(57)【要約】【課題】ダークネット観測によって早期に検知したサイバー攻撃への対策を他のローカルネットワークに施すことができるネットワーク監視システムを提供する。【解決手段】ＩＰネットワークに複数のローカルネットワークが接続されている広域ネットワークを監視するネットワーク監視装置１は、ダークネット観測網より取得したダークネット観測情報から情報取得部１１がバックスキャッタを抽出し、一連のバックスキャッタを情報分析部１２が分析してサイバー攻撃の蓋然性の高い攻撃イベント群から攻撃イベント情報を生成し、攻撃イベント情報から当該攻撃の判定に有効な攻撃パラメータを抽出して設定した対策パラメータを含む対策情報を対策情報生成部１３が生成し、対策装置用ルール生成・供給制御部１４が対策情報から対策装置用ルールファイルを生成してサイバー攻撃対策装置を備えるローカルネットワークへ提供する。【選択図】図２
2017034449.tif 000002
【特許請求の範囲】
【請求項１】
通信規約ＩＰに基づいてＩＰパケットが流れるＩＰネットワークに複数のローカルネットワークが接続された広域ネットワークを監視するネットワーク監視装置と、
前記ローカルネットワークとＩＰネットワークとの接続境界に設けられ、当該ローカルネットワークが有するＩＰアドレス範囲のうち、未使用のＩＰアドレスであるダークネット宛てに送信されたＩＰパケットを取得し、前記ネットワーク監視装置へダークネット観測情報を提供するダークネット観測網と、
前記ローカルネットワークとＩＰネットワークとの接続境界に設けられ、所定の対策ルールに基づいてサイバー攻撃の蓋然性が高い不正パケットを判定可能なサイバー攻撃対策装置と、
を含むネットワーク監視システムであって、
前記ネットワーク監視装置は、
前記ダークネット観測網から提供されるダークネット観測情報を受け取り、サイバー攻撃の蓋然性が高い不正パケットを選別する情報取得部と、
前記情報取得部により選別された不正パケット群を、予め定めた判定ルールに基づいて分析すると共に、予め類型化したサイバー攻撃のタイプに分類し、特徴となる攻撃パラメータを含む攻撃イベント情報を出力する情報分析部と、
前記情報分析部から出力された攻撃イベント情報を用いて、当該攻撃の蓋然性が高い不正パケットを識別するための対策パラメータを含む対策情報を生成可能な対策情報生成部と、
を備えることを特徴とするネットワーク監視システム。
【請求項２】
前記対策情報生成部により生成された対策情報を、前記サイバー攻撃対策装置を備えるローカルネットワークへ供給可能としたことを特徴とする請求項１に記載のネットワーク監視システム。
【請求項３】
前記対策情報生成部により生成された対策情報に基づいて、前記ローカルネットワークの接続境界に設けられたサイバー攻撃対策装置が不正パケットを判定可能な対策ルールを生成するルール生成部を設けるようにしたことを特徴とする請求項１に記載のネットワーク監視システム。
【請求項４】
前記ルール生成部は、前記対策情報に含まれる対策パラメータに応じて、当該対策パラメータによる対策ルールを適用可能なサイバー攻撃対策装置の種別毎に対策ルールを生成するようにしたことを特徴とする請求項３に記載のネットワーク監視システム。
【請求項５】
通信規約ＩＰに基づいてＩＰパケットが流れるＩＰネットワークに複数のローカルネットワークが接続された広域ネットワークを監視するネットワーク監視装置と、
前記ローカルネットワークとＩＰネットワークとの接続境界に設けられ、当該ローカルネットワークが有するＩＰアドレス範囲のうち、未使用のＩＰアドレスであるダークネット宛てに送信されたＩＰパケットを取得し、前記ネットワーク監視装置へダークネット観測情報を提供するダークネット観測網と、
前記ローカルネットワークとＩＰネットワークとの接続境界に設けられ、所定の対策ルールに基づいてサイバー攻撃の蓋然性が高い不正パケットを判定可能なサイバー攻撃対策装置と、
を含むネットワーク監視システムであって、
前記ネットワーク監視装置は、
前記ダークネット観測網から提供されるダークネット観測情報を受け取り、サイバー攻撃の蓋然性が高い不正パケットを選別する情報取得部と、
前記情報取得部により選別された不正パケット群を、予め定めた判定ルールに基づいて分析すると共に、予め類型化したサイバー攻撃のタイプに分類し、特徴となる攻撃パラメータを含む攻撃イベント情報を出力する情報分析部と、
前記情報分析部から出力された攻撃イベント情報を用いて、当該攻撃の蓋然性が高い不正パケットを前記サイバー攻撃対策用装置が判別するための対策ルールを生成可能なルール生成部と、
を備えることを特徴とするネットワーク監視システム。
【請求項６】
前記ルール生成部により生成された対策ルールを、前記サイバー攻撃対策装置を備えるローカルネットワークへ供給可能としたことを特徴とする請求項３〜請求項５の何れか１項に記載のネットワーク監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰネットワークにおけるサイバー攻撃を監視するネットワーク監視システムに関する。
【背景技術】
【０００２】
様々なサービスがネットワークに依存している現在、これらのサービスが一時的に停止するだけで多額の損害が発生するようになった。その結果、金銭目的でボットネットなどを用いた大規模ＤＤｏＳ（Distributed Denial of Service）攻撃、マルウェアのスキャン、脆弱性スキャン、ＳＩＰ（Session Initiation Protocol）技術を用いたＶｏＩＰ（Voice Over IP：ＩＰ電話）の乗っ取り攻撃等々のサイバー攻撃が多く起こるようになった。そのため、サイバーセキュリティ分野では、このようなサイバー攻撃への対策を行うことが非常に重要である。
【０００３】
一般的なサイバー攻撃対策は、広域ＩＰ網（インターネット等）に接続している局所的ネットワーク（以下、ローカルネットワークという）が自衛のためのサイバー攻撃対策装置を設けることである。例えば、ローカルネットワークとＩＰネットワークとの出入り口にサイバー攻撃対策装置（例えば、ファイアウォールソフトを組み込んだネット接続サーバ、ファイアウォール機能を備えたブロードバンドルータ等）を置き、このサイバー攻撃対策装置に備わっている攻撃検知機能とブロック機能によって、ＤＤｏＳ攻撃等のサイバー攻撃を検知し、検知した攻撃をブロックすることで、自ネットワークへのサイバー攻撃を回避するのである。
【０００４】
上記のようなサイバー攻撃対策装置を用いた対策方法では、検知できるサイバー攻撃がサイバー攻撃対策装置の検知機能に依拠するため、サイバー攻撃に対する検知精度が低いサイバー攻撃対策装置を使っていると、様々なサイバー攻撃と正常アクセスとを精度良く判別できずに誤検知してしまったり、逆にサイバー攻撃を検知できないまま攻撃を受け続けることになったりする。また、ＤＤｏＳ攻撃などは別途対策装置やサービスが必要となる。
【０００５】
また、各ローカルネットワークが設けたサイバー攻撃対策装置を用いるサイバー攻撃対策では、ライブネット観測結果からサイバー攻撃の有無を判定するしかないので、優れた検知能力を備えるサイバー攻撃対策装置を用いていても、自身のローカルネットワークに対する直接的な攻撃が起きてからでないと、サイバー攻撃の発生を検知できない。このため、サイバー攻撃への対策が後手になってしまい、サイバー攻撃をブロックする前にダメージを受けてしまう危険性もある。
【０００６】
上述したサイバー攻撃対策装置でローカルネットワーク毎にライブネット観測を行う方法とは異なり、ＩＰネットワーク上で到達可能かつ未使用のＩＰアドレス空間であるダークネット領域の観測（以下、ダークネット観測という）を行って、サイバー攻撃の発生を俯瞰的に検知するネットワーク監視システムが提案されている（例えば、非特許文献１を参照）。
【０００７】
非特許文献１に記載のネットワーク監視システムにおけるダークネット観測とは、広域ＩＰネットワークとローカルネットワークとの接続境界に設けたダークネット観測装置群によりダークネット観測網をつくり、ダークネット領域に送信されるＩＰパケットをダークネット観測網から収集・分析することである。そもそも、未使用のＩＰアドレスに対してＩＰパケットが送信されることは異常であり、その多くは、送信元ＩＰアドレスを詐称したＳＹＮフラッド攻撃に対する応答であるバックスキャッタ、リモート感染型のマルウェアが送信するスキャンやエクスプロイトコード等、ＩＰネットワーク上の不正な活動に起因するものと考えられるので、ダークネット宛てのＩＰパケットを不正パケットと看做して解析すれば、その特徴から高い確度でサイバー攻撃を判定できるのである。
【０００８】
例えば、送信元アドレスを詐称して行われるＤＤｏＳ攻撃の一種であるＴＣＰ  ＳＹＮ  Ｆｌｏｏｄ攻撃が行われると、被攻撃サーバは、詐称された送信元アドレスに対して一つ一つ応答を行うため、ＴＣＰのＳＹＮ−ＡＣＫフラグが設定された大量のパケット（バックスキャッタ）がＩＰネットワーク上に撒き散らされることになる。詐称された送信元アドレスが、本来は送信元が存在しないダークネット領域であった場合、ダークネット領域に届くＴＣＰパケットのＴＣＰヘッダにはＳＹＮ−ＡＣＫフラグが設定されていることから、送信元が詐称されたＴＣＰ  ＳＹＮ  Ｆｌｏｏｄ攻撃の結果であると直ちに推定できる。
【０００９】
そこで、ダークネット領域に多数のパケットセンサ（ダークネット観測装置）を配置し、そこに届くＴＣＰパケットのＴＣＰヘッダにＳＹＮ−ＡＣＫフラグが設定されたＩＰパケットの送信元（被攻撃サーバ）のＩＰアドレスとポート番号を収集することにより、ＴＣＰ  ＳＹＮ  Ｆｌｏｏｄ攻撃を受けているサーバの情報と、攻撃されているサービス内容とが判明する。その結果、攻撃の早いタイミングで、ＤＤｏＳ攻撃を高い精度で検知可能となり、被攻撃サーバのあるローカルネットワークの管理組織へ速やかに警告すれば、当該ローカルネットワークでサイバー攻撃に対する迅速な対応が可能にある。
【００１０】
また、非特許文献１には、長期にわたるダークネット観測の知見からサイバー攻撃を検知するためのルールを複数種類（例えば、１１種類）導きだし、適合するルールの組み合わせから、サイバー攻撃を類型化することについても記載されている。
【先行技術文献】
【非特許文献】
【００１１】
【非特許文献１】井上大介・中里純二・衛藤将史・中尾康二、「ＤｏＳ／ＤＤｏＳ攻撃対策（３）〜ダークネット観測網を用いたバックスキャッタ分析〜」、情報処理、一般社団法人情報処理学会、平成２５年５月、第５４巻、第５号、ｐ．４８１−４８７
【発明の概要】
【発明が解決しようとする課題】
【００１２】
しかしながら、上記特許文献１に記載されたネットワーク監視システムでは、ダークネット観測網によって監視しているネットワーク内のローカルネットワークが受けているサイバー攻撃を早期に検知し、警告することはできても、同様の攻撃が他のローカルネットワークに飛び火することを未然に防ぐような対策を可能にするものでは無かった。
【００１３】
そこで、本発明は、ダークネット観測によって早期に検知したサイバー攻撃への対策を他のローカルネットワークに施すことができるネットワーク監視システムの提供を目的とする。
【課題を解決するための手段】
【００１４】
前記課題を解決するために、請求項１に係る発明は、通信規約ＩＰに基づいてＩＰパケットが流れるＩＰネットワークに複数のローカルネットワークが接続された広域ネットワークを監視するネットワーク監視装置と、前記ローカルネットワークとＩＰネットワークとの接続境界に設けられ、当該ローカルネットワークが有するＩＰアドレス範囲のうち、未使用のＩＰアドレスであるダークネット宛てに送信されたＩＰパケットを取得し、前記ネットワーク監視装置へダークネット観測情報を提供するダークネット観測網と、前記ローカルネットワークとＩＰネットワークとの接続境界に設けられ、所定の対策ルールに基づいてサイバー攻撃の蓋然性が高い不正パケットを判定可能なサイバー攻撃対策装置と、を含むネットワーク監視システムであって、前記ネットワーク監視装置は、前記ダークネット観測網から提供されるダークネット観測情報を受け取り、サイバー攻撃の蓋然性が高い不正パケットを選別する情報取得部と、前記情報取得部により選別された不正パケット群を、予め定めた判定ルールに基づいて分析すると共に、予め類型化したサイバー攻撃のタイプに分類し、特徴となる攻撃パラメータを含む攻撃イベント情報を出力する情報分析部と、前記情報分析部から出力された攻撃イベント情報を用いて、当該攻撃の蓋然性が高い不正パケットを識別するための対策パラメータを含む対策情報を生成可能な対策情報生成部と、を備えることを特徴とする。
【００１５】
また、請求項２に係る発明は、前記請求項１に記載のネットワーク監視システムにおいて、前記対策情報生成部により生成された対策情報を、前記サイバー攻撃対策装置を備えるローカルネットワークへ供給可能としたことを特徴とする。
【００１６】
また、請求項３に係る発明は、前記請求項１に記載のネットワーク監視システムにおいて、前記対策情報生成部により生成された対策情報に基づいて、前記ローカルネットワークの接続境界に設けられたサイバー攻撃対策装置が不正パケットを判定可能な対策ルールを生成するルール生成部を設けるようにしたことを特徴とする。
【００１７】
また、請求項４に係る発明は、前記請求項３に記載のネットワーク監視システムにおいて、前記ルール生成部は、前記対策情報に含まれる対策パラメータに応じて、当該対策パラメータによる対策ルールを適用可能なサイバー攻撃対策装置の種別毎に対策ルールを生成するようにしたことを特徴とする。
【００１８】
前記課題を解決するために、請求項５に係る発明は、通信規約ＩＰに基づいてＩＰパケットが流れるＩＰネットワークに複数のローカルネットワークが接続された広域ネットワークを監視するネットワーク監視装置と、前記ローカルネットワークとＩＰネットワークとの接続境界に設けられ、当該ローカルネットワークが有するＩＰアドレス範囲のうち、未使用のＩＰアドレスであるダークネット宛てに送信されたＩＰパケットを取得し、前記ネットワーク監視装置へダークネット観測情報を提供するダークネット観測網と、前記ローカルネットワークとＩＰネットワークとの接続境界に設けられ、所定の対策ルールに基づいてサイバー攻撃の蓋然性が高い不正パケットを判定可能なサイバー攻撃対策装置と、を含むネットワーク監視システムであって、前記ネットワーク監視装置は、前記ダークネット観測網から提供されるダークネット観測情報を受け取り、サイバー攻撃の蓋然性が高い不正パケットを選別する情報取得部と、前記情報取得部により選別された不正パケット群を、予め定めた判定ルールに基づいて分析すると共に、予め類型化したサイバー攻撃のタイプに分類し、特徴となる攻撃パラメータを含む攻撃イベント情報を出力する情報分析部と、前記情報分析部から出力された攻撃イベント情報を用いて、当該攻撃の蓋然性が高い不正パケットを前記サイバー攻撃対策用装置が判別するための対策ルールを生成可能なルール生成部と、を備えることを特徴とする。
【００１９】
また、請求項６に係る発明は、前記請求項３〜請求項５の何れか１項に記載のネットワーク監視システムにおいて、前記ルール生成部により生成された対策ルールを、前記サイバー攻撃対策装置を備えるローカルネットワークへ供給可能としたことを特徴とする。
【発明の効果】
【００２０】
本発明に係るネットワーク監視システムによれば、ダークネット観測網からのダークネット観測情報に基づいて特定したサイバー攻撃の対策情報をネットワーク監視装置が生成するので、そのサイバー攻撃を受けていないローカルネットワークのサイバー攻撃対策装置に対して、事前にサイバー攻撃対策を施すことが可能となる。
【図面の簡単な説明】
【００２１】
【図１】本発明に係るネットワーク監視システムを適用した広域ネットワークの概略構成図である。
【図２】本発明に係るネットワーク監視システムにおけるネットワーク監視装置の第１構成例を示す概略構成図である。
【図３】（ａ）は、攻撃イベント情報に含まれる攻撃パラメータから、対策情報に含ませる対策パラメータが一意に定まる場合の対策情報作成手順を示す説明図である。（ｂ）は、攻撃イベント情報に含まれる攻撃パラメータのうち、攻撃パラメータに広がりがあるものから適用範囲を絞り込んで対策パラメータを設定する場合の対策情報作成手順を示す説明図である。
【図４】表１のリストに含まれる送信先アドレスの出現頻度を示す特性図である。
【図５】（ａ）は、対策装置用ルール生成・供給制御部によって第１種対策装置用対策ルールファイルを作成する手順を示す説明図である。（ｂ）は、対策装置用ルール生成・供給制御部によって第２種対策装置用対策ルールファイルを作成する手順を示す説明図である。
【図６】本発明に係るネットワーク監視システムにおけるネットワーク監視装置の第２構成例を示す概略構成図である。
【図７】第２構成例のネットワーク監視装置における対策装置用ルール生成・供給制御部によって第３種対策装置用対策ルールファイルを作成する手順を示す説明図である。
【図８】本発明に係るネットワーク監視システムにおけるネットワーク監視装置の第３構成例を示す概略構成図である。
【発明を実施するための形態】
【００２２】
次に、添付図面に基づいて、本発明に係るネットワーク監視システムの実施形態につき説明する。
【００２３】
図１は、本発明に係るネットワーク監視システムを適用した広域ネットワークの概略構成を示すもので、通信規約ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）に基づいてＩＰパケットが流れるＩＰネットワークに複数の局所的ネットワーク（以下、ローカルネットワークという）が接続されている。この広域ネットワークを監視するため、ＩＰネットワークにはネットワーク監視装置１が接続されている。
【００２４】
上記ネットワーク監視装置１は、ネットワーク内で発生したサイバー攻撃（ＤＤｏＳ攻撃、マルウェアのスキャン、脆弱性スキャン等）を検知して、そのサイバー攻撃を攻撃イベント情報として取得できる。その攻撃イベント情報に基づくサイバー攻撃対策を施す対象となるローカルネットワークを防御対象ネットワークとよび、その他のローカルネットワークを防御非対象ネットワークとよぶ。
【００２５】
例えば、防御対象ネットワークＡは、自ネットワークとＩＰネットワークとの接続境界にダークネット観測装置２ａとサイバー攻撃対策装置３ａを備えている。ダークネット観測装置２ａは、自ネットワークが有するＩＰアドレス範囲のうち、未使用のＩＰアドレスであるダークネット宛てに送信されたＩＰパケットを取得するもので、そのダークネット観測情報は、リアルタイムにネットワーク監視装置１へ送信される。サイバー攻撃対策装置３ａは、所定の対策ルールに基づいてサイバー攻撃の蓋然性が高い不正パケットを判定する判定機能と、判定結果に基づいて不正パケットをブロックしたり、警告を発したりすることで、サイバー攻撃への対策を可能にする。さらに、サイバー攻撃対策装置３ａは、ネットワーク監視装置１から提供される情報（後に詳述）によって、不正パケット判定機能をアップデートすることができる。
【００２６】
同様に、防御対象ネットワークＢは、ダークネット観測装置２ｂとサイバー攻撃対策装置３ｂを備え、防御対象ネットワークＦは、ダークネット観測装置２ｆとサイバー攻撃対策装置３ｆを備え、防御対象ネットワークＧは、サイバー攻撃対策装置３ｇのみを備える。これら防御対象であるローカルネットワークは全て、ネットワーク監視装置１から提供される情報を有効に活用するため、少なくともサイバー攻撃対策装置３を備えるものである。また、防御対象ネットワークＡ，Ｂ，Ｆに設けられているダークネット観測装置２ａ，２ｂ，２ｆは、何れもダークネット観測情報をネットワーク監視装置１へ提供することにより、ダークネット観測網として機能する。
【００２７】
一方、ネットワーク監視装置１が情報提供を行う対象ではない防御非対象ネットワークＣは、サイバー攻撃対策装置３ｃを備え、防御非対象ネットワークＤは、ダークネット観測装置２ｄとサイバー攻撃対策装置３ｄを備える。防御非対象ネットワークＥのように、ダイレクトにＩＰネットワークと接続され、ダークネット観測装置２もサイバー攻撃対策装置３も備えていないローカルネットワークもある。なお、ダークネット観測装置２ｄを備える防御非対象ネットワークＤは、ダークネット観測装置２ｄで取得したダークネット観測情報をネットワーク監視装置１へ提供することにより、ダークネット観測網として機能するが、ネットワーク監視装置１からの情報提供を受けないので、防御対象のネットワークとはならないのである。また、サイバー攻撃対策装置３を備えていない防御非対象ネットワークＥは、防御対象のネットワークとはなり得ないが、仮にダークネット観測装置２を備えていれば、ダークネット観測網の一部を担うローカルネットワークとなり得る。
【００２８】
次に、第１構成例であるネットワーク監視装置１の機能について、図２に基づき詳述する。なお、この第１構成例のネットワーク監視装置１は、対策情報生成機能と、サイバー攻撃対策装置３に適用できる対策ルールを生成するルール生成機能と、生成した対策ルールを保護対象ネットワークの求めに応じて提供するルール供給機能とを併せ持つものである。
【００２９】
ネットワーク監視装置１には、多数のローカルネットワークに設けられたダークネット観測装置２で構成されるダークネット観測網からダークネット観測情報を受け取る情報取得部１１を設ける。この情報取得部１１が受け取るダークネット観測情報は、存在しない宛先へ送信されたものであり、その多くは、サイバー攻撃に起因した不正パケットである。
【００３０】
例えば、送信元アドレスを詐称して行われるＤＤｏＳ攻撃の一種であるＴＣＰ  ＳＹＮ  Ｆｌｏｏｄ攻撃が行われると、サイバー攻撃であることを検知できない被攻撃サーバは、詐称された送信元アドレスに対して一つ一つ応答を行うため、ＴＣＰのＳＹＮ−ＡＣＫフラグが設定された大量の応答パケット（バックスキャッタ）がＩＰネットワーク上に撒き散らされる。そして、詐称された送信元ＩＰアドレスが、本来は送信元が存在しないダークネット領域であり、尚且つダークネット観測網の観測範囲（ダークネット観測装置２によって観測しているダークネット領域内）であった場合、ダークネット観測網からダークネット観測情報として提供されるＴＣＰパケットのＴＣＰヘッダにはＳＹＮ−ＡＣＫフラグが設定されていることから、送信元が詐称されたＴＣＰ  ＳＹＮ  Ｆｌｏｏｄ攻撃の結果であると推定できる。
【００３１】
このように、サイバー攻撃の判定には、ダークネット領域への応答パケットを分析することが有効であり、情報取得部１１は、ダークネット観測網より提供されたダークネット観測情報から応答パケットを不正パケットとして選別し、これらをサイバー攻撃分析用のバックスキャッタと看做して情報分析部１２へ出力する。
【００３２】
上記情報分析部１２は、情報取得部１１より入力された不正パケットを予め定めた判定ルールに基づいて分析すると共に、予め類型化したサイバー攻撃のタイプに分類し、特徴となる攻撃パラメータを含む攻撃イベント情報を対策情報生成部１３へ出力する。なお、攻撃イベント情報は、図示を省略したデータベースに保存しておくことができ、必要に応じて、データベースから過去情報を読み出して参照することができる。
【００３３】
以下に、情報分析部１２によるサイバー攻撃分析の手法の一例を説明する。なお、情報分析部１２によるサイバー攻撃分析の手法はこれに限定されるものでは無い。ネットワーク上で提供される新サービスの多様化、サイバー攻撃の多様化、対策技術の進歩等に伴って、適切な分析手法を適宜に採用してゆくことが望ましい。
【００３４】
まず、情報取得部１１より提供されたＤＤｏＳ攻撃の跳ね返りパケットであるバックスキャッタを分類するために、例えば、以下のようなパケットのフィールドに着目する。
【００３５】
送信先ＩＰアドレス：送信先ＩＰアドレスは、ダークネット観測装置２で受信したＩＰアドレスそのものである。しかし、この送信先ＩＰアドレスは、攻撃者が詐称に用いた送信元ＩＰアドレスと一致する。すなわち、バックスキャッタの送信先ＩＰアドレス群には、攻撃者の発信元ＩＰアドレスの詐称方法が特徴として表れることとなる。よって、送信先ＩＰアドレスは、攻撃イベントを特徴付けて判定するための攻撃パラメータとして利用できる。
【００３６】
送信先ポート番号：送信先ポート番号は、攻撃者が自由に設定することができる。すなわち、バックスキャッタの送信先ポート番号には、攻撃者の発信元ポート番号の選択方法が特徴として表れることとなる。よって、送信先ポート番号は、攻撃イベントを特徴付けて判定するための攻撃パラメータとして利用できる。
【００３７】
シーケンス番号：バックスキャッタのシーケンス番号は、攻撃の標的となっている被攻撃サーバによって設定されるものであり、シーケンス番号単独では攻撃者を特徴付ける情報として利用できない。しかしながら、次に説明する確認応答番号との組み合わせで、攻撃パケットの再送の有無が判定できる。よって、シーケンス番号は、攻撃イベントを特徴付けて判定するための攻撃パラメータとして利用できる。
【００３８】
確認応答番号：通常、確認応答番号は受信パケットのシーケンス番号に受信パケットのバイト数を加算した値とする。しかし、ＴＣＰのコネクション確立シーケンスにおいて最初のパケットであるＳＹＮパケットを受信した場合、パケットのバイト数は０バイトとなるため、シーケンス番号＋１の確認応答番号が設定されたＳＹＮ−ＡＣＫパケットが送信される。すなわち、バックスキャッタの確認応答番号は、被攻撃サーバが攻撃パケットのシーケンス番号に１を加算した値であるため、攻撃者のシーケンス番号の設定方法が特徴として表れることとなる。よって、確認応答番号は、攻撃イベントを特徴付けて判定するための攻撃パラメータとして利用できる。
【００３９】
上述した着目フィールドに現れる特徴を組み合わせ、バックスキャッタを分類するための１１の判定ルールを定義する。これらの判定ルールは、長期にわたるダークネット観測の知見から導き出した一例であり、バックスキャッタを分類するための判定ルールは、これらに限定されるものではない。例えば、着目フィールドが増えれば、判定ルールも更に増えることとなるし、実用上必要の無い判定ルールを除外することもあり得る。
【００４０】
判定ルール１（広範囲詐称型）：バックスキャッタの送信先ＩＰアドレス（ＩＰｖ４アドレス）の第１〜第４オクテットのそれぞれの値が１２８種類以上で構成されている場合、広範囲詐称型とする。
【００４１】
判定ルール２（非ランダム詐称型）：バックスキャッタの送信先ＩＰアドレス（ＩＰｖ４アドレス）の第１〜第４オクテットを構成する数値の範囲が同じ場合、非ランダム詐称型とする。
【００４２】
判定ルール３（特定ポート利用型）：バックスキャッタが単一の送信先ポート番号を持つ場合（すなわち、攻撃者が単一の発信元ポートを使用している場合）、特定ポート利用型とする。
【００４３】
判定ルール４（特定確認応答番号利用型）：バックスキャッタの確認応答番号が同一の場合（すなわち、攻撃パケットのシーケンス番号が同一の場合）、特定確認応答番号利用型とする。
【００４４】
判定ルール５（同一セット利用型）：バックスキャッタのシーケンス番号以外のフィールド（送信先ＩＰアドレス、発信元ポート番号、送信先ポート番号、確認応答番号）が同一の場合、特定セット利用型とする。攻撃者から再送がある場合は、シーケンス番号も同一となるため、本判定ルールには適合しない。
【００４５】
判定ルール６（第４オクテットランダム型）：バックスキャッタの送信先ＩＰアドレス（ＩＰｖ４アドレス）が／２４ネットワーク内にランダムに分散している場合（すなわち、／２４の範囲でＩＰアドレスを詐称している場合）、第４オクテットランダム型とする。
【００４６】
判定ルール７（第３オクテットランダム型）：バックスキャッタの送信先ＩＰアドレス（ＩＰｖ４アドレス）の第１オクテット、第２オクテット、第４オクテットが固定であり、第３オクテットがランダムに分散している場合、第３オクテットランダム型とする。
【００４７】
判定ルール８（特定第４オクテット利用型）：バックスキャッタの送信先ＩＰアドレス（ＩＰｖ４アドレス）の第４オクテットの値が１２８種類の場合、特定第４オクテット利用型とする。
【００４８】
判定ルール９（特定第３オクテット利用型）：バックスキャッタの送信先ＩＰアドレス（ＩＰｖ４アドレス）の第３オクテットの値が１２８種類の場合、特定第３オクテット利用型とする。
【００４９】
判定ルール１０（第４オクテット偏り型）：バックスキャッタの送信先ＩＰアドレス（ＩＰｖ４アドレス）の第３オクテットの値が２００種類以上存在し、第４オクテットの値が１２８種類未満の場合、第４オクテット偏り型とする。
【００５０】
判定ルール１１（第３オクテット偏り型）：バックスキャッタの送信先ＩＰアドレス（ＩＰｖ４アドレス）の第４オクテットの値が２００種類以上存在し、第３オクテットの値が１２８種類未満の場合、第３オクテット偏り型とする。
【００５１】
例えば、上述した判定ルール１〜判定ルール１１に基づいてバックスキャッタを分類してゆき、単一の判定ルールもしくは複数種類の判定ルールに適合している相当数のパケット群が短期間に発生していると、サイバー攻撃であると推定できる。
【００５２】
そして、情報分析部１２は、分析結果として、判定ルールに適合している一連のバックスキャッタを１つのサイバー攻撃としてまとめた攻撃イベント情報を作成し、対策情報生成部１３へ出力する。この攻撃イベント情報は、適合した判定ルールの組み合わせから定義した攻撃タイプと、この攻撃を特徴付けるフィールド群の内容を攻撃パラメータとして含ませたもの（例えば、ＸＭＬ等のテキストベースのファイル構造）である。
【００５３】
上記のようにして情報分析部１２より出力された攻撃イベント情報が対策情報生成部１３へ入力されると、その都度、対策情報生成部１３は、この攻撃イベント情報に記載された攻撃の蓋然性が高い不正パケットを判定するための対策パラメータを含む対策情報を生成する。この対策情報生成機能は、攻撃イベント情報記憶手段１３１と対策情報生成手段１３２によって実現する。
【００５４】
攻撃イベント情報記憶手段１３１は、情報分析部１２からの攻撃イベント情報を一時的に記憶しておくもので、対策情報生成手段１３２からの指示に対応して、攻撃イベント情報に含まれる情報群（攻撃イベントの攻撃タイプ、種々の攻撃パラメータ）から必要な情報を抽出して対策情報生成手段１３２へ供給する。また、対策情報生成手段１３２は、攻撃パラメータに対応する対策パラメータを設定し、対策パラメータを含む対策情報を作成する。
【００５５】
ここで、対策情報生成部１３が攻撃イベント情報から対策情報を生成する過程の具体例を、図３に基づき説明する。
【００５６】
図３（ａ）は、攻撃イベント情報に含まれる攻撃パラメータから、対策情報に含ませる対策パラメータが一意に定まる場合の対策情報生成過程を示すものである。情報分析部１２より攻撃イベント情報が対策情報生成部１３に入力されると、攻撃イベント情報記憶手段１３１に記憶される。既に攻撃イベント情報記憶手段１３１に過去の攻撃イベント情報が存在した場合は、上書き保存することで、攻撃イベント情報記憶手段１３１には、常に最新の攻撃イベント情報のみが一時記憶される。
【００５７】
上記のように、攻撃イベント情報記憶手段１３１が新たな攻撃イベント情報を記憶することを契機として、対策情報生成手段１３２による対策情報の生成が開始されるものとする。対策情報の生成開始に当たって、対策情報生成手段１３２は、まず攻撃イベント情報記憶手段１３１が新たに記憶した攻撃イベント情報の攻撃タイプを確認する。攻撃タイプが分かれば、どの対策パラメータを対策情報に含ませるかが決まるからである。このため、予め類型化した攻撃タイプに応じて、その対策に必要な対策パラメータが定められており、その対応関係表等を対策情報生成手段１３２に持たせておく必要がある。
【００５８】
例えば、攻撃タイプＡに対しては、攻撃パラメータ１（着目フィールド１の特定値）と攻撃パラメータ４（着目フィールド４の特定値）によって不正パケットの判定が可能であると定められていることから、対策情報生成手段１３２は、攻撃イベント情報記憶手段１３１の攻撃イベント情報から攻撃パラメータ１と攻撃パラメータ４を読み出す。そして、対策情報生成手段１３２の対策パラメータ生成用プログラムは、攻撃パラメータ１を対策パラメータ１とし、攻撃パラメータ４を対策パラメータ４とし、対策パラメータ１と対策パラメータ４を含ませた対策情報を生成する。この対策情報もＸＭＬ等のテキストベースのファイル構造としておくと、後述する対策装置用ルール生成・供給制御部１４でのルール生成処理が煩雑とならない。
【００５９】
なお、攻撃パラメータと対策パラメータは予め対応付けてあるもので、例えば、攻撃パラメータが「送信先ＩＰアドレス」であれば、それに対応する対策パラメータは「送信元ＩＰアドレス」である。すなわち、バックスキャッタの送信先ＩＰアドレス（攻撃者が送信元として偽装したアドレス）を不正パケット判定用の送信元ＩＰアドレスとして用いれば、同じ偽装アドレスを使って送信した攻撃パケットを検知でき、通信をブロックする等の対策が可能となる。
【００６０】
一方、図３（ｂ）は、攻撃イベント情報に含まれる攻撃パラメータのうち、攻撃パラメータに広がりがあるもの（例えば、１つの攻撃に包含される不正パケット群の各攻撃パラメータをリスト化して提示するもの）から対策範囲として適用する攻撃パラメータの範囲を妥当な範囲に絞り込む処理を行って対策パラメータを設定する場合の対策情報生成過程を示すものである。攻撃イベント情報記憶手段１３１に新たに記憶された攻撃イベント情報は攻撃タイプＢであるから、これに対応した対策パラメータを含む対策情報を生成する。
【００６１】
例えば、攻撃タイプＢに対しては、攻撃パラメータ１リスト（バックスキャッタ毎に異なる着目フィールド１の一覧）と攻撃パラメータ２（着目フィールド２の特定値）によって不正パケットの判定が可能であると定められていることから、対策情報生成手段１３２は、攻撃イベント情報記憶手段１３１の攻撃イベント情報から攻撃パラメータ１リストと攻撃パラメータ２を読み出す。そして、対策情報生成手段１３２の対策パラメータ生成用プログラムは、攻撃パラメータ１リストから適用範囲を絞り込んで決定した攻撃パラメータ１（着目フィールド１の適用範囲）を対策パラメータ１とし、攻撃パラメータ２の特定値を対策パラメータ２とし、対策パラメータ１と対策パラメータ２を含ませた対策情報を生成する。
【００６２】
上記のように、対策パラメータ生成用プログラムには、攻撃パラメータが特定値でない場合（イベント毎に一定範囲で散らばっている場合）に妥当な範囲を設定するための絞り込み処理を行う機能を持たせてある。なお、対策情報生成手段１３２の対策パラメータ生成用プログラムが、例えば、攻撃タイプＢの判定に供された全攻撃イベントの攻撃パラメータ１を個別に抽出して、着目フィールド１の各特定値を新たにリスト化し、これを対策パラメータ１リストとして含ませた対策情報を生成する手法も考えられる。その場合、少なくとも、攻撃イベント情報の攻撃パラメータ１リストに含まれていた全ての着目フィールド１の特定値を不正パケットの判定対象とすることができる反面、パラメータ値が少しでも異なると不正パケットの判定が行えず、取りこぼしが多く発生する可能性がある。また、不正パケットの判定を行うのは、各ローカルネットワークに設けられたサイバー攻撃対策装置３であることから、その処理能力やネットワークの規模によっては、受信パケット全てを対策パラメータ１リストで逐一判定できない場合もある。よって、対策情報生成手段１３２には、防御対象の各ローカルネットワークで用いている標準的な機能のサイバー攻撃対策装置３で対策可能な妥当範囲を対策情報として生成する機能が求められるのである。
【００６３】
そこで、第１構成例のネットワーク監視装置１における対策情報生成部１３の対策情報生成手段１３２には、リスト化された攻撃パラメータを統計的手法によって妥当な範囲に絞り込み、対策パラメータとしての適用範囲を設定するものとした。以下、対策パラメータ生成用プログラムが行う絞り込み処理の一例を説明する。例えば、攻撃タイプＢの判定に分類された攻撃イベントが１００件で、攻撃パラメータ１に対応する着目フィールド１が送信先ＩＰアドレスであるときの攻撃パラメータ１リストを表１に示す。なお、表１中に示す送信先ＩＰアドレスの第３オクテット（ｘｘ）は任意の数値（０〜２５５の範囲）である。
【００６４】
【表１】
2017034449.tif 000003
【００６５】
表１に示す送信先ＩＰアドレス一覧では、第１オクテット〜第３オクテットは特定の固定値であるが、第４オクテットがランダムに分散している。その分散の度合いを図４に示した。図４の分散特性から、送信先ＩＰアドレスの第４オクテットは均等に分散しているわけでも、極めて狭い範囲に集中しているわけでもないことが分かる。なお、更に時間をかけて、より多くの攻撃イベントを収集し、送信先ＩＰアドレスの分散傾向を分析すると、際だった特徴を把握できる可能性もある。しかしながら、攻撃判定のために収集するイベント数が多くなれば、それだけ攻撃イベント情報の出力が遅れてしまい、対策が後手に回り、サイバー攻撃の影響を抑制できなくなる可能性もある。このため、対策情報生成手段１３２には、限られたイベント数のリスト範囲から適切な対策パラメータを設定する機能が求められる。
【００６６】
対策情報生成手段１３２の対策パラメータ生成用プログラムが、例えば、攻撃イベント毎の攻撃パラメータ１（送信先ＩＰアドレス）における第４オクテットの全範囲（０〜２５５）を対策パラメータ（送信元ＩＰアドレス：１９２．１６８．ｘｘ．０〜１９２．１６８．ｘｘ．２５５）として使ったり、第４オクテットの最低値（４２）から最高値（１１８）の範囲を対策パラメータ（送信元ＩＰアドレス：１９２．１６８．ｘｘ．４２〜１９２．１６８．ｘｘ．１１８）として使ったりすると、対策情報生成手段１３２によって生成された対策情報に含まれる対策パラメータは、不正パケットの判定対象ではなかったＩＰアドレスを送信元ＩＰアドレスとして多く含むことになる。よって、このような対策情報に基づいて行う受信パケットの判定では、少なからぬ誤検知が発生してしまう可能性がある。
【００６７】
そこで、誤検知の発生を最小限とするために、第１構成例のネットワーク監視装置１における対策情報生成部１３の対策情報生成手段１３２は、リスト化された攻撃パラメータを妥当な範囲に絞り込む統計的手法として、標準偏差を用いるものとした。なお、絞り込む範囲は、攻撃パラメータ１リストにおける送信先ＩＰアドレスの第４オクテットの値で、その平均値をμ、平均からの散らばり具合を示す分散をＳｔｄＤｉｖ、標準偏差をσとする。まず、第４オクテットの値Ｘｉについて、イベント番号ｉ＝１からｉ＝１００までの平均値μを求める。
【００６８】
【数１】
2017034449.tif 000004
【００６９】
上記のように求めた平均値μを用いて、分散ＳｔｄＤｉｖと標準偏差σを求める。
【００７０】
【数２】
2017034449.tif 000005
【００７１】
【数３】
2017034449.tif 000006
【００７２】
したがって、平均値８１．８８から±２２．５６の範囲（５９．３２〜１０４．４４）を適用範囲とする。ただし、送信先ＩＰアドレスの第４オクテットの値は整数であるから、求めた適用範囲を含むように、５９〜１０５を採用する。
【００７３】
かくして、対策情報生成手段１３２の対策パラメータ生成用プログラムは、送信先ＩＰアドレス１９２．１６８．ｘｘ．５９〜１９２．１６８．ｘｘ．１０５に絞り込んだアドレス範囲を攻撃パラメータ１に設定し、これを対策パラメータ１（送信元ＩＰアドレス１９２．１６８．ｘｘ．５９〜１９２．１６８．ｘｘ．１０５）として対策情報に含ませるのである。なお、パラメータリストの適用範囲を絞り込む統計的手法は、標準偏差に限定されるものではなく、攻撃パラメータに設定された注目フィールドの特性に応じて、適切な絞り込み処理を行えば良い。
【００７４】
上記のようにして対策情報生成部１３によって生成された対策情報が入力される対策装置用ルール生成・供給制御部１４は、その対策情報を記憶しておき、防御対象ネットワークからの求めに応じて、当該ローカルネットワークが用いているサイバー攻撃対策装置３に不正パケットを判定させるための対策ルールを生成して供給するものである。対策装置用ルール生成機能は、対策情報記憶手段１４１および第１種対策装置用ルール変換手段１４２ａ〜第ｎ種対策装置用ルール変換手段１４２ｎによって実現し、ルール供給制御機能は、生成ルール制御機能手段１４３によって実現する。
【００７５】
対策情報記憶手段１４１は、対策情報生成手段１３２からの対策情報を一時的に記憶しておくもので、第１〜第ｎ種対策装置用ルール変換手段１４２ａ〜１４２ｎからの指示に対応して、対策情報に含まれる対策パラメータ群から必要な対策パラメータを抽出し、指示を受けた第１〜第ｎ種対策装置用ルール変換手段１４２ａ〜１４２ｎへ供給する。なお、対策情報記憶手段１４１は、対策情報生成部１３によって出力された最新の対策情報を記憶するだけで無く、過去の対策情報も複数記憶しておけることが望ましい。サイバー攻撃の特徴は様々で、その発生から収束に至るまで目安となる期間があるわけでは無いから、前記情報分析部１２で新たなサイバー攻撃の存在が判定されたときでも、前回、前々回に検知されたサイバー攻撃が未だ脅威の対象となっていることも考えられる。このような場合に、過去の対策情報に基づいてサイバー攻撃対策装置用の対策ルールを生成し、供給することができれば、一層好適なサイバー攻撃対策を実現できる可能性がある。
【００７６】
上記のように対策情報記憶手段１４１に記憶されている対策情報を、サイバー攻撃対策装置３の種別に応じた対策ルールに変換して対策ルールファイルを生成するため、対策装置用ルール生成機能は、サイバー攻撃対策装置３の種別毎にモジュール化して設けるものとした。なお、サイバー攻撃対策装置３の種別は、主として、受信パケットの判定に用いることができるフィールド項目と、新たな対策ルールを適用するために用いるコマンド等の記述体系によって定めておく。その一例を表２に示す。
【００７７】
【表２】
2017034449.tif 000007
【００７８】
第１種対策装置に区分されるサイバー攻撃用対策装置３は、対策パラメータ１（例えば、受信パケットのＩＰヘッダにおける送信元ＩＰアドレス）のみに対応したものである。第２種対策装置に区分されるサイバー攻撃用対策装置３は、対策パラメータ１，対策パラメータ２（例えば、受信パケットのＴＣＰヘッダにおける送信元ポート番号），対策パラメータ３（例えば、受信パケットのＴＣＰヘッダにおける送信先ポート番号）に対応したものである。第３種対策装置に区分されるサイバー攻撃用対策装置３は、対策パラメータ１〜３および対策パラメータ４（例えば、受信パケットのＴＣＰヘッダにおけるシーケンス番号）に対応したものである。以下同様に、第４種対策装置から第ｎ種対策装置まで、種別毎に、対策ルールファイルの生成に必要な情報の対応付けが定めてあり、第１種対策装置用ルール変換手段１４２ａ〜第ｎ種対策装置用ルール変換手段１４２ｎには、対応する種別の対策装置向け対策ルールファイルを生成する機能が備わっている。
【００７９】
なお、対策装置用ルール生成・供給部１４で対応可能なサイバー攻撃対策装置３は、既存の対策装置の種別に限らず、将来的に採用される新たな対策装置に対しても対応可能である。すなわち、既存の対策装置種別とは異なる新たな種別枠を新設し、この対策装置種別に対応した対策装置用ルール変換手段を追加すればよいのである。このように、サイバー攻撃対策装置の種別毎にモジュール化して対策装置用ルール変換手段を設ける構成とすれば、新規の対策装置に対応するための機能拡張が容易であることに加えて、不要となった対策装置用ルール生成機能を削除することも容易である。
【００８０】
ここで、対策装置用ルール生成・供給制御部１４が対策情報から対策ルールファイルを生成する過程の具体例を、図５に基づき説明する。
【００８１】
図５（ａ）は、対策装置用ルール生成・供給制御部１４によって第１種対策装置用対策ルールファイルを作成する手順を示すものである。対策情報生成部１３より対策情報が対策情報記憶手段１４１に入力されると、この対策情報を識別可能な状態、例えば、対策情報Ａと名付けて記憶する。これは、対策情報記憶手段１４１内に、既に対策情報が記憶されていた場合には、複数の対策情報の新旧を判別できるようにするためである。
【００８２】
上記のように、対策情報記憶手段１４１が新たな攻撃イベント情報を記憶しても、対策ルールファイルを生成するわけでは無い。防御対象ネットワークからの求めに応じて、その都度、当該防御対象ネットワークが必要とする種別の対策装置用ルールを生成するのである。例えば、第１種のサイバー攻撃対策装置３を備えている防御対象ネットワークから対策ルールファイルの要求を受けたとき、生成ルール供給制御手段１４３が第１種対策装置用ルール変換手段１４２ａに対して対策ルールファイルの生成要求を行い、これを受けた第１種対策装置用ルール変換手段１４２ａがルールファイル生成を開始するのである。
【００８３】
なお、生成ルール供給制御手段１４３は、対策ルールファイルを要求してきた防御対象ネットワークが防御対象として正規に登録されているか、所定の認証処理を行って、防御非対象ネットワークに対策ルールファイルが流出しないようにすることが望ましい。公益的見地から、誰でも対策ルールファイルを入手できるようにする供給方法も考えられるが、対策ルールが攻撃者の手に渡ると、対策ルールを回避できる新たなサイバー攻撃が短期間のうちに発生する可能性もあるため、素性の知れた防御対象ネットワークにだけ対策ルールファイルを供給することとした。また、最新の対策情報が作成されたタイミングで、ネットワーク監視装置１から防御対象ネットワークの管理組織等へ対策ルールファイルを送付するプッシュ型の提供方法としても良い。
【００８４】
生成ルール供給制御手段１４３から第１種対策装置用ルールファイルの生成要求を受けた第１種対策装置用ルール変換手段１４２ａは、第１種のサイバー攻撃対策装置３が対応している対策パラメータとして、対策情報記憶手段１４１より対策情報Ａの対策パラメータ１（例えば、送信元ＩＰアドレス）を取得する。そして、対策ルール生成用プログラムにて対策パラメータ１から第１種対策装置用対策ルールファイルを生成する。この第１種対策装置用ルール変換手段１４２ａによって生成された第１種対策装置用ルールファイルは、生成ルール供給制御手段１４３に渡されて、対策ルールファイルの要求をしてきた防御対象ネットワークへ供給される。なお、第１種対策装置用対策ルールファイルを受け取った防御対象ネットワークは、自ネットのサイバー攻撃対策装置３（第１種）に対して、自発的にその対策ルールファイルを適用することで、対策パラメータ１である送信元ＩＰアドレスの値と一致する受信パケットをサイバー攻撃の蓋然性が高い不正パケットと判定する機能が付加され、サイバー攻撃への対策機能が強化される。
【００８５】
図５（ｂ）は、対策装置用ルール生成・供給制御部１４によって第２種対策装置用対策ルールファイルを作成する手順を示すものである。対策情報生成部１３より対策情報が対策情報記憶手段１４１に入力されると、例えば、対策情報Ｃと名付けて記憶する。これは、対策情報記憶手段１４１内に、既に過去の対策情報（対策情報Ａ，対策情報Ｂ）が記憶されているためである。なお、サイバー攻撃の検知が短期間に多く発生した場合を考慮すると、対策情報記憶手段１４１の対策情報記憶可能数には余裕を持たせておくことが望ましい。
【００８６】
第２種のサイバー攻撃対策装置３を備えている防御対象ネットワークから対策ルールファイルの要求を受けたとき、生成ルール供給制御手段１４３が第２種対策装置用ルール変換手段１４２ｂに対して対策ルールファイルの生成要求を行い、これを受けた第２種対策装置用ルール変換手段１４２ｂがルールファイル生成を開始する。
【００８７】
生成ルール供給制御手段１４３から第２種対策装置用ルールファイルの生成要求を受けた第２種対策装置用ルール変換手段１４２ｂは、第２種のサイバー攻撃対策装置３が対応している対策パラメータとして、対策情報記憶手段１４１より対策情報Ｃの対策パラメータ１（例えば、送信元ＩＰアドレス），対策パラメータ２（例えば、送信元ポート番号），対策パラメータ３（送信先ポート番号）を取得する。そして、対策ルール生成用プログラムにて対策パラメータ１〜３から第２種対策装置用対策ルールファイルを生成する。
【００８８】
なお、対策情報記憶手段１４１が記憶している最新の対策情報（対策情報Ｃ）の中に、第２種のサイバー攻撃対策装置３が対応している対策パラメータが含まれていなかった場合、第２種対策装置用ルール変換手段１４２ｂによって対策ルールファイルを生成せずに、対策ルールファイル要求を受けた防御対象ネットワークへ生成ルール供給制御手段１４３から最新の対策ルールファイルは無い旨を伝えるようにしても良い。或いは、ルールファイルの生成要求を受けていない過去分の対策情報Ｂ，Ａの中に第２種のサイバー攻撃対策装置３が対応している対策パラメータが含まれているか否かを確認し、使える対策パラメータが含まれている対策情報を用いて第２種対策装置用対策ルールファイルを生成し、防御対象ネットワークへ提供するようにしても良い。
【００８９】
第２種対策装置用ルール変換手段１４２ｂによって生成された第２種対策装置用ルールファイルは、生成ルール供給制御手段１４３に渡されて、対策ルールファイルの要求をしてきた防御対象ネットワークへ供給され、第２種対策装置用対策ルールファイルを受け取った防御対象ネットワークが、自ネットのサイバー攻撃対策装置３（第２種）に対して、自発的にその対策ルールファイルを適用することで、サイバー攻撃への対策機能が強化される。
【００９０】
以上説明したように、第１構成例のネットワーク監視装置１を備えるネットワーク監視システムによれば、ネットワーク監視装置１の情報分析部１２のバックスキャッタ分析によって作成した攻撃イベント情報に基づき、対策情報生成部１３が対策情報を生成し、この対策情報に基づいて対策装置用ルール生成・供給制御部１４でサイバー攻撃対策装置３の種別に応じた対策ルールファイルを生成し、防御対象ネットワークへ供給することができる。すなわち、攻撃タイプや攻撃パラメータを含む攻撃イベント情報から対策ルールファイル（サイバー攻撃対策装置３の種別に応じて対応可能な対策パラメータで規定した対策ルールを含むファイル）を生成する前段階として、攻撃イベント情報に含まれる攻撃タイプに応じて利用可能な攻撃パラメータを選別すると共に攻撃パラメータ群から対策パラメータ群に置き換えた対策情報を生成しておけば、対策ルールファイル生成機能を単純化することができる。従って、防御対象ネットワークからの対策ファイル要求を受ける毎に対策ルールファイルを生成して、対策ファイル要求を受けた防御対象ネットワークへ提供する場合でも、対策ルールファイル生成の処理負荷が大きな問題となることは無い。しかも、防御対象ネットワークからの対策ファイル要求を受ける毎に対策ルールファイルを生成して提供する対策ルールファイル提供手法を採用すれば、逐次更新される対策ルールファイルを機種別に管理する必要も無い。
【００９１】
なお、上述したように、攻撃イベント情報から対策ルールファイルを生成するための中間ファイルとして対策情報を生成すれば、対策ルールファイル生成機能を単純化できるメリットがある反面、対策情報生成部１３を設ける必要があることから、ネットワーク監視装置１の機能が複雑化する。そこで、図６に示す第２構成例のネットワーク監視装置１′のように、攻撃イベント情報から対策情報を生成せずに、攻撃イベント情報からダイレクトに対策ルールファイルを生成する構成としても良い。図６中、第１構成例と同一の構成には同一符号を付して説明を省略する。
【００９２】
ネットワーク監視装置１′は、情報分析部１２から出力された攻撃イベント情報が対策装置用ルール生成供給部１４′へ直接入力される。入力された攻撃イベント情報は、攻撃イベント情報記憶手段１４４に記憶され、生成ルール供給制御手段１４３からの対策ファイル生成要求を第１〜第ｎ種対策装置用ルール生成手段１４５ａ〜１４５ｎが受けたとき、それぞれの対応種別に応じた対策ルールファイルを生成し、生成ルール供給制御手段１４３を介して防御対象ネットワークへ供給される。
【００９３】
攻撃イベント情報記憶手段１４４は、情報分析部１２から出力された最新の攻撃イベント情報を記憶するだけで無く、過去の攻撃イベント情報も複数記憶しておけることが望ましい。サイバー攻撃の特徴は様々で、その発生から収束に至るまで目安となる期間があるわけでは無いから、前記情報分析部１２で新たなサイバー攻撃の存在が判定されたときでも、前回、前々回に検知されたサイバー攻撃が未だ脅威の対象となっていることも考えられる。このような場合に、過去の攻撃イベント情報に基づいてサイバー攻撃対策装置用の対策ルールを生成し、供給することができれば、一層好適なサイバー攻撃対策を実現できる可能性がある。
【００９４】
第１〜第ｎ種対策装置用ルール生成手段１４５ａ〜１４５ｎは、攻撃イベント情報記憶手段１４４に記憶されている攻撃イベント情報を用いて、各種別のサイバー攻撃対策装置３に対応した対策ルールファイルを生成する機能を備える。これら第１〜第ｎ種対策装置用ルール生成手段１４５ａ〜１４５ｎは、攻撃イベント情報に含まれている攻撃タイプから攻撃パケットを特徴付ける対策パラメータを判定し、攻撃イベント情報に含まれている攻撃パラメータ群から選定したものを対策パラメータに設定し、最終的な対策ルールファイルを生成する。すなわち、第１〜第ｎ種対策装置用ルール生成手段１４５ａ〜１４５ｎは、対策パラメータから対策ルールファイルを生成する機能に加えて、攻撃イベント情報から必要な攻撃パラメータを選定する機能、攻撃パラメータを対策パラメータに設定する機能を備えている。
【００９５】
ここで、対策装置用ルール生成・供給制御部１４′が攻撃イベント情報から対策ルールファイルを生成する過程の具体例を、図７に基づき説明する。
【００９６】
情報分析部１２より攻撃イベント情報が攻撃イベント情報記憶手段１４４に入力されると、例えば、攻撃イベント情報Ｃと名付けて記憶する。これは、攻撃イベント情報記憶手段１４４内に、既に過去の攻撃イベント情報（攻撃イベント情報Ａ，攻撃イベント情報Ｂ）が記憶されているためである。なお、サイバー攻撃の検知が短期間に多く発生した場合を考慮すると、攻撃イベント情報記憶手段１４４の攻撃イベント情報記憶可能数には余裕を持たせておくことが望ましい。
【００９７】
第３種のサイバー攻撃対策装置３を備えている防御対象ネットワークから対策ルールファイルの要求を受けたとき、生成ルール供給制御手段１４３が第３種対策装置用ルール生成手段１４５ｃに対して対策ルールファイルの生成要求を行い、これを受けた第３種対策装置用ルール生成手段１４５ｃがルールファイル生成を開始する。
【００９８】
生成ルール供給制御手段１４３から第３種対策装置用ルールファイルの生成要求を受けた第３種対策装置用ルール変換手段１４５ｃは、攻撃イベント情報記憶手段１４４が記憶している最新の攻撃イベント情報Ｃから攻撃タイプを読み取る。攻撃イベント情報記憶手段１４４に新たに記憶された攻撃イベント情報Ｃは攻撃タイプＣであるから、第３種対策装置用ルール生成手段１４５ｃは、攻撃タイプＣに属する攻撃イベントを特徴付ける攻撃パラメータが、第３種のサイバー攻撃対策装置３に対応している対策パラメータとして利用できるかを判断する。
【００９９】
例えば、攻撃タイプＣに対しては、攻撃パラメータ１リスト（着目フィールド１の特定値一覧），攻撃パラメータ２リスト（着目フィールド２の特定値一覧），攻撃パラメータ３リスト（着目フィールド３の特定値一覧）および攻撃パラメータ４（着目フィールド４の特定値）によって不正パケットの判定が可能であると定められていることから、第３種対策装置用ルール生成手段１４５ｃは、攻撃イベント情報記憶手段１４４の攻撃イベント情報Ｃから攻撃パラメータ１リスト，攻撃パラメータ２リスト，攻撃パラメータ３リストおよび攻撃パラメータ４を読み出す。
【０１００】
そして、第３種対策装置用ルール生成手段１４５ｃの対策ルール生成用プログラムは、例えば、攻撃パラメータ１リストの最高値と最低値の範囲を適用範囲に決定した攻撃パラメータ１（着目フィールド１の適用範囲）を対策パラメータ１とし、攻撃パラメータ２リストの最高値と最低値の範囲を適用範囲に決定した攻撃パラメータ２（着目フィールド２の適用範囲）を対策パラメータ２とし、攻撃パラメータ３リストの最高値と最低値の範囲を適用範囲に決定した攻撃パラメータ３（着目フィールド３の適用範囲）を対策パラメータ３とし、攻撃パラメータ４（着目フィールド４の特定値）を対策パラメータ４とし、第３種のサイバー攻撃対策装置３に適用できる第３種対策装置用対策ルールファイルを生成する。なお、第３種対策装置用ルール生成手段１４５ｃの対策ルール生成用プログラムが、攻撃パラメータ１リスト〜攻撃パラメータ３リストを対策パラメータ１〜３に適用する方法はこれに限定されるものでは無く、例えば、攻撃パラメータ１リスト〜攻撃パラメータ３リストの各攻撃イベントを個別に抽出して、着目フィールド１〜３の各特定値を新たにリスト化し、これを対策パラメータ１リスト〜対策パラメータ３リストとして用いるようにしても良い。
【０１０１】
また、攻撃イベント情報記憶手段１４４に新たに記憶された攻撃イベント情報の攻撃タイプが、第３種のサイバー攻撃対策装置３の対応している対策パラメータとして利用できないと判断した場合には、対策ルールファイルを生成しないで、生成ルール供給制御手段１４３からルールファイル生成を要求してきた防御対象ネットワークへ提供可能な対策ルールファイルが無い旨を伝えるようにしても良い。或いは、ルールファイルの生成要求を受けていない過去分の攻撃イベント情報（攻撃イベント情報記憶手段１４４に記憶されている攻撃イベント情報Ａ，Ｂ）を参照して、対応可能な攻撃タイプがあれば対策ルールファイルを生成するようにしても良い。
【０１０２】
上述した第１構成例のネットワーク監視装置１あるいは第２構成例のネットワーク監視装置１′においては、何れも防御対象ネットワークの利便性を考慮して、サイバー攻撃対策装置３の種別に応じた対策ルールファイルを生成して供給するものとしたが、サイバー攻撃対策のために防御対象ネットワークへ提供できるのは、対策ルールファイルに限定されない。例えば、図８に示す第３構成例のネットワーク監視装置１″においては、対策情報生成部１３によって生成された対策情報をそのまま防御対象ネットワークへ提供するものとした。
【０１０３】
すなわち、第３構成例のネットワーク監視装置１″には、対策情報供給制御部１５を設け、対策情報供給制御部１５によって防御対象ネットワークへの対策情報提供が実現されるのである。具体的には、対策情報生成部１３２の対策情報生成手段１３２によって生成された対策情報が対策情報供給制御部１５の対策情報記憶手段１５１に記憶され、防御対象ネットワークからの対策情報要求を受けた対策情報供給制御手段１５２が対策情報記憶手段１５１に記憶されている最新の対策情報を取り出して、対策情報要求を行った防御対象ネットワークへ対策情報を提供するのである。
【０１０４】
この第３構成例のネットワーク監視装置１″によって対策情報を提供する場合、対策情報の提供を受けた各ローカルネットワークの管理組織がサイバー攻撃対策装置３へのルール適用作業を行わなければならないので、防御対象ネットワークでの管理負担が増すこととなる。その反面、ネットワーク監視装置１″は対策ルールファイルを逐一生成して提供する負担がかからないので、その分だけサーバ資源を情報分析に割り当てることができ、サイバー攻撃の判定精度を高められる可能性がある。
【０１０５】
以上、本発明に係るネットワーク監視システムを実施形態に基づき説明したが、本発明は、これらの実施形態に限定されるものではなく、特許請求の範囲に記載の構成を変更しない限りにおいて実現可能な全てのネットワーク監視システムを権利範囲として包摂するものである。
【符号の説明】
【０１０６】
１      ネットワーク監視装置
１１    情報取得部
１２    情報分析部
１３    対策情報生成部
１４    対策装置用ルール生成・供給制御部
２      ダークネット観測装置
３      サイバー攻撃対策装置
【図１】
2017034449.tif 000008
【図２】
2017034449.tif 000009
【図３】
2017034449.tif 000010
【図４】
2017034449.tif 000011
【図５】
2017034449.tif 000012
【図６】
2017034449.tif 000013
【図７】
2017034449.tif 000014
【図８】
2017034449.tif 000015