(57)【要約】【課題】攻撃を検出するための定義テーブルを用意することなく、セキュリティ攻撃を判定して、その情報を他計算機に通知することで他計算機がセキュリティ攻撃に対する対策を行えるようにしたセキュリティ攻撃障害防止方法を得る。【解決手段】被攻撃ホスト１０２により、受信パケットとＣＰＵ負荷を分析し、これらの急激な増大により、攻撃ホスト１０１からのセキュリティ攻撃を判断し、判断したセキュリティ攻撃をＦＷ１０４内に接続された防御ホスト１０３に通知し、防御ホスト１０３がセキュリティ攻撃に対する対策を講じるようにしたものである。【選択図】図１
2009110166.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続された被攻撃ホストは、受信するネットワークパケットと自ホストの処理負荷を履歴情報として蓄積する第一のステップと、自ホストの処理負荷の増大を検出する第二のステップと、この第二のステップにより上記処理負荷の増大が検出され、かつ上記受信したネットワークパケットの分析により特定のＩＰアドレスからの送信が増加しているとき、上記特定のＩＰアドレスからの攻撃と判定する第三のステップを含む処理によってセキュリティ攻撃を判定し、この判定結果を上記ネットワークに接続された防御ホストに通知することを特徴とするセキュリティ攻撃障害防止方法。
【請求項２】
上記被攻撃ホストは上記ネットワークにファイアウォールを介して接続されるとともに、上記防御ホストは、複数台が上記ファイアウォール内外に配置されていることを特徴とする請求項１記載のセキュリティ攻撃障害防止方法。
【請求項３】
上記被攻撃ホストの上記セキュリティ攻撃の判定に用いられる処理負荷は、ＣＰＵ負荷及びディスク負荷のいずれか一方または両方であることを特徴とする請求項１または請求項２記載のセキュリティ攻撃障害防止方法。
【請求項４】
ネットワークに接続された計算機は、受信するネットワークパケットと自計算機の処理負荷を履歴情報として蓄積する第一のステップと、自計算機の処理負荷の増大を検出する第二のステップと、この第二のステップにより上記処理負荷の増大が検出され、かつ上記受信したネットワークパケットの分析により特定のＩＰアドレスからの送信が増加しているとき、上記特定のＩＰアドレスからの攻撃と判定する第三のステップを含む処理によってセキュリティ攻撃を判定し、この判定結果を上記ネットワークに接続された他の計算機に通知することを特徴とするセキュリティ攻撃障害防止方法。
【請求項５】
上記計算機の上記セキュリティ攻撃の判定に用いられる処理負荷は、ＣＰＵ負荷及びディスク負荷のいずれか一方または両方であることを特徴とする請求項４記載のセキュリティ攻撃障害防止方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワーク内の計算機でセキュリティ攻撃を判断して、その情報をネットワーク内の他計算機にフィードバックして、類似のセキュリティ攻撃を防止するセキュリティ攻撃障害防止方法に関するものである。
【背景技術】
【０００２】
従来では、計算機のセキュリティ対策は、特定のＩＰアドレスからの一時的なフラッディングを検知して防止する方法が一般的であり、セキュリティ攻撃、例えば悪意あるパケットの侵入に対して対策を設けていないため、セキュリティ攻撃がネットワーク内の複数の計算機に対して実行されると悪影響を受ける可能性があった。
【０００３】
【特許文献１】特開平９−２１８８３７号公報（第３〜６頁、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来の方法では、自ネットワーク内のある計算機がセキュリティ攻撃を受けた場合、類似のセキュリティ攻撃によって、自ネットワーク内のその他の計算機も同様に攻撃の影響を受ける可能性があった。
特許文献１には、組織内ＬＡＮに接続された計算機の一つが外部から不当な侵入を検出した場合には、自計算機にアクセスコントロール制御処理を行うとともに、組織内ＬＡＮに接続された他の計算機に検出を通知することが記載されている。
しかしながら、特許文献１では、内部状態定義テーブルを用意し、これとＯＳを監視した結果とを比較して侵入を検出するものであり、内部状態定義テーブルを定義する必要があるという問題があった。
【０００５】
この発明は、上述のような課題を解決するためになされたものであり、攻撃を検出するための定義テーブルを用意することなく、セキュリティ攻撃を判定して、その侵入情報を他計算機に通知することで他計算機がセキュリティ攻撃に対する対策を行えるようにしたセキュリティ攻撃障害防止方法を得ることを目的にしている。
【課題を解決するための手段】
【０００６】
この発明に係わるセキュリティ攻撃障害防止方法においては、ネットワークに接続された被攻撃ホストは、受信するネットワークパケットと自ホストの処理負荷を履歴情報として蓄積する第一のステップと、自ホストの処理負荷の増大を検出する第二のステップと、この第二のステップにより処理負荷の増大が検出され、かつ受信したネットワークパケットの分析により特定のＩＰアドレスからの送信が増加しているとき、特定のＩＰアドレスからの攻撃と判定する第三のステップを含む処理によってセキュリティ攻撃を判定し、この判定結果をネットワークに接続された防御ホストに通知するものである。
【発明の効果】
【０００７】
この発明は、以上説明したように、ネットワークに接続された被攻撃ホストは、受信するネットワークパケットと自ホストの処理負荷を履歴情報として蓄積する第一のステップと、自ホストの処理負荷の増大を検出する第二のステップと、この第二のステップにより処理負荷の増大が検出され、かつ受信したネットワークパケットの分析により特定のＩＰアドレスからの送信が増加しているとき、特定のＩＰアドレスからの攻撃と判定する第三のステップを含む処理によってセキュリティ攻撃を判定し、この判定結果をネットワークに接続された防御ホストに通知するので、ネットワークに接続された防御ホストは、類似のセキュリティ攻撃に対する対策を取ることができるため、障害を未然に防止することが可能となる。
【発明を実施するための最良の形態】
【０００８】
実施の形態１．
図１は、この発明の実施の形態１によるセキュリティ攻撃障害防止方法を説明する全体図である。
図１において、悪意ある攻撃ホスト１０１と、攻撃ホスト１０１によるインターネット１０５を介しての攻撃を受け、攻撃を判定する被攻撃ホスト１０２と、この被攻撃ホスト１０２による攻撃の判定を通知されて防御のための対策を行う防御ホスト１０３とが、インターネット１０５により接続されている。被攻撃ホスト１０２及び防御ホスト１０３と、インターネット１０５の間にはＦＷ（ＦｉｒｅＷａｌｌ）１０４が配置されている。すなわち、被攻撃ホスト１０２及び防御ホスト１０３は、ＦＷ１０４の内側に配置されている。
なお、ＦＷ１０４の内側には、この他の計算機が接続されていても構わない。
被攻撃ホスト１０２は、受信したネットワークパケットと自計算機のＣＰＵ負荷に関する情報を蓄積しておき、その相関を分析することで、攻撃ホスト１０１からのセキュリティ攻撃を判断する。
【０００９】
図２は、この発明の実施の形態１による被攻撃ホスト及び防御ホストの処理を示すフローチャートである。
【００１０】
次に、被攻撃ホスト１０２及び防御ホスト１０３の動作について図２を用いて説明する。
図２は、被攻撃ホスト１０２が攻撃ホスト１０１から攻撃を受けた際にその攻撃を判定して、攻撃されたという情報を防御ホスト１０３にフィードバックし、その後、防御ホスト１０３が防御対策を取る際のフローを示している。
まず、被攻撃ホスト１０２が稼動中、常に受信パケット情報、ＣＰＵ負荷（処理負荷）情報を蓄積しておく（ＳＴ２１）（第一のステップ）。次いで、蓄積したＣＰＵ負荷情報より、ＣＰＵ負荷が急増していないかどうかを監視する（ＳＴ２２）（第二のステップ）。ＣＰＵ負荷が急増していない場合は、受信パケット情報、ＣＰＵ負荷情報の蓄積を継続する（ＳＴ２１）。
ＣＰＵ負荷が急増した場合は、その急増した期間における受信パケット情報を分析する（ＳＴ２３）。ＣＰＵ負荷が急増した期間に、特定ＩＰアドレスからのパケット送信が急増していない場合は、受信パケット情報、ＣＰＵ負荷情報の蓄積を継続する（ＳＴ２１）。
ＣＰＵ負荷が急増した期間に、特定ＩＰアドレスからのパケット送信が急増した場合は、特定ＩＰアドレスからの攻撃を受けたと判定（第三のステップ）し、攻撃を受けたという情報を防御ホスト１０３にフィードバックする（ＳＴ２４）。
フィードバックを受けて、防御ホスト１０３が攻撃ホスト１０１に対する対策を実施する（ＳＴ２５）。
【００１１】
以上のように、実施の形態１によれば、攻撃ホストからのセキュリティ攻撃を受けた被攻撃ホストがセキュリティ攻撃を認識することが可能となり、その情報をＦＷ内の防御ホストにフィードバックすることで、防御ホストは攻撃ホストからの攻撃を防御することが可能となる。
攻撃を認識するために、被攻撃ホストが一台あればよく、被攻撃ホストだけに攻撃検出の負荷をかけるだけで、多くの計算機を攻撃から防御することができる。
また、被攻撃ホストは、攻撃を検出するために定義テーブルを用意する必要がない。
【００１２】
実施の形態２．
図３は、この発明の実施の形態１によるセキュリティ攻撃障害防止方法を説明する全体図である。
図３において、１０１〜１０５は図１におけるものと同一のものである。図３では、ＦＷ（ＦｉｒｅＷａｌｌ）外防御ホスト１０６がＦＷ１０４外のインターネット側に配置されている。防御ホスト１０３はＦＷ（ＦｉｒｅＷａｌｌ）内防御ホストである。
【００１３】
図４は、この発明の実施の形態２による被攻撃ホスト及び防御ホストの処理を示すフローチャートである。
【００１４】
次に、被攻撃ホスト１０２及びＦＷ（ＦｉｒｅＷａｌｌ）内防御ホスト１０３、ＦＷ（ＦｉｒｅＷａｌｌ）外防御ホスト１０６の動作を図４を用いて説明する。
図４は、被攻撃ホスト１０２が攻撃ホスト１０１から攻撃を受けた際に、その攻撃を判定して、攻撃されたという情報をＦＷ（ＦｉｒｅＷａｌｌ）内外にある防御ホスト１０３、１０６にフィードバックし、その後、防御ホスト１０３、１０６が防御対策を取るようにする。
【００１５】
まず、被攻撃ホスト１０２が稼動中、常に受信パケット情報、ＣＰＵ負荷情報を蓄積しておく（ＳＴ４１）。次いで、蓄積したＣＰＵ負荷情報より、ＣＰＵ負荷が急増していないかどうかを監視する（ＳＴ４２）。ＣＰＵ負荷が急増していない場合は、受信パケット情報、ＣＰＵ負荷情報の蓄積を継続する（ＳＴ４１）。
ＣＰＵ負荷が急増した場合は、その急増した期間における受信パケット情報を分析する（ＳＴ４３）。ＣＰＵ負荷が急増した期間に、特定ＩＰアドレスからのパケット送信が急増していない場合は、受信パケット情報、ＣＰＵ負荷情報の蓄積を継続する（ＳＴ４１）。
ＣＰＵ負荷が急増した期間に、特定ＩＰアドレスからのパケット送信が急増した場合は、特定ＩＰアドレスからの攻撃を受けたと判定し、攻撃を受けたという情報をＦＷ内外の防御ホスト１０３、１０６にフィードバックする（ＳＴ４４）。
フィードバックを受けて、防御ホスト１０３、１０６が攻撃ホスト１０１に対する対策を実施する（ＳＴ４５）。
【００１６】
以上のように、実施の形態２によれば、攻撃ホストからのセキュリティ攻撃を受けた被攻撃ホストがセキュリティ攻撃を認識することが可能となり、その情報をＦＷ内外の防御ホストにフィードバックすることで、防御ホストは攻撃ホストからの攻撃を防御することが可能となる。
【００１７】
実施の形態３．
図５は、この発明の実施の形態３による被攻撃ホストの蓄積情報テーブルを示す図である。
図５において、蓄積情報テーブル５０１には、受信パケットの送信ＩＰアドレス、送信ポート、受信ポート、受信頻度（／単位時間）、及びディスク負荷情報（／単位時間）を蓄積している。
【００１８】
図６は、この発明の実施の形態３による被攻撃ホスト及び防御ホストの処理を示すフローチャートである。
【００１９】
セキュリティ攻撃障害防止方法を説明する全体図は、図３と同じである。
次に、被攻撃ホスト及び防御ホストの動作を図６を用いて説明する。
図６は、被攻撃ホスト１０２が攻撃ホスト１０１から攻撃を受けた際に、蓄積していた受信パケット情報とディスク負荷情報を分析することで、攻撃を判定し、攻撃されたという情報をＦＷ（ＦｉｒｅＷａｌｌ）内外にある防御ホスト１０３、１０６にフィードバックし、その後、防御ホスト１０３、１０６が防御対策を取るようにしたものである。
【００２０】
まず、被攻撃ホスト１０２が稼動中、常に受信パケット情報、ディスク負荷情報を、蓄積情報テーブル５０１に蓄積しておく（ＳＴ６１）。次いで、蓄積したディスク負荷情報より、ディスク負荷が急増していないかどうかを監視する（ＳＴ６２）。ディスク負荷が急増していない場合は、受信パケット情報、ディスク負荷情報の蓄積を継続する（ＳＴ６１）。
ディスク負荷が急増した場合は、その急増した期間における受信パケット情報を分析する（ＳＴ６３）。ディスク負荷が急増した期間に、特定ＩＰアドレスからのパケット送信が急増していない場合は、受信パケット情報、ディスク負荷情報の蓄積を継続する（ＳＴ６１）。
ディスク負荷が急増した期間に、特定ＩＰアドレスからのパケット送信が急増した場合は、特定ＩＰアドレスからの攻撃を受けたと判定し、攻撃を受けたという情報をＦＷ内外の防御ホスト１０３、１０６にフィードバックする（ＳＴ６４）。
フィードバックを受けて、防御ホスト１０３、１０６が攻撃ホスト１０１に対する対策を実施する（ＳＴ６５）。
【００２１】
以上のように、実施の形態３によれば、攻撃ホストからのセキュリティ攻撃を受けた被攻撃ホストがセキュリティ攻撃を認識することが可能となり、その情報をネットワーク内の防御ホストにフィードバックすることで、防御ホストは攻撃ホストからの攻撃を防御することが可能となる。
【００２２】
実施の形態４．
図７は、この発明の実施の形態４による被攻撃ホストの蓄積情報テーブルを示す図である。
図７において、蓄積情報テーブル７０１は、受信パケットの送信ＩＰアドレス、送信ポート、受信ポート、受信頻度（／単位時間）、及びＣＰＵ負荷情報（／単位時間）、ディスク負荷情報（／単位時間）を蓄積している。
【００２３】
図８は、この発明の実施の形態４による被攻撃ホスト及び防御ホストの処理を示すフローチャートである。
【００２４】
セキュリティ攻撃障害防止方法を説明する全体図は、図３と同じである。
次に、被攻撃ホスト及び防御ホストの動作を図８を用いて説明する。
図８は、被攻撃ホスト１０２が攻撃ホスト１０１から攻撃を受けた際に蓄積していた受信パケット情報とＣＰＵ負荷情報及びディスク負荷情報を分析することで、攻撃されたことを判定し、攻撃されたという情報をＦＷ（ＦｉｒｅＷａｌｌ）内外にある防御ホスト１０３、１０６にフィードバックし、その後、防御ホスト１０３、１０６が防御対策を取るようにしたものである。
【００２５】
まず、被攻撃ホスト１０２が稼動中、常に受信パケット情報、ＣＰＵ負荷情報及びディスク負荷情報を、蓄積情報テーブル７０１に蓄積しておく（ＳＴ８１）。次いで、蓄積したＣＰＵ負荷情報及びディスク負荷情報より、ＣＰＵ負荷及びディスク負荷が急増していないかどうかを監視する（ＳＴ８２）。ＣＰＵ負荷及びディスク負荷が急増していない場合は、受信パケット情報、ＣＰＵ負荷情報及びディスク負荷情報の蓄積を継続する（ＳＴ８１）。
ＣＰＵ負荷及びディスク負荷が急増した場合は、その急増した期間における受信パケット情報を分析する（ＳＴ８３）。ＣＰＵ負荷及びディスク負荷が急増した期間に、特定ＩＰアドレスからのパケット送信が急増していない場合は、受信パケット情報、ＣＰＵ負荷情報及びディスク負荷情報の蓄積を継続する（ＳＴ８１）。
ＣＰＵ負荷及びディスク負荷が急増した期間に、特定ＩＰアドレスからのパケット送信が急増した場合は、特定ＩＰアドレスからの攻撃を受けたと判定し、攻撃を受けたという情報を防御ホスト１０３、１０６にフィードバックする（ＳＴ８４）。
フィードバックを受けて、防御ホスト１０３、１０６が攻撃ホスト１０１に対する対策を実施する（ＳＴ８５）。
【００２６】
以上のように、実施の形態４によれば、攻撃ホストからのセキュリティ攻撃を受けた被攻撃ホストが、セキュリティ攻撃を認識することが可能となり、その情報をネットワーク内の防御ホストにフィードバックすることで、防御ホストは攻撃ホストからの攻撃を防御することが可能となる。
【００２７】
実施の形態５．
図９は、この発明の実施の形態５による被攻撃ホスト及び防御ホストの処理を示すフローチャートである。
【００２８】
セキュリティ攻撃障害防止方法を説明する全体図は、図３と同じである。
次に、実施の形態５の被攻撃ホスト及び防御ホストの動作を図９を用いて説明する。
図９は、被攻撃ホスト１０２及び防御ホスト１０３、１０６が、攻撃ホスト１０１から攻撃を受けた際に、蓄積していた受信パケット情報とＣＰＵ負荷情報及びディスク負荷情報を分析することで、攻撃されたことを判定し、攻撃されたという情報をＦＷ（ＦｉｒｅＷａｌｌ）内外にあるすべての防御ホストにフィードバックし、その後、フィードバックを受けた防御ホスト及び攻撃を検出した防御ホストが防御対策を取るようにしたものである。
【００２９】
まず、被攻撃ホスト１０２及びＦＷ内外の防御ホスト１０３、１０６が、それぞれ稼動中、常に受信パケット情報、ＣＰＵ負荷情報及びディスク負荷情報を蓄積しておく（ＳＴ１０１）。次いで、蓄積したＣＰＵ負荷情報及びディスク負荷情報より、ＣＰＵ負荷及びディスク負荷が急増していないかどうかを監視する（ＳＴ１０２）。ＣＰＵ負荷及びディスク負荷が急増していない場合は、受信パケット情報、ＣＰＵ負荷情報及びディスク負荷情報の蓄積を継続する（ＳＴ１０１）。
ＣＰＵ負荷及びディスク負荷が急増した場合は、その急増した期間における受信パケット情報を分析する（ＳＴ１０３）。ＣＰＵ負荷及びディスク負荷が急増した期間に、特定ＩＰアドレスからのパケット送信が急増していない場合は、受信パケット情報、ＣＰＵ負荷情報及びディスク負荷情報の蓄積を継続する（ＳＴ１０１）。
ＣＰＵ負荷及びディスク負荷が急増した期間に、特定ＩＰアドレスからのパケット送信が急増した場合は、特定ＩＰアドレスからの攻撃を受けたと判定し、攻撃を受けたという情報を、ＦＷ内外のすべての防御ホストにフィードバックする（ＳＴ１０４）。
フィードバックを受けた防御ホスト及びセキュリティ攻撃を検出した防御ホストが攻撃ホスト１０１に対する対策を実施する（ＳＴ１０５）。
【００３０】
実施の形態５では、被攻撃ホスト１０２が行う処理を、ＦＷ（ＦｉｒｅＷａｌｌ）内防御ホスト１０３、ＦＷ（ＦｉｒｅＷａｌｌ）外防御ホスト１０６も同様に実施するようにした。
【００３１】
以上のように、実施の形態５によれば、攻撃ホストからのセキュリティ攻撃を受けた被攻撃ホスト及び防御ホストがセキュリティ攻撃を認識することが可能となり、その情報をネットワーク内の防御ホストにフィードバックすることで、防御ホストは攻撃ホストからの攻撃を防御することが可能となる。
【図面の簡単な説明】
【００３２】
【図１】この発明の実施の形態１によるセキュリティ攻撃障害防止方法を説明する全体図である。
【図２】この発明の実施の形態１による被攻撃ホスト及び防御ホストの処理を示すフローチャートである。
【図３】この発明の実施の形態１によるセキュリティ攻撃障害防止方法を説明する全体図である。
【図４】この発明の実施の形態２による被攻撃ホスト及び防御ホストの処理を示すフローチャートである。
【図５】この発明の実施の形態３による被攻撃ホストの蓄積情報テーブルを示す図である。
【図６】この発明の実施の形態３による被攻撃ホスト及び防御ホストの処理を示すフローチャートである。
【図７】この発明の実施の形態４による被攻撃ホストの蓄積情報テーブルを示す図である。
【図８】この発明の実施の形態４による被攻撃ホスト及び防御ホストの処理を示すフローチャートである。
【図９】この発明の実施の形態５による被攻撃ホスト及び防御ホストの処理を示すフローチャートである。
【符号の説明】
【００３３】
１０１  攻撃ホスト、１０２  被攻撃ホスト、１０３  防御ホスト、
１０４  ＦＷ（ＦｉｒｅＷａｌｌ）、１０５  インターネット、
１０６  ＦｉｒｅＷａｌｌ外防御ホスト、
５０１  蓄積情報テーブル、７０１  蓄積情報テーブル。
【図１】
2009110166.tif 000003
【図２】
2009110166.tif 000004
【図３】
2009110166.tif 000005
【図４】
2009110166.tif 000006
【図５】
2009110166.tif 000007
【図６】
2009110166.tif 000008
【図７】
2009110166.tif 000009
【図８】
2009110166.tif 000010
【図９】
2009110166.tif 000011