(57)【要約】【課題】  外部ネットワークからの不正な通信を監視するネットワークにおいて、２次被害を受けない侵入検知システム、侵入検知方法および記録媒体を提供することを目的とするものである。【解決手段】  上位ネットワークと、上記外部ネットワークと上記上位ネットワークとの間に設けられている上位侵入検知装置と、下位ネットワークと、上記上位ネットワークと上記下位ネットワークとの間に設けられている下位侵入検知装置であって、不正な通信によって、上記下位侵入検知装置が故障または攻撃による障害を起こしたことを検知し、上記故障または攻撃による障害を起こしたことを、上記上位侵入検知装置に知らせる複数の下位侵入検知装置とを有し、上記上位侵入検知装置は、所定の上記下位侵入検知装置が障害を起こした場合、上記所定の下位侵入検知装置以外の上記下位侵入検知装置に、上記障害が起こったことを知らせる侵入検知システムである。【選択図】  図１
2005128962.tif 000002
【特許請求の範囲】
【請求項１】
外部ネットワークからの不正な通信を監視するネットワークにおいて、
上位ネットワークと；
上記外部ネットワークと上記上位ネットワークとの間に設けられている上位侵入検知装置と；
下位ネットワークと；
上記上位ネットワークと上記下位ネットワークとの間に設けられている下位侵入検知装置であって、不正な通信によって、上記下位侵入検知装置が故障または攻撃による障害を起こしたことを検知し、上記故障または攻撃による障害を起こしたことを、上記上位侵入検知装置に知らせる複数の下位侵入検知装置と；
を有することを特徴とする侵入検知システム。
【請求項２】
請求項１において、
上記下位侵入検知装置は、侵入検知に使用するシグネチャを、複数の上記下位侵入検知装置に、分割し、登録する登録手段を有することを特徴とする侵入検知システム。
【請求項３】
外部ネットワークからの不正な通信を監視する侵入検知方法において、
上位ネットワークと下位ネットワークとの間に設けられている下位侵入検知装置が、不正な通信によって、故障または攻撃による障害を起こしたことを検知する障害検知段階と；
上記障害を起こしたことを、上記下位侵入検知装置が、上記上位侵入検知装置に知らせる第１の障害発生通知段階と；
所定の上記下位侵入検知装置が障害を起こした場合、上記上位侵入検知装置が、上記所定の下位侵入検知装置以外の上記下位侵入検知装置に、上記障害が起こったことを知らせる第２の障害発生通知段階段階と；
を有することを特徴とすることを特徴とする侵入検知方法。
【請求項４】
外部ネットワークからの不正な通信を監視する侵入検知プログラムを記録したコンピュータ読取可能な記録媒体において、
上位ネットワークと下位ネットワークとの間に設けられている下位侵入検知装置が、不正な通信によって、故障または攻撃による障害を起こしたことを検知する障害検知手順と；
上記障害を起こしたことを、上記下位侵入検知装置が、上記上位侵入検知装置に知らせる第１の障害発生通知手順と；
所定の上記下位侵入検知装置が障害を起こした場合、上記上位侵入検知装置が、上記所定の下位侵入検知装置以外の上記下位侵入検知装置に、上記障害が起こったことを知らせる第２の障害発生通知手順手順と；
をコンピュータに実行させるプログラムを記録したコンピュータ読取可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、外部ネットワークからの不正なアクセスを防止する侵入検知システム、侵入検知方法および記録媒体に関する。
【背景技術】
【０００２】
図５は、従来の下位侵入検知装置５００を示す図である。
【０００３】
従来の下位侵入検知装置５００は、インターネットや外部で構築された外部ネットワーク１０と、侵入検知装置７０と、監視対象である内部ネットワーク８０とを有する。
【０００４】
侵入検知装置７０は、外部ネットワーク１０から内部ネットワーク８０への通信、内部ネットワーク８０から外部ネットワーク１０への通信、内部ネットワーク８０同士の通信を監視することが可能な位置に設置されている侵入検知装置である。
【０００５】
上記従来の侵入検知システム５００において、外部ネットワーク１０と、監視対象である内部ネットワーク８０との間に、侵入検知装置７０が単体で設置され、管理者があらゆる外部からの不正な攻撃を検知し、管理者の過去の経験等に基づいて、誤検知であるか、不正アクセスであるかを見極める（たとえば、特許文献１参照）。
【０００６】
さらに、侵入検知装置７０は、シグネチャという攻撃パターンと、監視対象ネットワークである内部ネットワーク８０上に流れるパケットとを、１つ１つ照らし合わせることによって、不正アクセスであるか否かを監視する。
【０００７】
つまり、従来の侵入検知システム５００において、侵入検知装置７０は、シグネチャ（ネットワーク上で過去に行われた犯罪を分析し、攻撃や不正なアクセスと見なせる要素を抽出した攻撃パターン）と、監視対象とするネットワーク上に流れてきた通信パケットとを照らし合わせ、不正な通信であるか否かを判断する。
【０００８】
侵入検知装置７０には、上記シグネチャが、侵入検知装置７０内のデータベース上に複数個存在する。侵入検知装置７０は、シグネチャデータベース内のシグネチャと、１つ１つの通信パケットとを順番に照らし合わせ、通信パケットとデータベース内のシグネチャの１つとが一致した場合、そのネットワーク上を流れてきた通信パケットを不正な通信と見なす。
【特許文献１】特開２００２−３２８８９６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
上記従来例において、侵入検知装置７０に接続されている内部ネットワーク８０が攻撃を受けると、内部ネットワーク８０から外部に対して、２次被害となる攻撃をすることがある。この内部から外部に対する防御手段を、侵入検知装置７０が持っていないという問題がある。
【００１０】
つまり、上記従来例は、外部ネットワークからの不正な通信を監視するネットワークにおいて、２次被害を受けるという問題がある。
【００１１】
本発明は、外部ネットワークからの不正な通信を監視するネットワークにおいて、２次被害を受けない侵入検知システム、侵入検知方法および記録媒体を提供することを目的とするものである。
【課題を解決するための手段】
【００１２】
本発明は、外部ネットワークからの不正な通信を監視するネットワークにおいて、上位ネットワークと、上記外部ネットワークと上記上位ネットワークとの間に設けられている上位侵入検知装置と、下位ネットワークと、上記上位ネットワークと上記下位ネットワークとの間に設けられている下位侵入検知装置であって、不正な通信によって、上記下位侵入検知装置が故障または攻撃による障害を起こしたことを検知し、上記故障または攻撃による障害を起こしたことを、上記上位侵入検知装置に知らせる複数の下位侵入検知装置とを有し、上記上位侵入検知装置は、所定の上記下位侵入検知装置が障害を起こした場合、上記所定の下位侵入検知装置以外の上記下位侵入検知装置に、上記障害が起こったことを知らせることを特徴とすることを特徴とする侵入検知システムである。
【発明の効果】
【００１３】
本発明によれば、外部ネットワークからの不正な通信を監視するネットワークにおいて、２次被害を受けないという効果を奏する。
【発明を実施するための最良の形態】
【００１４】
発明を実施するための最良の形態は、以下の実施例である。
【実施例１】
【００１５】
図１は、本発明の実施例１である侵入検知システム１００を示す図である。
【００１６】
侵入検知システム１００は、外部ネットワーク１０と、上位侵入検知装置２０と、上位ネットワーク３０と、下位侵入検知装置４１、４２、４３と、下位ネットワーク（監視対象ネットワーク）５１、５２、５３とを有する。
【００１７】
上位侵入検知装置２０は、外部ネットワーク１０と上位ネットワーク３０との間に設けられている上位侵入検知装置であり、所定の上記下位侵入検知装置（たとえば、下位侵入検知装置４２）が障害を起こした場合、下位侵入検知装置４２以外の下位侵入検知装置４１、４３に、上記障害が起こったことを知らせる。
【００１８】
下位侵入検知装置４１、４２、４３は、上位ネットワーク２０と下位ネットワーク５１、５２、５３との間に設けられている侵入検知装置であって、不正な通信によって、下位侵入検知装置４１、４２、４３が故障または攻撃による障害を起こしたことを検知し、上記故障または攻撃による障害を起こしたことを、上位侵入検知装置２０に知らせる侵入検知装置である。
【００１９】
下位ネットワーク５１、５２、５３は、それぞれ、下位侵入検知装置４１、４２、４３の監視対象となる下位ネットワークである。
【００２０】
図２は、侵入検知システム１００における下位侵入検知装置４１、４２、４３、４４、４５の挙動を説明する図である。
【００２１】
図３は、シグネチャと呼ばれる攻撃を検知するための材料を記述したデータを示す図である。
【００２２】
シグネチャが全部で５０個あるとすると、下位侵入検知装置４１、４２、４３、４４、４５は、それぞれ、データベースＤＢ１、ＤＢ２、ＤＢ３、ＤＢ４、ＤＢ５を有する。
【００２３】
侵入検知システム１００では、５０個のシグネチャを、下位侵入検知装置４１、４２、４３、４４、４５のそれぞれの内部に設けられているデータベースＤＢ１、ＤＢ２、ＤＢ３、ＤＢ４、ＤＢ５に分割して格納する。
【００２４】
侵入検知システム１００において、５個の下位侵入検知装置４１〜４５のそれぞれに、１０個ずつシグネチャを格納している。下位侵入検知装置４１〜４５の上位ネットワーク上に存在する上位侵入検知装置２０の内部に、それぞれ設けられているデータベース２１は、下位侵入検知装置４１〜４５の指示によって、侵入検知代理を行う。
【００２５】
たとえば、シグネチャＳＧ１１〜ＳＧ２０を格納した下位侵入検知装置４２が攻撃された場合、攻撃された影響から、下位侵入検知装置４２をネットワーク上から切り離す。
【００２６】
図４は、実施例１において、下位侵入検知装置４２が上位侵入検知装置２０へ補完要求する動作を示すフローチャートである。
【００２７】
このときに、下位侵入検知装置４２は、上位侵入検知装置２０に、図４に示す動作によって、補完要求する。補完要求には、ネットワークから切り離す理由を記述したデータと、格納していたシグネチャとを、ネットワークを介して、上位侵入検知装置２０に転送する。補完要求を受けた上位侵入検知装置２０は、下位侵入検知装置４２が使用不可状態であることを、ログデータベース２２として取ると、同時に、シグネチャＳＧ１１〜ＳＧ２０を、データベース２１に格納し、データベース２１を利用して代理で侵入検知を行う。
【００２８】
上記動作によって、下位侵入検知装置４２だけではなく、下位侵入検知装置４２以外の下位侵入検知装置４１、４３、……への同じ攻撃を防ぐことができる。
【００２９】
上記のように、攻撃に対する２次被害を最短時間で防ぐことがシステム１００の目的である。
【実施例２】
【００３０】
実施例１の仕組みを利用し、下位侵入検知装置４２を上位ネットワークとする監視対象ネットワーク内において、さらに下位侵入検知装置４１〜４５が接続される場合、下位侵入検知装置４２は、上位侵入検知装置２０として機能し、図２におけるシグネチャＳＧ１１〜ＳＧ２０を分割して配置させ、下位の下位侵入検知装置４１〜４５が下位侵入検知装置４２の働きをする。
【００３１】
なお、上記実施例は、外部ネットワークからの不正な通信を監視する侵入検知プログラムを記録したコンピュータ読取可能な記録媒体において、上位ネットワークと下位ネットワークとの間に設けられている下位侵入検知装置が、不正な通信によって、故障または攻撃による障害を起こしたことを検知する障害検知手順と、上記障害を起こしたことを、上記下位侵入検知装置が、上記上位侵入検知装置に知らせる第１の障害発生通知手順と、所定の上記下位侵入検知装置が障害を起こした場合、上記上位侵入検知装置が、上記所定の下位侵入検知装置以外の上記下位侵入検知装置に、上記障害が起こったことを知らせる第２の障害発生通知手順手順とをコンピュータに実行させるプログラムの例である。
【００３２】
上記プログラムを、ＦＤ、ＣＤ、ＤＶＤ、ＨＤ、半導体メモリ等の記録媒体に記録するようにしてもよい。
【図面の簡単な説明】
【００３３】
【図１】本発明の実施例１である侵入検知システム１００を示す図である。
【図２】侵入検知システム１００における下位侵入検知装置４１、４２、４３、４４、４５の挙動を示す図である。
【図３】シグネチャと呼ばれる攻撃を検知するための材料を記述したデータを示す図である。
【図４】実施例１において、下位侵入検知装置４２が上位侵入検知装置２０へ補完要求する動作を示すフローチャートである。
【図５】従来の下位侵入検知装置５００を示す図である。
【符号の説明】
【００３４】
１００…侵入検知システム、
１０…外部ネットワーク、
２０…上位侵入検知装置、
２１…データベース、
２２…ログデータベース、
３０…上位ネットワーク、
４１〜４５…下位侵入検知装置、
５１〜５３…監視対象ネットワーク（下位ネットワーク）、
ＤＢ１〜ＤＢ５…データベース、
ＳＧ１１〜ＳＧ５０…シグネチャ。
【図１】
2005128962.tif 000003
【図２】
2005128962.tif 000004
【図３】
2005128962.tif 000005
【図４】
2005128962.tif 000006
【図５】
2005128962.tif 000007