(57)【要約】【課題】攻撃に対して先回りした対処を可能にする。【解決手段】本発明の対処指示装置は、脅威情報記録部、対処情報記録部、対処判断部、対処送信部を備える。脅威情報記録部は、脅威レベル、送信元、送信先、時刻を特定する情報である脅威情報を記録する。対処情報記録部は、対処方法を特定する情報である対処情報を複数記録する。対処判断部は、脅威情報から求められる、脅威が広がる速度が速いほど高い値となる緊急度または脅威が多いほど大きくなる脅威規模に基づいて、対処情報を選択する。なお、対処判断部は、あらかじめ定めた高い緊急度と大きい脅威規模の場合には、脅威情報記録部に記録されているいずれの脅威情報にも含まれていない送信元または送信先の装置に対する対処を含む対処情報を選択する。対処送信部は、対処判断部が選択した対処情報をネットワーク制御装置に送信する。【選択図】図２
2018157343.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークのパケットを監視し、送信元と送信先を特定してセキュリティに対する脅威の程度を示す脅威レベルを出力する分析部を１つ以上備えたセキュリティエンジンと、前記ネットワークの制御を行うネットワーク制御装置と接続される対処指示装置であって、
前記分析部からの出力にしたがって、脅威レベル、送信元、送信先、時刻を特定する情報である脅威情報を記録する脅威情報記録部と、
対処方法を特定する情報である対処情報を複数記録する対処情報記録部と、
前記脅威情報から求められる、脅威が広がる速度が速いほど高い値となる緊急度または脅威が多いほど大きくなる脅威規模に基づいて、前記対処情報を選択する対処判断部と、
前記対処判断部が選択した前記対処情報を前記ネットワーク制御装置に送信する対処送信部と
を備え、
前記対処判断部は、あらかじめ定めた高い緊急度または大きい脅威規模の条件を満たす場合には、前記脅威情報記録部に記録されているいずれの脅威情報にも含まれていない送信元または送信先の装置に対する対処を含む対処情報を選択する
対処指示装置。
【請求項２】
請求項１記載の対処指示装置であって、
前記対処判断部は、前記対処情報を１つ以上選択し、
前記対処送信部は、１つ以上の前記対処情報を前記ネットワーク制御装置に送信する
ことを特徴とする対処指示装置。
【請求項３】
請求項１または２記載の対処指示装置であって、
前記対処判断部は、脅威が広がる速度と脅威の対象となっている装置の台数に関する前件部と緊急度と脅威規模に関する後件部を用いたファジー推論によって緊急度と脅威規模を求める
ことを特徴とする対処指示装置。
【請求項４】
ネットワークのパケットを監視し、送信元と送信先を特定してセキュリティに対する脅威の程度を示す脅威レベルを出力する分析部を１つ以上備えたセキュリティエンジンと、前記ネットワークの制御を行うネットワーク制御装置と接続される対処指示装置を用いた対処指示方法であって、
対処指示装置は、脅威情報記録部、対処情報記録部、対処判断部、対処送信部を備え、
前記脅威情報記録部が、前記分析部からの出力にしたがって、脅威レベル、送信元、送信先、時刻を特定する情報である脅威情報を記録し、
前記対処情報記録部が、対処方法を特定する情報である対処情報を複数記録し、
前記対処判断部が、前記脅威情報から求められる、脅威が広がる速度が速いほど高い値となる緊急度または脅威が多いほど大きくなる脅威規模に基づいて、前記対処情報を選択する対処判断ステップと、
前記対処送信部が、前記対処判断ステップが選択した前記対処情報を前記ネットワーク制御装置に送信する対処送信ステップと
を実行し、
前記対処判断ステップは、あらかじめ定めた高い緊急度または大きい脅威規模の条件を満たす場合には、前記脅威情報記録部に記録されているいずれの脅威情報にも含まれていない送信元または送信先の装置に対する対処を含む対処情報を選択する
対処指示方法。
【請求項５】
請求項４記載の対処指示方法であって、
前記対処判断ステップは、前記対処情報を１つ以上選択し、
前記対処送信ステップは、１つ以上の前記対処情報を前記ネットワーク制御装置に送信する
ことを特徴とする対処指示方法。
【請求項６】
請求項４または５記載の対処指示方法であって、
前記対処判断ステップは、脅威が広がる速度と脅威の対象となっている装置の台数に関する前件部と緊急度と脅威規模に関する後件部を用いたファジー推論によって緊急度と脅威規模を求める
ことを特徴とする対処指示方法。
【請求項７】
請求項１〜３のいずれかに記載の対処指示装置として、コンピュータを機能させるための対処指示プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク内での脅威の広がりを防止するための対処指示装置、対処指示方法、対処指示プログラムに関する。
【背景技術】
【０００２】
従来技術として、特許文献１に示された技術が知られている。特許文献１の技術は、ネットワークを接続するルータ装置等に備えたフィルタ部にて攻撃ＩＰパケットを拒否する場合に、ルータ等内部の帯域資源、及びアクセス網の帯域資源の消費を防ぐことが可能なＤＤｏＳ防御方法及びルータ装置を提供することを目的にしている。そして、検出手段が攻撃ＩＰパケットを検出し、フィルタ情報生成手段がフィルタ情報を生成し、分配手段または折り返し分配手段がフィルタ情報を全フィルタに対して通知し、全てのフィルタ部が攻撃ＩＰパケットを一時的に遮断するようにしている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−３９７２１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来技術は、攻撃を検知した際に、検知したトラヒックを順番に攻撃ＩＰパケットの遮断に必要な手順を実施（以下、「対処」という）する方式である。この場合、攻撃の状態によっては、対処が攻撃の増加に追いつかなくなることがあるという課題がある。
【０００５】
そこで、本発明は、攻撃に対して先回りした対処を可能にすることを目的とする。
【課題を解決するための手段】
【０００６】
本発明の対処指示装置は、ネットワークのパケットを監視し、送信元と送信先を特定してセキュリティに対する脅威の程度を示す脅威レベルを出力する分析部を１つ以上備えたセキュリティエンジンと、ネットワークの制御を行うネットワーク制御装置と接続される。対処指示装置は、脅威情報記録部、対処情報記録部、対処判断部、対処送信部を備える。脅威情報記録部は、分析部からの出力にしたがって、脅威レベル、送信元、送信先、時刻を特定する情報である脅威情報を記録する。対処情報記録部は、対処方法を特定する情報である対処情報を複数記録する。対処判断部は、脅威情報から求められる、脅威が広がる速度が速いほど高い値となる緊急度または脅威が多いほど大きくなる脅威規模に基づいて、対処情報を選択する。なお、対処判断部は、あらかじめ定めた高い緊急度と大きい脅威規模の場合には、脅威情報記録部に記録されているいずれの脅威情報にも含まれていない送信元または送信先の装置に対する対処を含む対処情報を選択する。対処送信部は、対処判断部が選択した対処情報をネットワーク制御装置に送信する。
【発明の効果】
【０００７】
本発明の対処指示装置によれば、あらかじめ定めた高い緊急度と大きい脅威規模の場合には、脅威情報記録部に記録されているいずれの脅威情報にも含まれていない送信元または送信先の装置に対する対処を行うので、攻撃に対して先回りした対処ができる。
【図面の簡単な説明】
【０００８】
【図１】ネットワークの構成例を示す図。
【図２】本発明の対処指示装置を含む構成例を示す図。
【図３】本発明の処理フローを示す図。
【図４】状況判定ルールの例を示す図。
【図５】実施例１の対処判断部の処理フローを示す図。
【図６】ファジー推論のイメージを示す図。
【図７】対処情報と緊急度、脅威規模の関係を示す図。
【図８】変形例１の対処判断部の処理フローを示す図。
【発明を実施するための形態】
【０００９】
以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
【実施例１】
【００１０】
図１にネットワークの構成例を示す。装置９１０−１，９１０−２は、ネットワーク９５０とネットワーク装置９３０を介して、装置９２０−１，…，Ｍと接続されている。ここで、Ｍは２以上の整数、ｍは１以上Ｍ以下の整数とする。ネットワーク装置９３０とは、例えばゲートウェイが考えられるが、ネットワークの状態を監視、制御できる装置であれば、ゲートウェイに限定するものではない。装置９２０−１がウィルスに感染し、他の装置に対して攻撃を始めた場合、従来技術では、ネットワーク装置９３０の内部に設置されたセキュリティエンジンまたはネットワーク装置９３０に接続されたセキュリティエンジンで脅威を検出し、装置９２０−１をネットワーク９５０から切り離す（通信できない状態にする）などの対処を行う。しかし、脅威の広がりが非常に速い場合には、脅威を検出した後に切り離すだけでは脅威の広がり（感染の広がり）を止めることができない。
【００１１】
そこで、本発明では、まだ脅威の対象となっていない装置に対してもネットワーク９５０から切り離すなどの対処を行う。そのときに、Ｍ個の装置９２０−１，…，Ｍを全部切り離す場合もあれば、装置９２０−１，…，Ｍの中から選択したｍ個の装置を切り離す場合もある。
【００１２】
図２に本発明の対処指示装置を含む構成例を、図３に処理フローの例を示す。ネットワーク装置９３０内にはスイッチ９３１が備えられ、ミラーリングパケットがセキュリティエンジン２００に入力される。セキュリティエンジン２００には、分析部２１０−１，…，Ｎが備えられている。Ｎは１以上の整数、ｎは１以上Ｎ以下の整数とする。分析部２１０−ｎは、ネットワーク９５０のパケットを監視し、脅威を分析するための分析アルゴリズムにしたがって機能し、送信元と送信先を特定してセキュリティに対する脅威の程度を示す脅威レベルを出力し（Ｓ２１０）、脅威レベル、送信元、送信先、時刻を特定する情報である脅威情報を対処指示装置１００に送信する（Ｓ２２０）。分析アルゴリズムには、いくつかの種類があり、攻撃の種類によって適した分析アルゴリズムが存在するので、Ｎ個の分析部２１０−１，…，Ｎを備えればよい。
【００１３】
対処指示装置１００は、セキュリティエンジン２００と、ネットワーク９５０の制御を行うネットワーク制御装置３００と接続される。より具体的には、ネットワーク制御装置３００は、ネットワーク装置９３０などに接続され、脅威に対する対処として、ユーザ端末である装置９２０をネットワーク９５０から切り離したり、ＩＰアドレスを変更したり、サーバである装置９１０を予備のサーバに切り替えたりする。
【００１４】
対処指示装置１００は、脅威情報記録部１９１、判断ルール記録部１９２、対処情報記録部１９３、対処判断部１１０、対処送信部１２０を備える。脅威情報記録部１９１は、分析部２１０−１，…，Ｎからの出力にしたがって、脅威レベル、送信元、送信先、時刻を特定する情報である脅威情報を記録する。また、脅威がなくなった場合には脅威情報を削除するなどの脅威情報の更新を行う（Ｓ１９１）。
【００１５】
判断ルール記録部１９２は、対処判断部１１０が脅威の程度を判断するためのルールを記録する。例えば、図４に示すような状況判定ルールを記録すればよい。分析アルゴリズムごとに脅威レベルの指標は異なるが、分析アルゴリズムごとにあらかじめ、「高い脅威レベル」に該当する範囲と、「低い脅威レベル」に該当する範囲を定めておけばよい。状況判定ルールＡ−１，Ａ−２は、単独の脅威情報に関する状況判定ルールである。状況判定ルールＢ−１，Ｂ−２は、現在存在する脅威情報の総和に依存したルールであり、脅威規模に関するルールである。状況判定ルールＣ−１，…，Ｃ−４は、脅威が広がる速度に依存したルールであり、緊急度に関するルールである。状況判定ルールＤ−１，Ｄ−２は、脅威情報が継続した時間に依存したルールであり、脅威に対する対処までにかかった時間に関するルールである。これらのルールは例示であり、これらに限定する必要はない。
【００１６】
対処情報記録部１９３は、対処方法を特定する情報である対処情報を複数記録する。対処方法としては、例えば、対象となる装置の範囲を定めて、ユーザ端末である装置９２０をネットワーク９５０から切り離す方法、ＩＰアドレスを変更する方法、サーバである装置９１０を予備のサーバである装置に切り替える方法などがある。ただし、これらに限定する必要はない。
【００１７】
対処判断部１１０は、脅威情報から求められる、脅威が広がる速度が速いほど高い値となる緊急度または脅威が多いほど大きくなる脅威規模に基づいて、対処情報を選択する（Ｓ１１０）。より具体的には、対処判断部１１０は、図５に示すように、脅威の状況を状況判定ルールに従って判定し（Ｓ１１１）、その判定結果に応じて、対処情報記録部１９３に記録された対処情報の中から対処情報を選択する（Ｓ１１２）。この例のように、緊急度や脅威規模は必ずしも数値化するする必要はなく、どの状況判定ルールに該当するかを判断して、対処情報を選択することも、「脅威が広がる速度が速いほど高い値となる緊急度または脅威が多いほど大きくなる脅威規模に基づいて、対処情報を選択する」に該当する。なお、ステップＳ１１１の状況判断ルールに従った判定では、抽象度が大きい状況判断ルールから判定することで、効率的に判定できる。選択する対処情報は１つ以上でもよい。なお、対処判断部１１０は、あらかじめ定めた高い緊急度または大きい脅威規模の条件を満たす場合には、脅威情報記録部に記録されているいずれの脅威情報にも含まれていない送信元または送信先の装置に対する対処を含む対処情報を選択する。「あらかじめ定めた高い緊急度または大きい脅威規模の条件」には、緊急度の条件だけ、脅威規模の条件だけ、緊急度と脅威規模の両方を組合せた条件などがあってもよい。そして、そのような条件の１つを「あらかじめ定めた高い緊急度または大きい脅威規模の条件」としてもよいし、そのような条件を複数用意しておき、いずれかの条件を満たせば、「あらかじめ定めた高い緊急度または大きい脅威規模の条件を満たす」と判断すればよい。例えば、図４の状況判定ルールＢ−１を満たすことを条件１（大きい脅威規模だけの条件）、状況判定ルールＣ−１を満たすことを条件２（高い緊急度だけの条件）、状況判定ルールＢ−２とＣ−２の両方を満たすことを条件３（高い緊急度と大きい脅威規模の条件）とする。そして、条件１〜３のいずれかを満たすことを「あらかじめ定めた高い緊急度または大きい脅威規模の条件を満たす」と判断すればよい。対処送信部１２０は、対処判断部１１０が選択した対処情報をネットワーク制御装置３００に送信する（Ｓ１２０）。
【００１８】
ネットワーク制御装置３００は、ネットワーク装置９３０などに接続されている。ネットワーク制御装置３００は、１つ以上の対処情報を受け取る。複数の対処情報を受け取ったときは、ネットワーク制御装置３００が、いずれかの対処情報を選択し（Ｓ３１０）、選択した対処情報にしたがってネットワークの制御を行う（Ｓ３２０）。図１と図２ではネットワーク装置９３０を１つしか示していないが、ネットワーク全体には多数のネットワーク装置９３０が存在し、ネットワーク制御装置３００は、脅威への対処が必要なネットワーク装置９３０に対して対処情報を送信する。配置場所や機能などから、ネットワーク装置９３０ごとに実行可能な対処方法が異なると考えられる。そこで、例えば、ネットワーク制御装置３００は、複数の対処情報の中から、対処情報を送るネットワーク装置９３０が実行可能な対処情報を選択すればよい。このようにすれば、対処指示装置１００は、ネットワーク装置９３０ごとの配置場所や機能を考慮することなく、対処情報を選択できる。
【００１９】
対処指示装置１００、セキュリティエンジン２００、ネットワーク制御装置３００は、ステップＳ２１０〜Ｓ３２０までの処理を繰り返す。
【００２０】
対処指示装置１００によれば、あらかじめ定めた高い緊急度と大きい脅威規模の場合には、脅威情報記録部１９１に記録されているいずれの脅威情報にも含まれていない送信元または送信先の装置に対する対処を行うので、攻撃に対して先回りした対処ができる。
【００２１】
［変形例１］
図２に本変形例の対処指示装置を含む構成例を、図３に処理フローを示す。実施例１との相違点は、対処指示装置１０５が備える対処判断部１３０である。対処判断部１３０は、ファジー推論を用いる。図６はファジー推論のイメージを示す図、図７は対処情報と緊急度、脅威規模の関係を示す図、図８は対処判断部１３０内の処理フローの例を示す図である。
【００２２】
対処判断部１３０は、脅威が広がる速度（例えば、脅威の対象となっているネットワーク内の装置の割合の１分間での増加）と脅威規模（例えば、脅威の対象となっている装置の台数）を求める（Ｓ１３１）。対処判断部１３０は、前件部として、脅威が広がる速度をファジー化し、脅威の対象となっている装置の台数をファジー化する（Ｓ１３２）。対処判断部１３０は、ファジー推論のルールにしたがって脅威が広がる速度に対応する緊急度のパラメータと、脅威の対象となっている装置の台数に対応する脅威規模のパラメータを算出する（Ｓ１３３）。対処判断部１３０は、後件部として、緊急度のパラメータと脅威規模のパラメータを非ファジー化し、緊急度と脅威規模を求める（Ｓ１３４）。なお、ファジー推論のルールおよび関数は、従来技術の範囲で適宜定めればよい。図６の例は、脅威の広がる速度が速く、脅威の対象となっている装置の台数が多いときには、緊急度を「高」、脅威規模を「大」とするファジー推論のルールが適用された場合である。ファジー化と非ファジー化は従来技術の範囲で行えば良い。
【００２３】
対処判断部１３０は、求めた緊急度と脅威規模に基づいて、対応する対処情報を選択する（Ｓ１３５）。より具体的には、判断ルール記録部１９２には、ステップＳ１３４で求める緊急度と脅威規模を当てはめることができる状況判定ルールを記録しておく。ステップ１３５では、対処判断部１３０は、判断ルール記録部１９２に記録されたルールに求めた緊急度と脅威規模を当てはめることで脅威の状況を判定し、その判定結果に応じて、対処情報記録部１９３に記録された対処情報の中から対処情報を選択する。なお、抽象度が大きい状況判断ルールから判定することで、効率的に判定できる。選択する対処情報は１つ以上でもよい。装置をクラスタリング（グループ分け）して、グループごとに対処情報を選択してもよい。また、対処判断部１３０は、あらかじめ定めた高い緊急度と大きい脅威規模の場合には、前記脅威情報記録部に記録されているいずれの脅威情報にも含まれていない送信元または送信先の装置に対する対処を含む対処情報を選択する。つまり、図７の（４）の範囲に該当する時には、先回りをした対処を行う。図７の（１）〜（３）のときは脅威に対して個別に対処を行ってもよいし、実施例１のように状況判定を行って、対処情報を選択してもよい。
【００２４】
したがって、対処指示装置１０５の場合も実施例１と同様の効果が得られ、さらに細かい制御が可能となる。
【００２５】
［プログラム、記録媒体］
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
【００２６】
また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。
【００２７】
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。
【００２８】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【００２９】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
【００３０】
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【符号の説明】
【００３１】
１００，１０５  対処指示装置          １１０，１３０  対処判断部
１２０  対処送信部                    １９１  脅威情報記録部
１９２  判断ルール記録部              １９３  対処情報記録部
２００  セキュリティエンジン          ２１０  分析部
３００  ネットワーク制御装置          ９１０，９２０  装置
９３０  ネットワーク装置              ９３１  スイッチ
９５０  ネットワーク
【図１】
2018157343.tif 000003
【図２】
2018157343.tif 000004
【図３】
2018157343.tif 000005
【図４】
2018157343.tif 000006
【図５】
2018157343.tif 000007
【図６】
2018157343.tif 000008
【図７】
2018157343.tif 000009
【図８】
2018157343.tif 000010