JP2007018044A - 自己再組織化システム - Google Patents

Abstract

【課題】 不正侵入時、侵入されていない他の計算機が、データの一貫性を保ちながら最小限の業務を維持できるようにシステムを再構築し、全業務が停止状態になる異常事態を回避する手段を備えた自己再組織化システムを提供する。
【解決手段】 基本データを格納しそれぞれがアクセスするデータベース１０１〜１０４を割り当てられ、不正侵入の異常状態を監視する不正侵入検知手段１０と、不正侵入による異常状態に対応する経路構成および実行プロセスリストを保持する構成テーブル１１と、他の計算機からの状態変更通知を受信し状態変更を他の計算機に通知し他の計算機からの不正侵入の通知を受信する通信モジュール１２と、業務ソフトウエアおよび不正侵入対策ソフトウエアなどの実行ファイル群１３とを含む複数の計算機からなり、不正侵入された計算機が、自分の経路構成を変更し、他の計算機に異常状態を通知し、他の計算機が防衛体制を再構築する自己再組織化システム。
【選択図】 図１

Description

本発明は、自己再組織化システムに係り、特に、システムを構成する複数の計算機のいずれかが不正侵入を受けた場合に自律防御する手段に関する。

従来の不正侵入防止システムは、不正侵入に対して侵入をブロックする単機能に特化したものが圧倒的に多かった。

一方、障害があった時にもデータの一貫性を保つシステムとしては、各計算機に共通の共有メモリを外付けで有し、各計算機が、自機の異常を監視するとともに、その計算機に割り当てられた業務および障害発生の有無に関する情報を前記共有メモリ内の状況記憶部に書き込む一方、割り当てられた資源の記憶手段に、対応業務に関する処理状態情報を書き込む状況監視手段と、状況記憶部をアクセスし、他の計算機が障害によりダウンしたことを検出したらテーブルの定義情報に基づき割り当てられる業務対応の資源を自機の管理下に組み込む資源組込手段と、他の計算機のダウン時に、管理下に組み込む資源の記憶手段を処理タスクを用いてアクセスし、この記憶手段の情報に基づき対応業務を実行可能状態を構築するリカバリ処理手段と、当初からの割り当てに係る業務およびリカバリ処理手段により実行可能に構築された業務を実行する処理実行手段とを備えたコンピュータバックアップシステムが提案されている(例えば、特許文献１参照)。

特開平０７−０４４４１３号(第３頁 図１，図２)

従来の不正侵入防止システムでは、少なくとも１台の計算機が不正侵入されると、業務が中断してしまう場合があり、不正侵入された計算機から他の計算機へのより深い不正侵入を防止することが困難だった。

また、特許文献１に記載のコンピュータバックアップシステムは、主にシステムダウンに対するバックアップを課題としており、不正侵入には対応できなかった。

結局は、実行ファイル(プログラム)群だけでなく、基本データの一貫性を保てないと、再構成したシステムがバックアップ機能を果たせないという問題があった。

本発明の課題は、不正侵入を受けた時に、侵入されていない他の計算機が、データの一貫性を保ちながら最小限の業務を維持できるようにシステムの防御体制を再構築し、全業務が停止状態になる異常事態を回避する手段を備えた自己再組織化システムを提供することである。

本発明は、上記課題を解決するために、基本データを格納しそれぞれがアクセスするデータベースを割り当てられ、不正侵入の異常状態を監視する不正侵入検知手段と、不正侵入による異常状態に対応する経路構成および実行プロセスリストを保持する構成テーブルと、他の計算機からの状態変更通知を受信し状態変更を他の計算機に通知し他の計算機からの不正侵入の通知を受信する通信モジュールと、業務ソフトウエアおよび不正侵入対策ソフトウエアなどの実行ファイル群とを含む複数の計算機からなり、不正侵入された計算機が、自分の経路構成を変更し、他の計算機に異常状態または変更した経路構成を通知し、通知を受けた残りの計算機が、異常状態または変更した経路構成と構成テーブルとを照合し、経路構成および実行プロセスを変更し、協調して防御体制を再構築する自己再組織化システムを提案する。

本発明によれば、不正侵入を検知した時に、不正侵入されていない他の計算機が、それよりも深い不正侵入を防ぐようにシステムを再構築するので、被害を最小限に限定できる。

また、１つの共有テーブルによる従来の集中管理方式に代えて、各計算機が構成テーブルを保持し、異常事態に対して柔軟に協調動作するので、不正侵入された計算機の構成テーブルが破壊されても、不正侵入されていない他の計算機が、データの一貫性を保ちながら最小限の業務を維持できるようにシステムの防御体制を再構築し、全業務が停止状態になる異常事態を回避できる。

さらに、１台の計算機が不正侵入され、他の計算機が防御体制に移行した後、別の計算機が不正侵入を受けた時も、各計算機が異常状態と構成テーブルとを照合し、新たな異常状態に対応した防御体制を再構築できる。

次に、図１〜図５を参照して、本発明による自己再組織化システムの実施例を説明する。

図１は、本発明による自己再組織化システムの実施例１の系統構成を示すブロック図である。

本実施例１の自己再組織化システムは、ネットワーク１０５により相互接続された計算機１０１〜１０４からなる。計算機１０１は、計算機１０２〜１０４への不正侵入を監視しており、計算機１０２〜１０４は、それぞれの業務を処理している。計算機１０１〜１０４は、基本データを格納しそれぞれがアクセスするデータベースＤ１０１〜Ｄ１０４を割り当てられている。

各計算機１０１〜１０４は、検知手段１０と、構成テーブル１１と、通信モジュール１２と、業務ソフトウエアおよび不正侵入対策ソフトウエアなどの実行ファイル群１３とを含んでいる。

検知手段１０は、不正侵入の異常状態を監視する。構成テーブル１１は、不正侵入による異常状態に対応する経路構成情報および実行プロセスリストを保持している。

通信モジュール１２は、他の計算機からの状態変更通知を受信し、状態変更を他の計算機に通知し、他の計算機からの不正侵入の通知を受信する。実行ファイル群１３は、構成テーブル１１が保持しているプロセスリストに挙げられているすべてのソフトウエアを格納している。

図２は、本発明の自己再組織化システムで用いる構成テーブル１１の一例を示す図である。

構成テーブル１１は、ＩＤ，異常状態，経路構成情報，実行プロセスリストが１レコードになるように作られており、それぞれのレコードには、各異常状態に対応した最適な経路構成情報および実行プロセスリストが割り当てられている。したがって、他の計算機に構成情報を通知する場合は、ＩＤを送信するだけでよく、構成テーブル１１の１レコードすべてを送信せずに済む。

計算機１０１〜１０４のいずれかが不正侵入された時、検知手段１０を使って自らの計算機への不正侵入を検知するか、または、全体への不正侵入を監視している計算機１０１から不正侵入されたことを通知される。

不正侵入を検知したまたは不正侵入を通知された計算機は、検知された情報または通知された情報と図２の構成テーブル１１とを照合し、該当する異常状態から経路構成情報および実行プロセスリストを取り出す。

不正侵入を受けた計算機は、経路構成情報に基づいて計算機の経路情報を変更するとともに、実行プロセスリストに基づいて、実行ファイル群１３から該当する実行ファイルを起動する。

通知を受ける前に起動していた業務プロセスが実行プロセスリストに無い場合は、該当業務プロセスを終了する。

不正侵入を受けた計算機は、これらの処理が完了すると、システム構成上関連する他計算機に変更した構成テーブル１１のＩＤを送信する。

図３は、本発明による自己再組織化システムの不正侵入監視の処理手順を示すフローチャートである。

ステップ６１：各計算機１０１〜１０４は、受信待ち状態にあり、他の計算機から不正侵入検知や構成変更の通知があった場合、その信号を受信する。

ステップ６２：ステップ６１で受信した情報は暗号化されているので、暗号を解読する。

ステップ６３：解読した情報が不正侵入による異常状態を通知しているか、他の計算機の構成テーブル１１に基づきシステム構成が変更されたこと示すＩＤかを判別する。

ステップ６４ａ：不正侵入による異常状態の通知である場合、通知された情報と構成テーブル１１の異常状態とを比較し、マッチしたレコードのＩＤ，経路構成情報，実行プロセスリストを取り出す。構成テーブル１１には、すべての情報にマッチしない場合のレコードも含まれており、その場合はトラブルを生じないように、決められた処理に移行する。

ステップ６５ａ：経路構成情報に基づいて計算機の経路情報を変更する。変更した経路情報は、該当計算機上で動作する業務および不正侵入防御プロセスが参照する。

ステップ６６ａ：実行プロセスリストに基づいて、該当プロセスに変更する。実行プロセスリストに無いプロセスで、既に起動しているプロセスは停止し、終了させる。

ステップ６７ａ：以上の処理が終了すると、関連する他計算機にマッチしたレコードのＩＤを通知する。

通知後、受信待ち状態に戻る。

ステップ６４ｂ：他の計算機の構成テーブル１１変更により処理が変更されたことをＩＤで通知された場合、通知された情報と構成テーブル１１のＩＤとを比較し、マッチした経路構成情報，実行プロセスリストを取り出す。

構成テーブル１１にはすべての情報にマッチしない場合のレコードも含まれており、その場合はトラブルを生じないように、決められた処理に移行する。

ステップ６５ｂ：経路構成情報に基づいて計算機の経路情報を変更する。変更した経路情報は、該当計算機上で動作する業務および不正侵入防御プロセスが参照する。

ステップ６６ｂ：実行プロセスリストに基づいて、該当プロセスに変更する。実行プロセスリストに無いプロセスで、既に起動しているプロセスは停止し、終了させる。

ステップ６７ｂ：以上の処理が終了すると、関連する他計算機に前記ＩＤを通知する。
通知後、受信待ち状態に戻る。

なお、ステップ６４ａ，６４ｂでは、受信情報と構成テーブル１１との単一マッチング方法の他に、一度ＩＤＸ１を取得した後に、別なＩＤＸ２や異常状態を取得した時に、ＩＤＸ２がＩＤＸ１を含んでいる場合は、ＩＤＸ２の処理を実行し、ＩＤＸ１がＩＤＸ２を含んでいる場合は、ＩＤＸ２の処理は実行しないで、ＩＤＸ１がＩＤＸ２を含んでいないまた部分的に含んでいる場合は、両状態を含んでいる異常状態を検索し、マッチした処理を実行するなどの複合マッチング方法を採用してもよい。

図４は、本発明による自己再組織化システムの実施例２の系統構成を示すブロック図である。

本実施例２の自己再組織化システムは、外部ネットワーク２０５と内部ネットワーク２０６とを中継するゲートウェイ計算機２０１と、計算機２０１〜２０４が参照可能なドメインサーバ計算機２０２と、データベースＤ２０３へのデータベースアクセス計算機が２０３と、内部ネットワーク２０６および外部ネットワーク２０５のクライアントからのサービス受付け計算機２０４とからなる。各計算機２０１〜２０４は、それぞれ不正侵入検知手段を持っている。

例えば、ドメインサーバ計算機２０２がデータベースアクセス計算機２０３への不正侵入を検知したとする。ドメインサーバ計算機２０２は、構成テーブル１１に基づいて、パケットモニタリングソフトウエアを起動する。また、データベースアクセス計算機２０３へのクライアントからの要求は、サービス受付け計算機２０４に転送するよう経路を変更する、さらに、より深い不正侵入を防止するために、不正侵入されたデータベースアクセス計算機２０３からのアクセスを拒否する。

変更が完了した後、データベースアクセス計算機２０３は、関連する他のゲートウェイ計算機２０１およびサービス受付け計算機２０４に変更した構成テーブル１１のＩＤを通知する。

ＩＤの通知を受けたゲートウェイ計算機２０１は、構成テーブル１１と通知されたＩＤとを照合し、該当する実行プロセスリストに基づいて、すべてのサービスを停止する。

一方、ＩＤの通知を受けたサービス受付け計算機２０４は、構成テーブル１１と通知されたＩＤとを照合し、該当する実行プロセスリストに基づいて、クライアントからのサービス受付けシステムとともに、データベースＤ２０３へのデータベースアクセスシステムを起動する。さらに、より深い不正侵入を防止するために、データベースアクセス計算機２０３からのデータベースＤ２０３へのアクセスを阻止するソフトウエアを起動する。

この一連の処理により、内部からデータベースＤ２０３へのアクセス処理のみという最小限のシステム運用構成に変更し、かつ、外部からのサービス要求を遮断し、パケットモニタリングソフトウエアを起動することにより、不正侵入からの防御システムを再構築する。

図５は、本発明による自己再組織化システムの実施例３の系統構成を示すブロック図である。

本実施例３は、ネットワーク３０５により相互接続されたメールサーバ計算機３０３と、ファイルサーバ計算機３０４と、メールサーバ計算機３０３およびファイルサーバ計算機３０４のサービスを利用するクライアント計算機３０１と、管理システム計算機３０２とからなる。各計算機３０１〜３０４は、不正侵入検知手段を有する。

例えば、メールサーバ計算機３０３が、未知のコンピュータウイルスに感染し異常状態にあるクライアント計算機３０１からメールサーバ計算機３０３への不正アクセスを検知する。メールサーバ計算機３０３は、クライアント計算機３０１が不正侵入されていると判断した場合、異常状態と構成テーブル１１とを照合し、マッチした構成情報に基づいてクライアント計算機３０１からの経路情報を削除し、実行プロセスリストに基づいてクライアント計算機３０１からのアクセスを拒否するプロセスを起動する。

メールサーバ計算機３０３は、構成情報のＩＤを関連する他の管理システム計算機３０２に送信する。

構成情報のＩＤを受信した管理システム計算機３０２は、ＩＤと構成テーブル１１とを照合し、マッチした構成情報に基づいて実行プロセスリストにあるパケットモニタリングソフトウエアおよびクライアント計算機３０１の通信を不能にするソフトウエアを起動する。

メールサーバ計算機３０３は、その後、システム運用上関連するファイルサーバ計算機３０４に構成情報のＩＤを送信する。

構成情報のＩＤを受信したファイルサーバ計算機３０４は、ＩＤと構成テーブル１１とを照合し、マッチした構成情報に基づいて現存するファイルシステムサービスを停止し、クライアント計算機３０１を除外したファイル共有サービスのプロセスを起動する。

不正侵入の検出には、計算機内部に不正侵入予測検出システムが内蔵されている。不正侵入予測検出システムは、通常の業務処理をするプロセスとは別に、入出力データ，負荷，インターフェースの呼出しについて、例えばニューラルネットワークを用いたパターンマッチングにより、正常でないと推測される挙動を不正侵入による異常と検出する。

不正侵入を検出する計算機を別途配置し、不正侵入の兆候がある場合に計算機を特定し、関連する他計算機に異常情報を通知する。

構成テーブル１１では、それぞれの異常状態について経路およびプロセスの実行リストが対応している。異常状態に対して新しく再構築するシステムは、異常状態にある計算機と同一のオペレーティングシステムの同一バージョン，同一アプリケーション，同一デバイスドライバを使用しないようにしてある。

なお、いずれの実施例においても、不正侵入された計算機は、異常状態を検知したら、構成テーブルに基づき、自らの計算機をシャットダウンする手段を備える。

本発明による自己再組織化システムの実施例１の系統構成を示すブロック図である。 本発明の自己再組織化システムで用いる構成テーブルの一例を示す図である。 本発明による自己再組織化システムの不正侵入監視の処理手順を示すフローチャートである。 本発明による自己再組織化システムの実施例２の系統構成を示すブロック図である。 本発明による自己再組織化システムの実施例３の系統構成を示すブロック図である。

符号の説明

１０ 検知手段
１１ 構成テーブル
１２ 通信モジュール
１３ 実行ファイル群
１０１〜１０４ 計算機
２０１ ゲートウェイ計算機
２０２ ドメインサーバ計算機
２０３ データベースアクセス計算機
２０４ サービス受付け計算機
２０５，２０６ ネットワーク
３０１ クライアント計算機
３０２ 管理システム計算機
３０３ メールサーバ計算機
３０４ ファイルサーバ計算機
３０５ ネットワーク
Ｄ１０１〜Ｄ１０４ データベース
Ｄ２０３ データベース

Claims (7)

1. 基本データを格納しそれぞれがアクセスするデータベースを割り当てられ、不正侵入の異常状態を監視する不正侵入検知手段と、不正侵入による異常状態に対応する経路構成および実行プロセスリストを保持する構成テーブルと、他の計算機からの状態変更通知を受信し状態変更を他の計算機に通知し他の計算機からの不正侵入の通知を受信する通信モジュールと、業務ソフトウエアおよび不正侵入対策ソフトウエアなどの実行ファイル群とを含む複数の計算機からなり、不正侵入された計算機が、自分の経路構成を変更し、他の計算機に異常状態を通知することを特徴とする自己再組織化システム。
2. 基本データを格納しそれぞれがアクセスするデータベースを割り当てられ、不正侵入の異常状態を監視する不正侵入検知手段と、不正侵入による異常状態に対応する経路構成および実行プロセスリストを保持する構成テーブルと、他の計算機からの状態変更通知を受信し状態変更を他の計算機に通知し他の計算機からの不正侵入の通知を受信する通信モジュールと、業務ソフトウエアおよび不正侵入対策ソフトウエアなどの実行ファイル群とを含む複数の計算機と、前記複数の計算機とは別途配置され前記複数の計算機への不正侵入を検出する計算機とからなり、
   別途配置された前記計算機が、不正侵入の兆候がある場合に侵入対象の計算機を特定して関連する他計算機に異常情報を通知し、および／または、不正侵入された計算機が、自分の経路構成を変更し、他の計算機に異常状態を通知することを特徴とする自己再組織化システム。
3. 請求項１または２に記載された自己再組織化システムにおいて、
   通知を受けた残りの計算機が、異常状態と構成テーブルとを照合し、経路構成および実行プロセスを変更し、協調して防御体制を再構築することを特徴とする自己再組織化システム。
4. 基本データを格納しそれぞれがアクセスするデータベースを割り当てられ、不正侵入の異常状態を監視する不正侵入検知手段と、不正侵入による異常状態に対応する経路構成および実行プロセスリストを保持する構成テーブルと、他の計算機からの状態変更通知を受信し状態変更を他の計算機に通知し他の計算機からの不正侵入の通知を受信する通信モジュールと、業務ソフトウエアおよび不正侵入対策ソフトウエアなどの実行ファイル群とを含む複数の計算機からなり、不正侵入された計算機が、自分の経路構成を変更し、他の計算機に変更した経路構成を通知することを特徴とする自己再組織化システム。
5. 請求項４に記載された自己再組織化システムにおいて、
   通知を受けた残りの計算機が、経路構成と構成テーブルとを照合し、経路構成および実行プロセスを変更し、
   協調して防御体制を再構築することを特徴とする自己再組織化システム。
6. 請求項１ないし５のいずれか一項に記載された自己再組織化システムにおいて、
   前記構成テーブルが、異常状態，経路構成，実行プロセスリストの組合せに一意に付けられたＩＤを含み、
   前記異常状態または変更した経路構成の通知が、前記ＩＤのみの送受信によりなされることを特徴とする自己再組織化システム。
7. 請求項１ないし６のいずれか一項に記載された自己再組織化システムにおいて、
   不正侵入された計算機は、異常状態を検知したら、構成テーブルに基づき、自らの計算機をシャットダウンする手段を備えることを特徴とする自己再組織化システム。
   

Images