(57)【要約】  ネットワークの対象システムの不正使用または異常活動を検知するための侵入検知方法であって、対象システムに関連する各脆弱性に対して、および／または１つもしくはいくつかの脆弱性を利用する各攻撃に対して、定義された前提条件を作るステップと、上記定義された前提条件に対応する保証基準を作成し、対象システムに関連するデータを取り込む対象境界を考慮に入れるステップと、取り込まれたデータを攻撃シグネチャと比較して、取り込まれたデータと少なくとも１つの攻撃シグネチャが一致するとき少なくとも１つのセキュリティアラートを生成するステップと、対象境界の監視から保証データを取り込むステップと、対象境界の保証監視から発行される保証データを保証基準と比較し、保証監視から発行される上記データと少なくとも１つの保証基準が一致するとき保証情報を生成するステップと、生成されたセキュリティアラートの前提条件を検索するステップと、上記前提条件に対応する保証情報が検索されたかどうかを調べるステップと、生成されたセキュリティアラートと検索されたその前提条件が少なくとも１つの対応する保証情報に一致するとき、検証済みセキュリティアラームを生成するステップと、検索されたその前提条件と少なくとも１つの対応する保証情報の間に一致が見つからなかったとき、上記セキュリティアラートをフィルタリングするステップと、このアラートに前提条件が検索されなかった、および／または上記前提条件に対応する保証基準が定義されていなかったとき、非検証セキュリティアラートを発するステップとを含む。
2010539574.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークの対象システムの不正使用または異常活動を検知するための侵入検知方法であって、
対象システムに関連する各脆弱性に対して、および／または１つもしくはいくつかの脆弱性を利用する各攻撃に対して、定義された前提条件を作るステップと、
前記定義された前提条件に対応する保証基準を作り、対象境界とみなすステップと、
対象システムに関連するデータを取り込むステップと、
取り込まれたデータを攻撃シグネチャと比較して、取り込まれたデータと少なくとも１つの攻撃シグネチャが一致するとき少なくとも１つのセキュリティアラートを生成するステップと、
対象境界の監視から保証データを取り込むステップと、
対象境界の保証監視から発行される保証データを保証基準と比較し、保証監視から発行される前記データと少なくとも１つの保証基準が一致するとき保証情報を生成するステップと、
生成されたセキュリティアラートの前提条件を検索するステップと、
前記前提条件に対応する保証情報が検索されたかどうかを調べるステップと、
生成されたセキュリティアラートと検索されたその前提条件が少なくとも１つの対応する保証情報に一致するとき、検証済みセキュリティアラームを生成するステップと、
検索されたその前提条件と少なくとも１つの対応する保証情報の間に一致が見つからなかったとき、前記セキュリティアラートをフィルタリングするステップと、
このアラートに前提条件が検索されなかった、および／または前記前提条件に対応する保証基準が定義されていなかったとき、非検証セキュリティアラートを発するステップと
を含む、侵入検知方法。
【請求項２】
脆弱性のアラートの検知後に、強化プロセスが作成され、前記強化プロセスが、前記新しい脆弱性または１つもしくはいくつかの脆弱性、すなわち少なくとも１つの新しい脆弱性およびすでに処理された脆弱性の組合せを利用する攻撃のそれぞれについて監視されるべき保証基準の定義と、前記新しい脆弱性または１つもしくはいくつかの脆弱性を利用する攻撃のそれぞれについてのセキュリティイベントの定義と、前記セキュリティイベントの前提条件の定義とを含む、請求項１に記載の侵入検知方法。
【請求項３】
脆弱性アラートを相関エンジンが理解できる言語に翻訳することを含む、請求項２に記載の侵入検知方法。
【請求項４】
ネットワークの対象システムの不正使用または異常活動を検知するための侵入検知システムであって、
対象システムと関連する各脆弱性についておよび／または１つもしくはいくつかの脆弱性を利用する各攻撃について定義された前提条件を作成する手段と、
前記定義された前提条件に対応する基準を作成して、対象境界とみなす手段と、
対象システムに関連するデータを取り込むスニファと、
取り込まれたデータを攻撃シグネチャと比較して、取り込まれたデータと少なくとも１つの攻撃シグネチャが一致するとき少なくとも１つのセキュリティアラートを生成する手段と、
対象境界の監視から保証データを取り込む手段と、
対象境界の保証監視から発行される保証データを保証基準と比較し、保証監視から発行される前記データと少なくとも１つの保証基準が一致するとき保証情報を生成する手段と、
生成されたセキュリティアラートの前提条件を検索する手段と、
前記前提条件に対応する保証情報が検索されたかどうかを調べる手段と
を含み、
前記システムが、生成されたセキュリティアラートおよび検索されたその前提条件が少なくとも１つの対応する保証情報と一致するとき検証済みセキュリティアラームを生成し、
前記システムが、検索された前提条件と少なくとも１つの対応する保証情報の間に一致が見つからなかったとき、前記セキュリティアラートをフィルタリングし、
前記システムが、このアラートに前提条件が検索されない、および／または前記前提条件に対応する保証基準が定義されていないとき、非検証セキュリティアラートを発する、侵入検知システム。
【請求項５】
ネットワークの対象システムの不正使用または異常活動をコンピュータに検知させるために制御論理を内部に格納した、コンピュータで利用できる媒体を含む、コンピュータプログラムプロダクトであって、前記制御論理が、
対象システムと関連する各脆弱性についておよび／または１つもしくはいくつかの脆弱性を利用する各攻撃について定義された前提条件を作成するための、第１のコンピュータ可読プログラムコードと、
前記定義された前提条件に対応する保証基準を作成し、対象境界を考慮に入れるための、第２のコンピュータ可読プログラムコードと、
対象システムと関連するデータを取り込むための、第３のコンピュータ可読プログラムコードと、
取り込まれたデータを攻撃シグネチャと比較して、取り込まれたデータと少なくとも１つの攻撃シグネチャが一致するとき少なくとも１つのセキュリティアラートを生成するための、第４のコンピュータ可読プログラムコードと、
対象境界の監視から保証データを取り込むための、第５のコンピュータ可読プログラムコードと、
対象境界の保証監視から発行される保証データを保証基準と比較して、保証監視から発行される前記データと少なくとも１つの保証基準が一致するとき保証情報を生成するための、第６のコンピュータ可読プログラムコードと、
生成されたセキュリティアラートの前提条件を検索するための、第７のコンピュータ可読プログラムコードと、
前記前提条件に対応する保証情報が検索されたかどうかを調べるための、第８のコンピュータ可読プログラムコードと、を含み、
生成されたセキュリティアラートと検索されたその前提条件が少なくとも１つの対応する保証情報に一致するとき、検証済みセキュリティアラームを生成し、
検索されたその前提条件と少なくとも１つの対応する保証情報の間に一致が見つからなかったとき、前記セキュリティアラートをフィルタリングし、
このアラートに前提条件が検索されなかった、および／または前記前提条件に対応する保証基準が定義されていなかったとき、非検証セキュリティアラートを発する、
コンピュータプログラムプロダクト。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概して例えばＩＰネットワークなどの通信システムの分野に関し、より詳細にはそのような通信システムにおいて侵入を検知するシステムおよび方法に関する。
【背景技術】
【０００２】
情報システムにおけるネットワークが急速に発展した結果、ＮＩＤＳ（Ｎｅｔｗｏｒｋ  Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍｓ、ネットワーク侵入検知システム）、ＨＩＤＳ（Ｈｏｓｔ  Ｉｎｔｒｕｓｉｏｎ  ｄｅｔｅｃｔｉｏｎ  ｓｙｓｔｅｍ、ホスト侵入検知システム）などのＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍｓ、侵入検知システム）、およびファイアウォールとＮＩＤＳの双方を兼ね備えるＮＩＰＳ（Ｎｅｔｗｏｒｋ  Ｉｎｔｒｕｓｉｏｎ  Ｐｒｅｖｅｎｔｉｏｎ  Ｓｙｓｔｅｍｓ、ネットワーク侵入防御システム）への注目が高まった。
【０００３】
コンピュータネットワークは、ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ、サービス不能）攻撃、情報の不正な開示もしくは操作、およびデータの変更もしくは破壊から保護されなければならない。その一方では、重要情報システムの機密性、保全性および完全性が備わっていなければならない。
【０００４】
２００４年には、１０，０００個の新しいウィルスまたは既存のウィルスの変種があり、１時間に少なくとも１つの新しい攻撃が見つけられた（Ｋａｙ、「Ｌｏｗ  ｖｏｌｕｍｅ  ｖｉｒｕｓｅｓ：ｎｅｗ  ｔｏｏｌｓ  ｆｏｒ  ｃｒｉｍｉｎａｌｓ」、Ｎｅｔｗｏｒｋ  Ｓｅｃｕｒ．６、２００５年、１６−１８頁）と報告されている。２００１年には、Ｃｏｄｅ  Ｒｅｄワームが１４時間足らずのうちに３５９，０００を超えるインターネットホストに広がった（Ｍｏｏｒｅ他、「Ｃｏｄｅ  Ｒｅｄ：ａ  ｃａｓｅ  ｓｔｕｄｙ  ｏｎ  ｔｈｅ  ｓｐｒｅａｄ  ａｎｄ  ｖｉｃｔｉｍｓ  ｏｆ  ａｎ  ｉｎｔｅｒｎｅｔ  ｗｏｒｍ」、第２回ＡＣＭインターネット計測ワークショップの講演論文集、２００２年）。２００３年には、ＳＱＬ  Ｓｌａｍｍｅｒワームが３０分足らずのうちに７５，０００を超えるホストに広がり、そのうちの９０％は１０分以内に感染した（Ｍｏｏｒｅ他、「Ｔｈｅ  ｓｐｒｅａｄ  ｏｆ  ｔｈｅ  ｓａｐｐｈｉｒｅ／ｓｌａｍｍｅｒ  ｗｏｒｍ  ｔｅｃｈｎｉｃａｌ  ｒｅｐｏｒｔ」、ＣＡＩＤＡテクニカルレポート、２００３）。米国連邦捜査局の調査報告によると、２００２年には、外部ハッカーによる成功した攻撃の平均コストは５６，０００米ドルであり、成功した内部攻撃の平均損失は２７０万米ドルであった（Ｐｏｗｅｒ、「２００２  ＣＳＩ／ＦＢＩ  ｃｏｍｐｕｔｅｒ  ｃｒｉｍｅ  ａｎｄ  ｓｅｃｕｒｉｔｙ  ｓｕｒｖｅｙ」、Ｃｏｍｐｕｔｅｒ  ｓｅｃｕｒｉｔｙ  ｉｓｓｕｅｓ  ａｎｄ  ｔｒｅｎｄｓ、ＶＩＩＩ巻、ｎ°１、２００２年春）。
【０００５】
従来ＩＤＳは、対象システムにおける不正な活動または異常活動を検知し、識別し、これに反応する機能を有するソフトウェアを示す。
【０００６】
ＩＤＳは、伝統的に中央に集中した設計であり、中央に集められるＩＤＳは一般に、例えばネットワークサービスプロバイダのゲートウェイなど、ネットワークの関所（ｃｈｏｋｅ  ｐｏｉｎｔ）にインストールされ、中央に集められたアプリケーションが単一処理ユニット内に物理的に統合されて単独モードで動作する。分散型ＩＤＳもあり、大規模ネットワークの様々な領域に配置された複数のセンサで構成され、これらのセンサのすべてが最終的には中央サーバに報告し、中央サーバが情報を集めてこれを処理する。
【０００７】
ＩＤＳの目的は、侵入者と正規のユーザとを識別することである。ＩＤＳの目標は、リアルタイムあるいはバッチモードで、セキュリティの違反行為を検知するためのメカニズムを提供することである。違反行為は、システムに侵入しようとする外部の者によって、あるいは特権を濫用しようとする内部の者によって起こされる。
【０００８】
ＩＤＳによって行われる主な機能は：ユーザ活動およびシステム活動を監視および分析すること、重要なシステムファイルまたはデータファイルの完全性を評価すること、知られている攻撃を反映する活動パターンを認識すること、検知された活動に自動的に対応すること、ならびに検知プロセスの結果を報告することである。
【０００９】
侵入検知は、検知方法に基づく３つのカテゴリに分けることができる：濫用検知、異常検知、およびデータマイニング。また、同時に２つの手法を組み合わせた複合型の侵入方法も知られている。ＫＤＤ−９９として知られる、検知方法を比較するためのラベル付きデータセットが、Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｋｎｏｗｌｅｄｇｅ  Ｄｉｓｃｏｖｅｒｙ  ａｎｄ  Ｄａｔａ  Ｍｉｎｉｎｇ  Ｔｏｏｌｓ  Ｃｏｍｐｅｔｉｔｉｏｎ（知識発見とデータマイニングツールの国際コンクール）によって提供された。
【００１０】
濫用検知は、よく知られている攻撃の形跡またはパターンを検索することに対して機能する。濫用検知システムは、コンピュータの活動を、知られているエクスプロイトまたは攻撃の格納されているシグネチャと照合しよう試みる。濫用検知システムは、攻撃についての推測的知識を利用して攻撃の形跡を探す。言い換えれば濫用検知は、知られている侵入またはシステムの弱点（例えばバッファオーバフローの脆弱性を有するシステムユーティリティ）のパターンを利用して、侵入を照合および識別する技術を指す。
【００１１】
攻撃活動の順序、システムのセキュリティを危うくする条件、ならびに侵入によって残される証拠（例えば被害またはシステムログ）は、いくつかの一般的なパターン照合モデルで表わされることが可能である。こうしたパターン照合モデルは、監査データと照合されるパターンとして知られているシグネチャを符号化する。パターン照合は、しばしばニューラルネットワークなどのファジー理論および人工知能技術を指す。
【００１２】
例えばＮＩＤＥＳ（Ｎｅｘｔ  ｇｅｎｅｒａｔｉｏｎ  Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｅｘｐｅｒｔ  Ｓｙｓｔｅｍ、次世代侵入検知エキスパートシステム）は攻撃活動を記述するルールを使用し、ＳＴＡＴ（Ｓｔａｔｅ  Ｔｒａｎｓｉｔｉｏｎ  Ａｎａｌｙｓｉｓ  Ｔｏｏｌ、状態遷移分析ツール）は状態遷移ダイアグラムを使用してシステムの全体的な状態およびアクセス制御違反をモデル化し、ＩＤＩＯＴ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｉｎ  Ｏｕｒ  Ｔｉｍｅ）はカラーネットを使用して対象システムにおける一連のイベントとして侵入シグネチャを表わす。
【００１３】
濫用検知システムの主要な利点は、知られている侵入のパターンがひとたび格納されると、これらの侵入の今後のインスタンスは効率的および効果的に検知されることが可能であることである。
【００１４】
しかしながら、新しく発見された攻撃は検知されないままとなり、容認できない偽陰性過誤率につながる可能性が高い。濫用検知は異常検知より正確であるとみなされるが、最も可能性のある侵入および非侵入活動の変形を含むシグネチャを作り出すことにおいて、この技術の重大な欠点がある。
【００１５】
異常検知は、正規ユーザまたはシステム動作のモデル（ユーザプロファイルおよびシステムプロファイル）を使用し、このモデルからの著しい偏差に不正の可能性があるとしてフラグを立てる。例えばユーザのログインセッション中のＣＰＵの使用状況およびシステムコマンドの頻度が、ユーザプロファイルに含まれる統計パラメータである。プロファイルからの偏差は、構成要素統計値の偏差の重み和（ｗｅｉｇｈｔ  ｓｕｍ）として計算されることが可能である。
【００１６】
異常検知システムの主要な利点は、このシステムは特定の侵入に関する推測的知識を必要としないので、未知の侵入を検知することができることである。
【００１７】
しかし、正規のプロファイルを定義して管理することは、簡単ではない、間違いを起こしやすいタスクであり、時として容認できないレベルの誤アラームにつながる。
【００１８】
最近のＩＤＳへの多くの取り組みは、例えばＣＭＤＳ（Ｃｏｍｐｕｔｅｒ  Ｍｉｓｕｓｅ  Ｄｅｔｅｃｔｉｎ  Ｓｙｓｔｅｍ）、ＩＤＥＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｅｘｐｅｒｔ  Ｓｙｓｔｅｍ）、ＭＩＤＡＳ（Ｍｕｌｔｉｃｓ  Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  ａｎｄ  Ａｌｅｒｔｉｎｇ  Ｓｙｓｔｅｍ）など、データマイニング技術を利用してきた。
【００１９】
データマイニングによるＩＤＳは、例えばＣｙｂｅｒ−Ｐａｔｒｏｌ  Ｉｎｃ．から入手できるセンサなどのセンサからデータを収集する。センサは、ネットワーク活動、ユーザのプロセスで使用されるシステムコール、ファイルシステムのアクセスなど、システムのいくつかの側面を監視する。センサは、監視されている原データストリームから予言的な特徴を抽出して、検知に利用可能なフォーマットされたデータを生成する。
【００２０】
ネットワークベースの攻撃システムについては、ＪＡＭは、ネットワークにおける特定ノードの正常使用パターンを生成する頻繁な発生例のマイニングを使用する。こうしたパターンを使用して、ネットワークノードの異常を判断する基本分類器（ｂａｓｅ  ｃｌａｓｓｉｆｉｅｒ）を構築する。正確な分類を保証するために、分類器の学習段階に備えて十分な量の正常および異常データが集められなければならない。各基本分類器はネットワークの異なるノードを監視するので、基本分類器のセットを使用して、メタ分類器を構築されることが可能であり、ネットワークの侵入は、その基本分類器の結果を結合するメタ分類器によって検出されることが可能である。
【００２１】
ＩＤＳは、分析する監査ソースの位置の種類により分類される。
【００２２】
大部分のＩＤＳは、攻撃を認識して逸らすための、ネットワークベースの侵入検知またはホストベースの侵入検知手法として分類される。
【００２３】
ＩＤＳがネットワークトラフィックの中でこうしたパターンを探すとき、これはネットワークベースの侵入検知に分類される。
【００２４】
ネットワークベースのＩＤＳは、ネットワーク上で取り込まれるネットワークのパケットを分析する。一例では、ＳＮＯＲＴがオープンソースのネットワーク侵入検知システムであり、ＩＰネットワーク上でリアルタイムのトラフィック分析およびパケットのロギングを行うことができる。ＳＮＯＲＴは、侵入パターンを自動的に生成することができない。まず専門家が、攻撃パケットを分析して分類し、濫用検知用の対応するパターンおよびルールをハンドコーディングする。パターン数は増えつつあり、現在のＳＮＯＲＴリリースでは２１００を超えている。
【００２５】
ＩＤＳがログファイルの中で攻撃シグネチャを探すとき、これはホストベースの侵入検知に分類される。ホストベースのＩＤＳシステムは、ホストマシンにローカルにインストールされる。ホストベースのＩＤＳは、オペレーティングシステムの監査追跡、システムログ、およびアプリケーションログなど、ホストと結びついた監査ソースを分析する。言い換えればホストベースのＩＤＳシステムは、ホストベースのＩＤＳが配置された主要なサーバへの活動およびアクセスを評価する。
【００２６】
現在のＩＤＳは、履歴パターンを使用して攻撃を識別するために貢献した。しかし、現在のＩＤＳは新しいパターンを使用した攻撃、すなわちパターンのない攻撃を識別することが困難である。ＵＳＴＡＴ（Ｓｔａｔｅ  Ｔｒａｎｓｉｔｉｏｎ  Ａｎａｌｙｓｉｓ  Ｔｏｏｌ  ｆｏｒ  Ｕｎｉｘ（登録商標））、ＮＡＤＩＲ（Ｎｅｔｗｏｒｋ  Ａｎｏｍａｌｙ  Ｄｅｔｅｃｔｉｏｎ  ａｎｄ  ｉｎｔｒｕｓｉｏｎ  Ｒｅｐｏｒｔｅｒ）、およびＷ＆Ｓ（Ｗｉｓｄｏｍ  ａｎｄ  Ｓｅｎｓｅ）などルールに基づく手法を使用すると、攻撃の順序のわずかな変更が、活動ルールの比較にかなり影響を与え、侵入検知メカニズムによって侵入が検知されない可能性がある。
【００２７】
２つのタイプの過誤の結果として避けられないＩＤＳの損害が生じている。こうした過誤は、ＩＤＳにおける偽陽性過誤と偽陰性過誤からなる。
【００２８】
偽陽性過誤は、ＩＤＳセンサが正規のパケットまたは正規の活動を攻撃として誤解するために起こる。偽陰性過誤は、攻撃者が正規のユーザとして誤って分類されるために起こる。
【００２９】
ＩＤＳによって報告されるアラートの最大９９％がセキュリティ問題に関連しないと推定されている（Ｊｕｌｉｓｈ、「Ｕｓｉｎｇ  ｒｏｏｔ  ｃａｕｓｅ  ａｎａｌｙｓｉｓ  ｔｏ  ｈａｎｄｌｅ  ｉｎｔｒｕｓｉｏｎ  ｄｅｔｅｃｔｉｏｎ  ａｌａｒｍ、博士論文、Ｕｎｉｖｅｒｓｉｔｙ  ｏｆ  Ｄｏｒｔｍｕｎｄ、２００３年、１頁）。この理由は、次のことを含む。第１に、多くの場合、侵入は正常な活動とわずかに異なるだけである。厳しいリアルタイム要求により、ＩＤＳはすべての活動のコンテキストを要求される範囲まで分析することができない。第２に、ＩＤＳ用のシグネチャを書き込むことは非常に困難なタスクである。場合によっては、過度に詳細なシグネチャ（すべての攻撃またはその変形をとらえることができない）と過度に大まかなシグネチャ（正当な活動を侵入として認識する）との間の適切なバランスを決定することが難しい可能性がある。第３には、ある環境において正常な活動が、他の環境においては不正である場合がある。第４には、１日当たり２０パケットの侵入を含む１００万パケットが分析され、１．０の完全検知率と仮定すると、約１０−５の非常に低い偽陽性率は、１０の偽陽性をまねき、すなわち真陽性のベイズ定理による検知率はわずか６６％となる。
【００３０】
こうした偽陽性侵入アラートは、真の侵入イベントの評価および解明を抑制する重大な問題である。この偽陽性の量は、侵入アラートに続く相関プロセスに、これが自動であっても、人によるものであっても、重大な悪影響を有する。実際に、侵入検知に関する最新の研究は、大量の偽陽性アラートが、いくつかのアラートをリンクさせて多ステップの複雑な攻撃を検知しようと試みる自動相関エンジンのパフォーマンスを大幅に下げることを証明した（Ｎｉｎｇ他、「Ｌｅａｒｎｉｎｇ  ａｔｔａｃｋ  ｓｔｒａｔｅｇｉｅｓ  ｆｒｏｍ  ｉｎｔｒｕｓｉｏｎ  ａｌｅｒｔ」、ＡＣＭコンピュータおよび通信セキュリティ国際会議、２００３年）。
【００３１】
専門家によって相関処理が行われる場合、危険な攻撃を検知しようとするとき大量の偽陽性アラートがこの専門家を悩ませる傾向がある。このために真の侵入を発見することがさらに困難になる。
【００３２】
実社会の例をあげると、一日当たり大体１５のセンサで最高１０ギガバイトのセキュリティロギングが生成されることが可能である。相関処理の後、一日当たり約１００のアラートがセキュリティ管理システムに送信され、専門家によって分析された後に、一日にわずか１０のケースが「危険と思われる」とみなされる。
【００３３】
侵入アラートの偽陽性を削減する問題に対処するために、様々な解決法が提案されてきた。
【００３４】
そうした解決法の多くは、アラート相関に関する。相関技術は、いくつかのカテゴリに分類されることが可能である。第１に相関手段は、同じ危険イベント（すなわち同じ攻撃）に関するいくつかの侵入アラートを１つにまとめる。第２の手段は、ネットワーク内で複雑な攻撃が進行中であるかどうかを判断するために、いくつかの危険イベントに関するいくつかの侵入アラートを１つにまとめる。
【００３５】
アラート相関の扇動者はまず、アラート相関が偽陽性アラートの量を削減することができると期待したが、偽陽性アラートは一般的な相関エンジンのパフォーマンスを抑制することがわかっている（Ｎｉｎｇ他、「Ｌｅａｒｎｉｎｇ  ａｔｔａｃｋ  ｓｔｒａｔｅｇｉｅｓ  ｆｒｏｍ  ｉｎｔｒｕｓｉｏｎ  ａｌｅｒｔ」、ＡＣＭコンピュータおよび通信セキュリティ国際会議、２００３年）。さらに相関処理はもとから、相関システムを偽陽性フラッディング（ｆｌｏｏｄｉｎｇ）によるＤｏＳ攻撃にさらす、時間のかかるコンピュータのタスクである。
【００３６】
偽陽性アラートを削減するための別の取り組みは、攻撃が成功する見込みを有して、真の侵入の可能性を表わすかどうかを判断するために、インフラストラクチャに関するコンテキスト情報（例えばネットワークトポロジ、知られている既存の脆弱性）を使用することからなる。この技術は、アラート検証の概念に関連する。文献では、能動型と受動型の２種類のアラート検証が存在する。
【００３７】
能動型アラート検証は、アラートが生成された後に集められた情報を使用して、攻撃が成功するかどうかを判断し、受動型検証は、インフラストラクチャのセキュリティの推測的情報を使用して、攻撃が成功する見込みを有するかどうかを判断する。
【００３８】
現在の受動型検証システムは、インフラストラクチャのセキュリティの静的知識を使用し、インフラストラクチャのセキュリティを計測しない。これにより、アラートを偽陽性として誤って分類することになり、したがって偽陰性を作り出す（アラートは真の攻撃には生成されず、偽陽性として分類される）。
【００３９】
一方で現在の能動型アラート検証システムは、（侵入アラートが発行された後に）、攻撃の成功を証明することができる情報（すなわちＩＤＳ／ＩＰＳによって一般に使用される攻撃シグネチャと比較した侵入のシグネチャ）の事後収集に基づいている。この場合、主要な問題は、攻撃者がその侵入の進路を隠した後に検証が行われることである。
【先行技術文献】
【非特許文献】
【００４０】
【非特許文献１】Ｋａｙ、「Ｌｏｗ  ｖｏｌｕｍｅ  ｖｉｒｕｓｅｓ：ｎｅｗ  ｔｏｏｌｓ  ｆｏｒ  ｃｒｉｍｉｎａｌｓ」、Ｎｅｔｗｏｒｋ  Ｓｅｃｕｒ．６、２００５年、１６−１８頁
【非特許文献２】Ｍｏｏｒｅ他、「Ｃｏｄｅ  Ｒｅｄ：ａ  ｃａｓｅ  ｓｔｕｄｙ  ｏｎ  ｔｈｅ  ｓｐｒｅａｄ  ａｎｄ  ｖｉｃｔｉｍｓ  ｏｆ  ａｎ  ｉｎｔｅｒｎｅｔ  ｗｏｒｍ」、第２回ＡＣＭインターネット計測ワークショップの講演論文集、２００２年
【非特許文献３】Ｍｏｏｒｅ他、「Ｔｈｅ  ｓｐｒｅａｄ  ｏｆ  ｔｈｅ  ｓａｐｐｈｉｒｅ／ｓｌａｍｍｅｒ  ｗｏｒｍ  ｔｅｃｈｎｉｃａｌ  ｒｅｐｏｒｔ」、ＣＡＩＤＡテクニカルレポート、２００３
【非特許文献４】Ｐｏｗｅｒ、「２００２  ＣＳＩ／ＦＢＩ  ｃｏｍｐｕｔｅｒ  ｃｒｉｍｅ  ａｎｄ  ｓｅｃｕｒｉｔｙ  ｓｕｒｖｅｙ」、Ｃｏｍｐｕｔｅｒ  ｓｅｃｕｒｉｔｙ  ｉｓｓｕｅｓ  ａｎｄ  ｔｒｅｎｄｓ、ＶＩＩＩ巻、ｎ°１、２００２年春
【非特許文献５】Ｊｕｌｉｓｈ、「Ｕｓｉｎｇ  ｒｏｏｔ  ｃａｕｓｅ  ａｎａｌｙｓｉｓ  ｔｏ  ｈａｎｄｌｅ  ｉｎｔｒｕｓｉｏｎ  ｄｅｔｅｃｔｉｏｎ  ａｌａｒｍ、博士論文、Ｕｎｉｖｅｒｓｉｔｙ  ｏｆ  Ｄｏｒｔｍｕｎｄ、２００３年、１頁
【非特許文献６】Ｎｉｎｇ他、「Ｌｅａｒｎｉｎｇ  ａｔｔａｃｋ  ｓｔｒａｔｅｇｉｅｓ  ｆｒｏｍ  ｉｎｔｒｕｓｉｏｎ  ａｌｅｒｔ」、ＡＣＭコンピュータおよび通信セキュリティ国際会議、２００３年
【非特許文献７】Ｃｕｐｐｅｎｓ他、「Ａｌｅｒｔ  Ｃｏｒｒｅｌａｔｉｏｎ  ｉｎ  ａ  Ｃｏｏｐｅｒａｔｉｖｅ  Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｆｒａｍｅｗｏｒｋ、セキュリティおよびプライバシーに関する２００２年ＩＥＥＥシンポジウムの講演論文集
【非特許文献８】Ｃｕｐｐｅｎｓ他、「Ａｌｅｒｔ  Ｃｏｒｒｅｌａｔｉｏｎ  ｉｎ  ａ  Ｃｏｏｐｅｒａｔｉｖｅ  Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｆｒａｍｅｗｏｒｋ、セキュリティおよびプライバシーに関する２００２年ＩＥＥＥシンポジウムの講演論文集、ｈｔｔｐ：／／４１ｘ．ｆｒｅｅ．ｆｒ／ａｒｔｉｃｌｅｓ／ＣＭ０２．ｐｄｆ．
【発明の概要】
【発明が解決しようとする課題】
【００４１】
従来のシステムおよび方法の前述の問題および他の問題を考慮して、侵入検知システムにおいて偽陽性アラートをフィルタリングするための有効な方法を提供することが、本発明の１つの目的である。
【課題を解決するための手段】
【００４２】
本発明の第１の態様では、ネットワークの対象システムの不正使用または異常活動を検知するための侵入検知方法が提供され、この方法は、次のステップを含む：
対象システムに関連する各脆弱性に対して、および／または１つもしくはいくつかの脆弱性を利用する各攻撃に対して、定義された前提条件を作るステップ、
上記定義された前提条件に対応する保証基準を作り、対象境界とみなすステップ、
例えばネットワークデータ、ログのようなデータなど、対象システムと関連するデータを取り込むステップであって、有利には取り込まれたデータを攻撃シグネチャとリアルタイムで比較し、取り込まれたデータと少なくとも１つの攻撃シグネチャが一致するとき、少なくとも１つのセキュリティアラートを生成するようにされたステップ、
上記定義された前提条件に対応する保証基準を定義するために対象境界の監視から保証データを取り込むステップ、
対象境界の保証監視から発行されたデータ（例えばインフラストラクチャ要素の構成ファイル）を保証基準と比較して、保証監視から発行された上記データと少なくとも１つの保証基準が一致するとき、保証情報を生成するステップ、
生成されたセキュリティアラートの前提条件を検索するステップ、
上記前提条件に対応する保証情報が検索されたかどうかを調べるステップ、
生成されたセキュリティアラートと検索されたその前提条件が少なくとも１つの対応する保証情報と一致するとき、検証済みセキュリティアラームを生成するステップ、
検索されたその前提条件と少なくとも１つの対応する保証情報の間に一致が見つからなかったとき、上記セキュリティアラートをフィルタリングするステップ、
このアラートに前提条件が検索されない、および／または上記前提条件に対応する保証基準が定義されていないとき、非検証セキュリティアラートを発するステップ。
【００４３】
前提条件の定義は、Ｌａｍｂｄａなどの攻撃言語記述を使用して作成されることが可能である。Ｌａｍｂｄａ言語を使用した攻撃記述の例は、例えばＣｕｐｐｅｎｓ他、「Ａｌｅｒｔ  Ｃｏｒｒｅｌａｔｉｏｎ  ｉｎ  ａ  Ｃｏｏｐｅｒａｔｉｖｅ  Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｆｒａｍｅｗｏｒｋ」、セキュリティおよびプライバシーに関する２００２年ＩＥＥＥシンポジウムの講演論文集に見られる。
【００４４】
「各脆弱性の前提条件」は、１つの脆弱性を利用する対象システムの不正または異常使用を可能にする手段を示す。言い換えれば、システムの弱点（例えばコードエラー）が攻撃に利用される可能性がある場合、そのような弱点が脆弱性である。
【００４５】
「各攻撃の前提条件」は、シグネチャを有していくつかの脆弱性を利用する攻撃の前提条件を示す。言い換えれば、様々なシステムの形式上の弱点（例えばコードエラー）が、シグネチャを有する攻撃に使用される可能性がある場合、こうした形式上の弱点は脆弱性である。
【００４６】
有利には、脆弱性のアラート（例えばＣＥＲＴアラート）の検知後に、強化プロセスがなされ、上記強化プロセスは、上記新しい脆弱性または１つもしくはいくつかの脆弱性を利用する攻撃のそれぞれについて監視されるべき保証基準の定義と、上記新しい脆弱性または１つもしくはいくつかの脆弱性を利用する攻撃のそれぞれについてのセキュリティイベントの定義と、上記セキュリティイベントの前提条件の定義とを含む。
【００４７】
「１つまたはいくつかの脆弱性を利用する攻撃」は、少なくとも１つの新しい脆弱性およびすでに処理された脆弱性の組合せを含む。
【００４８】
有利には、脆弱性の翻訳は、自動アルゴリズムを用いて、相関エンジンが理解できる言語でアラートする。
【００４９】
本発明の別の態様では、ネットワークの対象システムの不正使用または異常活動を検知する侵入検知システムが提供され、このシステムは、
対象システムと関連する各脆弱性についておよび／または１つもしくはいくつかの脆弱性を利用する各攻撃について定義された前提条件を作成する手段と、
上記定義された前提条件に対応する保証基準を作成し、対象境界を考慮に入れるための手段と、
対象システムに関連するデータを取り込むためのスニファ（ｓｎｉｆｆｅｒ）と、
取り込まれたデータを攻撃シグネチャと比較して、取り込まれたデータと少なくとも１つの攻撃シグネチャが一致するとき少なくとも１つのセキュリティアラートを生成する手段と、
対象境界の監視から保証データを取り込む手段と、
対象境界の保証監視から発行される保証データを保証基準と比較し、保証監視から発行される上記データと少なくとも１つの保証基準が一致するとき保証情報を生成する手段と、
生成されたセキュリティアラートの前提条件を検索する手段と、
上記前提条件に対応する保証情報が検索されたかどうか調べる手段と、を備え、
上記システムは、生成されたセキュリティアラートおよび検索されたその前提条件が少なくとも１つの対応する保証情報と一致するとき検証済みセキュリティアラームを生成し、
上記システムは、検索されたその前提条件と少なくとも１つの対応する保証情報の間に一致が見つからなかったとき、上記セキュリティアラートをフィルタリングし、
上記システムは、このアラートに前提条件が検索されない、および／または上記前提条件に対応する保証基準が定義されていないとき、非検証セキュリティアラートを発する。
【００５０】
本発明の別の態様では、ネットワークの対象システムの不正使用または異常活動をコンピュータに検知させるために制御論理を内部に格納した、コンピュータで利用できる媒体を含む、コンピュータプログラムプロダクトが提供され、上記制御論理は、
対象システムと関連する各脆弱性についておよび／または１つもしくはいくつかの脆弱性を利用する各攻撃について定義された前提条件を作成するための、第１のコンピュータ可読プログラムコードと、
上記定義された前提条件に対応する保証基準を作成し、対象境界を考慮に入れるための、第２のコンピュータ可読プログラムコードと、
対象システムと関連するデータを取り込むための、第３のコンピュータ可読プログラムコードと、
取り込まれたデータを攻撃シグネチャと比較して、取り込まれたデータと少なくとも１つの攻撃シグネチャが一致するとき少なくとも１つのセキュリティアラートを生成するための、第４のコンピュータ可読プログラムコードと、
対象境界の監視から保証データを取り込むための、第５のコンピュータ可読プログラムコードと、
対象境界の保証監視から発行される保証データを保証基準と比較して、保証監視から発行される上記データと少なくとも１つの保証基準が一致するとき保証情報を生成するための、第６のコンピュータ可読プログラムコードと、
生成されたセキュリティアラートの前提条件を検索するための、第７のコンピュータ可読プログラムコードと、
上記前提条件に対応する保証情報が検索されたかどうかを調べるための、第８のコンピュータ可読プログラムコードと、を含み、
上記コンピュータプログラムプロダクトは、
生成されたセキュリティアラートと検索されたその前提条件が少なくとも１つの対応する保証情報に一致するとき、検証済みセキュリティアラームを生成し、
検索されたその前提条件と少なくとも１つの対応する保証情報の間に一致が見つからなかったとき、上記セキュリティアラートをフィルタリングし、
このアラートに前提条件が検索されなかった、および／または上記前提条件に対応する保証基準が定義されていなかったとき、非検証セキュリティアラートを発する。
【００５１】
本発明の上記の目的および他の目的ならびに利点は、添付の図面と併せて考察されて、好ましい実施形態の詳細な説明から明らかになるであろう。
【図面の簡単な説明】
【００５２】
【図１】本発明による侵入検知システムの概略図である。
【発明を実施するための形態】
【００５３】
情報フロー（脆弱性の確認図）は、脆弱性データベース１から始まり、このデータベースは、ＣＥＲＴ（Ｃｏｍｐｕｔｅｒ  Ｅｍｅｒｇｅｎｃｙ  Ｒｅｓｐｏｎｓｅ  Ｔｅａｍ、コンピュータ緊急対応チーム）により構築される、または専門家によりその知識とＣＥＲＴによって発行される情報から構築されることが可能である。
【００５４】
変換／強化モジュール２は、メトリック３の保証基準を定義することができ、メトリックは、セキュリティポリシーが適用されたかどうかを調べるために、またセキュリティ機構が上記ポリシーに従って始動し、作動していることを確認するために、対象境界の観察を担当しているプローブを監視する。
【００５５】
セキュリティ保証に関する計測可能データ４およびＣＥＲＴ脆弱性データベース１の範囲を考慮して、モジュール２は、セキュリティ保証の目的でメトリックによって監視される保証基準３を定義する。セキュリティ保証は、ＳＣＣ（Ｓｅｃｕｒｉｔｙ  Ｃｏｍｐｌｉａｎｃｙ  ａｎｄ  Ｃｏｎｆｒｏｍｉｔｙ、セキュリティの遵守および適合）とも呼ばれ、エンティティが組織のＡＲ（Ａｓｓｕｒａｎｃｅ  Ｒｅｆｅｒｅｎｃｅ、保証基準）を満たしているという信頼の根拠である。
【００５６】
このプロセスは、脆弱性が公表されるとすぐに推測的な保証基準を生成することができる。
【００５７】
ＣＥＲＴデータベース１から、別の情報フロー（脆弱性のセキュリティ視点）が、セキュリティ相関の目的で強化モジュール５に転送される。
【００５８】
モジュール５は、入力としてＩＤＳ／ＩＰＳ／プローブのシグネチャデータベース６を使用して、各ＣＥＲＴの脆弱性と関連する前提条件および事後条件７を定義する。
【００５９】
ＣＥＲＴベースの変換／強化プロセス２、５の双方は、ＣＥＲＴアラートが相関エンジンの理解できる言語に翻訳される、自動アルゴリズムを使用することによって、またはＣＥＲＴアラートが手動で翻訳されることによって行われることが可能である。
【００６０】
前提条件の定義は、Ｌａｍｂｄａなどの攻撃言語記述を使用して行われることが可能である。Ｌａｍｂｄａ言語を使用した攻撃記述の例は、例えばＣｕｐｐｅｎｓ他、「Ａｌｅｒｔ  Ｃｏｒｒｅｌａｔｉｏｎ  ｉｎ  ａ  Ｃｏｏｐｅｒａｔｉｖｅ  Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｆｒａｍｅｗｏｒｋ、セキュリティおよびプライバシーに関する２００２年ＩＥＥＥシンポジウムの講演論文集、ｈｔｔｐ：／／４１ｘ．ｆｒｅｅ．ｆｒ／ａｒｔｉｃｌｅｓ／ＣＭ０２．ｐｄｆ．に見られる。
【００６１】
この変換／強化プロセスは、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ、インターネット技術タスクフォース）の例えば侵入検知ワーキンググループで標準化されることが可能である。
【００６２】
モジュール８は、セキュリティイベントの前提条件７に対応する保証基準を探す。いくつかのセキュリティイベントの前提条件７が保証基準データベース３に含まれていない場合、モジュール９はデータベース１０にこれらを定義する。これは、偽陽性の削減に使用される完全な保証基準のセットを有する助けとなる。
【００６３】
ＩＤＳまたはファイアウォールのような一部のセキュリティ機器１１は、対象境界１２を監督している。同時にセキュリティ保証メトリック１３もまた、同じ対象境界１２を監督している。
【００６４】
セキュリティソフトウェアまたは機器１１は、知られている攻撃シグネチャに基づいてセキュリティアラート１４を生成するが、保証メトリック１３は、保証基準データベース３に基づいて保証情報１５を生成する。セキュリティアラート１４および保証情報１５は、検証モジュール１６に送信される。
【００６５】
セキュリティアラート１４が生成されるとすぐに、検証モジュール１６は、特定のセキュリティアラート１４の前提条件を検索し、対応する保証情報も検索されたかどうか調べる。
【００６６】
セキュリティアラートおよびその前提条件が１つまたは複数の保証情報と一致する場合、アラートは信頼できるとみなされ、検証済みセキュリティアラーム１７が生成される。
【００６７】
厳密な境界を監督する既存の保証メトリックは保証情報を提供していないのに対して、その境界にセキュリティアラートが発せられる場合、このアラートは、信頼できるものではないとみなされ、フィルタリング１８される。
【００６８】
最後に、セキュリティアラートがセキュリティアラートデータベースでわからない場合、および／またはこのアラートに対して保証メトリックが存在しない場合、非検証セキュリティアラート１９が発せられる。その後インストールするＳＯＣ（Ｓｅｃｕｒｉｔｙ  Ｏｐｅｒａｔｉｏｎ  Ｃｅｎｔｅｒ、例えばＡｌｃａｔｅｌ−Ｌｕｃｅｎｔ社のＴｈｒｅａｔ  Ｍａｎａｇｅｍｅｎｔ  Ｃｅｎｔｅｒ）に、監視およびセキュリティ保証フィードバックを行うメトリックを知らせることが可能である。
【００６９】
ＩＤＳおよび／またはファイアウォールによって発せられたセキュリティアラートは、中間モジュール（検証モジュール１６）でフィルタリングされ、偽陽性の量は減少する。
【００７０】
新しい種類のセキュリティ保証情報を用いて既存のアラート検証を強化することによって、本発明の提案は、偽陽性率を低減する。
【００７１】
（実施例１）
対象システムは、ＳＳＨ（Ｓｅｃｕｒｅ  Ｓｈｅｌｌ）接続を処理するように構成されている。ログインは、デフォルトによりＳＳＨ認証に基づいた証明書を使用するように設定され、この情報は、セキュリティ保証ポリシーに格納されている。
【００７２】
対応するセキュリティ保証メトリックは、ＳＳＨ認証が今まで通り正常に動作しているかどうかを定期的に調べる。
【００７３】
ＩＤＳによって強引な攻撃が検出される。この攻撃は、前提条件が検証される場合に限り成功する。前提条件とは、ＳＳＨ接続はパスワード認証で設定されなければならないということである。
【００７４】
このアラートが検証モジュールに到達すると、このモジュールは、「ＳＳＨ認証の構成が変わった」という保証情報（証明書認証からパスワード認証へ）が発せられたかどうか調べる。そうである場合、セキュリティアラートは保証コンテキストに関して適切であるとみなされ、検証済みセキュリティアラートが発せられる。反対に、対応する保証情報が検索されなかった場合、セキュリティアラートは適切でないとみなされ、フィルタリングされる。
【００７５】
偽陽性アラートは、相関処理のパフォーマンス、精度、および適合度を下げることがわかっている。偽陽性アラートは、侵入アラート相関エンジンの総パフォーマンスを抑制することが知られているが、偽陽性アラートはまた、セキュリティイベントの分析を手動で行うセキュリティの専門家にとって重大な問題でもある。
【００７６】
本発明は、（既製品（ＣＯＴＳ）のＩＤＳ／ＩＰＳによって生成された）侵入アラートをフィルタリングする（すなわち検証する）ために、セキュリティ保証（すなわち構成の適合計測）を使用することによって、偽陽性侵入アラートの発生を低減することができる。
【００７７】
これによりセキュリティの専門家および侵入相関エンジンは、真のアラートに的を絞ることが可能になり、したがって真の攻撃の危険をより早く、正確に理解する能力を向上させることが可能になる。
【００７８】
さらに保証基準は、ＣＥＲＴのようなアラートの情報を引き出して強化することによって、検知可能なＩＤＳ／ＩＰＳイベントの前提条件に関して更新される。この段階は、ＩＥＴＦの侵入検知ワーキンググループで標準化されることが可能である。
【００７９】
受動的な検証手法にまさる本発明の価値は、インフラストラクチャの脆弱性が継続的に計測されることである（能動的かつ推測的方法）。
【００８０】
帰納的手法と比べると、本発明は、検証プロセスが侵入成功の手掛かりを集める前に、攻撃者が攻撃者の軌跡を隠すことによって検証システムを騙す可能性を激減させる。言い換えれば、本発明は、偽陰性の発生を低減する。
【００８１】
さらに本発明の解決法では、検証は攻撃が起こる前に行われる。真のアラートは帰納的検証を用いるより早く生成され、侵入の手掛かりは攻撃が起こった後に収集される。実際には、収集プロセスは時間がかかるものである。
【図１】
2010539574.tif 000003
【国際調査報告】
2010539574.tif 000004
2010539574.tif 000005
2010539574.tif 000006