【手続補正書】
【提出日】平成18年10月31日(2006.10.31)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ネットワーク防衛システムであって、
パケット・データ・フローに関してインラインに接続され、前記データ・フロー上に現時点で存在しているセッションを追跡し、パケット関連履歴データを保管するように動作可能な状態管理部と、
前記追跡されたセッション及び前記パケット関連履歴データに対して統計学的解析を行い、多数のセッションにわたるデータ・フロー中のパケットが保護されたネットワークへの脅威を示すかどうかを判断するように動作可能なアルゴリズム・フィルタと、
を含むシステム。
【請求項２】
同じくパケット・データ・フローに関してインラインに接続され、脅威の存在に応答して脅威パケットをブロックするように動作可能なパケット・ハンドラをさらに含むことを特徴とする請求項１に記載のネットワーク防衛システム。
【請求項３】
前記パケット・ハンドラがさらに、脅威の存在に応答して脅威セッションを終了させるように動作可能であることを特徴とする請求項２に記載のネットワーク防衛システム。
【請求項４】
前記保護されたネットワークへの脅威が、アドレス・スイープ攻撃、ポートスキャン攻撃、及びサービス拒否攻撃からなるグループから取られた、複数のセッションに関係する脅威を含むことを特徴とする請求項１に記載のネットワーク防衛システム。
【請求項５】
前記追跡されたセッション及びパケット関連履歴データに対して統計学的解析を実行するように動作可能なアルゴリズム・フィルタがさらに、多数のセッションにわたるデータ・フロー中のパケットが疑わしいかどうかを判断するように動作可能であることを特徴とする請求項１に記載のネットワーク防衛システム。
【請求項６】
同じくパケット・データ・フローに関してインラインに接続され、前記アルゴリズム・フィルタの疑い判断に応答して、多数のセッションにわたる脅威パケットを検出するために設計された基準に照らして、データ・フロー中の疑わしいパケットにフィルタリングを行うトリガー・フィルタと、
同じくパケット・データ・フローに関してインラインに接続され、検出された脅威に応答して脅威パケットをブロックするように動作可能なパケット・ハンドラと、
をさらに含むことを特徴とする請求項５に記載のネットワーク防衛システム。
【請求項７】
前記トリガー・フィルタがさらに、個々のセッションの中の脅威パケットを検出するために設計された基準に照らして、データ・フロー中の疑わしいパケットにフィルタリングを行うように動作可能であることを特徴とする請求項６に記載のネットワーク防衛システム。
【請求項８】
前記トリガー・フィルタがさらに、個々のセッションにおけるデータ・フロー中のパケットが疑わしいかどうかを判断するように動作可能であり、前記パケット・ハンドラがさらに、更なる調査のために、疑わしいパケットをデータ・フローから抽出するように動作可能であることを特徴とする請求項７に記載のネットワーク防衛システム。
【請求項９】
前記抽出されたパケットを受信し、前記疑わしい抽出されたパケットが脅威を与えるものであるかどうかを解明する目的で、前記インラインのトリガー・フィルタによって実行されるものより包括的なフィルタリング動作を実装する脅威検証機能をさらに含むことを特徴とする請求項８に記載のネットワーク防衛システム。
【請求項１０】
前記脅威検証機能がさらに、前記疑わしい抽出されたパケットが脅威を与えるものでないと判断された場合に、その疑わしい抽出されたパケットをデータ・フローに戻すように動作可能であることを特徴とする請求項９に記載のネットワーク防衛システム。
【請求項１１】
前記疑わしい抽出されたパケットを調査して、それがネットワーク内に存在する識別可能な資産に対し何らかのリスクを示すかどうかを判断するように動作可能なリスク評価機能をさらに含むことを特徴とする請求項９に記載のネットワーク防衛システム。
【請求項１２】
同じくパケット・データ・フローに関してインラインに接続され、データ・フローに沿ったパケットの通過を調節するように動作可能なフロー・コントローラをさらに含むことを特徴とする請求項１に記載のネットワーク防衛システム。
【請求項１３】
前記状態管理部がハードウェアに実装され、
前記アルゴリズム・フィルタがソフトウェアに実装される、
ことを特徴とする請求項１に記載のネットワーク防衛システム。
【請求項１４】
ネットワークを防衛する方法であって、
現時点でパケット・データ・フローに存在するセッションを追跡する段階と、
これらのセッションに関係するパケット関連履歴データを収集する段階と、
前記追跡されたセッション及び前記収集されたパケット関連履歴データに対しアルゴリズム的にフィルタリングを行い、多数のセッションにわたるデータ・フロー中のパケットがネットワークに対して脅威を示すかどうかを統計学的解析に基づいて判断する段階と、を含む方法。
【請求項１５】
判断された脅威の存在に応答して脅威パケットをブロックすることにより、パケット・データ・フロー中のパケットを処理する段階をさらに含むことを特徴とする請求項１４に記載の方法。
【請求項１６】
前記処理段階が、判断された脅威の存在に応答して脅威セッションを終了させる段階をさらに含むことを特徴とする請求項１５に記載の方法。
【請求項１７】
前記保護されたネットワークへの脅威が、アドレス・スイープ攻撃、ポートスキャン攻撃、及びサービス拒否攻撃からなる群から取られた、複数のセッションに関係する脅威を含むことを特徴とする請求項１４に記載の方法。
【請求項１８】
多数のセッションにわたるデータ・フロー中のパケットがネットワークに対する脅威の疑いを示すかどうかを統計学的解析から判断する段階をさらに含むことを特徴とする請求項１４に記載の方法。
【請求項１９】
脅威の疑いに有効に応答して、パケット・データ・フロー中のパケットに対し、多数のセッションにわたる脅威パケットを検出するために設計された基準に照らしてフィルタリングを行う段階と、
検出された脅威の存在に応答して脅威パケットをブロックすることにより、パケット・データ・フロー中のパケットを処理する段階と、
をさらに含むことを特徴とする請求項１８に記載の方法。
【請求項２０】
前記パケット・フィルタリング段階が、データ・フロー中のパケットを個々のセッションにおける脅威パケットを検出するために設計された基準に照らしてフィルタリングする段階をさらに含むことを特徴とする請求項１９に記載の方法。
【請求項２１】
前記パケット・フィルタリング段階が、個々のセッションにおけるデータ・フロー中のパケットが疑わしいかどうかを判断する段階をさらに含み、前記処理段階が、更なる調査のために、疑わしいパケットをデータ・フローから抽出する段階をさらに含むことを特徴とする請求項２０に記載の方法。
【請求項２２】
前記抽出されたパケットに関して、疑わしい抽出されたパケットが脅威を与えるものであるかどうかを解明する目的で、前記パケット・フィルタリング段階で行われるものより包括的なフィルタリング動作を実装することにより脅威を検証する段階をさらに含むことを特徴とする請求項２１に記載の方法。
【請求項２３】
前記脅威を検証する段階が、疑わしい抽出されたパケットが脅威を与えるものでないと判断された場合に、その疑わしい抽出されたパケットをデータ・フローに戻す段階をさらに含むことを特徴とする請求項２２に記載の方法。
【請求項２４】
前記疑わしい抽出済パケットに関し、それがネットワーク内に存在する識別可能な資産に対し何らかのリスクを示すかどうかを判断することによって、リスクを評価する段階をさらに含むことを特徴とする請求項２２に記載の方法。
【請求項２５】
前記データ・フローに沿ったパケットの通過を調節することによってフローを制御する段階をさらに含むことを特徴とする請求項１４に記載の方法。