(57)【要約】【課題】購入及び管理コストの削減と攻撃検知の確度向上の両方を実現できる攻撃検知システム及び攻撃検知方法を提供する。【解決手段】攻撃検知システムは、パケットの入口ＩＮ１〜ＩＮｎを複数有するネットワーク１０に接続されたユーザＰＣ１１に対するパケット攻撃を検知する。この攻撃検知システムは、ネットワーク１０の複数の入口ＩＮ１〜ＩＮｎのそれぞれに配備され、複数の入口ＩＮ１〜ＩＮｎのそれぞれを経由してネットワーク１０に入るパケットから所定のパケット情報を抽出して出力するパケット情報転送装置Ｔ１〜Ｔｎと、パケット情報転送装置Ｔ１〜Ｔｎのそれぞれから出力されたパケット情報Ｐ１〜Ｐｎを受信し、分析し、分析結果情報を出力する侵入分析装置２０とを有する。【選択図】　　　　図１
2004145687.tif 000002
【特許請求の範囲】
【請求項１】
パケットの入口を複数有するネットワークに接続されたコンピュータに対するパケット攻撃を検知する攻撃検知システムであって、
前記ネットワークの複数の入口のそれぞれに配備され、前記複数の入口のそれぞれを経由して前記ネットワークに入るパケットから所定のパケット情報を抽出して出力するパケット情報転送装置と、
回線を通して前記パケット情報転送装置のそれぞれと情報交換可能なように設置され、前記パケット情報転送装置のそれぞれから出力されたパケット情報を受信し、分析し、分析結果情報を出力する侵入分析装置と
を有することを特徴とする攻撃検知システム。
【請求項２】
前記パケット情報転送装置のそれぞれが、前記侵入分析装置から出力された分析結果情報を受信し、受信した分析結果情報に基づいてパケット攻撃を防止するための対策を講じる対策ツールを内蔵していることを特徴とする請求項１に記載の攻撃検知システム。
【請求項３】
前記ネットワークの複数の入口のそれぞれに配備され、前記侵入分析装置から出力された分析結果情報を受信し、受信した分析結果情報に基づいてパケット攻撃を防止するための対策を講じる対策ツールを有することを特徴とする請求項１に記載の攻撃検知システム。
【請求項４】
前記パケット情報転送装置のそれぞれから転送される所定のパケット情報が、少なくともパケット数情報、受信したパケットと次に受信したパケットとの時間間隔情報、及びパケット経路情報を含むことを特徴とする請求項１から３までのいずれかに記載の攻撃検知システム。
【請求項５】
前記侵入分析装置が、前記ネットワークに接続された特定のユーザ群を含むテーブルを有し、
前記侵入分析装置による分析結果情報が前記テーブルに含まれるユーザのコンピュータに対する攻撃有りを示す情報である場合には、前記テーブルに含まれる全てのユーザのコンピュータに対して、パケット攻撃を防止するための対策を講じる
ことを特徴とする請求項２又は３のいずれかに記載の攻撃検知システム。
【請求項６】
前記パケット情報転送装置のそれぞれが、転送する情報を暗号化処理し、受信した情報を復号化処理する少なくとも一つの暗号・復号処理部を有し、
前記侵入分析装置が、送信する情報を暗号化処理し、受信した情報を復号化処理する少なくとも一つの暗号・復号処理部を有する
ことを特徴とする請求項１から５までのいずれかに記載の攻撃検知システム。
【請求項７】
前記パケット情報転送装置のそれぞれが、転送する情報を圧縮し、受信した圧縮情報を圧縮解除する圧縮・圧縮解除部を有し、
前記侵入分析装置が、送信する情報を圧縮し、受信した圧縮情報を圧縮解除する圧縮・圧縮解除部を有する
ことを特徴とする請求項１から６までのいずれかに記載の攻撃検知システム。
【請求項８】
ネットワークの複数の入口のそれぞれに配備されたパケット情報転送装置と、回線を通して前記パケット情報転送装置のそれぞれと情報交換可能なように設置された侵入分析装置とを有するシステムにおける攻撃検知方法であって、
前記パケット情報転送装置のそれぞれが、前記複数の入口のそれぞれを経由して前記ネットワークに入るパケットから所定のパケット情報を抽出して出力し、前記侵入分析装置が、前記パケット情報転送装置のそれぞれから出力されたパケット情報を受信し、分析し、分析結果情報を出力する
ことを特徴とする攻撃検知方法。
【請求項９】
前記パケット情報転送装置のそれぞれが、前記侵入分析装置から出力された分析結果情報を受信し、受信した分析結果情報に基づいてパケット攻撃を防止するための対策を講じることを特徴とする請求項８に記載の攻撃検知方法。
【請求項１０】
前記システムが、前記ネットワークの複数の入口のそれぞれに配備され、前記侵入分析装置から出力された分析結果情報を受信し、受信した分析結果情報に基づいてパケット攻撃を防止するための対策を講じる対策ツールを有し、
前記侵入分析装置が、分析結果情報を前記対策ツールのそれぞれに送信する
ことを特徴とする請求項８に記載の攻撃検知方法。
【請求項１１】
前記侵入分析装置が、ネットワークに接続された特定のユーザ群を含むテーブルを有し、
前記侵入分析装置による分析結果が前記テーブルに含まれるユーザのコンピュータに対する攻撃有りを示す場合には、前記テーブルに含まれる全てのユーザのコンピュータに対して、パケット攻撃防止対策を講じる
ことを特徴とする請求項９又は１０のいずれかに記載の攻撃検知方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、コンピュータネットワークにおける不正侵入攻撃を検知する攻撃検知システム及び攻撃検知方法に関する。
【０００２】
【従来の技術】
不正侵入の検知をパケット分析により行い、不正侵入が検知された場合に不正侵入防止対策を講じる侵入検知装置（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）の提案がある（例えば、特許文献１参照）。特許文献１に開示された侵入検知装置は、受信したパケットが不正であるか否かを判断する侵入分析ツール（特許文献１における「パケット分析手段１２０」）及び通信遮断等の対策を行う対策ツール（特許文献１における「対策手段１３０」）を内蔵している。
【０００３】
【特許文献１】
特開２００２−７３４３３号公報（図１、図２、及び段落００１８）
【０００４】
【発明が解決しようとする課題】
しかしながら、受信したパケットが不正なものであるか否かを判断する侵入分析ツールは高価であり、また、新種の攻撃に対応できるように常に最新の状態に更新（ハードウェアの交換又はソフトウェアの更新）し続けること（即ち、継続的なメンテナンス）が必要である。このため、上記した従来の侵入検知装置は、購入コストが高額であるばかりではなく、管理コストも高額にならざるを得なかった。
【０００５】
また、上記従来例においては、侵入分析ツール及び対策ツールを内蔵した侵入検知装置を、監視対象となるネットワーク毎（例えば、社内ＬＡＮ毎、又は、インターネット・サービス・プロバイダ（ＩＳＰ）毎）に配備しなければならなかった。このため、ネットワークの管理者（例えば、企業、又は、ＩＳＰ）にとっては、高額な購入コスト及び管理コストが大きな負担となった。
【０００６】
さらに、監視対象となるネットワークの入口が複数ある場合には、複数の入口を利用して分散型サービス拒否（ＤＤｏＳ：Ｄｉｓｔｒｉｂｕｔｅｄ　Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ）攻撃を仕掛けるというケースがありうる。ＤＤｏＳ攻撃時におけるネットワーク個々の入口からの攻撃パケットのトラヒック量は通常のトラヒック量とほとんど変わらないため、上記した従来の侵入検知装置は、ＤＤｏＳ攻撃の検知には適さなかった。
【０００７】
そこで、本発明は上記したような従来技術の課題を解決するためになされたものであり、その目的とするところは、購入及び管理コストの削減と攻撃検知の確度向上の両方を実現できる攻撃検知システム及びこのシステムにおいて実施される攻撃検知方法を提供することにある。
【０００８】
【課題を解決するための手段】
本発明に係る攻撃検知システムは、パケットの入口を複数有するネットワークに接続されたユーザ・コンピュータに対するパケット攻撃を検知する。この攻撃検知システムは、ネットワークの複数の入口のそれぞれに配備され、複数の入口のそれぞれを経由してネットワークに入るパケットから所定のパケット情報を抽出して出力するパケット情報転送装置と、回線を通してパケット情報転送装置のそれぞれと情報交換可能なように設置され、パケット情報転送装置のそれぞれから出力されたパケット情報を受信し、分析し、分析結果情報を出力する侵入分析装置とを有する。
【０００９】
また、本発明に係る攻撃検知方法は、ネットワークの複数の入口のそれぞれに配備されたパケット情報転送装置と、回線を通してパケット情報転送装置のそれぞれと情報交換可能なように設置された侵入分析装置とを有するシステムにおいて実施される。この攻撃検知方法においては、パケット情報転送装置のそれぞれが、複数の入口のそれぞれを経由して前記ネットワークに入るパケットから所定のパケット情報を抽出して出力し、侵入分析装置が、パケット情報転送装置のそれぞれから出力されたパケット情報を受信し、分析し、分析結果情報を出力する。
【００１０】
【発明の実施の形態】
第１の実施形態
図１は、本発明の第１の実施形態に係る攻撃検知システム（即ち、第１の実施形態に係る攻撃検知方法を実施するシステム）の構成を概略的に示す構成図である。
【００１１】
第１の実施形態に係る攻撃検知システムは、パケットの入口ＩＮ１〜ＩＮｎを複数有するネットワーク１０に接続されたユーザ・コンピュータ（ユーザＰＣ）（図１には１台のユーザＰＣ１１を示すが、実際には多数のユーザＰＣがルータ、ファイアウォール、サーバ等を経由して接続されている。）に対するパケット攻撃を検知するシステムである。第１の実施形態に係る攻撃検知システムは、複数台のパケット情報転送装置１２（個々を区別して説明する場合には、符号Ｔ１〜Ｔｎで示す。）と、パケット情報転送装置１２から転送されたパケット情報からパケット攻撃の有無、攻撃の種類、及び攻撃対象等を判断する侵入分析装置２０とから構成される。
【００１２】
パケット情報転送装置Ｔ１〜Ｔｎのそれぞれは、ネットワーク１０の複数の入口ＩＮ１〜ＩＮｎに配備されている。パケット情報転送装置Ｔ１〜Ｔｎのそれぞれは、複数の入口ＩＮ１〜ＩＮｎを通してネットワーク１０に入るパケットから所定のパケット情報（トラヒック情報）Ｐ１〜Ｐｎを抽出して出力する。通常、パケット情報転送装置Ｔ１〜Ｔｎのそれぞれから転送される所定のパケット情報Ｐ１〜Ｐｎは、パケット数情報、受信したパケットと次に受信したパケットとの時間間隔情報（フレームギャップ情報）、及びパケット経路情報が含まれる。これらの情報は、ＯＳＩ（Ｏｐｅｎ　Ｓｙｓｔｅｍｓ　Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）階層モデルにおける第２レイヤ（イーサネット・フレーム等）と、第３レイヤ（ＩＰヘッダ等）と、第４レイヤ（ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ）／ＵＤＰ（Ｕｓｅｒ　ＤａｔａｇｒａｍＰｒｏｔｏｃｏｌ）ヘッダ等）とに対応するものである。なお、第５レイヤ以上のユーザデータを、必要に応じて転送するように構成してもよい。
【００１３】
また、侵入分析装置２０は、回線を通してパケット情報転送装置Ｔ１〜Ｔｎのそれぞれと情報交換可能なように設置されている。第１の実施形態においては、侵入分析装置２０は、アプリケーション・サービス・プロバイダ（ＡＳＰ）２１に配備されている。但し、侵入分析装置２０は、回線を通してパケット情報転送装置Ｔ１〜Ｔｎのそれぞれと情報交換可能な場所であれば、他の場所に設置してもよい。第１の実施形態においては、パケット情報転送装置Ｔ１〜Ｔｎのそれぞれと侵入分析装置２０とは、インターネット３０を経由して接続されている。但し、パケット情報転送装置Ｔ１〜Ｔｎのそれぞれと侵入分析装置２０とを専用回線等のような他の回線を通じて接続してもよい。侵入分析装置２０は、パケット情報転送装置Ｔ１〜Ｔｎのそれぞれから出力されたパケット情報Ｐ１〜Ｐｎを受信し、分析し、分析結果情報を出力する。
【００１４】
侵入分析装置２０は、例えば、インターネット３０を経由して分析結果情報をパケット情報転送装置Ｔ１〜Ｔｎのそれぞれに送信する。パケット情報転送装置Ｔ１〜Ｔｎのそれぞれが対策ツールを内蔵している場合には、対策ツールが受信した分析結果情報に基づいてパケット攻撃を防止するための対策（例えば、攻撃パケットをフィルタリングによりブロックする）を講じる。なお、ネットワーク１０の複数の入口ＩＮ１〜ＩＮｎのそれぞれに配備され、侵入分析装置２０から出力された分析結果情報を受信し、パケット攻撃を防止するための対策を講じる対策ツールを、パケット情報転送装置Ｔ１〜Ｔｎとは別の位置に配備してもよい。
【００１５】
図２は、本発明の第１の実施形態に係る攻撃検知システムの侵入分析装置２０の構成を概略的に示す構成図である。
【００１６】
図２に示されるように、侵入分析装置２０は、暗号・復号処理部２０ａと、圧縮・圧縮解除部２０ｂと、暗号・復号処理部２０ｃと、侵入分析部２０ｄとを有する。暗号・復号処理部２０ａは、ネットワークレベルでの暗号化処理、及び、暗号を解読して復号化する処理（主に、ＴＣＰ／ＩＰ通信における暗号化通信用プロトコルであるＩＰＳｅｃ（ＩＰ　Ｓｅｃｕｒｉｔｙ　Ｐｒｏｔｏｃｏｌ）による暗号化・復号化処理）を行う。圧縮・圧縮解除部２０ｂは、データの圧縮処理、及び、圧縮されたデータ（例えば、トラヒック情報）を元の非圧縮の状態に戻す圧縮解除処理（例えば、ＬＨＡ（アーカイバの一例）等のような一般に用いられている圧縮処理、及び、圧縮解除処理）を行う。暗号・復号処理部２０ｃは、アプリケーションレベルでの暗号化処理、及び、暗号を解読して復号化する処理（主に、暗号化通信用プロトコルであるＳＳＬ（Ｓｅｃｕｒｅ　Ｓｏｃｋｅｔ　Ｌａｙｅｒ）における暗号化・復号化処理）を行う。侵入分析部２０ｄは、複数のパケット情報伝送装置Ｔ１〜Ｔｎのそれぞれからのパケット情報を受信し、分析し、分析結果情報を出力する。
【００１７】
図３は、本発明の第１の実施形態に係る攻撃検知システムのパケット情報転送装置１２（Ｔ１〜Ｔｎ）の構成を概略的に示す構成図である。
【００１８】
図３に示されるように、パケット情報転送装置１２（Ｔ１〜Ｔｎ）のそれぞれは、暗号・復号処理部１２ａと、圧縮・圧縮解除部１２ｂと、暗号・復号処理部１２ｃと、パケット情報分析部１２ｄとを有する。暗号・復号処理部１２ａは、ネットワークレベルでの暗号化処理、及び、暗号を解読して復号化する処理（主に、ＩＰＳｅｃによる暗号化・復号化処理）を行う。圧縮・圧縮解除部１２ｂは、データの圧縮処理、及び、圧縮されたデータ（例えば、トラヒック情報）を元の非圧縮の状態に戻す圧縮解除処理（例えば、ＬＨＡ等のような一般に用いられている圧縮処理、及び、圧縮解除処理）を行う。暗号・復号処理部１２ｃは、アプリケーションレベルでの暗号化処理、及び、暗号を解読して復号化する処理（主に、ＳＳＬにおける暗号化・復号化処理）を行う。パケット情報分析部１２ｄは、ネットワーク１０の入口ＩＮ１〜ＩＮｎから入るパケットを分析し、所定のパケット情報（トラヒック情報）Ｐ１〜Ｐｎを抽出して出力する。所定のパケット情報Ｐ１〜Ｐｎは、例えば、ＯＳＩ階層モデルにおける第２レイヤと、第３レイヤと、第４レイヤとに対応するものであるが、第５レイヤ以上のユーザデータを、必要に応じて転送するように構成してもよい。
【００１９】
上記した構成を有する第１の実施形態に係る攻撃検知システムにおいては、パケット情報転送装置Ｔ１〜Ｔｎのそれぞれが、複数の入口ＩＮ１〜ＩＮｎのそれぞれを経由してネットワーク１０に入るパケットから所定のパケット情報を抽出して出力し、侵入分析装置２０が、パケット情報転送装置Ｔ１〜Ｔｎのそれぞれから出力されたパケット情報Ｐ１〜Ｐｎを受信し、分析し、分析結果情報を出力する。パケット情報転送装置Ｔ１〜Ｔｎのそれぞれは、侵入分析装置２０から出力された分析結果情報を受信し、受信した分析結果情報に基づいてパケット攻撃を防止するための対策を講じる。
【００２０】
以上に説明したように、第１の実施形態に係る攻撃検知システムによれば、ネットワーク１０の入口のそれぞれには不正侵入分析機能を持たないパケット情報転送装置１２（Ｔ１〜Ｔｎ）を配備し、不正侵入分析機能を持つ高価な侵入分析装置２０はＡＳＰ２１に１台配備している。このため、第１の実施形態に係る攻撃検知システムによれば、システム購入コストの大幅な低減を図ることができる。
【００２１】
また、第１の実施形態に係る攻撃検知システムによれば、新種の攻撃に対応できるようにするためのハードウェア交換又はソフトウェア更新を１台の侵入分析装置２０に対して実施すればよい。このため、第１の実施形態に係る攻撃検知システムによれば、システム管理コストの大幅な低減を図ることができる。
【００２２】
さらに、第１の実施形態に係る攻撃検知システム又は攻撃検知方法によれば、ネットワーク１０の入口のそれぞれのトラヒック量を監視しているので、ネットワーク１０の１つの入口で受信するトラヒック量のみからは検知が困難なＤＤｏＳ攻撃のような攻撃をも検知でき、攻撃検知の確度向上を図ることができる。
【００２３】
第２の実施形態
図４は、本発明の第２の実施形態に係る攻撃検知システム（即ち、第２の実施形態に係る攻撃検知方法を実施するシステム）の構成を概略的に示す構成図である。
【００２４】
第２の実施形態に係る攻撃検知システムの監視対象は、複数のインターネット・サービス・プロバイダ（ＩＳＰ）５１〜５４を含むネットワーク５０である。なお、図４には４つのＩＳＰを描いているが、ＩＳＰの数は３以下又は５以上であってもよい。また、第２の実施形態においては侵入検知装置２０は、パケット攻撃の検知及び分析結果情報の配信を行う侵入分析業務提供会社２２に配備されている。第２の実施形態に係る攻撃検知システムは、パケット情報転送装置１２（個々を区別して説明する場合には、符号Ｔ１〜Ｔ４を付す。）と、侵入分析装置２０とから構成される。
【００２５】
パケット情報転送装置Ｔ１〜Ｔ４のそれぞれは、ネットワーク５０の複数の入口ＩＮ１〜ＩＮ４に配備されている。パケット情報転送装置Ｔ１〜Ｔ４のそれぞれは、複数の入口ＩＮ１〜ＩＮ４を通してネットワーク５０に入るパケットから所定のパケット情報（トラヒック情報）Ｐ１〜Ｐ４を抽出して出力する。
【００２６】
また、侵入分析装置２０は、インターネット４０を通してパケット情報転送装置Ｔ１〜Ｔ４のそれぞれと情報交換可能なように設置されている。侵入分析装置２０は、パケット情報転送装置Ｔ１〜Ｔ４のそれぞれから出力されたパケット情報Ｐ１〜Ｐ４を受信し、分析し、分析結果情報を出力する。
【００２７】
侵入分析装置２０は、分析結果情報をパケット情報転送装置Ｔ１〜Ｔ４のそれぞれに送信する。パケット情報転送装置Ｔ１〜Ｔ４のそれぞれが対策ツールを内蔵している場合には、対策ツールが受信した分析結果情報に基づいてパケット攻撃を防止するための対策（例えば、攻撃パケットをフィルタリングによりブロックする）を講じる。
【００２８】
なお、第２の実施形態において、上記以外の点は、上記第１の実施形態の場合と同じである。
【００２９】
第３の実施形態
図５は、本発明の第３の実施形態に係る攻撃検知システム（第３の実施形態に係る攻撃検知方法を実施するシステム）の侵入分析装置２３の構成を概略的に示す構成図である。図６は、第３の実施形態に係る侵入分析装置２３が持つテーブル２０ｅの説明図である。
【００３０】
上記第１及び第２の実施形態においては、侵入分析装置が攻撃対象となっているユーザＰＣを特定し、パケット情報転送装置Ｔ１〜Ｔｎが攻撃対象となっているユーザＰＣの攻撃防止対策を講じていた。第３の実施形態においては、攻撃対象となっているユーザＰＣに対してのみ攻撃防止対策を講じるのではなく、攻撃対象となっているユーザＰＣを含む特定のユーザＰＣ群に対して攻撃防止対策を講じる。
【００３１】
第３の実施形態においては、図５に示されるように、侵入分析部２０ｄが、関連性のあるユーザＰＣ群に関する情報のテーブル２０ｅを保持している。例えば、図６に示されるように、ＩＳＰ５１に接続さているユーザが、東京地区６１、大阪地区６２、及び九州地区６３である場合には、テーブル２０ｅには、東京地区６１のユーザ一覧データ、大阪地区６２のユーザ一覧データ、及び九州地区６３のユーザ一覧データを格納しておく。例えば、攻撃対象となったユーザＰＣが東京地区６１のユーザＰＣである場合には、次に同じ東京地区６１の他のユーザＰＣが攻撃対象となる可能性がある。従って、第３の実施形態においては、侵入分析部２０ｄが攻撃対象となっているユーザＰＣを特定した場合には、同じ地区のすべてのユーザＰＣに対して攻撃防止対策を講じる。第３の実施形態によれば、パケット攻撃を未然に防止できる。
【００３２】
なお、第３の実施形態において、上記以外の点は、上記第１又は第２の実施形態の場合と同じである。
【００３３】
【発明の効果】
以上に説明したように、本発明によれば、ネットワークの入口のそれぞれには不正侵入分析機能を持たないパケット情報転送装置を配備し、不正侵入分析機能を持つ高価な侵入分析装置は他の場所に１台配備すればよい。このため、本発明によれば、システム購入コストの大幅な低減を図ることができる。
【００３４】
また、本発明によれば、新種の攻撃に対応できるようにするためのハードウェア交換又はソフトウェア更新を１台の侵入分析装置に対して実施すればよい。このため、本発明によれば、システム管理コストの大幅な低減を図ることができる。
【００３５】
さらに、本発明によれば、ネットワークの１つの入口で受信するパケット情報のみからは検知が困難なＤＤｏＳ攻撃のような攻撃をも検知できるので、攻撃検知の確度向上を図ることができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係る攻撃検知システムの構成を概略的に示す構成図である。
【図２】本発明の第１の実施形態に係る攻撃検知システムの侵入分析装置の構成を概略的に示す構成図である。
【図３】本発明の第１の実施形態に係る攻撃検知システムのパケット情報転送装置の構成を概略的に示す構成図である。
【図４】本発明の第２の実施形態に係る攻撃検知システムの構成を概略的に示す構成図である。
【図５】本発明の第３の実施形態に係る攻撃検知システムの侵入分析装置の構成を概略的に示す構成図である。
【図６】本発明の第３の実施形態に係る侵入分析装置のテーブルの説明図である。
【符号の説明】
１０，５０　ネットワーク、
１１　ユーザＰＣ、
１２（Ｔ１〜Ｔｎ）　パケット情報転送装置、
１２ａ　暗号・復号処理部、
１２ｂ　圧縮・圧縮解除部、
１２ｃ　暗号・復号処理部、
１２ｄ　パケット情報分析部、
２０，２３　侵入分析装置、
２０ａ　暗号・復号処理部、
２０ｂ　圧縮・圧縮解除部、
２０ｃ　暗号・復号処理部、
２０ｄ　侵入分析部、
２０ｅ　テーブル、
２１　ＡＳＰ、
２２　侵入分析業務提供会社、
３０，４０　インターネット、
５１〜５４　ＩＳＰ、
ＩＮ１〜ＩＮｎ　ネットワークの入口、
Ｐ１〜Ｐｎ　パケット情報。
【図１】
2004145687.tif 000003
【図２】
2004145687.tif 000004
【図３】
2004145687.tif 000005
【図４】
2004145687.tif 000006
【図５】
2004145687.tif 000007
【図６】
2004145687.tif 000008