JP5111073B2 - ポリシ生成システム、プログラム、および記録媒体 - Google Patents

Description

本発明は、ネットワーク型侵入検知システムが検知したイベントに運用者が対応する際のポリシ（方針）を示すポリシ情報を生成するポリシ生成システムに関する。また、本発明は、ポリシ生成システムとしてコンピュータを機能させるためのプログラム、およびそのプログラムを記録したコンピュータ読み取り可能な記録媒体にも関する。

ネットワーク型侵入検知システム（Network-based Intrusion Detection System：NIDS）の代表的な侵入検知方式の１つに、ネットワーク回線上を流れるパケットのパターンが、予め定義しておいた攻撃パターンと一致する場合に、攻撃を検知したとみなすシグネチャマッチング方式がある。NIDSは、攻撃パターンを含むパケットを検知する（イベントを検知する）と、そのパケットが攻撃先のシステムに対して影響を及ぼすか否かに関わらず、イベント情報を出力する。

NIDSがイベントを検知した場合に、NIDSを設置しているシステム内のホストの状態を確認するか否かはNIDSの運用者の判断に委ねられている。しかし、ホストにおけるOSやアプリケーションの設定に応じて攻撃の有効性が異なるため、運用者はホストのOSやアプリケーションの状態を全て把握しておき、NIDSが検知したイベントの内容とOSやアプリケーションの状態とに応じて、ホストの確認作業を行うか否かを判断する必要がある。あるいは、NIDSがイベントを検知する毎に、運用者は逐一ホストの確認作業を行う必要がある。このため、確認作業の必要なイベントを選定するポリシファイルを作成することが重要である。

NIDS以外にも、ポリシファイルの設定を行う機器がある。例えば、特許文献１には、NIDSの不正アクセス検出機能を利用してファイアウォールのポリシファイルを自動更新する技術が記載されている。また、特許文献２には、ファイアウォールが検知したDoS（Denial of Service）攻撃の情報に基づいてルータのポリシファイルを自動更新する技術が記載されている。
特開２００５−７１２１８号公報 特開２００５−１９７８２３号公報

しかし、NIDSのポリシファイルの作成は運用者の技量に依存しており、設定の不備が生じる恐れがある。

本発明は、上述した課題に鑑みてなされたものであって、運用者の技量に依存せずにポリシ情報を生成することができるポリシ生成システム、プログラム、および記録媒体を提供することを目的とする。

本発明は、上記の課題を解決するため、以下の事項に基づいてなされたものである。ホスト型侵入検知システムまたはウィルス検知システムと、ネットワーク型侵入検知システムとから出力されるイベント情報を関連付けることによって、攻撃によるイベントと、攻撃の影響を受けていないイベントとを識別することが可能となる。例えば、ホスト型侵入検知システムまたはウィルス検知システムと、ネットワーク型侵入検知システムとがほぼ同時刻にそれぞれ独立にイベントを検知した場合、そのイベントは、攻撃による影響が現れていることを示している。

また、ネットワーク型侵入検知システムのみがイベントを検知した場合や、ホスト型侵入検知システムまたはウィルス検知システムのみがイベントを検知した場合、そのイベントは、OSやアプリケーションによる正常な動作、または攻撃が失敗したことを示している。上記のことから、実際の攻撃によるイベント情報を収集し、そのイベント情報に基づいて、攻撃の影響が反映されたポリシ情報を生成することによって、ポリシ情報の生成において運用者の技量を排除することが可能となる。

上記の事項に鑑み、本発明は、ホスト型侵入検知システムまたはウィルス検知システムと、ネットワーク型侵入検知システムとから出力されるイベント情報を収集するイベント収集手段と、イベントの検知時刻に基づいて前記イベント情報を互いに関連付ける関連付け手段と、互いに関連付けた前記イベント情報に基づいて、攻撃によるイベントの出現頻度に関する統計値を算出する統計値算出手段と、前記ネットワーク型侵入検知システムが検知するイベントに関する指標値を前記統計値に基づいて算出する指標値算出手段と、前記ネットワーク型侵入検知システムが検知するイベントの識別情報と前記指標値を含むポリシ情報を生成する情報生成手段とを備えたことを特徴とするポリシ生成システムである。

また、本発明のポリシ生成システムにおいて、前記指標値算出手段は、前記指標値として、前記ネットワーク型侵入検知システムが検知するイベントの信頼度を算出することを特徴とする。

また、本発明のポリシ生成システムにおいて、前記指標値算出手段は、前記指標値として、前記ホスト型侵入検知システムまたは前記ウィルス検知システムが検知したイベントと、前記ネットワーク型侵入検知システムが検知したイベントとの相関度を算出することを特徴とする。

また、本発明のポリシ生成システムは、前記ホスト型侵入検知システムまたは前記ウィルス検知システムの初期状態の情報を記憶する初期状態記憶手段と、前記初期状態の情報に基づいて、前記ホスト型侵入検知システムまたは前記ウィルス検知システムを仮想環境上で起動する起動制御手段とをさらに備えたことを特徴とする。

また、本発明は、上記のポリシ生成システムとしてコンピュータを機能させるためのプログラムである。

また、本発明は、上記のプログラムを記録したコンピュータ読み取り可能な記録媒体である。

本発明によれば、運用者の技量に依存せずにポリシ情報を生成することができるという効果が得られる。

以下、図面を参照し、本発明の実施形態を説明する。図１は、本発明の一実施形態によるポリシ生成システムの構成を示している。まず、図１に示す各構成について説明する。このポリシ生成システムはインターネット１００に接続している。イベント収集部１は、ネットワーク型侵入検知システム（NIDS）、ホスト型侵入検知システム（Host-based Intrusion Detection System：HIDS）、およびウィルス検知システム（Virus Intrusion Detection System：VDS）から出力されるイベント情報を収集し、イベント情報記憶部２に格納する。イベント情報記憶部２は、イベント収集部によって収集されたイベント情報を記憶する。HIDSとVDSは同一のホスト内で起動するが、NIDSは、HIDSおよびVDSが起動するホストとは別個の装置であってもよいし、HIDSおよびVDSが起動するホスト内にNIDSを設けてもよい。本実施形態では、このNIDS、HIDS、およびVDSが攻撃を監視する。

NIDS１０はインターネット１００上の通信を監視し、例えばネットワーク回線上を流れるパケットのパターンが、予め定義しておいた攻撃パターンと一致する場合に、攻撃を検知したとみなす。NIDS１０は、攻撃パターンを含むパケットを検知すると、そのパケットが攻撃先のシステムに対して影響を及ぼすか否かに関わらず、イベント情報を出力する。

HIDSおよびVDSは、ホスト内の仮想環境上で動作する仮想マシン（Virtual Machine：VM）によって実現される。本実施形態では、VM１１，１２，１３がホスト内に設けられ、各VMにHIDS１１ａ，１２ａ，１３ａとVDS１１ｂ，１２ｂ，１３ｂとが設けられている。各VMのOSやアプリケーションの構成は異なっているものとする。各VMの動作は、VMM（Virtual Machine Monitor）１４によって制御され、各VMはVMM１４を介してホスト内のCPUおよびメモリの資源を共有する。図１では３台のVMが示されているが、VMの数はこれに限らない。

仮想環境ではなく実機を用いた場合、図２に示すように、例えば３台のホスト２０ａ，２０ｂ，２０ｃに対して個別に環境の構築を行わなければならない。また、攻撃を受けた場合、攻撃の監視を続行するためには、再度各ホストの環境を構築しなければならない。したがって、実機を用いた場合には、環境の構築に時間を要する。

一方、VMMを用いた仮想環境では、全てのホストはファイルとして扱われる。図３に示すように、例えば、１つのホストに対応したファイル３０ａをコピーしてファイル３０ｂを作成することによって、容易に新たなホストを追加することが可能である。また、例えばホスト内に攻撃が侵入し、そのホストに対応したファイル３０ｃが改ざんを受けた場合でも、ファイルの内容を書き換えて元の状態に戻すことによって、ホストを復旧することができる。このように、仮想環境上でホストを構築することによって、様々な構成のホストを容易に作成することができると共に、ホストが攻撃を受けた場合でも正常な状態に容易に復元することができる。

図１に示した構成の説明に戻る。本実施形態では、攻撃に関するイベント情報の収集に係る手間を削減するため、VM１１，１２，１３を定期的に再起動する機能をホストに持たせている。再起動制御部１５は、VMM１４を介してVM１１，１２，１３の再起動を制御する。この再起動の際には、再起動制御部１５は、初期状態記憶部３に保存されている各VMの初期状態の情報を取得し、その情報に基づいて、各VMに対応するファイルを書き換えることによって、各VMを再起動する。

初期状態記憶部３は、各VMの初期状態の情報として、ディスクイメージと各種設定ファイルを記憶する。ディスクイメージは、ホストのハードディスク環境を模倣したファイルである。また、各種設定ファイルには、各ホストのメモリ使用量やネットワーク設定等に関する情報が含まれる。

イベント処理部４は、イベント情報を関連付ける処理と、互いに関連付けたイベント情報を用いた統計処理とを実行する。統計情報記憶部５は、統計処理によって生成された統計情報を記憶する。ポリシファイル生成部６は、NIDSが検知するイベントに関する指標値を算出し、その指標値を含むNIDSのポリシファイルの生成処理を実行する。ポリシファイル記憶部７は、NIDSのポリシファイルを記憶する。ポリシファイル記憶部７が記憶するNIDSのポリシファイルは、NIDSが設置されている他のシステム内のホストで適宜利用される。

次に、本実施形態で収集されるイベント情報について説明する。各HIDSは各VM上の全てのディレクトリとその中のファイルを定期的に監視し、ディレクトリおよびファイルの変更、追加、削除の有無を判定する。前回の監視時と比較して、ディレクトリまたはファイルに変更、追加、削除のいずれかがあった場合、各HIDSはイベント情報を出力する。図４（ａ）に示すように、HIDSのイベント情報４０は、日時４０ａ、ディレクトリ名４０ｂ、ファイル名４０ｃ、およびイベント内容４０ｄの各情報を含んでいる。

NIDS１０は、インターネット１００を経由した、攻撃パターンと一致するパケットを検知し、イベント情報を出力する。図４（ｂ）に示すように、NIDSのイベント情報４１は、日時４１ａ、攻撃名４１ｂ、Source IPおよびPort４１ｃ（送信元のIPアドレスおよびポート番号）、Destination IPおよびPort４１ｄ（送信先のIPアドレスおよびポート番号）の各情報を含んでいる。

各VDSは各VM上のファイルを定期的に監視し、変更または追加のあったファイルに対して、予め定義されているウィルスパターンとのパターンマッチングを行い、ウィルスの有無を判定する。ウィルスパターンと一致するパターンがファイルから検出された場合、各VDSはイベント情報を出力する。図４（ｃ）に示すように、VDSのイベント情報４２は、日時４２ａ、ウィルス名４２ｂ、ディレクトリ名４２ｃ、およびファイル名４２ｄの各情報を含んでいる。

次に、イベント処理部４がイベント情報を関連付ける処理の詳細を説明する。イベント処理部４は、NIDS、HIDS、VDSから出力されたイベント情報に含まれる日時の情報（イベントの検知時刻）に基づいて、HIDSおよびVDSが起動しているホスト（VM）のOSとアプリケーションの組合せ毎に各イベント情報を関連付ける。以下で説明する処理はOSとアプリケーションの組合せ毎に実行され、各組合せに対応したポリシファイルが生成される。

図５は、各イベント情報の時系列上の関係を示している。時刻ｔ１，ｔ２，ｔ３，ｔ４，ｔ５は、VMの再起動を行う時刻を示している。また、各時刻間の時間区間をタイムスロットと定義する。タイムスロットＴＳ１（ｔ１〜ｔ２）では、HIDSがホストへの影響を検知してイベント情報５０ａを出力したときに、NIDSとVDSもイベント情報５０ｂ，５０ｃを出力しており、各イベントが関連していることが分かる。したがって、イベント情報５０ａ，５０ｂ，５０ｃは、攻撃によるイベントを示している。

タイムスロットＴＳ２（ｔ２〜ｔ３）では、HIDSとVDSがイベントを検知していないため、ホスト（VM）には影響が出ていない。しかし、NIDSがイベント情報５１ａ，５１ｂを出力しており、侵入に至らなかった攻撃パケットによる冗長なイベントが検知されていることが分かる。タイムスロットＴＳ３（ｔ３〜ｔ４）では、HIDSとVDSがイベント情報５２ａ，５２ｂ，５２ｃを出力しているにもかかわらず、NIDSがイベントを検知していないことから、NIDSにとって未知の攻撃パケットによるイベントが検知されていることが分かる。タイムスロットＴＳ４（ｔ４〜ｔ５）では、HIDSのみがイベント情報５３ａを出力しており、HIDSの誤検知（OSやアプリケーションによる正常な動作の検知）と考えられる。

以下では、あるタイムスロットにおいて、「NIDS」と「HIDSもしくはVDS」の両者がイベントを検知した場合、そのイベントをNIDS Positiveイベントと呼び、「NIDS」のみがイベントを検知した場合、そのイベントをNIDS Negativeイベントと呼ぶことにする。要するに、NIDS Positiveイベントは、攻撃による影響が現れたことを意味し、NIDS Negativeイベントは、システムによる自動的な更新や攻撃の失敗を意味する。

イベント処理部４は、VMの再起動タイミング間の同一タイムスロットで検出されたイベント情報を関連付け、図６に示すテーブル６０を生成する。テーブル６０では、NIDSで検知されたイベントを基準として、HIDSおよびVDSで検知されたイベントが関連付けられている。各タイムスロットにおいて、１つのテーブル６０が生成される。あるタイムスロットにおいて、NIDSがイベントを検知したにもかかわらず、HIDSおよびVDSの一方または両方がイベントを検知しなかった場合には、HIDSまたはVDSのイベントを記載する欄が空欄となる。

イベント処理部４は、HIDSの個々のイベントを検索キーとして、その検索キーと一致するHIDSのイベントが記録されているテーブルをテーブル６０の中から検索し、抽出する。イベント処理部４は、抽出したテーブルの情報を集約し、HIDSのイベントを基準とするテーブル６１を生成する。また、イベント処理部４は、HIDSの個々のイベントの組合せを検索キーとして、その検索キーと一致するHIDSのイベントの組合せが記録されているテーブルをテーブル６０の中から検索し、抽出する。イベント処理部４は、抽出したテーブルの情報を集約し、HIDSのイベントの組合せを基準とするテーブル６２を生成する。なお、上記の代わりに、VDSのイベントやその組合せを検索キーとして上記と同様のテーブルを生成してもよい。

また、イベント処理部４は各イベントの出現確率（統計値）を算出する。イベント処理部４が算出する各イベントの出現確率は、NIDSイベントのPositive出現確率、NIDSイベントのNegative出現確率、HIDSイベントの出現確率、およびVDSイベントの出現確率である。

NIDSイベントのPositive出現確率は、NIDSが検知した各イベントをNIDS PositiveイベントとNIDS Negativeイベントに分類した場合にNIDS Positiveイベントが占める割合である。すなわち、NIDSイベントのPositive出現確率は、NIDS Positiveイベントが出現したタイムスロット数と、NIDS PositiveイベントおよびNIDS Negativeイベントが出現したタイムスロット数との比で表される。同様に、NIDSイベントのNegative出現確率は、NIDS Negativeイベントが出現したタイムスロット数と、NIDS PositiveイベントおよびNIDS Negativeイベントが出現したタイムスロット数との比で表される。NIDSの１種類のイベントについてのNIDSイベントのPositive出現確率とNIDSイベントのNegative出現確率の和は１となる。NIDSの各種類のイベントについて、Positive出現確率とNegative出現確率が算出される。

HIDSイベントの出現確率は、NIDS Positiveイベントと関連付けられている、HIDSが検知した各イベントの出現確率である。すなわち、HIDSイベントの出現確率は、NIDS Positiveイベントが出現したタイムスロットで出現したHIDSの特定のイベント数と、NIDS Positiveイベントが出現したタイムスロットで出現したHIDSの全イベント数との比で表される。同様に、VDSイベントの出現確率は、NIDS Positiveイベントが出現したタイムスロットで出現したVDSの特定のイベント数と、NIDS Positiveイベントが出現したタイムスロットで出現したVDSの全イベント数との比で表される。テーブル６１，６２には、上記のようにして算出した各イベントの出現確率も含まれている。

イベント処理部４は、テーブル６１，６２に基づいて、図７に示す統計情報を生成し、統計情報記憶部５に格納する。この統計情報は、互いに関連付けられたNIDSイベント情報７０、HIDSイベント情報７１、およびVDSイベント情報７２を含んでいる。NIDSイベント情報７０は、NIDSが検知したイベントに関する統計情報であり、イベント名７０ａおよび出現確率７０ｂ（NIDSイベントのPositive出現確率およびNegative出現確率）を含んでいる。

HIDSイベント情報７１は、HIDSが検知したイベントに関する統計情報であり、ディレクトリ名７１ａ、ファイル名７１ｂ、イベント内容７１ｃ（変更・追加・削除のいずれか）、および出現確率７１ｄを含んでいる。NIDSが検知した１種類のイベントに対して、HIDSが検知した１または複数種類のイベントの統計情報が関連付けられている。VDSイベント情報７２は、VDSが検知したイベントに関する統計情報であり、イベント名７２ａおよび出現確率７２ｂを含んでいる。NIDSが検知した１種類のイベントに対して、VDSが検知した１または複数種類のイベントの統計情報が関連付けられている。NIDSが検知した各イベントに対して、図７に示す統計情報が生成される。

次に、ポリシファイル生成部６が、NIDSのポリシファイルを生成する処理の詳細を説明する。図８は、ポリシファイル生成部６が生成するポリシファイルの内容を示している。図８に示すポリシファイル８０は、NIDSが検知するイベントの信頼度に関するポリシファイルである。このイベントの信頼度とは、NIDSが検知するイベントが、システム内のホストに影響を与える攻撃によるイベントである可能性（言い換えると、NIDSが検知したイベントの発生原因となった攻撃によるホストへの影響の可能性）を示すものである。

ポリシファイル８０は、イベント名８０ａとイベントの信頼度８０ｂとを含んでいる。NIDSが検知したイベントｉの信頼度は以下の（１）式で示される。（１）式において、NIDS_Positive_Rate(P_ｉ)はイベントｉのPositive出現確率である。（１）式が示す信頼度は、NIDSが検知したイベントｉの発生原因となった攻撃によって、ホスト内の更新／追加／削除またはウィルス検知が実際に発生している可能性を示している。
NIDSイベント信頼度(C_ｉ)＝NIDS_Positive_Rate(P_ｉ) ・・・（１）

ＮIDSから出力されるイベント情報からは、侵入の痕跡しか分からない。したがって、攻撃を監視するためにNIDSのみが実装されている環境では、NIDSがイベントを検知したときに、NIDSを設置しているシステム内のホストが攻撃の影響を受けているか否かが分からないため、ホストの状態を確認するか否かを運用者が判断できない場合がある。

しかし、上記のポリシファイル８０に基づいて各種情報を表示することによって、運用者に対してイベントへの対応に関する指針を与えることができる。すなわち、NIDSがイベントを検知した場合に、運用者は信頼度に従って、NIDSを設置しているシステム内のホストの状態を確認するか否かを決定することができる。あるいは、運用者は信頼度に従って、NIDSの監視シグネチャにイベントを登録するか否かを決定することができる。これによって、監視シグネチャの情報量を必要なものだけに抑えることが可能となるため、冗長なイベント情報の出力を抑制したり、NIDSの処理を高速化したりすることができる。

また、ポリシファイル生成部６は、イベントに関する指標値として、以下で説明するNIDSイベント原因推定値とNIDSイベントウィルス推定値を算出する。攻撃を監視するためにＮIDSだけが設置されている場合には、ＮIDSからイベント情報が出力された場合に、ホスト内のどのディレクトリやファイルを確認すれば攻撃の影響の有無を確認することができるのかということや、どのようなウィルスに感染している可能性があるのかということが分からない。そこで、本実施形態では、ＮIDSが検知したイベントの発生原因となった攻撃によってHIDSまたはVDSのイベントが発生した可能性を示す推定値をポリシファイル生成部６が算出する。

ＮIDSイベント原因推定値は、ＮIDSが検知したイベントの発生原因となった攻撃によって発生するＨIDSのイベントの可能性を示しており、（２）式により算出される。言い換えると、ＮIDSイベント原因推定値は、ＮIDSが検知したイベントとＨIDSが検知したイベントとの相関度を示している。（２）式において、ＮIDS_Positive_Rate(P_ｉ)は、ＮIDSが検知したイベントｉのPositive出現確率であり、ＨIDS_Rate(I_ｊ)は、ＨIDSが検知したイベントｊの出現確率であり、それぞれ統計情報として統計情報記憶部５に格納されている。
ＮIDSイベント原因推定値(EI_ｉ)＝ＮIDS_Positive_Rate(P_ｉ)×ＨIDS_Rate(I_ｊ) ・・・（２）

ＮIDSイベントウィルス推定値は、ＮIDSが検知したイベントの発生原因となった攻撃によって発生するVDSのイベントの可能性を示しており、（３）式により算出される。言い換えると、ＮIDSイベントウィルス推定値は、ＮIDSが検知したイベントとVDSが検知したイベントとの相関度を示している。（３）式において、NIDS_Positive_Rate(P_ｉ)は、NIDSが検知したイベントｉのPositive出現確率であり、VDS_Rate(V_ｊ)は、VDSが検知したイベントｊの出現確率であり、それぞれ統計情報として統計情報記憶部５に格納されている。
NIDSイベントウィルス推定値(EV_ｉ)＝NIDS_Positive_Rate(P_ｉ)×VDS_Rate(V_ｊ) ・・・（３）

ポリシファイル生成部６は、NIDSのイベント名と、上記のようにして算出したNIDSイベント原因推定値およびNIDSイベントウィルス推定値と、HIDSのイベント名（イベントに係るディレクトリやファイルの情報を含む）およびVDSのイベント名（イベントに係るウィルスの情報を含む）とを含むポリシファイルをポリシファイル記憶部７に格納する。このポリシファイルは以下のように利用される。NIDSがイベントを検知したときに、このイベントと関連付けられたHIDSまたはVDSのイベント名と上記の推定値が画面に表示される。これによって、NIDSの運用者は、ホスト内のどのディレクトリやファイルを確認すればよいのかを判断したり、どのようなウィルスに感染している可能性があるのかを推定したりすることができる。

上述したように、本実施形態によれば、運用者の技量に依存することなく、実際の攻撃の影響が反映されたポリシファイルを生成することができる。また、OSとアプリケーションの組合せ毎にイベント情報を分類し、各組合せについてポリシファイルを生成することによって、精度の高いポリシファイルを生成することができる。

また、本実施形態では、NIDSが検知したイベントが、システム内のホストに影響を与える攻撃によるイベントである可能性を示す信頼度が算出される。この信頼度を運用者に提示することによって、運用者に対してイベントへの対応に関する指針を与えることができる。

また、本実施形態では、ＮIDSが検知したイベントの発生原因となった攻撃によってHIDSまたはVDSのイベントが発生した可能性を示す推定値が算出される。この推定値を運用者に提示することによって、運用者は、ホスト内のどのディレクトリやファイルを確認すればよいのかを判断したり、どのようなウィルスに感染している可能性があるのかを推定したりすることができる。

また、本実施形態では、仮想環境上でHIDSおよびVDSが起動する。これによって、様々な構成のホストを容易に作成することができると共に、ホストが攻撃を受けた場合でも正常な状態に容易に復元することができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上記の実施形態では、HIDSとVDSの両方が設けられているが、HIDSとVDSの一方のみが設けられていてもよい。

また、上記の実施形態によるポリシ生成システムの動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。

ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

本発明の一実施形態によるポリシ生成システムの構成を示すブロック図である。 本発明の一実施形態において、実機と仮想環境によるホスト構築法の違いを説明するための説明図である。 本発明の一実施形態において、実機と仮想環境によるホスト構築法の違いを説明するための説明図である。 本発明の一実施形態におけるHIDS、NIDS、およびVDSが出力するイベント情報のフォーマットを示す参考図である。 本発明の一実施形態におけるイベント情報の時系列上の関係を示す参考図である。 本発明の一実施形態におけるイベント情報の処理方法を説明するための説明図である。 本発明の一実施形態における統計情報の内容を示す参考図である。 本発明の一実施形態におけるポリシファイルの内容を示す参考図である。

符号の説明

１・・・イベント収集部（イベント収集手段）、２・・・イベント情報記憶部、３・・・初期状態記憶部（初期状態記憶手段）、４・・・イベント処理部（関連付け手段、統計値算出手段）、５・・・統計情報記憶部、６・・・ポリシファイル生成部（指標値算出手段、情報生成手段）、７・・・ポリシファイル記憶部、１０・・・NIDS、１１，１２，１３・・・VM、１４・・・VMM、１５・・・再起動制御部（起動制御手段）

Claims (6)

1. ホスト型侵入検知システムまたはウィルス検知システムと、ネットワーク型侵入検知システムとから出力されるイベント情報を収集するイベント収集手段と、
   イベントの検知時刻に基づいて前記イベント情報を、前記ホスト型侵入検知システムまたは前記ウィルス検知システムが起動するホストのOSとアプリケーションの組合せ毎に互いに関連付ける関連付け手段と、
   互いに関連付けた前記イベント情報に基づいて、攻撃によるイベントの出現頻度に関する統計値を前記OSと前記アプリケーションの組合せ毎に算出する統計値算出手段と、
   前記ネットワーク型侵入検知システムが検知するイベントに関する指標値を前記統計値に基づいて前記OSと前記アプリケーションの組合せ毎に算出する指標値算出手段と、
   前記ネットワーク型侵入検知システムが検知するイベントの識別情報と前記指標値を含むポリシ情報を前記OSと前記アプリケーションの組合せ毎に生成する情報生成手段と、
   を備えたことを特徴とするポリシ生成システム。
2. 前記指標値算出手段は、前記指標値として、前記ネットワーク型侵入検知システムが検知するイベントの信頼度を算出することを特徴とする請求項１に記載のポリシ生成システム。
3. 前記指標値算出手段は、前記指標値として、前記ホスト型侵入検知システムまたは前記ウィルス検知システムが検知したイベントと、前記ネットワーク型侵入検知システムが検知したイベントとの相関度を算出することを特徴とする請求項１に記載のポリシ生成システム。
4. 前記ホスト型侵入検知システムまたは前記ウィルス検知システムの初期状態の情報を記憶する初期状態記憶手段と、
   前記初期状態の情報に基づいて、前記ホスト型侵入検知システムまたは前記ウィルス検知システムを仮想環境上で起動する起動制御手段と、
   をさらに備えたことを特徴とする請求項１〜請求項３のいずれかに記載のポリシ生成システム。
5. 請求項１〜請求項４のいずれかに記載のポリシ生成システムとしてコンピュータを機能させるためのプログラム。
6. 請求項５に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。

Images