(57)【要約】【課題】  複数の情報処理装置が一括して管理されている場合において攻撃事象が分散していても攻撃予兆を検知できるようにする。【解決手段】  予兆監視部３２は、複数の画像形成装置１−１〜１−３からの予兆通知を集計し、その予兆通知の集計結果に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、攻撃事象について所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知を複数の画像形成装置１−１〜１−３へ送信する。そして、各画像形成装置１−１〜１−３の通信処理部１１は、その警戒通知を受信すると、警戒通知により示される攻撃事象をブロックする対抗処理を実行する。【選択図】  図２
2015125694.tif 000002
【特許請求の範囲】
【請求項１】
複数の情報処理装置と、
予兆管理サーバーとを備え、
前記複数の情報処理装置は、それぞれ、予兆検知部と、通信処理部とを備え、
前記予兆管理サーバーは、予兆監視部を備え、
前記予兆検知部は、所定の予兆条件を満たす攻撃事象を検知し、検知した前記攻撃事象を示す予兆通知を前記予兆監視部へ送信し、
前記予兆監視部は、前記複数の情報処理装置から前記予兆通知を受け付け、前記複数の情報処理装置からの前記予兆通知を集計し、前記予兆通知の集計結果に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、前記攻撃事象について前記所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知を前記複数の情報処理装置へ送信し、
前記通信処理部は、前記警戒通知を受信すると、前記警戒通知により示される攻撃事象をブロックする対抗処理を実行すること、
を特徴とする情報処理システム。
【請求項２】
複数の情報処理装置と通信する通信処理部と、
予兆監視部とを備え、
前記予兆監視部は、各情報処理装置が所定の予兆条件を満たす攻撃事象を検知した場合に送信される、前記攻撃事象を示す予兆通知を、前記複数の情報処理装置から受け付け、前記複数の情報処理装置からの前記予兆通知に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、前記攻撃事象について前記所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知を前記複数の情報処理装置へ送信し、前記複数の情報処理装置に、前記警戒通知により示される攻撃事象をブロックする対抗処理を実行させること、
を特徴とする予兆管理サーバー。
【請求項３】
前記攻撃事象は、同一ログインＩＤについての所定時間内における所定回数以上のログイン試行、所定時間内における所定回数以上の異なるポート番号への接続要求、および所定数以上のハーフオープンのトランスミッションコントロールプロトコルコネクションの少なくとも１つを含むことを特徴とする請求項２記載の予兆管理サーバー。
【請求項４】
複数の情報処理装置を備え、
前記複数の情報処理装置は、それぞれ、予兆検知部と、予兆監視部と、通信処理部とを備え、
前記予兆検知部は、所定の予兆条件を満たす攻撃事象を検知し、検知した前記攻撃事象を示す予兆通知を、前記複数の情報処理装置のすべての前記予兆監視部へ送信し、
前記予兆監視部は、前記複数の情報処理装置から前記予兆通知を受け付け、前記複数の情報処理装置からの前記予兆通知を集計し、前記予兆通知の集計結果に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、前記攻撃事象について前記所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知を前記複数の情報処理装置のすべての前記通信処理部へ送信し、
前記通信処理部は、前記警戒通知を受信すると、前記警戒通知により示される攻撃事象をブロックする対抗処理を実行すること、
を特徴とする情報処理システム。
【請求項５】
１または複数の他の画像形成装置と通信する通信処理部と、
予兆検知部と、
予兆監視部と、
通信処理部とを備え、
前記予兆検知部は、所定の予兆条件を満たす攻撃事象を検知し、検知した前記攻撃事象を示す予兆通知を、前記予兆監視部および前記他の情報処理装置へ送信し、
前記予兆監視部は、前記予兆検知部および前記他の情報処理装置から前記予兆通知を受け付け、前記予兆検知部および前記他の情報処理装置からの前記予兆通知を集計し、前記予兆通知の集計結果に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、前記攻撃事象について前記所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知を、前記通信処理部および前記他の情報処理装置へ送信し、
前記通信処理部は、前記予兆監視部および前記他の情報処理装置のいずれかから前記警戒通知を受信すると、前記警戒通知により示される攻撃事象をブロックする対抗処理を実行すること、
を特徴とする情報処理装置。
【請求項６】
前記予兆検知部は、（ａ）前記攻撃事象を検知したときに前記予兆通知を前記予兆監視部へ送信し、（ｂ１）前記予兆監視部が前記警戒通知を送信しない場合には、前記予兆通知を前記他の情報処理装置へ送信し、（ｂ２）前記予兆監視部が前記警戒通知を送信する場合には、前記予兆通知を前記他の情報処理装置へ送信しないことを特徴とする請求項５記載の情報処理装置。
【請求項７】
前記攻撃事象は、同一ログインＩＤについての所定時間内における所定回数以上のログイン試行、所定時間内における所定回数以上の異なるポート番号への接続要求、および所定数以上のハーフオープンのトランスミッションコントロールプロトコルコネクションの少なくとも１つを含むことを特徴とする請求項５記載の情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理システム、情報処理装置、および予兆管理サーバーに関するものである。
【背景技術】
【０００２】
例えば、ある情報処理システムでは、パーソナルコンピューターが、そのパーソナルコンピューターへの不正アクセスを検出すると、管理サーバーへ通知している（例えば特許文献１参照）。
【０００３】
また、別の情報処理システムでは、現時点の状況から攻撃の予兆を検知すると、事例データベースを使用して、その予兆に対応する攻撃の予知を行い、攻撃の回避を行っている（例えば特許文献２参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００４−２０６６８３号公報
【特許文献２】特開２００２−２５１３７４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
情報処理装置への攻撃は、年々高度化しており、防御策をかいくぐる攻撃が行われている。例えば、サーバーに対する攻撃として、多数回のログイン試行があるが、この攻撃は、所定の時間内におけるログイン試行の回数によって検知される。しかし、１つのネットワークに接続された複数の情報処理装置が一括して管理されている場合、同一のログインＩＤおよびパスワードが複数の情報処理装置で使用されていると仮定して、ログイン試行を複数の情報処理装置に分散して行うことで、１台あたりのログイン試行の回数を少なく抑えつつ攻撃を行い、攻撃の検知を遅らせることが考えられる。
【０００６】
このように複数の情報処理装置が一括して管理されている場合において攻撃が分散されると、攻撃が検知されにくくなるという問題がある。
【０００７】
本発明は、上記の問題に鑑みてなされたものであり、複数の情報処理装置が一括して管理されている場合において攻撃事象が分散していても攻撃予兆を検知できる情報処理システム、並びにその情報処理システムで使用可能な情報処理装置および予兆管理サーバーを得ることを目的とする。
【課題を解決するための手段】
【０００８】
本発明に係る情報処理システムは、複数の情報処理装置と、予兆管理サーバーとを備える。前記複数の情報処理装置は、それぞれ、予兆検知部と、通信処理部とを備え、前記予兆管理サーバーは、予兆監視部を備える。そして、前記予兆検知部は、所定の予兆条件を満たす攻撃事象を検知し、検知した前記攻撃事象を示す予兆通知を前記予兆監視部へ送信する。前記予兆監視部は、前記複数の情報処理装置から前記予兆通知を受け付け、前記複数の情報処理装置からの前記予兆通知を集計し、前記予兆通知の集計結果に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、前記攻撃事象について前記所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知を前記複数の情報処理装置へ送信する。前記通信処理部は、前記警戒通知を受信すると、前記警戒通知により示される攻撃事象をブロックする対抗処理を実行する。
【０００９】
本発明に係る予兆管理サーバーは、複数の情報処理装置と通信する通信処理部と、予兆監視部とを備える。前記予兆監視部は、各情報処理装置が所定の予兆条件を満たす攻撃事象を検知した場合に送信される、前記攻撃事象を示す予兆通知を、前記複数の情報処理装置から受け付け、前記複数の情報処理装置からの前記予兆通知に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、前記攻撃事象について前記所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知を前記複数の情報処理装置へ送信し、前記複数の情報処理装置に、前記警戒通知により示される攻撃事象をブロックする対抗処理を実行させる。
【００１０】
本発明に係る情報処理システムは、複数の情報処理装置を備える。前記複数の情報処理装置は、それぞれ、予兆検知部と、予兆監視部と、通信処理部とを備える。そして、前記予兆検知部は、所定の予兆条件を満たす攻撃事象を検知し、検知した前記攻撃事象を示す予兆通知を、前記複数の情報処理装置のすべての前記予兆監視部へ送信する。前記予兆監視部は、前記複数の情報処理装置から前記予兆通知を受け付け、前記複数の情報処理装置からの前記予兆通知を集計し、前記予兆通知の集計結果に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、前記攻撃事象について前記所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知を前記複数の情報処理装置のすべての前記通信処理部へ送信する。前記通信処理部は、前記警戒通知を受信すると、前記警戒通知により示される攻撃事象をブロックする対抗処理を実行する。
【００１１】
本発明に係る情報処理装置は、１または複数の他の画像形成装置と通信する通信処理部と、予兆検知部と、予兆監視部と、通信処理部とを備える。そして、前記予兆検知部は、所定の予兆条件を満たす攻撃事象を検知し、検知した前記攻撃事象を示す予兆通知を、前記予兆監視部および前記他の情報処理装置へ送信する。前記予兆監視部は、前記予兆検知部および前記他の情報処理装置から前記予兆通知を受け付け、前記予兆検知部および前記他の情報処理装置からの前記予兆通知を集計し、前記予兆通知の集計結果に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、前記攻撃事象について前記所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知を、前記通信処理部および前記他の情報処理装置へ送信する。前記通信処理部は、前記予兆監視部および前記他の情報処理装置のいずれかから前記警戒通知を受信すると、前記警戒通知により示される攻撃事象をブロックする対抗処理を実行する。
【発明の効果】
【００１２】
本発明によれば、複数の情報処理装置が一括して管理されている場合において攻撃事象が分散していても攻撃予兆を検知できる。
【図面の簡単な説明】
【００１３】
【図１】図１は、本発明の実施の形態１に係る情報処理システムの構成を示すブロック図である。
【図２】図２は、図１に示すシステムにおいて送受される予兆通知および警戒通知を説明する図である。
【図３】図３は、図１に示すシステムで使用される予兆通知のデータフォーマットの一例を示す図である。
【図４】図４は、図１に示すシステムで使用される警戒通知のデータフォーマットの一例を示す図である。
【図５】図５は、実施の形態２に係る情報処理システムの構成を示すブロック図である。
【発明を実施するための形態】
【００１４】
以下、図に基づいて本発明の実施の形態を説明する。
【００１５】
実施の形態１．
【００１６】
図１は、本発明の実施の形態１に係る情報処理システムの構成を示すブロック図である。
【００１７】
図１に示す情報処理システムでは、複数の画像形成装置１−１〜１−３がネットワーク２に接続されており、さらに、そのネットワーク２に予兆管理サーバー３が接続されている。なお、画像形成装置１−ｉ（ｉ＝１，２，３）は、プリンター、複合機などの情報処理装置である。ここでは、システム内に３台の画像形成装置１−１〜１−３が存在するが、画像形成装置の数は、２または４以上でもよい。
【００１８】
画像形成装置１−ｉは、通信処理部１１、および予兆検知部１２を備える。
【００１９】
通信処理部１１は、ネットワークインターフェイスなどのハードウェアと、そのハードウェアを制御するソフトウェアとを含み、ネットワーク２を介して所定のプロトコルでデータ通信を行う。
【００２０】
予兆検知部１２は、当該画像形成装置１−ｉに対する、所定の予兆条件を満たす攻撃事象を検知し、検知した攻撃事象を示す予兆通知を、通信処理部１１を使用して予兆管理サーバー３の予兆監視部３２へ送信する。
【００２１】
また、予兆管理サーバー３は、通信処理部３１、予兆監視部３２、および予兆情報データベース３３を備える。
【００２２】
通信処理部３１は、ネットワークインターフェイスなどのハードウェアと、そのハードウェアを制御するソフトウェアとを含み、ネットワーク２を介して所定のプロトコルでデータ通信を行う。
【００２３】
予兆監視部３２は、（ａ）複数の画像形成装置１−１〜１−３から予兆通知を受け付け、（ｂ）複数の画像形成装置１−１〜１−３からの予兆通知を攻撃事象の種別ごとに集計し、（ｃ）予兆通知の集計結果に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、（ｄ）攻撃事象について所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知をシステム内の全画像形成装置１−１〜１−３へ送信する。各画像形成装置１−１〜１−３の通信処理部１１は、警戒通知を受信すると、警戒通知により示される攻撃事象をブロックする対抗処理を実行する。
【００２４】
予兆情報データベース３３は、上述の予兆条件を示す予兆条件データ、上述の警戒条件を示す警戒条件データ、予兆通知の受信ログなどを格納している。
【００２５】
ここでは、攻撃事象として、（ａ）連続的なログイン試行、（ｂ）連続的な異なるポート番号への接続要求、および（ｃ）複数のハーフオープンのトランスミッションコントロールプロトコル（ＴＣＰ）コネクションが検出される。
【００２６】
また、ここでは、予兆条件は、（ａ）同一ログインＩＤについての所定時間内（つまり、現時刻から直近の所定時間内）における所定回数以上（例えば直近１０分間において５回以上）のログイン試行、（ｂ）所定時間内における所定回数以上（例えば直近１分間において１０回以上）の異なるポート番号への接続要求（いわゆるポートスキャンの予兆）、および（ｃ）所定数以上（例えば１０以上）のハーフオープンのＴＣＰコネクション（いわゆるＳＹＮフラッドの予兆）である。
【００２７】
また、ここでは、警戒条件は、（ａ）同一ログインＩＤについての所定時間内における所定回数以上（例えば直近１０分間において１０回以上）のログイン試行、（ｂ）所定時間内における所定回数以上（例えば直近１分間において５０回以上）の異なるポート番号への接続要求、および（ｃ）所定数以上（例えば２０以上）のハーフオープンのＴＣＰコネクションである。
【００２８】
つまり、警戒条件の閾値となる現象回数は、予兆条件の閾値となる現象回数より多い回数に設定されている。
【００２９】
次に、上記システムにおける画像形成装置１−１〜１−３および予兆管理サーバー３の連携動作について説明する。
【００３０】
図２は、図１に示すシステムにおいて送受される予兆通知および警戒通知を説明する図である。
【００３１】
画像形成装置１−ｉにおいて、予兆検知部１２は、所定の予兆条件を満たす攻撃事象を検知すると、予兆通知を予兆監視部３２へ送信する。
【００３２】
図３は、図１に示すシステムで使用される予兆通知のデータフォーマットの一例を示す図である。例えば図３に示すように、予兆通知は、現象ＩＤ、現象回数、および付属情報を含む。現象ＩＤは、予兆条件を満たした攻撃事象（上述のログイン試行、ポートスキャンの予兆、ＳＹＮフラッドの予兆など）を示す識別情報である。現象回数は、その回数（ログイン試行回数、接続要求の回数、ハーフオープンのＴＣＰコネクションの数など）を示す。付属情報は、現象ＩＤに対応する情報であって、例えばログイン試行については、付属情報は、ログイン要求の送信元ＩＰアドレスあるいはログインに使用されたインターフェイスを示す情報、およびログイン試行に使用されたログインＩＤを含み、ポートスキャンの予兆およびＳＹＮフラッドについては、付属情報は、要求元のＩＰアドレスを示す情報を含む。
【００３３】
予兆管理サーバー３の予兆監視部３２は、その予兆通知を受信すると、その予兆通知と過去の予兆通知とを考慮して警戒条件が成立するか否かを判定し、警戒条件が成立する場合、警戒条件が成立した攻撃事象についての警戒通知を、画像形成装置１−１〜１−３へ送信する。
【００３４】
図４は、図１に示すシステムで使用される警戒通知のデータフォーマットの一例を示す図である。例えば図４に示すように、警戒通知は、現象ＩＤ、現象回数、および付属情報を含む。現象ＩＤは、警戒条件を満たした攻撃事象を示す識別情報である。現象回数は、その集計された回数を示す。付属情報は、現象ＩＤに対応する情報であって、例えばログイン試行については、付属情報は、ログイン要求の送信元ＩＰアドレスあるいはログインに使用されたインターフェイスを示す情報、およびログイン試行に使用されたログインＩＤを含み、ポートスキャンの予兆およびＳＹＮフラッドについては、付属情報は、要求元のＩＰアドレスを示す情報を含む。
【００３５】
そして、各画像形成装置１−ｉの通信処理部１１は、その警戒通知を受信すると、その警戒通知により示される攻撃事象をブロックする対抗処理を実行する。
【００３６】
例えば、ログイン試行についての警戒通知の場合には、警戒通知により指定されたログインＩＤをロックアウトし（ログイン禁止とし）、さらに、警戒通知により指定された送信元ＩＰアドレスからの通信をフィルタリングにより遮断する。また、ポートスキャンの予兆についての警戒通知の場合には、警戒通知により指定された送信元ＩＰアドレスからの通信をフィルタリングにより遮断する。さらに、ＳＹＮフラッドの予兆についての警戒通知の場合には、警戒通知により指定された送信元ＩＰアドレスからの通信をフィルタリングにより遮断する。
【００３７】
以上のように、上記実施の形態１によれば、予兆監視部３２は、複数の画像形成装置１−１〜１−３からの予兆通知を集計し、その予兆通知の集計結果に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、攻撃事象について所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知を複数の画像形成装置１−１〜１−３へ送信する。そして、各画像形成装置１−１〜１−３の通信処理部１１は、その警戒通知を受信すると、警戒通知により示される攻撃事象をブロックする対抗処理を実行する。
【００３８】
これにより、オフィスなどにおいて複数の画像形成装置が一括して管理されている場合において攻撃事象が分散していても攻撃予兆を検知できる。
【００３９】
実施の形態２．
【００４０】
実施の形態２に係る情報処理システムでは、予兆管理サーバー３を設けず、予兆監視部の機能を各画像形成装置が有する。
【００４１】
図５は、実施の形態２に係る情報処理システムの構成を示すブロック図である。
【００４２】
実施の形態２では、複数の画像形成装置５１−１〜５１−３がネットワーク５２に接続されている。なお、画像形成装置５１−ｉ（ｉ＝１，２，３）は、プリンター、複合機などの情報処理装置である。ここでは、システム内に３台の画像形成装置５１−１〜５１−３が存在するが、画像形成装置の数は、２または４以上でもよい。
【００４３】
画像形成装置５１−ｉは、通信処理部６１、予兆検知部６２、および予兆監視部６３を備える。
【００４４】
通信処理部６１は、通信処理部１１と同様のものである。
【００４５】
画像形成装置５１−ｉの予兆検知部６２は、予兆検知部１２と同様に、所定の予兆条件を満たす攻撃事象を検知し、検知した攻撃事象を示す予兆通知を、当該画像形成装置５１−ｉの予兆監視部６３および他の情報処理装置５１−ｊの予兆監視部６３へ送信する。
【００４６】
画像形成装置５１−ｉの予兆監視部６３は、予兆監視部３２と同様に、画像形成装置５１−ｉの予兆検知部６２および他の情報処理装置５１−ｊの予兆検知部６２から予兆通知を受け付け、それらの予兆検知部６２からの予兆通知を集計し、予兆通知の集計結果に基づいて各攻撃事象について所定の警戒条件を満たすか否かを監視し、攻撃事象について所定の警戒条件を満たす場合、その攻撃事象を示す警戒通知を、当該画像形成装置５１−ｉの通信処理部６１および他の情報処理装置５１−ｊの通信処理部６１へ送信する。
【００４７】
画像形成装置５１−ｉの通信処理部６１は、通信処理部１１と同様に、画像形成装置５１−ｉの予兆監視部６３および他の情報処理装置５１−ｊの予兆監視部６３のいずれかから警戒通知を受信すると、その警戒通知により示される攻撃事象をブロックする対抗処理を実行する。
【００４８】
また、実施の形態２では、予兆検知部６２は、（ａ）攻撃事象を検知したときに予兆通知を予兆監視部６３へ送信し、（ｂ１）予兆監視部６３が警戒通知を送信しない場合には、その予兆通知を他の情報処理装置５１−ｊへも送信し、（ｂ２）予兆監視部６３が警戒通知を送信する場合には、その予兆通知を他の情報処理装置５１−ｊへ送信しない。このようにすることで、自機が検知した予兆に基づき警戒条件が成立することを検知した画像形成装置５１−ｉのみが警戒通知を他の画像形成装置５１−ｊへ送信し、他の画像形成装置５１−ｊは、その予兆に基づく予兆通知を受信しないので、その予兆に基づいて警戒通知を送信することはない。したがって、その予兆に基づく警戒通知は、１回のみ（つまり、１台の画像形成装置５１−ｉからのみ）送信される。
【００４９】
以上のように、上記実施の形態２によれば、実施の形態１と同様に、オフィスなどにおいて複数の画像形成装置が一括して管理されている場合において攻撃事象が分散していても攻撃予兆を検知できる。
【００５０】
なお、上述の各実施の形態は、本発明の好適な例であるが、本発明は、これらに限定されるものではなく、本発明の要旨を逸脱しない範囲において、種々の変形、変更が可能である。
【００５１】
例えば、上記実施の形態において、多数回のログイン試行、ポートスキャンの予兆、およびＳＹＮフラッドの予兆以外の現象についても攻撃予兆として検出するようにしてもよい。
【産業上の利用可能性】
【００５２】
本発明は、例えば、複数の画像形成装置を有するネットワークシステムに適用可能である。
【符号の説明】
【００５３】
１−１〜１−３，５１−１〜５１−３  画像形成装置（情報処理装置の一例）
３  予兆管理サーバー
１１，６１  通信処理部
１２，６２  予兆検知部
３２，６３  予兆監視部
【図１】
2015125694.tif 000003
【図２】
2015125694.tif 000004
【図３】
2015125694.tif 000005
【図４】
2015125694.tif 000006
【図５】
2015125694.tif 000007