(57)【要約】【課題】検出された不正アクセス情報を分析して防御ポリシを作成し、同様な不正アクセスを受けた際に、それらのリクエストをサービスプログラムが受け付ける前にホスト上で防御する不正アクセスに対する防御ポリシ作成システムを提供する。【解決手段】データ送受信部１が受信したデータを記録する一時記憶領域４と、サービス提供のプロセス処理を行うサービスプロセス部２と、受信データに対して応答するためのデータもしくはその元のデータを保持する記憶装置３と、設定されているポリシに従って入出力データ及び記憶装置に対するアクセスと、サービスプロセス部の動作を監視し、不正なアクセスを検知する動作監視部５と、検知された不正アクセスの元となる情報を元に、新規に該当するデータの受信に対する防御ポリシを生成するポリシ生成部６を備え、データ受信段階における不正検知ポリシを生成する。【選択図】図１
2006285500.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークとデータを送受信するデータ送受信部と、
受信したデータを一定のサイズ分一時的に記録しておく一時記憶領域と、
データ受信部からデータを受信してサービス提供のためのプロセス処理を行うサービスプロセス部と、
サービスプロセス部が受信したデータに対して応答するためのデータを保持、もしくは応答するためのデータを作成するための元のデータを保持する記憶装置と、
設定されているポリシに従ってサービスプロセス部がデータ送受信部とやり取りするデータ及び記憶装置に対するアクセスと、サービスプロセス部の動作を監視し、不正なアクセスを検知する動作監視部と、
監視動作によって検知された不正アクセスの元となる一時記憶領域に記録された情報を元に、新規に該当するデータの受信に対する防御ポリシを生成するポリシ生成部を備え、
記憶装置へのアクセスポリシで検出した不正アクセス情報から、データ受信段階における不正検知ポリシを生成することを特徴とする不正アクセスに対する防御ポリシ作成システム。
【請求項２】
前記ポリシ生成部は、
動作監視部で生成される不正アクセス情報と一時記憶領域に記録されていた接続要求時情報を読み込み、不正アクセスの形態を判定し、次の処理を決定する不正アクセス形態判定ディスパッチャと、
外部プログラムの直接起動、もしくは前記接続要求時情報に含まれるファイル名の直接参照時に、該当箇所を判定するためのプログラム・ファイルチェック手段と、
前記接続要求時情報に含まれるデータに対応付けられるファイルに対する不正アクセス判定を行うプロトコル別ファイルマップ手段と、
マップされたファイルへのアクセス方式で、他のファイルに対する不正アクセスと共通箇所を判定するプロトコル別共通データ判定処理と、
それらの結果から、ポリシデータテンプレートとプロトコル別ポリシ生成ガイドを読み込んで生成ポリシを生成するポリシデータ生成手段とを有することを特徴とする請求項１に記載の不正アクセスに対する防御ポリシ作成システム。
【請求項３】
ネットワークから受信したデータを一定のサイズ分一時的に一時記憶領域に記録し、
設定されているポリシに従ってサービスプロセスがデータ送受信部とやり取りするデータ及び記憶装置に対するアクセスと、サービスプロセスの動作を監視して、不正なアクセスを検知し、
監視動作によって検知された不正アクセスの元となる一時記憶領域に記録された情報を元に、新規に該当するデータの受信に対する防御ポリシを生成する各ステップを含み、
記憶装置へのアクセスポリシで検出した不正アクセス情報から、データ受信段階における不正検知ポリシを生成することを特徴とする不正アクセスに対する防御ポリシ作成方法。
【請求項４】
前記ポリシ生成ステップは、
監視動作で生成される不正アクセス情報と一時記憶領域に記録されていた接続要求時情報を読み込み、不正アクセスの形態を判定して、次の処理を決定するステップと、
外部プログラムの直接起動、もしくは前記接続要求時情報に含まれるファイル名の直接参照時に、該当箇所を判定するステップと、
前記接続要求時情報に含まれるデータに対応付けられるファイルに対する不正アクセス判定を行うステップと、
マップされたファイルへのアクセス方式で、他のファイルに対する不正アクセスと共通箇所を判定するステップと、
それらの結果から、ポリシデータテンプレートとプロトコル別ポリシ生成ガイドを読み込んで生成ポリシを生成するステップとを含むことを特徴とする請求項３に記載の不正アクセスに対する防御ポリシ作成方法。
【請求項５】
ネットワークから受信したデータを一定のサイズ分一時的に一時記憶領域に記録し、
設定されているポリシに従ってサービスプロセスがデータ送受信部とやり取りするデータ及び記憶装置に対するアクセスと、サービスプロセスの動作を監視して、不正なアクセスを検知し、
監視動作によって検知された不正アクセスの元となる一時記憶領域に記録された情報を元に、新規に該当するデータの受信に対する防御ポリシを生成する各ステップをコンピュータに実行させ、
記憶装置へのアクセスポリシで検出した不正アクセス情報から、データ受信段階における不正検知ポリシを生成することを特徴とする不正アクセスに対する防御ポリシ作成プログラム。
【請求項６】
前記ポリシ生成ステップは、
監視動作で生成される不正アクセス情報と一時記憶領域に記録されていた接続要求時情報を読み込み、不正アクセスの形態を判定して、次の処理を決定するステップと、
外部プログラムの直接起動、もしくは前記接続要求時情報に含まれるファイル名の直接参照時に、該当箇所を判定するステップと、
前記接続要求時情報に含まれるデータに対応付けられるファイルに対する不正アクセス判定を行うステップと、
マップされたファイルへのアクセス方式で、他のファイルに対する不正アクセスと共通箇所を判定するステップと、
それらの結果から、ポリシデータテンプレートとプロトコル別ポリシ生成ガイドを読み込んで生成ポリシを生成するステップとを含むことを特徴とする請求項５に記載の不正アクセスに対する防御ポリシ作成プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに対して何らかのサービスを提供しているシステムにおいて、提供するサービスでは意図していない外部プログラムの起動やデータの参照、書き換え等の発生、もしくは発生前にそれらを検知し、その原因となったネットワークからの要求を特定して、同様のアクセスを防御するためのルールの生成を行う不正アクセスに対する防御ポリシ作成システムに関する。
【背景技術】
【０００２】
従来の不正アクセス対処ルール生成システムは、サーバ上におけるバッファオーバフロー検出部と、それによって検出された情報からパケットフィルタで利用するための不正アクセス対処ルールを生成する装置によって構成されている（例えば、特許文献１参照）。
【０００３】
このような構成を有する従来のシステムは、サーバ上で動作するプログラムに対するバッファオーバフロー攻撃の検知と対応するパケットフィルタリングルールを生成するものであるが、現在の不正アクセスの形態は、これらのバッファオーバフローによるもの以外にも様々な方法がある。
【０００４】
一例として、ＣＧＩ(Common Gateway Interface)の入力フィールドチェックミスによる外部プログラム起動や、設定ファイルの権限設定漏れ等による不正なファイル参照等は、これらの方式では検知できず、防御ルールを生成する事も出来ない。
【０００５】
また、生成したルールを用いたパケットフィルタリングによるセグメントの防御では、セグメント内にワームが進入済みである場合等にはフィルタリングで防御出来ないという問題もあった。
【特許文献１】特開２００４−３３４６０７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来の侵入検知システムでは、ネットワーク上を流れるデータに対して、シグネチャと呼ばれるデータの特徴を検査して不正なアクセスを検知するシステムがあったが、このシステムでは検知する対象のシグネチャ情報を先に生成する必要があり、既知でない方法によるアクセスを検知する事が出来なかった。また、ネットワークを流れるデータが暗号化されている場合、内容の検証が不可能であること、不正なデータを検知した時点では既に手遅れになっているという問題があった。
【０００７】
これらに対応する方法として、現在ではサービスを提供するホスト上で進入検知及び防御を行う、ホスト側のポリシベースの侵入防止システム（ＩＰＳ）があり、こちらは特定領域やプロセスの振る舞いに対して設定されたポリシにしたがってアクセスを許可もしくは拒否する事が可能であるが、提供しているサービスの内容やホスト上のファイルの配置等にポリシの設定が依存するため、サービスやホスト毎に個別にポリシを設定する必要があった。
【０００８】
そこで本発明は、ホスト型ポリシベースＩＰＳの機能により、様々な形態の不正アクセスを検出するとともに、それらによって検出された情報から、その原因となったアクセスに対してプロトコル毎にテンプレートを個別に用意し、ネットワークを介して同様な不正アクセスを受けた際に、それらのリクエストをサービスプログラムが受け付ける前にホスト上で防御する不正アクセスに対する防御ポリシ作成システム及び方法とそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述の課題を解決するため、本発明は、ネットワークとデータを送受信するデータ送受信部と、受信したデータを一定のサイズ分一時的に記録しておく一時記憶領域と、データ受信部からデータを受信してサービス提供のためのプロセス処理を行うサービスプロセス部と、サービスプロセス部が受信したデータに対して応答するためのデータを保持、もしくは応答するためのデータを作成するための元のデータを保持する記憶装置と、設定されているポリシに従ってサービスプロセス部がデータ送受信部とやり取りするデータ及び記憶装置に対するアクセスと、サービスプロセス部の動作を監視し、不正なアクセスを検知する動作監視部と、監視動作によって検知された不正アクセスの元となる一時記憶領域に記録された情報を元に、新規に該当するデータの受信に対する防御ポリシを生成するポリシ生成部を備え、記憶装置へのアクセスポリシで検出した不正アクセス情報から、データ受信段階における不正検知ポリシを生成することを特徴とする。
【発明の効果】
【００１０】
本発明による第１の効果は、ファイルやプロセスの起動に関するポリシの設定により、他のノードで利用可能な不正アクセス検出用のポリシを生成できることにある。その理由は、生成されるポリシはネットワークとの送受信部における遮断ルールとシグネチャ情報によって構成されているため、ノードのパス等に依存せずに他のノードに適用出来る為である。
【００１１】
第２の効果は、生成されたポリシを必要に応じて適用する事によって、ノード自身の安全性を自動生成ポリシによって向上させる事が可能となる。その理由は、ノード上のファイル領域等に、保護指定漏れがあった場合に、ネットワークとの送受信部で同様の攻撃から防御されるようになるため、サービスプロセスまで不正なアクセスが到達しなくなるためである。
【発明を実施するための最良の形態】
【００１２】
次に、本発明の最良の形態について図面を参照して説明する。
【００１３】
図１は、本発明の不正アクセスに対する防御ポリシ作成システムの機能ブロック図である。ネットワークとデータを送受信するデータ送受信部１と、受信したデータを一定のサイズ分一時的に記録しておく一時記憶領域４と、データ受信部からデータを受信してデータを送受信するサービスプロセス部２と、サービスプロセスが受信したデータに対して応答するためのデータを保持、もしくは応答するためのデータを作成するための元のデータを保持する記憶装置３と、設定されているポリシに従ってサービスプロセスがデータ送受信部とやり取りするデータ、及び記憶装置に対するアクセスと、サービスプロセスの動作（子プロセス、スレッドの起動など）を監視し、不正なアクセスを検知する動作監視部５と、監視動作によって検知された不正アクセスの元となる一時記憶領域に記録された情報を元に、新規に該当するデータの受信に対する防御ポリシを作成するポリシ生成部６によって構成され、記憶装置へのアクセスポリシで検出した不正アクセス情報から、データ受信段階における不正検知ポリシを生成する。
【実施例１】
【００１４】
次に、本発明の実施例の構成について図面を参照して詳細に説明する。
【００１５】
図２は、本発明の第１の実施例の機能構成を示す。第１の実施例は、ネットワーク１０からデータを受信し、外部記憶装置２０１にあるデータのアクセスや、サービスを行う各プロセスとそれらの起動停止、及びデータの入出力を管理するＯＳカーネル（動作監視機能を含む）１０１によって構成され、図１に示す本発明の機能を実現する。
【００１６】
ＯＳカーネル１０１は、ネットワーク１０とデータの送受信を行うデータ送受信部１１と、受信したデータを一定時間、一定サイズ保存する一時記憶領域１２と、ＯＳ上で動作する各プロセスの起動、停止を管理するプロセス生成部１５と、ＯＳ上で動作する各プロセスによる外部記憶装置のアクセスを中継、管理するファイルアクセス部１７と、それらの動作、及び入出力データを、監視ポリシ２０に基づいて監視、動作の停止、許可を行う動作監視部４を含む。
【００１７】
外部記憶装置２０１は、ＯＳ上で動作する各プロセスが、ＯＳカーネル１０１を経由してアクセスする各データを含み、本構成では、別途監視ポリシ２０によって保護指定されている保護領域２２及び元々保護対象でない非保護領域２４と、本来保護すべきであるが、監視ポリシ２０による保護指定が漏れている保護領域（保護漏れ）２３と、本全体構成によって最終的に生成される生成ポリシ２１を含む。
【００１８】
上記以外に、ＯＳ上で動作しカーネル１０１上でサービスの提供を行うサービス提供プロセス１３と、サービス提供プロセス１３が、応答データを作成するために利用するサブプログラム１６と、ＯＳ上で任意のコマンドを実行する事が出来る汎用シェル１８と、動作監視部１４及び一時記憶領域１２に記録された情報を受け取って解析し、ファイルの不正アクセスからデータ受信部で該当アクセスを検知するためのポリシを作成するポリシ自動生成部１９から構成される。
【００１９】
図３は、ポリシ自動生成部１９の詳細機能構成を示す。ポリシ自動生成部１９は、動作監視部１４で生成される不正アクセス情報２５と一時記憶領域に記録されていた接続要求時情報２６を読み込み、不正アクセスの形態が許可されていないファイルへのアクセスであるか、許可されていないプログラムの起動であるかを判定し、次の処理を決定する不正アクセス形態判定ディスパッチャ９１と、そのディスパッチャが次の処理を決定するためのテーブルであるプロトコルマップ情報９２と、外部プログラムの直接起動、もしくは接続要求時情報２６に含まれるファイル名の直接参照時に、該当箇所を判定するためのプログラム・ファイルチェック手段９３と、接続要求時情報２６に含まれるデータに対応付けられるファイルに対する不正アクセス判定を行うプロトコル別ファイルマップ手段９４と、マップされたファイルへのアクセス方式で、他のファイルに対する不正アクセスと共通箇所を判定するプロトコル別共通データ判定処理９６と、それらの結果から、ポリシデータテンプレート９７とプロトコル別ポリシ生成ガイド９８を読み込んで生成ポリシ２１を生成するポリシデータ生成手段９５と、これらの処理で判定した不正アクセスの特徴データを蓄積する不正アクセス特徴データ蓄積統計情報２７を有する。
【００２０】
生成ポリシ２１には、ＸからＹへのＺサービスへのデータ受信を一時的に遮断、もしくは監視という情報と、監視対象とするリクエストデータの特徴情報（シグネチャに相当）の両方を含む。
【００２１】
次に、図２を参照して本発明の第１の実施例の動作について説明する。
【００２２】
サービス提供プロセスは、ネットワーク１０からサービスの要求（リクエストデータ）を受け付けるため、通常はデータ送受信部に対して受信要求を出したままデータ受付を待ち合わせているものとする。
【００２３】
本発明では予め動作監視部１４には、保護領域２２に対してサブプログラム１６以外によるアクセスを禁止するポリシが適用されており、図中のサービス提供プロセス１３や、汎用シェル１８によるアクセスがファイルアクセス部１７を経由して実施されたばあい、動作監視部１４によってアクセスが停止するポリシが適用されている。
【００２４】
また、別途監視ポリシ２０には、サブプログラム１６からは他のプロセスの起動を禁止するポリシが記述され、動作監視部１４に適用されており、サブプログラム１６から外部プログラムを起動するためにプロセス生成部１５が呼び出された場合には、動作監視部１４によって起動が阻止されるものとする。
【００２５】
またサービス提供プロセス１３には、サブプログラム１６以外の外部プロセスの起動を禁止するポリシが記述され、動作監視部１４に適用されており、サブプログラム１６以外の汎用シェル１８等をプロセス生成部１５を経由して起動しようとした場合には動作監視部１４によって阻止されるものとする。
【００２６】
一時記憶領域１２に記録される情報は、ネットワークから受信した接続要求データの先頭から一定のサイズ分と、受信時のネットワーク属性（アドレスやポート、プロトコル等）及び、受信要求を出しているサービス提供プロセスの情報と、サービス要求プロセス内でデータ送受信部に受信要求をしているデータの入出力経路（ソケットディスクリプタやハンドル等）を記録する。
【００２７】
なお、最初の段階では、監視ポリシ２０にはデータ送受信部における受信データ検証による動作制限は設定されていない。
【００２８】
処理１−１：
まず、ネットワーク１０からデータ送受信部１１がサービス提供プロセス１３によって提供されるサービスに対するリクエストデータを受信すると、データ送受信部は受信要求したプロセスの情報等と共に一時記憶領域１２に受信データを記録し、動作監視部１４に受信データとサービス提供プロセス１３への中継許可を確認した後、サービス提供プロセス１３にリクエストデータを転送する。
【００２９】
処理１−２：
サービス提供プロセス１３は、受け取ったデータを解析しサービス提供に必要な情報をファイルアクセス部１７を経由して外部記憶装置２０１に取りに行く。ファイルアクセス部１７は、動作監視部１４に対してアクセス元のプロセスと、アクセス先を通知し、許可されていれば（アクセスしたデータが非保護領域であった場合）該当データをサービス提供プロセス１３に戻す。
【００３０】
処理１−３：
処理１−２でリクエストデータに対する応答を取り出したサービス提供プロセス１３は、データ送受信部を経由してネットワーク１０にリクエストデータに対する応答を返す。データ送受信部はネットワークにデータを戻す前に、動作監視部１４で応答データ送信の可否判定を行う。
応答返却後、対応する一時記憶領域に記録されているデータを削除する。
【００３１】
処理１−４：
処理１−２でサービス提供プロセス１３が参照した先が、保護領域２２であった場合、該当アクセスは不正と見做され、一時記憶領域の情報と、アクセスしようとした先のパスの情報と合わせてポリシ自動生成部１９に通知される。ポリシ自動生成部１９が受信データを処理する箇所は後述する。
【００３２】
処理１−５：
処理１−２でサービス提供プロセス１３が、サブプログラム１６以外の外部プログラムをプロセス生成部１５経由で起動しようとした場合、動作監視部１４によってプロセスの起動が阻止され、一時記憶領域に記録されたリクエストデータと、起動しようとしたプログラムの情報がポリシ自動生成部１９に通知される。ポリシ自動生成部１９が受信データを処理する箇所は後述する。
次に、サービス提供プログラムが、応答データを作成するために、他のサブプログラム（ＣＧＩやその他のツール）を起動してデータを作成する場合の処理を説明する。
【００３３】
処理２−１：
処理１−１までは同様に処理する。
【００３４】
処理２−２：
サービス提供プロセス１３は、受け取ったデータを解析し、応答データ作成に必要なサブプログラム１６をプロセス生成部１５を経由して起動する。この際プロセス生成部１５は、別途動作監視部１４にプロセス生成の可否判定を行う。プロセス起動可であれば、サブプログラム１６を起動する。
【００３５】
処理２−３：
サブプログラム１６は、保護領域１０のデータを参照して応答データを作成し、サービス提供プロセス１３に通知する。
【００３６】
処理２−４：
処理１−３と同様に処理する。
【００３７】
処理２−５：
処理２−２において、サービス提供プロセス１３が起動しようとしたプロセスがサブプログラム１６以外であった場合、動作監視部１４によってプロセスの起動が阻止され、一時記憶領域に記録されたリクエストデータと、起動しようとしたプログラムの情報がポリシ自動生成部１９に通知される。ポリシ自動生成部１９が受信データを処理する箇所は後述する。
【００３８】
処理２−６：
処理２−３において、サブプログラム１６がプロセス生成部１５を経由して他のプロセス（汎用シェル１８等）を起動しようとした場合、動作監視部１４によって阻止され、一時記憶領域に記録されたリクエストデータと、起動しようとしたプログラムの情報がポリシ自動生成部１９に通知される。ポリシ自動生成部１９が受信データを処理する箇所は後述する。
【００３９】
いずれの処理においても、不正アクセス検知後自動生成部９にデータを送信した場合、一時記憶領域のデータは削除する。
【００４０】
次に、ポリシ自動生成部１９が上記にて動作監視部１４による検知情報と、一時記憶領域にあるデータを受信した後、生成ポリシ２１を生成するまでの処理を記述する。
【００４１】
処理３−１：
不正アクセス形態判定ディスパッチャ９１が、動作監視部１４で生成される不正アクセス情報２５と一時記憶領域に記録されていた接続要求時情報２６を読み込み、接続要求時情報２６に記録されたプロトコル情報が、プロトコルマップ情報９２に記録されたプロトコルである場合、９３のマップ情報に従って、接続要求時情報を分解し、プロトコル別ファイルマップ手段９４を呼び出す。そうでない場合はプログラム・ファイルチェック手段９３を呼び出す。
【００４２】
処理３−２：
プログラム・ファイルチェック手段９３は、不正アクセス情報２５から、不正アクセスの形態が以下のいずれであるかを判定する。
【００４３】
不正アクセス形態１：許可されていないプログラムの起動であること。
【００４４】
不正アクセス形態２：許可されていないファイルへのアクセスであること。
【００４５】
上記判定後、接続要求時情報２６に、不正アクセス情報２５に記録された不正にアクセスされたファイル、もしくはプログラムが記録されているかどうかを確認する。この際、不正アクセス形態１の場合は、パス中のプログラム名のみの一致判定を行い、ファイルへのアクセスの場合はパスが後方一致しているかどうかで判定する。本判定で一致している場合には、サービスプログラムの脆弱性を攻撃されている可能性が高いと判定して、パス以外のデータを不正アクセス特徴データ蓄積統計情報２７に記録する。この際過去に記録されている特徴データに条件一致するものがあれば、該当する特徴データの一致頻度情報を上げる。一定以上頻度情報が上がった場合、該当箇所は不正アクセス手段のデータと見做して、ポリシデータ生成手段９５を実行する。
【００４６】
処理３−３：
プロトコル別ファイルマップ手段９４は、既知のプロトコルで、接続要求時情報２６に含まれる記述もしくはデータと、実ファイルとのマッピングを取る形式が既知であるもの（例えばｈｔｔｐにおけるリクエストＵＲＬと実際のコンテンツが置いてあるファイルパスとのマッピング等）について、プロトコル別共通データ判定処理９６を利用し、不正アクセスの形態が以下のいずれであるかを判定する。判定には不正アクセス情報２５も利用する。
【００４７】
不正アクセス形態３：プロトコル的に正しく、サービス提供側のアクセス制御の設定が漏れているもの（例えば、ｈｔｔｐのリクエストＵＲＬが、該当ファイルにマップされていて、直接ＵＲＬを指定するだけで保護領域のデータに参照できてしまうような場合）。
【００４８】
不正アクセス形態４：サービス提供プログラムは正常に処理しているが、そこから起動されるサブプログラムの問題により、保護領域のファイルがアクセスされているもの。もしくは本来起動出来ないプログラムを起動しているもの（リクエストＵＲＬのｃｇｉ等の引き数情報に、不正アクセス情報２５に記録されているファイルもしくはプログラムのパスに関する情報が記述されているもの）。
【００４９】
不正アクセス形態５：サービス提供プログラムから本来起動出来ないプログラムが起動している、もしくはファイルにアクセスしていて、かつプロトコル的に該当ファイルもしくはプログラムパスへのアクセスが出来ない設定になっているもの（バッファオーバラン等のサービス提供プログラムの脆弱性により、プログラムが乗っ取られている場合、もしくは内部処理の問題で、任意のコマンドやファイルがアクセス出来てしまう脆弱性を攻撃されている場合）。
【００５０】
処理３−４：
判定した不正アクセス形態に応じて、別途プロトコル別共通データ判定処理９６を呼び出し、それまでの呼び出しとの共通情報を不正アクセスの形態毎に抽出する（リクエストデータのヘッダに共通の不正な文字列がある、リクエストＵＲＬのＣＧＩの引き数に不正な共通文字がある、など）。共通データ抽出後、ポリシデータ生成手段９５を呼び出す。
【００５１】
処理３−５：
ポリシデータ生成手段９５は、上記の処理で生成された不正アクセス特徴データ蓄積統計情報２７と、ポリシデータテンプレート９７を使って、サービスが受け付ける接続要求に不正なデータが混入している場合にこれをブロックするポリシを生成する。この際、プロトコルが既知の物である場合には、別途プロトコル別ポリシ生成ガイド９８の情報に従って、生成ポリシ２１を生成する（不正アクセス先のパスデータをプロトコル上でのデータに逆変換する必要がある場合があるため）。
【００５２】
次に、第１の実施例の効果について説明する。第１の実施例では、不正なファイルへのアクセスや不正なプログラムの起動処理まで到達した状態で同様の不正アクセスを検知した場合に、より前の段階で防御するためのポリシを自動的に生成出来るため、不正なアクセスをより早い段階で検出出来るようになる。
【００５３】
また、本発明で生成される特徴データを利用したポリシは、ノード固有の情報を含まない（共通情報抽出時に、処理３−２でノード固有のパスを除外している）ため、他のノードに生成したポリシを反映する事により、該当ノードに対する同様の攻撃を未然に防止する事が可能となる。
【実施例２】
【００５４】
実施例１では、動作監視による不正アクセス検出を、ファイルとプロセス生成についてのみ記述しているが、その他に以下の形態の不正アクセスについて検出を追加し、同様にポリシを作成する構成を取る事が可能である。
【００５５】
不正アクセス形態６：サービス提供プログラムは正常に処理しているが、そこから起動されるサブプログラムの問題により、本来実行出来ないネットワークアクセスやサービスへのアクセスを実行しているもの（リクエストＵＲＬのｃｇｉ等の引き数情報に、不正アクセス情報２５に記録されているネットワークアドレス、もしくはホスト名、ＵＲＬ、サービス等に関する情報が記述されているもの）。
【００５６】
不正アクセス形態７：サービス提供プログラムから本来発生しない（プログラム的にネットワークに対してサービスプログラム自身が接続を行う事がない、もしくは設定により該当アドレス、ホストへのアクセスが発生しないような設定になっている）ネットワークへのアクセスが発生しているもの（バッファオーバラン等のサービス提供プログラムの脆弱性により、プログラムが乗っ取られている場合、もしくは内部処理の問題で、任意のネットワークへのアクセス、もしくは他のサービスへの接続が出来てしまう脆弱性を攻撃されている場合）。
【００５７】
上記について、ポリシ自動生成部１９に、別途プログラム・ファイルチェック手段９３と同様なネットワーク・サービスチェック手段を定義する事により、生成ポリシ２１を生成する事が可能である。
【００５８】
また、生成ポリシ２１は第１の実施例では、外部記憶装置上に生成しているが、これらを動的にネットワークに転送、もしくはメモリ上に蓄積する、またはその両方を行う構成を取る事も可能である。
【図面の簡単な説明】
【００５９】
【図１】本発明の機能ブロック図である。
【図２】第１の実施例の機能構成図である。
【図３】ポリシ自動生成部の詳細機能構成図である。
【符号の説明】
【００６０】
１  データ送受信部
２  サービスプロセス部
３  記憶装置
４  一時記憶領域
５  動作監視部
６  ポリシ生成部
【図１】
2006285500.tif 000003
【図２】
2006285500.tif 000004
【図３】
2006285500.tif 000005