JP4330066B2 - 侵入検知システム、侵入検知方法および記録媒体 - Google Patents

Description

本発明は、外部ネットワークからの不正なアクセスを防止する侵入検知システム、侵入検知方法および記録媒体に関する。

図５は、従来の下位侵入検知装置５００を示す図である。

従来の下位侵入検知装置５００は、インターネットや外部で構築された外部ネットワーク１０と、侵入検知装置７０と、監視対象である内部ネットワーク８０とを有する。

侵入検知装置７０は、外部ネットワーク１０から内部ネットワーク８０への通信、内部ネットワーク８０から外部ネットワーク１０への通信、内部ネットワーク８０同士の通信を監視することが可能な位置に設置されている侵入検知装置である。

上記従来の侵入検知システム５００において、外部ネットワーク１０と、監視対象である内部ネットワーク８０との間に、侵入検知装置７０が単体で設置され、管理者があらゆる外部からの不正な攻撃を検知し、管理者の過去の経験等に基づいて、誤検知であるか、不正アクセスであるかを見極める（たとえば、特許文献１参照）。

さらに、侵入検知装置７０は、シグネチャという攻撃パターンと、監視対象ネットワークである内部ネットワーク８０上に流れるパケットとを、１つ１つ照らし合わせることによって、不正アクセスであるか否かを監視する。

つまり、従来の侵入検知システム５００において、侵入検知装置７０は、シグネチャ（ネットワーク上で過去に行われた犯罪を分析し、攻撃や不正なアクセスと見なせる要素を抽出した攻撃パターン）と、監視対象とするネットワーク上に流れてきた通信パケットとを照らし合わせ、不正な通信であるか否かを判断する。

侵入検知装置７０には、上記シグネチャが、侵入検知装置７０内のデータベース上に複数個存在する。侵入検知装置７０は、シグネチャデータベース内のシグネチャと、１つ１つの通信パケットとを順番に照らし合わせ、通信パケットとデータベース内のシグネチャの１つとが一致した場合、そのネットワーク上を流れてきた通信パケットを不正な通信と見なす。
特開２００２−３２８８９６号公報

上記従来例において、侵入検知装置７０に接続されている内部ネットワーク８０が攻撃を受けると、内部ネットワーク８０から外部に対して、２次被害となる攻撃をすることがある。この内部から外部に対する防御手段を、侵入検知装置７０が持っていないという問題がある。

つまり、上記従来例は、外部ネットワークからの不正な通信を監視するネットワークにおいて、２次被害を受けるという問題がある。

本発明は、外部ネットワークからの不正な通信を監視するネットワークにおいて、２次被害を受けない侵入検知システム、侵入検知方法および記録媒体を提供することを目的とするものである。

本発明は、上位ネットワークと複数の下位ネットワークとで構成されるネットワークに接続され、外部ネットワークからの不正な通信を監視する侵入検知システムであって、上記外部ネットワークと上記上位ネットワークとの間に設けられる上位侵入検知装置と、上記上位ネットワークとそれぞれの下位ネットワークとの間に設けられる複数の下位侵入検知装置とで構成され、上記下位侵入検知装置は、侵入検知に使用するシグネチャを、複数の上記下位侵入検知装置の間で互いに分割しあって、その一部のシグネチャを格納する格納手段と、不正な通信による当該下位侵入検知装置自身への攻撃を検知すると、当該自身の下位侵入検知装置に格納された上記シグネチャと警告内容とを上記上位侵入検知装置に転送する転送手段とを有する装置であり、上記上位侵入検知装置は、上記下位侵入検知装置から転送されたシグネチャをデータベースに格納し、当該データベースを利用して代理で侵入検知する装置であり、障害を起こした下位侵入検知装置を上記上位ネットワークから切り離すことを特徴とする侵入検知システムである。

本発明によれば、外部ネットワークからの不正な通信を監視するネットワークにおいて、２次被害を受けないという効果を奏する。

発明を実施するための最良の形態は、以下の実施例である。

図１は、本発明の実施例１である侵入検知システム１００を示す図である。

侵入検知システム１００は、外部ネットワーク１０と、上位侵入検知装置２０と、上位ネットワーク３０と、下位侵入検知装置４１、４２、４３と、下位ネットワーク（監視対象ネットワーク）５１、５２、５３とを有する。

上位侵入検知装置２０は、外部ネットワーク１０と上位ネットワーク３０との間に設けられている上位侵入検知装置であり、所定の上記下位侵入検知装置（たとえば、下位侵入検知装置４２）が障害を起こした場合、下位侵入検知装置４２以外の下位侵入検知装置４１、４３に、上記障害が起こったことを知らせる。

下位侵入検知装置４１、４２、４３は、上位ネットワーク２０と下位ネットワーク５１、５２、５３との間に設けられている侵入検知装置であって、不正な通信によって、下位侵入検知装置４１、４２、４３が故障または攻撃による障害を起こしたことを検知し、上記故障または攻撃による障害を起こしたことを、上位侵入検知装置２０に知らせる侵入検知装置である。

下位ネットワーク５１、５２、５３は、それぞれ、下位侵入検知装置４１、４２、４３の監視対象となる下位ネットワークである。

図２は、侵入検知システム１００における下位侵入検知装置４１、４２、４３、４４、４５の挙動を説明する図である。

図３は、シグネチャと呼ばれる攻撃を検知するための材料を記述したデータを示す図である。

シグネチャが全部で５０個あるとすると、下位侵入検知装置４１、４２、４３、４４、４５は、それぞれ、データベースＤＢ１、ＤＢ２、ＤＢ３、ＤＢ４、ＤＢ５を有する。

侵入検知システム１００では、５０個のシグネチャを、下位侵入検知装置４１、４２、４３、４４、４５のそれぞれの内部に設けられているデータベースＤＢ１、ＤＢ２、ＤＢ３、ＤＢ４、ＤＢ５に分割して格納する。

侵入検知システム１００において、５個の下位侵入検知装置４１〜４５のそれぞれに、１０個ずつシグネチャを格納している。下位侵入検知装置４１〜４５の上位ネットワーク上に存在する上位侵入検知装置２０の内部に、それぞれ設けられているデータベース２１は、下位侵入検知装置４１〜４５の指示によって、侵入検知代理を行う。

たとえば、シグネチャＳＧ１１〜ＳＧ２０を格納した下位侵入検知装置４２が攻撃された場合、攻撃された影響から、下位侵入検知装置４２をネットワーク上から切り離す。

図４は、実施例１において、下位侵入検知装置４２が上位侵入検知装置２０へ補完要求する動作を示すフローチャートである。

このときに、下位侵入検知装置４２は、上位侵入検知装置２０に、図４に示す動作によって、補完要求する。補完要求には、ネットワークから切り離す理由を記述したデータと、格納していたシグネチャとを、ネットワークを介して、上位侵入検知装置２０に転送する。補完要求を受けた上位侵入検知装置２０は、下位侵入検知装置４２が使用不可状態であることを、ログデータベース２２として取ると、同時に、シグネチャＳＧ１１〜ＳＧ２０を、データベース２１に格納し、データベース２１を利用して代理で侵入検知を行う。

上記動作によって、下位侵入検知装置４２だけではなく、下位侵入検知装置４２以外の下位侵入検知装置４１、４３、……への同じ攻撃を防ぐことができる。

上記のように、攻撃に対する２次被害を最短時間で防ぐことがシステム１００の目的である。

実施例１の仕組みを利用し、下位侵入検知装置４２を上位ネットワークとする監視対象ネットワーク内において、さらに下位侵入検知装置４１〜４５が接続される場合、下位侵入検知装置４２は、上位侵入検知装置２０として機能し、図２におけるシグネチャＳＧ１１〜ＳＧ２０を分割して配置させ、下位の下位侵入検知装置４１〜４５が下位侵入検知装置４２の働きをする。

なお、上記実施例は、外部ネットワークからの不正な通信を監視する侵入検知プログラムを記録したコンピュータ読取可能な記録媒体において、上位ネットワークと下位ネットワークとの間に設けられている下位侵入検知装置が、不正な通信によって、故障または攻撃による障害を起こしたことを検知する障害検知手順と、上記障害を起こしたことを、上記下位侵入検知装置が、上記上位侵入検知装置に知らせる第１の障害発生通知手順と、所定の上記下位侵入検知装置が障害を起こした場合、上記上位侵入検知装置が、上記所定の下位侵入検知装置以外の上記下位侵入検知装置に、上記障害が起こったことを知らせる第２の障害発生通知手順手順とをコンピュータに実行させるプログラムの例である。

上記プログラムを、ＦＤ、ＣＤ、ＤＶＤ、ＨＤ、半導体メモリ等の記録媒体に記録するようにしてもよい。

本発明の実施例１である侵入検知システム１００を示す図である。 侵入検知システム１００における下位侵入検知装置４１、４２、４３、４４、４５の挙動を示す図である。 シグネチャと呼ばれる攻撃を検知するための材料を記述したデータを示す図である。 実施例１において、下位侵入検知装置４２が上位侵入検知装置２０へ補完要求する動作を示すフローチャートである。 従来の下位侵入検知装置５００を示す図である。

符号の説明

１００…侵入検知システム、
１０…外部ネットワーク、
２０…上位侵入検知装置、
２１…データベース、
２２…ログデータベース、
３０…上位ネットワーク、
４１〜４５…下位侵入検知装置、
５１〜５３…監視対象ネットワーク（下位ネットワーク）、
ＤＢ１〜ＤＢ５…データベース、
ＳＧ１１〜ＳＧ５０…シグネチャ。

Claims (1)

1. 上位ネットワークと複数の下位ネットワークとで構成されるネットワークに接続され、外部ネットワークからの不正な通信を監視する侵入検知システムであって、
   上記外部ネットワークと上記上位ネットワークとの間に設けられる上位侵入検知装置と、上記上位ネットワークとそれぞれの下位ネットワークとの間に設けられる複数の下位侵入検知装置とで構成され、
   上記下位侵入検知装置は、
   侵入検知に使用するシグネチャを、複数の上記下位侵入検知装置の間で互いに分割しあって、その一部のシグネチャを格納する格納手段と；
   不正な通信による当該下位侵入検知装置自身への攻撃を検知すると、当該自身の下位侵入検知装置に格納された上記シグネチャと警告内容とを上記上位侵入検知装置に転送する転送手段と；
   を有する装置であり、
   上記上位侵入検知装置は、上記下位侵入検知装置から転送されたシグネチャをデータベースに格納し、当該データベースを利用して代理で侵入検知する装置であり、
   障害を起こした下位侵入検知装置を上記上位ネットワークから切り離すことを特徴とする侵入検知システム。
   

Images