(57)【特許請求の範囲】
【請求項１】
ユーザ端末からアプリケーションサーバ向けの通過パケットを疎通するパケット転送装置を含んでいるネットワークにおいて不正アクセスを監視する不正アクセス監視装置であって、
統計監視機能と、連携制御機能と、特定アクセス転送機能と、詳細分析機能とを有し、
前記統計監視機能は、
監視対象となるアプリケーションサーバとユーザ端末間のパケット転送経路上に配備され、
前記ユーザ端末からアプリケーションサーバ向けの通過パケットを収集する手段と、
収集された通過パケットから、指定された特定アプリケーションの特定パケットの統計情報を監視する手段と、
特定パケットの統計情報から、不正アクセスの疑いのある懐疑アクセスのフロー情報と対応するアプリケーション情報を有する懐疑アクセスリスト情報を生成する手段と、
生成した懐疑アクセスリスト情報を連携制御機能に送信する手段と
を備え、
前記連携制御機能は、
前記懐疑アクセスリスト情報を受信する手段と、
前記懐疑アクセスのフロー情報から、該当フローの送信元を収容するパケット転送装置を特定する手段と、
特定されたパケット転送装置に対して、フロー情報と対応するアプリケーション情報を有する特定アクセス転送指示を送信する手段と、
前記懐疑アクセスのフロー情報と対応するアプリケーション情報を有する詳細分析指示を生成する手段と、
前記詳細分析指示を詳細分析機能へ送信し、詳細分析機能からの応答を待つ手段と、
詳細分析機能から不正アクセス情報を受信した場合、当該不正アクセス情報に含まれるフロー情報とアプリケーション情報をオペレータまたは外部システムヘ出力する手段と
を備え、
前記特定アクセス転送機能は、
パケット転送装置に具備される機能であり、
連携制御機能から特定アクセス転送指示を受信した場合、パケットを中継転送する際に、受信パケットから、特定アクセス転送指示にて指定されるアプリケーションの特定アクセスを抽出する手段と、
抽出した特定アクセスを詳細分析機能宛に送信する手段と、
を備え、
前記詳細分析機能は、
前記パケット転送装置から特定アクセスを受信する手段と、
前記連携制御機能から詳細分析指示を受信した場合、前記のパケット転送装置から受信した特定アクセスに対して、該当アプリケーションの不正アクセスを検出する手段と、
不正アクセスを検出した場合は、不正アクセス情報として該当フロー情報とアプリケーション情報を、連携制御機能に返信する手段と、
を備えることを特徴とする不正アクセス監視装置。
【請求項２】
ユーザ端末からアプリケーションサーバ向けの通過パケットを疎通するパケット転送装置を含んでいるネットワークにおいて不正アクセスを監視する不正アクセス監視装置における不正アクセス監視方法であって、
前記不正アクセス監視装置は、統計監視機能と、連携制御機能と、特定アクセス転送機能と、詳細分析機能とを有し、
前記統計監視機能は、監視対象となるアプリケーションサーバとユーザ端末間のパケット転送経路上に配備され、
前記特定アクセス転送機能は、パケット転送装置に具備される機能であり、
前記統計監視機能が、
前記ユーザ端末からアプリケーションサーバ向けの通過パケットを収集する工程と、
収集された通過パケットから、指定された特定アプリケーションの特定パケットの統計情報を監視する工程と、
特定パケットの統計情報から、不正アクセスの疑いのある懐疑アクセスのフロー情報と対応するアプリケーション情報を有する懐疑アクセスリスト情報を生成する工程と、
生成した懐疑アクセスリスト情報を連携制御機能に送信する工程と、
前記連携制御機能が、
前記懐疑アクセスリスト情報を受信する工程と、
前記懐疑アクセスのフロー情報から、該当フローの送信元を収容するパケット転送装置を特定する工程と、
特定されたパケット転送装置に対して、フロー情報と対応するアプリケーション情報を有する特定アクセス転送指示を送信する工程と、
前記懐疑アクセスのフロー情報と対応するアプリケーション情報を有する詳細分析指示を生成する工程と、
前記詳細分析指示を詳細分析機能に送信し、詳細分析機能からの応答を待つ工程と、
前記特定アクセス転送機能が、
連携制御機能から特定アクセス転送指示を受信した場合、パケットを中継転送する際に、受信パケットから、懐疑アクセスリスト情報にて指定されるアプリケーションの特定アクセスを抽出する工程と、
抽出した特定アクセスを詳細分析機能宛に送信する工程と、
前記詳細分析機能が、
前記パケット転送機能から特定アクセスを受信する工程と、
前記連携制御機能から詳細分析指示を受信した場合、前記のパケット転送装置から受信した特定アクセスに対して、該当アプリケーションの不正アクセスを検出する工程と、
不正アクセスを検出した場合は、不正アクセス情報として該当フロー情報とアプリケーション情報を、連携制御機能に返信する工程と、
前記連携制御機能が、
詳細分析機能から不正アクセス情報を受信した場合、当該不正アクセス情報に含まれるフロー情報とアプリケーション情報をオペレータまたは外部システムヘ出力する工程と
を含むことを特徴とする不正アクセス監視方法。
【請求項３】
請求項２に記載の不正アクセス監視方法において、
アプリケーションサーバとユーザ端末間のパケット転送経路上に統計監視機能が配備されていないアプリケーションサーバを収容するパケット転送装置の特定アクセス転送機能が、監視対象となるアプリケーションのアクセスを、指定の統計監視機能に転送する工程と、
前記指定の統計監視機能が、前記パケット転送装置から転送された監視対象となるアプリケーションのアクセスを含む情報から、不正アクセスの疑いのある複数アクセスのフロー情報と対応するアプリケーション情報からなる懐疑アクセスリスト情報を生成する工程と
を含むことを特徴とする不正アクセス監視方法。
【請求項４】
請求項２または請求項３に記載の不正アクセス監視方法において、
前記統計監視機能が、
監視対象となるアプリケーションサーバ向けの当該アプリケーションのシグナリングプロトコルのアクセスを監視対象とする工程と、
前記のシグナリングプロトコルの監視から、不正アクセスの疑いのあるシグナリングプロトコルのアクセス情報を検出し、不正アクセスの疑いのあるシグナリングプロトコルと対応するメディアプロトコル情報を有する懐疑アクセスリスト情報を連携制御機能に通知する工程と、
前記連携制御機能が、
特定アクセス転送指示において、統計監視機能から受信した不正アクセスの疑いのあるシグナリングプロトコルと対応するメディアプロトコルの該当アクセスを詳細分析機能へ転送することを特定アクセス転送機能に指示する工程と、
前記特定アクセス転送機能が、
連携制御機能から受信した特定アクセス転送指示に基づき、指定されたメディアプロトコルの該当アクセスを詳細分析機能へ転送する工程と、
前記詳細分析機能が、
特定アクセス転送機能から受信したメディアプロトコルを監視し不正アクセスを検出する工程と、
を含むことを特徴とする不正アクセス監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ＩＳＰ（Internet Service Provider）のネットワーク上で、アプリケーションサーバ向けの不正アクセスの監視手段として、不正アクセス監視制御装置を用いた統計監視と詳細分析の連携監視制御方式を導入し、複数のアプリケーションサーバに対する不正アクセス監視サービスの提供において、機能配備の最適化と、監視装置の共有化によるコストの低減化を行う不正アクセス監視装置および方法に関する。
【背景技術】
【０００２】
近年、インターネット上で公開されている各種アプリケーションサーバに対するサービス拒否攻撃ＤｏＳ（Denial of Service）攻撃などの不正アクセスが多発している。また、一般ユーザによる利用が広がっているアプリケーションの一例としてＶｏＩＰ（Voice over IP）が挙げられるが、ＶｏＩＰにおいては、ＤｏＳ攻撃だけではなく、ＳＰＩＴ（Spam over Internet Telephony）のようにアプリケーションサーバを直接攻撃しサービス提供に影響を及ぼすものではなく、着信者にとって不要な広告などをＶｏＩＰで自動的に送りつけてくるようなユーザ端末側に対する不正アクセスも存在する。
【０００３】
従来、アプリケーションサーバに対する不正アクセスの検出を目的として利用される不正アクセス監視装置として、ＩＤＳ（Intrusion Detection System）が存在する。この実装例としては、非特許文献１に示すものがあり、予め装置内に記録している異常パケットデータと観測パケットデータの比較から異常検出を行うシグネチャマッチング技術により構成されている。
【０００４】
また、ＶｏＩＰにおける不正アクセスの監視技術としては、特許文献１等が公開されている。その他、ＳＰＩＴの対策システムとしては、非特許文献２のシステムが公開されているが、ＳＩＰ  ＳｅｒｖｅｒやＳＢＣ（Session Border Controller）などＶｏＩＰサービスを提供するサーバのモジュールとして機能配備され、通話相手が人間かＳＰＡＭ生成ソフトかをチューリングテストを行うことで判定する技術により構成されている。
【０００５】
上記のいずれの既存技術を用いた場合においても、ＩＳＰネットワーク側で不正アクセスの監視を行う場合、図１に示す通り、これら装置は、監視対象となるアプリケーションサーバを収容するアプリケーションサーバ収容ネットワーク１４−１、１４−２とＩＳＰネットワーク１６との接続地点に位置するルータ等のパケット転送装置１３−１、１３−２もしくはアプリケーションサーバ１０−１、１０−２の近傍に配備される（ＩＤＳ装置１２−１、１２−２参照）。つまり、アプリケーションサーバ収容ネットワーク１４−１、１４−２単位で設置され、監視対象となるアプリケーションサーバ向けの全トラヒックを監視対象とする。これにより、特定アプリケーションサーバ向けのパケットから不正アクセスを高い精度で検出する監視サービスの提供が可能となる。同様に、ユーザ端末１１−１、１１−２に対する直接的な不正アクセスを検出する場合、ユーザ端末１１−１、１１−２を収容するユーザ端末収容ネットワーク１５−１、１５−２毎に、ＩＤＳ装置１２−３、１２−４等を配備する必要がある。
【０００６】
一方、Ｄｏｓ攻撃やＤＤｏＳ（Distributed Denial of Service）攻撃に対する監視方法として、非特許文献３および非特許文献４に記載されている、ネットワーク全域を広域に監視する広域監視機能により異常トラヒック発生を推定した上で、受信端末アドレス単位での詳細分析を行う階層型監視機能も公開されている。これらは、ネットワーク全域をサンプリングされたフロー情報により監視する方法であり、主としてレイヤ４以下を対象としている。
【０００７】
【非特許文献１】米国Ｓｎｏｒｔ．ｏｒｇ資料、[online]、The Snort Project、［２００７年８月１日検索］、インターネット＜http://www.snort.org/docs/snort_manual/2.6.1/snort_manual.pdf＞
【非特許文献２】ＩＰ電話におけるスパム（ＳＰＩＴ）防止法、ＮＥＣ技法、ｖｏｌ．５９、Ｎｏ．２/２００６、１２６頁〜１３１頁、インターネット＜http://www.nec.co.jp/techrep/ja/journal/g06/n02/t060233.pdf＞
【非特許文献３】廣川祐他、“次世代バックボーン向けトラヒック監視システムの開発”、２００６電子情報通信学会総合大会、ＢＳ−５−１１、Ｍａｒｃｈ．２００６
【非特許文献４】大倉一浩他、“階層型監視制御方式の設計”、２００６電子情報通信学会総合大会、Ｂ−７−７０、Ｓｅｐｔｅｍｂｅｒ．２００６
【特許文献１】特開２００６−１００８７３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、従来技術を用いて、ＩＳＰネットワークにおいて複数ユーザに対する不正アクセス監視サービスを提供する場合、以下の課題が存在する。
【０００９】
まず、アプリケーションのレイヤで詳細な監視を行うことが可能なＩＤＳは、パケット処理能力に限界があり、監視対象となるアプリケーションサーバもしくはそれを収容するネットワーク単位で配備する必要がある。従って、監視すべきアプリケーションサーバが増えるほど、該当アプリケーションサーバ収容ネットワークが増えるほど、装置コストが増加する問題を有する。特に、ＩＳＰネットワークにおいて、監視対象となるアプリケーションサーバが分散的に配置されている場合は、この装置コストに関する経済性の問題はより顕著となる。
【００１０】
一方、広域監視装置や前記の階層型監視機能を利用する場合、ネットワーク内で単一のシステムを用いて不正アクセスの監視が可能であるが、サンプリングされたフロー情報を利用しているため、パケット単位やアプリケーションレイヤの不正アクセスの監視は、困難である。
【課題を解決するための手段】
【００１１】
本明細書において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。
【００１２】
請求項１に係る発明は、ユーザ端末からアプリケーションサーバ向けの通過パケットを疎通するパケット転送装置を含んでいるネットワークにおいて不正アクセスを監視する不正アクセス監視装置であって、統計監視機能と、連携制御機能と、特定アクセス転送機能と、詳細分析機能とを有し、前記統計監視機能は、監視対象となるアプリケーションサーバとユーザ端末間のパケット転送経路上に配備され、前記ユーザ端末からアプリケーションサーバ向けの通過パケットを収集する手段と、収集された通過パケットから、指定された特定アプリケーションの特定パケットの統計情報を監視する手段と、特定パケットの統計情報から、不正アクセスの疑いのある懐疑アクセスのフロー情報と対応するアプリケーション情報を有する懐疑アクセスリスト情報を生成する手段と、生成した懐疑アクセスリスト情報を連携制御機能に送信する手段とを備え、前記連携制御機能は、前記懐疑アクセスリスト情報を受信する手段と、前記懐疑アクセスのフロー情報から、該当フローの送信元を収容するパケット転送装置を特定する手段と、特定されたパケット転送装置に対して、フロー情報と対応するアプリケーション情報を有する特定アクセス転送指示を送信する手段と、前記懐疑アクセスのフロー情報と対応するアプリケーション情報を有する詳細分析指示を生成する手段と、前記詳細分析指示を詳細分析機能へ送信し、詳細分析機能からの応答を待つ手段と、詳細分析機能から不正アクセス情報を受信した場合、当該不正アクセス情報に含まれるフロー情報とアプリケーション情報をオペレータまたは外部システムヘ出力する手段とを備え、前記特定アクセス転送機能は、パケット転送装置に具備される機能であり、連携制御機能から特定アクセス転送指示を受信した場合、パケットを中継転送する際に、受信パケットから、特定アクセス転送指示にて指定されるアプリケーションの特定アクセスを抽出する手段と、抽出した特定アクセスを詳細分析機能宛に送信する手段と、を備え、前記詳細分析機能は、前記パケット転送装置から特定アクセスを受信する手段と、前記連携制御機能から詳細分析指示を受信した場合、前記のパケット転送装置から受信した特定アクセスに対して、該当アプリケーションの不正アクセスを検出する手段と、不正アクセスを検出した場合は、不正アクセス情報として該当フロー情報とアプリケーション情報を、連携制御機能に返信する手段と、を備えることを特徴とする。
【００１３】
また、請求項２に係る発明は、ユーザ端末からアプリケーションサーバ向けの通過パケットを疎通するパケット転送装置を含んでいるネットワークにおいて不正アクセスを監視する不正アクセス監視装置における不正アクセス監視方法であって、前記不正アクセス監視装置は、統計監視機能と、連携制御機能と、特定アクセス転送機能と、詳細分析機能とを有し、前記統計監視機能は、監視対象となるアプリケーションサーバとユーザ端末間のパケット転送経路上に配備され、前記特定アクセス転送機能は、パケット転送装置に具備される機能であり、前記統計監視機能が、前記ユーザ端末からアプリケーションサーバ向けの通過パケットを収集する工程と、収集された通過パケットから、指定された特定アプリケーションの特定パケットの統計情報を監視する工程と、特定パケットの統計情報から、不正アクセスの疑いのある懐疑アクセスのフロー情報と対応するアプリケーション情報を有する懐疑アクセスリスト情報を生成する工程と、生成した懐疑アクセスリスト情報を連携制御機能に送信する工程と、前記連携制御機能が、前記懐疑アクセスリスト情報を受信する工程と、前記懐疑アクセスのフロー情報から、該当フローの送信元を収容するパケット転送装置を特定する工程と、特定されたパケット転送装置に対して、フロー情報と対応するアプリケーション情報を有する特定アクセス転送指示を送信する工程と、前記懐疑アクセスのフロー情報と対応するアプリケーション情報を有する詳細分析指示を生成する工程と、前記詳細分析指示を詳細分析機能に送信し、詳細分析機能からの応答を待つ工程と、前記特定アクセス転送機能が、連携制御機能から特定アクセス転送指示を受信した場合、パケットを中継転送する際に、受信パケットから、懐疑アクセスリスト情報にて指定されるアプリケーションの特定アクセスを抽出する工程と、抽出した特定アクセスを詳細分析機能宛に送信する工程と、前記詳細分析機能が、前記パケット転送機能から特定アクセスを受信する工程と、前記連携制御機能から詳細分析指示を受信した場合、前記のパケット転送装置から受信した特定アクセスに対して、該当アプリケーションの不正アクセスを検出する工程と、不正アクセスを検出した場合は、不正アクセス情報として該当フロー情報とアプリケーション情報を、連携制御機能に返信する工程と、前記連携制御機能が、詳細分析機能から不正アクセス情報を受信した場合、当該不正アクセス情報に含まれるフロー情報とアプリケーション情報をオペレータまたは外部システムヘ出力する工程とを含むことを特徴とする。
【００１４】
また、請求項３に係る発明は、請求項２に記載の不正アクセス監視方法において、アプリケーションサーバとユーザ端末間のパケット転送経路上に統計監視機能が配備されていないアプリケーションサーバを収容するパケット転送装置の特定アクセス転送機能が、監視対象となるアプリケーションのアクセスを、指定の統計監視機能に転送する工程と、前記指定の統計監視機能が、前記パケット転送装置から転送された監視対象となるアプリケーションのアクセスを含む情報から、不正アクセスの疑いのある複数アクセスのフロー情報と対応するアプリケーション情報からなる懐疑アクセスリスト情報を生成する工程とを含むことを特徴とする。
【００１５】
また、請求項４に係る発明は、請求項２または請求項３に記載の不正アクセス監視方法において、前記統計監視機能が、監視対象となるアプリケーションサーバ向けの当該アプリケーションのシグナリングプロトコルのアクセスを監視対象とする工程と、前記のシグナリングプロトコルの監視から、不正アクセスの疑いのあるシグナリングプロトコルのアクセス情報を検出し、不正アクセスの疑いのあるシグナリングプロトコルと対応するメディアプロトコル情報を有する懐疑アクセスリスト情報を連携制御機能に通知する工程と、前記連携制御機能が、特定アクセス転送指示において、統計監視機能から受信した不正アクセスの疑いのあるシグナリングプロトコルと対応するメディアプロトコルの該当アクセスを詳細分析機能へ転送することを特定アクセス転送機能に指示する工程と、前記特定アクセス転送機能が、連携制御機能から受信した特定アクセス転送指示に基づき、指定されたメディアプロトコルの該当アクセスを詳細分析機能へ転送する工程と、前記詳細分析機能が、特定アクセス転送機能から受信したメディアプロトコルを監視し不正アクセスを検出する工程と、を含むことを特徴とする。
【発明の効果】
【００１６】
請求項１または２の発明によれば、統計監視機能により不正アクセスを監視対象となる全アプリケーションサーバに対して監視し、その後、検出した懐疑アクセスリストに基づき、特定アクセス転送機能により該当アクセスのみを詳細分析機能に転送することで、アプリケーションレイヤの詳細な不正アクセスの監視を可能としている。これにより、例えば、全ての監視対象であるアプリケーションサーバを収容するネットワーク毎には、機能の限定された統計監視機能を配備し、高度なアプリケーションレイヤの処理を必要とする詳細分析機能については集中的に配備し、複数のユーザで共用化することが可能となる。つまり、従来技術のように全てのアプリケーションサーバ毎に高度な処理を必要とする機能を配備する必要がなくなるため、ＩＳＰネットワーク全体で不正アクセス監視装置に関する導入コストおよび運用コストを削減することができるという効果を得る。
【００１７】
また、請求項３の発明によれば、全てのアプリケーションサーバ収容ネットワーク毎に統計監視機能を配備する必要がなくなり、監視アプリケーションサーバの処理トラヒック量が少ない場合には統計監視機能についても共用効果が得られ、更なるコスト削減効果が得られる。
【００１８】
また、請求項１〜４の発明により、通常アプリケーションサーバ側にのみ不正アクセス監視装置を配備した場合には、ユーザ端末収容ネットワーク間の通信を監視することは該当アクセスが監視装置を通過しないため不可能であるが、本発明では、特定アクセス転送機能により、該当アクセスを不正アクセス監視装置に転送することで可能となる。
【００１９】
更に請求項４の発明によれば、統計監視機能においては、監視アプリケーションのシグナリングプロトコルを監視し、詳細分析機能によりメディアプロトコルを監視することで、例えば、ＶｏＩＰにおけるＳＰＩＴなどのシグナリングプロトコルだけでは検出不可能な不正アクセスの検出が可能となり、ユーザ端末側に高度な処理機能を配備することなく、検出可能な不正アクセスの種別が拡大する効果を得る。
【発明を実施するための最良の形態】
【００２０】
以下、本発明の実施形態の不正アクセス監視装置および監視方法について図を参照して詳細に説明する。
図２に、本発明の実施形態１の不正アクセス監視装置を示す。１０−１、１０−２はアプリケーションサーバ、１１−１、１１−２はユーザ端末、１３−１、１３−２はパケット転送装置、１４−１、１４−２はアプリケーションサーバ収容ネットワーク、１５−１、１５−２はユーザ端末収容ネットワーク、１６はＩＳＰネットワーク、１７−１、１７−２は統計監視機能、１８は連携制御機能、１９は詳細分析機能、２０−１、２０−２は特定アクセス転送機能を有するパケット転送装置、２１はオペレータ／外部システムである。
【００２１】
本実施形態は、統計監視機能１７−１、１７−２により、監視対象となるアプリケーションサーバ１０−１、１０−２向けの当該アプリケーションのアクセスを監視し不正アクセスの疑いのある懐疑アクセスリストを作成し、懐疑アクセスリストに該当するアクセスのみを、詳細分析機能１９に転送し、詳細な監視を行う方法を採用する。これにより、監視対象毎に配備する機能を単純化し、高度な処理を必要とする機能は集中的に配備し複数ユーザで共有することが可能となる。本実施形態は、新たに導入する連携制御機能１８によってなされる統計監視機能１７−１、１７−２と詳細分析機能１９の連係動作によって実現される。
【００２２】
本実施形態の不正アクセス監視装置は、ユーザ端末１１−１、１１−２からアプリケーションサーバ１０−１、１０−２向けの通過パケットを疎通する複数のパケット転送装置１３−１、１３−２を含んでいるネットワークにおいて不正アクセスを監視する装置であり、統計監視機能１７−１、１７−２と連携制御機能１８と特定アクセス転送機能（パケット転送装置２０−１、２０−２が有する機能）と詳細分析機能１９とを有している。
【００２３】
統計監視機能１７−１、１７−２は、監視対象となるアプリケーションサーバ１０−１、１０−２とユーザ端末１１−１、１１−２間のパケット転送経路上に配備され、ユーザ端末１１−１、１１−２からアプリケーションサーバ１０−１、１０−２向けの通過パケットを収集する手段と、収集された通過パケットから指定された特定アプリケーションの特定パケットの統計情報を監視する手段と、特定パケットの統計情報から不正アクセスの疑いのある懐疑アクセスのフロー情報と対応するアプリケーション情報からなる懐疑アクセスリスト情報を生成する手段と、懐疑アクセスリスト情報を連携制御機能１８に送信する手段とを備える。
【００２４】
連携制御機能１８は、統計監視機能１７−１、１７−２から懐疑アクセスリスト情報を受信した場合、状態管理番号を生成し、前記懐疑アクセスのフロー情報とアプリケーション情報を状態管理テーブルに蓄積する手段と、フロー情報から、該当フローの送信元を収容するパケット転送装置を特定する手段と、特定されたパケット転送装置２０−１、２０−２に対して、フロー情報と対応するアプリケーション情報からなる特定アクセス転送指示を送信する手段と、前記懐疑アクセスのフロー情報と対応するアプリケーション情報からなる詳細分析指示を生成する手段と、前記詳細分析指示を詳細分析機能１９へ送信し、詳細分析機能１９からの応答を待つ手段と、詳細分析機能１９から不正アクセス情報を受信した場合、当該不正アクセス情報に含まれるフロー情報とアプリケーション情報をオペレータまたは外部システム２１ヘ出力する手段を備える。
【００２５】
特定アクセス転送機能は、パケット転送装置２０−１、２０−２に具備される機能であり、連携制御機能１８から特定アクセス転送指示情報を受信した場合、パケットを中継転送する際に受信パケットから特定アクセス転送指示にて指定される特定アプリケーションの特定アクセスを抽出する手段と、抽出した特定アクセスを指定された詳細分析機能１９宛に送信する手段とを備える。
【００２６】
詳細分析機能１９は、パケット転送装置２０−１、２０−２に具備された特定アクセス転送機能から特定アクセスを受信する手段と、連携制御機能１８から詳細分析指示を受信した場合、パケット転送装置２０−１、２０−２に具備された特定アクセス転送機能から受信したアクセスに対して、詳細分析指示に基づいてアプリケーション情報を抽出し、該当アプリケーションの不正アクセスを検出する手段と、不正アクセスを検出した場合は、不正アクセス情報として該当フロー情報とアプリケーション情報を、連携制御機能１９に返信する手段を備える。
【００２７】
不正アクセス監視装置における不正アクセス監視方法は次のとおりである。統計監視機能１７−１、１７−２が、収集された通過パケットから、指定された特定アプリケーションの特定パケットの統計情報を監視し、不正アクセスの疑いのある複数アクセスのフロー情報と対応するアプリケーション情報からなる懐疑アクセスリスト情報を生成し、生成した懐疑アクセスリスト情報を連携制御機能１８に送信する。連携制御機能１８が、懐疑アクセスリスト情報を受信した場合、前記のフロー情報と対応するアプリケーション情報からなる詳細分析指示を詳細分析機能１９に送信し、詳細分析機能１９からの応答を待つ。また、連携制御機能１８が、前記懐疑アクセスリスト情報内のフロー情報から、該当フローの送信元を収容するパケット転送装置を特定し、当該パケット転送装置２０−１、２０−２に対して、特定アクセス転送指示を送信する。パケット転送装置２０−１、２０−２に具備された特定アクセス転送機能が、連携制御機能１８から特定アクセス転送指示を受信した場合、パケットを中継転送する際に受信パケットから懐疑アクセスリスト情報にて指定される特定アプリケーションの特定アクセスを抽出し、詳細分析機能１９宛に送信する。詳細分析機能１９が、パケット転送装置２０−１、２０−２に具備された特定アクセス転送機能から特定アクセスを受信し、該当アプリケーションの不正アクセスを検出する。詳細分析機能１９が不正アクセスを検出した場合は、不正アクセス情報として該当フロー情報とアプリケーション情報を、連携制御機能１８に返信する。連携制御機能１８が、不正アクセス情報を受信した場合、不正アクセス情報をオペレータまたは外部システム２１ヘ出力する。
【００２８】
図７に、本発明の実施形態２の不正アクセス監視装置を示す。本実施形態は統計監視機能が監視対象となるアプリケーションサーバとユーザ端末間のパケット転送経路上に配備できない場合の不正アクセス監視装置である。実施形態１の図２ではパケット転送装置１３−２に統計監視機能１７−２が配備されていたが、本実施形態の図７ではパケット転送装置２０−３には統計監視機能は配備されていない。本実施形態ではパケット転送装置２０−３は特定アクセス転送機能を具備している。
【００２９】
アプリケーションサーバ１０−２を収容するパケット転送装置２０−３は、その特定アクセス転送機能を利用し、監視対象となるアプリケーションのアクセスを指定の統計監視機能１７−１に転送する。統計監視機能１７−１は、パケット転送装置１３−１で収集された通過パケットとパケット転送装置２０−３から転送された監視対象となるアプリケーションのアクセスに基づいて、不正アクセスの疑いのある複数アクセスのフロー情報と対応するアプリケーション情報からなる懐疑アクセスリスト情報を生成し、生成した懐疑アクセスリスト情報を連携制御機能に送信する。
【００３０】
また、実施形態１、２において、統計監視機能１７が、監視対象となるアプリケーションサーバ向けの当該アプリケーションのシグナリングプロトコルのパケットを監視対象とし、連携制御機能１８が、特定アクセス転送指示として、対応するメディアプロトコルの該当アクセスを詳細分析機能１９へ転送することをパケット転送装置２０に具備された特定アクセス転送機能に指示し、特定アクセス転送機能が連携制御機能１８から受信した特定アクセス転送指示に基づき、指定されたメディアプロトコルの該当アクセスを詳細分析機能へ転送し、詳細分析機能１９が、特定アクセス転送機能から受信したメディアプロトコルを監視し不正アクセスを検出するようにしても良い。
【００３１】
以下、不正アクセス監視装置および方法の実施例１〜２を説明する。
【実施例１】
【００３２】
実施例１として、監視対象のアプリケーションをＶｏＩＰとした場合を図２〜図６を用いて説明する。
【００３３】
まず、図２においてＩＳＰネットワーク１６上に、ＳＩＰサーバ（アプリケーションサーバ１０）が設置されているものとする。ユーザ端末１１はＩＰ電話端末であるものとし、ユーザ端末収容ネットワーク１５を介してパケット転送装置（特定アクセス転送機能）２０に収容されている。なお、「アプリケーションサーバ１０−１、１０−２」等をまとめて「アプリケーションサーバ１０」等と記載する。
【００３４】
ここで、統計監視機能１７は、ＩＳＰネットワーク１６におけるエッジルータなどに相当するパケット転送装置１３に、ポートミラーリングで接続され、ユーザ端末１１からのＳＩＰサーバ（アプリケーションサーバ１０）向けのＳＩＰアクセスを監視している。なお、このとき統計監視機能１７は、パケット転送装置１３にインラインで接続されていても良い。また、詳細分析機能１９は、同様にＩＳＰネットワーク１６に接続されている。統計監視機能１７と詳細分析機能１９の上位には、連携制御機能１８がネットワークを介して接続されている。オペレータ／外部システム２１は、連携制御機能１８に接続されており、本連携制御装置の監視結果を受信する。
【００３５】
ここで、ユーザ端末１１−１がＳＰＩＴの送信元であり、ユーザ端末１１−２やその他のＶｏＩＰ端末に対してＳＰＩＴを多数送信しているケースを想定し、ＳＰＩＴを不正アクセスとして検出する動作例を説明する。この場合、例えば、ユーザ端末１１−１からユーザ端末１１−２宛のＶｏＩＰ通信は、両者のＳＩＰサーバであるアプリケーションサーバ１０−１に対するＳＩＰ通信（シグナリングプロトコル）と、ユーザ端末１１−１−ユーザ端末１１−２間のＲＴＰ通信（メディアプロトコル）とに分けられる。
【００３６】
まず、統計監視機能（図２の１７）の動作について説明する。図３は、統計監視機能の機能ブロック図である。統計監視機能３０は、入出力インタフェース部３１、監視パケットフィルタ機能部３２、監視パケット情報蓄積部３３、監視パケット量測定部３４、懐疑アクセスリスト情報生成部３５、懐疑アクセスリスト情報送信部３６を備えている。入出力インタフェース部３１は、ＬＡＮやＷＡＮ用のネットワークインタフェースボードなどの通信デバイスであり、パケット転送装置や連携制御機能とデータの送受信を行う。
【００３７】
ここで入出力インタフェース部３１−１は、ＳＩＰアクセスの通過するパケット転送装置に接続されており、該当パケット転送装置を通過するパケットが、監視パケットフィルタ機能部３２を介して、送受信される。監視パケットフィルタ機能部３２では、あらかじめ設定されたフィルタ条件（例えば、ＳＩＰにおけるＩＮＶＩＴＥパケットを抽出）に基づき、通過パケットの中から該当するパケット情報を監視パケット情報蓄積部３３に保存する。監視パケット量測定部３４では、監視パケット情報蓄積部３３の情報から、例えば、送信元ＩＰアドレスやＳＩＰ  ＵＲＩによる統計情報を算出し、ＳＩＰアクセスの多い上位ｎ番の送信元情報を懐疑アクセスリスト情報生成部３５に通知する。懐疑アクセスリスト情報生成部３５では、通知された当該統計情報から、付随するＶｏＩＰ通信情報を監視パケット情報蓄積部３３から取得し、懐疑アクセスリスト情報を生成する。懐疑アクセスリスト情報に含める情報としては、該当ＳＩＰアクセスの５−ｔｕｐｌｅ情報（送信元／宛先ＩＰアドレス、送信元／宛先ポート番号、プロトコル）や、対応するＲＴＰの５−ｔｕｐｌｅ情報とする。懐疑アクセスリストの例を図８に示す。懐疑アクセスリスト情報送信部３６では、懐疑アクセスリスト生成部３５にて生成された懐疑アクセスリスト情報を入出力インタフェース部３１−２を介して、連携制御機能に送信する。このように統計監視機能では、ＳＩＰ通信の監視を行うが本機能では、ＳＩＰプロトコルを終端し処理するのではなく、あくまでも特定パケットの統計情報を監視するため、比較的軽い処理の動作となり、機能の高速化もしくは実装装置の低コスト化が可能である。
【００３８】
図８の懐疑アクセスリストリストの例について説明すると、例えば、１行目では、宛先ＩＰアドレス（Ｄｓｔ．ＩＰ）は10.0.10.1であり、宛先ポート番号（Ｄｓｔ．ｐｏｒｔ）は15008であり、送信元ＩＰアドレス（Ｓｒｃ．ＩＰ）は10.0.20.2であり、送信元ポート番号（Ｓｒｃ．Ｐｏｒｔ）は5004であり、プロトコルはＲＴＰである。宛先ポート番号（Ｄｓｔ．ｐｏｒｔ）、送信元ＩＰアドレス（Ｓｒｃ．ＩＰ）、送信元ポート番号（Ｓｒｃ．Ｐｏｒｔ）、プロトコルはフロー情報であり、ＳＩＰ  ＵＲＩ  Ｔｏ、ＳＩＰ  ＵＲＩ  Ｆｒｏｍはフロー情報に対応するアプリケーション情報である。したがって、懐疑アクセスリストは、不正アクセスの疑いのあるアクセスのフロー情報と対応するアプリケーション情報を有している。
【００３９】
次に連携制御機能（図２の１８）の動作について説明する。図４は、連携制御機能の機能ブロック図である。連携制御機能４０は、入出力インタフェース部４１、懐疑アクセスリスト情報受信部４２、状態管理テーブル４３、特定アクセス転送指示生成部４４、ネットワークトポロジ情報４５、特定アクセス転送指示送信部４６、詳細分析情報処理部４７、詳細分析情報送受信部４８、不正アクセス情報出力部４９を備える。ここで、懐疑アクセスリスト情報受信部４２は、前記の統計監視機能から、入出力インタフェース部４１を介して、懐疑アクセスリスト情報を受信し、状態管理テーブル４３に格納する。詳細分析情報処理部４７は、状態管理テーブル４３から、懐疑アクセスリスト情報を抽出し、詳細分析情報送受信部４８により、詳細分析指示として、詳細分析機能に送信する。一方、特定アクセス転送指示生成部４４では、状態管理テーブルから抽出した懐疑アクセスリスト情報から、送信元ＩＰアドレスを抽出し、特定アクセス転送機能を有するパケット転送装置とそれが収容するＩＰアドレスの一覧であるネットワークトポロジ情報４５から、送信元ＩＰアドレスに対応するパケット転送装置を特定する。特定アクセス転送指示送信部４６では、特定アクセス転送指示生成部４４から、該当パケット転送装置と対応する懐疑アクセスリスト情報を取得し、パケット転送装置に対して特定アクセス転送指示を送信する。なお、この特定アクセス転送指示は、例えばルータに対してｔｅｌｎｅｔによるＣＬＩ（Command Line Interface）経由で設定コマンドを設定することに該当する。なお、詳細分析情報処理部４７では、後述する詳細分析機能から受信した不正アクセス情報を不正アクセス情報出力部４９により、オペレータまたは外部システムに通知することで、一連の不正アクセスの検出動作が完了する。
【００４０】
続いて、パケット転送装置（特定アクセス転送機能）（図２の２０）の動作について説明する。図５は、特定アクセス転送機能を有するパケット転送装置の機能ブロック図である。このパケット転送装置は、入出力インタフェース部５１、特定アクセスフィルタ機能部５２、ルーティング機能部５３、特定アクセス生成部５４、特定アクセス送信部５５、特定アクセス転送指示受信部５６を備えている。ここで、特定アクセス転送指示受信部５６が、前記の特定アクセス転送指示を連携制御機能から受信すると、該当指示を特定アクセスフィルタ機能部５２および特定アクセス生成部５４に通知する。パケット転送装置５０は、他のパケット転送装置と接続される入出力インタフェース部５１−１とＩＰパケットの転送処理を行うルーティング機能部５３を備えるルータであるが、入力パケットは特定アクセスフィルタ機能部５２を通過して、ルーティング機能部５３に転送される構造をとる。その際、特定アクセスフィルタ機能部５２では、前記の通知された特定アクセス転送指示により指定された特定アクセスを抽出し、特定アクセス生成部５４に送信する。特定アクセス生成部５４では、特定アクセス転送指示によって指定された詳細分析機能宛のアクセスとして、抽出した特定アクセスを送信する。ここでは、特定アクセスの設定例として、懐疑アクセスリストのＳＩＰアクセスに対応するＲＴＰセッション情報を用いる。これにより、統計監視機能で検出した不正アクセスの疑いのあるＳＩＰアクセスに対応するＲＴＰアクセスを詳細分析機能に転送することが可能となる。
【００４１】
最後に、詳細分析機能（図２の１９）の動作について説明する。図６は、詳細分析機能の機能ブロック図である。詳細分析機能６０は、入出力インタフェース部６１、アクセス情報蓄積部６２、不正アクセス分析機能部６３、不正アクセス情報生成部６４、不正アクセス情報送信部６５、詳細分析指示受信部６６を備えている。アクセス情報蓄積部６２は、前記のパケット転送装置（特定アクセス転送機能）から、ＲＴＰ通信のアクセスを受信し、蓄積する。不正アクセス分析機能部６３は、あらかじめ詳細分析指示受信部６６を経由して通知された詳細分析指示に基づき、該当アクセスを監視する。例えば、指定されたＲＴＰセッションのＲＴＰパケットの受信間隔の異常などから不正アクセスを検出する。不正アクセス情報生成部６４では、検出された不正アクセス情報を不正アクセス情報送信部６５を介して、連携制御機能に通知する。
【００４２】
上述のとおり、実施例１の説明では、統計監視機能、連携制御機能、特定アクセス転送機能、詳細分析機能が連携動作することで、ＶｏＩＰの不正アクセスに対して、ＳＩＰ通信を統計的に監視し、ＲＴＰ通信を詳細に監視する動作例について説明することで、本発明の実施例１を構成する機能の詳細を説明した。
【実施例２】
【００４３】
実施例２では、一部のアプリケーションサーバ向けのアクセスを特定アクセス転送機能によって統計監視機能宛に転送する場合を、実施例１と同様に監視対象のアプリケーションがＶｏＩＰのケースにて説明する。
【００４４】
図７に実施例２の概要を示す。実施例１と異なる点は、この場合はＳＩＰサーバであるアプリケーションサーバ１０−２を直接監視する統計監視機能が無いため、アプリケーションサーバ収容ネットワーク１４−２を介して当該ＳＩＰサーバを収容しているパケット転送装置（特定アクセス転送装置）２０−３により、ユーザ端末１１−２からＳＩＰサーバ（アプリケーションサーバ１０−２）宛のＳＩＰアクセスが、統計監視機能１７−１に転送されていることである。これにより、単一の統計監視機能１７−１によって、２台のＳＩＰサーバ（アプリケーションサーバ１０−１およびアプリケーションサーバ１０−２）の集中監視が可能となる。なお、実施例２においても統計監視機能以降の動作例は実施例１と同様となる。
【００４５】
なお、上述した実施形態および実施例の説明では、統計監視機能、連携制御機能、詳細監視機能、特定アクセス転送機能を、機能面から説明した。不正アクセス監視装置は、上述した各機能に加えて、ＣＰＵ、メモリ、ハードディスクといったデバイスを備えているものとする。また、各機能はＣＰＵによって処理されるプログラムのモジュールであってもよく、ＣＰＵがプログラムを処理することにより、統計監視手段、連携制御手段、詳細監視手段、特定アクセス転送手段が実現される。また、例えば、特定アクセス転送手段はパケット転送装置のＣＰＵがプログラムを処理することにより実現されるようにしてもよい。
【産業上の利用可能性】
【００４６】
以上のように、本発明に係る不正アクセス監視装置および方法は、ＩＳＰネットワークにおいてアプリケーションサーバおよびユーザ端末向けの不正アクセスを監視する手段として有用であり、統計監視機能と詳細分析機能を連携して動作させることで、複数のアプリケーションサーバに対する監視サービスの提供において、機能配備の最適化と監視装置の共有化により設備コストの低減化が可能となると共に、アプリケーションサーバ側のみに不正アクセス監視装置を設置する場合に検出可能な不正アクセス種別が拡大する点で有益である。
【００４７】
以上、本発明者によってなされた発明を、前記実施形態、実施例に基づき具体的に説明したが、本発明は、前記実施形態、実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【図面の簡単な説明】
【００４８】
【図１】従来技術を用いた不正アクセス監視方法の概要を示す図である。
【図２】本発明の実施形態１（実施例１）の不正アクセス監視装置の概要を示す図である。
【図３】統計監視機能の構成を示すブロック図である。
【図４】連携制御機能の構成を示すブロック図である。
【図５】パケット転送装置（特定アクセス転送機能）の構成を示すブロック図である。
【図６】詳細分析機能の構成を示すブロック図である。
【図７】本発明の実施形態２（実施例２）の監視対象となるアプリケーションのアクセスを指定の統計監視機能に転送する工程の概要を示す図である。
【図８】懐疑アクセスリストの例を示す図である。
【符号の説明】
【００４９】
１０…アプリケーションサーバ、１１…ユーザ端末、１２…ＩＤＳ装置、１３…パケット転送装置、１４…アプリケーションサーバ収容ネットワーク、１５…ユーザ端末収容ネットワーク、１６…ＩＳＰネットワーク、１７…統計監視機能、１８…連携制御機能、１９…詳細分析機能、２０…パケット転送装置（特定アクセス転送機能）、２１…オペレータ／外部システム、３０…統計監視機能、３１…入出力インタフェース部、３２…監視パケットフィルタ機能部、３３…監視パケット情報蓄積部、３４…監視パケット量測定部、３５…懐疑アクセスリスト情報生成部、３６…懐疑アクセスリスト情報送信部、４０…連携制御機能、４１…入出力インタフェース部、４２…懐疑アクセスリスト情報受信部、４３…状態管理テーブル、４４…特定アクセス転送指示生成部、４５…ネットワークトポロジ情報、４６…特定アクセス転送指示送信部、４７…詳細分析情報処理部、４８…詳細分析情報送受信部、４９…不正アクセス情報出力部、５０…パケット転送装置（特定アクセス転送機能）、５１…入出力インタフェース部、５２…特定アクセスフィルタ機能部、５３…ルーティング機能部、５４…特定アクセス生成部、５５…特定アクセス送信部、５６…特定アクセス転送指示受信部、６０…詳細分析機能、６１…入出力インタフェース部、６２…アクセス情報蓄積部、６３…不正アクセス分析機能部、６４…不正アクセス情報生成部、６５…不正アクセス情報送信部、６６…詳細分析指示受信部、８０…懐疑アクセスリスト情報
【図１】
0004570652.tif 000002
【図２】
0004570652.tif 000003
【図３】
0004570652.tif 000004
【図４】
0004570652.tif 000005
【図５】
0004570652.tif 000006
【図６】
0004570652.tif 000007
【図７】
0004570652.tif 000008
【図８】
0004570652.tif 000009