(57)【要約】【課題】攻撃者が新たなサイバー攻撃をする動機を与えにくくすること。【解決手段】サーバシステム制御装置１０１は、図１の（１）で示すように、バックドア監視装置１０２から、バックドア検知情報１１０を受信する。バックドア検知情報１１０を受信すると、サーバシステム制御装置１０１は、図１の（２）で示すように、バックドア検知情報１１０に応じて、本物サーバ１０３に対して、本物サーバ１０３上で動作するＶＭの改変ライブマイグレーションの指示を送信する。そして、改変ライブマイグレーションの完了後、サーバシステム制御装置１０１は、図１の（３）で示すように、複製されたＶＭの情報によって偽物サーバ１０４上でＶＭが動作することに応じて、中継装置１０５に対して第１の指示１３１と第２の指示１３２を送信する。【選択図】図１
2018082288.tif 000002
【特許請求の範囲】
【請求項１】
第１のサーバと、第２のサーバと、前記第１のサーバまたは前記第２のサーバに対するパケットを中継する中継装置とに対して通信可能なサーバシステム制御装置であって、
第１の端末のＩＰアドレスと前記第１のサーバのＩＰアドレスとを含み、前記第１の端末と前記第１のサーバとの間の不正な通信路を検知したことを示す検知情報に応じて、前記第１のサーバに対して、前記第１のサーバ上で動作する仮想マシンの情報を、前記第２のサーバに複製する指示を送信し、
複製された前記仮想マシンの情報によって前記第２のサーバ上で仮想マシンが動作することに応じて、前記中継装置に対して、前記検知情報によって特定される前記第１の端末から前記第１のサーバへのパケットの宛先を前記第２のサーバに変更する第１の指示と、前記第１のサーバから前記第１の端末へのパケットを廃棄する第２の指示とを送信する、
制御部を有することを特徴とするサーバシステム制御装置。
【請求項２】
前記第１のサーバは、第１の記憶装置にアクセス可能であり、
前記第１のサーバ上で動作する仮想マシンは、前記第１の記憶装置にアクセスし、
前記第２のサーバは、前記第１の記憶装置が記憶する記憶内容に対する偽の記憶内容を記憶する第２の記憶装置にアクセス可能であり、
前記第２のサーバ上で動作する仮想マシンは、前記第２の記憶装置にアクセスする、
ことを特徴とする請求項１に記載のサーバシステム制御装置。
【請求項３】
前記中継装置は、前記第１のサーバと接続する第１のポートと、前記第２のサーバと接続する第２のポートとを有しており、
前記第１の指示は、
送信元ＩＰアドレスが前記第１の端末のＩＰアドレスであり、かつ、宛先ＩＰアドレスが前記第１のサーバのＩＰアドレスであるパケットを前記第２のポートに送信する指示であり、
前記第２の指示は、
前記第２のポートから入力されており、かつ、宛先ＩＰアドレスが前記第１の端末のＩＰアドレスであるパケットを廃棄する指示である、
ことを特徴とする請求項１または２に記載のサーバシステム制御装置。
【請求項４】
前記検知情報には、さらに、前記不正な通信路で使用される前記第１の端末の論理的なポート番号および前記第１のサーバの論理的なポート番号を含み、
前記中継装置は、前記第１のサーバと接続する第１のポートと、前記第２のサーバと接続する第２のポートとを有しており、
前記第１の指示は、
送信元ＩＰアドレスが前記第１の端末のＩＰアドレスであり、かつ、宛先ＩＰアドレスが前記第１のサーバのＩＰアドレスであり、かつ、送信元の論理的なポート番号が前記第１の端末の論理的なポート番号であるパケットを前記第２のサーバに送信する指示であり、
前記第２の指示は、
前記第２のポートから入力されており、かつ、宛先ＩＰアドレスが前記第１の端末のＩＰアドレスであり、かつ、宛先の論理的なポート番号が前記第１の端末の論理的なポート番号であるパケットを廃棄する指示である、
ことを特徴とする請求項１または２に記載のサーバシステム制御装置。
【請求項５】
第１のサーバと、第２のサーバと、前記第１のサーバまたは前記第２のサーバに対するパケットを中継する中継装置と、前記中継装置に対して通信可能なサーバシステム制御装置とを含むサーバシステムであって、
前記サーバシステム制御装置は、
第１の端末のＩＰアドレスと前記第１のサーバのＩＰアドレスとを含み、前記第１の端末と前記第１のサーバとの間の不正な通信路を検知したことを示す検知情報に応じて、前記第１のサーバに対して、前記第１のサーバ上で動作する仮想マシンの情報を、前記第２のサーバに複製する指示を送信し、
複製された前記仮想マシンの情報によって前記第２のサーバ上で仮想マシンが動作することに応じて、前記中継装置に対して、前記検知情報によって特定される前記第１の端末から前記第１のサーバへのパケットの宛先を前記第２のサーバに変更する第１の指示と、前記第１のサーバから前記第１の端末へのパケットを廃棄する第２の指示とを送信し、
前記中継装置は、
受信したパケットが、前記第１の指示におけるパケットである場合、前記パケットの宛先を前記第２のサーバに変更し、
受信したパケットが、前記第２の指示におけるパケットである場合、前記パケットを廃棄する、
ことを特徴とするサーバシステム。
【請求項６】
第１のサーバと、第２のサーバと、前記第１のサーバまたは前記第２のサーバに対するパケットを中継する中継装置とに対して通信可能なサーバシステム制御装置が、
第１の端末のＩＰアドレスと前記第１のサーバのＩＰアドレスとを含み、前記第１の端末と前記第１のサーバとの間の不正な通信路を検知したことを示す検知情報に応じて、前記第１のサーバに対して、前記第１のサーバ上で動作する仮想マシンの情報を、前記第２のサーバに複製する指示を送信し、
複製された前記仮想マシンの情報によって前記第２のサーバ上で仮想マシンが動作することに応じて、前記中継装置に対して、前記検知情報によって特定される前記第１の端末から前記第１のサーバへのパケットの宛先を前記第２のサーバに変更する第１の指示と、前記第１のサーバから前記第１の端末へのパケットを廃棄する第２の指示とを送信する、
処理を実行することを特徴とするサーバシステム制御方法。
【請求項７】
第１のサーバと、第２のサーバと、前記第１のサーバまたは前記第２のサーバに対するパケットを中継する中継装置とに対して通信可能なサーバシステム制御装置に、
第１の端末のＩＰアドレスと前記第１のサーバのＩＰアドレスとを含み、前記第１の端末と前記第１のサーバとの間の不正な通信路を検知したことを示す検知情報に応じて、前記第１のサーバに対して、前記第１のサーバ上で動作する仮想マシンの情報を、前記第２のサーバに複製する指示を送信し、
複製された前記仮想マシンの情報によって前記第２のサーバ上で仮想マシンが動作することに応じて、前記中継装置に対して、前記検知情報によって特定される前記第１の端末から前記第１のサーバへのパケットの宛先を前記第２のサーバに変更する第１の指示と、前記第１のサーバから前記第１の端末へのパケットを廃棄する第２の指示とを送信する、
処理を実行させることを特徴とするサーバシステム制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サーバシステム制御装置、サーバシステム、サーバシステム制御方法、およびサーバシステム制御プログラムに関する。
【背景技術】
【０００２】
従来、悪意のある攻撃者によるサイバー攻撃となる不正アクセスを、本物のサーバに対する予め用意された偽物のサーバに誘導する技術がある。関連する先行技術として、例えば、情報管理サーバへの正規アクセスは仮想正規サーバへ誘導され、不正アクセスは仮想おとりサーバへ誘導するものがある。また、正規サーバと外部端末との間に確立された通信セッションが不正侵入であると判定された通信セッションを、正規サーバからおとりサーバに引継がせ、不正侵入である通信セッションにおいて、正規サーバ宛のパケットをおとりサーバに転送する技術がある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００３−３６２４３号公報
【特許文献２】特開２００２−１１１７２７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来技術によれば、攻撃者がサイバー攻撃の失敗に気づき、新たなサイバー攻撃をすることがある。例えば、予め用意された偽物のサーバの情報が、不正アクセスの発生時点より大幅に古いデータであると、偽物のサーバに誘導されてサイバー攻撃が失敗したことに攻撃者が気づく場合がある。この場合、攻撃者は、サイバー攻撃が失敗したため、新たなサイバー攻撃をする可能性がある。
【０００５】
１つの側面では、本発明は、攻撃者が新たなサイバー攻撃をする動機を与えにくくすることができるサーバシステム制御装置、サーバシステム、サーバシステム制御方法、およびサーバシステム制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
１つの実施態様では、サーバシステム制御装置、サーバシステム、サーバシステム制御方法、およびサーバシステム制御プログラムは、第１のサーバと、第２のサーバと、第１のサーバまたは第２のサーバに対するパケットを中継する中継装置とに対して通信可能なサーバシステム制御装置が、第１の端末のＩＰアドレスと第１のサーバのＩＰアドレスとを含み、第１の端末と第１のサーバとの間の不正な通信路を検知したことを示す検知情報に応じて、第１のサーバに対して、第１のサーバ上で動作する仮想マシンの情報を、第２のサーバに複製する指示を送信し、複製された仮想マシンの情報によって第２のサーバ上で仮想マシンが動作することに応じて、中継装置に対して、検知情報によって特定される第１の端末から第１のサーバへのパケットの宛先を第２のサーバに変更する第１の指示と、第１のサーバから第１の端末へのパケットを廃棄する第２の指示とを送信する。
【発明の効果】
【０００７】
一つの側面では、本発明は、攻撃者が新たなサイバー攻撃をする動機を与えにくくすることが可能となる。
【図面の簡単な説明】
【０００８】
【図１】図１は、本実施の形態にかかるサーバシステム制御装置１０１の動作例を示す説明図である。
【図２】図２は、サーバシステム１００の構成例を示す説明図である。
【図３】図３は、サーバシステム制御装置１０１のハードウェア構成例を示す説明図である。
【図４】図４は、サーバ４００のハードウェア構成例を示す説明図である。
【図５】図５は、ＳＤＮスイッチ２０４のハードウェア構成例を示す説明図である。
【図６】図６は、サーバシステム制御装置１０１の機能構成例を示す説明図である。
【図７】図７は、サーバシステム１００における情報漏洩防止の一例を示す説明図（その１）である。
【図８】図８は、サーバシステム１００における情報漏洩防止の一例を示す説明図（その２）である。
【図９】図９は、改変ライブマイグレーションの動作例を示す説明図である。
【図１０】図１０は、サーバシステム制御装置１０１におけるバックドア検知情報受信時処理手順の一例を示すフローチャートである。
【図１１】図１１は、サーバシステム制御装置１０１における改変ライブマイグレーション完了時処理手順の一例を示すフローチャートである。
【図１２】図１２は、本物サーバ１０３における改変ライブマイグレーション指示受信時処理手順の一例を示すフローチャートである。
【図１３】図１３は、ＳＤＮスイッチ２０４におけるＦｌｏｗエントリ受信時処理手順の一例を示すフローチャートである。
【図１４】図１４は、ＳＤＮスイッチ２０４における端末からのパケット受信時処理手順の一例を示すフローチャートである。
【図１５】図１５は、ＳＤＮスイッチ２０４におけるサーバからのパケット受信時処理手順の一例を示すフローチャートである。
【発明を実施するための形態】
【０００９】
以下に図面を参照して、開示のサーバシステム制御装置、サーバシステム、サーバシステム制御方法、およびサーバシステム制御プログラムの実施の形態を詳細に説明する。
【００１０】
図１は、本実施の形態にかかるサーバシステム制御装置１０１の動作例を示す説明図である。サーバシステム制御装置１０１は、サーバシステム１００に含まれる複数のサーバを制御するコンピュータである。サーバシステム制御装置１０１は、例えば、サーバである。サーバシステム１００は、なんらかの業務サービスを提供する。
【００１１】
ここで、サーバシステム１００に対して、悪意のある攻撃者がサイバー攻撃を行うことがある。以下、サイバー攻撃を、単に「攻撃」と称する。例えば、攻撃者が、コンピュータウイルスを使用して企業等のシステムから個人情報や秘密情報を盗み出した結果、情報漏洩が発生することになる。これに対し、企業側は、防衛策として、ＦｉｒｅｗａｌｌやＩＰＳ（Ｉｎｔｒｕｓｉｏｎ  Ｐｒｅｖｅｎｔｉｏｎ  Ｓｙｓｔｅｍ）、ＷＡＦ（Ｗｅｂ  Ａｐｐｌｉｃａｔｉｏｎ  Ｆｉｒｅｗａｌｌ）等といった入口対策を実施する。しかしながら、入口対策は、標的型攻撃でセキュリティを突破されてコンピュータウイルスを送り込まれると意味が無くなり、情報漏洩が発生することになる。コンピュータウイルスを、以下、単に「ウイルス」と称する。
【００１２】
標的型攻撃の例として、攻撃者がウイルスを企業のシステム内に送り込み、送り込まれたウイルスは、バックドアにより、攻撃者が使用する攻撃者端末と、企業の端末やサーバとを通信できる不正な通信路を確立し、確立した通信路を用いて秘密情報を送信する。ここで、バックドアは、ソフトウェアやシステムの一部として利用者に気づかれないように仕込まれた、正規の利用者認証やセキュリティ対策等を回避して遠隔操作等するための入口のことである。そして、ネットワーク上の２点間を結ぶ閉じられた仮想的な通信路は、いわゆる「トンネル」と呼称される。また、仮想的な通信路を確立することは、「トンネルを張る」と呼称される。
【００１３】
バックドアによるトンネルは、Ｗｅｂサービスで使用されるＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）を使用することがある。そして、入口対策において、ＨＴＴＰの通過を禁止すると、通常のＷｅｂサービスも行えなくなるため、バックドアによるトンネルは、入口対策では防げない。
【００１４】
このように入口対策には限界があるため、セキュリティを突破されるのは仕方が無いとの考えから、秘密情報の漏洩を防ぐ出口対策も考えられる。出口対策としては、例えば、バックドアによってトンネルが張られたサーバを切り離すことや、バックドアによって張られたトンネルの通信をブロックすることが考えられる。しかしながら、バックドアによってトンネルが張られたサーバを切り離すと、サービスが停止してしまうため、システムを正当に利用可能なユーザに迷惑がかかる。また、バックドアによって張られたトンネルの通信をブロックすると、攻撃者との通信が止まるため、攻撃者が新たな攻撃に移る可能性がある。また、攻撃者との通信を止めると、止めた後の攻撃者の追跡が行えなくなるため、攻撃者の動向が調査できない。
【００１５】
また、攻撃者の通信を、本物のサーバに対する予め用意された偽物となる偽物サーバに誘導することが考えられる。しかしながら、この場合、攻撃者が攻撃の失敗に気づき、新たな攻撃をすることがある。例えば、予め用意された偽物サーバの情報が、不正アクセスの発生時点より大幅に古いデータであると、偽物サーバに誘導されて攻撃が失敗したことに攻撃者が気づく場合がある。この場合、攻撃者は、攻撃が失敗したため、新たな攻撃をする可能性がある。
【００１６】
そこで、本実施の形態では、バックドア検出時、本物のサーバ上の仮想マシンの情報を偽物のサーバに複製し、攻撃者端末から本物のサーバへの通信の宛先を偽物のサーバにし、本物のサーバから攻撃者端末への通信を廃棄することについて説明する。
【００１７】
図１を用いて、サーバシステム制御装置１０１の動作例について説明する。サーバシステム制御装置１０１を含むサーバシステム１００は、サーバシステム制御装置１０１以外に、バックドア監視装置１０２と、第１のサーバとして本物サーバ１０３と、第２のサーバとして偽物サーバ１０４と、中継装置１０５とを含む。図１で示すように、サーバシステム制御装置１０１、本物サーバ１０３、偽物サーバ１０４は、中継装置１０５を介してそれぞれ接続されることにより、それぞれで通信可能である。また、サーバシステム制御装置１０１と本物サーバ１０３とが直接接続されてもよい。また、図１では、サーバシステム１００に対して、一般ユーザ端末１０６ｂと、第１の端末として、攻撃者端末１０６ｍとがアクセスする。図１では、攻撃者端末１０６ｍのＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスが、ｉｐ＿ａであるとし、一般ユーザ端末１０６ｂのＩＰアドレスが、ｉｐ＿ｂであるとし、本物サーバ１０３のＩＰアドレスが、ｉｐ＿ｃであるとする。
【００１８】
バックドア監視装置１０２は、バックドアによるトンネルが張られたことを検知する装置である。また、サーバシステム制御装置１０１が、バックドア監視装置１０２が有する機能を有してもよい。また、サーバシステム１００の管理者が、通信ログ等を参照して、バックドアによるトンネルが張られたことを発見してもよい。
【００１９】
本物サーバ１０３は、サーバシステム１００が提供する業務サービスを提供する。具体的には、本物サーバ１０３上で動作する仮想マシン（ＶＭ：Ｖｉｒｔｕａｌ  Ｍａｃｈｉｎｅ）が、業務サービスを提供する。ここで、ＶＭは、ハードウェア資源を用いて仮想的に作成されたコンピュータシステムである。例えば、本物サーバ１０３上で動作するＶＭは、Ｗｅｂサーバアプリや、メールサーバアプリを動作させる。
【００２０】
そして、本物サーバ１０３は、例えば、第１の記憶装置となる本物ＤＢ（ＤａｔａＢａｓｅ）１１１にアクセス可能である。本物ＤＢ１１１は、例えば、本物サーバ１０３の記憶装置の内部にあってもよいし、本物サーバ１０３とは異なる外の記憶装置の内部にあってもよい。本物ＤＢ１１１は、本物サーバ１０３上で動作する仮想マシンからアクセスされる。そして、本物ＤＢ１１１は、本物の秘密情報を記憶する。例えば、本物サーバ１０３がＷｅｂサーバであれば、本物の秘密情報は、あるＷｅｂページに対するアカウントＩＤ（ＩＤｅｎｔｉｆｉｅｒ）やアカウントＩＤのパスワード、ユーザの個人情報等である。また、本物サーバ１０３がメールサーバであれば、本物の秘密情報は、メールアカウントＩＤやパスワード、ユーザのメールの内容等である。
【００２１】
偽物サーバ１０４は、本物サーバ１０３の偽物となるサーバである。そして、偽物サーバ１０４は、例えば、第２の記憶装置となる偽物ＤＢ１１２にアクセス可能である。偽物ＤＢ１１２は、例えば、偽物サーバ１０４の記憶装置の内部にあってもよいし、偽物サーバ１０４とは異なる外の記憶装置の内部にあってもよい。そして、偽物ＤＢ１１２は、本物ＤＢ１１１が記憶する本物の秘密情報に対する偽の記憶内容を記憶する。偽物ＤＢ１１２の記憶内容は、例えば、架空のユーザの個人情報である。偽物ＤＢ１１２の記憶内容は、例えば、サーバシステム１００の管理者によって予め用意される。
【００２２】
中継装置１０５は、本物サーバ１０３または偽物サーバ１０４に対するパケットを中継する装置である。例えば、中継装置１０５は、ＳＤＮ（Ｓｏｆｔｗａｒｅ  Ｄｅｆｉｎｅｄ  Ｎｅｔｗｏｒｋ）スイッチや、Ｌ（Ｌｅｖｅｌ）３スイッチが採用される。
【００２３】
一般ユーザ端末１０６ｂは、サーバシステム１００の正当なユーザである一般ユーザＵｂによって操作されるコンピュータである。攻撃者端末１０６ｍは、サーバシステム１００に対してサイバー攻撃を加えようとする攻撃者Ｕｍによって操作されるコンピュータである。
【００２４】
ここで、バックドアによって、攻撃者端末１０６ｍと本物サーバ１０３との間にトンネルが張られたとする。この場合、バックドア監視装置１０２が、バックドアによるトンネルを検知する。そして、バックドア監視装置１０２は、不正な通信路を検知したこと、すなわち、バックドアによるトンネルを検知したことを示す検知情報を生成する。以下、検知情報を、図１に示すように、バックドア検知情報１１０とする。バックドア検知情報１１０には、トンネルの対向の情報として、本物サーバ１０３のＩＰアドレスｉｐ＿ｃと、トンネルの始点の情報として、攻撃者端末１０６ｍのＩＰアドレスｉｐ＿ａとが含まれる。なお、バックドア検知情報１１０には、さらに、トンネルで使用される本物サーバ１０３の論理的なポート番号と、攻撃者端末１０６ｍの論理的なポート番号とが含まれてもよい。論理的なポート番号は、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）や、ＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）のポート番号である。
【００２５】
バックドア監視装置１０２は、バックドア検知情報１１０を、サーバシステム制御装置１０１に送信する。サーバシステム制御装置１０１は、図１の（１）で示すように、バックドア監視装置１０２から、バックドア検知情報１１０を受信する。
【００２６】
バックドア検知情報１１０を受信すると、サーバシステム制御装置１０１は、図１の（２）で示すように、バックドア検知情報１１０に応じて、本物サーバ１０３に対して、本物サーバ１０３上で動作するＶＭの改変ライブマイグレーションの指示を送信する。ここで、ライブマイグレーションとは、あるＶＭで稼働しているＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）やソフトウェアを停止させずに、丸ごと別の物理コンピュータに移動させることである。具体的には、ライブマイグレーションでは、移動元のコンピュータに記憶されるＶＭの情報を、移動先のコンピュータに複製し、移動元のコンピュータ上で動作するＶＭを停止させるとともに、移動先のコンピュータ上でＶＭを動作させるという処理を行う。そして、本実施の形態における改変ライブマイグレーションでは、移動元のコンピュータ上で動作するＶＭを停止させない。
【００２７】
改変ライブマイグレーションの指示を受信した本物サーバ１０３は、自身上で動作するＶＭの情報を、偽物サーバ１０４に複製する。ここで、ＶＭの情報とは、本物サーバ１０３の記憶領域のうちのＶＭに割り当てられた記憶領域に記憶された情報であり、例えば、ＶＭのログ情報や、ＶＭが管理するファイルシステムの情報である。そして、ＶＭの情報には、本物ＤＢ１１１の記憶内容は含まれない。
【００２８】
そして、改変ライブマイグレーションの完了後、サーバシステム制御装置１０１は、図１の（３）で示すように、改変ライブマイグレーションの完了に応じて、中継装置１０５に対して第１の指示１３１と第２の指示１３２を送信する。改変ライブマイグレーションの完了とは、複製されたＶＭの情報によって偽物サーバ１０４上でＶＭが動作することを示す。第１の指示１３１は、バックドア検知情報１１０によって特定される攻撃者端末１０６ｍから本物サーバ１０３へのパケットの宛先を偽物サーバ１０４に変更する指示である。第２の指示１３２は、本物サーバ１０３から攻撃者端末１０６ｍへのパケットを廃棄する指示である。
【００２９】
例えば、中継装置１０５がＳＤＮスイッチである場合、サーバシステム制御装置１０１は、第１の指示１３１に相当するＦｌｏｗエントリと、第２の指示１３２に相当するＦｌｏｗエントリとを生成して、中継装置１０５に送信する。また、中継装置１０５がＬ３スイッチである場合、サーバシステム制御装置１０１は、第１の指示１３１と、第２の指示１３２とに相当するポリシー設定を、中継装置１０５に対して行う。より具体的な指示内容については、図７で示す。
【００３０】
中継装置１０５は、受信したパケットが、第１の指示１３１におけるパケットである場合、該当のパケットの宛先を偽物サーバ１０４に変更する。また、中継装置１０５は、受信したパケットが、第２の指示１３２におけるパケットである場合、該当のパケットを廃棄する。図１では、中継装置１０５が、パケット１２１、１２２に対する処理を示す。パケット１２１は、攻撃者端末１０６ｍから本物サーバ１０３へのパケットである。中継装置１０５は、第１の指示１３１に従って、パケット１２１を偽物サーバ１０４に送信する。例えば、中継装置１０５は、パケット１２１を、偽物サーバ１０４に接続するポートに送信する。図１では、パケット１２１の下にある太い矢印が、パケット１２１の通信路となる。また、図１では、中継装置１０５から本物サーバ１０３へ、破線の矢印が描かれているが、これは、攻撃者Ｕｍが想定している通信路である。このように、攻撃者端末１０６ｍの通信が停止されないため、攻撃者Ｕｍに攻撃の失敗が悟られにくくなる。また、偽物サーバ１０４上のＶＭは、複製されたＶＭの情報によって動作しているため、ＶＭの内部の情報が、本物サーバ１０３上のＶＭと同一となる。従って、攻撃者Ｕｍは、偽物の秘密情報であることに気づきにくくなる。従って、サーバシステム制御装置１０１は、攻撃者Ｕｍが新たなサイバー攻撃をする動機を与えにくくすることができる。
【００３１】
また、パケット１２２は、ウイルスによって生成された本物サーバ１０３から攻撃者端末１０６ｍへのパケットである。このように、本物サーバ１０３上で動作するＶＭの動作を停止させていないため、本物サーバ１０３上で動作するＶＭのウイルスもまだ動作する。中継装置１０５は、第２の指示１３２に従って、パケット１２２を廃棄する。パケット１２２には、本物ＤＢ１１１から読み出した本物の秘密情報が入っている可能性があるが、中継装置１０５によって廃棄されるため、本物の秘密情報の漏洩を抑制することができる。
【００３２】
また、図１では示していないが、中継装置１０５は、一般ユーザ端末１０６ｂから本物サーバ１０３へのパケットについて、通常通り処理を行う。そして、本物サーバ１０３上のＶＭは、改変ライブマイグレーション完了後も動作しているため、サーバシステム１００は、正当に利用可能なユーザに、迷惑をかけることがない。
【００３３】
なお、本実施の形態は、ＩＰｖ４でもＩＰｖ６でも適用することができる。また、図１の説明では、第１の端末を、攻撃者端末１０６ｍとしたが、これに限らない。例えば、第１の端末は、攻撃者の踏み台となっている端末でもよい。次に、サーバシステム１００のより詳細な構成例について、図２を用いて説明する。
【００３４】
図２は、サーバシステム１００の構成例を示す説明図である。サーバシステム１００は、サーバシステム制御装置１０１〜偽物サーバ１０４と、第１の記憶装置となる本物データベースサーバ２０１と、第２の記憶装置となる偽物データベースサーバ２０２と、ＳＤＮスイッチ２０４と、業務端末２０３とを含む。ＳＤＮスイッチ２０４は、図１に示した中継装置１０５に相当する。
【００３５】
サーバシステム１００は、例えば、ある企業内のＬＡＮにより形成されるシステムである。サーバシステム１００は、ＳＤＮスイッチ２０４を経由して、インターネット、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）等のネットワーク２１０に接続する。そして、サーバシステム１００には、ネットワーク２１０を経由して、一般ユーザ端末１０６ｂや、攻撃者端末１０６ｍがアクセスする。
【００３６】
本物データベースサーバ２０１は、図１で示した本物ＤＢ１１１を有する。また、偽物データベースサーバ２０２は、図１で示した偽物ＤＢ１１２を有する。
【００３７】
ＳＤＮスイッチ２０４は、ネットワークの構築や制御を、ソフトウェアにより動的に行う機能を有するスイッチである。前述の機能により、１つのネットワーク内に、同一のＩＰアドレスを有する装置が存在することができる。本実施の形態では、本物サーバ１０３と、偽物サーバ１０４とのＩＰアドレスを同一にすることが好ましい。
【００３８】
業務端末２０３は、サーバシステム１００に関する業務を行うコンピュータである。具体的には、業務端末２０３は、業務担当者Ｕａの操作によって、メールクライアントアプリを実行する。本実施の形態では、業務端末２０３が、標的型攻撃メールを受信した結果、業務端末２０３にコンピュータウイルスが侵入し、コンピュータウイルスが、本物サーバ１０３に、バックドアを設定したとする。
【００３９】
また、図２では示していないが、ＳＤＮスイッチ２０４とネットワーク２１０との間に、プロキシサーバがあってもよい。プロキシサーバは、外部から内部ＬＡＮへの不正な侵入を防止し、セキュリティを確保する目的で設置されるサーバである。
【００４０】
次に、サーバシステム制御装置１０１のハードウェア構成を、図３を用いて説明する。また、本物サーバ１０３〜偽物データベースサーバ２０２、バックドア監視装置１０２のハードウェア構成を、図４を用いて説明する。また、ＳＤＮスイッチ２０４のハードウェア構成を、図５を用いて説明する。
【００４１】
図３は、サーバシステム制御装置１０１のハードウェア構成例を示す説明図である。サーバシステム制御装置１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）３０１と、記憶装置３０２と、通信装置３０３と、入出力装置３０４とを含む。また、ＣＰＵ３０１〜入出力装置３０４はバス３０５によってそれぞれ接続されている。
【００４２】
ＣＰＵ３０１は、サーバシステム制御装置１０１の全体の制御を司る演算処理装置である。記憶装置３０２は、主記憶装置となるメモリ３１１と、補助記憶装置となるハードディスク３１２とを有する。メモリ３１１は、ＣＰＵ３０１のワークエリアとして使用されるＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）や、ブートプログラムなどのプログラムを記憶するＲＯＭ（Ｒｅａｄ‐Ｏｎｌｙ  Ｍｅｍｏｒｙ）である。ハードディスク３１２は、データを磁気によって記憶する不揮発性メモリである。また、サーバシステム制御装置１０１は、ハードディスク３１２の代わりに、ソリッドステートドライブを採用してもよい。
【００４３】
通信装置３０３は、通信回線を通じてＬＡＮ、ＷＡＮ、インターネットなどのネットワークに接続され、ネットワークを介して他の装置に接続される。そして、通信装置３０３は、ネットワークと内部のインターフェースを司り、外部装置からのデータの入出力を制御する。通信装置３０３には、例えばＬＡＮアダプタなどを採用することができる。また、通信装置３０３には、通信回線用ポート３１３−１、２、…、ｎが接続される。
【００４４】
入出力装置３０４は、サーバシステム制御装置１０１への入出力を行う入力装置や出力装置である。入力装置としては、例えば、キーボード、マウス等が採用される。また、出力装置としては、例えば、ディスプレイ等が採用される。なお、サーバシステム１００の管理者が、サーバシステム制御装置１０１に対して直接操作することがなく、ネットワーク経由で操作する場合には、サーバシステム制御装置１０１は、入出力装置３０４を有さなくてもよい。
【００４５】
図４は、サーバ４００のハードウェア構成例を示す説明図である。図４で示すサーバ４００は、バックドア監視装置１０２〜偽物サーバ１０４、本物データベースサーバ２０１、偽物データベースサーバ２０２の総称である。
【００４６】
サーバ４００は、ＣＰＵ４０１と、記憶装置４０２と、通信装置４０３と、入出力装置４０４とを含む。また、ＣＰＵ４０１〜入出力装置４０４はバス４０５によってそれぞれ接続されている。
【００４７】
ＣＰＵ４０１は、サーバ４００の全体の制御を司る演算処理装置である。記憶装置４０２は、主記憶装置となるメモリ４１１と、補助記憶装置となるハードディスク４１２とを有する。メモリ４１１は、ＣＰＵ４０１のワークエリアとして使用されるＲＡＭや、ブートプログラムなどのプログラムを記憶するＲＯＭである。ハードディスク４１２は、データを磁気によって記憶する不揮発性メモリである。また、サーバ４００は、ハードディスク４１２の代わりに、ソリッドステートドライブを採用してもよい。
【００４８】
通信装置４０３は、通信回線を通じてＬＡＮ、ＷＡＮ、インターネットなどのネットワークに接続され、ネットワークを介して他の装置に接続される。そして、通信装置４０３は、ネットワークと内部のインターフェースを司り、外部装置からのデータの入出力を制御する。通信装置４０３には、例えばＬＡＮアダプタなどを採用することができる。また、通信装置４０３には、通信回線用ポート４１３−１、２、…、ｍが接続される。
【００４９】
入出力装置４０４は、サーバ４００への入出力を行う入力装置や出力装置である。入力装置としては、例えば、キーボード、マウス等が採用される。また、出力装置としては、例えば、ディスプレイ等が採用される。なお、サーバシステム１００の管理者が、サーバ４００に対して直接操作することがなく、ネットワーク経由で操作する場合には、サーバ４００は、入出力装置４０４を有さなくてもよい。
【００５０】
図５は、ＳＤＮスイッチ２０４のハードウェア構成例を示す説明図である。ＳＤＮスイッチ２０４は、ＣＰＵ５０１と、記憶装置５０２と、通信装置５０３と、入出力装置５０４とを含む。また、ＣＰＵ５０１〜入出力装置５０４はバス５０５によってそれぞれ接続されている。
【００５１】
ＣＰＵ５０１は、ＳＤＮスイッチ２０４の全体の制御を司る演算処理装置である。記憶装置５０２は、主記憶装置となるメモリ５１１と、補助記憶装置となるＥＰＲＯＭ（Ｅｒａｓａｂｌｅ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）５１２とを有する。メモリ５１１は、ＣＰＵ５０１のワークエリアとして使用されるＲＡＭや、ブートプログラムなどのプログラムを記憶するＲＯＭである。ＥＰＲＯＭ５１２は、半導体メモリの一種であり、データの書き込み、消去可能な不揮発性メモリである。
【００５２】
通信装置５０３は、通信回線を通じてＬＡＮ、ＷＡＮ、インターネットなどのネットワークに接続され、ネットワークを介して他の装置に接続される。そして、通信装置５０３は、ネットワークと内部のインターフェースを司り、外部装置からのデータの入出力を制御する。通信装置５０３には、例えばＬＡＮアダプタなどを採用することができる。また、通信装置５０３には、通信回線用ポート５１３−１、２、…、ｌが接続される。そして、第１のポートとなる通信回線用ポート５１３−１は、本物サーバ１０３に接続する。また、第２のポートとなる通信回線用ポート５１３−２は、偽物サーバ１０４に接続する。
【００５３】
入出力装置５０４は、ＳＤＮスイッチ２０４への入出力を行う入力装置や出力装置である。入力装置としては、例えば、キーボード、マウス等が採用される。また、出力装置としては、例えば、ディスプレイ等が採用される。なお、サーバシステム１００の管理者が、ＳＤＮスイッチ２０４に対して直接操作することがなく、ネットワーク経由で操作する場合には、ＳＤＮスイッチ２０４は、入出力装置５０４を有さなくてもよい。
【００５４】
なお、業務端末２０３、一般ユーザ端末１０６ｂ、攻撃者端末１０６ｍは、図示を省略するが、ＣＰＵ、記憶装置、通信装置、入出力装置を有する。
【００５５】
（サーバシステム制御装置１０１の機能構成例）
図６は、サーバシステム制御装置１０１の機能構成例を示す説明図である。制御部６００は、受信部６０１と、改変ライブマイグレーション指示部６０２と、ＳＤＮスイッチ指示部６０３とを含む。制御部６００は、記憶装置に記憶されたプログラムをＣＰＵ３０１が実行することにより、各部の機能を実現する。記憶装置とは、具体的には、例えば、図３に示した記憶装置３０２などである。また、各部の処理結果は、記憶装置３０２や、ＣＰＵ３０１のレジスタ、ＣＰＵ３０１のキャッシュメモリ等に格納される。
【００５６】
受信部６０１は、バックドア監視装置１０２から、バックドア検知情報１１０を受信する。受信したバックドア検知情報１１０は、記憶装置３０２などに格納する。
【００５７】
改変ライブマイグレーション指示部６０２は、バックドア検知情報１１０に応じて、本物サーバ１０３に対して、改変ライブマイグレーションの指示を送信する。
【００５８】
ＳＤＮスイッチ指示部６０３は、改変ライブマイグレーションの指示により、複製されたＶＭの情報によって偽物サーバ１０４上でＶＭが動作することに応じて、第１の指示１３１と、第２の指示１３２とを送信する。
【００５９】
例えば、第１の指示１３１は、ＳＤＮスイッチ２０４に対して、バックドア検知情報１１０によって特定される攻撃者端末１０６ｍから本物サーバ１０３へのパケットの宛先を偽物サーバ１０４に変更する指示である。具体的には、第１の指示１３１は、送信元ＩＰアドレスが攻撃者端末１０６ｍのＩＰアドレスであり、かつ、宛先ＩＰアドレスが本物サーバ１０３のＩＰアドレスであるパケットを通信回線用ポート５１３−２に送信する指示である。そして、第２の指示１３２は、本物サーバ１０３から攻撃者端末１０６ｍへのパケットを廃棄する指示である。具体的には、第２の指示１３２は、通信回線用ポート５１３−２から入力されており、かつ、宛先ＩＰアドレスが攻撃者端末１０６ｍのＩＰアドレスであるパケットを廃棄する指示である。
【００６０】
また、図２で説明したように、サーバシステム１００は、プロキシサーバを有してもよい。この場合、攻撃者端末１０６ｍや一般ユーザ端末１０６ｂからのパケットの送信元アドレスが、プライベートアドレスに変換される。この場合、攻撃者端末１０６ｍのＩＰアドレスと、一般ユーザ端末１０６ｂのＩＰアドレスとが同一となってしまい、前述の第１の指示１３１や第２の指示１３２の条件だと不十分である。そこで、第１の指示１３１は、前述の第１の指示１３１の条件に加えて、かつ、送信元の論理的なポート番号が攻撃者端末１０６ｍの論理的なポート番号であるパケットを偽物サーバ１０４に送信する指示でもよい。同様に、第２の指示１３２は、前述の第２の指示１３２の条件に加えて、かつ、宛先の論理的なポート番号が攻撃者端末１０６ｍの論理的なポート番号であるパケットを廃棄する指示である。ここで、送信元の論理的なポート番号は、送信元ＴＣＰポート番号や、送信元ＵＤＰポート番号である。また、宛先の論理的なポート番号は、宛先ＴＣＰポート番号や、宛先ＵＤＰポート番号である。
【００６１】
次に、サーバシステム１００において、情報漏洩を防止する一例を、図７、図８を用いて説明する。図７、図８で共通する説明として、攻撃者端末１０６ｍのＩＰアドレスがｉｐ＿ａであり、一般ユーザ端末１０６ｂのＩＰアドレスがｉｐ＿ｂであるとする。また、本物サーバ１０３のＩＰアドレスは、ｉｐ＿ｃであるとする。また、攻撃者端末１０６ｍ上で動作するアプリが、ＴＣＰポート番号１１１を使用し、本物サーバ上で動作するＶＭが、ＴＣＰポート番号８０を使用するとする。
【００６２】
図７は、サーバシステム１００における情報漏洩防止の一例を示す説明図（その１）である。図７の（１）で示すように、サーバシステム１００の管理者によって、偽物ＤＢ１１２が予め用意されている。
【００６３】
この状態で、サーバシステム制御装置１０１は、図７の（２）で示すように、バックドア監視装置１０２から、バックドア検知情報１１０を受け付ける。図７に示すバックドア検知情報１１０には、トンネルの対向のＩＰアドレスおよびＴＣＰポート番号が、それぞれｉｐ＿ｃ、８０であり、トンネルの始点のＩＰアドレスおよびＴＣＰポート番号が、それぞれｉｐ＿ａ、１１１であることが記載されている。
【００６４】
バックドア検知情報１１０を受け付けると、サーバシステム制御装置１０１は、図７の（３）で示すように、本物サーバ１０３に、通常のライブマイグレーションの動作を一部改変した改変ライブマイグレーションを指示する。ここで、改変ライブマイグレーションは、図１でも説明したように、ライブマイグレーション完了後も本物サーバ１０３上のＶＭを削除しない点が、通常のライブマイグレーションと異なる。本物サーバ１０３は、偽物サーバ１０４に対して改変ライブマイグレーションを行う。改変ライブマイグレーションについては、図９で説明する。改変ライブマイグレーション完了後、本物サーバ１０３は、改変ライブマイグレーションが完了したことをサーバシステム制御装置１０１に通知する。
【００６５】
改変ライブマイグレーションが完了した通知を受信した場合、図７の（４）で示すように、サーバシステム制御装置１０１は、ＳＤＮスイッチ２０４にＦｌｏｗエントリを配信する。ここで配信するＦｌｏｗエントリは、図７で示すエントリＮｏ．１００のＦｌｏｗエントリと、エントリＮｏ．１０１のＦｌｏｗエントリとである。エントリＮｏ．１００のＦｌｏｗエントリが、第１の指示１３１に相当する。また、エントリＮｏ．１０１のＦｌｏｗエントリが、第２の指示１３２に相当する。
【００６６】
エントリＮｏ．１００のＦｌｏｗエントリのサーチキーは、パケットの宛先ＩＰアドレスがｉｐ＿ｃであり、かつ、パケットの送信元ＩＰアドレスがｉｐ＿ａであり、かつ、パケットの送信元ＴＣＰポート番号が１１１である。そして、エントリＮｏ．１００のＦｌｏｗエントリのアクションは、サーチキーの条件に合致したパケットを、通信回線用ポート５１３−２に送信することである。
【００６７】
また、エントリＮｏ．１０１のＦｌｏｗエントリのサーチキーは、パケットが入力された入力ポートが通信回線用ポート５１３−１であり、かつ、パケットの宛先ＩＰアドレスがｉｐ＿ａであり、パケットの宛先ＴＣＰポート番号が１１１である。そして、エントリＮｏ．１０１のＦｌｏｗエントリのアクションは、サーチキーの条件に合致したパケットを、廃棄することである。
【００６８】
ＳＤＮスイッチ２０４は、エントリＮｏ．１００、１０１の順にＦｌｏｗエントリテーブル７０１に格納する。ここで、Ｆｌｏｗエントリテーブル７０１には、エントリＮｏ．が最終となるＦｌｏｗエントリが予め登録されている。エントリＮｏ．が最終となるＦｌｏｗエントリのサーチキーは、パケットの宛先ＩＰアドレスがｉｐ＿ｃである。そして、エントリＮｏ．が最終となるＦｌｏｗエントリのアクションは、サーチキーの条件に合致したパケットを、通信回線用ポート５１３−１に送信することである。
【００６９】
図８は、サーバシステム１００における情報漏洩防止の一例を示す説明図（その２）である。図８では、図７の（４）の後の状態を示す。図８では、２つのパケット８０１、８０２の扱いについて説明する。
【００７０】
パケット８０１は、バックドアを利用した、攻撃者端末１０６ｍから本物サーバ１０３へのパケットである。パケット８０１を受信すると、ＳＤＮスイッチ２０４は、パケット８０１について、Ｆｌｏｗエントリテーブル７０１の先頭から順番に、Ｆｌｏｗエントリのサーチキーに合致するかを判断する。
【００７１】
そして、パケット８０１は、エントリＮｏ．１００のＦｌｏｗエントリに合致するため、ＳＤＮスイッチ２０４は、パケット８０１を通信回線用ポート５１３−２に送信する。図８では、太い矢印が、パケット８０１の通信経路となる。なお、ＳＤＮスイッチ２０４から本物サーバ１０３への破線の矢印は、攻撃者Ｕｍが想定しているパケット８０１の通信経路である。
【００７２】
パケット８０２は、ウイルスによる本物サーバ１０３から攻撃者端末１０６ｍへのパケットである。パケット８０２を受信すると、ＳＤＮスイッチ２０４は、パケット８０２について、Ｆｌｏｗエントリテーブル７０１の先頭から順番に、Ｆｌｏｗエントリのサーチキーに合致するかを判断する。
【００７３】
そして、パケット８０２は、エントリＮｏ．１００のＦｌｏｗエントリに合致せず、エントリＮｏ．１０１のＦｌｏｗエントリに合致するため、ＳＤＮスイッチ２０４は、パケット８０２を廃棄する。
【００７４】
図９は、改変ライブマイグレーションの動作例を示す説明図である。図９で示すように、本物サーバ１０３と、本物データベースサーバ２０１とは、Ｌ２スイッチ９０１で接続する。そして、本物サーバ１０３は、ハイパーバイザ９１１を動作させる。ハイパーバイザ９１１は、ＶＭ９１２を動作させる。また、偽物サーバ１０４と、偽物データベースサーバ２０２とは、Ｌ２スイッチ９０２で接続する。そして、偽物サーバ１０４は、ハイパーバイザ９１３を動作させる。なお、ＶＭを実現する方法として、図９では、ハイパーバイザ型の例で示しているが、本実施の形態では、ホスト型を採用してもよい。
【００７５】
サーバシステム制御装置１０１は、図９の（１）で示すように、改変ライブマイグレーションの指示を、本物サーバ１０３のハイパーバイザ９１１に送信する。ハイパーバイザ９１１は、図９の（２）で示すように、ＶＭ９１２のライブマイグレーションを実行する。そして、ハイパーバイザ９１１は、図９の（３）で示すように、ライブマイグレーションの改変部分として、ライブマイグレーション完了後も本物サーバ１０３側のＶＭ９１２は消滅させずにそのまま維持する。
【００７６】
次に、サーバシステム１００が行う処理を示すフローチャートを、図１０〜図１５を用いて説明する。
【００７７】
図１０は、サーバシステム制御装置１０１におけるバックドア検知情報受信時処理手順の一例を示すフローチャートである。サーバシステム制御装置１０１は、バックドア監視装置１０２から、バックドア検知情報１１０を受信する（ステップＳ１００１）。次に、サーバシステム制御装置１０１は、バックドア検知情報１１０のトンネル始点のＩＰアドレスから、攻撃対象となった本物サーバ１０３を特定する（ステップＳ１００２）。サーバシステム制御装置１０１は、特定した本物サーバ１０３に対する偽物サーバ１０４が未作成か否かを判断する（ステップＳ１００３）。
【００７８】
偽物サーバ１０４が未作成である場合（ステップＳ１００３：Ｙｅｓ）、サーバシステム制御装置１０１は、本物サーバ１０３に改変ライブマイグレーションの指示を送信する（ステップＳ１００４）。そして、サーバシステム制御装置１０１は、バックドア検知情報１１０からＦｌｏｗエントリを作成する（ステップＳ１００５）。
【００７９】
ステップＳ１００５の処理終了後、または、偽物サーバ１０４が未作成でない場合（ステップＳ１００３：Ｎｏ）、サーバシステム制御装置１０１は、バックドア検知情報受信時処理を終了する。
【００８０】
図１１は、サーバシステム制御装置１０１における改変ライブマイグレーション完了時処理手順の一例を示すフローチャートである。サーバシステム制御装置１０１は、改変ライブマイグレーションの完了を本物サーバ１０３から受信する（ステップＳ１１０１）。次に、サーバシステム制御装置１０１は、作成したＦｌｏｗエントリをＳＤＮスイッチ２０４に配信する（ステップＳ１１０２）。サーバシステム制御装置１０１は、本物サーバ１０３に対する偽物サーバ１０４の作成済を記録する（ステップＳ１１０３）。ステップＳ１１０３の処理終了後、サーバシステム制御装置１０１は、改変ライブマイグレーション完了時処理を終了する。
【００８１】
図１２は、本物サーバ１０３における改変ライブマイグレーション指示受信時処理手順の一例を示すフローチャートである。本物サーバ１０３は、サーバシステム制御装置１０１から、改変ライブマイグレーションの指示を受信する（ステップＳ１２０１）。次に、本物サーバ１０３は、通常のライブマイグレーションを実行する（ステップＳ１２０２）。そして、本物サーバ１０３は、通常のライブマイグレーション完了時、自ＶＭの削除を停止させる（ステップＳ１２０３）。次に、本物サーバ１０３は、改変ライブマイグレーションの完了をサーバシステム制御装置１０１に送信する（ステップＳ１２０４）。ステップＳ１２０４の処理終了後、本物サーバ１０３は、改変ライブマイグレーション指示受信時処理を終了する。
【００８２】
図１３は、ＳＤＮスイッチ２０４におけるＦｌｏｗエントリ受信時処理手順の一例を示すフローチャートである。ＳＤＮスイッチ２０４は、サーバシステム制御装置１０１から、Ｆｌｏｗエントリを受信する（ステップＳ１３０１）。次に、ＳＤＮスイッチ２０４は、受信したＦｌｏｗエントリを、Ｆｌｏｗエントリテーブル７０１に格納する（ステップＳ１３０２）。ステップＳ１３０２の処理終了後、ＳＤＮスイッチ２０４は、Ｆｌｏｗエントリ受信時処理を終了する。
【００８３】
図１４は、ＳＤＮスイッチ２０４における端末からのパケット受信時処理手順の一例を示すフローチャートである。ここで、図１４における端末とは、業務端末２０３、一般ユーザ端末１０６ｂ、攻撃者端末１０６ｍの総称である。
【００８４】
ＳＤＮスイッチ２０４は、端末から、パケットを受信する（ステップＳ１４０１）。次に、ＳＤＮスイッチ２０４は、Ｆｌｏｗエントリテーブルを上から検索する（ステップＳ１４０２）。そして、ＳＤＮスイッチ２０４は、受信したパケットの宛先ＩＰアドレスが本物サーバのＩＰアドレスであり、かつ、受信したパケットの送信元ＩＰアドレスが攻撃者端末のＩＰアドレスか否かを判断する（ステップＳ１４０３）。ステップＳ１４０３の処理は、図７で示すエントリＮｏ．１００のサーチキーに当てはまるか否かの処理に相当する。また、ステップＳ１４０３の処理について、図７で示すエントリＮｏ．１００のサーチキー通りに、ＳＤＮスイッチ２０４は、さらに、受信したパケットの送信元ＴＣＰポート番号が、攻撃者端末１０６ｍのＴＣＰポート番号であるかを判断してもよい。
【００８５】
受信したパケットの宛先ＩＰアドレスが本物サーバのＩＰアドレスであり、かつ、送信元ＩＰアドレスが攻撃者端末１０６ｍのＩＰアドレスである場合（ステップＳ１４０３：Ｙｅｓ）、ＳＤＮスイッチ２０４は、偽物サーバ１０４側に、受信したパケットを送信する（ステップＳ１４０４）。ステップＳ１４０３：Ｙｅｓとなった場合とは、受信したパケットの送信元が攻撃者端末１０６ｍであり、かつ、受信したパケットの宛先が本物サーバ１０３であったことを示し、ＳＤＮスイッチ２０４は、該当のパケットを、偽物サーバ１０４宛てに変更する。
【００８６】
一方、宛先ＩＰアドレスが本物サーバのＩＰアドレスでない、または、送信元ＩＰアドレスが攻撃者端末のＩＰアドレスでない場合（ステップＳ１４０３：Ｎｏ）、ＳＤＮスイッチ２０４は、着ＩＰアドレスが本物サーバのＩＰアドレスか否かを判断する（ステップＳ１４０５）。着ＩＰアドレスが本物サーバのＩＰアドレスである場合（ステップＳ１４０５：Ｙｅｓ）、ＳＤＮスイッチ２０４は、本物サーバ１０３側に、受信したパケットを送信する（ステップＳ１４０６）。ステップＳ１４０５：Ｙｅｓとなった場合とは、受信したパケットの送信元が一般ユーザ端末１０６ｂであり、かつ、受信したパケットの宛先が本物サーバ１０３であることを示す。
【００８７】
一方、着ＩＰアドレスが本物サーバのＩＰアドレスでない場合（ステップＳ１４０５：Ｎｏ）、ＳＤＮスイッチ２０４は、Ｆｌｏｗエントリテーブル７０１内のＦｌｏｗエントリに従って、受信したパケットを送信し、マッチするＦｌｏｗエントリがなければ、受信したパケットを廃棄する（ステップＳ１４０７）。ステップＳ１４０５：Ｎｏとなった場合とは、受信したパケットの宛先が、本物サーバ１０３以外のその他であることを示す。
【００８８】
ステップＳ１４０４、ステップＳ１４０６、ステップＳ１４０７の処理終了後、ＳＤＮスイッチ２０４は、端末からのパケット受信時処理を終了する。
【００８９】
図１５は、ＳＤＮスイッチ２０４におけるサーバからのパケット受信時処理手順の一例を示すフローチャートである。ここで、図１５におけるサーバとは、本物サーバ１０３、偽物サーバ１０４や、ＳＤＮスイッチ２０４に接続する他のサーバの総称である。
【００９０】
ＳＤＮスイッチ２０４は、パケットを受信する（ステップＳ１５０１）。次に、ＳＤＮスイッチ２０４は、Ｆｌｏｗエントリテーブルを上から検索する（ステップＳ１５０２）。そして、ＳＤＮスイッチ２０４は、宛先ＩＰアドレスが攻撃者端末１０６ｍのＩＰアドレスであるか否かを判断する（ステップＳ１５０３）。ステップＳ１５０３の処理は、図７で示すエントリＮｏ．１０１のサーチキーに当てはまるか否かの処理に相当する。また、ステップＳ１５０３の処理について、図７で示すエントリＮｏ．１０１のサーチキー通りに、ＳＤＮスイッチ２０４は、さらに、受信したパケットの宛先元ＴＣＰポート番号が、攻撃者端末１０６ｍのＴＣＰポート番号であるかを判断してもよい。
【００９１】
宛先ＩＰアドレスが攻撃者端末１０６ｍのＩＰアドレスである場合（ステップＳ１５０３：Ｙｅｓ）、ＳＤＮスイッチ２０４は、受信したパケットを廃棄する（ステップＳ１５０４）。ステップＳ１５０３：Ｙｅｓとなった場合とは、受信したパケットの送信元が本物サーバ１０３であり、かつ、宛先が攻撃者端末１０６ｍであることを示す。
【００９２】
一方、宛先ＩＰアドレスが攻撃者端末１０６ｍのＩＰアドレスでない場合（ステップＳ１５０３：Ｎｏ）、ＳＤＮスイッチ２０４は、端末側に、受信したパケットを送信する（ステップＳ１５０５）。ステップＳ１５０３：Ｎｏとなった場合とは、受信したパケットが、送信元が偽物サーバ１０４であり、かつ宛先が攻撃者端末１０６ｍであるパケットか、送信元が本物サーバ１０３であり、かつ宛先が一般ユーザ端末１０６ｂであるパケットであることを示す。
【００９３】
ステップＳ１５０４、ステップＳ１５０５の処理終了後、ＳＤＮスイッチ２０４は、サーバからのパケット受信時処理を終了する。
【００９４】
以上説明したように、サーバシステム制御装置１０１は、バックドア検出時、本物サーバ１０３上のＶＭの改変ライブマイグレーションの指示を送信し、第１の指示１３１と第２の指示１３２とを、ＳＤＮスイッチ２０４に送信する。これにより、攻撃者端末１０６ｍの通信が停止されないため、攻撃者Ｕｍに攻撃の失敗が悟られにくくなる。また、偽物サーバ１０４上のＶＭは、複製されたＶＭの情報によって動作しているため、ＶＭの内部の情報が、本物サーバ１０３上のＶＭと同一となる。具体的には、ディレクトリ構成、ファイルの作成日時、セッションの情報等である。従って、攻撃者Ｕｍは、偽物の秘密情報であることに気づきにくくなる。また、攻撃者Ｕｍが新たな攻撃をしないため、サーバシステム制御装置１０１は、新たな攻撃によって発生する、バックドア監視装置１０２のバックドアによるトンネルが張られたことの検知にかかる負荷を抑制することができる。また、管理者は、偽物サーバ１０４を用意しておけばよく、簡単な構成で本物サーバ１０３への不正なアクセスを回避することができる。
【００９５】
また、本実施の形態では、本物サーバ１０３上で動作するＶＭが、本物データベースサーバ２０１にアクセスし、偽物サーバ１０４上で動作するＶＭが、偽物データベースサーバ２０２にアクセスする。これにより、偽物サーバ１０４上で動作するＶＭは、本物の秘密情報にアクセスしないため、本物の秘密情報が漏洩することを抑制することができる。
【００９６】
また、第１の指示１３１は、送信元ＩＰアドレスが攻撃者端末１０６ｍのＩＰアドレスであり、かつ、宛先ＩＰアドレスが本物サーバ１０３のＩＰアドレスであるパケットを通信回線用ポート５１３−２に送信する指示でよい。また、第２の指示１３２は、通信回線用ポート５１３−２から入力されており、かつ、宛先ＩＰアドレスが攻撃者端末１０６ｍのＩＰアドレスであるパケットを廃棄する指示でよい。例えば、サーバシステム１００が、中小企業等のシステムである場合、プロキシサーバを有さないことがある。この場合には、ＴＣＰやＵＤＰのポート番号を参照せずとも攻撃者端末１０６ｍを特定することができるため、ＴＣＰやＵＤＰの解析を行わなくてよい分、ＳＤＮスイッチ２０４にかかる負荷を抑制することができる。
【００９７】
また、第１の指示１３１は、前述の第１の指示１３１の条件に加えて、かつ、送信元のＴＣＰやＵＤＰのポート番号が攻撃者端末１０６ｍのＴＣＰやＵＤＰのポート番号であるパケットを偽物サーバ１０４に送信する指示でもよい。同様に、第２の指示１３２は、前述の第２の指示１３２の条件に加えて、かつ、宛先のＴＣＰやＵＤＰのポート番号が攻撃者端末１０６ｍのＴＣＰやＵＤＰのポート番号であるパケットを廃棄する指示でもよい。このように、サーバシステム１００は、ＴＣＰやＵＤＰのポート番号を参照することにより、サーバシステム１００内にプロキシサーバが含まれる場合でも、攻撃者Ｕｍに対して、偽物の秘密情報であることを気づきにくくすることができる。
【００９８】
また、本物サーバ１０３のＩＰアドレスと、偽物サーバ１０４のＩＰアドレスとが、同一の値でもよい。ウイルスには、ＩＰアドレスが変更されたことを検出するものがある。そこで、本物サーバ１０３のＩＰアドレスと、偽物サーバ１０４のＩＰアドレスとが、同一の値であることにより、攻撃者Ｕｍに対して、偽物の秘密情報であることをより気づきにくくすることができる。
【００９９】
なお、本実施の形態で説明したサーバシステム制御方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。本サーバシステム制御プログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ  Ｄｉｓｃ−Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また本サーバシステム制御プログラムは、インターネット等のネットワークを介して配布してもよい。
【０１００】
上述した実施の形態に関し、さらに以下の付記を開示する。
【０１０１】
（付記１）第１のサーバと、第２のサーバと、前記第１のサーバまたは前記第２のサーバに対するパケットを中継する中継装置とに対して通信可能なサーバシステム制御装置であって、
第１の端末のＩＰアドレスと前記第１のサーバのＩＰアドレスとを含み、前記第１の端末と前記第１のサーバとの間の不正な通信路を検知したことを示す検知情報に応じて、前記第１のサーバに対して、前記第１のサーバ上で動作する仮想マシンの情報を、前記第２のサーバに複製する指示を送信し、
複製された前記仮想マシンの情報によって前記第２のサーバ上で仮想マシンが動作することに応じて、前記中継装置に対して、前記検知情報によって特定される前記第１の端末から前記第１のサーバへのパケットの宛先を前記第２のサーバに変更する第１の指示と、前記第１のサーバから前記第１の端末へのパケットを廃棄する第２の指示とを送信する、
制御部を有することを特徴とするサーバシステム制御装置。
【０１０２】
（付記２）前記第１のサーバは、第１の記憶装置にアクセス可能であり、
前記第１のサーバ上で動作する仮想マシンは、前記第１の記憶装置にアクセスし、
前記第２のサーバは、前記第１の記憶装置が記憶する記憶内容に対する偽の記憶内容を記憶する第２の記憶装置にアクセス可能であり、
前記第２のサーバ上で動作する仮想マシンは、前記第２の記憶装置にアクセスする、
ことを特徴とする付記１に記載のサーバシステム制御装置。
【０１０３】
（付記３）前記中継装置は、前記第１のサーバと接続する第１のポートと、前記第２のサーバと接続する第２のポートとを有しており、
前記第１の指示は、
送信元ＩＰアドレスが前記第１の端末のＩＰアドレスであり、かつ、宛先ＩＰアドレスが前記第１のサーバのＩＰアドレスであるパケットを前記第２のポートに送信する指示であり、
前記第２の指示は、
前記第２のポートから入力されており、かつ、宛先ＩＰアドレスが前記第１の端末のＩＰアドレスであるパケットを廃棄する指示である、
ことを特徴とする付記１または２に記載のサーバシステム制御装置。
【０１０４】
（付記４）前記検知情報には、さらに、前記不正な通信路で使用される前記第１の端末の論理的なポート番号および前記第１のサーバの論理的なポート番号を含み、
前記中継装置は、前記第１のサーバと接続する第１のポートと、前記第２のサーバと接続する第２のポートとを有しており、
前記第１の指示は、
送信元ＩＰアドレスが前記第１の端末のＩＰアドレスであり、かつ、宛先ＩＰアドレスが前記第１のサーバのＩＰアドレスであり、かつ、送信元の論理的なポート番号が前記第１の端末の論理的なポート番号であるパケットを前記第２のサーバに送信する指示であり、
前記第２の指示は、
前記第２のポートから入力されており、かつ、宛先ＩＰアドレスが前記第１の端末のＩＰアドレスであり、かつ、宛先の論理的なポート番号が前記第１の端末の論理的なポート番号であるパケットを廃棄する指示である、
ことを特徴とする付記１または２に記載のサーバシステム制御装置。
【０１０５】
（付記５）前記第１のサーバのＩＰアドレスと、前記第２のサーバのＩＰアドレスとが同一の値であることを特徴とする付記１〜４のいずれか一つに記載のサーバシステム制御装置。
【０１０６】
（付記６）第１のサーバと、第２のサーバと、前記第１のサーバまたは前記第２のサーバに対するパケットを中継する中継装置と、前記中継装置に対して通信可能なサーバシステム制御装置とを含むサーバシステムであって、
前記サーバシステム制御装置は、
第１の端末のＩＰアドレスと前記第１のサーバのＩＰアドレスとを含み、前記第１の端末と前記第１のサーバとの間の不正な通信路を検知したことを示す検知情報に応じて、前記第１のサーバに対して、前記第１のサーバ上で動作する仮想マシンの情報を、前記第２のサーバに複製する指示を送信し、
複製された前記仮想マシンの情報によって前記第２のサーバ上で仮想マシンが動作することに応じて、前記中継装置に対して、前記検知情報によって特定される前記第１の端末から前記第１のサーバへのパケットの宛先を前記第２のサーバに変更する第１の指示と、前記第１のサーバから前記第１の端末へのパケットを廃棄する第２の指示とを送信し、
前記中継装置は、
受信したパケットが、前記第１の指示におけるパケットである場合、前記パケットの宛先を前記第２のサーバに変更し、
受信したパケットが、前記第２の指示におけるパケットである場合、前記パケットを廃棄する、
ことを特徴とするサーバシステム。
【０１０７】
（付記７）第１のサーバと、第２のサーバと、前記第１のサーバまたは前記第２のサーバに対するパケットを中継する中継装置とに対して通信可能なサーバシステム制御装置が、
第１の端末のＩＰアドレスと前記第１のサーバのＩＰアドレスとを含み、前記第１の端末と前記第１のサーバとの間の不正な通信路を検知したことを示す検知情報に応じて、前記第１のサーバに対して、前記第１のサーバ上で動作する仮想マシンの情報を、前記第２のサーバに複製する指示を送信し、
複製された前記仮想マシンの情報によって前記第２のサーバ上で仮想マシンが動作することに応じて、前記中継装置に対して、前記検知情報によって特定される前記第１の端末から前記第１のサーバへのパケットの宛先を前記第２のサーバに変更する第１の指示と、前記第１のサーバから前記第１の端末へのパケットを廃棄する第２の指示とを送信する、
処理を実行することを特徴とするサーバシステム制御方法。
【０１０８】
（付記８）第１のサーバと、第２のサーバと、前記第１のサーバまたは前記第２のサーバに対するパケットを中継する中継装置とに対して通信可能なサーバシステム制御装置に、
第１の端末のＩＰアドレスと前記第１のサーバのＩＰアドレスとを含み、前記第１の端末と前記第１のサーバとの間の不正な通信路を検知したことを示す検知情報に応じて、前記第１のサーバに対して、前記第１のサーバ上で動作する仮想マシンの情報を、前記第２のサーバに複製する指示を送信し、
複製された前記仮想マシンの情報によって前記第２のサーバ上で仮想マシンが動作することに応じて、前記中継装置に対して、前記検知情報によって特定される前記第１の端末から前記第１のサーバへのパケットの宛先を前記第２のサーバに変更する第１の指示と、前記第１のサーバから前記第１の端末へのパケットを廃棄する第２の指示とを送信する、
処理を実行させることを特徴とするサーバシステム制御プログラム。
【符号の説明】
【０１０９】
１００  サーバシステム
１０１  サーバシステム制御装置
１０２  バックドア監視装置
１０３  本物サーバ
１０４  偽物サーバ
１０５  中継装置
１０６ｂ  一般ユーザ端末
１０６ｍ  攻撃者端末
１１０  バックドア検知情報
１１１  本物ＤＢ
１１２  偽物ＤＢ
２０１  本物データベースサーバ
２０２  偽物データベースサーバ
６００  制御部
６０１  受信部
６０２  改変ライブマイグレーション指示部
６０３  ＳＤＮスイッチ指示部
【図１】
2018082288.tif 000003
【図２】
2018082288.tif 000004
【図３】
2018082288.tif 000005
【図４】
2018082288.tif 000006
【図５】
2018082288.tif 000007
【図６】
2018082288.tif 000008
【図７】
2018082288.tif 000009
【図８】
2018082288.tif 000010
【図９】
2018082288.tif 000011
【図１０】
2018082288.tif 000012
【図１１】
2018082288.tif 000013
【図１２】
2018082288.tif 000014
【図１３】
2018082288.tif 000015
【図１４】
2018082288.tif 000016
【図１５】
2018082288.tif 000017