(57)【要約】【課題】クライアント端末９２０からサーバ計算機９３０への不正アクセスからサーバ計算機９３０を保護する。【解決手段】クライアント端末９２０から受信した要求データ１１に基づいてサーバ計算機９３０で処理されて送信された応答データ１２を受信するとともに、サーバ計算機９３０で正常に処理されて生成された正常な応答データが備える形式が登録された応答形式データ２２を記憶装置１０７から読み出し、応答データ１２が正常な応答データが備える形式とを比較し、応答データ１２が正常な応答データが備える形式に合致しない場合、不正アクセスメッセージ３２を生成する応答データ解析手段４２と、不正アクセスメッセージ３２を受信すると、不正アクセスを検知したことを通知する不正アクセス通知手段４３とを備える。【選択図】      図１
2005293246.tif 000002
【特許請求の範囲】
【請求項１】
クライアント端末とサーバ計算機との間に設置され、前記クライアント端末から前記サーバ計算機への不正アクセスから保護するサーバ計算機保護装置であって、
前記クライアント端末から受信した要求データに基づいて前記サーバ計算機で正常に処理されて生成された正常な応答データが備える形式が登録された応答形式データを記憶する記憶手段と、
前記クライアント端末から受信した要求データに基づいて前記サーバ計算機から送信された応答データを受信するとともに、この受信した応答データと前記記憶手段に記憶された前記応答形式データとを比較し、前記応答データが前記正常な応答データが備える形式に合致しない場合、不正アクセスメッセージを生成する応答データ解析手段と、
前記不正アクセスメッセージを受信すると、不正アクセスを検知したことを通知する不正アクセス通知手段
とを備えることを特徴とするサーバ計算機保護装置。
【請求項２】
前記記憶手段は、前記応答形式データを前記応答データに対応したプロトコル毎に記憶し、
前記応答データ解析手段は、前記応答データと前記記憶手段に記憶された前記応答データに対応したプロトコルに基づいた前記応答形式データとを比較する
ことを特徴とする請求項１に記載のサーバ計算機保護装置。
【請求項３】
前記クライアント端末から受信した要求データを前記サーバ計算機に送信するとともに、前記要求データの送信元に基づく情報を含む前記要求データを要求蓄積データとして前記記憶装置に記憶する要求データ解析手段と、
前記不正アクセスメッセージを受信すると、前記応答データの送信先と前記要求蓄積データの前記要求データの送信元とを比較し、前記応答データの送付先が前記要求データの送信元と一致する前記要求データに関する不正アクセスメッセージを生成する要求データ照合手段
を更に備えることを特徴とする請求項１又は２に記載のサーバ計算機保護装置。
【請求項４】
クライアント端末とサーバ計算機との間に設置され、前記クライアント端末から前記サーバ計算機への不正アクセスから保護するサーバ計算機保護装置であって、
前記サーバ計算機における機密データが備える形式が登録された機密形式データを記憶する記憶手段と、
前記クライアント端末から受信した要求データに基づいて前記サーバ計算機でから送信された応答データを受信するとともに、この受信した応答データと前記記憶手段に記憶された前記機密形式データとを比較し、前記応答データが前記機密データが備える形式に合致する場合、不正アクセスメッセージを生成する応答データ解析手段と、
前記不正アクセスメッセージを受信すると、不正アクセスを検知したことを通知する不正アクセス通知手段
とを備えることを特徴とするサーバ計算機保護装置。
【請求項５】
クライアント端末とサーバ計算機との間に設置されるサーバ計算機によって読みとり可能な、前記クライアント端末から前記サーバ計算機への不正アクセスから保護するサーバ計算機保護プログラムであって、
前記クライアント端末から受信した要求データに基づいて前記サーバ計算機から送信された応答データを受信するとともに、前記受信した応答データと前記サーバ計算機で正常に処理されて生成された正常な応答データが備える形式とを比較し、前記受信した応答データが前記正常な応答データが備える形式に合致しない場合、不正アクセスメッセージを生成するステップと、
前記不正アクセスメッセージを受信すると、不正アクセスを検知したことを通知するステップ
とをコンピュータに実行させることを特徴とするサーバ計算機保護プログラム。
【請求項６】
前記不正アクセスメッセージを生成するステップは、前記受信した応答データと前記受信した応答データに対応するプロトコルに基づいた前記サーバ計算機で正常に処理されて生成された正常な応答データが備える形式とを比較する
ことを特徴とする請求項５に記載のサーバ計算機保護プログラム。
【請求項７】
前記クライアント端末から受信した要求データを前記サーバ計算機に送信するとともに、前記要求データの送信元に基づく情報を含む前記要求データを要求蓄積データとして記憶するステップと、
前記不正アクセスメッセージを受信すると、前記応答データの送信先と前記要求蓄積データの前記要求データの送信元とを比較し、前記応答データの送付先が前記要求データの送信元と一致する前記要求データに関する不正アクセスメッセージを生成するステップ
を更にコンピュータに実行させることを特徴とする請求項５又は６に記載のサーバ計算機保護プログラム。
【請求項８】
クライアント端末とサーバ計算機との間に設置されるサーバ計算機によって読みとり可能な、前記クライアント端末から前記サーバ計算機への不正アクセスから保護するサーバ計算機保護プログラムであって、
前記クライアント端末から受信した要求データに基づいて前記サーバ計算機から送信された応答データを受信するとともに、この受信した応答データと前記サーバ計算機が保持する機密データが備える形式とを比較し、前記応答データが前記機密データが備える形式に合致する場合、不正アクセスメッセージを生成するステップと、
前記不正アクセスメッセージを受信すると、不正アクセスを検知したことを通知するステップ
とをコンピュータに実行させることを特徴とするサーバ計算機保護プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアント端末の不正アクセスからサーバ計算機を保護するサーバ計算機保護装置及びサーバ計算機保護プログラムに関する。
【背景技術】
【０００２】
近年のコンピュータネットワークの発達に伴い、ウィルスやハッキングなどの不正アクセスも増加し、コンピュータネットワークを介して機密情報が流出したりサービス不能攻撃を受けたりする場合がある。そこで、ネットワークの利便性を享受しながら安全性も確保するためには、適切なセキュリティ対策が不可欠である。特に企業や団体などの組織においては、この様に不正アクセスに対して、ファイアウォールを設けたりウィルスソフトをインストールすることにより不正アクセスを防御する対策が求められている。
【０００３】
ファイアウォールを用いる不正アクセスの検知においては、所定のＩＰアドレス及びポート番号から受信したパケットについては通過させない方法が一般的である。しかし、このファイアウォールで防ぐことのできない攻撃は多様であるが、その中で、ウェブサーバ上のセキュリティホール、即ちオペレーションシステムやブラウザなどのソフトウェアのバグや脆弱性を狙った攻撃も多い。例えば、ＨＴＴＰリクエストに特定の文字列が含まれていると、そのＨＴＴＰリクエストが解読され実行されることにより、ウェブサーバ上で稼働しているＣＧＩ（Common gateway Interface）等のソフトウェアが、バッファオーバーフローなどにより予期せぬ動作を引き起こすといったことが挙げられる。この様なウェブサーバ上のソフトウェアの脆弱性を狙った攻撃に対応するために、クライアントからウェブサーバに送信されるＨＴＴＰリクエストをアプリケーション層で中継及び解析し、予め既知の攻撃の特徴を格納した攻撃パターンファイルと比較し、マッチした場合にセッション中継を遮断することにより、ウェブサーバを防御する方法がある（例えば、特許文献１）。
【０００４】
特許文献１などに記載されている従来のサーバ計算機保護装置９００は、図１１に示すように、クライアント端末９２０から第１のネットワークセグメント９１０及び第１のネットワークインタフェース９０１を介して受信した要求データ９０２について、不正アクセスであるか否かの判定が行われる。具体的には、要求データ解析手段９０３は、不正アクセス特徴データ９０４を読み出して、不正アクセス特徴データ９０４に記憶された不正アクセスの特徴を要求データ９０２が備えているか否かを判定し、不正アクセスの特徴を備えていない場合、要求データ９０２は、そのまま第２のネットワークインタフェース９０７に送信され、第２のネットワークセグメント９１１を介してサーバ計算機９３０に送信される。一方、要求データ解析手段９０３によって不正アクセスの特徴を備えていると判定された場合、不正アクセスメッセージ９０５を生成し、不正アクセス通知手段９０６に通知させることにより、不正アクセスが検出されていた。従来のサーバ計算機保護装置９００においては、サーバ計算機９３０から送信された応答データ９０８は、そのままクライアント端末９２０に送信される。
【特許文献１】特開２００２−０６３０８４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、従来のサーバ計算機保護装置９００によれば、不正アクセス特徴データ９０４の管理に関する問題があった。
【０００６】
具体的には、不正アクセス特徴データ９０４は、不正アクセスに関わる要求データの特徴などが格納されており、サーバ計算機保護装置９００は、受信した要求データを不正アクセス特徴データ９０４に格納された特徴と比較する。従って、サーバ計算機保護装置９００が保護する個々のサーバ計算機毎に不正アクセスとなりうる要求データの特徴が異なるため、サーバ計算機に応じて不正アクセス特徴データ９０４に登録される特徴を予め適切なものとしておく作業が必要であった。具体的には、個々のサーバ計算機においてどのような攻撃がなされて得るかを判断し、その攻撃に関わるデータ要求の特徴を不正アクセス特徴データ９０４へ登録する。従ってサーバ計算機９３０に対して行われる攻撃を洗い出し、その特徴を解析しなければならないので、非常に手間とコストが必要になっていた。
【０００７】
又、不正アクセス特徴データ９０４に登録されていない新しい不正アクセス手段を用いた要求データによってサーバ計算機９３０への不正アクセスが試みられた場合、サーバ計算機保護装置９００は不正アクセスと判断できず、見逃してしまうことがあった。これにより、サーバ計算機９３０から機密データの漏洩や不正データの送信などの問題が起こっていた。
【０００８】
更に、サーバ計算機９３０の機密データを盗み出す不正アクセスが試みられた場合、要求データとしては正当な形式を備えていることが多いので、サーバ計算機保護装置９００は、要求データの形式からでは不正アクセスと判断できず、不正アクセスを見逃してしまう問題があった。
【０００９】
従って本発明の目的は、予め不正アクセスの特徴を登録することなくサーバ計算機を保護できるサーバ計算機保護装置及びサーバ計算機保護プログラムを提供することである。
【課題を解決するための手段】
【００１０】
上記課題を解決するために、本発明の第１の特徴は、クライアント端末とサーバ計算機との間に設置され、クライアント端末からサーバ計算機への不正アクセスから保護するサーバ計算機保護装置に関する。即ち、本発明の第１の特徴に係るサーバ計算機保護装置は、クライアント端末から受信した要求データに基づいてサーバ計算機で正常に処理されて生成された正常な応答データが備える形式が登録された応答形式データを記憶する記憶手段と、クライアント端末から受信した要求データに基づいてサーバ計算機から送信された応答データを受信するとともに、この受信した応答データと記憶手段に記憶された応答形式データとを比較し、応答データが正常な応答データが備える形式に合致しない場合、不正アクセスメッセージを生成する応答データ解析手段と、不正アクセスメッセージを受信すると、不正アクセスを検知したことを通知する不正アクセス通知手段とを備える。
【００１１】
この様な本発明によれば、既知の特徴を格納した不正アクセス特徴データに登録されていなくても、不正アクセスを検知することができる。
【００１２】
又、記憶手段は、応答形式データを応答データに対応したプロトコル毎に記憶し、応答データ解析手段は、応答データと記憶手段に記憶された応答データに対応したプロトコルに基づいた応答形式データとを比較することが好ましい。
【００１３】
これによると、プロトコル毎に正常なデータ形式を判定できるので、より精密な判定を行うことができる。
【００１４】
又、クライアント端末から受信した要求データをサーバ計算機に送信するとともに、要求データの送信元に基づく情報を含む要求データを要求蓄積データとして記憶装置に記憶する要求データ解析手段と、不正アクセスメッセージを受信すると、応答データの送信先と要求蓄積データの要求データの送信元とを比較し、応答データの送付先が要求データの送信元と一致する要求データに関する不正アクセスメッセージを生成する要求データ照合手段を更に備えることが好ましい。
【００１５】
これによると、サーバ計算機保護装置において、サーバ計算機からの応答データに基づいて不正アクセスを起こさせた要求データを特定することができるので、要求データを解析することにより、サーバ計算機への対応を即座に行うことができる。
【００１６】
本発明の第２の特徴は、クライアント端末とサーバ計算機との間に設置され、クライアント端末からサーバ計算機への不正アクセスから保護するサーバ計算機保護装置に関する。本発明の第２の特徴に係るサーバ計算機保護装置は、サーバ計算機における機密データが備える形式が登録された機密形式データを記憶する記憶手段と、クライアント端末から受信した要求データに基づいてサーバ計算機でから送信された応答データを受信するとともに、この受信した応答データと記憶手段に記憶された機密形式データとを比較し、応答データが機密データが備える形式に合致する場合、不正アクセスメッセージを生成する応答データ解析手段と、不正アクセスメッセージを受信すると、不正アクセスを検知したことを通知する不正アクセス通知手段とを備える。
【００１７】
この様な本発明によれば、サーバ計算機から受信した応答データが所定の応答データの形式を備えていない場合、その応答データを要求した要求データを抽出し、その要求データを不正アクセスとして通知することができる。
【００１８】
本発明の第３の特徴は、クライアント端末とサーバ計算機との間に設置されるサーバ計算機によって読みとり可能な、クライアント端末からサーバ計算機への不正アクセスから保護するサーバ計算機保護プログラムである。本発明の第４の特徴に係るサーバ計算機保護プログラムは、クライアント端末から受信した要求データに基づいてサーバ計算機から送信された応答データを受信するとともに、受信した応答データとサーバ計算機で正常に処理されて生成された正常な応答データが備える形式とを比較し、受信した応答データが正常な応答データが備える形式に合致しない場合、不正アクセスメッセージを生成するステップと、不正アクセスメッセージを受信すると、不正アクセスを検知したことを通知するステップとをコンピュータに実行させる。
【００１９】
又、不正アクセスメッセージを生成するステップは、受信した応答データと受信した応答データに対応するプロトコルに基づいたサーバ計算機で正常に処理されて生成された正常な応答データが備える形式とを比較することが好ましい。
【００２０】
又、クライアント端末から受信した要求データをサーバ計算機に送信するとともに、要求データの送信元に基づく情報を含む要求データを要求蓄積データとして記憶するステップと、不正アクセスメッセージを受信すると、応答データの送信先と要求蓄積データの要求データの送信元とを比較し、応答データの送付先が要求データの送信元と一致する要求データに関する不正アクセスメッセージを生成するステップを更にコンピュータに実行させることが好ましい。
【００２１】
本発明の第４の特徴は、クライアント端末とサーバ計算機との間に設置されるサーバ計算機によって読みとり可能な、クライアント端末からサーバ計算機への不正アクセスから保護するサーバ計算機保護プログラムである。本発明の第４の特徴に係るサーバ計算機保護プログラムは、クライアント端末から受信した要求データに基づいてサーバ計算機から送信された応答データを受信するとともに、この受信した応答データとサーバ計算機が保持する機密データが備える形式とを比較し、応答データが機密データが備える形式に合致する場合、不正アクセスメッセージを生成するステップと、不正アクセスメッセージを受信すると、不正アクセスを検知したことを通知するステップとをコンピュータに実行させる。
【発明の効果】
【００２２】
本発明によれば、予め不正アクセスの特徴を登録することなくサーバ計算機を保護できるサーバ計算機保護装置及びサーバ計算機保護プログラムを提供することができる。
【発明を実施するための最良の形態】
【００２３】
次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。
【００２４】
（第１の実施の形態）
本発明の第１の実施の形態に係るサーバ計算機保護装置１は、クライアント端末９２０とサーバ計算機９３０との間に設置され、クライアント端末９２０からサーバ計算機９３０への不正アクセスから保護する。サーバ計算機保護装置１は、クライアント端末９２０と第１のネットワークセグメント９１０を介して接続されており、サーバ計算機保護装置１は、サーバ計算機９３０と第２のネットワークセグメント９１１を介して接続されている。
【００２５】
図２に示すように、本発明の第１の実施の形態に係るサーバ計算機保護装置１は、中央処理制御装置１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３及び入出力インタフェース１０９が、バス１１０を介して接続されている。入出力インタフェース１０９には、入力装置１０４、表示装置１０５、通信制御装置１０６、記憶装置１０７及びリムーバブルディスク１０８が接続されている。
【００２６】
中央処理制御装置１０１は、入力装置１０４からの入力信号に基づいてＲＯＭ１０２からサーバ計算機保護装置１を起動するためのブートプログラムを読み出して実行し、更に記憶装置１０７に記憶されたオペレーティングシステムを読み出す。更に中央処理制御装置１０１は、入力装置１０４や通信制御装置１０６などの入力信号に基づいて、各種装置の制御を行ったり、ＲＡＭ１０３や記憶装置１０７などに記憶されたプログラム及びデータを読み出してＲＡＭ１０３にロードするとともに、ＲＡＭ１０３から読み出されたプログラムのコマンドに基づいて、データの計算又は加工など、後述する一連の処理を実現する処理装置である。
【００２７】
入力装置１０４は、操作者が各種の操作を入力するキーボード、マウスなどの入力デバイスにより構成されており、操作者の操作に基づいて入力信号を作成し、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送信される。表示装置１０５は、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイなどであり、中央処理制御装置１０１からバス１１０及び入出力インタフェース１０９を介して表示装置１０５において表示させる出力信号を受信し、例えば中央処理制御装置１０１の処理結果などを表示する装置である。通信制御装置１０６は、ＬＡＮカードやモデムなどの装置であり、サーバ計算機保護装置１をインターネットやＬＡＮなどの通信ネットワークに接続する装置である。通信制御装置１０６を介して通信ネットワークと送受信したデータは入力信号又は出力信号として、入出力インタフェース及びバス１１０を介して中央処理制御装置１０１に送受信される。
【００２８】
記憶装置１０７は磁気ディスク装置であって、中央処理制御装置１０１で実行されるプログラムやデータが記憶されている。リムーバブルディスク１０８は、光ディスクやフレキシブルディスクのことであり、ディスクドライブによって読み書きされた信号は、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送受信される。
【００２９】
本発明の第１の実施の形態に係るサーバ計算機保護装置１の記憶装置１０７には、サーバ計算機保護プログラムが記憶されるとともに、不正アクセス特徴データ２１及び応答形式データ２２が記憶される。又、サーバ計算機保護プログラムがサーバ計算機保護装置１の中央処理制御装置１０１に読み込まれ実行されることによって、要求データ解析手段４１、応答データ解析手段４２及び不正アクセス通知手段４３がサーバ計算機保護装置１に実装される。
【００３０】
本発明の第１の実施の形態に係るサーバ計算機保護装置１は、図１に示すように、不正アクセス特徴データ２１、応答形式データ２２、要求データ解析手段４１、応答データ解析手段４２及び不正アクセス通知手段４３、第１のネットワークインタフェース５１及び第２のネットワークインタフェース５２を備えている。
【００３１】
要求データ解析手段４１は、記憶装置１０７から不正アクセス特徴データ２１を読み出すとともに、クライアント端末９２０から第１のネットワークインタフェース５１を介して受信した要求データ１１について、不正アクセス特徴データ２１に記憶された不正アクセスの特徴を要求データ１１が備えているか否かを判定し、不正アクセスの特徴を備えていない場合、要求データ１１は、そのまま第２のネットワークインタフェース５２に送信され、第２のネットワークセグメント９１１を介してサーバ計算機９３０に送信される。一方、要求データ解析手段４１によって不正アクセスの特徴を備えていると判定された場合、不正アクセスメッセージ３１が生成され、不正アクセス通知手段４３に通知させることにより、要求データ解析手段４１は、不正アクセスを検知する。本発明の実施の形態に係るサーバ計算機保護装置１は、サーバ計算機９３０からの応答データ１２に基づいて不正アクセスを検知するものであるが、要求データ解析手段４１によって要求データにも基づいて不正アクセスが検知されるのが好ましい。
【００３２】
応答データ解析手段４２は、クライアント端末９２０から受信した要求データ１１に基づいてサーバ計算機９３０で処理されて送信された応答データ１２を受信するとともに、応答形式データ２２を記憶装置１０７から読み出し、応答データ１２が正常な応答データが備える形式とを比較し、応答データ１２が正常な応答データが備える形式に合致しない場合、不正アクセスメッセージ３２を生成する。
【００３３】
ここで、サーバ計算機保護装置１は、サーバ計算機９３０からの応答データのみを抽出する。応答データの抽出方法としては、例えば、パケットフィルタによって、要求データを受け付けるポート番号からのパケットのみを抽出し、そのパケットが運ぶデータを応答データとみなす方法が挙げられる。
【００３４】
応答データ解析手段４２によって生成される不正アクセスメッセージ３２には、応答データ１２の発信元であるサーバ計算機９３０のＩＰアドレス及びポート番号と、宛先であるクライアント端末９２０のＩＰアドレス及びポート番号が記憶されているのが好ましい。更に、不正アクセスメッセージ３２には、不正アクセスだと判断された理由も含まれているのが好ましい。
【００３５】
ここで、応答形式データ２２は、サーバ計算機９３０で正常に処理されて生成された正常な応答データが備える形式が登録されたデータである。図３に示すように応答形式データ２２は、応答データ１２のプロトコル毎に記憶されているのが好ましい。応答データ１２に登録される応答データの形式は、サーバ計算機保護装置１が保護するサーバ計算に９３０が許可する通信プロトコル毎に設定される。
【００３６】
図３に示した例では、ＳＭＴＰの応答データが備える形式と、ＨＴＴＰの応答データが備える形式とが記憶されている。ＳＭＴＰの場合、その応答データ１２のデータ形式は、ＲＦＣ２８２１で３桁の数字から始まるものとして規定されている。それを正規表現で表した「^[:digit:][:digit:][:digit:]」という情報が「ＳＭＴＰ」に関連づけられて応答形式データ２２に登録される。一方、ＨＴＴＰの場合、その応答データ１２のデータ形式は、ＲＦＣ２６１６で「ＨＴＴＰ／数字．.数字」というバージョン情報と、３桁の数字からなるステータスコードから始まるものと規定されている。それを正規表現で表した「^HTTP/[:digit:]\.[:digit][:blank:]*[:digit:][:digit:][:digit:][:blank:]」という情報が「ＨＴＴＰ」に関連づけられて応答形式データ２２に登録される。
【００３７】
このとき、応答データ解析手段４２は、更に、応答データ１２から応答データ１２で利用されているプロトコルを抽出し、抽出されたプロトコルに基づいて応答形式データを抽出する。応答データ解析手段４２は、応答データ１２の通信プロトコルを決定し、その通信プロトコルに関連する応答データの形式を応答形式データ２２から抽出する。抽出された応答形式データ２２に基づいて、応答データ解析手段４２は、応答データ１２が応答形式データ２２の形式を備えているか否かを判定する。
【００３８】
不正アクセス通知手段４３は、応答データ解析手段４２から不正アクセスメッセージを受信すると、不正アクセスを検知したことを通知する。不正アクセスの検知は、サーバ計算機保護装置１の管理者端末やサーバ計算機９３０の管理者端末にメールなどで通知されても良いし、管理者自身が所有するページャー等に通知されても良い。又、要求データ解析手段４１によって不正アクセスメッセージ３１が生成された場合も、不正アクセス通知手段４３は、不正アクセスメッセージ３１に基づいて不正アクセスを通知しても良い。
【００３９】
第１のネットワークインタフェース５１は、第１のネットワークセグメント９１０とのインタフェースである。第２のネットワークインタフェース５２は、第２のネットワークセグメント９１１とのインタフェースである
次に、図４を参照して本発明の第１の実施の形態に係るサーバ計算機保護装置１の応答データ解析手段４２の処理を説明する。
【００４０】
サーバ計算機９３０から第２のネットワークインタフェース５２を介して応答データ１２を受信すると、ステップＳ１０１において、応答データ１２を読み出す。ステップＳ１０２において、応答データ１２からサーバ計算機９３０によって生成され送信されたデータ部を抽出する。このとき、応答データ１２からサーバ計算機９３０との通信で利用されているプロトコルも読み出される。次に、ステップＳ１０３において、ステップＳ１０２で読み出されたプロトコルについての応答データの形式を、応答形式データ２２から読み出す。
【００４１】
応答データ１２のデータ部と、応答データ１２の通信プロトコルについての応答データの形式とが読み出されると、ステップＳ１０４において、データ部のデータが応答データの形式に一致するか否かを判定する。一致する場合、ステップＳ１０５において、サーバ計算機９３０によって正常に処理された応答データ１２であるとして、その応答データ１２をクライアント端末９２０に転送する。一方、一致しない場合、ステップＳ１０６において、クライアントからの不正アクセスが検知されたものとして、不正アクセスメッセージ３２を生成して不正アクセスを通知する。このとき、サーバ計算機保護装置１やサーバ計算機９３０によって予め定められたルールに従って、応答データ１２が破棄されたり、サーバ計算機９３０へ返送されたりしても良い。
【００４２】
上述した様に、本発明の第１の実施の形態に係るサーバ計算機保護装置１は、応答データ１２に基づいてサーバ計算機９３０が正常な処理を行ったかどうかを判断することができる。又、サーバ計算機保護装置１は、サーバ計算機９３０が正常でない処理を行って生成された応答データ１２をクライアント端末９２０に送信せず破棄することにより、クライアント端末９２０からの不正アクセスの被害をサーバ計算機９３０が受けなくすることができる。
【００４３】
更に、本発明の第１の実施の形態に係るサーバ計算機保護装置１は、サーバ計算機９３０に対して不正アクセスがなされたことを把握することができる。これにより、攻撃されたサーバ計算機９３０は、ソフトウェアプログラムのバグの修正などの修復作業を速やかに開始することができる。
【００４４】
一般的に不正アクセスとして、クライアント端末９２０が、サーバ計算機９３０が予想しているよりも長いデータ長を持つ要求データメッセージを送信する方法が挙げられる。この様なデータがサーバ計算機９３０に送信されることにより、クライアント端末９２０は、サーバ計算機９３０のバッファメモリをあふれさせ、、サーバ計算機９３０に誤作動を起こすバッファオーバーフローという手口などにより、サーバ計算機９３０に不正に侵入することができる。このときサーバ計算機保護装置１は、サーバ計算機にこの様な誤作動を起こさせた場合、サーバ計算機９３０が本来応答するデータの代わりにクライアント端末９２０が意図したコマンドの実行結果などが応答データ１２として返信される。又、サーバ計算機９３０に異常を生じさせ、その後のサービスを使用不能とさせるＤｏＳ攻撃と呼ばれる不正アクセスもあり、この場合、サーバ計算機は本来応答するべきデータを返信せずに通信を異常終了してしまうことになる。
【００４５】
これに対し、本発明の第１の実施の形態に係るサーバ計算機保護装置１は、サーバ計算機９３０からの応答データ１２が所定の形式を備えているか否かを判定することにより、バッファオーバーフローという手口を用いた不正アクセスやＤｏＳ攻撃が既知の特徴を格納した不正アクセス特徴データ２１に登録されていなくても、不正アクセスを検知することができる。
【００４６】
（第２の実施の形態）
図５を参照して本発明の第２の実施の形態に係るサーバ計算機保護装置１を説明する。本発明の第２の実施の形態に係るサーバ計算機保護装置１は、図１に示した本発明の第１の実施の形態に係るサーバ計算機保護装置１と比べて、要求蓄積データ２３、要求データ照合手段４４を備えている点が異なる。
【００４７】
即ち、記憶装置１０７には、要求蓄積データ２３が更に記憶されるとともに、サーバ計算機保護プログラムが中央処理制御装置１０１で実行されることにより、更に要求データ照合手段４４がサーバ計算機保護装置１に実装される。
【００４８】
本発明の第２の実施の形態に係る要求データ解析手段４１は、クライアント端末９２０から受信した要求データ１１を解析してサーバ計算機９３０に送信するとともに、要求データ１１の送信元に基づく情報を含む要求データ１１を要求蓄積データ２３に挿入して記憶装置１０７に記憶する。要求データ１１の発信元に基づく情報とは、要求データ１１のヘッダー部に含まれる発信元となるクライアント端末９２０のＩＰアドレス及びポート番号に基づく情報である。
【００４９】
要求データ解析手段４１は、新たに要求データ１１を受信すると、要求データ１１から発信元に基づく情報及び宛先に基づく情報を抽出し、抽出された情報に基づいて要求蓄積データ２３に登録されるが、このとき、既に同一の発信元に基づく情報及び宛先に基づく情報が登録されていた場合、要求データ解析手段４１は、既に登録されていた要求データをタイムアウトしてしまったものと判断して削除するとともに、新たに受信した要求データ１１を要求蓄積データ２３に登録するのが好ましい。
【００５０】
要求蓄積データ２３は、例えば、図６に示すように、要求データ１１の受信時刻と、要求データ１１のヘッダー部に含まれる発信元のＩＰアドレス及びポート番号、宛先のＩＰアドレス及び宛先ポート番号と、要求データ１１のデータ部に記載されたデータとが記憶されている。要求蓄積データ２３は、単に要求データ解析手段４１によって記憶される要求データ１１のログであっても良い。
【００５１】
ここで、同一のＩＰアドレス及びポート番号から同時に複数の通信がなされることはプロトコル上あり得ないので、要求データ１１の発信元ＩＰアドレス及びポート番号が要求蓄積データ２３に記憶されることにより、クライアント端末９２０からサーバ計算機９３０に送信された全ての要求データ１１が識別される。
【００５２】
要求データ照合手段４４は、応答データ解析手段４２で生成された不正アクセスメッセージ３２を受信すると、記憶装置１０７から要求蓄積データ２３を読み出すとともに、応答データ１２の送信先が要求蓄積データの要求データの送信元とを比較し、応答データ１２の送付先が要求データ１１の送信元と一致する要求データ１１を抽出し、要求データ１１に関する不正アクセスメッセージを生成する。
【００５３】
又、要求データ照合手段４４は、サーバ計算機９３０から応答データ１２を受信し、応答データ１２の送付先が要求データ１１の送信元と一致する要求データ１１を要求蓄積データ２３から抽出するとともに、当該要求データに対応する応答が完了したことを確認し、要求蓄積データ２３から該当する要求データを削除するのが好ましい。具体的には、要求データ照合手段４４は、一定時間毎に要求蓄積データ２３を読み出し、要求データ１１の受信時刻からサーバ計算機９３０から返信されるはずの充分な時間が経過した要求データ、所謂タイムアウトしてしまった要求データを検索する。更に要求データ照合手段４４は、充分な時間が経過してしまった要求データを、要求蓄積データ２３から削除して記憶装置１０７に記憶する。
【００５４】
次に図７を参照して本発明の第２の実施の形態に係る要求データ照合手段４４のの処理について説明する。
【００５５】
まず、ステップＳ２０１において、応答データ解析手段４２より不正アクセスメッセージ３２を受信する。不正アクセスメッセージ３２を受信すると、ステップＳ２０２において、不正アクセスであると判定された応答データの発信元ＩＰアドレス及びポート番号を読み出すとともに、ステップＳ２０３において応答データの宛先ＩＰアドレス及びポート番号を読み出す。次に、ステップＳ２０４において、要求蓄積データ２３を記憶装置１０７から読み出す。
【００５６】
応答データの発信元ＩＰアドレス及びポート番号と、宛先ＩＰアドレス及びポート番号とが決定されると、ステップＳ２０５において、応答データの発信元ＩＰアドレス及びポート番号が要求データの宛先ＩＰアドレス及びポート番号に一致し、応答データの宛先ＩＰアドレス及びポート番号が要求データの発信元ＩＰアドレス及びポート番号となる要求データを要求蓄積データ２３から検索する。ステップＳ２０６において検索された要求データがあるか否かが判定され、検索された要求データがある場合、当該要求データを不正アクセスとして検出するとともに、不正アクセスメッセージ３３を生成して不正アクセス通知手段４３に通知する。
【００５７】
上述した様に本発明の第２の実施の形態に係るサーバ計算機保護装置１は、サーバ計算機９３０から受信した応答データ１２が所定の応答データの形式を備えていない場合、その応答データを要求した要求データ１１を抽出し、その要求データ１１を不正アクセスとして通知することができる。又、タイムアウトしてしまった要求データを削除することにより、要求蓄積データ２３には、クライアント端末９２０からサーバ計算機９３０へ送信された要求データ１１を一意に識別することができるので、応答データ１２の発信元ＩＰアドレス及びポート番号と宛先ＩＰアドレス及びポート番号から、要求データを特定することができる。
【００５８】
これにより、サーバ計算機保護装置１は、不正アクセスを試みるクライアント端末９２０のＩＰアドレス及びポート番号を把握することができるので、同様のＩＰアドレス及びポート番号から受信された要求データを拒否することができる。又、不正アクセスに関する要求データを解析することにより、どのような手口でサーバ計算機９３０へ攻撃が試みられたのかを研究することができるので、その結果を不正アクセス特徴データ２１に反映させることができる。又、不正アクセスを防御するための例えばソフトウェアプログラムのバグの修正などのサーバ計算機９３０の修復作業を容易に行うことができる。
【００５９】
（第３の実施の形態）
図８を参照して本発明の第３の実施の形態に係るサーバ計算機保護装置１を説明する。本発明の第３の実施の形態に係るサーバ計算機保護装置１は、図５に示した本発明の第２の実施の形態に係るサーバ計算機保護装置１と比べて、機密形式データ２４を備えている点が異なる。即ち、記憶装置１０７には、機密形式データ２４が更に記憶される。
【００６０】
本発明の第３の実施の形態に係る機密形式データ２４は、図９に示すように、サーバ計算機９３０における機密データが備える形式が登録されたデータである。ここで、機密データとは、管理者権限のパスワードや、社員情報などのサーバ計算機９３０が管理する情報について、そのデータ形式を正規表現で表したものである。この機密データのデータ形式は、サーバ計算機９３０に使用されているオペレーションシステムやアプリケーションプログラムなどに応じて所定の形式を備えている。例えば、ＵＮＩＸで利用されるパスワードファイルの場合、管理者権限のアカウント名である「root」で始まり、「:」で区切られた７つの欄を備える。従って、パスワードファイルについては、これを正規表現した「^root:.*:.*:.*:.*:.*:」という情報が機密形式データ２４に格納される。又、例えば社員番号が英字３文字数字８桁で構成される場合、英字３文字及び数字８桁で開始されるレコードを持つＣＳＶ形式のファイルについてそのデータ形式の正規表現が機密形式データ２４に記憶される。
【００６１】
応答データ解析手段４２は、クライアント端末９２０から受信した要求データ１１に基づいてサーバ計算機９３０で処理されて送信された応答データ１２を受信すると、更に、機密形式データ２４を記憶装置１０７から読み出し、応答データ１２と機密データが備える形式とを比較し、応答データ１２が機密データが備える形式に合致する場合、不正アクセスメッセージ３２を生成する。
【００６２】
次に、図１０を参照し、本発明の第３の実施の形態に係るサーバ計算機保護装置１の応答データ解析手段４２の処理を説明する。
【００６３】
サーバ計算機９３０から第２のネットワークインタフェース５２を介して応答データ１２を受信すると、ステップＳ３０１において、応答データ１２を読み出す。ステップＳ３０２において、応答データ１２からサーバ計算機９３０によって生成され送信されたデータ部を抽出する。このとき、応答データ１２からサーバ計算機９３０との通信で利用されているプロトコルも読み出される。次に、ステップＳ３０３において、ステップＳ１０２で読み出されたプロトコルについての応答データの形式を、応答形式データ２２から読み出す。
【００６４】
応答データ１２のデータ部と、応答データ１２の通信プロトコルについての応答データの形式とが読み出されると、ステップＳ３０４において、データ部のデータが応答データの形式に一致するか否かを判定する。一致する場合、ステップＳ３０５に進む。一方、一致しない場合、ステップＳ３０７において、クライアントからの不正アクセスが検知されたものとして、不正アクセスメッセージ３２を生成して不正アクセスを通知する。このとき、サーバ計算機保護装置１やサーバ計算機９３０によって予め定められたルールに従って、応答データ１２が破棄されたり、サーバ計算機９３０へ返送されたりしても良い。
【００６５】
ステップＳ３０４において応答データが応答形式データ２２に登録された形式に合致する場合、ステップＳ３０５において、応答データのデータ部が機密形式データ２４に記憶された機密データの特徴に一致するか否かを判定する。一致しない場合、ステップＳ３０６において、サーバ計算機９３０によって正常に処理された応答データ１２であるとして、その応答データ１２をクライアント端末９２０に転送する。一方、一致しない場合、ステップＳ３０７において、クライアントからの不正アクセスが検知されたものとして、不正アクセスメッセージ３２を生成して不正アクセスを通知する。
【００６６】
この様な本発明の第３の実施の形態によれば、サーバ計算機９３０から機密データが漏洩した場合でも、その機密データをサーバ計算機保護装置１の外へ流出することを防ぐことができる。又、本発明の第３の実施の形態において、応答データ解析手段４２が、応答形式データ２２及び機密形式データ２４を読み出して応答データの正当性を判定する場合について説明したが、機密形式データ２４のみを参照して応答データの正当性が判定されても良い。
【００６７】
本発明の第３の実施の形態係るサーバ計算機保護装置１は、サーバ計算機９３０において検査が充分に行われずパスワードファイルなどの機密データが漏洩した場合でも、不正アクセスを検知することができる。
【００６８】
又、第３の実施の形態において、応答データ解析手段４２によって不正アクセスメッセージ３２が生成されると、第２の実施の形態と同様に対応する要求データ１１を要求蓄積データ２３を抽出し不正アクセスメッセージ３３を生成することができるのは勿論である。
【００６９】
この様に本発明の第３の実施の形態に係るサーバ計算機保護装置１によれば、クライアント端末９２０がサーバ計算機９３０から機密データを盗み出そうとした場合、その要求データ及び応答データが正当な形式を満たしていても、送信されるデータの形式から不正アクセスを検知することができる。
【００７０】
（その他の実施の形態）
上記のように、本発明の第１乃至第３の実施の形態によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなる。
【００７１】
本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【図面の簡単な説明】
【００７２】
【図１】本発明の第１の実施の形態に係るサーバ計算機保護装置の機能ブロック図である。
【図２】本発明の第１の実施の形態に係るサーバ計算機保護装置のハードウェア構成図である。
【図３】本発明の第１の実施の形態に係る応答形式データのデータ構造とデータの一例を示す図である。
【図４】本発明の第１の実施の形態に係る応答データ解析手段の処理を示したフローチャートである。
【図５】本発明の第２の実施の形態に係るサーバ計算機保護装置の機能ブロック図である。
【図６】本発明の第２の実施の形態に係る要求蓄積データのデータ構造とデータの一例を示す図である。
【図７】本発明の第２の実施の形態に係る要求データ照合手段の処理を示したフローチャートである。
【図８】本発明の第３の実施の形態に係るサーバ計算機保護装置の機能ブロック図である。
【図９】本発明の第３の実施の形態に係る機密形式データのデータ構造とデータの一例を示す図である。
【図１０】本発明の第３の実施の形態に係る応答データ解析手段の処理を示したフローチャートである。
【図１１】従来のサーバ計算機保護装置の機能ブロック図である。
【符号の説明】
【００７３】
１、９００…サーバ計算機保護装置
１１…要求データ
１２…応答データ
２１…不正アクセス特徴データ
２２…応答形式データ
２３…要求蓄積データ
２４…機密形式データ
３１、３２、３３…不正アクセスメッセージ
４１…要求データ解析手段
４２…応答データ解析手段
４３…不正アクセス通知手段
４４…要求データ照合手段
５１、５２…ネットワークインタフェース
１０１…中央処理制御装置
１０２…ＲＯＭ
１０３…ＲＡＭ
１０４…入力装置
１０５…表示装置
１０６…通信制御装置
１０７…記憶装置
１０８…リムーバブルディスク
１０９…入出力インタフェース
１１０…バス
９０１、９０７…ネットワークインタフェース
９０２…要求データ
９０３…要求データ解析手段
９０４…不正アクセス特徴データ
９０５…不正アクセスメッセージ
９０６…不正アクセス通知手段
９０８…応答データ
９１０、９１１…ネットワークセグメント
９２０…クライアント端末
９３０…サーバ計算機
【図１】
2005293246.tif 000003
【図２】
2005293246.tif 000004
【図３】
2005293246.tif 000005
【図４】
2005293246.tif 000006
【図５】
2005293246.tif 000007
【図６】
2005293246.tif 000008
【図７】
2005293246.tif 000009
【図８】
2005293246.tif 000010
【図９】
2005293246.tif 000011
【図１０】
2005293246.tif 000012
【図１１】
2005293246.tif 000013