JP2014232923A - Communication equipment, cyber attack detection method and program - Google Patents

Communication equipment, cyber attack detection method and program Download PDF

Info

Publication number
JP2014232923A
JP2014232923A JP2013111795A JP2013111795A JP2014232923A JP 2014232923 A JP2014232923 A JP 2014232923A JP 2013111795 A JP2013111795 A JP 2013111795A JP 2013111795 A JP2013111795 A JP 2013111795A JP 2014232923 A JP2014232923 A JP 2014232923A
Authority
JP
Japan
Prior art keywords
session
communication
unit
value
service type
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2013111795A
Other languages
Japanese (ja)
Inventor
歩 中谷
Ayumi Nakatani
歩 中谷
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2013111795A priority Critical patent/JP2014232923A/en
Publication of JP2014232923A publication Critical patent/JP2014232923A/en
Pending legal-status Critical Current

Links

Images

Abstract

PROBLEM TO BE SOLVED: To provide a communication equipment capable of suppressing leak of information to the minimum even when a backdoor is opened due to a target type attack.SOLUTION: In a communication equipment, session management means 101 is configured to, for each session established between a terminal on an internal network NW1 and an information processor on an external network NW2, detect a service type of a service to be used in the session. Detection means 102 is configured to, for each session, detect a feature value indicating a feature of communication using the session. Determination means 104 is configured to, for each session, determine whether or not the feature value detected by the detection means 102 is a value which appears in normal communication on the basis of a threshold recorded in a threshold recording unit in association with the service type detected by the session management means 101. Blocking means 105 is configured to block communication by the session in which it is determined that the feature value detected by the detection means 102 is not the value which appears in the normal communication.

Description

本発明は、サイバー攻撃による被害を最小限に抑える通信装置、サイバー攻撃検出方法、及びプログラムに関する。   The present invention relates to a communication apparatus, a cyber attack detection method, and a program that minimize damage caused by a cyber attack.

近年、ソフトウェアの脆弱性を悪用して個人情報を取得する攻撃や、ネットワーク上のトラフィックを増大させ、システムに大きな影響を及ぼすDoS(Denial of Service)攻撃などのサイバー攻撃による被害が増えてきている。このようなサイバー攻撃を防ぐために種々の技術が提案されている（例えば、特許文献１，２参照）。   In recent years, damages due to cyber attacks such as attacks that exploit software vulnerabilities to acquire personal information and DoS (Denial of Service) attacks that increase traffic on the network and have a major impact on the system are increasing. . Various techniques have been proposed to prevent such cyber attacks (see, for example, Patent Documents 1 and 2).

特許文献１には、外部ネットワークから内部ネットワークへパケットが送られてきた場合、ネットワーク境界に設けられているファイアウォール装置が上記パケットの送信元アドレスと宛先アドレスとに基づいて、パケットを破棄するか否かを制御する技術が記載されている。   In Patent Literature 1, when a packet is sent from an external network to an internal network, whether or not the firewall device provided at the network boundary discards the packet based on the source address and destination address of the packet A technique for controlling this is described.

また、特許文献２には、インターネットとWWWサーバとの間に設けられたコンピュータウイルス発生検出装置が、上記WWWサーバへ送られるデータのデータ量を測定し、データ量が異常に増加した場合、インターネット上にコンピュータウイルスが発生したと判断し、インターネットとWWWサーバとの接続を遮断する技術が記載されている。   In Patent Document 2, a computer virus occurrence detection device provided between the Internet and a WWW server measures the amount of data sent to the WWW server, and if the amount of data increases abnormally, the Internet The above describes a technique for determining that a computer virus has occurred and blocking the connection between the Internet and a WWW server.

特開２００７−３２５２９３号公報JP 2007-325293 A 特開２００３−２４１９８９号公報JP 2003-241989

特許文献１，２に記載されている技術を利用することにより、サイバー攻撃により被害を受ける危険性を少なくすることができる。しかしながら、上述した特許文献１，２に記載されている技術では、標的型メールなどを利用した標的型攻撃によってバックドアを開けられてしまった場合、情報の漏洩を全く防ぐことができないという課題がある。   By using the techniques described in Patent Documents 1 and 2, the risk of being damaged by cyber attacks can be reduced. However, in the techniques described in Patent Documents 1 and 2 described above, there is a problem that information leakage cannot be prevented at all when a back door is opened by a targeted attack using a targeted mail or the like. is there.

[発明の目的]
そこで、本発明の目的は、標的型攻撃によってバックドアを開けられてしまった場合、情報の漏洩を全く防ぐことができないという課題を解決した通信装置を提供することにある。 [Object of the invention]
Therefore, an object of the present invention is to provide a communication apparatus that solves the problem that information leakage cannot be prevented at all when a back door is opened by a targeted attack.

本発明に係る通信装置は、
内部ネットワークと外部ネットワークとの境界に設置される通信装置であって、
前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出するセッション管理手段と、
前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出する検出手段と、
サービス種別毎の閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値が記録された閾値記憶部と、
前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定する判定手段と、
該判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する遮断手段とを備える。 The communication device according to the present invention is
A communication device installed at the boundary between an internal network and an external network,
Session management means for detecting a service type of a service used in the session for each session established between a terminal on the internal network and an information processing apparatus on the external network;
Detection means for detecting, for each session, a feature amount indicating a feature of communication using the session, wherein the feature amount indicates a feature of communication in which data is transmitted from the internal network side toward the external network side. When,
A threshold value storage for storing a threshold value for each service type and for determining whether or not the feature value detected by the detection means is a value that appears in normal communication using a service of the service type And
For each session, based on the threshold value recorded in the threshold value storage unit in association with the service type detected by the session management unit, the feature value detected by the detection unit is a value that appears in normal communication. Determination means for determining whether or not,
The determination unit includes a blocking unit that blocks communication based on a session in which it is determined that the feature amount detected by the detection unit is not a value that appears in normal communication.

本発明に係るサイバー攻撃検出方法は、
閾値記憶部と、セッション管理手段と、検出手段と、判定手段と、遮断手段とを備え、且つ、内部ネットワークと外部ネットワークとの境界に設置されるコンピュータが実行するサイバー攻撃検出方法であって、
前記セッション管理手段が、前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出し、
前記検出手段が、前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出し、
前記判定手段が、前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定し、
前記遮断手段が、前記判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する。 The cyber attack detection method according to the present invention includes:
A cyber attack detection method executed by a computer that includes a threshold storage unit, a session management unit, a detection unit, a determination unit, and a blocking unit, and that is installed at a boundary between an internal network and an external network,
For each session established between the terminal on the internal network and the information processing apparatus on the external network, the session management means detects a service type of a service used in the session,
A feature amount indicating a feature of communication using the session for each session, wherein the detection means indicates a feature of communication in which data is transmitted from the internal network side to the external network side. Detect
The determination unit is a threshold value recorded in the threshold storage unit in association with the service type detected by the session management unit for each session, and the feature amount detected by the detection unit is the service type. Based on a threshold value for determining whether or not the value appears in normal communication using the service, it is determined whether or not the feature value detected by the detecting means is a value that appears in normal communication. ,
The blocking means blocks communication based on a session in which the determination means determines that the feature value detected by the detection means is not a value that appears in normal communication.

本発明に係るプログラムは、
閾値記憶部を備え、内部ネットワークと外部ネットワークとの境界に設置されるコンピュータを、
前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出するセッション管理手段、
前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出する検出手段、
前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定する判定手段、
該判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する遮断手段として機能させる。 The program according to the present invention is:
A computer having a threshold storage unit and installed at the boundary between the internal network and the external network,
Session management means for detecting a service type of a service used in a session for each session established between a terminal on the internal network and an information processing apparatus on the external network;
Detection means for detecting, for each session, a feature amount indicating a feature of communication using the session, wherein the feature amount indicates a feature of communication in which data is transmitted from the internal network side toward the external network side. ,
For each session, the threshold value recorded in the threshold value storage unit in association with the service type detected by the session management unit, and the feature amount detected by the detection unit uses the service of the service type Determining means for determining whether or not the feature amount detected by the detecting means is a value appearing in normal communication based on a threshold value for determining whether or not the value appears in normal communication;
The determination unit functions as a blocking unit that blocks communication by a session in which it is determined that the feature value detected by the detection unit is not a value that appears in normal communication.

本発明によれば、標的型攻撃によってバックドアを開けられてしまった場合であっても、情報の漏洩を最小限に抑えることができる。   According to the present invention, even when the back door is opened by a targeted attack, information leakage can be minimized.

本発明の第１の実施の形態に係る通信装置１の設置場所を示すブロック図である。It is a block diagram which shows the installation place of the communication apparatus 1 which concerns on the 1st Embodiment of this invention. 本発明の第１の実施の形態に係る通信装置１の構成例を示すブロック図である。It is a block diagram which shows the structural example of the communication apparatus 1 which concerns on the 1st Embodiment of this invention. 閾値記憶部１６１の内容例を示す図である。5 is a diagram illustrating an example of contents of a threshold storage unit 161. FIG. セッション情報記憶部１６２の内容例を示す図である。6 is a diagram illustrating an example of contents of a session information storage unit 162. FIG. セッション管理手段１１の処理例を示すフローチャートである。4 is a flowchart showing a processing example of a session management unit 11. 判定手段１４の処理例を示すフローチャートである。4 is a flowchart illustrating a processing example of a determination unit 14; 判定手段１４の処理例を示すフローチャートである。4 is a flowchart illustrating a processing example of a determination unit 14; 第１の実施の形態の動作を説明するためのブロック図である。It is a block diagram for demonstrating operation | movement of 1st Embodiment. セッション情報記憶部１６２の内容例を示す図である。6 is a diagram illustrating an example of contents of a session information storage unit 162. FIG. 本発明の第２の実施の形態に係る通信装置１ａの構成例を示すブロック図である。It is a block diagram which shows the structural example of the communication apparatus 1a which concerns on the 2nd Embodiment of this invention. 判定手段１４ａの処理例を示すフローチャートである。It is a flowchart which shows the process example of the determination means 14a. 判定手段１４ａの処理例を示すフローチャートである。It is a flowchart which shows the process example of the determination means 14a. 学習手段１７の処理例を示すフローチャートである。5 is a flowchart showing a processing example of learning means 17. 本発明の第３の実施の形態に係る通信装置１００の構成例を示すブロック図である。It is a block diagram which shows the structural example of the communication apparatus 100 which concerns on the 3rd Embodiment of this invention.

次に、本発明の実施の形態について詳細に説明する。   Next, embodiments of the present invention will be described in detail.

［本発明の第１の実施の形態］
図１を参照すると、本発明の第１の実施の形態に係るセッションボーダコントローラ（ＳＢＣ）等の通信装置１は、ＬＡＮ等の内部ネットワークＮＷ１とインターネット等の外部ネットワークＮＷ２との境界に設置される。内部ネットワークＮＷ１には、パーソナルコンピュータ等の利用者端末２−１〜２−Ｎが複数台接続されており、各利用者端末２−１〜２−Ｎは、内部ネットワークＮＷ１、通信装置１、外部ネットワークＮＷ２を介して、外部ネットワークＮＷ２上の情報処理装置（パーソナルコンピュータやサーバなど）と相互に通信可能に接続されている。 [First embodiment of the present invention]
Referring to FIG. 1, a communication device 1 such as a session border controller (SBC) according to the first embodiment of the present invention is installed at the boundary between an internal network NW1 such as a LAN and an external network NW2 such as the Internet. . A plurality of user terminals 2-1 to 2-N such as personal computers are connected to the internal network NW1, and each of the user terminals 2-1 to 2-N includes the internal network NW1, the communication device 1, and the external Via the network NW2, it is connected to an information processing apparatus (such as a personal computer or a server) on the external network NW2 so that they can communicate with each other.

図２を参照すると、通信装置１は、セッション管理手段１１と、パケットサイズ検出手段１２と、通信レート検出手段１３と、判定手段１４と、遮断手段１５と、ディスク装置などの記憶装置１６とを備えている。   Referring to FIG. 2, the communication device 1 includes a session management unit 11, a packet size detection unit 12, a communication rate detection unit 13, a determination unit 14, a blocking unit 15, and a storage device 16 such as a disk device. I have.

記憶装置１６は、閾値記憶部１６１と、セッション情報記憶部１６２とを備えている。   The storage device 16 includes a threshold storage unit 161 and a session information storage unit 162.

閾値記憶部１６１には、内部ネットワークＮＷ１上の利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置との間に確立されているセッションが、バックドアを利用した通信（バックドア通信）に使用されているか否かを判定するために使用する、サービス種別毎のサイズ閾値およびレート閾値が記録されている。サイズ閾値はパケットサイズに基づいてバックドア通信が行われているか否かを判定するために使用する閾値であり、該当サービスを利用する正常な通信において現れるパケットサイズよりも大きな値或いは最大パケットサイズが設定される。また、レート閾値はデータの通信レートに基づいてバックドア通信が行われているか否かを判定するために使用する閾値であり、該当サービスを利用する正常な通信において現れるデータの通信レートより大きな通信レート或いは最大通信レートが設定される。   In the threshold storage unit 161, a session established between the user terminals 2-1 to 2 -N on the internal network NW 1 and the information processing apparatus on the external network NW 2 is connected to the communication using the back door (back A size threshold value and a rate threshold value are recorded for each service type, which are used to determine whether or not the information is used for door communication. The size threshold is a threshold used to determine whether backdoor communication is performed based on the packet size, and a value larger than the packet size that appears in normal communication using the corresponding service or the maximum packet size is Is set. The rate threshold is a threshold used to determine whether backdoor communication is being performed based on the data communication rate, and is larger than the data communication rate that appears in normal communication using the service. The rate or maximum communication rate is set.

図３は閾値記憶部１６１の内容例を示す図である。同図の例は「音声サービス」、「映像サービス」、「Ｗｅｂサービス」を利用するために確立されたセッションがバックドア通信に利用されているか否かを判定するために使用するサイズ閾値がそれぞれ「１００byte」、「２０００byte」、「１０００byte」であり、レート閾値がそれぞれ「１００Kbps」、「１００００Kbps」、「１０００Kbps」であることを示している。   FIG. 3 is a diagram illustrating an example of the contents of the threshold storage unit 161. In the example shown in the figure, the size thresholds used to determine whether or not a session established for using “voice service”, “video service”, and “Web service” is used for backdoor communication. “100 bytes”, “2000 bytes”, and “1000 bytes” indicate that the rate threshold values are “100 Kbps”, “10000 Kbps”, and “1000 Kbps”, respectively.

セッション情報記憶部１６２には、内部ネットワークＮＷ１上の利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置（図示せず）との間に確立したセッションのセッションＩＤと、そのセッションで利用しているサービスのサービス種別とを含むセッション情報が記録される。   The session information storage unit 162 stores the session ID of a session established between the user terminals 2-1 to 2-N on the internal network NW1 and the information processing apparatus (not shown) on the external network NW2, and Session information including the service type of the service used in the session is recorded.

図４はセッション情報記憶部１６２の内容例を示した図である。同図の例は、セッションＩＤが「ＩＤ１００」、「ＩＤ２００」、「ＩＤ３００」のセッションで利用しているサービスが、それぞれ「音声サービス」、「映像サービス」、「映像サービス」であることを示している。   FIG. 4 is a diagram showing an example of the contents of the session information storage unit 162. The example in the figure shows that the services used in the sessions with the session IDs “ID100”, “ID200”, and “ID300” are “audio service”, “video service”, and “video service”, respectively. ing.

セッション管理手段１１は、内部ネットワークＮＷ１上の利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置（図示せず）との間に確立したセッション毎に、そのセッションを一意に識別するセッションＩＤとそのセッションが利用するサービスのサービス種別とを含むセッション情報をセッション情報記憶部１６２に記録する機能を有する。例えば、ＳＩＰ（Session Initiation Protocol）を利用してセッションを確立している場合は、ＳＩＰメッセージからセッションＩＤとサービス種別（メディア情報）を抽出し、抽出したセッションＩＤとサービス種別とを含むセッション情報をセッション情報記憶部１６２に記録する。更に、セッション管理手段１１は、セッションが切断された場合、セッション情報記憶部１６２に記録されている該当するセッション情報を削除する機能や、判定手段１４からセッションＩＤを含む削除指示が送られてきた場合、セッション情報記憶部１６２に記録されている上記セッションＩＤを含んだセッション情報を削除する機能を有する。   The session management unit 11 uniquely identifies each session established between the user terminals 2-1 to 2-N on the internal network NW1 and the information processing apparatus (not shown) on the external network NW2. The session information storage unit 162 has a function of recording session information including a session ID to be identified and a service type of a service used by the session. For example, when a session is established using SIP (Session Initiation Protocol), a session ID and service type (media information) are extracted from the SIP message, and session information including the extracted session ID and service type is obtained. It is recorded in the session information storage unit 162. Further, when the session is disconnected, the session management unit 11 receives a function of deleting the corresponding session information recorded in the session information storage unit 162 or a deletion instruction including the session ID from the determination unit 14. In this case, the session information storage unit 162 has a function of deleting the session information including the session ID.

パケットサイズ検出手段１２は、利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置との間に確立されたセッション毎に、そのセッションを利用して内部ネットワークＮＷ１から外部ネットワークＮＷ２へ送信されるパケットのパケットサイズ(byte)を検出する機能や、検出したパケットサイズと検出対象となったセッションのセッションＩＤとを判定手段１４に渡す機能を有する。   For each session established between the user terminals 2-1 to 2-N and the information processing apparatus on the external network NW2, the packet size detection unit 12 uses the session to change from the internal network NW1 to the external network NW2. A function of detecting the packet size (byte) of the packet transmitted to the network, and a function of passing the detected packet size and the session ID of the session to be detected to the determination unit 14.

通信レート検出手段１３は、利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置との間に確立されたセッション毎に、そのセッションを利用して内部ネットワークＮＷ１から外部ネットワークＮＷ２へ送信されるデータの通信レート(Kbps)を検出する機能や、検出した通信レートと検出対象となったセッションのセッションＩＤとを判定手段１４に渡す機能を有する。   For each session established between the user terminals 2-1 to 2-N and the information processing apparatus on the external network NW2, the communication rate detecting means 13 uses the session to change from the internal network NW1 to the external network NW2. A function of detecting a communication rate (Kbps) of data transmitted to the network, and a function of passing the detected communication rate and the session ID of the session to be detected to the determination unit 14.

判定手段１４は、内部ネットワークＮＷ１上の利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置との間に確立されたセッションがバックドア通信に利用されているか否かを判定する機能を有する。より具体的には、判定手段１４は、次の機能を有する。   The determination unit 14 determines whether a session established between the user terminals 2-1 to 2-N on the internal network NW1 and the information processing apparatus on the external network NW2 is used for backdoor communication. It has the function to do. More specifically, the determination means 14 has the following functions.

・パケットサイズ検出手段１２からパケットサイズとセッションＩＤとが渡された場合、上記セッションＩＤを含むセッション情報をセッション情報記憶部１６２から検索する機能。
・検索したセッション情報中のサービス種別に関連付けて記録されているサイズ閾値を閾値記憶部１６１から検索する機能。
・検索したサイズ閾値よりもパケットサイズ検出手段１２から渡されたパケットサイズの方が大きい場合、パケットサイズ検出手段１２から渡されたセッションＩＤのセッションがバックドア通信に利用されていると判定し、遮断手段１５に対して上記セッションＩＤを含む遮断指示を出力すると共にセッション管理手段１１に対して上記セッションＩＤを含む削除指示を出力する機能。
・通信レート検出手段１３から通信レートとセッションＩＤとが渡された場合、上記セッションＩＤを含むセッション情報をセッション情報記憶部１６２から検索する機能。
・検索したセッション情報中のサービス種別に関連付けて記録されているレート閾値を閾値記憶部１６１から検索する機能。
・検索したレート閾値よりもレート検出手段１３から渡された通信レートの方が大きい場合、レート検出手段１３から渡されたセッションＩＤのセッションがバックドア通信に利用されていると判定し、遮断手段１５に対して上記セッションＩＤを含む遮断指示を出力すると共に、セッション管理手段１１に対して上記セッションＩＤを含む削除指示を出力する機能。 A function of retrieving session information including the session ID from the session information storage unit 162 when the packet size and the session ID are passed from the packet size detection unit 12.
A function of searching the threshold storage unit 161 for a size threshold recorded in association with the service type in the searched session information.
If the packet size passed from the packet size detection unit 12 is larger than the retrieved size threshold, determine that the session with the session ID passed from the packet size detection unit 12 is used for backdoor communication, A function of outputting a blocking instruction including the session ID to the blocking means 15 and outputting a deletion instruction including the session ID to the session management means 11.
A function of retrieving session information including the session ID from the session information storage unit 162 when the communication rate and the session ID are passed from the communication rate detecting unit 13.
A function of searching the threshold storage unit 161 for a rate threshold recorded in association with the service type in the searched session information.
If the communication rate passed from the rate detection unit 13 is larger than the retrieved rate threshold, it is determined that the session with the session ID passed from the rate detection unit 13 is used for backdoor communication, and the blocking unit A function of outputting a blocking instruction including the session ID to 15 and outputting a deletion instruction including the session ID to the session management unit 11.

遮断手段１５は、判定手段１４から遮断指示が送られてきた場合、遮断指示に含まれているセッションＩＤが示すセッションによる通信を遮断する機能を有する。   The blocking unit 15 has a function of blocking communication by the session indicated by the session ID included in the blocking instruction when a blocking instruction is sent from the determination unit 14.

なお、通信装置１はコンピュータによって実現可能であり、コンピュータによって実現する場合は、例えば、次のようにする。コンピュータをセッション管理手段１１、パケットサイズ検出手段１２、通信レート検出手段１３、判定手段１４、および遮断手段１５として機能させるためのプログラムを記録したディスク、半導体メモリ、その他の記録媒体を用意し、コンピュータに上記プログラムを読み取らせる。コンピュータは、読み取ったプログラムに従って自身の動作を制御することにより、自コンピュータ上に上記各手段１１〜１５を実現する。   Note that the communication device 1 can be realized by a computer. When the communication device 1 is realized by a computer, for example, the following is performed. A disk, a semiconductor memory, and other recording media on which a program for causing a computer to function as the session management unit 11, the packet size detection unit 12, the communication rate detection unit 13, the determination unit 14, and the blocking unit 15 are prepared. To read the above program. The computer realizes the above-described units 11 to 15 on its own computer by controlling its own operation according to the read program.

次に、本実施の形態の動作について図面を参照して詳細に説明する。   Next, the operation of the present embodiment will be described in detail with reference to the drawings.

先ず、セッション管理手段１１の動作について説明する。   First, the operation of the session management unit 11 will be described.

図５を参照すると、セッション管理手段１１は、内部ネットワークＮＷ１上の利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置との間にセッションが確立すると（ステップＳ５１がＹｅｓ）、上記セッションのセッションＩＤと上記セッションで利用されるサービスのサービス種別とを含むセッション情報をセッション情報記憶部１６２に記録する（ステップＳ５２）。   Referring to FIG. 5, the session management unit 11 establishes a session between the user terminals 2-1 to 2-N on the internal network NW1 and the information processing apparatus on the external network NW2 (Yes in step S51). The session information including the session ID of the session and the service type of the service used in the session is recorded in the session information storage unit 162 (step S52).

また、セッション管理手段１１は、セッションが切断された場合（ステップＳ５３がＹｅｓ）、上記セッションのセッションＩＤを含んだセッション情報をセッション情報記憶部１６２から削除する（ステップＳ５４）。また、セッション管理手段１１は、判定手段１４からセッションＩＤを含む削除指示が送られてくると（ステップＳ５５がＹｅｓ）、上記セッションのセッションＩＤを含むセッション情報をセッション情報記憶部１６２から削除する（ステップＳ５６）。   In addition, when the session is disconnected (Yes in step S53), the session management unit 11 deletes the session information including the session ID of the session from the session information storage unit 162 (step S54). In addition, when the deletion instruction including the session ID is sent from the determination unit 14 (Yes in Step S55), the session management unit 11 deletes the session information including the session ID of the session from the session information storage unit 162 ( Step S56).

次に、判定手段１４の動作について説明する。   Next, the operation of the determination unit 14 will be described.

パケットサイズ検出手段１２は、前述したように、内部ネットワークＮＷ１から外部ネットワークＮＷ２へ送信されるパケットのパケットサイズを検出すると、検出したパケットサイズと、検出対象となったセッションのセッションＩＤとを判定手段１４に渡す。   As described above, when the packet size detection unit 12 detects the packet size of a packet transmitted from the internal network NW1 to the external network NW2, the packet size detection unit 12 determines the detected packet size and the session ID of the session to be detected. 14

これにより、判定手段１４は、図６のフローチャートに示すように、パケットサイズ検出手段１２から渡されたセッションＩＤを含んだセッション情報をセッション情報記憶部１６２から検索する（ステップＳ６１）。次に、判定手段１４は、上記セッション情報中のサービス種別に関連付けて記録されているサイズ閾値を閾値記憶部１６１から検索する（ステップＳ６２）。その後、判定手段１４は、パケットサイズ検出手段１２から渡されたパケットサイズと、ステップＳ６２で検索したサイズ閾値とを比較する（ステップＳ６３）。   As a result, the determination unit 14 searches the session information storage unit 162 for session information including the session ID passed from the packet size detection unit 12 as shown in the flowchart of FIG. 6 (step S61). Next, the determination unit 14 searches the threshold value storage unit 161 for a size threshold value recorded in association with the service type in the session information (step S62). Thereafter, the determination unit 14 compares the packet size passed from the packet size detection unit 12 with the size threshold searched in step S62 (step S63).

そして、パケットサイズがサイズ閾値以下である場合（ステップＳ６３がＮｏ）は、上記セッションＩＤのセッションはバックドア通信に利用されていないと判定し、その処理を終了する。これに対して、パケットサイズがサイズ閾値よりも大きい場合（ステップＳ６３がＹｅｓ）は、上記セッションはバックドア通信に利用されていると判定し、ステップＳ６４の処理を行う。つまり、バックドア通信により送信されるパケットのパケットサイズは、該当するサービスで通常利用されるパケットのパケットサイズより大きいことが多いという特徴があるため、サイズ閾値よりもパケットサイズが大きいパケットが流れるセッションは、バックドア通信に利用されていると判定する。   If the packet size is equal to or smaller than the size threshold (No in step S63), it is determined that the session with the session ID is not used for backdoor communication, and the process ends. On the other hand, when the packet size is larger than the size threshold (Yes in step S63), it is determined that the session is used for backdoor communication, and the process of step S64 is performed. In other words, since the packet size of a packet transmitted by backdoor communication is often larger than the packet size of a packet normally used in the corresponding service, a session in which a packet whose packet size is larger than the size threshold flows. Is determined to be used for backdoor communication.

ステップＳ６４では、遮断手段１５に対して、バックドア通信が行われていると判定したセッションのセッションＩＤを含んだ遮断指示を出力する。これにより、遮断手段１５は、例えば、上記セッションＩＤのセッションを切断することにより、上記セッションを利用した通信を遮断する。   In step S <b> 64, a blocking instruction including the session ID of the session determined to be backdoor communication is output to the blocking unit 15. Thereby, the interruption | blocking means 15 interrupts | blocks the communication using the said session by cut | disconnecting the session of the said session ID, for example.

その後、判定手段１４は、上記セッションＩＤを含んだ削除指示をセッション管理手段１１に出力する（ステップＳ６５）。これにより、セッション管理手段１１は、セッション情報記憶部１６２から上記セッションＩＤを含んだセッション情報を削除する。   Thereafter, the determination unit 14 outputs a delete instruction including the session ID to the session management unit 11 (step S65). As a result, the session management unit 11 deletes the session information including the session ID from the session information storage unit 162.

また、通信レート検出手段１３は、前述したように、利用者端末２−１〜２−Ｎから外部ネットワークＮＷへ送信されるデータの通信レートを検出すると、検出した通信レートと検出対象にしたセッションのセッションＩＤとを判定手段１４に渡す。   Further, as described above, when the communication rate detection unit 13 detects the communication rate of data transmitted from the user terminals 2-1 to 2-N to the external network NW, the detected communication rate and the session to be detected are detected. Are passed to the determination means 14.

これにより、判定手段１４は、図７のフローチャートに示すように、通信レート検出手段１３から渡されたセッションＩＤを含んだセッション情報をセッション情報記憶部１６２から検索する（ステップＳ７１）。次に、判定手段１４は、上記セッション情報中のサービス種別に関連付けて記録されているレート閾値を閾値記憶部１６１から検索する（ステップＳ７２）。その後、判定手段１４は、通信レート検出手段１２から渡された通信レートと、ステップＳ７２で検索したレート閾値とを比較する（ステップＳ７３）。   Thereby, as shown in the flowchart of FIG. 7, the determination unit 14 searches the session information storage unit 162 for session information including the session ID passed from the communication rate detection unit 13 (step S71). Next, the determination unit 14 searches the threshold value storage unit 161 for a rate threshold value recorded in association with the service type in the session information (step S72). Thereafter, the determination unit 14 compares the communication rate passed from the communication rate detection unit 12 with the rate threshold searched in step S72 (step S73).

そして、通信レートがレート閾値以下である場合（ステップＳ７３がＮｏ）は、上記セッションＩＤのセッションはバックドア通信に利用されていないと判定し、その処理を終了する。これに対して、通信レートがレート閾値よりも大きい場合（ステップＳ７３がＹｅｓ）は、上記セッションはバックドア通信に利用されていると判定し、ステップＳ７４の処理を行う。つまり、バックドア通信に利用されるセッションの通信レートは、該当するサービスで通常利用される通信レートよりも大きいことが多いという特徴があるため、レート閾値よりも通信レートが大きいセッションは、バックドア通信に利用されていると判定する。   If the communication rate is equal to or lower than the rate threshold (No in step S73), it is determined that the session with the session ID is not used for backdoor communication, and the process ends. On the other hand, when the communication rate is larger than the rate threshold (step S73 is Yes), it is determined that the session is used for backdoor communication, and the process of step S74 is performed. In other words, since the communication rate of a session used for backdoor communication is often higher than the communication rate normally used for the corresponding service, a session with a communication rate higher than the rate threshold is It is determined that it is used for communication.

ステップＳ７４では、遮断手段１５に対して、バックドア通信が行われていると判定したセッションのセッションＩＤを含んだ遮断指示を出力する。これにより、遮断手段１５は、例えば、上記セッションＩＤのセッションを切断することにより、上記セッションを利用した通信を遮断する。   In step S74, a blocking instruction including the session ID of the session determined to be backdoor communication is output to the blocking unit 15. Thereby, the interruption | blocking means 15 interrupts | blocks the communication using the said session by cut | disconnecting the session of the said session ID, for example.

その後、判定手段１４は、上記セッションＩＤを含んだ削除指示をセッション管理手段１１に出力する（ステップＳ７５）。これにより、セッション管理手段１１は、セッション情報記憶部１６２から上記セッションＩＤを含んだセッション情報を削除する。   Thereafter, the determination unit 14 outputs a delete instruction including the session ID to the session management unit 11 (step S75). As a result, the session management unit 11 deletes the session information including the session ID from the session information storage unit 162.

次に、具体例を挙げて、本実施の形態の動作を説明する。   Next, the operation of the present embodiment will be described with a specific example.

今、例えば、図８に示すように、通信装置１を介して、利用者端末２−１と端末３−１との間にセッション４−１が張られ、利用者端末２−２とビデオオンデマンドサーバ（ＶｏＤサーバ）との間にセッション４−２が張られ、利用者端末２−３とＷｅｂサーバ３−３との間にセッション４−３が張られ、利用者端末２−１、２−２、２−３がそれぞれ音声サービス、映像サービス、Ｗｅｂサービスを利用しているとする。なお、セッション４−１、４−２、４−３のセッションＩＤは、それぞれＩＤ４１、ＩＤ４２、ＩＤ４３であるとする。また、閾値記憶部１６１の内容は、図３に示すものであり、セッション情報記憶部１６２の内容は、図９に示すものであるとする。   Now, for example, as shown in FIG. 8, a session 4-1 is established between the user terminal 2-1 and the terminal 3-1 via the communication device 1, and the user terminal 2-2 and the video on A session 4-2 is established between the demand server (VoD server) and a session 4-3 is established between the user terminal 2-3 and the Web server 3-3. -2 and 2-3 use audio service, video service, and Web service, respectively. Note that the session IDs of the sessions 4-1, 4-2, and 4-3 are ID41, ID42, and ID43, respectively. The contents of the threshold storage unit 161 are as shown in FIG. 3, and the contents of the session information storage unit 162 are as shown in FIG.

今、パケットサイズ検出手段１２が、セッション４−１を介して利用者端末２−１から端末３−１へ送信されるパケットのパケットサイズを検出し、判定手段１４にパケットサイズ「５０byte」とセッション４−１のセッションＩＤ「ＩＤ４1」とを渡したとする。これにより、判定手段１４は、図６のステップＳ６１において、セッション情報記憶部１６２からセッションＩＤ「ＩＤ４１」とサービス種別「音声」とを含んだセッション情報を検索し、ステップＳ６２において、閾値記憶部１６１からサービス種別「音声」に対応するサイズ閾値「１００byte」を検索する。   Now, the packet size detection means 12 detects the packet size of the packet transmitted from the user terminal 2-1 to the terminal 3-1 via the session 4-1, and the determination means 14 sends the packet size “50 bytes” to the session. Assume that the session ID “ID41” of 4-1 is passed. Accordingly, the determination unit 14 searches the session information storage unit 162 for session information including the session ID “ID41” and the service type “voice” in step S61 of FIG. 6, and in step S62, the threshold storage unit 161 Is searched for a size threshold value “100 bytes” corresponding to the service type “voice”.

次のステップＳ６３では、パケットサイズ「５０byte」とサイズ閾値「１００byte」とを比較する。この例では、パケットサイズ≦サイズ閾値となるので（ステップＳ６３がＮｏ）、セッション４−１はバックドア通信に利用されていないと判定し、その処理を終了する。   In the next step S63, the packet size “50 bytes” is compared with the size threshold value “100 bytes”. In this example, since packet size ≦ size threshold value (step S63: No), it is determined that the session 4-1 is not used for backdoor communication, and the process ends.

その後、パケット検出手段１２が、セッション４−２を介して利用者端末２−２からＶｏＤサーバ３−２へ送信されるパケットのパケットサイズを検出し、パケットサイズ「４０００byte」とセッション４−２のセッションＩＤ「ＩＤ４２」とを判定手段１４に渡したとする。これにより、判定手段１４は、ステップＳ６１において、セッション情報記憶部１６２からセッションＩＤ「ＩＤ４２」とサービス種別「映像」とを含んだセッション情報を検索し、ステップＳ６２において、閾値記憶部１６１からサービス種別「映像」に対応するサイズ閾値「２０００byte」を検索する。   Thereafter, the packet detecting means 12 detects the packet size of the packet transmitted from the user terminal 2-2 to the VoD server 3-2 via the session 4-2, and the packet size “4000 bytes” is set to the session 4-2. Assume that the session ID “ID42” is passed to the determination unit 14. Accordingly, the determination unit 14 searches the session information storage unit 162 for session information including the session ID “ID42” and the service type “video” in step S61. In step S62, the determination unit 14 searches the threshold value storage unit 161 for the service type. The size threshold “2000 bytes” corresponding to “video” is searched.

次のステップＳ６３では、パケットサイズ「４０００byte」とサイズ閾値「２０００byte」とを比較する。この例では、パケットサイズ＞サイズ閾値となるので（ステップＳ６３がＹｅｓ）、セッション４−２はバックドア通信に利用されていると判定し、前述したステップＳ６４以降の処理を行う。   In the next step S63, the packet size “4000 bytes” is compared with the size threshold “2000 bytes”. In this example, since packet size> size threshold (step S63 is Yes), it is determined that the session 4-2 is used for backdoor communication, and the processing from step S64 described above is performed.

また、例えば、通信レート検出手段１３がセッション４−３の通信レートを検出し、通信レート「２０００Kbps」とセッション４−３のセッションＩＤ「ＩＤ４３」とを判定手段１４に渡したとする。これにより、判定手段１４は、図７のステップＳ７１において、セッション情報記憶部１６２からセッションＩＤ「ＩＤ４３」とサービス種別「Ｗｅｂ」とを含むセッション情報を検索し、ステップＳ７２において、閾値記憶部１６１からサービス種別「Ｗｅｂ」に対応するレート閾値「１０００Kbps」検索する。   For example, it is assumed that the communication rate detection unit 13 detects the communication rate of the session 4-3 and passes the communication rate “2000 Kbps” and the session ID “ID43” of the session 4-3 to the determination unit 14. Accordingly, the determination unit 14 searches the session information storage unit 162 for session information including the session ID “ID43” and the service type “Web” in step S71 of FIG. 7, and in step S72, from the threshold storage unit 161. A rate threshold “1000 Kbps” corresponding to the service type “Web” is searched.

次のステップＳ７３では、通信レート「２０００Kbps」とレート閾値「１０００Kbps」とを比較する。この例では、通信レート＞レート閾値となるので、セッション４−３はバックドア通信に利用されていると判定し、ステップＳ７４以降の処理を行う。   In the next step S73, the communication rate “2000 Kbps” is compared with the rate threshold “1000 Kbps”. In this example, since communication rate> rate threshold, it is determined that the session 4-3 is used for backdoor communication, and the processing after step S74 is performed.

［第１の実施の形態の効果］
本実施の形態によれば、標的型攻撃によってバックドアを開けられてしまった場合であっても、情報の漏洩を最小限に抑えることができる。その理由は、予め定められているサイズ閾値よりもパケットサイズが大きなパケットが送信されるセッションや、予め定められているレート閾値よりも通信レートが高いセッションは、バックドア通信に利用されていると判断し、そのセッションによる通信を遮断するようにしているからである。 [Effect of the first embodiment]
According to the present embodiment, even when the back door is opened by the targeted attack, information leakage can be minimized. The reason is that a session in which a packet having a packet size larger than a predetermined size threshold is transmitted or a session having a communication rate higher than a predetermined rate threshold is used for backdoor communication. This is because the communication by the session is cut off.

[本発明の第２の実施の形態]
次に、本発明の第２の実施の形態について図面を参照して説明する。本実施の形態に係る通信装置は、サイズ閾値およびレート閾値を学習するようにした点と、ウイルスによってバックドアを開けられている利用者端末にウイルス感染通知を送信するようにした点とを特徴とする。 [Second embodiment of the present invention]
Next, a second embodiment of the present invention will be described with reference to the drawings. The communication device according to the present embodiment is characterized in that a size threshold and a rate threshold are learned, and a virus infection notification is transmitted to a user terminal whose back door is opened by a virus. And

図１０を参照すると、本実施の形態に係る通信装置１ａは、判定手段１４の代わりに判定手段１４ａを備えている点、および学習手段１７を備えている点が、図２に示した第１の実施の形態の通信装置１と相違している。以下の説明では、第１の実施の形態との相違点を中心に説明する。   Referring to FIG. 10, the communication device 1 a according to the present embodiment includes the determination unit 14 a instead of the determination unit 14 and the learning unit 17. This is different from the communication device 1 of the embodiment. In the following description, the description will focus on differences from the first embodiment.

判定手段１４ａは、バックドア通信に利用されていると判断したセッションを利用して通信を行っている利用者端末（バックドアが開けられた利用者端末）に対してウイルス感染通知を送信する機能を有している点が、第１の実施の形態の判定手段１４と相違している。   The determination unit 14a has a function of transmitting a virus infection notification to a user terminal (user terminal with the back door opened) that performs communication using a session that is determined to be used for back door communication. This is different from the determination unit 14 of the first embodiment.

学習手段１７は、管理者によって学習開始指示が入力されてから一定時間が経過するまでの期間（学習期間）において、パケットサイズ検出手段１２が検出したセッション毎のパケットサイズと、セッション情報記憶部１６２に記録されているセッション情報とに基づいて、サービス種別毎の最大パケットサイズを求め、求めたサービス種別毎の最大パケットサイズを、サービス種別毎のサイズ閾値として閾値記憶部１６１に記録する機能を有する。更に、学習手段１７は、学習期間において通信レート検出手段１３が検出したセッション毎の通信レートと、セッション情報記憶部１６２に記録されているセッション情報とに基づいて、サービス種別毎の最大通信レートを求め、求めたサービス種別毎の最大通信レートを、サービス種別毎のレート閾値として閾値記憶部１６１に記録する機能を有する。   The learning unit 17 includes a packet size for each session detected by the packet size detection unit 12 and a session information storage unit 162 in a period (learning period) from when the learning start instruction is input by the administrator until a predetermined time elapses. The maximum packet size for each service type is obtained based on the session information recorded in the service information, and the maximum packet size for each service type is recorded in the threshold storage unit 161 as a size threshold value for each service type. . Further, the learning unit 17 determines the maximum communication rate for each service type based on the communication rate for each session detected by the communication rate detection unit 13 during the learning period and the session information recorded in the session information storage unit 162. The obtained maximum communication rate for each service type is recorded in the threshold storage unit 161 as a rate threshold for each service type.

なお、通信装置１ａは、コンピュータにより実現可能であり、コンピュータによって実現する場合は、例えば、次のようにする。コンピュータをセッション管理手段１１、パケットサイズ検出手段１２、通信レート検出手段１３、判定手段１４ａ、遮断手段１５、及び学習手段１７として機能させるためのプログラムを記録したディスク、半導体メモリ、その他の記録媒体を用意し、コンピュータに上記プログラムを読み取らせる。コンピュータは、読み取ったプログラムに従って自身の動作を制御することにより、自コンピュータ上に、上記各手段を実現する。   The communication device 1a can be realized by a computer, and when realized by a computer, for example, the following is performed. A disk, a semiconductor memory, or other recording medium on which a program for causing a computer to function as the session management unit 11, the packet size detection unit 12, the communication rate detection unit 13, the determination unit 14a, the blocking unit 15, and the learning unit 17 is recorded. Prepare and let the computer read the program. The computer realizes each of the above means on its own computer by controlling its own operation according to the read program.

次に、本実施の形態の動作について説明する。   Next, the operation of the present embodiment will be described.

先ず、判定手段１４ａの動作を図１１及び図１２のフローチャートを参照して説明する。   First, the operation of the determination unit 14a will be described with reference to the flowcharts of FIGS.

図１１を参照すると、判定手段１４ａは、パケットサイズ検出手段１２からパケットサイズとセッションＩＤとが渡されると、前述したステップＳ６１〜Ｓ６３と同様の処理を行う。そして、パケットサイズの方がサイズ閾値よりも大きい場合（ステップＳ６３がＹｅｓ）は、上記セッションＩＤのセッションがバックドア通信に利用されていると判定し、前述したステップＳ６４、Ｓ６３の処理を行い、その後、ステップＳ１１１の処理を行う。ステップＳ１１１では、上記セッションを利用して通信を行っている内部ネットワークＮＷ１上の利用者端末に対して、ウイルスに感染し、バックドアが開けられていることを示すウイルス感染通知を送信する。なお、ウイルス感染通知の送信先にする利用者端末のアドレスは、上記セッションを利用して内部ネットワークＮＷ１から外部ネットワークＮＷ２へ送られるパケットの送信元アドレスから知ることができる。なお、ウイルス感染通知の送信先は、利用者端末２−１〜２−Ｎに限られるものではなく、利用者端末２−１〜２−Ｎの利用者によって指示された携帯端末などの他端末とすることもできる。そのようにする場合には、利用者端末のアドレスと、利用者によって指定された携帯端末などのアドレス（指定アドレス）とを関連付けて記憶装置１６に記憶しておく。そして、バックドア通信に利用されているセッションを検出した場合には、そのセッションを利用して通信を行っている利用者端末のアドレスに関連付けて記録されている指定アドレスへウイルス感染通知を送信するようにしてもよい。   Referring to FIG. 11, when the packet size and the session ID are passed from the packet size detection unit 12, the determination unit 14 a performs the same processing as steps S <b> 61 to S <b> 63 described above. If the packet size is larger than the size threshold (Yes in step S63), it is determined that the session with the session ID is used for backdoor communication, and the processes in steps S64 and S63 described above are performed. Then, the process of step S111 is performed. In step S111, a virus infection notification indicating that the user terminal on the internal network NW1 performing communication using the session is infected with a virus and the back door is opened is transmitted. Note that the address of the user terminal that is the transmission destination of the virus infection notification can be known from the transmission source address of the packet sent from the internal network NW1 to the external network NW2 using the session. Note that the transmission destination of the virus infection notification is not limited to the user terminals 2-1 to 2-N, and other terminals such as mobile terminals instructed by the users of the user terminals 2-1 to 2-N. It can also be. In that case, the address of the user terminal and the address (designated address) of the portable terminal or the like designated by the user are stored in the storage device 16 in association with each other. When a session used for backdoor communication is detected, a virus infection notification is sent to the designated address recorded in association with the address of the user terminal that is communicating using the session. You may do it.

また、図１２を参照すると、判定手段１４ａは、通信レート検出手段１３から通信レートとセッションＩＤとが渡されると、前述したステップＳ７１〜Ｓ７３と同様の処理を行う。そして、通信レートの方がレート閾値よりも大きい場合（ステップＳ７３がＹｅｓ）は、上記セッションＩＤのセッションがバックドア通信に利用されていると判断し、前述したステップＳ７４、Ｓ７５の処理を行い、その後、ステップＳ１２１の処理を行う。ステップＳ１２１では、上記セッションを利用して通信を行っている内部ネットワークＮＷ１上の利用者端末に対して、ウイルスに感染し、バックドアが開けられていることを示すウイルス感染通知を送信する。この通知を受けた利用者端末の利用者は、自身の利用者端末がウイルスに感染し、バックドアを開けられていることを認識できるので、ウイルス駆除などの適切な処置をとることができる。   Referring to FIG. 12, when the communication rate and the session ID are passed from the communication rate detection unit 13, the determination unit 14 a performs the same processing as steps S <b> 71 to S <b> 73 described above. If the communication rate is greater than the rate threshold (Yes in step S73), it is determined that the session with the session ID is used for backdoor communication, and the processes in steps S74 and S75 described above are performed. Thereafter, the process of step S121 is performed. In step S121, a virus infection notification indicating that the virus is infected and the back door is opened is transmitted to the user terminal on the internal network NW1 performing communication using the session. The user of the user terminal that has received this notification can recognize that his / her user terminal is infected with a virus and has opened the back door, and therefore can take appropriate measures such as virus removal.

次に、学習手段１７の動作を図１３のフローチャートを参照して説明する。   Next, the operation of the learning means 17 will be described with reference to the flowchart of FIG.

管理者は、学習手段１７を起動する場合、キー入力部などの入力部（図示せず）から学習手段１７に対して学習開始指示を入力する。   When starting the learning unit 17, the administrator inputs a learning start instruction to the learning unit 17 from an input unit (not shown) such as a key input unit.

これにより、学習手段１７は図１３のフローチャートに示す処理を開始する。学習手段１７は、パケットサイズ検出手段１２からパケットサイズとセッションＩＤが渡されると（ステップＳ１３１がＹｅｓ）、セッション情報記憶部１６２に記録されているセッション情報に基づいて、上記セッションＩＤのセッションで利用しているサービスのサービス種別を求める（ステップＳ１３２）。その後、学習手段１７は、上記サービス種別に関連付けて保持している最大パケットサイズ（初期値は０とする）と、パケットサイズ検出手段１２から渡されたパケットサイズとを比較する（ステップＳ１３３）。   Thereby, the learning means 17 starts the process shown in the flowchart of FIG. When the packet size and the session ID are passed from the packet size detection unit 12 (Yes in step S131), the learning unit 17 uses the session ID with the session ID based on the session information recorded in the session information storage unit 162. The service type of the current service is obtained (step S132). Thereafter, the learning unit 17 compares the maximum packet size (initial value is 0) held in association with the service type and the packet size passed from the packet size detection unit 12 (step S133).

そして、パケットサイズ検出手段１２から渡されたパケットサイズの方が大きい場合（ステップＳ１３３がＹｅｓ）は、上記サービス種別に関連付けて保持している最大パケットサイズを、パケットサイズ検出手段１２から渡されたパケットサイズで置き換え（ステップＳ１３４）、その後、ステップＳ１３５の処理を行う。これに対して、最大パケットサイズがパケットサイズ以上である場合（ステップＳ１３３がＮｏ）は、ステップＳ１３５の処理を行う。   If the packet size passed from the packet size detection unit 12 is larger (Yes in step S133), the maximum packet size stored in association with the service type is passed from the packet size detection unit 12. The packet size is replaced (step S134), and then the process of step S135 is performed. On the other hand, when the maximum packet size is equal to or larger than the packet size (No in step S133), the process of step S135 is performed.

また、学習手段１７は、通信レート検出手段１３から通信レートとセッションＩＤが渡されると（ステップＳ１３５がＹｅｓ）、セッション情報記憶部１６２に記録されているセッション情報に基づいて、上記セッションＩＤのセッションで利用しているサービスのサービス種別を求める（ステップＳ１３６）。その後、学習手段１７は、上記サービス種別に関連付けて保持している最大通信レート（初期値は０）と通信レート検出手段１３から渡された通信レートとを比較する（ステップＳ１３７）。   In addition, when the communication rate and the session ID are passed from the communication rate detection unit 13 (Yes in step S135), the learning unit 17 sets the session with the session ID based on the session information recorded in the session information storage unit 162. The service type of the service used in step S136 is obtained (step S136). Thereafter, the learning unit 17 compares the maximum communication rate (initial value is 0) held in association with the service type and the communication rate passed from the communication rate detection unit 13 (step S137).

そして、通信レート検出手段１３から渡された通信レートの方が大きい場合（ステップＳ１３７がＹｅｓ）は、上記サービス種別に関連付けて保持している最大通信レートを、通信レート検出手段１３から渡された通信レートで置き換え（ステップＳ１３８）、その後、ステップＳ１３９の処理を行う。これに対して、最大通信レートが通信レート以上である場合は（ステップＳ１３７がＮｏ）は、ステップＳ１３９の処理を行う。   If the communication rate passed from the communication rate detection unit 13 is larger (Yes in step S137), the maximum communication rate held in association with the service type is passed from the communication rate detection unit 13. Replacement with the communication rate (step S138), and then the process of step S139 is performed. On the other hand, when the maximum communication rate is equal to or higher than the communication rate (No in step S137), the process of step S139 is performed.

学習手段１７は、学習期間（学習開始指示が入力されてから一定時間が経過するまでの期間）が終了するまで、前述した処理と同様の処理を繰り返し行う。そして、学習期間が終了すると（１３９がＹｅｓ）、学習手段１７は、保持しているサービス種別毎の最大パケットサイズを、サービス種別毎のサイズ閾値として閾値記憶部１６１に記録すると共に、保持しているサービス種別毎の最大通信レートを、サービス種別毎のレート閾値として閾値記憶部１６１に記録する（ステップＳ１４０）。   The learning unit 17 repeatedly performs the same process as described above until the learning period (a period from when the learning start instruction is input until a predetermined time elapses) ends. When the learning period ends (Yes in 139), the learning unit 17 records the held maximum packet size for each service type in the threshold storage unit 161 as a size threshold value for each service type and holds it. The maximum communication rate for each service type is recorded in the threshold storage unit 161 as a rate threshold for each service type (step S140).

[第２の実施の形態の効果]
本実施の形態によれば、サイズ閾値およびレート閾値として適切な値を設定することができる。その理由は、学習手段１７により求めたサービス種別毎の最大パケットサイズ及び最大通信レートを、サービス種別毎のサイズ閾値およびレート閾値としているからである。 [Effect of the second embodiment]
According to the present embodiment, appropriate values can be set as the size threshold and the rate threshold. The reason is that the maximum packet size and the maximum communication rate for each service type obtained by the learning unit 17 are used as the size threshold and the rate threshold for each service type.

また、本実施の形態では、バックドア通信に利用されているセッションを用いて通信を行っている利用者端末に対してウイルス感染通知を送信するようにしているので、利用者端末でウイルス駆除などの適切な処置を行うことが可能になるという効果を得ることができる。   In this embodiment, since a virus infection notification is transmitted to a user terminal that communicates using a session that is used for backdoor communication, virus removal or the like is performed at the user terminal. Thus, it is possible to obtain an effect that it is possible to perform an appropriate treatment.

[本発明の第３の実施の形態]
次に、本発明に係る通信装置の第３の実施の形態について説明する。 [Third embodiment of the present invention]
Next, a third embodiment of the communication apparatus according to the present invention will be described.

図１４を参照すると、本実施の形態に係る通信装置１００は、内部ネットワークＮＷ１と外部ネットワークＮＷ２との境界に設置されており、セッション管理手段１０１と、検出手段１０２と、閾値記憶部１０３と、判定手段１０４と、遮断手段１０５とを備えている。   Referring to FIG. 14, communication apparatus 100 according to the present embodiment is installed at the boundary between internal network NW1 and external network NW2, and includes session management means 101, detection means 102, threshold storage section 103, A determination unit 104 and a blocking unit 105 are provided.

セッション管理手段１０１は、ＬＡＮ等の内部ネットワークＮＷ１上の端末とインターネット等の外部ネットワークＮＷ２上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出する。   The session management unit 101 detects the service type of the service used in each session established between the terminal on the internal network NW1 such as LAN and the information processing apparatus on the external network NW2 such as the Internet. To do.

検出手段１０２は、上記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、内部ネットワークＮＷ１側から外部ネットワークＮＷ２側に向かってデータが送信される通信の特徴を示す特徴量を検出する。特徴量としては、パケットサイズや、データの通信レートなどを使用することができる。   The detecting means 102 is a feature amount indicating a feature of communication using the session for each session, and a feature amount indicating a feature of communication in which data is transmitted from the internal network NW1 side to the external network NW2 side. Is detected. As the feature amount, a packet size, a data communication rate, or the like can be used.

閾値記憶部１０３には、サービス種別毎の閾値であって、検出手段１０２で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値が記録されている。   The threshold value storage unit 103 is a threshold value for each service type, and is used to determine whether or not the feature amount detected by the detection unit 102 is a value that appears in normal communication using the service type service. A threshold is recorded.

判定手段１０４は、上記セッション毎に、セッション管理手段１０１で検出されたサービス種別に関連付けて閾値記憶部１０３に記録されている閾値に基づいて、検出手段１０２で検出された特徴量が正常な通信において現れる値であるか否かを判定する。つまり、検出手段１０２で検出された特徴量が正常な通信において現れる値であるか否かを判定することにより、バックドア通信に利用されているか否かを判定する。   For each session, the determination unit 104 determines whether the feature amount detected by the detection unit 102 is normal based on the threshold value recorded in the threshold storage unit 103 in association with the service type detected by the session management unit 101. It is determined whether or not the value appears at. That is, it is determined whether or not the feature amount detected by the detection unit 102 is a value that appears in normal communication, thereby determining whether or not the feature value is used for backdoor communication.

遮断手段１０５は、判定手段１０４において、検出手段１０２で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する。   The blocking unit 105 blocks communication by the session in which the determining unit 104 determines that the feature amount detected by the detecting unit 102 is not a value that appears in normal communication.

[第３の実施の形態の効果]
本実施の形態によれば、標的型攻撃によってバックドアを開けられてしまった場合であっても、情報の漏洩を最小限に抑えることができる。その理由は、閾値記憶部に記録されている閾値に基づいて、検出手段で検出された特徴量が正常な通信では現れない値であると判定されたセッションは、バックドア通信に利用されていると判定し、そのセッションによる通信を遮断するようにしているからである。 [Effect of the third embodiment]
According to the present embodiment, even when the back door is opened by the targeted attack, information leakage can be minimized. The reason is that, based on the threshold value recorded in the threshold value storage unit, the session in which the feature amount detected by the detection unit is determined to be a value that does not appear in normal communication is used for backdoor communication. This is because the communication by the session is cut off.

１、１ａ…通信装置
１１…セッション管理手段
１２…パケットサイズ検出手段
１３…通信レート検出手段
１４、１４ａ…判定手段
１５…遮断手段
１６…記憶装置
１６１…閾値記憶部
１６２…セッション情報記憶部
１７…学習手段
２−１〜２−Ｎ…利用者端末
１００…通信装置
１０１…セッション管理手段
１０２…検出手段
１０３…閾値記憶部
１０４…判定手段
１０５…遮断手段
ＮＷ１…内部ネットワーク
ＮＷ２…外部ネットワーク DESCRIPTION OF SYMBOLS 1, 1a ... Communication apparatus 11 ... Session management means 12 ... Packet size detection means 13 ... Communication rate detection means 14, 14a ... Determination means 15 ... Blocking means 16 ... Storage device 161 ... Threshold storage part 162 ... Session information storage part 17 ... Learning means 2-1 to 2-N ... User terminal 100 ... Communication device 101 ... Session management means 102 ... Detection means 103 ... Threshold storage unit 104 ... Determination means 105 ... Blocking means NW1 ... Internal network NW2 ... External network

Claims (7)

内部ネットワークと外部ネットワークとの境界に設置される通信装置であって、
前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出するセッション管理手段と、
前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出する検出手段と、
サービス種別毎の閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値が記録された閾値記憶部と、
前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定する判定手段と、
該判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する遮断手段とを備えたことを特徴とする通信装置。 A communication device installed at the boundary between an internal network and an external network,
Session management means for detecting a service type of a service used in the session for each session established between a terminal on the internal network and an information processing apparatus on the external network;
Detection means for detecting, for each session, a feature amount indicating a feature of communication using the session, wherein the feature amount indicates a feature of communication in which data is transmitted from the internal network side toward the external network side. When,
A threshold value storage for storing a threshold value for each service type and for determining whether or not the feature value detected by the detection means is a value that appears in normal communication using a service of the service type And
For each session, based on the threshold value recorded in the threshold value storage unit in association with the service type detected by the session management unit, the feature value detected by the detection unit is a value that appears in normal communication. Determination means for determining whether or not,
A communication apparatus, comprising: a determining unit configured to block communication based on a session in which it is determined that the feature amount detected by the detecting unit is not a value that appears in normal communication. 請求項１記載の通信装置において、
前記特徴量は、前記内部ネットワークから前記外部ネットワークへ送信されるパケットのパケットサイズであることを特徴とする通信装置。 The communication device according to claim 1.
The communication apparatus, wherein the feature amount is a packet size of a packet transmitted from the internal network to the external network. 請求項１記載の通信装置において、
前記特徴量は、前記内部ネットワークから前記外部ネットワークへ送信されるデータの通信レートであることを特徴とする通信装置。 The communication device according to claim 1.
The communication apparatus characterized in that the feature amount is a communication rate of data transmitted from the internal network to the external network. 請求項１，２または３記載の通信装置において、
学習期間において前記検出手段が検出した前記セッション毎の特徴量と、前記学習期間において前記セッション管理手段が検出した前記セッション毎のサービス種別とに基づいて、サービス種別毎の特徴量の最大値を求め、該求めたサービス種別毎の最大値を、サービス種別毎の閾値として前記閾値記憶部に記録する学習手段を備えたことを特徴とする通信装置。 The communication device according to claim 1, 2 or 3,
Based on the feature amount for each session detected by the detection unit during the learning period and the service type for each session detected by the session management unit during the learning period, a maximum value of the feature amount for each service type is obtained. A communication apparatus comprising learning means for recording the maximum value for each service type obtained in the threshold storage unit as a threshold for each service type. 請求項１乃至４の何れか１項に記載の通信装置において、
前記判定手段は、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定したセッションを利用して通信を行っている前記内部ネットワーク上の端末に対して、ウイルスに感染したことを示すウイルス感染通知を送信することを特徴とする通信装置。 The communication apparatus according to any one of claims 1 to 4,
The determination unit is infected with a virus on a terminal on the internal network that performs communication using a session determined that the feature value detected by the detection unit is not a value that appears in normal communication. A communication apparatus that transmits a virus infection notification indicating the above. 閾値記憶部と、セッション管理手段と、検出手段と、判定手段と、遮断手段とを備え、且つ、内部ネットワークと外部ネットワークとの境界に設置されるコンピュータが実行するサイバー攻撃検出方法であって、
前記セッション管理手段が、前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出し、
前記検出手段が、前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出し、
前記判定手段が、前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定し、
前記遮断手段が、前記判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断することを特徴とするサイバー攻撃検出方法。 A cyber attack detection method executed by a computer that includes a threshold storage unit, a session management unit, a detection unit, a determination unit, and a blocking unit, and that is installed at a boundary between an internal network and an external network,
For each session established between the terminal on the internal network and the information processing apparatus on the external network, the session management means detects a service type of a service used in the session,
A feature amount indicating a feature of communication using the session for each session, wherein the detection means indicates a feature of communication in which data is transmitted from the internal network side to the external network side. Detect
The determination unit is a threshold value recorded in the threshold storage unit in association with the service type detected by the session management unit for each session, and the feature amount detected by the detection unit is the service type. Based on a threshold value for determining whether or not the value appears in normal communication using the service, it is determined whether or not the feature value detected by the detecting means is a value that appears in normal communication. ,
The cyber attack detection method, wherein the blocking unit blocks communication by a session in which the determination unit determines that the feature value detected by the detection unit is not a value that appears in normal communication. 閾値記憶部を備え、内部ネットワークと外部ネットワークとの境界に設置されるコンピュータを、
前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出するセッション管理手段、
前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出する検出手段、
前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定する判定手段、
該判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する遮断手段として機能させるためのプログラム。 A computer having a threshold storage unit and installed at the boundary between the internal network and the external network,
Session management means for detecting a service type of a service used in a session for each session established between a terminal on the internal network and an information processing apparatus on the external network;
Detection means for detecting, for each session, a feature amount indicating a feature of communication using the session, wherein the feature amount indicates a feature of communication in which data is transmitted from the internal network side toward the external network side. ,
For each session, the threshold value recorded in the threshold value storage unit in association with the service type detected by the session management unit, and the feature amount detected by the detection unit uses the service of the service type Determining means for determining whether or not the feature amount detected by the detecting means is a value appearing in normal communication based on a threshold value for determining whether or not the value appears in normal communication;
A program for causing the determination unit to function as a blocking unit that blocks communication by a session in which it is determined that the feature value detected by the detection unit is not a value that appears in normal communication.
JP2013111795A 2013-05-28 2013-05-28 Communication equipment, cyber attack detection method and program Pending JP2014232923A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2013111795A JP2014232923A (en) 2013-05-28 2013-05-28 Communication equipment, cyber attack detection method and program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2013111795A JP2014232923A (en) 2013-05-28 2013-05-28 Communication equipment, cyber attack detection method and program

Publications (1)

Publication Number Publication Date
JP2014232923A true JP2014232923A (en) 2014-12-11

Family

ID=52126096

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2013111795A Pending JP2014232923A (en) 2013-05-28 2013-05-28 Communication equipment, cyber attack detection method and program

Country Status (1)

Country Link
JP (1) JP2014232923A (en)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017059964A (en) * 2015-09-15 2017-03-23 富士通株式会社 Network monitoring device, network monitoring method, and network monitoring program
JP2018007179A (en) * 2016-07-07 2018-01-11 エヌ・ティ・ティ・コミュニケーションズ株式会社 Device, method and program for monitoring
WO2019225214A1 (en) * 2018-05-21 2019-11-28 日本電信電話株式会社 Determination method, determination device and determination program
JP2021512567A (en) * 2018-01-26 2021-05-13 オパンガ ネットワークス，インコーポレイテッド Systems and methods for identifying candidate flows in data packet networks

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005295212A (en) * 2004-03-31 2005-10-20 Toshiba Solutions Corp Apparatus and program for abnormal data detection
JP2006238043A (en) * 2005-02-24 2006-09-07 Mitsubishi Electric Corp Network abnormality detection apparatus
US20070064617A1 (en) * 2005-09-15 2007-03-22 Reves Joseph P Traffic anomaly analysis for the detection of aberrant network code
JP2007081454A (en) * 2005-09-09 2007-03-29 Oki Electric Ind Co Ltd Abnormality detecting system, abnormality management apparatus, abnormality management method, probe and program thereof
JP2008146157A (en) * 2006-12-06 2008-06-26 Mitsubishi Electric Corp Network abnormality decision device
US20100281539A1 (en) * 2009-04-29 2010-11-04 Juniper Networks, Inc. Detecting malicious network software agents
US20110055921A1 (en) * 2009-09-03 2011-03-03 Juniper Networks, Inc. Protecting against distributed network flood attacks
JP2012015684A (en) * 2010-06-30 2012-01-19 Mitsubishi Electric Corp Internal network management system and internal network management method and program

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005295212A (en) * 2004-03-31 2005-10-20 Toshiba Solutions Corp Apparatus and program for abnormal data detection
JP2006238043A (en) * 2005-02-24 2006-09-07 Mitsubishi Electric Corp Network abnormality detection apparatus
JP2007081454A (en) * 2005-09-09 2007-03-29 Oki Electric Ind Co Ltd Abnormality detecting system, abnormality management apparatus, abnormality management method, probe and program thereof
US20070064617A1 (en) * 2005-09-15 2007-03-22 Reves Joseph P Traffic anomaly analysis for the detection of aberrant network code
JP2008146157A (en) * 2006-12-06 2008-06-26 Mitsubishi Electric Corp Network abnormality decision device
US20100281539A1 (en) * 2009-04-29 2010-11-04 Juniper Networks, Inc. Detecting malicious network software agents
US20110055921A1 (en) * 2009-09-03 2011-03-03 Juniper Networks, Inc. Protecting against distributed network flood attacks
JP2012015684A (en) * 2010-06-30 2012-01-19 Mitsubishi Electric Corp Internal network management system and internal network management method and program

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
GARCIA-TEODORO, P. ET AL.: "Anomaly-based network intrusion detection: Techniques, systems and chllenges", COMPUTERS & SECURITY 28.1, JPN6017003960, 2009, pages 18 - 28, XP025839371, ISSN: 0003495820, DOI: 10.1016/j.cose.2008.08.003 *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017059964A (en) * 2015-09-15 2017-03-23 富士通株式会社 Network monitoring device, network monitoring method, and network monitoring program
JP2018007179A (en) * 2016-07-07 2018-01-11 エヌ・ティ・ティ・コミュニケーションズ株式会社 Device, method and program for monitoring
JP2021512567A (en) * 2018-01-26 2021-05-13 オパンガ ネットワークス，インコーポレイテッド Systems and methods for identifying candidate flows in data packet networks
WO2019225214A1 (en) * 2018-05-21 2019-11-28 日本電信電話株式会社 Determination method, determination device and determination program
JPWO2019225214A1 (en) * 2018-05-21 2020-12-10 日本電信電話株式会社 Judgment method, judgment device and judgment program

Similar Documents

Publication Publication Date Title
KR102039842B1 (en) How to prevent network attacks, devices, and systems
EP2533492B1 (en) A node device and method to prevent overflow of pending interest table in name based network system
CN109889547B (en) Abnormal network equipment detection method and device
TWI729320B (en) Suspicious packet detection device and suspicious packet detection method thereof
JP5009244B2 (en) Malware detection system, malware detection method, and malware detection program
US10187422B2 (en) Mitigation of computer network attacks
US20170310669A1 (en) Device Blocking Tool
JP5947838B2 (en) Attack detection apparatus, attack detection method, and attack detection program
US20130246605A1 (en) Local reputation to adjust sensitivity of behavioral detection system
US9055096B2 (en) Apparatus and method for detecting an attack in a computer network
CN102404741B (en) Method and device for detecting abnormal online of mobile terminal
WO2013152610A1 (en) Phishing website detection method and device
CN109040140B (en) Slow attack detection method and device
WO2008141584A1 (en) Message processing method, system, and equipment
US20170034208A1 (en) Device blocking tool
WO2013091534A1 (en) Trojan detection method and device
WO2018157626A1 (en) Threat detection method and apparatus
JP2014232923A (en) Communication equipment, cyber attack detection method and program
US20220263846A1 (en) METHODS FOR DETECTING A CYBERATTACK ON AN ELECTRONIC DEVICE, METHOD FOR OBTAINING A SUPERVISED RANDOM FOREST MODEL FOR DETECTING A DDoS ATTACK OR A BRUTE FORCE ATTACK, AND ELECTRONIC DEVICE CONFIGURED TO DETECT A CYBERATTACK ON ITSELF
JP2020031363A (en) Communication control system, network controller and computer program
US20140317718A1 (en) IPS Detection Processing Method, Network Security Device, and System
CN105812324A (en) Method, device and system for IDC information safety management
TW201132055A (en) Routing device and related packet processing circuit
KR101826728B1 (en) Method, system and computer-readable recording medium for managing log data
TWI666568B (en) Method of Netflow-Based Session Detection for P2P Botnet

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20160405

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20170214

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20170808