(57)【要約】【課題】ネットワークを流れるパケットを監視し、監視対象とする装置に対する不正アクセスを検知する不正アクセス検知装置は、インタネットを用いた技術が多様化するなか、フィルタ条件の適切な設定が困難となってきている。この課題を解決するため、設定情報を応じてフィルタ条件を自動作成する。【解決手段】フィルタ条件設定部と、このフィルタ条件設定部の出力するフィルタ条件に基づいて不正アクセスを検出する不正アクセス検出部と、外部から入力される設定情報とをフィルタ条件に自動変換し、フィルタ条件設定部に出力するフィルタ条件変換部を備える。【選択図】図１
2007164313.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上の監視対象機器に侵入する不正アクセスを検知する不正アクセス検知装置であって、
前記監視対象機器への不正アクセスの検出を抑制するためのフィルタ条件を設定するフィルタ条件設定部と、前記監視対象機器に流れる通信パケットを取得して、シグネチャおよび前記フィルタ条件設定部の出力するフィルタ条件に基づいて、不正アクセスを検出する不正アクセス検出部と、
外部から入力される設定情報をフィルタ条件に自動変換し、前記フィルタ条件設定部に出力するフィルタ条件変換部とを備えたことを特徴とする不正アクセス検知装置。
【請求項２】
前記外部から前記フィルタ条件変換部に入力される設定情報は、監視対象となる機器を定義した機器リストであることを特徴とする請求項１に記載の不正アクセス検知装置。
【請求項３】
前記機器リストは、機器の利用目的を定義したものであることを特徴とする請求項２に記載の不正アクセス検知装置。
【請求項４】
前記機器リストは、機器の構成要素を定義したものであることを特徴とする請求項２に記載の不正アクセス検知装置。
【請求項５】
前記フィルタ条件変換部は、変数名を定義する変換ルールテーブルと、前記変数の具体的な値を定義する変数テーブルとによって定義された変換ルールを格納する変換ルールデータベースと、
前記機器の利用目的および構成要素のいずれか少なくとも一つを定義した機器リストから、前記利用目的、構成要素を検索キーとして、前記変換ルールデータベースから前記変換ルールを取得し、該変換ルールに基づいてフィルタ条件に自動変換し、前記フィルタ条件設定部に出力する機器リスト変換部とを備えていることを特徴とする請求項１に記載の不正アクセス検知装置。
【請求項６】
前記シグネチャまたは前記変換ルールが入力された際に、前記機器リスト変換部を起動することを特徴とする請求項５に記載の不正アクセス検知装置。
【請求項７】
不正アクセスを前記不正アクセス検出部が検出したとき、該当する通信パケットを遮断するよう出力する不正アクセス対処部が設けられていることを特徴とする請求項１に記載の不正アクセス検知装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークを流れるパケットを監視し、監視対象とする装置に対する不正アクセス、もしくは監視対象とする装置から行われる不正アクセスを検知するＩｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ（ＩＤＳ）と呼ばれる不正アクセス検知装置に係るものであり、特に装置が正常通信を不正アクセスと判定する誤検出を低減するフィルタ設定を行う方式に関するものである。
【背景技術】
【０００２】
従来、ＩＤＳのうち、ネットワーク型と分類されるものは監視対象ネットワーク上に通過する通信パケットを取得するように設置され、パケットに含まれるデータをシグネチャと呼ばれる検知条件と比較判定し、不正アクセスの可能性があるかどうかを判定してきた。ＩＤＳは通信そのものの遮断は行わないが、不正アクセスがあると判断すればログ等の形でユーザに通知し、ユーザが適切な対応をとることを可能としている。
【０００３】
不正アクセスは、主にソフトウェアの設計ミス等によって生じた脆弱な箇所に対して行われるため、装置の利用目的やネットワーク構成によっては正常となる通信パケットが、特定の構成においてのみ不正な通信パケットとなる場合がある。このため、検知条件を定めるシグネチャにおいても、特定の構成においてのみ適用すべき条件が含まれており、想定外の構成において用いられた場合には、正常な通信を不正アクセスと誤検出する要因となっている。
【０００４】
このように、シグネチャの有効性が監視対象に依存することから、有効範囲に絞るための種々の方式が検討されている。例えば、ＩＤＳ装置上で使用する個々のシグネチャについて、有効とするか無効とするかの設定を一括して切り替えるポリシー方式や、正常である通信を定義し、それ以外の通信を不正と判定するアノマリ検出方式などは、その対策の一例である。
【０００５】
前述した汎用性のある方式は、インターネットサービスプロバイダやハウジングサービスのように、接続される機器が不特定となる大規模ネットワークの場合に必要とされる。しかしながら、例えば多数の従業員を擁し独自にネットワークを構築している企業等においては、多くの場合、監視対象を限定することができる。このため、より確実に範囲を絞る方式として、監視対象とする通信、対象としない通信を予めフィルタ条件としてＩＤＳに登録し、シグネチャを適用する通信を絞ることで誤検出を抑止することができる。フィルタの設定項目は異なるものの、多くのＩＤＳ製品でこのフィルタ方式が導入されている。
【０００６】
このフィルタ方式について、通信パケットの取得時点でフィルタを行う例として、通信パケット取得を行っている下位層にフィルタを設け、ＭＡＣアドレスでのフィルタや、上位層で不正アクセスを検出した結果に基づく指示によってフィルタを設けることが示されている（例えば、特許文献１）。
【０００７】
【特許文献１】特開２００４−１４０６１８号公報（６頁）
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら前記特許文献１に示されたフィルタ方式は、ＩＤＳの誤検出低減に成果を挙げたが、インターネットを用いた技術が近年ますます多様化するなかで、どのようにフィルタを設定すれば適切か、という新たな課題が生じている。一般的なＩＤＳ製品のシグネチャの数は数千を超えており、個々のシグネチャが有効となる条件を理解することは困難となってきている。このような状況にもかかわらず、指定すべきフィルタが監視対象に依存するため、フィルタ設定を自動化することができず、ＩＤＳで不正アクセスの監視を運用する側では試行錯誤を行ってフィルタを設定せざるを得ず、正常な通信を止めたり、不正アクセスを見逃してしまう、といった問題があった。
【０００９】
この発明は、前記の課題を解決するためになされたものであり、多数のシグネチャを理解することを必要とせずに、ＩＤＳ単体で効果的なフィルタを自動設定可能な不正アクセス検知装置を提供することを目的とする。
【課題を解決するための手段】
【００１０】
この発明は、ネットワーク上の監視対象機器に侵入する不正アクセスを検知する不正アクセス検知装置であって、
監視対象機器への不正アクセスの検出を抑制するためのフィルタ条件を設定するフィルタ条件設定部と、監視対象機器に流れる通信パケットを取得して、シグネチャおよびフィルタ条件設定部の出力するフィルタ条件に基づいて、不正アクセスを検出する不正アクセス検出部と、
外部から入力される設定情報をフィルタ条件に自動変換し、フィルタ条件設定部に出力するフィルタ条件変換部とを備えたものである。
【発明の効果】
【００１１】
この発明に係る不正アクセス検知装置は、不正アクセスの検出を抑制するためのフィルタ条件を設定するフィルタ条件設定部と、通信パケットを取得して、シグネチャおよびフィルタ条件設定部の出力するフィルタ条件に基づいて、不正アクセスを検出する不正アクセス検出部と、外部から入力される設定情報をフィルタ条件に自動変換し、フィルタ条件設定部に出力するフィルタ条件変換部を備えているので、通信パケットの遮断を行うことなくフィルタ条件を設定でき、運用者の負荷を低減でき正常な通信であるにもかかわらず、不正アクセスと誤検出する要因を低減可能となるという効果がある。
【発明を実施するための最良の形態】
【００１２】
実施の形態１．
以下、この発明の実施の形態１を図１〜図３に基づいて説明する。
図１において、不正アクセス検知装置（ＩＤＳ）１００は、不正アクセス検出部１、アラート蓄積部２、シグネチャ３およびフィルタ条件設定部４と、外部から入力される設定情報である監視対象システム９００に含まれる装置を定義した機器リスト６をフィルタ条件に変換するフィルタ条件変換部５とを備える。不正アクセス検知装置（ＩＤＳ）１００は監視対象機器であるサーバ９０１およびサーバ９０２から構成される監視対象システム９００を監視し、この監視対象システム９００は、外部ネットワーク９０４とルータ／ファイアウォール９０３により接続されている。
【００１３】
機器リスト６は、図２に示すテーブルに定義される。監視対象システム９００にはサーバ９０１とサーバ９０２が含まれるため、それらのサーバについて、ＩＰアドレス、利用目的を定義する。ここで、利用目的には、そのサーバの利用方法を端的に示す予め定められた分類を指定するものとする。例えばサーバ９０１の場合はＷｅｂサーバ、サーバ９０２の場合はファイルサーバが指定される。この場合、複数入力することも可能である。
【００１４】
フィルタ条件変換部５の動作は、図３に示す動作フローチャートに従って行われ、運用者により機器リスト６が提供されるたびに起動され、フィルタ条件設定部４への出力が完了することで終了する。図３における動作の各ステップは動作の順に付されたステップ番号Ｓ５０１〜Ｓ５０８に示してある通りであり、以下、フィルタ条件変換部５の動作をステップ番号順に説明する。
【００１５】
（１）ステップＳ５０１において、フィルタ条件変換部５の処理がスタートする。
（２）ステップＳ５０２において、機器リスト６から１つの装置情報（サーバ情報）を取得する。
（３）ステップＳ５０３において、装置情報のうち、読み込んだ利用目的１つを、フィルタ条件設定部のレコードに変換する。このステップＳ５０３は、Ｓ５０４、Ｓ５０５、Ｓ５０６、Ｓ５０７の各ステップから構成される。なお、Ｓ５０３において、利用目的＝目的ｎは、前記Ｗｅｂサーバ、ファイルサーバ以外の他の利用目的を示す。
（４）ステップＳ５０４において、装置情報の利用目的１つを読み込み、利用目的に応じて予め定められた処理に遷移する。利用目的がＷｅｂサーバであった場合は、Ｓ５０５へ、利用目的がファイルサーバであった場合はＳ５０６へ遷移する。
【００１６】
（５）ステップＳ５０５において、予め定められた、利用目的がＷｅｂサーバである場合の変換手順に従って、機器リスト６の情報をフィルタ条件に変換する。
（６）ステップＳ５０６において、予め定められた、利用目的がファイルサーバである場合の変換手順に従って、機器リスト６の情報をフィルタ条件に変換する。
（７）ステップＳ５０７において、機器リスト６から変換されたフィルタ条件をフィルタ条件設定部４のレコードとして出力する。このとき、１つの利用目的が複数のレコードに変換される場合もある。また、すでに出力されたレコードと同一のレコードとなる場合は出力しない。さらに、フィルタ条件が重複するレコードがあった場合は、フィルタされてはならない通信までフィルタすることのないように、それらのレコードを統合し、重複している部分だけを条件としたレコードをフィルタ条件設定部４に出力する。
（８）ステップＳ５０８において、処理中の装置情報に含まれる、全ての利用目的をフィルタ条件設定部４に出力した場合、Ｓ５０９へ、未処理の利用目的があれば、Ｓ５０４へ遷移する。
（９）ステップＳ５０９において、全ての装置情報の処理が完了した場合、Ｓ５１０へ、未処理の装置情報があれば、Ｓ５０２へ遷移する。
（１０）ステップＳ５１０において、フィルタ条件変換部５の処理を終了する。
【００１７】
この発明の実施の形態１による不正アクセス検知装置（ＩＤＳ）１００は、以上のような構成、機能を有し、前述のような動作フローによって生成されたフィルタ条件に基づき動作を行う。
すなわち不正アクセス検知装置（ＩＤＳ）１００は、外部から入力される設定情報である監視対象システム９００の装置情報を定義した機器リスト６を入力することで、誤検出の低減を図るためのフィルタ条件設定部４を用い不正アクセス検知部１に出力することができる。このような機器リスト６をフィルタ条件設定部４に変換するフィルタ条件変換部５を不正アクセス検知装置（ＩＤＳ）１００に備えているため、不正アクセス検知装置（ＩＤＳ）１００によって監視対象システム９００の監視を行う運用者は、フィルタ条件を設定するための技能を有することなく、把握している装置情報を機器リスト６として入力するだけで、誤検出の低減を図ることができるという効果がある。
【００１８】
なお、この実施の形態１による不正アクセス検知装置（ＩＤＳ）１００による外部からの入力される設定情報である機器リスト６は、本不正アクセス検知装置（ＩＤＳ）１００を新規にユーザに提供する際に運用者によって入力される場合、またはシステムに組み込み後サーバの増設がなされる場合に、運用者によって該当サーバに入力されるものであり、またこれに限らず随時必要に応じて前記設定情報が入力されてもよい。
【００１９】
すなわち本実施の形態１による不正アクセス検知装置（ＩＤＳ）１００は、簡単な構成でシステム内における監視対象機器の新規設置、増設に対しても、不正アクセスと判定する誤検出を低減するフィルタ設定を容易に行い、フィルタ条件設定部４、不正アクセス検出部１を介して、システムに流れるパケットを監視することができる。
【００２０】
実施の形態２．
この発明の実施の形態２について、図４、図５に基づいて説明する。
前述した実施の形態１では、前記フィルタ条件変換部５が機器リスト６に定義されたシステムに含まれる監視対象装置の利用目的を用いてフィルタ条件に変換して出力したが、この実施の形態２では、機器リスト６に追加定義されたＯＳ、搭載ソフトウェアといった構成要素に基づいてフィルタ条件を生成し、フィルタ条件設定部４に出力する。
【００２１】
この実施の形態２において、機器リスト６は、図４に示すように、構成要素の情報を含むテーブルで示される。図４の例では、サーバ９０１はＡ社ＯＳとＣ社ソフトウェアから構成され、また、サーバ９０２はＢ社ＯＳ及びＤ社ソフトウェアから構成されている。
【００２２】
この実施の形態２において、フィルタ条件変換部５の動作は、図５に示す動作フローチャートに従って行われ、機器リスト６が提供されるたびに起動され、フィルタ条件設定部４への出力が完了することで終了する。図５における動作の各ステップは、図３と同一のものは図３と同じ動作を示す。以下、フィルタ条件変換部５のうち、図３と異なる動作について、ステップ番号順に説明する。なお、Ｓ７０３において、構成要素＝要素ｎは、前記Ａ社ＯＳ、Ｃ社ソフトウェア以外の他の構成要素を示す。
【００２３】
（１）ステップＳ７０３において、装置情報のうち、読み込んだ構成要素１つを、フィルタ条件設定部４のレコードに変換する。このステップ７０３は、Ｓ７０４、Ｓ７０５、Ｓ７０６、Ｓ７０７の各ステップから構成される。
（４）ステップＳ７０４において、装置情報の構成要素１つを読み込み、構成要素に応じて予め定められた処理に遷移する。構成要素がＡ社ＯＳであった場合は、Ｓ７０５へ、構成要素がＣ社ソフトウェアであった場合はＳ７０６へ遷移する。
（５）ステップＳ７０５において、予め定められた、構成要素がＡ社ＯＳである場合の変換手順に従って、機器リスト６の情報をフィルタ条件に変換する。
（６）ステップＳ７０６において、予め定められた、構成要素がＣ社ソフトウェアである場合の変換手順に従って、機器リスト６の情報をフィルタ条件に変換する。
【００２４】
（７）ステップＳ７０７において、機器リスト６から変換されたフィルタ条件をフィルタ条件設定部４のレコードとして出力する。このとき、１つの構成要素が複数のレコードに変換される場合もある。また、すでに出力されたレコードと同一のレコードとなる場合は出力しない。さらに、フィルタ条件が重複するレコードがあった場合は、フィルタされてはならない通信までフィルタすることのないように、それらのレコードを統合し、重複している部分だけを条件としたレコードをフィルタ条件設定部４に出力する。
（８）ステップＳ７０８において、処理中の装置情報に含まれる、全ての構成要素をフィルタ条件設定部４に出力した場合、Ｓ５０９へ、未処理の構成要素があれば、Ｓ７０４へ遷移する。
【００２５】
この発明の実施の形態２による不正アクセス検知装置（ＩＤＳ）１００は、以上のような構成、機能を有し、前述のような動作フローによって生成されたフィルタ条件に基づき動作を行うことで、ＯＳ及び搭載されたソフトウェアに依存する不正アクセスについて、誤検出の低減を図ることができる。
【００２６】
例えば、監視対象システム９００に含まれる装置がＡ社ＯＳを用いられている場合、当該装置に対する通信を、Ｂ社ＯＳ向けに準備されたシグネチャで不正アクセスを検出することは明らかに誤検出である。また、当該装置がＣ社ソフトウェアを用いている場合に、Ｄ社ソフトウェアに対する不正アクセスを検出することも同様に誤検出であることが明らかである。
【００２７】
そのほか、外部から入力される設定情報内の構成要素としては、ＯＳ及び搭載ソフトウェアのほか、装置が含まれるネットワークセグメント、装置が保持するデータの種類が挙げられる。これらの情報が機器リスト６に含まれ、それらの情報に基づくフィルタ条件を出力することが可能なフィルタ条件変換部５が備えているので、より誤検出の低減を図ることのできるフィルタ条件を出力し、フィルタ条件設定部４、不正アクセス検出部１を介して、ネットワークを流れるパケットを監視することができる。
【００２８】
この実施の形態２により、監視対象システム９００の監視を行う運用者は、装置の利用目的のほか、簡単な構成を有する不正アクセス検知装置を用いて、監視対象装置を構成する要素を定義することにより、フィルタ条件変換部によって変換されるフィルタ条件を意識することなく、実施の形態１よりも更にきめ細やかな誤検出の低減を省力化して図ることができる。
【００２９】
実施の形態３．
この発明の実施の形態３について説明する。
最近の通信技術の進歩に伴うサーバの利用目的が細分化されてきているとともに、シグネチャの更新頻度が非常に高くなっており、不正アクセスの増加に伴って、１日に数回のシグネチャ更新が行われることもあり得る。その際、運用者のフィルタ条件更新の負荷を低減するためになされたものである。
この実施の形態３による不正アクセス検知装置（ＩＤＳ）１００を図６、図７を用いて説明する。図６に不正アクセス検知装置（ＩＤＳ）１００の構成を示す。なお、図１には記載のアラート蓄積部２は図６では図示省略している。図６に示すように、実施の形態１や実施の形態２と同じく、シグネチャ３及びフィルタ条件に基づいて動作する不正アクセス検出部１を備える。また、機器リスト６のフィルタ条件への変換は、シグネチャ３とともに提供される変換ルール５３もしくは運用者が独自に定義した変換ルール５４を格納した変換ルールデータベース５２に基づいて、機器リスト変換部５１により行われる。ここで前記変換ルールデータベース５２と機器リスト変換部５１とでフィルタ条件変換部５ａを構成する。
【００３０】
シグネチャ３とともに提供される変換ルール５３もしくは運用者が独自に定義した変換ルール５４は、図７に示す変換ルールテーブル５５及び変数テーブル５６により定義され、マージされて変換ルールデータベース５２に格納されている。
【００３１】
フィルタ条件変換部５ａである機器リスト変換部５１は、前述の図３、図５に示す動作フローチャートの動作ステップＳ５０３もしくはＳ７０３において、変換ルールデータベース５２を読み込み、機器リスト６に含まれる利用目的、構成要素を検索キーとして、該当する変換ルール５３，５４を取得する。この変換ルール５３，５４に基づいて、機器リスト６をフィルタ条件に変換する。
【００３２】
図７の変換ルールテーブル５５に定義される一部の情報は、例えばカスタマイズ変数名である、ＨＴＴＰ＿ＰＯＲＴＳ等の変数名によって示される。変換ルール５３及び変換ルール５４では、変数テーブル５６のようにこのＨＴＴＰ＿ＰＯＲＴＳなどの変数の具体的な値を定義する。
【００３３】
この発明の実施の形態３によって、不正アクセス検知装置（ＩＤＳ）１００は実施の形態１及び実施の形態２のような、予め定められたフィルタ条件変換部５でなく、変換ルールデータベース５２に、変換ルール５３あるいは変換ルール５４を追加し、機器リスト変換部５１によってフィルタ条件を変換することが可能なフィルタ条件変換部５ａを得ることができる。
【００３４】
例えば、シグネチャ提供者が、シグネチャ３とともに変換ルール５３を提供することにより、機器リスト変換部５１は、最新のシグネチャに対応して、機器リスト６をフィルタ条件に変換することができる。これによって、シグネチャ３が更新されたとしても、その更新が反映されたフィルタ条件を生成し、フィルタ条件設定部４に出力することができる。
【００３５】
また、運用者が独自に変換ルール５４を定義することで、シグネチャ提供者が想定していない変換方法を追加することが可能である。特に、ＨＴＴＰのポート番号を一般的な８０ではなく、プロクシを構築している場合など、８０８０といった独自のポート番号を用いるシステム機器を監視対象としている場合、変数テーブル５６のＨＴＴＰ＿ＰＯＲＴＳに８０の代わりに８０８０を指定することで、変換ルール中の変数ＨＴＴＰ＿ＰＯＲＴＳが８０８０に置き換わり、個々の変換ルールを見直すことなく、適切なフィルタ条件変換を行うフィルタ条件変換部５ａを得ることができる。
【００３６】
この発明の実施の形態３によって、不正アクセス検知装置（ＩＤＳ）１００は、シグネチャ３が更新された場合や、固有の変数に基づいて動作する監視対象システムの場合であっても、誤検出を低減することができるフィルタ条件を生成し、フィルタ条件設定部４、不正アクセス検出部１を介して、システムを流れるパケットを監視することができる。
このようにこの実施の形態３でも、簡単な構成の安価な装置によって通信パケットを遮断することなくフィルタ条件を設定でき、運用者の負荷の低減、省人化がはかれる。
【００３７】
実施の形態４．
この実施の形態４は、実施の形態３で説明した１日数回にわたるシグネチャの更新が行われる際の運用者の負荷を低減するため、シグネチャと変換ルールの更新をトリガとしてフィルタ条件も自動更新するものである。
この発明の実施の形態４について、図８に基づいて説明する。
図８において、不正アクセス検知装置（ＩＤＳ）１００は、機器リスト変換部５１と機器リストデータベース６１を備える。その他については、前述した図６のものと同様であり、機器リスト変換部５１、変換ルールデータベース５２、機器リストデータベース６１とでフィルタ条件変換部５ｂを構成する。
【００３８】
この実施の形態４において、機器リスト６は、機器リストデータベース６１に格納されている。フィルタ条件変換部５ｂである機器リスト変換部５１は、シグネチャ提供者よりシグネチャとともに提供される変換ルール５３が変換ルールデータベース５２に入力されるごとに、機器リストデータベース６１をフィルタ条件に変換し、フィルタ条件設定部４に出力する。
【００３９】
この実施の形態４においては、シグネチャ提供者よりシグネチャが変更され、シグネチャ３及び変換ルール５３が提供されるたびに、フィルタ条件を生成する。新たな不正アクセスの発生頻度は監視対象システムの構成変更の頻度より大変高く、それに併せたシグネチャの更新頻度も高い。この実施の形態４の不正アクセス検知装置（ＩＤＳ）１００によって、シグネチャの更新頻度が高くても、運用者は常に最新のシグネチャに適したフィルタ条件を生成し、フィルタ条件設定部４、不正アクセス検出部１を介してシステムを流れるパケットを監視することが可能となり、簡単な構成の安価な装置によるフィルタ条件の更新が自動的に行えるという効果がある。
【００４０】
実施の形態５．
以下、この発明の実施の形態５について、図９に基づき説明する。
この実施の形態５は、不正アクセスに対処実施を行うかどうかを通知する動作をフィルタするためのフィルタ条件を出力する機能を設けたものである。
【００４１】
図９において、不正アクセス検知装置（ＩＤＳ）１００は、前記した実施の形態１、２の図１に示したアラート蓄積部２に替えて不正アクセス対処部８を設けたものである。
ここで、フィルタ条件変換部５は、実施の形態３に示した図６と同様な機器リスト変換部５１及び変換ルールデータベース５２によるものであってもかまわない。また、実施の形態４に示した図８と同様な機器リスト変換部５１、変換ルースデータベース５２、機器リストデータベース６１により構成されるフィルタ条件変換部であってもよい。
【００４２】
図９において、不正アクセス検出部７は、フィルタ条件を考慮して異常と判断したものの検出結果を不正アクセス対処部８に通知する。不正アクセス対処部８は、不正アクセス検知装置（ＩＤＳ）１００の外部に設けられたファイアウォール装置９０３に指示を出し、ファイアウォールの設定を変更し、該当する通信パケットの遮断を行う。
【００４３】
不正アクセス検出部７がフィルタ条件を考慮して正常と判断した場合、不正アクセス対処部８はファイアウォール９０３に対して、通信パケットの遮断の指示を行わない。
【００４４】
この発明の実施の形態５において、不正アクセス検知装置（ＩＤＳ）１００は、不正アクセス対処部８が自動で対処するので、運用者の誤検出に対処する手間を低減することが可能となり、正常な通信を妨げるなどの課題を回避することができる。なお、前述のファイアウォール９０３は、外部の装置であってもかまわないし、不正アクセス検知装置（ＩＤＳ）１００に設けられたものであってもかまわない。
【００４５】
また、不正アクセス対処部８が備える手段は、通信パケットの遮断の指示以外に、運用者に対して、音、表示、振動、メール送信による警報を出力する手段であってもよい。運用者は、前述の警報によって採るべき行動を選択するため、誤検出の低減による無駄な作業の発生を回避ができる。
【００４６】
このようなこの実施の形態５による不正アクセス検知装置（ＩＤＳ）１００は、前述した実施の形態４と同様に、簡単な構成で安価な装置によるフィルタ条件の更新が行えるとともに、加えて誤検出の低減による無駄な作業の発生を抑えることができる。
【産業上の利用可能性】
【００４７】
この発明の実施の形態１〜５は、システムに流れるパケットを監視し、監視対象とする装置に対する不正アクセスを検知する不正アクセス検知装置に利用できる。
【図面の簡単な説明】
【００４８】
【図１】この発明の実施の形態１の不正アクセス検知装置を示すブロック図である。
【図２】この発明の実施の形態１の機器リストの例を示す説明図である。
【図３】この発明の実施の形態１のフィルタ条件変換部の動作フローチャートである。
【図４】この発明の実施の形態２の機器リストの例を示す説明図である。
【図５】この発明の実施の形態２のフィルタ条件変換部の動作フローチャートである。
【図６】この発明の実施の形態３の不正アクセス検知装置を示すブロック図である。
【図７】この発明の実施の形態３における変換ルールを示す説明図である。
【図８】この発明の実施の形態４の不正アクセス検知装置を示すブロック図である。
【図９】この発明の実施の形態５の不正アクセス検知装置を示すブロック図である。
【符号の説明】
【００４９】
１  不正アクセス検出部、２  アラート蓄積部、３  シグネチャ、
４  フィルタ条件設定部、５，５ａ，５ｂ  フィルタ条件変換部、６  機器リスト、
８  不正アクセス対処部、５１  機器リスト変換部、５２  変換ルールデータベース、
５３  変換ルール、５４  変換ルール、１００  不正アクセス検知装置。
【図１】
2007164313.tif 000003
【図２】
2007164313.tif 000004
【図３】
2007164313.tif 000005
【図４】
2007164313.tif 000006
【図５】
2007164313.tif 000007
【図６】
2007164313.tif 000008
【図７】
2007164313.tif 000009
【図８】
2007164313.tif 000010
【図９】
2007164313.tif 000011