JP7038165B2

JP7038165B2 - 情報処理装置、情報処理方法及び情報処理プログラム

Info

Publication number: JP7038165B2
Application number: JP2020099456A
Authority: JP
Inventors: 加奈子櫻木
Original assignee: SoftBank Corp
Current assignee: SoftBank Corp
Priority date: 2020-06-08
Filing date: 2020-06-08
Publication date: 2022-03-17
Anticipated expiration: 2040-06-08
Also published as: JP2021193772A

Description

本発明は、情報処理装置、情報処理方法及び情報処理プログラムに関する。

従来、ＤｏＳ（Denial of Service attack）攻撃、ＢＯＦ（Buffer Overflow）攻撃、ブルートフォース（Brute Force）アタック、情報の窃取または改ざん等のあらゆるサイバー攻撃からネットワークの安全性を確保するための様々な技術が知られている。例えば、ＳＩＥＭ（Security Information and Event Management）によって、サイバー攻撃等の攻撃元となったＩＰアドレス等、ネットワークの安全性を脅かす可能性のあるＩＰアドレス（以下、脅威ＩＰアドレスともいう）からのアクセスを遮断および検知する技術が知られている。

特開２０１６－１５２５９４号公報

しかしながら、上記の従来技術では、ＩＳＰ（Internet Service Provider）によって管理されるＩＰアドレスの安全性を適切に評価可能にするとは限らない。例えば、上記の従来技術では、脅威ＩＰアドレスからのアクセスを遮断および検知するにすぎず、ＩＳＰによって管理されるＩＰアドレスの安全性を適切に評価可能にするとは限らない。

本願は、上記に鑑みてなされたものであって、ＩＳＰ（Internet Service Provider）によって管理されるＩＰアドレスの安全性を適切に評価可能にすることができる情報処理装置、情報処理方法及び情報処理プログラムを提案する。

本願に係る情報処理装置は、ＲＡＤＢ（Routing Assets Database）に対して、脅威ＩＰアドレスの一覧に含まれる所定の脅威ＩＰアドレスを管理するＩＳＰ（Internet Service Provider）を示すＩＳＰ情報を問い合わせるとともに、前記ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる問合せ部と、前記脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスと一致するＩＰアドレスが前記問合せ部によって問合せ済みのＩＰブロック情報の中に存在する場合は、前記脅威ＩＰアドレスを管理するＩＳＰを前記問合せ済みのＩＰブロック情報に対応するＩＳＰであると特定する特定部と、を備えることを特徴とする。

実施形態の一態様によれば、ＩＳＰ（Internet Service Provider）によって管理されるＩＰアドレスの安全性を適切に評価可能にするといった効果を奏する。

図１は、実施形態に係る情報処理システムの構成例を示す図である。図２は、実施形態に係る情報処理装置の構成例を示す図である。図３は、実施形態に係るＣＩＤＲキャッシュ記憶部の一例を示す図である。図４は、実施形態に係る情報処理手順を示すフローチャートである。図５は、情報処理装置の機能を実現するコンピュータの一例を示すハードウェア構成図である。

以下に、本願に係る情報処理装置、情報処理方法及び情報処理プログラムを実施するための形態（以下、「実施形態」と呼ぶ）について図面を参照しつつ詳細に説明する。なお、この実施形態により本願に係る情報処理装置、情報処理方法及び情報処理プログラムが限定されるものではない。また、以下の各実施形態において同一の部位には同一の符号を付し、重複する説明は省略される。

〔１．はじめに〕
ＩＳＰ（Internet Service Provider）によって管理されるネットワークの安全性を評価する指標の１つとして、そのＩＳＰによって管理されている脅威ＩＰアドレスの数が他のＩＳＰによって管理されている脅威ＩＰアドレスの数と比べてどの程度多いか（あるいは少ないか）に関する指標がある。例えば、ＩＳＰは、世界中で検出された脅威ＩＰアドレスに対して、自社の脅威ＩＰアドレスの数がどの程度多いか（あるいは少ないか）を知ることができれば、自社が脅威ＩＰアドレス対策にどの程度の予算や時間を割くべきかを判断することが容易になる。

一般的に、脅威ＩＰアドレスに関する情報は、セキュリティ対策事業者であるセキュリティベンダー（Security Vender）等の脅威ＩＰアドレス情報提供元から購入する等して取得することができる。しかしながら、脅威ＩＰアドレス情報提供元からは、脅威ＩＰアドレスを管理しているＩＳＰを特定可能な情報を取得することが困難な場合がある。そのため、脅威ＩＰアドレスを管理しているＩＳＰを特定するには、ＲＡＤＢ（Routing Assets Database）に対して、その脅威ＩＰアドレスを管理しているＩＳＰ情報を問い合わせる必要がある。ところが、脅威ＩＰアドレス情報提供元から取得する脅威ＩＰアドレスの数は膨大なため、ＲＡＤＢに対してすべての脅威ＩＰのＩＳＰ情報を問い合わせると、問い合わせ自体がＲＡＤＢに対するＤｏＳ攻撃になってしまう。

そこで、本願発明に係る情報処理装置１００は、ＲＡＤＢに対して、脅威ＩＰアドレスの一覧に含まれる所定の脅威ＩＰアドレスを管理するＩＳＰを示すＩＳＰ情報を問い合わせるとともに、ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる。また、情報処理装置１００は、脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスと一致するＩＰアドレスが問合せ部１３４によって問合せ済みのＩＰブロック情報の中に存在する場合は、脅威ＩＰアドレスを管理するＩＳＰを問合せ済みのＩＰブロック情報に対応するＩＳＰであると特定する。

これを繰り返すことにより、情報処理装置１００は、ＲＡＤＢに対する脅威ＩＰアドレスのＩＳＰ情報の問い合わせ回数を減らすことができる。すなわち、情報処理装置１００は、ＲＡＤＢに対する問い合わせ回数および問い合わせに要する時間を減らすことができるので、従来よりも効率的に脅威ＩＰアドレスのＩＳＰ情報を特定することができる。つまり、情報処理装置１００は、ＩＳＰが世界中で検出された脅威ＩＰアドレスに対して、自社の脅威ＩＰアドレスの数がどの程度多いか（あるいは少ないか）を知ることを助ける。したがって、情報処理装置１００は、ＩＳＰによって管理されるＩＰアドレスの安全性を適切に評価可能にする。

〔２．情報処理システムの構成〕
次に、図１を用いて、実施形態に係る情報処理システムの構成について説明する。図１は、実施形態に係る情報処理システムの構成例を示す図である。図１に示すように、情報処理システム１には、ＳＶサーバ１０と、ＲＡＤＢ２０と、情報処理装置１００とが含まれる。ＳＶサーバ１０と、ＲＡＤＢ２０と、情報処理装置１００とは所定のネットワークＮを介して、有線または無線により通信可能に接続される。なお、図１に示す情報処理システム１には、任意の数のＳＶサーバ１０と任意の数のＲＡＤＢ２０と任意の数の情報処理装置１００とが含まれてもよい。

ＳＶサーバ１０は、セキュリティベンダー等の脅威ＩＰアドレス情報提供元によって管理されるサーバ装置である。ＳＶサーバ１０は、ＩＳＰに対してネットワークセキュリティ上の脅威情報を提供する。例えば、ＳＶサーバ１０は、脅威ＩＰアドレスに関する情報要求を情報処理装置１００に対して許可する。

ＲＡＤＢ２０は、ＩＰＲ（Internet Routing Registry）情報が登録されたデータベースである。例えば、ＲＡＤＢ２０には、ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報が登録されている。

情報処理装置１００は、ＩＳＰ（Internet Service Provider）によって管理されるサーバ装置である。情報処理装置１００は、ＳＶサーバ１０から脅威ＩＰアドレス情報を取得する。情報処理装置１００は、ＳＶサーバ１０から取得した脅威ＩＰアドレスに関する情報に基づいて、重複のない脅威ＩＰアドレスの一覧を作成する。

また、情報処理装置１００は、ＲＡＤＢに対して、脅威ＩＰアドレスの一覧に含まれる所定の脅威ＩＰアドレスを管理するＩＳＰを示すＩＳＰ情報を問い合わせるとともに、ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる。情報処理装置１００は、問い合わせ済みのＩＰブロック情報を記憶部に記憶する。また、情報処理装置１００は、脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスと一致するＩＰアドレスが問合せ済みのＩＰブロック情報の中に存在する場合は、脅威ＩＰアドレスを管理するＩＳＰを問合せ済みのＩＰブロック情報に対応するＩＳＰであると特定する。

〔３．情報処理装置の構成〕
次に、図２を用いて、実施形態に係る情報処理装置１００の構成について説明する。図２は、実施形態に係る情報処理装置１００の構成例を示す図である。図２に示すように、情報処理装置１００は、通信部１１０と、記憶部１２０と、制御部１３０とを有する。なお、情報処理装置１００は、情報処理装置１００の管理者等から各種操作を受け付ける入力部（例えば、キーボードやマウス等）や、各種情報を表示させるための表示部（例えば、液晶ディスプレイ等）を有してもよい。

（通信部１１０）
通信部１１０は、例えば、ＮＩＣ（Network Interface Card）等によって実現される。そして、通信部１１０は、ネットワークと有線または無線で接続され、例えば、ＳＶサーバ１０やＲＡＤＢ２０との間で情報の送受信を行う。

（記憶部１２０）
記憶部１２０は、例えば、ＲＡＭ（Random Access Memory)、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部１２０は、図２に示すように、脅威ＩＰリスト記憶部１２１とＣＩＤＲキャッシュ記憶部１２２を有する。

（脅威ＩＰリスト記憶部１２１）
脅威ＩＰリスト記憶部１２１は、脅威ＩＰアドレスに関する各種の情報を記憶する。具体的には、脅威ＩＰリスト記憶部１２１は、生成部１３１によって生成された脅威ＩＰアドレスの一覧に関する情報を記憶する。例えば、脅威ＩＰリスト記憶部１２１は、重複を排除したユニークな脅威ＩＰアドレスの一覧に関する情報を記憶する。

（ＣＩＤＲキャッシュ記憶部１２２）
ＣＩＤＲキャッシュ記憶部１２２は、問合せ部１３４によってＲＡＤＢに対して問合せ済みのＩＰブロック情報（以下、ＣＩＤＲキャッシュ情報ともいう）を記憶する。ここで、図３を用いて、ＣＩＤＲキャッシュ記憶部１２２が記憶する情報の一例を説明する。図３は、ＣＩＤＲキャッシュ記憶部１２２の一例を示す図である。図３に示すように、ＣＩＤＲキャッシュ記憶部１２２は、「ＩＳＰ名」、「ＩＰブロック」といった項目を有する。

「ＩＳＰ名」は、ＩＳＰの名称を示す。「ＩＰブロック」は、ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック（ＣＩＤＲ）の情報を示す。

図３に示す例では、ＩＳＰ名「Ａ社」は、ＩＳＰの名称が「Ａ社」であることを示す。また、ＩＳＰ名「Ａ社」によって管理されているＩＰブロック（ＣＩＤＲ）には、「ＩＰブロック＃１１」、「ＩＰブロック＃１２」、…等の複数のＩＰブロックが存在することを示す。より具体的には、ＩＰブロック「ＩＰブロック＃１１」は、Ａ社によって管理されているあるＩＰブロックの情報を示す。例えば、ＩＰブロック「ＩＰブロック＃１１」は、「192.168.1.1」～「192.168.1.100」の範囲のＩＰアドレスのブロックを示す情報である。

（制御部１３０）
図２の説明に戻って、制御部１３０は、コントローラ（controller）であり、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、情報処理装置１００内部の記憶装置に記憶されている各種プログラム（情報処理プログラムの一例に相当）がＲＡＭを作業領域として実行されることにより実現される。また、制御部１３０は、コントローラであり、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現される。

図２に示すように、制御部１３０は、生成部１３１と、判定部１３２と、特定部１３３と、問合せ部１３４と、更新部１３５とを有し、以下に説明する情報処理の作用を実現または実行する。なお、制御部１３０の内部構成は、図２に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。

（生成部１３１）
生成部１３１は、脅威ＩＰアドレス情報提供元によって管理されるＳＶサーバ１０から脅威ＩＰアドレス情報を取得する。続いて、生成部１３１は、取得した脅威ＩＰアドレス情報に基づいて、脅威ＩＰアドレス情報に含まれる脅威ＩＰアドレスの重複を排除することで、ユニークな脅威ＩＰアドレスの一覧を生成する。生成部１３１は、脅威ＩＰアドレスの一覧を生成すると、生成した脅威ＩＰアドレスの一覧に関する情報を脅威ＩＰリスト記憶部１２１に記憶する。

（判定部１３２）
判定部１３２は、脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスと一致するＩＰアドレスが問合せ部１３４によって問合せ済みのＩＰブロック情報の中に存在するか否かを判定する。具体的には、判定部１３２は、脅威ＩＰリスト記憶部１２１を参照して、脅威ＩＰアドレスの一覧の中から所定の脅威アドレスを取得する。例えば、判定部１３２は、脅威ＩＰアドレスの一覧の中から「192.168.1.1」で示される脅威アドレスを取得する。

続いて、判定部１３２は、ＣＩＤＲキャッシュ記憶部１２２を参照して、所定の脅威アドレスを含む範囲のＩＰブロック（ＣＩＤＲ）が問合せ部１３４によって問合せ済みのＩＰブロック情報（ＣＩＤＲキャッシュ情報）の中に存在するか否かを判定する。例えば、判定部１３２は、「192.168.1.1」で示される脅威アドレスを含む範囲のＩＰブロックがＣＩＤＲキャッシュ情報の中に存在するか否かを判定する。

（特定部１３３）
特定部１３３は、脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロック（ＣＩＤＲ）が問合せ部１３４によって問合せ済みのＩＰブロック情報の中に存在する場合は、脅威ＩＰアドレスを管理するＩＳＰを問合せ済みのＩＰブロック情報に対応するＩＳＰであると特定する。例えば、特定部１３３は、判定部１３２によって「192.168.1.10」で示される脅威アドレスを含む範囲のＩＰブロックが問合せ部１３４によって問合せ済みのＩＰブロック情報（ＣＩＤＲキャッシュ情報）の中に存在すると判定された場合、「192.168.1.10」で示される脅威アドレスを管理するＩＳＰを「192.168.1.10」で示される脅威アドレス情報に対応するＩＳＰの「Ａ社」であると特定する。

（問合せ部１３４）
問合せ部１３４は、ＲＡＤＢ（Routing Assets Database）に対して、脅威ＩＰアドレスの一覧に含まれる所定の脅威ＩＰアドレスを管理するＩＳＰ（Internet Service Provider）を示すＩＳＰ情報を問い合わせるとともに、ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる。例えば、問合せ部１３４は、ＲＡＤＢに対して、脅威ＩＰアドレスの一覧に含まれる「192.168.1.1」で示される脅威アドレスを管理するＩＳＰを示すＩＳＰ情報を問い合わせる。問合せ部１３４は、問い合わせの結果、ＲＡＤＢから、「192.168.1.1」で示される脅威アドレスを管理するＩＳＰの名称は「Ａ社」であるというＩＳＰ情報を取得する。

続いて、問合せ部１３４は、脅威アドレスのＩＳＰ情報を取得すると、「Ａ社」で示されるＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック（ＣＩＤＲ）を問い合わせる。問合せ部１３４は、問い合わせの結果、ＲＡＤＢから、「Ａ社」のＩＰブロックは、「192.168.1.1～192.168.1.100」の範囲のＩＰアドレスのブロックを示すＩＰブロック＃１１、「192.168.1.101～192.168.1.300」の範囲のＩＰアドレスのブロックを示すＩＰブロック＃１２、…といったＩＰブロック情報を取得する。続いて、問合せ部１３４は、取得したＩＳＰ情報である「Ａ社」と「192.168.1.1～192.168.1.100」の範囲のＩＰアドレスのブロックを示すＩＰブロック＃１１、「192.168.1.101～192.168.1.300」の範囲のＩＰアドレスのブロックを示すＩＰブロック＃１２、…とを対応付けてＣＩＤＲキャッシュ記憶部１２２に記憶する。また、問合せ部１３４は、ＩＰブロック（ＣＩＤＲ）の重複を削除してＣＩＤＲキャッシュ記憶部１２２に記憶する。例えば、問合せ部１３４は、問い合わせの結果、「192.168.0.0/12」と「192.168.1.0/24」と「192.168.2.0/24」という３つのＩＰブロック情報を取得する。この場合、問合せ部１３４は、「192.168.1.0/24」と「192.168.2.0/24」は「192.168.0.0/12」の範囲に含まれるため、「192.168.0.0/12」のＩＰブロック情報のみをＣＩＤＲキャッシュ記憶部１２２に記憶する。このように、問合せ部１３４は、問い合わせの結果、所定のＩＰブロックと所定のＩＰブロックを含む範囲のＩＰブロックとを取得した場合には、所定のＩＰブロックを含む範囲のＩＰブロック情報のみをＣＩＤＲキャッシュ記憶部１２２に記憶する。

また、問合せ部１３４は、判定部１３２によって脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロック（ＣＩＤＲ）が問合せ部１３４によって問合せ済みのＩＰブロック情報の中に存在しないと判定された場合は、ＲＡＤＢに対して、脅威ＩＰアドレスを管理するＩＳＰを示すＩＳＰ情報を問い合わせるとともに、ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる。例えば、問合せ部１３４は、判定部１３２によって「192.168.1.10」で示される脅威アドレスを含む範囲のＩＰブロック（ＣＩＤＲ）が問合せ部１３４によって問合せ済みのＩＰブロック情報（ＣＩＤＲキャッシュ情報）の中に存在しないと判定された場合は、ＲＡＤＢに対して、「192.168.1.10」で示される脅威アドレスを管理するＩＳＰを示すＩＳＰ情報を問い合わせるとともに、ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる。

（更新部１３５）
更新部１３５は、問合せ部１３４による問い合わせ結果に基づいて、ＩＳＰ情報とＩＰブロック情報とを対応付けて記憶するＣＩＤＲキャッシュ記憶部を更新する。具体的には、更新部１３５は、問合せ部１３４がＲＡＤＢから新たな問合せ情報を取得する度に、取得した脅威アドレスのＩＳＰ情報とＩＰブロックごとのＩＰブロック情報とを対応付けてＣＩＤＲキャッシュ記憶部に書き込む。

〔４．情報処理のフロー〕
次に、図４を用いて、実施形態に係る情報処理の手順について説明する。図４は、実施形態に係る情報処理手順を示すフローチャートである。図４に示す例では、生成部１３１は、脅威ＩＰアドレス情報提供元から取得した脅威ＩＰアドレス情報に基づいて、脅威ＩＰアドレスの一覧を生成する（ステップＳ１０１）。

判定部１３２は、生成部１３１が生成した脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロック（ＣＩＤＲ）が問合せ部１３４によって問合せ済みのＩＰブロック情報（ＣＩＤＲキャッシュ）の中に存在するか否かを判定する（ステップＳ１０２）。特定部１３３は、判定部１３２によって脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロックが問合せ部１３４によって問合せ済みのＩＰブロック情報の中に存在すると判定された場合（ステップＳ１０２；Ｙｅｓ）、脅威ＩＰアドレスを管理するＩＳＰを問合せ済みのＩＰブロック情報に対応するＩＳＰであると特定する（ステップＳ１０３）。

一方、問合せ部１３４は、判定部１３２によって脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロックが問合せ部１３４によって問合せ済みのＩＰブロック情報の中に存在しないと判定された場合（ステップＳ１０２；Ｎｏ）、ＲＡＤＢに対して、脅威ＩＰアドレスを管理するＩＳＰを示すＩＳＰ情報を問い合わせる（ステップＳ１０４）。

問合せ部１３４は、問い合わせの結果、脅威ＩＰアドレスを管理するＩＳＰが特定されなかった場合（ステップＳ１０５；Ｎｏ）、問い合わせに係る脅威ＩＰアドレスを追加したＵＮＫＯＷＮキャッシュを作成する（ステップＳ１０６）。

一方、問合せ部１３４は、問い合わせの結果、脅威ＩＰアドレスを管理するＩＳＰが特定された場合（ステップＳ１０５；Ｙｅｓ）、ＲＡＤＢに対して、特定されたＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる（ステップＳ１０７）。

更新部１３５は、問合せ部１３４による問い合わせ結果に基づいて、問い合わせ結果に対応するＩＳＰ情報とＩＰブロック情報とを対応付けた情報をＣＩＤＲキャッシュ記憶部に追加することで、ＣＩＤＲキャッシュ記憶部を更新する（ステップＳ１０８）。

〔５．効果〕
上述してきたように、実施形態に係る情報処理装置１００は、問合せ部１３４と特定部１３３とを備える。問合せ部１３４は、ＲＡＤＢ（Routing Assets Database）に対して、脅威ＩＰアドレスの一覧に含まれる所定の脅威ＩＰアドレスを管理するＩＳＰ（Internet Service Provider）を示すＩＳＰ情報を問い合わせるとともに、ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる。特定部１３３は、脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロックが問合せ部１３４によって問合せ済みのＩＰブロック情報の中に存在する場合は、脅威ＩＰアドレスを管理するＩＳＰを問合せ済みのＩＰブロック情報に対応するＩＳＰであると特定する。

これにより、情報処理装置１００は、ＲＡＤＢに対する脅威ＩＰアドレスのＩＳＰ情報の問い合わせ回数を減らすことができる。すなわち、情報処理装置１００は、ＲＡＤＢに対する問い合わせ回数および問い合わせに要する時間を減らすことができるので、従来よりも効率的に脅威ＩＰアドレスのＩＳＰ情報を特定することができる。つまり、情報処理装置１００は、ＩＳＰが世界中で検出された脅威ＩＰアドレスに対して、自社の脅威ＩＰアドレスの数がどの程度多いか（あるいは少ないか）を知ることを助ける。したがって、情報処理装置１００は、ＩＳＰによって管理されるＩＰアドレスの安全性を適切に評価可能にする。

また、問合せ部１３４は、脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロックが問合せ部１３４によって問合せ済みのＩＰブロック情報の中に存在しない場合は、ＲＡＤＢに対して、脅威ＩＰアドレスを管理するＩＳＰを示すＩＳＰ情報を問い合わせるとともに、ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる。

これにより、情報処理装置１００は、ＲＡＤＢに対する脅威ＩＰアドレスのＩＳＰ情報の問い合わせ回数を減らすことができる。また、情報処理装置１００は、脅威ＩＰアドレスを含むＩＰブロックを特定することができる。

また、情報処理装置１００は、問合せ部１３４による問い合わせ結果に基づいて、ＩＳＰ情報とＩＰブロック情報とを対応付けて記憶するＣＩＤＲキャッシュ記憶部をさらに備える。問合せ部１３４は、問い合わせの結果、所定のＩＰブロックと所定のＩＰブロックを含む範囲のＩＰブロックとを取得した場合には、所定のＩＰブロックを含む範囲のＩＰブロック情報のみをＣＩＤＲキャッシュ記憶部１２２に記憶する。

これにより、情報処理装置１００は、ＣＩＤＲキャッシュ記憶部１２２に記憶するＩＰブロック情報の重複を排除することができるので、より効率的にＩＰブロック情報を記憶することができる。

また、情報処理装置１００は、判定部１３２をさらに備える。判定部１３２は、脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロックが問合せ部１３４によって問合せ済みのＩＰブロック情報の中に存在するか否かを判定する。

これにより、情報処理装置１００は、判定結果に基づいて、ＲＡＤＢに対する脅威ＩＰアドレスのＩＳＰ情報を問い合わせるか否かを決定することができる。

また、情報処理装置１００は、更新部１３５をさらに備える。更新部１３５は、問合せ部１３４による問い合わせ結果に基づいて、ＩＳＰ情報とＩＰブロック情報とを対応付けて記憶するＣＩＤＲキャッシュ記憶部を更新する。

これにより、情報処理装置１００は、ＲＡＤＢに対する脅威ＩＰアドレスのＩＳＰ情報の問い合わせ回数を減らすことができる。

また、情報処理装置１００は、生成部１３１をさらに備える。生成部１３１は、脅威ＩＰアドレス情報提供元によって管理されるＳＶサーバから取得した脅威ＩＰアドレス情報に基づいて、脅威ＩＰアドレスの一覧を生成する。具体的には、生成部１３１は、脅威ＩＰアドレス情報に含まれる脅威ＩＰアドレスの重複を排除することで、重複のない脅威ＩＰアドレスの一覧を生成する。

これにより、情報処理装置１００は、ＲＡＤＢに対する脅威ＩＰアドレスのＩＳＰ情報の問い合わせ回数をより減らすことができる。

〔６．ハードウェア構成〕
また、上述してきた実施形態に係る情報処理装置１００は、例えば図５に示すような構成のコンピュータ１０００によって実現される。図５は、情報処理装置１００の機能を実現するコンピュータの一例を示すハードウェア構成図である。コンピュータ１０００は、ＣＰＵ１１００、ＲＡＭ１２００、ＲＯＭ１３００、ＨＤＤ１４００、通信インターフェイス（Ｉ／Ｆ）１５００、入出力インターフェイス（Ｉ／Ｆ）１６００、及びメディアインターフェイス（Ｉ／Ｆ）１７００を備える。

ＣＰＵ１１００は、ＲＯＭ１３００またはＨＤＤ１４００に格納されたプログラムに基づいて動作し、各部の制御を行う。ＲＯＭ１３００は、コンピュータ１０００の起動時にＣＰＵ１１００によって実行されるブートプログラムや、コンピュータ１０００のハードウェアに依存するプログラム等を格納する。

ＨＤＤ１４００は、ＣＰＵ１１００によって実行されるプログラム、及び、かかるプログラムによって使用されるデータ等を格納する。通信インターフェイス１５００は、所定の通信網を介して他の機器からデータを受信してＣＰＵ１１００へ送り、ＣＰＵ１１００が生成したデータを所定の通信網を介して他の機器へ送信する。

ＣＰＵ１１００は、入出力インターフェイス１６００を介して、ディスプレイやプリンタ等の出力装置、及び、キーボードやマウス等の入力装置を制御する。ＣＰＵ１１００は、入出力インターフェイス１６００を介して、入力装置からデータを取得する。また、ＣＰＵ１１００は、生成したデータを入出力インターフェイス１６００を介して出力装置へ出力する。

メディアインターフェイス１７００は、記録媒体１８００に格納されたプログラムまたはデータを読み取り、ＲＡＭ１２００を介してＣＰＵ１１００に提供する。ＣＰＵ１１００は、かかるプログラムを、メディアインターフェイス１７００を介して記録媒体１８００からＲＡＭ１２００上にロードし、ロードしたプログラムを実行する。記録媒体１８００は、例えばＤＶＤ（Digital Versatile Disc）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto-Optical disk）等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等である。

例えば、コンピュータ１０００が実施形態に係る情報処理装置１００として機能する場合、コンピュータ１０００のＣＰＵ１１００は、ＲＡＭ１２００上にロードされたプログラムを実行することにより、制御部１３０の機能を実現する。コンピュータ１０００のＣＰＵ１１００は、これらのプログラムを記録媒体１８００から読み取って実行するが、他の例として、他の装置から所定の通信網を介してこれらのプログラムを取得してもよい。

以上、本願の実施形態のいくつかを図面に基づいて詳細に説明したが、これらは例示であり、発明の開示の欄に記載の態様を始めとして、当業者の知識に基づいて種々の変形、改良を施した他の形態で本発明を実施することが可能である。

〔７．その他〕
また、上記実施形態及び変形例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。例えば、各図に示した各種情報は、図示した情報に限られない。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

また、上述してきた実施形態及び変形例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

また、上述してきた「部（section、module、unit）」は、「手段」や「回路」などに読み替えることができる。例えば、決定部は、決定手段や決定回路に読み替えることができる。

１情報処理システム
１０ＳＶサーバ
２０ＲＡＤＢ
１００情報処理装置
１１０通信部
１２０記憶部
１２１脅威ＩＰリスト記憶部
１２２ＣＩＤＲキャッシュ記憶部
１３０制御部
１３１生成部
１３２判定部
１３３特定部
１３４問合せ部
１３５更新部

Claims

ＲＡＤＢ（Routing Assets Database）に対して、脅威ＩＰアドレスの一覧に含まれる所定の脅威ＩＰアドレスを管理するＩＳＰ（Internet Service Provider）を示すＩＳＰ情報を問い合わせるとともに、前記ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる問合せ部と、
前記脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロックが前記問合せ部によって問合せ済みのＩＰブロック情報の中に存在する場合は、前記脅威ＩＰアドレスを管理するＩＳＰを前記問合せ済みのＩＰブロック情報に対応するＩＳＰであると特定する特定部と、
を備えることを特徴とする情報処理装置。
前記問合せ部は、
前記脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロックが前記問合せ部によって問合せ済みのＩＰブロック情報の中に存在しない場合は、前記ＲＡＤＢに対して、前記脅威ＩＰアドレスを管理するＩＳＰを示すＩＳＰ情報を問い合わせるとともに、前記ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる、
ことを特徴とする請求項１に記載の情報処理装置。
前記問合せ部による問い合わせ結果に基づいて、前記ＩＳＰ情報と前記ＩＰブロック情報とを対応付けて記憶するＣＩＤＲキャッシュ記憶部をさらに備え、
前記問合せ部は、
問い合わせの結果、所定のＩＰブロックと前記所定のＩＰブロックを含む範囲のＩＰブロックとを取得した場合には、前記所定のＩＰブロックを含む範囲のＩＰブロック情報のみを前記ＣＩＤＲキャッシュ記憶部に記憶する、
ことを特徴とする請求項１または２に記載の情報処理装置。
前記脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロックが前記問合せ部によって問合せ済みのＩＰブロック情報の中に存在するか否かを判定する判定部、
をさらに備えることを特徴とする請求項１～３のいずれか１つに記載の情報処理装置。
前記問合せ部による問い合わせ結果に基づいて、前記ＩＳＰ情報と前記ＩＰブロック情報とを対応付けて記憶するＣＩＤＲキャッシュ記憶部を更新する更新部、
をさらに備えることを特徴とする請求項１～４のいずれか１つに記載の情報処理装置。
脅威ＩＰアドレス情報提供元によって管理されるＳＶサーバから取得した脅威ＩＰアドレス情報に基づいて、前記脅威ＩＰアドレスの一覧を生成する生成部をさらに備え、
前記生成部は、
前記脅威ＩＰアドレス情報に含まれる脅威ＩＰアドレスの重複を排除することで、重複のない脅威ＩＰアドレスの一覧を生成する、
ことを特徴とする請求項１～５のいずれか１つに記載の情報処理装置。
コンピュータが実行する情報処理方法であって、
ＲＡＤＢ（Routing Assets Database）に対して、脅威ＩＰアドレスの一覧に含まれる所定の脅威ＩＰアドレスを管理するＩＳＰ（Internet Service Provider）を示すＩＳＰ情報を問い合わせるとともに、前記ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる問合せ工程と、
前記脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロックが前記問合せ工程によって問合せ済みのＩＰブロック情報の中に存在する場合は、前記脅威ＩＰアドレスを管理するＩＳＰを前記問合せ済みのＩＰブロック情報に対応するＩＳＰであると特定する特定工程と、
を含むことを特徴とする情報処理方法。
ＲＡＤＢ（Routing Assets Database）に対して、脅威ＩＰアドレスの一覧に含まれる所定の脅威ＩＰアドレスを管理するＩＳＰ（Internet Service Provider）を示すＩＳＰ情報を問い合わせるとともに、前記ＩＳＰによって管理されているＩＰアドレスの範囲を示すＩＰブロック情報を問い合わせる問合せ手順と、
前記脅威ＩＰアドレスの一覧に含まれる脅威ＩＰアドレスを含む範囲のＩＰブロックが前記問合せ手順によって問合せ済みのＩＰブロック情報の中に存在する場合は、前記脅威ＩＰアドレスを管理するＩＳＰを前記問合せ済みのＩＰブロック情報に対応するＩＳＰであると特定する特定手順と、
をコンピュータに実行させることを特徴とする情報処理プログラム。