(57)【要約】【課題】  ログデータから、管理者が攻撃であると判断した不正アクセスログを反映させるノウハウを貯蓄して自動的に設定することができ、ノウハウが過去にない不正アクセスログについて、検出精度を高めることができ、管理者の負担を軽減させることができるようにすることを目的とする。【解決手段】  参照した検知情報と、攻撃特定情報データベースに格納されている攻撃特定情報から得られる探索木とを照合し、参照した検知情報が検索木の一部と一致すると、参照した検知情報が検索木の一部と一致したことを管理者へ通知し、参照した検知情報と検索木とが完全に一致すると、参照した検知情報を攻撃特定情報として、侵入検知装置またはファイアーウォールのフィルタリング設定を書き換える指令を出す。【選択図】  図１
2006139691.tif 000002
【特許請求の範囲】
【請求項１】
複数の監視対象ネットワークのそれぞれに、不正な通信を監視および防御するために、上記監視対象ネットワークと外部ネットワークとの間に、侵入検知装置が配置され、不正な通信が発生したときに、上記侵入検知装置の検知情報を格納する検知情報データベースが、上記複数の侵入検知装置と通信可能な通信路上に存在し、上記複数の侵入検知装置から受信した検知情報を保有する検知情報データベース内のデータから、関連する検知情報を抽出し、悪意ある不正な通信を特定する不正アクセス管理支援装置において、
上記検知情報を格納する検知情報データベース内に保存されている検知情報を参照する検知情報参照部と；
悪意のある不正な通信であると特定できる情報である攻撃特定情報を、管理者が入力する攻撃特定情報入力部と； 
管理者が入力した上記攻撃特定情報を格納する攻撃特定情報データベースと；
上記参照した検知情報と、上記攻撃特定情報データベースに格納されている攻撃特定情報から得られる探索木とを照らし合わせ、上記参照した検知情報と上記検索木とが完全に一致すると、完全一致情報を出力し、上記参照した検知情報が上記検索木の一部と一致すると、一部一致情報を出力する照合部と；
上記照合部が上記一部一致情報を出力すると、上記参照した検知情報が上記検索木の一部と一致したことを上記管理者へ通知し、一方、上記照合部が上記完全一致情報を出力すると、上記参照した検知情報を、攻撃特定情報として、侵入検知装置またはファイアーウォールのフィルタリング設定を書き換える指令を出す攻撃特定情報出力部と；
を有することを特徴とする不正アクセス管理支援装置。
【請求項２】
請求項１において、
上記照合部は、単位時間内に参照した検知情報が上記検索木の一部と一致すると、一部一致情報を、管理者と上記攻撃特定情報出力部とに通知し、単位時間内に参照した検知情報と上記検索木とが完全に一致すると、完全一致情報を、上記攻撃特定情報出力部へ通知する手段であることを特徴とする不正アクセス管理支援装置。
【請求項３】
請求項１または請求項２において、
上記攻撃特定情報データベースへ上記攻撃特定情報を格納する際に、複数の検知情報が揃った場合に攻撃であると特定する手法を用いて作成した攻撃特定情報の登録処理における上記攻撃特定情報と、管理者の意向によって、攻撃として特定しなくてもよいと判断される非攻撃特定情報の登録処理における上記非攻撃特定情報とのどちらをも、上記攻撃特定情報データベースへ格納することができることを特徴とする不正アクセス管理支援装置。
【請求項４】
請求項１または請求項２において、
攻撃であると特定されたデータに基づいて、攻撃特定情報出力部において検知情報を提供する侵入検知システムまたはファイアーウォールにおける通信遮断または通信検知の設定を、書き換えることを特徴とする不正アクセス管理支援装置。
【請求項５】
複数の監視対象ネットワークのそれぞれに、不正な通信を監視および防御するために、上記監視対象ネットワークと外部ネットワークとの間に、侵入検知装置が配置され、不正な通信が発生したときに、上記侵入検知装置の検知情報を格納する検知情報データベースが、上記複数の侵入検知装置と通信可能な通信路上に存在し、上記複数の侵入検知装置から受信した検知情報を保有する検知情報データベース内のデータから、関連する検知情報を抽出し、悪意ある不正な通信を特定する不正アクセス特定方法において、
上記検知情報を格納する検知情報データベース内に保存されている検知情報を、検知情報参照部が参照する参照工程と；
悪意のある不正な通信であると特定できる情報である攻撃特定情報であって、管理者が入力した攻撃特定情報を、攻撃特定情報データベースに格納する攻撃特定情報格納工程と；
上記参照した検知情報と、上記攻撃特定情報データベースに格納されている攻撃特定情報から得られる探索木とを照らし合わせ、上記参照した検知情報と上記検索木とが完全に一致すると、完全一致情報を、記憶装置に記憶し、出力し、上記参照した検知情報が上記検索木の一部と一致すると、一部一致情報を、記憶装置に記憶し、出力する照合工程と；
上記照合工程で、上記一部一致情報を出力すると、上記参照した検知情報が上記検索木の一部と一致したことを上記管理者へ通知し、一方、上記照合部が上記完全一致情報を出力すると、上記参照した検知情報を、攻撃特定情報として、侵入検知装置またはファイアーウォールのフィルタリング設定を書き換える指令を出す攻撃特定情報出力工程と；
を有することを特徴とする不正アクセス特定方法。
【請求項６】
複数の監視対象ネットワークのそれぞれに、不正な通信を監視および防御するために、上記監視対象ネットワークと外部ネットワークとの間に、侵入検知装置が配置され、不正な通信が発生したときに、上記侵入検知装置の検知情報を格納する検知情報データベースが、上記複数の侵入検知装置と通信可能な通信路上に存在し、上記複数の侵入検知装置から受信した検知情報を保有する検知情報データベース内のデータから、関連する検知情報を抽出し、悪意ある不正な通信を特定するプログラムにおいて、
上記検知情報を格納する検知情報データベース内に保存されている検知情報を、検知情報参照部が参照する参照手順と；
悪意のある不正な通信であると特定できる情報である攻撃特定情報であって、管理者が入力した攻撃特定情報を、攻撃特定情報データベースに格納する攻撃特定情報格納手順と；
上記参照した検知情報と、上記攻撃特定情報データベースに格納されている攻撃特定情報から得られる探索木とを照らし合わせ、上記参照した検知情報と上記検索木とが完全に一致すると、完全一致情報を、記憶装置に記憶し、出力し、上記参照した検知情報が上記検索木の一部と一致すると、一部一致情報を、記憶装置に記憶し、出力する照合手順と；
上記照合手順で、上記一部一致情報を出力すると、上記参照した検知情報が上記検索木の一部と一致したことを上記管理者へ通知し、一方、上記照合部が上記完全一致情報を出力すると、上記参照した検知情報を、攻撃特定情報として、侵入検知装置またはファイアーウォールのフィルタリング設定を書き換える指令を出す攻撃特定情報出力手順と；
をコンピュータに実行させるプログラムを記録したコンピュータ読取可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、外部ネットワークからの不正なアクセスを防止する装置、方法に係り、特に、侵入検知装置またはファイアーウォールが検知した情報を格納するデータベースとの連係動作機能を用いることによって、外部ネットワークからの不正なアクセスを特定・防止する装置、方法に関する。
【背景技術】
【０００２】
図９は、従来のセキュリティシステム２００を示すブロック図である。
【０００３】
従来のセキュリティシステム２００は、外部ネットワークＮＷ１と、監視対象ネットワークＮＷ２１、ＮＷ２２、……との間に設けられ、通信パケットを監視することによって、不正なアクセスを遮断するファイアーウォール２２０、侵入検知システム２１０を有し、監視対象ネットワークＮＷ２１、ＮＷ２２、……のサービス状態を、管理者Ｐ１が把握した上で、セキュリティポリシ設定を入力する。
【０００４】
管理者Ｐ１は、監視対象ネットワークＮＷ２１、ＮＷ２２、……で守りたいセキュリティポリシを、手動または設定するための装置等を用いることによって入力する（たとえば、特許文献１参照）。
【特許文献１】特開２００３−３２８８９６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
監視対象ネットワークＮＷ２１、ＮＷ２２、……の状態に基づいて、防御すべき通信の設定を自動化することは可能であるが、元々のセキュリティポリシは、常に管理者Ｐ１の裁量に委ねられている。
【０００６】
近年の常時接続化、ブロードバンド化によるインターネットの通信量増加によって、不正アクセス数も増加の一途を辿っているが、その分、誤検知も多く、多くのセキュリティシステムを管理し、多くの不正アクセスらしき検知情報が存在するデータベースから、本来の攻撃を見抜き、それをセキュリティシステムへ反映させる作業は、管理者Ｐ１を悩ます１つの要因である。
【０００７】
つまり、上記従来例では、複数のセキュリティシステムから得た検知情報を集約し、関連した情報にまとめ、管理者が判断し易いログデータを提示するセキュリティシステムにおいて、上記ログデータから、管理者が攻撃であると判断した不正アクセスログを反映させるノウハウを貯蓄して自動的に設定することができず、また、ノウハウが過去にない不正アクセスログについて、検出精度を高めることができず、管理者の負担を軽減させることができないという問題がある。
【０００８】
本発明は、複数のセキュリティシステムから得た検知情報を集約し、関連した情報にまとめ、管理者が判断し易いログデータを提示するセキュリティシステムにおいて、上記ログデータから、管理者が攻撃であると判断した不正アクセスログを反映させるノウハウを貯蓄して自動的に設定することができ、また、ノウハウが過去にない不正アクセスログについて、検出精度を高めることができ、管理者の負担を軽減させることができる不正アクセス管理支援装置および不正アクセス特定方法を提供することを目的とするものである。
【課題を解決するための手段】
【０００９】
本発明は、参照した検知情報と、攻撃特定情報データベースに格納されている攻撃特定情報から得られる探索木とを照らし合わせ、上記参照した検知情報と上記検索木とが完全に一致すると、完全一致情報を出力し、上記参照した検知情報が上記検索木の一部と一致すると、一部一致情報を出力し、上記一部一致情報を出力すると、上記参照した検知情報が上記検索木の一部と一致したことを管理者へ通知し、一方、上記完全一致情報を出力すると、参照した検知情報を、攻撃特定情報として、侵入検知装置またはファイアーウォールのフィルタリング設定を書き換える指令を出す。
【発明の効果】
【００１０】
本発明によれば、複数のセキュリティシステムから得た検知情報を集約し、関連した情報にまとめ、管理者が判断し易いログデータを提示するセキュリティシステムにおいて、上記ログデータから、管理者が攻撃であると判断した不正アクセスログを反映させるノウハウを貯蓄して自動的に設定することができ、また、ノウハウが過去にない不正アクセスログについて、検出精度を高めることができ、管理者の負担を軽減させることができるという効果を奏する。
【発明を実施するための最良の形態】
【００１１】
発明を実施するための最良の形態は、以下の実施例である。
【実施例１】
【００１２】
図１は、本発明の実施例１であるセキュリティシステム１００を示すブロック図である。
【００１３】
セキュリティシステム１００は、外部ネットワークＮＷ１と、監視対象ネットワークＮＷ２１、ＮＷ２２、……との間に接続され、不正アクセス管理支援装置１０と、検知情報データベース２０と、侵入検知装置３０と、ファイアーウォール４０とを有する。
【００１４】
図２は、実施例１における不正アクセス管理支援装置１０の構成と、検知情報データベース２０とを示すブロック図である。
【００１５】
不正アクセス管理支援装置１０は、検知情報参照部１１と、攻撃特定情報入力部１２と、攻撃特定情報データベース１３と、照合部１４と、攻撃特定情報出力部１５とを有する。
【００１６】
検知情報参照部１１は、侵入検知装置３０から受信した検知情報を格納する検知情報データベースに保存されている検知情報を参照する。検知情報参照部１１は、検知情報データベース２０から、図３に示すデータ配列の検知情報を参照し、照合部１４内の検知情報テーブルへ随時登録する。
【００１７】
図３は、実施例１において、検知情報データベース２０に格納する検知情報を構成するデータの詳細を示す図である。
【００１８】
１つのレコードにおいて複数のデータが存在する。図３に示す例では、１８種類のデータが１つのレコードを構成し、検知情報参照部１１が、検知情報データベース２０のシグネチャ番号等を抽出し、照合に用いる。
【００１９】
攻撃特定情報入力部１２は、悪意のある不正な通信であると特定できる情報を、管理者が入力する部分である。
【００２０】
攻撃特定情報データベース１３は、管理者が入力した攻撃特定情報を格納している。この場合、図４に示すデータ配列を用いて、攻撃特定情報データベース１３が、攻撃特定情報を格納している。
【００２１】
照合部１４は、参照した検知情報と攻撃特定情報データベースに格納された攻撃特定情報から得られる探索木とを照らし合わせ、完全に一致したことを示す完全一致情報と、一部の情報が一致したことを示す一部一致情報とを出力する。
【００２２】
つまり、照合部１４は、参照した検知情報と、攻撃特定情報データベースに格納されている攻撃特定情報から得られる探索木とを照らし合わせ、上記参照した検知情報と上記検索木とが完全に一致すると、完全一致情報を出力し、上記参照した検知情報が上記検索木の一部と一致すると、一部一致情報を出力する照合部の例である。
【００２３】
すなわち、照合部１４は、単位時間内に参照した検知情報が上記検索木の一部と一致すると、一部一致情報を、管理者と攻撃特定情報出力部１５とに通知し、単位時間内に参照した検知情報と上記検索木とが完全に一致すると、完全一致情報を、攻撃特定情報出力部１５へ通知する手段である。
【００２４】
攻撃特定情報出力部１５は、照合部１４が一部一致情報を出力すると、管理者へ通知し、一方、完全一致情報を出力すると、上記参照した検知情報を、攻撃特定情報として、侵入検知装置３０またはファイアーウォール４０のフィルタリング設定を書き換える指令を出す。
【００２５】
つまり、攻撃特定情報出力部１５は、照合部が一部一致情報を出力すると、参照した検知情報が検索木の一部と一致したことを管理者へ通知し、一方、上記照合部が完全一致情報を出力すると、参照した検知情報を、攻撃特定情報として、侵入検知装置３０またはファイアーウォール４０のフィルタリング設定を書き換える指令を出す攻撃特定情報出力部の例である。
【００２６】
なお、侵入検知システム３０またはファイアーウォール４０が不正通信を検知すると、攻撃特定情報出力部１５が、不正な通信を遮断する設定へ変更することを含めたデータベースを更新するようにしてもよい。
【００２７】
検知情報データベース２０は、侵入検知装置３０、ファイアーウォール４０が通知する検知情報を格納するデータベースである。
【００２８】
図４は、実施例１において、攻撃特定情報データベース１３に格納されているデータを示す図である。
【００２９】
たとえば、攻撃元のＩＰアドレスとポート番号とを基準に、データ構成を考えた場合、検知情報データベース２０において、同一のＩＰアドレスで検知情報が記録されているものと、図４（２）以降のデータとの照合処理を行う。
【００３０】
つまり、攻撃元のＩＰアドレスとポート番号との２つによって、初めて１つの通信およびサービスが特定され、ＩＰアドレスだけではコンピュータの特定のみであり、通常は、ＩＰアドレスとポート番号とを１セットとして扱う。そして、検知情報で登録されているＩＰアドレスとポート番号とが同一である検知情報があれば、図４（２）以降のデータとの間でマッチングを行う。
【００３１】
そして、もし、検知情報データのＩＰアドレスと、攻撃特定情報データのＩＰアドレスとが異なれば、次の攻撃特定情報データと比較する。
【００３２】
図５は、実施例１において、照合部１４における攻撃特定情報の探索木であって、予め用意されている探索木の例を示す図である。
【００３３】
図５の左に記載されている破線の長円の中に、攻撃特定情報の組合せ（攻撃特定情報データベース１３のレコード）が記載され、最上段の長円の中には、攻撃特定情報データベース１３のレコードであって、攻撃特定情報Ａ＋Ｂ＋Ｃ＋Ｄ＋Ｅで構成されているレコードが記載され、その下の段の長円の中には、攻撃特定情報Ａ＋Ｃ＋Ｄ＋Ｅ＋Ｊで構成されているレコードが記載され、その下の段の長円の中には、攻撃特定情報Ａ＋Ｆ＋Ｇ＋Ｈ＋Ｉ＋Ｊで構成されているレコードが記載され、……、最下段の長円の中には、攻撃特定情報Ａ＋Ｆ＋Ｊ＋Ｋで構成されているレコードが記載されている。これら、攻撃特定情報の組合せ（攻撃特定情報データベース１３のレコード）に基づいて、攻撃特定情報の検索木が構成されている。
【００３４】
実際に照合する場合、参照した検知情報が、上記検索木と照合され、つまり、まず、検知情報のうちで、攻撃特定情報Ａと同じものがあるかどうかを照合（判断）し、攻撃特定情報Ａと同じ検知情報があれば、次に、検知情報のうちで、攻撃特定情報Ｂ、Ｃ、Ｆのいずれかと同じものがあるかどうかを照合（判断）し、攻撃特定情報Ｂ、Ｃ、Ｆのうちのどれかと同じ検知情報があれば、図４（３）に示す１段階目の検知情報のシグネチャ番号群が揃ったと判断する。なお、１段階目の検知情報のシグネチャ番号群が、所定の単位時間内で揃ったか否かを判断する。１段階目の検知情報のシグネチャ番号群が、所定の単位時間内で揃えば、管理者へ報告するように、攻撃特定情報出力部１５へ通知する。
【００３５】
なお、上記１段階、２段階を、検索木のどのレベルに設定するかを予め設定する。
【００３６】
また、図４に示すように、攻撃特定情報データベース１３のデータ配列には、照合の有無も含まれ、照合の必要ないものについては、照合部１４での照合処理を行わずに、スキップする。
【００３７】
図６は、実施例１における照合部１４の内部構造を示す図である。
【００３８】
照合部１４は、情報検知テーブル５１と、時間管理タイマ５２と、状態保存キュー５３と、探索木５４とを有する。探索木５４は、探索木Ｔ１、Ｔ２、Ｔ３、……とを有する。
【００３９】
図６に示す例では、情報検知テーブル５１に、参照した検知情報として、検知情報Ａ、Ｂ、Ｃ、Ｂ、Ｄ、Ｂ、Ｈ、Ｃが順に、格納され、検索木Ｔ１に着目すると、最初に検知情報Ａが検索木Ｔ１と照合され、次に、検知情報Ｂが検索木Ｔ１と照合され、次の検知情報Ｃが、検索木Ｔ１における第２層に位置する攻撃特定情報Ｃと一致し、また、同第３層に位置する攻撃特定情報Ｃと一致する。以後は、上記と同様に検知情報の１つ１つが、検索木を構成する攻撃特定情報と照合される。
【００４０】
他の検索木Ｔ２、Ｔ３、……においても、上記と同じ照合動作が行われる。そして、図６に示す時点では、検索木Ｔ１との照合では、攻撃特定情報Ａ＋Ｂ＋Ｃまでが照合され、検索木Ｔ３との照合では、攻撃特定情報Ａ＋Ｃまでが照合されている。
【００４１】
図７は、実施例１において、照合部１４における内部動作を示すフローチャートである。
【００４２】
Ｓ１では、時間管理タイマ５２が、事前に定められた時間（たとえば１分間）毎に、探索木５４を、攻撃特定情報データベース１３から読み込み、作成する。その後、Ｓ４では、上記探索木と、情報検知テーブル５１に保存されている検知情報とを照合する。照合を行った結果、たとえば探索木Ｔ１において、攻撃特定情報ＡとＢとＣとが、検知情報に存在しているときに、その揃った状態（照合された状態）を保存するために、状態保存キュー５３へ一時保存する。
【００４３】
状態保存キュー５３では、たとえば１分間状態を保存し、状態の変化を待つ。この場合、攻撃特定情報Ｄが検知情報として登録されると、状態保存キュー５３には、攻撃特定情報Ａ＋Ｂ＋Ｃ＋Ｄという状態が一時保存される。１分間の間に、攻撃特定情報Ｅが検知情報として登録されると、探索木Ｔ１において、完全に一致する（検索木の最下層まで照合される）ので、攻撃特定情報出力部１５が、侵入検知検知装置３０またはファイアーウォール４０のフィルタリング設定を変更する指令を出力する。
【００４４】
しかし、１分間の間に、攻撃特定情報Ｄが追加されたが、攻撃特定情報Ａ＋Ｂ＋Ｃ＋Ｄの状態のままであれば、完全に一致したとは言えず、第１段階の一致に留まるので、攻撃特定情報出力部１５は、管理者へ報告する。
【００４５】
上記動作を、照合部１４が行うことによって、複数の検知情報に基づいて、悪意ある不正アクセスを抽出することができる。
【００４６】
図８は、上記実施例における一連の動作を示すフローチャートである。
【００４７】
まず、侵入検知装置３０、ファイアーウォール４０が検知すると（Ｓ１１）、検知情報データベース２０に検知情報が留まり（Ｓ１２）、不正アクセス管理支援装置１０が、検知情報データベース２０を参照しながら、定期的に照合動作を行う（Ｓ１３）。そして、照合が一致したら（Ｓ１４）、フィルタリング設定し、管理者に報告する（Ｓ１５）。そして、管理者が、攻撃特定情報を追加する（Ｓ１６）。
【００４８】
上記実施例によれば、検知情報が検索木と完全に一致するものは、悪意ある不正アクセスや、以前に管理者が防御しなくてはならない一連の行為として認識するので、侵入検知装またはファイアーウォールのフィルタリング設定を行うことによって、管理者の負担を軽減することができる。
【００４９】
また、上記実施例によれば、完全には一致しない場合、管理者へ報告する契機になるので、この管理者への報告の結果に応じて、新たな遮断ノウハウを蓄積することができ、したがって、攻撃を、より効率的に防御することができる。つまり、一部一致した場合、管理者からノウハウを聞き出すことによって、最新の攻撃特定情報を追加し、検出精度を上げることができる。
【００５０】
また、上記実施例によれば、管理者が１度行った行動を、即座に反映し、同じことを管理者が実行する必要がないので、管理者の作業数を軽減することができ、また、類似した攻撃を抽出して管理者に見せるので、未知の攻撃や、亜種の攻撃に対しても、即座に対応することができる。
【００５１】
さらに、上記実施例によれば、管理者が悪質な攻撃と判断した不正アクセスに対して、侵入検知装置３０やファイアーウォールへフィルタリング設定するので、一度フィルタリング設定した通信について、遮断することができ、セキュリティ装置の処理負荷が軽減される。
【００５２】
なお、上記実施例において、攻撃特定情報データベースへ攻撃特定情報を格納する際に、複数の検知情報が揃った場合に攻撃であると特定する手法を用いて作成した攻撃特定情報の登録処理における上記攻撃特定情報と、管理者の意向によって、攻撃として特定しなくてもよいと判断される非攻撃特定情報の登録処理における上記非攻撃特定情報とのどちらをも、攻撃特定情報データベース１３へ格納することができるようにしてもよい。
【００５３】
このようにすれば、攻撃特定情報には、誤検知情報であると管理者が一度判断した検知情報について、無視する機能があるので、攻撃特定の回数を重ねる毎に、管理者への負担を軽減し、かつ誤検知を減らすことができる。
【００５４】
上記実施例は、複数の監視対象ネットワークのそれぞれに、不正な通信を監視および防御するために、上記監視対象ネットワークと外部ネットワークとの間に、侵入検知装置３０が配置され、不正な通信が発生したときに、上記侵入検知装置の検知情報を格納する検知情報データベースが、上記複数の侵入検知装置と通信可能な通信路上に存在し、上記複数の侵入検知装置から受信した検知情報を保有する検知情報データベース内のデータから、関連する検知情報を抽出し、悪意ある不正な通信を特定する不正アクセス特定方法において、上記検知情報を格納する検知情報データベース内に保存されている検知情報を、検知情報参照部が参照する参照工程と、悪意のある不正な通信であると特定できる情報である攻撃特定情報であって、管理者が入力した攻撃特定情報を、攻撃特定情報データベースに格納する攻撃特定情報格納工程と、上記参照した検知情報と、上記攻撃特定情報データベースに格納されている攻撃特定情報から得られる探索木とを照らし合わせ、上記参照した検知情報と上記検索木とが完全に一致すると、完全一致情報を、記憶装置に記憶し、出力し、上記参照した検知情報が上記検索木の一部と一致すると、一部一致情報を、記憶装置に記憶し、出力する照合工程と、上記照合工程で、上記一部一致情報を出力すると、上記参照した検知情報が上記検索木の一部と一致したことを上記管理者へ通知し、一方、上記照合部が上記完全一致情報を出力すると、上記参照した検知情報を、攻撃特定情報として、侵入検知装置またはファイアーウォールのフィルタリング設定を書き換える指令を出す攻撃特定情報出力工程とを有することを特徴とする不正アクセス特定方法の例である。
【００５５】
なお、本願明細書及び請求の範囲において、「記録装置」は、メモリに限定されず、ハードディスク等の外部記憶装置を含む概念である。
【００５６】
また、上記実施例は、複数の監視対象ネットワークのそれぞれに、不正な通信を監視および防御するために、上記監視対象ネットワークと外部ネットワークとの間に、侵入検知装置が配置され、不正な通信が発生したときに、上記侵入検知装置の検知情報を格納する検知情報データベースが、上記複数の侵入検知装置と通信可能な通信路上に存在し、上記複数の侵入検知装置から受信した検知情報を保有する検知情報データベース内のデータから、関連する検知情報を抽出し、悪意ある不正な通信を特定するプログラムにおいて、上記検知情報を格納する検知情報データベース内に保存されている検知情報を、検知情報参照部が参照する参照手順と、悪意のある不正な通信であると特定できる情報である攻撃特定情報であって、管理者が入力した攻撃特定情報を、攻撃特定情報データベースに格納する攻撃特定情報格納手順と、上記参照した検知情報と、上記攻撃特定情報データベースに格納されている攻撃特定情報から得られる探索木とを照らし合わせ、上記参照した検知情報と上記検索木とが完全に一致すると、完全一致情報を、記憶装置に記憶し、出力し、上記参照した検知情報が上記検索木の一部と一致すると、一部一致情報を、記憶装置に記憶し、出力する照合手順と、上記照合手順で、上記一部一致情報を出力すると、上記参照した検知情報が上記検索木の一部と一致したことを上記管理者へ通知し、一方、上記照合部が上記完全一致情報を出力すると、上記参照した検知情報を、攻撃特定情報として、侵入検知装置またはファイアーウォールのフィルタリング設定を書き換える指令を出す攻撃特定情報出力手順とをコンピュータに実行させるプログラムの例である。
【００５７】
また、上記プログラムを、半導体メモリ、ＣＤ、ＤＶＤ、ハードディスク等の記録媒体に記録するようにしてもよい。
【図面の簡単な説明】
【００５８】
【図１】本発明の実施例１であるセキュリティシステム１００を示すブロック図である。
【図２】実施例１における不正アクセス管理支援装置１０の構成と、検知情報データベース２０とを示すブロック図である。
【図３】実施例１において、検知情報データベース２０に格納するデータの詳細を示す図である。
【図４】実施例１において、攻撃特定情報データベース１３に格納されているデータを示す図である。
【図５】実施例１において、照合部１４における攻撃特定情報の探索木であって、予め用意されている探索木を示す図である。
【図６】実施例１における照合部１４の内部処理の説明図である。
【図７】実施例１において、照合部１４における内部動作を示すフローチャートである。
【図８】本発明装置の一連の動作を示すフローチャートである。
【図９】従来のセキュリティシステム２００を示すブロック図である。
【符号の説明】
【００５９】
１００…セキュリティシステム、
１０…不正アクセス管理支援装置、
１１…検知情報参照部、
１２…攻撃特定情報入力部、
１３…攻撃特定情報データベース、
１４…照合部、
１５…攻撃特定情報出力部、
２０…検知情報データベース、
３０…侵入検知装置、
４０…ファイアーウォール、
５１…情報検知テーブル、
５２…時間管理タイマ、
５３…状態保存キュー、
５４…検索木、
ＮＷ１…外部ネットワーク、
ＮＷ２１、ＮＷ２２…監視対象ネットワーク。
【図１】
2006139691.tif 000003
【図２】
2006139691.tif 000004
【図３】
2006139691.tif 000005
【図４】
2006139691.tif 000006
【図５】
2006139691.tif 000007
【図６】
2006139691.tif 000008
【図７】
2006139691.tif 000009
【図８】
2006139691.tif 000010
【図９】
2006139691.tif 000011