(57)【要約】【課題】不正アクセスによるシステム被害の有無を自動判別でき、システム管理者の負担となっていた調査や切り分け作業を格段に効率化する装置を提供する。【解決手段】かかる課題を解決するために、本発明に係る被害判別装置は、不正アクセスによる監視対象システムに対する被害解析の要否を判別する被害判別装置であって、不正アクセス事象毎に、少なくとも監視対象システムへの被害解析結果を含んだ不正攻撃情報を記録する記録手段と、不正アクセス検知情報を受け取り、受け取った不正アクセス検知情報と記録手段に記録された不正攻撃情報とに基づいて、監視対象システムへの被害解析の要否を判別する被害判別手段とを備えることを特徴とする。【選択図】　　　図１
2004013553.tif 000002
【特許請求の範囲】
【請求項１】
不正アクセスによる監視対象システムに対する被害解析の要否を判別する被害判別装置であって、
不正アクセス事象毎に、少なくとも監視対象システムへの被害解析結果を含んだ不正攻撃情報を記録する記録手段と、
不正アクセス検知情報を受け取り、受け取った不正アクセス検知情報と上記記録手段に記録された不正攻撃情報とに基づいて、監視対象システムへの被害解析の要否を判別する被害判別手段と
を備えることを特徴とする被害判別装置。
【請求項２】
上記被害判別手段は、受け取った不正アクセス検知情報が、監視対象システムに被害を与えるものであると判別した場合、又は、上記記憶手段に記憶されていないものであると判別した場合に、外部装置に被害解析の指示をすることを特徴とする請求項１に記載の被害判別装置。
【請求項３】
上記被害判別手段は、上記不正アクセス検知情報と、その被害解析の要否とを対応付けた不正攻撃情報を作成することを特徴とする請求項１に記載の被害判別装置。
【請求項４】
上記被害判別手段は、上記不正アクセス検知情報と、受け取った被害解析結果とを対応付けた不正攻撃情報を作成することを特徴とする請求項２に記載の被害判別装置。
【請求項５】
上記被害判別手段は、作成した不正攻撃情報を、上記記録手段に蓄積・更新することを特徴とする請求項３又は４に記載の被害判別装置。
【請求項６】
不正アクセスによる監視対象システムに対する被害解析の要否を判別する被害判別方法であって、
記録手段が、不正アクセス事象毎に、少なくとも監視対象システムへの被害解析結果を含んだ不正攻撃情報を記録し、
被害判別手段が、不正アクセス検知情報を受け取り、受け取った不正アクセス検知情報と上記記録手段に記録された不正攻撃情報とに基づいて、監視対象システムへの被害解析の要否を判別する
ことを特徴とする被害判別方法。
【請求項７】
上記被害判別手段は、受け取った不正アクセス検知情報が、監視対象システムに被害を与えるものであると判別した場合、又は、上記記憶手段に記憶されていないものであると判別した場合に、外部装置に被害解析の指示をすることを特徴とする請求項６に記載の被害判別方法。
【請求項８】
上記被害判別手段は、上記不正アクセス検知情報と、その被害解析の要否とを対応付けた不正攻撃情報を作成することを特徴とする請求項６に記載の被害判別方法。
【請求項９】
上記被害判別手段は、上記不正アクセス検知情報と、受け取った被害解析結果とを対応付けた不正攻撃情報を作成することを特徴とする請求項７に記載の被害判別方法。
【請求項１０】
上記被害判別手段は、作成した不正攻撃情報を、上記記録手段に蓄積・更新することを特徴とする請求項８又は９に記載の被害判別方法。
【請求項１１】
不正アクセスによる監視対象システムへの被害を判別する被害判別システムであって、
監視対象システムへの不正アクセスを検知し不正アクセス検知情報を出力する侵入検知手段と、
不正アクセス事象毎に、少なくとも監視対象システムへの被害解析結果を含んだ不正攻撃情報を記録する記録手段と、
上記不正アクセス検知情報と上記不正攻撃情報とに基づいて上記監視対象システムへの被害解析の要否を判別する被害判別手段と、
上記被害判別手段の判別結果に基づいて上記監視対象システムの被害を解析する被害解析手段と、
上記不正アクセス検知情報と上記被害解析手段の解析結果とに基づいて上記不正攻撃情報を作成し、作成した不正攻撃情報を上記記録手段に蓄積・更新する蓄積・更新手段と
を備えることを特徴とする被害判別システム。
【請求項１２】
上記記録手段に記録された不正攻撃情報の消去指示を出力する消去指示手段と、
上記消去指示に基づいて、上記記録手段に記録された不正攻撃情報の少なくとも一部を消去する消去手段と
を備えることを特徴とする被害判別システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、被害判別装置、被害判別方法及び被害判別システムに関し、特に、不正アクセスからネットワークを守るためのセキュリティ管理に関するものである。
【０００２】
【従来の技術】
近年、ネットワークのオープン化、社会活動におけるネットワーク依存の度合いが増大しており、ネットワークに対する不正アクセスの脅威が増大してきている。
【０００３】
不正アクセスを試みる方法には、システムのセキュリティ上の弱点（脆弱性）を悪用し、結果的にシステムの管理者権限をリモートから奪取するような電文をシステムに送りつけることが一般に知られており、システムベンダー等のソフトウェアの機能アップやバージョンアップの都度新たな脆弱性を悪用する攻撃の脅威が存在するという状況にある。
【０００４】
この状況をシステムの運用面で考えると、システムの脆弱性やそれを悪用する攻撃の脅威は、一般にインターネット上でセキュリティ関連の研究者によって指摘され、慈善活動としてその情報が流布され、システムベンダーやセキュリティ製品ベンダーはその対策版をユーザに「パッチ」という形態で提供するというサイクルを追っているのが現状である。
【０００５】
システムを運用する側からすると、その対策版が提供されたら速やかにそれを適用しなければならず、さもなければ弱点の口（脆弱性）を塞がないままシステムを放置しかねない。
【０００６】
また、一般には運用するシステムに対するアクセスの様子を、ネットワーク上の送受信データ、システム内の履歴情報といったトレース情報を常時モニターし攻撃を検知する目的のシステムとして侵入検知システム（ＩＤＳ：Ｉｎｓｔｒｕｃｔｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）が用いられている。
【０００７】
ＩＤＳはシステムのセキュリティ管理を適切に行うための監視ツールとして開発されている。
【０００８】
従来、このＩＤＳは、大きく２つのタイプがあり、１つは、ＬＡＮなどのネットワーク上の送受信データをモニターし、攻撃パターンと推測される電文を発見し書告を発するタイプの「ネットワークベースＩＤＳ」と、もう１つは、サーバ等のシステム（ホストと呼ぶ場合が多い）内のアプリケーションログやトレース構報からシステムの挙動をモニターし、攻撃パターンと推測される情報を見つけると警告を発するタイプの「ホストベースＩＤＳ」とがある。
【０００９】
「ネットワークベースＩＤＳ」は監視対象のネットワークにセンサ装置としてＬＡＮに接続し、「ホストベースＩＤＳ」は監視対象のシステムにエージェントソフトウェアとしてインストールするのが一般的である。
【００１０】
ここで、「警告を発する」手段は、一般には専用のソフトウェアを使って管理者画面に警告情報を表示したり、Ｗｅｂブラウザの画面内に表示したり、管理者宛ての電子メールを送信したり、ネットワーク管理用の事実上の標準プロトコルであるＳＮＭＰ（Ｓｉｍｐｌｅ　Ｎｅｔｗｏｒｋ　Ｍａｎａｇｅｍｅｎｔ　Ｐｒｏｔｏｃｏｌ）のメッセージを利用しネットワーク管理用ソフトウェア（一般に「ＳＮＭＰマネージャ」と呼ばれる）に通知したり、或いはシステム管理者のポケットベルを鳴動させたりする手段が通常とられる。
【００１１】
また、「ネットワークベースＩＤＳ」はソフトウェアとしてユーザに提供されるタイプと、ハードウェアと一体型のアプライアンス製品として提供され、ユーザ側はハードウェア（ＩＤＳ機能を予め組込まれたセンサ装置）を単に監視対象のネットワークに接続するのみのタイプとが存在する。
【００１２】
ここで、従来の不正アクセス監視方法を簡単に説明する。
【００１３】
まず、あるネットワークがインターネット等の外部ネットワークと接続されており、そのネットワークやそこで稼動している装置（ＷＷＷサーバ、メールサーバ、ＤＮＳサーバといったサーバ等）への不正アクセスを、外部ネットワークから、又は内部（内部ネットワーク）から監視するシステムについて考えてみる。不正アクセスの監視を行う場合、侵入検知センサ（ネットワークベースＩＤＳ）または侵入検知ソフトウェア（ホストベースＩＤＳ）を監視対象のシステムやネットワークに導入し、システム管理者がネットワークベースＩＤＳやホストベースＩＤＳからの警告を監視するのが一般的である。
【００１４】
システム管理者は、システムを安全に運用するためにＩＤＳを導入し、脆弱性を突く攻撃の有無や知らぬ間に不正侵入されていなかを監視し、被害を最小限に留める努力を継続的に行わなければならない。従って、システム管理者は、ＩＤＳが検知した攻撃がシステムにどのような影響を及ぼすのか、システムの運用をこのまま継続しても問題がないのか等の判断をする必要性に迫られ、セキュリティ分野の知識やスキルに乏しいシステム管理者は、攻撃が検知される都度システムの影響度合いを手探りで調査するか、勘に任せるしかないというのが現状である。
【００１５】
【発明が解決しようとする課題】
しかしながら、上述したように、従来のネットワークベースＩＤＳやホストベースＩＤＳは、監視対象のネットワーク上や監視対象のシステム内にて不正アクセスに相当するパターンを監視し警告を発するが、ネットワーク上の通過パケットやシステムの振る舞いが不正アクセスのパターンに合致したことを意味するだけであり、そのことによってどのような影響（被害）が発生しているかまでは管理されない。
【００１６】
従って、同じ攻撃でもある脆弱性に対する対策パッチがシステムベンダーから提供されていなかったり、提供されていてもパッチが適用されていなかったりシステム環境によって影響を受けるか否かが異なるため、ＩＤＳから警告があっても、従来のＩＤＳだけでは、攻撃を検知するだけであって、監視対象とするシステムやネットワークヘの影響を責任持って食い止めるだけの能力は持ち合わせていない。
【００１７】
システム管理者は、被害を最小限に留めるために監視対象のシステムやネットワーク上の影響（被害）の有無をその都度調査し、行われた攻撃の影響度合いを切り分ける必要がある。
【００１８】
その結果、システム管理者は、被害の切り分けのために、様々なログ情報の解析をしながら調査作業を進めることになるが、それには専門のスキルが必要であったり、警告の都度同じ切り分け作業を行うという手間がかかり、システムの運用に多大な労力を要するという問題があった。
【００１９】
そのため、不正アクセスによる影響（被害）の有無を自動判別でき、システム管理者の負担となっていた調査や切り分け作業を格段に効率化できるシステムが求められている。
【００２０】
【課題を解決するための手段】
かかる課題を解決するために、第１の本発明に係る被害判別装置は、不正アクセスによる監視対象システムに対する被害解析の要否を判別する被害判別装置であって、不正アクセス事象毎に、少なくとも監視対象システムへの被害解析結果を含んだ不正攻撃情報を記録する記録手段と、不正アクセス検知情報を受け取り、受け取った不正アクセス検知情報と記録手段に記録された不正攻撃情報とに基づいて、監視対象システムへの被害解析の要否を判別する被害判別手段とを備えることを特徴とする。
【００２１】
また、第２の本発明に係る被害判別方法は、不正アクセスによる監視対象システムに対する被害解析の要否を判別する被害判別方法であって、記録手段が、不正アクセス事象毎に、少なくとも監視対象システムへの被害解析結果を含んだ不正攻撃情報を記録し、被害判別手段が、不正アクセス検知情報を受け取り、受け取った不正アクセス検知情報と記録手段に記録された不正攻撃情報とに基づいて、監視対象システムへの被害解析の要否を判別することを備えることを特徴とする。
【００２２】
さらに、第３の本発明に係る被害判別システムは、不正アクセスによる監視対象システムへの被害を判別する被害判別システムであって、監視対象システムへの不正アクセスを検知し不正アクセス検知情報を出力する侵入検知手段と、不正アクセス事象毎に、少なくとも監視対象システムへの被害解析結果を含んだ不正攻撃情報を記録する記録手段と、不正アクセス検知情報と不正攻撃情報とに基づいて監視対象システムへの被害解析の要否を判別する被害判別手段と、被害判別手段の判別結果に基づいて監視対象システムの被害を解析する被害解析手段と、不正アクセス検知情報と被害解析手段の解析結果とに基づいて不正攻撃情報を作成し、作成した不正攻撃情報を記録手段に蓄積・更新する蓄積・更新手段とを備えることを特徴とする。
【００２３】
【発明の実施の形態】
（Ａ）実施形態
以下、本発明に係る被害判別システムの実施形態について図面を参照して説明する。
【００２４】
本実施形態は、外部の開放的なネットワーク（例えばインターネット）に接続するネットワーク上に接続されるシステムに適用する場合であって、侵入検知システム（ＩＤＳ）を採用して外部ネットワークからの不正アクセスを検知するシステムについて説明する。
【００２５】
（Ａ−１）実施形態の構成
図１は、本実施形態に係る被害判別システムの構成を示した全体構成図である。
【００２６】
図１に示すように、本実施形態に係る被害判別システムは、外部ネットワークに接続するＬＡＮ１００を監視し、不正アクセス事象の攻撃によるＬＡＮ１００の被害を管理するものである。
【００２７】
被害判別システムは、大別すると、被害判定管理装置１１０と、監視対象システム１２０と、侵入検知システム（ＩＤＳ）とを備えている。なお、このＩＤＳは、ネットワークベースＩＤＳ１３０と、ホストベースＩＤＳ１２２とを備えている。
【００２８】
以下では、この被害判別システムの各構成要件についての構成を説明する。まず、侵入検知システム（ＩＤＳ）について説明する。
【００２９】
上述したように、被害判別システムは、侵入検知システムとして、ネットワークベースＩＤＳ１３０と、ホストベースＩＤＳ１２２とを備えている。
【００３０】
ネットワークベースＩＤＳ１３０は、ＬＡＮ１００上に接続するものであり、ＬＡＮ上の送受信データをモニターし、攻撃パターンと推測される電文を発見するものである、すなわち、外部ネットワークからの不正アクセスを検知するものである。ネットワークワークベースＩＤＳ１３０は、不正アクセスを検知すると、警告をＬＡＮ１００を通じて被害判定管理装置１１０のフィルタリングモジュール１１１へ与えるものである。
【００３１】
ホストベースＩＤＳ１２２は、監視対象システム１２０内のアプリケーションログやトレース情報からシステムの挙動をモニターし、攻撃パターンと推測される情報を発見するものである。また、ホストベースＩＤＳ１２２は、不正アクセスを検知すると、警告をＬＡＮ１００を通じて被害判定管理装置１１０のフィルタリングモジュール１１１へ与えるものである。
【００３２】
また、ネットワークベースＩＤＳ１３０及びホストベースＩＤＳ１２２（以下、これらを併せて単に「ＩＤＳ」という）は、不正アクセスを検知したときに警告を通知する通知手段（図示しない）を備えている。
【００３３】
この通信手段は、例えば、電子メールによってシステム管理者へ警告を通知する方法や、特定のＴＣＰソケットを用いた通知方法等を採用した手段を適用することができる。
【００３４】
例えば、通知手段が電子メールによって警告を通知する場合、通信手段は、ＩＤＳが予め実装する電子メール機能によって、被害判定管理装置内１１０の特定のプロセスのアカウント宛に（この場合、フィルタリングモジュール１１１）、電子メールを送信して警告する。
【００３５】
図３は、ＩＤＳが発する警告を電子メールで通知する場合の電子メール形式内容を示した例である。
【００３６】
図３の例に示すように、電子メール形式内容は、宛先、発信者、主題（Ｓｕｂｊｅｃｔ）、本文（Ｂｏｄｙ）等といった項目を記しているが、警告の内容や警告の危険度となる情報が、Ｓｕｂｊｅｃｔ、Ｂｏａｙ等の情報と組合されて記述できるようにしてもよい。
【００３７】
上述の説明のように、ＩＤＳは、従来の侵入検知システムに広く適用できるものである。
【００３８】
次に、被害判定管理装置１１０の内部構成について説明する。被害判定管理装置１１０は、知識データベース（知識ＤＢ）１１４と、フィルタリングモジュール１１１と、知識ＤＢ更新モジュール１１２と、結果通知モジュール１１３とを有するものである。
【００３９】
被害判定管理装置１１０は、ネットワークベースＩＤＳ１３０及び又はホストベースＩＤＳ１２２から不正アクセスに係る警告を、ＬＡＮ１００を通じて受け取り、その不正アクセス事象に関する情報を自動蓄積して管理するものである。また、被害判定管理装置１１０は、ＩＤＳからの警告と不正アクセス事象に関する情報をに基づいて被害を判別して、必要に応じて、その不正アクセス事象の攻撃によって監視対象システム１２０の影響（被害）を解析させるように指示するものである。
【００４０】
すなわち、被害判定管理装置１１０は、ＩＤＳからの警告により被害を判別し、その被害の度合いを判定して、必要に応じて被害解析を指示するものである。
【００４１】
フィルタリングモジュール１１１は、ＩＤＳから、検知された不正アクセスに係る警告を受け取り、各警告について知識ＤＢ１１４を参照して、各警告に対応する各攻撃が引き起こす監視対象システム１２０への被害の影響度合いを判定するものである。
【００４２】
この知識ＤＢ１１４は、不正アクセス事象と被害解析結果とを蓄積するデータベースであって、ＩＤＳからの警告と対応付けられた被害解析結果を蓄積しているものである。
【００４３】
従って、フィルタリングモジュール１１１は、ＩＤＳからの警告に基づいて、対応する被害解析結果を知ることができる。つまり、フィルタリングモジュール１１１は、ＩＤＳからの警告に基づいて、その警告に係る不正アクセス事象と、その不正アクセス事象が引き起こすシステムへの被害と知ることができる。なお、この被害解析結果は、不正アクセス事象が引き起こした監視対象システムへの被害解析であって、後述する被害解析エージェント１２１からの解析結果である。
【００４４】
また、フィルタリングモジュール１１１は、知識ＤＢ１１４に基づいて被害解析結果を判別して、その警告が、監視対象システム１２０へ被害を引き起こすものである場合又は知識ＤＢ１１４に蓄積されていない（若しくは規定されていない）ものである場合には、被害解析エージェント１２１へ被害解析をするように指示するものである。
【００４５】
さらに、フィルタリングモジュール１１１は、ＩＤＳから警告を受け取る毎に、各警告についての被害の判別をし、各警告とその判定結果を対応付けた判定結果を、知識ＤＢ更新モジュール１１２及び結果通知モジュール１１３へ与えるものである。
【００４６】
具体的には、フィルタリングモジュール１１１が被害解析指示をした場合、フィルタリングモジュール１１１は、その警告と被害解析エージェント１２１からの被害解析結果とを対応付けた判定結果を、知識ＤＢ更新モジュール１１２及び結果通知モジュール１１３へ与えるものである。
【００４７】
また、フィルタリングモジュール１１１が被害解析指示をしなかった場合、フィルタリングモジュール１１１は、その警告と「影響なし」の旨とを対応付けた判定結果を、知識ＤＢ更新モジュール１１２及び結果通知モジュール１１３へ与えるものである。
【００４８】
以上のように、フィルタリングモジュール１１１は、知識ＤＢ１１４に蓄積された被害解析結果と、ネットワークベースＩＤＳ１３０及び又はホストベースＩＤＳ１２２から受ける警告の対応付けにより解析指示の要否（フィルタリングルール）を蓄積し、警告を受ける毎に解析調査が不要な警告をフィルタリングルールに追加するものである。
【００４９】
知識ＤＢ１１４は、知識ＤＢ更新モジュール１１２から、不正アクセス事象と被害解析結果とを受け取り、その不正アクセス事象と被害解析結果とを蓄積するデータベースである。また、知識ＤＢ１１４は、被害条件を限定するため、監視対象のシステムの環境定義（例えば、ＯＳやその他の基盤ソフトウェアの名称、バージョン、パッチ適用情報等）の属性情報も蓄積することができるものである。
【００５０】
知識ＤＢ更新モジュール１１２は、フィルタリングモジュール１１１から判定結果を受け取り、その判定結果を知識ＤＢ１１４に与えて、知識ＤＢ１１４に蓄積されている情報を更新するものである。
【００５１】
また、知識ＤＢ更新モジュール１１２は、システム管理者がシステムの状況を把握したり被害判別管理装置１１０に指示したりするためのシステム管理装置（図示しない）から出力される知識ＤＢ１１４クリアの指示に従って、知識ＤＢ１１４をクリアにするものである。
【００５２】
つまり、知識ＤＢ更新モジュール１１２は、知識ＤＢ１１４を未調査の状態に戻すものある。
【００５３】
結果通知モジュール１１３は、フィルタリングモジュールから判定結果を受け取り、その判定結果をシステム管理者（図示しない）へ通知するものである。
【００５４】
次に、監視対象システム１２０の内部構成について説明する。監視対象システム１２０は、少なくとも、被害解析エージェント１２１と、ホストベースＩＤＳ１２２とを有するものである。なお、ホストベースＩＤＳ１２２の説明は省略する。
【００５５】
被害解析エージェント１２１は、監視対象システム内１２０で動作するものであって、被害判定管理装置１１０のフィルタリングモジュール１１１からの被害解析の指示に従って、監視対象システム内１２０の被害解析情報から被害解析を行うものである。また、被害解析エージェントは、ホストベースＩＤＳ１２２との直接のインタフェースは持たないものとする。
【００５６】
（Ａ−２）実施形態の動作
本実施形態に係る被害判別システムの動作について説明する。
【００５７】
図５は、被害判定管理装置の動作を説明するフローチャートである。
【００５８】
まず、ネットワークベースＩＤＳ１３０及び又はホストベースＩＤＳ１２２が不正アクセスを検知した場合、被害判定管理装置１１０のフィルタリングモジュール１１１ヘ警告を通知する（ＳＴ５０１）。
【００５９】
警告を受けたフィルタリングモジュール１１１は、知識ＤＢ１１４に同様の警告に対する判定結果が蓄積されていないか参照する（ＳＴ５０２）。
【００６０】
フィルタリングモジュール１１１は、知識ＤＢ１１４の参照結果から被害解析が必要な場合、被害解析エージェント１２１に対し解析指示を送る（ＳＴ５０４）。
【００６１】
被害解析エージェント１２１は、フィルタリングモジュール１１１からの解析指示を受け、監視対象システム内１２０のファイル変更状態やソフトウェアプロセスの動作状態を調査し、不正アクセスによる影響（被害）の有無をフィルタリングモジュールヘ解析結果として送る（ＳＴ５０５）。
【００６２】
フィルタリングモジュール１１１は、被害解析エージェントヘ解析指示を送るもととなったネットワークベースＩＤＳ１３０及び又はホストベースＩＤＳ１２２の警告と、被害解析エージェント１２１からの解析結果とを対応付けを行い（ＳＴ５０６）、結果通知モジュール１１３及び知識ＤＢ更新モジュール１１２ヘ判定結果として送る（ＳＴ５０８）。
【００６３】
知識ＤＢ更新モジュール１１２は、フィルタリングモジュールからの判定結果を受け、知識ＤＢ１１４を更新する（ＳＴ５０９）（図４．知識ＤＢの基本構成）。また、知識ＤＢ更新モジュール１１２は、システム管理者によるシステム管理装置１４０からの指示（知識ＤＢクリア）により知識ＤＢ１１４内に蓄積したデータの少なくとも一部を消去することで未調査の状態に戻す（知識ＤＢクリア）。
【００６４】
ネットワークベースＩＤＳ１３０及び又はホストベースＩＤＳ１２２の警告に対する被害判定結果をシステム管理装置１４０へ与えてシステム管理者へ通知する（ＳＴ５１０）。
【００６５】
また、システム管理装置１４０へ与えた内容は、通知履歴として被害判定管理装置内１１０のログ１５０に保存する。（通知履歴の構成は図４と同様）
システム管理者がシステムベンダーから提供される対策パッチ等を適用したり、システム環境を変更したりした場合は、システム管理装置１４０からの指示により知識ＤＢ１１４をクリアし被害の判定結果を未調査の状態に戻す。
【００６６】
（Ａ）実施形態の効果
以上のように、本実施形態によれば、被害判定管理装置１１０を備え、被害判定管理装置１１０と被害解析エージェント１２１とが連携することができるので、不正アクセスによる影響（被害）の有無を自動判別できるため、システム管理者の負担となっていた調査や切り分け作業を格段に効率化することが可能となる。
【００６７】
具体的には、被害判定管理装置１１０が、被害解析エージェント１２１と連携をとりつつ、被害判定結果を自動蓄積することができるので、被害が発生しなかった攻撃についてはフィルタリングルールを用いてＩＤＳの警告を無視し、監視対象のシステムにとって新たな攻撃（攻撃手法そのものが既知の攻撃であっても、監視対象のシステムにとって被害解析エージェントが未調査の攻撃）や、過去に監視対象において被害が発生した攻撃（過去に被害が発生しているので、対策をしていない場合は危険と見なせる攻撃）のみをシステム管理者へ通知することができる。
【００６８】
（Ｂ）他の実施形態
上述した実施形態において、本実施形態に係る被害判別システムは、外部ネットワーク（例えば、インターネット等）からの不正アクセスによる被害を判別することとして説明したが、内部のネットワークからの不正アクセスによる被害についても判別することができる。
【００６９】
また、上述した実施形態は、監視対象を、あるシステムとして説明したが、外部ネットワークに接続するネットワークとしてもよい。また、監視対象システムは、そのネットワークや、そこで稼動している装置（例えば、ＷＷＷサーバ、メールサーバ、ＤＮＳサーバ等のサーバ）として適用できる。
【００７０】
また、上述した実施形態に係る被害判定管理装置は、コンピュータ自身又はコンピュータと一体型のハードウェアとして適用でき、また、ハードウェアに実行させるプログラム自身又はそのプログラムを記録する記録媒体等のソフトウェアとして適用できる。
【００７１】
【発明の効果】
以上、本発明によれば、不正アクセスによる被害（影響）の有無を自動判別できるため、システム管理者の負担となっていた調査や切り分け作業を格段に効率化することが可能となる。
【図面の簡単な説明】
【図１】本実施形態に係る被害判別システムの全体構成図である。
【図２】本実施形態に係る被害判別システムの動作を説明する説明図である。
【図３】侵入検知システムが警告を通知する電子メールの形式例である。
【図４】知識データベース（ＤＢ）が蓄積する情報例である。
【図５】本実施形態に係る被害判別システムの動作を説明するフローチャートである。
【符号の説明】
１１０…被害判定管理装置、１１１…フィルタリングモジュール、
１１２…知識ＤＢ更新モジュール、１１３結果通知モジュール、
１１４…知識ＤＢ（知識データベース）、１２０…監視対象システム、
１２１…被害解析エージェント、１２２…ホストベースＩＤＳ、
１３０…ネットワークベースＩＤＳ。
【図１】
2004013553.tif 000003
【図２】
2004013553.tif 000004
【図３】
2004013553.tif 000005
【図４】
2004013553.tif 000006
【図５】
2004013553.tif 000007