JP2019186686A - ネットワーク監視装置，ネットワーク監視プログラム及びネットワーク監視方法 - Google Patents

Abstract

【課題】異常な通信を行なう通信機器を特定する処理を実施する。【解決手段】ネットワーク監視装置１は、生成部１１１と特定部１１２とを備える。生成部１１１は、ネットワーク内の通信からサーバプロセスを抽出して、サーバプロセスにおけるアクセス元のアドレスの組み合わせを記録したログデータ１０２を生成する。特定部１１２は、ログデータ１０２に記録された過去のアドレスの組み合わせと、特定対象のアクセスにおけるアドレスの組み合わせとを比較して、異常な通信を行なっている第１の通信機器を特定する。【選択図】図４

Description

本発明は、ネットワーク監視装置，ネットワーク監視プログラム及びネットワーク監視方法に関する。

近年、企業や政府等の組織内ネットワークに対する標的型攻撃による被害が深刻化している。

標的型攻撃では、攻撃者はアンチウィルスソフトによる検知を回避するための例えばマルウェアを用いて組織内ネットワークに侵入する。そのため、外部ネットワークから組織内ネットワークへ攻撃者が侵入したことを検知するような「入口対策」では、標的型攻撃の発生の検知が困難になるおそれがある。

そこで、組織内ネットワークの内部の通信を監視し、攻撃者による挙動を検知するような「内部対策」が実施される場合がある。

攻撃者は、組織内ネットワークの探索活動により入手できた機密情報等を含むファイルを外部ネットワークに送信して入手することを目的とすることがある。このような攻撃者が入手したいファイルが複数存在する場合には、個々のファイルを外部ネットワークへ送信すると、組織内ネットワークから外部ネットワークに対して通信が継続的に発生する。ここで、組織内ネットワークと外部ネットワークとの境界を監視する監視装置が設置されている場合に、監視装置は、外部ネットワークに対して継続して発生した通信を異常と判断する可能性がある。

そこで、攻撃者は、こうした監視装置による検知を回避するために、組織内ネットワークから外部ネットワークに対する通信の発生を最小限に抑えようとすることが想定される。例えば、攻撃者は、組織内ネットワークに存在するホストに、組織内ネットワークで収集したファイルを集約するための不正なサーバ（「ステージングサーバ」等と称してもよい。）を設置する。そして、攻撃者は、ファイルを十分に収集し終えた後、不正に設置したサーバにおいてファイルを圧縮して１つのファイルとした上で、圧縮ファイルを外部ネットワークに送信する。

このような攻撃者によるファイルの外部ネットワークへの送信を防ぐため、組織ネットワーク内のセキュリティ管理者は、攻撃者が組織内ネットワークに不正に設置したサーバの検知を行なう。不正に設置されたサーバを検知できれば、不正に設置されたサーバから外部ネットワークに対する通信が発生した場合に、攻撃者による不正なファイル送信が発生している疑いがあると判断できる。その結果、セキュリティ管理者は、外部ネットワークに対する通信を遮断したり、不正に設置されたサーバとなったホストの管理者に問い合わせを行なったりといった対処を実施できる。

特開２００５−２７５６８３号公報

中里純二，津田侑，高木彌一郎「エンドホスト連携による不審プロセス分析」情報通信研究機構研究報告 Ｖｏｌ．６２ Ｎｏ．２（２０１６年１２月）

しかしながら、従来の不正に設置されたサーバの検知手法では、不正に設置されたサーバの検知に見落としが発生したり、ネットワークに過度の負荷がかかったりするおそれがある。

１つの側面では、異常な通信を行なう通信機器を特定する処理を実施する。

ネットワーク監視装置は、ネットワーク内の通信からサーバプロセスを抽出して、前記サーバプロセスにおけるアクセス元のアドレスの組み合わせを記録したログデータを生成する生成部と、前記ログデータに記録された過去のアドレスの組み合わせと、特定対象のアクセスにおけるアドレスの組み合わせとを比較して、異常な通信を行なっている第１の通信機器を特定する特定部と、を備える。

１つの側面では、異常な通信を行なう通信機器を特定することができる。

攻撃者による組織内ネットワークの攻撃手法を説明する図である。 関連例としての組織内ネットワークにおける不正に設置されたサーバの検知処理の第１の例を説明する図である。 関連例としての組織内ネットワークにおける不正に設置されたサーバの検知処理の第２の例を説明する図である。 実施形態の一例における組織内ネットワークのシステム構成を模式的に示すブロック図である。 図４に示したネットワーク監視装置のハードウェア構成を模式的に示すブロック図である。 図４に示したネットワーク監視装置におけるサーバプロセス認証ログ，プロファイルDatabase（ＤＢ）及び異常通信機器Internet Protocol（ＩＰ）アドレス一覧を例示するテーブルである。 図４に示したネットワーク監視装置におけるプロファイルＤＢの生成処理を説明する図である。 図４に示したネットワーク監視装置において異常通信機器を検知した場合の処理を説明する図である。 図４に示したネットワーク監視装置において異常通信機器を検知しなかった場合の処理を説明する図である。 図４に示したネットワーク監視装置におけるアクセス元の集計処理を説明するフローチャートである。 図４に示したネットワーク監視装置における異常通信機器の判定処理を説明するフローチャートである。 図４に示したネットワーク監視装置における異常通信機器の判定処理を説明するフローチャートである。

以下、図面を参照して一実施の形態を説明する。ただし、以下に示す実施形態はあくまでも例示に過ぎず、実施形態で明示しない種々の変形例や技術の適用を排除する意図はない。すなわち、本実施形態を、その趣旨を逸脱しない範囲で種々変形して実施することができる。

また、各図は、図中に示す構成要素のみを備えるという趣旨ではなく、他の機能等を含むことができる。

以下、図中において、同一の各符号は同様の部分を示しているので、その説明は省略する。

〔Ａ〕関連例
図１は、攻撃者８による組織内ネットワーク６００の攻撃手法を説明する図である。

図１に示す組織内ネットワーク６００は、複数（図示する例では、２つ）のセグメント７（「セグメント＃１又は＃２」と称してもよい。）に分けられる。なお、図中において、「セグメント」は、「Ｓｇ」とも表記されている。

各セグメント７は、セグメント７よりも小さいセグメント７０（セグメント＃１−１，＃１−２，＃２−１又は＃２−２と称されてもよい。）を含む。図示する例では、セグメント＃１−１及び＃１−２はセグメント＃１に属し、セグメント＃２−１及び＃２−２はセグメント＃２に属す。

各セグメント７０は、サーバ７１とクライアント７２との少なくとも一方を有する。図示する例では、セグメント＃１−１はＩＰアドレス１．１．１．１及び１．１．１．２で特定される２つのクライアント７２を有し、セグメント＃１−２はＩＰアドレス１．１．２．１及び１．１．２．２で特定される２つのクライアント７２を有する。また、セグメント＃２−１はＩＰアドレス２．１．１．１で特定されるクライアント７２とＩＰアドレス２．１．１．２で特定されるサーバ７１とを有し、セグメント＃２−２はＩＰアドレス２．１．２．１及び２．１．２．２で特定される２つのサーバ７１を有する。

サーバ７１は、データ共有を目的として、クライアント７２からの要求を待ち受ける。

クライアント７２は、サーバ７１に要求を送信し、認証やデータ編集，設定の変更等を実施する。

攻撃者８は、組織内ネットワーク（ＮＷ）６００にアクセスして侵入する（符号Ａ１参照）。

攻撃者８は、組織内ネットワーク６００に不正なサーバ７１を設置する（符号Ａ２参照）。不正に設置されたサーバ７１は、組織内ネットワーク６００に正規に設置されているサーバ７１をウイルス等に感染させることによって転用されてもよいし、組織内ネットワーク６００に物理的に新たなサーバ７１を設置することによって機能してもよい。

攻撃者８は、組織内ネットワーク６００のサーバ７１及びクライアント７２において、機密情報等が含まれるファイルを探索する（符号Ａ３参照）。

攻撃者８は、探索したファイルを不正に設置されたサーバ７１に格納する（符号Ａ４参照）。

攻撃者８は、不正に設置されたサーバ７１に蓄積したファイルをＺＩＰ形式等で圧縮して、外部ネットワークへ送信する（符号Ａ５参照）。

図２は、関連例としての組織内ネットワーク６００における不正に設置されたサーバ７１の検知処理の第１の例を説明する図である。

図２に示す組織内ネットワーク６００も、図１に示した組織内ネットワーク６００と同様の構成を有する。

図２に示す管理者（「ネットワーク管理者」と称されてもよい。）９は、組織内ネットワーク６００における通信や、組織内ネットワーク６００と外部ネットワークとの間の通信をファイアウォール（図２には不図示）等によって監視する。図２に示す不正に設置されたサーバ７１の検知処理では、組織内ネットワーク６００の管理者９は、組織内ネットワーク６００に所属するホストを探索し、サーバ機能を持つホストを特定して遮断する。

具体系には、組織内ネットワーク６００に所属するホストにソフトウェアがインストールされ、ソフトウェアがプロセスを監視する。サーバプロセスが起動しているホストが不正に設置されたサーバ７１の疑いありとして判断される。

また、管理者９から組織内ネットワーク６００に対してネットワークスキャンが定期的に実行されてもよい。そして、管理者９は、普段解放されていないポートが解放されているホストを、不正に設置されたサーバ７１として判断してよい。

図２に示す例では、サーバプロセスが動いていたり、普段解放されていないポートが解放されていたりするサーバ７１についてのＩＰアドレスリスト６０１において２．１．１．２，２．１．２．１及び２．１．２．２が登録されている。そして、ＩＰアドレスリスト６０１に登録されているサーバ７１が外部ネットワークへ接続しようとした場合に、通信が遮断される。

しかしながら、図２に示す手法では、ソフトウェアがインストールされていないサーバ７１はプロセス監視の対象外となるため、不正に設置されたサーバ７１の見逃しが発生するおそれがある。また、ネットワークスキャンを定期的に実行すると、組織内ネットワーク６００のネットワーク帯域を圧迫するため、組織内ネットワーク６００における利便性が低下するおそれがある。

図３は、関連例としての組織内ネットワーク６００における不正に設置されたサーバ７１の検知処理の第２の例を説明する図である。

図３に示す組織内ネットワーク６００は、図１に示した組織内ネットワーク６００と同様の構成に加えて、センサ（「ネットワークセンサ」と称してもよい。）７３を備える。

センサ７３は、組織内ネットワーク６００を流れる通信を監視する。センサ７３により、あるＩＰアドレスが別のＩＰアドレスに対してサーバプロセスの認証を行なう通信を抽出する。そして、認証先となったＩＰアドレスが、サーバプロセスを持つＩＰアドレスとして判断される。

図３に示す例では、サーバプロセス認証ログ６０２において、時刻と送信元ＩＰアドレスと送信先ＩＰアドレスとが対応付けられている。サーバプロセス認証ログ６０２には、時刻９：００において、ＩＰアドレス１．１．１．１から２．１．１．２へのサーバプロセスの認証を行なう通信が登録されている。また、サーバプロセス認証ログ６０２には、時刻９：０１において、ＩＰアドレス１．１．１．２から２．１．２．１へのサーバプロセスの認証を行なう通信が登録されている。更に、サーバプロセス認証ログ６０２には、時刻９：０２において、ＩＰアドレス１．１．２．１から２．１．２．２へのサーバプロセスの認証を行なう通信が登録されている。

そして、図３に示す例では、サーバプロセス認証ログ６０２において送信先ＩＰアドレスとして登録されている２．１．１．２，２．１．２．１及び２．１．２．２が、サーバプロセスを持つＩＰアドレスを示すＩＰアドレスリスト６０１に抽出される。ＩＰアドレスリスト６０１に登録されているサーバ７１が外部ネットワークへ接続しようとした場合に、通信が遮断される。

しかしながら、図３に示す手法では、サーバプロセスを持つＩＰアドレスにおいて、プロジェクト内のファイルサーバ等の正規の目的で設置されたサーバ７１に割り当てられたＩＰアドレスが含まれるおそれがある。この場合には、サーバプロセスの有無を判定しただけでは、正規のサーバ７１のＩＰアドレスと不正に設置されたサーバ７１のＩＰアドレスとを区別できないため、正規のサーバ７１を不正に設置されたサーバ７１として誤検知してしまうおそれがある。正規のサーバ７１であっても、アプリケーションの更新等のため、外部ネットワークへ接続する場合があり、正規のサーバ７１に対する過剰な遮断が発生してしまうと利便性が低下するおそれがある。

〔Ｂ〕実施形態の一例
〔Ｂ−１〕システム構成例
図４は、実施形態の一例における組織内ネットワーク１００のシステム構成を模式的に示すブロック図である。

組織内ネットワーク１００は、外部ネットワーク３００に接続され、ネットワーク監視装置１，複数（図示する例では２つ）のセグメント２（「セグメント＃１又は＃２」と称してもよい。），センサ２３及びファイアウォール２４を備える。なお、センサ２３は、ネットワークセンサ２３と称されてもよい。

センサ２３は、組織内ネットワーク１００における通信を監視する。具体的には、センサ２３は、組織内ネットワーク１００における通信の送信元と送信先とを特定する。

ファイアウォール２４は、組織内ネットワーク１００と外部ネットワーク３００との間で、通過させてはならない通信を遮断する。

各セグメント２は、セグメント２よりも小さいセグメント２０（セグメント＃１−１，＃１−２，＃２−１又は＃２−２と称されてもよい。）を含む。図示する例では、セグメント＃１−１及び＃１−２はセグメント＃１に属し、セグメント＃２−１及び＃２−２はセグメント＃２に属す。

各セグメント２０は、サーバ２１とクライアント２２との少なくとも一方を有する。図示する例では、セグメント＃１−１はＩＰアドレス１．１．１．１及び１．１．１．２で特定される２つのクライアント２２を有し、セグメント＃１−２はＩＰアドレス１．１．２．１及び１．１．２．２で特定される２つのクライアント２２を有する。また、セグメント＃２−１はＩＰアドレス２．１．１．１で特定されるクライアント２２とＩＰアドレス２．１．１．２で特定されるサーバ２１とを有し、セグメント＃２−２はＩＰアドレス２．１．２．１及び２．１．２．２で特定される２つのサーバ２１を有する。

サーバ２１は、通信機器の一例であり、データ共有を目的として、クライアント２２からの要求を待ち受ける。

クライアント２２は、通信機器の一例であり、サーバ２１に要求を送信し、認証やデータ編集，設定の変更等を実施する。

ネットワーク監視装置１は、生成部１１１及び特定部１１２として機能するとともに、サーバプロセス認証ログ１０１，プロファイルＤＢ１０２及び異常通信機器ＩＰアドレス一覧１０３を保持する。

サーバプロセス認証ログ１０１は、センサ２３よって取得された、組織内ネットワーク１００における時刻毎の通信の送信元ＩＰアドレスと送信先ＩＰアドレスとを保持する。なお、サーバプロセス認証ログ１０１の詳細については、図６の（１）等を用いて後述する。

生成部１１１は、サーバプロセス認証ログ１０１に含まれる送信元ＩＰアドレスと送信先ＩＰアドレスとの関係から、サーバプロセスＩＰアドレスとクライアントＩＰアドレス群とを集計して、プロファイルＤＢ１０２を生成する。ここで、サーバプロセスＩＰアドレスは、サーバプロセスを有するサーバ２１のＩＰアドレスを示す。また、クライアントＩＰアドレス群は、１以上のクライアント７２のＩＰアドレスを示す。なお、生成部１１１における機能の詳細は、図７等を用いて後述する。

プロファイルＤＢ１０２は、サーバプロセスＩＰアドレスとクライアントＩＰアドレス群とを対応付けて保持する。なお、プロファイルＤＢ１０２の詳細については、図６の（２）等を用いて後述する。

特定部１１２は、プロファイルＤＢ１０２から異常な通信を行なっているサーバ２１を異常通信機器（「不正設置サーバ」や「ステージングサーバ」と称してもよい。）として特定し、異常通信機器ＩＰアドレス一覧１０３に登録する。なお、特定部１１２における機能の詳細は、図８及び図９等を用いて後述する。

異常通信機器ＩＰアドレス一覧１０３は、特定部１１２によって、異常通信機器として判定されたサーバ２１のＩＰアドレスを保持する。なお、異常通信機器ＩＰアドレス一覧１０３の詳細については、図６の（３）等を用いて後述する。

組織内ネットワーク１００に正規に設置されたサーバ２１は用途が決まっているため、アクセス元となるＩＰアドレスやアクセス元の数も概ね決まっていると想定される。

例えば、部署の特定のプロジェクトのメンバーによって共有されているプロジェクトファイル共有サーバは、特定の１つのセグメント７又は７０に属するＩＰアドレスからに限ってアクセスされることが想定される。一方、部内ファイル共有サーバは、特定の複数のセグメント７又は７０に属するＩＰアドレスからアクセスされることが想定され、アクセス元も固定であると想定される。

そこで、実施形態の一例におけるネットワーク監視装置１は、サーバプロセスが有ると判定されたＩＰアドレスについて、アクセス元となったＩＰアドレスのパターンを記録する。これにより、ネットワーク監視装置１は、記録にないＩＰアドレスのパターンでアクセスされた場合に、アクセス先のＩＰアドレスは異常通信機器であると判定する。

図５は、図４に示したネットワーク監視装置１のハードウェア構成を模式的に示すブロック図である。

ネットワーク監視装置１は、Central Processing Unit（ＣＰＵ）１１，メモリ１２，表示制御部１３，記憶装置１４，入力Interface（Ｉ／Ｆ）１５，読み書き処理部１６及び通信Ｉ／Ｆ１７を備える。

メモリ１２は、例示的に、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）を含む記憶装置である。メモリ１２のＲＯＭには、Basic Input/Output System（ＢＩＯＳ）等のプログラムが書き込まれてよい。メモリ１２のソフトウェアプログラムは、ＣＰＵ１１に適宜に読み込まれて実行されてよい。また、メモリ１２のＲＡＭは、一次記録メモリあるいはワーキングメモリとして利用されてよい。

表示制御部１３は、表示装置１３０と接続され、表示装置１３０を制御する。表示装置１３０は、液晶ディスプレイやOrganic Light-Emitting Diode（ＯＬＥＤ）ディスプレイ，Cathode Ray Tube（ＣＲＴ），電子ペーパーディスプレイ等であり、組織内ネットワーク１００の管理者等のオペレータに対する各種情報を表示する。表示装置１３０は、図６を用いて後述する、サーバプロセス認証ログ１０１，プロファイルＤＢ１０２及び異常通信機器ＩＰアドレス一覧１０３の内容を表示してよい。表示装置１３０は、入力装置と組み合わされたものでもよく、例えば、タッチパネルでもよい。

記憶装置１４は、例示的に、データを読み書き可能に記憶する装置であり、例えば、Hard Disk Drive（ＨＤＤ）やSolid State Drive（ＳＳＤ），Storage Class Memory（ＳＣＭ）が用いられてよい。記憶装置１４は、図６を用いて後述する、サーバプロセス認証ログ１０１，プロファイルＤＢ１０２及び異常通信機器ＩＰアドレス一覧１０３を記憶する。

入力Ｉ／Ｆ１５は、マウス１５１やキーボード１５２等の入力装置と接続され、マウス１５１やキーボード１５２等の入力装置を制御する。マウス１５１やキーボード１５２は、入力装置の一例であり、これらの入力装置を介して、オペレータが各種の入力操作を行なう。

読み書き処理部１６は、記録媒体１６０が装着可能に構成される。読み書き処理部１６は、記録媒体１６０が装着された状態において、記録媒体１６０に記録されている情報を読み取り可能に構成される。本例では、記録媒体１６０は、可搬性を有する。例えば、記録媒体１６０は、フレキシブルディスク、光ディスク、磁気ディスク、光磁気ディスク、又は、半導体メモリ等である。

通信Ｉ／Ｆ１７は、外部装置との通信を可能にするためのインタフェースである。ネットワーク監視装置１は、通信Ｉ／Ｆ１７を介して、センサ２３やファイアウォール２４等との通信を行なう。

ＣＰＵ１１は、種々の制御や演算を行なう処理装置であり、メモリ１２に格納されたＯＳやプログラムを実行することにより、種々の機能を実現する。すなわち、ネットワーク監視装置１のＣＰＵ１１は、図４に示したように、生成部１１１及び特定部１１２として機能する。

なお、これらの生成部１１１及び特定部１１２としての機能を実現するためのプログラムは、例えば前述した記録媒体１６０に記録された形態で提供される。そして、コンピュータは読み書き処理部１６を介してその記録媒体１６０からプログラム（「ネットワーク監視プログラム」と称してもよい。）を読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。また、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信経路を介してコンピュータに提供してもよい。

生成部１１１及び特定部１１２としての機能を実現する際には、内部記憶装置に格納されたプログラムがコンピュータのマイクロプロセッサによって実行される。このとき、記録媒体１６０に記録されたプログラムをコンピュータが読み取って実行してもよい。なお、本実施形態において、内部記憶装置はメモリ１２であり、マイクロプロセッサはＣＰＵ１１である。

ＣＰＵ１１は、例示的に、ネットワーク監視装置１全体の動作を制御する。ネットワーク監視装置１全体の動作を制御するための装置は、ＣＰＵ１１に限定されず、例えば、ＭＰＵやＤＳＰ，ＡＳＩＣ，ＰＬＤ，ＦＰＧＡのいずれか１つであってもよい。また、ネットワーク監視装置１全体の動作を制御するための装置は、ＣＰＵ，ＭＰＵ，ＤＳＰ，ＡＳＩＣ，ＰＬＤ及びＦＰＧＡのうちの２種類以上の組み合わせであってもよい。なお、ＭＰＵはMicro Processing Unitの略称であり、ＤＳＰはDigital Signal Processorの略称であり、ＡＳＩＣはApplication Specific Integrated Circuitの略称である。また、ＰＬＤはProgrammable Logic Deviceの略称であり、ＦＰＧＡはField Programmable Gate Arrayの略称である。

図６の（１）は、図４に示したネットワーク監視装置１におけるサーバプロセス認証ログ１０１を例示する図である。

サーバプロセス認証ログ１０１には、時刻と送信元ＩＰアドレスと送信先ＩＰアドレスとが対応付けられている。

図６の（１）に示す例では、２０１８年４月３０日の９時にＩＰアドレス１．１．１．１から２．１．１．２に対して通信があり、２０１８年４月３０日の９時１分にＩＰアドレス１．１．１．２から２．１．２．１に対して通信があったことを示す。また、２０１８年４月３０日の９時２分にＩＰアドレス１．１．２．１から２．１．２．１に対して通信があったことを示す。

図６の（２）は、図４に示したネットワーク監視装置１におけるプロファイルＤＢ１０２を例示する図である。

プロファイルＤＢ１０２には、ログデータの一例であり、集計時刻とサーバプロセスＩＰアドレスとクライアントＩＰアドレス群とが対応付けられている。

すなわち、図６の（２）に示すプロファイルＤＢ１０２では、クライアントＩＰアドレス群が登録されることにより、図２及び図３に示した関連例におけるＩＰアドレスリスト６０１が拡張されている。

なお、クライアントＩＰアドレス群には、クライアントとして機能しているサーバ２１又はクライアント２２の個別のＩＰアドレスが登録されていなくてもよい。例えば、クライアントＩＰアドレス群には、クライアントとして機能しているサーバ２１又はクライアント２２が属するセグメント２又は２０の識別番号が登録されてもよい。

図６の（２）に示す例では、２０１８年５月１日の０時に、サーバプロセスＩＰアドレス２．１．２．１に対してクライアントＩＰアドレス群１．１．１．１が集計され対応付けられている。また、２０１８年５月１日の０時に、サーバプロセスＩＰアドレス２．１．１．２に対してクライアントＩＰアドレス群１．１．１．２及び１．１．２．１が集計され対応付けられている。

図６の（３）は、図４に示したネットワーク監視装置１における異常通信機器ＩＰアドレス一覧１０３を例示する図である。

異常通信機器ＩＰアドレス一覧１０３には、判定時刻と異常通信機器ＩＰアドレスとが対応付けられている。

図６の（３）に示す例では、２０１８年５月１日の０時に、ＩＰアドレス２．１．１．１のサーバ２１が異常通信機器として判定されたことが登録されている。

図７は、図４に示したネットワーク監視装置１におけるプロファイルＤＢ１０２の生成処理を説明する図である。

図７に示す例において、ＩＰアドレス２．１．１．２で特定されるサーバ２１は、部内ファイル共有サーバとして機能しており、ＩＰアドレス１．１．１．２及び１．１．２．１で特定されるクライアント２２からアクセスされている（符号Ｂ１参照）。

また、図７に示す例において、ＩＰアドレス２．１．２．１で特定されるサーバ２１は、プロジェクトファイル共有サーバとして機能しており、ＩＰアドレス１．１．１．１で特定されるクライアント２２からアクセスされている（符号Ｂ２参照）。

本例では、部内ファイル共有サーバは組織内ネットワーク１００が展開される部署の人員によって共有されており、プロジェクトファイル共有サーバは部署の特定のプロジェクトのメンバーによって共有されている。すなわち、部内ファイル共有サーバは、プロジェクトファイル共有サーバよりも広い範囲のクライアント２２からアクセスされる傾向にある。

生成部１１１は、センサ２３によって取得された組織内ネットワーク１００における通信をサーバプロセス認証ログ１０１に登録し、テーブル１０１１に集計する（符号Ｂ３参照）。

テーブル１０１１においては、サーバプロセスがあるＩＰアドレス２．１．１．２に対して、クライアント２２のＩＰアドレス１．１．１．２及び１．１．２．１が対応付けられている。また、テーブル１０１１においては、サーバ２１としてのプロセスがあるＩＰアドレス２．１．２．１に対して、クライアントとして機能しているＩＰアドレス１．１．１．１が対応付けられている。

生成部１１１は、テーブル１０１１に集計した対応関係を、過去のサーバプロセスＩＰアドレスとクライアントＩＰアドレス群との対応関係を蓄積したプロファイルＤＢ１０２に追加する（符号Ｂ４参照）。

図７に示す例において、プロファイルＤＢ１０２には、２０１８年５月１日の０時に、サーバプロセスＩＰアドレス２．１．１．２に対してクライアントＩＰアドレス群１．１．１．２及び１．１．２．１が集計され対応付けられている。また、２０１８年５月１日の０時に、サーバプロセスＩＰアドレス２．１．２．１に対してクライアントＩＰアドレス群１．１．１．１が集計され対応付けられている。

すなわち、生成部１１１は、組織内ネットワーク１００における通信からサーバプロセスを抽出し、抽出したサーバプロセスにおけるアクセス元のＩＰアドレスの組み合わせを記録したプロファイルＤＢ１０２を生成する。

図７に示すプロファイルＤＢ１０２の生成処理は、例えば１日に１回、定期的に実行されてよい。

図８は、図４に示したネットワーク監視装置１において異常通信機器を検知した場合の処理を説明する図である。

図８に示す例では、ＩＰアドレス２．１．１．２，２．１．２．１及び２．１．２．２で特定されるサーバ２１から、ＩＰアドレス２．１．１．１で特定されるクライアント２２へのアクセスが発生している（符号Ｃ１参照）。

生成部１１１は、センサ２３によって取得された組織内ネットワーク１００における通信をサーバプロセス認証ログ１０１に登録し、最新プロファイル結果１０１２に集計する（符号Ｃ２参照）。

最新プロファイル結果１０１２においては、サーバプロセスがあるＩＰアドレス２．１．１．１に対して、クライアントとして機能しているＩＰアドレス２．１．１．２，２．１．２．１及び２．１．２．２が対応付けられている。

特定部１１２は、最新プロファイル結果１０１２の内容とプロファイルＤＢ１０２の内容とを比較する（符号Ｃ３参照）。

図８に示す例において、プロファイルＤＢ１０２には、２０１８年５月１日の０時に、サーバプロセスＩＰアドレス２．１．１．２に対してクライアントＩＰアドレス群１．１．１．２及び１．１．２．１が集計され対応付けられている。また、２０１８年５月１日の０時に、サーバプロセスＩＰアドレス２．１．２．１に対してクライアントＩＰアドレス群１．１．１．１が集計され対応付けられている。

特定部１１２は、最新プロファイル結果１０１２を参照して、クライアントとして機能しているＩＰアドレス２．１．１．２と２．１．２．１と２．１．２．２との組み合わせが、プロファイルＤＢ１０２のクライアントＩＰアドレス群に存在するかを判定する。図示する例では、クライアントとして機能しているＩＰアドレスの組み合わせがプロファイルＤＢ１０２に存在しないため、特定部１１２は、サーバプロセスを有するＩＰアドレス２．１．１．１で特定されるクライアント２２が異常通信機器であると判定する。

特定部１１２によって異常通信機器であると判定されたサーバ２１又はクライアント２２が存在する場合には、組織内ネットワーク１００と外部ネットワーク３００との通信が遮断されてよい。

すなわち、特定部１１２は、プロファイルＤＢ１０２に記録された過去のＩＰアドレスの組み合わせと、特定対象のアクセスにおけるＩＰアドレスの組み合わせとを比較して、異常な通信を行なっているサーバ２１又はクライアント２２を特定する。

具体的には、特定部１１２は、特定対象のアクセスにおいて、プロファイルＤＢ１０２に存在しないＩＰアドレスの組み合わせによってアクセスされたサーバ２１又はクライアント２２を、異常通信機器として特定する。

図９は、図４に示したネットワーク監視装置１において異常通信機器を検知しなかった場合の処理を説明する図である。

図９に示す例では、ＩＰアドレス１．１．１．１で特定されるクライアント２２から、ＩＰアドレス２．１．２．１で特定されるサーバ２１へのアクセスが発生している（符号Ｄ１参照）。

生成部１１１は、センサ２３によって取得された組織内ネットワーク１００における通信をサーバプロセス認証ログ１０１に登録し、最新プロファイル結果１０１２に集計する（符号Ｄ２参照）。

最新プロファイル結果１０１２においては、サーバプロセスがあるＩＰアドレス２．１．２．１に対して、クライアントとして機能しているＩＰアドレス１．１．１．１が対応付けられている。

特定部１１２は、最新プロファイル結果１０１２の内容とプロファイルＤＢ１０２の内容とを比較する（符号Ｄ３参照）。

図９に示す例において、プロファイルＤＢ１０２には、２０１８年５月１日の０時に、サーバプロセスＩＰアドレス２．１．１．２に対してクライアントＩＰアドレス群１．１．１．２及び１．１．２．１が集計され対応付けられている。また、２０１８年５月１日の０時に、サーバプロセスＩＰアドレス２．１．２．１に対してクライアントＩＰアドレス群１．１．１．１が集計され対応付けられている。

特定部１１２は、最新プロファイル結果１０１２を参照して、クライアントとして機能しているＩＰアドレス１．１．１．１が、プロファイルＤＢ１０２のクライアントＩＰアドレス群に存在するかを判定する。図示する例では、クライアントとして機能しているＩＰアドレスがプロファイルＤＢ１０２に存在しているため、特定部１１２は、サーバプロセスを有するＩＰアドレス２．１．２．１で特定されるクライアント２２は異常通信機器でないと判定する。

〔Ｂ−２〕動作例
図４に示したネットワーク監視装置１におけるアクセス元の集計処理を、図１０に示すフローチャート（ステップＳ１〜Ｓ９）に従って説明する。

生成部１１１は、サーバプロセス認証ログ１０１を読み込む（ステップＳ１）。

生成部１１１は、送信先ＩＰアドレスの項目から重複を除外し、ユニークな送信先ＩＰアドレスをサーバＩＰアドレスリストとして取得する（ステップＳ２）。

生成部１１１は、サーバＩＰアドレスリストと同じ長さを有するリストを作成する（ステップＳ３）。

生成部１１１は、サーバプロセス認証ログ１０１を１行読み込む（ステップＳ４）。

生成部１１１は、読み込んだサーバプロセス認証ログ１０１の１行内の送信先ＩＰアドレスに該当するサーバＩＰアドレスリストの番号を取得する（ステップＳ５）。

生成部１１１は、取得した番号に対応するクライアントＩＰアドレス群リスト内の項目に送信元ＩＰアドレスを追加する（ステップＳ６）。

生成部１１１は、サーバプロセス認証ログ１０１を全て読み込んだかを判定する（ステップＳ７）。

サーバプロセス認証ログ１０１において読み込んでいない行がある場合には（ステップＳ７のＮｏルート参照）、処理はステップＳ４へ戻る。

一方、サーバプロセス認証ログ１０１を全て読み込んだ場合には（ステップＳ７のＹｅｓルート参照）、生成部１１１は、サーバＩＰリストとクライアントＩＰアドレスとを結合したテーブル１０１１（図７参照）を生成する（ステップＳ８）。

生成部１１１は、結合したテーブル１０１１をプロファイルＤＢ１０２に書き込む（ステップＳ９）。そして、アクセス元の集計処理は終了する。

次に、図４に示したネットワーク監視装置１における異常通信機器の判定処理を、図１１及び図１２に示すフローチャート（ステップＳ１１〜Ｓ２３）に従って説明する。なお、図１１にはステップＳ１１〜Ｓ１７における処理を示し、図１２にはステップＳ１８〜Ｓ２３における処理を示す。

特定部１１２は、プロファイルＤＢ１０２中のログを読み込む（図１１のステップＳ１１）。

特定部１１２は、最新のプロファイルＤＢ１０２のログを、最新プロファイル結果１０１２（図８及び図９参照）として取り出す（図１１のステップＳ１２）。

特定部１１２は、最新プロファイル結果１０１２の１行を読み込む（図１１のステップＳ１３）。

特定部１１２は、ＦｌａｇをＦａｌｓｅに設定する（図１１のステップＳ１４）。

特定部１１２は、読み込んだ最新プロファイル結果１０１２から、クライアントＩＰアドレス群を取り出す（図１１のステップＳ１５）。

特定部１１２は、プロファイルＤＢ１０２のログを１行読み込む（図１１のステップＳ１６）。

特定部１１２は、判定対象のクライアントＩＰアドレス群と、読み込んだプロファイルＤＢ１０２のログ中のクライアントＩＰアドレス群とを比較する（図１１のステップＳ１７）。

特定部１１２は、図１１のステップＳ１７における比較の結果、クライアントＩＰアドレス群が合致したかを判定する（図１２のステップＳ１８）。

クライアントＩＰアドレス群が合致しない場合には（図１２のステップＳ１８のＮｏルート参照）、処理は図１２のステップＳ２０へ進む。

一方、クライアントＩＰアドレス群が合致した場合には（図１２のステップＳ１８のＹｅｓルート参照）、特定部１１２は、ＦｌａｇをＴｒｕｅに設定する（図１２のステップＳ１９）。

特定部１１２は、プロファイルＤＢ１０２のログを全て読み込んだかを判定する（図１２のステップＳ２０）。

プロファイルＤＢ１０２において読み込んでいないログがある場合には（図１２のステップＳ２０のＮｏルート参照）、処理は図１１のステップＳ１６へ移行する。

一方、プロファイルＤＢ１０２のログを全て読み込んだ場合には（図１２のステップＳ２０のＹｅｓルート参照）、特定部１１２は、ＦｌａｇがＦａｌｓｅであるかを判定する（図１２のステップＳ２１）。

ＦｌａｇがＦａｌｓｅでない場合には（図１２のステップＳ２１のＮｏルート参照）、処理は図１２のステップＳ２３へ進む。

一方、ＦｌａｇがＦａｌｓｅである場合には（図１２のステップＳ２１のＹｅｓルート参照）、特定部１１２は、最新プロファイル結果１０１２中のサーバプロセスＩＰアドレスによって特定されるサーバ２１又はクライアント２２が異常通信機器であると判定する。そして、特定部１１２は、最新プロファイル結果１０１２中のサーバプロセスＩＰアドレスを異常通信機器ＩＰアドレス一覧１０３に格納する（図１２のステップＳ２２）。

特定部１１２は、最新プロファイル結果１０１２を全て読み込んだかを判定する（図１２のステップＳ２３）。

読み込んでいない最新プロファイル結果１０１２がある場合には（図１２のステップＳ２３のＮｏルート参照）、処理は図１１のステップＳ１３へ移行する。

一方、最新プロファイル結果１０１２を全て読み込んだ場合には（図１２のステップＳ２３のＹｅｓルート参照）、異常通信機器の判定処理は終了する。

すなわち、特定部１１２は、サーバプロセスを有するサーバ２１又はクライアント２２のそれぞれについてのフラグに第１の値を設定する。また、特定部１１２は、異常通信機器として特定されなかったサーバ２１又はクライアント２２についてのフラグを第１の値から第２の値に変更する。そして、特定部１１２は、フラグが第１の値に設定されているサーバ２１又はクライアント２２のＩＰアドレスを異常通信機器ＩＰアドレス一覧１０３として出力する。

〔Ｂ−３〕効果
上述した実施形態の一例におけるネットワーク監視装置１によれば、例えば以下の効果を奏することができる。

生成部１１１は、組織内ネットワーク１００における通信からサーバプロセスを抽出し、抽出したサーバプロセスにおけるアクセス元のＩＰアドレスの組み合わせを記録したプロファイルＤＢ１０２を生成する。また、特定部１１２は、プロファイルＤＢ１０２に記録された過去のＩＰアドレスの組み合わせと、特定対象のアクセスにおけるＩＰアドレスの組み合わせとを比較して、異常な通信を行なっているサーバ２１又はクライアント２２を特定する。

これにより、組織内ネットワーク１００に設置したセンサ２３から得られた情報を定期的に記録して、正規のサーバ２１又はクライアント２２の設置状況と正規のサーバ２１又はクライアント２２に対するアクセスパターンとを学習することができる。従って、組織ネットワーク１００内のセキュリティ管理者によって異常通信機器を特定する場合よりも、異常通信機器の特定を効率的に実施できる。

特定部１１２は、特定対象のアクセスにおいて、プロファイルＤＢ１０２に存在しないＩＰアドレスの組み合わせによってアクセスされたサーバ２１又はクライアント２２を、異常通信機器として特定する。

これにより、学習したアクセスパターンに存在するサーバ２１又はクライアント２２を正規の通信機器と判断し、学習したアクセスパターンに存在しないサーバ２１又はクライアント２２を異常通信機器と判断することができる。そして、外部ネットワーク３００に対する通信を監視すべきサーバ２１又はクライアント２２を適切に選定できる。

特定部１１２は、サーバプロセスを有するサーバ２１又はクライアント２２のそれぞれについてのフラグに第１の値を設定する。また、特定部１１２は、異常通信機器として特定されなかったサーバ２１又はクライアント２２についてのフラグを第１の値から第２の値に変更する。そして、特定部１１２は、フラグが第１の値に設定されているサーバ２１又はクライアント２２のＩＰアドレスを異常通信機器ＩＰアドレス一覧１０３として出力する。

これにより、組織内ネットワーク１００に複数の異常通信機器が存在する場合においても、異常通信機器を正確に特定できる。また、出力された異常通信機器ＩＰアドレス一覧１０３を組織内ネットワーク１００の管理者等に提示でき、異常通信機器に対する適切且つ迅速な対処が可能となる。

〔Ｃ〕その他
開示の技術は上述した実施形態に限定されるものではなく、本実施形態の趣旨を逸脱しない範囲で種々変形して実施することができる。本実施形態の各構成及び各処理は、必要に応じて取捨選択することができ、あるいは適宜組み合わせてもよい。

〔Ｄ〕付記
以上の実施形態に関し、さらに以下の付記を開示する。

（付記１）
ネットワーク内の通信からサーバプロセスを抽出して、前記サーバプロセスにおけるアクセス元のアドレスの組み合わせを記録したログデータを生成する生成部と、
前記ログデータに記録された過去のアドレスの組み合わせと、特定対象のアクセスにおけるアドレスの組み合わせとを比較して、異常な通信を行なっている第１の通信機器を特定する特定部と、
を備える、ネットワーク監視装置。

（付記２）
前記特定部は、前記特定対象のアクセスにおいて、前記ログデータに存在しないアドレスの組み合わせによってアクセスされた通信機器を、前記第１の通信機器として特定する、
付記１に記載のネットワーク監視装置。

（付記３）
前記特定部は、
前記サーバプロセスを有する通信機器のそれぞれについてのフラグに第１の値を設定し、
前記第１の通信機器として特定されなかった通信機器についての前記フラグを前記第１の値から第２の値に変更し、
前記フラグが前記第１の値に設定されている通信機器のアドレスを前記第１の通信機器の一覧として出力する、
付記１又は２に記載のネットワーク監視装置。

（付記４）
コンピュータに、
ネットワーク内の通信からサーバプロセスを抽出して、前記サーバプロセスにおけるアクセス元のアドレスの組み合わせを記録したログデータを生成し、
前記ログデータに記録された過去のアドレスの組み合わせと、特定対象のアクセスにおけるアドレスの組み合わせとを比較して、異常な通信を行なっている第１の通信機器を特定する、
処理を実行させる、ネットワーク監視プログラム。

（付記５）
前記特定対象のアクセスにおいて、前記ログデータに存在しないアドレスの組み合わせによってアクセスされた通信機器を、前記第１の通信機器として特定する、
処理を前記コンピュータに実行させる、付記４に記載のネットワーク監視プログラム。

（付記６）
前記サーバプロセスを有する通信機器のそれぞれについてのフラグに第１の値を設定し、
前記第１の通信機器として特定されなかった通信機器についての前記フラグを前記第１の値から第２の値に変更し、
前記フラグが前記第１の値に設定されている通信機器のアドレスを前記第１の通信機器の一覧として出力する、
処理を前記コンピュータに実行させる、付記４又は５に記載のネットワーク監視プログラム。

（付記７）
ネットワーク内の通信からサーバプロセスを抽出して、前記サーバプロセスにおけるアクセス元のアドレスの組み合わせを記録したログデータを生成し、
前記ログデータに記録された過去のアドレスの組み合わせと、特定対象のアクセスにおけるアドレスの組み合わせとを比較して、異常な通信を行なっている第１の通信機器を特定する、
ネットワーク監視方法。

（付記８）
前記特定対象のアクセスにおいて、前記ログデータに存在しないアドレスの組み合わせによってアクセスされた通信機器を、前記第１の通信機器として特定する、
付記７に記載のネットワーク監視方法。

（付記９）
前記サーバプロセスを有する通信機器のそれぞれについてのフラグに第１の値を設定し、
前記第１の通信機器として特定されなかった通信機器についての前記フラグを前記第１の値から第２の値に変更し、
前記フラグが前記第１の値に設定されている通信機器のアドレスを前記第１の通信機器の一覧として出力する、
付記７又は８に記載のネットワーク監視方法。

１００，６００：組織内ネットワーク
１ ：ネットワーク監視装置
１１ ：ＣＰＵ
１１１ ：生成部
１１２ ：特定部
１２ ：メモリ
１３ ：表示制御部
１３０ ：表示装置
１４ ：記憶装置
１５ ：入力Ｉ／Ｆ
１５１ ：マウス
１５２ ：キーボード
１６ ：読み書き処理部
１６０ ：記録媒体
１７ ：通信Ｉ／Ｆ
２，２０，７，７０：セグメント
２１，７１ ：サーバ
２２，７２ ：クライアント
２３，７３ ：センサ
２４ ：ファイアウォール
８ ：攻撃者
９ ：管理者
１０１，６０２：サーバプロセス認証ログ
１０１１ ：テーブル
１０１２ ：最新プロファイル結果
１０２ ：プロファイルＤＢ
１０３ ：異常通信機器ＩＰアドレス一覧
３００ ：外部ネットワーク
６０１ ：ＩＰアドレスリスト

Claims (5)

1. ネットワーク内の通信からサーバプロセスを抽出して、前記サーバプロセスにおけるアクセス元のアドレスの組み合わせを記録したログデータを生成する生成部と、
   前記ログデータに記録された過去のアドレスの組み合わせと、特定対象のアクセスにおけるアドレスの組み合わせとを比較して、異常な通信を行なっている第１の通信機器を特定する特定部と、
   を備える、ネットワーク監視装置。
2. 前記特定部は、前記特定対象のアクセスにおいて、前記ログデータに存在しないアドレスの組み合わせによってアクセスされた通信機器を、前記第１の通信機器として特定する、
   請求項１に記載のネットワーク監視装置。
3. 前記特定部は、
   前記サーバプロセスを有する通信機器のそれぞれについてのフラグに第１の値を設定し、
   前記第１の通信機器として特定されなかった通信機器についての前記フラグを前記第１の値から第２の値に変更し、
   前記フラグが前記第１の値に設定されている通信機器のアドレスを前記第１の通信機器の一覧として出力する、
   請求項１又は２に記載のネットワーク監視装置。
4. コンピュータに、
   ネットワーク内の通信からサーバプロセスを抽出して、前記サーバプロセスにおけるアクセス元のアドレスの組み合わせを記録したログデータを生成し、
   前記ログデータに記録された過去のアドレスの組み合わせと、特定対象のアクセスにおけるアドレスの組み合わせとを比較して、異常な通信を行なっている第１の通信機器を特定する、
   処理を実行させる、ネットワーク監視プログラム。
5. ネットワーク内の通信からサーバプロセスを抽出して、前記サーバプロセスにおけるアクセス元のアドレスの組み合わせを記録したログデータを生成し、
   前記ログデータに記録された過去のアドレスの組み合わせと、特定対象のアクセスにおけるアドレスの組み合わせとを比較して、異常な通信を行なっている第１の通信機器を特定する、
   ネットワーク監視方法。

Images