JP2012113566A - 評価値管理装置及び評価値管理プログラム、並びに端末間接続制御システム - Google Patents

Abstract

【課題】端末の与信度を適切な与信度に更新する。
【解決手段】複数の端末の与信度を記憶する端末−与信度リスト２０と、複数の端末のうちの１つの端末（例えば、端末Ａ）から、別の端末（端末Ｃ）への接続要求があった場合に、端末Ａの与信度を、端末Ｃの与信度に基づいて定められる値で更新する与信度計算部１２と、を備えることで、普段から、与信度の低い端末（犯罪サイト（攻撃指令用ツールやウィルスなどをダウンロードできるようなサイト））にアクセスしていると考えられる、ＤＤｏＳ攻撃を指令するような端末（黒幕）の与信度を低く更新する。
【選択図】図３

Description

本件は、評価値管理装置及び評価値管理プログラム、並びに端末間接続制御システムに関する。

国や地域、企業などのネットワークが相互接続され構成される社会基盤システムにおいては、コスト削減の観点、あるいはシステム間での連携（接続）の容易化の観点から、インターネット準拠の部品（装置）で構成するシステムの適用、すなわちＩＰ（Internet Protocol）化が進んできている。ここで、社会基盤システムには、金融システム、電力網、宇宙ステーション管制システムなどが含まれる。

このため、最近では、社会基盤システムにおいてもインターネット上の脅威、すなわち、データの改ざん、流出、サービス妨害（ＤＤｏＳ攻撃）などに対するセキュリティ対策が必要となってきている。

なお、インターネット上で行われるセキュリティ対策には、ファイアウォール、ＱｏＳ（Quality of Service）、ＩＤＳ（Intrusion Detection System：侵入検知システム）、トレースバック、レピュテーション（評価）などがある。

ファイアウォールは、守るべきネットワークとその外部との通信を監視し、管理者が定義したアクセス制御ポリシーに基づいて不正アクセスをブロックする技術である。ＱｏＳは、利用者に安定した通信品質を提供するための技術であり、許容量を越える通信が発生した場合に、音声や動画などの、通信遅延が許されない通信を優先させる制御を行う技術である。ＩＤＳは、ネットワーク上を流れるパケットを分析し、ふだんの通信状況や攻撃パターンとの照合によりＤＤｏＳ攻撃などの不正アクセスを検知する技術である。トレースバックは、不正アクセスを受けた際に経路上のルータの通信ログおよび、通信パケットのヘッダ情報から攻撃経路を復元する技術である。レピュテーションは、迷惑メールや危険なｗｅｂサイトの判定技術であり、監視対象サーバを通信パターンや既知の犯罪サイトとの関連など様々な要素で評価し、算出した数値と管理者が定めたポリシーによりアクセス制御を行う技術である。

特開２００６−２７９３３８号公報

しかしながら、上述したセキュリティ技術のいずれも、発生した攻撃に対する対応策に過ぎない。また、ＤＤｏＳ攻撃の場合、一般的に、攻撃の実行者は、攻撃用プログラムに感染した数十〜数百万台の端末（「ボット」と呼ばれる）であり、攻撃を指令した端末（黒幕（「ハーダー」とも呼ばれる））の所在は分からない。このため、上述したトレースバック技術であっても、攻撃経路を復元できるのは実際の攻撃者（ボット）までである。したがって、ボットが発見されても、黒幕（ハーダー）は、再度別の端末をボットにして何度も攻撃を実行することができる。

なお、攻撃が発生する前に行う対策として、特許文献１のような技術がある。この技術は、ＬＡＮ（Local Area Network）に接続された各端末の脆弱度を求め、当該脆弱度を他のＬＡＮと交換することで、安全性の低いＬＡＮへの接続を制限するものである。しかるに、この技術を用いたとしても、黒幕を特定できるわけではないので、ＤＤｏＳ攻撃を完全に防ぐことは難しい。

更に、社会基盤システムは、通常のインターネット環境と比べ、被害の回復に多くのコストを要するため、基本的には、ＤＤｏＳ攻撃を成功させてはならない。また、社会基盤システムは、２４時間３６５日安定稼動を要求されるシステムであるため、プログラム更新や再起動が難しい。また、パッチ適用にあたっては、パッチ適用後のシステムの正常稼動を事前検証する必要があるため、多くの費用と時間がかかるおそれがある。

そこで本件は上記の課題に鑑みてなされたものであり、複数の端末それぞれの不正接続に関する評価値を適切に管理することが可能な評価値管理装置及び評価値管理プログラムを提供することを目的とする。また、本件は、端末間の接続を適切に制御することが可能な端末間接続制御システムを提供することを目的とする。

本明細書に記載の評価値管理装置は、複数の端末それぞれの不正接続に関する評価値を管理する評価値管理装置であって、前記複数の端末の不正接続に関する評価値を記憶する記憶部と、前記複数の端末のうちの１つである第１の端末から、前記複数の端末のうちの別の端末である第２の端末への接続要求があった場合に、前記記憶部に記憶されている前記第１の端末の評価値を、前記第２の端末の評価値に基づいて定められる値で更新する更新部と、を備える評価値管理装置である。

本明細書に記載の端末間接続制御システムは、本明細書に記載の評価値管理装置と、前記第１の端末から前記第２の端末への接続要求を受け付け、前記記憶部に記憶されている評価値に基づいて、前記第１の端末から前記第２の端末への接続可否を判断し、当該判断結果に基づいて、前記第１の端末と前記第２の端末との接続を制御する接続制御装置と、を備えている。

本明細書に記載の評価値管理プログラムは、複数の端末それぞれの不正接続に関する評価値を管理する評価値管理プログラムであって、前記複数の端末のうちの１つである第１の端末から、前記複数の端末のうちの別の端末である第２の端末への接続要求があったか否かを判断し、前記接続要求があった場合に、前記記憶部に記憶されている前記第１の端末の評価値を、前記第２の端末の評価値に基づいて定められる値で更新する、処理をコンピュータに実行させる評価値管理プログラムである。

本明細書に記載の評価値管理装置及び評価値管理プログラムは、複数の端末それぞれの不正接続に関する評価値を適切に管理することができるという効果を奏する。また、本明細書に記載の端末間接続制御システムは、端末間の接続を適切に制御することができるという効果を奏する。

一実施形態に係る社会基盤システムの構成を概略的に示す図である。 図２（ａ）は、与信度管理サーバのハードウェア構成図であり、図２（ｂ）は、ルータのハードウェア構成図である。 社会基盤システムの機能ブロック図である。 侵入検知装置の分析結果を示す図である。 図５（ａ）は、与信度更新ルールを示す図であり、図５（ｂ）は、端末−与信度リストを示す図である。 与信度−アクセス制限ルールを示す図である。 一のルータに対して接続要求が出された場合に実行される処理を示すフローチャートである。 図８（ａ）は、通信ログのアップロード処理を示すフローチャートであり、図８（ｂ）は、通信ログの分析処理を示すフローチャートであり、図８（ｃ）は、与信度計算処理を示すフローチャートであり、図８（ｄ）は、与信度取得処理を示すフローチャートである。 更新後の端末−与信度リストを示す図である。 指令端末抽出部の処理を示すフローチャートである。 図１１（ａ）は、通信ログを示す図であり、図１１（ｂ）は、集計結果を示す図であり、図１１（ｃ）は、閾値リストを示す図であり、図１１（ｄ）は、要注意端末リストを示す図である。

以下、一実施形態について、図１〜図１１に基づいて詳細に説明する。図１には、端末間接続制御システムとしての社会基盤システム１００の構成が概略的に示されている。社会基盤システム１００は、図１に示すように、評価値管理装置としての与信度管理サーバ１０と、侵入検知装置３０と、接続制御装置としてのルータ４０Ａ，４０Ｂ，…と、複数の端末Ａ，Ｂ，Ｃ，Ｄ，…と、を備える。なお、社会基盤システム１００は、ＩＰ化されており、与信度管理サーバ１０、侵入検知装置３０、及びルータ４０Ａ，４０Ｂは、実際には、インターネットに接続されているものとする。

与信度管理サーバ１０は、複数の端末それぞれの不正接続に関する評価値である「与信度」を管理するサーバである。ここで、例えば、ＤＤｏＳ攻撃の黒幕は、普段から、ポートスキャンを頻繁に実行したり自身のＩＰアドレスを詐称するなどして不正な通信を行うことが多い。このため、黒幕の与信度は、一般の端末と比較して低くなるように設定されている（この点については後述する）。侵入検知装置３０は、与信度管理サーバ１０に接続されており、複数の端末Ａ，Ｂ，Ｃ，Ｄ…の通信ログを与信度管理サーバ１０から受け取り、各端末がどのような振る舞いを示していたかを分析する。そして、侵入検知装置３０は、分析結果を与信度管理サーバ１０に返す。ルータ４０Ａ，４０Ｂ，…（以下、「ルータ４０Ａ，４０Ｂ」と表記する）は、各端末からの接続要求を受け付けるとともに、与信度管理サーバ１０で管理されている与信度に基づいて、端末間の接続を制御する。複数の端末は、社会基盤システム１００においてユーザにより使用される端末であり、ＰＣ（Personal Computer）等を含む。

以下、上記各装置について、より詳細に説明する。

図２（ａ）には、与信度管理サーバ１０のハードウェア構成図が示されている。図２（ａ）に示すように、与信度管理サーバ１０は、コンピュータとしてのＣＰＵ（Central Processing Unit）９０、ＲＯＭ（Read Only Memory）９２、ＲＡＭ（Random Access Memory）９４、記憶部（ここではＨＤＤ（Hard Disk Drive））９６、入出力部９７等を備えており、与信度管理サーバ１０の構成各部は、バス９８に接続されている。入出力部９７には、可搬型記憶媒体用ドライブ９９が接続されている。与信度管理サーバ１０では、ＲＯＭ９２あるいはＨＤＤ９６に格納されているプログラム、又は可搬型記憶媒体用ドライブ９９が可搬型記憶媒体９１から読み出したプログラムをＣＰＵ９０が実行することにより、図３の各部の機能が実現される。また、入出力部９７には、表示部等が接続されているものとする。

図２（ｂ）には、ルータ４０Ａ，４０Ｂのハードウェア構成図が示されている。図２（ｂ）に示すように、ルータ４０Ａ，４０Ｂは、ＣＰＵ１９０、ＲＯＭ１９２、ＲＡＭ１９４、記憶部（ここではＨＤＤ）１９６、入出力部９７等を備えており、各部は、バス１９８に接続されている。ルータ４０Ａ，４０Ｂでは、ＲＯＭ１９２あるいはＨＤＤ１９６に格納されているプログラムをＣＰＵ１９０が実行することにより、図３の各部の機能が実現される。

図３には、社会基盤システム１００（特に、与信度管理サーバ１０、ルータ４０Ａ（４０Ｂ））の機能ブロック図が示されている。

図３に示すように、与信度管理サーバ１０は、更新部としての与信度計算部１２、通信ログ収集部１４、及び抽出部としての指令端末抽出部１６、としての機能を有する。なお、図３では、与信度管理サーバ１０のＨＤＤ９６に格納されている、記憶部としての端末−与信度リスト２０と、与信度更新ルール２２と、通信ログ２４についても図示されている。

与信度計算部１２は、侵入検知装置３０の分析結果と、与信度更新ルール２２とを用いて、端末−与信度リスト２０を更新する。ここで、侵入検知装置３０の分析結果は、図４に示すような内容である。具体的には、分析結果には、端末名と、その端末の分析結果の内容とが含まれる。分析結果の内容としては、例えば、「正常」、「パッチ未適用」、「ポートスキャン実行」などのほか、接続要求を出した端末名などが含まれる。

与信度更新ルール２２は、図５（ａ）に示すようなルールである。具体的には与信度更新ルール２２には、更新ルールの種類と、その更新ルールを満たす場合の与信度更新内容とが対応付けられている。与信度更新ルール２２では、例えば、セキュリティパッチが未適用である場合には、その端末の与信度を１だけ下げる旨規定されている。また、与信度更新ルール２２では、ポートスキャンを実行した場合に、その端末の与信度を５だけ下げ、ブラックリスト上の端末への接続要求を出した場合に、その端末の与信度を１００だけ下げることが規定されている。また、与信度更新ルール２２では、接続先の与信度が接続元の与信度よりも低い場合には、与信度の差分の１／所定数（ここでは、１／５）を接続元の与信度から差し引くことが規定されている。

端末−与信度リスト２０は、図５（ｂ）に示すようなリストである。具体的には、端末−与信度リスト２０では、端末名とその端末の与信度とが対応付けられている。なお、与信度は、０以下（０から−∞）の値をとるものとする。また、与信度は、時間の経過に応じて、回復（０に近づくように値が変動）するようにしてもよい。なお、与信度を０以下の値としているのは、不正接続などの行為を、与信度に対して適切に反映させるためである。すなわち、与信度が０よりも大きい値をとると、不正接続を行っているにも拘らず与信度が正の値をとるなどして、不正接続行為が与信度に適切に現れないおそれがあるからである。

通信ログ収集部１４は、ルータ４０Ａ（４０Ｂ）から送信されてくる通信ログを収集して、通信ログ２４に記録する。なお、通信ログ２４は、図１１（ａ）に示すような内容（項目「Time（時刻）」「Source（接続元）」「Destination（接続先）」「Protocol（プロトコル）」「Info（情報）」を含んだ内容）となっている。

図３に戻り、指令端末抽出部１６は、通信ログ２４に基づいて、ＤＤｏＳ攻撃を指令する指令端末（黒幕）の可能性が高い端末（以下、「要注意端末」と呼ぶ）を抽出し、外部に出力する。なお、要注意端末の抽出方法については、後述する。また、出力方法としては、例えば、表示装置に要注意端末のリストを表示するなどの方法を採用することができる。

ルータ４０Ａ（４０Ｂ）は、図３に示すように、与信度更新部５０及び通信制御部６０として機能する。与信度更新部５０は、与信度取得部５２と、通信ログ報告部５４とを有する。なお、図３では、ルータ４０Ａ（４０Ｂ）のＨＤＤ１９６に格納されている通信ログ５８についても図示されている。

通信制御部６０は、アクセス制御実施部６２を有する。なお、図３では、ルータ４０Ａ（４０Ｂ）のＨＤＤ１９６に格納されている端末−与信度リスト（ローカル）６６と、与信度−アクセス制限ルール６８についても図示されている。

与信度取得部５２は、与信度管理サーバ１０の端末−与信度リスト２０から最新の与信度を取得して、通信制御部６０の端末−与信度リスト（ローカル）６６を更新する。

通信ログ報告部５４は、通信ログ５８から通信ログを取得し、与信度管理サーバ１０の通信ログ収集部１４に対して通信ログを送信（報告）する。アクセス制御実施部６２は、端末からの接続要求を受け付け、他のルータのアクセス制御実施部に対して接続要求を送信する。また、他のルータのアクセス制御実施部から接続要求が送信されてきたときには、端末−与信度リスト（ローカル）６６と、与信度−アクセス制限ルール６８と、に基づいて、接続を許可するか否かを判断する。接続を許可する旨の判断を行った場合には、端末間の接続を実行する。

ここで、与信度−アクセス制限ルール６８は、図６に示すようなルールである。すなわち、与信度−アクセス制限ルール６８は、図６に示すように、接続元の端末の与信度と接続先の端末の与信度との差分（与信度差分（ｘ））の範囲と、その範囲におけるアクセス制限ルールとが定義されている。

次に、上記のように構成される社会基盤システム１００における処理について図７〜図１１に基づいて詳細に説明する。

図７は、通信制御部６０（より具体的には、アクセス制御実施部６２）の処理を示すフローチャートである。なお、図７の処理は、ルータ４０Ａ、４０Ｂ…のいずれのルータにおいても行われる処理であり、一のルータに接続されている端末から、当該一のルータに対して他の端末との接続要求が送信されてきた場合に、実行される処理である。ここでは、端末Ａから、ルータ４０Ａに対して、端末Ｃに対する接続要求が出された場合を例にとり、説明する。なお、以下においては、説明の便宜上、端末Ｃが接続されているルータ４０Ｂの各部の符号には、記号「’」を付して表記するものとする。

まず、図７のステップＳ１０では、ルータ４０Ａのアクセス制御実施部６２が、端末Ａから送信されてきた端末Ｃとの接続要求を取得する。次いで、ステップＳ１２では、アクセス制御実施部６２が、自己（ルータ４０Ａ）の端末−与信度リスト（ローカル）６６から、端末Ａの与信度を取得する。ここでは、端末−与信度リスト（ローカル）６６が、図５（ｂ）と同一のリストであるものとする。したがって、ステップＳ１２では、アクセス制御実施部６２は、端末Ａの与信度として「０」を取得することになる。

次いで、ステップＳ１４では、アクセス制御実施部６２が、別のルータ（ルータ４０Ｂ）に対して接続要求を行う際に用いる接続要求パケットにヘッダ情報として端末Ａの与信度「０」を追加する。

次いで、ステップＳ１６では、アクセス制御実施部６２が、接続要求パケットを端末Ｃ宛てに送信する。次いで、ステップＳ１８では、ルータ４０Ｂのアクセス制御実施部６２’が、接続要求パケットから端末Ａの与信度「０」を取得する。次いで、ステップＳ２０では、アクセス制御実施部６２’が、ルータ４０Ｂの端末−与信度リスト６６’から端末Ｃの与信度を取得する。この場合、端末−与信度リスト６６’も、与信度管理サーバ１０の端末−与信度リスト２０と同一の内容（図５（ｂ）参照）であるので、アクセス制御実施部６２’は、端末Ｃの与信度として、「０」を取得することができる。

次いで、ステップＳ２２では、アクセス制御実施部６２’が端末Ａと端末Ｃの与信度の差を計算する。ここでは、与信度の差は０（＝（Ａの与信度）−（Ｃの与信度）＝０−０）となる。次いで、ステップＳ２４では、アクセス制御実施部６２’が、与信度−アクセス制限ルール６８’を参照して、端末Ａに対するアクセス制限の内容を決定する。与信度−アクセス制限ルール６８’は、図６の与信度−アクセス制御ルール６８と同一である。この場合、与信度の差が０であり、図６の最下段に記載されている範囲（−５≦ｘ）を満たすので、アクセス制御実施部６２’は、アクセス制限を、「全ての通信を許可する」に決定することになる。

次いで、ステップＳ２６では、アクセス制御実施部６２’は、アクセス制限の範囲（全ての通信を許可）で、端末Ａと端末Ｃの通信を許可する。以上により、図７の全処理が終了する。

なお、上記においては、端末Ａから端末Ｃに対して接続要求が出された場合について説明したが、端末Ｂから端末Ｃに対して接続要求が出された場合には、以下のようなアクセス制限がなされる。

すなわち、端末Ｂから端末Ｃに対して接続要求が出された場合、与信度の差は、（Ｂの与信度）−（Ｃの与信度）＝−６となる。この場合、アクセス制限は、図６より「ｗｅｂ通信のみ許可」となるので、アクセス制御実施部６２’は、端末Ｂと端末Ｃとの間での通信をＷｅｂ通信（ポート８０の通信）のみ許可する。同様に、与信度の差が、−１０未満になった場合には、アクセス制御実施部６２’は全ての通信を拒否する。このように、本実施形態では、接続元の端末の与信度と接続先の端末の与信度との差が所定数（ここでは５）よりも低い場合に、一の端末と他の端末との通信を制限することとしている。これにより、与信度の低い端末（例えば黒幕と推定される端末）から与信度の高い端末（例えばボットと推定される端末）へのアクセスを制限することができる。

次に、図８（ａ）〜図８（ｄ）に基づいて、各端末の与信度の更新に関する処理について詳細に説明する。なお、以下の４つの処理（通信ログのアップロード、通信ログの分析、与信度計算、与信度取得）は、非同期で行われる。また、これらの処理は、上述した図７の処理に対しても、非同期で行われる処理である。

（通信ログのアップロード）
まず、図８（ａ）に基づいて、通信ログのアップロードの処理について説明する。

図８（ａ）の処理では、まず、ステップＳ３０において、通信ログ報告部５４が、アップロード（通信ログの報告）のタイミングが到来したか否かを判断する。ここでの判断が肯定されると、ステップＳ３２に移行する。ステップＳ３２では、通信ログ報告部５４が、通信ログ収集部１４に対して通信ログをアップロード（報告）する。その後は、改めて、図８（ａ）の処理が再開されることになる。

（通信ログの分析）
次に、図８（ｂ）に基づいて、通信ログの分析処理について説明する。

図８（ｂ）の処理では、まず、ステップＳ４０において、侵入検知装置３０が、通信ログの読み出しのタイミングが到来したか否かを判断する。ここでの判断が肯定されると、ステップＳ４２に移行する。ステップＳ４２では、侵入検知装置３０が、通信ログ２４からログを取得するとともに、その内容を分析し、当該分析結果（図４参照）を与信度管理サーバ１０の与信度計算部１２に送信する。その後は、改めて、図８（ｂ）の処理が再開されることになる。

（与信度計算）
次に、図８（ｃ）に基づいて、与信度計算処理について説明する。

図８（ｃ）の処理では、まず、ステップＳ５０において、与信度計算部１２が、与信度の計算のタイミングか否かを判断する。ここでの判断が肯定されると、ステップＳ５２に移行する。ステップＳ５２では、与信度計算部１２が、端末−与信度リスト２０と、与信度更新ルール２２を取得する（読み出す）。次いで、ステップＳ５４では、侵入検知装置３０から送信されてきたログの分析結果を、与信度更新ルール２２と照合し、端末−与信度リスト２０を更新する。

例えば、侵入検知装置３０から送信されてきたログの分析結果が図４に示すものであり、ステップＳ５２において読み出した与信度更新ルール２２と端末−与信度リスト２０が、図５（ａ）、図５（ｂ）に示すものであったとする。この場合、端末Ａについては、分析結果が、図４に示すように「正常」と、「端末Ｃに対して接続要求」である。すなわち、端末Ａの与信度は、「正常」の点からは更新されない。また、図５（ａ）の最上段のルールからすると、端末Ｃ（接続先）は端末Ａ（接続元）よりも与信度が低くないので、「端末Ｃに対して接続要求」点からも端末Ａの与信度は更新されないこととなる（０のまま（図９参照））。

一方、端末Ｂは、分析結果が、図４に示すように「パッチ未適用」、「端末Ｃに対して接続要求」である。すなわち、端末Ｂの与信度は、「パッチ未適用」の点から「−１」されるが、端末Ｃ（接続先）は端末Ａ（接続元）よりも与信度が低くないので、「端末Ｃに対して接続要求」点からは更新されない。このため、端末Ｂの与信度は、図９に示すように、−６から−７に更新されることになる。更に、端末Ｃについては、分析結果が、図４に示すように「ポートスキャン実行」、「端末Ｂに対して接続要求」である。すなわち、端末Ｂの与信度は、「ポートスキャン実行」の点から「−５」される（図５（ａ）の上から３段目のルール参照）、また、端末Ｂ（接続先）は端末Ｃ（接続元）よりも与信度が低いので、「端末Ｂに対して接続要求」の点から「−１．２」（＝（−６−０）／５）される（図５（ａ）の最上段のルール参照）。このため、端末Ｃの与信度は、図９に示すように、０から−６．２に更新されることになる。

ここで、接続先の端末の与信度が接続元の与信度よりも低い場合に、接続先の与信度から、与信度の差分の１／ａ（ここでは、１／５）を差し引くこととしているが、値ａは、実際には、以下のように決定している。

すなわち、例えば、過去の通信ログにおいて、端末ごとに通信セッション数を集計し、上位２０％の端末について通信数の平均を求め、その値をａとする。なお、「上位２０％」という数字は、パレートの法則に基づくものであるが、その他の値としてもよい。

このように、与信度の差に１／ａをかけることで、（犯罪サイトなどを運営する）与信度の低い端末と意図的に（又はウィルス感染によって）頻繁に通信する端末の与信度を、前者の端末（犯罪サイトの端末）と同程度の与信度とすることができる。その一方で、何らかの理由で誤って与信度の低い端末にアクセスしてしまった端末（迷惑メールに記述されているＵＲＬなどを誤ってクリックした場合など）については、１／ａだけ与信度が下がるものの、与信度の低い端末にアクセスしたことの影響を小さく抑えることができる。

なお、端末Ｄ以降についても同様にして与信度の更新が行われるようになっている。以上のようにして図８（ｃ）の処理が終了すると、改めて図８（ｃ）の処理が再開されることになる。

本実施形態では、ＤＤｏＳ攻撃を指令するような端末（黒幕）は、普段から犯罪サイト（攻撃指令用ツールやウィルスなどをダウンロードできるようなサイト）にアクセスしていると考えられる。このため、本実施形態では、上記のように与信度の決定要素として不正アクセス行為のほかに、通信相手の与信度を考慮するので、与信度をより適切に更新することができる。

（与信度取得）
次に、図８（ｄ）に基づいて、与信度取得処理について説明する。

図８（ｄ）の処理では、まず、ステップＳ６０において、各ルータ４０Ａ，４０Ｂの与信度取得部５２（５２’）が、与信度の取得タイミングが到来したか否かを判断する。ここでの判断が肯定されると、ステップＳ６２に移行する。ステップＳ６２では、与信度取得部５２（５２’）が、与信度管理サーバ１０の端末−与信度リスト２０から最新の与信度を取得するとともに、当該最新の与信度で端末−与信度リスト（ローカル）６６（６６’）を更新する。その後は、改めて、図８（ｄ）の処理が再開されることになる。

以上のような、非同期処理により、定期的に、端末−与信度リスト（ローカル）６６（６６’）が最新の与信度で更新されるようになっている。

次に、図１０に基づいて、指令端末抽出部１６による、要注意端末リストの出力処理について説明する。この処理は、上述した図７の処理、図８の処理とは、非同期にて行われる処理である。

図１０の処理では、まず、ステップＳ７０において、指令端末抽出部１６が、各端末の与信度を、端末−与信度リスト２０から取得する。次いで、ステップＳ７１では、指令端末抽出部１６が、通信ログ２４（図１１（ａ）参照）を読み出す。次いで、ステップＳ７２では、各端末について単位時間あたりの通信相手の数を集計する。図１１（ｂ）には、ステップＳ７２における集計結果が示されている。なお、集計結果には、ステップＳ７０で取得された各端末の与信度も併記されている。

次いで、ステップＳ７４では、指令端末抽出部１６が、全ての端末を集計したか否かを判断する。ここでの判断が否定された場合には、ステップＳ７２に戻る。そして、ステップＳ７４の判断が肯定されるまで、ステップＳ７２、Ｓ７４を繰り返す。

一方、ステップＳ７４の判断が肯定された場合には、ステップＳ７６に移行し、指令端末抽出部１６は、通信相手の数及び与信度の順位付けを行う。この順位付けの結果が、図１１（ｂ）において括弧付き数字として示されている。

次いで、ステップＳ７８では、指令端末抽出部１６が、集計結果を出力する。この場合、例えば、図１１（ｂ）の表が与信度管理サーバ１０の表示装置に表示される。次いで、ステップＳ８０、Ｓ８２では、指令端末抽出部１６が予め保有している閾値リスト（図１１（ｃ）参照）を用いて、要注意端末リストを抽出する。具体的には、指令端末抽出部１６は、ステップＳ８０において、図１１（ｃ）に基づいて集計した端末のうち、単位時間あたりの通信相手の数が上位２０％に入る端末を抽出する。次いで、ステップＳ８２では、ステップＳ８０で抽出された端末の中から、指令端末抽出部１６は、図１１（ｃ）に基づいて、与信度が下位２．３％を下回る端末を抽出する。

ここで、ステップＳ８０において、集計した端末のうち、単位時間あたりの通信相手の数が上位２０％に入る端末を抽出することとしているのは、各端末の単位時間あたりの通信相手の数がべき則に従うとし、さらにパレートの法則によって上位２０％の端末がネットワークにおける主要な端末（つまりサーバ）と仮定したことによる。したがって、これに限らず、その他の値を設定しても良い。また、ステップＳ８２において、与信度が下位２．３％を下回る端末を抽出することとしているのは、各端末の与信度が正規分布に従うとし、標準偏差の２倍を超えて下位に分布する端末を要注意端末であると仮定したことによる。したがって、これに限らず、その他の値を設定しても良い。

そして、ステップＳ８４では、ステップＳ８２で抽出された端末を要注意端末として、当該要注意端末のリスト（図１１（ｄ）参照）を出力する。

このように、図１０の処理では、要注意端末（黒幕の可能性が高い端末）として、単位時間当たりの通信数が多く、かつ与信度が低い端末を抽出して、要注意端末のリストを作成し、出力している。このため、適切な要注意端末のリストの作成・出力が可能となる。

本実施形態では、与信度管理サーバ１０の管理者は、出力された要注意端末のリストから、黒幕と推定される端末を、ブラックリスト上に登録することができる。これにより、図５（ａ）に示すように、ブラックリスト上の端末を考慮した与信度の更新が可能となる。

なお、上記において、「単位時間あたりの通信数」を要注意端末の判断に用いているが、これは、サンプリング時間を無視してしまうと、短時間の間に集中的に通信するような端末（ポータルサイトなど）と、比較的長期にわたって多数の端末と通信する黒幕との区別が難しくなるからである。

以上、詳細に説明したように、本実施形態の与信度管理サーバ１０は、複数の端末の与信度を記憶する端末−与信度リスト２０と、複数の端末のうちの１つの端末（例えば、端末Ａ）から、別の端末（端末Ｃ）への接続要求があった場合に、端末Ａの与信度を、端末Ｃの与信度に基づいて定められる値で更新する与信度計算部１２と、を備えている。このように、接続元の端末の与信度を、接続先の与信度に基づいて定められる値で更新することで、普段から、与信度の低い端末（犯罪サイト（攻撃指令用ツールやウィルスなどをダウンロードできるようなサイト））にアクセスしていると考えられる、ＤＤｏＳ攻撃を指令するような端末（黒幕）の与信度を低く更新、すなわち、適切な与信度に更新し、管理することができる。

また、本実施形態では、与信度計算部１２は、接続元の端末の与信度が、接続先の端末の与信度よりも大きい場合（すなわち、接続先の端末の与信度が接続元の端末の与信度よりも低い場合）に、接続元の端末の与信度を、接続先の端末の与信度に基づいて定められる値で更新する。これにより、与信度の低い端末にアクセスした端末（攻撃指令用ツールやウィルスなどをダウンロードした可能性のある端舞う）の与信度を低く更新することができる。したがって、与信度をより適切に更新・管理することが可能となる。

また、本実施形態では、指令端末抽出部１６が、各端末が単位時間あたりに接続した端末の数を取得するとともに、当該数と、与信度とに基づいて、黒幕の可能性が高い端末（要注意端末）を抽出する。したがって、要注意端末そのもの又は要注意端末から選択される端末をブラックリスト上の端末として扱うことで、当該端末の排除、又は当該端末と他の端末との通信を拒否するように制御することができる。これにより、ＤＤｏＳ攻撃の発生を抑制することができる。

また、本実施形態では、与信度計算部１２が、端末の与信度を、各端末の通信ログに基づいて、更に更新する。したがって、普段から、ポートスキャンを頻繁に実行したり自身のＩＰアドレスを詐称するなどして不正な通信を行うことが多いＤＤｏＳ攻撃の黒幕の与信度を低く、すなわち、適切な与信度に更新することが可能となる。

また、本実施形態の社会基盤システム１００は、上記のような適切な与信度に更新することが可能な与信度管理サーバ１０と、端末間の接続要求を受け付けるとともに、各端末の与信度に基づいて端末間の接続可否を判断し、接続を制御するルータ４０Ａ，４０Ｂ（アクセス制御実施部６２、６２’）と、を備えている。これにより、適切に更新される与信度に基づいて、端末間を適切に接続することが可能となる。

なお、上記実施形態では、与信度更新ルール２２において、与信度の更新の際に、与信度の差分の絶対値の１／５を、接続元の与信度から差し引く場合について説明したが、これに限られるものではない。すなわち、接続元の与信度に対して接続先の与信度が反映されるような値（接続先の与信度に基づいて定められる値）であれば、その他の値で、接続元の与信度が更新されるようにしてもよい。

また、上記実施形態では、指令端末抽出部１１６は、単位時間あたりに通信を行った端末の数の、全端末中における順位が高く、与信度の全端末中における順位が低い端末を抽出して、要注意端末リストを作成することとした。しかしながら、これに限られるものではなく、例えば、単位時間あたりに通信を行った端末の数そのものと、与信度そのものに基づいて、要注意端末リストを作成することとしてもよい。また、単位時間あたりに通信を行った端末の数に、与信度に基づく値を積算した値から要注意端末リストを作成しても良い。すなわち、単位時間あたりに通信を行った端末の数と、与信度とに基づいていれば、その他の方法で要注意端末リストを作成することとしてもよい。

また、本実施形態では、端末の与信度の情報を取得可能な装置が、与信度管理サーバ１０とルータ４０Ａ，４０Ｂに限られているので、端末（黒幕など）が与信度の改ざんを行うのを防止することができる。

なお、指令端末抽出部１６は、要注意端末リストを作成して出力する場合について説明したが、これに限られるものではなく、要注意端末リストを出力しなくてもよい。この場合、要注意端末リストに掲載されている端末をそのまま、ブラックリスト上の端末として扱うこととしてもよい。

なお、上記実施形態では、端末間接続制御システムが社会基盤システムに適用された場合について説明したが、これに限らず、通常のインターネットを含むシステムに適用することも可能である。

なお、上記の処理機能は、コンピュータによって実現することができる。その場合、処理装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。

プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ（Digital Versatile Disc）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）などの可搬型記録媒体の形態で販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。

上述した実施形態は本発明の好適な実施の例である。但し、これに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変形実施可能である。

なお、以上の説明に関して更に以下の付記を開示する。
（付記１） 複数の端末それぞれの不正接続に関する評価値を管理する評価値管理装置であって、前記複数の端末の不正接続に関する評価値を記憶する記憶部と、前記複数の端末のうちの１つである第１の端末から、前記複数の端末のうちの別の端末である第２の端末への接続要求があった場合に、前記記憶部に記憶されている前記第１の端末の評価値を、前記第２の端末の評価値に基づいて定められる値で更新する更新部と、を備える評価値管理装置。
（付記２） 前記更新部は、前記第２の端末の評価値が前記第１の端末の評価値よりも信頼できる度合いが低い場合に、前記記憶部に記憶されている前記第１の端末の評価値を、前記第２の端末の評価値に基づいて定められる値で更新することを特徴とする付記１に記載の評価値管理装置。
（付記３） 前記複数の端末それぞれが、単位時間あたりに接続した端末の数を取得するとともに、当該取得した数と、前記記憶部に記憶されている評価値とに基づいて不正接続に関与している可能性の高い端末を抽出する抽出部、を更に備える付記１又は２記載の評価値管理装置。
（付記４） 前記更新部は、前記記憶部に記憶されている前記複数の端末の評価値を、各端末の通信履歴情報に基づいて更に更新することを特徴とする付記１〜３のいずれかに記載の評価値管理装置。
（付記５） 付記１〜４のいずれかに記載の評価値管理装置と、前記第１の端末から前記第２の端末への接続要求を受け付け、前記記憶部に記憶されている評価値に基づいて、前記第１の端末から前記第２の端末への接続可否を判断し、当該判断結果に基づいて、前記第１の端末と前記第２の端末との接続を制御する接続制御装置と、を備える端末間接続制御システム。
（付記６） 複数の端末それぞれの不正接続に関する評価値を管理する評価値管理プログラムであって、前記複数の端末のうちの１つである第１の端末から、前記複数の端末のうちの別の端末である第２の端末への接続要求があったか否かを判断し、前記接続要求があった場合に、前記記憶部に記憶されている前記第１の端末の評価値を、前記第２の端末の評価値に基づいて定められる値で更新する、処理をコンピュータに実行させることを特徴とする評価値管理プログラム。
（付記７） 前記更新する処理では、前記第２の端末の評価値が前記第１の端末の評価値よりも信頼できる度合いが低い場合に、前記記憶部に記憶されている前記第１の端末の評価値を、前記第２の端末の評価値に基づいて定められる値で更新することを特徴とする付記６に記載の評価値管理プログラム。
（付記８） 前記複数の端末それぞれが、単位時間あたりに接続した端末の数を取得するとともに、当該取得した数と、前記記憶部に記憶されている評価値とに基づいて不正接続に関与している可能性の高い端末を抽出する処理、をコンピュータに更に実行させることを特徴とする付記６又は７記載の評価値管理プログラム。
（付記９） 前記更新する処理では、前記複数の端末の評価値を、各端末の通信履歴情報に基づいて更に更新することを特徴とする付記６〜８のいずれかに記載の評価値管理プログラム。

１０ 与信度管理サーバ（評価値管理装置）
１２ 与信度計算部（更新部）
１６ 指令端末抽出部（抽出部）
２０ 端末−与信度リスト（記憶部）
４０Ａ，４０Ｂ ルータ（接続制御装置）
９０ ＣＰＵ（コンピュータ）
１００ 社会基盤システム（端末間接続制御システム）

Claims (6)

1. 複数の端末それぞれの不正接続に関する評価値を管理する評価値管理装置であって、
   前記複数の端末の不正接続に関する評価値を記憶する記憶部と、
   前記複数の端末のうちの１つである第１の端末から、前記複数の端末のうちの別の端末である第２の端末への接続要求があった場合に、前記記憶部に記憶されている前記第１の端末の評価値を、前記第２の端末の評価値に基づいて定められる値で更新する更新部と、を備える評価値管理装置。
2. 前記更新部は、前記第２の端末の評価値が前記第１の端末の評価値よりも信頼できる度合いが低い場合に、前記記憶部に記憶されている前記第１の端末の評価値を、前記第２の端末の評価値に基づいて定められる値で更新することを特徴とする請求項１に記載の評価値管理装置。
3. 前記複数の端末それぞれが、単位時間あたりに接続した端末の数を取得するとともに、当該取得した数と、前記記憶部に記憶されている評価値とに基づいて不正接続に関与している可能性の高い端末を抽出する抽出部、を更に備える請求項１又は２記載の評価値管理装置。
4. 前記更新部は、前記記憶部に記憶されている前記複数の端末の評価値を、各端末の通信履歴情報に基づいて更に更新することを特徴とする請求項１〜３のいずれか一項に記載の評価値管理装置。
5. 請求項１〜４のいずれか一項に記載の評価値管理装置と、
   前記第１の端末から前記第２の端末への接続要求を受け付け、前記記憶部に記憶されている評価値に基づいて、前記第１の端末から前記第２の端末への接続可否を判断し、当該判断結果に基づいて、前記第１の端末と前記第２の端末との接続を制御する接続制御装置と、を備える端末間接続制御システム。
6. 複数の端末それぞれの不正接続に関する評価値を管理する評価値管理プログラムであって、
   前記複数の端末のうちの１つである第１の端末から、前記複数の端末のうちの別の端末である第２の端末への接続要求があったか否かを判断し、
   前記接続要求があった場合に、前記記憶部に記憶されている前記第１の端末の評価値を、前記第２の端末の評価値に基づいて定められる値で更新する、処理をコンピュータに実行させることを特徴とする評価値管理プログラム。
   
   
   

Images