(57)【要約】      （修正有）【課題】ネットワークに対するスキャン攻撃を探知する。【解決手段】ゲートウェイを通じてネットワークに伝達されるＩＰパケットが受信されると、スキャン探知装置が、受信されたＩＰパケットを分析してＩＰパケットの目的地値を獲得する。スキャン探知装置が、獲得されたＩＰパケットの目的地値にハッシュ関数を適用して目的地ハッシュ値を生成する。生成された目的地ハッシュ値を既設定された個数のビット（ｂｉｔ）からなる変数であるスキャン探知値に変換する。スキャン探知装置が、スキャン探知値及び所定の時間の間に受信されていた少なくとも一つのＩＰパケットに対応して獲得された過去スキャン探知値を用いてスキャン探知値の統合状態をアップデートする。アップデートされた統合状態を参照して受信されたＩＰパケットがスキャン攻撃であるかを判断する。【選択図】図２
2018110391.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに対するスキャン攻撃を探知する方法において、
（ａ）ゲートウェイを通じて前記ネットワークに伝達されるＩＰパケットが受信されると、スキャン探知装置が、前記受信されたＩＰパケットを分析して前記ＩＰパケットの目的地値を獲得する段階と、
（ｂ）前記スキャン探知装置が、獲得された前記ＩＰパケットの目的地値にハッシュ関数を適用して目的地ハッシュ値を生成し、生成された前記目的地ハッシュ値を既設定された個数のビット（ｂｉｔ）からなる変数であるスキャン探知値に変換する段階と、
（ｃ）前記スキャン探知装置が、（ｉ）前記変換されたスキャン探知値及び（ｉｉ）所定の時間の間に受信されていた少なくとも一つのＩＰパケットに対応して獲得された過去スキャン探知値を用いて、スキャン探知値の統合状態をアップデートし、前記アップデートされた統合状態を参照して前記受信されたＩＰパケットがスキャン攻撃であるかを判断する段階と、
を含むことを特徴とする方法。
【請求項２】
前記（ｂ）段階で、
前記スキャン探知装置は、
前記目的地ハッシュ値を前記既設定された個数値で割った余りの値を参照して前記目的地ハッシュ値を前記スキャン探知値に変換することを特徴とする請求項１に記載の方法。
【請求項３】
前記スキャン探知装置は、
前記余りの値に１を加えた順番のビットにマーキングして前記目的地ハッシュ値を前記スキャン探知値に変換することを特徴とする請求項２に記載の方法。
【請求項４】
前記（ｃ）段階で、
前記スキャン探知装置は、
前記変換されたスキャン探知値と前記過去スキャン探知値とを「ｏｒ演算」することで、前記過去スキャン探知値をアップデートし、
前記アップデートされたスキャン探知値でのマーク個数が、既設定された臨界値を超過する場合、前記ＩＰパケットをスキャン攻撃と判断することを特徴とする請求項２に記載の方法。
【請求項５】
前記スキャン探知装置は、
ハミング重み（ｈａｍｍｉｎｇ  ｗｅｉｇｈｔ）アルゴリズムを用いて前記アップデートされたスキャン探知値でのマーク個数を演算することを特徴とする請求項４に記載の方法。
【請求項６】
前記（ｃ）段階で、
前記スキャン探知装置は、
既設定された時間範囲の間に前記ゲートウェイを通じて前記ネットワークに伝達されるＩＰパケットを用いて前記スキャン攻撃の存否を判断することを特徴とする請求項１に記載の方法。
【請求項７】
前記スキャン探知装置は、
前記（ａ）段階で、前記受信されたＩＰパケットを分析して前記ＩＰパケットのソース値と前記目的地値を獲得し、
前記（ｃ）段階で、同一の前記ソース値を有するＩＰパケットに対応する前記スキャン探知値を用いて前記スキャン攻撃の存否を判断することを特徴とする請求項１に記載の方法。
【請求項８】
前記目的地値は、前記ＩＰパケットの目的地ＩＰ値または目的地ポート値を含むことを特徴とする請求項１に記載の方法。
【請求項９】
ネットワークに対するスキャン攻撃を探知するスキャン探知装置において、
ゲートウェイを通じて前記ネットワークに伝達されるＩＰパケットが受信されると、前記受信されたＩＰパケットを分析して前記ＩＰパケットの目的地値を獲得するＩＰパケット分析部と、
獲得された前記ＩＰパケットの目的地値にハッシュ関数を適用して目的地ハッシュ値を生成し、生成された前記目的地ハッシュ値を既設定された個数のビット（ｂｉｔ）からなる変数であるスキャン探知値に変換するスキャン探知値生成部と、
（ｉ）前記変換されたスキャン探知値及び（ｉｉ）所定の時間の間に受信されていた少なくとも一つのＩＰパケットに対応して獲得された過去スキャン探知値を用いてスキャン探知値の統合状態をアップデートし、前記アップデートされた統合状態を参照して前記受信されたＩＰパケットがスキャン攻撃であるかを判断するスキャン判断部と、
を含むことを特徴とするスキャン探知装置。
【請求項１０】
前記スキャン探知値生成部は、
前記目的地ハッシュ値を前記既設定された個数値で割った余りの値を参照して前記目的地ハッシュ値を前記スキャン探知値に変換することを特徴とする請求項９に記載のスキャン探知装置。
【請求項１１】
前記スキャン探知値生成部は、
前記余りの値に１を加えた順番のビットにマーキングして前記目的地ハッシュ値を前記スキャン探知値に変換することを特徴とする請求項１０に記載のスキャン探知装置。
【請求項１２】
前記スキャン判断部は、
前記変換されたスキャン探知値と前記過去スキャン探知値とを「ｏｒ演算」することで、前記過去スキャン探知値をアップデートし、
前記アップデートされたスキャン探知値でのマーク個数が、既設定された臨界値を超過する場合、前記ＩＰパケットをスキャン攻撃と判断することを特徴とする請求項１０に記載のスキャン探知装置。
【請求項１３】
前記スキャン判断部は、
ハミング重み（ｈａｍｍｉｎｇ  ｗｅｉｇｈｔ）アルゴリズムを用いて前記アップデートされたスキャン探知値でのマーク個数を演算することを特徴とする請求項１２に記載のスキャン探知装置。
【請求項１４】
前記スキャン判断部は、
既設定された時間範囲の間に前記ゲートウェイを通じて前記ネットワークに伝達されるＩＰパケットを用いて前記スキャン攻撃の存否を判断することを特徴とする請求項９に記載のスキャン探知装置。
【請求項１５】
前記ＩＰパケット分析部は、
前記受信されたＩＰパケットを分析して前記ＩＰパケットのソース値と前記目的地値を獲得し、
前記スキャン判断部は、
同一の前記ソース値を有するＩＰパケットに対応する前記スキャン探知値を用いて前記スキャン攻撃の存否を判断することを特徴とする請求項９に記載のスキャン探知装置。
【請求項１６】
前記目的地値は、
前記ＩＰパケットの目的地ＩＰ値または目的地ポート値を含むことを特徴とする請求項９に記載のスキャン探知装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークスキャン探知方法及び装置に関し、より詳細には、ゲートウェイを通じてネットワークに伝達されるＩＰパケットを分析して目的地値を獲得し、獲得されたＩＰパケットの目的地値にハッシュ関数を適用して目的地ハッシュ値を生成し、生成された目的地ハッシュ値を既設定された個数のビット（ｂｉｔ）からなる変数であるスキャン探知値に変換し、変換されたスキャン探知値及び所定の時間の間に受信されていた少なくとも一つのＩＰパケットに対応して獲得された過去スキャン探知値を用いてスキャン探知値の統合状態をアップデートした統合状態を参照して受信されたＩＰパケットがスキャン攻撃であるかを判断するネットワークスキャン探知方法及び装置に関する。
【背景技術】
【０００２】
ネットワーク上で攻撃者が特定の目標を定めて攻撃方式を決定するための事前作業として、攻撃目標（犠牲者の端末装置）及び攻撃方式を決定する作業が必要である。かかる事前作業には主にネットワークスキャン技法が使用されており、ネットワークスキャン技法は大きくポートスキャン（Ｐｏｒｔ  Ｓｃａｎ）とホストスイープ（Ｈｏｓｔ  ｓｗｅｅｐ）方式に分類されることができる。
【０００３】
ポートスキャンは、特定の対象を指定し、脆弱点が報告されたサービスポートがオープン（ｏｐｅｎ）になっているか否かを判断するために、特定の対象について多様なサービスで少量のトラフィックを転送し、サービスから戻ってくる応答を基に当該サービスポートがオープンか否かを判断する方式である。これに比べて、ホストスイープは、脆弱点が報告されたサービスをオープンにしている装置を見つけるために、ネットワーク上に存在する多数の端末装置に向けて特定のサービスに該当するトラフィックを転送した後、その応答を基に当該サービスを用いる端末を見つけ出す方式である。
【０００４】
ネットワーク中間でスキャンの徴候を探知するためには、ポートスキャンの場合、特定の対象（端末装置）にどれだけ多様なポートに対するアプローチが発生したか否かを判断することができなければならず、ホストスイープの場合、同一の特定のポートを用いて、どれだけ多くの端末装置にアプローチしたか否かを判断することができなければならない。すなわち、スキャン対象となり得るすべてのアドレスとすべてのポートに対して情報を蓄積して臨界値以上のアプローチがある場合、スキャンと判断するようになる。
【０００５】
この時、すべての情報は、メモリー上に特定の資料構造形状で管理されるが、新たな値が入ってくる度に、持続的に資料構造が拡張されてメモリー管理の側面で極めて複雑に動作するようになる。また、ロジックが複雑な分だけ、動作速度は遅くならざるを得ないため探知率が低下するという問題点がある。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、上述した問題点をすべて解決することを目的とする。
【０００７】
また、本発明は、ハッシュ値を用いた特定のビットの変数であるスキャン探知値を通じてスキャンを判断するので、従来に比べて相対的に少ないメモリー容量でスキャン攻撃を探知することができるようにする方法及び装置を提供することを別の目的とする。
【０００８】
また、本発明は、ハッシュ値を用いた特定のビットの変数であるスキャン探知値を通じてスキャンを判断するので、比較演算が従来に比べて相対的に少なく、速い速度でスキャン攻撃を探知することができるようにする方法及び装置を提供することをまた別の目的とする。
【課題を解決するための手段】
【０００９】
上記のような本発明の目的を達成し、後述する本発明の特徴的な効果を実現するための、本発明の特徴的な構成は下記のとおりである。
【００１０】
本発明の一実施例によると、ネットワークに対するスキャン攻撃を探知する方法において、（ａ）ゲートウェイを通じて前記ネットワークに伝達されるＩＰパケットが受信されると、スキャン探知装置が、前記受信されたＩＰパケットを分析して前記ＩＰパケットの目的地値を獲得する段階と、（ｂ）前記スキャン探知装置が、獲得された前記ＩＰパケットの目的地値にハッシュ関数を適用して目的地ハッシュ値を生成し、生成された前記目的地ハッシュ値を既設定された個数のビット（ｂｉｔ）からなる変数であるスキャン探知値に変換する段階と、（ｃ）前記スキャン探知装置が、（ｉ）前記変換されたスキャン探知値及び（ｉｉ）所定の時間の間に受信されていた少なくとも一つのＩＰパケットに対応して獲得された過去スキャン探知値を用いてスキャン探知値の統合状態をアップデートし、前記アップデートされた統合状態を参照して前記受信されたＩＰパケットがスキャン攻撃であるかを判断する段階と、を含む方法が提供される。
【００１１】
また、本発明の一実施例によると、ネットワークに対するスキャン攻撃を探知するスキャン探知装置において、ゲートウェイを通じて前記ネットワークに伝達されるＩＰパケットが受信されると、前記受信されたＩＰパケットを分析して前記ＩＰパケットの目的地値を獲得するＩＰパケット分析部と、獲得された前記ＩＰパケットの目的地値にハッシュ関数を適用して目的地ハッシュ値を生成し、生成された前記目的地ハッシュ値を既設定された個数のビット（ｂｉｔｓ）からなる変数であるスキャン探知値に変換するスキャン探知値生成部と、及び（ｉ）前記変換されたスキャン探知値及び（ｉｉ）所定の時間の間に受信されていた少なくとも一つのＩＰパケットに対応して獲得された過去スキャン探知値を用いてスキャン探知値の統合状態をアップデートし、前記アップデートされた統合状態を参照して前記受信されたＩＰパケットがスキャン攻撃であるかを判断するスキャン判断部と、を含むスキャン探知装置が提供される。
【００１２】
それ以外にも、本発明の方法を実行するためのコンピュータープログラムを記録するためのコンピューターで読取可能な記録媒体がさらに提供される。
【発明の効果】
【００１３】
本発明はハッシュ値を用いた特定のビットの変数であるスキャン探知値を通じてスキャンを判断するので、従来に比べて相対的に少ないメモリー容量でスキャン攻撃を探知することができる。
【００１４】
また、本発明はハッシュ値を用いた特定のビットの変数であるスキャン探知値を通じてスキャンを判断するので、比較演算が従来に比べて相対的に少なく、スキャン攻撃探知を速い速度で行うことができるため、スキャン攻撃探知率を増加させることができる。
【図面の簡単な説明】
【００１５】
【図１】図１は本発明の一実施例によるネットワークスキャン探知装置を適用したネットワークシステムを概略的に示したものである。
【図２】図２は本発明の一実施例によるネットワークスキャン探知装置を概略的に示したブロック構成図である。
【図３】図３は本発明の一実施例によるネットワークスキャン探知装置でスキャン探知値を生成する方法を概略的に示したものである。
【図４】図４は本発明の一実施例によるネットワークスキャン探知装置でスキャン攻撃を判断する方法を概略的に示したものである。
【図５】図５は本発明の一実施例によるネットワークスキャン探知装置でスキャン攻撃を判断する方法を概略的に示したものである。
【発明を実施するための形態】
【００１６】
後述する本発明に対する詳細な説明は、本発明が実施され得る特定の実施例を例示として示す添付図面を参照する。これらの実施例は当業者が本発明を実施することができるように充分詳細に説明される。本発明の多様な実施例は互いに異なるが、相互排他的である必要はないことを理解されなければならない。例えば、ここに記載されている特定の形状、構造及び特性は一実施例に関連して本発明の精神及び範囲を逸脱せずに他の実施例で実現され得る。また、それぞれの開示された実施例内の個別構成要素の位置または配置は本発明の精神及び範囲を逸脱せずに変更され得ることを理解されなければならない。従って、後述する詳細な説明は限定的な意味にとろうとするものではなく、本発明の範囲は、適切に説明される場合、その請求項が主張するものと均等なすべての範囲と共に添付の請求項によってのみ限定される。図面で類似する参照符号はいくつかの側面にわたり同一あるいは類似する機能を指す。
【００１７】
以下、本発明が属する技術分野で通常の知識を有する者が本発明を容易に実施することができるようにするために、本発明の好ましい実施例に関して添付の図面を参照して詳細に説明することにする。
【００１８】
図１は本発明の一実施例によるネットワークスキャン探知装置を適用したネットワークシステムを概略的に示したものであり、図１を参照すると、システムは少なくとも一つ以上のホスト（２００）、ゲートウェイ（ｇｗ）、及びスキャン探知装置（１００）が含まれ得る。
【００１９】
まず、本発明の一実施例によると、ネットワークは有線及び無線のような通信様態を問わず構成されることができ、インターネット（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ）、公知のＷＬＡＮ（Ｗｉｒｅｌｅｓｓ  ＬＡＮ）、ＣＤＭＡ（Ｃｏｄｅ  Ｄｉｖｉｓｉｏｎ  Ｍｕｌｔｉｐｌｅ  Ａｃｃｅｓｓ）、ＷＣＤＭＡ（登録商標）（Ｗｉｄｅｂａｎｄ  Ｃｏｄｅ  Ｄｉｖｉｓｉｏｎ  Ｍｕｌｔｉｐｌｅ  Ａｃｃｅｓｓ）またはＧＳＭ（登録商標）（Ｇｌｏｂａｌ  Ｓｙｓｔｅｍ  ｆｏｒ  Ｍｏｂｉｌｅ  ｃｏｍｍｕｎｉｃａｔｉｏｎｓ）ネットワークなどをすべて含む概念であることを理解されなければならない。
【００２０】
次に、ホスト（２００）はネットワークに接続して互いに通信することができる機能を有する機器であって、パソコン（例えば、デスクトップコンピューター、ノートパソコンなど）、ワークステーション、サーバー、ＰＤＡ、タブレットコンピューター、スマートフォン、携帯電話、ＩＰＴＶ受信機などのようにメモリー手段を備え、マイクロプロセッサーを搭載して演算能力を備えた機器ならいずれも本発明によるホスト（２００）になり得る。
【００２１】
次に、ゲートウェイ（ｇｗ）はネットワークで互いに異なる通信網、プロトコルを使用するネットワーク間の通信を可能にするものであり、ネットワーク間の通路の役割をする装置である。また、ゲートウェイ（ｇｗ）は互いに異なるネットワーク上の通信プロトコル（ｐｒｏｔｏｃｏｌ、通信規約）を適切に変換する役割を実行し得る。
【００２２】
次に、スキャン探知装置（１００）はホスト（２００）とネットワークとの間に位置するか、ゲートウェイ（ｇｗ）に位置し得る。
【００２３】
また、スキャン探知装置（１００）はネットワークスキャン探知装置機能以外に、例えば、トラフィック制御機能、保安機能、ネットワーク装置管理機能など、他の機能も共に実行し得る。
【００２４】
そして、スキャン探知装置（１００）はゲートウェイ（ｇｗ）を通じてホスト（２００）が位置するネットワークに伝達されるＩＰパケットを分析してＩＰパケットの目的地値を獲得し、獲得されたＩＰパケットの目的地値にハッシュ関数を適用して目的地ハッシュ値を生成し、生成された目的地ハッシュ値を既設定された個数のビット（ｂｉｔ）からなる変数であるスキャン探知値に変換し、変換されたスキャン探知値及び所定の時間の間に受信されていた少なくとも一つのＩＰパケットに対応して獲得された過去スキャン探知値を用いてスキャン探知値の統合状態をアップデートした統合状態を参照して受信されたＩＰパケットがスキャン攻撃であるかを判断し得る。
【００２５】
図２は本発明の一実施例によるネットワークスキャン探知装置（１００）を概略的に示したブロック構成図であり、図２を参照すると、スキャン探知装置（１００）はＩＰパケット分析部（１１０）、スキャン探知値生成部（１２０）、及びスキャン判断部（１３０）が含まれ得る。
【００２６】
まず、ＩＰパケット分析部（１１０）はネットワークに伝達されるＩＰパケットが受信されると、受信されたＩＰパケットを分析してＩＰパケットの目的地値を獲得し得る。この時、ＩＰパケットの目的地値はＩＰパケットの目的地ＩＰ値または目的地ポート値であり得る。すなわち、ＩＰパケットの目的地値はＩＰパケットの目的地ＩＰアドレスまたは目的地ポートアドレスであり得る。
【００２７】
また、ＩＰパケット分析部（１１０）は受信されたＩＰパケットのソース値、すなわち、ＩＰパケットのソースＩＰアドレスまたはソースポートアドレスを獲得し得る。
【００２８】
次に、スキャン探知生成部（１２０）は獲得されたＩＰパケットの目的地値にハッシュ関数を適用して目的地ハッシュ値を生成し、生成された目的地ハッシュ値を既設定された個数のビット（ｂｉｔ）からなる変数であるスキャン探知値に変換し得る。
【００２９】
この時、スキャン探知値は既設定された個数のビットに対応して既設定された個数のビットが３２なら３２ビットの変数になり得、既設定された個数のビットが６４なら６４ビットの変数になり得る。
【００３０】
次に、スキャン判断部（１３０）は変換されたスキャン探知値及び所定の時間の間に受信されていた少なくとも一つのＩＰパケットに対応して獲得された過去スキャン探知値を用いてスキャン探知値の統合状態をアップデートし、アップデートされた統合状態を参照して受信されたＩＰパケットがスキャン攻撃であるかを判断し得る。
【００３１】
このように構成された本発明の一実施例によるスキャン探知装置（１００）を用いてネットワークシステムでスキャン攻撃を探知する方法を図３ないし図５を参照して説明すると次のとおりである。
【００３２】
まず、ゲートウェイ（ｇｗ）を通じて多数のホスト（２００）が位置するネットワークにＩＰパケットが転送されると、スキャン探知装置（１００）のＩＰパケット分析部（１１０）はホスト（２００）に転送されるＩＰパケットを分析してＩＰパケットの目的地値を獲得し得る。この時、目的地値は、ＩＰパケットの目的地ＩＰ値である目的地ＩＰアドレスまたはＩＰパケットの目的地ポート値である目的地ポートアドレスであり得る。そして、目的地値はＩＰパケットの目的地ＭＡＣアドレスであり得る。
【００３３】
また、ＩＰパケット分析部（１１０）はＩＰパケットを分析してＩＰパケットのソース値、すなわち、ＩＰパケットのソースＩＰ値であるソースＩＰアドレスまたはソースポート値であるソースポートアドレスであり得る。そして、ＩＰパケットのソース値はソースＭＡＣアドレスであり得る。
【００３４】
そうすると、スキャン探知値生成部（１２０）は獲得された目的地値にハッシュ関数を適用して目的地ハッシュ値を生成する。一例として、３２ビットのサイズを有するＩＰアドレスについて設定された任意の桁数を有する整数値を生成し得る。この時、ハッシュ関数は特定のハッシュアルゴリズムに限定されず、ＭＤ５／ＭＤ４、ＳＨＡなどを利用し得る。
【００３５】
そして、図３を参照すると、スキャン探知値生成部（１２０）は生成された目的地ハッシュ値を参照して既設定された個数のビットからなる変数であるスキャン探知値に変換し得る。
【００３６】
一例として、スキャン探知値が図３でのように６４ビットの変数である場合、スキャン探知値生成部（１２０）は目的地ハッシュ値を６４で割った余りの値を参照して目的地ハッシュ値をスキャン探知値に変換し得る。それだけでなく、スキャン探知値を３２ビット、１２８ビット、２５６ビットなどの変数値に設定し得、かかる場合、スキャン探知値生成部（１２０）は目的地ハッシュ値を変数のビット個数である３２、１２８、２５６などで割った余りの値を参照して目的地ハッシュ値をスキャン探知値に変換し得る。この時、変数の設定ビットに対応して特定のＩＰアドレスでは同一のスキャン探知値が生成し得ることもあるが、短時間に多数のＩＰアドレスまたは多数のポートアドレスをスキャンするスキャン攻撃の特性上、スキャン探知値の衝突による正確な個数はわからなくてもスキャン攻撃があったかを探知するには困難がない。
【００３７】
また、スキャン探知値生成部（１２０）は目的地ハッシュ値を既設定されたビットの個数で割った余りの値に１を加えた順番のスキャン探知値のビットにマーキング、一例として、当該順番のビットに“１”の値を記録して目的地ハッシュ値をスキャン探知値に変換し得る。すなわち、図３でのように、６４ビットのスキャン探知値である場合、目的地ハッシュ値を６４で割った余りの値は０から６３種類となり、これに１を加えることで６４ビットスキャン探知値の１番目から６４番目までの順番のビット位置となり得る。
【００３８】
次に、図４を参照すると、スキャン探知装置（１００）のスキャン判断部（１３０）は図３でのようにスキャン探知値生成部（１２０）で変換されたスキャン探知値及び所定の時間の間受信されていた少なくとも一つのＩＰパケットに対応して獲得された過去スキャン探知値を用いてスキャン探知値の統合状態をアップデートする。
【００３９】
一例として、スキャン判断部（１３０）は受信された一つのＩＰパケットに対応するスキャン探知値を過去スキャン探知値（統合Ｐ）と“ｏｒ演算”をすることで過去スキャン探知値（統合Ｐ）をアップデートし、アップデートされたスキャン探知値（統合ｎｅｗ）を獲得する。
【００４０】
そして、図５を参照すると、スキャン判断部（１３０）は受信されるすべてのＩＰパケットに対応して生成されたスキャン探知値を用いてスキャン探知値をアップデートする演算を繰り返し、アップデートされたスキャン探知値が既設定された臨界値を超過する場合、当該ＩＰパケットをスキャン攻撃と判断し得る。
【００４１】
すなわち、図５でのように、アップデートされたスキャン探知値でマークされた個数が設定された個数を超過する場合、スキャン攻撃と判断するようになる。
【００４２】
この時、スキャン判断部（１３０）はハミング重み（ｈａｍｍｉｎｇ  ｗｅｉｇｈｔ）アルゴリズムを用いてアップデートされたスキャン探知値でマークされた個数を演算し得る。すなわち、スキャン探知値で“１”と記録されたビットの個数をハミング重みアルゴリズムによって容易に確認することができ、確認された個数が設定値を超過する場合、スキャン攻撃と判断するようになる。
【００４３】
また、スキャン判断部（１３０）は既設定された時間範囲の間にゲートウェイを通じてネットワークに伝達されるＩＰパケットを用いてスキャン攻撃の存否を判断し得、同一のソース値を有するＩＰパケットに対応する前記スキャン探知値を用いて前記スキャン攻撃の存否を判断し得る。
【００４４】
すなわち、スキャン判断部（１３０）は既設定された時間範囲の間に同一のソースアドレスを有するＩＰパケットがネットワーク内の設定された個数以上の目的地アドレスに伝達される場合、当該ソースアドレスを有するＩＰパケットがスキャン攻撃であると探知し得る。
【００４５】
また、以上で説明した本発明による実施例は多様なコンピューターの構成要素を通じて実行され得るプログラムコマンドの形態で実現されてコンピューターで読取可能な記録媒体に記録され得る。前記コンピューターで読取可能な記録媒体はプログラムコマンド、データファイル、データ構造などを単独または組み合わせて含まれ得る。前記コンピューターで読取可能な記録媒体に記録されるプログラムコマンドは本発明のために特別に設計されて構成されたものや、コンピューターソフトウェア分野の当業者にとって公知かつ使用可能なものでもあり得る。コンピューターで読取可能な記録媒体の例には、ハードディスク、フロッピーディスク及び磁気テープのような磁気媒体、ＣＤ−ＲＯＭ、ＤＶＤのような光記録媒体、フロプティカルディスク（ｆｌｏｐｔｉｃａｌ  ｄｉｓｋ）のような磁気−光媒体（ｍａｇｎｅｔｏ−ｏｐｔｉｃａｌ  ｍｅｄｉａ）、及びＲＯＭ、ＲＡＭ、フラッシュメモリーなどのようなプログラムコマンドを保存して実行するように特別に構成されたハードウェア装置が含まれる。プログラムコマンドの例には、コンパイラーによって作られるもののような機械語コードだけでなく、インタプリターなどを使用してコンピューターによって実行され得る高級言語コードも含まれる。前記ハードウェア装置は本発明による処理を実行するために一つ以上のソフトウェアモジュールとして作動するように構成されることができ、その逆も同様である。
【００４６】
以上で本発明が具体的な構成要素などのような特定事項と限定された実施例及び図面によって説明されたが、これは本発明のより全般的な理解を助けるために提供されたものに過ぎず、本発明が前記実施例に限定されるものではなく、本発明が属する技術分野で通常の知識を有する者であれば、かかる記載から多様な修正及び変形を図ることができる。
【００４７】
従って、本発明の思想は上記説明された実施例に限定されてはならず、後述する特許請求の範囲だけでなく、本特許請求の範囲と均等または等価的に変形されたすべてのものは本発明の思想の範疇に属すると言える。
【符号の説明】
【００４８】
１００    スキャン探知装置
１１０    ＩＰパケット分析部
１２０    スキャン探知値生成部
１３０    スキャン判断部
ｇｗ    ゲートウェイ
２００    ホスト
【図１】
2018110391.tif 000003
【図２】
2018110391.tif 000004
【図３】
2018110391.tif 000005
【図４】
2018110391.tif 000006
【図５】
2018110391.tif 000007