(57)【要約】【課題】攻撃パケットによる攻撃から対処までにかかる時間を短時間にすると共に、攻撃の証跡を確実に保持することができるようにする。【解決手段】本発明のトラフィック異常検出システムは、各外部ネットワークとの間で授受される通信パケットを中継する１又は複数の中継手段と、各中継手段の通過履歴を保持する１又は複数のパケット情報保持手段と、攻撃パケットの流入を検出する攻撃検出手段と、攻撃が検出された場合、攻撃パケットが各中継手段を通過したか否かを問い合わせるパケット通過問合せ手段と、問い合わせを受けて、パケット情報保持手段の通信履歴を参照して、各中継手段での攻撃パケットの通過を検出するパケット通過検出手段と、パケット通過検出手段からの各中継手段での攻撃パケットの通過有無の検出結果に基づいて、攻撃パケットの侵入口となった中継手段を特定する侵入口特定手段とを備える。【選択図】      図１
2008211464.tif 000002
【特許請求の範囲】
【請求項１】
１又は複数の外部ネットワークから当該ネットワークに流入してきた攻撃パケットによる当該ネットワークの異常を検出するネットワーク異常検出システムにおいて、
当該ネットワークと上記各外部ネットワークとの間に設けられるものであって、上記各外部ネットワークとの間で授受される通信パケットを中継する１又は複数の中継手段と、
それぞれ対応する上記中継手段を通過する全ての通信パケットを取り込み、上記各中継手段を通過した上記各通信パケットのパケット情報を通過履歴として保持する１又は複数のパケット情報保持手段と、
上記攻撃パケットの流入を検出する攻撃検出手段と、
上記攻撃検出手段により上記攻撃パケットによる攻撃が検出された場合、上記攻撃パケットが上記各中継手段を通過したか否かを問い合わせるパケット通過問合せ手段と、
上記パケット通過問合せ手段から上記問い合わせを受けると、上記パケット情報保持手段の有する上記各中継手段の上記通信履歴を参照して、上記各中継手段での上記攻撃パケットの通過を検出するパケット通過検出手段と、
上記パケット通過検出手段からの、上記各中継手段での上記攻撃パケットの通過有無の検出結果に基づいて、上記攻撃パケットの侵入口となった上記中継手段を特定する侵入口特定手段と
を備えることを特徴とするネットワーク異常検出システム。
【請求項２】
上記侵入口特定手段により上記攻撃パケットの侵入口が特定されると、その侵入口の上記中継手段を通過する上記攻撃パケットの流入を抑制命令する抑制命令手段と、
上記抑制命令手段からの抑制命令を受けて、上記中継手段に対して、上記攻撃パケットの流入を抑制するフィルタを設定させるフィルタ設定手段と
を備えることを特徴とする請求項１に記載のネットワーク異常検出システム。
【請求項３】
上記各パケット情報保持手段の上記通過履歴の保持とは別に、ログモードが作動中に、上記各中継手段を通過する通過履歴を記憶する拡張記憶手段と、
上記攻撃検出手段により上記攻撃パケットによる攻撃が検出された場合、上記ログモードを作動させ、上記各中継手段を通過する通過履歴を上記拡張記憶手段に記憶させる通過履歴記憶制御手段と
を備えることを特徴とする請求項１又は２に記載のネットワーク異常検出システム。
【請求項４】
上記各パケット情報保持手段の上記各中継手段の上記通過履歴を参照し、統計対象設定テーブルから選定した統計対象情報をキーとして、上記各中継手段を通過するトラフィックフローの統計情報を集計する１又は複数の統計手段を備え、
上記攻撃検出手段が、上記各統計手段から周期的に受け取った上記中継手段を通過するトラフィックフローの上記統計情報に基づいて攻撃を検出する
ことを特徴とする請求項１〜３のいずれかに記載のネットワーク異常検出システム。
【請求項５】
上記各統計手段の上記統計対象設定テーブルに設定されている複数の統計対象情報の内容を一元管理すると共に、上記各統計手段を一括して、上記統計対象情報の内容を更新させる統計対象管理手段を備えることを特徴とする請求項４に記載のネットワーク異常検出システム。
【請求項６】
上記攻撃検出手段が、攻撃パケットを検出する他システムが保持するセキュリティログ情報を受け取り、上記セキュリティログ情報に基づいて攻撃を検出することを特徴とする請求項１〜５のいずれかに記載のネットワーク異常検出システム。
【請求項７】
１又は複数の外部ネットワークのそれぞれと当該ネットワークとの間に１又は複数の中継手段を備え、上記各外部ネットワークのいずれかから当該ネットワークに流入してきた攻撃パケットによる当該ネットワークの異常を検出するネットワーク異常検出システムを構成するトラフィック情報観測装置において、
それぞれ対応する上記中継手段を通過する全ての通信パケットを取り込み、上記各中継手段を通過した上記各通信パケットのパケット情報を通過履歴として保持するパケット情報保持手段と、
外部のトラフィック情報管理装置から、上記攻撃パケットが上記各中継手段を通過した否かの問い合わせを受けると、上記パケット情報保持手段の有する上記各中継手段の上記通信履歴を参照して、上記各中継手段での上記攻撃パケットの通過を検出するパケット通過検出手段と
を備えることを特徴とするトラフィック情報観測装置。
【請求項８】
１又は複数の外部ネットワークのそれぞれと当該ネットワークとの間に１又は複数の中継手段を備え、上記各外部ネットワークのいずれかから当該ネットワークに流入してきた攻撃パケットによる当該ネットワークの異常を検出するネットワーク異常検出システムを構成するトラフィック情報管理装置において、
上記攻撃パケットの流入を検出する攻撃検出手段と、
上記攻撃検出手段により上記攻撃パケットによる攻撃が検出された場合、外部の１又は複数の全トラフィック情報観測装置に対して、上記攻撃パケットが上記各中継手段を通過したか否かを問い合わせるパケット通過問合せ手段と、
上記全トラフィック情報観測装置からの、上記各中継手段での上記攻撃パケットの通過有無の検出結果に基づいて、上記攻撃パケットの侵入口となった上記中継手段を特定する侵入口特定手段と
を備えることを特徴とするトラフィック情報管理装置。
【請求項９】
１又は複数の外部ネットワークのそれぞれと当該ネットワークとの間に１又は複数の中継手段を備え、上記各外部ネットワークのいずれかから当該ネットワークに流入してきた攻撃パケットによる当該ネットワークの異常を検出するネットワーク異常検出システムを構成するトラフィック情報観測装置を、
それぞれ対応する上記中継手段を通過する全ての通信パケットを取り込み、上記各中継手段を通過した上記各通信パケットのパケット情報を通過履歴として保持するパケット情報保持手段、
外部のトラフィック情報管理装置から、上記攻撃パケットが上記各中継手段を通過した否かの問い合わせを受けると、上記パケット情報保持手段の有する上記各中継手段の上記通信履歴を参照して、上記各中継手段での上記攻撃パケットの通過を検出するパケット通過検出手段
として機能させるためのトラフィック情報観測プログラム。
【請求項１０】
１又は複数の外部ネットワークのそれぞれと当該ネットワークとの間に１又は複数の中継手段を備え、上記各外部ネットワークのいずれかから当該ネットワークに流入してきた攻撃パケットによる当該ネットワークの異常を検出するネットワーク異常検出システムを構成するトラフィック情報管理装置を、
上記攻撃パケットの流入を検出する攻撃検出手段、
上記攻撃検出手段により上記攻撃パケットによる攻撃が検出された場合、外部の１又は複数の全トラフィック情報観測装置に対して、上記攻撃パケットが上記各中継手段を通過したか否かを問い合わせるパケット通過問合せ手段、
上記全トラフィック情報観測装置からの、上記各中継手段での上記攻撃パケットの通過有無の検出結果に基づいて、上記攻撃パケットの侵入口となった上記中継手段を特定する侵入口特定手段
として機能させるためのトラフィック情報管理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラフィック異常検出システム、トラフィック情報観測装置、トラフィック情報管理装置、トラフィック情報観測プログラム、及び、トラフィック情報管理プログラムに関し、例えば、広域ネットワークにおけるトラフィック異常を検出するトラフィック異常検出システムに適用し得る。
【背景技術】
【０００２】
近年、ネットワーク技術の発展に伴い、その重要性が高まり、ネットワークシステムが社会基盤として浸透している。その一方で、高度化・複雑化した新しいウィルスが日々発生しており、ウィルス感染等の脅威がネットワーク障害を引き起こし、その被害はネットワークの規模に応じて大きくなる。そこで、ネットワークのトラフィックを監視し、異常を検出するシステムが強く望まれている。
【０００３】
従来、ネットワークにおける異常を検出するシステムとして、例えば、特許文献１に示すような技術もある。
【０００４】
特許文献１に記載の技術は、分散型サービス拒絶攻撃（ＤＤＯＳ；Distributed  Denial  Of  Service  Attack）に対処するセキュリティ技術である。具体的には、複数のボーダルータが、それぞれの通信網に流入するＴＣＰ−ＳＹＮ（コネクション確立要求）パケットを監視し、同一宛先のＴＣＰ−ＳＹＮパケットの個数を計数すると共に、他のボーダルータに対して計数結果を通知する。そして、各ボーダルータは、同一宛先の計数結果を集計し、所定時間内の増加率が閾値を超えるときにＤＤＯＳ攻撃であると判断し、当該パケットの流入を抑制するというものである。
【０００５】
【特許文献１】特開２００３−２８９３３７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来のトラフィック異常検出方法は、何かしらのインシデントが発生したタイミングでトラフィック異常を検出するものである。そのため、その原因究明や対策等については、その後に開始することになり、攻撃から対処までの時間を要してしまうという問題があった。
【０００７】
ここで、トラフィック異常検出のためのインシデントとしては、例えば、保護対象ホスト装置のパフォーマンスの低下やサービス提供の不能や、トラフィック過負荷によるアクセス能力の低下等の具体的な影響の感知や、また例えば、侵入検知システム（ＩＤＳ；Intrusion  Detection  System）やファイアウォール等のセキュリティシステムを使用した攻撃パターンの検知等がある。
【０００８】
また、攻撃の事実が判明した時点では、既に監査証跡が廃棄されており、発生源を究明する手段がない、監査証跡を確実に取得保存するために、膨大な記憶領域の資源を整備しなければならない、などの問題もあった。
【０００９】
そのため、攻撃パケットによる攻撃から対処までにかかる時間を短時間にすると共に、攻撃の証跡を確実に保持することができる、トラフィック異常検出システム、トラフィック情報観測装置、トラフィック情報管理装置、トラフィック情報観測プログラム、及び、トラフィック情報管理プログラムが求められている。
【課題を解決するための手段】
【００１０】
かかる課題を解決するために、第１の本発明のトラフィック異常検出システムは、１又は複数の外部ネットワークから当該ネットワークに流入してきた攻撃パケットによる当該ネットワークの異常を検出するネットワーク異常検出システムにおいて、（１）当該ネットワークと各外部ネットワークとの間に設けられるものであって、各外部ネットワークとの間で授受される通信パケットを中継する１又は複数の中継手段と、（２）それぞれ対応する中継手段を通過する全ての通信パケットを取り込み、各中継手段を通過した各通信パケットのパケット情報を通過履歴として保持する１又は複数のパケット情報保持手段と、（３）攻撃パケットの流入を検出する攻撃検出手段と、（４）攻撃検出手段により攻撃パケットによる攻撃が検出された場合、攻撃パケットが各中継手段を通過したか否かを問い合わせるパケット通過問合せ手段と、（５）パケット通過問合せ手段から問い合わせを受けると、パケット情報保持手段の有する各中継手段の通信履歴を参照して、各中継手段での攻撃パケットの通過を検出するパケット通過検出手段と、（６）パケット通過検出手段からの、各中継手段での攻撃パケットの通過有無の検出結果に基づいて、攻撃パケットの侵入口となった中継手段を特定する侵入口特定手段とを備えることを特徴とする。
【００１１】
第２の本発明のトラフィック情報観測装置は、１又は複数の外部ネットワークのそれぞれと当該ネットワークとの間に１又は複数の中継手段を備え、各外部ネットワークのいずれかから当該ネットワークに流入してきた攻撃パケットによる当該ネットワークの異常を検出するネットワーク異常検出システムを構成するトラフィック情報観測装置において、（１）それぞれ対応する中継手段を通過する全ての通信パケットを取り込み、各中継手段を通過した各通信パケットのパケット情報を通過履歴として保持するパケット情報保持手段と、（２）外部のトラフィック情報管理装置から、攻撃パケットが各中継手段を通過した否かの問い合わせを受けると、パケット情報保持手段の有する各中継手段の通信履歴を参照して、各中継手段での攻撃パケットの通過を検出するパケット通過検出手段とを備えることを特徴とする。
【００１２】
第３の本発明のトラフィック情報管理装置は、１又は複数の外部ネットワークのそれぞれと当該ネットワークとの間に１又は複数の中継手段を備え、各外部ネットワークのいずれかから当該ネットワークに流入してきた攻撃パケットによる当該ネットワークの異常を検出するネットワーク異常検出システムを構成するトラフィック情報管理装置において、（１）攻撃パケットの流入を検出する攻撃検出手段と、（２）攻撃検出手段により攻撃パケットによる攻撃が検出された場合、外部の１又は複数の全トラフィック情報観測装置に対して、攻撃パケットが各中継手段を通過したか否かを問い合わせるパケット通過問合せ手段と、（３）全トラフィック情報観測装置からの、各中継手段での攻撃パケットの通過有無の検出結果に基づいて、攻撃パケットの侵入口となった中継手段を特定する侵入口特定手段とを備えることを特徴とする。
【００１３】
第４の本発明のトラフィック情報観測プログラムは、１又は複数の外部ネットワークのそれぞれと当該ネットワークとの間に１又は複数の中継手段を備え、各外部ネットワークのいずれかから当該ネットワークに流入してきた攻撃パケットによる当該ネットワークの異常を検出するネットワーク異常検出システムを構成するトラフィック情報観測装置を、（１）それぞれ対応する上記中継手段を通過する全ての通信パケットを取り込み、各中継手段を通過した各通信パケットのパケット情報を通過履歴として保持するパケット情報保持手段、（２）外部のトラフィック情報管理装置から、攻撃パケットが各中継手段を通過した否かの問い合わせを受けると、パケット情報保持手段の有する各中継手段の通信履歴を参照して、各中継手段での攻撃パケットの通過を検出するパケット通過検出手段として機能させるためのものである。
【００１４】
第５の本発明のトラフィック情報管理プログラムは、１又は複数の外部ネットワークのそれぞれと当該ネットワークとの間に１又は複数の中継手段を備え、各外部ネットワークのいずれかから当該ネットワークに流入してきた攻撃パケットによる当該ネットワークの異常を検出するネットワーク異常検出システムを構成するトラフィック情報管理装置を、（１）攻撃パケットの流入を検出する攻撃検出手段、（２）攻撃検出手段により攻撃パケットによる攻撃が検出された場合、外部の１又は複数の全トラフィック情報観測装置に対して、攻撃パケットが各中継手段を通過したか否かを問い合わせるパケット通過問合せ手段、（３）全トラフィック情報観測装置からの、各中継手段での攻撃パケットの通過有無の検出結果に基づいて、攻撃パケットの侵入口となった中継手段を特定する侵入口特定手段として機能させるためのものである。
【発明の効果】
【００１５】
本発明によれば、攻撃パケットによる攻撃から対処までにかかる時間を短時間にすると共に、攻撃の証跡を確実に保持することができる。
【発明を実施するための最良の形態】
【００１６】
（Ａ）第１の実施形態
以下、本発明のトラフィック異常検出システム、トラフィック情報観測装置、トラフィック情報管理装置、トラフィック情報観測プログラム、及び、トラフィック情報管理プログラムの第１の実施形態を、図面を参照して説明する。
【００１７】
第１の実施形態は、例えば、ＩＳＰ（インターネットサービスプロバイダ）の管理対象ネットワークが複数接続されて構成される広帯域ネットワークのトラフィック異常を検出するシステムに、本発明を適用する場合を説明する。
【００１８】
また、第１の実施形態では、保護対象である保護対象ホスト装置に対し、１又は複数の外部ネットワークからの攻撃を検知すると、その攻撃パケットの通過情報に基づいて攻撃パケットの侵入口を判断すると共に、その攻撃に対する対処を行なうことを実現する。
【００１９】
（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態のトラフィック異常検出システム５の構成を示す構成図である。図１では、あるネットワークサービスプロバイダが管理するＩＳＰネットワーク７−１が、ルータ３−１、３−２を介して、別のネットワークサービスプロバイダが管理するＩＳＰネットワーク７−２、７−３と接続しているものとする。勿論、それぞれ接続するＩＳＰネットワークの数は限定されない。
【００２０】
各ＩＳＰネットワーク７−１〜７−３のネットワーク媒体は、例えば、電気回線や光ファイバ回線などの有線回線や、無線回線を一部又は全部に有するものを適用することができる。また、ＯＳＩ基本参照モデルのトランスポート層に対応する層に採用するプロトコルとしては、特に限定されないが、例えば、ＴＣＰ、ＵＤＰ、ＩＣＭＰなどを適用することができるものである。
【００２１】
図１において、ＩＳＰネットワーク７−１は、観測プローブ装置１−１〜１−３、マネージャ装置２、ルータ３−１〜３−３、保護対象ホスト装置４−１〜４−３、を少なくとも有して構成される。
【００２２】
図１では、図示を省略しているが、ＩＳＰネットワーク７−１は、他の構成要素として、例えば、ユーザ端末、サーバ、音声通信端末（電話端末、ソフトフォンを実現する通信端末、携帯電話機等を含む概念）、ネットワーク機器なども有する。また、他のＩＳＰネットワーク７−２、７−３も、ＩＳＰネットワーク７−１と同様の構成を備える。
【００２３】
観測プローブ装置１−１〜１−３は、ルータ３−１〜３−３と接続し、ルータ３−１〜３−３を介して中継される通信パケットを全て取得し、後述する各種処理を行なうものである。
【００２４】
図２は、第１の実施形態の観測プローブ装置１（１−１〜１−３）の内部構成を示す機能ブロック図である。
【００２５】
図２において、観測プローブ装置１は、パケット取得機能部１０１、パケット情報保持機能部１０２、統計対象選定機能部１０３、統計機能部１０４、マネージャ送受信機能部１０５、パケット通過検出機能部１０６、ログモード切替機能部１０７、パケット通過ログ出力機能部１０８、フィルタ信号送信機能部１０９、Ｈａｓｈダイジェストテーブル１１０、統計対象設定テーブル１１１、を少なくとも有する。
【００２６】
また、観測プローブ装置１は、拡張記憶領域１１２と接続している。この拡張記憶領域１１２は、観測プローブ装置１内に設けられていてもよいし、又は外部に設けられていてもよい。
【００２７】
パケット取得機能部１０１は、ルータ３が中継する全ての通信パケットを捕捉し、捕捉した通信パケットを、後述する機能部に与えるものである。
【００２８】
パケット情報保持機能部１０２は、パケット取得機能部１０１が通信パケットを取得すると、その通信パケットのパケット情報を保持するものである。
【００２９】
パケット情報の保持方法は、種々の方法を適用することができるが、第１の実施形態では、パケット情報保持機能部１０２が、通信パケットのヘッダ情報に対してＨａｓｈ関数を用いてＨａｓｈ化し、そのＨａｓｈ値をアドレスとするダイジェストテーブル１１０を用意し、そのアドレス（Ｈａｓｈ値）の示す値にフラグ（例えば「１」）を立てるようにする。
【００３０】
ここで、第１の実施形態では、Ｈａｓｈ化の際、送信元ＩＰアドレス、送信元ポート等のパラメータを元として、ほぼ同一サイズとなるように、通信パケットのヘッダ情報をＮ分割（Ｎは２以上の整数）し、分割したものに対してＨａｓｈ関数を用いて変換するようにする。このとき、各分割したものに対して、それぞれ異なるＨａｓｈ関数（つまり、１個のパケットに複数のＨａｓｈ関数）を用いて変換してもよいし、又は１個のＨａｓｈ関数を用いて変換してもよい。
【００３１】
統計対象選定機能部１０３は、統計対象設定テーブル１１１を参照しながら、通信トラフィックの統計をとるための統計対象情報を選定するものである。統計対象選定機能部１０３は、１種類の統計対象情報だけでなく、複数種類の統計対象情報を選定するようにしてもよい。
【００３２】
ここで、統計対象設定テーブル１１１における統計対象情報の種別としては、例えば、送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号、プロトコルＩＤ、の５種類とする。そして、例えば、「プロトコルＩＤ」の項目例を挙げて説明すると、「プロトコルＩＤ」には、例えば、「ＴＣＰ／ＩＰ」ならば、ＩＰｖ４を示す「０ｘ０８００」、ＡＲＰを示す「０ｘ０８０６」等が設定されている。
【００３３】
統計機能部１０４は、統計対象選定機能部１０３により選定された統計対象情報に該当する通信パケットの個数やサイズを集計し、トラフィックフローの統計情報（以下、トラフィック統計情報ともいう）を求めるものである。統計機能部１０４は、集計したトラフィックフローの統計情報を所定時間間隔毎にマネージャ装置２に送信させるものである。
【００３４】
マネージャ送受信機能部１０５は、マネージャ装置２との間で、情報を授受するものである。
【００３５】
パケット通過検出機能部１０６は、マネージャ装置２から対象パケットの通過問い合わせを受けると、Ｈａｓｈダイジェストテーブル１１０を参照し、その対象の通信パケットの通過の有無を検索するものである。また、パケット通過検出機能部１０６は、対象パケットの通過の有無をマネージャ装置２に通知させるものである。
【００３６】
ここで、パケット通過の有無の検索方法として、問い合わせ情報から対象パケットを特定する情報を抜き出し、ダイジェストテーブル１１０に保持するときと同様の条件で、対象パケットの特定情報をＮ分割して、Ｈａｓｈ化する。そして、Ｎ個のＨａｓｈ値をアドレスとして、その指し示す値の全てにフラグ（例えば「１」）が立っていれば、当該対象パケットの通過を検出するものとする。
【００３７】
ログモード切替機能部１０７は、パケット通過検出機能部１０６により対象パケットが検出されたとき（すなわち攻撃パケットの発生を検知したとき）、拡張記憶領域１１２へのログモードをＯｎに切り替え、その後、マネージャ装置２からの通知を受けると（すなわち攻撃が解除又は収束したとき）、ログモードをＯｆｆに切り替えるものである。
【００３８】
パケット通過ログ出力機能部１０８は、拡張記憶領域１１２へのログモードがＯｎのときに、パケット通過履歴を拡張記憶領域１１２に記録するものである。このとき、パケット情報保持機能部１０は、通常の場合と同様に、Ｈａｓｈダイジェストテーブル１０２にパケット通過履歴の記録を行なうようにする。
【００３９】
フィルタ信号送信機能部１０９は、マネージャ装置２からフィルタ命令を受けると、自装置１が接続しているルータ３に対してフィルタ信号を与えるものである。これにより、フィルタ対象の攻撃パケットの流入を抑制させることができる。
【００４０】
マネージャ装置２は、同一のＩＳＰネットワーク７上の観測プローブ装置１からトライフィックの統計情報を集計すると共に、他システム８からセキュリティログ情報を取得して、攻撃パケットを検知するものである。また、マネージャ装置２は、同一のＩＳＰネットワーク７上の観測プローブ装置１に対して、後述する各種処理を行なうものである。
【００４１】
図３は、マネージャ装置２の内部構成を示す機能ブロック図である。図３において、マネージャ装置２は、パケット通過問合わせ機能部２０１、統計要求機能部２０２、フィルタ命令機能部２０３、侵入口判別機能部２０４、トラフィック異常検知機能部２０５、統計対象設定機能部２０６、セキュリティ攻撃検知機能部２０７、を少なくとも有する。
【００４２】
セキュリティ攻撃検知機能部２０７は、他システム８が管理するセキュリティログ情報を取得し、取得したセキュリティログ情報を参照して、保護対象ホスト装置４−１〜４−３に対して攻撃する攻撃パケット情報を検知するものである。
【００４３】
ここで、他システム８とは、ＩＳＰネットワーク７上のセキュリティ管理を行なうシステムであり、例えば、所定の処理を行なうサーバ、ＩＤＳ、ファイアウォール等が該当する。また、他システム８のセキュリティログ情報とは、例えば、サーバが実行するアプリケーション処理のログであるサーバログ情報、ＩＤＳのＩＤＳログ情報、ファイアウォールのファイアウォールログ情報等が該当する。
【００４４】
また、他システム８からセキュリティログ情報を取得するタイミングは、リアルタイム性があることが望ましく、例えば、常時又は数秒間隔で取得するようにする。
【００４５】
パケット通過問合せ機能部２０１は、保護対象ホスト装置４−１〜４−３に攻撃する攻撃パケット情報を検知したとき、ＩＳＰネットワーク７上の全ての観測プローブ装置１−１〜１−３に対し、攻撃パケットの通過の有無の問い合わせをさせるものである。
【００４６】
まず、後述するトラフィック異常検知機能部２０５がトラフィック異常を検知すると、異常が起こった統計情報に基づいて攻撃パケットの情報を特定する。
【００４７】
例えば、異常が起こったときの、送信先ＩＰアドレス、送信先ポート番号、送信元ＩＰアドレス、送信元ポート番号、プロトコルＩＤに基づいて、攻撃パケット情報として特定する。
【００４８】
そして、パケット通過問合せ機能部２０１は、この攻撃パケット情報を含む情報を各観測プローブ装置１に送信して問い合わせさせる。なお、問い合わせの際、５要素の情報（送信先ＩＰアドレス、送信先ポート番号、送信元ＩＰアドレス、送信元ポート番号、プロトコルＩＤ）の全ての情報でなく、一部の情報を問い合わせ情報としてもよい。
【００４９】
統計要求機能部２０２は、ＩＳＰネットワーク７上の全ての観測プローブ装置１−１〜１−３に対して、通信トラフィックの統計情報の送信を要求するものである。ここで、統計要求機能部２０２は、各観測プローブ装置１−１〜１−３に対して、トラフィック統計情報の観測時間の指示を行なう。観測時間は、トラフィック統計をする統計時間であり、第１の実施形態では、ｍ秒間隔毎に統計することを指示する。
【００５０】
トラフィック異常検知機能部２０５は、全ての観測プローブ装置１−１〜１−３から取得したトラフィック統計情報を更に集約し、トラフィック統計情報に基づいてトラフィック異常を検知するものである。
【００５１】
ここで、通信トラフィックの統計情報の集約の仕方としては、例えば、送信先別、送信元別、プロトコル別、単位時間別（例えば、１分毎、１時間毎、１日毎等）、これらの種別を複数組み合わせた方法等、種々の観点から集約した多種類の方法を適用することができる。
【００５２】
また、トラフィック異常の検知方法としては、急激なトラフィック変化を検知するため、例えば、所定時間当たりのトラフィック統計情報の集約結果が所定の閾値を超えた場合をトラフィック異常とする方法がある。
【００５３】
侵入口判別機能部２０４は、攻撃発生の際に、各観測プローブ装置１−１〜１−３から通知された対象パケットの通過の有無情報を統括し、統括した情報に基づいて、対象パケットがＩＳＰネットワーク７に侵入してきた侵入口を判断するものである。
【００５４】
ここで、侵入口の判別方法の詳細については動作の項で説明するが、例えば、各観測プローブ装置１からの対象パケットの通過情報より、対象パケットの通過個数を観測プローブ装置１毎に求め、その結果に基づいて対象パケットを通過した観測プローブ装置１を判断する。そして、その対象パケットを通過した観測プローブ装置１が接続するルータ３を、当該対象パケットの侵入口と判断する。
【００５５】
フィルタ命令機能部２０３は、攻撃パケットの侵入抑制を指示するフィルタ信号を、観測プローブ装置１に対して送信するものである。
【００５６】
統計対象設定機能部２０６は、各観測プローブ装置１−１〜１−３の統計対象設定テーブル１１１を一元管理し、統計対象設定テーブル１１１の内容を編集指示や更新指示をするものである。これにより、各観測プローブ装置１−１〜１−３の統計対象の内容の編集・更新を遠隔操作することができる。つまり、攻撃状況を調べるために、攻撃にあわせて統計対象の内容を変えることができる。
【００５７】
（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のトラフィック異常検出処理の動作を図面を参照しながら説明する。
【００５８】
第１の実施形態のトラフィック異常検出処理の全体動作の概略を説明する。
【００５９】
まず、ＩＳＰネットワーク７−１上の観測プローブ装置１−１〜１−３が、それぞれ接続するボーダルータ３−１〜３−３を通過する全ての通信パケットを取り込み、トラフィック統計情報を求める。そして、各観測プローブ装置１−１〜１−３は、トラフィック統計情報を所定時間毎にマネージャ装置２に送信する。
【００６０】
マネージャ装置２は、保護対象ホスト装置４−１〜４−３に対して、外部ネットワークから攻撃を受けた場合、その攻撃パケットのパケット情報を全観測プローブ装置１−１〜１−３に送信する。
【００６１】
そして、観測プローブ装置１−１〜１−３は、パケット通過検出機能部１０６により、対象パケットのパケット情報に基づいて、Ｈａｓｈダイジェストテーブル１１０から対象パケットの通過の有無を検出して、その結果をマネージャ装置２に返信する。
【００６２】
これを受けて、マネージャ装置２は、攻撃パケットが侵入してきた侵入口を判断し、フィルタ命令を行なう。
【００６３】
続いて、観測プローブ装置１における処理の詳細を図面を参照して説明する。図４は、観測プローブ装置１における動作フローを説明する説明図である。
【００６４】
図４において、まず、観測プローブ装置１のパケット取得機能部１０１は、トラフィック監視用ポート１１３を介して、外部ネットワークとＩＳＰネットワーク７との間を通過する通信パケットを全て取り込む（Ｆ１）。
【００６５】
パケット取得機能部１０１により取得された通信パケットは、パケット情報保持機能部１０２に与えられ（Ｆ２）、パケット情報保持機能部１０２によりＨａｓｈ化されて、通信履歴としてＨａｓｈダイジェストテーブル１１０に保持される（Ｆ３）。
【００６６】
ここで、図５及び図６を参照して、パケット情報保持機能部１０２による処理を説明する。
【００６７】
まず、パケット情報保持機能部１０２は、例えば、送信元ＩＰアドレス、送信元ポート等のヘッダ構成要素毎に、通信パケットのＩＰヘッダをＮ分割する（Ｓ１）。このとき、分割サイズをほぼ同サイズとなるように分割する。
【００６８】
そして、パケット情報保持機能部１０２は、Ｈａｓｈ関数を用いて、分割した各パケットヘッダをＨａｓｈ変換し（Ｓ２）、これにより得られた各Ｈａｓｈ値をアドレスとするＨａｓｈダイジェストテーブル１１０をメモリ上に準備し（Ｓ３）、各アドレスの示す値にフラグ（例えば「１」）を立てる（Ｓ４）。これにより、保持容量を低減させながら、当該通信パケットのパケット情報を保持することができる。
【００６９】
図４に戻り、説明を続ける。観測プローブ装置１において、統計対象選定機能部１０３は、統計対象設定テーブル１１１を参照して、トラフィック統計情報の統計対象を選定する（Ｆ５）。
【００７０】
そして、パケット取得機能部１０１により通信パケットが取得されると（Ｆ４）、統計機能部１０４は、統計対象選定機能部１０３により選定されたトラフィック統計情報の統計対象であるパケットについて（Ｆ６）、パケット数及び又はサイズを集計し、その集計結果をマネージャ送受信機能部１０５に与える（Ｆ７）。集計結果は、マネージャ送受信機能部１０５からマネージャ装置２に送信される（Ｆ８）。
【００７１】
ここで、統計機能部１０４による統計処理の例を説明する。例えば、統計機能部１０４は、図１０に示すように、５種類のパケット特徴データ項目でグルーピングする。すなわち、図１０では、「送信元ＩＰアドレス」、「送信先ＩＰアドレス」、「送信元ポート番号」、「送信先ポート番号」、「プロトコルＩＤ」を特徴データ項目としてグルーピングする。
【００７２】
そして、統計機能部１０４は、グルーピングしたパケット特徴データ種類のデータをソーティングし、同じパケット特徴データ種類のデータをカウントする。また、統計機能部１０４は、パケット特徴データ種類のデータをカウントが多い順に並べ替えたり、同じパケット特徴データ種類のデータサイズを通算したり、パケット特徴データ種類のデータをサイズが多い順に並べ替えたりする。
【００７３】
続いて、マネージャ装置２から対象パケットの通過履歴の有無の問い合わせがあった場合の動作を説明する。
【００７４】
図４において、対象パケットの通過履歴の有無の問い合わせが、マネージャ装置２からマネージャ送受信機能部１０５に与えられると（Ｆ９）、受信された問い合わせ情報が、パケット通過検出機能部１０６に与えられる（Ｆ１０）。
【００７５】
パケット通過検出機能部１０６では、Ｈａｓｈダイジェストテーブル１１０を参照しながら（Ｆ１１）、問い合わせ情報に一致するパケットの通過の有無を検索し、その結果をマネージャ装置２に向けて返信する（Ｆ１０、Ｆ８）。
【００７６】
ここで、パケット通過検出機能部１０６における処理を図７を参照しながら説明する。
【００７７】
図７において、まず、パケット通過検出機能部１０６は、対象パケットのパケット情報を含む問い合わせ情報をＮ分割し（Ｓ１１）、Ｈａｓｈ関数を用いて、分割した各情報をＨａｓｈ変換する（Ｓ１２）。このとき、分割方法及びＨａｓｈ化条件は、パケット情報保持機能部１０２がＨａｓｈダイジェストテーブル１１０にパケット情報を保持する際と同様の分割方法及びＨａｓｈ化条件とする。
【００７８】
これにより得られたＨａｓｈ値をアドレスとして、パケット通過検出機能部１０６が、Ｈａｓｈダイジェストテーブル１１０のアドレスの値を検索する（Ｓ１３）。
【００７９】
そして、パケット通過検出機能部１０６は、検索したアドレスの値が全て「１」である場合（Ｓ１４）、「対象パケットの通過あり」と判定し（Ｓ１５）、そうでない場合（Ｓ１４）、「対象パケットの通過なし」と判定する（Ｓ１６）。
【００８０】
なお、パケットのビット長を分割して短くすることにより、Ｈａｓｈ値の衝突率を下げ、精度の高い通過確認を行なうことを目的としている。また、１つのパケットを複数のＨａｓｈ関数で変換する方法も有効であるが、１つの関数でパケットを短く分割することにより、Ｈａｓｈ変換の効率化を図る。
【００８１】
図４に戻り、攻撃パケットの発生が検出されると（Ｆ１２）、ログモード切替機能部１０７は、拡張記憶領域１１２にログをするログモードをＯｎに切り替え（Ｆ１３）、パケット情報保持機能部１０２によるＨａｓｈダイジェストテーブル１１０への通信履歴の記録と共に、パケット通過ログ出力機能部１０８が拡張記憶領域１１２に通信履歴を記録する（Ｆ１４）。その後、マネージャ送受信機能部１０５を通じて、マネージャ装置２からログモードの解除又は攻撃収束条件が与えられると、ログモード切替機能部１０７はログモードをＯｆｆに切り替える（Ｆ１２）。
【００８２】
ここで、ログモードをＯｎ、Ｏｆｆにする条件について説明する。例えば、次の（ａ）〜（ｃ）のいずれかに該当する場合、ログモード切替機能部１０６はログモードをＯｎにする。（ａ）統計機能部１０４による統計処理でカウントした同じパケット特徴データ種類のデータのカウントが、所定時間前(例えばｔ分前)と比較し、閾値以上増えている場合（ｂ）マネージャから攻撃検知の通知を受けた場合、（ｃ）統計機能部１０４による統計処理で算出したパケット特徴データ種類のデータサイズが、ｎ分前と比較し、閾値以上増えている場合。
【００８３】
次に、例えば、ログモード切替機能部１０６は、マネージャ装置から攻撃終了通知を受信した場合、又は、次の（ｄ）、（ｅ）のいずれかに該当する場合、ログモードをＯｆｆ（変動なし）にする。（ｄ）統計機能部１０４による統計処理で並べたパケット特徴データ種類のデータのカウント順位ＴＯＰ１０にランキングされるデータがｎ分前と変動していない場合、（ｅ）統計機能部１０４による統計処理でカウントした同じパケット特徴データ種類のデータのカウントが、所定時間前(例えばｔ分前)と比較し、閾値以上増減がない場合。
【００８４】
また、マネージャ装置２からフィルタ設定信号がマネージャ送受信機能部１０５に与えられると（Ｆ９）、フィルタ設定送信機能部１０９にフィルタ設定信号を与え（Ｆ１５）、フィルタ信号送信機能部１０９が、ボーダルータ３に対して、フィルタ設定信号を送信する（Ｆ１６）。
【００８５】
次に、マネージャ装置２における処理の詳細を図面を参照して説明する。図８は、マネージャ装置２における動作フローを説明する説明図である。
【００８６】
マネージャ装置２のセキュリティ攻撃検知機能部２０７は、例えば、サーバログ、ＩＤＳログ、ファイアウォールログ等のセキュリティログ情報を他システム８から取り込み、これらセキュリティログ情報に基づいて、保護対象ホスト装置４に対する攻撃パケット情報を検知する（Ｆ１７）。
【００８７】
その結果、保護対象ホスト装置４に対する攻撃パケットが検出されると、セキュリティ攻撃検知機能部２０７は、パケット通過問合せ機能部２０１に対し、攻撃パケットのパケット情報を通知する（Ｆ１８）。
【００８８】
そして、パケット通過問合せ機能部２０１は、ＩＳＰネットワーク７上の全ての観測プローブ装置１に対して、当該対象パケットの通過履歴の有無を問い合わせる（Ｆ１９）。
【００８９】
これにより、各観測プローブ装置１では、図４のＦ９〜Ｆ１１等で説明した対象パケットの通過履歴の有無を検索が行なわれ、その結果が、各観測プローブ装置１からマネージャ装置２のパケット通過問合せ機能部２０１に返信される。
【００９０】
そうすると、侵入口判別機能部２０４は、各観測プローブ装置１から返信されてきた通過履歴の有無の情報を統括的に集計し、その統括集計結果に基づいて、攻撃パケットの侵入口を判断する（Ｆ２０）。
【００９１】
ここで、侵入口判別機能部２０４における侵入口判別処理の例を図９を参照して説明する。
【００９２】
図９において、侵入口判別機能部２０４は、対象パケットの通過履歴の有無の情報を各観測プローブ装置１から受け取ると、各観測プローブ装置１で通過ありとした対象パケットの数を、各観測プローブ装置１毎に求める（Ｓ３１）。
【００９３】
例えば、セキュリティ攻撃検知機能部２０７が検出した攻撃パケットの数がｗ個であり、例えばｚ台の観測プローブ装置Ｐ１、Ｐ２、…、Ｐｚから、通過履歴の有無の情報を受け取ったものとする。この場合、侵入口判別機能部２０４は、例えば、観測プローブＰ１で通過ありとしたパケット数は２個、観測プローブＰ２で通過ありとしたパケット数は４個、観測プローブＰ３で通過ありとしたパケット数は０個、…、観測プローブＰｚで通過ありとしたパケット数は５個というように求める。
【００９４】
次に、侵入口判別機能部２０４は、対象パケットの通過比率を各観測プローブ装置１毎に求め（Ｓ３２）、所定の通過比率以上である場合（Ｓ３３）、その観測プローブ装置１が観測するボーダルータ３が侵入口であると判断し（Ｓ３４）、そうでない場合、侵入口でないと判断する（Ｓ３５）。
【００９５】
例えば、上記の例の場合、観測プローブ装置Ｐ１での通過利率は２／ｗ、観測プローブ装置Ｐ２での通過比率は４／ｗ、観測プローブ装置Ｐ３での通過比率は０／ｗ、…、観測プローブ装置Ｐｚでの通過比率は５／ｗとなる。そして、例えば通過比率が２０％以上である場合、攻撃パケットの侵入口である可能性が高いと判断し、この場合、観測プローブＰ３は、通過履歴が０なので、侵入口ではないと判断する。
【００９６】
なお、攻撃パケットの通過比率が低い場合、実運用ではそれが攻撃であるか、偶然パケットのハッシュ値が衝突した非攻撃ではあるかは、過去の実績から、統計的かつ経験的に判断されるべきものである。例えば、上記事例では、攻撃パケットの９５％は、観測プローブ装置Ｐ１、Ｐ２、Ｐｚを接続したボーダルータを経由してＩＳＰネットワーク７内に侵入したと判断し、ＤＤｏＳ攻撃を受けていると判断する。
【００９７】
図８に戻り、統計要求機能部２０２は、各観測プローブ装置１の統計機能部１０４に対し、例えばｍ秒間毎にパケット数とトラフィック量を観測するようトラフィック統計要求を行なう（Ｆ２１）。これを受けて、各観測プローブ装置１は、トラフィック統計要求しに従って集計したトラフィック統計情報を、マネージャ装置２に送信する。
【００９８】
なお、統計対象設定機能部２０６は、各観測プローブ装置１の統計対象設定テーブル１１１の内容を、遠隔操作により編集・更新指示を行なう（Ｆ２５）。これにより、この統計対象設定テーブル１１１に従って、観測プローブ装置１の統計機能部１０４は動作することができる。
【００９９】
トラフィック異常検知機能部２０５では、各観測プローブ装置１におけるトラフィックの統計情報を受け取り、単位時間当たりの統計情報推移を調査し、所定の閾値以上の変化を攻撃発生と判定する（Ｆ２２）。
【０１００】
ここで、トラフィックの統計情報の推移により攻撃を判定する方法としては、例えば、観測した単位時間当たりのパケット数が、定常時の平均パケット数の１５０％を超過であること、観測した単位時間あたりのトラフィックが同じ曜日の同じ時間帯より２０％以上増加であること、特定ＩＰアドレス・ポートを送信先としたパケット数の増加率が１５％以上であること、等がある。なお、ここで挙げた例のいずれか１つを判断基準としてもよいし、又は、これらの例の複数若しくは全てを判断基準としてもよい。
【０１０１】
トラフィック異常検知機能部２０５により攻撃発生が判定された場合（Ｆ２３）、フィルタ命令機能部２０３が、侵入口のボーダルータ３と接続する観測プローブ装置１のフィルタ信号送信機能部１０５に対し、ボーダルータ３で攻撃パケットをフィルタリングすることを示すフィルタ設定信号を送信する（Ｆ２４）。
【０１０２】
（Ａ−３）第１の実施形態の効果
以上のように、第１の実施形態によれば、マネージャ装置２が、トラフィックフローの統計情報の推移により異常を検知し、直ちに、侵入口のボーダルータ３に対して、フィルタ指示を行なうことで、攻撃パケットのＩＳＰネットワーク７への流入を防ぐことができる。
【０１０３】
また、第１の実施形態によれば、観測プローブ装置１が、フィルタ信号をルータに送信することとしたので、即時に攻撃に対する対処を実施できる。
【０１０４】
さらに、第１の実施形態によれば、マネージャ装置２が、異常を引き起こすとみなす対象パケットの通過の有無を、各観測プローブ装置１に対して問合せができるので、例えば、送信元アドレスが偽装されている場合でも、攻撃パケットの侵入口を特定できるので、適切なフィルタリングができる。
【０１０５】
さらにまた、第１の実施形態によれば、観測プローブ装置１が、ログモード切替機能部１０７及びパケット通過ログ出力機能部１０８を備えることにより、ダイジェストテーブル１１０でカバー可能な観測時間を超える長時間にわたり攻撃が行なわれた場合でも、パケット通過履歴を保持できるので、攻撃の証跡が確保できない課題を回避し、モード切替により、リソースの過剰使用を避ける効果もある。
【０１０６】
（Ｂ）他の実施形態
（Ｂ−１）第１の実施形態では、観測プローブ装置のパケット情報保持機能部が、パケットをＮ分割し、１つのＨａｓｈ関数でＨａｓｈ化する場合を示したが、複数個のＨａｓｈ関数を用いてもよい。これにより、Ｈａｓｈ値の衝突によるパケット通過誤検知率をさらに下げ、攻撃パケットの通過検知の精度向上を図ることもできる。
【０１０７】
（Ｂ−２）第１の実施形態において、侵入口判別機能部は、セキュリティ攻撃検知機能部２０７が攻撃発生を検知したときに機能する場合を例に挙げたが、トラフィック異常検知機能部が攻撃を検知した場合も機能するようにしてもよい。
【０１０８】
（Ｂ−３）第１の実施形態では、１つのＩＳＰネットワークで１台のマネージャ装置を備える場合を示したが、複数台のマネージャ装置を備えるようにしてもよい。この場合、複数台のマネージャ装置をさらに統括する統括管理装置を備えるようにしてもよい。
【０１０９】
また、１台の観測プローブ装置が、複数のボーダルータを通過するトラフィックフローを観測するようにしてもよい。この場合、観測プローブ装置が、どのルータを通過したトラフィックフローの統計情報であるかを識別する必要がある。
【０１１０】
（Ｂ−４）第１の実施形態で説明した観測プローブ装置が有する各機能部は、物理的に同一の観測プローブ装置に搭載されていなくてもよい。つまり、各機能部間で連携処理を図ることができ、第１の実施形態で説明した機能を実現することができれば、各機能部は別々に分散配置されてもよい。
【０１１１】
同様に、第１の実施形態のマネージャ装置が有する各機能部も、別々に分散配置されてもよい。
【０１１２】
さらに、マネージャ装置が、観測プローブ装置の各機能部の一部又は全部を有するようにしてもよいし、観測プローブ装置が、マネージャ装置の各機能部の一部又は全部を有するようにしてもよい。
【０１１３】
また、ボーダルータが、観測プローブ装置の有する機能部の一部又は全部を搭載するようにしてもよいし、マネージャ装置の有する機能部の一部又は全部を搭載するようにしてもよい。さらに、ボーダルータが、観測プローブ装置の機能部の一部又は全部と、マネージャ装置の機能部の一部又は全部を搭載するようにしてもよい。
【０１１４】
（Ｂ−５）第１の実施形態で説明した観測プローブ装置及びマネージャ装置は、ハードウェア資源（例えばＣＰＵ等）がプログラムを実行して実現するソフトウェア処理で実現できる。つまり、観測プローブ装置及びマネージャ装置の各種機能はプログラムとして格納されるものである。なお、観測プローブ装置及びマネージャ装置の処理をハードウェアで実現するようにしてもよい。
【図面の簡単な説明】
【０１１５】
【図１】第１の実施形態のトラフィック異常検出システムの全体構成を示す構成図である。
【図２】第１の実施形態の観測プローブ装置の内部構成を示す機能ブロック図である。
【図３】第１の実施形態のマネージャ装置の内部構成を示す機能ブロック図である。
【図４】第１の実施形態の観測プローブ装置における動作フローを示す説明図である。
【図５】第１の実施形態のパケット情報保持を説明する説明図である。
【図６】第１の実施形態のパケット情報保持処理を示すフローチャートである。
【図７】第１の実施形態の対象パケットの通過履歴の有無検索処理を示すフローチャートである。
【図８】第１の実施形態のマネージャ装置における動作フローを示す説明図である。
【図９】第１の実施形態の侵入口を判断する処理を示すフローチャートである。
【図１０】第１の実施形態の統計処理によるグルーピングの例を説明する説明図である。
【符号の説明】
【０１１６】
１（１−１〜１−３）…観測プローブ装置、１０１…パケット取得機能部、１０２…パケット情報保持機能部、１０３…統計対象選定機能部、１０４…統計機能部、１０５…マネージャ送受信機能部、１０６…パケット通過検出機能部、１０７…ログモード切替機能部、１０８…パケット通過ログ出力機能部、１０９…フィルタ信号送信機能部、１１０…Ｈａｓｈダイジェストテーブル、１１１…統計対象設定テーブル、１１２…拡張記憶領域、２…マネージャ装置、２０１…パケット通過問合わせ機能部、２０２…統計要求機能部、２０３…フィルタ命令機能部、２０４…侵入口判別機能部、２０５…トラフィック異常検知機能部、２０６…統計対象設定機能部、２０７…セキュリティ攻撃検知機能部、３−１〜３−３…ルータ、４−１〜４−３…保護対象ホスト装置、７−１〜７−３…ＩＳＰネットワーク。
【図１】
2008211464.tif 000003
【図２】
2008211464.tif 000004
【図３】
2008211464.tif 000005
【図４】
2008211464.tif 000006
【図５】
2008211464.tif 000007
【図６】
2008211464.tif 000008
【図７】
2008211464.tif 000009
【図８】
2008211464.tif 000010
【図９】
2008211464.tif 000011
【図１０】
2008211464.tif 000012