(57)【要約】【課題】  パケットフィルタリングによりサービス拒否攻撃のような連続的な不正アクセスに対処することは困難であった。【解決手段】  パケットフィルタ装置（10）は、パケットの伝送路（100）から受信した所定の複数のパケットを特定するための条件を含むルール情報を記憶するルール記憶部（14）と、伝送路から受信したパケットから該パケットを識別するためのパケット情報を抽出するパケット情報抽出部（12）と、パケット情報抽出部によるパケット情報の抽出ごとにパケット情報の統計を求める統計処理部（13）と、統計処理部により求めた統計とルール情報とに基づき、伝送路から受信したパケットの廃棄の要否を判定する判定部（15）とを備える。【選択図】      図１
2006060306.tif 000002
【特許請求の範囲】
【請求項１】
パケットの伝送路に接続された装置が、
前記伝送路から受信した所定の複数のパケットを特定するための条件を含むルール情報を記憶し、
前記伝送路から受信したパケットから該パケットを識別するためのパケット情報を抽出し、
パケット情報の抽出ごとにパケット情報の統計を求め、
前記求めた統計と前記ルール情報とに基づき、前記伝送路から受信したパケットの廃棄の要否を判定することを特徴とするパケットフィルタリング方法。
【請求項２】
前記装置が、
パケットを受信したときの稼動負荷率を求め、
前記求めた稼動負荷率が所定値を超えるとき、受信したパケットを廃棄すると判定することを特徴とする請求項１記載のパケットフィルタリング方法。
【請求項３】
前記装置が、
前記ルール情報として、組み合わせにより成立する複数の前記条件を含む情報を記憶することを特徴とする請求項１又は２記載のパケットフィルタリング方法。
【請求項４】
前記装置が、
前記伝送路から受信したパケットを蓄積し、
前記蓄積したパケットから所定のパケットを読み出し、該読み出したパケットから前記パケット情報を抽出することを特徴とする請求項１乃至３のいずれか１項に記載のパケットフィルタリング方法。
【請求項５】
前記装置が、
前記伝送路からパケットを受信したとき、該パケットから前記パケット情報を抽出することを特徴とする請求項１乃至３のいずれか１項に記載のパケットフィルタリング方法。
【請求項６】
前記装置が、
パケットを廃棄すると判定したとき、該判定を通知するための電子メールを所定のメールアドレスに宛てて送信することを特徴とする請求項１乃至５のいずれか１項に記載のパケットフィルタリング方法。
【請求項７】
パケットの伝送路から受信した所定の複数のパケットを特定するための条件を含むルール情報を記憶するルール記憶部と、
前記伝送路から受信したパケットから該パケットを識別するためのパケット情報を抽出するパケット情報抽出部と、
前記パケット情報抽出部によるパケット情報の抽出ごとにパケット情報の統計を求める統計処理部と、
前記統計処理部により求めた統計と前記ルール情報とに基づき、前記伝送路から受信したパケットの廃棄の要否を判定する判定部とを備えることを特徴とするパケットフィルタ装置。
【請求項８】
パケットを受信したときの稼動負荷率を求める負荷測定部を備え、
前記判定部は、前記負荷測定部により求めた稼動負荷率が所定値を超えるとき、受信したパケットを廃棄すると判定することを特徴とする請求項７記載のパケットフィルタ装置。
【請求項９】
前記ルール情報記憶部は、前記ルール情報として、組み合わせにより成立する複数の前記条件を含む情報を記憶することを特徴とする請求項７又は８記載のパケットフィルタ装置。
【請求項１０】
前記伝送路から受信したパケットを蓄積するパケット蓄積部と、
前記パケット蓄積部から所定のパケットを読み出し該パケットを前記統計処理部へ供給する蓄積パケット処理部とを備えることを特徴とする請求項７乃至９のいずれか１項に記載のパケットフィルタ装置。
【請求項１１】
前記統計処理部は、前記伝送路からパケットを受信したとき、該パケットから前記パケット情報を抽出することを特徴とする請求項７乃至９のいずれか１項に記載のパケットフィルタ装置。
【請求項１２】
前記判定部によりパケットを廃棄すると判定されたとき、該判定を通知するための電子メールを所定のメールアドレスに宛てて送信する判定通知部を備えることを特徴とする請求項７乃至１１のいずれか１項に記載のパケットフィルタ装置。
【請求項１３】
コンピュータを、請求項７乃至１２のいずれか１項に記載のパケットフィルタ装置として機能させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークあるいは個々の通信端末に設けられるファイアウォールシステム等に設けられるパケットフィルタリング機能に関する。
【背景技術】
【０００２】
従来、ＬＡＮのような構内ネットワークや個人利用の通信端末における情報セキュリティを強化するために、外部ネットワークとの境界あるいは通信端末内に、外部からの不正なアクセスに対処するための、いわゆるファイアウォールシステムを導入することが知られている。ファイアウォールシステムには、外部ネットワークあるいは他端末から送られてきたパケットの受け入れ可否を判定する手段として、例えばパケットフィルタリング機能を持つものがある。この機能は、予め設定されたルールに基づいてパケットの受け入れ可否を判定し、受け入れ拒否と判定したとき、当該パケットを廃棄することにより外部からの不正なアクセスに対処する。
【０００３】
このようなパケットフィルタリング機能に関し、例えば、後述の特許文献１に記載の手法がある。特許文献１の手法は、受信パケットに順次的に適用する複数のルールを用意しておき、着信パケットに頻繁にマッチしないルールほど順序の後方に移動させるというものである。
【特許文献１】特開２０００−１７４８０８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記特許文献１の手法では、ルールの入れ替えを行うことにより、フィルタリング処理のパフォーマンス向上が図られている。しかしながら、この手法によるフィルタリング処理では、受信する個々のパケットに対する廃棄ルールを採用することから、例えば、いわゆるサービス拒否攻撃（DoS：Denial of Services）のように、意図的に大量のパケットが送り付けられるといった事態が発生しても、その送信元を不正なものとして予め関知していない限り、事態の異常性を認識し難いという不都合がある。
【０００５】
本発明は、上記課題に鑑みてなされたものであり、連続的な不正アクセスにも適正に対処し得るパケットフィルタリング方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明に係るパケットフィルタリング方法は、パケットの伝送路に接続された装置が、前記伝送路から受信した所定の複数のパケットを特定するための条件を含むルール情報を記憶し、前記伝送路から受信したパケットから該パケットを識別するためのパケット情報を抽出し、パケット情報の抽出ごとにパケット情報の統計を求め、前記求めた統計と前記ルール情報とに基づき、前記伝送路から受信したパケットの廃棄の要否を判定するという方法である。
【０００７】
本発明に係るパケットフィルタ装置は、パケットの伝送路から受信した所定の複数のパケットを特定するための条件を含むルール情報を記憶するルール記憶部と、前記伝送路から受信したパケットから該パケットを識別するためのパケット情報を抽出するパケット情報抽出部と、前記パケット情報抽出部によるパケット情報の抽出ごとにパケット情報の統計を求める統計処理部と、前記統計処理部により求めた統計と前記ルール情報とに基づき、前記伝送路から受信したパケットの廃棄の要否を判定する判定部とを備える。
【発明の効果】
【０００８】
本発明によれば、伝送路から順次受信したパケットについて統計をとり、その統計の結果に基づきフィルタリング処理を行うことから、受信パケットの送信元を予め関知しない場合であっても、その送信元からの連続的なアクセスを検出することができる。これにより、サービス拒否攻撃のような不正なアクセスに適正に対処することができる。
【発明を実施するための最良の形態】
【０００９】
［実施例１］
以下、本発明の実施例について図面を用いて詳細に説明する。図１は、本発明による実施例１の構成を示すブロック図である。実施例１のパケットフィルタ装置１０は、伝送路１００からのパケットを受信するためのネットワークインタフェース機構のようなパケット受信部２０と、パケットフィルタ装置１０により受け入れを許可されたパケットをＯＳ（Operating System）に基づき処理するパケット処理部３０とに接続されている。
【００１０】
パケットフィルタ装置１０は、図１に示すように、パケット受信部２０から供給されるパケットを一時的に保存するバッファ１１と、バッファ１１内のパケットに対する読み出し及び廃棄等の処理を行うバッファ内パケット処理部１２と、読み出されたパケットからパケット情報を抽出すると共にパケット情報の統計を求める統計処理部１３と、フィルタリング処理に関する後述のルール情報を記憶するルール記憶部１４と、統計処理部１３の統計およびルール記憶部１４のルール情報に基づきパケットを廃棄するか否かを判定する判定部１５とを備える。
【００１１】
図２に、ルール記憶部１４が記憶するルール情報の一例を示す。ルール情報１５０には、フィルタリング処理の判定対象を示す「対象１５１」と、対象１５１に該当するパケットから特定のパケットを識別するための「条件１５２」と、条件１５２に合致したパケットに対するフィルタリング処理の内容を示す「処理１５３」とが含まれる。
【００１２】
図２に示すルール情報１５０は、伝送路１００から「１秒間」に受信したパケットが、「同一ソースＩＰアドレスから１０パケット以上届く」という条件を満たすとき、それらを「廃棄」し、また、「ＴＣＰの８０番ポート」に届いた「すべて」のパケットは「通過」させることを規定したものである。
【００１３】
図３のシーケンス図に沿って、本実施例の動作手順を説明する。まず、事前準備として、パケットフィルタ装置１０のバッファ内パケット処理部１２は、ルール記憶部１４のルール情報１５０から対象１５１を取得することにより、統計処理部１３へ供給すべきパケットの読み出しタイミングを認識する（ステップＡ１）。パケット受信部２０は、伝送路１００からパケットを受信すると、それらを順次バッファ１１へ格納する（ステップＡ２）。
【００１４】
バッファ内パケット処理部１２は、バッファ１１の蓄積状況を確認し（ステップＡ３）、バッファ１１内にパケットが存在するとき、それらのパケットをバッファ１１から読み出す（ステップＡ４）。バッファ１１からの読み出しタイミングは、適宜設定することができ、その一例としては、タイマ制御によりバッファ１１から連続的にパケットを読み出すという方法が考えられる。この場合、対象１５１の「１秒間」より短い時間間隔にてパケットを読み出すよう設定することにより、パケットフィルタ装置１０を通過させるパケットの処理遅延を回避することができる。また、ネットワーク上のトラヒックコントロールに沿ったタイミングで受信パケットを読み出す等も好ましい手法である。
【００１５】
バッファ内パケット処理部１２は、バッファ１１からパケットを読み出すごとに、そのパケットを識別するためのパケット情報を抽出する。パケット情報とは、例えば、パケットのＩＰヘッダ領域に記述されているソースＩＰアドレス、あるいはＴＣＰヘッダ領域の宛先ポート番号等、ルール情報１５０の条件１５２に対応する情報を指す。バッファ内パケット処理部１２は、抽出したパケット情報を統計処理部１３へ供給する（ステップＡ５）。
【００１６】
統計処理部１３は、バッファ内パケット処理部１２から受け取ったパケット情報について、ルール情報１５０の条件１５２に沿った統計処理を行う。ここで言う統計処理とは、例えば図２のルール情報１５０の場合、ソースＩＰアドレスごとにパケット数を集計すること、また、ポート番号を記録することにより、パケット情報の統計を求めることを指す。統計処理部１３は、求めた統計を判定部１５へ供給する（ステップＡ６）。
【００１７】
判定部１５は、統計処理部１３から順次受け取った統計が、ルール情報１５０の条件１５２を満たすか否かを判定する。例えば、図２に示す条件１５２の「同一ソースＩＰアドレスから１０パケット以上届く」に対しては、統計処理部１３からのソースＩＰアドレスに関する「１秒間」分の統計を参照し、この統計において、同一のソースＩＰアドレスを持つパケットが１０個以上記録されているか否かを判定する。なお、上記の「１秒間」分の統計とは、例えばバッファ１１からの読み出し間隔が０．５秒間隔であれば、２回分の統計を指す。
【００１８】
その結果、同一のソースＩＰアドレスのパケットが１０個以上であるとき、条件１５２を満たすと判断し、現時点の処理においては、処理１５３で指定されている「廃棄」を適用することを決定する。また、同一のソースＩＰアドレスが１０個未満である場合は、パケットを受け入れると決定する。すなわち、同一のソースＩＰアドレスからのパケットであっても、１０個という閾値を超えるまでは廃棄されない。判定部１５は、上記のような判定結果をバッファ内パケット処理部１２へ通知する（ステップＡ７）。
【００１９】
バッファ内パケット処理部１２は、判定部１５からの判定結果が、パケットの受け入れを許可するものである場合、上記ステップＡ４にてバッファ１１から読み出したパケットを処理すべくパケット処理部３０へ転送する（ステップＡ８）。また、パケットの廃棄である場合は、当該パケットを廃棄する（ステップＡ９）。
【００２０】
以上説明した実施例１によれば、複数のパケットに関する統計の結果に基づきフィルタリングを行うことから、サービス拒否攻撃のように、同一の送信元から大量のパケットを送りつけられるといった不正アクセスが発生しても、その事態を適正に検出し、対処することができる。また、サービス拒否攻撃以外にも、例えば、侵入可能な通信ポートを長時間かけてスキャニングする、いわゆるスロースキャンにも対処可能である。さらに、ネットワーク内にて不正なコンテンツを提供するサーバを検出することにも利用することができる。
【００２１】
［実施例２］
図４は、本発明による実施例２の構成を示すブロック図である。実施例２のパケットフィルタ装置１０は、図１に示す構成に加え、負荷測定部１６を備える。負荷測定部１６は、パケット受信部２０がパケットを受信する際のＣＰＵの稼動負荷率を求め、求めた値をバッファ内パケット処理部１２へ通知する。
【００２２】
また、本実施例では、ルール記憶部１４のルール情報１５０として、図５に示すような情報を付加する。このルール情報１５０に沿った手順では、負荷測定部１６により求めたパケット受信時の稼動負荷率が８０％以上であるとき、バッファ内パケット処理部１２は、意図的に大量のパケットが送りつけられているとの判断のもとに、受信パケットを廃棄する。
【００２３】
上記の実施例２によれば、同一の送信元からの不正アクセスに限らず、複数の送信元からの分散的な攻撃に対しても、適正に対処することができる。
【００２４】
［実施例３］
本発明による実施例３は、組み合わせにより成立する複数の条件を持つルール情報に基づきフィルタリング処理を行う。本実施例のルール情報としては、例えば、図６に示すようなものが考えられる。図示のルール情報１５０には、各情報を識別するための番号１５４と、関連する条件を示す関連条件１５５とが追加されており、関連条件１５５で示される番号の条件が優先的に適用される。
【００２５】
具体的に説明すると、図６のルール情報１５０では、番号「１」の情報に、関連条件１５５として「前提：３」が指定されている。これは、番号「１」の適用にあたっては、事前に番号「３」による判定を行い、その結果、廃棄されないパケットに番号「１」を適用することを指す。ここで、番号「３」の情報には、「ＴＣＰの８０番ポート以外に向かう」パケットを「廃棄」することが指定されていることから、８０番ポートに向かうパケットは廃棄されない。従って、番号「３」を前提とする番号「１」による判定では、ＴＣＰの８０番ポートに向かうパケットが、「同一ソースＩＰアドレスから１０パケット以上届く」場合に「廃棄」されることとなる。
【００２６】
上述の実施例３によれば、複数の条件の組み合わせが可能となることから、不正アクセスに関する種々の事態に対処するための複雑なルール情報を設定することができる。
【００２７】
［実施例４］
図７に、本発明による実施例４の構成を示す。本実施例のパケットフィルタ装置１０は、電子メール送信機能を果たす判定通知部１７を備える。バッファ内パケット処理部１２は、判定部１５によりパケット廃棄との判定があったとき、その旨を通知する電子メールを送信するよう判定通知部１７に指示する。判定通知部１７は、パケットを廃棄した旨を記述した電子メールを、予め設定されたメールアドレスに宛てて送信する。電子メールの宛先としては、例えば、ネットワークの監視センタやセンタ管理者の端末、あるいは個人ユーザの端末や携帯電話等を設定しておく。
【００２８】
なお、電子メールによるパケット廃棄の通知は、特定の廃棄条件に合致したときのみに実行するよう設定することができる。これは、例えば、電子メールによる廃棄通知を行うか否かの情報を、ルール情報１５０の各条件に関連付けて設定しておき、廃棄通知を行うと設定されている条件に合致するとき、電子メールを送信するという方法である。
【００２９】
また、判定通知部１７としては、上記の電子メール送信機能に限らず、例えば、警告画面の表示あるいは警告音の鳴動等によりパケット廃棄の旨を通知する機能であってもよい。
【００３０】
上述の実施例４によれば、パケット廃棄が実施されるという異常な状態にあることを管理者等に速やかに通知することができ、これにより、不正なアクセスを常時監視することが可能となる。
【００３１】
［実施例５］
本発明による実施例５は、パケットフィルタ装置１０にバッファ１１を配備しないケースである。この場合、バッファ内パケット処理部１２は、パケット受信部２０が伝送路１００からパケットを受信する都度、これを取得して、送信元ＩＰアドレスのようなパケット情報を抽出する。そして、パケット情報が抽出される都度、統計処理部１３による統計処理の結果を保持すると共に、判定部１５による廃棄の判定を行い、統計が廃棄の条件に合致するとき、その時点で判定の対象となったパケットを廃棄する。
【００３２】
上述の実施例５によれば、バッファ１１を持たずに、パケットの到着の都度、統計処理を行うことで、パケットフィルタ装置１０での処理遅延を抑えることができる。
【図面の簡単な説明】
【００３３】
【図１】本発明による実施例１の構成を示すブロック図である。
【図２】実施例１のルール情報を説明するための説明図である。
【図３】実施例１の動作手順を示すシーケンス図である。
【図４】実施例２の構成を示すブロック図である。
【図５】実施例２のルール情報を説明するための説明図である。
【図６】実施例３のルール情報を説明するための説明図である。
【図７】実施例４の構成を示すブロック図である。
【符号の説明】
【００３４】
１００  伝送路
１０  パケットフィルタ装置
１１  バッファ
１２  バッファ内パケット処理部
１３  統計処理部
１４  ルール記憶部
１５  判定部
１６  負荷測定部
１７  判定通知部
２０  パケット受信部
３０  パケット処理部
【図１】
2006060306.tif 000003
【図２】
2006060306.tif 000004
【図３】
2006060306.tif 000005
【図４】
2006060306.tif 000006
【図５】
2006060306.tif 000007
【図６】
2006060306.tif 000008
【図７】
2006060306.tif 000009