(57)【要約】【課題】  ネットワーク上の観測ポイントを通過したデータの記録から不正データを検出するための検出ルールを、ユーザの観点を反映させながらも簡単に生成できる伝送路探索システム用の検出ルール生成システム、及び、それを用いた伝送路探索システムを提供する。【解決手段】  ユーザに不正データのサンプルを指定させる指定手段ａ１と、指定手段ａ１にて指定された不正データから所定の情報を抽出する抽出手段ａ２と、抽出された所定の情報を出力装置Ｄに出力する出力手段ａ３と、ユーザから当該出力された所定の情報のカスタマイズを受け付けるカスタマイズ手段ａ４と、ユーザから検出ルール生成の指示を受け付けると、前記所定の情報に基づいて前記検出ルールを生成する検出ルール生成手段ａ５とを備える。【選択図】  図１
2010233042.tif 000002
【特許請求の範囲】
【請求項１】
本発明の伝送路探索システム用の検出ルール生成システムは、ネットワーク上の所定の観測ポイントにて送受信されるデータの情報が蓄積記録されたログ情報から検出ルールに基づいて不正データのログ情報を検出することにより、ネットワーク上で伝送される不正データの伝送路を探索する伝送路探索システムに用いられる検出ルール生成システムであり、
ユーザに不正データのサンプルを指定させる指定手段と、
当該指定手段にて指定された不正データのサンプルから所定の情報を抽出する抽出手段と、
当該抽出された所定の情報を出力装置に出力する出力手段と、
ユーザから当該出力された所定の情報のカスタマイズを受け付けるカスタマイズ手段と、
ユーザから検出ルール生成の指示を受け付けると、前記所定の情報に基づいて前記検出ルールを生成する検出ルール生成手段と、
を備えることを特徴とする検出ルール生成システム。
【請求項２】
所定の項目と当該各項目に対応する情報を入力可能な入力領域を備える編集用フォーマットが記憶されており、
前記出力手段は、前記抽出手段により抽出された所定の情報から前記編集用フォーマットの各項目に対応する情報を選択して前記入力領域に挿入し、ユーザにより編集可能な状態として前記出力装置に出力し、
前記カスタマイズ手段は、前記各項目の入力領域の情報の編集を受け付けることを特徴とする請求項１記載の検出ルール生成システム。
【請求項３】
所定の項目と当該各項目の選択を促す選択ボタンを備える編集用フォーマットが記憶されており、
前記出力手段は、前記編集用フォーマットの中の各項目のうち、前記抽出手段により抽出された所定の情報に基づいて選択ボタンを選択状態とし、
前記カスタマイズ手段は、前記各選択ボタンの選択／非選択を受け付け、
前記検出ルール生成手段は、前記選択ボタンが選択状態である項目の情報を用いて検出ルールを生成することを特徴とする請求項１又は請求項２に記載の検出ルール生成システム。
【請求項４】
ネットワーク上の所定の観測ポイントにて送受信されるデータの情報が蓄積記録されたログ情報から検出ルールに基づいて不正データのログ情報を検出することにより、ネットワーク上で伝送される不正データの伝送路を探索する伝送路探索システムにおいて、
請求項１乃至請求項３のいずれか一項に記載の検出ルール生成システムを備えることを特徴とする伝送路探索システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上の所定の観測ポイントにて送受信されるデータの情報が蓄積記録されたログ情報から検出ルールに基づいて不正データのログ情報を検出することにより、ネットワーク上で伝送される不正データの伝送路を探索する伝送路探索システムに用いられる検出ルール生成システム、及び、それを備える伝送路探索システムに関する。
【背景技術】
【０００２】
インターネット等のネットワークが発達するなか、ネットワークを構成する機器を標的に攻撃を行い、利用者に様々な被害を与えるネットワーク攻撃が深刻化している。ネットワーク攻撃としては、例えば、ＤＮＳへの再帰的な問合せを悪用したＤＮＳ反射攻撃や、ウイルスメール、ネットワークワームなど、様々なものが挙げられる。
【０００３】
かかるネットワーク攻撃の被害の深刻化に鑑み、近年は、攻撃元を特定するために、データの伝送経路を探索する探索技術が盛んに研究されている。その方法には様々なものがあるが、その一つとして、ネットワーク上の観測ポイントにおいて、その観測ポイントを通過するデータのログ情報を記録しておき、ＤＮＳ攻撃パケットやウイルスメール、ネットワークワーム等の不正データが発見されたときは、その不正データの特徴に基づいて各観測ポイントのログ情報を探索し、その特徴をもつデータが通過した観測ポイントをたどることで、伝送路を特定する方法が提案されている。
【先行技術文献】
【特許文献】
【０００４】
例えば、下記特許文献１には、反射攻撃パケットの伝播経路を追跡する技術が開示されている。この技術では、ネットワークを伝播するパケットを記録装置に記録しておき、不正な回答パケットが発見された場合は、不正な回答パケットから問合せパケット依存部分を抽出し、そのパケット依存部分を用いた検出ルールに基づいて記録装置を検索する。
【特許文献１】特開２００４−２０１０４２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
このように探索技術においては、不正データから検出ルールを導出し、観測ポイントで記録されたログ情報から検出ルールに従って不正なパケットを検出することにより、伝送路を追跡する手法が多く用いられている。しかしながら、不正データには様々なものがあるため、検出ルールをユーザが手動で生成するには、手間とスキルを要していた。一方、検出ルールの生成を完全に自動化すると、各不正データに応じたフレキシブルな対応が困難になる。このため、検出ルールをある程度まで自動生成しながらも、経験則や知識等といったユーザの観点を反映させたいという強い要望がある。
【０００６】
そこで、本発明は、不正データの伝送経路の探索において、ネットワーク上の観測ポイントにて記録されたログ情報から不正データに該当するログ情報を検出するための検出ルールを、ユーザの観点を反映させながらも簡単に生成できる伝送路探索システム用の検出ルール生成システム、及び、それを用いた伝送路探索システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の伝送路探索システム用の検出ルール生成システムは、ネットワーク上の所定の観測ポイントにて送受信されるデータの情報が蓄積記録されたログ情報から検出ルールに基づいて不正データのログ情報を検出することにより、ネットワーク上で伝送される不正データの伝送路を探索する伝送路探索システムに用いられる検出ルール生成システムであり、
ユーザに不正データのサンプルを指定させる指定手段と、
当該指定手段にて指定された不正データのサンプルから所定の情報を抽出する抽出手段と、
当該抽出された所定の情報を出力装置に出力する出力手段と、
ユーザから当該出力された所定の情報のカスタマイズを受け付けるカスタマイズ手段と、
ユーザから検出ルール生成の指示を受け付けると、前記所定の情報に基づいて前記検出ルールを生成する検出ルール生成手段と、
を備えることを特徴とする。
【０００８】
この発明によれば、ユーザが、反射攻撃パケットやウイルスメール、ネットワークワーム等、不正データのサンプルを指定手段により指定すると、抽出手段により所定の情報が抽出され、その抽出された情報が出力手段により出力装置に出力される。出力された所定の情報は、カスタマイズ手段によりユーザによるカスタマイズが可能である。ユーザが出力された所定の情報をカスタマイズ手段によりカスタマイズし、検出ルール生成の指示を入力すると、検出ルール生成手段はカスタマイズされた情報に基づいて検出ルールを生成する。これにより、ユーザの観点を反映させた検出ルールを簡単に生成することが可能となる。
【０００９】
所定の項目と当該各項目に対応する情報を入力可能な入力領域を備える編集用フォーマットが記憶されており、
前記出力手段は、前記抽出手段により抽出された所定の情報から前記編集用フォーマットの各項目に対応する情報を選択して前記入力領域に挿入し、ユーザにより編集可能な状態として前記出力装置に出力し、
前記カスタマイズ手段は、前記各項目の入力領域の情報の編集を受け付けることが好ましい。
【００１０】
この発明によれば、不正データのサンプルから抽出された情報は、出力手段により編集用フォーマットの各項目の入力領域に挿入された状態にて出力される。入力領域の情報はユーザにより編集可能な状態であるため、ユーザは必要に応じて簡単に各項目の情報を編集することができる。カスタマイズ手段はユーザによる編集を受け付け、検出ルール生成手段は編集後の情報に基づいて検出ルールを生成する。
【００１１】
所定の項目と当該各項目の選択を促す選択ボタンを備える編集用フォーマットが記憶されており、
前記出力手段は、前記編集用フォーマットの中の各項目のうち、前記抽出手段により抽出された所定の情報に基づいて選択ボタンを選択状態とし、
前記カスタマイズ手段は、前記各選択ボタンの選択／非選択を受け付け、
前記検出ルール生成手段は、前記選択ボタンが選択状態である項目の情報を用いて検出ルールを生成することが好ましい。
【００１２】
この発明によれば、出力手段は、抽出手段により抽出された所定の情報に基づいて、各項目の選択ボタンを選択状態として出力する。ユーザは必要に応じて選択ボタンの選択／非選択を変更する。カスタマイズ手段は、その選択ボタンの状態の変更を受け付け、検出ルール生成手段は、選択ボタンが選択状態である項目の情報を用いて検出ルールを生成する。
【００１３】
本発明の伝送路探索システムは、ネットワーク上の所定の観測ポイントにて送受信されるデータの情報が蓄積記録されたログ情報から検出ルールに基づいて不正データのログ情報を検出することにより、ネットワーク上で伝送される不正データの伝送路を探索する伝送路探索システムにおいて、
前記検出ルール生成システムを備えることが好ましい。
【００１４】
この発明によれば、ユーザの観点を反映させた検出ルールに基づいて、不正データの伝送路を探索することが可能となる。
【発明の効果】
【００１５】
本発明の伝送路探索システム用の検出ルール生成システムによれば、不正データのサンプルから所定の情報が抽出されて出力され、出力された情報はユーザによりカスタマイズ可能であり、カスタマイズ後の情報に基づいて検出ルールが生成されるため、ユーザの観点を反映させた検出ルールを簡単に生成することが可能となる。また、この検出ルール生成システムを備える伝送路探索システムによれば、ユーザの観点を反映させた検出ルールに基づいて、不正データの伝送路を探索することが可能となる。これにより、検出ルールを簡単に生成しながらも、ユーザの観点を反映させたフレキシブルな探索が可能となる。
【図面の簡単な説明】
【００１６】
【図１】ＤＮＳ反射攻撃を例として本発明の伝送路探索システムを説明する説明図である。
【図２】本発明の第１の実施の形態における各インターネットサービスプロバイダの伝送路探索システムの構成を機能的に説明する説明図である。
【図３】上記実施の形態の検出ルール生成システムを機能的に説明する機能ブロック図である。
【図４】上記実施の形態の指定用画面の一例を示す図である。
【図５】上記実施の形態の編集用フォーマットの一例を示す図である。
【図６】上記実施の形態の編集用フォーマットの大項目「パケット解析結果」を拡大して示す図である。
【図７】上記実施の形態の編集用フォーマットの大項目「プロトコル指定」を拡大して示す図である。
【図８】上記実施の形態の編集用フォーマットの大項目「アプリケーション指定」を拡大して示す図である。
【図９】上記実施の形態の編集用フォーマットの大項目「時間指定」を拡大して示す図である。
【図１０】上記実施の形態の編集用フォーマットの大項目「テキストデータ指定」を拡大して示す図である。
【図１１】上記実施の形態の編集用フォーマットの大項目「バイナリデータ指定」を拡大して示す図である。
【図１２】上記実施の形態のカスタマイズ用画面（初期状態）を示す図である。
【図１３】上記実施の形態のカスタマイズ用画面（カスタマイズ後の状態）を示す図である。
【図１４】上記実施の形態のカスタマイズ用画面の初期状態とカスタマイズ後の状態を比較する図であり、項目「プロトコル指定」を拡大して示す図である。
【図１５】上記実施の形態のカスタマイズ用画面の初期状態とカスタマイズ後の状態を比較する図であり、項目「アプリケーション指定」を拡大して示す図である。
【図１６】上記実施の形態のカスタマイズ用画面の初期状態とカスタマイズ後の状態を比較する図であり、項目「時間指定」を拡大して示す図である。
【図１７】上記実施の形態のカスタマイズ用画面の初期状態とカスタマイズ後の状態を比較する図であり、項目「テキストデータ指定」を拡大して示す図である。
【図１８】上記実施の形態のカスタマイズ用画面の初期状態とカスタマイズ後の状態を比較する図であり、項目「バイナリデータ指定」を拡大して示す図である。
【図１９】上記実施の形態の確認用画面の一例を示す図である。
【図２０】上記実施の形態の検出結果画面の一例を示す図である。
【図２１】上記実施の形態の中継サーバに設置された検出ルール生成システムのカスタマイズ用画面の初期状態とカスタマイズ後の状態を比較する図であり、項目「プロトコル指定」を拡大して示す図である。
【図２２】本発明の第２の実施の形態の検出ルール生成システムを機能的に説明する機能ブロック図である。
【図２３】上記実施の形態の確認用画面の一例を示す図である。
【図２４】上記実施の形態の確認用画面の他の例を示す図である。
【図２５】上記実施の形態の組み合わせ用画面の例を示す図である。
【図２６】上記実施の形態の検出結果画面の例を示す図である。
【発明を実施するための最良の形態】
【００１７】
（第一の実施の形態）
本実施の形態では、ＤＮＳ反射攻撃を例として本発明を説明する。図１は、ＤＮＳ反射攻撃を例として本発明の伝送路探索システムを説明する説明図である。インターネットには端末やサーバ等の無数のノードが接続されており、ここでは、端末Ｎ１を攻撃端末、ＤＮＳサーバＮ２を中継ＤＮＳサーバ、ＤＮＳサーバＮ３を標的ＤＮＳサーバとする。攻撃端末Ｎ１と中継ＤＮＳサーバＮ１と標的ＤＮＳサーバＮ３は、異なるインターネットサービスプロバイダＩＳＰ１，ＩＳＰ２，ＩＳＰ３を介してインターネットに接続されている。攻撃端末Ｎ１から中継ＤＮＳサーバＮ２に再帰的な問合せとしてパケットＰ１が送信され、これを受けて、中継ＤＮＳサーバＮ２から標的ＤＮＳサーバＮ３にパケットＰ２が送信される。なお、説明の便宜上、ＩＰアドレスを全てプライベートアドレスの範囲で記載しているが、実際にはグローバルアドレスが用いられる。
【００１８】
各インターネットプロバイダＩＳＰ（ＩＳＰ１〜ＩＳＰ３）には、伝送路探索システムＳｙｓ（Ｓｙｓ１〜Ｓｙｓ３）が設置されて使用される。図２は、各インターネットサービスプロバイダＩＳＰ（ＩＳＰ１〜ＩＳＰ３）における伝送路探索システムＳｙｓの構成を機能的に説明する説明図である。なお、各伝送路探索システムＳｙｓ１〜Ｓｙｓ３はほぼ同一機能を有するため、以下、伝送路探索システムＳｙｓとして説明し、各伝送路探索システムＳｙｓを構成するコリレータ・コントローラＣＣ１〜ＣＣ３はコリレータ・コントローラＣＣとし、収集手段ＰＥＢ１〜ＰＲＢ３はＰＲＢとし、記憶手段ＲＥＣ１〜ＲＥＣ３はＲＥＣとし、検索手段ＳＥＲＣ１〜ＳＲＣ３はＳＲＣとし、検出ルール生成システムＰＣ１〜ＰＣ３はＰＣとして説明する。
【００１９】
伝送路探索システムＳｙｓは、コンピュータシステムを搭載するプローブＰＲＢとコリレータ・コントローラＣＣと検出ルール生成システムＰＣを備える。プローブＰＲＢは、各インターネットサービスプロバイダのパケット流出入口となるルータＲに接続されており、収集手段ＰＲＢとしての機能を有する。コリレータ・コントローラＣＣは、プローブＰＲＢと接続されており、記憶手段ＲＥＣ、検索手段ＳＲＣとしての機能を有する。
【００２０】
収集手段ＰＲＢは、各観測ポイントであるルータＲを通過するするパケットに含まれる情報を収集するプローブ機能を備える。収集する情報に制限はなく、すべてのパケットを対象として、そのパケットに含まれるすべての情報を収集しても良いが、情報量抑制の観点から、収集対象とするパケットをＤＮＳパケットのみとしても良く、後述する検索にて用いられるＤＮＳ問合せパケットのみとしても良い。更に、対象としたパケットから必要な情報を選択的に抽出しても良い。特に、パケットを特徴付ける情報であり、且つ、伝送過程において変化しない情報や変化が限定的な情報が好ましい。本実施の形態では、少なくともパケットごとに後述する各項目の情報をログ情報として収集している。
【００２１】
記録手段ＲＥＣは、収集手段ＰＲＢにより収集された情報をログ情報としてログ情報データベースに蓄積記録する機能を備える。ログ情報には、パケットごとに、プロトコルの種類，送信元ＩＰアドレスとポート，送信先ＩＰアドレスとポート，ＴＣＰヘッダ内の制御フラグ（ＳＹＮ，ＡＣＫ，ＦＩＮ，ＲＳＴ，ＤＦ等）の状態，アプリケーションの種類（ＤＮＳ，ＳＭＴＰなど），問合せ対象のドメイン名とタイプ（ＱＮＡＭＥ，ＱＴＹＰＥ），問い合わせ結果の内容（ＩＰアドレス等）とタイプ（ＮＡＭＥ，ＴＹＰＥ），そのログ情報を記録した日時，テキストデータ，バイナリデータなどが含まれる。
【００２２】
検索手段ＳＲＣは、検出ルール生成システムＰＣにより生成された検出ルールに従って記憶手段ＲＥＣを検索し、ログ情報データベースから検出ルールに適合するパケットのログ情報を検出する機能を備える。
【００２３】
図３は、本実施の形態の検出ルール生成システムＰＣを機能的に説明する機能ブロック図である。検出ルール生成システムＰＣは、パーソナルコンピュータやワークステーション等のコンピュータシステムにより実現されるものであり、指定手段ａ１と抽出手段ａ２と出力手段ａ３とカスタマイズ手段ａ４と検出ルール生成手段ａ５とを備える。この検出ルール生成システムＰＣは、ディスプレイ装置Ｄ、収集手段（プローブ）ＰＲＢ、コリレータ・コントローラＣＣと接続されている。
【００２４】
指定手段ａ１は、ユーザに対して、不正パケットのサンプルを指定させる機能を備える。本実施の形態では、図４に示すように、ディスプレイ装置Ｄに指定用画面ｄ１に表示させ、不正パケットのサンプルを指定させる。指定用画面ｄ１には、ログ情報のリストが表示され、選択ボタンをクリックさせることにより、サンプルとするパケットのログ情報が指定可能となっている。なお、リスト表示されるログ情報としては、記録手段ＲＥＣに記録されているログ情報でも良いし、図示しない画面にユーザが所定の条件を入力し、その条件に適合するログ情報が記録手段ＲＥＣから取得されて表示されるようにしても良いし、他のインターネットサービスプロバイダＩＳＰや一般ユーザから不正なパケットとして提供されたデータのログ情報が表示されるようにしても良い。
【００２５】
抽出手段ａ２は、指定手段ａ１により指定されたサンプルパケットから所定の情報を抽出する機能を備える。ここでは、記録手段ＲＥＣに記録されているログ情報に対応する情報が抽出される。
【００２６】
出力手段ａ３は、編集用フォーマットＦの対応する項目に、抽出手段ａ２により抽出された所定の情報を挿入し、ディスプレイ装置Ｄに出力する機能を備える。図５は、編集用フォーマットＦの一例を示す図である。編集用フォーマットＦは、検出ルール生成システムＰＣの記憶領域に記憶されており、以下の項目から構成されている。
【００２７】
図６は、編集用フォーマットＦの大項目ｉ１００「パケット解析結果」を拡大して示す図である。大項目ｉ１００「パケット解析結果」の出力領域ｅは、抽出手段ａ２により抽出された情報をユーザが理解しやすい形式にして表示する項目である。
【００２８】
図７は、大項目ｉ２００「プロトコル指定」を拡大して示す図である。大項目ｉ２００「プロトコル指定」は、三つの中項目ｉ２１０，ｉ２２０，ｉ２３０で構成されている。第一の中項目ｉ２１０は、ユーザに対して検出対象とするパケットのプロトコルを指定させる項目であり、小項目として「ＩＰ」「ＩＣＰＭ」「ＴＣＰ」「ＵＤＰ」が表示される。各小項目「ＩＰ」「ＩＣＰＭ」「ＴＣＰ」「ＵＤＰ」には選択ボタンｂ，，，ｂが配置されている。選択ボタンｂは、マウス等によりクリックすることでチェックを入力し、その項目を選択状態とするものである。
【００２９】
また、第二の中項目ｉ２２０は、ユーザに対して検出対象とするパケットの送信元サーバのアドレスとポート、送信先サーバのアドレスとポートを指定させる項目であり、各小項目として送信元サーバのアドレス「ｓｒｃ  ａｄｄｒ」、送信元サーバのポート「ｓｒｃ  ｐｏｒｔ」、送信先サーバのアドレス「ｄｓｔ  ａｄｄｒ」、送信先サーバのポート「ｄｓｔ  ｐｏｒｔ」が設けられている。各小項目には、各小項目に対応する情報を入力可能な入力領域ｃ、及び、選択ボタンｂが設けられている。
【００３０】
また、第三の中項目ｉ２３０は、ユーザに対して検出対象とするパケットの制御フラグの状態を指定させる項目であり、「ＳＹＮ」「ＡＣＫ」「ＦＩＮ」「ＲＳＴ」「ＤＦ」の小項目が設けられている。各小項目には選択ボタンｂが設けられており、選択ボタンｂが選択状態であると制御フラグがオンであることを意味する。
【００３１】
図８は、大項目ｉ３００「アプリケーション指定」を拡大して示す図である。大項目ｉ３００「アプリケーション指定」には、二つの中項目ｉ３１０，ｉ３２０が含まれている。第一の中項目ｉ３１０は、ユーザに対して検出対象とするパケットのアプリケーションを指定させる項目であり、小項目「ＤＮＳ」が設けられている。小項目「ＤＮＳ」には選択ボタンｂが設けられている。
【００３２】
第二の中項目ｉ３２０は、ユーザに対してドメイン名とタイプを指定させる項目である。小項目として、検出対象とするパケットの問合せ対象のドメイン名「ＱＮＡＭＥ」と問合せのタイプ「ＱＴＹＰＥ」、複数の問い合わせ結果の内容「ＮＡＭＥ」と問い合わせ結果のタイプ「ＴＹＰＥ」が設けられている。各小項目には、選択ボタンｂと入力領域ｃが設けられている。
【００３３】
図９は、大項目ｉ４００「時間指定」を拡大して示す図である。大項目ｉ４００「時間指定」は、検出対象とするパケットのログ情報が記録された時間を指定させる項目である。小項目として「指定時刻以降に指定する」と「指定時刻以前に指定する」とが設けられている。各小項目は、それぞれプルダウンにて年、月、日、時刻を選択可能な入力領域ｃと、選択ボタンｂが設けられている。
【００３４】
図１０は大項目ｉ５００「テキストデータ指定」を拡大して示す図である。大項目ｉ５００「テキストデータ指定」には、テキストデータを入力可能な入力領域ｃと、選択ボタンｂが設けられている。
【００３５】
図１１は大項目ｉ６００「バイナリデータ指定」を拡大して示す図である。大項目ｉ６００「バイナリデータ指定」には、バイナリデータを入力可能な入力領域ｃと、選択ボタンｂが設けられている。
【００３６】
出力手段ａ３は、上記編集用フォーマットＦに基づいて、抽出手段ａ２によりサンプルパケットから抽出した所定の情報をカスタマイズ用画面ｄ２（例えば図１２参照）としてディスプレイ装置Ｄに出力する。具体的には、抽出手段ａ２にて抽出された情報に対応する項目の選択ボタンを選択状態とし、又、各入力領域ｃに対応する情報を各入力領域ｃに挿入して出力する。
【００３７】
カスタマイズ手段ａ４は、出力手段ａ３により出力された所定の情報のカスタマイズを受け付ける機能を備え、本実施の形態では、カスタマイズ用画面ｄ２により実現される。カスタマイズ手段ａ４は、第１の機能と第２の機能を備える。
【００３８】
第１の機能は、出力手段ａ３により各入力領域ｃに出力された情報の編集を受け付ける機能である。本実施の形態では、出力手段ａ３が各入力領域ｃに情報を挿入して出力し、カスタマイズ用画面ｄ２の初期状態とするが（図１２参照）、第１の機能は、この各入力領域ｃに出力される情報をユーザにより編集可能な状態にて出力し、空欄の入力領域ｃは任意の情報を入力可能とすることにより実現されている。
【００３９】
第２の機能は、編集用フォーマットＦの各項目の選択ボタンｂの選択／非選択を受け付ける機能である。本実施の形態では、出力手段ａ３が所定の情報に対応する項目について選択ボタンｂ，，，ｂを選択状態とし、カスタマイズ用画面ｄ２の初期状態とするが(図１２参照)、第２の機能は、各選択ボタンｂ，，，ｂの状態をユーザにより変更可能とすることにより実現されている。
【００４０】
なお、カスタマイズ手段ａ４は、これに限られるものではなく、例えば、検索式に用いられる「ａｎｄ」「ｏｒ」等を用いて、各項目を用いた検索式を指定可能としたり、新たに項目を追加可能としたり、検出ルール生成システムＳｙｓにて予め定められている規則に従ってユーザにカスタマイズさせるものであれば良い。
【００４１】
検出ルール生成手段ａ５は、ユーザから検出ルール生成の指示を受け付けると、カスタマイズ用画面ｄ２の各項目の情報に基づいて検出ルールを生成する機能を備える。このとき、検出ルール生成手段ａ５は、選択ボタンｂが選択状態である項目の情報を用い、選択された項目の情報が編集されている場合は編集後の情報を用いることで検出ルールを生成する。
【００４２】
生成された検出ルールは、確認用画面ｄ３（図１９参照）に出力され、ユーザからの指示に従ってコリレータ・コントローラＣＣに引き渡され、検索手段ＳＲＣによるログ情報検索のための検出ルールとして用いられる。
【００４３】
（動作説明）
以下、本実施の形態の伝送路探索システムＳｙｓの動作説明を行う。本実施の形態では、インターネットサービスプロバイダＩＳＰ３にて不正なパケットが発見された場合における伝送路の探索を説明する。
【００４４】
インターネットサービスプロバイダＩＳＰ３の管理者は、不正パケットＰ２を発見すると、検出ルール生成システムＰＣ３を起動する。検出ルール生成システムＰＣ３は指定手段ａ１により指定用画面ｄ１を表示し、インターネットサービスプロバイダＩＳＰ３の管理者に対して不正なパケットのサンプル（以下、サンプルパケットと言う）を指定させる。管理者は入力画面にてパケットＰ２を不正データのサンプルとして指定し、「実行」ボタンをクリックする。検出ルール生成システムＰＣ３は、抽出手段ａ２によりサンプルパケットから編集用フォーマットＦの各項目に対応する所定の情報を抽出し、その情報を出力手段ａ３によりカスタマイズ用画面ｄ２としてディスプレイ装置Ｄに出力する。図１２は、カスタマイズ用画面ｄ２の初期状態の例を示す図である。
【００４５】
管理者は、カスタマイズ用画面ｄ２の各項目の情報を必要に応じてカスタマイズする。図１３はカスタマイズ用画面ｄ２のカスタマイズ後の状態の例を示す図であり、図１４〜図１８は、初期状態とカスタマイズ後の状態の各項目を対比する説明図である。なお、管理者は、経験則や知識等、自身の観点に基づいて各項目をカスタマイズすれば良い。
【００４６】
管理者は、カスタマイズ手段ａ４の第２の機能に対応する操作として、検出ルールに使用する項目の選択ボタンｂをチェックして選択状態とする。たとえば、図１４に示すように、初期状態において選択ボタンｂが選択状態とされたＵＤＰに加えて、ＴＣＰの項目の選択ボタンｂをチェックし、送信先サーバのポート「ｄｓｔ  ｐｏｒｔ」の選択を解除し、図１５に示すように、「ＮＡＭＥ」及び「ＴＹＰＥ」の不要な項目の選択を解除し、図１６〜図１８に示すように、指定時間やテキストデータ指定やバイナリデータ指定の選択ボタンｂを選択状態とする。
【００４７】
また、管理者は、カスタマイズ手段ａ４の第１の機能に対応する操作として、カスタマイズ用画面ｄ２の入力領域ｃを必要に応じて編集する。たとえば、図１４に示すように、送信元サーバのＩＰアドレス「１９２．１６８．１１．９」を「１９２．１６８．＊」とし、送信先サーバのＩＰアドレス「１９２．１６８．１１．６２」を「１９２．１６８．＊」とし、図１５に示すように、ＱＮＡＭＥ「ｗｗｗ．ｃｌｗｉｔ．ｃｏ．ｊｐ」を「＊．ｃｌｗｉｔ．ｃｏ．ｊｐ」とし、ＮＡＭＥ「ｎｓ１．ｃｌｗｉｔ．ｃｏ．ｊｐ」を「＊．ｃｌｗｉｔ．ｃｏ．ｊｐ」とし、ＮＡＭＥ「１９２．１６８．１１．１２」を「１９２．１６８．＊」とする。また、図１６に示すように、時間指定の項目の「００時００分００秒以降に指定する」「２３時５９分５９秒以前に指定する」を「２２時００分００秒以降に指定する」とし、「０５時３０分００秒以前に指定する」と編集し、図１７に示すように、テキストデータ指定の入力領域ｃに表示されているテキストデータを「www.clwit.co.jp AND ns1.clwit.co.jp」に編集し、図１８に示すように、バイナリデータ指定の入力領域ｃに表示されているバイナリデータを「0014 221c」に編集する。ここで、「＊」は任意の文字列を意味する正規表現である。なお、編集方法は正規表現に限定されるものではなく、予め定められた規則に従ったものであれば良い。たとえば、「＊」とは異なる表現を用いても良いし、入力領域ｃに表示されている情報を全く別の情報に書き換えても良いし、編集が不要であれば編集しなくとも良い。
【００４８】
管理者はカスタマイズが終了すると、カスタマイズ画面ｄ２の「実行」ボタンＢ１（図１３参照）をクリックし、検出ルール生成システムＰＣ３に検出ルールの生成を実行させる。カスタマイズ手段ａ４は、カスタマイズ用画面ｄ２の各項目の情報と選択状態を受け付け、検出ルール生成手段ａ５が選択状態とされた項目の情報を用いて検出ルールを生成する。本実施の形態では、選択状態である項目の条件を全て満たすパケットのパケット情報を検出する検出ルールが生成される。
【００４９】
検出ルール生成システムＰＣ３は、生成した検出ルールを確認用画面ｄ３に表示して確認を促す。図１９は確認用画面ｄ３の一例を示す図である。管理者は表示された検出ルールを確認し、確認用画面ｄ３の「実行」ボタンＢ２をクリックする。検出ルール生成システムＰＣ３は、「実行」ボタンＢ２のクリックを検知すると、検出ルールをコリレータ・コントローラＣＣに登録する。
【００５０】
コリレータ・コントローラＣＣ２の検索手段ＳＲＣは、登録された検出ルールに基づいて記録手段ＲＥＣ３に記録されているログ情報データベースを検索する。検出ルールに適合するパケットのログ情報を検出した場合は、そのログ情報をディスプレイ装置Ｄに表示する。図２０は、検出結果画面ｄ５の一例である。検出結果画面ｄ５には、不正パケットである可能性の高いパケットのログ情報が出力される。ここでは、パケット識別用のＩＤ（ハッシュ値）、検出したＰＲＢ（プローブホスト）の名前、日時、発信元ＩＰアドレス、送信先ＩＰアドレスが出力される。管理者はこれらの不正パケットの候補を参照して不正パケットＰ２を特定し、受信拒否や削除など、対応処理を行う。
【００５１】
次に、インターネットサービスプロバイダＩＳＰ３の管理者は、検出された不正パケットＰ２のログ情報から、不正パケットＰ２の送信元であるインターネットサービスプロバイダＩＳＰ２のサーバＮ２を特定し、その管理者に不正パケットの伝送路探索を依頼する。依頼に際しては、インターネットサービスプロバイダＩＳＰ３にて検出された不正パケットのログ情報を引き渡す。
【００５２】
インターネットサービスプロバイダＩＳＰ２の管理者は、インターネットサービスプロバイダＩＳＰ３から受信した不正パケットＰ２のログ情報をサンプルパケットとして指定して、上記インターネットサービスプロバイダＩＳＰ３での操作と同様の操作を行うことで第１の検出ルールを生成する。生成された検出ルールは、コリレータ・コントローラＣＣ２に登録され、検索手段ＳＲＣ２によりログ情報が検索される。検出結果は、上記と同様に検出結果画面ｄ３（図示せず）としてディスプレイ装置Ｄに表示される。
【００５３】
さらに、インターネットサービスプロバイダＩＳＰ２の管理者は、上記第１の検出ルールにて検出された不正パケットｐ２のログ情報を用いて更に探索を行う。管理者は、検出ルール生成システムＰＣ２の指定手段ａ１（指定用画面）を用いて不正パケットＰ２のログ情報を指定する。検出ルール生成システムＰＣ２は、抽出手段ａ２により不正パケットＰ２のログ情報から所定の情報を抽出し、出力手段ａ３によりディスプレイ装置Ｄにカスタマイズ用画面ｄ２を出力する。管理者は、カスタマイズ用画面ｄ２の表示内容を自身の観点により編集すれば良いが、図２１に示すように、少なくとも、送信先のアドレス「ｄｓｔ  ａｄｄｒ」の入力領域に出力されている「１９２．１６８．１１．６２」を送信元のアドレス「１９２．１６８．１１．９」に書き換え、送信元のアドレス「ｓｒｃ  ａｄｄｒ」の選択ボタンｂを非選択とする。これにより、受信した不正パケットＰ１のログ情報を検出することができる。
【００５４】
インターネットサービスプロバイダＩＳＰ２の管理者は、検出された不正パケットＰ１のログ情報から、インターネットサービスプロバイダＩＳＰ１を特定し、その管理者に不正パケットＰ１のログ情報を引き渡して経路探索の依頼を行う。インターネットサービスプロバイダＩＳＰ１の管理者は、不正パケットＰ１のログ情報を受信すると、この不正パケットＰ１のログ情報をサンプルパケットとしてほぼ同様の操作を行い、不正パケットＰ１のログ情報の検出を行う。不正パケットＰ１のログ情報が検出されると、そのログ情報から不正パケットＰ１の送信源を特定することが可能となる。
【００５５】
以上のように、本実施の形態の検出ルール生成システムＰＣによれば、各管理者はディスプレイ装置に出力された情報をカスタマイズできるため、各管理者の経験則や知識に基づく観点を反映させた検出ルールを簡単に生成することができ、フレキシブルな探索が可能となる。
【００５６】
（第二の実施の形態）
図２２は、本実施の形態の伝送路探索システムＳｙｓの機能を説明する機能ブロック図である。本実施の形態は、複数の検出ルールを組み合わせて探索を行うことで、関連するパケットを検出可能なものである。なお、同一機能については、同一の符号を用いて説明を省略する。
【００５７】
検出ルール生成システムＰＣは、検出ルール記憶手段ａ６を備える。検出ルール記憶手段ａ６には、ユーザに対して検出ルール生成手段ａ５にて生成された検出ルールに識別子であるルール名を入力させ、そのルール名と検出ルールとを対応付けて記憶する機能を備える。具体的には、図２３や図２４に示すように、確認用画面ｄ３１にて、生成された検出ルールに対して識別子（ルール名）を入力させるための入力領域ｃを表示し、「実行」ボタンＢ２のクリックを検知すると、ルール名と検出ルールを対応付けて記憶する。
【００５８】
ユーザが、指定用画面ｄ１，カスタマイズ用画面ｄ２，確認用画面ｄ３の操作を繰り返すことにより、検出ルール生成システムＰＣは、指定手段ａ１、抽出手段ａ２、出力手段ａ３、カスタマイズ手段ａ４、検出ルール生成手段ａ５，検出ルール記憶手段ａ６の一連の処理を繰り返し、これにより複数の検出ルールが作成可能となっている。
【００５９】
図２５は、組み合わせ用画面ｄ４である。ユーザが組み合わせ用画面表示ボタン（図示しない）をクリックすると、この組み合わせ用画面ｄ４がディスプレイ装置Ｄに表示される。組み合わせ用画面ｄ４には、登録されている検出ルールのルール名がリスト表示され、各ルール名には選択／非選択を促す選択ボタンｂ１が設けられている。選択ボタンｂ１には、検出手段ＳＲＣにおける各検出ルールの使用順序が入力可能となっている。
【００６０】
組み合わせ手段ａ７は、組み合わせ用画面ｄ４の「実行」ボタンＢ２を検出すると、選択された検出ルールを選択ボタンｂ１に入力された順番とともにコリレータ・コントローラＣＣに登録する。コリレータ・コントローラＣＣでは、順番付けされている順序にて検出ルールを用い、ログ情報データベースから各検出ルールに適合するログ情報を検索する。図２６は、ディスプレイ装置に表示される検出結果画面ｄ５の一例を示す図である。検出されたパケット情報は関連付けて表示される。
【００６１】
（動作説明）
以下、第二の実施の形態の伝送路探索システムＳｙｓ２の動作説明について、図１におけるインターネットサービスプロバイダＩＳＰ２における探索を例に説明する。管理者は、インターネットサービスプロバイダＩＳＰ３から探索依頼を受けると、検出ルール生成システムＰＣ２により指定用画面ｄ１（図４参照）を表示させ、受信した不正パケットのログ情報を指定する。検出ルール生成システムＰＣ２は、ディスプレイ装置Ｄにカスタマイズ用画面ｄ２を初期状態にて表示する（図１２参照）。管理者がカスタマイズ用画面ｄ２をカスタマイズして（図１３参照）実行ボタンＢ１をクリックすると、検出ルール生成システムＰＣ２は第１の検出ルールを生成し、確認用画面ｄ３１を表示する（図２３参照）。管理者は、確認用画面ｄ３１にて第１の検出ルールを確認し、入力領域ｃ１にルール名「ルール＿ＤＮＳ＿１」を入力して、「実行」ボタンＢ２をクリックする。検出ルール生成システムＰＣ２は、検出ルール記憶手段ａ６によりルール名「ルール＿ＤＮＳ＿１」と第１の検出ルールとを関連付けて記憶する。
【００６２】
つぎに、管理者は、第２の検出ルールを生成するために、再度、指定用画面ｄ１にてパケットを指定し、カスタマイズ用画面ｄ２を初期状態にて表示させ、カスタマイズを行う。カスタマイズは上記実施の形態の第２の検出ルールと同様に、少なくとも、送信先のアドレス「ｄｓｔ  ａｄｄｒ」の入力領域ｃを送信元のアドレス「１９２．１６８．０．９」に書き換え、送信元のアドレス「ｓｒｃ  ａｄｄｒ」の選択ボタンｂを非選択とする。管理者がカスタマイズ用画面ｄ２の「実行」ボタンＢ１をクリックすると、検出ルール生成システムＰＣ２は、第２の検出ルールを生成し、確認用画面ｄ３２を表示する（図２４参照）。管理者は確認用画面ｄ３１に第２の検出ルールのルール名「ルール＿ＤＮＳ＿２」を入力して、「実行」ボタンＢ２をクリックする。検出ルール生成システムＰＣ２は、検出ルール記憶手段ａ６によりルール名「ルール＿ＤＮＳ＿２」と第２の検出ルールとを関連付けて記憶する。
【００６３】
上記を繰り返すことにより、管理者は複数の検出ルールを登録可能である。
【００６４】
管理者は、複数の検出ルールを登録した後に、組み合わせ用画面ｄ４（図２５参照）を表示させる。組み合わせ用画面ｄ４には、検出ルール記憶手段ａ６にて登録済みの検出ルールのルール名がリスト表示される。管理者は、検出に用いる検出ルールのルール名を選択し、選択ボタンｂ１に順番を入力する。ここでは、第１のルール「ルール＿ＤＮＳ＿１」を１番とし、第２のルール「ルール＿ＤＮＳ＿２」を２番とする。管理者が「実行」ボタンＢ２をクリックすると、この組み合わせがコリレータ・コントローラＣＣに登録される。
【００６５】
コリレータ・コントローラＣＣの検索手段ＳＲＣは、登録された検出ルールに基づいて記録手段ＲＥＣ３に記録されているログ情報データベースを検索する。ここでは、第１のルール「ルール＿ＤＮＳ＿１」に適合するログ情報を検索し、その後に第２のルール「ルール＿ＤＮＳ＿２」に適合するログ情報を検索する。
【００６６】
検索の結果は検出結果画面ｄ５にて表示される（図２６参照）。第１のルール「ルール＿ＤＮＳ＿１」に適合するログ情報と、第２のルール「ルール＿ＤＮＳ＿２」に適合するログ情報とが、関連するパケットのログ情報として表示される。これにより、一連の関連するパケットのログ情報を一度に表示することが可能となる。
【００６７】
以上、上記実施の形態の検出ルール生成システムによれば、カスタマイズ用画面に表示された情報をカスタマイズすることにより、ユーザの観点を反映させた検出ルールを簡単に生成することができる。また、この検出ルール生成システムを備える伝送路探索システムによれば、検出ルールを簡単に生成しながらも、ユーザの観点を反映させたフレキシブルな探索が可能となる。
【００６８】
なお、上記実施の形態では、ＤＮＳ反射型攻撃を例に説明したが、本発明は、ウイルスメール、ネットワークワーム等、様々な不正データの伝送路の探索に適用可能である。たとえば、ウイルスメールの伝送路を探索するシステムの場合は、メールの送信元「Ｆｒｏｍ」や送信先「Ｔｏ」をカスタマイズ用画面の項目に設けても良い。また、編集用フォーマットＦの各項目は上記に限定されるものではなく、必要に応じて適宜必要な項目を設ければ良い。たとえば、アプリケーション指定の小項目として「ＳＭＴＰ」を設けても良い。また、本発明は、その趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
【符号の説明】
【００６９】
Ｓｙｓ、Ｓｙｓ１、Ｓｙｓ２、Ｓｙｓ３  伝送路探索システム
Ｎ１    攻撃端末
Ｎ２    中継ＤＮＳサーバ
Ｎ３    標的ＤＮＳサーバ
ＩＳＰ（ＩＳＰ１〜ＩＳＰ３）  インターネットサービスプロバイダ
Ｐ１，Ｐ２    パケット
ＣＣ（ＣＣ１〜ＣＣ３）    コリレータ・コントローラ
ＲＥＣ（ＲＥＣ１〜ＲＥＣ３）  記録手段
ＳＲＣ（ＳＲＣ１〜ＳＲＣ３）  検索手段
ＰＲＢ（ＰＲＢ１〜ＰＲＢ３）  プローブ（収集手段）
ＰＣ（ＰＣ１〜ＰＣ３）        検出ルール生成システム
ａ１  指定手段
ａ２  抽出手段
ａ３  出力手段
ａ４  カスタマイズ手段
ａ５  検出ルール生成手段
ａ６  検出ルール記憶手段
ａ７  組み合わせ手段
Ｄ    ディスプレイ装置
ｄ１  指定用画面
ｄ２  カスタマイズ用画面
ｄ３  確認用画面
ｄ４  組み合わせ用画面
ｄ５  検出結果画面
【図１】
2010233042.tif 000003
【図２】
2010233042.tif 000004
【図３】
2010233042.tif 000005
【図４】
2010233042.tif 000006
【図５】
2010233042.tif 000007
【図６】
2010233042.tif 000008
【図７】
2010233042.tif 000009
【図８】
2010233042.tif 000010
【図９】
2010233042.tif 000011
【図１０】
2010233042.tif 000012
【図１１】
2010233042.tif 000013
【図１２】
2010233042.tif 000014
【図１３】
2010233042.tif 000015
【図１４】
2010233042.tif 000016
【図１５】
2010233042.tif 000017
【図１６】
2010233042.tif 000018
【図１７】
2010233042.tif 000019
【図１８】
2010233042.tif 000020
【図１９】
2010233042.tif 000021
【図２０】
2010233042.tif 000022
【図２１】
2010233042.tif 000023
【図２２】
2010233042.tif 000024
【図２３】
2010233042.tif 000025
【図２４】
2010233042.tif 000026
【図２５】
2010233042.tif 000027
【図２６】
2010233042.tif 000028