侵入検知システムであって、
前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部と、
前記順位付けしたログ情報を前記管理部から収集するログ収集部と、
前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、
前記シグネチャを記憶するシグネチャ管理部と、
前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを前記管理部から取得し、前記シグネチャ管理部に格納するシグネチャ更新部
とを有する第１の通信装置と、
前記ログ収集部と、前記ログ解析部と、前記シグネチャ管理部と、前記シグネチャ更新部とを有する１つ以上の第２の通信装置
により構成されることを特徴とする侵入検知システム。
【請求項７】
ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する通信装置であって、
前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部と、
前記ネットワーク上の不正アクセスに関するログを、不正アクセスの多い順に順位付けしたログ情報を収集するログ収集部と、
前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、
前記シグネチャを記憶するシグネチャ管理部と、
前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ管理部に格納するシグネチャ更新部
を備えることを特徴とする通信装置。
【請求項１】
ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する侵入検知システムであって、
前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部を有する管理サーバと、
前記順位付けしたログ情報を前記管理部から収集するログ収集部と、
前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、
前記シグネチャを記憶するシグネチャ管理部と、
前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを前記管理部から取得し、前記シグネチャ管理部に格納するシグネチャ更新部を有する１つ以上の通信装置
とで構成されることを特徴とする侵入検知システム。
【請求項２】
前記管理部は、前記シグネチャ更新部から要求された前記順位の高い不正アクセスに対応するシグネチャを保持していない場合、前記ネットワーク上の他の通信装置から前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ更新部に提供することを特徴とする請求項１記載の侵入検知システム。
【請求項３】
前記シグネチャ更新部は、前記順位付けしたログ情報において順位の低い不正アクセスに対応するシグネチャを所定の条件を満たした場合に削除することを特徴とする請求項１記載の侵入検知システム。
【請求項４】
前記通信装置は、前記不正アクセスを検知した場合、前記不正アクセスを検知したことを示すアラートをユーザに通知すると共に、必要に応じて前記検知した不正アクセスを遮断するようにファイアウォールを設定するアラート発生部を更に有することを特徴とする請求項１記載の侵入検知システム。
【請求項５】
ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する通信装置であって、
前記ネットワーク上の不正アクセスに関するログを、不正アクセスの多い順に順位付けしたログ情報を収集するログ収集部と、
前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、
前記シグネチャを記憶するシグネチャ管理部と、
前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ管理部に格納するシグネチャ更新部
を備えることを特徴とする通信装置。
【請求項６】
ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する侵入検知システムであって、
前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部と、
前記順位付けしたログ情報を前記管理部から収集するログ収集部と、
前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、
前記シグネチャを記憶するシグネチャ管理部と、
前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを前記管理部から取得し、前記シグネチャ管理部に格納するシグネチャ更新部
とを有する第１の通信装置と、
前記ログ収集部と、前記ログ解析部と、前記シグネチャ管理部と、前記シグネチャ更新部とを有する１つ以上の第２の通信装置
により構成されることを特徴とする侵入検知システム。
【請求項７】
ネットワーク上の不正アクセスを、不正アクセスの特徴を示したシグネチャに基づいて検出する通信装置であって、
前記ネットワーク上の不正アクセスに関するログを収集し、不正アクセスの多い順に順位付けしたログ情報を作成すると共に、前記シグネチャをデータベースとして保持する管理部と、
前記ネットワーク上の不正アクセスに関するログを、不正アクセスの多い順に順位付けしたログ情報を収集するログ収集部と、
前記順位付けしたログ情報を解析し、前記順位付けしたログ情報において順位の高い不正アクセスを検知したかどうかを判定するログ解析部と、
前記シグネチャを記憶するシグネチャ管理部と、
前記ログ解析部において、前記順位付けしたログ情報において順位の高い不正アクセスを検知しなかった場合、前記順位の高い不正アクセスに対応するシグネチャを取得し、前記シグネチャ管理部に格納するシグネチャ更新部
を備えることを特徴とする通信装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２００６−６７２７９（Ｐ２００６−６７２７９Ａ）
【公開日】平成１８年３月９日（２００６．３．９）
【国際特許分類】
【出願番号】特願２００４−２４８０３９（Ｐ２００４−２４８０３９）
【出願日】平成１６年８月２７日（２００４．８．２７）
【出願人】（０００００５８２１）松下電器産業株式会社 (73,050)
【Ｆターム（参考）】
【公開日】平成１８年３月９日（２００６．３．９）
【国際特許分類】
【出願日】平成１６年８月２７日（２００４．８．２７）
【出願人】（０００００５８２１）松下電器産業株式会社 (73,050)
【Ｆターム（参考）】
[ Back to top ]