攻撃情報管理システム、攻撃情報管理装置、攻撃情報管理方法及びプログラム
【課題】異なるハニーポットで収集した攻撃情報が混在する可能性が高い領域を抽出できる技術を提供する。
【解決手段】攻撃情報を受信し、攻撃情報とその攻撃情報を収集した囮システムの種別との組合せを攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを攻撃情報分析部に問合せ、攻撃情報をクラスタリングし、攻撃情報の所属するクラスタを示すクラスタ識別子を攻撃情報管理テーブルに記憶し、クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルにおいて、クラスタリングの結果、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、クラスタ管理テーブルを変更する。
【解決手段】攻撃情報を受信し、攻撃情報とその攻撃情報を収集した囮システムの種別との組合せを攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを攻撃情報分析部に問合せ、攻撃情報をクラスタリングし、攻撃情報の所属するクラスタを示すクラスタ識別子を攻撃情報管理テーブルに記憶し、クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルにおいて、クラスタリングの結果、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、クラスタ管理テーブルを変更する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、囮システムが収集した情報を管理する攻撃情報管理技術に関する。
【背景技術】
【０００２】
従来は、オペレーションシステム（Operating System、以下「ＯＳ」という）の脆弱性を対象として攻撃するマルウェアが多かったが、近年では、Ｗｅｂブラウザの脆弱性を対象として攻撃するマルウェアや、Ｗｅｂアプリケーションの脆弱性を対象として攻撃するマルウェアが増加している。なお、マルウェアとは、悪意あるソフトウェアや悪質なコードの総称であり、例えばコンピュータウィルスやワームであり、他にクラックツール、スパイウェア、悪質なアドウェア等も含む。これらのマルウェアへの対策として、従来からハニーポットと呼ばれる囮システムが研究開発されている。ハニーポットはマルウェアに関する情報（以下「攻撃情報」という）を収集するものである。マルウェアは対象の脆弱性によって攻撃方法が異なるため複数種類のマルウェアが存在し、各マルウェアに対してハニーポットが研究開発され、複数種類のハニーポットが存在する。以下、３種類のマルウェア及びハニーポットについて説明する。
【０００３】
（１）攻撃者は、例えばＷｉｎｄｏｗｓ（登録商標）ＯＳのセキュリティホールを利用して、マルウェアを送信し、実行させる。ＯＳへの攻撃を収集するハニーポット（以下「ＯＳ型ハニーポット」または「ＯＳ型囮システム」という）では、マルウェア自体に加え、ＯＳ型ハニーポットにアクセスしてきた攻撃者のＩＰアドレスを収集する（非特許文献１及び２参照）。
【０００４】
（２）攻撃者は攻撃対象となるＷｅｂサーバにＷｅｂサーバ型マルウェアをダウンロードさせるためのマルウェアダウンロードサイト（以下「ＭＤＳ」という）を予め用意しておく。攻撃者はＷｅｂサーバに対してＭＤＳからマルウェアをダウンロードさせるための攻撃コードをＨＴＴＰリクエストメッセージとして送信する。ＨＴＴＰリクエストメッセージを受信したＷｅｂサーバはＭＤＳからマルウェアをダウンロードし実行する。Ｗｅｂアプリケーションへの攻撃を収集するＷｅｂサーバ型ハニーポット（以下「Ｗｅｂサーバ型ハニーポット」または「Ｗｅｂサーバ型囮システム」という）は、マルウェア自体に加え、ＨＴＴＰリクエストメッセージを送信してきた攻撃者のＩＰアドレスと、ＭＤＳのＩＰアドレス及びＵＲＬを収集する（非特許文献３及び４参照）。
【０００５】
（３）攻撃者はアクセスしてきたＷｅｂブラウザに対しマルウェアを送信し、実行させる悪性サイトを用意しておく。Ｗｅｂブラウザへの攻撃を収集するＷｅｂクライアント型ハニーポット（以下「Ｗｅｂクライアント型ハニーポット」または「Ｗｅｂクライアント型囮システム」という）は、Ｗｅｂサイトを巡回し、アクセスした際にリダイレクトさせられるＷｅｂサイトやマルウェアを送信するＷｅｂサイトのＵＲＬ及びＩＰアドレス、マルウェア自体を収集する（非特許文献５参照）。
【０００６】
各ハニーポットで収集した情報の内、マルウェア自体を検体（マルウェアのサンプル）と呼び、ＩＰアドレスやＵＲＬを攻撃情報と呼ぶ。攻撃情報は、セキュリティアプライアンスにおいて、ブラックリスト情報として活用できる。なお、セキュリティアプライアンスとは、ユーザ環境とインターネット間に配置され、ウイルスや不正アクセスといったインターネット上の外部の脅威からユーザ環境を守るための装置であり、ファイアウオール、ＶＰＮ（Virtual Private Network）、ＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention/Protection System）及びアンチウイルスの何れかの機能、またはこれらの機能を統合した機能を実現する装置である。
【０００７】
例えば、Ｗｅｂクライアントを収容するセキュリティアプライアンスは、Ｗｅｂクライアント型ハニーポットで収集したＵＲＬやＩＰアドレスとの通信をフィルタリング（遮断）する。また、Ｗｅｂサーバを収容するセキュリティアプライアンスは、Ｗｅｂサーバ型ハニーポットで収集したＵＲＬやＩＰアドレスとの通信をフィルタリングする。
【０００８】
さらに、マルウェア動的解析器を用いてＷｅｂサーバ型ハニーポットで収集した検体を解析することで、Command and Control（Ｃ＆Ｃ）サーバのＵＲＬやＩＰアドレスをブラックリスト情報として利用できる技術が知られている（非特許文献４参照）。
【先行技術文献】
【非特許文献】
【０００９】
【非特許文献１】"dionaea catches bugs", [online], Dionaea, [平成23年9月29日検索], インターネット<URL:http://dionaea.carnivore.it>
【非特許文献２】青木一史、川古谷裕平、岩村誠、伊藤光恭、“半透過性仮想インターネットによるマルウェアの動的解析”、マルウェア対策研究人材育成ワークショップ２００９、２００９年１０月
【非特許文献３】"Web Application Honeypot", [online], The Honeynet Project, [平成23年9月29日検索], インターネット<URL:http://www.honeynet.org/gsoc/project8>
【非特許文献４】八木毅、谷本直人、針生剛男、伊藤光恭、“ハイブリッド型ＷｅｂハニーポットＷｅｂ Ｐｈａｎｔｏｍの設計”、信学技報、２０１０年１１月、Ｖｏｌ．１１０、Ｎｏ．２８９、ＩＮ２０１０−８５、ｐｐ．２５−３０
【非特許文献５】M.Akiyama, K.Aoki, Y.Kawakoya, M.Iwamura and M.Itoh, "Design and Implementation of High Interaction Client Honeypot for Drive-by-download Attacks", IEICE TRANS.COMMUN., May 2010, VOL.E93-B, NO5, pp1131-1139
【発明の概要】
【発明が解決しようとする課題】
【００１０】
上述の通り、ハニーポットを用いることでマルウェアに関する情報を収集することができるが、設置可能なハニーポットの数はコスト的に制限されるため、ハニーポットから効率的に攻撃情報や検体を収集する技術が必要とされている。
【００１１】
本発明は、異なるハニーポットで収集した攻撃情報が混在する可能性が高い領域を抽出できる技術を提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記の課題を解決するために、本発明の第一の態様に係る攻撃情報管理システムは、囮システムが収集したマルウェアに関する情報を管理する。攻撃情報管理システムは、複数の種別の囮システムと、攻撃情報を管理する攻撃情報管理装置とを含む。攻撃情報管理装置は、攻撃情報をクラスタリングする攻撃情報分析部と、攻撃情報と、その攻撃情報を収集した囮システムの種別と、クラスタリングされたその攻撃情報が所属するクラスタのクラスタ識別子との組合せが記憶される攻撃情報管理テーブルと、クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルと、攻撃情報を受信すると、その攻撃情報とその攻撃情報を収集した囮システムの種別との組合せを攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを攻撃情報分析部に問合せ、クラスタリングの結果として、その攻撃情報のクラスタ識別子を受け取り、攻撃情報管理テーブルに記憶し、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、クラスタ管理テーブルを変更する攻撃情報管理部とを含む。
【００１３】
上記の課題を解決するために、本発明の第二の態様に係る攻撃情報管理装置は、囮システムが収集したマルウェアに関する情報（以下「攻撃情報」という）を管理する。攻撃情報管理装置は、攻撃情報をクラスタリングする攻撃情報分析部と、攻撃情報と、その攻撃情報を収集した囮システムの種別と、クラスタリングされたその攻撃情報が所属するクラスタのクラスタ識別子との組合せが記憶される攻撃情報管理テーブルと、クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルと、攻撃情報を受信すると、その攻撃情報とその攻撃情報を収集した囮システムの種別との組合せを攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを攻撃情報分析部に問合せ、クラスタリングの結果として、その攻撃情報のクラスタ識別子を受け取り、攻撃情報管理テーブルに記憶し、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、クラスタ管理テーブルを変更する攻撃情報管理部とを含む。
【００１４】
上記の課題を解決するために、本発明の第三の態様に係る攻撃情報管理方法は、囮システムが収集したマルウェアに関する情報（以下「攻撃情報」という）を管理する。攻撃情報管理方法は、攻撃情報を受信し、攻撃情報とその攻撃情報を収集した囮システムの種別との組合せを攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを攻撃情報分析部に問合せ、攻撃情報をクラスタリングし、攻撃情報の所属するクラスタを示すクラスタ識別子を攻撃情報管理テーブルに記憶し、クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルにおいて、クラスタリングの結果、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、クラスタ管理テーブルを変更する。
【発明の効果】
【００１５】
本発明に係る攻撃情報管理技術は、複数の種別の囮システムから得られた攻撃情報をクラスタリングすることで、異なる囮システムで収集した攻撃情報が混在する可能性が高い領域を抽出することができるという効果を奏する。
【図面の簡単な説明】
【００１６】
【図１】分析対象の攻撃者ＩＰアドレスの概要を示す図。
【図２】重複ＩＰアドレス数を示す図。
【図３】ヒルベルト曲線の描画ルールを示す図。
【図４】ＩＰアドレスのヒルベルト曲線上への配置例を示す図。
【図５】クラスタ形成過程の例を示す図。
【図６】各データセットのＩＰアドレス数を示す図。
【図７】重複するＩＰアドレス数を示す図。
【図８】評価実験１の結果を示す図。
【図９】評価実験２の結果を示す図。
【図１０】攻撃情報管理システム１０のネットワーク構成例を図。
【図１１】攻撃情報管理装置１００の機能構成例を示す図。
【図１２】攻撃情報管理装置１００の処理フローを示す図。
【図１３】トラップにより攻撃情報を収集する場合に、囮システム管理部１３１が保有、管理するデータ例を示す図。
【図１４】ポーリングにより攻撃情報を収集する場合に、囮システム管理部１３１が保有、管理するデータ例を示す図。
【図１５】攻撃情報管理テーブル１２１のデータ例を示す図。
【図１６】クラスタ管理テーブル１２２のデータ例を示す図。
【図１７】ＩＰアドレス間の距離でクラスタリングする際の動作例を示す図。
【図１８】複数の攻撃で重複したＩＰアドレスを考慮する際の攻撃情報管理テーブル１２１のデータ例を示す図。
【図１９】複数の攻撃で重複したＩＰアドレスを考慮する際のクラスタ管理テーブル１２２のデータ例を示す図。
【図２０】複数の攻撃の種類で使用されたＩＰアドレスからの距離でクラスタリングする際の動作例を示す図。
【図２１】クラスタ属性を拡張した際のクラスタ管理テーブル１２２のデータ例を示す図。
【発明を実施するための形態】
【００１７】
＜調査１＞
あるハニーポットで収集した攻撃情報が、複数種類の攻撃に使用されていれば、一種類のハニーポットで収集した攻撃情報を複数種類の攻撃に共通したブラックリスト情報として効率的に活用できる。そこで、複数種類の攻撃で使用されるＩＰアドレスの有無を確認するために、Ｗｉｎｄｏｗｓ（登録商標）ＯＳ対応ハニーポットDen-DenHoney（以下「ＤＤＨ」という、参考文献１参照）とＷｅｂクライアント型ハニーポットMarionette（以下「Ｍａｒｉ」という、非特許文献５参照）とＷｅｂサーバ型ハニーポットWeb Phantom（以下「ＷＰ」という、非特許文献４及び参考文献２参照）で収集した攻撃元ＩＰアドレス、悪性ＷｅｂサイトのＩＰアドレス及びＭＤＳのＩＰアドレスの一致性を調査した。
（参考文献１）青木一史, 川古谷裕平, 秋山満昭, 岩村誠,針生剛男, 伊藤光恭. "能動的攻撃と受動的攻撃に関する調査および考察", 情報処理学会論文誌, Sep 2009, Vol.50, No.9, pp.2147-2162
（参考文献２）T. Yagi, N. Tanimoto, T. Hariu and M. Itoh, "Design of Provider-Provisioned Website Protection Scheme against Malware Distribution", IEICE TRANS.COMMUN., May 2010, VOL.E93-B, NO5, pp1122-1130
【００１８】
これらのＩＰアドレスの総称を「攻撃者ＩＰアドレス」と定義する。各ハニーポットで収集した攻撃者ＩＰアドレスの概要を図１に示す。さらに、各ハニーポット間で重複して観測された攻撃者ＩＰアドレス数を図２に示す。図２に示すように、３９３のＩＰアドレスが複数種類のハニーポット間で重複して観測されていた。この結果、複数の攻撃に共通的に使用される攻撃者ＩＰアドレスの存在を確認できた。しかし、複数種類の攻撃に対するブラックリストを一種類のハニーポットで効率的に生成するためには、あるハニーポットで収集した攻撃者ＩＰアドレスが異なる種類のハニーポットで収集される可能性を推定する手法が必要となる。
【００１９】
＜調査２＞
（概要）
ＩＰアドレス間の構造的な距離に着目し、異なるハニーポットで収集したＩＰアドレスが密集する領域のＩＰアドレスは、複数のハニーポットで観測される可能性が高いと推測した。そこで、異なるハニーポットで収集した攻撃者ＩＰアドレスの近接性と特徴を調査した。具体的には、各ハニーポットで収集したＩＰアドレスを、ヒルベルト曲線に基づく２次元グラフ上に配置した。さらに、２次元グラフ上のマンハッタン距離に応じて攻撃者ＩＰアドレスをクラスタリングし、異なるハニーポットで収集した攻撃者ＩＰアドレスが混在するクラスタの特徴を調査した。詳細を以下に示す。
【００２０】
（攻撃者ＩＰアドレスの２次元グラフ化）
ヒルベルト曲線は、再帰的に定義される空間充填曲線である。ヒルベルト曲線は、Ｕ字型の形状を基本図形として、図３に示すように、以下の式の再帰的な組み合わせで描画される。
DRU(n)=RDL(n-1)↓DRU(n-1)→DRU(n-1)↑LDR(n-1)
LUR(n)=ULD(n-1)←LUR(n-1)↑LUR(n-1)→DRU(n-1)
ULD(n)=LUR(n-1)↑ULD(n-1)←ULD(n-1)↓RDL(n-1)
RDL(n)=DRU(n-1)→RDL(n-1)↓RDL(n-1)↓ULD(n-1)
D:Down、L:Left、R:Right、U:Up
ここで、ｎはヒルベルト曲線の次数を示しており、式中の矢印は各方向への線分の描画を示している。
【００２１】
ヒルベルト曲線上へのＩＰアドレスの配置に関しては、ＩＰアドレスの隣接構造を保持しつつ近傍のＩＰアドレスを空間的に近い順に配置する手法（参考文献４参照）が検討されている。
（参考文献４）B. Irwin and N. Pilkington, "High Level Internet Scale Traffic Visualization Using Hilbert Curve Mapping", VizSEC, 2007, pp147-158
この調査では、ＩＰｖ４アドレスの第１〜３オクテットの情報を１２次のヒルベルト曲線上に配置することで２次元グラフを作成する。配置結果の一部を図４に示す。
【００２２】
（攻撃者ＩＰアドレスのクラスタリング）
２次元グラフ上にＩＰアドレスを配置することで、ＩＰアドレス間の距離を座標によって定義できる。この調査では、ヒルベルト曲線を用いた格子上にＩＰアドレスを配置していることから、距離関数としてマンハッタン距離を適用する。ｋ次元ベクトル点Ａ（ａ１，ａ２，…，ａｋ）、点Ｂ（ｂ１，ｂ２，…，ｂｋ）があるとき、ＡＢ間のマンハッタン距離ｄは次式で定義できる。
【００２３】
【数１】
【００２４】
但し、ＩＰアドレスが距離的に隣接していたとしても、複数のＡＳ（Autonomous System：インターネットなどの大規模ＩＰネットワーク内にある、各組織が保有・運用する自立したネットワーク）に割り当てられた各ＩＰアドレスの特徴はネットワーク構造的に異なる。そこで、点Ａと点Ｂに相当するＩＰアドレスが異なるＡＳ番号を持つ場合はｄ（Ａ，Ｂ）＝∞とすることで、ネットワーク構造を距離に反映させる。距離に基づいてＩＰアドレスをクラスタリングし、異なるハニーポットで収集したＩＰアドレスが混在するクラスタを調査する。本稿で適用した階層的クラスタリングの手順を以下に示す。ここでクラスタ間の距離は、最遠隣法を用いて定義する。最遠隣法とは、各クラスタから抽出したＩＰアドレスの最長距離をクラスタ間の距離とする方法である。
【００２５】
１．ＩＰアドレス間の距離ｄを計算する。
２．距離ｄが最小のＩＰアドレス間でクラスタを生成する。
３．生成したクラスタと他クラスタ及び他ＩＰアドレスに対して、距離が最小の２つを結合してクラスタを生成する。
４．全てのクラスタ、ＩＰアドレスが結合されるまで１〜３を繰り返す。
【００２６】
上記のクラスタ形成過程の一部を図５に示す。図５では、縦軸がＩＰアドレス間の距離ｄを示しており、横軸にＩＰアドレスを配置し、距離３において縦軸で各ＩＰアドレスを結合することで、デンドログラムを生成している。ここで、距離に応じて木構造を分割し、一定の距離以内のＩＰアドレス群をクラスタとして抽出する。各クラスタに異なるハニーポットで収集した攻撃者ＩＰアドレスが混在する場合、このクラスタを混在クラスタと定義し、異なる種類の攻撃が近傍のＩＰアドレスを用いて実施されていると判断する。
【００２７】
（攻撃者ＩＰアドレスの分析）
提案の相関解析では、クラスタリングするＩＰアドレス間の距離に応じて、クラスタ内のＩＰアドレスの特性が変化する。そこで、距離に応じたクラスタ数とクラスタ内ＩＰアドレス数の変化を調査した。なお、今回は、図１に示すデータを用いた評価実験１と、ＣＣＣ ＤＡＴＡｓｅｔ ２０１０・２０１１とＤ３Ｍ ２０１０・２０１１（参考文献５参照）を用いた評価実験２を実施した。
（参考文献５）畑田充弘, 中津留勇, 秋山満昭, "マルウェア対策のための研究用データセット〜MWS2011 Datasets〜"，MWS2011, 2011 年10月
【００２８】
評価実験２で用いたＩＰアドレスの概要を図６に示す。さらに、Ｗｉｎｄｏｗｓ（登録商標）ＯＳへの攻撃を収集した結果であるＣＣＣＤＡＴＡｓｅｔとＷｅｂクライアントへの攻撃を収集した結果であるＤ３Ｍにおいて重複したＩＰアドレス数を図７に示す。
【００２９】
各評価実験において、クラスタリングする際の距離に対する、総クラスタ数や混在クラスタ数及び混在クラスタ内の総ＩＰアドレス数を調査した結果を図８と図９に示す。一般的に、距離の増加に伴ってクラスタ内のＩＰアドレスは増加する。このため、距離に対して、総クラスタ数は単調減少し、混在クラスタの発生確率は単調増加する。図８では、距離６において混在クラスタ数が最大値を示している。これは、１つの混在クラスタ中に含まれるＩＰアドレス群の範囲が広がり、全体の混在クラスタ数が減少したためだと考えられる。さらに、図８では、混在クラスタ内の総ＩＰアドレス数は距離に応じて増加している。総ＩＰアドレス数の増加は、異種ハニーポット間で重複して観測される可能性が低いＩＰアドレスが混在する原因となる可能性もある。このため、距離６によってクラスタリングすることで、異種ハニーポット間で重複して観測される可能性が高いＩＰアドレスを効率的に抽出できると考えられる。なお、図９では図８のような現象を確認できない。これは、図１と図６に示すように、データ内に含まれるＩＰアドレス数が異なっているためだと考えられる。以上から、相関解析の対象となるＩＰアドレス数に応じて、適切な距離でＩＰアドレスをクラスタリングすることで、異種ハニーポット間で重複して観測される可能性が高いＩＰアドレスを効率的に抽出できると考えられる。本調査により、攻撃者が使用するＩＰアドレス空間において、複数のハニーポットで収集した攻撃者ＩＰアドレスが密集する空間の存在が明らかになった。この現象は、特定のＩＰアドレス空間における、複数種類のマルウェア検体への多重感染や、攻撃者によるボットの有効活用に起因して発生しているものと考えられる。データセットのＩＰアドレス数が示すように、各ハニーポットで収集できる攻撃者ＩＰアドレス数には大きな偏りがある。具体的には、近年脅威が増大しているＷｅｂブラウザやＷｅｂアプリケーションの脆弱性を対象とした攻撃と比較して、Ｗｉｎｄｏｗｓ（登録商標）ＯＳの脆弱性を対象とした従来の機械的な攻撃件数が非常に多い。このため、Ｗｉｎｄｏｗｓ（登録商標）ＯＳの脆弱性への攻撃を送信するＩＰアドレスに対して提案の相関解析を適用することで、悪性ＷｅｂサイトやＭＤＳ及びマルウェア検体などの攻撃者情報を効率的かつ効果的に収集できる可能性が高いと考えられる。
【００３０】
攻撃者ＩＰアドレスをその距離に応じてクラスタリングすることで、異なるハニーポットで収集したＩＰアドレスが混在する可能性が高いＩＰアドレス空間を抽出できる。さらに、Ｗｉｎｄｏｗｓ（登録商標）ＯＳの脆弱性への攻撃の情報を用いて、ＷｅｂブラウザやＷｅｂアプリケーションに対する攻撃への対策を加速させることで、多種多様な攻撃からユーザを保護可能なネットワークを構築できると考えられる。
【００３１】
本発明は、上述の調査結果に基づき、混在クラスタを発見する技術を実現するものである。以下、本発明の実施形態について説明する。なお、以下の説明に用いる図面では、同じ機能を持つ構成部や同じ処理を行うステップには同一の符号を記し、重複説明を省略する。
【００３２】
＜第一実施形態に係る攻撃情報管理システム１０＞
図１０は、本実施形態に係る攻撃情報管理システム１０のネットワーク構成例を示す。攻撃情報管理システム１０は、攻撃情報管理装置１００と、Ｗｅｂサーバ型囮システム２２及び３２と、Ｗｅｂクライアント型囮システム３３及び４２と、ＯＳ型囮システム５２及び５３とを含む。攻撃情報管理装置１００とＷｅｂサーバ型囮システム２２とはネットワーク２１を介して接続され、攻撃情報管理装置１００とＷｅｂサーバ型囮システム３２及びＷｅｂクライアント型囮システム３３とはネットワーク３１を介して接続され、攻撃情報管理装置１００とＷｅｂクライアント型囮システム４２とはネットワーク４１を介して接続され、攻撃情報管理装置１００とＯＳ型囮システム５２及び５３とはネットワーク５１を介して接続される。言い換えると、各囮システム２２、３２、３３、４２、５２及び５３は、ネットワーク２１、３１、４１及び５１を経由して攻撃情報管理装置１００との到達性が確保されている。インターネットに代表される広域ネットワーク６１に対して、Ｗｅｂサーバ型囮システム２２及び３２と、Ｗｅｂクライアント型囮システム３３及び４２と、ＯＳ型囮システム５２及び５３とが配置される。
【００３３】
各囮システム２２、３２、３３、４２、５２及び５３は、それぞれ既存の技術（例えば上述の従来技術）を用いて、マルウェアに関する情報を収集する。
【００３４】
＜攻撃情報管理装置１００＞
図１１は攻撃情報管理装置１００の機能構成例を、図１２は攻撃情報管理装置１００の処理フローを示す。攻撃情報管理装置１００は、攻撃情報分析部１１０と、攻撃情報管理部１２０と、攻撃情報管理テーブル１２１と、クラスタ管理テーブル１２２と、囮システム管理部１３１と、囮システム情報収集部１３２と、囮システム通知部１３３とを含む。
【００３５】
（囮システム管理部１３１）
囮システム管理部１３１は、攻撃情報管理装置１００が収容する各囮システムに通知を送受信するために必要となる転送情報を保有する。転送情報とは、例えば、囮システムのＩＰアドレス等である。さらに、囮システム管理部１３１は、各囮システムの状態を管理する機能を有している。以下、後述する囮システム情報収集部１３２が攻撃情報の収集する方法としては、（１）各囮システムがトラップとして自律的に攻撃情報を送信する方法や（２）攻撃情報管理装置１００がポーリングをして自律的に各囮システムが保有する攻撃情報を閲覧し収集する方法等が考えられる。各方法における各囮システムの状態を管理する方法を例示する。
【００３６】
（トラップの場合）囮システム管理部１３１は、各囮システムからトラップを受信する際に必要となるメッセージの送受信の状態を管理する（図１３参照）。さらに、トラップを受信した時間を記憶する機能を有してもよい。
【００３７】
（ポーリングの場合）囮システム管理部１３１は、各囮システムにポーリングを行う際に必要となるメッセージの送受信の状態を管理する。さらに、タイマを保有し、各囮システムに対する次のポーリングまでの残り時間を管理する（図１４参照）。
【００３８】
（囮システム情報収集部１３２）
囮システム情報収集部１３２は、囮システム管理部１３１の情報に基づき、攻撃情報管理装置１００が収容する各囮システムから攻撃情報を収集し、後述する攻撃情報管理部１２０に攻撃情報と囮システムの種別との組合せを送信する。
【００３９】
例えば、（１）トラップを受信した場合には、その送信元ＩＰアドレスが、囮システム管理部１３１に保有されている転送情報に存在するか否かを確認し、存在する場合には、その攻撃情報と囮システムの種別を受信する。存在しない場合には、そのトラップを破棄する。また、前回の受信時間から所定時間以上超えた場合には、囮システム情報収集部１３２が対応する囮システムに対して新たな攻撃情報がないかを問合せる構成としてもよい。
【００４０】
（２）ポーリングの場合には、残り時間が０になったときに、対応する囮システムの転送情報を囮システム管理部１３１から取得し、その囮システムを閲覧し、新たな攻撃情報がある場合には、その攻撃情報と囮システムの種別を受信する。なお、各囮システムが所定時間を越えると、囮システム情報収集部１３２に全ての攻撃情報、または、新たな攻撃情報を送信する構成としてもよい。
【００４１】
トラップやポーリングの送受信に関する技術は従来技術を応用でき、例えば、ルータやスイッチの故障を管理するサーバや、ルータやスイッチのトラヒック情報を管理するサーバにおいて用いる技術を応用することで、上述のトラップやポーリングの送信を実現できる。また、囮システムから攻撃情報を収集する方法としてトラップやポーリング以外の従来技術を用いてもよい。
【００４２】
（囮システム通知部１３３）
囮システム通知部１３３は、囮システム管理部１３１の転送情報を用いて、各囮システムへの制御指示を送信する。具体的には、各囮システムと制御指示とのインターフェースを規定し、後に記述する攻撃情報管理部１２０が生成した制御指示をインターフェース規定に従った通知に変換して送信する。制御指示の内容については後述する。
【００４３】
（攻撃情報管理テーブル１２１）
攻撃情報管理テーブル１２１には、攻撃情報と、その攻撃情報を収集した囮システムの種別と、クラスタ識別子との組合せが記憶される（図１５参照）。
【００４４】
攻撃情報は、マルウェアに関する情報であって、各囮システムが収集した情報である。各囮システムが収集した情報を記憶する機能を有している場合には、その記憶している情報と同じ情報を攻撃情報としてもよい。攻撃情報は、具体的には図１５に示すように、攻撃に使用されたＩＰアドレスやＵＲＬが該当するが、観測時間や攻撃コードや収集した検体など、他の情報を含んでもよい。
【００４５】
囮システムの種別は、対象とするマルウェアの攻撃経路によって区別される。本実施形態では、上述のＯＳ型囮システム、Ｗｅｂクライアント型囮システム、Ｗｅｂサーバ型囮システム（図中それぞれ「ＯＳ」、「Ｗｅｂクライアント」、「Ｗｅｂサーバ」と示す）としているが、その他の種別の囮システムを用いてもよい。例えば、Ａｎｄｒｏｉｄ（登録商標）ＯＳやＡｎｄｒｏｉｄ（登録商標）用ブラウザの脆弱性を対象として攻撃するマルウェアの攻撃情報を収集する囮システム等が考えられる。
【００４６】
クラスタ識別子は、後述する攻撃情報分析部１１０において、クラスタリングされた攻撃情報が所属するクラスタの識別子である。
【００４７】
なお、攻撃情報管理装置１００が収容する各囮システムに識別子（以下「囮システム識別子」という）を付与しておき、攻撃情報管理テーブル１２１の囮システムの種別には、囮システム識別子を記憶する構成としてもよい。この場合、囮システム識別子と囮システムの種別の対応関係を別のテーブルに記憶しておき、後述するクラスタ属性は、囮システムの種別に応じて変更する。例えば、Ｗｅｂサーバ型ハニーポットを複数収容する場合は、Ｗｅｂサーバ１やＷｅｂサーバ２と、囮システムを区別し、攻撃情報管理テーブル１２１の囮システム種別欄には、その囮システム識別子Ｗｅｂサーバ１やＷｅｂサーバ２を記憶する。さらに、別のテーブルに囮システム識別子Ｗｅｂサーバ１やＷｅｂサーバ２を、囮システムの種別「Ｗｅｂサーバ」に対応付けて記憶する。このような構成とすることで、攻撃情報に応じて、囮システムの種別毎ではなく、個々の囮システム毎に制御指示を通知することができる。
【００４８】
（クラスタ管理テーブル１２２）
クラスタ管理テーブル１２２には、クラスタ識別子とクラスタ属性との組合せが記憶される（図１６参照）。
【００４９】
クラスタ属性とは、クラスタに所属する攻撃情報が一つの種別の囮システムから得られたものか、複数の種別の囮システムから得られたものかを示すものであって、一つの種別の囮システムから得られたものの場合には、その種別をクラスタ属性とし、複数の種別の囮システムから得られたものの場合には、「混在」をクラスタ属性とする。以下、クラスタ属性が「混在」であるクラスタを混在クラスタという。
【００５０】
例えば、図１５の例では、三つのエントリに対しクラスタ識別子２０１が付与されている。そして、その三つのエントリの囮システム種別は、「Ｗｅｂクライアント」、「ＯＳ」、「Ｗｅｂサーバ」であり、クラスタ識別子２０１に所属する攻撃情報は複数の種別の囮システムから得られたものである。よって、図１６では、クラスタ属性を「混在」として記憶する。また、二つのエントリに対しクラスタ識別子１０２が付与されている。そして、その二つのエントリの囮システム種別は、「Ｗｅｂクライアント」であり、クラスタ識別子１０２に所属する攻撃情報は同一の種別の囮システムから得られたものである。よって、図１６では、クラスタ属性を「Ｗｅｂクライアント」として記憶する。
【００５１】
（攻撃情報管理部１２０）
攻撃情報管理部１２０は、囮システム情報収集部１３２から攻撃情報と、その攻撃情報を収集した囮システムの種別との組合せを受信し（ｓ１、図１２参照）、その組合せが既に攻撃情報管理テーブル１２１に存在するか否かを判定する。重複する組合せが存在する場合（ｓ２）、重複する組合せを更新する（ｓ３）。なお、既存のテーブル管理方式を用いて更新すればよい。例えば、過去の情報を削除する方式や、最新情報をアクティブな情報として登録するとともに過去の情報をアーカイブする方式や、過去の観測回数のカウンタを設置する方式等がある。
【００５２】
重複する組合せが存在しない場合（ｓ２）、攻撃情報管理テーブル１２１にその組合せを記憶（登録）するとともに、その攻撃情報が所属するクラスタを後に記述する攻撃情報分析部１１０に問合せる（ｓ４）。
【００５３】
後述する攻撃情報分析部１１０は、問合せを受けた攻撃情報を用いてクラスタリングを行い（ｓ５）、その結果を攻撃情報管理部１２０に返す。なお、クラスタリングの手法としては既存の技術を用いることができる。例えば、（１）過去の攻撃情報とそのクラスタとの関係を維持したまま、問合せを受けた攻撃情報を何れかのクラスタ、または、新たなクラスタに所属させてもよい。この場合、クラスタリングの結果として、問合せを受けた攻撃情報のクラスタ識別子のみを攻撃情報管理部１２０に返す。また、（２）過去の攻撃情報とクラスタとの関係を維持せずに、問合せを受けた攻撃情報と過去の攻撃情報とをまとめてクラスタリングし、全ての攻撃情報を新たなクラスタに所属させてもよい。この場合、クラスタリングの結果として、全ての攻撃情報とそのクラスタ識別子の組合せを攻撃情報管理部１２０に返す。何れの場合であっても問合せを受けた攻撃情報のクラスタ識別子は少なくとも返す。
【００５４】
攻撃情報管理部１２０は、クラスタリングの結果を受け取り、攻撃情報管理テーブル１２１の対応するエントリのクラスタ識別子欄に問合せ結果を記憶する（ｓ６）。なお、（１）過去の攻撃情報とクラスタとの関係を維持したままクラスタリングを行った場合には、問合せを受けた攻撃情報に対するクラスタ識別子のみを受け取り、その攻撃情報のクラスタ識別子欄に記憶する。また（２）過去の攻撃情報とクラスタとの関係を維持せずに、問合せを受けた攻撃情報と過去の攻撃情報とをまとめてクラスタリングを行った場合、全ての攻撃情報と各攻撃情報に対応するクラスタ識別子の組合せを受け取り、問合せを受けた攻撃情報に対するクラスタ識別子をその攻撃情報のクラスタ識別子欄に記憶し、さらに、各攻撃情報とそのクラスタ識別子の対応関係に変更があった場合には、変更があった攻撃情報のクラスタ識別子欄を更新する。
【００５５】
さらに、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、攻撃情報管理部１２０はクラスタ管理テーブル１２２を変更する（ｓ８）。例えば、（１）ＯＳ型囮システムで収集された攻撃情報が何れのクラスタにも属さず、新たなクラスタを設けた場合には、その新たなクラスタ識別子をクラスタ管理テーブル１２２のクラスタ属性「ＯＳ」に関連付けて記憶する。また、（２）Ｗｅｂサーバ型囮システムで収集された攻撃情報のみが存在していたクラスタに他の囮システムで収集された攻撃情報が割り当てられた場合、攻撃情報管理部１２０は、クラスタ管理テーブル１２２のクラスタ識別子に対するクラスタ属性を「Ｗｅｂサーバ」から「混在」に変更する。
【００５６】
なお、囮システム情報収集部１３２から攻撃情報としてＵＲＬ情報のみを通知された場合、攻撃情報管理部１２０は、インターネット上の情報を用いて当該ＵＲＬに該当するＩＰアドレスを特定して攻撃情報として攻撃情報管理テーブル１２１に記憶する構成としてもよい。この際のインターネット上の情報としては、ｗｈｏｉｓ情報やＤＮＳ情報が該当するため、情報の収集は既存の技術で実現できる。
【００５７】
また、Ｗｅｂサーバ型囮システムでは、一回の攻撃で攻撃元とＭＤＳの攻撃情報が収集される場合がある。また、Ｗｅｂクライアント型囮システムでは、一回の攻撃で複数の改竄されたＷｅｂサイトや攻撃コードを送信するＷｅｂサイトの攻撃情報が収集される場合がある。この場合、攻撃情報管理部１２０は、攻撃情報の欄を追記し、攻撃元とＭＤＳを識別する情報を記述したり、改竄されたＷｅｂサイトであるか攻撃コードを送信するＷｅｂサイトであるかを識別する情報を記述したりしてもよい。また、攻撃情報の欄を追記し、一回の攻撃に関する情報に一つの識別子を付与することで、一回の攻撃で収集した攻撃情報を特定できるようにしてもよい。
【００５８】
（攻撃情報分析部１１０）
攻撃情報分析部１１０は、攻撃情報管理部１２０から攻撃情報に対するクラスタ識別子の問合せを受信した際に、受信した攻撃情報に基づきクラスタリングを行う。この際、攻撃情報分析部１１０は、過去の分析データを保有しておき、これを用いてクラスタリングを行ってもよいし、攻撃情報管理テーブル１２１を閲覧することで分析に必要な攻撃情報を収集しクラスタリングしてもよい。
【００５９】
攻撃情報分析部１１０は、（１）新たに受信した攻撃情報が、既に過去の攻撃情報から作成したクラスタの何れかに所属するか否かを判定してもよいし、（２）新たに受信した攻撃情報と過去の攻撃情報を用いてクラスタリングをしなおしてもよい。（１）の場合はクラスタリングの結果として新たに受信した攻撃情報に対するクラスタ識別子のみを攻撃情報管理部１２０に送信し、（２）の場合はクラスタリングの結果として全ての攻撃情報と各攻撃情報に対応するクラスタ識別子の組合せを攻撃情報管理部１２０に送信する。
【００６０】
クラスタリングする方式は、複数の方式が考えられる。例えば、調査２において説明した方式などがある。攻撃情報に記述されたＩＰアドレスの距離が一定値以下のＩＰアドレス群をクラスタリングする場合、例えば、ヒルベルト曲線上にＩＰアドレスを配置して二次元グラフを作成してＩＰアドレス間の距離を計算する手法や、ＩＰアドレスをビット列に変換して距離を計測する手法や、ＩＰアドレスのビット列を１０進法に変換して距離を計測する手法がある。また、クラスタリングの際には、階層的クラスタリングなどの既存手法が適用できる。
【００６１】
なお、クラスタリングする際の距離はオペレータが設定する。例えば、図８に示すように、混在クラスタ数が最大となる距離が存在する場合には、その距離をクラスタの距離として設定することで、異なる種別の囮システム間で重複して観測される可能性が高いＩＰアドレスを効率的に抽出できる。
【００６２】
また、ＩＰアドレスの距離に基づいてクラスタリングする場合、ＩＰアドレスを保有するＡＳ（autonomous system）を加味する必要がある。これは、ＡＳによってネットワーク構造が大きく異なり、ＩＰアドレスが隣接していたとしても、ＡＳが異なればネットワーク構造的には隣接に存在するとはいえないためである。ＩＰアドレスのＡＳ情報は前述のｗｈｏｉｓ情報やＤＮＳ情報のようにインターネット上の情報から特定できる。このため、攻撃情報分析部１１０は、ＩＰアドレスの距離でクラスタリングする場合は、ＡＳ情報を収集し、ＡＳが異なるＩＰアドレス間の距離を無限大としてクラスタリングする。
【００６３】
攻撃情報分析部１１０は、クラスタリングの計算結果を攻撃情報管理部１２０に送信する。
【００６４】
図１７は、ヒルベルト曲線上にＩＰアドレスを配置し、ＩＰアドレスを距離でクラスタリングした際の概要を示している。図中、◎は複数の囮システムで収集されたＩＰアドレスを、○はＷｅｂサーバ型囮システムで収集されたＩＰアドレスを、破線の○はＷｅｂクライアント型囮システムで収集されたＩＰアドレスを、●はＯＳ型囮システムで収集されたＩＰアドレスを、一点鎖線の○はクラスタを示す。ヒルベルト曲線上にＩＰアドレスを配置する場合、全ＩＰアドレスは二次元グラフ上に配置される。このため、ＩＰアドレス間の距離は、ユークリッド距離でも、マンハッタン距離でも表現できる。距離でクラスタリングした場合、例えば一点鎖線の○で示すＩＰアドレス群がクラスタリングされる。この際、異なる種類の囮システムで収集されたＩＰアドレスが混在するクラスタが発生する。なお、図中、左上に一点鎖線の○が重複する箇所が存在する。重複を許容する場合は一つのＩＰアドレスが複数のクラスタに属することになるため、当該エントリのクラスタ識別子に複数の番号が付与される。重複を許容するか否かはクラスタリング手法により異なる。クラスタは攻撃情報管理テーブル１２１における１エントリから構成される場合もある。
【００６５】
＜効果＞
このような構成により、攻撃情報をクラスタリングすることで、異なる囮システムで収集した攻撃情報が混在する可能性が高い領域を抽出することができる。混在クラスタは、異なる種別の囮システムで収集したＩＰアドレスが混在する可能性が高いＩＰアドレス空間を示すことになる。
【００６６】
よって、混在クラスタに所属するＩＰアドレス領域をブラックリストとし、セキュリティアプライアンスにおけるフィルタリングに利用することができる。
【００６７】
さらに、このＩＰアドレス空間に対して囮システムを仕掛けることでより効率的にさらなる攻撃情報を収集することができる。このため、複数種類の囮システムを用いた攻撃情報の収集を効率化できる。以下、混在クラスタのＩＰアドレス空間に対して囮システムを仕掛ける方法を説明する。
【００６８】
＜混在クラスタを利用した攻撃情報の収集方法＞
攻撃情報管理部１２０は、新たな攻撃情報のクラスタ識別子がクラスタ属性「混在」に関連付けられた際に、各囮システムに制御指示を送信するよう囮システム通知部１３３に通知する。
【００６９】
攻撃情報管理部１２０は、混在クラスタに関する情報に基づき、混在クラスタ内を各囮システムが検査するように制御指示を作成する。
【００７０】
例えば、Ｗｅｂサーバ型囮システムやＯＳ型囮システムにおいて新たに収集した攻撃情報が、Ｗｅｂクライアント型囮システムで収集した攻撃情報と同一のクラスタに属した場合、攻撃情報管理部１２０は、混在クラスタに所属するＩＰアドレスやＵＲＬに対して、前述のｗｈｏｉｓ情報やＤＮＳ情報などインターネット上の情報を参照することで、対応するホスト情報を特定し、ホスト情報が含まれるＵＲＬを検索エンジンで検索することで、当該ＩＰアドレスやＵＲＬを保有するホストに対応するＵＲＬリストを抽出する。抽出したＵＲＬリストを各Ｗｅｂクライアント型囮システムが巡回検査するように制御指示を作成する。囮システム通知部１３３は、上述の通知を受け取ると、制御指示を各Ｗｅｂクライアント型囮システムのインターフェース規定に従った形式に変換して送信する。
【００７１】
なお、上述の場合、各囮システムが、ホスト情報の特定、ＵＲＬ抽出を行う構成としてもよい。その場合、攻撃情報管理部１２０は、混在クラスタのＩＰアドレス空間を制御指示の一部とし、各Ｗｅｂクライアント型囮システムがそれに基づきホスト情報の特定、ＵＲＬ抽出し、抽出したＵＲＬリストを巡回検査するように制御指示を作成すればよい。
【００７２】
また、Ｗｅｂクライアント型囮システムやＯＳ型囮システムにおいて新たに収集した攻撃情報が、Ｗｅｂサーバ型囮システムで収集した攻撃情報と同一のクラスタに属した場合、攻撃情報管理部１２０は、混在クラスタに所属するＩＰアドレスやＵＲＬに対して、前述のｗｈｏｉｓ情報やＤＮＳ情報等インターネット上の情報を参照することで、対応するホスト情報を特定し、ホスト情報が含まれるＵＲＬを検索エンジンで検索することで、当該ＩＰアドレスやＵＲＬを保有するホストに対応するＵＲＬリストを抽出する。抽出したＵＲＬリストを各Ｗｅｂサーバ型囮システムで検査するように制御指示を作成する。囮システム通知部１３３は、上述の通知を受け取ると、制御指示を各Ｗｅｂサーバ型囮システムのインターフェース規定に従った形式に変換して送信する。この際、Ｗｅｂサーバ型囮システムにおいては、攻撃者の役割を攻撃情報管理装置１００が担う場合や攻撃者の役割を保有する機能をＷｅｂサーバ型囮システムに保有させる場合等がある。前者の場合、攻撃情報管理装置１００は、Ｗｅｂサーバ型囮システムに対し、自身が抽出したＵＲＬリストに記載された各ＵＲＬへのファイル取得命令を送信する。この場合、命令を受けたＷｅｂサーバ型囮システムは、攻撃者から命令を受けた際と同じく、ＵＲＬからファイルをダウンロードして実行するため、マルウェアが配置されたＵＲＬを特定できる。一方、後者の場合、攻撃情報管理装置１００は、ＵＲＬをＷｅｂサーバ型囮システムに通知し、通知を受信したＷｅｂサーバ型囮システムが、自身の内部で当該ＵＲＬに対するファイル取得を、攻撃者からのアクセスを当該ＵＲＬを用いる形で再現することで、実施する。この結果、Ｗｅｂサーバ型囮システムは、攻撃者からの命令を受けたサイトと同じく、ＵＲＬからファイルをダウンロードして実行するため、マルウェアが配置されたＵＲＬを特定できる。
【００７３】
なお、上述の場合、各囮システムが、ホスト情報の特定、ＵＲＬ抽出を行う構成としてもよい。その場合、攻撃情報管理部１２０は、混在クラスタのＩＰアドレス空間を制御指示の一部とし、各Ｗｅｂサーバ型囮システムがそれに基づきホスト情報の特定、ＵＲＬ抽出し、抽出したＵＲＬリストを検査するように制御指示を作成すればよい。
【００７４】
このような構成とすることで、無作為に検査するよりも効率的に攻撃情報を収集できる。
【００７５】
＜その他の変形例＞
第一実施形態では、攻撃情報のうち、ＩＰアドレスを用いてクラスタリングを行っているが、ＵＲＬ等他の情報を用いてクラスタリングを行ってもよい。例えば、ＵＲＬの場合はドメイン名やパス名でクラスタリングを行う。
【００７６】
ネットワーク２１、３１、４１及び５１は、管理用ネットワークとして他のネットワークと独立させ専用回線としてもよい。また、本実施形態では、ネットワークが複数のネットワーク２１、３１、４１及び５１によって構成されているが一つのネットワークで構成してもよい。
【００７７】
なお、攻撃情報管理テーブル１２１は、囮システムの種別、攻撃情報、クラスタ識別子に加えて、他の攻撃と重複する攻撃情報を保有するエントリにフラグを立てるための欄を追加してもよい（図１８参照）。この場合、攻撃情報管理部１２０は、囮システム情報収集部１３２から攻撃情報と囮システムの種別を受け取り、攻撃情報が同一の場合には、重複欄にフラグを立てる。この場合、攻撃情報分析部１１０は、囮システムの種別が異なり、攻撃情報が重複するエントリが混在するクラスタ（以下「重複混在クラスタ」という）に対して、そのことを示すクラスタ属性を付与してもよい（図１９参照）。攻撃情報管理部１２０は、攻撃情報分析部１１０からクラスタ識別子と攻撃情報を受け取ると、そのクラスタ識別子をクラスタ属性「重複混在」に関連付けてクラスタ管理テーブルに記憶（登録）する。図１８及び図１９の例では、クラスタ識別子「２０１」は、囮システム種別「Ｗｅｂクライアント」と「ＯＳ」の間で攻撃情報が同一である。よって、クラスタ識別子「２０１」をクラスタ属性「重複混在」に関連付けて記憶する。
【００７８】
重複ＩＰアドレスからの距離が一定値以内のＩＰアドレス空間は、異なる種別の囮システムで収集したＩＰアドレスが混在する可能性が高いと考えられるので、攻撃情報分析部１１０は、重複ＩＰアドレスからの距離が一定値以内のＩＰアドレスをクラスタリングする構成とする。図２０は、ヒルベルト曲線上にＩＰアドレスを配置し、複数の囮システムで観測されたＩＰアドレスに近接したＩＰアドレスをクラスタリングした際の概要を示している。この場合、図１７の結果とクラスタリングの結果が異なる。このため重複混在クラスタを特別なクラスタとして個別に管理してもよい。
【００７９】
さらに、混在クラスタや重複混在クラスタに関して、どの囮システム種別の情報が混在するかを管理してもよい。具体的には、図２１に示すクラスタ管理テーブル１２２を保有する。この際、重複混在クラスタを管理しない場合は、それ以外のクラスタ属性から構成されるテーブルとすればよい。このような構成とすることで、特定の種別の囮システムから攻撃情報を集中的に収集することができる。例えば、Ｗｅｂブラウザの脆弱性を対象として攻撃するマルウェアに関する攻撃情報を集中的に収集したい場合には、「Ｗｅｂクライアント」と他の囮システム（「ＯＳ」や「Ｗｅｂサーバ」）との混在クラスタに対して囮システムを仕掛ければよい。
【００８０】
本発明は上記の実施形態及び変形例に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。
【００８１】
＜プログラム及び記録媒体＞
上述した攻撃情報管理装置１００及び各囮システムは、コンピュータにより機能させることもできる。この場合はコンピュータに、目的とする装置（各種実施例で図に示した機能構成をもつ装置）として機能させるためのプログラム、またはその処理手順（各実施例で示したもの）の各過程をコンピュータに実行させるためのプログラムを、ＣＤ−ＲＯＭ、磁気ディスク、半導体記憶装置などの記録媒体から、あるいは通信回線を介してそのコンピュータ内にダウンロードし、そのプログラムを実行させればよい。
【技術分野】
【０００１】
本発明は、囮システムが収集した情報を管理する攻撃情報管理技術に関する。
【背景技術】
【０００２】
従来は、オペレーションシステム（Operating System、以下「ＯＳ」という）の脆弱性を対象として攻撃するマルウェアが多かったが、近年では、Ｗｅｂブラウザの脆弱性を対象として攻撃するマルウェアや、Ｗｅｂアプリケーションの脆弱性を対象として攻撃するマルウェアが増加している。なお、マルウェアとは、悪意あるソフトウェアや悪質なコードの総称であり、例えばコンピュータウィルスやワームであり、他にクラックツール、スパイウェア、悪質なアドウェア等も含む。これらのマルウェアへの対策として、従来からハニーポットと呼ばれる囮システムが研究開発されている。ハニーポットはマルウェアに関する情報（以下「攻撃情報」という）を収集するものである。マルウェアは対象の脆弱性によって攻撃方法が異なるため複数種類のマルウェアが存在し、各マルウェアに対してハニーポットが研究開発され、複数種類のハニーポットが存在する。以下、３種類のマルウェア及びハニーポットについて説明する。
【０００３】
（１）攻撃者は、例えばＷｉｎｄｏｗｓ（登録商標）ＯＳのセキュリティホールを利用して、マルウェアを送信し、実行させる。ＯＳへの攻撃を収集するハニーポット（以下「ＯＳ型ハニーポット」または「ＯＳ型囮システム」という）では、マルウェア自体に加え、ＯＳ型ハニーポットにアクセスしてきた攻撃者のＩＰアドレスを収集する（非特許文献１及び２参照）。
【０００４】
（２）攻撃者は攻撃対象となるＷｅｂサーバにＷｅｂサーバ型マルウェアをダウンロードさせるためのマルウェアダウンロードサイト（以下「ＭＤＳ」という）を予め用意しておく。攻撃者はＷｅｂサーバに対してＭＤＳからマルウェアをダウンロードさせるための攻撃コードをＨＴＴＰリクエストメッセージとして送信する。ＨＴＴＰリクエストメッセージを受信したＷｅｂサーバはＭＤＳからマルウェアをダウンロードし実行する。Ｗｅｂアプリケーションへの攻撃を収集するＷｅｂサーバ型ハニーポット（以下「Ｗｅｂサーバ型ハニーポット」または「Ｗｅｂサーバ型囮システム」という）は、マルウェア自体に加え、ＨＴＴＰリクエストメッセージを送信してきた攻撃者のＩＰアドレスと、ＭＤＳのＩＰアドレス及びＵＲＬを収集する（非特許文献３及び４参照）。
【０００５】
（３）攻撃者はアクセスしてきたＷｅｂブラウザに対しマルウェアを送信し、実行させる悪性サイトを用意しておく。Ｗｅｂブラウザへの攻撃を収集するＷｅｂクライアント型ハニーポット（以下「Ｗｅｂクライアント型ハニーポット」または「Ｗｅｂクライアント型囮システム」という）は、Ｗｅｂサイトを巡回し、アクセスした際にリダイレクトさせられるＷｅｂサイトやマルウェアを送信するＷｅｂサイトのＵＲＬ及びＩＰアドレス、マルウェア自体を収集する（非特許文献５参照）。
【０００６】
各ハニーポットで収集した情報の内、マルウェア自体を検体（マルウェアのサンプル）と呼び、ＩＰアドレスやＵＲＬを攻撃情報と呼ぶ。攻撃情報は、セキュリティアプライアンスにおいて、ブラックリスト情報として活用できる。なお、セキュリティアプライアンスとは、ユーザ環境とインターネット間に配置され、ウイルスや不正アクセスといったインターネット上の外部の脅威からユーザ環境を守るための装置であり、ファイアウオール、ＶＰＮ（Virtual Private Network）、ＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention/Protection System）及びアンチウイルスの何れかの機能、またはこれらの機能を統合した機能を実現する装置である。
【０００７】
例えば、Ｗｅｂクライアントを収容するセキュリティアプライアンスは、Ｗｅｂクライアント型ハニーポットで収集したＵＲＬやＩＰアドレスとの通信をフィルタリング（遮断）する。また、Ｗｅｂサーバを収容するセキュリティアプライアンスは、Ｗｅｂサーバ型ハニーポットで収集したＵＲＬやＩＰアドレスとの通信をフィルタリングする。
【０００８】
さらに、マルウェア動的解析器を用いてＷｅｂサーバ型ハニーポットで収集した検体を解析することで、Command and Control（Ｃ＆Ｃ）サーバのＵＲＬやＩＰアドレスをブラックリスト情報として利用できる技術が知られている（非特許文献４参照）。
【先行技術文献】
【非特許文献】
【０００９】
【非特許文献１】"dionaea catches bugs", [online], Dionaea, [平成23年9月29日検索], インターネット<URL:http://dionaea.carnivore.it>
【非特許文献２】青木一史、川古谷裕平、岩村誠、伊藤光恭、“半透過性仮想インターネットによるマルウェアの動的解析”、マルウェア対策研究人材育成ワークショップ２００９、２００９年１０月
【非特許文献３】"Web Application Honeypot", [online], The Honeynet Project, [平成23年9月29日検索], インターネット<URL:http://www.honeynet.org/gsoc/project8>
【非特許文献４】八木毅、谷本直人、針生剛男、伊藤光恭、“ハイブリッド型ＷｅｂハニーポットＷｅｂ Ｐｈａｎｔｏｍの設計”、信学技報、２０１０年１１月、Ｖｏｌ．１１０、Ｎｏ．２８９、ＩＮ２０１０−８５、ｐｐ．２５−３０
【非特許文献５】M.Akiyama, K.Aoki, Y.Kawakoya, M.Iwamura and M.Itoh, "Design and Implementation of High Interaction Client Honeypot for Drive-by-download Attacks", IEICE TRANS.COMMUN., May 2010, VOL.E93-B, NO5, pp1131-1139
【発明の概要】
【発明が解決しようとする課題】
【００１０】
上述の通り、ハニーポットを用いることでマルウェアに関する情報を収集することができるが、設置可能なハニーポットの数はコスト的に制限されるため、ハニーポットから効率的に攻撃情報や検体を収集する技術が必要とされている。
【００１１】
本発明は、異なるハニーポットで収集した攻撃情報が混在する可能性が高い領域を抽出できる技術を提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記の課題を解決するために、本発明の第一の態様に係る攻撃情報管理システムは、囮システムが収集したマルウェアに関する情報を管理する。攻撃情報管理システムは、複数の種別の囮システムと、攻撃情報を管理する攻撃情報管理装置とを含む。攻撃情報管理装置は、攻撃情報をクラスタリングする攻撃情報分析部と、攻撃情報と、その攻撃情報を収集した囮システムの種別と、クラスタリングされたその攻撃情報が所属するクラスタのクラスタ識別子との組合せが記憶される攻撃情報管理テーブルと、クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルと、攻撃情報を受信すると、その攻撃情報とその攻撃情報を収集した囮システムの種別との組合せを攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを攻撃情報分析部に問合せ、クラスタリングの結果として、その攻撃情報のクラスタ識別子を受け取り、攻撃情報管理テーブルに記憶し、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、クラスタ管理テーブルを変更する攻撃情報管理部とを含む。
【００１３】
上記の課題を解決するために、本発明の第二の態様に係る攻撃情報管理装置は、囮システムが収集したマルウェアに関する情報（以下「攻撃情報」という）を管理する。攻撃情報管理装置は、攻撃情報をクラスタリングする攻撃情報分析部と、攻撃情報と、その攻撃情報を収集した囮システムの種別と、クラスタリングされたその攻撃情報が所属するクラスタのクラスタ識別子との組合せが記憶される攻撃情報管理テーブルと、クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルと、攻撃情報を受信すると、その攻撃情報とその攻撃情報を収集した囮システムの種別との組合せを攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを攻撃情報分析部に問合せ、クラスタリングの結果として、その攻撃情報のクラスタ識別子を受け取り、攻撃情報管理テーブルに記憶し、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、クラスタ管理テーブルを変更する攻撃情報管理部とを含む。
【００１４】
上記の課題を解決するために、本発明の第三の態様に係る攻撃情報管理方法は、囮システムが収集したマルウェアに関する情報（以下「攻撃情報」という）を管理する。攻撃情報管理方法は、攻撃情報を受信し、攻撃情報とその攻撃情報を収集した囮システムの種別との組合せを攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを攻撃情報分析部に問合せ、攻撃情報をクラスタリングし、攻撃情報の所属するクラスタを示すクラスタ識別子を攻撃情報管理テーブルに記憶し、クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルにおいて、クラスタリングの結果、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、クラスタ管理テーブルを変更する。
【発明の効果】
【００１５】
本発明に係る攻撃情報管理技術は、複数の種別の囮システムから得られた攻撃情報をクラスタリングすることで、異なる囮システムで収集した攻撃情報が混在する可能性が高い領域を抽出することができるという効果を奏する。
【図面の簡単な説明】
【００１６】
【図１】分析対象の攻撃者ＩＰアドレスの概要を示す図。
【図２】重複ＩＰアドレス数を示す図。
【図３】ヒルベルト曲線の描画ルールを示す図。
【図４】ＩＰアドレスのヒルベルト曲線上への配置例を示す図。
【図５】クラスタ形成過程の例を示す図。
【図６】各データセットのＩＰアドレス数を示す図。
【図７】重複するＩＰアドレス数を示す図。
【図８】評価実験１の結果を示す図。
【図９】評価実験２の結果を示す図。
【図１０】攻撃情報管理システム１０のネットワーク構成例を図。
【図１１】攻撃情報管理装置１００の機能構成例を示す図。
【図１２】攻撃情報管理装置１００の処理フローを示す図。
【図１３】トラップにより攻撃情報を収集する場合に、囮システム管理部１３１が保有、管理するデータ例を示す図。
【図１４】ポーリングにより攻撃情報を収集する場合に、囮システム管理部１３１が保有、管理するデータ例を示す図。
【図１５】攻撃情報管理テーブル１２１のデータ例を示す図。
【図１６】クラスタ管理テーブル１２２のデータ例を示す図。
【図１７】ＩＰアドレス間の距離でクラスタリングする際の動作例を示す図。
【図１８】複数の攻撃で重複したＩＰアドレスを考慮する際の攻撃情報管理テーブル１２１のデータ例を示す図。
【図１９】複数の攻撃で重複したＩＰアドレスを考慮する際のクラスタ管理テーブル１２２のデータ例を示す図。
【図２０】複数の攻撃の種類で使用されたＩＰアドレスからの距離でクラスタリングする際の動作例を示す図。
【図２１】クラスタ属性を拡張した際のクラスタ管理テーブル１２２のデータ例を示す図。
【発明を実施するための形態】
【００１７】
＜調査１＞
あるハニーポットで収集した攻撃情報が、複数種類の攻撃に使用されていれば、一種類のハニーポットで収集した攻撃情報を複数種類の攻撃に共通したブラックリスト情報として効率的に活用できる。そこで、複数種類の攻撃で使用されるＩＰアドレスの有無を確認するために、Ｗｉｎｄｏｗｓ（登録商標）ＯＳ対応ハニーポットDen-DenHoney（以下「ＤＤＨ」という、参考文献１参照）とＷｅｂクライアント型ハニーポットMarionette（以下「Ｍａｒｉ」という、非特許文献５参照）とＷｅｂサーバ型ハニーポットWeb Phantom（以下「ＷＰ」という、非特許文献４及び参考文献２参照）で収集した攻撃元ＩＰアドレス、悪性ＷｅｂサイトのＩＰアドレス及びＭＤＳのＩＰアドレスの一致性を調査した。
（参考文献１）青木一史, 川古谷裕平, 秋山満昭, 岩村誠,針生剛男, 伊藤光恭. "能動的攻撃と受動的攻撃に関する調査および考察", 情報処理学会論文誌, Sep 2009, Vol.50, No.9, pp.2147-2162
（参考文献２）T. Yagi, N. Tanimoto, T. Hariu and M. Itoh, "Design of Provider-Provisioned Website Protection Scheme against Malware Distribution", IEICE TRANS.COMMUN., May 2010, VOL.E93-B, NO5, pp1122-1130
【００１８】
これらのＩＰアドレスの総称を「攻撃者ＩＰアドレス」と定義する。各ハニーポットで収集した攻撃者ＩＰアドレスの概要を図１に示す。さらに、各ハニーポット間で重複して観測された攻撃者ＩＰアドレス数を図２に示す。図２に示すように、３９３のＩＰアドレスが複数種類のハニーポット間で重複して観測されていた。この結果、複数の攻撃に共通的に使用される攻撃者ＩＰアドレスの存在を確認できた。しかし、複数種類の攻撃に対するブラックリストを一種類のハニーポットで効率的に生成するためには、あるハニーポットで収集した攻撃者ＩＰアドレスが異なる種類のハニーポットで収集される可能性を推定する手法が必要となる。
【００１９】
＜調査２＞
（概要）
ＩＰアドレス間の構造的な距離に着目し、異なるハニーポットで収集したＩＰアドレスが密集する領域のＩＰアドレスは、複数のハニーポットで観測される可能性が高いと推測した。そこで、異なるハニーポットで収集した攻撃者ＩＰアドレスの近接性と特徴を調査した。具体的には、各ハニーポットで収集したＩＰアドレスを、ヒルベルト曲線に基づく２次元グラフ上に配置した。さらに、２次元グラフ上のマンハッタン距離に応じて攻撃者ＩＰアドレスをクラスタリングし、異なるハニーポットで収集した攻撃者ＩＰアドレスが混在するクラスタの特徴を調査した。詳細を以下に示す。
【００２０】
（攻撃者ＩＰアドレスの２次元グラフ化）
ヒルベルト曲線は、再帰的に定義される空間充填曲線である。ヒルベルト曲線は、Ｕ字型の形状を基本図形として、図３に示すように、以下の式の再帰的な組み合わせで描画される。
DRU(n)=RDL(n-1)↓DRU(n-1)→DRU(n-1)↑LDR(n-1)
LUR(n)=ULD(n-1)←LUR(n-1)↑LUR(n-1)→DRU(n-1)
ULD(n)=LUR(n-1)↑ULD(n-1)←ULD(n-1)↓RDL(n-1)
RDL(n)=DRU(n-1)→RDL(n-1)↓RDL(n-1)↓ULD(n-1)
D:Down、L:Left、R:Right、U:Up
ここで、ｎはヒルベルト曲線の次数を示しており、式中の矢印は各方向への線分の描画を示している。
【００２１】
ヒルベルト曲線上へのＩＰアドレスの配置に関しては、ＩＰアドレスの隣接構造を保持しつつ近傍のＩＰアドレスを空間的に近い順に配置する手法（参考文献４参照）が検討されている。
（参考文献４）B. Irwin and N. Pilkington, "High Level Internet Scale Traffic Visualization Using Hilbert Curve Mapping", VizSEC, 2007, pp147-158
この調査では、ＩＰｖ４アドレスの第１〜３オクテットの情報を１２次のヒルベルト曲線上に配置することで２次元グラフを作成する。配置結果の一部を図４に示す。
【００２２】
（攻撃者ＩＰアドレスのクラスタリング）
２次元グラフ上にＩＰアドレスを配置することで、ＩＰアドレス間の距離を座標によって定義できる。この調査では、ヒルベルト曲線を用いた格子上にＩＰアドレスを配置していることから、距離関数としてマンハッタン距離を適用する。ｋ次元ベクトル点Ａ（ａ１，ａ２，…，ａｋ）、点Ｂ（ｂ１，ｂ２，…，ｂｋ）があるとき、ＡＢ間のマンハッタン距離ｄは次式で定義できる。
【００２３】
【数１】
【００２４】
但し、ＩＰアドレスが距離的に隣接していたとしても、複数のＡＳ（Autonomous System：インターネットなどの大規模ＩＰネットワーク内にある、各組織が保有・運用する自立したネットワーク）に割り当てられた各ＩＰアドレスの特徴はネットワーク構造的に異なる。そこで、点Ａと点Ｂに相当するＩＰアドレスが異なるＡＳ番号を持つ場合はｄ（Ａ，Ｂ）＝∞とすることで、ネットワーク構造を距離に反映させる。距離に基づいてＩＰアドレスをクラスタリングし、異なるハニーポットで収集したＩＰアドレスが混在するクラスタを調査する。本稿で適用した階層的クラスタリングの手順を以下に示す。ここでクラスタ間の距離は、最遠隣法を用いて定義する。最遠隣法とは、各クラスタから抽出したＩＰアドレスの最長距離をクラスタ間の距離とする方法である。
【００２５】
１．ＩＰアドレス間の距離ｄを計算する。
２．距離ｄが最小のＩＰアドレス間でクラスタを生成する。
３．生成したクラスタと他クラスタ及び他ＩＰアドレスに対して、距離が最小の２つを結合してクラスタを生成する。
４．全てのクラスタ、ＩＰアドレスが結合されるまで１〜３を繰り返す。
【００２６】
上記のクラスタ形成過程の一部を図５に示す。図５では、縦軸がＩＰアドレス間の距離ｄを示しており、横軸にＩＰアドレスを配置し、距離３において縦軸で各ＩＰアドレスを結合することで、デンドログラムを生成している。ここで、距離に応じて木構造を分割し、一定の距離以内のＩＰアドレス群をクラスタとして抽出する。各クラスタに異なるハニーポットで収集した攻撃者ＩＰアドレスが混在する場合、このクラスタを混在クラスタと定義し、異なる種類の攻撃が近傍のＩＰアドレスを用いて実施されていると判断する。
【００２７】
（攻撃者ＩＰアドレスの分析）
提案の相関解析では、クラスタリングするＩＰアドレス間の距離に応じて、クラスタ内のＩＰアドレスの特性が変化する。そこで、距離に応じたクラスタ数とクラスタ内ＩＰアドレス数の変化を調査した。なお、今回は、図１に示すデータを用いた評価実験１と、ＣＣＣ ＤＡＴＡｓｅｔ ２０１０・２０１１とＤ３Ｍ ２０１０・２０１１（参考文献５参照）を用いた評価実験２を実施した。
（参考文献５）畑田充弘, 中津留勇, 秋山満昭, "マルウェア対策のための研究用データセット〜MWS2011 Datasets〜"，MWS2011, 2011 年10月
【００２８】
評価実験２で用いたＩＰアドレスの概要を図６に示す。さらに、Ｗｉｎｄｏｗｓ（登録商標）ＯＳへの攻撃を収集した結果であるＣＣＣＤＡＴＡｓｅｔとＷｅｂクライアントへの攻撃を収集した結果であるＤ３Ｍにおいて重複したＩＰアドレス数を図７に示す。
【００２９】
各評価実験において、クラスタリングする際の距離に対する、総クラスタ数や混在クラスタ数及び混在クラスタ内の総ＩＰアドレス数を調査した結果を図８と図９に示す。一般的に、距離の増加に伴ってクラスタ内のＩＰアドレスは増加する。このため、距離に対して、総クラスタ数は単調減少し、混在クラスタの発生確率は単調増加する。図８では、距離６において混在クラスタ数が最大値を示している。これは、１つの混在クラスタ中に含まれるＩＰアドレス群の範囲が広がり、全体の混在クラスタ数が減少したためだと考えられる。さらに、図８では、混在クラスタ内の総ＩＰアドレス数は距離に応じて増加している。総ＩＰアドレス数の増加は、異種ハニーポット間で重複して観測される可能性が低いＩＰアドレスが混在する原因となる可能性もある。このため、距離６によってクラスタリングすることで、異種ハニーポット間で重複して観測される可能性が高いＩＰアドレスを効率的に抽出できると考えられる。なお、図９では図８のような現象を確認できない。これは、図１と図６に示すように、データ内に含まれるＩＰアドレス数が異なっているためだと考えられる。以上から、相関解析の対象となるＩＰアドレス数に応じて、適切な距離でＩＰアドレスをクラスタリングすることで、異種ハニーポット間で重複して観測される可能性が高いＩＰアドレスを効率的に抽出できると考えられる。本調査により、攻撃者が使用するＩＰアドレス空間において、複数のハニーポットで収集した攻撃者ＩＰアドレスが密集する空間の存在が明らかになった。この現象は、特定のＩＰアドレス空間における、複数種類のマルウェア検体への多重感染や、攻撃者によるボットの有効活用に起因して発生しているものと考えられる。データセットのＩＰアドレス数が示すように、各ハニーポットで収集できる攻撃者ＩＰアドレス数には大きな偏りがある。具体的には、近年脅威が増大しているＷｅｂブラウザやＷｅｂアプリケーションの脆弱性を対象とした攻撃と比較して、Ｗｉｎｄｏｗｓ（登録商標）ＯＳの脆弱性を対象とした従来の機械的な攻撃件数が非常に多い。このため、Ｗｉｎｄｏｗｓ（登録商標）ＯＳの脆弱性への攻撃を送信するＩＰアドレスに対して提案の相関解析を適用することで、悪性ＷｅｂサイトやＭＤＳ及びマルウェア検体などの攻撃者情報を効率的かつ効果的に収集できる可能性が高いと考えられる。
【００３０】
攻撃者ＩＰアドレスをその距離に応じてクラスタリングすることで、異なるハニーポットで収集したＩＰアドレスが混在する可能性が高いＩＰアドレス空間を抽出できる。さらに、Ｗｉｎｄｏｗｓ（登録商標）ＯＳの脆弱性への攻撃の情報を用いて、ＷｅｂブラウザやＷｅｂアプリケーションに対する攻撃への対策を加速させることで、多種多様な攻撃からユーザを保護可能なネットワークを構築できると考えられる。
【００３１】
本発明は、上述の調査結果に基づき、混在クラスタを発見する技術を実現するものである。以下、本発明の実施形態について説明する。なお、以下の説明に用いる図面では、同じ機能を持つ構成部や同じ処理を行うステップには同一の符号を記し、重複説明を省略する。
【００３２】
＜第一実施形態に係る攻撃情報管理システム１０＞
図１０は、本実施形態に係る攻撃情報管理システム１０のネットワーク構成例を示す。攻撃情報管理システム１０は、攻撃情報管理装置１００と、Ｗｅｂサーバ型囮システム２２及び３２と、Ｗｅｂクライアント型囮システム３３及び４２と、ＯＳ型囮システム５２及び５３とを含む。攻撃情報管理装置１００とＷｅｂサーバ型囮システム２２とはネットワーク２１を介して接続され、攻撃情報管理装置１００とＷｅｂサーバ型囮システム３２及びＷｅｂクライアント型囮システム３３とはネットワーク３１を介して接続され、攻撃情報管理装置１００とＷｅｂクライアント型囮システム４２とはネットワーク４１を介して接続され、攻撃情報管理装置１００とＯＳ型囮システム５２及び５３とはネットワーク５１を介して接続される。言い換えると、各囮システム２２、３２、３３、４２、５２及び５３は、ネットワーク２１、３１、４１及び５１を経由して攻撃情報管理装置１００との到達性が確保されている。インターネットに代表される広域ネットワーク６１に対して、Ｗｅｂサーバ型囮システム２２及び３２と、Ｗｅｂクライアント型囮システム３３及び４２と、ＯＳ型囮システム５２及び５３とが配置される。
【００３３】
各囮システム２２、３２、３３、４２、５２及び５３は、それぞれ既存の技術（例えば上述の従来技術）を用いて、マルウェアに関する情報を収集する。
【００３４】
＜攻撃情報管理装置１００＞
図１１は攻撃情報管理装置１００の機能構成例を、図１２は攻撃情報管理装置１００の処理フローを示す。攻撃情報管理装置１００は、攻撃情報分析部１１０と、攻撃情報管理部１２０と、攻撃情報管理テーブル１２１と、クラスタ管理テーブル１２２と、囮システム管理部１３１と、囮システム情報収集部１３２と、囮システム通知部１３３とを含む。
【００３５】
（囮システム管理部１３１）
囮システム管理部１３１は、攻撃情報管理装置１００が収容する各囮システムに通知を送受信するために必要となる転送情報を保有する。転送情報とは、例えば、囮システムのＩＰアドレス等である。さらに、囮システム管理部１３１は、各囮システムの状態を管理する機能を有している。以下、後述する囮システム情報収集部１３２が攻撃情報の収集する方法としては、（１）各囮システムがトラップとして自律的に攻撃情報を送信する方法や（２）攻撃情報管理装置１００がポーリングをして自律的に各囮システムが保有する攻撃情報を閲覧し収集する方法等が考えられる。各方法における各囮システムの状態を管理する方法を例示する。
【００３６】
（トラップの場合）囮システム管理部１３１は、各囮システムからトラップを受信する際に必要となるメッセージの送受信の状態を管理する（図１３参照）。さらに、トラップを受信した時間を記憶する機能を有してもよい。
【００３７】
（ポーリングの場合）囮システム管理部１３１は、各囮システムにポーリングを行う際に必要となるメッセージの送受信の状態を管理する。さらに、タイマを保有し、各囮システムに対する次のポーリングまでの残り時間を管理する（図１４参照）。
【００３８】
（囮システム情報収集部１３２）
囮システム情報収集部１３２は、囮システム管理部１３１の情報に基づき、攻撃情報管理装置１００が収容する各囮システムから攻撃情報を収集し、後述する攻撃情報管理部１２０に攻撃情報と囮システムの種別との組合せを送信する。
【００３９】
例えば、（１）トラップを受信した場合には、その送信元ＩＰアドレスが、囮システム管理部１３１に保有されている転送情報に存在するか否かを確認し、存在する場合には、その攻撃情報と囮システムの種別を受信する。存在しない場合には、そのトラップを破棄する。また、前回の受信時間から所定時間以上超えた場合には、囮システム情報収集部１３２が対応する囮システムに対して新たな攻撃情報がないかを問合せる構成としてもよい。
【００４０】
（２）ポーリングの場合には、残り時間が０になったときに、対応する囮システムの転送情報を囮システム管理部１３１から取得し、その囮システムを閲覧し、新たな攻撃情報がある場合には、その攻撃情報と囮システムの種別を受信する。なお、各囮システムが所定時間を越えると、囮システム情報収集部１３２に全ての攻撃情報、または、新たな攻撃情報を送信する構成としてもよい。
【００４１】
トラップやポーリングの送受信に関する技術は従来技術を応用でき、例えば、ルータやスイッチの故障を管理するサーバや、ルータやスイッチのトラヒック情報を管理するサーバにおいて用いる技術を応用することで、上述のトラップやポーリングの送信を実現できる。また、囮システムから攻撃情報を収集する方法としてトラップやポーリング以外の従来技術を用いてもよい。
【００４２】
（囮システム通知部１３３）
囮システム通知部１３３は、囮システム管理部１３１の転送情報を用いて、各囮システムへの制御指示を送信する。具体的には、各囮システムと制御指示とのインターフェースを規定し、後に記述する攻撃情報管理部１２０が生成した制御指示をインターフェース規定に従った通知に変換して送信する。制御指示の内容については後述する。
【００４３】
（攻撃情報管理テーブル１２１）
攻撃情報管理テーブル１２１には、攻撃情報と、その攻撃情報を収集した囮システムの種別と、クラスタ識別子との組合せが記憶される（図１５参照）。
【００４４】
攻撃情報は、マルウェアに関する情報であって、各囮システムが収集した情報である。各囮システムが収集した情報を記憶する機能を有している場合には、その記憶している情報と同じ情報を攻撃情報としてもよい。攻撃情報は、具体的には図１５に示すように、攻撃に使用されたＩＰアドレスやＵＲＬが該当するが、観測時間や攻撃コードや収集した検体など、他の情報を含んでもよい。
【００４５】
囮システムの種別は、対象とするマルウェアの攻撃経路によって区別される。本実施形態では、上述のＯＳ型囮システム、Ｗｅｂクライアント型囮システム、Ｗｅｂサーバ型囮システム（図中それぞれ「ＯＳ」、「Ｗｅｂクライアント」、「Ｗｅｂサーバ」と示す）としているが、その他の種別の囮システムを用いてもよい。例えば、Ａｎｄｒｏｉｄ（登録商標）ＯＳやＡｎｄｒｏｉｄ（登録商標）用ブラウザの脆弱性を対象として攻撃するマルウェアの攻撃情報を収集する囮システム等が考えられる。
【００４６】
クラスタ識別子は、後述する攻撃情報分析部１１０において、クラスタリングされた攻撃情報が所属するクラスタの識別子である。
【００４７】
なお、攻撃情報管理装置１００が収容する各囮システムに識別子（以下「囮システム識別子」という）を付与しておき、攻撃情報管理テーブル１２１の囮システムの種別には、囮システム識別子を記憶する構成としてもよい。この場合、囮システム識別子と囮システムの種別の対応関係を別のテーブルに記憶しておき、後述するクラスタ属性は、囮システムの種別に応じて変更する。例えば、Ｗｅｂサーバ型ハニーポットを複数収容する場合は、Ｗｅｂサーバ１やＷｅｂサーバ２と、囮システムを区別し、攻撃情報管理テーブル１２１の囮システム種別欄には、その囮システム識別子Ｗｅｂサーバ１やＷｅｂサーバ２を記憶する。さらに、別のテーブルに囮システム識別子Ｗｅｂサーバ１やＷｅｂサーバ２を、囮システムの種別「Ｗｅｂサーバ」に対応付けて記憶する。このような構成とすることで、攻撃情報に応じて、囮システムの種別毎ではなく、個々の囮システム毎に制御指示を通知することができる。
【００４８】
（クラスタ管理テーブル１２２）
クラスタ管理テーブル１２２には、クラスタ識別子とクラスタ属性との組合せが記憶される（図１６参照）。
【００４９】
クラスタ属性とは、クラスタに所属する攻撃情報が一つの種別の囮システムから得られたものか、複数の種別の囮システムから得られたものかを示すものであって、一つの種別の囮システムから得られたものの場合には、その種別をクラスタ属性とし、複数の種別の囮システムから得られたものの場合には、「混在」をクラスタ属性とする。以下、クラスタ属性が「混在」であるクラスタを混在クラスタという。
【００５０】
例えば、図１５の例では、三つのエントリに対しクラスタ識別子２０１が付与されている。そして、その三つのエントリの囮システム種別は、「Ｗｅｂクライアント」、「ＯＳ」、「Ｗｅｂサーバ」であり、クラスタ識別子２０１に所属する攻撃情報は複数の種別の囮システムから得られたものである。よって、図１６では、クラスタ属性を「混在」として記憶する。また、二つのエントリに対しクラスタ識別子１０２が付与されている。そして、その二つのエントリの囮システム種別は、「Ｗｅｂクライアント」であり、クラスタ識別子１０２に所属する攻撃情報は同一の種別の囮システムから得られたものである。よって、図１６では、クラスタ属性を「Ｗｅｂクライアント」として記憶する。
【００５１】
（攻撃情報管理部１２０）
攻撃情報管理部１２０は、囮システム情報収集部１３２から攻撃情報と、その攻撃情報を収集した囮システムの種別との組合せを受信し（ｓ１、図１２参照）、その組合せが既に攻撃情報管理テーブル１２１に存在するか否かを判定する。重複する組合せが存在する場合（ｓ２）、重複する組合せを更新する（ｓ３）。なお、既存のテーブル管理方式を用いて更新すればよい。例えば、過去の情報を削除する方式や、最新情報をアクティブな情報として登録するとともに過去の情報をアーカイブする方式や、過去の観測回数のカウンタを設置する方式等がある。
【００５２】
重複する組合せが存在しない場合（ｓ２）、攻撃情報管理テーブル１２１にその組合せを記憶（登録）するとともに、その攻撃情報が所属するクラスタを後に記述する攻撃情報分析部１１０に問合せる（ｓ４）。
【００５３】
後述する攻撃情報分析部１１０は、問合せを受けた攻撃情報を用いてクラスタリングを行い（ｓ５）、その結果を攻撃情報管理部１２０に返す。なお、クラスタリングの手法としては既存の技術を用いることができる。例えば、（１）過去の攻撃情報とそのクラスタとの関係を維持したまま、問合せを受けた攻撃情報を何れかのクラスタ、または、新たなクラスタに所属させてもよい。この場合、クラスタリングの結果として、問合せを受けた攻撃情報のクラスタ識別子のみを攻撃情報管理部１２０に返す。また、（２）過去の攻撃情報とクラスタとの関係を維持せずに、問合せを受けた攻撃情報と過去の攻撃情報とをまとめてクラスタリングし、全ての攻撃情報を新たなクラスタに所属させてもよい。この場合、クラスタリングの結果として、全ての攻撃情報とそのクラスタ識別子の組合せを攻撃情報管理部１２０に返す。何れの場合であっても問合せを受けた攻撃情報のクラスタ識別子は少なくとも返す。
【００５４】
攻撃情報管理部１２０は、クラスタリングの結果を受け取り、攻撃情報管理テーブル１２１の対応するエントリのクラスタ識別子欄に問合せ結果を記憶する（ｓ６）。なお、（１）過去の攻撃情報とクラスタとの関係を維持したままクラスタリングを行った場合には、問合せを受けた攻撃情報に対するクラスタ識別子のみを受け取り、その攻撃情報のクラスタ識別子欄に記憶する。また（２）過去の攻撃情報とクラスタとの関係を維持せずに、問合せを受けた攻撃情報と過去の攻撃情報とをまとめてクラスタリングを行った場合、全ての攻撃情報と各攻撃情報に対応するクラスタ識別子の組合せを受け取り、問合せを受けた攻撃情報に対するクラスタ識別子をその攻撃情報のクラスタ識別子欄に記憶し、さらに、各攻撃情報とそのクラスタ識別子の対応関係に変更があった場合には、変更があった攻撃情報のクラスタ識別子欄を更新する。
【００５５】
さらに、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、攻撃情報管理部１２０はクラスタ管理テーブル１２２を変更する（ｓ８）。例えば、（１）ＯＳ型囮システムで収集された攻撃情報が何れのクラスタにも属さず、新たなクラスタを設けた場合には、その新たなクラスタ識別子をクラスタ管理テーブル１２２のクラスタ属性「ＯＳ」に関連付けて記憶する。また、（２）Ｗｅｂサーバ型囮システムで収集された攻撃情報のみが存在していたクラスタに他の囮システムで収集された攻撃情報が割り当てられた場合、攻撃情報管理部１２０は、クラスタ管理テーブル１２２のクラスタ識別子に対するクラスタ属性を「Ｗｅｂサーバ」から「混在」に変更する。
【００５６】
なお、囮システム情報収集部１３２から攻撃情報としてＵＲＬ情報のみを通知された場合、攻撃情報管理部１２０は、インターネット上の情報を用いて当該ＵＲＬに該当するＩＰアドレスを特定して攻撃情報として攻撃情報管理テーブル１２１に記憶する構成としてもよい。この際のインターネット上の情報としては、ｗｈｏｉｓ情報やＤＮＳ情報が該当するため、情報の収集は既存の技術で実現できる。
【００５７】
また、Ｗｅｂサーバ型囮システムでは、一回の攻撃で攻撃元とＭＤＳの攻撃情報が収集される場合がある。また、Ｗｅｂクライアント型囮システムでは、一回の攻撃で複数の改竄されたＷｅｂサイトや攻撃コードを送信するＷｅｂサイトの攻撃情報が収集される場合がある。この場合、攻撃情報管理部１２０は、攻撃情報の欄を追記し、攻撃元とＭＤＳを識別する情報を記述したり、改竄されたＷｅｂサイトであるか攻撃コードを送信するＷｅｂサイトであるかを識別する情報を記述したりしてもよい。また、攻撃情報の欄を追記し、一回の攻撃に関する情報に一つの識別子を付与することで、一回の攻撃で収集した攻撃情報を特定できるようにしてもよい。
【００５８】
（攻撃情報分析部１１０）
攻撃情報分析部１１０は、攻撃情報管理部１２０から攻撃情報に対するクラスタ識別子の問合せを受信した際に、受信した攻撃情報に基づきクラスタリングを行う。この際、攻撃情報分析部１１０は、過去の分析データを保有しておき、これを用いてクラスタリングを行ってもよいし、攻撃情報管理テーブル１２１を閲覧することで分析に必要な攻撃情報を収集しクラスタリングしてもよい。
【００５９】
攻撃情報分析部１１０は、（１）新たに受信した攻撃情報が、既に過去の攻撃情報から作成したクラスタの何れかに所属するか否かを判定してもよいし、（２）新たに受信した攻撃情報と過去の攻撃情報を用いてクラスタリングをしなおしてもよい。（１）の場合はクラスタリングの結果として新たに受信した攻撃情報に対するクラスタ識別子のみを攻撃情報管理部１２０に送信し、（２）の場合はクラスタリングの結果として全ての攻撃情報と各攻撃情報に対応するクラスタ識別子の組合せを攻撃情報管理部１２０に送信する。
【００６０】
クラスタリングする方式は、複数の方式が考えられる。例えば、調査２において説明した方式などがある。攻撃情報に記述されたＩＰアドレスの距離が一定値以下のＩＰアドレス群をクラスタリングする場合、例えば、ヒルベルト曲線上にＩＰアドレスを配置して二次元グラフを作成してＩＰアドレス間の距離を計算する手法や、ＩＰアドレスをビット列に変換して距離を計測する手法や、ＩＰアドレスのビット列を１０進法に変換して距離を計測する手法がある。また、クラスタリングの際には、階層的クラスタリングなどの既存手法が適用できる。
【００６１】
なお、クラスタリングする際の距離はオペレータが設定する。例えば、図８に示すように、混在クラスタ数が最大となる距離が存在する場合には、その距離をクラスタの距離として設定することで、異なる種別の囮システム間で重複して観測される可能性が高いＩＰアドレスを効率的に抽出できる。
【００６２】
また、ＩＰアドレスの距離に基づいてクラスタリングする場合、ＩＰアドレスを保有するＡＳ（autonomous system）を加味する必要がある。これは、ＡＳによってネットワーク構造が大きく異なり、ＩＰアドレスが隣接していたとしても、ＡＳが異なればネットワーク構造的には隣接に存在するとはいえないためである。ＩＰアドレスのＡＳ情報は前述のｗｈｏｉｓ情報やＤＮＳ情報のようにインターネット上の情報から特定できる。このため、攻撃情報分析部１１０は、ＩＰアドレスの距離でクラスタリングする場合は、ＡＳ情報を収集し、ＡＳが異なるＩＰアドレス間の距離を無限大としてクラスタリングする。
【００６３】
攻撃情報分析部１１０は、クラスタリングの計算結果を攻撃情報管理部１２０に送信する。
【００６４】
図１７は、ヒルベルト曲線上にＩＰアドレスを配置し、ＩＰアドレスを距離でクラスタリングした際の概要を示している。図中、◎は複数の囮システムで収集されたＩＰアドレスを、○はＷｅｂサーバ型囮システムで収集されたＩＰアドレスを、破線の○はＷｅｂクライアント型囮システムで収集されたＩＰアドレスを、●はＯＳ型囮システムで収集されたＩＰアドレスを、一点鎖線の○はクラスタを示す。ヒルベルト曲線上にＩＰアドレスを配置する場合、全ＩＰアドレスは二次元グラフ上に配置される。このため、ＩＰアドレス間の距離は、ユークリッド距離でも、マンハッタン距離でも表現できる。距離でクラスタリングした場合、例えば一点鎖線の○で示すＩＰアドレス群がクラスタリングされる。この際、異なる種類の囮システムで収集されたＩＰアドレスが混在するクラスタが発生する。なお、図中、左上に一点鎖線の○が重複する箇所が存在する。重複を許容する場合は一つのＩＰアドレスが複数のクラスタに属することになるため、当該エントリのクラスタ識別子に複数の番号が付与される。重複を許容するか否かはクラスタリング手法により異なる。クラスタは攻撃情報管理テーブル１２１における１エントリから構成される場合もある。
【００６５】
＜効果＞
このような構成により、攻撃情報をクラスタリングすることで、異なる囮システムで収集した攻撃情報が混在する可能性が高い領域を抽出することができる。混在クラスタは、異なる種別の囮システムで収集したＩＰアドレスが混在する可能性が高いＩＰアドレス空間を示すことになる。
【００６６】
よって、混在クラスタに所属するＩＰアドレス領域をブラックリストとし、セキュリティアプライアンスにおけるフィルタリングに利用することができる。
【００６７】
さらに、このＩＰアドレス空間に対して囮システムを仕掛けることでより効率的にさらなる攻撃情報を収集することができる。このため、複数種類の囮システムを用いた攻撃情報の収集を効率化できる。以下、混在クラスタのＩＰアドレス空間に対して囮システムを仕掛ける方法を説明する。
【００６８】
＜混在クラスタを利用した攻撃情報の収集方法＞
攻撃情報管理部１２０は、新たな攻撃情報のクラスタ識別子がクラスタ属性「混在」に関連付けられた際に、各囮システムに制御指示を送信するよう囮システム通知部１３３に通知する。
【００６９】
攻撃情報管理部１２０は、混在クラスタに関する情報に基づき、混在クラスタ内を各囮システムが検査するように制御指示を作成する。
【００７０】
例えば、Ｗｅｂサーバ型囮システムやＯＳ型囮システムにおいて新たに収集した攻撃情報が、Ｗｅｂクライアント型囮システムで収集した攻撃情報と同一のクラスタに属した場合、攻撃情報管理部１２０は、混在クラスタに所属するＩＰアドレスやＵＲＬに対して、前述のｗｈｏｉｓ情報やＤＮＳ情報などインターネット上の情報を参照することで、対応するホスト情報を特定し、ホスト情報が含まれるＵＲＬを検索エンジンで検索することで、当該ＩＰアドレスやＵＲＬを保有するホストに対応するＵＲＬリストを抽出する。抽出したＵＲＬリストを各Ｗｅｂクライアント型囮システムが巡回検査するように制御指示を作成する。囮システム通知部１３３は、上述の通知を受け取ると、制御指示を各Ｗｅｂクライアント型囮システムのインターフェース規定に従った形式に変換して送信する。
【００７１】
なお、上述の場合、各囮システムが、ホスト情報の特定、ＵＲＬ抽出を行う構成としてもよい。その場合、攻撃情報管理部１２０は、混在クラスタのＩＰアドレス空間を制御指示の一部とし、各Ｗｅｂクライアント型囮システムがそれに基づきホスト情報の特定、ＵＲＬ抽出し、抽出したＵＲＬリストを巡回検査するように制御指示を作成すればよい。
【００７２】
また、Ｗｅｂクライアント型囮システムやＯＳ型囮システムにおいて新たに収集した攻撃情報が、Ｗｅｂサーバ型囮システムで収集した攻撃情報と同一のクラスタに属した場合、攻撃情報管理部１２０は、混在クラスタに所属するＩＰアドレスやＵＲＬに対して、前述のｗｈｏｉｓ情報やＤＮＳ情報等インターネット上の情報を参照することで、対応するホスト情報を特定し、ホスト情報が含まれるＵＲＬを検索エンジンで検索することで、当該ＩＰアドレスやＵＲＬを保有するホストに対応するＵＲＬリストを抽出する。抽出したＵＲＬリストを各Ｗｅｂサーバ型囮システムで検査するように制御指示を作成する。囮システム通知部１３３は、上述の通知を受け取ると、制御指示を各Ｗｅｂサーバ型囮システムのインターフェース規定に従った形式に変換して送信する。この際、Ｗｅｂサーバ型囮システムにおいては、攻撃者の役割を攻撃情報管理装置１００が担う場合や攻撃者の役割を保有する機能をＷｅｂサーバ型囮システムに保有させる場合等がある。前者の場合、攻撃情報管理装置１００は、Ｗｅｂサーバ型囮システムに対し、自身が抽出したＵＲＬリストに記載された各ＵＲＬへのファイル取得命令を送信する。この場合、命令を受けたＷｅｂサーバ型囮システムは、攻撃者から命令を受けた際と同じく、ＵＲＬからファイルをダウンロードして実行するため、マルウェアが配置されたＵＲＬを特定できる。一方、後者の場合、攻撃情報管理装置１００は、ＵＲＬをＷｅｂサーバ型囮システムに通知し、通知を受信したＷｅｂサーバ型囮システムが、自身の内部で当該ＵＲＬに対するファイル取得を、攻撃者からのアクセスを当該ＵＲＬを用いる形で再現することで、実施する。この結果、Ｗｅｂサーバ型囮システムは、攻撃者からの命令を受けたサイトと同じく、ＵＲＬからファイルをダウンロードして実行するため、マルウェアが配置されたＵＲＬを特定できる。
【００７３】
なお、上述の場合、各囮システムが、ホスト情報の特定、ＵＲＬ抽出を行う構成としてもよい。その場合、攻撃情報管理部１２０は、混在クラスタのＩＰアドレス空間を制御指示の一部とし、各Ｗｅｂサーバ型囮システムがそれに基づきホスト情報の特定、ＵＲＬ抽出し、抽出したＵＲＬリストを検査するように制御指示を作成すればよい。
【００７４】
このような構成とすることで、無作為に検査するよりも効率的に攻撃情報を収集できる。
【００７５】
＜その他の変形例＞
第一実施形態では、攻撃情報のうち、ＩＰアドレスを用いてクラスタリングを行っているが、ＵＲＬ等他の情報を用いてクラスタリングを行ってもよい。例えば、ＵＲＬの場合はドメイン名やパス名でクラスタリングを行う。
【００７６】
ネットワーク２１、３１、４１及び５１は、管理用ネットワークとして他のネットワークと独立させ専用回線としてもよい。また、本実施形態では、ネットワークが複数のネットワーク２１、３１、４１及び５１によって構成されているが一つのネットワークで構成してもよい。
【００７７】
なお、攻撃情報管理テーブル１２１は、囮システムの種別、攻撃情報、クラスタ識別子に加えて、他の攻撃と重複する攻撃情報を保有するエントリにフラグを立てるための欄を追加してもよい（図１８参照）。この場合、攻撃情報管理部１２０は、囮システム情報収集部１３２から攻撃情報と囮システムの種別を受け取り、攻撃情報が同一の場合には、重複欄にフラグを立てる。この場合、攻撃情報分析部１１０は、囮システムの種別が異なり、攻撃情報が重複するエントリが混在するクラスタ（以下「重複混在クラスタ」という）に対して、そのことを示すクラスタ属性を付与してもよい（図１９参照）。攻撃情報管理部１２０は、攻撃情報分析部１１０からクラスタ識別子と攻撃情報を受け取ると、そのクラスタ識別子をクラスタ属性「重複混在」に関連付けてクラスタ管理テーブルに記憶（登録）する。図１８及び図１９の例では、クラスタ識別子「２０１」は、囮システム種別「Ｗｅｂクライアント」と「ＯＳ」の間で攻撃情報が同一である。よって、クラスタ識別子「２０１」をクラスタ属性「重複混在」に関連付けて記憶する。
【００７８】
重複ＩＰアドレスからの距離が一定値以内のＩＰアドレス空間は、異なる種別の囮システムで収集したＩＰアドレスが混在する可能性が高いと考えられるので、攻撃情報分析部１１０は、重複ＩＰアドレスからの距離が一定値以内のＩＰアドレスをクラスタリングする構成とする。図２０は、ヒルベルト曲線上にＩＰアドレスを配置し、複数の囮システムで観測されたＩＰアドレスに近接したＩＰアドレスをクラスタリングした際の概要を示している。この場合、図１７の結果とクラスタリングの結果が異なる。このため重複混在クラスタを特別なクラスタとして個別に管理してもよい。
【００７９】
さらに、混在クラスタや重複混在クラスタに関して、どの囮システム種別の情報が混在するかを管理してもよい。具体的には、図２１に示すクラスタ管理テーブル１２２を保有する。この際、重複混在クラスタを管理しない場合は、それ以外のクラスタ属性から構成されるテーブルとすればよい。このような構成とすることで、特定の種別の囮システムから攻撃情報を集中的に収集することができる。例えば、Ｗｅｂブラウザの脆弱性を対象として攻撃するマルウェアに関する攻撃情報を集中的に収集したい場合には、「Ｗｅｂクライアント」と他の囮システム（「ＯＳ」や「Ｗｅｂサーバ」）との混在クラスタに対して囮システムを仕掛ければよい。
【００８０】
本発明は上記の実施形態及び変形例に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。
【００８１】
＜プログラム及び記録媒体＞
上述した攻撃情報管理装置１００及び各囮システムは、コンピュータにより機能させることもできる。この場合はコンピュータに、目的とする装置（各種実施例で図に示した機能構成をもつ装置）として機能させるためのプログラム、またはその処理手順（各実施例で示したもの）の各過程をコンピュータに実行させるためのプログラムを、ＣＤ−ＲＯＭ、磁気ディスク、半導体記憶装置などの記録媒体から、あるいは通信回線を介してそのコンピュータ内にダウンロードし、そのプログラムを実行させればよい。
【特許請求の範囲】
【請求項１】
囮システムが収集したマルウェアに関する情報（以下「攻撃情報」という）を管理する攻撃情報管理システムであって、
複数の種別の前記囮システムと、前記攻撃情報を管理する攻撃情報管理装置とを含み、
前記攻撃情報管理装置は、
前記攻撃情報をクラスタリングする攻撃情報分析部と、
前記攻撃情報と、その攻撃情報を収集した前記囮システムの種別と、クラスタリングされたその攻撃情報が所属するクラスタのクラスタ識別子との組合せが記憶される攻撃情報管理テーブルと、
クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルと、
前記攻撃情報を受信すると、その攻撃情報とその攻撃情報を収集した前記囮システムの種別との組合せを前記攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを前記攻撃情報分析部に問合せ、クラスタリングの結果として、その攻撃情報のクラスタ識別子を受け取り、前記攻撃情報管理テーブルに記憶し、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、前記クラスタ管理テーブルを変更する攻撃情報管理部とを含む、
攻撃情報管理システム。
【請求項２】
囮システムが収集したマルウェアに関する情報（以下「攻撃情報」という）を管理する攻撃情報管理装置であって、
前記攻撃情報をクラスタリングする攻撃情報分析部と、
前記攻撃情報と、その攻撃情報を収集した前記囮システムの種別と、クラスタリングされたその攻撃情報が所属するクラスタのクラスタ識別子との組合せが記憶される攻撃情報管理テーブルと、
クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルと、
前記攻撃情報を受信すると、その攻撃情報とその攻撃情報を収集した前記囮システムの種別との組合せを前記攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを前記攻撃情報分析部に問合せ、クラスタリングの結果として、その攻撃情報のクラスタ識別子を受け取り、前記攻撃情報管理テーブルに記憶し、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、前記クラスタ管理テーブルを変更する攻撃情報管理部とを含む、
攻撃情報管理装置。
【請求項３】
請求項２記載の攻撃情報管理装置であって、
前記攻撃情報はＩＰアドレスであり、
前記攻撃情報分析部は、ＩＰアドレス間の距離が一定値以下のＩＰアドレス群を同一のクラスタとする、
攻撃情報管理装置。
【請求項４】
請求項３記載の攻撃情報管理装置であって、
前記攻撃情報分析部は、複数の種別の囮システムから同一のＩＰアドレスが得られた場合には、そのＩＰアドレスからの距離が一定値以内のＩＰアドレスを同一のクラスタとしてクラスタリングする、
攻撃情報管理装置。
【請求項５】
請求項３または４記載の攻撃情報管理装置であって、
前記攻撃情報分析部は、ＩＰアドレスに対応するＡＳ番号を用いて、異なるＡＳに所属するＩＰアドレス間の距離を無限大としてクラスタリングする、
攻撃情報管理装置。
【請求項６】
請求項２〜５の何れかに記載の攻撃情報管理装置であって、
前記攻撃情報管理部は、複数の種別の囮システムから得られた攻撃情報が存在するクラスタに関する情報に基づき、そのクラスタ内を各囮システムが検査するように制御指示を作成する、
攻撃情報管理装置。
【請求項７】
囮システムが収集したマルウェアに関する情報（以下「攻撃情報」という）を管理する攻撃情報管理方法であって、
前記攻撃情報を受信するステップと、
前記攻撃情報とその攻撃情報を収集した前記囮システムの種別との組合せを攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを前記攻撃情報分析部に問合せるステップと、
前記攻撃情報をクラスタリングする攻撃情報分析ステップと、
前記攻撃情報の所属するクラスタを示すクラスタ識別子を前記攻撃情報管理テーブルに記憶するステップと、
前記クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルにおいて、前記クラスタリングの結果、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、クラスタ管理テーブルを変更するステップとを含む、
攻撃情報管理方法。
【請求項８】
請求項２〜６の何れかに記載の攻撃情報管理装置としてコンピュータを機能させるためのプログラム。
【請求項１】
囮システムが収集したマルウェアに関する情報（以下「攻撃情報」という）を管理する攻撃情報管理システムであって、
複数の種別の前記囮システムと、前記攻撃情報を管理する攻撃情報管理装置とを含み、
前記攻撃情報管理装置は、
前記攻撃情報をクラスタリングする攻撃情報分析部と、
前記攻撃情報と、その攻撃情報を収集した前記囮システムの種別と、クラスタリングされたその攻撃情報が所属するクラスタのクラスタ識別子との組合せが記憶される攻撃情報管理テーブルと、
クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルと、
前記攻撃情報を受信すると、その攻撃情報とその攻撃情報を収集した前記囮システムの種別との組合せを前記攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを前記攻撃情報分析部に問合せ、クラスタリングの結果として、その攻撃情報のクラスタ識別子を受け取り、前記攻撃情報管理テーブルに記憶し、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、前記クラスタ管理テーブルを変更する攻撃情報管理部とを含む、
攻撃情報管理システム。
【請求項２】
囮システムが収集したマルウェアに関する情報（以下「攻撃情報」という）を管理する攻撃情報管理装置であって、
前記攻撃情報をクラスタリングする攻撃情報分析部と、
前記攻撃情報と、その攻撃情報を収集した前記囮システムの種別と、クラスタリングされたその攻撃情報が所属するクラスタのクラスタ識別子との組合せが記憶される攻撃情報管理テーブルと、
クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルと、
前記攻撃情報を受信すると、その攻撃情報とその攻撃情報を収集した前記囮システムの種別との組合せを前記攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを前記攻撃情報分析部に問合せ、クラスタリングの結果として、その攻撃情報のクラスタ識別子を受け取り、前記攻撃情報管理テーブルに記憶し、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、前記クラスタ管理テーブルを変更する攻撃情報管理部とを含む、
攻撃情報管理装置。
【請求項３】
請求項２記載の攻撃情報管理装置であって、
前記攻撃情報はＩＰアドレスであり、
前記攻撃情報分析部は、ＩＰアドレス間の距離が一定値以下のＩＰアドレス群を同一のクラスタとする、
攻撃情報管理装置。
【請求項４】
請求項３記載の攻撃情報管理装置であって、
前記攻撃情報分析部は、複数の種別の囮システムから同一のＩＰアドレスが得られた場合には、そのＩＰアドレスからの距離が一定値以内のＩＰアドレスを同一のクラスタとしてクラスタリングする、
攻撃情報管理装置。
【請求項５】
請求項３または４記載の攻撃情報管理装置であって、
前記攻撃情報分析部は、ＩＰアドレスに対応するＡＳ番号を用いて、異なるＡＳに所属するＩＰアドレス間の距離を無限大としてクラスタリングする、
攻撃情報管理装置。
【請求項６】
請求項２〜５の何れかに記載の攻撃情報管理装置であって、
前記攻撃情報管理部は、複数の種別の囮システムから得られた攻撃情報が存在するクラスタに関する情報に基づき、そのクラスタ内を各囮システムが検査するように制御指示を作成する、
攻撃情報管理装置。
【請求項７】
囮システムが収集したマルウェアに関する情報（以下「攻撃情報」という）を管理する攻撃情報管理方法であって、
前記攻撃情報を受信するステップと、
前記攻撃情報とその攻撃情報を収集した前記囮システムの種別との組合せを攻撃情報管理テーブルに記憶し、その攻撃情報が所属するクラスタを前記攻撃情報分析部に問合せるステップと、
前記攻撃情報をクラスタリングする攻撃情報分析ステップと、
前記攻撃情報の所属するクラスタを示すクラスタ識別子を前記攻撃情報管理テーブルに記憶するステップと、
前記クラスタ識別子と、そのクラスタに所属する攻撃情報が複数の種別の囮システムから得られたものか否かを示すクラスタ属性との組合せが記憶されるクラスタ管理テーブルにおいて、前記クラスタリングの結果、クラスタ識別子とクラスタ属性の対応関係に変更があった場合、クラスタ管理テーブルを変更するステップとを含む、
攻撃情報管理方法。
【請求項８】
請求項２〜６の何れかに記載の攻撃情報管理装置としてコンピュータを機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【公開番号】特開２０１３−８５１２４（Ｐ２０１３−８５１２４Ａ）
【公開日】平成２５年５月９日（２０１３．５．９）
【国際特許分類】
【出願番号】特願２０１１−２２３７２２（Ｐ２０１１−２２３７２２）
【出願日】平成２３年１０月１１日（２０１１．１０．１１）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２５年５月９日（２０１３．５．９）
【国際特許分類】
【出願日】平成２３年１０月１１日（２０１１．１０．１１）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]