(57)【要約】      （修正有）【課題】内部ネットワークの入口部分において不正データの侵入を防止するとともに、不正データに感染した感染コンピュータを隔離することにより、コンピュータシステムのセキュリティを向上する。【解決手段】セキュリティシステム１０は、コンピュータネットワークの前段において不正データの侵入を防止する入口保護システム２００と、感染コンピュータによる不正動作を抑制する出口保護システム１００とを備える。出口保護システムはさらに、感染コンピュータをコンピュータネットワークから隔離する排除システム１１０を備える。【選択図】図１
2020047175.tif 000002
【特許請求の範囲】
【請求項１】
情報システムに対するサイバー攻撃から前記情報システムを保護するセキュリティシステムであって、
前記情報システムと外部ネットワークとの間に配置され、前記外部ネットワークから前記情報システムに対して侵入しようとする攻撃をブロックする入口保護システム、
前記情報システムに属するコンピュータが不正データに感染したときそのコンピュータによる不正動作を抑制する出口保護システム、
を備え、
前記出口保護システムはさらに、前記情報システムが接続されているコンピュータネットワークから前記不正データに感染した感染コンピュータを隔離する不正コンピュータ排除システムを備える
ことを特徴とするセキュリティシステム。
【請求項２】
前記不正コンピュータ排除システムは、前記感染コンピュータと前記コンピュータネットワークとの間の通信経路を遮断することにより、前記感染コンピュータを前記コンピュータネットワークから隔離する
ことを特徴とする請求項１記載のセキュリティシステム。
【請求項３】
前記コンピュータネットワークは、前記コンピュータネットワークに属する各コンピュータと前記感染コンピュータとの間の通信経路を定義する通信経路データを管理するルータを備え、
前記不正コンピュータ排除システムは、前記コンピュータネットワークに属する各コンピュータと前記感染コンピュータとの間の通信経路が存在しなくなるように前記通信経路データを書き換えることにより、前記感染コンピュータと前記コンピュータネットワークとの間の通信経路を遮断する
ことを特徴とする請求項２記載のセキュリティシステム。
【請求項４】
前記コンピュータネットワークは、前記コンピュータネットワークに属する各コンピュータと前記感染コンピュータとの間の通信を中継するネットワークスイッチを備え、
前記ネットワークスイッチは、コンピュータと接続する通信ポートを複数備えるとともに、各前記通信ポート間の接続を内部的に変更することができるように構成されており、
前記不正コンピュータ排除システムは、前記感染コンピュータから前記コンピュータネットワークに属する各コンピュータに対する通信を中継しないように各前記通信ポート間の接続を変更することにより、前記感染コンピュータと前記コンピュータネットワークとの間の通信経路を遮断する
ことを特徴とする請求項２記載のセキュリティシステム。
【請求項５】
前記不正コンピュータ排除システムは、前記コンピュータネットワークに属するコンピュータのＩＰアドレスとＭＡＣアドレスとの間の対応関係を回答するように要求するアドレス解決パケットを監視し、
前記不正コンピュータ排除システムは、前記感染コンピュータから送信された前記アドレス解決パケットを検出すると、前記コンピュータネットワークに属するコンピュータの前記対応関係を偽る回答を、前記感染コンピュータからの前記アドレス解決パケットに対して返信することにより、前記感染コンピュータと前記コンピュータネットワークとの間の通信経路を遮断する
ことを特徴とする請求項２記載のセキュリティシステム。
【請求項６】
前記不正コンピュータ排除システムは、前記感染コンピュータに対してコマンドを送信するコマンド＆コントロールサーバと前記感染コンピュータとの間の通信を遮断することにより、前記感染コンピュータによる不正動作を抑制する
ことを特徴とする請求項１記載のセキュリティシステム。
【請求項７】
前記出口保護システムは、前記不正データを検出する保護プログラムを実行することにより、前記感染コンピュータが感染した前記不正データを検出し、
前記不正コンピュータ排除システムは、前記保護プログラムとの間で前記不正データを検出した結果を互いにやり取りすることにより、前記感染コンピュータが前記不正データに感染したことを特定するとともに、前記コマンド＆コントロールサーバと前記感染コンピュータとの間の通信を遮断する
ことを特徴とする請求項６記載のセキュリティシステム。
【請求項８】
前記出口保護システムは、前記コンピュータネットワークに属する仮想コンピュータ間における特定のＴＣＰポートを用いる通信を遮断する仮想ファイアウォールシステムを備える
ことを特徴とする請求項１記載のセキュリティシステム。
【請求項９】
前記仮想ファイアウォールシステムは、通信を許可していないＴＣＰポートを用いる通信を検出すると、その旨の通知またはログを出力し、
前記不正コンピュータ排除システムは、前記仮想ファイアウォールシステムが出力した前記通知または前記ログに基づき、通信を許可していないＴＣＰポートを用いる仮想コンピュータを特定することにより、その仮想コンピュータが前記感染コンピュータであることを特定するとともに、特定した前記感染コンピュータを隔離する
ことを特徴とする請求項８記載のセキュリティシステム。
【請求項１０】
前記出口保護システムは、前記コンピュータネットワークに属する仮想コンピュータ間における特定のＴＣＰポートを用いる通信を遮断する仮想ファイアウォールシステムを備え、
前記感染コンピュータが、前記仮想コンピュータとして構成されているとともに、前記仮想コンピュータをホストするハイパーバイザ上において仮想ＩＰアドレスを割り当てられている場合、前記不正コンピュータ排除システムは、前記ハイパーバイザを介して、前記対応関係を偽る回答を前記アドレス解決パケットに対して返信する
ことを特徴とする請求項５記載のセキュリティシステム。
【請求項１１】
前記感染コンピュータは、前記不正データを検知するとともにその検知した不正データを前記感染コンピュータ上から除去する保護プログラムを実行することにより、前記不正データから前記感染コンピュータ自身を保護し、
前記保護プログラムは、不正プログラムの動作パターンを学習するとともに、学習した前記不正プログラムの動作パターンと前記不正データの動作パターンとをマッチングすることにより、前記不正データを検出する
ことを特徴とする請求項１記載のセキュリティシステム。
【請求項１２】
前記入口保護システムは、特定のＴＣＰポートを用いる通信を遮断するファイアウォールシステムを備える
ことを特徴とする請求項１記載のセキュリティシステム。
【請求項１３】
前記入口保護システムは、特定の通信パターンを遮断する侵入防止システムを備える
ことを特徴とする請求項１記載のセキュリティシステム。
【請求項１４】
前記入口保護システムは、前記外部ネットワークから送信されてきたプログラムを他のコンピュータから隔離されたサンドボックスコンピュータ上で動作させてその挙動を監視することにより、前記プログラムが不正プログラムであるか否かを判定する、サンドボックスシステムを備える
ことを特徴とする請求項１記載のセキュリティシステム。
【請求項１５】
前記入口保護システムは、Ｗｅｂアプリケーション上の特定の動作を遮断するＷｅｂアプリケーションファイアウォールを備える
ことを特徴とする請求項１記載のセキュリティシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サイバー攻撃から情報システムを保護する技術に関する。
【背景技術】
【０００２】
情報システムに対するサイバー攻撃は多様化しており、単一の仕組みのみによって情報システムをサイバー攻撃から保護することは次第に困難になってきている。そこで近年においては、サイバー攻撃が情報システムに対して到達する前に攻撃を排除する入口保護対策と、仮にコンピュータがサイバー攻撃を受けてしまったとしてもその影響をできる限り抑制する出口保護対策との両面において、保護を図る場合がある。このように多段的な保護を図ることにより、サイバー攻撃に対する耐性を向上させることが期待される。
【０００３】
下記特許文献１は、検疫ネットワークを構成する手法について記載している。検疫ネットワークは、内部ネットワークから隔離された個別ネットワーク上に検査対象コンピュータを接続して適当な手法により検査し、検査をパスした場合のみそのコンピュータを内部ネットワークへ接続することを許可しようとするものである。同文献においては、ＡＲＰ応答によって検疫ネットワークを実現するとしている（要約参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００８−１５４０１２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記特許文献１のような従来の検疫ネットワークは、コンピュータウイルスなどの不正データが内部ネットワークへ侵入する前にこれを検出することが意図されている。すなわちこのような検疫ネットワークは、入口保護システムの１種として構成されているのが通常である。他方で出口保護システムにおいては、サイバー攻撃の影響を受けたコンピュータを検出した後、そのコンピュータから内部ネットワークに対する影響をどのように排除するのかについては、必ずしも堅牢な対策が取られているとは言い難い状況にある。
【０００６】
本発明は、上記のような課題に鑑みてなされたものであり、内部ネットワークの入口部分において不正データの侵入を防止するとともに、不正データに感染した感染コンピュータを隔離することにより、コンピュータシステムのセキュリティを向上することを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係るセキュリティシステムは、コンピュータネットワークの前段において不正データの侵入を防止する入口保護システムと、感染コンピュータによる不正動作を抑制する出口保護システムとを備え、前記出口保護システムはさらに、前記感染コンピュータを前記コンピュータネットワークから隔離する排除システムを備える。
【発明の効果】
【０００８】
本発明に係るセキュリティシステムによれば、コンピュータネットワークの入口と出口の双方において多段的に不正データを排除することにより、コンピュータネットワークのセキュリティを向上させることができる。
【図面の簡単な説明】
【０００９】
【図１】実施形態１に係るセキュリティシステム１０のネットワーク構成図である。
【図２】物理サーバ４００の構成例である。
【図３】物理サーバ４００の別構成例である。
【図４】実施形態２に係るセキュリティシステム１０における物理サーバ４００の構成例である。
【図５】実施形態２に係るセキュリティシステム１０における物理サーバ４００の別構成例である。
【発明を実施するための形態】
【００１０】
＜実施の形態１＞
図１は、本発明の実施形態１に係るセキュリティシステム１０のネットワーク構成図である。セキュリティシステム１０は、物理サーバ４００が属するコンピュータネットワークをサイバー攻撃から保護するシステムである。セキュリティシステム１０は、入口保護システム２００と出口保護システム１００を備える。
【００１１】
セキュリティシステム１０が配置されているコンピュータネットワーク環境は、大別して外部ネットワークと内部ネットワークに分けられる。外部ネットワークは、外部ルータ３１０よりもインターネット５００側のネットワークである。入口保護システム２００は、外部ルータ３１０と内部ルータ３２０との間に配置されている。内部ネットワークは内部ルータ３２０から見てインターネット５００とは反対側のゾーンである。
【００１２】
外部ルータ３１０は、インターネット５００に対して送信するパケットの通信経路を制御する中継装置である。内部ルータ３２０は、内部ネットワーク内におけるパケットの通信経路を制御するとともに、内部ネットワークと外部ネットワークとの間の通信を中継する中継装置である。
【００１３】
各ネットワークに属するコンピュータは、ネットワークスイッチを介して接続されるのが一般的である。図１においては内部ネットワークに属するコンピュータを集約するネットワークスイッチ３３０を例示した。ネットワークスイッチ３３０は、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）ケーブルポートを複数備える。内部ネットワークに属するコンピュータは、ＬＡＮケーブルをネットワークスイッチ３３０が備えるポートに接続することにより、他のコンピュータと接続される。
【００１４】
＜実施の形態１：入口保護システム＞
入口保護システム２００は、外部ネットワークから到達する不正データが内部ネットワークに対して侵入する前にこれを排除するためのシステムである。入口保護システム２００は、ファイアウォール（ＦＷ）２１０、侵入防止システム（ＩＰＳ）２２０、サンドボックス２３０、Ｗｅｂアプリケーションファイアウォール（ＷＡＦ）２４０を備える。
【００１５】
ＦＷ２１０は、特定のＴＣＰポートを用いる通信のみを通過させる。ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワークにおける通信プロトコルはそれぞれ特定のＴＣＰポート番号が割り当てられているので、特定のＴＣＰポートのみ通過させることにより、不正な通信をある程度排除することができる。外部ネットワークから内部ネットワークへ向かうパケットを通過させるときと、内部ネットワークから外部ネットワークへ向かうパケットを通過させるときそれぞれにおいて、異なるルールを適用することもできる。例えば外部ネットワークからはＨＴＴＰプロトコルによる通信のみを許可し、内部ネットワークからはその他プロトコルによる通信も許可する、などの通信制御も可能である。
【００１６】
ＩＰＳ２２０は、特定の通信パターンをあらかじめ不正通信パターンとして保持しておき、その不正通信パターンに合致する通信を遮断する。したがってＩＰＳ２２０は、外部ネットワークと内部ネットワークとの間の通信経路上に配置されている。ＩＰＳ２２０が検出する不正通信パターンの例としては、ＳＹＮフラッド攻撃やワームによる特定の通信パターンなどが挙げられる。その他、クロスサイトＪＡＶＡ（登録商標）スクリプトを送り付けてきたような場合も不正通信パターンとみなすことができる。
【００１７】
サンドボックス２３０は、不正データである可能性があるデータを動作させてその挙動を監視し、不正データであることが確認できればこれを排除するシステムである。例えば電子メールの添付ファイルやＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）によって送信されてくるファイルなどが監視対象となる。監視対象は必ずしも実行形式のファイルに限らず、リンクライブラリなどのように他の実行形式ファイルと連動して動作するデータも監視してもよい。サンドボックス２３０は不正データを自由に動作させる必要があるので、内部ネットワークから隔離されたセグメントに配置されている。
【００１８】
ＷＡＦ２４０は、Ｗｅｂアプリケーション上の特定の動作パターンをあらかじめ不正パターンとして保持しておき、その不正パターンに合致するＷｅｂアプリケーション上の動作を遮断する。例えばＷｅｂアプリケーション上でパスワード入力フォームが提供されている場合、パスワード総当たり攻撃を検知してこれを遮断することができる。ＳＱＬインジェクション攻撃などもＷＡＦ２４０によって遮断することができる。
【００１９】
＜実施の形態１：出口保護システム＞
出口保護システム１００は、内部ネットワークにおいて不正データに感染した感染コンピュータによる不正挙動の影響を抑制するためのシステムである。出口保護システム１００は、排除システム１１０と後述するエンドポイントセキュリティシステム１２０を備える。
【００２０】
排除システム１１０は、不正データに感染した感染コンピュータが内部ネットワーク内に存在することを認識すると、その感染コンピュータと内部ネットワークとの間の通信経路を遮断することにより、その感染コンピュータを内部ネットワークから隔離する。具体的には、以下のような手法のいずれかを単独で用いることもできるし、これら２以上を組み合わせて用いることもできる。
【００２１】
（通信経路を遮断する手法その１：経路制御）
コンピュータ間で通信を確立する際には、通信経路が存在する必要がある。通信経路はそのコンピュータが属するルータによって制御されている。図１の内部ネットワークにおいては内部ルータ３２０がその役割を有する。具体的には、内部ルータ３２０は内部ネットワークにおけるコンピュータ間の通信経路を定義する通信経路データを保持しており、各コンピュータは他コンピュータと通信する際にまず内部ルータ３２０へアクセスする。内部ルータ３２０は、通信経路データにしたがって通信を中継する。感染コンピュータを内部ネットワークから隔離するためには、感染コンピュータが他のコンピュータと通信するための通信経路を内部ルータ３２０が保持していなければよい。そこで排除システム１１０は、感染コンピュータが存在することを認識すると、その感染コンピュータを送信元とする通信経路が存在しないように、内部ルータ３２０が保持する通信経路データを書き換える。具体的には、ルーティングテーブルの該当部分を静的に上書する。これにより、感染コンピュータを内部ネットワークから論理的に排除することができる。
【００２２】
（通信経路を遮断する手法その２：スイッチ制御）
内部ネットワーク内のコンピュータはネットワークスイッチ３３０を介して接続されているので、ネットワークスイッチ３３０を介して感染コンピュータを隔離することができる。具体的には、排除システム１１０は感染コンピュータが接続されているＬＡＮケーブルポートを無効化することにより、感染コンピュータを内部ネットワークから物理的に隔離することができる。その他、ＬＡＮケーブルポート間の内部接続を変更することにより、感染コンピュータが接続されているポートとその他コンピュータが接続されているポートとの間の通信を遮断してもよい。さらには、ネットワークスイッチ３３０に接続されているコンピュータ間のネットワーク構成をネットワークスイッチ３３０内部でソフトウェアによって定義している場合、ソフトウェア上の設定を変更することにより、感染コンピュータを他のコンピュータから隔離したネットワークセグメントに配置してもよい。排除システム１１０は、以上いずれかの手法により、感染コンピュータを論理的に隔離することができる。
【００２３】
（通信経路を遮断する手法その３：ＡＲＰテーブル（１））
ＩＰネットワークにおいて送信元コンピュータが送信先コンピュータに対してパケットを送信する際には、両コンピュータのＩＰアドレスとＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスの対応関係をあらかじめ把握しておく必要がある。ＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）は、この対応関係を取得するために各コンピュータがそれぞれ用いるプロトコルである。各コンピュータはこの対応関係をＡＲＰテーブルとして保持する。送信先コンピュータのＭＡＣアドレスが分からない場合、送信元コンピュータはこれを回答するように要求するＡＲＰリクエストをブロードキャストする。排除システム１１０は、ＩＰネットワークにおける以上の仕組みを利用して、以下の手法により感染コンピュータを隔離する。
【００２４】
（通信経路を遮断する手法その３：ＡＲＰテーブル（２））
排除システム１１０は、感染コンピュータからＡＲＰリクエストを受け取ったとき、感染コンピュータが保持するＡＲＰテーブル上で感染コンピュータと内部ネットワーク内の他コンピュータとの間の通信が確立できなくなるようなＡＲＰ応答を返信することにより、感染コンピュータを内部ネットワークから論理的に隔離する。例えば送信先コンピュータのＩＰアドレスとＭＡＣアドレスとの間の対応関係を偽るＡＲＰ応答を返信することが考えられる。これにより、感染コンピュータが他コンピュータへアクセスしようとしても、他コンピュータの正しいＭＡＣアドレスが得られないので、アクセス不可となる。さらには、他コンピュータが感染コンピュータへアクセスしないように、他コンピュータにおけるＡＲＰテーブルを書き換えるＡＲＰ応答を発信してもよい。具体的には、他コンピュータ上において感染コンピュータのＩＰアドレスとＭＡＣアドレスとの間の対応関係を偽るＡＲＰ応答を発信すればよい。これらはいずれも、内部ネットワークに属する各コンピュータのＡＲＰテーブルを偽るＡＲＰ応答を発信することにより、感染コンピュータを内部ネットワークから論理的に隔離するものである。ＡＲＰテーブルは有効期限があるのが一般的であるので、排除システム１１０はその有効期限が切れたことを契機として、各コンピュータのＡＲＰテーブルを書き換えることができる。以上の他、特許文献１が記載している手法を適宜用いることができる。
【００２５】
図２は、物理サーバ４００の構成例である。物理サーバ４００は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）４１０を備える。エンドポイントセキュリティシステム１２０は物理サーバ４００上に実装されている。エンドポイントセキュリティシステム１２０は、物理サーバ４００上に存在する不正データを検出し、可能な限りこれを物理サーバ４００上から除去することを試みる。
【００２６】
エンドポイントセキュリティシステム１２０は、例えばＣＰＵ４１０が実行する保護プログラムとして構成することができる。保護プログラムは、例えば既知の不正データの動作パターンなどをあらかじめ保持しておき、物理サーバ４００上でこれと合致する動作を検出することにより、不正データを検出する。あるいは、不正挙動を累積的に学習することにより自ら不正データの動作パターンを学習するような保護プログラムを用いることもできる。学習する対象としては、（ａ）不正データ自身または不正データが使用するデータのバイナリ配置パターン、（ｂ）不正データが使用するＴＣＰポート、（ｃ）不正データが使用するライブラリのファイルパス、などが考えられる。
【００２７】
エンドポイントセキュリティシステム１２０は、物理サーバ４００上で不正データを検出すると、その旨を記録したログを出力する。排除システム１１０は、このログをエンドポイントセキュリティシステム１２０から取得してその内容を確認することにより、物理サーバ４００が不正データに感染したことを認識する。これに代えて、エンドポイントセキュリティシステム１２０と排除システム１１０との間で、不正データを検出した旨を即座に通知してもよい。
【００２８】
不正データの１類型として、コマンド＆コントロール型のマルウェアが挙げられる。このタイプの不正データは、感染コンピュータを支配下におき、遠隔コンピュータから感染コンピュータに対してコマンドを送信して所望の不正動作をさせるものである。コマンドを送信する遠隔コンピュータを、コマンド＆コントロールサーバと呼ぶ。排除システム１１０は、感染コンピュータがこのタイプの不正データに感染したことを認識した場合は、感染コンピュータを内部ネットワークから隔離することに代えてまたはこれに加えて、感染コンピュータとコマンド＆コントロールサーバとの間の通信を遮断してもよい。遮断するための具体的手段は上記手法その１〜その３と同様である。
【００２９】
図３は、物理サーバ４００の別構成例である。物理サーバ４００は、ハイパーバイザ４２０の配下に仮想サーバ（Ｖｉｒｔｕａｌ  Ｍａｃｈｉｎｅ：ＶＭ）を配置した構成を備える場合がある。仮想サーバ環境においても、ファイアウォールを配置する場合がある。図３においては、ＶＭ４２１とＶＭ４２２との間の通信を特定のＴＣＰポートに限定するため、仮想ＦＷ４２３を同じハイパーバイザ４２０の配下に配置した例を示した。
【００３０】
仮想ＦＷ４２３は、ＶＭ４２１とＶＭ４２２との間の通信を記録するログを出力する。仮想ＦＷ４２３は、通信の正常度や異常度を表すフラグをこのログに出力することもできる。例えば禁止しているＴＣＰポートを用いようと試みる通信が過度に多い場合、その程度に応じた警告レベルをログに記録することができる。排除システム１１０は、仮想ＦＷ４２３が出力するログを取得してその内容を確認することにより、仮想サーバが不正データに感染したことを認識することができる。これに代えて、警告レベルが閾値を超えた仮想サーバのアドレス等を仮想ＦＷ４２３から排除システム１１０に対して即座に通知してもよい。
【００３１】
不正データに感染した仮想サーバ（図３においてはＶＭ４２１または４２２）を排除システム１１０が内部ネットワークから隔離するための具体的手段は上記手法その１〜その３と同様である。仮想サーバも内部ネットワークに属するコンピュータとして振る舞うことに変わりはないからである。
【００３２】
図３においては、仮想ＦＷ４２３が異常な通信を検出することにより、不正データに感染した仮想サーバを認識することを説明したが、図２と同様のエンドポイントセキュリティシステム１２０を仮想サーバ上に構成することにより、不正データに感染した仮想サーバを認識してもよい。
【００３３】
＜実施の形態１：まとめ＞
本実施形態１に係るセキュリティシステム１０は、入口保護システム２００と出口保護システム１００を備え、出口保護システム１００はさらに、感染コンピュータを内部ネットワークから隔離する排除システム１１０を備える。これにより、内部ネットワークをサイバー攻撃から多段的に保護するとともに、感染コンピュータから内部ネットワークに対して与える影響を抑制することができる。したがって、内部ネットワークのサイバーセキュリティを向上させることができる。
【００３４】
本実施形態１に係るセキュリティシステム１０は、感染コンピュータと内部ネットワークとの間の通信経路を遮断することにより、感染コンピュータを内部ネットワークから隔離する。具体的には、排除システム１１０は（ａ）内部ルータ３２０上のルーティングテーブルを書き換えて感染コンピュータと内部ネットワークとの間の通信経路を遮断する、（ｂ）ネットワークスイッチ３３０のポート間の接続関係を変更することにより感染コンピュータと内部ネットワークとの間の通信経路を遮断する、（ｃ）内部ネットワークに属するコンピュータのＡＲＰテーブルを偽装する、などの手法を用いることができる。これにより排除システム１１０は、感染コンピュータを内部ネットワークから確実に隔離することができる。
【００３５】
本実施形態１に係るセキュリティシステム１０は、感染コンピュータがコマンド＆コントロール型の不正データに感染した場合、感染コンピュータとコマンド＆コントロールサーバとの間の通信を遮断することもできる。これにより、内部ネットワークに対する影響のみならず、感染コンピュータを起点とするコマンド＆コントロール型の様々なサイバー攻撃を包括的に遮断することができる。例えば感染コンピュータがボットネットワークの構成要素として振る舞うことを防止できる。したがって、内部ネットワークに対する影響に留まらず、周辺ネットワークに対する影響をも抑制することができる。
【００３６】
本実施形態１に係るセキュリティシステム１０は、エンドポイントセキュリティシステム１２０と排除システム１１０との間で、感染コンピュータを特定するデータをやり取りする。これにより、従来は個別に動作するに留まっていたエンドポイントセキュリティシステム１２０と排除システム１１０が相互連携して、セキュリティを相乗的に高めることができる。本実施形態１はこの点において、単に各システムを個別に利用するのみならず、これらの相乗効果を発揮させる具体的手法を提供する、本実施形態１固有の技術的着想に基づくものであるといえる。
【００３７】
本実施形態１に係るセキュリティシステム１０は、仮想ＦＷ４２３と排除システム１１０との間で、感染コンピュータを特定するデータをやり取りする。これにより、仮想サーバが不正データに感染した場合であっても、その仮想サーバを内部ネットワークから隔離することができる。仮想ＦＷ４２３と排除システム１１０は従来個別に動作するに留まっていたが、本実施形態１によればこれらが相互連携することにより、仮想サーバ環境においてもセキュリティを相乗的に高めることができる。本実施形態１はこの点においても固有の技術的着想に基づくものであるといえる。
【００３８】
＜実施の形態２＞
図４は、本発明の実施形態２に係るセキュリティシステム１０における物理サーバ４００の構成例である。仮想サーバが有するＩＰアドレスは、ハイパーバイザ４２０が提供する仮想ネットワーク内部におけるプライベートＩＰアドレスである場合もある。この場合は例えばハイパーバイザ４２０が提供するＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）４２１によってＩＰアドレスがプライベートアドレスから内部ネットワーク上のアドレスへ変換され、これにより各仮想サーバは他コンピュータと通信することができる。
【００３９】
図４のようなアドレス構成においては、排除システム１１０が仮想サーバを内部ネットワークから排除しようとしたとき、不都合が生じる場合がある。排除システムが感染コンピュータのＩＰアドレスを指定して内部ネットワークから隔離しようとしたとき、感染コンピュータのプライベートＩＰアドレスを排除システム１１０が知る手段が存在していないからである。具体的には、不正データに感染した仮想サーバのＡＲＰテーブルを書き換えようとしたとき、その仮想サーバのプライベートＩＰアドレスを指定する手段が存在しないことになる。
【００４０】
そこで本実施形態２において、排除システム１１０は、不正データに感染した仮想サーバを隔離するように、ハイパーバイザ４２０に対して依頼する。ハイパーバイザ４２０はその依頼を受けて、その仮想サーバをＮＡＴ４２１の配下にある仮想ネットワークから隔離する。隔離する具体的な手法としては、実施形態１で説明した手法その１〜その３と同様のものを仮想ネットワークにおいて実施すればよい。例えば仮想ネットワークにおいても仮想ルータや仮想ネットワークスイッチが構成されている場合は、これらに対して手法その１〜その２に対応する手順を実施すればよい。あるいは手法その３と同様に、仮想サーバが有するＡＲＰテーブルを書き換えるＡＲＰ応答を仮想ネットワーク内において配信してもよい。
【００４１】
図５は、本実施形態２に係るセキュリティシステム１０における物理サーバ４００の別構成例である。図４で説明した手法は、仮想サーバのＩＰアドレス体系が排除システム１１０のＩＰアドレス体系とは切り離されていることに起因して必要になる。これに代えて図５においては、ハイパーバイザ４２０の配下の仮想サーバとして、排除システム１１０のスレーブとして動作する仮想排除システム１１１を構成している。仮想排除システム１１１は、仮想サーバ上に排除システム１１０と同様のシステムを構築したものである。
【００４２】
排除システム１１０は、不正データに感染した仮想サーバを隔離するように、仮想排除システム１１１に対して依頼する。仮想排除システム１１１は、不正データに感染した仮想サーバと同じ仮想ネットワークに属するので、その仮想サーバを排除するために特別な工夫は必要ない。
【００４３】
本実施形態２において、不正データに感染した仮想サーバを排除システム１１０が認識する際には、例えば仮想ネットワーク上における仮想サーバのプライベートＩＰアドレスを記述したログを排除システム１１０が取得すればよい。排除システム１１０は、そのプライベートＩＰアドレスを直接指定する手段を有していないが、これに代えてそのプライベートＩＰアドレスを有する仮想サーバを仮想ネットワークから隔離するように、ハイパーバイザ４２０または仮想排除システム１１１に対して依頼すればよい。
【００４４】
＜実施の形態２：まとめ＞
本実施形態２に係るセキュリティシステム１０は、仮想サーバが不正データに感染した場合であっても、排除システム１１０と仮想ネットワークが相互に連携することによりその仮想サーバを仮想ネットワークから隔離することができる。これにより、仮想ネットワーク内において不正データの影響が拡散することを防止できる。また物理サーバ４００全体を隔離する必要はないので、隔離にともなうシステム機能低下を最小限に留めることができる。
【００４５】
＜本発明の変形例について＞
本発明は、前述した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
【００４６】
以上の実施形態において、ＦＷ２１０、ＩＰＳ２２０、サンドボックス２３０、ＷＡＦ２４０は、それぞれ別のサーバコンピュータ上に実装することもできるし、これらのうち２以上を同一のサーバコンピュータ上に実装することもできる。排除システム１１０も同様にサーバコンピュータ上に実装することができる。
【００４７】
上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード等の記録媒体に置くことができる。また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【符号の説明】
【００４８】
１０：セキュリティシステム
１００：出口保護システム
１１０：排除システム
１２０：エンドポイントセキュリティシステム
２００：入口保護システム
２１０：ＦＷ
２２０：ＩＰＳ
２３０：サンドボックス
２４０：ＷＡＦ
３１０：外部ルータ
３２０：内部ルータ
３３０：ネットワークスイッチ
４００：物理サーバ
４２０：ハイパーバイザ
４２３：仮想ＦＷ
【図１】
2020047175.tif 000003
【図２】
2020047175.tif 000004
【図３】
2020047175.tif 000005
【図４】
2020047175.tif 000006
【図５】
2020047175.tif 000007