(57)【要約】【課題】  不正アクセスによるシステム被害の有無を自動判別でき、システム管理者の負担となっていた調査や切り分け作業を格段に効率化する装置を提供する。【解決手段】  本発明の被害判別システムは、不正アクセスによる監視対象システムに対する被害を判別する被害判別システムであって、監視対象システムへの不正アクセスを検知し、不正アクセス検知情報を出力する侵入検知装置と、侵入検知手段から不正アクセス検知情報を受けて、監視対象システムの被害解析の問合せ要否を判定する被害判定装置と、被害判定装置が被害解析の問合せを要すると判定した場合に、被害判定装置から被害判定指示を受けて、監視対象システムに対する被害の有無を解析する被害解析装置とを備えることを特徴とする被害判別システム。【選択図】      図１
2005165541.tif 000002
【特許請求の範囲】
【請求項１】
不正アクセスによる監視対象システムに対する被害解析の問合せ要否を判定する被害判定装置であって、
不正アクセス事象を特定する不正アクセス特定情報と、監視対象システムへの被害解析結果とを対応付けた不正攻撃情報を蓄積する蓄積手段と、
不正アクセス検知情報から上記不正アクセス特定情報を抽出する不正アクセス特定情報抽出手段と、
今回の不正アクセスについて上記不正アクセス特定情報抽出手段が抽出した上記不正アクセス特定情報に対応する上記被害解析結果を上記蓄積手段から検索し、その検索結果に基づいて、今回の不正アクセスに対する上記監視対象システムの被害解析の問合せ要否を判定する被害確認判定手段と
を備えることを特徴とする被害判定装置。
【請求項２】
上記被害確認判定手段は、今回の不正アクセスに対応する上記不正攻撃情報が上記蓄積手段にあって、今回の不正アクセスに対応する直近の上記不正攻撃情報の被害解析結果が上記監視対象システムに被害を与えないものである場合、上記監視対象システムへの被害解析の問合せ要否を判定することを特徴とする請求項１に記載の被害判定装置。
【請求項３】
上記蓄積手段は、過去の被害解析結果の累積値を有し、上記被害判定確認手段は、上記累積値が所定数以上であるかどうかによって、上記監視対象システムへの被害解析の問合せ要否を判定することを特徴とする請求項１又は２に記載の被害判定装置。
【請求項４】
上記蓄積手段は、被害解析結果の被害解析を行なった日時情報を有し、上記被害判定確認手段は、上記日時情報が所定の期限より以前であるかどうかによって、上記監視対象システムへの被害解析の問合せ要否を判定することを特徴とする請求項１〜３のいずれかに記載の被害判定装置。
【請求項５】
不正アクセスによる監視対象システムに対する被害の有無を解析する被害解析装置であって、
通常アクセスにより予測され得る上記監視対象システムの通常実行状態が予め定義ファイルとして設定される定義ファイル部と、
不正アクセス時の上記監視対象システムの実行状態と上記定義ファイルとの比較結果に基づいて、上記監視対象システムに対する被害の有無を解析する被害解析手段と
を備えることを特徴とする被害解析装置。
【請求項６】
上記定義ファイル部は、通常アクセスにより実行されるプロセス毎のプロセス起動状態を定義ファイルとして設定されることを特徴とする請求項５に記載の被害解析装置。
【請求項７】
上記定義ファイル部は、通常アクセスにより実行されるプロセス毎のネットワーク接続状態を定義ファイルとして設定されることを特徴とする請求項５又は６に記載の被害解析装置。
【請求項８】
上記定義ファイル部は、アクセスされ得るファイル毎のアクセス態様を定義ファイルとして設定されることを特徴とする請求項５〜７のいずれかに記載の被害解析装置。
【請求項９】
不正アクセスによる監視対象システムに対する被害を判別する被害判別システムであって、
上記監視対象システムへの不正アクセスを検知し、不正アクセス検知情報を出力する侵入検知装置と、
上記侵入検知手段から上記不正アクセス検知情報を受けて、上記監視対象システムの被害解析の問合せ要否を判定する請求項１〜４のいずれかに記載の被害判定装置と、
上記被害判定装置が被害解析の問合せを要すると判定した場合に、上記被害判定装置から被害判定指示を受けて、上記監視対象システムに対する被害の有無を解析する請求項５〜８のいずれかに記載の被害解析装置と
を備えることを特徴とする被害判別システム。
【請求項１０】
不正アクセス事象を特定する不正アクセス特定情報と、監視対象システムへの被害解析結果とを対応付けた不正攻撃情報を蓄積する蓄積手段を有し、不正アクセスによる上記監視対象システムに対する被害解析の問合せ要否を判定する被害判定装置に、
不正アクセス検知情報から上記不正アクセス特定情報を抽出する不正アクセス特定情報抽出機能と、
今回の不正アクセスについて上記不正アクセス特定情報抽出機能が抽出した上記不正アクセス特定情報に対応する上記被害解析結果を上記蓄積手段から検索し、その検索結果に基づいて、今回の不正アクセスに対する上記監視対象システムの被害解析の問合せ要否を判定する被害確認判定機能と
を実現させることを特徴とする被害判定プログラム。
【請求項１１】
上記被害確認判定機能は、今回の不正アクセスに対応する上記不正攻撃情報が上記蓄積手段にあって、今回の不正アクセスに対応する直近の上記不正攻撃情報の被害解析結果が上記監視対象システムに被害を与えないものである場合、上記監視対象システムへの被害解析の問合せ要否を判定することを特徴とする請求項１０に記載の被害判定プログラム。
【請求項１２】
通常アクセスにより予測され得る監視対象システムの通常実行状態が予め定義ファイルとして設定される定義ファイル部を有し、不正アクセスによる上記監視対象システムに対する被害の有無を解析する被害解析装置に、
不正アクセス時の上記監視対象システムの実行状態と、上記定義ファイルとの比較結果に基づいて、上記監視対象システムに対する被害の有無を解析する被害解析機能を実現させることを特徴とする被害解析プログラム。
【請求項１３】
上記定義ファイル部は、通常アクセスにより実行されるプロセス毎のプロセス起動状態を定義ファイルとして設定されることを特徴とする請求項１２に記載の被害解析プログラム。
【請求項１４】
上記定義ファイル部は、通常アクセスにより実行されるプロセス毎のネットワーク接続状態を定義ファイルとして設定されることを特徴とする請求項１２又は１３に記載の被害解析プログラム。
【請求項１５】
上記定義ファイル部は、アクセスされ得るファイル毎のアクセス態様を定義ファイルとして設定されることを特徴とする請求項１２〜１４のいずれかに記載の被害解析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、被害判定装置、被害解析装置、被害判別システム、被害判定プログラム及び被害解析プログラムに関し、特に、不正アクセスからネットワークを守るためのセキュリティ管理に関するものである。
【背景技術】
【０００２】
近年、ネットワークのオープン化、社会活動におけるネットワーク依存の度合いが増大しており、ネットワークに対する不正アクセスの脅威が増大してきている。
【０００３】
不正アクセスを試みる方法には、システムのセキュリティ上の弱点（脆弱性）を悪用し、結果的にシステムの管理者権限をリモートから奪取するような電文をシステムに送りつけることが一般に知られており、システムベンダー等のソフトウェアの機能アップやバージョンアップの都度新たな脆弱性を悪用する攻撃の脅威が存在するという状況にある。
【０００４】
この状況をシステムの運用面で考えると、システムの脆弱性やそれを悪用する攻撃の脅威は、一般にインターネット上でセキュリティ関連の研究者によって指摘され、慈善活動としてその情報が流布され、システムベンダーやセキュリティ製品ベンダーはその対策版をユーザに「パッチ」という形態で提供するというサイクルを追っているのが現状である。
【０００５】
システムを運用する側からすると、その対策版が提供されたら速やかにそれを適用しなければならず、さもなければ弱点の口（脆弱性）を塞がないままシステムを放置しかねない。
【０００６】
また、一般には運用するシステムに対するアクセスの様子を、ネットワーク上の送受信データ、システム内の履歴情報といったトレース情報を常時モニターし攻撃を検知する目的のシステムとして侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）が用いられている。
【０００７】
ＩＤＳはシステムのセキュリティ管理を適切に行うための監視ツールとして開発されている。
【０００８】
従来、このＩＤＳは、大きく２つのタイプがあり、１つは、ＬＡＮなどのネットワーク上の送受信データをモニターし、攻撃パターンと推測される電文を発見し警告を発するタイプの「ネットワークベースＩＤＳ」と、もう１つは、サーバ等のシステム（ホストと呼ぶ場合が多い）内のアプリケーションログやトレース構報からシステムの挙動をモニターし、攻撃パターンと推測される情報を見つけると警告を発するタイプの「ホストベースＩＤＳ」とがある。
【０００９】
「ネットワークベースＩＤＳ」は監視対象のネットワークにセンサ装置としてＬＡＮに接続し、「ホストベースＩＤＳ」は監視対象のシステムにエージェントソフトウェアとしてインストールするのが一般的である。
【００１０】
ここで、「警告を発する」手段は、一般には専用のソフトウェアを使って管理者画面に警告情報を表示したり、Ｗｅｂブラウザの画面内に表示したり、管理者宛ての電子メールを送信したり、ネットワーク管理用の事実上の標準プロトコルであるＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）のメッセージを利用しネットワーク管理用ソフトウェア（一般に「ＳＮＭＰマネージャ」と呼ばれる）に通知したり、或いはシステム管理者のポケットベルを鳴動させたりする手段が通常とられる。
【００１１】
また、「ネットワークベースＩＤＳ」はソフトウェアとしてユーザに提供されるタイプと、ハードウェアと一体型のアプライアンス製品として提供され、ユーザ側はハードウェア（ＩＤＳ機能を予め組込まれたセンサ装置）を単に監視対象のネットワークに接続するのみのタイプとが存在する。
【００１２】
ここで、従来の不正アクセス監視方法を簡単に説明する。
【００１３】
まず、あるネットワークがインターネット等の外部ネットワークと接続されており、そのネットワークやそこで稼動している装置（ＷＷＷサーバ、メールサーバ、ＤＮＳサーバといったサーバ等）への不正アクセスを、外部ネットワークから、又は内部（内部ネットワーク）から監視するシステムについて考えてみる。不正アクセスの監視を行う場合、侵入検知センサ（ネットワークベースＩＤＳ）または侵入検知ソフトウェア（ホストベースＩＤＳ）を監視対象のシステムやネットワークに導入し、システム管理者がネットワークベースＩＤＳやホストベースＩＤＳからの警告を監視するのが一般的である。
【００１４】
システム管理者は、システムを安全に運用するためにＩＤＳを導入し、脆弱性を突く攻撃の有無や知らぬ間に不正侵入されていないかを監視し、被害を最小限に留める努力を継続的に行わなければならない。従って、システム管理者は、ＩＤＳが検知した攻撃がシステムにどのような影響を及ぼすのか、システムの運用をこのまま継続しても問題がないのか等の判断をする必要性に迫られ、セキュリティ分野の知識やスキルに乏しいシステム管理者は、攻撃が検知される都度システムの影響度合いを手探りで調査するか、勘に任せるしかないというのが現状である。
【発明の開示】
【発明が解決しようとする課題】
【００１５】
しかしながら、上述したように、従来のネットワークベースＩＤＳやホストベースＩＤＳは、監視対象のネットワーク上や監視対象のシステム内にて不正アクセスに相当するパターンを監視し警告を発するが、ネットワーク上の通過パケットやシステムの振る舞いが不正アクセスのパターンに合致したことを意味するだけであり、そのことによってどのような影響（被害）が発生しているかまでは管理されない。
【００１６】
従って、同じ攻撃でもある脆弱性に対する対策パッチがシステムベンダーから提供されていなかったり、提供されていたとしてもパッチが適用されていなかったりシステム環境によって影響を受けるか否かが異なるため、ＩＤＳから警告があっても、従来のＩＤＳだけでは、攻撃を検知するだけであって、監視対象とするシステムやネットワークヘの影響を責任持って食い止めるだけの能力は持ち合わせていない。
【００１７】
システム管理者は、被害を最小限に留めるために監視対象のシステムやネットワーク上の影響（被害）の有無をその都度調査し、行われた攻撃の影響度合いを切り分ける必要がある。
【００１８】
その結果、システム管理者は、被害の切り分けのために、様々なログ情報の解析をしながら調査作業を進めることになるが、それには専門のスキルが必要であったり、警告の都度同じ切り分け作業を行うという手間がかかり、システムの運用に多大な労力を要するという問題があった。
【００１９】
また、システムへのアクセス時に、そのアクセスが通常アクセスであるのか又は不正アクセスであるのかをシステム管理者側が正確に判断することが困難でもあった。
【００２０】
そのため、不正アクセスによる影響（被害）の有無を正確に自動判定すると共に、不正アクセスが引き起こす被害解析を正確かつ迅速に行ない、システム管理者の負担となっていた調査や切り分け作業を格段に効率化できる被害判定装置、被害解析装置、被害判別システム、被害判定プログラム及び被害解析プログラムが求められている。
【課題を解決するための手段】
【００２１】
かかる課題を解決するために、第1の本発明の被害判定装置は、不正アクセスによる監視対象システムに対する被害解析の問合せ要否を判定する被害判定装置であって、不正アクセス事象を特定する不正アクセス特定情報と、監視対象システムへの被害解析結果とを対応付けた不正攻撃情報を蓄積する蓄積手段と、不正アクセス検知情報から上記不正アクセス特定情報を抽出する不正アクセス特定情報抽出手段と、今回の不正アクセスについて不正アクセス特定情報抽出手段が抽出した不正アクセス特定情報に対応する被害解析結果を蓄積手段から検索し、その検索結果に基づいて、今回の不正アクセスに対する監視対象システムの被害解析の問合せ要否を判定する被害確認判定手段とを備える。
【００２２】
第２の本発明の被害解析装置は、不正アクセスによる監視対象システムに対する被害の有無を解析する被害解析装置であって、通常アクセスにより予測され得る監視対象システムの通常実行状態が予め定義ファイルとして設定される定義ファイル部と、不正アクセス時の監視対象システムの実行状態と定義ファイルとの比較結果に基づいて、監視対象システムに対する被害の有無を解析する被害解析手段とを備える。
【００２３】
第３の本発明の被害判別システムは、不正アクセスによる監視対象システムに対する被害を判別する被害判別システムであって、監視対象システムへの不正アクセスを検知し、不正アクセス検知情報を出力する侵入検知装置と、侵入検知手段から不正アクセス検知情報を受けて、監視対象システムの被害解析の問合せ要否を判定する第１の本発明の被害判定装置と、被害判定装置が被害解析の問合せを要すると判定した場合に、被害判定装置から被害判定指示を受けて、監視対象システムに対する被害の有無を解析する第２の本発明の被害解析装置とを備える。
【００２４】
第４の本発明の被害判定プログラムは、不正アクセス事象を特定する不正アクセス特定情報と、監視対象システムへの被害解析結果とを対応付けた不正攻撃情報を蓄積する蓄積手段を有し、不正アクセスによる上記監視対象システムに対する被害解析の問合せ要否を判定する被害判定装置に、不正アクセス検知情報から不正アクセス特定情報を抽出する不正アクセス特定情報抽出機能と、今回の不正アクセスについて不正アクセス特定情報抽出機能が抽出した不正アクセス特定情報に対応する被害解析結果を蓄積手段から検索し、その検索結果に基づいて、今回の不正アクセスに対する監視対象システムの被害解析の問合せ要否を判定する被害確認判定機能とを実現させるプログラムである。
【００２５】
第５の本発明の被害解析プログラムは、通常アクセスにより予測され得る監視対象システムの通常実行状態が予め定義ファイルとして設定される定義ファイル部を有し、不正アクセスによる上記監視対象システムに対する被害の有無を解析する被害解析装置に、不正アクセス時の監視対象システムの実行状態と、定義ファイルとの比較結果に基づいて、監視対象システムに対する被害の有無を解析する被害解析機能を実現させるプログラムである。
【発明の効果】
【００２６】
本発明の被害判定装置及び被害判定プログラム並びに被害判別システムによれば、不正アクセスによる被害（影響）の有無を正確に自動判別できるため、システム管理者の負担となっていた調査や切り分け作業を格段に効率化することが可能となる。
【００２７】
また、本発明の被害解析装置及び被害解析プログラム並びに被害判別システムによれば、定義ファイルと不正アクセス時の監視対象システムの実行状態とを比較することで、正確に不正アクセスによる被害を判定することが可能となる。
【発明を実施するための最良の形態】
【００２８】
（Ａ）実施形態
以下、本発明に係る被害判別システムの実施形態について図面を参照して説明する。
【００２９】
本実施形態は、外部の開放的なネットワーク（例えばインターネット）に接続するネットワーク上に接続されるシステムに適用する場合であって、侵入検知システム（ＩＤＳ）を採用して外部ネットワークからの不正アクセスを検知するシステムについて説明する。
【００３０】
なお、以下では、まず、本実施形態の被害判別システムの全体構成について説明した後、被害判別システムを構成する被害解析エージェントの被害判定の解析方式、及び、フィルタリングモジュールの被害解析結果の判定方式について説明する。
【００３１】
（Ａ−１）実施形態の構成
図１は、本実施形態に係る被害判別システムの構成を示した全体構成図である。
【００３２】
図１に示すように、本実施形態に係る被害判別システムは、外部ネットワークに接続するＬＡＮ１００を監視し、不正アクセス事象の攻撃によるＬＡＮ１００の被害を管理するものである。
【００３３】
被害判別システムは、大別すると、被害判定管理装置１１０と、監視対象システム１２０と、侵入検知システム（ＩＤＳ）とを備えている。なお、このＩＤＳは、ネットワークベースＩＤＳ１３０と、ホストベースＩＤＳ１２２とを備えている。
【００３４】
以下では、この被害判別システムの各構成要件についての構成を説明する。まず、侵入検知システム（ＩＤＳ）について説明する。
【００３５】
上述したように、被害判別システムは、侵入検知システムとして、ネットワークベースＩＤＳ１３０と、ホストベースＩＤＳ１２２とを備えている。
【００３６】
ネットワークベースＩＤＳ１３０は、ＬＡＮ１００上に接続するものであり、ＬＡＮ上の送受信データをモニターし、攻撃パターンと推測される電文を発見するものである、すなわち、外部ネットワークからの不正アクセスを検知するものである。ネットワークワークベースＩＤＳ１３０は、不正アクセスを検知すると、警告をＬＡＮ１００を通じて被害判定管理装置１１０のフィルタリングモジュール１１１へ与えるものである。
【００３７】
ホストベースＩＤＳ１２２は、監視対象システム１２０内のアプリケーションログやトレース情報からシステムの挙動をモニターし、攻撃パターンと推測される情報を発見するものである。また、ホストベースＩＤＳ１２２は、不正アクセスを検知すると、警告をＬＡＮ１００を通じて被害判定管理装置１１０のフィルタリングモジュール１１１へ与えるものである。
【００３８】
また、ネットワークベースＩＤＳ１３０及びホストベースＩＤＳ１２２（以下、これらを併せて単に「ＩＤＳ」という）は、不正アクセスを検知したときに警告を通知する通知手段（図示しない）を備えている。
【００３９】
この通信手段は、例えば、電子メールによってシステム管理者へ警告を通知する方法や、特定のＴＣＰソケットを用いた通知方法等を採用した手段を適用することができる。
【００４０】
例えば、通知手段が電子メールによって警告を通知する場合、通信手段は、ＩＤＳが予め実装する電子メール機能によって、被害判定管理装置内１１０の特定のプロセスのアカウント宛に（この場合、フィルタリングモジュール１１１）、電子メールを送信して警告する。
【００４１】
図３は、ＩＤＳが発する警告を電子メールで通知する場合の電子メール形式内容を示した例である。
【００４２】
図３の例に示すように、電子メール形式内容は、宛先、発信者、主題（Ｓｕｂｊｅｃｔ）、本文（Ｂｏｄｙ）等といった項目を記しているが、警告の内容や警告の危険度となる情報が、Ｓｕｂｊｅｃｔ、Ｂｏｄｙ等の情報と組合わされて記述できるようにしてもよい。
【００４３】
上述の説明のように、ＩＤＳは、従来の侵入検知システムに広く適用できるものである。
【００４４】
次に、被害判定管理装置１１０の内部構成について説明する。被害判定管理装置１１０は、知識データベース（知識ＤＢ）１１４と、フィルタリングモジュール１１１と、知識ＤＢ更新モジュール１１２と、結果通知モジュール１１３とを有するものである。
【００４５】
被害判定管理装置１１０は、ネットワークベースＩＤＳ１３０及び又はホストベースＩＤＳ１２２から不正アクセスに係る警告を、ＬＡＮ１００を通じて受け取り、その不正アクセス事象に関する情報を自動蓄積して管理するものである。また、被害判定管理装置１１０は、ＩＤＳからの警告と不正アクセス事象に関する情報に基づいて被害を判別して、必要に応じて、その不正アクセス事象の攻撃によって監視対象システム１２０の影響（被害）を解析させるように指示するものである。
【００４６】
すなわち、被害判定管理装置１１０は、ＩＤＳからの警告により被害を判別し、その被害の度合いを判定して、必要に応じて被害解析を指示するものである。
【００４７】
フィルタリングモジュール１１１は、ＩＤＳから、検知された不正アクセスに係る警告を受け取り、各警告について知識ＤＢ１１４を参照して、各警告に対応する各攻撃が引き起こす監視対象システム１２０への被害の影響度合いを判定するものである。
【００４８】
この知識ＤＢ１１４は、不正アクセス事象と被害解析結果とを蓄積するデータベースであって、ＩＤＳからの警告と対応付けられた被害解析結果を蓄積しているものである。図４は、知識ＤＢ１１４が蓄積するデータベース例を示す。
【００４９】
従って、フィルタリングモジュール１１１は、ＩＤＳからの警告に基づいて知識ＤＢ１１４を参照し、ＩＤＳからの警告に対応する被害解析結果を知ることができる。
【００５０】
例えば、ＩＤＳからの警告として図３の例に示す電子メールをＩＤＳから与えられると、フィルタリングモジュール１１１は、例えば、電子メールのＳｕｂｊｅｃｔ情報（この場合「警告Ｎｏ．１」）と、知識ＤＢ１１１の蓄積情報とを比較して被害解析結果（判定結果）がＯＫ（すなわち、監視対象システム１２０に影響なし）であることを判定する。
【００５１】
つまり、フィルタリングモジュール１１１は、知識ＤＢ１１４を参照することで、ＩＤＳからの警告に係る不正アクセス事象と、その不正アクセス事象が引き起こす監視対象システム１２０への被害と知ることができる。
【００５２】
なお、この被害解析結果（判定結果）は、不正アクセス事象が引き起こした監視対象システムへの被害解析であって、後述する被害解析エージェント１２１による解析結果である。
【００５３】
また、フィルタリングモジュール１１１は、知識ＤＢ１１４に基づいて被害解析結果を判断して、その警告に係る不正アクセス事象が、監視対象システム１２０へ被害を引き起こすものである場合（図４の例では判定結果が「ＮＧ」の場合）又は知識ＤＢ１１４に蓄積されていない（若しくは規定されていない）ものである場合には、被害解析エージェント１２１へ被害解析をするように指示するものである。
【００５４】
さらに、フィルタリングモジュール１１１は、ＩＤＳから警告を受け取る毎に、各警告に係る不正アクセス事象が引き起こす被害の判別をし、各警告とその被害解析結果を対応付けた判定結果を、知識ＤＢ更新モジュール１１２及び結果通知モジュール１１３へ与えるものである。
【００５５】
具体的には、フィルタリングモジュール１１１が被害解析指示をした場合、フィルタリングモジュール１１１は、その警告と被害解析エージェント１２１からの被害解析結果とを対応付けた判定結果を、知識ＤＢ更新モジュール１１２及び結果通知モジュール１１３へ与えるものである。
【００５６】
また、フィルタリングモジュール１１１が被害解析指示をしなかった場合、フィルタリングモジュール１１１は、その警告と「影響なし」の旨とを対応付けた判定結果を、知識ＤＢ更新モジュール１１２及び結果通知モジュール１１３へ与えるものである。
【００５７】
以上のように、フィルタリングモジュール１１１は、知識ＤＢ１１４に蓄積された被害解析結果と、ネットワークベースＩＤＳ１３０及び又はホストベースＩＤＳ１２２から受ける警告の対応付けにより解析指示の要否（フィルタリングルール）を蓄積し、警告を受ける毎に解析調査が不要な警告をフィルタリングルールに追加するものである。
【００５８】
知識ＤＢ１１４は、知識ＤＢ更新モジュール１１２から、不正アクセス事象と被害解析結果とを受け取り、その不正アクセス事象と被害解析結果とを蓄積するデータベースである。また、知識ＤＢ１１４は、被害条件を限定するため、監視対象のシステムの環境定義（例えば、ＯＳやその他の基盤ソフトウェアの名称、バージョン、パッチ適用情報等）の属性情報も蓄積することができるものである。
【００５９】
知識ＤＢ更新モジュール１１２は、フィルタリングモジュール１１１から判定結果を受け取り、その判定結果を知識ＤＢ１１４に与えて、知識ＤＢ１１４に蓄積されている情報を更新するものである。
【００６０】
また、知識ＤＢ更新モジュール１１２は、システム管理者がシステムの状況を把握したり被害判別管理装置１１０に指示したりするためのシステム管理装置（図１には図示しない）から出力される知識ＤＢ１１４クリアの指示に従って、知識ＤＢ１１４をクリアにするものである。
【００６１】
つまり、知識ＤＢ更新モジュール１１２は、知識ＤＢ１１４を未調査の状態に戻すものある。
【００６２】
結果通知モジュール１１３は、フィルタリングモジュールから判定結果を受け取り、その判定結果をシステム管理者（図示しない）へ通知するものである。
【００６３】
次に、監視対象システム１２０の内部構成について説明する。監視対象システム１２０は、少なくとも、被害解析エージェント１２１と、ホストベースＩＤＳ１２２とを有するものである。なお、ホストベースＩＤＳ１２２の説明は省略する。
【００６４】
被害解析エージェント１２１は、監視対象システム内１２０で動作するものであって、被害判定管理装置１１０のフィルタリングモジュール１１１からの被害解析の指示に従って、監視対象システム１２０内の被害解析情報から被害解析を行うものである。また、被害解析エージェントは、ホストベースＩＤＳ１２２との直接のインタフェースは持たないものとする。
【００６５】
（Ａ−２）被害解析エージェント１２１の被害判定の解析方式
続いて、被害解析エージェント１２１の被害判定の解析方式について説明する。
【００６６】
被害解析エージェント１２１は、被害を判定するための定義ファイルを有し、フィルタリングモジュール１１１からの被害解析の指示を受けて、監視対象システム１２０内の動作状態を監視し、その監視対象システム１２０の動作状態と定義ファイルとを比較することで、監視対象システム１２０の被害を解析するものである。
【００６７】
図５は、被害解析エージェント１２１の機能を説明する説明図である。被害解析エージェント１２１は、制御部１２１ａを備え、機能プログラムを制御部１２１ａに実行させることでその機能を実現するものである。
【００６８】
制御部１２１ａは、被害解析エージェント１２１の機能を制御するものである。
【００６９】
定義ファイル１２１ｂは、監視対象システム１２０にアクセスされた場合に、監視対象システム１２０が通常行なうであろうと考えられ得る動作状態を定義したものである。この定義ファイル１２１ｂは、被害判定の解析方式に応じて定義内容を決定することができる。
【００７０】
被害判定の解析方式として、例えば、監視対象システム１２０内で実行されるプログラム単位で被害を判定するプロセス異常解析、アクセスされるネットワーク状態から被害を判定するネットワーク異常解析、アクセスされるファイルへのアクセス状態から被害を判定するファイルアクセス異常解析等があり、定義ファイル１２１ｂはこれらの被害判定の解析方式に応じて定義される。
【００７１】
なお被害解析エージェント１２１は、これら被害解析の態様に応じた定義ファイルをそれぞれ単独又は複数を備えるようにしてもよい。
【００７２】
被害判定解析部１２１ｃは、フィルタリングモジュール１１１からの被害解析の指示を受けた場合に、制御部１２１ａの制御により、監視対象システム１２０内の動作状態を監視し、その監視対象システム１２０内の動作状態と定義ファイルとを比較し、監視対象システム１２０の動作状態が、定義ファイルに定義されていない状態を発見した場合に、監視対象システム１２０に異常が生じたと判定し、定義ファイルに定義されている状態であると判断した場合に、監視対象システム１２０に異常は生じていないと判定するものである。
【００７３】
また、被害解析エージェント１２１は、被害判定解析の判定結果をフィルタリングモジュール１１１に与える。
【００７４】
（Ａ−２−１）まず、プロセス異常解析を適用する場合について図６を参照して説明する。図６は、プロセス異常解析の場合に定義ファイルを定義する項目例を示す。
【００７５】
図６に示すように、この場合、定義ファイルに定義する項目として、「プロセス名」、「親プロセス名」、「ユーザ名」、「プロセス最小数」、「プロセス最大数」、「時間帯」が挙げられる。
【００７６】
「プロセス名」は、監視対象システム１２０が実行するプログラムの名称を意味する。図６の例では、「プロセス名」として「ｈｔｔｐｄ」と定義する。
【００７７】
「親プロセス名」は、監視対象システム１２０内で実行されるプロセスを起動させるための親プロセスの名称を意味する。図６の例では、「親プロセス名」として「ｉｎｉｔ」と定義する。
【００７８】
「ユーザ名」は、監視対象システム１２０内で実行させるプロセスを実行要求するユーザ名を意味する。図６の例では、「ユーザ名」として「ｗｗｗ」と定義する。
【００７９】
「プロセス最小数」及び「プロセス最大数」は、監視対象システム１２０で実行されるプロセスの数であり、その最小数及び最大数を意味する。図６の例では、「プロセス最小数」として「１」と定義し、「プロセス最大数」として「１００」と定義する。
【００８０】
「時間帯」は、監視対象システム１２０内でプロセスが実行される時間帯を意味する。図６の例では、「時間帯」として「８：００−２２：００」と定義する。
【００８１】
被害解析エージェント１２１が、図６の例に示す定義ファイルを有する場合の被害解析の自動判定する場合の例を説明する。
【００８２】
例えば、監視対象システム１２０内で「プロセス名：ｈｔｔｐｄ」を実行しているとしても、当該プロセスを実行したユ−ザが「ｒｏｏｔ」であるとき、被害解析エージェント１２１は、定義ファイルを参照して、ユーザ名がが定義ファイルに定義されていないことを検出し、監視対象システム１２０の異常を検出する。
【００８３】
同様に、例えば、図６の例に示す定義ファイルの場合、「親プロセス名：ｓｈ」により「プロセス名：ｈｔｔｐｄ」が起動されている場合、「プロセス名：ｈｔｔｐｄ」を実行する「親プロセス」が定義ファイルに定義されていないことから、被害解析エージェントは異常を検出する。
【００８４】
また同様に、例えば、図６の例に示す定義ファイルの場合、監視対象システム１２０内で実行している「プロセス名：ｈｔｔｐｄ」のプロセス数が「１１０」である場合には、「プロセス最大数：１００」を超えており、定義ファイルに定義されていないことから、被害解析エージェント１２１は異常を検出する。
【００８５】
また同様に、例えば、図６の例に示す定義ファイルの場合、監視対象システム１２０内で「プロセス名：ｈｔｔｐｄ」が「２３：００」に実行されている場合には、実行時間帯が定義ファイルの「時間帯：８：００−２２：００」の定義と異なることから、被害解析エージェント１２１異常を検出する。
【００８６】
（Ａ−２−２）次に、ネットワーク異常解析を適用する場合について図面を参照して説明する。
【００８７】
ここで、ネットワーク異常解析は、さらにサービス異常解析、接続異常解析、接続数異常解析の３種類の被害解析態様に区別することができそれぞれについて説明する。
【００８８】
図７は、サービス異常解析の場合の定義ファイルの項目例を示す。図７に示すように、この場合、定義ファイルの項目として、「プロトコル」、「ローカルポート」、「プロセス名」、「常時性（Ｃ）」、「時間帯」が挙げられる。
【００８９】
「プロトコル」は、監視対象システム１２０において提供されるネットワークサービスのプロトコルを意味する。図７の例では、「プロトコル」として「ＴＣＰ」を定義する。
【００９０】
「ローカルポート」は、監視対象システム１２０において提供されるサービスのポート番号を意味する。図７の例では、「ローカルポート」として「８０」が定義される。
【００９１】
「常時性（Ｃ）」は、ネットワークサービスの常時性を意味するものであり、監視対象システム１２０において常にネットワークサービスが提供されている場合にフラグ（Ｃ）が付与される。図７の例では、「常時性（Ｃ）」に「Ｃ」が付与される。
【００９２】
なお、図７に示す定義ファイルの例では、「プロセス名」として「ｈｔｔｐｄ」を定義し、「時間帯」として「＊（任意を意味する）」を定義する。
【００９３】
図７に示す定義ファイルを被害解析エージェント１２１が有する場合、例えば、
監視対象システム１２０においてネットワークのプロトコルが「ＴＣＰ」であり、かつ、「ポート番号：８０」のサービスが提供されていたとしても、「ｈｔｔｐｄ以外のプロセス」が当該サービスを提供している場合には、被害解析エージェント１２１は、「プロセス名：ｈｔｔｐｄ」が定義ファイルと異なることを理由に異常を検出する。
【００９４】
また同様に、図７に示す定義ファイルの場合、監視対象システム１２０において、ネットワークのプロトコルが「ＴＣＰ」であり、かつ、「ポート番号：８０」のサービスが提供されていない場合、被害解析エージェント１２１は、定義ファイルの「常時性：（Ｃ）」のフラグが付されていることから定義ファイルと異なることを見つけ異常を検出する。
【００９５】
次に、図８を参照して接続異常解析について説明する。図８に、接続異常解析の場合の定義ファイルの項目例を示す。
【００９６】
図８に示すように、この場合の定義ファイルの項目として、「リモートポート」、「リモートＩＰ」、「ローカルポート」、「プロセス名」、「時間帯」が挙げられる。
【００９７】
「リモートポート」は、アクセスしてきたユーザ（リモート）側のポート番号を意味する。図８の例では、「リモートポート」として「２１」と定義する。
【００９８】
「リモートＩＰ」は、アクセスしてきたユーザ（リモート）側のＩＰアドレスを意味する。図８の例では、「リモートＩＰ」として「１７２．２８．６２．１」と定義する。
【００９９】
なお、図８に示す定義ファイルの例では、「ローカルポート」として「＊（任意を意味する）」を定義し、「プロセス名」として「ｆｔｐ」を定義し、「時間帯」として「＊（任意を意味する）」を定義する。
【０１００】
図８に示す定義ファイルを被害解析エージェント１２１が有する場合、例えば、
監視対象システム１２０へのアクセスがリモート側の「２１番ポート」と通信しているが、リモート側のＩＰアドレスが「１９２．１６８．０．１」である場合には、被害解析エージェント１２１は、「リモートＩＰ」が定義ファイルの定義と異なることから異常を検出する。
【０１０１】
また同様に、図８に示す定義ファイルの場合、監視対象システム１２０にアクセスしてきたリモート側のＩＰアドレスが「１７２．２８．６２．１」であるが、通信しているリモート側のポート番号が「８０番ポート」である場合には、被害解析エージェント１２１は、「リモートポート」が定義ファイルの定義と異なることから異常を検出する。
【０１０２】
また同様に、アクセスしてきたリモート側のＩＰアドレス及びポート番号が、「１７２．２８．６２．１」及び「２１番ポート」であるが、プロセス名が「ｈｔｔｐｄ」である場合には、被害解析エージェント１２１は、「プロセス名」が定義ファイルと異なることから異常を検出する。
【０１０３】
次に、図９を参照して接続数異常解析について説明する。図９に、接続数異常解析の場合の定義ファイルの項目例を示す。
【０１０４】
図９に示すように、この場合の定義ファイルの項目として、「ローカルポート」、「リモートポート」、「プロセス名」、「接続最大数」、「時間帯」が挙げられる。
【０１０５】
「接続最大数」は、監視対象システム１２０と接続している接続数を意味する。
【０１０６】
なお、図９に示す定義ファイルの例では、「ローカルポート」として「＊（任意を意味する）」を定義し、「リモートポート」として「８０」を定義し、「プロセス名」として「＊（任意を意味する）」を定義し、「時間帯」として「＊（任意を意味する）」を定義する。
【０１０７】
図９に示す定義ファイルを被害解析エージェント１２１が有する場合、例えば、監視対象システム１２０の８０番ポートへのアクセスが１１接続ある場合には、被害解析エージェント１２１は、接続数が定義ファイルの「接続最大数」を超えるものであるため異常を検出する。
【０１０８】
（Ａ−２−３）次に、ファイルアクセス異常解析を適用する場合について図１０を参照して説明する。図１０は、ファイルアクセス異常解析の場合の定義ファイルの項目例を示す。
【０１０９】
図１０に示すように、この場合、定義ファイルの項目例として、「ファイル名」、「ｒｅａｄ／ｗｒｉｔｅ」、「ユーザ名」、「グループ名」、「時間帯」が挙げられる。
【０１１０】
「ファイル名」は、監視対象システム１２０にアクセスされるファイルの名称を意味する。図１０の例では、「ファイル名」として「／ｖａｒ／ｌｏｇ／．＊（任意を意味する）」を定義する。
【０１１１】
「ｒｅａｄ／ｗｒｉｔｅ」は、ファイルの読み出しであるか又はファイルへの書き込みであるかを決定するものである。
【０１１２】
「グループ名」は、ファイル属性に基づいて類別されるグループの名称を意味する。図１０の例では、「グループ名」として「＊（任意を意味する）」を定義する。
【０１１３】
なお、図１０に示す定義ファイルの例では、「ユーザ名」として「ｒｏｏｔ」を定義し、「時間帯」として「＊（任意を意味する）」を定義する。
【０１１４】
図１０に示す定義ファイルを被害解析エージェント１２１が有する場合、例えば、ファイルアクセスされたファイル名に「／ｖａｒ／ｌｏｇ／ｍｅｓｓａｇｅｓ」対する書き込みであるが、書き込むユーザ名が「ｗｗｗ」である場合には、被害解析エージェント１２１は、ユーザ名が定義ファイルの「ユーザ名：ｒｏｏｔ」と異なるため異常を検出する。
【０１１５】
また同様に、図１０に示す定義ファイルの場合、ファイルアクセスユーザ名が「ｒｏｏｔ」がファイルに書き込む場合であるがその書き込まれるファイル名が「／ｖａｒ／ｄｕｍｍｙ」である場合には、被害解析エージェント１２１は、アクセスファイル名が定義ファイルの「／ｖａｒ／ｌｏｇ／．＊」と異なるため異常を検出する。
【０１１６】
なお、ファイルアクセス異常解析において、定義ファイルに「ファイルサイズ」を定義するようにしてもよい。
【０１１７】
以上のようにして、被害解析エージェント１２１は、フィルタリングモジュール１１１からの被害解析の指示を受けて、監視対象システム１２０内の被害解析を行なう。
【０１１８】
（Ａ−３）フィルタリングモジュール１１１の被害解析結果の判定方式
ここでは、フィルタリングモジュール１１１が、知識ＤＢ１１４を参照して、ＩＤＳからの警告に係る不正アクセス事象の攻撃が引き起こす監視対象システム１２０への被害解析結果を判断し、被害解析エージェント１２１に被害解析の指示をするか否かを自動判定する具体的な判定方式について詳細に説明する。
【０１１９】
フィルタリングモジュール１１１が行なう判定方式として、以下に示すような、リソース方式と推測方式とを説明する。
【０１２０】
（Ａ−３−１）リソース方式
リソース方式は、フィルタリングモジュール１１１が、ＩＤＳからの警告に含まれる所定情報を抽出し、その抽出した所定情報に基づいて知識ＤＢを参照し、該当するものを検索して、直前の被害解析結果に基づいて判定する方式である。
【０１２１】
図１１は、フィルタリングモジュール１１１の機能を説明する説明図である。フィルタリングモジュール１１１は、制御部１１１ａを備え、機能プログラムを制御部１１１ａが実行することで、その機能を実現するものである。
【０１２２】
制御部１１１ａは、フィルタリングモジュール１１１の機能を制御するものである。
【０１２３】
情報抽出部１１１ｂは、ＩＤＳから警告を受けた場合に、その警告に含まれる所定情報を抽出するものである。情報抽出部１１１ｂは、例えば、「イベント名」、「イベント重要度」、「ＩＤＳタイプ」、「ＩＤＳセンサ名」、「あて先ＩＰアドレス」、「プロトコル」、「あて先ポート」、「イベント付加情報（リソース）」を抽出する。
【０１２４】
「イベント名」は、ＩＤＳが不正攻撃を検出した際に、どういった不正攻撃が行なわれたのかを表す名称を意味する。
【０１２５】
「イベント重要度」は、不正攻撃による監視対象システム１２０への影響度に応じて、イベントに付される度合いを意味する。
【０１２６】
「ＩＤＳタイプ」は、ＩＤＳの種類を意味し、「ＩＤＳセンサ名」は、ＩＤＳセンサの名称を意味する。
【０１２７】
「あて先ＩＰアドレス」は、不正攻撃のあて先ＩＰアドレスを意味し、「プロトコル」は、アクセスに係る通信プロトコルを意味し、「あて先ポート」は、不正攻撃のあて先のポート番号を意味する。
【０１２８】
「イベント付加情報（リソース）」は、不正攻撃の攻撃パターンに関する情報を意味する。
【０１２９】
なお、知識ＤＢ１１４は、例えば、図１２に示すような、「イベント名」、「イベント重要度」、「ＩＤＳタイプ」、「ＩＤＳセンサ名」、「宛先アドレス」、「プロトコル」、「宛先ポート」、「イベント付加情報」をキーとし、これらキー情報と、被害解析エージェント１２１による過去の被害解析結果（判定結果）とを対応付けた情報を蓄積するものである。
【０１３０】
ここで、同一キーの判定結果は、判定を行うたびに、上書きされる。判定結果が影響なしだった場合、ＯＫ回数が「＋１」される。また、影響ありだった場合はＯＫ回数は「０」にクリアされる。判定を行なった日時は判定日時に記録される。
【０１３１】
被害解析判定部１１１Ｃは、情報抽出部１１１ｂが抽出した上記情報をキーとして、知識ＤＢ１１４を検索して、これらに該当するものがあるか否かを割り出し、該当するエントリがある場合、直前（直近）の被害解析結果（判定結果）に基づいて被害解析を被害解析エージェント１２１に指示するか否かを判定するものである。
【０１３２】
すなわち、直前の被害解析結果（判定結果）が「影響なし」である場合には、当該攻撃による監視対象システム１２０への被害は影響がないから、フィルタリングが有効であり、フィルタリングモジュール１１１は被害解析エージェント１２１に被害解析を指示しない。
【０１３３】
また、該当するエントリがあるが、直前の被害解析結果（判定結果）が「影響あり」である場合、又は、該当するエントリがない場合（知識ＤＢ１１４に蓄積されていない場合も含む）には、フィルタリングモジュール１１１は、フィルタリングを行なわず、被害解析エージェント１２１に被害解析の指示を行なう。
【０１３４】
（Ａ−３−２）推測方式
推測方式は、フィルタリングモジュール１１１が、ＩＤＳからの警告に含まれる所定情報を抽出し、その抽出した所定情報に基づいて知識ＤＢを参照し、該当するものを検索して、該当するエントリについて被害解析結果が「影響なし」である場合に、影響なしの回数を参照し、過去に「影響なし」であった回数に基づいて、被害解析の指示を行うか否かを判定する方式である。
【０１３５】
図１３は、フィルタリングモジュール１１１の機能を説明する説明図である。フィルタリングモジュール１１１は、制御部１１１ａを備え、機能プログラムを制御部１１１ａが実行することで、その機能を実現するものである。
【０１３６】
制御部１１１は、フィルタリングモジュール１１１の機能を制御するものである。
【０１３７】
フィルタリングモジュール１１１は、コンフィギュレーション（環境設定）に、スレッショルド値（規定値）１１１ｇが予め設定されている。また、フィルタリングモジュール１１１は、直前の被害解析結果を有効とすべき期限１１１ｈが予め設定されている。フィルタリングモジュール１１１は、直近の被害解析結果の解析日時がその期限１１１ｈより古い場合、当該攻撃に対応する被害解析結果がないものとして扱う。
【０１３８】
情報抽出部１１１ｅは、ＩＤＳからの通知された警告から、例えば、「イベント名」、「イベント重要度」、「ＩＤＳタイプ」、「ＩＤＳセンサ名」、「あて先ＩＰアドレス」、「プロトコル」、「あて先ポート」を抽出するものである。
【０１３９】
なお、知識ＤＢ１１４は、例えば、図１４に示すような、「イベント名」、「イベント重要度」、「ＩＤＳタイプ」、「ＩＤＳセンサ名」、「宛先アドレス」、「プロトコル」、「宛先ポート」をキーとし、これらキー情報と、被害解析エージェント１２１による過去の被害解析結果（判定結果）とを対応付けた情報を蓄積するものである。
【０１４０】
被害解析判定部１１１ｆは、情報抽出部１１１ｅが抽出した上記情報をキーとして、知識ＤＢ１１４を検索して、これらに該当するものがあるか否かを割り出し、該当するエントリがある場合であって、直前（直近）の被害解析結果（判定結果）が「影響なし」である場合、影響なし回数を参照し、当該不正攻撃に関する被害解析結果が「影響なし」である回数を検出するものである。
【０１４１】
被害解析判定部１１１ｆは、被害解析結果が「影響なし」である回数が予め設定されたスレッショルド値（規定値）１１１ｇ以上である場合、当該攻撃による監視対象システム１２０への被害は影響がないから、フィルタリングが有効であり、フィルタリングモジュール１１１は被害解析エージェント１２１に被害解析を指示しない。
【０１４２】
また、当該不正攻撃に関する被害解析結果が「影響なし」の回数がスレッショルド値（規定値）１１１ｇ未満である場合や、該当するエントリがあるが被害解析結果が「影響あり」の場合や、又は、該当するエントリがない場合（知識ＤＢ１１４に蓄積されていない場合も含む）、及び、判定日時が期限１１１ｈ以前のものであった場合には、フィルタリングモジュール１１１は、フィルタリングを行なわず、被害解析エージェント１２１に被害解析の指示を行なう。
【０１４３】
以上のようにして、フィルタリングモジュール１１１は、当該警告に係る攻撃について、監視対象システム１２０の被害解析が必要であるか否かを判断する。
【０１４４】
（Ａ−３）実施形態の動作
本実施形態に係る被害判別システムの動作について図１、図２及び図１５〜図１８を参照して説明する。
【０１４５】
図１５は、本実施形態の被害判別システムの動作を説明するフローチャートである。
【０１４６】
まず、ネットワークベースＩＤＳ１３０及び又はホストベースＩＤＳ１２２（ＩＤＳ）は、監視対象システム１２０への不正アクセスを検知した場合（ＳＴ１）、ＩＤＳは、不正アクセスを検知した旨の警告を、被害判定管理装置１１０のフィルタリングモジュール１１１に通知する（ＳＴ２）。
【０１４７】
フィルタリングモジュール１１１は、ＩＤＳから警告の通知を受けると（ＳＴ３）、知識ＤＢ１１４を参照して、当該警告に係る不正アクセス事象が過去にアクセスされているか、又は、過去に不正アクセス事象がアクセスされている場合に、当該不正アクセス事象が監視対象システム１２０に被害をもたらすものであるかを自動判定する（ＳＴ４）。
【０１４８】
ここで、フィルタリングモジュール１１１は、警告に係る不正アクセス事象の監視対象システム１２０への被害を判定するための自動判定方式が予め設定されている。なお、フィルタリングモジュール１１１における自動判定方式の動作については後述する。
【０１４９】
フィルタリングモジュール１１１は、自動判定により、当該警告に係る不正アクセス事象が監視対象システム１２０に対する被害を解析させることが必要でないと判断した場合には、被害解析エージェント１２１への被害解析の指示を行なわず、当該警告と、監視対象システム１２０への「影響なし」とする旨とを対応付けて、これを判定結果とする（ＳＴ５）。
【０１５０】
そして、フィルタリングモジュール１１１は、この判定結果を知識ＤＢ更新モジュール１１２に与えて、知識ＤＢ更新モジュール１１２は、知識ＤＢ１１４の判定結果を蓄積・更新する（ＳＴ９）。
【０１５１】
一方、フィルタリングモジュール１１１は、自動判定により、当該警告に係る不正アクセス事象の監視対象システム１２０に対する被害を解析させることが必要であると判断した場合には、被害解析エージェント１２１に対して、被害解析の指示を行なう（ＳＴ４）。
【０１５２】
被害解析エージェント１２１は、フィルタリングモジュール１１１からの被害解析指示を受けると、監視対象システム１２０の動作状態を監視し、所定の被害解析方式により、当該警告に係る不正アクセス事象による監視対象システム１２０の被害状況を解析する（ＳＴ６）。なお、被害解析エージェント１２１における被害解析方式については、後述する。
【０１５３】
被害解析エージェント１２１において、当該警告に係る不正アクセス事象による監視対象システム１２０の被害解析が行なわれると、その被害解析結果が、被害判定管理装置１１０のフィルタリングモジュール１１１に与えられる（ＳＴ７）。
【０１５４】
フィルタリングモジュール１１１は、被害解析エージェント１２１から被害解析結果を受け取ると、当該警告と、受け取った被害解析結果とを対応付けて、これを判定結果とする（ＳＴ８）。
【０１５５】
そして、フィルタリングモジュール１１１は、その判定結果を知識ＤＢ更新モジュール１１２に与えて、知識ＤＢ更新モジュール１１２は、知識ＤＢ１１４の判定結果を蓄積・更新する（ＳＴ９）。
【０１５６】
また、結果通知モジュール１１３は、フィルタリングモジュール１１１からの判定結果の基づく当該警告に係る不正アクセス事象による被害解析の判定結果を通知履歴として通知履歴ログ１５０に与えて蓄積させると共に、システム管理者１４０に与える（図２参照）（ＳＴ１０）。
【０１５７】
これにより、システム管理者がシステムベンダーから提供される対策パッチ等を適用したり、システム環境を変更したりした場合は、システム管理装置１４０からの指示により知識ＤＢ１１４をクリアし被害の判定結果を未調査の状態に戻す。
【０１５８】
以上が被害判別システムの全体動作である。
【０１５９】
次に、ＳＴ４において、フィルタリングモジュール１１１に設定されている自動判定方式による自動判定動作について説明する。
【０１６０】
図１６は、フィルタリングモジュール１１１におけるリソース方式による自動判定の動作フローチャートであり、図１７は、推測方式による自動判定の動作フローチャートである。
【０１６１】
まず、図１６を参照してリソース方式について説明した後、図１７を参照して推測方式について説明する。
【０１６２】
図１６に示すように、フィルタリングモジュール１１１は、ＩＤＳから警告を受信すると（ＳＴ２１）、その警告に含まれる所定情報を抽出する（ＳＴ２２）。
【０１６３】
フィルタリングモジュール１１１が抽出する情報は、「イベント名」、「イベント重要度」、「ＩＤＳタイプ」、「ＩＤＳセンサ名」、「宛先ＩＰアドレス」、「プロトコル」、「宛先ポート」、「イベント付加情報」である。
【０１６４】
フィルタリングモジュール１１１は、これら抽出した情報をキーとして、知識ＤＢ１１４を参照して、該当するエントリを検索する（ＳＴ２３）。
【０１６５】
知識ＤＢ１１４に該当するエントリを発見した場合、フィルタリングモジュール１１１は、直前の被害解析結果を取り出し、その被害解析結果に基づいて、当該警告に係る不正アクセス事象による監視対象システム１２０への被害を判断する（ＳＴ２４）。
【０１６６】
フィルタリングモジュール１１１は、直前の被害解析結果が「影響なし」とするものである場合には、被害解析エージェント１２１への被害解析の指示を行なわない（ＳＴ２６）。
【０１６７】
一方、フィルタリングモジュール１１１は、直前の被害解析結果が「影響ある」とするものである場合、又は、知識ＤＢ１１４からエントリが発見されない場合（当該警告に係る不正アクセス事象が規定されていない場合も含む）、被害解析エージェント１２１に被害解析を行うよう指示する（ＳＴ２７）。
【０１６８】
このようにして、ＳＴ４において、フィルタリングモジュール１１１はリソース方式による自動判定する。
【０１６９】
次に、推測方式の動作について説明する。図１７に示すように、フィルタリングモジュール１１１は、ＩＤＳから警告を受信すると（ＳＴ３１）、その警告に含まれる所定情報を抽出する（ＳＴ３２）。
【０１７０】
フィルタリングモジュール１１１が抽出する情報は、「イベント名」、「イベント重要度」、「ＩＤＳタイプ」、「ＩＤＳセンサ名」、「宛先ＩＰアドレス」、「プロトコル」、「宛先ポート」である。
【０１７１】
フィルタリングモジュール１１１は、これら抽出した情報をキーとして、知識ＤＢ１１４を参照して、該当するエントリを検索する（ＳＴ３３）。
【０１７２】
知識ＤＢ１１４に該当するエントリを発見した場合、フィルタリングモジュール１１１は、直前の被害解析結果を取り出し、その被害解析結果が「影響なし」であるものか否かを判断する（ＳＴ３４）。
【０１７３】
直前の被害解析結果が「影響なし」である場合、フィルタリングエージェント１１１は、知識ＤＢ１１４に蓄積されている当該警告に対応する過去の影響なし回数を参照する（ＳＴ３５）。
【０１７４】
当該警告に対応する過去の被害解析結果を検索するとき、フィルタリングモジュール１１１は、直前の被害解析結果から過去にさかのぼる期限が予め決定されており、その期限内に存在する過去の被害解析結果を検索する。
【０１７５】
フィルタリングモジュール１１１は、過去の被害解析結果の検索結果より、過去から直前の被害解析結果まで「影響なし」とする回数が連続しており、その連続回数が予め設定されたスレッショルド値（規定値）以上であるか否かを判定する。（ＳＴ３６）。
【０１７６】
連続回数がスレッショルド値（規定値）以上である場合、フィルタリングモジュール１１１は、知識ＤＢ１１４に蓄積されている判定日時を参照する（ＳＴ３７）。
【０１７７】
フィルタリングモジュール１１１は、直近の被害解析結果の解析日時が、期限１１１ｈ以前であるかどうかを判定する（ＳＴ３８）。
【０１７８】
直近の被害解析結果の解析日時が期限以前でない場合、フィルタリングモジュール１１１は、当該警告に係る不正アクセス事象が監視対象システム１２０に引き起こす被害は影響ないものと判断し、被害解析エージェント１２１への被害解析の指示を行なわない（ＳＴ３９）。
【０１７９】
一方、ＳＴ３３において知識ＤＢ１１４からエントリが発見されない場合や、ＳＴ３４において直前の被害解析結果が「影響あり」である場合や、ＳＴ３６において、「被害なし」とする過去の被害解析結果の連続回数がスレッショルド値（規定値）未満である場合、及び、判定日時が期限１１１ｈ以前である場合、フィルタリングモジュール１１１は、被害解析エージェント１２１に被害解析の指示を行なう（ＳＴ４０）。
【０１８０】
このようにして、ＳＴ４において、フィルタリングモジュール１１１は推測方式による自動判定する。
【０１８１】
次に、被害解析エージェント１２１における当該警告に係る不正アクセス事象による監視対象システム１２０への被害解析方式について図１８を参照して説明する。
【０１８２】
被害解析エージェント１２１は、所定の定義ファイルが予め定義されている。この定義ファイルは、プロセス異常解析に係る定義ファイル、ネットワーク異常解析に係る定義ファイル、ファイルアクセス異常解析に係る定義ファイル等の種類があり、被害解析エージェント１２１は、これら定義ファイルを、１種類又は複数種類を備えるようにしてもよい。
【０１８３】
図１８において、被害解析エージェント１２１は、フィルタリングモジュール１１１から被害解析の指示を受信すると（ＳＴ４１）、監視対象システム１２０の動作状態を検出する（ＳＴ４２）。
【０１８４】
被害解析エージェント１２１は、検出した監視対象システム１２０の動作状態と、定義ファイルに定義されている内容とを比較する（ＳＴ４３）。
【０１８５】
被害解析エージェント１２１は、定義ファイルとの比較結果により、監視対象システム１２０の動作状態が、定義ファイルに定義されている内容であるか否かを判断し（ＳＴ４４）、監視対象システム１２０の動作状態が、定義ファイルに定義されていない場合には異常があると判定する（ＳＴ４６）。
【０１８６】
一方、被害解析エージェント１２１は、監視対象システム１２０の動作状態が、定義ファイルに定義されている場合には異常がないと判定する（ＳＴ４６）。
【０１８７】
このようにして、被害解析エージェント１２１は、当該警告に係る不正アクセス事象による監視対象システム１２０の被害を解析し、その被害解析結果をフィルタリングモジュール１１１に与える（ＳＴ４７）。
【０１８８】
（Ａ−４）実施形態の効果
以上のように、本実施形態によれば、被害判定管理装置１１０を備え、被害判定管理装置１１０と被害解析エージェント１２１とが連携することができるので、不正アクセスによる影響（被害）の有無を自動判別できるため、システム管理者の負担となっていた調査や切り分け作業を格段に効率化することが可能となる。
【０１８９】
具体的には、被害判定管理装置１１０が、被害解析エージェント１２１と連携をとりつつ、被害判定結果を自動蓄積することができるので、被害が発生しなかった攻撃についてはフィルタリングルールを用いてＩＤＳの警告を無視し、監視対象のシステムにとって新たな攻撃（攻撃手法そのものが既知の攻撃であっても、監視対象のシステムにとって被害解析エージェントが未調査の攻撃）や、過去に監視対象において被害が発生した攻撃（過去に被害が発生しているので、対策をしていない場合は危険と見なせる攻撃）のみをシステム管理者へ通知することができる。
【０１９０】
また、本実施形態によれば、被害判定管理装置１１０が、ＩＤＳの警告から不正アクセス事象を特定する情報を抽出し、その抽出した情報キーとして、知識ＤＢ１１４から過去の対応する被害解析結果を探し出して、当該警告に係る不正アクセス事象による被害を判定することができるから、迅速かつ正確な被害解析判定を保障することができる。
【０１９１】
さらに、本実施形態によれば、被害解析エージェント１２１が、監視対象システム１２０の通常状態の動作させる条件からなる定義ファイルを有し、定義ファイルの内容と異なる動作状態を異常として検出することができるため、容易かつ正確に監視対象システム１２０の被害を解析することができる。
【０１９２】
（Ｂ）他の実施形態
上述した実施形態において、本実施形態に係る被害判別システムは、外部ネットワーク（例えば、インターネット等）からの不正アクセスによる被害を判別することとして説明したが、内部のネットワークからの不正アクセスによる被害についても判別することができる。
【０１９３】
また、上述した実施形態は、監視対象を、あるシステムとして説明したが、外部ネットワークに接続するネットワークとしてもよい。また、監視対象システムは、そのネットワークや、そこで稼動している装置（例えば、ＷＷＷサーバ、メールサーバ、ＤＮＳサーバ等のサーバ）として適用できる。
【０１９４】
また、上述した実施形態に係る被害判定管理装置は、コンピュータ自身又はコンピュータと一体型のハードウェアとして適用でき、また、ハードウェアに実行させるプログラム自身又はそのプログラムを記録する記録媒体等のソフトウェアとして適用できる。
【図面の簡単な説明】
【０１９５】
【図１】本実施形態に係る被害判別システムの全体構成図である。
【図２】本実施形態に係る被害判別システムの動作を説明する説明図である。
【図３】侵入検知システムが警告を通知する電子メールの形式例を示す説明図である。
【図４】知識データベース（ＤＢ）が蓄積する情報例を示す説明図である。
【図５】被害解析エージェントの機能を説明する説明図である。
【図６】被害解析エージェントがプロセス異常解析する場合の定義ファイル例を示す図である。
【図７】被害解析エージェントがサービス異常解析する場合の定義ファイル例を示す図である。
【図８】被害解析エージェントが接続異常解析する場合の定義ファイル例を示す図である。
【図９】被害解析エージェントが接続数異常解析する場合の定義ファイル例を示す図である。
【図１０】被害解析エージェントがファイルアクセス解析する場合の定義ファイル例を示す図である。
【図１１】フィルタリングモジュールの機能を説明する説明図である。
【図１２】フィルタリングモジュールがリソース方式を行なう場合の知識データベース（ＤＢ）が蓄積する情報例を示す説明図である。
【図１３】フィルタリングモジュールの機能を説明する説明図である。
【図１４】フィルタリングモジュールが推測方式を行なう場合の知識データベース（ＤＢ）が蓄積する情報例を示す説明図である。
【図１５】被害判別システムの全体動作を示すフローチャートである。
【図１６】フィルタリングモジュールがリソース方式により自動判定動作を示すフローチャートである。
【図１７】フィルタリングモジュールが推測方式により自動判定動作を示すフローチャートである。
【図１８】被害解析エージェントの被害解析動作を示すフローチャートである。
【符号の説明】
【０１９６】
１１０…被害判定管理装置、１１１…フィルタリングモジュール、
１１２…知識ＤＢ更新モジュール、１１３結果通知モジュール、
１１４…知識ＤＢ（知識データベース）、１２０…監視対象システム、
１２１…被害解析エージェント、１２２…ホストベースＩＤＳ、
１３０…ネットワークベースＩＤＳ。
【図１】
2005165541.tif 000003
【図２】
2005165541.tif 000004
【図３】
2005165541.tif 000005
【図４】
2005165541.tif 000006
【図５】
2005165541.tif 000007
【図６】
2005165541.tif 000008
【図７】
2005165541.tif 000009
【図８】
2005165541.tif 000010
【図９】
2005165541.tif 000011
【図１０】
2005165541.tif 000012
【図１１】
2005165541.tif 000013
【図１２】
2005165541.tif 000014
【図１３】
2005165541.tif 000015
【図１４】
2005165541.tif 000016
【図１５】
2005165541.tif 000017
【図１６】
2005165541.tif 000018
【図１７】
2005165541.tif 000019
【図１８】
2005165541.tif 000020