(57)【特許請求の範囲】
【請求項１】
パケットが流れるネットワークのトラフィックを観測し、観測トラフィック値を出力するトラフィック監視手段と、
パケットが不正アクセスパケットかどうかの不正アクセス分析を所定の分析項目に関して行うパケット分析手段であって、上記トラフィック監視手段が出力した観測トラフィック値に基づいていずれの分析項目に関して不正アクセス分析を行うかを決定し、上記トラフィック監視手段が観測したパケットについて不正アクセス分析を行うパケット分析手段
とを備えたことを特徴とする不正侵入検知装置。
【請求項２】
上記パケット分析手段は、
複数の分析項目と、各分析項目に対応し設定または不設定のいずれかの状態である分析フラグからなる分析項目一覧表を有し、
上記パケット監視手段が出力した観測トラフィック値と所定の閾値である観測トラフィック閾値との大小関係によって、上記分析項目一覧表における分析フラグの状態によって不正アクセス分析を行う分析項目を決定するかすべての分析項目について不正アクセス分析するかを決定する
ことを特徴とする請求項１に記載の不正侵入検知装置。
【請求項３】
上記パケット分析手段は、
上記観測トラフィック値が上記観測トラフィック閾値以上である場合に、上記分析項目一覧表において分析フラグが設定されている分析項目のみについて不正アクセス分析を行う
ことを特徴とする請求項２に記載の不正侵入検知装置。
【請求項４】
優先順位記憶手段をさらに有し、
上記パケット分析手段は、
それぞれ複数段階の優先順位のいずれか１つを付された複数の分析項目を含む分析項目一覧表を有し、
上記観測トラフィック値が上記観測トラフィック閾値以上である場合に、上記優先順位が上記優先順位記憶手段に記憶されている優先順位より高い分析項目について不正アクセス分析を行う
ことを特徴とする請求項１に記載の不正侵入検知装置。
【請求項５】
上記パケット分析手段は、
それぞれ異なる値である複数の観測トラフィック閾値を有し、
それぞれ複数段階の優先順位のいずれか１つを付された複数の分析項目を含む分析項目一覧表を有し、
上記観測トラフィック値と上記複数の観測トラフィック閾値との関係により、いずれの優先順位の分析項目について不正アクセス分析するかを決定する請求項１に記載の不正侵入検知装置。
【請求項６】
上記パケット分析手段は、
複数の分析項目と各分析項目が属するカテゴリーと、各カテゴリー毎に対応し設定または不設定のいずれかの状態である分析フラグからなる分析項目一覧表を有し、
上記パケット監視手段が出力した観測トラフィック値と所定の閾値である観測トラフィック閾値との大小関係によって、上記分析項目一覧表における分析フラグの状態によって不正アクセス分析を行う分析項目のカテゴリーを決定するかすべての分析項目について不正アクセス分析するかを決定する
ことを特徴とする請求項１に記載の不正侵入検知装置。
【請求項７】
分析待機バッファをさらに有し、
上記パケット監視手段は所定長さのサンプリング期間内に観測したトラフィックを該サンプリング期間終了毎に観測トラフィック値として出力し、
上記分析待機バッファは、上記サンプリング期間内に上記パケット監視手段で観測されたパケットを格納し、上記サンプリング期間終了毎に該格納したパケットを上記パケット分析手段に送信する
ことを特徴とする請求項１から請求項６のいずれかに記載の不正侵入検知装置。
【請求項８】
フィルタリング情報記憶手段とフィルタリング手段をさらに有し、
上記フィルタリング情報記憶手段は、
ネットワークを流れるパケットを上記トラフィック監視手段に送信するか否かを決定するためのフィルタリング情報を記憶し、
上記フィルタリング手段は、
上記フィルタリング情報記憶手段を参照して、上記ネットワークを流れるパケットのヘッダ情報部に上記フィルタリング情報のいずれかが含まれているか否かによって、上記トラフィック監視手段に送信するか否かを決定し、
上記パケット監視手段は、
上記フィルタリング手段から該パケット監視手段に対してパケットが送信されるトラフィックを観測し、観測トラフィック値を出力し、
上記パケット分析手段は、
上記トラフィック監視手段が出力した観測トラフィック値に基づいていずれの分析項目に関して不正アクセス分析を行うかを決定し、上記トラフィック監視手段が観測したパケットについて不正アクセス分析を行うことを特徴とする請求項１に記載の不正侵入検知装置。
【請求項９】
請求項１から請求項８のいずれか１項に記載の不正侵入検知装置において、
不正アクセス通知手段と、通知内容記憶手段をさらに有し、
上記不正アクセス通知手段は、
上記分析手段において不正アクセスパケットが検出された場合、該パケット分析手段の指示により不正検出通知を当該不正検出装置外部に発信し、
上記通知内容記憶手段は、上記パケット分析手段によって不正アクセスパケットが検出された時の不正内容を記憶し、
上記パケット分析手段は、不正アクセスパケットを検出した場合、該不正アクセスパケットの不正内容である検出不正内容が上記通知内容記憶手段に記憶されているかどうか検証する通知記録検証を行い、検出不正内容と同一の不正内容が上記通知内容記憶手段に記憶されていれば、上記不正通知手段に不正検出通知を発信するよう指示を出さず、検出不正内容と同一の不正内容が上記通知内容記憶手段に記憶されていなければ、該検出不正内容を上記不正内容記憶手段に記憶するとともに上記不正アクセス通知手段に不正検出通知を発信するよう指示を出すことを特徴とする不正侵入検知装置。
【請求項１０】
上記不正内容は不正が検出された分析項目名であることを特徴とする
請求項９に記載の不正侵入検知装置。
【請求項１１】
上記パケット分析手段は、
不正アクセスパケットを検出し通知記録検証を行った結果、該不正アクセスパケットの不正内容が上記通知内容記憶手段に記憶されている場合は、上記不正通知手段に不正検出通知を発信するよう指示を出さず、かつ、該不正アクセスパケットの不正内容を上記通知内容記憶手段から削除する
ことを特徴とする請求項９または請求項１０に記載の不正侵入検知装置。
【請求項１２】
上記パケット分析手段は、
一の不正内容が上記通知内容記憶手段に記憶されてから所定時間経過した場合は、該不正内容を上記通知内容記憶手段から削除する
ことを特徴とする請求項９から請求項１１のいずれか１項に記載の不正侵入検知装置。
【請求項１３】
上記パケット分析手段は、
同一の不正検出内容について所定回数の通知記録検証を行った場合は、該不正検出内容と同一の不正内容を上記通知内容記憶手段から削除する
ことを特徴とする請求項９から請求項１１のいずれか１項に記載の不正侵入検知装置。
【請求項１４】
上記トラフィック監視手段は、上記ネットワークのトラフィックとして上記ネットワークを流れる単位時間当たりのパケット数を観測し、観測トラフィック値として該観測した単位時間当たりのパケット数を出力し、
上記パケット分析手段は、
上記ネットワークを流れる単位時間当たりのパケット数の所定値を上記観測トラフィック閾値とする
ことを特徴とする請求項１から請求項１３のいずれか１項に記載の不正侵入検知装置。
【請求項１５】
上記トラフィック監視手段は、上記ネットワークのトラフィックとして上記ネットワークを流れる単位時間当たりのデータ量を観測し、観測トラフィック値として該観測した上記ネットワークを流れる単位時間当たりのデータ量を出力し、
上記パケット分析手段は、
上記ネットワークを流れる単位時間当たりのデータ量の所定値を上記観測トラフィック閾値とする
ことを特徴とする請求１から請求項１３のいずれか１項に記載の不正侵入検知装置。
【請求項１６】
上記トラフィック監視手段は、
上記ネットワークのトラフィックとして上記ネットワークを流れるパケットの時間間隔を観測し、観測トラフィック値として該観測したネットワークを流れるパケットの時間間隔を出力し、
上記パケット分析手段は、
上記ネットワークを流れる単位時間当たりのパケット数の所定値を上記観測トラフィック閾値とし、
ネットワークを流れるパケットの時間間隔が短い程トラフィックが大であるとする
ことを特徴とする請求項１から請求項１３のいずれか１項に記載の不正侵入検知装置。
【請求項１７】
パケットが流れるネットワークのトラフィックを観測し、観測トラフィック値を出力するトラフィック監視ステップと
パケットが不正アクセスパケットかどうかの不正アクセス分析を所定の分析項目に関して行うパケット分析ステップであって、上記トラフィック監視手段が出力した観測トラフィック値に基づいていずれの分析項目に関して不正アクセス分析を行うかを決定し、上記トラフィック監視手段が観測したパケットについて不正アクセス分析を行うパケット分析ステップ
とを備えたことを特徴とする不正侵入検知方法。
【請求項１８】
コンピュータに下記の（ａ）トラフィック監視ステップと（ｂ）パケット分析ステップを実行させるための不正侵入検知プログラム。
（ａ）パケットが流れるネットワークのトラフィックを観測し、観測トラフィック値を出力するトラフィック監視ステップ；
（ｂ）パケットが不正アクセスパケットかどうかの不正アクセス分析を所定の分析項目に関して行うパケット分析ステップであって、上記トラフィック監視手段が出力した観測トラフィック値に基づいていずれの分析項目に関して不正アクセス分析を行うかを決定し、上記トラフィック監視手段が観測したパケットについて不正アクセス分析を行うパケット分析ステップ。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、コンピュータネットワークシステムに関するものであり、特に外部からの不正アクセスを検出してセキュリティを確保する不正アクセス検知装置及び不正アクセス検知方法及び不正アクセス検知プログラムに関するものである。
【０００２】
【従来の技術】
図１０は例えば、特開２００１−９４６０２に示された従来の不正アクセス検知装置であり、パケットの種類ごとに分析処理を分割しようとするものである。図１０において、ネットワーク１００１を介して送信されてくるパケット１００２ａ〜１００２ｎをパケット取得部１００３ａ〜１００３ｎが取得し、パケット蓄積部１００４が一旦全て記録する。次にパケット蓄積部１００４は記録した各パケットを所定のアルゴリズムで分析して、パケットを複数の種類に分類し、その種類に対応したパケット分析部１００５ａ〜１００５ｎに送る。パケット分析部１００５ａ〜１００５ｎは、パケットの種類（分類）ごとにある。そして、分類されたパケットは、それぞれ適切な分析部１００５ａ〜１００５ｎにて所定の分析項目に関して分析され、不正なパケットと判定した場合はその特徴を不正アクセスデータベース１００６に記録するとともに、判定結果を通知部１００７を通じてシステム管理者１００８に通知する。このようにすることにより、分析処理を並列化し負荷を分散することにより分析処理を高速に行い、パケット取得部のパケットの取りこぼしを防止しようとするものである。
【０００３】
【発明が解決しようとする課題】
以上のように、従来の不正アクセス検知装置ではパケットの種類に応じた複数の分析部が分析処理を実施している。そのため、従来例において処理を高速化しパケットの取りこぼしを防止するためには、マルチタスクOS上での実現が前提となり、またパケット分析部を並列に設ける必要がある。
【０００４】
この発明は上記のような問題点を解決するためになされたもので、パケット分析を並列に行わなくても分析処理を高速に実行し、パケットの取りこぼしを防止することを目的とする。
【０００５】
【課題を解決するための手段】
この発明に係る不正侵入検知装置は、パケットが流れるネットワークのトラフィックを観測し、観測トラフィック値を出力するトラフィック監視手段とパケットが不正アクセスパケットかどうかの不正アクセス分析を所定の分析項目に関して行うパケット分析手段であって、上記トラフィック監視手段が出力した観測トラフィック値に基づいていずれの分析項目に関して不正アクセス分析を行うかを決定し、上記トラフィック監視手段が観測したパケットについて不正アクセス分析を行うパケット分析手段とを備えたものである。
【０００６】
またこの発明に係る不正侵入検知装置は、上記パケット分析手段は、複数の分析項目と、各分析項目に対応し設定または不設定のいずれかの状態である分析フラグからなる分析項目一覧表を有し、上記パケット監視手段が出力した観測トラフィック値と所定の閾値である観測トラフィック閾値との大小関係によって、上記分析項目一覧表における分析フラグの状態によって不正アクセス分析を行う分析項目を決定するかすべての分析項目について不正アクセス分析するかを決定するようにしたものである。
【０００７】
またこの発明に係る不正侵入検知装置は、上記パケット分析手段は、上記観測トラフィック値が上記観測トラフィック閾値以上である場合に、上記分析項目一覧表において分析フラグが設定されている分析項目のみについて不正アクセス分析を行うようにしたものである。
【０００８】
またこの発明に係る不正侵入検知装置は、優先順位記憶手段をさらに有し、上記パケット分析手段は、それぞれ複数段階の優先順位のいずれか１つを付された複数の分析項目を含む分析項目一覧表を有し、上記観測トラフィック値が上記観測トラフィック閾値以上である場合に、上記優先順位が上記優先順位記憶手段に記憶されている優先順位より高い分析項目について不正アクセス分析を行うようにしたものである。
【０００９】
またこの発明に係る不正侵入検知装置は、上記パケット分析手段は、それぞれ異なる値である複数の観測トラフィック閾値を有し、それぞれ複数段階の優先順位のいずれか１つを付された複数の分析項目を含む分析項目一覧表を有し、上記観測トラフィック値と上記複数の観測トラフィック閾値との関係により、いずれの優先順位の分析項目について不正アクセス分析するかを決定するようにしたものである。
【００１０】
またこの発明に係る不正侵入検知装置は、上記パケット分析手段は、複数の分析項目と各分析項目が属するカテゴリーと、各カテゴリー毎に対応し設定または不設定のいずれかの状態である分析フラグからなる分析項目一覧表を有し、  上記パケット監視手段が出力した観測トラフィック値と所定の閾値である観測トラフィック閾値との大小関係によって、上記分析項目一覧表における分析フラグの状態によって不正アクセス分析を行う分析項目のカテゴリーを決定するかすべての分析項目について不正アクセス分析するかを決定するようにしたものである。
【００１１】
またこの発明に係る不正侵入検知装置は、分析待機バッファをさらに有し、上記パケット監視手段は所定長さのサンプリング期間内に観測したトラフィックを該サンプリング期間終了毎に観測トラフィック値として出力し、上記分析待機バッファは、上記サンプリング期間内に上記パケット監視手段で観測されたパケットを格納し、上記サンプリング期間終了毎に該格納したパケットを上記パケット分析手段に送信するようにしたものである。
【００１２】
またこの発明に係る不正侵入検知装置は、フィルタリング情報記憶手段とフィルタリング手段をさらに有し、上記フィルタリング情報記憶手段は、ネットワークを流れるパケットを上記トラフィック監視手段に送信するか否かを決定するためのフィルタリング情報を記憶し、上記フィルタリング手段は、上記フィルタリング情報記憶手段を参照して、上記ネットワークを流れるパケットのヘッダ情報部に上記フィルタリング情報のいずれかが含まれているか否かによって、上記トラフィック監視手段に送信するか否かを決定し、上記パケット監視手段は、上記フィルタリング手段から該パケット監視手段に対してパケットが送信されるトラフィックを観測し、観測トラフィック値を出力し、上記パケット分析手段は、上記トラフィック監視手段が出力した観測トラフィック値に基づいていずれの分析項目に関して不正アクセス分析を行うかを決定し、上記トラフィック監視手段が観測したパケットについて不正アクセス分析を行うようにしたものである。
【００１３】
またこの発明に係る不正侵入検知装置は、不正アクセス通知手段と、通知内容記憶手段をさらに有し、上記不正アクセス通知手段は、上記分析手段において不正アクセスパケットが検出された場合、該パケット分析手段の指示により不正検出通知を当該不正検出装置外部に発信し、上記通知内容記憶手段は、上記パケット分析手段によって不正アクセスパケットが検出された時の不正内容を記憶し、上記パケット分析手段は、不正アクセスパケットを検出した場合、該不正アクセスパケットの不正内容である検出不正内容が上記通知内容記憶手段に記憶されているかどうか検証する通知記録検証を行い、検出不正内容と同一の不正内容が上記通知内容記憶手段に記憶されていれば、上記不正通知手段に不正検出通知を発信するよう指示を出さず、検出不正内容と同一の不正内容が上記通知内容記憶手段に記憶されていなければ、該検出不正内容を上記不正内容記憶手段に記憶するとともに上記不正アクセス通知手段に不正検出通知を発信するよう指示を出すようにしたものである。
【００１４】
またこの発明に係る不正侵入検知装置は、上記不正内容は不正が検出された分析項目名である。
【００１５】
またこの発明に係る不正侵入検知装置は、上記パケット分析手段は、不正アクセスパケットを検出し通知記録検証を行った結果、該不正アクセスパケットの不正内容が上記通知内容記憶手段に記憶されている場合は、上記不正通知手段に不正検出通知を発信するよう指示を出さず、かつ、該不正アクセスパケットの不正内容を上記通知内容記憶手段から削除するようにしたものである。
【００１６】
またこの発明に係る不正侵入検知装置は、上記パケット分析手段は、一の不正内容が上記通知内容記憶手段に記憶されてから所定時間経過した場合は、該不正内容を上記通知内容記憶手段から削除するようにしたものである。
【００１７】
またこの発明に係る不正侵入検知装置は、上記パケット分析手段は、同一の不正検出内容について所定回数の通知記録検証を行った場合は、該不正検出内容と同一の不正内容を上記通知内容記憶手段から削除するようにしたものである。
【００１８】
またこの発明に係る不正侵入検知装置は、上記トラフィック監視手段は、上記ネットワークのトラフィックとして上記ネットワークを流れる単位時間当たりのパケット数を観測し、観測トラフィック値として該観測した単位時間当たりのパケット数を出力し、上記パケット分析手段は、上記ネットワークを流れる単位時間当たりのパケット数の所定値を上記観測トラフィック閾値とするようにしたものである。
【００１９】
またこの発明に係る不正侵入検知装置は、上記トラフィック監視手段は、上記ネットワークのトラフィックとして上記ネットワークを流れる単位時間当たりのデータ量を観測し、観測トラフィック値として該観測した上記ネットワークを流れる単位時間当たりのデータ量を出力し、上記パケット分析手段は、上記ネットワークを流れる単位時間当たりのデータ量の所定値を上記観測トラフィック閾値とするようにしたものである。
【００２０】
またこの発明に係る不正侵入検知装置は、上記トラフィック監視手段は、上記ネットワークのトラフィックとして上記ネットワークを流れるパケットの時間間隔を観測し、観測トラフィック値として該観測したネットワークを流れるパケットの時間間隔を出力し、上記パケット分析手段は、上記ネットワークを流れる単位時間当たりのパケット数の所定値を上記観測トラフィック閾値とし、ネットワークを流れるパケットの時間間隔が短い程トラフィックが大であるとするようにしたものである。
【００２１】
またこの発明に係る不正侵入検知方法は、パケットが流れるネットワークのトラフィックを観測し、観測トラフィック値を出力するトラフィック監視ステップとパケットが不正アクセスパケットかどうかの不正アクセス分析を所定の分析項目に関して行うパケット分析ステップであって、上記トラフィック監視手段が出力した観測トラフィック値に基づいていずれの分析項目に関して不正アクセス分析を行うかを決定し、上記トラフィック監視手段が観測したパケットについて不正アクセス分析を行うパケット分析ステップとを備えたものである。
【００２２】
またこの発明に係る不正侵入検知プログラムは、コンピュータに下記の（ａ）トラフィック監視ステップと（ｂ）パケット分析ステップを実行させるための不正侵入検知プログラムである。
（ａ）パケットが流れるネットワークのトラフィックを観測し、観測トラフィック値を出力するトラフィック監視ステップ；
（ｂ）パケットが不正アクセスパケットかどうかの不正アクセス分析を所定の分析項目に関して行うパケット分析ステップであって、上記トラフィック監視手段が出力した観測トラフィック値に基づいていずれの分析項目に関して不正アクセス分析を行うかを決定し、上記トラフィック監視手段が観測したパケットについて不正アクセス分析を行うパケット分析ステップ。
【００２３】
【発明の実施の形態】
実施の形態１．
実施の形態１を図１、図２を用いて説明する。
図１はこの実施の形態による侵入検知装置を含むシステムの構成図、図２はこの実施の形態による分析項目一覧表の図である。
【００２４】
図１において、１は侵入検知装置、２はこの侵入検知装置が接続されたネットワーク、３は上記侵入検知装置１を管理するシステム管理者、４は上記ネットワークを流れるパケット、５は上記ネットワーク２との間でパケット４を送受信する通信手段、６は取得したパケットの量を監視するパケット監視手段、７は受信したパケットが不正であるか否かを判断するパケット分析手段、８は不正なパケットがあった場合システム管理者３に通知する不正アクセス通知手段、９は上記システム管理者３が侵入検知装置１に対して各種設定項目等を入力するための入力手段であり、キーボード、モニタ等からなる。
パケット４は、周知の通りヘッダ情報部とデータ部とからなり、ヘッダ情報部には送信元アドレス、送信先アドレス、プロトコル番号等が記録されている。
【００２５】
図２は上記パケット分析手段７が保持する分析項目一覧表１１を示す図である。
図２のように分析項目一覧表１１は複数の分析項目１２と、それに対応し０または１を示す分析フラグ１３からなるテーブル形式となっている。
どのような項目を分析項目とするか、及び、どの分析項目の分析フラグを設定するか（１とするか）の設定は入力手段９を介してシステム管理者３が入力することができる。
分析フラグが０または１の状態をそれぞれ不設定、設定と呼ぶ。
【００２６】
上記侵入検知装置１の各部は、図示しないＣＰＵにより、図示しない記憶装置に格納された侵入検知プログラムに従って動作する。またパケット監視手段６及びパケット分析手段７は、それぞれ専用のハードウエア、または上記記憶装置に格納されたプログラムと図示しないメモリ等から構成される。分析項目一覧表１１は上記記憶装置に格納されている。
【００２７】
次に動作について説明する。
まず侵入検知装置１は、通信手段５を通じて外部のネットワーク２からパケット４を受信し、次いでパケット監視手段６により単位時間当たりに受信したパケット数をカウントする。
次にパケット分析手段７は、分析項目一覧表１１を参照して、受信したパケット４が不正か否かを分析する。この分析を不正アクセス分析と呼ぶ。
【００２８】
分析方法の例について説明する。
分析方法には、大きく分けるとパターンマッチングによるものと、統計的な手法とがある。  最初に、パターンマッチングの例を説明する。
たとえば、分析項目がメールサーバへのバッファオーバーフロー攻撃を示していた場合、パケットが以下のようなパターンになっているか否かを分析する。
TCPヘッダ部
送信先ポート番号=25（SMTPであることを表す）
TCPデータ部
以下のsmtpコマンドの引数が128バイト以上か否かを判断する。
“helo”“mail from:”“rcpt to:”“vrfy”“expn”
次に、統計的手法の例を説明する。
たとえば、分析項目がSYNフラッド攻撃を示していた場合、一定時間内（例えば10秒間）に以下に該当するパケットが一定個数（例えば100個）以上あるかを分析する。
IPヘッダ部の送信先アドレスが共通
TCPヘッダ部のSYNフラグが1、ACKフラグが0
上述の２つの例では、分析項目１２は、攻撃を識別するための識別子を想定しており、識別子は、利用者が攻撃ごとに割り振るものであるが、かならずしも識別子でなくてもよい。
パターンマッチングの場合であれば、分析手法（パターンマッチングで分析することを表す情報）、ポート番号、アドレス、文字列といった、パターンマッチングするための情報であってもよい。
統計的手法の場合であれば、カウントするパケットを抽出するための情報（統計的手法で分析することを表す情報と、上述の例であれば、アドレス、SYN及びACKフラグの状態、監視する時間（一定時間）、収集する個数（一定個数））であってもよい。
【００２９】
この分析の際、例えばパケット取得数閾値を毎秒１００個と予め設定してあったとして、パケット分析手段７はパケット監視手段６から過去1秒間に受信したパケット数（単位時間パケット取得数）を受信し、単位時間パケット取得数が１００個未満の場合、パケット分析手段７は分析項目１２を全て分析する。以後これを全項目分析と呼ぶ。
一方、過去１秒間に受信したパケットが１００個以上であった場合、パケット分析手段７は分析項目一覧表１１の全ての分析項目１２を分析するのではなく、分析フラグ１３が設定されている項目（分析フラグ１３が１を示している項目）だけを分析する。以後これを選択的分析と呼ぶ。
上記の説明から明かなように、パケット監視手段６からパケット分析手段７へはパケット４が送られると共に、単位時間パケット取得数が送信される。
上記パケット取得数閾値も入力手段９を介してシステム管理者３が入力することができる。
【００３０】
上記パケット監視手段６がこの発明におけるトラフィック監視手段であり、パケット監視手段６がパケット数をカウントする期間をサンプリング期間、サンプリング期間の長さをサンプリング時間と呼ぶ。
また上記単位時間パケット取得数がこの発明における観測トラフィック値、パケット取得数閾値がこの発明における観測トラフィック閾値である。
パケット分析手段７での分析が全項目分析と選択的分析のいずれの状態であるかを分析モードと呼ぶ。
パケット監視手段６が単位時間パケット取得数をカウントし出力するステップがこの発明におけるトラフィック監視ステップ、不正アクセス分析手段がパケット取得数閾値に基づいて分析モードで不正アクセス分析を行うステップがこの発明におけるパケット分析ステップである。
【００３１】
上記のように、どのような項目を分析項目とするか、及び、どの分析項目の分析フラグを設定するかの設定は入力手段９を介してシステム管理者３が入力することが可能であり、さらにパケット取得数閾値も入力手段９を介してシステム管理者３が入力することができる。
【００３２】
パケット分析手段７での分析の結果、不正なパケットが検知された場合は、パケット分析手段７の指示により不正アクセス通知手段８からシステム管理者３に電子メール等によって通知する。この通知を「不正検出通知」と呼び、この不正なパケットを不正アクセスパケットと呼ぶ。
不正検出通知には、不正アクセスが検出された分析項目を示す「不正検出分析項目」が含まれる。
【００３３】
以上のように、ネットワークの負荷が高まり（トラフィックがあがり）予め指定していた閾値（パケット取得数閾値）を超えた場合、予め指定していた特定の分析項目だけを分析する。これによりにより１パケット当たりの分析時間を短縮することが可能となり、パケットの取りこぼしを防止し、全パケットに対して何かしらの分析をすることができる。そして分析がリアルタイムに実施可能となる。
この結果、取りこぼしたパケットに不正なパケットが含まれていたために、不正アクセスを検知できないという問題を解決できる。
【００３４】
なお上記の説明では、サンプリング時間を１秒とし、この間のパケット取得数から単位時間パケット取得数（パケット取得数／秒）を算出していたが、サンプリング時間はこれに限らず、
単位時間パケット取得数＝サンプリング時間内のパケット取得数／サンプリング時間
から単位時間パケット取得数を算出すればよく、例えばサンプリング時間を短くすれば木目の細かい分析項目数の調整が行える。
【００３５】
また上記の説明では、各設定項目（分析項目、分析フラグ、パケット取得数閾値等）をシステム管理者３が入力するとしたが、予め固定値が設定されていてもよい。この場合はシステム管理者３が設定項目を入力する必要がなく、操作が簡便になる。
また上記設定項目のうち固定値のものと、システム管理者３が設定可能なものとが混在してもよい。
またパケット監視手段６のサンプリング時間もシステム管理者３によって入力可能としてもよい。
【００３６】
また以上の説明では、パケットの単位時間当たり受信量（単位時間パケット取得数）が予め指定した閾値（パケット取得数閾値）を超えた場合の分析項目について、分析項目一覧表１１の分析フラグ１３を０、１として分析するかしないかの２通りの状態を設定したが、２通りの状態に限らなくてもよい。
実行環境や攻撃されたときの影響度、重要度等を考慮して、図３のように各分析項目に例えば１、２、３、４、５のような複数段階の優先順位１４を設定し、単位時間パケット取得数がパケット取得数閾値を超えた場合には例えば優先順位が３以下（３、２、１）、すなわち優先順位が３より高い分析項目だけを分析するというように設定してもよい。また優先順位が３以上の分析項目だけを分析するというように設定してもよい。
この場合、各分析項目の優先順位の設定はシステム管理者３が入力手段９を通して行う。
また、優先順位がいくつ以下（または以上）の分析項目を分析するのかという設定もシステム管理者３が入力手段９を通して行い、パケット分析手段７内の図示しない優先順位記憶手段に記憶しておき、パケット分析手段７が参照する。
【００３７】
また以上の説明では、各々の分析項目１２に対して分析フラグ１３または優先順位１４が設定されている例を説明したが、図４のように分析項目１２をプログラムに関する分析項目、プロトコルに関する分析項目、影響度に関する分析項目等のカテゴリー１５に分類し、カテゴリー毎に分析フラグ１３を設定してもよい。
各分析項目のカテゴリーと分析フラグは予め固定であってもよいし、一方または双方をシステム管理者３が入力手段９から入力してもよい。
【００３８】
また以上の説明では、パケット受信量の閾値（パケット取得数閾値）は１つだけであったが、複数あってもかまわない。
例えば、パケット取得数閾値（パケット取得数／秒）をＸ１、Ｘ２、Ｘ３、Ｘ４（Ｘ１＜Ｘ２＜Ｘ３＜Ｘ４）の４種類設定し、これらに図３の分析項目一覧表の優先順位１〜５を対応付け、単位時間パケット取得数がＸ１未満なら優先順位１〜５、すなわちすべての分析項目を分析し、Ｘ１以上Ｘ２未満であれば優先順位１〜４の分析項目、Ｘ２以上Ｘ３未満であれば優先順位１〜３の分析項目、Ｘ３以上Ｘ４未満であれば優先順位１〜２の分析項目、Ｘ４以上であれば優先順位１の分析項目というふうにすれば、ネットワーク負荷に応じて可能な限り多くの分析項目を分析できるように設定できる。
これらの複数のパケット取得数閾値は上記優先順位の設定と同時にシステム管理者３が入力手段９から行ってもよいし、予め固定であってもよい。
【００３９】
また以上の説明ではパケット監視手段６がパケットをカウントするとしたが、通信手段５がパケットをカウントし、パケット監視手段６が定期的（時間間隔Ｔは限定しない）に受信パケット数をチェックして、
単位時間パケット取得数＝受信パケット数／時間間隔Ｔ
から単位時間パケット取得数に換算してパケット分析手段７に送信してもよい。この場合、パケット監視手段６は、チェックの結果によらず、チェック完了毎にカウントを初期化しておく。
【００４０】
また、閾値に関して、上述ではパケット数で実施したが、処理したデータサイズも閾値に反映してもよい。例えば、受信パケット数ではなく、受信したパケットのサイズをカウントし、単位時間当たりの受信データのサイズの合計（例えばビット／秒）を閾値として設定してもよい。
また、パケット数と受信サイズの両方を閾値としてよい。その場合、両方を満たすかまたはどちらか一方を満たすというように組み合わせてもよい。もちろん、パケット数、データサイズに対して前述の複数のパケット取得数閾値Ｘ１、Ｘ２、Ｘ３、Ｘ４のように複数保持し、それらを組み合わせて木目細かい閾値を設定してもよい。
【００４１】
また上記の説明ではパケット取得数閾値は単位時間あたりの受信パケット数またはデータサイズであったが、全項目分析か選択的分析かを決定する閾値を１つづつのパケットの時間間隔により決定してもよい。
例えば閾値を１／１００秒として、パケットの時間間隔がこの閾値（パケット間隔閾値）を超えた場合（時間間隔が長い場合）は全項目分析、パケットの時間間隔がパケット間隔閾値以下（時間間隔が短い場合）の場合は選択的分析としてもよい。そのためには、パケット監視手段６に１つづつのパケットの時間間隔を測るタイマーを含むパケット間隔測定手段（図示せず）を備える。
こうすることにより、パケットを１個受信する毎に不正アクセス分析のモードを切り替えることが可能になり、パケットの取りこぼしが防止できる。
【００４２】
実施の形態２．
実施の形態２を図５を用いて説明する。
実施の形態１では、パケット監視手段６によってあるサンプリング期間中にカウントされたパケットはそのままパケット分析手段７に送信されるので、そのパケットは１つ前のサンプリング期間の単位時間パケット取得数によって決定される分析モードで分析される。従ってトラフィックがあがり、単位時間パケット取得数がパケット取得数閾値以下からパケット取得数閾値以上になった場合には、一時的にパケット取得数閾値以上のパケットを全項目分析のモードで分析することがあり、パケットの取りこぼしが発生する可能性がある。
この実施の形態ではパケット分析手段で分析を受ける前にパケットを一時的にバッファに蓄え、パケットの取りこぼしを防止する例を説明する。
【００４３】
図５において、実施の形態１と同一または相当部分には同一符号を付して説明を省略する。また各部の動作は下記の説明以外は実施の形態１と同様である。
図５の２１はパケット監視手段６でカウントされたパケットをパケット分析手段７に送信する前に一次的に蓄積するメモリからなる分析待機バッファである。この分析待機バッファ２１は、ネットワーク２の最大トラフィック時の１秒（この実施の形態でのパケット監視手段６のサンプリング時間）分のパケットを格納できる容量を持つ。
【００４４】
パケット監視手段６はサンプリング期間の開始時点から、そのサンプリング期間にカウントしたパケット４を順次分析待機バッファ２１に蓄積する。
このサンプリング期間の終了時点で、パケット分析手段７はパケット監視手段６から単位時間パケット取得数を受信し、この単位時間パケット取得数がパケット取得数閾値を超えているか否かによって分析モードを決定するとともに、分析待機バッファ２１から順次パケットを読出し分析を行う。
図５において、パケット監視手段６からパケット分析手段７に直接接続されている矢印は、パケット監視手段６から送信される単位時間パケット取得数の情報であり、分析対象パケットはパケット監視手段６→分析待機バッファ２１→パケット分析手段７の順に送られる。
【００４５】
この実施の形態においても、実施の形態１と同様にどのような項目を分析項目とするか、及び、どの分析項目の分析フラグを設定するかの設定は入力手段９を介してシステム管理者３が入力することが可能であり、さらにパケット取得数閾値も入力手段９を介してシステム管理者３が入力することができる。
この入力の際、各設定項目（分析項目、分析フラグ、パケット取得数閾値）とパケット分析手段７の処理能力は、下記（１）（２）の条件を満たす必要がある。
（１）パケット分析手段７は、パケット取得数閾値（上記例では毎秒１００個）までの単位時間当たりパケット数であれば、全パケットについて全分析項目の分析をするだけの処理速度を有する。
（２）パケット分析手段７は、このネットワーク２の最大トラフィック時の全パケットについて、分析フラグ１３が設定されている分析項目１２すべての分析をするだけの処理速度を有する。
【００４６】
上記（１）（２）の条件を満足しない場合はパケットの取りこぼしが起きる可能性がある。従って、パケット分析手段７はシステム管理者３による各設定項目の入力の際に、上記（１）（２）の条件を満足するかどうかを演算し、いずれかの条件を満足しない場合は入力手段９を通してシステム管理者３に警告を発する。この警告を受けたシステム管理者３は、警告が出なくなるまで、対話形式によりいずれかの設定項目を変更する。
上記の演算には各処理項目に要する処理時間を用いることもある。
【００４７】
このように分析待機バッファ２１を用いれば、分析モードを決定するためにパケット監視手段６でカウントされた各パケットが、そのパケットがカウントされて決定された分析モードで分析されることになるので、パケット分析手段７がトラフィックの変動に確実に対応でき、パケットの取りこぼしを防止できる。
また各パケット４が分析待機バッファ２１に一次的に格納されるので、処理のログを残すことも可能になる。
【００４８】
なお上記の説明では、分析待機バッファ２１は、ネットワーク２が最大トラフィックとなったときの１秒分、すなわちサンプリング時間分の容量を持つと説明したが、サンプリング時間を短縮することにより、分析待機バッファ２の容量は小さくすることができる。ただし、サンプリング時間を短縮すると、パケット分析手段７における分析モードの見直し（分析モードの変更または変更しなくてもよいことの確認）の頻度が高くなるので、分析待機バッファ２１の容量とサンプリング時間は相互に勘案して決定する必要がある。
また、以上の説明ではバッファ２１はメモリとしたが、ディスク装置等、情報を蓄積するものであれば、他のものでもよい。
【００４９】
実施の形態３．
実施の形態３を図６、図７を用いて説明する。
上記実施の形態１、２は分析項目を絞り込むことによりパケットの取りこぼしを防止するものであったが、ここでは分析対象とするパケットを絞りこむことによりパケットの取りこぼしを防止する例を説明する。
【００５０】
図６において、実施の形態１と同一または相当部分には同一符号を付して説明を省略する。また各部の動作は下記の説明以外は実施の形態１と同様である。
３１は通信手段５が獲得したパケットに対してフィルタリング動作を行うフィルタリング手段、３２はフィルタリング情報記憶手段であって上記フィルタリング手段３１がフィルタリング動作を行う際に参照する図７のフィルタリング情報テーブル３３を格納している。
フィルタリング情報テーブル３３は、図７のように各パケットの送信元アドレス、送信先アドレス、プロトコル（ARP/IP/ICMP/UDP/TCPその他）、送信元ポート番号（udp.tcp）、送信先ポート番号（udp.tcp）等のフィルタリング情報３５が、各フィルタリング情報３５のカテゴリーであるフィルタリング情報カテゴリー３４毎に分類されてが対応している。
フィルタリング情報３５はパケット４のヘッダ情報部に含まれるものである。
このフィルタリング情報テーブル３３は不正アクセス分析を行う必要のあるパケットを抽出するための条件を設定するものであり、入力手段９を通してシステム管理者３が入力することが可能である。
【００５１】
フィルタリング手段３１は通信手段５が獲得したパケット４に関してその送信元アドレス、送信先アドレス、プロトコル等を検出し、フィルタリング情報テーブル２３を参照してフィルタリング情報３５のいずれかと一致すればパケット監視手段６に送信する。
以後の動作は実施の形態１と同様であり、単位時間パケット取得数によってパケット分析手段７での分析モードが決定され不正アクセス分析が行われる。
【００５２】
以上のように、フィルタリング手段３１を設け、フィルタリング情報に一致するパケットのみについて不正アクセス分析を行うので、ネットワークのトラフィックがさらに高くなっても不正アクセス分析が必要なパケットを取りこぼすことを防止できる。
【００５３】
また以上の説明ではフィルタリング手段３１は、フィルタリング情報３５のいずれかに一致すれば不正アクセス分析を行う例を説明したが、例えば送信元アドレスと送信先アドレスのように複数のフィルタリング情報カテゴリーを指定し、指定されたフィルタリング情報カテゴリーすべてに対して一致するフィルタリング情報があるパケットのみを不正アクセス分析の対象としてもよい。指定するフィルタリング情報カテゴリーは１つでもよい。このフィルタリング情報カテゴリーの指定はシステム管理者３が入力手段９により行うことができる。
これによりネットワークのトラフィックがさらに高くなっても不正アクセス分析が必要なパケットを取りこぼすことを防止できる。
【００５４】
また以上の説明では、フィルタリング情報に一致するものを分析対象としたが、反対にフィルタリング情報に一致しないパケットを分析対象としてもよいし、一致するものとしないものを組み合わせてもよい。
【００５５】
実施形態４．
実施の形態４を図８、図９を用いて説明する。
図８は、この実施の形態による侵入検知装置を含むシステムの構成図である。
以上の実施の形態１〜３では、受信したパケットの負荷により、分析を対象とする分析項目またはパケットを絞り込み、パケットの取りこぼしを防止する例を説明した。しかし、例えばこの侵入検知装置１がCPUが一つで実装されている場合、分析項目やパケットを絞り込んでも、特定の不正アクセスを繰り返し受けると、不正アクセスがあったことを表す行為（メール・警報による通知、独自プロトコルによる通信、ログファイルへの記録等）が負荷となり、本来の処理（パケット取得、分析）を実施できずパケットの取りこぼしが発生することがある。
この実施の形態では、特定の不正アクセスを何度も受けた場合のパケット取りこぼし防止の例を示す。
【００５６】
図８において、実施の形態１の図１と同一または相当部分には同一符号を付して説明を省略する。また各部の動作は下記の説明以外は実施の形態１と同様である。
図８において、４１はパケット分析手段７の不正アクセス分析の結果、不正アクセス通知手段８からシステム管理者３に通知された内容を記憶しておく、メモリからなる通知内容記憶手段であって、図９に示すような不正アクセス記録４２を記憶している。
この不正アクセス記録４２は過去の不正アクセスにそれぞれ番号を付した不正アクセス番号４３と各不正アクセスの不正内容４４がどの分析項目に関するものであるかを対応付けて記憶している。
【００５７】
動作を説明する。
実施の形態１と同様にパケット分析手段７は不正アクセスがあったと判断した場合、不正アクセス通知手段８を介してシステム管理者３に通知する。この通知（不正検出通知）には不正アクセスが検出された分析項目を示す「不正検出分析項目」が含まれるが、この時、通知内容記憶手段４１が、この不正検出分析項目を記憶しておく。
この記憶の際には、図９の不正アクセス記録４２に、これまでの最大の不正アクセス番号＋１の不正アクセス番号を付して、不正検出分析項目（例えば分析項目Ａ、Ｂ等）を不正内容４４として記憶する。
【００５８】
この後パケット分析手段７は再度不正アクセスがあったと判断した場合、通知内容記憶手段４１を参照し、その不正アクセスの内容（検出不正内容）が不正アクセス記録４２に記憶されているいずれかの不正内容と一致しているかどうか（例えば分析項目が一致しているかどうか）を検証し、一致する分析項目があれば、不正アクセス通知手段８にシステム管理者３への通知の指示は行わない。同時にこの不正内容およびこれと対応する不正アクセス番号Ｐを不正アクセス記録４２から削除し、Ｐを超える不正アクセスの番号を１つづつ繰り上げる。これを不正アクセス記録削除と呼ぶ。
一致する分析項目がない場合は不正アクセス通知手段８によってシステム管理者３に不正アクセスが検出されたことを通知するとともに、通知内容記憶手段４１に新たに通知内容を記憶する。これを不正アクセス記録登録と呼ぶ。
パケット分析手段７が通知内容記憶手段４１を参照し、不正アクセス記録４２を検証することを通知記録検証と呼ぶ。
【００５９】
以上のようにすることで、特定の不正アクセスが繰り返される場合、１度の不正アクセスの次の不正アクセスについては不正アクセスのシステム管理者への通知処理を省略することが可能となり、CPU処理を軽減し、パケットの取得処理及び分析処理にまわすことができる。
【００６０】
なお、上記の説明では不正アクセス記録４２には不正アクセスを複数記録する例を示したが、１つの不正アクセスのみを記録するようにしてもよく、この場合は不正アクセス番号は不要であり、不正内容のみを記憶すればよい。
【００６１】
また、上記の例では、同一の不正アクセスに関する通知処理を一度しか省略できないが、新たに不正アクセス記録４２に不正アクセスを記録する際に、不正内容４４に不正アクセスが行われた時刻を記録し、同一の不正アクセスについては一定時間Ｔ１内（経過時間）に繰り返され場合は通知せずに、この一定時間Ｔ１を超えた場合のみを通知するようにしてもよい。最初の不正アクセスから上記一定時間Ｔ１（所定時間）を経過した不正アクセスについては、不正アクセス記録削除を行う。
上記一定時間Ｔ１を不正アクセス通知停止時間とよぶ。
【００６２】
また、不正アクセスが何回行われたかの回数を利用してもよい。このためには同一の不正アクセスが繰り返された場合、不正内容４４に不正アクセスが行われた回数を記録し、この回数が一定数Ｑ以下の場合は通知を行わないようにしてもよい。回数が一定数Ｑ（所定回数）を超えた場合は不正アクセス記録削除を行う。
この一定数Ｑを不正アクセス通知停止回数と呼ぶ.
【００６３】
上記不正アクセス通知停止時間Ｔ１及び不正アクセス停止通知回数Ｑはシステム管理者３が入力手段９からパケット分析手段７に入力することができる。
このように通知内容によって通知を行うタイミング及び回数の変更等を行うことにより、木目細かく通知処理を実行したり停止することが可能となる。
【００６４】
また上記の不正アクセス通知停止時間Ｔ１や不正アクセス停止通知回数Ｑは、分析項目によって決定し、分析項目毎に一定でなくてもよい。
【００６５】
また上記説明では不正アクセス記録削除はパケット分析手段７が行うとしたが、通知内容記憶手段４１が行ってもよい。この場合、上記不正アクセス通知停止時間Ｔ１及び不正アクセス停止通知回数Ｑはシステム管理者３が入力手段９から通知内容記憶手段４１に入力するようにしてもよい。
【００６６】
また、パケットの取りこぼし防止をより確実にするために、不正アクセス通知手段８、通知内容記憶手段４１を別CPUで管理することにより処理を分散してもよい。
【００６７】
【発明の効果】
以上のようにこの発明によれば、ネットワークのトラフィックによっていずれの分析項目に関して不正アクセス分析を行うかを決定するので、不正なパケットを取りこぼすことがないという効果がある。
【００６８】
またこの発明によれば、分析待機バッファを設けたので、パケット分析手段がトラフィックの変動に確実に対応できるという効果がある。
【００６９】
またこの発明によれば、パケットをフィルタリング手段により絞り込むので、取りこぼしを防止できるという効果がある。
【００７０】
またこの発明によれば、特定の不正アクセスが繰り返された場合にもＣＰＵ処理を軽減することが可能になるという効果がある。
【図面の簡単な説明】
【図１】  この発明の実施の形態１による侵入検知装置を含むシステムの構成図。
【図２】  この発明の実施の形態１による分析項目一覧表の図。
【図３】  この発明の実施の形態１の他の実施の形態による分析項目一覧表の図。
【図４】  この発明の実施の形態１の他の実施の形態による分析項目一覧表の図。
【図５】  この発明の実施の形態２による侵入検知装置を含むシステムの構成図。
【図６】  この発明の実施の形態３による侵入検知装置を含むシステムの構成図。
【図７】  この発明の実施の形態３によるフィルタリング情報テーブルの図。
【図８】  この発明の実施の形態４によるフィルタリング情報テーブルの図。
【図９】  この発明の実施の形態４による不正アクセス記録の図。
【図１０】  従来の侵入検知システムの構成図。
【符号の説明】
１  侵入検知装置、  ２  ネットワーク、  ３  システム管理者、  ４  パケット、  ５  通信手段、  ６  パケット監視手段、  ７  パケット分析手段、  ８  不正アクセス通知手段、  ９  入力、  ４  パケット、  １１  分析項目一覧表、  １２  分析項目、  １３  分析フラグ、  １４  優先順位、  １５  カテゴリー、２１  分析待機バッファ、  ３１  フィルタリング手段、  ３２  フィルタリング情報記憶手段、  ３３  フィルタリング情報テーブル、  フィルタリング情報カテゴリー、  ３５  フィルタリング情報、  ４１  通知内容記憶手段、  ４２  不正アクセス記録、  ４３  不正アクセス番号、  ４４  不正内容４４、  １００１  ネットワーク、  １００２ａ〜１００２ｎ  パケット、  １００３ａ〜１００３ｎ  パケット取得部、  １００４  パケット蓄積部、  １００５ａ〜１００５ｎ  パケット分析部、  １００６  不正アクセスデータベース、  １００７  通知部、  １００８  システム管理者
【図１】
0003893975.tif 000002
【図２】
0003893975.tif 000003
【図３】
0003893975.tif 000004
【図４】
0003893975.tif 000005
【図５】
0003893975.tif 000006
【図６】
0003893975.tif 000007
【図７】
0003893975.tif 000008
【図８】
0003893975.tif 000009
【図９】
0003893975.tif 000010
【図１０】
0003893975.tif 000011