(57)【特許請求の範囲】
【請求項１】
監視対象である複数の通信装置に対するブルートフォース攻撃の検知結果の履歴であるアクセス履歴を取得する履歴取得部と、
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出する抽出部と、
取得したアクセス履歴に基づいて前記アクセスの特徴が類似した複数のＩＰアドレスを検出すると、当該複数のＩＰアドレスから特定したＩＰアドレスを用いてアクセスされた前記通信装置がネットワーク攻撃を受けたと判断する判断部と、
を備えることを特徴とするネットワーク攻撃監視装置。
【請求項２】
前記抽出部は、前記アクセスの特徴として、１つのＩＰアドレスを用いて行われたアクセス回数の合計、単位時間当たりのアクセス回数の分散、及び１つのＩＰアドレスを用いて行われたアクセスの継続時間のいずれか、又は２以上の組み合わせを抽出する、
ことを特徴とする請求項１に記載のネットワーク攻撃監視装置。
【請求項３】
前記判断部において特定したＩＰアドレスでアクセスされた通信装置のＩＰアドレス及びアクセスの特徴が登録された第１のリストと、
前記ネットワーク攻撃に該当する前記アクセスの特徴が登録された第２のリストと、
前記通信装置に対する前記ネットワーク攻撃と類似した更なるアクセスを検知すると、検知したアクセスの特徴と前記第１のリスト及び前記第２のリストのアクセスの特徴とを比較して前記通信装置へのアクセスが前記ネットワーク攻撃であるか否かを検査する検査部と、
を更に備えることを特徴とする請求項１に記載のネットワーク攻撃監視装置。
【請求項４】
監視対象である複数の通信装置に対するブルートフォース攻撃の検知結果の履歴であるアクセス履歴を取得する履歴取得部と、
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出する抽出部と、
取得したアクセス履歴に基づいて前記アクセスの特徴の類似性に応じて前記ＩＰアドレスをグループ化し、特定のグループに属するＩＰアドレスによるアクセスのアクセス先に対応する通信装置を特定する特定部と、
特定した前記通信装置に対する更なるアクセスを監視し、検出された前記グループにグループ化される特定のアクセスの検出に応じて当該特定のアクセスを遮断する遮断部と、
を備えることを特徴とするネットワーク攻撃監視装置。
【請求項５】
前記特定部は、所定数以上のアクセスが属するグループ、又は最も多いアクセスが含まれるグループを前記特定のグループとすること、
を特徴とする請求項４に記載のネットワーク攻撃監視装置。
【請求項６】
前記抽出部は、アクセスの継続時間を含む前記アクセスの特徴を抽出し、
前記遮断部は、前記アクセスの継続時間に基づいて、検出した前記アクセスの遮断時間を設定すること、
を特徴とする請求項４に記載のネットワーク攻撃監視装置。
【請求項７】
前記遮断部は、前記遮断時間が経過した後、前記アクセスの遮断を解除すること、
を特徴とする請求項６に記載のネットワーク攻撃監視装置。
【請求項８】
コンピュータが、
監視対象である複数の通信装置に対するブルートフォース攻撃の検知結果の履歴であるアクセス履歴を取得し、
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出し、
取得したアクセス履歴に基づいて前記アクセスの特徴が類似した複数のＩＰアドレスを検出すると、当該複数のＩＰアドレスから特定したＩＰアドレスを用いてアクセスされた前記通信装置がネットワーク攻撃を受けたと判断する、
ことを特徴とするネットワーク攻撃監視方法。
【請求項９】
コンピュータが、
監視対象である複数の通信装置に対するブルートフォース攻撃の検知結果の履歴であるアクセス履歴を取得し、
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出し、
取得したアクセス履歴に基づいて前記アクセスの特徴の類似性に応じて前記ＩＰアドレスをグループ化し、
特定のグループに属するＩＰアドレスによるアクセスのアクセス先に対応する通信装置を特定し、
特定した前記通信装置に対する更なるアクセスを監視し、検出された前記グループにグループ化される特定のアクセスの検出に応じて当該特定のアクセスを遮断する
ことを特徴とするネットワーク攻撃監視方法。
【請求項１０】
コンピュータに、
監視対象である複数の通信装置に対するブルートフォース攻撃の検知結果の履歴であるアクセス履歴を取得し、
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出し、
取得したアクセス履歴に基づいて前記アクセスの特徴が類似した複数のＩＰアドレスを検出すると、当該複数のＩＰアドレスから特定したＩＰアドレスを用いてアクセスされた前記通信装置がネットワーク攻撃を受けたと判断する、
処理を実行させるためのプログラム。
【請求項１１】
コンピュータに、
監視対象である複数の通信装置に対するブルートフォース攻撃の検知結果の履歴であるアクセス履歴を取得し、
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出し、
取得したアクセス履歴に基づいて前記アクセスの特徴の類似性に応じて前記ＩＰアドレスをグループ化し、
特定のグループに属するＩＰアドレスによるアクセスのアクセス先に対応する通信装置を特定し、
特定した前記通信装置に対する更なるアクセスを監視し、検出された前記グループにグループ化される特定のアクセスの検出に応じて当該特定のアクセスを遮断する
処理を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク攻撃監視装置、ネットワーク攻撃監視方法、及びプログラムに関する。
【背景技術】
【０００２】
インターネットを利用したサービスには、ユーザＩＤ及びパスワードによる認証を必要とするものがある。この種のサービスにおいては、他人のユーザＩＤ及びパスワードを不正に取得するブルートフォース攻撃（以下「ＢＦ攻撃」ともいう）が問題視されている。
【０００３】
ＢＦ攻撃は、サービスを提供するサーバ等の通信装置へアクセスし、考えられる限りのユーザＩＤ及びパスワードの組合せを用いて認証（ログイン）を試みる攻撃である。この試みは、認証が成功するまで続けられる。そのため、ＢＦ攻撃を受けると、正規ユーザのユーザＩＤやパスワードを不正に取得されるだけでなく、サーバ等の処理負荷が増大することによる障害の発生等の問題も生じる。
【０００４】
ＢＦ攻撃への対策の１つとして、侵入検知システム（ＩＤＳ：Intrusion Detection System）を適用し、ＢＦ攻撃である可能性が高い通信（アクセス）を検知する方法がある。
【０００５】
ＩＤＳによるＢＦ攻撃の検知では、例えば、第１のＩＰアドレスから第２のＩＰアドレスの通信装置へのアクセスパターンがＢＦ攻撃時のパターンと類似している場合に、第１のＩＰアドレスから他のＩＰアドレスの通信装置への同様のアクセスの有無を調べる。そして、ほぼ同時刻に、第１のＩＰアドレスから複数のＩＰアドレスの異なる通信装置に対してＢＦ攻撃時と類似したパターンのアクセスが行われていることを検出すると、第１のＩＰアドレスを送信元（攻撃元）とするＢＦ攻撃が行われた判定する。
【０００６】
このようなＢＦ攻撃に関し、近年、ＩＤＳによる誤検知を装う新たな形態のＢＦ攻撃が出現していることが報告されている。例えば、１つのＩＰアドレスからのログイン試行回数や攻撃頻度を減らし、ＩＰアドレスを変更しながらログイン試行（ＢＦ攻撃）を行うといった形態が報告されている（例えば、非特許文献１を参照。）。
【先行技術文献】
【特許文献】
【０００７】
【非特許文献１】本多聡美、海野由紀、丸橋弘治、武仲正彦、鳥居悟、“使い捨てＩＰによる新型ブルートフォース攻撃の検出、”コンピュータセキュリティシンポジウム（CSS2013）、2013.
【発明の概要】
【発明が解決しようとする課題】
【０００８】
上記のＩＰアドレスを変えながら行う形態のＢＦ攻撃を含め、これまでに発見し対策を講じてきたＢＦ攻撃は複数の通信装置を攻撃対象としている。そのため、侵入検知システム等では、１つのＩＰアドレスを用いてほぼ同時刻に複数の通信装置（ＩＰアドレス）に対してログイン試行をしている場合にＢＦ攻撃をしていると判断している。
【０００９】
しかしながら、本願発明者らによる最近の調査の結果、１つの通信装置（ＩＰアドレス）のみを攻撃対象とする、これまでに無い新たな形態のＢＦ攻撃が確認された。
【００１０】
この新たな形態のＢＦ攻撃では、１つのＩＰアドレスを用いて１つのＩＰアドレスのみにログイン試行をする。そのため、上述した複数の通信装置（ＩＰアドレス）におけるログイン試行のパターンに基づいてＢＦ攻撃を検知することはできない。
【００１１】
更に、新たな形態のＢＦ攻撃では、１つのＩＰアドレスを用いて行うログイン試行の回数や頻度を少なくし、ＩＰアドレスを変えながら１つの攻撃対象のＩＰアドレスへのログイン試行を断続的に繰り返す。そのため、個々のＩＰアドレスからのログイン試行の回数や頻度は、正規のユーザによるログイン失敗を伴うログイン試行の回数や頻度と類似している。よって、ＢＦ攻撃か否かを判断することが困難である。
【００１２】
１つの側面において、本発明は、１つのＩＰアドレスのみに対しＩＰアドレスを変えながら断続的に行われるネットワーク攻撃を早期に検知することを目的とする。
【課題を解決するための手段】
【００１３】
本発明の１つの態様であるネットワーク攻撃監視装置は、監視対象である複数の通信装置に対するブルートフォース攻撃の検知結果の履歴であるアクセス履歴を取得する履歴取得部と、取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出する抽出部と、取得したアクセス履歴に基づいて前記アクセスの特徴が類似した複数のＩＰアドレスを検出すると、当該複数のＩＰアドレスから特定したＩＰアドレスを用いてアクセスされた前記通信装置がネットワーク攻撃を受けたと判断する判断部と、を備える。
【発明の効果】
【００１４】
上述の態様によれば、１つのＩＰアドレスのみに対しＩＰアドレスを変えながら断続的に行われるネットワーク攻撃を早期に検知することができる。
【図面の簡単な説明】
【００１５】
【図１】ＩＰ使い捨て型ブルートフォース攻撃の例を説明するシーケンス図である。
【図２】本発明に係るログイン統御型ブルートフォース攻撃を説明するシーケンス図である。
【図３】本発明に係るネットワーク攻撃監視装置の適用例を説明する模式図である。
【図４】本発明の第１の実施形態に係るネットワーク攻撃監視装置の構成例を示す模式図である。
【図５】第１の実施形態に係るネットワーク攻撃監視装置における攻撃抽出部の構成例を示す模式図である。
【図６Ａ】ＢＦ検知ログのデータ構造の一例を示す模式図である。
【図６Ｂ】抽出情報のデータ構造の一例を示す模式図である。
【図６Ｃ】ログイン統御型ＢＦ攻撃パターンリストのデータ構造の一例を示す模式図である。
【図６Ｄ】要対策ｄｓｔＩＰリストのデータ構造の一例を示す模式図である。
【図７】第１の実施形態に係るネットワーク攻撃監視装置における攻撃遮断部の構成例を示す模式図である。
【図８】ｓｒｃＩＰブラックリストのデータ構造の一例を示す模式図である。
【図９Ａ】第１の実施形態に係るネットワーク攻撃監視装置の攻撃抽出部が行う処理を示すフローチャート（その１）である。
【図９Ｂ】第１の実施形態に係るネットワーク攻撃監視装置の攻撃抽出部が行う処理を示すフローチャート（その２）である。
【図１０】攻撃遮断部が行う処理を示すフローチャートである。
【図１１】ネットワーク攻撃監視装置として用いるコンピュータのハードウェア構成を示す模式図である。
【図１２】本発明の第２の実施形態に係るネットワーク攻撃監視装置における攻撃抽出部の構成例を示す模式図である。
【図１３】ｓｒｃＩＰのクラスタリングの方法を説明する模式図である。
【図１４Ａ】第２の実施形態に係るネットワーク攻撃監視装置の攻撃抽出部が行う処理を示すフローチャート（その１）である。
【図１４Ｂ】第２の実施形態に係るネットワーク攻撃監視装置の攻撃抽出部が行う処理を示すフローチャート（その２）である。
【発明を実施するための形態】
【００１６】
（ブルートフォース攻撃について）
まず、本発明の対象であるＩＰ使い捨て型ブルートフォース攻撃及びログイン統御型ブルートフォース攻撃について、図１及び図２を参照しながら説明する。
【００１７】
なお、以下の説明では、ブルートフォース攻撃をＢＦ攻撃ともいい、ＩＰ使い捨て型ブルートフォース攻撃及びログイン統御型ブルートフォース攻撃をそれぞれＩＰ使い捨てＢＦ攻撃及びログイン統御型ＢＦ攻撃ともいう。
【００１８】
また、以下の説明において「ｓｒｃＩＰ」及び「ｓｒｃＩＰｍ（ｍは任意の整数）」は、ＢＦ攻撃を行う側（攻撃元）のＩＰアドレス、すなわちログイン試行のパケットにおける送信元のＩＰアドレスを意味する。同様に、「ｄｓｔＩＰ」及び「ｄｓｔＩＰｍ（ｍは任意の整数）」は、ＢＦ攻撃を受ける側（攻撃先）のＩＰアドレス、すなわちログイン試行のパケットにおける送信先のＩＰアドレスを意味する。
【００１９】
図１は、ＩＰ使い捨て型ブルートフォース攻撃の例を説明するシーケンス図である。
ＩＰ使い捨て型ＢＦ攻撃は、近年、本願発明者らによって発見された新たな形態のＢＦ攻撃であり、攻撃先の通信装置に対して定期的に攻撃元のＩＰアドレス（ｓｒｃＩＰ）を変えながらログイン試行を繰り返す。
【００２０】
ＩＰ使い捨て型ＢＦ攻撃では、例えば、図１に示すように、まず「ｓｒｃＩＰ１００」を送信元のＩＰアドレスとし、攻撃対象である複数の通信装置１００、１０１、１０２に対するログイン試行を繰り返す。すなわち、送信先を「ｄｓｔＩＰ１００」としたログイン試行のパケット、送信先を「ｄｓｔＩＰ１０２」としたログイン試行のパケット、及び送信先を「ｄｓｔＩＰ１０４」としたログイン試行のパケットを繰り返す。
【００２１】
その後、送信元のＩＰアドレスを「ｓｒｃＩＰ１０２」に変更し、複数の通信装置１００、１０１、１０２に対するログイン試行を繰り返す。
【００２２】
更にその後、送信元のＩＰアドレスを「ｓｒｃＩＰ１０４」に変更し、複数の通信装置１００、１０１、１０２に対するログイン試行を繰り返す。
【００２３】
そしてその後も、送信元のＩＰアドレスを変更しながら、複数の通信装置１００、１０１、１０２に対するログイン試行を繰り返す。
【００２４】
また、ＩＰ使い捨て型ＢＦ攻撃では、侵入検知システム（ＩＤＳ）や侵入防御システム（ＩＰＳ）による検知を回避するため、１つの送信元ＩＰアドレス（ｓｒｃＩＰ）による各通信装置へのログイン試行回数を少なくしている。図１に示した例では、１つの送信元ＩＰアドレスからのログイン試行を１０回／分の頻度で１０分間続けると、送信元ＩＰアドレスを変更している。
【００２５】
図１に示したＩＰ使い捨て型ＢＦ攻撃は、１つの送信元ＩＰアドレスによる１つの通信装置へのログイン試行回数を少なくすることで、正規のユーザによるログイン失敗を伴うログイン試行を模している。ところが、この種のＩＰ使い捨て型ＢＦ攻撃は、ＩＰアドレスを変えずに行うＢＦ攻撃と同様、１つの送信元ＩＰアドレスにより複数の通信装置に対し同時にログイン試行をしている。そのため、複数の通信装置で同じ試行パターンのログイン試行が検出され、その送信元ＩＰアドレスが同一であれば、ＩＤＳやＩＰＳによりＢＦ攻撃を検知することができる。
【００２６】
しかしながら、ＩＰ使い捨て型ＢＦ攻撃には、上記のような複数の通信装置におけるログイン試行のパターンに基づく検出方法では検出することが困難な攻撃形態も存在することが、本願発明者らの更なる調査により発見された。
【００２７】
この本願発明者らが新たに発見した攻撃形態は、１つの通信装置（ｄｓｔＩＰ）のみを攻撃対象としてログイン試行を繰り返す。以下、このような形態の攻撃を「ログイン統御型ＢＦ攻撃」という。
【００２８】
図２は、本発明に係るログイン統御型ブルートフォース攻撃を説明するシーケンス図である。
【００２９】
ログイン統御型ＢＦ攻撃は、上記のように１つの通信装置（ｄｓｔＩＰ）のみを攻撃対象としログイン試行を繰り返すＩＰ使い捨て型ＢＦ攻撃である。
【００３０】
ログイン統御型ＢＦ攻撃において、攻撃元の外部通信装置は、例えば、図２に示すように、まず「ｓｒｃＩＰ１００」を送信元のＩＰアドレスとし、攻撃対象である通信装置１００に対するログイン試行のみを１０回／分の頻度で１０分間繰り返す。
【００３１】
その後、攻撃元の外部通信装置は、送信元のＩＰアドレスを「ｓｒｃＩＰ１０２」に変更し、通信装置１００に対するログイン試行のみを１０回／分の頻度で１０分間繰り返す。
【００３２】
更にその後、攻撃元の外部通信装置は、送信元のＩＰアドレスを「ｓｒｃＩＰ１０４」に変更し、通信装置１００に対するログイン試行のみを１０回／分の頻度で１０分間繰り返す。
【００３３】
そしてその後も、攻撃元の外部通信装置は、送信元のＩＰアドレスを変更しながら、通信装置１００に対するログイン試行のみを１０回／分の頻度で１０分間繰り返す。
【００３４】
このように攻撃元の外部通信装置が通信装置１００に対するログイン試行を繰り返している間、他の外部通信装置が通信装置１０１，１０２等にログイン試行をすることもある。他の外部通信装置は、例えば、図２に示したように、送信元のＩＰアドレスを「ｓｒｃＩＰ１０６」とした通信装置１０１に対するログイン試行や、送信元のＩＰアドレスを「ｓｒｃＩＰ１０８」とした通信装置１０２に対するログイン試行をする。
【００３５】
送信元のＩＰアドレスを「ｓｒｃＩＰ１０６」、「ｓｒｃＩＰ１０８」としたログイン試行の試行パターンと、攻撃元の外部通信装置によるログイン試行の試行パターンとには相関はない。
【００３６】
そのため、１つの通信装置（ｄｓｔＩＰ）のみに対してＩＰ使い捨て型ＢＦ攻撃が行われている場合、すなわちログイン統御型ＢＦ攻撃が行われている場合、他の通信装置のログイン試行のパターンと比較して攻撃を検知することは困難である。
【００３７】
本発明は、このようなログイン統御型ＢＦ攻撃を早期に検知し、対策を講じることを可能にする。
【００３８】
（第１の実施形態）
図３は、本発明に係るネットワーク攻撃監視装置の適用例を説明する模式図である。
【００３９】
図３に示すように、本発明に係るネットワーク攻撃監視装置１は、侵入検知／防御システム（ＩＤＳ／ＩＰＳ）２と連携して、監視対象の通信装置３へのログイン統御型ＢＦ攻撃の検知、監視等を行う。
【００４０】
監視対象の通信装置３は、ファイアウォール（Firewall）装置４を介してインターネット等の通信ネットワーク５に接続している。この通信装置３は、ユーザＩＤ及びパスワードによる認証を必要とするサービスを提供している。そのため、ファイアウォール装置４は、外部通信装置６から通信装置３に対して送信されたログイン試行のパケットを通過させる。
【００４１】
侵入検知／防御システム２は、ファイアウォール装置４から通信装置３に転送されるパケットを監視して、不正侵入やネットワーク攻撃を検知・防御する。
【００４２】
そして、本発明に係るネットワーク攻撃監視装置１は、侵入検知／防御システム２に蓄積されたアクセス履歴（例えばＢＦ検知ログ）等を用いてログイン統御型ＢＦ攻撃を検知する。また、ネットワーク攻撃監視装置１は、ログイン統御型ＢＦ攻撃を行っているｓｒｃＩＰ（外部通信装置）からの通信を侵入検知／防御システム２に一定期間遮断させる。
【００４３】
（装置の構成）
図４は、本発明の第１の実施形態に係るネットワーク攻撃監視装置の構成例を示す模式図である。
【００４４】
本実施形態のネットワーク攻撃監視装置１は、図４に示すように、攻撃抽出部１００と、攻撃遮断部１２０とを備える。
【００４５】
攻撃抽出部１００は、侵入検知／防御システム２から取得したアクセス履歴（ＢＦ検知ログ）と、ログイン統御型ＢＦ攻撃パターンリスト１０８とを用いて、過去にログイン統御型ＢＦ攻撃を受けた（又は攻撃を受けた可能性の高い）通信装置３を抽出する。
【００４６】
また、攻撃抽出部１００は、抽出した通信装置３のＩＰアドレス（ｄｓｔＩＰ）を、要対策ｄｓｔＩＰリスト１０９に登録する。
【００４７】
一方、攻撃遮断部１２０は、侵入検知／防御システム２から取得したＢＦ攻撃の検知情報と、ログイン統御型ＢＦ攻撃パターンリスト１０８と、要対策ｄｓｔＩＰリスト１０９とを用い、現在ログイン統御型ＢＦ攻撃を受けている通信装置３の有無を検査する。
【００４８】
また、攻撃遮断部１２０は、ログイン統御型ＢＦ攻撃を受けている通信装置３があると判断すると、ログイン統御型ＢＦ攻撃の攻撃元のＩＰアドレス（ｓｒｃＩＰ）と、当該ｓｒｃＩＰからの通信の遮断時間とをｓｒｃＩＰブラックリスト１２３に登録する。
【００４９】
そして、侵入検知／防御システム２は、ｓｒｃＩＰブラックリスト１２３を参照し、リストに登録されたｓｒｃＩＰを送信元とする通信を一定期間遮断する。
【００５０】
（攻撃抽出部の構成）
図５は、第１の実施形態に係るネットワーク攻撃監視装置における攻撃抽出部の構成例を示す模式図である。
【００５１】
攻撃抽出部１００は、図５に示すように、ＢＦ検知ログ取得部１０１、ログイン試行特徴抽出部１０２、ログイン統御型ＢＦ攻撃判断部１０３、要対策ｄｓｔＩＰ出力部１０４、及び記憶部１０５Ａを有する。記憶部１０５Ａには、ＢＦ検知ログ１０６、抽出情報１０７、ログイン統御型ＢＦ攻撃パターンリスト１０８、及び要対策ｄｓｔＩＰリスト１０９が格納される。なお、記憶部１０５Ａは、１個のメモリであっても良いし、２個以上のメモリであってもよい。
【００５２】
ＢＦ検知ログ取得部１０１は、侵入検知／防御システム２に蓄積されたＢＦ検知ログを取得し、記憶部１０５Ａに格納する。
【００５３】
ログイン試行特徴抽出部１０２は、記憶部１０５ＡのＢＦ検知ログ１０６を用いて監視対象の通信装置３にアクセスしたＩＰアドレス（ｓｒｃＩＰ）毎にログイン試行の特徴を抽出し、その特徴を抽出情報１０７として記憶部１０５Ａに格納する。
【００５４】
ログイン統御型ＢＦ攻撃判断部１０３は、記憶部１０５Ａの抽出情報１０７とログイン統御型ＢＦ攻撃パターンリスト１０８とを用いて、ログイン統御型ＢＦ攻撃に用いられた攻撃元ＩＰアドレス（ｓｒｃＩＰ）の有無を判断する。ここで、ログイン統御型ＢＦ攻撃パターンリスト１０８は、例えば、過去のＢＦ検知ログを解析して求めたログイン統御型ＢＦ攻撃の攻撃パターン（ログイン試行のパターン）や、第三者から報告された攻撃パターンのリストである。このログイン統御型ＢＦ攻撃パターンリスト１０８は、ネットワーク攻撃監視装置１の管理者等が入力装置７を用いて随時更新する。また、ログイン統御型ＢＦ攻撃パターンリスト１０８は、例えば、ネットワーク攻撃監視装置１を用いたセキュリティサービスを提供するサービスプロバイダが随時更新し、各ネットワーク攻撃監視装置１に配布してもよい。
【００５５】
要対策ｄｓｔＩＰ出力部１０４は、ログイン統御型ＢＦ攻撃に用いられたｓｒｃＩＰからのログイン試行を受けた通信装置３のＩＰアドレス（ｄｓｔＩＰ）及びログイン試行の特徴を、記憶部１０５Ａの要対策ｄｓｔＩＰリスト１０９に登録する。
【００５６】
図６Ａは、ＢＦ検知ログのデータ構造の一例を示す模式図である。図６Ｂは、抽出情報のデータ構造の一例を示す模式図である。図６Ｃは、ログイン統御型ＢＦ攻撃パターンリストのデータ構造の一例を示す模式図である。図６Ｄは、要対策ｄｓｔＩＰリストのデータ構造の一例を示す模式図である。
【００５７】
ＢＦ検知ログ取得部１０１が取得するＢＦ検知ログ１０６は、侵入検知／防御システム２においてＢＦ攻撃と判断されたアクセスの履歴である。ＢＦ検知ログ１０６は、例えば、図６Ａに示すように、攻撃元ＩＰアドレス、攻撃先ＩＰアドレス、検知時刻、及びログイン試行回数を含む。
【００５８】
攻撃元ＩＰアドレスは、監視対象の通信装置３に対しＢＦ攻撃に該当すると判断されたパケットの送信元ＩＰアドレスである。攻撃先ＩＰアドレスは、ＢＦ攻撃に該当すると判断されたパケットの送信先ＩＰアドレスである。検知時刻はＢＦ攻撃を検知した時刻であり、図６Ａに示した例では日付（年、月、日）及び時刻（時、分）が記録されている。ログイン試行回数は、攻撃元ＩＰアドレスから攻撃先ＩＰアドレスに対するログイン試行の回数である。
【００５９】
図６Ａに示した例では、２０１４年１月１日の０時００分から数分間、「ｓｒｃＩＰ１０」を送信元ＩＰアドレスとし「ｄｓｔＩＰ１０」を送信先ＩＰアドレスとするログイン試行が１０回／分で繰り返されている。また、その後、２０１４年１月１日の０時１５分から数分間、「ｓｒｃＩＰ１３」を送信元ＩＰアドレスとし「ｄｓｔＩＰ１０」を送信先ＩＰアドレスとするログイン試行が１０回／分で繰り返されている。よって、「ｄｓｔＩＰ１０」が付与された通信装置は、ＢＦ攻撃を受けていた可能性がある。
【００６０】
しかしながら、ｓｒｃＩＰ１０及びｓｒｃＩＰ１３を送信元ＩＰアドレスとするログイン試行は、それぞれｄｓｔＩＰ１０のみに対して行われている。そのため、これらのログイン試行はそれぞれ別個の正規のユーザによるものとも考えられ、ＢＦ検知ログ１０６のみからＢＦ攻撃であるか否かを判断することが難しい。
【００６１】
そこで、本実施形態では、ＢＦ検知ログ１０６から送信元ＩＰアドレス（攻撃元ＩＰアドレス）毎のログイン試行の特徴を抽出し、ログイン統御型ＢＦ攻撃パターンリスト１０８と比較してＢＦ攻撃であるか否かを判断する。
【００６２】
ログイン統御型ＢＦ攻撃におけるログイン試行には、次の２つの特徴がある。１つ目の特徴は、１つのｓｒｃＩＰから行うログイン試行の時間が一定であるということである。２つ目の特徴は、単位時間当たりのログイン試行の回数が一定であるということである。
【００６３】
これらのことから、１つのｄｓｔＩＰに対する一連のログイン統御型ＢＦ攻撃に係る複数のｓｒｃＩＰの組について、次の３つのことがいえる。１つ目は、各ｓｒｃＩＰによるログイン試行の継続時間がほぼ同じということである。２つ目は、各ｓｒｃＩＰによるログイン試行におけるログイン試行回数の合計がほぼ同じということである。そして３つ目は、各ｓｒｃＩＰによるログイン試行における単位時間当たりのログイン試行回数の分散がほぼ同じである。
【００６４】
そのため、本実施形態では、ログイン試行の特徴として、ログイン試行検知の継続時間ＴＤ、ログイン試行回数の合計ＬＴ、及びログイン試行回数の分散ＶＬを採用し、図６Ｂに示すような抽出情報１０７を作成する。すなわち、抽出情報１０７は、攻撃元ＩＰアドレス（ｓｒｃＩＰ）と、当該ｓｒｃＩＰからのログイン試行回数の合計ＬＴ、ログイン試行回数の分散ＶＬ、及びログイン試行検知の継続時間ＴＤリストとを含む。
【００６５】
ログイン試行検知の継続時間ＴＤは、１つのｓｒｃＩＰから１つのｄｓｔＩＰに対するログイン試行を継続的に検知した時間である。この継続時間ＴＤは、１つのｓｒｃＩＰから１つのｄｓｔＩＰに対するログイン試行を検知した時間の間隔が予め設定した時間閾値以下である場合、継続的なログイン試行として積算する。例えば、時間閾値を２分とし、あるｄｓｔＩＰへのログイン試行を０時００分から０時０１分に検知した後、次に同じｄｓｔＩＰへのログイン試行を検知した時刻が０時０１分である場合、これらのログイン試行は継続的なログイン試行とする。また、例えば、時間閾値を２分とし、あるｄｓｔＩＰへのログイン試行を０時００分から０時０１分に検知した後、次に同じｄｓｔＩＰへのログイン試行を検知した時刻が０時０４分である場合、これらのログイン試行は別個のログイン試行とする。
【００６６】
ログイン試行回数の合計ＬＴは、１つのｓｒｃＩＰから１つのｄｓｔＩＰに対して継続的に行われたログイン試行の回数の合計である。例えば、１０回／分のログイン試行が１５分間続いた場合、ログイン試行回数の合計は１５０回となる。また、例えば、５分間続いたログイン試行が１０回／分、９回／分、１１回／分、１０回／分、９回／分の場合、ログイン試行回数の合計は４９回となる。
【００６７】
ログイン試行回数の分散ＶＬは、１つのｓｒｃＩＰから１つのｄｓｔＩＰに対して継続的に行われたログイン試行の単位時間毎の回数のばらつきである。
【００６８】
ログイン統御型ＢＦ攻撃では、単位時間（例えば１分間）に行うログイン試行の回数が一定であり、１つのｓｒｃＩＰから、例えば７〜８回／分のログイン試行を３０分行う。そのため、ログイン統御型ＢＦ攻撃であればログイン試行回数の分散ＶＬが小さな値になる。
【００６９】
この抽出情報１０７と比較するログイン統御型ＢＦ攻撃パターンリスト１０８は、図６Ｃに示すように、パターン（ＰＴＮ）No.、ログイン試行回数の合計ＬＴ、ログイン試行回数の分散ＶＬ、及びログイン試行検知の継続時間ＤＴを含む。
【００７０】
１つのパターンにおけるログイン試行回数の合計ＬＴ、ログイン試行回数の分散ＶＬ、及びログイン試行検知の継続時間ＤＴの値は、過去に検知、発見されたログイン統御型ＢＦ攻撃の一攻撃形態に基づいて算出する。
【００７１】
抽出情報１０７のなかにログイン統御型ＢＦ攻撃パターンリスト１０８に登録されたパターンと合致するログイン試行の特徴があった場合、当該ログイン試行の特徴と対応するｓｒｃＩＰからのログイン試行は、ログイン統御型ＢＦ攻撃であるといえる。また、ログイン統御型ＢＦ攻撃を受けたＩＰアドレス（ｄｓｔＩＰ）は、以後もログイン統御型ＢＦ攻撃を受ける可能性が高い。そのため、ログイン統御型ＢＦ攻撃を受けたＩＰアドレス（ｄｓｔＩＰ）を要対策ｄｓｔＩＰリスト１０９に登録し、重点的に監視する。要対策ｄｓｔＩＰリスト１０９に登録するｄｓｔＩＰは、例えば、ログイン統御型ＢＦ攻撃である可能性のあるｓｒｃＩＰと、図６Ａに示したＢＦ検知ログとを用いて特定する。
【００７２】
要対策ｄｓｔＩＰリスト１０９は、図６Ｄに示すように、要対策ｄｓｔＩＰと、攻撃パターンNo.とを含む。要対策ｄｓｔＩＰは、ログイン統御型ＢＦ攻撃を受けていたと判断されたＩＰアドレスである。攻撃パターンNo.は、ログイン統御型ＢＦ攻撃パターンリスト１０８に登録された攻撃パターンのうちの抽出情報１０７のログイン試行特徴と合致するログイン統御型ＢＦ攻撃パターンの番号（ＰＴＮ No.）である。
【００７３】
図６Ｄに示した例では、ｄｓｔＩＰ１及びｄｓｔＩＰ２の通信装置が攻撃パターンNo.１のログイン統御型ＢＦ攻撃を受けたことが示されている。また、ｄｓｔＩＰ５の通信装置が攻撃パターンNo.３のログイン統御型ＢＦ攻撃を受けたことが示されている。そして、この要対策ｄｓｔＩＰリスト１０９に登録されたｄｓｔＩＰは、以後もログイン統御型ＢＦ攻撃を受ける可能性が高い。
【００７４】
そのため、攻撃遮断部１２０において、ｄｓｔＩＰ１及びｄｓｔＩＰ２に対して攻撃パターンNo.１のログイン試行が行われていないか、ｄｓｔＩＰ５の通信装置に対して攻撃パターンNo.３のログイン試行が行われていないか等を監視する。そして、該当する攻撃パターンを検知すると、攻撃（ログイン試行）に用いられたｓｒｃＩＰをブラックリストに登録し、当該ｓｒｃＩＰからの通信を一定期間遮断する。
【００７５】
このように、ログイン統御型ＢＦ攻撃におけるログイン試行の特徴を利用することで、ログイン統御型ＢＦ攻撃を受けた通信装置（ｄｓｔＩＰ）を容易に特定することができる。
【００７６】
また、ログイン統御型ＢＦ攻撃を受けたｄｓｔＩＰ及びログイン試行の特徴を要対策ｄｓｔＩＰリスト１０９に登録し、登録されたｄｓｔＩＰに対するアクセスの監視を重点的に行うことで、更なるログイン統御型ＢＦ攻撃を早期に検知することができる。
【００７７】
（攻撃遮断部の構成）
図７は、第１の実施形態に係るネットワーク攻撃監視装置における攻撃遮断部の構成例を示す模式図である。
【００７８】
攻撃遮断部１２０は、図７に示すように、攻撃検査部１２１、攻撃元ｓｒｃＩＰ管理部１２２、及び記憶部１０５Ｂを有する。記憶部１０５Ｂには、ｓｒｃＩＰブラックリスト１２３が格納される。なお、記憶部１０５Ｂは、攻撃抽出部１００の記憶部１０５Ａと一体のメモリであっても良いし、記憶部１０５Ａとは別個に設けたメモリであっても良い。
【００７９】
攻撃検査部１２１は、侵入検知／防御システム２からのＢＦ攻撃を検知したことを示す検知情報を受信すると、要対策ｄｓｔＩＰリスト１０９に登録されたｄｓｔＩＰのなかに、現在ログイン統御ＢＦ攻撃を受けているｄｓｔＩＰが無いかを検査する。
【００８０】
また、統御型ＢＦ攻撃検査部１２１は、現在ログイン統御ＢＦ攻撃を受けているｄｓｔＩＰがあることを検知すると、要対策ｄｓｔＩＰリスト１０９及びログイン統御型ＢＦ攻撃パターンリスト１０８に基づき攻撃パターンを特定する。
【００８１】
攻撃元ｓｒｃＩＰ管理部１２２は、特定した攻撃パターンに基づいてログイン統御型ＢＦ攻撃を行っているｓｒｃＩＰを用いた通信の遮断時間を算出し、ｓｒｃＩＰと遮断時間とを、ｓｒｃＩＰブラックリスト１２３に登録する。
【００８２】
また、攻撃元ｓｒｃＩＰ管理部１２２は、例えば予め設定されたスケジュールに従ってｓｒｃＩＰブラックリスト１２３を参照し、遮断終了時刻が経過したｓｒｃＩＰをｓｒｃＩＰブラックリスト１２３から削除する。
【００８３】
図８は、ｓｒｃＩＰブラックリストのデータ構造の一例を示す模式図である。
ｓｒｃＩＰブラックリスト１２３は、図８に示すように、管理対象の通信装置３に対するログイン試行（アクセス）を遮断するｓｒｃＩＰ、遮断開始時刻ＳＴｃ、及び遮断終了時刻ＦＴｃを含む。
【００８４】
ログイン試行を遮断するｓｒｃＩＰは、要対策ｄｓｔＩＰリストに登録されたｄｓｔＩＰ及び攻撃パターンNo.と合致するログイン試行、すなわちログイン統御型ＢＦ攻撃で用いている送信元（攻撃元）のＩＰアドレスである。
【００８５】
遮断開始時刻ＳＴｃは、例えば、侵入検知／防御システム２からの検知情報を受信した時刻にする。また、遮断開始時刻ＳＴｃは、例えば、侵入検知／防御システム２から受信した検知情報においてｓｒｃＩＰがログイン統御型ＢＦ攻撃を開始した時刻にしてもよい。
【００８６】
遮断終了時刻ＦＴｃは、遮断開始時刻ＳＴｃと、ｓｒｃＩＰを用いたログイン統御型ＢＦ攻撃と対応するログイン統御型ＢＦ攻撃パターン１０８におけるログイン試行検知の継続時間ＤＴとに基づいて設定する。
【００８７】
例えば、ログイン試行検知の継続時間ＤＴが２０分である場合、１つのｓｒｃＩＰを用いた１つのｄｓｔＩＰに対するログイン試行は２０分で終了する。
【００８８】
そのため、図８に示したｓｒｃＩＰ２１が行っているログイン統御型ＢＦ攻撃の継続時間ＤＴが２０分であるとすると、ｓｒｃＩＰ２１からの攻撃を検知した時刻の３０分後には、当該ｓｒｃＩＰ２１からの攻撃は終了している。よって、ｓｒｃＩＰ２１に対する遮断終了時刻ＦＴｃは、遮断開始時刻ＳＴｃの３０分後に設定する。
【００８９】
このように遮断終了時刻ＦＴｃは、遮断期間が、ｓｒｃＩＰを用いたログイン統御型ＢＦ攻撃と対応するログイン統御型ＢＦ攻撃パターンにおけるログイン試行検知の継続時間ＤＴと同じか、又は継続時間ＤＴより数分から十数分長くなるよう設定する。
【００９０】
また、ｓｒｃＩＰブラックリスト１２３は攻撃元ｓｒｃＩＰ管理部１２２によって随時更新される。攻撃元ｓｒｃＩＰ管理部１２２は、ログイン統御型ＢＦ攻撃が検出されると当該攻撃に用いられているｓｒｃＩＰをｓｒｃＩＰブラックリスト１２３に登録する一方で、遮断終了時刻ＦＴｃを過ぎたｓｒｃＩＰをｓｒｃＩＰブラックリスト１２３から削除する。
【００９１】
そして、侵入検知／防御システム２は、図８に示したようなｓｒｃＩＰブラックリスト１２３を参照し、リストに登録されたｓｒｃＩＰからのログイン試行を一定期間のみ遮断する。
【００９２】
このように、要対策ｄｓｔＩＰリスト１０９に登録されているｄｓｔＩＰに対しＢＦ攻撃が行われていることを検出した場合に、当該ＢＦ攻撃に用いられているｓｒｃＩＰからのログイン試行を遮断することで、ＢＦ攻撃を早期に遮断することができる。そのため、ＢＦ攻撃による被害を最小限に抑えることができる。例えば、１つのｓｒｃＩＰによるログイン試行を８回／分で３０分行うログイン統御型ブルートフォース攻撃の場合、攻撃を検知できなければ、攻撃対象の通信装置（ｄｓｔＩＰ）は２４０回（８回／分×３０分）のログイン試行を受ける。これに対し、本実施形態のネットワーク攻撃監視装置１を適用し、攻撃を検知した５分後から１時間、攻撃に用いられたｓｒｃＩＰからの通信を遮断すれば、攻撃開始時刻から約６分後にはログイン試行を遮断できる。そのため、約１９２回（８回／分×２４分）、すなわち本来受けるはずであったログイン統御型ブルートフォース攻撃の約８０％を防ぐことができる。
【００９３】
また、ｓｒｃＩＰブラックリスト１２３に遮断終了時刻ＦＴｃも登録し、遮断終了時刻ＦＴｃが経過したｓｒｃＩＰをｓｒｃＩＰブラックリスト１２３から削除することで、攻撃を遮断するｓｒｃＩＰの数が爆発的に増えることを防げる。そのため、侵入検知／防御システム２等の処理負荷の増大による障害の発生を防ぐことができる。
【００９４】
（攻撃抽出部が行う処理）
図９Ａは、第１の実施形態に係るネットワーク攻撃監視装置の攻撃抽出部が行う処理を示すフローチャート（その１）である。図９Ｂは、第１の実施形態に係るネットワーク攻撃監視装置の攻撃抽出部が行う処理を示すフローチャート（その２）である。
【００９５】
攻撃抽出部１００は、図９Ａ及び図９Ｂに示すような処理を、予め設定されたスケジュールに従って繰り返し実行する。
【００９６】
この際、攻撃抽出部１００では、まず、ＢＦ検知ログ取得部１０１が、侵入検知／防御システム２からＢＦ検知ログを取得し、記憶部１０５Ａに記憶させる（ステップＳ１０１）。
【００９７】
次に、ログイン試行特徴抽出部１０２が、記憶部１０５ＡのＢＦ検知ログ１０６を読み出し、通信元のＩＰアドレス（ｓｒｃＩＰ）の値毎のログに分別する（ステップＳ１０２）。
【００９８】
次に、ログイン試行特徴抽出部１０１が、分別したログにおけるｓｒｃＩＰの１つを選択し、ログイン試行の特徴を算出する（ステップＳ１０３）。この際、ログイン試行特徴抽出部１０１は、ｓｒｃＩＰのうちログイン試行の特徴を算出していないｓｒｃＩＰを選択する。また、ログイン試行特徴抽出部１０１は、ログイン試行の特徴として、図５Ｂに示したようなログイン試行回数の合計ＬＴ、ログイン試行回数の分散ＶＬ、及びログイン試行検知の継続時間ＤＴを算出する。
【００９９】
次に、ログイン試行特徴抽出部１０１が、選択したｓｒｃＩＰと算出したログイン試行の特徴とを対応付け、抽出情報１０７として記憶部１０５Ａに格納する（ステップＳ１０４）。なお、ステップＳ１０３〜Ｓ１０５のループが２回目以降で、すでに抽出情報１０７が記憶部１０５Ａに格納されている場合、その抽出情報１０７に選択したｓｒｃＩＰ及び算出したログイン試行の特徴を追加する。
【０１００】
ログイン試行特徴抽出部１０１は、ステップＳ１０４の処理を終えると、次に、全てのｓｒｃＩＰについての抽出情報を記憶部１０５Ａに格納したかを確認する（ステップＳ１０５）。抽出情報を格納させていないｓｒｃＩＰがある場合（ステップＳ１０５；Ｎｏ）、ステップＳ１０３に戻る。
【０１０１】
そして、全てのｓｒｃＩＰの抽出情報を記憶部１０５Ａに格納したら（ステップＳ１０５；Ｙｅｓ）、次に、ログイン統御型ＢＦ攻撃判断部１０３が、ログイン統御型ＢＦ攻撃パターンリスト１０８と抽出情報１０７とを読み出して比較する（ステップＳ１０６）。この際、ログイン統御型ＢＦ攻撃判断部１０３は、攻撃パターンリスト１０８におけるログイン試行の特徴と抽出情報１０７におけるログイン試行の特徴とを比較し、特徴が合致する抽出情報を選出する。
【０１０２】
なお、ステップＳ１０６では、ログイン試行の特徴を表す値が攻撃パターンリスト１０８の値と一致する抽出情報のみを選出しても良いし、攻撃パターンリスト１０８の値との差が所定の閾値以下である抽出情報を合致する抽出情報とみなして選出しても良い。
【０１０３】
後者であれば、例えば、ログイン試行回数の合計ＬＴ、分散ＶＬ、及びログイン試行検知の継続時間ＤＴがそれぞれ４９、０．２５、及び１０分である抽出情報を図６Ｃに示した攻撃パターンリスト１０８と比較した場合、パターンNo.１の攻撃として選出できる。そのため、装置内の時刻のずれ等によるログイン試行の特徴の揺らぎでログイン統御型ＢＦ攻撃を見逃す可能性を低減できる。
【０１０４】
ログイン統御型ＢＦ攻撃判断部１０３は、ステップＳ１０６の処理を終えると、次に、攻撃パターンリスト１０８と合致する抽出情報の有無を判定する（ステップＳ１０７）。合致する抽出情報が無かった場合（ステップＳ１０７；Ｎｏ）、ログイン統御型ＢＦ攻撃は行われていないと判断し処理を終了する。
【０１０５】
一方、合致する抽出情報が有った場合（ステップＳ１０７；Ｙｅｓ）、合致する抽出情報のｓｒｃＩＰを用いたＢＦ攻撃を受けたＩＰアドレス（ｄｓｔＩＰ）を要対策ｄｓｔＩＰリストに登録する（ステップＳ１０８）。
【０１０６】
このように、ＢＦ検知ログ１０６のｓｒｃＩＰ（攻撃元ＩＰアドレス）毎にログイン試行の特徴を算出しログイン統御型ＢＦ攻撃パターンと比較することで、ログイン統御型ＢＦ攻撃を受けていたＩＰアドレス（ｄｓｔＩＰ）が１つでも、それを特定できる。
【０１０７】
（攻撃遮断部が行う処理）
図１０は、攻撃遮断部が行う処理を示すフローチャートである。
【０１０８】
侵入検知／防御システム２は、ＢＦ攻撃を検知すると、例えば図６Ａに示したＢＦ検知ログ１０６と同様の、攻撃元ＩＰアドレス、攻撃先ＩＰアドレス、検知時刻、及びログイン試行回数を含む検知情報を攻撃遮断部１２０に送信する。攻撃遮断部１２０は、侵入検知／防御システム２からＢＦ攻撃を検知したことを示す検知情報を受信すると、図１０に示したような処理を行う。
【０１０９】
この際、攻撃遮断部１２０では、まず、攻撃検査部１２１が、侵入検知／防御システム（ＩＤＳ／ＩＰＳ）２から受信した検知情報と、要対策ｄｓｔＩＰリスト１０９とを比較する（ステップＳ２０１）。攻撃検査部１２１は、要対策ｄｓｔＩＰリスト１０９のｄｓｔＩＰと、検知情報に含まれる攻撃先ＩＰアドレスとを比較し、攻撃先ＩＰアドレスと合致するｄｓｔＩＰ及び当該ｄｓｔＩＰに対応付けられた攻撃パターンNo.を選出する。
【０１１０】
攻撃検査部１２１は、ステップＳ２０１の処理を終えると、次に、検知情報のＢＦ攻撃が要対策ｄｓｔＩＰリスト１０９に登録されたｄｓｔＩＰへのＢＦ攻撃（ログイン試行）であるか否かを判定する（ステップＳ２０２）。要対策ｄｓｔＩＰリスト１０９に登録されたｄｓｔＩＰへの攻撃ではない場合（ステップＳ２０２；Ｎｏ）、ログイン統御型ＢＦ攻撃ではないと判定し、処理を終了する。
【０１１１】
一方、要対策ｄｓｔＩＰリスト１０９に登録されたｄｓｔＩＰへの攻撃である場合（ステップＳ２０２；Ｙｅｓ）、攻撃検査部１２１は、次に、ログイン統御型ＢＦ攻撃パターンリスト１０８を読み出して検知情報と比較する（ステップＳ２０３）。この際、攻撃検査部１２１は、例えば、ログイン統御型ＢＦ攻撃パターンリスト１０８の各攻撃パターンにおける１分当たりのログイン試行回数を算出し、検知情報における１分当たりのログイン試行回数と比較する。また、攻撃検査部１２１は、１分当たりのログイン試行回数が検知情報と合致する攻撃パターンが有った場合、当該攻撃パターンのパターンNo.を読み出す。
【０１１２】
攻撃検査部１２１は、ステップＳ２０３の処理を終えると、検知情報と合致した攻撃パターンの有無を確認する（ステップＳ２０４）。合致した攻撃パターンが無い場合（ステップＳ２０４；Ｎｏ）、ｄｓｔＩＰに対するログイン試行がログイン統御型ＢＦ攻撃ではないと判断し、処理を終了する。
【０１１３】
一方、合致した攻撃パターンがあった場合（ステップＳ２０４；Ｙｅｓ）、次に、攻撃元ｓｒｃＩＰ管理部１２２が、合致した攻撃パターンに基づき遮断時間を設定する（ステップＳ２０５）。この際、攻撃元ｓｒｃＩＰ管理部１２２は、ログイン統御型ＢＦ攻撃パターンリスト１０８におけるログイン試行検知の継続時間ＤＴと同じ時間、又はそれより長い所定の時間に遮断時間を設定する。
【０１１４】
攻撃元ｓｒｃＩＰ管理部１２２は、遮断時間を設定すると、ｓｒｃＩＰと遮断時間とを対応付けてｓｒｃＩＰブラックリスト１２３に登録する（ステップＳ２０６）。この際、攻撃元ｓｒｃＩＰ管理部１２２は、例えば、検知情報を受信した時刻を遮断開始時刻ＳＴｃとして当該遮断開始時刻ＳＴｃと遮断時間とに基づいて遮断終了時刻ＦＴｃを算出し、図８に示したようなｓｒｃＩＰブラックリスト１２３に登録する。
【０１１５】
このように、ＢＦ攻撃と類似したログイン試行を検知した場合に当該ログイン試行の特徴、要対策ｄｓｔＩＰリスト１０９、及びログイン統御型ＢＦ攻撃パターンリスト１０８を比較することで、ログイン統御型ＢＦ攻撃であるか否かを判定することができる。この際、ログイン試行の特徴として１分当たりのログイン試行回数を用いれば、ログイン統御型ＢＦ攻撃であるか否かを早期に判定することができる。
【０１１６】
例えば、１つのｓｒｃＩＰから１０回／分で１０分間ログイン試行を行うＢＦ攻撃に対し、最初の２分間のログイン試行でＢＦ攻撃であると検知され、ログイン統御型ＢＦ攻撃であることがわかれば、残りの約８分間の攻撃を遮断することができる。
【０１１７】
以上のように、本実施形態によれば、ログイン統御型ＢＦ攻撃、すなわち１つのＩＰアドレス（ｄｓｔＩＰ）に対し攻撃元のＩＰアドレス（ｓｒｃＩＰ）を変えながら行うＢＦ攻撃を早期に検出し、遮断することができる。
【０１１８】
また、ログイン統御型ＢＦ攻撃の遮断に用いるｓｒｃＩＰブラックリスト１２３に、図８に示したような遮断終了時刻ＦＴｃを設定することにより、検出したｓｒｃＩＰからの攻撃が終了した後、順次当該ｓｒｃＩＰからのログイン試行の遮断を解除することができる。そのため、１つのｄｓｔＩＰに対してｓｒｃＩＰを変えながら断続的にＢＦ攻撃が行われた場合でも、ログイン試行を遮断するｓｒｃＩＰが爆発的に増加することを防げる。よって、侵入検知／防御システム２等の処理負荷の増大や、処理負荷の増大に伴う障害の発生等を防げる。
【０１１９】
（ハードウェア構成）
図１１は、ネットワーク攻撃監視装置として用いるコンピュータのハードウェア構成を示す模式図である。
【０１２０】
本実施形態のネットワーク攻撃監視装置１は、コンピュータと、コンピュータに図９Ａ及び図９Ｂ、並びに図１０に示したような処理を実行させるプログラムとにより実現される。
【０１２１】
図１１に示すように、コンピュータ８は、プロセッサ８０１、主記憶装置８０２、補助記憶装置８０３、入力装置８０４、出力装置８０５、通信インタフェース８０６、記録媒体駆動装置８０７を備える。また、コンピュータ８におけるこれらの要素は、バス８１０により相互に接続されており、要素間でのデータの受け渡しが可能になっている。
【０１２２】
プロセッサ８０１は、Central Processing Unit（ＣＰＵ）やMicro-processing unit（ＭＰＵ）等、各種のプログラムを実行することによりコンピュータ８の全体の動作を制御する演算処理装置である。
【０１２３】
主記憶装置８０２は、Read Only Memory（ＲＯＭ）やRandom Access Memory（ＲＡＭ）等の半導体メモリである。ＲＯＭには、例えばコンピュータ８の起動時にプロセッサ８０１が読み出す所定の基本制御プログラム等が予め記録されている。また、ＲＡＭは、プロセッサ８０１が各種のプログラムを実行する際に、必要に応じて作業用記憶領域として使用する。
【０１２４】
補助記憶装置８０３は、Hard Disk Drive（ＨＤＤ）やSolid State Disk（ＳＳＤ）等の主記憶装置８０２に比べて大容量の記憶装置である。補助記憶装置８０３には、プロセッサ８０１によって実行される各種のプログラム（例えば上記の処理と対応するプログラム）や各種のデータ（例えばＢＦ検知ログ１０６、ログイン統御型ＢＦ攻撃パターンリスト１０８等）を記憶する。プロセッサ８０１は、補助記憶装置８０３に記憶されているプログラムを読み出して実行するとともに、必要に応じて補助記憶装置８０３に記憶された各種データを読み出す。
【０１２５】
入力装置８０４は、例えばキーボード装置やマウス装置であり、コンピュータ８のオペレータにより操作されると、その操作内容に対応付けられている入力情報をプロセッサ８０１に送信する。
【０１２６】
出力装置８０５は、例えば液晶ディスプレイであり、プロセッサ８０１から送信される表示データに従って各種のテキスト、映像等を表示する。
【０１２７】
通信インタフェース８０６は、コンピュータ８とインターネット等の通信ネットワーク５とを通信可能に接続し、通信ネットワーク５を介した外部通信装置等との通信を行う。
【０１２８】
記憶媒体駆動装置８０７は、図示しない可搬型記録媒体に記録されているプログラムやデータの読み出し、補助記憶装置８０３に記憶されたデータ等の可搬型記録媒体への記録を行う。可搬型記録媒体としては、例えば、ＵＳＢ規格のコネクタが備えられているフラッシュメモリが利用可能である。また、可搬型記録媒体としては、Compact Disk（ＣＤ）、Digital Versatile Disc（ＤＶＤ）、Blu-ray Disc（Blu-rayは登録商標）等の光ディスクも利用可能である。
【０１２９】
このコンピュータ８は、プロセッサ８０１、主記憶装置８０２、補助記憶装置８０３等が所定のプログラムに従って協働し、上記のようなログイン統御型ＢＦ攻撃の抽出やｓｒｃＩＰブラックリスト１２３の作成等の処理を行う。
【０１３０】
以上説明したように、本発明の第１の実施形態によれば、監視対象の通信装置３に対するアクセス履歴（ＢＦ検知ログ１０６）に基づき、通信装置３にアクセスした外部通信装置のＩＰアドレス（ｓｒｃＩＰ）毎にアクセスの特徴を抽出する。そして、抽出したアクセスの特徴が予め定めたＢＦ攻撃パターンと合致すると、アクセスをされた通信装置に対してブルートフォース攻撃がなされたと判断する。すなわち、アクセスの特徴が類似する複数のアクセスを検出すると、当該複数のアクセスのアクセス先である通信装置がブルートフォース攻撃を受けたと判断する。そのため、ブルートフォース攻撃を受けた通信装置が１つであっても検知できる。したがって、１つのＩＰアドレス（ｄｓｔＩＰ）のみにＩＰアドレスを変えながらログイン試行を繰り返す形態のブルートフォース攻撃（ログイン統御型ＢＦ攻撃）を検知することができる。
【０１３１】
また、本発明の第１の実施形態によれば、ログイン統御型ＢＦ攻撃を受けていた通信装置のＩＰアドレスを要対策ｄｓｔＩＰリスト１０９に登録し、その通信装置に対するＢＦ攻撃を重点的に監視する。そのため、ログイン統御型ＢＦ攻撃を早期に検知することができる。
【０１３２】
更に、監視対象の通信装置３に対する現在のアクセス状況に基づきログイン統御型ＢＦ攻撃を受けている通信装置を検出した場合、攻撃に用いられている送信元（攻撃元）のＩＰアドレスからの通信を遮断する。そのため、ログイン統御型ＢＦ攻撃を早期に遮断できる。
【０１３３】
しかも、攻撃元ＩＰアドレスからのブルートフォース攻撃（ログイン試行）を遮断する期間を設定し、当該期間の経過後、攻撃元ＩＰアドレスからのログイン試行の遮断を解除する。そのため、遮断するＩＰアドレスの爆発的な増大を防ぐことができる。よって、侵入検知／防御システム２等の処理負荷の増大を抑えることができ、処理負荷の増大による障害等を防ぐことができる。
【０１３４】
なお、第１の実施形態では、図４に示したように攻撃抽出部１００及び攻撃遮断部１２０を備えた１つのネットワーク攻撃監視装置１を例に挙げた。しかしながら、本発明に係るネットワーク攻撃監視装置は、これに限らず、例えば攻撃抽出部１００に相当する第１の装置と攻撃遮断部１２０に相当する第２の装置とを接続したものであってもよい。また、攻撃抽出部１００及び攻撃遮断部１２０に相当する機能は、侵入検知／防御システム２内に設けられていても良い。
【０１３５】
また、監視対象の通信装置３に対するアクセス履歴（ＢＦ検知ログ１０６）や現在のアクセス状況の取得、ｓｒｃＩＰブラックリスト１２３を用いたログイン統御型ＢＦ攻撃の遮断等は、侵入検知／防御システム２とは別の装置を用いて行っても良い。
【０１３６】
また、ログイン統御型ＢＦ攻撃であるかの判断に用いるログイン試行の特徴は、上述したログイン試行回数の合計ＬＴ、分散ＶＬ、及びログイン試行検知の継続時間ＤＴの組み合わせに限らず、適宜変更可能であることはもちろんである。
【０１３７】
（第２の実施形態）
本実施形態では、ネットワーク攻撃監視装置１における攻撃抽出部の別の構成例、及びログイン統御型ＢＦ攻撃を受けた通信装置のＩＰアドレス（ｄｓｔＩＰ）の別の求め方を説明する。
【０１３８】
図１２は、本発明の第２の実施形態に係るネットワーク攻撃監視装置における攻撃抽出部の構成例を示す模式図である。
【０１３９】
本実施形態のネットワーク攻撃監視装置１は、第１の実施形態で説明した装置と同様に、攻撃抽出部１００及び攻撃遮断部１２０を備える（図４を参照）。このうち、攻撃遮断部１２０は、第１の実施形態で説明した装置と同様の構成である（図７を参照）。
【０１４０】
一方、本実施形態のネットワーク攻撃監視装置１における攻撃抽出部１００は、図１２に示すように、ＢＦ検知ログ取得部１０１、ログイン試行特徴抽出部１０２、ログイン統御型ＢＦ攻撃パターン算出部１１０、及び要対策ｄｓｔＩＰ出力部１０４、及び記憶部１０５Ａを有する。記憶部１０５Ａには、ＢＦ検知ログ１０６、抽出情報１０７、ログイン統御型ＢＦ攻撃パターンリスト１０８、及び要対策ｄｓｔＩＰリスト１０９が格納される。
【０１４１】
本実施形態の攻撃抽出部１００におけるＢＦ検知ログ取得部１００、ログイン試行特徴抽出部１０１、及び要対策ｄｓｔＩＰ出力部１０４は、第１の実施形態で説明した通りである。また、記憶部１０５Ａに格納されるＢＦ検知ログ１０６、抽出情報１０７、及び要対策ｄｓｔＩＰリスト１０９も、第１の実施形態で説明した通りである。
【０１４２】
ログイン統御型ＢＦ攻撃パターン算出部１１０は、アクセス履歴（ＢＦ検知ログ）に基づいてアクセスの特徴が類似するアクセス同士をグループ化し、ログイン統御型ＢＦ攻撃に該当するアクセスを含む特定のグループを算出する。本実施形態では、ログイン試行特徴抽出部１０２で抽出した抽出情報１０７に基づきｓｒｃＩＰをグループ化し、ログイン統御型ＢＦ攻撃に用いられたｓｒｃＩＰを算出する。ｓｒｃＩＰは、例えばクラスタリングによりログイン試行の特徴が類似したｓｒｃＩＰ毎にグループ化する。また、特定のグループは、複数のグループのうちｓｒｃＩＰが所定数より多いグループ、あるいはｓｒｃＩＰの数が最も多いグループとする。
【０１４３】
また、ログイン統御型ＢＦ攻撃パターン算出部１１０は、算出したｓｒｃＩＰ及び当該ｓｒｃＩＰのログイン試行の特徴を記憶部１０５Ａのログイン統御型ＢＦ攻撃パターンリスト１０８に登録する。
【０１４４】
すなわち、本実施形態のネットワーク攻撃監視装置１は、予め用意された攻撃パターンのリストと比較する代わりに、ＢＦ検知ログ１０６からログイン統御型ＢＦ攻撃を行ったｓｒｃＩＰを求め、ログイン統御型ＢＦ攻撃を受けた通信装置の有無を判断する。そして、攻撃を受けた通信装置があった場合、要対策ｄｓｔＩＰリスト１０９に登録して更なるアクセスを監視する。
【０１４５】
図１３は、ｓｒｃＩＰのクラスタリングの方法を説明する模式図である。
ログイン統御型ＢＦ攻撃パターン算出部１１０は、図６Ｂに示したような抽出情報１０７におけるｓｒｃＩＰをログイン試行の特徴の類似したｓｒｃＩＰ毎にグループ化する。このグループ化は、各ｓｒｃＩＰのログイン試行の特徴を用いたクラスタリングにより行う。この際、ログイン統御型ＢＦ攻撃パターン算出部１１０は、例えば、図１３に示すように、ログイン試行回数の合計ＬＴ、分散ＶＬ、及びログイン試行検知の継続時間ＤＴを軸とする３次元直交座標系に、各ｓｒｃＩＰｎの値（ＬＴｎ，ＶＬｎ，ＤＴｎ）をプロットする。そして、各ｓｒｃＩＰｎの値をプロットした後、ログイン試行の特徴を表す値（ＬＴｎ，ＶＬｎ，ＤＴｎ）の距離が所定の範囲内のｓｒｃＩＰ同士をグループ化してクラスタＣＬ１，ＣＬ２，ＣＬ３，・・・に分割する。その後、各クラスタＣＬ１，ＣＬ２，・・・のうち含まれるｓｒｃＩＰの数が予め定めた条件を満たす特定のクラスタ（グループ）を抽出し、ログイン統御型ＢＦ攻撃パターンリスト１０８に登録する。
【０１４６】
なお、クラスタリングは、既知の手法、例えばk-means法等の分割最適化手法（非階層的手法）、あるいは最短距離法等の階層的手法を用いて行えばよい。
【０１４７】
また、特定のクラスタを抽出する際の条件は適宜設定すれば良く、最も簡単な例としては、各クラスタのうちｓｒｃＩＰの数が最も多いクラスタを抽出するという条件が挙げられる。また、例えば、各クラスタのうち、含まれるｓｒｃＩＰが所定の数以上（例えば５個以上）のクラスタを抽出するという条件にしてもよい良い。更に、各クラスタのうち、含まれるｓｒｃＩＰが所定の数以上であり、かつそれらのｓｒｃＩＰを用いてログイン試行を行った時刻が一定の時間間隔又は所定の法則でずれているクラスタを抽出するという条件にしても良い。
【０１４８】
ログイン統御型ＢＦ攻撃の攻撃パターン（ログイン試行）は、１つの攻撃対象のｄｓｔＩＰのみに、ＩＰアドレスを変えながらログイン試行を繰り返す。この際のログイン試行の特徴は、第１の実施形態で説明した通りである。すなわち、各ｓｒｃＩＰによるログイン試行には、試行回数の合計ＬＴ、分散ＶＬ、及び継続時間ＤＴがほぼ同じであるという特徴がある。よって、上記のようなクラスタリングによりログイン統御型ＢＦ攻撃に用いられたｓｒｃＩＰ及び攻撃パターンをログイン統御型ＢＦ攻撃パターンリスト１０８に登録することができる。
【０１４９】
また、抽出情報１０７は、侵入検知／防御システム２から取得した最新のＢＦ検知ログ１０６から抽出したログイン試行の特徴である。すなわち、本実施形態に係るネットワーク攻撃監視装置１の攻撃遮断部１２０（攻撃検査部１２１）では、最新のＢＦ検知ログ１０６に基づくログイン統御型ＢＦ攻撃パターンリスト１０８を用いて、ログイン統御型ＢＦ攻撃を受けているか否かを判断できる。そのため、本実施形態に係るネットワーク攻撃監視装置１では、例えば、ネットワーク攻撃監視装置１の管理者等が認識していない攻撃パターンのログイン統御型ＢＦ攻撃を早期に検知し、遮断することも可能である。
【０１５０】
図１４Ａは、第２の実施形態に係るネットワーク攻撃監視装置の攻撃抽出部が行う処理を示すフローチャート（その１）である。図１４Ｂは、第２の実施形態に係るネットワーク攻撃監視装置の攻撃抽出部が行う処理を示すフローチャート（その２）である。
【０１５１】
本実施形態のネットワーク攻撃監視装置１における攻撃抽出部１００は、図１４Ａ及び図１４Ｂに示すような処理を、予め設定されたスケジュールに従って繰り返し実行する。以下、本実施形態に係る攻撃抽出部１００が行う処理について説明するが、第１の実施形態での説明と重複する箇所についての具体的な説明は省略する。
【０１５２】
まず、ＢＦ検知ログ取得部１０１が、侵入検知／防御システム２からＢＦ検知ログを取得し、記憶部１０５Ａに記憶させる（ステップＳ１０１）。
【０１５３】
次に、ログイン試行特徴抽出部１０２が、記憶部１０５ＡのＢＦ検知ログ１０６を読み出し、通信元のＩＰアドレス（ｓｒｃＩＰ）の値毎のログに分別する（ステップＳ１０２）。
【０１５４】
次に、ログイン試行特徴抽出部１０２が、分別したログにおけるｓｒｃＩＰの１つを選択し、ログイン試行の特徴を算出する（ステップＳ１０３）。この際、ログイン試行特徴抽出部１０２は、ログイン試行の特徴として、図４Ｂに示したようなログイン試行回数の合計ＬＴ、分散ＶＬ、及びログイン試行検知の継続時間ＤＴを算出する。
【０１５５】
次に、ログイン試行特徴抽出部１０２が、選択したｓｒｃＩＰと算出したログイン試行の特徴とを対応付け、抽出情報１０７として記憶部１０５Ａに格納する（ステップＳ１０４）。
【０１５６】
ログイン試行特徴抽出部１０２は、ステップＳ１０４の処理を終えると、次に、全てのｓｒｃＩＰについての抽出情報を記憶部１０５Ａに格納したかを確認する（ステップＳ１０５）。抽出情報を格納させていないｓｒｃＩＰがある場合（ステップＳ１０５；Ｎｏ）、ステップＳ１０３に戻る。
【０１５７】
そして、全てのｓｒｃＩＰの抽出情報を記憶部１０５Ａに格納したら（ステップＳ１０５；Ｙｅｓ）、次に、ログイン統御型ＢＦ攻撃パターン算出部１１０が、抽出情報１０７のログイン試行の特徴に基づきｓｒｃＩＰをクラスタリングする（ステップＳ１０９）。ｓｒｃＩＰのクラスタリングは、上記のように、既知のクラスタリング手法のいずれかを用いて行えばよい。
【０１５８】
ログイン統御型ＢＦ攻撃パターン算出部１１０は、ステップＳ１０９の処理を終えると、次に、所定の条件を満たすクラスタの有無を判定する（ステップＳ１１０）。ステップＳ１１０では、例えば、含まれるｓｒｃＩＰの数が最大のクラスタにおけるｓｒｃＩＰの数が閾値以上であるか等を判定する。また、ステップＳ１１０には、例えば、１つのクラスタに含まれるｓｒｃＩＰの検知時刻が一定の時間間隔又は所定の法則でずれているか等の判定を付加してもよい。
【０１５９】
所定の条件を満たすクラスタがない場合（ステップＳ１１０；Ｎｏ）、ログイン統御型ＢＦ攻撃は行われていないと判断し処理を終了する。
【０１６０】
一方、所定の条件を満たすクラスタがあった場合（ステップ１１０；Ｙｅｓ）、ログイン統御型ＢＦ攻撃パターン算出部１１０は、次に、所定の条件を満たすクラスタに属するｓｒｃＩＰを抽出する（ステップＳ１１１）。
【０１６１】
次に、ログイン統御型ＢＦ攻撃パターン算出部１１０が、抽出したｓｒｃＩＰを用いたログイン試行の特徴を、ｓｒｃＩＰと対応付けてログイン統御型ＢＦ攻撃パターンリスト１０８に登録する（ステップＳ１１２）。
【０１６２】
そして、ステップＳ１１２の処理を終えると、最後に、要対策ｄｓｔＩＰ出力部１０４が、抽出したｓｒｃＩＰを用いたＢＦ攻撃を受けたＩＰアドレス（ｄｓｔＩＰ）を要対策ｄｓｔＩＰリストに登録する（ステップＳ１０８）。
【０１６３】
このように、ＢＦ検知ログ１０６のｓｒｃＩＰ（攻撃元ＩＰアドレス）毎に算出したログイン試行の特徴に基づきログイン統御型ＢＦ攻撃パターンを算出することで、ログイン統御型ＢＦ攻撃を受けたｄｓｔＩＰが１つでも、それを特定できる。
【０１６４】
また、抽出情報１０７（最新のＢＦ検知ログ１０６）に基づきログイン統御型ＢＦ攻撃パターンを算出するので、ネットワーク攻撃監視装置１の管理者等が認識していない攻撃パターンのログイン統御型ＢＦ攻撃を早期に検知し、遮断することも可能である。
【０１６５】
更に、クラスタリングにより求められたクラスタのうちの所定の条件を満たすクラスタに含まれるｓｒｃＩＰをログイン統御型ＢＦ攻撃に用いられたｓｒｃＩＰとして抽出するので、条件を変えることで抽出されるｓｒｃＩＰ及び攻撃パターンを制御できる。例えば、クラスタに含まれるｓｒｃＩＰの数に加え、各ｓｒｃＩＰを用いたログイン試行が一定の時間間隔又は所定の法則でずれていることも条件にすれば、ログイン試行の特徴が実際のログイン統御型ＢＦ攻撃に近いｓｒｃＩＰを抽出できる。そのため、ログイン統御型ＢＦ攻撃に係るｓｒｃＩＰ及びｄｓｔＩＰを精度良く抽出できる。
【０１６６】
以上説明したように、本発明の第２の実施形態によれば、１つのＩＰアドレス（ｄｓｔＩＰ）のみにＩＰアドレスを変えながらログイン試行を繰り返す形態のブルートフォース攻撃（ログイン統御型ＢＦ攻撃）を検知することができる。
【０１６７】
また、本発明の第２の実施形態によれば、ログイン統御型ＢＦ攻撃を受けていた通信装置のＩＰアドレスを要対策ｄｓｔＩＰリスト１０９に登録し、その通信装置に対するＢＦ攻撃を重点的に監視する。そのため、ログイン統御型ＢＦ攻撃を早期に検知することができる。
【０１６８】
更に、監視対象の通信装置３に対する現在のアクセス状況に基づきログイン統御型ＢＦ攻撃を受けている通信装置を検出した場合、攻撃に用いられている送信元（攻撃元）のＩＰアドレスからの通信を遮断する。そのため、ログイン統御型ＢＦ攻撃を早期に遮断できる。
【０１６９】
しかも、最新のＢＦ検知ログ１０６に基づいて算出したｓｒｃＩＰ及び攻撃パターンをログイン統御型ＢＦ攻撃パターンリスト１０８に登録するので、管理者等が認識していない攻撃パターンのログイン統御型ＢＦ攻撃を早期に検知し、遮断することもできる。
【０１７０】
なお、第２の実施形態では、クラスタリングによりｓｒｃＩＰをグループ化し、ログイン統御型ＢＦ攻撃パターンリスト１０８に登録するｓｒｃＩＰ及び攻撃パターン（ログイン試行の特徴）を選出した。しかしながら、ｓｒｃＩＰのグループ化は、クラスタリングに限らず、他の方法で行っても良いことはもちろんである。
【０１７１】
また、第２の実施形態では、抽出情報１０７（ＢＦ検知ログ１０６）からログイン統御型ＢＦ攻撃を行ったｓｒｃＩＰを求めている（図１２及び図１４Ｂを参照）。そして、抽出情報１０７から求めたｓｒｃＩＰのログイン試行の特徴をログイン統御型ＢＦ攻撃パターンリスト１０８に登録し、通信装置３が更なる攻撃を受けているか否かの検査に用いている。
【０１７２】
しかしながら、本発明においては、これに限らず、例えば、ネットワーク攻撃監視装置１の管理者等がログイン統御型ＢＦ攻撃パターンリスト１０８に新たな攻撃パターンを随時追加するようにしてもよい。その場合、攻撃抽出部１００においてログイン統御型ＢＦ攻撃を受けていた通信装置の有無の判断に、管理者等が追加した攻撃パターンとの比較を加えても良い。
【０１７３】
以上記載した各実施例を含む実施形態に関し、更に以下の付記を開示する。
（付記１）
監視対象である１又は複数の通信装置に対するアクセス履歴を取得する履歴取得部と、
取得したアクセス履歴に基づいてアクセスの特徴が類似する複数のアクセスを検出すると、当該複数のアクセスのアクセス先である１又は複数の前記通信装置がネットワーク攻撃を受けたと判断する判断部と、
を備えることを特徴とするネットワーク攻撃監視装置。
（付記２）
前記判断部は、前記アクセスの特徴が類似することに加えアクセス時刻が所定の法則でずれている複数のアクセスを検出すると、前記通信装置がネットワーク攻撃を受けたと判断する、
ことを特徴とする付記１に記載のネットワーク攻撃監視装置。
（付記３）
前記判断部は、前記アクセスの特徴が類似することに加えアクセス時刻が所定の時間間隔でずれている複数のアクセスを検出すると、前記通信装置がネットワーク攻撃を受けたと判断する、
ことを特徴とする付記１に記載のネットワーク監視装置。
（付記４）
前記判断部は、所定数を超える複数のアクセスを検出すると、前記通信装置がネットワーク攻撃を受けたと判断する、
ことを特徴とする付記１に記載のネットワーク監視装置。
（付記５）
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出する抽出部、を更に備え、
前記判断部は、前記アクセスの特徴が類似した複数のＩＰアドレスを検出すると、当該複数のＩＰアドレスから特定したＩＰアドレスを用いてアクセスされた通信装置がネットワーク攻撃を受けたと判断する、
ことを特徴とする付記１に記載のネットワーク攻撃監視装置。
（付記６）
前記判断部は、前記アクセスの特徴が類似することに加えアクセス時刻が所定の法則でずれている複数のＩＰアドレスを、前記特定したＩＰアドレスとする、
ことを特徴とする付記５に記載のネットワーク攻撃監視装置。
（付記７）
前記判断部は、前記アクセスの特徴が類似することに加えアクセス時刻が所定の時間間隔でずれている複数のＩＰアドレスを、前記特定したＩＰアドレスとする、
ことを特徴とする付記５に記載のネットワーク監視装置。
（付記８）
前記判断部は、特定したＩＰアドレスの値の種類が所定数を超えている場合に、前記ネットワーク攻撃を受けた通信装置があると判断する、
ことを特徴とする付記５に記載のネットワーク監視装置。
（付記９）
前記抽出部は、前記アクセスの特徴として、１つのＩＰアドレスを用いて行われたアクセス回数の合計、単位時間当たりのアクセス回数の分散、及び１つのＩＰアドレスを用いて行われたアクセスの継続時間のいずれか、又は２以上の組み合わせを抽出する、
ことを特徴とする付記５に記載のネットワーク監視装置。
（付記１０）
前記判断部において特定したＩＰアドレスでアクセスされた通信装置のＩＰアドレス及びアクセスの特徴が登録された第１のリストと、
前記ネットワーク攻撃に該当する前記アクセスの特徴が登録された第２のリストと、
前記通信装置に対する前記ネットワーク攻撃と類似した更なるアクセスを検知すると、検知したアクセスの特徴と前記第１のリスト及び前記第２のリストのアクセスの特徴とを比較して前記通信装置へのアクセスが前記ネットワーク攻撃であるか否かを検査する検査部と、
を更に備えることを特徴とする付記５に記載のネットワーク監視装置。
（付記１１）
前記通信装置へのアクセスが前記ネットワーク攻撃である場合に、当該通信装置へのアクセスに用いられた送信元のＩＰアドレスからのアクセスを遮断する遮断時間を設定するとともに、前記遮断時間を経過した後で遮断を解除する管理部、
を更に備えることを特徴とする付記１０に記載のネットワーク攻撃監視装置。
（付記１２）
前記判断部で判断するネットワーク攻撃は、ブルートフォース攻撃であること、
を特徴とする付記１に記載のネットワーク攻撃監視装置。
（付記１３）
前記判断部で判断する前記ブルートフォース攻撃は、１つの前記通信装置に対し攻撃元のＩＰアドレスを定期的に変更しながらアクセスを繰り返す攻撃であること、
を特徴とする付記１２に記載の通信ネットワーク攻撃監視装置。
（付記１４）
監視対象である１又は複数の通信装置に対するアクセス履歴を取得する履歴取得部と、
取得したアクセス履歴に基づいてアクセスの特徴が類似するアクセス同士をグループ化し、特定のグループに属するアクセスのアクセス先に対応する１又は複数の通信装置を特定する特定部と、
特定した前記通信装置に対する更なるアクセスを監視し、検出された前記グループにグループ化される特定のアクセスの検出に応じて当該特定のアクセスを遮断する遮断部と、
を備えることを特徴とするネットワーク攻撃監視装置。
（付記１５）
前記特定部は、所定数以上のアクセスが属するグループ、又は最も多いアクセスが含まれるグループを前記特定のグループとすること、
を特徴とする付記１４に記載のネットワーク攻撃監視装置。
（付記１６）
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出する抽出部、を更に備え、
前記特定部は、前記アクセスの特徴の類似性に応じて前記ＩＰアドレスをグループ化し、特定のグループに属するＩＰアドレスによるアクセスのアクセス先に対応する通信装置を特定する、
ことを特徴とする付記１４に記載のネットワーク攻撃監視装置。
（付記１７）
前記特定部は、前記ＩＰアドレスの値の種類数が所定数以上のグループ、又は前記ＩＰアドレスの値の種類数が最も多いグループを前記特定のグループとすること、
を特徴とする付記１６に記載のネットワーク攻撃監視装置。
（付記１８）
前記抽出部は、アクセスの継続時間を含む前記アクセスの特徴を抽出し、
前記遮断部は、前記アクセスの継続時間に基づいて、検出した前記アクセスの遮断時間を設定すること、
を特徴とする付記１６に記載のネットワーク攻撃監視装置。
（付記１９）
前記遮断部は、前記遮断時間が経過した後、前記アクセスの遮断を解除すること、
を特徴とする付記１７に記載のネットワーク攻撃監視装置。
（付記２０）
コンピュータが、
監視対象である１又は複数の通信装置に対するアクセス履歴を取得し、
取得したアクセス履歴に基づいてアクセスの特徴が類似する複数のアクセスを検出すると、当該複数のアクセスのアクセス先である１又は複数の前記通信装置がネットワーク攻撃を受けたと判断する、
ことを特徴とするネットワーク攻撃監視方法。
（付記２１）
コンピュータが、
監視対象の通信装置に対するアクセス履歴を取得し、
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出し、
抽出した前記アクセスの特徴の類似性に基づいて前記ＩＰアドレスを分類し、
前記アクセスの特徴が類似した複数のＩＰアドレスを検出すると、当該複数のＩＰアドレスから特定したＩＰアドレスを用いてアクセスされた通信装置がネットワーク攻撃を受けたと判断する、
ことを特徴とするネットワーク攻撃監視方法。
（付記２２）
コンピュータが、
監視対象である１又は複数の通信装置に対するアクセス履歴を取得し、
取得したアクセス履歴に基づいてアクセスの特徴が類似するアクセス同士をグループ化し、
特定のグループに属するアクセスのアクセス先に対応する１又は複数の通信装置を特定し、
特定した前記通信装置に対する更なるアクセスを監視し、検出された前記グループにグループ化される特定のアクセスの検出に応じて当該特定のアクセスを遮断する
ことを特徴とするネットワーク攻撃監視方法。
（付記２３）
コンピュータが、
監視対象である１又は複数の通信装置に対するアクセス履歴を取得し、
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出し、
前記アクセスの特徴の類似性に応じて前記ＩＰアドレスをグループ化し、特定のグループに属するＩＰアドレスによるアクセスのアクセス先に対応する通信装置を特定し、
特定した前記通信装置に対する更なるアクセスを監視し、
前記特定のグループに属するＩＰアドレスのアクセスの特徴と類似したアクセスを検出すると、検出した前記アクセスを遮断する、
ことを特徴とするネットワーク攻撃監視方法。
（付記２４）
コンピュータに、
監視対象である１又は複数の通信装置に対するアクセス履歴を取得し、
取得したアクセス履歴に基づいてアクセスの特徴が類似する複数のアクセスを検出すると、当該複数のアクセスのアクセス先である１又は複数の前記通信装置がネットワーク攻撃を受けたと判断する、
処理を実行させるためのプログラム。
（付記２５）
コンピュータに、
監視対象である１又は複数の通信装置に対するアクセス履歴を取得し、
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎にアクセスの特徴を抽出し、
抽出した前記アクセスの特徴の類似性に基づいて前記ＩＰアドレスを分類し、
前記アクセスの特徴が類似した複数のＩＰアドレスを検出すると、当該複数のＩＰアドレスから特定したＩＰアドレスを用いてアクセスされた通信装置がネットワーク攻撃を受けた判断する、
処理を実行させるためのプログラム。
（付記２６）
コンピュータに、
監視対象である１又は複数の通信装置に対するアクセス履歴を取得し、
取得したアクセス履歴に基づいてアクセスの特徴が類似するアクセス同士をグループ化し、
特定のグループに属するアクセスのアクセス先に対応する１又は複数の通信装置を特定し、
特定した前記通信装置に対する更なるアクセスを監視し、検出された前記グループにグループ化される特定のアクセスの検出に応じて当該特定のアクセスを遮断する
処理を実行させるためのプログラム。
（付記２７）
コンピュータに、
監視対象である１又は複数の通信装置に対するアクセス履歴を取得し、
取得したアクセス履歴に基づき前記通信装置にアクセスした外部通信装置のＩＰアドレス毎に前記アクセスの特徴を抽出し、
前記アクセスの特徴の類似性に応じて前記ＩＰアドレスをグループ化し、特定のグループに属するＩＰアドレスによるアクセスのアクセス先に対応する通信装置を特定し、
特定した前記通信装置に対する更なるアクセスを監視し、
前記特定のグループに属するＩＰアドレスのアクセスの特徴と類似したアクセスを検出すると、検出した前記アクセスを遮断する、
処理を実行させるためのプログラム。
【符号の説明】
【０１７４】
１  ネットワーク攻撃監視装置
１００  攻撃抽出部
１０１  ＢＦ検知ログ取得部
１０２  ログイン試行特徴抽出部
１０３  ログイン統御型ＢＦ攻撃判定部
１０４  要対策ｄｓｔＩＰ出力部
１０５Ａ，１０５Ｂ  記憶部
１０６  ＢＦ検知ログ
１０７  抽出情報
１０８  ログイン統御型ＢＦ攻撃パターンリスト
１０９  要対策ｄｓｔＩＰリスト
１１０  ログイン統御型ＢＦ攻撃パターン算出部
１２０  攻撃遮断部
１２１  攻撃検査部
１２２  攻撃元ｓｒｃＩＰ管理部
１２３  ｓｒｃＩＰブラックリスト
２  侵入検知／防御システム
３  （監視対象の）通信装置
４  ファイアウォール装置
５  通信ネットワーク
６  外部通信装置
【図１】
0006528448.tif 000002
【図２】
0006528448.tif 000003
【図３】
0006528448.tif 000004
【図４】
0006528448.tif 000005
【図５】
0006528448.tif 000006
【図６Ａ】
0006528448.tif 000007
【図６Ｂ】
0006528448.tif 000008
【図６Ｃ】
0006528448.tif 000009
【図６Ｄ】
0006528448.tif 000010
【図７】
0006528448.tif 000011
【図８】
0006528448.tif 000012
【図９Ａ】
0006528448.tif 000013
【図９Ｂ】
0006528448.tif 000014
【図１０】
0006528448.tif 000015
【図１１】
0006528448.tif 000016
【図１２】
0006528448.tif 000017
【図１３】
0006528448.tif 000018
【図１４Ａ】
0006528448.tif 000019
【図１４Ｂ】
0006528448.tif 000020