【事件の表示】
　特願２００４−５１４２７０「データトラフィックフィルタリング標識」拒絶査定不服審判事件〔平成１５年１２月２４日国際公開、ＷＯ０３／１０７５９０、平成１７年１０月　６日国内公表、特表２００５−５３０３９８〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１　手続の経緯
　本願は、２００３年６月９日（パリ条約による優先権主張外国庁受理２００２年６月１２日、米国）を国際出願日とする出願であって、平成２０年７月２４日付けで拒絶理由が通知され、平成２１年１月２９日付けで手続補正されたが、同年４月１日付けで拒絶査定がなされ、これに対し、同年８月７日に拒絶査定不服の審判が請求されるとともに、同日付けで手続補正されたものである。
　
第２　本願発明
　特許請求の範囲の請求項１に係る発明（以下、「本願発明」という。）は、平成２１年８月７日付けで手続補正された特許請求の範囲、明細書及び図面の記載からみて、その特許請求の範囲の請求項１に記載された以下のとおりのものと認める。
　
　「ネットワークを介し通信するよう構成される装置であって、
　不適切な動作に関係するパケットを特定するためのルールセットであって、該ルールセットの各ルールが不適切さのレベルを示す複数のクラスに分割されるルールセットを含むファイアウォールと、
　前記ファイアウォールに関連付けされ、前記不適切な動作に関係するパケットのグループが前記ルールセットの複数のクラスの少なくとも１つのクラスに係る不適切さの閾値レベルを超えたことを同時的に示すようトリガーされる少なくとも１つのユーザ識別可能な標識と、
を有することを特徴とする装置。」
　
第３　引用発明
　原審の拒絶理由に引用された特開２００２−１２４９９６号公報（以下、「引用例」という。）には、図面とともに以下の事項が記載されている。
　
イ．「【００１】
【発明の属する技術分野】  本発明は、クラッカーによるインターネットを介したネットワーク（ＬＡＮ）への攻撃を監視し、さらにはその攻撃からネットワークを保護するためのシステムに関する。」（２頁１欄）
　
ロ．「【０１１】次ぎに具体的な攻撃について考えよう。まず、クラッカーによる第１の種類の攻撃として、一般にポートスキャン（Ｐｏｒｔ  Ｓｃａｎ）と言われる種類の攻撃がある。この攻撃は、ネットワークに直接的な損害を及ぼすものではないが、その前段階の攻撃として用いられることが多い。この攻撃では、クラッカーは、自身の管理下にあるホストから、攻撃対象のネットワークに対して、パケット内の宛先ＩＰアドレスや宛先ポート番号を適宜変更しながらＩＰパケットを繰り返し送信する。そして、それらのＩＰパケットに対する応答を上記ホストを介して観測する。これにより、攻撃対象のネットワークにおいて、ファイヤウォール等による制限を受けずに外部との通信に利用されているＩＰアドレスやポート番号を探索する。なお、ここで、前記ポート番号は、ＴＣＰあるいはＵＤＰ上で動作するアプリケーションソフトウェアのサービス種類（例えばｔｅｌｎｅｔ、ｆｔｐ、ｓｍｔｐ、ｔｆｔｐ等）を表すもので、ＩＰパケット内のＴＣＰヘッダあるいはＵＤＰヘッダに付与されるデータである。この種の攻撃では、上記のようなＩＰパケットの送信は、通常、専用的なツールソフトウェアを用いて行われ、攻撃対象のネットワークには、宛先ＩＰアドレスやポート番号が互いに異なり、且つ送信元ＩＰアドレスが同一であるようなＩＰパケットが比較的短時間内に多数、送信される。そこで、本発明では、前記攻撃検知手段は、取得して保持した前記複数のＩＰパケットのうち、前記ネットワークにその外部から所定時間内に送信されてきた複数のＩＰパケットであって、少なくともその送信元ＩＰアドレスが互いに同一で且つ宛先ＩＰアドレス又は宛先ポート番号が互いに異なるものが所定数以上あるとき、第１の種類の前記攻撃がなされたことを検知する。これにより、ポートスキャンと言われる第１の種類の攻撃を確実に検知することができる。次に、クラッカーによる第２の種類の攻撃として、一般にＳｙｎ−ｆｌｏｏｄと称される種類の攻撃がある。この攻撃は、ＴＣＰの特性を利用してネットワーク内の特定のホストをダウンさせるものである。すなわち、ＴＣＰでは二つのホスト間で通信を行う場合、まず、両ホスト間で論理的なコネクションの開設処理が行われる。このコネクション開設処理では、一方のホストから他方のホストに対してＳｙｎ用ＩＰパケットを送信する。ここで、該Ｓｙｎ用ＩＰパケットは、それを詳しく言えば、上記一方のホストのＩＰアドレスと他方のホストのＩＰアドレスとをそれぞれ送信元ＩＰアドレス、宛先ＩＰアドレスとしたＩＰパケットで、そのパケット内のＴＣＰヘッダのＳｙｎビット及びＡｃｋビットのうちのＳｙｎビットのみを「１」としたものである。そして、コネクション開設処理では、このＳｙｎ用ＩＰパケットを受けた他方のホストは、前記一方のホストに対してＳｙｎ／Ａｃｋ用ＩＰパケットを送信する。ここで、該Ｓｙｎ／Ａｃｋ用ＩＰパケットは、詳しくは、上記他方のホストのＩＰアドレスと一方のホストのＩＰアドレスとをそれぞれ送信元ＩＰアドレス、宛先ＩＰアドレスとしたＩＰパケットで、そのパケット内のＴＣＰヘッダのＳｙｎビット及びＡｃｋビットを共に「１」としたものである。さらに、コネクション開設処理���は、このＳｙｎ／Ａｃｋ用ＩＰパケットを受けた前記一方のホストは、前記他方のホストに対してＡｃｋ用ＩＰパケットを送信し、このＡｃｋ用ＩＰパケットを前記他方のホストが受けることで、両ホスト間の論理的なコネクションの開設がなされる。なお、上記Ａｃｋ用ＩＰパケットは、詳しくは、前記Ｓｙｎ用ＩＰパケットと同一の送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットで、そのパケット内のＴＣＰヘッダのＳｙｎビット及びＡｃｋビットのうちのＡｃｋビットのみを「１」としたものである。
【０１２】前記Ｓｙｎ−ｆｌｏｏｄは、このようなＴＣＰの特性を利用する攻撃である。この攻撃では、クラッカーは、攻撃対象のネットワークの特定のホストに対して、比較的短い時間内に多数のＳｙｎ用ＩＰパケットを送信する。そして、それらの各Ｓｙｎ用ＩＰパケットに対して上記特定ホストからＳｙｎ／Ａｃｋ用ＩＰパケットが送信されてきても、Ａｃｋ用ＩＰパケットをその特定ホストに送信しない。このような攻撃がなされたとき、上記特定ホストは、最初に送信されてきたＳｙｎ用ＩＰパケットに対するＳｙｎ／Ａｃｋ用ＩＰパケットを送信した後、所定時間（一般に２分）は、その時間内にＡｃｋ用パケットが送信されてこない限り、そのＡｃｋ用パケットの受信待ち状態となる。そして、この状態で新たなＳｙｎ用パケットが送信されてくる毎に、上記特定ホストは、新たなＳｙｎ用パケットに応じたコネクション開設処理を順番に完結すべくその新たなＳｙｎ用パケットの情報を通信処理用のバッファ領域に蓄積していく。ところが、バッファ領域の大きさには限界があり、該バッファ領域が満杯になると、前記特定ホストは、ＴＣＰの通信処理やＴＣＰ上のサービス処理を行うことができなくなる。これにより、特定ホストがダウンすることとなる。この種の攻撃（Ｓｙｎ−ｆｌｏｏｄ）では、前述のように、比較的短い時間内に、比較的多くのＳｙｎ用ＩＰパケットが攻撃対象のネットワーク内の特定のホスト（特定のＩＰアドレスを有するホスト）に対して送信されてくる。また、これに応じて、当該特定のホストからネットワークの外部に向かって、比較的短い時間内に、多くのＳｙｎ／Ａｃｋ用ＩＰパケットが送信される。さらに、それらのＳｙｎ用ＩＰパケットあるいはＳｙｎ／Ａｃｋ用ＩＰパケットに対応して最終的に前記特定ホストに送信されてくるべきＡｃｋ用パケットがその特定ホストに送信されてこない。そこで、本発明では、前記攻撃検知手段は、取得して保持した前記複数のＩＰパケットのうち、前記ネットワークにその外部から所定時間内に送信されてきたＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）に基づく複数のＳｙｎ用ＩＰパケットであって、少なくともその宛先ＩＰアドレスが互いに同一であるものが所定数以上あり、且つ、その各Ｓｙｎ用ＩＰパケットと同一の送信元ＩＰアドレス及び宛先ＩＰアドレスを有すると共に前記ＴＣＰに基づくＡｃｋ用ＩＰパケットが前記所定時間内に取得されていないとき、第２の種類の前記攻撃がなされたことを検知する。あるいは、前記攻撃検知手段は、取得して保持した前記複数のＩＰパケットのうち、前記ネットワークからその外部に所定時間内に送信されたＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）に基づく複数のＳｙｎ／Ａｃｋ用ＩＰパケットであって、少なくともその送信元ＩＰアドレスがそれぞれ互いに同一であるものが所定数以上あり、且つ、前記ＴＣＰに基づくＡｃｋ用ＩＰパケットであって、前記各Ｓｙｎ／Ａｃｋ用ＩＰパケットの送信元ＩＰアドレス及び宛先ＩＰアドレスとそれぞれ同一の宛先ＩＰアドレス及び送信元ＩＰアドレスを有するものが前記所定時間内に取得されていないとき、第２の種類の前記攻撃がなされたことを検知する。これに���り、Ｓｙｎ−ｆｌｏｏｄといわれる第２の種類の攻撃を確実に検知することができる。次に、クラッカによる第３の種類の攻撃として、一般にＴｅａｒｄｒｏｐと称される種類の攻撃がある。この攻撃は、ＩＰパケットの分轄（所謂ＩＰフラグメント）に係る処理の特性を利用してネットワーク内の特定のホストをダウンさせるものである。すなわち、ＩＰパケットは、インターネット上をルータを介して転送される過程で、各ルータのデータ処理容量の関係上、分轄されることがある。また、各ルータにおいてＩＰパケットが転送される際にエラーが生じることもあり、このような場合には、ルータは、ＩＰパケットの再送信を行う。このため、ＩＰパケットの宛先ＩＰアドレスのホストでは、分轄された一部の同じＩＰパケットが、複数受信されるということもある。このようなことから、ＩＰに基づく通信では、最終的にＩＰパケットを受け取るホスト（宛先ＩＰアドレスのホスト）は、受け取ったＩＰパケットが分轄されたものであるとき、残りの全ての分轄部分のＩＰパケットを受信するまで、各分割部分のＩＰパケットを蓄積保持する。そして、全ての分轄部分のＩＰパケットを受信してから、それらを整理して元のＩＰパケットのデータを復元する処理を行う。前記Ｔｅａｒｄｒｏｐは、このようなＩＰパケットの分轄に係る処理の特性を利用する攻撃である。この攻撃では、クラッカーは、比較的短い時間内に、多数の同じ分轄部分のＩＰパケットを攻撃対象のネットワークの特定のホストに送信した上で、残りの分轄部分のＩＰパケットをその特定ホストに送信する。このような攻撃がなされたとき、上記特定ホストは、最終的に残りの分轄部分のＩＰパケットを受信したときに、そのＩＰパケットと、先に送信されてきた多量の分割部分のＩＰパケットとから元のＩＰパケットのデータを復元しようとする処理を行うため、その処理に長時間を要するものとなる。このため、該特定ホストは、事実上、ダウンしてしまうこととなる。この種の攻撃（Ｔｅａｒｄｒｏｐ）では、前述の如く、比較的短い時間内に、多数の同じ分轄部分のＩＰパケットがネットワーク内の特定のホストに送信されてくる。そこで、本発明では、前記攻撃検知手段は、取得して保持した前記複数のＩＰパケットのうち、前記ネットワークにその外部から所定時間内に送信されてきた複数の分割されたＩＰパケットであって、同一の分割部分が所定数以上あるとき、第３の種類の前記攻撃がなされていることを検知する。これにより、Ｔｅａｒｄｒｏｐといわれる第３の種類の攻撃を確実に検知することができる。次に、クラッカーによる第４の種類の攻撃として、一般にＬａｎｄと称される種類の攻撃がある。この攻撃は、送信元ＩＰアドレス及び宛先ＩＰアドレスが同一であるような、正規にはあり得ないＩＰパケットを、攻撃対象のネットワークの特定のホストに送信する攻撃である。このようなＩＰパケットを送信された特定ホストは、そのＩＰパケットの処理に手間取ることが多く、ダウンしてしまうことがしばしばある。
【０１３】この種の攻撃では、上記の如く、送信元ＩＰアドレス及び宛先ＩＰアドレスが同一であるＩＰパケットが、ネットワーク内の特定のホストに送信される。しかも、一般には、そのようなＩＰパケットが比較的短い時間内に、複数、上記特定ホストに送信される。そこで、本発明では、前記攻撃検知手段は、取得して保持した前記複数のＩＰパケットのうち、前記ネットワークにその外部から所定時間内に送信されてきた複数のＩＰパケットであって、その送信元ＩＰアドレスが宛先ＩＰアドレスと同一のアドレスとなっているものが所定数以上あるとき、第４の種類の前記攻撃がなされていることを検知する。これにより、Ｌａｎｄとわれる第４の種類の攻撃を確実に検知することができる。なお、前述したＳｙｎ−ｆｌｏｏｄ、Ｔｅａｒｄｒｏｐ、Ｌａｎｄといわれる攻撃は、一般に、ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）といわれる種類の攻撃に属するものである。そして、このＤｏＳには、Ｓｙｎ−ｆｌｏｏｄ、Ｔｅａｒｄｒｏｐ、Ｌａｎｄのほかに、例えばＳｍｕｒｆといわれる種類の攻撃や、Ｆｌｏｏｄｉｅといわれる種類の攻撃等もある。本明細書では、ＤｏＳに属する種類の攻撃として、代表的にＳｙｎ−ｆｌｏｏｄ、Ｔｅａｒｄｒｏｐ、Ｌａｎｄを挙げたが、ＳｍｕｒｆやＦｌｏｏｄｉｅ等の攻撃を検知するようにすることも可能である。前述のようにクラッカーによる攻撃を検知する攻撃検知手段を備えた本発明では、前記処理手段が行う処理は、例えば前記攻撃が検知された旨を表す報知出力を発生する処理である。この報知出力の発生により、ネットワーク管理者やあるいは外部の専門技術者等が、検知された攻撃を排除するための処置を施すことが可能となる。あるいは、前記処理手段が行う処理は、前記攻撃検知手段が検知した前記攻撃に係る特定の送信元ＩＰアドレス及び／又は宛先ＩＰアドレスを有するＩＰパケットの前記ネットワークへの進入を、前記攻撃を検知してから所定時間阻止する処理である。」（６頁９欄〜８頁１３欄）
　
ハ．「【０１５】
【発明の実施の形態】  本発明の一実施形態を図１を参照して説明する。図１は本実施形態のシステム構成図である。図１において、１はネットワークとしてのＬＡＮである。このＬＡＮ１は、例えばイーサネット（登録商標）（Ｅｔｈｅｒｎｅｔ（登録商標））を用いて構築されたものであり、図示を省略する複数のホスト（コンピュータ）がイーサネット・ケーブルやハブ等を介して接続されている。各ホストには、それをイーサネット・ケーブルに接続するイーサネット・カードや、ＴＣＰ／ＩＰの処理を行うためのソフトウェア、ＴＣＰ／ＩＰ上で機能する各種アプリケーションソフトウェア（例えば、ｔｅｌｎｅｔ、ｆｔｐ、ｓｍｔｐ等）が実装され、ＩＰに基づく通信を可能としている。なお、ＬＡＮ１は、イーサネット上で構築されたものに限らず、トークンリング等、他の形態で構築されたものであってもよい。本実施形態のシステムでは、ＬＡＮ１の入り口に、パケットフィルタとしてのファイヤウォールの機能をもたせたコンピュータ２（以下、このコンピュータ２を単にファイヤウォール２と称する）が設けられている。そして、ＬＡＮ１はファイヤウォール２を介してインターネット３に接続されている。ファイヤウォール２は、どのような種類のＩＰパケットのＬＡＮ１への進入を禁止するかを規定するデータが書き込まれるファイル（以下、フィルタ設定ファイルという）を有している。そして、ファイヤウォール２は、このフィルタ設定ファイルで、ＬＡＮ１への進入が禁止された種類のＩＰパケットがインターネット３側から送信されてきたときに、そのＩＰパケットを廃棄してＬＡＮ１への進入を阻止する。また、フィルタ設定ファイルで、ＬＡＮ１への進入が禁止されていないＩＰパケットが送信されてきたときには、それをＬＡＮ１に転送する。ファイヤウォール２とインターネット３との間には、ハブ４が介装され、このハブ４に攻撃検知手段の機能をもたせたセンサ５が接続されている。また、このセンサ５には、前記ファイヤウォール２を制御する処理手段の機能を有するディレクタ６が接続されている。これらのセンサ５及びディレクタ６はそれぞれコンピュータにより構成されたものである。前記センサ５は例えばＵＮＩＸマシンにより構成され、イーサネットカード７を介して前記ハブ４に接続されている。この場合、センサ５には、ｔｃｐｄｕｍｐといわれるソフトウェアが実装されている。このｔｃｐｄｕｍｐによって、ハブ４を通る全てのＩＰパケットをイーサネットカード７を介して取得する（ヒアリングする）ことができる。このような動作は、プロミス・キャス・モード（ｐｒｏｍｉｓｅ  ｃａｓｔ  ｍｏｄｅ）といわれることが多い。そして、センサ５は、取得した各ＩＰパケットをその取得時点の時刻データと共に図示しないハードディスクに記憶保持するようにしている。なお、ハードディスクに記憶保持したＩＰパケットの総量が所定の許容量に達したときには、センサ５は、最も古いＩＰパケットを消去し、新たに取得されたＩＰパケットをハードディスクに記憶保持する。また、センサ５は、ＩＰアドレスを持たず、ＡＲＰ（Ａｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）や、ＲＡＲＰ（Ｒｅｖｅｒｓｅ  Ａｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）のパケット等、応答を促すパケットが送信されてきても、それに対する応答をしないようにソフトウェア的に設定されている。つまり、センサ５はＩＰパケットの受信（取り込み）のみを行うことできるものとされている。さらに、センサ５には、前述した第１〜第６の種類の攻撃を検知するためのソフトウェア（以下、攻撃検知アルゴリズム）が実装されている。なお、この攻撃検知アルゴリズムは、ディレクタ６に実装しておき、該ディレクタ６とのデータ授受を行いつつ該攻撃検知アルゴリズムの処理をセンサ５に行わせるようにしてもよい。前記ディレクタ６には、前記ファイヤウォール２を制御するソフトウェア（以下、フィルタ制御アルゴリズムという）が実装されている。この場合、フィルタ制御アルゴリズムは、センサ５により検知される攻撃に応じて、前記フィルタ設定ファイルのデータを適宜書き換えることで、前記ファイヤウォール２を制御するものである。
【０１６】次に、かかる本実施形態の作動を説明する。前記センサ５は、取得されるＩＰパケットを前述の如くハードディスクに記憶保持しつつ、所定のサイクルタイム毎に次のような処理を行う。すなわち、センサ５は、ハードディスクから所定の時間間隔分の複数のＩＰパケットを、送信元ＩＰアドレス及び宛先ＩＰアドレスの値別に分類した上で、図示しないメモリに取り込んで保持する。つまり、所定の時間間隔分の複数のＩＰパケットのうち、同一の送信元ＩＰアドレスを有するものをひとまとめにすると共に、同一の宛先ＩＰアドレスを有すものをひとまとめにして、メモリに取り込む（以下の説明では、このようにひとまとめにされたＩＰパケットの組をＩＰパケット群という）。そして、このメモリに取り込んだ複数のＩＰパケットに対して、後述する攻撃検知の処理を行った上で、それらのＩＰパケットをメモリから消去する。この場合、各サイクルタイムにおいて、メモリに取り込むＩＰパケットは、前回のサイクルタイムでメモリに取り込んだＩＰパケットのうちの最も古いＩＰパケットの取得時刻から所定時間を経過した時刻以後に取得されたものである。各サイクルタイムにおけるセンサ５による攻撃検知の処理は、攻撃検知アルゴリズムに従って次のように行われる。センサ５は、まず、前記第１〜第６の種類の攻撃のうち、例えば、第１の種類の攻撃、すなわちポートスキャンを検知する処理を行う。この処理では、センサ５は、メモリに前述のように取り込んだＩＰパケットのうち、送信元ＩＰアドレスが同一で、且つ該送信元ＩＰアドレスがＬＡＮ１の外部のものである各ＩＰパケット群に対し、その各ＩＰパケット群に含まれるＩＰパケットが有する全ての宛先ＩＰアドレスの値（これはＬＡＮ１に属するＩＰアドレスの値である）を抽出する。そして、上記の各ＩＰパケット群で抽出した宛先ＩＰアドレスの各値に対し、そのＩＰパケット群（同一の送信元ＩＰアドレスのＩＰパケット群）から、該宛先ＩＰアドレスの値と同一の宛先ＩＰアドレスを有し、且つＴＣＰヘッダあるいはＵＤＰヘッダ内の宛先ポート番号が互いに異なり、且つ、連続した所定時間内（例えば３０秒内）に取得されたＩＰパケットの個数をカウントする。このとき、このカウント数が所定数（例えば２０個）に達した場合には、センサ５は、ポートスキャンの攻撃がなされていることを検知する。そして、そのことを示すデータと、この攻撃が検知されたＩＰパケット群の送信元ＩＰアドレスの値データとを（以下、これらのデータを第１種攻撃検知データという）前記ディレクタ６に与える。このような処理が送信元ＩＰアドレスが同一で、且つ該送信元ＩＰアドレスがＬＡＮ１に属さない全てのＩＰパケット群に対し順次行われる。なお、本実施形態におけるポートスキャンの検知では、ポート番号が互いに異なるＩＰパケットの個数をカウントするようにしたが、次のような処理によりポートスキャンを検知するようにしてもよい。すなわち、送信元ＩＰアドレスが同一で、且つ、該送信元ＩＰアドレスがＬＡＮ１外部のものである各ＩＰパケット群に対し、その各ＩＰパケット群に含まれるＩＰパケットが有する全ての宛先ポート番号の値を抽出する。さらに、その抽出した宛先ポート番号の各値に対し、該宛先ポート番号を抽出したＩＰパケット群から、該宛先ポート番号の値と同一の宛先ポート番号を有し、且つ宛先ＩＰアドレスが互いに異なり、且つ、連続した所定時間内に取得されたＩＰパケットの個数をカウントする。そして、そのカウント数が所定数に達した場合にポートスキャンが行われていることを検知する。一方、センサ５から前述のような第１種攻撃検知データを与えられた前記ディレクタ６は、該第１種攻撃検知データに含まれる送信元ＩＰアドレスと同一の送信元ＩＰアドレスを有するＩＰパケットがＬＡＮ１に進入するのを現在から所定時間（例えば５分間）阻止するように前記ファイヤウォール２のフィルタ設定ファイルを書き換える。このとき、ファイヤウォール２は、上記送信元ＩＰアドレスを有するＩＰパケットがインターネット３から送信されてくると、そのＩＰパケットを廃棄し、ＬＡＮ１への進入を阻止する。これにより、ポートスキャンの攻撃からＬＡＮ１が保護される。なお、ディレクタ６は、上記所定時間（５分間）が経過するまでの間に、先に与えられた第１種攻撃検知データと同一の第１種攻撃検知データがセンサ５から再度与えられれば、その時点から上記所定時間（５分間）、該第１種攻撃検知データの送信元ＩＰアドレスからのＩＰパケットのＬＡＮ１への進入を阻止するようにファイヤウォール２を制御する。従って、ポートスキャンの攻撃が続いている限り、その送信元ＩＰアドレスからのＩＰパケットは、ＬＡＮ１に進入することはできない。そして、ディレクタ６は、上記所定時間（５分間）が経過するまでに、前記第１種攻撃検知データが与えられなかった場合には、その第１種攻撃検知データの送信元ＩＰアドレスからのＩＰパケットのＬＡＮ１への進入の阻止を解除する。前述のようにポートスキャンの攻撃の検知処理を行ったセンサ５は、次に、第２の種類の攻撃（Ｓｙｎ−ｆｌｏｏｄ）の検知処理を行う。
【０１７】この処理では、センサ５は、宛先ＩＰアドレスが同一であるＩＰパケット群のうち、ＬＡＮ１に属する宛先ＩＰアドレスの各ＩＰパケット群に対し、該ＩＰパケット群に含まれるＳｙｎ用ＩＰパケットをその取得時刻順に順次抽出する。そして、抽出した各Ｓｙｎ用ＩＰパケットの取得時刻から所定時間（例えば２秒間）内に取得されたＳｙｎ用ＩＰパケットが、同じ宛先ＩＰアドレスのＩＰパケット群内に存在するか否か調べる。そして、そのようなＳｙｎ用ＩＰパケットが存在する場合には、先に抽出したＳｙｎ用ＩＰパケットを含めてそれらのＳｙｎ用ＩＰパケットの個数をカウントする。さらに、そのカウントしたそれぞれのＳｙｎ用ＩＰパケットに対して、それぞれに対応するＡｃｋ用ＩＰパケット（詳しくは該Ｓｙｎ用ＩＰパケットと同一の送信元ＩＰアドレスを有し、且つ、該Ｓｙｎ用ＩＰパケットのＴＣＰヘッダ中のシーケンス番号の次のシーケンス番号を有するＡｃｋ用ＩＰパケット）であって、且つ該Ｓｙｎ用ＩＰパケットの取得時刻から上記所定時間（２秒間）内に取得されたものが、同じ宛先ＩＰアドレスのＩＰパケット群内に存在するか否かを調べる。このとき、そのようなＡｃｋ用ＩＰパケットが存在する場合には、その都度、上記のカウント数を「１」づつ減少させる。そして、最終的に、対応するＡｃｋ用ＩＰパケットの存在を調べ終わったときに上記のカウント数が所定数（例えば１６個）以上である場合には、Ｓｙｎ−ｆｌｏｏｄの攻撃がなされていることを検知し、そのことを示すデータと、この攻撃が検知されたＳｙｎ用ＩＰパケットの送信元ＩＰアドレスの値データ及び宛先ＩＰアドレスの値データとを（以下、これらのデータを第２種攻撃検知データという）前記ディレクタ６に与える。このような処理が宛先ＩＰアドレスが同一で、且つ該宛先ＩＰアドレスがＬＡＮ１に属する全てのＩＰパケット群に対して順次行われる。なお、本実施形態では、Ｓｙｎ用ＩＰパケットの個数に基づいてＳｙｎ−ｆｌｏｏｄを検知したが、次のような処理によりＳｙｎ−ｆｌｏｏｄを検知するようにしてもよい。すなわち、送信元ＩＰアドレスが同一で且つ、該送信元ＩＰアドレスがＬＡＮ１に属する各ＩＰパケット群に対し、該ＩＰパケット群に含まれるＳｙｎ／Ａｃｋ用ＩＰパケットをその取得時刻順に順次抽出する。そして、抽出した各Ｓｙｎ／Ａｃｋ用ＩＰパケットの取得時刻から所定時間（例えば２秒間）内に取得されたＳｙｎ／Ａｃｋ用ＩＰパケットが、同じ送信元ＩＰアドレスのＩＰパケット群内に存在するか否か調べる。このとき、そのようなＳｙｎ／Ａｃｋ用ＩＰパケットが存在する場合には、先に抽出したＳｙｎ／Ａｃｋ用ＩＰパケットを含めてそれらのＳｙｎ／Ａｃｋ用ＩＰパケットの個数をカウントする。さらに、そのカウントしたそれぞれのＳｙｎ／Ａｃｋ用ＩＰパケットに対して、該Ｓｙｎ／Ａｃｋ用ＩＰパケットの送信元ＩＰアドレスと同一の宛先ＩＰアドレスのＩＰパケット群を調べる。このとき、該Ｓｙｎ／Ａｃｋ用ＩＰパケットに対応するＡｃｋ用ＩＰパケット（詳しくは該Ｓｙｎ／Ａｃｋ用ＩＰパケットの送信元ＩＰアドレスと同一の宛先ＩＰアドレスを有し、且つ、該Ｓｙｎ／Ａｃｋ用ＩＰパケットのＴＣＰヘッダ中のシーケンス番号の次のＡｃｋ番号を有するＡｃｋ用ＩＰパケット）であって、且つ該Ｓｙｎ／Ａｃｋ用ＩＰパケットの取得時刻から上記所定時間（２秒間）内に取得されたものが、当該ＩＰパケット群内に存在するか否かを調べる。そして、そのようなＡｃｋ用パケットが存在する場合には、その都度、上記のカウント数を「１」づつ減少させる。そして、最終的に、対応するＡｃｋ用ＩＰパケットの存在を調べ終わったときに上記のカウント数が所定数（例えば１６個）以上である場合には、Ｓｙｎ−ｆｌｏｏｄの攻撃がなされていることを検知する。
【０１８】なお、この場合にセンサ５からディレクタ６に与えるデータは、Ｓｙｎ−ｆｌｏｏｄの攻撃を検知したことを示すデータと、上記Ｓｙｎ／Ａｃｋ用ＩＰパケットの送信元ＩＰアドレスの値データ及び宛先ＩＰアドレスの値データである。この場合、Ｓｙｎ／Ａｃｋ用ＩＰパケットの送信元ＩＰアドレスの値データ及び宛先ＩＰアドレスの値データは、それぞれ、先に説明した前記第２種攻撃検知データにおけるＳｙｎ用ＩＰパケット宛先ＩＰアドレスの値データ、送信元ＩＰアドレスの値データに相当するものである。一方、センサ５から前述のような第２種攻撃検知データを与えられた前記ディレクタ６は、該第２種攻撃検知データに含まれる送信元ＩＰアドレスと同一の送信元ＩＰアドレスを有するＩＰパケットがＬＡＮ１に進入するのを現在から所定時間（例えば２分間）阻止するように前記ファイヤウォール２のフィルタ設定ファイルを書き換える。同時に、ディレクタ６は、第２種攻撃検知データに含まれる宛先ＩＰアドレスと同一の宛先ＩＰアドレスを有するＩＰパケットがＬＡＮ１に進入するのを現在から所定時間（例えば２秒間）阻止するようにファイヤウォール２のフィルタ設定ファイルを書き換える。このとき、ファイヤウォール２は、上記送信元ＩＰアドレスを有するＩＰパケット、あるいは上記宛先ＩＰアドレスを有するＩＰパケットがインターネット３から送信されてくると、そのＩＰパケットを廃棄し、ＬＡＮ１への進入を阻止する。これにより、Ｓｙｎ−ｆｌｏｏｄの攻撃からＬＡＮ１が保護されると共に、この攻撃の対象とされていたＩＰアドレスのホストがダウンせずに正常状態に復帰することができる。なお、ポートスキャンの検知時の場合と同様、ディレクタ６は、第２種攻撃検知データにおける送信元ＩＰアドレスを有するＩＰパケットの排除に係る上記所定時間（２分間）が経過するまでの間に、先に与えられた第２種攻撃検知データと同一の第２種攻撃検知データがセンサ５から再度与えられれば、その時点から上記所定時間（２分間）、該第２種攻撃検知データの送信元ＩＰアドレスからのＩＰパケットのＬＡＮ１への進入を阻止するようにファイヤウォール２を制御する。このことは、第２種攻撃検知データにおける宛先ＩＰアドレスを有するＩＰパケットの排除についても同様である。従って、Ｓｙｎ−ｆｌｏｏｄの攻撃が続いている限り、その攻撃に係る送信元ＩＰアドレスからのＩＰパケット、あるいはその攻撃に係る宛先ＩＰアドレスへのＩＰパケットは、ＬＡＮ１に進入することはできない。そして、ディレクタ６は、第２種攻撃検知データにおける送信元ＩＰアドレスを有するＩＰパケットの排除と、第２種攻撃検知データにおける宛先ＩＰアドレスを有するＩＰパケットの排除とのいずれについても、それぞれに対応する上記所定時間（２分間、２秒間）が経過するまでに、前記第２種攻撃検知データが与えられなかった場合には、その第２種攻撃検知データの送信元ＩＰアドレスを有するＩＰパケット、あるいは、第２種攻撃検知データの宛先ＩＰアドレスを有するＩＰパケットのＬＡＮ１への進入の阻止を解除する。前述のようにＳｙｎ−ｆｌｏｏｄの攻撃の検知処理を行ったセンサ５は、次に、第３の種類の攻撃（Ｔｅａｒｄｒｏｐ）の検知処理を行う。この処理では、センサ５は、宛先ＩＰアドレスが同一であるＩＰパケット群のうち、ＬＡＮ１に属する宛先ＩＰアドレスの各ＩＰパケット群に対し、該ＩＰパケット群に含まれる分轄されたＩＰパケット（以下、単に、分轄パケットという）を順次抽出する。この場合、ＩＰでは、分轄パケットは、そのＩＰヘッダ中の特定のフラグが「１」となっているか、もしくは、フラグメントオフセットといわれるデータが「０」より大きな値となっている。これにより、分轄パケットを見出すことができる。そして、センサ５は、抽出した各分轄パケットの取得時刻から所定時間（例えば５分間）内に取得され、且つ、該分轄パケットとＩＰヘッダ中のＩＰ識別番号及びフラグメントオフセットの値がそれぞれ同一であるもの（抽出した分轄パケットと同一の分轄パケット）が、該分轄パケットと同じＩＰパケット群内にあるかを調べる。このとき、そのような分轄パケットがある場合には、先に抽出した分轄パケットを含めてそれらの分轄パケットの個数をカウントする。そして、このカウント数が所定数（例えば８０個）以上である場合には、Ｔｅａｒｄｒｏｐの攻撃がなされていることを検知し、そのことを示すデータと、この攻撃が検知された分轄パケットの送信元ＩＰアドレスの値データ及び宛先ＩＰアドレスの値データとを（以下、これらのデータを第３種攻撃検知データという）前記ディレクタ６に与える。このような処理が宛先ＩＰアドレスが同一で、且つ該宛先ＩＰアドレスがＬＡＮ１に属する全てのＩＰパケット群に対して順次行われる。一方、センサ５から前述のような第３種攻撃検知データを与えられた前記ディレクタ６は、前記Ｓｙｎ−ｆｌｏｏｄが検知された場合と全く同じやり方で、ファイヤーウォール制御する。すなわち、第３種攻撃検知データに含まれる送信元ＩＰアドレスと同一の送信元ＩＰアドレスを有するＩＰパケットがＬＡＮ１に進入するのを現在から所定時間（２分間）阻止するように前記ファイヤウォール２のフィルタ設定ファイルを書き換える。同時に、第３種攻撃検知データに含まれる宛先ＩＰアドレスと同一の宛先ＩＰアドレスを有するＩＰパケットがＬＡＮ１に進入するのを現在から所定時間（２秒間）阻止するようにファイヤウォール２のフィルタ設定ファイルを書き換える。これにより、Ｔｅａｒｄｒｏｐの攻撃からＬＡＮ１が保護されると共に、この攻撃の対象とされていたＩＰアドレスのホストがダウンせずに正常状態に復帰することができる。
【０１９】上記のようにＴｅａｒｄｒｏｐの攻撃の検知処理を行ったセンサ５は、次に、第４の種類の攻撃（Ｌａｎｄ）の検知処理を行う。この処理では、センサ５は、宛先ＩＰアドレスが同一であるＩＰパケット群のうち、ＬＡＮ１に属する宛先ＩＰアドレスの各ＩＰパケット群から、該ＩＰパケット群の宛先ＩＰアドレスと同じ値の送信元ＩＰアドレスを有するＩＰパケットを抽出する。さらに、その抽出したＩＰパケットと同じ宛先ＩＰアドレスのＩＰパケット群の中から、該ＩＰパケットと同じ送信元ＩＰアドレスを有し、且つ該ＩＰパケットの取得時刻から所定時間（例えば２分間）内に取得されたＩＰパケットが存在するか否かを調べる。そして、そのようなＩＰパケットが存在する場合には、先に抽出したＩＰパケットを含めてそれらのＩＰパケットの該ＩＰパケットの個数をカウントする。このとき、該カウント数が所定数（例えば６個）以上である場合には、Ｌａｎｄの攻撃がなされていることを検知し、そのことを示すデータと、この攻撃が検知されたＩＰパケットの送信元ＩＰアドレスの値データを（以下、これらのデータを第４種攻撃検知データという）前記ディレクタ６に与える。このような処理が宛先ＩＰアドレスが同一で、且つ該宛先ＩＰアドレスがＬＡＮ１に属する全てのＩＰパケット群に対して順次行われる。一方、センサ５から前述のような第４種攻撃検知データを与えられた前記ディレクタ６は、第４種攻撃検知データに含まれる送信元ＩＰアドレスと同一の送信元ＩＰアドレスを有し、且つ、該送信元ＩＰアドレスと同一の宛先ＩＰアドレスを有するＩＰパケットがＬＡＮ１に進入するのを現在から所定時間（例えば３分間）阻止するように前記ファイヤウォール２のフィルタ設定ファイルを書き換える。このとき、ファイヤウォール２は、上記送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットがインターネット３から送信されてくると、そのＩＰパケットを廃棄し、ＬＡＮ１への進入を阻止する。これにより、Ｌａｎｄの攻撃からＬＡＮ１が保護される。この場合、ポートスキャンの検知時の場合と同様、ディレクタ６は、第４種攻撃検知データにおける送信元ＩＰアドレスと同一の送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットの排除に係る上記所定時間（６分間）が経過するまでの間に、先に与えられた第４種攻撃検知データと同一の第４種攻撃検知データがセンサ５から再度与えられれば、その時点から上記所定時間（６分間）、該第４種攻撃検知データの送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットのＬＡＮ１への進入を阻止するようにファイヤウォール２を制御する。従って、Ｌａｎｄの攻撃が続いている限り、その攻撃に係る送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットは、ＬＡＮ１に進入することはできない。そして、ディレクタ６は、上記所定時間（６分間）が経過するまでに、前記第４種攻撃検知データが与えられなかった場合には、その第４種攻撃検知データの送信元ＩＰアドレスと同一の送信元ＩＰアドレス及び宛先ＩＰアドレス有するＩＰパケットのＬＡＮ１への進入の阻止を解除する。なお、本実施形態では、第４種攻撃検知データとして、Ｌａｎｄの攻撃に係るＩＰパケットの送信元ＩＰアドレスの値データをディレクタ６に与えるようにしたが、Ｌａｎｄの攻撃に係るＩＰパケットの送信元ＩＰアドレスと、宛先ＩＰアドレスとは同じ値である。従って、その送信元ＩＰアドレスの値データの代わりに、宛先ＩＰアドレスの値をディレクタ６に与えてもよいことはもちろんである。前述のように、Ｌａｎｄの攻撃の検知処理を行ったセンサ５は、次に第５の種類の攻撃（パスワードの獲得）を検知する処理を行う。この処理では、センサ５は、宛先ＩＰアドレスが同一であるＩＰパケット群のうち、ＬＡＮ１に属する宛先ＩＰアドレスの各ＩＰパケット群に対し、ＬＡＮ１のホストのユーザ名データ及びパスワードデータを含むＩＰパケットを抽出する。それらの抽出したＩＰパケットの中から、ユーザ名データが同一で、且つ、パスワードデータが互いに異なり、且つ、連続した所定時間（例えば２分間）内に取得されたＩＰパケットの個数をカウントする。このとき、このカウント数が所定数（例えば２０個）以上であれば、クラッカーがパスワードを獲得するための第５の種類の攻撃がなされていることを検知し、そのことを示すデータと、この攻撃が検知されたＩＰパケットの送信元ＩＰアドレスの値データ及び宛先ＩＰアドレスの値データとを（以下、これらのデータを第５種攻撃検知データという）前記ディレクタ６に与える。このような処理が宛先ＩＰアドレスが同一で、且つ該宛先ＩＰアドレスがＬＡＮ１に属する全てのＩＰパケット群に対して順次行われる。一方、センサ５から前述のような第５種攻撃検知データを与えられた前記ディレクタ６は、該第５種攻撃検知データの送信元ＩＰアドレス及び宛先ＩＰアドレスとそれぞれ同一の送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットがＬＡＮ１に進入するのを現在から所定時間（例えば１時間）阻止するように前記ファイヤウォール２のフィルタ設定ファイルを書き換える。このとき、ファイヤウォール２は、上記送信元ＩＰアドレス及びＩＰアドレスを有するＩＰパケットがインターネット３から送信されてくると、そのＩＰパケットを廃棄し、ＬＡＮ１への進入を阻止する。これにより、パスワードの獲得を狙った第５の種類の攻撃からＬＡＮ１が保護される。
【０２０】なお、ポートスキャンの検知時の場合と同様、ディレクタ６は、第５種攻撃検知データにおける送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットの排除に係る上記所定時間（１時間）が経過するまでの間に、先に与えられた第５種攻撃検知データと同一の第５種攻撃検知データがセンサ５から再度与えられれば、その時点から上記所定時間（１時間）、該第５種攻撃検知データの送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットのＬＡＮ１への進入を阻止するようにファイヤウォール２を制御する。従って、第５の種類の攻撃が続いている限り、その攻撃に係る送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットは、ＬＡＮ１に進入することはできない。そして、ディレクタ６は、上記所定時間（１時間）が経過するまでに、前記第５種攻撃検知データが与えられなかった場合には、その第５種攻撃検知データの送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットのＬＡＮ１への進入の阻止を解除する。前述のように、第５の種類の攻撃の検知処理を行ったセンサ５は、次に第６の種類の攻撃（セキュリティホールの攻撃）を検知する処理を行う。この処理では、センサ５は、宛先ＩＰアドレスが同一であるＩＰパケット群のうち、ＬＡＮ１に属する宛先ＩＰアドレスの各ＩＰパケット群に対し、例えばプリンタの論理名である「Ｉｐｒ」を有し、且つ、データサイズが１２８文字以上であるＩＰパケットを検索する。そして、そのようなＩＰパケットが見つかった場合には、ＬＡＮ１のホストのスルーホールを攻撃する第６の種類の攻撃がなされていることを検知し、そのことを示すデータと、この攻撃が検知されたＩＰパケットの送信元ＩＰアドレスの値データ及び宛先ＩＰアドレスの値データとを（以下、これらのデータを第６種攻撃検知データという）前記ディレクタ６に与える。一方、センサ５から前述のような第６種攻撃検知データを与えられた前記ディレクタ６は、該第６種攻撃検知データの送信元ＩＰアドレス及び宛先ＩＰアドレスとそれぞれ同一の送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットがＬＡＮ１に進入するのを現在から所定時間（例えば４時間）阻止するように前記ファイヤウォール２のフィルタ設定ファイルを書き換える。このとき、ファイヤウォール２は、上記送信元ＩＰアドレス及びＩＰアドレスを有するＩＰパケットがインターネット３から送信されてくると、そのＩＰパケットを廃棄し、ＬＡＮ１への進入を阻止する。これにより、ＬＡＮ１のホストのスルーホールを攻撃する第６の種類の攻撃からＬＡＮ１が保護される。なお、ポートスキャンの検知時の場合と同様、ディレクタ６は、第６種攻撃検知データにおける送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットの排除に係る上記所定時間（４時間）が経過するまでの間に、先に与えられた第６種攻撃検知データと同一の第５種攻撃検知データがセンサ５から再度与えられれば、その時点から上記所定時間（４時間）、該第６種攻撃検知データの送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットのＬＡＮ１への進入を阻止するようにファイヤウォール２を制御する。従って、第６の種類の攻撃が続いている限り、その攻撃に係る送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットは、ＬＡＮ１に進入することはできない。そして、ディレクタ６は、上記所定時間（４時間）が経過するまでに、前記第６種攻撃検知データが与えられなかった場合には、その第５種攻撃検知データの送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットＩＰパケットのＬＡＮ１への進入の阻止を解除する。以上説明したようにして、本実施形態のシステムによれば、センサ５や、ディレクタ６を導入するだけで、クラッカーによるＬＡＮ１への各種の攻撃をリアルタイムで検知しつつ、検知された攻撃からＬＡＮ１を保護する適正な処置を自動的に迅速に施すことができる。このため、ネットワーク管理者等は、クラッカーによる攻撃を考慮してＬＡＮ１を構築したり、頻繁にログファイルを参照したりする労力が大幅に削減され、ひいては、ＬＡＮ１の維持管理のコストを低減することができる。また、クラッカーによる各種攻撃をリアルタイムで検知できることから、攻撃が検知されない状況では、ＬＡＮ１と外部との通信を格別に制限する必要性が少なくなる。このため、通常時は、ＬＡＮ１の通信の自由度を高めることができ、インターネット３上の情報資源を有用に活用することができる。なお、以上説明した実施形態では、ＬＡＮ１の入り口にファイヤウォール３を設けておき、クラッカーによる攻撃が検知されてとき、該ファイヤウォール３を制御することで、検知された攻撃を自動的に排除する処置を行った。但し、クラッカーによる攻撃が検知されたときに、単に、その旨の報知をネットワーク管理者や、専門の警備管理者等に行うようにしてもよい。この場合には、例えば前記ディレクタ６あるいはセンサ５を公衆回線や専用回線を介してネットワーク管理者や、警備管理者等のホストに接続しておく。そして、攻撃が検知された場合に、前述した第１乃至第６種攻撃検知データのような情報をネットワーク管理者や警備管理者等のホストにディレクタ６あるいはセンサ５から送信する。このようにしたときには、検知された攻撃からＬＡＮ１を保護するための具体的な処置は、ネットワーク管理者等が直接的に行うこととなる。しかるに、この場合であっても、ネットワーク管理者等は、上記の報知を受けたときに処置を施せばよく、しかも攻撃の種類は検知されるので、攻撃に対する処置を比較的容易に施すことができる。また、前記実施形態では、第１乃至第６の種類の攻撃を順番に検知するものを示したが、それらの攻撃の検知処理を並列的に行うようにすることも可能である。また、前記実施形態では、前述したＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）に属する攻撃のうち、Ｓｙｎ−ｆｌｏｏｄ、Ｔｅａｒｄｒｏｐ、Ｌａｎｄを検知するものを示した。但し、この他にも、ＤＤｏＳ（ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）ＳｍｕｒｆやＦｌｏｏｄｉｅといわれるような攻撃を検知するようにすることも可能である。」（８頁１４欄〜１３頁２４欄）
　
　上記引用例の記載及び図面ならびにこの分野における技術常識を考慮すると、上記摘記事項イ．、ハ．の【０１５】の記載、及び図１によれば、システムは、ＬＡＮ（１）及びインターネット（３）を介し通信するように構成されるファイヤウォール（２）、センサ（５）、及びディレクタ（６）を備えている。
　また、上記摘記事項ハ．の【０１６】における「第１の種類の攻撃、すなわちポートスキャンを検知する処理を行う。この処理では、センサ５は、メモリに前述のように取り込んだＩＰパケットのうち、送信元ＩＰアドレスが同一で、且つ該送信元ＩＰアドレスがＬＡＮ１の外部のものである各ＩＰパケット群に対し、その各ＩＰパケット群に含まれるＩＰパケットが有する全ての宛先ＩＰアドレスの値（これはＬＡＮ１に属するＩＰアドレスの値である）を抽出する。そして、上記の各ＩＰパケット群で抽出した宛先ＩＰアドレスの各値に対し、そのＩＰパケット群（同一の送信元ＩＰアドレスのＩＰパケット群）から、該宛先ＩＰアドレスの値と同一の宛先ＩＰアドレスを有し、且つＴＣＰヘッダあるいはＵＤＰヘッダ内の宛先ポート番号が互いに異なり、且つ、連続した所定時間内（例えば３０秒内）に取得されたＩＰパケットの個数をカウントする。このとき、このカウント数が所定数（例えば２０個）に達した場合には、センサ５は、ポートスキャンの攻撃がなされていることを検知する。」との記載によれば、「そのＩＰパケット群（同一の送信元ＩＰアドレスのＩＰパケット群）から、該宛先ＩＰアドレスの値と同一の宛先ＩＰアドレスを有し、且つＴＣＰヘッダあるいはＵＤＰヘッダ内の宛先ポート番号が互いに異なり、且つ、連続した所定時間内（例えば３０秒内）に取得されたＩＰパケットの個数をカウントする。このとき、このカウント数が所定数（例えば２０個）に達した場合」に、その様なＩＰパケット群のＩＰパケットを特定するための検知規則は、これを第１の種類の攻撃（ポートスキャン）ルールということができる。
　また、上記摘記事項ハ．の【０１７】における「宛先ＩＰアドレスが同一であるＩＰパケット群のうち、ＬＡＮ１に属する宛先ＩＰアドレスの各ＩＰパケット群に対し、該ＩＰパケット群に含まれるＳｙｎ用ＩＰパケットをその取得時刻順に順次抽出する。そして、抽出した各Ｓｙｎ用ＩＰパケットの取得時刻から所定時間（例えば２秒間）内に取得されたＳｙｎ用ＩＰパケットが、同じ宛先ＩＰアドレスのＩＰパケット群内に存在するか否か調べる。そして、そのようなＳｙｎ用ＩＰパケットが存在する場合には、先に抽出したＳｙｎ用ＩＰパケットを含めてそれらのＳｙｎ用ＩＰパケットの個数をカウントする。さらに、そのカウントしたそれぞれのＳｙｎ用ＩＰパケットに対して、それぞれに対応するＡｃｋ用ＩＰパケット（詳しくは該Ｓｙｎ用ＩＰパケットと同一の送信元ＩＰアドレスを有し、且つ、該Ｓｙｎ用ＩＰパケットのＴＣＰヘッダ中のシーケンス番号の次のシーケンス番号を有するＡｃｋ用ＩＰパケット）であって、且つ該Ｓｙｎ用ＩＰパケットの取得時刻から上記所定時間（２秒間）内に取得されたものが、同じ宛先ＩＰアドレスのＩＰパケット群内に存在するか否かを調べる。このとき、そのようなＡｃｋ用ＩＰパケットが存在する場合には、その都度、上記のカウント数を「１」づつ減少させる。そして、最終的に、対応するＡｃｋ用ＩＰパケットの存在を調べ終わったときに上記のカウント数が所定数（例えば１６個）以上である場合には、Ｓｙｎ−ｆｌｏｏｄの攻撃がなされていることを検知し」との記載によれば、その様なＩＰパケット群のＩＰパケットを特定するための検知規則は、これを第２の種類の攻撃（Ｓｙｎ−ｆｌｏｏｄ）ルールということができる。
　また、上記摘記事項ハ．の【０１８】における「宛先ＩＰアドレスが同一であるＩＰパケット群のうち、ＬＡＮ１に属する宛先ＩＰアドレスの各ＩＰパケット群に対し、該ＩＰパケット群に含まれる分轄されたＩＰパケット（以下、単に、分轄パケットという）を順次抽出する。この場合、ＩＰでは、分轄パケットは、そのＩＰヘッダ中の特定のフラグが「１」となっているか、もしくは、フラグメントオフセットといわれるデータが「０」より大きな値となっている。これにより、分轄パケットを見出すことができる。そして、センサ５は、抽出した各分轄パケットの取得時刻から所定時間（例えば５分間）内に取得され、且つ、該分轄パケットとＩＰヘッダ中のＩＰ識別番号及びフラグメントオフセットの値がそれぞれ同一であるもの（抽出した分轄パケットと同一の分轄パケット）が、該分轄パケットと同じＩＰパケット群内にあるかを調べる。このとき、そのような分轄パケットがある場合には、先に抽出した分轄パケットを含めてそれらの分轄パケットの個数をカウントする。そして、このカウント数が所定数（例えば８０個）以上である場合には、Ｔｅａｒｄｒｏｐの攻撃がなされていることを検知し」との記載によれば、その様なＩＰパケット群のＩＰパケットを特定する検知規則は、これを第３の種類の攻撃（Ｔｅａｒｄｒｏｐ）ルールということができる。
　また、上記摘記事項ハ．の【０１９】における「宛先ＩＰアドレスが同一であるＩＰパケット群のうち、ＬＡＮ１に属する宛先ＩＰアドレスの各ＩＰパケット群から、該ＩＰパケット群の宛先ＩＰアドレスと同じ値の送信元ＩＰアドレスを有するＩＰパケットを抽出する。さらに、その抽出したＩＰパケットと同じ宛先ＩＰアドレスのＩＰパケット群の中から、該ＩＰパケットと同じ送信元ＩＰアドレスを有し、且つ該ＩＰパケットの取得時刻から所定時間（例えば２分間）内に取得されたＩＰパケットが存在するか否かを調べる。そして、そのようなＩＰパケットが存在する場合には、先に抽出したＩＰパケットを含めてそれらのＩＰパケットの該ＩＰパケットの個数をカウントする。このとき、該カウント数が所定数（例えば６個）以上である場合には、Ｌａｎｄの攻撃がなされていることを検知し」との記載によれば、その様なＩＰパケット群のＩＰパケットを特定する検知規則は、これを第４の種類の攻撃（Ｌａｎｄ）ルールということができる。
　また、上記摘記事項ハ．の【０１９】における「宛先ＩＰアドレスが同一であるＩＰパケット群のうち、ＬＡＮ１に属する宛先ＩＰアドレスの各ＩＰパケット群に対し、ＬＡＮ１のホストのユーザ名データ及びパスワードデータを含むＩＰパケットを抽出する。それらの抽出したＩＰパケットの中から、ユーザ名データが同一で、且つ、パスワードデータが互いに異なり、且つ、連続した所定時間（例えば２分間）内に取得されたＩＰパケットの個数をカウントする。このとき、このカウント数が所定数（例えば２０個）以上であれば、クラッカーがパスワードを獲得するための第５の種類の攻撃がなされていることを検知し」との記載によれば、その様なＩＰパケット群のＩＰパケットを特定するための検知規則は、これを第５の種類の攻撃（パスワードを獲得）ルールということができる。
　また、上記摘記事項ハ．の【０２０】における「宛先ＩＰアドレスが同一であるＩＰパケット群のうち、ＬＡＮ１に属する宛先ＩＰアドレスの各ＩＰパケット群に対し、例えばプリンタの論理名である「Ｉｐｒ」を有し、且つ、データサイズが１２８文字以上であるＩＰパケットを検索する。そして、そのようなＩＰパケットが見つかった場合には、ＬＡＮ１のホストのスルーホールを攻撃する第６の種類の攻撃がなされていることを検知し」との記載によれば、その様なＩＰパケット群のＩＰパケットを特定するための検知規則は、これを第６の種類の攻撃（セキュリティホールの攻撃）ルールということができる。
　また、上記摘記事項ロ．の【０１３】における「前述のようにクラッカーによる攻撃を検知する攻撃検知手段を備えた本発明では、前記処理手段が行う処理は、例えば前記攻撃が検知された旨を表す報知出力を発生する処理である。この報知出力の発生により、ネットワーク管理者やあるいは外部の専門技術者等が、検知された攻撃を排除するための処置を施すことが可能となる。」との記載によれば、システムは、前述の第１の種類の攻撃（ポートスキャン）乃至第６の種類の攻撃（セキュリティホールの攻撃）の検知を示すように、ネットワーク管理者が識別可能な報知出力を発生している。ここで、前述の第１の種類の攻撃（ポートスキャン）乃至第６の種類の攻撃（セキュリティホールの攻撃）が検知されるためには、ＩＰパケット群の前述のＩＰパケットが所定数を超えることが必要である。
　また、前述の第１の種類の攻撃（ポートスキャン）ルール乃至第６の種類の攻撃（セキュリティホールの攻撃）ルールは、これらを纏めて、ルールセットということができる。
　したがって、引用例には以下の発明（以下、「引用発明」という。）が記載されている。
　
　「ＬＡＮ（１）及びインターネット（３）を介し通信するように構成されるシステムであって、
　ＩＰパケットを特定するためのルールセットであって、ルールセットを含むセンサ（５）と、
　ＩＰパケット群の前記ＩＰパケットが所定数を超えたことを示すようネットワーク管理者が識別可能な報知出力と、
を有するシステム。」
　
第４　対比
　本願発明と引用発明とを対比する。
ａ．引用発明の「ＬＡＮ（１）及びインターネット（３）」は、本願発明の「ネットワーク」に相当する。
ｂ．引用発明の「ＩＰパケット」と、本願発明の「不適切な動作に関係するパケット」とは、いずれも、「特定のパケット」という点で一致する。
ｃ．引用発明の「センサ（５）」と、本願発明の「ファイアウォール」とは、いずれも、「処理手段」という点で一致する。
ｄ．引用発明の「ＩＰパケット群」と、本願発明の「前記不適切な動作に関係するパケットのグループ」とは、上記ｂ．の対比を考慮すれば、いずれも、「特定のパケットの集合」という点で一致する。
ｅ．引用発明の「前記ＩＰパケットが所定数」と、本願発明の「不適切さの閾値レベル」とは、いずれも、「特定の基準値」という点で一致する。
ｆ．引用発明の「ネットワーク管理者が識別可能な報知出力」は、ネットワーク管理者は、ユーザに含まれ、また、報知出力は、標識（indicator）の一種であるから、「ユーザ識別可能な標識」ということができる。
ｇ．引用発明の「システム」は、「装置」である。
　
　したがって、本願発明と引用発明は、以下の点で一致ないし相違する。
　
＜一致点＞
　「ネットワークを介し通信するよう構成される装置であって、
　特定のパケットを特定するためのルールセットであって、ルールセットを含む処理手段と、
　特定のパケットの集合が特定の基準値を超えたことを示すよう少なくとも１つのユーザ識別可能な標識と、
を有する装置。」
　
＜相違点１＞
　「特定のパケット」に関し、
　本願発明は、「不適切な動作に関係するパケット」であるのに対し、引用発明は、「ＩＰパケット」である点。
　
＜相違点２＞
　「ルールセット」に関し、
　本願発明は、「該ルールセットの各ルールが不適切さのレベルを示す複数のクラスに分割される」ものであるのに対し、引用発明は、「該ルールセットの各ルールが不適切さのレベルを示す複数のクラスに分割される」ものであるか不明な点。
　
＜相違点３＞
　「処理手段」に関し、
　本願発明は、「ファイアウォール」であるのに対し、引用発明は、「センサ（５）」である点。
　
＜相違点４＞
　「標識」に関し、
　本願発明は、「前記ファイアウォールに関連付けされ」ているのに対し、引用発明は、「前記ファイアウォールに関連付けされ」ていない点。
　
＜相違点５＞
　「特定のパケットの集合」に関し、
　本願発明は、「前記不適切な動作に関係するパケットのグループ」であるのに対し、引用発明は、「ＩＰパケット群」である点。
　
＜相違点６＞
　「特定の基準値」に関し、
　本願発明は、「前記ルールセットの複数のクラスの少なくとも１つのクラスに係る不適切さの閾値レベル」であるのに対し、引用発明は、「前記ＩＰパケットが所定数」である点。
　
＜相違点７＞
　「標識」に関し、
　本願発明は、「同時的に」示すよう「トリガーされる」少なくとも１つのユーザ識別可能な標識であるのに対し、引用発明は、「ネットワーク管理者が識別可能な報知出力」（少なくとも１つのユーザ識別可能な標識）であるものの、「同時的に」示すよう「トリガーされる」ものか不明な点。
　
第５　判断
　そこで、まず、上記相違点１について検討する。
　引用発明は、「ＩＰパケット」であるところ、これを特定するための「ルールセット」は、第１の種類の攻撃（ポートスキャン）ルール乃至第６の種類の攻撃（セキュリティホールの攻撃）ルールであり、また、第１の種類の攻撃（ポートスキャン）乃至第６の種類の攻撃（セキュリティホールの攻撃）は、不適切な動作（activity）ということができるから、引用発明の「ＩＰパケット」を、本願発明のように「不適切な動作に関係するパケット」ということができることは当然である。
　
　次に、上記相違点２について検討する。
　引用発明の「ルールセット」は、第１の種類の攻撃（ポートスキャン）ルール乃至第６の種類の攻撃（セキュリティホールの攻撃）ルールであるところ、上記引用例の上記摘記事項ロ．の【０１１】における「クラッカーによる第１の種類の攻撃として、一般にポートスキャン（Ｐｏｒｔ  Ｓｃａｎ）と言われる種類の攻撃がある。この攻撃は、ネットワークに直接的な損害を及ぼすものではないが、その前段階の攻撃として用いられることが多い。」との記載、及び【０１３】における「前述したＳｙｎ−ｆｌｏｏｄ、Ｔｅａｒｄｒｏｐ、Ｌａｎｄといわれる攻撃は、一般に、ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）といわれる種類の攻撃に属するものである。」との記載によれば、第１の種類の攻撃（ポートスキャン）ルール乃至第６の種類の攻撃（セキュリティホールの攻撃）ルールは、前段階の攻撃（第１レベル）、ＤｏＳ攻撃（第２レベル）、及びその他の攻撃（第３レベル）に分けられ、それぞれが不適切さのレベルを示す複数のクラスということができるから、引用発明の「ルールセット」を、本願発明のように「該ルールセットの各ルールが不適切さのレベルを示す複数のクラスに分割される」ものということができることは当然である。
　また、通信の不適切な動作（activity）において、不適切さのレベルを示す複数のクラスに分割することは、例えば、楠　正宏、あなたのＰＣは狙われているクラック防御入門前編、ＤＯＳ／Ｖ　ｍａｇａｚｉｎｅ　第８巻　第１号、ソフトバンク株式会社、１９９９年１月１日、p.２６６−２７７（２６８頁、図１）に開示されるように周知であるから、引用発明の「ルールセット」に周知技術を付加して、本願発明のように「該ルールセットの各ルールが不適切さのレベルを示す複数のクラスに分割される」ものとすることは当業者が容易に成し得ることであるともいえる。
　
　次に、上記相違点３について検討する。
　引用発明は、「センサ（５）」であるところ、上記引用例の図１には、センサ（５）に加えて、ファイヤウォール（２）、及びディレクタ（６）が示されており、これらを一体として一つのファイアウォール（不正侵入が行われないようにする防火壁）の技術概念としてとらえることができるから、引用発明の「センサ（５）」を、本願発明のように「ファイアウォール」と称することができることは当然である。
　
　次に、上記相違点４について検討する。
　引用発明は、「ネットワーク管理者が識別可能な報知出力」（少なくとも１つのユーザ識別可能な標識）であるところ、第１の種類の攻撃（ポートスキャン）乃至第６の種類の攻撃（セキュリティホールの攻撃）の検知を示すように、ネットワーク管理者が識別可能な報知出力を発生しているものであり、また、上記相違点３についての検討を踏まえると、引用発明の「報知出力」（標識）に関し、本願発明のように「前記ファイアウォールに関連付けする」ことは当業者が容易に成し得ることである。
　
　次に、上記相違点５について検討する。
　引用発明は、「ＩＰパケット群」であるところ、ＩＰパケットは、ＩＰパケット群（グループ）を構成しており、また、上記相違点１についての検討を考慮すれば、引用発明の「ＩＰパケット群」を、本願発明のように「前記不適切な動作に関係するパケットのグループ」とすることは当業者が容易に成し得ることである。
　
　次に、上記相違点６について検討する。
　引用発明は、「前記ＩＰパケットが所定数」であるところ、「所定数」は、第１の種類の攻撃（ポートスキャン）ルール乃至第６の種類の攻撃（セキュリティホールの攻撃）ルールにおける検知基準の境界値（閾値）ということができ、また、上記相違点２についての検討を考慮すれば、引用発明の「前記ＩＰパケットが所定数」を、本願発明のように「前記ルールセットの複数のクラスの少なくとも１つのクラスに係る不適切さの閾値レベル」とすることは当業者が容易に成し得ることである。
　
　次に、上記相違点７について検討する。
　引用発明は、「ネットワーク管理者が識別可能な報知出力」（少なくとも１つのユーザ識別可能な標識）であるところ、上記引用例の上記摘記事項ロ．の【０１３】における「前述のようにクラッカーによる攻撃を検知する攻撃検知手段を備えた本発明では、前記処理手段が行う処理は、例えば前記攻撃が検知された旨を表す報知出力を発生する処理である。この報知出力の発生により、ネットワーク管理者やあるいは外部の専門技術者等が、検知された攻撃を排除するための処置を施すことが可能となる。」との記載によれば、報知出力（標識）は、攻撃の検知後、速やかにするべきものであるから、引用発明の「報知出力」（標識）を、本願発明のように「『同時的に』示すよう『トリガーされる』少なくとも１つのユーザ識別可能な標識」とすることは当業者が容易に成し得ることである。
　
　そして、本願発明の作用効果も、引用発明及び周知技術から当業者が容易に予測できる範囲のものである。
　
第６　むすび
　以上のとおり、本願発明は、引用発明及び周知技術に基いて当業者が容易に発明をすることができたものと認められるから、特許法第２９条第２項の規定により特許を受けることができない。
　
　よって、結論のとおり審決する。