(57)【要約】【課題】それぞれ不正アクセスを検知する複数の検知装置とそれらを統合管理する管理装置との間の管理通信を効率的に行う。【解決手段】それぞれ不正アクセスを検知し検知関連ログ１２７を保存する複数の検知装置１２０，１２０，・・・、及びこれら複数の検知装置１２０，１２０，・・・に接続され前記各検知装置１２０，１２０，・・・の負荷状態を監視すると共に前記各検知装置１２０，１２０，・・・の負荷状態に応じて前記各検知装置１２０，１２０，・・・に保存の検知関連ログ１２７を収集し当該収集した検知関連ログ１２７に基づく画面情報を出力する管理装置１１０を備えた侵入検知監視システム。【選択図】図２
2006173781.tif 000002
【特許請求の範囲】
【請求項１】
それぞれ不正アクセスを検知し検知関連ログを保存する複数の検知装置、及びこれら複数の検知装置に接続され前記各検知装置の負荷状態を監視すると共に前記各検知装置の負荷状態に応じて前記各検知装置に保存の検知関連ログを収集し当該収集した検知関連ログに基づく画面情報を出力する管理装置を備えた侵入検知監視システム。
【請求項２】
それぞれ不正アクセスの監視対象となる監視対象ネットワークからの不正アクセスを検知する複数の検知装置と、
これら複数の検知装置から各検知装置が検知した不正パケットと当該不正パケットに対して発呼するアラートログとから構成される検知関連ログを受信する通信部と前記検知関連ログに基づいて画面情報を出力する出力部とを具備する管理装置と、
を備え、
前記管理装置から前記検知装置へ前記検知関連ログの取得要求に対し、前記検知装置から前記管理装置へ前記検知関連ログを配信する管理通信を行い、
前記検知装置の各々は、高負荷状態に陥った場合に、前記検知関連ログを、各々のデータベースに記憶すると共に前記管理装置への前記管理通信の滞留を開始し当該滞留開始を前記管理装置に通知する
侵入検知監視システム。
【請求項３】
請求項２に記載の侵入検知監視システムにおいて、
前記管理装置は、前記検知装置から前記滞留開始の通知を受信すると前記検知装置に前記概況情報の通知開始を要求し、
前記検知装置は、前記管理装置からの前記概況情報の通知開始要求を受信すると、検知した前記不正アクセスの種類および前記不正アクセスの対象先の概況情報を、前記管理装置へ通知する
ことを特徴とする侵入検知監視システム。
【請求項４】
請求項３に記載の侵入検知監視システムにおいて、
前記検知装置は、前記高負荷状態から脱した場合に、前記管理通信の滞留の終了を、前期管理装置に通知し、
前記管理装置は、前記前記検知装置から前記滞留終了の通知を受信すると前記検知装置に前記概況情報の通知終了を要求し、
前記検知装置は、前記概況情報の通知終了要求を受信すると前記管理装置への前記概況情報の通知を中止する
ことを特徴とする侵入検知監視システム。
【請求項５】
請求項４に記載の侵入検知監視システムにおいて、
高負荷状態から脱した前記検知装置が、前記管理装置への前記管理通信の滞留期間中に前記データベースに蓄積した前記検知関連ログを前記管理装置へ配信する
ことを特徴とする侵入検知監視システム。
【請求項６】
請求項５に記載の侵入検知監視システムにおいて、
高負荷状態から脱した前記検知装置が、前記管理装置への前記管理通信の滞留期間中に前記データベースに蓄積した前記検知関連ログをアーカイブ方式でまとめて生成したファイルを、前記管理装置へ配信する
ことを特徴とする侵入検知監視システム。
【請求項７】
請求項３〜請求項６の何れか一に記載の侵入検知監視システムにおいて、
前記検知装置および前記管理装置が、それぞれ相互間の通信内容を秘匿する暗号化部を具備している
ことを特徴とする侵入検知監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、複数の検知装置に接続され各検知装置の負荷状態を監視すると共に、前記各検知装置の負荷状態に応じて前記各検知装置に保存の検知関連ログを収集する管理装置を備えた侵入検知監視システムに関するものである。
【背景技術】
【０００２】
従来、クラッカー等の正規のアクセス権限をもたない侵入者による侵入を検知する侵入検知システムにおいては１台の検知装置が処理する機能の向上がすすめられてきた。例えば、特許文献１に記載の「攻撃分析装置、センサ、攻撃分析装置方法及びプログラム」は、検知した攻撃についての分析処理の効率を向上させる技術である。
【０００３】
【特許文献１】特開２００４−４６７４２号公報（図１〜１４、段落番号０００４〜００４５）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
侵入検知システムを導入しようとするターゲット環境では、ネットワーク構成の複雑化に伴う検知装置の台数の増加、侵入検知システムの運用・監視業務のアウトソーシングにより、ユーザや、運用・監視業務の受託者等において、複数台の検知装置を統合して効率よく管理するニーズが高まっており、その統合管理の効率化が課題となってきた。例えば、特許文献１においては、複数台のセンサが存在するも、検知した攻撃についての分析処理の効率を向上させる技術が記載されているだけであり、複数台の検知装置とそれらを統合管理する管理装置との間の、統合管理のための管理通信の効率化については言及されていない。また、不正侵入者による侵入攻撃は、同一の攻撃が集中することが多く、攻撃継続中には検知装置の検知負荷が高負荷状態の検知装置からのとなり、複数台の検知装置とそれらを統合管理する管理装置との間の管理通信も、攻撃継続中の高負荷状態の検知装置からの高負荷状態の継続的通信により高負荷状態となり、ひいては管理装置で複数の検知装置を対象にしたユーザの運用・監視担当者の作業や、当該運用・監視業務の受託者の作業も高負荷状態となる。
【０００５】
この発明は、前述のような実情に鑑みてなされたもので、複数台の検知装置とそれらを統合管理する管理装置との間の管理通信を効率的に行うことを主たる目的とするものである。また、攻撃継続により多数多量の管理通信が発生する場合に、効率的な運用を行い、多数の検知装置を管理する侵入検知システムの運用者の作業負荷を軽減することができる侵入検知監視システムを提供することを従たる目的とするものである。
【課題を解決するための手段】
【０００６】
この発明に係る侵入検知監視システムは、それぞれ不正アクセスを検知し検知関連ログを保存する複数の検知装置、及びこれら複数の検知装置に接続され前記各検知装置の負荷状態を監視すると共に前記各検知装置の負荷状態に応じて前記各検知装置に保存の検知関連ログを収集し当該収集した検知関連ログに基づく画面情報を出力する管理装置を備えたものである。
【発明の効果】
【０００７】
この発明による侵入検知監視システムは、それぞれ不正アクセスを検知し検知関連ログを保存する複数の検知装置、及びこれら複数の検知装置に接続され前記各検知装置の負荷状態を監視すると共に前記各検知装置の負荷状態に応じて前記各検知装置に保存の検知関連ログを収集し当該収集した検知関連ログに基づく画面情報を出力する管理装置を備えているので、複数台の検知装置とそれらを統合管理する管理装置との間の管理通信を効率的に行うことができる。ひいては、例えば外部からの攻撃継続により多数多量の管理通信が発生する場合に、効率的な運用を行い、多数の検知装置を管理する侵入検知システムの運用者の作業負荷を軽減することができる侵入検知監視システムを提供することが可能となる。
【発明を実施するための最良の形態】
【０００８】
実施の形態１．
以下この発明の実施の形態１を図１〜図３に基づいて説明する。図１は侵入検知監視システムの構成の事例を示すブロック図、図２は図１における検知装置および管理装置の内部構成の事例を主として示すブロック図、図３は図１および図２の動作フロ−の事例を示す図である。なお、各図中、同一符合は同一部分を示す。
【０００９】
図１に示すように、侵入検知監視システム１００は、管理装置１１０と、その管理下にある複数の検知装置１２０，１２０，・・・から構成される。
【００１０】
前記管理装置１１０は、図２に示すように、前記複数の各検知装置１２０の検知負荷の状態や検知情報などの統合監視を実施するものであり、管理通信部１１１、管理部１１２、監視部１１３、データベース部１１４、およびデータ出力部１１５を具備している。また、前記管理通信部１１１、前記管理部１１２、前記監視部１１３、前記データベース部１１４、前記データ出力部１１５、およびＧＵＩ表示装置１３０等を備えるコンピュータに所定のソフトウェア等をインストールし、当該ソフトウェアを起動することにより、後述の機能、後述の動作を行う管理装置１１０が実現される。
【００１１】
前記管理通信部１１１は、高負荷状態に陥った前記検知装置１２０に対し概況報告通信の指示を送ったり、高負荷状態から脱した前記検知装置１２０に対し当該検知装置１２０のデータベース部で蓄積された検知関連ログの通信を指示する管理通信等、前記検知装置１２０との通信インタフェースの機能を司る。
【００１２】
前記管理部１１２は、前記各検知装置１２０の運用状態を監視し、また、前記各検知装置１２０の起動や終了についての遠隔操作に関する設定指示を送信する機能を司る。
【００１３】
前記監視部１１３は、前記各検知装置１２０が前記管理装置１１０に通知した検知関連ログを収集して、前記データベース部１１４に蓄積する機能を司る。
【００１４】
前記データベース部１１４に格納された前記検知関連ログは、前記監視部１１３を介して、前記データ出力部１１５に渡されて、画面情報として前記ＧＵＩ表示装置１３０に表示される。
【００１５】
前記検知装置１２０は、外部ネットワーク３１０からファイアウォール２００を通過して監視対象ネットワーク３２０へ侵入した不正パケットを検知するものであり、図２に示すように、管理通信部１２１、シグニチャデータベース部１２２、検出部１２３、検知関連ログ生成部１２４、検知関連ログデータベース部１２５、を具備している。また、前記
管理通信部１２１、前記シグニチャデータベース部１２２、前記検出部１２３、前記検知関連ログ生成部１２４、前記検知関連ログデータベース部１２５等を備える検知通信機器装置により、後述の機能、後述の動作を行う検知装置１２０が実現される。
【００１６】
前記管理通信部１２１は、前記管理装置１１０から配信される新規もしくは更新された、シグニチャ情報１２６を取得し、該シグニチャ情報１２６を前記シグニチャデータベース部１２２に配信したり、自検知装置１２０が高負荷状態に陥った場合には、前記管理装置１１０へ検知関連ログ１２７を通知する管理通信を一旦停止し、管理通信の滞留開始を前記管理装置１１０へ通知する等、前記管理装置１１０との通信インタフェースの機能を司る。
【００１７】
前記シグニチャデータベース部１２２は、不正パケットに埋め込まれた攻撃パターンに関する情報を記述したシグニチャ情報１２６を記憶する保存手段である。
【００１８】
前記検出部１２３は、監視対象ネットワーク３２０上を流れるパケットをキャプチャ（捕捉）した際に、該パケットのペイロード（データ本体）と、シグニチャデータベース部１２４に格納された攻撃パターンに関する情報とを、パターンマッチングし、該パケットのペイロードが監視対象ネットワーク３２０に対する不正アクセス等の攻撃に関する情報を含んでいるか否かを判別する処理を行う。この判別処理にて、不正アクセスの攻撃に関する情報を含んでいると判別した場合には、キャプチャした該パケットを保持し、アラート（注意メッセージ）を発呼して、アラートログを生成する。前記判別処理にて、不正アクセスの攻撃に関する情報を含んでいないと判別した場合には、キャプチャした該パケットを破棄し、次の処理を実施する。
【００１９】
前記検知関連ログ生成部１２４は、前記検出部１２３が監視対象ネットワーク３２０への攻撃を検出した際に、その監査証跡として、検出した不正パケットと、前記不正パケットに対して発呼されたアラートログとを収集して前記検知関連ログ１２７を生成する。
【００２０】
前記検知関連ログデータベース部１２５は、前記検知関連ログ生成部１２４にて生成された前記検知関連ログ１２７を記憶する保存手段である。
【００２１】
前述のこの発明の実施の形態１による侵入検知監視システムの管理通信動作は、図３に示す動作フローチャートにおけるフロ−に従って行われ、管理通信の起動は、侵入検知監視システムの立ち上げ時や管理装置１１０の立ち上げ時に行われる。図３における動作の各ステップは動作の順に付されたステップ番号Ｓ３１０〜Ｓ３７０に示してある通りであり、以下、侵入検知監視システムの管理通信動作をステップ番号順に説明する。
【００２２】
（１）ステップＳ３１０において、管理通信処理を起動する。
（２）ステップＳ３２０において、管理装置１１０から検知装置１２０へ検知関連ログ
の取得を要求する。
（３）ステップＳ３３０において、検知装置１２０が高負荷状態に陥ったか否かを判定
する。この判定は検知装置１２０からの滞留開始の
通知の有無によって行う。
検知装置１２０が高負荷状態に陥った場合は、ステ
ップＳ３４０へ、
検知装置１２０が高負荷状態にない（正常状態）場
合は、ステップＳ３６０へ遷移する。
（４）ステップＳ３４０において、検知装置１２０が高負荷状態にある場合は、検知装
置１２０が管理装置１１０への管理通信の滞留開始
を通知する。
（５）ステップＳ３５０において、検知装置１２０が高負荷状態にある場合は、検知装
置１２０から管理通信の滞留開始の通知を管理装置
１１０が受信する。以降、検知装置１２０が高負荷
状態を脱するまで滞留した管理通信を検知装置１２
０のデータベース１２５に蓄積する。
（６）ステップＳ３６０において、検知装置１２０が高負荷状態にない（正常状態）場
合は、管理装置１１０は、検知装置１２０から検知
関連ログを取得する。
（７）ステップＳ３７０において、管理装置１１０は、複数の各検知装置１２０の検知
負荷の状態や検知情報などの統合監視を行う。
【００２３】
この発明の実施の形態１は、前述のような構成、機能を有し、前述のような動作を行う。
【００２４】
換言すれば、この発明の実施の形態１は、正規のアクセス権限をもたないクラッカー等による外部ネットワークからの不正アクセスを検知する検知装置１２０と、前記検知装置１２０から検知した不正パケットと該不正パケットに対して発呼するアラートログとから構成される検知関連ログ１２７を受信する通信部１１１と前記検知関連ログ１２７を用いて画面情報を出力する出力部１１５とを具備することにより複数の前記検知装置１２０，１２０，・・・を統合監視する管理装置１１０と、を有した侵入検知監視システムであり、前記管理装置１１０から前記各検知装置１２０，１２０，・・・への前記検知関連ログの取得要求に対し、前記各検知装置１２０，１２０，・・・から前記管理装置１１０へ前記検知関連ログ１２７を配信し、前記監視対象ネットワーク３２０を流れる不正パケットを検知する前記検知装置１２０が、ネットワーク負荷による高負荷状態に陥った場合には、前記検知関連ログ１２７を、前記検知装置１２０のデータベース１２５に記憶して保存し、当該高負荷状態に陥った前記検知装置１２０から前記管理装置１１０への前記管理通信の滞留開始を通知する侵入検知監視システムである。従って、前記監視対象ネットワーク３２０への不正アクセスがあっても、管理装置１１０と前記各検知装置１２０，１２０，・・・との間の管理通信の量が軽減されると共に管理装置１１０側で高負荷状態に陥った検知装置１２０を把握できる。複数台の検知装置とそれらを統合管理する管理装置との間の管理通信を効率的に行うことができる。ひいては、例えば外部からの攻撃継続により多数多量の管理通信が発生する場合に、効率的な運用を行い、多数の検知装置を管理する侵入検知システムの運用者の作業負荷を軽減することができる侵入検知監視システムを提供することが可能となる。
【００２５】
なお、更に換言すれば、この発明の実施の形態１は、前述のことから、それぞれ不正アクセスを検知し検知関連ログ１２７を保存する複数の検知装置１２０，１２０，・・・、およびこれら複数の検知装置１２０，１２０，・・・に接続され前記各検知装置１２０の負荷状態を監視すると共に前記各検知装置１２０の負荷状態に応じて前記各検知装置に保存の検知関連ログ１２７を収集し当該収集した検知関連ログに基づく画面情報を出力する管理装置１１０を備え、前述の効果を奏する侵入検知監視システムである。
【００２６】
実施の形態２．
以下、この発明の実施の形態２を図４および図５に基づいて説明する。図４は、この発明の実施の形態２による侵入検知監視システムおよび該システムにおける検知装置および管理装置の構成の事例を示すブロック図、図５は図４の動作フロ−の事例を示す図である。なお、図５において、前述の図２と同一または相当部分には同一符号を付し、以下のこの発明の実施の形態２の説明においては、前述の実施の形態１と異なる点を主体的に説明し、他の説明は割愛する。
【００２７】
前述のこの発明の実施の形態１では、検知装置１２０が、高負荷状態に陥った場合に、管理装置１１０と検知装置１２０との間の管理通信において、検知関連ログ１２７を検知関連ログデータベース部１２５に蓄積した状態で、管理装置１１０への管理通信を滞留開始した旨を通知するに止めたが、この発明の実施の形態２では、図４に示すように、複数の各検知装置１２０，１２０，・・・の何れも、高負荷状態に陥った検知装置１２０から管理装置１１０への管理通信により、前記検知装置１２０が検知した不正アクセスの種類と不正アクセスの対象先とだけの概況情報１２８を、管理装置１１０に定期的に配信する。
【００２８】
前述のこの発明の実施の形態２による侵入検知監視システムの管理通信動作は、図５に示す動作フローチャートにおけるフロ−に従って行われ、管理通信の起動は、侵入検知監視システムの立ち上げ時や管理装置１１０の立ち上げ時等に行われる。図５における動作の各ステップは動作の順に付されたステップ番号Ｓ５１０〜Ｓ５９０に示してある通りであり、以下、侵入検知監視システムの管理通信動作をステップ番号順に説明する。
【００２９】
（１）ステップＳ５１０において、管理通信処理を起動する。
（２）ステップＳ５２０において、管理装置１１０から検知装置１２０へ検知関連ログ
の取得を要求する。
（３）ステップＳ５３０において、検知装置１２０が高負荷状態に陥ったか否かを判定
する。この判定は検知装置１２０からの滞留開始の
通知の有無によって行う。
検知装置１２０が高負荷状態に陥った場合は、ステ                                  ップＳ５４０へ、
検知装置１２０が高負荷状態にない（正常状態）場
合は、ステップＳ５６０へ遷移する。
（４）ステップＳ５４０において、検知装置１２０が高負荷状態にある場合は、検知装
置１２０から管理装置１１０へ管理通信の滞留開始
を通知する。
（５）ステップＳ５５０において、検知装置１２０が高負荷状態にある場合は、検知装
置１２０から管理通信の滞留開始の通知を管理装置
１１０が受信する。以降、検知装置１２０が高負荷
状態を脱するまで滞留した管理通信情報を検知装置
１２０のデータベース１２５に蓄積する。
（６）ステップＳ５６０において、検知装置１２０が高負荷状態にない（正常状態）場
合は、管理装置１１０は、検知装置１２０から検知
関連ログを取得する。以降、ステップＳ５９０へ遷
移する。
（７）ステップＳ５７０において、管理装置１１０は、概況情報の報告を、高負荷状態
の検知装置１２０へ指示する。
（８）ステップＳ５８０において、管理装置１１０では、高負荷状態の検知装置１２０
から概況情報の報告を受信したか否かを判定する。
判定の結果、概況情報の報告を受信した場合は、ス
テップＳ５９０へ、
判定の結果、概況情報の報告を受信していない場合
は、ステップＳ５７０へ遷移する。
（９）ステップＳ５９０において、管理装置１１０は、ステップＳ５８０からの概況情
報やステップＳ５６０からの感知関連ログの情報か
ら、複数の各検知装置１２０の検知負荷の状態や検
知情報などの統合監視を行う。
【００３０】
この発明の実施の形態２は、前述のような構成、機能を有し、前述のような動作を行う。
【００３１】
前述のように、この発明の実施の形態２では、前記管理装置１１０は、前記検知装置１２０から前記滞留開始の通知を受信すると当該検知装置１２０に前記概況情報の通知開始を要求し、当該検知装置１２０は、前記管理装置１１０からの前記概況情報の通知開始要求を受信すると、検知した前記不正アクセスの種類および前記不正アクセスの対象先の概況情報を、前記管理装置１１０へ通知する。従って、管理装置１１０と前記検知装置１２０との間のネットワーク負荷（管理通信負荷）を軽減できると共に管理装置１１０側において高負荷状態に陥った検知装置１２０での概況情報を把握できる。また、侵入検知システム１００の運用者が、高負荷状態の検知装置１２０については最低限の情報のみ収集しつつ、高負荷状態でない複数の検知装置１２０，１２０，・・・の検知関連ログ１２７を収集する。従って、複数の検知装置１２０，１２０，・・・を効率的に運用・監視することができるようになる。
【００３２】
実施の形態３．
以下、この発明の実施の形態３を図６および図７に基づいて説明する。図６は、この発明の実施の形態３による侵入検知監視システムおよび該システムにおける検知装置および管理装置の構成の事例を示すブロック図、図７は図６の動作フロ−の事例を示す図である。なお、図６において、前述の図２および図４と同一または相当部分には同一符号を付し、以下のこの発明の実施の形態３の説明においては、前述の実施の形態１及び２と異なる点を主体的に説明し、他の説明は割愛する。
【００３３】
前述のこの発明の実施の形態２では、高負荷状態に陥った検知装置１２０からの管理通信を、監視対象ネットワーク３２０のネットワーク負荷状況を考慮し、当該検知装置１２０が検知した不正アクセスの種類と、不正アクセスの対象先だけの概況情報の前記管理装置１１０への報告を実施できるようにすることに止めたが、この発明の実施の形態３では、図６に示すように、高負荷状態を脱した検知装置１２０に対し、管理装置１１０との管理通信の滞留を解除し、検知措置１２０から管理装置１１０へ概況情報の報告を中止するようにしてある。
【００３４】
前述のこの発明の実施の形態３による侵入検知監視システムの管理通信動作は、図７に示す動作フローチャートにおけるフロ−に従って行われ、管理通信の起動は、侵入検知監視システムの立ち上げ時や管理装置１１０の立ち上げ時等に行われる。図７における動作の各ステップは動作の順に付されたステップ番号Ｓ７１０〜Ｓ７Ｄ０に示してある通りであり、以下、侵入検知監視システムの管理通信動作をステップ番号順に説明する。
【００３５】
（１）ステップＳ７１０において、管理通信処理を起動する。
（２）ステップＳ７２０において、管理装置１１０から検知装置１２０へ検知関連ログ
の取得を要求する。
（３）ステップＳ７３０において、検知装置１２０が高負荷状態に陥ったか否かを判定
する。この判定は検知装置１２０からの滞留開始の
通知の有無によって行う。
検知装置１２０が高負荷状態に陥った場合は、ステ                                  ップＳ７４０へ、
検知装置１２０が高負荷状態にない（正常状態）場
合は、ステップＳ７６０へ遷移する。
（４）ステップＳ７４０において、検知装置１２０が高負荷状態にある場合は、検知装
置１２０が管理装置１１０への管理通信の滞留開始
を通知する。
（５）ステップＳ７５０において、検知装置１２０が高負荷状態にある場合は、検知装
置１２０から管理通信の滞留開始の通知を管理装置
１１０が受信する。以降、検知装置１２０が高負荷
状態を脱するまで滞留した管理通信情報を検知装置
１２０のデータベース１２５に蓄積する。
（６）ステップＳ７６０において、検知装置１２０が高負荷状態にない（正常状態）場
合は、管理装置１１０は、検知装置１２０から検知
関連ログを取得する。以降、ステップＳ７９０へ遷
移する。
（７）ステップＳ７７０において、管理装置１１０は、概況情報の報告を、高負荷状態
の検知装置１２０へ指示する。
（８）ステップＳ７８０において、管理装置１１０では、高負荷状態の検知装置１２０
から概況情報の報告を受信したか否かを判定する。
判定の結果、概況情報の報告を受信した場合は、ス
テップＳ７９０へ、
判定の結果、概況情報の報告を受信していない場合
は、ステップＳ７７０へ遷移する。
（９）ステップＳ７９０において、管理装置１１０は、ステップＳ７８０からの概況情
報やステップＳ７６０からの感知関連ログの情報か
ら、複数の各検知装置１２０の検知負荷の状態や検
知情報などの統合監視を行う。
（10）ステップＳ７Ａ０において、管理装置１１０は、高負荷状態の検知装置１２０が
まだ高負荷状態であるか否かを判定する。
高負荷状態の検知装置１２０がまだ高負荷状態にあ
る場合は、ステップＳ７９０へ、
高負荷状態の検知装置１２０が高負荷状態でなくな
った（正常状態）場合は、ステップＳ７Ｂ０へ遷移
する。
（11）ステップＳ７Ｂ０において、管理装置１１０は、高負荷状態であった検知装置１
２０から管理通信の滞留終了を受信する。
（12）ステップＳ７Ｃ０において、管理装置１１０は、概況情報の報告中止を、高負荷
状態であった検知装置１２０へ指示する。この指示
を受信した検知装置１２０は、管理装置１１０への
概況情報の報告を中止する。
（13）ステップＳ７Ｄ０において、管理装置１１０は、複数の各検知装置１２０の検知
負荷の状態や検知情報などの統合監視を行う。
【００３６】
この発明の実施の形態３は、前述のような構成、機能を有し、前述のような動作を行う。
【００３７】
前述のように、この発明の実施の形態３では、前記各検知装置１２０は、前記高負荷状態から脱した場合に、前記管理通信の滞留の終了を、前記管理装置１１０に通知し、前記管理装置１１０は、前記検知装置１２０から前記滞留終了の通知を受信すると前記検知装置１１０に前記概況情報の通知終了を要求し、前記検知装置１１０は、前記概況情報の通知終了要求を受信すると前記管理装置１１０への前記概況情報の通知を中止するようになされている。前記管理装置１１０は、監視対象ネットワーク３２０に設置された複数の検知装置１２０が高負荷状態でない場合（通常）は、検知関連ログの情報を得る。なお、アラート検知数が少ない等の重要性の低い検知装置１２０については、前記管理装置１１０で概況情報のみを得るようにしてもよく、その場合は、侵入検知監視システム１００の運用者は、更に効率的に複数の検知装置１２０を監視することが可能となる。
【００３８】
実施の形態４．
以下、この発明の実施の形態４を図８および図９に基づいて説明する。図８は、この発明の実施の形態４による侵入検知監視システムおよび該システムにおける検知装置および管理装置の構成の事例を示すブロック図、図９は図８の動作フロ−の事例を示す図である。なお、図８において、前述の図２、図４および図６と同一または相当部分には同一符号を付し、以下のこの発明の実施の形態４の説明においては、前述の実施の形態１、２及び３と異なる点を主体的に説明し、他の説明は割愛する。
【００３９】
前述のこの発明の実施の形態３では、高負荷状態を脱した検知装置１２０が、管理装置１１０との管理通信の滞留を解除することに止めたが、この発明の実施の形態４では、図８に示すように、検知装置１２０が高負荷状態を脱した後、管理装置１１０との管理通信の滞留を解除することにより、高負荷状態から脱した前記検知装置１２０が、前記管理装置１１０への前記管理通信の滞留期間中に前記データベース１２５に蓄積した前記検知関連ログ１２７の全てを前記管理装置１１０へ配信する。また、ネットワーク負荷が通常状態に戻った監視対象ネットワーク３２０下での前記検知装置１２０が管理装置１１０へ通知する検知関連ログ１２７を、管理装置１１０が取得し、デ−タベ−ス部１１４に保存する。
【００４０】
前述のこの発明の実施の形態４による侵入検知監視システムの管理通信動作は、図９に示す動作フローチャートにおけるフロ−に従って行われ、管理通信の起動は、侵入検知監視システムの立ち上げ時や管理装置１１０の立ち上げ時等に行われる。図９における動作の各ステップは動作の順に付されたステップ番号Ｓ９１０〜Ｓ９Ｅ０に示してある通りであり、以下、侵入検知監視システムの管理通信動作をステップ番号順に説明する。
【００４１】
（１）ステップＳ９１０において、管理通信処理を起動する。
（２）ステップＳ９２０において、管理装置１１０から検知装置１２０へ検知関連ログ
の取得を要求する。
（３）ステップＳ９３０において、検知装置１２０が高負荷状態に陥ったか否かを判定
する。この判定は検知装置１２０からの滞留開始の
通知の有無によって行う。
検知装置１２０が高負荷状態に陥った場合は、ステ                                  ップＳ９４０へ、
検知装置１２０が高負荷状態にない（正常状態）場
合は、ステップＳ９６０へ遷移する。
（４）ステップＳ９４０において、検知装置１２０が高負荷状態にある場合は、検知装
置１２０が管理装置１１０への管理通信の滞留開始
を通知する。
（５）ステップＳ９５０において、検知装置１２０が高負荷状態にある場合は、検知装
置１２０から管理通信の滞留開始の通知を管理装置
１１０が受信する。以降、検知装置１２０が高負荷
状態を脱するまで滞留した管理通信情報を検知装置
１２０のデータベース１２５に蓄積する。
（６）ステップＳ９６０において、検知装置１２０が高負荷状態にない（正常状態）場
合は、管理装置１１０は、検知装置１２０から検知
関連ログを取得する。以降、ステップＳ９９０へ遷
移する。
（７）ステップＳ９７０において、管理装置１１０は、概況情報の報告を、高負荷状態
の検知装置１２０へ指示する。
（８）ステップＳ９８０において、管理装置１１０では、高負荷状態の検知装置１２０
から概況情報の報告を受信したか否かを判定する。
判定の結果、概況情報の報告を受信した場合は、ス
テップＳ９９０へ、
判定の結果、概況情報の報告を受信していない場合
は、ステップＳ９７０へ遷移する。
（９）ステップＳ９９０において、管理装置１１０は、ステップＳ９８０からの概況情
報やステップＳ９６０からの感知関連ログの情報か
ら、複数の各検知装置１２０の検知負荷の状態や検
知情報などの統合監視を行う。
（10）ステップＳ９Ａ０において、管理装置１１０は、高負荷状態の検知装置１２０が
まだ高負荷状態であるか否かを判定する。
検知装置１２０がまだ高負荷状態にある場合は、ス
テップＳ９９０へ、
検知装置１２０が高負荷状態でなくなった（正常状
態）場合は、ステップＳ９Ｂ０へ遷移する。
（11）ステップＳ９Ｂ０において、高負荷状態の検知装置１２０が高負荷状態でなくな
った（正常状態）場合は、管理装置１１０は、概況
情報の報告中止を検知装置１２０へ指示する。この
指示を受信した検知装置１２０は、管理装置１１０
への概況情報の報告を中止する。
（12）ステップＳ９Ｃ０において、管理装置１１０は、人為的に要求操作されることに
より、高負荷状態にある検知装置１２０に滞留した
全ての検知関連ログ１２７の取得を、前記人為的要
求操作で指定された検知装置１２０に対して要求す
る。
（13）ステップＳ９Ｄ０において、管理装置１１０は、高負荷状態にあった検知装置１
２０の検知関連ログデ−タベ−ス部１２５に保存さ
れていた検知関連ログ１２７を全て取得する。
（14）ステップＳ９Ｅ０において、管理装置１１０は、複数の各検知装置１２０の検知
負荷の状態や検知情報などの統合監視を行う。
【００４２】
この発明の実施の形態４は、前述のような構成、機能を有し、前述のような動作を行う。
【００４３】
前述のように、この発明の実施の形態４では、高負荷状態から脱した前記検知装置１２０が、前記管理装置１１０への前記管理通信の滞留期間中に前記データベース１２５に蓄積した前記検知関連ログ１２７の全てを前記管理装置へ配信するようにしたので、監視対象ネットワーク３２０のネットワーク負荷の状態変化に対応しながら、侵入検知監視システム１００による監視状況の最終報告に向けた情報を、前記検知装置１２０から不足なく収集することができるようになる。
【００４４】
実施の形態５．
以下、この発明の実施の形態５を図１０および図１１に基づいて説明する。図１０は、この発明の実施の形態５による侵入検知監視システムおよび該システムにおける検知装置および管理装置の構成の事例を示すブロック図、図１１は図１０の動作フロ−の事例を示す図である。なお、図１０において、前述の図２、図４、図６および図８と同一または相当部分には同一符号を付し、以下のこの発明の実施の形態５の説明においては、前述の実施の形態１、２、３および４と異なる点を主体的に説明し、他の説明は割愛する。
【００４５】
前述のこの発明の実施の形態４では、高負荷状態を脱した検知装置１２０が、前記検知装置の検知関連ログデータベース部１２５に蓄積された検知関連ログ１２７を、管理装置１１０へ配信するに止めたが、この発明の実施の形態５では、図１０に示すように、滞留期間中に検知装置１２０の検知関連ログデータベース部１２５に蓄積された検知関連ログ１２７を、一つのアーカイブファイル１２９にまとめて、前記アーカイブファイル１２９を管理装置１１０へ配信する。
【００４６】
前述のこの発明の実施の形態５による侵入検知監視システムの管理通信動作は、図１１に示す動作フローチャートにおけるフロ−に従って行われ、管理通信の起動は、侵入検知監視システムの立ち上げ時や管理装置１１０の立ち上げ時等に行われる。図１１における動作の各ステップは動作の順に付されたステップ番号Ｓ１１１０〜Ｓ１１Ｆ０に示してある通りであり、以下、侵入検知監視システムの管理通信動作をステップ番号順に説明する。
【００４７】
（１）ステップＳ１１１０において、管理通信処理を起動する。
（２）ステップＳ１１２０において、管理装置１１０から検知装置１２０へ検知関連ロ                                    グの取得を要求する。
（３）ステップＳ１１３０において、検知装置１２０が高負荷状態に陥ったか否かを判
定する。この判定は検知装置１２０からの滞留開
始の通知の有無によって行う。
検知装置１２０が高負荷状態に陥った場合は、ス
テップＳ１１４０へ、
検知装置１２０が高負荷状態にない（正常状態）
場合は、ステップＳ１１６０へ遷移する。
（４）ステップＳ１１４０において、検知装置１２０が高負荷状態にある場合は、高負
荷状態の検知装置１２０から管理装置１１０へ管
理通信の滞留開始を通知する。
（５）ステップＳ１１５０において、検知装置１２０が高負荷状態にある場合は、高負
荷状態にある検知装置１２０から管理通信の滞留
開始の通知を管理装置１１０が受信する。以降、
検知装置１２０が高負荷状態を脱するまで滞留し
た管理通信情報を検知装置１２０のデータベース
１２５に蓄積する。
（６）ステップＳ１１６０において、検知装置１２０が高負荷状態にない（正常状態）
場合は、管理装置１１０は、検知装置１２０から
検知関連ログを取得する。以降、ステップＳ１１
９０へ遷移する。
（７）ステップＳ１１７０において、管理装置１１０は、概況情報の報告を、高負荷状
態の検知装置１２０へ指示する。
（８）ステップＳ１１８０において、管理装置１１０では、高負荷状態の検知装置１２
０から概況情報の報告を受信したか否かを判定す
る。
判定の結果、概況情報の報告を受信した場合は、
ステップＳ１１９０へ、
判定の結果、概況情報の報告を受信していない場
合は、ステップＳ１１７０へ遷移する。
（９）ステップＳ１１９０において、管理装置１１０は、ステップＳ１１８０からの概
況情報やステップＳ１１６０からの感知関連ログ
の情報から、複数の各検知装置１２０の検知負荷
の状態や検知情報などの統合監視を行う。
（10）ステップＳ１１Ａ０において、管理装置１１０は、高負荷状態の検知装置１２０
がまだ高負荷状態であるか否かを判定する。
検知装置１２０がまだ高負荷状態にある場合は、
ステップＳ１１９０へ、
検知装置１２０が高負荷状態でなくなった（正常
状態）場合は、ステップＳ１１Ｂ０へ遷移する。
（11）ステップＳ１１Ｂ０において、検知装置１２０が高負荷状態でなくなった（正常
状態）場合は、管理装置１１０は、概況情報の報
告中止を検知装置１２０へ指示する。この指示を
受信した検知装置１２０は、管理装置１１０への
概況情報の報告を中止する。
（12）ステップＳ１１Ｃ０において、管理装置１１０は、高負荷状態にある検知装置１
２０に滞留した全ての検知関連ログ１２７の取得
を検知装置１２０に要求する。
（13）ステップＳ１１Ｄ０において、高負荷状態であった検知装置１２０にて滞留して
いた全ての検知関連ログ１２７を、検知装置１２
０にてアーカイブし、該全ての検知関連ログ１２
７をアーカイブファイル１２９にまとめまとめて
管理装置１１０へ送信する。
（14）ステップＳ１１Ｅ０において、管理装置１１０は、高負荷状態であった検知装置
からアーカイブファイル１２９を受け取り、高負
荷状態であった検知装置１２０にて滞留していた
検知関連ログ１２７を全て取得する。
（15）ステップＳ１１Ｆ０において、管理装置１１０は、複数の各検知装置１２０の検
知負荷の状態や検知情報などの統合監視を行う。
【００４８】
この発明の実施の形態５は、前述のような構成、機能を有し、前述のような動作を行う。
【００４９】
前述のように、この発明の実施の形態５では、高負荷状態から脱した前記検知装置１２０が、前記管理装置１１０への前記管理通信の滞留期間中に前記データベースに蓄積した前記検知関連ログ１２７をアーカイブ方式でまとめて生成したファイル１２９を、前記管理装置１１０へ配信するようにしたので、侵入検知監視システムの運用者は、複数の検知装置１２０から収集される検知関連ログの管理が容易となり、各検知装置１２０，１２０と管理装置１１０との間のネットワーク負荷を軽減することができるようになる。
【００５０】
実施の形態６．
以下、この発明の実施の形態６を図１２および図１３に基づいて説明する。図１２は、この発明の実施の形態６による侵入検知監視システムおよび該システムにおける検知装置および管理装置の構成の事例を示すブロック図、図１３は図１２の動作フロ−の事例を示す図である。なお、図１２において、前述の図２、図４、図６、図８および図１０と同一または相当部分には同一符号を付し、以下のこの発明の実施の形態６の説明においては、前述の実施の形態１、２、３、４および５と異なる点を主体的に説明し、他の説明は割愛する。
【００５１】
前述のこの発明の実施の形態１〜５では、管理装置１１０と検知装置１２０との間の管理通信は、平文の通信の場合を例示してあるが、この発明の実施の形態６では、図１２に示すように、管理装置１１０と検知装置１２０に、それぞれ暗号化部１１６と暗号化部１２Ａを具備し、管理装置１１０と検知装置１２０との間の管理通信を秘匿する。
【００５２】
前述のこの発明の実施の形態６による侵入検知監視システムの管理通信動作は、図１３に示す動作フローチャートにおけるフロ−に従って行われ、管理通信の起動は、侵入検知監視システムの立ち上げ時や管理装置１１０の立ち上げ時等に行われる。図１３における動作の各ステップは動作の順に付されたステップ番号Ｓ１３１０〜Ｓ１３Ｆ０に示してある通りであり、以下、侵入検知監視システムの管理通信動作をステップ番号順に説明する
【００５３】
（１）ステップＳ１３１０において、管理通信処理を起動する。
（２）ステップＳ１３ＡＡにおいて、管理装置１１０で暗号化処理を行う。
（３）ステップＳ１３２０において、管理装置１１０から検知装置１２０へ検知関連ロ                                    グの取得を要求する。
（４）ステップＳ１３３０において、検知装置１２０が高負荷状態に陥ったか否かを判
定する。この判定は検知装置１２０からの滞留開
始の通知の有無によって行う。
検知装置１２０が高負荷状態に陥った場合は、ス
テップＳ１３４０へ、
検知装置１２０が高負荷状態にない（正常状態）
場合は、ステップＳ１３６０へ遷移する。
（５）ステップＳ１３４０において、検知装置１２０が高負荷状態にある場合は、検知
装置１２０が管理装置１１０への管理通信の滞留
開始の通知を暗号化処理して送信する。
（６）ステップＳ１３５０において、検知装置１２０が高負荷状態にある場合は、検知
装置１２０から管理通信の滞留開始の通知を複合
化処理（ステップＳ１３ＦＡ）して管理装置１１
０が受信する。以降、検知装置１２０が高負荷状
態を脱するまで滞留した管理通信情報を検知装置
１２０のデータベース１２５に蓄積する。
（７）ステップＳ１３６０において、検知装置１２０が高負荷状態にない（正常状態）
場合は、管理装置１１０は、検知装置１２０から
検知関連ログを取得する。以降、復号処理（ステ
ップＳ１３ＦＢ）の上、ステップＳ１３９０へ遷
移する。
（８）ステップＳ１３７０において、管理装置１１０は、暗号化処理（ステップＳ１３
ＡＢ）実施の上、概況情報の報告を、検知装置１
２０へ指示する。
（９）ステップＳ１３８０において、管理装置１１０では、高負荷状態の検知装置１２
０から概況情報の報告を受信したか否かを判定す
る。
判定の結果、概況情報の報告を受信した場合は、
ステップＳ１３９０へ、
判定の結果、概況情報の報告を受信していない場
合は、ステップＳ１３７０へ遷移する。
（10）ステップＳ１３９０において、管理装置１１０は、復号処理（ステップＳ１３Ｆ
Ｃ）を実施して、ステップＳ１３８０からの概況
情報やステップＳ１３６０からの感知関連ログの
情報から、複数の各検知装置１２０の検知負荷の
状態や検知情報などの統合監視を行う。
（11）ステップＳ１３Ａ０において、管理装置１１０は、高負荷状態の検知装置１２０
がまだ高負荷状態であるか否かを判定する。
高負荷状態の検知装置１２０がまだ高負荷状態に
ある場合は、ステップＳ１３９０へ、
高負荷状態の検知装置１２０が高負荷状態でなく
なった（正常状態）場合は、ステップＳ１３Ｂ０
へ遷移する。
（12）ステップＳ１３Ｂ０において、高負荷状態の検知装置１２０が高負荷状態でなく
なった（正常状態）場合は、管理装置１１０は、
暗号化処理（ステップＳ１３ＡＣ）を実施の上、
概況情報の報告中止を検知装置１２０へ指示す                                      る。
この指示を受信した検知装置１２０は、管理装置
１１０への概況情報の報告を中止する。
（13）ステップＳ１３Ｃ０において、管理装置１１０は、暗号化処理（ステップＳ１３
ＡＤ）実施の上、高負荷状態にある検知装置１２
０に滞留した全ての検知関連ログ１２７の取得を
検知装置１２０に要求する。
（14）ステップＳ１３Ｄ０において、高負荷状態であった検知装置１２０にて滞留して
いた全ての検知関連ログ１２７を、検知装置１２
０にてアーカイブし、該全ての検知関連ログ１２
７をアーカイブファイル１２９にまとめて管理装
置１１０へ送信する。
（15）ステップＳ１３Ｅ０において、管理装置１１０は、高負荷状態であった検知装置
１２０からアーカイブファイル１２９を受け取                                      り、
高負荷状態であった検知装置１２０にて滞留して
いた検知関連ログ１２７を全て取得する。
（16）ステップＳ１３Ｆ０において、管理装置１１０は、復号処理（ステップＳ１３Ｆ
Ｅ）を実施して、複数の各検知装置１２０の検知
負荷の状態や検知情報などの統合監視を行う。
【００５４】
この発明の実施の形態６は、前述のような構成、機能を有し、前述のような動作を行う。
【００５５】
前述のように、この発明の実施の形態６では、前記検知装置１２０および前記管理装置１１０が、それぞれ相互間の通信内容を秘匿する暗号化部１１６、１２Ａを具備しているので、管理装置１２０と検知装置１１０との間で送受信される通信内容の漏洩を防止することが可能となり、よりセキュアな環境を保持することができるようになる。
【図面の簡単な説明】
【００５６】
【図１】この発明の実施の形態１を示す図で、侵入検知監視システムの構成の事例を示すブロック図である。
【図２】この発明の実施の形態１を示す図で、図１における検知装置および管理装置の内部構成の事例を主として示すブロック図である。
【図３】この発明の実施の形態１を示す図で、図１および図２の動作フロ−の事例を示す図である。
【図４】この発明の実施の形態２を示す図で、侵入検知監視システムおよび該システムにおける検知装置および管理装置の構成の事例を示すブロック図である。
【図５】この発明の実施の形態２を示す図で、図４の動作フロ−の事例を示す図である。
【図６】この発明の実施の形態３を示す図で、侵入検知監視システムおよび該システムにおける検知装置および管理装置の構成の事例を示すブロック図である。
【図７】この発明の実施の形態３を示す図で、図６の動作フロ−の事例を示す図である。
【図８】この発明の実施の形態４を示す図で、侵入検知監視システムおよび該システムにおける検知装置および管理装置の構成の事例を示すブロック図である。
【図９】この発明の実施の形態１を示す図で、図８の動作フロ−の事例を示す図である。
【図１０】この発明の実施の形態５を示す図で、侵入検知監視システムおよび該システムにおける検知装置および管理装置の構成の事例を示すブロック図である。
【図１１】この発明の実施の形態５を示す図で、図１０の動作フロ−の事例を示す図ある。
【図１２】この発明の実施の形態６を示す図で、侵入検知監視システムおよび該システムにおける検知装置および管理装置の構成の事例を示すブロック図である。
【図１３】この発明の実施の形態６を示す図で、図１２の動作フロ−の事例を示す図ある。
【符号の説明】
【００５７】
１００    侵入検知システム、
１１０    管理装置、
１１１    管理通信部、
１１２    管理部、
１１３    監視部、
１１４    データベース部、
１１５    データ出力部、
１１６    暗号化部、
１２０    検知装置、
１２１    管理通信部、
１２２    シグニチャデータベース部、
１２３    検出部、
１２４    検知関連ログ生成部、
１２５    検知関連ログデータベース部、
１２６    シグニチャ情報、
１２７    検知関連ログ、
１２８    概況情報、
１２９    アーカイブファイル、
１２Ａ    暗号化部、
１３０    ＧＵＩ表示装置、
２００    ファイアウォール、
３１０    外部ネットワーク、
３２０    監視対象ネットワーク。
【図１】
2006173781.tif 000003
【図２】
2006173781.tif 000004
【図３】
2006173781.tif 000005
【図４】
2006173781.tif 000006
【図５】
2006173781.tif 000007
【図６】
2006173781.tif 000008
【図７】
2006173781.tif 000009
【図８】
2006173781.tif 000010
【図９】
2006173781.tif 000011
【図１０】
2006173781.tif 000012
【図１１】
2006173781.tif 000013
【図１２】
2006173781.tif 000014
【図１３】
2006173781.tif 000015