(57)【要約】【課題】  入力されるパケットのうち不正なアクセスであるデータのパケットを検知する侵入検知装置及び侵入検知方法を提供する。【解決手段】  ネットワーク２０から入力されたパケットを解析して不正なアクセスであるパケットを判定する解析部１２ｄを有する侵入検知装置１０において、解析部１２ｄにおいて実行される解析処理は、処理番号が付与される複数の処理から成り、入力されたパケットとパケットが不正であるか否かのフラグを含むレコードをパケット蓄積データ１６として記憶装置に記憶させ、中断指示が生成されて解析部１２ｄで実行されていた解析処理が中断されると、中断されるまでに解析部１２ｄで実行されたパケットの解析処理の処理番号をパケットに関連付けたパケット蓄積データ１６を記憶装置に記憶させる記憶処理部１２ａと、解析部１２ｄにおいて実行されている解析処理を中断させる中断指示を生成する中断処理指示部１５とを有する。【選択図】      図１
2007104105.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークから入力されたパケットを解析して不正なアクセスであるパケットを判定する解析部を有する侵入検知装置において、
前記解析部において実行される解析処理は、処理番号が付与される複数の処理から成り、
入力されたパケットと前記パケットが不正であるか否かを示すフラグを含むレコードをパケット蓄積データとして記憶装置に記憶させ、前記解析部で実行されていた解析処理が中断されると、中断されるまでに前記解析部で実行されたパケットの解析処理の処理番号を前記パケットに関連付けたパケット蓄積データを記憶装置に記憶させる記憶処理部と、
前記解析部において実行されている解析処理を中断させる中断指示を生成する中断処理指示部と、
を有することを特徴とする侵入検知装置。
【請求項２】
前記記憶処理部は、前記解析部における全ての解析処理が終了したパケット含むレコードを消去したパケット蓄積データを記憶装置に記憶させることを特徴とする請求項１記載の侵入検知装置。
【請求項３】
前記解析部は、解析処理を開始をする際に入力された新たなパケットがある場合、新たなパケットを解析処理の対象とし、入力された新たなパケットがない場合、前記パケット蓄積データに記憶されるデータを解析処理の対象とすることを特徴とする請求項１記載の侵入検知装置。
【請求項４】
前記解析部は、解析処理を開始する際に解析開始通知を生成し、
前記中断処理指示部は、前記解析部で解析開始通知が生成されると、解析が開始されてからの時間を計時する計時手段を有し、所定の解析終了時間が経過すると、前記解析部で実行されている解析処理を中断させる中断指示を生成する
ことを特徴とする請求項１記載の侵入検知装置。
【請求項５】
前記ネットワークにおけるトラフィック量を計測するトラフィック量計測部と、
前記トラフィック量に基づいて前記解析終了時間を算出する算出部と、
を更に有することを特徴とする請求項４記載の侵入検知装置。
【請求項６】
前記中断処理指示部は、前記入力部に新たなパケットが入力されると、前記解析部で実行されている解析処理を中断させる中断指示を生成する
ことを特徴とする請求項１記載の侵入検知装置。
【請求項７】
ネットワークから入力されたパケットを解析して不正なアクセスであるパケットを判定する侵入検知方法において、
パケットの解析処理は、処理番号が付与される複数の処理から成り、
入力されたパケットと前記パケットが不正であるか否かのフラグを含むレコードをパケット蓄積データとして記憶装置に記憶させ、実行されていた解析処理が中断されると、中断されるまでに実行されたパケットの解析処理の処理番号を前記パケットに関連付けたパケット蓄積データを記憶装置に記憶させる記憶処理ステップと、
実行されている解析処理を中断させる中断指示を生成する中断処理指示ステップと、
を有することを特徴とする侵入検知方法。
【請求項８】
前記記憶処理ステップは、全ての解析処理が終了したパケット含むレコードを消去したパケット蓄積データを記憶装置に記憶させることを特徴とする請求項７記載の侵入検知方法。
【請求項９】
解析処理を開始する際に解析開始を生成する解析開始信号生成ステップを有し、
前記中断処理指示ステップは、解析が開始されてからの時間を計時する計時手段で所定の解析終了時間が経過すると、実行されている解析処理を中断させる中断指示信号を生成する第１の中断指示を生成ステップを有する
ことを特徴とする請求項７記載の侵入検知方法。
【請求項１０】
前記ネットワークにおけるトラフィック量を計測するトラフィック量計測ステップと、
前記トラフィック量に基づいて前記解析終了時間を算出する算出ステップと、
を更に有することを特徴とする請求項９記載の侵入検知方法。
【請求項１１】
前記中断処理指示ステップは、新たなパケットが入力されると、実行されている解析処理を中断させる中断指示を生成する第２の中断指示生成ステップを有する
ことを特徴とする請求項７記載の侵入検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、入力されるパケットのうち不正なアクセスであるデータのパケットを検知する侵入検知装置及び侵入検知方法に関する。
【背景技術】
【０００２】
従来、ネットワークから入力されたパケットを解析し、不正なパケットを検知する侵入検知装置が利用されている。
【０００３】
しかしながら、従来の侵入検知装置では、ネットワークのトラフィック量が多い場合、パケットを解析する能力を超えるパケットが入力されることがある。このようにパケットを解析する能力を超えるパケットが侵入検知装置に入力されると、不正なアクセスであるパケットを検知することができず（取りこぼし）、不正な侵入を見逃す問題が生じる。
【０００４】
そのため、不正な侵入を試みる者は、侵入検知装置の処理能力以上のトラフィックの状態を発生させ、取りこぼしを起こさせるようにした後で、不正なアクセスであるパケットを送信することもある。
【０００５】
このような取りこぼしを防止するための技術も開発されている。パケットを分析するパケット分析部を複数設けて、それぞれ異なるパケットを分担して並列処理で分析する技術がある（例えば、特許文献１）。また、トラフィック監視手段がネットワークのトラフィックに応じて分析を行う分析項目が決定され、決定された分析項目でパケットを分析する技術がある（例えば、特許文献２）。
【特許文献１】特開２００１−９４６０２号公報
【特許文献２】特開２００３−２０４３５８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上述した特許文献１に記載の技術によれば、並列処理で分析する為に複数のパケット分析部を設けることが必要になり、侵入検知装置の構造が複雑になる。一方、上述した特許文献２に記載の技術によれば、トラフィックに応じて分析フラグを参照したパケットの分析の方法を変更する選択的分析を実行する為に十分な分析がされない恐れがある。
【０００７】
本発明は上記事情に鑑みてなされたものであり、ネットワークのトラフィックが大量な場合でも、入力されるパケットのうち不正なアクセスであるデータのパケットを検知する侵入検知装置及び侵入検知方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記課題を解決するため、本発明の特徴に係る侵入検知装置は、ネットワークから入力されたパケットを解析して不正なアクセスであるパケットを判定する解析部を有する侵入検知装置において、解析部において実行される解析処理は、処理番号が付与される複数の処理から成り、入力されたパケットと前記パケットが不正であるか否かのフラグを含むレコードをパケット蓄積データに蓄積して記憶装置に記憶させ、中断指示信号が生成されて解析部で実行されていた解析処理が中断されると、中断されるまでに解析部で実行されたパケットの解析処理の処理番号をパケットに関連付けたパケット蓄積データを記憶装置に記憶させる記憶処理部と、解析部において実行されている解析処理を中断させる中断指示信号を生成する中断処理指示部とを有することを特徴とする。
【０００９】
上記構成による本発明によれば、ネットワークのトラフィックが大量な場合でも、解析部における解析処理を中断することが出来るため、入力されるパケットのうち不正なアクセスであるデータのパケットを検知することが出来る。
【００１０】
上記の侵入検知装置は、記憶処理部は、前記解析部における全ての解析処理が終了したパケット含むレコードを消去したパケット蓄積データを記憶装置に記憶させることを特徴とすることが望ましい。
【００１１】
上記の侵入検知装置は、解析部は、解析処理を開始をする際に入力された新たなパケットがある場合、新たなパケットを解析処理の対象とし、入力された新たなパケットがない場合、パケット蓄積データに記憶されるデータを解析処理の対象とすることを特徴とする。
【００１２】
上記の侵入検知装置は、前記解析部は、解析処理を開始する際に解析開始信号を生成し、
前記中断処理指示部は、前記解析部で解析開始信号が生成されると、解析が開始されてからの時間を計時する計時手段を有し、所定の解析終了時間が経過すると、前記解析部で実行されている解析処理を中断させる中断指示信号を生成することが望ましい。
【００１３】
上記構成による本発明によれば、パケットの解析処理を解析終了時間毎に中断することで、取りこぼしを防止して入力されるパケットのうち不正なアクセスであるデータのパケットを検知することが出来る。
【００１４】
上記の侵入検知装置は、前記ネットワークにおけるトラフィック量を計測するトラフィック量計測部と、前記トラフィック量に基づいて前記解析終了時間を算出する算出部と、
を更に有することを特徴とすることが望ましい。
【００１５】
上記構成による本発明によれば、トラフィックの状況に基づいてパケットの解析処理の時間である解析終了時間を求めることで、取りこぼしを防止して入力されるパケットのうち不正なアクセスであるデータのパケットを検知することが出来る。
【００１６】
上記の侵入検知装置は、前記中断処理指示部は、前記入力部に新たなパケットが入力されると、前記解析部で実行されている解析処理を中断させる中断指示信号を生成することが望ましい。
【００１７】
上記構成による本発明によれば、新たな入力を解析処理の中断のタイミングとすることでネットワークのトラフィックが大量な場合でも、入力されるパケットのうち不正なアクセスであるデータのパケットを検知することが出来る。
【発明の効果】
【００１８】
本発明によれば、ネットワークのトラフィックが大量な場合でも、入力されるパケットのうち不正なアクセスであるデータのパケットを検知することができる。
【発明を実施するための最良の形態】
【００１９】
以下、図面を参照して、本発明の最良の実施の形態を説明する。  
図１は本発明の最良の実施の形態に係る侵入検知装置１０のブロック図である。図１に示すように、侵入検知装置１０は、入力部１１、解析処理部１２、不正パケット処理部１３、トラフィック量計測部１４、中断処理指示部１５、パケット蓄積データ１６及び不正アクセスデータ１７を有している。
【００２０】
侵入検知装置１０は、中央処理制御装置、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、入力装置、表示装置、通信制御装置及び記憶装置等を有する一般的なコンピュータであって、記憶装置には中央処理制御装置で実行されるプログラムやデータが記憶されている。  
具体的に記憶装置は、パケット蓄積データ１６及び不正アクセスデータ１７を記憶している。また、記憶装置は、侵入検知プログラムが中央処理制御装置に読み込まれることによって、入力部１１、解析処理部１２、不正パケット処理部１３、トラフィック量計測部１４及び中断処理指示部１５が実装される。
【００２１】
なお、本発明の最良の実施の形態に係る侵入検知装置１０は、図１に示すように１台のコンピュータにおいて実行されても良いし、互いに通信可能な複数のコンピュータにおいて実行されても良い。例えば、各構成を異なるコンピュータに設けて実行されても良い。また、記憶装置を外部に設ける構成や、記憶装置の一部のデータのみを外部に設ける構成であっても良い。
【００２２】
入力部１１は、ネットワーク２０において通信されているパケットが入力される。
【００２３】
解析処理部１２は、入力部１１に入力されたパケットを解析し、不正なアクセスであるか否かを判定する。具体的に、解析処理部１２は、図１に示すように記憶処理手段１２ａ、検索手段１２ｂ、通知手段１２ｃ及び解析手段１２ｄを有している。
【００２４】
記憶処理手段１２ａは、入力されたパケットとパケットが不正であるか否かのフラグを含むレコードをパケット蓄積データ１６として記憶装置に記憶させる。また、記憶処理手段１２ａは、中断指示が生成されて解析手段１２ｄで実行されていた解析処理が中断されると、中断されるまでに解析手段１２ｄで実行されたパケットの解析処理の処理番号をパケットに関連付けたパケット蓄積データ１６を記憶装置に記憶させる。さらに、記憶処理手段１２ａは、解析手段１２ｄにおける全ての解析処理が終了したパケット含むレコードを消去したパケット蓄積データ１６を記憶装置に記憶させる。
【００２５】
検索手段１２ｂは、入力部１１に新たに入力されたパケットと一連のパケットに関するレコードをパケット蓄積データ１６から検索する。
【００２６】
通知手段１２ｃは、処理の対象となるパケットが決定されて処理を開始する際、中断処理指示部１５に解析開始通知を送信する。
【００２７】
解析手段１２ｄは、入力したパケットを解析する。また、解析手段１２ｄは、解析処理を開始する際に解析開始通知を生成し、中断処理指示部１５に送信する。
【００２８】
不正パケット処理部１３は、解析処理部１２でパケットが不正なアクセスが検知されると、この不正なアクセスであるパケットについて後述する不正アクセスデータ１７を更新したり、管理者端末へ不正アクセス検知の通知などを行う。
【００２９】
トラフィック量計測部１４は、ネットワーク２０におけるトラフィック量を計測する。具体的に、トラフィック量計測部１４は、単位時間あたりに入力部１１がネットワーク２０から入力したパケットの量に基づいて、ネットワーク２０の単位時間あたりのトラフィック量を計測する。
【００３０】
中断処理指示部１５は、解析処理部１２の解析手段１２ｄにおける解析処理を中断する中断処理指示を生成し、解析処理部１２に送信する。具体的に、解析手段１２ｄは、図１に示すように算出手段１５ａ、計時手段１５ｂ及び指示手段１５ｃを有している。
【００３１】
算出手段１５ａは、トラフィック量計測部１４において計測したトラフィック量に基づいて解析終了時間を算出する。解析終了時間とは、１つのパケットの解析に利用される最大時間として定められる時間である。
【００３２】
計時手段１５ｂは、解析処理部１２から解析開始通知を受信すると計時を開始する。
【００３３】
指示手段１５ｃは、計時手段１５ｂにおいて解析処理が開始されてから解析開始時間が経過すると、解析処理部１２に処理の中断指示を出力する。または、指示手段１５ｃは、入力部１１に新たなパケットが入力されると、解析処理部１２に処理の中断指示を出力する。
【００３４】
パケット蓄積データ１６は、入力部１１に入力されたパケットを実データとする「パケットデータ」と、このパケットの解析処理の進行の度合いである処理番号を実データとする「終了処理番号」と、このパケットが不正なアクセスであるか否かを実データとする「不正フラグ」との項目が関連付けられるレコードを有している。このパケット蓄積データ１６は、パケットを一時的に蓄積し、解析処理部１２における処理で利用される。「不正フラグ」は、不正なアクセスのパケットである場合、「オン（１）」に設定され、不正でないアクセスのパケットである場合、「オフ（０）」に設定される。
【００３５】
図２は、パケット蓄積データ１６の一例である。図２に示すパケット蓄積データ１６は、「パケットＡ１」は、処理番号が１０まで解析処理が終了し、この処理番号が１０の解析処理では、不正なアクセスであると判定されなかったことを示している。また、図２に示すパケット蓄積データ１６は、「パケットＢ」は、処理番号が２５までの解析処理が終了し、この処理番号が２５の解析処理で不正なアクセスであると判定されなかったことを示している。さらに、図２に示すパケット蓄積データ１６は、「パケットＣ」は、処理番号が２２までの解析処理が終了し、この処理番号が２２の解析処理では、不正なアクセスであると判定されたことを示している。
【００３６】
不正アクセスデータ１７は、不正なアクセスであると判定されたパケットに関する情報を含んでいる。  
図３に不正アクセスデータ１７の一例を示す。図３に示す不正アクセスデータ１７の一例では、パケットの送信元の識別子が実データとなる「送信元」と、パケットの送信先の識別子が実データとなる「送信先」と、パケットを送信した時刻が実データとなる「送信時刻」と、パケットの内容や不正アクセスの詳細が実データとなる「内容」の項目が関連付けられるレコードを有している。
【００３７】
具体的に、図３に示す不正アクセスデータ１７は、「Ｔ１」が送信元であり、「Ｔ２」が送信先である２００５年の９月１５日の２０時５０分に送信したパケットが不正なアクセスであることを記憶している。また、図３に示す不正アクセスデータ１７は、「Ｔ１」が送信元であり、「Ｔ３」が送信先である２００５年の９月１５日の２０時５５分に送信したパケットが不正なアクセスであることを記憶している。さらに、図３に示す不正アクセスデータ１７は、「Ｔ４」が送信元であり、「Ｔ５」が送信先である２００５年の９月１６日の１５時１１分に送信したパケットが不正なアクセスであることを記憶している。
【００３８】
（処理）
図４に示すフローチャートを用いて本発明の最良の実施の形態に係る侵入検知装置１０における処理を説明する。  
図４に示す処理は、解析処理部１２が中断処理指示部１５から中断指示を受信するまで行われる（Ｓ００１）。
【００３９】
入力部１１に新たに入力されたパケットがある場合（Ｓ００２でＹＥＳ）、解析処理部１２の記憶処理手段１２ａは、入力部１１に新たに入力されたパケットを「パケットデータ」として含むレコードを生成し、この新たなレコードを追加して更新したパケット蓄積データ１６を記憶装置に記憶させる（Ｓ００３）。
【００４０】
図５に、入力部１１にパケットＡ３が入力されて、ステップＳ００３で新たなレコードを追加して更新したパケット蓄積データ１６の一例を示す。図５に示すパケット蓄積データ１６は、図２に示したパケット蓄積データ１６に、「パケットデータ」として「パケットＡ３」と、その「終了処理番号」である「０」と、「不正フラグ」である「０」とを関連付けたレコードを追加して更新している。図５に示すパケット蓄積データ１６に追加されたレコードの「終了処理番号」の実データが「０」であり、「不正フラグ」の実データが「０」となっているのは、解析処理がまだ行なわれておらず、不正なアクセスであるという判定もされていないためである。
【００４１】
ステップＳ００３で更新したパケット蓄積データ１６が記憶装置に記憶されると、検索手段１２ｂは、記憶装置からパケット蓄積データ１６を読み出し、入力部１１に新たに入力されたパケットと一連のパケットに関するレコードをパケット蓄積データ１６から検索する（Ｓ００４）。一連のパケットとは、同一のデータを構成するパケットのことである。例えば、データＡがパケットＡ１〜パケットＡ１０で構成する場合、これらパケットＡ１〜パケットＡ１０を一連のパケットとする。
【００４２】
一連のパケットに関するレコードがパケット蓄積データ１６に含まれていた場合、すなわち、入力部１１に新たに入力されたパケットと一連のデータを構成するパケットに関するレコードがパケット蓄積データ１６に含まれていた場合（Ｓ００４でＹＥＳ）、一連のパケットに関するレコードをパケット蓄積データ１６から抽出し、抽出したレコードに含まれるパケットを処理の対象とする（Ｓ００５）。
【００４３】
ステップＳ００５で処理の対象となるパケットが決定されて処理を開始する際、通知手段１２ｃは、中断処理指示部１５に解析開始通知を送信する（Ｓ００６）。
【００４４】
一方、一連のパケットに関するレコードがパケット蓄積データ１６に含まれていない場合、すなわち、入力部１１に新たに入力されたパケットと一連のデータを構成するパケットに関するレコードがパケット蓄積データ１６に含まれていない場合（Ｓ００４でＮＯ）、入力部１１に新たに入力されたパケットを処理の対象とする（Ｓ００７）。ステップＳ００７で処理の対象となるパケットが決定されると、通知手段１２ｃは、中断処理指示部１５に解析開始通知を送信する（Ｓ００６）。
【００４５】
図５で上述したようにパケット蓄積データ１６が更新された場合、パケットＡ３はパケットＡ１に対して一連のパケットに関するデータであるため、入力部１１に新たに入力されたパケットＡ３ではなく、このパケットＡ３の一連のパケットであるパケットＡ１を含めた一連のデータを処理の対象とする。
【００４６】
一方、新たに入力したパケットが既にパケット蓄積データ１６に蓄積するパケットに対する一連のパケットではなく、図６に示すように新たに入力したパケットがパケットＤなどの一連のパケットを有さないパケットである場合、この新たに入力したパケットＤを処理の対象とする。
【００４７】
ステップＳ００２の判定において、解析処理部１２の検索手段１２ｂは、入力部１１に新たなパケットが入力されなかった場合（Ｓ００２でＮＯ）、記憶装置からパケット蓄積データ１６を読み出し、パケット蓄積データ１６に解析処理が終了していないパケットに関するレコードが存在するか否かを判定する（Ｓ００８）。
【００４８】
解析処理が終了していないパケットに関するレコードがパケット蓄積データ１６に存在する場合（Ｓ００８でＹＥＳ）、この処理が終了していないパケットに関するレコードを処理の対象となるパケットに関するレコードとして抽出する（Ｓ００９）。このレコードの抽出についてはどのような方法であってもよく、例えば、最初に追加されたレコードを抽出する方法や、最後に追加されたレコードを抽出する方法が考えられる。一方、解析処理が終了していないパケットに関するレコードがパケット蓄積データ１６に存在しない場合（Ｓ００８でＮＯ）、ステップＳ００２の処理に戻る。
【００４９】
ステップＳ００９でレコードが抽出されると、このレコードの不正パケットフラグが「１」に設定されているか否かを判定する（Ｓ０１０）。ステップＳ００９で抽出したレコードの不正パケットフラグが「０」に設定されている場合（Ｓ０１０でＹＥＳ）、通知手段１２ｃは、中断処理指示部１５に解析開始通知を送信する（Ｓ００６）。  
例えば、新たにパケットが入力されず、図２に示すパケット蓄積データ１６が記憶装置に記憶されている場合、ステップＳ００９では、このパケット蓄積データ１６に含まれるレコードから処理の対象となるレコードを抽出する。
【００５０】
ステップＳ００６で解析開始通知を送信すると、解析処理部１２では、解析処理が開始される。まず、解析処理部１２の解析手段１２ｄは、解析処理を開始する処理の処理番号であるＮを設定する（Ｓ０１１）。解析処理は複数の処理番号０〜Ｎが付される複数の解析処理で構成されており、順番に実行される。例えば、ステップＳ００７で、入力部１１が新たに入力したパケットを処理の対象とした場合、解析処理は全く実行されていないため、処理番号Ｎは初期値である０に設定される。一方、ステップＳ００５またはステップＳ００９でパケット蓄積データ１６に含まれるパケットを処理の対象とし、対象とするパケットについて途中まで処理が実行されていた場合、パケット蓄積データ１６の「終了処理番号」で特定されるステップが解析処理を開始するステップの番号として設定される。
【００５１】
ステップＳ０１１で処理番号Ｎを設定すると、解析手段１２ｄは、処理番号Ｎの解析処理でパケットを解析する（Ｓ０１２）。
【００５２】
ステップＳ０１２における解析の結果、解析処理部１２の解析手段１２ｄにパケットが不正なパケットでないと判定されると（Ｓ０１３でＮＯ）、記憶処理手段１２ａは、パケット蓄積データ１６の「終了処理番号」を更新して記憶装置に記憶し（Ｓ０１４）、他に処理がされていないステップがあるか否かを判定する（Ｓ０１５）。  
例えば、パケット蓄積データ１６が図６に示す例の場合にステップＳ０１４に進んだとき、「終了処理番号」が「０」から「１」に変更される。
【００５３】
他に処理がされていないステップがあると判定された場合（Ｓ０１５でＹＥＳ）、解析手段１２ｄは、処理番号ＮをインクリメントしてステップＳ０１２に戻り、同様の処理を繰り返す（Ｓ０１６）。
【００５４】
一方、ステップＳ０１５で他に処理がされていないステップがないと判定された場合（Ｓ０１５でＮＯ）、通知手段１２ｃは、中断処理指示部１５に完了通知を送信する（Ｓ０１７）。
【００５５】
一方、ステップＳ０１２における解析の結果、解析処理部１２の解析手段１２ｄでパケットが不正なパケットであると判定されると（Ｓ０１３でＹＥＳ）、記憶処理手段１２ａは、パケット蓄積データ１６の「終了処理番号」及び「不正フラグ」を更新して記憶装置に記憶する（Ｓ０１８）。  
例えば、パケット蓄積データ１６が図６に示す例の場合にステップＳ０１８に進んだとき、「終了処理番号」が「０」から「１」に変更されるとともに、「不正フラグ」が「０」から「１」に変更される。
【００５６】
ステップＳ０１８でパケット蓄積データ１６が更新されると、通知手段１２ｃは管理端末等に不正パケットの入力を通知するとともに、不正アクセスデータ１７を更新して記憶装置に記憶させる（Ｓ０１９）。  
また、ステップＳ００９で抽出したレコードの不正パケットフラグが「１」に設定されている場合（Ｓ０１０でＹＥＳ）、抽出されたレコードに含まれるパケットについて、解析を継続する必要がないため、通知手段１２ｃは管理端末等に不正パケットの入力を通知するとともに、不正アクセスデータ１７を更新して記憶装置に記憶させる（Ｓ０１９）。
【００５７】
例えば、パケット蓄積データ１６が図２で示す例の場合にステップＳ００９でパケットＣについてのレコードが抽出されると、ステップＳ０１０の判定においてステップＳ０１９に進む。  
図７に、図２に示した不正アクセスデータ１７がステップＳ０１９で更新された一例を示す。
【００５８】
ステップＳ０１９で通知手段１２ｃが管理端末等に不正パケットの入力を通知するとともに記憶処理手段１２ａが不正アクセスデータ１７を更新して記憶装置に記憶させると、不正なパケットに関するレコード追加されて更新された不正アクセスデータ１７が記憶されると、この不正なパケットに関するレコードを削除して更新されたパケット蓄積データ１６を記憶装置に記憶する（Ｓ０２０）。
【００５９】
ステップＳ０２０で更新されたパケット蓄積データ１６が記憶されると、通知手段１２ｃは、中断処理指示部１５に完了通知を送信する（Ｓ０１７）。
【００６０】
ここで、ステップＳ００２〜Ｓ０２０に示す処理がされている間に解析処理部１２が中断指示を受信すると（Ｓ００１）、ステップＳ００２の処理に戻る。
【００６１】
このように、中断指示を受信するまでの間、解析処理を実行し、中断指示を受信すると解析の処理を中断して別のパケットの解析処理を実行し、解析が中断された場合であっても、トラフィックが少ない場合に再びパケットの解析処理を実行するため、取りこぼしを防止することが出来る。
【００６２】
（中断指示の送信処理）
図８に用いるフローチャートを用いて中断処理指示部１５が中断指示を送信する処理を説明する。  
中断処理指示部１５の計時手段１５ｂは、解析処理部１２の通知手段１２ｃから送信される解析開始通知の受信を待機している（Ｓ１０１）。
【００６３】
その後、計時手段１５ｂは、開始通知を受信すると（Ｓ１０１でＹＥＳ）、処理時間ｔの計時を開始する（Ｓ１０２）。
【００６４】
ステップＳ１０２で計時が開始された後、入力部１１で新たなパケットを入力した場合（Ｓ１０３でＹＥＳ）、または、ステップＳ１０２で計時が開始されてからの処理時間ｔが解析終了時間であるＴ秒が経過すると（Ｓ１０４でＹＥＳ）、指示手段１５ｃは、中断指示を生成して解析処理部１２に送信する。また、ステップＳ１０２で計時が開始された後、入力部１１で新たなパケットを入力せず（Ｓ１０３でＮＯ）、解析終了時間であるＴ秒経過していない場合（Ｓ１０４でＮＯ）、ステップＳ１０３及びＳ１０４の処理を繰り返す。
【００６５】
なお、図８に示すフローチャートでは、中断指示の送信にステップＳ１０３におけるパケットの入力及びステップＳ１０４における解析終了時間の経過を用いているが、どちらか一方であってもよい。
【００６６】
このように、中断指示で解析処理を中断することで、トラフィックが大きくなっても取りこぼしを減らすことが出来る。
【００６７】
（トラフィック量計測の処理）
トラフィック量計測部１４は、入力部１１がネットワーク２０から入力されたパケット数を積算し、単位時間毎の入力パケット数ｐを算出している。単位時間毎の入力パケット数とは、例えば１秒毎の入力パケット数ｐである。トラフィック量計測部１４は、単位時間毎の入力パケット数ｐを中断処理指示部１５に送信する。
【００６８】
中断処理指示部１５の算出手段１５ａは、トラフィック量計測部１４から送信される入力パケット数ｐを待機している（Ｓ２０１）。  
算出手段１５ａは、入力パケット数ｐを受信すると（Ｓ２０１でＹＥＳ）、受信した入力パケット数ｐから解析終了時間Ｔを算出する（Ｓ２０２）。  
また、算出手段１５ａは、ステップＳ２０２で算出した解析終了時間Ｔを計時手段に送信する（Ｓ２０３）。
【００６９】
具体的には、カウントされた単位時間あたりの入力パケット数、すなわちｐ（ｉ）個／秒から、１パケットあたりにかけられる解析終了時間Ｔ＝１／ｐ（ｉ）秒を算出する。なお、過去１秒前の入力パケット数ｐ（ｉ−１）に比べて、今回の入力パケット数ｐ（ｉ）が増加している場合、１パケットにかけられる時間は、Ｔ＝１／（ｐ（ｉ）+（ｐ（ｉ）−ｐ（ｉ−１）））秒として、パケットが増加傾向にある場合に対処する。
【００７０】
このように、解析終了時間Ｔをトラフィックの状態によって変更することで、取りこぼしを減らすことが出来る。
【００７１】
上記のように、本発明の実施の形態によって記載したが、この開示の一部をなす論述および図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例および運用技術が明らかとなる。
【００７２】
本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明に記載した事項と自明な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【図面の簡単な説明】
【００７３】
【図１】本発明の最良の実施の形態に係る侵入検知装置の機能ブロック図である。
【図２】本発明の最良の実施の形態に係る侵入検知装置で記憶されるパケット蓄積データの一例である。
【図３】本発明の最良の実施の形態に係る侵入検知装置で記憶される不正アクセスデータの一例である。
【図４】本発明の最良の実施の形態に係る侵入検知装置における処理を説明するフローチャートである。
【図５】図２に示したパケット蓄積データが更新された一例である。
【図６】図２に示したパケット蓄積データが更新された他の例である。
【図７】図３に示した不正アクセスデータが更新された一例である。
【図８】本発明の最良の実施の形態に係る侵入検知装置の中断処理指示部における処理を説明するフローチャートである。
【図９】本発明の最良の実施の形態に係る侵入検知装置の通知手段における処理を説明するフローチャートである。
【符号の説明】
【００７４】
１０…侵入検知装置
１１…入力部
１２…解析処理部
１２ａ…記憶処理手段
１２ｂ…検索手段
１２ｃ…通知手段
１２ｄ…解析手段
１３…不正パケット処理部
１４…トラフィック量計測部
１５…中断処理指示部
１５ａ…算出手段
１５ｂ…計時手段
１５ｃ…指示手段
１６…パケット蓄積データ
１７…不正アクセスデータ
２０…ネットワーク
【図１】
2007104105.tif 000003
【図２】
2007104105.tif 000004
【図３】
2007104105.tif 000005
【図４】
2007104105.tif 000006
【図５】
2007104105.tif 000007
【図６】
2007104105.tif 000008
【図７】
2007104105.tif 000009
【図８】
2007104105.tif 000010
【図９】
2007104105.tif 000011