(57)【要約】【解決手段】ターゲットネットワーク（１００）上のデバイスの完全性を検証する方法および装置は、ターゲットネットワーク（１００）に接続されたサブシステム（５０）と、安全なリンク（５２）によってサブシステムから隔離されたマスタシステム（６０）との２つのコンポーネントを有する。これらデバイスのお互いのトポロジー上の階層的な関係は、装置の安定性を向上させる。マスタシステム（６０）によるサブシステム（５０）のランダムな検査が、検証および独立したセルフチェックを提供する。
2004525446.tif 000002
【特許請求の範囲】
【請求項１】
複数のコンピュータからなるネットワークに接続されたコンピュータのセキュリティシステムであって、
前記コンピュータと関連付けられ、前記コンピュータに対する攻撃を検出するように構成された少なくとも１つのセキュリティサブシステムと、
前記セキュリティサブシステムとマスタシステムとの間の安全なリンクであって、相互間のデータ通信を可能にする、安全なリンクと、
を備え、
前記マスタシステムは、前記安全なリンクを通じて前記セキュリティサブシステムを監視し、前記セキュリティサブシステムによって検出された攻撃に関する情報を登録する、セキュリティシステム。
【請求項２】
前記マスタシステムと関連付けられ、前記セキュリティサブシステムによって検出可能な前記コンピュータに対する攻撃を生成する擬似攻撃生成器をさらに備え、前記マスタシステムは、前記擬似攻撃を、前記セキュリティサブシステムによって検出された前記攻撃と比較することにより、前記セキュリティサブシステムを監視する、請求項１に記載のセキュリティシステム。
【請求項３】
前記マスタシステムは、前記セキュリティサブシステムから階層的に独立している、請求項１に記載のセキュリティシステム。
【請求項４】
前記セキュリティサブシステムは、前記マスタシステムに階層的に従属する、請求項１に記載のセキュリティシステム。
【請求項５】
複数のコンピュータからなるターゲットネットワークのネットワークセキュリティシステムであって、
前記ターゲットネットワークと関連付けられ、前記ネットワークに対する攻撃を検出するように構成された少なくとも１つのセキュリティサブシステムと、
前記セキュリティサブシステムとマスタシステムとの間の安全なリンクであって、相互間のデータ通信を可能にする、安全なリンクと、
を備え、
前記マスタシステムは、前記安全なリンクを通じて前記セキュリティサブシステムを監視し、前記セキュリティサブシステムによって検出された攻撃に関する情報を登録する、ネットワークセキュリティシステム。
【請求項６】
前記マスタシステムは、前記セキュリティサブシステムから階層的に独立している、請求項５に記載のネットワークセキュリティシステム。
【請求項７】
前記セキュリティサブシステムは、前記マスタシステムに階層的に従属する、請求項５に記載のネットワークセキュリティシステム。
【請求項８】
複数のコンピュータからなるターゲットネットワークのネットワークセキュリティシステムであって、
前記ターゲットネットワークと関連付けられ、前記ターゲットネットワークに対する攻撃を検出し、かつ登録するように構成された少なくとも１つのセキュリティサブシステムと、
前記セキュリティサブシステムとマスタシステムとの間のデータ通信用の安全なリンクと、
前記マスタシステムと関連付けられた検査手段であって、前記マスタシステムによって開始され、かつ前記セキュリティサブシステムによって検出可能な、前記ターゲットネットワークに対する擬似攻撃を生成する、検査手段と、
を備え、
前記マスタシステムは、前記検査手段によって生成された前記擬似攻撃を、前記セキュリティサブシステムによって登録された、前記検出された攻撃と比較することにより、前記安全なリンクを通じて前記セキュリティサブシステムを監視する、
ネットワークセキュリティシステム。
【請求項９】
前記マスタシステムは、前記セキュリティサブシステムから階層的に独立している、請求項８に記載のネットワークセキュリティシステム。
【請求項１０】
前記セキュリティサブシステムは、前記マスタシステムに階層的に従属する、請求項８に記載のネットワークセキュリティシステム。
【請求項１１】
複数のコンピュータからなるターゲットネットワークと関連付けられ、かつ前記複数のコンピュータからなるネットワークに対する攻撃を検出するように構成されたセキュリティサブシステムの完全性を監視する方法であって、
前記セキュリティサブシステムと、前記セキュリティサブシステムから階層的に独立したマスタシステムとの間のデータの転送用の安全なリンクを確立することと、
前記安全なリンクを通じて前記セキュリティサブシステムの状態を監視することと、
前記セキュリティサブシステムの状態に関する情報を登録することと、
を含む方法。
【請求項１２】
前記マスタシステムおよび前記ターゲットネットワークを、複数のコンピュータからなるオープンネットワークに別々に接続するステップと、
前記マスタシステムにおいて、前記セキュリティサブシステムによって検出可能な少なくとも１つの擬似攻撃を生成するステップと、
前記マスタシステムにおいて、前記少なくとも１つの擬似攻撃に対する予想される応答のリストを生成するステップと、
前記オープンネットワークを介して前記ターゲットネットワークへ前記少なくとも１つの擬似攻撃を配信するステップと、
前記擬似攻撃に対する前記セキュリティサブシステムの応答を、前記擬似攻撃に対する前記予想される応答のリストと比較するステップと、
を含む請求項１１に記載のセキュリティシステムの完全性を監視する方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、コンピュータネットワークセキュリティシステムに対する攻撃を防止するコンピュータセキュリティサブシステムの完全性を検証する方法および装置に関する。
【背景技術】
【０００２】
多種多様なコンピュータネットワーク間の接続の増大と、それに対応する、ネットワーク接続された情報システムへの増大と共に、安全なシステムへのアクセスの制限を強化し、かつ安全なシステムへの侵入を防ぐ強固なセキュリティの必要性が劇的に増加している。また、相互接続されたネットワークのトポロジーも、ますます複雑になってきており、多くの場合、安全なシステムを、増加する攻撃の脅威にさらすインターネットのようなオープンネットワークを伴っている。その結果、侵入の検出および応答に対する現在のすべての要求に対処する単一の解決法は、まだ提案されていない。その代わりに、セキュリティデバイスおよびセキュリティ技法の膨大な各種取り合わせが、発展してきており、かつ、一般に、個々のシステム上で異なって実施されている。この結果、全体的なセキュリティは、攻撃に、そして異なるセキュリティデバイスおよびセキュリティ技法の寄せ集めを自身で実施する個々のシステムに、本質的に影響されやすい間に合わせのものになってしまっている。
【０００３】
コンピュータネットワークに認可なくアクセスしようとする試みは、ネットワークのセキュリティトポロジーに本来備わっている抜け穴を利用する。例えば、インターネットに接続された安全なシステムは、認可されていないアクセスを防ぐために、ファイアウォールおよび侵入検出システムを含むことがあるが、多くの場合、個々のセキュリティコンポーネントの弱点が探し出され、うまく付け込まれることが知られている。新しい技術を迅速に導入することは、問題を悪化させる。セキュリティの侵害が発生するまで知られていない追加の弱点を作るか、あるいはさらすことになるからである。
【０００４】
現在の侵入検出および応答システムが共通に持つ基本的な弱点は、それらの「フラット」な実施、すなわち階層的でない実施である。図１に示す構成は、このような通常のネットワークを仮想的な「ターゲットネットワーク」上で実施した場合の例である。ネットワーク１０は、複数のファイルサーバ１４、ワークステーション１６、ネットワーク侵入検出システム（ＩＤＳ）（network intrusion detection system）１８、リモートアクセスサーバ２０およびウェブサーバ２２を含む。これらのデバイスは、ネットワークバックボーン１２を介して相互に接続され、ローカルエリアネットワークまたは広域ネットワーク（ＬＡＮまたはＷＡＮ）を形成する。ルータ２６は、インターネット３０といったオープンネットワークに直接接続され、ネットワークファイアウォール２４を通じて、ネットワークバックボーン１２上のデバイスに接続される。
【０００５】
ファイアウォール２４およびＩＤＳ１８は、ネットワーク１０のセキュリティシステムの一部である。ファイアウォール２４は、インターネット上のホストによるネットワーク上のリソースへのアクセスを制御するように設定することができ、かつそのように機能する。このファイアウォールは、特にファイアウォールの外部からの侵入を選択除去することにより、当該侵入からネットワーク１０を保護する。ＩＤＳ１８は、バックボーン１２を介して送信された情報のパケットを読み取り、侵入者が、ネットワーク１０にアクセスを試みているか、または、既にアクセスしていることを示す特定種類のトランザクションを検出するように構成される。このように、ＩＤＳは、ファイアウォールの外部だけでなく内部の侵入者からもネットワークを保護する。リモートアクセスサーバ２０といった、ネットワーク１０上の他のデバイスも、ネットワークセキュリティに貢献することができる。リモートアクセスサーバ２０は、例えばモデムを介してリモートコンピュータ（図示せず）からネットワーク１０へ直接アクセスすることを許可する。また、リモートアクセスサーバ２０は、例えばユーザ名およびパスワードの検証といったセキュリティ機能も実施して、侵入者が、ネットワークにアクセスすることおよびファイアウォール２４を迂回することを防がなければならない。
【０００６】
インターネットに接続されたターゲットネットワーク上の通常の侵入シナリオでは、侵入者は、まず、利用可能な公開情報からターゲットネットワークについてできるだけ多くのことを学習するであろう。この段階で、侵入者は、「ｗｈｏｉｓ（フーイズ）」検索を行うことができるか、または、ターゲットと関連したＤＮＳテーブルまたは公開ウェブサイトを調査することができる。次に、侵入者は、情報を求めて、さまざまな一般的な読み取り技法に従事するであろう。侵入者は、ターゲットネットワーク上のどのマシンが作動しているかを見るために、「ｐｉｎｇ（ピング）」スィープを行うことができるし、あるいは、「ｒｃｐｉｎｆｏ」、「ｓｈｏｗｍｏｕｎｔ」または「ｓｎｍｐｗａｌｋ」といった当該技術分野で周知のさまざまな読み取りユーティリティを用いて、ターゲットネットワークのトポロジーに関するより詳細な情報を明らかにすることができる。この段階で、侵入者は、システムに危害を加えていないが、正しく構成されたネットワークＩＤＳは、ネットワーク上の見晴らしのきく位置に応じて、疑わしいアクティビティの既知のパターンに従う侵入者の調査技法を検出し、報告することができるはずである。これらの静的な定義は、「侵入シグネチャ（intrusion signature）」として知られ、侵入者が、疑わしいアクティビティについての確立した定義に厳密に従った１つの動作または一連の動作を行った場合にのみ有効である。その結果、ＩＤＳが更新されないか、無効にされているか、または、未知もしくは新しい攻撃方法に遭遇すると、ＩＤＳは、適切に応答しないであろう。しかしながら、この攻撃の時点で、ターゲットネットワークへのさらなる侵入を防ぐための措置が講じられないと、侵入者は、あらゆるセキュリティの弱点（例えば、侵入者に対して先に対処しなかったかもしれないＩＤＳ）に付け込み、かつ、ネットワーク上の足場を確保して、ネットワークへの実際の侵略を開始することができる。侵入者は、一旦侵略を行うと、あらゆる残りのＩＤＳまたはファイアウォールを含む、ターゲットネットワークに属する任意のデバイスを変更するか、または無効にすることが可能となることがある。
【０００７】
侵入者が、コンピュータネットワークに認可なくアクセスするために使用する方法は、セキュリティ技術の進歩に伴い、横並びで高度化する。しかしながら、ネットワークシステムに対する功を奏する攻撃は、ターゲットネットワークの代わりに、共通の侵入シグネチャを検出する役割を担うセキュリティサブシステムを攻撃し、それらのシステムを無効にし、かつ、侵入の証拠を破壊することにより開始されることが多いというのが通常である。
【０００８】
Kurtzberg等に付与された米国特許第５，９１６，６４４号は、セキュリティサブシステムの完全性を検査する方法を開示している。この方法では、セキュリティデバイスが機能を果たすことを検証するために、ターゲットコンピュータネットワークに直接接続され、専用に構成されたシステムが、セキュリティデバイスに対する攻撃をシミュレーションすることにより、ネットワーク上のセキュリティを体系的に検査する。具体的には、この開示された方法は、ネットワークに対する攻撃をランダムにシミュレーションする。攻撃が検出されると、セキュリティサブシステムは、機能していると仮定される。攻撃が検出されないと、セキュリティサブシステムは、危険にさらされているとみなされ、攻撃がすでに進行している可能性がある。この方法は、自身をチェックしない受動的なシステムを改良したものであり、したがって、システムが無効にされると、それら自身の状態について適切に報告することができない。
【０００９】
このアプローチの主な欠点は、これらのセキュリティシステムが、保護しようとするネットワークと同じネットワーク上に存在し、侵入者がそのネットワーク上に足場を得るとすぐに、同じように攻撃を受けやすいということである。換言すると、それらのセキュリティシステム自身が、侵入者の攻撃に対して免疫を持たない。その結果、従来技術のそれぞれの進歩は、ネットワーク上の別の新たに打ち倒すセキュリティの障害になるにすぎない。この観点から、Kurtzbergに開示されているアクティブな読み取りアプローチは、階層的ではないという点において、および人間のネットワーク管理者の警戒に完全に依存しているという点において、基本的に、他のどのセキュリティ手段（例えばファイアウォール）とも異ならない。
【００１０】
したがって、内部の侵入者および外部の侵入者の双方からターゲットネットワークを保護できる自己診断ネットワークセキュリティシステムであり、かつ当該自己診断ネットワークセキュリティシステムが保護の目的で配備された対象となるシステムに対する絶え間のない攻撃に対して抵抗力を有する自己診断ネットワークセキュリティシステムに対する要求が存在する。さらに、人間のネットワーク管理者が存在しなくても、検知されたセキュリティの脅威に対して、計画的な動作を取るアクティブなセキュリティシステムに対する要求が存在する。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
したがって、本発明の目的は、従来技術の上述した問題を解決することができる、複数のコンピュータからなるネットワークのネットワークセキュリティシステムを提供することである。
【００１２】
本発明の別の目的は、ネットワーク上の複数のネットワークセキュリティデバイスを、そのネットワークのセキュリティを危険にさらす試みを示唆する攻撃シグネチャおよび他の疑わしいネットワークアクティビティに関して直接監視することができるコンポーネントを有するネットワークセキュリティシステムを提供することである。
【００１３】
本発明の別の目的は、単一のネットワークまたは他の点では関連しない複数のネットワークのネットワークセキュリティを危険にさらす試みを示唆するネットワークアクティビティの新しいパターンまたは傾向を動的に検出することができるネットワークセキュリティシステムを提供することである。
【００１４】
本発明の別の目的は、ネットワークに対する攻撃中に、侵入を阻止することができるネットワークセキュリティシステムを提供することである。
【００１５】
本発明の別の目的は、ネットワーク上のセキュリティデバイスに完全性の検証を提供し、自身の完全性も確実に検証することができるセキュリティシステムを提供することである。
【００１６】
本発明の別の目的は、攻撃が検出された後、侵入者がさらにネットワークにアクセスすることを防ぐための是正措置を取ることができるセキュリティシステムをコンピュータネットワークに提供することである。
【００１７】
本発明の別の目的は、オープンネットワークに接続された個々のコンピュータに、上記目的を満たすセキュリティシステムを提供することである。
【課題を解決するための手段】
【００１８】
本発明の一例によると、少なくとも１つのセキュリティサブシステムを有するターゲットネットワークへの侵入を防ぐネットワークセキュリティシステムが提供される。このセキュリティサブシステムは、ターゲットネットワークにローカルであり、ネットワークトラフィックを監視し、かつ侵入者によるシステムへの攻撃を検出するために提供される。このサブシステムは、安全なリンクを介してマスタシステムに接続される。マスタシステムは、この安全なリンク以外には、ターゲットシステムと接続されない。マスタシステムは、安全なリンクを介してサブシステムを監視し、サブシステムの状態に関する情報を登録する。サブシステムが、ターゲットシステムに対する攻撃を検出するか、またはサブシステムが、マスタシステムに応答しない場合には、マスタシステムは、出来事のログへの記録またはネットワーク管理者への通知からネットワークのシャットダウンの試みまでの適切な動作を取ることになる。したがって、サブシステムを完全に無効にする攻撃であっても、リンクが安全である限り、マスタシステムが応答することを妨げないことになる。
【００１９】
本発明の別の例によると、複数レベルの階層が実施され、サブシステムをマスタシステムに従属させる。この構成では、マスタシステムからサブシステムへのみコマンドを渡すことができる。これは、たとえ、ターゲットネットワークまたはサブシステム自体に対する攻撃が成功しても、このことにより、マスタシステムの完全性を損なうことができないことを確実にする。したがって、たとえ、サブシステムが破壊され、サブシステムとマスタシステムとの間のリンクが危険にさらされても、このことは、マスタシステムを無効にするには十分ではない。
【００２０】
本発明の別の例によると、マスタシステムと関連付けられた擬似攻撃生成器が提供される。この擬似攻撃生成器は、サブシステムによって検出されるべき、ターゲットネットワークに対する攻撃をシミュレーションする。マスタシステムは、ターゲットネットワークに対して行われた擬似攻撃を、サブシステムによって実際に検出された攻撃と比較することにより、サブシステムの完全性が脅かされているかどうかを判断することができる。同様にして、サブシステムは、それ自身の擬似攻撃を、他のネットワークセキュリティコンポーネントに対して生成し、それらのコンポーネントの完全性を確かめることもできる。したがって、ターゲットネットワークに接続されたあらゆるセキュリティ関連デバイスを包括的に検査することが可能になる。
【００２１】
本発明の別の例によると、サブシステム、およびサブシステムを通じて動作するマスタシステムは、ターゲットネットワークに対する疑わしい侵入者の攻撃を緩和するか、または阻止する是正措置を実施することができる。
【発明を実施するための最良の形態】
【００２２】
本発明によるネットワークセキュリティシステムの好ましい実施の形態について、添付図面を参照しながら、以下に説明する。
【００２３】
図２を参照して、本発明の第１の実施の形態が示されている。ターゲットネットワーク１００は、セキュリティサブシステム５０を加えて、図１に示す従来技術のネットワークと同じ基本コンポーネントを有するものとして示されている。しかしながら、ターゲットネットワークの実際の構成は、少なくとも１つのセキュリティサブシステム５０を除いて、重要ではないことに留意すべきである。セキュリティサブシステム５０、サーバ１４、ワークステーション１６、ＩＤＳ１８、リモートアクセスサーバ２０、ウェブサーバ２２、ファイアウォール２４およびルータ２６のそれぞれは、ネットワークバックボーン１２を介して相互に接続される。これらのデバイスのそれぞれは、例えば送信制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）といった所定の通信プロトコルに従って、バックボーンを介して通信を行う。
【００２４】
ターゲットネットワーク１００は、ファイアウォール２４およびルータ２６を通じてインターネット３０に接続されると共に、リモートユーザ２１を通じてインターネット３０に選択的に接続することもできるリモートアクセスサーバ２０を通じてインターネット３０に接続される。オープンネットワーク、ここではインターネットとのこれら２つの可能性のある接触ポイントは、ターゲットネットワーク１００を、例えばインターネットユーザ３１といった、インターネットにアクセスする任意のホストからの侵入の脅威にさらす。この外部からの脅威に加えて、ターゲットネットワーク１００のリソースへ直接アクセスする者、例えば、ワークステーション１６の１つを使用する者も、侵入の脅威の原因となる。侵入者が、例えばＩＤＳ１８もしくはファイアウォール２４または信頼されている任意のコンピュータといった重要なセキュリティ関連デバイスの１つに、ターゲットネットワーク１００の内部または外部からアクセスすると、ネットワークのセキュリティが脅かされる可能性がある。
【００２５】
本発明では、セキュリティサブシステム５０は、ネットワークバックボーン１２に接続され、安全なリンク５２によってネットワークのデバイスのそれぞれにリンクされる。このような安全なリンクは、例えばセキュアソケットレイヤ（ＳＳＬ）といった暗号化通信プロトコルを通じて確立することができる。この安全なリンクは、侵入者が、セキュリティサブシステム５０とターゲットネットワークの他のコンポーネントとの間の通信を傍受することを、確実に不可能にする。同様の安全なリンク５４が、セキュリティサブシステム５０と、リモートネットワーク１１０に接続されたマスタシステム６０との間の仮想プライベートネットワーク（ＶＰＮ）のトンネルとして確立される。このリモートネットワークは、それ自身のファイアウォール６２、サーバ６６、およびルータ６８を有するものとして示されているが、リモートネットワーク１１０の最終的な構成は、セキュリティサブシステム５０とマスタシステム６０とを接続する安全なリンク５４以外に重要ではない。一方で、安全なリンク５５が、例えばネットワークスキャナ６３といったデバイスと、ネットワーク１００上のルータ２６またはリモートユーザ２１との間に確立されてもよい。安全なリンク５４は、侵入者が、これら２つのネットワーク間の通信を傍受することを、確実に不可能にする。したがって、安全なリンクを介すること以外に、ターゲットネットワーク１００とリモートネットワーク１１０との間に直接の接続は存在すべきでない。
【００２６】
ここで定義されるセキュリティシステムは、ソフトウェアパッケージとして組み込まれ、少なくともマスタシステムおよびセキュリティサブシステムを備えるコンピュータ上で実施されることが好ましい。
【００２７】
動作中、セキュリティサブシステム５０は、ターゲットネットワーク１００のデバイスのアクティビティを監視する。特に、ＩＤＳ１８およびファイアウォール２４の重要なセキュリティ関連機能が検査される。これらのデバイスの検査において、セキュリティサブシステム５０によって使用される特定の方法は、重要ではないが、コンポーネントに対してシミュレーションされる攻撃を使用する上述したアプローチが適切であろう。
【００２８】
デバイスの検査時に、ターゲットネットワーク１００上のデバイスの完全性が検証できない場合には、セキュリティサブシステム５０が対処する。例えば、ＩＤＳ１８が、サブシステムによって、インターネットを発信源とする、当該ＩＤＳに対する攻撃に適切に対処しないと確認された場合、適切な対策としては、切り離し、またはファイアウォール２４におけるネットワークへのアクセス制限、またはアプリケーションレベルでの停止が含まれ得る。そうではなく、ファイアウォールが機能していないと判断された場合には、適切な動作として、機密データを保持するあらゆるサーバ１４へのアクセスを無効にすることが含まれ得る。本発明の１つの可能な構成では、セキュリティサブシステム５０は、ネットワークデバイスの状態をマスタシステム６０に報告する。マスタシステム６０は、その情報を処理し、次の動作を決定する。これに代わる別の構成では、セキュリティサブシステム５０は、対策を直接実施する役割を担う。しかしながら、双方の場合において、あらゆる検査の結果は、マスタシステム６０に渡され、マスタシステム６０において、それらの結果は、分析用に記憶される。
【００２９】
本発明のシステムは、進行中の攻撃を阻止することを援助することもでき、そうすることに独自に適している。本発明の別の好ましい実施の形態では、マスタシステム６０が、セキュリティサブシステム５０に階層的に取って代わる。したがって、セキュリティサブシステム５０のアクティビティは、マスタシステム６０の子プロセスとして定義され、マスタシステム６０に従属する。この実施の形態では、情報は、マスタシステム６０とセキュリティサブシステム５０との間で、双方向で流れることが好ましいが、この実施の形態のマスタシステムは、サブシステムからの指示を受けない。
【００３０】
従来技術の議論において言及したように、階層的でないセキュリティシステムは、ターゲットネットワークに直接接続され、そのネットワークに対する攻撃の影響を本質的に受けやすい。これは、本実施の形態とは異なる。本実施の形態では、たとえ、セキュリティサブシステム５０が、ターゲットシステム１００に対する攻撃中に完全に覆されても、セキュリティサブシステム５０は、結果として、マスタシステム６０の支配権を取得することにはならないであろう。この構成の利点は、マスタシステムが、その機能を依然として実行できるということである。例えば、セキュリティサブシステム５０がマスタシステム６０にもはや応答しない場合において、マスタシステム６０が警報音を鳴らすように構成されているときは、この実施の形態では、ターゲットネットワーク１００に対する侵入者が、マスタシステム６０をリモートでシャットダウンする方法は存在しないであろう。その理由は、マスタシステムが、従属システムから発行されたいかなる指令にも応答しないからである。マスタシステム６０が、ターゲットネットワークを制御できなくなる可能性があるが、それによってマスタシステム６０が支配されるおそれはない。さらに、マスタシステム６０とセキュリティサブシステム５０との間のリンク５４が、切断されるか、または危険にさらされると、指令は、安全なリンク５５を通る経路を代わりに取ることができる。
【００３１】
本発明のさらに別の実施の形態では、リモートネットワーク１１０は、ルータ７０を通じて、例えばインターネットといったオープンネットワークに接続される。これにより、マスタシステム６０は、ターゲットネットワーク１００にランダムな擬似攻撃を送信することができる。この擬似攻撃は、マスタシステムに既知で、ターゲットネットワークによって検出可能な実際の攻撃シグネチャの任意のものを模倣してもよい。予想される応答が、マスタシステムによって受信されない場合には、ターゲットネットワークに対する侵入者の攻撃の早期の指摘が示される。
【００３２】
上述したように、本発明によると、コンピュータおよびコンピュータネットワークの完全性を検証する方法および装置を提供することができる。この方法および装置は、検査されるネットワークまたはコンピュータに依存しない。さらに、ネットワークに対する侵入者のアクティビティの早期の兆候を検出することにより、本発明は、侵入者の攻撃が成功する前に、当該侵入者の攻撃を阻止できる可能性を増大させる。
【００３３】
本発明が、例えばインターネット３０といったオープンネットワークに接続された単一のワークステーション１６のような個々のコンピュータ上で実施される場合には、本発明は、同様にして、オープンネットワークを発信源とする、そのコンピュータに対する攻撃を防ぐように機能する。ネットワークバックボーン１２が存在しない場合には、セキュリティサブシステム５０の機能は、例えばソフトウェアまたは周辺ハードウェアによって、個々のコンピュータに直接組み込むことができる。
【００３４】
本発明が、他の点では関連しない複数のターゲットネットワークにわたって実施される場合には、本発明は、それぞれのターゲットネットワーク上において個別に、ここで説明した方法に従って攻撃を防ぐように機能する。この構成の利点は、セキュリティ情報を、ネットワークを相互に接続することなく、いくつかのネットワークにわたって整合させることができることである。
【００３５】
本発明の多くの異なる実施の形態を、本発明の精神および範囲から逸脱することなく構成することができる。本発明は、この明細書に記載された具体的な実施の形態に制限されるものでないことが理解されるべきである。それとは逆に、本発明は、特許請求の範囲の精神および範囲内に含まれるさまざまな変更および均等な装置を網羅するように意図されている。
【図面の簡単な説明】
【００３６】
【図１】従来技術によるネットワークシステム例の全体構成を示すブロック図である。
【図２】本発明のシステムを組み込んだネットワーク例を示すブロック図である。
【図１】
2004525446.tif 000003
【図２】
2004525446.tif 000004
【国際公開パンフレット】
2004525446.tif 000005
2004525446.tif 000006
2004525446.tif 000007
2004525446.tif 000008
2004525446.tif 000009
2004525446.tif 000010
2004525446.tif 000011
2004525446.tif 000012
2004525446.tif 000013
2004525446.tif 000014
2004525446.tif 000015
2004525446.tif 000016
2004525446.tif 000017
2004525446.tif 000018
2004525446.tif 000019
2004525446.tif 000020
2004525446.tif 000021
2004525446.tif 000022
【国際調査報告】
2004525446.tif 000023
2004525446.tif 000024