(57)【要約】【課題】  自己免疫型防御システムを実現する。【解決手段】  インターネット上に配置されたおとりサーバを用い、攻撃を受けた記録をフィンガープリントとし、これを自己免疫の鋳型として、内部ネットワークにある自己免疫鋳型情報管理サーバに対してこれを通知し、自己免疫鋳型情報管理データベースに新しい鋳型としてデータベース化し、これを監視対象の各ノードもしくは装置に新たな脅威の鋳型として通知することにより、新たなる脅威から、内部ネットワークに接続された各ノードを防御する。【選択図】  図１
2007079815.tif 000002
【特許請求の範囲】
【請求項１】
インターネット上に配置されたおとりサーバを用い、攻撃を受けた記録をフィンガープリントとし、これを自己免疫の鋳型として、内部ネットワークにある自己免疫鋳型情報管理手段に対して通知する自己免疫型防御システムであって、
前記おとりサーバは、インターネットにおける様々な攻撃のフィンガープリントをデータベースとして有し、
データベースにフィンガープリントが存在しないアクセスを受けた時に、これを新たな脅威とみなし、内部ネットワークにある自己免疫鋳型情報管理手段に得られたフィンガープリントを通知する手段を有し、
前記自己免疫鋳型情報管理手段は、おとりサーバから通知されたフィンガープリントを新しい鋳型としてデータベース化する手段を有し、
これを監視対象の各ノードもしくは装置に新たな脅威の鋳型として通知することにより、新たなる脅威から、内部ネットワークに接続された各ノードを防御することを可能とした自己免疫型防御システム。
【請求項２】
インターネット上に配置されたおとりサーバを用い、攻撃を受けた記録をフィンガープリントとし、これを自己免疫の鋳型として、内部ネットワークにある自己免疫鋳型情報管理手段に対して通知するシステムの制御方法であって、
前記おとりサーバは、インターネットにおける様々な攻撃のフィンガープリントをデータベースとして有し、
データベースにフィンガープリントが存在しないアクセスを受けた時に、これを新たな脅威とみなし、内部ネットワークにある自己免疫鋳型情報管理手段に得られたフィンガープリントを通知するステップを有し、
前記自己免疫鋳型情報管理手段は、おとりサーバから通知されたフィンガープリントを新しい鋳型としてデータベース化するステップを有し、
これを監視対象の各ノードもしくは装置に新たな脅威の鋳型として通知することにより、新たなる脅威から、内部ネットワークに接続された各ノードを防御することを可能とした自己免疫型防御システムの制御方法。
【請求項３】
請求項２に記載の自己免疫型防御システムの制御方法をコンピュータにより実現するためのプログラム。
【請求項４】
請求項３に記載のプログラムを記憶した、コンピュータで読取り可能な記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ウイルスやワームその他のネットワークを経由して被害を及ぼす脅威から、ネットワークおよびネットワークに接続されたノードを防御するシステムに関する発明である。
【背景技術】
【０００２】
インターネットに接続する際に、外部からもたらされるであろう脅威から内部ネットワークを守るために、ファイアーウォールと一般的によばれている、ソフトウエアあるいは専用装置によって、外部ネットワークと内部ネットワークを分断していた。
【０００３】
ファイアーウォールは、あらかじめ定義されたパケットフィルタリング等のルールに基づき、やってきたパケットを内部に通過させるかどうかの判断を行う。定義された内容により、適切だと判断されたパケットはファイアーウォールを通過して内部ネットワークに到達する。
【０００４】
この方法を用いれば、外部からのアクセスが不必要なネットワークサービスを遮断することができ、その結果、外部からの脅威から、内部ネットワークを守ることができる。
【０００５】
しかし、この方式では、ファイアーウォールによって正しいと認識された通信内容の中に悪意のあるデータが含まれていた場合には、これによって発生しうる脅威から、内部ネットワークを守ることができないという問題があった。
【０００６】
また、ファイアーウォールは、外部ネットワークから内部ネットワーク、内部ネットワークから外部ネットワークの通信を監視することはできるが、内部ネットワークの中でやり取りされているパケットは監視の対象外となっている。そのため、外部からウイルス感染した状態で持ち込まれたコンピュータを経由して内部ネットワークに接続されたコンピュータがウイルスやワームが内部ネットワークで蔓延するといった状況対してはなんの防御手段にもなり得ないという問題を抱えている。
【０００７】
又、別の従来例としては、特許文献１及び特許文献２をあげることが出来る。
【特許文献１】特開2003-281023号公報
【特許文献２】特開2005-063032号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
前項で述べたように、インターネットからの脅威から内部ネットワークを守るためにファイアーウォールを設置しても、ファイアーウォール以外のルートで持ち込まれたウイルスやワームに対してはなす術がない。
【０００９】
また、新規のウイルスやワームが攻撃するセキュリティホールを修正するための修正プログラムは、コンピュータのオペレーティングシステムメーカーやアプリケーションメーカーが供給するが、セキュリティホールが発見されてから、その修正プログラムがリリースされ、テストされるまでの間、そのセキュリティホールへの脅威に対してコンピュータは無防備な状態にさらされることになる。
【００１０】
さらに、オペレーティングシステムに対する修正プログラムで、修正の内容によっては、従来動作していたアプリケーションプログラムが正常に動作しなくなる可能性もあり、実質上修正プログラムはあっても、それを適用できないといった状況も発生しうる。このようなアプリケーションを搭載したコンピュータは、実質上永遠に、そのセキュリティホールに対する脅威にさわされるのを余儀なくされることになる。
【００１１】
本発明では、上記問題を解決し、修正プログラムがなくてもコンピュータを種々の脅威から防御しうる環境を提供するものである。
【課題を解決するための手段】
【００１２】
インターネット上に配置されたおとりサーバを用い、攻撃を受けた記録をフィンガープリントとし、これを自己免疫の鋳型として、内部ネットワークにある自己免疫鋳型情報管理サーバに対してこれを通知し、自己免疫鋳型情報管理データベースに新しい鋳型としてデータベース化し、
これを監視対象の各ノードもしくは装置に新たな脅威の鋳型として通知することにより、新たなる脅威から、内部ネットワークに接続された各ノードを防御することにより、自己免疫型防御システムを実現したものである。
【発明の効果】
【００１３】
以上説明したように、本発明によれば、インターネット上に配置されたおとりサーバを用い、攻撃を受けた記録をフィンガープリントとし、これを自己免疫の鋳型として、内部ネットワークにある自己免疫鋳型情報管理サーバに対してこれを通知し、自己免疫鋳型情報管理データベースに新しい鋳型としてデータベース化し、これを監視対象の各ノードもしくは装置に新たな脅威の鋳型として通知することにより、新たなる脅威から、内部ネットワークに接続された各ノードを防御することにより、自己免疫型防を行うことが可能となる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明の詳細を実施例の記述に従って説明する。
【実施例１】
【００１５】
図１と図２は、本発明の一実施例のネットワーク構成について記した図である。
【００１６】
図１において101と102は囮サーバである。このサーバ群は、ファイアーウォール103の外側、つまりインターネットから直接参照される位置におかれ、攻撃者はこのサーバに対して何らかの攻撃の下見活動や、実際の攻撃を行っていく。囮サーバは、一つでもかまわないが本実施例では、異なるオペレーティングシステムを実装したサーバを２台設置している。
【００１７】
このサーバ101または102は外部から受信したパケットを逐一記録し、既に存在する攻撃パターン（攻撃のフィンガープリント）と一致するものであるかどうかの判断を行う機能を持ち、既知でないフィンガープリントと判断された場合は、この情報をファイアーウォール103を経由して管理コンソール104に送る。
【００１８】
管理コンソール104は、新たなフィンガープリントを攻撃の鋳型として鋳型データベース105に鋳型情報を保存するとともに、管理コンソール104およびクライアントコンピュータ106のネットワークプロトコルスタック部分107に、攻撃の鋳型を通知する。
【００１９】
クライアントコンピュータ106は、自分が受信するパケットが、自分の持っている鋳型情報に一致するかどうか確認し、一致した場合はこのパケットを破棄することによって、未知なる、かつオペレーティングシステムに対するセキュリティパッチ未対応の攻撃に対しても自己防衛可能な免疫力を備える事になる。
【００２０】
また、万が一、囮サーバ101または102がウイルスまたはワームに感染してしまった場合、インターネット111や、内部ネットワーク112に影響を与えないよう、ルータ110およびファイアーウォール103に於いて、適切なアクセスコントロールを行う必要がある。
【００２１】
より安全性を高めるために、図２のような構成をとる事も可能である。
【００２２】
図２において、囮サーバは、ホスト208あるいは209の中で仮想的に動作するゲストオペレーティングシステムとして動作し、ホスト208あるいは209は、囮サーバが接続しているセグメントとは別のセグメント213に接続している。こうした構成をとる事により、囮サーバの囮オペレーティングシステム自体が、障害を受けた際にもホスト側オペレーティングシステムにより、囮オペレーティングシステムの状態を監視することが可能となり、また安全性もより増す構成となっている。
【００２３】
また、その際もファイアーウォールで適切なアクセスコントロール制御がなされる事はいうまでもない。
【００２４】
図１、図２ともクライアントコンピュータ106のプロトコルスタック部に、受信したパケットを鋳型データに照らし合わせ走査する機能を持たせているが、この部分をアプライアンス化して専用機器として、クライアントコンピュータ106とネットワークの間に設置することによって、プロトコルスタックの改変プログラムが提供できないノードに対しても、本システムの防御機構が機能することも可能であり、これにより本システムの監視ノードの摘要範囲は、クライアントコンピュータのハードウエアやオペレーティングシステムの制約を受けず、非常に広範囲なものとなっている。
【００２５】
図３は、本実施例における囮サーバ101または102の機能ブロック図である。
【００２６】
図３に於いて、囮サーバ101または102は、通信制御部301を通じて、ネットワークに接続されている。通信制御部301は、自己宛もしくは、自分が接続しているネットワークに流れているパケットをすべてキャプチャし、通信パケット読み取り部304に送る。
【００２７】
また、管理コンソール104との通信も司る。
【００２８】
通信パケット読み取り部304は、通信制御部301によってキャプチャされたパケットを解析し、パケットデータ比較部が、フィンガープリンとデータベース管理装置351に対して、受け取ったデータが、既知の攻撃のフィンガープリントと一致するか否かの比較を行う。
【００２９】
302は運用管理部で、この囮サーバの動作に関するログの管理や、当該ノードにログインできるユーザの管理を行う。
【００３０】
303は情報提供部で、パケットデータ比較部306の比較の結果、一連の通信が未知なる攻撃であると判断された場合は、管理コンソール104にこの一連の通信のフィンガープリントを、データ送信部305と、通信制御部301を経由して送信する。
【００３１】
図４は、本実施例に於ける管理コンソール104の機能ブロック図である。
【００３２】
図４に於いて、通信制御部401は、管理コンソール104が、ネットワークを通じて、囮サーバ101または102、もしくは囮オペレーティングシステムをゲストオペレーティングシステムとして取り込んでいるホストサーバ108または109、クライアントコンピュータ106との通信を司る。
【００３３】
運用管理部402は、管理コンソール104の動作の動作に関するログの管理や、当該ノードにログインできるユーザの管理を行う。
【００３４】
404は、情報提供部で、クライアントノードに対して、新規の攻撃の鋳型を、データ送信部405と通信制御部401を介して提供する。
【００３５】
405は、鋳型データベース管理部で、囮サーバ101または102、もしくは囮オペレーティングシステムをゲストオペレーティングシステムとして取り込んでいるホストサーバ108または109、クライアントコンピュータ106から、送られてきた新規の攻撃のフィンガープリントや、既知の攻撃パターンを鋳型として鋳型データベース管理装置451を用いて管理している。
【００３６】
406は、クライアント管理部で、当該管理コンソール104で管理対象となるクライアントの情報を管理ノードデータ管理部452を用いて管理している。
【００３７】
図５は、本実施例に於ける、クライアントコンピュータ106の機能ブロック図である。
【００３８】
図５において、501は通信制御部で、クライアントコンピュータ106のネットワークを通じた通信を制御する。
【００３９】
502は運用管理部で、クライアントコンピュータ106自体の動作のログと、利用できるユーザのアカウント管理などを行う。
【００４０】
また、管理コンソール104から送られてくる、攻撃の鋳型情報を鋳型データ管理装置に反映させ、また、同管理コンソール104から、削除通知がなされた攻撃の鋳型情報の消去も受けもつ。
【００４１】
504は通信パケット読み取り部で、通信制御部501によって受信されたパケットに対して、そのパケットが要求する動作を実行する前にパケットデータ比較部506に送る。
【００４２】
505は、データ送信部で、管理コンソール104と、通信制御部501の通信を司る。
【００４３】
506は、パケットデータ比較部で、通信制御部501によって受信されたパケットが、鋳型データ管理装置551を用いて、管理コンソールから通知された未知の攻撃パターンと一致するかどうかを検証する。
【００４４】
図６は、囮サーバ101または102で、フィンガープリンとデータベース管理装置351によって管理される、攻撃フィンガープリントの管理テーブルである。
【００４５】
フィンガープリントデータベースには、既知の脅威の攻撃パターンがすべて格納されている。これらの情報は、囮サーバ101または102による攻撃パターンの収集データのみならず、本システムの提供者から、提供を受けた鋳型情報に基づき、管理コンソール104側から提供されることも可能である事を前提としている。
【００４６】
図７は、管理コンソール104で、鋳型データベース管理装置451によって管理される、鋳型データベースの管理テーブルである。
【００４７】
既知の攻撃に関する鋳型データベースの各属性情報は、前述したように本システムの提供者から、定期的に、有償あるいは無償で提供される事が可能となっており、常に既知の脆弱性にとそれに対する脅威についての最新の情報を維持する事が可能となっている。
【００４８】
また、囮サーバが捕捉した新規の脅威の攻撃パターンに関する情報は、囮サーバ101または102、あるいは、もしくは囮オペレーティングシステムをゲストオペレーティングシステムとして取り込んでいるホストサーバ108または109によって、管理コンソール104の鋳型データベース管理装置451に提供される。
【００４９】
囮サーバが捕捉して鋳型データベースに登録された新規の攻撃パターンについては、その情報が既知のものとして、対応策、脅威に対する識別番号（たとえばCVEなど）が確立した時点で本システムの提供者側から、管理コンソール104の鋳型データ管理総理551に対して、定期的有償あるいは無償で提供される情報に盛り込まれ、情報の更新が行われる。また、その脅威がネットワークやネットワーク接続機器に与えるリスクの程度によっては、定期的な情報アップデートを待たず、本システムの提供者からの任意のタイミングで、情報の更新を行う事も可能な構成となっている。
【００５０】
図８は、管理コンソール104で、管理ノードデータ管理装置452によって管理される、管理ノードデータベースの管理テーブルである。
【００５１】
管理コンソール104は、このテーブルをもとにして、管理対象とすべきノードを認識し、また管理対象としているクライアントコンピュータ106のオペレーティングシステムの種類やそのバージョン、セキュリティパッチの摘要の有無や、動作しているアプリケーション、といった構成情報を持つ事によって、各クライアントコンピュータ106に必要な鋳型データをクライアントコンピュータ106の鋳型データ管理装置551に送ることが可能となっている。
【００５２】
図９は、クライアントコンピュータ106で、鋳型データを管理するときの管理テーブルである。
【００５３】
前述したように、この鋳型データは、管理コンソール104から各クライアントコンピュータ106の鋳型データ管理装置551に送られてくるもので、各クライアントコンピュータ106用に最適化された情報となっている。この最適化を行う事によって、各クライアントコンピュータ106の鋳型データ管理装置551で、保持しなければならない情報は最小限にとどめられ、通信のスループットを低下させないよう配慮がなされている。
【００５４】
図１０は、本システムの提供者から、管理コンソールの鋳型情報データベース451に送られた情報の流れを示したものである。
【００５５】
図１０に於いて、鋳型情報提供サーバ1001は、鋳型マスターデータベース1002を有し、この鋳型マスターデータベースには、既知の脅威（攻撃パターン）についての攻撃の鋳型（フィンガープリント）の情報と、その攻撃が対象とするオペレーティングシステム、修正プログラム情報、正式に割り当てられたID（例えばCVEなど）を保持している。
【００５６】
鋳型情報提供サーバ1001は、有償あるいは無償で、管理コンソール104に、管理コンソールの鋳型データベース105のもつ鋳型データ情報との差分を送信する1061。このときの通信形態として、管理コンソール側104からのpullモデルと、鋳型情報提供サーバ1001側からのpushのモデルが考えられるが、どちらの形態を採用するか、あるいは両形態ともに採用するかは本システムが設置されたネットワーク管理ポリシーに基づく。
【００５７】
この鋳型情報提供サーバ1001と管理コンソール104間の通信は、相互にデジタル証明書などを利用した認証を行った上で、暗号化された通信を行うべきことはいうまでもない。
【００５８】
管理コンソール104は、新たな鋳型情報を、鋳型情報提供サーバ1001から受け取ると、これを、鋳型データベース105に登録する1062。
【００５９】
鋳型データベース105に登録された鋳型情報は、前述したように管理ノードデータベース451と照合の上、管理コンソール104が管理対象としているクライアントこのピュータ106毎に最適な鋳型情報を作成し、各クライアントコンピュータ106に配布する。このとき、前述したように、鋳型情報を保持し、受信したパケットと照合する機能を反映できないクライアントコンピュータについては、この機能を有した専用装置として、クライアントコンピュータ106とネットワークの間に設置しうて、パケットの監視を行う事が可能となっている。
【００６０】
また、管理コンソール104は、鋳型情報提供サーバ1001から提供された鋳型データから、攻撃のフィンガープリント情報を作成して、囮サーバ101または102、もしくは囮オペレーティングシステムをゲストオペレーティングシステムとして取り込んでいるホストサーバ108または109に送信し、フィンガープリントデータベースを最新のものとする。
【００６１】
この際も、管理コンソール104と囮サーバ101または102、もしくは囮オペレーティングシステムをゲストオペレーティングシステムとして取り込んでいるホストサーバ108または109の104間の通信は、相互にデジタル証明書などを利用した認証を行った上で、暗号化された通信を行うべきことはいうまでもない。
【００６２】
図１１は、囮サーバのフィンガープリントDBから、管理コンソールの鋳型情報データベース451に送られた情報の流れを示したものである。
【００６３】
図１１は、囮サーバ101または102が捕捉した新規の脅威（攻撃パターン）を、管理コンソール104のもる鋳型データベース105に反映させ、クライアントコンピュータ106に、新規の脅威（攻撃パターン）である通知するときの情報の流れである。
【００６４】
この処理が発生するのは、鋳型情報提供サーバ1001でも管理されていない、新たな脅威と予測しうる攻撃（一連のパケット群）を囮サーバ101あるいは102が、受信した場合である。
【００６５】
囮サーバ101または102は、新たな攻撃パターンとして認識された一連のパケットをフィンガープリントとし、管理コンソールに通知1161する。管理コンソール104は、このフィンガープリント情報を鋳型データベース105に反映させ、管理下にあるクライアントコンピュータ106に通知する1063。
【００６６】
なお、いうまでもないが、この際も管理コンソール104と囮サーバ101または102、もしくは囮オペレーティングシステムをゲストオペレーティングシステムとして取り込んでいるホストサーバ108または109と104間の通信は、相互にデジタル証明書などを利用した認証を行った上で、暗号化された通信を行われる。
【００６７】
この一連の処理によって、何らかの理由でファイアーウォールの内側にこの新たな脅威（攻撃パターン）の元になる、ウイルスやワームが流入したとしても、管理コンソール104の管理下のクライアントコンピュータ106は、これらのウイルスやワームからの攻撃を回避することが可能なる。
【図面の簡単な説明】
【００６８】
【図１】自己免疫防御システム構成の一例１
【図２】自己免疫防御システム構成の一例２
【図３】本実施例における囮サーバ101または102の機能ブロック図
【図４】本実施例に於ける管理コンソール104の機能ブロック図
【図５】本実施例に於ける、クライアントコンピュータ106の機能ブロック図
【図６】攻撃フィンガープリントとの管理テーブルの一例
【図７】鋳型データベースの管理テーブルの一例
【図８】管理ノードデータベースの管理テーブルの一例
【図９】鋳型データ管理テーブルの一例
【図１０】本システムの提供者から、管理コンソールの鋳型情報データベース451に送られた情報の流れの例
【図１１】囮サーバのフィンガープリントDBから、管理コンソールの鋳型情報データベース451に送られた情報の流れの例
【図１】
2007079815.tif 000003
【図２】
2007079815.tif 000004
【図３】
2007079815.tif 000005
【図４】
2007079815.tif 000006
【図５】
2007079815.tif 000007
【図６】
2007079815.tif 000008
【図７】
2007079815.tif 000009
【図８】
2007079815.tif 000010
【図９】
2007079815.tif 000011
【図１０】
2007079815.tif 000012
【図１１】
2007079815.tif 000013