(57)【要約】  他のコンピュータを攻撃する、アプリケーションに連鎖性のあるウイルスの発信元やＤＮＳ攻撃の発信元を検知することにより、踏み台を仕掛けた本来の攻撃者を検知する。  ウイルスやＤＮＳ攻撃の発信元検知装置がネットワークから、設定条件をもとにパケットをキャプチャし、必要な情報の抽出を行う。ウイルス動作やＤＮＳ攻撃の動作、特徴などの情報、各サーバのログ、などアプリケーショントレースバックに必要なデータを格納する。データベースに格納しているアプリケーショントレースバック処理結果、および各種データからウイルスやＤＮＳ攻撃の連鎖性を判定し、新たな条件を設定し、ウイルスやＤＮＳ攻撃の発信元検知を行う。データを更新、蓄積し、攻撃の挙動とウイルスやＤＮＳ攻撃の連鎖性と関連性を判定し、攻撃の発信元を検知する。
2008084729.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知装置であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ手段と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別手段と、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理手段と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化手段と、
ネットワーク上のウイルス情報及び通信記録を格納するログ記録手段と、
前記フォーマット共通化手段からのデータと、前記ログ記録手段のデータとの連鎖性の有無を判定する手段と、
連鎖性の可能性が認められる仮発信元を格納する手段と、
サーバからのトレースバック実施要求を行う手段と、
前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知手段と、
を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項２】
ウイルスファイルとアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項１に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項３】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知装置であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ手段と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別手段と、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理手段と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化手段と、
ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録手段と、
前記フォーマット共通化手段からのデータと、前記ログ記録手段のデータとの連鎖性の有無を判定する手段と、
連鎖性の可能性が認められる仮発信元を格納する手段と、
サーバからのトレースバック実施要求を行う手段と、
前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知手段と、
を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項４】
ＤＮＳ攻撃とアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項３に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項５】
ＩＣＭＰ ＥＣＨＯによる攻撃を受けた場合にあっては、ＩＣＭＰ ＥＣＨＯのパケットキャプチャを行うことにより発信元を確定することを特徴とする請求項１乃至４の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項６】
アプリケーショントレースバックに必要な情報を蓄積するデータベースを備えることにより、アプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置に蓄積されたデータに基づいて、発信元を検知することを特徴とする請求項１乃至５の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項７】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知方法であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャステップと、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別ステップと、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理ステップと、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化ステップと、
ネットワーク上のウイルス情報及び通信記録を格納するログ記録ステップと、
前記フォーマット共通化ステップからのデータと、前記ログ記録ステップのデータとの連鎖性の有無を判定するステップと、
連鎖性の可能性が認められる仮発信元を格納するステップと、
サーバからのトレースバック実施要求を行うステップと、
前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知ステップと、
を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項８】
ウイルスファイルとアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項７に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項９】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知方法であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャステップと、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別ステップと、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理ステップと、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化ステップと、
ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録ステップと、
前記フォーマット共通化ステップからのデータと、前記ログ記録ステップのデータとの連鎖性の有無を判定するステップと、
連鎖性の可能性が認められる仮発信元を格納するステップと、
サーバからのトレースバック実施要求を行うステップと、
前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知ステップと、
を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項１０】
ＤＮＳ攻撃とアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項９に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項１１】
ＩＣＭＰ ＥＣＨＯによる攻撃を受けた場合にあっては、ＩＣＭＰ ＥＣＨＯのパケットキャプチャを行うことにより発信元を確定することを特徴とする請求項７乃至１０の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項１２】
アプリケーショントレースバックに必要な情報を蓄積するデータベースをアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置に備えることにより、アプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置に蓄積されたデータに基づいて、発信元を検知することを特徴とする請求項７乃至１１の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項１３】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知プログラムであって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ機能と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別機能と、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理機能と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化機能と、
ネットワーク上のウイルス情報及び通信記録を格納するログ記録機能と、
前記フォーマット共通化機能からのデータと、前記ログ記録機能のデータとの連鎖性の有無を判定する機能と、
連鎖性の可能性が認められる仮発信元を格納する機能と、
サーバからのトレースバック実施要求を行う機能と、
前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知機能と、
をコンピュータに実現させることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【請求項１４】
ウイルスファイルとアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項１３に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【請求項１５】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知プログラムであって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ機能と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別機能と、
対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理機能と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化機能と、
ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録機能と、
前記フォーマット共通化機能からのデータと、前記ログ記録機能のデータとの連鎖性の有無を判定する機能と、
連鎖性の可能性が認められる仮発信元を格納する機能と、
サーバからのトレースバック実施要求を行う機能と、
前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知機能と、
をコンピュータに実現させることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【請求項１６】
ＤＮＳ攻撃とアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項１５に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【請求項１７】
ＩＣＭＰ ＥＣＨＯによる攻撃を受けた場合にあっては、ＩＣＭＰ ＥＣＨＯのパケットキャプチャを行うことにより発信元を確定することを特徴とする請求項１３乃至１６の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【請求項１８】
アプリケーショントレースバックに必要な情報を蓄積するデータベースをアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置に備えることにより、アプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置に蓄積されたデータに基づいて、発信元を検知することを特徴とする請求項１３乃至１７の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上のサイバー攻撃の発信源を探索する、アプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置に関する。
【背景技術】
【０００２】
近年、インターネットに対する攻撃は、日々変化しており、攻撃のパターンも一層複雑化している。従来の発信元を詐称したパケットを送出する攻撃だけでなく、ボットネットのようなウイルスに感染したコンピュータを踏み台にし、踏み台を用いて攻撃する例も多く報告されており、複数のプロトコルを駆使して攻撃する、など攻撃の多様化が進んでいる。【０００３】
さらに、インターネットの基幹となるＤＮＳ（Domain Name System）を利用した攻撃である、ＤＮＳ反射攻撃が課題として顕在化してきた。ここで、ＤＮＳ反射攻撃とは、ＩＰ（Internet Protocol）アドレスを偽装して攻撃対象のコンピュータにＤＮＳクエリを送信することで、被害コンピュータに応答を集中させる攻撃手法である。【０００４】
この攻撃手法は、インターネット上の複数のキャッシュサーバを利用することで、ＤＮＳリプライが何倍にも増幅され、結果として、被害コンピュータには、突然、大量のパケットが送りつけられることとなる。そして、大量のパケットが送りつけられることから帯域が埋め尽くされ、サービスが妨害されるというものである。【０００５】
またフィッシングのようなメールによる情報発信から悪意のあるウェブサーバーへ誘導するような、複数のアプリケーションを連鎖させる脅威が増加傾向にある。【０００６】
従来のＩＰパケットを元にしたトレースバック技術は、実際に攻撃を行っているコンピュータを検知するものであり、踏み台を使って攻撃している場合には踏み台の検知までしか活用できない。【０００７】
また、何のファイルが、どのような経路で、踏み台となったコンピュータに感染したかは、各サーバのログ等を精査して行われており、その判断を人手に頼っていた。そして、アプリケーションに依存したトレースバックを動的に行うことは困難であった。【０００８】
また、ＤＮＳ攻撃に対しては、セキュリティパッチの適用などにより、設定が変更されないようにＤＮＳサーバの脆弱性を防ぐだけでなく、ＤＮＳキャッシュのサービス範囲を限定し、オープンリレー状態をなくすなどが運用的な対策であった。【０００９】
この点、発信元をトレースバックするものや、パケットにトレース可能な情報を付加する関連する技術として、特許文献１乃至６に記載の方法がある。【００１０】
特許文献１に記載の発明は、トレースバックに必要な情報をクライアントコンピュータに蓄積するという方法である。【００１１】
特許文献２に記載の発明は、トレースバックに必要な情報をルータでパケットに付加や削除を行う方法である。【００１２】
特許文献３に記載の発明は、各ＴＣＰ  ＰＵＳＨパケットを参照し、宛先ポート番号およびデータのうち、少なくともデータが相互に一致しているかを確認する方法である。そして、少なくともデータが相互に一致しているＴＣＰ  ＰＵＳＨパケットが所定時間内に送受信されると、当該各ＴＣＰ  ＰＵＳＨパケットの送受信を不正アクセスと判定する方法である。【００１３】
特許文献４に記載の発明は、トレースバックに必要な情報として、常時収集されているパケットのヘッダ情報、攻撃パケットのヘッダ情報、ルータ間接続情報といった情報を用いることにより攻撃パケットを特定する方法である。【００１４】
特許文献５に記載の発明は、トレースバックに必要な情報として、トラフィックを収集する装置において攻撃パケットを検出し、攻撃パケットと相関のあるパケットの相関を取ることで、踏み台攻撃を特定する方法である。【００１５】
特許文献６に記載の発明は、同一の宛先への情報送信がある閾値以上になった場合に攻撃判断する方法である。
【特許文献１】特開２００４−０８６２４１号公報
【特許文献２】特開２００５−２７５６８３号公報
【特許文献３】特開２００６−０３３４７２号公報
【特許文献４】特開２００６−１３５８８５号公報
【特許文献５】特開２００６−１９１４３３号公報
【特許文献６】特開２００６−３５０５６１号公報
【発明の開示】
【発明が解決しようとする課題】
【００１６】
特許文献１に記載の発明では、トレースバックに必要な情報をクライアントコンピュータに蓄積する必要があり、専用のソフトウェアを導入する必要がある。【００１７】
またクライアントコンピュータがウイルスの侵入の事実を元にウイルスの発信元を検知するシステムであり、攻撃を行うアプリケーションの連鎖について対応する仕組みを持っていない。【００１８】
特許文献２に記載の方法では、ＩＰを利用した攻撃において、攻撃者と被害者の特定は可能となるが、踏み台コンピュータが存在する場合に、アプリケーションの連鎖について対応する仕組みを持っていないという問題がある。【００１９】
特許文献３に記載の方法では、少なくとも送受信のデータが相互に一致している必要がある。そのため、踏み台コンピュータが存在する場合に、ウィルスやＤＮＳといった送受信のデータが完全に一致しないアプリケーションの連鎖について対応する仕組みを持っていないという問題がある。【００２０】
特許文献４に記載の方法では、ＩＰを利用した攻撃において、攻撃者と被害者の特定は可能となるが、踏み台コンピュータが存在する場合に、アプリケーションの連鎖について対応する仕組みを持っていないという問題がある。【００２１】
特許文献５に記載の方法では、ＩＰを利用した攻撃において、攻撃者と被害者の特定は可能となるが、踏み台コンピュータが存在する場合に、アプリケーションの連鎖について対応する仕組みを持っていないという問題がある。【００２２】
特許文献６に記載の方法では、ＩＰを利用した攻撃において、攻撃者と被害者の特定は可能となるが、踏み台コンピュータが存在する場合に、アプリケーションの連鎖について対応する仕組みを持っていないという問題がある。【００２３】
ここで、連鎖を判定するためには、各種条件を柔軟に変更可能な高速なデータ収集装置と、連鎖を判定可能にするための大量なデータを蓄積し、更新するための制御ソフトウェアの連携を、クライアントコンピュータ環境に依存せずに実行することが必要である。【００２４】
上述した特許文献１乃至６に記載の発信元検知は、ＩＰパケットに着目し偽装された発信元アドレスやポート番号でもルータやスイッチ等の通過履歴を記録することで発信元をトレースバックするものや、パケットにトレース可能な情報を付加するものである。しかしＤｏＳ（denial of service）攻撃等の場合、これらの方式では、攻撃を発信したコンピュータの検知しかできないため、踏み台となって攻撃を発信したコンピュータの検知は可能であるが、踏み台を仕掛けた本来の攻撃者の特定は困難であった。【００２５】
また、アプリケーションプロトコルに着目したアプリケーショントレースバックを実現する装置では、アプリケーションの連鎖性のある動作に対しては考慮が充分にされていない。そのため、単一アプリケーションのプロトコルに限定した発生元検知であり、電子メールによるウイルス感染の拡大とＤｏＳを目的としたサーバ攻撃が同じウイルスによるものである場合でも、別アプリケーションとして扱われてしまう。よって、ウイルスによるアプリケーション動作の関連性、連鎖性の判断は人手によって行われており、真の攻撃発信元を特定するには至っていない。【００２６】
また、ＤＮＳサーバを利用したサーバへのＤｏＳ攻撃であっても、ＤＮＳクエリとＤＮＳリプライの関連性、連鎖性の判断は人手によって行われており、真の攻撃発信元を特定するには至っていない。【００２７】
また、これらの既存システムでは、ユーザのプライバシ保護を実現する匿名化機能がないため、通信におけるプライバシ保護を実現することができなかった。【００２８】
そこで、本発明は上述した問題点を解決し、他のコンピュータを攻撃する、アプリケーションに連鎖性のあるウイルスの発信元やＤＮＳ攻撃の発信元である、踏み台を仕掛けた本来の攻撃者を検知することの可能なアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置、その方法及びそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【００２９】
本発明によれば、第１の装置としてネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知装置であって、ネットワークを流れるパケットをキャプチャするパケットキャプチャ手段と、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別手段と、対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理手段と、該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化手段と、ネットワーク上のウイルス情報及び通信記録を格納するログ記録手段と、前記フォーマット共通化手段からのデータと、前記ログ記録手段のデータとの連鎖性の有無を判定する手段と、連鎖性の可能性が認められる仮発信元を格納する手段と、サーバからのトレースバック実施要求を行う手段と、前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知手段と、を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置が提供される。【００３０】
更に、第２の装置として、ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知装置であって、ネットワークを流れるパケットをキャプチャするパケットキャプチャ手段と、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別手段と、対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理手段と、該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化手段と、ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録手段と、前記フォーマット共通化手段からのデータと、前記ログ記録手段のデータとの連鎖性の有無を判定する手段と、連鎖性の可能性が認められる仮発信元を格納する手段と、サーバからのトレースバック実施要求を行う手段と、前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知手段と、を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置が提供される。【００３１】
更に、第１の方法として、ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知方法であって、ネットワークを流れるパケットをキャプチャするパケットキャプチャステップと、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別ステップと、対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理ステップと、該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化ステップと、ネットワーク上のウイルス情報及び通信記録を格納するログ記録ステップと、前記フォーマット共通化ステップからのデータと、前記ログ記録ステップのデータとの連鎖性の有無を判定するステップと、連鎖性の可能性が認められる仮発信元を格納するステップと、サーバからのトレースバック実施要求を行うステップと、前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知ステップと、
を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法が提供される。【００３２】
更に、第２の方法として、ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知方法であって、ネットワークを流れるパケットをキャプチャするパケットキャプチャステップと、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別ステップと、対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理ステップと、該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化ステップと、ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録ステップと、前記フォーマット共通化ステップからのデータと、前記ログ記録ステップのデータとの連鎖性の有無を判定するステップと、連鎖性の可能性が認められる仮発信元を格納するステップと、サーバからのトレースバック実施要求を行うステップと、前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知ステップと、を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法が提供される。【００３３】
更に、第１のプログラムとして、ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知プログラムであって、ネットワークを流れるパケットをキャプチャするパケットキャプチャ機能と、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別機能と、対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理機能と、該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化機能と、ネットワーク上のウイルス情報及び通信記録を格納するログ記録機能と、前記フォーマット共通化機能からのデータと、前記ログ記録機能のデータとの連鎖性の有無を判定する機能と、連鎖性の可能性が認められる仮発信元を格納する機能と、サーバからのトレースバック実施要求を行う機能と、前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知機能と、をコンピュータに実現させることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラムが提供される。【００３４】
更に、第２のプログラムとして、ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知プログラムであって、ネットワークを流れるパケットをキャプチャするパケットキャプチャ機能と、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別機能と、対応可能プロトコルである場合、アプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理機能と、該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化機能と、ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録機能と、前記フォーマット共通化機能からのデータと、前記ログ記録機能のデータとの連鎖性の有無を判定する機能と、連鎖性の可能性が認められる仮発信元を格納する機能と、サーバからのトレースバック実施要求を行う機能と、【００３５】
前記仮発信元データとプロトコルの相関に基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知機能と、をコンピュータに実現させることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラムが提供される。
【発明の効果】
【００３６】
本発明によれば、必要な情報収集、条件を動的に変更しながら有効な情報取得と関連性データを蓄積し、アプリケーションの連鎖関係を認識する事ができる。その結果、他のコンピュータを攻撃する、アプリケーションに連鎖性のあるウイルスの発信元である踏み台を仕掛けた本来の攻撃者を検知することが可能となる。
【図面の簡単な説明】
【００３７】
【図１】本発明の実施形態の基本的構成を表す図である。
【図２】本発明の構成例を示す図である。
【図３】パケットから取り出した情報を共通フォーマット化した例を示す図である。
【図４】本発明の実施形態の構成例を示す図である。
【図５】本発明の実施形態のアプリケーション個別処理（ＤＮＳ部分）の構成例を示す図である。
【図６】パケットから取り出した情報を共通フォーマット化した例を示す図である。
【符号の説明】
【００３８】
１０１  パケットキャプチャハードウェア
１０３  パケットキャプチャドライバ
１０５  アプリケーション個別処理部
１０７  検知インターフェイス処理部
１０９  データベース
１１１  アプリケーショントレースバック処理部
１１３  アプリケーション連鎖マネージャ
２０１  パケットキャプチャハードウェア
２０３  パケットキャプチャドライバ
２０５  アプリケーション個別処理部
２０７  検知インターフェイス処理部
２０９  データベース
２１１  アプリケーショントレースバック処理部
２１３  アプリケーション連鎖マネージャ
３０１  フィルタ情報記録部
３０２  ＤＮＳデータフィルタ部
３０３  ＤＮＳレコード展開部
３０４  ＤＮＳデータチェック部
３０５  ＤＮＳデータ加工部
【発明を実施するための最良の形態】
【００３９】
次に、本発明の実施形態について図面を用いて説明する。【００４０】
［実施形態１］【００４１】
図１は、本発明の構成例を示す図である。本発明の実施形態であるアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置は、プログラム処理におけるデータ収集装置である。アプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置は、パケットキャプチャハードウェア１０１、パケットキャプチャドライバ１０３，アプリケーション個別処理部１０５，検知インターフェイス処理部１０７、データベース１０９、アプリケーショントレースバック処理部１１１、アプリケーション連鎖マネージャ１１３を有する。【００４２】
これらは、それぞれ以下のように動作する。パケットキャプチャドライバ１０３は、パケットキャプチャハードウェア１０１に条件を設定し、任意のプロトコルのパケットを取得する。パケットキャプチャハードウェア１０１はパケットキャプチャドライバ１０３から設定された条件をもとに、ＬＡＮ（Local Area Network）などのネットワークから各プロトコルのパケットをキャプチャする。パケットキャプチャドライバ１０３はパケットキャプチャハードウェア１０１からのパケットを取得して各アプリケーション別にアプリケーション個別処理部１０５へパケットを送出する。アプリケーション個別処理部１０５はアプリケーションプロトコル固有の処理を吸収するための動作を実施する。実施する動作としては、例えば、パケットや分割されたファイルの再構築、プロトコルデータの解析、デコード、ファイルの有無、ファイルの伸張、ウイルス感染チェック、単位時間のトラヒック量統計処理などを行う。そして、アプリケーショントレースバックに必要な情報を収集、集約する。検知インターフェイス処理部１０７はアプリケーション個別処理部１０５の出力データを、アプリケーション個別処理部１０５の出力データをアプリケーショントレースバック処理部１１１が認識するフォーマットへの変換の提供を行い、データベース１０９に送出する。【００４３】
ここで、ユーザ情報を秘匿化するために秘匿化機能を更に実装してもよい。【００４４】
次に、データベース１０９には検知インターフェイス処理部１０７のデータ以外に、ウイルス情報や各アプリケーションサーバのログを格納する。アプリケーショントレースバック処理部１１１は、アプリケーション毎にアプリケーショントレースバックを行うためのアルゴリズムを行う部分である。アプリケーショントレースバック処理部１１１は、データベース１０９に格納されているデータから単一のアプリケーションプロトコル単位での直接攻撃を行った発信元を特定する。アプリケーショントレースバック処理部１１１は本システムに組み込まれていてもよく、また、本システムから独立したものであってもよい。【００４５】
アプリケーション連鎖マネージャ１１３はデータベース１０９に格納されているウイルス情報と各サーバのログ、アプリケーショントレースバック処理部１１１の結果からアプリケーションの連鎖性の有無と、収集したパケットキャプチャのデータからウイルスの連鎖性を判定する。そして判定の結果、他に関連するアプリケーションプロトコルの存在を確認した場合、アプリケーショントレースバック処理部１１１に連鎖元のアプリケーション条件で発信元検知を行うことを通知する。【００４６】
また、アプリケーション連鎖マネージャ１１３は、パケットキャプチャドライバ１０３に条件を再設定し、新たな条件でパケットを収集してデータベース１０９のデータの連鎖性情報の更新を行う。データベース１０９、アプリケーショントレースバック処理部１１１およびアプリケーション連鎖マネージャ１１３は新たな条件での判定を繰り返し、真の攻撃元を検知するまで条件を変更しながら処理を継続する。【００４７】
次に、図２を参照してウイルスの伝播がＳＭＴＰプロトコル（電子メール）によって拡大する場合を例に詳細に説明する。【００４８】
図２においてパケットキャプチャドライバ１０３はパケットキャプチャハードウェア１０１にウイルスファイルを外部から入手する可能性の高いプロトコルであるＳＭＴＰプロトコル（Simple Mail Transfer Protocol：電子メール）、ＨＴＴＰプロトコル（HyperText Transfer Protocol：ｗｅｂアクセス）、ＦＴＰプロトコル（File Transfer Protocol：ファイル転送）のパケットを取得するようにパケットキャプチャハードウェア１０１に設定を行う（Ｓ０１）。パケットキャプチャハードウェア１０１は、設定に従い、ネットワーク上のＳＭＴＰ、ＨＴＴＰ、ＦＴＰの各プロトコルのパケットをキャプチャする（Ｓ０２）。【００４９】
パケットキャプチャドライバ１０３はパケットキャプチャハードウェア１０１からパケットを取得して各アプリケーション別にアプリケーション個別処理部１０５へパケットを渡す（Ｓ０３）。本実施例ではウイルスファイルが添付されたＳＭＴＰプロトコルとしたとき、パケットキャプチャドライバ１０３はアプリケーション個別処理部１０５のＳＭＴＰ処理へパケットを送出する。【００５０】
アプリケーション個別処理部１０５は、分割されたメールパケットの再構築、添付ファイルの有無、ファイルのデコード、ファイルの伸張、添付ファイルのウイルス感染の有無の検出、単位時間のメイルトラヒック量の測定を行う。そして、アプリケーショントレースバックに必要な情報である送信元のアドレス、宛先アドレス、メッセージＩＤ、使用されたプロトコル名や、メールパケット受信日時、ホスト名といったヘッダ情報を収集、加工して検知インターフェイス処理部１０７へ送る（Ｓ０４）【００５１】
検知インターフェイス処理部１０７はアプリケーショントレースバック処理部１１１の入力にあわせたフォーマット変換を行い、変換されたウイルス情報と各サーバのログをデータベース１０９に格納する（Ｓ０５）。格納する情報としては、検知インターフェイス処理部１０７でｓｙｓｌｏｇでの出力例を図３に示す。【００５２】
アプリケーショントレースバック処理部１１１はデータベース１０９に格納されている、変換されたウイルス情報と各サーバのログなどの情報によりＳＭＴＰプロトコルによるウイルス拡散の可能性を検知する。そして、ウイルス拡散の可能性があると判断された場合は、ＳＭＴＰのアプリケーショントレースバックを行うための処理を実行する（Ｓ０６）。また、該トレースバック処理により得られた発信元を、メールの仮の発信元探知の候補として取得し、これをリスト化する（Ｓ０７）。なお、リスト化するのではなく、発信元候補を検出するようにしても良い。【００５３】
次に、アプリケーション連鎖マネージャ１１３はアプリケーショントレースバック処理部１１１がリスト化した仮発信元の候補リスト、単位時間トラヒック量と、データベース１０９に格納されているウイルスの動作や特徴、各サーバのログといった情報から、仮発信元の候補とウイルスの関連性を判定する。【００５４】
判定方法としては、仮発信元の単位時間トラヒック量がある時点において増大している場合は、そのように振る舞うウイルスとの関連性を考慮する事が例示出来る。また、サーバのログから、以前にメールを受信した時点からウイルスの特徴と相関が見られるような症状が発生していないか考慮することが例示出来る。更に、蓄積されているウイルスの特徴からメールに添付されたファイルにウイルスが混入していたと思われる痕跡が発見できないか考慮することが例示出来る。これらの種々の観点からウイルス連鎖性の有無を判定する（Ｓ０８）。そして、連鎖性の可能性が確認された場合は、データベース１０９に格納されている当該仮発信元をウイルスとの連鎖性が確認された発信元としてマーキングし、仮発信元とウイルスの間に認められた関連性についてデータベース１０９に蓄積する。これにより、以後のトレースバック処理、及びアプリケーションの連鎖性の判定の根拠となるデータを動的に変更、蓄積することができる。【００５５】
アプリケーション連鎖マネージャ１１３は、当該蓄積された、アプリケーションから得られた情報、各サーバのログ情報、ウイルスの特徴情報、といった情報に基づき、ウイルスの感染経緯を判別し、感染経路を特定する（Ｓ０９）。【００５６】
更に、サーバがＩＣＭＰ ＥＣＨＯ(Internet Control Message Protocol)により攻撃された場合について考える。ここで、ＩＣＭＰ ＥＣＨＯとは、ＩＰのエラーメッセージや制御メッセージを転送するためのプロトコルである。ネットワークにつながれた機器間で互いの状態を確認するために用いられている。【００５７】
サーバがＩＣＭＰ ＥＣＨＯにより攻撃され、サーバからトレースバック実施要求が行われると、実際に攻撃しているコンピュータとデータベース１０９に蓄積したウイルスの連鎖性の有無情報、仮発信元の候補リスト、サーバのログからＩＣＭＰ ＥＣＨＯとウイルスファイルが添付されたＳＭＴＰプロトコルとの関連性をアプリケーショントレースバック処理部１１１とアプリケーション連鎖マネージャ１０３の間で判定処理を行う。判定処理の方法としては、ウイルスの振る舞い情報と、当該ＩＣＭＰ ＥＣＨＯ攻撃との特徴の一致や関連性が見られるか否か考慮することが例示出来る。更に、ＳＭＴＰプロトコルの解析により得られた発信元と仮発信元リストとの比較し同一の発信元が格納されていないか考慮することが例示出来る。また、各サーバのログ情報から得られるメール受信時とウイルスの症状発生時との関連性を考慮することが例示出来る。これらの種々の観点からデータベース１０９に格納されているウイルスの特徴情報に基づき判定する（Ｓ１０）。【００５８】
この際、判定のためにＩＣＭＰ ＥＣＨＯについてのキャプチャデータが必要な場合、アプリケーション連鎖マネージャ１１３は、パケットキャプチャドライバ１０３にＩＣＭＰ ＥＣＨＯのパケットキャプチャを行うように指示を送出する。そして、ＩＣＭＰ ＥＣＨＯから得られるヘッダ情報を収集解析し、送信元ＩＰアドレスや、送信日時、ＭＡＣアドレスといった必要なデータをデータベース１０９に蓄積する（Ｓ１０）。【００５９】
またＩＣＭＰ ＥＣＨＯの発信元を特定するために、アプリケーション連鎖マネージャ１１３はアプリケーショントレースバック処理部１１１にＩＣＭＰ ＥＣＨＯのトレースバックを行う指示を送出して発信元を確定することも可能である。この場合アプリケーショントレースバック処理部１１１は、データベース１０９に格納された情報からＩＣＭＰＥＣＨＯの発信元をトレースバックする（Ｓ１１）。【００６０】
以上によりＩＣＭＰ ＥＣＨＯの大量送出による攻撃は、以前に受信した電子メールに添付されたウイルスファイルが原因であることが特定可能となる。これにより、ウイルスファイルと発信元との連鎖性を検知し、直接ＩＣＭＰ ＥＣＨＯの大量送出による攻撃を行った発信元のみならず、当該攻撃の原因となったウイルスが添付された電子メールを送信した真の攻撃元を確定することが可能となる。【００６１】
［実施形態２］【００６２】
本発明の他の実施形態として、その基本構成は上記の通りであるが、第二の実施形態として、ｗｅｂアクセスにより送信されたウイルスファイルがウイルス内部のＳＭＴＰを自動で起動させメールでウイルスファイルを拡散する形態がある。上記と同様の構成によりアプリケーショントレースバックを行い、仮の攻撃者として、メールの送信元を検知する。【００６３】
アプリケーション連鎖マネージャ１１３はメールの発信者を仮の攻撃者と想定するが、仮の攻撃者がｗｅｂアクセスによりウイルスに感染したことをパケットキャプチャしたＨＴＴＰプロトコルの情報から得ることができる。この場合は、更にＨＴＴＰプロトコルで得たファイル情報によるアプリケーショントレースバックを実施することで、本来の攻撃元を第一の実施形態と同様に検知することができる。【００６４】
［実施形態３］【００６５】
次に、図４を参照してＤＮＳ攻撃における動作例を詳細に説明する。【００６６】
図４においてパケットキャプチャドライバ２０３はパケットキャプチャハードウェア２０１にＳＭＴＰプロトコル（電子メール）、ＤＮＳプロトコル（ＤＮＳサービス）のパケットを取得するようにパケットキャプチャハードウェア２０１に設定を行う（Ｓ１０１）。【００６７】
パケットキャプチャハードウェア２０１は、設定に従い、ネットワーク上のＳＭＴＰ、ＤＮＳの各プロトコルのパケットをキャプチャする（Ｓ１０２）。【００６８】
パケットキャプチャドライバ２０３はパケットキャプチャハードウェア２０１からパケットを取得して各アプリケーション別にアプリケーション個別処理部２０５へパケットを渡す（Ｓ１０３）。本実施形態の例では、ＤＮＳサーバへの攻撃であるとしたとき、パケットキャプチャドライバ２０３はアプリケーション個別処理部２０５のＤＮＳ処理へパケットを送出する。【００６９】
アプリケーション個別処理部２０５におけるＤＮＳ攻撃検知における構成を図５に示す。アプリケーション個別処理部２０５におけるＤＮＳ攻撃検知における構成は、フィルタ情報記録部３０１、ＤＮＳデータフィルタ部３０２、ＤＮＳレコード展開部３０３、ＤＮＳデータチェック部３０４及びＤＮＳデータ加工部３０５を有する。【００７０】
フィルタ情報記録部３０１には、フィルタ情報が記録されている。ＤＮＳデータフィルタ部３０２は、フィルタ情報記録部３０１に記録されているフィルタ情報をもとに、アプリケーショントレースバックに不要となる情報をフィルタする部分である。ＤＮＳレコード展開部３０３は、圧縮されたＤＮＳデータの展開を行う部分である。ＤＮＳデータチェック部３０４は、ＤＮＳデータのチェックを行う部分である。ＤＮＳデータ加工部３０５は、アプリケーショントレースバックに必要な情報である送信元のアドレス、宛先アドレス、使用されたプロトコル名や、ＤＮＳパケット受信日時といったヘッダ情報を収集、加工する部分である。【００７１】
アプリケーション個別処理部２０５に送られてきたパケットは、ＤＮＳデータフィルタ部３０２乃至ＤＮＳデータ加工部３０５の各部分を経由して、「変換されたＤＮＳ攻撃情報」として、検知インターフェイス処理部２０７へ送られる（Ｓ１０４）。【００７２】
検知インターフェイス処理部２０７はアプリケーショントレースバック処理部２１１の入力にあわせたフォーマット変換を行い、変換されたＤＮＳ攻撃情報と各サーバのログをデータベース２０９に格納する（Ｓ１０５）。格納する情報の例として、検知インターフェイス処理部２０７でｓｙｓｌｏｇでの出力例を図６に示す。【００７３】
アプリケーショントレースバック処理部２１１はデータベース２０９に格納されている、変換されたＤＮＳ攻撃情報と各サーバのログなどの情報によりＤＮＳプロトコルによるＤＮＳ攻撃の可能性を検知する、そして、ＤＮＳ攻撃の可能性があると判断された場合は、ＤＮＳのアプリケーショントレースバックを行うための処理を実行する（Ｓ１０６）。また、該トレースバック処理により得られた発信元を、ＤＮＳ攻撃の仮の発信元探知の候補として取得し、これをリスト化する（Ｓ１０７）。なお、リスト化するのではなく、発信元候補を検出するようにしても良い。【００７４】
次に、アプリケーション連鎖マネージャ２１３はアプリケーショントレースバック処理部２１１がリスト化した仮発信元の候補リスト、単位時間トラヒック量と、データベース２０９に格納されているＤＮＳ攻撃の動作や特徴、各サーバのログといった情報から、仮発信元の候補とＤＮＳ攻撃の関連性を判定する。【００７５】
判定方法としては、例えば仮発信元の単位時間トラヒック量がある時点において増大している場合は、そのように振る舞うＤＮＳ攻撃との関連性を考慮することが例示出来る。また、サーバのログから、以前にＤＮＳクエリを受信した時点からＤＮＳ攻撃の特徴と相関が見られるような症状が発生していないか考慮することが例示出来る。更に、蓄積されているＤＮＳ攻撃の特徴から痕跡が発見できないかなどの観点から判定することも考えられる。これらの種々の観点からアプリケーション連鎖性の有無を判定する（Ｓ１０８）。そして、連鎖性の可能性が確認された場合、データベース２０９に格納されている当該仮発信元をＤＮＳ攻撃との連鎖性が確認された発信元としてマーキングし、仮発信元とＤＮＳ攻撃の間に認められた関連性についてデータベース２０９に蓄積する。これにより、以後のトレースバック処理、及びアプリケーションの連鎖性の判定の根拠となるデータを動的に変更、蓄積することが出来る。【００７６】
アプリケーション連鎖マネージャ２１３は、当該蓄積された、アプリケーションから得られた情報、各サーバのログ情報、ＤＮＳ攻撃の特徴情報、といった情報に基づき、ＤＮＳ攻撃の攻撃元を判別し、攻撃経路を特定する（Ｓ１０９）。【００７７】
以上より得られる本発明の実施形態による第一の効果は、必要な情報収集、条件を動的に変更しながら有効な情報取得と関連性データを蓄積し、アプリケーションの連鎖関係を認識することを可能とすることである。【００７８】
第二の効果は、ウイルスの攻撃と感染拡大のアプリケーションの関係が変化する新種のウイルスにも速やかに対応可能となることである。【００７９】
第三の効果は、アプリケーションの連鎖性を判断するため、踏み台になって攻撃しているコンピュータの検知のみならず踏み台をしかけた本来の攻撃者までも検知することが可能となることである。【００８０】
第四の効果は、ＤＮＳサーバを利用した攻撃にも速やかに対応可能となることである。【００８１】
なお、アプリケーション連鎖性の、ウイルス及びＤＮＳ攻撃の発信元検知装置は、ハードウェア、ソフトウェア又はこれらの組合せにより実現することができる。【００８２】
本願は、日本の特願２００６−３５４７６３（２００６年１２月２８日に出願）及び特願２００７−３２８６８５（２００７年１２月２０日に出願）に基づいたものであり、又、特願２００６−３５４７６３及び特願２００７−３２８６８５に基づくパリ条約の優先権を主張するものである。特願２００６−３５４７６３及び特願２００７−３２８６８５の開示内容は、特願２００６−３５４７６３及び特願２００７−３２８６８５を参照することにより本明細書に援用される。【００８３】
本発明の代表的な実施形態が詳細に述べられたが、様々な変更(changes)、置き換え(substitutions)及び選択(alternatives)が請求項で定義された発明の精神と範囲から逸脱することなくなされることが理解されるべきである。また、仮にクレームが出願手続きにおいて補正されたとしても、クレームされた発明の均等の範囲は維持されるものと発明者は意図する。
【産業上の利用可能性】
【００８４】
本発明は、ネットワークにおいてさまざまなアプリケーションによる攻撃元を検知することにより、インターネットにおける攻撃の抑止などに広く利用できる。
【図１】
2008084729.tif 000003
【図２】
2008084729.tif 000004
【図３】
2008084729.tif 000005
【図４】
2008084729.tif 000006
【図５】
2008084729.tif 000007
【図６】
2008084729.tif 000008
【手続補正書】
【提出日】平成20年8月29日(2008.8.29)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知装置であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ手段と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別手段と、
対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理手段と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化手段と、
ネットワーク上のウイルス情報及び通信記録を格納するログ記録手段と、
前記フォーマット共通化手段からのデータと前記ログ記録手段のデータとの連鎖性の有無を判定する手段と、
連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納する手段と、
サーバからのトレースバック実施要求を行う手段と、
前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知手段と、
を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項２】
ウイルスファイルとアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項１に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項３】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知装置であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ手段と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別手段と、
対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理手段と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化手段と、
ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録手段と、
前記フォーマット共通化手段からのデータと前記ログ記録手段のデータとの連鎖性の有無を判定する手段と、
連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納する手段と、
サーバからのトレースバック実施要求を行う手段と、
前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知手段と、
を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項４】
ＤＮＳ攻撃とアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項３に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項５】
ＩＣＭＰ  ＥＣＨＯによる攻撃を受けた場合にあっては、ＩＣＭＰ  ＥＣＨＯのパケットキャプチャを行うことにより発信元を確定することを特徴とする請求項１乃至４の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項６】
アプリケーショントレースバックに必要な情報を蓄積するデータベースを備えることにより、アプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置に蓄積されたデータに基づいて、発信元を検知することを特徴とする請求項１乃至５の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置。
【請求項７】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知方法であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャステップと、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別ステップと、
対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理ステップと、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化ステップと、
ネットワーク上のウイルス情報及び通信記録を格納するログ記録ステップと、
前記フォーマット共通化ステップからのデータと前記ログ記録ステップのデータとの連鎖性の有無を判定するステップと、
連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納するステップと、
サーバからのトレースバック実施要求を行うステップと、
前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知ステップと、
を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項８】
ウイルスファイルとアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項７に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項９】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知方法であって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャステップと、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別ステップと、
対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理ステップと、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化ステップと、
ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録ステップと、
前記フォーマット共通化ステップからのデータと前記ログ記録ステップのデータとの連鎖性の有無を判定するステップと、
連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納するステップと、
サーバからのトレースバック実施要求を行うステップと、
前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知ステップと、
を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項１０】
ＤＮＳ攻撃とアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項９に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項１１】
ＩＣＭＰ  ＥＣＨＯによる攻撃を受けた場合にあっては、ＩＣＭＰ  ＥＣＨＯのパケットキャプチャを行うことにより発信元を確定することを特徴とする請求項７乃至１０の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項１２】
アプリケーショントレースバックに必要な情報を蓄積するデータベースをアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置に備えることにより、アプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置に蓄積されたデータに基づいて、発信元を検知することを特徴とする請求項７乃至１１の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法。
【請求項１３】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知プログラムであって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ機能と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別機能と、
対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理機能と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化機能と、
ネットワーク上のウイルス情報及び通信記録を格納するログ記録機能と、
前記フォーマット共通化機能からのデータと前記ログ記録機能のデータとの連鎖性の有無を判定する機能と、
連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納する機能と、
サーバからのトレースバック実施要求を行う機能と、
前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知機能と、
をコンピュータに実現させることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【請求項１４】
ウイルスファイルとアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項１３に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【請求項１５】
ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知プログラムであって、
ネットワークを流れるパケットをキャプチャするパケットキャプチャ機能と、
キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別機能と、
対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理機能と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化機能と、
ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録機能と、
前記フォーマット共通化機能からのデータと前記ログ記録機能のデータとの連鎖性の有無を判定する機能と、
連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納する機能と、
サーバからのトレースバック実施要求を行う機能と、
前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知機能と、
をコンピュータに実現させることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【請求項１６】
ＤＮＳ攻撃とアプリケーションの連鎖性を判定する事により、発信元を確定することを特徴とする請求項１５に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【請求項１７】
ＩＣＭＰ  ＥＣＨＯによる攻撃を受けた場合にあっては、ＩＣＭＰ  ＥＣＨＯのパケットキャプチャを行うことにより発信元を確定することを特徴とする請求項１３乃至１６の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【請求項１８】
アプリケーショントレースバックに必要な情報を蓄積するデータベースをアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置に備えることにより、アプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置に蓄積されたデータに基づいて、発信元を検知することを特徴とする請求項１３乃至１７の何れか１項に記載のアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラム。
【請求項１９】
ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知装置であって、
前記パケットからプロトコルの情報を抽出するプロトコル情報抽出手段と、
あるアプリケーションにおけるパケット受信時のプロトコルとパケット送信時のプロトコルとの相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知手段と、
を備えることを特徴とする発信元検知装置。
【請求項２０】
ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知装置であって、
前記パケットからプロトコルの情報を抽出するプロトコル情報抽出手段と、
あるアプリケーションにおけるパケット受信時のプロトコルの内容を解析して得られる情報と、パケット送信時のプロトコルの内容を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知手段と、
を備えることを特徴とする発信元検知装置。
【請求項２１】
ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知装置であって、
前記パケットからプロトコルの情報を抽出するプロトコル情報抽出手段と、
あるアプリケーションにおけるパケット受信時のプロトコルの動作を解析して得られる情報と、パケット送信時のプロトコルの動作を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知手段と、
を備えることを特徴とする発信元検知装置。
【請求項２２】
ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法であって、
前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、
あるアプリケーションにおけるパケット受信時のプロトコルとパケット送信時のプロトコルとの相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、
を備えることを特徴とする発信元検知方法。
【請求項２３】
ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法であって、
前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、
あるアプリケーションにおけるパケット受信時のプロトコルの内容を解析して得られる情報と、パケット送信時のプロトコルの内容を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、
を備えることを特徴とする発信元検知方法。
【請求項２４】
ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法であって、
前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、
あるアプリケーションにおけるパケット受信時のプロトコルの動作を解析して得られる情報と、パケット送信時のプロトコルの動作を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、
を備えることを特徴とする発信元検知方法。
【請求項２５】
ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法をコンピュータに実行させるためのプログラムであって、
前記発信元検知方法は、
前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、
あるアプリケーションにおけるパケット受信時のプロトコルとパケット送信時のプロトコルとの相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、
を備えることを特徴とするプログラム。
【請求項２６】
ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法をコンピュータに実行させるためのプログラムであって、
前記発信元検知方法は、
前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、
あるアプリケーションにおけるパケット受信時のプロトコルの内容を解析して得られる情報と、パケット送信時のプロトコルの内容を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、
を備えることを特徴とするプログラム。
【請求項２７】
ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法をコンピュータに実行させるためのプログラムであって、
前記発信元検知方法は、
前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、
あるアプリケーションにおけるパケット受信時のプロトコルの動作を解析して得られる情報と、パケット送信時のプロトコルの動作を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、
を備えることを特徴とするプログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００５
【補正方法】変更
【補正の内容】
【０００５】
、対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理手段と、該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化手段と、ネットワーク上のウイルス情報及び通信記録を格納するログ記録手段と、前記フォーマット共通化手段からのデータと前記ログ記録手段のデータとの連鎖性の有無を判定する手段と、連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納する手段と、サーバからのトレースバック実施要求を行う手段と、前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知手段と、を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置が提供される。
［００３０］
また、本発明によれば、ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知装置であって、ネットワークを流れるパケットをキャプチャするパケットキャプチャ手段と、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別手段と、対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理手段と、
該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化手段と、ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録手段と、前記フォーマット共通化手段からのデータと前記ログ記録手段のデータとの連鎖性の有無を判定する手段と、連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納する手段と、サーバからのトレースバック実施要求を行う手段と、前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知手段と、を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知装置が提供される。
［００３１］
更に、本発明によれば、ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知方法であって、ネットワークを流れるパケ
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００６
【補正方法】変更
【補正の内容】
【０００６】
ットをキャプチャするパケットキャプチャステップと、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別ステップと、対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理ステップと、該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化ステップと、ネットワーク上のウイルス情報及び通信記録を格納するログ記録ステップと、前記フォーマット共通化ステップからのデータと前記ログ記録ステップのデータとの連鎖性の有無を判定するステップと、連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納するステップと、サーバからのトレースバック実施要求を行うステップと、前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知ステップと、を備えることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知方法が提供される。
［００３２］
更に、本発明によれば、ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知方法であって、ネットワークを流れるパケットをキャプチャするパケットキャプチャステップと、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別ステップと、対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理ステップと、該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化ステップと、ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録ステップと、前記フォーマット共通化ステップからのデータと前記ログ記録ステップのデータとの連鎖性の有無を判定するステップと、連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納するステップと、サーバからのトレースバック実施要求を行うステップと、前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知ステップと、を備えることを特徴とするアプリケーション連鎖性ウイルス及びア
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】０００７
【補正方法】変更
【補正の内容】
【０００７】
プリケーション連鎖性ＤＮＳ攻撃の発信元検知方法が提供される。
［００３３］
更に、本発明によれば、ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知プログラムであって、ネットワークを流れるパケットをキャプチャするパケットキャプチャ機能と、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別機能と、対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理機能と、該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化機能と、ネットワーク上のウイルス情報及び通信記録を格納するログ記録機能と、前記フォーマット共通化機能からのデータと前記ログ記録機能のデータとの連鎖性の有無を判定する機能と、連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納する機能と、サーバからのトレースバック実施要求を行う機能と、前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知機能と、をコンピュータに実現させることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラムが提供される。
［００３４］
更に、本発明によれば、ネットワークに接続され、ネットワークを流れるデータを収集する、ウイルスやＤＮＳ攻撃の発信元検知プログラムであって、ネットワークを流れるパケットをキャプチャするパケットキャプチャ機能と、キャプチャしたパケットからデータを再構成して、対応可能プロトコルであるか判別するアプリケーション判別機能と、対応可能プロトコルである場合、前記再構築されたデータからアプリケーショントレースバックに必要な情報を取り出すための該当アプリケーションプロトコルによる処理を行うアプリケーション個別処理機能と、該当プロトコルによる処理結果をアプリケーショントレースバックのための共通フォーマットに変換するフォーマット共通化機能と、ネットワーク上のＤＮＳ攻撃情報及び通信記録を格納するログ記録機能と、前記フォーマット共通化機能からのデータと前記ログ記録機能のデータとの連鎖性の有無を判定する機能と、連鎖性の可能性が認められる再構築されたデータの仮発信元のデータを格納する機能と、サーバからのトレースバック実施要求を行う機能と、前記仮発信元のデータと連鎖性が判定され再構築されたデータの通信に用いられたプロトコル同士の相関とに基づき、アプリケーショントレースバック機能を実現するアプリケーショントレースバック検知機能と、をコンピュータに実現させることを特徴とするアプリケーション連鎖性ウイルス及びアプリケーション連鎖性ＤＮＳ攻撃の発信元検知プログラムが提供される。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
［００３５］
更に、本発明によれば、ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知装置であって、前記パケットからプロトコルの情報を抽出するプロトコル情報抽出手段と、あるアプリケーションにおけるパケット受信時のプロトコルとパケット送信時のプロトコルとの相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知手段と、を備えることを特徴とする発信元検知装置が提供される。
更に、本発明によれば、ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知装置であって、前記パケットからプロトコルの情報を抽出するプロトコル情報抽出手段と、あるアプリケーションにおけるパケット受信時のプロトコルの内容を解析して得られる情報と、パケット送信時のプロトコルの内容を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知手段と、を備えることを特徴とする発信元検知装置が提供される。
更に、本発明によれば、ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知装置であって、前記パケットからプロトコルの情報を抽出するプロトコル情報抽出手段と、あるアプリケーションにおけるパケット受信時のプロトコルの動作を解析して得られる情報と、パケット送信時のプロトコルの動作を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知手段と、を備えることを特徴とする発信元検知装置が提供される。
更に、本発明によれば、ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法であって、前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、あるアプリケーションにおけるパケット受信時のプロトコルとパケット送信時のプロトコルとの相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、を備えることを特徴とする発信元検知方法が提供される。
更に、本発明によれば、ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法であって、前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、あるアプリケーションにおけるパケット受信時のプロトコルの内容を解析して得られる情報と、パケット送信時のプロトコルの内容を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、を備えることを特徴とする発信元検知方法が提供される。
更に、本発明によれば、ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法であって、前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、あるアプリケーションにおけるパケット受信時のプロトコルの動作を解析して得られる情報と、パケット送信時のプロトコルの動作を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、を備えることを特徴とする発信元検知方法が提供される。
更に、本発明によれば、ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法をコンピュータに実行させるためのプログラムであって、前記発信元検知方法は、前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、あるアプリケーションにおけるパケット受信時のプロトコルとパケット送信時のプロトコルとの相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、を備えることを特徴とするプログラムが提供される。
更に、本発明によれば、ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法をコンピュータに実行させるためのプログラムであって、前記発信元検知方法は、前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、あるアプリケーションにおけるパケット受信時のプロトコルの内容を解析して得られる情報と、パケット送信時のプロトコルの内容を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、を備えることを特徴とするプログラムが提供される。
更に、本発明によれば、ネットワークを流れるパケットを収集し、アプリケーションプログラムおよびアプリケーションプロトコルに関連する攻撃の発信元を検出する発信元検知方法をコンピュータに実行させるためのプログラムであって、前記発信元検知方法は、前記パケットからプロトコルの情報を抽出するプロトコル情報抽出ステップと、あるアプリケーションにおけるパケット受信時のプロトコルの動作を解析して得られる情報と、パケット送信時のプロトコルの動作を解析して得られる情報との相関関係に基づき、アプリケーショントレースバックをおこない、前記発信元の特定をおこなうアプリケーショントレースバック検知ステップと、を備えることを特徴とするプログラムが提供される。
発明の効果
［００３６］
本発明によれば、必要な情報収集、条件を動的に変更しながら有効な情報取得と関連性データを蓄積し、アプリケーションの連鎖関係を認識する事ができる。その結果、他のコンピュータを攻撃する、アプリケーションに連鎖性のあるウイルスの発信元である踏み台を仕掛けた本来の攻撃者を検知することが可能となる。
図面の簡単な説明
［００３７］
［図１］本発明の実施形態の基本的構成を表す図である。
［図２］本発明の構成例を示す図である。
［図３］パケットから取り出した情報を共通フォーマット化した例を示す図である。
［図４］本発明の実施形態の構成例を示す図である。
［図５］本発明の実施形態のアプリケーション個別処理（ＤＮＳ部分）の構成例を示す図である。
［図６］パケットから取り出した情報を共通フォーマット化した例を示す図である。
符号の説明
［００３８］
１０１  パケットキャプチャハードウェア
１０３  パケットキャプチャドライバ
１０５  アプリケーション個別処理部
１０７  検知インターフェイス処理部
１０９  データベース
１１１  アプリケーショントレースバック処理部
１１３  アプリケーション連鎖マネージャ
２０１  パケットキャプチャハードウェア
２０３  パケットキャプチャドライバ
２０５  アプリケーション個別処理部
【国際調査報告】
2008084729.tif 000009
2008084729.tif 000010
2008084729.tif 000011
2008084729.tif 000012