(57)【要約】【課題】使用する複数のシグネチャのうちの一部のシグネチャにプログラム異常を招来する欠陥もつものが存在しても、不正アクセスの検知処理並びに通信処理を継続して実行することのできる不正アクセス検知装置を提供する。【解決手段】パケット解析部１１２は、プログラムの起動に伴い、カレント・シグネチャ番号記録領域１３にシグネチャ識別番号が記録されているか否かをチェックし、シグネチャ識別番号が記録されているとき、このシグネチャ識別番号をもとに、シグネチャデータベース１２を検索して、このシグネチャ識別番号に該当するシグネチャの実行フラグをオフ（ＯＦＦ）に設定し、以降の検査対象シグネチャから外す。【選択図】    図１
2008134834.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上に送出されたパケットを取り込むパケット入力手段と、
複数のシグネチャと前記各シグネチャの識別番号と前記各シグネチャを検査に使用するか否かを示す実行フラグとをそれぞれ対応付けて記録したシグネチャデータベースと、
前記パケット入力手段が取り込んだパケットを前記シグネチャデータベースに記録されたシグネチャを使用して検査するパケット解析手段と、
前記パケット解析手段が検査を実施中のシグネチャを識別する識別情報を保持する識別情報保持手段とを具備し、
前記パケット解析手段は、前記識別情報保持手段に保持された識別情報を前記検査の実施を終了する毎に消去する処理手段と、前記検査の開始に際して、前記識別情報保持手段に前記識別情報が存在するか否かをチェックし、前記識別情報保持手段に前記識別情報が存在するとき、前記シグネチャデータベースに設けられた、前記識別情報保持手段に保持された識別情報に対応するシグネチャの実行フラグを使用不可に設定する処理手段とを有して、前記シグネチャデータベースに記録された複数のシグネチャのうち、前記実行フラグが使用不可に設定されたシグネチャを除くシグネチャを使用して前記パケット入力手段が取り込んだパケットを検査することを特徴とする不正アクセス検知装置。
【請求項２】
前記識別情報保持手段に保持された前記識別情報の状態変化を一定の周期で定期的に確認し、状態変化がないとき前記パケット解析手段による検査の実施を終了させるタイマー処理手段をさらに具備したことを特徴とする請求項１記載の不正アクセス検知装置。
【請求項３】
前記識別情報保持手段に保持された現在検査を実施中のシグネチャを識別する識別情報を前記タイマー処理手段の定期的な確認周期に同期してコピーし保持するタイマー処理用識別情報保持手段をさらに具備し、
前記タイマー処理手段は、前記識別情報保持手段に保持された識別情報と、前記タイマー処理用識別情報保持手段に保持された識別情報とを比較し、比較した値が一致するとき、前記パケット解析手段による検査の実施を終了させることを特徴とする請求項２記載の不正アクセス検知装置。
【請求項４】
前記識別情報保持手段および前記タイマー処理用識別情報保持手段は、前記パケット解析手段が検査を実施中のシグネチャおよびパケットをそれぞれ識別するためのシグネチャ識別情報およびパケット識別情報を保持し、
前記識別情報保持手段および前記タイマー処理用識別情報保持手段に保持されたシグネチャ識別情報は、前記シグネチャデータベースに記録された複数のシグネチャを一意に識別するための各シグネチャにユニークな値であるシグネチャ識別番号のうち、前記シグネチャデータベースから選択された、実行フラグが使用不可に設定されていないシグネチャ識別番号であることを特徴とする請求項３記載の不正アクセス検知装置。
【請求項５】
前記タイマー処理手段は、前記識別情報保持手段に保持された識別情報と、前記タイマー処理用識別情報保持手段に保持された識別情報とを比較し、比較した値が一致するとき、前記識別情報の一致した回数を計数し記録して、前記回数が設定値に達したとき、前記パケット解析手段による検査の実施を終了させることを特徴とする請求項２または３記載の不正アクセス検知装置。
【請求項６】
前記タイマー処理手段は、前記パケットが流れる前記ネットワーク上のトラフィック量を判定し、判定したトラフィック量に応じて前記設定値を設定する手段をさらに具備したことを特徴とする請求項５記載の不正アクセス検知装置。
【請求項７】
ネットワーク上に流れる不正パケットを検知する不正アクセス検知装置としてコンピュータを機能させるためのプログラムであって、
複数のシグネチャと前記各シグネチャの識別番号と前記各シグネチャを検査に使用するか否かを示す実行フラグとをそれぞれ対応付けたシグネチャデータベースを管理する機能と、
ネットワーク上のパッケージを取り込み、取り込んだパケットを前記シグネチャデータベースに記録された、前記実行フラグが使用不可となっていないシグネチャを使用して検査する機能と、
前記検査を実施中のシグネチャを識別する識別情報を所定の記憶領域に保持する機能と、
前記記憶領域に保持した識別情報を前記検査の実施を終了する毎に消去する機能と、
前記記憶領域に保持した前記識別情報の状態変化を一定の周期で定期的に確認し、状態変化がないとき前記検査の実施を終了させる機能と、
前記検査の開始に際して、前記記憶領域に前記識別情報が存在するか否かをチェックし、識別情報が存在するとき、前記シグネチャデータベースに設けられた、前記記憶領域に保持された識別情報に対応するシグネチャの実行フラグを使用不可に設定する機能と
をコンピュータに実現させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上に流れる不正パケットを検知する不正アクセス検知装置およびプログラムに関する。
【背景技術】
【０００２】
ネットワーク上を流れるパケット（パケットが運ぶデータ）を解析して不正なパケットを検知する不正アクセス検知機構として、ＩＤＳ（intrusion detection system；侵入検知システム）、ＩＤＰ（intrusion detection and prevention；侵入防御システム）等が適用されている。ＩＤＳはネットワーク上を流れるパケットから不正パケットを検知する不正アクセス検知機能をもつ。ＩＤＰは所謂インライン型のＩＤＳであって、機器内を通過するパケットをチェックするとともに、不正パケットの侵入を防いで不正アクセスによる攻撃を遮断する不正アクセス検知機能をもつ。
【０００３】
ＩＤＳ，ＩＤＰは、ともに、ネットワーク上を流れるパケットを取り込む毎に、既知の不正アクセスのパターンを記したシグネチャと、トラフィック（パケット、及び複数のパケットから構成されるストリーム）とを突き合わせて不正アクセスを検出する。このシグネチャは、不正アクセスのパターン毎に用意され、複数存在する。この各シグネチャをひとつのトラフィックに対し順次適用して一致するものがあるか否か検査する。
【特許文献１】特開２００３−３４８１６９０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記した従来の不正アクセス検知技術では、使用する複数のシグネチャの中のあるシグネチャに不備があった場合、そのシグネチャでの検査中にプログラム異常でプログラムが終了したり、処理時間が異常に長くなったり、無限ループ状態に陥るという不具合が起こり得る。処理時間が増大すると、次のパケット解析に移れず、その後の他の不正なトラフィックの検知を逃すことになる。また、無限ループ状態に陥ると、それ以降の処理が全く行えなくなる。特にインライン型の侵入検知の場合は、パケットが通過できなくなるため、正常な通信も含めて通信ができなくなる。さらに、異常終了後、再起動しても、異常終了時と同様のパケットが届くと同じ異常状態に陥り、サービスの継続ができなくなる。
【０００５】
このように、従来では、数あるシグネチャのうちの或る一つのシグネチャに異常があった場合であっても、不正アクセス検知処理の全てが実施できなくなり、不正アクセス検知機能の役割を果たすことができなくなったり、通信ができなくなったりする不具合を招くという問題があった。
【０００６】
本発明は、使用する複数のシグネチャのうちの一部のシグネチャにプログラム異常を招来する欠陥もつものが存在しても、不正アクセスの検知処理並びに通信処理を継続して実行することのできる不正アクセス検知装置およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明は、ネットワーク上に送出されたパケットを取り込むパケット入力手段と、複数のシグネチャと前記各シグネチャの識別番号と前記各シグネチャを検査に使用するか否かを示す実行フラグとをそれぞれ対応付けて記録したシグネチャデータベースと、前記パケット入力手段が取り込んだパケットを前記シグネチャデータベースに記録されたシグネチャを使用して検査するパケット解析手段と、前記パケット解析手段が検査を実施中のシグネチャを識別する識別情報を保持する識別情報保持手段とを具備し、前記パケット解析手段は、前記識別情報保持手段に保持された識別情報を前記検査の実施を終了する毎に消去する処理手段と、前記検査の開始に際して、前記識別情報保持手段に前記識別情報が存在するか否かをチェックし、前記識別情報保持手段に前記識別情報が存在するとき、前記シグネチャデータベースに設けられた、前記識別情報保持手段に保持された識別情報に対応するシグネチャの実行フラグを使用不可に設定する処理手段とを有して、前記シグネチャデータベースに記録された複数のシグネチャのうち、前記実行フラグが使用不可に設定されたシグネチャを除くシグネチャを使用して前記パケット入力手段が取り込んだパケットを検査する不正アクセス検知装置を提供する。
【０００８】
また、本発明は、ネットワーク上に流れる不正パケットを検知する不正アクセス検知装置としてコンピュータを機能させるためのプログラムであって、複数のシグネチャと前記各シグネチャの識別番号と前記各シグネチャを検査に使用するか否かを示す実行フラグとをそれぞれ対応付けたシグネチャデータベースを管理する機能と、ネットワーク上のパッケージを取り込み、取り込んだパケットを前記シグネチャデータベースに記録された、前記実行フラグが使用不可となっていないシグネチャを使用して検査する機能と、前記検査を実施中のシグネチャを識別する識別情報を所定の記憶領域に保持する機能と、前記記憶領域に保持した識別情報を前記検査の実施を終了する毎に消去する機能と、前記記憶領域に保持した前記識別情報の状態変化を一定の周期で定期的に確認し、状態変化がないとき前記検査の実施を終了させる機能と、前記検査の開始に際して、前記記憶領域に前記識別情報が存在するか否かをチェックし、識別情報が存在するとき、前記シグネチャデータベースに設けられた、前記記憶領域に保持された識別情報に対応するシグネチャの実行フラグを使用不可に設定する機能とをコンピュータに実現させるためのプログラムを提供する。
【０００９】
このように、本発明は、不正アクセス検知に用いる複数のシグネチャのうちの一部シグネチャに異常があった場合であっても、その異常のあったシグネチャのみを検査の使用対象から外して、他のシグネチャを使用し、処理を継続する機能をもつことで、一部シグネチャに異常があった場合であっても、不正アクセスの検知処理、並びに通信処理を継続して実行することができる。
【発明の効果】
【００１０】
本発明によれば、一部シグネチャに異常があった場合であっても、不正アクセスの検知処理、並びに通信処理を継続して実行することができる。
【発明を実施するための最良の形態】
【００１１】
以下図面を参照して本発明の第１実施形態および第２実施形態を説明する。  
本発明の第１実施形態に係る不正アクセス検知装置の構成を図１に示す。  
本発明の第１実施形態に係る不正アクセス検知装置１０は、図１に示すように、不正アクセス検知処理プログラム（侵入検知処理プログラム）１１と、シグネチャデータベース１２と、カレント・シグネチャ番号記録領域１３と、タイマー処理シグネチャ番号記録領域１４とを具備して構成される。
【００１２】
不正アクセス検知処理プログラム１１は、カレント・シグネチャ番号記録領域１３、およびタイマー処理シグネチャ番号記録領域１４とともに、不正アクセス検知装置１０内に設けられた記憶部に記憶され、不正アクセス検知装置１０に設けられた図示しないプログラム実行部により実行される。なお、このプログラム実行部は、通常のパーソナルコンピュータに設けられるプログラム処理機構と同様のＣＰＵを含むハードウェアにより実現される。
【００１３】
不正アクセス検知処理プログラム１１は、パケット入力部１１１と、パケット解析部１１２と、一定周期でタイマー処理を実行するタイマー処理部１１３とを有する。
【００１４】
パケット入力部１１１は、ネットワークセグメント上を流れるパケットを取り込み、取り込んだパケットをパケット解析部１１２に渡す。
【００１５】
パケット解析部１１２は、パケット入力部１１１から受けたパケットが不正なパケットであるか否か（パケットにより運ばれたデータが不正アクセスに関わるものであるか否か）を解析するもので、シグネチャデータベース１２に格納されたシグネチャと、パケット入力部１１１から受けたパケット、および複数のパケットから構成されるストリームとを比較して、シグネチャと一致するものがあった場合、これを不正アクセスと判断する。このパケット解析部１１２の処理手順については図５に示すフローチャートを参照して後述する。
【００１６】
タイマー処理部１１３は、パケット解析部１１２がパケット解析処理（不正アクセス検知処理）による検査を実施している検査中のシグネチャの状態遷移を監視するもので、パケット解析処理中であっても一定の周期で定期的に実行される。このタイマー処理部１１３のタイマー処理手順については図６に示すフローチャートを参照して後述する。
【００１７】
シグネチャデータベース１２は、侵入検知処理プログラム１１の制御の下に管理されるもので、図２に示すように、複数のシグネチャと、シグネチャ識別番号と、実行フラグとをそれぞれ対応付けて格納している。シグネチャは、不正アクセスパターンを記したもので、不正アクセスパターン毎に存在する。この複数種類の各シグネチャは、それぞれ、シグネチャ識別番号および実行フラグに対応付けられてシグネチャデータベース１２に格納される。シグネチャ識別番号は、シグネチャを一意に識別するための番号でユニークな値である。実行フラグは、対応するシグネチャを今回の検査に使用するか否かを指定するフラグであり、ここでは、使用する（使用可能な）シグネチャに対してはフラグ値を「オン（ＯＮ）」（図では○印）、使用しない（使用不可にした）シグネチャに対してはフラグ値を「オフ（ＯＦＦ）」（図では×印）としている。なお、この実施形態では、シグネチャデータベース１２を不正アクセス検知装置１０とは別に設けているが、不正アクセス検知装置１０の内部に設けた構成であってもよい。
【００１８】
カレント・シグネチャ番号記録領域１３は、パケット解析部１１２の制御の下に、パケット解析部１１２で検査中（検査を実施中）のシグネチャを識別するシグネチャ識別番号を記録しておくもので、図３に示すように、検査中のシグネチャおよびパケットをそれぞれ識別するためのシグネチャ識別番号およびパケット識別子を記録する。このカレント・シグネチャ番号記録領域１３は、パケット解析処理プログラムとは独立した記憶領域に置かれて、パケット解析部１１２のパケット解析処理プログラム終了後に於いても記録内容が保持されている。
【００１９】
タイマー処理シグネチャ番号記録領域１４は、タイマー処理部１１３の制御により、図４に示すように、タイマー処理部１１３が定期的に実行するタイマー処理の度に、当該処理で参照したカレント・シグネチャ番号記録領域１３の値を記録しておくもので、図４に示すように、カレント・シグネチャ番号記録領域１３からコピーしたシグネチャ識別番号と、パケット識別子を対応付けて記録する。
【００２０】
パケット解析部１１２のプログラム処理手順を図５に示している。このパケット解析部１１２のプログラム処理は不正アクセス検知処理プログラム１１の起動に伴い実行される。パケット解析部１１２はパケット入力部１１１がネットワークセグメントからパケットを取り込む毎に、図５に示す不正アクセス検知処理による不正パケットの検査を実行する。
【００２１】
ここでは、先ず、プログラムの起動に伴い、カレント・シグネチャ番号記録領域１３を参照して、カレント・シグネチャ番号記録領域１３に、シグネチャ識別番号が記録されているか否かをチェックする（ステップＳ１０１，Ｓ１０２）。
【００２２】
ここで、カレント・シグネチャ番号記録領域１３に、シグネチャ識別番号が記録されているとき（ステップＳ１０２  ＹＥＳ）は、このシグネチャ識別番号をもとに、シグネチャデータベース１２を検索して、このシグネチャ識別番号に該当するシグネチャの実行フラグをオフ（ＯＦＦ）に設定する（ステップＳ１０３）。この、実行フラグがオフ（ＯＦＦ）に設定されたシグネチャは、以降の検査（パケット解析処理）に於いて検査対象シグネチャから除外される。
【００２３】
また、上記チェック（ステップＳ１０２）に於いて、カレント・シグネチャ番号記録領域１３に、シグネチャ識別番号が記録されていないとき（ステップＳ１０２  ＮＯ）は、パケット入力部１１１がネットワークセグメントから取り込んだパケットに対して、シグネチャデータベース１２から未検査の一つのシグネチャを選び（通常はシグネチャが何らかの順番、例えば識別番号順に格納され、この識別番号順に検査対象シグネチャを選ぶ）、そのシグネチャの実行フラグを参照する（ステップＳ１０４〜Ｓ１０７）。
【００２４】
ここで、選んだシグネチャの実行フラグがオフ（ＯＦＦ）であるとき（ステップＳ１０７  ＮＯ）は、未検査のシグネチャから次のシグネチャを選ぶ（ステップＳ１０６）。
【００２５】
選んだシグネチャの実行フラグがオン（ＯＮ）であるとき（ステップＳ１０７  ＹＥＳ）は、そのシグネチャのシグネチャ識別番号と、上記検査対象パケットのパケット識別子をカレント・シグネチャ番号記録領域１３に記録して、選んだシグネチャと、パケット（パケットが運ぶデータ）とを比較し、選んだシグネチャでパケットを検査する（ステップＳ１０８〜Ｓ１１０）。
【００２６】
この検査で、比較した値が一致しないとき（ステップＳ１１０  ＮＯ）は、カレント・シグネチャ番号記録領域１３に記録したシグネチャ識別番号をクリアして（ステップＳ１１１）、未検査のシグネチャの存在を確認し（ステップＳ１０５）、未検査のシグネチャが存在するとき、未検査のシグネチャから次のシグネチャを選び（ステップＳ１０６）、上記した検査（パケット解析処理）を繰り返し実行する（ステップＳ１０５，…）。
【００２７】
また、上記検査で、比較した値が一致するとき（ステップＳ１１０  ＹＥＳ）は、カレント・シグネチャ番号記録領域１３に記録したシグネチャ識別番号をクリアするとともに、予め定められた不正アクセス検出後処理（例えば不正アクセスの判定内容をログに記録する、若しくはパケット破棄する（インライン型の場合）等の処理）を実施する（ステップＳ１１２，Ｓ１１３）。その後、パケット入力部１１１がネットワークセグメントから次に取り込んだパケットに対して上記した検査（パケット解析処理）を繰り返し実行する（ステップＳ１０４，…）。
【００２８】
次に、タイマー処理部１１３のタイマー処理について説明する。  
タイマー処理部１１３のプログラム処理手順を図６に示している。タイマー処理部１１３は、パケット解析部１１２がパケット解析処理（不正アクセス検知処理）による検査を実施している検査中のシグネチャの状態遷移を監視するもので、パケット解析処理中であっても一定の周期で定期的に実行される。
【００２９】
このタイマー処理では、一定の周期毎に、カレント・シグネチャ番号記録領域１３、およびタイマー処理シグネチャ番号記録領域１４を参照して（ステップＳ２０１）、カレント・シグネチャ番号記録領域１３に記録されているシグネチャ識別番号と、タイマー処理シグネチャ番号記録領域１４に記録しているシグネチャ識別番号とを比較し、前回のタイマー処理と今回のタイマー処理とで検査対象シグネチャの入れ替えが行われているか否かをチェックする（ステップＳ２０２）。
【００３０】
この比較で、シグネチャ識別番号が一致しないとき（ステップＳ２０２  ＮＯ）は、カレント・シグネチャ番号記録領域１３に記録されている値をタイマー処理シグネチャ番号記録領域１４にコピーして（ステップＳ２０３）、今回のタイマー処理を終了する（ステップＳ２０４）。
【００３１】
この処理によって、タイマー処理シグネチャ番号記録領域１４は、今回のタイマー処理実行時の値（現在、検査中のシグネチャ識別番号）を次回のタイマー処理実行時まで保持する。
【００３２】
また、上記比較で、シグネチャ識別番号が一致したとき（ステップＳ２０２  ＹＥＳ）は、パケット解析処理（プログラム処理）を終了する（ステップＳ２０５）。
【００３３】
この場合は、カレント・シグネチャ番号記録領域１３に、検査中のシグネチャ識別番号が保持された状態で、パケット解析部１１２の処理プログラムが終了することになる。
【００３４】
上記比較で、シグネチャ識別番号が一致した（ステップＳ２０２  ＹＥＳ）ということは、前回のタイマー処理実行時から、同じ処理（同じシグネチャに対して同じシグネチャを用いたパケット解析処理）が続いている状態を検知したことになる。
【００３５】
従って、この場合は、何らかの異常で処理時間が長くなっている、若しくは無限ループ状態に陥っているとみなして、不正アクセス検知処理プログラム１１によるタイマー処理を含めたパケット解析処理（プログラム）を終了する。プログラム終了後は、所定の手続きを経て（例えば不正アクセス検知処理プログラム１１の実行状況を監視している管理者がプログラム停止状態を認識して）、不正アクセス検知処理プログラム１１を再起動することにより、上述した、図５に示す不正アクセス検知処理が再度、実行されることから、このタイマー処理を終了した時点でカレント・シグネチャ番号記録領域１３に記録されている検査中のシグネチャ識別番号に対応するシグネチャは、再起動後、検査対象シグネチャから外されて使用されなくなる。
【００３６】
このような処理機能をもつことで、シグネチャデータベース１２に格納された各シグネチャをローダブルライブラリにして、異常発生時に、その異常が発生したアドレスを調べ、そこから何れのライブラリ（＝シグネチャ）で問題が起こったを調べ、当該ライブラリをアンロード、および再起動時はロードしないことにより、問題のあるシグネチャを避けることができる。
【００３７】
解析処理の中断が発生している状況においては、解析処理が中断されたパケットに関係するパケット（同一セッションのパケット、同一フラグメントのパケット）は、処理が中断されたパケットと併せて解析する必要があるため、同様に処理時間の上限を超える可能性が高い。故に、解析処理が中断されたパケットに関係するパケットに関しては解析処理を開始せず、パケット蓄積部に残して後回しにする構成も実現可能である。上記した解析処理技術は、一つのデータに対して複数の独立した処理を適用してゆく処理系において、ある一つの処理単位に異常があった場合に全処理が滞ってしまうすべての処理系に適用可能である。
【００３８】
上記したタイマー処理部１１３におけるタイマー処理の他の実施形態を図７に示すフローチャートを参照して説明する。
【００３９】
上記した図６に示すタイマー処理が、前回のタイマー処理と今回のタイマー処理とで検査対象シグネチャの入れ替えが行われていないとき、すなわち、カレント・シグネチャ番号記録領域１３の値とタイマー処理シグネチャ番号記録領域１４の値とが一致したとき（ステップＳ２０２  ＹＥＳ）、プログラムを終了したのに対して、この図７に示す他の実施形態に係るタイマー処理は、前回のタイマー処理と今回のタイマー処理とで検査対象シグネチャの入れ替えが行われていないとき、そのシグネチャを異常候補に挙げ、複数回のタイマー処理で異常候補の状態が継続しているときに、はじめてシグネチャ異常であると判定してプログラムを終了する。このタイマー処理は、侵入検知処理プログラム１１の処理を実行するプログラム実行部の処理に余裕がある場合に適用することで、シグネチャ異常の検出精度をより高めることができる。
【００４０】
この図７に示す他の実施形態に係るタイマー処理では、一定の周期毎に、カレント・シグネチャ番号記録領域１３、およびタイマー処理シグネチャ番号記録領域１４を参照して（ステップＳ３０１）、カレント・シグネチャ番号記録領域１３に記録されているシグネチャ識別番号と、タイマー処理シグネチャ番号記録領域１４に記録しているシグネチャ識別番号とを比較し、前回のタイマー処理と今回のタイマー処理とで検査対象シグネチャの入れ替えが行われているか否かをチェックする（ステップＳ３０２）。
【００４１】
この比較で、シグネチャ識別番号が一致しないとき（ステップＳ３０２  ＮＯ）は、カレント・シグネチャ番号記録領域１３に記録されている値をタイマー処理シグネチャ番号記録領域１４にコピーして（ステップＳ３０３）、今回のタイマー処理を終了する（ステップＳ３０４）。
【００４２】
また、上記比較で、カレント・シグネチャ番号記録領域１３に記録されている値とタイマー処理シグネチャ番号記録領域１４に記録されている値とが一致したとき（ステップＳ３０２  ＹＥＳ）、カレント・シグネチャ番号記録領域１３に記録されているシグネチャ識別番号が示す検査中のシグネチャに対する上記比較一致の回数を計数（更新）する（ステップＳ３０５）。この計数値が、例えば、上記ネットワークセグメント上のトラフィック量、若しくはパケットが運ぶデータの処理量等に応じて決められる回数値（ｍ）に達したとき（ステップＳ３０６  ＹＥＳ）、はじめてシグネチャ異常であると判定してプログラムを終了する。
【００４３】
この図７に示すタイマー処理により、上記した図６に示すタイマー処理に比べ、プログラム実行部の処理に余裕がある場合に、シグネチャ異常の検出精度をより高めることができる。
【図面の簡単な説明】
【００４４】
【図１】本発明の実施形態に係る不正アクセス検知装置の要部の構成を示すブロック図。
【図２】上記実施形態に係る不正アクセス検知装置の構成要素であるシグネチャデータベースの構成を示す図。
【図３】上記実施形態に係る不正アクセス検知装置の構成要素であるカレント・シグネチャ番号記録領域の構成を示す図。
【図４】上記実施形態に係る不正アクセス検知装置の構成要素であるタイマー処理シグネチャ番号記録領域の構成を示す図。
【図５】上記実施形態に係る不正アクセス検知装置の処理手順を示すフローチャート。
【図６】上記実施形態に係る不正アクセス検知装置の処理手順を示すフローチャート。
【図７】上記実施形態に係る不正アクセス検知装置の他の処理手順を示すフローチャート。
【符号の説明】
【００４５】
１０…不正アクセス検知装置、１１…不正アクセス検知処理プログラム（侵入検知処理プログラム）、１２…シグネチャデータベース、１３…カレント・シグネチャ番号記録領域、１４…タイマー処理シグネチャ番号記録領域、１１１…パケット入力部、１１２…パケット解析部、１１３…タイマー処理部。
【図１】
2008134834.tif 000003
【図２】
2008134834.tif 000004
【図３】
2008134834.tif 000005
【図４】
2008134834.tif 000006
【図５】
2008134834.tif 000007
【図６】
2008134834.tif 000008
【図７】
2008134834.tif 000009