(57)【要約】【課題】計算リソースを効果的に用いることができるセキュリティ監視サーバを提供する。【解決手段】受信した情報に基づいて情報の発信元を特定する発信元特定部と、過去に受信した情報の発信元と過去に受信した情報の脅威レベルとを対応付けてエントリとして予め記憶する脅威レベルデータベースと、特定された発信元とを照合し、受信した情報に対する攻撃検知の詳細度を決定する攻撃検知詳細度決定部と、受信した情報に対して、決定された詳細度に基づく攻撃検知を実行する攻撃検知部と、攻撃検知の結果に基づいて、受信した情報に対する高次な攻撃検知の必要性を判断する高次検知必要性判断部を含み、攻撃検知詳細度決定部は、高次な攻撃検知の必要性があると判断された場合に、攻撃検知の結果に基づいて、受信した情報に対する攻撃検知の詳細度を再度決定する。【選択図】図１
2018121262.tif 000002
【特許請求の範囲】
【請求項１】
受信した情報に基づいて情報の発信元を特定する発信元特定部と、
過去に受信した情報の発信元と過去に受信した情報の脅威レベルとを対応付けてエントリとして予め記憶する脅威レベルデータベースと、特定された前記発信元とを照合し、受信した前記情報に対する攻撃検知の詳細度を決定する攻撃検知詳細度決定部と、
受信した前記情報に対して、決定された前記詳細度に基づく攻撃検知を実行する攻撃検知部と、
前記攻撃検知の結果に基づいて、受信した前記情報に対する高次な攻撃検知の必要性を判断する高次検知必要性判断部を含み、
前記攻撃検知詳細度決定部は、
高次な攻撃検知の必要性があると判断された場合に、前記攻撃検知の結果に基づいて、受信した前記情報に対する攻撃検知の詳細度を再度決定する
セキュリティ監視サーバ。
【請求項２】
請求項１に記載のセキュリティ監視サーバであって、
受信した前記情報に対して実行された前記攻撃検知の結果が正常でない場合に、これに対応する発信元と類似の特徴を有する機器、すなわち類似機器の前記エントリを前記脅威レベルデータベースから探索する類似機器探索部をさらに含み、
前記高次検知必要性判断部は、
探索された前記エントリに対する高次な攻撃検知の必要性を判断し、
前記攻撃検知詳細度決定部は、
探索された前記エントリに対して高次な攻撃検知の必要性があると判断された場合に、探索された前記エントリに対する攻撃検知の詳細度を決定し、
前記攻撃検知部は、
探索された前記エントリに対して、決定された前記詳細度に基づく攻撃検知を実行する
セキュリティ監視サーバ。
【請求項３】
請求項２に記載のセキュリティ監視サーバであって、
前記特徴には、ＯＳ、機種、使用しているアプリケーション、ミドルウェア、ネットワーク的特徴、データの構造、データの特徴的なパターンの何れか一つが含まれる
セキュリティ監視サーバ。
【請求項４】
請求項１に記載のセキュリティ監視サーバであって、
受信した前記情報に対して実行された前記攻撃検知の結果が正常である場合に、前記セキュリティ監視サーバの現在の計算リソースを確認するリソース確認部と、
前記確認された計算リソースが所定値を超える場合に、サンプルとなる機器、すなわちサンプル機器の前記エントリを前記脅威レベルデータベースから抽出するサンプル抽出部をさらに含み、
前記高次検知必要性判断部は、
抽出された前記エントリに対する高次な攻撃検知の必要性を判断し、
前記攻撃検知詳細度決定部は、
抽出された前記エントリに対して高次な攻撃検知の必要性があると判断された場合に、抽出された前記エントリに対する攻撃検知の詳細度を決定し、
前記攻撃検知部は、
抽出された前記エントリに対して、決定された前記詳細度に基づく攻撃検知を実行する
セキュリティ監視サーバ。
【請求項５】
セキュリティ監視サーバが実行するセキュリティ監視方法であって、
受信した情報に基づいて情報の発信元を特定するステップと、
過去に受信した情報の発信元と過去に受信した情報の脅威レベルとを対応付けてエントリとして予め記憶する脅威レベルデータベースと、特定された前記発信元とを照合し、受信した前記情報に対する攻撃検知の詳細度を決定するステップと、
受信した前記情報に対して、決定された前記詳細度に基づく攻撃検知を実行するステップと、
前記攻撃検知の結果に基づいて、受信した前記情報に対する高次な攻撃検知の必要性を判断するステップと、
高次な攻撃検知の必要性があると判断された場合に、前記攻撃検知の結果に基づいて、受信した前記情報に対する攻撃検知の詳細度を再度決定するステップを含む
セキュリティ監視方法。
【請求項６】
請求項５に記載のセキュリティ監視方法であって、
受信した前記情報に対して実行された前記攻撃検知の結果が正常でない場合に、これに対応する発信元と類似の特徴を有する機器、すなわち類似機器の前記エントリを前記脅威レベルデータベースから探索するステップと、
探索された前記エントリに対する高次な攻撃検知の必要性を判断するステップと、
探索された前記エントリに対して高次な攻撃検知の必要性があると判断された場合に、探索された前記エントリに対する攻撃検知の詳細度を決定するステップと、
探索された前記エントリに対して、決定された前記詳細度に基づく攻撃検知を実行するステップをさらに含む
セキュリティ監視方法。
【請求項７】
請求項５に記載のセキュリティ監視方法であって、
受信した前記情報に対して実行された前記攻撃検知の結果が正常である場合に、前記セキュリティ監視サーバの現在の計算リソースを確認するステップと、
前記確認された計算リソースが所定値を超える場合に、サンプルとなる機器、すなわちサンプル機器の前記エントリを前記脅威レベルデータベースから抽出するステップと、
抽出された前記エントリに対する高次な攻撃検知の必要性を判断するステップと、
抽出された前記エントリに対して高次な攻撃検知の必要性があると判断された場合に、抽出された前記エントリに対する攻撃検知の詳細度を決定するステップと、
抽出された前記エントリに対して、決定された前記詳細度に基づく攻撃検知を実行するステップを含む
セキュリティ監視方法。
【請求項８】
コンピュータを請求項１から４の何れかに記載のセキュリティ監視サーバとして機能させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Protection System）、攻撃検知システムに利用可能なセキュリティ監視サーバ、セキュリティ監視方法、プログラムに関する。
【背景技術】
【０００２】
近年、ネットワークを介してつながるサーバなどのインフラに対する攻撃の脅威が増大している。また、ＩｏＴ（Internet of Things）時代を向かえ、検知対象となる機器の数が爆発的に増加することが予測される。攻撃検知システムの従来技術として、特許文献１がある。またネットワーク監視装置の従来技術として、特許文献２がある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第５７３９０３４号公報
【特許文献２】特許第５８４４９３８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従来技術を利用して、多数の機器を対象に多くの計算量（深い分析）を伴う攻撃検知を行う場合、計算リソースが多量に必要となることが課題であった。そこで本発明では、計算リソースを効果的に用いることができるセキュリティ監視サーバを提供することを目的とする。
【課題を解決するための手段】
【０００５】
本発明のセキュリティ監視サーバは、発信元特定部と、攻撃検知詳細度決定部と、攻撃検知部と、高次検知必要性判断部を含む。
【０００６】
発信元特定部は、受信した情報に基づいて情報の発信元を特定する。攻撃検知詳細度決定部は、過去に受信した情報の発信元と過去に受信した情報の脅威レベルとを対応付けてエントリとして予め記憶する脅威レベルデータベースと、特定された発信元とを照合し、受信した情報に対する攻撃検知の詳細度を決定する。攻撃検知部は、受信した情報に対して、決定された詳細度に基づく攻撃検知を実行する。高次検知必要性判断部は、攻撃検知の結果に基づいて、受信した情報に対する高次な攻撃検知の必要性を判断する。攻撃検知詳細度決定部は、高次な攻撃検知の必要性があると判断された場合に、攻撃検知の結果に基づいて、受信した情報に対する攻撃検知の詳細度を再度決定する。
【発明の効果】
【０００７】
本発明のセキュリティ監視サーバによれば、計算リソースを効果的に用いることができる。
【図面の簡単な説明】
【０００８】
【図１】実施例１の攻撃検知システムの構成を示すブロック図。
【図２】実施例１のセキュリティ監視サーバの動作を示すフローチャート。
【図３】検知結果データベースに記憶される項目を説明する図。
【図４】脅威レベルデータベースに記憶される項目を説明する図。
【図５】実施例２の攻撃検知システムの構成を示すブロック図。
【図６】実施例２のセキュリティ監視サーバの動作を示すフローチャート。
【図７】実施例３の攻撃検知システムの構成を示すブロック図。
【図８】実施例３のセキュリティ監視サーバの動作を示すフローチャート。
【発明を実施するための形態】
【０００９】
以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
【実施例１】
【００１０】
以下、図１、図２を参照して実施例１の攻撃検知システムの構成及び動作を説明する。図１に示すように本実施例の攻撃検知システム１０００は、セキュリティ監視サーバ１、管理者端末９１、サービス提供サーバ９２、スイッチ／ルータ９３、セキュリティアプライアンス９４、脅威レベルデータベース９５などを含んで構成される。なお、脅威レベルデータベース９５は、セキュリティ監視サーバ１のハードウェア内の記憶領域としてもよい。
【００１１】
本実施例のセキュリティ監視サーバ１は、情報受信部１１と、処理前データベース１１ａと、発信元特定部１２と、処理済データベース１２ａと、攻撃検知詳細度決定部１３と、攻撃検知部１４と、検知結果データベース１４ａと、高次検知必要性判断部１５と、結果保存部１６を含む。図１に示すように、発信元特定部１２は復号部１２１、ヘッダ解析部１２２、ペイロード解析部１２３、統計部１２４などを含んで構成されてもよい。
【００１２】
情報受信部１１は、任意のクライアント端末（以下、発信元とも表記される）から任意の情報を受信する（Ｓ１１）。受信した情報は、処理前データベース１１ａに格納される。
【００１３】
なお、本実施例で攻撃検知対象とされるクライアント端末（発信元）としては、例えばＰＣなどの端末や、ＩｏＴ端末（制御系、センシング系など）、検知に低遅延性が求められる端末が想定される。
【００１４】
受信する情報の抽象度は、小さな情報単位としてはパケット、中規模な情報の単位としてデータ（例えばセンサデータひとつ分）、大規模な情報の単位として、所定のＩＰアドレスから一度のセッション、あるいは一定時間内に行われたセッションで送信された通信情報の全て、などが考えられる。後述するように、所定の情報単位ごとに攻撃検知が行われ、検知結果を記憶するためのエントリが生成される。攻撃検知やエントリ生成の対象となる情報の単位の抽象度については、自由度を持たせることができるものとする。例えば、パケットごとに攻撃検知、エントリ生成が実行されてもよいし、データごとに攻撃検知、エントリ生成を実行されてもよい。あるいは所定のＩＰアドレスから一度のセッションで送信された通信情報の全てに対して攻撃検知、エントリ生成が実行されてもよい。
【００１５】
発信元特定部１２は、ステップＳ１１で受信した情報に基づいて情報の発信元を特定する（Ｓ１２）。同図の構成例に従って具体的に説明するならば、復号部１２１は、受信した情報の復号処理を実行する。ヘッダ解析部１２２は、受信した情報のヘッダを解析する。ペイロード解析部１２３は、受信した情報のペイロード部分の解析を実行する。統計部１２４は、上記のデータを統計解析する。発信元の特定は、上述の情報を用い、様々な方法で実現できる。例えば、上述のように解析されたヘッダからＩＰアドレスなどの個別の識別子を抽出し、これを情報の発信元として用いてもよい。また例えば、解析されたヘッダからセッションＩＤなどを抽出し、これを情報の発信元として用いてもよい。ステップＳ１２において生成されたデータは、処理済データベース１２ａに格納される。
【００１６】
図３に示すように、脅威レベルデータベース９５には、過去の通信を対象として、発信元を特定する情報（例えばＩＰアドレスや端末ＩＤ）に紐づけて、一次検知（分析Ａ）の検知結果、二次検知（分析Ｂ）の検知結果、…といった具合に、攻撃検知の詳細度（以下、次数ともいう）ごとに、攻撃検知の結果が記憶されていてもよい。これに加え、脅威レベルデータベース９５には、詳細度ごとの攻撃検知結果から導き出される脅威レベルが対応付けられて記憶されているものとする。なお、図３の例に限らず、詳細度ごとの攻撃検知結果そのものを脅威レベルとして扱っても構わない。また、脅威レベルデータベース９５には、発信元を特定する情報（例えばＩＰアドレスや端末ＩＤ）だけでなく、通信セッションやパケットを特定する情報に紐づけて、各種の攻撃検知結果や脅威レベルが記憶されていてもよい。
【００１７】
脅威レベルは、０または１の２値としてもよいし、３値以上の数値を設定してもよい。例えば脅威レベルに１０種類の数字０，１，…，９を設定し、数字が大きければ大きいほど悪性度が強いことを意味するものとし、脅威レベルカラムの数字が９であれば明らかな悪性としてもよい。
【００１８】
本明細書では、少なくとも発信元を特定する情報とこれに対応する脅威レベルを含む情報のセットをエントリと呼ぶ。従って、脅威レベルデータベース９５には、少なくとも、過去に受信した情報の発信元（例えばＩＰアドレスや端末ＩＤ）と過去に受信した情報の脅威レベルとが対応付けられてエントリとして予め記憶されているものとする。
【００１９】
攻撃検知詳細度決定部１３は、脅威レベルデータベース９５の各エントリと、ステップＳ１２において特定された発信元とを照合し、ステップＳ１１で受信した情報に対する攻撃検知の詳細度を決定する（Ｓ１３）。より具体的には、攻撃検知詳細度決定部１３は、ステップＳ１２において発信元が特定された通信に対し、これと同一の発信元に該当するエントリが脅威レベルデータベース９５に存在するか否かを確認する。攻撃検知詳細度決定部１３は、例えば以下のようなルールで、受信した情報に対する攻撃検知の詳細度を決定してもよい。
【００２０】
具体例１）
脅威レベルデータベース９５に対応するエントリがなかった場合、詳細度（次数）を１次と設定する。一方、脅威レベルデータベース９５に対応するエントリがあった場合、詳細度（次数）をエントリが示す脅威レベルの一つ上の次数に設定する。
【００２１】
具体例２）
脅威レベルデータベース９５に対応するエントリがなかった場合、詳細度（次数）を１次と設定する。一方、脅威レベルデータベース９５に対応するエントリがあった場合、詳細度（次数）をエントリが示す脅威レベルと等しい次数に設定する。
【００２２】
予め用意される攻撃検知アルゴリズムには、予め詳細度（次数）が与えられているものとする。本実施例で用いることができる攻撃検知アルゴリズムとしては、例えばルールベース攻撃検知、ポートスキャニングの検知、利用ポートの変化検知、トラヒック流量の変化検知、パケット受信タイミングの変化検知、ＤＰＩ、時系列データとして取得されたデータを用いて予測されたデータと、実測されたデータとのはずれ具合で異常を検知する攻撃検知などが挙げられる。攻撃検知アルゴリズムが詳細かつ高コストであるほど、詳細度（次数）が高く設定される。
【００２３】
次に、攻撃検知部１４は、ステップＳ１１で受信した情報に対して、ステップＳ１３で決定された詳細度（次数）に基づく攻撃検知を実行する（Ｓ１４）。
【００２４】
攻撃検知の結果が正常であった場合（Ｓ１４ａＮ）、結果保存部１６は、発信元を特定する情報と、検知結果を検知結果データベース１４ａおよび脅威レベルデータベース９５に保存する（Ｓ１６）。図４に示すように、検知結果データベース１４ａには、アノマリ識別子、タイムスタンプ、発信元を特定する情報（ＩＰアドレスや端末ＩＤ）、詳細度ごとの検知結果、詳細度ごとの検知回数、最終検知結果、対処済フラグなどが保存される。
【００２５】
一方、攻撃検知の結果が正常でない場合（懸念有、または異常有であった場合、Ｓ１４ａＹ）、高次検知必要性判断部１５は、受信した情報に対する高次な攻撃検知の必要性を判断する（Ｓ１５）。高次な攻撃検知の必要性があると判断されなかった場合（Ｓ１５ａＮ）、結果保存部１６は、発信元を特定する情報と、検知結果を検知結果データベース１４ａおよび脅威レベルデータベース９５に保存する（Ｓ１６）。Ｓ１５ａＮに該当する場合として具体的には以下のようなケースが考えられる。
１）該当の通信が異常（不正）であることが明白であるため、さらに高次な攻撃検知を実行する必要性が乏しい。例えば、前述の脅威レベルカラムの数字が９である場合などには、該当の通信が悪性であることが明白であるため、さらに高次な攻撃検知を省略することができ、計算リソースを効果的に用いることができる。
２）すでに最高次の攻撃検知が実行されており、これよりも高次な攻撃検知が実行できない。
【００２６】
一方、高次な攻撃検知の必要性があると判断された場合（Ｓ１５ａＹ）、攻撃検知詳細度決定部１３は、攻撃検知の結果に基づいて、受信した情報に対する攻撃検知の詳細度を再度決定する（Ｓ１３）。攻撃検知部１４は、再度決定された詳細度（次数）に基づく攻撃検知を再度実行する（Ｓ１４）。ステップＳ１４ａＹの場合、高次検知必要性判断部１５は、さらに高次な攻撃検知の必要性を判断する（Ｓ１５）。このように、Ｓ１４ａＹ，Ｓ１５ａＹを充たす限りにおいて、ステップＳ１３、Ｓ１４、Ｓ１５が繰り返し実行される。攻撃検知詳細度決定部１３の詳細度（次数）の再決定方法として以下の具体的方法が考えられる。
【００２７】
具体例１）
対象の攻撃検知の詳細度（次数）を常に１増やす。
【００２８】
具体例２）
ステップＳ１４の攻撃検知アルゴリズムの出力が、正常／懸念有り／異常有りの３段階で表現される場合、
出力＝懸念有り→判断結果＝Ｙｅｓ（次数を１増やす）
出力＝異常有り→判断結果＝Ｙｅｓ（次数を２増やす）
※出力＝正常（懸念有り、異常有りの何れにも該当しない）の場合は、Ｓ１４ａＮの分岐を通り、ステップＳ１６が実行されてフローが終了となる。
【００２９】
具体例３）
ステップＳ１４の攻撃検知アルゴリズムの出力が、正常／懸念有り／異常有りの３段階で表現される場合、
出力＝懸念有り→判断結果＝Ｎｏ（次数を増やさない→Ｓ１５ａＮ→エンド）
出力＝異常有り→判断結果＝Ｙｅｓ（次数を１増やす）
※出力＝正常（懸念有り、異常有りの何れにも該当しない）の場合は、Ｓ１４ａＮの分岐を通り、ステップＳ１６が実行されてフローが終了となる。
【００３０】
具体例４）
ステップＳ１４の攻撃検知アルゴリズムの出力が、異常の有無を数値で表現する場合。例えば、攻撃検知アルゴリズムの出力が０．０〜１．０であって、値が１．０に近づくほど異常性が高く、異常有無判断の閾値が０．５だった場合。
【００３１】
出力＝０．５以上０．６未満→判断結果＝Ｙｅｓ（次数を１増やす）
出力＝０．６以上０．７未満→判断結果＝Ｙｅｓ（次数を２増やす）
出力＝０．７以上０．８未満→判断結果＝Ｙｅｓ（次数を３増やす）
出力＝０．８以上０．９未満→判断結果＝Ｙｅｓ（次数を４増やす）
出力＝０．９以上→判断結果＝Ｙｅｓ（次数を５増やす）
※出力＝正常（出力＝０．５未満）の場合は、Ｓ１４ａＮの分岐を通り、ステップＳ１６が実行されてフローが終了となる。
【００３２】
本実施例のセキュリティ監視サーバ１によれば、危険性の低いクライアント端末（機器）については、早々に攻撃検知を打ち切る（ステップＳ１４ａＮ→ステップＳ１６）ため、計算リソースが無駄にならない。
【００３３】
また、明らかに不正なクライアント端末（機器）についても同様に、早々に攻撃検知を打ち切る（ステップＳ１５ａＮ）ため、計算リソースが無駄にならない。
【００３４】
また、該当のクライアント端末（機器）の危険性がグレーゾーンにある場合（ステップＳ１４ａＹかつステップＳ１５ａＹ）は、ステップＳ１３〜Ｓ１５を繰り返し実行することにより、攻撃検知の信頼性が担保される。
【００３５】
また、脅威レベルデータベース９５にエントリとして登録されているクライアント端末（機器）については、登録済みの脅威レベルに応じた詳細度が最初に設定されるため、詳細度の低い攻撃検知が適宜スキップされ、計算リソースが無駄にならない。
【００３６】
このように、本実施例のセキュリティ監視サーバ１によれば、計算リソースを効果的に用いることができる。
【実施例２】
【００３７】
以下、図５、図６を参照して実施例２の攻撃検知システムの構成及び動作を説明する。図５に示すように本実施例の攻撃検知システム２０００は、セキュリティ監視サーバ２、管理者端末９１、サービス提供サーバ９２、スイッチ／ルータ９３、セキュリティアプライアンス９４、脅威レベルデータベース９５などを含んで構成され、実施例１との相違点は、セキュリティ監視サーバ２のみである。
【００３８】
本実施例のセキュリティ監視サーバ２は、情報受信部１１と、処理前データベース１１ａと、発信元特定部１２と、処理済データベース１２ａと、攻撃検知詳細度決定部２３と、攻撃検知部２４と、検知結果データベース１４ａと、高次検知必要性判断部２５と、結果保存部２６と、類似機器探索部２７を含む。
【００３９】
本実施例のセキュリティ監視サーバ２は、実施例１と同様に、図２に記載のフロー（ステップＳ１１〜Ｓ１６）を実行する。すなわち、本実施例のセキュリティ監視サーバ２は、情報を受信し（Ｓ１１）、その発信元を特定し（Ｓ１２）、攻撃検知の詳細度を決定し（Ｓ１３）、攻撃検知を実行し（Ｓ１４）、必要に応じて高次な攻撃検知の必要性を判断し（Ｓ１５）、必要に応じてループ処理を実行し、検知結果などを脅威レベルデータベース９５に記憶する（Ｓ１６）。
【００４０】
本実施例のセキュリティ監視サーバ２は、攻撃検知対象となっている情報についてＳ１４ａＹに該当した場合、すなわち正常でない（懸念有、または異常有を示す）検知結果が出た場合に、図２のフローと並行して、後述する類似機器のエントリに対して図６のフローを実行する。
【００４１】
具体的には、類似機器探索部２７は、受信した情報に対して実行された攻撃検知の結果が正常でない場合（Ｓ１４ａＹ）に、これに対応する発信元と類似の特徴を有する機器、すなわち類似機器のエントリを脅威レベルデータベース９５から探索する（Ｓ２７）。ここで「特徴」とは、ＯＳ、機種、使用しているアプリケーション、ミドルウェア、ネットワーク的特徴などのクライアント環境を示す指標を意味する。また、「特徴」のバリエーションの一つとして、データの構造やデータの特徴的なパターン（例えば、シグネチャとして登録対象となるような特徴的な文字列パターン）を含めてもよい。これ以外にも、類似判断の基準となる「特徴」は任意のルールで定めることができる。
【００４２】
高次検知必要性判断部２５は、探索されたエントリに対する高次な攻撃検知の必要性を判断する（Ｓ２５）。高次な攻撃検知の必要性があると判断されなかった場合（Ｓ２５ａＮ）、フローは終了する（エンド）。
【００４３】
一方、探索されたエントリに対して高次な攻撃検知の必要性があると判断された場合（Ｓ２５ａＹ）、攻撃検知詳細度決定部２３は、探索されたエントリに対する攻撃検知の詳細度を決定する（Ｓ２３）。例外的な場合を除き、攻撃検知詳細度決定部２３は、探索されたエントリを優先的に詳細度（次数）が高い攻撃検知の対象とする。攻撃検知詳細度決定部２３は、対象のエントリをどの詳細度（次数）の攻撃検知アルゴリズムの対象とするか、任意のルールで定めることが可能である。
【００４４】
攻撃検知部２４は、探索されたエントリに対して、決定された詳細度に基づく攻撃検知を実行する（Ｓ２４）。攻撃検知の結果が正常でない場合（Ｓ２４ａＹ）、高次検知必要性判断部２５は、さらに高次な攻撃検知の必要性を判断する（Ｓ２５）。このように、Ｓ２４ａＹ，Ｓ２５ａＹを充たす限りにおいて、ステップＳ２３、Ｓ２４、Ｓ２５が繰り返し実行される。攻撃検知の結果が正常である場合（Ｓ２４ａＮ）、結果保存部２６は、探索されたエントリの検知結果を検知結果データベース１４ａおよび脅威レベルデータベース９５に保存する（Ｓ２６）。
【００４５】
本実施例のセキュリティ監視サーバ２によれば、攻撃検知の結果が正常でない発信元に類似する機器（類似機器）について、並行して別のフローにより攻撃検知が実施されるため、攻撃検知の信頼性がさらに向上する。
【実施例３】
【００４６】
以下、図７、図８を参照して実施例３の攻撃検知システムの構成及び動作を説明する。図７に示すように本実施例の攻撃検知システム３０００は、セキュリティ監視サーバ３、管理者端末９１、サービス提供サーバ９２、スイッチ／ルータ９３、セキュリティアプライアンス９４、脅威レベルデータベース９５などを含んで構成され、実施例１、２との相違点は、セキュリティ監視サーバ３のみである。
【００４７】
本実施例のセキュリティ監視サーバ３は、情報受信部１１と、処理前データベース１１ａと、発信元特定部１２と、処理済データベース１２ａと、攻撃検知詳細度決定部３３と、攻撃検知部３４と、検知結果データベース１４ａと、高次検知必要性判断部３５と、結果保存部３６と、リソース確認部３８と、サンプル抽出部３９を含む。
【００４８】
本実施例のセキュリティ監視サーバ３は、実施例１、２と同様に、図２に記載のフロー（ステップＳ１１〜Ｓ１６）を実行する。すなわち、本実施例のセキュリティ監視サーバ３は、情報を受信し（Ｓ１１）、その発信元を特定し（Ｓ１２）、攻撃検知の詳細度を決定し（Ｓ１３）、攻撃検知を実行し（Ｓ１４）、必要に応じて高次な攻撃検知の必要性を判断し（Ｓ１５）、必要に応じてループ処理を実行し、検知結果などを脅威レベルデータベース９５に記憶する（Ｓ１６）。
【００４９】
本実施例のセキュリティ監視サーバ３は、攻撃検知対象となっている情報についてＳ１４ａＮに該当した場合、すなわち正常な（懸念有、異常有のいずれでもない）検知結果が出た場合に、図２のフローと並行して、後述するサンプル機器のエントリに対して図８のフローを実行する。
【００５０】
具体的には、リソース確認部３８は、受信した情報に対して実行された攻撃検知の結果が正常である場合（Ｓ１４ａＮ）に、セキュリティ監視サーバ３の現在の計算リソースを確認する（Ｓ３８）。
【００５１】
サンプル抽出部３９は、確認された計算リソースが所定値を超える場合に（Ｓ３８ａＹ）、サンプルとなる機器、すなわちサンプル機器のエントリを脅威レベルデータベースから抽出する（Ｓ３９）。一方、確認された計算リソースが所定値を超えない場合（Ｓ３８ａＮ）、並行処理を断念してフローは終了する（エンド）。
【００５２】
抽出の方法として、例えばランダムなエントリをサンプリングする方法、エントリを先着順に抽出する方法などが考えられる。抽出するエントリの個数は、計算リソースに比例して増加させてもよい。エントリが抽出されなかった場合（Ｓ３９ａＮ）、並行処理を断念してフローは終了する（エンド）。
【００５３】
エントリが抽出された場合（Ｓ３９ａＹ）、高次検知必要性判断部３５は、抽出されたエントリに対する高次な攻撃検知の必要性を判断する（Ｓ３５）。高次な攻撃検知の必要性があると判断されなかった場合（Ｓ３５ａＮ）、フローは終了する（エンド）。
【００５４】
一方、抽出されたエントリに対して高次な攻撃検知の必要性があると判断された場合（Ｓ３５ａＹ）、攻撃検知詳細度決定部３３は、抽出されたエントリに対する攻撃検知の詳細度を決定する（Ｓ３３）。攻撃検知詳細度決定部３３は、抽出されたエントリを、優先的に詳細度（次数）が高い攻撃検知の対象とする。
【００５５】
攻撃検知部３４は、抽出されたエントリに対して、決定された詳細度に基づく攻撃検知を実行する（Ｓ３４）。攻撃検知の結果が正常でない場合（Ｓ３４ａＹ）、高次検知必要性判断部３５は、さらに高次な攻撃検知の必要性を判断する（Ｓ３５）。このように、Ｓ３４ａＹ，Ｓ３５ａＹを充たす限りにおいて、ステップＳ３３、Ｓ３４、Ｓ３５が繰り返し実行される。攻撃検知の結果が正常である場合（Ｓ３４ａＮ）、結果保存部３６は、抽出されたエントリの検知結果を検知結果データベース１４ａおよび脅威レベルデータベース９５に保存する（Ｓ３６）。
【００５６】
本実施例のセキュリティ監視サーバ３によれば、攻撃検知対象に対する攻撃検知の結果が正常である場合、計算リソースに余裕があれば、エントリに対して、並行して別のフローにより、より深い攻撃検知が実施されるため、計算リソースを効率的に用いながら、攻撃検知の信頼性を向上させることができる。
【００５７】
＜補記＞
本発明の装置は、例えば単一のハードウェアエンティティとして、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit、キャッシュメモリやレジスタなどを備えていてもよい）、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ−ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けることとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータなどがある。
【００５８】
ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくこととしてもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。
【００５９】
ハードウェアエンティティでは、外部記憶装置（あるいはＲＯＭなど）に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（上記、…部、…手段などと表した各構成要件）を実現する。
【００６０】
本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。
【００６１】
既述のように、上記実施形態において説明したハードウェアエンティティ（本発明の装置）における処理機能をコンピュータによって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ上で実現される。
【００６２】
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどどのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープなどを、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などを、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）などを、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）などを用いることができる。
【００６３】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体を販売、譲渡、貸与などすることによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【００６４】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータなど）を含むものとする。
【００６５】
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【図１】
2018121262.tif 000003
【図２】
2018121262.tif 000004
【図３】
2018121262.tif 000005
【図４】
2018121262.tif 000006
【図５】
2018121262.tif 000007
【図６】
2018121262.tif 000008
【図７】
2018121262.tif 000009
【図８】
2018121262.tif 000010