(57)【要約】【課題】セキュリティ対処におけるスループットを確保しつつ、セキュリティ対処性能を向上させる。【解決手段】パケットを転送するネットワークタップ装置と、当該ネットワークタップ装置にて転送されるパケットに対してセキュリティ対処を実施するアクセス制御装置とを有するセキュリティ対処システムは、前記ネットワークタップ装置から転送されたパケットを受信し、当該パケットに対してセキュリティ対処を実施するべきか否かを分析するパケット分析装置と、前記パケット分析装置から分析結果を受信し、当該分析結果に基づいてセキュリティ対処ルールを設計し、前記アクセス制御装置に対して当該セキュリティ対処ルールを指示するセキュリティ対処管理装置とを有する。【選択図】図２
2018037962.tif 000002
【特許請求の範囲】
【請求項１】
パケットを転送するネットワークタップ装置と、当該ネットワークタップ装置にて転送されるパケットに対してセキュリティ対処を実施するアクセス制御装置とを有するセキュリティ対処システムであって、
前記ネットワークタップ装置から転送されたパケットを受信し、当該パケットに対してセキュリティ対処を実施するべきか否かを分析するパケット分析装置と、
前記パケット分析装置から分析結果を受信し、当該分析結果に基づいてセキュリティ対処ルールを設計し、前記アクセス制御装置に対して当該セキュリティ対処ルールを指示するセキュリティ対処管理装置と、
を有するセキュリティ対処システム。
【請求項２】
前記セキュリティ対処管理装置は、セキュリティ対処ルールが入力された場合、前記アクセス制御装置に対して当該入力されたセキュリティ対処ルールを指示する、請求項１に記載のセキュリティ対処システム。
【請求項３】
前記パケット分析装置は、
前記ネットワークタップ装置からセキュリティ対処前後のパケットを受信するパケット受信部と、
前記受信したセキュリティ対処前後のパケットを比較し、誤遮断パケットを検知する誤遮断検知部と、
前記検知した誤遮断パケットの分析結果を前記セキュリティ対処管理装置に通知する分析結果通知部と、
を有し、
前記セキュリティ対処管理装置は、
前記パケット分析装置から分析結果を受信する受信部と、
前記分析結果に基づいてセキュリティ対処ルールを設計する対処設計部と、
前記アクセス制御装置に対して前記セキュリティ対処ルールを指示する対処指示部と、
を有する、請求項１又は２に記載のセキュリティ対処システム。
【請求項４】
前記パケット分析装置は、
前記ネットワークタップ装置からセキュリティ対処後のパケットを受信するパケット受信部と、
前記受信したパケットから、セキュリティ対処を実施すべき攻撃パケットを検知する攻撃検知部と、
前記検知した攻撃パケットの分析結果を前記セキュリティ対処管理装置に通知する分析結果通知部と、
を有し、
前記セキュリティ対処管理装置は、
前記パケット分析装置から分析結果を受信する受信部と、
前記分析結果に基づいてセキュリティ対処ルールを設計する対処設計部と、
前記アクセス制御装置に対して前記セキュリティ対処ルールを指示する対処指示部と、
を有する、請求項１又は２に記載のセキュリティ対処システム。
【請求項５】
前記パケット分析装置は、
前記ネットワークタップ装置からセキュリティ対処前のパケットを受信するパケット受信部と、
前記受信したパケットから、セキュリティ対処を実施すべきでない正常パケットを検知する攻撃検知部と、
前記検知した正常パケットの分析結果を前記セキュリティ対処管理装置に通知する分析結果通知部と、
を有し、
前記セキュリティ対処管理装置は、
前記パケット分析装置から分析結果を受信する受信部と、
前記分析結果に基づいてセキュリティ対処ルールを設計する対処設計部と、
前記アクセス制御装置に対して前記セキュリティ対処ルールを指示する対処指示部と、
を有する、請求項１又は２に記載のセキュリティ対処システム。
【請求項６】
パケットを転送するネットワークタップ装置と、当該ネットワークタップ装置にて転送されるパケットに対してセキュリティ対処を実施するアクセス制御装置とを有するセキュリティ対処システムにおけるセキュリティ対処方法であって、
パケット分析装置が、前記ネットワークタップ装置から転送されたパケットを受信し、当該パケットに対してセキュリティ対処を実施するべきか否かを分析するステップと、
セキュリティ対処管理装置が、前記パケット分析装置から分析結果を受信し、当該分析結果に基づいてセキュリティ対処ルールを設計し、前記アクセス制御装置に対して当該セキュリティ対処ルールを指示するステップと、
を有するセキュリティ対処方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ対処システム及びセキュリティ対処方法に関する。特に、本発明は、ネットワーク内において、アクセス制御装置とパケット分析装置とセキュリティ対処管理装置を使用して、セキュリティ対処設定を自動変更するためのセキュリティ対処システム及びセキュリティ対処方法に関する。
【背景技術】
【０００２】
近年、ネットワーク上におけるサービス妨害型攻撃（DDoS攻撃：Distributed Denial of Service attack）の脅威が増大し、ネットワークやサービスの可用性に大きな被害を与えている。近年のDDoS攻撃は、ボットネットやツール使用によるボリューム型攻撃（数百Gbpsのトラフィック送信）、サーバの特定サービスを標的として処理負荷を高めるアプリケーションレイヤ攻撃、複数の攻撃手法を組み合わせたマルチベクトル型攻撃が主流である。
【０００３】
DDoS攻撃による被害を防ぐためには攻撃パケットを攻撃元に近いネットワークにおいて、遮断やレート制限などのセキュリティ対処することが有効である。有効なセキュリティ対処として、ボリューム型攻撃ではネットワーク上のアクセス制御装置によるパケットフィルタリング（非特許文献１）やレート制御（特許文献１）がある。また、アプリケーションレイヤ攻撃では攻撃対象のホストでのパケット分析装置による検知・対処がある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１４−２３６４６１号公報
【非特許文献】
【０００５】
【非特許文献１】興語一史他，"複数の帯域制御方式を組み合わせたDDoS攻撃抑制方式の検討"，IEICE通信ソサイティ, 2016年
【発明の概要】
【発明が解決しようとする課題】
【０００６】
図１は、従来のセキュリティ対処方式を示す概略図である。現状、ユーザを収容する大規模ネットワークでのセキュリティ対処はオペレータが攻撃情報をもとに攻撃元に近いネットワーク側及び／又は攻撃先に近いユーザ側で対処ルールを設定している。
【０００７】
DDoS攻撃に対する代表的なセキュリティ対処であるパケットフィルタリング、レート制限、及び攻撃対象サーバ前段でのパケット分析対処は以下の手順で実施される。
【０００８】
パケットフィルタリングについては、オペレータが攻撃検知情報からシグネイチャ情報（通信、送信元／送信先IP（Internet Protocol）アドレス、送信元／送信先ポート、プロトコル番号など）をアクセス制御装置に対処ルールとして設定する。アクセス制御装置において、対処ルールとパケットの情報をマッチングし、マッチングした場合、該当パケットを遮断する。
【０００９】
レート制限については、アクセス制御装置において、レート制限ルール（パケットレート、接続IPアドレス情報など）を設定する。アクセス制御装置を通過するトラフィックをレート制限ルールと照らし合わせ、レート制限ルールに合致する場合、パケットの通過を制限する。
【００１０】
攻撃対象サーバ前段でのパケット分析対処については、攻撃対象サーバに到着するパケットをペイロードまで分析し、攻撃を検知した場合、装置自体でセキュリティ対処を実施する。
【００１１】
このようなセキュリティ対処をキャリアネットワーク、ISP（Internet Service Provider）ネットワークで実施する場合は、大容量スループットの確保が必要であり、またオペレータが設定する対処ルールにおいて、適切でないルール設定を行うと、誤遮断と見逃しが発生すること、オペレータによる運用では誤遮断と見逃しの発見から再ルール設定まで時間が掛かることが課題である。
【００１２】
なお、パケット分析を用いることで誤遮断や見逃しのパケットを高精度で検知できるが、パケット分析処理に時間が掛かり、この場合には大容量スループットが確保できないことが課題である。
【００１３】
そこで、本発明は、誤遮断や見逃しの可能性があるパケットをパケット分析装置で分析・検知し、アクセス制御装置にフィードバックすることで、セキュリティ対処におけるスループットを確保しつつ、セキュリティ対処性能を向上させることを目的とする。
【課題を解決するための手段】
【００１４】
本発明の一形態に係るセキュリティ対処システムは、
パケットを転送するネットワークタップ装置と、当該ネットワークタップ装置にて転送されるパケットに対してセキュリティ対処ルールを設定するアクセス制御装置とを有するセキュリティ対処システムであって、
前記ネットワークタップ装置から転送されたパケットを受信し、当該パケットに対してセキュリティ対処を実施するべきか否かを分析するパケット分析装置と、
前記パケット分析装置から分析結果を受信し、当該分析結果に基づいてセキュリティ対処ルールを設計し、前記アクセス制御装置に対して当該セキュリティ対処ルールを指示するセキュリティ対処管理装置と、
を有することを特徴とする。
【００１５】
また、本発明の一形態に係るセキュリティ対処方法は、
パケットを転送するネットワークタップ装置と、当該ネットワークタップ装置にて転送されるパケットに対してセキュリティ対処ルールを設定するアクセス制御装置とを有するセキュリティ対処システムにおけるセキュリティ対処方法であって、
パケット分析装置が、前記ネットワークタップ装置から転送されたパケットを受信し、当該パケットに対してセキュリティ対処を実施するべきか否かを分析するステップと、
セキュリティ対処管理装置が、前記パケット分析装置から分析結果を受信し、当該分析結果に基づいてセキュリティ対処ルールを設計し、前記アクセス制御装置に対して当該セキュリティ対処ルールを指示するステップと、
を有することを特徴とする。
【発明の効果】
【００１６】
本発明によれば、セキュリティ対処におけるスループットを確保しつつ、セキュリティ対処性能を向上させることを目的とする。
【図面の簡単な説明】
【００１７】
【図１】従来のセキュリティ対処方式を示す概略図
【図２】本発明の実施例に係るセキュリティ対処システムの概略図
【図３】本発明の実施例に係るセキュリティ対処システムにおける処理を示すフローチャート
【図４】本発明の実施例に係るセキュリティ対処システムの機能構成図
【図５】本発明の実施例１に係るセキュリティ対処システムにおけるシーケンス図
【図６】本発明の実施例２に係るセキュリティ対処システムにおけるシーケンス図
【図７】本発明の実施例３に係るセキュリティ対処システムにおけるシーケンス図
【図８】本発明の実施例に係るアクセス制御装置、パケット分析装置又はセキュリティ対処管理装置のハードウェア構成例を示す図
【発明を実施するための形態】
【００１８】
以下、図面を参照して本発明の実施例について説明する。
【００１９】
本発明の実施例では、パケットを転送するネットワークタップ装置と、ネットワークタップ装置にて転送されるパケットに対してセキュリティ対処ルールを設定するアクセス制御装置とを有するセキュリティ対処システムにおいて、パケット分析装置及びセキュリティ対処管理装置を用いて、マルチベクトル型DDoS攻撃などに対するセキュリティ対処の向上を図る手法について説明する。
【００２０】
図２は、本発明の実施例に係るセキュリティ対処システムの概略図である。セキュリティ対処システムは、キャリアネットワークまたはISP事業者ネットワークのような大規模ネットワークに適用され、DDoS攻撃などに対するセキュリティ対処を実施する。セキュリティ対処システムは、ネットワークタップ装置１００と、アクセス制御装置２００と、パケット分析装置３００と、セキュリティ対処管理装置４００とを有する。
【００２１】
ネットワークタップ装置１００は、各ユーザ端末から受信したパケットを送信先のサーバなどに転送するルータなどの装置である。セキュリティ対処を実施するため、ネットワークタップ装置１００は、受信したパケットをコピーして送信する機能を有する。
【００２２】
アクセス制御装置２００は、ネットワークタップ装置１００にて転送されるパケットに対してセキュリティ対処を実施するファイアウォールなどの装置である。アクセス制御装置２００は、オペレータなどにより入力されたセキュリティ対処ルールに基づき、レート制限、遮断などのセキュリティ対処を実施する。
【００２３】
パケット分析装置３００は、ネットワークタップ装置１００から転送されたパケットを受信し、当該パケットに対してセキュリティ対処を実施するべきか否かを分析する装置である。例えば、パケット分析装置３００は、シグネイチャ情報（通信、送信元／送信先IPアドレス、送信元／送信先ポート、プロトコル番号など）及びペイロードを分析して、パケットがセキュリティ対処を実施すべき攻撃パケットであるか否かを分析する。パケット分析装置３００は、オフラインでパケットを分析し、その分析結果であるアラート情報をセキュリティ対処管理装置４００に通知する。アラート情報には、アクセス制御装置２００においてパケットが誤遮断されたことを示す誤遮断検知アラートと、パケットに対してセキュリティ対処を実施すべきであることを示す攻撃検知アラートと、パケットに対してセキュリティ対処を実施すべきでないことを示す正常検知アラートとが含まれる。
【００２４】
セキュリティ対処管理装置４００は、セキュリティ対処の設定及び管理を行う装置であり、パケット分析装置３００から分析結果を受信し、当該分析結果に基づいてセキュリティ対処ルールを設計し、アクセス制御装置２００に対してセキュリティ対処ルールを指示する。また、セキュリティ対処管理装置４００は、オペレータなどによりセキュリティ対処ルールが入力された場合、アクセス制御装置２００に対して当該入力されたセキュリティ対処ルールを指示する。その結果、アクセス制御装置２００でのセキュリティ対処設定が自動で変更される。
【００２５】
図３は、本発明の実施例に係るセキュリティ対処システムにおける処理を示すフローチャートである。
【００２６】
まず、攻撃検知情報に対してオペレータがセキュリティ対処ルールを設定する。セキュリティ対処ルールは、シグネイチャ情報（送信元／送信先IPアドレス、送信元／送信先ポート、プロトコル番号など）と、シグネイチャ情報に対するパケットの遮断又はレート制限などのセキュリティ対処情報とを含む。セキュリティ対処ルールは、オペレータがアクセス制御装置２００に入力することによって設定されてもよく、オペレータがセキュリティ対処管理装置４００に入力してセキュリティ対処管理装置４００からアクセス制御装置２００に設定されてもよい。以下では、セキュリティ対処管理装置４００からアクセス制御装置２００に設定される場合について説明する。
【００２７】
セキュリティ対処管理装置４００は、アクセス制御装置２００に対してセキュリティ対処ルールを指示する（Ｓ１０１）。
【００２８】
アクセス制御装置２００は、セキュリティ対処管理装置４００から指示されたセキュリティ対処ルールを反映する（Ｓ１０３）。
【００２９】
ネットワークタップ装置１００は、パケットを受信する毎に、コピーしたパケットをパケット分析装置３００に送信する（Ｓ１０５）。パケット分析装置３００による分析のため、ネットワークタップ装置１００は、セキュリティ対処前のパケットに加えて、セキュリティ対処後のパケットもパケット分析装置３００に送信してもよい。
【００３０】
パケット分析装置３００は、パケットを分析し（Ｓ１０７）、誤遮断又は攻撃を検知する（Ｓ１０９）。誤遮断又は攻撃を検知しない場合（Ｓ１１１：ＮＯ）、パケットの分析を続ける。誤遮断又は攻撃を検知した場合（Ｓ１１１：ＹＥＳ）、パケット分析装置３００は、セキュリティ対処管理装置４００に対してアラート情報を送信する。なお、正常パケットである場合にも、パケット分析装置３００は、正常パケットであることを示すアラート情報をセキュリティ対処管理装置４００に送信してもよい。
【００３１】
セキュリティ対処管理装置４００は、アラート情報からセキュリティ対処ルールを設計し（Ｓ１１３）、アクセス制御装置２００に対してセキュリティ対処ルールを指示する（Ｓ１１５）。アクセス制御装置２００は、セキュリティ対処管理装置４００から指示されたセキュリティ対処ルールを反映する（Ｓ１０３）。
【００３２】
図４は、本発明の実施例に係るセキュリティ対処システムの機能構成図である。
【００３３】
ネットワークタップ装置１００は、パケット転送部１０１と、転送制御部１０２とを有する。パケット転送部１０１は、受信したパケットを送信先に転送すると共に、受信したパケットをコピーしてパケット分析装置３００に転送する。転送制御部１０２は、アクセス制御装置２００からの指示に基づき、パケットの転送先を制御する。
【００３４】
アクセス制御装置２００は、遮断判断部２０１と、対処ルール管理部２０２と、対処ルール受信部２０３と、ログ生成部２０４と、ログ管理部２０５とを有する。遮断判断部２０１は、セキュリティ対処ルールに基づき、レート制限、遮断などのセキュリティ対処を実施する。対処ルール管理部２０２は、遮断判断部２０１に対してセキュリティ対処ルールを設定する。対処ルール受信部２０３は、セキュリティ対処管理装置４００からセキュリティ対処ルールを受信する。ログ生成部２０４は、対処ルール管理部２０２が設定したセキュリティ対処ルールをログとして生成し、ログ管理部２０５に格納する。また、遮断判断部２０１においてレート制限、遮断されたパケットをログ管理部２０５に格納してもよい。
【００３５】
パケット分析装置３００は、パケット受信部３０１と、パケット管理部３０２と、誤遮断検知部３０３と、攻撃検知部３０４と、分析結果通知部３０５とを有する。パケット受信部３０１は、ネットワークタップ装置１００から転送されたパケットを受信し、パケット管理部３０２に格納する。誤遮断検知部３０３は、アクセス制御装置２００においてパケットが誤遮断されたことを検知する。攻撃検知部３０４は、アクセス制御装置２００においてレート制限、誤遮断すべき攻撃パケットを検知する。なお、誤遮断検知部３０３及び攻撃検知部３０４は、パケット管理部３０２に格納されたパケットをオフラインで分析することができる。分析結果通知部３０５は、誤遮断検知部３０３及び攻撃検知部３０４による分析結果をセキュリティ対処管理装置４００に通知する。
【００３６】
セキュリティ対処管理装置４００は、対処設定部４０１と、イベント受信部４０２と、対処設計部４０３と、対処管理部４０４と、対処指示部４０５とを有する。対処設定部４０１は、オペレータなどにより入力されたセキュリティ対処ルールを設定する。イベント受信部４０２は、パケット分析装置３００から分析結果を受信する。対処設計部４０３は、分析結果に基づいてセキュリティ対処ルールを設計する。対処管理部４０４は、対処設定部４０１及び対処設計部４０３において設定されたセキュリティ対処ルールを管理する。対処指示部４０５は、アクセス制御装置２００に対してセキュリティ対処ルールを指示する。
【００３７】
それぞれの機能について以下の実施例１〜実施例３において更に詳細に説明する。
【００３８】
＜実施例１＞
本発明の実施例１では、パケット分析装置３００でアクセス制御装置２００において誤遮断したパケットを検知し、セキュリティ対処管理装置４００によって自動でアクセス制御装置２００のセキュリティ対処内容を変更する手順について説明する。
【００３９】
ネットワークタップ装置１００のパケット転送部１０１は、セキュリティ対処前のパケットをコピーし、パケット分析装置３００に送信する（Ｓ２０１）。当該パケットは、アクセス制御装置２００の遮断判断部２０１において、必要に応じてセキュリティ対処が実施される（Ｓ２０３）。アクセス制御装置２００の遮断判断部２０１においてセキュリティ対処が実施された場合、ネットワークタップ装置１００のパケット転送部１０１は、セキュリティ対処後のパケットをコピーし、パケット分析装置３００に送信する（Ｓ２０５）。
【００４０】
パケット分析装置３００は、パケット受信部３０１においてネットワークタップ装置１００からセキュリティ対処前後のパケットを受信し、パケット管理部３０２に格納する。その後、パケット分析装置３００の誤遮断検知部３０３は、オフラインでセキュリティ対処前後のパケットを比較し、誤遮断パケットを検知する（Ｓ２０７）。例えば、誤遮断検知部３０３は、セキュリティ対処前後のパケットのシグネイチャ情報及びペイロードから、セキュリティ対処が実施されるべきでないパケットにセキュリティ対処が行われているかを検知する。誤遮断検知部３０３において誤遮断パケットが検知された場合、分析結果通知部３０５は、誤遮断検知アラートをセキュリティ対処管理装置４００に通知する（Ｓ２０９）。
【００４１】
セキュリティ対処管理装置４００のイベント受信部４０２が誤遮断検知アラートを受信すると、対処設計部４０３は、誤遮断検知アラートに基づいてセキュリティ対処ルールを設計し、設計したセキュリティ対処ルールを対処管理部４０４において管理する（Ｓ２１１）。例えば、対処設計部４０３は、誤遮断と判断されたパケットに対する遮断又はレート制限を解除するためのセキュリティ対処ルールを設計する。対処指示部４０５は、アクセス制御装置２００に対してセキュリティ対処ルールを指示する（Ｓ２１３）。
【００４２】
アクセス制御装置２００は、対処ルール受信部２０３においてセキュリティ対処ルールを受信し、対処ルール管理部２０２においてセキュリティ対処ルールを設定する（Ｓ２１５）。遮断判断部２０１は、設定されたセキュリティ対処ルールに基づいてパケットを遮断又はレート制限する（Ｓ２１７）。
【００４３】
この手順により、ユーザパケットの誤遮断を減少させることができる。
【００４４】
＜実施例２＞
本発明の実施例２では、パケット分析装置３００でアクセス制御装置２００において見逃したパケットを検知し、セキュリティ対処管理装置４００によって新しいセキュリティ対処ルールをアクセス制御装置２００に追加する手順について説明する。
【００４５】
アクセス制御装置２００の遮断判断部２０１は、ネットワークタップ装置１００にて転送されるパケットに対して、必要に応じてセキュリティ対処を実施する（Ｓ３０３）。
【００４６】
ネットワークタップ装置１００のパケット転送部１０１は、セキュリティ対処後のパケットをコピーし、パケット分析装置３００に送信する（Ｓ３０５）。
【００４７】
パケット分析装置３００は、パケット受信部３０１においてネットワークタップ装置１００からセキュリティ対処後のパケットを受信し、パケット管理部３０２に格納する。その後、パケット分析装置３００の攻撃検知部３０４は、オフラインでセキュリティ対処が行われていない攻撃パケットを検知する（Ｓ３０７）。例えば、攻撃検知部３０４は、DPI（Deep Packet Inspection）などによって攻撃パケットを検知する。攻撃検知部３０４において攻撃パケットが検知された場合、分析結果通知部３０５は、攻撃検知アラートをセキュリティ対処管理装置４００に通知する（Ｓ３０９）。
【００４８】
セキュリティ対処管理装置４００のイベント受信部４０２が攻撃検知アラートを受信すると、対処設計部４０３は、攻撃検知アラートに基づいてセキュリティ対処ルールを設計し、設計したセキュリティ対処ルールを対処管理部４０４において管理する（Ｓ３１１）。例えば、対処設計部４０３は、攻撃パケットに対する遮断又はレート制限を実施するためのセキュリティ対処ルールを設計する。対処指示部４０５は、アクセス制御装置２００に対してセキュリティ対処ルールを指示する（Ｓ３１３）。
【００４９】
アクセス制御装置２００は、対処ルール受信部２０３においてセキュリティ対処ルールを受信し、対処ルール管理部２０２においてセキュリティ対処ルールを設定する（Ｓ３１５）。遮断判断部２０１は、設定されたセキュリティ対処ルールに基づいて、攻撃パケットを遮断又はレート制限する（Ｓ３１７）。
【００５０】
この手順により、攻撃パケットを減少させることができる。
【００５１】
＜実施例３＞
本発明の実施例３では、パケット分析装置３００でパケット分析することで正常なパケットを送信するユーザを判別し、正常なユーザを通過できるように、セキュリティ対処管理装置４００で新しいセキュリティ対処ルールをアクセス制御装置２００に設定する手順について説明する。
【００５２】
ネットワークタップ装置１００のパケット転送部１０１は、セキュリティ対処前のパケットをコピーし、パケット分析装置３００に送信する（Ｓ４０１）。当該パケットは、アクセス制御装置２００の遮断判断部２０１において、必要に応じてセキュリティ対処が実施される（Ｓ４０３）。
【００５３】
パケット分析装置３００は、パケット受信部３０１においてネットワークタップ装置１００からセキュリティ対処前のパケットを受信し、パケット管理部３０２に格納する。その後、パケット分析装置３００の攻撃検知部３０４は、オフラインでセキュリティ対処が実施されるべきでない正常パケットを検知する（Ｓ４０７）。例えば、攻撃検知部３０４は、DPI（Deep Packet Inspection）などによって正常パケットと攻撃パケットを判別する。攻撃検知部３０４において正常パケットが検知された場合、分析結果通知部３０５は、正常検知アラートをセキュリティ対処管理装置４００に通知する（Ｓ４０９）。
【００５４】
セキュリティ対処管理装置４００のイベント受信部４０２が正常検知アラートを受信すると、対処設計部４０３は、正常検知アラートに基づいてセキュリティ対処ルールを設計し、設計したセキュリティ対処ルールを対処管理部４０４において管理する（Ｓ４１１）。例えば、対処設計部４０３は、正常パケットに対する遮断又はレート制限を実施せずに通過させるためのセキュリティ対処ルールを設計する。対処指示部４０５は、アクセス制御装置２００に対してセキュリティ対処ルールを指示する（Ｓ４１３）。
【００５５】
アクセス制御装置２００は、対処ルール受信部２０３においてセキュリティ対処ルールを受信し、対処ルール管理部２０２においてセキュリティ対処ルールを設定する（Ｓ４１５）。遮断判断部２０１は、設定されたセキュリティ対処ルールに基づいて、正常パケットを通過させる（Ｓ４１７）。
【００５６】
この手順により、正常パケットを送信するユーザ数を増加させることができる。
【００５７】
＜本発明の実施例による効果＞
従来技術では、セキュリティ対処ルールの設定ミスにより誤遮断や攻撃パケットの見逃しが発生する。また、誤設定時の対処変更に時間が掛かり、設定変更にもオペレータの介入が必要であった。
【００５８】
一方、本発明の実施例によれば、誤遮断や見逃しの可能性があるパケットをパケット分析装置で分析・検知し、アクセス制御装置にフィードバックすることで、従来技術に比べて、既存システムのスループット要件を満たし、かつセキュリティ対処性能を向上させることが可能になる。また、ネットワーク上のパケット分析装置で検知・フィードバックすることで、アクセス制御装置でのセキュリティ対処内容を自動で変更することができる。
【００５９】
本発明の実施例に係るシステムは、キャリアネットワークまたはISP事業者ネットワークのような大規模ネットワークに適用可能であり、このような大規模ネットワーク上でアプリケーションレイヤ型攻撃を検知・フィードバックし、アクセス制御装置でのセキュリティ対処が可能である。また、攻撃者が属するネットワーク側でのアプリケーションレイヤ攻撃の検知が可能である。
【００６０】
更に、セキュリティ対処の段階的な設定変更をでき、例えば、セキュリティ対処レベルを徐々に強固にする、特定のユーザを通過する設定に変更するなど柔軟な対処変更を実施できる。
【００６１】
＜ハードウェア構成例＞
図８に、本発明の実施例に係るアクセス制御装置２００、パケット分析装置３００又はセキュリティ対処管理装置４００のハードウェア構成例を示す。アクセス制御装置２００、パケット分析装置３００又はセキュリティ対処管理装置４００は、ＣＰＵ（Central Processing Unit）１５１等のプロセッサ、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）等のメモリ装置１５２、ハードディスク等の記憶装置１５３等から構成されたコンピュータでもよい。例えば、アクセス制御装置２００、パケット分析装置３００又はセキュリティ対処管理装置４００の機能及び処理は、記憶装置１５３又はメモリ装置１５２に格納されているデータやプログラムをＣＰＵ１５１が実行することによって実現される。また、アクセス制御装置２００、パケット分析装置３００又はセキュリティ対処管理装置４００に必要な情報は、入出力インタフェース装置１５４から入力され、アクセス制御装置２００、パケット分析装置３００又はセキュリティ対処管理装置４００において求められた結果は、入出力インタフェース装置１５４から出力されてもよい。
【００６２】
また、ネットワークタップ装置１００はルータなどの通信装置であるが、図８と同様のハードウェアで構成されてもよい。
【００６３】
＜補足＞
説明の便宜上、本発明の実施例に係るセキュリティ対処システムは機能的なブロック図を用いて説明しているが、本発明の実施例に係るセキュリティ対処システムは、ハードウェア、ソフトウェア又はそれらの組み合わせで実現されてもよい。例えば、本発明の実施例は、コンピュータに対して本発明の実施例に係るセキュリティ対処システムの機能を実現させるプログラム、コンピュータに対して本発明の実施例に係る方法の各手順を実行させるプログラム等により、実現されてもよい。また、各機能部が必要に応じて組み合わせて使用されてもよい。また、本発明の実施例に係る方法は、実施例に示す順序と異なる順序で実施されてもよい。
【００６４】
以上、セキュリティ対処におけるスループットを確保しつつ、セキュリティ対処性能を向上させるための手法について説明したが、本発明は、上記の実施例に限定されることなく、特許請求の範囲内において、種々の変更・応用が可能である。
【符号の説明】
【００６５】
１００  ネットワークタップ装置
１０１  パケット転送部
１０２  転送制御部
２００  アクセス制御装置
２０１  遮断判断部
２０２  対処ルール管理部
２０３  対処ルール受信部
２０４  ログ生成部
２０５  ログ管理部
３００  パケット分析装置
３０１  パケット受信部
３０２  パケット管理部
３０３  誤遮断検知部
３０４  攻撃検知部
３０５  分析結果通知部
４００  セキュリティ対処管理装置
４０１  対処設定部
４０２  イベント受信部
４０３  対処設計部
４０４  対処管理部
４０５  対処指示部
１５１  ＣＰＵ
１５２  メモリ装置
１５３  記憶装置
１５４  入出力インタフェース装置
【図１】
2018037962.tif 000003
【図２】
2018037962.tif 000004
【図３】
2018037962.tif 000005
【図４】
2018037962.tif 000006
【図５】
2018037962.tif 000007
【図６】
2018037962.tif 000008
【図７】
2018037962.tif 000009
【図８】
2018037962.tif 000010