(57)【特許請求の範囲】
【請求項１】
ネットワークに接続された機器に向けた通信におけるパケットを受信し、受信したパケットに対する正当性判定方式を、前記パケットの解析結果と返答する側（管理側）の管理方針を元に策定した安全性基準に基づいて設定した判定ルールとにより決定する正当性判定方式決定手段と、
前記正当性判定方式決定手段が決定した正当性判定方式により、前記パケットの信頼度を求める正当性判定手段と、
前記信頼度に基づいて前記パケットに対する応答方式を定める応答方式決定手段と、
指示情報が入力されると前記パケットに対して応答する応答情報を、予め定められるフィルタルールに基づいてフィルタリングして限定した限定応答情報を生成して提供する限定情報返答手段と、
指示情報が入力されると前記パケットに対して前記応答情報を返答する無変更情報返答手段と、
前記応答方式決定手段が決定した前記応答方式に基づいて、前記パケットに対する応答として、前記限定情報返答手段あるいは前記無変更情報返答手段のいずれかを選択して前記指示情報を入力する手段と、
を具備することを特徴とするアンチプロファイリング装置。
【請求項２】
前記正当性判定方式決定手段は、前記判定ルールに基づいて、即応する即応型処理、あるいは、安全を重視する慎重型処理を選択し、当該選択した処理に対応する正当性判定方式を決定する
ことを特徴とする請求項１に記載のアンチプロファイリング装置。
【請求項３】
前記正当性判定手段は、前記パケットの通信元のアドレスを記述したブラックリストに基づいて前記信頼度を求め、前記信頼度に基づいて前記パケットを分類する
ことを特徴とする請求項１に記載のアンチプロファイリング装置。
【請求項４】
指示情報が入力されると前記パケットに対して偽情報を生成して提供する疑似情報応答手段と、
指示情報が入力されると前記パケットに対して応答しない無応答手段と、
を更に備え、
前記入力する手段は、
前記応答方式決定手段が決定した前記応答方式に基づいて、前記パケットに対する応答として、前記限定情報返答手段あるいは前記無変更情報返答手段あるいは前記擬似情報応答手段あるいは前記無応答手段のいずれかを選択して前記指示情報を入力する
ことを特徴とする請求項１に記載のアンチプロファイリング装置。
【請求項５】
コンピュータに、
ネットワークに接続された機器に向けた通信におけるパケットを受信し、受信したパケットに対する正当性判定方式を、前記パケットの解析結果と返答する側（管理側）の管理方針を元に策定した安全性基準に基づいて設定した判定ルールとにより決定する正当性判定方式決定ステップと、
前記正当性判定方式決定ステップにて決定した正当性判定方式により、前記パケットの信頼度を求める正当性判定ステップと、
前記信頼度に基づいて前記パケットに対する応答方式を定める応答方式決定ステップと、
指示情報が入力されると前記パケットに対して応答する応答情報を、予め定められるフィルタルールに基づいてフィルタリングして限定した限定応答情報を生成して提供する限定情報返答ステップと、
指示情報が入力されると前記パケットに対して前記応答情報を返答する無変更情報返答ステップと、
前記応答方式決定ステップにて決定した前記応答方式に基づいて、前記パケットに対する応答として、前記限定情報返答ステップあるいは前記無変更情報返答ステップのいずれかを選択して前記指示情報を入力するステップと、
を実行させるためのアンチプロファイリングプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、コンピュータネットワークにおける不正侵入を目的とした情報収集に対して対抗処理を行うアンチプロファイリング装置およびアンチプロファイリングプログラムに関する。
【０００２】
【従来の技術】
近年、インターネットによるネットワークサービスが拡大し、多様なサービスを広く提供できるようになった。ネットワークサービスにより、ＨＴＴＰ（Hyper Text Transfer Protocol）やＦＴＰ（File Transfer Protocol）によるＷｅｂページやファイル、ＳＭＴＰ（Simple Mail Transfer Protocol） による電子メールなど多様なリソースを広くユーザに提供できる反面、ネットワークを介してユーザに情報を提供するサーバは、常に不正侵入や攻撃によって被害を受ける危険にさらされている。不正侵入は、事前に必要な情報を収集する過程を経て行われることが多い。この情報収集によって侵入対象のサーバの設定ミスやソフトウェアの脆弱な個所の情報を取得した上で不正侵入が試みられる。インターネット上には、多数の情報収集のためのツールが公開されており、このようなツール、例えば、ポートスキャンツールを使えば、誰でも、コンピュータやルータなどネットワークに接続された機器の情報やサービスを提供しているアプリケーションの名称やバージョンなどの情報を簡単に知ることができ、不正侵入の手がかりとすることができる。
【０００３】
これらの情報により情報収集の対象とした機器の脆弱個所（弱点）がわかり、サービス妨害、不正侵入などが可能になる。ポートスキャンツールの中でも機能の多いｎｍａｐ（Network Mapper）を使うと、ポートスキャンのほかにネットワークに接続された機器のＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol） スタックの実装の特徴（フィンガープリントと呼んでいる）を取得して、ＯＳ（オペレーティングシステム）やアプリケーションのバージョンなどの外部に公開してない情報までも取得されてしまう。また、ＷｅｂやＦＴＰなど、外部の不特定多数に向けて必要な情報を提供し、接続を許可しなければならないアプリケーションは、外部からの全ての接続要求に対して、正しく返答している。これは、通常の通信に対しても、悪意のある通信に対してもそのアプリケーションの情報を公開することになる。
【０００４】
従来、上述のような情報収集に対抗する手段として、ＷｅｂサーバなどＴＣＰサービスの場合、コネクション確立後にアプリケーションが提供する情報であるバナー返答を無効にしたり、バナー情報を制限したりあるいは偽りの情報を返したりする方法が取られている。また、普段使用しないアプリケーションを設定から削除して通信を行わせないようにしたり、ネットワークに接続された機器にパケットが届く前にファイアウォールで遮断するなどにより、情報の流出を防いでいる。
【０００５】
【発明が解決しようとする課題】
しかしながら、上述のように、従来の情報流出を防ぐ方法では、高度な情報収集機能を持つツールを用いると、容易にこれを回避して目的の情報を収集することができるため、十分な効果を上げることができないという問題があった。また、不特定多数に向けて情報を提供している場合、攻撃者によって取得された情報は、不正侵入の手がかりとして利用される恐れがある。さらに、ファイアウォールで通信を許可しないネットワークに接続された機器への通信を遮断して防御する場合、これは、一方で外部と通信できるコンピュータ、アプリケーションを明らかにしているため、攻撃者に標的を絞り込むときに有利な情報を与えてしまうことになる。また、このような情報からファイアウォール自身の設定不備や脆弱な部分が調べられて侵入されるという問題があった。
【０００６】
この発明は、上記の点に鑑みてなされたもので、その目的は、受信されたパケットを解析してその通信の正当性を判定し、信頼度に応じて提供する情報を制御して不正侵入や攻撃の手がかりとなる情報を提供しない、あるいは偽の情報を提供して、攻撃を防ぐだけでなく、攻撃者を混乱させるアンチプロファイリング装置およびアンチプロファイリングプログラムを提供することにある。
【０００７】
【課題を解決するための手段】
上記の課題を解決するために、ネットワークに接続された機器に向けた通信におけるパケットを受信し、受信したパケットに対する正当性判定方式を、前記パケットの解析結果と返答する側（管理側）の管理方針を元に策定した安全性基準に基づいて設定した判定ルールとにより決定する正当性判定方式決定手段と、前記正当性判定方式決定手段が決定した正当性判定方式により、前記パケットの信頼度を求める正当性判定手段と、前記信頼度に基づいて前記パケットに対する応答方式を定める応答方式決定手段と、指示情報が入力されると前記パケットに対して応答する応答情報を、予め定められるフィルタルールに基づいてフィルタリングして限定した限定応答情報を生成して提供する限定情報返答手段と、指示情報が入力されると前記パケットに対して前記応答情報を返答する無変更情報返答手段と、前記応答方式決定手段が決定した前記応答方式に基づいて、前記パケットに対する応答として、前記限定情報返答手段あるいは前記無変更情報返答手段のいずれかを選択して前記指示情報を入力する手段と、を具備することを特徴とするアンチプロファイリング装置である。
【０００８】
本発明は、上記に記載の発明において、前記正当性判定方式決定手段は、前記判定ルールに基づいて、即応する即応型処理、あるいは、安全を重視する慎重型処理を選択し、当該選択した処理に対応する正当性判定方式を決定することを特徴とする。
【０００９】
本発明は、上記に記載の発明において、前記正当性判定手段は、前記パケットの通信元のアドレスを記述したブラックリストに基づいて前記信頼度を求め、前記信頼度に基づいて前記パケットを分類することを特徴とする。
【００１０】
本発明は、上記に記載の発明において、指示情報が入力されると前記パケットに対して偽情報を生成して提供する疑似情報応答手段と、指示情報が入力されると前記パケットに対して応答しない無応答手段と、を更に備え、前記入力する手段は、前記応答方式決定手段が決定した前記応答方式に基づいて、前記パケットに対する応答として、前記限定情報返答手段あるいは前記無変更情報返答手段あるいは前記擬似情報応答手段あるいは前記無応答手段のいずれかを選択して前記指示情報を入力することを特徴とする。
【００１１】
本発明は、コンピュータに、ネットワークに接続された機器に向けた通信におけるパケットを受信し、受信したパケットに対する正当性判定方式を、前記パケットの解析結果と返答する側（管理側）の管理方針を元に策定した安全性基準に基づいて設定した判定ルールとにより決定する正当性判定方式決定ステップと、前記正当性判定方式決定ステップにて決定した正当性判定方式により、前記パケットの信頼度を求める正当性判定ステップと、前記信頼度に基づいて前記パケットに対する応答方式を定める応答方式決定ステップと、指示情報が入力されると前記パケットに対して応答する応答情報を、予め定められるフィルタルールに基づいてフィルタリングして限定した限定応答情報を生成して提供する限定情報返答ステップと、指示情報が入力されると前記パケットに対して前記応答情報を返答する無変更情報返答ステップと、前記応答方式決定ステップにて決定した前記応答方式に基づいて、前記パケットに対する応答として、前記限定情報返答ステップあるいは前記無変更情報返答ステップのいずれかを選択して前記指示情報を入力するステップと、を実行させるためのアンチプロファイリングプログラムである。
【００１２】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照して説明する。図１は、同実施形態によるアンチプロファイリング装置１０の構成を示すブロック図である。同図において、１４は、外部ネットワーク１００を介して内部ネットワーク７０に送られてきたパケットを受信するパケット取得処理部である。１１は、通信の種類毎にパケットの処理方式を設定した判定ルールであり、１２は、通信を許可しない通信元のアドレス、通信元のポート番号などを記述したブラックリストである。ブラックリスト１２は、記述する情報の取得期間により短期、中期、長期の３種類作成される。１３は、どのパケットを処理しているか、少し前にどのようなパケットを処理したかなどのパケットの取得・判定の履歴を記述した処理パケット履歴である。
【００１３】
１５は、入力された受信パケットの種類に応じて、判定ルール１１に基づき処理方式を定める対応方法判定処理部である。また、対応方法判定処理部１５は、各処理方式に応じて、ブラックリスト１２と処理パケット履歴１３を照合して受信されたパケットの正当性判定を行い通信信頼度を求める。そして、求めた通信信頼度に応じて受信パケットに対する応答方法を定める。応答方法は、次の４つの方法から選択される。最小限情報提供：通信要求などに対する応答内容から特徴的な情報、冗長な情報を削除して送る、無応答：通信要求などに対して、全く応答しない、処理なし：アンチプロファイリング処理をせずに通常どおりの応答を行う、偽情報提供：通信要求などに対する応答内容に、ランダム、正しい応答とは異なる形、あるいは有得ない異常な形の特徴的な情報、冗長な情報を付加して応答する。
【００１４】
１６は、正しい通信と判断された受信パケットを内部ネットワーク７０に転送するパケット転送処理部である。１７は、内部ネットワーク７０から送られてきたパケットを受信するパケット受信処理部であり、１９は、入力されたパケットの送信処理を行い、外部ネットワーク１００へ送信するパケット返答処理部である。１８は、対応方法判定処理部１５の指示に基づいて偽情報を生成し、パケット返答処理部１９に出力する擬似返答生成処理部である。２０は、サービス情報取得処理部２１と、パケット送受信処理部２２と、サービス情報フィルタ処理部２３と、フィルタルール２４とを備えた最小限情報生成処理部である。
【００１５】
サービス情報取得処理部２１は、対応方法判定処理部１５の指示に基づいて、パケット送受信処理部２２を介して、内部ネットワーク７０に接続されたパケットの送信先ホストから応答するサービス情報を取得する。フィルタルール２４は、外部に提供できない情報と提供可能な情報を記述し、出力される情報を制限するルールである。サービス情報フィルタ処理部２３は、取得されたサービス情報をフィルタルール２４に基づいてフィルタリングし、限定されたサービス情報を生成する。
【００１６】
図２および図３は、アンチプロファイリング装置１０の設置例を示す図である。図２は、ネットワークシステムにおけるアンチプロファイリング装置１０の配置例を示す。アンチプロファイリング装置１０は、内部ネットワークのファイアウォール５０の前に、パケットがアプリケーションに届くより前の位置に設置され、インターネット１００を介して受信された全てのパケットに対して統括して処理を行う。図３に示す配置例では、アンチプロファイリング装置１０は、端末６０に設置され、端末６０内にあるアプリケーション向けに届いた通信全てに対して処理を行う。図２および図３に示すアンチプロファイリング装置１０の処理方式に違いはない。
【００１７】
以下、アンチプロファイリング装置１０の動作を説明する。図４は、アンチプロファイリング装置１０の処理フローを示す図である。図１および図４を参照して説明する。先ず、パケット取得処理部１４は、転送されてきたパケットを受信して対応方法判定処理部１５に出力する。対応方法判定処理部１５は、入力されたパケットを解析して、プロトコルが異常かどうか判断する（ステップＳ１１０）。プロトコルに異常があり判断結果がＹＥＳの場合、ステップＳ１１１に進み応答を返さずステップＳ１１２に進む。応答履歴を保存する場合（ステップＳ１１２：ＹＥＳ）、応答方式履歴２５に記録される。一方、プロトコルに異常がなくステップＳ１１０においてＮＯの場合、ステップＳ１２０で発信元のＩＰアドレスをブラックリスト１２−１と照合して調べる。許可されていないＩＰアドレスからの通信の場合、ステップＳ１１１に進み、さらに、応答履歴を保存する場合（ステップＳ１１２：ＹＥＳ）、応答方式履歴２５に記録される。
【００１８】
ステップＳ１２０において許可されているＩＰアドレスと判断された場合（ステップＳ１２０：ＮＯ）、ステップＳ１３０に進み応答方法について判定済みか否か判断される。既に、受信したパケットと関係があり応答方法が判定されており、判断結果がＹＥＳのとき、ステップＳ１３１において応答方式履歴２５を参照して判定済みの応答方法による処理を行う。ステップＳ１３０でＮＯの場合、ステップＳ１４０に進み各ポートに設定された判定ルールに基づき、パケットの接続要求に応じてランダム処理を行うか、または定型処理を行うか判断される。
【００１９】
ステップＳ１４０において、ランダム処理に判断されると、ステップＳ１６１〜Ｓ１６４、Ｓ１８１〜Ｓ１８４のいずれかの処理がランダムに選択される。ここで、ステップＳ１６１が選択されたものとして説明する。ステップＳ１６１は、安全を重視した情報無提供方式であり、次に、正当性判定方式Ａによって通信信頼度が求められる。図５（Ａ）に正当性判定方式Ａの処理の流れを示す。先ず、受信パケットのアドレス情報がブラックリストに載っているか否か、長期ブラックリスト１２−４と照合して判断される（ステップＳ２０１）。判断結果がＹＥＳの場合、不正接続Ａ４と判定される。一方、ブラックリストに載っていない場合、ステップＳ２０２に進み、処理パケット履歴１３を参照して関連する通信が記述されているか否か判断する。関連する通信が記述されてなくＮＯの場合、正常接続Ａ１と判断される。ステップＳ２０２の判断結果、ＹＥＳの場合、さらに、中期ブラックリストを照合して疑わしい接続要求か否か判断して、正常接続Ａ３、または疑わしい接続Ａ２に判定する。
【００２０】
正当性判定方式Ａによって、正常接続Ａ１、Ａ３と判定された場合、ステップＳ１７１に進み、最小限情報生成処理部２０に指示が出力される。また、ステップＳ１１２において応答履歴を保存するか否か判断され、保存する場合は、応答方式履歴２５に記録される。最小限情報生成処理部２０は対応方法判定処理部１５からの指示を受けて接続先のホストから受信パケットに対する応答を取得し、フィルタルール２４に基づき応答する情報をフィルタリングして、最小限情報を生成する。パケット返答処理部１９は、この最小限情報をネットワーク１００に発信する。
【００２１】
一方、ステップＳ１４０において、定型処理に判断されると、ステップＳ１５０で、さらに、即応型処理を行うか、慎重型処理を行うか決定される。即応型処理の場合、安全性を重視するか、サービス性を重視するかなどにより、ステップＳ１６１〜１６４のいずれかの方式が選択される。ステップＳ１６１は、最も安全を重視した情報無提供方式であり、ステップＳ１６２は、サービスを重視した正規サービス重視方式である。ステップＳ１６３は、不正接続に対抗する偽情報提供方式であり、ステップＳ１６４は、標準としての最小限情報提供方式である。ステップＳ１６１〜１６４に続くステップＳ１６５〜１６８では、応答に顕著な遅延を発生させないように、判断アルゴリズムの簡潔な上述の正当性判定方式Ａが用いられる。
【００２２】
ここで、ステップＳ１６２の正規サービス重視方式が選択されたものとして説明する。ステップＳ１６２が選択されると、正当性判定方式Ａにより、通信信頼度が判定される。判定の結果、正常接続Ａ１、Ａ３の場合、ステップＳ１７０に進み、アンチプロファイリング処理なしに、応答がパケット受信処理部１７からパケット返送処理部１９を介して送信される。正当性判定方式Ａにより、疑わしい接続Ａ２と判定された場合、ステップＳ１７１に進む。ステップＳ１７１において、最小限情報の生成指示が最小限情報生成処理部２０に出され、生成された最小限情報は、パケット返答処理部１９を介して送信される。また、不正接続Ａ４と判定された場合、ステップＳ１６９に進み、応答は返されない。
【００２３】
次に、ステップＳ１５０において、慎重型処理（ステップＳ１８０）が選択された場合について説明する。慎重型処理の場合、安全性を重視するか、サービス性を重視するかなどにより、ステップＳ１８１〜１８４のいずれかの方式が選択される。ステップＳ１８１は、最小限情報提供方式であり、ステップＳ１８２は、正規サービス重視方式である。ステップＳ１８３は、偽情報提供方式であり、ステップＳ１８４は、安全を重視した情報提供慎重方式である。ここで、ステップＳ１８１の最小限情報提供方式が選択されたものとして説明する。ステップＳ１８１〜１８４に続くステップＳ１８５〜１８８では、応答速度よりも安全性を重視した判断アルゴリズムの正当性判定方式Ｂが用いられる。正当性判定方式Ｂの処理の流れを図５（Ｂ）に示す。ステップＳ１８１に続き、ステップＳ１８５において正当性判定方式Ｂにより通信信頼度が求められる。
【００２４】
正当性判定方式Ｂは、先ず、受信パケットのアドレス情報を長期ブラックリスト１２−４と照合して、ブラックリストに載っているか否かを判断する（ステップＳ３０１）。判断結果がＹＥＳの場合、不正接続Ｂ６と判断される。長期ブラックリスト１２−４に載っていない場合（ステップＳ３０１：ＮＯ）、ステップＳ３０２で処理パケット履歴１３を参照して関連通信の有無を調べる。ＹＥＳの場合は、ステップＳ３０３に進み、短期ブラックリスト１２−２と照合して疑わしい接続Ｂ５か、あるいは正常接続Ｂ４かを判定する。
【００２５】
ステップＳ３０２でＮＯの場合、１００〜１０００ｍｓ位判断を保留した後、受信パケットを処理パケット履歴１３と照合する（ステップＳ３０５）。照合結果がＹＥＳの場合、ステップＳ３０６に進み、短期ブラックリスト１２−２と照合して疑わしい接続Ｂ３か、あるいは正常接続Ｂ２かを判定する。ステップＳ３０５においてＮＯの場合、正常接続Ｂ１と判定する。ステップＳ１８５の正当性判定により正常接続Ｂ１、Ｂ２、Ｂ４と判定された場合、ステップＳ１９１に進み、最小限情報生成処理部２０に最小限情報生成の指示が出力され、フィルタルール２４によって制限された情報が送出される。正当性判定により疑わしい接続Ｂ３、Ｂ５または不正接続Ｂ６と判定された場合、ステップＳ１８９に進み、応答は返されない。
【００２６】
図６は、上述の対応方法判定処理部１５における処理方法判断、正当性判定処理および処理内容の組み合わせの一例を示す図である。同図における、処理方法判断１は、ステップ１４０の処理であり、処理方法判断２は、ステップＳ１５０の処理である。処理方法判断２の即応型処理に続く処理方法判断３（ステップＳ１６０）では、情報無提供方式（ステップＳ１６１）、正規サービス重視方式（ステップＳ１６２）、偽情報提供方式（ステップＳ１６３）、最小限情報提供方式（Ｓ１６４）のいずれかの方式が選択される。
【００２７】
慎重型処理に対する処理方法判断３（ステップＳ１８０）では、安全を重視した情報提供慎重方式（ステップＳ１８４）、正規サービス重視方式（ステップＳ１８２）、偽情報提供方式（ステップＳ１８３）、最小限情報提供方式（ステップＳ１８１）のいずれかの方式が選択される。正当性判定処理方式Ａ，Ｂによる通信信頼度判定結果は、正規（正常接続）、不明（疑わしい接続）および不正（不正接続）に分類される。そして、この判定結果に応じて、最小限情報提供、無応答、処理なし、偽情報提供のいずれかの応答処理が行われる。なお、判定ルール１１に設定される処理方法判断、正当性判定処理、処理内容の構成は、図６に示す構成に限られるものではなく、ネットワーク管理者の判断により、最適と考えられる構成を設定することができる。
【００２８】
次に、アンチプロファイリング装置１０による不正接続に対する具体的な処理例を図７〜１２に示す。図７は、攻撃者１１０がスキャニングツールによってポートスキャンを行った状態を示す。ユーザ１２０に対しては、正しい返答がなされるが、攻撃者１１０のスキャニングに対しては、偽情報を返すなどして情報収集を混乱させる。図８に示すように、攻撃者１１０は、ＤＮＳなどを使用せずに直接ＩＰアドレスを生成して、網羅的にスキャニングを試みる方法が一般的である。例えば、ｎｍａｐなどのスキャニングツールを用いて、大量のＩＰアドレス、ポートに対してスキャニングをおこない、人手をかけずに攻撃対象の弱点の情報を得ようとする。アンチプロファイリング装置１０は、このようなスキャニング対象の全てのＩＰアドレス、ポート番号の応答として偽情報を返すことによって対抗する。
【００２９】
図９は、存在しないＩＰアドレス（アドレスＢ）、あるいは使用していないポートに対して通信が発生した場合であり、明らかに不正アクセスのための事前の情報収集が目的と解釈できるため、アンチプロファイリング装置１０から偽情報を発信する。図１０は、複数のＩＰアドレスやポート番号に対して、短時間に連続して通信が発生している場合であり、機械的にＩＰアドレスを生成して、通信を試みている分かりやすい例である。この場合は、存在しないＩＰアドレスやポートに対する通信だけでなく、存在するＩＰアドレスやサービスが行われているポート番号への通信もスキャンの一部であるため偽の情報を返す。
【００３０】
図１１は、攻撃者１１０がスキャンツールによってフィンガープリントを収集しようとしている例である。スキャンツールから４つのスキャンパターンを送り、フィンガープリント（Fingerprint）判別表に示すように、その応答の組み合わせによってＯＳを判別する。この場合、アンチプロファイリング装置１０からツールが分析できないパターンになるような偽情報を返し、スキャンツールを混乱、停止させる。図１２は、アンチプロファイリング装置１０をファイアウォール５０とネットワーク１００の間に設置する場合である。スキャンに対してアンチプロファイリング装置１０から偽情報を返すか、あるいは応答しないことによってファイアウォール５０の設定を隠蔽して情報を与えないようにする。
【００３１】
【発明の効果】
以上説明したように、本発明によれば、受信パケットを解析してその通信の信頼度に応じて提供する情報を制御するので、不正なアクセスに対して攻撃の手がかりとなる情報の漏洩を防ぐことができる。また、悪意で行った情報収集に対して不正確な情報を返すことによって情報収集を妨げ、スキャニングツールの判断を混乱させることにより、情報収集の次の段階である攻撃を抑制し、十分な防御を行うまで遅延させたり、あるいは回避することができるため管理下のネットワークのセキュリティを大幅に高めることができるという効果が得られる。また、内部ネットワークへのアクセスに対して一箇所で統括的に対処できるため、アプリケーションや端末毎に設定を管理する必要がなく、セキュリティシステムの運用・管理コストを大幅に削減できるという効果が得られる。
【図面の簡単な説明】
【図１】    本発明の一実施の形態によるアンチプロファイリング装置のブロック図である。
【図２】    同実施形態のアンチプロファイリング装置をファイアウォールの前に設置した例を示す図である。
【図３】    同実施形態のアンチプロファイリング装置を端末に設置した例を示す図である。
【図４】    アンチプロファイリング装置の処理フローを示す図である。
【図５】    正当性判定方式Ａ、Ｂのフローチャートである。
【図６】    対応方法判定処理部の処理の組み合わせを示す図である。
【図７】    本実施形態のアンチプロファイリング装置の処理の例を示す図である。
【図８】    本実施形態のアンチプロファイリング装置のポートスキャンに対する処理を示す図である。
【図９】    本実施形態のアンチプロファイリング装置の処理の例を示す図である。
【図１０】  本実施形態のアンチプロファイリング装置のポートスキャンに対する処理を示す図である。
【図１１】  本実施形態のアンチプロファイリング装置のフインガープリント収集に対する処理を示す図である。
【図１２】  本実施形態のアンチプロファイリング装置のファイアウォール隠蔽処理を示す図である。
【符号の説明】
１０  アンチプロファイリング装置
１１  判定ルール
１２、１２−１〜４  ブラックリスト
１３  処理パケット履歴
１４  パケット取得処理部
１５  対応方法判定処理部
１６  パケット転送処理部
１７  パケット受信処理部
１８  擬似返答生成処理部
１９  パケット返答処理部
２０  最小限情報生成処理部
２１  サービス情報取得処理部
２２  パケット送受信処理部
２３  サービス情報フィルタ処理部
２４  フィルタルール
２５  応答方式履歴
【図１】
0003986871.tif 000002
【図２】
0003986871.tif 000003
【図３】
0003986871.tif 000004
【図４】
0003986871.tif 000005
【図５】
0003986871.tif 000006
【図６】
0003986871.tif 000007
【図７】
0003986871.tif 000008
【図８】
0003986871.tif 000009
【図９】
0003986871.tif 000010
【図１０】
0003986871.tif 000011
【図１１】
0003986871.tif 000012
【図１２】
0003986871.tif 000013