(57)【要約】【課題】おとりサーバがつぎの外部のネットワークに存在するサーバへ侵入するための踏み台となることを防ぐと同時に、不正侵入者にとってはあたかも踏み台工作に成功したように思わせ、不正侵入者の真の手口を探ることが可能な不正侵入対策処理システムを得ること。【解決手段】おとりサーバによる通信を監視して、その偵察行動に応じて新たなおとりサーバを構築するための構築用情報と、おとりサーバによる通信を新たなおとりサーバに導くための機器設定用情報とを生成する攻撃分析・応答装置２と、構築用情報に基づいて不正侵入者に侵入させるおとりサーバを動的に構築するおとりサーバ稼動装置４と、機器設定用情報に基づいておとりサーバによる通信をネットワークの外部に出さないように制御するネットワーク遮断・模擬装置１と、を備えるおとりネットワーク５を構成する。【選択図】      図１
2005004617.tif 000002
【特許請求の範囲】
【請求項１】
広域ネットワークにゲートウェイ機能を有する不正侵入対策処理装置を介して接続されたおとりネットワークを備え、前記不正侵入対策処理装置の制御によって前記おとりネットワークが前記広域ネットワークとは遮断された環境下で不正侵入者による不正パケットを前記おとりネットワーク内に誘導して不正侵入対策を行う不正侵入対策処理システムであって、
前記おとりネットワーク内で、前記不正侵入対策処理装置の指示に従って前記不正パケットを誘導するための自由なアドレス体系のおとりサーバを構築するサーバ稼動装置と、
前記サーバ稼動装置によって構築されたおとりサーバによる通信を監視する攻撃分析手段と、
前記おとりサーバがつぎのサーバに侵入するための偵察行動を開始した場合に、その偵察行動に基づいて新たなおとりサーバを構築するための構築用情報と、前記おとりサーバによる通信パケットが前記おとりネットワークの外部に出ないように制御するための機器設定用情報を生成する新おとり情報生成手段と、
前記おとりサーバがつぎのサーバに侵入するための偵察行動を開始した場合に、前記構築用情報を前記おとりサーバ稼動装置に通知する新おとり構築指示手段と、
前記サーバ稼動装置によって新たなおとりサーバが構築されるまでの間、前記おとりサーバからの通信に対するニセの応答を行なう模擬応答手段と、
前記おとりサーバによる通信パケットを、前記機器設定用情報に基づいて前記新たなおとりサーバに中継する通信制御手段と、
を有する不正侵入対策処理装置と、
を備え、前記不正侵入者の最終目標の通信装置に到達するまで、前記おとりサーバを動的に構築することを特徴とする不正侵入対策処理システム。
【請求項２】
前記不正侵入者が、前記おとりサーバと同一のサブネットに属するサーバに侵入を試みている場合に、
前記不正侵入対策処理装置の新おとり情報生成手段は、前記構築用情報のみを生成することを特徴とする請求項１に記載の不正侵入対策処理システム。
【請求項３】
広域ネットワークにゲートウェイ機能を有する不正侵入対策処理装置を介して接続されたおとりネットワークを備え、前記不正侵入対策処理装置の制御によって前記おとりネットワークが前記広域ネットワークとは遮断された環境下で不正侵入者による不正パケットを前記おとりネットワーク内に誘導して不正侵入対策を行う不正侵入対策処理システムであって、
前記おとりネットワーク内で、攻撃分析・応答装置の指示に従って前記不正パケットを誘導するための自由なアドレス体系のおとりサーバを構築するサーバ稼動装置と、
前記サーバ稼動装置によって構築されたおとりサーバによる通信を監視する攻撃分析手段と、
前記おとりサーバがつぎのサーバに侵入するための偵察行動を開始した場合に、その偵察行動に基づいて新たなおとりサーバを構築するための構築用情報と、前記おとりサーバによる通信パケットが前記おとりネットワークの外部に出ないように制御するための機器設定用情報を生成する新おとり情報生成手段と、
前記おとりサーバがつぎのサーバに侵入するための偵察行動を開始した場合に、前記構築用情報を前記おとりサーバ稼動装置に通知する新おとり構築指示手段と、
前記サーバ稼動装置によって新たなおとりサーバが構築されるまでの間、前記おとりサーバからの通信に対するニセの応答を行なう模擬応答手段と、
前記おとりサーバ稼動装置によって新たなおとりサーバが構築されると、前記機器設定用情報をネットワーク遮断・模擬装置に通知するおとり設定通知手段と、
を有する攻撃分析・応答装置と、
前記不正侵入者による不正パケットを検出して前記おとりサーバに導くとともに、前記おとりサーバによる通信パケットを、前記機器設定用情報に基づいて、前記新たなおとりサーバに中継するネットワーク遮断・模擬装置と、
を備え、前記不正侵入者の最終目標の通信装置に到達するまで、前記おとりサーバを動的に構築することを特徴とする不正侵入対策処理システム。
【請求項４】
前記不正侵入者が、前記おとりサーバと同一のサブネットに属するサーバに侵入を試みている場合に、
前記攻撃分析・応答装置の新おとり情報生成手段は、前記構築用情報のみを生成し、
前記攻撃分析・応答装置のおとり設定通知手段は、前記ネットワーク遮断・模擬装置に前記機器設定用情報を送信しないことを特徴とする請求項３に記載の不正侵入対策処理システム。
【請求項５】
ゲートウェイ機能を有する通信装置の制御によって広域ネットワークと遮断されたおとりネットワークで、サーバ稼動装置が、自由なアドレス体系のおとりサーバを構築して、不正侵入者による不正パケットを誘導して不正侵入対策を行う不正侵入対策処理システムに使用される攻撃分析・応答装置であって、
前記サーバ稼動装置によって構築されたおとりサーバによる通信を監視する攻撃分析手段と、
前記おとりサーバがつぎのサーバに侵入するための偵察行動を開始した場合に、その偵察行動に基づいて新たなおとりサーバを構築するための構築用情報と、前記おとりサーバによる通信パケットが前記おとりネットワークの外部に出ないように制御するための機器設定用情報を生成する新おとり情報生成手段と、
前記構築用情報を前記おとりサーバ稼動装置に通知する新おとり構築手段と、
前記サーバ稼動装置によって新たなおとりサーバが構築されるまでの間、前記おとりサーバからの通信に対するニセの応答を行なう模擬応答手段と、
前記おとりサーバ稼動装置によって新たなおとりサーバが構築されると、前記機器設定用情報を前記通信装置に通知するおとり設定通知手段と、
を備えることを特徴とする攻撃分析・応答装置。
【請求項６】
前記不正侵入者が、前記おとりサーバと同一のサブネットに属するサーバに侵入を試みている場合に、
前記新おとり情報生成手段は、前記構築用情報のみを生成し、
前記おとり設定通知手段は、前記通信装置に前記機器設定用情報を送信しないことを特徴とする請求項５に記載の攻撃分析・応答装置。
【請求項７】
広域ネットワークに接続されたおとりネットワーク内で、サーバ稼動装置によって構築されたおとりサーバに誘導された不正侵入者の通信を監視して、この監視結果に基づいてつぎの侵入先に対応する新たなおとりサーバの構築を前記サーバ稼動装置に指示する攻撃分析・応答装置と、前記指示に基づいて新たなおとりサーバを動的に構築するサーバ稼動装置と、を備え、前記不正侵入者をおとりサーバに連続的に誘導する不正侵入対策処理システムで、前記おとりネットワークのゲートウェイとして使用されるネットワーク遮断・模擬装置であって、
前記おとりサーバによる通信パケットが前記おとりネットワークの外部に出ないように制御するための機器設定用情報を格納するポリシー情報格納手段と、
前記機器設定用情報に基づいて、通信パケットの制御を行う通信制御手段と、
を備え、前記不正侵入者による前記おとりサーバを介した外部への通信を前記新たなおとりサーバに中継することを特徴とするネットワーク遮断・模擬装置。
【請求項８】
広域ネットワークとゲートウェイ機能を有する通信装置を介して接続されるおとりネットワーク内に、不正侵入者による不正パケットを誘導し、前記不正パケットを前記おとりネットワークの外部に送出しないように制御する不正侵入対策処理方法であって、
前記不正パケットを前記おとりネットワーク内の第１のおとりサーバに誘導する第１の工程と、
前記第１のおとりサーバが、つぎのサーバに侵入するための偵察行動を開始した場合に、その偵察行動に基づいてつぎの侵入先に対応する新たな第２のおとりサーバを前記おとりネットワーク内に構築する第２の工程と、
前記第１のおとりサーバの偵察行動に基づいて、前記第１のおとりサーバによる通信パケットを前記第２のおとりサーバに中継するように制御するための機器設定用情報を生成し、前記通信装置に設定する第３の工程と、
前記通信装置が、前記第１のおとりサーバによる通信パケットを、前記機器設定用情報に基づいて前記第２のおとりサーバに中継する第４の工程と、
を含み、前記不正侵入者の最終目標の通信装置に到達するまで、前記第２〜第４の工程が繰り返し実行されることを特徴とする不正侵入対策処理方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、ネットワーク上の不正侵入者をおとりネットワークに誘導し、不正侵入者によるネットワーク上の機器への被害を防止するための不正侵入対策処理システムと不正侵入対策処理方法、およびこの不正侵入対策処理システムに使用される攻撃分析・応答装置とネットワーク遮断・模擬装置に関するものである。
【０００２】
【従来の技術】
ネットワークにおける不正侵入者に対して、これまで不審と思われる送信元やパケットをフィルタリングしたり、通信セッションを切断したりする対策が講じられてきた。しかし、不正侵入者の特定そのものが困難であることや、対策が講じられたことによって別の手段による攻撃を再度仕掛けてくるケースも多くあることなどから、不正侵入者への対策の決め手とはなっていない。このような問題を解決するため、不正侵入者にわざと侵入させるためのおとり用サーバを設置しておき、侵入者にはあたかも侵入に成功したと思わせ、その間に侵入者の攻撃手法を収集する方式の不正進入対策が近年注目されている。
【０００３】
おとり機能を有するサーバには、同一サーバ内部に、正規領域とおとり領域を区別しておき、不正侵入者がサーバに侵入したときに、自動的におとり領域に誘導するタイプと、正規サーバとは別におとり用のサーバを構築し、不正侵入者にはおとり用のサーバ（以下、おとりサーバという）の方に侵入させるタイプのものがある。この発明では、後者を対象としているので、以下では、このタイプのおとり機能を有するサーバについての従来技術について説明する。
【０００４】
このようなおとりサーバによる不正侵入防御の仕組みとして、不正メッセージ対策システムが提案されている。この不正メッセージ対策システムは、インターネットと、不正侵入者による攻撃および侵入の対象となるネットワークとの間に、不正パケットを検出する不正検出サーバと、不正パケットが目的とする不正処理を回避する処理を専門的に行うおとりサーバと、を備えることを特徴とする。この不正検出サーバは、受信したパケットを分析して不正パケットを検出し、不正パケットである場合には、そのパケットをおとりサーバに導く。おとりサーバは、不正パケットを受信すると、ニセ情報の応答やコマンド処理などの処理を行って、おとりサーバがあたかも不正侵入者が意図した侵入先であるように振舞う（たとえば、特許文献１，２参照）。
【０００５】
【特許文献１】
特開２００２−７２３４号公報（第１０頁、第４図）
【特許文献２】
特開２００２−３１８７３９号公報（第６〜７頁、第５図）
【０００６】
【発明が解決しようとする課題】
不正侵入者は、セキュリティの甘いサーバに侵入した後、そのサーバを踏み台にして、別のサーバに侵入することを繰り返す。この結果、複数の踏み台サーバを経由することによって、身元を隠しつつ、最終的な侵入先であるサーバに近づき、本来の目的（重要データの搾取や破壊工作など）を実行する。図１０は、一般的な不正侵入者の挙動を示す図である。たとえば、この図１０の場合には、不正侵入者は、最終的な侵入先サーバＣ２に侵入する際に、まず手近なネットワークＡのサーバＡに侵入し、サーバＡに不正工作を施し、つぎに、サーバＡを踏み台にして、ネットワークＢのサーバＢに侵入し、サーバＢに不正工作を施す。今度は、サーバＢを踏み台にして、ネットワークＣのサーバＣ１に侵入し、サーバＣ１に不正工作を施して、最終的にサーバＣ２に到達する。そして、サーバＣ２に対して重要なデータの搾取や破壊工作などを実行する。このとき、サーバＣ２にとっては、不正侵入者の存在がサーバＣ１からの通信に見え、サーバＣ１にとっては、サーバＢが不正侵入者であるかに見える。したがって、不正侵入元をつきとめるには、踏み台となったサーバの解析も必要となる。
【０００７】
しかし、上述した特許文献１に記載の不正メッセージ対策システムでは、おとりサーバから外部への通信について言及されていないが、従来のおとりサーバではセキュリティを甘くすると、さらに外部に侵入したり、踏み台にされたりする可能性があるために、一般的に、おとりサーバは外部への通信を許可しない仕様となっているか、おとりネットワークシステムにおいて外部との通信を許可しない運用を行っている。そのために、本来、不正侵入の手口を探ることが目的であるおとりサーバにとって、外部との通信を制限した環境では、上述した踏み台となったサーバの解析を行なうことができず、不正侵入者の動作の一部しか知ることができないという問題があった。また、上述した特許文献１に記載の不正メッセージ対策システムでは、おとりサーバが踏み台となることを防ぐ対策については述べられていない。
【０００８】
この発明は、上記に鑑みてなされたもので、おとりサーバがつぎの外部のネットワークに存在するサーバへ侵入するための踏み台となることを防ぐと同時に、不正侵入者にとってはあたかも踏み台工作に成功したように思わせ、不正侵入者の真の手口を探ることが可能な不正侵入対策処理システム、攻撃分析・応答装置およびネットワーク遮断・模擬装置並びに不正侵入対策処理方法を得ることを目的とする。
【０００９】
【課題を解決するための手段】
上記目的を達成するため、この発明にかかる不正侵入対策処理システムは、広域ネットワークにゲートウェイ機能を有する不正侵入対策処理装置を介して接続されたおとりネットワークを備え、前記不正侵入対策処理装置の制御によって前記おとりネットワークが前記広域ネットワークとは遮断された環境下で不正侵入者による不正パケットを前記おとりネットワーク内に誘導して不正侵入対策を行う不正侵入対策処理システムであって、前記おとりネットワーク内で、前記不正侵入対策処理装置の指示に従って前記不正パケットを誘導するための自由なアドレス体系のおとりサーバを構築するサーバ稼動装置と、前記サーバ稼動装置によって構築されたおとりサーバによる通信を監視する攻撃分析手段と、前記おとりサーバがつぎのサーバに侵入するための偵察行動を開始した場合に、その偵察行動に基づいて新たなおとりサーバを構築するための構築用情報と、前記おとりサーバによる通信パケットが前記おとりネットワークの外部に出ないように制御するための機器設定用情報を生成する新おとり情報生成手段と、前記おとりサーバがつぎのサーバに侵入するための偵察行動を開始した場合に、前記構築用情報を前記おとりサーバ稼動装置に通知する新おとり構築指示手段と、前記サーバ稼動装置によって新たなおとりサーバが構築されるまでの間、前記おとりサーバからの通信に対するニセの応答を行なう模擬応答手段と、前記おとりサーバによる通信パケットを、前記機器設定用情報に基づいて前記新たなおとりサーバに中継する通信制御手段と、を有する不正侵入対策処理装置と、を備え、前記不正侵入者の最終目標の通信装置に到達するまで、前記おとりサーバを動的に構築することを特徴とする。
【００１０】
【発明の実施の形態】
以下に添付図面を参照して、この発明にかかる不正侵入対策処理システム、攻撃分析・応答装置およびネットワーク遮断・模擬装置並びに不正侵入対策処理方法の好適な実施の形態を詳細に説明する。
【００１１】
実施の形態１．
図１は、この発明にかかる不正侵入対策処理システムの実施の形態１の概略構成を示すブロック図である。この不正侵入対策処理システムは、ネットワーク遮断・模擬装置１と、攻撃分析・応答装置２と、おとりサーバ稼動装置４ａ〜４ｃと、を備えて構成される。これらのネットワーク遮断・模擬装置１、攻撃分析・応答装置２およびおとりサーバ稼動装置４ａ〜４ｃからなるネットワークを、この明細書ではおとりネットワーク５という。
【００１２】
おとりサーバ稼動装置４ａ〜４ｃは、不正侵入者に不正侵入の対象サーバと思わせて侵入させ、その侵入先のサーバに代わって不正侵入者に対して応答などを行なうおとりサーバを稼動する装置である。おとりサーバ稼動装置４ａは、最初に侵入させる第１のおとりサーバ４１と、不正侵入者が侵入した第１のおとりサーバ４１を踏み台にして、つぎのサーバを見つけようとする行為に同期して、後述する攻撃分析・応答装置２からの指示にしたがって動的に構築される第Ｎのおとりサーバ（Ｎは２以上の自然数）とからなる。つまり、このおとりサーバ稼動装置４ａ〜４ｃにおいて、不正侵入者が最終目的としていたサーバに到達したと思い込み、踏み台工作を終えるまで、おとりサーバは追加して構築される。おとりネットワーク５は、ネットワーク遮断・模擬装置１によって外部のネットワークと遮断されているため、おとりネットワーク５の内部では、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス体系に制約がない。したがって、おとりサーバ稼動装置４ａ〜４ｃによって、正規サーバの形態や不正侵入者の挙動に応じて攻撃分析・応答装置２から指示される、新たに作成されるおとりサーバに付されるＩＰアドレスや開放されているポート番号を含む構築用情報に基づいて、おとりサーバが自由に構築される。
【００１３】
このようなおとりサーバ稼動装置４は、ネットワークとの通信インタフェースと、記憶手段と、記憶手段に格納されるプログラムを実行するための演算手段とを備える通常のサーバ装置を構成することが可能な装置によって構成されるものであるが、おとりサーバの台数とおとりサーバ稼動装置４の台数とは同一である必要はない。たとえば、１台のおとりサーバ稼動装置４につき、１つのおとりサーバを稼動させた場合には、おとりサーバの数と同じ数だけおとりサーバ稼動装置４ａ〜４ｃが運用される。１台のおとりサーバ稼動装置４に、複数のおとりサーバを同時に稼動させるようにすることも可能である。ただし、この場合には、おとりサーバ稼動装置４は、稼動中のおとりサーバの数だけ仮想ＩＰアドレスを持つ必要がある。図１では、１台のおとりサーバ稼動装置４ａが複数のおとりサーバ４１〜４３を構築する場合を例示している。
【００１４】
ネットワーク遮断・模擬装置１は、おとりネットワーク５のゲートウェイとして、インターネット６などの広域ネットワークに接続し、おとりネットワーク５と外部のネットワークとを遮断している。したがって、一般の通信パケットは、ネットワーク遮断・模擬装置１を通過することができない。図２は、ネットワーク遮断・模擬装置の概略構成を示すブロック図である。ネットワーク遮断・模擬装置１は、入出力インタフェース１１、ヘッダ精査部１２、ポリシー情報テーブル１３、ポリシー編集部１４および通信制御部１５を備えて構成される。
【００１５】
入出力インタフェース１１は、インターネット６やおとりサーバ稼動装置４ａ〜４ｃ、攻撃分析・応答装置２との間で通信を行うための通信インタフェースであり、プロトコル処理を行う。
【００１６】
ヘッダ精査部１２は、入出力インタフェース１１で受信した受信パケットの送信元アドレス、送信先アドレス、ポート番号などのヘッダ精査を行い、送信パケットを生成するためのつぎの動作を決定する機能を有する。たとえば、受信したパケットが、不正侵入者によるパケット（以下、不正パケットという）なのか、または管理用パケットなのかを判定し、前者の場合には受信パケットを通信制御部１５に渡し、後者の場合には受信パケットをポリシー編集部１４に渡す。なお、この発明における管理用パケットとは、ネットワーク遮断・模擬装置１、攻撃分析・応答装置２、おとりサーバ稼動装置４の間でやりとりされる、機器設定のためのパケットのことをいう。
【００１７】
ポリシー情報テーブル１３は、受信したおとりサーバによる通信パケットをおとりネットワーク５の外部に出さないようにヘッダ情報を書き換えて、おとりネットワーク５内の所定のおとりサーバへ転送するための機器設定用情報を格納するテーブルである。この機器設定用情報には、転送するパケット（受信パケット）の送信元アドレスと宛先アドレス、およびポート番号、転送先のおとりサーバのアドレス、などの対応が記述されている。このポリシー情報テーブル１３に格納される機器設定用情報は、新しいおとりサーバの構築、機能停止、変更に伴って、後述する攻撃分析・応答装置２から通知され、ポリシー編集部１４によって追加および／または削除される。
【００１８】
ポリシー編集部１４は、ヘッダ精査部１２から受け取った新しいおとりサーバの構築、機能停止、変更に関する機器設定用情報の内容をポリシー情報テーブル１３に追加、削除または変更する機能を有する。また、機器設定用情報の内容の更新を完了した後に、攻撃分析・応答装置２にその完了を示す管理用パケットを送信する機能を有する。
【００１９】
通信制御部１５は、ヘッダ精査部１２から受け取った受信パケットを、この受信パケットの送信元アドレスや宛先アドレス、ポート番号からポリシー情報テーブル１３に格納されている機器設定用情報を参照して、おとりネットワーク５内の転送先おとりサーバに中継するように受信パケットのヘッダ内の送信先アドレスを更新して、入出力インタフェース１１に出力する機能を有する。たとえば、不正侵入者が現実に侵入しようとしているサーバ宛の通信パケット（不正パケット）を、そのサーバの現実のアドレスと対応付けられたおとりネットワーク５内のローカルなアドレスを有するおとりサーバへ中継するように、ポリシー情報テーブル１３を参照して、その通信パケットのヘッダ情報を書き換えて、通信パケットの送信先を制御する。これによって、現実に侵入しようとしているサーバに通信パケットが送信されない（すなわち、おとりネットワーク５の外部におとりサーバによる通信パケットが送信されない）で済む。
【００２０】
攻撃分析・応答装置２は、ネットワーク遮断・模擬装置１とおとりサーバ稼動装置４とに接続され、おとりサーバ稼動装置４によって構築されたおとりサーバによる通信を監視する装置である。図３は、攻撃分析・応答装置の概略構成を示すブロック図である。攻撃分析・応答装置２は、入出力インタフェース２１、ヘッダ精査部２２、攻撃分析部２３、状態管理部２４、新おとり情報生成部２５、おとり管理データベース２６、新おとり構築指示部２７、模擬応答部２８およびおとり設定通知部２９を備えて構成される。
【００２１】
入出力インタフェース２１は、ネットワーク遮断・模擬装置１とおとりサーバ稼動装置４との間で通信を行うための通信インタフェースであり、プロトコル処理などを行う。
【００２２】
ヘッダ精査部２２は、入出力インタフェース２１で受信したパケットの送信元アドレス、送信先アドレス、ポート番号などのヘッダ精査を行い、不正侵入者によるパケットか、おとりネットワーク５内の機器同士でやり取りされる管理用パケットかを判別し、送信パケットを生成するためのつぎの動作を決定する機能を有する。
【００２３】
攻撃分析部２３は、不正侵入者に侵入させたおとりサーバから送信される不正侵入者の入力パケットを蓄積して分析し、つぎの侵入先への偵察行動を取っている可能性について検証する機能を有する。不正侵入者が偵察行動を取っていると判断した場合には、その結果を状態管理部２４と新おとり情報生成部２５に通知する。
【００２４】
状態管理部２４は、不正侵入者からの受信パケットに攻撃性が認められない場合から受信パケットに攻撃性が認められ、新おとりサーバの構築もしくはネットワーク遮断・模擬装置１の転送手続のいずれかまたは両方の設定が完了していない状態である「設定未完了」の状態と、新おとりサーバの構築とネットワーク遮断・模擬装置１の転送手続の両方とも完了している状態である「設定完了」の状態の各状態に応じた攻撃分析・応答装置２に入力されるパケットの処理が実施されるように各構成要素を管理し、おとり管理データベース２６からつぎに構築するおとりサーバの設定データを参照すると共に、パケット送出の種類とタイミングを制御する。また、状態管理部２４は、おとりサーバやネットワーク遮断・模擬装置１からの管理用パケットの受信を待ち、後述するおとり管理データベース２６のおとり対策テーブルの設定状態を「未完了」から「完了」に変更する機能も有する。
【００２５】
新おとり情報生成部２５は、攻撃分析・応答装置２が「設定未完了」の状態にあるときに、攻撃分析部２３から受信パケットに攻撃性が認められる旨の通知を受け取ると、不正侵入者の不正パケット（偵察パケット）からつぎに侵入しようとしているサーバに対応した適当なおとりサーバの構築、機能停止または変更を行うための構築用情報と、構築、機能停止または変更されたおとりサーバによる通信が、おとりネットワーク５の外部に出ないようにネットワーク遮断・模擬装置１を制御するための機器設定用情報を生成し、これらの生成したおとりサーバに関する情報をおとり管理データベース２６に登録する機能を有する。
【００２６】
おとり管理データベース２６は、新おとり情報生成部２５によって生成された不正侵入のプロファイル、新おとりサーバの構築用情報や待機しているおとりサーバの情報と機器設定用情報を格納するテーブルである。これらの新おとりサーバに関する情報は、新しいおとりサーバの構築、機能停止、変更に伴って、追加および／または削除される。図４は、おとり管理データベースのデータ構成を模式的に示す図である。この図４に示されるように、不正パケットのプロファイルとそれに対する対策の有無を含む新おとりサーバの機器設定用情報を格納するおとり対策テーブル２６１と、新おとり情報生成部２５によって生成された新おとりサーバの構築用情報や待機しているおとりサーバの情報を格納するおとりサーバ情報テーブル２６２と、を備えて構成される。
【００２７】
おとり対策テーブル２６１は、後述するプロファイルに付されるプロファイルナンバである「Ｎｏ」、不正パケットの送信元アドレスや攻撃先アドレス、ポート番号などの不正パケットの行動の概要を示す「プロファイル」、このプロファイルに対して構築されるおとりサーバの転送先を示すとともに、おとりサーバ情報テーブル２６２との関連付けを行う「転送先おとりサーバ」、転送先おとりサーバへの転送手続きがなされたか否かを示す「転送手続きの有無」、おとりサーバの設定状態を示す「設定状態」を含む項目から構成される。「設定状態」は、おとりサーバやネットワーク遮断・模擬装置１からの完了の旨を通知する管理用パケットを受信すると、状態管理部２４によって「未完了」から「完了」に変更される。
【００２８】
おとりサーバ情報テーブル２６２は、転送先おとりサーバを識別し、おとり対策テーブル２６１と関連付けされる「Ｎｏ」、おとりサーバのＩＰアドレスやオペレーティングシステム、アプリケーションの情報などを格納する「おとりサーバの設定情報」、おとりサーバを稼動するおとりサーバ稼動装置を識別する「おとり稼動装置」、おとりサーバの稼動状態を示す「稼動状態」を含む項目から構成される。なお、「稼動状態」において、「稼動」は、おとり対策テーブル２６１の転送先おとりサーバに使用されている状態を示し、「待機」は、おとり対策テーブル２６１の転送先おとりサーバに使用されていない状態を示している。
【００２９】
たとえば、おとり対策テーブル２６１の１行目に格納されているＮｏ「１」の場合、アドレスとポート番号がそれぞれ「ＩＰ−１１」、「Ｐｏｒｔ−１」の通信機器に対して攻撃を行っている、送信元アドレスが「ＩＰ−１」である不正パケットを転送先おとりサーバ「ＩＤ−１」に転送するように機器設定用情報が生成されたことを示している。この図４の状態において、Ｎｏ「１」は設定完了になっており、転送手続きは無しで、ネットワーク遮断・模擬装置１の転送手続きは不要なため、新おとりサーバの構築の設定が終了したことを示している。
【００３０】
そして、このＮｏ「１」の機器設定用情報に対応して、構築用情報も生成される。たとえば、おとりサーバ情報テーブル２６２の１行目に格納されているＮｏ「ＩＤ−１」は、おとり対策テーブル２６１のＮｏ「１」の不正パケットに対して構築されるおとりサーバの構築用情報であり、おとり稼動装置「ＩＤ−Ａ１」に、ＩＰアドレスが「ＩＰ−１０１」であり、オペレーティングシステムが「Ｗｉｎｄｏｗｓ（登録商標）２０００」であるおとりサーバを構築するための構築用情報を示している。そして、このおとりサーバはおとり対策テーブル２６１の転送先おとりサーバとして使用されている状態にあることが示されている。
【００３１】
新おとり構築指示部２７は、攻撃分析・応答装置２が「設定未完了」の状態にあるときに、新しく構築するおとりサーバの構築用情報を、おとりサーバ稼動装置４に通知し、この構築用情報に基づいた新たなおとりサーバを稼動させるように指示する機能を有する。
【００３２】
模擬応答部２８は、攻撃分析・応答装置２が「設定未完了」の状態にあるときには、おとりサーバに侵入してつぎの侵入先を探る偵察行動を行っている不正侵入者に対して、ニセの応答を返して構築中のおとりサーバに成りすまし、攻撃分析・応答装置２が「設定完了」の状態にあるときには、不正侵入者からのパケットに対してニセの応答を返信せずにそのまま中継する機能を有する。
【００３３】
おとり設定通知部２９は、攻撃分析・応答装置２が「設定完了」の状態に遷移したときに、新しく構築したおとりサーバの機器設定用情報をネットワーク遮断・模擬装置１に通知する機能を有する。これにより、ネットワーク遮断・模擬装置１は、踏み台にされたおとりサーバと新しく構築したおとりサーバとの間の通信で必要なヘッダ情報を得て、おとりサーバによる通信パケットをおとりネットワーク５の外部に出すことなく新たなおとりサーバに届けることができる。
【００３４】
なお、図１〜図３では、ネットワーク遮断・模擬装置１と攻撃分析・応答装置２とは、別々の装置として設けられているが、両方の装置の機能を備えた１台の装置として実現してもよい。特許請求の範囲におけるネットワーク不正侵入対策処理装置は、これらのネットワーク遮断・模擬装置１と攻撃分析・応答装置２の機能を備えた装置に対応している。
【００３５】
つぎに、攻撃分析・応答装置２、ネットワーク遮断・模擬装置１およびおとりサーバ稼動装置４の動作について説明する。図５は、攻撃分析・応答装置の動作処理を示すフローチャートである。攻撃分析・応答装置２は入出力インタフェース２１でパケットを受信すると（ステップＳ１１）、受信したパケットのプロトコル処理を行い、ヘッダ精査部２２に渡す。ヘッダ精査部２２では、受信パケットのヘッダを精査し（ステップＳ１２）、おとりサーバからの受信パケットである場合には、受信パケットはおとり管理データベース２６のおとり対策テーブル２６１に登録されているか否かを判定する（ステップＳ１３）。おとり対策テーブル２６１に登録されていない場合（ステップＳ１３でＮｏの場合）には、パケットは攻撃分析部２３へと送られる。攻撃分析部２３は、パケットの情報を蓄積し、おとりサーバに潜伏している侵入者からの偵察行動を監視し（ステップＳ１４）、偵察行動が検出されたか否かが判断される（ステップＳ１５）。偵察行動が検出されない場合（ステップＳ１５でＮｏの場合）には、受信パケットをそのまま中継する通常の通信処理を行い（ステップＳ２５）、入出力インタフェース２１から通信パケットが送信される。
【００３６】
ステップＳ１３でおとり対策テーブル２６１に登録されている場合（ステップＳ１３でＹｅｓの場合）には、状態管理部２４はさらにおとり対策テーブル２６１の受信したパケットに対するおとりサーバの設定状態をチェックする（ステップＳ２４）。設定状態が「設定完了」となっていた場合（ステップＳ２４でＹｅｓの場合）には、そのまま受信したパケットを中継する通常の通信処理を行って（ステップＳ２５）、処理が終了する。また、設定状態が「設定未完了」となっていた場合（ステップＳ２４でＮｏの場合）には、状態管理部２４は、抽出した新しいおとりサーバ用の構築用情報と機器設定用情報を模擬応答部２８に引き渡す。模擬応答部２８は、この新しいおとりサーバの構築用情報と機器設定用情報に基づいて、新しいおとりサーバに成りすまし、不正侵入者からの通信に対するニセの応答を返し続ける（ステップＳ２６）。この模擬応答部２８による不正侵入者からの通信に対する応答は、おとりサーバ稼動装置４によって、おとり対策テーブル２６１の設定状態が設定完了となるまで行なわれる。
【００３７】
ステップＳ１５で攻撃分析部２３が、受信パケットが不正侵入者の偵察行動を示すものとの検証結果を出した場合（ステップＳ１５でＹｅｓの場合）には、この実施の形態１では不正侵入者がおとりサーバとは異なるサブネットへの侵入の場合（ステップＳ１６でＮｏの場合）であるので、新おとり情報生成部２５に新しいおとりサーバの構築用情報と機器設定用情報を生成するよう指示を出す。新おとり情報生成部２５は、不正侵入者がつぎに侵入しようとしているサーバに対して構築される新しいおとりサーバの構築用情報と機器設定用情報を生成し（ステップＳ１７）、おとり管理データベース２６に格納する（ステップＳ１９）。
【００３８】
状態管理部２４は、攻撃分析部２３からの通知を受けると、おとり管理データベース２６を参照して、ステップＳ１６で新おとり情報生成部２５によって生成され格納された新しいおとりサーバの構築用情報と機器設定用情報を抽出して、新しいおとりサーバの構築用情報を新おとり構築指示部２７に通知する。新おとり構築指示部２７は、入出力インタフェース２１を介しておとりサーバ稼動装置４に対して、新しいおとりサーバを構築するように構築用情報を格納した管理用パケットを送信する（ステップＳ２０）。また、状態管理部２４は、同時に、抽出した新しいおとりサーバ用の構築用情報と機器設定用情報を模擬応答部２８に引き渡す。模擬応答部２８は、この新しいおとりサーバの構築用情報と機器設定用情報に基づいて、新しいおとりサーバに成りすまし、不正侵入者からの通信に対するニセの応答を返し続ける（ステップＳ２１）。
【００３９】
その後、おとりサーバ稼動装置４で構築用情報に基づいた新しいおとりサーバの構築が完了すると、この実施の形態１では受信したパケットのつぎの侵入先が異なるサブネットへの侵入であるので（ステップＳ２２でＮｏの場合）、状態管理部２４は、抽出した新しいおとりサーバの機器設定用情報をおとり設定通知部２９に渡す。そして、おとり設定通知部２９は、入出力インタフェース２１を介して、ネットワーク遮断・模擬装置１に新しく構築されたおとりサーバに関する機器設定用情報を通知する（ステップＳ２３）。これによって、新しいおとりサーバを構築するための処理が終了する。
【００４０】
図６は、ネットワーク遮断・模擬装置の動作処理を示すフローチャートである。ネットワーク遮断・模擬装置１はパケットを受信すると（ステップＳ５１）、入出力インタフェース１１でプロトコル処理された後に、ヘッダ精査部１２に渡され、受信パケットのヘッダ情報が調べられる（ステップＳ５２）。ヘッダ情報の精査の結果、受信パケットが攻撃分析・応答装置２からの管理用パケットである場合（ステップＳ５２でＹｅｓの場合）には、受信パケットの情報は、ポリシー編集部１４に送られる。ポリシー編集部１４は、受信パケットの機器設定用情報をポリシー情報テーブル１３に登録し（ステップＳ５３）、ポリシー情報テーブル１３の内容を更新して、更新完了を通知するための管理用パケットを攻撃分析・応答装置２へ返信し（ステップＳ５４）、受信したパケットの処理を終了する。
【００４１】
一方、受信パケットの送信元が攻撃分析・応答装置２からでない場合（ステップＳ５２でＮｏの場合）には、ヘッダ精査部１２では、受信パケットの宛先アドレス、送信元アドレスおよびポート番号などのヘッダ情報と、ポリシー情報テーブル１３内に一致する情報が存在するか否かを判定する（ステップＳ５５）。判定の結果、受信パケットのヘッダ情報と一致する情報がポリシー情報テーブル１３内に存在する場合（ステップＳ５５でＹｅｓの場合）には、通信制御部１５は、そのポリシー情報テーブル１３の機器設定用情報に基づいてパケットのヘッダを書き換えて（ステップＳ５６）、書き換えた送信先にパケットを中継する（ステップＳ５７）。このときのパケットの中継先は、上述したように不正侵入者によるパケットをおとりネットワーク５の外部に出させてはいけないので、おとりネットワーク５内に構築されたおとりサーバとなる。そして、受信したパケットの処理が終了する。
【００４２】
また、ステップＳ５５で受信パケットのヘッダ情報と一致する情報がポリシー情報テーブル１３内に存在しない場合（ステップＳ５５でＮｏの場合）には、ヘッダ精査部１２は、通信制御部１５に処理を引き渡さず、入出力インタフェース１１に処理を戻す。入出力インタフェース１１では、受信したヘッダ情報に基づいた通常のプロトコル処理を行い（ステップＳ５８）、受信したパケットの処理を終了する。
【００４３】
図７は、おとりサーバ稼動装置の動作処理を示すフローチャートである。おとりサーバ稼動装置４は、パケットを受信すると攻撃分析・応答装置２からのパケットであるか否かを判定する（ステップＳ７１）。攻撃分析・応答装置２からのパケットである場合（ステップＳ７１でＹｅｓの場合）には、そのパケットに含まれているおとりサーバの構築用情報に基づいて、おとりサーバの構築、機能停止または変更を行う（ステップＳ７２）。新しいおとりサーバの構築、既に存在するおとりサーバの機能停止、または既に存在するおとりサーバの設定条件の変更が完了した後に、攻撃分析・応答装置２にその完了を伝える管理用パケットを送信し（ステップＳ７３）、処理が終了する。一方、ステップＳ７１で、攻撃分析・応答装置２からのパケットではない場合（ステップＳ７１でＮｏの場合）には、そのパケットに対する通常の通信処理を行い（ステップＳ７４）、処理が終了する。
【００４４】
つぎに、同一のサブネットに存在するサーバに不正侵入者が侵入する場合の不正侵入対策処理システムの通信処理について、図８のシーケンス図を参照しながら説明する。なお、ここでは、不正侵入者は、おとりネットワーク５内の第１のおとりサーバ４１を踏み台にして、新たなサーバに侵入しようとすることを前提とする。そのため、不正侵入者をまず第１のおとりサーバ４１に侵入させ、不正侵入者が第１のおとりサーバ４１とは異なるネットワーク（サブネット）に対して、新たな侵入工作を試みている場合の通信処理を例に挙げている。この場合の第１のおとりサーバ４１に不正パケットを侵入させる方法として、ネットワーク遮断・模擬装置１に不正パケットを検出する手段を設け、この手段によって受信したパケットが不正パケットと判断された場合に、第１のおとりサーバ４１に誘導するようにさせる。この不正侵入者によるパケットか否かを判定して第１のおとりサーバ４１に誘導する方法は、上述した特許文献１や２に記載されている方法などの公知の方法を用いることができる。
【００４５】
まず、ネットワーク遮断・模擬装置１が、インターネット６からの不正パケットを検知して（ＳＱ１０１）、第１のおとりサーバ４１に中継（誘導）する（ＳＱ１０２）。第１のおとりサーバ４１に侵入した不正侵入者は、第１のおとりサーバ４１を踏み台にして、新たなサーバを探すためのポートスキャンなどの偵察行動を開始する（ＳＱ１０３）。攻撃分析・応答装置２は、第１のおとりサーバ４１からのポートスキャンを受信し、第１のおとりサーバ４１に潜伏している不正侵入者が踏み台工作を開始したことを検知する。そして、攻撃分析・応答装置２は、第１のおとりサーバ４１からの通信に対して、実在しないニセのサーバの応答を返信すると同時に（ＳＱ１０４）、応答内容に対応する新しいおとりサーバ（以下、第２のおとりサーバという）を構築するため、おとりサーバ稼動装置４に構築用情報を送信する（ＳＱ１０５）。その後、おとりサーバ稼動装置４による第２のおとりサーバ４２の構築が完了すると、攻撃分析・応答装置２は、ネットワーク遮断・模擬装置１に、構築が完了した新しい第２のおとりサーバ４２に関する機器設定用情報を送信する（ＳＱ１０６）。以後、第１のおとりサーバ４１の通信に対する応答は第２のおとりサーバ４２によって行われる。
【００４６】
不正侵入者による第１のおとりサーバ４１を介したつぎに侵入するサーバのポートスキャンが終了すると、第１のおとりサーバ４１に潜伏した不正侵入者は、攻撃分析・応答装置２から受信したニセの応答から、つぎの標的であるサーバに侵入するためのパケットを送信する（ＳＱ１０７）。この第１のおとりサーバ４１から送信されるパケットは、第１のおとりサーバ４１のデフォルトゲートウェイであるネットワーク遮断・模擬装置１に到達するが、ネットワーク遮断・模擬装置１は、ＳＱ１０６で通知された機器設定用情報に基づいてそのパケットのヘッダ情報を書き換えて新たに構築された第２のおとりサーバ４２に誘導し、中継する（ＳＱ１０８）。これによって、第１のおとりサーバ４１からつぎの標的であるサーバに送信されるパケットが、実在するそのサーバに送信されることがない。つまり、第１のおとりサーバ４１によって送信されるパケットは、おとりネットワーク５内に新たに構築された第２のおとりサーバ４２に誘導されるので、おとりネットワーク５の外部に送信されることがない。ここまでの一連の処理をフェーズ１とする。
【００４７】
さらに、不正侵入者は、第２のおとりサーバ４２に侵入したとは気付かずに、つぎの侵入先の偵察行動を開始すると、上述したフェーズ１と同様の処理であるフェーズ２が、不正侵入対策処理システムによって開始される。そして、不正侵入者が、最終目的のサーバに到達したと誤認して、つぎに侵入するサーバへの偵察行動を終了するまで、新たな第Ｎのおとりサーバ（Ｎは自然数）が構築され、同様のフェーズが繰り返される。
【００４８】
この実施の形態１によれば、おとりサーバに侵入した不正侵入者が、おとりサーバを踏み台にしてさらに別のサーバに侵入する行動を利用して、ニセの誘導先として新たにおとりサーバを動的に構築し、そこに侵入させるようにしているので、不正侵入者の侵入範囲を限定し、その攻撃を未然に防ぐことができる。
【００４９】
実施の形態２．
上述した実施の形態１では、不正侵入者が侵入した第１のおとりサーバ４１とは異なるサブネットに属する第２のおとりサーバ４２を動的に構築する場合について説明したが、この実施の形態２では、不正侵入者が、侵入した第１のおとりサーバ４１と同じサブネットに属するサーバに侵入を試みようとしている場合の不正侵入対策処理システムについて説明する。
【００５０】
不正侵入者が侵入した第１のおとりサーバ４１と同じサブネットに属するサーバに侵入しようとしている場合には、第１のおとりサーバ４１と新たな侵入先のサーバとの間の通信パケットは、ネットワーク遮断・模擬装置１を経由せずに直接にやり取りされる。そのため、この場合には、攻撃分析・応答装置２はネットワーク遮断・模擬装置１に対して機器設定情報を送信する必要がないので、攻撃分析・応答装置２の攻撃分析部２３、新おとり情報生成部２５、状態管理部２４およびおとり設定通知部２９の機能が、実施の形態１で説明したものと異なってくる。以下では、この実施の形態１と異なる機能を有する構成要素について説明し、その他の実施の形態１と同一の機能を有する構成要素については、その説明を省略する。また、この実施の形態２においても、不正侵入対策処理システムを構成する機器の構成は実施の形態１の図１〜図３と同様であるので図示を省略する。
【００５１】
攻撃分析部２３は、受信し蓄積した不正パケット（偵察パケット）を監視し、不正侵入者が偵察行動を開始した場合に、その新たな侵入先がおとりサーバと同一のサブネットに属するか否かを判定する機能をさらに備える。新たな侵入先がおとりサーバとは異なるサブネットに属する場合には、実施の形態１と同じ処理を実行するが、新たな侵入先がおとりサーバと同一のサブネットに属する場合には、新おとり情報生成部２５に対して、新しいおとりサーバの構築用情報のみを生成するように指示を与える。
【００５２】
状態管理部２４は、攻撃分析部２３の判定によって、新たな侵入先がおとりサーバとは異なるサブネットに属する場合には、実施の形態１の図５に示される処理を行うように各構成要素に対して指令を出すが、新たな侵入先がおとりサーバと同一のサブネットに属する場合には、ネットワーク遮断・模擬装置１に新しいおとりサーバの機器設定用情報を通知しないようにおとり設定通知部２９を制御する。なお、不正侵入者による攻撃が同一サブネットへの攻撃の場合には、実施の形態１で説明した「設定完了」の状態とは、新おとりサーバの構築が完了していることをいう。
【００５３】
新おとり情報生成部２５は、攻撃分析部２３の判定によって、新たな侵入先がおとりサーバとは異なるサブネットに属する場合には、実施の形態１と同じように新しいおとりサーバの構築用情報と機器設定用情報を生成するが、新たな侵入先がおとりサーバと同一のサブネットに属する場合には、新しいおとりサーバの構築用情報のみを生成する。
【００５４】
おとり設定通知部２９は、新たな侵入先がおとりサーバとは異なるサブネットに属する場合には、実施の形態１と同じようにネットワーク遮断・模擬装置１に機器設定用情報を通知するが、新たな侵入先がおとりサーバと同一のサブネットに属する場合には、送信する機器設定用情報が存在しないので、新しいおとりサーバの機器設定用情報を通知しない。
【００５５】
つぎに、不正侵入者がおとりサーバと同一のサブネットに存在するサーバにつぎに侵入しようとしている場合の攻撃分析・応答装置の動作について、図５のフローチャートを参照しながら説明する。なお、ここでは、おとりサーバに侵入した不正侵入者が異なるサブネットに存在するサーバに侵入しようとしている実施の形態１の場合と異なる動作についてのみ説明する。まず、実施の形態１の図５と同様に、攻撃分析・応答装置２で受信したパケットに攻撃性がある場合に、攻撃分析部２３によって、さらに、受信したパケットのつぎの侵入先が同一サブネットの装置への侵入か否かが判定される（ステップＳ１１〜Ｓ１６）。
【００５６】
この実施の形態２では、不正侵入者がおとりサーバと同一のサブネットに属するサーバをつぎの標的としているので、受信したパケットのつぎの侵入先が同一サブネットであることを攻撃分析部２３は検出し（ステップＳ１６でＹｅｓの場合）、新おとり情報生成部２５に新しいおとりサーバの構築用情報のみを生成するように指示を出す。新おとり情報生成部２５は、この指示に基づいて、新しいおとりサーバの構築用情報を生成し（ステップＳ１８）、おとり管理テーブル２６に格納する（ステップＳ１９）。状態管理部２４は、攻撃分析部２３からの通知を受けると、おとり管理データベース２６を参照して、ステップＳ１８で新おとり情報生成部２５によって生成され格納された新しいおとりサーバの構築用情報を抽出して、新しいおとりサーバの構築用情報を新おとり構築指示部２７に通知する。新おとり構築指示部２７は、入出力インタフェース２１を介しておとりサーバ稼動装置４に対して、新しいおとりサーバを構築するように、構築用情報を格納した管理用パケットを送信する（ステップＳ２０）。なお、ステップＳ１６で、攻撃分析部２３が、不正侵入者がおとりサーバと異なるサブネットに属するサーバをつぎの標的にしていると判断した場合（ステップＳ１６でＮｏの場合）には、実施の形態１で説明したように、ステップＳ１７以降の処理が行われる。
【００５７】
また、状態管理部２４は、同時に、抽出した新しいおとりサーバ用の構築用情報を模擬応答部２８に引き渡す。模擬応答部２８は、この新しいおとりサーバの構築用情報に基づいて、新しいおとりサーバに成りすまし、不正侵入者からの通信に対する応答を返し続ける（ステップＳ２１）。この模擬応答部２８による不正侵入者からの通信に対する応答は、おとり対策テーブル２６１の設定状態が設定完了となるまで行われる。
【００５８】
その後、おとりサーバ稼動装置４で構築用情報に基づいた新しいおとりサーバの構築が完了すると、上述したように受信したパケットのつぎの侵入先が同一のサブネットへの侵入であるので（ステップＳ２２でＹｅｓの場合）、模擬応答部２８による処理が構築完了したおとりサーバに引き継がれ、攻撃分析・応答装置２による処理が終了する。
【００５９】
つぎに、同一のサブネットに存在するサーバに不正侵入者が侵入する場合の不正侵入対策処理システムの通信処理について、図９のシーケンス図を参照しながら説明する。なお、この説明でも、不正侵入者は、第１のおとりサーバ４１に既に誘導されており、この第１のおとりサーバ４１と同一のネットワーク（サブネット）に属するサーバに新たに侵入を試みているものとする。
【００６０】
まず、ネットワーク遮断・模擬装置１が、インターネット６からの不正パケットを検知して（ＳＱ２０１）、第１のおとりサーバ４１に中継（誘導）する（ＳＱ２０２）。第１のおとりサーバ４１に侵入した不正侵入者は、第１のおとりサーバ４１を踏み台にして、新たなサーバを探すためのポートスキャンなどの偵察行動を開始する（ＳＱ２０３）。攻撃分析・応答装置２は、第１のおとりサーバ４１からのポートスキャンを受信し、第１のおとりサーバ４１に潜伏している不正侵入者が踏み台工作を開始したことを検知する。そして、攻撃分析・応答装置２は、第１のおとりサーバ４１からの通信に対して、実在しないニセのサーバの応答を返信すると同時に（ＳＱ２０４）、応答内容に対応する新しいおとりサーバ（以下、第２のおとりサーバという）を構築するための構築用情報を、おとりサーバ稼動装置４に対して送信する（ＳＱ２０５）。その後、おとりサーバ稼動装置４による第２のおとりサーバ４２の構築が完了すると、第１のおとりサーバ４１の通信に対する応答は第２のおとりサーバ４２によって行われる。
【００６１】
不正侵入者による第１のおとりサーバ４１を介したつぎに侵入するサーバのポートスキャンが終了すると、第１のおとりサーバ４１に潜伏した不正侵入者は、攻撃分析・応答装置２から受信したニセの応答から、つぎの標的であるサーバに侵入するためのパケットを送信して、侵入を開始する（ＳＱ２０６）。第１のおとりサーバ４１と第２のおとりサーバ４２は同一のサブネットに属するので、第１のおとりサーバ４１からの侵入パケットは、直接第２のおとりサーバ４２に到達する。ここまでの一連の処理をフェーズ１とする。
【００６２】
さらに、不正侵入者は、第２のおとりサーバ４２に侵入したとは気付かずに、つぎの侵入先の偵察行動を開始すると、上述したフェーズ１と同様のフェーズ２の処理が開始される。不正侵入者が、最終目的のサーバに到達したと誤認して、つぎに侵入するサーバへの偵察行動を終了するまで、同様のフェーズが繰り返される。
【００６３】
この実施の形態２によれば、おとりサーバに侵入した不正侵入者が、同じサブネットに属する侵入先を探索していた場合は、攻撃分析・応答装置２による対処でのみ、不正侵入者の侵入先拡大を未然に防ぐことが可能である。
【００６４】
なお、実施の形態２では、おとりサーバに侵入した不正侵入者が、おとりサーバと同一のサブネットを有するサーバに繰り返し侵入しようとしている場合を例に挙げて説明したが、上記の構成によれば、おとりサーバと同一のサブネットを有するサーバに侵入しようとしている場合と、おとりサーバと異なるサブネットを有するサーバに侵入しようとしている場合と合わせて行おうとしている不正侵入者に対しても柔軟に対応することが可能である。
【００６５】
【発明の効果】
以上説明したように、この発明によれば、おとりサーバに侵入した不正侵入者が、おとりサーバを踏み台にしてさらに別のサーバに侵入する行動を利用して、ニセの誘導先として新たにおとりサーバを動的に構築し、そこに侵入させるようにしているので、不正侵入者の侵入範囲を限定し、その攻撃を未然に防ぐことができるという効果を有する。
【図面の簡単な説明】
【図１】この発明にかかる不正侵入対策処理システムの実施の形態１の概略構成を示すブロック図である。
【図２】ネットワーク遮断・模擬装置の概略構成を示すブロック図である。
【図３】攻撃分析・応答装置の概略構成を示すブロック図である。
【図４】おとり管理データベースの概略構成を示す図である。
【図５】攻撃分析・応答装置の動作処理を示すフローチャートである。
【図６】ネットワーク遮断・模擬装置の動作処理を示すフローチャートである。
【図７】おとりサーバ稼動装置の動作処理を示すフローチャートである。
【図８】同一のサブネットに存在するサーバに不正侵入者が侵入する場合の不正侵入対策処理システムの通信処理を示すシーケンス図である。
【図９】同一のサブネットに存在するサーバに不正侵入者が侵入する場合の不正侵入対策処理システムの通信処理を示すシーケンス図である。
【図１０】一般的な不正侵入者の挙動を示す図である。
【符号の説明】
１  ネットワーク遮断・模擬装置、２  攻撃分析・応答装置、４  おとりサーバ稼動装置、５  おとりネットワーク、６  インターネット、１１  入出力インタフェース、１２  ヘッダ精査部、１３  ポリシー情報テーブル、１４  ポリシー編集部、１５  通信制御部、２１  入出力インタフェース、２２  ヘッダ精査部、２３  攻撃分析部、２４  状態管理部、２５  新おとり情報生成部、２６  おとり管理データベース、２７  新おとり構築指示部、２８  模擬応答部、２９おとり設定通知部。
【図１】
2005004617.tif 000003
【図２】
2005004617.tif 000004
【図３】
2005004617.tif 000005
【図４】
2005004617.tif 000006
【図５】
2005004617.tif 000007
【図６】
2005004617.tif 000008
【図７】
2005004617.tif 000009
【図８】
2005004617.tif 000010
【図９】
2005004617.tif 000011
【図１０】
2005004617.tif 000012