(57)【特許請求の範囲】
【請求項１】
受信または送信されるパケットをコピーしたミラーパケットをミラーポートから送信するパケット中継装置であって、
入力ポートからパケットを受け付けるパケット受付部と、
前記パケットが攻撃または攻撃予兆の可能性を含むか否かを判定するセキュリティ判定部と、
前記パケットが攻撃または攻撃予兆の可能性を含むと判定された場合に、当該パケットの複製を前記ミラーパケットとして生成するミラー処理部と、
前記ミラーパケットをミラーポートから送信する送信部と、
を有し、
前記セキュリティ判定部は、
前記攻撃または攻撃予兆に関する情報として、攻撃種別または攻撃予兆種別の情報を判定し、
前記ミラー処理部は、
前記セキュリティ判定部で判定された前記攻撃種別または攻撃予兆種別の情報に基づいてミラーパケットを生成し、
前記送信部は、
前記ミラーパケットにポリシングを行うミラーポリシング部と、
前記ミラーパケットに対してシェーピングを行うミラーシェーピング部と、
前記ミラーパケットに対してサンプリングを行うミラーサンプリング部と、
を含むことを特徴とするパケット中継装置。
【請求項２】
請求項１に記載のパケット中継装置であって、
前記セキュリティ判定部は、
前記攻撃または攻撃予兆に関する情報として、攻撃経路を示す情報を判定し、
前記ミラー処理部は、
前記攻撃経路を示す情報を前記ミラーパケットに付加することを特徴とするパケット中継装置。
【請求項３】
請求項１に記載のパケット中継装置であって、
前記ミラー処理部は、
前記ミラーパケットにＶＬＡＮ?Ｔａｇを付加し、付加するＶＬＡＮ?ＴａｇのＶＬＡＮ  ＩＤまたはＵｓｅｒ  Ｐｒｉｏｒｉｔｙに前記攻撃または攻撃予兆に関する情報を設定することを特徴とするパケット中継装置。
【請求項４】
請求項１に記載のパケット中継装置であって、
前記セキュリティ判定部は、
予め設定されたパケット情報に基づいて攻撃または攻撃予兆の可能性があるパケットを判定することを特徴とするパケット中継装置。
【請求項５】
請求項１に記載のパケット中継装置であって、
前記セキュリティ判定部は、
予め設定された検索テーブルの検索結果に基づいて攻撃または攻撃予兆の可能性があるパケットを判定することを特徴とするパケット中継装置。
【請求項６】
請求項１に記載のパケット中継装置であって、
前記セキュリティ判定部は、
複数のパケットのパケット情報の特徴パターンに基づいて攻撃または攻撃予兆の可能性があるパケットを判定することを特徴とするパケット中継装置。
【請求項７】
請求項１に記載のパケット中継装置であって、
前記セキュリティ判定部は、
特徴量に基づいて攻撃または攻撃予兆の可能性があるパケットを判定することを特徴とするパケット中継装置。
【請求項８】
請求項７に記載のパケット中継装置であって、
前記特徴量がパケットのＢｙｔｅ長であることを特徴とするパケット中継装置。
【請求項９】
請求項７に記載のパケット中継装置であって、
前記特徴量がパケットの帯域であることを特徴とするパケット中継装置。
【請求項１０】
請求項７に記載のパケット中継装置であって、
前記特徴量がパケットの統計量であることを特徴とするパケット中継装置。
【請求項１１】
請求項７ないし請求項１０のいずれかひとつに記載のパケット中継装置であって、
前記セキュリティ判定部は、
前記特徴量の時間的変動に基づいて攻撃または攻撃予兆の可能性があるパケットを判定することを特徴とするパケット中継装置。
【請求項１２】
請求項１に記載のパケット中継装置であって、
前記ミラーポートを複数有し、
前記ミラー処理部は、
前記パケットを複数個コピーしたミラーパケットを、各々異なるミラーポートから送信することを特徴とするパケット中継装置。
【請求項１３】
請求項１に記載のパケット中継装置であって、
前記ミラーポートを複数有し、
前記送信部は、
前記ミラーパケットを送信するミラーポートを、前記攻撃種別毎にハッシュまたはラウンドロビンのアルゴリズムに基づいて選択することを特徴とするパケット中継装置。
【請求項１４】
請求項１に記載のパケット中継装置であって、
前記送信部は、
前記パケットのうちミラーパケットをコピーする比率を前記判定された攻撃種別毎に指定してミラーポートから送信することを特徴とするパケット中継装置。
【請求項１５】
請求項１に記載のパケット中継装置であって、
前記送信部は、
前記ミラーパケットを前記判定された攻撃種別毎にシェーピングまたはポリシングを実施して、前記ミラーポートから送信することを特徴とするパケット中継装置。
【請求項１６】
請求項１５に記載のパケット中継装置であって、
前記送信部は、
前記ミラーパケットに対しシェーピングまたはポリシングを実施する際の優先度を、攻撃種別、攻撃予兆種別、攻撃または攻撃予兆の影響度、攻撃または攻撃予兆の確からしさ、または攻撃経路の判定結果のいずれかに基づいて判定することを特徴とするパケット中継装置。
【請求項１７】
請求項１に記載のパケット中継装置であって、
前記ミラー処理部は、
前記セキュリティ判定部が判定した攻撃種別情報、攻撃影響度情報、攻撃確度情報、攻撃経路情報のいずれかに基づいて、前記ミラーパケットの生成可否、前記ミラーパケットを送信するミラーポート、前記ミラーパケットを送信する優先度のいずれかを決定することを特徴とするパケット中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおいてパケットをミラーするパケット中継装置に関する。
【背景技術】
【０００２】
ＤＤｏＳ（Distributed Denial of Service）攻撃や、標的型攻撃等によるセキュリティリスクが高まっている。攻撃の被害を最小化するには、攻撃対象より上流に位置するネットワークで攻撃を仕掛ける攻撃パケットを監視して、攻撃を検知した場合にはこれを防御することが必要である。
【０００３】
また、大規模攻撃の予兆を分析して対策を備えるにも、ネットワークで攻撃の予兆を有する攻撃予兆パケットを監視してこれを分析することが必要である。そのため、ネットワークを構成するルータやスイッチ等のパケット中継装置で、パケット中継装置が備えるミラー機能を用いて、パケット中継装置内のパケットを攻撃の分析機能を備えるアナライザに送信することでトラフィックデータを収集する。
【０００４】
そして、収集したトラフィックデータをアナライザで分析した結果、攻撃、または攻撃予兆の発生を検知した場合には、分析結果に基づいて攻撃を防御する対策を実施する。ネットワークを利用した攻撃には後述するように、システムの脆弱性を利用したＬｏｇｉｃ攻撃や、送信元を詐称した攻撃、大量のパケットを送りつけてネットワークの帯域資源や、サーバの処理資源等を枯渇させるフラッド攻撃、標的への侵入を試みる攻撃予兆等、多種多様な攻撃種別が存在する。
【０００５】
攻撃の種別毎に、分析に必要な情報、分析方法、分析の困難さ等が異なるため、攻撃種別に応じてＦＷ（Firewall）、ＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Protection System）、ＷＡＦ（Web Application Firewall）、ＤＤｏＳ攻撃対策装置、フォレンジックサーバ等の多種多様なアナライザが提供されている。
【０００６】
攻撃の分析を行う際、アナライザの分析性能がネックとなり、パケット中継装置が中継する全てのトラフィックの分析を行うことはできない。そのため、非特許文献１では、詳細について分析したいトラフィックの識別条件をスイッチに設定し、特定のトラフィックのみをアナライザの一種であるＩＤＳに転送する技術が開示されている。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】「大規模エッジルータと高速トラヒックモニタリング」、電子情報通信学会技術研究報告、IA, インターネットアーキテクチャ 109(421), 47-52, 2010-02-12
【非特許文献２】M.H.Bhuyan, D.K.Bhattacharyya and J.K.kalita、“Surveying Port Scans and Their Detection Methodologies”、The Computer Journal、 2011、VOL 54、NO.10、pp. 1565-1581.
【発明の概要】
【発明が解決しようとする課題】
【０００８】
多種多様な攻撃種別を分析するには、対応する攻撃種別の異なる複数のアナライザをパケット中継装置に接続し、パケット中継装置による一次スクリーニングで攻撃種別をある程度絞り、スクリーニング後のパケットを攻撃種別に対応するアナライザに振り分ける必要がある。攻撃種別毎に分析方法が異なるので、スクリーニング方法も攻撃種別毎に異なる。
【０００９】
非特許文献１に開示される技術では、ＡＦＭ（Ａｇｇｒｅｇａｔｅｄ  Ｆｌｏｗ  Ｍｉｎｉｎｇ）という単一種別のスクリーニング方法でトラフィックを絞り込み、ＩＤＳという単一種別のアナライザに転送する方法しか開示されていない。また、非特許文献２に開示される技術には、ポートスキャンの検出に関する技術は開示されている。
【００１０】
これらの従来の技術では、パケットに含まれる脅威を複数の攻撃種別に絞り、攻撃種別に適したアナライザに転送することはできない、という問題があった。すなわち、上記従来の技術では、アナライザに全てのパケットを入力されるので、アナライザでは複数の攻撃種別に対応するために負荷が過大になる場合があった。
【課題を解決するための手段】
【００１１】
本発明は、受信または送信されるパケットをコピーしたミラーパケットをミラーポートから送信するパケット中継装置であって、入力ポートからパケットを受け付けるパケット受付部と、前記パケットが攻撃または攻撃予兆の可能性を含むか否かを判定するセキュリティ判定部と、前記パケットが攻撃または攻撃予兆の可能性を含むと判定された場合に、当該パケットの複製を前記ミラーパケットとして生成するミラー処理部と、前記ミラーパケットをミラーポートから送信する送信部と、を有し、前記セキュリティ判定部は、前記攻撃または攻撃予兆に関する情報として、攻撃種別または攻撃予兆種別の情報を判定し、前記ミラー処理部は、前記セキュリティ判定部で判定された前記攻撃種別または攻撃予兆種別の情報に基づいてミラーパケットを生成し、前記送信部は、前記ミラーパケットにポリシングを行うミラーポリシング部と、前記ミラーポリシング部からの前記ミラーパケットに対してシェーピングを行うミラーシェーピング部と、ミラーシェーピング部とからの前記ミラーパケットに対してサンプリングを行うミラーサンプリング部と、を含む。
【発明の効果】
【００１２】
本発明によれば、パケット中継装置は攻撃または攻撃予兆の可能性があると判定されたパケットだけをミラーポートに出力することができるので、ミラーポートに接続された装置（例えば、アナライザ）の負荷を軽減することができる。
【図面の簡単な説明】
【００１３】
【図１】本発明の実施例を示し、中継装置を用いたネットワークのブロック図である。
【図２】本発明の実施例を示し、パケット中継装置のブロック図である。
【図３】本発明の実施例を示し、ミラーパケットのパケット情報のフォーマットを示す図である。
【図４】本発明の実施例を示し、パケット中継装置の受信側セキュリティ判定部の構成を示すブロック図である。
【図５】本発明の実施例を示し、パケット情報のフォーマットを示す図である。
【図６】本発明の実施例を示し、パケット中継装置の受信側ミラー処理部の構成を示すブロック図である。
【図７】本発明の実施例を示し、パケット情報のフォーマットを示す図である。
【図８】本発明の実施例を示し、パケット中継装置のパケット送信部の構成を示すブロック図である。
【図９】本発明の実施例を示し、攻撃種別判定部の構成を示すブロック図である。
【図１０】本発明の実施例を示し、Logic攻撃判定部の構成を示すブロック図である。
【図１１】本発明の実施例を示し、フィルタパケット判定部の構成を示すブロック図である。
【図１２】本発明の実施例を示し、送信元詐称攻撃判定部と受信側パケット処理部の構成を示すブロック図である。
【図１３】本発明の実施例を示し、フラッド攻撃判定部の構成を示すブロック図である。
【図１４】本発明の実施例を示し、攻撃予兆判定部の構成を示すブロック図である。
【図１５】本発明の実施例を示し、攻撃影響度判定部の構成を示すブロック図である。
【図１６】本発明の実施例を示し、攻撃確度判定部の構成を示すブロック図である。
【図１７】本発明の実施例を示し、ミラーポート判定部の構成を示すブロック図である。
【図１８】本発明の実施例を示し、攻撃情報付加判定部の構成を示すブロック図である。
【図１９】本発明の実施例を示し、受信ミラーパケット生成部の構成を示すブロック図である。
【図２０】本発明の実施例を示し、ミラーパケットでない場合のパケット情報のフォーマットを示す図である。
【図２１】本発明の実施例を示し、ミラーポート判定部から受信ミラーパケット生成部におけるパケット情報のフォーマットを示す図である。
【図２２】本発明の実施例を示し、ミラーポリシング部の構成を示すブロック図である。
【図２３】本発明の実施例を示し、ミラーシェーピング部の構成を示すブロック図である。
【図２４】本発明の実施例を示し、ミラーサンプリング部の構成を示すブロック図である。
【図２５】本発明の実施例１の変形例を示し、ＶＬＡＮ−Ｔａｇを用いて攻撃情報を付加する攻撃情報付加判定部の構成を示すブロック図である。
【図２６】本発明の実施例１の変形例を示し、ＶＬＡＮ−Ｔａｇのフォーマットの一例を示す図である。
【図２７】本発明の実施例２を示し、ネットワークタップの一例を示すブロック図である。
【発明を実施するための形態】
【００１４】
以下、本発明の実施形態を添付図面に基づいて説明する。
【実施例１】
【００１５】
図１は、本発明の第１の実施例を示し、中継装置を用いたネットワークのブロック図である。
【００１６】
図１において、本発明のパケット中継装置１００でインターネット４００から受信した受信パケット、またはインターネット４００へ送信する送信パケットをアナライザ３００−１〜３００−ｎにミラーするネットワークの構成図を示す。
【００１７】
アナライザ３００−１〜３００−ｎは例えば、ＦＷ、ＩＤＳ、ＩＰＳ、ＷＡＦ、ＤＤｏＳ攻撃対策装置、フォレンジックサーバ等のセキュリティ装置である。以下、アナライザ３００−１〜３００−ｎの全体を示すときには「−」以降の添え字のない符号３００を用いる。他の構成要素の符号についても同様である。また、受信パケットと送信パケットの総称をパケットとする。
【００１８】
図２に本発明のパケット中継装置１００のブロック図を示す。本発明のパケット中継装置１００は、入力回線を接続する入力ポート１３０と、パケットを受信するパケット受信部１０１と、受信パケットを出力する出力ポートの判定と受信パケットの優先度の判定を含む基本的なパケット中継に関する判定処理とアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの制御ＣＰＵ１２０への転送を行う受信側パケット処理部１０２と、受信パケットの攻撃または攻撃予兆に関する判定を行う受信側セキュリティ判定部１０３と、受信パケットのミラーに関する判定と受信ミラーパケットを生成するコピー処理を行う受信側ミラー処理部１０４と、受信側で判定した出力ポートに基づいて受信パケットを送信側に中継するパケット中継処理部１０５と、送信側における送信パケットの優先度の判定を含む基本的なパケット中継に関する判定処理を行う送信側パケット処理部１０６と、送信パケットの攻撃または攻撃予兆に関する判定を行う送信側セキュリティ判定部１０７と、送信パケットのミラーに関する判定と送信ミラーパケットを生成するコピー処理を行う送信側ミラー処理部１０８と、送信パケットの送信を行うパケット送信部１０９と、出力回線を接続する出力ポート１３１と、ミラー回線を接続するミラーポート１３２−１〜１３２−ｎと、管理端末１２１の指示またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示に基づいてパケット中継装置１００が備える各種テーブルの設定指示を行う制御ＣＰＵ１２０と、パケット中継装置１００の管理者がパケット中継装置１００に対する設定を入力する管理端末１２１から構成される。
【００１９】
受信側セキュリティ判定部１０３の判定結果に基づいて受信側ミラー処理部１０４で受信ミラーに関する判定を行い、当該判定に基づいて受信ミラーパケットを生成する構成と、送信側セキュリティ判定部１０７の判定結果に基づいて送信側ミラー処理部１０８で送信ミラーに関する判定を行い判定に基づいて送信ミラーパケットを生成する構成と、受信ミラーパケットに受信側セキュリティ判定部１０３の判定結果の情報を付加してミラーする構成と、送信ミラーパケットに送信側セキュリティ判定部１０７の判定結果の情報を付加してミラーする構成が、本発明に特徴的な構成である。
【００２０】
また、本発明のパケット中継装置１００の判定結果の情報を付加してミラーする機能に連携して動作するアナライザ３００は、本発明のパケット中継装置１００が送信したミラーパケットにおいて本発明のパケット中継装置１００が判定結果の情報を付加したか否かに対応する動作モードを備える。
【００２１】
パケット中継装置１００の判定結果の情報を付加しない場合に対応するアナライザ３００の動作モードでは、通常のアナライザ３００としてミラーパケットを分析する。一方、パケット中継装置１００の判定結果の情報を付加する場合に対応する動作モードでは、判定結果の情報が含まれる位置と情報の意味をアナライザ３００の管理者が設定可能とし、ミラーパケットをアナライザ３００が受信すると、アナライザ３００は判定結果の情報をミラーパケットから抽出し、抽出後は通常のアナライザとしてミラーパケットを分析する構成とする。
【００２２】
ただし、アナライザ３００の分析において抽出した判定結果の情報で判定可能な判定処理はスキップすることにより、アナライザ３００の分析の負荷を低減できる。例えばパケット中継装置１００が受信したパケットをフラッド攻撃であると判定し、この判定結果をミラーパケットに付加した場合は、アナライザ３００では当該パケットがフラッド攻撃であるか否かを判定する処理をスキップし、フラッド攻撃を構成するパケットに対する分析の処理から始めることができる。
【００２３】
なお、アナライザ３００及び管理端末１２１と制御ＣＰＵ１２０は、図示しない管理用のネットワークを介して接続するようにしてもよい。
【００２４】
図３は、受信側パケット処理部１０２が出力するパケット情報２００の一例を示す図である。
【００２５】
受信パケットのＬ２（Layer２）情報２１１と、Ｌ３（Layer３）情報２１２と、Ｌ４（Layer４）情報２１３と、Ｌ７（Layer７）情報２１４と、ペイロード２１５に対し、パケット受信部１０１で入力ポート情報２０１を付加し、受信側パケット処理部１０２で判定した出力ポート情報２０２と優先度情報２０３を付加した図３に示すパケット情報２００を、受信側パケット処理部１０２から受信側セキュリティ判定部１０３に出力する。
【００２６】
図４は、受信側セキュリティ判定部１０３の構成の一例を示すブロック図である。受信側セキュリティ判定部１０３は、攻撃種別または攻撃予兆の種別を判定する攻撃種別判定部１０３１と、攻撃種別または攻撃予兆種別の判定結果に基づいて攻撃の影響度を判定する攻撃影響度判定部１０３２と、攻撃種別または攻撃予兆種別の判定結果に基づいて攻撃の確からしさを判定する攻撃確度判定部１０３３から構成される。
【００２７】
送信側セキュリティ判定部１０７も、受信側セキュリティ判定部１０３と同様の構成である（ただし、後述する「（３）送信元詐称攻撃」に関する処理は、送信側では後述する経路テーブル１０２０を備えないので実施しない）。
【００２８】
図５は、受信側セキュリティ判定部１０３が出力するパケット情報２５０の一例を示す図である。受信側セキュリティ判定部１０３では、受信側パケット処理部１０２から入力したパケット情報２００に対し、受信側セキュリティ判定部１０３で判定した攻撃種別情報２２１と、攻撃影響度情報２２２と、攻撃確度情報２２３と、攻撃経路情報２２４を付加した図５に示すパケット情報２５０を、受信側ミラー処理部１０４に出力する。送信側セキュリティ判定部１０７も、受信側セキュリティ判定部１０３と同様の処理を行う。
【００２９】
図６は受信側ミラー処理部１０４の構成の一例を示すブロック図である。受信側ミラー処理部１０４は、攻撃種別情報２２１、攻撃影響度情報２２２、攻撃確度情報２２３、攻撃経路情報２２４に基づいて受信ミラーパケットの生成可否と、ミラーパケットを生成する場合にはミラーパケットを送信するミラーポート１３２と、ミラーポート１３２においてミラーパケットを送信する優先度であるミラー優先度を判定するミラーポート判定部１０４１と、当該ミラーポート１３２において攻撃種別情報２２１と、攻撃影響度情報２２２と、攻撃確度情報２２３と、攻撃経路情報２２４をミラーパケットに付加するか否かを判定する攻撃情報付加判定部１０４２と、受信ミラーパケットを生成する受信ミラーパケット生成部１０４３から構成される。送信側ミラー処理部１０８も、受信側ミラー処理部１０４と同様の構成である。
【００３０】
受信側ミラー処理部１０４では、受信側セキュリティ判定部１０３から入力したパケット情報２５０に対し、ミラーポート判定部１０４１でミラーパケットを生成すると判定した場合にはミラーフラグ２３１を「有効」を示す値とし、ミラーポート判定部１０４１で攻撃種別情報２２１と、攻撃影響度情報２２２と、攻撃確度情報２２３と、攻撃経路情報２２４に基づいて判定したミラーポート情報２３２と、ミラー優先度情報２３３と、攻撃情報付加判定部１０４２で判定した攻撃情報付加フラグ２３４を付加した図７に示すパケット情報２６０で構成される装置内受信ミラーパケットを生成し、パケット中継処理部１０５に出力する。
【００３１】
ミラーポート情報２３２は、複数のミラーポート１３２−１〜１３２−ｎのうちいずれのミラーポート１３２へ出力するかを設定する情報で、ミラーポート１３２に接続されたアナライザ３００の種類と、攻撃種別情報２２１に応じてミラーポート判定部１０４１が設定することができる。このため、受信側ミラー処理部１０４はミラーポート１３２−１〜１３２−ｎに接続されたアナライザ３００の種類を予め格納したテーブル（図示省略）を保持してもよい。あるいは、ミラーポート判定部１０４１は攻撃種別情報２２１に応じて出力するミラーポート１３２−１〜１３２−ｎを決定してもよい。
【００３２】
攻撃情報付加判定部１０４２は、ミラーポート判定部１０４１で判定したミラーポート１３２に対し攻撃種別情報２２１、攻撃影響度情報２２２、攻撃確度情報２２３、攻撃経路情報２２４を付加すると判定した場合は攻撃情報付加フラグ２３４を「有効」を示す値とし、付加しないと判定した場合は攻撃情報付加フラグ２３４を「無効」を示す値とする。
【００３３】
なお、ミラーパケットのコピー元であるオリジナルの受信パケットと、ミラーポート判定部１０４１でミラーパケットを生成しないと判定した場合は、ミラーフラグ２３１を「無効」を示す値とし、図２０に示すパケット情報２７０としてパケット中継処理部１０５に出力する。
【００３４】
ミラーパケットのコピー元であるオリジナルの受信パケットと、ミラーポート判定部１０４１でミラーパケットを生成しないと判定した場合の扱いに関しては、受信ミラーパケット生成部１０４３の説明において後述する。
【００３５】
送信側ミラー処理部１０８も、受信側ミラー処理部１０４と同様の処理を行う。
【００３６】
パケット中継処理部１０５から送信側パケット処理部１０６と、送信側セキュリティ判定部１０７と、送信側ミラー処理部１０８に入力したミラーパケットのパケット情報２６０またはミラーパケットでないパケット情報２７０のミラーフラグ２３１が「有効」を示す値である場合には、パケット情報２６０は受信ミラーパケットであり、送信側パケット処理部１０６と、送信側セキュリティ判定部１０７と、送信側ミラー処理部１０８では処理をしないと判定し、パケット中継処理部１０５から入力したパケット情報２６０のままでパケット送信部１０９に出力する。
【００３７】
パケット中継処理部１０５から送信側パケット処理部１０６と、送信側セキュリティ判定部１０７と、送信側ミラー処理部１０８に入力したミラーパケットのパケット情報２６０またはミラーパケットでないパケット情報２７０のミラーフラグ２３１が「無効」を示す値である場合には、当該パケット情報２７０は受信ミラーパケットでなく中継パケットであり、送信側パケット処理部１０６と、送信側セキュリティ判定部１０７と、送信側ミラー処理部１０８では、受信側パケット処理部１０２と、受信側セキュリティ判定部１０３と、受信側ミラー処理部１０４と同様の処理を実施して、パケット送信部１０９に出力する。
【００３８】
図８はパケット送信部１０９の構成の一例を示すブロック図である。パケット送信部１０９は、パケット情報２６０またはパケット情報２７０のミラーフラグ２３１に基づいて当該パケットがミラーパケットであるか否かを判定するミラーパケット判定部１０９１と、ミラーパケットに対するポリシングを行うミラーポリシング部１０９２と、ミラーパケットに対するシェーピングを行うミラーシェーピング部１０９３と、ミラーパケットに対するサンプリングを行うミラーサンプリング部１０９４と、ミラーパケットを送信するミラーポート１３２−１〜１３２−ｎと、ミラーパケットでない中継パケットにシェーピングを行いシェーピング部１０９５と、中継パケットを送信する出力ポート１３１から構成される。
【００３９】
パケット送信部１０９に入力されたパケット情報２６０またはパケット情報２７０のミラーフラグ２３１が「有効」を示す値である場合には、当該パケット情報２６０はミラーパケットであるとミラーパケット判定部１０９１で判定し、ミラーポート情報２３２と、ミラー優先度情報２３３と、攻撃情報付加フラグ２３４と、攻撃種別情報２２１と、攻撃影響度情報２２２と、攻撃確度情報２２３と、攻撃経路情報２２４に基づいてミラーポリシング部１０９２でのポリシングと、ミラーシェーピング部１０９３でのシェーピングと、ミラーサンプリング部１０９４でのサンプリングを行い、ミラーポート１３２からミラー回線へ出力する。
【００４０】
パケット送信部１０９に入力されたパケット情報２６０またはパケット情報２７０のミラーフラグ２３１が「無効」を示す値である場合には、当該パケット情報２７０は中継パケットであるとミラーパケット判定部１０９１で判定し、シェーピング部１０９５でシェーピングを行い、出力ポート１３１から出力回線へ出力する。
【００４１】
次に、各処理部の構成と処理の詳細を説明する。
【００４２】
受信側セキュリティ判定部１０３または送信側セキュリティ判定部１０７の攻撃種別判定部１０３１において判定する攻撃種別または攻撃予兆種別には、以下がある。
【００４３】
（１）Ｌｏｇｉｃ攻撃：計算機システムの脆弱性を利用する攻撃と判定する条件（Ｂｙｔｅ長に関する条件を含む）を登録したＬｏｇｉｃ攻撃リストに一致したパケットをＬｏｇｉｃ攻撃と判定する。
【００４４】
（２）フィルタパケット：パケット中継装置１００の管理者またはアナライザから送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で定義したフィルタ廃棄すべきフロー（パケット情報２００に関する条件で定まるパケットの集合）の条件を登録したフィルタリスト（ＡＣＬ（Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  Ｌｉｓｔ））に一致したパケットをフィルタパケット（ユーザ登録の攻撃）と判定する。
【００４５】
（３）送信元詐称攻撃：パケットの送信元アドレスに関する情報が詐称であるとｕＲＰＦ（ｕｎｉｃａｓｔ  Ｒｅｖｅｒｓｅ  Ｐａｔｈ  Ｆｏｒｗａｒｄｉｎｇ）等の手段で判定したパケットを送信元詐称攻撃と判定する。送信元詐称攻撃は、大規模なＤＤｏＳ攻撃の予兆とも考えられる。
【００４６】
（４）フラッド攻撃：フローの帯域が、パケット中継装置１００の管理者またはアナライザから送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で定義した監視帯域（または帯域のしきい値）を超過すると、フラッド攻撃と判定する。監視帯域として、軽度監視帯域と重度監視帯域を設け、フラッド攻撃の影響度の重度、軽度を判定する構成とすることもできる。
【００４７】
（５）攻撃予兆：フローの統計値や帯域の時間的変動が通常と大きく異なる場合、攻撃予兆と判定する。あるいは、複数の宛先ＩＰアドレスの特定の宛先ポートに関する連続アクセスはホストスキャン、特定の宛先ＩＰアドレスの複数の宛先ポートに関する連続アクセスはポートスキャンと呼ばれる。これらのスキャンは標的への侵入を試みる攻撃予兆として知られている。なお、ホストスキャンやポートスキャンの検出については非特許文献２の技術を適用することができる。
【００４８】
なお、通常のフローの統計値は、パケット中継装置１００の図示しない統計機能によって蓄積される。統計値としては、例えば、時間帯毎の宛先ＩＰアドレスや送信元ＩＰアドレスやポート番号や帯域を時間帯毎に平均値などを算出して蓄積しておく。そして、パケット中継装置１００は、現在の統計値と過去の同じ時間帯の統計値が所定の閾値を超えて変化していれば、通常と大ききが異なると判定することができる。
【００４９】
また、パケット中継装置１００の統計機能は、フローやパケットの特徴量や特徴パターンを蓄積することができ、例えば、特徴量としてはパケットのバイト長や、パケット（またはフロー）の帯域や、統計量を用いることができる。また、特徴パターンとしては、パケットの宛先ＩＰアドレスやポート番号と時間帯毎のアクセス数などの情報を用いることができる。
【００５０】
図９は攻撃種別判定部１０３１の構成の一例を示すブロック図である。
【００５１】
攻撃種別判定部１０３１は、パケットがＬｏｇｉｃ攻撃であるか否かを判定するＬｏｇｉｃ攻撃判定部１０３１１と、パケットがフィルタリストに一致するか否かを判定するフィルタパケット判定部１０３１２と、パケットの送信元アドレスが詐称されているか否かを判定する送信元詐称攻撃判定部１０３１３と、フローの帯域またはバースト量（バーストトラフィックのデータ量）が一定値を超過するか否かを判定するフラッド攻撃判定部１０３１４と、パケットのアクセスの特徴、統計値、帯域の時間的変動に基づいてパケットが攻撃予兆であるか否かを判定する攻撃予兆判定部１０３１５と、上記（１）〜（５）の攻撃種別または攻撃予兆種別の複数で一致すると判定された場合に、攻撃種別または攻撃予兆種別の優先度に基づいていずれの攻撃種別または攻撃予兆種別であるかを判定する攻撃種別優先度判定部１０３１６から構成される。
【００５２】
本実施例では、Ｌｏｇｉｃ攻撃の優先度が最も高く、以下フィルタパケット、送信元詐称攻撃、フラッド攻撃、攻撃予兆の順の優先度になっているものとする。なお、この優先度は攻撃の影響度、確度の高い順となっていることが望ましい。攻撃種別判定部１０３１にパケット情報２００が入力されると、パケット情報２００はＬｏｇｉｃ攻撃判定部１０３１１と、フィルタパケット判定部１０３１２と、送信元詐称攻撃判定部１０３１３と、フラッド攻撃判定部１０３１４と、攻撃予兆判定部１０３１５に各々入力される。
【００５３】
図中１０３１１〜１０３１５の各判定部で攻撃種別に関する判定が行われると、判定結果が攻撃種別優先度判定部１０３１６に入力される。攻撃種別優先度判定部１０３１６で、各攻撃種別の優先度に基づいて攻撃種別を判定し、判定結果をパケット情報２５０の攻撃種別情報２２１として出力する。例えば、パケット情報２００がＬｏｇｉｃ攻撃とフラッド攻撃の両方に該当すると判定された場合は、当該パケットの攻撃種別はＬｏｇｉｃ攻撃であると判定する。
【００５４】
図１０はＬｏｇｉｃ攻撃判定部１０３１１の構成の一例を示すブロック図である。Ｌｏｇｉｃ攻撃判定部１０３１１は、Ｌｏｇｉｃ攻撃と判定する条件を設定したＬｏｇｉｃ攻撃エントリ１（１０３１１１）〜Ｌｏｇｉｃ攻撃エントリｎ（１０３１１ｎ）から構成されるＬｏｇｉｃ攻撃テーブル１０３１１０を含む。
【００５５】
Ｌｏｇｉｃ攻撃判定部１０３１１は、パケット情報２００が入力されると、パケット情報２００のうち所定の情報が、Ｌｏｇｉｃ攻撃エントリ１（１０３１１１）〜Ｌｏｇｉｃ攻撃エントリｎ（１０３１１ｎ）の条件に一致するか逐次比較する。一致したエントリがある場合はパケット情報２００の攻撃種別はＬｏｇｉｃ攻撃であると判定する。
【００５６】
Ｌｏｇｉｃ攻撃エントリの条件は、条件値による比較だけではなく比較式、等号式による論理的な判定も含む。例えば、Ｌａｎｄ攻撃をＬｏｇｉｃ攻撃として設定する場合は、Ｌ３情報２１２の送信元ＩＰアドレス＝宛先ＩＰアドレスという等号式による条件となる。また、Ｐｉｎｇ  ｏｆ  ｄｅａｔｈ攻撃をＬｏｇｉｃ攻撃として設定する場合は、Ｌ３情報２１２のフラグメントオフセットとペイロード２１５のＢｙｔｅ長の和が一定値より大きい、という比較式となる。
【００５７】
上記の他にも、Ｉｎｖａｌｉｄ  ＴＣＰ  Ｆｌａｇｓ攻撃をＬｏｇｉｃ攻撃として設定する場合は、ＴＣＰ（Transmission Control Protocol）フラグの有り得ない組み合わせをＬｏｇｉｃ攻撃エントリの条件としてＬｏｇｉｃ攻撃テーブル１０３１１０に設定する。パケット情報２００が一致したＬｏｇｉｃ攻撃エントリがＬａｎｄ攻撃の設定である場合のパケット情報２００の攻撃種別はＬｏｇｉｃ攻撃（Ｌａｎｄ攻撃）、パケット情報２００が一致したＬｏｇｉｃ攻撃エントリがＰｉｎｇ  ｏｆ  ｄｅａｔｈ攻撃の設定である場合のパケット情報２００の攻撃種別はＬｏｇｉｃ攻撃（Ｐｉｎｇ  ｏｆ  ｄｅａｔｈ攻撃）、パケット情報２００が一致したＬｏｇｉｃ攻撃エントリがＴＣＰ  Ｉｎｖａｌｉｄ  Ｆｌａｇｓ攻撃の設定である場合のパケット情報２００の攻撃種別はＬｏｇｉｃ攻撃（ＴＣＰ  Ｉｎｖａｌｉｄ  Ｆｌａｇｓ攻撃）となる。
【００５８】
以上のように、パケットの特徴量（Ｂｙｔｅ長）や特徴パターンを攻撃エントリに登録しておき、パケット情報２００と比較することで、Ｌｏｇｉｃ攻撃のパケットを特定することができる。
【００５９】
図１１はフィルタパケット判定部１０３１２の構成の一例を示すブロック図である。フィルタパケット判定部１０３１２は、フィルタパケットと判定する条件を設定したフィルタエントリ１（１０３１２１）〜フィルタエントリｎ（１０３１２ｎ）から構成されるフィルタテーブル（検索テーブル）１０３１２０を含む。
【００６０】
フィルタパケット判定部１０３１２はパケット情報２００が入力されると、パケット情報２００のうちフィルタエントリとの一致比較の判定に必要な条件を、フィルタエントリ１（１０３１２１）〜フィルタエントリｎ（１０３１２ｎ）の条件と逐次比較し、一致したフィルタエントリのある場合はパケット情報２００の攻撃種別はフィルタパケットの条件であると判定する。
【００６１】
一致したフィルタエントリがフィルタエントリｎ（１０３１２ｎ）である場合の攻撃種別は、フィルタパケット（フィルタエントリｎ）となる。フィルタエントリの条件は、パケット情報２００のＬ２情報２１１、Ｌ３情報２１２、Ｌ４情報２１３、Ｌ７情報２１４の条件によりパケット中継装置１００が管理端末１２１経由で、またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で制御ＣＰＵ１２０がフィルタテーブル１０３１２０に設定する。
【００６２】
以上のように、フィルタパケット判定部１０３１２はフィルタテーブル（検索テーブル）１０３１２０の特徴パターンから攻撃のパケットを特定することができる。
【００６３】
図１２に送信元詐称攻撃判定部１０３１３と受信側パケット処理部１０２の構成の一例を示すブロック図である。送信元詐称攻撃判定部１０３１３は、送信元経路検索要求部１０３１３１と送信元詐称判定部１０３１３２から構成される。受信側パケット処理部１０２は、ＩＰアドレス１に対する出力回線を設定した経路エントリ１（ＩＰ１）１０２０１〜経路エントリｎ（ＩＰアドレスｎ）に対する出力ポートを設定した経路エントリｎ（ＩＰｎ）１０２０ｎを含む経路テーブル１０２０から構成される。
【００６４】
受信側パケット処理部１０２は、パケット情報２００のＬ３情報２１２の宛先ＩＰアドレスに対応する経路エントリ（経路テーブル１０２０）を参照し、この宛先ＩＰアドレスに対する出力ポート１３１の情報を得る。パケット情報２００が送信元詐称攻撃判定部１０３１３に入力されると、送信元経路検索要求部１０３１３１でパケット情報２００の入力ポート情報２０１とＬ３情報２１２の送信元ＩＰアドレスを抽出して、受信側パケット処理部１０２に出力する。
【００６５】
受信側パケット処理部１０２に送信元ＩＰアドレスが入力されると、この送信元ＩＰアドレスに対する経路エントリｎ（ＩＰｎ）を参照し、この送信元ＩＰアドレスに対する出力ポート１３１の情報を得る。パケット情報２００の入力ポート情報２０１と、送信元ＩＰアドレスで経路テーブル１０２０を参照して得られた出力ポート情報２０２を送信元詐称攻撃判定部１０３１３に入力し、送信元詐称判定部１０３１３２で入力ポート情報２０１と出力ポート情報２０２の一致比較をし、一致していない場合はパケット情報２００の攻撃種別は送信元詐称攻撃（送信元ＩＰアドレス値）と判定する。
【００６６】
以上のように、送信元詐称攻撃判定部１０３１３は送信元ＩＰアドレスの特徴パターンから送信元詐称攻撃のパケットを特定することができる。
【００６７】
図１３は、フラッド攻撃判定部１０３１４の構成の一例を示すブロック図である。フラッド攻撃判定部１０３１４では、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で定義したフロー毎にフラッド攻撃発生と判定する監視帯域（または閾値）を設定し、フロー毎の帯域が監視帯域を超過したパケット情報２００の攻撃種別をフラッド攻撃と判定する。
【００６８】
フラッド攻撃判定部１０３１４は、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で定義したフロー毎の条件を設定するフローエントリ１（１０３１４０１）〜フローエントリｎ（１０３１４０ｎ）から構成されるフローテーブル１０３１４０と、各フローエントリに対応する監視帯域と各フローの帯域が監視帯域を超過するか否かを判定するための情報を含む帯域エントリ１（１０３１４１１）〜帯域エントリｎ（１０３１４１ｎ）から構成される帯域テーブル１０３１４１と、帯域判定部１０３１４２から構成される。
【００６９】
フラッド攻撃判定部１０３１４は、パケット情報２００が入力されると、パケット情報２００のうちフローエントリ（フローテーブル１０３１４０）との一致比較の判定に必要な条件がフローエントリ１（１０３１４０１）〜フローエントリｎ（１０３１４０ｎ）の条件に一致するか逐次比較し、フローエントリｎと一致した場合は当該パケット情報２００はフローエントリｎに属し、フローエントリｎに対応する帯域エントリｎ（１０３１４１ｎ）を参照する。
【００７０】
帯域エントリｎ（１０３１４１ｎ）から監視帯域と各フローの帯域が監視帯域を超過するか否かを判定するための情報を読み出すと、帯域判定部１０３１４２でパケット情報２００が監視帯域を超過するか否かを判定する。監視帯域を超過する場合は、パケット情報２００の攻撃種別はフラッド攻撃（フローｎ）と判定する。
【００７１】
監視帯域として、軽度監視帯域と重度監視帯域を設ける場合は、重度監視帯域の値を軽度監視帯域の値より大きいものとし、軽度監視帯域を超過し、かつ重度監視帯域を超過しない場合はパケット情報２００の攻撃種別は軽度フラッド攻撃（フローｎ）と判定し、重度監視帯域を超過する場合はパケット情報２００の攻撃種別は重度フラッド攻撃（フローｎ）と判定する。
【００７２】
以上のように、フラッド攻撃判定部１０３１４は、フローの特徴量からフラッド攻撃のパケットを特定することができる。
【００７３】
図１４は攻撃予兆判定部１０３１５の構成の一例を示すブロック図である。攻撃予兆判定部１０３１５は、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で定義したフロー毎の条件を設定するフローエントリ１（１０３１５０１）〜フローエントリｎ（１０３１５０ｎ）から構成されるフローテーブル１０３１５０と、各フローエントリに対応するパケット数、Ｂｙｔｅ数等の統計値を採取する統計値１と、統計値１に関するアラートを設定するアラート１で構成される統計エントリ１（１０３１５１１）〜統計エントリｎ（１０３１５１ｎ）から構成される統計テーブル１０３１５１と、攻撃予兆判定部１０３１５２から構成される。
【００７４】
制御ＣＰＵ１２０は統計テーブル１０３１５１を周期的に読み出し、読み出したフローの統計値の時間的変動が異常に大きい場合（例えば、読み出したフローのＳＹＮパケットのカウント数が急激に増加している場合、ＳＹＮフラッド攻撃の可能性有り）、または複数の宛先ＩＰアドレスの特定の宛先ポートに関する連続アクセスによるホストスキャンの可能性を示す特徴的な統計値である場合、または特定の宛先ＩＰアドレスの複数の宛先ポートに関する連続アクセスによるポートスキャンの可能性を示す特徴的な統計値である場合、または到達可能なＩＰアドレスのうちホスト未割当の未使用のＩＰアドレス（ダークネット）へのアクセスがある場合（ホストスキャンを含めた攻撃活動、不正行為に起因するアクセスが大半）、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ  Ｐｒｏｔｏｃｏｌ）による異常メッセージを検知した場合（ＩＣＭＰのｈｏｓｔ  ｕｎｒｅａｃｈａｂｌｅ、ｐｏｒｔ  ｕｎｒｅａｃｈａｂｌｅ、ｔｉｍｅ  ｅｘｃｅｅｄｅｄ等のメッセージで、攻撃に起因する可能性のあるアクセス異常、経路異常等を検知）等、攻撃予兆と考えられる特徴的な統計値のパターンまたはアクセスパターンを検知した場合は、読み出したフローのアラートフィールドに警告を示す値を設定する。
【００７５】
攻撃予兆と考えられる事象が一定時間以上検知されなくなった場合は、統計テーブル１０３１５１に警告を設定したフローのアラートフィールドに警告を示さない値を設定しても良い。プロトコル動作の異常性から攻撃を検知する場合は、統計値の時間的変動の判定に用いる時間スケールを、プロトコル動作に特徴的な時間スケールとする。例えば、ＴＣＰの挙動は往復遅延時間ＲＴＴ（Ｒｏｕｎｄ  Ｔｒｉｐ  Ｔｉｍｅ）に依存するので、ＲＴＴ程度の時間オーダーで統計値の時間的変動を判定する。
【００７６】
また、ＤＤｏＳ攻撃を検知する場合は攻撃予兆判定部１０３１５が、統計値の時間的変動の判定に用いる時間スケールを、平均的な攻撃継続時間とする。例えば、平均的な攻撃持続時間が１日程度であれば１日程度の時間オーダーで統計値の時間的変動を判定する。あるいは、平均的な攻撃持続時間が１時間程度であれば、攻撃予兆判定部１０３１５は、１時間程度の時間オーダーで統計値の時間的変動を判定する。
【００７７】
攻撃予兆判定部１０３１５はパケット情報２００が入力されると、パケット情報２００のうちフローエントリとの一致比較の判定に必要な条件がフローエントリ１（１０３１５０１）〜フローエントリｎ（１０３１５０ｎ）の条件に一致するか逐次比較し、フローエントリｎと一致した場合は当該パケット情報２００はフローエントリｎに属し、フローエントリｎに対応する統計エントリｎ（１０３１５１ｎ）を参照する。
【００７８】
攻撃予兆判定部１０３１５は参照する統計値の種別に応じてパケット情報２００のパケット数またはＢｙｔｅ数を統計値ｎに加算する。参照した統計エントリｎ（１０３１５１ｎ）のアラートフィールドが警告を示す値である場合には、攻撃予兆判定部１０３１５２でパケット情報２００の攻撃種別は攻撃予兆（フローｎ）と判定する。
【００７９】
以上のように、攻撃予兆判定部１０３１５は、統計情報やフローの特徴量または特徴パターンから攻撃予兆のパケットまたは可能性のあるパケットを特定することができる。
【００８０】
図１５は、受信側セキュリティ判定部１０３の攻撃影響度判定部１０３２の構成の一例を示すブロック図である。攻撃影響度判定部１０３２は、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で定義した攻撃種別毎の攻撃影響度を設定する攻撃影響度エントリ１（１０３２１１）〜攻撃影響度エントリｎ（１０３２１ｎ）から構成される攻撃影響度テーブル１０３２１から構成される。
【００８１】
攻撃影響度とは、攻撃による被害の影響度の軽重のレベルを表す指標であり、攻撃予兆は実際の攻撃に至っていないので攻撃影響度は軽い、フラッド攻撃の中でも監視帯域の大きいフローの方が監視帯域の小さいフローよりも攻撃影響度は重い等、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で定義したポリシーに基づいて攻撃種別毎の攻撃影響度を管理端末１２１から設定することができる。
【００８２】
攻撃種別判定部１０３１で判定された攻撃種別情報２２１が攻撃影響度判定部１０３２に入力されると、攻撃種別情報２２１に対応した攻撃影響度テーブル１０３２１の攻撃影響度エントリ１（１０３２１１）〜攻撃影響度エントリｎ（１０３２１ｎ）を参照する。攻撃影響度エントリ１（１０３２１１）には攻撃種別情報２２１に対応した攻撃影響度が予め設定されており、攻撃影響度の判定結果をパケット情報２５０の攻撃影響度情報２２２として出力する。
【００８３】
図１６は、受信側セキュリティ判定部１０３の攻撃確度判定部１０３３の構成の一例を示すブロック図である。攻撃確度判定部１０３３は、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で定義した攻撃種別毎の攻撃確度を設定する攻撃確度エントリ１（１０３３１１）〜攻撃確度エントリｎ（１０３３１ｎ）から構成される攻撃確度テーブル１０３３１から構成される。
【００８４】
攻撃確度とは、攻撃可能性に関する確からしさの高低のレベルを表す指標であり、攻撃予兆は実際の攻撃に至っていないので攻撃確度は低い、フラッド攻撃には攻撃の疑いのある通信と、攻撃の疑いのない正常な通信が混在しているのに対し、Ｌｏｇｉｃ攻撃は通常有り得ない異常なパケットヘッダの特徴を持っており確定的な攻撃と考えられるのでＬｏｇｉｃ攻撃の方が攻撃確度は高い。また、フラッド攻撃の中でも監視帯域の大きいフローの方が監視帯域の小さいフローよりも攻撃確度は高い等、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で定義したポリシーに基づいて攻撃種別毎の攻撃確度を管理端末１２１から設定することができる。
【００８５】
攻撃種別判定部１０３１で判定された攻撃種別情報２２１が攻撃確度判定部１０３３に入力されると、攻撃種別情報２２１に対応した攻撃確度テーブル１０３３１の攻撃確度エントリ１（１０３３１１）〜攻撃確度エントリｎ（１０３３１ｎ）を参照する。攻撃確度エントリ１〜ｎには攻撃種別情報２２１に対応した攻撃確度が設定されており、攻撃確度の判定結果をパケット情報２５０の攻撃確度情報２２３として出力する。
【００８６】
攻撃経路情報２２４とは、入力ポート情報２０１と出力ポート情報２０２により構成される攻撃経路を特定するための情報であり、受信側セキュリティ判定部１０３において、パケット情報２００のうち入力ポート情報２０１と出力ポート情報２０２をパケット情報２５０の攻撃経路情報２２４として出力する。
【００８７】
以上の受信側セキュリティ判定部１０３の判定処理が完了すると、攻撃種別情報２２１と、攻撃影響度情報２２２と、攻撃確度情報２２３と、攻撃経路情報２２４を含むパケット情報２５０（図５参照）が受信側ミラー処理部１０４に入力される。
【００８８】
受信側ミラー処理部１０４の構成図は図６で説明した通りである。
【００８９】
図１７は受信側ミラー処理部１０４のミラーポート判定部１０４１の構成の一例を示すブロック図である。ミラーポート判定部１０４１は、パケット情報２５０の攻撃種別情報２２１と攻撃影響度情報２２２と攻撃確度情報２２３と攻撃経路情報２２４の組み合わせ毎にミラーする、または、しないを設定するミラーイネーブルと、ミラーポート１３２と、ミラー優先度を設定するミラーエントリ１（１０４１１１）〜ミラーエントリｎ（１０４１１ｎ）から構成されるミラーテーブル１０４１１を含む。なお、ミラーイネーブルは、イネーブルがミラーパケットの生成を示し、ディスエーブルがミラーパケットを生成しないことを示す。
【００９０】
ミラーポート判定部１０４１にパケット情報２５０が入力されると、パケット情報２５０の攻撃種別情報２２１と攻撃影響度情報２２２と攻撃確度情報２２３と攻撃経路情報２２４に対応するミラーエントリ１（１０４１１１）〜ミラーエントリｎ（１０４１１ｎ）を参照し、当該パケット情報２５０に対するミラーイネーブル、ミラーポート、ミラー優先度を読み出して、ミラーポート判定部１０４１〜受信ミラーパケット生成部１０４３におけるパケット情報２８０（図２１参照）のミラーフラグ２３１にミラーイネーブルが書き込まれる。
【００９１】
図２１において、ミラーフラグ２３１がミラー可（イネーブル）を示す値である場合は、ミラーポート情報２３２にミラーポート１３２を設定し、ミラー優先度情報２３３にミラー優先度を設定し、攻撃情報付加フラグ２３４は後述の攻撃情報付加判定部１０４２で設定される値であり、その他のフィールドはパケット情報２５０の値を書き込む。
【００９２】
ミラーフラグ２３１がミラー否（ディスエーブル）を示す値である場合は、ミラーポート情報２３２とミラー優先度情報２３３は参照されない値であり、攻撃情報付加フラグは攻撃情報を付加しないことを示す値とし、その他のフィールドはパケット情報２５０の値を書き込む。
【００９３】
ミラーテーブル１０４１１の設定に関し、例えばアナライザ３００毎の性能に応じて負荷を抑制するため、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で解析の重要度が高いと判断する攻撃種別のパケットだけをミラーする設定とする、あるいは、攻撃影響度の高いパケットをミラーする設定とする、あるいは、攻撃確度の高いパケットだけをミラーする設定とする、あるいは性能の高いアナライザ３００を接続したミラーポート１３２を設定したミラーエントリは全てミラーする設定とする運用が考えられる。
【００９４】
また、ＤＤｏＳ攻撃に用いられるフラッド攻撃に対してはＤＤｏＳ攻撃対策装置（図示省略）を接続したミラーポート１３２を設定し、その他の攻撃に対しては別のミラーポート１３２を設定することで、攻撃種別に応じた最適なアナライザ３００にパケットをミラーする構成とする運用が考えられる。
【００９５】
図１８は攻撃情報付加判定部１０４２の構成の一例を示すブロック図である。攻撃情報付加判定部１０４２は、ミラーポート判定部１０４１で判定したミラーポート毎に攻撃種別情報２２１と攻撃影響度情報２２２と攻撃確度情報２２３と、攻撃経路情報２２４をミラーパケットに付加するか否かを設定する攻撃情報付加フラグ１（１０４２１１）〜攻撃情報付加フラグｎ（１０４２１ｎ）から構成される攻撃情報付加テーブル１０４２１を含む。
【００９６】
ミラーポート判定部１０４１で判定したミラーポート情報が攻撃情報付加判定部１０４２に入力されると、パケット情報２８０のミラーフラグ２３１がミラー可を示す値である場合は、ミラーポート１３２に対応した攻撃情報付加テーブル１０４２１の攻撃情報付加フラグ１（１０４２１１）〜攻撃情報付加フラグｎ（１０４２１ｎ）を読み出し、パケット情報２８０の攻撃情報付加フラグ２３４に読み出した攻撃情報付加フラグの内容を書き込む。
【００９７】
パケット情報２８０のミラーフラグ２３１がミラー否を示す値である場合は、攻撃情報付加テーブル１０４２１を読み出す処理はせず、パケット情報２８０の攻撃情報付加フラグ２３４は攻撃情報を付加しないことを示す値のままとする。
【００９８】
図１９は、受信ミラーパケット生成部１０４３の構成の一例を示すブロック図である。受信ミラーパケット生成部１０４３は、ミラーポート判定部１０４１で判定したミラーフラグ２３１に基づいてミラーパケットの生成を指示するミラー判定部１０４３１と、ミラー判定部１０４３１の指示に基づいてミラーパケットを生成するミラーパケット生成部１０４３２から構成される。
【００９９】
受信ミラーパケット生成部１０４３にパケット情報２８０が入力されると、パケット情報２８０のミラーフラグ２３１に基づいてミラー判定部１０４３１でミラーイネーブル、つまりパケットを生成するか否かを判定する。ミラーフラグ２３１がミラー可を指示する値である場合は、ミラーパケット生成部１０４３２でパケット情報２６０（図７参照）をコピーし、コピーしたパケット情報２８０のうち出力ポート情報２０２と優先度情報２０３を削除したパケット情報２６０をミラーパケットとしてパケット中継処理部１０５に出力する。
【０１００】
ミラーパケットのコピー元であるオリジナルの受信パケットに対しては、上述のミラーパケットのパケット情報２６０とは独立して、パケット情報２８０（図２１参照）のミラーフラグ２３１を「無効」を示す値とし、ミラーポート情報２３２と、ミラー優先度情報２３３と、攻撃情報付加フラグ２３４と、攻撃種別情報２２１と、攻撃影響度情報２２２と、攻撃確度情報２２３と、攻撃経路情報２２４を削除したパケット情報２７０をパケット中継処理部１０５に出力する。
【０１０１】
ミラーポート判定部１０４１でミラーパケットを生成しないと判定した場合は受信ミラーパケットを生成せず、パケット情報２８０のミラーフラグ２３１を「無効」を示す値とし、ミラーポート情報２３２と、ミラー優先度情報２３３と、攻撃情報付加フラグ２３４と、攻撃種別情報２２１と、攻撃影響度情報２２２と、攻撃確度情報２２３と、攻撃経路情報２２４を削除したパケット情報２７０をパケット中継処理部１０５に出力する。
【０１０２】
パケット中継処理部１０５から送信側パケット処理部１０６に入力したパケット情報２６０またはパケット情報２７０は、先述の通り送信側セキュリティ判定部１０７と、送信側ミラー処理部１０８での処理と判定を行い、パケット送信部１０９に入力される。
【０１０３】
パケット送信部１０９に入力されたパケット情報２６０またはパケット情報２７０は、ミラーパケット判定部１０９１でミラーフラグ２３１の判定を行い、ミラーフラグ２３１がミラー可を示す値である場合は、ミラーパケットのパケット情報２６０であると判定し、パケット情報２６０をミラーポリシング部１０９２に出力してミラーパケットの帯域を制限する。
【０１０４】
次にパケット送信部１０９では、パケット情報２６０をミラーシェーピング部１０９３に入力して、ミラーパケットの帯域を制限すると共に平滑化する。次に、パケット情報２６０をミラーサンプリング部１０９４に入力して、指定のサンプルレートに従う比率のミラーパケットを転送し、残りを廃棄する。ミラーフラグ２３１がミラー否を示す値である場合は、ミラーパケットではないパケット情報２７０であると判定し、パケット情報２７０をシェーピング部１０９５に出力する。
【０１０５】
図２２はミラーポリシング部１０９２の構成の一例を示すブロック図である。ミラーポリシング部１０９２は、ミラーポート１３２毎の制限帯域を設定した帯域エントリ１（１０９２１１）〜帯域エントリｎ（１０９２１ｎ）から構成される帯域テーブル１０９２１と、帯域判定部１０９２２から構成される。
【０１０６】
帯域テーブル１０９２１のミラーポート１３２毎の制限帯域は、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で制御ＣＰＵ１２０が設定する。
【０１０７】
ミラーポリシング部１０９２は、パケット情報２６０が入力されると、パケット情報２６０のミラーポート情報２３２に対応する帯域エントリ１（１０９２１１）〜帯域エントリｎ（１０９２１ｎ）を参照する。ミラーポリシング部１０９２は、帯域エントリ１（１０９２１１）〜帯域エントリｎ（１０９２１ｎ）の中から監視帯域と各ミラーポート１３２の帯域が監視帯域を超過するか否かを判定するための情報を読み出すと、帯域判定部１０９２２でパケット情報２６０が監視帯域を超過するか否かを判定する。
【０１０８】
監視帯域は、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で制御ＣＰＵ１２０が設定する。監視帯域を超過する場合、ミラーポリシング部１０９２はパケット情報２６０を転送せずに廃棄する。監視帯域を超過しない場合、ミラーポリシング部１０９２はパケット情報２６０をミラーシェーピング部１０９３に入力する。
【０１０９】
図２３はミラーシェーピング部１０９３の構成の一例を示すブロック図である。ミラーシェーピング部１０９３は、いずれのキューにパケット情報２６０を蓄積するか判定するキュー蓄積判定部１０９３１と、ミラーポート１３２毎に４キューを備えるキュー１０９３２と、ミラーポート１３２毎の出力帯域を設定した帯域エントリ１（１０９３３１）〜帯域エントリｎ（１０９３３ｎ）から構成される帯域テーブル１０９３３と、出力するタイミングを判定する出力判定部１０９３４から構成される。
【０１１０】
帯域テーブル１０９３３のミラーポート１３２毎の出力帯域は、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で制御ＣＰＵ１２０が設定する。
【０１１１】
ミラーシェーピング部１０９３にパケット情報２６０が入力されると、パケット情報２６０のうちミラーポート情報２３２とミラー優先度情報２３３に対応するキューをキュー蓄積判定部１０９３１で判定し、キュー蓄積判定部１０９３１は判定したキューにパケット情報２６０を蓄積する。例えばミラーポート情報がミラーポート１（１３２−１）であり、ミラー優先度情報がキュー２である場合、キュー２（ミラーポート１）１０９３２１２のキューにパケット情報２６０を蓄積する。
【０１１２】
一方、パケット情報２６０のミラーシェーピング部１０９３への入力タイミングとは独立して、出力判定部１０９３４はミラーポート１３２毎の出力帯域を設定した帯域テーブル１０９３３を参照してミラーポート１３２毎の出力帯域を判定し、シェーピング後のミラーパケットの帯域がバーストせずに平滑なトラフィックとなるように、ミラーポート１３２毎の出力帯域から次にパケット情報２６０を出力すべきミラーポート１３２と出力するタイミングを判定する。
【０１１３】
出力判定部１０９３４は、出力すべきタイミングで、出力すべきミラーポート１３２の複数のキュー１０９３２にパケットが蓄積されている場合は、キュー（ｊ）の（ｊ）の値が小さいキューからパケット情報２６０を出力する。これにより、ミラー優先度情報２３３に基づいたミラーパケットの送信に関する優先制御を実現する。
【０１１４】
図２４はミラーサンプリング部１０９４の構成の一例を示すブロック図である。ミラーサンプリング部１０９４は、攻撃種別情報２２１と、攻撃影響度情報２２２と、攻撃確度情報２２３と、攻撃経路情報２２４毎のサンプルレートを設定したサンプルレートエントリ１（１０９４１１）〜サンプルレートエントリｎ（１０９４１ｎ）から構成されるサンプルレートテーブル１０９４１と、サンプリングした結果のパケット情報２６０を出力するか否か判定するサンプリング判定部１０９４２から構成される。
【０１１５】
サンプルレートテーブル１０９４１の攻撃種別情報２２１と、攻撃影響度情報２２２と、攻撃確度情報２２３と、攻撃経路情報２２４毎のサンプルレートは、パケット中継装置１００の管理者またはアナライザ３００から送信されたパケット中継装置１００宛の設定指示に関するパケットの指示で制御ＣＰＵ１２０が設定する。
【０１１６】
例えば、フラッド攻撃の負荷が高くなった場合は、サンプルレートを低くしないとアナライザ３００に対する負荷も高くなってしまう。そこで、パケット送信部１０９はアナライザ３００が受信するミラーパケットの負荷に応じて、アナライザ３００からパケット中継装置１００のサンプルレートを調整する指示パケットを発行する運用が考えられる。
【０１１７】
または、パケット中継装置１００の統計機能（図示省略）を用いて制御ＣＰＵ１２０でフラッド攻撃の負荷を監視して、パケット中継装置１００で自律的に負荷に応じたサンプルレートに調整する運用が考えられる。サンプルレートの決定方法としては例えば、フラッド攻撃と判定する帯域を基準として、負荷がこの基準に対し２＾ｎとなる閾値を上回る毎にサンプルレートの値を変更前の（１／２）＾ｎ倍に変更すれば、アナライザ３００に対する負荷がフラッド攻撃発生時の２倍未満に抑えることができる。
【０１１８】
逆に、負荷が減少した場合はサンプルレートを高くすることによってアナライザ３００に対する負荷が過大とならない範囲で監視対象とするパケット量を保つことができる。例えば、フラッド攻撃と判定する帯域を基準として、負荷がこの基準に対し２＾ｎとなる閾値を下回る毎にサンプルレートの値を変更前の２＾ｎ倍に変更すれば、アナライザ３００の分析対象とするミラーパケットの量を、アナライザ３００に対する負荷がフラッド攻撃発生時以上に保つことができる。
【０１１９】
ミラーサンプリング部１０９４は、パケット情報２６０が入力されると、パケット情報２６０の攻撃種別情報２２１と、攻撃影響度情報２２２と、攻撃確度情報２２３と、攻撃経路情報２２４に対応するサンプルレートエントリ１（１０９４１１）〜サンプルレートエントリｎ（１０９４１ｎ）を参照し、パケット情報２６０に対するサンプルレートをサンプリング判定部１０９４２に出力する。
【０１２０】
サンプリング判定部１０９４２は、サンプルレートエントリ毎のサンプルカウンタ１（１０９４２１）〜サンプルカウンタｎ（１０９４２ｎ）から構成されるサンプルカウンタテーブル１０９４２１を含む。
【０１２１】
パケット情報２６０に対応するサンプルレートとパケット情報２６０がサンプリング判定部１０９４２に入力されると、サンプリング判定部１０９４２はサンプルカウンタに１を加算して、対応するサンプルカウンタを参照して、パケット情報２６０を出力するか否かを判定する。例えばサンプルレートが１／４である場合は、サンプルカウンタが３になるとパケット情報２６０を出力してサンプルカウンタを０にラップし、サンプルカウンタが３以外の値となる場合はパケット情報２６０を出力しない判定とすれば、サンプルレートでパケット情報２６０を出力するサンプリングの制御を実現できる。
【０１２２】
以上の処理により、アナライザ３００に対する負荷が過大になるのを防ぎ、また、負荷の低下が過大になるのを防いでアナライザ３００に対する負荷を適正に保つことができる。
【０１２３】
上述のように、実施例１のパケット中継装置１００は、受信パケットまたは送信パケットのうち攻撃または攻撃予兆の可能性があると判定したパケットだけをミラーポート１３２へ出力することが可能となる。これにより、ミラーポート１３２に接続されたアナライザ３００の負荷を軽減することができる。さらに、ミラーポート１３２から出力されるミラーパケットには攻撃または攻撃予兆に関する情報が含まれるので、アナライザ３００で当該情報を判定する必要がなくなって、アナライザの負荷をさらに軽減することができる。
【０１２４】
なお、本実施例において、攻撃または攻撃予兆の可能性があると判定されたパケットは、脅威または脅威の可能性を含むパケットであり、攻撃を行うパケットと、攻撃の可能性のあるパケットと、攻撃予兆があるパケットと、攻撃予兆の可能性のあるパケットのいずれかを含む。
【０１２５】
パケット中継装置１００は、同一のパケットを複数個コピーしたミラーパケットを、各々異なるミラーポート１３２から送信することにより、複数のアナライザ３００で分析対象とするパケットの攻撃種別等の条件を限定することで各アナライザ３００の負荷を軽減することができる。
【０１２６】
また、パケット中継装置１００は、複数のミラーポート１３２を有し、パケット送信部１０９はミラーパケットの攻撃種別毎にラウンドロビンやハッシュ方式で各ミラーポート１３２へ出力することで、複数のアナライザ３００で攻撃または攻撃予兆の分析を分担することが可能となる。
【０１２７】
また、パケット中継装置１００は、複数のミラーポート１３２を有し、ミラーパケットの攻撃種別毎に予め設定されたミラーポート１３２−１〜１３２−ｎへ出力することで、攻撃種別毎に指定されたアナライザ３００で攻撃または攻撃予兆の分析を分担することが可能となって、分析の精度を向上させることができる。
【０１２８】
また、パケット中継装置１００は、ミラーパケットをコピーする比率を攻撃種別毎に調整することにより、アナライザに対する負荷を調整して軽減することができる。
【０１２９】
また、パケット中継装置１００は、ミラーパケットに対しパケット中継装置で判定した攻撃種別毎にシェーピングまたはポリシングを実施して、ミラーポートから送信することにより、アナライザの負荷を調整して軽減することができる。
【０１３０】
また、パケット中継装置１００は、ミラーパケットに対しシェーピングまたはポリシングを実施する際の優先度を、攻撃種別、攻撃予兆種別、攻撃または攻撃予兆の影響度、攻撃または攻撃予兆の確からしさのいずれかの判定結果に基づいて判定することで、パケットを優先的にミラーすることが可能となる。
【０１３１】
＜変形例＞
図２５は、攻撃情報付加判定部１０４２の変形例を示し、攻撃情報をＩＥＥＥ８０２．１Ｑで規定されているＶＬＡＮ−Ｔａｇにより付加する例を示す。
【０１３２】
攻撃情報をＩＥＥＥ８０２．１Ｑで規定されているＶＬＡＮ−Ｔａｇにより付加する場合は、図２５に示す通り、攻撃情報付加判定部１０４２に攻撃情報付加ＶＬＡＮ−Ｔａｇテーブル１０４２２を追加する。
【０１３３】
攻撃情報付加ＶＬＡＮ−Ｔａｇテーブル１０４２２は、攻撃種別情報２２１と攻撃影響度情報２２２と攻撃確度情報２２３と攻撃経路情報２２４の組み合わせ毎に対応する識別子としてＶＬＡＮ  ＩＤまたはＵｓｅｒ  Ｐｒｉｏｒｉｔｙ、またはその両方を設定した攻撃情報付加ＶＬＡＮ−Ｔａｇエントリ１（１０４２２１）〜攻撃情報付加ＶＬＡＮ−Ｔａｇエントリｎ（１０４２２ｎ）から構成される。
【０１３４】
ミラーポート判定部１０４１で判定したミラーポート情報が攻撃情報付加判定部１０４２に入力されると、パケット情報２８０のミラーフラグ２３１がミラー可を示す値である場合は、攻撃情報付加判定部１０４２がミラーポート１３２に対応した攻撃情報付加テーブル１０４２１の攻撃情報付加フラグ１〜攻撃情報付加フラグｎを読み出し、パケット情報２８０の攻撃情報付加フラグ２３４に攻撃情報付加フラグ１を書き込む。
【０１３５】
更に、攻撃情報付加判定部１０４２は、パケット情報２８０の攻撃種別情報２２１と攻撃影響度情報２２２と攻撃確度情報２２３と攻撃経路情報２２４に基づいて攻撃情報付加ＶＬＡＮ−Ｔａｇテーブル１０４２２を参照し、攻撃種別情報２２１と攻撃影響度情報２２２と攻撃確度情報２２３と攻撃経路情報２２４の組み合わせに対応する識別子としてＶＬＡＮ  ＩＤまたはＵｓｅｒ  Ｐｒｉｏｒｉｔｙ、またはその両方を読み出す。
【０１３６】
そして、攻撃情報付加判定部１０４２はパケット情報２８０のＬ２情報２１１に対し、読み出したＶＬＡＮ  ＩＤまたはＵｓｅｒ  ＰｒｉｏｒｉｔｙをもつＶＬＡＮ−Ｔａｇを付加する。なお、付加するＶＬＡＮ−ＴａｇのＴＰＩＤ（Ｔａｇ  Ｐｒｏｔｏｃｏｌ  ＩＤｅｎｔｉｆｉｅｒ）は、当該ミラーポート１３２に接続されたアナライザ３００が、付加するＶＬＡＮ−Ｔａｇが本発明のパケット中継装置１００で付加された攻撃情報であると解釈可能な値としてアナライザ３００に設定したＴＰＩＤと同一のＴＰＩＤとする。
【０１３７】
ＶＬＡＮ−Ｔａｇのフォーマットは、図２６に示す。パケット情報２８０のミラーフラグ２３１がミラー否を示す値である場合は、攻撃情報付加テーブル１０４２１を読み出す処理はせず、パケット情報２８０の攻撃情報付加フラグ２３４は攻撃情報を付加しないことを示す値のままとする。また、付加する攻撃情報が多くて１段のＶＬＡＮ−Ｔａｇの付加では情報不足となる場合には、２段以上のＶＬＡＮ−Ｔａｇを付加する構成とすることもできる。
【０１３８】
以上のように、パケット中継装置１００では、ＶＬＡＮ  Ｔａｇに攻撃情報を付加する構成が可能となり、ミラーパケットのＶＬＡＮ  Ｔａｇで攻撃情報をアナライザ３００へ通知することが可能となる。
【実施例２】
【０１３９】
図２７は、本発明の実施例２を示し、パケット中継装置の他の例としてネットワークタップの一例を示すブロック図である。実施例２のネットワークタップ１１０は、パケットのルーティングやスイッチングは行わず、パケット中継装置と計算機の間等に設置されて、攻撃または攻撃予兆の可能性のあるパケットを検出してミラーポート１３２Ｕ−１〜１３２Ｕ−ｎに出力する装置である。なお、入力されたパケットは入力ポートから出力ポートへそのまま転送される。
【０１４０】
ネットワークタップ１１０は、上り方向のパケットを処理する上りユニット１１１Ｕと下り方向のパケットを処理する下りユニット１１１Ｄとを有する。上りユニット１１１Ｕと下りユニット１１１Ｄは、同様の構成であるので、以下では上りユニット１１１Ｕについて説明し、下りユニット１１１Ｄの説明を省略する。
【０１４１】
ネットワークタップ１１０の上りユニット１１１Ｕは、入力ポート１３０Ｕと出力ポート１３１Ｕと複数のミラーポート１３２Ｕ−１〜１３２Ｕ−ｎを有し、上りユニット１１１Ｕは入力ポート１３０Ｕで受信したパケットを出力ポート１３１Ｕから出力し、前記実施例１のパケット中継装置１００と同様に、攻撃または攻撃予兆の可能性のあるパケットの複製をミラーポート１３２Ｕ−１〜１３２Ｕ−ｎから出力する。なお、ミラーポート１３２Ｕから出力されるミラーパケットは、前記実施例１と同様に攻撃または攻撃予兆に関する情報が付加される。
【０１４２】
上りユニット１１１Ｕは、前記実施例１に示したパケット中継装置１００の受信側と同様であり、受信側ミラー処理部１０４の後段にパケット送信部１０９が配置される点が前記実施例１との相違点である。
【０１４３】
入力ポート１３０Ｕからのパケットを受け付けるパケット受信部１０１と、受信側パケット処理部１０２と、受信側セキュリティ判定部１０３と、受信側ミラー処理部１０４は前記実施例１と同様である。ただし、受信側セキュリティ判定部１０３の攻撃種別判定部１０３１には、送信元詐称攻撃判定部１０３１３を削除した点が前記実施例１と相違する。
【０１４４】
本実施例２のネットワークタップ１１０も、前記実施例１と同様に機能し、受信パケットまたは送信パケットのうち攻撃または攻撃予兆の可能性があると判定したパケットだけをミラーポート１３２Ｕへ出力することが可能となる。これにより、ミラーポート１３２Ｕに接続されたアナライザ３００の負荷を軽減することができる。さらに、ミラーポート１３２Ｕから出力されるミラーパケットには攻撃または攻撃予兆に関する情報が含まれるので、アナライザ３００で当該情報を判定する必要がなくなって、アナライザの負荷をさらに軽減することができる。
【０１４５】
＜まとめ＞
上述のパケット中継装置１００は、以下のような適用例として利用することができる。
【０１４６】
［適用例１］
パケット中継装置は、受信パケットまたは送信パケットをコピーしたミラーパケットをミラーポートから送信するミラーを実施するパケット中継装置であって、受信パケットまたは送信パケットのうち攻撃または攻撃予兆の可能性があると判定したパケットだけをミラーすることを特徴とする。
【０１４７】
適用例１のパケット中継装置によれば、パケット中継装置で攻撃または攻撃予兆の可能性があると判定したパケットだけをアナライザにミラーすることができるので、アナライザに対する負荷を軽減することができる。
【０１４８】
［適用例２］
適用例２のパケット中継装置は、適用例１に記載のパケット中継装置であって、パケット中継装置で判定した攻撃または攻撃予兆に関する情報をミラーパケットに付加してミラーすることを特徴とする。
【０１４９】
適用例２のパケット中継装置によれば、アナライザが受信するミラーパケットにはパケット中継装置で判定した攻撃または攻撃予兆に関する情報が含まれるので、アナライザで当該情報を判定する必要がなくなり、アナライザに対する負荷を軽減することができる。
【０１５０】
［適用例３］
適用例３のパケット中継装置は、適用例２に記載のパケット中継装置であって、パケット中継装置で判定した攻撃種別または攻撃予兆種別の情報をミラーパケットに付加してミラーすることを特徴とする。
【０１５１】
適用例３のパケット中継装置によれば、アナライザが受信するミラーパケットにはパケット中継装置で判定した攻撃種別または攻撃予兆種別に関する情報が含まれるので、アナライザで当該情報を判定する必要がなくなり、アナライザに対する負荷を軽減することができる。
【０１５２】
［適用例４］
適用例４のパケット中継装置は、適用例２に記載のパケット中継装置であって、
パケット中継装置で判定した攻撃または攻撃予兆の影響度を示す情報をミラーパケットに付加してミラーすることを特徴とする。
【０１５３】
適用例４のパケット中継装置によれば、アナライザが受信するミラーパケットにはパケット中継装置で判定した攻撃または攻撃予兆の影響度を示す情報が含まれるので、アナライザで当該情報を判定する必要がなくなり、アナライザに対する負荷を軽減することができる。
【０１５４】
［適用例５］
適用例５のパケット中継装置は、適用例２に記載のパケット中継装置であって、
パケット中継装置で判定した攻撃または攻撃予兆の確からしさを示す情報をミラーパケットに付加してミラーすることを特徴とする。
【０１５５】
適用例５のパケット中継装置によれば、アナライザが受信するミラーパケットにはパケット中継装置で判定した攻撃または攻撃予兆の確からしさを示す情報が含まれるので、アナライザで当該情報を判定する必要がなくなり、アナライザに対する負荷を軽減することができる。
【０１５６】
[適用例６]
適用例６のパケット中継装置は、適用例２に記載のパケット中継装置であって、パケット中継装置で判定した攻撃または攻撃予兆の攻撃経路を示す情報をミラーパケットに付加してミラーすることを特徴とする。
【０１５７】
適用例６のパケット中継装置によれば、アナライザが受信するミラーパケットにはパケット中継装置で判定した攻撃または攻撃予兆の攻撃経路を示す情報が含まれるので、アナライザで当該情報を判定する必要がなくなり、アナライザに対する負荷を軽減することができる。
【０１５８】
［適用例７］
適用例７のパケット中継装置は、適用例１から適用例６のいずれかひとつに記載のパケット中継装置であって、ミラーパケットに対する情報の付加を、ミラーパケットにＶＬＡＮ−Ｔａｇを付加し、付加するＶＬＡＮ−ＴａｇのＶＬＡＮ  ＩＤまたはＵｓｅｒ  Ｐｒｉｏｒｉｔｙによって情報を識別可能とすることを特徴とする。
【０１５９】
適用例７のパケット中継装置によれば、アナライザが受信するミラーパケットに付加されたＶＬＡＮ−ＴａｇのＶＬＡＮ  ＩＤまたはＵｓｅｒ  Ｐｒｉｏｒｉｔｙによって情報を識別できる。
【０１６０】
［適用例８］
適用例８のパケット中継装置は、適用例１から適用例６のいずれかひとつに記載のパケット中継装置であって、パケット情報に基づいて攻撃または攻撃予兆の可能性があるパケットと判定することを特徴とする。
【０１６１】
適用例８のパケット中継装置によれば、パケット中継装置でパケット情報に基づいて攻撃または攻撃予兆の可能性があると判定したパケットだけをアナライザにミラーすることができるので、アナライザに対する負荷を軽減することができる。
【０１６２】
［適用例９］
適用例９のパケット中継装置は、適用例１から適用例６のいずれかひとつに記載のパケット中継装置であって、パケット中継装置が備える検索テーブルの検索結果に基づいて攻撃または攻撃予兆の可能性があるパケットと判定することを特徴とする。
【０１６３】
適用例９のパケット中継装置は、パケット中継装置でパケット中継装置が備える検索テーブルの検索結果に基づいて攻撃または攻撃予兆の可能性があると判定したパケットだけをアナライザにミラーすることができるので、アナライザに対する負荷を軽減することができる。
【０１６４】
［適用例１０］
適用例１０のパケット中継装置は、適用例１から適用例６のいずれかひとつに記載のパケット中継装置であって、複数のパケットのパケット情報の特徴パターンに基づいて攻撃または攻撃予兆の可能性があるパケットと判定することを特徴とする。
【０１６５】
適用例１０のパケット中継装置によれば、パケット中継装置で複数のパケットのパケット情報の特徴パターンに基づいて攻撃または攻撃予兆の可能性があるパケットと判定したパケットだけをアナライザにミラーすることができるので、アナライザに対する負荷を軽減することができる。
【０１６６】
［適用例１１］
適用例１１のパケット中継装置は、適用例１から適用例６のいずれかひとつに記載のパケット中継装置であって、特徴量に基づいて攻撃または攻撃予兆の可能性があるパケットと判定することを特徴とする。
【０１６７】
適用例１１のパケット中継装置によれば、パケット中継装置で特徴量に基づいて攻撃または攻撃予兆の可能性があると判定したパケットだけをアナライザにミラーすることができるので、アナライザに対する負荷を軽減することができる。
【０１６８】
［適用例１２］
適用例１２のパケット中継装置は、適用例１１に記載のパケット中継装置であって、特徴量がパケットのＢｙｔｅ長であることを特徴とする。
【０１６９】
適用例１２のパケット中継装置によれば、パケット中継装置でパケットのＢｙｔｅ長という特徴量に基づいて攻撃または攻撃予兆の可能性があると判定したパケットだけをアナライザにミラーすることができるので、アナライザに対する負荷を軽減することができる。
【０１７０】
［適用例１３］
適用例１３のパケット中継装置は、適用例１１に記載のパケット中継装置であって、特徴量がパケットの帯域であることを特徴とする。
【０１７１】
適用例１３のパケット中継装置によれば、パケット中継装置でパケットの帯域という特徴量に基づいて攻撃または攻撃予兆の可能性があると判定したパケットだけをアナライザにミラーすることができるので、アナライザに対する負荷を軽減することができる。
【０１７２】
［適用例１４］
適用例１４のパケット中継装置は、適用例１１に記載のパケット中継装置であって、特徴量がパケットの統計量であることを特徴とする。
【０１７３】
適用例１４のパケット中継装置によれば、パケット中継装置でパケットの統計量という特徴量に基づいて攻撃または攻撃予兆の可能性があると判定したパケットだけをアナライザにミラーすることができるので、アナライザに対する負荷を軽減することができる。
【０１７４】
［適用例１５］
適用例１５のパケット中継装置は、適用例３に記載のパケット中継装置であって、特徴量の時間的変動に基づいて攻撃または攻撃予兆の可能性があるパケットと判定することを特徴とする。
【０１７５】
適用例１５のパケット中継装置によれば、パケット中継装置で特徴量の時間的変動に基づいて攻撃または攻撃予兆の可能性があると判定したパケットだけをアナライザにミラーすることができるので、アナライザに対する負荷を軽減することができる。
【０１７６】
［適用例１６］
適用例１６のパケット中継装置は、適用例３に記載のパケット中継装置であって、同一パケットを複数個コピーしたミラーパケットを、各々異なるミラーポートから送信することを特徴とする。
【０１７７】
適用例１６のパケット中継装置によれば、複数のミラーポートにアナライザを接続してミラーすることができる。複数のアナライザで攻撃または攻撃予兆の分析を分担できるので、各アナライザで分析対象とするパケット、攻撃種別等の条件を限定することができ、アナライザに対する負荷を軽減することができる。また、ミラーパケットはフロー毎に分類してミラーポート１３２から出力するようにしてもよい。
【０１７８】
［適用例１７］
適用例１７のパケット中継装置は、適用例３に記載のパケット中継装置であって、複数のミラーポートを備え、ミラーパケットを送信するミラーポートを、パケット中継装置で判定した攻撃種別毎にハッシュまたはラウンドロビンのアルゴリズムに基づいて選択することを特徴とする。
【０１７９】
適用例１７のパケット中継装置によれば、複数のミラーポートにアナライザを接続してミラーすることができる。複数のアナライザで攻撃または攻撃予兆の分析を分担できるので、各アナライザで分析対象とするパケット、攻撃種別等の条件を限定することができ、アナライザに対する負荷を軽減することができる。
【０１８０】
適用例１６のパケット中継装置では同一のミラーパケットを全てのミラーポートに送信するのに対し、適用例１７のパケット中継装置ではミラーパケット毎に単一のミラーポートに送信するので、適用例１６のパケット中継装置よりもアナライザに対する負荷を軽減することができる。
【０１８１】
［適用例１８］
適用例１８のパケット中継装置は、適用例３に記載のパケット中継装置であって、受信パケットまたは送信パケットのうちミラーパケットをコピーする比率をパケット中継装置で判定した攻撃種別毎に指定してミラーポートから送信することを特徴とする。
【０１８２】
適用例１８のパケット中継装置によれば、ミラーパケットをコピーする比率をパケット中継装置で判定した攻撃種別毎に調整することにより、アナライザに対する負荷を調整して軽減することができる。
【０１８３】
［適用例１９］
適用例１９のパケット中継装置は、適用例３に記載のパケット中継装置であって、ミラーパケットに対しパケット中継装置で判定した攻撃種別毎にシェーピングまたはポリシングを実施して、ミラーポートから送信することを特徴とする。
【０１８４】
適用例１９のパケット中継装置によれば、ミラーパケットをパケット中継装置で判定した攻撃種別毎にシェーピングまたはポリシングすることにより、アナライザに対する負荷を調整して軽減することができる。特に、ミラーパケットをシェーピングする場合には、パケット中継装置のシェーパが備えるバッファ量が許容する範囲で、ミラーパケットを欠落させずにアナライザに対する負荷を調整して軽減することができる。
【０１８５】
［適用例２０］
適用例２０のパケット中継装置は、適用例１９に記載のパケット中継装置であって、ミラーパケットに対しシェーピングまたはポリシングを実施する際の優先度を、攻撃種別、攻撃予兆種別、攻撃または攻撃予兆の影響度、攻撃または攻撃予兆の確からしさのいずれかの判定結果に基づいて判定することを特徴とする。
【０１８６】
適用例２０のパケット中継装置によれば、ミラーパケットの帯域が過大なためにパケット中継装置のバッファ量が不足してミラーパケットの一部をパケット中継装置で廃棄してしまう場合に、攻撃種別、攻撃予兆種別、攻撃または攻撃予兆の影響度、攻撃または攻撃予兆の確からしさのいずれかの判定結果に基づいて優先と判定するパケットを優先的にミラーすることができる。
【０１８７】
なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に記載したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、又は置換のいずれもが、単独で、又は組み合わせても適用可能である。
【０１８８】
また、上記の各構成、機能、処理部、及び処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、及び機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。
【０１８９】
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【符号の説明】
【０１９０】
１００  パケット中継装置
１０１  パケット受信部
１０２  受信側パケット処理部
１０３  受信側セキュリティ判定部
１０４  受信側ミラー処理部
１０５  パケット中継処理部
１０６  送信側パケット処理部
１０７  送信側セキュリティ判定部
１０８  送信側ミラー処理部
１０９  パケット送信部
１２０  制御ＣＰＵ
１３１  出力ポート
１３２−１〜１３２−ｎ  ミラーポート
３００−１〜３００−ｎ  アナライザ
【図１】
0006599819.tif 000002
【図２】
0006599819.tif 000003
【図３】
0006599819.tif 000004
【図４】
0006599819.tif 000005
【図５】
0006599819.tif 000006
【図６】
0006599819.tif 000007
【図７】
0006599819.tif 000008
【図８】
0006599819.tif 000009
【図９】
0006599819.tif 000010
【図１０】
0006599819.tif 000011
【図１１】
0006599819.tif 000012
【図１２】
0006599819.tif 000013
【図１３】
0006599819.tif 000014
【図１４】
0006599819.tif 000015
【図１５】
0006599819.tif 000016
【図１６】
0006599819.tif 000017
【図１７】
0006599819.tif 000018
【図１８】
0006599819.tif 000019
【図１９】
0006599819.tif 000020
【図２０】
0006599819.tif 000021
【図２１】
0006599819.tif 000022
【図２２】
0006599819.tif 000023
【図２３】
0006599819.tif 000024
【図２４】
0006599819.tif 000025
【図２５】
0006599819.tif 000026
【図２６】
0006599819.tif 000027
【図２７】
0006599819.tif 000028