(57)【要約】【課題】簡便にシステムへの不正侵入の検知情報を配信し、また、管理者の負担を軽減できる検知情報配信システムを提供する。【解決手段】検知情報配信システムでは、検知情報を端末２０に配信する検知情報配信部１００と、不正パケットを検知する不正パケット検知部２００とを備え、前記不正パケット検知部２００は、不正パケットを検知した場合に前記検知情報配信部１００に検知情報を送信し、前記検知情報配信部１００は、受信した前記検知情報と配信データベース部１０６とを照合し、前記照合結果に基づいて、前記検知情報を端末２０に配信することにより、簡便にシステムへの不正侵入の検知情報を配信し、また、管理者の負担を軽減できる。【選択図】図１
2018157368.tif 000002
【特許請求の範囲】
【請求項１】
検知情報を端末に配信する検知情報配信部と、
不正パケットを検知する不正パケット検知部とを備え、
前記不正パケット検知部は、不正パケットを検知した場合に前記検知情報配信部に検知情報を送信し、
前記検知情報配信部は、受信した前記検知情報と配信データベース部とを照合し、前記照合結果に基づいて、前記検知情報を前記端末に配信する
ことを特徴とする検知情報配信システム。
【請求項２】
請求項１記載検知情報配信システムにおいて、
前記不正パケット検知部は、受信したパケットから不正検知又は異常検知の少なくとも一方を検知した場合に、前記不正パケットを検知したとすることを特徴とする検知情報配信システム。
【請求項３】
請求項１又は２記載の検知情報配信システムにおいて、
前記配信データベース部は、前記検知情報の配信先が記憶される配信先テーブルを有し、
前記検知情報配信部は、前記検知情報と前記配信先テーブルと照合し、前記照合結果に基づいて、前記検知情報を前記端末に配信する
ことを特徴とする検知情報配信システム。
【請求項４】
請求項１〜３のいずれか１項に記載の検知情報配信システムにおいて、
前記不正パケット検知部は、前記不正パケット検知部と異なる他の不正パケット検知部から不正パケットを検知した旨を受信した場合に、前記不正パケットを検知したとし、
前記他の不正パケット検知部は、未使用のＩＰアドレスに対して、パケットが送信された場合に、前記不正パケットを検知したとする
ことを特徴とする検知情報配信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、検知情報を配信する検知情報配信部と、不正パケットを検知する不正パケット検知部とを備える検知情報配信システムに関する。
【背景技術】
【０００２】
ネットワークを流れるパケットを監視し、システムへの不正侵入を検知する侵入検知システム（ＩＤＳ：Intrusion Detection System）が知られている（特許文献１参照）。
【０００３】
特許文献１の侵入検知システムでは、ネットワークを流れるパケットを、スイッチ装置を介してＩＤＳ装置が検知し、検知結果に基づいて、スイッチ装置がネートワークを流れるパケットを制御している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１６−５１３８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１に示されるような侵入検知システムでは、通常、検知結果はシステム管理者に通知され、その後、端末の使用者に通知されるために、情報伝達に時間を要し、システムからの情報漏洩が発生するおそれがある。
【０００６】
また、端末の使用者に検知結果を通知する場合には、使用者、端末の識別子として、メールアドレスやＩＰアドレスの取得が必要であるが、これら情報が一元管理されていないことが多く、管理者の負担が大きい。
【０００７】
本発明は、上記の課題を考慮してなされたものであって、簡便にシステムへの不正侵入の検知情報を配信し、また、管理者の負担を軽減できる検知情報配信システムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明に係る検知情報配信システムは、検知情報を端末に配信する検知情報配信部と、不正パケットを検知する不正パケット検知部とを備え、前記不正パケット検知部は、不正パケットを検知した場合に前記検知情報配信部に検知情報を送信し、前記検知情報配信部は、受信した前記検知情報と配信データベース部とを照合し、前記照合結果に基づいて、前記検知情報を前記端末に配信することを特徴とする。
【０００９】
前記検知情報配信システムにおいて、前記不正パケット検知部は、受信したパケットから不正検知又は異常検知の少なくとも一方を検知した場合に、前記不正パケットを検知したとすることを特徴とする。
【００１０】
前記検知情報配信システムにおいて、前記配信データベース部は、前記検知情報の配信先が記憶される配信先テーブルを有し、前記検知情報配信部は、前記検知情報と前記配信先テーブルと照合し、前記照合結果に基づいて、前記検知情報を前記端末に配信することを特徴とする。
【００１１】
前記検知情報配信システムにおいて、前記不正パケット検知部は、前記不正パケット検知部と異なる他の不正パケット検知部から不正パケットを検知した旨を受信した場合に、前記不正パケットを検知したとし、前記他の不正パケット検知部は、未使用のＩＰアドレスに対して、パケットが送信された場合に、前記不正パケットを検知したとすることを特徴とする。
【発明の効果】
【００１２】
本発明の検知情報配信システムでは、検知情報を端末に配信する検知情報配信部と、不正パケットを検知する不正パケット検知部とを備え、前記不正パケット検知部は、不正パケットを検知した場合に前記検知情報配信部に検知情報を送信し、前記検知情報配信部は、受信した前記検知情報と配信データベース部とを照合し、前記照合結果に基づいて、前記検知情報を前記端末に配信することにより、簡便にシステムへの不正侵入の検知情報を配信できる。
【００１３】
また、前記検知情報配信システムにおいて、前記不正パケット検知部は、前記不正パケット検知部と異なる他の不正パケット検知部から不正パケットを検知した旨を受信した場合に、前記不正パケットを検知したとし、前記他の不正パケット検知部は、未使用のＩＰアドレスに対して、パケットが送信された場合に、前記不正パケットを検知したとすることにより、ダークネットに対するパケットの送信に対して、検知情報を端末に配信することができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の実施形態に係る検知情報配信システムの説明図である。
【図２】検知情報配信部の説明図であり、
【図３】図３Ａは、検知情報テーブルの説明図であり、図３Ｂは、配信先テーブルの説明図である。
【図４】不正パケット検知部の説明図である。
【図５】本発明の実施形態に検知情報配信システムの処理手順の説明図である。
【図６】本発明の実施形態の変形例に係る検知情報配信システムの説明図である。
【発明を実施するための形態】
【００１５】
以下、本発明の実施形態について図面を参照して説明する。図１は、本発明の実施形態に係る検知情報配信システム１０の説明図であり、図２は、検知情報配信部１００の説明図であり、図３Ａは、検知情報テーブル１０８の説明図であり、図３Ｂは、配信先テーブル１１０の説明図であり、図４は、不正パケット検知部２００の説明図である。
【００１６】
＜検知情報配信システム１０の構成の説明＞
検知情報配信部１００は、端末２０ａ〜２０ｃ（以下、適宜総称して「端末２０」という）、Ｌ２スイッチ３０、ファイアウォール４０、端末６０、７０ａ、７０ｂ、検知情報配信部１００及び不正パケット検知部２００を備える。端末２０、不正パケット検知部２００は、公衆回線５０を介して端末６０、端末７０ａ、７０ｂ（以下、適宜総称して「端末７０」という）と通信可能である。端末２０、６０、７０は、通信機能を有する端末である。
【００１７】
Ｌ２スイッチ３０は、ネットワークの中継機器である。また、ファイアウォール４０は、端末２０、不正パケット検知部２００と端末６０、７０との通信に関するファイアーフォールである。公衆回線５０は、例えば、インターネット等で構成される。
【００１８】
検知情報配信部１００は、配信制御部１０２、配信通信部１０４及び配信データベース部１０６を備え、これらがバス１１２を介して相互に接続される。
【００１９】
配信制御部１０２は、ＣＰＵ、ＲＯＭ、ＲＡＭを備え、検知情報配信部１００の全体の制御を行う制御部である。配信通信部１０４は、端末２０、７０及び不正パケット検知部２００と通信する通信部である。
【００２０】
配信データベース部１０６は、検知情報テーブル１０８及び配信先テーブル１１０を備える。検知情報テーブル１０８には、不正パケット検知部２００で検知される検知情報と、検知情報に応じて検知情報の識別子として付与されるトピック名が記憶される。図３Ａでは、検知情報Ｄ１〜Ｄ４に対応して、この順番にトピック名がＴ１、Ｔ２、Ｔ２、Ｔ３と記憶されている。ここで、Ｄ２とＤ３は、同種類の検知情報であることからトピック名として、同一のＤ２が付与されている。
【００２１】
配信先テーブル１１０は、端末２０、７０が配信を希望するトピックの登録（subscribe）に関するテーブルである。具体的には、配信先テーブル１１０には、トピック名と、トピックに対して配信を希望する端末２０、７０の配信希望の有無が記憶されている。図３Ｂでは、トピックＴ１に対して、端末２０ａ、２０ｂ、７０ａ、７０ｂが配信を希望し、登録されている。同様に、トピックＴ２に対して、端末２０ｂ、２０ｃ、７０ａ、７０ｂが配信を希望し、トピックＴ３に対して、端末２０ａ、７０ａ、７０ｂが配信を希望し、登録されている。なお、図３Ｂでは、端末２０、７０のトピックの配信希望を○で表している。
【００２２】
不正パケット検知部２００は、検知制御部２０２、検知通信部２０４及び検知データベース部２０６を備え、これらがバス２１２を介して相互に接続される。
【００２３】
検知制御部２０２は、ＣＰＵ、ＲＯＭ、ＲＡＭを備え、不正パケット検知部２００の全体の制御を行う制御部である。検知通信部２０４は、Ｌ２スイッチ３０及び検知情報配信部１００と通信する通信部である。
【００２４】
検知データベース部２０６は、不正検知テーブル２０８及び異常検知テーブル２１０を備える。不正検知テーブル２０８には、検知制御部２０２が、不正検知（シグネチャ検知：Signature detection）をするためのパケットパターンが記憶されている。具体的には、パケットから不正検知を検知するために、不正行為や異常状態の特徴情報であるシグネチャのパケットパターンが記憶されている。また、異常検知テーブル２１０には、検知制御部２０２が、異常検知（アノマリ検知：Anomaly detection）をするための基準情報が記憶されている。具体的には、パケットから異常検知を検知するために、正常状態におけるプロトコルの仕様、通信トラフィック、アプリケーションの動作等の基準となる基準情報が記憶されている。
【００２５】
＜検知情報配信システム１０の動作の説明＞
次に、検知情報配信システム１０の動作について、図５を用いて説明する。図５は、本発明の実施形態に係る検知情報配信システム１０の処理手順の説明図である。
【００２６】
まず、第三者の端末６０からＬ２スイッチ３０に接続する端末２０にパケットが送信されたとする。
【００２７】
Ｌ２スイッチ３０は、受信したパケットを複製して、不正パケット検知部２００に複製したパケットを送信する。不正パケット検知部２００では、検知通信部２０４を介して、検知制御部２０２がパケットを受信する（ステップＳ１）。
【００２８】
検知制御部２０２は、受信したパケットを検知データベース部２０６が備える不正検知テーブル２０８、異常検知テーブル２１０に基づいて検知する（ステップＳ２）。検知制御部２０２は、受信したパケットを不正検知テーブル２０８に基づいた不正検知、又は受信したパケットを異常検知テーブル２１０に基づいた異常検知の少なくとも一方を検知した場合には、受信したパケットを不正パケットと判断する。検知制御部２０２は、検知情報として、検知情報Ｄ１を検知したとする。
【００２９】
検知制御部２０２は、不正パケットを検知した場合には、不正パケットの受信時刻、不正パケットの不正検知、異常検知を検知情報として、検知通信部２０４を介して、検知情報配信部１００に送信（publish）する（ステップＳ３）。
【００３０】
配信制御部１０２は、配信通信部１０４を介して受信した検知情報である検知情報Ｄ１と、検知情報テーブル１０８に記憶されている検知情報とを照合して、トピック名を特定する（ステップＳ４）。かかる場合には、配信制御部１０２は、受信した検知情報Ｄ１に対して、検知情報テーブル１０８から検知情報Ｄ１に対応するトピックＴ１を特定する。
【００３１】
配信制御部１０２は、特定したトピック名と、配信先テーブル１１０に記憶されているトピック名とを照合し、配信を希望する端末を特定する（ステップＳ５）。具体的には、配信制御部１０２は、配信先テーブル１１０からトピックＴ１の配信を希望する端末２０ａ、２０ｂ、端末７０ａ、７０ｂを特定する。
【００３２】
配信制御部１０２は、配信通信部１０４を介して、検知情報を端末に配信する（ステップＳ６）。具体的には、配信制御部１０２は、配信通信部１０４を介して、検知情報Ｄ１を端末２０ａ、２０ｂ、端末７０ａ、７０ｂに配信する。
【００３３】
端末２０ａ、２０ｂ、７０ａ、７０ｂは、検知情報配信部１００から送信されてきた検知情報を受信する（ステップＳ７）。
【００３４】
検知情報配信システム１０は、検知情報を端末２０、７０配信する検知情報配信部１００と、不正パケットを検知する不正パケット検知部２００とを備え、前記不正パケット検知部２００は、不正パケットを検知した場合に前記検知情報配信部１００に検知情報を送信し、前記検知情報配信部１００は、受信した前記検知情報と配信データベース部１０６とを照合し、前記照合結果に基づいて、前記検知情報を端末２０に配信することにより、簡便にシステムへの不正侵入の検知情報を配信し、また、管理者の負担を軽減できる。
【００３５】
検知情報配信システム１０において、前記不正パケット検知部２００は、受信したパケットから不正検知又は異常検知の少なくとも一方を検知した場合に、前記不正パケットを検知したとする。
【００３６】
検知情報配信システム１０において、前記配信データベース部１０６は、前記検知情報の配信先が記憶される配信先テーブル１１０を有し、前記検知情報配信部１００は、前記検知情報と前記配信先テーブル１１０と照合し、前記照合結果に基づいて、前記検知情報を前記端末２０に配信する。
【００３７】
＜検知情報配信システム１０Ａの構成及び動作の説明＞
次に、本発明の実施形態の変形例について図面を参照して説明する。図６は、本発明の実施形態の変形例に係る検知情報配信システム１０Ａの説明図である。なお、検知情報配信システム１０の構成要素と同一の機能を有する構成要素には、同一の参照符号を付し、詳細な説明は省略する。
【００３８】
検知情報配信システム１０Ａは、検知情報配信システム１０に対して、ネットワーク３００Ａ内に端末２０ｄ、不正パケット検知部２００Ａを備える。端末２０ｄは、端末２０と同様な端末である。また、不正パケット検知部２００Ａは、不正パケット検知部２００と同様の機能を有し、さらに、ネットワーク３００Ａ内のいわゆるダークネットへのパケットの送信を検知する機能を有する。ここで、ダークネットとは、ネートワーク内で未使用ＩＰアドレスの空間をいう。
【００３９】
また、検知情報配信システム１０Ａにおいて、端末２０、Ｌ２スイッチ３０、ファイアウォール４０、端末７０ｂ、検知情報配信部１００及び不正パケット検知部２００は、同一のネットワーク３００に属するとする。
【００４０】
検知情報配信システム１０Ａの動作は、基本的には検知情報配信システム１０のステップＳ１〜Ｓ７と同様である。まず、ステップＳ１において、不正パケット検知部２００Ａはパケットを受信する。
【００４１】
次に、ステップＳ１において、不正パケット検知部２００Ａは、受信したパケットを検知する。ここで、受信したパケットは、ネットワーク３００内の端末２０ａから送信されたとする。また、端末２０ａは、マルウェア等に感染して、ネットワーク３００Ａのダークネットに対して、パケットを送信しているとする。
【００４２】
ステップＳ３において、不正パケット検知部２００Ａは、ダークネットに対して送信されたパケットは、不正パケットであると判断し、その旨を検知情報配信部１００に送信する。以下の処理は、ステップＳ４〜Ｓ７は、検知情報配信システム１０と同様である。結果として、検知情報が、トピックの配信を希望していた端末２０、７０に配信される。
【００４３】
検知情報配信システム１０において、前記不正パケット検知部２００は、前記不正パケット検知部２００と異なる他の不正パケット検知部２００から不正パケットを検知した旨を受信した場合に、前記不正パケットを検知したとし、前記他の不正パケット検知部２００は、未使用のＩＰアドレスに対して、パケットが送信された場合に、前記不正パケットを検知したとすることにより、ダークネットに対するパケットの送信に対して、検知情報を端末２０、７０に配信することができる。
【００４４】
なお、本発明は、上述の実施形態に限らず、本発明の要旨を逸脱することなく、種々の構成を採り得ることはもちろんである。
【００４５】
例えば、上述の実施形態では、ステップＳ１においては、組織外の端末６０から公衆回線５０を介して送信されたパケットを受信しているが、不正パケット検知部２００で受信されるパケットは、これに限定されるものではない。例えば、同一の組織内のネットワークに属する端末２０から送信されるパケットであってもよい。
【００４６】
また、検知情報配信システム１０、１０Ａにおいては、ファイアウォール４０の設置場所は、組織内のネットワーク内外のいずれでもよい。
【符号の説明】
【００４７】
１０、１０Ａ…検知情報配信システム
２０、６０、７０…端末
３０…Ｌ２スイッチ
４０…ファイアウォール
５０…公衆回線
１００…検知情報配信部
１０２…配信制御部
１０４…配信通信部
１０６…配信データベース部
１０８…検知情報テーブル
１１０…配信先テーブル
１１２、２１２…バス
２００…不正パケット検知部
２０２…検知制御部
２０４…検知通信部
２０６…検知データベース部
２０８…不正検知テーブル
２１０…異常検知テーブル
３００、３００Ａ…ネットワーク
【図１】
2018157368.tif 000003
【図２】
2018157368.tif 000004
【図３】
2018157368.tif 000005
【図４】
2018157368.tif 000006
【図５】
2018157368.tif 000007
【図６】
2018157368.tif 000008