(57)【要約】【課題】  内部ネットワークを伝送される全てのパケットを常に監視できるようにして、内部ネットワーク内での不正アクセスを有効に防止することが可能なネットワークシステムを提供する。【解決手段】  内部ネットワーク４と複数の端末装置３との間がハブ２を介して接続されており、各ハブ２は、端末装置３と内部ネットワーク４との間で伝送されるパケットを中継する中継機能部２１と、パケットの不正アクセスの有無を検知する不正アクセス検知機能部２２と、この不正アクセス検知機能部２２で不正アクセスが検知された場合に中継機能部２１によるパケットの中継処理を所定時間にわたって遮断する遮断機能部２３とを備えている。【選択図】        図１
2005341364.tif 000002
【特許請求の範囲】
【請求項１】
内部ネットワークと複数の端末装置との間がハブを介して接続されているネットワークシステムにおいて、上記ハブは、上記端末装置と内部ネットワークとの間で伝送されるパケットを中継する中継手段と、上記パケットの不正アクセスの有無を検知する不正アクセス検知手段と、この不正アクセス検知手段で不正アクセスが検知された場合に上記中継手段によるパケットの中継処理を所定時間にわたって遮断する遮断手段と、を備えることを特徴とするネットワークシステム。
【請求項２】
脆弱性分析サーバを備え、この脆弱性分析サーバは、各ハブの上記不正アクセス検知手段で検知される不正アクセス情報を蓄積する情報記憶手段と、この情報記憶手段に蓄積された不正アクセス情報に基づいて脆弱性の分析を行って脆弱性情報を作成する脆弱性分析手段と、上記ハブからの不正アクセス情報を受信するとともに上記脆弱性分析手段で分析された脆弱性情報を各ハブに配信する受配信手段と、を備えることを特徴とする請求項１記載のネットワークシステム。
【請求項３】
上記脆弱性分析手段は、上記情報記憶手段に蓄積された不正アクセス情報に基づいて不正アクセス検知項目の発生頻度を統計的に分析し、その分析結果によって不正アクセス検知項目の優先順位を決定し直して新たな脆弱性情報を作成するものであることを特徴とする請求項２記載のネットワークシステム。
【請求項４】
上記ハブは、上記脆弱性分析サーバに対して不正アクセス情報を通知する通知手段と、上記脆弱性分析サーバから配信される脆弱性情報を受信する受信手段と、この受信手段で受信された脆弱性情報に基づいて上記不正アクセス検知手段による不正アクセス検知用の既存の脆弱性情報を更新する更新手段と、を備えることを特徴とする請求項２または請求項３に記載のネットワークシステム。
【請求項５】
上記脆弱性分析サーバは、不正アクセスの検知時間、検知した不正アクセス項目、攻撃元の装置情報、攻撃先の装置情報、脆弱性情報の更新の有無等をログ情報として上記情報記憶手段に記憶するとともに、この情報記憶手段に記憶された上記ログ情報を画像表示する表示手段を備えることを特徴とする請求項２ないし請求項４のいずれか１項に記載のネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、内部ネットワークと複数の端末装置とがハブを介して接続されているネットワークシステムに関し、特には不正アクセスを有効に防止してネットワークセキュリティを高めるための技術に関するものである。
【背景技術】
【０００２】
一般に、ネットワークシステムにおいては、外部からの悪意による不正アクセス、例えばＤｏＳ攻撃、ブルートフォース攻撃等によってデータ破壊や改ざん、漏洩などが行われる危険性がある。したがって、ネットワークシステムにおいては、セキュリティ対策を十分に講じることが必要である。
【０００３】
ところで、従来のネットワークシステムにおいては、インターネットと社内ＬＡＮ等の内部ネットワーク（イントラネット）との間にファイアウォールを設け、外部のインターネットを通じて内部ネットワークに不正アクセスされるのをファイアウォールによって遮断するようにしている。
【０００４】
また、従来技術では、インターネットに専用の不正検出サーバを接続し、この不正検出サーバがインターネット上を伝送されるパケットを常時監視し、不正検出サーバが不正パケットを検出したときには、不正回避処理を実施できるようにしたものが提案されている（例えば、特許文献１参照）。
【０００５】
さらに、従来技術では、内部ネットワークと複数の端末装置間を接続するハブにおいて、その接続ポートに固有のアドレスを予め付加するとともに、端末装置にも固有のアドレスを予め付加しておき、ハブの接続ポートに端末装置を接続した際に両者の固有アドレスが一致したときにのみアクセスを可能として、ハブに対して不正な端末装置が接続されるのを防止するようにした技術も提案されている（例えば、特許文献２、３等参照）。
【０００６】
【特許文献１】特開２００２−７２３４号公報
【特許文献２】特開平１１−１７７５９７号公報
【特許文献３】特公平７−６７１０９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかし、従来のようにファイアウォールを設ける場合には、外部のインターネットを通じて内部ネットワークに不正アクセスされるのを防止することができるものの、内部ネットワーク内で不正アクセスが行われた場合にはこれを有効に防止することが難しい。
【０００８】
また、特許文献１に記載されている従来技術では、インターネットを通じて不正なパケットが伝送されるのを防止することができるものの、この場合の不正アクセスの監視はネットワークとネットワークの接続点（ノード）を通過するパケットの監視と対策を行っているのみであり、監視している接続点以外に伝送される不正なパケット、例えば、内部ネットワーク内で伝送されるような不正なパケットについてはこれを有効に防止することができない。
【０００９】
さらに、特許文献２、３に記載されているような従来技術では、ハブに対して不正な端末装置が接続されるのを事前に防止することができるものの、ハブに適正な端末装置が一旦接続された後に不正アクセスが行わる場合には、これを有効に防止することができない。
【００１０】
本発明は、上記の課題を解決するためになされたもので、内部ネットワークを伝送される全てのパケットを常に監視できるようにして、内部ネットワークでの不正アクセスを有効に防止することが可能なネットワークシステムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記の目的を達成するために、本発明にあっては、内部ネットワークと複数の端末装置との間がハブを介して接続されているネットワークシステムにおいて、次の構成を採用している。
【００１２】
すなわち、本発明では、上記ハブは、上記端末装置と内部ネットワークとの間で伝送されるパケットを中継する中継手段と、上記パケットの不正アクセスの有無を検知する不正アクセス検知手段と、この不正アクセス検知手段で不正アクセスが検知された場合に上記中継手段によるパケットの中継処理を所定時間にわたって遮断する遮断手段とを備えている。
【発明の効果】
【００１３】
本発明によれば、内部ネットワーク上を伝送される全てのパケットに対して不正の有無を監視することができ、不正な目的をもつパケットに対してはこのパケットの中継が遮断されるため、内部ネットワーク内の不正アクセスを有効に防止することができる。
【発明を実施するための最良の形態】
【００１４】
実施の形態１．
図１は本発明の実施の形態１におけるネットワークシステムの全体を示す構成図である。
【００１５】
このネットワークシステムは、インターネット５と社内ＬＡＮ等の内部ネットワーク４とがファイアウォール６を介して接続されている。また、内部ネットワーク４とパーソナルコンピュータ等からなる複数の端末装置３との間がそれぞれハブ２を介して接続されている。さらに、一つのハブ２に対しては脆弱性分析サーバ１が接続されている。
【００１６】
各々のハブ２は、中継機能部２１、不正アクセス検知機能部２２、遮断機能部２３、通知機能部２４、脆弱性判定用データファイル２５、および更新機能部２６を備えている。
【００１７】
上記の中継機能部２１は、端末装置３と内部ネットワーク４との間で伝送されるパケットを中継するとともに、脆弱性分析サーバ１から配信される脆弱性情報が自装置宛の場合に、この情報を受信するようになっている。
【００１８】
不正アクセス検知機能部２２は、脆弱性判定用データファイル２５に登録されている脆弱性情報に基づいて内部ネットワークを介して伝送されるパケットおよび端末装置３から送出されるパケットの不正アクセスの有無をそれぞれ検知するものである。
【００１９】
遮断機能部２３は、不正アクセス検知機能部２２で不正アクセスが検知された場合に中継機能部２１によるパケットの中継処理を所定時間にわたって遮断するものである。
【００２０】
通知機能部２４は、不正アクセス検知機能部２２で検知される不正アクセス情報を脆弱性分析サーバ１に対して通知するものである。
【００２１】
また、脆弱性判定用データファイル２５には、不正アクセス検知機能部２２でパケットの脆弱性判定を行うための脆弱性情報が格納されている。
【００２２】
更新機能部２６は、脆弱性分析サーバ１から配信される脆弱性情報を脆弱性判定用データファイル２５に登録して既存の脆弱性情報を更新するようになっている。
【００２３】
そして、上述の中継機能部２１が特許請求の範囲の中継手段および受信手段に、不正アクセス検知機能部２２が特許請求の範囲の不正アクセス検知手段に、遮断機能部２３が特許請求の範囲の遮断手段に、通知機能部２４が特許請求の範囲の通知手段に、更新機能部２６が特許請求の範囲の更新手段に、それぞれ対応している。
【００２４】
一方、脆弱性分析サーバ１は、脆弱性分析用メモリ１１、不正アクセス分析機能部１２、受配信機能部１３、および画面機能部１４を備えている。
【００２５】
脆弱性分析用メモリ１１は、ハードディスク等からなるもので、不正アクセス検知データファイル１１ａ、不正アクセス履歴データファイル１１ｂ、新脆弱性情報データファイル１１ｃ、および前脆弱性情報データファイル１１ｄを備えている。
【００２６】
そして、不正アクセス検知データファイル１１ａには、各ハブ２の不正アクセス検知機能部２２で検知される不正アクセス情報、すなわち、不正アクセスの検知時間、検知した不正アクセス項目、攻撃元の装置情報、攻撃先の装置情報、脆弱性情報の更新の有無等が格納される。また、不正アクセス履歴データファイル１１ｂには各ハブ２の不正アクセス検知機能部２２で検知された不正アクセス項目が新しいものから順に時系列で格納されている。新脆弱性情報データファイル１１ｃには不正アクセス分析機能部１２で新たに得られる脆弱性情報が格納されており、また、前脆弱性情報データファイル１１ｄには変更前の脆弱性情報が格納されている。
【００２７】
不正アクセス分析機能部１２は、脆弱性分析用メモリ１１に格納されている不正アクセス情報に基づいて脆弱性の分析を行って脆弱性情報を作成するものである。
【００２８】
受配信機能部１３は、ハブ２の通知機能部２４から通知される不正アクセス情報を受信するとともに、不正アクセス分析機能部１２で新たに得られる脆弱性情報を各ハブ２に配信するものである。
【００２９】
また、画面機能部１４は、図示しないディスプレイ装置を備えており、オペレータの操作によって脆弱性分析用メモリ１１に記憶されている不正アクセスの検知時間、検知した不正アクセス項目、攻撃元の装置情報、攻撃先の装置情報、脆弱性情報の更新の有無等をログ情報として表示するようになっている。
【００３０】
そして、上述の脆弱性分析用メモリ１１が特許請求の範囲の情報記憶手段に、不正アクセス分析機能部１２が特許請求の範囲の脆弱性分析手段に、受配信機能部１３が特許請求の範囲の受配信手段に、画面機能部１４が特許請求の範囲の表示手段に、それぞれ対応している。
【００３１】
次に、上記構成を備えたネットワークシステムにおける不正アクセス監視処理動作について、図２に示すフローチャートを参照して説明する。なお、図中の符号Ｓは各処理ステップを意味する。
【００３２】
いま、例えば図１の最上位にある端末装置３が攻撃元で、最下位にある端末装置３が攻撃先であるとする。そして、攻撃先の端末装置３からパケットを送信した場合、この端末装置３からのパケットは、ハブ２の中継機能部２１に受信されるので（ステップ１）、中継機能部２１はこのパケットを不正アクセス検知機能部２２に受け渡す。
【００３３】
不正アクセス検知機能部２２は、中継するパケット内の情報を脆弱性判定用データファイル２５に登録されている脆弱性情報と比較して不正アクセスであるか否かの判定を行う（ステップ１２、１３）。このとき、不正アクセスでないと判定した場合には、中継機能部２１がこのパケットを中継して内部ネットワーク４に送出するので（ステップ１４）、このパケットは内部ネットワーク４からハブ２を経由して所定の端末装置３に送信される。あるいは、内部ネットワーク４からインターネット５を通じてパケットが送信される。
【００３４】
一方、不正アクセス検知機能部２２が端末装置３からのパケットは不正アクセスであると判定した場合には、これに応じて遮断機能部２３は当該端末装置３からのパケットの遮断指示を中継機能部２１に与えるので（ステップ１５）、中継機能部２１は攻撃元の端末装置３からの全てのパケットの中継処理を中止する（ステップ１６）。そして、遮断機能部２３は遮断継続時間の監視を開始するとともに（ステップ１７）、通知機能部２４が不正アクセス検知機能部２２で検知された不正アクセス情報を脆弱性分析サーバ１に送信する（ステップ１８）。
【００３５】
その後、所定の遮断継続時間が経過すると（ステップ１９）、遮断機能部２３は当該攻撃元の端末装置３からの不正アクセスは終了したものと判断して中継機能部２１に対し端末装置３からのパケット中継の再開指示を与える（ステップ２０）。これにより、中継機能部２１が端末装置３からのパケットの受信を再開する（ステップ２１）。
【００３６】
このように、全ての端末装置３はハブ２を介して内部ネットワーク４に接続されていることから、全ての端末装置３から送出される全てのパケットに対して不正の有無を監視することができる。また、内部ネットワーク４から端末装置３に伝送されるパケットは必ずハブ２を経由することから、内部ネットワーク４からハブ２を経由して端末装置３に伝送される全てのパケットに対して不正の有無を監視することができる。そして、不正な目的をもつパケットに対してはこのパケットの中継が遮断されるため、内部ネットワーク４を経由して伝送される不正アクセスを確実かつ有効に防止することができる。
【００３７】
次に、脆弱性分析サーバ１とハブ２との間の不正アクセス情報および脆弱性情報の送受信処理動作について、図３および図４のフローチャートを参照して説明する。なお、図中の符号Ｓは各処理ステップを意味する。
【００３８】
各ハブ２の不正アクセス検知機能部２２が不正アクセスを検知すると、通知機能部２４は、その検知された不正アクセス情報、すなわち不正アクセスの検知時間、検知した不正アクセス項目、攻撃元の装置情報、攻撃先の装置情報を脆弱性分析サーバ１に内部ネットワーク４を介してあるいは直接に送信する（ステップ３１）。
【００３９】
脆弱性分析サーバ１の受配信機能部１３は、この不正アクセス情報を受信すると（ステップ３２）、この不正アクセス情報を脆弱性分析用メモリ１１に格納する（ステップ３３）。これにより、不正アクセス検知データファイル１１ａには、各ハブ２の不正アクセス検知機能部２２で検知された不正アクセスの検知時間、検知した不正アクセス項目、攻撃元の装置情報、攻撃先の装置情報が格納される。また、不正アクセス履歴データファイル１１ｂには、各ハブ２の不正アクセス検知機能部２２で検知された不正アクセス項目が新しいものから順に時系列に格納される。
【００４０】
引き続いて、不正アクセス分析機能部１２は、不正アクセス検知データファイル１１ａの各データベース１１ａ〜１１ｄに格納されている情報に基づいて、不正アクセスとして重要な項目が優先して検知されるように分析を行う（ステップ３４）。そして、この分析結果から新たな脆弱性情報を作成する（ステップ３５）。なお、この分析による新脆弱性情報の作成処理の具体例については、後で詳述する。
【００４１】
こうして、新脆弱性情報が作成されると、この新脆弱性情報は新脆弱性情報データベース１１ｃに格納されるとともに、受配信機能部１３によって全てのハブ２に対して内部ネットワーク４を介してあるいは直接に配信される（ステップ３６）。
【００４２】
脆弱性分析サーバ１から配信された新脆弱性情報は、各ハブ２の中継機能部２１で受信されので（ステップ４１）、中継機能部２１は、脆弱性分析サーバ１からの新脆弱性情報が自装置宛てのものか否かを判定する（ステップ４２）。この場合、自装置宛てでなければ処理を終了する一方、自装置宛てであれば全てのポートの中継処理を一時停止した上でこの新脆弱性情報を更新機能部２６に受け渡す（ステップ４３）。これに応じて更新機能部２６は、この新脆弱性情報を脆弱性判定用データファイル２５に登録して既存の脆弱性情報を更新する（ステップ４４）。そして、更新機能部２６は、更新完了後、中継機能部２１に対して中継処理再開を通知するので、中継機能部２１は中継処理を再開する（ステップ４５）。これにより、攻撃元の端末装置３から不正なパケットと攻撃先の端末装置３に伝送されるのが確実に防止される。
【００４３】
これ以降、各ハブ２の不正アクセス検知機能部２２は、脆弱性判定用データファイル２５に更新登録された新脆弱性情報に基づいて中継する各パケットについて不正アクセスであるか否かの判定を行うことになる。
【００４４】
このように、ハブ２の脆弱性判定用データファイル２５に登録される脆弱性情報は、常に脆弱性分析サーバ１で得られる脆弱性分析結果に基づいて常に更新されるため、不正アクセス検知機能部２２によって最新型で攻撃性の高い不正アクセスを優先して検知することができ、高いセキュリィ機能を維持することができる。
【００４５】
また、オペレータの操作に応じて、脆弱性分析サーバ１の画面機能部１４は、脆弱性分析用メモリ１１に記憶されている不正アクセスの検知時間、検知した不正アクセス項目、攻撃元の装置情報、攻撃先の装置情報、脆弱性情報の更新の有無の情報や、不正アクセス履歴の情報、さらに、新旧の脆弱性情報などのロク情報をディスプレイ装置に表示する。これにより、オペレータは、不正アクセスの内容を具体的に把握することができる。
【００４６】
次に、脆弱性分析サーバ１の不正アクセス分析機能部１２による脆弱性分析処理動作について、図５に示す説明図ならびに図６に示すフローチャートを参照して説明する。
【００４７】
図５（ａ）は不正アクセス検知データファイル１１ａに記憶されている不正アクセスの各項目であり、不正アクセスの項目別に上から下に向けて新規に検知されたものから順にリストアップされている。図５（ｂ）は前脆弱性情報データファイル１１ｄに記憶されている更新前の脆弱性情報であり、不正アクセスの各項目が上から下に向けて検知頻度に従って配列されている。図５（ｃ）は新脆弱性情報データファイル１１ｃに記憶されている更新後の新脆弱性情報であり、不正アクセスの各項目が上から下に向けて検知頻度に従って配列されている。図５（ｄ）は不正アクセス履歴データファイル１１ｂに記憶されている不正アクセス履歴情報であり、不正アクセスの検知順に従って不正アクセスの項目が上から下に向けて時系列で配列されている。
【００４８】
不正アクセス分析機能部１２は、図５（ａ）の不正アクセス検知データファイル１１ａに不正アクセスとしてリストアップされた項目の内、まず、Ｘ１の範囲に含まれる項目（ここではＡ、Ｂ）を最優先の検知項目として設定する。そして、このＸ１の範囲に含まれる項目Ａ、Ｂに関して、不正アクセス履歴データファイル１１ｂに記憶されている不正アクセス履歴情報の内から一定の範囲Ｙを検索領域として設定し、この検索領域Ｙ内での各項目Ａ、Ｂの発生頻度を調べる。そして、発生頻度の多い項目から順位をつける（ステップ６１）。この例では、検索領域Ｙ内において、項目Ａは頻度１、項目Ｂは頻度２であるから、項目Ｂが一番順位の高い検知項目、項目Ａが次に順位の高い検知項目となる。なお、Ｘ１の範囲の項目の発生頻度が同じであるときには、図５（ａ）にリストアップされた順位に従う。
【００４９】
次に、Ｘ２の範囲に含まれる不正アクセス検知項目（ここではＣ〜Ｇ）に関して、同じく不正アクセス履歴データファイル１１ｂに記憶されている不正アクセス履歴情報の検索領域Ｙ内において各項目Ｃ〜Ｇの発生頻度を調べる。この例では、項目Ｃは頻度３、項目Ｄは頻度２、項目Ｅは頻度０、項目Ｆは頻度２、項目Ｇは頻度０となる。
【００５０】
ここで、項目Ｃ〜Ｇの内、項目Ｃは発生頻度が一番多いので順位も一番高い。次に発生頻度が多いのは項目Ｄ、Ｆであるが、両項目Ｄ、Ｆは頻度が同じなので、このときには図５（ａ）にリストアップされた項目の順位に従う。したがって、項目Ｄの次に項目Ｆが設定される（ステップ６２）。
【００５１】
また、上記の項目以外の残りの項目はＥ、Ｇとなる。項目Ｅ、Ｇは共に頻度０であるので、この場合には、図５（ｂ）に示す前脆弱性情報データファイル１１ｄに記憶されている前脆弱性情報の順位に従って並べる（ステップ６３）。すなわち、この例の場合、前回の脆弱性情報では項目Ｇの方が項目Ｅよりも順位が高かったので、項目Ｇを項目Ｅよりも順位が高く設定する。したがって、図５（ｃ）に示すように、新たに作成される脆弱性情報（不正アクセスの優先度順の検知項目）は、最終的にはＢ→Ａ→Ｃ→Ｄ→Ｆ→Ｇ→Ｅの優先順位となる。
【００５２】
このように、不正アクセス分析機能部１２は、リストアップされた不正アクセス検知項目（図５（ａ））、不正アクセス履歴情報（図５（ｄ））、および前脆弱性情報（図５（ｂ））に基づいて不正アクセス検知項目の検知頻度を統計的に分析し、その分析結果によって不正アクセス検知項目の優先順位を新たに設定し直し、これを新脆弱性情報（図５（ｃ））として作成する。したがって、最新型で攻撃性の高い不正アクセスを常に優先して検知することが可能になる。
【００５３】
なお、図５に示した不正アクセス情報の内容はあくまで一例であって、このような内容に限定されるものでないのは勿論である。
【図面の簡単な説明】
【００５４】
【図１】本発明の実施の形態１におけるネットワークシステムの全体を示す構成図である。
【図２】同ネットワークシステムにおける不正アクセス監視処理動作の説明に供するフローチャートである。
【図３】同ネットワークシステムにおいて、ハブから与えられる不正アクセス情報に基づく脆弱性分析サーバの情報処理動作の全体説明に供するフローチャートである。
【図４】同ネットワークシステムにおいて、脆弱性分析サーバから脆弱性情報が与えられた場合のハブの処理動作の説明に供するフローチャートである。
【図５】脆弱性分析サーバによる脆弱性分析処理動作の説明に供する説明図である。
【図６】脆弱性分析サーバによる脆弱性分析処理動作の説明に供するフローチャートである。
【符号の説明】
【００５５】
１  脆弱性分析サーバ、２  ハブ、３  端末装置、４  内部ネットワーク、
１１  脆弱性分析用メモリ（情報記憶手段）、
１２  不正アクセス分析機能部（脆弱性分析手段）、
１３  受配信機能部（受配信手段）、１４  画面機能部（表示手段）、
２１  中継機能部（中継手段、受信手段）、
２２  不正アクセス検知機能部（不正アクセス検知手段）、
２３  遮断機能部（遮断手段）、２４  通知機能部（通知手段）、
２５  脆弱性判定用データファイル、２６  更新機能部（更新手段）。
【図１】
2005341364.tif 000003
【図２】
2005341364.tif 000004
【図３】
2005341364.tif 000005
【図４】
2005341364.tif 000006
【図５】
2005341364.tif 000007
【図６】
2005341364.tif 000008