(57)【要約】【課題】ルーティング処理を行うネットワーク中継装置において、ルーティング処理の能力を低下させることなく、効率的に不正侵入の有無を解析可能なネットワーク中継装置を提供する。【解決手段】ネットワークから受信したパケットデータのルーティング処理を実行するルーティング処理部を含む中央処理ユニットと、ルーティング処理と併行してパケットデータを所定の蓄積手段に蓄積する蓄積処理部と、蓄積手段に蓄積されたパケットデータが不正な侵入データであるか否かの解析を開始する解析開始タイミングを設定し、この解析開始タイミングに基づいてパケットデータが不正な侵入データであるか否かを判別するための不正侵入解析手段に対して前記蓄積手段に蓄積されたパケットデータの解析を開始させる解析開始処理手段とを備える。【選択図】　　　図１
2004007170.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークから受信したパケットデータをその制御情報に基づいて経路選択を行い該当する送信先へのルーティング処理を実行するルーティング処理部を含む中央処理ユニットと、
前記ルーティング処理部によるルーティング処理と併行して、ルーティング処理されるパケットデータを所定の蓄積手段に蓄積する蓄積処理部と、
前記蓄積手段に蓄積されたパケットデータが不正な侵入データであるか否かの解析を開始する解析開始タイミングを設定し、この解析開始タイミングに基づいてパケットデータが不正な侵入データであるか否かを判別するための不正侵入解析手段に対して前記蓄積手段に蓄積されたパケットデータの解析を開始させる解析開始処理手段と、
を備えるネットワーク中継装置。
【請求項２】
前記蓄積処理部は前記不正侵入解析手段による解析が必要なパケットデータに対して解析フラグを設定して前記蓄積手段に蓄積し、前記不正侵入解析手段は前記解析フラグが設定されたパケットデータのみ解析を行う、請求項１に記載のネットワーク中継装置。
【請求項３】
前記中央処理ユニットが前記不正侵入解析手段を含み、前記解析開始処理手段は前記中央処理ユニットの稼働率が所定値以下になったときに解析開始タイミングを設定する、請求項１または２に記載のネットワーク中継装置。
【請求項４】
ネットワークから受信したパケットデータをその制御情報に基づいて経路選択を行い該当する送信先へのルーティング処理を実行するルーティング処理部および受信したパケットデータが不正な侵入データであるか否かの解析を行う不正侵入解析部を含む中央処理ユニットと、
前記不正侵入解析部による解析が不要であるパケットデータに解析不要フラグを設定し、前記不正侵入解析部による解析を一定時間中断させる解析中断処理手段と、
を備えるネットワーク中継装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明はネットワーク中継装置に関し、特に、外部ネットワークと内部ネットワークとをルーティングするルータにおいて不正な侵入データを検出することが可能なネットワーク中継装置に関する。
【０００２】
【従来の技術】
インターネットなどの外部ネットワークと内部ネットワークとを接続する場合には、該当する送信先にデータ送信するために経路選択を行ってルーティング処理を実行するネットワーク中継装置が用いられる。
【０００３】
このような中継装置を介して外部ネットワークと内部ネットワークとが接続されているような場合には、外部ネットワークから内部ネットワークに対する不正侵入を防止するためのシステムが必要となる。
【０００４】
外部ネットワークからの不正侵入を防止するシステムとして、外部ネットワークからアクセスできる外部バリアセグメントと、内部ネットワークを構成するサーバや端末が接続される内部セグメントとの間に位置し、外部から到着する不正なパケットデータを識別して内部セグメントへの侵入を阻止するファイアウォール装置がある。ファイアウォールの機能としては、たとえば、ＴＣＰ／ＩＰパケットの送信元アドレスと、宛先アドレスと、ポート番号とをチェックして、予め登録されたポート番号以外のポート番号を伴うパケットの通過を拒否するように構成することができる。
【０００５】
また、外部ネットワークからの不正侵入を防止するために、ネットワーク上を流れるパケットのトラフィックを監視し、予め用意されている不正アクセスに特徴的なトラフィックパターンと比較し、該当するトラフィックが検知された場合にアラートの表示やコネクションの切断などの処理を行うような監視ツールを構成することが考えられる。
【０００６】
【発明が解決しようとする課題】
前述したような外部ネットワークからの不正侵入を防止するシステムは、企業向けに構成される場合が多く、外部ネットワークから送信されてくるパケットデータをリアルタイムで監視し、不正侵入をいち早く検知して防止することを目的としている。このため、外部ネットワークと内部ネットワークとの間のルーティング処理を行うルータなどのネットワーク中継装置において、このような不正侵入を防止する機能を持たせる場合には、ルーティング能力を犠牲にしても不正侵入の検知を優先させるようにしている。
【０００７】
一般家庭においてもインターネットへの常時接続環境が普及してきており、企業だけでなく一般家庭においても外部ネットワークからの不正侵入を防止するシステムが必要になってきている。前述したような企業向けの不正侵入防止システムを一般家庭に設定されるルータに用いた場合には、処理能力的にオーバースペックなものになってしまうためコストパフォーマンスの点で問題がある。また、一般家庭においては企業において必要とするような不正侵入防止に対する高機能を必要としないため、全てのパケットデータに対してリアルタイムに不正侵入の解析を行ってルーティング処理機能を低下させても、より以上の不正侵入防止の効果を上げることができるとは考えにくい。
【０００８】
本発明の目的は、ルーティング処理を行うネットワーク中継装置において、ルーティング処理の能力を低下させることなく、効率的に不正侵入の有無を解析可能なネットワーク中継装置を提供することにある。
【０００９】
【課題を解決するための手段】
本発明に係るネットワーク中継装置は、ネットワークから受信したパケットデータをその制御情報に基づいて経路選択を行い該当する送信先へのルーティング処理を実行するルーティング処理部を含む中央処理ユニットと、ルーティング処理部によるルーティング処理と併行して、ルーティング処理されるパケットデータを所定の蓄積手段に蓄積する蓄積処理部と、蓄積手段に蓄積されたパケットデータが不正な侵入データであるか否かの解析を開始する解析開始タイミングを設定し、この解析タイミングに基づいてパケットデータが不正な侵入データであるか否かを判別するための不正侵入解析手段に対して蓄積手段に蓄積されたパケットデータの解析を開始させる解析開始処理手段とを備える。
【００１０】
ここで、蓄積処理部は不正侵入解析手段による解析が必要なパケットデータに対して解析フラグを設定して蓄積手段に蓄積し、不正侵入解析手段は解析フラグが設定されたパケットデータのみ解析を行うように構成できる。
【００１１】
また、中央処理ユニットが不正侵入解析手段を含み、解析開始処理手段は中央処理ユニットの稼働率が所定値以下になったときに解析開始タイミングを設定するように構成できる。
【００１２】
さらに、解析開始処理手段が解析開始タイミングに関する指示入力を受け付ける受付手段を備え、受付手段により受け付けた指示入力に基づいて解析開始タイミングを設定するように構成できる。
【００１３】
解析開始処理手段が、ルーティング処理部に接続される端末の状態情報を取得し、各端末の状態情報に基づいて解析開始タイミングを設定するように構成できる。
【００１４】
また、ルーティング処理部に接続される端末のうちの少なくとも１つが不正侵入解析手段を備え、解析開始処理手段は解析開始タイミングに応じて蓄積手段に蓄積されたパケットデータをカプセル化して不正侵入解析手段を有する端末に送信するように構成できる。
【００１５】
さらに、蓄積処理部がハードディスクインターフェイスを備え、蓄積手段としてハードディスクドライブを内蔵するように構成できる。
【００１６】
このとき、蓄積処理部がパケットデータを圧縮して蓄積手段に蓄積するように構成でき、パケットデータを暗号化して蓄積手段に蓄積するように構成することも可能である。
【００１７】
また、本発明に係るネットワーク中継装置は、ネットワークから受信したパケットデータをその制御情報に基づいて経路選択を行い該当する送信先へのルーティング処理を実行するルーティング処理部および受信したパケットデータが不正な侵入データであるか否かの解析を行う不正侵入解析部を含む中央処理ユニットと、不正侵入解析部による解析が不要であるパケットデータに解析不要フラグを設定し、不正侵入解析部による解析を一定時間中断させる解析中断処理手段とを備える構成とすることができる。
【００１８】
【発明の実施の形態】
〔概略構成〕
本発明に係るネットワーク中継装置の概略構成を図１に基づいて説明する。
【００１９】
ここでは、ネットワークインターフェイス３により受信したパケットデータをその制御情報に基づいて経路選択して該当する送信先へのルーティング処理を実行するルーティング処理部１と、ルーティング処理部１によるルーティング処理と併行してパケットデータを蓄積手段４に蓄積する蓄積処理部２と、蓄積手段４内に蓄積されたパケットデータを不正侵入解析手段５に解析させる解析開始タイミングを設定する解析開始処理手段６とを備える構成である。
【００２０】
このネットワーク中継装置は、インターネットなどの外部ネットワーク（ＷＡＮ）と内部ネットワーク（ＬＡＮ）とを結合して、それぞれのネットワーク内を流れるパケットデータをその送信先に送信するための経路選択を行うように構成できる。したがって、ネットワークインターフェイス３は、それぞれ異なるネットワークに接続される複数のネットワークインターフェイスで構成される。
【００２１】
また、このネットワーク中継装置は、マイクロプロセッサで構成される中央処理ユニット（ＣＰＵ）を備えており、このＣＰＵ内の１機能としてルーティング処理部１が実現されるように構成できる。
【００２２】
蓄積手段４は、たとえば、このネットワーク中継装置に内蔵されるハードディスクドライブで構成することができる。この場合、蓄積処理部２は、ネットワークインターフェイス３を通過するパケットデータを蓄積手段４に格納するためのハードディスクインターフェイスで構成することができる。
【００２３】
不正侵入解析手段５は、ＣＰＵの１機能として構成することができる。この場合、解析開始処理手段６は、ＣＰＵの空き時間を検出して不正侵入解析手段５による解析処理を開始させるように構成できる。
【００２４】
〔第１実施形態〕
本発明の第１実施形態について、図２に基づいて説明する。
【００２５】
この第１実施形態では、ネットワーク中継装置としてインターネットなどの外部ネットワークとＬＡＮなどの内部ネットワークとの間でパケットデータの中継を行うルータ１０を構成する。
【００２６】
ルータ１０は、外部ネットワークおよび内部ネットワークを流れるパケットデータのルーティング処理およびその他の処理を実行するためのＣＰＵ１１１を備えている。このＣＰＵ１１１は、ルーティング処理を実行するルーティング機能部１１２と、パケットデータが不正侵入によるものか否かを判定するための解析機能部１１３と、ＣＰＵ１１１の空き時間を判定する空き時間判定部１１４を含んでいる。
【００２７】
ルーティング機能部１１２は、ＣＰＵ１１１がルーティング処理を行うためのアプリケーションを実行することにより実現されるものであり、インターネットなどの外部ネットワークに接続されるＷＡＮ−ＩＦ１３１と、ＬＡＮなどの内部ネットワークに接続されるＬＡＮ−ＩＦ１３２とを流れるパケットデータの中継を行うために、各パケットデータの送信先アドレスに基づいて経路選択を行ってルーティング処理を行う。
【００２８】
ＷＡＮ−ＩＦ１３１およびＬＡＮ−ＩＦ１３２は、ルーティング処理のためにルーティング機能部１１２にパケットデータを送出するとともに、このパケットデータを蓄積するためにＨＤＤ−ＩＦ１２１にパケットデータを送出する。ＨＤＤ−ＩＦ１２１は、このルータ１０に内蔵されるハードディスクドライブ（ＨＤＤ）１４１にデータを格納したりＨＤＤ１４１に格納されているデータを読み出すためのインターフェイスであり、たとえば、ＡＴＡ、ＳＣＳＩなどのデータ転送方式に対応するインターフェイスで構成される。ＷＡＮ−ＩＦ１３１およびＬＡＮ−ＩＦ１３２を介してルーティング処理部１１２に入力されるパケットデータは、ＨＤＤ−ＩＦ１２１に送出され、逐次ＨＤＤ１４１に格納される。
【００２９】
解析機能部１１３は、ＣＰＵ１１１が不正侵入解析処理を行うためのアプリケーションを実行することにより実現されるものであり、ＨＤＤ−ＩＦ１２１によりＨＤＤ１４１から読み出されるパケットデータを予め用意されている不正アクセスに特徴的なトラフィックパターンと比較し、不正侵入が行われたか否かの不正侵入の解析を実行する。
【００３０】
空き時間判定部１１４は、たとえば、ＣＰＵ１１１の稼働率を判定するアプリケーションから稼働率を現在のＣＰＵ１１１の稼働率情報を取得し、この稼働率情報が所定値以下である場合に、ＣＰＵ１１１の空き時間であると判定して解析機能部１１３による不正侵入解析処理を実行させるように構成できる。
【００３１】
このように構成した本発明の第１実施形態では、ＣＰＵ１１１に構成されるルーティング機能部１１２により外部ネットワークおよび内部ネットワークを流れるパケットデータを対応する送信先アドレスにルーティング処理するとともに、ＨＤＤ−ＩＦ１２１を介して各パケットデータをＨＤＤ１４１に格納しているため、ルーティング処理に用いられるハードウェア資源を不正侵入解析処理に割く必要がなく、処理能力を落とすことなくルーティング処理を実行させることができる。
【００３２】
また、空き時間判定部１１４によりＣＰＵ１１１の空き時間を判定して、空き時間であると判断した場合にＨＤＤ１４１内に蓄積されたパケットデータを読み出して、ルーティング処理されたパケットデータに不正侵入がなかったかどうかの解析処理を行っているため、リアルタイムでの不正侵入解析処理を行う場合に比してセキュリティ信頼度は落ちるものの、不正侵入に対して迅速に対応することが可能となる。
【００３３】
〈解析フラグ〉
ＨＤＤ−ＩＦ１２１は、ＷＡＮ−ＩＦ１３１およびＬＡＮ−ＩＦ１３２を通過してきたパケットデータをＨＤＤ１４１に蓄積する際に、そのパケットデータに対して解析フラグを付加して蓄積するように構成できる。
【００３４】
この場合、ＣＰＵ１１１では、解析フラグが付加されたパケットデータについてのみ解析機能部１１３による不正侵入解析処理を実行するように構成できる。
【００３５】
このように構成した場合には、図３に示すように、ＷＡＮ−ＩＦ１３１およびＬＡＮ−ＩＦ１３２からのパケットデータを全て蓄積インターフェイス２０１を介してＣＰＵ１１１に送受信するように構成する。この場合、蓄積インターフェイス２０１は、ＨＤＤ１４１との間でデータ転送が可能なハードディスクインターフェイスを備えるものとする。
【００３６】
蓄積インターフェイス２０１は、通過するパケットデータのうちＨＤＤ１４１に蓄積するパケットデータについて、解析フラグを付加してＨＤＤ１４１に格納するものであり、たとえば、ＷＡＮ−ＩＦ１３１から受け取ったパケットデータについてのみ解析フラグを付加するように構成することが可能である。
【００３７】
ＣＰＵ１１１では、蓄積インターフェイス２０１から受け取るパケットデータのうち、解析フラグが付加されたものについてだけ解析機能部１１３による不正侵入解析処理を実行し、それ以外のものについてはルーティング機能部１１２によるルーティング処理を実行するように構成できる。
【００３８】
このように構成することにより、ＣＰＵ１１１の入出力用のピン数を削減することが可能となり、配線数を削減し、結線作業を軽減することができる。
【００３９】
また、ＷＡＮ−ＩＦ１３１を介して受信するパケットデータについてのみ解析フラグを付加することにより、ＬＡＮ−ＩＦ１３２を介して内部ネットワークから外部ネットワークに送出されるパケットデータについての不正侵入解析処理を省略することができ、ＣＰＵ１１１の負担を軽減できる。
【００４０】
さらに、解析機能部１１３は、リアルタイムで不正侵入解析処理を実行するプログラムと、ＨＤＤ１４１に一旦蓄積されたパケットデータの不正侵入解析処理を実行するプログラムとを同一のアプリケーションで実現することが可能となり、リソースを節約できメンテナンス性の向上を図ることも可能となる。
【００４１】
〈空き時間検出〉
このルータ１０には、不正侵入解析処理を開始することをユーザが指示するための開始ボタンを設けることが可能である。この場合、ユーザが開始ボタンを操作することにより解析開始指示を行うことで、空き時間判定部１１４はこの指示信号を受け付けて解析機能部１１３に不正侵入解析処理の開始を指示する。解析機能部１１３は、蓄積インターフェイス２０１を介してＨＤＤ１４１に蓄積されたパケットデータを読み出して不正侵入解析処理を実行する。
【００４２】
また、ユーザがＬＡＮ−ＩＦ１３２を介して送信してくるパケットデータが所定のデータである場合に、空き時間判定部１１４が不正侵入解析処理を開始するタイミングを判定するように構成できる。たとえば、ルータ１０に設定されているＷｅｂページに解析開始ボタンを設定しておき、ユーザがこの解析開始ボタンを操作した場合に、蓄積インターフェイス２０１を介して空き時間判定部１１４が解析開始指示信号を受信し、解析機能部１１３に不正侵入解析処理を開始させるように構成できる。
【００４３】
さらに、空き時間判定部１１４が内部にスケジューラを内蔵し、予め設定される解析開始時刻になると、解析機能部１１３に不正侵入開始処理を実行させるように構成できる。スケジューラに設定される解析開始時刻は、ユーザが設定できるように構成することが可能であり、ルーティング処理が少ないと見なされる時刻を解析開始時刻のデフォルト値として設定しておくことも可能である。
【００４４】
このように構成することにより、空き時間判定部１１４の構成が簡単な構成で実現することが可能となり、ユーザの利便性を損なうおそれがなくなる。
【００４５】
さらに、図４に示すように、ＬＡＮ−ＩＦ１３２に接続されている各端末の状態情報を取得して管理する端末ステータス取得部１５１を備える構成とすることができる。この端末ステータス取得部１５１は、ＬＡＮ−ＩＦ１３２を介してルータ１０に接続されている端末に対して、一定時間毎にパケットデータを送信し、これに対する応答がなければその端末がアクティブな状態でないとしてこの状態情報を所定の領域に格納するように構成される。たとえば、ルータ１０に接続されている各端末に対して、ＤＨＣＰ（Ｄｙｎａｍｉｃ　Ｈｏｓｔ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｐｒｏｔｏｃｏｌ）によりＩＰアドレスが割り当てられている場合に、ルータ１０がＤＨＣＰで割り当てた各ＩＰアドレスに対して所定時間毎にＰＩＮＧ（Ｐａｃｋｅｔ　ＩＮｔｅｒｎｅｔ　Ｇｒｏｐｅｒ）によりＩＣＭＰ（Ｉｎｔｅｒｎｅｔ　Ｃｏｎｔｒｏｌ　Ｍｅｓｓａｇｅ　Ｐｒｏｔｏｃｏｌ）などのプロトコルによるパケットデータを送信する。このパケットデータに対して各端末からの応答がない場合、空き時間判定部１１４は、このルータ１０を介して外部ネットワーク側にアクセスを行う端末がないと判断して、解析機能部１１３に対する不正侵入解析処理の実行開始を指示する。
【００４６】
このように構成することにより、ＤＨＣＰによりＩＰアドレスが割り当てられている端末だけについてその状態を調べて、各端末の状態に応じて不正侵入解析処理を実行するように構成できる。
【００４７】
〔第２実施形態〕
本発明の第２実施形態について、図５に基づいて説明する。
【００４８】
ルータ１０は、ルーティング処理を実行するためのルーティング機能部１１２を含むＣＰＵ１１１と、インターネットなどの外部ネットワークに接続されるＷＡＮ−ＩＦ１３１と、ＬＡＮなどの内部ネットワークに接続されるＬＡＮ−ＩＦ１３２と、ＷＡＮ−ＩＦ１３１およびＬＡＮ−ＩＦ１３２を介して送受信するパケットデータをルーティング機能部１１２に送信する蓄積インターフェイス２０１とを備えている。
【００４９】
ルーティング機能部１１２は、第１実施形態と同様に、外部ネットワークおよび内部ネットワークを流れるパケットデータの中継を行うために、各パケットデータの送信先アドレスに基づいて経路選択を行ってルーティング処理を行う。
【００５０】
ＷＡＮ−ＩＦ１３１およびＬＡＮ−ＩＦ１３２は、ルーティング処理のために蓄積インターフェイス２０１を介してルーティング機能部１１２にパケットデータを送出する。
【００５１】
蓄積インターフェイス２０１は、ＷＡＮ−ＩＦ１３１、ＬＡＮ−ＩＦ１３２とルーティング機能部１１２との間のパケットデータの受け渡しを行うとともに、このパケットデータを一旦アセンブルしてアドレスの書き換えなどのカプセル化処理をした後フラグメンテーション化し、ルータ１０に接続されている侵入解析用端末３０１に送信する。
【００５２】
侵入解析用端末３０１は、不正侵入解析用のアプリケーションを搭載した通常のパーソナルコンピュータで構成され、ルータ１０内のネットワークインターフェイス１３３を介して蓄積インターフェイス２０１と接続される。ネットワークインターフェイス１３３は、ＬＡＮ−ＩＦ１３２と共用することも可能であり、ルータ１０と侵入解析要端末３０１との間のデータ転送のみを行うインターフェイスで構成することも可能である。
【００５３】
侵入解析用端末３０１は、ルータ１０の蓄積インターフェイス２０１から送信されてくるパケットデータの不正侵入解析処理を実行し、その解析結果をルータ１０に送出する。侵入解析用端末３０１は、送信されてくるパケットデータについて逐次不正侵入解析処理を実行するように構成することも可能であり、また、送信されてくるパケットデータをハードディスクなどに蓄積しておいて、所定の解析開始タイミングに基づいて不正侵入解析処理を開始するように構成することも可能である。解析開始タイミングは、▲１▼侵入解析端末のオペレータが所定のボタンを操作する、▲２▼ユーザまたはルータ１０からの所定のパケットデータを受信する、▲３▼内部スケジューラに設定された開始タイミングを使用する、その他のトリガーを想定することが可能である。
【００５４】
このように構成した場合には、不正侵入解析処理を実行するための解析機能部をルータ１０のＣＰＵ１１１から分離することで、ＣＰＵ１１１が利用できるリソースが増えるため、ルーティング機能部１１２の処理能力を損なわれることがない。また、ルーティング機能部１１２においてルーティング処理が行われたパケットデータの不正侵入解析処理を、専用の侵入解析用端末３０１で詳細に行うことが可能であり、種々の攻撃パターンに対応して不正侵入を検知することが可能となる。
【００５５】
〔第３実施形態〕
本発明の第３実施形態を図６に基づいて説明する。
【００５６】
ルータ１０は、ＣＰＵ１１１と、ＷＡＮ−ＩＦ１３１、ＬＡＮ−ＩＦ１３２および仲介ＩＦ２０２を含んでいる。ＣＰＵ１１１は、ルーティング処理を実行するためのルーティング機能部１１２と、ルーティング機能部１１２でルーティング処理するパケットデータの不正侵入解析処理を行う解析機能部１１３を含んでいる。また、インターネットなどの外部ネットワークに接続されるＷＡＮ−ＩＦ１３１と、ＬＡＮなどの内部ネットワークに接続されるＬＡＮ−ＩＦ１３２とは、ＷＡＮ−ＩＦ１３１およびＬＡＮ−ＩＦ１３２を介して送受信するパケットデータをＣＰＵ１１１と送受信する仲介インターフェイス２０２に接続されている。
【００５７】
ルーティング機能部１１２は、第１実施形態と同様に、外部ネットワークおよび内部ネットワークを流れるパケットデータの中継を行うために、各パケットデータの送信先アドレスに基づいて経路選択を行ってルーティング処理を行う。
【００５８】
また、解析機能部１１３は、ルーティング機能部１１２でルーティング処理されるパケットデータの不正侵入解析処理をリアルタイムで実行するために、不正解析処理用のアプリケーションを実行するものである。
【００５９】
仲介インターフェイス２０２は、ＷＡＮ−ＩＦ１３１およびＬＡＮ−ＩＦ１３２を介して送受信するパケットデータを、各ネットワークインターフェイスとＣＰＵ１１１との間で仲介するものである。また、仲介インターフェイス２０２は、所定パケットデータを受信することにより、ＣＰＵ１１１に対して解析機能部１１３による不正侵入解析処理を中断する旨の中断信号を送信するように構成される。
【００６０】
たとえば、ＬＡＮ−ＩＦ１３２からのパケットデータ中に、特定のアドレスに対するパケットデータがあった場合には、仲介インターフェイス２０２は、このパケットデータに中断フラグを付加してＣＰＵ１１１に送信する。ＣＰＵ１１１では、中断フラグが付加されたパケットデータを受信してから一定時間が経過するまで、解析機能部１１３による不正解析処理を中断するように構成する。
【００６１】
このように構成することにより、ユーザが高速処理を希望するパケットデータについて、解析機能部１１３によるリアルタイムでの不正侵入解析処理を中断して処理速度を高速化することができる。
【００６２】
なお、仲介インターフェイス２０２にＨＤＤインターフェイス機能を持たせて、解析機能部１１３における不正侵入解析処理の中断中におけるパケットデータをＨＤＤに蓄積し、ＣＰＵ１１１の空き時間に不正侵入解析処理を実行させるように構成することも可能である。さらに、仲介インターフェイス２０２がネットワークインターフェイスを介して侵入解析用端末に接続される構成とし、不正侵入解析処理の中断中におけるパケットデータを侵入解析用端末に送信して不正侵入解析処理を実行させるように構成することも可能である。
【００６３】
〔第４実施形態〕
本発明の第４実施形態を図７に基づいて説明する。
【００６４】
ルータ１０は、ルーティング処理を実行するためのルーティング機能部１１２を含むＣＰＵ１１１と、インターネットなどの外部ネットワークに接続されるＷＡＮ−ＩＦ１３１と、ＬＡＮなどの内部ネットワークに接続されるＬＡＮ−ＩＦ１３２と、ＷＡＮ−ＩＦ１３１およびＬＡＮ−ＩＦ１３２を介して送受信するパケットデータをルーティング機能部１１２に送信する蓄積インターフェイス２０１とを備えている。
【００６５】
ルーティング機能部１１２は、外部ネットワークおよび内部ネットワークを流れるパケットデータの中継を行うために、各パケットデータの送信先アドレスに基づいて経路選択を行ってルーティング処理を行う。
【００６６】
ＷＡＮ−ＩＦ１３１およびＬＡＮ−ＩＦ１３２は、ルーティング処理のために蓄積インターフェイス２０１を介してルーティング機能部１１２にパケットデータを送出する。
【００６７】
蓄積インターフェイス２０１は、ＷＡＮ−ＩＦ１３１、ＬＡＮ−ＩＦ１３２とルーティング機能部１１２との間のパケットデータの受け渡しを行うとともに、このパケットデータをＨＤＤ１４１に蓄積する。ＨＤＤ１４１に蓄積されるパケットデータは、ペイロードを除いたものとすることができ、圧縮および／または暗号化したものとすることができる。
【００６８】
空き時間判定部１１４は、前述の実施形態に記載したように、ユーザのボタン操作、ユーザから送信されてくる所定のパケットデータ、スケジューラに予め設定された時刻、接続されている端末の状態情報などに基づいて解析開始タイミングを判定し、蓄積インターフェイス２０１に開始タイミング信号を送信する。
【００６９】
蓄積インターフェイス２０１は、ＬＡＮ−ＩＦ１３２またはその他のネットワークインターフェイスを介して侵入解析用端末３０１に接続されており、空き時間判定部１１４からの開始タイミング信号を受信することにより、ＨＤＤ１４１に蓄積されているパケットデータを読み出して、一旦アセンブルしカプセル化した後、フラグメンテーション化して侵入解析用端末３０１に送信すように構成される。
【００７０】
侵入解析用端末３０１は、不正侵入解析用のアプリケーションを搭載した通常のパーソナルコンピュータで構成され、蓄積インターフェイス２０１から送信されてきたパケットデータの不正侵入解析処理を実行し、その解析結果をルータ１０側に送信する。
【００７１】
このような構成にした場合、ＣＰＵ１１１の空き時間を判定して蓄積されたパケットデータを侵入解析用端末３０１に転送して、この侵入解析用端末３０１に不正侵入解析処理を実行させているため、ＣＰＵ１１１として低スペックのものを採用してもルーティング処理の能力を損なうことがない。
【００７２】
＜付記＞
（付記１）
ネットワークから受信したパケットデータをその制御情報に基づいて経路選択を行い該当する送信先へのルーティング処理を実行するルーティング処理部を含む中央処理ユニットと、
前記ルーティング処理部によるルーティング処理と併行して、ルーティング処理されるパケットデータを所定の蓄積手段に蓄積する蓄積処理部と、
前記蓄積手段に蓄積されたパケットデータが不正な侵入データであるか否かの解析を開始する解析開始タイミングを設定し、この解析開始タイミングに基づいてパケットデータが不正な侵入データであるか否かを判別するための不正侵入解析手段に対して前記蓄積手段に蓄積されたパケットデータの解析を開始させる解析開始処理手段と、
を備えるネットワーク中継装置。
（付記２）
前記蓄積処理部は前記不正侵入解析手段による解析が必要なパケットデータに対して解析フラグを設定して前記蓄積手段に蓄積し、前記不正侵入解析手段は前記解析フラグが設定されたパケットデータのみ解析を行う、付記１に記載のネットワーク中継装置。
（付記３）
前記中央処理ユニットが前記不正侵入解析手段を含み、前記解析開始処理手段は前記中央処理ユニットの稼働率が所定値以下になったときに解析開始タイミングを設定する、付記１または２に記載のネットワーク中継装置。
（付記４）
前記解析開始処理手段は、解析開始タイミングに関する指示入力を受け付ける受付手段を備え、前記受付手段により受け付けた指示入力に基づいて解析開始タイミングを設定する、付記１または２に記載のネットワーク中継装置。
（付記５）
前記解析開始処理手段は、前記ルーティング処理部に接続される端末の状態情報を取得し、各端末の状態情報に基づいて前記解析開始タイミングを設定する、付記１または２に記載のネットワーク中継装置。
（付記６）
前記ルーティング処理部に接続される端末のうちの少なくとも１つが前記不正侵入解析手段を備え、前記解析開始処理手段は解析開始タイミングに応じて前記蓄積手段に蓄積されたパケットデータをカプセル化して前記不正侵入解析手段を有する端末に送信する、付記１に記載のネットワーク中継装置。
（付記７）
前記蓄積処理部はハードディスクインターフェイスを備え、前記蓄積手段としてハードディスクドライブを内蔵する、付記１〜６のいずれかに記載のネットワーク中継装置。
（付記８）
前記蓄積処理部は、前記パケットデータを圧縮して前記蓄積手段に蓄積する、付記７に記載のネットワーク中継装置。
（付記９）
前記蓄積処理部は、前記パケットデータを暗号化して前記蓄積手段に蓄積する、付記７に記載のネットワーク中継装置。
（付記１０）
ネットワークから受信したパケットデータをその制御情報に基づいて経路選択を行い該当する送信先へのルーティング処理を実行するルーティング処理部および受信したパケットデータが不正な侵入データであるか否かの解析を行う不正侵入解析部を含む中央処理ユニットと、
前記不正侵入解析部による解析が不要であるパケットデータに解析不要フラグを設定し、前記不正侵入解析部による解析を一定時間中断させる解析中断処理手段と、
を備えるネットワーク中継装置。
【００７３】
【発明の効果】
本発明によれば、ルーティング処理の能力を低下させることなく、効率的に不正侵入の有無を解析可能なネットワーク中継装置を提供することができる。
【図面の簡単な説明】
【図１】本発明の概略構成を示すブロック図。
【図２】第１実施形態の制御ブロック図。
【図３】その変形例の制御ブロック図。
【図４】その変形例の制御ブロック図。
【図５】第２実施形態の制御ブロック図。
【図６】第３実施形態の制御ブロック図。
【図７】第４実施形態の制御ブロック図。
【図１】
2004007170.tif 000003
【図２】
2004007170.tif 000004
【図３】
2004007170.tif 000005
【図４】
2004007170.tif 000006
【図５】
2004007170.tif 000007
【図６】
2004007170.tif 000008
【図７】
2004007170.tif 000009