JP6364255B2

JP6364255B2 - Communication control device, attack defense system, attack defense method, and program

Info

Publication number: JP6364255B2
Application number: JP2014124516A
Authority: JP
Inventors: 健佑石津; 桑田　喜隆; 喜隆桑田
Original assignee: NTT Data Corp
Current assignee: NTT Data Corp
Priority date: 2014-06-17
Filing date: 2014-06-17
Publication date: 2018-07-25
Anticipated expiration: 2034-06-17
Also published as: JP2016005138A

Description

本発明は、通信制御装置、攻撃防御システム、攻撃防御方法、及びプログラムに関する。 The present invention relates to a communication control device, an attack defense system, an attack defense method, and a program.

近年、ネットワーク中を流れるパケットを監視し、不正な侵入などのネットワーク上の攻撃を検知する技術としてＩＤＳ（Intrusion Detection System：侵入検知システム）及びＩＰＳ（Intrusion Prevention System：侵入防御システム）などの攻撃防御システムが知られている（例えば、特許文献１参照）。ＩＤＳ及びＩＰＳは、ネットワークへの配置方法によりプロミスキャスモードとインラインモードに分かれる。プロミスキャスモードは、スイッチ等のミラーポートに接続されるのに対し、インラインモードは、ネットワーク上に配置される。 In recent years, IDS (Intrusion Detection System) and IPS (Intrusion Prevention System) attack protection are technologies that monitor packets flowing through the network and detect attacks on the network such as unauthorized intrusions. A system is known (see, for example, Patent Document 1). IDS and IPS are classified into a promiscuous mode and an inline mode depending on the arrangement method on the network. The promiscuous mode is connected to a mirror port such as a switch, while the inline mode is arranged on the network.

再公表ＷＯ２００９／１１９０４９号公報Republished WO2009 / 119049

上述したＩＤＳは、主にプロミスキャスモードで配置されるため、トラフィックの増加やフォールス・ポジティブによるネットワーク障害のリスクを回避することができるが、攻撃パケットを遮断することはできない。ここで、フォールス・ポジティブとは、正当な通信を不正な通信として検知することである。一方、ＩＰＳは、主にインラインモードで配置されるため、攻撃パケットを遮断することはできるが、大量のトラフィックを処理できずにボトルネックとなる可能性がある。すなわち、ＩＰＳは、トラフィックの増加やフォールス・ポジティブによりネットワーク障害のリスクが増加する場合がある。
このため、大量のトラフィックを処理しつつ、攻撃に対して防御処理を行うことができる技術が望まれる。 Since the IDS described above is mainly arranged in the promiscuous mode, it is possible to avoid the risk of network failure due to an increase in traffic and false positives, but it is not possible to block attack packets. Here, false positive is detecting legitimate communication as illegal communication. On the other hand, since the IPS is mainly arranged in the inline mode, it can block attack packets, but may not be able to process a large amount of traffic and may become a bottleneck. In other words, IPS may increase the risk of network failure due to increased traffic or false positives.
For this reason, a technique capable of performing defense processing against an attack while processing a large amount of traffic is desired.

本発明は、このような状況に鑑みてなされたもので、その目的は、トラフィックを適切に処理しつつ、攻撃に対して防御処理を行うことができる通信制御装置、攻撃防御システム、攻撃防御方法、及びプログラムを提供することにある。 The present invention has been made in view of such a situation, and an object of the present invention is to provide a communication control device, an attack defense system, and an attack defense method capable of performing a defense process against an attack while appropriately processing traffic. And providing a program.

上記問題を解決するために、本発明の一態様は、監視対象のネットワークを流れるパケットを、スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知するセキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得部と、前記攻撃検知取得部が取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御部とを備え、前記パケット制御部は、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行うことを特徴とする通信制御装置である。
また、本発明の一態様は、上記の通信制御装置において、前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部を備え、前記対象変更部は、送信元に重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて危険と判定される前記送信元からのパケットを重点的に、前記セキュリティ機器に監視させることを特徴とする。
また、本発明の一態様は、上記の通信制御装置において、前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部を備え、前記対象変更部は、送信元に重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて攻撃の兆候があると判定される前記送信元からのパケットを重点的に、前記セキュリティ機器に監視させることを特徴とする。
また、本発明の一態様は、上記の通信制御装置において、前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部を備え、前記対象変更部は、前記監視対象の機器に対する通信量により重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて前記通信量が多い前記監視対象の機器に宛てたパケットを重点的に、前記セキュリティ機器に監視させることを特徴とする。
また、本発明の一態様は、上記の通信制御装置において、前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部を備え、前記対象変更部は、攻撃パケットの内容に応じて重み付けを行い、当該重み付けが重い攻撃パケットの兆候があった場合に、当該重み付けが重い攻撃パケットの内容に対して重点的に、前記セキュリティ機器に監視させることを特徴とする。 In order to solve the above-described problem, according to one aspect of the present invention, a packet flowing in a monitoring target network is monitored in a promiscuous mode via a switch device, and the monitoring target network is configured based on the monitored packet. Based on the attack detection information acquired by the attack detection acquisition unit acquired by the attack detection acquisition unit that acquires the attack detection information indicating the attack detected by the security device that detects the attack, the switch target network A packet control unit that performs control to limit the packets flowing through the packet, and the packet control unit is configured to detect an attack source device when the attack detection information is information indicating that an SQL injection is detected by the security device. Injection of a packet including the SQL injection transmitted from The control by replacing the partial secure content is transferred to the monitored device, a communication control apparatus and performing to the switching device.
In addition, according to one aspect of the present invention, in the communication control device, the security device may be configured to monitor a packet that is a monitoring target among packets flowing through the monitoring target network, and a destination of the packet that is the monitoring target may be A target change unit that changes the monitored device to be shown at predetermined intervals, and the target change unit weights the transmission source, and among the packets flowing through the monitored network, the risk is changed based on the weight. It is characterized in that the security device is focused on the packets from the transmission source determined to be.
In addition, according to one aspect of the present invention, in the communication control device, the security device may be configured to monitor a packet that is a monitoring target among packets flowing through the monitoring target network, and a destination of the packet that is the monitoring target may be A target changing unit that changes the device to be monitored shown every predetermined period, the target changing unit weights a transmission source, and attacks based on the weight among packets flowing through the network to be monitored It is characterized in that the security device is focused on monitoring packets from the transmission source that are determined to have a sign.
In addition, according to one aspect of the present invention, in the communication control device, the security device may be configured to monitor a packet that is a monitoring target among packets flowing through the monitoring target network, and a destination of the packet that is the monitoring target may be Comprising a target changing unit that changes the monitored device to be shown every predetermined period, the target changing unit performs weighting according to a communication amount with respect to the monitored device, and among packets flowing through the monitored network, Based on the weighting, the security device is focused on packets addressed to the device to be monitored with a large amount of communication.
In addition, according to one aspect of the present invention, in the communication control device, the security device may be configured to monitor a packet that is a monitoring target among packets flowing through the monitoring target network, and a destination of the packet that is the monitoring target may be A target changing unit that changes the device to be monitored to be changed every predetermined period, and the target changing unit performs weighting according to the contents of the attack packet, and there is an indication of an attack packet having a heavy weight The security device is focused on the content of the attack packet having a heavy weight.

また、本発明の一態様は、上記の通信制御装置において、前記パケット制御部は、前記攻撃検知情報が、前記監視対象のネットワークに接続された監視対象の機器に対する攻撃を前記セキュリティ機器により検知したことを示す情報である場合に、前記スイッチ装置に、攻撃元の機器から送信されたパケットを破棄させる制御を行うことを特徴とする。 Further, according to one aspect of the present invention, in the communication control device, the packet control unit detects, by the security device, the attack detection information detects an attack on a monitored device connected to the monitored network. If the information indicates that the packet is transmitted from the attack source device, the switch device is controlled to discard the packet.

また、本発明の一態様は、上記の通信制御装置において、前記パケット制御部は、前記攻撃検知情報が、前記監視対象のネットワークに接続された監視対象の機器に対する攻撃を前記セキュリティ機器により検知したことを示す情報である場合に、前記スイッチ装置に、前記監視対象の機器との通信を遮断させることにより、前記監視対象の機器を隔離させるとともに、前記監視対象の機器に宛てたパケットを、前記監視対象の機器の身代わりとなる囮の機器に宛てたパケットに変更して転送させる制御を行うことを特徴とする。 Further, according to one aspect of the present invention, in the communication control device, the packet control unit detects, by the security device, the attack detection information detects an attack on a monitored device connected to the monitored network. In the case of the information indicating that, the switch device is isolated from the monitoring target device by blocking communication with the monitoring target device, the packet addressed to the monitoring target device, It is characterized in that control is performed to change and forward the packet addressed to a device that is a substitute for the device to be monitored.

また、本発明の一態様は、上記の通信制御装置において、前記パケット制御部は、前記攻撃検知情報が、前記監視対象のネットワークを流れるパケットの通信量が、所定の閾値以上であることを示す情報である場合に、前記スイッチ装置に、前記所定の閾値を超えた分のパケットを破棄させる制御を行うことを特徴とする。 Further, according to one aspect of the present invention, in the communication control device, the packet control unit indicates that the attack detection information indicates that a traffic amount of a packet flowing through the monitored network is equal to or greater than a predetermined threshold. In the case of information, control is performed to cause the switch device to discard packets that exceed the predetermined threshold.

また、本発明の一態様は、上記の通信制御装置において、前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットをセキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部を備えることを特徴する。 Further, according to one aspect of the present invention, in the communication control device described above, a security device is monitored among packets flowing through the monitoring target network, and a destination of the monitoring target packet is indicated. The apparatus includes a target changing unit that changes a device to be monitored every predetermined period.

また、本発明の一態様は、監視対象のネットワークを流れるパケットを制御するスイッチ装置と、前記監視対象のネットワークを流れるパケットを、前記スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知するセキュリティ機器と、通信制御装置とを備え、前記通信制御装置は、前記セキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得部と、前記攻撃検知取得部が取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御部とを備え、前記パケット制御部は、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行うことを特徴とする攻撃防御システムである。 According to another aspect of the present invention, a switching device that controls a packet that flows through a monitoring target network and a packet that flows through the monitoring target network are monitored in a promiscuous mode via the switching device. Based on the security device for detecting an attack in the monitored network, and a communication control device, the communication control device acquires attack detection information indicating the attack detected by the security device And a packet control unit that controls the switch device to limit packets flowing through the monitored network based on the attack detection information acquired by the attack detection acquisition unit, and the packet control unit includes: The attack detection information indicates that SQL injection is performed by the security device. The switch device for controlling to replace the injection part of the packet including the SQL injection transmitted from the attack source device with a safe content and to transfer the information to the monitoring target device when the information indicates that the information is known It is the attack defense system characterized by performing with respect to .

また、本発明の一態様は、監視対象のネットワークを流れるパケットを制御するスイッチ装置を備える攻撃防御システムの攻撃防御方法であって、セキュリティ機器が、前記監視対象のネットワークを流れるパケットを、前記スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知する攻撃検知ステップと、通信制御装置が、前記セキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得ステップと、通信制御装置が、前記攻撃検知取得ステップにて取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御ステップとを含み、前記パケット制御ステップにおいて、通信制御装置が、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行うことを特徴とする攻撃防御方法である。 Another embodiment of the present invention is an attack defense method for an attack defense system including a switch device that controls a packet flowing in a monitored network, wherein a security device transmits a packet flowing in the monitored network to the switch An attack detection step for monitoring an attack in the promiscuous mode via the device, and detecting an attack in the monitored network based on the monitored packet; and an attack indicating the attack detected by the security device by the communication control device An attack detection acquisition step for acquiring detection information, and a control that causes the communication control device to restrict packets that flow through the monitored network based on the attack detection information acquired in the attack detection acquisition step. only contains a packet control step of performing, the packet control scan In this case, the communication control apparatus, when the attack detection information is information indicating that the SQL injection is detected by the security device, the injection portion of the packet including the SQL injection transmitted from the attack source device The attack prevention method is characterized in that the switch device is controlled to replace the information with safe contents and transfer the information to the monitored device .

また、本発明の一態様は、コンピュータに、監視対象のネットワークを流れるパケットを、スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知するセキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得ステップと、前記攻撃検知取得ステップにて取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御ステップとを実行させ、前記パケット制御ステップにおいて、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行う処理を実行させるためのプログラムである。 Further, according to one embodiment of the present invention, a packet that flows through a monitoring target network is monitored by a computer in a promiscuous mode via a switch device, and an attack in the monitoring target network is detected based on the monitored packet. An attack detection acquisition step for acquiring attack detection information indicating the attack detected by the security device that performs detection, and an attack detection information acquired in the attack detection acquisition step, the switch device flows through the monitored network. A packet control step for performing control to limit the packet, and in the packet control step, when the attack detection information is information indicating that the security injection is detected by the security device, from the attack source device The SQL injection sent A control for transferring the injection portion of the packet is replaced with the secure content on the monitored devices, including a program for executing the processing to be performed on the switching device.

本発明によれば、トラフィックを適切に処理しつつ、攻撃に対して防御処理を行うことができる。 According to the present invention, it is possible to perform defense processing against an attack while appropriately processing traffic.

第１の実施形態による攻撃防御システムの一例を示すブロック図である。It is a block diagram which shows an example of the attack defense system by 1st Embodiment. 第１の実施形態による攻撃防御システムの動作の一例を示す図である。It is a figure which shows an example of operation | movement of the attack defense system by 1st Embodiment. 第１の実施形態による通信制御装置の動作の一例を示すフローチャートである。It is a flowchart which shows an example of operation | movement of the communication control apparatus by 1st Embodiment. 第１の実施形態による攻撃防御システムの防御動作の一例を示す第１の図である。It is a 1st figure which shows an example of the defense operation | movement of the attack defense system by 1st Embodiment. 第１の実施形態による攻撃防御システムの防御動作の一例を示す第２の図である。It is a 2nd figure which shows an example of the defense operation | movement of the attack defense system by 1st Embodiment. 第１の実施形態による攻撃防御システムの防御動作の一例を示す第３の図である。It is a 3rd figure which shows an example of the defense operation | movement of the attack defense system by 1st Embodiment. 第２の実施形態による通信制御装置の動作の一例を示すフローチャートである。It is a flowchart which shows an example of operation | movement of the communication control apparatus by 2nd Embodiment. 第２の実施形態による攻撃防御システムの防御動作の一例を示す図である。It is a figure which shows an example of the defense operation | movement of the attack defense system by 2nd Embodiment. 第３の実施形態による攻撃防御システムの一例を示すブロック図である。It is a block diagram which shows an example of the attack defense system by 3rd Embodiment. 第３の実施形態による通信制御装置の動作の一例を示すフローチャートである。It is a flowchart which shows an example of operation | movement of the communication control apparatus by 3rd Embodiment. 第１の変形例の攻撃防御システムを示すブロック図である。It is a block diagram which shows the attack defense system of a 1st modification. 第２の変形例の攻撃防御システムを示すブロック図である。It is a block diagram which shows the attack defense system of a 2nd modification.

以下、本発明の一実施形態による攻撃防御システム及び通信制御装置について図面を参照して説明する。
［第１の実施形態］
図１は、第１の実施形態による攻撃防御システム１の一例を示すブロック図である。
この図に示すように、攻撃防御システム１は、ＳＤＮ（Software Defined Networking）スイッチ３０と、ＳＤＮコントローラ装置４０と、ＩＤＳ（Intrusion Detection System：侵入検知システム）５０と、通信制御装置１００とを備えている。攻撃防御システム１は、攻撃側コンピュータ装置１０と監視対象コンピュータ装置２０との間の監視対象のネットワークＮＷ１を監視し、攻撃側コンピュータ装置１０から監視対象コンピュータ装置２０へのネットワークＮＷ１上での攻撃を防御するシステムである。 Hereinafter, an attack defense system and a communication control device according to an embodiment of the present invention will be described with reference to the drawings.
[First Embodiment]
FIG. 1 is a block diagram illustrating an example of an attack defense system 1 according to the first embodiment.
As shown in FIG. 1, the attack defense system 1 includes an SDN (Software Defined Networking) switch 30, an SDN controller device 40, an IDS (Intrusion Detection System) 50, and a communication control device 100. Yes. The attack defense system 1 monitors the network NW1 to be monitored between the attacking computer apparatus 10 and the monitoring target computer apparatus 20, and performs an attack on the network NW1 from the attacking computer apparatus 10 to the monitoring target computer apparatus 20. It is a defense system.

攻撃側コンピュータ装置１０は、監視対象のネットワークＮＷ１を介して、監視対象コンピュータ装置２０に攻撃し、不正に情報を取得しようとするコンピュータ装置である。なお、監視対象のネットワークＮＷ１は、攻撃防御システム１が攻撃側コンピュータ装置１０からの攻撃を監視する対象となるネットワークである。 The attacking computer device 10 is a computer device that attacks the monitored computer device 20 via the monitored network NW1 and attempts to obtain information illegally. Note that the network NW1 to be monitored is a network on which the attack defense system 1 monitors an attack from the attacking computer apparatus 10.

監視対象コンピュータ装置２０は、監視対象のネットワークＮＷ１に接続されているコンピュータ装置であって、攻撃側コンピュータ装置１０からのネットワークにおける攻撃を監視する対象であるコンピュータ装置である。ここでは、１台の監視対象コンピュータ装置２０を図示して説明するが、監視対象のネットワークＮＷ１には複数台の監視対象コンピュータ装置２０が接続されていてもよく、通信制御装置１００は、複数台の監視対象コンピュータ装置２０を監視対象としてもよい。また、１台の攻撃側コンピュータ装置１０を図示して説明するが、監視対象のネットワークＮＷ１には複数台の攻撃側コンピュータ装置１０が接続されていてもよい。 The monitoring target computer device 20 is a computer device connected to the monitoring target network NW1, and is a computer device that is a target for monitoring attacks on the network from the attacking computer device 10. Here, one monitoring target computer device 20 is illustrated and described. However, a plurality of monitoring target computer devices 20 may be connected to the monitoring target network NW1, and the communication control device 100 includes a plurality of monitoring target computer devices 20. The monitoring target computer device 20 may be the monitoring target. Although one attacking computer apparatus 10 is illustrated and described, a plurality of attacking computer apparatuses 10 may be connected to the monitored network NW1.

ＳＤＮスイッチ（スイッチ装置の一例）３０は、例えば、オープンフロースイッチなどであり、攻撃側コンピュータ装置１０と監視対象コンピュータ装置２０との間の監視対象のネットワークＮＷ１上に接続される。ＳＤＮスイッチ３０は、後述するＳＤＮコントローラ装置４０によって設定された設定情報に基づいて、パケットの通過を制御可能なスイッチである。ＳＤＮスイッチ３０は、例えば、監視対象のネットワークＮＷ１における攻撃が検出されていない通常時に、監視対象のネットワークＮＷ１を流れるパケットを、監視のためにＩＤＳ５０に転送する。なお、本実施形態では、ＳＤＮスイッチ３０は、通常時に、監視対象のネットワークＮＷ１を流れる全てのパケットをＩＤＳ５０に転送するものとする。 The SDN switch (an example of a switch device) 30 is, for example, an open flow switch or the like, and is connected on the monitoring target network NW1 between the attacking computer device 10 and the monitoring target computer device 20. The SDN switch 30 is a switch that can control the passage of packets based on setting information set by an SDN controller device 40 described later. For example, the SDN switch 30 transfers a packet flowing through the monitoring target network NW1 to the IDS 50 for monitoring at a normal time when an attack in the monitoring target network NW1 is not detected. In the present embodiment, it is assumed that the SDN switch 30 transfers all packets flowing through the network NW1 to be monitored to the IDS 50 at normal times.

また、ＳＤＮスイッチ３０は、例えば、監視対象のネットワークＮＷ１における攻撃が検出された場合に、ＳＤＮコントローラ装置４０によって監視対象のネットワークＮＷ１を流れるパケットを制限させる設定がされる。これにより、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１を流れるパケットを制限することにより、攻撃側コンピュータ装置１０からの攻撃に対する防御を行う。なお、ＳＤＮスイッチ３０による監視対象のネットワークＮＷ１を流れるパケットを制限させる制御の詳細については後述する。 In addition, the SDN switch 30 is set to limit packets flowing through the monitored network NW1 by the SDN controller device 40 when, for example, an attack in the monitored network NW1 is detected. As a result, the SDN switch 30 protects against attacks from the attacking computer apparatus 10 by restricting packets flowing through the monitored network NW1. Details of the control for restricting packets flowing through the network NW1 to be monitored by the SDN switch 30 will be described later.

ＳＤＮコントローラ装置４０は、例えば、オープンフローコントローラであり、ＳＤＮスイッチ３０に設定情報を設定する処理を実行する。本実施形態では、ＳＤＮコントローラ装置４０は、通信制御装置１００からの指示（指令）に基づいて、ＳＤＮスイッチ３０を制御する設定情報をＳＤＮスイッチ３０に設定する。
ＳＤＮコントローラ装置４０は、スイッチ設定処理部４１を備えている。スイッチ設定処理部４１は、通信制御装置１００からの指示（指令）に基づいてＳＤＮスイッチ３０を制御する設定情報を生成し、生成した設定情報をＳＤＮスイッチ３０に送信する。 The SDN controller device 40 is, for example, an OpenFlow controller, and executes processing for setting setting information in the SDN switch 30. In the present embodiment, the SDN controller device 40 sets setting information for controlling the SDN switch 30 in the SDN switch 30 based on an instruction (command) from the communication control device 100.
The SDN controller device 40 includes a switch setting processing unit 41. The switch setting processing unit 41 generates setting information for controlling the SDN switch 30 based on an instruction (command) from the communication control apparatus 100, and transmits the generated setting information to the SDN switch 30.

ＩＤＳ５０（セキュリティ機器の一例）は、監視対象のネットワークＮＷ１を流れるパケットを、ＳＤＮスイッチ３０を介してプロミスキャスモードで監視する。ＩＤＳ５０は、監視した当該パケットに基づいて、監視対象のネットワークＮＷ１における攻撃（例えば、攻撃側コンピュータ装置１０から監視対象コンピュータ装置２０への攻撃）を検知する。
また、ＩＤＳ５０は、攻撃検知部５１と、記憶部６０とを備えている。 The IDS 50 (an example of a security device) monitors a packet flowing through the monitoring target network NW1 in the promiscuous mode via the SDN switch 30. The IDS 50 detects an attack in the monitored network NW1 (for example, an attack from the attacking computer apparatus 10 to the monitored computer apparatus 20) based on the monitored packet.
The IDS 50 includes an attack detection unit 51 and a storage unit 60.

記憶部６０は、ＩＤＳ５０が利用する各種情報を記憶する。記憶部６０は、例えば、攻撃側コンピュータ装置１０からの攻撃を検知するための情報、及びＳＤＮスイッチ３０から転送されてきた監視対象のパケットなどを記憶する。また、記憶部６０は、攻撃判定情報記憶部６１を備えている。
攻撃判定情報記憶部６１は、攻撃側コンピュータ装置１０からの攻撃を検知するための情報を記憶する。攻撃判定情報記憶部６１は、例えば、攻撃を検知するためのルール情報、攻撃パケットを検知するためにパターン情報などを記憶している。具体的に、攻撃判定情報記憶部６１は、攻撃側コンピュータ装置１０が予め判明している場合には、攻撃側コンピュータ装置１０のＩＰアドレスをパターン情報として記憶してもよいし、ＳＱＬ（エスキューエル）インジェクションなどのパケットを検知するパターン情報を記憶してもよい。また、攻撃判定情報記憶部６１は、統計的手法に基づいて攻撃を検知するためのルール情報を記憶してもよい。 The storage unit 60 stores various information used by the IDS 50. The storage unit 60 stores, for example, information for detecting an attack from the attacking computer device 10 and a monitoring target packet transferred from the SDN switch 30. The storage unit 60 includes an attack determination information storage unit 61.
The attack determination information storage unit 61 stores information for detecting an attack from the attacking computer device 10. The attack determination information storage unit 61 stores, for example, rule information for detecting an attack, pattern information for detecting an attack packet, and the like. Specifically, the attack determination information storage unit 61 may store the IP address of the attacking computer device 10 as pattern information when the attacking computer device 10 is known in advance, or may store SQL (Esqueel). ) Pattern information for detecting packets such as injection may be stored. Moreover, the attack determination information storage part 61 may memorize | store the rule information for detecting an attack based on a statistical method.

攻撃検知部５１は、ＳＤＮスイッチ３０から転送されてきた監視対象のパケットを取得し、取得した当該パケットと、攻撃判定情報記憶部６１が記憶する攻撃を検知するための情報とに基づいて、攻撃側コンピュータ装置１０からの攻撃を検知する。攻撃検知部５１は、攻撃側コンピュータ装置１０からの攻撃を検知した場合に、検知した攻撃を示す攻撃検知情報として、検知アラートを通信制御装置１００に送信する。なお、検知アラートには、検知した攻撃の種類を示す情報（例えば、ＤｏＳ（Denial of Service）攻撃、ＳＱＬインジェクションなど）、攻撃側コンピュータ装置１０を識別する情報（例えば、ＩＰアドレス）が含まれる。なお、検知アラートには、攻撃を検知したパケットである攻撃パケットを丸ごと含むログ情報が付加されていてもよい。 The attack detection unit 51 acquires the monitoring target packet transferred from the SDN switch 30, and based on the acquired packet and information for detecting the attack stored in the attack determination information storage unit 61, the attack detection unit 51 An attack from the side computer device 10 is detected. When the attack detection unit 51 detects an attack from the attacking computer device 10, the attack detection unit 51 transmits a detection alert to the communication control device 100 as attack detection information indicating the detected attack. The detection alert includes information indicating the type of detected attack (for example, DoS (Denial of Service) attack, SQL injection, etc.) and information (for example, IP address) for identifying the attacking computer device 10. Note that log information including the entire attack packet that is a packet in which an attack is detected may be added to the detection alert.

通信制御装置１００は、ＩＤＳ５０から送信された検知アラートを取得し、取得した検知アラートに基づいて、ＩＤＳ５０が検出した攻撃に対する防御方法を決定する。通信制御装置１００は、決定した防御方法に対応するネットワークの設定変更を依頼する設定変更依頼をＳＤＮコントローラ装置４０に送信する。
また、通信制御装置１００は、攻撃検知取得部１０１と、パケット制御部１０２とを備えている。 The communication control apparatus 100 acquires the detection alert transmitted from the IDS 50, and determines a defense method against the attack detected by the IDS 50 based on the acquired detection alert. The communication control apparatus 100 transmits to the SDN controller apparatus 40 a setting change request for requesting a change in the network setting corresponding to the determined defense method.
In addition, the communication control apparatus 100 includes an attack detection acquisition unit 101 and a packet control unit 102.

攻撃検知取得部１０１は、ＩＤＳ５０が検知した当該攻撃を示す攻撃検知情報である検知アラートを取得する。すなわち、攻撃検知取得部１０１は、ＩＤＳ５０が攻撃を検知した場合に送信する検知アラートを取得する。 The attack detection acquisition unit 101 acquires a detection alert that is attack detection information indicating the attack detected by the IDS 50. That is, the attack detection acquisition unit 101 acquires a detection alert to be transmitted when the IDS 50 detects an attack.

パケット制御部１０２は、攻撃検知取得部１０１が取得した検知アラートに基づいて、ＳＤＮスイッチ３０に、監視対象のネットワークＮＷ１を流れるパケットを制限させる制御を行う。すなわち、パケット制御部１０２は、取得した検知アラートに含まれる攻撃の種類を示す情報に基づいて攻撃に対する防御方法を決定し、決定した防御方法に対応するネットワークの設定変更を依頼する設定変更依頼を生成する。そして、パケット制御部１０２は、生成した設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。なお、ＳＤＮコントローラ装置４０は、この設定変更依頼に応じて、設定変更依頼に対応する設定情報をＳＤＮスイッチ３０に設定することで、監視対象のネットワークＮＷ１を流れるパケットを制限する。 Based on the detection alert acquired by the attack detection acquisition unit 101, the packet control unit 102 controls the SDN switch 30 to limit packets flowing through the monitored network NW1. That is, the packet control unit 102 determines a defense method against an attack based on information indicating the type of attack included in the acquired detection alert, and issues a setting change request for requesting a network setting change corresponding to the determined defense method. Generate. Then, the packet control unit 102 transmits the generated setting change request to the SDN controller device 40. In response to the setting change request, the SDN controller device 40 sets the setting information corresponding to the setting change request in the SDN switch 30, thereby limiting the packets flowing through the monitored network NW1.

パケット制御部１０２は、例えば、検知アラートが、監視対象のネットワークＮＷ１に接続された監視対象の機器である監視対象コンピュータ装置２０に対する攻撃をＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、攻撃側コンピュータ装置１０から送信されたパケット（不正パケット又は攻撃パケット）を破棄させる制御を行う。すなわち、パケット制御部１０２は、不正パケットによる攻撃を検知した場合に、攻撃側コンピュータ装置１０から送信されたパケットを破棄させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。ここでの不正パケットは、不正な通信による攻撃パケットのことである。なお、この場合、パケット制御部１０２は、監視対象のネットワークＮＷ１を流れるパケットのうち、攻撃側コンピュータ装置１０からの攻撃パケット以外のパケット（攻撃側コンピュータ装置１０以外の他の機器から送信された正常パケット）を通過させる設定を、ＳＤＮコントローラ装置４０を介して、ＳＤＮスイッチ３０に行う。 For example, when the detection alert is information indicating that an attack on the monitoring target computer device 20 that is a monitoring target device connected to the monitoring target network NW1 is detected by the IDS 50, the SDN switch 30, control is performed to discard the packet (illegal packet or attack packet) transmitted from the attacking computer apparatus 10. That is, the packet control unit 102 performs a setting for discarding the packet transmitted from the attacking computer device 10 to the SDN switch 30 via the SDN controller device 40 when an attack by an illegal packet is detected. The illegal packet here is an attack packet by illegal communication. In this case, the packet control unit 102 sends a packet other than the attack packet from the attacking computer device 10 out of the packets flowing through the monitored network NW1 (normally transmitted from a device other than the attacking computer device 10). The SDN switch 30 is set via the SDN controller device 40 to pass the packet).

また、パケット制御部１０２は、例えば、検知アラートが、監視対象のネットワークＮＷ１を流れるパケットの通信量が、所定の閾値以上であることを示す情報である場合に、ＳＤＮスイッチ３０に、所定の閾値を超えた分のパケットを破棄させる制御を行う。すなわち、監視対象のネットワークＮＷ１上のトラフィック（通信量）を増大させることによって監視対象コンピュータ装置２０を攻撃するＤｏＳ攻撃を検知した場合に、パケット制御部１０２は、ＳＤＮスイッチ３０を通過するパケットの通信量を低減させる設定を、ＳＤＮコントローラ装置４０を介して、ＳＤＮスイッチ３０に行う。
また、パケット制御部１０２は、例えば、検知アラートが、ＳＱＬインジェクションをＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、インジェクション部分を安全な内容（ダミーデータ）に置換して監視対象コンピュータ装置２０に転送させる制御を行う。 Further, for example, when the detection alert is information indicating that the communication amount of the packet flowing through the network NW1 to be monitored is equal to or greater than a predetermined threshold, the packet control unit 102 sends a predetermined threshold to the SDN switch 30. Control is performed to discard packets exceeding the limit. That is, when detecting a DoS attack that attacks the monitored computer device 20 by increasing traffic (communication amount) on the monitored network NW1, the packet control unit 102 performs communication of packets passing through the SDN switch 30. Setting to reduce the amount is performed on the SDN switch 30 via the SDN controller device 40.
For example, when the detection alert is information indicating that the SQL injection is detected by the IDS 50, the packet control unit 102 monitors the SDN switch 30 by replacing the injection part with safe contents (dummy data). Control to transfer to the target computer device 20 is performed.

このように、パケット制御部１０２は、ＩＤＳ５０から取得した検知アラートに対する防御方法を決定し、決定した防御方法に対応する監視対象のネットワークＮＷ１の設定変更依頼をＳＤＮコントローラ装置４０に送信する。 In this way, the packet control unit 102 determines a defense method for the detected alert acquired from the IDS 50, and transmits a setting change request for the monitored network NW1 corresponding to the determined defense method to the SDN controller device 40.

次に、本実施形態による攻撃防御システム１の動作について、図面を参照して説明する。
図２は、本実施形態による攻撃防御システム１の動作の一例を示す図である。
図２において、まず、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１のパケットをＩＤＳ５０に転送する（ステップＳ１０１）。ここで、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１を流れるパケットを、自装置を通過させるとともに、ＩＤＳ５０に対して転送する。 Next, the operation of the attack defense system 1 according to the present embodiment will be described with reference to the drawings.
FIG. 2 is a diagram illustrating an example of the operation of the attack defense system 1 according to the present embodiment.
In FIG. 2, first, the SDN switch 30 transfers the packet of the network NW1 to be monitored to the IDS 50 (step S101). Here, the SDN switch 30 passes the packet flowing through the monitored network NW1 through the own device and transfers the packet to the IDS 50.

次に、ＩＤＳ５０は、監視対象のネットワークＮＷ１のパケットを監視する（ステップＳ１０２）。すなわち、ＩＤＳ５０は、ＳＤＮスイッチ３０から転送された監視対象のネットワークＮＷ１を流れるパケットを取得し、攻撃の兆候がないか監視する。ＩＤＳ５０は、監視した当該パケットと、攻撃判定情報記憶部６１が記憶する情報とに基づいて、監視対象のネットワークＮＷ１における攻撃（例えば、攻撃側コンピュータ装置１０から監視対象コンピュータ装置２０への攻撃）を検知する。
なお、ステップＳ１０１及びステップＳ１０２の処理が、攻撃防御システム１における通常時の処理に対応し、通常時は、ステップＳ１０１及びステップＳ１０２の処理が、攻撃が検知されるまで繰り返される。 Next, the IDS 50 monitors the packet of the monitoring target network NW1 (step S102). That is, the IDS 50 acquires a packet that flows from the SDN switch 30 and flows through the monitoring target network NW1, and monitors for signs of an attack. The IDS 50 detects an attack (for example, an attack from the attacking computer apparatus 10 to the monitoring target computer apparatus 20) in the monitoring target network NW1 based on the monitored packet and the information stored in the attack determination information storage unit 61. Detect.
Note that the processing in step S101 and step S102 corresponds to the normal processing in the attack defense system 1, and in normal time, the processing in step S101 and step S102 is repeated until an attack is detected.

ＩＤＳ５０は、監視対象のネットワークＮＷ１における攻撃を検知した場合に、検知した当該攻撃の種類を特定する（ステップＳ１０３）。
次に、ＩＤＳ５０は、検知アラートを生成し（ステップＳ１０４）、生成した検知アラートを通信制御装置１００に送信する（ステップＳ１０５）。なお、検知アラートには、例えば、検知した攻撃の種類、攻撃パケットの内容等のログ情報などが含まれている。 When the IDS 50 detects an attack in the network NW1 to be monitored, the IDS 50 identifies the type of the detected attack (step S103).
Next, IDS50 produces | generates a detection alert (step S104), and transmits the produced | generated detection alert to the communication control apparatus 100 (step S105). The detection alert includes, for example, log information such as the type of detected attack and the content of the attack packet.

通信制御装置１００は、検知アラートに対する対応方法を決定する（ステップＳ１０６）。すなわち、通信制御装置１００は、ＩＤＳ５０が送信した検知アラートを受信し、受信した検知アラートに含まれる情報に基づいて、攻撃に対する防御方法（対応方法）を決定する。
なお、ステップＳ１０３からステップＳ１０６までの処理が、攻撃防御システム１における攻撃検知時（不正通信検知時）の処理に対応する。 The communication control apparatus 100 determines a response method for the detection alert (step S106). That is, the communication control apparatus 100 receives the detection alert transmitted by the IDS 50, and determines a defense method (corresponding method) against the attack based on information included in the received detection alert.
Note that the processing from step S103 to step S106 corresponds to processing when an attack is detected in the attack defense system 1 (when illegal communication is detected).

次に、通信制御装置１００は、監視対象のネットワークＮＷ１の設定変更依頼をＳＤＮコントローラ装置４０に送信する（ステップＳ１０７）。すなわち、通信制御装置１００は、決定した防御方法（対応方法）に対応した監視対象のネットワークＮＷ１の設定変更を依頼する設定変更依頼をＳＤＮコントローラ装置４０に送信する。 Next, the communication control apparatus 100 transmits a setting change request for the network NW1 to be monitored to the SDN controller apparatus 40 (step S107). That is, the communication control device 100 transmits a setting change request for requesting a setting change of the monitored network NW1 corresponding to the determined defense method (corresponding method) to the SDN controller device 40.

次に、ＳＤＮコントローラ装置４０は、ＳＤＮスイッチ３０の設定を変更する（ステップＳ１０８）。すなわち、ＳＤＮコントローラ装置４０は、通信制御装置１００から受信した設定変更依頼に対応したＳＤＮスイッチ３０の設定情報を生成し、生成した設定情報をＳＤＮスイッチ３０に送信する。
これにより、ＳＤＮスイッチ３０が、監視対象のネットワークＮＷ１を流れるパケットを制限して、ＩＤＳ５０が検知した攻撃に対する防御を行う。
なお、ステップＳ１０７及びステップＳ１０８の処理が、攻撃防御システム１における防御動作の処理に対応する。 Next, the SDN controller device 40 changes the setting of the SDN switch 30 (step S108). That is, the SDN controller device 40 generates setting information of the SDN switch 30 corresponding to the setting change request received from the communication control device 100, and transmits the generated setting information to the SDN switch 30.
As a result, the SDN switch 30 restricts packets flowing through the monitored network NW1 and protects against attacks detected by the IDS 50.
Note that the processing of step S107 and step S108 corresponds to the processing of the defense operation in the attack defense system 1.

次に、図３〜図６を参照して、通信制御装置１００の動作、及び防御動作の詳細について説明する。
図３は、本実施形態による通信制御装置１００の動作の一例を示すフローチャートである。
この図において、通信制御装置１００は、まず、検知アラートがあるか否かを判定する（ステップＳ２０１）。すなわち、通信制御装置１００の攻撃検知取得部１０１は、ＩＤＳ５０が検知アラートを送信したか否かを判定する。攻撃検知取得部１０１は、ＩＤＳ５０が検知アラートを送信した場合（ステップＳ２０１：ＹＥＳ）に、処理をステップＳ２０２に進め、攻撃検知取得部１０１は、検知アラートを取得する。また、攻撃検知取得部１０１は、ＩＤＳ５０が検知アラートを送信していない場合（ステップＳ２０１：ＮＯ）に、処理をステップＳ２０１に戻す。 Next, with reference to FIGS. 3-6, the operation | movement of the communication control apparatus 100 and the detail of defense operation | movement are demonstrated.
FIG. 3 is a flowchart showing an example of the operation of the communication control apparatus 100 according to the present embodiment.
In this figure, the communication control apparatus 100 first determines whether or not there is a detection alert (step S201). That is, the attack detection acquisition unit 101 of the communication control apparatus 100 determines whether or not the IDS 50 has transmitted a detection alert. When the IDS 50 transmits a detection alert (step S201: YES), the attack detection acquisition unit 101 advances the process to step S202, and the attack detection acquisition unit 101 acquires the detection alert. Moreover, the attack detection acquisition part 101 returns a process to step S201, when IDS50 has not transmitted the detection alert (step S201: NO).

次に、通信制御装置１００のパケット制御部１０２は、取得した検知アラートに基づいて、処理を分岐する（ステップＳ２０３）。
パケット制御部１０２は、例えば、検知アラートが、ＤＯＳ攻撃やＳＱＬインジェクションを示す情報でない、その他の不正パケットによる攻撃を示す情報である場合に、攻撃者からの攻撃パケットを遮断させる指示を送信する（ステップＳ２０４）。すなわち、パケット制御部１０２は、ＳＤＮスイッチ３０に攻撃側コンピュータ装置１０からの攻撃パケットを破棄させて、当該攻撃パケットを遮断させる設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。パケット制御部１０２は、例えば、検知アラートに含まれる攻撃側コンピュータ装置１０を識別する識別情報であるＩＰアドレスを送信元とするパケットを破棄する設定情報に変更する設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。この設定変更依頼に応じて、ＳＤＮコントローラ装置４０は、ＳＤＮスイッチ３０の設定情報を変更する。すなわち、ＳＤＮコントローラ装置４０は、当該設定変更依頼に対応する設定情報をＳＤＮスイッチ３０に設定する。ステップＳ２０４の処理の後に、パケット制御部１０２は、処理をステップＳ２０１に戻す。 Next, the packet control unit 102 of the communication control apparatus 100 branches the process based on the acquired detection alert (step S203).
For example, when the detection alert is not information indicating a DOS attack or SQL injection but information indicating an attack by other illegal packets, the packet control unit 102 transmits an instruction to block the attack packet from the attacker ( Step S204). That is, the packet control unit 102 causes the SDN switch 30 to discard the attack packet from the attacking computer apparatus 10 and transmits a setting change request for blocking the attack packet to the SDN controller apparatus 40. The packet control unit 102, for example, sends a setting change request for changing to setting information for discarding a packet having an IP address as a transmission source, which is identification information for identifying the attacking computer device 10 included in the detection alert, to the SDN controller device 40. Send to. In response to this setting change request, the SDN controller device 40 changes the setting information of the SDN switch 30. That is, the SDN controller device 40 sets the setting information corresponding to the setting change request in the SDN switch 30. After the process of step S204, the packet control unit 102 returns the process to step S201.

また、パケット制御部１０２は、例えば、検知アラートが、単位時間当たりの通信量が所定の閾値以上となるＤＯＳ攻撃を示す情報である場合に、単位時間当たりの通信量が所定の閾値を超えた分のパケットを破棄させる指示を送信する（ステップＳ２０５）。すなわち、パケット制御部１０２は、所定の閾値を超えた分のパケットを破棄させる設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。この設定変更依頼に応じて、ＳＤＮコントローラ装置４０は、ＳＤＮスイッチ３０の設定情報を変更する。ステップＳ２０５の処理の後に、パケット制御部１０２は、処理をステップＳ２０１に戻す。 Further, the packet control unit 102, for example, when the detection alert is information indicating a DOS attack in which the communication amount per unit time is equal to or greater than a predetermined threshold, the communication amount per unit time exceeds the predetermined threshold An instruction to discard the remaining packets is transmitted (step S205). That is, the packet control unit 102 transmits a setting change request for discarding a packet exceeding a predetermined threshold to the SDN controller device 40. In response to this setting change request, the SDN controller device 40 changes the setting information of the SDN switch 30. After the process of step S205, the packet control unit 102 returns the process to step S201.

また、パケット制御部１０２は、例えば、検知アラートが、ＳＱＬインジェクションによる攻撃を示す情報である場合に、ダミーデータに置換して転送させる指示を送信する（ステップＳ２０６）。すなわち、パケット制御部１０２は、ＳＱＬインジェクションのパケットのインジェクション部分を安全なデータ（ダミーデータ）に置換して転送させる設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。この設定変更依頼に応じて、ＳＤＮコントローラ装置４０は、ＳＤＮスイッチ３０の設定情報を変更する。ステップＳ２０６の処理の後に、パケット制御部１０２は、処理をステップＳ２０１に戻す。 Further, for example, when the detection alert is information indicating an attack by SQL injection, the packet control unit 102 transmits an instruction to transfer the data by replacing it with dummy data (step S206). That is, the packet control unit 102 transmits to the SDN controller device 40 a setting change request for replacing the injection portion of the SQL injection packet with safe data (dummy data) and transferring it. In response to this setting change request, the SDN controller device 40 changes the setting information of the SDN switch 30. After the process of step S206, the packet control unit 102 returns the process to step S201.

次に、図４を参照して、上述したステップＳ２０４における防御処理について説明する。
図４は、本実施形態による攻撃防御システム１の防御動作の一例を示す第１の図である。
この図に示す例では、ＩＤＳ５０が、上述したその他の不正パケットによる攻撃を検知した場合における、攻撃防御システム１の防御動作の一例を示している。この場合、通信制御装置１００は、攻撃側コンピュータ装置１０から送信されたパケット（攻撃パケット）を破棄させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。その結果、図４に示すように、攻撃側コンピュータ装置１０が送信した攻撃パケットＰ１は、ＳＤＮスイッチ３０によって破棄され、監視対象コンピュータ装置２０に到達しない。すなわち、攻撃側コンピュータ装置１０から監視対象コンピュータ装置２０への攻撃が防御される。 Next, the defense process in step S204 described above will be described with reference to FIG.
FIG. 4 is a first diagram illustrating an example of the defense operation of the attack defense system 1 according to the present embodiment.
In the example shown in this figure, an example of the defense operation of the attack defense system 1 when the IDS 50 detects an attack by the other illegal packet described above is shown. In this case, the communication control apparatus 100 performs setting for discarding the packet (attack packet) transmitted from the attacking computer apparatus 10 to the SDN switch 30 via the SDN controller apparatus 40. As a result, as shown in FIG. 4, the attack packet P <b> 1 transmitted by the attacking computer apparatus 10 is discarded by the SDN switch 30 and does not reach the monitoring target computer apparatus 20. That is, an attack from the attacking computer device 10 to the monitored computer device 20 is prevented.

一方、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１を流れるパケットのうち、攻撃側コンピュータ装置１０以外の他の機器が送信したパケット（正常パケットＰ２）を通過させる。すなわち、図４に示すように、攻撃側コンピュータ装置１０以外の他の機器が送信した正常パケットＰ２は、ＳＤＮスイッチ３０を介して監視対象コンピュータ装置２０に転送され、正常に処理される。 On the other hand, the SDN switch 30 passes a packet (normal packet P2) transmitted by a device other than the attacking computer device 10 among packets flowing through the monitored network NW1. That is, as shown in FIG. 4, the normal packet P2 transmitted by a device other than the attacking computer device 10 is transferred to the monitored computer device 20 via the SDN switch 30 and processed normally.

次に、図５を参照して、上述したステップＳ２０５における防御処理について説明する。
図５は、本実施形態による攻撃防御システム１の防御動作の一例を示す第２の図である。
この図に示す例では、ＩＤＳ５０が、上述したＤｏＳ攻撃を検知した場合における、攻撃防御システム１の防御動作の一例を示している。この場合、通信制御装置１００は、監視対象のネットワークＮＷ１を流れるパケット（攻撃パケットＰ３）のうち、単位時間当たりの通信量が所定の閾値を超えた分のパケットを破棄させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。 Next, the defense process in step S205 described above will be described with reference to FIG.
FIG. 5 is a second diagram illustrating an example of the defense operation of the attack defense system 1 according to the present embodiment.
In the example shown in this figure, an example of the defense operation of the attack defense system 1 when the IDS 50 detects the DoS attack described above is shown. In this case, the communication control apparatus 100 sets the setting for discarding packets for which the communication amount per unit time exceeds a predetermined threshold among the packets (attack packets P3) flowing through the monitored network NW1. 40 to the SDN switch 30.

その結果、図５に示すように、攻撃側コンピュータ装置１０が送信したＤｏＳ攻撃による攻撃パケットＰ３は、所定の閾値を超えた分がＳＤＮスイッチ３０によって破棄され、監視対象コンピュータ装置２０に到達しない。監視対象コンピュータ装置２０には、所定の閾値分のパケットＰ４が到達する。すなわち、攻撃側コンピュータ装置１０からのＤｏＳ攻撃が防御される。
なお、所定の閾値には、例えば、監視対象コンピュータ装置２０に対する単位時間当たりの通信量の上限値を設定する。 As a result, as shown in FIG. 5, the attack packet P3 due to the DoS attack transmitted by the attacking computer device 10 is discarded by the SDN switch 30 so as not to reach the monitored computer device 20. Packets P4 corresponding to a predetermined threshold reach the monitored computer device 20. That is, the DoS attack from the attacking computer device 10 is protected.
For example, an upper limit value of the communication amount per unit time for the monitoring target computer device 20 is set as the predetermined threshold value.

次に、図６を参照して、上述したステップＳ２０６における防御処理について説明する。
図６は、本実施形態による攻撃防御システム１の防御動作の一例を示す第３の図である。
この図に示す例では、ＩＤＳ５０が、上述したＳＱＬインジェクションによる攻撃を検知した場合における、攻撃防御システム１の防御動作の一例を示している。この場合、通信制御装置１００は、ＳＱＬインジェクションを含む攻撃パケットＰ５のインジェクション部分を安全な内容（ダミーデータ）に置換して監視対象コンピュータ装置２０に転送させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。 Next, the defense process in step S206 described above will be described with reference to FIG.
FIG. 6 is a third diagram illustrating an example of the defense operation of the attack defense system 1 according to the present embodiment.
In the example shown in this figure, an example of the defense operation of the attack defense system 1 when the IDS 50 detects an attack by the above-described SQL injection is shown. In this case, the communication control device 100 replaces the injection part of the attack packet P5 including the SQL injection with safe contents (dummy data) and transfers the setting to the monitoring target computer device 20 via the SDN controller device SDN. Execute for the switch 30.

その結果、図６に示すように、ＳＤＮスイッチ３０は、攻撃側コンピュータ装置１０が送信した攻撃パケットＰ５を、安全な内容（ダミーデータ）に置換されたダミーデータパケットＰ６として、監視対象コンピュータ装置２０に送信する。すなわち、攻撃側コンピュータ装置１０からのＳＱＬインジェクションによる攻撃が無効化される。 As a result, as shown in FIG. 6, the SDN switch 30 sets the attack packet P5 transmitted by the attacking computer device 10 as a dummy data packet P6 replaced with safe contents (dummy data), as the monitored computer device 20. Send to. That is, the attack by the SQL injection from the attacking computer device 10 is invalidated.

以上説明したように、本実施形態による通信制御装置１００は、攻撃検知取得部１０１と、パケット制御部１０２とを備えている。攻撃検知取得部１０１は、ＩＤＳ５０（セキュリティ機器の一例）が検知した攻撃を示す検知アラート（攻撃検知情報）を取得する。なお、ＩＤＳ５０は、監視対象のネットワークＮＷ１を流れるパケットを、ＳＤＮスイッチ３０（スイッチ装置の一例）を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、監視対象のネットワークＮＷ１における攻撃を検知する。そして、パケット制御部１０２は、攻撃検知取得部１０１が取得した検知アラートに基づいて、ＳＤＮスイッチ３０に、監視対象のネットワークＮＷ１を流れるパケットを制限させる制御を行う。
これにより、本実施形態による通信制御装置１００は、ＳＤＮスイッチ３０を介してプロミスキャスモードで監視するので、トラフィックの増加を低減することができる。また、本実施形態による通信制御装置１００は、ＳＤＮスイッチ３０によって、監視対象のネットワークＮＷ１を流れるパケットを制限させるので、例えば、攻撃パケットを遮断することができる。また、ＩＤＳ５０が、監視対象のネットワークＮＷ１を流れるパケットを、ＳＤＮスイッチ３０を介してプロミスキャスモードで監視するので、本実施形態による通信制御装置１００は、パケットの監視によるレイテンシー（パケットの遅延）を抑制することができる。よって、本実施形態による通信制御装置１００は、トラフィックを適切に処理しつつ、攻撃に対して防御処理を行うことができる。 As described above, the communication control apparatus 100 according to the present embodiment includes the attack detection acquisition unit 101 and the packet control unit 102. The attack detection acquisition unit 101 acquires a detection alert (attack detection information) indicating an attack detected by the IDS 50 (an example of a security device). The IDS 50 monitors a packet flowing through the monitored network NW1 in a promiscuous mode via the SDN switch 30 (an example of a switch device), and based on the monitored packet, performs an attack on the monitored network NW1. Detect. Based on the detection alert acquired by the attack detection acquisition unit 101, the packet control unit 102 controls the SDN switch 30 to limit packets flowing through the monitored network NW1.
Thereby, since the communication control apparatus 100 by this embodiment monitors in promiscuous mode via the SDN switch 30, it can reduce the increase in traffic. Further, the communication control apparatus 100 according to the present embodiment restricts packets flowing through the network NW1 to be monitored by the SDN switch 30, and thus can block attack packets, for example. Further, since the IDS 50 monitors the packet flowing through the network NW1 to be monitored in the promiscuous mode via the SDN switch 30, the communication control apparatus 100 according to the present embodiment displays the latency (packet delay) due to the packet monitoring. Can be suppressed. Therefore, the communication control apparatus 100 according to the present embodiment can perform defense processing against an attack while appropriately processing traffic.

また、本実施形態では、パケット制御部１０２は、検知アラートが、監視対象のネットワークＮＷ１に接続された監視対象の機器（例えば、監視対象コンピュータ装置２０）に対する攻撃をＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、攻撃元の機器（例えば、攻撃側コンピュータ装置１０）から送信されたパケットを破棄させる制御を行う。すなわち、パケット制御部１０２は、ＩＤＳ５０が監視対象の機器に対する攻撃を検知した場合に、攻撃元の機器から少なくとも監視対象の機器に宛てたパケットをＳＤＮスイッチ３０に破棄させる制御を行う。
これにより、本実施形態による通信制御装置１００は、攻撃パケットが監視対象の機器（例えば、監視対象コンピュータ装置２０）に到達する可能性を低減する防御処理を行うことができる。 In this embodiment, the packet control unit 102 also indicates that the detection alert has detected an attack on the monitored device (for example, the monitored computer device 20) connected to the monitored network NW1 by the IDS 50. In this case, the SDN switch 30 is controlled to discard the packet transmitted from the attack source device (for example, the attacking computer device 10). In other words, when the IDS 50 detects an attack on the monitoring target device, the packet control unit 102 performs control to cause the SDN switch 30 to discard a packet addressed to at least the monitoring target device from the attack source device.
Thereby, the communication control apparatus 100 according to the present embodiment can perform a defense process that reduces the possibility that an attack packet reaches a monitored device (for example, the monitored computer device 20).

また、本実施形態では、パケット制御部１０２は、検知アラートが、監視対象のネットワークＮＷ１を流れるパケットの通信量が、所定の閾値以上であることを示す情報である場合に、ＳＤＮスイッチ３０に、所定の閾値を超えた分のパケットを破棄させる制御を行う。
これにより、本実施形態による通信制御装置１００は、例えば、ＤｏＳ攻撃を受けた場合であっても、トラフィックを適切に処理しつつ、防御処理を行うことができる。 In the present embodiment, the packet control unit 102 indicates to the SDN switch 30 when the detection alert is information indicating that the communication amount of the packet flowing through the monitored network NW1 is equal to or greater than a predetermined threshold. Control is performed to discard packets that exceed a predetermined threshold.
Thereby, the communication control apparatus 100 by this embodiment can perform a defense process, processing a traffic appropriately, for example, even when it receives a DoS attack.

また、本実施形態では、パケット制御部１０２は、検知アラートが、ＳＱＬインジェクションをＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、インジェクション部分を安全な内容（ダミーデータ）に置換して監視対象の機器（例えば、監視対象コンピュータ装置２０）に転送させる制御を行う。
これにより、本実施形態による通信制御装置１００は、監視対象の機器がＳＱＬインジェクションによる攻撃を受けた場合であっても、トラフィックを適切に処理しつつ、ＱＬインジェクションによる攻撃を無効化する防御処理を行うことができる。 In this embodiment, the packet control unit 102 replaces the injection part with the safe content (dummy data) in the SDN switch 30 when the detection alert is information indicating that the SQL injection is detected by the IDS 50. Then, control is performed to transfer the data to the monitoring target device (for example, the monitoring target computer device 20).
As a result, the communication control apparatus 100 according to the present embodiment performs a defense process for invalidating the attack by the QL injection while appropriately processing the traffic even when the monitored device is attacked by the SQL injection. It can be carried out.

また、本実施形態による攻撃防御システム１は、ＳＤＮスイッチ３０と、ＩＤＳ５０と、通信制御装置１００とを備えている。そして、通信制御装置１００は、ＩＤＳ５０が検知した当該攻撃を示す検知アラートを取得する攻撃検知取得部１０１と、攻撃検知取得部１０１が取得した検知アラートに基づいて、ＳＤＮスイッチ３０に、監視対象のネットワークＮＷ１を流れるパケットを制限させる制御を行うパケット制御部１０２とを備えている。
これにより、本実施形態による攻撃防御システム１は、通信制御装置１００と同様に、トラフィックを適切に処理しつつ、攻撃に対して防御処理を行うことができる。 The attack defense system 1 according to this embodiment includes an SDN switch 30, an IDS 50, and a communication control device 100. Then, the communication control device 100 sends the detection detection alert indicating the attack detected by the IDS 50 to the SDN switch 30 based on the detection alert acquired by the attack detection acquisition unit 101 and the attack detection acquisition unit 101. And a packet control unit 102 that performs control to limit packets flowing through the network NW1.
Thereby, the attack defense system 1 by this embodiment can perform the defense process with respect to an attack, processing traffic appropriately like the communication control apparatus 100. FIG.

また、本実施形態による攻撃防御方法は、監視対象のネットワークＮＷ１を流れるパケットを制御するＳＤＮスイッチ３０を備える攻撃防御システム１の攻撃防御方法であって、攻撃検知ステップと、攻撃検知取得ステップと、パケット制御ステップとを含んでいる。攻撃検知ステップにおいて、ＩＤＳ５０が、監視対象のネットワークを流れるパケットを、ＳＤＮスイッチ３０を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、監視対象のネットワークにおける攻撃を検知する。攻撃検知取得ステップにおいて、通信制御装置１００が、ＩＤＳ５０が検知した当該攻撃を示す検知アラートを取得する。そして、パケット制御ステップにおいて、通信制御装置１００が、攻撃検知取得ステップにて取得した検知アラートに基づいて、ＳＤＮスイッチ３０に、監視対象のネットワークを流れるパケットを制限させる制御を行う。
これにより、本実施形態による攻撃防御方法は、通信制御装置１００と同様に、トラフィックを適切に処理しつつ、攻撃に対して防御処理を行うことができる。 Moreover, the attack defense method according to the present embodiment is an attack defense method of the attack defense system 1 including the SDN switch 30 that controls a packet flowing through the network NW1 to be monitored, and includes an attack detection step, an attack detection acquisition step, Packet control step. In the attack detection step, the IDS 50 monitors a packet flowing through the monitored network in the promiscuous mode via the SDN switch 30, and detects an attack in the monitored network based on the monitored packet. In the attack detection acquisition step, the communication control apparatus 100 acquires a detection alert indicating the attack detected by the IDS 50. Then, in the packet control step, the communication control apparatus 100 controls the SDN switch 30 to limit packets flowing through the monitored network based on the detection alert acquired in the attack detection acquisition step.
Thereby, the attack defense method by this embodiment can perform a defense process with respect to an attack, processing traffic appropriately like the communication control apparatus 100. FIG.

［第２の実施形態］
次に、第２の実施形態による攻撃防御システム１及び通信制御装置１００について図面を参照して説明する。
第１の実施形態では、ＩＤＳ５０がその他の不正パケットによる攻撃を検知した場合に、攻撃側コンピュータ装置１０から送信されたパケットを破棄して遮断する例を説明したが、本実施形態では、監視対象コンピュータ装置２０を隔離して、ハニーポット７０（図８参照）と通信させる。ここで、ハニーポット７０とは、監視対象コンピュータ装置２０の身代わりになる囮の機器である。
なお、本実施形態における攻撃防御システム１及び通信制御装置１００の構成は、ハニーポット７０を利用することを除いて、図１に示す第１の実施形態と同様であるので、ここではその説明を省略する。 [Second Embodiment]
Next, an attack defense system 1 and a communication control apparatus 100 according to a second embodiment will be described with reference to the drawings.
In the first embodiment, an example in which the packet transmitted from the attacking computer device 10 is discarded and blocked when the IDS 50 detects an attack caused by another illegal packet has been described. The computer device 20 is isolated and communicated with the honeypot 70 (see FIG. 8). Here, the honey pot 70 is a bag device serving as a substitute for the monitoring target computer device 20.
Note that the configurations of the attack defense system 1 and the communication control device 100 in this embodiment are the same as those in the first embodiment shown in FIG. 1 except that the honeypot 70 is used. Omitted.

本実施形態におけるパケット制御部１０２は、例えば、検知アラートが、監視対象のネットワークＮＷ１に接続された監視対象コンピュータ装置２０に対して、その他の不正パケットによる攻撃をＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、監視対象コンピュータ装置２０との通信を遮断させる制御を行う。すなわち、パケット制御部１０２は、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に、監視対象コンピュータ装置２０を隔離させる。そして、パケット制御部１０２は、監視対象コンピュータ装置２０に宛てたパケットを、ハニーポット７０に宛てたパケットに変更して転送させる制御を行う。すなわち、パケット制御部１０２は、例えば、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に、監視対象コンピュータ装置２０に宛てたパケットを、ハニーポット７０に宛てたパケットに変更して転送させる。 The packet control unit 102 in the present embodiment is information indicating that, for example, the detection alert has detected an attack by other illegal packets by the IDS 50 against the monitoring target computer device 20 connected to the monitoring target network NW1. In some cases, the SDN switch 30 is controlled to block communication with the computer system 20 to be monitored. That is, the packet control unit 102 causes the SDN switch 30 to isolate the monitoring target computer device 20 via the SDN controller device 40. Then, the packet control unit 102 performs control to change the packet addressed to the monitoring target computer device 20 to the packet addressed to the honeypot 70 and transfer the packet. That is, for example, the packet control unit 102 causes the SDN switch 30 via the SDN controller device 40 to change a packet addressed to the monitoring target computer device 20 to a packet addressed to the honeypot 70 and transfer the packet.

図７は、本実施形態による通信制御装置１００の動作の一例を示すフローチャートである。
この図において、通信制御装置１００は、まず、検知アラートがあるか否かを判定する（ステップＳ３０１）。なお、この図において、ステップＳ３０１からステップＳ３０３までの処理は、図３に示すステップＳ２０１からステップＳ２０３までの処理と同様であるので、その説明を省略する。 FIG. 7 is a flowchart showing an example of the operation of the communication control apparatus 100 according to the present embodiment.
In this figure, the communication control apparatus 100 first determines whether or not there is a detection alert (step S301). In this figure, the processing from step S301 to step S303 is the same as the processing from step S201 to step S203 shown in FIG.

パケット制御部１０２は、例えば、検知アラートが、ＤＯＳ攻撃やＳＱＬインジェクションを示す情報でない、その他の不正パケットによる攻撃を示す情報である場合に、攻撃者からの攻撃パケットをハニーポット７０に転送させる指示を送信する（ステップＳ３０４）。すなわち、パケット制御部１０２は、ＳＤＮスイッチ３０に監視対象コンピュータ装置２０を隔離させた上で、攻撃側コンピュータ装置１０からの攻撃パケットをハニーポット７０に転送させる設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。パケット制御部１０２は、例えば、検知アラートに含まれる攻撃側コンピュータ装置１０を識別する識別情報であるＩＰアドレスを送信元とするパケットを破棄する設定情報に変更する設定変更依頼を、ＳＤＮコントローラ装置４０に対して送信する。この設定変更依頼に応じて、ＳＤＮコントローラ装置４０は、ＳＤＮスイッチ３０の設定情報を変更する。すなわち、ＳＤＮコントローラ装置４０は、当該設定変更依頼に対応する設定情報をＳＤＮスイッチ３０に設定する。ステップＳ３０４の処理の後に、パケット制御部１０２は、処理をステップＳ３０１に戻す。 For example, when the detection alert is not information indicating a DOS attack or SQL injection but information indicating an attack by other illegal packets, the packet control unit 102 instructs to transfer the attack packet from the attacker to the honeypot 70. Is transmitted (step S304). That is, the packet control unit 102 causes the SDN controller device 40 to send a setting change request for causing the SDN switch 30 to isolate the monitored computer device 20 and transferring the attack packet from the attacking computer device 10 to the honeypot 70. Send to. The packet control unit 102, for example, sends a setting change request for changing to setting information for discarding a packet having an IP address as a transmission source, which is identification information for identifying the attacking computer device 10 included in the detection alert, to the SDN controller device 40. Send to. In response to this setting change request, the SDN controller device 40 changes the setting information of the SDN switch 30. That is, the SDN controller device 40 sets the setting information corresponding to the setting change request in the SDN switch 30. After the process of step S304, the packet control unit 102 returns the process to step S301.

また、ステップＳ３０５及びステップＳ３０６の処理は、図３に示すステップＳ２０５及びステップＳ２０６の処理と同様であるので、ここではその説明を省略する。 Further, the processing in step S305 and step S306 is the same as the processing in step S205 and step S206 shown in FIG.

次に、図８を参照して、上述したステップＳ３０４における防御処理について説明する。
図８は、本実施形態による攻撃防御システム１の防御動作の一例を示す図である。
この図に示す例では、ＩＤＳ５０が、上述したその他の不正パケットによる攻撃を検知した場合における、本実施形態における攻撃防御システム１の防御動作の一例を示している。この場合、通信制御装置１００は、監視対象コンピュータ装置２０を監視対象のネットワークＮＷ１から切り離して隔離させる設定と、攻撃側コンピュータ装置１０から送信されたパケット（攻撃パケット）をハニーポット７０に転送させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。また、通信制御装置１００は、ハニーポット７０から攻撃側コンピュータ装置１０に宛てたパケットを、監視対象コンピュータ装置２０から送信したパケットとして攻撃側コンピュータ装置１０に転送させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行する。 Next, the defense process in step S304 described above will be described with reference to FIG.
FIG. 8 is a diagram illustrating an example of the defense operation of the attack defense system 1 according to the present embodiment.
In the example shown in this figure, an example of the defense operation of the attack defense system 1 in the present embodiment when the IDS 50 detects an attack by the other illegal packet described above is shown. In this case, the communication control device 100 is configured to disconnect the monitored computer device 20 from the monitored network NW1 and isolate it, and to transfer the packet (attack packet) transmitted from the attacking computer device 10 to the honeypot 70. To the SDN switch 30 via the SDN controller device 40. Further, the communication control device 100 sets, via the SDN controller device 40, a setting for transferring a packet addressed to the attacking computer device 10 from the honeypot 70 to the attacking computer device 10 as a packet transmitted from the monitored computer device 20. To the SDN switch 30.

その結果、図８に示すように、攻撃側コンピュータ装置１０が送信した攻撃パケットＰ７は、ＳＤＮスイッチ３０によってハニーポット７０に宛てた攻撃パケットＰ８として転送され、監視対象コンピュータ装置２０に到達しない。また、ハニーポット７０が攻撃側コンピュータ装置１０に向けて送信した返信パケットＰ９は、ＳＤＮスイッチ３０によって監視対象コンピュータ装置２０から攻撃側コンピュータ装置１０に宛てた返信パケットＰ１０として転送され、攻撃側コンピュータ装置１０に到達する。
この場合、攻撃防御システム１は、攻撃側コンピュータ装置１０から監視対象コンピュータ装置２０への攻撃が防御されるだけでなく、攻撃側コンピュータ装置１０からの攻撃に関する情報を収集することができる。 As a result, as shown in FIG. 8, the attack packet P7 transmitted by the attacking computer apparatus 10 is transferred as the attack packet P8 addressed to the honeypot 70 by the SDN switch 30, and does not reach the monitoring target computer apparatus 20. The reply packet P9 transmitted from the honeypot 70 to the attacking computer apparatus 10 is transferred as a reply packet P10 addressed to the attacking computer apparatus 10 from the monitored computer apparatus 20 by the SDN switch 30, and the attacking computer apparatus. Reach 10
In this case, the attack defense system 1 can collect not only an attack from the attacking computer apparatus 10 to the monitored computer apparatus 20 but also information related to the attack from the attacking computer apparatus 10.

以上説明したように、本実施形態では、パケット制御部１０２は、検知アラートが、監視対象のネットワークＮＷ１に接続された監視対象コンピュータ装置２０に対する攻撃をＩＤＳ５０により検知したことを示す情報である場合に、ＳＤＮスイッチ３０に、監視対象コンピュータ装置２０との通信を遮断させる制御を行う。そして、パケット制御部１０２は、監視対象コンピュータ装置２０に宛てたパケットを、監視対象コンピュータ装置２０の身代わりとなる囮の機器であるハニーポット７０に宛てたパケットに変更して転送させる制御を行う。すなわち、パケット制御部１０２は、例えば、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に、監視対象コンピュータ装置２０に宛てたパケットを、ハニーポット７０に宛てたパケットに変更して転送させる。 As described above, in the present embodiment, the packet control unit 102 determines that the detection alert is information indicating that the IDS 50 detects an attack on the monitoring target computer device 20 connected to the monitoring target network NW1. Then, the SDN switch 30 is controlled to block communication with the monitoring target computer device 20. Then, the packet control unit 102 performs control to change the packet addressed to the monitoring target computer device 20 to the packet addressed to the honeypot 70 that is a substitute device for the monitoring target computer device 20 and transfer the packet. That is, for example, the packet control unit 102 causes the SDN switch 30 via the SDN controller device 40 to change a packet addressed to the monitoring target computer device 20 to a packet addressed to the honeypot 70 and transfer the packet.

これにより、本実施形態による通信制御装置１００及び攻撃防御システム１は、監視対象コンピュータ装置２０との通信を遮断させて、監視対象コンピュータ装置２０を隔離するので、監視対象コンピュータ装置２０から監視対象のネットワークＮＷ１に攻撃の被害が拡大することを防ぐことができる。すなわち、本実施形態による通信制御装置１００及び攻撃防御システム１は、例えば、監視対象コンピュータ装置２０が踏み台にされて他の機器を攻撃したり、不正なプログラムを監視対象コンピュータ装置２０から拡散したりすることを防ぐことができる。また、本実施形態による通信制御装置１００及び攻撃防御システム１は、ハニーポット７０により、攻撃側コンピュータ装置１０からの攻撃に関する情報を収集することができる。 Accordingly, the communication control device 100 and the attack prevention system 1 according to the present embodiment block the communication with the monitoring target computer device 20 and isolate the monitoring target computer device 20, so that the monitoring target computer device 20 can monitor the monitoring target computer device 20. It is possible to prevent the damage of the attack from spreading to the network NW1. That is, the communication control device 100 and the attack defense system 1 according to the present embodiment, for example, attack the other device by using the monitoring target computer device 20 as a stepping stone, or spread an unauthorized program from the monitoring target computer device 20. Can be prevented. Further, the communication control device 100 and the attack defense system 1 according to the present embodiment can collect information related to the attack from the attacking computer device 10 by the honeypot 70.

［第３の実施形態］
次に、第３の実施形態による攻撃防御システム１ａ及び通信制御装置１００ａについて図面を参照して説明する。
上述した第１及び第２の実施形態では、ＩＤＳ５０が監視対象のネットワークＮＷ１を流れる全部のパケットを監視する場合について説明したが、本実施形態では、ＩＤＳ５０が監視対象のネットワークＮＷ１を流れるパケットのうちの一部を監視する場合について説明する。すなわち、本実施形態では、通信制御装置１００ａは、ＩＤＳ５０が監視する監視対象コンピュータ装置２０を所定の期間ごとに（定期的に）、変更する場合について説明する。 [Third Embodiment]
Next, an attack defense system 1a and a communication control device 100a according to a third embodiment will be described with reference to the drawings.
In the first and second embodiments described above, a case has been described in which the IDS 50 monitors all packets flowing through the monitoring target network NW1, but in this embodiment, the IDS 50 includes packets that flow through the monitoring target network NW1. A case of monitoring a part of will be described. That is, in this embodiment, the communication control apparatus 100a demonstrates the case where the monitoring object computer apparatus 20 which IDS50 monitors changes for every predetermined period (periodically).

図９は、本実施形態による攻撃防御システム１ａの一例を示すブロック図である。
この図に示すように、攻撃防御システム１ａは、ＳＤＮスイッチ３０と、ＳＤＮコントローラ装置４０と、ＩＤＳ５０と、通信制御装置１００ａとを備えている。また、通信制御装置１００ａは、攻撃検知取得部１０１と、パケット制御部１０２と、監視対象変更部１０３とを備えている。
なお、この図において、図１に示す構成と同一の構成については同一の符号を付し、その説明を省略する。
また、図９に示す例では、監視対象のネットワークＮＷ１には、監視対象コンピュータ装置２０−１〜２０−Ｎが接続されている。ここで、監視対象コンピュータ装置２０−１〜２０−Ｎは、監視対象のネットワークＮＷ１に接続されている任意の監視対象コンピュータ装置を示す場合、又は特に区別しない場合には、監視対象コンピュータ装置２０として説明する。 FIG. 9 is a block diagram showing an example of the attack defense system 1a according to the present embodiment.
As shown in this figure, the attack defense system 1a includes an SDN switch 30, an SDN controller device 40, an IDS 50, and a communication control device 100a. The communication control apparatus 100 a includes an attack detection acquisition unit 101, a packet control unit 102, and a monitoring target change unit 103.
In this figure, the same components as those shown in FIG. 1 are denoted by the same reference numerals, and the description thereof is omitted.
In the example shown in FIG. 9, monitoring target computer apparatuses 20-1 to 20-N are connected to the monitoring target network NW1. Here, the monitoring target computer devices 20-1 to 20 -N indicate arbitrary monitoring target computer devices connected to the monitoring target network NW 1, or when not particularly distinguished, as the monitoring target computer device 20. explain.

本実施形態では、通信制御装置１００ａが、監視対象変更部１０３を備えている点が、上述した第１の実施形態と異なる。
監視対象変更部１０３（対象変更部の一例）は、監視対象のネットワークＮＷ１を流れるパケットのうち、監視対象であるパケットをＩＤＳ５０に監視させるとともに、監視対象であるパケットの宛先を示す監視対象コンピュータ装置２０を、所定の期間ごとに変更させる。監視対象変更部１０３は、ＳＤＮスイッチ３０からＩＤＳ５０に、例えば、監視対象コンピュータ装置２０−１から監視対象コンピュータ装置２０−Ｎの順に、監視対象であるパケットを変更して転送するように、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に設定させる。具体的に、監視対象変更部１０３は、監視対象コンピュータ装置２０−１の宛先のパケットから監視対象コンピュータ装置２０−Ｎの宛先のパケットを所定の期間ごとに変更して、ＳＤＮスイッチ３０からＩＤＳ５０に転送するように、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に設定させる。 This embodiment is different from the first embodiment described above in that the communication control device 100a includes a monitoring target changing unit 103.
The monitoring target changing unit 103 (an example of the target changing unit) causes the IDS 50 to monitor a packet to be monitored among the packets flowing through the network NW1 to be monitored, and a monitoring target computer device that indicates a destination of the packet to be monitored 20 is changed every predetermined period. The monitoring target changing unit 103 changes the packet that is the monitoring target from the SDN switch 30 to the IDS 50, for example, in the order of the monitoring target computer device 20-1 to the monitoring target computer device 20-N. The SDN switch 30 is set via the device 40. Specifically, the monitoring target changing unit 103 changes the destination packet of the monitoring target computer device 20-N from the destination packet of the monitoring target computer device 20-1 every predetermined period, and changes the packet from the SDN switch 30 to the IDS 50. The SDN switch 30 is set via the SDN controller device 40 so as to transfer.

図１０は、本実施形態による通信制御装置１００ａの動作の一例を示すフローチャートである。
この図において、通信制御装置１００ａは、まず、監視対象コンピュータ装置２０を設定する（ステップＳ４０１）。通信制御装置１００ａの監視対象変更部１０３は、監視対象のネットワークＮＷ１を流れるパケットのうち、例えば、監視対象コンピュータ装置２０−１に宛てたパケットをＩＤＳ５０に転送するように、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に設定させる。これにより、監視対象コンピュータ装置２０−１に宛てたパケットが、ＳＤＮスイッチ３０によってＩＤＳ５０に転送され、ＤＳ５０が、監視対象コンピュータ装置２０−１に宛てたパケットを監視する。 FIG. 10 is a flowchart illustrating an example of the operation of the communication control apparatus 100a according to the present embodiment.
In this figure, the communication control device 100a first sets the monitoring target computer device 20 (step S401). The monitoring target changing unit 103 of the communication control device 100a passes through the SDN controller device 40 so as to transfer, for example, a packet addressed to the monitoring target computer device 20-1 among the packets flowing through the monitoring target network NW1 to the IDS 50. The SDN switch 30 is set. Thereby, the packet addressed to the monitoring target computer apparatus 20-1 is transferred to the IDS 50 by the SDN switch 30, and the DS 50 monitors the packet addressed to the monitoring target computer apparatus 20-1.

次に、監視対象変更部１０３は、所定の期間経過したか否かを判定する（ステップＳ４０２）。監視対象変更部１０３は、監視対象コンピュータ装置２０を設定（又は変更）してから所定の期間経過した場合（ステップＳ４０２：ＹＥＳ）に、処理をステップＳ４０３に進める。監視対象変更部１０３は、監視対象コンピュータ装置２０を設定（又は変更）してから所定の期間経過していない場合（ステップＳ４０２：ＮＯ）に、処理をステップＳ４０４に進める。 Next, the monitoring target changing unit 103 determines whether or not a predetermined period has elapsed (step S402). The monitoring target changing unit 103 advances the process to step S403 when a predetermined period has elapsed after setting (or changing) the monitoring target computer device 20 (step S402: YES). The monitoring target changing unit 103 advances the process to step S404 when a predetermined period has not elapsed since the monitoring target computer device 20 was set (or changed) (step S402: NO).

ステップＳ４０３において、監視対象変更部１０３は、監視対象コンピュータ装置２０を変更する。すなわち、監視対象変更部１０３は、次の監視対象コンピュータ装置２０（例えば、監視対象コンピュータ装置２０−２など）に宛てたパケットをＩＤＳ５０に転送するように、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に設定させる。ステップＳ４０３の処理の後、監視対象変更部１０３は、処理をステップＳ４０２に戻す。 In step S403, the monitoring target changing unit 103 changes the monitoring target computer device 20. In other words, the monitoring target changing unit 103 transfers the packet addressed to the next monitoring target computer device 20 (for example, the monitoring target computer device 20-2) to the IDS 50 via the SDN controller device 40 so as to transfer the packet. To set. After the process of step S403, the monitoring target changing unit 103 returns the process to step S402.

また、ステップＳ４０４からステップＳ４０９の処理は、上述した図３に示すステップＳ２０１からステップＳ２０６の処理と同様であるので、ここでは説明を省略する。なお、ステップＳ４０４において、攻撃検知取得部１０１は、ＩＤＳ５０が検知アラートを送信していない場合（ステップＳ４０４：ＮＯ）に、処理をステップＳ４０２に戻す。 Also, the processing from step S404 to step S409 is the same as the processing from step S201 to step S206 shown in FIG. In step S404, the attack detection acquisition unit 101 returns the process to step S402 when the IDS 50 has not transmitted a detection alert (step S404: NO).

以上説明したように、本実施形態による通信制御装置１００ａは、監視対象変更部１０３を備えている。監視対象変更部１０３は、監視対象のネットワークＮＷ１を流れるパケットのうち、監視対象であるパケットをＩＤＳ５０に監視させるとともに、監視対象であるパケットの宛先を示す監視対象の機器（例えば、監視対象コンピュータ装置２０）を、所定の期間ごとに変更させる。
これにより、ＩＤＳ５０が監視するパケット量を低減することができるので、本実施形態による通信制御装置１００ａ及び攻撃防御システム１ａは、ＩＤＳ５０の処理量を低減することができる。よって、本実施形態による通信制御装置１００ａ及び攻撃防御システム１ａは、トラフィックをさらに適切に処理しつつ、攻撃に対して防御処理を行うことができる。 As described above, the communication control apparatus 100a according to the present embodiment includes the monitoring target changing unit 103. The monitoring target changing unit 103 causes the IDS 50 to monitor a packet to be monitored out of packets flowing through the network NW1 to be monitored, and a monitoring target device (for example, a monitoring target computer device) indicating a destination of the packet to be monitored 20) is changed every predetermined period.
Thereby, since the amount of packets monitored by the IDS 50 can be reduced, the communication control device 100a and the attack defense system 1a according to the present embodiment can reduce the processing amount of the IDS 50. Therefore, the communication control apparatus 100a and the attack defense system 1a according to the present embodiment can perform a defense process against an attack while further appropriately processing the traffic.

なお、本発明は、上記の各実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で変更可能である。
例えば、上記の各実施形態において、攻撃防御システム１（１ａ）は、通信制御装置１００（１００ａ）を独立した装置として備える一例を説明したが、これに限定されるものではない。例えば、図１１に示す第１の変形例のように、ＳＤＮコントローラ装置４０ａが通信制御装置１００（１００ａ）を備えるように構成してもよいし、図１２に示す第１の変形例のように、ＩＤＳ５０ａが通信制御装置１００（１００ａ）を備えるように構成してもよい。 The present invention is not limited to the above embodiments, and can be modified without departing from the spirit of the present invention.
For example, in each of the above-described embodiments, the attack defense system 1 (1a) has been described as an example including the communication control device 100 (100a) as an independent device, but is not limited thereto. For example, the SDN controller device 40a may be configured to include the communication control device 100 (100a) as in the first modification example shown in FIG. 11, or as in the first modification example shown in FIG. The IDS 50a may be configured to include the communication control device 100 (100a).

図１１は、第１の変形例の攻撃防御システム１ｂを示すブロック図である。この図において、攻撃防御システム１ｂは、ＳＤＮスイッチ３０と、ＳＤＮコントローラ装置４０ａと、ＩＤＳ５０とを備えている。また、ＳＤＮコントローラ装置４０ａは、スイッチ設定処理部４１と、通信制御装置１００（１００ａ）とを備えている。このような図１１に示す攻撃防御システム１ｂにおいても、第１及び第２の実施形態と同様の効果を奏する。
また、図１２は、第２の変形例の攻撃防御システム１ｃを示すブロック図である。この図において、攻撃防御システム１ｃは、ＳＤＮスイッチ３０と、ＳＤＮコントローラ装置４０と、ＩＤＳ５０ａとを備えている。また、ＩＤＳ５０ａは、攻撃検知部５１と、記憶部６０と、通信制御装置１００（１００ａ）とを備えている。このような図１２に示す攻撃防御システム１ｃにおいても、第１及び第２の実施形態と同様の効果を奏する。 FIG. 11 is a block diagram showing an attack defense system 1b of a first modification. In this figure, the attack defense system 1b includes an SDN switch 30, an SDN controller device 40a, and an IDS 50. Further, the SDN controller device 40a includes a switch setting processing unit 41 and a communication control device 100 (100a). Also in such an attack defense system 1b shown in FIG. 11, the same effects as those of the first and second embodiments are obtained.
FIG. 12 is a block diagram showing an attack defense system 1c according to a second modification. In this figure, the attack defense system 1c includes an SDN switch 30, an SDN controller device 40, and an IDS 50a. Moreover, IDS50a is provided with the attack detection part 51, the memory | storage part 60, and the communication control apparatus 100 (100a). Such an attack defense system 1c shown in FIG. 12 also has the same effects as those of the first and second embodiments.

また、上記の各実施形態において、ＳＤＮスイッチ３０が、ＳＤＮコントローラ装置４０を備える構成としてもよい。
また、上記の各実施形態において、セキュリティ機器の一例として、ＩＤＳ５０を備える場合について説明したが、これに限定されるものではなく、ＩＤＳ５０の代わりに、例えば、ＩＰＳ、ファイヤーウォール（Firewall）、ＷＡＦ（Web Application Firewall）などのセキュリティ機器に適用してもよい。
また、監視対象のネットワークＮＷ１は、物理ネットワークに限定されるものではなく、仮想ネットワークにおいて適用してもよい。 In each of the above embodiments, the SDN switch 30 may include the SDN controller device 40.
In each of the above embodiments, the case where the IDS 50 is provided as an example of the security device has been described. However, the present invention is not limited to this, and instead of the IDS 50, for example, IPS, Firewall, WAF ( It may be applied to security devices such as Web Application Firewall).
Further, the monitoring target network NW1 is not limited to a physical network, and may be applied to a virtual network.

また、上記の各実施形態において、各実施形態を単独で実施する場合について説明したが、各実施形態を組み合わせて実施する構成としてもよい。また、第１の実施形態と第２の実施形態を組み合わせる場合に、ＩＤＳ５０が検知した攻撃の危険度に応じて、第１の実施形態と、第２の実施形態とを切り替えて実施する構成としてもよい。
また、上記の各実施形態において、ＤｏＳ攻撃に対する防御処理と、ＳＱＬインジェクションによる攻撃に対する防御処理と、その他の不正パケットによる攻撃に対する防御処理とを組み合わせて実施する例を説明したが、それぞれの防御処理を単独で実施する構成としてもよい。この場合、その他の不正パケットによる攻撃は、ＩＤＳ５０が検知した全ての攻撃に対して同様の防御処理を実施する構成としてもよい。すなわち、例えば、通信制御装置１００は、ＤｏＳ攻撃、及びＳＱＬインジェクションによる攻撃を含めた全ての攻撃に対して攻撃パケットを遮断させるようにしてもよい。また、例えば、通信制御装置１００は、ＤｏＳ攻撃、及びＳＱＬインジェクションによる攻撃を含めた全ての攻撃に対して攻撃パケットをハニーポット７０に転送させるようにしてもよい。 Further, in each of the above-described embodiments, the case where each embodiment is implemented alone has been described. However, a configuration in which the embodiments are implemented in combination may be employed. Moreover, when combining 1st Embodiment and 2nd Embodiment, according to the risk of the attack which IDS50 detected, as 1st Embodiment and the structure which switches and implements 2nd Embodiment Also good.
Further, in each of the above embodiments, an example has been described in which a defense process against a DoS attack, a defense process against an attack by SQL injection, and a defense process against an attack by other illegal packets are implemented in combination. It is good also as a structure which implements independently. In this case, the attack by other illegal packets may be configured such that the same defense process is performed for all attacks detected by the IDS 50. That is, for example, the communication control apparatus 100 may block an attack packet against all attacks including a DoS attack and an attack by SQL injection. Further, for example, the communication control apparatus 100 may cause an attack packet to be transferred to the honeypot 70 for all attacks including a DoS attack and an attack by SQL injection.

また、通信制御装置１００（１００ａ）は、ＤＯＳ攻撃を検出した場合に、単位時間当たりの通信量が所定の閾値を超えた分のパケットを破棄させる例を説明したが、例えば、全パケットを破棄させるようにしてもよい。
また、通信制御装置１００（１００ａ）は、ＳＱＬインジェクションによる攻撃を検出した場合に、ダミーデータに置き換える例を説明したが、例えば、全パケットを破棄させるようにしてもよい。 Moreover, although the communication control apparatus 100 (100a) demonstrated the example which discards the packet for which the communication amount per unit time exceeded the predetermined threshold when a DOS attack was detected, for example, discards all packets. You may make it make it.
Moreover, although the communication control apparatus 100 (100a) demonstrated the example replaced with dummy data when the attack by SQL injection was detected, you may make it discard all the packets, for example.

また、上記の第２の実施形態において、攻撃を検知した場合に、通信制御装置１００が、監視対象コンピュータ装置２０を隔離させるとともに、監視対象コンピュータ装置２０に宛てたパケットを、ハニーポット７０に宛てたパケットに変更して転送させる例を説明したが、これに限定されるものではない。例えば、通信制御装置１００は、監視対象コンピュータ装置２０を隔離させる防御処理と、ハニーポット７０に宛てたパケットに変更して転送させる防御処理とのいずれか一方を行うようにしてもよい。 In the second embodiment, when an attack is detected, the communication control device 100 isolates the monitored computer device 20 and sends a packet addressed to the monitored computer device 20 to the honeypot 70. Although an example in which the packet is changed and transferred is described, the present invention is not limited to this. For example, the communication control apparatus 100 may perform either one of a defense process for isolating the monitoring target computer apparatus 20 and a defense process for changing to a packet addressed to the honeypot 70 and transferring the packet.

また、上記の第３の実施形態において、監視対象のネットワークＮＷ１を流れるパケットの一部のパケットをＩＤＳ５０ａが監視する例を説明したが、これに限定されるものではない。通信制御装置１００ａは、さらに、送信元ＩＰアドレスによる重み付けをして危険と判定されるＩＰアドレスからのパケットを重点的に監視させるようにしてもよいし、攻撃の兆候があった送信元からのパケットを重点的に監視させるようにしてもよい。また、通信制御装置１００ａは、通信量による重み付けをして、通信量の多い監視対象コンピュータ装置２０に宛てたパケットを重点的に監視させるようにしてもよい。また、通信制御装置１００ａは、攻撃パケットの内容に応じて重み付けをして、重み付けの重い攻撃パケットの兆候があった場合に、重み付けの重い攻撃パケットの内容に対して重点的に監視させるようにしてもよい。 In the third embodiment, the example in which the IDS 50a monitors a part of the packets flowing through the network NW1 to be monitored has been described. However, the present invention is not limited to this. The communication control apparatus 100a may further monitor the packets from the IP address determined to be dangerous by weighting with the transmission source IP address, or from the transmission source having the sign of the attack. You may make it monitor a packet intensively. Further, the communication control device 100a may weight the communication amount so that the packets addressed to the monitoring target computer device 20 having a large communication amount are focused. In addition, the communication control apparatus 100a performs weighting according to the content of the attack packet, and when there is an indication of a heavily weighted attack packet, the communication control device 100a causes the content of the heavily weighted attack packet to be monitored intensively. May be.

なお、上述した攻撃防御システム１（１ａ、１ｂ、１ｃ）が備える各構成は、内部に、コンピュータシステムを有している。そして、上述した攻撃防御システム１（１ａ、１ｂ、１ｃ）が備える各構成の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上述した攻撃防御システム１（１ａ、１ｂ、１ｃ）が備える各構成における処理を行ってもよい。ここで、「記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行する」とは、コンピュータシステムにプログラムをインストールすることを含む。ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータシステム」は、インターネットやＷＡＮ、ＬＡＮ、専用回線等の通信回線を含むネットワークを介して接続された複数のコンピュータ装置を含んでもよい。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。このように、プログラムを記憶した記録媒体は、ＣＤ−ＲＯＭ等の非一過性の記録媒体であってもよい。 In addition, each structure with which the attack defense system 1 (1a, 1b, 1c) mentioned above has a computer system inside. And the program for implement | achieving the function of each structure with which the above-mentioned attack defense system 1 (1a, 1b, 1c) is equipped is recorded on a computer-readable recording medium, The computer program is recorded on this recording medium. The above-described attack defense system 1 (1a, 1b, 1c) may perform processing in each configuration by being read and executed. Here, “loading and executing a program recorded on a recording medium into a computer system” includes installing the program in the computer system. The “computer system” here includes an OS and hardware such as peripheral devices.
Further, the “computer system” may include a plurality of computer devices connected via a network including a communication line such as the Internet, WAN, LAN, and dedicated line. The “computer-readable recording medium” refers to a storage device such as a flexible medium, a magneto-optical disk, a portable medium such as a ROM and a CD-ROM, and a hard disk incorporated in a computer system. As described above, the recording medium storing the program may be a non-transitory recording medium such as a CD-ROM.

また、記録媒体には、当該プログラムを配信するために配信サーバからアクセス可能な内部又は外部に設けられた記録媒体も含まれる。なお、プログラムを複数に分割し、それぞれ異なるタイミングでダウンロードした後に攻撃防御システム１（１ａ、１ｂ、１ｃ）が備える各構成で合体される構成や、分割されたプログラムのそれぞれを配信する配信サーバが異なっていてもよい。さらに「コンピュータ読み取り可能な記録媒体」とは、ネットワークを介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、上述した機能の一部を実現するためのものであってもよい。さらに、上述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。 The recording medium also includes a recording medium provided inside or outside that is accessible from the distribution server in order to distribute the program. In addition, a distribution server that distributes each of the divided programs and a configuration that is combined with each configuration provided in the attack defense system 1 (1a, 1b, 1c) after the program is divided into a plurality of times and downloaded at different timings. May be different. Furthermore, a “computer-readable recording medium” holds a program for a certain period of time, such as a volatile memory (RAM) inside a computer system that becomes a server or client when the program is transmitted via a network. Including things. The program may be for realizing a part of the functions described above. Furthermore, what can implement | achieve the function mentioned above in combination with the program already recorded on the computer system, and what is called a difference file (difference program) may be sufficient.

また、上述した機能の一部又は全部を、ＬＳＩ（Large Scale Integration）等の集積回路として実現してもよい。上述した各機能は個別にプロセッサ化してもよいし、一部、又は全部を集積してプロセッサ化してもよい。また、集積回路化の手法はＬＳＩに限らず専用回路、又は汎用プロセッサで実現してもよい。また、半導体技術の進歩によりＬＳＩに代替する集積回路化の技術が出現した場合、当該技術による集積回路を用いてもよい。 Moreover, you may implement | achieve part or all of the function mentioned above as integrated circuits, such as LSI (Large Scale Integration). Each function described above may be individually made into a processor, or a part or all of them may be integrated into a processor. Further, the method of circuit integration is not limited to LSI, and may be realized by a dedicated circuit or a general-purpose processor. In addition, when an integrated circuit technology that replaces LSI appears due to the advancement of semiconductor technology, an integrated circuit based on the technology may be used.

１、１ａ、１ｂ、１ｃ攻撃防御システム
１０攻撃側コンピュータ装置
２０、２０−１、２０−Ｎ監視対象コンピュータ装置
３０ＳＤＮスイッチ
４０、４０ａＳＤＮコントローラ装置
４１スイッチ設定処理部
５０、５０ａＩＤＳ
５１攻撃検知部
６０記憶部
６１攻撃判定情報記憶部
７０ハニーポット
１００、１００ａ、通信制御装置
１０１攻撃検知取得部
１０２パケット制御部
１０３監視対象変更部 1, 1a, 1b, 1c Attack defense system 10 Attack computer device 20, 20-1, 20-N Monitored computer device 30 SDN switch 40, 40a SDN controller device 41 Switch setting processing unit 50, 50a IDS
DESCRIPTION OF SYMBOLS 51 Attack detection part 60 Storage part 61 Attack judgment information storage part 70 Honeypot 100, 100a, Communication control apparatus 101 Attack detection acquisition part 102 Packet control part 103 Monitoring object change part

Claims

監視対象のネットワークを流れるパケットを、スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知するセキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得部と、
前記攻撃検知取得部が取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御部と
を備え、
前記パケット制御部は、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行う
ことを特徴とする通信制御装置。 Attack detection indicating an attack detected by a security device that detects a packet flowing in the monitored network in promiscuous mode via the switch device and detects an attack in the monitored network based on the monitored packet An attack detection acquisition unit that acquires information;
A packet control unit that controls the switch device to limit packets flowing through the monitored network based on the attack detection information acquired by the attack detection acquisition unit ;
When the attack detection information is information indicating that SQL injection has been detected by the security device, the packet control unit secures an injection part of a packet including the SQL injection transmitted from the attack source device. Control the switch device to replace the content and transfer it to the monitored device
A communication control device comprising a call.

前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部  Target change that causes the security device to monitor a packet to be monitored among packets flowing through the network to be monitored, and to change a device to be monitored indicating a destination of the packet to be monitored every predetermined period Part
を備え、  With
前記対象変更部は、送信元に重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて危険と判定される前記送信元からのパケットを重点的に、前記セキュリティ機器に監視させる  The target changing unit weights a transmission source, and monitors packets from the transmission source that are determined to be dangerous based on the weighting among packets flowing through the monitoring target network by the security device. Make
ことを特徴とする請求項１に記載の通信制御装置。  The communication control apparatus according to claim 1.

前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部  Target change that causes the security device to monitor a packet to be monitored among packets flowing through the network to be monitored, and to change a device to be monitored indicating a destination of the packet to be monitored every predetermined period Part
を備え、  With
前記対象変更部は、送信元に重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて攻撃の兆候があると判定される前記送信元からのパケットを重点的に、前記セキュリティ機器に監視させる  The target changing unit weights a transmission source, and among packets flowing through the monitoring target network, focuses on a packet from the transmission source that is determined to have an indication of an attack based on the weighting, Let security devices monitor
ことを特徴とする請求項１に記載の通信制御装置。  The communication control apparatus according to claim 1.

前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部  Target change that causes the security device to monitor a packet to be monitored among packets flowing through the network to be monitored, and to change a device to be monitored indicating a destination of the packet to be monitored every predetermined period Part
を備え、  With
前記対象変更部は、前記監視対象の機器に対する通信量により重み付けを行い、前記監視対象のネットワークを流れるパケットのうち、当該重み付けに基づいて前記通信量が多い前記監視対象の機器に宛てたパケットを重点的に、前記セキュリティ機器に監視させる  The target changing unit performs weighting according to a communication amount with respect to the monitoring target device, and out of packets flowing through the monitoring target network, packets addressed to the monitoring target device having a large communication amount based on the weighting. Focus on the security device
ことを特徴とする請求項１に記載の通信制御装置。  The communication control apparatus according to claim 1.

前記監視対象のネットワークを流れるパケットのうち、監視対象であるパケットを前記セキュリティ機器に監視させるとともに、前記監視対象であるパケットの宛先を示す監視対象の機器を、所定の期間ごとに変更させる対象変更部  Target change that causes the security device to monitor a packet to be monitored among packets flowing through the network to be monitored, and to change a device to be monitored indicating a destination of the packet to be monitored every predetermined period Part
を備え、  With
前記対象変更部は、攻撃パケットの内容に応じて重み付けを行い、当該重み付けが重い攻撃パケットの兆候があった場合に、当該重み付けが重い攻撃パケットの内容に対して重点的に、前記セキュリティ機器に監視させる  The target changing unit performs weighting according to the content of the attack packet, and when there is an indication of an attack packet with a heavy weight, the target changing unit focuses on the content of the attack packet with a heavy weight to the security device. Monitor
ことを特徴とする請求項１に記載の通信制御装置。  The communication control apparatus according to claim 1.

監視対象のネットワークを流れるパケットを制御するスイッチ装置と、
前記監視対象のネットワークを流れるパケットを、前記スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知するセキュリティ機器と、
通信制御装置と
を備え、
前記通信制御装置は、
前記セキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得部と、
前記攻撃検知取得部が取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御部と
を備え、
前記パケット制御部は、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行う
ことを特徴とする攻撃防御システム。 A switching device that controls packets flowing through the monitored network;
A packet that flows through the monitored network in a promiscuous mode via the switch device, and based on the monitored packet, a security device that detects an attack in the monitored network;
A communication control device,
The communication control device includes:
An attack detection acquisition unit for acquiring attack detection information indicating the attack detected by the security device;
A packet control unit that controls the switch device to limit packets flowing through the monitored network based on the attack detection information acquired by the attack detection acquisition unit ;
When the attack detection information is information indicating that SQL injection has been detected by the security device, the packet control unit secures an injection part of a packet including the SQL injection transmitted from the attack source device. Control the switch device to replace the content and transfer it to the monitored device
Attack defense system, wherein a call.

監視対象のネットワークを流れるパケットを制御するスイッチ装置を備える攻撃防御システムの攻撃防御方法であって、
セキュリティ機器が、前記監視対象のネットワークを流れるパケットを、前記スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークにおける攻撃を検知する攻撃検知ステップと、
通信制御装置が、前記セキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得ステップと、
通信制御装置が、前記攻撃検知取得ステップにて取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御ステップと
を含み、
前記パケット制御ステップにおいて、通信制御装置が、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行う
ことを特徴とする攻撃防御方法。 An attack defense method for an attack defense system comprising a switch device that controls packets flowing through a monitored network,
An attack detection step in which a security device monitors a packet flowing through the monitored network in a promiscuous mode via the switch device, and detects an attack in the monitored network based on the monitored packet;
An attack detection acquisition step in which the communication control apparatus acquires attack detection information indicating the attack detected by the security device;
Communication control device, based on the acquired attack detection information at the attack detection acquiring step, to the switch device, viewed contains a packet control step of performing control to limit the packet flow through a network of the monitoring target,
In the packet control step, when the attack detection information is information indicating that SQL injection is detected by the security device, the communication control device transmits a packet including the SQL injection transmitted from the attack source device. Control the switch device to replace the injection part with safe content and transfer it to the monitored device
Attack defense wherein a call.

コンピュータに、
監視対象のネットワークを流れるパケットを、スイッチ装置を介してプロミスキャスモードで監視し、監視した当該パケットに基づいて、前記監視対象のネットワークの攻撃を検知するセキュリティ機器が検知した当該攻撃を示す攻撃検知情報を取得する攻撃検知取得ステップと、
前記攻撃検知取得ステップにて取得した攻撃検知情報に基づいて、前記スイッチ装置に、前記監視対象のネットワークを流れるパケットを制限させる制御を行うパケット制御ステップと
を実行させ、
前記パケット制御ステップにおいて、前記攻撃検知情報が、ＳＱＬインジェクションを前記セキュリティ機器により検知したことを示す情報である場合に、攻撃元の機器から送信された前記ＳＱＬインジェクションを含むパケットのインジェクション部分を安全な内容に置換して前記監視対象の機器に転送させる制御を、前記スイッチ装置に対して行う処理を実行させるためのプログラム。 On the computer,
Attack detection indicating an attack detected by a security device that detects a packet flowing through the monitored network in promiscuous mode via the switch device and detects an attack on the monitored network based on the monitored packet An attack detection acquisition step for acquiring information;
Based on the attack detection information acquired in the attack detection acquisition step, causing the switch device to execute a packet control step for performing control to limit packets flowing through the monitored network , and
In the packet control step, when the attack detection information is information indicating that an SQL injection is detected by the security device, the injection portion of the packet including the SQL injection transmitted from the attack source device is safely A program for executing processing for the switch device to perform control to replace the content and transfer it to the monitored device .