(57)【要約】【課題】  より確実に防御対象を攻撃者からの攻撃から守ることがきるサービスシステム、通信プログラム、及び通信方法を提供する。【解決手段】  本発明はネットワーク上のサービスを提供するサービスシステムに関する。本発明のサービスシステムは、ネットワーク上の接続元にサービスを提供する第１のシステム部と、ネットワーク上の接続元に模擬的にサービスを提供する第２のシステム部と、接続元ごとに当該サービスシステムとの通信のフローを、第１のシステム部又は第２のシステム部のいずれかに振り分けるフロー宛先切替手段と、接続元ごとに通信の異常の度合いを判断する異常判断手段と、異常判断手段の判断結果に応じて、接続元ごとにフローの宛先となるシステム部を決定し、接続元ごとのフローの宛先が決定したシステム部となるようにフロー宛先切替手段を制御する制御手段とを有することを特徴とする。【選択図】      図１
2018098727.tif 000002
【特許請求の範囲】
【請求項１】
サービスシステムにおいて、
ネットワーク上の接続元にサービスを提供する第１のシステム部と、
前記ネットワーク上の前記接続元に模擬的に前記サービスを提供する第２のシステム部と、
前記接続元ごとに当該サービスシステムとの通信のフローを、前記第１のシステム部又は前記第２のシステム部のいずれかに振り分けるフロー宛先切替手段と、
前記接続元ごとに通信の異常の度合いを判断する異常判断手段とを有し、
前記フロー宛先切替手段は、前記異常判断手段の判断結果に応じて、前記接続元ごとに前記フローの宛先となるシステム部を決定し、前記接続元ごとの前記フローの宛先が決定したシステム部となるように前記フロー宛先切替手段を切り替える
ことを特徴とするサービスシステム。
【請求項２】
前記接続元ごとの前記フローの特徴量を監視して、異常通信を検知する異常検知手段をさらに備え、
前記異常判断手段は、少なくとも前記異常検知手段が検知した異常通信の検知情報に基づいて、前記接続元ごとの異常通信の度合いを判断する
ことを特徴とする請求項１に記載のサービスシステム。
【請求項３】
前記第１のシステム部における前記接続元ごとの動作ログと、前記第２のシステム部における前記接続元ごとの動作ログを取得する動作ログ取得手段をさらに備え、
前記異常判断手段は、少なくとも前記動作ログ取得手段が取得した動作ログに基づいて、前記接続元ごとの異常通信の度合いを判断する
ことを特徴とする請求項１又は２に記載のサービスシステム。
【請求項４】
前記異常判断手段は、前記接続元ごとに異常通信の度合いを示す評価値を算出し、
前記フロー宛先切替手段は、前記評価値が前記閾値以上の前記接続元の前記フローの宛先については、前記第２のシステム部の側に切替え、前記評価値が前記閾値未満の前記接続元の前記フローの宛先については、前記第１のシステム部の側に切替える
ことを特徴とする請求項１〜３のいずれかに記載のサービスシステム。
【請求項５】
サービスシステムに搭載されたコンピュータを、
ネットワーク上の接続元にサービスを提供する第１のシステム部と、
前記ネットワーク上の前記接続元に模擬的に前記サービスを提供する第２のシステム部と、
前記接続元ごとに当該サービスシステムとの通信のフローを、前記第１のシステム部又は前記第２のシステム部のいずれかに振り分けるフロー宛先切替手段と、
前記接続元ごとに通信の異常の度合いを判断する異常判断手段として機能させ、
前記フロー宛先切替手段は、前記異常判断手段の判断結果に応じて、前記接続元ごとに前記フローの宛先となるシステム部を決定し、前記接続元ごとの前記フローの宛先が決定したシステム部となるように前記フロー宛先切替手段を切り替える
ことを特徴とする通信プログラム。
【請求項６】
サービスシステムが行う通信方法において、
第１のシステム部、第２のシステム部、フロー宛先切替手段、及び異常判断手段を備え、
前記第１のシステム部は、ネットワーク上の接続元にサービスを提供し、
前記第２のシステム部は、前記ネットワーク上の前記接続元に模擬的に前記サービスを提供し、
前記フロー宛先切替手段は、前記接続元ごとに当該サービスシステムとの通信のフローを、前記第１のシステム部又は前記第２のシステム部のいずれかに振り分け、
前記異常判断手段は、前記接続元ごとに通信の異常の度合いを判断し、
前記フロー宛先切替手段は、前記異常判断手段の判断結果に応じて、前記接続元ごとに前記フローの宛先となるシステム部を決定し、前記接続元ごとの前記フローの宛先が決定したシステム部となるように前記フロー宛先切替手段を切り替える
ことを特徴とする通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、サービスシステム、通信プログラム、及び通信方法に関し、例えば、インターネットに接続するサービスシステム（例えば、Ｗｅｂアプリケーションのサーバ）に適用し得る。
【背景技術】
【０００２】
一般に、従来のインターネット上のサービスシステムは、暗号化等の手段によってサービスシステムを攻撃者から守り、不正アクセスに成功しないように構成されている。しかし、昨今のインターネット上の攻撃者は標的型攻撃などに見られるように、攻撃の熟練度が増してきているため、従来のような侵入されないようにする水際対策だけでは防げなくなっている。
【０００３】
従来のインターネット上のサービスシステムを攻撃から守る技術としては特許文献１の記載技術がある。特許文献１の記載技術では、サービスシステム上で、ＴＣＰ／ＩＰの接続手順を変化させることによって、正解を知っているユーザでなければ接続が成功しないような対策がなされている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−２００２０９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１の記載技術においても、以下のような問題がある。特許文献１の記載技術を、インターネット上のサービスシステムに適用したとしても、サービスシステムそのものを隠せるわけではないため、サービスの存在がスキャン行為などによって検知されると、常に攻撃の脅威に晒される。また、特許文献１の記載技術を、インターネット上のサービスシステムに適用したとしても、当該サービスシステム宛てに送信されたパケットは、ファイアウォール等のゲートウェイでフィルタリングされたもの以外は当該サービスシステムに到達するため、脆弱性のあるサービスシステムやプロトコルが脅威にさらされる等の問題がある。
【０００６】
以上のような問題に鑑みて、より確実に防御対象（例えば、サービスシステム上の正規システム）を攻撃者からの攻撃から守ることがきるサービスシステム、通信プログラム、及び通信方法が望まれている。
【課題を解決するための手段】
【０００７】
第１の本発明は、サービスシステムにおいて、（１）ネットワーク上の接続元にサービスを提供する第１のシステム部と、（２）前記ネットワーク上の前記接続元に模擬的に前記サービスを提供する第２のシステム部と、（３）前記接続元ごとに当該サービスシステムとの通信のフローを、前記第１のシステム部又は前記第２のシステム部のいずれかに振り分けるフロー宛先切替手段と、（４）前記接続元ごとに通信の異常の度合いを判断する異常判断手段とを有し、（５）前記フロー宛先切替手段は、前記異常判断手段の判断結果に応じて、前記接続元ごとに前記フローの宛先となるシステム部を決定し、前記接続元ごとの前記フローの宛先が決定したシステム部となるように前記フロー宛先切替手段を切り替えることを特徴とする。
【０００８】
第２の本発明の通信プログラムは、サービスシステムに搭載されたコンピュータを、（１）ネットワーク上の接続元にサービスを提供する第１のシステム部と、（２）前記ネットワーク上の前記接続元に模擬的に前記サービスを提供する第２のシステム部と、（３）前記接続元ごとに当該サービスシステムとの通信のフローを、前記第１のシステム部又は前記第２のシステム部のいずれかに振り分けるフロー宛先切替手段と、（４）前記接続元ごとに通信の異常の度合いを判断する異常判断手段として機能させ、（５）前記フロー宛先切替手段は、前記異常判断手段の判断結果に応じて、前記接続元ごとに前記フローの宛先となるシステム部を決定し、前記接続元ごとの前記フローの宛先が決定したシステム部となるように前記フロー宛先切替手段を切り替えることを特徴とする。
【０００９】
第３の本発明のサービスシステムが行う通信方法において、（１）第１のシステム部、第２のシステム部、フロー宛先切替手段、及び異常判断手段を備え、（２）前記第１のシステム部は、ネットワーク上の接続元にサービスを提供し、（３）前記第２のシステム部は、前記ネットワーク上の前記接続元に模擬的に前記サービスを提供し、（４）前記フロー宛先切替手段は、前記接続元ごとに当該サービスシステムとの通信のフローを、前記第１のシステム部又は前記第２のシステム部のいずれかに振り分け、（５）前記異常判断手段は、前記接続元ごとに通信の異常の度合いを判断し、（７）前記フロー宛先切替手段は、前記異常判断手段の判断結果に応じて、前記接続元ごとに前記フローの宛先となるシステム部を決定し、前記接続元ごとの前記フローの宛先が決定したシステム部となるように前記フロー宛先切替手段を切り替えることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、より確実に防御対象を攻撃者からの攻撃から守ることがきるサービスシステム、通信プログラム、及び通信方法を提供することができる。
【図面の簡単な説明】
【００１１】
【図１】実施形態に係るサービスシステムの機能的構成について示したブロック図である。
【図２】実施形態に関係する各装置の接続構成について示したブロック図である。
【図３】実施形態に係るサービスシステムの動作について示したシーケンス図（その１）である。
【図４】実施形態に係るサービスシステムの動作について示したシーケンス図（その２）である。
【図５】実施形態に係るサービスシステムの動作について示したシーケンス図（その３）である。
【発明を実施するための形態】
【００１２】
（Ａ）主たる実施形態
以下、本発明によるサービスシステム、通信プログラム、及び通信方法の一実施形態を、図面を参照しながら詳述する。
【００１３】
（Ａ−１）実施形態の構成
図２は、この実施形態に関係する各装置の接続構成の例について示した説明図である。
【００１４】
サービスシステム１は、ネットワークＮに接続し、ネットワークＮ上に種々のサービスを提供する通信装置である。サービスシステム１がネットワークＮ上に提供するサービスの内容（アプリケーションの内容）は限定されないものであるが、例えば、ユーザログイン（ユーザＩＤ及びパスワードに基づく認証）を伴うアプリケーションサービス（クラウドサービス）を適用することができる。この実施形態では、サービスシステム１は、例えば、Ｗｅｂベースの電子メールサービス（いわゆる、Ｗｅｂメールのクライアントアプリケーション）や、種々のクラウドサービス（例えば、ストレージサービス等のアプリケーション）等を提供するものとして説明する。
【００１５】
図２において、端末Ｔは、ネットワークＮを介してサービスシステム１に接続する端末である。
【００１６】
例えば、端末Ｔを正規にサービスシステム１のサービスを利用する正規ユーザが操作する場合、端末Ｔとサービスシステム１との間では、端末Ｔが正規にサービス提供を受けるフロー（通信）が発生することになる。また、例えば、端末Ｔをサービスシステム１に対する攻撃者が利用する場合、端末Ｔとサービスシステム１との間のフローには、サービスシステム１に対して攻撃を仕掛けようとする通信を含むフロー（通信）が含まれることになる。図２では説明を簡易とするため、端末Ｔを一つだけ図示しているが、サービスシステム１に接続する端末の数は限定されないものである。また、サービスシステム１では、ネットワークＮ上の１つのＩＰアドレスを１つの接続元（アクセス元）として認識し、接続元ごと（１つの接続元で複数のフローが束となっている場合もありえる）を、通信の異常（攻撃に該当する可能性のある通信）等を認識する１つの処理単位として取り扱う。例えば、図２では、端末Ｔを１つだけ図示しているが、端末Ｔが複数のＩＰアドレスを用いてサービスシステム１と通信する場合、サービスシステム１は、端末ＴをＩＰアドレスの数分の接続元として認識することになる。また、例えば、攻撃者が複数の端末Ｔで共通する１つのＩＰアドレスを用いてサービスシステム１に対して接続する操作を行った場合、サービスシステム１は、その１つのＩＰアドレス（複数の端末Ｔ群）を１つの接続元として取り扱うことになる。
【００１７】
次に、サービスシステム１の内部構成について図１を用いて説明する。
【００１８】
図１は、サービスシステム１の機能的構成について示したブロック図である。
【００１９】
サービスシステム１は、大別すると接続インタフェース部１０、透過型異常検知部２０、フロー宛先切替部３０、囮システム部４０、異常検知システム部５０、及び正規システム部６０を有している。
【００２０】
サービスシステム１は、コンピュータ（１台であるか複数台であるかを問わない）にプログラム（実施形態に係る通信プログラム）をインストールすることにより構成するようにしてもよい。
【００２１】
接続インタフェース部１０は、サービスシステムへのネットワークＮ（外部）と接続するネットワークインタフェースの機能を担っている。
【００２２】
フロー宛先切替部３０は、ネットワークＮ側（接続インタフェース部１０側）との間のフロー（パケット）を、接続元単位で、囮システム部４０又は正規システム部６０のいずれかに切り替える機能（フローのスイッチング機能）を担っている。フロー宛先切替部３０は、異常検知システム部５０の制御に応じてフローの宛先を切り替える。
【００２３】
透過型異常検知部２０は、接続インタフェース部１０とフロー宛先切替部３０との間に挿入されており、接続インタフェース部１０とフロー宛先切替部３０との間のフローを透過しつつ、当該フローのデータ（当該フローのパケット（トラヒック））を、取得（タップ）する。すなわち、透過型異常検知部２０は、接続インタフェース部１０とフロー宛先切替部３０との間のフローの通信に影響を与えずに透過させつつ、当該フローのデータを取得する。そして、透過型異常検知部２０は、取得したフローを監視（接続元ごとにフローの束を監視）し、当該フローを分析する処理を行い、その分析結果を異常検知システム部５０に供給する。具体的には、透過型異常検知部２０は、接続元ごとにフローを分析して異常な通信（攻撃に該当する可能性のある通信）を検知し、異常な通信が発生したことを通知する情報（以下、「検知情報」と呼ぶ）を生成して、異常検知システム部５０に供給（報告）するものとする。
【００２４】
透過型異常検知部２０が取得したフローから異常な通信を検知する方法については限定されないものであり、種々の手法を適用することができる。例えば、透過型異常検知部２０は、想定される異常時の通信パターンに基づく特徴量を予め保持しておき、取得したフローから抽出した通信パターンとその異常時の特徴量とを照合（適合度合いを判定）して、一致すると判定した場合（完全一致でなくても所定以上共通点があった場合も一致したと判定するようにしても良い）に、異常な通信が発生（検知対象の通信が発生）したと検知するようにしても良い。また、例えば、透過型異常検知部２０は、表示するＷｅｂページ（例えばログインページ等）ごとに正常時の通信パターンに基づく通信の特徴量（例えば、ログインページで正常にログイン名及びパスワードを送信する通信に基づく特徴量）を予め保持しておき、その正常時の特徴量から所定以上はずれた特徴量の通信が検出（取得したフローから検出）された場合に異常な通信が発生したと検知するようにしても良い。そして、透過型異常検知部２０は、取得したフローから異常な通信を検知すると、異常な通信が検知されたことを通知する検知情報を生成して出力する。検知情報の構成は限定されないものであるが、例えば、当該検知情報に対応する接続元の情報（例えば、ＩＰアドレスやドメイン名等の情報）や、検知された特徴量のデータ等を含むようにしても良い。
【００２５】
具体的には、透過型異常検知部２０では、例えば、参考文献１（特開２０１４−８６８２２号公報）に記載された手法により、通信パターンに基づく特徴量を利用して、接続元ごとに異常な通信を検知して検知情報を取得するようにしてもよい。
【００２６】
正規システム部６０は、ネットワークＮ上の正規ユーザ（正規ユーザが使用する端末Ｔ）に、サービス（正規サービス）を提供するサービスシステム（サーバ）である。正規システム部６０は、正規システム内接続インタフェース部６１、及び正規動作ログ収集部６２を有している。
【００２７】
正規システム内接続インタフェース部６１は、正規システム部６０において、フロー宛先切替部３０を介してネットワークＮ側と通信するためのインタフェースである。
【００２８】
正規動作ログ収集部６２は、正規システム部６０のシステムログや、正規システム内接続インタフェース部６１より要求された内容やそれに対する結果などといった、動作ログを収集する機能を担っている。正規動作ログ収集部６２は、取得した動作ログ（以下、「正規動作ログ」と呼ぶ）を、異常検知システム部５０に供給する。
【００２９】
例えば、正規システム部６０のプラットフォームがＬｉｎｕｘ（登録商標））等のＵＮＩＸ（登録商標）系のＯＳである場合、動作ログ（正規動作ログ）としては、例えば、Ｓｙｓｌｏｇ等のログデータ（ＵＮＩＸ  ＯＳの機能により提供されるログデータ）が該当する。
【００３０】
囮システム部４０は、模擬的に正規ユーザ等にサービスを提供する動作（あたかも正規システム部６０のサービスに接続したかのように見せかける動作（振る舞い））を行い、正規システム部６０の代わりに囮として攻撃を受ける機能（以下、「囮機能」と呼ぶ）を担っている。
【００３１】
囮システム部４０は、囮システム内接続インタフェース部４１、及び囮動作ログ収集部４２を有している。
【００３２】
囮システム内接続インタフェース部４１は、接続インタフェース部１０からフロー宛先切替部３０を経由して囮システム部４０に接続するために、フロー宛先切替部３０に接続されている。
【００３３】
囮動作ログ収集部４２は、囮システム部４０のシステムログや、囮システム内接続インタフェース部４１より要求された内容やそれに対する結果などといった、動作ログを収集する処理を行う。そして、囮動作ログ収集部４２は、取得した動作ログ（以下、「囮動作ログ」と呼ぶ）を、異常検知システム部５０に供給する。
【００３４】
例えば、囮システム部４０のプラットフォームがＬｉｎｕｘ）等のＵＮＩＸ系のＯＳである場合、動作ログ（囮動作ログ）としては、例えば、Ｓｙｓｌｏｇ等のログデータ（ＵＮＩＸ  ＯＳの機能により提供されるログデータ）が該当する。
【００３５】
異常検知システム部５０は、透過型異常検知部２０から供給された検知情報と、正規システム部６０から供給された正規動作ログと、囮システム部４０から供給された囮動作ログとを分析し、その分析結果に基づいて、フロー宛先切替部３０を制御（接続元ごとのフローの宛先を制御）する処理を行う。
【００３６】
異常検知システム部５０は、フロー切替指示部５１、データ収集部５２、及び異常判断部５３を有している。
【００３７】
データ収集部５２は、透過型異常検知部２０から供給された検知情報と、正規システム部６０から供給された正規動作ログと、囮システム部４０から供給された囮動作ログとを収集して、異常判断部５３に供給する。
【００３８】
異常判断部５３は、データ収集部５２から供給されたデータ（正規動作ログ、囮動作ログ、及び検知情報）にもとづいて、接続元ごとにサービスシステム１（囮システム部４０又は正規システム部６０）に対する攻撃を行っているか否か（異常の有無）を判断する。ここでは、異常判断部５３は、接続元ごとにデータ収集部５２から供給されたデータ（正規動作ログ、囮動作ログ、及び検知情報）に基いて、異常な通信によりサービスシステム１が攻撃を受けていることの蓋然性（以下、「異常度」と呼ぶ）を示す値（評価値）を算出し、その異常度の大きさにより、各接続元が攻撃者であるか否かを判断（推定）する処理を行うものとする。異常度の値は、大きいほどサービスシステム１が攻撃を受けていることの蓋然性が高いことを示しているものとする。
【００３９】
例えば、異常判断部５３は、接続元ごとに、正規動作ログ、囮動作ログ、及び検知情報に基づいて、送信元ごとに異常な通信の検出を行い、異常通信が検出される度に当該通信の送信元の異常度を加算する。このとき、加算される異常度の加算値は、検出された異常通信の種類に応じた値（例えば、予め設定された異常通信の種類に応じた設定値）が加算されるようにしてもよい。また、このとき、攻撃されていることの蓋然性が高いことを示す項目ほど高い加算値が設定されることが望ましい。異常判断部５３が異常度を算出する際の詳細処理については後述する。
【００４０】
この実施形態では、異常判断部５３は、接続元（例えば、接続元のＩＰアドレス）ごとの異常度を管理するための異常度管理テーブル５３１を有しているものとする。そして、異常判断部５３は、異常度管理テーブル５３１で管理している異常度が閾値ｔｈ以上となった接続元については、攻撃者と判断するものとする。異常判断部５３は、例えば、一定時間ごとに各接続元の異常度を確認し、閾値ｔｈの比較結果に応じて各接続元のフローの切り替え要否を判断する。また、異常判断部５３は、例えば、接続元ごとの異常度（異常度の累積値）を一定期間ごとに初期化（例えば、異常度を０とする）ようにしてもよい。
【００４１】
フロー切替指示部５１は、異常判断部５３の判断結果に応じて、フロー宛先切替部３０に指示するフローの宛先（正規システム部６０又は囮システム部４０）を決定し、その決定に応じてフロー宛先切替部３０に対する制御（宛先の指示）を行う。フロー切替指示部５１は、例えば、異常判断部５３で異常度が閾値ｔｈ未満の接続元については、正規ユーザ（攻撃者でない）と判断し、フロー切替指示部５１によるフローの宛先（接続先）を正規システム部６０に決定する。また異常判断部５３は、異常度が閾値ｔｈ以上と判断された接続元については、攻撃者（正規ユーザでない）と判断し、フロー切替指示部５１によるフローの宛先を囮システム部４０に決定するものとする。
【００４２】
次に、異常判断部５３が接続元ごとの異常度を算出する処理（異常であるか否かを判断する処理）の詳細について説明する。
【００４３】
上述の通り、異常判断部５３は、データ収集部５２から供給されたデータ（正規動作ログ、囮動作ログ、及び検知情報）にもとづいて、接続元ごとに異常な通信を検出して、その検出結果に応じた加算値を加算（異常度管理テーブル５３１で管理されている異常度に加算）する。
【００４４】
上述の通り、検知情報については全て異常通信を示す情報であるため、異常判断部５３は、検知情報を取得すると必ず当該検知情報に対応する接続元の異常度に、当該検知情報に対応する加算値を加算することになる。
【００４５】
異常判断部５３が、正規動作ログ、及び囮動作ログ（以下では、正規動作ログ及び囮動作ログを総称して「動作ログ」とも呼ぶものとする）に基いて異常な通信を検知する方法についても限定されないものであり、種々の方法を適用することができる。
【００４６】
例えば、異常判断部５３は、想定される異常通信時の動作ログの発生パターン（以下、「異常時動作ログパターン」と呼ぶ）に基づく特徴量を予め保持しておき、取得した動作ログと照合（適合度合いを判定）して、取得した動作ログに異常時動作ログパターンと特徴量が一致（完全一致でなくても所定以上共通点があった場合も一致したと判定するようにしても良い）する動作ログが発生した場合に、異常な通信が発生したと検知するようにしても良い。また、例えば、異常判断部５３は、正常通信(例えば、正常なログイン要求等の正常なアプリケーション操作に伴う通信)発生時の動作ログ（以下、「正常時動作ログパターン」と呼ぶ）に基づく特徴量を予め保持しておき、その正常時動作ログパターンの特徴量から所定以上はずれた特徴量の動作ログパターン（例えば、正常なサービスシステムの利用形態からのはずれ度合いが所定以上（例えば、統計的な外れ値）となる動作ログパターン）が取得した動作ログから検出された場合に異常な通信が発生したと検知するようにしても良い。
【００４７】
具体的には、異常判断部５３では、例えば、参考文献２（特開２００６−６５８３５号公報）に記載された手法により、動作ログ（囮動作ログ、及び正規動作ログ）に基づく特徴量を利用して、接続元ごとに異常な通信を検知するようにしてもよい。
【００４８】
異常判断部５３では、上述のような異常時動作ログパターンの特徴量に基づく異常検出や、異常時動作ログパターンの特徴量に基づく異常検出等の複数の検出方法を併用して、取得した動作ログから異常通信を検出するようにしても良い。また、異常判断部５３に設定する異常時動作ログパターンの特徴量や異常時動作ログパターンの特徴量は、予め設定されたデータを保持するようにしてもよいし、機械学習等により生成したデータを取得するようにしても良い。
【００４９】
次に、囮システム部４０と正規システム部６０の機能分担について説明する。
【００５０】
上述の通り、囮システム部４０は、正規システム部６０に攻撃者の攻撃が及ばないように、正規システム部６０に代わって攻撃者からの攻撃を引き受ける機能を担っている。
【００５１】
そのため、この実施形態において、フロー宛先切替部３０は、新規にアクセスのあった接続元のフローについて、当初の宛先を囮システム部４０側に割り振り、その後の通信の異常度が低い場合（閾値ｔｈ未満の場合）に、当該接続元のフローを正規システム部６０側に切り替えるものとする。これにより、攻撃者（攻撃者の使用する端末Ｔ）には、囮システム部４０にのみアクセスさせ、正規ユーザ（正規ユーザの使用する端末Ｔ）にのみ正規システム部６０にアクセスさせることが可能となる。
【００５２】
しかしながら、正規ユーザが使用する端末Ｔにとっては、当初囮システム部４０に接続し、その後接続先を正規システム部６０に切り替えることになるため、その切替に伴う影響は少ないことが望ましい。一方で、正規システム部６０と囮システム部４０との間の連携は、より少ない方が、セキュリティ上は好ましい。
【００５３】
例えば、囮システム部４０側では、接続元（端末Ｔ）に対してログイン認証（例えば、ログインＩＤとパスワードの入力を伴う認証）を受け付けて、ログイン認証が成功した接続元に対して、ダミーのアプリケーション画面（例えば、見かけ上は正規サービスと同じ画面であるが、表示されているデータがダミーとなっているＧＵＩ画面）を提供するようにしてもよい。そして、異常検知システム部５０は、当該接続元を囮システム部４０側に接続させた状態で、一定時間攻撃の兆候がない場合（異常度が閾値以下の場合）に、初めて当該接続元を正規システム部６０側へ接続させるようにしてもよい。この際、正規システム部６０では、囮システム部４０から接続元とのセッションを引き継ぐために最低限必要な情報（例えば、ＩＰアドレスやＴＣＰ／ＩＰ上のコネクションに必要な情報等）を取得するようにしてもよいし、改めて当該接続元（端末Ｔ）に問い合わせてセッションを確立するようにしてもよい。具体的には、例えば、正規システム部６０が当該接続元（端末Ｔ）に対して正規システム部６０への遷移が完了したことを通知しても良いし、別の手段を用いて囮システム部４０内での入力情報などを正規システム部６０側に伝えても良いが、各システム（正規システム部６０と囮システム部４０）を独立させて連携させない方がセキュリティ性が高くなる。
【００５４】
このように、正規システム部６０から囮システム部４０への接続元（端末Ｔ）とのセッションを引き継ぐ手順としては、種々の方式を適用することができる。
【００５５】
（Ａ−２）実施形態の動作
次に、以上のような構成を有するこの実施形態のサービスシステム１の動作（実施形態の通信方法）を説明する。
【００５６】
まず、サービスシステム１において、攻撃者が使用する端末Ｔからアクセスを受けた場合の動作について説明する。
【００５７】
図３は、サービスシステム１において、攻撃者が使用する端末Ｔからアクセスを受けた場合の動作について示したシーケンス図である。
【００５８】
まず、攻撃者の操作により端末Ｔが、サービスシステム１（サービスシステム１が提供するサービスシステム）にアクセスしてきたものとする。このとき、端末Ｔから送信されたパケット（フロー）は、接続インタフェース部１０を介してフロー宛先切替部３０に到達する（Ｓ１０１、Ｓ１０２）。
【００５９】
フロー宛先切替部３０は、新規にアクセスのあった接続元のフローについて、当初の宛先を囮システム部４０側に割り振る。したがって、この時点では、フロー宛先切替部３０は、端末Ｔに係るフローを、囮システム部４０側に設定することになる。したがって、端末Ｔは、囮システム部４０とアクセスし（Ｓ１０３〜Ｓ１０６）、囮システム部４０との間でコネクションを確立し（Ｓ１０７）、囮システム部４０が提供するサービスシステムを利用することが可能となる。以下では、端末Ｔとサービスシステム１との間のフローを「フローＦ」と呼ぶものとする。なお、フローＦは複数のフローが含まれる場合もあり得るものとする。すなわち、サービスシステム１では、端末Ｔ（端末ＴのＩＰアドレス）を１つの接続元として認識することになる。
【００６０】
その結果、端末Ｔと囮システム部４０との間のフローＦは、フローＦ内の通信に対して影響を与えない透過型異常検知部２０により監視されることになる。また、透過型異常検知部２０では、フローＦのデータから得られる特徴値（例えば、パケットサイズやパケット到着間隔、含まれるバイナリ列など）が検知され、その検知結果を示す検知情報が異常検知システム部５０のデータ収集部５２に供給される。
【００６１】
さらに、このとき、端末Ｔから囮システム部４０に要求された内容や、端末Ｔからの要求に基づき囮システム部４０で実行された内容を示す囮動作ログ（フローＦに関する囮動作ログ）は、囮動作ログ収集部４２で収集され、異常検知システム部５０（データ収集部５２）に供給される（Ｓ１０８）。なお、このとき、透過型異常検知部２０で収集された通信から検知情報（フローＦに関する検知情報）が得られた場合もデータ収集部５２に供給される。そして、異常検知システム部５０では、データ収集部５２により、フローＦについて収集されたデータ（囮動作ログ、及び検知情報）が異常判断部５３に供給され、異常判断部５３により端末Ｔ（フローＦ）の異常度の判断が実行される。
【００６２】
ここでは、アクセス元の端末Ｔのオペレータは攻撃者であり、端末Ｔによりサービスシステム１（囮システム部４０）を攻撃する通信が行われることになる。したがって、異常検知システム部５０（異常判断部５３）では、端末Ｔ（フローＦ）に関する異常度が高く判定されることになる。すなわち、この場合、異常検知システム部５０（フロー切替指示部５１）では、端末Ｔの異常度が閾値ｔｈ以上であり、フローＦについて宛先を囮システム部４０とする判断が行われることになる。しかし、この時点で、フロー宛先切替部３０では、すでにフローＦの宛先は囮システム部４０側に設定されているため、フローＦについて宛先の切替えを指示する必要がない。したがって、フローＦの異常度が閾値ｔｈ以上を継続する限り（端末Ｔから囮システム部４０に対して攻撃的な通信（異常な通信）を継続する限り）、フローＦの宛先は囮システム部４０のまま継続されることになり、端末Ｔは囮システム部４０からのサービスしか実行できないままとなる。
【００６３】
次に、サービスシステム１において、正規ユーザが使用する端末Ｔからアクセスを受けた場合の動作について説明する。
【００６４】
図４、図５は、サービスシステム１において、正規ユーザが使用する端末Ｔからアクセスを受けた場合の動作について示したシーケンス図である。
【００６５】
まず、正規ユーザの操作により端末Ｔが、サービスシステム１（サービスシステム１が提供するサービスシステム）にアクセスしてきたものとする。
【００６６】
そして、図３と同様の処理（ステップＳ１０１〜Ｓ１０７の処理）により、サービスシステム１では、端末Ｔを接続元とするフローＦの宛先は当初囮システム部４０側に設定される。これにより、端末Ｔは、囮システム部４０とアクセスすることになり（Ｓ２０１〜Ｓ２０６）、囮システム部４０との間でコネクションを確立し（Ｓ２０７）、囮システム部４０が提供するサービスシステムを利用することが可能となる。
【００６７】
以後、サービスシステム１では、端末Ｔを接続元とするフローＦを囮システム部４０で受け付けることになる。
【００６８】
この間、囮システム部４０（囮動作ログ収集部４２）で、フローＦに基づく囮動作ログが取得され、異常検知システム部５０（データ収集部５２）に供給される（Ｓ２０８）。
【００６９】
また、この間、透過型異常検知部２０では、フローＦに基づく検知情報が生成され、異常検知システム部５０（データ収集部５２）に供給される。そして、この間、異常検知システム部５０では、データ収集部５２により、フローＦについて収集されたデータ（囮動作ログ、及び検知情報）が異常判断部５３に供給され、異常判断部５３によりフローＦの異常度の判断が実行される。
【００７０】
ここでは、アクセス元の端末Ｔのオペレータは正規ユーザであり、端末Ｔによりサービスシステム１（囮システム部４０）に正規サービスの提供を受けるための通信（攻撃（異常）でない通信）が行われることになる。したがって、異常検知システム部５０（異常判断部５３）では、フローＦに関する異常度が低く判定されることになる（Ｓ２０９）。
【００７１】
ここでは、アクセス元の端末Ｔのオペレータは正規ユーザであるため、フローＦについては、所定の時間、異常通信を示す特徴量が囮動作ログ収集部４２からも透過型異常検知部２０からも検出されないため該異常判断部５３により、端末Ｔの振舞いは正常系であると判断されることになる。
【００７２】
したがって、この場合、異常検知システム部５０（フロー切替指示部５１）では、フローＦの異常度が閾値ｔｈ未満であり、フローＦについて宛先を正規システム部６０に切替える判断が行われることになる（Ｓ２１０）。
【００７３】
したがって、この場合、異常検知システム部５０（フロー切替指示部５１）は、フロー宛先切替部３０に対して、フローＦの宛先を正規システム部６０側に切替えるように指示することになる（Ｓ２１１）。
【００７４】
そして、フロー宛先切替部３０は、異常検知システム部５０（フロー切替指示部５１）からの指示に応じて、フローＦの宛先を正規システム部６０側に切替える（Ｓ２１２）。
【００７５】
これにより、フローＦは、端末Ｔと正規システム部６０との間を流れることになる（Ｓ２１３）。
【００７６】
これにより、端末Ｔは正規システム部６０に接続することができ、正規システム部６０が提供する正規サービスが利用できる状態になる。
【００７７】
フローＦの宛先が正規システム部６０側に切り替わると、端末Ｔから正規システム部６０に要求された内容や、端末Ｔからの要求に基づき正規システム部６０で実行された内容を示す正規動作ログ（フローＦに関する正規動作ログ）が、正規動作ログ収集部６２で収集され、異常検知システム部５０（データ収集部５２）に供給される（Ｓ２１４）。なお、このとき、透過型異常検知部２０で、フローＦから異常通信に基づく検知情報が得られた場合、データ収集部５２に供給される。そして、異常検知システム部５０では、データ収集部５２により、フローＦについて収集されたデータ（正規動作ログ、及び検知情報）が異常判断部５３に供給され、異常判断部５３によりフローＦの異常度の判断が実行される。
【００７８】
ここでは、アクセス元の端末Ｔのオペレータは正規ユーザであり、端末Ｔによりサービスシステム１（正規システム部６０）に正規サービスの提供を受けるための通信（攻撃（異常）でない通信）が行われることになる。したがって、異常検知システム部５０（異常判断部５３）では、フローＦに関する異常度が低く判定されることになる（Ｓ２１５）。
【００７９】
したがって、この場合、異常検知システム部５０（フロー切替指示部５１）では、フローＦの異常度が閾値ｔｈ未満であり、フローＦについて宛先を正規システム部６０とする判断が行われることになる。しかし、この時点で、フロー宛先切替部３０では、すでにフローＦの宛先は正規システム部６０側に設定されているため、フローＦについて宛先の切替えを指示する必要がない。したがって、フローＦの異常度が閾値ｔｈ未満であることを継続する限り（端末Ｔから囮システム部４０に対して攻撃的な通信（異常な通信）が行われない状態が継続する限り）、フローＦの宛先は正規システム部６０のまま継続されることになり、端末Ｔは正規システム部６０から正規サービスの提供を受けることができる状態となる。
【００８０】
なお、ここでは、端末Ｔのオペレータは正規ユーザであるものとして説明しているが、正規ユーザであっても何らかの理由で端末Ｔがサービスシステム１（正規システム部６０）に対して異常な通信を行った場合（例えば、誤操作の繰り返し、再認証失敗、通信フロー特徴値が正常系と違う等の場合）、フローＦの通信は異常判断部５３により閾値ｔｈ以上の高い異常度が判断されることになる。また、端末Ｔのオペレータが攻撃者である場合でも、当初正規ユーザを装ってアクセスした後に攻撃の通信を開始した場合、フローＦの通信は異常判断部５３により閾値ｔｈ以上の高い異常度が判断されることになる。
【００８１】
この場合、図５のステップＳ３０１〜Ｓ３０３に示すように、異常判断部５３がフローＦについて閾値ｔｈ以上の高い異常度を判断し、フロー切替指示部５１は、フロー切替指示部５１にフローＦの宛先を囮システム部４０に変更するように指示することになる（Ｓ３０４）。そして、フロー宛先切替部３０は、フロー切替指示部５１の指示に応じて、フローＦの宛先を囮システム部４０側に変更することになる（Ｓ３０５）。これにより、端末Ｔは、正規システム部６０の利用を遮断され、囮システム部４０との間で通信することになる（Ｓ３０６）。
【００８２】
（Ａ−３）実施形態の効果
この実施形態によれば、以下のような効果を奏することができる。
【００８３】
サービスシステム１では、正規システム部６０を守ったり、囮システム部４０でかく乱するのではなく、すべての通信が一旦囮システム部４０に接続されることで、サービスシステム１に対する攻撃全般に対して正規システム部６０が影響を受けないという効果を奏することができる。
【００８４】
また、攻撃者は、通常囮システムで攻撃手法を収集されることを嫌うため、囮システム部４０に対しては攻撃をかけにくいという効果もある。したがって、サービスシステム１では、囮システム部４０が囮システムらしい動作（例えば、ダミーの画面のＷｅｂページを送信する等の動作）を行うことにより、それ以後の攻撃を受けにくくするという効果も奏する。
【００８５】
さらに、従来のサービスシステムでは、サービスシステム１のように、囮システム部４０と正規システム部６０が同じシステム内に存在することは珍しいため、サービスシステム１では、ネットワークＮに対して正規システム部６０の存在場所を隠すことができるという効果も奏することができる。
【００８６】
（Ｂ）他の実施形態
本発明は、上記の実施形態に限定されるものではなく、以下に例示するような変形実施形態も挙げることができる。
【００８７】
（Ｂ−１）上記の実施形態のサービスシステム１において、異常検知システム部５０（異常判断部５３）は、透過型異常検知部２０で取得した異常通信（異常通信に基づく特徴量）の検知情報と、動作ログ（囮動作ログ及び正規動作ログ）を用いて異常の有無（異常度の算出）を行っているが、検知情報又は動作ログの一方のみを用いて異常度（評価値）の算出を行うようにしてもよい。
【００８８】
（Ｂ−２）上記の実施形態のサービスシステム１において、異常検知システム部５０（異常判断部５３）は、異常度が閾値ｔｈ以上となった接続元について、攻撃者であるものと認識して囮システム部４０への切り替え対象としているが、異常度（評価値）を用いずに、発生した異常の種類（例えば、フローや動作ログの特徴量の種類）に応じて、攻撃者と認識するか否か（囮システム部４０への切り替え対象とするか否か）を判断するようにしてもよい。すなわち、異常検知システム部５０（異常判断部５３）により、接続元の異常の判断方法の具体的手順については限定されないものである。
【符号の説明】
【００８９】
１…サービスシステム、１０…接続インタフェース部、２０…透過型異常検知部、３０…フロー宛先切替部、４０…囮システム部、４１…囮システム内接続インタフェース部、４２…囮動作ログ収集部、５０…異常検知システム部、５１…フロー切り替え指示部、５２…データ収集部、５３…異常判断部、５３１…異常度管理テーブル、６０…正規システム部、６１…正規システム内接続インタフェース部、６２…正規動作ログ収集部、Ｎ…ネットワーク、Ｔ…端末。
【図１】
2018098727.tif 000003
【図２】
2018098727.tif 000004
【図３】
2018098727.tif 000005
【図４】
2018098727.tif 000006
【図５】
2018098727.tif 000007