(57)【要約】【課題】ＩＤＳだけに頼った不正アクセス検知手法ではなく、各種ネットワーク構成機器からの情報を使用して不正アクセスを見逃す可能性を低減する不正アクセス統合対応システムを提供する。【解決手段】広域コンピュータネットワークに接続されたサイト毎に、サイト内における複数種類の不正アクセスに関するセンサ及び構成機器の各種ログ情報を汎用化したログ形式で集約するログ集約手段Ｊ１と、集約されたログから複数種類のセンサ及び構成機器間のログを関連付けて不正アクセスを統合検知する統合検知手段Ｊ２と、を備えた。【選択図】図１
2005202664.tif 000002
【特許請求の範囲】
【請求項１】
広域コンピュータネットワークに接続されたサイト毎に、
サイト内における複数種類の不正アクセスに関するセンサ及び構成機器の各種ログ情報を汎用化したログ形式で集約するログ集約手段と、
集約されたログから複数種類のセンサ及び構成機器間のログを関連付けて不正アクセスを統合検知する統合検知手段と、
を備えたことを特徴とする不正アクセス統合対応システム。
【請求項２】
サイト毎に、
統合検知された統合検知情報を他サイトへ伝達する統合検知情報伝送手段と、
他サイトより伝達されてきた統合検知情報に基づき自サイトの統合検知情報を変更、追加設定する統合検知情報変更・追加設定手段と、
を備えたことを特徴とする請求項１に記載の不正アクセス統合対応システム。
【請求項３】
サイト毎に、
自サイトのネットワーク構成情報、ソフトウェア関連情報、不正アクセス関連のインシデント情報を格納した手段と、
これらの情報に基づき統合検知された不正アクセスによる被害予測を行う被害予測手段と、
統合対処手法を含む対処関連情報を格納する手段と、
システム可用性優先度情報を格納する手段と、
上記統合対処手法を含む対処関連情報およびシステム可用性優先度情報に基づき上記被害予測に対する効果的で弊害のない統合対処手法候補を抽出する統合対処手法候補抽出手段と、
を設けたことを特徴とする請求項１に記載の不正アクセス統合対応システム。
【請求項４】
サイト毎に、
抽出された上記統合対処手法候補を自動実行する統合対処手法自動実行手段と、
抽出された上記統合対処手法候補を表示し、表示された上記統合対処手法候補に基づいて外部から選択された上記統合対処手法候補を実行する統合対処手法手動実行手段と、
実行後の対処効果を監視する対処効果監視手段と、
を備え、上記監視の結果に従って上記統合対処手法自動実行手段および統合対処手法手動実行手段が対処追加や対処解除を行うことを特徴とする請求項３に記載の不正アクセス統合対応システム。
【請求項５】
サイト毎に、
上記対処関連情報および統合対処手法候補を他サイトへ伝達する対処関連情報伝送手段と、
他サイトより伝達されてきた対処関連情報および統合対処手法候補に基づき自サイトの対処関連情報および統合対処手法候補を変更、追加設定する対処関連情報変更・追加設定手段と、
を備えたことを特徴とする請求項３または４に記載の不正アクセス統合対応システム。
【請求項６】
特定のサイトが、
データを複数に分割しそれぞれ冗長パリティ情報とともに複数のサイトで分散保持させるデータ分散保持手段と、
分散保持された当該データをこれらのメモリ共有データエリアを介してメモリ上でコンテンツデータとして組立ててサービスするデータ集約展開手段と、
を備えたことを特徴とする請求項１ないし５のいずれか１項に記載の不正アクセス統合対応システム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワーク化されたコンピュータシステムの情報セキュリティを確保するための、不正アクセス等のサイバー攻撃に対する検知、判断、対処を行う不正アクセス対応システムに関するものである。
【背景技術】
【０００２】
従来、セキュリティ管理者に高度な知識や経験を要求することなく不正アクセス等を発見することができるログ処理として、複数の通信ログを記録可能なアプリケーションが出力した各分析対象ログファイルを、必要な場合所定のフォーマットに変換処理し、所定のフォーマットに変換された複数の分析対象ログを統合し、統合された後のログを分析することで不正アクセスの有無を判断するものがある(例えば特許文献１参照)。
【０００３】
【特許文献１】特開２０００−３１８７３４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来、一般には以下のような課題がある。
(１)不正アクセスの検知
侵入検知装置(以下「ＩＤＳ」と呼ぶ)に依存しており、ＩＤＳが検知できないものは不正アクセスに気付かないのが現状である。また、複数箇所に分散配置されたＩＤＳからの検知情報を個別に通知を受けることは可能であるが、複数の検知情報を統合的に判断することは不可能である。更に、ＩＤＳの検知能力は検知ルール(以下、「シグネチャ」と呼ぶ)の設定に依存しており、このシグネチャを適切に設定したか否かで不正アクセス検知度が変化するのが現状である。
【０００５】
従ってＩＤＳで検知できないものは、クライアントからの通報がない限り不正アクセスとして認識されない。また、ＩＤＳの検知能力はシグネチャの設定内容に依存するため、これを適切に設定することが重要であり、仮に適切な設定がなされていても異なるシグネチャは検知不可能である。また、ＩＤＳは「ＩＤＳ回避」と呼ばれる各種の不正アクセス通信手法を検知することが困難である。また、ＩＤＳはＩＤＳの接続されたネットワークのセグメントを流れる通信だけを監視するため、ＩＤＳが設置されていないセグメントを監視することはできず、ネットワーク情報システムを厳密に監視するには、全ネットワークセグメントに個々にＩＤＳを設置する必要がある。その場合、個々のＩＤＳからの検知情報を関連付けて総合的に検知判断することはＩＤＳ単体ではできない。また、あるサイト(ネットワーク上の１つのまとまりをもったサーバ群、端末群等からなるもの)のＩＤＳで検知された不正アクセス手法に対するシグネチャを、同様の不正アクセスを受ける可能性のある他のサイトのＩＤＳへ反映させる仕組みがなく、管理者等の人的作業にて実施しており、即応性、確実性において問題がある。
【０００６】
(２)不正アクセスへの対処判断(分析)
不正アクセスを検知した場合に、これらに対する対処の必要性の判断はシステム管理者や解析専門の技術者等の人間が、ＩＤＳ以外のサーバ等のログ分析等の他の情報分析を実施してから行っているのが現状であり、管理者や技術者のノウハウに依存すると共に長時間を要することからリアルタイム性は事実上ない。
【０００７】
従って「不正アクセス」と断定するには、ＩＤＳからの検知情報だけでなく、各種サーバログから具体的侵入や改竄の履歴等を抽出する作業が必要で、これは管理者等の人的な作業であるため、そのノウハウ依存性、即応性において問題があり、現実的には数百MB／日〜数GB／日の大量のログ分析を行う必要があり、数十時間以上のオーダーを要する場合がほとんどであり、大規模ネットワークになるほど事実上対応不可能になるという問題点がある。また、「対処内容」を決定するには、どの部分にどのような対処を行うべきかを、管理者等が人的に判断決定する。そのため、対処内容の効果性、弊害性、即応性が人的ノウハウに依存することになり、効果的即応対処の必要性の観点から問題がある。
【０００８】
(３)不正アクセスへの対処(復旧)
対処判断後に、対処が必要ということになった場合、主に、ファイアウォールによる該当通信やサービスの遮断やセキュリティパッチの適用、改竄、破壊された情報コンテンツ等、サーバの復旧を行う。しかし、これらは人的に実施され、かつ上記(２)項の対処判断後に実施されるため、リアルタイム性はなく、被害拡大を阻止するための即時対処は事実上不可能である。
【０００９】
従って「対処」を実施する場合、その作業は主に管理者等による人的作業である。例えば、ファイアウォールによる該当通信やサービスの遮断を行う場合、該当のファイアウォールに対して管理者等が当該ファイアウォール管理装置からフィルタリングルールの変更作業を実施することになり、そのノウハウ依存性(誤操作含め)、即応性において問題がある。
【００１０】
一時に、複数の箇所に対処する必要が発生した場合やサーバのサービス再起動、ＱｏＳ変更等の複雑な対処内容を行う必要が発生した場合に、数少ない管理者等だけによる人的な対応では、個々のケースに並行して対処することが困難であることから対処作業がシーケンスにならざるをえず、即応性や対処品質において問題点がある。また、「対処の解除」を行う必要がある場合や、「追加対処」を行う必要がある場合、それらを実施するためには、「対処の効果」を対処実施後に継続的に監視する必要があるが、「検知」した不正アクセスの状況を継続的に監視する仕組みは現状なく、人的作業に依存するところが大きく、管理者等の負荷を考慮すると、その実施は事実上不可能である。また、ワームの拡散等の被害拡散傾向のある不正アクセスに対して、未だ被害を受けていないサイトへ予防的に同様の対処を事前に行う「対処の水平展開」を行う場合、これらの作業は現状、全て人的作業であり、上記同様にその即応性、対処品質において問題点がある。
【００１１】
さらにコンテンツサービスの可用性に関し、広域ネットワーク上でＷｅｂコンテンツのサービスを実施する場合、ユーザからのアクセス要求に基づき、コンテンツデータファイルの実体にアクセスして要求コンテンツを応答しているため、万が一の侵入等の不正アクセス時に当該コンテンツデータに直接アクセスされて、改竄や破壊をされるリスクがある。
【００１２】
この発明は、これらの問題点を解消するためになされたもので、(１)で指摘したＩＤＳだけに頼った不正アクセス検知手法ではなく、各種ネットワーク構成機器からの情報を使用して不正アクセスを見逃す可能性を低減することを目的とする。また、(２)で指摘した人的作業による「対処判断」によることなく、不正アクセスの断定と適切な対処手法の選定を即応できることを目的とする。更に(３)で指摘した、「対処実施」、「対処解除」、「対処の水平展開」を人的作業によることなく、適切に即応できることを目的とする。これらの連携により、不正アクセスに対して自動的に検知―対処判断(分析)―対処(復旧)する自律的なセキュリティ対処システムが可能となり、巨大化するネットワーク情報システムのシステム管理者の大幅なセキュリティ管理負荷軽減を大目的とする。
【課題を解決するための手段】
【００１３】
この発明は、広域コンピュータネットワークに接続されたサイト毎に、サイト内における複数種類の不正アクセスに関するセンサ及び構成機器の各種ログ情報を汎用化したログ形式で集約するログ集約手段と、集約されたログから複数種類のセンサ及び構成機器間のログを関連付けて不正アクセスを統合検知する統合検知手段と、を備えた不正アクセス統合対応システムにある。
【発明の効果】
【００１４】
ＩＤＳだけに頼った不正アクセス検知手法ではなく、各種ネットワーク構成機器からの情報を使用して不正アクセスを見逃す可能性を低減する。
【発明を実施するための最良の形態】
【００１５】
以下この発明を各実施の形態に従って説明する。
実施の形態１．
図１はこの発明の実施の形態１による不正アクセス統合対応システムの特に１つのサイトの構成例を示すブロック図、図２はこの発明のシステムにおける各センサの汎用ログ形式の一例を示す図、図３はこの発明のシステムにおける各センサログの統合検知の機能ブロック図である。また図９にはこの発明による不正アクセス対応システムの各サイトの機能をまとめた機能ブロック図を示す。
【００１６】
図１はサイトの一構成例を示しており、広域コンピュータネットワーク(広域ネットワーク)Ｗ１にルーターＲ１、ファイアウォールＦ１を介して接続された情報公開ゾーンネットワークＺ１，Ｚ２、さらにルーターＲ２を介して接続された内部ゾーンネットワークＮ２、そして検知ログ等転送用の管理ネットワークＫ１を備える。情報公開ゾーンネットワークＺ１，Ｚ２にはＷｅｂサーバＶ１、メールサーバＶ２、ＰＲＯＸＹサーバＶ３、ＤＮＳサーバＶ４が接続され、内部ゾーンネットワークＮ２には端末装置Ｔ１，Ｔ２が接続されている。管理ネットワークＫ１にはログ集約装置Ｊ１と統合検知装置Ｊ２が接続されている。侵入検知装置(ＩＤＳ)Ｄ１，Ｄ２は広域ネットワークＷ１との接続点ネットワークＮ１と、情報公開ゾーンネットワークＺ２にそれぞれ接続されている。
【００１７】
サイト内の各センサのログである、侵入検知装置Ｄ１，Ｄ２の検知アラート情報、ルーターＲ１，Ｒ２の通信通過／遮断情報、ファイアウォールＦ１の通信通過／遮断情報、ＷｅｂサーバＶ１、メールサーバＶ２、ＰＲＯＸＹサーバＶ３、ＤＮＳサーバＶ４のサーバサービスログ、オペレーティングシステムログ(図３参照)は各センサから管理ネットワークＫ１を介してログ集約装置Ｊ１へ伝送される。
【００１８】
なお図示されていないがサイト内におけるセンサ及び構成機器としてサーバサービスアプリケーション、サーバオペレーティングシステム、改竄検出アプリケーション、ウィルス検知アプリケーション等も含まれ、これらの各種ログ情報もログ集約装置Ｊ１へ伝送される。
【００１９】
ログ集約装置Ｊ１では、各センサのログを図２に示すログ形式(日付、時刻、ファシリティ、優先度、サービス、プロトコル、発信元ＩＰアドレス、宛先元ホスト、宛先ＩＰアドレス、アクセスメッセージ等を含む)へ変換し、全てのセンサのログを汎用化させる(図３のログ形式変換手段Ｊ１−１、汎用化ログＪ１−２に相当)。汎用化されたログは、図３に示すように、時系列上で特定ログフィルタＬＦ１〜ＬＦｎにより、条件合致分配され、各フィルタの合致条件にあったログだけが各々特定要注意ログＦＬ１〜ＦＬｎとして抽出され、条件合致しないログは除外される。
【００２０】
各ログフィルタは特定の送信元ＩＰアドレスや宛先ＩＰアドレス、プロトコル種類、宛先ＴＣＰポート番号(ＩＰアドレス)の他、サーバログ中のメッセージ文字列(例：Ｗｅｂサーバの“/scripts/..%5c/..%5cwinnt/system32/cmd.exe”やエラーコード“404 Mozilla/4.0”)やＩＤＳの検知アラートＩＤやメッセージ文字列(例：“WEB-IIS cmd.exe access”)等の各種条件をＡＮＤ、ＯＲで連結した条件として設定でき、特定の注目するイベント、アドレス等に関連するログを要注意イベントログ群として自動でふるい分け抽出することが可能となる。これにより、多量に発生するサイトのログから着目するイベントに限定したログへログ量を大幅削減することが可能となり、以降の分析を容易にすることが可能となる。
【００２１】
次に統合検知装置Ｊ２において、各特定要注意ログＦＬ１〜ＦＬｎに対して、更に特定イベントの組合せ検知テーブルＳＫＴ１〜ＳＫＴｎにより特定統合検知を行う(図３の特定統合検知手段Ｊ２−１に相当)。これにより、アクセス経路上の各センサのログ情報を関連付けた空間的統合検知や特定のイベント群が時間間隔をおいて発生するログ情報を関連付けた時間的統合検知が可能となる。これらにより、ＩＤＳ回避不正アクセスやＩＤＳ性能限界による検知見逃しが発生した場合においても、その後の経路上の他のセンサログ(ファイアウォールログ、サービスログ等)から確実にこれを検知することが可能となる。また、意図的に長時間間隔を空けてポートスキャンやバナー取得等の情報収集をしてくる不正アクセスに対しても時間的統合検知により、確実にこれを検知することが可能となる。
【００２２】
上述の特定ログフィルタＬＦ１〜ＬＦｎ及び特定イベント組合せ検知テーブルＳＫＴ１〜ＳＫＴｎは管理者により管理端末装置ＫＭ１から手動設定することも可能であるが、自動で設定することが可能である。上述の特定ログフィルタによる特定条件のフィルタリングの他に一般的条件(発信元や宛先を特定しないイベント中心の条件)によるフィルタリングを汎用ログフィルタＨＬＦで行い、汎用要注意ログＨＦＬ抽出を並行して実施する。更に、汎用イベント組合せ検知テーブルＨＫＴによる汎用統合検知(図３の汎用統合検知手段Ｊ２−２に相当)を行う。ここで、その検知結果から、継続監視を必要とする条件(発信元、宛先、ＴＣＰポート、イベント等)を抽出し、新規に特定ログフィルタＬＦｎ及び特定イベント組合せ検知テーブルＳＫＴｎを自動作成する(図３の特定ログフィルタＬＦｎ特定イベント組合せ検知テーブルＳＫＴｎ自動作成手段Ｊ２−３に相当)。その際、既存のものと全く同一条件のフィルタが存在しないことを自動で確認する。作成された当該フィルタとテーブルは自動登録され、継続的に監視が強化される。
【００２３】
なお、図９のログ集約手段１００１がログ集約装置Ｊ１で構成され、統合検知手段１００３が統合検知装置Ｊ２で構成される。
【００２４】
実施の形態２．
図４はこの発明の実施の形態２による不正アクセス統合対応システムの特に広域ネットワークに接続された複数サイトの状態を示す図である。図４に示す、広域ネットワークＷ１に接続された各サイトＳ１〜Ｓｎ間において、上述の実施の形態１で作成された汎用ログフィルタＨＬＦと汎用イベント組合せ検知テーブルＨＫＴ、特定ログフィルタＬＦｎと特定イベント組合せ検知テーブルＳＫＴｎ、ＩＤＳの有する検知シグネチャ(検知ルール)等の統合検知情報を自サイト以外の他サイトへ自動で伝達する。伝達は隣接するサイトへ情報を暗号化して実施し、各サイトは玉送り(例えば右隣のサイトから受けたものを左隣のサイトにも送る)でこれを隣接サイトへ伝達することで、全サイトへ情報が伝達される。これはサイトＳ５に代表して示す実際には各サイトに設けられた統合検知情報伝達手段１００５(図９参照)に相当する。
【００２５】
各サイトでは伝達された汎用ログフィルタＨＬＦと汎用イベント組合せ検知テーブルＨＫＴ、特定ログフィルタＬＦｎと特定イベント組合せ検知テーブルＳＫＴｎ、ＩＤＳの検知シグネチャを自サイト用に変更が必要ある部分についてはこれを自動で実施(例：宛先ＩＰがＷｅｂサーバの場合、自サイトのＷｅｂサーバのＩＰアドレスへ変更する)し、フィルタ、テーブル、シグネチャを追加設定する。ただし、既存のフィルタ、テーブル、シグネチャと比較し、重複する条件についてはこれを追加設定しない。これにより、任意のサイトで継続監視要と判断された特定ログフィルタ条件や特定イベント組合せ条件、汎用ログフィルタ条件や汎用イベント組合せ条件、ＩＤＳ検知シグネチャ条件が、全サイトで監視強化されることが自動で実施可能になる。つまり、任意のサイトに対して実施された不正アクセスへの検知強化が全サイトに渡って自動で実施されることになり、未然に監視強化することが可能になる。これはサイトＳ５に代表して示す実際には各サイトに設けられた統合検知情報変更・追加設定手段１００７(図９も参照)に相当する。
【００２６】
実施の形態３．
図５はこの発明の実施の形態３による不正アクセス統合対応システムの特に被害拡大可能性予測の機能ブロック図、図６は統合対処手法候補抽出の機能ブロック図である。実施の形態１、２機能により検知された不正アクセスに対して、その被害予測を行う(図５参照)。統合検知結果ＴＳＲから下記の(１)〜(４)の被害予測情報キーＨＹＫを抽出する。
(１)不正アクセスの種類を侵入系／改竄破壊系／情報収集系／ＤｏＳ系／ワーム系に特定する。
(２)不正アクセスの成功／成功の可能性有／不成功を特定する。
(３)成功／成功の可能性有の場合は、その対象マシンを特定する。
(４)侵入系の場合はその取得権限を特定する。特定できない場合は管理者権限とする。
(５)上記(１)〜(４)の被害予測情報キーＨＹＫをキーにして不正アクセス関連のインシデントデータベースＩＤＤ、ネットワーク構成情報・アクセスフィルタリングデータベースＡＦＤ、ネットワーク構成情報データベースＮＫＤ、ネットワーク構成情報・ソフトウェアバージョン管理データベースＳＰＤ及びソフトウェア脆弱性情報データベースＳＶＤに照会し、対象マシンからアクセス可能なＩＰアドレス一覧、同様の不正アクセスに対する脆弱性を持つソフトウェアバージョン及びそのＩＰアドレス、その脆弱性情報(ポート番号、被害危険度)の情報(被害拡大可能性情報：ＨＫＪ)を抽出する。これにより、同サイト内における当該不正アクセスに関連した被害の拡大の可能性のある範囲(ＩＰアドレス、被害危険度)を予測することが可能となる。これらは図９のネットワーク構成情報、ソフトウェア関連情報、不正アクセス関連インシデント情報格納手段１００９および被害予測手段１０１１に相当する。
【００２７】
一方、図６に示す不正アクセスに対する対処手法の抽出は、以下の手順で行う。図５の被害予測で得られた被害拡大可能性情報ＨＫＪの被害可能性対象マシン及び被害可能性インシデント６０１に基づき、インシデント−統合対処リンクデータベースＩＴＬＤ及び統合対処手法データベースＴＳＤに照会し(統合対処手法データベースＴＳＤからインシデントデータベースＩＤＤにさらに照会)、統合対処手法(対処先マシン、対処手法、可用性影響度)候補６０３を抽出する。抽出された統合対処手法候補を、システム可用性優先度データベースＳＫＤに照会し、可用性総合指数算出手段６０５で可用性総合指数を算出し、その値の高い順(可用性を最優先する順)に統合対処手法を順列して(可用性最優先度順対処手法候補一覧６０７)統合対処手法を抽出し、対処実行処理管理(図７の７０１)へ送る。また可用性最優先度順対処手法候補一覧６７は可用性優先度順対処手法候補データベースＫＴＤに格納される。これらは図９の対処関連情報格納手段１０１３、システム可用性優先度情報格納手段１０１５、統合対処手法候補抽出手段１０１７に相当する。
【００２８】
実施の形態４．
図７はこの発明の実施の形態４による不正アクセス統合対応システムの特に統合対処実行監視の機能ブロック図である。実施の形態３で自動抽出、順列された可用性優先度順対処手法候補一覧６０７に基づき、対処実行管理処理手段７０１において、７０５，７０７の判断に従いその対処優先順位に従い、対処自動フラグ(例えば上位の順位のもの、常套手段であるもの等にフラグを立てておく：特に図示せず)が立っている対処手法について、対処指示実行手段７０９が自動で対処実行指示を対処先７１１へ行う。対処自動フラグが立っていないものについては、手動対処指示手段７０３により管理者に対して自動選出候補すなわち可用性優先度順対処手法候補一覧６０７をリストアップして表示し(表示手段を含む)、手動で選択して対処指示実行手段７０９に実行させる。
【００２９】
対処指示実行後は、実行結果監視手段７１３で実行結果監視を行い、各対処先７１１から返り値を受け取り、対処実行処理管理手段７０１に復帰し、次の処理に移行する。また対処後イベント監視手段(対処効果監視手段)７１５により、対処実行指示した対処先７１１に対して、対処効果の確認として、可用性優先度順対処手法候補一覧情報の対処後監視イベントに基づいたイベントを監視し、対処実行効果の有無を監視(７１７)する。対処効果の有無はその旨を対処実行管理処理手段７０１又は管理者へ通知する。対処実行管理処理手段７０１又は管理者は当該通知により、対処効果が出ていない場合は、可用性優先度順対処手法候補一覧９０７から、追加対処を選択し、自動又は手動実行することも可能である。また、対処効果が規定時間継続し、原因となった検知イベントも規定時間検知されなくなった場合は、当該対処実行の対処解除を自動又は手動で実施する。また、管理者判断により手動で対処解除を行うことも可能とする(対処実行処理管理手段７０１、手動対処指示手段７０３)。これらは図９の統合対処手法自動実行手段１０１９、統合対処手法手動実行手段１０２１、対処効果監視手段１０２３に相当する。
【００３０】
実施の形態５．
実施の形態５では、上記実施の形態３で照会した対処関連情報(統合対処手法データベースＴＳＤ、インシデント−対処リンクデータベースＩＴＬＤ、インシデントデータベースＩＤＤ)さらに照会結果である統合対処手法候補を、当該サイトの統合検知装置Ｊ２(図１参照)から隣接するサイトの統合検知装置へ情報を暗号化して伝達する。各サイトは玉送りでこれを隣接サイトへ伝達することで、全サイトへ情報が伝達される。伝達されたサイトでは当該情報を自サイトの各データベースＴＳＤ，ＩＴＬＤ，ＩＤＤへ追加設定する。そのとき、自サイト用に変更が必要な部分は自動でこれを実施し情報を変更、追加設定する。ただし、既存のフィルタ、テーブル、シグネチャと比較し、重複する条件についてはこれを追加設定しない。
【００３１】
これにより、任意のサイトで対処要と判断された対処イベント及びそれに対する統合対処手法が、(手動でＴＳＤ，ＩＴＬＤ，ＩＤＤのデータベースを設定しなくても)全サイトで対処可能になる。つまり、任意のサイトに対して実施された不正アクセスへの検知対処が全サイトに渡って自動で実施可能状態になり、未然に自動で対処能力を強化することが可能になる。これらは図９の対処関連情報伝送手段１０２５、対処関連情報変更・追加設定手段１０２７に相当し、これらの構成は図４の統合検知情報伝達手段１００５と統合検知情報変更・追加設定手段１００７を対処関連情報伝送手段１０２５、対処関連情報変更・追加設定手段１０２７にそれぞれ置き換えたものとなる。
【００３２】
実施の形態６．
図８はこの発明の実施の形態６による不正アクセス統合対応システムの特にネットワーク分散データ同調保持の機能ブロック図である。広域コンピュータネットワークＷ１上のＷｅｂサーバＶＷｂ１等でコンテンツデータをサービス提供する場合に、コンテンツデータＡ、Ｂ、Ｃ、Ｄの実体をＷｅｂサーバＶＷｂ１等には持たせず、広域ネットワークＷ１上に分散配置したコンテンツ分散保持サーバ群ＶＫＢ１〜ＶＫＢ４に、コンテンツデータを分割分散保持させる。各分割データＡ、Ｂ、Ｃ、Ｄには冗長パリティ情報を付加してサーバ群に分散保持させる。
【００３３】
また、分散保持された当該データは分散保持サーバ群ＶＫＢ１〜ＶＫＢ４と広域ネットワークＷ１上のＷｅｂサーバＶＷｂ１等でメモリ共有環境を介して、ＷｅｂサーバＶＷｂ１等のメモリ上でコンテンツデータを集約展開しコンテンツ組み立てデータＫＣ１とし、コンテンツサービスを行う。これにより、当該Ｗｅｂサーバが侵入されて直接コンテンツデータを改竄、破壊されるリスクがなくなり、また、不正アクセスやワーム等の攻撃により万が一、ＷｅｂサーバＶＷｂ１がダウンしても、他の代替サーバＶＷｂ２で同様にメモリ上でコンテンツを集約展開しコンテンツ組み立てデータＫＣ２とし、サービス継続を行うことが可能となる。
【００３４】
一方、分散保持サーバ群ＶＫＢ１〜ＶＫＢ４へ分散配置された分割分散保持されるコンテンツデータＡ，Ｂ，Ｃ，Ｄは冗長パリティ情報により、万が一データを損失しても、サーバ群ＶＫＢ１〜ＶＫＢ４の他の分割データから再生することが可能である。ＷｅｂサーバＶＷｂ１や代替ＷｅｂサーバＶＷｂ２のサービス運用状況監視、サービス縮退、切替、切離し等の制御指示はＷｅｂサービス制御情報(β)ＷＳＣとしてＷｅｂサービス制御サーバＶＷＳＳから、メモリ共有データエリアを介して実施される。またこれらは図９のデータ分散保持手段１０２９、データ集約展開手段１０３１に相当する。
【００３５】
なお上記説明では広域コンピュータネットワーク上に分散配置されたＷｅｂサーバ、コンテンツ分散保持サーバのサーバ単位で説明しているが、これは広域コンピュータネットワーク上に分散配置されたサイト単位で実施してもよい。
【００３６】
以上のように、ＩＤＳ、ＦＷ、サーバサービスアプリケーション等の各種センサのログを集約して不正アクセスを統合検知することで、様々なＩＤＳ回避手法やＩＤＳのシグネチャ未更新やトラフィック負荷による不正アクセス見落とし、ＩＤＳの誤検知の問題、更には、内部ネットワーク等のＩＤＳがないルートからの不正アクセス、未知ワームの感染拡大等の検知することが可能となる。
【００３７】
また、任意のサイトで継続監視要と判断された発信ＩＰ等について、自動でその継続監視用の特定ログフィルタ及び特定イベント組合せ検知テーブルを作成し、継続監視が可能となると共に当該フィルタ、テーブルを他サイトへ自動で伝達し、全サイトでの警戒監視強化が可能となる。
【００３８】
また、実際に不正アクセスを検知した際には、その被害拡大範囲予測を行い、当該範囲に事前に対処する統合対処手法をシステムの可用性を考慮して自動選出することが可能となる。さらに、当該対処手法を自動または手動で対処先機器へ対処指示を実行し、その結果監視、効果監視を継続して実施することが可能となる。
【００３９】
また、この対処手法テーブルは上記と同様に、他サイトへ自動で伝達され、当該対処手法テーブルを持たない他サイトにおいても当該対処手法を実行可能となる。これらにより、従来まで、人的能力に頼っていた、またはリアルタイムな完全な対応が不可能であった、検知アクセスの不正性判断、対処必要性判断、対処作業、効果観測等のセキュリティ管理作業が、自動で実施可能となり、システム全体のセキュリティ対処能力が大幅に向上すると共にセキュリティ管理者の負荷が大幅に軽減される。
【図面の簡単な説明】
【００４０】
【図１】この発明の実施の形態１による不正アクセス統合対応システムの特に１つのサイトの構成例を示すブロック図である。
【図２】この発明のシステムにおける各センサの汎用ログ形式の一例を示す図である。
【図３】この発明のシステムにおける各センサログの統合検知の機能ブロック図である。
【図４】この発明の実施の形態２による不正アクセス統合対応システムの特に広域ネットワークに接続された複数サイトの状態を示す図である。
【図５】この発明の実施の形態３による不正アクセス統合対応システムの特に被害拡大可能性予測の機能ブロック図である。
【図６】この発明の実施の形態３による不正アクセス統合対応システムの特に統合対処手法候補抽出の機能ブロック図である。
【図７】この発明の実施の形態４による不正アクセス統合対応システムの特に統合対処実行監視の機能ブロック図である。
【図８】この発明の実施の形態６による不正アクセス統合対応システムの特にネットワーク分散データ同調保持の機能ブロック図である。
【図９】この発明による不正アクセス統合対応システムの各サイトの機能をまとめた機能ブロック図である。
【符号の説明】
【００４１】
ＡＦＤ  ネットワーク構成情報・アクセスフィルタリングデータベース、Ｄ１，Ｄ２  侵入検知装置(ＩＤＳ)、Ｆ１  ファイアウォール、ＦＬ１〜ＦＬｎ  特定要注意ログ、ＨＦＬ  汎用要注意ログ、ＨＬＦ  汎用ログフィルタ、ＨＫＪ  被害拡大可能性情報、ＨＫＴ  汎用イベント組合せ検知テーブル、ＨＹＫ  被害予測情報キー、ＩＤＤ  インシデントデータベース、ＩＴＬＤ  インシデント−統合対処リンクデータベース、Ｊ１  ログ集約装置、Ｊ１−１  ログ形式変換手段、Ｊ１−２  汎用化ログ、Ｊ２  統合検知装置、Ｊ２−１  特定統合検知手段、Ｊ２−２  汎用統合検知手段、Ｊ２−３  特定ログフィルタＬＦｎ特定イベント組合せ検知テーブルＳＫＴｎ自動作成手段、Ｋ１  管理ネットワーク、ＫＭ１  管理端末装置、ＫＴＤ  可能性優先度順対処手法候補、ＬＦ１〜ＬＦｎ  特定ログフィルタ、Ｎ１  接続点ネットワーク、Ｎ２  内部ゾーンネットワーク、ＮＫＤ  ネットワーク構成情報データベース、Ｒ１，Ｒ２  ルーター、Ｓ１〜Ｓｎ  サイト、ＳＫＤ  システム可能性優先度データベース、ＳＫＴ１〜ＳＫＴｎ  特定イベント組合せ検知テーブル、ＳＰＤ  ネットワーク構成情報・ソフトウェアバージョン管理データベース、ＳＶＤ  ソフトウェア脆弱性情報データベース、Ｔ１，Ｔ２  端末装置、ＴＳＤ  統合対処手法データベース、ＴＳＲ  統合検知結果、Ｖ１，ＶＷｅｂ１，ＶＷｅｂ２  Ｗｅｂサーバ、Ｖ２  メールサーバ、Ｖ３  ＰＲＯＸＹサーバ、Ｖ４  ＤＮＳサーバ、ＶＫＢ１〜ＶＫＢ５  コンテンツ分散保持サーバ、ＶＷＳＳ  Ｗｅｂサービス制御サーバ、Ｗ１  広域コンピュータネットワーク、Ｚ１，Ｚ２  情報公開ゾーンネットワーク、６０５  可能性統合指数算出手段、７０１  対処実行処理管理手段、７０３  手動対処指示手段、７０９  対処指示実行手段、７１３  実行結果監視手段、７１５  対処後イベント監視手段。
【図１】
2005202664.tif 000003
【図２】
2005202664.tif 000004
【図３】
2005202664.tif 000005
【図４】
2005202664.tif 000006
【図５】
2005202664.tif 000007
【図６】
2005202664.tif 000008
【図７】
2005202664.tif 000009
【図８】
2005202664.tif 000010
【図９】
2005202664.tif 000011