JP6432210B2 - セキュリティシステム、セキュリティ方法、セキュリティ装置、及び、プログラム - Google Patents

Description

本発明は、セキュリティシステム、セキュリティ方法、セキュリティ装置、及び、プログラムに関する。

サイバー攻撃を監視するための侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）と呼ばれるセキュリティ装置が知られている。この侵入検知システムは、監視対象となるシステムやネットワークに対する通信を監視し、通信ログを記録する。

そして、この通信ログが分析され、例えば、通信元が単位時間当たり何回ログイン認証を試しているか等に基づき、当該通信元が不正なアクセス元であるか否かが判定される。そして、当該通信元が不正なアクセス元であると判定されると、当該通信元からの通信を一定期間遮断する等といった防御対策が施される。

ところで、ネットワーク攻撃に先立って送信される攻撃前兆パケットのパターンを登録しておき、当該パターンが検知された場合には、当該パターンに関連付けられたネットワーク攻撃に対する対処レベルを上げる技術が知られている。

また、セキュリティレベルの低いコンピュータを探したり、コンピュータのセキュリティ上の欠陥を探したりするために、多数のコンピュータやコンピュータにある多数のアプリケーションに対して通信開始要求を送ってくるパケットが使用するＴＣＰコネクションを検知し、このＴＣＰコネクションへの応答時間を選択的に遅くすることで攻撃の進行を遅らせる技術が知られている。

特開２０１０−２５０６０７号公報 特開２００８−１８７７０１号公報

サイバー攻撃を認識することができずに、このサイバー攻撃に対して防御対策を講じることができないと、攻撃対象となってしまったコンピュータから種々の情報が詐取されてしまう恐れがある。

本願は、サイバー攻撃に対してセキュリティ強度の高いセキュリティシステムを提供することを目的とする。

開示のセキュリティシステムは、複数の装置に対して通信の疎通確認をする通信元を特定する第１手段と、前記通信の疎通確認の試行後に前記通信元によって試行される複数の認証処理を不許可とする第２手段と、前記複数の認証処理の対象になった複数の装置を特定のサイバー攻撃による攻撃対象候補と特定する第３手段と、を有する。

開示のセキュリティシステムによれば、サイバー攻撃に対してセキュリティ強度を高めることができる。

セキュリティシステムの例。 セキュリティシステムの他の例。 通信ログの例。 図３に示される通信ログの一部の拡大図。 ブルートフォース攻撃の第２の側面における特徴。 ブルートフォース攻撃の第２の側面に関連した通信ログの他の例。 図６に示される通信ログから得た、ブルートフォース攻撃の第２の側面における他の特徴。 実施例のセキュリティシステム。 実施例のアクセス検知装置、アクセス分析装置、及びアクセス防止装置のハードウェア構成。 実施例のアクセス検知装置の機能ブロック。 実施例のアクセス防止装置の機能ブロック。 実施例のアクセス分析装置の機能ブロック。 実施例のアクセス検知装置によって実行される処理。 実施例のアクセス検知装置によって記録された、ホストスキャンを実行した通信元の記録例。 実施例のアクセス検知装置によって実行される他の処理。 実施例の転送履歴の例。 実施例のアクセス防止装置によって実行される処理。 実施例のダミー応答履歴の例。 実施例のアクセス分析装置によって実行される処理。 ログイン認証の試行履歴の例。 実施例のアクセス分析装置によって実行される他の処理。 最大クリーク法の概略を説明するための図。 実施例の攻撃対象群及び攻撃対象候補の例。 実施例のアクセス分析装置によって実行される他の処理。

図１に、セキュリティシステムの例が示される。アクセス監視システム１は、ネットワーク１００を通じてサーバ装置１１０に対して行われる通信を監視し、特定の規則に合致する通信を検知するアクセス検知装置１２０を含む。また、アクセス監視システム１は、アクセス検知装置１２０によって検知された通信のログが記録されるストレージ１３０をさらに含む。

なお、アクセス検知装置１２０は、例えば、侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）と一般に呼ばれているセキュリティ装置であり、特定のＩＰアドレスを有するコンピュータ（例えばサーバ装置や通信装置等）に向けてのアクセスを重点的に監視して、この監視の結果を通知する機能を有する。また、この侵入検知システムは、攻撃元ＩＰアドレスを特定する機能を有し、特定された攻撃元ＩＰアドレスからの通信を遮断する等して防御対策を施すことができる。

なお、アクセス検知装置１２０として、侵入防止システム（ＩＰＳ：Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）が適用されても良い。侵入防止システムとは、侵入検知システムの機能に加えて、ファイアーウォールと連動して通信を遮断する等のネットワーク防御を自動で行う機能を有するセキュリティ装置である。

ところで、図１に示されるサーバ装置１１０に対するサイバー攻撃の１つに、サーバ装置１１０との通信を介して、サーバ装置１１０にログインするためのＩＤとパスワードを詐取しようとするサイバー攻撃がある。

このサイバー攻撃では、“ｒｏｏｔ”や“ａｄｍｉｎ”といったＩＤとして利用されがちなＩＤとパスワードの組み合わせや、あるシステムから漏洩したと考えられるＩＤとパスワードの組み合わせや、無作為に選んだＩＤとパスワードの組み合わせ等を使ったログイン認証が多数回試行される。そして、この多数回のログイン認証の試行を通して、ログイン認証が成功するＩＤとパスワードの組み合わせを見つけ出し、ＩＤとパスワードを詐取しようとする。

ここで、本明細書では、このようなサイバー攻撃を、ブルートフォース攻撃と呼ぶ。なお、ブルートフォース攻撃とは、広義には、考えられる全ての鍵をリストアップすることで暗号文の復号を試みる攻撃も含み、この攻撃を効率的に実施するために、辞書に収集されている単語を候補として探す辞書攻撃や、システムに初期設定される値を使うといった攻撃も含む。

ところで、このブルートフォース攻撃に対して、サーバ装置１１０にログイン認証の試行をする通信を検知するように当該特定の規則を定め、これをアクセス検知装置１２０に設定する。加えて、アクセス検知装置１２０は、当該ログイン認証の試行をしてきた通信元を特定するために、ログイン認証の試行の記録と共に、当該通信元のＩｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌアドレス（以下ＩＰアドレス）を通信ログとしてストレージ１３０に記録する。

仮に、この通信ログによって、ある閾値を上回るほど多数回のログイン認証が特定の通信元から試行されていることが認められる場合には、当該通信元を不正なアクセスをしようとしているブルートフォース攻撃元であると判定する。そして、当該通信元からの通信をある一定期間遮断する等の対策をとれば、当該ブルートフォース攻撃元からサーバ装置１１０を守ることができる。

図２に、セキュリティシステムの他の例が示される。アクセス監視システム２は、ネットワーク１００を介してサーバ装置１１０に対して行われる通信を監視し、特定の規則に合致する通信を検知するアクセス検知装置１２０を含む。アクセス監視システム２は、ネットワーク１００を介してサーバ装置１４０に対して行われる通信を監視し、特定の規則に合致する通信を検知するアクセス検知装置１５０を含む。アクセス監視システム２は、ネットワーク１００を介してサーバ装置１６０に対して行われる通信を監視し、特定の規則に合致する通信を検知するアクセス検知装置１７０を含む。なお、アクセス検知装置１５０及びアクセス検知装置１７０は、図１に沿って上述したアクセス検知装置１２０と同様の機能の有する。

アクセス監視システム２は、さらに、アクセス検知装置１２０、アクセス検知装置１５０及びアクセス検知装置１７０によって検知された各通信ログを記録するストレージ１３０を含む。なお、アクセス監視システム２では、サーバ装置１１０、サーバ装置１４０及びサーバ装置１６０に対する通信を１台のアクセス検知装置１２０等でまとめて監視してもよい。

発明者らの検討によれば、アクセス監視システム２のようなシステムを利用し、複数のサーバ装置に対するログイン認証の試行を同時に監視することで、ブルートフォース攻撃について新たな知見を見出した。この知見を説明するために、発明者らが取得した通信ログを図３及び図４に示す。

図３に、通信ログの例が示される。図３には、複数のサーバ装置に対するログイン認証の試行を同時に監視することで発明者らが取得した通信ログが示される。ここでは、横軸によって、ログイン認証の試行が検知された検知時刻が示される。なお、図３に示される監視期間は約１か月間である。また、縦軸によって、ログイン認証の試行の対象となった装置を区別するために各々装置に対して便宜的に付与した番号が示される。また、図３内の各シンボルによって、ログイン認証の試行を仕掛けた装置が区別される。なお、本明細書では、ログイン認証を試みるブルートフォース攻撃を仕掛けてきた装置（例えば、サーバ装置、通信装置等）、及び当該装置を識別するための識別情報（例えばＩＰアドレス等）を「攻撃元」とよぶことがある。また、当該ブルートフォース攻撃が仕掛けられた装置（例えば、サーバ装置、通信装置等）、及び当該装置を識別するための識別情報（例えばＩＰアドレス等）を「攻撃対象」とよぶことがある。また、「検知時刻」とは、アクセス検知装置１２０、アクセス検知装置１５０又はアクセス検知装置１７０らが当該ブルートフォース攻撃を検知した時刻である。また、「ログイン認証の試行回数」とは、ある検知時刻を含むある連続的期間において、攻撃元から攻撃対象へログイン認証の試行が検知された回数である。例えば、ある時刻から５分間にわたり、ある攻撃対象がある攻撃元から攻撃を受けた場合、その５分間の攻撃の総数である。また、この「ログイン認証の試行回数」は、単位時間当たりのブルートフォース攻撃が検知された回数を意味することもある。例えば、１分間あたりのログイン認証の試行回数を意味することもある。例えば、ある時刻から５分間にわたり、ある攻撃対象がある攻撃元から攻撃を受けた場合、１分あたりの攻撃の回数の平均を「ログイン認証の試行回数」とすることもある。なお、「ログイン認証の試行回数」を「攻撃回数」と呼ぶこともある。

まず、Ａ系列として示されたログイン認証の試行に注目して、ブルートフォース攻撃の第１の側面を説明する。Ａ系列として示されたログイン認証の試行では、攻撃元から、５７番で識別される装置と６４番で識別される装置とが攻撃対象となっており、これらの装置が同じ攻撃元から長期間にわたってログイン認証が試行されている。この攻撃元は、無作為にＩＤとパスワードを変更し、正当な組み合わせを力任せで詐取しようとしていると考えられる。ただし、何れのログイン認証も成功せずに失敗し、その都度、ＩＤとパスワードの組み合わせを変更してログイン認証を試行していると考えられる。

Ａ系列に示されるようなブルートフォース攻撃の場合、例えば、特定の通信元から試行されるログイン認証の失敗回数がある回数以上に到達した場合に当該通信元を攻撃元であると特定する、といった規則を適用することで検知することが可能である。そして、当該通信元からの通信を遮断してしまうことで、この通信元からのブルートフォース攻撃を阻止することができる。

図４に、図３に示される通信ログの一部の拡大図が示される。ここでは図３に示されるウィンドウＫ内の通信に注目して、ブルートフォース攻撃の第２の側面を説明する。

図４には、時刻Ｔ１から１分間にわたり、装置番号が１８、２１、２２、２９、３０、３６、３８−４０で識別される装置が、攻撃元Ａによって毎分１５回のログイン認証が試行された例が示される。また、時刻Ｔ２から１分間にわたり、装置番号が１８、２１、２２、２８−３０、３６、３８、４０で識別される装置が、攻撃元Ｂによって毎分２０回のログイン認証が試行された例が示される。また、時刻Ｔ３から５分間にわたり、装置番号が１８、２１、２２、２８−３０、３６、３８−４０の装置が、攻撃元Ｃによって毎分１８回のログイン認証が試行された例が示される。

発明者らの検討によれば、ウィンドウＫ内に示されるブルートフォース攻撃は、次の特徴を有している。

第１の特徴は、攻撃元が時々刻々と変わることである。第２の特徴は、複数の攻撃対象がほぼ同時刻にほぼ同じ回数だけログイン認証が試行されていることである。第３の特徴は、ある攻撃元によるログイン認証の試行の回数が比較的少ないことである。

第１の特徴について補足すると、攻撃対象となっている装置群はほぼ同じであるものの、攻撃元のＩＰアドレスが変わっている。これは、攻撃者が変わった可能性も無くはないが、むしろ、攻撃者が、攻撃元が特定されないようにするために攻撃元のＩＰアドレスを変えながら攻撃していると想定される。

第２の特徴について補足すると、複数の攻撃対象に対する攻撃が、ほぼ同時刻に検知されている。そして、攻撃元を変えながらの断続的な攻撃によって、一旦攻撃対象となった攻撃対象群が比較的長期間にわたってねらわれている。なお、この攻撃対象群の中には、途中から攻撃を受けるようになり新たに攻撃対象群に加えられてしまう攻撃対象や、それとは逆に、途中から攻撃を受けなくなった攻撃対象もある。

第３の特徴について補足すると、ある一つの攻撃元が試行するログイン認証の回数が比較的少ない。例えば、１つの攻撃対象に対するログイン認証の試行回数について、図３に示される通信ログ全体では平均が７２回程度であったのに対して、このブルートフォース攻撃の第２の側面については平均１８回程度という分析結果であった。これは、ログイン認証の失敗回数がある回数以上となってしまうことで、侵入検知システムや侵入防止システムによって攻撃元であると特定されてしまうことを回避するために、ある一つの攻撃元についての攻撃回数を抑えていると考えられる。

以上に述べたように、図３及び図４に示されたブルートフォース攻撃の第２の側面（ウィンドウＫ）は、ブルートフォース攻撃の第１の側面（Ａ系列）とは異なる特徴を有おり、攻撃元を断続的に変えつつ各攻撃元による単位時間当たりの攻撃回数を少なくすることでセキュリティシステムによってサイバー攻撃とは発見されにくいようにした狡猾なサイバー攻撃といえる。

図５に、ブルートフォース攻撃の第２の側面における特徴が示される。図３及び図４に示されたブルートフォース攻撃の第２の側面について、発明者らによって見出された特徴を図５にまとめる。

ブルートフォース攻撃の第２の側面の攻撃者５００は、ログイン認証の試行によるブルートフォース攻撃を攻撃装置５１０に設定する。例えば、攻撃者５００は、時刻Ｔ１に、第１のＩＰアドレスで識別される攻撃元５２０から攻撃対象５３０、５３２、５３４及び５３６へログイン認証を試行する攻撃を、監視システムに検知されないと想定される程度の回数だけ行うように攻撃装置５１０に設定する。この場合、攻撃対象５３０、５３２、５３４及び５３６が攻撃対象群５４０となっている。また、攻撃者５００は、時刻Ｔ１の後の時刻Ｔ２に、第２のＩＰアドレスで識別される攻撃元５２２から攻撃対象５３２、５３４及び５３６へログイン認証を試行する攻撃を、監視システムに検知されないと想定される程度の回数だけ行うように攻撃装置５１０に設定する。この場合、攻撃対象５３２、５３４及び５３６が攻撃対象群５４２となっている。また、攻撃者５００は、時刻Ｔ２の後の時刻Ｔ３に、第３のＩＰアドレスで識別される攻撃元５２４から攻撃対象５３２、５３４、５３６及び５３８へログイン認証を試行する攻撃を、監視システムに検知されないと想定される程度の回数だけ行うように攻撃装置５１０に設定する。この場合、攻撃対象５３２、５３４及び５３６が攻撃対象群５４２となっている。

このように、ブルートフォース攻撃の第２の側面を利用する攻撃者５００は、複数のコンピュータを攻撃対象にすると共に、攻撃元のＩＰアドレスを変えながら攻撃することで、あるＩＰアドレスを利用した攻撃の回数を少なくしつつも、ＩＤとパスワードの組み合わせを詐取することができるコンピュータをできる限り探していると考えられる。そして、あるＩＰアドレスについての「ログイン認証失敗」となる回数が、不正なアクセスをしているとみなす閾値以下（セキュリティ強度以下）となるようにすることで、攻撃元を特定させないようにしていると考えられる。

なお、図５に示されるように、異なる時刻の攻撃どうしを比較すると、上記の第２の特徴によって、攻撃対象群がある一定の割合で一致するといった相関が認められる。言い換えれば、ブルートフォース攻撃の第２の側面では、一度攻撃を受けた攻撃対象は繰り返し攻撃を受ける傾向がある。具体的には、時刻Ｔ１に攻撃される攻撃対象群５４０と、時刻Ｔ２に攻撃される攻撃対象群５４２と、時刻Ｔ３に攻撃される攻撃対象群５４４とが重複していることが見出される。なお、発明者らが取得した通信ログにおいては、異なる時刻における攻撃対象が完全に一致する場合もあった。

さらに、第２の特徴においては、ある攻撃元からのブルートフォース攻撃の攻撃対象群は、ほぼ同時刻にほぼ同じ回数だけログイン認証が試行されている。そのため、このログイン認証の傾向をつかむことで、当該ログイン認証を試行している攻撃元を早期に特定し、この攻撃元から通信を遮断する等の対策を講じることが考えられる。しかし、この傾向をつかむために、例えば、各コンピュータに対するログイン認証の試行どうしの相関を監視している期間は、不正なログイン認証の試行を受けざるをえない。

図６に、ブルートフォース攻撃の第２の側面に関連した通信ログの他の例が示される。図６には、横軸によって、ホストスキャン及びログイン認証の試行が検知された検知時刻が示される。なお、図６に示される監視期間は約６か月間である。また、縦軸によって、ログイン認証の試行を仕掛けてきた攻撃元の装置を区別するために便宜的に付与した番号が示される。そして、記号×によって、ホストスキャンが示され、記号○によってログイン認証の試行が示される。図６に示される通信ログは、発明者らが取得した通信ログであり、この通信ログに、ブルートフォース攻撃の第２の側面の他の重要な特徴が示されている。

その特徴とは、記号○によって示されるログイン認証の試行の前には、記号×によって示されるホストスキャンが実行されているということである。そして、発明者らの分析によれば、ホストスキャンが実行されてから３〜１０分後に最初のログイン認証の試行が開始されていることが分かった。

なお、ホストスキャンとは、通信が可能なコンピュータを探すために通信先ＩＰアドレスを変えながら通信の疎通確認をする行為である。実施例はこれに限定されないが、例えば、特定のサービスを定めるポート番号に対して通信が可能なコンピュータを探す行為であり、具体的には、ＩＰアドレスをインクリメントする等して変更しながら、通信の疎通を確認するためのｐｉｎｇ等のコマンドによる問い合わせを複数のコンピュータに対して実行し、この問い合わせに対する応答が返ってくるか否かによって、通信の疎通確認がとれるコンピュータを探す行為である。

また、一般には、ｐｉｎｇ等のコマンドは単に通信の疎通確認のために利用されるコマンドであるため、このコマンドの実行だけであればコンピュータは認証を要求しない。そして、一般にアクセスが公開されているサーバ装置や、何らかのサービスを提供しているサーバ装置であれば、外部ユーザとの通信を想定しているため、一般には、ユーザによるコマンドの実行が許容されている。ブルートフォース攻撃を実行する攻撃者は、ＩＤとパスワードを詐取するための攻撃の準備段階としてこのコマンドを悪用し、複数のコンピュータの中から外部ユーザとの通信を許容しているコンピュータをまず探している。

なお、侵入検知システムや侵入防止システム等のセキュリティ装置では、ｐｉｎｇ等のコマンドが特定の通信元から特定の期間内にある回数以上実行されているかどうか、又、それらの実行時に指定される通信先のＩＰアドレスが変更されているかどうか等、ホストスキャンであるか否かを判定するための、統計的に妥当性のある条件を設定する。そして、この条件に合致したコマンドの利用が認められるか否かを判定することで、ホストスキャンが実行されたかどうかを判定している。そして、ホストスキャンを実行したと判定された通信元を悪意のある通信元であると推定して通知したり、又は、当該通信元との通信を一定期間遮断する等の対策を講じたりする。

図７に、図６に示される通信ログから得た、ブルートフォース攻撃の第２の側面における他の特徴が示される。ブルートフォース攻撃の第２の側面では、攻撃者は複数の攻撃対象にログイン認証を試すために、その攻撃の準備段階として、ホストスキャンを利用することで通信が可能な複数のコンピュータをまず探している。なお、本明細書では、攻撃元となる通信元を識別するためのＩＰアドレス及びその通信元自体をｓｒｃＩＰ（ｓｏｕｒｃｅＩＰ）と表し、攻撃対象となる通信先を識別するためのＩＰアドレス及びその通信先自体をｄｓｔＩＰ（ｄｅｓｔｉｎａｔｉｏｎＩＰ）と表すことがある。

図７に示されるように、攻撃者は、時刻ｔ_Ａにおいて、ＩＰアドレスｓｒｃＩＰ１で識別される通信元から、ｄｓｔＩＰ１−Ｎで識別される複数の通信先に対してホストスキャンを実行する。そして、攻撃者は、その後の時刻ｔ_Ｂにおいて、通信の疎通が確認できた複数の装置の一部又は全部に対して、ＩＤとパスワードの組み合わせを詐取するために、ログイン認証を試行してくる。さらに、上述したように、ブルートフォース攻撃の第２の側面では、通信の疎通確認が一旦取れた複数のコンピュータについては、通信元ＩＰアドレスをｓｒｃＩＰ１から別のＩＰアドレスに変更した後も、それらの一部又は全部に対してログイン認証を試行してくる特徴を有している。なお、攻撃者によっては、極端には、２度目の攻撃ではホストスキャンをせずに、通信の疎通確認が一旦取れた攻撃対象に対して攻撃を繰り返すことも想定される。

そこで、後述の実施例によれば、通信の疎通確認の試行後にログイン認証の試行があると、このログイン認証の試行には悪意があると推定してログイン失敗を返すと共に、このログイン失敗を返している間に、ログイン認証の試行の対象となった複数の装置群を、悪意があると推定される通信元が興味を持っていると装置群として記録していく。これによって、サイバー攻撃を早期に止めつつ、攻撃対象を特定する事ができる。

そして、当該ログイン認証の試行をしてきた通信元のＩＰアドレスを、疑わしい通信元ＩＰアドレスとして記録しておき、複数のログイン認証の試行のうち何れが当該通信元によるログイン認証の試行かどうかを特定するための情報として利用する。その後、当該通信元による複数のログイン認証の試行どうしに特定の相関が認められることによって当該通信元が悪意のある攻撃元だと判定された場合には、攻撃者が攻撃元のＩＰアドレスを変更しながら攻撃を断続的に繰り返す特徴を逆手に取り、一定期間経過後には当該攻撃元からは攻撃されなくなる特徴を利用して、記録しておいた当該ＩＰアドレスを一定期間経過後にデータベースから削除する。これによって、データベースの使用量を攻撃の特徴に合わせて効率的に抑えることができる。図６に示されるように、ブルートフォース攻撃では、悪意があると推定される疑わしい通信元ＩＰアドレスの記録が爆発的に増加する傾向があるので、データベースを効率的に使用することは格別の効果を奏する。

また、ログイン失敗を返している期間に記録された複数の装置群については、さらにその後、攻撃者が別の通信元ＩＰアドレスによってログイン認証を試みてくる可能性のある攻撃対象候補であるとして、当該記録を利用する。つまり、実施例では、通信の疎通確認を契機にして特定した通信元に対してログイン失敗を返すことで最初の攻撃を止めて実害を出さないようにしている期間に、通信元ＩＰアドレスが変更された場合の攻撃に対する防御対策に利用するための情報を入手している。

この情報を早期に入手しておくことによって、仮にホストスキャンを実行しなかった別の通信元からログイン認証の試行があった場合に、当該候補とされた複数の装置（過去にリスト化した攻撃対象群かつ攻撃対象候補）とログイン認証の要求先（現在の攻撃対象群）とが特定の割合以上で一致することが認められれば、攻撃者が別の通信元ＩＰアドレスを利用して再攻撃してきたと判定して、この再攻撃に対する防御対策を講じる。つまり、実施例によれば、たとえ攻撃者が通信元ＩＰアドレスを変えて再攻撃を仕掛けてきたとしても、リスト化された攻撃対象群に基づいて、不正なログイン認証の試行を特定し、これに対処することができる。

なお、通信の疎通確認は攻撃の準備段階であり、この疎通確認が実行されただけでは実害が発生しているとはいえないため、この疎通確認を契機にして、攻撃者が使用するＩＰアドレスの１つを入手している。そして、通信の疎通確認の試行後のログイン認証の試行に対しては実害が出ないように、まずは全ての要求に対してログイン認証を許可せず、ログイン認証が失敗したことを通知する。ブルートフォース攻撃の第２の側面を利用する攻撃者は、力任せに総当たり攻撃を仕掛けているので、ログイン認証が失敗した通知を受け取ったとしても気にせず、通信元ＩＰアドレスを変え、そして時間をずらして次のログイン認証を試すだけである。

また、実施例では、ホストスキャンを実行した通信元からのログイン要求に対して、アクセス防止装置がログイン失敗を返している。アクセス検知装置にはホストスキャンを検知するための特定の規則が設定されており、ホストスキャンを実行した通信元を被疑攻撃元と推定している。つまり、アクセス検知装置が、設定された特定の規則に基づいて当該通信元を被疑攻撃元と推定した上で、アクセス防止装置がログイン失敗を返しているので、アクセス防止装置の処理がアクセス検知装置の検知結果に矛盾しないように処理が行われている。

図８に、実施例のセキュリティシステムが示される。図８に示されるセキュリティシステム８００は、アクセス検知装置８１０、アクセス防止装置８２０、及びアクセス分析装置８３０を含む。アクセス検知装置８１０は、システム８４０とネットワーク８５０の間に接続される。アクセス検知装置８１０は、詳細は後述するが、システム８４０に含まれるサーバ装置８４２、サーバ装置８４４、ストレージ８４６等に対するネットワーク８５０からの通信を検知するセキュリティ装置である。なお、システム８４０は、特定のネットワークによってサーバ装置８４２、サーバ装置８４４、及びストレージ８４６等が互いに接続されたシステムであり、ローカルエリアネットワークによってそれらが互いに接続されたシステムや、データセンタ等の場合もある。また、図８に示されるシステム８４０に含まれる装置は例示であって、サーバ装置８４２、サーバ装置８４４、及びストレージ８４６の数量等に実施例が限定されないことをここで述べておく。

アクセス防止装置８２０は、システム８４０とアクセス検知装置８１０の間に接続される。アクセス防止装置８２０は、詳細は後述するが、アクセス検知装置８１０が検知した通信に対して防御対策を講じるためのセキュリティ装置である。

アクセス分析装置８３０は、アクセス検知装置８１０とアクセス防止装置８２０に接続される。アクセス分析装置８３０は、詳細は後述するが、アクセス検知装置８１０が検知した通信について分析を実行するセキュリティ装置である。

図９に、実施例のアクセス検知装置、アクセス分析装置、及びアクセス防止装置のハードウェア構成が示される。図８に示されるアクセス検知装置８１０、アクセス防止装置８２０、及びアクセス分析装置８３０は、図９に図示される一般的なコンピュータ９００の構成を有する。なお、実施例では説明を簡略化するために、アクセス検知装置８１０、アクセス防止装置８２０、及びアクセス分析装置８３０の各々が別々に有しているコンピュータの構成要素であっても同じ符号（例えばＣＰＵ９０２など）を用いて説明する。

コンピュータ９００は、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ（ＣＰＵ）９０２、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ（ＲＯＭ）９０４、及びＲａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ（ＲＡＭ）９０６を含む。このコンピュータ９００は、さらに、ハードディスク装置９０８、入力装置９１０、出力装置９１２、インタフェース装置９１４、及び記録媒体駆動装置９１６を含む。なお、これらの構成要素はバス９２０を介して互いに接続されており、ＣＰＵ９０２の管理の下で各種のデータを相互に授受する。

ＣＰＵ９０２は、このコンピュータ９００全体の動作を制御する演算処理装置であり、コンピュータ９００の制御処理部として機能する。

ＲＯＭ９０４は、所定の基本制御プログラムが予め記録されている読み出し専用半導体メモリである。ＣＰＵ９０２は、この基本制御プログラムをコンピュータ９００の起動時に読み出して実行することにより、このコンピュータ９００の各構成要素の動作制御が可能になる。

ＲＡＭ９０６は、ＣＰＵ９０２が各種の制御プログラムを実行する際に、必要に応じて作業用記憶領域として使用する、随時書き込み読み出し可能な半導体メモリである。

アクセス検知装置８１０の場合には、後述する図１３及び図１５に示される処理を実行するためのプログラムがＲＡＭ９０６に読み出され、ＣＰＵ９０２がこのプログラムを実行することによって、アクセス検知装置８１０は、図１０に示される機能を実現する。

アクセス防止装置８２０の場合には、後述する図１７に示される処理を実行するためのプログラムがＲＡＭ９０６に読み出され、ＣＰＵ９０２がこのプログラムを実行することによって、アクセス防止装置８２０は、図１１に示される機能を実現する。

アクセス分析装置８３０の場合には、後述する図１９、図２１及び図２３に示される処理を実行するためのプログラムがＲＡＭ９０６に読み出され、ＣＰＵ９０２がこのプログラムを実行することによって、アクセス分析装置８３０は、図１２に示される機能を実現する。

ハードディスク装置９０８は、ＣＰＵ９０２によって実行される各種の制御プログラムや各種のデータを記憶しておく記憶装置である。ＣＰＵ９０２は、ハードディスク装置９０８に記憶されている所定の制御プログラムを読み出して実行することにより、後述する各種の制御処理を行えるようになる。

入力装置９１０は、例えばマウス装置やキーボード装置であり、コンピュータ９００のユーザにより操作されると、その操作内容に対応付けられている各種情報の入力を取得し、取得した入力情報をＣＰＵ９０２に送付する。

出力装置９１２は例えば液晶ディスプレイであり、ＣＰＵ９０２から送付される表示データに応じて各種のテキストや画像を表示する。

インタフェース装置９１４は、このコンピュータ９００に接続される各種機器との間での各種情報の授受の管理を行う。インタフェース装置９１４は、例えば、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

記録媒体駆動装置９１６は、可搬型記録媒体９１８に記録されている各種の制御プログラムやデータの読み出しを行う装置である。ＣＰＵ９０２は、可搬型記録媒体９１８に記録されている所定の制御プログラムを、記録媒体駆動装置９１６を介して読み出して実行することによって、後述する各種の制御処理を行うようにすることもできる。なお、可搬型記録媒体９１８としては、例えばＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）規格のコネクタが備えられているフラッシュメモリ、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＤＶＤ−ＲＯＭ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等がある。

図１０に、実施例のアクセス検知装置の機能ブロックが示される。図８に示されたアクセス検知装置８１０は、例えば、ワーキングメモリとして使用される、アクセス検知装置８１０のＲＡＭ９０６にロードされたプログラムが、アクセス検知装置８１０のＣＰＵ９０２によって実行されることにより、検知部１０００、特定部１０１０、判定部１０２０、転送部１０３０、通知部１０４０、実行部１０５０、及び、削除部１０６０として機能する。なお、これらの機能部によって実行される処理については、図１３及び図１５に沿って後述する。

図１１に、実施例のアクセス防止装置の機能ブロックが示される。図８に示されたアクセス防止装置８２０は、ワーキングメモリとして使用される、アクセス防止装置８２０のＲＡＭ９０６にロードされたプログラムが、アクセス防止装置８２０のＣＰＵ９０２によって実行されることにより、検知部１１００、判定部１１１０、応答部１１２０、及び、通知部１１３０として機能する。なお、これらの機能部によって実行される処理については、図１７に沿って後述する。

図１２に、実施例のアクセス分析装置の機能ブロックが示される。図８に示されたアクセス分析装置８３０は、ワーキングメモリとして使用される、アクセス分析装置８３０のＲＡＭ９０６にロードされたプログラムが、アクセス分析装置８３０のＣＰＵ９０２によって実行されることにより、取得部１２００、抽出部１２１０、計数部１２２０、生成部１２３０、判定部１２４０、特定部１２５０、及び、決定部１２６０として機能する。なお、これらの機能部によって実行される処理については、図１９、図２１及び図２３に沿って後述する。

なお、アクセス検知装置８１０に含まれる機能部と、アクセス分析装置８３０に含まれる機能部と、アクセス防止装置８２０に含まれる機能部を、各々の装置にどのように割り当てるかについては、上述した割り当て方に限定されない。例えば、アクセス検知装置８１０やアクセス防止装置８２０に含まれる機能部の一部又は全てをアクセス分析装置８３０に適宜実装してもよいし、アクセス検知装置８１０やアクセス分析装置８３０に含まれる機能部の一部又は全てをアクセス防止装置８２０に適宜実装してもよいし、アクセス防止装置８２０やアクセス分析装置８３０に含まれる機能部の一部又は全てをアクセス検知装置８１０に適宜実装してもよい。

図１３に、実施例のアクセス検知装置によって実行される処理が示される。図１３に示される処理は、図８に示されるアクセス検知装置８１０によって実行される処理であって、ホストスキャンを実行した通信元は不正なログイン認証を試行する可能性があるためこの通信元を被疑攻撃元として記録しておくための処理である。

処理１３００によって、図１０に示される検知部１０００が上述したホストスキャンを検知すると、図１３に示される処理が開始される。なお、処理１３００において、検知部１０００は、システム８４０への通信を監視し、通信が可能な装置を探すために通信先ＩＰアドレスを変えながら通信の疎通確認をしている通信を検知することで、上述のホストスキャンを検知する。より具体的には、特定のポート番号を指定したうえで通信先ＩＰアドレスをインクリメント等することによって通信先を変更しながら、通信の疎通を確認するためにｐｉｎｇ等のコマンドによる問い合わせをしている通信を検知することによって、上述のホストスキャンを検知する。

処理１３００に次いで、ホストスキャンを実行した通信元を被疑攻撃元として特定する処理１３０２が、特定部１０１０によって実行される。処理１３０２では、ホストスキャンを実行した通信元を被疑攻撃元として特定し、そして、これを記録しておくために、処理１３００によって検知されたホストスキャンにおいて示されていた通信元ＩＰアドレスを取得して、ホストスキャンを検知した時刻にこの通信元ＩＰアドレスを関連付けてからアクセス検知装置８１０の記憶装置に記録する。処理１３０２によって記録される情報が図１４に例示される。

なお、処理１３０２で特定される通信元は、今後、不正なアクセスをする可能性のある不正アクセス元候補である。そのため、実施例では、この通信元を被疑攻撃元とよび、この通信元のＩＰアドレスを被疑攻撃元ＩＰアドレスとよぶ。

処理１３０２に次いで、処理１３０４によって、図１３に示された処理が終了する。

図１４に、実施例のアクセス検知装置によって記録された、ホストスキャンを実行した通信元の記録例が示される。図１４には、図１３に示される処理１３０２によって、アクセス検知装置８１０の記憶装置に記録される被疑攻撃元ＩＰアドレスが例示される。ここでは、“１１．２２．３３．４４”のＩＰアドレスで識別される通信元よって実行されたホストスキャンが、処理１３００によって“２０１２／３／３１ ２３：００”に検知され、処理１３０２によってアクセス検知装置８１０の記憶装置に記録された場合が例示されている。

図１５に、実施例のアクセス検知装置によって実行される他の処理が示される。図１５に示される処理は、図８に示されるアクセス検知装置８１０によって実行される他の処理である。処理１５００によって、図１０に示される検知部１０００が、ホストスキャンとは異なる通信を検知すると、図１５に示される処理が開始される。なお、ホストスキャンとは異なる通信とは、例えば、ログイン認証を試行するための通信等である。

処理１５００に次いで、処理１５００で検知した通信の通信元が被疑攻撃元として記録されているか否かを判定する処理１５０２が、判定部１０２０によって実行される。処理１５０２では、処理１５００で検知した通信の通信元のＩＰアドレスが、処理１３０２によって記録された通信元ＩＰアドレスの何れかに該当するか否かを判定することによって、当該被疑攻撃元として記録されているか否かが判定される。この処理１５０２によって、処理１３０２により被疑攻撃元として記録された通信元がホストスキャンとは異なる通信をしたか否かが判定されることとなり、例えば、この通信元によるログイン認証の試行を検知する契機となる。処理１５０２の結果、通信元が被疑攻撃元として記録されていると判定された場合には処理１５０４に移り、通信元が被疑攻撃元として記録されていないと判定された場合には処理１５０８に移る。

処理１５０２において通信元が記録されていると判定された場合に、当該通信をアクセス防止装置８２０に転送する処理１５０４が、転送部１０３０によって実行される。処理１５０４によって、処理１５００で検知された通信がアクセス防止装置８２０に転送される。

当該通信の転送履歴をアクセス分析装置８３０に通知する処理１５０６が、通知部１０４０によって実行される。処理１５０６では、アクセス防止装置８２０に転送された通信の、通信元のＩＰアドレス、通信先のＩＰアドレス、及び転送時刻を互いに関連付けて記録して、これらの情報をアクセス分析装置８３０に通知する。なお、この転送履歴の例が図１６に示される。

処理１５０６に次いで、処理１５１４によって、図１５に示された処理が終了する。なお、図１５に示される処理のうち、処理１５０８、処理１５１０、及び処理１５１２については後述する。

図１６に、実施例の転送履歴の例が示される。図１６に示される転送履歴は、図１５に示される処理１５０６によって、アクセス検知装置８１０からアクセス分析装置８３０に通知される情報の例である。そして、この転送履歴においては、アクセス検知装置８１０がアクセス防止装置８２０に転送した通信の、通信元のＩＰアドレス、通信先のＩＰアドレス、及び転送時刻が互いに関連付けられて記録されている。図１６には、例えば、“１１．２２．３３．４４”のＩＰアドレスによって識別される通信元によって“１．１．１．２”のＩＰアドレスによって識別される通信先に対して行われた通信が、“２０１４／４／１ ０：００”に、アクセス検知装置８１０からアクセス防止装置８２０へ転送されたことが転送履歴として記録されている。

図１７に、実施例のアクセス防止装置によって実行される処理が示される。図１７に示される処理は、図８に示されるアクセス防止装置８２０によって実行される処理である。処理１７００によって、図１１に示される検知部１１００が、アクセス検知装置８１０から通信が転送されたことを検知すると、図１７に示される処理が開始される。なお、処理１７００において検知部１１００が検知する通信は、アクセス検知装置８１０が処理１５０６によって転送した通信である。

処理１７００に次いで、ログイン認証の試行に関連する通信か否かを判定する処理１７０２が、判定部１１１０によって実行される。処理１７０２では、処理１５０４によって転送された通信の内容を確認して、ログイン認証の試行に関連する通信か否かを判定する。ログイン認証の試行に関連する通信だと判定された場合には処理１７０４に移り、ログイン認証の試行に関する通信だと判定されなかった場合には処理１７１２に移り図１７に示される処理を終了する。なお、処理１７０２におけるログイン認証の試行に関連する処理とは、ＩＤとパスワードに基づくログイン認証処理そのものだけでなく、例えば、ログイン認証処理の前に通信セッションを確立するための処理など、ログイン認証を試行するために行われる種々の通信を意味する。

処理１７０２においてログイン認証の試行に関連する通信だと判定された場合に、ログイン認証が試行されたか否かを判定する処理１７０４が、判定部１１１０によって実行される。処理１７０４では、転送された通信が、ＩＤとパスワードに基づいてログイン認証を試行する処理か否かを判定することによって、ログイン認証が試行されたか否かを判定する。なお、処理１７０４を処理１７０２と分けている理由は、転送された処理がログイン認証の試行に関連する処理であっても、ＩＤとパスワードに基づくログイン認証処理そのものではなく、例えば、ログイン認証処理の前に通信セッションを確立するための処理などである場合もあり、このような前処理とログイン認証処理そのものとを区別するためである。処理１７０４において、ログイン認証が試行されたと判定された場合には処理１７０８に移り、ログイン認証が試行されたと判定されなかった場合には処理１７０６に移る。

処理１７０４においてログイン認証が試行されたと判定されなかった場合に、転送された通信に対する応答を模擬する処理１７０６が、応答部１１２０によって実行される。処理１７０６では、処理１７０４においてログイン認証だと判定されなかったものの、当該通信元が興味をもっているログイン認証先の情報を取得するためにも、当該通信元によるログイン認証の試行そのものの段階まで導くという理由で実行される。処理１７０６では、例えば、通信セッションを確立するための処理等を模擬して、当該通信元に応答する。なお、処理１７０６が終了すると、処理１７１２に移り、図１７に示される処理を終了する。

処理１７０４においてログイン認証が試行されたと判定された場合に、ログイン認証を不許可にしてログイン認証が失敗したことを通信元に通知する処理１７０８が、応答部１１２０によって実行される。処理１７０８では、アクセス検知装置８１０から通知される通信は何れであっても、被疑攻撃元として記録された不正なアクセス元候補からの通信であるため、ログイン認証を不許可とする。そして、ログイン認証が失敗したこと通知するためのダミー応答を当該通信元に対して行う。

ダミー応答履歴をアクセス分析装置に通知する処理１７１０が、通知部１１３０によって実行される。処理１７１０では、アクセス検知装置８１０から転送された通信の、通信元のＩＰアドレス、及びログイン認証が試行された試行時刻を互いに関連付けて記録して、これらの情報をアクセス分析装置８３０に通知する。なお、ダミー応答履歴の例が、図１８に例示される。

処理１７１０に次いで、処理１７１２によって図１７に示された処理が終了する。

図１８に、実施例のダミー応答履歴の例が示される。図１８に示されるダミー応答履歴は、図１７に示される処理１７０６によって、アクセス防止装置８２０からアクセス分析装置８３０に通知される情報の例である。このダミー応答履歴には、ホストスキャン後にログイン認証を試行したために処理１７０８によってダミー応答がされた通信元のＩＰアドレス、及びログイン認証が試行された試行時刻が互いに関連付けられて記録されている。図１８には、例えば、“１１．２２．３３．４４”のＩＰアドレスによって識別される通信元が“２０１４／４／１ ０：００”にログイン認証を試行したことが示されている。

図１９に、実施例のアクセス分析装置によって実行される処理が示される。図１９に示される処理は、図８に示されるアクセス分析装置８３０によって実行される処理であって、処理１９００によって開始される。

転送履歴及びダミー応答履歴を取得する処理１９０２が、図１２に示される取得部１２００によって実行される。処理１９０２では、アクセス検知装置８１０が処理１５０６によって通知する転送記録を取得する。加えて、処理１９０２では、アクセス防止装置８２０が処理１７１０によって通知するダミー応答履歴を取得する。

処理１９０２に次いで、転送履歴に基づき通信元及び通信先の組み合わせを抽出する処理１９０４が、抽出部１２１０によって実行される。処理１９０４では、処理１９０２によって取得した転送履歴に基づき、特定の期間において連続して転送された通信の通信元及び通信先の組み合わせを選択する。図１６に示された転送履歴の例に沿って処理１９０４を説明すると、“１１．２２．３３．４４”のＩＰアドレスによって識別される通信元から“１．１．１．２”のＩＰアドレスによって識別される通信先への通信が、“２０１４／４／１ ０：００”及び“２０１４／４／１ ０：０１”に転送されており、処理１９０４では、この通信が、特定の期間において連続して転送された通信であるとして判定されて、この通信の通信元及び通信先の組み合わせが抽出される。

処理１９０４に次いで、抽出された組み合わせについて、ダミー応答履歴に基づきログイン認証の試行回数を計数する処理１９０６が、計数部１２２０によって実行される。処理１９０６では、処理１９０２によって取得したダミー応答履歴に基づき、当該特定の期間において試行されたログイン認証の試行回数が計数される。図１８に示されたダミー応答履歴の例に沿って処理１９０６を説明すると、“２０１４／４／１ ０：００”から“２０１４／４／１ ０：０１”までの期間において、“１１．２２．３３．４４”のＩＰアドレスによって識別される通信元によるログイン認証の試行が記録されており、その回数が１回であると計数される。このように、処理１９０４及び処理１９０６を通じて、図１６に示される転送履歴と図１８に示されるダミー応答履歴が突き合わされている。

処理１９０６に次いで、ログイン認証の試行履歴を生成する処理１９０８が、生成部１２３０によって実行される。処理１９０８では、処理１９０４及び処理１９０６の結果をうけて、ログイン認証の試行における、通信元、通信先、ログイン認証の試行時刻、及びログイン認証の試行回数を互いに関連付けることによって、ログイン認証の試行履歴を生成する。なお、ログイン認証の試行履歴の例が、図２０に例示される。

図２０に、ログイン認証の試行履歴の例が示される。図２０に示される情報は、アクセス防止装置８２０が処理１９０８によって生成した情報であって、ログイン認証の試行における、通信元、通信先、ログイン認証の試行時刻、及びログイン認証の試行回数が互いに関連付けられている。例えば、“１１．２２．３３．４４”のＩＰアドレスによって識別される通信元が、“１．１．１．２”のＩＰアドレスによって識別される通信先に対して実行したログイン認証の試行回数が“１０回”であることが例示されている。なお、図２０には、ログイン認証の試行時刻としてログイン認証の試行が開始された時刻が代表して示されているが、実施例はこれに限定されず、例えば、ログイン認証が試行された時刻全てを記録しておいてもよい。

図２１に、実施例のアクセス分析装置によって実行される他の処理が示される。図１９に示される処理は、図８に示されるアクセス分析装置８３０によって実行される処理であって、処理２１００によって開始される。

ログイン認証の試行履歴を取得する処理２１０２が、図１２に示される取得部１２００によって実行される。処理２１０２では、処理１９０８によって生成されたログイン認証の試行履歴を取得する。

処理２１０２に次いで、ログイン認証どうしに特定の相関があるか否かを判定する処理２１０４が、判定部１２４０によって実行される。処理２１０４では、ある通信元によって複数の通信先にログイン認証が試みられている場合に、異なる通信先に対するログイン認証であっても、それらのログイン認証どうしに特定の相関が認められるか否かを判定する。つまり、この処理２１０４においては、異なる通信先に対するログイン認証も判定対象にしている。これは、上述したように、ブルートフォース攻撃の第２の側面には、複数の攻撃先にほぼ同じ時間帯にほぼ同じ回数の攻撃を仕掛けてくるという特徴があるため、ログイン認証の試行回数、ログイン認証の試行時刻に相関が認められれば、当該通信元が、ブルートフォース攻撃（その第２の側面）の攻撃元である可能性が高いと推定できるからであり、この推定のために処理２１０４の判定を実行している。処理２１０４の具体例を、図２０に沿って説明する。

図２０に示されるように、“１１．２２．３３．４４”のＩＰアドレスによって識別される通信元が、“１．１．１．２”のＩＰアドレスによって識別される通信先に対して、“２０１２／４／１ ０：００”から、ログイン認証を“１０回”試行している。さらに、“１１．２２．３３．４４”のＩＰアドレスによって識別される通信元が、“１．１．１．３”のＩＰアドレスによって識別される通信先に対して、“２０１２／４／１ ０：０１”から、ログイン認証を“９回”試行している。さらに、“１１．２２．３３．４４”のＩＰアドレスによって識別される通信元が、“１．１．１．４”のＩＰアドレスによって識別される通信先に対して、“２０１２／４／１ ０：００”から、ログイン認証を“１０回”試行している。そして、これら３つの通信先に対するログイン認証は、ほぼ同時刻からほぼ同じ回数だけ試行されていることが分かる。なお、この傾向は、図３、図４、及び図５に沿って上述したブルートフォース攻撃の特徴である。このような相関が認められる場合には、処理２１０４では、ログイン認証どうしに特定の相関があると判定され、当該通信元がブルートフォース攻撃の攻撃元であると判定される。

なお、相関を判定する指標として、以下に説明する相関係数Ｒを利用してもよい。相関係数Ｒは、例えば、通信先ｖ_ｉが受けたログイン認証の試行回数をＸ_ｉ、ログイン認証の試行時刻をｔ_ｉとして、

と定義できる。ここで、Ｘ_ａｖは試行回数Ｘ_ｉの平均であり、ｔ_ａｖは試行時刻ｔ_ｉの平均である。なお、ログイン認証の試行回数は、単位時間あたりのログイン認証の試行回数であってもよい。

そして、上述したような、ほぼ同時刻にほぼ同じ回数だけログイン認証が試行されていることを判定するための特定の閾値を設定して、ある通信元によって複数の通信先にログイン認証が試みられている場合に、この相関係数Ｒが特定の閾値以上となるような通信先ｖ_ｉの組み合わせを探すことで、ログイン認証どうしに特定の相関があるかどうかを判定して、ブルートフォース攻撃の攻撃対象となっている複数の通信先の組み合わせを抽出してもよい。

なお、ログイン認証の試行回数、ログイン認証の試行時刻について相関が高い攻撃対象群（複数の通信先の組み合わせ）を抽出する際には、最大クリーク法を用いてもよい。

ここで、最大クリーク法について説明する。最大クリーク問題とは、無向グラフ中の部分グラフの中の完全グラフでサイズが最大のものを選び出す組み合わせ最適化問題の一種である。まず用語をいくつか定義する。「クリーク」とは、完全グラフを誘導する頂点集合である。完全グラフとは任意の２つの頂点の間に辺が存在するグラフである。「最大クリーク」とは、グラフ中で頂点数が最大のクリークである。最大クリーク法は、グラフ中のクリークの中で最大のものをみつける方法である。アルゴリズムの一つは、まず、候補節点集合を探す。「候補節点集合」とは、ある時点で保持しているクリークに付け加えても、またクリークとなるような頂点の集合である。そして、候補節点集合中の頂点をクリークに追加し、頂点数が１つだけ増加したクリークを作る。この操作を可能な限り繰り返すことにより、最大クリークをみつける。

図２２に、最大クリーク法の概略を説明するための図が示される。図２２に示されているグラフは、１から６で指定される６つの頂点を含んでいる。頂点１は頂点２及び頂点５と辺によって結ばれており、頂点２は頂点１、頂点３及び頂点５と辺によって結ばれており、頂点３は頂点２及び頂点４と辺によって結ばれており、頂点４は頂点３、頂点５及び頂点６と辺によって結ばれており、頂点５は頂点１、頂点２及び頂点４と辺によって結ばれている。図２２に示されている例は、頂点１、頂点２、及び頂点５によって構成されるクリークが最大クリークとなる例である。

最大クリーク法を、相関係数の高い攻撃対象を抽出し、攻撃先群として特定する問題に適用するには、グラフの各頂点に、ログイン認証が試行された通信先を割り当てる。さらに、グラフの各頂点には、該当する通信先に対するログイン認証の試行回数、試行時刻、及び通信元に関するデータを対応させる。

そして、グラフの頂点間を辺で結ぶか否かは、該当する通信先に対するログイン認証の試行回数及び試行時刻に関する相関を計算し、所定の閾値以上であれば２つの頂点を辺で結ぶ。ここで、通信先ｖ_１が割り当てられた頂点１と通信先ｖ_２が割り当てられた頂点２の相関係数Ｒ_２を計算し、このＲ_２が閾値以上であるか否かによって頂点１と２を辺で結ぶか否かを決定する例を説明する。

相関係数Ｒ_２は、例えば、通信装置ｖ_ｉ（ｉ＝１，２）受けたブルートフォース攻撃の回数をｘ_ｉ、検知時刻をｔ_ｉとして、

により算出される。ここで、ｘ_ａｖは試行回数ｘ_ｉの平均であり、ｔ_ａｖは試行時刻ｔ_ｉの平均である。なお、ログイン認証の試行回数は、単位時間あたりのログイン認証の試行回数であってもよい。

なお、別の方法として、通信先ｖ_ｉが受けたログイン認証の試行回数をｘ_ｉ、ログイン認証の試行時刻をｔ_ｉとした場合に、２つの通信先について、ｘ_ｉどうしの差分と、ｔ_ｉどうしの差が共に特定の範囲内にある場合に、該当する頂点間を辺で結んでもよい。

上述のように、ある通信元からログイン認証の試行について、ログイン認証の試行回数及びログイン認証の試行時刻について相関の高い通信先のペアを作り、相関係数が特定の閾値よりも高い場合には、それらの通信先に対して割り当てた頂点を辺で結ぶ。そして、この処理を各通信先どうしについて実行することで、最大クリークとなる通信先の組み合わせを特定する。そして、このような通信先の組み合わせについては、ログイン認証どうしに特定の相関があるとして判定し、上述したような、ブルートフォース攻撃の特徴の一つである、ほぼ同時刻からほぼ同じ回数だけ試行されている通信先の組み合わせ（攻撃対象群）を特定してもよい。

ここで、図２１に示される処理の説明に戻る。

処理２１０４においてログイン認証どうしに特定の相関があると判定された場合に、攻撃対象候補として特定する処理２１０６が、特定部１２５０によって実行される。処理２１０６では、処理２１０４によってログイン認証どうしに特定の相関が認められると判定された複数の通信先を、このログイン認証を試行してきた通信元からブルートフォース攻撃を受けた攻撃対象群とし、この後もブルートフォース攻撃を受ける可能性のある攻撃対象候補群として特定する。図２０に沿って例を説明すると、“１．１．１．２”のＩＰアドレスによって識別される通信先と、“１．１．１．３”のＩＰアドレスによって識別される通信先と、“１．１．１．４”のＩＰアドレスによって識別される通信先とが、“１１．２２．３３．４４”のＩＰアドレスによって識別される通信元によってブルートフォース攻撃を受けた攻撃対象群であって、かつ攻撃対象候補群であると特定される。そして、これらの通信先が攻撃対象群及び攻撃対象候補であることを記録しておくために、図２３に例示されるように、それらのＩＰアドレスが記録される。

図２３に、実施例の攻撃対象群及び攻撃対象候補の例が示される。図２３は、処理２１０６によって記録される情報であり、ブルートフォース攻撃を受けた攻撃対象群を示している。図２３には、例えば、番号“１”で識別される攻撃対象群には、“１．１．１．２”のＩＰアドレスによって識別される通信先と、“１．１．１．３”のＩＰアドレスによって識別される通信先と、“１．１．１．４”のＩＰアドレスによって識別される通信先とが属していることが例示されている。

なお、上述したように、処理２１０６によって記録される通信元ＩＰアドレスは、後述の処理２４０２において、別の通信元によってもログイン認証が試みられてしまう候補を特定するための情報としても利用される。その意味で、図２３に示される攻撃対象群は、将来に不正なアクセスを繰り返し受けてしまう可能性のある攻撃対象候補（不正アクセス先候補）ともいえる。そして、実施例では、処理１７０８等によってブルートフォース攻撃を防いでいる間に、不正アクセス先候補群の情報を入手している。上述のように、ブルートフォース攻撃（その第２の側面）には、一度攻撃を仕掛けた攻撃先群の一部又は全部に断続的に攻撃を仕掛けてくる特徴があるため、繰り返し攻撃された際に攻撃対象をいち早く守るための基準を処理２１０６によって記録している。

ここで、図２１に示される処理の説明に戻る。

通信元をブルートフォース攻撃の攻撃元と決定して被疑攻撃元としての記録を特定の期間経過後に削除するようアクセス検知装置に指示する処理２１０８が、決定部１２６０によって実行される。処理２１０８では、処理２１０４によってログイン認証どうしに特定の相関があると判定されたログイン認証の通信元を、被疑攻撃元としての記録から一定期間経過後に削除させるための処理である。なお、処理２１０８による指示を、アクセス検知装置８１０の削除部１０６０が受けて、削除部１０６０がデータベースから、被疑攻撃元ＩＰアドレスを削除する。

ところで、この処理２１０８を実行する理由は、上述したように、ブルートフォース攻撃の第２の側面では、攻撃元のＩＰアドレスを変更しながら攻撃を仕掛けてくる特徴があり、言い換えれば、攻撃者は、特定の時間が経過すると被疑攻撃元ＩＰアドレスとして記録しておいたＩＰアドレスを使用しなくなるといえ、もはやデータベースに記録しておく必要がないからである。

ブルートフォース攻撃の第２の側面では、攻撃元のＩＰアドレスを変更しながら繰り返し行われる攻撃であるため、全ての攻撃元ＩＰアドレスを記録しておくと大きなデータベースが必要となってしまう。そこで、ブルートフォース攻撃の第２の側面の特徴を逆手に取り、処理２１０８によって、特定の時間が経過した場合に、記録しておいた被疑攻撃元ＩＰアドレスをデータベースから削除して、データベースに利用されるメモリ使用量を抑えている。

処理２１１０によって、図２１に示された処理を終了する。

ここで、図１５に示される処理１５０８及び処理１５１０について説明する。

当該通信元がアクセス分析装置によって不正アクセス元であると判定された通信元か否かを判定する処理１５０８が、判定部１０２０によって実行される。当該通信元が不正なアクセス元であるとアクセス分析装置によって判定されている場合については後述する。

処理１５０８において当該通信元が不正なアクセス元であるとアクセス分析装置によって判定されていない場合には、当該通信元及び通信先をアクセス情報としてアクセス分析装置に通知する処理１５１０が、通知部１０４０によって実行される。処理１５１０では、当該通信元を識別するためのＩＰアドレスと、通信先を識別するためのＩＰアドレスとを、アクセス分析装置８３０に通知する。

図２４に、実施例のアクセス分析装置によって実行される他の処理が示される。図２４に示される処理は、アクセス分析装置８３０によって実行される処理であって、仮にホストスキャンを実行しなかった通信元であったとしても、ブルートフォース攻撃の攻撃者がこの通信元を利用して再攻撃してきたことを判定するための処理である。図２４に示される処理は、アクセス検知装置８１０から通知されるアクセス情報を受信する処理２４００ことによって開始される。

処理２４００に次いで、アクセス情報によって通知された通信元によるログイン認証の試行先となった複数の通信先が攻撃対象候補と特定された複数の通信先と特定の割合以上で一致するか否かを判定する処理２４０２が、判定部１２４０によって実行される。処理２４０２では、通知された通信元によるログイン認証の試行先となった通信先のＩＰアドレスを、処理１５０８及び処理１５１０を介して繰り返し通知されるアクセス情報によって蓄積していき、ログイン認証の試行先となった通信先群が、処理２１０６により特定された攻撃先群に属する複数の通信先と特定の割合以上で一致するか否かを判定する。

上述したように、ブルートフォース攻撃の第２の側面では、通信元のＩＰアドレスを変更しながら攻撃を断続的に仕掛けてくる。攻撃者は、再攻撃の際には、一旦ホストスキャンを行い通信の疎通が確認できたコンピュータを特定できているため、通信元のＩＰアドレスを変更した際にホストスキャンを実行せずにログイン認証を試行してくる可能性がある。ただし、上述したように、ブルートフォース攻撃の第２の側面では、通信元のＩＰアドレスが変わったとしても攻撃対象群が一致する割合が高い。そこで、処理２４０２では、通信元のＩＰアドレスが被疑攻撃元として記録されていなくても、ログイン認証の試行先を監視し続けて、この試行先が、処理２１０６によって特定された攻撃対象候補に属する複数の通信元と特定の割合以上で一致することが認められた場合には、当該通信元を再攻撃の攻撃元であるとして不正アクセス元と判定する。なお、特定の割合については、ブルートフォース攻撃の特徴をふまえて適宜設定すればよい。

処理２４０２において特定の割合以上で一致すると判定された場合に、当該通信元をブルートフォース攻撃の攻撃元であるとしてアクセス検知装置に通知する処理２４０４が、決定部１２６０によって実行される。処理２４０４では、処理２４０２によって判定された通信元を、攻撃者が攻撃元を変えて再攻撃してきた攻撃元であるとして、この通信元からはホストスキャンが実行されなかったとしても、ブルートフォース攻撃の攻撃元（不正アクセス元）であると決定してアクセス検知装置８１０に通知する。

処理２４０６によって、図２４に示される処理が終了する。

ここで、図１５に示される処理１５１２について説明する。

処理１５０８において当該通信元が不正なアクセス元であるとアクセス分析装置によって判定されている場合に、当該通信元からの通信に対して防御対策を実施する処理１５１２が、実行部１０５０によって実行される。処理１５１２では、処理１５００によって検知された通信の通信元が、アクセス分析装置８３０による処理２３０２及び処理２３０４によって不正アクセス元であると特定されているため、この通信元からの通信を一定期間遮断する等の防御対策を講じる。なお、処理１５１２における防御対策は、アクセス防止装置８２０によって実行してもよい。

なお、上述の実施例は、ブルートフォース攻撃として、コンピュータを識別するためのＩＤとパスワードとの組み合わせを、ログイン認証を試行することで詐取しようとしている例に沿って説明された。しかし、実施例はこの例示に限定されない。例えば、開示の技術思想は、当該コンピュータやシステムやネットワークに不正に侵入することで、当該コンピュータやシステムやネットワークからデータを詐取したり、当該データの破壊や改ざん等を行なったり、当該コンピュータやシステムやネットワークを機能不全に陥らせたりするサイバー攻撃にも適用可能である。

上述の実施形態に関し、更に以下の付記を開示する。
（付記１）
複数の装置に対して通信の疎通確認をする通信元を特定する第１手段と、
前記通信の疎通確認の試行後に前記通信元によって試行される複数の認証処理を不許可とする第２手段と、
前記複数の認証処理の対象になった複数の装置を特定のサイバー攻撃による攻撃対象候補と特定する第３手段と
を有することを特徴とするセキュリティシステム。
（付記２）
前記攻撃対象候補と特定された前記複数の装置毎の認証処理どうしに特定の相関があるか否かを判定する第４手段と、
前記特定の相関があると判定された場合に、前記通信元を前記特定のサイバー攻撃の攻撃元であると決定する第５手段と
を有することを特徴とする付記１に記載のセキュリティシステム。
（付記３）
要求された認証処理が前記通信元によって試行される認証処理か否かを判定するために、前記通信元による前記通信の疎通確認を検知した場合に前記通信元を識別するための識別情報を記憶装置に記録する第６手段と、
前記通信元が前記特定のサイバー攻撃の攻撃元であると決定された場合に、前記サイバー攻撃の特徴に応じて設定された期間の経過後に前記識別情報を前記記憶装置から削除する第７手段と
を有することを特徴とする付記２に記載のセキュリティシステム。
（付記４）
前記通信の疎通確認をすることが検知されなかった他の通信元によって試行される複数の認証処理の対象となる複数の装置が、前記攻撃対象候補と特定された前記複数の装置に、特定の割合以上で一致すると認められる場合に、前記他の通信元を前記特定のサイバー攻撃の攻撃元であると決定する第８手段
を有することを特徴とする付記１〜３の何れか１つに記載のセキュリティシステム。
（付記５）
前記第２手段は、前記通信元によって試行される前記複数の認証処理を不許可とすると共に、前記認証処理が不許可であることを前記第１通信元に通知する
ことを特徴とする付記１〜４の何れか１つに記載のセキュリティシステム。
（付記６）
前記特定のサイバー攻撃は、認証情報の詐取を試行するブルートフォース攻撃である
ことを特徴とする付記１〜５の何れか１つに記載のセキュリティシステム。
（付記７）
複数の装置に対して通信の疎通確認をする通信元を特定し、
前記通信の疎通確認の試行後に前記通信元によって試行される複数の認証処理を不許可とし、
前記複数の認証処理の対象になった複数の装置を特定のサイバー攻撃による攻撃対象候補と特定する
ことを特徴とするセキュリティ方法。
（付記８）
前記攻撃対象候補と特定された前記複数の装置毎の認証処理どうしに特定の相関があるか否かを判定し、
前記特定の相関があると判定された場合に、前記通信元を前記特定のサイバー攻撃の攻撃元であると決定する
ことを特徴とする付記７に記載のセキュリティ方法。
（付記９）
要求された認証処理が前記通信元によって試行される認証処理か否かを判定するために、前記通信元による前記通信の疎通確認を検知した場合に前記通信元を識別するための識別情報を記憶装置に記録し、
前記通信元が前記特定のサイバー攻撃の攻撃元であると決定された場合に、前記サイバー攻撃の特徴に応じて設定された期間の経過後に前記識別情報を前記記憶装置から削除する
ことを特徴とする付記８に記載のセキュリティ方法。
（付記１０）
前記通信の疎通確認をすることが検知されなかった他の通信元によって試行される複数の認証処理の対象となる複数の装置が、前記攻撃対象候補と特定された前記複数の装置に、特定の割合以上で一致すると認められる場合に、前記他の通信元を前記特定のサイバー攻撃の攻撃元であると決定する
ことを特徴とする付記７〜９の何れか１つに記載のセキュリティ方法。
（付記１１）
複数の装置に対して通信の疎通確認をした通信元によって試行される複数の認証処理の対象になった複数の装置を特定のサイバー攻撃による攻撃対象候補と特定する
ことを特徴とするセキュリティ装置。
（付記１２）
前記攻撃対象候補と特定された前記複数の装置毎の認証処理どうしに特定の相関が認められると、前記通信元を前記特定のサイバー攻撃の攻撃元であると決定する
ことを特徴とする付記１１に記載のセキュリティ装置。
（付記１３）
前記通信の疎通確認をすることが検知されなかった他の通信元によって試行される複数の認証処理の対象となる複数の装置が、前記攻撃対象候補と特定された前記複数の装置に、特定の割合以上で一致すると認められる場合に、前記他の通信元を前記特定のサイバー攻撃の攻撃元であると決定する
ことを特徴とする付記１１又は１２に記載のセキュリティ装置。
（付記１４）
前記通信元によって試行される前記複数の認証処理は不許可とされている
ことを特徴とする付記１１〜１３の何れか１つに記載のセキュリティ装置。
（付記１５）
前記通信元には前記認証処理が不許可であることが通知されている
ことを特徴とする付記１１〜１４の何れか１つに記載のセキュリティ装置。
（付記１６）
前記特定のサイバー攻撃は、認証情報の詐取を試行するブルートフォース攻撃である
ことを特徴とする付記１１〜１５の何れか１つに記載のセキュリティ装置。
（付記１７）
コンピュータに、
複数の装置に対して通信の疎通確認をした通信元によって試行される複数の認証処理の対象になった複数の装置を特定のサイバー攻撃による攻撃対象候補と特定すること
を実行させることを特徴とするプログラム。
（付記１８）
前記攻撃対象候補と特定された前記複数の装置毎の認証処理どうしに特定の相関が認められると、前記通信元を前記特定のサイバー攻撃の攻撃元であると決定すること
を実行させることを特徴とする付記１７に記載のプログラム。
（付記１９）
前記通信の疎通確認をすることが検知されなかった他の通信元によって試行される複数の認証処理の対象となる複数の装置が、前記攻撃対象候補と特定された前記複数の装置に、特定の割合以上で一致すると認められる場合に、前記他の通信元を前記特定のサイバー攻撃の攻撃元であると決定すること
を実行させることを特徴とする付記１７又は１８に記載のプログラム。
（付記２０）
複数の装置に対して通信の疎通確認をする通信元を特定する第１手段と、
前記通信の疎通確認の対象になった前記複数の装置のうちの一部又は全部に対して試行される認証処理を不許可とする第２手段と、
前記複数の装置のうちの前記一部又は前記全部を特定のサイバー攻撃による攻撃対象候補と特定する第３手段と
を有することを特徴とするセキュリティシステム。

１、２ アクセス監視システム
１００、８５０ ネットワーク
１１０、１４０、１６０、８４２、８４４ サーバ装置
１２０、１５０、１７０ アクセス検知装置
１３０、８４６ ストレージ
５００ 攻撃者
５１０ 攻撃装置
５２０、５２２、５２４ 攻撃元
５３０、５３２、５３４、５３６、５３８ 攻撃対象
５４０、５４２、５４４ 攻撃対象群
８００ セキュリティシステム
８１０ アクセス検知装置
８２０ アクセス防止装置
８３０ アクセス分析装置
８４０ システム
９００ コンピュータ
９０２ ＣＰＵ
９０４ ＲＯＭ
９０６ ＲＡＭ
９０８ ハードディスク装置
９１０ 入力装置
９１２ 出力装置
９１４ インタフェース装置
９１６ 記録媒体駆動装置
９１８ 可搬型記録媒体
９２０ バス
１０００、１１００ 検知部
１０１０、１２５０ 特定部
１０２０、１１１０、１２４０ 判定部
１０３０ 転送部
１０４０、１１３０通知部
１０５０ 実行部
１１２０ 応答部
１２００ 取得部
１２１０ 抽出部
１２２０ 計数部
１２３０ 生成部
１２５０ 特定部
１２６０ 決定部

Claims (10)

1. 複数の装置に対して通信の疎通確認をする通信元を特定する第１手段と、
   前記通信の疎通確認の試行後に前記通信元によって試行される複数の認証処理を不許可とする第２手段と、
   前記複数の認証処理の対象になった複数の装置を特定のサイバー攻撃による攻撃対象候補と特定する第３手段と
   を有することを特徴とするセキュリティシステム。
2. 前記攻撃対象候補と特定された前記複数の装置毎の認証処理どうしに特定の相関があるか否かを判定する第４手段と、
   前記特定の相関があると判定された場合に、前記通信元を前記特定のサイバー攻撃の攻撃元であると決定する第５手段と
   を有することを特徴とする請求項１に記載のセキュリティシステム。
3. 要求された認証処理が前記通信元によって試行される認証処理か否かを判定するために、前記通信元による前記通信の疎通確認を検知した場合に前記通信元を識別するための識別情報を記憶装置に記録する第６手段と、
   前記通信元が前記特定のサイバー攻撃の攻撃元であると決定された場合に、前記サイバー攻撃の特徴に応じて設定された期間の経過後に前記識別情報を前記記憶装置から削除する第７手段と
   を有することを特徴とする請求項２に記載のセキュリティシステム。
4. 前記通信の疎通確認をすることが検知されなかった他の通信元によって試行される複数の認証処理の対象となる複数の装置が、前記攻撃対象候補と特定された前記複数の装置に、特定の割合以上で一致すると認められる場合に、前記他の通信元を前記特定のサイバー攻撃の攻撃元であると決定する第８手段
   を有することを特徴とする請求項１〜３の何れか１項に記載のセキュリティシステム。
5. 複数の装置に対して通信の疎通確認をする通信元を特定し、
   前記通信の疎通確認の試行後に前記通信元によって試行される複数の認証処理を不許可とし、
   前記複数の認証処理の対象になった複数の装置を特定のサイバー攻撃による攻撃対象候補と特定する
   ことを特徴とするセキュリティ方法。
6. 複数の装置に対して通信の疎通確認をした通信元を特定し、前記通信の疎通確認の試行後に前記通信元によって試行される複数の認証処理を不許可とし、前記複数の認証処理の対象になった複数の装置を特定のサイバー攻撃による攻撃対象候補と特定する
   ことを特徴とするセキュリティ装置。
7. 前記攻撃対象候補と特定された前記複数の装置毎の認証処理どうしに特定の相関が認められると、前記通信元を前記特定のサイバー攻撃の攻撃元であると決定する
   ことを特徴とする請求項６に記載のセキュリティ装置。
8. 前記通信の疎通確認をすることが検知されなかった他の通信元によって試行される複数の認証処理の対象となる複数の装置が、前記攻撃対象候補と特定された前記複数の装置に、特定の割合以上で一致すると認められる場合に、前記他の通信元を前記特定のサイバー攻撃の攻撃元であると決定する
   ことを特徴とする請求項６又は７に記載のセキュリティ装置。
9. 前記通信元によって試行される前記複数の認証処理は不許可とされている
   ことを特徴とする請求項６〜８の何れか１項に記載のセキュリティ装置。
10. コンピュータに、
    複数の装置に対して通信の疎通確認をした通信元を特定し、前記通信の疎通確認の試行後に前記通信元によって試行される複数の認証処理を不許可とし、前記複数の認証処理の対象になった複数の装置を特定のサイバー攻撃による攻撃対象候補と特定すること
    を実行させることを特徴とするプログラム。