(57)【要約】    【課題】  他のネットワークへの不正アクセスによる侵入被害の拡大を未然に防ぐようにする。    【解決手段】  各ファイアウォール11で記録した通信データのやり取りを、インターネット１を利用して履歴情報として収集する。この履歴情報を元に、どの発信元の通信データを遮断するのかというファイアウォール11の設定を適確に変更できる。また、履歴情報の分析結果から、再度アクセスを試みようと企てようとする対処すべき通信データの発信元の宛先を割り出し、その宛先に警報情報を送付する。これにより、悪意のない発信元であれば、意図しないアクセスが行われないような対策が施され、他のネットワークへの侵入被害を最小限に食い止めることができる。【選択図】  図２
2005109847.tif 000002
【特許請求の範囲】
【請求項１】
通信ネットワーク間でやり取りされる通信データを監視し、意図しない通信データを遮断する複数のファイアウォール手段に通信手段を介して接続され、前記ファイアウォール手段の設定を変更する制御情報を該ファイアウォール手段に送出するセキュリティ管理装置において、
前記各ファイアウォール手段で記録した通信データの履歴情報を収集し、対処すべき通信データを発信した発信元に対して警告情報を送付する通知手段を備えたことを特徴とするセキュリティ管理装置。
【請求項２】
前記履歴情報を管理して前記発信元への対処に段階を設定し、この段階に応じた通知送付を前記通知手段で行なうと共に、前記ファイアウォール手段の設定を変更するように構成したことを特徴とする請求項１記載のセキュリティ管理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えばインターネットに代表される広域ネットワークや、ローカルエリアネットワークなどの通信ネットワーク間の接続部分に、インシデントに対するセキュリティを高めるためのファイアウォールを設けたセキュリティ管理装置に関する。
【背景技術】
【０００２】
一般に、この種の通信ネットワークを利用したコンピュータ情報システムにおいては、ネットワーク管理者が想定していない非正常な通信要求、すなわちインシデント（incident）が常に発生している。インシデントとは、例えばインターネットを経由する特定のシステム（例えばユーザーのコンピュータが接続されたローカルエリアネットワーク）に対する攻撃や、システムへの無差別な攻撃の他に、ウイルス拡散やワーム拡散などの様々な不正なアクセスを含むもので、コンピュータ・セキュリティ上の大きな脅威となっている。こうした外部からのインシデントを防御する手段として、例えば外部ネットワークであるインターネットと、内部ネットワークであるイントラネットとの接続部分に、特許文献１で示すような防火壁手段としてのファイアウォールが設置される。ファイアウォールは、その装置自体にネットワーク間でやり取りされる通信データを監視する機能を備えており、どのような監視を行うのかは使用者が個別に定義できる。したがって、使用者にとって想定しない通信要求や不必要な通信要求があった場合に、これをファイアウォールで自動的に遮断することが可能になる。
【０００３】
一方、これまでのコンピュータ情報システムでは、ファイアウォールを接続した内部ネットワーク毎に、そのファイアウォールを所定の手順で動作させるためのパッケージソフトウェアをインストールする必要があった。そのため、内部ネットワークの管理者は、必要に応じてパッケージソフトウェアの設定変更やバージョンアップをいちいち行わなければならなかった。
【０００４】
こうした問題について、例えば特許文献２には、各ＬＡＮ毎に接続された複数のファイアウォールに対し、集中制御手段となる共通の動的ファイアウォール環境提供サーバを配置し、このサーバが保有する推論エンジンによって、一定のＬＡＮに不正アクセスが頻繁に発生した場合に、当該ファイアウォールの設定を動的に変更して、外部からの侵入に対する防御体制の最適化を図るセキュリティ管理装置が提案されている。
【特許文献１】特開２００２−２２３２５４号公報
【特許文献２】特開２００２−１９６９９３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記引用文献２に示すものは、共通の動的ファイアウォール環境提供サーバにより認証・接続される複数のファイアウォールを、一纏めの単位として管理することができる反面、ファイアウォールでインシデントとして検出された通信データを一定の条件の下に全て遮断しても、悪意のない侵入者は自身が他所に不正アクセスをしていることに気付いていないので、無意識のうちに他のネットワークへの侵入被害を拡大させてしまう、という問題が発生する。
【０００６】
そこで本発明は上記問題点に鑑み、他のネットワークへの不正アクセスによる侵入被害の拡大を未然に防ぐことができるセキュリティ管理装置を提供することをその目的とする。
【課題を解決するための手段】
【０００７】
本発明の請求項１では、通信ネットワーク間でやり取りされる通信データを監視し、意図しない通信データを遮断する複数のファイアウォール手段に通信手段を介して接続され、前記ファイアウォール手段の設定を動的に変更する制御情報を該ファイアウォール手段に送出するセキュリティ管理装置において、前記各ファイアウォール手段で記録した通信データの履歴情報を収集し、対処すべき通信データを発信した発信元に対して警告情報を送付する通知手段を備えている。
【０００８】
この場合、各ファイアウォール手段で記録される通信データのやり取りを、通信手段を利用して履歴情報として収集することができるので、この履歴情報を元に、どの発信元の通信データを遮断するのかというファイアウォール手段の設定を適確に変更することが可能になる。しかも、履歴情報の分析結果から、再度アクセスを試みようと企てようとする対処すべき通信データの発信元の宛先を割り出し、その宛先に警報情報を送付するので、悪意のない発信元であれば、送付された警報情報を元に意図しないアクセスが行われないような対策が施され、他のネットワークへの侵入被害を最小限に食い止めることができる。
【０００９】
本発明の請求項２では、前記履歴情報を管理して前記発信元への対処に段階を設定し、この段階に応じた通知送付を前記通知手段で行なうと共に、前記ファイアウォール手段の設定を変更するように構成している。
【００１０】
このようにすると、各ファイアウォールから取得した履歴情報に基づいて、個々の発信元の対処に関しそれぞれ段階を設定し、その設定した段階に応じた通知送付と、ファイアウォールに対する静的な設定変更が行なわれるようになる。したがって、個々の発信元に応じた最適な対処と、各ファイアウォールに対する適確な制御を実行することができる。
【発明の効果】
【００１１】
本発明の請求項１におけるセキュリティ管理装置によれば、他のネットワークへの不正アクセスによる侵入被害の拡大を未然に防ぐことができる。
【００１２】
本発明の請求項２におけるセキュリティ管理装置によれば、個々の発信元に応じて最適な対処を行なえると共に、各ファイアウォールに対し適確な制御を行なうことができる。
【発明を実施するための最良の形態】
【００１３】
以下、本発明における好ましい実施例について、添付図面を参照しながら説明する。図１は、本発明におけるセキュリティ管理装置とその周辺のハードウェア構成を示すものである。同図において、１は広域ネットワークとして外部に設けられたインターネット、２はインターネット１に接続する内部ネットワークとしてのイントラネットであり、このイントラネット２には、例えばＷｅｂサーバやメールサーバなどのサービス提供用のサーバ３や、イントラネット２内においてサーバ３からの提供を受けるクライアント４，５などが接続される。また前記インターネット１には、例えば個人用のホストコンピュータ６や、悪意の有る無しに拘らず、インターネット１を経由して不正なアクセスを試みようとする攻撃者のコンピュータ８なども多数接続される。このようにインターネット１には、種々の通信機器を接続することができるが、こうした通信機器がどのような形態でインターネット１に接続するのかについては、特に限定しない。
【００１４】
11は、セキュリティの対象となるイントラネット２やホストコンピュータ６と、インターネット１との間の接続部分に設けられるファイアウォールである。なお、ここではファイアウォール11で区画された通信機器側の領域を内部ネットワーク７と呼ぶ。すなわちファイアウォール11は、異なる通信ネットワークであるインターネット１と内部ネットワーク７との間で、予め決められたルール（規則）に従って、意図した通信データのみを通過させ、それ以外の意図しない通信データの通過を遮断するのに設けられる。特に、ここでの各ファイアウォール11は、インターネット１から内部ネットワーク７に送られてきた全ての通信データの内容を履歴情報として記録し、必要に応じて出力する機能を備えたものが好ましい。また、ファイアウォール11は独立した外部機器としてではなく、例えばホストコンピュータ６の内部に設けられてもよい。
【００１５】
21は、通信手段であるインターネット１を介して複数のファイアウォール11と通信可能に接続されるインシデント管理装置である。このインシデント管理装置21は、ファイアウォール11の設定を動的に変更するセキュリティ管理装置に相当するもので、いわば各ファイアウォール11に共通の管理サーバとして通信ネットワークシステムに設けられている。そのため、ファイアウォール11で区画された各内部ネットワーク７では、そのファイアウォール11を所定の手順で動作させるためのパッケージソフトウェアをインストールする必要がない。
【００１６】
図２は、インシデント管理装置21内部の機能的な構成を示したものである。同図において、本実施例のインシデント管理装置21は、装置のコア（中核）となる基幹処理手段として、各ファイアウォール11から収集された履歴情報を基に、管理者が想定していない通信データであるインシデントの内容を分析し、そのインシデントの発信元である組織を特定すると共に、特定した発信元に対して警報情報としてのメール通知を行わせる対処手段31を備えている。またこの対処手段31とは別に、各ファイアウォール11で発生したインシデントの分析情報を管理したり、インシデント管理装置21全体の管理を行ったり、インシデント管理装置21からのメール通知を受けて、攻撃者のコンピュータ８からインターネット１を経由してメール返信があった場合に、この返信メールの蓄積管理を指示する管理手段32と、発生したインシデントが既に定義済のインシデントであった場合、若しくは警報情報をメール通知したにも拘らず、攻撃者のコンピュータ８から何等返答が得られない場合に、従属する全てのファイアウォール11に対し、その発信元からの通信データを遮断するように指示する閉鎖指示情報を通知する閉鎖手段33と、管理手段32からの指示を受けて、インシデントを発生させたコンピュータ８からの返信メールを蓄積管理する専用アプリケーションとしてのメールビューア手段34とを備えている。
【００１７】
より詳細には、対処手段31はソフトウェア上の機能として、各ファイアウォール11からの履歴情報（ログ）を順に収集するログ収集部36と、ログ収集部36で収集記憶した履歴情報に基づき、接続拒否された通信データの内容を分析する分析部37と、この分析部37による分析結果からインシデントの発信元である管理組織を割り出す管理組織割出部38とをそれぞれ備えている。また管理手段32は、図示しない表示手段を利用して、インシデント管理装置21の動作状況の概要を表示させたり、統計的および詳細な各種情報を表示させる機能を有する他、キーボードやマウスなどの入力手段（図示せず）を利用して、後述する分類項目の「削除」や「様子見」を変更したり、管理手段32に登録された情報を修正したり、スタッフアサインや攻撃者のコンピュータ８へのメール再配信を指示する機能を備えている。さらに管理手段32は、メールビューア手段34の起動手段としての役割を果たしている。
【００１８】
メールビューア手段34は、インターネット１を通じて攻撃者のコンピュータ８を受け取って一元的に管理するメール受信手段39を備えている。メール受信手段39は、定型返信やワンクリック返信などのメール管理を容易にするメール管理手段の他に、後述する対処完了投入や、それに伴なう閉鎖サイトの削除および対処ステータスの変更を対処結果として指示する対処結果通知手段を備えている。
【００１９】
閉鎖手段33は、前述のように各ファイアウォール11に対して、ファイアウォール11の設定を動的に変更する閉鎖指示情報（制御情報）を通知する機能を有するが、これは実際には、あるファイアウォール11において定義済インデントが発生した場合に、全てのファイアウォール11で該当する発信元からの通信データを即座に遮断させる動的閉鎖指示情報と、メールビューア手段34から受け取った対処結果に基づき、不良と判断されたネットワークからの通信データを全てのファイアウォール11で遮断する静的閉鎖指示情報とからなる。
【００２０】
次に図３〜図７を参照しながら、上記システム構成におけるインシデント管理装置21の動作手順を説明する。
【００２１】
先ず、対処手段31の概略的な処理手順を図３に基づき説明する。本実施例のインシデント管理装置21は、契約ユーザーの各ファイアウォール11から履歴情報であるログを収集する手順（ステップＳ１）と、収集した履歴情報を元に接続拒否された通信データを持つ発信元を収集して、その通信データの内容をデータベース化する一次分析の手順（ステップＳ２）と、一次分析で登録したデータベース情報を基にして、定義済のフィルタリング規則に従ってインシデントを分類登録する二次分析の手順（ステップＳ３）と、二次分析において対処が必要なインシデントの組織を割り出し、その組織のインデント対応窓口，技術担当者および管理者宛てにインシデントの内容と発信元の対処状況を示す通知をメール送信する組織割出・通知送信の手順（ステップＳ４）を順に処理実行する。
【００２２】
続いて、上記各ステップＳ１〜Ｓ４における処理手順の詳細を説明する。図４は、対処手段31のログ収集部36が実行するステップＳ１のログ収集手順を詳しく説明したものである。同図において、ステップＳ１１では、ログ収集部36のサーバ上で一定時刻毎に履歴情報を確定できるようにロール時刻の設定が行われる。ロール時刻の設定および変更は、センター側のインシデント管理装置21に備えた入力手段の操作により行なうことができる。以後、インシデント管理装置21は、ステップＳ１２において、設定したロール時刻に合せて各ファイアウォール11からリアルタイムに履歴情報を取得し、重複するインデントの検出やデータ不良を回避する。また、ログ収集部36が取得した履歴情報は、そのまま分析部37のサーバに転送される（ステップＳ１３）。なお、ファイアウォール11からインシデント管理装置21に至る通信経路が安全なネットワークである場合は、履歴情報の転送にＦＴＰ（File Transfer Protocol）を利用するが、そうでないネットワークを経由する場合には、途中での傍受や改竄を考慮して、ログイン情報や通信内容の暗号化を行なうＳＣＰ（ＳＳＨ）を利用した上で、履歴情報の転送を行なうのが好ましい。
【００２３】
図５は、対処手段31の分析部37が主に実行するステップＳ２の一次分析手順を詳しく説明したものである。同図において、ステップＳ２１では直前に取得した履歴情報（ログファイル）が開かれ、ファイアウォール11の機種毎に異なる固有形式のログファイルが、共通する内部形式に変換される（ステップＳ２２）。そして、次のステップＳ２３では、この変換したログファイルの接続結果から、各通信データ（パケット）について、ファイアウォール11で接続が「拒否（Deny）」されたものか否かを抽出する。ここで、「拒否」の動作を発生させた通信データが見つかれば、それが一次分析で排除できないものと判断して、その通信データの発信元のＩＰアドレスを抽出する（ステップＳ２４）。上記ステップＳ２２〜ステップＳ２４の各手順は、各ファイアウォール11からの全てのログファイルについて行われ（ステップＳ２５）、結果的に分析部37のサーバには、各ファイアウォール11で接続が「拒否」された全ての発信元ＩＰアドレスが記憶登録される。なお、接続が「拒否」された通信データでも、その通信データのＩＰアドレスが、例えばローカルアドレスや特定のアドレスなど、予め対処手段31で定義されている定義済アドレスと一致していれば、ステップＳ２４における発信元のアドレス登録は行わない。これにより、分析部37のサーバに必要最小限のアドレス登録を行なうことが可能になる。
【００２４】
こうして、各ファイアウォール11からの全てのログファイルについて、接続が拒否された全ての発信元アドレスが記憶登録されると、分析部37は再度ログファイルを開けて（ステップＳ２６）、各ログファイル毎に共通する内部形式への変換を行なう（ステップＳ２７）。そして、変換されたログファイル内の各通信データ（パケット）において、前記ステップＳ２４において登録された発信元アドレスと一致するパケットがあれば、それを繋ぎ合わせてデータベースに登録する（ステップＳ２８，２９）。上記ステップＳ２７〜ステップＳ２９の各手順は、各ファイアウォール11からの全てのログファイルについて行われ（ステップＳ３０）、結果的にこのデータベースには、ステップＳ２４で登録された発信元ＩＰアドレスについて、ファイアウォール11が接続を「許容（Allow）」したパケットと、ファイアウォール11が接続を「拒否（Deny）」したパケットの全てが記録され、攻撃者のコンピュータ８がどのようなアクセスを試みていたのかを、複数のファイアウォール11からの履歴情報に基づき把握することが可能になる。最後に分析部37は、ログファイルを閉じて一次分析の手順を終了する（ステップＳ３１）。
【００２５】
図６は、対処手段31の分析部37が主に実行するステップＳ３の二次分析手順を詳しく説明したものである。同図において、最初のステップＳ４１では、前記ステップＳ２９で作成されたデータベースが開かれ、一次分析で登録された攻撃者のコンピュータ８からの各パケットデータについて、ステップＳ４２，Ｓ４３における「アドレススキャン」と、ステップＳ４４，Ｓ４５における「ポートスキャン」の状況確認が行なわれる。
【００２６】
「アドレススキャン」や「ポートスキャン」は、攻撃者のコンピュータ８が管理の手薄な内部ネットワーク７を探す手法として知られており、攻撃を行なうための前哨手段として利用される。「アドレススキャン」は、特定のポート番号を複数のホスト（例えばサーバ３やホストコンピュータ６）に対して要求する攻撃手段で、これにより稼動中のＩＰアドレスを特定することができる。この「アドレススキャン」では、連続的若しくは非連続にＩＰアドレスを走査して、それに応答するパケットを収集する。その結果、攻撃者は対象とした範囲内で目的のサービスを提供しているホストの存在有無を知ることができると共に、合せてOS Fingerprinting（そのホストが使用するオペレーティングシステムの割り出し）やバージョン情報の取得なども行うことができる。
【００２７】
一方、「ポートスキャン」は、特定のホストに対しどのようなサービスが提供されているのかを調査するもので、ＩＰアドレスを固定して、探したいポート番号（例えばSMTPならば25，HTTPならば80，POP３ならば110など）により通信要求を行うことにより、そのサービスが当該ホストで開放されているか否かを知ることができる。
【００２８】
そこで、こうした攻撃を企てようとする想定していない通信データを見極めるために、ステップＳ４２では、同一の発信元の通信データについて、対象となった送信先のＩＰアドレスの数が予め設定された定義数以上であるか否かを判断する。そして、対象となる同一のＩＰアドレスに定義数以上の執拗なアクセスがあった場合には、その発信元の通信データをインシデントとして登録する（ステップＳ４３）。またステップＳ４４では、同一の発信元の通信データについて、対象となったポートの送信数が予め設定された定義数以上であるか否かを判断する。そして、対象となる同一のポートに対し定義数以上の執拗なアクセスがあった場合にも、その発信元の通信データをインシデントとして登録する（ステップＳ４５）。一方、データベースに登録された通信データの中で、対象となるＩＰアドレスやポートの数が定義数未満であったものについては、別の様子見テーブルにより分析確認が行われる（ステップＳ４６）。ここでは、ステップＳ４３，４５でインシデントとして登録されなかった各発信元の通信データについて、以前に様子見データとして登録されていたものか否かの判断が行われる（ステップＳ４７）。仮に、様子見データとして登録されていないものであれば、様子見データとして登録し（ステップＳ４８）、各ファイアウォール11に対する監視を継続する。逆に、すでに様子見データとして登録された発信元の通信データであれば、以前記録した情報を加えて分析し、その分析結果によりインシデントとしてその通信データを登録する（ステップＳ４９）。
【００２９】
このように本実施例では、ファイアウォール11のいずれかで接続拒否となった発信元の通信データ（パケット）に対し、その送信先のアドレスとポートが定義数に満たないものについては、即座にインシデントとしての登録を行わず、一端様子見データとしてその情報を保存し、次に同様の通信データが発信元から送られた時に、そのデータをインシデントとして登録することで、特に対象ホストを長時間かけて探す「スロースキャン」に対応できるようにしている。
【００３０】
またこの二次分析では、分析部37に備えた内部規則に従って複数の分類項目に分類する。本実施例では、データベースに記録された通信データが、「対処（Fight）」，「様子見（Suspend）」，「削除（Remove）」の３種類の分類項目のいずれかに分類される。ステップＳ４３，４５，４９でインシデント登録された通信データは、「対処（Fight）」の分類項目に属する対処活動の必要なものである。また、ステップＳ４８で登録された「様子見（Suspend）」の通信データは、前述のようにスロースキャンに対応するもので、将来発生する同型のパケットと合算して分類するための基礎データとして利用される。
【００３１】
こうして、データベースに登録された全ての通信データの分析がステップＳ５０で完了したら、ステップＳ５１にて当該データベースを閉じて、二次分析としての一連の処理を終了し、次の組織割出の手順に移行する。
【００３２】
図７は、対処手段31の管理組織割出部38が主に実行するステップＳ３の二次分析手順を詳しく説明したものである。同図において、ここでは先ず管理組織割出部38により前記データベースが開かれ（ステップＳ６１）、次のステップＳ６２において、各通信元の通信データについて、最終対処日が定義日よりも以前であるか否かを判断する。ここでいう「最終対処日」とは、ファイアウォール管理装置21から組織の管理者に警報情報を最後に通知した日を意味し、最終対処日が定義日に達しておらず一定期間を経過していなければ、ステップＳ６３にて、その通信データが「対処済」であることを投入し、再対処を実施しない。このように、警報情報の通知直後に再度その発信元からのアクセスがあった場合でも、警報情報の再通知を行わない理由は、組織の管理者に連絡してから返答があるまでのタイムラグ（対応待ち時間）を考慮するためで、不必要な通信トラフィックを増加させない利点がある。
【００３３】
また管理組織割出部38は、次のステップＳ６４において、通信データの各通信元（攻撃者のコンピュータ８およびネットワーク）がすでに「閉鎖済」のステータスに設定されているか否かを判断する。もし、「閉鎖済」のステータスが設定されていれば、その通信データが「閉鎖済」であることを投入し、再対処を実施しない（ステップＳ６５）。因みに、「閉鎖済」のステータスは、警報情報を何度送っても対策がとられない発信元の通信データに設定される。対処手段31は、各ファイアウォール11にアクセスする通信データと、メールビューア手段34で受け取られる発信元からのメール受信情報に基づいて、各発信元の通信データに対し個々にステータスを設定し、「閉鎖済」のステータスに属する発信元については、そこからのデータアクセスを遮断するように、全てのファイアウォール11に動的閉鎖情報や静的制御情報を送出している。
【００３４】
次に管理組織割出部38は、ステップＳ６６において、各発信元の通信データについて対処経験があるか否かを判断し、対処経験のない通信データについては、組織割出のために公開されているWHOISサーバから、インターネット１を通じて発信元のＩＰアドレスに対応した管理組織情報を取得する（ステップＳ６７）一方で、対処経験のある通信データについては、最初に取得した管理組織情報をそのままデータコピーする（ステップＳ６８）。そしてステップＳ６９では、対処の必要なインシデントの通信データについて、必要なデータが完備されているか否か、すなわち発信元のメールアドレスを完全に取得できたか否かを判断し、データが完備したものについて、どのようなインシデントの内容が発せられていて、どのような対処状況が取られているのかを示す警報情報が、電子メールにより発信元に通知される（ステップＳ７０）。なお、前記ステップＳ６７のWHOISサーバを利用した検索で、発信元のメールアドレスが特定できない場合は、手動によるメール通知が行われると共に、ステップＳ７０の通知送付は、WHOISサーバを利用した検索の一連の流れ中に処理実行される。いずれにせよ、通知は複数言語により行われる。
【００３５】
こうして、データベースに登録された全ての通信データの分析がステップＳ７１で完了したら、ステップＳ７２にて当該データベースを閉じる。
【００３６】
図８は、インシデント管理装置21に備えた表示手段41の一表示形態を示している。ここでの表示制御は管理手段32を起動することにより行われるもので、表示手段41には各インシデントの詳細を示すインシデント詳細表示部42が表示される。このインシデント詳細表示部42は、攻撃者のＩＰアドレスを表示するＩＰアドレス表示部43と、現在の設定されているステータスを表示するステータス表示部44と、許容（Allowed）および拒否（Denied）されたパケット数を表示するパケット数表示部45と、許容（Allowed）および拒否（Denied）された各ホスト数と共に、それらを合計した全ホスト数を表示するホスト数表示部46と、許容（Allowed）および拒否（Denied）された各ポート数と共に、最少数と最大数のポート番号を表示するポート表示部47と、通信データのアクセス間隔を表示するタイムススパン表示部48と、割出した組織名を表示する組織表示部49と、最終対処の日時を表示する最終対処日時表示部50と、対応完了の日時を表示する対応完了日時表示部51と、発信元のアサイン番号を表示するアサイン番号表示部52と、メールやCSIRT（Computer Security Incident Response Team）による送信先を表示する送信先表示部53などを備えて構成される。
【００３７】
図８に示すように、インシデント管理装置21の管理手段32を立ち上げると、表示手段41にインシデント詳細表示部42が表示され、インシデントとして登録された各発信元の通信データの詳細を閲覧することができる。また、各インシデントには固有のステータスが設定されており、本実施例では「None（未対処）」，「1st（初回対処）」，「2nd（再発対処）」，「3rd（警告−閉鎖予告）」，「4th（閉鎖）」の５段階が用意されており、対処回数や発信元からの返信に応じて個々のインシデントのステータスが段階的に変更される。そして、最上位の「4th（閉鎖）」のステータスでは、インシデント管理装置21からの閉鎖情報によって全ファイアウォール11にてアクセスが拒否されると共に、管理組織から「対応した」という連絡が入ると、ステータスは最上位以外の「1st（初回対処）」にまで引き下げられ、閉鎖状態にあった場合は閉鎖状態が解除される。
【００３８】
また、前記ステップＳ６７における組織の特定で、管理組織や前述のCSIRTからインシデント管理装置21に何らかの応答があったときに、各組織の管理番号が割り振られる場合があるが、この管理番号をアサイン番号として登録すると、再発対処時に割り当てられた番号を含んだ通知を送信することができる。さらに、この図８ではインシデントとして登録された発信元の通信データを表示しているが、これを様子見データに変更したり、通信データそのものを削除したり、登録した内容の変更などもこの表示画面を見ながらキー入力により行なうことができる。
【００３９】
図９は、メールビューア手段34の起動後における表示形態を示している。このメールビューア手段34は、インシデントの発信元からの返信メールを管理する機能などを備えていて、図９には返信メールの件名，日時，送信者，宛先などを示すヘッダ表示部55と、発信元からのメッセージを示すメッセージ表示部56と、インシデントの概要を示すインシデント概要表示部57とを備えている。このメールビューア手段34は、インシデント管理装置21の管理者が最も頻繁に利用するものであり、業務の効率を図るように上記各表示部55〜57が配置される。
【００４０】
以上のように本実施例は、例えばインターネット１と内部ネットワーク７などの通信ネットワーク間でやり取りされる通信データを監視し、意図しない通信データを遮断する複数のファイアウォール手段としてのファイアウォール11に通信手段（インターネット１）を介して接続され、ファイアウォール11の設定を変更する制御情報を各ファイアウォール手段11に送出するインシデント管理装置21において、各ファイアウォール11で記録した通信データの履歴情報を収集する機能し、対処すべき通信データを発信した発信元に対して警告情報を送付する通知手段（対処手段31およびメールビューア手段34）を備えている。
【００４１】
これにより、各ファイアウォール11で記録した通信データのやり取りを、インターネット１を利用して履歴情報として収集することができるので、この履歴情報を元に、どの発信元の通信データを遮断するのかというファイアウォール11の設定を適確に変更することが可能になる。しかも、履歴情報の分析結果から、再度アクセスを試みようと企てようとする対処すべき通信データの発信元の宛先を割り出し、その宛先に警報情報を送付するので、悪意のない発信元であれば、送付された警報情報を元に意図しないアクセスが行われないような対策が施され、他のネットワークへの侵入被害を最小限に食い止めることができる。
【００４２】
また本実施例では、履歴情報を管理して発信元への対処に段階的に変更可能なステータス（状態）を設定し、この段階に応じた警報情報の通知送付を前記対処手段31やメールビューア手段34からなる通知手段で行なうと共に、ファイアウォール手段の設定を静的に変更するように構成している。
【００４３】
このようにすると、インシデント管理装置21は、各ファイアウォール11から取得した履歴情報に基づいて、各発信元の対処に関し個別の段階を設定し、その設定した段階に応じた通知送付と、ファイアウォール11に対する静的な設定変更を行なうようになる。これにより、個々の発信元に応じた最適な対処と、各ファイアウォールに対する適確な制御を実行することができる。
【００４４】
その他本実施例では、メールビューア手段34が警告情報を送付した後、一定期間が経過するまでは再度の警報情報の送付を見合わせ、一定期間が経過したときに再度インシデントを検出した場合に、再度の警報情報を対処すべき通信データを発信した発信元に対して送付するように構成している。
【００４５】
発信元が最初の警報情報を受け取ってから、メールビューア手段34に返答するまである程度のタイムラグが生じるので、それまでは再度の警報情報の送付を見送ることで、不必要な警報情報の送付による通信トラフィックの増加を防ぐことができる。
【００４６】
また本実施例では、前記警報情報の通知回数が定義数を超え、かつ発信元から返信のない場合に、全てのファイアウォール11に対してその発信元からのアクセスを遮断する制御情報を送出するように構成している。
【００４７】
警報情報を何回も送付しているにも拘らず、発信元から何等返信が得られない通信データは、インシデント管理装置21で悪意のある発信元或いは管理の行き届いていないインシデント発生源であると判断する。こうすることで、ファイアウォール11を通して内部ネットワーク７に侵入しようとする通信データを完全に遮断することができる。
【００４８】
なお、本発明は上記各実施例に限定されるものではなく、種々の変形実施が可能である。本実施例では、「ポートスキャン」，「アドレススキャン」のそれぞれについて、対処活動を実施する例を示したが、それ以外のスキャン方法においても、独自の対処機能を組み込むことで対応することが可能である。また、インシデントの段階についても、実施例中のものに限られない。
【図面の簡単な説明】
【００４９】
【図１】本発明の好ましい実施例におけるインシデント管理装置とその周辺のシステム構成図である。
【図２】同上、インシデント管理装置の機能構成を示すブロック図である。
【図３】同上、対処手段の大まかな処理手順を示すフローチャートである。
【図４】同上、ログ収集の処理手順を示すフローチャートである。
【図５】同上、一次分析の処理手順を示すフローチャートである。
【図６】同上、二次分析の処理手順を示すフローチャートである。
【図７】同上、組織割出および通知送信の処理手順を示すフローチャートである。
【図８】同上、インシデント管理装置に備えた表示手段の表示形態を示す正面図である。
【図９】同上、インシデント管理装置に備えた表示手段の別な表示形態を示す正面図である。
【符号の説明】
【００５０】
１  インターネット（通信手段，通信ネットワーク）
７，７Ａ  内部ネットワーク（通信ネットワーク）
11，11Ａ  ファイアウォール（ファイアウォール手段）
31  対処手段（通知手段）
34  メールビューア手段（通知手段）
【図１】
2005109847.tif 000003
【図２】
2005109847.tif 000004
【図３】
2005109847.tif 000005
【図４】
2005109847.tif 000006
【図５】
2005109847.tif 000007
【図６】
2005109847.tif 000008
【図７】
2005109847.tif 000009
【図８】
2005109847.tif 000010
【図９】
2005109847.tif 000011