(57)【要約】【課題】  複数のセンサに効率的にシグネチャを配布すると共に、監視対象ネットワーク上の装置に応じたポリシーを生成してシグネチャと共にセンサに配布することにより、監視対象ネットワーク上の装置に応じた監視を可能にする不正侵入監視システムを得る。【解決手段】  不正な侵入を監視するために必要なシグネチャをシグネチャサーバ１により管理し、管理装置５は、このシグネチャサーバ１からシグネチャを取得して、シグネチャ毎に不正侵入の検出に必要なポリシーを生成し、この取得したシグネチャ及びポリシーを、監視対象ネットワークの不正侵入の監視を行うセンサ２に配布して、センサ２は、このシグネチャ及びポリシーを用いて、監視対象ネットワーク６に流れるパケットから不正侵入を検出するようにした。【選択図】図１
2006155323.tif 000002
【特許請求の範囲】
【請求項１】
不正に侵入するパケット中の不正侵入を特徴付けるデータパターンを定義したシグネチ
ャを管理するシグネチャサーバ、それぞれ監視対象ネットワーク上のパケットを監視する
ことにより、不正な侵入を監視する複数の監視装置、及び上記シグネチャサーバから上記
シグネチャを取得し、この取得したシグネチャについて、上記シグネチャを有するパケッ
トが、監視対象ネットワーク上の装置に対して有効な攻撃かどうかを判断するための情報
であるポリシーを生成して、上記取得したシグネチャ及び上記生成したポリシーを上記監
視装置に配布する管理装置を備え、
上記監視装置は、上記管理装置によって配布された上記シグネチャ及び上記ポリシーに基
づき、上記監視対象ネットワーク上のパケットを監視し、
上記管理装置は、上記監視装置が監視を行う監視対象ネットワーク上の装置についての情
報を格納した監視装置管理情報と、この監視装置管理情報に基づきシグネチャ毎に上記ポ
リシーを生成するポリシー生成手段とを有することを特徴とする不正侵入監視システム。
【請求項２】
上記監視装置は、監視対象ネットワーク上の装置に対して脆弱性診断を行う脆弱性診断
手段を有し、診断結果を上記管理装置に送信し、上記管理装置は、この送信された診断結
果を用いて、上記ポリシーを生成することを特徴とする請求項１記載の不正侵入監視シス
テム。
【請求項３】
上記管理装置は、上記監視装置管理情報を上記シグネチャサーバに送信することにより、
上記シグネチャサーバから上記監視装置管理情報に関連する上記シグネチャを取得するこ
とを特徴とする請求項１または請求項２記載の不正侵入監視システム。
【請求項４】
上記シグネチャサーバは、上記シグネチャが更新されたことを上記管理装置に通知する
と共に、上記管理装置は、上記通知に基づき上記シグネチャサーバからシグネチャを取得
することを特徴とする請求項１または請求項２記載の不正侵入監視システム。
【請求項５】
上記管理装置は、上記監視装置管理情報を上記シグネチャサーバに送信し、上記シグネ
チャサーバは、上記監視装置管理情報に関連する上記シグネチャの更新を上記管理装置に
通知することを特徴とする請求項４記載の不正侵入監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークへの不正な侵入を監視する不正侵入監視システムに関するも
のである。
【背景技術】
【０００２】
インターネットなどのネットワークに接続されたコンピュータは、ネットワークを介し
て、侵入を受けたり、データの改竄、消去をされたり、そのコンピュータ自体が停止状態
にされるといったセキュリティ脅威が存在する。
これらのネットワークを介した攻撃を監視する方法として、ネットワーク上のパケット
を検査し、不正なコマンドやデータが含まれていないかを調べる方法がある。この検査に
あたっては、不正なコマンドやデータを予め収集・解析し、不正なコマンドやデータを判
断するためのパケット中の不正侵入を特徴付けるデータパターンを抽出し、監視を行うセ
ンサに登録する。このパケット中の不正侵入を特徴付けるデータパターンをシグネチャと
いう。登録したシグネチャに対しては、別途、監視対象に対して最適な条件となるようポ
リシー（シグネチャを有するパケットが、監視対象に対して有効な攻撃かどうかを判断す
るための情報）を策定する必要がある。センサに登録する方法として、例えば、特許文献
１に記載の方法がある。この方法では、シグネチャは人手により登録する。
【０００３】
【特許文献１】特開２００４−５４３３０号公報（第６〜８頁、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
特許文献１のように、シグネチャ及びポリシーを人手でセンサに登録する場合、多数の
センサに登録することは困難であり、また、ポリシーを設定するまでは監視対象に対して
最適な条件が取れないため、このシグネチャまたはポリシーがセンサに未登録の状態では
、実際には監視対象には影響がないパケットにもかかわらず、攻撃として検知してしまう
という誤検知の発生を防げなかった。
【０００５】
この発明は、上述のような課題を解決するためになされたものであり、複数のセンサに
効率的にシグネチャを配布すると共に、監視対象ネットワーク上の装置に応じたポリシー
を生成してシグネチャと共にセンサに配布することにより、監視対象ネットワーク上の装
置に応じた監視を可能にする不正侵入監視システムを得ることを目的にしている。
【課題を解決するための手段】
【０００６】
この発明に係わる不正侵入監視システムにおいては、不正に侵入するパケット中の不正
侵入を特徴づけるデータパターンを定義したシグネチャを管理するシグネチャサーバ、そ
れぞれ監視対象ネットワーク上のパケットを監視することにより、不正な侵入を監視する
複数の監視装置、及びシグネチャサーバからシグネチャを取得し、この取得したシグネチ
ャについて、シグネチャを有するパケットが、監視対象ネットワーク上の装置に対して有
効な攻撃かどうかを判断するための情報であるポリシーを生成して、取得したシグネチャ
及び生成したポリシーを監視装置に配布する管理装置を備え、
監視装置は、管理装置によって配布されたシグネチャ及びポリシーに基づき、監視対象ネ
ットワーク上のパケットを監視し、
管理装置は、監視装置が監視を行う監視対象ネットワーク上の装置についての情報を格納
した監視装置管理情報と、この監視装置管理情報に基づきシグネチャ毎にポリシーを生成
するポリシー生成手段とを有するものである。
【発明の効果】
【０００７】
この発明は、以上説明したように、不正に侵入するパケット中の不正侵入を特徴づける
データパターンを定義したシグネチャを管理するシグネチャサーバ、それぞれ監視対象ネ
ットワーク上のパケットを監視することにより、不正な侵入を監視する複数の監視装置、
及びシグネチャサーバからシグネチャを取得し、この取得したシグネチャについて、シグ
ネチャを有するパケットが、監視対象ネットワーク上の装置に対して有効な攻撃かどうか
を判断するための情報であるポリシーを生成して、取得したシグネチャ及び生成したポリ
シーを監視装置に配布する管理装置を備え、
監視装置は、管理装置によって配布されたシグネチャ及びポリシーに基づき、監視対象ネ
ットワーク上のパケットを監視し、
管理装置は、監視装置が監視を行う監視対象ネットワーク上の装置についての情報を格納
した監視装置管理情報と、この監視装置管理情報に基づきシグネチャ毎にポリシーを生成
するポリシー生成手段とを有するので、複数のセンサに効率的にシグネチャを配布するこ
とを可能とすると共に、監視対象ネットワーク上の装置に応じたポリシーを生成してシグ
ネチャと共に監視装置に配布することにより、監視対象ネットワーク上の装置に応じた監
視を可能にするという効果があり、誤検知の発生を抑止することができる。
【発明を実施するための最良の形態】
【０００８】
実施の形態１．
図１は、この発明の実施の形態１による不正侵入監視システムを示すシステム図である
。
図１において、シグネチャサーバ１は、シグネチャＤＢ（データベース）を有し、攻撃
を検知するための特徴を抽出したシグネチャ（パケット中の不正な侵入を特徴付けるデー
タパターン）を管理する。センサ２（監視装置）は、監視対象ネットワーク６上の装置で
あるサーバ３及び端末４に対して、攻撃を行うパケットが送信されているかどうかを、監
視対象ネットワーク６上のパケットにより監視する。センサ２は、管理装置５により管理
され、管理装置５は、シグネチャサーバ１からシグネチャを取得し、ポリシー生成手段に
よりポリシー（シグネチャを有するパケットが、監視対象に対して有効な攻撃かどうかを
判断するための情報で、各シグネチャを有効にするか無効にするかなどの設定情報を含む
。）を生成して、これらのシグネチャ及びポリシーをセンサ２に配布する。
【０００９】
図２は、この発明の実施の形態１による不正侵入監視システムのシグネチャサーバでシ
グネチャを管理するシグネチャ管理テーブルを示す図である。
図２において、Ｗｅｂに対する攻撃かＯＳに対する攻撃かなどの攻撃の種類を示すカテ
ゴリと、このカテゴリに対応するシグネチャが、管理ＩＤ毎に格納されている。
図３は、この発明の実施の形態１による不正侵入監視システムの管理装置で各センサを
管理するセンサ管理テーブルを示す図である。
図３において、センサ毎の監視対象のネットワーク装置に関するＯＳやアプリケーショ
ンなどの情報が格納されている。一行が一つの監視対象ネットワーク装置に対応している
。
【００１０】
図４は、この発明の実施の形態１による不正侵入監視システムの管理装置でセンサが監
視に用いるポリシーを管理するポリシー管理テーブルを示す図である。
図４において、シグネチャの管理ＩＤ毎に、シグネチャを有効にするか無効にするかを
示す監視フラグが格納されている。この監視フラグは、監視対象ネットワーク上の装置を
特定する送信先ＩＤ、送信先ポート、及びパケットの送り元のアドレスである送信元ＩＰ
、送信元ポートに応じて、設定されている。この送信元ＩＰ、送信元ポートの欄は、例え
ば、監視対象ネットワーク内からのパケットは、攻撃とみなさないようにする等のために
設けられている。
なお、このポリシー管理テーブルは、センサ毎に作成されている。
図５は、この発明の実施の形態１による不正侵入監視システムの処理を示すフローチャ
ートである
【００１１】
次に、動作について説明する。
本発明の不正侵入監視システムは、攻撃を検知するための特徴を抽出したシグネチャを
管理するシグネチャサーバ１と、監視対象ネットワーク６上のパケットを入力することに
より、攻撃を行うパケットが送信されていないかどうかを監視するセンサ２と、このセン
サ２を管理する管理装置５からなり、管理装置５は、定期的にシグネチャサーバ１に最新
のシグネチャの有無を問い合わせ、最新のシグネチャが存在した場合にはその最新のシグ
ネチャを取得する。
管理装置５は、この取得したシグネチャ及び各センサ２が監視している監視対象のネッ
トワーク装置情報を整理した図３のセンサ管理テーブル（監視装置管理情報）に基づき、
監視対象のＩＰアドレスやＯＳ、アプリケーションの情報を元に、各シグネチャを有効に
するか無効にするか、検査するパケットの送信元ＩＰアドレス及びポート等を設定したポ
リシーを生成し、図４のポリシー管理テーブルを更新する。そして、生成したポリシーと
シグネチャを各センサ２に配布する。
【００１２】
次に、図５に基づき、さらに詳しく不正侵入監視処理について説明する。
管理装置５は、シグネチャのバージョン情報をシグネチャサーバ１に要求する（ステッ
プＳ１）。シグネチャサーバ１は、この管理装置５からのシグネチャのバージョン情報要
求を受信し（ステップＳ２）、シグネチャのバージョン情報を送信する（ステップＳ３）
。管理装置５は、シグネチャのバージョン情報を受信（ステップＳ４）し、保持している
バージョンより新しいかどうかを判断し（ステップＳ５）、新しくなければ、処理を終了
する。新しければ、シグネチャサーバ１にシグネチャ取得の要求を行う（ステップＳ６）
。シグネチャサーバ１は、このシグネチャ取得要求を受信し（ステップＳ７）、該当する
シグネチャを管理装置５に送信する（ステップＳ８）。
管理装置５は、このシグネチャを受信し（ステップＳ９）、受信したシグネチャを順次
調べて、最後のシグネチャまで処理したかどうかを判断する（ステップＳ１０）。未処理
のシグネチャがあれば、そのシグネチャのカテゴリがセンサ管理テーブルに記述されてい
る攻撃の種類、すなわちＯＳ、サービスに一致するかどうかを判断する（ステップＳ１１
）。一致していれば、ポリシー管理テーブルの監視フラグをＯＮに設定し、送信元のＩＰ
、ポートを設定して（ステップＳ１２）、ステップＳ１０に飛ぶ。一致していなければ、
ポリシー管理テーブルの監視フラグをＯＦＦに設定して（ステップＳ１３）、ステップＳ
１０に飛ぶ。
ステップＳ１０で、最後のシグネチャまでステップＳ１１〜Ｓ１３を実行した場合は、
センサ２にポリシーとシグネチャを送信する（ステップＳ１４）。
センサ２は、このポリシーとシグネチャを受信して（ステップＳ１５）、これに基づき
監視対象ネットワークの監視を行う（ステップＳ１６）。
【００１３】
このように実施の形態１によれば、人手を介することなく、自動的に最新のシグネチャ
をシグネチャサーバから管理装置を介してセンサに配布可能であり、このシグネチャ及び
監視対象に対応してポリシーを生成してセンサに配布することにより、監視対象に応じた
監視を可能にするという効果がある。
【００１４】
実施の形態２．
図６は、この発明の実施の形態２による不正侵入監視システムを示すシステム図である
。
図６において、１〜６は図１におけるものと同一のものである。図６では、センサ２は
、脆弱性診断手段を有している。
図７は、この発明の実施の形態２による不正侵入監視システムのセンサが実施した脆弱
性調査の結果を格納する脆弱性情報テーブルを示す図である。
図７において、ＯＳ、送信先ＩＰ、送信先ポート毎に脆弱性が示されている。
図８は、この発明の実施の形態２による不正侵入監視システムの管理装置で各センサを
管理するセンサ管理テーブルを示す図である。
図８において、センサ管理テーブル上に脆弱性を示す項目が設けられている。
【００１５】
実施の形態２は、実施の形態１において、センサ２が、脆弱性診断を行う脆弱性診断手
段を備え、定期的にセンサ２が監視している監視対象ネットワーク６上のサーバ３及び端
末４に対して診断を実施し、その結果を図７の脆弱性情報テーブルに格納すると共に、管
理装置５に通知する。
管理装置５は、通知された診断結果を元に、管理装置５で管理している図８のセンサ管
理テーブルの内容を更新する。すなわち、図８のセンサ管理テーブルの該当する脆弱性の
欄を、図７の脆弱性情報テーブルの内容に一致するように書き替える。
管理装置５は、図８のセンサ管理テーブルを用いて、例えば、脆弱性のよくない監視対
象ネットワーク上の装置の監視フラグをオンにするなどの、ポリシー管理テーブルの更新
を行い、センサ２に配布する。
【００１６】
このように、実施の形態２によれば、定期的に監視対象ネットワーク上の装置に対して
脆弱性診断をセンサ２で行い、管理装置５のセンサ管理テーブルの内容を更新すると共に
この更新されたセンサ管理テーブルによりポリシー管理テーブルを更新して、センサに配
布することにより、新しいポリシー管理テーブルによる監視が行われるため、誤検知を減
らすことができるという効果がある。
【００１７】
実施の形態３．
図９は、この発明の実施の形態３による不正侵入監視システムを示すシステム図である
。
図９において、１〜６は図１におけるものと同一のものである。図９では、管理装置５
は、シグネチャサーバ１にセンサ管理テーブル（監視装置管理情報）を送信する。
図１０は、この発明の実施の形態３による不正侵入監視システムのシグネチャサーバに
より管理装置に送付するシグネチャを選択する処理を示すフローチャートである。
【００１８】
実施の形態３は、実施の形態１において、管理装置５は、シグネチャの取得要求を行う
際に自分の管理しているセンサ管理テーブルの内容をシグネチャサーバ１に通知する。シ
グネチャサーバ１は、センサ管理テーブルの内容を参照し、シグネチャが管理装置５で必
要なものかどうかを判断して、必要なもののみ管理装置５へ送信する。
次に、図１０に基づき、管理装置に送付するシグネチャを選択する処理について説明す
る。
まず、管理装置５は、シグネチャサーバ１にセンサ管理テーブルを送信する（ステップ
Ｓ２１）。シグネチャサーバ１は、センサ管理テーブルを受信し（ステップＳ２２）、シ
グネチャを順次調べて、最後のシグネチャまで処理したかどうかを判断する（ステップＳ
２３）。未処理のシグネチャがあれば、シグネチャのカテゴリがセンサ管理テーブルに記
述されたＯＳ、サービスに一致するかどうかを判断し（ステップＳ２４）、一致すればセ
ンサ送信用シグネチャに登録して（ステップＳ２５）、ステップＳ２３に飛ぶ。
ステップＳ２３で、最後のシグネチャまでステップＳ２４、Ｓ２５を実行した場合は、
登録されたシグネチャを管理装置５に送信する（ステップＳ２６）。管理装置５は、この
シグネチャを受信する（ステップＳ２７）。
【００１９】
このように、実施の形態３によれば、シグネチャサーバは、管理装置が必要とするシグ
ネチャのみを管理装置に送信することが可能となるため、シグネチャサーバから管理装置
へ送信する通信負荷を下げることができるという効果がある。
【００２０】
実施の形態４．
図１１は、この発明の実施の形態４による不正侵入監視システムを示すシステム図であ
る。
図１１において、１〜６は図１におけるものと同一のものである。図１１では、シグネ
チャサーバ１は、管理装置５にシグネチャの更新通知を行う。
図１２は、この発明の実施の形態４による不正侵入監視システムの処理を示すフローチ
ャートである。
【００２１】
実施の形態４は、実施の形態１において、シグネチャサーバ１は、自分の管理している
シグネチャが更新されたことを電子メール等の手段を使用して管理装置５に通知する。管
理装置５は、シグネチャサーバ１からのシグネチャの更新通知を受信すると、シグネチャ
サーバ１にシグネチャの取得要求を行い、シグネチャを取得する。
次に、図１２に基づき、実施の形態４の不正侵入監視システムの処理について説明する
。
まず、シグネチャサーバ１は、シグネチャの更新を管理装置５に通知する（ステップＳ
３１）。管理装置５は、この更新通知を受信し（ステップＳ３２）、シグネチャサーバ１
に更新されたシグネチャの取得要求を行う（ステップＳ３３）。シグネチャサーバ１は、
シグネチャの取得要求を受信し（ステップＳ３４）、該当するシグネチャを送信する（ス
テップＳ３５）。
管理装置５は、この送信されたシグネチャを受信し（ステップＳ３６）、センサ管理情
報（監視装置管理情報）に基づきポリシーを生成する（ステップＳ３７）。そして、セン
サ２にシグネチャと生成したポリシーを送信する（ステップＳ３８）。センサ２は、送信
されたシグネチャとポリシーを受信し（ステップＳ３９）、これらに基づき監視対象ネッ
トワークの監視を行う（ステップＳ４０）。
【００２２】
このように、実施の形態４によれば、管理装置５が定期的にシグネチャサーバ１にシグ
ネチャの更新確認を行う必要はなく、シグネチャサーバ１から更新通知を発信するため、
管理装置５の負荷を軽減すると共に管理装置５が常に最新のシグネチャを取得できるとい
う効果がある。
【００２３】
実施の形態５．
図１３は、この発明の実施の形態５による不正侵入監視システムを示すシステム図であ
る。
図１３において、１〜６は図１１におけるものと同一のものである。図１３は、図１１
の構成に、センサ管理テーブルを管理装置５からシグネチャサーバ１に送信するものであ
る。
図１４は、この発明の実施の形態５による不正侵入監視システムでシグネチャの更新を
確認する処理を示すフローチャートである。
【００２４】
実施の形態５は、実施の形態４において、管理装置５がシグネチャサーバ１にセンサ管
理テーブルを通知し、シグネチャサーバ１がセンサ管理テーブルを参照し、更新されたシ
グネチャが管理装置５で必要となるかどうかを判断して、必要となる場合にのみ管理装置
５にシグネチャの更新通知を行うようにした。
次に、図１４に基づき、実施の形態５の不正侵入監視システムの処理処理について説明
する。
まず、管理装置５は、センサ管理テーブルをシグネチャサーバ１に送信する。シグネチ
ャサーバ１は、送信されたセンサ管理テーブルを受信し（ステップＳ５２）、シグネチャ
を順次調べて、最後のシグネチャまで処理したかどうかを判断する（ステップＳ５３）。
未処理のシグネチャがあれば、シグネチャのカテゴリがセンサ管理テーブルに記述されて
いるＯＳ、サービスに一致し、かつ更新されているかどうかを判断する（ステップＳ５４
）。ＹＥＳであれば、シグネチャの更新情報を登録して（ステップＳ５５）、ステップＳ
５３に返る。
ステップＳ５３で、最後のシグネチャまで処理済みであれば、シグネチャの更新を管理
装置５に通知する（ステップＳ５６）。管理装置５は、シグネチャの更新情報を受信する
（ステップＳ５７）。
【００２５】
このように、実施の形態５によれば、シグネチャサーバ１は、管理装置５が必要とする
シグネチャが更新された場合にのみ更新通知を行うため、管理装置５は、自分に関係のあ
るシグネチャのみ取得することにより管理装置５の負荷を軽減するという効果がある。
【図面の簡単な説明】
【００２６】
【図１】この発明の実施の形態１による不正侵入監視システムを示すシステム図である。
【図２】この発明の実施の形態１による不正侵入監視システムのシグネチャサーバでシグネチャを管理するシグネチャ管理テーブルを示す図である。
【図３】この発明の実施の形態１による不正侵入監視システムの管理装置で各センサを管理するセンサ管理テーブルを示す図である。
【図４】この発明の実施の形態１による不正侵入監視システムの管理装置でセンサが監視に用いるポリシーを管理するポリシー管理テーブルを示す図である。
【図５】この発明の実施の形態１による不正侵入監視システムの処理を示すフローチャートである
【図６】この発明の実施の形態２による不正侵入監視システムを示すシステム図である。
【図７】この発明の実施の形態２による不正侵入監視システムのセンサが実施した脆弱性調査の結果を格納する脆弱性情報テーブルを示す図である。
【図８】この発明の実施の形態２による不正侵入監視システムの管理装置で各センサを管理するセンサ管理テーブルを示す図である。
【図９】この発明の実施の形態３による不正侵入監視システムを示すシステム図である。
【図１０】この発明の実施の形態３による不正侵入監視システムのシグネチャサーバにより管理装置に送付するシグネチャを選択する処理を示すフローチャートである。
【図１１】この発明の実施の形態４による不正侵入監視システムを示すシステム図である。
【図１２】この発明の実施の形態４による不正侵入監視システムの処理を示すフローチャートである。
【図１３】この発明の実施の形態５による不正侵入監視システムを示すシステム図である。
【図１４】この発明の実施の形態５による不正侵入監視システムでシグネチャの更新を確認する処理を示すフローチャートである。
【符号の説明】
【００２７】
１  シグネチャサーバ
２  センサ
３  サーバ
４  端末
５  管理装置
６  監視対象ネットワーク
【図１】
2006155323.tif 000003
【図２】
2006155323.tif 000004
【図３】
2006155323.tif 000005
【図４】
2006155323.tif 000006
【図５】
2006155323.tif 000007
【図６】
2006155323.tif 000008
【図７】
2006155323.tif 000009
【図８】
2006155323.tif 000010
【図９】
2006155323.tif 000011
【図１０】
2006155323.tif 000012
【図１１】
2006155323.tif 000013
【図１２】
2006155323.tif 000014
【図１３】
2006155323.tif 000015
【図１４】
2006155323.tif 000016