(57)【要約】【課題】  不正アクセスに対して侵入検知を合理的に行うことができるソフトウェア無線機を得る。【解決手段】  ソフトウェア無線機１００に設けられ、インターネットに接続された伝送路の不正アクセスを検知する不正アクセス侵入検知装置２００は、侵入行為パターンを格納したデータベース部２０１と、伝送路の侵入検知ログを収集するＩＤＳ部２０３と、データベース部２０１に格納された侵入行為パターンとＩＤＳ部２０３により収集された侵入検知ログとの相関分析を、イベントの並び及びイベント間の時間間隔に基づくマッチング率の計算式により行い、その結果が評価基準値以上を示すことにより不正アクセスを検知する侵入検知部２０２を有している。【選択図】図１
2005198031.tif 000002
【特許請求の範囲】
【請求項１】
インターネットとの間で入出力されるデータを無線により送受信すると共にソフトウェアの入れ換えにより機能が更新されるソフトウェア無線機において、上記インターネットに接続された伝送路の不正アクセスを検知する不正アクセス侵入検知装置を備え、上記不正アクセス侵入検知装置は、侵入行為パターンを格納したデータベース部と、上記伝送路の侵入検知ログを収集するＩＤＳ部と、上記データベース部に格納された侵入行為パターンを用いて上記ＩＤＳ部により収集された侵入検知ログを解析して不正アクセスを検知する侵入検知部とにより構成されていることを特徴とするソフトウェア無線機。
【請求項２】
上記侵入検知部は、上記ＩＤＳ部により収集された侵入検知ログを時系列順に並び替え、この並び替えられた上記侵入検知ログと上記データベース部に格納された侵入行為パターンとのそれぞれのイベントの並びと時間間隔に基づき、上記侵入検知ログと上記侵入行為パターンとの相関分析を行うことにより不正アクセスを検知することを特徴とする請求項１記載のソフトウェア無線機。
【請求項３】
上記侵入検知部は、上記侵入検知ログに応じて上記データベース部に格納された侵入行為パターンのイベントの時間間隔を正規化して上記相関分析を行うことを特徴とする請求項２記載のソフトウェア無線機。
【請求項４】
上記侵入検知部は、侵入行為パターンを組み合せたシナリオ攻撃を行う侵入検知ログに対処するように、上記データベース部に格納された侵入行為パターンのイベントの並びと時間間隔を組み合せて上記相関分析を行うことを特徴とする請求項２または請求項３記載のソフトウェア無線機。
【請求項５】
上記侵入検知部は、上記侵入検知ログの各イベントの収集毎に所定の計算式によるマッチング率の計算により上記相関分析を行うことを特徴とする請求項２〜請求項４のいずれかに記載のソフトウェア無線機。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、不正アクセスに対して侵入検知を合理的に行うソフトウェア無線機に関するものである。
【背景技術】
【０００２】
従来の無線機は、ハードウェアで構成されているため、その機能を更新することが困難であったが、最近実用化に向けて開発が進んでいるソフトウェア無線機では、ソフトウェアの入れ換えにより容易に機能の更新ができるようになった。（特許文献１参照）
【０００３】
【特許文献１】特開２００１−２５６０５２号公報（段落番号００１０〜００２２、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来のソフトウェア無線機のソフトウェアの入れ換えにより機能の更新ができるものでは、昔の計算機が汎用的なコンピュータに換装されることで不正アクセスが問題となったように、このソフトウェア無線機に関しても同様に不正アクセスが問題となることは容易に想像でき、解決されるべきセキュリティ課題となってきた。
【０００５】
この発明は、上述のような課題を解決するためになされたものであり、不正アクセスに対して侵入検知を合理的に行うことができるソフトウェア無線機を得ることを目的にしている。
【課題を解決するための手段】
【０００６】
この発明に係わるソフトウェア無線機においては、インターネットとの間で入出力されるデータを無線により送受信すると共にソフトウェアの入れ換えにより機能が更新されるソフトウェア無線機において、インターネットに接続された伝送路の不正アクセスを検知する不正アクセス侵入検知装置を備え、不正アクセス侵入検知装置は、侵入行為パターンを格納したデータベース部と、伝送路の侵入検知ログを収集するＩＤＳ部と、データベース部に格納された侵入行為パターンを用いてＩＤＳ部により収集された侵入検知ログを解析して不正アクセスを検知する侵入検知部とにより構成されているものである。
【発明の効果】
【０００７】
この発明は、以上説明されたように、インターネットとの間で入出力されるデータを無線により送受信すると共にソフトウェアの入れ換えにより機能が更新されるソフトウェア無線機において、インターネットに接続された伝送路の不正アクセスを検知する不正アクセス侵入検知装置を備え、不正アクセス侵入検知装置は、侵入行為パターンを格納したデータベース部と、伝送路の侵入検知ログを収集するＩＤＳ部と、データベース部に格納された侵入行為パターンを用いてＩＤＳ部により収集された侵入検知ログを解析して不正アクセスを検知する侵入検知部とにより構成されているので、不正アクセスを検出することができ、特に侵入検知をデータベース部に格納された侵入行為パターンを用いて行うことにより誤検知を低減させることができる。
【発明を実施するための最良の形態】
【０００８】
実施の形態１．
図１は、この発明の実施の形態１によるソフトウェア無線機を示す原理説明図である。
図１において、ソフトウェア無線機１００は、インターネットから入力された送信信号をソフトウェア転送制御部１０５から変調部１０２を経由して送信部１０１により送信し、受信部１０３により受信された受信信号を復調部１０４により復調してソフトウェア転送制御部１０５からインターネットに出力する。このソフトウェア無線機１００には、インターネットとソフトウェア転送制御部１０５間のデータ伝送路をＩＤＳ２０３にて監視し、不正アクセスのパターンを検知する不正アクセス侵入検知装置２００が設けられ、不正アクセス侵入検知装置２００は、不正アクセスの侵入行為パターンを有するパターンファイルが格納されたデータベース部２０１と、インターネットとソフトウェア転送制御部１０５間のデータ伝送路の不正侵入（イベント）を収集し、侵入検知ログを出力するＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）２０３と、このデータベース部２０１の侵入行為パターンを用いて侵入検知ログを解析して不正アクセスのパターンを検知する侵入検知部２０２とを有する。
【０００９】
次に、不正アクセス侵入検知装置の動作について説明する。
図２は、この発明の実施の形態１によるソフトウェア無線機の不正アクセス侵入検知装置の侵入検知処理を示すフローチャートである。
図２において、ステップ３００で、侵入検知処理を開始する。ステップ３０１及びステップ３０３〜ステップ３０６は侵入検知部２０２の処理である。ステップ３０１は、データベース部２０１からパターンファイルを読み込む。次いで、ステップ３０２で、ＩＤＳ２０３により侵入検知ログを収集する。ステップ３０３で、侵入検知ログの検知事象（イベント）を時系列順に並び替える。ステップ３０４は、ステップ３０１で読み込んだパターンファイルの侵入行為パターンとステップ３０３で時系列順に並び替えた侵入検知ログの相関分析を行う。この相関分析では、イベントの並びと時間間隔により決められるパターンに基づき分析する。ステップ３０５で、その結果をディスプレイなどに出力し、ステップ３０６で、新しい侵入検知ログパターンが得られれば、データベース部２０１のパターンファイルを更新する。
このように、インターネットとソフトウェア転送制御部１０５間のデータ伝送路をＩＤＳ２０３にて監視し、不正アクセスのパターンをステップ３００、３０１、３０２、３０３、３０４、３０５、３０６のアルゴリズムで検知する。
【００１０】
図３は、この発明の実施の形態１によるソフトウェア無線機のオンライン相関分析を示す原理説明図であり、図２のステップ３０４の説明である。
図３において、侵入検知ログ４００は、侵入検知ログのイベントｅ１４０１〜侵入検知ログのイベントｅ５４０５を有する。侵入行為パターン５００は、侵入行為パターンのイベントｅ１５０１〜侵入行為パターンのイベントｅ５５０５を有する。
ＩＤＳ２０３にて検知した侵入検知ログ４００のイベントｅ１〜ｅ５（４０１、４０２、４０３、４０４、４０５）を順番に１つずつ検知するごとに、侵入行為パターン５００のイベントｅ１〜ｅ５（５０１、５０２、５０３、５０４、５０５）とのマッチング率を、図２のステップ３０４の相関分析処理で計算し、この処理をオンラインで実施する。このマッチング率の計算は、式（１）の計算式により行われる。この式（１）の計算結果が評価基準値以上であれば、侵入行為パターンによる不正アクセスと見なすことができる。
【００１１】
〔Ｐ１（０）＋Ｐ２（△ｔ１´）＋Ｐ３（△ｔ２´）＋Ｐ４（△ｔ３´）＋Ｐｎ（△ｔｎ−１´）〕／ｎ  （≧評価基準値）      ・・・・・・（１）
ただし、△ｔｎ−１´は、イベントｅｎ−１及びイベントｅｎ間の時間間隔、Ｐｎ（△ｔｎ−１´）は、イベントｅｎが前イベントから△ｔｎ−１´後に起こる有意確率を表わす。
【００１２】
図４は、この発明の実施の形態１によるソフトウェア無線機のパターン正規化を示す原理説明図である。
図４において、イベント間時間間隔縮小６００及びイベント間時間間隔拡大６０１が示されている。
インターネットの内部に存在する攻撃者の使用機器の性能により、侵入検知ログのイベント間時間間隔が変動する場合がある。このため相関分析する侵入行為パターンを正規化処理で伸縮（イベント間時間間隔縮小６００、イベント間時間間隔拡大６０１）させて対応させる。
【００１３】
図５は、この発明の実施の形態１によるソフトウェア無線機のシナリオ攻撃対策を示す原理説明図である。
図５において、シナリオ７００は、侵入行為パターンを組み合わせたシナリオである。
侵入行為パターン５００を組み合わせたシナリオ７００攻撃に対しては、侵入行為パターンのイベント間の時間間隔が不規則なため、イベントの順列と時間間隔を組み合わせた相関分析を実施することにより対処する。
【００１４】
実施の形態１によれば、ソフトウェア無線機に不正アクセス侵入検知装置を組み込むことにより、不正アクセスを検出することができ、特に侵入検知をパターン定義することで誤検知を低減させることができる。
また、ＩＤＳにて検知した侵入検知ログのイベントを順番に１つずつ検知するごとに、侵入行為パターンのイベントとのマッチング率を計算する相関分析処理をオンラインで実施することができ、イベントを蓄積して相関分析する場合よりメモリ消費量を削減する効果がある。
【００１５】
また、インターネットの内部に存在する攻撃者の使用機器の性能により、侵入検知ログのイベント間時間間隔が変動する場合でも、相関分析する侵入行為パターンを正規化処理で伸縮（縮小、拡大）させて対応させることができる。
さらに、侵入行為パターンを組み合わせたシナリオ攻撃に対しては、侵入行為パターン間の時間間隔が不規則なため、イベントの順列と時間間隔を組み合わせた相関分析を実施することにより対応することができる。
【００１６】
なお、上記実施の形態１の説明では、オンライン処理により相関分析処理を行うものとしたが、オフライン処理でもよい。
【００１７】
また、上記実施の形態１の説明では、イベント間隔時間として相対時間を対象としたが、絶対時間を使用してもよい。
【００１８】
また、上記実施の形態１の説明では、侵入行為パターンを組み合わせたシナリオ攻撃を対象としたが、例えば１日置きに発生するような定期的な攻撃や定期的なシナリオ攻撃も検出するようにすることができる。
【００１９】
さらに、上記実施の形態１の説明では、インターネットとソフトウェア転送制御部間の有線上のデータを不正アクセス侵入検知装置の検知の対象としたが、無線ＬＡＮ上のデータも検知の対象とすることができる。
【図面の簡単な説明】
【００２０】
【図１】この発明の実施の形態１によるソフトウェア無線機を示す原理説明図である。
【図２】この発明の実施の形態１によるソフトウェア無線機の不正アクセス侵入検知装置の侵入検知処理を示すフローチャートである。
【図３】この発明の実施の形態１によるソフトウェア無線機のオンライン相関分析を示す原理説明図である。
【図４】この発明の実施の形態１によるソフトウェア無線機のパターン正規化を示す原理説明図である。
【図５】この発明の実施の形態１によるソフトウェア無線機のシナリオ攻撃対策を示す原理説明図である。
【符号の説明】
【００２１】
１００  ソフトウェア無線機
１０１  送信部
１０２  変調部
１０３  受信部
１０４  復調部
１０５  ソフトウェア転送制御部
２００  不正アクセス侵入検知装置
２０１  データベース部
２０２  侵入検知部
２０３  ＩＤＳ
３０６  パターンファイル
４００  侵入検知ログ
４０１  侵入検知ログのイベントｅ１
４０２  侵入検知ログのイベントｅ２
４０３  侵入検知ログのイベントｅ３
４０４  侵入検知ログのイベントｅ４
４０５  侵入検知ログのイベントｅ５
５００  侵入行為パターン
５０１  侵入行為パターンのイベントｅ１
５０２  侵入行為パターンのイベントｅ２
５０３  侵入行為パターンのイベントｅ３
５０４  侵入行為パターンのイベントｅ４
５０５  侵入行為パターンのイベントｅ５
６００  イベント間時間間隔縮小
６０１  イベント間時間間隔拡大
７００  シナリオ
【図１】
2005198031.tif 000003
【図２】
2005198031.tif 000004
【図３】
2005198031.tif 000005
【図４】
2005198031.tif 000006
【図５】
2005198031.tif 000007