(57)【特許請求の範囲】
【請求項１】
監視対象のネットワークを流れるパケットを、スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知するセキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得部と、
前記攻撃検知取得部が取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御部と
を備え、
前記パケット制御部は、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行う
ことを特徴とする通信制御装置。
【請求項２】
前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部
を備え、
前記対象変更部は、送信元に重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて危険と判定される前記送信元からのパケットを重点的に、前記セキュリティ機器に監視させる
ことを特徴とする請求項１に記載の通信制御装置。
【請求項３】
前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部
を備え、
前記対象変更部は、送信元に重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて攻撃の兆候があると判定される前記送信元からのパケットを重点的に、前記セキュリティ機器に監視させる
ことを特徴とする請求項１に記載の通信制御装置。
【請求項４】
前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部
を備え、
前記対象変更部は、前記監視対象の機器に対する通信量により重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて前記通信量が多い前記監視対象の機器に宛てたパケットを重点的に、前記セキュリティ機器に監視させる
ことを特徴とする請求項１に記載の通信制御装置。
【請求項５】
前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部
を備え、
前記対象変更部は、攻撃パケットの内容に応じて重み付けを行い、当該重み付けが重い攻撃パケットの兆候があった場合に、当該重み付けが重い攻撃パケットの内容に対して重点的に、前記セキュリティ機器に監視させる
ことを特徴とする請求項１に記載の通信制御装置。
【請求項６】
監視対象のネットワークを流れるパケットを制御するスイッチ装置と、
前記監視対象のネットワークを流れるパケットを、前記スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知するセキュリティ機器と、
通信制御装置と
を備え、
前記通信制御装置は、
前記セキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得部と、
前記攻撃検知取得部が取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御部と
を備え、
前記パケット制御部は、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行う
ことを特徴とする攻撃防御システム。
【請求項７】
監視対象のネットワークを流れるパケットを制御するスイッチ装置を備える攻撃防御システムの攻撃防御方法であって、
セキュリティ機器が、前記監視対象のネットワークを流れるパケットを、前記スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知する攻撃検知ステップと、
通信制御装置が、前記セキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得ステップと、
通信制御装置が、前記攻撃検知取得ステップにて取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御ステップと
を含み、
前記パケット制御ステップにおいて、通信制御装置が、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行う
ことを特徴とする攻撃防御方法。
【請求項８】
コンピュータに、
監視対象のネットワークを流れるパケットを、スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークの攻撃を検知するセキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得ステップと、
前記攻撃検知取得ステップにて取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御ステップと
を実行させ、
前記パケット制御ステップにおいて、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行う処理を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信制御装置、攻撃防御システム、攻撃防御方法、及びプログラムに関する。
【背景技術】
【０００２】
近年、ネットワーク中を流れるパケットを監視し、不正な侵入などのネットワーク上の攻撃を検知する技術としてＩＤＳ（Intrusion Detection System：侵入検知システム）及びＩＰＳ（Intrusion Prevention System：侵入防御システム）などの攻撃防御システムが知られている（例えば、特許文献１参照）。ＩＤＳ及びＩＰＳは、ネットワークへの配置方法によりプロミスキャスモードとインラインモードに分かれる。プロミスキャスモードは、スイッチ等のミラーポートに接続されるのに対し、インラインモードは、ネットワーク上に配置される。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】再公表ＷＯ２００９／１１９０４９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
上述したＩＤＳは、主にプロミスキャスモードで配置されるため、トラフィックの増加やフォールス・ポジティブによるネットワーク障害のリスクを回避することができるが、攻撃パケットを遮断することはできない。ここで、フォールス・ポジティブとは、正当な通信を不正な通信として検知することである。一方、ＩＰＳは、主にインラインモードで配置されるため、攻撃パケットを遮断することはできるが、大量のトラフィックを処理できずにボトルネックとなる可能性がある。すなわち、ＩＰＳは、トラフィックの増加やフォールス・ポジティブによりネットワーク障害のリスクが増加する場合がある。
このため、大量のトラフィックを処理しつつ、攻撃に対して防御処理を行うことができる技術が望まれる。
【０００５】
本発明は、このような状況に鑑みてなされたもので、その目的は、トラフィックを適切に処理しつつ、攻撃に対して防御処理を行うことができる通信制御装置、攻撃防御システム、攻撃防御方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【０００６】
上記問題を解決するために、本発明の一態様は、監視対象のネットワークを流れるパケットを、スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知するセキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得部と、前記攻撃検知取得部が取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御部とを備え、前記パケット制御部は、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行うことを特徴とする通信制御装置である。
また、本発明の一態様は、上記の通信制御装置において、前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部を備え、前記対象変更部は、送信元に重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて危険と判定される前記送信元からのパケットを重点的に、前記セキュリティ機器に監視させることを特徴とする。
また、本発明の一態様は、上記の通信制御装置において、前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部を備え、前記対象変更部は、送信元に重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて攻撃の兆候があると判定される前記送信元からのパケットを重点的に、前記セキュリティ機器に監視させることを特徴とする。
また、本発明の一態様は、上記の通信制御装置において、前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部を備え、前記対象変更部は、前記監視対象の機器に対する通信量により重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて前記通信量が多い前記監視対象の機器に宛てたパケットを重点的に、前記セキュリティ機器に監視させることを特徴とする。
また、本発明の一態様は、上記の通信制御装置において、前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部を備え、前記対象変更部は、攻撃パケットの内容に応じて重み付けを行い、当該重み付けが重い攻撃パケットの兆候があった場合に、当該重み付けが重い攻撃パケットの内容に対して重点的に、前記セキュリティ機器に監視させることを特徴とする。
【０００７】
また、本発明の一態様は、上記の通信制御装置において、前記パケット制御部は、前記攻撃検知情報が、前記監視対象のネットワークに接続された監視対象の機器に対する攻撃を前記セキュリティ機器により検知したことを示す情報である場合に、前記スイッチ装置に、攻撃元の機器から送信されたパケットを破棄させる制御を行うことを特徴とする。
【０００８】
また、本発明の一態様は、上記の通信制御装置において、前記パケット制御部は、前記攻撃検知情報が、前記監視対象のネットワークに接続された監視対象の機器に対する攻撃を前記セキュリティ機器により検知したことを示す情報である場合に、前記スイッチ装置に、前記監視対象の機器との通信を遮断させることにより、前記監視対象の機器を隔離させるとともに、前記監視対象の機器に宛てたパケットを、前記監視対象の機器の身代わりとなる囮の機器に宛てたパケットに変更して転送させる制御を行うことを特徴とする。
【０００９】
また、本発明の一態様は、上記の通信制御装置において、前記パケット制御部は、前記攻撃検知情報が、前記監視対象のネットワークを流れるパケットの通信量が、所定の閾値以上であることを示す情報である場合に、前記スイッチ装置に、前記所定の閾値を超えた分のパケットを破棄させる制御を行うことを特徴とする。
【００１０】
また、本発明の一態様は、上記の通信制御装置において、前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットをセキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部を備えることを特徴する。
【００１１】
また、本発明の一態様は、監視対象のネットワークを流れるパケットを制御するスイッチ装置と、前記監視対象のネットワークを流れるパケットを、前記スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知するセキュリティ機器と、通信制御装置とを備え、前記通信制御装置は、前記セキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得部と、前記攻撃検知取得部が取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御部とを備え、前記パケット制御部は、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行うことを特徴とする攻撃防御システムである。
【００１２】
また、本発明の一態様は、監視対象のネットワークを流れるパケットを制御するスイッチ装置を備える攻撃防御システムの攻撃防御方法であって、セキュリティ機器が、前記監視対象のネットワークを流れるパケットを、前記スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知する攻撃検知ステップと、通信制御装置が、前記セキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得ステップと、通信制御装置が、前記攻撃検知取得ステップにて取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御ステップとを含み、前記パケット制御ステップにおいて、通信制御装置が、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行うことを特徴とする攻撃防御方法である。
【００１３】
また、本発明の一態様は、コンピュータに、監視対象のネットワークを流れるパケットを、スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知するセキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得ステップと、前記攻撃検知取得ステップにて取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御ステップとを実行させ、前記パケット制御ステップにおいて、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行う処理を実行させるためのプログラムである。
【発明の効果】
【００１４】
本発明によれば、トラフィックを適切に処理しつつ、攻撃に対して防御処理を行うことができる。
【図面の簡単な説明】
【００１５】
【図１】第１の実施形態による攻撃防御システムの一例を示すブロック図である。
【図２】第１の実施形態による攻撃防御システムの動作の一例を示す図である。
【図３】第１の実施形態による通信制御装置の動作の一例を示すフローチャートである。
【図４】第１の実施形態による攻撃防御システムの防御動作の一例を示す第１の図である。
【図５】第１の実施形態による攻撃防御システムの防御動作の一例を示す第２の図である。
【図６】第１の実施形態による攻撃防御システムの防御動作の一例を示す第３の図である。
【図７】第２の実施形態による通信制御装置の動作の一例を示すフローチャートである。
【図８】第２の実施形態による攻撃防御システムの防御動作の一例を示す図である。
【図９】第３の実施形態による攻撃防御システムの一例を示すブロック図である。
【図１０】第３の実施形態による通信制御装置の動作の一例を示すフローチャートである。
【図１１】第１の変形例の攻撃防御システムを示すブロック図である。
【図１２】第２の変形例の攻撃防御システムを示すブロック図である。
【発明を実施するための形態】
【００１６】
以下、本発明の一実施形態による攻撃防御システム及び通信制御装置について図面を参照して説明する。
［第１の実施形態］
図１は、第１の実施形態による攻撃防御システム１の一例を示すブロック図である。
この図に示すように、攻撃防御システム１は、ＳＤＮ（Software Defined Networking）スイッチ３０と、ＳＤＮコントローラ装置４０と、ＩＤＳ（Intrusion Detection System：侵入検知システム）５０と、通信制御装置１００とを備えている。攻撃防御システム１は、攻撃側コンピュータ装置１０と監視対象コンピュータ装置２０との間の監視対象のネットワークＮＷ１を監視し、攻撃側コンピュータ装置１０から監視対象コンピュータ装置２０へのネットワークＮＷ１上での攻撃を防御するシステムである。
【００１７】
攻撃側コンピュータ装置１０は、監視対象のネットワークＮＷ１を介して、監視対象コンピュータ装置２０に攻撃し、不正に情報を取得しようとするコンピュータ装置である。なお、監視対象のネットワークＮＷ１は、攻撃防御システム１が攻撃側コンピュータ装置１０からの攻撃を監視する対象となるネットワークである。
【００１８】
監視対象コンピュータ装置２０は、監視対象のネットワークＮＷ１に接続されているコンピュータ装置であって、攻撃側コンピュータ装置１０からのネットワークにおける攻撃を監視する対象であるコンピュータ装置である。ここでは、１台の監視対象コンピュータ装置２０を図示して説明するが、監視対象のネットワークＮＷ１には複数台の監視対象コンピュータ装置２０が接続されていてもよく、通信制御装置１００は、複数台の監視対象コンピュータ装置２０を監視対象としてもよい。また、１台の攻撃側コンピュータ装置１０を図示して説明するが、監視対象のネットワークＮＷ１には複数台の攻撃側コンピュータ装置１０が接続されていてもよい。
【００１９】
ＳＤＮスイッチ（スイッチ装置の一例）３０は、例えば、オープンフロースイッチなどであり、攻撃側コンピュータ装置１０と監視対象コンピュータ装置２０との間の監視対象のネットワークＮＷ１上に接続される。ＳＤＮスイッチ３０は、後述するＳＤＮコントローラ装置４０によって設定された設定情報に基づいて、パケットの通過を制御可能なスイッチである。ＳＤＮスイッチ３０は、例えば、監視対象のネットワークＮＷ１における攻撃が検出されていない通常時に、監視対象のネットワークＮＷ１を流れるパケットを、監視のためにＩＤＳ５０に転送する。なお、本実施形態では、ＳＤＮスイッチ３０は、通常時に、監視対象のネットワークＮＷ１を流れる全てのパケットをＩＤＳ５０に転送するものとする。
【００２０】
また、ＳＤＮスイッチ３０は、例えば、監視対象のネットワークＮＷ１における攻撃が検出された場合に、ＳＤＮコントローラ装置４０によって監視対象のネットワークＮＷ１を流れるパケットを制限させる設定がされる。これにより、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１を流れるパケットを制限することにより、攻撃側コンピュータ装置１０からの攻撃に対する防御を行う。なお、ＳＤＮスイッチ３０による監視対象のネットワークＮＷ１を流れるパケットを制限させる制御の詳細については後述する。
【００２１】
ＳＤＮコントローラ装置４０は、例えば、オープンフローコントローラであり、ＳＤＮスイッチ３０に設定情報を設定する処理を実行する。本実施形態では、ＳＤＮコントローラ装置４０は、通信制御装置１００からの指示（指令）に基づいて、ＳＤＮスイッチ３０を制御する設定情報をＳＤＮスイッチ３０に設定する。
ＳＤＮコントローラ装置４０は、スイッチ設定処理部４１を備えている。スイッチ設定処理部４１は、通信制御装置１００からの指示（指令）に基づいてＳＤＮスイッチ３０を制御する設定情報を生成し、生成した設定情報をＳＤＮスイッチ３０に送信する。
【００２２】
ＩＤＳ５０（セキュリティ機器の一例）は、監視対象のネットワークＮＷ１を流れるパケットを、ＳＤＮスイッチ３０を介してプロミスキャスモードで監視する。ＩＤＳ５０は、監視した当該パケットに基づいて、監視対象のネットワークＮＷ１における攻撃（例えば、攻撃側コンピュータ装置１０から監視対象コンピュータ装置２０への攻撃）を検知する。
また、ＩＤＳ５０は、攻撃検知部５１と、記憶部６０とを備えている。
【００２３】
記憶部６０は、ＩＤＳ５０が利用する各種情報を記憶する。記憶部６０は、例えば、攻撃側コンピュータ装置１０からの攻撃を検知するための情報、及びＳＤＮスイッチ３０から転送されてきた監視対象のパケットなどを記憶する。また、記憶部６０は、攻撃判定情報記憶部６１を備えている。
攻撃判定情報記憶部６１は、攻撃側コンピュータ装置１０からの攻撃を検知するための情報を記憶する。攻撃判定情報記憶部６１は、例えば、攻撃を検知するためのルール情報、攻撃パケットを検知するためにパターン情報などを記憶している。具体的に、攻撃判定情報記憶部６１は、攻撃側コンピュータ装置１０が予め判明している場合には、攻撃側コンピュータ装置１０のＩＰアドレスをパターン情報として記憶してもよいし、ＳＱＬ（エスキューエル）インジェクションなどのパケットを検知するパターン情報を記憶してもよい。また、攻撃判定情報記憶部６１は、統計的手法に基づいて攻撃を検知するためのルール情報を記憶してもよい。
【００２４】
攻撃検知部５１は、ＳＤＮスイッチ３０から転送されてきた監視対象のパケットを取得し、取得した当該パケットと、攻撃判定情報記憶部６１が記憶する攻撃を検知するための情報とに基づいて、攻撃側コンピュータ装置１０からの攻撃を検知する。攻撃検知部５１は、攻撃側コンピュータ装置１０からの攻撃を検知した場合に、検知した攻撃を示す攻撃検知情報として、検知アラートを通信制御装置１００に送信する。なお、検知アラートには、検知した攻撃の種類を示す情報（例えば、ＤｏＳ（Denial of Service）攻撃、ＳＱＬインジェクションなど）、攻撃側コンピュータ装置１０を識別する情報（例えば、ＩＰアドレス）が含まれる。なお、検知アラートには、攻撃を検知したパケットである攻撃パケットを丸ごと含むログ情報が付加されていてもよい。
【００２５】
通信制御装置１００は、ＩＤＳ５０から送信された検知アラートを取得し、取得した検知アラートに基づいて、ＩＤＳ５０が検出した攻撃に対する防御方法を決定する。通信制御装置１００は、決定した防御方法に対応するネットワークの設定変更を依頼する設定変更依頼をＳＤＮコントローラ装置４０に送信する。
また、通信制御装置１００は、攻撃検知取得部１０１と、パケット制御部１０２とを備えている。
【００２６】
攻撃検知取得部１０１は、ＩＤＳ５０が検知した当該攻撃を示す攻撃検知情報である検知アラートを取得する。すなわち、攻撃検知取得部１０１は、ＩＤＳ５０が攻撃を検知した場合に送信する検知アラートを取得する。
【００２７】
パケット制御部１０２は、攻撃検知取得部１０１が取得した検知アラートに基づいて、ＳＤＮスイッチ３０に、監視対象のネットワークＮＷ１を流れるパケットを制限させる制御を行う。すなわち、パケット制御部１０２は、取得した検知アラートに含まれる攻撃の種類を示す情報に基づいて攻撃に対する防御方法を決定し、決定した防御方法に対応するネットワークの設定変更を依頼する設定変更依頼を生成する。そして、パケット制御部１０２は、生成した設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。なお、ＳＤＮコントローラ装置４０は、この設定変更依頼に応じて、設定変更依頼に対応する設定情報をＳＤＮスイッチ３０に設定することで、監視対象のネットワークＮＷ１を流れるパケットを制限する。
【００２８】
パケット制御部１０２は、例えば、検知アラートが、監視対象のネットワークＮＷ１に接続された監視対象の機器である監視対象コンピュータ装置２０に対する攻撃をＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、攻撃側コンピュータ装置１０から送信されたパケット（不正パケット又は攻撃パケット）を破棄させる制御を行う。すなわち、パケット制御部１０２は、不正パケットによる攻撃を検知した場合に、攻撃側コンピュータ装置１０から送信されたパケットを破棄させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。ここでの不正パケットは、不正な通信による攻撃パケットのことである。なお、この場合、パケット制御部１０２は、監視対象のネットワークＮＷ１を流れるパケットのうち、攻撃側コンピュータ装置１０からの攻撃パケット以外のパケット（攻撃側コンピュータ装置１０以外の他の機器から送信された正常パケット）を通過させる設定を、ＳＤＮコントローラ装置４０を介して、ＳＤＮスイッチ３０に行う。
【００２９】
また、パケット制御部１０２は、例えば、検知アラートが、監視対象のネットワークＮＷ１を流れるパケットの通信量が、所定の閾値以上であることを示す情報である場合に、ＳＤＮスイッチ３０に、所定の閾値を超えた分のパケットを破棄させる制御を行う。すなわち、監視対象のネットワークＮＷ１上のトラフィック（通信量）を増大させることによって監視対象コンピュータ装置２０を攻撃するＤｏＳ攻撃を検知した場合に、パケット制御部１０２は、ＳＤＮスイッチ３０を通過するパケットの通信量を低減させる設定を、ＳＤＮコントローラ装置４０を介して、ＳＤＮスイッチ３０に行う。
また、パケット制御部１０２は、例えば、検知アラートが、ＳＱＬインジェクションをＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、インジェクション部分を安全な内容（ダミーデータ）に置換して監視対象コンピュータ装置２０に転送させる制御を行う。
【００３０】
このように、パケット制御部１０２は、ＩＤＳ５０から取得した検知アラートに対する防御方法を決定し、決定した防御方法に対応する監視対象のネットワークＮＷ１の設定変更依頼をＳＤＮコントローラ装置４０に送信する。
【００３１】
次に、本実施形態による攻撃防御システム１の動作について、図面を参照して説明する。
図２は、本実施形態による攻撃防御システム１の動作の一例を示す図である。
図２において、まず、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１のパケットをＩＤＳ５０に転送する（ステップＳ１０１）。ここで、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１を流れるパケットを、自装置を通過させるとともに、ＩＤＳ５０に対して転送する。
【００３２】
次に、ＩＤＳ５０は、監視対象のネットワークＮＷ１のパケットを監視する（ステップＳ１０２）。すなわち、ＩＤＳ５０は、ＳＤＮスイッチ３０から転送された監視対象のネットワークＮＷ１を流れるパケットを取得し、攻撃の兆候がないか監視する。ＩＤＳ５０は、監視した当該パケットと、攻撃判定情報記憶部６１が記憶する情報とに基づいて、監視対象のネットワークＮＷ１における攻撃（例えば、攻撃側コンピュータ装置１０から監視対象コンピュータ装置２０への攻撃）を検知する。
なお、ステップＳ１０１及びステップＳ１０２の処理が、攻撃防御システム１における通常時の処理に対応し、通常時は、ステップＳ１０１及びステップＳ１０２の処理が、攻撃が検知されるまで繰り返される。
【００３３】
ＩＤＳ５０は、監視対象のネットワークＮＷ１における攻撃を検知した場合に、検知した当該攻撃の種類を特定する（ステップＳ１０３）。
次に、ＩＤＳ５０は、検知アラートを生成し（ステップＳ１０４）、生成した検知アラートを通信制御装置１００に送信する（ステップＳ１０５）。なお、検知アラートには、例えば、検知した攻撃の種類、攻撃パケットの内容等のログ情報などが含まれている。
【００３４】
通信制御装置１００は、検知アラートに対する対応方法を決定する（ステップＳ１０６）。すなわち、通信制御装置１００は、ＩＤＳ５０が送信した検知アラートを受信し、受信した検知アラートに含まれる情報に基づいて、攻撃に対する防御方法（対応方法）を決定する。
なお、ステップＳ１０３からステップＳ１０６までの処理が、攻撃防御システム１における攻撃検知時（不正通信検知時）の処理に対応する。
【００３５】
次に、通信制御装置１００は、監視対象のネットワークＮＷ１の設定変更依頼をＳＤＮコントローラ装置４０に送信する（ステップＳ１０７）。すなわち、通信制御装置１００は、決定した防御方法（対応方法）に対応した監視対象のネットワークＮＷ１の設定変更を依頼する設定変更依頼をＳＤＮコントローラ装置４０に送信する。
【００３６】
次に、ＳＤＮコントローラ装置４０は、ＳＤＮスイッチ３０の設定を変更する（ステップＳ１０８）。すなわち、ＳＤＮコントローラ装置４０は、通信制御装置１００から受信した設定変更依頼に対応したＳＤＮスイッチ３０の設定情報を生成し、生成した設定情報をＳＤＮスイッチ３０に送信する。
これにより、ＳＤＮスイッチ３０が、監視対象のネットワークＮＷ１を流れるパケットを制限して、ＩＤＳ５０が検知した攻撃に対する防御を行う。
なお、ステップＳ１０７及びステップＳ１０８の処理が、攻撃防御システム１における防御動作の処理に対応する。
【００３７】
次に、図３〜図６を参照して、通信制御装置１００の動作、及び防御動作の詳細について説明する。
図３は、本実施形態による通信制御装置１００の動作の一例を示すフローチャートである。
この図において、通信制御装置１００は、まず、検知アラートがあるか否かを判定する（ステップＳ２０１）。すなわち、通信制御装置１００の攻撃検知取得部１０１は、ＩＤＳ５０が検知アラートを送信したか否かを判定する。攻撃検知取得部１０１は、ＩＤＳ５０が検知アラートを送信した場合（ステップＳ２０１：ＹＥＳ）に、処理をステップＳ２０２に進め、攻撃検知取得部１０１は、検知アラートを取得する。また、攻撃検知取得部１０１は、ＩＤＳ５０が検知アラートを送信していない場合（ステップＳ２０１：ＮＯ）に、処理をステップＳ２０１に戻す。
【００３８】
次に、通信制御装置１００のパケット制御部１０２は、取得した検知アラートに基づいて、処理を分岐する（ステップＳ２０３）。
パケット制御部１０２は、例えば、検知アラートが、ＤＯＳ攻撃やＳＱＬインジェクションを示す情報でない、その他の不正パケットによる攻撃を示す情報である場合に、攻撃者からの攻撃パケットを遮断させる指示を送信する（ステップＳ２０４）。すなわち、パケット制御部１０２は、ＳＤＮスイッチ３０に攻撃側コンピュータ装置１０からの攻撃パケットを破棄させて、当該攻撃パケットを遮断させる設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。パケット制御部１０２は、例えば、検知アラートに含まれる攻撃側コンピュータ装置１０を識別する識別情報であるＩＰアドレスを送信元とするパケットを破棄する設定情報に変更する設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。この設定変更依頼に応じて、ＳＤＮコントローラ装置４０は、ＳＤＮスイッチ３０の設定情報を変更する。すなわち、ＳＤＮコントローラ装置４０は、当該設定変更依頼に対応する設定情報をＳＤＮスイッチ３０に設定する。ステップＳ２０４の処理の後に、パケット制御部１０２は、処理をステップＳ２０１に戻す。
【００３９】
また、パケット制御部１０２は、例えば、検知アラートが、単位時間当たりの通信量が所定の閾値以上となるＤＯＳ攻撃を示す情報である場合に、単位時間当たりの通信量が所定の閾値を超えた分のパケットを破棄させる指示を送信する（ステップＳ２０５）。すなわち、パケット制御部１０２は、所定の閾値を超えた分のパケットを破棄させる設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。この設定変更依頼に応じて、ＳＤＮコントローラ装置４０は、ＳＤＮスイッチ３０の設定情報を変更する。ステップＳ２０５の処理の後に、パケット制御部１０２は、処理をステップＳ２０１に戻す。
【００４０】
また、パケット制御部１０２は、例えば、検知アラートが、ＳＱＬインジェクションによる攻撃を示す情報である場合に、ダミーデータに置換して転送させる指示を送信する（ステップＳ２０６）。すなわち、パケット制御部１０２は、ＳＱＬインジェクションのパケットのインジェクション部分を安全なデータ（ダミーデータ）に置換して転送させる設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。この設定変更依頼に応じて、ＳＤＮコントローラ装置４０は、ＳＤＮスイッチ３０の設定情報を変更する。ステップＳ２０６の処理の後に、パケット制御部１０２は、処理をステップＳ２０１に戻す。
【００４１】
次に、図４を参照して、上述したステップＳ２０４における防御処理について説明する。
図４は、本実施形態による攻撃防御システム１の防御動作の一例を示す第１の図である。
この図に示す例では、ＩＤＳ５０が、上述したその他の不正パケットによる攻撃を検知した場合における、攻撃防御システム１の防御動作の一例を示している。この場合、通信制御装置１００は、攻撃側コンピュータ装置１０から送信されたパケット（攻撃パケット）を破棄させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。その結果、図４に示すように、攻撃側コンピュータ装置１０が送信した攻撃パケットＰ１は、ＳＤＮスイッチ３０によって破棄され、監視対象コンピュータ装置２０に到達しない。すなわち、攻撃側コンピュータ装置１０から監視対象コンピュータ装置２０への攻撃が防御される。
【００４２】
一方、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１を流れるパケットのうち、攻撃側コンピュータ装置１０以外の他の機器が送信したパケット（正常パケットＰ２）を通過させる。すなわち、図４に示すように、攻撃側コンピュータ装置１０以外の他の機器が送信した正常パケットＰ２は、ＳＤＮスイッチ３０を介して監視対象コンピュータ装置２０に転送され、正常に処理される。
【００４３】
次に、図５を参照して、上述したステップＳ２０５における防御処理について説明する。
図５は、本実施形態による攻撃防御システム１の防御動作の一例を示す第２の図である。
この図に示す例では、ＩＤＳ５０が、上述したＤｏＳ攻撃を検知した場合における、攻撃防御システム１の防御動作の一例を示している。この場合、通信制御装置１００は、監視対象のネットワークＮＷ１を流れるパケット（攻撃パケットＰ３）のうち、単位時間当たりの通信量が所定の閾値を超えた分のパケットを破棄させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。
【００４４】
その結果、図５に示すように、攻撃側コンピュータ装置１０が送信したＤｏＳ攻撃による攻撃パケットＰ３は、所定の閾値を超えた分がＳＤＮスイッチ３０によって破棄され、監視対象コンピュータ装置２０に到達しない。監視対象コンピュータ装置２０には、所定の閾値分のパケットＰ４が到達する。すなわち、攻撃側コンピュータ装置１０からのＤｏＳ攻撃が防御される。
なお、所定の閾値には、例えば、監視対象コンピュータ装置２０に対する単位時間当たりの通信量の上限値を設定する。
【００４５】
次に、図６を参照して、上述したステップＳ２０６における防御処理について説明する。
図６は、本実施形態による攻撃防御システム１の防御動作の一例を示す第３の図である。
この図に示す例では、ＩＤＳ５０が、上述したＳＱＬインジェクションによる攻撃を検知した場合における、攻撃防御システム１の防御動作の一例を示している。この場合、通信制御装置１００は、ＳＱＬインジェクションを含む攻撃パケットＰ５のインジェクション部分を安全な内容（ダミーデータ）に置換して監視対象コンピュータ装置２０に転送させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。
【００４６】
その結果、図６に示すように、ＳＤＮスイッチ３０は、攻撃側コンピュータ装置１０が送信した攻撃パケットＰ５を、安全な内容（ダミーデータ）に置換されたダミーデータパケットＰ６として、監視対象コンピュータ装置２０に送信する。すなわち、攻撃側コンピュータ装置１０からのＳＱＬインジェクションによる攻撃が無効化される。
【００４７】
以上説明したように、本実施形態による通信制御装置１００は、攻撃検知取得部１０１と、パケット制御部１０２とを備えている。攻撃検知取得部１０１は、ＩＤＳ５０（セキュリティ機器の一例）が検知した攻撃を示す検知アラート（攻撃検知情報）を取得する。なお、ＩＤＳ５０は、監視対象のネットワークＮＷ１を流れるパケットを、ＳＤＮスイッチ３０（スイッチ装置の一例）を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、監視対象のネットワークＮＷ１における攻撃を検知する。そして、パケット制御部１０２は、攻撃検知取得部１０１が取得した検知アラートに基づいて、ＳＤＮスイッチ３０に、監視対象のネットワークＮＷ１を流れるパケットを制限させる制御を行う。
これにより、本実施形態による通信制御装置１００は、ＳＤＮスイッチ３０を介してプロミスキャスモードで監視するので、トラフィックの増加を低減することができる。また、本実施形態による通信制御装置１００は、ＳＤＮスイッチ３０によって、監視対象のネットワークＮＷ１を流れるパケットを制限させるので、例えば、攻撃パケットを遮断することができる。また、ＩＤＳ５０が、監視対象のネットワークＮＷ１を流れるパケットを、ＳＤＮスイッチ３０を介してプロミスキャスモードで監視するので、本実施形態による通信制御装置１００は、パケットの監視によるレイテンシー（パケットの遅延）を抑制することができる。よって、本実施形態による通信制御装置１００は、トラフィックを適切に処理しつつ、攻撃に対して防御処理を行うことができる。
【００４８】
また、本実施形態では、パケット制御部１０２は、検知アラートが、監視対象のネットワークＮＷ１に接続された監視対象の機器（例えば、監視対象コンピュータ装置２０）に対する攻撃をＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、攻撃元の機器（例えば、攻撃側コンピュータ装置１０）から送信されたパケットを破棄させる制御を行う。すなわち、パケット制御部１０２は、ＩＤＳ５０が監視対象の機器に対する攻撃を検知した場合に、攻撃元の機器から少なくとも監視対象の機器に宛てたパケットをＳＤＮスイッチ３０に破棄させる制御を行う。
これにより、本実施形態による通信制御装置１００は、攻撃パケットが監視対象の機器（例えば、監視対象コンピュータ装置２０）に到達する可能性を低減する防御処理を行うことができる。
【００４９】
また、本実施形態では、パケット制御部１０２は、検知アラートが、監視対象のネットワークＮＷ１を流れるパケットの通信量が、所定の閾値以上であることを示す情報である場合に、ＳＤＮスイッチ３０に、所定の閾値を超えた分のパケットを破棄させる制御を行う。
これにより、本実施形態による通信制御装置１００は、例えば、ＤｏＳ攻撃を受けた場合であっても、トラフィックを適切に処理しつつ、防御処理を行うことができる。
【００５０】
また、本実施形態では、パケット制御部１０２は、検知アラートが、ＳＱＬインジェクションをＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、インジェクション部分を安全な内容（ダミーデータ）に置換して監視対象の機器（例えば、監視対象コンピュータ装置２０）に転送させる制御を行う。
これにより、本実施形態による通信制御装置１００は、監視対象の機器がＳＱＬインジェクションによる攻撃を受けた場合であっても、トラフィックを適切に処理しつつ、ＱＬインジェクションによる攻撃を無効化する防御処理を行うことができる。
【００５１】
また、本実施形態による攻撃防御システム１は、ＳＤＮスイッチ３０と、ＩＤＳ５０と、通信制御装置１００とを備えている。そして、通信制御装置１００は、ＩＤＳ５０が検知した当該攻撃を示す検知アラートを取得する攻撃検知取得部１０１と、攻撃検知取得部１０１が取得した検知アラートに基づいて、ＳＤＮスイッチ３０に、監視対象のネットワークＮＷ１を流れるパケットを制限させる制御を行うパケット制御部１０２とを備えている。
これにより、本実施形態による攻撃防御システム１は、通信制御装置１００と同様に、トラフィックを適切に処理しつつ、攻撃に対して防御処理を行うことができる。
【００５２】
また、本実施形態による攻撃防御方法は、監視対象のネットワークＮＷ１を流れるパケットを制御するＳＤＮスイッチ３０を備える攻撃防御システム１の攻撃防御方法であって、攻撃検知ステップと、攻撃検知取得ステップと、パケット制御ステップとを含んでいる。攻撃検知ステップにおいて、ＩＤＳ５０が、監視対象のネットワークを流れるパケットを、ＳＤＮスイッチ３０を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、監視対象のネットワークにおける攻撃を検知する。攻撃検知取得ステップにおいて、通信制御装置１００が、ＩＤＳ５０が検知した当該攻撃を示す検知アラートを取得する。そして、パケット制御ステップにおいて、通信制御装置１００が、攻撃検知取得ステップにて取得した検知アラートに基づいて、ＳＤＮスイッチ３０に、監視対象のネットワークを流れるパケットを制限させる制御を行う。
これにより、本実施形態による攻撃防御方法は、通信制御装置１００と同様に、トラフィックを適切に処理しつつ、攻撃に対して防御処理を行うことができる。
【００５３】
［第２の実施形態］
次に、第２の実施形態による攻撃防御システム１及び通信制御装置１００について図面を参照して説明する。
第１の実施形態では、ＩＤＳ５０がその他の不正パケットによる攻撃を検知した場合に、攻撃側コンピュータ装置１０から送信されたパケットを破棄して遮断する例を説明したが、本実施形態では、監視対象コンピュータ装置２０を隔離して、ハニーポット７０（図８参照）と通信させる。ここで、ハニーポット７０とは、監視対象コンピュータ装置２０の身代わりになる囮の機器である。
なお、本実施形態における攻撃防御システム１及び通信制御装置１００の構成は、ハニーポット７０を利用することを除いて、図１に示す第１の実施形態と同様であるので、ここではその説明を省略する。
【００５４】
本実施形態におけるパケット制御部１０２は、例えば、検知アラートが、監視対象のネットワークＮＷ１に接続された監視対象コンピュータ装置２０に対して、その他の不正パケットによる攻撃をＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、監視対象コンピュータ装置２０との通信を遮断させる制御を行う。すなわち、パケット制御部１０２は、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に、監視対象コンピュータ装置２０を隔離させる。そして、パケット制御部１０２は、監視対象コンピュータ装置２０に宛てたパケットを、ハニーポット７０に宛てたパケットに変更して転送させる制御を行う。すなわち、パケット制御部１０２は、例えば、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に、監視対象コンピュータ装置２０に宛てたパケットを、ハニーポット７０に宛てたパケットに変更して転送させる。
【００５５】
図７は、本実施形態による通信制御装置１００の動作の一例を示すフローチャートである。
この図において、通信制御装置１００は、まず、検知アラートがあるか否かを判定する（ステップＳ３０１）。なお、この図において、ステップＳ３０１からステップＳ３０３までの処理は、図３に示すステップＳ２０１からステップＳ２０３までの処理と同様であるので、その説明を省略する。
【００５６】
パケット制御部１０２は、例えば、検知アラートが、ＤＯＳ攻撃やＳＱＬインジェクションを示す情報でない、その他の不正パケットによる攻撃を示す情報である場合に、攻撃者からの攻撃パケットをハニーポット７０に転送させる指示を送信する（ステップＳ３０４）。すなわち、パケット制御部１０２は、ＳＤＮスイッチ３０に監視対象コンピュータ装置２０を隔離させた上で、攻撃側コンピュータ装置１０からの攻撃パケットをハニーポット７０に転送させる設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。パケット制御部１０２は、例えば、検知アラートに含まれる攻撃側コンピュータ装置１０を識別する識別情報であるＩＰアドレスを送信元とするパケットを破棄する設定情報に変更する設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。この設定変更依頼に応じて、ＳＤＮコントローラ装置４０は、ＳＤＮスイッチ３０の設定情報を変更する。すなわち、ＳＤＮコントローラ装置４０は、当該設定変更依頼に対応する設定情報をＳＤＮスイッチ３０に設定する。ステップＳ３０４の処理の後に、パケット制御部１０２は、処理をステップＳ３０１に戻す。
【００５７】
また、ステップＳ３０５及びステップＳ３０６の処理は、図３に示すステップＳ２０５及びステップＳ２０６の処理と同様であるので、ここではその説明を省略する。
【００５８】
次に、図８を参照して、上述したステップＳ３０４における防御処理について説明する。
図８は、本実施形態による攻撃防御システム１の防御動作の一例を示す図である。
この図に示す例では、ＩＤＳ５０が、上述したその他の不正パケットによる攻撃を検知した場合における、本実施形態における攻撃防御システム１の防御動作の一例を示している。この場合、通信制御装置１００は、監視対象コンピュータ装置２０を監視対象のネットワークＮＷ１から切り離して隔離させる設定と、攻撃側コンピュータ装置１０から送信されたパケット（攻撃パケット）をハニーポット７０に転送させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。また、通信制御装置１００は、ハニーポット７０から攻撃側コンピュータ装置１０に宛てたパケットを、監視対象コンピュータ装置２０から送信したパケットとして攻撃側コンピュータ装置１０に転送させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。
【００５９】
その結果、図８に示すように、攻撃側コンピュータ装置１０が送信した攻撃パケットＰ７は、ＳＤＮスイッチ３０によってハニーポット７０に宛てた攻撃パケットＰ８として転送され、監視対象コンピュータ装置２０に到達しない。また、ハニーポット７０が攻撃側コンピュータ装置１０に向けて送信した返信パケットＰ９は、ＳＤＮスイッチ３０によって監視対象コンピュータ装置２０から攻撃側コンピュータ装置１０に宛てた返信パケットＰ１０として転送され、攻撃側コンピュータ装置１０に到達する。
この場合、攻撃防御システム１は、攻撃側コンピュータ装置１０から監視対象コンピュータ装置２０への攻撃が防御されるだけでなく、攻撃側コンピュータ装置１０からの攻撃に関する情報を収集することができる。
【００６０】
以上説明したように、本実施形態では、パケット制御部１０２は、検知アラートが、監視対象のネットワークＮＷ１に接続された監視対象コンピュータ装置２０に対する攻撃をＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、監視対象コンピュータ装置２０との通信を遮断させる制御を行う。そして、パケット制御部１０２は、監視対象コンピュータ装置２０に宛てたパケットを、監視対象コンピュータ装置２０の身代わりとなる囮の機器であるハニーポット７０に宛てたパケットに変更して転送させる制御を行う。すなわち、パケット制御部１０２は、例えば、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に、監視対象コンピュータ装置２０に宛てたパケットを、ハニーポット７０に宛てたパケットに変更して転送させる。
【００６１】
これにより、本実施形態による通信制御装置１００及び攻撃防御システム１は、監視対象コンピュータ装置２０との通信を遮断させて、監視対象コンピュータ装置２０を隔離するので、監視対象コンピュータ装置２０から監視対象のネットワークＮＷ１に攻撃の被害が拡大することを防ぐことができる。すなわち、本実施形態による通信制御装置１００及び攻撃防御システム１は、例えば、監視対象コンピュータ装置２０が踏み台にされて他の機器を攻撃したり、不正なプログラムを監視対象コンピュータ装置２０から拡散したりすることを防ぐことができる。また、本実施形態による通信制御装置１００及び攻撃防御システム１は、ハニーポット７０により、攻撃側コンピュータ装置１０からの攻撃に関する情報を収集することができる。
【００６２】
［第３の実施形態］
次に、第３の実施形態による攻撃防御システム１ａ及び通信制御装置１００ａについて図面を参照して説明する。
上述した第１及び第２の実施形態では、ＩＤＳ５０が監視対象のネットワークＮＷ１を流れる全部のパケットを監視する場合について説明したが、本実施形態では、ＩＤＳ５０が監視対象のネットワークＮＷ１を流れるパケットのうちの一部を監視する場合について説明する。すなわち、本実施形態では、通信制御装置１００ａは、ＩＤＳ５０が監視する監視対象コンピュータ装置２０を所定の期間ごとに（定期的に）、変更する場合について説明する。
【００６３】
図９は、本実施形態による攻撃防御システム１ａの一例を示すブロック図である。
この図に示すように、攻撃防御システム１ａは、ＳＤＮスイッチ３０と、ＳＤＮコントローラ装置４０と、ＩＤＳ５０と、通信制御装置１００ａとを備えている。また、通信制御装置１００ａは、攻撃検知取得部１０１と、パケット制御部１０２と、監視対象変更部１０３とを備えている。
なお、この図において、図１に示す構成と同一の構成については同一の符号を付し、その説明を省略する。
また、図９に示す例では、監視対象のネットワークＮＷ１には、監視対象コンピュータ装置２０−１〜２０−Ｎが接続されている。ここで、監視対象コンピュータ装置２０−１〜２０−Ｎは、監視対象のネットワークＮＷ１に接続されている任意の監視対象コンピュータ装置を示す場合、又は特に区別しない場合には、監視対象コンピュータ装置２０として説明する。
【００６４】
本実施形態では、通信制御装置１００ａが、監視対象変更部１０３を備えている点が、上述した第１の実施形態と異なる。
監視対象変更部１０３（対象変更部の一例）は、監視対象のネットワークＮＷ１を流れるパケットのうち、監視対象であるパケットをＩＤＳ５０に監視させるとともに、監視対象であるパケットの宛先を示す監視対象コンピュータ装置２０を、所定の期間ごとに変更させる。監視対象変更部１０３は、ＳＤＮスイッチ３０からＩＤＳ５０に、例えば、監視対象コンピュータ装置２０−１から監視対象コンピュータ装置２０−Ｎの順に、監視対象であるパケットを変更して転送するように、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に設定させる。具体的に、監視対象変更部１０３は、監視対象コンピュータ装置２０−１の宛先のパケットから監視対象コンピュータ装置２０−Ｎの宛先のパケットを所定の期間ごとに変更して、ＳＤＮスイッチ３０からＩＤＳ５０に転送するように、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に設定させる。
【００６５】
図１０は、本実施形態による通信制御装置１００ａの動作の一例を示すフローチャートである。
この図において、通信制御装置１００ａは、まず、監視対象コンピュータ装置２０を設定する（ステップＳ４０１）。通信制御装置１００ａの監視対象変更部１０３は、監視対象のネットワークＮＷ１を流れるパケットのうち、例えば、監視対象コンピュータ装置２０−１に宛てたパケットをＩＤＳ５０に転送するように、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に設定させる。これにより、監視対象コンピュータ装置２０−１に宛てたパケットが、ＳＤＮスイッチ３０によってＩＤＳ５０に転送され、ＤＳ５０が、監視対象コンピュータ装置２０−１に宛てたパケットを監視する。
【００６６】
次に、監視対象変更部１０３は、所定の期間経過したか否かを判定する（ステップＳ４０２）。監視対象変更部１０３は、監視対象コンピュータ装置２０を設定（又は変更）してから所定の期間経過した場合（ステップＳ４０２：ＹＥＳ）に、処理をステップＳ４０３に進める。監視対象変更部１０３は、監視対象コンピュータ装置２０を設定（又は変更）してから所定の期間経過していない場合（ステップＳ４０２：ＮＯ）に、処理をステップＳ４０４に進める。
【００６７】
ステップＳ４０３において、監視対象変更部１０３は、監視対象コンピュータ装置２０を変更する。すなわち、監視対象変更部１０３は、次の監視対象コンピュータ装置２０（例えば、監視対象コンピュータ装置２０−２など）に宛てたパケットをＩＤＳ５０に転送するように、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に設定させる。ステップＳ４０３の処理の後、監視対象変更部１０３は、処理をステップＳ４０２に戻す。
【００６８】
また、ステップＳ４０４からステップＳ４０９の処理は、上述した図３に示すステップＳ２０１からステップＳ２０６の処理と同様であるので、ここでは説明を省略する。なお、ステップＳ４０４において、攻撃検知取得部１０１は、ＩＤＳ５０が検知アラートを送信していない場合（ステップＳ４０４：ＮＯ）に、処理をステップＳ４０２に戻す。
【００６９】
以上説明したように、本実施形態による通信制御装置１００ａは、監視対象変更部１０３を備えている。監視対象変更部１０３は、監視対象のネットワークＮＷ１を流れるパケットのうち、監視対象であるパケットをＩＤＳ５０に監視させるとともに、監視対象であるパケットの宛先を示す監視対象の機器（例えば、監視対象コンピュータ装置２０）を、所定の期間ごとに変更させる。
これにより、ＩＤＳ５０が監視するパケット量を低減することができるので、本実施形態による通信制御装置１００ａ及び攻撃防御システム１ａは、ＩＤＳ５０の処理量を低減することができる。よって、本実施形態による通信制御装置１００ａ及び攻撃防御システム１ａは、トラフィックをさらに適切に処理しつつ、攻撃に対して防御処理を行うことができる。
【００７０】
なお、本発明は、上記の各実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で変更可能である。
例えば、上記の各実施形態において、攻撃防御システム１（１ａ）は、通信制御装置１００（１００ａ）を独立した装置として備える一例を説明したが、これに限定されるものではない。例えば、図１１に示す第１の変形例のように、ＳＤＮコントローラ装置４０ａが通信制御装置１００（１００ａ）を備えるように構成してもよいし、図１２に示す第１の変形例のように、ＩＤＳ５０ａが通信制御装置１００（１００ａ）を備えるように構成してもよい。
【００７１】
図１１は、第１の変形例の攻撃防御システム１ｂを示すブロック図である。この図において、攻撃防御システム１ｂは、ＳＤＮスイッチ３０と、ＳＤＮコントローラ装置４０ａと、ＩＤＳ５０とを備えている。また、ＳＤＮコントローラ装置４０ａは、スイッチ設定処理部４１と、通信制御装置１００（１００ａ）とを備えている。このような図１１に示す攻撃防御システム１ｂにおいても、第１及び第２の実施形態と同様の効果を奏する。
また、図１２は、第２の変形例の攻撃防御システム１ｃを示すブロック図である。この図において、攻撃防御システム１ｃは、ＳＤＮスイッチ３０と、ＳＤＮコントローラ装置４０と、ＩＤＳ５０ａとを備えている。また、ＩＤＳ５０ａは、攻撃検知部５１と、記憶部６０と、通信制御装置１００（１００ａ）とを備えている。このような図１２に示す攻撃防御システム１ｃにおいても、第１及び第２の実施形態と同様の効果を奏する。
【００７２】
また、上記の各実施形態において、ＳＤＮスイッチ３０が、ＳＤＮコントローラ装置４０を備える構成としてもよい。
また、上記の各実施形態において、セキュリティ機器の一例として、ＩＤＳ５０を備える場合について説明したが、これに限定されるものではなく、ＩＤＳ５０の代わりに、例えば、ＩＰＳ、ファイヤーウォール（Firewall）、ＷＡＦ（Web Application Firewall）などのセキュリティ機器に適用してもよい。
また、監視対象のネットワークＮＷ１は、物理ネットワークに限定されるものではなく、仮想ネットワークにおいて適用してもよい。
【００７３】
また、上記の各実施形態において、各実施形態を単独で実施する場合について説明したが、各実施形態を組み合わせて実施する構成としてもよい。また、第１の実施形態と第２の実施形態を組み合わせる場合に、ＩＤＳ５０が検知した攻撃の危険度に応じて、第１の実施形態と、第２の実施形態とを切り替えて実施する構成としてもよい。
また、上記の各実施形態において、ＤｏＳ攻撃に対する防御処理と、ＳＱＬインジェクションによる攻撃に対する防御処理と、その他の不正パケットによる攻撃に対する防御処理とを組み合わせて実施する例を説明したが、それぞれの防御処理を単独で実施する構成としてもよい。この場合、その他の不正パケットによる攻撃は、ＩＤＳ５０が検知した全ての攻撃に対して同様の防御処理を実施する構成としてもよい。すなわち、例えば、通信制御装置１００は、ＤｏＳ攻撃、及びＳＱＬインジェクションによる攻撃を含めた全ての攻撃に対して攻撃パケットを遮断させるようにしてもよい。また、例えば、通信制御装置１００は、ＤｏＳ攻撃、及びＳＱＬインジェクションによる攻撃を含めた全ての攻撃に対して攻撃パケットをハニーポット７０に転送させるようにしてもよい。
【００７４】
また、通信制御装置１００（１００ａ）は、ＤＯＳ攻撃を検出した場合に、単位時間当たりの通信量が所定の閾値を超えた分のパケットを破棄させる例を説明したが、例えば、全パケットを破棄させるようにしてもよい。
また、通信制御装置１００（１００ａ）は、ＳＱＬインジェクションによる攻撃を検出した場合に、ダミーデータに置き換える例を説明したが、例えば、全パケットを破棄させるようにしてもよい。
【００７５】
また、上記の第２の実施形態において、攻撃を検知した場合に、通信制御装置１００が、監視対象コンピュータ装置２０を隔離させるとともに、監視対象コンピュータ装置２０に宛てたパケットを、ハニーポット７０に宛てたパケットに変更して転送させる例を説明したが、これに限定されるものではない。例えば、通信制御装置１００は、監視対象コンピュータ装置２０を隔離させる防御処理と、ハニーポット７０に宛てたパケットに変更して転送させる防御処理とのいずれか一方を行うようにしてもよい。
【００７６】
また、上記の第３の実施形態において、監視対象のネットワークＮＷ１を流れるパケットの一部のパケットをＩＤＳ５０ａが監視する例を説明したが、これに限定されるものではない。通信制御装置１００ａは、さらに、送信元ＩＰアドレスによる重み付けをして危険と判定されるＩＰアドレスからのパケットを重点的に監視させるようにしてもよいし、攻撃の兆候があった送信元からのパケットを重点的に監視させるようにしてもよい。また、通信制御装置１００ａは、通信量による重み付けをして、通信量の多い監視対象コンピュータ装置２０に宛てたパケットを重点的に監視させるようにしてもよい。また、通信制御装置１００ａは、攻撃パケットの内容に応じて重み付けをして、重み付けの重い攻撃パケットの兆候があった場合に、重み付けの重い攻撃パケットの内容に対して重点的に監視させるようにしてもよい。
【００７７】
なお、上述した攻撃防御システム１（１ａ、１ｂ、１ｃ）が備える各構成は、内部に、コンピュータシステムを有している。そして、上述した攻撃防御システム１（１ａ、１ｂ、１ｃ）が備える各構成の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上述した攻撃防御システム１（１ａ、１ｂ、１ｃ）が備える各構成における処理を行ってもよい。ここで、「記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行する」とは、コンピュータシステムにプログラムをインストールすることを含む。ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータシステム」は、インターネットやＷＡＮ、ＬＡＮ、専用回線等の通信回線を含むネットワークを介して接続された複数のコンピュータ装置を含んでもよい。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。このように、プログラムを記憶した記録媒体は、ＣＤ−ＲＯＭ等の非一過性の記録媒体であってもよい。
【００７８】
また、記録媒体には、当該プログラムを配信するために配信サーバからアクセス可能な内部又は外部に設けられた記録媒体も含まれる。なお、プログラムを複数に分割し、それぞれ異なるタイミングでダウンロードした後に攻撃防御システム１（１ａ、１ｂ、１ｃ）が備える各構成で合体される構成や、分割されたプログラムのそれぞれを配信する配信サーバが異なっていてもよい。さらに「コンピュータ読み取り可能な記録媒体」とは、ネットワークを介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、上述した機能の一部を実現するためのものであってもよい。さらに、上述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【００７９】
また、上述した機能の一部又は全部を、ＬＳＩ（Large Scale Integration）等の集積回路として実現してもよい。上述した各機能は個別にプロセッサ化してもよいし、一部、又は全部を集積してプロセッサ化してもよい。また、集積回路化の手法はＬＳＩに限らず専用回路、又は汎用プロセッサで実現してもよい。また、半導体技術の進歩によりＬＳＩに代替する集積回路化の技術が出現した場合、当該技術による集積回路を用いてもよい。
【符号の説明】
【００８０】
１、１ａ、１ｂ、１ｃ  攻撃防御システム
１０  攻撃側コンピュータ装置
２０、２０−１、２０−Ｎ  監視対象コンピュータ装置
３０  ＳＤＮスイッチ
４０、４０ａ  ＳＤＮコントローラ装置
４１  スイッチ設定処理部
５０、５０ａ  ＩＤＳ
５１  攻撃検知部
６０  記憶部
６１  攻撃判定情報記憶部
７０  ハニーポット
１００、１００ａ、  通信制御装置
１０１  攻撃検知取得部
１０２  パケット制御部
１０３  監視対象変更部
【図１】
0006364255.tif 000002
【図２】
0006364255.tif 000003
【図３】
0006364255.tif 000004
【図４】
0006364255.tif 000005
【図５】
0006364255.tif 000006
【図６】
0006364255.tif 000007
【図７】
0006364255.tif 000008
【図８】
0006364255.tif 000009
【図９】
0006364255.tif 000010
【図１０】
0006364255.tif 000011
【図１１】
0006364255.tif 000012
【図１２】
0006364255.tif 000013