【手続補正書】
【提出日】平成27年7月27日(2015.7.27)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
データ通信ネットワーク上のデータトラフィックにおける侵入を検出するための侵入検出方法であって、前記方法は、
前記データトラフィックをパースして、前記データトラフィックのプロトコルメッセージの少なくとも１つのプロトコルフィールドを抽出することと、
前記抽出されたプロトコルフィールドを、そのプロトコルフィールドのそれぞれのモデルと関連付けることであって、前記モデルは、モデルのセットから選択される、ことと、
前記抽出されたプロトコルフィールドのコンテンツが、前記モデルによって定義された通りの安全領域内にあるかどうかを評価することと、
前記抽出されたプロトコルフィールドの前記コンテンツが、前記安全領域外であることが確定された場合、侵入検出信号を生成すること
を備え、
複数のモデル型が提供され、
前記抽出されたプロトコルフィールドのモデル型は、前記抽出されたプロトコルフィールドの特性に基づいて前記複数のモデル型から選択され、前記抽出されたプロトコルフィールドの前記モデルは、前記選択されたモデル型に基づいて構築される、方法。
【請求項２】
モデルの前記セットは、演算子プロトコルフィールドのモデルおよび引数プロトコルフィールドのモデルを備え、前記関連付けること、および前記評価することは、前記演算子プロトコルフィールドおよび前記引数プロトコルフィールドに対して実行される、請求項１に記載の侵入検出方法。
【請求項３】
モデルの前記セットは、マーシャリングプロトコルフィールドのモデルをさらに備え、前記関連付けること、および前記評価することは、前記マーシャリングプロトコルフィールドに対してさらに実行される、請求項２に記載の侵入検出方法。
【請求項４】
前記プロトコルフィールドの前記特性は、前記プロトコルフィールドのデータ型を備え、前記方法は、
前記抽出されたプロトコルフィールドのデータ型を決定することと、
前記決定されたデータ型を使用して前記モデル型を選択することと
を備える、請求項１乃至３のいずれか一項に記載の侵入検出方法。
【請求項５】
前記プロトコルフィールドの前記特性は、前記プロトコルフィールドのセマンティックを備え、前記方法は、
前記抽出されたプロトコルフィールドのセマンティックを決定することと、
前記決定されたセマンティックを使用して前記モデル型を選択することと
を備える、請求項１乃至４のいずれか一項に記載の侵入検出方法。
【請求項６】
モデルの前記セットは、プロトコルフィールドの前記セットの各プロトコルフィールドに対してそれぞれのモデルを備える、請求項１乃至５のいずれか一項に記載の侵入検出方法。
【請求項７】
前記フィールドの前記モデルは、学習段階中に決定され、
前記学習段階は、
前記データトラフィックをパースして、前記データトラフィックに適用される前記プロトコルの少なくとも１つのプロトコルフィールドを抽出することと、
前記抽出されたプロトコルフィールドを、そのプロトコルフィールドの前記モデルと関連付けることであって、前記モデルは、モデルの前記セットから選択される、ことと、
前記抽出されたプロトコルフィールドのコンテンツを使用して、前記抽出されたプロトコルフィールドの前記モデルを更新することと
を備える、請求項１乃至６のいずれか一項に記載の侵入検出方法。
【請求項８】
前記抽出されたプロトコルフィールドと前記モデルのうちの１つとの間で関連付けが行えない場合、
前記抽出されたプロトコルフィールドのための新しいモデルを作成し、かつ前記新しいモデルをモデルの前記セットに付加する、請求項７に記載の侵入検出方法。
【請求項９】
前記パースすることが、前記フィールドが前記プロトコルに従っていると確定することができない場合、前記侵入検出信号がさらに生成される、請求項１乃至８のいずれか一項に記載の侵入検出方法。
【請求項１０】
前記抽出されたプロトコルフィールドを、モデルの前記セットのうちのどのモデルにも関連付けることができない場合、前記侵入検出信号がさらに生成される、請求項１乃至９のいずれか一項に記載の侵入検出方法。
【請求項１１】
前記プロトコルは、アプリケーション層プロトコル、セッション層プロトコル、トランスポート層プロトコルまたは下位レベルのプロトコルスタックプロトコルのうちの少なくとも１つである、請求項１乃至１０のいずれか一項に記載の侵入検出方法。
【請求項１２】
前記方法は、前記侵入検出信号の生成に応答して、
前記プロトコルフィールドまたは前記プロトコルフィールドを含むデータパケットを除去することと、
侵入警告メッセージを発するおよび出力することと
のうちの少なくとも１つを備える、請求項１乃至１１のいずれか一項に記載の侵入検出方法。
【請求項１３】
前記プロトコルフィールドの前記モデルは、
許容できるプロトコルフィールド値のセットと、
プロトコルフィールド値の数値分布と、
許容できるプロトコルフィールド値の範囲の定義と
のうちの少なくとも１つを備える、請求項１乃至１２のいずれか一項に記載の侵入検出方法。
【請求項１４】
前記プロトコルフィールドの前記モデルは、
許容できるアルファベット、数字、シンボル、およびスクリプトの定義を備える、請求項１乃至１３のいずれか一項に記載の侵入検出方法。
【請求項１５】
前記プロトコルフィールドの前記モデルは、事前に定義された侵入署名のセットを備える、請求項１乃至１４のいずれか一項に記載の侵入検出方法。
【請求項１６】
モデルの前記セットは、１つのプロトコルフィールドに対して２つのモデルを備え、前記２つのモデルのうちの固有の１つは、別のプロトコルフィールドの値に基づく前記１つのプロトコルフィールドと関連付けられる、請求項１乃至１５のいずれか一項に記載の侵入検出方法。
【請求項１７】
データ通信ネットワーク上のデータトラフィックにおける侵入を検出するための侵入検出システムであって、前記システムは、
前記データトラフィックをパースして、前記データトラフィックのプロトコルメッセージの少なくとも１つのプロトコルフィールドを抽出するパーサと、
前記抽出されたプロトコルフィールドを、そのプロトコルフィールドのそれぞれのモデルと関連付けるエンジンであって、前記モデルは、モデルのセットから選択される、エンジンと、
前記抽出されたプロトコルフィールドのコンテンツが、前記モデルによって定義された通りの安全領域内にあるかどうかを評価するモデルハンドラと、
前記抽出されたプロトコルフィールドの前記コンテンツが、前記安全領域外であることが確定された場合、侵入検出信号を生成するアクチュエータと
を備え、
複数のモデル型が提供され、
前記システムは、前記抽出されたプロトコルフィールドの特性に基づいて前記複数のモデル型から前記抽出されたプロトコルフィールドのモデル型を選択し、かつ前記選択されたモデル型に基づいて前記抽出されたプロトコルフィールドのモデルを構築するように構成される、システム。
【請求項１８】
モデルの前記セットは、演算子プロトコルフィールドのモデルおよび引数プロトコルフィールドのモデルを備え、前記エンジンは、前記演算子プロトコルフィールドおよび前記引数プロトコルフィールドに対する前記関連付けること、および前記評価することを実行するように構成される、請求項１７に記載の侵入検出システム。
【請求項１９】
モデルの前記セットは、マーシャリングプロトコルフィールドのモデルをさらに備え、前記エンジンは、前記マーシャリングプロトコルフィールドに対する前記関連付けること、および前記評価することを実行するように構成される、請求項１８に記載の侵入検出システム。
【請求項２０】
前記プロトコルフィールドの前記特性は、前記プロトコルフィールドのデータ型を備え、前記システムは、
前記抽出されたプロトコルフィールドのデータ型を決定し、
前記決定されたデータ型を使用して前記モデル型を選択する
ように構成される、請求項１７乃至１９のいずれか一項に記載の侵入検出システム。
【請求項２１】
前記プロトコルフィールドの前記特性は、前記プロトコルフィールドのセマンティックを備え、前記システムは、
前記抽出されたプロトコルフィールドのセマンティックを決定し、
前記決定されたセマンティックを使用して前記モデル型を選択する
ように構成される、請求項１７乃至２０のいずれか一項に記載の侵入検出システム。
【請求項２２】
モデルの前記セットは、プロトコルフィールドのセットの各プロトコルフィールドに対してそれぞれのモデルを備える、請求項１７乃至２１のいずれか一項に記載の侵入検出システム。
【請求項２３】
前記モデルのうちの少なくとも１つを学習する学習段階中に動作されるようにさらに構成され、前記モデルハンドラは、前記学習段階中に、前記抽出されたプロトコルフィールドのコンテンツを使用して前記抽出されたプロトコルフィールドの前記モデルを更新するように構成される、請求項１７乃至２２のいずれか一項に記載の侵入検出システム。
【請求項２４】
前記エンジンは、前記学習段階中に、前記抽出されたプロトコルフィールドと前記モデルのうちの１つとの間で関連付けが行えない場合、前記抽出されたプロトコルフィールドのための新しいモデルを作成し、および前記新しいモデルをモデルの前記セットに付加するようにさらに構成される、請求項２３に記載の侵入検出システム。
【請求項２５】
前記パーサが、前記フィールドが前記プロトコルに従っていると確定することができないという前記パーサからの表示に応答して、前記アクチュエータは、前記侵入検出信号を生成するようにさらに構成される、請求項１７乃至２４のいずれか一項に記載の侵入検出システム。
【請求項２６】
前記抽出されたフィールドを、モデルの前記セットのうちのどのモデルにも関連付けることができないという前記エンジンからの表示に応答して、前記アクチュエータは、前記侵入検出信号を生成するようにさらに構成される、請求項１７乃至２５のいずれか一項に記載の侵入検出システム。
【請求項２７】
前記プロトコルは、アプリケーション層プロトコル、セッション層プロトコル、トランスポート層プロトコルまたは下位レベルのプロトコルスタックプロトコルのうちの少なくとも１つである、請求項１７乃至２６のいずれか一項に記載の侵入検出システム。
【請求項２８】
前記アクチュエータは、前記侵入検出信号の生成に応答して、
前記プロトコルフィールドまたは前記プロトコルフィールドを含むデータパケットを除去し、
侵入警告メッセージを発するおよび出力する
ように構成される、請求項１７乃至２７のいずれか一項に記載の侵入検出システム。
【請求項２９】
前記プロトコルフィールドの前記モデルは、
許容できるプロトコルフィールド値のセットと、
プロトコルフィールド値の数値分布と、
許容できるプロトコルフィールド値の範囲の定義と
のうちの少なくとも１つを備える、請求項１７乃至２８のいずれか一項に記載の侵入検出システム。
【請求項３０】
前記プロトコルフィールドの前記モデルは、
許容できるアルファベット、数字、シンボル、およびスクリプトの定義を備える、請求項１７乃至２９のいずれか一項に記載の侵入検出システム。
【請求項３１】
前記プロトコルフィールドの前記モデルは、事前に定義された侵入署名のセットを備える、請求項１７乃至３０のいずれか一項に記載の侵入検出システム。
【請求項３２】
モデルの前記セットは、１つのプロトコルフィールドに対して２つのモデルを備え、前記エンジンは、前記２つのモデルのうちの固有の１つを、別のプロトコルフィールドの値に基づく前記１つのプロトコルフィールドに関連付けるように構成される、請求項１７乃至３１のいずれか一項に記載の侵入検出システム。