(57)【要約】【課題】  ネットワーク型侵入検知システムの不正アクセス検出機能を利用して自動的にファイアウォールのポリシを更新するポリシ管理装置を設け、不正アクセスの防御を自動的に実行して管理者の負荷を軽減し、さらに市販製品を利用して実現可能とすること。【解決手段】  ポリシ保持部１３に保持されたポリシに従って外部からのアクセスを制限するファイアウォール装置１０と、ＤＭＺセグメント１８に置かれ不正アクセスを検出してログをポリシ管理装置３０に通報する侵入検知装置２０と、内部セグメント１９に置かれログを自形式のログに変換するログ形式変換部３１と、変換したログに基づいて不正アクセスを禁止するポリシを作成するポリシ作成部３３と、作成したポリシをファイアウォール装置１０形式のポリシに変換してファイアウォール装置１０に送ってポリシ保持部１３に適用するポリシ形式変換部３４を有するポリシ管理装置３０とを有する。【選択図】      図１
2005071218.tif 000002
【特許請求の範囲】
【請求項１】
防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを設定可能なルールであるポリシに従って制限するファイアウォール装置と、
防御対象システム内部にあって外部からの不正アクセスを検出する侵入検知装置と、
防御対象システム内部にあって前記侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成し前記ファイアウォール装置が参照するポリシとして適用するポリシ管理装置とを有することを特徴とする不正アクセス防御システム。
【請求項２】
防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを設定可能なルールであるポリシに従って制限するファイアウォール装置と、
外部からのアクセスが可能なＤＭＺセグメントに置かれ外部からの不正アクセスを検出する侵入検知装置と、
外部からのアクセスが不可能なセグメントに置かれ前記侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成し前記ファイアウォール装置が参照するポリシとして適用するポリシ管理装置とを有することを特徴とする不正アクセス防御システム。
【請求項３】
前記ポリシ管理装置は、前記侵入検知装置が検出した不正アクセス情報を受け取ると前記ポリシ管理装置の形式の情報に変換してからポリシを作成し、作成したポリシを前記ファイアウォール装置の形式のポリシに変換して前記ファイアウォール装置に送り、前記ファイアウォール装置のポリシとして適用することを特徴とする請求項１又は２の不正アクセス防御システム。
【請求項４】
防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するルールであるポリシに従ってアクセス制限するファイアウォール装置と、外部からのアクセスが可能なＤＭＺセグメントに置かれる侵入検知装置と、外部からのアクセスが不可能なセグメントに置かれるポリシ管理装置とを有する不正アクセス防御システムであって、
前記ファイアウォール装置は、外部からのアクセスの実行の可否を定義するポリシを保持するポリシ保持部を有し、外部からのアクセスに対してポリシ保持部を参照してそのアクセスが禁止されている場合にそのアクセスの実行を拒絶し、
前記侵入検知装置は、ＤＭＺセグメントを監視して外部からの不正アクセスを検出すると不正アクセス情報をログとして作成し前記ポリシ管理装置に通報し、
前記ポリシ管理装置は、前記侵入検知装置から通報されたログをポリシ管理装置形式のログに変換し、変換したログに基づいて不正アクセスを禁止するポリシを作成し、作成したポリシを前記ファイアウォール装置式のポリシに変換して前記ファイアウォール装置に送って前記ポリシ保持部に適用することを特徴とする不正アクセス防御システム。
【請求項５】
防御対象システム内部にあって外部からの不正アクセスを検出する侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成し、防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置がアクセス制限ルールとして参照するポリシに適用することを特徴とするポリシ管理装置。
【請求項６】
防御対象システム内部にあって外部からのアクセスが可能なＤＭＺセグメントに置かれ外部からの不正アクセスを検出する侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成し、防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置がアクセス制限ルールとして参照するポリシに適用し、防御対象システム内部にあって外部からのアクセスが不可能なセグメントに置かれることを特徴とするポリシ管理装置。
【請求項７】
前記侵入検知装置が検出した不正アクセス情報を受け取ると前記ポリシ管理装置の形式の情報に変換してから不正アクセスを禁止するためのポリシを作成し、作成したポリシを前記ファイアウォール装置の形式のポリシに変換して前記ファイアウォール装置に送り、前記ファイアウォール装置のポリシとして適用することを特徴とする請求項５又は６のポリシ管理装置。
【請求項８】
防御対象システム外部からのアクセスが可能なＤＭＺセグメントに置かれＤＭＺセグメントを監視して外部からの不正アクセスを検出すると不正アクセス情報をログとして作成して通報する侵入検知装置からログを受け取ると自形式のログに変換し、
変換したログに基づいて不正アクセスを禁止するポリシを作成し、
作成したポリシを防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置に送り、ファイアウォール装置がアクセス制限の際に参照するポリシを保持するポリシ保持部に作成したポリシを適用することを特徴とするポリシ管理装置。
【請求項９】
防御対象システム内部にあって外部からの不正アクセスを検出する侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成し、防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置がアクセス制限ルールとして参照するポリシに適用することを特徴とする不正アクセス防御方法。
【請求項１０】
前記侵入検知装置が検出した不正アクセス情報を受け取ると自ら定めた形式の情報に変換してから不正アクセスを禁止するためのポリシを作成し、作成したポリシを前記ファイアウォール装置の形式のポリシに変換して前記ファイアウォール装置に送り、前記ファイアウォール装置のポリシとして適用することを特徴とする請求項９の不正アクセス防御方法。
【請求項１１】
防御対象システム外部からのアクセスが可能なＤＭＺセグメントに置かれＤＭＺセグメントを監視して外部からの不正アクセスを検出すると不正アクセス情報をログとして作成して通報する侵入検知装置からログを受け取ると自形式のログに変換し、
変換したログに基づいて不正アクセスを禁止するポリシを作成し、
作成したポリシを防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置に送り、ファイアウォール装置がアクセス制限の際に参照するポリシを保持するポリシ保持部に作成したポリシを適用することを特徴とする不正アクセス防御方法。
【請求項１２】
防御対象システム内部にあって外部からの不正アクセスを検出する侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成する手順と、防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置がアクセス制限ルールとして参照するポリシに適用する手順とをコンピュータに実行させることを特徴とするプログラム。
【請求項１３】
前記侵入検知装置が検出した不正アクセス情報を受け取ると自ら定めた形式の情報に変換してから不正アクセスを禁止するためのポリシを作成手順と、作成したポリシを前記ファイアウォール装置の形式のポリシに変換して前記ファイアウォール装置に送り前記ファイアウォール装置のポリシとして適用する手順とをコンピュータに実行させることを特徴とする請求項１２のプログラム。
【請求項１４】
防御対象システム外部からのアクセスが可能なＤＭＺセグメントに置かれＤＭＺセグメントを監視して外部からの不正アクセスを検出すると不正アクセス情報をログとして作成して通報する侵入検知装置からログを受け取ると自形式のログに変換する手順と、
変換したログに基づいて不正アクセスを禁止するポリシを作成する手順と、
作成したポリシを防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置に送り、ファイアウォール装置がアクセス制限の際に参照するポリシを保持するポリシ保持部に作成したポリシを適用する手順とをコンピュータに実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は不正アクセス防御システム、ポリシ管理装置、不正アクセス防御方法、及びプログラムに関し、特に、不正アクセスを検出した結果を様々な仕様のファイアウォール装置に自動的に適用して不正アクセスを防御する技術に関する。
【背景技術】
【０００２】
インターネットの普及により、ユーザがインターネットを利用するケースが増えてきている。インターネットは不特定多数の人間が利用できるが、悪意のあるユーザからの不正行為も度々見受けられる。不正な通信を防御・監視する手段としてファイアウォールとネットワーク型侵入検知システム（ＮＩＤＳともいう）がある。
【０００３】
ファイアウォールは予め決められた通信制御ルール（ポリシという）に基づいてアクセス制限を実行する。例えば電子メールやＦＴＰ（file transfer protocol）のアクセスのみを許可するようにポリシを決めておけば、これら以外の種類のアクセスは拒絶することができる。しかし、許可されたポリシ内での不正アクセス、例えば電子メール等、を防御する手段はなく、これらが不正アクセスを許す一因となっているのが実情である。
【０００４】
ネットワーク型侵入検知システムはネットワークのトラフィックを監視し、通常不正アクセスを発見するとアラームを管理者に通知する。不正アクセスを自動的に切断する機能をもつネットワーク型侵入検知システムも存在するが、誤検知等で正常な通信も切断する可能性があるため、利便性に乏しく、あまり実用的とはいえない
特開２０００−２６１４８３号公報では、その図１に示すように外部ネットワークと内部ネットワークを接続するルータに偽装サーバを接続する構成とし、不正アクセスを検出するとその送信元の情報をルータに保持し、ルータは不正アクセスした送信元からのアクセスがあると偽装サーバへ転送することにより不正アクセス元の逆探知等の対策をすることができる。
【０００５】
また、ファイアウォールとネットワーク型侵入検知システムの連携によってポリシを自動的に変更し不正なアクセスから防御する技術として、ＯＰＳＥＣ（Open Platform for Security）を使用したものが業界標準としてあるが、各ベンダから多数提供されているファイアウォール製品には自動更新機能が実装されていないのが実情である。
【０００６】
【特許文献１】特開２０００−２６１４８３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
インターネットからの不正アクセスに対しては、常に管理者がアクセスを監視し、早急に対応する必要があるが、従来のファイアウォールやネットワーク型侵入検知システムでは管理者により対策を実施するのに時間がかかり、また管理者の負担が大きいという問題があった。また、ファイアウォールとネットワーク型侵入検知システムの連携によりポリシを自動更新する手法が十分実用化されていないという問題があった。
【０００８】
本発明の目的は、ネットワーク型侵入検知システムの不正アクセス検出機能を利用して自動的にファイアウォールのポリシを更新する装置を設けることにより、不正アクセスの防御を自動的に実行して管理者の負荷を軽減することと、市販のファイアウォール適用製品やネットワーク型侵入検知システム適用製品を利用して不正アクセスを防御することを実現した不正アクセス防御システム、不正アクセス防御方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【０００９】
本発明の第１の不正アクセス防御システムは、防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを設定可能なルールであるポリシに従って制限するファイアウォール装置と、
防御対象システム内部にあって外部からの不正アクセスを検出する侵入検知装置と、
防御対象システム内部にあって前記侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成し前記ファイアウォール装置が参照するポリシとして適用するポリシ管理装置とを有することを特徴とする。
【００１０】
本発明の第２の不正アクセス防御システムは、防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを設定可能なルールであるポリシに従って制限するファイアウォール装置と、
外部からのアクセスが可能なＤＭＺセグメントに置かれ外部からの不正アクセスを検出する侵入検知装置と、
外部からのアクセスが不可能なセグメントに置かれ前記侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成し前記ファイアウォール装置が参照するポリシとして適用するポリシ管理装置とを有することを特徴とする。
【００１１】
本発明の第３の不正アクセス防御システムは、本発明の第１又は第２の不正アクセス防御システムにおいて、前記ポリシ管理装置は、前記侵入検知装置が検出した不正アクセス情報を受け取ると前記ポリシ管理装置の形式の情報に変換してからポリシを作成し、作成したポリシを前記ファイアウォール装置の形式のポリシに変換して前記ファイアウォール装置に送り、前記ファイアウォール装置のポリシとして適用することを特徴とする。
【００１２】
本発明の第４の不正アクセス防御システムは、防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するルールであるポリシに従ってアクセス制限するファイアウォール装置と、外部からのアクセスが可能なＤＭＺセグメントに置かれる侵入検知装置と、外部からのアクセスが不可能なセグメントに置かれるポリシ管理装置とを有する不正アクセス防御システムであって、
前記ファイアウォール装置は、外部からのアクセスの実行の可否を定義するポリシを保持するポリシ保持部を有し、外部からのアクセスに対してポリシ保持部を参照してそのアクセスが禁止されている場合にそのアクセスの実行を拒絶し、
前記侵入検知装置は、ＤＭＺセグメントを監視して外部からの不正アクセスを検出すると不正アクセス情報をログとして作成し前記ポリシ管理装置に通報し、
前記ポリシ管理装置は、前記侵入検知装置から通報されたログをポリシ管理装置形式のログに変換し、変換したログに基づいて不正アクセスを禁止するポリシを作成し、作成したポリシを前記ファイアウォール装置式のポリシに変換して前記ファイアウォール装置に送って前記ポリシ保持部に適用することを特徴とする。
【００１３】
本発明の第１のポリシ管理装置は、防御対象システム内部にあって外部からの不正アクセスを検出する侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成し、防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置がアクセス制限ルールとして参照するポリシに適用することを特徴とする。
【００１４】
本発明の第２のポリシ管理装置は、防御対象システム内部にあって外部からのアクセスが可能なＤＭＺセグメントに置かれ外部からの不正アクセスを検出する侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成し、防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置がアクセス制限ルールとして参照するポリシに適用し、防御対象システム内部にあって外部からのアクセスが不可能なセグメントに置かれることを特徴とする。
【００１５】
本発明の第３のポリシ管理装置は、本発明の第１又は第２のポリシ管理装置において、前記侵入検知装置が検出した不正アクセス情報を受け取ると前記ポリシ管理装置の形式の情報に変換してから不正アクセスを禁止するためのポリシを作成し、作成したポリシを前記ファイアウォール装置の形式のポリシに変換して前記ファイアウォール装置に送り、前記ファイアウォール装置のポリシとして適用することを特徴とする。
【００１６】
本発明の第４のポリシ管理装置は、防御対象システム外部からのアクセスが可能なＤＭＺセグメントに置かれＤＭＺセグメントを監視して外部からの不正アクセスを検出すると不正アクセス情報をログとして作成して通報する侵入検知装置からログを受け取ると自形式のログに変換し、
変換したログに基づいて不正アクセスを禁止するポリシを作成し、
作成したポリシを防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置に送り、ファイアウォール装置がアクセス制限の際に参照するポリシを保持するポリシ保持部に作成したポリシを適用することを特徴とする。
【００１７】
本発明の第１の不正アクセス防御方法は、防御対象システム内部にあって外部からの不正アクセスを検出する侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成し、防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置がアクセス制限ルールとして参照するポリシに適用することを特徴とする。
【００１８】
本発明の第２の不正アクセス防御方法は、本発明の第１の不正アクセス防御方法において、前記侵入検知装置が検出した不正アクセス情報を受け取ると自ら定めた形式の情報に変換してから不正アクセスを禁止するためのポリシを作成し、作成したポリシを前記ファイアウォール装置の形式のポリシに変換して前記ファイアウォール装置に送り、前記ファイアウォール装置のポリシとして適用することを特徴とする。
【００１９】
本発明の第３の不正アクセス防御方法は、防御対象システム外部からのアクセスが可能なＤＭＺセグメントに置かれＤＭＺセグメントを監視して外部からの不正アクセスを検出すると不正アクセス情報をログとして作成して通報する侵入検知装置からログを受け取ると自形式のログに変換し、
変換したログに基づいて不正アクセスを禁止するポリシを作成し、
作成したポリシを防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置に送り、ファイアウォール装置がアクセス制限の際に参照するポリシを保持するポリシ保持部に作成したポリシを適用することを特徴とする。
【００２０】
本発明の第１のプログラムは、防御対象システム内部にあって外部からの不正アクセスを検出する侵入検知装置が検出した不正アクセス情報に基づいて不正アクセスを禁止するためのポリシを作成する手順と、防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置がアクセス制限ルールとして参照するポリシに適用する手順とをコンピュータに実行させることを特徴とする。
【００２１】
本発明の第２のプログラムは、本発明の第１のプログラムにおいて、前記侵入検知装置が検出した不正アクセス情報を受け取ると自ら定めた形式の情報に変換してから不正アクセスを禁止するためのポリシを作成手順と、作成したポリシを前記ファイアウォール装置の形式のポリシに変換して前記ファイアウォール装置に送り前記ファイアウォール装置のポリシとして適用する手順とをコンピュータに実行させることを特徴とする。
【００２２】
本発明の第３のプログラムは、防御対象システム外部からのアクセスが可能なＤＭＺセグメントに置かれＤＭＺセグメントを監視して外部からの不正アクセスを検出すると不正アクセス情報をログとして作成して通報する侵入検知装置からログを受け取ると自形式のログに変換する手順と、
変換したログに基づいて不正アクセスを禁止するポリシを作成する手順と、
作成したポリシを防御対象システムと防御対象システム外部のネットワークとを接続し外部からのアクセスを制限するファイアウォール装置に送り、ファイアウォール装置がアクセス制限の際に参照するポリシを保持するポリシ保持部に作成したポリシを適用する手順とをコンピュータに実行させることを特徴とする。
【発明の効果】
【００２３】
ネットワーク型侵入検知システムの不正アクセス検出機能を利用して自動的にファイアウォールのポリシを更新する装置を設けることにより、不正アクセスの防御を自動的に実行して管理者の負荷を軽減するという効果と、様々なベンダのファイアウォール製品やネットワーク型侵入検知システム製品に容易に対応して不正アクセスを防御できるという効果がある。
【発明を実施するための最良の形態】
【００２４】
次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。図１のブロック図に示した本発明の不正アクセス防御システムの構成は、防御するシステムの外部にあるネットワークであるインターネット５０と、インターネット５０と防御対象となるシステムとを接続するファイアウォール装置１０と、ファイアウォール装置１０を介して外部からのアクセス可能なＤＭＺセグメント１８にある侵入検知装置２０と、外部からのアクセス不可能な内部セグメント１９にあるポリシ管理装置３０とからなり、外部からの不正アクセスを行う侵入者装置４０がインターネット５０に接続する。なお、通常のユーザ端末は図示しないがインターネット接続プロバイダ等が提供する接続装置を介してインターネット５０へ接続されるが、侵入者装置４０がどのようにインターネット５０へ接続するかは限定しない。
【００２５】
ファイアウォール装置１０は、予め決められた通信制御ルールであるポリシに基づいてインターネット５０からのアクセスを制限する機能を有する装置であり、一般に市販される装置でよい。ファイアウォール装置１０は、通信を制御する通信制御部１１と、外部からのアクセスに対して許可する条件と禁止する条件からなるポリシを保持するポリシ保持部１３と、ポリシ保持部１３に保持されるポリシの更新や参照を行うポリシ管理部１２とを有する。ポリシとしてはアプリケーションに対して制限したりアクセス元のアドレスに対して制限したりするものが含まれる。
【００２６】
ファイアウォール装置１０より内側は、外部からのアクセスが可能なネットワーク部分であるＤＭＺ(demilitarized zone）セグメント１８と、外部からのアクセスが不可能なネットワーク部分である内部セグメント１９とに分けられる。外部とは図１を参照するとインターネット５０と侵入者装置４０が相当する。外部からのアクセスを受け付けて情報を提供するウェブサーバや電子メールを受け付けるメールサーバ等はＤＭＺセグメント１８上に置かれ、外部からの直接のアクセスを禁止して保護すべき装置は内部セグメント１９上に置かれる。
【００２７】
侵入検知装置２０は、ＤＭＺセグメント１８上に置かれるネットワーク型侵入検知機能を搭載した装置であり、一般に市販される装置でもよく、また他の機能も併せ持った装置であってもよい。侵入検知装置２０は、ネットワーク型侵入検知システムとして不正アクセスを検出する不正アクセス検出部２１と、不正アクセスに関する情報であるログの作成やポリシ管理装置３０への通報機能を有するログ通報部２２とを有する。
【００２８】
ポリシ管理装置３０は、内部セグメント１９上に置かれ、侵入検知装置２０から通報される侵入検知装置２０形式のログをポリシ管理装置３０形式のログに変換するログ形式変換部３１と、変換後のログに基づいてポリシ作成に必要なパラメータをリストとして作成するリスト作成部３２と、作成したリストに基づいてポリシを作成するポリシ作成部３３と、作成したポリシを対象とするファイアウォール装置１０のポリシ形式に変換してファイアウォール装置１０に送信するポリシ形式変換部３４と、ポリシの変更の発生を電子メールでシステムの管理者に通報するメール送信部３５とを含む。
【００２９】
なお、ログ形式変換部３１、リスト作成部３２、ポリシ作成部３３、ポリシ形式変換部３４、メール送信部３５はプログラムで実現されるが、それぞれの一部又は全部をハードウェアで実現するようにしてもよい。また、ポリシ管理装置３０は内部セグメント１９に置かれるため、直接外部の新勇者装置４０からの侵入により攻撃されることがないので、信頼できるポリシを作成できる。
【００３０】
次に本発明の不正アクセス防御システムの動作を図面を参照して説明する。以降、侵入者装置４０から不正アクセスが行われた場合の動作について図２のフローチャートを参照して説明する。侵入者装置４０からインターネット５０を介してアクセスがあると、ファイアウォール装置１０の通信制御部１１はアクセス内容をポリシ管理部１２に対して問い合わせ、ポリシ管理部１２はポリシ保持部１３を参照してアクセス内容がポリシで禁止されていないか確認し結果を返す（Ｓ６１）。
【００３１】
通信制御部１１は確認結果を判定し（Ｓ６２）、禁止されていればそのアクセスを拒絶し、許可されていればＤＭＺセグメント１８へ転送する（Ｓ６３）。ここでは、外部アクセスを内部セグメントに転送することはなく、内部セグメントは保護されている。
【００３２】
侵入者装置４０からのアクセスがＤＭＺセグメント１８に転送されると侵入検知装置２０の不正アクセス検出部２１はそのアクセスを監視し（Ｓ６４）、そのアクセスが不正アクセスであることを検出すると（Ｓ６５）、ログ通報部２２が不正アクセスに関する情報をログとして作成し侵入検知装置２０内に保持するとともにポリシ管理装置３０へ送信する（Ｓ６６）。図３は、ログ通報部２２が作成したログの一例を示した図であり、検出時刻（Time）、発生した事象名（Event Name）、発信元（Source）、宛先（Destination）等の情報を含む。
【００３３】
ポリシ管理装置３０のログ形式変換部３１は、送信されたログの形式をポリシ管理装置３０で予め決められている形式に変換する（Ｓ６７）。ログ形式変換部３１は、市販される侵入検知装置２０のログ形式の種類に応じてログ形式を変換するための手順を備えており、通報元の侵入検知装置２０のログ形式の種類に従って変換を行う。この変換により異なる仕様の侵入検知装置２０に対してログを共通に処理できるようになる。図４はポリシ管理装置３０形式に変換した後のログの一例を示した図である。
【００３４】
リスト作成部３２は変換後のログに基づいてポリシ作成に必要な情報をリストとして作成する（Ｓ６８）。図５はリスト作成部３２が作成したリストの一例である。図５のように作成されたリストは発信元や宛先の情報（“Source Data”と“Destination Data”）からなるクライアント情報と、禁止条件となるルール情報とからなる。
【００３５】
ポリシ作成部３３は作成されたリストに基づいてファイアウォール装置１０における通信制御ルールであるポリシをポリシ管理装置３０の形式で作成する（Ｓ６９）。図６は作成されたポリシの一例である。図６のポリシでは、発信元が“PARSS0001”で宛先が“PARSD0001”の通信を禁止することを示しており、“PARSS0001”と“PARSD0001”の内容は図５に示した“Source Data”と“Destination Data”からなるクライアント情報で指定される。
【００３６】
ポリシ形式変換部３４はポリシ作成部３３で作成されたポリシをファイアウォール装置１０の形式に変換してファイアウォール装置１０へポリシの更新要求を送る（Ｓ７０）。ポリシ形式変換部３４は様々なファイアウォール装置１０の形式に対応して変換する機能を有し、ファイアウォール装置１０の形式に応じてポリシの形式を変換する。図７はファイアウォール装置１０形式に変換されたポリシの一例である。なお図７では図示しないが図５の“Source Data”と“Destination Data”からなるクライアント情報も必要に応じて形式変換され、ポリシ更新要求に伴ってファイアウォール装置１０へ送られる。
【００３７】
ポリシ管理装置３０では続いてメール送信部３５が予め決められた管理者宛にポリシの更新実行の通知と更新要求したポリシ情報を電子メールで送信する（Ｓ７１）。これにより管理者はポリシ管理装置３０で自動的にポリシ変更日時やポリシ変更内容が記述された電子メールを受信することによりポリシの変更情報を把握できシステムの管理が支障なく行える。
【００３８】
ファイアウォール装置１０の通信制御部１１はポリシ管理装置３０からポリシの更新要求を受けるとポリシ管理部１２へ渡し、ポリシ管理部１２がポリシ更新要求に基づいてポリシ保持部１３の内容を更新する（Ｓ７２）。この場合は図７に示したポリシがポリシ保持部１３に追加登録され、以降は発信元が“PARSS0001”で宛先が“PARSD0001”の不正アクセスの通信をファイアウォール装置１０が受け付けた場合ステップＳ６１によるチェックで許可されなくなり、不正アクセスを撃退し自らのシステムを防御することができる。
【００３９】
また、ポリシ管理装置３０は、侵入検知装置２０形式のログをポリシ管理装置３０の形式に変換してからポリシを作成し、作成したポリシをファイアウォール装置１０形式のポリシに変換してファイアウォール装置１０に設定するので、仕様が異なるファイアウォール装置１０と侵入検知装置２０の仕様に対しても形式変換することによりポリシの自動更新が可能となっている。従って、市販のファイアウォール装置１０や侵入検知装置２０を利用して本システムを実現することも可能である。
【００４０】
また、本発明のシステムではポリシを作成するポリシ管理装置３０が外部からのアクセスが禁止される内部セグメント１９に置かれるため、侵入者装置４０からの侵入や攻撃から防御され、信頼性の高いポリシを作成し、ファイアウォール装置１０へ適用することができる。
【図面の簡単な説明】
【００４１】
【図１】本発明の不正アクセス防御システムの構成を示したブロック図である。
【図２】本発明の不正アクセス防御システムの動作を示したフローチャートである。
【図３】侵入検知装置２０で作成された侵入検知装置２０形式のログの一例である。
【図４】ログ形式変換部３１で形式変換した結果のログの一例である。
【図５】リスト作成部３２で作成されたリストの一例である。
【図６】ポリシ作成部３３で作成されたポリシの一例である。
【図７】ポリシ形式変換部３４で形式変換したポリシの一例である。
【符号の説明】
【００４２】
１０    ファイアウォール装置
１１    通信制御部
１２    ポリシ管理部
１３    ポリシ保持部
２０    侵入検知装置
２１    不正アクセス検出部
２２    ログ通報部
３０    ポリシ管理装置
３１    ログ形式変換部
３２    リスト作成部
３３    ポリシ作成部
３４    ポリシ形式変換部
３５    メール送信部
４０    侵入者装置
【図１】
2005071218.tif 000003
【図２】
2005071218.tif 000004
【図３】
2005071218.tif 000005
【図４】
2005071218.tif 000006
【図５】
2005071218.tif 000007
【図６】
2005071218.tif 000008
【図７】
2005071218.tif 000009