(57)【要約】【課題】アクセス元からのアクセスの中に不正なアクセスが混在している場合にも、アクセス元の正当性を高精度に推定する。【解決手段】複数の公開サーバ１２によって形成される監視対象のネットワークに複数のダミーサーバ１４が設置されている。ネットワーク監視装置２４の集計部２８は、複数のダミーサーバ１４の各々に対するアクセスの履歴に含まれる、個々のダミーサーバ１４にアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセス元毎に、アクセスしたダミーサーバの数及び属性情報の種類数を集計する。不正アクセス元推定部３４は、アクセス元毎に集計したダミーサーバ１４の数及び属性情報の種類数に基づいて、個々のアクセス元の正当性を推定する。【選択図】図１
2018073140.tif 000002
【特許請求の範囲】
【請求項１】
監視対象のネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、個々の前記ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセス元毎に、アクセスした前記ダミーサーバの数及び前記属性情報の種類数を集計する集計部と、
前記集計部によってアクセス元毎に集計された前記ダミーサーバの数及び前記属性情報の種類数に基づいて、個々のアクセス元の正当性を推定する推定部と、
を含むネットワーク監視装置。
【請求項２】
前記属性情報は、前記ダミーサーバへのアクセスに利用されたアプリケーションの識別情報を含み、
前記集計部は、前記属性情報の種類数として前記アプリケーションの種類数を集計する請求項１記載のネットワーク監視装置。
【請求項３】
ネットワークへの攻撃に使用される特定アプリケーションの識別情報を記憶する記憶部を更に備え、
前記推定部は、前記記憶部に識別情報が記憶された前記特定アプリケーションを利用したアクセスが有ったアクセス元に対し、前記特定アプリケーションを利用したアクセスが無いアクセス元よりも、正当性を有すると推定する確率が低下するように、前記正当性の推定を行う請求項２記載のネットワーク監視装置。
【請求項４】
前記属性情報は、前記ダミーサーバへのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの情報を含み、
前記集計部は、前記属性情報の種類数として鍵交換アルゴリズムの種類数を集計する請求項１記載のネットワーク監視装置。
【請求項５】
前記推定部は、個々のアクセス元毎に、前記ダミーサーバの数と第１閾値との大小関係及び前記属性情報の種類数と第２閾値との大小関係を判定するか、又は、前記ダミーサーバの数の平均値との乖離度合い及び前記属性情報の種類数の平均値との乖離度合いを判定することで、個々のアクセス元の正当性を推定する請求項１〜請求項４の何れか１項記載のネットワーク監視装置。
【請求項６】
前記推定部によって正当性を有しないと推定されたアクセス元から監視対象のネットワークに含まれるサーバへのアクセスを遮断するアクセス遮断部を更に含む請求項１〜請求項５の何れか１項記載のネットワーク監視装置。
【請求項７】
ネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセスしたダミーサーバの数及び属性情報の種類数をアクセス元毎に集計し、
集計したアクセス元毎のダミーサーバの数及び属性情報の種類数に基づいてアクセス元の正当性を推定する
処理をコンピュータに実行させるためのネットワーク監視プログラム。
【請求項８】
ネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセスしたダミーサーバの数及び属性情報の種類数をアクセス元毎に集計し、
集計したアクセス元毎のダミーサーバの数及び属性情報の種類数に基づいてアクセス元の正当性を推定する
処理をコンピュータが実行するネットワーク監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はネットワーク監視装置、ネットワーク監視プログラム及びネットワーク監視方法に関する。
【背景技術】
【０００２】
ダミーサーバを用い、マルウェア実行端末、ダミーサーバ及びログ解析端末を備えた隔離環境でマルウェアの動作を解析する第１の技術が提案されている。第１の技術は、マルウェア実行端末上でマルウェアを実行させ、マルウェアによりＡＰＩ呼び出しがなされたとき、実際の関数ではなく、マルウェア実行端末がログ収集のために用意した関数を呼び出すように仕向けることでＡＰＩ呼び出しログを収集する。また、第１の技術は、マルウェアがサーバへのアクセスを要求したとき、そのリクエストを実際のサーバへではなく、ダミーサーバへ送信することでサーバアクセスログを収集する。そして、第１の技術は、収集したログをログ解析端末へ送信し、ログ定義ファイルを参照して必要なログのみを取り出し、ビヘイビア定義ファイルを参照してビヘイビアを抽出する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００７−３３４５３６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
サーバの運営では、一般に、攻撃意図を持った不正なアクセスを監視し、不正なアクセスを行ったアクセス元をブラックリストに登録し、ブラックリストに登録されている不正なアクセス元からサーバへのアクセスを遮断することが行われる。但し、クライアントからサーバへのアクセスには、クライアントからサーバへ直接アクセスする以外に、クライアントからプロキシサーバ(代理サーバ)を経由してサーバへアクセスする方法がある。プロキシサーバを経由したアクセスでは、複数のクライアントから１台のプロキシサーバを経由してサーバにアクセスしていたとしても、サーバ側からは、１台のプロキシサーバが複数のクライアントからの全てのアクセスのアクセス元に見える。
【０００５】
また、プロキシサーバには、攻撃意図を持たない正規のクライアントが利用する正規のプロキシサーバと、攻撃意図を持ったアクセスを行う不正なクライアントが利用する不正なプロキシサーバと、が混在している。正規のプロキシサーバは、例えば、企業等の組織に設置され、組織内の正規のクライアントから組織外のネットワークへのアクセスを制御する。一方、不正なプロキシサーバは、攻撃意図を持ったアクセスを行う不正なクライアントが、サーバ側から本来のアクセス元を隠蔽する目的で用いられている。
【０００６】
しかし、正規のプロキシサーバを経由して不正なアクセスが発生することもある。例えば、組織内のクライアントがマルウェア等に感染すると、当該クライアントが不正なアクセスを行うクライアントとして動作することで、正規のプロキシサーバを経由して不正なアクセスが発生する可能性がある。この場合、正規のプロキシサーバが不正なアクセス元と認定されてブラックリストに登録されることで、正規のプロキシサーバの配下の正規のクライアントからのアクセスが遮断されてしまうことになる。
【０００７】
これに対して第１の技術は、隔離環境でマルウェアの動作を解析する技術であり、プロキシサーバからのアクセスの中に不正なアクセスが混在している場合に、アクセス元の正当性を推定できるものではない。
【０００８】
一つの側面では、本発明は、アクセス元からのアクセスの中に不正なアクセスが混在している場合にも、アクセス元の正当性を推定することが目的である。
【課題を解決するための手段】
【０００９】
一つの実施態様では、監視対象のネットワークに複数のダミーサーバが設置される。また、複数のダミーサーバの各々に対するアクセスの履歴に含まれる、個々のダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセス元毎に、アクセスしたダミーサーバの数及び属性情報の種類数を集計する。そして、アクセス元毎に集計したダミーサーバの数及び属性情報の種類数に基づいて、個々のアクセス元の正当性を推定する。
【発明の効果】
【００１０】
一つの側面として、アクセス元からのアクセスの中に不正なアクセスが混在している場合にも、アクセス元の正当性を推定することができる、という効果を有する。
【図面の簡単な説明】
【００１１】
【図１】ネットワーク監視装置及びサーバ群の機能ブロック図である。
【図２】ネットワーク監視装置として機能する第１コンピュータ及びダミーサーバとして機能する第２コンピュータの概略ブロック図である。
【図３】ダミーサーバによって実行される通信履歴記録処理の一例のフローチャートである。
【図４】サーバとクライアントとの間の通信シーケンスの一例を示すタイミングチャートである。
【図５】個々のダミーサーバに記録される通信履歴情報の一例を示す図表である。
【図６】ネットワーク監視装置によって実行されるネットワーク監視処理の一例のフローチャートである。
【図７】ダミーサーバからの通信履歴情報の収集結果の一例を示す図表である。
【図８】テーブルに登録される集計結果情報の一例を示す図表である。
【図９】第１実施形態に係る不正アクセス元推定処理の一例のフローチャートである。
【図１０】ブラックリストの一例を示す図表である。
【図１１】第２実施形態に係る不正アクセス元推定処理の一例のフローチャートである。
【図１２】重大アプリケーションリストの一例を示す図表である。
【図１３】第３実施形態に係る不正アクセス元推定処理の一例のフローチャートである。
【発明を実施するための形態】
【００１２】
以下、図面を参照して開示の技術の実施形態の一例を詳細に説明する。
【００１３】
〔第１実施形態〕
図１に示すサーバ群１０は、複数の公開サーバ１２及び複数のダミーサーバ１４を含んでいる。サーバ群１０に含まれる複数の公開サーバ１２は、ネットワーク監視装置２４の通信監視部３８を経由してインターネット２０に接続されており、所定のＩＰアドレスの範囲内でかつ互いに異なるＩＰアドレスが各々割り当てられている。個々の公開サーバ１２は、インターネット２０を経由して自サーバにアクセスしてきた任意のアクセス元(図示省略)に対し、例えばウェブページの配信などの所定のサービスを提供する。なお、複数の公開サーバ１２によって形成されるネットワークは、本発明における監視対象のネットワークの一例である。
【００１４】
また、サーバ群１０に含まれる複数のダミーサーバ１４は、ネットワーク監視装置２４の通信監視部３８を経由することなくインターネット２０に接続されている。複数のダミーサーバ１４は、前記所定のＩＰアドレスの範囲内でかつ互いに異なるＩＰアドレス(複数の公開サーバ１２とも異なるＩＰアドレス)が各々割り当てられている。従って、複数のダミーサーバ１４は、複数の公開サーバ１２によって形成される監視対象のネットワークに各々設置されている。また、複数のダミーサーバ１４は、ネットワーク監視装置２４と共にネットワーク監視システムを形成している。
【００１５】
また、複数のダミーサーバ１４は、通信履歴記録部１６を含み、通信履歴記憶領域１８が設けられている。個々のダミーサーバ１４の通信履歴記録部１６は、任意のアクセス元からインターネット２０を経由して自サーバがアクセスされる度に、通信履歴記憶領域１８に通信履歴情報を記録する。通信履歴情報には、アクセス時刻、アクセス元の識別情報及びアクセス元の属性情報が含まれる。アクセス元の識別情報の一例はアクセス元のＩＰアドレスである。アクセス元の属性情報の一例は、ダミーサーバ１４へのアクセスに利用されたアプリケーションの識別情報と、ダミーサーバ１４へのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの情報である。
【００１６】
ネットワーク監視装置２４は、通信履歴収集部２６、集計部２８、不正アクセス元推定部３４、ブラックリスト登録部３６及び通信監視部３８を含み、集計部２８はダミーサーバ数集計部３０及び属性情報種類数集計部３２を含んでいる。また、通信監視部３８はブラックリスト記憶部４０及び通信遮断部４２を含んでいる。なお、集計部２８が、集計部の一例であり、不正アクセス元推定部３４が、推定部の一例である。
【００１７】
通信履歴収集部２６は、複数のダミーサーバ１４に各々接続されており、個々のダミーサーバ１４の通信履歴記憶領域１８に記録されている通信履歴情報を、個々のダミーサーバ１４から各々収集する。
【００１８】
集計部２８のダミーサーバ数集計部３０及び属性情報種類数集計部３２は、通信履歴収集部２６に各々接続されている。ダミーサーバ数集計部３０は、通信履歴収集部２６によって収集された通信履歴情報から、個々のアクセス元がアクセスしたダミーサーバ１４の数を個々のアクセス元毎に集計する。属性情報種類数集計部３２は、通信履歴収集部２６によって収集された通信履歴情報から、個々のアクセス元毎に属性情報の種類数を集計する。属性情報の種類数の一例は、ダミーサーバ１４へのアクセスに利用されたアプリケーションの種類数と、ダミーサーバ１４へのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの種類数である。
【００１９】
不正アクセス元推定部３４は、集計部２８のダミーサーバ数集計部３０及び属性情報種類数集計部３２に各々接続されている。不正アクセス元推定部３４は、ダミーサーバ数集計部３０によって集計されたダミーサーバ１４の数及び属性情報種類数集計部３２によって集計された属性情報の種類数に基づいて、個々のアクセス元の正当性、すなわち不正アクセス元でないか否かを推定する。
【００２０】
ブラックリスト登録部３６は、不正アクセス元推定部３４及び通信監視部３８のブラックリスト記憶部４０に各々接続されている。ブラックリスト登録部３６は、不正アクセス元推定部３４によって正当性が無いと推定されたアクセス元、すなわち不正アクセス元の情報を、ブラックリスト記憶部４０に記憶されたブラックリストに追加登録する。
【００２１】
通信遮断部４２は、ブラックリスト記憶部４０に接続されている。通信遮断部４２は、インターネット２０を経由して公開サーバ１２にアクセスしてきたアクセス元が、ブラックリスト記憶部４０に記憶されたブラックリストに情報が登録されたアクセス元か否かを推定する。そして、通信遮断部４２は、ブラックリストに情報が登録されたアクセス元から公開サーバ１２へのアクセスを遮断する。なお、通信遮断部４２は、本発明におけるアクセス遮断部の一例である。
【００２２】
ネットワーク監視装置２４のうち、通信監視部３８以外の部分は、図２に示す第１コンピュータ５０で実現することができる。第１コンピュータ５０はＣＰＵ５２、一時記憶領域としてのメモリ５４及び不揮発性の記憶部５６、キーボード等の入力部５８、ディスプレイ等の表示部６０及び通信部６２を含む。ＣＰＵ５２、メモリ５４、記憶部５６、入力部５８、表示部６０及び通信部６２は、バス６４を介して互いに接続されている。また通信部６２は、通信監視部３８、インターネット２０及びダミーサーバ１４として各々機能する複数の第２コンピュータ８０と通信線を介して接続されている。
【００２３】
記憶部５６はＨＤＤ(Hard Disk Drive)、ＳＳＤ(Solid State Drive)、フラッシュメモリ等によって実現される。記憶部５６には、第１コンピュータ５０をネットワーク監視装置２４のうちの通信監視部３８以外の部分として機能させるためのネットワーク監視プログラム６６が記憶されている。ＣＰＵ５２は、ネットワーク監視プログラム６６を記憶部５６から読み出してメモリ５４に展開し、ネットワーク監視プログラム６６が有するプロセスを順次実行する。
【００２４】
ネットワーク監視プログラム６６は、通信履歴収集プロセス６８、集計プロセス７０、不正アクセス元推定プロセス７２及びブラックリスト登録プロセス７４を含む。ＣＰＵ５２は、通信履歴収集プロセス６８を実行することで、図１に示す通信履歴収集部２６として動作する。またＣＰＵ５２は、集計プロセス７０を実行することで、図１に示す集計部２８として動作する。またＣＰＵ５２は、不正アクセス元推定プロセス７２を実行することで、図１に示す不正アクセス元推定部３４として動作する。またＣＰＵ５２は、ブラックリスト登録プロセス７４を実行することで、図１に示すブラックリスト登録部３６として動作する。これにより、ネットワーク監視プログラム６６を実行した第１コンピュータ５０が、ネットワーク監視装置２４のうちの通信監視部３８以外の部分として機能し、第１コンピュータ５０及び通信監視部３８によってネットワーク監視装置２４が実現されることになる。
【００２５】
また、ダミーサーバ１４は図２に示す第２コンピュータ８０で実現することができる。第２コンピュータ８０はＣＰＵ８２、一時記憶領域としてのメモリ８４及び不揮発性の記憶部８６、キーボード等の入力部８８、ディスプレイ等の表示部９０及び通信部９２を含む。ＣＰＵ８２、メモリ８４、記憶部８６、入力部８８、表示部９０及び通信部９２は、バス９４を介して互いに接続されている。また、通信部９２は通信監視部３８、インターネット２０及び第１コンピュータ５０と通信線を介して接続されている。
【００２６】
記憶部８６はＨＤＤ、ＳＳＤ、フラッシュメモリ等によって実現される。記憶部８６には、第２コンピュータ８０を図１に示す通信履歴記録部１６として機能させるための通信履歴記録プログラム９６が記憶されており、通信履歴記憶領域１８が設けられている。ＣＰＵ８２は、通信履歴記録プログラム９６を記憶部８６から読み出してメモリ８４に展開し、通信履歴記録プログラム９６を順次実行する。これにより、通信履歴記録プログラム９６を実行した第２コンピュータ８０がダミーサーバ１４として機能することになる。
【００２７】
次に第１実施形態の作用を説明する。ダミーサーバ１４は、公開サーバ１２とは異なり、存在を公開していないサーバである。このため、複数の公開サーバ１２を含むネットワークが提供するサービスを利用する正規のクライアントであれば、ダミーサーバ１４へのアクセスは発生しない。
【００２８】
一方、攻撃意図を持った不正なクライアントは、例えば、ネットワーク内から攻撃の足掛かりになりそうなサーバを探し出すこと等を目的として、ネットワークのＩＰアドレスの範囲内の任意のＩＰアドレスに不正にアクセスすることを繰り返すことがある。この不正アクセスにおけるアクセス対象のＩＰアドレスは、ネットワークのＩＰアドレスの範囲内からランダムに選択される場合も、ＩＰアドレスの範囲内の先頭から順に選択される場合もある。このような不正アクセスが行われると、ダミーサーバ１４へもアクセスが発生する。
【００２９】
ダミーサーバ１４は、任意のアクセス元からインターネット２０を経由して自サーバがアクセスされる度に、通信履歴記録部１６が図３に示す通信履歴記録処理を行う。通信履歴記録処理のステップ１５０において、通信履歴記録部１６は、アクセス元から自サーバへの今回のアクセスにおけるアクセス時刻及びアクセス元のＩＰアドレスを通信履歴記憶領域１８に記録する。
【００３０】
次のステップ１５２において、通信履歴記録部１６は、アクセス元から自サーバへの今回のアクセスに利用されたアプリケーションの識別情報を取得し、取得したアプリケーションの識別情報を通信履歴記憶領域１８に記録する。
【００３１】
一例として、図４にはSecure Shell(SSH)のプロトコルに準拠した通信を行う場合のクライアントとサーバとの間の通信シーケンスを示す。この通信シーケンスでは、クライアントから送信されたACKnowledgement(ACK)がサーバで受信されると、Protocol Version Exchangeフェーズへ遷移し、クライアントとサーバとの間でProtocol Version Exchangeが交換される。このとき、クライアントからサーバへ送信されるProtocol Version Exchangeには、プロトコルのバージョン及びアプリケーションのバージョンを表す文字列が含まれている。このため、例えば図４に示す通信シーケンスにおいて、通信履歴記録部１６は、アクセス元から受信したProtocol Version Exchangeに含まれる上記の文字列を抽出することで、アプリケーションの識別情報を取得することができる。なお、ダミーサーバ１４とアクセス元との間の通信のプロトコルは上記のSSHに限られるものではない。
【００３２】
また、ステップ１５４において、通信履歴記録部１６は、アクセス元の鍵交換アルゴリズムの情報を取得し、取得した鍵交換アルゴリズムの情報を通信履歴記憶領域１８に記録する。一例として、図４に示す通信シーケンスでは、上述したProtocol Version Exchangeフェーズの後、Key Exchange Initフェーズへ遷移し、クライアントとサーバとの間でKey Exchange Initが交換される。このとき、クライアントからサーバへ送信されるKey Exchange Initには、クライアントがサポートする全ての鍵交換アルゴリズムの情報が含まれている。このため、例えば図４に示す通信シーケンスにおいて、通信履歴記録部１６は、アクセス元から受信したKey Exchange Initに含まれる上記の鍵交換アルゴリズムの情報を抽出することで、鍵交換アルゴリズムの情報を取得することができる。ステップ１５４で鍵交換アルゴリズムの情報を通信履歴記憶領域１８に記録すると、通信履歴記録処理を終了する。
【００３３】
監視対象のネットワークに設置された複数のダミーサーバ１４は、任意のアクセス元からインターネット２０を経由して自サーバがアクセスされる度に、上記の通信履歴記録処理を行う。これにより、個々のダミーサーバ１４の通信履歴記憶領域１８には、一例として図５に示す通信履歴情報１００Ａ,１００Ｂ,１００Ｃのように、互いに異なる通信履歴情報が各々記憶されることになる。
【００３４】
次に図６を参照し、ネットワーク監視装置２４で定期的に実行されるネットワーク監視処理を説明する。なお、ネットワーク監視処理の実行時間間隔は、例えば、監視対象のネットワークの規模、設置したダミーサーバ１４の数、監視対象のネットワークに設定されたセキュリティのレベルなどに応じて予め設定してもよい。また、ダミーサーバ１４へのアクセス数(アクセスの頻度)の変化に応じて、ネットワーク監視処理の実行時間間隔を変化させてもよい。
【００３５】
ネットワーク監視処理のステップ１６０において、通信履歴収集部２６は、個々のダミーサーバ１４を識別するための変数ｉに１を設定する。ステップ１６２において、通信履歴収集部２６は、ｉ番目のダミーサーバ１４から、通信履歴記憶領域１８に記録された通信履歴情報のうち、アクセス時刻が所定の時刻範囲内の通信履歴情報を収集する。なお、所定の時刻範囲としては、例えば、ネットワーク監視処理を前回実行した時刻から現時刻までの範囲を適用することができる。
【００３６】
ステップ１６４において、通信履歴収集部２６は、ステップ１６２で収集した通信履歴情報にｉ番目のダミーサーバ１４の識別情報を付加し、ダミーサーバ１４の識別情報を付加した通信履歴情報を収集結果テーブルに記憶させる。次のステップ１６６において、通信履歴収集部２６は、変数ｉの値がダミーサーバ１４の総数に達したか否か判定する。ステップ１６６の判定が否定された場合はステップ１６８へ移行し、ステップ１６８において、通信履歴収集部２６は、変数ｉを１だけインクリメントしてステップ１６２に戻る。
【００３７】
これにより、ステップ１６６の判定が肯定される迄、ステップ１６２〜１６８が繰り返され、個々のダミーサーバ１４から通信履歴情報が順次収集されて、収集結果テーブルに各々記憶される。そして、全てのダミーサーバ１４から通信履歴情報を各々収集し、ステップ１６６の判定が肯定される時点では、一例として図７に示すような通信履歴情報の収集結果１０２が収集結果テーブルに記憶される。
【００３８】
ステップ１６６の判定が肯定された場合はステップ１７０へ移行し、ステップ１７０において、集計部２８は、収集結果テーブルに記憶された通信履歴情報の収集結果の中に、次のステップ１７２以降の処理を未実行のＩＰアドレスが存在しているか否か判定する。ステップ１７０の判定が肯定された場合はステップ１７２へ移行する。ステップ１７２において、集計部２８は、収集結果テーブルに記憶された通信履歴情報の収集結果から、ステップ１７２以降の処理を未実行の１つのＩＰアドレスを、処理対象のＩＰアドレスとして取り出す。
【００３９】
次のステップ１７４において、集計部２８は、処理対象のＩＰアドレスをキーにして収集結果テーブルに記憶された通信履歴情報の収集結果を検索する。そして集計部２８は、通信履歴情報の収集結果で処理対象のＩＰアドレスと対応付けられているダミーサーバ１４の識別情報、アプリケーションの識別情報及び鍵交換アルゴリズムの情報を全て抽出する。
【００４０】
ステップ１７６において、集計部２８のダミーサーバ数集計部３０は、ステップ１７４で抽出したダミーサーバ１４の識別情報の種類数を計数することで、処理対象のＩＰアドレスのアクセス元からアクセスが有ったダミーサーバ１４の数を集計する。そして、ダミーサーバ数集計部３０は、集計したダミーサーバ１４の数を、処理対象のＩＰアドレスと対応付けて集計結果テーブルに記録する。
【００４１】
次のステップ１７８において、集計部２８の属性情報種類数集計部３２は、ステップ１７４で抽出したアプリケーションの識別情報の種類数を集計する。この集計の結果は、処理対象のＩＰアドレスのアクセス元からダミーサーバ１４へのアクセスに利用されたアプリケーションの種類数を表している。属性情報種類数集計部３２は、集計したアプリケーションの種類数を、処理対象のＩＰアドレスと対応付けて集計結果テーブルに記録する。また、属性情報種類数集計部３２は、ステップ１７４で抽出したアプリケーションの識別情報も、処理対象のＩＰアドレスと対応付けアプリケションリストとして集計結果テーブルに記録する。
【００４２】
また、ステップ１８０において、集計部２８の属性情報種類数集計部３２は、ステップ１７４で抽出した鍵交換アルゴリズムの情報の種類数を集計する。この集計の結果は、処理対象のＩＰアドレスのアクセス元からダミーサーバ１４へのアクセスでアクセス元から通知された鍵交換アルゴリズムの種類数を表している。属性情報種類数集計部３２は、集計した鍵交換アルゴリズムの種類数を、処理対象のＩＰアドレスと対応付けて集計結果テーブルに記録する。
【００４３】
ステップ１８０の処理を完了するとステップ１７０に戻り、ステップ１７０の判定が否定される迄、ステップ１７０〜１８０を繰り返す。これにより、ダミーサーバ１４へのアクセスを行った個々のアクセス元に対してステップ１７２〜１８０の処理が各々行われ、集計結果テーブルには、一例として図８に示すような集計結果情報１０４が記憶される。
【００４４】
ダミーサーバ１４へのアクセスを行った全てのアクセス元に対してステップ１７２〜１８０の処理を完了すると、ステップ１７０の判定が否定されることでステップ１８２へ移行する。ステップ１８２において、不正アクセス元推定部３４は、不正アクセス元推定処理を行う。この不正アクセス元推定処理について、図９を参照して説明する。
【００４５】
不正アクセス元推定処理のステップ１９０において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報の中に、次のステップ１９２以降の処理を未実行のＩＰアドレスが存在しているか否か判定する。ステップ１９０の判定が肯定された場合はステップ１９２へ移行する。ステップ１９２において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報から、ステップ１９２以降の処理を未実行の１つのＩＰアドレスを、処理対象のＩＰアドレスとして選択する。
【００４６】
ステップ１９４において、不正アクセス元推定部３４は、ステップ１９２で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されているダミーサーバ１４の数を読み出し、読み出したダミーサーバ１４の数が１を超えているか否か判定する。
【００４７】
アクセスしたダミーサーバ１４の数が０の場合、処理対象のＩＰアドレスのアクセス元は、ダミーサーバ１４へのアクセスを行っていないので、正規クライアントか、又は、不正クライアントが配下に存在しないプロキシサーバである可能性が高い。
【００４８】
一方、アクセスしたダミーサーバ１４の数が１の場合、処理対象のＩＰアドレスのアクセス元は、ダミーサーバ１４への不正アクセスを行っているので、不正クライアントか、又は、不正クライアントが配下に存在するプロキシサーバである可能性が有る。但し、アクセスしたダミーサーバ１４の数が１であれば、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模は小さく、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に存在する不正なプロキシサーバである可能性は低い。このため、ステップ１９４の判定が否定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が低いと推定し、ステップ１９０に戻る。
【００４９】
また、ステップ１９４の判定が否定された場合はステップ１９６へ移行する。ステップ１９６において、不正アクセス元推定部３４は、処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されているアプリケーションの種類数を読み出し、読み出したアプリケーションの種類数が１を超えているか否か判定する。なお、処理対象のＩＰアドレスのアクセス元は、ダミーサーバ１４への不正アクセスを行っているので、読み出したアプリケーションの種類数は１以上の値になる。
【００５０】
ここで、処理対象のＩＰアドレスのアクセス元からダミーサーバ１４へのアクセスに利用されたアプリケーションの種類数が１の場合、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模は小さい。このため、アクセス元が、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性は低い。このため、ステップ１９６の判定が否定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が低いと推定し、ステップ１９０に戻る。
【００５１】
一方、ステップ１９４,１９６の判定が各々肯定された場合は、複数のダミーサーバ１４に、複数種のアプリケーションを利用してアクセスしているので、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模が小さいとは言えない。すなわち、アプリケーションの識別情報は、プロトコルのバージョン及びアプリケーションのバージョンを表す文字列が含まれているので、クライアント毎に相違している可能性が高い。そして、アプリケーションの種類数が多くなるに従って、処理対象のＩＰアドレスのアクセス元は、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高くなる。
【００５２】
従って、ステップ１９６の判定が肯定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が高いと推定し、ステップ１９８へ移行する。ステップ１９８において、ブラックリスト登録部３６は、通信監視部３８のブラックリスト記憶部４０に記憶されているブラックリストに、処理対象のＩＰアドレスを追加登録し、ステップ１９０に戻る。
【００５３】
上述した処理により、ステップ１９０の判定が肯定される迄、ステップ１９０〜１９８が繰り返される。従って、例えば図８に示す集計結果情報１０４が集計結果テーブルに記憶されている場合、ＩＰアドレスが"8.8.8.8"のアクセス元はステップ１９４,１９６の判定が各々肯定され、上記のＩＰアドレス"8.8.8.8"がブラックリストに追加登録される(図１０参照)。ブラックリストに上記のＩＰアドレスが追加登録された以降は、通信監視部３８の通信遮断部４２により、上記のＩＰアドレスのアクセス元から公開サーバ１２へのアクセスが遮断されることになる。
【００５４】
また、集計結果テーブルに記憶された全てのＩＰアドレスに対してステップ１９２以降の処理を行うと、ステップ１９０の判定が否定されて不正アクセス元推定処理(図９)を終了し、ネットワーク監視処理(図６)を終了する。
【００５５】
〔第２実施形態〕
次に開示の技術の第２実施形態について説明する。なお、第２実施形態は第１実施形態と同一の構成であるので、各部分に同一の符号を付して構成の説明を省略し、図１１を参照して第２実施形態に係る不正アクセス元推定処理を説明する。
【００５６】
ステップ２１０において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報に基づいて、アクセス元毎に集計されたダミーサーバの数の平均値及びアプリケーションの種類数の平均値を各々演算する。ステップ２１２において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報の中に、次のステップ２１４以降の処理を未実行のＩＰアドレスが存在しているか否か判定する。ステップ２１２の判定が肯定された場合はステップ２１４へ移行する。
【００５７】
ステップ２１４において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報から、ステップ２１４以降の処理を未実行の１つのＩＰアドレスを、処理対象のＩＰアドレスとして選択する。
【００５８】
ステップ２１６において、不正アクセス元推定部３４は、ステップ２１４で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されているダミーサーバ１４の数を読み出す。そして、不正アクセス元推定部３４は、読み出したダミーサーバ１４の数と、先のステップ２１０で演算したダミーサーバの数の平均値とに基づいて、処理対象のＩＰアドレスのアクセス元についてダミーサーバの数の標準偏差を演算する。
【００５９】
次のステップ２１８において、不正アクセス元推定部３４は、ステップ２１６で演算したダミーサーバ数の標準偏差が、予め設定した第１閾値以上か否か判定する。ステップ２１８の判定が否定された場合、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模は小さく、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に存在する不正なプロキシサーバである可能性は低い。このため、ステップ２１８の判定が否定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が低いと推定し、ステップ２１２に戻る。
【００６０】
また、ステップ２１８の判定が肯定された場合はステップ２２０へ移行する。ステップ２２０において、不正アクセス元推定部３４は、ステップ２１４で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されているアプリケーションの種類数を読み出す。そして、不正アクセス元推定部３４は、読み出したアプリケーションの種類数と、先のステップ２１０で演算したアプリケーションの種類数の平均値とに基づいて、処理対象のＩＰアドレスのアクセス元についてアプリケーションの種類数の標準偏差を演算する。
【００６１】
次のステップ２２２において、不正アクセス元推定部３４は、ステップ２２０で演算したダミーサーバ数の標準偏差が、予め設定した第２閾値以上か否か判定する。ステップ２２２の判定が否定された場合、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模は小さく、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に存在する不正なプロキシサーバである可能性は低い。このため、ステップ２２２の判定が否定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が低いと推定し、ステップ２１２に戻る。
【００６２】
一方、ステップ２１６,２２２の判定が各々肯定された場合は、処理対象のＩＰアドレスのアクセス元はダミーサーバ１４の数もアプリケーションの種類数も平均値より明確に多く、当該アクセス元からの不正アクセスの規模が小さいとは言えない。そして、アプリケーションの種類数が平均値より明確に多い場合、処理対象のＩＰアドレスのアクセス元は、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高い。従って、ステップ２２２の判定が肯定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が高いと推定し、ステップ２２４へ移行する。ステップ２２４において、ブラックリスト登録部３６は、通信監視部３８のブラックリスト記憶部４０に記憶されているブラックリストに、処理対象のＩＰアドレスを追加登録し、ステップ２１２に戻る。
【００６３】
上述した処理により、ステップ２１２の判定が肯定される迄、ステップ２１２〜２２４が繰り返され、ステップ２１６,２２２の判定が各々肯定された処理対象のＩＰアドレスはブラックリストに追加登録される。そして、ブラックリストに追加登録されたＩＰアドレスのアクセス元から公開サーバ１２へのアクセスは、通信監視部３８の通信遮断部４２によって遮断されることになる。また、集計結果テーブルに記憶された全てのＩＰアドレスに対してステップ２１４以降の処理を行うと、ステップ２１２の判定が否定されて不正アクセス元推定処理(図１１)を終了する。
【００６４】
〔第３実施形態〕
次に開示の技術の第３実施形態について説明する。なお、第１実施形態及び第２実施形態と同一の部分には同一の符号を付し、説明を省略する。
【００６５】
第３実施形態では、不正アクセスに利用されるアプリケーションのうち、特にセキュリティ上の懸念が大きいアプリケーションの識別情報が、一例として図１２に示す重大アプリケーション情報１０６として重大アプリケーションテーブルに予め登録されている。重大アプリケーションテーブルは、例えば記憶部５６などに記憶され、不正アクセス元推定部３４によって参照される。重大アプリケーションテーブルに登録されている重大アプリケーション情報１０６は、ウィルス定義情報などと同様に、セキュリティ上の懸念が大きいアプリケーションの存在が新たに検知される度に、内容を更新することが好ましい。
【００６６】
なお、図１２に示す重大アプリケーション情報１０６に含まれる"HTC-Hydra"は、複数種類のプロトコルに対応したブルートフォース攻撃ツールである。また、図１２に示す重大アプリケーション情報１０６に含まれる"Medusa "は、複数種類のプロトコルに対応したブルートフォース攻撃ツールであり、並列処理が可能とされている。その他にセキュリティ上の懸念が大きいアプリケーションとしては、例えば"Ncrack"などのブルートフォース攻撃ツールが挙げられる。これらはネットワークへの攻撃に使用されるアプリケーションの一例であるが、上記に限定されるものではない。
【００６７】
次に図１３を参照し、第３実施形態に係る不正アクセス元推定処理を説明する。ステップ２３０において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報の中に、次のステップ２３２以降の処理を未実行のＩＰアドレスが存在しているか否か判定する。ステップ２３０の判定が肯定された場合はステップ２３２へ移行する。ステップ２３２において、不正アクセス元推定部３４は、集計結果テーブルに記憶された集計結果情報から、ステップ２３２以降の処理を未実行の１つのＩＰアドレスを、処理対象のＩＰアドレスとして選択する。
【００６８】
次のステップ２３４において、不正アクセス元推定部３４は、ステップ２３２で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されているダミーサーバ１４の数Ｄを読み出す。そして、不正アクセス元推定部３４は、読み出したダミーサーバ１４の数Ｄに応じた処理対象のＩＰアドレスのアクセス元の評価値ＲＤを演算する。評価値ＲＤは、例えば次の(１)式に従って演算することができる。なお、(１)式におけるｗ1は、ダミーサーバ１４の数Ｄに対する重み係数である。
【００６９】
ＲＤ＝Ｄ×ｗ1    …(１)
【００７０】
また、ステップ２３６において、不正アクセス元推定部３４は、ステップ２３２で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルにアプリケーションリストとして記憶されているアプリケーションの識別情報を全て読み出す。また、不正アクセス元推定部３４は、読み出した全てのアプリケーションの識別情報が重大アプリケーションテーブルに登録されているか否かを順次確認することで、確認したアプリケーションが重大アプリケーションか否かを弁別する。そして、不正アクセス元推定部３４は、アプリケーションが重大アプリケーションか否かを弁別した結果に基づいて、重大アプリケーションの種類数Ａ1及びその他のアプリケーションの種類数Ａ2を集計する。
【００７１】
次のステップ２３８において、不正アクセス元推定部３４は、処理対象のＩＰアドレスからのアクセスに利用されたアプリケーションの種類数Ａ1,Ａ2に応じた処理対象のＩＰアドレスのアクセス元の評価値ＲＡを演算する。評価値ＲＡは、例えば次の(２)式に従って演算することができる。なお、(２)式におけるｗ2は重大アプリケーションの種類数Ａ1に対する重み係数、ｗ3はその他のアプリケーションの種類数Ａ2に対する重み係数であり、ｗ2＞ｗ3である。
ＲＡ＝Ａ1×ｗ2＋Ａ2×ｗ3    …(２)
【００７２】
ステップ２４０において、不正アクセス元推定部３４は、ステップ２３２で選択した処理対象のＩＰアドレスと対応付けて集計結果テーブルに記憶されている鍵交換アルゴリズムの種類数Ｋを読み出す。そして、不正アクセス元推定部３４は、読み出した鍵交換アルゴリズムの種類数Ｋに応じた処理対象のＩＰアドレスのアクセス元の評価値ＲＫを演算する。評価値ＲＫは、例えば次の(３)式に従って演算することができる。なお、(３)式におけるｗ4は、鍵交換アルゴリズムの種類数Ｋに対する重み係数である。
ＲＫ＝Ｋ×ｗ4    …(３)
なお、鍵交換アルゴリズム情報についても、アプリケーションの識別情報と同様にクライアント毎に相違している可能性が高い。このため、鍵交換アルゴリズムの種類数Ｋが多くなるに従って、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高くなる。
【００７３】
続いてステップ２４２において、不正アクセス元推定部３４は、上記の(１)〜(３)式で演算した評価値に基づいて、処理対象のＩＰアドレスのアクセス元の総合評価値Ｒを演算する。総合評価値Ｒは、例えば次の(４)式に従って演算することができる。
Ｒ＝ＲＤ＋ＲＡ＋ＲＫ    …(４)
そして、次のステップ２４４において、不正アクセス元推定部３４は、ステップ２４２で演算した総合評価値Ｒが閾値Ｒth以上か否か判定する。なお、閾値Ｒthは、例えば所定値としてもよいし、例えば、ダミーサーバ１４の数Ｄの平均値、アプリケーションの種類数Ａ1,Ａ2の平均値及び鍵交換アルゴリズムの種類数Ｋの平均値に応じて値を切り替えてもよい。
【００７４】
前述の(１)〜(４)式から明らかなように、総合評価値Ｒは、処理対象のＩＰアドレスのアクセス元に関するダミーサーバ１４の数Ｄが増加するに従って値が増加し、アプリケーションの種類数Ａ1,Ａ2が増加するに従って値が増加する。また、重大アプリケーションの種類数Ａ1が増加した場合に総合評価値Ｒの値が増加する割合の方が、その他のアプリケーションの種類数Ａ2が増加した場合に総合評価値Ｒの値が増加する割合よりも高い。更に、総合評価値Ｒは、処理対象のＩＰアドレスのアクセス元に関する鍵交換アルゴリズムの種類数Ｋが増加するに従って値が増加する。従って、総合評価値Ｒは、処理対象のＩＰアドレスのアクセス元に対する危険度(セキュリティに対する懸念の度合い)を表しており、ステップ２４４の判定が否定された場合は処理対象のＩＰアドレスのアクセス元は危険度が低いと推定できる。このため、ステップ２４４の判定が否定された場合はステップ２３０に戻る。
【００７５】
一方、ステップ２４４の判定が肯定された場合、処理対象のＩＰアドレスのアクセス元からの不正アクセスの規模が小さいとは言えず、処理対象のＩＰアドレスのアクセス元は、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高い。従って、ステップ２４４の判定が肯定された場合は、処理対象のＩＰアドレスのアクセス元は危険度が高いと推定し、ステップ２４６へ移行する。ステップ２４６において、ブラックリスト登録部３６は、通信監視部３８のブラックリスト記憶部４０に記憶されているブラックリストに、処理対象のＩＰアドレスを追加登録し、ステップ２３０に戻る。
【００７６】
上述した処理により、ステップ２３０の判定が肯定される迄、ステップ２３０〜２４６が繰り返され、ステップ２４４の判定が肯定された処理対象のＩＰアドレスはブラックリストに追加登録される。そして、ブラックリストに追加登録されたＩＰアドレスのアクセス元から公開サーバ１２へのアクセスは、通信監視部３８の通信遮断部４２によって遮断される。また、集計結果テーブルに記憶された全てのＩＰアドレスに対してステップ２３２以降の処理を行うと、ステップ２３０の判定が否定されて不正アクセス元推定処理(図１３)を終了する。
【００７７】
上記の各実施形態では、複数の公開サーバ１２によって形成される監視対象のネットワークに複数のダミーサーバ１４が設置されている。また、集計部２８は、複数のダミーサーバ１４の各々に対するアクセスの履歴に含まれる、個々のダミーサーバ１４にアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセス元毎に、アクセスしたダミーサーバの数及び属性情報の種類数を集計する。そして、不正アクセス元推定部３４は、アクセス元毎に集計したダミーサーバ１４の数及び属性情報の種類数に基づいて、個々のアクセス元の正当性を推定する。これにより、アクセス元からのアクセスの中に不正なアクセスが混在している場合にも、アクセス元の正当性を高精度に推定することができる。
【００７８】
また、上記の各実施形態では、アクセス元の属性情報は、ダミーサーバ１４へのアクセスに利用されたアプリケーションの識別情報を含み、集計部２８は、アクセス元の属性情報の種類数としてアプリケーションの種類数を集計する。アプリケーションの識別情報はクライアント毎に相違している可能性が高く、アプリケーションの種類数が多くなるに従って、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高くなる。これにより、アクセス元の正当性の推定精度を向上させることができる。
【００７９】
また、第３実施形態では、ネットワークへの攻撃に使用される重大アプリケーションの識別情報を記憶部５６などに記憶している。そして、不正アクセス元推定部３４は、重大アプリケーションを利用したアクセスが有ったアクセス元に対し、重大アプリケーションを利用したアクセスが無いアクセス元よりも、総合評価値Ｒが増加するように総合評価値Ｒを演算する。これにより、重大アプリケーションを使用した不正アクセスがあったアクセス元を、より危険度が高いアクセス元と評価することができ、アクセス元の正当性の推定精度を更に向上させることができる。
【００８０】
また、第３実施形態では、アクセス元の属性情報は、ダミーサーバ１４へのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの情報を含み、集計部２８は、アクセス元の属性情報の種類数として鍵交換アルゴリズムの種類数を集計する。鍵交換アルゴリズムの情報はクライアント毎に相違している可能性が高く、鍵交換アルゴリズムの種類数が多くなるに従って、処理対象のＩＰアドレスのアクセス元が、不正クライアントが配下に複数存在する不正なプロキシサーバである可能性が高くなる。これにより、アクセス元の正当性の推定精度を向上させることができる。
【００８１】
また、第１実施形態において、不正アクセス元推定部３４は、個々のアクセス元毎に、ダミーサーバ１４の数と第１閾値との大小関係及びアクセス元の属性情報の種類数と第２閾値との大小関係を判定することで、個々のアクセス元の正当性を推定している。また、第２実施形態において、不正アクセス元推定部３４は、ダミーサーバ１４の数の平均値との乖離度合い(標準偏差)及びアクセス元の属性情報の種類数の平均値との乖離度合い(標準偏差)を判定することで、個々のアクセス元の正当性を推定している。これにより、個々のアクセス元の正当性を推定することを簡易な処理で実現することができる。
【００８２】
また、上記の各実施形態では、不正アクセス元推定部３４によって正当性を有しないと推定されたアクセス元から監視対象のネットワークに含まれる公開サーバ１２へのアクセスを、通信監視部３８の通信遮断部４２が遮断する。これにより、監視対象のネットワークにおけるセキュリティ上の懸念を低減することができる。
【００８３】
なお、上記では通信監視部３８が第１コンピュータ５０と協働することでネットワーク監視装置２４が実現される態様を説明したが、これに限定されるものではなく、第１コンピュータ５０を通信監視部３８としても機能させてもよい。
【００８４】
また、上記では本発明に係るネットワーク監視プログラムの一例であるネットワーク監視プログラム６６が記憶部５６に予め記憶（インストール）されている態様を説明したが、これに限定されるものではない。本発明に係るネットワーク監視プログラムは、例えば、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ、メモリカード等の記録媒体に記録されている形態で提供することも可能である。
【００８５】
本明細書に記載された全ての文献、特許出願及び技術規格は、個々の文献、特許出願及び技術規格が参照により取り込まれることが具体的かつ個々に記された場合と同程度に、本明細書中に参照により取り込まれる。
【００８６】
以上の実施形態に関し、更に以下の付記を開示する。
【００８７】
（付記１）
監視対象のネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、個々の前記ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセス元毎に、アクセスした前記ダミーサーバの数及び前記属性情報の種類数を集計する集計部と、
前記集計部によってアクセス元毎に集計された前記ダミーサーバの数及び前記属性情報の種類数に基づいて、個々のアクセス元の正当性を推定する推定部と、
を含むネットワーク監視装置。
【００８８】
（付記２）
前記属性情報は、前記ダミーサーバへのアクセスに利用されたアプリケーションの識別情報を含み、
前記集計部は、前記属性情報の種類数として前記アプリケーションの種類数を集計する付記１記載のネットワーク監視装置。
【００８９】
（付記３）
ネットワークへの攻撃に使用される特定アプリケーションの識別情報を記憶する記憶部を更に備え、
前記推定部は、前記記憶部に識別情報が記憶された前記特定アプリケーションを利用したアクセスが有ったアクセス元に対し、前記特定アプリケーションを利用したアクセスが無いアクセス元よりも、正当性を有すると推定する確率が低下するように、前記正当性の推定を行う付記２記載のネットワーク監視装置。
【００９０】
（付記４）
前記属性情報は、前記ダミーサーバへのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの情報を含み、
前記集計部は、前記属性情報の種類数として鍵交換アルゴリズムの種類数を集計する付記１記載のネットワーク監視装置。
【００９１】
（付記５）
前記推定部は、個々のアクセス元毎に、前記ダミーサーバの数と第１閾値との大小関係及び前記属性情報の種類数と第２閾値との大小関係を判定するか、又は、前記ダミーサーバの数の平均値との乖離度合い及び前記属性情報の種類数の平均値との乖離度合いを判定することで、個々のアクセス元の正当性を推定する付記１〜付記４の何れか１項記載のネットワーク監視装置。
【００９２】
（付記６）
前記推定部によって正当性を有しないと推定されたアクセス元から監視対象のネットワークに含まれるサーバへのアクセスを遮断するアクセス遮断部を更に含む付記１〜付記５の何れか１項記載のネットワーク監視装置。
【００９３】
（付記７）
監視対象のネットワークに設置された複数のダミーサーバと、
付記１〜付記６の何れか１項記載のネットワーク監視装置と、
を含むネットワーク監視システム。
【００９４】
（付記８）
前記複数のダミーサーバは、前記監視対象のネットワークに割り当てられたアドレスの範囲内でかつ互いに異なるアドレスが割り当てられている付記１〜付記６の何れか１項記載のネットワーク監視装置、又は、付記７記載のネットワーク監視システム。
【００９５】
（付記９）
ネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセスしたダミーサーバの数及び属性情報の種類数をアクセス元毎に集計し、
集計したアクセス元毎のダミーサーバの数及び属性情報の種類数に基づいてアクセス元の正当性を推定する
処理をコンピュータに実行させるためのネットワーク監視プログラム。
【００９６】
（付記１０）
ネットワークに設置された複数のダミーサーバの各々に対するアクセスの履歴に含まれる、ダミーサーバにアクセスしたアクセス元の識別情報及び属性情報に基づいて、アクセスしたダミーサーバの数及び属性情報の種類数をアクセス元毎に集計し、
集計したアクセス元毎のダミーサーバの数及び属性情報の種類数に基づいてアクセス元の正当性を推定する
処理をコンピュータが実行するネットワーク監視方法。
【００９７】
（付記１１）
前記属性情報は、前記ダミーサーバへのアクセスに利用されたアプリケーションの識別情報を含み、
前記集計部は、前記属性情報の種類数として前記アプリケーションの種類数を集計する付記９記載のネットワーク監視プログラム、又は、付記１０記載のネットワーク監視方法。
【００９８】
（付記１２）
ネットワークへの攻撃に使用される特定アプリケーションの識別情報を記憶する記憶部を更に備え、
前記推定部は、前記記憶部に識別情報が記憶された前記特定アプリケーションを利用したアクセスが有ったアクセス元に対し、前記特定アプリケーションを利用したアクセスが無いアクセス元よりも、正当性を有すると推定する確率が低下するように、前記正当性の推定を行う付記１１記載のネットワーク監視プログラム、又は、付記１１記載のネットワーク監視方法。
【００９９】
（付記１３）
前記属性情報は、前記ダミーサーバへのアクセスでアクセス元から通知された利用可能な鍵交換アルゴリズムの情報を含み、
前記集計部は、前記属性情報の種類数として鍵交換アルゴリズムの種類数を集計する付記９記載のネットワーク監視プログラム、又は、付記１０記載のネットワーク監視方法。
【０１００】
（付記１４）
前記推定部は、個々のアクセス元毎に、前記ダミーサーバの数と第１閾値との大小関係及び前記属性情報の種類数と第２閾値との大小関係を判定するか、又は、前記ダミーサーバの数の平均値との乖離度合い及び前記属性情報の種類数の平均値との乖離度合いを判定することで、個々のアクセス元の正当性を推定する付記９、付記１１〜付記１３の何れか１項記載のネットワーク監視プログラム、又は、付記１０〜付記１３の何れか１項記載のネットワーク監視方法。
【０１０１】
（付記１５）
前記推定部によって正当性を有しないと推定されたアクセス元から監視対象のネットワークに含まれるサーバへのアクセスを遮断するアクセス遮断部を更に含む付記９、付記１１〜付記１４の何れか１項記載のネットワーク監視プログラム、又は、付記１０〜付記１４の何れか１項記載のネットワーク監視方法。
【０１０２】
（付記１６）
前記複数のダミーサーバは、前記監視対象のネットワークに割り当てられたアドレスの範囲内でかつ互いに異なるアドレスが割り当てられている付記９、付記１１〜付記１５の何れか１項記載のネットワーク監視プログラム、又は、付記１０〜付記１５の何れか１項記載のネットワーク監視方法。
【符号の説明】
【０１０３】
１０…サーバ群、１２…公開サーバ、１４…ダミーサーバ、１６…通信履歴記録部、１８…通信履歴記憶領域、２０…インターネット、２４…ネットワーク監視装置、２６…通信履歴収集部、２８…集計部、３０…ダミーサーバ数集計部、３２…属性情報種類数集計部、３４…不正アクセス元推定部、３６…ブラックリスト登録部、３８…通信監視部、４０…ブラックリスト記憶部、４２…通信遮断部、５０…第１コンピュータ、５２…ＣＰＵ、５４…メモリ、５６…記憶部、６６…ネットワーク監視プログラム
【図１】
2018073140.tif 000003
【図２】
2018073140.tif 000004
【図３】
2018073140.tif 000005
【図４】
2018073140.tif 000006
【図５】
2018073140.tif 000007
【図６】
2018073140.tif 000008
【図７】
2018073140.tif 000009
【図８】
2018073140.tif 000010
【図９】
2018073140.tif 000011
【図１０】
2018073140.tif 000012
【図１１】
2018073140.tif 000013
【図１２】
2018073140.tif 000014
【図１３】
2018073140.tif 000015