(57)【要約】【課題】従来のネットワーク侵入検知装置は、事前に管理装置が侵入検知装置を含むネットワークの構成情報を把握しておく必要がありシステム管理者の負担になる。【解決手段】管理装置からのシグネチャから特定した保護サーバ宛に検査パケット送信をする検査パケット処理部にシグネチャ最適化部でその依頼し、検査パケット処理部はサーバより返戻の検査パケットから経路上に他の侵入検知装置の有無を確認し、他侵入検知装置があるときは、検査パケットに他侵入検知装置有の識別子を付け、シグネチャ最適化部は、他侵入検知装置があるときはシグネチャを無効にし、ないとき有効にしてシグネチャを最適化し最適化シグネチャDB部に登録し、検知エンジン部はパケット送受信部からの受信パケットを最適化シグネチャDB部のシグネチャにより不正侵入検査をし、OKの時はパケット送受信部から送信、NGの時は廃棄する。【選択図】図１
2007049352.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークからパケットを送受信するパケット送受信部、
ネットワークに接続された管理装置からのシグネチャを受信し保存するシグネチャDB部、
シグネチャDB部のシグネチャからネットワークに接続された保護すべきサーバを特定し、そのサーバ宛に検査パケットの送信依頼信号を出力するシグネチャ最適化部、
シグネチャ最適化部からの送信依頼信号を受信し、検査パケットをパケット送受信部を通して指定されたサーバ宛に送る検査パケット処理部を備え、
検査パケット処理部はサーバから戻ってきた検査パケットから経路上に他の侵入検知装置があるかないかを確認し、他の侵入検知装置ある場合には、検査パケットに他の侵入検知装置があることを示す識別子を付け、
シグネチャ最適化部は、他の侵入検知装置がサーバとの途中にある場合には、該当シグネチャを無効にし、ない場合には、有効にしてシグネチャを最適化し、
この最適化されたシグネチャを登録する最適化シグネチャDB部と、
パケット送受信部から受信したパケットを受け取り、最適化シグネチャDB部に登録されているシグネチャを用いてパケットの不正侵入検査を実施し、検査がOKである場合にはパケット送受信部からパケットを送信し、検査がNGの場合にはパケットを廃棄する検知エンジン部を更に備えた侵入検知装置。
【請求項２】
前記パケット送受信部において、ネットワークケーブルの抜き差しによるネットワークのリンク情報を検知し、リンクが切断されて再度リンクが接続された場合に、シグネチャ最適化部に接続変更を通知し、
シグネチャ最適化部はこの通知により検査パケット処理部に再度検査パケット送信依頼することを特徴とする請求項１記載の侵入検知装置。
【請求項３】
ネットワークからパケットを送受信するパケット送受信部、
ネットワークに接続された管理装置からのシグネチャを受信し保存するシグネチャDB部、
パケット送受信部から受け取る自己の装置を管理するため以外のパケットが検査済みのチェックを有するか否かを調べ、検査済みの場合にはパケットをパケット送受信部から送信し、検査済みでない場合には、検知エンジン部に送るパケット検査済みチェック部を備え、
検知エンジン部はパケット検査済みチェック部から送られたパケットの不正侵入検査をシグネチャDB部に登録されているシグネチャを用いて実施し、検査がOKである場合にはパケット送受信部からパケットを送信し、検査がNGの場合にはパケットを廃棄する構成にされた侵入検知装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワーク管理システムにおいて計算機ネットワークへの侵入などの不正アクセスに対する侵入を検知し、不正侵入したパケットは廃棄する侵入検知装置に関するものである。
【背景技術】
【０００２】
従来のネットワーク侵入検知システムでは、侵入検知装置ですべてのシグネチャを用いてパケットを検査するのではなく、管理装置から渡されたネットワークの構成情報をもとに、必要なシグネチャだけを用いて検査を行っていた（例えば、特許文献１）。
【０００３】
【特許文献１】特開2003-92603号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来のネットワーク侵入検知システムは、事前に管理装置が侵入検知装置を含むネットワークの構成情報を把握しておく必要があるという問題点があった。また、侵入検知装置を別のネットワークに繋ぎ換えた場合に、管理装置でネットワークの構成情報を変更し侵入検知装置に知らせてやる必要があるという問題点があった。
この発明は上記のような問題点を解決するためになされたもので、管理装置はネットワークの構成を知らなくても、侵入検知装置だけで自動的に必要なシグネチャを判断し、さらに侵入検知装置が別のネットワークへ変更したことを自動的に検知することを目的とする。
【課題を解決するための手段】
【０００５】
この発明に係る侵入検知装置は、
ネットワークからパケットを送受信するパケット送受信部、
ネットワークに接続された管理装置からのシグネチャを受信し保存するシグネチャDB部、
シグネチャDB部のシグネチャからネットワークに接続された保護すべきサーバを特定し、そのサーバ宛に検査パケットの送信依頼信号を出力するシグネチャ最適化部、
シグネチャ最適化部からの送信依頼信号を受信し、検査パケットをパケット送受信部を通して指定されたサーバ宛に送る検査パケット処理部を備え、
検査パケット処理部はサーバから戻ってきた検査パケットから経路上に他の侵入検知装置があるかないかを確認し、他の侵入検知装置ある場合には、検査パケットに他の侵入検知装置があることを示す識別子を付け、
シグネチャ最適化部は、他の侵入検知装置がサーバとの途中にある場合には、該当シグネチャを無効にし、ない場合には、有効にしてシグネチャを最適化し、
この最適化されたシグネチャを登録する最適化シグネチャDB部と、
パケット送受信部から受信したパケットを受け取り、最適化シグネチャDB部に登録されているシグネチャを用いてパケットの不正侵入検査を実施し、検査がOKである場合にはパケット送受信部からパケットを送信し、検査がNGの場合にはパケットを廃棄する検知エンジン部を更に備える。
【発明の効果】
【０００６】
この発明に係る侵入検知装置では、検査パケットで侵入検知装置と保護すべきサーバの経路上に他の侵入検知装置がないかを確認することにより、管理装置ではなく各侵入検知装置だけでシグネチャの最適化が実現でき、管理コストを軽減することができる。  また、シグネチャの最適化によって検知エンジン部で冗長なシグネチャの検査を実施されることがなくなるので、侵入検知装置の処理負荷の軽減を実現できる。さらに、侵入検知装置の処理負荷が減ることによりパケットの遅延が少なくなり、ユーザが端末からサーバ宛にパケットを送る処理をした場合の操作性が向上する。
【０００７】
またさらに、冗長な検索を行われなくなるため、侵入検知装置で検査結果がＮＧだった場合でも管理装置に送信されるアラート（警告）情報が少なくなりネットワークの負荷軽減になり、また管理者が重要なアラートを見つけやすくなるため管理者の負荷軽減も実現できる。
【発明を実施するための最良の形態】
【０００８】
実施の形態１．
まず始めにこの発明の侵入検知装置が適用されるネットワークの構成を図２により説明する。
図２において、管理装置２０３と侵入検知装置A２０１と侵入検知装置B２０２がルータ２０７を通して接続されている。サーバB２０５も同様にルータ２０７により管理装置２０３と侵入検知装置A２０１と侵入検知装置B２０２に接続されている。侵入検知装置B２０２にはサーバA２０４が接続され、さらに侵入検知装置A２０１の先にはルータ２０８で端末２０６が接続されている。
【０００９】
次に、この発明の侵入検知装置（侵入検知装置A２０１及び侵入検知装置B２０２）の構成について図１の構成図を基に説明する。
図１において、パケット送受信部A１０１とパケット送受信部B１０２は外部からパケットを送受信し、パケットの宛先と種別により管理通信部１０３、検査パケット処理部１０５、検知エンジン部１０７などの各部で定められた処理をし、外部にパケットを送信する。管理通信部１０３は、管理装置２０３から送られる図３に示すシグネチャ３０１を、パケット送受信部A１０１またはパケット送受信部B１０２を通して受信し、そのシグネチャ３０１をシグネチャDB部１０４に格納する。シグネチャDB部１０４は、管理装置２０３から送られたシグネチャ３０１を保存する。
【００１０】
検査パケット処理部１０５は、パケット送受信部A１０１とパケット送受信部B１０２からの検査パケットを指定したサーバへ送り、戻ってきた検査パケットの内容から経路上に他の侵入検知装置があるか無いかを判断する。シグネチャ最適化部１０６は、シグネチャDB部１０４から保護すべきサーバを特定し、そのサーバ宛に検査パケットの送信を検査パケット処理部１０５に依頼し、別な侵入検知装置がサーバとの間にあった場合には、該当シグネチャを無効にし、途中に別な侵入検知装置が無かった場合には、有効にして最適化したシグネチャを最適化シグネチャDB部１０８に登録する。検知エンジン部１０７はパケット送受信部A１０１またはパケット送受信部B１０２から受信したパケットを受け取り、最適化シグネチャDB部１０８に格納されているシグネチャを用いてパケットの検査を実施し、検査がOKである場合には受信した側でないパケット送受信部A１０１またはパケット送受信部B１０２にパケットを送信し、検査結果がNGの場合には、パケットを廃棄する。最適化シグネチャDB部１０８は検知エンジン１０７で参照される最適化されたシグネチャを格納する。
【００１１】
次に動作について説明する。
管理装置２０３から定期的に侵入検知装置A２０１と侵入検知装置B２０２宛に図３に示されるシグネチャ３０１がルータ２０７により分配され配布される。
侵入検知装置A２０１では、管理装置２０３からのシグネチャ３０１をパケット送受信部B１０２及び管理通信部１０３を通してシグネチャDB１０４に格納する。侵入検知装置B２０２でも同様に、管理装置２０３からのシグネチャ３０１をパケット送受信部A１０１から管理通信部１０３を通してシグネチャDB１０４に格納する。
【００１２】
次に各侵入検知装置で検査パケットの送信を行い隣接する侵入検知装置を調査する。侵入検知装置A２０１では、シグネチャ最適化部１０６がシグネチャDB部１０４のシグネチャ３０１を参照して、保護すべきサーバA２０４とサーバB２０５を特定する。シグネチャ最適化部１０６はサーバA２０４に対して検査パケットを送信するように検査パケット処理部１０５に依頼する。検査パケット処理部１０５はICMP（Internet Control Message Protocol）エコーリクエストパケットをサーバA２０４宛にパケット送受信部B１０２を通して送信する。図４の４０１に示すように、このときICMPエコーリクエストパケットのデータ部の先頭に検査パケット固有の識別子と最後尾に各侵入検知装置固有の識別子を付加する。
【００１３】
ICMPエコーリクエストパケットはルータ２０７を通り、侵入検知装置B２０２のパケット送受信部A１０１に入る。パケット送受信部A１０１では、ICMPエコーリクエストパケットのデータ部の先頭を参照し、検査パケット固有の識別子から検査パケットであることを確認し、検査パケット処理部１０５にパケットを送る。検査パケット処理部１０５では、図４の４０２に示すようにICMPエコーリクエストパケットのデータ部の最後尾に侵入検知装置B２０２の固有の識別子を付加して、パケット送受信部B１０２へ送る。
【００１４】
侵入検知装置B２０２でデータ部の最後尾に侵入検知装置B２０２の固有の識別子が付加されたICMPエコーリクエストパケットは、侵入検知装置B２０２のパケット送受信部B１０２から送信されサーバA２０４に受信される。サーバA２０４で受信されたICMPエコーリクエストパケットは、今度は受信したパケットとデータ部が同じである侵入検知装置A２０１宛のICMPエコーリプライパケットがサーバA２０４から送信される。侵入検知装置B２０２では、ICMPエコーリプライパケットをパケット送受信部B１０２で受信し、データ部の先頭の識別子により検査パケットであること認識するが、宛先が侵入検知装置B２０２宛てではないので、そのままパケット送受信部A１０１を通してパケットを送信する。
【００１５】
侵入検知装置B２０２から送信されたICMPエコーリプライパケットはルータ２０７を通して、侵入検知装置A２０１に送られる。侵入検知装置A２０１のパケット送受信部B１０２では、データ部の先頭の識別子と宛先より自分が送信した検査パケットだと認識し、検査パケット処理部１０５にICMPエコーリプライパケットを送る。検査パケット処理部１０５では、ICMPエコーリプライパケットの最後尾の識別子により自己の侵入検知装置A２０１とサーバA２０４との経路の間に侵入検知装置B２０２があることを認識し、シグネチャ最適化部１０６に経路上に別の侵入検知装置有りの検査結果を返す。シグネチャ最適化部１０６では、自己の侵入検知装置A２０１とサーバA２０４との経路上に別の侵入検知装置があるためシグネチャDB部１０４のサーバA２０４宛のシグネチャを無効にし最適化シグネチャDB１０８に登録しない。
【００１６】
シグネチャ最適化部１０６は、シグネチャDB部１０４から次の保護するサーバB２０５をみつけ、自己の侵入検知装置A２０１とサーバB２０５との経路途中に別の侵入検知装置があるかないかを調べるために、上記と同様にしてサーバB２０５宛に検査パケットの送信を検査パケット処理部１０５に依頼する。
【００１７】
検査パケット処理部１０５は、上記と同様にデータ部の先頭に検査パケット固有の識別子と最後尾に侵入検知装置A２０１固有の識別子を持つICMPエコーリクエストのパケットを、パケット送受信部B１０２を通してサーバB２０５宛に送る。
ICMPエコーリクエストパケットはルータ２０７を通して、サーバB２０５で受信されて、受信したパケットとデータ部が同じである侵入検知装置A２０１宛のICMPエコーリプライパケットがサーバB２０５から送信される。
【００１８】
ICMPエコーリプライパケットはルータ２０７を通して、侵入検知装置A２０１に送られる。侵入検知装置A２０１のパケット送受信部B１０２で受信されたICMPエコーリプライパケットは、データ部の先頭の識別子と宛先より自分が送信した検査パケットだと認識し、検査パケット処理部１０５にICMPエコーリプライパケットを送る。検査パケット処理部１０５では、ICMPエコーリプライパケットの最後尾の識別子よりサーバB２０５との経路の間に他の侵入検知装置がないことを認識し、シグネチャ最適化部１０６に経路上に別の侵入検知装置無しの検査結果を返す。シグネチャ最適化部１０６では、サーバB２０５との経路上に別の侵入検知装置がないためシグネチャDB部１０４のサーバB２０５宛のシグネチャを最適化シグネチャDB部１０８に登録する。
このようにして、侵入検知装置A１０１では、最適化シグネチャDB部１０８にサーバB２０５宛のシグネチャだけ登録されることになる。
【００１９】
侵入検知装置B２０２においても、同様にサーバA２０４とサーバB２０５宛に検査パケットを送って、経路上に他の侵入検知装置がないかを調べ、両方ともないことを確認し、最適化シグネチャDB部１０８にサーバA２０４宛とサーバB２０５宛のシグネチャを登録する。
端末２０６からサーバA２０４宛てにパケットが送信された場合、ルータ２０８を通して、侵入検知装置A２０１にパケットが送られる。侵入検知装置A２０１のパケット送受信部A１０１が、そのパケットを受信し、検査パケットでないことを確認して、検知エンジン部１０７に送る。検知エンジン部１０７では最適化シグネチャDB部１０８を参照して、条件に一致するサーバA２０４宛のシグネチャがないので、そのままパケット送受信部B１０２から、そのパケットを送信する。
【００２０】
侵入検知装置A２０１から送信されたパケットはルータ２０７を通して、侵入検知装置B２０２に送られる。侵入検知装置B２０２のパケット送受信部A１０１では、受信したパケットが検査パケットでないことを確認して、検知エンジン部１０７にパケットを送る。今度は、最適化シグネチャDB部１０８に条件が一致するサーバA２０４宛のシグネチャが登録されているので、そのシグネチャを用いてパケットの検査（パケットが不正に侵入されたものであるか否かの確認）を行う。検査結果がOKの場合には、パケット送受信部B１０２を通して、パケットをサーバA２０４に送る。検査結果がNGの場合には、パケットを廃棄する。
【００２１】
以上のように、この発明では検査パケットで侵入検知装置と保護すべきサーバ上の経路上に他の侵入検知装置がないかを確認することにより、管理装置ではなく各侵入検知装置だけでシグネチャの最適化が実現でき、管理コストを軽減することができる。
また、シグネチャの最適化によって検知エンジン部で冗長なシグネチャの検査を実施されることがなくなるので、侵入検知装置の処理負荷の軽減を実現できる。さらに、侵入検知装置の処理負荷が減ることによりパケットの遅延が少なくなり、ユーザが端末からサーバ宛にパケットを送る処理をした場合の操作性が向上する。
【００２２】
冗長な検索を行われなくなるため、侵入検知装置で検査結果がＮＧだった場合でも管理装置に送信されるアラート（警告）情報が少なくなりネットワークの負荷軽減になり、また管理者が重要なアラートを見つけやすくなるため管理者の負荷軽減も実現できる。
【００２３】
実施の形態２．
以上の実施の形態１では、定期的に検査パケットを送ってシグネチャの最適化を実施するようにしたものであるが、次にネットワークへの接続において、侵入検知装置の配置を変更した場合に、すぐにそれを検知して検査パケットを送信する実施の形態を示す。
この実施の形態において侵入検知装置２０１，２０２の構成及びネットワークの構成は、図１に示す実施の形態１の構成図及び図２に示す実施の形態１のネットワークの構成図と同様である。なお、パケット送受信部１０１、１０２では、ネットワークケーブルの抜き差しによるネットワークのリンク情報を検知し、リンクが切れて再びリンクが上がった場合に、検査パケット処理部１０５を通してシグネチャ最適化部１０６にネットワークの接続が変更したことを通知する。シグネチャ最適化部１０６はこの通知を契機に検査パケットの送信を検査パケット処理部１０５に再度依頼する処理がそれぞれ追加されている。
【００２４】
次に動作について説明する。
侵入検知装置A２０１と侵入検知装置B２０２でシグネチャの最適化を実施する部分は、実施の形態１の動作を同様である。次に図２のネットワーク構成から図５のネットワーク構成に侵入検知装置A１０１のネットワークへの接続を変更した場合について説明する。
侵入検知装置A１０１のネットワーク送受信部A１０１でネットワークへ接続するケーブルの抜き差しを検知して、検査パケット処理部１０５を通してシグネチャ最適化部１０６にネットワークの接続が変更したことを通知する。シグネチャ最適化部１０６はこの通知を契機に検査パケットの送信を検査パケット処理部１０５に依頼する。以降、シグネチャの最適化を実施の形態１と同様に行う。
【００２５】
以上のように、ネットワークの構成の変更を侵入検知装置だけですばやく認識してシグネチャの最適化を実施することにより、シグネチャの最適化の実施が遅れて検査すべきパケットが検査されない可能性が少なくなり、安全性が向上する。
【００２６】
実施の形態３．
以上の実施の形態１、２では、検査パケットを侵入検知装置から送ってシグネチャの最適化を実施するようにしたものであるが、シグネチャの最適化は実施せずに検査したパケットに検査済みの識別子を付けることにより冗長なパケットの検査を行わないようにする実施の形態を以下に示す。
【００２７】
図６はこの実施の形態の侵入検知装置を示す構成図である。
図６において、パケット送受信部A６０１とパケット送受信部B６０２は外部からパケットを送受信し、パケットの宛先と種別により管理通信部６０３、パケット検査済みチェック部６０５で定められた処理をし、外部にパケットを送信する。管理通信部６０３は、管理装置２０３から送られるシグネチャを、パケット送受信部A６０１またはパケット送受信部B６０２を通して受信し、そのシグネチャをシグネチャDB部６０４に格納する。シグネチャDB部６０４は、管理装置２０３から送られ、管理通信部６０３を介して受信したシグネチャを保存する。パケット検査済チェック部６０５では、パケット送受信部A６０１またはパケット送受信部B６０２から渡されたパケットの内容を解析して既に検査済みのパケットであった場合には、渡された側とは逆のパケット送受信部を通してパケットを送信し、まだ未検査のパケットであった場合には、検知エンジン部６０６での検査を依頼する。検知エンジン部６０６はパケット検査済チェック部６０５から渡されたパケットと条件が一致するシグネチャをシグネチャDB部６０４から取り出して、パケットの検査を実施し、検査がOKである場合には受信した側でないパケット送受信部A６０１またはパケット送受信部B６０２にパケットを送信し、検査結果がNGの場合には、パケットを廃棄する。
【００２８】
図２はこの実施の形態のネットワークを示す構成図であり、実施の形態１と同様であるが、侵入検知装置A２０１と侵入検知装置B２０２の内部構成が図１に示す実施の形態１と異なり図６に示すように構成されている。
【００２９】
次に動作について説明する。
管理装置２０３から侵入検知装置A２０１と侵入検知装置B２０２宛に図３に示すシグネチャ３０１を配布する。侵入検知装置A２０１では、パケット送受信部B６０２から管理通信部６０３を通してシグネチャ３０１をシグネチャDB部６０４に格納する。侵入検知装置B２０２でも同様に、パケット送受信部A６０１から管理通信部６０３を通してシグネチャ３０１をシグネチャDB部６０４に格納する。
【００３０】
端末２０６からサーバA２０４にアクセスしたとする。端末２０６からのパケットがルータ２０８を通して侵入検知装置A２０１に入る。侵入検知装置A２０１のパケット送受信部A６０１よりパケットを受信する。このパケットは管理装置２０３からのシグネチャ配布のパケットでないのでパケット検査済チェック部６０５に送られる。パケット検査済チェック部６０５は、パケットのヘッダの内容を調べて検査済のチェックがなされているか調べる。例えば、特定のＶＬＡＮ(Virtual Local Area Network)タグが設定されていたり、ＴＯＳ（Type of Service）フィールドに特定の値が設定されていたり、特定のＩＰ（Internet Protocol）エンカプセル化を行われているか調べる。この場合には、パケット検査済のチェックがされていないので、検知エンジン部６０６にパケットを送り不正侵入か否かの検査を依頼する。検知エンジン部６０６では、シグネチャDB部６０４から条件が一致するパケットを取り出し、パケットの不正侵入検査を実施する。パケットの検査の結果OKの場合には、受信した側と逆のパケット送受信部Ｂ６０２からパケットを送信する。
【００３１】
次にルータ２０７を通してパケットが侵入検知装置B２０２に送られる。侵入検知装置B２０２では、パケット送受信部A６０１からパケットを受信する。このパケットは管理装置２０３からのシグネチャ配布のパケットでないのでパケット検査済チェック部６０５に送られる。パケット検査済チェック部６０５は、パケットのヘッダの内容を調べて検査済のチェックがなされているか調べる。この場合には、侵入検知装置A２０１でパケット検査済のチェックが実施されているので、パケット検査済チェック部６０５でのチェック済という結果になり、パケットを検査する必要がなくなるので、受信した側と逆のパケット送受信部B６０２を通してパケットを送信する。サーバA２０４ではパケットを受信して、必要があれば受信したパケットをネットワークドライバで検査済のチェックをはずしてアプリケーションへ送る。
【００３２】
以上のように、侵入検知装置で検査したパケットにチェック済を入れることによって、管理装置なしで、冗長なパケット検査がなくなり低管理コストになる。さらに冗長なパケット検査がなくなることにより侵入検知装置の処理負荷の軽減になり、パケットの遅延も少なくなる。
また、サーバのネットワークドライバで検査済のパケットしか受信しないとすることで、未検査のパケットがサーバで処理されることを防ぐことができセキュリティが向上する。
ネットワークの構成が変化しても、シグネチャを最適化する必要がないので侵入検知装置のシグネチャ管理のコストを軽減できる。
【産業上の利用可能性】
【００３３】
この発明は、ネットワーク管理システムにおいて計算機ネットワークへの侵入などの不正アクセスに対する侵入を検知する侵入検知装置に適用され、侵入検知装置の処理負荷の軽減を実現でき、ユーザの操作性向上図れ、さらには管理コストの軽減、管理者の負荷軽減をも実現できる。
【図面の簡単な説明】
【００３４】
【図１】この発明の実施の形態１における侵入検知装置の構成図である。
【図２】この発明の侵入検知装置が適用されるネットワークの構成図である。
【図３】実施の形態１におけるシグネチャの説明図である。
【図４】ICMPエコーリクエストパケットの説明図である。
【図５】侵入検知装置のネットワークへの接続変更後の構成図である。
【図６】この実施の形態３の侵入検知装置を示す構成図である。
【符号の説明】
【００３５】
１０１、６０１；パケット送受信部A、１０２、６０２；パケット送受信部B、１０３、６０３；管理通信部、１０４、６０４；シグネチャDB部、１０５；検査パケット処理部、１０６；シグネチャ最適化部、１０７、６０６；検知エンジン部、１０８；最適化シグネチャDB部、２０１；侵入検知装置A、２０２；侵入検知装置B、２０３；管理装置、２０４；サーバA、２０５；サーバB、２０６；端末、２０７；ルータ、２０８；ルータ、３０１；シグネチャ、６０５；パケット検査済みチェック部。
【図１】
2007049352.tif 000003
【図２】
2007049352.tif 000004
【図３】
2007049352.tif 000005
【図４】
2007049352.tif 000006
【図５】
2007049352.tif 000007
【図６】
2007049352.tif 000008