JP7468658B2

JP7468658B2 - セキュリティ設定支援装置、セキュリティ設定支援方法、及びプログラム

Info

Publication number: JP7468658B2
Application number: JP2022534503A
Authority: JP
Inventors: 雄太風戸
Original assignee: Nippon Telegraph and Telephone Corp; NTT Inc USA
Current assignee: NTT Inc; NTT Inc USA
Priority date: 2020-07-06
Filing date: 2020-07-06
Publication date: 2024-04-16
Anticipated expiration: 2040-07-06
Also published as: JPWO2022009274A1; WO2022009274A1; US20230269274A1

Description

本発明は、ネットワークセキュリティの分野においてセキュリティ設定支援を行うための技術に関連するものである。

ネットワークサービスやアプリケーションサービスの提供を妨害するＤＤｏＳ攻撃（ＤｉｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅａｔｔａｃｋ）の高度化が進んでいる。近年では、ＤＤｏＳ攻撃の中でも、マルチベクトル型ＤＤｏＳ攻撃が主流である。

マルチベクトル型ＤＤｏＳ攻撃とは、インフラストラクチャレイヤ攻撃（ＯＳＩモデルにおけるレイヤ３及びレイヤ４）とアプリケーションレイヤ攻撃（レイヤ６及びレイヤ７）に属する攻撃手法を、複数種組み合わせたＤＤｏＳ攻撃である。

マルチベクトル型ＤＤｏＳ攻撃からサービスの提供を防衛するためには、オンプレミス型の装置、クラウド型の装置、及びセキュリティサービス等を複数利用してＤＤｏＳ攻撃を検知して、それに対処する必要がある。例えば、転送機能を有するネットワーク装置、ＷＡＦ（ＷｅｂＡｐｐｌｉｃａｔｉｏｎＦｉｒｅｗａｌｌ）やＩＰＳ（ＩｎｔｒｕｓｉｏｎＰｒｅｖｅｎｔｉｏｎＳｙｓｔｅｍ）等のセキュリティ装置、クラウド型のＤＤｏＳ緩和サービス等を利用することが考えられる。

また、複数の装置及びセキュリティサービスを利用する場合、ネットワークの構成、新規アプリケーションサービスの提供要件及びＳＬＡに合わせて、各装置・セキュリティサービスの導入毎にセキュリティ設定を行う必要がある。特に、クラウドネイティブなＮＷ（ネットワーク）においては、ＮＷ構成やＮＷ環境が柔軟に変更されるため、その都度、セキュリティ設定の見直し及びチューニングが必要である。

ＤＤｏＳ攻撃の検知及び対処に関する従来技術として、セキュリティ装置等にしきい値を設定する方法がある（非特許文献１、非特許文献２）。この方法では、例えば、セキュリティ装置等が監視する通信量、セッション数、リソース量等の数値が、設定したしきい値を超えた場合に、該当する通信をＤＤｏＳ攻撃と判断し、遮断や緩和等の対処を実行する。

また、非特許文献３には、トラフィックをルータやスイッチ等のネットワーク装置でサンプリング収集した後、ＮｅｔＦｌｏｗ等のフロートラフィック形式で転送し、フロートラフィックに含まれる統計情報を基にしきい値でＤＤｏＳ攻撃を検知する方法が開示されている。本方式を利用することでネットワーク事業者が有するネットワーク装置を用いたＤＤｏＳ攻撃の検知も可能となる。

セキュリティ装置の導入時、新規アプリケーションサービス導入時、ネットワークの構成変更時等において、シグネチャ（パターンマッチングによる攻撃検知方法）やしきい値の設定によってサービスに関連する正常通信の誤検知や攻撃通信の見逃しが発生してないかを、セキュリティ運用の中で一定期間検証することが一般的であり、この検証期間をステージングという。

このようなステージングを実施することにより、ＤＤｏＳ攻撃のしきい値を適切な値に設定することによる検知精度の向上、及び、設定ミスや不要なシグネチャを発見することが可能になるというメリットがある。

一方、ステージングによりブロッキング設定からアラート設定に変更するため、セキュリティレベルが低下したり、ステージングの運用における設定確認やチューニング分析に関するオペレーションコストが発生するというデメリットがある。

このようなステージングを短縮する方法として、シグネチャの試験的な適用により予め検証を行う方法が提案されている（非特許文献４）。

Cisco SCE8000 10GBE ソフトウェアコンフィギュレーションガイド: DDoS 攻撃の識別と防御、https://www.cisco.com/c/ja_jp/td/docs/secg/servcntrl/servcntrloperatingsystems/cg/002/sce8000swcg/ddos.html Arbor Networks APS、https://www.nissho-ele.co.jp/product/arbor/arbor_aps.html 水口孝則他，"トラフィック解析システムSAMURAIとサービス展開"、NTT技術ジャーナル2008.7.、http://www.ntt.co.jp/journal/0807/files/jn200807016.pdf F5製品&サービス総合カタログ、https://www.ntt-at.co.jp/product/big-ip/docs/F5Service_Family_Catalog.pdf

上述したように、マルチベクトル型ＤＤｏＳ攻撃を検知する場合には、複数種類の攻撃を精度高く検知するために、オンプレミス型の装置、クラウド型の装置、及びセキュリティサービス（例：ＤＤｏＳ緩和サービス）を利用することが有効である。

新規アプリケーションサービス導入時において、ＤＤｏＳ検知可能であり、かつ提供するアプリケーションサービス毎の提供形態、ＳＬＡ（ＳｅｒｖｉｃｅＬｅｖｅｌＡｇｒｅｅｍｅｎｔ）に合うように、各装置・セキュリティサービスのしきい値をチューニングする必要がある。

しかし、しきい値をネットワーク全体で正しく設定することは容易なことではない。しきい値がネットワーク全体で正しく設定されない場合、マルチベクトル型ＤＤｏＳ攻撃の見逃し、正常通信の誤検知、ＳＬＡを満たさない、等の事象が発生する可能性がある。

また、従来技術では、複数の装置・セキュリティサービスにおいて個別にしきい値を設定するためには、ステージングを実施する必要があり、前述したように、セキュリティレベルが低下し、オペレーションコストが増加する。

本発明は、上記の点に鑑みてなされたものであって、セキュリティレベルの低下及びオペレーションコストの増加を抑えながら、ネットワーク上の装置に対してセキュリティ設定を正しく行うことを可能とする技術を提供することを目的とする。

開示の技術によれば、ネットワーク上の装置に対するセキュリティ設定を支援するセキュリティ設定支援装置であって、
前記ネットワークにおけるトラフィックデータから得られた特徴量からなる検証シナリオと、セキュリティ設定パラメータとに基づいて、機械学習を用いた事前検証シミュレーションを行うことにより、当該セキュリティ設定パラメータが前記装置に対して設定可能であるか否かを判断する事前検証部と、
前記事前検証の結果を出力する検証結果出力部と、を備え、
前記セキュリティ設定パラメータは、前記ネットワーク上のＤＤｏＳ攻撃を検知するためのしきい値であり、
前記事前検証部は、前記しきい値によりＤＤｏＳ攻撃を見逃していないかどうか、前記しきい値により正常通信をＤＤｏＳ攻撃であると誤検知していないかどうか、又は、前記しきい値によりサービスのＳＬＡを満たしているかどうか、に基づいて前記判断を行う
セキュリティ設定支援装置が提供される。

開示の技術によれば、セキュリティレベルの低下及びオペレーションコストの増加を抑えながら、ネットワーク上の装置に対してセキュリティ設定を正しく行うことを可能とする技術が提供される。

本発明の実施の形態におけるシステム構成図である。ネットワークトポロジ構成ＤＢの構造例を示す図である。サービス情報ＤＢの構造例を示す図である。装置設定情報ＤＢの構造例を示す図である。検証結果格納ＤＢの構造例を示す図である。セキュリティ設定支援装置の動作を説明するためのフローチャートである。ＤＤｏＳ検知用のしきい値がＤＤｏＳ攻撃を見逃していないかどうか、という評価を行う例を示す図である。ＤＤｏＳ検知用しきい値が正常通信をＤＤｏＳ攻撃であると誤検知していないかどうか、という評価を行う例を示す図である。装置のハードウェア構成例を示す図である。

以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。

本実施の形態では、ネットワークシステムの複数装置を対象として、マルチベクトル型ＤＤｏＳ攻撃を検知するためのしきい値設定を支援する技術を想定している。ただし、本実施の形態に係る技術は、マルチベクトル型ＤＤｏＳ攻撃以外のＤＤｏＳ攻撃、及び、ＤＤｏＳ攻撃以外の攻撃にも適用可能である。

また、本実施の形態では、事前検証の対象とするセキュリティ設定パラメータとして、ＤＤｏＳ攻撃検知用のしきい値を用いているが、本実施の形態に係る技術は、しきい値以外のセキュリティ設定パラメータに対して適用することも可能である。

本実施の形態では、セキュリティ設定支援装置が、アプリケーションサービス及びＤＤｏＳ攻撃に関連するトラフィックデータを数値パラメータの特徴量に変換し、機械学習による事前検証シミュレーションによって、セキュリティ設定パラメータの予測値を算出、予測値に基づくセキュリティ設定を事前検証して評価を行って、セキュリティ設定支援を行う。以下、セキュリティ設定支援装置の構成と動作を詳細に説明する。

（装置構成例）
図１に、本実施の形態におけるセキュリティ設定支援装置１００の構成例を示す。図１には、セキュリティ設定支援装置１００がセキュリティ設定の対象とする装置やサービスの例として、インフラシステム１０のＡＰＬ１１、セキュリティ装置２０、ネットワーク装置３０、クラウドシステム４０のセキュリティサービス５０等が示されている。なお、図１に示す、セキュリティ設定支援装置１００がセキュリティ設定の対象とし得る装置及びサービスの配置は一例であり、これに限られるわけではない。また、図１において、クラウドシステムで提供される機能を「サービス」と称しているが、クラウドシステムで提供される機能についても「装置」と称してもよい。

図１に示すように、セキュリティ設定支援装置１００は、通信部１１０、処理部１２０、記録部１３０を有する。

通信部１１０は、設定収集部１１１、及び設定制御部１１２を有する。処理部１２０は、経路算出部１１３、設定装置選定部１１４、検証結果通知部１１５、及び事前検証部１１６を有する。設定制御部１１２等の設定制御を行う機能部については、セキュリティ設定支援装置１００の外部に備えられていてもよい。

記録部１３０は、ネットワークトポロジ構成ＤＢ（データベース）１３１、サービス情報ＤＢ１３２、装置設定情報ＤＢ１３３、検証シナリオＤＢ１３４、及び検証結果格納ＤＢ１３５を有する。各部の機能は下記のとおりである。

設定収集部１１１は、ネットワークシステムの装置及びサービスからセキュリティ設定に関する情報を収集する。収集の対象とする装置は、例えば、ネットワーク装置、セキュリティ装置、アプリケーションサーバ、インフラシステム（Ｋｕｂｅｒｎｅｔｅｓ、ＯｐｅｎＳｔａｃｋ等）等である。収集の対象とするデータは、例えば、コンフィグ情報、ＳＮＭＰデータ、フロートラフィックデータ（ＮｅｔＦｌｏｗ、ｓＦｌｏｗ等）等である。

経路算出部１１３は、ネットワークトポロジ構成ＤＢ１３１の情報を基にユーザクライアントからアプリケーションサービス（インフラシステム等）までのネットワーク経路情報を算出する。

設定装置選定部１１４は、経路算出部１１３で算出したネットワーク経路情報を基に、セキュリティ設定の対象となる装置を抽出する。

事前検証部１１６は、検証シナリオ、セキュリティ設定パラメータ、サービス情報等に基づいて、しきい値の事前検証シミュレーションを実行する。

検証結果通知部１１５は、事前検証結果をオペレータに通知する。検証結果通知部１１５は、ＧＵＩをオペレータの端末に表示し、オペレータが検証結果の確認及びセキュリティ設定の指示決定を選択可能としている。なお、検証結果通知部１１５を検証結果出力部と称してもよい。

設定制御部１１２は、設定対象となる各装置にセキュリティ設定を実行する。設定制御先は各装置であるが、転送装置のようなフロートラフィック出力がメインである装置の場合は、フロートラフィック分析装置に対して、しきい値の設定を実行する。このフロートラフィック分析装置は、例えば非特許文献３に開示されているＳＡＭＵＲＡＩのような装置でもよい。

次に、記録部１３０における各ＤＢについて説明する。

ネットワークトポロジ構成ＤＢ１５１は、ネットワークシステム内の装置間接続等の構成情報を格納する。図２に、ネットワークトポロジ構成ＤＢ１５１の構造例を示す。サービス情報ＤＢ１３２は、アプリケーションサービスの提供形態やＳＬＡに関する情報を格納する。図３に、サービス情報ＤＢ１３２の構造例を示す。

装置設定情報ＤＢ１３５は、対象装置から収集したセキュリティ設定情報を格納する。図４に、装置設定情報ＤＢ１３５の構造例を示す。検証シナリオＤＢ１３４は、トラフィックデータを数値特徴量に変換した検証シナリオ（正常サービス、ＤＤｏＳ攻撃）を格納する。検証結果格納ＤＢ１３５は、事前検証部１１６におけるシミュレーション検証結果を格納する。検証結果格納ＤＢ１３５の構造例を図５に示す。以下、ＤＢに格納される主な情報について説明する。

＜検証シナリオについて＞
まず、検証シナリオについて説明する。検証シナリオは、あるサービスにおける正常時あるいはＤＤｏＳ攻撃時のトラフィックデータ（例えば、クライアントとインフラシステムの間にあるサービス経路上のネットワーク装置で観測されたトラフィックデータ）から変換された数値パラメータであり、トラフィックの特徴を示す特徴量である。

当該特徴量は、例えば、通信量、コネクション数、サーバリソース量等である。当該特徴量は、通信量、コネクション数、サーバリソース量等の時系列の変化を示す特徴量であってもよい。「通信量、コネクション数、サーバリソース量等」とは、通信量のみ、コネクション数のみ、又は、サーバリソース量のみであってもよいし、通信量、コネクション数、サーバリソース量のうちにいずれか２つの組み合わせであってもよいし、通信量、コネクション数、サーバリソース量の全部であってもよい。

検証シナリオとして、例えば、サービス毎に、正常時とＤＤｏＳ攻撃時の数値パラメータを用意しておく。該当の数値パラメータにより、該当するサービスのトラフィックパターンが表現される。

検証シナリオに利用するトラフィックパターンの例として、ＨＴＴＰアプリケーションに対するトラフィックパターン、映像配信アプリケーションに対するトラフィックパターン、ネットワーク帯域占有型ＤＤｏＳ攻撃トラフィックパターン、アプリケーションレイヤＤＤｏＳ攻撃トラフィックパターン等がある。検証シナリオは予め作成しておき、検証シナリオＤＢ１３４に格納しておく。セキュリティ設定の事前検証実行時に、検証シナリオＤＢ１３４から検証シナリオが読み出されて使用される。

＜サービス情報について＞
サービス情報に関して、アプリケーションサービスの種類（ＨＴＴＰ、映像配信、ＶＰＮ等）毎に、そのサービスを提供するインフラシステムの識別情報、及び当該サービスのＳＬＡ（ＳｅｒｖｉｃｅＬｅｖｅｌＡｇｒｅｅｍｅｎｔ）がセキュリティ設定支援装置１００に入力され、入力された情報はサービス情報ＤＢ１３２に格納される。ＳＬＡの項目としては、例えば、図３に示したように、遅延時間、サービス稼働率、帯域保証等がある。

＜セキュリティ設定情報について＞
セキュリティ設定情報として、各装置・サービスから、ＤＤｏＳ攻撃検知のためのしきい値を設定可能か否かを示す情報（ａｖａｉｌａｂｌｅ，ｕｎａｖａｉｌａｂｌｅ）が取得され、図４に示すように、装置設定情報ＤＢ１３５に格納される。図４の例において、例えばＤｅｖｉｃｅ＿Ａに関しては、通信量についてのしきい値は設定可能であるが、セッション数とＨＴＴＰ接続時間についてのしきい値は設定不可であることを示す。図４に示すセキュリティ設定情報は、設定制御部１１２によりしきい値を各装置・サービスに設定する際に使用される。例えば、ある装置について、ａｖａｉｌａｂｌｅである項目（例：通信量）のしきい値を設定し、ｕｎａｖａｉｌａｂｌｅである項目（例：セッション数）のしきい値を設定しない。

（セキュリティ設定支援装置１００の動作例）
図６は、セキュリティ設定支援装置１００によるセキュリティ設定の事前検証に関わる動作例を説明するためのフローチャートである。図６のフローチャートの手順に沿って、セキュリティ設定支援装置１００の動作例を説明する。

＜Ｓ１０１＞
Ｓ１０１において、事前検証部１１６は、サービス情報ＤＢ１３２からアプリケーションサービスのサービス情報を読み込み、検証シナリオＤＢ１３４から検証シナリオを読み込む。また、事前検証の対象となるセキュリティ設定パラメータ（具体的にはしきい値）を入力する。当該セキュリティ設定パラメータは、例えば、オペレータにより、検証結果通知部１１５のＧＵＩを用いてセキュリティ設定支援装置１００に入力される。

例えば、アプリケーションサービスとして、ＨＴＴＰサービスを対象とする場合、事前検証部１１６は、サービス情報ＤＢ１３２から、ＨＴＴＰサービスについてのＳＬＡを読み込む。

また、検証シナリオについて、上記の例と同様に、ＨＴＴＰサービスを対象とする場合、正常時のＨＴＴＰアプリケーションのトラフィックパターンに対応する検証シナリオ、ＤＤｏＳ攻撃時のトラフィックパターンに対応する検証シナリオを読み込む。ＤＤｏＳ攻撃時のトラフィックパターンに対応する検証シナリオについては、当該サービス（ＨＴＴＰサービス）に対するＤＤｏＳ攻撃の種類に応じて複数の検証シナリオが読み込まれ得る。

また、ＨＴＴＰサービスに対する事前検証を行う場合において、事前検証部１１６には、ＨＴＴＰサービスに対するＤＤｏＳ攻撃検知のためのしきい値がセキュリティ設定パラメータとして入力される。例えば、通信量＝１００Ｍｂｐｓ、セッション数＝１００００、ＨＴＴＰ接続時間＝６００ｓといった値を、事前検証シミュレーションのためのセキュリティ設定パラメータとして入力する。

＜Ｓ１０２～Ｓ１０６＞
Ｓ１０２において、事前検証部１１６は、複数の検証シナリオのうちの１つの検証シナリオを取得する。

Ｓ１０３において、事前検証部１１６は、事前検証シミュレーションにおいて使用するセキュリティ設定パラメータを調整する。ただし、事前検証シミュレーション実行前は、入力したセキュリティ設定パラメータを使用する。

Ｓ１０４において、事前検証部１１６は、サービス情報、セキュリティ設定パラメータ、及び検証シナリオを用いて事前検証シミュレーションを実行する。

本実施の形態では、機械学習による事前検証シミュレーションを行っている。機械学習の手法は特定の手法に限定されないが、市中一般に利用されている教師あり機械学習の手法を利用することができる。

一例として、ニューラルネットワークにより構成されたモデルを用いて事前検証シミュレーションを行うことができる。

上記モデルを用いる場合、例えば、教師あり学習によりモデルを学習しておき、学習済みのモデル（具体的には、学習済みの重みパラメータ等）を事前検証部１１６に格納しておく。事前検証部１１６は、当該モデルに、セキュリティ設定パラメータ、及び検証シナリオ等を入力し、モデルからの出力により当該セキュリティ設定パラメータの設定可否を判断する。

学習においては、例えば、上記のモデルに、学習データを入力し、モデルからの出力（例：設定可又は設定不可）を正解と比較し、出力が正確に近くなるようにモデルのパラメータを調整する処理を、多数の学習データについて行う。

学習データに関して、例えば、ある検証シナリオ（ＤＤｏＳ攻撃時のトラヒックパターンを示す特徴量Ａとする）に対し、あるセキュリティ設定パラメータ（ＤＤｏＳ攻撃検知のためのしきい値Ｂとする）では、設定不可（例：ＤＤｏＳ攻撃検知ができない）ことが正解としてわかっている場合、「特徴量Ａ、しきい値Ｂ、設定不可」が学習データとなる。

この場合、「特徴量Ａ、しきい値Ｂ」がモデルに入力され、モデルからの出力が正解「設定不可」と比較され、パラメータ調整が行われる。このような処理が、予め用意された多数の学習データを用いてなされる。

モデルの学習の処理は、セキュリティ設定支援装置１００が実行してもよいし、セキュリティ設定支援装置１００の外部のコンピュータが実行してもよい。

また、学習データの正解は、上記のように設定可否を表す情報であってもよいし、推奨セキュリティ設定パラメータ（推奨しきい値）であってもよい。学習データの正解として、推奨セキュリティ設定パラメータ（推奨しきい値）を有する学習データを用いて学習されたモデルを用いる場合、事前検証結果として、設定可であれば、推奨セキュリティ設定パラメータ（推奨しきい値）が出力される。

Ｓ１０５において、事前検証部１１６は、事前検証シミュレーションの結果が設定可能であるか否かを確認し、設定可能でなければ、Ｓ１０３でセキュリティ設定パラメータを調整（例えば、しきい値を上げる、又は、しきい値を下げる）して、調整後のセキュリティ設定パラメータを用いて、事前検証シミュレーションを再度実行し（Ｓ１０４）し、結果の確認を行う（Ｓ１０５）。この処理は、シミュレーション結果が「設定可能」になるまで繰り返され、設定可能になったらＳ１０６に進む。なお、予め決められた回数を繰り返したら、「設定不可」であっても、Ｓ１０６に進むこととしてもよい。対象とする全検証シナリオに対して、Ｓ１０２～Ｓ１０５の処理が実行される（Ｓ１０６）。

事前検証シミュレーションによる評価の具体例を図７、図８を参照して説明する。

図７は、ＤＤｏＳ検知用のしきい値がＤＤｏＳ攻撃を見逃していないかどうか、という評価を行う例を示している。

図７（ａ）は、ある検証シナリオ（＝ＤＤｏＳ攻撃のトラフィックパターンを示す特徴量）について、あるしきい値により事前検証シミュレーションを行った結果、ＤＤｏＳ攻撃が見逃されること（つまり、設定不可であること）を示している。この場合、図７（ｂ）に示すように、事前検証部１１６は、しきい値を下げて、再度事前検証シミュレーションを実行する。

図８は、ＤＤｏＳ検知用しきい値が正常通信をＤＤｏＳ攻撃であると誤検知していないかどうか、という評価を行う例を示している。

図８（ａ）は、ある検証シナリオ（＝正常通信のトラフィックパターンを示す特徴量）について、あるしきい値により事前検証を行った結果、正常通信をＤＤｏＳ攻撃であると誤検知していること（つまり、設定不可であること）を示している。この場合、図８（ｂ）に示すように、事前検証部１１６は、しきい値を上げて、再度事前検証シミュレーションを実行する。

また、事前検証シミュレーションによる評価として、セキュリティ設定がアプリケーションサービスのＳＬＡを満たしているかどうかの評価を行うこともできる。例えば、ＳＬＡとしては、遅延時間、サービス稼働率、帯域保障等がある。例えば、ＤＤｏＳ攻撃検知のために、あるしきい値を設定して事前検証シミュレーションを行った結果、そのしきい値を用いた場合には、遅延時間がＳＬＡを超えてしまう場合（つまり、設定不可の場合）、しきい値を変更する調整が行われる。

上記のような評価は、様々なしきい値、想定される様々な検証シナリオ、及び、正解（例：ＤＤｏＳ攻撃検知／見逃し、正常通信誤検知あり／誤検知なし、ＳＬＳを満たす／満たさない）からなる多数の学習データにより学習されたモデルを用いることで実現可能である。

＜Ｓ１０７～Ｓ１０９＞
図６のＳ１０７において、検証結果通知部１１５は、オペレータに対して事前検証結果を通知する。

例えば、ＨＴＴＰサービスについて事前検証を行った場合に、「設定可」であるとの事前検証結果が得られた場合に、検証結果通知部１１５は、ＨＴＴＰサービスについて事前検証は「設定可」であることを示す情報をオペレータに通知する。また、例えば、ＨＴＴＰサービスについて事前検証を行った場合に、「設定不可」であるとの事前検証結果が得られた場合に、検証結果通知部１１５は、ＨＴＴＰサービスについて事前検証は「設定不可」であることを示す情報をオペレータに通知する。

オペレータは、例えば、「設定可」であるとの通知を受けた場合に、セキュリティ設定支援装置１００に対して設定指示を行う（Ｓ１０８のＹｅｓ）。この場合、Ｓ１０９において、設定制御部１１２が、設定対象の装置とサービスに対し、事前検証で設定可となったセキュリティ設定パラメータ（しきい値）を設定する。

例えば、事前検証の結果、セキュリティ設定パラメータ（具体的には、ＤＤｏＳ攻撃検知のためのしきい値）として、通信量＝１００Ｍｂｐｓ、セッション数＝１００００、ＨＴＴＰ接続時間＝６０００ｓが、事前検証シミュレーションで「設定可」になったとする。

また、経路算出部１１３は、サービス情報ＤＢ１３２から取得した設定対象のインフラＩＤと、ネットワークトポロジ構成ＤＢ１３１の情報とに基づいて、対象サービスについての経路上に存在する設定対象の装置及びサービスを選定し、選定結果を設定制御部１１２に渡す。また、設定対象の装置及びサービスについてのセキュリティ設定情報を装置設定情報ＤＢ１３５から取得する。

仮に、設定対象の装置がネットワーク装置Ａであるとして、そのセキュリティ設定情報が、通信量＝ａｖａｉｌａｂｌｅ、セッション数＝ｕｎａｖａｉｌａｂｌｅ、ＨＴＴＰ接続時間＝ｕｎａｖａｉｌａｂｌｅであるとすると、設定制御部１１２は、ネットワーク装置Ａに対して、通信量＝１００Ｍｂｐｓを、セキュリティ設定パラメータとして設定する。

（ハードウェア構成例）
本実施の形態におけるセキュリティ設定支援装置１００は、例えば、コンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。なお、この「コンピュータ」は、物理マシンであってもよいし、クラウド上の仮想マシンであってもよい。仮想マシンを使用する場合、ここで説明する「ハードウェア」は仮想的なハードウェアである。

上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。

図９は、上記コンピュータのハードウェア構成例を示す図である。図９のコンピュータは、それぞれバスＢＳで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、入力装置１００７、出力装置１００８等を有する。

当該コンピュータでの処理を実現するプログラムは、例えば、ＣＤ－ＲＯＭ又はメモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１０００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って、セキュリティ設定支援装置１００に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１００６はプログラムによるＧＵＩ（ＧｒａｐｈｉｃａｌＵｓｅｒＩｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。出力装置１００８は演算結果を出力する。

（実施の形態の効果等）
本実施の形態に係る技術により、複数装置・セキュリティサービスにおけるＤＤｏＳ検知に関するしきい値を事前検証後に設定することで、ステージングを短縮してもマルチベクトル型ＤＤｏＳ攻撃を高精度に検知可能となる。これにより、ＤＤｏＳ検知のしきい値が正しく設定されないことによる誤検知・見逃しが発生することを防止できる。

また、本実施の形態に係る技術により、事前検証による効率的なセキュリティ設定が可能であり、新規サービス導入時やＮＷ構成変更時毎において、ステージング期間短縮によるセキュリティレベルの継続的担保及びオぺレーションコスト削減が可能となる。これにより、ステージング実施によるセキュリティレベル低下、及びオペレーションコスト増加を抑制できる。

すなわち、本実施の形態に係る技術では、検証環境における実装置、実サービスを用いた検証ではなく、実環境から得られたトラフィックパターン等を数値特徴量データに変換した後、機械学習手法を用いたシミュレーションでセキュリティ設定を評価することとしているので、オペレーションコスト、検証コストを削減できる。

（実施の形態のまとめ）
本明細書には、少なくとも下記の各項に記載したセキュリティ設定支援装置、セキュリティ設定支援方法、及びプログラムが記載されている。
（第１項）
ネットワーク上の装置に対するセキュリティ設定を支援するセキュリティ設定支援装置であって、
前記ネットワークにおけるトラフィックデータから得られた特徴量からなる検証シナリオと、セキュリティ設定パラメータとに基づいて、当該セキュリティ設定パラメータが前記装置に対して設定可能であるか否かを判断する事前検証を行う事前検証部と、
前記事前検証の結果を出力する検証結果出力部と
を備えるセキュリティ設定支援装置。
（第２項）
前記事前検証部により設定可能であると判断されたセキュリティ設定パラメータを前記装置に設定する設定制御部
を更に備える第１項に記載のセキュリティ設定支援装置。
（第３項）
前記事前検証部は、教師ありの機械学習により学習された学習済みのモデルを用いて、事前検証シミュレーションを行うことにより、前記判断を行う
第１項又は第２項に記載のセキュリティ設定支援装置。
（第４項）
前記事前検証部は、前記セキュリティ設定パラメータが前記装置に対して設定可能ではないと判断した場合に、前記セキュリティ設定パラメータを変更し、変更後のセキュリティ設定パラメータを用いて、前記判断を再度実行する
第１項ないし第３項のうちいずれか１項に記載のセキュリティ設定支援装置。
（第５項）
前記セキュリティ設定パラメータは、前記ネットワーク上のＤＤｏＳ攻撃を検知するためのしきい値である
第１項ないし第４項のうちいずれか１項に記載のセキュリティ設定支援装置。
（第６項）
前記事前検証部は、前記しきい値によりＤＤｏＳ攻撃を見逃していないかどうか、前記しきい値により正常通信をＤＤｏＳ攻撃であると誤検知していないかどうか、又は、前記しきい値によりサービスのＳＬＡを満たしているかどうか、に基づいて前記判断を行う
第５項に記載のセキュリティ設定支援装置。
（第７項）
ネットワーク上の装置に対するセキュリティ設定を支援するセキュリティ設定支援装置が実行するセキュリティ設定支援方法であって、
前記ネットワークにおけるトラフィックデータから得られた特徴量からなる検証シナリオと、セキュリティ設定パラメータとに基づいて、当該セキュリティ設定パラメータが前記装置に対して設定可能であるか否かを判断する事前検証を行う事前検証ステップと、
前記事前検証の結果を出力する検証結果出力ステップと
を備えるセキュリティ設定支援方法。
（第８項）
コンピュータを、第１項ないし第６項のうちいずれか１項に記載のセキュリティ設定支援装置における各部として機能させるためのプログラム。

以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１０インフラシステム
１１ＡＰＬ
２０セキュリティ装置
３０ネットワーク装置
４０クラウドシステム
５０セキュリティサービス
６０クライアント
１００セキュリティ設定支援装置
１１０通信部
１２０処理部
１３０記録部
１１１設定収集部
１１２設定制御部
１１３経路算出部
１１４設定装置選定部
１１５検証結果通知部
１１６事前検証部
１３１ネットワークトポロジ構成ＤＢ
１３２サービス情報ＤＢ
１３３装置設定情報ＤＢ
１３４検証シナリオＤＢ
１３５検証結果格納ＤＢ
１０００ドライブ装置
１００１記録媒体
１００２補助記憶装置
１００３メモリ装置
１００４ＣＰＵ
１００５インタフェース装置
１００６表示装置
１００７入力装置
１００８出力装置

Claims

ネットワーク上の装置に対するセキュリティ設定を支援するセキュリティ設定支援装置であって、
前記ネットワークにおけるトラフィックデータから得られた特徴量からなる検証シナリオと、セキュリティ設定パラメータとに基づいて、機械学習を用いた事前検証シミュレーションを行うことにより、当該セキュリティ設定パラメータが前記装置に対して設定可能であるか否かを判断する事前検証部と、
前記事前検証の結果を出力する検証結果出力部と、を備え、
前記セキュリティ設定パラメータは、前記ネットワーク上のＤＤｏＳ攻撃を検知するためのしきい値であり、
前記事前検証部は、前記しきい値によりＤＤｏＳ攻撃を見逃していないかどうか、前記しきい値により正常通信をＤＤｏＳ攻撃であると誤検知していないかどうか、又は、前記しきい値によりサービスのＳＬＡを満たしているかどうか、に基づいて前記判断を行う
セキュリティ設定支援装置。
前記事前検証部により設定可能であると判断されたセキュリティ設定パラメータを前記装置に設定する設定制御部
を更に備える請求項１に記載のセキュリティ設定支援装置。
前記事前検証部は、教師ありの機械学習により学習された学習済みのモデルを用いて、事前検証シミュレーションを行うことにより、前記判断を行う
請求項１又は２に記載のセキュリティ設定支援装置。
前記事前検証部は、前記セキュリティ設定パラメータが前記装置に対して設定可能ではないと判断した場合に、前記セキュリティ設定パラメータを変更し、変更後のセキュリティ設定パラメータを用いて、前記判断を再度実行する
請求項１ないし３のうちいずれか１項に記載のセキュリティ設定支援装置。
ネットワーク上の装置に対するセキュリティ設定を支援するセキュリティ設定支援装置が実行するセキュリティ設定支援方法であって、
前記ネットワークにおけるトラフィックデータから得られた特徴量からなる検証シナリオと、セキュリティ設定パラメータとに基づいて、機械学習を用いた事前検証シミュレーションを行うことにより、当該セキュリティ設定パラメータが前記装置に対して設定可能であるか否かを判断する事前検証ステップと、
前記事前検証の結果を出力する検証結果出力ステップと、を備え、
前記セキュリティ設定パラメータは、前記ネットワーク上のＤＤｏＳ攻撃を検知するためのしきい値であり、
前記事前検証ステップにおいて、前記しきい値によりＤＤｏＳ攻撃を見逃していないかどうか、前記しきい値により正常通信をＤＤｏＳ攻撃であると誤検知していないかどうか、又は、前記しきい値によりサービスのＳＬＡを満たしているかどうか、に基づいて前記判断を行う
セキュリティ設定支援方法。
コンピュータを、請求項１ないし４のうちいずれか１項に記載のセキュリティ設定支援装置における各部として機能させるためのプログラム。