(57)【要約】【課題】悪意のあるパケットの攻撃を受けた際は当該パケットを受信せずに廃棄するようにして、ＰＣあるいはネットワーク機器への不正アクセスを低減させることのできるパケットフィルタ装置を提供することにある。【解決手段】受信した通信パケットをシフト伝播するシフトレジスタと、前記通信パケットを検出パターンと比較し一致不一致の数を求め、これを判定基準に照合して状態遷移を決定し、この状態遷移に基づいて前記シフトレジスタから出力されるパケットを通過または廃棄するパケット通過／廃棄制御部を備える。【選択図】　　　図１
2004140618.tif 000002
【特許請求の範囲】
【請求項１】
受信した通信パケットをシフト伝播するシフトレジスタと、
前記通信パケットを検出パターンと比較し一致不一致の数を求め、これを判定基準に照合して状態遷移を決定し、この状態遷移に基づいて前記シフトレジスタから出力されるパケットを通過または廃棄するパケット通過／廃棄制御部
を備えたことを特徴とするパケットフィルタ装置。
【請求項２】
前記パケット通過／廃棄制御部は、通信パケットを検出パターンと比較し一致不一致の結果を出力するパターン判定回路と、前記検出パターンを設定し保持する検出パターン設定保持回路と、前記パターン判定回路により得られたパターンの一致不一致のカウント値を判定基準に照合してパケットの通過または廃棄を決定する状態遷移決定回路と、前記判定基準を設定し保持する判定基準設定保持回路と、前記通信パケットのヘッダ情報を蓄積し同一ヘッダパターンをカウントするヘッダパターンキャッシュと、所定の一定時間内に前記同一ヘッダパターンのカウント値が判定基準を超えるとこのヘッダを有するパケットを廃棄するように前記検出パターン設定保持回路および判定基準設定保持回路にそれぞれ検出パターンと判定基準データを設定するキャッシュ管理・廃棄制御回路から構成されることを特徴とする請求項１記載のパケットフィルタ装置。
【請求項３】
パケットに埋め込まれた情報をもとに機械的にフィルタして行き、指定した情報と一致するかどうかの判定をハードウェア構成にて行うようにしたことを特徴とする請求項１または２記載のパケットフィルタ装置。
【請求項４】
ネットワークに接続された機器と、
この機器の前段に設置された請求項１または２または３のパケットフィルタ装置
を備え、前記機器への不正アクセスや、サービス不能（ＤｏＳ）攻撃を低減するように構成したことを特徴とする不正アクセス検知装置。
【請求項５】
前記機器がファイアウォールを搭載したゲートウェイやルータなどのネットワーク機器であり、ネットワーク機器への不正アクセスを低減するように構成したことを特徴とする請求項４記載の不正アクセス検知装置。
【請求項６】
前記機器がネットワーク経由で悪意あるパケットによる攻撃を受けたときに攻撃パケットの内容を解析して不正アクセスを検知する機能（ＩＤＳ）を搭載した機器であり、不正アクセスの検出率が高められるように構成したことを特徴とする請求項４記載の不正アクセス検知装置。
【請求項７】
ネットワークに接続され、ネットワーク経由で悪意あるパケットによる攻撃を受けたときに攻撃パケットの内容を解析して不正アクセスを検知する機能（ＩＤＳ）を有するサーバ機器と、
このサーバ機器の前段に設置される請求項１または２または３のパケットフィルタ装置を備え、ネットワークのＯＳＩモデルにおける下位層が前記パケットフィルタ装置に割り当てられ、上位層がサーバ機器に割り当てられたことを特徴とする不正アクセス検知装置。
【請求項８】
前記パケットフィルタ装置を、前記サーバ機器宛の通信のうち必要なパケットは通過させ、ＤｏＳ攻撃は除去するように構成したことを特徴とする請求項７記載の不正アクセス検知装置。
【請求項９】
前記パケットフィルタ装置は、ＯＳＩモデルにおけるレイヤ１から４までの下位層に関連する攻撃を除去するように構成されたことを特徴とする請求項７記載の不正アクセス検知装置。
【請求項１０】
前記サーバ機器のＩＤＳ機能は、上位アプリケーションに関連する不正アクセスを監視し、ＯＳＩモデルにおけるレイヤ４から７までの上位層に関連する攻撃を除去する機能を含むことを特徴とする請求項７記載の不正アクセス検知装置。
【請求項１１】
前記ネットワークに接続されるサーバ機器は複数個であり、前記パケットフィルタ装置が複数個用意されて各サーバ機器にそれぞれ前置され、各サーバに必要なフィルタ機能が各パケットフィルタ装置によりそれぞれ実現されるように構成したことを特徴とする請求項７記載の不正アクセス検知装置。
【請求項１２】
前記サーバ機器は不正アクセスを検知した際その不正アクセスを遮断するためのパケットフィルタ設定を前記パケットフィルタ装置に対して動的に制御し、
前記パケットフィルタ装置はそのパケットフィルタ設定に応じて特定のパケットを破棄するように構成されたことを特徴とする請求項７ないし１１のいずれかに記載の不正アクセス検知装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、インターネットを含む通信ネットワークにおいて、悪意を持ったパケットを送信するなどの不正アクセスの侵入を検知し除去することのできるパケットフィルタ装置およびその装置を用いた不正アクセス検知装置に関するものである。
【０００２】
【従来の技術】
インターネットを含む通信ネットワークにおいて、通信データはパケットという単位で送信されている。
ところで、悪意をもったパケットを送信することにより、ネットワーク機器を通信不能にしたり、ネットワークへ接続されたＰＣへ不正アクセスしたりすることがあり、これが社会問題化している。
【０００３】
図７は、周知のネットワークシステムの一例を示す構成図である。図において、１０は攻撃を受けるパーソナルコンピュータ（ＰＣ）もしくはネットワーク機器（以下総称してＰＣ、または機器という）であり、その内部にはネットワークインターフェイスカード（以下単にインターフェイスという）１１と中央処理装置（ＣＰＵ）１２を備えている。２０は攻撃をする悪意あるＰＣである。３０はインターネットあるいは構内ＬＡＮなどの通信ネットワークである。
【０００４】
このような構成において、悪意のあるＰＣ２０からネットワーク３０経由で悪意あるパケットが機器１０へ送信されると、機器１０のインターフェイ１１は受信した攻撃パケットをＣＰＵ１２へ転送する。ＣＰＵ１２は受信した攻撃パケットのヘッダ内容を解析する機能を有しており、悪意のある攻撃パケットに含まれる特定のパターンによって誤動作を起こしてしまう。
【０００５】
悪意のあるＰＣ２０からの攻撃手法としては、上記の他に、悪意のあるパケットを繰返し大量に送信することにより、ＣＰＵ１２の処理能力の限界を超えさせ処理動作不能に陥らせるサービス不能攻撃手法もある｛サービス不能（ＤｏＳ：Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ　）攻撃については、例えば特許文献１参照｝。
【０００６】
機器１０としては、例えば企業や官庁のサーバ、あるいはファイアウォール（Ｆｉｒｅｗａｌｌ）搭載のゲートウエイ（Ｇａｔｅｗａｙ）ＰＣやルータ（Ｒｏｕｔｅｒ）などのネットワーク機器、または侵入検出装置（ＩＤＳ）などである。
【０００７】
なお、ファイアウォールについては例えば特許文献２、ゲートウエイについては例えば特許文献３、ルータについては例えば特許文献１および特許文献２、ＩＤＳについては例えば特許文献１にそれぞれ記載されている。
【０００８】
【特許文献１】
特開２００２−２５２６５４号公報（第３頁）
【特許文献２】
特開２０００−２６１４８３号公報
【特許文献３】
特開平１０−２７１１５４号公報
【０００９】
【発明が解決しようとする課題】
しかしながら、上記のような従来の構成においては、次のような課題があった。
（１）機器１０が企業や官庁などのサーバであった場合は、攻撃パケットにより処理不能になると、当該サーバへ侵入されて、サービス停止で金銭的な損失が発生したり、重要機密データが漏洩するなどの問題が生じる。
【００１０】
（２）機器１０がファイアウォールを搭載したゲートウエイＰＣやルータなどのネットワーク機器であった場合には、ファイアウォール・ソフトウェアを処理するＣＰＵ１２の負荷が増大してファイアウォール機能が動作不能に陥り、内部ネットワークへの不正アクセスが可能になる。
【００１１】
（３）機器１０がＩＤＳであった場合は、ＣＰＵ１２の処理負荷が増加すると不正アクセスの検出率が下がり、不正侵入を見落としやすくなる。これにより内部ネットワークへの不正アクセスが可能になる。
【００１２】
（４）不正侵入検知のためにＩＤＳを設置する際、監視対象の複数サーバと同一セグメントにリピータＨＵＢで接続したり、スイッチのミラーポートやＴＡＰを利用するなど、ネットワーク構築が煩雑で難しかった。また、ＩＤＳを遠隔管理するためにファイアウォールの設定を変更しなければならない場合など、運用上の危険を伴う操作が必要な場合もあった。
すなわち、ＩＤＳやファイアウォールの設置や運用において、ネットワークのスケーラビリティ（拡張性）が低いということが問題であった。
【００１３】
（５）ＤｏＳ攻撃を受けた場合、不正アクセスを検知してから実際に対策を行うまでの間も攻撃を受け続けるため、サービスが停止してしまう可能性がある。
【００１４】
本発明の目的は、上記の課題を解決するもので、悪意のあるパケットの攻撃を受けた際は当該パケットを受信せずに廃棄するようにして、ＰＣあるいはネットワーク機器への不正アクセスを低減させることのできるパケットフィルタ装置を提供することにある。
【００１５】
本発明の他の目的は、上記のパケットフィルタ装置を用いると共に機器の不正アクセスを検知するための処理を低減し、不正アクセスの検知率を高めることのできる不正アクセス検知装置を提供することにある。
【００１６】
【課題を解決するための手段】
このような目的を達成するために、請求項１のパケットフィルタ装置の発明では、
受信した通信パケットをシフト伝播するシフトレジスタと、
前記通信パケットを検出パターンと比較し一致不一致の数を求め、これを判定基準に照合して状態遷移を決定し、この状態遷移に基づいて前記シフトレジスタから出力されるパケットを通過または廃棄するパケット通過／廃棄制御部
を備えたことを特徴とする。
このような構成によれば、攻撃パケットのパターンを検出した場合、容易に攻撃パケットを廃棄できる。また、特定のアドレス宛のパケットのみを通過させるように設定することも容易に可能である。
【００１７】
この場合、請求項２のような要素により構成することができ、そして請求項３のように指定した情報と一致するかどうかの判定処理をハードウェア構成にて行うようにしているため、このパケットフィルタ装置はＯＳＩの２層目以上を持たない単なるハードウェアとして認識される。
したがって、外部からの不正アクセスなどによりシステム故障することはなくネットワークの構成に影響を与えることが極めて少ないパケットフィルタ装置が得られる。
【００１８】
請求項４の不正アクセス検知装置は、
ネットワークに接続された機器と、この機器の前段に設置された請求項１または２または３のパケットフィルタ装置を備え、前記機器への不正アクセスを低減させるようにしたことを特徴とする。
【００１９】
この場合、請求項５のように前記機器としては、ファイアウォールを搭載したゲートウェイやルータなどのネットワーク機器、あるいは請求項６のようにＩＤＳ機能を搭載した機器でも構わない。
【００２０】
請求項７の発明は、
ネットワークに接続され、ＩＤＳ機能を有するサーバ機器と、
このサーバ機器の前段に設置される請求項１または２または３のパケットフィルタ装置を備え、ネットワークのＯＳＩモデルにおける下位層が前記パケットフィルタ装置に割り当てられ、上位層がサーバ機器に割り当てられたことを特徴とする。
このように、パケットフィルタ装置で下位層の不正アクセスを除去するとサーバ機器の処理トラフィック量は容易に低減される。またサーバ機器では、監視対象を上位層で判断すべき不正アクセスのみに限定しているため、容易に監視処理のパフォーマンスを向上することができる。
【００２１】
この場合、請求項８のように、パケットフィルタ装置を、前記サーバ機器宛の通信のうち必要なパケットは通過させ、ＤｏＳ攻撃は除去するように構成することができる。
【００２２】
また、前記パケットフィルタ装置は、請求項９のように、ＯＳＩモデルにおけるレイヤ１から４までの下位層に関連する攻撃を除去するように構成することができる。
さらに、前記サーバ機器のＩＤＳ機能には、請求項１０のように上位アプリケーションに関連する不正アクセスを監視し、ＯＳＩモデルにおけるレイヤ４から７までの上位層に関連する攻撃を除去する機能を含ませることができる。
【００２３】
また、請求項１１のように、前記ネットワークに接続されるサーバ機器が複数個用意され、その各サーバ機器にはパケットフィルタ装置をそれぞれ前置し、各サーバに必要なフィルタ機能を前置したパケットフィルタ装置によりそれぞれ実現するようにした構成とすることもできる。
【００２４】
また、請求項１２のように、サーバ機器は、不正アクセスを検知した際その不正アクセスを遮断するためのパケットフィルタ設定を前記パケットフィルタ装置に対して動的に制御し、パケットフィルタ装置はそのパケットフィルタの設定に応じて特定のパケットを破棄する構成とすることもできる。
【００２５】
【発明の実施の形態】
以下図面を用いて本発明を詳しく説明する。図１は本発明に係るパケットフィルタ装置の一実施例を示す要部構成図である。図２はこのパケットフィルタ装置を使用した不正アクセス検知装置の一例を示す図である。
【００２６】
なお、本発明のパケットフィルタ装置は、ハードウェアで構成され、本装置をネットワークに接続しても外部からの不正アクセスなどによりシステム故障が起こることはなく、ネットワークの構成に影響を与えることが極めて少ないという特徴がある。
【００２７】
図１に示されるパケットフィルタ装置４０おいて、４１は複数個のフリップフロップを直列接続したものであり、受信されたパケットデータを動作クロックに同期してシフトするシフトレジスタ回路、４２は受信されたパケットデータが検出パターンに一致するか否かを判定するパターン判定回路、４３は前記検出パターンを設定し保存しておく検出パターン設定保持回路である。
【００２８】
４４はパターン判定回路４２の結果と判定基準データを基にパターンを通過させるか廃棄するかを決定する状態遷移決定回路、４５は前記判定基準データを設定し保存しておく判定基準設定保持回路、４６はシフトレジスタ回路４１から出力されるパケットを状態遷移決定回路４４の決定に従って通過または廃棄するパケット通過／廃棄制御回路である。
【００２９】
４７は受信データのヘッダ情報を一定時間蓄積するヘッダパターンキャッシュ、４８は一定時間内に判定基準を超える回数の同一ヘッダのパケットがキャッシュ４７内に存在した場合、このヘッダを有するパケットを廃棄するように前記検出パターン設定保持回路４３および判定基準設定保持回路４５へ検出パターンおよび判定基準をそれぞれ設定するキャッシュ管理・廃棄制御回路である。
以上のような構成要素から成るパケットフィルタ装置４０は、図２に示すように機器１０の直前に挿入される。
【００３０】
なお、パターン判定回路４２、検出パターン設定保持回路４３、状態遷移決定回路４４、判定基準設定保持回路４５、パケット通過／廃棄制御回路４６、ヘッダパターンキャッシュ４７およびキャッシュ管理・廃棄制御回路４８から成る部分を、ここではパケット通過／廃棄制御部と呼ぶ。
【００３１】
このように構成された装置の動作を次に説明する。動作は次のＡ，Ｂの２通りに大別できる。なお、Ａ，Ｂの動作は同時に行われる。
【００３２】
［動作Ａ］
（１）受信した通信パケットは、シフトレジスタ４１と、パターン判定回路４２に伝達される。
（２）パターン判定回路４２は、検出パターン設定保持回路４３から検出パターンデータを受け取り、受信した通信パケットとの比較（パターンマッチング）を行う。パターンが一致したかどうかの結果は状態遷移決定回路４４へ渡される。
【００３３】
（３）状態遷移決定回路４４は、受け取った結果（一致／不一致）をカウントし、判定基準設定保持回路４５の判定基準データに照らし合わせる。一定の基準を満たすと、パケットの通過または廃棄を決定する。決定情報はパケット通過／廃棄制御回路４６へ伝えられる。
【００３４】
（４）上記の（２）、（３）の動作中に受信されたパケットはシフトレジスタ４１内に保持されている。シフトレジスタ４１はＦＩＦＯ構成のバッファメモリではなく直列接続のフリップフロップで構成されていて、回路の動作クロックに同期しながらシフト伝播していく。このシフトレジスタ４１は、パターンが判定され、状態遷移決定回路４４で判定結果が出力されるまでの間、データを保持できるだけの長さがある。
【００３５】
（５）パケット通過／廃棄制御回路４６は、シフトレジスタ４１から出力されるパケットデータを、状態遷移決定回路４４が出力する通過／廃棄の決定に従って通過または廃棄する。
（６）攻撃から保護したい機器１０からネットワーク３０に向かって送出されるパケットは、機器１０が信頼できる機器と想定してパケットフィルタをしない。もし、双方向のパケットフィルタが必要であれば、パケットフィルタ装置を２つ用意すれば実現可能である。
【００３６】
［動作Ｂ］
（１）受信した通信パケットは、シフトレジスタ４１およびパターン判定回路４２と共に、ヘッダパターンキャッシュ４７にも伝達される。
（２）ヘッダパターンキャッシュ４７は、内部にキャッシュメモリを有し、受信データのヘッダ情報をそのキャッシュメモリ内に一定時間蓄積する。キャッシュメモリ内には、受信した通信パケットの内から特定の同一パターンの個数をカウントするメモリが含まれており、同一パターンのパケットを受信するとそのカウンタ数値が増加する。
【００３７】
（３）キャッシュ管理・廃棄制御回路４８は前記キャッシュ４７のキャッシュメモリの蓄積時間等を管理する。一定時間が経過しても判定基準に満たないカウント値のキャッシュ情報はキャッシュメモリから消去される。
（４）キャッシュ管理・廃棄制御回路４８は、一定時間内に判定基準を超える回数の同一ヘッダのパケットがキャッシュメモリ内に存在した場合、このヘッダを有するパケットを廃棄する設定を、検出パターン設定保持回路４３および判定基準設定保持回路４５へそれぞれ設定する。
【００３８】
（５）状態遷移決定回路４４は、キャッシュ管理・廃棄制御回路４８の設定したデータ（検出パターンおよび判定基準値）に基づいて、動作Ａと同様な処理によりパケットの通過／廃棄を決定し、この情報をパケット通過／廃棄制御回路４６へ伝える。
（６）パケット通過／廃棄制御回路４６は、シフトレジスタ４１から出力されるパケットデータを、状態遷移決定回路４４が出力する通過／廃棄の判定結果に従ってパケットを通過または廃棄する。
【００３９】
（７）攻撃から保護したい機器１０からネットワーク３０に向かって送出されるパケットは、機器１０が信頼できる機器と想定してパケットフィルタをしない。もし、双方向のパケットフィルタが必要であれば、パケットフィルタ装置を２つ用意すれば実現可能である。
【００４０】
以上のようなパケットフィルタ装置によれば、次のような効果がある。
（１）図２に示すように、ネットワーク３０を介して外部から攻撃を受ける機器１０の直前に配置したパケットフィルタ装置４０はハードウェアのみで構成されるため、外部からの不正アクセスなどによりシステム故障が起こることはなく、ネットワークの構成に影響を与えることが極めて少ない。
【００４１】
（２）パケットフィルタ装置４０は、攻撃パケットのパターンを検出した場合、攻撃パケットを廃棄するので、機器１０を不正アクセスから守ることができる。（３）例えば、機器１０のＩＰアドレス（ａｄｄｒｅｓｓ）が１９２．１６８．１００．１であった場合、アドレス１９２．１６８．１００．１宛てのパケットのみを通過させるように設定すれば、前述の動作Ａに従って不要なパケットを受信しないことにより、機器１０のＣＰＵ負荷を減らすことができ、機器１０の動作効率を上げることが可能になる。
【００４２】
（４）例えば、悪意ある攻撃者のＩＰアドレス（図では？？？．？？？．？？？．？？？）から大量のｐｉｎｇパケットが機器１０のＩＰアドレス（図では１９２．１６８．１００．１）へ送信されて来た場合、ヘッダ内容が同一である大量のパケットがキャッシュメモリ４７内でカウントされる。一定カウント値を超えると廃棄するように動作Ｂの設定をすることにより、このようなＤｏＳ攻撃から機器１０を守ることができる。
【００４３】
なお、本発明は上記実施例に限定されることなく、その本質から逸脱しない範囲で更に多くの変更、変形をも含むものである。
例えば、図２において、機器１０がファイアウォールを搭載したゲートウエイＰＣやルータなどのネットワーク機器であった場合、ネットワーク３０側に接続されるネットワークインターフェイスカード１１のＭＡＣアドレス宛てのパケットのみを受信するように設定することにより、機器１０の動作効率が上がるとともに、攻撃パケットによってファイアウォール機能が動作不能に陥ることを回避することができ、内部ネットワークへの不正アクセスを遮断することが可能になる。
【００４４】
ファイアウォール自体にもこのようなフィルタ機能は備わっているが、攻撃パケットが大量に送られた場合には、ファイアウォール・ソフトウェアを処理するＣＰＵの負荷が増大してファイアウォール機能自体が停止してしまうことがある。したがって、ハードウェアのパケットフィルタ装置４０を用いることはファイアウォールにおいても有効である。
【００４５】
また、図２において、機器１０がＩＤＳであった場合、ＩＤＳで検出する必要のない無害なパケットや、ＩＤＳのセキュリティポリシーで検出不要としたパケットを、パケットフィルタ装置４０であらかじめ除去することにより、ＩＤＳ装置のＣＰＵの処理負荷を低減することが可能になる。
ＩＤＳ装置は処理負荷を低減させることにより、不正アクセスの検出率が上がって不正侵入を発見しやすくなり、内部ネットワークを守ることができる。
【００４６】
図３は不正アクセス検知装置の他の構成例である。この不正アクセス検知装置では１つの侵入検出装置（ＩＤＳ）を用いて各機器への不正アクセスを検出するようにしている。
【００４７】
図３において図２と同等部分には同一符号を付してある。図において、１０ａは侵入検出装置（ＩＤＳ）、５０は侵入検出装置１０ａの直前のネットワーク側に挿入接続されたファイアウォール、１００はファイアウォール５０を介してネットワーク３０に接続されたＷＷＷサーバ、１１０はファイアウォール５０を介してネットワーク３０に接続されたＦＴＰサーバである。
【００４８】
ファイアウォール５０は特定の通信パケットのみを通過させたり廃棄させたりするためのソフトウェアであり、一般的に外部ネットワークと内部ネットワーク（構内ＬＡＮなど）との間に設置し、内部ネットワークを保護する。
【００４９】
ＩＤＳ１０は、ネットワークからの信号を受信するネットワークインターフェイスカード（ＮＩＣ：Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）１１と、受信したパケットを解析して不正アクセスか否かを判断し不正アクセスの場合は警告を発する機能を有する中央処理装置（ＣＰＵ：Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）１２を備えている。
【００５０】
なお、ファイアウォール５０とＩＤＳ１０ａは共にソフトウェアであり、これらを動作させているＰＣ自体が動作不能になった場合には、これらソフトウェアの機能も停止あるいは低下する。
【００５１】
このような構成において、機器２０から悪意あるパケットをネットワーク３０経由で送信すると、侵入検出装置１０ａはすべてのパケットをネットワークインターフェイスカード１１から受信し、ＣＰＵ１２で不正アクセスかどうかを検出する。不正アクセスが検出されると、ネットワーク管理者はその対策を行う。
【００５２】
しかしながら、このような不正アクセス検知装置では次の（１）〜（３）のような問題がある。
（１）ＩＤＳ１０ａの処理能力には限界があるため、ネットワーク帯域使用率が高い（すなわち通信トラフィック量が多い）場合は、不正アクセスを見逃してしまう検知漏れが発生する。
【００５３】
（２）サービス不能（ＤｏＳ：Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ）攻撃を受けた場合、不正アクセスを検知してから実際に対策を行うまでの間も攻撃を受け続けるため、サービスが停止してしまう可能性がある。
（３）すべての通信パケットがＩＤＳ１０ａに伝わるようにネットワーク構成を工夫する必要がある。
【００５４】
図４はこの点を解決する分散型ＩＤＳ構成の不正アクセス検知装置の一実施例図である。本実施例の不正アクセス検知装置は、ＩＤＳが負担している処理を分散させることによりＩＤＳでの処理負荷を低減し、不正アクセスの検知率を高めることができる。また、ＩＤＳだけで防ぎきれないＤｏＳ攻撃から攻撃対象となっている機器を守ることもできる。
さらに、ＩＤＳの設置に関わる制限をなくし、ネットワークスケーラビリティを高めることができる。
【００５５】
図４において図３と同等部分には同一符号を付してある。図において、４０ａは４０と同等のパケットフィルタ装置である。１００ａはＷＷＷサーバである。ただし、ＷＷＷサーバ１００ａは図３におけるＷＷＷサーバとは異なり、サーバ内にＩＤＳ機能１０１を備えている。また、ＦＴＰサーバ１１０ａについても同様に、図３におけるＦＴＰサーバとは異なり、内部にＩＤＳ機能１１１を備えている。
【００５６】
このような構成における動作を次に説明する。なお、図５は、分散型ＩＤＳ構成とＯＳＩ参照モデルの構成との対比を表わす。
（１）機器２０から悪意あるパケットをネットワーク３０経由で送信して、ファイアウォール５０を越えて機器１００ａへ不正アクセスしたとする。
【００５７】
（２）パケットフィルタ４０は機器１００ａ宛の通信の内、必要なパケットのみを通過させるだけでなく、大量パケット送信で相手の息の根を止めるｐｉｎｇ爆弾やＳＹＮフラッド攻撃（ＳｙｎＦｌｏｏｄ攻撃）などのＤｏＳ攻撃を除去して機器１００ａを守る。
この動作は、概念的には図５のＯＳＩモデルにおける下位層（レイヤ１から４まで）に関連する攻撃を除去するものである。
【００５８】
（３）機器１００ａはＩＤＳ機能を搭載しており、上位アプリケーションに関連する不正アクセスを重点的に監視する。この動作は、概念的には図５のＯＳＩモデルにおける上位層（レイヤ４から７まで）に関連する攻撃を除去するものである。（４）パケットフィルタ装置４０と機器１００ａの分担範囲は重なっていても良く、不正アクセスの解析難易度は低いが高速処理が必要である下位層は主にハードウェアで実装し、解析難易度が高くて一定期間の通信セッションを記憶する必要のある上位層を主にソフトウェアで実装する。
【００５９】
このような構成によれば次のような効果がある。
（１）パケットフィルタ装置４０は、パケットヘッダー部分に埋め込まれた情報［ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレス、ＩＰアドレス、パケットタイプ、ポート番号など］をもとに機械的にフィルタして行く。指定した情報と一致するかどうかの判定をハードウェアで実装するため、ネットワークトラフィック量が増えても１００％処理することが可能である。
【００６０】
（２）パケットフィルタ装置４０は、機器１００ａに到達するパケットを限定するため、機器１００ａの処理トラフィック量を低減することができる。
（３）パケットフィルタ装置４０は、下位層の不正アクセスを除去するため、機器１００ａの処理トラフィック量を低減することができる。
【００６１】
（４）機器１００ａは、上位層で判断すべき不正アクセスのみに監視対象を限定するため、監視処理のパフォーマンスが向上する。監視対象が多ければ多いほど、処理漏れが生じやすい。すなわち、監視対象が多いほど監視処理のパフォーマンスは低下する。
【００６２】
（５）機器１００ａまたは機器１１０ａなどのように、各サーバ機器がＩＤＳ機能を持つことにより、従来のようにＩＤＳ機器の配置やＩＤＳ機器へのネットワーク経路確保を検討する必要がなくなり、ネットワークスケーラビリティが高まる。
【００６３】
図６は分散型ＩＤＳ構成の不正アクセス検知装置の他の実施例を示す構成図である。本装置はＩＤＳ機能とパケットフィルタ装置が連動する点が図４の装置とは異なる。
【００６４】
図６において、機器１００ａで上位層の不正アクセスが検知された場合には、機器１００ａがパケットフィルタ装置４０の設定を動的に制御する。以下動作を説明する。
（１）機器２０が悪意あるパケットをネットワーク３０経由で送信し、ファイアウォール５０を越えて機器１１０ａへ不正アクセスしたとする。
（２）パケットフィルタ装置４０は、機器１００ａ宛の通信のうち、必要なパケットのみを通過させるだけでなく、ＳｙｎＦｌｏｏｄ攻撃などのＤｏＳ攻撃を除去して機器１００ａを守る。
（３）機器１００ａは、ＩＤＳ機能を搭載しており、上位アプリケーションに関連する不正アクセスのみを監視する。
【００６５】
（４）機器１００ａは、不正アクセスを検出すると、その不正アクセスを遮断するためのパケットフィルタ設定をパケットフィルタ装置に対して動的に制御する。ここで、「動的に制御する」という表現は、設定内容が時間的に変化することを意味している。例えば、一定時間だけ特定のプロトコルを破棄したり、一定時間だけ特定のＩＰアドレスからのアクセスを破棄したり、といった制御がある。（５）パケットフィルタ装置４０は、機器１００ａからの設定に応じて特定のパケットを破棄することで、不正アクセスと思われる通信セッションを遮断する。
【００６６】
図６に示すような構成の発明によれば次のような効果がある。
（１）下位層での不正アクセスは正常なアクセスと見分けることが困難であるため、下位層で厳しいアクセス制限を設けることは難しい。それに対して、上位層での不正アクセスは明らかに不正であることが多いので、上位層での結果をもって下位層へのアクセス制限を設定することは、容易であり、より確実なセキュリティ効果が期待できる。
【００６７】
（２）ＩＤＳが不正アクセスの検出という処理に専念すると同時に、別の機器（フィルタ装置）では不正アクセスを遮断するという役割分担を明確にすることにより、負荷が分散され、それぞれの機器は処理負荷が軽減されて容易に性能の向上を図ることができる。
【００６８】
（３）各サーバに対して個別にパケットフィルタ装置を前段に設置することにより、各サーバに必要なフィルタだけを設定することができる。そのため、インターネットへの接続口の大元であるファイアウォール機器に適用されているポリシーを変更する必要がなくなる。ファイアウォールの設定を変更するのは大変な作業であり、これを動的に変更するとネットワークの維持管理がより難しくなる。（４）サーバの設置場所を変更しても、移設先のファイアウォールの設定を変更する必要がなく、ネットワークスケーラビリティが高まる。
【００６９】
【発明の効果】
以上説明したように本発明のパケットフィルタ装置によれば次のような効果がある。
（１）攻撃パケットのパターンを検出した場合そのパターンを容易に廃棄することができる。また、特定のアドレス宛のパケットのみを通過させるように設定することも容易にできる。
（２）また、大量のｐｉｎｇパケットやＳｙｎＦｌｏｏｄ攻撃パケットなどについてもそのパケットを容易に廃棄することができ、ＤｏＳ攻撃にも対処できる。
【００７０】
また、本発明の不正アクセス検知装置によれば次のような効果がある。
（１）他方、本発明の不正アクセス検知装置によれば、パケットフィルタ装置に後置された機器がファイアウォールを搭載したゲートウェイやルータなどのネットワーク機器であった場合、ネットワーク側に接続されるインターフェイスのＭＡＣアドレス宛のパケットのみを受信するように設定することにより、容易に機器の動作効率を上げることができると共に内部ネットワークへの不正アクセスを遮断することができる。
【００７１】
（２）機器がＩＤＳであった場合、ＩＤＳで検出不要な無害なパケットやＩＤＳのセキュリティポリシーで検出不要としたパケットを、パケットフィルタ装置であらかじめ除去すると、容易にＩＤＳ装置の処理負荷を低減することができる。そのため不正アクセスの検出率も上がり、不正侵入の発見も容易となる。
（３）パケットフィルタ装置においてパケットヘッダー部分に埋め込まれた情報と指定した情報が一致するかどうかの判定を行っているが、その判定機構はハードウェアで実装されるため、ネットワークトラフィック量が増えても１００％処理することができる。
【００７２】
（４）また、パケットフィルタ装置４０は後置の機器に到達するパケットを限定するため、当該機器の処理トラフィック量を容易に低減することができる。
（５）また、パケットフィルタ装置４０は下位層の不正アクセスを除去するため、機器の処理トラフィック量を低減することができる。
【００７３】
（６）さらに、機器は上位層で判断すべき不正アクセスのみに監視対象を限定できるため、容易に監視処理のパフォーマンスを向上させ得る。
（７）ネットワークに接続された複数個のサーバ機器がそれぞれにＩＤＳ機能を持つことにより、従来のようにＩＤＳ機器の配置やＩＤＳ機器へのネットワーク経路確保を検討する必要がなくなり、容易にネットワークスケーラビリティを高めることができる。
【００７４】
（８）下位層での不正アクセスは正常なアクセスと見分けることが困難であるため、下位層で厳しいアクセス制限を設けることは難しい。それに対して、上位層での不正アクセスは明らかに不正であることが多いので、図６のような構成によって上位層での結果をもって下位層へのアクセス制限を設定することは、容易であり、より確実なセキュリティ効果が期待できる。
【００７５】
（９）ＩＤＳが不正アクセスの検出という本来の処理に専念し、不正アクセスの遮断という部分をＩＤＳとは別の機器に分担させることで、それぞれの機器は処理負荷を軽減して性能を向上することが可能になる。
（１０）各サーバに対して個別にパケットフィルタ装置を前段に設置することにより、各サーバに必要なフィルタだけを設定することができる。そのため、インターネットへの接続口の大元であるファイアウォール機器に適用されているポリシーを変更する必要がなくなる。
【００７６】
（１１）サーバの設置場所を変更しても、移設先のファイアウォールの設定を変更する必要がなく、ネットワークスケーラビリティを高めることが容易である。
【図面の簡単な説明】
【図１】本発明に係るパケットフィルタ装置の一実施例を示す要部構成図である。
【図２】パケットフィルタ装置を設置したネットワークシステムの一例を示す図である。
【図３】本発明に係る不正アクセスを検出する不正アクセス検知装置の一例を示す構成図である。
【図４】本発明に係る分散型ＩＤＳ構成の不正アクセス検知装置の一例を示す構成図である。
【図５】本発明に係る分散型ＩＤＳ構成とＯＳＩ参照モデルの構成との対比を表わす図である。
【図６】分散型ＩＤＳ構成の不正アクセス検知装置の他の実施例を示す構成図である。
【図７】ネットワークシステムの一例を示す構成図である。
【符号の説明】
１０　機器
１０ａ　侵入検出装置
１１　ネットワークインターフェイスカード
１２　ＣＰＵ
２０　悪意あるＰＣ
３０　ネットワーク
４０，４０ａ　パケットフィルタ装置
４１　シフトレジスタ回路
４２　パターン判定回路
４３　検出パターン設定保持回路
４４　状態遷移決定回路
４５　判定基準設定保持回路
４６　パケット通過／廃棄回路
４７　ヘッダパターンキャッシュ
４８　キャッシュ管理・廃棄制御回路
５０　ファイアウォール
１００，１００ａ　ＷＷＷサーバ
１０１，１１１　ＩＤＳ機能
１１０，１１０ａ　ＦＴＰサーバ
【図１】
2004140618.tif 000003
【図２】
2004140618.tif 000004
【図３】
2004140618.tif 000005
【図４】
2004140618.tif 000006
【図５】
2004140618.tif 000007
【図６】
2004140618.tif 000008
【図７】
2004140618.tif 000009