JP7074187B2 - 監視装置、監視方法及びプログラム - Google Patents

Description

本発明は、監視装置、監視方法及びプログラムに関する。

現実のサイバー攻撃の脅威を観測する方法として、意図的に脆弱な環境にしたマシン（サーバ）をインターネットに公開することで、あえてサイバー攻撃を受ける手法がある。当該マシンは、ハニーポットと呼ばれ、観測したいサイバー攻撃に特化した様々なハニーポットが研究・開発されている。

ハニーポットは、低対話型と高対話型の２種類に分類できる。低対話型ハニーポットは、サイバー攻撃を観測したいプロトコルやアプリケーションをエミュレートすることでサイバー攻撃を受けるハニーポットである。高対話型ハニーポットは、実際のＯＳ（Operating System）やアプリケーションを使って観測したいサイバー攻撃を受けるハニーポットである。

低対話型ハニーポットは、予め設定された環境でサイバー攻撃を受ける。ここで、公開されているハニーポットは、継続的な攻撃を考慮しているものが少ない。そのため、サイバー攻撃の度に予め設定された環境でサイバー攻撃を受けるため、継続的に攻撃をしてくる攻撃者にはハニーポットと看破されることがある。

また、高対話型ハニーポットは、自身がサイバー攻撃に加担しないように定期的にクリーンな状態に戻す運用が求められることが多い。そのため、高対話型ハニーポットの場合にも、継続的に攻撃をしてくる攻撃者にハニーポットと看破されることがある。

高対話型ハニーポットにおいて、サイバー攻撃に加担しないように適切なアクセス制御を行なうことで、クリーンアップを不要とする運用が考えられる。この場合、サイバー攻撃の痕跡がすべてハニーポットの内部に残るため、攻撃者Ａの攻撃結果が攻撃者Ａと無関係の攻撃者Ｂの攻撃に影響を与えてしまう可能性が考えられる。

非特許文献１には、サイバー攻撃を観測するためのハニーポットが記載されている。非特許文献１は、アクセス元の操作をサンドボックス上のＬｉｎｕｘ（登録商標、以下同じ）で実行した結果を蓄積し、同様の操作に対しては蓄積した結果を返す実装を開示している。

Yin Minn Pa Pa, S. Suzuki, K. Yoshioka, T. Matsumoto, T. Kasama, and C. Rossow, "IoTPOT: analysing the rise of IoT compromises" in 9th USENIX Workshop on Offensive Technologies (WOOT 15), 2015

なお、上記先行技術文献の開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

上述のように、非特許文献１には、アクセス元の操作結果を蓄積し同様の操作に対しては蓄積した結果を返すハニーポットが開示されている。しかし、同一のコマンド（Ｌｉｎｕｘコマンド）でも実行したタイミングによって結果が異なる場合がある。例えば、あるファイルＡがハニーポットにダウンロードされる前と後では、ｌｓコマンド（ファイル、ディレクトリの内容表示コマンド）の結果が異なる。具体的には、ダウンロード前の結果にはファイルＡが含まれないが、ダウンロード後の結果にはファイルＡが含まれる。

非特許文献１では、同一の操作に対しては毎回同じ結果を返してしまうため、ファイルのダウンロードによるファイルシステムの変化が結果に反映されず、攻撃者にハニーポットであると看破される可能性がある。つまり、攻撃者は、ハニーポットのファイルシステムに変化がない不自然な状況を手がかりに攻撃対象がハニーポットであると看破する可能性がある。

本発明は、継続的に攻撃をしてくる攻撃者によりハニーポットであると看破されることを防止することに寄与する、監視装置、監視方法及びプログラムを提供することを主たる目的とする。

本発明乃至開示の第１の視点によれば、アクセス元を判定する、判定部と、前記アクセス元の活動により生じた環境の変更点を保存する、保存部と、前記アクセス元の操作に応答する際に参照する環境を前記保存部により保存された環境の変更点に基づき復元する、復元部と、を備える、監視装置が提供される。

本発明乃至開示の第２の視点によれば、監視装置において、アクセス元を判定するステップと、前記アクセス元の活動により生じた環境の変更点を保存するステップと、前記アクセス元の操作に応答する際に参照する環境を前記保存された環境の変更点に基づき復元するステップと、を実行する監視方法が提供される。

本発明乃至開示の第３の視点によれば、監視装置に搭載されたコンピュータに、アクセス元を判定する処理と、前記アクセス元の活動により生じた環境の変更点を保存する処理と、前記アクセス元の操作に応答する際に参照する環境を前記保存された環境の変更点に基づき復元する処理と、を実行させるプログラムが提供される。
なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

本発明乃至開示の各視点によれば、継続的に攻撃をしてくる攻撃者によりハニーポットであると看破されることを防止することに寄与する、監視装置、監視方法及びプログラムが、提供される。

一実施形態の概要を説明するための図である。 第１の実施形態に係る監視装置の内部構成の一例を示す図である。 変更履歴をディスクイメージで保存する場合の環境ＤＢの持つテーブルの例である。 第１の実施形態に係る監視装置のハードウェア構成の一例を示す図である。 第１の実施形態に係る監視装置の動作の一例を示すシーケンス図である。 第２の実施形態に係る監視装置の内部構成の一例を示す図である。 変更履歴をディスクイメージで保存する場合の環境ＤＢの持つテーブルの例である。

初めに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。さらに、本願開示に示す回路図、ブロック図、内部構成図、接続図などにおいて、明示は省略するが、入力ポート及び出力ポートが各接続線の入力端及び出力端のそれぞれに存在する。入出力インターフェイスも同様である。

一実施形態に係る監視装置１００は、判定部１０１と、保存部１０２と、復元部１０３と、を備える（図１参照）。判定部１０１は、アクセス元を判定する。保存部１０２は、アクセス元の活動により生じた環境の変更点を保存する。復元部１０３は、アクセス元の操作に応答する際に参照する環境を保存部１０２により保存された環境の変更点に基づき復元する。

上記監視装置１００は、アクセス元の活動によって生じた環境（ファイルシステム）の変更点をアクセス元ごとに記録しておき、アクセス元が同一の場合に過去の変更点を反映したファイルシステムをアクセス元へ提供する。その結果、継続的に攻撃してくる攻撃者にハニーポットと看破されないようにし、攻撃者による多くの活動を観測できる。

以下に具体的な実施の形態について、図面を参照してさらに詳しく説明する。なお、各実施形態において同一構成要素には同一の符号を付し、その説明を省略する。

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

［構成の説明］
図２は、第１の実施形態に係る監視装置１０の内部構成（処理構成）の一例を示す図である。監視装置１０は、パケット送信部１１と、パケット受信部１２と、挙動監視部１３と、挙動ログデータベース（ＤＢ；Data Base）１４と、アクセス元判定部１５と、環境復元部１６と、環境保存部１７と、環境データベース（ＤＢ）１８と、を備える。

パケット送信部１１は、挙動監視部１３と接続されており、外部から接続のあったアクセス元に対して通信パケットを送信する手段（モジュール）である。

パケット受信部１２は、挙動監視部１３と接続されており、外部から受け取った通信パケットを挙動監視部１３に引き渡す。

挙動監視部１３は、アクセス元からの操作を受け付け、応答すると共に、アクセス元の活動を監視する。具体的には、挙動監視部１３は、監視装置１０が監視対象とするＯＳやサービスが動作し、受信した通信パケットを処理する。その際、挙動監視部１３は、環境復元部１６により提供された環境（ファイルシステム）に基づき、アクセス元からの操作に応答する。また、挙動監視部１３は、受信した通信パケットの内容や処理結果をログとして記録する機能を備える。

挙動監視部１３で通信パケットを処理した結果、ファイルシステムに影響を与える挙動であると判断した場合には、挙動監視部１３は、環境保存部１７へファイルシステムに影響を与える挙動に関する情報を引き渡す。

なお、ファイルシステムに影響を与える挙動とは、ファイル生成、ファイルダウンロード、ファイル削除、ファイル修正、ディレクトリ生成、ディレクトリ削除、ソフトウェアの設定変更等である。上記動作は、例示であってファイルシステムに影響を与える動作を限定する趣旨ではないのは勿論である。

挙動監視部１３は、ＯＳやサービスをエミュレートする低対話型であってもよいし、高対話型であってもよい。つまり、挙動監視部１３は、実際（既存）のＯＳやサービスなどで実現可能である。

低対話型の具体例として、ＤｉｏｎａｅａやＣｏｗｒｉｅ等のハニーポットが挙げられる。高対話型の具体例として、Ｌｉｎｕｘ等の汎用ＯＳに、リモートデスクトップやＳＳＨ（Secure SHell）のサービスを動作させておくことが挙げられる。

また、挙動監視部１３のログ記録機能は、低対話型や高対話型のツールに付属している機能や、別途ログ記録用ツールを監視装置１０にインストールすることで実現可能である。なお、上記具体例は例示であって、他の手段を用いてもよい。

挙動ログＤＢ１４は、挙動監視部１３で処理した内容やその結果についてのログを記録する。ログのフォーマットは、挙動監視部１３で使用するツールに依存する。

アクセス元判定部１５は、アクセス元を判定（特定）する手段である。より具体的には、アクセス元判定部１５は、パケット受信部１２が受信したパケットの特徴からアクセス元を識別する値を生成し、環境復元部１６に引き渡す。つまり、アクセス元判定部１５は、アクセス元が接続時に使用する通信プロトコルから受動的に把握できる情報を使用してアクセス元の同一性を判定するための情報を生成し、環境復元部１６に引き渡す。アクセス元を識別する特徴の例として、アクセス元のＩＰ（Internet Protocol）アドレスやクライアントに使われているライブラリバージョンなどがある。

環境ＤＢ１８は、ファイルシステム（アクセス元が動作している環境）の変更点をアクセス元ごとに格納する。具体的には、環境ＤＢ１８は、アクセス元ごとにファイルシステムの変更履歴を保存する。変更履歴の保存形式は、ディスクイメージや、新たに生成されたファイルや削除されたファイルを記録したテーブルなどで実現可能である。

図３は、変更履歴をディスクイメージで保存する場合の環境ＤＢ１８の持つテーブルの例である。図３を参照すると、環境ＤＢ１８のテーブルは、少なくともアクセス元と、そのアクセス元が行なったファイルシステムの変更が反映されたディスクイメージに関する情報を持つ。

また、接続のないアクセス元に対するファイルシステムとして、ベースイメージの情報を記録しておくことが好ましい。図３に示す「ｎｅｗｃｏｍｅｒ」は対応するアクセス元の記録がないアクセス元、すなわち、初めてアクセスしてきたアクセス元を示し、当該アクセス元に対してはベースイメージのファイルシステムが用いられることを示す。なお、図３では、ＩＰアドレスをアクセス元の識別情報として用いている。

図２に説明を戻す。環境保存部１７は、アクセス元の活動により生じた環境の変更点を保存する手段である。より具体的には、環境保存部１７は、挙動監視部１３で観測した、ファイルシステムに影響を与える挙動をファイルシステムに反映する。環境保存部１７は、アクセス元判定部１５が判定したアクセス元に合わせて環境復元部１６が環境を復元できるよう、アクセス元の識別情報とファイルシステムの変更点を対応付けて環境ＤＢ１８に保存する。環境保存部１７は、アクセス元の活動によるファイルシステムの変更点をアクセス元ごとに環境ＤＢ１８に格納する。

環境保存部１７の機能は、変更履歴をディスクイメージで保存する場合、ディスクイメージをそのまま保存する方法で実現できる。つまり、環境保存部１７は、アクセス元の活動終了後に、アクセス元の活動が反映されたファイルシステムをディスクイメージとして環境ＤＢ１８に保存してもよい。

あるいは、環境保存部１７は、ベースイメージとの差分を保存する方法などで変更履歴の保存を行ってもよい。つまり、環境保存部１７は、アクセス元の活動終了後にアクセス元の活動によって生じたベースイメージからのファイルシステムの変更点をディスクイメージとして環境ＤＢ１８に保存してもよい。

あるいは、環境保存部１７は、ディスクイメージではなく、例えば、変更履歴をファイルとして保存する場合、新たに作成されたファイル、変更されたファイル、削除されたファイルに関する情報を保存してもよい。つまり、環境保存部１７は、アクセス元の活動終了後にアクセス元の活動によって変更のあったファイルシステム上のファイルの情報を環境ＤＢ１８に保存してもよい。

また、ファイルシステムの変更点を保存するタイミングに関し、環境保存部１７は、ファイルシステムの変更を逐次保存してもよいし、セッション切断後に開始時のファイルシステムと比較して差分を保存してもよい。

環境復元部１６は、アクセス元の操作に応答する際に参照する環境（ファイルシステム）を環境保存部１７により保存された変更点に基づき復元する。より具体的には、環境復元部１６は、アクセス元判定部１５から取得したアクセス元を識別する値に基づき、当該アクセス元が過去に自装置（監視装置１０）に接続した履歴があるか否かを調査する。

アクセスの履歴がなかった場合、環境復元部１６は、デフォルトのファイルシステム（例えば、図３に示すベースイメージ）を挙動監視部１３に引き渡す。

アクセスの履歴があった場合、環境復元部１６は、過去のファイルシステムの変更を反映したファイルシステムを復元し、挙動監視部１３に引き渡す。例えば、環境復元部１６は、ベースイメージにファイルシステムの変更履歴を反映して、挙動監視部１３に引き渡す。

このように、環境復元部１６は、アクセス元判定部１５が判定したアクセス元に対応したファイルシステムを環境ＤＢ１８に記録された情報から復元し、挙動監視部１３に提供する。その際、環境復元部１６は、アクセス元からの初めてのアクセスの場合は、初アクセス用の環境（ベースイメージ）を挙動監視部１３に提供する。さらに、環境復元部１６は、アクセス元からのアクセスが２回目以降のアクセスの場合は、保存された環境の変更点に基づく環境を挙動監視部１３に提供する。

変更履歴の保存に関し、新たに生成されたファイルや削除されたファイルとして保存している場合、ファイルシステムの変更を遡る期間は、環境ＤＢ１８に存在する履歴すべてでも実現可能であるし、過去１ヶ月のように範囲を指定することでも実現可能である。

［ハードウェア構成］
続いて、監視装置１０のハードウェア構成を説明する。

図４は、監視装置１０のハードウェア構成の一例を示す図である。監視装置１０は、図４に例示する構成を備える。例えば、監視装置１０は、内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）３１、メモリ３２、入出力インターフェイス３３及び通信手段であるＮＩＣ（Network Interface Card）３４等を備える。なお、図４に示す構成は、監視装置１０のハードウェア構成を限定する趣旨ではない。監視装置１０には、図示しないハードウェアも含まれていてもよい。

メモリ３２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）等である。

入出力インターフェイス３３は、図示しない入出力装置のインターフェイスとなる手段である。入出力装置には、例えば、表示装置、操作デバイス等が含まれる。表示装置は、例えば、液晶ディスプレイ等である。操作デバイスは、例えば、キーボードやマウス等である。

上述の監視装置１０の各処理モジュールは、例えば、メモリ３２に格納されたプログラムをＣＰＵ３１が実行することで実現される。また、そのプログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。即ち、上記処理モジュールが行う機能を何らかのハードウェア、及び／又は、ソフトウェアで実行する手段があればよい。

［動作の説明］
図５は、第１の実施形態に係る監視装置１０の動作の一例を示すシーケンス図である。図５には、挙動監視部１３へのログインに認証が必要な場合を例として示している。図５を参照しつつ、監視装置１０の動作例を説明する。

監視装置１０は、アクセス元からの接続（アクセス）を受け付ける（ステップＳ１）。

アクセス元判定部１５は、アクセス元の接続時に受動的に把握できる情報（例えば、ＩＰアドレス）からアクセス元を判定する（ステップＳ２）。

環境復元部１６は、当該判定結果に対応したファイルシステムイメージを用意する（ステップＳ３）。つまり、環境復元部１６は、アクセス元に対応したファイルシステムイメージを用意し、挙動監視部１３に提供する。

アクセス元は、監視装置１０に対して認証リクエストを送信する（ステップＳ４）。

その後、監視装置１０は、アクセス元に対して認証レスポンスを返送する（ステップＳ５）。

上記ステップＳ４における認証リクエストに含まれる情報が正しい認証情報だった場合、監視装置１０は、アクセス元のログインを許可し、ログイン後の挙動をログに記録する（ステップＳ６～Ｓ８）。監視装置１０は、上記ステップＳ６～Ｓ８の動作をセッションが持続する間繰り返す。つまり、挙動監視部１３は、アクセス元判定部１５により判定された結果に応じて環境復元部１６から提供されたファイルシステムを用いてアクセス元の動作を監視（ログ取得）し、必要に応じて操作結果をアクセス元に返信する。

何らかの理由によりセッションが切れた場合、環境保存部１７は、当該セッション内で行われたファイルシステムの変更を保存する（ステップＳ９）。

認証情報が間違っていた場合、監視装置１０は、セッションを切断する（ステップＳ１０）。

以上のように、第１の実施形態に係る監視装置１０は、アクセス元の活動により生じるファイルシステムの変更を記録しておき、当該アクセス元が過去に行なったファイルシステムの変更を反映した環境を提供するハニーポットとして動作する。その結果、アクセス元に対応したファイルシステムが保持、提供されることになり、攻撃者により監視装置１０がハニーポットであると看破されることを防止できる。監視装置１０がハニーポットであることが看破されなければ、攻撃者が多くの活動を行い有益な情報を多数得ることが可能になる。このように、第１の実施形態では、ハニーポット（監視装置１０）が接続のたびに設定されたファイルシステムを模擬、又は、提供することで、繰り返し接続を試みる攻撃者が対象であっても、容易にハニーポットであると看破できなくなる。

［第２の実施形態］
続いて、第２の実施形態について図面を参照して詳細に説明する。なお、第１の実施形態と同様の構成要素については、同一の符号を付し詳細な説明を省略する。

［構成の説明］
図６は、第２の実施形態に係る監視装置２０の内部構成（処理構成）の一例を示す図である。図６に示されるように、第２の実施形態における監視装置２０は、その内部に環境ログＤＢ、環境ＤＢを備えていない。

図２に示す挙動ログＤＢ１４、環境ＤＢ１８に相当するデータベースは、記憶装置（データベースサーバ）２１として分離されている。なお、図６に示すように、第２の実施形態では、複数の監視装置２０がシステムに存在することを前提とする。

記憶装置２１は、挙動ログＤＢ２１４と環境ＤＢ２１８を備える。記憶装置２１は、監視装置２０と接続されている。

監視装置２０の挙動監視部１３は、第１の実施形態と同様に、挙動ログＤＢ２１４に挙動ログを保存する。

また、環境保存部１７と環境復元部は１６のそれぞれは、ファイルシステムの変更を保存する際とアクセス元に対応したファイルシステムを復元する際に環境ＤＢ２１８にアクセスする。

環境ＤＢ２１８が持つテーブルには、第１の実施形態にて説明した要素に加えて、監視装置２０を識別する情報が加わる。図７は、変更履歴をディスクイメージで保存する場合の環境ＤＢ２１８の持つテーブルの例である。図７を参照すると、図３に示すテーブル情報に、監視装置のＩＤ（Identifier）が追加されている。

以上のように、第２の実施形態では、データベース（挙動ログＤＢ、環境ＤＢ）を一元管理する。その結果、各監視装置の内部にデータベースを構築する場合と比較し、管理コストの低減や、複数の監視装置によるログの分析が容易に行える。

［変形例］
なお、第１及び第２の実施形態にて説明した監視装置の構成は例示であって、監視装置の構成を限定する趣旨ではない。例えば、挙動監視部１３により収集された挙動ログを分析し、攻撃者を特定するモジュールが監視装置に含まれていてもよい。

さらに、コンピュータの記憶部に、上述したコンピュータプログラムをインストールすることにより、コンピュータを監視装置として機能させることができる。さらにまた、上述したコンピュータプログラムをコンピュータに実行させることにより、コンピュータによりアクセス元の活動を監視する監視方法を実行することができる。

また、上述の説明で用いたシーケンス図では、複数の工程（処理）が順番に記載されているが、各実施形態で実行される工程の実行順序は、その記載の順番に制限されない。各実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。また、上述の各実施形態は、内容が相反しない範囲で組み合わせることができる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
上述の第１の視点に係る監視装置のとおりである。
［付記２］
前記アクセス元からの操作を受け付け、応答すると共に、前記アクセス元の活動を監視する挙動監視部と、
前記環境の変更点を前記アクセス元ごとに格納する、環境データベースと、
をさらに備え、
前記保存部は、前記環境の変更点を前記アクセス元ごとに前記環境データベースに格納し、
前記復元部は、前記アクセス元ごとに独立した環境を前記挙動監視部に提供し、
前記挙動監視部は、前記復元部により提供された環境に基づき、前記アクセス元からの操作に応答する、好ましくは付記１に記載の監視装置。
［付記３］
前記復元部は、前記アクセス元からの初めてのアクセスの場合は、初アクセス用の環境を前記挙動監視部に提供し、前記アクセス元からのアクセスが２回目以降のアクセスの場合は、前記保存された環境の変更点に基づく環境を前記挙動監視部に提供する、好ましくは付記２に記載の監視装置。
［付記４］
前記保存部は、
前記アクセス元の活動終了後に、前記アクセス元の活動が反映されたファイルシステムをディスクイメージとして前記環境データベースに保存する、好ましくは付記２又は３に記載の監視装置。
［付記５］
前記保存部は、
前記アクセス元の活動終了後に前記アクセス元の活動によって生じたファイルシステムの変更点をディスクイメージとして前記環境データベースに保存する、好ましくは付記２又は３に記載の監視装置。
［付記６］
前記保存部は、
前記アクセス元の活動終了後に前記アクセス元の活動によって変更のあったファイルシステム上のファイルの情報を前記環境データベースに保存する、好ましくは付記２又は３に記載の監視装置。
［付記７］
前記復元部は、
前記判定部が判定したアクセス元に対応したファイルシステムを前記環境データベースに記録された情報から復元し前記挙動監視部に提供する、好ましくは付記４乃至６のいずれか一に記載の監視装置。
［付記８］
前記判定部は、
前記アクセス元が接続時に使用する通信プロトコルから把握できる情報を使用してアクセス元の同一性を判定するための情報を生成する、好ましくは付記１乃至７のいずれか一に記載の監視装置。
［付記９］
挙動監視部で処理した内容及び処理結果に関するログを記憶する、挙動ログデータベースをさらに備える、好ましくは付記２乃至８のいずれか一に記載の監視装置。
［付記１０］
前記挙動ログデータベース及び前記環境データベースは、外部の装置に構築されている、好ましくは付記９に記載の監視装置。
［付記１１］
上述の第２の視点に係る監視方法のとおりである。
［付記１２］
上述の第３の視点に係るプログラムのとおりである。
なお、付記１１の形態及び付記１２の形態は、付記１の形態と同様に、付記２の形態～付記１０の形態に展開することが可能である。

なお、引用した上記の特許文献の開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

１０、２０、１００ 監視装置
１１ パケット送信部
１２ パケット受信部
１３ 挙動監視部
１４、２１４ 挙動ログデータベース（ＤＢ）
１５ アクセス元判定部
１６ 環境復元部
１７ 環境保存部
１８、２１８ 環境データベース（ＤＢ）
２１ 記憶装置
３１ ＣＰＵ（Central Processing Unit）
３２ メモリ
３３ 入出力インターフェイス
３４ ＮＩＣ（Network Interface Card）
１０１、判定部
１０２ 保存部
１０３ 復元部

Claims (10)

1. アクセス元を判定する、判定部と、
   前記アクセス元の活動により生じた環境の変更点を保存する、保存部と、
   前記アクセス元の操作に応答する際に参照する前記アクセス元に対応した環境を前記保存部により保存された環境の変更点に基づき復元する、復元部と、
   前記アクセス元からの操作を受け付け、応答すると共に、前記アクセス元の活動を監視する挙動監視部と、
   前記環境の変更点を前記アクセス元ごとに格納する、環境データベースと、
   を備え、
   前記保存部は、前記環境の変更点を前記アクセス元ごとに前記環境データベースに格納し、
   前記アクセス元の活動終了後に、前記アクセス元の活動が反映されたファイルシステムをディスクイメージとして前記環境データベースに保存し、
   前記復元部は、前記アクセス元ごとに独立した環境を前記挙動監視部に提供し、
   前記挙動監視部は、前記復元部により提供された環境に基づき、前記アクセス元からの操作に応答する、監視装置。
2. アクセス元を判定する、判定部と、
   前記アクセス元の活動により生じた環境の変更点を保存する、保存部と、
   前記アクセス元の操作に応答する際に参照する前記アクセス元に対応した環境を前記保存部により保存された環境の変更点に基づき復元する、復元部と、
   前記アクセス元からの操作を受け付け、応答すると共に、前記アクセス元の活動を監視する挙動監視部と、
   前記環境の変更点を前記アクセス元ごとに格納する、環境データベースと、
   を備え、
   前記保存部は、前記環境の変更点を前記アクセス元ごとに前記環境データベースに格納し、
   前記アクセス元の活動終了後に前記アクセス元の活動によって生じたファイルシステムの変更点をディスクイメージとして前記環境データベースに保存し、
   前記復元部は、前記アクセス元ごとに独立した環境を前記挙動監視部に提供し、
   前記挙動監視部は、前記復元部により提供された環境に基づき、前記アクセス元からの操作に応答する、監視装置。
3. 前記復元部は、前記アクセス元からの初めてのアクセスの場合は、初アクセス用の環境を前記挙動監視部に提供し、前記アクセス元からのアクセスが２回目以降のアクセスの場合は、前記保存された環境の変更点に基づく環境を前記挙動監視部に提供する、請求項１又は２に記載の監視装置。
4. 前記保存部は、
   前記アクセス元の活動終了後に前記アクセス元の活動によって変更のあったファイルシステム上のファイルの情報を前記環境データベースに保存する、請求項１乃至３のいずれか一項に記載の監視装置。
5. 前記復元部は、
   前記判定部が判定したアクセス元に対応したファイルシステムを前記環境データベースに記録された情報から復元し前記挙動監視部に提供する、請求項１乃至４のいずれか一項に記載の監視装置。
6. 前記判定部は、
   前記アクセス元が接続時に使用する通信プロトコルから把握できる情報を使用してアクセス元の同一性を判定するための情報を生成する、請求項１乃至５のいずれか一項に記載の監視装置。
7. アクセス元の活動により生じた環境の変更点を前記アクセス元ごとに格納する、環境データベースを有する監視装置において、
   アクセス元を判定するステップと、
   前記アクセス元の活動により生じた環境の変更点を保存するステップと、
   前記アクセス元の操作に応答する際に参照する前記アクセス元に対応した環境を前記保存された環境の変更点に基づき復元するステップと、
   前記アクセス元からの操作を受け付け、応答すると共に、前記アクセス元の活動を監視するステップと、
   前記保存するステップでは、前記環境の変更点を前記アクセス元ごとに前記環境データベースに格納し、
   前記アクセス元の活動終了後に、前記アクセス元の活動が反映されたファイルシステムをディスクイメージとして前記環境データベースに保存し、
   前記復元するステップでは、前記アクセス元ごとに独立した環境を提供し、
   前記監視するステップでは、前記復元するステップにより提供された環境に基づき、前記アクセス元からの操作に応答する、
   監視方法。
8. アクセス元の活動により生じた環境の変更点を前記アクセス元ごとに格納する、環境データベースを有する監視装置において、
   アクセス元を判定するステップと、
   前記アクセス元の活動により生じた環境の変更点を保存するステップと、
   前記アクセス元の操作に応答する際に参照する前記アクセス元に対応した環境を前記保存された環境の変更点に基づき復元するステップと、
   前記アクセス元からの操作を受け付け、応答すると共に、前記アクセス元の活動を監視するステップと、
   を実行し、
   前記保存するステップでは、前記環境の変更点を前記アクセス元ごとに前記環境データベースに格納し、
   前記アクセス元の活動終了後に前記アクセス元の活動によって生じたファイルシステムの変更点をディスクイメージとして前記環境データベースに保存し、
   前記復元するステップでは、前記アクセス元ごとに独立した環境を提供し、
   前記監視するステップでは、前記復元するステップにより提供された環境に基づき、前記アクセス元からの操作に応答する、
   監視方法。
9. アクセス元の活動により生じた環境の変更点を前記アクセス元ごとに格納する、環境データベースを有する監視装置に搭載されたコンピュータに、
   アクセス元を判定する処理と、
   前記アクセス元の活動により生じた環境の変更点を保存する処理と、
   前記アクセス元の操作に応答する際に参照する前記アクセス元に対応した環境を前記保存された環境の変更点に基づき復元する処理と、
   前記アクセス元からの操作を受け付け、応答すると共に、前記アクセス元の活動を監視する処理と、
   を実行させ、
   前記保存する処理では、前記環境の変更点を前記アクセス元ごとに前記環境データベースに格納し、
   前記アクセス元の活動終了後に、前記アクセス元の活動が反映されたファイルシステムをディスクイメージとして前記環境データベースに保存し、
   前記復元する処理では、前記アクセス元ごとに独立した環境を提供し、
   前記監視する処理では、前記復元する処理により提供された環境に基づき、前記アクセス元からの操作に応答する、
   プログラム。
10. アクセス元の活動により生じた環境の変更点を前記アクセス元ごとに格納する、環境データベースを有する監視装置に搭載されたコンピュータに、
    アクセス元を判定する処理と、
    前記アクセス元の活動により生じた環境の変更点を保存する処理と、
    前記アクセス元の操作に応答する際に参照する前記アクセス元に対応した環境を前記保存された環境の変更点に基づき復元する処理と、
    前記アクセス元からの操作を受け付け、応答すると共に、前記アクセス元の活動を監視する処理と、
    を実行させ、
    前記保存する処理では、前記環境の変更点を前記アクセス元ごとに前記環境データベースに格納し、
    前記アクセス元の活動終了後に前記アクセス元の活動によって生じたファイルシステムの変更点をディスクイメージとして前記環境データベースに保存し、
    前記復元する処理では、前記アクセス元ごとに独立した環境を提供し、
    前記監視する処理では、前記復元する処理により提供された環境に基づき、前記アクセス元からの操作に応答する、
    プログラム。

Images