(57)【要約】【課題】未知の脆弱性に対してリモートバッファオーバフロー等の攻撃がなされても、該不正アクセスがホストに到達することを回避できるようにすること。【解決手段】アクセスデータパケットをオクテット単位の文字コードに変換する文字コード変換手段３２と、シェルコードの文字列を記憶するシェルコード記憶手段３５と、前記文字コード変換手段３２にて変換されたアクセスデータパケット中のｎ番目のオクテットの文字コードと、ｎ＋１番目のオクテットの文字コードとを特定するとともに、該特定したｎ番目のオクテットの文字コードを含むシェルコードを前記シェルコード記憶手段３５にて特定し、該特定した全シェルコードにおいて、ｎ番目のオクテットの文字コードに続く文字コードを全て抽出する文字コード抽出手段３２と、該抽出された全文字のいずれかに前記ｎ＋１番目のオクテットの文字コードが該当するかを判定する判定手段と、該判定されたるアクセスデータパケットを破棄するアクセスデータパケット破棄手段３２と、を備える。【選択図】    図７
2004213293.tif 000002
【特許請求の範囲】
【請求項１】
インタ−ネット網に接続可能なインターネット端末に対し、該インタ−ネット網を通じて登録されているコンテンツを配信するコンテンツサーバを不正なアクセスから防衛するためのコンテンツサーバ防衛システムであって、
前記インターネット端末から送信されてくるアクセスデータパケットをオクテット単位の文字コードに変換する文字コード変換手段と、
シェルコードの文字列を記憶するシェルコード記憶手段と、
前記文字コード変換手段にて変換されたアクセスデータパケット中のｎ番目のオクテットの文字コードと、ｎ＋１番目のオクテットの文字コードとを特定するとともに、該特定したｎ番目のオクテットの文字コードを含むシェルコードを前記シェルコード記憶手段にて特定するとともに、該特定した全シェルコードにおいて、ｎ番目のオクテットの文字コードに続く文字コードを全て抽出する文字コード抽出手段と、
該文字コード抽出手段にて抽出された全文字のいずれかに前記ｎ＋１番目のオクテットの文字コードが該当するかを判定する判定手段と、
該判定手段にて該当すると判定されたるアクセスデータパケットを破棄するアクセスデータパケット破棄手段と、
を備える
ことを特徴とするコンテンツサーバ防衛システム。
【請求項２】
前記ｎ番目のオクテットの文字コードが、アスキー（ＡＳＣＩＩ）コード以外の文字であるか否かを判定する非通常文字判定手段を備え、
前記アクセスデータパケット破棄手段は、該非通常文字検出手段において前記ｎ番目のオクテットの文字コードが、アスキー（ＡＳＣＩＩ）コード以外の文字であると判定された場合に、該判定されたオクテットのアクセスデータパケットを破棄する請求項１に記載のコンテンツサーバ防衛システム。
【請求項３】
前記アクセスデータパケットのＵＲＬデコードを行うＵＲＬデコード手段を備え、
該ＵＲＬデコード手段にてデコードした文字列に関して、前記文字コード抽出手段と不正アクセス判定手段による処理、並びに非通常文字判定手段により処理を実施する請求項１または２に記載のコンテンツサーバ防衛システム。
【請求項４】
前記判定手段においてｎ＋１番目のオクテットの文字コードが前記文字コード抽出手段にて抽出された全文字のいずれかに該当すると判定された回数を計数する判定回数計数手段と、
該判定回数計数手段にて計数された回数が、所定の許容回数を越えているかを判定する許容回数判定手段と、
前記許容回数を設定する許容回数設定手段と、
を備え、
前記アクセスデータパケット破棄手段は、前記許容回数判定手段において、前記判定回数計数手段にて計数された回数が、所定の許容回数を越えていると判定された場合において、当該アクセスデータパケットを破棄する請求項１〜３のいずれかに記載のコンテンツサーバ防衛システム。
【請求項５】
前記判定手段において前記文字コード抽出手段にて抽出された全文字のいずれかに前記ｎ＋１番目のオクテットの文字コードが該当する場合において、該ｎ＋１番目のオクテットを含むアクセスデータパケットの箇所を特定可能な情報と、判定となった文字列を含むシェルコードと、該アクセスデータパケットの送信元のＩＰアドレスと、送信先ＩＰアドレス、判定日時の情報を含む履歴情報を記憶する不正アクセス判定履歴情報記憶手段を備える請求項１〜４のいずれかに記載のコンテンツサーバ防衛システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術の分野】
本発明は、インタ−ネットに接続可能なインターネット端末へコンテンツデ−タを配信するコンテンツサーバを未知な不正なアクセスから防衛するためのコンテンツサーバ防衛システムに関する。
【０００２】
【従来の技術】
近年、オープンコンピュータネットワークであるインターネットの急激な普及により、多くの企業や個人が自己が所有しているコンテンツをより多くの人に安価にかつ迅速に提供するために、これらインターネットが活用され、多くのコンテンツサイト（ＷＥＢサーバ）が構築されている。
【０００３】
これらコンテンツサイト（ＷＥＢサーバ）が増加するに伴い、これらコンテンツサイト（ＷＥＢサーバ）への不正アクセス、特にコンテンツの改竄等の被害が増加する傾向にあるとともに、日々のコンピュータの処理能力の向上に伴って、これら不正アクセスの手法も高度化する傾向にある。
【０００４】
特に近年においては、これら不正アクセスとして代表的なものとしてリモートバッファオーバフローがある。このリモートバッファオーバフローは、ホストであるコンテンツサーバに対して不正なリクエストを送信し、意図的にバッファオーバフローを起こすことにより該ホストに侵入する。バッファオーバフローとは、ホストで実行したプログラムが確保するメモリ領域に対し、確保された領域を超えて何らかのデータが書き込まれる現象であり、一般にプログラムが確保するメモリ領域に対し、それ以上の大きさのデータ書き込みを行った際に発生する。攻撃者はリモートからホストにバッファオーバフローを発生させ、プログラムをホストのメモリ領域に設置し、ホストに実行させることにより侵入を行う。なおこれらホストに実行させるプログラムは一般にシェルコードと呼ばれる。
【０００５】
【発明が解決しようとする課題】
このようなホストへの侵入を対策する技術としてファイヤーウオールやＮ−ＩＤＳ（ネットワーク型の侵入検知システム  以下単にＩＤＳと略称する）がある。ファイヤーウオールは定められたルールに従い、トラフィックを破棄することができ、その破棄を行う規則は予め設定する必要がある。また、ＩＤＳはトラフィックを分析し、このトラフィックが侵入を試みるものであるかどうかを検知することができる。この２つの対策手法の組み合わせにより、ＩＤＳがトラフィックを不正侵入と検知した場合、ファイヤーウオールにこのトラフィックを破棄するよう通知することで、ホストに対する侵入を防止する手法が採られてきた。しかし  前記したＩＤＳは既知の脆弱性を利用した侵入を検知することはできても、未知の脆弱性を利用した侵入を検知することはできない。このため、攻撃者が未知の脆弱性に対して攻撃を行い、侵入を試みた場合、これらの侵入対策技術では、検知・防止することができないという問題があった。
【０００６】
よって、本発明は上記した問題点に着目してなされたもので、不正アクセス者が未知の脆弱性に対してリモートバッファオーバフロー等の攻撃を行った場合においても、これらの不正アクセスを検知し、該不正アクセスがホストに到達することを回避して、侵入を防止することのできる現実的なコンテンツサーバ防衛システムを提供することを目的としている。
【０００７】
【課題を解決するための手段】
前記した問題を解決するために、本発明のコンテンツサーバ防衛システムは、インタ−ネット網に接続可能なインターネット端末に対し、該インタ−ネット網を通じて登録されているコンテンツを配信するコンテンツサーバを不正なアクセスから防衛するためのコンテンツサーバ防衛システムであって、
前記インターネット端末から送信されてくるアクセスデータパケットをオクテット単位の文字コードに変換する文字コード変換手段と、
シェルコードの文字列を記憶するシェルコード記憶手段と、
前記文字コード変換手段にて変換されたアクセスデータパケット中のｎ番目のオクテットの文字コードと、ｎ＋１番目のオクテットの文字コードとを特定するとともに、該特定したｎ番目のオクテットの文字コードを含むシェルコードを前記シェルコード記憶手段にて特定するとともに、該特定した全シェルコードにおいて、ｎ番目のオクテットの文字コードに続く文字コードを全て抽出する文字コード抽出手段と、
該文字コード抽出手段にて抽出された全文字のいずれかに前記ｎ＋１番目のオクテットの文字コードが該当するかを判定する判定手段と、
該判定手段にて該当すると判定されたるアクセスデータパケットを破棄するアクセスデータパケット破棄手段と、
を備える
ことを特徴としている。
この特徴によれば、前記アクセスデータパケット中にシェルコードが含まれる場合において、該シェルコードが含まれるか否かを前記判定手段において効率良く判定できるようになり、該判定に基づいて当該アクセスデータパケットが前記アクセスデータパケット破棄手段にて破棄されることで、不正アクセス者が未知の脆弱性に対してリモートバッファオーバフロー等の攻撃を行った場合においても、これらの不正アクセスを検知し、該不正アクセスがホストに到達することを回避して、侵入を防止することができる。
【０００８】
本発明のコンテンツサーバ防衛システムは、前記ｎ番目のオクテットの文字コードが、アスキー（ＡＳＣＩＩ）コード以外の文字であるか否かを判定する非通常文字判定手段を備え、
前記アクセスデータパケット破棄手段は、該非通常文字検出手段において前記ｎ番目のオクテットの文字コードが、アスキー（ＡＳＣＩＩ）コード以外の文字であると判定された場合に、該判定されたオクテットのアクセスデータパケットを破棄することが好ましい。
このようにすれば、アスキー（ＡＳＣＩＩ）コード範囲外のオクテットは、シェルコードにおいて利用されることが多いことから、これらシェルコードである可能性の高いアクセスデータパケットをより正確に検出できる。
【０００９】
本発明のコンテンツサーバ防衛システムは、前記アクセスデータパケットのＵＲＬデコードを行うＵＲＬデコード手段を備え、
該ＵＲＬデコード手段にてデコードした文字列に関して、前記文字コード抽出手段と不正アクセス判定手段による処理、並びに非通常文字判定手段により処理を実施することが好ましい。
このようにすれば、ＵＲＬエンコードした文字列ではシェルコードと判定されない場合でも、ＵＲＬデコードした文字列ではシェルコードが含まれる可能性があることから、これら検出され難いシェルコードをも検出することができる。
【００１０】
本発明のコンテンツサーバ防衛システムは、前記判定手段においてｎ＋１番目のオクテットの文字コードが前記文字コード抽出手段にて抽出された全文字のいずれかに該当すると判定された回数を計数する判定回数計数手段と、
該判定回数計数手段にて計数された回数が、所定の許容回数を越えているかを判定する許容回数判定手段と、
前記許容回数を設定する許容回数設定手段と、
を備え、
前記アクセスデータパケット破棄手段は、前記許容回数判定手段において、前記判定回数計数手段にて計数された回数が、所定の許容回数を越えていると判定された場合において、当該アクセスデータパケットを破棄することが好ましい。
このようにすれば、前記許容回数設定手段にて適宜な許容回数を設定することで、前記判定手段において正当なアクセスがシェルコードと誤判定されてアクセスデータパケットが過度に破棄されてしまう不都合を適宜に調整することができる。
【００１１】
本発明のコンテンツサーバ防衛システムは、前記判定手段において前記文字コード抽出手段にて抽出された全文字のいずれかに前記ｎ＋１番目のオクテットの文字コードが該当する場合において、該ｎ＋１番目のオクテットを含むアクセスデータパケットの箇所を特定可能な情報と、判定となった文字列を含むシェルコードと、該アクセスデータパケットの送信元のＩＰアドレスと、送信先ＩＰアドレス、判定日時の情報を含む履歴情報を記憶する不正アクセス判定履歴情報記憶手段を備えることが好ましい。
このようにすれば、不正アクセスの状況を、把握、解析することができる。
【００１２】
【発明の実施の形態】
以下、本発明の実施例を図面に基づいて説明する。
（実施例）
図１は、本発明のコンテンツサーバ防衛システムを適用したコンテンツ配信システムの構成を示すブロック図であり、図２は、本実施例のコンテンツ配信システムに用いたコンテンツサーバ防衛システムを構成するブリッジを形成するブリッジコンピュータ３の構成を示すブロック図であり、図３は、本実施例に用いた前記ブリッジコンピュータ３における各処理部の構成を示す図であり、図４は、本実施例に用いたシェルコードデータベースの構成を示す図であり、図５は、本実施例における不正アクセス履歴データベースの構成を示す図であり、図６〜図９は、前記ブリッジコンピュータ３において実施される各処理の処理内容を示すフロー図である。
【００１３】
尚、本実施例では、コンテンツ配信システムに本発明を適用した例を示すが、本発明はこれに限定されるものではなく、その利用形態は任意とされる。
【００１４】
まず、本実施例のコンテンツ配信システムは、図１に示すような構成とされており、コンテンツサイトを形成するコンテンツサーバ２に登録されているコンテンツデータを、インターネットに接続されているエンドユーザーのインターネット端末８からの配信要求に基づいて配信できるように、通信装置６並びに本発明のコンテンツサーバ防衛システムを構成するブリッジコンピュータ３を介してインターネット網に接続されている。
【００１５】
まず、本実施例に用いた前記ブリッジコンピュータ３の構成について、図２に基づき説明すると、該ブリッジコンピュータ３は、サーバコンピュ−タ内部にて比較的高速にてデ−タの送受を行うデ−タバス３１に、後述するシェルコードの検出処理や、ＵＲＬのデコード処理、不正アクセスの履歴登録処理等を行う演算能力に優れた中央演算処理装置（ＣＰＵ）３２や、該ＣＰＵ３２のワークメモリ等に使用されるＲＡＭ３３や、ディスプレイ等の表示装置３７や、後述するアクセスデータパケットの破棄判定に用いる許容回数等を入力するためのキーボードやマウス等の入力装置３６や、不正アクセスの履歴登録に使用される現在の時刻情報や任意の年月日の曜日等のカレンダ−情報を出力可能なリアルタイムクロック（ＲＴＣ）３４、前記コンテンツサーバ２に接続され、不正アクセスと判断されなかったアクセスデータを該コンテンツサーバ２に送信するとともに、該アクセスデータ基づいてコンテンツサーバ２から送信されるコンテンツデータを受信する第１の通信部３８、前記通信装置６を介してインターネット網に接続され、前記インターネット端末８からのアクセスデータの受信並びにコンテンツサーバ２から送信されたコンテンツデータを送信する第２の通信部３９や、磁気ディスクや光磁気ディスクから成り、該ブリッジコンピュータ３を動作させるためのオペレーションシステム（ＯＳ）や、後述する図６〜図９に示す処理内容が記述されたＡＥＧＩＳプログラム（アクセリア社製商品名）や、各種シェルコード並びに図４に示すようなシェルコード中に含まれる文字列に基づいて、シェルコードである場合に各文字の次に連なる文字種が登録されたシェルコードデータベースや、図５に示すように、不正アクセスと判断した場合の時刻やＩＰアドレス等のデータが記憶される不正アクセス履歴データベース等が記憶されている記憶装置３５と、が接続された比較的処理能力に優れたコンピュ−タとされている。
【００１６】
この記憶装置３５に登録されている前記したシェルコードデータベースには、各種シェルコードとともに、図４に示すように、各文字種毎に、シェルコード中に含まれる文字列に基づいて、シェルコードである場合に該文字種に繋がる全文字種が登録されており、これらシェルコードデータベースに登録されている文字種のデータに基づいて、図３に示すように、前記中央演算処理装置（ＣＰＵ）３２が、アクセスデータパケット中の各連続するオクテットの文字種のつながりに該当する部分を検出することにより、シェルコードの検出処理を実施するようになっている。
【００１７】
また、これらシェルコードを含むと思われるアクセスデータパケットが、不正アクセスと判断された場合に、該アクセスデータパケットの破棄履歴が図５に示すように、不正アクセス履歴データベースとして登録されるようになっており、該不正アクセス履歴データベースには、該不正アクセスが発生した時刻の情報に対応付けて、不正と判断された要因が、単純なシェルコードであるのか、或いはＵＲＬをデコードすることによるシェルコードであるのか等の要因種別を示す情報や、該シェルコードと判定されたアクセスデータパケット中の不正箇所を示す情報や、該不正アクセスと判断されたアクセスデータパケットの送信元ＩＰアドレスや、送信先ＩＰアドレスが登録されるようになっており、これら不正アクセス履歴データベースに登録されたデータを、適宜に表示装置３７等に表示させることができるようになっている。
【００１８】
また、本実施例のブリッジコンピュータ３においては、図３に示すように、前記第１の通信部３８と、前記第２の通信部３９の２つの通信部を備えるとともに、これら第１の通信部３８と第２の通信部３９との間において、前記インターネット端末８から送信されてきて第２の通信部３９にて受信したアクセスデータを第１の通信部３８へ中継するトラフィック中継処理や、該中継するアクセスデータ中含まれるシェルコードを検出するシェルコード検出処理、並びにシェルコード検出処理に基づいて不正アクセスであると判定した際に、該シェルコードを含むアクセスデータを破棄してトラフィックを遮断するトラフィック遮断を、前記中央演算処理装置（ＣＰＵ）３２が実施するようになっている。
【００１９】
また、前記コンテンツサーバ２から送信されたコンテンツデータは、シェルコード検出処理を実施されることなく、第１の通信部３８から第２の通信部３９へと中継されて、各インターネット端末８へ配信される。
【００２０】
この本実施例のブリッジコンピュータ３が行う処理内容について、図６〜図９に示すフロー図に基づいて説明すると、まず、前記中央演算処理装置（ＣＰＵ）３２は、図３に示す前記記憶装置３５のシェルコードデータベースに登録されているのシェルコードパターンを読み出して、前記ＲＡＭ３３に格納する（Ｓ１）。
【００２１】
次いで、アクセスデータパケットが前記第２の通信部３９へ到着した場合に（Ｓ２）、該パケットが指定された第２の通信部３９から到着しているかを判定する（Ｓ３）。
【００２２】
該判定において、第２の通信部３９から到着していない場合には、第１の通信部３８からのデータパケットの到着であるから、前記コンテンツサーバ２から送信されたコンテンツデータであると判断して、以降のシェルコード検出処理を行わずに前記第２の通信部３９へ中継する。
【００２３】
前記Ｓ３の判定において、第２の通信部３９から到着したデータパケットであると判定した場合には、Ｓ４〜Ｓ７において、該データパケットがＩＰデータグラムを含んでいるか、ＴＣＰセグメントを含んでいるか、ＴＣＰセグメントはＨＴＴＰポートに指定されたポート宛てに送信されているか、ＴＣＰセグメントにユーザーデータが存在するかを判定し、これらの判定においていずれか１つでも「Ｎｏ」である場合には、該データパケットがシェルコード検出の対象外のデータパケットとであると判断して、シェルコード検出処理を終了し、これらＳ４〜Ｓ７の全てにおいて「Ｙｅｓ」である場合には、Ｓ８へ進んで送信元ＩＰアドレス、送信先ＩＰアドレス現在時刻を一時記憶した後、Ｓ９〜Ｓ１６のループ処理へ進む。
【００２４】
図７のＳ９〜Ｓ１６においては、まず、Ｓ１０において、ユーザオクテットのｎオクテット目（初回のループではｎ＝１）を取得し、先行オクテットとして一時記憶する。
【００２５】
次いで、Ｓ１１に進んで、ｎオクテット目に続くｎ＋１オクテット目を取得し、後続オクテットとして一時記憶した後、Ｓ１２へ進んで、前記先行オクテットと後続オクテットの組み合わせが前記シェルコードパターンに一致するかを判定する。
【００２６】
該判定でシェルコードパターンに一致しない場合には、Ｓ２９へ進んで、前記先行オクテットと後続オクテットの組み合わせがアスキー（ＡＳＣＩＩ）コード以外の文字であるかの判定を行ない、該判定においてアスキー（ＡＳＣＩＩ）コード範囲内の文字である場合は次ループへ移行し、該判定においてアスキー（ＡＳＣＩＩ）コード以外の文字である場合には、Ｓ１３へ進む。
【００２７】
また、前記Ｓ１２の判定において、シェルコードパターンに一致すると判定した場合には、Ｓ１３に進んで、累積問題発生回数（初期値０）に１を加算した後、Ｓ１４に進んで、前記Ｓ８にて一時記憶した送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ＴＣＰポート番号、送信先ＴＣＰポート番号、現在時刻とともに、該シェルコードパターンに一致すると判定した箇所の情報を、前記不正アクセス履歴データベースに登録、格納してＳ１５に進み、前記Ｓ１３において加算更新された新たな累積問題発生回数が、予め定められた上限回数に達しているかを判断する。
【００２８】
該Ｓ１５の判断において、累積問題発生回数が予め定められた上限回数に達している場合には、該パケットを破棄してトラフィックを遮断した後、シェルコード検出処理を終了する。一方、累積問題発生回数が予め定められた上限回数に達していない場合には、Ｓ１６にてループ元である前記Ｓ１０に戻って、ｎ＋１オクテット目を先行オクテットとするとともに、ｎ＋２オクテット目を後続オクテットとして、処理を継続していき、これらのループ処理をパケット中に含まれるオクテットの個数より１少ない回数実施した後、図８並びに図９に示すＳ１８〜Ｓ２７のループ処理を実施する。
【００２９】
まず、Ｓ１９においては、前記ユーザデータのｎオクテット目（初回のループではｎ＝１）が「％」であるかを判定し、「％」である場合にはＳ２０に進み、「％」ではない場合には、Ｓ２７へ進んで、次のループへ移行する。
【００３０】
Ｓ２０においては、ユーザデータのｎ＋３オクテット目が「％」であるかを判定し、「％」ではない場合には、Ｓ２７へ進んで、次のループへ移行する。
【００３１】
これらＳ１９並びにＳ２０において「Ｙｅｓ」、つまりはユーザデータのｎオクテット目とｎ＋３オクテット目がいずれも「％」である場合には、ＵＲＬデコードのチェック対象となり、Ｓ２１へ進んで、前記「％」に挟まれた文字であるｎ＋１オクテット目と、ｎ＋２オクテット目を取得して、ＵＲＬデコードを実施した後、該デコード後の文字を先行オクテットとして一時記憶する。
【００３２】
次いでＳ２２へ進んで、前記ユーザデータのｎ＋４オクテット目、並びにｎ＋５オクテット目を取得して、ＵＲＬデコードを実施した後、該デコード後の文字を後続オクテットとして一時記憶した後、Ｓ２３に進んで、これら先行オクテット並びに後続オクテットの組み合わせが、前記シェルコードパターンに一致するかを判定し、該判定でシェルコードパターンに一致しない場合には、前記Ｓ１９に戻って次のループへ移行する。
【００３３】
また、前記Ｓ２３の判定において、シェルコードパターンに一致すると判定した場合には、Ｓ２４に進んで、累積問題発生回数（初期値０）に１を加算した後、Ｓ２５に進んで、前記Ｓ８にて一時記憶した送信元ＩＰアドレス、送信先ＩＰアドレス、送信先ＴＣＰポート番号、送信元ＴＣＰポート番号、現在時刻とともに、該シェルコードパターンに一致すると判定した箇所の情報を、前記不正アクセス履歴データベースに登録、格納してＳ２６に進み、前記Ｓ２４において加算更新された新たな累積問題発生回数が、予め定められた上限回数に達しているかを判断する。
【００３４】
該Ｓ２４の判断において、累積問題発生回数が予め定められた上限回数に達している場合には、該パケットを破棄してトラフィックを遮断した後、シェルコード検出処理を終了する。一方、累積問題発生回数が予め定められた上限回数に達していない場合には、Ｓ２７にてループ元である前記Ｓ１８に戻って次ループへ移行し、Ｓ１９からの処理を実施していき、これらのループ処理をパケット中に含まれるオクテットの個数より５少ない回数実施して処理を終了する。
【００３５】
以上、本実施例のようにすれば、前記アクセスデータパケット中にシェルコードが含まれる場合において、該シェルコードが含まれるか否かを前記判定手段である中央演算処理装置（ＣＰＵ）３２が実施するシェルコード検出処理において効率良く判定できるようになり、該判定に基づいて当該アクセスデータパケットが前記アクセスデータパケット破棄手段である中央演算処理装置（ＣＰＵ）３２が実施するパケット破棄処理にて破棄されることで、不正アクセス者が未知の脆弱性に対してリモートバッファオーバフロー等の攻撃を行った場合においても、これらの不正アクセスを検知し、該不正アクセスがホストであるコンテンツサーバ２に到達することを回避して、侵入を防止することができる。
【００３６】
以上、本発明の実施形態を図面により前記実施例にて説明してきたが、本発明はこれら実施例に限定されるものではなく、本発明の主旨を逸脱しない範囲における変更や追加があっても本発明に含まれることは言うまでもない。
【００３７】
例えば、前記実施例では、インターネット端末８をパソコンとしているが、本発明はこれに限定されるものではなく、これらインターネット端末８としては、配信されるコンテンツを表示或いは再生できるブラウザアプリケーションが搭載されているものであれば、携帯電話やＰＤＡ等のものであっても良いことは言うまでも無い。
【００３８】
また、前記実施例では、アクセスパケット中にアスキー（ＡＳＣＩＩ）コード以外の文字を含むか否かを判定し、該判定においてアスキー（ＡＳＣＩＩ）コード以外の文字を含む場合には、前記累積問題発生回数に１を加算して、アスキー（ＡＳＣＩＩ）コード以外の文字をシェルコードであると判定するようにしているが、本発明はこれに限定されるものではなく、これらアクセスパケット中にアスキー（ＡＳＣＩＩ）コード以外の文字を含むか否かを判定を実施しない構成としても良い。
【００３９】
また、前記実施例では、ＵＲＬデコードを実施して該デコード後のオクテットの組み合わせが、シェルコードパターンに合致するかを判定するようにしているが、本発明はこれに限定されるものではなく、これらＵＲＬデコードによるシェルコードパターンの判定を実施しない構成としても良い。
【００４０】
また、前記実施例では、判定回数計数手段である中央演算処理装置（ＣＰＵ）３２が累積問題発生回数を加算更新して、該累積問題発生回数が予め定められた許容回数を越えているかを判定し、許容回数を越えている場合に当該アクセスデータパケットを破棄するようにしているが、本発明はこれに限定されるものではなく、これら累積問題発生回数による判定を実施せずに、シェルコードを含むと判定したパケットを一義的に破棄するようにしても良い。
【００４１】
また、前記実施例では、前記アクセスデータパケットの破棄判定に用いる許容回数を、前記ブリッジコンピュータ３の入力装置３６から設定変更できるようになっているが、本発明はこれに限定されるものではなく、これら許容回数を一義的なものとして変更不可としても良い。
【００４２】
また、前記実施例では、シェルコードと判定した場合に、該判定した履歴を前記不正アクセス履歴データベースに登録するようにしているが、本発明はこれに限定されるものではなく、これら不正アクセス履歴を登録しない構成としても良い。
【００４３】
【発明の効果】
本発明は次の効果を奏する。
（ａ）請求項１の発明によれば、前記アクセスデータパケット中にシェルコードが含まれる場合において、該シェルコードが含まれるか否かを前記判定手段において効率良く判定できるようになり、該判定に基づいて当該アクセスデータパケットが前記アクセスデータパケット破棄手段にて破棄されることで、不正アクセス者が未知の脆弱性に対してリモートバッファオーバフロー等の攻撃を行った場合においても、これらの不正アクセスを検知し、該不正アクセスがホストに到達することを回避して、侵入を防止することができる。
【００４４】
（ｂ）請求項２の発明によれば、アスキー（ＡＳＣＩＩ）コード範囲外のオクテットは、シェルコードにおいて利用されることが多いことから、これらシェルコードである可能性の高いアクセスデータパケットをより正確に検出できる。
【００４５】
（ｃ）請求項３の発明によれば、ＵＲＬエンコードした文字列ではシェルコードと判定されない場合でも、ＵＲＬデコードした文字列ではシェルコードが含まれる可能性があることから、これら検出され難いシェルコードをも検出することができる。
【００４６】
（ｄ）請求項４の発明によれば、前記許容回数設定手段にて適宜な許容回数を設定することで、前記判定手段において正当なアクセスがシェルコードと誤判定されてアクセスデータパケットが過度に破棄されてしまう不都合を適宜に調整することができる。
【００４７】
（ｅ）請求項５の発明によれば、不正アクセスの状況を、把握、解析することができる。
【図面の簡単な説明】
【図１】本発明の実施例におけるコンテンツ配信システムの構成を示すブロック図である。
【図２】本発明の実施例におけるコンテンツ配信システムに用いたブリッジコンピュータの構成を示すブロック図である。
【図３】本発明の実施例に用いたブリッジコンピュータ３における各処理部の構成を示す図である。
【図４】本実施例に用いたシェルコードデータベースの構成を示す図である。
【図５】本実施例に用いた不正アクセス履歴データベースの構成を示す図である。
【図６】本発明の実施例における前記ブリッジコンピュータにおいて実施される各処理の処理内容を示すフロー図である。
【図７】本発明の実施例における前記ブリッジコンピュータにおいて実施される各処理の処理内容を示すフロー図である。
【図８】本発明の実施例における前記ブリッジコンピュータにおいて実施される各処理の処理内容を示すフロー図である。
【図９】本発明の実施例における前記ブリッジコンピュータにおいて実施される各処理の処理内容を示すフロー図である。
【符号の説明】
２          コンテンツサーバ
３          ブリッジコンピュータ
６          通信装置
８          インターネット端末
３１        データバス
３２        中央演算処理装置（ＣＰＵ）
３３        ＲＡＭ
３４        ＲＴＣ
３５        記憶装置
３６        入力装置
３７        表示装置
３８        第１の通信部
３９        第２の通信部
【図１】
2004213293.tif 000003
【図２】
2004213293.tif 000004
【図３】
2004213293.tif 000005
【図４】
2004213293.tif 000006
【図５】
2004213293.tif 000007
【図６】
2004213293.tif 000008
【図７】
2004213293.tif 000009
【図８】
2004213293.tif 000010
【図９】
2004213293.tif 000011