(57)【要約】【課題】  ネットワーク全体としての脅威を認識できる脅威検出装置を提供する。【解決手段】  アクセス量収集部１０１は、ネットワーク上の各資源間で発生する資源間アクセス量を収集する。アクセス状況作成部１０２は、アクセス量収集部１０１によって収集された資源間アクセス量に基づいて、ネットワークにおける現状のアクセス状況データを作成し、これをアクセス状況記憶部１０５に記憶する。脅威検出部１０３は、アクセス状況データ作成部１０２で作成された現状のアクセス状況データを解析し、その解析結果に基づいてネットワークに対する脅威の発生を検出する。【選択図】    図１
2006148207.tif 000002
【特許請求の範囲】
【請求項１】
複数の資源間を接続するネットワークにおける脅威を検出する脅威検出装置において、
ネットワーク上の各資源間で発生する資源間アクセス量を収集するアクセス量収集部と、
前記アクセス量収集部によって収集された資源間アクセス量に基づいて、ネットワークにおける現状のアクセス状況データを作成して記憶装置に記憶するアクセス状況作成部と、
前記アクセス状況データ作成部で作成された現状のアクセス状況データを解析し、該解析結果に基づいてネットワークに対する脅威の発生を検出する脅威検出部と、
前記脅威検出部によって脅威の発生が検出されると、当該脅威が発生した旨を通知する通知部とを備えることを特徴とする脅威検出装置。
【請求項２】
前記アクセス量収集部は、各資源間で、所定の単位時間ｄｔの間に発生したアクセスデータ量及びアクセス回数の少なくとも一方を前記資源間アクセス量として収集し、
前記アクセス状況作成部は、前記アクセス量収集部によって収集された前記単位時間ｄｔのアクセス量と、正常時の各資源間の単位時間ｄｔあたりのアクセス量との差分に基づいて、現状のアクセス状況データを作成する、請求項１に記載の脅威検出装置。
【請求項３】
前記アクセス状況作成部は、全資源数をｎとして、前記アクセス状況データを、アクセス元及びアクセス先の一方を列とし他方を行とするｎ行ｎ列の行列であって、各要素が前記差分である行列として作成する、請求項２に記載の脅威検出装置。
【請求項４】
前記ｎ行ｎ列の行列の各要素が、ｉ番目（１≦ｉ≦ｎ）の資源からｊ番目（１≦ｊ≦ｎ）の資源に対して、前記単位時間ｄｔに比して長い時間ｔ１の間に発生する各資源間の資源間アクセス量をＡijとし、前記アクセス量収集部によって収集されたｉ番目の資源からｊ番目の資源に対する前記単位時間ｄｔのアクセス量をＢijとして、
Ｃij＝Ｂij−（ｄｔ／ｔ１）×Ａij
により算出される、請求項３に記載の脅威検出装置。
【請求項５】
前記脅威検出部は、前記アクセス状況データを解析した結果、前記ｎ行ｎ列の行列の特定の要素の値が、他の要素に比して大きいと判断すると、脅威の発生を検出する、請求項４に記載の脅威検出装置。
【請求項６】
前記脅威検出部は、前記アクセス状況データを解析した結果、前記ｎ行ｎ列の行列の特定の列の合計値が、他の列の合計値に比して大きいと判断すると、脅威の発生を検出する、請求項４に記載の脅威検出装置。
【請求項７】
前記脅威検出部は、前記アクセス状況データを解析した結果、前記ｎ行ｎ列の行列の特定の行の合計値が、他の行の合計値に比して大きいと判断すると、脅威の発生を検出する、請求項４に記載の脅威検出装置。
【請求項８】
複数の資源間を接続するネットワークに対する脅威を、コンピュータを用いて検出する脅威検出方法において、
前記コンピュータが、ネットワーク上の各資源間で発生する資源間アクセス量を収集するステップと、
前記コンピュータが、前記アクセス量収集ステップによって収集された資源間アクセス量に基づいて、ネットワークにおける現状のアクセス状況データを作成して記憶装置に記憶するステップと、
前記コンピュータが、前記アクセス状況データ作成ステップで作成された現状のアクセス状況データを解析し、該解析結果に基づいてネットワークに対する脅威の発生を検出するステップと、
前記コンピュータが、前記脅威検出ステップによって脅威の発生が検出されると、当該脅威が発生した旨を通知するステップとを有することを特徴とする脅威検出方法。
【請求項９】
複数の資源間を接続するネットワークに対する脅威を検出するコンピュータのためのプログラムであって、前記コンピュータに、
ネットワーク上の各資源間で発生する資源間アクセス量を収集するステップと、
前記アクセス量収集ステップによって収集された資源間アクセス量に基づいて、ネットワークにおける現状のアクセス状況データを作成して記憶装置に記憶するステップと、
前記アクセス状況データ作成ステップで作成された現状のアクセス状況データを解析し、該解析結果に基づいてネットワークに対する脅威の発生を検出するステップと、
前記脅威検出ステップによって脅威の発生が検出されると、当該脅威が発生した旨を通知するステップとを実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、脅威検出装置、脅威検出方法、及び、プログラムに関し、更に詳しくは、ネットワークに対する脅威を分析する脅威検出装置、脅威検出方法、及び、プログラムに関する。
【背景技術】
【０００２】
近年では、インターネットの爆発的な普及に見られるように、ネットワークを利用する機会が急激に増加している。ネットワークの利用により、利用者はネットワーク上でさまざまなサービスを利用することができ、利便性が向上する反面、不正アクセスやウイルスへの感染といった、ネットワークを利用する上での脅威も飛躍的に高まっている。このため、ネットワークの利用における脅威を認識して、セキュリティーを確保できる技術が要望されている。
【０００３】
外部からの不正アクセスを検出してセキュリティーを確保する技術として、特許文献１には、不正侵入検出装置を用いる技術が記載されている。不正侵入検出装置は、ネットワークのトラフィックを観測するトラフィック監視手段と、パケットが不正アクセスパケットであるか否かの不正アクセス分析を所定の分析項目に関して行うパケット分析手段とを有する。不正侵入検出装置では、パケット分析手段は、トラフィック監視手段が観測したトラフィック値に基づいて、何れの分析項目に関して不正アクセス分析を行うかを決定し、外部からの不正アクセスを検出する。
【特許文献１】特開２００３−２０４３５８号公報（図１、段落０００５）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、リスク分析における脅威の測定には、従来は定量的な算出方法がなく、情報資産ごとに脅威を想定する定性的な分析を行う必要があった。このため、脅威の分析には手間がかかるという問題がある。また、複数人で分析を行う場合には、分析作業者ごとに考え方が異なるため、分析にばらつきが出るという問題もある。更に、それぞれの脅威を、情報資産ごとにとらえているため、局所的な観点となり、ネットワーク全体としての脅威を認識することが困難であるという問題がある。
【０００５】
本発明は、上記従来技術の問題点を解消し、ネットワークの脅威の分析を定量的に行うことができ、また、ネットワーク全体としての脅威を認識できる脅威検出装置、脅威検出方法、及び、プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本発明の脅威検出装置は、複数の資源間を接続するネットワークにおける脅威を検出する脅威検出装置において、ネットワーク上の各資源間で発生する資源間アクセス量を収集するアクセス量収集部と、前記アクセス量収集部によって収集された資源間アクセス量に基づいて、ネットワークにおける現状のアクセス状況データを作成して記憶装置に記憶するアクセス状況作成部と、前記アクセス状況データ作成部で作成された現状のアクセス状況データを解析し、該解析結果に基づいてネットワークに対する脅威の発生を検出する脅威検出部と、前記脅威検出部によって脅威の発生が検出されると、当該脅威が発生した旨を通知する通知部とを備えることを特徴とする。
【０００７】
本発明の脅威検出方法は、複数の資源間を接続するネットワークに対する脅威を、コンピュータを用いて検出する脅威検出方法において、前記コンピュータが、ネットワーク上の各資源間で発生する資源間アクセス量を収集するステップと、前記コンピュータが、前記アクセス量収集ステップによって収集された資源間アクセス量に基づいて、ネットワークにおける現状のアクセス状況データを作成して記憶装置に記憶するステップと、前記コンピュータが、前記アクセス状況データ作成ステップで作成された現状のアクセス状況データを解析し、該解析結果に基づいてネットワークに対する脅威の発生を検出するステップと、前記コンピュータが、前記脅威検出ステップによって脅威の発生が検出されると、当該脅威が発生した旨を通知するステップとを有することを特徴とする。
【０００８】
本発明の脅威検出装置及び方法では、各資源間のアクセス状況を示すアクセス状況データを解析して、ネットワークに対する脅威の発生を検出するため、収集したアクセス量に基づいて、定量的な判断が可能である。また、各資源間のアクセス状況によって、ネットワーク全体を面として捉えているため、ネットワーク全体としての脅威を認識することができる。
【０００９】
本発明の脅威検出装置では、前記アクセス量収集部は、各資源間で、所定の単位時間ｄｔの間に発生したアクセスデータ量及びアクセス回数の少なくとも一方を前記資源間アクセス量として収集し、前記アクセス状況作成部は、前記アクセス量収集部によって収集された前記単位時間ｄｔのアクセス量と、正常時の各資源間の単位時間ｄｔあたりのアクセス量との差分に基づいて、現状のアクセス状況データを作成することが好ましい。この場合、正常時のアクセス量に比してアクセス量が増加した資源に脅威が発生したと認識できる。
【００１０】
本発明の脅威検出装置では、前記アクセス状況作成部は、全資源数をｎとして、前記アクセス状況データを、アクセス元及びアクセス先の一方を列とし他方を行とするｎ行ｎ列の行列であって、各要素が前記差分である行列として作成することが好ましい。この場合、要素ごと、行ごと、列ごとに値を比較することにより、特定の資源に対して脅威が発生したと認識できる。
【００１１】
本発明の脅威検出装置では、前記ｎ行ｎ列の行列の各要素が、ｉ番目（１≦ｉ≦ｎ）の資源からｊ番目（１≦ｊ≦ｎ）の資源に対して、前記単位時間ｄｔに比して長い時間ｔ１の間に発生する各資源間の資源間アクセス量をＡijとし、前記アクセス量収集部によって収集されたｉ番目の資源からｊ番目の資源に対する前記単位時間ｄｔのアクセス量をＢijとして、
Ｃij＝Ｂij−（ｄｔ／ｔ１）×Ａij
により算出される構成を採用できる。正常時に各要素間の単位時間ｄｔあたりのアクセス量を、（ｄｔ／ｔ１）×Ａijと定義して、行列の各要素を、このように定義することができる。
【００１２】
本発明の脅威検出装置では、前記脅威検出部は、前記アクセス状況データを解析した結果、前記ｎ行ｎ列の行列の特定の要素の値が、他の要素に比して大きいと判断すると、脅威の発生を検出する構成を採用できる。例えば不正アクセスが発生すると、ある特定の資源から他の特定の資源へのアクセス量が、それ以外の資源間のアクセス量と比べて、突出して大きくなり、特定の要素の値が大きくなると考えられる。このため、脅威検出装置は、各要素の値を相互に比較することで、不正アクセスの発生した場合に、脅威の発生を検出できる。
【００１３】
本発明の脅威検出装置では、前記脅威検出部は、前記アクセス状況データを解析した結果、前記ｎ行ｎ列の行列の特定の列の合計値が、他の列の合計値に比して大きいと判断すると、脅威の発生を検出する構成を採用できる。例えば特定の資源が分散攻撃（ＤＤｏＳ）にさらされているには、その特定の資源に対する他の資源からのアクセス量が、他の資源に対するアクセス量に比して大きくなり、特定の資源に対応する列の要素の合計が、他の列の要素の合計に比して大きくなると考えられる。このため、脅威検出装置は、各列の合計値を相互に比較することで、分散攻撃の発生した場合に、脅威の発生を検出できる。
【００１４】
本発明の脅威検出装置では、前記脅威検出部は、前記アクセス状況データを解析した結果、前記ｎ行ｎ列の行列の特定の行の合計値が、他の行の合計値に比して大きいと判断すると、脅威の発生を検出する構成を採用できる。例えば特定の資源がウイルスに感染し、他の資源に対してウイルスの感染活動を行っている場合には、その特定の資源から他の資源へのアクセス量が、他の資源からのアクセス量に比して大きくなり、特定の資源に対応する行の合計が、他の行の合計に比して大きくなると考えられる。このため、脅威検出装置は、各行の合計値を相互に比較することで、ウイルス感染が発生したときに、脅威の発生を検出できる。
【００１５】
本発明のプログラムは、複数の資源間を接続するネットワークに対する脅威を検出するコンピュータのためのプログラムであって、前記コンピュータに、ネットワーク上の各資源間で発生する資源間アクセス量を収集するステップと、前記アクセス量収集ステップによって収集された資源間アクセス量に基づいて、ネットワークにおける現状のアクセス状況データを作成して記憶装置に記憶するステップと、前記アクセス状況データ作成ステップで作成された現状のアクセス状況データを解析し、該解析結果に基づいてネットワークに対する脅威の発生を検出するステップと、前記脅威検出ステップによって脅威の発生が検出されると、当該脅威が発生した旨を通知するステップとを実行させることを特徴とする。
【発明の効果】
【００１６】
本発明の脅威検出装置、脅威検出方法、及び、プログラムでは、各資源間のアクセス状況を示すアクセス状況データを解析して、ネットワークに対する脅威の発生を検出するため、収集したアクセス量に基づいて、定量的な判断が可能であり、また、ネットワーク全体としての脅威を認識することができる。
【発明を実施するための最良の形態】
【００１７】
以下、図面を参照し、本発明の実施の形態を詳細に説明する。図１は、本発明の一実施形態の脅威検出装置の構成を機能ブロック図で示している。脅威検出装置１００は、アクセス量収集部１０１と、アクセス状況作成部１０２と、脅威検出部１０３と、通知部１０４と、アクセス状況記憶部１０５とを備える。脅威検出装置１００は、例えばワークステーション等のコンピュータシステムとして構成され、所定のプログラムに基づいて動作することにより、そのコンピュータシステム上に、アクセス量収集部１０１、アクセス状況作成部１０２、脅威検出部１０３、及び、通知部１０４が実現される。
【００１８】
脅威検出装置１００は、ネットワーク内のアクセス状況を監視し、不正アクセスやウイルス等によってネットワークが脅威にさらされているか否かを監視する。監視対象のネットワークは、パケット通信を行うネットワークとして構成されている。また、監視対象のネットワークを、例えば部署単位、サービス単位、又は、システム単位で要素に分解して、分解された各要素を情報資産とすると、管理対象のネットワークでは、各情報資産は、到達性のあるネットワークで必ず接続されている。監視対象のネットワークでは、各資産とパケット交換網との接続ノードにあたる部分に、ネットワーク上を流れるパケットを解析し、各パケットの通信元と通信差器とを計測して、各資産間のアクセス量を測定するＬＡＮアナライザ等の機器が設置されている。アクセス量は、データ量又はアクセス回数で定義される。
【００１９】
アクセス量収集部１０１は、例えばポーリング処理により、インバンド又はアウトバンドで、ＬＡＮアナライザ等の機器から、各資産間のアクセス量を収集する。アクセス状況作成部１０２は、アクセス量収集部１０１が収集した各資産間のアクセス量に基づいて、各資産間のアクセス状況を示すアクセス状況データを作成し、これをアクセス状況記憶部１０５に記憶する。脅威検出部１０３は、アクセス状況を参照してこれを分析し、監視対象のネットワークが脅威にさらされているか否かを判断する。脅威検出部１０３は、例えば、ネットワークが危険な状態にあると判断される条件を、あらかじめ図示しない記憶装置内に用意しており、現在のアクセス状況が、その危険な状態に該当するか否かを判断することによって、ネットワーク上に発生した脅威を検出する。通知部１０４は、脅威の検出を受けて、例えば表示画面上に脅威が発生した旨を表示し、ネットワーク管理者に、脅威の発生を通知する。
【００２０】
図２は、監視対象のネットワークを示している。同図では、監視対象のネットワークは、３つの情報資産を有する。以下、図１及び図２を参照して、ある単位時間ｄｔにおけるネットワークの脅威を定量的に割り出す際の脅威検出装置１００の動作について、詳細に説明する。
【００２１】
アクセス状況作成部１０２は、定期的に、アクセス量収集部１０１から、単位時間ｄｔで発生した各情報資産間のアクセス量を収集する。このようにして収集した、単位時間ｄｔで、ある情報資産ｉ（ｉ：情報資産の数以下の自然数）から別の情報資産ｊ（ｊ：情報資産の数以下の自然数）に対して発生したアクセス量をＢijで定義する。例えば、図２では、情報資産１から情報資産３に対して発生したアクセス量を、Ｂ13と定義する。アクセス状況作成部１０２は、ネットワークが正常な状態にあるときの単位時間ｄｔでの各情報資産間のアクセス量と、収集した単位時間ｄｔでの各情報資産間のアクセス量Ｂijとに基づいて、アクセス状況データを作成し、これを、アクセス状況記憶部１０５に記憶する。
【００２２】
ネットワークが正常な状態での単位時間ｄｔでの各情報資産間のアクセス量は、例えば、以下に説明するようにして定義される。まず、単位時間ｄｔに対して十分に長い任意の時間ｔ１の間に、情報資産ｉから情報資産ｊに対して発生したアクセス量をＡijを計測する。ここで、各情報資産は、自身へのアクセスを発生しないものとし、ｉ＝ｊとなるＡｉｉは、全て０である。次いで、計測された各情報資産間のアクセス量Ａijに、（ｄｔ／ｔ１）を乗じて、（ｄｔ／ｔ１）×Ａijを各情報資産間の正常な状態での単位時間ｄｔあたりのアクセス量として定義する。
【００２３】
例えば、アクセス量の増加が脅威であるとして、監視対象のネットワークの各情報資産間について、現在のアクセス量と正常な状態でのアクセス量との差分を、Ｃij＝Ｂij−（ｄｔ／ｔ１）×Ａijで定義する。アクセス状況作成部１０２は、このようにして定義されたＣijを要素とするｉ行ｊ列の行列Ｃを、アクセス状況として、アクセス状況記憶部１０５に記憶する。脅威検出部１０３は、アクセス状況記憶部１０５に記憶されたアクセス状況を調査して、ネットワーク上で脅威が発生しているか否かを調査する。
【００２４】
例えば、ネットワークに不正なアクセスが発生したときには、特定の情報資産ｘから、他の特定の情報資産ｙに対するアクセス量が、それらの以外の情報資源間のアクセス量に比して、突出して大きくなると考えられる。脅威検出部１０３は、行列Ｃの中で、特定の要素Ｃijが、他の要素に比して突出して大きい状態を、「危険な状態」として記憶している。脅威検出部１０３は、アクセス状況記憶部１０５に記憶された行列Ｃの特定の要素が、例えば他の要素の平均の２倍を超える値となっていると判断すると、脅威の発生を検出して、これを通知部１０４に入力する。通知部１０４は、表示画面上に「不正アクセスが発生している」旨を示す警告を表示して、ネットワーク管理者に注意を促す。
【００２５】
また、ネットワークの特定の情報資産が分散攻撃（ＤＤｏｓ）にさらされているときには、特定の情報資産に対するアクセス量が他の情報資産に対するアクセス量に比して多くなると考えられる。脅威検出部１０３は、行列Ｃの中で、特定の列の要素の合計値が、他の列の要素の合計値に比して突出して高い状態を、「危険な状態」として記憶している。脅威検出部１０３は、例えばアクセス状況記憶部１０５に記憶された行列Ｃの特定の列の合計値が、例えば他の列の合計値の平均の２倍を超えると判断すると、脅威の発生を検出して、これを通知部１０４に入力する。通知部１０４は、表示画面上に、「分散攻撃にさらされている情報資産が存在する」旨を示す警告を表示して、ネットワーク管理者に注意を促す。
【００２６】
ネットワーク内にウイルスに感染した情報資産が存在し、ウイルスが他の情報資産に感染活動を行っているときには、特定の情報資産からのアクセス量が他の情報資産からのアクセス量に比して多くなると考えられる。脅威検出部１０３は、行列Ｃの中で、特定の行の要素の合計値が、他の行の要素の合計値にして突出して高い状態を、「危険な状態」として記憶している。脅威検出部１０３は、アクセス状況記憶部１０５が記憶する行列Ｃの特定の行の要素の合計値が、例えば他の行の合計値の２倍を超えると判断すると、脅威の発生を検出して、これを通知部１０４に入力する。通知部１０４は、表示画面上に、「ウイルスに感染している情報資産が存在する」旨を示す警告を表示して、ネットワーク管理者に注意を促す。
【００２７】
本実施形態では、ネットワークに対する脅威を、アクセス量を用いて定量的に判断することができるため、観測者によって脅威の判定にばらつきが生じる事態を防ぐことができる。また、定量的な値に対しては計算機を用いた分析が可能なため、脅威の分析作業を自動化することができる。このため、リアルタイムに近い脅威の分析が可能となり、対策を即時に、また自動的に行うことができる。
【００２８】
また、本実施形態では、脅威検出部１０３は、アクセス状況記憶部１０５に記憶されたアクセス状況に基づいて、ネットワークに対する脅威を検出する。アクセス状況記憶部１０５は、ネットワーク全体における各資源間のアクセス状況を行列として有しており、このような行列を分析することにより、局所的な観点ではなく、ネットワーク全体として、さまざまな脅威を認識することができる。
【００２９】
なお、上記実施形態では、行列中の特定の要素、列、又は、行の値が、他の要素、列、又は、行の値に比して突出して大きい状態を、他の要素、列、又は、行の平均値と比較することで判断したが、これには限定されない。例えば、平均値の代わりに、メディアン（中央値）やモード（最頻値）を用いて、これと比較してもよい。
【００３０】
以上、本発明をその好適な実施形態に基づいて説明したが、本発明の脅威検出装置、脅威検出方法、及び、プログラムは、上記実施形態例にのみ限定されるものではなく、上記実施形態の構成から種々の修正及び変更を施したものも、本発明の範囲に含まれる。
【図面の簡単な説明】
【００３１】
【図１】本発明の一実施形態の脅威検出装置の構成を示すブロック図。
【図２】監視対象のネットワークを示すブロック図。
【符号の説明】
【００３２】
１００：脅威検出装置
１０１：アクセス量収集部
１０２：アクセス状況作成部
１０３：脅威検出部
１０４：通知部
１０５：アクセス状況記憶部
【図１】
2006148207.tif 000003
【図２】
2006148207.tif 000004