(57)【特許請求の範囲】
【請求項１】
ネットワークセグメント上のパケットを受信するネットワークインタフェースと、
前記ネットワークインタフェースで受信したパケットがパケット送出先で誤動作を引き起こす可能性があるか否かを判定する判定処理手段と、
前記判定処理手段で誤動作を引き起こす可能性があると判定されたパケットについてチェックサムを計算しチェックサムの合否を判定するチェックサム検査手段と
を具備したことを特徴とする不正パケット解析装置。
【請求項２】
ネットワークセグメント上のパケットを解析して不正アクセスを監視又は防御する不正アクセス監視システムで利用する不正パケット解析方法に於いて、
受信したパケットがパケット送出先で誤動作を引き起こす可能性があるか否かの不正判定を行ない、
前記不正判定において前記受信したパケットが誤動作を引き起こす可能性があると判定された場合にのみ、前記受信パケットのチェックサムを計算し、チェックサムが合っている場合に、前記受信パケットを不正パケットであると判定することを特徴とする不正パケット解析方法。
【請求項３】
ネットワークを介して受信したパケットのヘッダーフィールドのパラメータが予め設定した禁止条件に合致するか否かを判定し、
前記禁止条件と合致すると判定されたパケットについてのみチェックサムを計算し、チェックサムが合っている場合に、前記受信パケットを不正パケットであると判定することを特徴とする不正パケット解析方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークセグメント上のパケットを解析して不正アクセスを監視し防御する傍受型あるいはインライン型の不正アクセス監視システムに利用して好適な不正パケット解析装置および不正パケット解析方法に関する。
【背景技術】
【０００２】
ネットワークシステムに於けるデータ処理は、一般に、ＯＳＩ  ７階層モデル（図３参照）で示される。このＯＳＩ  ７階層モデルは、物理（Physical）層を最下層に、データリンク（Datalink）層、ネットワーク（ Network）層、トランスポート（ Transport）層、セッション（ Session）層、プレゼンテーション（Presentation）層、アプリケーション（Presentation）層で構成される。
【０００３】
また、ＴＣＰ／ＩＰを用いたネットワークシステムの場合は、W.Richard Stevens が、著書「TCP/IPIllustrated, Volume1」で示した４階層モデルで示されることもある。この４階層モデルは、リンク（Link）層を最下層に、ネットワーク（ Network）層、トランスポート（ Transport）層、アプリケーション（Presentation）層で構成される。
【０００４】
いずれにしても、ネットワークシステムでのデータ処理は、通常、階層化モデルで示され、実際の処理も、それにしたがって行なわれることが一般的である。
【０００５】
ネットワークセグメント上のパケットを解析して不正アクセスを監視／防御する、傍受型あるいはインライン型の不正アクセス監視システムで利用する不正パケット解析手段に於いても階層化した処理を行なうものが提案されている（例えば特許文献１参照）。
【０００６】
ここで、不正パケットの解析を行なう際に必要となる、不正判定の処理は、その多くがアプリケーション（ Application）層の処理となる。
【０００７】
また、パケットのデータを処理する際に欠かすことのできない処理として、チェックサム（checksum）を計算し、当該パケットのチェックサムが合っているか否かを確認する処理があるが、この処理は、ネットワーク（ Network）層やトランスポート（ Transport）層の処理となる。
【０００８】
階層化モデルで示された各層の処理は、パケットを受信した場合、下層から順番に処理することになるため、従来の不正パケット解析手段では、まず受信パケットのチェックサムの計算を行い、チェックサムが合っているパケットについて、既知の条件を満たしているか否かの判定をもとに不正判定を行っていた。
【特許文献１】特開平１０−３１３３４１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
上述したように、従来の不正パケット解析手段に於いては、受信した全てのパケットについてチェックサムの計算を行うことから、結果として、不正アクセス監視システムの性能低下をもたらすという問題があった。さらに不正アクセス監視システムの性能低下は、傍受型の不正アクセス監視システムであれば、セグメント上に大量のパケットが通過している場合に、不正パケットの解析処理が間に合わなくなり、不正アクセスを見落すことになるという問題を引き起こす。また、インライン型の不正アクセス監視システムであれば、不正アクセスを見落すことは防げるものの、監視／防御対象のホストの通信を妨げてしまうという問題を引き起こす。
【００１０】
本発明は上記実情に鑑みなされたもので、不正アクセス監視システムの性能を向上し、傍受型の不正アクセス監視システムであればセグメント上に大量のパケットが通過している場合であっても不正アクセスを見落すことを防ぐことが可能な、また、インライン型の不正アクセス監視システムであれば監視／防御対象のホストの通信を妨げることのない不正パケット解析装置および不正パケット解析方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明は、ネットワークインタフェースで受信したパケットについて、当該受信パケットが不正アクセスに係わる可能性の高いパケットであるか否かを判定し、当該判定で、不正アクセスに係わる可能性の高いパケットであると判定されたパケットについて、チェックサムを計算しチェックサムの合否を判定することを特徴とする。
【００１２】
これにより、実運用に於いては、殆どのパケットデータがチェックサムの計算で合致するにも拘わらず、すべてのパケットデータについて行っていたチェックサムの計算を、極く希に出現する不正アクセスに係わる可能性の高いパケットについてのみ行えばよく、従ってシステム運用に於けるチェックサムの計算に係る処理負荷を著しく軽減できる。これにより不正アクセス監視システムの性能を向上して、傍受型の不正アクセス監視システムであれば、セグメント上に大量のパケットが通過している場合でも、不正アクセスを見落すことを防ぐことが可能となり、また、インライン型の不正アクセス監視システムであれば、監視／防御対象のホストの通信を妨げることのない運用が可能となる。
【発明の効果】
【００１３】
システム運用に於けるチェックサムの計算に係る処理負荷を著しく軽減して、不正アクセス監視システムの性能を向上できる。
【発明を実施するための最良の形態】
【００１４】
以下図面を参照して本発明の実施形態を説明する。
【００１５】
図１に本発明の実施形態に係る不正パケット解析装置の構成を示す。この実施形態に於いては、ネットワークセグメント（Ａ）とネットワークセグメント（Ｂ）との間に介在された不正アクセス検出装置１に、本発明に係る不正パケット解析装置を実現するパケット解析機構１０が設けられる。
【００１６】
不正アクセス検出装置１に設けられたネットワークインタフェース１１，１２のうち、ネットワークインタフェース１１は、ネットワークセグメント（Ａ）上のパケットを受信する。ネットワークインタフェース１２は、上記ネットワークインタフェース１１が受信したパケットをパケット解析機構１０の判定処理の下にネットワークセグメント（Ｂ）を介して不正アクセス防御の対象となるサーバへ送出する。
【００１７】
パケット解析機構１０は、比較判定処理部２０と、チェックサム検査部３０と、判定条件データベース４０とを有して構成される。
【００１８】
比較判定処理部２０は、ネットワークセグメント（Ａ）を介してネットワークインタフェース１１が受信したパケットについて、判定条件データベース４０に格納された既知の条件でのパターンマッチにより、当該受信パケットが、パケット送出先のサーバを攻撃する可能性のあるパケットであるか否かを判定する。例えば、受信したパケットで運ばれるデータが、判定条件データベース４０に予め登録された既知の攻撃パターンに一致するか否かの判定を行う。若しくは、受信したパケットのヘッダフィールドのオプション、若しくはパラメータの組合せが、判定条件データベース４０に予め登録された、パケット送出先のサーバに誤動作を引き起こす可能性のある条件に当て嵌るか否かの判定を行う。若しくは、受信パケットが搬送しているデータの長さ、若しくはデータが指定するパラメータの組合せが、判定条件データベース４０に予め登録された、当該データを処理するソフトウェアに誤動作を引き起こす可能性のある条件に当て嵌るか否かの判定を行う。若しくは受信したパケットが断片化されたＩＰパケットであるとき、当該受信パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶ断片化されたＩＰパケットを過去に解析した履歴が、判定条件データベース４０に存在したとき、当該検索されたＩＰパケットと前記受信したパケットが運ぶデータのオーバラップ部分が一致しているか否かを比較して不正パケットであるか否かを判定する。
【００１９】
比較判定処理部２０は、上記判定に於いて、正当でないと判定した、即ちパケット送出先のサーバを攻撃する可能性があると判定したパケットについては、当該パケットをチェックサム検査部３０に送る。また、正当と判定した、即ちパケット送出先のサーバを攻撃する可能性がないと判定したパケットについては、当該パケットをチェックサム検査部３０に送らず、転送路（ＰＴ）を介してネットワークインタフェース１２にダイレクト転送する。この転送路（ＰＴ）を介してネットワークインタフェース１２にダイレクト転送されるパケットには、正当と判定されたパケット以外に、データ化けを起こしたパケットも含まれる。即ち、本発明の実施形態に係るパケット解析に於いては、このデータ化けを起こしたパケットについて、本来、攻撃パターンのパケットであったものも含めて運用上に於いて実害のないパケットとして扱っている。
【００２０】
チェックサム検査部３０は、比較判定処理部２０から受けたパケットについて、チェックサムを計算し合否の判定を行い、チェックサムが合っていない場合は当該パケットを実害のないパケットであるとしてネットワークインタフェース１２に送出する。、また、チェックサムが合っている場合には、当該データをネットワークインタフェース１２に送出せず、正当性に欠けるパケットであるとして、廃棄、若しくは特定の経路で管理者に通知を行う。
【００２１】
ここで、上記本発明の実施形態に係る不正パケット解析処理について、図２および図３を参照して説明する。本発明の実施形態に於ける不正パケット解析処理では、まず、判定条件データベース４０を用いて受信パケットが予め設定した既知の誤動作条件のいずれかと合致するか否かのチェックを行なう（図２ステップＳ１０１，Ｓ１０２）。
【００２２】
このチェックには、当該受信パケットのヘッダフィールドのオプション、若しくはパラメータの組合せが、パケット送出先のサーバに誤動作を引き起こす可能性があるとして予め設定された既知の条件を満たしているか否かの判定、及び、当該受信パケットが搬送しているデータの長さ、若しくはデータが指定するパラメータの組合せが、当該データを処理するソフトウェアに誤動作を引き起こす可能性があるとして予め設定された既知の条件を満たしているか、のいずれかの条件を満たすか否かの判定、あるいは、当該受信パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶパケットを過去に解析した履歴が存在した場合に、当該履歴に存在したパケットが運ぶデータと、上記受信パケットが運ぶデータのオーバラップ部分が異っているか否かの判定が含まれる。
【００２３】
これらの判定を行なった結果、いずれの判定でも、不正パケットである条件を満たしていないという結果になった場合（図２ステップＳ１０２  ＮＯ）は、以降の処理は行なわずに、当該パケットは、不正パケットではないと言う結果を返す（Ｒｅｔｕｒｎ）。
【００２４】
また、これらの判定を行なった結果、いずれか判定で、不正パケットである条件を満たしているという結果になった場合（図２ステップＳ１０２  ＹＥＳ）は、続いて、チェックサムの計算を行ない、当該パケットのチェックサムが合っているか否かの確認をする（図２ステップＳ１０３，Ｓ１０４）。
【００２５】
このチェックサムの確認を行なった結果、チェックサムが合っていないという結果になった場合（図２ステップＳ１０４  ＮＯ）は、以降の処理は行なわずに、当該パケットは、不正パケットではないと言う結果を返す（Ｒｅｔｕｒｎ）。
【００２６】
また、チェックサムの確認を行なった結果、チェックサムが合っているという結果になった場合（図２ステップＳ１０４  ＹＥＳ）、当該パケットは、不正パケットであるという判定結果を返し、予め規定の対応（例えば破棄、通知等）を行なう。
【００２７】
図３に、上記した本発明の実施形態に於けるパケット解析処理を、従来技術によるパケット解析処理と対比させて、階層モデルで示している。図３（ａ）は本発明の実施形態に於けるパケット解析処理を示し、図３（ｂ）は従来技術によるパケット解析処理を示している。本発明の実施形態に於けるパケット解析処理では、図３（ａ）に示すように、物理（Physical）層で受信（ Receive）したパケットについて、先ず、アプリケーション（ Application）層で、既知の条件に基づく判定を行い、その判定処理の後に、パケット送出先のサーバを攻撃する可能性があると判定したパケットについて、ネットワーク（ Network）層若しくはトランスポート（ Transport）層でチェックサムの計算を行っている。
【００２８】
このように、実運用を考慮して、攻撃の可能性があるパケットの検出機能を損なうことなくチェックサムの処理を極力回避したパケット解析機構としたことにより、不正アクセス監視システムの処理性能を向上でき、これによって傍受型の不正アクセス監視システムであれば、セグメント上に大量のパケットが通過している場合でも、不正アクセスを見落すことを防ぐことが可能となる。また、インライン型の不正アクセス監視システムであれば、監視／防御対象のホストの通信を妨げることのないシステムを実現できる。
【００２９】
以上は、不正パケットを解析して不正アクセスを監視又は防御する不正監視システムについて説明したが、この発明はこれに限定されない。例えば、受信したパケットのヘッダーフィールドのパラメータ（送信元アドレス、送信先アドレスやポート番号）が予め設定された禁止条件と一致するか否かを判定し、一致する場合には、その受信パケットを不正パケットであると判定し、その受信パケットの自ネットワーク内への通過を禁止するファイアーウォールにおける不正パケット解析にも本発明を適用できる。
【図面の簡単な説明】
【００３０】
【図１】本発明の実施形態に係る不正パケット解析装置の構成を示すブロック図。
【図２】本発明の実施形態に係る不正パケット解析処理の手順を示すフローチャート。
【図３】本発明の実施形態に係る不正パケット解析処理を従来技術によるパケット解析処理と対比させて階層モデルで示す図。
【符号の説明】
【００３１】
１…不正アクセス検出装置、２…、３…、４…、５…、６…、７…、８…、９…、１０…パケット解析機構、１１，１２…ネットワークインタフェース、２０…比較判定処理部、３０…チェックサム検査部、４０…定条件データベース。
【図１】
0003721182.tif 000002
【図２】
0003721182.tif 000003
【図３】
0003721182.tif 000004