(57)【特許請求の範囲】
【請求項１】
複数のネットワークセグメント間のパケットの転送を制御するパケット転送装置において、
ネットワークセグメント上のパケットを受信するパケット受信手段と、
前記パケット受信手段で受信した受信パケットを一時保留するパケット保留手段と、
不正アクセスに関わるパケットであると判定されたパケットのコネクション識別情報が登録されるコネクション識別情報記憶手段と、前記パケット受信手段により受信した受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されているか否かを判別して、不正アクセスに関わるパケットであるか否かを判定する第１の判定手段と、前記受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されていないと判別した場合、前記受信パケットのデータを解析して、当該受信パケットが正常なパケットか不正アクセスに関わるパケットであるかを判定する第２の判定手段と、前記第２の判定手段によって解析された解析済みのパケットを過去パケットとして保持する過去パケット保持手段と、前記受信パケットと当該受信パケットと同一のコネクション識別情報を持つ前記過去パケット保持手段に保持された前記過去パケットとにより、複数のパケットに分割されて運ばれてくる一連のデータを再構築するコネクションデータ再構築手段と、前記受信パケットのデータ解析によって不正アクセスに関わるパケットであると判定した場合、当該受信パケットのコネクション識別情報を前記コネクション識別情報記憶手段に登録する手段とを有するパケット解析手段と、
前記パケット解析手段の前記判定結果に基づき、前記パケット保留手段に一時保留されている前記受信パケットのうち、前記不正アクセスに関わるパケットは破棄し、正常な受信パケットのみを送信先のネットワークセグメントへ送出するパケット送出手段とを具備し、
前記第２の判定手段は、前記受信パケットのデータ解析のために、前記コネクションデータ再構築手段によって再構築されたデータを解析する手段を含むことを特徴とするパケット転送装置。
【請求項２】
前記コネクション識別情報は、セッション毎にそのセッション内における一連のデータを運ぶ複数のパケットそれぞれに対して共通に割り当てられる識別情報であることを特徴とする請求項１記載のパケット転送装置。
【請求項３】
前記コネクション識別情報は、パケットに含まれる送信元のアドレス及びポート番号と送信先のアドレスおよびポート番号との組み合わせから構成されるものであることを特徴とする請求項１記載のパケット転送装置。
【請求項４】
前記パケット解析手段の前記コネクション識別情報記憶手段と前記第１の判定手段は独立した解析結果保持手段として構成されることを特徴とする請求項１記載のパケット転送装置。
【請求項５】
前記第２の判定手段は、データの解析を行うために既知の不正アクセスの条件が登録された不正アクセスデータベースを有し、前記不正アクセスデータベースと前記第２の判定手段により独立したパケットデータ解析手段が構成されることを特徴とする請求項１記載のパケット転送装置。
【請求項６】
前記過去パケット保持手段および前記コネクションデータ再構築手段はそれぞれ独立したモジュールとして構成されていることを特徴とする請求項１記載のパケット転送装置。
【請求項７】
前記コネクションデータ再構築手段に前記コネクション識別情報記憶手段と前記第１の判定手段を設けたことを特徴とする請求項１記載のパケット転送装置。
【請求項８】
複数のネットワークセグメント間のパケットの転送を制御するパケット転送装置において、
ネットワークセグメント上のパケットを受信するパケット受信手段と、
前記パケット受信手段により受信したパケットを一時保留するパケット保留手段と、
不正アクセスに関わるパケットであると判定されたパケットのコネクション識別情報が登録されるコネクション識別情報記憶手段と、前記パケット受信手段により受信した受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されているか否かを判別して、不正アクセスに関わるパケットであるか否かを判定する第１の判定手段とを有する解析結果保持手段と、
前記解析結果保持手段からの不正アクセスに関わるパケットであるか否かの判定結果を受信し、前記受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されていないと判別した場合に、不正アクセスデータベースを用いて前記受信パケットのデータを解析し、当該受信パケットが正常なパケットか不正アクセスに関わるパケットであるかを判定する第２の判定手段と、前記受信パケットのデータ解析によって不正アクセスに関わるパケットであると判定した場合、当該受信パケットのコネクション識別情報を前記コネクション識別情報記憶手段に登録する手段と有するパケットデータ解析手段と、
前記パケットデータ解析手段によって解析された解析済みのパケットを過去パケットとして保持する過去パケット保持手段と、
前記過去パケット保持手段を参照して得られる、前記受信パケットと同一のコネクション識別情報を持つ過去パケットから、複数のパケットに分割されて運ばれてくる一連のデータを再構築し、その再構築したデータを解析用データとして前記第２の判定手段に提供するコネクションデータ再構築手段と、
前記パケットデータ解析手段の前記判定結果に基づき、前記パケット保留手段に一時保留されている前記受信パケットのうち、前記不正アクセスに関わるパケットは破棄し、正常な受信パケットのみを送信先のネットワークセグメントへ送出するパケット送出手段と
を具備することを特徴とするパケット転送装置。
【請求項９】
前記コネクションデータ再構築手段内に前記解析結果保持手段を設けたことを特徴とする請求項８記載のパケット転送装置。
【請求項１０】
複数のネットワークセグメント間のパケットの転送を制御するパケット転送方法において、
ネットワークセグメント上のパケットを受信するパケット受信ステップと、
前記パケット受信ステップで受信した受信パケットをパケット保留手段に一時保留するパケット保留ステップと、
前記パケット受信ステップにより受信した受信パケットのコネクション識別情報が、不正アクセスに関わるパケットであると判定されたパケットのコネクション識別情報が登録されるコネクション識別情報記憶手段に既に登録されているか否かを判別して、不正アクセスに関わるパケットであるか否かを判定するステップと、
前記受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されていないと判別された場合に、前記受信パケットのデータを解析して、当該受信パケットが正常なパケットか不正アクセスに関わるパケットであるかを判定するパケットデータ解析ステップと、
前記パケットデータ解析ステップによって解析された解析済みのパケットを過去パケットとして保持するステップと、
前記受信パケットと当該受信パケットと同一のコネクション識別情報を持つ前記過去パケットとにより、複数のパケットに分割されて運ばれてくる一連のデータを再構築するコネクションデータ再構築ステップと、
前記パケットデータ解析ステップによるデータ解析により、不正アクセスに関わるパケットであると判定した場合、当該受信パケットのコネクション識別情報を前記コネクション識別情報記憶手段に登録するステップと、
前記パケット保留手段に一時保留されている受信パケットのうち、前記不正パケットに関わるパケットと判定された受信パケットは破棄し、正常なパケットと判定したパケットのみを送信先のネットワークセグメントへ送出するステップと
を具備し、
前記パケットデータ解析ステップは、前記受信パケットのデータ解析のために、前記コネクションデータ再構築ステップによって再構築されたデータを解析するステップを含むことを特徴とするパケット転送方法。
【請求項１１】
前記コネクション識別情報は、セッション毎にそのセッション内における一連のデータを運ぶ複数のパケットそれぞれに対して共通に割り当てられる識別情報であることを特徴とする請求項１０記載のパケット転送方法。
【請求項１２】
前記コネクション識別情報は、パケットに含まれる送信元のアドレス及びポート番号と、送信先のアドレスおよびポート番号との組み合わせから構成されることを特徴とする請求項１０記載のパケット転送方法。
【請求項１３】
複数のネットワークセグメント間のパケットの転送を制御するパケット転送方法において、
ネットワークセグメント上のパケットを受信するパケット受信ステップと、
前記パケット受信ステップにより受信したパケットをパケット保留手段に一時保留するステップと、
前記パケット受信ステップにより受信した受信パケットのコネクション識別情報が、不正アクセスに関わるパケットであると判定されたパケットのコネクション識別情報が登録されるコネクション識別情報記憶手段に既に登録されているか否かを判別して、不正アクセスに関わるパケットであるか否かを判定する第１の判定ステップと、
前記第１の判定ステップにおける不正アクセスに関わるパケットであるか否かの判定結果を受信し、前記受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されていないと判別した場合に、不正アクセスデータベースを用いて前記受信パケットのデータを解析し、当該受信パケットが正常なパケットか不正アクセスに関わるパケットであるかを判定する第２の判定ステップと、
前記受信パケットのデータ解析によって不正アクセスに関わるパケットであると判定した場合、当該受信パケットのコネクション識別情報を前記コネクション識別情報記憶手段に登録するステップと、
前記第２の判定ステップにおいて解析された解析済みのパケットを過去パケット保持手段に保持するステップと、
前記過去パケット保持手段を参照して得られる、前記受信パケットと同一のコネクション識別情報を持つ過去パケットから、複数のパケットに分割されて運ばれてくる一連のデータを再構築し、その再構築したデータを解析用データとして前記第２の判定ステップに提供するステップと、
前記パケット保留手段に一時保留されている前記受信パケットのうち、前記不正アクセスに関わるパケットは破棄し、正常な受信パケットのみを送信先のネットワークセグメントへ送出するステップと
を具備することを特徴とするパケット転送方法。
【請求項１４】
コンピュータに複数のネットワークセグメント間のパケットの転送を制御させるためのプログラムであって、
ネットワークセグメント上のパケットを受信するパケット受信手順と、
前記パケット受信手順で受信した受信パケットをパケット保留手段に一時保留する手順と、
前記パケット受信手順により受信した受信パケットのコネクション識別情報が、不正アクセスに関わるパケットであると判定されたパケットのコネクション識別情報が登録されるコネクション識別情報記憶手段に既に登録されているか否かを判別して、不正アクセスに関わるパケットであるか否かを判定する手順と、
前記受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されていないと判別された場合に、前記受信パケットのデータを解析して、当該受信パケットが正常なパケットか不正アクセスに関わるパケットであるかを判定するパケットデータ解析手順と、
前記パケットデータ解析手順によって解析された解析済みのパケットを過去パケットとして保持する手順と、
前記受信パケットと当該受信パケットと同一のコネクション識別情報を持つ前記過去パケットとにより、複数のパケットに分割されて運ばれてくる一連のデータを再構築するコネクションデータ再構築手順と、
前記パケットデータ解析手順によるデータ解析により、不正アクセスに関わるパケットであると判定した場合、当該受信パケットのコネクション識別情報を前記コネクション識別情報記憶手段に登録する手順と、
前記パケット保留手段に一時保留されている受信パケットのうち、前記不正パケットに関わるパケットと判定された受信パケットは破棄し、前記正常なパケットと判定したパケットのみを送信先のネットワークセグメントへ送出する手順とをコンピュータに実行させ、
前記パケットデータ解析手順は、前記受信パケットのデータ解析のために、前記コネクションデータ再構築手順によって再構築されたデータを解析する手順を含むものであることを特徴とするプログラム。
【請求項１５】
コンピュータに複数のネットワークセグメント間のパケットの転送を制御させるためのプログラムであって、
ネットワークセグメント上のパケットを受信するパケット受信手順、
前記パケット受信手順により受信したパケットをパケット保留手段に一時保留する手順、
前記パケット受信手順により受信した受信パケットのコネクション識別情報が、不正アクセスに関わるパケットであると判定されたパケットのコネクション識別情報が登録されるコネクション識別情報記憶手段に既に登録されているか否かを判別して、不正アクセスに関わるパケットであるか否かを判定する第１の判定手順、
前記第１の判定手順における不正アクセスに関わるパケットであるか否かの判定結果を受信し、前記受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されていないと判別した場合に、不正アクセスデータベースを用いて前記受信パケットのデータを解析し、当該受信パケットが正常なパケットか不正アクセスに関わるパケットであるかを判定する第２の判定手順、
前記受信パケットのデータ解析によって不正アクセスに関わるパケットであると判定した場合、当該受信パケットのコネクション識別情報を前記コネクション識別情報記憶手段に登録する手順、
前記第２の判定手順において解析された解析済みのパケットを過去パケット保持手段に保持する手順、
前記過去パケット保持手段を参照して得られる、前記受信パケットと同一のコネクション識別情報を持つ過去パケットから、複数のパケットに分割されて運ばれてくる一連のデータを再構築し、その再構築したデータを解析用データとして前記第２の判定手順に提供する手順、
前記パケット保留手段に一時保留されている前記受信パケットのうち、前記不正アクセスに関わるパケットは破棄し、前記正常な受信パケットのみを送信先のネットワークセグメントへ送出する手順
をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は複数のネットワークセグメント間のパケットの転送を制御するためのパケット転送装置およびパケット転送方法に関する。
【０００２】
【従来の技術】
近年、複数のネットワークセグメント間のパケットの転送を制御するためのパケット転送装置として、フィルタ型ＩＤＳ装置（ＩＤＳ：ｉｎｔｒｕｓｉｏｎ  ｄｅｔｅｃｔｉｏｎ  ｓｙｓｔｅｍ  侵入検知システム）が注目されている。
【０００３】
このフィルタ型ＩＤＳ装置は、受信パケットについて当該パケットが運ぶデータを解析して、不正アクセスに関わるパケットであるか否かの判定を行なうものである。パケットデータ解析処理では、不正アクセスに関わる既知のパターンを登録したデータベースが参照され、受信パケットがそれに該当するかどうかなどが判定される。この解析処理により不正アクセスに関わるパケットであると判定された受信パケットは転送されずに、破棄される。これにより、不正パケットの侵入を未然に防止でき、一定のセキュリティを確保することが出来る。
【０００４】
従来のフィルタ型ＩＤＳ装置では、受信した全てのパケットについて、上述の解析処理を行い、不正アクセスに関わるパケットであるか否かの判定を行っている。
【０００５】
【発明が解決しようとする課題】
ところで、一般に、パケット交換網を介して通信を行なう通信システムでは、受信側でパケットを受信した際に応答確認を送出し、送信側では、受信側からの応答確認によってパケットが受信側へ到達したことが確認できない場合に、再度、パケットを送出する（再送する）等の方法により、通信の信頼性を確保している。このような通信システムに、上述のフィルタ型ＩＤＳ装置を用いた場合、フィルタ型ＩＤＳ装置が、受信したパケットを不正アクセスに関わるパケットであると判定し、それを破棄した場合、当該パケットが受信側へ到達しないため、再送により、再度同じパケットが送られてくる事となる。
【０００６】
従来のフィルタ型ＩＤＳ装置では、再送により送られてきたパケットについても、最初に送られてきたパケットと同様にデータの内容の解析を行っていた。しかし、再送パケットが運ぶデータと同じデータは、すでに解析済みであり、再びデータの内容の解析を行なうのは、フィルタ型ＩＤＳ装置として用いられるシステムのＣＰＵ資源を消費する事となる。よって、不正アクセスが頻発した場合には、再送パケットが多数送られて来ることとなり、パケット転送の性能低下を招いてしまうという問題があった。
【０００７】
本発明は上述の事情を考慮してなされたものであり、不正アクセスに関わるパケットの転送を効率よく禁止することが可能なパケット転送装置、およびパケット転送方法を提供することを目的とする。
【０００８】
【課題を解決するための手段】
上述の課題を解決するため、本発明のパケット転送装置は、複数のネットワークセグメント間のパケットの転送を制御するパケット転送装置において、ネットワークセグメント上のパケットを受信するパケット受信手段と、前記パケット受信手段で受信した受信パケットを一時保留するパケット保留手段と、不正アクセスに関わるパケットであると判定されたパケットのコネクション識別情報が登録されるコネクション識別情報記憶手段と、前記パケット受信手段により受信した受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されているか否かを判別して、不正アクセスに関わるパケットであるか否かを判定する第１の判定手段と、前記受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されていないと判別した場合、前記受信パケットのデータを解析して、当該受信パケットが正常なパケットか不正アクセスに関わるパケットであるかを判定する第２の判定手段と、前記第２の判定手段によって解析された解析済みのパケットを過去パケットとして保持する過去パケット保持手段と、前記受信パケットと当該受信パケットと同一のコネクション識別情報を持つ前記過去パケット保持手段に保持された前記過去パケットとにより、複数のパケットに分割されて運ばれてくる一連のデータを再構築するコネクションデータ再構築手段と、前記受信パケットのデータ解析によって不正アクセスに関わるパケットであると判定した場合、当該受信パケットのコネクション識別情報を前記コネクション識別情報記憶手段に登録する手段とを有するパケット解析手段と、前記パケット解析手段の前記判定結果に基づき、前記パケット保留手段に一時保留されている前記受信パケットのうち、前記不正アクセスに関わるパケットは破棄し、正常な受信パケットのみを送信先のネットワークセグメントへ送出するパケット送出手段とを具備し、前記第２の判定手段は、前記受信パケットのデータ解析のために、前記コネクションデータ再構築手段によって再構築されたデータを解析する手段を含むことを特徴とする。
【０００９】
また、本発明のパケット転送装置は、複数のネットワークセグメント間のパケットの転送を制御するパケット転送装置において、ネットワークセグメント上のパケットを受信するパケット受信手段と、前記パケット受信手段により受信したパケットを一時保留するパケット保留手段と、不正アクセスに関わるパケットであると判定されたパケットのコネクション識別情報が登録されるコネクション識別情報記憶手段と、前記パケット受信手段により受信した受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されているか否かを判別して、不正アクセスに関わるパケットであるか否かを判定する第１の判定手段とを有する解析結果保持手段と、前記解析結果保持手段からの不正アクセスに関わるパケットであるか否かの判定結果を受信し、前記受信パケットのコネクション識別情報が前記コネクション識別情報記憶手段に登録されていないと判別した場合に、不正アクセスデータベースを用いて前記受信パケットのデータを解析し、当該受信パケットが正常なパケットか不正アクセスに関わるパケットであるかを判定する第２の判定手段と、前記受信パケットのデータ解析によって不正アクセスに関わるパケットであると判定した場合、当該受信パケットのコネクション識別情報を前記コネクション識別情報記憶手段に登録する手段と有するパケットデータ解析手段と、前記パケットデータ解析手段によって解析された解析済みのパケットを過去パケットとして保持する過去パケット保持手段と、前記過去パケット保持手段を参照して得られる、前記受信パケットと同一のコネクション識別情報を持つ過去パケットから、複数のパケットに分割されて運ばれてくる一連のデータを再構築し、その再構築したデータを解析用データとして前記第２の判定手段に提供するコネクションデータ再構築手段と、前記パケットデータ解析手段の前記判定結果に基づき、前記パケット保留手段に一時保留されている前記受信パケットのうち、前記不正アクセスに関わるパケットは破棄し、正常な受信パケットのみを送信先のネットワークセグメントへ送出するパケット送出手段とを具備することを特徴とする。
【００１０】
このパケット転送装置においては、パケット解析手段によって不正アクセスに関わるパケットであると判定された受信パケットについては、そのパケットデータ解析の解析結果として、当該受信パケットのコネクション識別情報がコネクション識別情報記憶手段に登録される。そして、以降は、そのコネクション識別情報と同一のコネクション識別情報を持つ受信パケットについては、データ解析による不正アクセスに関わるパケットであるか否かの判定は行われずに、廃棄される。よって、不正アクセスに係る再送パケットが多数送られてきても、パケット転送の性能低下を招くことなく、不正アクセスに関わるパケットの転送を禁止することが可能となる。
【００１１】
ここで、コネクション識別情報とは、単なるアドレス情報ではなく、セッション毎にそのセッション内における一連のデータを運ぶ複数のパケットそれぞれに対して共通に割り当てられる識別情報を意味する。もし送信元アドレスや送信先アドレスといったパケット内のアドレス情報のみを登録するという構成を用いた場合には、端末やサーバといった物理的なネットワークノード単位でのパケットフィルタリングとなるので、例えば、一旦不正パケットを送信したと判定された端末や、ＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）配下の全ての端末からのパケット転送はその後も一切禁止されてしまうことになる。これに対し、コネクション識別情報を用いた場合には、あるサービスを要求したユーザとそのサービスを提供するサーバとの間のセッションを単位としたパケットフィルタリングを実現できる。
【００１２】
例えばＴＣＰでは、パケットに含まれる送信元のアドレス及びポート番号と送信先のアドレスおよびポート番号との組み合わせが上記コネクション識別情報となる。
【００１３】
また、データ解析された解析済みのパケットを過去パケットとして保持する過去パケット保持手段と、前記受信パケットと前記過去パケット保持手段から得られる当該受信パケットと同一のコネクション識別情報を持つ過去パケットとを用いることにより、複数のパケットに分割されて運ばれてくる一連のデータを再構築するコネクションデータ再構築手段とをさらに設けることが好ましい。
【００１４】
これにより、受信したパケット個々のデータのみならず、解析済み過去パケットを含めた、同一のコネクション識別情報を持つ一連のデータを運ぶ複数のパケットのデータ内容に基づいて当該受信パケットが不正アクセスに関するパケットであるかどうかを判定できるので、パケットデータ解析の精度をより高めることが可能となり、セキュリティ性能を高めることができる。
【００１５】
この場合、もしパケット解析手段が、解析済みパケットを内部に保持していると、判定すべき不正アクセスの種類の増加に対応するなどの目的でパケット解析手段を交換した場合、交換以前に処理した解析済み過去パケットのデータ内容が失われてしまう。もし交換以前から交換後に跨る複数のパケットに分割されたデータによって攻撃が行われた場合には、その攻撃を検知することができず、結果として、不正アクセスを防げなくなる。よって、上述のように、解析済みの過去パケット保持手段およびコネクションデータ再構築手段は、パケットデータ解析手段とは別に設けることが好ましい。これにより、パケットデータ解析手段を交換する場合でも、交換以前に処理した解析済みパケットを保持しておくことができるので、それを基にデータの再構築が可能となる。具体的には、前記パケット解析手段を、前記過去パケット保持手段および前記コネクションデータ再構築手段とは独立したモジュールとして構成して、パケットデータ解析手段単体で交換可能にすればよい。
【００１６】
さらに、コネクションデータ再構築手段は、コネクション識別情報を用いてデータを再構築するものであるため、このコネクションデータ再構築手段内に、パケットデータの解析によって不正アクセスに関わるパケットであると判定された受信パケットのコネクション識別情報を記憶する手段と、前記データの再構築を行なう前に、前記受信パケットが前記コネクション識別情報記憶手段に保持されているコネクション識別情報を持つか否かを判定し、その判定結果を前記パケットデータ解析手段に通知する手段とを設けることで、コネクションデータ再構築手段のコネクション管理機能をより有効に活用することが出来る。
【００１７】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態を説明する。
図１には、本発明の一実施形態に係るパケット転送装置が示されている。このパケット転送装置１１は複数のネットワークセグメント間のパケットの転送を制御するものであり、例えば、ブリッジ、ルータ、ゲートウェイ、ＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）等のネットワーク接続装置として使用される。パケット転送装置１１にはフィルタ型ＩＤＳを用いたセキュリティ機能が搭載されており、受信パケットについて当該パケットが運ぶデータを解析して、不正アクセスに関わるパケットであるか否かの判定が行われる。以下では、例えばネットワークセグメントＡからネットワークセグメントＢへのパケット転送を許可、または禁止するためのパケットフィルタリングを行なう場合を例示して、パケット転送装置１１の構成を説明することにする。
【００１８】
パケット転送装置１１には、図示のように、パケット受信部１０１、パケット識別子付加機構１０２、パケット保留キュー１０３、パケット解析機構１０４、およびパケット送出部１０５が設けられている。
【００１９】
パケット受信部１０１は、ネットワークセグメントＡ上に送信されるパケットを受信する。パケット識別子付加機構１０２は、パケット受信部１０１によって受信された受信パケットに対して識別子を付加して、パケット保留キュー１０３およびパケット解析機構１０４に出力する。パケット保留キュー１０３は識別子が付加された受信パケットを、パケット解析機構１０４が不正アクセスに関わるパケットで無いことを判定するまで一時保留する。
【００２０】
パケット解析機構１０４は、内蔵するパケットデータ解析部１１１によって、受信パケットで運ばれるデータを解析して、それが既知の不正アクセスに関するパターンに該当するかどうかを調べることにより、当該受信パケットが不正アクセスに関わるパケットであるかどうかを判定し、不正アクセスに関わるパケットで無いことを判定したパケットの識別子をパケット送出部１０５に伝える。パケットデータ解析部１１１では、受信パケットによって運ばれるデータに含まれるヘッダやペイロードの内容を解析するほか、同一のコネクション識別情報を持つ複数のパケットにより分割されて運ばれていたデータを再構築したりするなど、解析するのに都合の良い形に整形するプロトコル処理なども必要に応じて行われ、その再構築後のデータに不正アクセスに関するパターンが含まれるかどうかが判定される。
【００２１】
また、パケット解析機構１０４は、不正アクセスに関するパケットであると一旦判定した受信パケットと同じコネクション識別情報を持つパケットを再度受信した場合には、その受信パケットのデータ解析を行なわずに、それを不正アクセスに関わるパケットであると判定する機能を持つ。この機能を実現するため、パケット解析機構１０４には不正コネクションテーブル１１２が設けられている。
【００２２】
不正コネクションテーブル１１２には、パケットデータ解析部１１１によるパケットデータ解析の結果、不正アクセスに関わるパケットであると判定された受信パケットのコネクション識別情報が登録される。パケット解析機構１０４は、パケット識別子付加機構１０２からパケットを受信すると、まず、受信パケットのコネクション識別情報が不正コネクションテーブル１１２に既に登録されているかどうかを調べ、登録されている場合には、その受信パケットをその時点で不正アクセスに関わるパケットであると判定する。この場合、パケットデータ解析部１１１による解析処理は行なわない。
【００２３】
ここで、不正コネクションテーブル１１２にパケットデータ解析結果として登録されるコネクション識別情報とは、セッション毎にそのセッション内で一連のデータを運ぶ複数のパケットそれぞれに対して共通に割り当てられる識別情報を意味する。送信元アドレスや送信先アドレスといったアドレス情報のみを使用した場合には、端末やサーバといった物理的なネットワークノード単位でのパケットフィルタリングとなるので、例えば、一旦不正パケットを送信したと判定された端末からのパケット転送はその後も一切禁止されてしまうことになる。特にＮＡＴを介して転送されたパケットが一旦不正アクセスに関するパケットであると判定されると、ＮＡＴを介してネットワークにつながる全ての端末からのアクセスが禁止されてしまうという事態を招く。これに対し、コネクション識別情報を用いた場合には、あるサービスを要求したユーザとそのサービスを提供するサーバとの間のセッションを単位としたパケットフィルタリングを実現でき、上述のような問題は生じない。
【００２４】
例えばＴＣＰでは、パケットに含まれる、送信元のアドレスおよびポート番号と、送信先のアドレスおよびポート番号との組み合わせが、コネクション識別情報となる。ポート番号は例えば送信元アドレスで指定される端末と送信先アドレスで指定されるサーバとの間で、サービスを要求する端末内のアプリケーションプログラムとサービスを提供するサーバ内のサーバプログラムとの関係を一対一で結びつけるために使用されるものである。端末内のアプリケーションプログラムに割り当てられるポート番号はネットワーク接続の度に変化され、アプリケーションプログラムからサーバに接続するときに動的に割り当てられる。したがって、例えば、ある端末で特定のプログラムを起動することによってサーバにアクセスし、そのサーバの提供する特定のサービスを受ける場合を想定すると、そのアクセス期間中は、端末からサーバに一連のデータを運ぶための複数のパケットにはそれぞれ共通のコネクション識別子が割り当てられ、またサーバから端末に一連のデータを運ぶための複数のパケットにもそれらの間で共通のコネクション識別子が割り当てられる。よって、このようなコネクション識別のための識別情報を用いることにより、端末やサーバといった物理的なネットワークノードを対象にしたアクセス禁止制御ではなく、あるサービスを要求したユーザとそのサービスを提供するサーバとの関係を単位とした、セッション単位でのアクセス禁止制御を実現できる。
【００２５】
また、コネクションレス型の転送プロトコルであるＵＤＰ等を用いる場合でも、送信元から送信先へデータを運ぶ各パケットにはセッション毎に共通のコネクション識別情報が上位プロトコルによって付加されるので、それを用いてアクセス禁止制御を行なうことが出来る。
【００２６】
パケット送出部１０５は、パケット解析機構１０４から不正アクセスに関するパケットであると判定された受信パケットの識別子を受け取った場合には、パケット保留キュー１０３から当該受信パケットを破棄し、またパケット解析機構１０４から不正アクセスに関するパケットではないと判定された受信パケットの識別子を受け取った場合には、パケット保留キュー１０３から当該受信パケットを取り出して、ネットワークセグメントＢ上に送出する。
【００２７】
図２には、パケット解析機構１０４の具体的な構成の一例が示されている。
【００２８】
パケット解析機構１０４は、不正コネクション判定機構１１３と、不正コネクションテーブル１１２と、パケットデータ解析部１１１とから構成される。不正コネクション判定機構１１３は、パケット解析機構１０４に入力されたパケットを受取り、不正コネクションテーブル１１２を参照して、当該入力されたパケットが不正コネクションテーブル１１２に登録されていた場合、パケットデータ解析部１１１による不正パケットの解析処理を行なわずに、当該入力されたパケットは不正アクセスに関わるパケットと判定して、パケット解析機構１０４に出力する機能を持つ。
【００２９】
パケットデータ解析部１１１は、プロトコル処理部２０１および不正アクセスデータベース２０２から構成されている。不正アクセスデータベース２０２は既知の不正アクセスに関する情報を記憶したデータベースであり、ここには不正アクセスに関する様々なパターンが記憶されている。プロトコル処理部２０１は、不正アクセスデータベース２０２を検索しながら、パケット受信部１０１が受信したパケットが不正アクセスに関わるパケットか否かを判定する。
【００３０】
次に、図３のフローチャートを参照して、図１、および図２のパケット転送装置１１の動作を説明する。
【００３１】
まず、パケット転送装置１１のパケット受信部１０１により、ネットワークセグメントＡ上に送信されるパケットが受信される（ステップＳ１０１）。この受信パケットには、パケット識別子付加機構１０２によりパケット転送装置１１内でユニークな識別子が付加され、その識別子が付加された受信パケットはパケット保留キュー１０３に格納されると共に、パケット解析機構１０４に渡される。
【００３２】
パケット解析機構１０４では、最初に、受信パケットのコネクション識別情報が判別される（ステップＳ１０２）。即ち、その受信パケットのコネクション識別情報を基に、不正コネクション判定機構１１３によって不正コネクションテーブル１１２がサーチされ、受信パケットが、不正コネクションテーブル１１２に登録されたコネクション識別情報を持つパケットであるかどうかが判別される（ステップＳ１０３，Ｓ１０４）。
【００３３】
受信パケットが不正コネクションテーブル１１２に登録されたコネクション識別情報を持っていた場合、不正コネクション判定機構１１３は、当該パケットをパケットデータ解析部１１１に渡すこと無く、当該パケットが、不正アクセスに関わるものであると判定して、パケット送出部１０５へ不正アクセスパケットである識別子を伝える。これにより、パケット保留キュー１０３に格納されている当該パケットは送出されずに、破棄される（ステップＳ１０９）。
【００３４】
一方、不正コネクション判定機構１１３にて、受信パケットのコネクション識別情報が不正コネクションテーブル１１２に登録されていないと判定した場合、当該パケットをパケットデータ解析部１１１に渡す。パケットデータ解析部１１１では、当該パケット中のデータを解析して、それが正常なパケットか不正アクセスに関わるパケットであるかを判定するためのパケットデータ解析処理が行われる（ステップＳ１０５）。このパケットデータ解析処理で当該パケットが不正アクセスに関わることが検出されなければ、パケット解析機構１０４は、正常なパケットであると判定して、当該パケットの識別子を、パケット送出部１０５に伝える。識別子を伝えられたパケット送出部１０５は、パケット保留キュー１０３から、当該識別子を持つ受信パケットを取り出し、当該パケットを受信したネットワークセグメントとは異なる送信先のネットワークセグメント（ここではネットワークセグメントＢ）上に送出する（ステップＳ１０７）。
【００３５】
一方、もし当該パケットが不正アクセスに関わるものであると判定された場合は、パケットデータ解析部１１１は当該パケットのコネクション識別情報を不正コネクションテーブル１１２に登録する（ステップＳ１０８）。そして、パケット解析機構１０４からパケット送出部１０５へ不正アクセスに関わると判定した当該パケットの識別子が伝えられ、パケット保留キュー１０３に格納されている当該パケットは送出されずに、破棄されることになる（ステップＳ１０９）。なお、パケットの破棄は、明示的な指示で破棄するのみならず、パケット保留キュー１０３からの溢れによる等の暗黙的な手段によって、破棄するようにしても良い。
【００３６】
この一連の動作をパケット受信の度に実行することにより、不正アクセスが頻発することにより再送パケットが多数送られてきた場合でも、それによるパケット転送性能の低下を招くことなく、不正アクセスに関するパケットの転送を禁止することが出来る。
【００３７】
次に、図４および図５のフローチャートを参照して、ステップＳ１０５で行われるパケットデータ解析処理の具体的例について説明する。
【００３８】
このパケットデータ解析処理では、受信パケットについて、先ずヘッダフィールドのオプションや、パラメータの組み合わせが、パケット送信先のサーバに誤動作を引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（ステップＳ１１）。即ち、受信パケットのヘッダ部から不審な相手からの送信であったり、形式の異なる怪しいパケットであることを見分ける処理を行なう。ここで上記条件を満たしていれば、当該受信パケットは不正アクセスに関わるパケットであると判定され、当該受信パケットを破棄するよう指示する（ステップＳ１５）。
【００３９】
一方、上記条件を満たしていなければ、次に、断片化されたパケットやＴＣＰプロトコルで転送されるパケット等、判断に他のパケットの情報も必要となるか否かが判断される（ステップＳ１２）。他のパケットを必要としない場合は、次にパケットが搬送しているデータの長さ、あるいはデータが指定しているパラメータの組み合わせが、そのデータを処理するアプリケーション等に誤動作を引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（ステップＳ１３）。ここで上記条件を満たしていれば当該受信パケットは不正アクセスに関わるパケットであると判定され、当該受信パケットを破棄するよう指示する（ステップＳ１５）。
【００４０】
一方、上記条件を満たしていなければ、当該受信パケットを送出対象パケットとして、パケット送出部１０５に当該受信パケットの転送指示を行なう（ステップＳ１４）。
【００４１】
また、上記ステップＳ１２において、他のパケットの情報も必要であると判断された際は、受信パケットが、断片化されたパケットで、かつパケット解析機構１０４内に解析済みパケットとして保持されている、送出済みの他の断片化されたパケットとデータ領域がオーバーラップしているパケットであるかどうか等、サーバに誤動作引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（図５のステップＳ２１）。ここで上記条件を満たしていれば当該受信パケットは不正アクセスに関わるパケットであると判定される。
【００４２】
一方、上記条件を満たしていなければ、次に、受信パケットが、ＴＣＰのパケットで、かつパケット解析機構１０４内に解析済みパケットとして保持されている、コネクション識別情報が受信パケットと同一の送出済みのパケットとデータ領域がオーバーラップしているパケットであるかどうか等、サーバに誤動作引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（ステップＳ２２）。ここで上記条件を満たしていれば当該受信パケットは不正アクセスに関するパケットであると判定される。
【００４３】
一方、上記条件を満たしていなければ、次に、パケット解析機構１０４内に解析済みのパケットとして保持されている、受信パケットと同一のコネクション識別情報を持つ必要に応じた数の過去の送出済みパケットを用いて、解析に充分な長さのストリームデータを再構築する（ステップＳ２３）。そして、当該再構築されたデータストリームによって搬送されているデータの長さ、あるいはデータが指定しているパラメータが誤動作を引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（ステップＳ２４）。ここで上記条件を満たしていれば当該受信パケットは不正アクセスに関するパケットであると判定され、また条件を満たしていなければ不正アクセスに関するパケットではないと判定されることになる。
【００４４】
以上のように、パケットデータ解析部１１１によるパケット解析処理では様々な観点に基づいて、受信パケットが運ぶデータの解析が行われるので、パケットデータ解析部１１１によって不正アクセスに関わるパケットであると判定された受信パケットについては、その受信パケットのコネクション識別情報を不正コネクションテーブル１１２に登録し、以降は、そのコネクション識別情報と同一のコネクション識別情報を持つ受信パケットについてはパケット解析処理を行なわずに直ちに不正アクセスに関するパケットであると判定することにより、少ない負荷で効率よく不正アクセスに関するパケットを検知することが可能となる。
【００４５】
なお、上述した解析済みの過去のパケットを用いてデータ再構築を行なう機能をパケットデータ解析部１１１内に設けた場合は、判定すべき不正アクセスの種類の増加に対応するなどの目的でパケットデータ解析部１１１を新たなバージョンに交換する様な場合に、過去のパケットの内容が失われてしまうので、データ再構築に関する機能と、パケットデータ解析機能とは互いに独立したモジュールとして実現することが好ましい。この場合の構成例を図６に示す。
【００４６】
図６に示されているように、パケット解析機構１０４は、パケットデータ解析部１１１と、コネクションデータ再構築部２０３と、過去パケット格納部２０４からなる。パケットデータ解析部１１１は、プロトコル処理部２０１と、不正アクセスデータベース２０２を持ち、必要に応じ、コネクションデータ再構築部２０３によって再構築された同一のコネクション識別情報を持つ複数のパケットに分割して運ばれているデータを参照しながら、不正アクセスデータベース２０２を検索し、パケットが運ぶデータを解析し、当該パケットが、不正アクセスに関わるパケットか否かを判定する機能を持つ。
【００４７】
コネクションデータ再構築部２０３は、同一のコネクション識別情報を持つ複数のパケットに分割して運ばれているデータを、再構築してパケットデータ解析部１１１に渡す機能を持つ。過去パケット格納部２０４は、パケットデータ解析部１１１によって既に解析され、送信先のネットワークセグメントに送出済みの過去のパケットを保持しておくためのものであり、ここには、パケット保留キュー１０３に保留されているパケットの受信以前に受信したパケットで、且つ解析済みの過去パケットのデータが蓄積される。過去パケット格納部２０４は、コネクションデータ再構築部２０３の要求に応じて、指定されたコネクション識別情報を持つ過去の解析済みパケットをコネクションデータ再構築部２０３に提供する機能を持つ。
【００４８】
図６のパケット解析機構１０４においては、パケットデータ解析部１１１に渡されたパケットについて、当該パケットのヘッダ部のオプションやパラメータの組合せや、当該パケットが運ぶデータの長さやデータが指定するパラメータの組合せが、不正アクセスデータベース２０２に登録された既知の不正アクセスの条件を満たしているか否かが判定される。この際、必要に応じてプロトコル処理部２０１によって当該パケットが運ぶデータの種類に応じたプロトコル処理を行なう。当該パケットが運ぶデータが、同一のコネクション識別情報を持つ複数のパケットに分割して運ばれているデータの一部である場合には、プロトコル処理部２０１は、コネクションデータ再構築部２０３によって、過去パケット格納部２０４に格納された、当該パケットの受信以前に受信した解析済みパケットから同一のコネクション識別情報を持つパケットを取り出し、再構築を行なう。
【００４９】
この際、分割されたデータを運ぶすべてのパケットがまだ受信されてない場合は、過去パケット格納部２０４に格納されたパケットおよび当該受信されたパケットから構築可能な部分のみ再構築を行なう。プロトコル処理部２０１は、このようにして再構築されたデータの長さや指定するパラメータの組み合わせが、不正アクセスデータベース２０２に登録された既知の不正アクセスの条件を満たしているか否かを判定する。
【００５０】
ここで、分割されたデータを運ぶすべてのパケットが受信できていない状態で、判定すべき不正アクセスの種類の増加に対応するなどの目的でパケットデータ解析部１１１を交換した場合を考える。
【００５１】
パケットデータ解析部１１１の交換後に、続いて同一のコネクション識別情報を持つパケットが受信され、パケットデータ解析部１１１に渡されたとすると、プロトコル処理部２０１は、コネクションデータ再構築部２０３によって、過去パケット格納部２０４に格納された、当該パケットの受信以前に受信したパケットの中から同一のコネクション識別情報を持つパケットを取り出し、再構築を行なう。パケットデータ解析部１１１の交換以前に受信されたパケットも、過去パケット格納部２０４に格納されているため、このように、分割されたデータを運ぶすべてのパケットが受信できていない状態で、判定すべき不正アクセスの種類の増加に対応するなどの目的でパケットデータ解析部１１１を交換したとしても、コネクションデータ再構築部２０３は、データの再構築を正しく行なうことが可能となる。
【００５２】
コネクションデータ再構築部２０３で途中まで再構築したデータはキャッシュの形でコネクションデータ再構築部２０３内に保持しておき、保持された再構築データがコネクションデータ再構築部２０３に存在する場合は、過去パケット格納部２０４に格納されたパケットのデータの代わりに用いることも可能である。このようにして、交換以前から交換後に跨る複数のパケットに分割されたデータによって攻撃が行われた場合でも、その攻撃を検知しパケットを破棄する事が可能となる。
【００５３】
図７は、図６の構成を図２のパケット解析機構１０４に適用した場合の構成例である。
【００５４】
この図７のパケット解析機構１０４においては、図２の不正コネクション判定機構１１３の機能が、プロトコル処理部２０１によって行われる。すなわち、不正コネクションテーブル１１２を持つ解析結果保持部２０５が設けられており、パケットデータ解析部１１１のプロトコル処理部２０１は、解析結果保持部２０５に対して、受信パケットのコネクション識別情報が、既に不正パケットであると判定されたパケットと同一の識別情報を持つものであるかどうかを問い合わせ、その問い合わせ結果によって、パケットデータ解析処理を行なう必要があるか否かを判断する。
【００５５】
解析結果保持部２０５は、パケットデータ解析部１１１からの要求に応じて、不正アクセスに関するパケットであると判定された受信パケットのコネクション識別情報を不正コネクションテーブル１１２に登録する機能、さらには、パケットデータ解析部１１１からの問い合わせに応じて、不正コネクションテーブル１１２を参照して、要求されたコネクション識別情報と同一のコネクション識別情報が登録されているかどうかを判定し、その判定結果をパケットデータ解析部１１１に通知する機能を持つ。
【００５６】
次に、図８のフローチャートを参照して、図７のパケット解析機構１０４を用いた場合のパケット転送装置１１の動作を説明する。なお、基本部の構成は図１を参照するものとする。
【００５７】
まず、パケット転送装置１１のパケット受信部１０１により、ネットワークセグメントＡ上のパケットが受信される（ステップＳ２０１）。この受信パケットには、パケット識別子付加機構１０２によりパケット転送装置１１内でユニークな識別子が付加され、その識別子が付加された受信パケットはパケット保留キュー１０３に格納されると共に、パケット解析機構１０４にも渡される。パケット解析機構１０４においては、最初に、プロトコル処理部２０１が、受信パケットのコネクション識別情報を判別し（ステップＳ２０２）、当該コネクション識別情報が既に不正アクセスに関するパケットのコネクション識別情報として登録されているか否かを解析結果保持部２０５に対して問い合わせる（ステップＳ２０３）。
【００５８】
解析結果保持部２０５は、プロトコル処理部２０１からの問い合わせに従い不正コネクションテーブル１１２をサーチし、その結果をプロトコル処理部２０１に通知する。この通知に基づいて、プロトコル処理部２０１は、受信パケットが、不正コネクションテーブル１１２に登録されたコネクション識別情報を持つパケットであるかどうかを判別する（ステップＳ２０４）。
【００５９】
受信パケットが不正コネクションテーブル１１２に登録されたコネクション識別情報を持っていた場合（ステップＳ２０４のＹｅｓ）、プロトコル処理部２０１は、当該パケットに対するパケットデータ解析処理を行なうことなく、当該パケットが不正アクセスであることを、パケット解析機構１０４の解析出力として、当該パケットの識別子を用いてパケット送出部１０５へ伝える。これにより、パケット保留キュー１０３に格納されている当該パケットは送出されずに、破棄される（ステップＳ２１０）。
【００６０】
一方、受信パケットが不正コネクションテーブルに登録されたコネクション識別情報を持っていなかった場合、プロトコル処理部２０１は、当該パケットのデータを解析して、それが不正アクセスに関わるパケットであるか否かを判定するためのパケットデータ解析処理を行なう（ステップＳ２０５）。このパケットデータ解析処理では、必要に応じ、コネクションデータ再構築部２０３に対してデータの再構築が要求され、解析対象の受信パケットと、それと同一の識別情報を持つ過去の解析済みパケットとを用いてデータの再構築が行われる。そして、その再構築されたデータを基に不正アクセスデータベース２０２が参照される。
【００６１】
このようなパケットデータ解析処理により当該パケットが不正アクセスに関わるものでは無いパケットであると判定された場合には、パケット解析機構１０４は、当該解析済みの受信パケットを過去パケット格納部２０４に格納し（ステップＳ２０７）、そして当該パケットに付加された識別子をパケット送出部１０５に伝える。識別子を伝えられたパケット送出部１０５は、パケット保留キュー１０３から、当該識別子を持つパケットを取り出し、ネットワークセグメントＢに送出する（ステップＳ２０８）。
【００６２】
一方、パケットデータ解析処理により当該パケットが不正アクセスに関わるものであると判定された場合は、当該パケットのコネクション識別情報が解析結果保持部２０５に送られ、その不正コネクションテーブル１１２に登録される（ステップＳ２０９）。そして、パケット解析機構１０４は、不正アクセスと判定した当該パケットの識別子をパケット送出部１０５へ伝える。これにより、パケット送出部１０５からは、パケット保留キュー１０３に格納されている当該パケットは送出されずに、破棄される（ステップＳ２１０）。
【００６３】
図９は、解析結果保持部２０５がコネクションデータ再構築部２０３内に含まれている場合のパケット解析機構１０４の構成例である。
【００６４】
パケットデータ解析部１１１は、コネクションデータ再構築部２０３に対して、解析を行おうとする受信パケットと同一のコネクション識別情報を持つ複数のパケットに分割されて運ばれてくるデータの再構築を要求して、コネクションデータ再構築部２０３から、受信パケットの持つコネクション識別情報と同一のコネクション識別情報のパケットが過去に不正アクセスに関わると判定されていたか否かの情報を取得する機能と、上記機能により受信パケットのコネクション識別情報が過去に不正アクセスに関わると判定されていなかった場合には、再構築された同一のコネクション識別情報を持つ複数のパケットに分割されて運ばれてくるデータを参照しながら、不正アクセスデータベース２０２を検索し、その受信パケットが運ぶデータを解析して、不正アクセスに関わるパケットか否かを判定する機能を持つ。
【００６５】
コネクションデータ再構築部２０３は、解析結果保持部２０５に格納された、解析を行おうとする受信パケットの持つコネクション識別情報と同一のコネクション識別情報のパケットが過去に不正アクセスに関わると判定されていたか否かの情報を参照し、不正アクセスと判定されていた場合には、その旨をパケットデータ解析部１１１に通知する機能を持ち、また、不正アクセスと判定されていなかった場合には、過去パケット格納部２０４に格納された、同一のコネクション識別情報を持つ過去のパケットを参照しながら、同一のコネクション識別情報を持つ複数のパケットに分割されて運ばれてくるデータを再構築する機能を持つ。
【００６６】
次に、図１０のフローチャートを参照して、図９に示すパケットデータ解析部１１１からデータ再構築要求を受けた場合に実行されるコネクションデータ再構築部２０３の動作を説明する。
【００６７】
コネクションデータ再構築部２０３は、受信パケットと同一のコネクション識別情報を持つ複数のパケットに分割されて運ばれてくるデータの再構築の要求をパケットデータ解析部１１１から受け取ると、まず、その受信パケットのコネクション識別情報を取得する（ステップＳ３０１）。そしてデータ再構築処理を行なう前に、解析結果保持部２０５に保持されている過去に不正アクセスに関するパケットであると判定されたパケットのコネクション識別情報を参照して、指定されたコネクション識別情報と同一のコネクション識別情報が解析結果保持部２０５に保持されているかどうかを判別する（ステップＳ３０２）。受信パケットのコネクション識別情報と同一のコネクション識別情報が保持されている場合には、コネクションデータ再構築部２０３は、当該受信パケットは不正アクセスに関するパケットである旨を、直ちにパケットデータ解析部１１１に通知する（ステップＳ３０３）。
【００６８】
一方、取得したコネクション識別情報と同一のコネクション識別情報が保持されていなかった場合には、コネクションデータ再構築部２０３は、受信パケットと同じコネクション識別情報を持つ過去の解析済みパケットを過去パケット格納部２０４から取り出して、受信パケットと同一のコネクション識別情報を持つ複数のパケットに分割されて運ばれてきたデータを再構築し、それをパケットデータ解析部１１１に通知する（ステップＳ３０４，Ｓ３０５）。
【００６９】
このように、解析結果保持部２０５をコネクションデータ再構築部２０３内に設け、データ再構築処理のみならず、既に不正アクセスに関するパケットであると判定されているパケットと同一のコネクション識別情報を持つものであるか否かの判定についてもコネクションデータ再構築部２０３内で行なうことにより、少ない部品点数で、効率よく処理を行なうことが可能となる。
【００７０】
なお、以上説明したパケット転送装置１１の各構成要素は、専用のハードウェア或いはＤＳＰ等で実現できるほか、コンピュータ上で実行されるプログラムとしても実現可能である。この場合、例えば、ネットワークセグメント間に接続された特定のコンピュータ上で、上述したパケット転送装置１１の機能を持つプログラムを実行させることにより、専用装置として実現した場合と同様の効果を容易に実現することが出来る。このようにパケット転送装置１１の機能をコンピュータプログラムで実現した場合でも、パケットデータ解析部１１１については、コネクションデータ再構築部２０３および過去パケット格納部２０４とは独立したプログラムモジュールとして実現しておくことが好ましい。また、本パケット転送装置１１の機能はネットワークに接続されるコンピュータにおいて、そのネットワークから当該コンピュータ内のプログラムへの不正パケットの侵入を検知・防止するためのコンピュータプログラムとしても実現することができる。
【００７１】
また、本発明は、上記実施形態に限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。更に、上記実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適宜な組み合わせにより種々の発明が抽出され得る。例えば、実施形態に示される全構成要件から幾つかの構成要件が削除されても、発明が解決しようとする課題の欄で述べた課題が解決でき、発明の効果の欄で述べられている効果が得られる場合には、この構成要件が削除された構成が発明として抽出され得る。
【００７２】
【発明の効果】
以上説明したように、本発明によれば、コネクション識別情報記憶手段に不正アクセスに関わるパケットであると記憶されたコネクション識別情報を持つパケットを受信した場合、データ解析を行うことなく、直ちに不正アクセスに関わるパケットであることが判別されるため、不正アクセスに対し効率よく禁止することが可能となる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係るパケット転送装置の構成を示すブロック図。
【図２】図１のパケット転送装置に設けられたパケット解析機構の構成例を示すブロック図。
【図３】図１のパケット転送装置の動作を説明するフローチャート。
【図４】図１のパケット転送装置におけるパケットデータ解析処理の手順の一部を示すフローチャート。
【図５】図１のパケット転送装置におけるパケットデータ解析処理の手順の残りの一部を示すフローチャート。
【図６】図１のパケット転送装置に設けられたパケット解析機構の他の構成例を示すブロック図。
【図７】図１のパケット転送装置に設けられたパケット解析機構の更に他の構成例を示すブロック図。
【図８】図７のパケット解析機構を用いたパケット転送装置の動作を説明するフローチャート。
【図９】図１のパケット転送装置に設けられたパケット解析機構の別の構成例を示すブロック図。
【図１０】図９のパケット解析機構に設けられたコネクションデータ再構築部の処理を説明するフローチャート。
【符号の説明】
１１…パケット転送装置
１０１…パケット受信部
１０２…パケット識別子付加機構
１０３…パケット保留キュー
１０４…パケット解析機構
１０５…パケット送出部
１１１…パケットデータ解析部
１１２…不正コネクションテーブル
１１３…不正コネクション判定機構
２０１…プロトコル処理部
２０２…不正アクセスデータベース
２０３…コネクションデータ再構築部
２０４…過去パケット格納部
２０５…解析結果保持部
【図１】
0003581345.tif 000002
【図２】
0003581345.tif 000003
【図３】
0003581345.tif 000004
【図４】
0003581345.tif 000005
【図５】
0003581345.tif 000006
【図６】
0003581345.tif 000007
【図７】
0003581345.tif 000008
【図８】
0003581345.tif 000009
【図９】
0003581345.tif 000010
【図１０】
0003581345.tif 000011