(57)【要約】【課題】            ＤｏＳ攻撃等の、短時間に大量の攻撃データを送りつけ、同じアラートを大量発生させ、アラートの内容を整理する処理自体を攻撃対象とするようなものに対応するアラート通知装置を得る。【解決手段】        入力データを解析し、この入力データが攻撃データであった場合において、所定期間内に同種の攻撃データを複数回検知した場合に、２回目以降に検知した情報の登録をしない登録部を有し、この登録部における情報の登録状況に基づいて、アラートを外部に通知するか否かを判定する。【選択図】          図１
2007072785.tif 000002
【特許請求の範囲】
【請求項１】
複数の攻撃パターンが記録されたデータベースを有し、ネットワークからの入力データを解析して該入力データにおける攻撃データの有無および種別を検知する攻撃データ検知部と、
前記攻撃データ検知部から得られる攻撃データの種別を特定する情報を登録し、所定期間内に同種の攻撃データを複数検知した場合に、２回目以降に検知した情報の登録をしないエントリ情報登録部と、
前記エントリ情報登録部における情報の登録状況に基づいて、かかる攻撃データに対するアラートを外部に通知する外部通知部と、
を有することを特徴としたアラート通知装置。
【請求項２】
前記攻撃パターンに対応してそれぞれ付加されるカウンタ情報を所定の周期で更新するカウンタ情報生成部を有し、
前記エントリ情報登録部は、
前記カウンタ情報に基づいて前記所定期間の経過を判断することを特徴とした請求項１に記載のアラート通知装置。
【請求項３】
前記カウンタ情報はそれぞれカウンタＩＤとカウンタ値とからなり、前記カウンタ情報生成部は、前記カウンタＩＤに対応する周期で前記カウンタ値をインクリメントすることにより前記カウンタ情報を更新し、
前記エントリ情報登録部は、
前記カウンタ値に基づいて前記所定期間の経過を判断することを特徴とした請求項２に記載のアラート通知装置。
【請求項４】
前記エントリ情報登録部はＣＡＭで構成されていることを特徴とした請求項１乃至請求項３のいずれかに記載のアラート抑止装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、高速ネットワーク下の攻撃信号の種別分別機能を有するアラート通知装置に関する。
【背景技術】
【０００２】
近年のネットワークの普及に伴って、ネットワークに対する攻撃が増加しており、このような攻撃に対する対策として、攻撃信号を検知する機器の導入が進んでいる。これらの機器は、攻撃信号を検知するとアラートと呼ばれる警告を管理者に通知する。管理者はこの警告の内容を見て適切な対策を施すのが一般的である。しかし、近年のネットワークは急激に高速化の傾向にあり、ネットワークの速度が１Ｇｂｐｓ、１０Ｇｂｐｓといった高速のネットワークが構築される傾向にある。従って、攻撃信号を検知する機器の検知速度もＨ／Ｗ化等により高速化され、単位時間あたりに発生するアラートの数も飛躍的に増大している。
【０００３】
上述のような状況下では管理者がアラートの内容を見る機会も増加し、これに対する対策として、従来のアラート通知装置においては、アラートの内容を整理して通知する構成にすることにより、管理者の負荷を減らしている（例えば特許文献１参照）。
【０００４】
また、管理者へ通知するアラートの選別をＨ／Ｗで実現する場合は、ＣＡＭ（Content Addressable Memory）などの検索デバイスとＦＰＧＡ（Field Programmable Gate Array）を組み合わせた構成になっていた。
【０００５】
【特許文献１】特開２００３−３３０８２０号公報（３頁、第２図）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
従来のアラート通知装置においては、ＤｏＳ（Denial of Service）攻撃の一種として、比較的簡単な攻撃を大量に検知装置に送りつけ、同じアラートを大量発生させ、アラートの内容を整理する処理自体が攻撃対象となるようなものに対しては有効ではないといった問題点があった。
【０００７】
また、１０Ｇｂｐｓオーダのネットワーク下で、アラートの選別をＨ／Ｗで実現するアラート通知装置においては、アラートを通知するかどうかの判断を検索デバイスでの検索処理の１回分の速度で行わなければならないといった課題もあった。
【０００８】
この発明は上述のような課題を解決するためになされたもので、１０Ｇｂｐｓオーダの高速ネットワークにおけるワイアレート攻撃（１秒あたりのアラート発生回数が最大１４８０万回の攻撃が想定される）に対応可能なアラート通知装置を得るものである。
【課題を解決するための手段】
【０００９】
この発明に係るアラート通知装置においては、複数の攻撃パターンが記録されたデータベースを有し、入力データの解析結果と攻撃パターンを比較することにより、攻撃データを検知する攻撃データ検知部と、攻撃データを特定する情報を含むエントリ情報を登録するエントリテーブルを有し、攻撃検知部が所定期間内に同種の攻撃データを複数回検知した場合には、複数の攻撃データの内の１の攻撃を特定する情報をエントリテーブルに登録するエントリ情報登録部と、エントリテーブルへのエントリ情報の登録状況に基づき、攻撃データに対応するアラートを外部に通知する外部通知部と、を有することを特徴としたものである。
【発明の効果】
【００１０】
この発明は、所定期間内に同種の攻撃データを複数受信した場合には、最初の攻撃データに対応する情報のみをエントリ情報として登録する登録部を有し、この登録部におけるエントリ情報の登録状況に基づいて、アラートの通知の可否を判断する構成になっているために、無用なアラートの通知を抑制が可能となる。
【発明を実施するための最良の形態】
【００１１】
実施の形態１．
図１は、この発明を実施するための実施の形態１におけるアラート通知装置を示す構成図である。図１において、攻撃データ検知部１へ図示しないネットワークからのデータが取り込まれ、外部通知部２はアラートをネットワーク管理者等の外部へ通知する。また、この外部通知部２はカウンタ情報生成部３およびエントリ情報登録部４にそれぞれ接続され、カウンタ情報の取得および攻撃データに対応する情報の検索を行う。
【００１２】
次に攻撃データ検知部１の構成および動作について図２を用いて説明する。図２は攻撃データ検知部１の構成図である。図２に示すように、攻撃データ検知部１は、入力データが攻撃である否かの判断を行う攻撃検知ロジック１ａ、複数の検知パターン情報を記録しているデータベース１ｂ、攻撃検知ロジック１ａが入力データを攻撃であると判断した場合に検知情報を出力する検知情報出力ロジック１ｃから構成されている。また、検知パターン情報は攻撃パターン、攻撃パターンＩＤ、カウンタＩＤから構成されている。攻撃パターンは、一般のＩＤＳ（Intrusion Detection System）のシグネチャに相当する部分で、攻撃データの特徴的な文字列を複数収納したものである。攻撃パターンＩＤは、攻撃パターンの識別子で、カウンタＩＤは、入力データ内に攻撃パターンを検知した場合に、後述するアラートの抑止期間を決定するカウンタを特定するＩＤである。また、カウンタＩＤは攻撃パターンＩＤに応じたＩＤが割り当てられている。
【００１３】
攻撃検知ロジック１ａはネットワークから入力データを受信すると、この入力データを解析し、データベース１ｂ内の検知パターン情報の攻撃パターンと比較する。比較の結果、入力データがいずれかの検知パターン情報内の攻撃パターンを有している場合には、入力データが攻撃を意図したものであると判定する。この場合、検知情報出力ロジック１ｃはこの検知パターン情報に含まれている攻撃パターンＩＤ、カウンタＩＤおよび攻撃の特定に必要な情報（例えば、送信元アドレス、あて先アドレス、プロトコル情報等）とからなる図３に示すようなフォーマットを有するアラートを生成し、外部通知部２へ出力する。いずれの検知パターン情報内の攻撃パターンとも一致しない場合は、入力データを安全なデータとして処理する。
【００１４】
次に、カウンタ情報生成部３の構成および動作について図４を用いて説明する。図４はカウンタ情報生成部３の構成図である。カウンタ情報生成部３は、一定周期でクロック信号を出力するタイマロジック３ａ、それぞれカウンタＩＤとカウンタ値とからなる複数のカウンタ情報を複数記録しているカウンタテーブル３ｂ、タイマロジック３ａからのクロック信号をカウンタＩＤごとに分周してカウンタ値をインクリメントするカウンタインクリメントロジック３ｃからなる。カウンタインクリメントロジック３ｃはカウンタＩＤ毎に定められた周期でカウンタ値をインクリメントすることにより更新する。例えば、タイマロジックからの出力が１秒周期であり、カウンタＩＤｍのカウンタ値がｍであり、定められた間隔が３秒、カウンタＩＤｎのカウンタ値がｎであり、定められた間隔が５秒であれば、カウンタ値ｍは３秒ごと、カウンタ値ｎは５秒ごとにインクリメントされる。また、カウンタ値は所定長のビット列で構成されているものとする。
【００１５】
次に、エントリ情報登録部４の構成および動作について図５を用いて説明する。図５はエントリ情報登録部４の構成図である。エントリ情報登録部４は例えばＣＡＭなどの検索用ＬＳＩで構成されている。エントリ情報登録部４は、外部通知部２が生成する攻撃パターンＩＤと攻撃特定情報とカウンタ値とからなる検索情報をエントリ情報として登録するためのエントリテーブル４ａ、検索情報をエントリテーブル内で検索する検索ロジック４ｂ、エントリテーブル４ａへの情報の登録や削除の制御を行うエントリ保守ロジックからなる。図６に検索情報およびエントリ情報のフォーマットを示す。
【００１６】
検索ロジック４ｂはエントリ情報登録部４への検索情報をエントリテーブル４ａ内で検索し、検索情報がエントリテーブル４内のエントリ情報のいずれかと一致したかどうかの検索結果を通知部へ出力する。検索情報がどのエントリ情報とも一致しない場合は、エントリ保守ロジック４ｃは外部通知部２からの指令に基づき、この検索情報を新たなエントリ情報としてエントリテーブルに登録する。
【００１７】
次に、外部通知部２の構成について図７を用いて説明する。図７は外部通知部２の構成を示すブロック図である。外部通知部２は、攻撃データ検知部１から受信したアラートからエントリ情報登録部４へ出力する登録情報を生成する登録情報生成ロジック２ａ、カウンタ情報生成回路３に対して受信したアラートに対応するカウンタ情報を要求するカウンタ読み出しロジック２ｂ、エントリ情報登録部４からの検索結果に基づきアラートを外部に通知するか否かを判別するアラート通知判別ロジック２ｃ、エントリ情報登録部４に対してエントリテーブル４ａへの制御を指令する登録部保守ロジック２ｄ、アラートを外部に出力するアラート出力ロジック２ｅ、外部に通知する必要のないアラートを廃棄するアラート廃棄ロジック２ｆから構成されている。
【００１８】
次に、このアラート通知装置全体の動作について図９から図１２を用いて説明する。
図９、図１０、図１１、図１２はそれぞれ、この実施の形態におけるアラーと通知装置の攻撃データ検知部１、外部通知部２、カウンタ情報生成部３、エントリ情報登録部４の動作を示すフロー図である。
【００１９】
攻撃データ検知部１は入力データを受信すると（ｓｔ１０１）、攻撃検知ロジック１ａにおいてこの入力データが攻撃データであるか否かの判定を行う（ｓｔ１０２）。攻撃データであると判定した場合は、アラート出力ロジック１ｃを介して、図３に示す攻撃パターンＩＤ、攻撃特定情報、カウンタＩＤからなるアラートを外部通知部２へ出力する（ｓｔ１０３）。攻撃データではないと判定した場合には、入力データを安全なデータとして処理をする（ｓｔ１０４）。
【００２０】
同時に、カウンタ情報生成部３はタイマロジック３ａによりクロック信号を生成し（ｓｔ２０１）、カウンタインクリメントロジック３ｃはこのクロック信号に基づいて各カウンタＩＤで定められた周期でカウンタ値をインクリメントすることによりカウンタ情報を更新する（ｓｔ２０２）。ｓｔ２０１およびｓｔ２０２を繰返しながら、外部通知部２からのカウンタ値出力要求があった場合には（ｓｔ２０３）、要求のあったカウンタＩＤを有するカウンタ情報のカウンタ値をカウンタテーブル３ｂから出力する（ｓｔ２０４）。従って、カウンタ情報が更新されるまでの間に同じカウンタＩＤのカウンタ値の読み出し要求が複数あった場合には、いずれの要求に対しても同じカウンタ値が出力されることになる。
【００２１】
外部通知部２は、攻撃データ検知部１からのアラートを受信すると、カウンタ読み出しロジック２ａにより、このアラート内のカウンタＩＤに対応するカウンタ値をカウンタ情報生成部３に対し要求し（ｓｔ３０１）、要求したカウンタ値を読み取る（ｓｔ３０２）。検索情報生成ロジック１ａはアラートとｓｔ３０２で読み取ったカウンタ値とを用いて、図６に示すような攻撃パターンＩＤ、攻撃特定情報、カウンタ値からなる検索情報を生成し（ｓｔ３０３）、この検索情報をエントリ情報登録部４へ出力する（ｓｔ３０４）。
【００２２】
エントリ情報登録部４は検索情報を検索ロジック４ｂで受信すると（ｓｔ４０１）、この検索情報をエントリテーブル内で検索し（ｓｔ４０２）、この検索情報と一致するエントリ情報が登録されているか否かの検索結果を外部通知部２へ出力する（ｓｔ４０３）。
【００２３】
外部通知部２は、この検索結果をアラート通知ロジック２ｃで受信し（ｓｔ３０５）、検索結果が「登録あり」だった場合は、アラート廃棄ロジック２ｄを介して攻撃データ検知部１から受信したアラートを廃棄する（ｓｔ３０６）。検索結果が「登録無し」だった場合は、登録部保守ロジック２ｄを介して、エントリ情報登録部４に対しこの検索情報の登録要求を出力すると共に（ｓｔ３０７）、アラート出力ロジック２ｅを介して、攻撃データ検知部１から受信したアラートから図８に示すような、攻撃パターンＩＤ、攻撃特定情報を抽出し、新たなアラートとして管理者等の外部に対してこのアラートを通知する（ｓｔ３０８）。
【００２４】
エントリ情報登録部４は、外部通知部２が出力した登録要求をエントリ保守ロジック４ｃで受信し、登録されていなかった検索情報を新たなエントリ情報としてエントリテーブル４ａに登録する（ｓｔ４０４）。
【００２５】
上述のように、攻撃データ検知部１から同種のアラートが複数出力された場合であっても、このアラート内のカウンタＩＤの更新周期内であれば、カウンタ値は一定であるので、検索情報生成ロジック２ａでは同じ検索情報が生成される。従って、最先の検索情報がエントリテーブル４ａに登録された後は、その後の検索情報の検索結果は「登録あり」となり、アラート廃棄ロジック４ｆで廃棄されることになる。よって、不要なアラートの通知を抑制し、管理者への負担を軽減することができる。
【００２６】
また、更新周期が過ぎた後に攻撃データ検知部１から同種のアラートが出力された場合には、更新されたカウンタ値を有する検索情報がエントリ情報登録部４に入力されることになるので、外部に対してアラートを通知すると共に、この検索情報を新たなエントリ情報としてエントリテーブル４ａに登録することになる。
【００２７】
また、カウンタ情報生成部３はアラートを外部に通知するか否かの判定に使用する所定時間の経過を判断するカウンタ値をＣＡＭ検索に適したビット列で出力し、検索部４を構成する検索ＬＳＩ制御回路と並列に動作させるような構成になっているために、アラートを外部に通知するか否かの判定過程において、検索ＬＳＩへのアクセス回数を１回にすることが可能となる。
【００２８】
また、カウンタ情報生成部３が更新するカウンタ値は所定の期間経過後、例えば一日の経過後にリセットして新たに更新を開始しても良い。このような構成にすることで、カウンタ値のビット長を短くすることが可能となる。
【００２９】
また、本実施の形態においては、エントリ情報登録部４での検索結果が「登録無し」であった場合には、直ちに外部にアラートを通知する構成になっているが、このアラートを内部のメモリ等に記録しておき、外部からの要求があった場合に通知するような構成にしても、同様の効果を奏する。
【００３０】
さらにまた、アラート廃棄ロジック２ｆにおいて廃棄されるアラートについても、攻撃信号を受信した記録を残しておき、外部からの要求に応じて通知するような構成にしても良い。この場合、アラートの種類や攻撃回数等の情報を記録しておけばよい。
【図面の簡単な説明】
【００３１】
【図１】この発明におけるアラート通知装置のブロック図である。
【図２】この発明における攻撃データ検知部の構成図である。
【図３】攻撃データ検知部から外部通知部へ出力されるアラートのフォーマットを示す図である。
【図４】この発明におけるカウンタ情報生成部２の構成図である。
【図５】この発明におけるエントリ情報登録部の構成図である。
【図６】検索情報およびエントリ情報のフォーマットを示す図である。
【図７】この発明における外部通知部の構成図である。
【図８】外部通知部から外部へ通知されるアラートのフォーマットを示す図である。
【図９】この発明における攻撃データ検知部１の動作を示すフロー図である。
【図１０】この発明におけるカウンタ生成部の動作を示すフロー図である。
【図１１】この発明における外部通知部の動作を示すフロー図である。
【図１２】この発明におけるエントリ情報登録部の動作を示すフロー図である。
【符号の説明】
【００３２】
１  攻撃データ検知部、２  通知部、３  カウンタ情報生成部、４  エントリ情報登録部
【図１】
2007072785.tif 000003
【図２】
2007072785.tif 000004
【図３】
2007072785.tif 000005
【図４】
2007072785.tif 000006
【図５】
2007072785.tif 000007
【図６】
2007072785.tif 000008
【図７】
2007072785.tif 000009
【図８】
2007072785.tif 000010
【図９】
2007072785.tif 000011
【図１０】
2007072785.tif 000012
【図１１】
2007072785.tif 000013
【図１２】
2007072785.tif 000014