(57)【要約】【課題】  広範囲のアドレス空間の不正アクセス情報を低コストで収集可能で動作解析が容易な不正アクセス情報収集システムを実現する。【解決手段】  ハニーネットへの不正アクセスを監視して不正アクセス情報を収集する不正アクセス情報収集システムにおいて、プライベートアドレス或いはグローバルアドレスがそれぞれ設定されハニーネットを構成する複数のハニーポットと、インターネットとハニーネットとの間に設けられ、ルーティングテーブルの設定によってプライベートアドレス或いはグローバルアドレスに対して複数のグローバルアドレスを割り当てて受信したパケットを転送し、通信制御リストに基づきハニーネット側からインターネット側への通信制御を行うと共に通過するパケットを記録する不正アクセス情報収集装置とを設ける。【選択図】                    図１
2008172548.tif 000002
【特許請求の範囲】
【請求項１】
ハニーネットへの不正アクセスを監視して不正アクセス情報を収集する不正アクセス情報収集システムにおいて、
プライベートアドレス或いはグローバルアドレスがそれぞれ設定され前記ハニーネットを構成する複数のハニーポットと、
インターネットと前記ハニーネットとの間に設けられ、ルーティングテーブルの設定によって前記プライベートアドレス或いは前記グローバルアドレスに対して複数のグローバルアドレスを割り当てて受信したパケットを転送し、通信制御リストに基づき前記ハニーネット側から前記インターネット側への通信制御を行うと共に通過する前記パケットを記録する不正アクセス情報収集装置と
を備えたことを特徴とする不正アクセス情報収集システム。
【請求項２】
前記不正アクセス情報収集装置が、
前記インターネットを介して通信を行う第１の通信手段と、
前記ハニーネットを介して通信を行う第２の通信手段と、
前記ルーティングテーブルが格納される記憶手段と、
装置全体を制御すると共に前記第１の通信手段を介して受信したパケットを前記記憶手段に記録し、記録したパケットに第１の検知ポイント識別子及び送信先グローバルアドレスと送信先ポート番号を書き込み、前記送信先グローバルアドレスが前記ルーティングテーブルに存在する場合には受信したパケットの送信先アドレスを前記プライベートアドレス或いは前記グローバルアドレスに書き換え、先に記録したパケットの送信先アドレスを前記プライベートアドレス或いは前記グローバルアドレスに書き換え第２の検知ポイント識別子を書き込んで前記記憶手段に記憶し、前記プライベートアドレス或いは前記グローバルアドレスに書き換えられた受信パケットを前記第２の通信手段を介して転送し、送信先グローバルアドレスがルーティングリストに存在しない場合に、受信したパケットを破棄する演算制御手段とから構成されることを特徴とする
請求項１記載の不正アクセス情報収集システム。
【請求項３】
前記不正アクセス情報収集装置が、
前記インターネットを介して通信を行う第１の通信手段と、
前記ハニーネットを介して通信を行う第２の通信手段と、
前記通信制御リストが格納される記憶手段と、
装置全体を制御すると共に前記第２の通信手段を介して受信したパケットの送信元のプライベートアドレス或いはグローバルアドレスに対する制限情報が前記通信制御リストに登録されていない場合に、受信したパケットを前記記憶手段に記録すると共に記録されたパケットに第３の検知ポイント識別子を書き込み、受信したパケットの送信元アドレスをグローバルアドレスに書き換えて前記第１の通信手段を介して転送し、制限情報が前記通信制御リストに存在する場合に受信したパケットを前記記憶手段に記録すると共に記録されたパケットに第４の検知ポイント識別子を書き込み受信したパケットを破棄する演算制御手段とから構成されることを特徴とする
請求項１記載の不正アクセス情報収集システム。
【請求項４】
前記演算制御手段が、
表示手段にＩＰアドレスとポート番号とを座標軸としたインターネット面、装置面及びハニーネット面を表示させると共に前記記憶手段から記録されたパケットを読み出し、
前記第１の検知ポイント識別子が書き込まれている場合には前記インターネット面と前記装置面との間を描画し、
前記第２の検知ポイント識別子が書き込まれている場合には前記装置面と前記ハニーネット面との間を
描画し、
前記第３の検知ポイント識別子が書き込まれている場合には前記ハニーネット面と前記インターネット面との間を描画し、
前記第４の検知ポイント識別子が書き込まれている場合には前記ハニーネット面と前記装置面との間を描画することを特徴とする
請求項２若しくは請求項３記載の不正アクセス情報収集システム。
【請求項５】
前記演算制御手段が、
前記第１の検知ポイント識別子が書き込まれている場合には、送信元アドレスを前記インターネット面の座標に表示し、前記送信先アドレスを前記装置面の座標に表示すると共に２つの点を線分で結ぶように描画することを特徴とする
請求項４記載の不正アクセス情報収集システム。
【請求項６】
前記演算制御手段が、
前記第２の検知ポイント識別子が書き込まれている場合には、書き換え前の送信先グローバルアドレスを前記装置面の座標に表示し、書き換えられた前記プライベートアドレス或いは前記グローバルアドレスを前記ハニーネット面の座標に表示すると共に２つの点を線分で結ぶように描画することを特徴とする
請求項４記載の不正アクセス情報収集システム。
【請求項７】
前記演算制御手段が、
前記第３の検知ポイント識別子が書き込まれている場合には、送信元アドレスを前記ハニーネット面の座標に表示し、送信先アドレスを前記インターネット面の座標に表示すると共に２つの点を線分で結ぶように描画することを特徴とする
請求項４記載の不正アクセス情報収集システム。
【請求項８】
前記演算制御手段が、
前記第４の検知ポイント識別子が書き込まれている場合には、送信元アドレスを前記ハニーネット面の座標に表示し、送信先アドレスを前記装置面の座標に表示すると共に２つの点を線分で結ぶように描画することを特徴とする
請求項４記載の不正アクセス情報収集システム。
【請求項９】
前記演算制御手段が、
前記線分を色分け表示してすることを特徴とする
請求項５乃至請求項８のいずれかに記載の不正アクセス情報収集システム。
【請求項１０】
前記演算制御手段が、
パケットの伝播方向に向かって前記線分をなぞるようにマーカを移動させることを特徴とする
請求項５乃至請求項８のいずれかに記載の不正アクセス情報収集システム。
【請求項１１】
前記演算制御手段が、
前記マーカを任意の形状で表示させることを特徴とする
請求項５乃至請求項８のいずれかに記載の不正アクセス情報収集システム。
【請求項１２】
前記演算制御手段が、
前記マーカの輝度を周囲の輝度とは異なる輝度にすることを特徴とする
請求項５乃至請求項８のいずれかに記載の不正アクセス情報収集システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数のハニーポット（攻撃者やウィルス等を誘き寄せるための囮のネットワーク機器やサーバ等）から構成されるハニーネットへの不正アクセスを監視して不正アクセス情報を収集する不正アクセス情報収集システムに関し、特に広範囲のアドレス空間の不正アクセス情報を低コストで収集可能で動作解析が容易な不正アクセス情報収集システムに関する。
【背景技術】
【０００２】
従来の複数のハニーポットから構成されるハニーネットへの不正アクセスを監視して不正アクセス情報を収集する不正アクセス情報収集システム等に関連する先行技術文献としては次のようなものがある。
【０００３】
【特許文献１】特開２００２−１１１７２７号公報
【特許文献２】特開２００４−２３４４０１号公報
【特許文献３】特開２００６−０２５３５４号公報
【特許文献４】特開２００６−０９９５９０号公報
【特許文献５】特開２００６−２４３８７８号公報
【０００４】
図１７は従来の不正アクセス情報収集システムの一例を示す構成ブロック図である。図１７において１は不正アクセスを行うコンピュータ等の端末、２は不正アクセス情報を収集する不正アクセス情報収集装置、３，４及び５は攻撃者やウィルス等を誘き寄せるための囮のネットワーク機器やサーバ等であるハニーポット、１００はインターネットである。
【０００５】
また、２，３，４及び５は不正アクセス情報収集システムを、３，４及び５はハニーネットをそれぞれ構成している。
【０００６】
端末１はインターネット１００に相互に接続され、不正アクセス情報収集装置２の一方の通信手段（例えば、ネットワークインターフェース等）もまたインターネット１００に相互に接続される。また、不正アクセス情報収集装置２の他方の通信手段はハニーポット３，４及び５に相互に接続される。
【０００７】
また、図１８は不正アクセス情報収集手段２の具体例を示す構成ブロック図である。図１８において６はインターネット１００を介して通信を行う通信手段、７はＣＰＵ（Central Processing Unit）等の不正アクセス情報収集装置全体を制御する演算制御手段、８はハニーネットを介して通信を行う通信手段、９はハードディスク、ＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）等の記憶手段である。また、６，７，８及び９は不正アクセス情報収集装置５０を構成している。
【０００８】
通信手段６はインターネット１００（図示せず）に相互に接続されると共に入出力が演算制御手段７に相互に接続される。一方、通信手段８はハニーネット（図示せず）に相互に接続されると共に入出力が演算制御手段７に相互に接続される。また、記憶手段９の入出力もまた演算制御手段７に相互に接続される。
【０００９】
ここで、図１７に示す従来例の動作を図１９、図２０、図２１及び図２２を用いて説明する。図１９は演算制御手段７のインバウンド通信（インターネット側からパケットの受信）時の動作を説明するフロー図、図２０はインバウンド通信時の動作を説明する説明図、図２１は演算制御手段７のアウトバウンド通信（ハニーネット側からパケットの受信）時の動作を説明するフロー図、図２２はアウトバウンド通信時の動作を説明する説明図である。
【００１０】
先ず、ハニーネットを構成する各ハニーポット３，４及び５にはそれぞれグローバルＩＰ（Internet Protocol）アドレス（以下、単にグローバルアドレスと呼ぶ。）が割り当てられ、不正アクセス情報収集装置５０の記憶手段９には各ハニーポット３，４及び５のグローバルアドレスとＭＡＣ（Media Access Control address）アドレスとが登録されたアドレステーブルが予め格納されている。
【００１１】
また、不正アクセス情報収集装置５０の記憶手段９にはアウトバウンド通信時の送信先グローバルアドレスに対するＩＰ（Internet Protocol）パケット（以下、単にパケット呼ぶ。）のインターネット側への転送、或いは、パケットの破棄等の制限情報が設定された通信制御リストが予め格納されている。
【００１２】
インバウンド通信（インターネット側からパケットの受信）時、図１９中”Ｓ００１”において演算制御手段７は、通信手段６を介してインターネット側の端末１からパケットを受信したか否かを判断し、もし、インターネット側の端末１からパケットを受信したと判断した場合には、図１９中”Ｓ００２”において演算制御手段７は、送信先のグローバルアドレスに対応する送信先のＭＡＣアドレスが記憶手段９に予め格納されているアドレステーブルに登録されているかを検索する。
【００１３】
図１９中”Ｓ００３”において演算制御手段７は、当該ＭＡＣアドレスがアドレスリストに存在すると判断した場合には、図１９中”Ｓ００４”において演算制御手段７は、受信したパケットの情報を記憶手段９のログファイルに記録すると共に図１９中”Ｓ００５”において演算制御手段７は、通信手段８を介してハニーネット側の当該ＭＡＣアドレスのハニーポットに受信したパケットを転送する。
【００１４】
例えば、図２０中”ＰＣ０１”に示すようにインターネット１００側の端末１から送信先グローバルアドレスが”ＩＰ０１”であるパケットを受信した時、不正アクセス情報収集装置２は、アドレスリストを検索し送信先グローバルアドレス”ＩＰ０１”に対応するＭＡＣアドレス”ＭＣ０１”が存在する場合、パケットの情報をテキスト形式でログファイルに記録すると共にＭＡＣアドレス”ＭＣ０１”のハニーポット３に対して受信したパケットを転送する。
【００１５】
一方、図１９中”Ｓ００３”において当該ＭＡＣアドレスがアドレスリストに存在しないと判断した場合には、言い換えれば、転送すべきＭＡＣアドレスのハニーポットが存在しない場合には、図１９中”Ｓ００６”において演算制御手段７は、受信したパケットを破棄する。
【００１６】
例えば、図２０中”ＰＣ０２”に示すようにインターネット１００側の端末１から送信先グローバルアドレスが”ＩＰ０５”であるパケットを受信した時、不正アクセス情報収集装置２は、アドレスリストを検索して送信先グローバルアドレス”ＩＰ０５”に対応するＭＡＣアドレスが存在しない、言い換えれば、転送すべきＭＡＣアドレスのハニーポットが存在しない場合、受信したパケットを破棄する。
【００１７】
また、アウトバウンド通信（ハニーネット側からパケットの受信）時、図２１中”Ｓ１０１”において演算制御手段７は、通信手段８を介してハニーネット側の或るハニーポットからパケットを受信したか否かを判断し、もし、ハニーネット側の或るハニーポットからパケットを受信したと判断した場合には、図２１中”Ｓ１０２”において演算制御手段７は、送信元のプライベートアドレスに対する制限情報が通信制御リストに登録されているか否かを検索する。
【００１８】
図２１中”Ｓ１０３”において演算制御手段７は、送信元のプライベートアドレスに対する制限情報が通信制御リストに存在しないと判断した場合には、図２１中”Ｓ１０４”において演算制御手段７は、受信したパケットの情報を記憶手段９のログファイルに記録すると共に図２１中”Ｓ１０５”において演算制御手段７は、通信手段６を介してインターネット側の送信先のグローバルアドレスの端末に受信したパケットを転送する。
【００１９】
例えば、図２２中”ＰＣ１１”に示すようにハニーネット側のハニーポット３のプライベートアドレスが”ＩＰ１１”であるパケットを受信した時、不正アクセス情報収集装置２は、通信制御リストを検索し送信元のプライベートアドレス”ＩＰ２１”に対応する制限情報が存在しない場合には、パケットの情報をテキスト形式でログファイルに記録すると共に送信先グローバルアドレス”ＩＰ１１”の端末１に対して受信したパケットを転送する。
【００２０】
一方、図２１中”Ｓ１０３”において制限情報が通信制御リストに存在すると判断した場合には、言い換えれば、当該送信元のプライベートアドレスからの送信を制限する場合には、図２１中”Ｓ１０６”において演算制御手段７は、受信したパケットを破棄する。
【００２１】
例えば、図２２中”ＰＣ１２”に示すようにハニーネット側のハニーポット５のプライベートアドレスが”ＩＰ１２”であるパケットを受信した時、不正アクセス情報収集装置２は、通信制御リストを検索して送信元のプライベートアドレス”ＩＰ１２”に対応する制限情報が存在した場合には、言い換えれば、当該送信元のプライベートアドレスからの送信を制限する場合、受信したパケットを破棄する。
【００２２】
このような動作により、記憶手段９のログファイルには不正アクセス情報収集装置５０を通過したパケットの情報が記録されるので、当該ログファイルを解析することにより、攻撃者やウィルス等のハニーネットに対する不正アクセスの状況を把握することが可能になる。
【００２３】
また、不正アクセス情報収集装置５０が予め設定された通信制御リストに基づきハニーネット側からインターネット側へのパケットの通信制御を行うことにより、不正アクセスされたハニーポットを他のネットワークに対する攻撃の踏み台に利用されること等を防止することができる。
【００２４】
この結果、インターネットとハニーネットとの間に不正アクセス情報収集装置を設けて、不正アクセス情報収集装置を通過するパケットの情報を記録すると共に、設定された通信制御リストに基づきハニーネット側からインターネット側への通信制御を行うことにより、不正アクセス情報の収集が可能であり、不正アクセスされたハニーポットを他のネットワークに対する攻撃の踏み台に利用されること等を防止することができる。
【発明の開示】
【発明が解決しようとする課題】
【００２５】
しかし、図１７に示す従来例では、ハニーネットを構成する各ハニーポットに１つずつグローバルアドレスを割り当てているため、広範囲のアドレス空間における不正アクセス情報を収集する場合には、大量のハニーポット（ネットワーク機器やサーバ等）を用意する必要性があり、運用コストが増大してしまうと言った問題点があった。
【００２６】
また、図２３はログファイルに記録されるパケットの情報の一例を示す説明図であり、図２３に示すようなパケットの情報では、ログを一行一行読んで動作解析する必要性があり、リアルタイムに不正アクセスの状況を把握（動作解析）することは困難であると言った問題点があった。
従って本発明が解決しようとする課題は、広範囲のアドレス空間の不正アクセス情報を低コストで収集可能で動作解析が容易な不正アクセス情報収集システムを実現することにある。
【課題を解決するための手段】
【００２７】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
ハニーネットへの不正アクセスを監視して不正アクセス情報を収集する不正アクセス情報収集システムにおいて、
プライベートアドレス或いはグローバルアドレスがそれぞれ設定され前記ハニーネットを構成する複数のハニーポットと、インターネットと前記ハニーネットとの間に設けられ、ルーティングテーブルの設定によって前記プライベートアドレス或いは前記グローバルアドレスに対して複数のグローバルアドレスを割り当てて受信したパケットを転送し、通信制御リストに基づき前記ハニーネット側から前記インターネット側への通信制御を行うと共に通過する前記パケットを記録する不正アクセス情報収集装置とを備えたことにより、広範囲のアドレス空間の不正アクセス情報を低コストで収集することが可能であり、不正アクセスされたハニーポットを他のネットワークに対する攻撃の踏み台に利用されること等を防止することができる。
【００２８】
請求項２記載の発明は、
請求項１記載の発明である不正アクセス情報収集システムにおいて、
前記不正アクセス情報収集装置が、
前記インターネットを介して通信を行う第１の通信手段と、前記ハニーネットを介して通信を行う第２の通信手段と、前記ルーティングテーブルが格納される記憶手段と、装置全体を制御すると共に前記第１の通信手段を介して受信したパケットを前記記憶手段に記録し、記録したパケットに第１の検知ポイント識別子及び送信先グローバルアドレスと送信先ポート番号を書き込み、前記送信先グローバルアドレスが前記ルーティングテーブルに存在する場合には受信したパケットの送信先アドレスを前記プライベートアドレス或いは前記グローバルアドレスに書き換え、先に記録したパケットの送信先アドレスを前記プライベートアドレス或いは前記グローバルアドレスに書き換え第２の検知ポイント識別子を書き込んで前記記憶手段に記憶し、前記プライベートアドレス或いは前記グローバルアドレスに書き換えられた受信パケットを前記第２の通信手段を介して転送し、送信先グローバルアドレスがルーティングリストに存在しない場合に、受信したパケットを破棄する演算制御手段とから構成されることにより、広範囲のアドレス空間の不正アクセス情報を低コストで収集することが可能であり、不正アクセスされたハニーポットを他のネットワークに対する攻撃の踏み台に利用されること等を防止することができる。
【００２９】
請求項３記載の発明は、
請求項１記載の発明である不正アクセス情報収集システムにおいて、
前記不正アクセス情報収集装置が、
前記インターネットを介して通信を行う第１の通信手段と、
前記ハニーネットを介して通信を行う第２の通信手段と、
前記通信制御リストが格納される記憶手段と、
装置全体を制御すると共に前記第２の通信手段を介して受信したパケットの送信元のプライベートアドレス或いはグローバルアドレスに対する制限情報が前記通信制御リストに登録されていない場合に、受信したパケットを前記記憶手段に記録すると共に記録されたパケットに第３の検知ポイント識別子を書き込み、受信したパケットの送信元アドレスをグローバルアドレスに書き換えて前記第１の通信手段を介して転送し、制限情報が前記通信制御リストに存在する場合に受信したパケットを前記記憶手段に記録すると共に記録されたパケットに第４の検知ポイント識別子を書き込み受信したパケットを破棄する演算制御手段とから構成されることにより、広範囲のアドレス空間の不正アクセス情報を低コストで収集することが可能であり、不正アクセスされたハニーポットを他のネットワークに対する攻撃の踏み台に利用されること等を防止することができる。
【００３０】
請求項４記載の発明は、
請求項２若しくは請求項３記載の発明である不正アクセス情報収集システムにおいて、
前記演算制御手段が、
表示手段にＩＰアドレスとポート番号とを座標軸としたインターネット面、装置面及びハニーネット面を表示させると共に前記記憶手段から記録されたパケットを読み出し、前記第１の検知ポイント識別子が書き込まれている場合には前記インターネット面と前記装置面との間を描画し、前記第２の検知ポイント識別子が書き込まれている場合には前記装置面と前記ハニーネット面との間を描画し、前記第３の検知ポイント識別子が書き込まれている場合には前記ハニーネット面と前記インターネット面との間を描画し、前記第４の検知ポイント識別子が書き込まれている場合には前記ハニーネット面と前記装置面との間を描画することにより、各装置間の通信の状況を三次元で表示することができるので、動作解析を容易に行うことができる。
【００３１】
請求項５記載の発明は、
請求項４記載の発明である不正アクセス情報収集システムにおいて、
前記演算制御手段が、
前記第１の検知ポイント識別子が書き込まれている場合には、送信元アドレスを前記インターネット面の座標に表示し、前記送信先アドレスを前記装置面の座標に表示すると共に２つの点を線分で結ぶように描画することにより、各装置間の通信の状況を三次元で表示することができるので、動作解析を容易に行うことができる。
【００３２】
請求項６記載の発明は、
請求項４記載の発明である不正アクセス情報収集システムにおいて、
前記演算制御手段が、
前記第２の検知ポイント識別子が書き込まれている場合には、書き換え前の送信先グローバルアドレスを前記装置面の座標に表示し、書き換えられた前記プライベートアドレス或いは前記グローバルアドレスを前記ハニーネット面の座標に表示すると共に２つの点を線分で結ぶように描画することにより、各装置間の通信の状況を三次元で表示することができるので、動作解析を容易に行うことができる。
【００３３】
請求項７記載の発明は、
請求項４記載の発明である不正アクセス情報収集システムにおいて、
前記演算制御手段が、
前記第３の検知ポイント識別子が書き込まれている場合には、送信元アドレスを前記ハニーネット面の座標に表示し、送信先アドレスを前記インターネット面の座標に表示すると共に２つの点を線分で結ぶように描画することにより、各装置間の通信の状況を三次元で表示することができるので、動作解析を容易に行うことができる。
【００３４】
請求項８記載の発明は、
請求項４記載の発明である不正アクセス情報収集システムにおいて、
前記演算制御手段が、
前記第４の検知ポイント識別子が書き込まれている場合には、送信元アドレスを前記ハニーネット面の座標に表示し、送信先アドレスを前記装置面の座標に表示すると共に２つの点を線分で結ぶように描画することにより、各装置間の通信の状況を三次元で表示することができるので、動作解析を容易に行うことができる。
【００３５】
請求項９記載の発明は、
請求項５乃至請求８のいずれかに記載の発明である不正アクセス情報収集システムにおいて、
前記演算制御手段が、
前記線分を色分け表示してすることにより、直感的に各装置間を伝播するパケットのプロトコル種別等を色により分離して観察することができるので、動作解析をより容易に行うことができる。
【００３６】
請求項１０記載の発明は、
請求項５乃至請求８のいずれかに記載の発明である不正アクセス情報収集システムにおいて、
前記演算制御手段が、
パケットの伝播方向に向かって前記線分をなぞるようにマーカを移動させることにより、線分上をなぞるようにマーカがパケットの伝播方向に向かって移動するので、パケットの伝播方向を直感的に把握することが可能になる。
【００３７】
請求項１１記載の発明は、
請求項５乃至請求８のいずれかに記載の発明である不正アクセス情報収集システムにおいて、
前記演算制御手段が、
前記マーカを任意の形状で表示させることにより、線分上をなぞるようにマーカがパケットの伝播方向に向かって移動するので、パケットの伝播方向を直感的に把握することが可能になる。
【００３８】
請求項１２記載の発明は、
請求項５乃至請求８のいずれかに記載の発明である不正アクセス情報収集システムにおいて、
前記演算制御手段が、
前記マーカの輝度を周囲の輝度とは異なる輝度にすることにより、線分上をなぞるようにマーカがパケットの伝播方向に向かって移動するので、パケットの伝播方向を直感的に把握することが可能になる。
【発明の効果】
【００３９】
本発明によれば次のような効果がある。
請求項１，２及び請求項３の発明によれば、インターネットとハニーネットとの間に不正アクセス情報収集装置を設けると共にハニーネットを構成する各ハニーポットにはプライベートアドレスを割り当て、ルーティングテーブルの設定によって当該プライベートアドレスに対して複数のグローバルアドレスを割り当てて受信したパケットを転送し、検知ポイント識別子を書き込んだパケットを記録し、設定された通信制御リストに基づきハニーネット側からインターネット側への通信制御を行うことにより、広範囲のアドレス空間の不正アクセス情報を低コストで収集することが可能であり、不正アクセスされたハニーポットを他のネットワークに対する攻撃の踏み台に利用されること等を防止することができる。
【００４０】
また、請求項４，５，６，７及び請求項８の発明によれば、演算制御手段が、検知ポイント識別子等を付加した記録されたパケットに基づきインターネット面と装置面との間を線分で描画し、装置面とハニーネット面との間を線分で描画し、或いは、インターネット面とハニーネット面との間を線分で描画することにより、各装置間の通信の状況を三次元で表示することができるので、動作解析を容易に行うことができる。
【００４１】
また、請求項９の発明によれば、演算制御手段が、線分を色分け表示してすることにより、直感的に各装置間を伝播するパケットのプロトコル種別等を色により分離して観察することができるので、動作解析をより容易に行うことができる。
【００４２】
また、請求項１０，１１及び請求項１２の発明によれば、演算制御手段が、パケットの伝播方向に向かって線分をなぞるようにマーカを移動させることにより、線分上をなぞるようにマーカがパケットの伝播方向に向かって移動するので、パケットの伝播方向を直感的に把握することが可能になる。
【発明を実施するための最良の形態】
【００４３】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係る不正アクセス情報収集システムの一実施例を示す構成ブロック図である。
【００４４】
図１において１及び１００は図１６と同一符号を付してあり、１０は不正アクセス情報を収集する不正アクセス情報収集装置、１１，１２及び１３は攻撃者やウィルス等を誘き寄せるための囮のネットワーク機器やサーバ等であるハニーポット、１４はインターネット経由で不正アクセス情報収集装置を管理等する管理端末である。
【００４５】
また、１０，１１，１２及び１３は不正アクセス情報収集システムを、１１，１２及び１３はハニーネットをそれぞれ構成している。
【００４６】
端末１はインターネット１００に相互に接続され、不正アクセス情報収集装置１０の一方の通信手段（例えば、ネットワークインターフェース等）もまたインターネット１００に相互に接続される。また、不正アクセス情報収集装置１０の他方の通信手段はハニーポット１１，１２及び１３に相互に接続される。さらに、管理端末１４はインターネット１００に相互に接続される。
【００４７】
また、図２は不正アクセス情報収集手段１０の具体例を示す構成ブロック図である。図２において１５はインターネット１００を介して通信を行う通信手段、１６はＣＰＵ等の不正アクセス情報収集装置全体を制御する演算制御手段、１７はハニーネットを介して通信を行う通信手段、１８はハードディスク、ＲＯＭやＲＡＭ等の記憶手段、１９はＣＲＴ（Cathode Ray Tube）やＬＣＤ（Liquid Crystal Display）等の表示手段である。また、１５，１６，１７，１８及び１９は不正アクセス情報収集装置５１を構成している。
【００４８】
通信手段１５はインターネット１００（図示せず）に相互に接続されると共に入出力が演算制御手段１６に相互に接続される。一方、通信手段１７はハニーネット（図示せず）に相互に接続されると共に入出力が演算制御手段１６に相互に接続される。また、記憶手段１８の入出力もまた演算制御手段１６に相互に接続され、演算制御手段１６の表示出力が表示手段１９に接続される。
【００４９】
ここで、図１に示す実施例の動作を図３，図４，図５，図６，図７，図８，図９，図１０，図１１及び図１２を用いて説明する。
【００５０】
図３はグローバルアドレスの割り当てを説明する説明図、図４は演算制御手段１６のインバウンド通信（インターネット側からパケットの受信）時の動作を説明するフロー図、図５はインバウンド通信時の動作を説明する説明図、図６は記録されるパケットの構成を説明する説明図、図７，図８，図１１及び図１２は記録されるパケットの一例を説明する説明図、図９は演算制御手段１６のアウトバウンド通信（ハニーネット側からパケットの受信）時の動作を説明するフロー図、図１０はアウトバウンド通信時の動作を説明する説明図である。
【００５１】
先ず、ハニーネットを構成する各ハニーポット１１，１２及び１３にはそれぞれプライベートＩＰ（Internet Protocol）アドレス（以下、単にプライベートアドレスと呼ぶ。）が割り当てられ、不正アクセス情報収集装置５１の記憶手段１８には各ハニーポット１１，１２及び１３のプライベートアドレスと当該プライベートアドレスに割り当てられたグローバルアドレスとの関係が登録されたルーティングテーブルが予め格納されている。
【００５２】
図３はこのようなルーティングテーブルの一例を示しており、例えば、プライベートアドレス”１９２．１６８．０．１”にはグローバルアドレス”２１０．２２０．２３０．２４０”及び”２１０．２２０．２３０．２４３”が割り当てられている。
【００５３】
また、例えば、プライベートアドレス”１９２．１６８．０．２”にはグローバルアドレス”２１０．２２０．２３０．２４１”、”２１０．２２０．２３０．２４２”及び”２１０．２２０．２３０．２４４”が割り当てられている。
【００５４】
さらに、不正アクセス情報収集装置５１の記憶手段１８にはアウトバウンド通信時の送信先グローバルアドレスに対するパケットのインターネット側への転送、或いは、パケットの破棄等の制限情報が設定された通信制御リストが予め格納されている。
【００５５】
インバウンド通信（インターネット側からパケットの受信）時、図４中”Ｓ２０１”において演算制御手段１６は、通信手段１５を介してインターネット側の端末１からパケットを受信したか否かを判断する。
【００５６】
例えば、グローバルアドレスが”２１０．２２０．２３０．２３０”である端末１から送信先グローバルアドレスが”２１０．２２０．２３０．２４０”である図５中”ＰＣ２１”に示すようなパケットが不正アクセス情報収集装置１１に送信された場合を想定する。また、この時、ハニーポット１４のプライベートアドレスは”１９２．１６８．０．１”であるとする。
【００５７】
図４中”Ｓ２０１”において通信手段１５を介してインターネット側の端末１からパケットを受信したと判断した場合、図４中”Ｓ２０２”において演算制御手段１６は、受信したパケットを記憶手段１８に記録すると共に記録されたパケットのペイロードに検知ポイント識別子及び送信先グローバルアドレスと送信先ポート番号を書き込む。
【００５８】
例えば、記憶手段に記録されたパケットは図６中”ＨＤ３１”に示すヘッダ部分の図６中”ＳＡ３１”及び”ＤＡ３１”に示す部分には送信元アドレス（Source Address）と送信先アドレス（Destination Address）が格納されており、図６中”ＰＬ３１”に示すペイロード部分の図６中”ＩＤ３１”に示す部分に検知ポイント識別子が書き込まれ、図６中”ＢＮ３１”に示す部分に送信先グローバルアドレスと送信先ポート番号（パケットのペイロード部分に記載されている）が書き込まれる。
【００５９】
すなわち、グローバルアドレスが”２１０．２２０．２３０．２３０”である端末１から受信した送信先グローバルアドレスが”２１０．２２０．２３０．２４０”であるパケットは、図７中（ａ）に示すような情報が書き込まれており、図４中”Ｓ２０２”のステップにより演算制御手段１６は、図７中（ｂ）に示すような情報をペイロード部分に書き込み記憶手段１８に記録する。
【００６０】
例えば、図７中”ＩＤ４１”に示す部分には検知ポイント識別子として”１”が書き込まれ、図７中”ＢＮ４１”に示す部分には図７中”ＤＡ３１”に示す部分に格納されているグローバルアドレスが書き込まれる。
【００６１】
ちなみに、検知ポイント識別子”１”はインターネット側からパケットを受信した時点を示している。
【００６２】
次に、図４中”Ｓ２０３”において演算制御手段１６は、送信先グローバルアドレスが記憶手段９に予め格納されているルーティングテーブルに登録されているか否かを検索する。
【００６３】
図４中”Ｓ２０４”において演算制御手段１６は、当該グローバルアドレスがルーティングリストに存在すると判断した場合には、図４中”Ｓ２０５”において演算制御手段１６は、受信したパケットの送信先アドレスを図３に示すルーティングテーブルに基づきプライベートアドレスに書き換える。
【００６４】
また、図４中”Ｓ２０６”において演算制御手段１６は、図４中”Ｓ２０２”のステップで記録されたパケットの送信先アドレスを図３に示すルーティングテーブルに基づきプライベートアドレスに書き換えた上で記憶手段１８に記録すると共に記録されたパケットのペイロードに検知ポイント識別子を書き込む。
【００６５】
すなわち、図４中”Ｓ２０２”のステップで記録されたパケットは、図８中（ａ）に示すような情報が書き込まれており、図４中”Ｓ２０６”のステップにより演算制御手段１６は、図８中（ｂ）に示すような情報をヘッダ部分及びペイロード部分に書き込み記憶手段１８に記録する。
【００６６】
例えば、図８中”ＤＡ５１”に示す部分はルーティングテーブルに基づきプライベートアドレス”１９２．１６８．０．１”に書き換えられ、図８中”ＩＤ５１”に示す部分には検知ポイント識別子として”２”が書き込まれる。
【００６７】
ちなみに、検知ポイント識別子”２”はプライベートアドレスに書き換えられた時点を示している。
【００６８】
図４中”Ｓ２０７”において演算制御手段１６は、通信手段１７を介してハニーネット側の当該プライベートアドレスのハニーポットに、ルーティングテーブルに基づきプライベートアドレスに書き換えられた受信パケットを転送する。
【００６９】
例えば、受信パケットは図５中”ＣＡ２１”に示すようにプライベートアドレスに書き換えられ、図５中”ＰＣ２２”に示すようにハニーポット１４に転送される。
【００７０】
一方、図４中”Ｓ２０４”において送信先グローバルアドレスがルーティングリストに存在しないと判断した場合には、言い換えれば、転送すべきグローバルアドレス（実際はプライベートアドレス）のハニーポットが存在しない場合には、図４中”Ｓ２０８”において演算制御手段１６は、受信したパケットを破棄する。
【００７１】
また、アウトバウンド通信（ハニーネット側からパケットの受信）時、図９中”Ｓ３０１”において演算制御手段１６は、通信手段１７を介してハニーネット側の或るハニーポットからパケットを受信したか否かを判断する。
【００７２】
例えば、プライベートアドレスが”１９２．１６８．０．１”であるハニーポット１４から送信先グローバルアドレスが”２１０．２２０．２３０．２３０”である図１０中”ＰＣ６１”に示すようなパケットが不正アクセス情報収集装置１１に送信された場合を想定する。
【００７３】
また、この時、不正アクセス情報収集装置１１は、ハニーポット１４のプライベートアドレスに割り当てられたグローバルアドレスのなかで”２１０．２２０．２３０．２４０”を送信アドレスとしてインターネットにパケットを転送するものとする。
【００７４】
図９中”Ｓ３０１”において通信手段１７を介してハニーネット側の或るハニーポットからパケットを受信したと判断した場合、図９中”Ｓ３０２”において演算制御手段１６は、送信元のプライベートアドレスに対する制限情報が通信制御リストに登録されているか否かを検索する。
【００７５】
図９中”Ｓ３０３”において演算制御手段１６は、送信元のプライベートアドレスに対する制限情報が通信制御リストに存在しないと判断した場合には、図９中”Ｓ３０４”において演算制御手段１６は、受信したパケットを記憶手段１８に記録すると共に記録されたパケットのペイロードに検知ポイント識別子を書き込む。
【００７６】
すなわち、プライベートアドレスが”１９２．１６８．０．１”であるハニーポット１４から受信した送信先グローバルアドレスが”２１０．２２０．２３０．２３０”であるパケットは、図１１中（ａ）に示すような情報が書き込まれており、図９中”Ｓ３０４”のステップにより演算制御手段１６は、図１１中（ｂ）に示すような情報をペイロード部分に書き込み記憶手段１８に記録する。
【００７７】
例えば、図１１中”ＩＤ７１”に示す部分には検知ポイント識別子として”３”が書き込まれる。
【００７８】
ちなみに、検知ポイント識別子”３”はインターネット側にパケットを転送した時点を示している。
【００７９】
図９中”Ｓ３０５”において演算制御手段１６は、受信したパケットの送信元アドレスをグローバルアドレス”２１０．２２０．２３０．２４０”に書き換えると共に図９中”Ｓ３０６”において演算制御手段１６は、通信手段１５を介してインターネット側の送信先グローバルアドレスの端末に書き換え済みの受信パケットを転送する。
【００８０】
例えば、受信パケットは図１０中”ＣＡ６１”に示すように送信元アドレスをグローバルアドレスに書き換えられ、図１０中”ＰＣ６２”に示すように端末１に転送される。
【００８１】
一方、図９中”Ｓ３０３”において制限情報が通信制御リストに存在すると判断した場合には、言い換えれば、当該送信元のプライベートアドレスからの送信を制限する場合には、図９中”Ｓ３０７”において演算制御手段１６は、受信したパケットを記憶手段１８に記録すると共に記録されたパケットのペイロードに検知ポイント識別子を書き込み、図９中”Ｓ３０８”において演算制御手段１６は、受信したパケットを破棄する。
【００８２】
すなわち、プライベートアドレスが”１９２．１６８．０．１”であるハニーポット１４から受信した送信先グローバルアドレスが”２１０．２２０．２３０．２３０”であるパケットは、図１２中（ａ）に示すような情報が書き込まれており、図９中”Ｓ３０７”のステップにより演算制御手段１６は、図１２中（ｂ）に示すような情報をペイロード部分に書き込み記憶手段１８に記録する。
【００８３】
例えば、図１２中”ＩＤ８１”に示す部分には検知ポイント識別子として”４”が書き込まれる。
【００８４】
ちなみに、検知ポイント識別子”４”はインターネット側にパケットを転送されずに破棄した時点を示している。
【００８５】
このような動作により、記憶手段１８には検知ポイント識別子等が付加されたパケットが格納されるので、不正アクセス情報を収集することが可能になる。
【００８６】
また、ハニーネットを構成する各ハニーポットにはプライベートアドレスを割り当て、ルーティングテーブルの設定によって当該プライベートアドレスに対して複数のグローバルアドレスを割り当てることにより、広範囲のアドレス空間における不正アクセス情報を収集する場合には、大量のハニーポット（ネットワーク機器やサーバ等）を用意する必要性がなくなり、広範囲のアドレス空間の不正アクセス情報を低コストで収集することが可能になる。
【００８７】
また、不正アクセス情報収集装置５１が予め設定された通信制御リストに基づきハニーネット側からインターネット側へのパケットの通信制御を行うことにより、不正アクセスされたハニーポットを他のネットワークに対する攻撃の踏み台に利用されること等を防止することができる。
【００８８】
この結果、インターネットとハニーネットとの間に不正アクセス情報収集装置を設けると共にハニーネットを構成する各ハニーポットにはプライベートアドレスを割り当て、ルーティングテーブルの設定によって当該プライベートアドレスに対して複数のグローバルアドレスを割り当てて受信したパケットを転送し、検知ポイント識別子を書き込んだパケットを記録し、設定された通信制御リストに基づきハニーネット側からインターネット側への通信制御を行うことにより、広範囲のアドレス空間の不正アクセス情報を低コストで収集することが可能であり、不正アクセスされたハニーポットを他のネットワークに対する攻撃の踏み台に利用されること等を防止することができる。
【００８９】
ここで、さらに、図１３，図１４，図１５及び図１６を用いてこのように記録された不正アクセス情報の表示方法について説明する。
【００９０】
図１３は表示画面の構成を説明する説明図、図１４は演算制御手段１６の不正アクセス情報表示時の動作を説明するフロー図、図１５及び図１６は不正アクセス情報の表示例を示す説明図である。
【００９１】
演算制御手段１６は、インターネット側の端末と不正アクセス情報収集装置との間の通信の状況、不正アクセス情報収集装置とハニーネット側のハニーポットとの間の通信の状況及びインターネット側の端末とハニーネット側のハニーポットとの間の通信の状況を三次元で可視化するめ、表示手段１９を制御して図１３に示すような構成の表示座標を設定する。
【００９２】
図１３に示す表示座標において、図１３中”ＩＮ９１”に示す面（以下、インターネット面と呼ぶ。）は、縦軸をＩＰアドレス、横軸をポート番号とした座標面であり、同様に、図１３中”ＮＩ９１”、”ＮＨ９１”及び”ＨＰ９１”に示す面（以下、インターネット側装置面、ハニーネット側装置面及びハニーネット面とそれぞれ呼ぶ。）もまた縦軸をＩＰアドレス、横軸をポート番号とした座標面である。
【００９３】
また、それぞれの縦軸のＩＰアドレス範囲としては、図１３中”ＩＮ９１”に示すインターネット面では、”０．０．０．０”〜”２５５．２５５．２５５．２５５”であり、図１３中”ＮＩ９１”及び”ＮＨ９１”に示すインターネット側装置面及びハニーネット側装置面では不正アクセス情報収集装置１０に割り当てられたグローバルアドレス（ルーティングテーブルに登録されているグローバルアドレス）の”最小ＩＰアドレス”〜”最大ＩＰアドレス”である。
【００９４】
同様に、図１３中”ＨＰ９１”に示すハニーネット面では個々のハニーポットに割り当てられたプライベートアドレス（ルーティングテーブルに登録されているプライベートアドレス）の”最小ＩＰアドレス”〜”最大ＩＰアドレス”である。
【００９５】
一方、それぞれの横軸のポート番号範囲としては、図１３中”ＩＮ９１”，”ＮＩ９”，”ＮＨ９１”及び”ＨＰ９１”に示すインターネット面、インターネット側装置面、ハニーネット側装置面及びハニーネット面ではそれぞれ”０”〜”６５５３５”である。
【００９６】
すなわち、演算制御手段１６は以下に説明する動作により、図１３中”ＩＮ９１”に示すインターネット面と、図１３中”ＮＩ９１”に示すインターネット側装置面との間でインターネット側の端末と不正アクセス情報収集装置との間の通信の状況を三次元で可視化し、図１３中”ＮＨ９１”に示すハニーネット側装置面と、図１３中”ＨＰ９１”に示すハニーネット面との間でと不正アクセス情報収集装置とハニーネット側のハニーポットとの間の通信の状況を三次元で可視化する。
【００９７】
さらに、図１３中”ＩＮ９１”に示すインターネット面と、図１３中”ＨＰ９１”に示すハニーネット面との間でとインターネット側の端末とハニーネット側のハニーポットとの間の通信の状況を三次元で可視化する。
【００９８】
但し、説明の簡単のために以下の動作説明では横軸であるポート番号に関する説明は適宜省略する。
【００９９】
図１４中”Ｓ４０１”において演算制御手段１６は、記憶手段１８から先のイントバウンド通信時やアウトバウンド通信時において記録したパケットを読み出し、図１４中”Ｓ４０２”において演算制御手段１６は、読み出したパケットから検知ポイント識別子を抽出する。
【０１００】
例えば、記憶手段１８に記憶されているパケットの図６中”ＩＤ３１”に示す部分には検知ポイント識別子が書き込まれているので、読み出したパケットの図６中”ＩＤ３１”に示す部分から検知ポイント識別子を抽出する。
【０１０１】
図１４中”Ｓ４０３”において演算制御手段１６は、抽出した検知ポイント識別子が”１”、言い換えれば、インターネット側からパケットを受信した時点であるか否かを判断し、もし、検知ポイント識別子が”１”であれば、図１４中”Ｓ４０４”において演算制御手段１６は、インターネット面とインターネット側装置面との間を描画する。
【０１０２】
検知ポイント識別子が”１”であれば、読み出されたパケットは、例えば、図７（ｂ）に示すようになるので、演算制御手段１６は、図７中”ＳＡ４１”に示す送信元アドレスをインターネット面の座標に表示し、図７中”ＤＡ４１”に示す送信先アドレスをインターネット側装置面の座標に表示すると共に２つの点を線分で結ぶように描画する。
【０１０３】
具体的には、インターネット側からＩＰアドレス”２１０．２２０．２３０．２４０”のポート番号”８０”へのアクセスがあった場合、図１５（ａ）に示すようにインターネット面とインターネット側装置面との間を、図１５中”ＬＮ１０１”に示すような線分で結ぶように描画する。
【０１０４】
図１４中”Ｓ４０３”で抽出した検知ポイント識別子が”１”、言い換えれば、インターネット側からパケットを受信した時点ではないと判断した場合、図１４中”Ｓ４０５”において演算制御手段１６は、抽出した検知ポイント識別子が”２”、言い換えれば、プライベートアドレスに書き換えられた時点であるか否かを判断し、もし、検知ポイント識別子が”２”であれば、図１４中”Ｓ４０６”において演算制御手段１６は、ハニーネット側装置面とハニーネット面との間を描画する。
【０１０５】
検知ポイント識別子が”２”であれば、読み出されたパケットは、例えば、図８（ｂ）に示すようになるので、演算制御手段１６は、図８中”ＢＮ５１”に示す書き換え前の送信先グローバルアドレスをハニーネット側装置面の座標に表示し、図８中”ＤＡ５１”に示す書き換えられたプライベートアドレスをハニーネット面の座標に表示すると共に２つの点を線分で結ぶように描画する。
【０１０６】
具体的には、ＩＰアドレス（グローバルアドレス）”２１０．２２０．２３０．２４０”がプライベートアドレス”１９２．１６８．０．１”に割り当てられていた場合、図１５（ｂ）に示すようにハニーネット側装置面とハニーネット面との間を、図１５中”ＬＮ１０２”に示すような線分で結ぶように描画する。ちなみに、この時、インターネット側装置面とハニーネット側装置面の座標位置は同一であり、インターネット側装置面、ハニーネット側装置面及びハニーネット面のポート番号”８０”は同じである。
【０１０７】
図１４中”Ｓ４０５”で抽出した検知ポイント識別子が”２”、言い換えれば、プライベートアドレスに書き換えられた時点ではないと判断した場合、図１４中”Ｓ４０７”において演算制御手段１６は、抽出した検知ポイント識別子が”３”、言い換えれば、インターネット側にパケットを転送した時点であるか否かを判断し、もし、検知ポイント識別子が”３”であれば、図１４中”Ｓ４０８”において演算制御手段１６は、ハニーネット面とインターネット面との間を描画する。
【０１０８】
検知ポイント識別子が”３”であれば、読み出されたパケットは、例えば、図１１（ｂ）に示すようになるので、演算制御手段１６は、図１１中”ＳＡ７１”に示す送信元アドレスをハニーネット面の座標に表示し、図１１中”ＤＡ７１”に示す送信先アドレスをインターネット面の座標に表示すると共に２つの点を線分で結ぶように描画する。
【０１０９】
具体的には、ハニーネット側からＩＰアドレス（グローバルアドレス）”２１０．２２０．２３０．２４０”のポート番号”３５０００”にアクセスする場合、図１５（ｃ）に示すようにハニーネット面とインターネット面との間を、図１５中”ＬＮ１０３”に示すような線分で結ぶように描画する。
【０１１０】
図１４中”Ｓ４０７”で抽出した検知ポイント識別子が”３”、言い換えれば、インターネット側にパケットを転送した時点ではないと判断した場合、図１４中”Ｓ４０９”において演算制御手段１６は、抽出した検知ポイント識別子が”４”、言い換えれば、インターネット側にパケットを転送されずに破棄した時点であるか否かを判断し、もし、検知ポイント識別子が”４”であれば、図１４中”Ｓ４１０”において演算制御手段１６は、ハニーネット面とハニーネット側装置面との間を描画する。
【０１１１】
検知ポイント識別子が”４”であれば、読み出されたパケットは、例えば、図１２（ｂ）に示すようになるので、演算制御手段１６は、図１２中”ＳＡ８１”に示す送信元アドレスをハニーネット面の座標に表示し、図１２中”ＤＡ８１”に示す送信先アドレスをハニーネット側装置面の座標に表示すると共に２つの点を線分で結ぶように描画する。
【０１１２】
具体的には、プライベートアドレスが”１９２．１６８．０．２”のボットに感染したハニーポットから制限情報が設定されたプライベートアドレスが”１９２．１６８．０．２”からグローバルアドレス（ポート番号は”６６６７”）へアクセスする場合、パケットは不正アクセス情報収集装置で破棄されるので、図１６（ａ）に示すようにハニーネット面とハニーネット側装置面との間を、図１６中”ＬＮ１１１”に示すような線分で結ぶように描画する。
【０１１３】
最後に、図１４中”Ｓ４０９”で抽出した検知ポイント識別子が”４”、言い換えれば、インターネット側にパケットを転送されずに破棄した時点ではないと判断した場合、図１４中”Ｓ４０１”のステップに戻る。
【０１１４】
ちなみに、図１６（ｂ）に示す状況はプライベートアドレスが”１９２．１６８．０．２”のボットに感染したハニーポットから制限情報が設定されたプライベートアドレスが”１９２．１６８．０．２”からグローバルアドレス（ポート番号は”６６６７”）へのアクセスを１回のみ許可した場合の状況を、図１６（ｃ）はその後、制限情報が設定されたプライベートアドレスが”１９２．１６８．０．２”からグローバルアドレス（ポート番号は”６６６７”）との間の通信の状況を示している。
【０１１５】
この結果、演算制御手段が、検知ポイント識別子等を付加した記録されたパケットに基づきインターネット面とインターネット側装置面との間を線分で描画し、ハニーネット側装置面とハニーネット面との間を線分で描画し、或いは、インターネット面とハニーネット面との間を線分で描画することにより、各装置間の通信の状況を三次元で表示することができるので、動作解析を容易に行うことができる。
【０１１６】
なお、図１に示す実施例の説明に際しては、不正アクセス情報収集装置１０が記録ざれたパケットに基づき各装置間の通信の状況を三次元で表示していたが、インターネット１００に接続された管理端末１４が不正アクセス情報収集装置１０から記録されたパケットを取得して管理端末１４の表示手段に各装置間の通信の状況を三次元で表示しても構わない。
【０１１７】
この場合には、管理端末１４で描画処理を行うことになるので、不正アクセス情報収集装置１０の描画処理の負荷を低減できる。
【０１１８】
また、図１に示す実施例の説明に際しては、ルーティングテーブルにおいて複数のプライベートアドレスに対してそれぞれ複数のグローバルアドレスを割り当てているが、１個のプライベートアドレスに対して複数のグローバルアドレスを割り当てても構わず、プライベートアドレスに対するグローバルアドレスを割り当て方は自由である。
【０１１９】
また、図１に示す実施例の説明に際しては、特に、各装置間の通信の状況を三次元で表示することに関しては、不正アクセス情報収集装置の表示面をインターネット側装置面及びハニーネット側装置面と２つに分けて説明しているが、前述の通りインターネット側装置面とハニーネット側装置面の座標位置は同一であるので、１枚の装置面で表示しても構わない。
【０１２０】
また、図１に示す実施例の説明に際しては、特に、各装置間の通信の状況を三次元で表示することに関しては、各面の間を結ぶ線分をパケットのプロトコル種別やＴＣＰ（Transmission Control Protocol）フラグ等で分類して色分け表示しても構わない。
【０１２１】
この場合には、直感的に各装置間を伝播するパケットのプロトコル種別等を色により分離して観察することができるので、動作解析をより容易に行うことができる。
【０１２２】
また、図１に示す実施例の説明に際しては、特に、各装置間の通信の状況を三次元で表示することに関しては、ただ単純に各面の間を線分で結ぶように描画しているが、パケットの伝播方向に向かって当該線分をなぞるようにマーカを移動させても構わない。
【０１２３】
ちなみに、当該マーカとしては、当該線分よりも太く短い線分、任意の図形等の任意の形状であれば何であっても構わない。さらに、当該マーカの輝度を周囲の輝度よりも上げる（具体的には、周囲の輝度とは異なる輝度にする）ことにより視認性が向上する。
【０１２４】
この場合には、線分上をなぞるようにマーカがパケットの伝播方向に向かって移動するので、パケットの伝播方向を直感的に把握することが可能になる。
【０１２５】
また、図１に示す実施例の説明に際しては、特に、各装置間の通信の状況を三次元で表示することに関しては、表示座標において、インターネット面等の座標面の縦軸をＩＰアドレス、横軸をポート番号と例示したが、勿論、逆であっても構わない。
【０１２６】
また、図１に示す実施例の説明に際しては、特に、各装置間の通信の状況を三次元で表示することに関しては、線分等の描画の後、一定時間が経過した後に線分等の描画を消しても構わない。
【０１２７】
この場合には、時々刻々と変化するパケットの挙動を直感的に把握することが可能になる。
【０１２８】
また、図３の説明に際しては、ルーティングテーブルにより各ハニーポットにプライベートアドレスを割り当てているが、勿論、各ハニーポットにグローバルアドレスを割り当てても構わない。
【０１２９】
また、インターネットに接続された管理端末から不正アクセス情報収集装置のルーティングテーブルを動的に変更しても構わない。さらに、インターネットに接続された管理端末から不正アクセス情報収集装置の通信制限リストを動的に変更しても構わない。
【０１３０】
また、ルーティングテーブルに格納する情報としてはＩＰアドレスにのみならず、ポート番号や通信プロトコルを含めて各ハニーポットにＩＰ等を割り当てても構わない。
【０１３１】
また、図１に示す実施例の説明に際しては、不正アクセス情報収集装置にはグローバルアドレスを割り当てているが、勿論、プライベートアドレスを割り当てても構わない。
【０１３２】
また、図１に示す実施例の説明に際しては、通信（ハニーネット側からパケットの受信）時では、送信元のプライベートアドレスに対する制限情報が通信制御リストに登録されているか否かにより、通信制御を行っているが、送信元のプライベートアドレス及び送信元のポート番号に基づき通信制御を行っても構わない。
【０１３３】
また、図１に示す実施例の説明に際しては、特に、各装置間の通信の状況を三次元で表示することに関しては、ポート番号を割り当てた軸を対数軸で表示しても構わない。この場合には、よく知られているポート番号（０〜１０２３）へのアクセスが認識しやすくなる。
【０１３４】
また、図１に示す実施例の説明に際しては、特に、各装置間の通信の状況を三次元で表示することに関しては、送信先のＩＰアドレスのバイトオーダでエンディアン変換して表示させても構わない。
【０１３５】
例えば、送信先のＩＰアドレスが”２１０．２２０．２３０．２４０”であった場合、”２４０．２３０．２２０．２１０”に変換して表示させる。
【０１３６】
この場合には、ハニーポットがＩＰアドレスに対して連続的にスキャンした場合、表示される線分が互いに重なることなく分離して表示されることになるので、視認性が向上することになる。
【図面の簡単な説明】
【０１３７】
【図１】本発明に係る不正アクセス情報収集システムの一実施例を示す構成ブロック図である。
【図２】不正アクセス情報収集手段の具体例を示す構成ブロック図である。
【図３】グローバルアドレスの割り当てを説明する説明図である。
【図４】演算制御手段のインバウンド通信時の動作を説明するフロー図である。
【図５】インバウンド通信時の動作を説明する説明図である。
【図６】記録されるパケットの構成を説明する説明図である。
【図７】記録されるパケットの一例を説明する説明図である。
【図８】記録されるパケットの一例を説明する説明図である。
【図９】演算制御手段のアウトバウンド通信時の動作を説明するフロー図である。
【図１０】アウトバウンド通信時の動作を説明する説明図である。
【図１１】記録されるパケットの一例を説明する説明図である。
【図１２】記録されるパケットの一例を説明する説明図である。
【図１３】表示画面の構成を説明する説明図である。
【図１４】演算制御手段の不正アクセス情報表示時の動作を説明するフロー図である。
【図１５】不正アクセス情報の表示例を示す説明図である。
【図１６】不正アクセス情報の表示例を示す説明図である。
【図１７】従来の不正アクセス情報収集システムの一例を示す構成ブロック図である。
【図１８】不正アクセス情報収集手段の具体例を示す構成ブロック図である。
【図１９】演算制御手段のインバウンド通信時の動作を説明するフロー図である。
【図２０】インバウンド通信時の動作を説明する説明図である。
【図２１】演算制御手段のアウトバウンド通信時の動作を説明するフロー図である。
【図２２】アウトバウンド通信時の動作を説明する説明図である。
【図２３】ログファイルに記録されるパケットの情報の一例を示す説明図である。
【符号の説明】
【０１３８】
１  端末
２，１０，５０，５１  不正アクセス情報収集装置
３，４，５，１１，１２，１３  ハニーポット
６，８，１５，１７  通信手段
７，１６  演算制御手段
９，１８  記憶手段
１４  管理端末
１９  表示手段
１００  インターネット
【図１】
2008172548.tif 000003
【図２】
2008172548.tif 000004
【図３】
2008172548.tif 000005
【図４】
2008172548.tif 000006
【図５】
2008172548.tif 000007
【図６】
2008172548.tif 000008
【図７】
2008172548.tif 000009
【図８】
2008172548.tif 000010
【図９】
2008172548.tif 000011
【図１０】
2008172548.tif 000012
【図１１】
2008172548.tif 000013
【図１２】
2008172548.tif 000014
【図１３】
2008172548.tif 000015
【図１４】
2008172548.tif 000016
【図１５】
2008172548.tif 000017
【図１６】
2008172548.tif 000018
【図１７】
2008172548.tif 000019
【図１８】
2008172548.tif 000020
【図１９】
2008172548.tif 000021
【図２０】
2008172548.tif 000022
【図２１】
2008172548.tif 000023
【図２２】
2008172548.tif 000024
【図２３】
2008172548.tif 000025