JP4437410B2 - セキュリティ管理装置及びプログラム - Google Patents

Description

この発明は、コンピュータネットワークに接続されたコンピュータやネットワーク機器に対して不正なアクセスや侵入・攻撃などがあった場合に、セキュリティ管理者やオペレータにセキュリティインシデントを通知する不正侵入検知システム（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ、以下ＩＤＳともいう）において、より精度の高いアラーム通知をおこなうことに関する。

インターネットの普及により、情報の伝達スピードは飛躍的に増大し、誰でも手軽にＩＴを利用して、欲しい情報を簡単に、しかも、即座に入手できるようになった。その一方、不正アクセス禁止法やプロバイダ責任法、個人情報保護法案などの法律の整備が進むなか、省庁や企業の運営するＷｅｂサーバへの不正アクセスや大々的なホームページの改ざん、サーバへの攻撃が相次ぎ、コンピュータウィルスによる被害も年々増えてきている。

また、企業内においても、従来以上の迅速な経営判断や総合的なリスク管理のために、多種多様な情報が必要となる一方で、社内での情報セキュリティの要求はより厳しくなってきている。企業の情報漏洩や不正アクセスによる企業情報の改ざんが発生した場合には、物理的被害、経済的損失を被り、社会的信用を失墜させてしまう。また、インターネットなどの外部からの攻撃だけではなく、内部ネットワークからの不正アクセスに対しても対応する必要がある。

こうした不正アクセスの脅威を回避する手段として、ネットワーク型の不正侵入検知システムを導入するケースが増えている。通常、ネットワーク型ＩＤＳはネットワーク上を流れるパケットを監視センサ（モニタリング装置）にて監視し、同装置が持っているデータベース（既知の不正パケットのパターンをデータベース化したものであり、シグネチャと呼ばれる）と比較し、不正なパケットであった場合、オペレータ管理装置（マネージャ）にアラームを上げてセキュリティ管理者やオペレータに知らせる。セキュリティ管理者は受け取ったアラームの内容により、関係部署へ連絡したり、対策を講じたりするのが一般的である（例えば、特許文献１参照）。

技術的に監視センサが監視できる範囲は、ネットワークのセグメント単位に限られるため、よりセキュリティを高めるためには、図１１のように各セグメントを監視するように監視センサを設置する必要がある。

一般にアラームには重要度に応じたレベルが監視センサ毎に設けられている。例えば、各監視センサのシグネチャ毎にＨｉｇｈ、Ｍｅｄｉｕｍ、Ｌｏｗレベルが設定されており、Ｈｉｇｈレベルのものに対しては早急な対応を実施するというような運用形態がとられる。

しかしながら、実際は検知したアラームが、Ｈｉｇｈレベルであっても実害があるとは限らず、システムの構成や攻撃手法の違いにより実害があるかどうかを判断するのは難しい。例えば、インターネットから企業内ネットワークに向かってＨｉｇｈレベルの電子メールに関する不正パケットが送信され、そのパケットを検知した場合でも、ファイアウォールによりメールに関するパケットを遮断していれば、早急に対応する必要はない。つまり、図１１のような構成からなるＩＤＳにおいては、監視センサ１で検知したアラームが、（監視センサ２で検知されていなくても）Ｈｉｇｈレベルとしてセキュリティ管理者に通知されてしまう。管理者はその後、監視センサ２で検知されていないことを確認して、早急な対応は必要ないと判断する。

また、一般に、セキュアなネットワークシステムを構築するためには、ネットワークに接続されている各サーバやネットワーク機器に対して、事前および定期的なペネトレーションテストなどのセキュリティ診断を実施する。この診断は通常、セキュリティ診断ツールを用いて実施し、サーバでどんなサービスが稼動しているか調べたり、既知の攻撃手法を用いて実際にサーバに攻撃を仕掛けたりすることにより、そのサーバやネットワーク機器の脆弱性を調査する。通常診断パターンは数百種類以上ある。例えば、あるＷｅｂサーバに対してセキュリティ診断を実施したとする。Ｗｅｂサービスは当然稼動していても問題ないが、メールやファイル転送のサービスが稼動していれば、停止させる必要がある。また、ＨＴＴＰヘッダーを利用したＮｉｍｄａ攻撃に対して、脆弱であると判断されれば、パッチや最新モジュールの適用を行う必要がある。逆に、Ｎｉｍｄａ攻撃用パッチが適用されたＷｅｂサーバならば、Ｎｉｍｄａ攻撃に対する脆弱性は指摘されず、そのような攻撃を受けても問題ないということになる。したがって、ネットワーク型ＩＤＳがＮｉｍｄａ攻撃を検知したとしても、適切な処置が施されたサーバに対する攻撃であれば、問題ないと判断できるが、実際には、アラームが通知されてしまい、管理者はその後、セキュリティ診断結果などを参照することにより、そのサーバに対する攻撃においては、早急な対応は必要ないと判断する。
特開２００２−３４２２７６号公報

上述したように、ネットワーク型ＩＤＳを用いて、セキュリティ監視を行う場合には、アラームが発生しても、実際には実害がない場合がある。すなわち、真に緊急度が高いアラームに対する迅速な対応が困難となる。それゆえ、重要度の高いアラームにすぐ対応できない、もしくは、管理者の負担が大きい、という問題がある。

この発明は上記のような問題点を解決するためになされたもので、オペレータ管理装置に上げられる各監視センサからのアラームを総合的に判断し、さらに事前のセキュリティ診断結果を基に、セキュリティ管理者（オペレータ）に対してＨｉｇｈレベルのアラーム、すなわち、真に緊急性が高い不正アクセスを知らせることを目的とする。その実現方式として、既存の監視センサを一切変更することなく、オペレータ管理装置（マネージャ）に上がってくる不正ログデータを基に判断するものである。

本発明に係るセキュリティ管理装置は、
複数の通信機器を含むネットワークのセキュリティ管理を行うセキュリティ管理装置であって、
少なくとも不正アクセス種別と不正アクセス対象の通信機器とが示された不正アクセスログデータを取得する不正アクセスログデータ取得部と、
不正アクセスログデータに示された不正アクセス種別に対する対策が不正アクセス対象の通信機器において講じられているか否かを判定し、不正アクセス対象の通信機器における対策の有無に応じて不正アクセスの危険度を決定する危険度決定部と、
前記危険度決定部が決定した危険度に従って不正アクセスに対するアラーム通知を行うアラーム通知部とを有することを特徴とする。

本発明によれば、不正アクセスに対する対策の有無に基づき、真に緊急対応が必要なアラームを絞り込んで、管理者に通知することができ、これにより、管理者が真に危険なアラームを見逃すことなく、実害の大きいアラームに対して早急な対応がとれ、管理者の負担を軽減することができる。

実施の形態１．
図１は、この発明の実施の形態１に係るセキュリティ緊急レベル調整システム１（セキュリティ管理装置）を含む全体の構成例を示す図である。本実施の形態に係るセキュリティ緊急レベル調整システム１は、図１１に示したネットワークと同様に、複数のセグメントを含むネットワークを対象としており、また、不正侵入検知システム（ＩＤＳ）２に接続されている。また、不正侵入検知システム２は、ネットワークのセグメントごとに配置された監視センサとマネージャ２１、不正アクセスログファイルを備えている。

図２は、セキュリティ緊急レベル調整システム１と不正侵入検知システム２の構成を示す図である。セキュリティ緊急レベル調整システム１において、１１は不正アクセスログファイル２２から不正アクセスログデータを取得する不正アクセスログデータ取得部、１２は取得した不正アクセスログデータを解析する不正アクセスログデータ解析処理部、１３は監視センサ対応表を格納する監視センサ対応表格納部、１４は最終的なアラームレベル（危険度）を決定する診断結果照合処理部（危険度決定部）、１５はシグネチャ−診断対応表を格納するシグネチャ−診断対応表格納部、１６はセキュリティ診断結果表（不正アクセス対策情報）を格納するセキュリティ診断結果表格納部（不正アクセス対策情報格納部）、１７はアラームレベル調整部（アラーム通知部）である。不正アクセスログデータ、監視センサ対応表、監視センサ対応表、セキュリティ診断結果表の具体的内容は後述する。

なお、セキュリティ緊急レベル調整システム１は、図示していないが、例えばマイクロプロセッサ等のＣＰＵ、半導体メモリ等や磁気ディスク等の記録手段、及び通信手段を有する計算機により実現することができる。記録手段に、セキュリティ緊急レベル調整システム１に含まれる各構成要素の機能を実現するプログラムを記録し、ＣＰＵがこれらのプログラムを読み込むことによりセキュリティ緊急レベル調整システム１の動作を制御し、各構成要素の機能を実現することも可能である。

不正侵入検知システム２において、２１はオペレータ管理装置（マネージャ）、２２は各監視センサから上がってくる不正アクセスログデータが記録された不正アクセスログファイルである。通常、２１、２２は既存の不正侵入検知システムが保有しているものである。

図３は、不正アクセスログファイルのデータ形式を説明するための図である。各データは、それぞれ、発生日（ｄａｔｅ）、発生時刻（ｔｉｍｅ）、検知した監視センサの番号（ｓｅｎｓｏｒ−ｉｄ）、シグネチャ固有番号（ｓｉｇ−ｉｄ）、シグネチャの名前（ｓｉｇ−ｎａｍｅ）、アラームのレベル（ｌｅｖｅｌ）、発信ＩＰアドレス（ｆｒｏｍ−ｉｐ）、発信ポート番号（ｆｒｏｍ−ｐｏｒｔ）、宛先ＩＰアドレス（ｔｏ−ｉｐ）、宛先ポート番号（ｔｏ−ｐｏｒｔ）を表す。ここで、シグネチャ固有番号又はシグネチャの名前が不正アクセス種別を示し、宛先ＩＰアドレス又は宛先ポート番号が不正アクセス対象の通信機器（サーバ、端末など）を示す。また、アラームのレベルが警戒度を示す。

図１の対象ネットワーク構成例から明らかなように、このネットワーク構成から、どのセグメントをどの監視センサが監視しているかがわかる。これにより、図４に示すような、ネットワークアドレスと監視センサ（ｓｅｎｓｏｒ−ｉｄ）との対応付けを行った監視センサ対応表（図２の監視センサ対応表格納部１３に格納）を作成することができる。

次に図２及び図１０を用いて、動作について説明する。

まず不正アクセスログデータ取得部１１により、不正アクセスログファイルからデータを取得する（図１０のステップＳ１００１）。ここで取得されたデータの例を図５に示す。

次に、不正アクセスログデータ解析処理部１２において、不正アクセスログデータの解析を行う（ステップＳ１００２）。図５に示すデータを例に説明する。アラームレベルを表すｌｅｖｅｌ（警戒度）がＨｉｇｈであるものに注目する。本例では、Ｈｉｇｈレベルを３、Ｍｅｄｉｕｍレベルを２、Ｌｏｗレベルを１としているので、ｌｅｖｅｌが３であるものに注目する。

次に、シグネチャ固有番号（ｓｉｇ−ｉｄ）、発信ＩＰアドレス（ｆｒｏｍ−ｉｐ）、発信ポート番号（ｆｒｏｍ−ｐｏｒｔ）、宛先ＩＰアドレス（ｔｏ−ｉｐ）、宛先ポート番号（ｔｏ−ｐｏｒｔ）が同一であり、日時が近い（１０秒以内など）ものは同一のパケットと判断する。単独のものも一つのパケットである。図５の例では、（１）と（２）、（４）と（５）、（６）と（７）が同一のパケットであり、（３）も一つのパケットであるから、全部で４つのパケットの情報が記録されている。

次に、図４に示すような内容の監視センサ対応表１３を元に、宛先ＩＰアドレス（ｔｏ−ｉｐ）からどの監視センサにて検知されたかを判断し、ｓｅｎｓｏｒ−ｉｄを特定する。図５の例では、（１）〜（５）のｔｏ−ｉｐが１０．１０．２．１となっているので、図４から、１０．１０．２．１は、セグメント２に属し、ｓｅｎｓｏｒ−ｉｄが０２の監視センサで検知されたことになる。

次に、それぞれのパケットにおいて、上記の宛先ＩＰアドレスを基にして求めたｓｅｎｓｏｒ−ｉｄと、ログファイルに記述されているｓｅｎｓｏｒ−ｉｄが等しいものがあれば、そのパケットについては、アラームレベル（警戒度）は３（Ｈｉｇｈ）のままとし、そうでなければ、アラームレベル（警戒度）を下げる（ステップＳ１００３）。図６がここまでの処理をまとめたものである。以上が、不正アクセスログデータ解析処理部１２における処理である。

次に、診断結果照合処理部１４が、不正アクセスログデータ、シグネチャ−診断対応表、セキュリティ診断結果表を基にセグメントの脆弱性の有無を判断し（ステップＳ１００４）、最終的なアラームレベル（危険度）を判定する（ステップＳ１００５）。

まず、図８に示すような内容をもつシグネチャ−診断対応表（図２のシグネチャ−診断対応表格納部１５に格納）より、検知されているシグネチャ固有番号（ｓｉｇ−ｉｄ）がどの診断に対応するかを判断する。例えば、シグネチャ固有番号５００３、シグネチャ名”ＣｏｄｅＲｅｄＡ”は、診断固有番号９８７４の診断名ＣｏｄｅＲｅｄであることがわかる。この表は、利用しているＩＤＳのシグネチャと診断ツールの診断パターンを対比させることにより、作成することができる。

次に、図９に示すような内容のセキュリティ診断結果表（図２のセキュリティ診断結果表格納部１６に格納）より、その不正アクセスに対して、該当する通信機器（図９では、サーバを例にしている）が脆弱性を持つかどうか、つまり、当該不正アクセス種別に対する対策が不正アクセス対象の通信機器において講じられているか否かを判断する。本例では、ｓｉｇ−ｉｄが５００３であるパケット１は、診断固有番号が９８７４であり、また、図６より対象とするサーバのＩＰアドレス（ｔｏ−ｉｐ）が１０．１０．２．１であることから、図９より脆弱性なし（対策あり）と判断される。これにより、不正アクセスログデータに示されていたアラームレベル（警戒度）よりも低いレベルを最終的なアラームレベル（危険度）とし、通知することとなる。これにより、セキュリティ診断結果によるアラームレベル調整後の内容は図７のようになる。

最後に、アラームレベル調整部１７において、アラームのレベルを実際に調整し、セキュリティ管理者にアラーム通知を行う（ステップＳ１００６）。結果として、本例では、４つの不正アクセスについて、実際に実害のあるものは１つであり、アラームとしてもＨｉｇｈレベルを１つ上げることができる。

以上のように、本実施の形態によれば、真に緊急対応が必要なアラームを絞り込んで、管理者に通知することができるようになり、管理者が真に危険なアラームを見逃すことなく、実害の大きいアラームに対して早急な対応がとれ、管理者の負担を軽減することができる。また、実装においても監視センサや診断ツールを変更することなく既存のものを利用し、マネージャ側にプログラムを組み込むことにより実現できる。

ここで、以上の実施の形態で説明したセキュリティ運用監視システムは、ネットワーク型の不正侵入検知システム（ＩＤＳ： Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）において、監視対象ネットワークから得られる不正アクセスログデータを取得する手段と、監視センサ対応表を基にその取得したデータを解析処理する手段と、セキュリティ診断結果表を基に診断結果と照合処理する手段と、それらの処理結果からアラームレベルの調整を行う手段を有することにより、オペレータに対して真に緊急性が高い不正アクセスアラームを通知することを特徴とする。

実施の形態１に係るシステム構成例を示す図。 セキュリティ緊急レベル調整システム及び不正侵入検知システムの構成例を示す図。 不正アクセスログファイルのデータ形式の例を示す図。 監視センサ対応表の例を示す図。 不正アクセスログデータの例を示す図。 アラームレベル調整後のアラームレベルの例を示す図。 アラームレベル調整後のアラームレベルの例を示す図。 シグネチャ−診断対応表の例を示す図。 セキュリティ診断結果表の例を示す図。 セキュリティ緊急レベル調整システムの処理例を示すフローチャート図。 従来技術を説明する図。

符号の説明

１ セキュリティ緊急レベル調整システム、２ 不正侵入検知システム、１１ 不正アクセスログデータ取得部、１２ 不正アクセスログデータ解析処理部、１３ 監視センサ対応表格納部、１４ 診断結果照合処理部、１５ シグネチャ−診断対応表格納部、１６ セキュリティ診断結果表格納部、１７ アラームレベル調整部、２１ マネージャ、２２ 不正アクセスログファイル。

Claims (3)

1. 複数の通信機器を含むネットワークに対する不正アクセスを検知する不正侵入検知システムに接続され、前記ネットワークのセキュリティ管理を行うセキュリティ管理装置であって、
   通信機器ごとにいずれの不正アクセス種別に対する対策が講じられているかを示す不正アクセス対策情報を格納する不正アクセス対策情報格納部と、
   前記不正侵入検知システムで検知された不正アクセスの不正アクセス種別と当該不正アクセスが対象とする通信機器と当該不正アクセスの警戒度のレベルが示される不正アクセスログデータを前記不正侵入検知システムから取得する不正アクセスログデータ取得部と、
   警戒度のレベルが特定のレベル以上である不正アクセスログデータについて、前記不正アクセス対策情報に基づき、当該不正アクセスログデータに示される不正アクセス種別に対する対策が不正アクセス対象の通信機器において講じられているか否かを判定し、不正アクセス対象の通信機器において対策が講じられていない場合は当該不正アクセスログデータの警戒度と同じレベルを不正アクセスの危険度として決定し、不正アクセス対象の通信機器において対策が講じられている場合は当該不正アクセスログデータの警戒度よりも低いレベルを不正アクセスの危険度として決定する危険度決定部と、
   前記危険度決定部が決定した危険度が前記特定のレベル以上である場合に、不正アクセスに対するアラーム通知を行うアラーム通知部とを有することを特徴とするセキュリティ管理装置。
2. 前記セキュリティ管理装置は、
   各々にネットワークアドレスが設けられている複数のセグメントを含むネットワークをセキュリティ管理の対象とし、
   不正アクセスを監視し不正アクセスの検出をセグメントごとに行う複数の監視センサが含まれる不正侵入検知システムに接続されており、
   前記不正アクセスログデータ取得部は、
   不正アクセスを検出した監視センサと当該不正アクセスが対象とする通信機器の通信アドレスとが示された不正アクセスログデータを取得し、
   前記セキュリティ管理装置は、更に、
   セグメントごとに対応するネットワークアドレスと監視センサを示す監視センサ対応表を格納する監視センサ対応表格納部と、
   警戒度のレベルが特定のレベル以上である不正アクセスログデータについて、前記監視センタ対応表に基づき、当該不正アクセスログデータに示される通信アドレスを包含するネットワークアドレスが設けられているセグメントと当該不正アクセスログデータに示される監視センサが対象としているセグメントが一致するか否かを判断し、一致する場合に当該不正アクセスログデータの警戒度をより低いレベルに変更する不正アクセスログデータ解析処理部を有し、
   前記危険度決定部は、
   前記不正アクセスログデータ解析処理部による処理後に警戒度のレベルが前記特定のレベル以上である不正アクセスログデータについて、前記不正アクセス対策情報に基づき、不正アクセスの危険度を決定することを特徴とする請求項１に記載のセキュリティ管理装置。
3. 複数の通信機器を含むネットワークに対する不正アクセスを検知する不正侵入検知システムに接続されたコンピュータに、
   前記不正侵入検知システムで検知された不正アクセスの不正アクセス種別と当該不正アクセスが対象とする通信機器と当該不正アクセスの警戒度のレベルが示される不正アクセスログデータを前記不正侵入検知システムから取得する不正アクセスログデータ取得処理と、
   警戒度のレベルが特定のレベル以上である不正アクセスログデータについて、通信機器ごとにいずれの不正アクセス種別に対する対策が講じられているかを示す不正アクセス対策情報に基づき、当該不正アクセスログデータに示される不正アクセス種別に対する対策が不正アクセス対象の通信機器において講じられているか否かを判定し、不正アクセス対象の通信機器において対策が講じられていない場合は当該不正アクセスログデータの警戒度と同じレベルを不正アクセスの危険度として決定し、不正アクセス対象の通信機器において対策が講じられている場合は当該不正アクセスログデータの警戒度よりも低いレベルを不正アクセスの危険度とする危険度決定処理と、
   前記危険度決定処理が決定した危険度が前記特定のレベル以上である場合に、不正アクセスに対するアラーム通知を行うアラーム通知処理とを実行させることを特徴とするプログラム。

Images