(57)【要約】【課題】簡単な手法を用いて、特徴がデータベースに格納されていない新しい不正アクセスであっても当該不正アクセスを高い精度で検知できる不正アクセス検知装置および不正アクセス検出方法を提供する。【解決手段】圧縮率比較機構１０２は、データ圧縮機構１０１が達成した圧縮率を閾値設定機構１０２で設定した閾値と比較し、データ圧縮機構１０１が達成した圧縮率が閾値設定機構１０２で設定した閾値を上回った際に、上記データ圧縮機構１０１が圧縮したデータを運ぶパケットは、不正アクセスに関わるものであると判定して、その判定結果の情報をデータ要求解析機構１００の判定出力とする。【選択図】    図１
2005085159.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークセグメント上のパケットを受信するネットワークインタフェースと、
前記ネットワークインタフェースで受信したパケットについて、当該パケットが運ぶデータを圧縮し、達成した圧縮率を出力するデータ圧縮手段と、
前記データ圧縮手段より出力された圧縮率を予め設定した閾値と比較して、前記データ圧縮手段より出力された圧縮率が前記閾値よりも高い場合に、当該受信パケットを不正アクセスに係るパケットであると判定する比較判定手段と
を具備したことを特徴とする不正アクセス検知装置。
【請求項２】
ネットワークセグメント上のパケットを受信するネットワークインタフェースと、
前記ネットワークインタフェースで受信したパケットについて、当該パケットが運ぶデータをアプリケーション層のプロトコルに従って解釈するアプリケーション層プロトコル解釈機構と、
前記アプリケーション層プロトコル解釈機構により得られたアプリケーション層でのデータを圧縮し、達成した圧縮率を出力するデータ圧縮手段と、
前記データ圧縮手段より出力された圧縮率を予め設定した閾値と比較して、前記データ圧縮手段より出力された圧縮率が前記閾値よりも高い場合に、当該受信パケットを不正アクセスに係るパケットであると判定する比較判定手段と
を具備したことを特徴とする不正アクセス検知装置。
【請求項３】
転送元のネットワークセグメント上のパケットを受信するネットワークインタフェースと、
前記ネットワークインタフェースで受信したパケットを一時保留するパケット保留キューと、
前記パケット保留キューに保留されたパケットを解析し不正アクセスに関わるパケットであるか否かを判定するパケット解析機構と、
前記パケット解析機構が不正アクセスに関わるパケットではないと判定したパケットを前記パケット保留キューから取り出して転送先のネットワークセグメントに送出し、不正アクセスに関わるパケットであると判定したパケットをパケット保留キューから取り出して破棄するパケット転送機構とを具備し、
前記パケット解析機構に、
前記ネットワークインタフェースで受信したパケットについて、当該パケットが運ぶデータを圧縮し、達成した圧縮率を出力するデータ圧縮手段と、
前記データ圧縮手段より出力された圧縮率を予め設定した閾値と比較して、前記データ圧縮手段より出力された圧縮率が前記閾値よりも高い場合に、当該受信パケットを不正アクセスに関わるパケットであると判定する比較判定手段と
を具備したことを特徴とするインライン型侵入検知システム。
【請求項４】
転送元のネットワークセグメント上のパケットを受信するネットワークインタフェースと、
前記ネットワークインタフェースで受信したパケットを一時保留するパケット保留キューと、
前記パケット保留キューに保留されたパケットを解析し不正アクセスに関わるパケットであるか否かを判定するパケット解析機構と、
前記パケット解析機構が不正アクセスに関わるパケットではないと判定したパケットを前記パケット保留キューから取り出して転送先のネットワークセグメントに送出し、不正アクセスに関わるパケットであると判定したパケットをパケット保留キューから取り出して破棄するパケット転送機構とを具備し、
前記パケット解析機構に、
前記ネットワークインタフェースで受信したパケットについて、当該パケットが運ぶデータをアプリケーション層のプロトコルに従って解釈するアプリケーション層プロトコル解釈機構と、
前記アプリケーション層プロトコル解釈機構により得られたアプリケーション層でのデータを圧縮し、達成した圧縮率を出力するデータ圧縮手段と、
前記データ圧縮手段より出力された圧縮率を予め設定した閾値と比較して、前記データ圧縮手段より出力された圧縮率が前記閾値よりも高い場合に、当該受信パケットを不正アクセスに係るパケットであると判定する比較判定手段と
を具備したことを特徴とするインライン型侵入検知システム。
【請求項５】
ネットワークセグメントのパケットを解析して不正アクセスを監視又は防御する不正アクセス監視システムで使用される不正アクセス検知方法であって、
受信されたパケットが運ぶデータを圧縮し、当該圧縮率をもとに、前記受信されたパケットについて、不正アクセスに関わるパケットを検知することを特徴とする不正アクセス検知方法。
【請求項６】
ネットワークセグメントのパケットを解析して不正アクセスを監視又は防御する不正アクセス監視システムで使用される不正アクセス検知方法であって、
受信されたパケットが運ぶデータをアプリケーション層のプロトコルに従って解釈するステップと、
前記解釈したアプリケーション層でのデータを圧縮し、達成した圧縮率を出力するステップと、
前記圧縮率を予め設定した閾値と比較し、前記圧縮率が前記閾値よりも高い場合に、当該受信パケットを不正アクセスに係るパケットであると判定するステップと
を具備したことを特徴とする不正アクセス検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークセグメントのパケットを解析して不正アクセスを監視又は防御する傍受型あるいはインライン型の不正アクセス検知装置及び不正アクセス検出方法に関する。
【背景技術】
【０００２】
従来、ネットワークセグメントのパケットを解析して不正アクセスを監視又は防御する傍受型あるいはインライン型の不正アクセス検知装置は、既知の不正アクセスに関わるデータ要求の特徴を格納したデータベースを備え、受信したデータ要求を前記データベース内に格納された特徴と比較して、そのうちのいずれかに一致した場合に不正アクセスに関わるデータ要求であると判断していた。
【特許文献１】特開２００２−３４２２７９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
上述したように従来の不正アクセス検知装置は、既知の不正アクセスに関わるデータ要求の特徴を格納したデータベースを備え、受信したデータ要求を前記データベース内に格納された特徴と比較する構成であることから、上記データベースに格納されていない新しい不正アクセス手段を用いたデータ要求によりサーバへの不正アクセスが試みられた場合に、その不正アクセスを見逃してしまうという問題があった。
【０００４】
本発明は上記実情に鑑みなされたもので、簡単な手法を用いて、特徴がデータベースに格納されていない新しい不正アクセスであっても当該不正アクセスを高い精度で検知可能な不正アクセス検知装置および不正アクセス検出方法を提供することを目的とする。
【課題を解決するための手段】
【０００５】
本発明は、受信されたパケットが運ぶデータを圧縮し、当該圧縮率をもとに、前記受信されたパケットについて、不正アクセスに関わるパケットを検知することを特徴とする。
【発明の効果】
【０００６】
簡単な手法を用いて、特徴がデータベースに格納されていない新しい不正アクセスであっても当該不正アクセスを高い精度で検知できる。
【発明を実施するための最良の形態】
【０００７】
以下図面を参照して本発明の実施形態を説明する。
【０００８】
（第１実施形態）
図１に本発明の第１実施形態に於ける不正アクセス検知装置の構成を示す。この第１実施形態に於ける不正アクセス検知装置１０は、ネットワークインタフェース１１、データ要求抽出機構１２、データ要求解析機構１００等を具備する。
【０００９】
ネットワークインタフェース１１は、監視対象となるネットワークセグメント上のパケットを傍受（受信）する機能をもつ。
【００１０】
データ要求抽出機構１２は、ネットワークインタフェース１１で受信したパケットから、データ要求に関わるデータを抽出する機能をもつ。
【００１１】
データ要求解析機構１００は、データ圧縮機構１０１、閾値設定機構１０２、および圧縮率比較機構１０３を具備し、データ要求抽出機構１２が抽出したデータ要求が、不正アクセスに関わるものか否かを判定する機能をもつ。
【００１２】
データ圧縮機構１０１は、データ要求抽出機構１２から受け取ったデータ要求に関わるデータを圧縮し、達成した圧縮率を出力する機能をもつ。
【００１３】
閾値設定機構１０２は、上記データ圧縮機構１０１より出力される圧縮率に対しての閾値を設定する機能をもつ。
【００１４】
圧縮率比較機構１０３は、上記データ圧縮機構１０１が達成した圧縮率を上記閾値設定機構１０２で設定した閾値と比較し、上記データ圧縮機構１０１が達成した圧縮率が上記閾値設定機構１０２で設定した閾値を上回った際に、上記データ圧縮機構データ圧縮機構１０１が圧縮したデータを運ぶパケットは、不正アクセスに関わるものであると判定して、当該判定結果の情報をデータ要求解析機構１００の判定出力とする機能をもつ。
【００１５】
上記図１に示す本発明の第１実施形態に係る不正アクセス検知装置１０の動作を説明する。
【００１６】
ネットワークインタフェース１１で受信したパケットはデータ要求抽出機構１２に受け渡される。データ要求抽出機構１２はネットワークインタフェース１１より受けたパケットデータがデータ要求であるとき、そのデータ要求を抽出し、データ要求解析機構１００に渡す。
【００１７】
この際のデータ要求抽出機構１２に於けるデータ要求の抽出方法としては、例えば、パケットフィルタによって、データ要求を受け付けるポート番号宛のパケットのみを取り出し、そのパケットが運ぶデータを、データ要求と見なす方法などが考えられる。
【００１８】
データ要求抽出機構１２によって抽出されたデータ要求は、データ要求解析機構１００に設けられたデータ圧縮機構１０１に渡される。
【００１９】
データ圧縮機構１０１では、データ要求抽出機構１２によって抽出されたデータ要求を圧縮し、達成した圧縮率を圧縮率比較機構１０２へ渡す。
【００２０】
圧縮率比較機構１０２では、データ圧縮機構１０１が達成した圧縮率を閾値設定機構１０２で設定した閾値と比較し、データ圧縮機構１０１が達成した圧縮率が閾値設定機構１０２で設定した閾値を上回った際に、上記データ圧縮機構１０１が圧縮したデータを運ぶパケットは、不正アクセスに関わるものであると判定して、その判定結果の情報をデータ要求解析機構１００の判定出力とする。
【００２１】
このように、受信したデータ要求について、圧縮を行ない、達成した圧縮率が閾値より大きいデータ要求を不正アクセスに関わるものであるとして検出することが可能となる。
【００２２】
不正アクセスの手段の中で、大きな割合を占めるものとして、サーバ計算機が予想しているよりも長い長さをもつデータ要求メッセージを送ることによって、バッファメモリを溢れさせ、サーバ計算機に誤動作を起こす、バッファオーバーフローという手口がある。
【００２３】
攻撃者（ハッカー）が、サーバ計算機が予想しているよりも長い長さをもつデータ要求メッセージを作成する際には、データ要求メッセージの長さを増すために、その一部として、例えば、“ＡＡＡＡＡＡＡＡ…”のような連続した文字などを挿入することが多い。それは、このような連続した文字の作成は、エディタを用いて作成する場合であっても、プログラムによって生成する場合であっても、容易であるからである。
【００２４】
データ圧縮の技術は「頻繁に出てくる語句を短い符号で符号化すればデータを効率的に圧縮することができる」という原理に基づいている。この原理に基づけば、前述したような、同じ文字が連続したデータが含まれる、サーバ計算機が予想しているよりも長い長さをもつデータ要求メッセージは効率的に圧縮できることは明らかである。圧縮の方法の詳細は、本発明の範囲外であるが、例えば連続したデータを「コード」と「連続数」に置き換えて圧縮するランレングス法や、文字列を辞書として記憶する辞書法などが適切であると考えられる。以上のことから、本発明の第１実施形態によって、バッファオーバーフローという手口を用いた不正アクセスを、既知の特徴を格納したデータベースを使用することなく検知できる不正アクセス検知装置が実現できる。
【００２５】
（第２実施形態）
図２に本発明の第２実施形態に於ける不正アクセス検知装置の構成を示す。この第２実施形態に於ける不正アクセス検知装置２０は、ネットワークインタフェース２１、アプリケーション層プロトコル解釈機構２２、データ要求解析機構２００等を具備する。
【００２６】
ネットワークインタフェース２１は、監視対象となるネットワークセグメント上のパケットを傍受（受信）する機能をもつ。
【００２７】
アプリケーション層プロトコル解釈機構２２は、ネットワークインタフェース２１で受信したパケットをアプリケーション層のプロトコルにしたがって解釈し、当該パケットが運ぶデータ要求を再構築する機能をもつ。
【００２８】
データ要求解析機構２００は、データ圧縮機構２０１、圧縮率比較機構２０３、閾値設定機構２０２を具備し、アプリケーション層プロトコル解釈機構２２で解釈したデータ要求が不正アクセスに関わるものか否かを判定する機能をもつ。
【００２９】
データ圧縮機構２０１は、アプリケーション層プロトコル解釈機構２２から受け取ったデータ要求に関わるデータを圧縮し、達成した圧縮率を出力する機能をもつ。
【００３０】
閾値設定機構２０２は、データ圧縮機構２０１より出力される圧縮率に対しての閾値を設定する機能をもつ。
【００３１】
圧縮率比較機構２０３は、上記データ圧縮機構２０１が達成した圧縮率を上記閾値設定機構２０２で設定した閾値と比較し、上記データ圧縮機構２０１が達成した圧縮率が上記閾値設定機構２０２で設定した閾値を上回った際に、上記データ圧縮機構２０１が圧縮したデータを運ぶパケットは、不正アクセスに関わるものであると判定して、その判定結果の情報をデータ要求解析機構２００の判定出力とする機能をもつ。
【００３２】
上記図２に示す本発明の第２実施形態に係る不正アクセス検知装置２０の動作を説明する。
【００３３】
ネットワークインタフェース２１で受信したパケットはアプリケーション層プロトコル解釈機構２２に受け渡される。
【００３４】
アプリケーション層プロトコル解釈機構２２は、ネットワークインタフェース２１で受信したパケットをアプリケーション層のプロトコルにしたがって解釈し、当該パケットが運ぶデータ要求を再構築してデータ要求解析機構２００に設けられたデータ圧縮機構２０１に渡す。
【００３５】
データ圧縮機構２０１は、アプリケーション層プロトコル解釈機構２２から受け取ったデータ要求に関わるデータを圧縮し、達成した圧縮率を圧縮率比較機構２０３に渡す。
【００３６】
圧縮率比較機構２０３は、データ圧縮機構２０１が達成した圧縮率を閾値設定機構２０２で設定した閾値と比較し、データ圧縮機構２０１が達成した圧縮率が閾値設定機構２０２で設定した閾値を上回った際に、データ圧縮機構２０１が圧縮したデータを運ぶパケットは、不正アクセスに関わるものであると判定して、その判定結果の情報をデータ要求解析機構２００の判定出力とする。
【００３７】
前述の第１実施形態では、例えばパケットフィルタによってデータ要求を受け付けるポート番号宛のパケットのみを取り出し、そのパケットが運ぶデータをデータ要求として抽出する等の方法でデータ要求を抽出していたの対して、この第２実施形態では、アプリケーション層のプロトコルを解釈することで、データ要求を抽出する。具体例を挙げると、例えば、ＨＴＴＰのプロトコルを解釈し、クライアントが要求するＵＲＬを取り出して、これをデータ要求として用いる等の方法によってデータ要求を抽出する。このようにすることで、不正アクセス検知精度の向上を期待できる。
【００３８】
（第３実施形態）
図３に本発明の第３実施形態に於ける不正アクセス検知装置の構成を示す。この第３実施形態に於ける不正アクセス検知装置３０は、ネットワークインタフェース３１，３２、パケット転送機構３１０、データ要求解析機構３２０等を具備する。
【００３９】
ネットワークインタフェース３１は、クライアントからのパケットを受信する機能をもつ。ネットワークインタフェース３２は、サーバ計算機へパケットを送出する機能をもつ。
【００４０】
パケット転送機構３１０は、パケット受信部３１１、パケット保留キュー３１２、およびパケット送出部３１３を具備し、ネットワークインタフェース３１で受信したクライアントからのパケットを、データ要求解析機構３２０の判定結果に従い、ネットワークインタフェース３２を介してサーバ計算機へ転送する機能をもつ。
【００４１】
データ要求解析機構３２０は、データ要求抽出機構３２１、データ圧縮機構３２２、閾値設定機構３２３、圧縮率比較機構３２４等を具備し、ネットワークインタフェース３１で受信したパケットが不正アクセスに関わるものか否かを判定する機能をもつ。
【００４２】
データ要求抽出機構３２１は、パケット転送機構３１０から渡されたパケットより、データ要求に関わるデータを抽出する機能をもつ。
【００４３】
データ圧縮機構３２２は、データ要求抽出機構３２１から受け取ったデータ要求に関わるデータを圧縮し、達成した圧縮率を出力する機能をもつ。閾値設定機構３２３は、圧縮率の閾値を設定する機能をもつ。
【００４４】
圧縮率比較機構３２４は、データ圧縮機構３２２が達成した圧縮率を閾値設定機構３２３で設定した閾値と比較し、データ圧縮機構３２２が達成した圧縮率が閾値設定機構３２３で設定した閾値を上回った際に、データ圧縮機構３２２が圧縮したデータを運ぶパケットは不正アクセスに関わるものであると判定して、その判定結果の情報をデータ要求解析機構３２０の判定出力とする機能をもつ。
【００４５】
この第３実施形態に於けるデータ要求解析機構３２０の動作は、上述した第１実施形態に於けるデータ要求解析機構の動作と同様であり、データ要求解析機構３２０が不正アクセスに関わるパケットではないと判定した（正当であると判定した）パケットについては、当該パケットをパケット保留キュー３１２から取り出して、そのパケットをネットワークセグメント３２へ送出する。また、データ要求解析機構３２０が不正アクセスに関わるパケットであると判定したパケットについては、当該パケットをパケット保留キューから取り出して、破棄することで、不正アクセスに関わるパケットがサーバ計算機へ送出することを防ぐことができる。これによって、既知の特徴を格納したデータベースを使用することなく不正アクセスに関わるパケットを検知できる不正アクセス検知装置が実現できる。
【００４６】
（第４実施形態）
図４に本発明の第４実施形態に於ける不正アクセス検知装置の構成を示す。この第４実施形態に於ける不正アクセス検知装置４０は、ネットワークインタフェース４１，４２、パケット転送機構４１０、データ要求解析機構４２０等を具備する。
【００４７】
ネットワークインタフェース４１は、クライアントから送出されたパケットを受信する機能をもつ。ネットワークインタフェース４２は、ネットワークインタフェース４１が受信したパケットをサーバ計算機へ送出する機能をもつ。
【００４８】
パケット転送機構４１０は、パケット受信部４１１、パケット保留キュー４１２、およびパケット送出部４１３を具備し、ネットワークインタフェース４１で受信したクライアントからのパケットをデータ要求解析機構４２０の判定結果に従いネットワークインタフェース４２を介してサーバ計算機へ転送する機能をもつ。
【００４９】
データ要求解析機構４２０は、アプリケーション層プロトコル解釈機構４２１、データ圧縮機構４２２、閾値設定機構４２３、圧縮率比較機構４２４等を具備し、ネットワークインタフェース４１で受信したパケットが、不正アクセスに関わるものであるか否かを判定する機能をもつ。
【００５０】
アプリケーション層プロトコル解釈機構４２１は、ネットワークインタフェース４１で傍受したパケットをアプリケーション層のプロトコルにしたがって解釈し、当該パケットが運ぶデータ要求を再構築する機能をもつ。
【００５１】
データ圧縮機構４２２は、アプリケーション層プロトコル解釈機構４２１から受け取ったデータ要求に関わるデータを圧縮し、達成した圧縮率を出力する機能をもつ。閾値設定機構４２３は、圧縮率の閾値を設定する機能をもつ。
【００５２】
圧縮率比較機構４２４は、データ圧縮機構４２２が達成した圧縮率を閾値設定機構４２３で設定した閾値と比較し、データ圧縮機構４２２が達成した圧縮率が閾値設定機構４２３で設定した閾値を上回った際に、上記データ圧縮機構４２２が圧縮したデータを運ぶパケットは、不正アクセスに関わるものであると判定して、その判定結果の情報をデータ要求解析機構４２０の判定出力とする機能をもつ。
【００５３】
この第４実施形態に於けるデータ要求解析機構４２０の動作は、上述した第２実施形態に於けるデータ要求解析機構の動作と同様であり、データ要求解析機構４２０が不正アクセスに関わるパケットではないと判定した（正当であると判定した）パケットについては、当該パケットをパケット保留キュー４１２から取り出して、そのパケットをネットワークセグメント４２へ送出する。また、データ要求解析機構４２０が不正アクセスに関わるパケットであると判定したパケットについては、当該パケットをパケット保留キューから取り出し破棄することで、不正アクセスに関わるパケットがサーバ計算機へ送出することを防ぐことができる。これによって、既知の特徴を格納したデータベースを使用することなく不正アクセスに関わるパケットを検知できる不正アクセス検知装置が実現できる。
【００５４】
尚、上記した各実施形態では、圧縮率の閾値について、閾値設定機構に予め設定しているが、閾値を動的に求めるシステム構成であってもよい。
【図面の簡単な説明】
【００５５】
【図１】本発明の第１実施形態による不正アクセス検知装置の構成を示すブロック図。
【図２】本発明の第２実施形態による不正アクセス検知装置の構成を示すブロック図。
【図３】本発明の第３実施形態による不正アクセス検知装置の構成を示すブロック図。
【図４】本発明の第４実施形態による不正アクセス検知装置の構成を示すブロック図。
【符号の説明】
【００５６】
１０，２０，３０，４０…不正アクセス検知装置、１１，２１，３１，３２，４１，４２…ネットワークインタフェース、１２，３２１…データ要求抽出機構、２２，４２１…アプリケーション層プロトコル解釈機構、１００，２００，３２０，４２０…データ要求解析機構、３１０，４１０…パケット転送機構、３１１，４１１…パケット受信部、３１２，４１２…パケット保留キー、３１３，４１３…パケット送出部。
【図１】
2005085159.tif 000003
【図２】
2005085159.tif 000004
【図３】
2005085159.tif 000005
【図４】
2005085159.tif 000006