(57)【特許請求の範囲】
【請求項１】
サーバから抽出されたサービスを許可したリソースの名称およびリソース自身を記述したリソース表現パターンから成るアクセス制御リストを作成するアクセス制御リスト生成装置と、
前記アクセス制御リストをデータベースに記憶し、該アクセス制御リストに基づいてネットワークを介して取得された管理下のネットワーク内へ向けた通信を制御するコンテンツベースアクセス制御装置と、
を具備し、
前記アクセス制御リスト生成装置は、
サービスを許可したリソースの名称およびリソース自身をリソースの提供方法に応じた通信方式（プロトコル）に基づいて抽出する、または、リソースの提供元から直接、リソースの名称およびリソース自身を抽出するリソース表現パターン収集手段と、
前記リソース表現パターン収集手段が抽出したリソースの名称およびリソース自身に基いて、複数の前記リソース表現パターンにおける重複する文字列、および、複数の前記リソース表現パターンにおける動的名称の変動部分を正規表現による文字列パターンに置き換えて最適化されたリソース表現パターンを記述し、前記アクセス制御リストを作成するアクセス制御リスト最適化部と、
を具備することを特徴とするネットワークアクセス制御システム。
【請求項２】
前記コンテンツベースアクセス制御装置は、管理下のネットワーク内へ向けた通信を検出して、前記アクセス制御リストに記述されているリソース表現パターンと照合し、前記アクセス制御リストに記述されているリソース表現パターンと一致した通信の場合は、管理下のネットワーク内へ向けた通信を許可し、前記アクセス制御リストに記述されていない通信の場合は不正アクセスとして検知して、これを許可しないことを特徴とする請求項１に記載のネットワークアクセス制御システム。
【請求項３】
サーバから抽出されたサービスを許可したリソースの名称およびリソース自身を記述したリソース表現パターンから成るアクセス制御リストを作成するアクセス制御リスト生成手順と、
前記アクセス制御リストをデータベースに記憶し、該アクセス制御リストに基づいてネットワークを介して取得された管理下のネットワーク内へ向けた通信を制御するコンテンツベースアクセス制御手順と、
をコンピュータに実行させ、
前記アクセス制御リスト生成手順は、
サービスを許可したリソースの名称およびリソース自身をリソースの提供方法に応じた通信方式（プロトコル）に基づいて抽出する、または、リソースの提供元から直接、リソースの名称およびリソース自身を抽出するリソース表現パターン収集手順と、
前記リソース表現パターン収集手順で抽出したリソースの名称およびリソース自身に基いて、複数の前記リソース表現パターンにおける重複する文字列、および、複数の前記リソース表現パターンにおける動的名称の変動部分を正規表現による文字列パターンに置き換えて最適化されたリソース表現パターンを記述し、前記アクセス制御リストを作成するアクセス制御リスト最適化手順と、
を含むものであることを特徴とするネットワークアクセス制御プログラム。
【請求項４】
前記コンテンツベースアクセス制御手順は、管理下のネットワーク内へ向けた通信を検出して、前記アクセス制御リストに記述されているリソース表現パターンと照合し、前記アクセス制御リストに記述されているリソース表現パターンと一致した通信の場合は、管理下のネットワーク内へ向けた通信を許可し、前記アクセス制御リストに記述されていない通信の場合は不正アクセスとして検知して、これを許可しないことを特徴とする請求項３に記載のネットワークアクセス制御プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、コンピュータネットワークにおける不正な手段による侵入を排除し、リソース提供の安全性を高めるネットワークアクセス制御に用いて好適なネットワークアクセス制御システムおよびネットワークアクセス制御プログラムに関する。
【０００２】
【従来の技術】
近年、インターネットによるネットワークサービスが拡大し、多様なサービスを広く提供できるようになった。ネットワークサービスとして、Ｗｅｂページ、ＦＴＰ（File Transfer Protocol）、ＤＮＳ（Domain Name System）、ＳＭＴＰ（Simple Mail Transfer Protocol）などがあり、ネットワークを介したユーザからのアクセスに対してリソースを提供する。提供するリソースは、ＨＴＴＰやＦＴＰによるＷｅｂページやファイル、ＳＭＴＰによるメールデータなどのコンテンツ、ＤＮＳのドメイン情報、コンピュータリソースの情報などがある。このような情報を広く提供できる反面、ネットワークを介してユーザに情報を提供するサーバは、常に不正な侵入や攻撃によって被害を受ける危険にさらされている。
【０００３】
不正な侵入は、事前に必要な情報を収集する過程を経て行われる。この調査によって侵入対象のサーバの設定ミスやソフトウェアの脆弱性の情報を取得した上で不正侵入が試みられる。不正なアクセスの手法には、設定ミスやセキュリティホールを狙った要求、通常では有り得ないようなリソースの指定方法を用いた要求などがある。このような不正アクセスからシステムを防御するために、提供するシステムやその構成に応じてネットワーク上やホスト上において通信を監視して侵入を検知する侵入検知システムやファイアウォールなどを設ける。
【０００４】
従来、侵入検知システムは、これらの不正アクセスを検出するために、上記の不正アクセスの通信パターンをルール化して記述したシグネチャと呼ばれるものをデータベースとして持つ。そして、ネットワークを通過する通信を取得して解析し、シグネチャと比較してこれと一致する通信を不正アクセスとして検出していた。従って、検出精度を高めるためにできるだけ多くのシグネチャを持つ必要があった。また、新しいパターンの不正アクセスに対応するために、常にシグネチャのデータベースを更新する必要があった。
【０００５】
【発明が解決しようとする課題】
上述のように、従来の不正アクセスを検出する方法は、不正アクセスのシグネチャを設定して管理下のネットワーク内へ向けた通信の内容と比較して検出を行うため、検出精度を高めるには、可能な限り多くのシグネチャを設定する必要があり、設定する情報が膨大になる。また、次々と見つかる設定ミス、セキュリティホールに対する新しいパターンの不正アクセスに対応するためには、常にシグネチャのデータベースを更新する必要がある。また、潜在的なセキュリティホールに対する不正アクセスのシグネチャは未知のため、記述することができない。このように不正アクセスの検出をできるだけ確実に行うためには多大な作業を必要とするという問題があった。また、大量のアクセスを、膨大な数のシグネチャを用いて検査することは、不正アクセス検出装置に大きな負荷がかかることになる。さらに、通常では有り得ないリソースの指定方法を用いた要求やこれまで知られていない不正アクセス手法の場合、シグネチャを記述することができないために、防ぐ方法がないという問題があった。
【０００６】
この発明は、上記の点に鑑みてなされたもので、その目的は、ユーザに提供を許可したリソースの名称およびリソース自身からアクセス制御リストを生成し、このアクセス制御リストに記述されているリソースに対する要求のみを許可するように制御することによって、不正侵入検出のためのデータベース作成と更新に煩雑な作業を必要としない、かつ、確実に不正アクセスを排除できるネットワークアクセス制御システムおよびネットワークアクセス制御プログラムを提供することにある。また、他の目的は、ユーザに提供を許可したリソースの名称およびリソース自身が記述されたリソース表現パターンに基づくアクセス制御リストを用いて通信を制御して、全く新しいパターンの不正アクセスに対しても対応できるネットワークアクセス制御システムおよびネットワークアクセス制御プログラムを提供することにある。
【０００７】
【課題を解決するための手段】
上記の課題を解決するために、請求項１に記載の発明は、サーバから抽出されたサービスを許可したリソースの名称およびリソース自身を記述したリソース表現パターンから成るアクセス制御リストを作成するアクセス制御リスト生成装置と、前記アクセス制御リストをデータベースに記憶し、該アクセス制御リストに基づいてネットワークを介して取得された管理下のネットワーク内へ向けた通信を制御するコンテンツベースアクセス制御装置と、を具備し、前記アクセス制御リスト生成装置は、サービスを許可したリソースの名称およびリソース自身をリソースの提供方法に応じた通信方式（プロトコル）に基づいて抽出する、または、リソースの提供元から直接、リソースの名称およびリソース自身を抽出するリソース表現パターン収集手段と、前記リソース表現パターン収集手段が抽出したリソースの名称およびリソース自身に基いて、複数の前記リソース表現パターンにおける重複する文字列、および、複数の前記リソース表現パターンにおける動的名称の変動部分を正規表現による文字列パターンに置き換えて最適化されたリソース表現パターンを記述し、前記アクセス制御リストを作成するアクセス制御リスト最適化部と、を具備することを特徴とするネットワークアクセス制御システム。
【０００８】
また、請求項２に記載の発明は、請求項１に記載のネットワークアクセス制御システムおいて、前記コンテンツベースアクセス制御装置は、管理化のネットワーク内へ向けた通信を検出して、前記アクセス制御リストに記述されているリソース表現パターンと照合し、前記アクセス制御リストに記述されているリソース表現パターンと一致した通信の場合は、管理下のネットワーク内へ向けた通信を許可し、前記アクセス制御リストに記述されていない通信の場合は不正アクセスとして検知して、これを許可しないことを特徴とする。
【０００９】
また、請求項３に記載の発明は、サーバから抽出されたサービスを許可したリソースの名称およびリソース自身を記述したリソース表現パターンから成るアクセス制御リストを作成するアクセス制御リスト生成手順と、前記アクセス制御リストをデータベースに記憶し、該アクセス制御リストに基づいてネットワークを介して取得された管理下のネットワーク内へ向けた通信を制御するコンテンツベースアクセス制御手順と、をコンピュータに実行させ、前記アクセス制御リスト生成手順は、サービスを許可したリソースの名称およびリソース自身をリソースの提供方法に応じた通信方式（プロトコル）に基づいて抽出する、または、リソースの提供元から直接、リソースの名称およびリソース自身を抽出するリソース表現パターン収集手順と、前記リソース表現パターン収集手順で抽出したリソースの名称およびリソース自身に基いて、複数の前記リソース表現パターンにおける重複する文字列、および、複数の前記リソース表現パターンにおける動的名称の変動部分を正規表現による文字列パターンに置き換えて最適化されたリソース表現パターンを記述し、前記アクセス制御リストを作成するアクセス制御リスト最適化手順と、を含むものであることを特徴とするネットワークアクセス制御プログラムである。
【００１０】
また、請求項４に記載の発明は、請求項３に記載のネットワークアクセス制御プログラムにおいて、前記コンテンツベースアクセス制御手順は、管理下のネットワーク内へ向けた通信を検出して、前記アクセス制御リストに記述されているリソース表現パターンと照合し、前記アクセス制御リストに記述されているリソース表現パターンと一致した通信の場合は、管理下のネットワーク内へ向けた通信を許可し、前記アクセス制御リストに記述されていない通信の場合は不正アクセスとして検知して、これを許可しないことを特徴とする。
【００１２】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照して説明する。図１は、同実施形態によるネットワークアクセス制御システムの概念図である。同図において、１は、サーバ１０−１〜４によってユーザに提供されるリソースの名称およびリソース自身などのリソース表現パターン、例えば、ＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）などを対象のプロトコルに基づいて抽出するアクセス制御リスト生成装置である。また、アクセス制御リスト生成装置１は、リソースを提供しているサーバ１０−１〜４から、直接リソースの名称およびリソース自身をあらわすリソース表現パターンを抽出する。
【００１３】
図１は、コンピュータ１０−１〜４が接続された管理下のネットワークとインターネット１００の間にコンテンツベースアクセス制御装置２が設置されている例である。アクセス制御リスト生成装置１は、管理化のネットリークに接続され、コンピュータ１０−１〜４の提供するサービスの情報を取得してアクセス制御リストを生成し、コンテンツべースアクセス制御装置２へ提供する。１０１は、インターネット１００を介してコンピュータ１０−１〜４に対して通信を行っているユーザおよびコンピュータである。
【００１４】
図２は、ネットワークアクセス制御システムの構成を示すブロック図である。アクセス制御リスト生成装置１内のリソース表現パターンネットワーク収集部１−１およびリソース表現パターン直接収集部１−２は、コンピュータ１０−１〜４よりサービスが提供されているリソースの名称およびリソース自身の情報を収集する。アクセス制御リスト最適化部１−３は、この収集されたリソースの名称およびリソース自身の情報から、リソース表現パターンを生成する。この時、複数のリソース表現パターンにおいて同一文字列が使用されている場合、アクセス制御リスト最適化部１−３は、それを正規表現などの文字パターンを用いた記述に変更し、リソース表現パターンを最適化する。アクセス制御リスト編集ＧＵＩ部１−４は、生成されたリソース表現パターンに対して手動で変更を加えたり、新たなリソース表現パターンを追加したりする時に使われる。アクセス制御リスト最適化部１−３は、生成したリソース表現パターンをまとめてアクセス制御リストとし、アクセス制御リストデータベース２−３へ蓄積する。
アクセス制御部２−１は、インターネット１００から管理下のネットワークに向けた通信を取得して、リソース表現パターン比較部２−２へ渡す。リソース表現パターン比較部２−２は、アクセス制御リストデータベース２−３から、リソース表現パターンを取得し、両者の比較を行う。リソース表現パターン比較部２−２は、比較した結果をアクセス制御部２−１へ与える。アクセス制御部２−１は、リソース表現パターン比較部２−２の比較結果を受けて、通信の続行もしくは停止の処理を行う。
【００１５】
以下、図１および図２を参照して、ネットワークアクセス制御システムの動作を説明する。先ず、次の手順により、ユーザへの提供を許可したリソースの名称およびリソース自身を記述したアクセス制御リストを作成する。
アクセス制御リスト生成装置１内のリソース表現パターンネットワーク収集部１−１は、ユーザへの提供を許可したリソースの名称およびリソース自身の情報をリソースの提供方法に応じた通信方式（プロトコル）に基づいて、コンピュータ１０−１〜４より収集する。また、該アクセス制御リスト生成装置１内のリソース表現パターン直接収集部１−２は、コンピュータ１０−１〜４上にあるリソース（ファイルやデータ）を直接閲覧することによって、そのリソースの名称およびリソース自身の情報を取得する。つまり、図２に示すリソースの名称“Ａ”，“Ｂ”およびリソース自身の情報“Ｃ”，“Ｄ”が収集される。
アクセス制御リスト最適化部１−３は、この“Ａ”，“Ｂ”，“Ｃ”，“Ｄ”に同一文字列からなるパターンが存在する場合、正規表現などの文字列パターンに置き換えて重複をなくす等の処理を行う。例えば、２つのリソース表現パターン“\\123\\a\.html”と”\\\123\\b\.html”は、１つのリソース表現パターン“\\123\\[ab]\.html”で表現される。同様に、表現文字列の長さや使用文字の制限事項なども表現できる。
作成されたリソース表現パターンは、アクセス制御リスト編集ＧＵＩ部１−４を用いてその内容をチェックし、修正が必要な場合は手動で変更を加えたり、新たなリソース表現パターンを追加したりする。最後にアクセス制御リスト最適化部１−３は、生成したリソース表現パターンをまとめてアクセス制御リストとし、アクセス制御リストデータベース２−３へ格納する。
【００１６】
アクセス制御部２−１は、インターネット１００から管理下のネットワーク内にあるにコンピュータ１０−１〜４に向けた通信を取得して、その中に含まれる要求リソースを表す文字列をリソース表現パターン比較部２−２へ渡す。リソース表現パターン比較部２−２は、アクセス制御リストデータベース２−３から、リソース表現パターンを取得し、両者の比較を行う。例えば、コンピュータ１０−１に対する通信１を取得し、その通信内に含まれていた要求リソース名が“\123\a.html”であった場合、アクセス制御リストデータベース２−３のリソース表現パターン\\123\\[ab]\.htmlと一致する。よってリソース表現パターン比較部２−２は、アクセス制御部２−１へ比較判定により一致したことを通知する。これを受けて、アクセス制御部２−１はこの通信１を許可する。例えば、コンピュータ１０−２に対する通信２を取得し、その通信内に含まれていた要求リソース名が“GET \123\aa.html”の場合、一致するパターンはアクセス制御リストデータベース２−３に存在しない。よってリソース表現パターン比較部２−２は、アクセス制御部２−１へ比較判定により一致しないことを通知する。アクセス制御部２−１はこの通信１を拒否する。また、必要に応じてこの拒否動作は、不正アクセス検出情報としてネットワーク管理者へ通知される。
【００１７】
新しいサービスやリソースの追加や変更などがあった場合は、上述の手順によってアクセス制御リストを更新する。
【００１８】
なお、上述の説明では、リソースの名称としてＵＲＬを用いるＨＴＴＰ（Hyper Text Transfer Protocol）を例に説明したが、本発明によるネットワークアクセス制御システムは、ＨＴＴＰだけでなく、ＦＴＰ、ＤＮＳ、ディレクトリサービスなど既知の名称を持つリソースをサービスする全てのサービスに用いることができる。
【００１９】
【発明の効果】
以上説明したように、本発明によれば、ユーザへの提供を許可したリソースからアクセス制御リストを生成し、このアクセス制御リストに記述されているリソースへに対する要求のみを許可するように管理下のネットワーク内へ向けた通信を制御するので、不正アクセス、特に、全く新しい手法による不正アクセスに対しても対応できるため、ネットワークシステムのセキュリティが大幅に向上するという効果が得られる。また、膨大な数のシグネチャを設定する必要がなく、自動的に生成されたアクセス制御リストにより通信を制御するため、不正アクセスを検知する情報の設定作業が簡略化され、セキュリティシステムを構築、運用するコストを低減できる。さらに、アクセスを制御するためのアクセス制御リストに設定する情報を最適化することによってリソース表現パターンの検索が容易になり、不正アクセスの検知を行う処理の負荷を大幅に削減できるという効果が得られる。
【図面の簡単な説明】
【図１】  本発明の一実施の形態によるネットワークアクセス制御システムを示す概念図である。
【図２】  同実施形態のネットワークアクセス制御システムの構成を示すブロック図である。
【符号の説明】
１…アクセス制御リスト生成装置
１−１…リソース表現パターンネットワーク収集部（リソース表現パターン収集手段）
１−２…リソース表現パターン直接収集部（リソース表現パターン収集手段）
１−３アクセス制御リスト最適化部
１−４…アクセス制御リスト編集ＧＵＩ部
２…コンテンツベースアクセス制御装置
２−１…アクセス制御部
２−２…リソース表現パターン比較部
２−３…アクセス制御リストデータベース
１０−１〜４…サーバ
【図１】
0004173316.tif 000002
【図２】
0004173316.tif 000003