JP2003330820A - 不正アクセス管理装置 - Google Patents

Abstract

(57)【要約】 【課題】 コンピュータネットワークシステムを守る為
に複数の不正アクセス検知装置が設置されるが、これら
は機器毎のＧＵＩを持ち、アラートのフォーマットもそ
れぞれ独自である為、各不正アクセス検知装置からの情
報は一元管理できず、ネットワークのどこでどんな不正
が行われていて、最適な対処が何かを把握することが出
来なかった。 【解決手段】 不正アクセス検知装置２とネットワーク
３を通じて接続される不正アクセス管理装置１４の内部
に、アラート融合処理部８を設け、アラートの整理、統
合を行い、整理した結果をＧＵＩ部５に表示する。この
結果をみることにより、アラート情報を一括管理し、必
要な情報毎に処理することによって、アラート情報を把
握し、対処を行う為の情報とすることができる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、構内ＬＡＮ等のコ
ンピュータネットワークシステムが不正アクセスを受け
たとき、適切な対処を可能にするために、この不正アク
セスに関する情報の把握を、より、的確にした装置に関
するものである。

【０００２】

【従来の技術】複数のコンピュータやいわゆる端末機器
をネットワークに接続して互いに情報の交換、又は一方
向のダウンロードを可能としたネットワークシステム
（以下、単にネットワークという）がある。このような
ネットワークでは接続された端末機器の一つから、故意
又は偶然で、他の端末機器などに不正に侵入して、本来
知られてはならない情報を盗み見したり、データの改ざ
んを行う不正なプログラムを入力したりなどのトラブル
が生じる場合がある。このようなトラブルを総称して、
以下、不正アクセスという。

【０００３】このような不正アクセスがあったとき、こ
れを検知して必要な防御手段をとるためのキーポイント
は、不正アクセスごとに、その特徴を把握して、同一発
信者又は同一装置からのアクセスを見分けられるか否か
である。そのためには、ネットワーク上の各地で散発的
に発見される不正アクセスの特徴を一元管理することが
必要となる。従来の不正アクセス管理装置の構成を図５
に示す。図において、１は例えばパソコンなどの端末
（被診断装置という）で複数台存在する。２は各端末１
に接続された不正アクセス検知装置、３は端末１が接続
し情報の交換を行うネットワークである。４はネットワ
ーク３を管理する不正アクセス管理装置（以下単に管理
装置という）、５は管理装置４の内部に設けられたモニ
ターなどを含むＧＵＩ部、６は各端末１との間でネット
ワーク３の維持に必要な装置情報を交換し必要に応じて
装置の設定を行う装置情報設定部、７は各端末１から送
信されてくるアラート信号（不正アクセスに関する情報
を含む）情報を受信しＧＵＩ部５に表示させる動作を行
うアラート受信部である。

【０００４】図５の不正アクセス検知システムの動作に
ついて説明する。ネットワーク３に接続した多数の端末
１は相互にネットワーク３を介して情報の交換を行って
いる。一般にはこのような端末１は互いにハードウェア
の構成が異なるとともに、ＯＳの種類やバージョンも異
なっているため、不正アクセスの受けやすさも異なって
いる。端末１の少なくとも１つからネットワーク３その
ものや、他の端末１に対してアクセスが実行されると、
不正アクセス検知装置２はこのアクセスを検知して、発
信元のＩＤ、パスワード、その他あらかじめ登録されて
いる手段を駆使して、このアクセスの信頼性を検証す
る。そしてこのアクセスが不正であると認識したときに
は、検知した結果を各端末１ごとの図示しないモニター
などに表示するとともに、管理装置４へ不正アクセスを
検知したことをアラート情報として通知する。

【０００５】管理装置４はアラート受信部７を通じてこ
のアラート受信し、ＧＵＩ部５に表示する。ところで、
各端末１の性能が前述の通り様々に異なるのと同様に、
不正アクセス検知装置２の性能や仕様も様々に異なって
いる。各端末１に属するオペレータは個別のモニターの
アラート情報を判断し、手動処理で必要な対策、例えば
そのアクセスを遮断するなどを実行する。また、管理装
置４に属するオペレータはＧＵＩ部５に表示されたアラ
ート情報からネットワーク３の健全な維持に必要な処理
を手動で操作する。

【０００６】しかし、前述の通り、各不正アクセス検知
装置２の性能・仕様が異なっているために図５の不正ア
クセス検知システムでは、アクセスが不正であるか否か
は、個別の不正アクセス検知装置の判断に基づいて、例
えばあらかじめ登録されていないＩＤからのアクセスは
すべて不正であると判定する。しかし、不正アクセスを
行う側の技術も進歩し、単純に判定可能なレベルの識別
情報は容易にクリアするものが多くなり、個別の不正ア
クセス検知装置２では検知できず、結果として不正アク
セスを許してしまうという事例が生じるようになってい
る。

【０００７】

【発明が解決しようとする課題】ネットワークにおける
不正アクセス対策は、不正アクセスごとに、その特徴を
把握して、同一発信者からのアクセスを見分けられるか
否かが対策が成功するキーの一つである。そのために
は、ネットワーク上の各地で散発的に発見される不正ア
クセスの特徴を一元管理することが必要となる。しか
し、端末ごとに異なる性能仕様を有する不正アクセス検
知装置を用いる従来の方法では、複数の不正アクセス検
知装置からのアラートを一元管理することが出来ず、複
数の装置から通知されるアラートの関係も不明瞭であっ
た。また、一つの不正アクセス検知装置では発見できな
いが、ネットワーク内全体で見れば明らかに正常なアク
セスとは見なされないような不正アクセスを見逃してし
まうという課題があった。

【０００８】この発明は上記のような課題を解消するた
めになされたもので、複数の不正アクセス検知装置を設
置しているネットワークのアラート管理を一元的に行
い、複数の装置から通知されるアラートの相互関係を明
確化し、もっとも効果的な対処方法を行う為の情報とす
ることを狙いとしている。

【０００９】

【課題を解決するための手段】この発明に係る不正アク
セス管理装置は、複数の端末装置が接続されたコンピュ
ータネットワークに接続され、前記コンピュータネット
ワークから前記端末装置にアクセスされた信号の仕様を
解析し、このアクセスが不正アクセスであるか否かを判
定し、不正アクセスと判定したとき、この判定結果と前
記仕様を示す仕様情報とを前記コンピュータネットワー
クに出力する不正アクセス検知装置、前記ネットワーク
に接続され、前記判定結果と前記不正アクセスの仕様情
報とを受信して、前記不正アクセスの仕様情報に基づい
てこの不正アクセスをあらかじめ定めた分類項目のいず
れかに分類し、アラート分類情報を出力するアラート融
合処理部、前記アラート分類情報を表示するＧＵＩ部を
備えたものである。

【００１０】また、前記アラート分類情報は、発信元Ｉ
Ｐ、宛先ＩＰ、攻撃の種類、使用プロトコルのいずれか
の項目に基づいて分類されているものである。

【００１１】また、前記不正アクセス検知装置の前記不
正アクセスに対する判定の信頼性をあらかじめ記憶し、
受信した前記不正アクセスの仕様情報を前記信頼性に基
づいて補正した後、前記アラート融合部に出力するアラ
ートフィルタ部を備えたものである。

【００１２】また、前記信頼性は前記不正アクセス検知
装置の種類ごとに記憶されているものである。

【００１３】また、前記アラートフィルタ部に接続さ
れ、前記記憶している信頼性を補正するパラメータを入
力するパラメータ入力部を備えたものである。

【００１４】また、前記パラメータ入力部は、前記アラ
ート融合処理部の融合結果に基づき、前記補正値を修正
するフィードバック回路を備えたものである。

【００１５】

【発明の実施の形態】実施の形態１．以下、本発明の実
施の形態１の不正アクセス管理装置について、図面に基
づき説明する。図１は本発明の実施の形態１の不正アク
セス管理装置の構成を示す図で、ネットワークに接続さ
れた状態を示す図である。図において、１は例えばパソ
コンなどの端末装置、または、図示しないサブネットワ
ークを含むコンピュータ群で（以下被診断装置）で複数
台存在する。２は各被診断装置１またはネットワーク３
に接続された不正アクセス検地装置、３は被診断装置１
が接続され情報の交換を行うコンピュータネットワーク
（以下ネットワークと呼ぶ）である。

【００１６】１４はネットワーク３を管理する不正アク
セス管理装置（以下、単に管理装置とも言う）、５は管
理装置１４の内部に設けられたモニターなどを含むＧＵ
Ｉ部、６は各被診断装置１との間でネットワーク３の維
持に必要な装置情報を交換し必要に応じて制御する装置
情報設定部、７は各被診断装置１から送信されてくるア
ラート信号（不正アクセスに関する情報を含む）情報を
受信しＧＵＩ部５に表示させる動作を行うアラート受信
部である。８はアラート受信部７が複数の不正アクセス
検地装置２から受信した複数のアラート情報を整理して
融合させるアラート融合処理部である。

【００１７】次に、具体的な実施シーケンスの動作につ
いて説明する。図１では被診断装置群１につながる不正
アクセス検知装置２がネットワーク３を経由して被診断
装置群１に対してなされるアクセスの全てをチェック
し、攻撃を仕掛けようとする不正アクセスを検知する。
不正アクセス検知装置２のセキュリティポリシーの設定
は、各不正アクセス検知装置２ごとに設定されるか、又
は、ネットワーク３を介して接続されている管理装置１
４のＧＵＩ部５で行われ、装置情報設定部６を介して各
不正アクセス検知装置２へと配布される。

【００１８】不正アクセス検知装置２は、不正アクセス
検知情報（不正アクセスがあったという情報と、その不
正アクセスの仕様情報、即ち、日時、発信元ＩＰ、宛先
ＩＰ、攻撃の種類、使用プロトコルなど）をネットワー
ク３を経由して管理装置１４へ通知する。管理装置１４
では不正アクセス検知情報をアラート受信部７で受信
し、アラート融合処理部８へと検知情報を受け渡す。ア
ラート情報処理部８では各不正アクセス検知装置２から
受信した情報を発信元ＩＰ毎、宛先ＩＰ毎、攻撃の種類
毎、使用プロトコル毎に分類・整理し、ＧＵＩ部５で表
示する。この整理したものをアラート分類情報と呼び、
理解を助けるため図２に例を示す。なお、図２は整理の
例を示すためのものであり、記入してある各仕様は架空
のものである。図２は攻撃を受けた日時順に配列表示し
ているが、特定の分類項目ごとに配列し直すことは容易
であることは言うまでもない。

【００１９】実施の形態２．図３は本発明の実施の形態
２の不正アクセス管理装置の構成を示す図である。図に
おいて１〜３、５〜８、１４は図１と同じなので説明を
省略する。９はアラート受信部７を経由して送られてく
るアラート情報を不正アクセス検知装置２の特性に応じ
て補正するアラートフィルタ部である。

【００２０】次に、具体的な実施シーケンスの動作につ
いて説明する。図３では、アラート受信部７の後にアラ
ートフィルタ部９を設け、フィルタリングした情報をア
ラート融合処理部８へ渡す。アラートフィルタ部９で
は、各不正アクセス検知装置２毎にあらかじめ検証して
決定した特徴フィルタ（フィルタリング係数）を記憶し
ており、この係数をアラート情報に補正処理してフィル
タリングを行う。即ち、（アラート融合処理部へ渡され
るデータ）＝（アラート）＋（フィルタリング係数）で
ある。特徴フィルタのフィルタリング係数の特徴付けに
は、各不正アクセス検知装置２の不正アクセス攻撃の各
種類に対する誤認率又は信頼性（攻撃の種類を正しく判
断するかどうかをあらかじめ検証して把握しておく）を
用いる。

【００２１】任意の不正アクセス検知装置２から、ある
種類の攻撃を検知したとの情報が上がった場合、その攻
撃の種類に対するその不正アクセス検知装置の誤認率が
高ければ、フィルタリングでは低い係数を与えて、アラ
ート融合処理部へデータを渡す。アラート融合処理部９
では、フィルタリング係数の大きいアラートを信頼でき
る情報として蓄積融合処理を行い、適切な対処判断材料
とする。

【００２２】実施の形態３．図４は本発明の実施の形態
３の不正アクセス管理装置の構成を示す図である。図に
おいて１〜３、５〜８、１４は実施の形態１の図１と同
じ、９は実施の形態２の図３のアラートフィルタ部９と
同じなので詳細な説明を省略する。１０はパラメータ入
力部であり、アラートフィルタ部９のフィルタリング係
数またはフィルタリング係数を補正する補正値を入力す
ることができる。次に、具体的な実施シーケンスについ
て説明する。前記実施の形態２の図３では、アラートフ
ィルタ部９にあらかじめ登録（記憶）された不正アクセ
ス検知装置２毎の特徴フィルタのフィルタリング係数を
用いていたが、図４ではアラート融合処理の際の係数ま
たは係数の補正値をパラメータ入力部1０から入力可能
である。パラメータ入力部１０とアラートフィルタ部９
ではフィードバックループ１１を持ち、最適なパラメー
タを学習しながらフィルタリング係数を随時更新し自動
入力していく。

【００２３】アラート融合処理部８は、各不正アクセス
の仕様を特定の仕様マップ上に配置し、類似した仕様を
有する不正アクセスを同一または類似アクセスとして特
定の形態番号を与えて管理する。また、特定の時刻に行
われた不正アクセスの発信元が明らかになっている場合
もあり、この場合には得られた仕様情報が、仕様マップ
上で相当する形態番号の不正アクセス群に重なるように
補正をかけることができる。この場合、この補正値がフ
ィードバックされ、次に同じ仕様の不正アクセスが検知
されたときには、この補正値が最初から適用される。こ
のサイクルを繰り返すことにより、不正アクセス管理装
置全体としての性能が向上する。

【００２４】

【発明の効果】以上のように、この発明によれば、ネッ
トワーク上に存在する多種の互いに互換性のない不正ア
クセス検知装置の統一されていない検知結果を整理・分
類して表示するので、不正アクセスに対し最適な対処し
やすくなるという効果が得られる。

【００２５】また、整理・分類は不正アクセスの仕様別
に行うので、個々の不正アクセスの特徴を把握しやすい
という効果が得られる。

【００２６】また、検知した不正アクセスは不正アクセ
ス検知装置の信頼性に基づいて補正されるので、結果の
信頼性をより高めることができる。

【００２７】また、不正アクセス検知装置の信頼性は、
不正アクセス検知装置の種類ごとに決定されるので、結
果の信頼性をより高めることができる。

【００２８】また、パラメータ入力部から信頼性の係数
を補正することができるので、不正アクセス側の仕様が
変わったり、不正アクセス検知装置の性能が向上した場
合にも、容易に対応することができる。

【００２９】また、アラート融合処理部の融合結果に基
づき、補正値を修正するフィードバック回路を備えたの
で、使用するに従い不正アクセスの分類・整理性能が向
上する。

【図面の簡単な説明】

【図１】 本発明の実施の形態１の不正アクセス管理装
置の構成図である。

【図２】 図１の不正アクセス管理装置が表示する不正
アクセスの整理表の例である。

【図３】 実施の形態２の不正アクセス管理装置の構成
図である。

【図４】 実施の形態３の不正アクセス管理装置の構成
図である。

【図５】 従来の不正アクセス管理装置の構成図であ
る。

【符号の説明】

１ 被診断装置群、 ２ 不正アクセス検知装
置、３ インフラ回線、 ４ 従来の不正アクセ
ス管理装置、５ ＧＵＩ部、 ６ 装置情報
設定部、７ アラート受信部、 ８ アラート融合
処理部、９ アラートフィルタ部、 １０ パラメータ
入力部、１１ フィードバック １４ 不正アクセ
ス管理装置。

Claims (6)

【特許請求の範囲】
1. 【請求項１】 複数の端末装置が接続されたコンピュー
   タネットワークに接続され、前記コンピュータネットワ
   ークから前記端末装置にアクセスされた信号の仕様を解
   析し、このアクセスが不正アクセスであるか否かを判定
   し、不正アクセスと判定したとき、この判定結果と前記
   仕様を示す仕様情報とを前記コンピュータネットワーク
   に出力する不正アクセス検知装置、 前記コンピュータネットワークに接続され、前記判定結
   果と前記不正アクセスの仕様情報とを受信して、この仕
   様情報に基づいて前記不正アクセスをあらかじめ定めた
   分類項目のいずれかに分類し、アラート分類情報を出力
   するアラート融合処理部、 前記アラート分類情報を表示するＧＵＩ部を備えたこと
   を特徴とする不正アクセス管理装置。
2. 【請求項２】 前記アラート分類情報は、発信元ＩＰ、
   宛先ＩＰ、攻撃の種類、使用プロトコルのいずれかの項
   目に基づいて分類されていることを特徴とする請求項１
   に記載の不正アクセス管理装置。
3. 【請求項３】 前記不正アクセス検知装置の前記不正ア
   クセスに対する判定の信頼性をあらかじめ記憶し、受信
   した前記不正アクセスの仕様情報を前記信頼性に基づい
   て補正した後、前記アラート融合部に出力するアラート
   フィルタ部を備えたことを特徴とする請求項１または２
   に記載の不正アクセス管理装置。
4. 【請求項４】 前記信頼性は前記不正アクセス検知装置
   の種類ごとに記憶されていることを特徴とする請求項３
   に記載の不正アクセス管理装置。
5. 【請求項５】 前記アラートフィルタ部に接続され、前
   記記憶している信頼性を補正する補正値を入力するパラ
   メータ入力部を備えたことを特徴とする請求項４に記載
   の不正アクセス管理装置。
6. 【請求項６】 また、前記パラメータ入力部は、前記ア
   ラート融合処理部の融合結果に基づき、前記補正値を修
   正するフィードバック回路を備えたことを特徴とする請
   求項５に記載の不正アクセス管理装置。