(57)【要約】【課題】異常検出方式を用いて、攻撃などの不正アクセスの検出精度を向上させること。【解決手段】インターネット１１からＬＡＮ１２のネットワークに流入するトラヒックの量的な変化を捉える特徴量として、トラヒックのあるイベント、たとえばＳＹＮパケットを基準として特徴量抽出部１３ａでの観測スロットを区切って、特徴量の抽出を行い、データ作成部１３ｂによってこの特徴量に基づくトラフィックの分布パターンの作成を行い、ネットワークの通常状態における分布パターンと運用時における分布パターンとの比較を行って、ネットワークの状態異常を検出する。【選択図】        図１
2005244429.tif 000002
【特許請求の範囲】
【請求項１】
予め定めたイベントを所定回検出する検出工程と、
前記検出工程で前記イベントが所定回検出される間の特徴量を抽出する抽出工程と、
を含み、前記ネットワークの状態異常を検出するための前記特徴量を、前記イベントに基づいて抽出することを特徴とするネットワーク異常検出の特徴量抽出方法。
【請求項２】
前記抽出工程では、前記イベントが所定回検出される間のトラフィック全体に対する少なくとも１種類の前記イベントの数、比率または量を計算し、前記計算の結果を特徴量として抽出することを特徴とする請求項１に記載のネットワーク異常検出の特徴量抽出方法。
【請求項３】
前記検出工程で検出される前記イベントは、ＴＣＰ、ＵＤＰおよびＩＣＭＰのパケットのうち、いずれか一つプロトコルの前記パケットの中の予め定められたイベントからなることを特徴とする請求項１または２に記載のネットワーク異常検出の特徴量抽出方法。
【請求項４】
請求項１または２に記載された方法をコンピュータに実行させることを特徴とするプログラム。
【請求項５】
ネットワークの状態異常を検出するための特徴量を抽出するネットワーク異常検出の特徴量抽出装置において、
予め定めたイベントを検出する検出手段と、
前記イベントが所定回検出される間の特徴量を抽出する抽出手段と、
を備えたことを特徴とするネットワーク異常検出の特徴量抽出装置。
【請求項６】
前記抽出手段は、前記検出手段で前記イベントが所定回検出される間のパケット全体に対する前記イベントの割合を特徴量として抽出することを特徴とする請求項５に記載のネットワーク異常検出の特徴量抽出装置。
【請求項７】
前記ネットワーク異常検出の特徴量抽出装置は、前記抽出手段で抽出された特徴量に基づき、トラフィックの分布データを作成する作成手段をさらに備えたことを特徴とする請求項５または６に記載のネットワーク異常検出の特徴量抽出装置。
【請求項８】
抽出された特徴量に基づいて、ネットワークの状態異常を検出するネットワーク異常検出システムにおいて、
請求項５〜７のいずれか一つの特徴量抽出装置と、
前記特徴量抽出装置で抽出された特徴量に基づき、ネットワークの状態異常を監視する監視装置と、
を備えたことを特徴とするネットワーク異常検出システム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークの異常状態を検出するための特徴量を求めるネットワーク異常検出の特徴量抽出方法、その方法をコンピュータに実行させるプログラム、その特徴量抽出装置およびネットワーク異常検出システムに関するものである。
【背景技術】
【０００２】
近年、インターネットの発展にともなって、企業、官公庁および各種学校への普及に限らず、個人のユーザにおいても、インターネットへの常時接続が可能になった。このため、Ｗｅｂページの改ざんやホストへの不正侵入、ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃やＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  ＤｏＳ）攻撃は、企業やプロバイダなどの問題だけではなく、個人ユーザまでもが、その脅威にさらされている。
【０００３】
そこで、これら攻撃を検知するシステムとして、ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）が開発されている。このＩＤＳの攻撃検出手法には、主に不正検出方式と異常検出方式の２つがあり、このうちの異常検出方式の研究が広く行われている（たとえば、特許文献１）。この異常検出方式では、たとえば図１５の侵入検知システムを用いて説明すると、トラフィックの通常状態を定義するために、インターネット１１と、ＬＡＮ１２間に設けられた特徴量抽出装置１３によるパケット単位、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）のセッション単位やタイムスロット単位による特徴量の抽出が提案されている。なお、図１５の特徴量抽出装置１３において抽出された特徴量は、たとえば管理用マネージャ１４内のデータベースに格納され、この管理用マネージャ１４によって管理されている。
【０００４】
【特許文献１】特開２０００−３５４０３４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、このうちのパケット単位では、ネットワークの広帯域化により負荷が大きくなってしまうという問題点があり、また、このセッション単位では、ネットワークの全体的な特徴を表すことができないという問題点があった。さらに、このタイムスロット単位では、抽出する情報が分断されるなどの問題点があった。
【０００６】
この発明は、上記問題点に鑑みなされたもので、異常検出方式を用いて、攻撃などの不正アクセスの検出精度を向上させることができるネットワーク異常検出の特徴量抽出方法、その方法をコンピュータに実行させるプログラム、その特徴量抽出装置およびネットワーク異常検出システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するため、請求項１の発明にかかるネットワーク異常検出の特徴量抽出方法では、予め定めたイベントを所定回検出する検出工程と、前記検出工程で前記イベントが検出される間の特徴量を抽出する抽出工程とを含み、前記ネットワークの異常状態を検出するための前記特徴量を、前記イベントに基づいて抽出することを特徴とするネットワーク異常検出の特徴量抽出方法が提供される。
【０００８】
この請求項１の発明によれば、ネットワークに流入するトラヒックの量的な変化を捉える特徴量として、単位時間当たりのトラヒックを観測するタイムスロットよりも、トラヒックのあるイベント、たとえばＳＹＮやＦＩＮのパケットを基準として観測スロットを区切り、特徴量の抽出を行うことで、不正アクセスの検出精度を高める。
【０００９】
また、請求項２にかかるネットワーク異常検出の特徴量抽出方法にて、前記抽出工程では、前記イベントが所定回検出される間のトラフィック全体に対する少なくとも１種類の前記イベントの数または比率を計算し、前記計算の結果を特徴量として抽出することを特徴とする。
【００１０】
この発明によれば、イベントが所定回検出される間を一つの観測スロットとして、その間のトラフィック全体に対して検出されたイベントの数、比率または量から特徴量の抽出を行うことで、不正アクセスの検出精度を高める。
【００１１】
また、請求項３にかかるネットワーク異常検出の特徴量抽出方法にて、前記検出工程で検出される前記イベントは、ＴＣＰ、ＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）およびＩＣＭＰ（Ｉｎｔｅｒｎｅｔ  ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ  Ｐｒｏｔｏｃｏｌ）のパケットのうち、いずれか一つプロトコルの前記パケットの中の予め定められたイベントからなることを特徴とする。
【００１２】
この発明によれば、インターネットとＬＡＮ間を流れるＴＣＰ、ＵＤＰおよびＩＣＭＰのパケットのうち、いずれか一つのプロトコルのパケットの中の所定イベント、たとえばＴＣＰにおけるＳＹＮなどのパケットを基準として、特徴量の抽出を行うことで、不正アクセスの検出精度を高める。
【００１３】
また、請求項４にかかるプログラムでは、請求項１または２に記載された方法をコンピュータに実行させることを特徴とするプログラムが提供される。
【００１４】
この発明によれば、請求項１または２にいずれか一つに記載された方法をコンピュータに実行させるプログラムであり、そのプログラムがコンピュータに読み取り可能となり、これによって、上記請求項１または２のいずれか一つの動作をコンピュータによって実行することができる。
【００１５】
また、請求項５にかかるネットワーク異常検出の特徴量抽出装置にて、ネットワークの異常状態を検出するための特徴量を抽出するネットワーク異常検出の特徴量抽出装置において、予め定めたイベントを検出する検出手段と、前記イベントが所定回検出される間の特徴量を抽出する抽出手段とを備えたことを特徴とするネットワーク異常検出の特徴量抽出装置が提供される。
【００１６】
この発明によれば、ＳＹＮやＦＩＮなどのイベントを検出手段で所定回検出し、その間のネットワークに流入するトラヒックの量的な変化を、抽出手段で特徴量として抽出することで、不正アクセスの検出精度を高める。
【００１７】
また、請求項６にかかるネットワーク異常検出の特徴量抽出装置にて、前記抽出手段は、前記検出手段で前記イベントが所定回検出される間のパケット全体に対する前記イベントの割合を特徴量として抽出することを特徴とする。
【００１８】
この発明によれば、イベントが所定回検出される間を一つの観測スロットとして、抽出手段でパケット全体に対するイベントの割合を特徴量として抽出することで、不正アクセスの検出精度を高める。
【００１９】
また、請求項７にかかるネットワーク異常検出の特徴量抽出装置では、前記抽出手段で抽出された特徴量に基づき、トラフィックの分布パターンを作成する作成手段をさらに備えたことを特徴とする。
【００２０】
この発明によれば、抽出された特徴量を基に、トラフィックの分布パターンを作成する作成手段を新たに設けることで、通常時のトラフィックの分布パターンと異常時のトラフィックの分布パターンを得て、ネットワークの状態異常の監視を可能にする。
【００２１】
また、請求項８にかかるネットワーク異常検出システムでは、抽出された特徴量に基づいて、ネットワーク回線状態の異常を検出するネットワーク異常検出システムにおいて、請求項５〜７のいずれか一つの特徴量抽出装置と、前記特徴量抽出装置で抽出された特徴量に基づき、ネットワークの状態異常を監視する監視装置とを備えたことを特徴とするネットワーク異常検出システムが提供される。
【００２２】
この発明によれば、上記請求項５〜７のいずれか一つの特徴量抽出装置で抽出された特徴量を基に、通常時のトラフィックの分布パターンと異常時のトラフィックの分布パターンを例えば比較することで監視装置でネットワークの状態異常を監視することで、ネットワークの異常状態の監視を的確に行う。
【発明の効果】
【００２３】
以上説明したように、この発明では、ネットワークに流入するトラヒックの量的な変化を捉える特徴量として、トラヒックのあるイベントを特定し、このイベントが所定回数検出される間の特徴量を抽出して、ネットワークの異常状態を検出するので、一連のパケット通信内でネットワークの異常状態を検出でき、これにより攻撃などの不正アクセスの検出精度を向上させることができる。
【発明を実施するための最良の形態】
【００２４】
以下に図１〜図１４の添付図面を参照して、この発明にかかるネットワーク異常検出の特徴量抽出方法、その方法をコンピュータに実行させるプログラム、その特徴量抽出装置およびネットワーク異常検出システムの好適な実施の形態を説明する。
【００２５】
（実施の形態１）
図１は、この発明にかかる侵入検知システムの概略構成を示す概略構成図である。図１において、図１５と異なる点は、特徴量抽出装置１３内の特徴量抽出部１３ａでは、管理者が予め定めたイベント、たとえばＴＣＰのパケットのうち、ＴＣＰヘッダ内にＳＹＮフラグが立ったパケット（以下、「ＳＹＮパケット」という）を所定回数検出し、その間隔を一つの観測スロットとして観測データを区切り、特徴量を抽出し、その特徴量に基づいて、データ作成部１３ｂでトラフィックの分布パターンを作成し、作成されたトラフィックの分布パターンに基づいて特徴量抽出部１３ａがネットワークの異常検出を行う点である。
【００２６】
つまり、ＴＣＰのプロトコルを用いたネットワークの通常状態における一連のデータ通信の流れは、図２のシーケンス図に示すように、まずデータ通信の始まりを示すＳＹＮパケットがセンダ側からレシーバ側に送出され、このＳＹＮパケットに対する確認応答である、ＴＣＰヘッダ内にＡＣＫフラグが立ったパケット（以下、「ＳＹＮ／ＡＣＫパケット」という）がレシーバ側から送出される。次に、センダ側は、このＳＹＮ／ＡＣＫパケットを受け取ると、このＳＹＮ／ＡＣＫパケットに対する確認応答であるＡＣＫパケットを返送した後に、パケット構成のデータを送出し、レシーバ側は、このデータを受け取る度にＡＣＫパケットを返送して確認応答を行う。そして、データ通信が終了すると、センダ側からデータ通信の終了を示すＴＣＰヘッダ内にＦＩＮのフラグが立ったパケット（以下、「ＦＩＮパケット」という）がレシーバ側に送出され、これに応答してレシーバ側からＦＩＮパケットがセンダ側に返送されることで、一連のデータ通信が終了することとなる。
【００２７】
この実施の形態では、ネットワークの通常状態における一連のデータ通信で必ず存在するＳＹＮ（またはＦＩＮ）を特定のイベントに予め設定し、このＳＹＮパケットを所定回数検出し、その間隔を一つの観測スロットとして観測データを区切り、この観測スロット内で検出された全パケットの数とＳＹＮパケットの数との割合を算出し、この算出結果を特徴量としてトラフィックの分布データを作成する。
【００２８】
次に、図１に示した特徴量抽出装置１３の特徴量抽出動作を、図３のフローチャートを用いて説明する。図３において、特徴量抽出部１３ａには、まずカウンタ機能を用いて初期設定値としてＳＹＮの検出回数をたとえば（ｎ＋１）に設定しており（ステップ１０１）特定イベントの検出回数のカウントを可能とし、このＳＹＮフラグが立ったＳＹＮパケットが検出されたかどうか判断する（ステップ１０２）。
【００２９】
そして、ＳＹＮが検出されると、特徴量抽出部１３ａは、カウンタ機能を用いてこのＳＹＮが（ｎ＋１）回になる間の全パケット数を検出し（ステップ１０３）、次にＳＹＮの検出が（ｎ＋１）回に達したかどうか判断する（ステップ１０４）。ここで、このＳＹＮ検出が（ｎ＋１）回に達していない場合には、ＳＹＮの現在に検出回数ｎに「１」をインクリメントして（ステップ１０５）、次のＳＹＮパケットの検出を行う。
【００３０】
また、このＳＹＮの検出が（ｎ＋１）回に達した場合には、ステップ１０３で検出した全パケット数に対するＳＹＮ数の割合を求めて、特徴量を抽出し、その特徴量に基づいて、データ作成部１３ｂがトラフィックの分布パターンを作成する（ステップ１０６）。そして、ＳＹＮの検出回数（カウント数）をクリアして（ステップ１０７）、次のＳＹＮパケットの検出を行う。
【００３１】
この実施の形態では、図１に示すように、ＩＤＳ１６がＬＡＮ１２内に設けられ、データ作成部１３ｂによって作成されたトラフィックの分布パターンのデータをデータベース１６ａに記憶するとともに、データ解析クラスタ１６ｂによって、これらトラフィックの分布パターンのクラスタ解析を行ってネットワークの状態を監視している。なお、この発明では、特徴量抽出装置１３とＩＤＳ１６とを一つのユニットとして構成することも可能である。
【００３２】
データ作成部１３ｂでは、ネットワークの通常状態において作成したトラフィックの分布パターンのデータをＩＤＳ１６に送出して、データベース１６ａに予め記憶させるとともに、ネットワークの運用時に作成したトラフィックの分布パターンと、このデータベースに記憶させた通常時のトラフィックの分布パターンの比較を行い、この比較の結果を特徴量抽出部１３ａに出力する。特徴量抽出部１３ａは、この比較結果からネットワークの状態異常を判断する。
【００３３】
また、特徴量抽出部１３ａは、ネットワークの状態異常を検出した場合には、警告をファイアウォール１５に通知し、この通知を受けてファイアウォール１５は、インターネット１１などからの不正アクセスを遮断するように動作する。このように、管理者の意図しないＬＡＮ外部からの不正アクセスを排除することで、侵入検知システムの安全性を飛躍的に高めている。
【００３４】
（タイムスロット手法との比較）
次に、この発明者らは、特徴量抽出装置１３の不正アクセスの検出の効果を検証するために、約８０台の計算機が稼動するネットワーク（ＬＡＮ１２）に流入する１日分のトラフィックを対象に以下の実験を行った。この日は、１１回のホストスキャンが確認されており、これを検出対象とした。
【００３５】
この実験において、本発明では、基準となるイベントをＳＹＮパケットとし、観測スロットを決定するＳＹＮパケットの観測回数を１０回、２０回、３０回、４０回および５０回と変化させて、ＳＹＮパケットがこれら観測回数検出される間のパケット全体に対するＳＹＮの割合を特徴量として抽出した。図４〜図８は、上記観測の結果によって求められたトラフィックの分布パターンであり、図９は、本発明のイベント基準によるスキャン検出数を示している。なお、図９では、閾値をいずれも通常状態の場合の２０％とした。
【００３６】
また、比較例として、タイムスロット単位での同様の特徴量の抽出も行い、その測定間隔を１分、３分、５分および１０分間とした。図１０〜図１３は、上記観測の結果によって求められたトラフィックの分布パターンであり、図１４は、タイムスロットによるスキャン検出数を示している。なお、図１４では、閾値を、タイムスロット１分間の場合１０％、それ以外の場合１５％とした。
【００３７】
図４〜図８および図１０〜図１３の分布パターンでは、一時的にＳＹＮパケットが増大している様子を捉えている。通常のデータ通信では、図２に示したように、ＳＹＮパケットとＳＹＮパケットとの間にデータの通信などが含まれるが、ホストスキャンでは、ＳＹＮパケットとＳＹＮパケットとの間に他のデータが含まれない形で通信が起こる。
【００３８】
この点に鑑みてタイムスロット単位での分布パターンを検証すると、たとえば最初の１０秒間にホストスキャンによるＳＹＮの増大が発生しても、残りの検出時間が長くなるほど、ＳＹＮ以外の他のデータのダウンロードが行われる通信が増えることによって、全体のパケット数が増大して最初のＳＹＮの増大が異常として検出されずらいことがある。
【００３９】
これに対して、この発明のイベント基準での分布パターンでは、ＳＹＮが所定の検出個数に達したら、その間の全パケット数に対するＳＹＮの検出個数の割合を求めるので、タイムスロット単位での分布パターンのように、一連の通信の事象が分断された状態でパケット数をカウントしてしまうことが減少する。
【００４０】
したがって、図１４に示したタイムスロットによるホストスキャンの検出数では、各タイムスロットで最も検出数がよかったものを採用したにもかかわらず、１１個のホストスキャン中、最大でも８個のスキャンしか検出できなかった。これに対して、図９に示したこの発明のイベント基準によるホストスキャンの検出数では、全てのホストスキャンを検出することができ、特にＳＹＮパケットの観測回数が３０，４０回とした場合には、誤検出や未検出もなく、全てのホストスキャンを検出することができた。
【００４１】
なお、ＳＹＮの観測回数によって誤検出や未検出が変化するのは、通信の始まりから終わりまでを表す観測の起点となるＳＹＮの個数が少なすぎると、タイムスロットで区切った場合と同様に、異常状態の通信と正常状態の通信とをうまく分離できず、誤検出が生じてしまい、またＳＹＮの個数が多すぎると、小規模のホストスキャンなどが通常状態の通信に埋もれてしまい未検出が生じてしまうためと考えられる。
【００４２】
このように、この実施の形態では、ネットワークの通常状態を定義するために、トラフィックのあるイベントを基準として観測スロットを区切って特徴量の抽出を行うので、攻撃などの不正アクセスの検出精度を向上させることができる。
【００４３】
また、この実施の形態では、この発明にかかる特徴量抽出方法はコンピュータに実行させるプログラムであり、そのプログラムを特徴量抽出装置１３内の図示しないコンピュータに読み取らせることによって、この特徴量抽出の動作を特徴量抽出装置１３内のコンピュータに実行させることができる。
【００４４】
なお、この実施の形態では、ＴＣＰのパケットについて説明したが、この発明はこれに限らず、たとえばＵＤＰやＩＣＭＰのパケットに対しても同様に、これらプロトコルのパケットの中から特定イベントを設定し、この特定イベントが所定回数検出される間の全パケット数に対する特定イベント数の割合を、特徴量として抽出することも可能である。また、この発明では、ＳＹＮやＦＩＮの他のイベントを基準にすることも可能である。
【００４５】
この発明は、これら実施形態に限定されるものではなく、この発明の要旨を逸脱しない範囲で種々の変形実施が可能である。この実施の形態では、パケット全体の受信回数に対する特定イベントの所定回数の割合（比率）によって特徴量を抽出するが、この発明はこれに限らず、たとえば特定イベントのデータ量を予め定めておき、この特定イベントのデータ量が所定量になる間のパケット全体のデータ量に対する特定イベントのデータ量の割合によって特徴量を抽出するように構成することも可能である。また、対象となる特定イベントは、複数種類でも良く、さらに特徴量は、上記割合に限らず、その数でも良い。
【図面の簡単な説明】
【００４６】
【図１】この発明にかかる侵入検知システムの概略構成を示す概略構成図である。
【図２】ネットワークの通常状態における一連のデータ通信の流れを示すシーケンス図である。
【図３】図１に示した特徴量抽出装置の特徴量抽出の動作を説明するためのフローチャートである。
【図４】この発明にかかるＳＹＮパケットの観測回数を１０回に設定した場合のトラフィックの分布パターンを示す図である。
【図５】この発明にかかるＳＹＮパケットの観測回数を２０回に設定した場合のトラフィックの分布パターンを示す図である。
【図６】この発明にかかるＳＹＮパケットの観測回数を３０回に設定した場合のトラフィックの分布パターンを示す図である。
【図７】この発明にかかるＳＹＮパケットの観測回数を４０回に設定した場合のトラフィックの分布パターンを示す図である。
【図８】この発明にかかるＳＹＮパケットの観測回数を５０回に設定した場合のトラフィックの分布パターンを示す図である。
【図９】この発明のイベント基準によるスキャン検出数を示す図である。
【図１０】従来例におけるタイムスロットの測定間隔を１分に設定した場合のトラフィックの分布パターンを示す図である。
【図１１】従来例におけるタイムスロットの測定間隔を３分に設定した場合のトラフィックの分布パターンを示す図である。
【図１２】従来例におけるタイムスロットの測定間隔を５分に設定した場合のトラフィックの分布パターンを示す図である。
【図１３】従来例におけるタイムスロットの測定間隔を１０分に設定した場合のトラフィックの分布パターンを示す図である。
【図１４】タイムスロットによるスキャン検出数を示す図である。
【図１５】従来の侵入検知システムの概略構成を示す概略構成図である。
【符号の説明】
【００４７】
１１  インターネット
１２  ＬＡＮ
１３  特徴量抽出装置
１３ａ  特徴量抽出部
１３ｂ  データ作成部
１４  管理用マネージャ
１５  ファイアウォール
１６  ＩＤＳ
１６ａ  データベース
１６ｂ  データ解析クラスタ
【図１】
2005244429.tif 000003
【図２】
2005244429.tif 000004
【図３】
2005244429.tif 000005
【図４】
2005244429.tif 000006
【図５】
2005244429.tif 000007
【図６】
2005244429.tif 000008
【図７】
2005244429.tif 000009
【図８】
2005244429.tif 000010
【図９】
2005244429.tif 000011
【図１０】
2005244429.tif 000012
【図１１】
2005244429.tif 000013
【図１２】
2005244429.tif 000014
【図１３】
2005244429.tif 000015
【図１４】
2005244429.tif 000016
【図１５】
2005244429.tif 000017