(57)【要約】【課題】未知の不正要求を検出する。【解決手段】既知要求ＤＢ１１および不正要求ＤＢ１２に登録されていない未知の要求を受信した場合には試行サーバ１４により要求を試行し、その動作状況や試行結果に基づいて要求が不正であるか否かを制御部１３により判定する。【選択図】        図１
2004355287.tif 000002
【特許請求の範囲】
【請求項１】
保護対象の情報処理装置に向けた要求を受信し、不正要求を破棄して、前記保護対象の情報処理装置に引渡す不正要求防御装置において、
前記受信した要求が既知であるか未知であるかを判定する判定手段と、
該判定手段により、前記受信した要求が未知であるとの判定結果が得られた場合に、当該受信した要求を試行する試行手段と
前記試行手段に異常が発生した場合には、前記受信した要求を破棄する制御手段と
を具えたことを特徴とする不正要求防御装置。
【請求項２】
請求項１に記載の不正要求防御装置において、前記判定手段は、前記試行手段の動作状況、動作の種類内容、試行結果のいずれかが予め定めた許容範囲にないときに、前記試行手段は異常と判定することを特徴とする不正要求防御装置。
【請求項３】
請求項１に記載の不正要求防御装置において、前記試行手段は、前記保護対象の情報処理装置と同じ情報処理機能を有し、前記試行手段に異常なしの判定結果が得られた場合には、前記試行手段の試行結果を保護対象の情報処理装置の前記要求に対する応答として前記要求の要求元に送信する手段をさらに具えたことを特徴とする不正要求防御装置。
【請求項４】
保護対象の情報処理装置に向けた要求を受信し、不正要求を破棄して、前記保護対象の情報処理装置に引渡す不正要求防御装置の不正要求防御方法において、前記不正要求防御装置は、
前記受信した要求が既知であるか未知であるかを判定する判定手段と、
該判定手段により、前記受信した要求が未知であるとの判定結果が得られた場合に、当該受信した要求を試行する試行手段と
前記試行手段に異常が発生した場合には、前記受信した要求を破棄する制御手段と
を具え、
前記受信した要求が既知であるか未知であるかを前記判定手段により判定する判定ステップと、
該判定ステップにより、前記受信した要求が未知であるとの判定結果が得られた場合に、当該受信した要求を前記試行手段により試行する試行ステップと
前記試行手段に異常が発生した場合には、前記受信した要求を前記制御手段により破棄する制御ステップと
を具えたことを特徴とする不正要求防御方法。
【請求項５】
請求項４に記載の不正要求防御方法において、前記判定ステップは、前記試行手段の動作状況、動作の種類内容、試行結果のいずれかが予め定めた許容範囲にないときに、前記試行手段は異常と判定することを特徴とする不正要求防御方法。
【請求項６】
請求項４に記載の不正要求防御方法において、前記試行手段は、前記保護対象の情報処理装置と同じ情報処理機能を有し、前記試行手段に異常なしの判定結果が得られた場合には、前記試行手段の試行結果を保護対象の情報処理機器の前記要求に対する応答として前記要求の要求元に送信する手段をさらに具え、前記試行手段に異常なしの判定結果が得られた場合には、前記試行手段の試行結果を保護対象の情報処理装置の前記要求に対する応答として前記要求の要求元に前記送信する手段により送信するステップをさらに具えたことを特徴とする不正要求防御方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、不正な要求によりサーバ上の許可されていない情報を取得したり、サーバをダウンさせ、使用不能に陥らせたりする外部からの攻撃要求を検知して、サーバを攻撃要求から防御する不正要求防御装置および方法に関する。
【０００２】
【従来の技術】
従来、この種の不正アクセス検知技術としては、サーバが外部から情報処理のための要求、たとえば、コマンド等を受けると、その要求のパターン（以下、要求パターン）が不正なものであるか否かを判定し、不正と判断された要求を破棄し、不正でない要求を受付ける不正要求防御装置が知られている。
【０００３】
不正要求防御装置は不正な要求パターンを登録したデータベースを有し、外部からサーバに対して入力された要求の要求パターンをデータベースに登録された不正要求パターンと照合することにより外部から入力された不正要求を検知している。（たとえば、特許文献１参照）
【０００４】
【特許文献１】
特開２００２−３４２２７９号公報
【０００５】
【発明が解決しようとする課題】
しかしながら、上記データベースに登録されていない新規な要求パターンを有する要求をサーバ受付けた場合、不正要求防御装置は、受付けた要求の要求パターンがデータベースに登録されていないので、受付けた要求は不正なものではないと誤判定してしまう。その結果、サーバが不正行為、たとえば、サーバ上の許可されていない情報を取得する行為（不正アクセス）、サーバをダウン（停止）させて使用不能にする、ＤｏＳ攻撃やＤＤｏＳ攻撃と呼ばれている不正行為を許してしまうことが従来装置にはあった。
【０００６】
そこで、本発明は、データベースに登録されていない未知の不正要求を未然に検知し、サーバなどのコンピュータシステムをその不正要求から保護することができる不正要求防御装置および方法を提供することを目的とする。
【０００７】
【課題を解決するための手段】
このような目的を達成するために、請求項１の発明は、保護対象の情報処理装置に向けた要求を受信し、不正要求を破棄して、前記保護対象の情報処理装置に引渡す不正要求防御装置において、前記受信した要求が既知であるか未知であるかを判定する判定手段と、該判定手段により、前記受信した要求が未知であるとの判定結果が得られた場合に、当該受信した要求を試行する試行手段と前記試行手段に異常が発生した場合には、前記受信した要求を破棄する制御手段とを具えたことを特徴とする。
【０００８】
請求項２の発明は、請求項１に記載の不正要求防御装置において、前記判定手段は、前記試行手段の動作状況、動作の種類内容、試行結果のいずれかが予め定めた許容範囲にないときに、前記試行手段は異常と判定することを特徴とする。
【０００９】
請求項３の発明は、請求項１に記載の不正要求防御装置において、前記試行手段は、前記保護対象の情報処理装置と同じ情報処理機能を有し、前記試行手段に異常なしの判定結果が得られた場合には、前記試行手段の試行結果を保護対象の情報処理装置の前記要求に対する応答として前記要求の要求元に送信する手段をさらに具えたことを特徴とする。
【００１０】
請求項４の発明は、保護対象の情報処理装置に向けた要求を受信し、不正要求を破棄して、前記保護対象の情報処理装置に引渡す不正要求防御装置の不正要求防御方法において、前記不正要求防御装置は、前記受信した要求が既知であるか未知であるかを判定する判定手段と、該判定手段により、前記受信した要求が未知であるとの判定結果が得られた場合に、当該受信した要求を試行する試行手段と前記試行手段に異常が発生した場合には、前記受信した要求を破棄する制御手段とを具え、前記受信した要求が既知であるか未知であるかを前記判定手段により判定する判定ステップと、該判定ステップにより、前記受信した要求が未知であるとの判定結果が得られた場合に、当該受信した要求を前記試行手段により試行する試行ステップと、前記試行手段に異常が発生した場合には、前記受信した要求を前記制御手段により破棄する制御ステップとを具えたことを特徴とする。
【００１１】
請求項５の発明は、請求項４に記載の不正要求防御方法において、前記判定ステップは、前記試行手段の動作状況、動作の種類内容、試行結果のいずれかが予め定めた許容範囲にないときに、前記試行手段は異常と判定することを特徴とする。
【００１２】
請求項６の発明は、請求項４に記載の不正要求防御方法において、前記試行手段は、前記保護対象の情報処理装置と同じ情報処理機能を有し、前記試行手段に異常なしの判定結果が得られた場合には、前記試行手段の試行結果を保護対象の情報処理装置の前記要求に対する応答として前記要求の要求元に送信する手段をさらに具え、前記試行手段に異常なしの判定結果が得られた場合には、前記試行手段の試行結果を保護対象の情報処理装置の前記要求に対する応答として前記要求の要求元に前記送信する手段により送信するステップをさらに具えたことを特徴とする。
【００１３】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態を詳細に説明する。
【００１４】
図１は本発明を適用したサーバクライアントシステムのシステム構成の一例を示す。
【００１５】
図１において、１は本発明に係わる不正要求防御装置である。一般的には不正要求防御装置はファイヤーウォールなどと呼ばれることがある。２は保護対象となるサーバ（保護対象サーバと称する）である。３は保護対象にアクセスするクライアント（コンピュータ）である。４はインターネットやＬＡＮなどの通信網である。クライアント３は通信網４および不正要求防御装置１を介して保護対象サーバ２に対してアクセスする。
【００１６】
不正要求防御装置１は既知要求データベース（ＤＢ）１１、不正要求ＤＢ１２、既知応答ＤＢ１８、制御部１３、少なくとも１つの試行サーバ１４、監視部１５、記録部１６および復元部１７を有する。
【００１７】
不正要求防御装置１には市販のコンピュータを使用することができる。
【００１８】
既知要求ＤＢ１１、不正要求ＤＢ１２、既知応答ＤＢ１８は不正要求防御装置１内のハードディスクのような記憶装置上に構築される。
【００１９】
既知要求ＤＢ１１はこれまでに不正ではないと判明している要求および／または要求パターン（これら２つを単に要求または既知要求と総称する）を保存するデータベースである。
【００２０】
不正要求ＤＢ１２は不正であることが判明している要求および／または要求パターン（これら２つを単に不正要求と総称する）を保存するデータベースである。
【００２１】
既知応答ＤＢ１８は不正ではないと判明している要求に対する保護対象サーバ２の応答結果（既知応答と称する）を保存するデータベースである。
【００２２】
制御部１３は上記構成部を制御するための制御プログラムにより実現される。試行サーバ１４は、この形態では、仮想のサーバである。具体的には、不正要求防御装置の記憶装置（たとえば、ハードディスク）内に保護対象サーバ２と同一のソフトウェアが搭載されており、このソフトウェアが仮想の試行サーバ１４としての機能を果たす。複数の試行サーバ１４を設ける場合には、上記記憶装置の中に複数の記憶領域を設け、この記憶領域中に保護対象サーバ２と同一のソフトウェアを記憶しておく。試行サーバ１４を構成するソフトウェアとしては、少なくともオペレーティングシステム（ＯＳ）を搭載すればよく、その他、重要と思われるソフトウェアを搭載すればよい。試行サーバ１４は、保護対象サーバ２と同一のソフトウェア構成とすることが好適であるが、少なくとも主要部分のソフトウェア構成を同一としてもよい。
【００２３】
本実施形態は、未知の要求を受付けたときに、試行サーバ１４により未知の要求を試行し、その試行結果により上記未知の要求が不正であるか否かを判定することに新規特徴がある。
【００２４】
監視部１５、記録部１６および復元部１７はソフトウェア（いわゆるプログラム）により実現される。
【００２５】
制御部１３は、クライアント３から受付けた要求を一時的に内部メモリに保存し、複数の試行サーバ１４の中で要求を試行していない試行サーバ１４を選択して、試行を行うべく、選択した試行サーバ１４に、受付けた要求で内部メモリに保存している要求を引渡す処理を実行する。
【００２６】
試行サーバ１４の試行の結果、試行サーバ１４に異常が発生した場合には、受付けた要求は不正要求とみなされ、制御部１３により内部メモリ上の不正要求が不正要求ＤＢ１２に登録される。
【００２７】
一方、試行サーバ１４の試行の結果、異常が発生しなかった場合には、受付けた要求は不正ではないとみなされ、制御部１３により内部メモリ上の要求が既知要求ＤＢ１１に登録される。
【００２８】
制御部１３は上述の不正防御処理の他、不正要求防御装置１内の構成部の動作制御を行う。不正防御処理に関しては図５を参照して後で詳細に説明する。
【００２９】
監視部１５は試行サーバ１４が要求を試行しているときに、試行サーバ１４の異常の有無を監視する。一例としてはＣＰＵの使用率やメモリ使用率が許容範囲内にあるか、試行サーバ１４がアクセスしようとする記憶領域やファイルが許可されたものであるか、試行サーバ１４の試行結果が許容範囲内にあるかの種々の診断項目により異常の有無の発生を検出することができる。監視部１５の監視結果は制御部１３に引渡される。
【００３０】
記録部１６は試行サーバ１４に異常が発生した場合に制御部１３の指示で、試行サーバ１４の異常の発生状況をハードディスクのような記憶装置に保存する。
【００３１】
復元部１７は異常が発生した試行サーバ１４を正規な状態に復元する。
【００３２】
復元処理としては、ソフトウェア全体を正規なものと入れ替える（再インストール）する処理および破壊されたデータを修復する処理を選択的に行う。復元処理自体は周知であり、詳細な説明を要しないであろう。
【００３３】
既知要求データベース１１に保存される要求の一例を図２に示す。図２は、インターネット上で使用される通信データである。
【００３４】
不正要求データベース１２に保存される不正要求の一例を図３に示す。たとえば、Ｎｏ．１はＷｏｒｍと呼ばれる不正プログラム（自己増殖しながら他のコンピュータに伝染し、場合によってはデータを破壊するプログラム）の一部を示している。この部分が不正要求の要求パターンとなる。
【００３５】
図３のＮＯ．２および３はプローブとなる不正命令である。
【００３６】
このような要求パターンを有するプログラムが不正要求となる。
【００３７】
既知応答データベース１８に保存される既知応答の一例を図４に示す。図４のＮｏ．１の応答は図２のＮｏ．１のＨＴＭＬ文書の要求命令に対して応答送信するＨＴＭＬ文書の一例を示している。Ｎｏ．２は図２のＮｏ．２のメールの送り先の認識要求に対する応答送信データを示している。
【００３８】
Ｎｏ．３は図２のＮｏ．３の検索要求に対して応答送信する回答を示している。
【００３９】
以上の点を踏まえ、制御部１３により実行される不正要求防御処理を図５を参照しながら説明する。図５に示す処理手順は、実際には、コンピュータ（ＣＰＵ）が実行可能なプログラムの形態で不正要求防御装置１に実装される。この例では要求そのものが不正であるかをチェックする例を説明する。
【００４０】
（１）受付けた要求が既知で保護対象サーバの応答が未知の場合
不正要求防御装置１がクライアント３から保護対象サーバ２宛ての要求を受信すると、制御部１３は受信した要求が既知要求（不正ではない要求）か否かを、既知要求データベース１１に保存されている既知命令との照合により判定する（Ｓ１０）。照合により、受信した要求と同じ要求が既知要求データベース１１に含まれている場合には、ステップ１０の判定は、受信の要求は既知と判定される。このため、制御部１３は受信の命令は不正要求ではないと判断し、受信の要求を保護対象サーバ２に送信する（Ｓ１１）。保護対象サーバ２は要求に対応した情報処理を行い、その情報処理結果を応答として制御部１３に引渡す。
【００４１】
制御部１３は応答を受信し、要求を送信したクライアント３に応答を送信する（Ｓ１２→Ｓ１３）。この後、制御部１３は、送信した応答について、既知応答データベース１８の既知応答を照合し、既知応答データベース１８に送信した要求が登録されていない場合には、送信した既知応答を既知応答データベース１８に登録する（Ｓ１４の判定がＮｏ判定→Ｓ２０→終了）。
【００４２】
（２）要求が既知で応答が既知の場合
制御部１３は上述のＳ１０〜Ｓ１３までの処理により受信の要求が既知であることを検出する。ステップＳ１４では、制御部１３は既知応答ＤＢ１８の照合により受信の要求が既知であることを検出することができる。これにより応答は既知か否かのＳ１４の判定処理の判定結果はＹＥＳとなって、図５の処理手順を終了する。
【００４３】
（３）要求が既知の不正要求の場合
Ｓ１０の要求は既知か判定処理で、ＮＯとなる。これにより手順はステップＳ１０からＳ３０に進む。Ｓ３０で受信の命令が不正か否かの判定が、不正要求ＤＢ１２に保存された不正要求との照合により下される。
【００４４】
受信の要求と同じ要求が不正要求ＤＢ１２に登録されている場合には、受信の要求は不正要求と判定され（Ｓ３０がＹＥＳ）、受信の要求は破棄されて、保護対象サーバ２には送られない（Ｓ３１）。
【００４５】
（４）要求が未知で、試行サーバ１４の試行結果に異常が発生しない場合
受信した要求が未知の場合にはＳ１０の判定結果はＮｏとなり、手順はＳ３０へと進む。Ｓ３０での不正要求ＤＢ１２の不正要求との照合により、不正要求ＤＢ１２にも受信の要求と同じ要求が登録されていないことが検出されると、制御部１３は受信の要求は未知と判定する（Ｓ３０の判定結果がＮｏ）。
【００４６】
そこで、制御部１３は受信の要求を空き（試行を行っていない）試行サーバ１４に送信（引渡す）する。また、監視部１５に対して試行サーバ１４の監視を指示する（Ｓ４０）。
【００４７】
監視部１５は従来からよく知られている情報処理技術、すなわち、プログラム実行時の異常発生、たとえば、プログラムの実行の停止、アクセスが禁止された記憶領域へのアクセス等の異常（システムエラーとも呼ばれる）の有無を検出する技術を使用して、試行サーバ１４の異常発生の有無を監視し、その監視結果を制御部１３に引渡す。制御部１３はその監視結果の内容に応じて以下の処理を行う。
【００４８】
試行に際して異常が発生しなかった場合にはステップＳ４１の監視結果の異常有無判定が異常なし（ＮＯ）、すなわち、受信の要求は不正な要求ではないと判定される。手順はステップＳ４２に進む。制御部１３は、試行サーバ１４の受信の要求に対する応答（すなわち試行結果）について既知応答ＤＢ１８の既知応答を照合し、試行結果が既知応答ＤＢに登録されているか（試行結果が既知か）否かの判定を行う（Ｓ４２）。試行結果が既知応答ＤＢに登録されていない場合には、要求を送信したクライアントに対して試行サーバ１４の試行結果を送信した後、既知応答ＤＢ１８に試行結果を登録する（Ｓ４２→Ｓ５０→Ｓ５１→終了）。
【００４９】
ここで特筆すべきは、試行サーバ１４の試行結果が、保護対象サーバ２の情報処理結果（応答）としてクライアント３に送信される点である。これにより保護対象サーバ２に受信の要求を引渡すよりも、クライアント３に対する応答時間がおおきく短縮される。
【００５０】
一方、試行結果が既知応答ＤＢ１８に登録されている場合には要求を送信したクライアントに対して試行サーバ１４の試行結果を送信し、既知要求ＤＢ１１に要求を登録する（Ｓ４２→Ｓ４３→Ｓ４４→終了）。
【００５１】
（改良形態１）
この実施形態では、試行サーバ１４と保護対象サーバ２とは同じ情報処理を行うためのソフトウェアをそれぞれが搭載している例であるが、試行サーバ１４が保護対象サーバの中の一部の重要な情報処理を試行するように構成されている場合には、試行結果に異常がない場合には、保護対象サーバ２に受信の要求を引渡し、保護対象サーバ２で要求を実行するようにしてもよい。
【００５２】
（５）要求が未知で、試行サーバ１４の試行結果に異常が発生した場合
このケースでは、手順は上述したようにＳ１０→Ｓ３０→Ｓ４０→Ｓ４１と進み、Ｓ４１の試行の異常の有無判定で異常有り（Ｎｏ判定）が得られる。これにより手順はステップＳ６０へと進み、制御部１３は試行サーバ１４からの応答を破棄し、試行サーバ１４の現在の異常状態（たとえば、システムエラーメッセージの内容）を記録部１６に引渡し、装置内部の専用の記憶領域に記録部１６により記憶（記録）させる（Ｓ６１）。
【００５３】
この後、制御部１３は復元部１７を起動して、異常が発生した試行サーバ１４を正規の状態に復元する（ステップＳ６２）。
【００５４】
制御部１３は異常の発生の基となった、受信の要求を不正要求ＤＢ１２に登録して図５の処理手順を終了する（Ｓ６３→終了）。
【００５５】
以上、説明したように、本実施形態では、既知要求ＤＢ１１および不正要求ＤＢ１２に登録されていない未知の要求をクライアント３から受信した場合には試行サーバ１４により、要求を試行するので、異常の発生の有無により未知の要求が不正要求であるか否かを検出することができる。このため、本実施形態では、従来のように、未知の要求を保護対象サーバ２が実行することはない。
【００５６】
上述の実施形態の他に次の形態を実施できる。
（１）不正要求の概念の中には不正行為を要求するコマンド以外にもＤＤｏＳ攻撃のように大量のデータを送りつける不正行為も含まれる。このような不正行為が行われた場合にも不正要求が行われたとみなして、上述の処理を行えばよい。この場合の不正要求は大量のデータを繰り返し送るという要求パターンを不正要求ＤＢ１２に登録する。制御部１３は、クライアントから送られるデータを分析し、クライアント３による不正行為の有無を判定する。
（２）上述の実施形態では試行サーバ１４は仮想のサーバ、すなわち、保護対象サーバと同じソフトウェア構成を有するサーバとしているが、保護対象サーバと同じソフトウェアを搭載した実機（ハードウェア）を使用してもよいこと勿論である。
（３）上述の記録部１６としてプリンタを使用してもよい。さらに記録部１６の記録先の記憶領域は、試行サーバ１４（ソフトウェア形態）や試行サーバ１４が使用する記憶領域と隔離（パーティションをきること）すると、試行サーバ１４によるデータ破壊などの影響から記憶データを保護することができる。
（４）上述の実施形態ではサーバ−クライアントシステムについて説明したがこれに限ることはない。携帯電話機、その他情報処理機器から要求を受ける情報処理装置、たとえば、設備を制御するコンピュータシステム等にも本発明を適用することができる。
（５）試行サーバ１４の異常の概念の中には試行サーバ自体の動作の異常（ＣＰＵの処理速度の異常、メモリの使用量の異常な増加）、許可されていない動作をすること（たとえば、許可されたクライアント以外のクライアントにデータを送りつける行為、アクセスが禁止されている記憶領域にアクセスする行為、記憶データの破壊，など）、試行の情報処理結果が許容されたものとならないこと（たとえば、許可されたクライアント以外のクライアントにデータを送りつける行為）などが含まれる。
【００５７】
上述の実施形態の他にも種々の改良形態が存在するが、その改良形態が特許請求の範囲に示される技術思想に基づくものである限り、その改良形態は本発明の技術的範囲内となる。
【００５８】
【発明の効果】
以上、説明したように、本発明によれば、試行手段により、未知の要求を試行することにより、未知の要求が不正要求であるかを否かを判定することができる。また、これにより、未知の要求を受付けて、保護対象の情報処理装置が停止するなどの悪影響を受けることがない。
【００５９】
さらに試行手段に異常がない場合には、その試行結果を保護対象の情報処理装置の情報処理結果として要求元に送信することにより、不正要求検知のために情報処理装置の応答が遅くなるという不具合を解消することができる。
【図面の簡単な説明】
【図１】本発明実施形態のシステム構成を示すブロック図である。
【図２】既知要求ＤＢの既知要求の一例を示す説明図である。
【図３】不正要求ＤＢの不正要求の一例を示す説明図である。
【図４】既知応答ＤＢの応答の一例を示す説明図である。
【図５】制御部の処理内容を示すフローチャートである。
【符号の説明】
１  不正要求防御装置
２  保護対象サーバ
３  クライアント
１１  既知要求ＤＢ
１２  不正要求ＤＢ
１８  既知応答ＤＢ
【図１】
2004355287.tif 000003
【図２】
2004355287.tif 000004
【図３】
2004355287.tif 000005
【図４】
2004355287.tif 000006
【図５】
2004355287.tif 000007