(57)【要約】【課題】  インライン型のＩＤＳ（ネットワーク不正侵入検知装置）を用いることによってパケットの取りこぼしをなくし、更にインライン型のＩＤＳで問題になる遅延によるリアルタイム処理性能の阻害をなくす。【解決手段】  インライン型のパケット照合部１３と、最大遅延許容時間を決定してパケットの照合時間がこの最大遅延許容時間を超えるとパターン照合の中止を指示するパターン照合時間管理部１４とを設ける。パケット照合部１３は、検知ルール照合中に、パターン照合時間管理部１４からの検知ルール照合中止通知を受け付け、検知ルール照合を中断するよう構成する。【選択図】      図１
2008066903.tif 000002
【特許請求の範囲】
【請求項１】
受信パケットを、不正侵入検知ルールに従ってパターン照合をなす不正侵入検知システムであって、
インライン型不正侵入検知手段と、
このインライン型不正侵入検知手段における検知ルール照合中に、検知ルール照合中止通知を生成する中止通知生成手段とを含み、
前記インライン型不正侵入検知手段は、前記検知ルール照合中止通知に応答して、検知ルール照合を中断するようにしたことを特徴とする不正侵入検知システム。
【請求項２】
非インライン型不正侵入検知手段と、
前記検知ルール照合の中断により、前記インライン型不正侵入検知手段の照合対象とならなかった検知ルールを、前記非インライン型不正侵入検知手段に引き継いで照合する手段とを、更に含むことを特徴とする請求項１記載の不正侵入検知システム。
【請求項３】
前記非インライン型不正侵入検知手段による照合において、異常パケットであることが検出されると、異常通知を発生する手段を、更に含むことを特徴とする請求項２記載の不正侵入検知システム。
【請求項４】
許容可能な最大遅延時間まで前記パケットの受信を遅らせる手段と、
前記パケット受信後、パターン照合を継続する手段とを、更に含むことを特徴とする請求項２または３記載の不正侵入検知システム。
【請求項５】
前記中止通知生成手段は、前記受信パケットに対して、許容可能な最大遅延時間を決定して、前記受信パケットの照合時間が前記最大遅延時間に達した時に、前記検知ルール照合中止通知を生成することを特徴とする請求項１〜４いずれか記載の不正侵入検知システム。
【請求項６】
前記中止通知生成手段は、前記最大遅延時間を前記受信パケットのプロトコル種別に応じて決定することを特徴とする請求項５記載の不正侵入検知システム。
【請求項７】
前記インライン型不正侵入検知手段における検知ルール照合処理に際して、検知ルールの重要度や照合処理時間に応じて前記検知ルールの照合の順序を変更制御する手段を、更に含むことを特徴とする請求項１〜６いずれか記載の不正侵入検知システム。
【請求項８】
請求項１〜７いずれか記載の不正侵入検知システムを用いたことを特徴とする通信装置。
【請求項９】
受信パケットを、不正侵入検知ルールに従ってパターン照合をなす不正侵入検知方法であって、
インライン型不正侵入検知ステップと、
このインライン型不正侵入検知ステップにおける検知ルール照合中に、検知ルール照合中止通知を生成する中止通知生成ステップと、
前記インライン型不正侵入検知ステップにおける前記検知ルール照合中止通知に応答して、検知ルール照合を中断するステップとを含むことを特徴とする不正侵入検知方法。
【請求項１０】
非インライン型不正侵入検知ステップと、
前記検知ルール照合の中断により、前記インライン型不正侵入検知ステップにおいて照合対象とならなかった検知ルールを、前記非インライン型不正侵入検知ステップに引き継いで照合するステップとを、更に含むことを特徴とする請求項９記載の不正侵入検知方法。
【請求項１１】
前記非インライン型不正侵入検知ステップによる照合において、異常パケットであることが検出されると、異常通知を発生するステップを、更に含むことを特徴とする請求項１０記載の不正侵入検知方法。
【請求項１２】
許容可能な最大遅延時間まで前記パケットの受信を遅らせるステップと、
前記パケット受信後、パターン照合を継続するステップとを、更に含むことを特徴とする請求項１０または１１記載の不正侵入検知方法。
【請求項１３】
前記中止通知生成ステップは、前記受信パケットに対して、許容可能な最大遅延時間を決定して、前記受信パケットの照合時間が前記最大遅延時間に達した時に、前記検知ルール照合中止通知を生成するステップを有することを特徴とする請求項９〜１２いずれか記載の不正侵入検知方法。
【請求項１４】
前記中止通知生成ステップは、前記最大遅延時間を前記受信パケットのプロトコル種別に応じて決定することを特徴とする請求項１３記載の不正侵入検知方法。
【請求項１５】
前記インライン型不正侵入検知ステップにおける検知ルール照合処理に際して、検知ルールの重要度や照合処理時間に応じて前記検知ルールの照合の順序を変更制御することを特徴とする請求項９〜１４いずれか記載の不正侵入検知方法。
【請求項１６】
受信パケットを、不正侵入検知ルールに従ってパターン照合をなす不正侵入検知方法をコンピュータに実行させるためのプログラムであって、
インライン型不正侵入検知処理と、
このインライン型不正侵入検知処理における検知ルール照合中に、検知ルール照合中止通知を生成する中止通知生成処理と、
前記インライン型不正侵入検知処理における前記検知ルール照合中止通知に応答して、検知ルール照合を中断する処理とを含むことを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は不正侵入検知システム及びその方法並びにそれを用いた通信装置に関し、特にインターネットを含む通信ネットワークからの不正アクセスの侵入を検知するための不正侵入検知方式に関するものである。
【背景技術】
【０００２】
Ｗｅｂページ改ざんやＤｏＳ（Denial of Service ：サービス不能）攻撃など、システムへの不正侵入の最初のステップとしてのネットワーク攻撃は増加の一途を辿っている。これらの攻撃は従来のファイアウォールだけでは防御が困難である。このような攻撃に対する対策として、端末に対する不正侵入、ＤｏＳ攻撃などの異常パケット（以後、不正侵入と称す）を検知しネットワーク管理者に通知するＩＤＳ（Intrusion Detection System：ネットワーク不正侵入検知装置）がある。侵入口を探る偵察行動や実際の侵入の試みは日常茶飯事となり、ハッキングも増加している現在、ＩＤＳはネットワーク管理上は不可欠なものになってきている。
【０００３】
ＩＤＳは、通信パケットを不正侵入を検出するためのパターンと照合することにより不正侵入を検知するという仕組みとなっている。このパターンを、以後不正侵入検知ルールと呼ぶ。ＩＤＳが通信パケットと不正侵入検知ルールを照合する方法は、非インライン型とインライン型との２種類がある。非インライン型ＩＤＳは、アプリケーションのパケット受信処理と並列に、ＴＣＰ／ＩＰなどのプロトコルが処理しているパケット（以後、端末受信パケットと称す）のパターン照合を行うようにしたものである。また、インライン型のＩＤＳは、端末受信パケットのパターン照合を行い、その処理が完了した後に、アプリケーションのパケット受信処理に端末受信パケットを引き渡すようにしたものである。
【０００４】
非インライン型ＩＤＳでは、アプリケーションのパケット受信処理と並列に端末受信パケットのパターン照合が行われるので、不正侵入を引き起こすパケットの場合には、ＩＤＳが検知されたとしても、既にアプリケーションがこの異常パケットを処理している可能性がある。また、プロセッサ処理が追いつかなくなった場合、パターン照合が行われずに、パケットの取りこぼしが発生する。
【０００５】
そこで、インライン型のＩＤＳが存在している。このインライン型のＩＤＳは、アプリケーションのパケット受信処理によりパケットを処理する前に、不正侵入を引き起こすパケットを発見することができるし、また、パケットの取りこぼしも発生しないことになる。しかしながら、パケット照合処理が時間のかかる処理であれば、アプリケーションのパケット受信処理の前に、端末受信パケットのパケット照合処理を行う必要があるので、パケット照合処理の分遅延が起こるという問題がある。
【０００６】
尚、関連技術として、特許文献１に開示の技術がある。この技術では、ＩＤＳが不正侵入検知ルールの照合を実行するかしないかを、送信元のＩＰアドレスおよびポート番号を使って決定するようになっている。この技術では、パターン照合の許可／不許可について、アドレスまたはプロトコル毎にＩＤＳの制御を行える。しかしながら、リアルタイム処理性能を要求するパケットに関しては、ＩＤＳによる遅延を防ぐためには、パターン照合において不許可にするしか方法がない。
【特許文献１】特開閉２００６−１２１６７９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上述した従来技術の問題点を整理すると以下のようになる。第１の問題点は、携帯端末、ネットワーク家電機器、センサーデバイスのようなプロセッサ性能、メモリ搭載量などのハードウェアリソースに制約がある装置においては、不正侵入検知ルールが増えると、ＩＤＳの処理が高負荷になるので、パケットの取りこぼしが発生するという点である。その理由は、不正侵入検知ルールを多数設定すると、パターン照合処理が増加して全てのパケットに対してパターン照合処理を行えなくなるからである。
【０００８】
第２の問題点は、かかる第１の問題点を解決するために、不正侵入検知ルールを削減しすぎると、セキュリティリスクが増大するという点である。その理由は、不正侵入検知ルールを設定しておかなければ、この不正侵入検知ルールに対応する攻撃がきたときに、これを防御できないためである。
【０００９】
第３の問題点は、第１の取りこぼしの問題点を解決するために、インライン型のＩＤＳを導入すると、遅延が発生してリアルタイム処理性能を阻害するという点である。その理由は、インライン型のＩＤＳはＴＣＰ／ＩＰなどのパケット受信処理時にパターン照合を行い、その後アプリケーションが受信パケットを処理するので、パターン照合の時間だけ遅延が起こるためである。
【００１０】
本発明の目的は、インライン型のＩＤＳを使うことによってパケットの取りこぼしをなくし、更にインライン型のＩＤＳで問題になる遅延によるリアルタイム処理性能の阻害をなくすことが可能な不正侵入検知システム及びその方法並びにそれを用いた通信装置を提供することである。
【課題を解決するための手段】
【００１１】
本発明による不正侵入検知システムは、受信パケットを、不正侵入検知ルールに従ってパターン照合をなす不正侵入検知システムであって、インライン型不正侵入検知手段と、このインライン型不正侵入検知手段における検知ルール照合中に、検知ルール照合中止通知を生成する中止通知生成手段とを含み、前記インライン型不正侵入検知手段は、前記検知ルール照合中止通知に応答して、検知ルール照合を中断するようにしたことを特徴とする。
【００１２】
本発明による通信装置は、上記の不正侵入検知システムを用いたことを特徴とする。
【００１３】
本発明による不正侵入検知方法は、受信パケットを、不正侵入検知ルールに従ってパターン照合をなす不正侵入検知方法であって、インライン型不正侵入検知ステップと、このインライン型不正侵入検知ステップにおける検知ルール照合中に、検知ルール照合中止通知を生成する中止通知生成ステップと、前記インライン型不正侵入検知ステップにおける前記検知ルール照合中止通知に応答して、検知ルール照合を中断するステップとを含むことを特徴とする。
【００１４】
本発明によるプログラムは、受信パケットを、不正侵入検知ルールに従ってパターン照合をなす不正侵入検知方法をコンピュータに実行させるためのプログラムであって、インライン型不正侵入検知処理と、このインライン型不正侵入検知処理における検知ルール照合中に、検知ルール照合中止通知を生成する中止通知生成処理と、前記インライン型不正侵入検知処理における前記検知ルール照合中止通知に応答して、検知ルール照合を中断する処理とを含むことを特徴とする。
【発明の効果】
【００１５】
本発明によれば、リアルタイム処理性能を確保しつつ、かつパケットを監査しないことによるセキュリティ低下を最小限にすることが可能となるという効果がある。
【発明を実施するための最良の形態】
【００１６】
以下に、図面を参照しつつ本発明の実施の形態について詳細に説明する。
＜第一の実施の形態＞
図１は本発明の第一の実施の形態を示す機能ブロック図である。図１を参照すると、ネットワーク２はＴＣＰ／ＩＰネットワークなど複数の端末が接続される通信網であり、端末１はこのネットワーク２と接続された通信装置である。端末１は、アプリケーション１１と、パターン受信部１２と、パターン照合部１３と、パターン照合時間管理部１４と、パケット種別解析部１５と、最大遅延許容時間データベース１６とを含んで構成されている。
【００１７】
アプリケーション１１は、パケットを受信して所定の処理を実行するアプリケーションである。パターン受信部１２は、ＴＣＰ／ＩＰプロトコルスタックなどのパケット受信を行う機能であり、ネットワーク２から端末１がパケットを受信する時にパターン照合部１３にパケットを引き渡す。
【００１８】
このパターン照合部１３は、パターン受信部１２から引き渡されたパケットとＩＤＳの不正侵入検知ルールとをパターン照合するインライン型の照合機能を有するものであり、パターン照合の結果、正常なパケットである場合は、アプリケーション１１にパケット引き渡し、不正侵入であると判断した場合は、管理者に通知を行いパケットを破棄する。また、パターン照合部１３は、パターン照合を行う時間を設定するために、パターン照合時間管理部１４に端末受信パケットを引き渡す。
【００１９】
パターン照合時間管理部１４は、パターン照合部１３からパケットを受け取る機能と、そのパケットをパケット種別解析部１５に引き渡しプロトコルを特定する機能と、この特定されたプロトコルに応じて、最大で遅延が許容できる時間（以下、最大遅延許容時間と称す）を管理し、この最大遅延許容時間に達すると、パターン照合部１３にその旨を通知する機能とを有している。
【００２０】
パケット種別解析部１５は、端末受信パケットを受け取り、そのパケットのプロトコルがどのような通信方式かを解析する機能を有する。このパケット種別解析部１５は端末受信パケットを受け取り、入力パケットに対応するプロトコル識別子を返す。最大遅延許容時間データベース１６は、プロトコル識別子が入力されると、このプロトコル識別子をキーとして、当該プロトコル識別子に対応して予め定められている最大遅延許容時間を検索して、この検索結果を戻り値としてパターン照合時間管理部１４へ返却するデータベースである。図２はこの最大遅延許容時間データベース１６の内容の一例を示す図であり、プロトコル識別子と最大遅延許容時間とを対としたものである。
【００２１】
図３は本発明の第一の実施の形態の動作を示すシーケンス図であり、図３を参照して本実施の形態の動作を説明する。パターン受信部１２がネットワーク２からパケットの受信を行うと、パターン照合部１３に端末１が受信したパケットの通知が行われる（ステップａ１）。パターン照合部１３は、この端末受信パケットをパターン照合時間管理部１４に通知する（ステップａ２）。また、パターン照合部１３は、パケットの照合処理を実行する。この照合処理によって不正侵入パケットであると判断された時は、パケットは破棄される（ステップａ３）。
【００２２】
パターン照合時間管理部１４は、現在時刻を取得する（ステップａ４）。パターン照合時間管理部１４は、受信パケットのプロトコル解析をパケット種別解析部１５に依頼するために、パケット種別解析部１５に、端末受信パケットを通知する（ステップａ５）。パケット種別解析部１５は、端末受信パケットの構造から、端末受信パケットのプロトコルを解析する。パケット種別解析部１５は、その解析結果から、受信パケットに対応するプロトコル識別子をパターン照合時間管理部１４に返却する（ステップａ６）。
【００２３】
パターン照合時間管理部１４は、遅延が許容できる最大の時間を認知するために、最大遅延許容時間情報データベース１６に、プロトコル識別子を通知する（ステップａ７）。最大遅延許容時間情報データベース１６は、この通知されたプロトコル識別子をキーにして、図２に示すようなデータベースを検索し、プロトコル毎に定義されている最大遅延許容時間をパターン照合時間管理部１４に返却する（ステップａ８）。
【００２４】
パターン照合時間管理部１４は、パケットをパターン照合部１３から受け取ると、ステップａ４で取得した現在時刻と、最大遅延許容時間を足した時間を起床タイマーイベントとしてセットする（ステップａ９）。パターン照合時間管理部１４は、起床タイマーイベントが起こると、パターン照合タイマーを発火させる（ステップａ１０）。パターン照合時間管理部１４は、パターン照合部１３に対してパターン照合の中止を通知する（ステップａ１１）。パターン照合部１３は、パターン照合処理を中断し、アプリケーション１１に正常な受信パケットを引き渡す（ステップａ１２）。
【００２５】
このように、パターン照合実行中に、パターン照合を中断する機能を備えることにより、リアルタイム処理性能を確保しつつ、かつパケットを監査しないことによるセキュリティの低下を最小限に抑制することが可能になる。
【００２６】
＜第二の実施の形態＞
次に、本発明の第二の実施の形態について、図４〜図６を参照して説明する。図４は本発明の第二の実施の形態の機能ブロック図であり、図１と同等部分は同一符号により示している。本実施の形態の端末１においては、図１に示した第一の実施の形態の端末に、不正侵入検知ルールの重要度に応じて検知ルールの実行順序を入れ替える機能を付加したものである。そのために、図１におけるパターン照合部１３を改良して、検知ルールの実行順序の指示を受け付け、実行順序順に検知ルールの照合を行う機能を追加する。これを照合順序制御パターン照合部１７とする。
【００２７】
また、図１のパターン照合時間管理部１４を改良して、受信パケットを入力とし、パターン照合実行順序のリストを返す機能を追加する。これをパターン照合時間・実行順序管理部１８とする。さらに、プロトコル識別子をキー入力とし、不正侵入検知ルールの実行順序が不正侵入検知ルール識別子のリストで記述されている不正侵入検知ルール実行順序リストを、パターン照合時間・実行順序管理部１８へ返却するデータベースパターン照合処理時間情報データベース１９を追加する。図５はこのデータベース１９の内容の一例を示しており、不正侵入検知ルール識別子と、処理時間と、プロトコル識別子と、重要度との組からなる。なお、他の構成は図１のそれと同一であり、その説明は省略する。
【００２８】
図６は本実施の形態の動作を示すシーケンス図であり、図３と同等ステップは同一符号により示している。本実施の形態の動作について、図６を参照しつつ説明するが、図３と相違する部分についてのみ説明するものとする。
【００２９】
パターン照合時間・実行順序管理部１８は、ステップａ６において、パケット種別をパケット種別解析部１５より返値として受け取った後、パターン照合処理時間情報データベース１９にパターン照合の実行順序を問い合わせる（ステップｂ１）。パターン照合処理時間情報データベース１９は、図５の中から、プロトコル識別子に対応するものを取り出し、重要度に従って、不正侵入検知ルールの実行順序の並び替えを行う。ここで、重要度が同じものは、処理時間の短いものを重要度が高いものとして並び替えをする。この並び替えが完了すると、不正侵入検知ルール識別子をパターン照合実行順序のリストとして返却する（ステップｂ２）。
【００３０】
パターン照合時間・実行順序管理部１８は、ステップｂ２で得られたパターン照合実行順序のリストを引数として、照合順序制御パターン照合部１７に通知する（ステップｂ３）。照合順序制御パターン照合部１７は、ステップｂ３で得られたパターン照合実行順序のリストの順序に従って、パターン照合を実行するのである（ステップｂ４）。そして、ステップａ１１へと続くことになる。なお、ステップａ７〜ａ１０は、ステップｂ４の実行中、実行されていることは勿論である。
【００３１】
このように、リアルタイム処理性が必要な通信（プロトコル）時に、重要度と処理時間とを考慮して不正侵入検知ルールの実行順序を動的に変更することができるので、遅延が許容される時間内に、セキュリティに重要なパケットから順に照合処理を行うことが可能になる。従って、ＶｏＩＰなどの遅延に対して条件が厳しいプロトコルであっても、重要なパターン照合を行い、かつ遅延やパケットの取りこぼしのない通信を行うことが可能となる。
【００３２】
＜第三の実施の形態＞
次に、本発明の第三の実施の形態について、図７及び図８を参照して説明する。図７は本発明の第三の実施の形態の機能ブロック図であり、図１と同等部分は同一符号により示している。本実施の形態の端末１においては、パターン照合処理を中断する機能を有していたが、本実施の形態では、照合が終わっていない不正侵入検知ルールを非インライン型パターン照合部１３ｂに渡して、アプリケーション１１がパケット受信後にもパターン照合が行えるようにしたものである。そのために、図１におけるパターン照合部１３の代わりに、非インライン継続型パターン照合部１３ａと、非インライン型パターン照合部１３ｂとを設けたものである。
【００３３】
すなわち、図１のパターン照合部１３にパターン照合の中止通知がきたときに、パターン照合を実行していない不正侵入検知ルールのリストを非インライン型パターン照合部１３ｂに引き渡す機能を持つ。これを非インライン継続型パターン照合部１３ａとする。また、非インライン継続型パターン照合部１３ａから不正侵入検知ルールのリストを受け取り、アプリケーション１１のパケット受信処理と並列に端末受信パケットのパターン照合を実行する非インライン型パターン照合部１３ｂの機能を追加している。
【００３４】
本例では、非インライン型パターン照合部１３ｂと、非インライン継続型パターン照合部１３ａとを別機能として示しているが、同じ機能として１つにまとめて、パターン照合の中止通知がきたときに、アプリケーション１１にパケットを引き渡し、かつそのパケットのパターン照合を継続するという処理にしてもよい。
【００３５】
図８を参照して本発明の第三の実施の形態の動作を説明する。本例では、図３のステップａ１２の後に、ステップｃ１，ｃ２を追加している。非インライン継続型パターン照合部１３ａは、パターン照合中止通知を受け取ると（ステップａ１１）、パターン照合処理を中断し、アプリケーション１１に受信パケットを引き渡す（ステップａ１２）。
【００３６】
すなわち、ステップａ１〜ａ１２までは、第一の実施の形態の動作と同じであり、ステップａ１２の後に、非インライン継続型パターン照合部１３ａは、パターン照合中止通知を受け取ったときに、未実行の不正侵入検知ルールを、受信パケットと共に、非インライン型パターン照合部１３ｂに引き渡す（ステップｃ１）。非インライン型パターン照合部１３ｂは、未実行の不正侵入検知ルールのパターン照合を、アプリケーション１１の受信処理と並列に実行する（ステップｃ２）。
【００３７】
もし、非インライン型パターン照合部１３ｂが照合したパケットが異常パケットであるとわかった場合、アプリケーションまたはシステム管理者などの任意のシステムに異常パケットであることを通知する（ステップｃ１３）。
【００３８】
このように、インライン型のパターン照合処理を中断する機能の他に、更に照合が終わっていない不正侵入検知ルールを、非インライン型パターン照合部に渡してアプリケーション１１がパケット受信した後にも、パターン照合を行えるようになり、パケットの取りこぼしがなくなるという効果がある。
【００３９】
＜第四の実施の形態＞
次に、本発明の第四の実施の形態について、図９及び図１０を参照して説明する。図９は本発明の第四の実施の形態の機能ブロック図であり、図１及び図７と同等部分は同一符号により示している。本実施の形態の端末１においては、非インライン型不正侵入検知機能を持つ通信装置に、遅延最大許容時間までアプリケーションの受信を遅延することで、最大遅延許容時間内に異常パケットを発見した場合、異常パケットの破棄を行える機能を追加したものである。これにより、非インライン型不正侵入検知機能を持つ通信装置でも、リアルタイム処理性能を保持し、また、最大遅延許容時間内の異常パケットはアプリケーションに受信させずに破棄することができる。
【００４０】
本実施の形態では、図１のパターン照合部１３の代わりに、パケット受信部として非インライン用パケット受信部１２ａが設けられている。この非インライン用パケット受信部１２ａは、パケット受信を行い、パターン照合のために非インライン型パターン照合部１３ｂにパケットを引き渡す機能と、遅延最大許容時間までアプリケーション１１へのパケット引き渡しを遅延する機能を有している。実際に本実施の形態を実施する場合には、非インライン用パケット受信部１２ａは、ソケットライブラリなどに実装され、遅延最大許容時間まで、recv()の読み出しをブロックするなどの方法で実現される。なお、他の構成は図１のそれと同一であり、その説明は省略する。
【００４１】
本実施の形態の動作を図１０のシーケンス図を参照して説明する。本例では、図３のシーケンスに、ステップｄ１〜ｄ４を、ステップａ１の後に追加したものである。非インライン用パケット受信部１２ａがパケットの受信を行うと、非インライン型パターン照合部１３ｂに受信パケットの通知が行われる（ステップａ１）と同時に、非インライン用パケット受信部１２ａの図示せぬ内部バッファに、パターン照合の中止通知がくるまで、受信パケットはバッファリングされて、アプリケーション１１には引き渡されない（ステップｄ１）。
【００４２】
非インライン型パターン照合部１３ｂから非インライン用パケット受信部１２ａに、照合中断（ステップａ１２）によるパケット受信許可通知が来る（ステップｄ２）と、非インライン用パケット受信部１２ａの内部バッファにあるパケットをアプリケーション１１に渡す（ステップｄ３）。非インライン型パターン照合部１３ｂは、パターン照合を継続し、エラーがあると、アプリケーションまたは管理者などの任意のシステムに通知する（ステップｄ４）。
【００４３】
以上の各実施の形態における動作は、予めその動作手順をプログラムとしてＲＯＭなどの記録媒体に記録しておき、これをコンピュータ（ＣＰＵ）により読み取らせて実行させるように構成できることは明白である。また、通端装置である端末１としては、携帯型を含むパーソナルコンピュータ、携帯通信端末、ネットワーク家電機器、センサデバイスなどが考えられ、特にプロセッサの性能やメモリ容量などのハードウェアリソースに制限がある装置に適用することにより、ＩＤＳ処理による遅延を最小限に止どめることができ、効果的である。
【００４４】
また、上記の各実施例において、アプリケーション１１は単に一例を示すものであって、システムやアプリケーションなどの所定プログラムを含むものとする。
【図面の簡単な説明】
【００４５】
【図１】本発明の第一の実施の形態の機能ブロック図である。
【図２】図１の最大遅延許容時間データベース１６の内容の例を示すものであり、プロトコル識別子から最大遅延許容時間への変換テーブルの一例である。
【図３】本発明の第一の実施の形態の動作シーケンスである。
【図４】本発明の第二の実施の形態の機能ブロック図である。
【図５】図４のパターン照合処理時間情報データベース１９の内容の例を示すものであり、プロトコル識別子からパターン照合の順序リストに変換を行う変換テーブルの一例である。
【図６】本発明の第二の実施の形態の動作シーケンスである。
【図７】本発明の第三の実施の形態の機能ブロック図である。
【図８】本発明の第三の実施の形態の動作シーケンスである。
【図９】本発明の第四の実施の形態の機ブロック図である。
【図１０】本発明の第四の実施の形態の動作シーケンスである。
【符号の説明】
【００４６】
１  端末
２  ネットワーク
１１  アプリケーション
１２  パケット受信部
１２ａ  非インライン用パケット受信部
１３  パターン照合部
１３ａ  非インライン継続型パターン照合部
１３ｂ  非インライン型パターン照合部
１４  パターン照合時間管理部
１５  パケット種別解析部
１６  最大遅延許容時間データベース
１７  照合順序制御パターン照合部
１８  パターン照合時間・実行順序管理部
１９  パターン照合処理時間情報データベース
【図１】
2008066903.tif 000003
【図２】
2008066903.tif 000004
【図３】
2008066903.tif 000005
【図４】
2008066903.tif 000006
【図５】
2008066903.tif 000007
【図６】
2008066903.tif 000008
【図７】
2008066903.tif 000009
【図８】
2008066903.tif 000010
【図９】
2008066903.tif 000011
【図１０】
2008066903.tif 000012