(57)【要約】  中継装置１０は、シグネチャリストにシグネチャ（容疑シグネチャ、正規シグネチャ、不正シグネチャ）を登録する際に、自動生成シグネチャよりも設定シグネチャの方が優先度が高くなるようになどの観点から、登録されるシグネチャの優先順位を決定する。そして、中継装置１０は、パケットの通過を制御する際に、シグネチャリストに登録されたシグネチャのなかから優先順位（優先度）の高い順にシグネチャを選択して、当該選択したシグネチャに該当するか否かを判別し、該当するシグネチャに基づいてパケットを制御する。【特許請求の範囲】
【請求項１】
パケットの通過を制御するためのシグネチャを記憶するシグネチャ記憶手段を有し、当該シグネチャ記憶手段に記憶されたシグネチャに基づいてパケットの通過を制御するネットワーク上の中継装置であって、
前記シグネチャ記憶手段に記憶されるシグネチャについて優先順位を決定する優先順位決定付与手段と、
前記優先順位決定手段によって決定された優先順位の高い順に、前記シグネチャ記憶手段からシグネチャを選択し、当該選択されたシグネチャに基づいて前記パケットの通過を制御するパケット制御手段と、
を備えたことを特徴とする中継装置。
【請求項２】
前記シグネチャ記憶手段は、所定の条件判定によって自動的に生成された自動生成シグネチャおよび前記ネットワークの管理者によって設定された設定シグネチャを記憶するものであって、
前記優先順位決定手段は、前記シグネチャ記憶手段に記憶される自動生成シグネチャおよび設定シグネチャについて、当該自動生成シグネチャよりも設定シグネチャの方に高い優先順位を付与することを特徴とする請求項１に記載の中継装置。
【請求項３】
前記シグネチャ記憶手段は、前記パケットの通過を所定の範囲で制限するための複数のシグネチャを記憶するものであって、
前記優先順位決定手段は、前記シグネチャ記憶手段に記憶される複数のシグネチャについて、前記制限の範囲が厳しいシグネチャの方に高い優先順位を付与することを特徴とする請求項１または２に記載の中継装置。
【請求項４】
所定の攻撃容疑検出条件に基づいて攻撃容疑パケットを検出し、当該攻撃容疑パケットを制限するための容疑シグネチャを生成する容疑シグネチャ生成手段を備え、
前記優先順位決定手段は、前記容疑シグネチャ生成手段によって容疑シグネチャが生成された場合に、当該容疑シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする請求項１に記載の中継装置。
【請求項５】
所定の正規条件に基づいて正当なパケットを許可するための正規シグネチャを生成する正規シグネチャ生成手段を備え、
前記優先順位決定手段は、前記正規シグネチャ生成手段によって正規シグネチャが生成された場合に、当該正規シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする請求項１に記載の中継装置。
【請求項６】
所定の不正トラヒック検出条件に基づいて不正パケットを検出し、当該不正パケットを制限するための不正シグネチャを生成する不正シグネチャ生成手段を備え、
前記優先順位決定手段は、前記不正シグネチャ生成手段によって不正シグネチャが生成された場合に、当該不正シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする請求項１に記載の中継装置。
【請求項７】
攻撃容疑パケットを制限するための容疑シグネチャを他の中継装置から受信するシグネチャ受信手段を備え、
前記優先順位決定手段は、前記シグネチャ生成手段によって容疑シグネチャが受信された場合に、当該容疑シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする請求項１に記載の中継装置。
【請求項８】
前記他の中継装置から受信した所定の正規条件に基づいて正当なパケットを許可するための正規シグネチャを生成する正規シグネチャ生成手段を備え、
前記優先順位決定手段は、前記正規シグネチャ生成手段によって正規シグネチャが生成された場合に、当該正規シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする請求項１に記載の中継装置。
【請求項９】
ネットワーク管理者からシグネチャを受け付けて入力するシグネチャ入力手段を備え、
前記優先順位決定手段は、前記シグネチャ入力手段によってシグネチャが入力された場合に、当該シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする請求項１に記載の中継装置。
【請求項１０】
パケットの通過を制御するためのシグネチャを記憶するシグネチャ記憶手段を有し、当該シグネチャ記憶手段に記憶されたシグネチャに基づいてパケットの通過を制御するネットワーク攻撃防御システムであって、
前記シグネチャ記憶手段に記憶されるシグネチャについて優先順位を決定する優先順位決定付与手段と、
前記優先順位決定手段によって決定された優先順位の高い順に、前記シグネチャ記憶手段からシグネチャを選択し、当該選択されたシグネチャに基づいて前記パケットの通過を制御するパケット制御手段と、
を備えたことを特徴とするネットワーク攻撃防御システム。
【請求項１１】
パケットの通過を制御するためのシグネチャを記憶するシグネチャ記憶手段を有し、当該シグネチャ記憶手段に記憶されたシグネチャに基づいてパケットの通過を制御するネットワーク上の装置における中継方法であって、
前記シグネチャ記憶手段に記憶されるシグネチャについて優先順位を決定する優先順位決定付与工程と、
前記優先順位決定工程によって決定された優先順位の高い順に、前記シグネチャ記憶手段からシグネチャを選択し、当該選択されたシグネチャに基づいて前記パケットの通過を制御するパケット制御工程と、
を含んだことを特徴とする中継方法。
【請求項１２】
前記シグネチャ記憶手段は、所定の条件判定によって自動的に生成された自動生成シグネチャおよび前記ネットワークの管理者によって設定された設定シグネチャを記憶するものであって、
前記優先順位決定工程は、前記シグネチャ記憶手段に記憶される自動生成シグネチャおよび設定シグネチャについて、当該自動生成シグネチャよりも設定シグネチャの方に高い優先順位を付与することを特徴とする請求項１１に記載の中継方法。
【請求項１３】
前記シグネチャ記憶手段は、前記パケットの通過を所定の範囲で制限するための複数のシグネチャを記憶するものであって、
前記優先順位決定工程は、前記シグネチャ記憶手段に記憶される複数のシグネチャについて、前記制限の範囲が厳しいシグネチャの方に高い優先順位を付与することを特徴とする請求項１１または１２に記載の中継方法。
【請求項１４】
パケットの通過を制御するためのシグネチャをシグネチャ記憶手段に記憶し、当該シグネチャ記憶手段に記憶されたシグネチャに基づいてパケットの通過を制御する方法をコンピュータに実行させる中継プログラムであって、
前記シグネチャ記憶手段に記憶されるシグネチャについて優先順位を決定する優先順位決定付与手順と、
前記優先順位決定手順によって決定された優先順位の高い順に、前記シグネチャ記憶手段からシグネチャを選択し、当該選択されたシグネチャに基づいて前記パケットの通過を制御するパケット制御手順と、
をコンピュータに実行させることを特徴とする中継プログラム。
【請求項１５】
前記シグネチャ記憶手段は、所定の条件判定によって自動的に生成された自動生成シグネチャおよび前記ネットワークの管理者によって設定された設定シグネチャを記憶するものであって、
前記優先順位決定手順は、前記シグネチャ記憶手段に記憶される自動生成シグネチャおよび設定シグネチャについて、当該自動生成シグネチャよりも設定シグネチャの方に高い優先順位を付与することを特徴とする請求項１４に記載の中継プログラム。
【請求項１６】
前記シグネチャ記憶手段は、前記パケットの通過を所定の範囲で制限するための複数のシグネチャを記憶するものであって、
前記優先順位決定手順は、前記シグネチャ記憶手段に記憶される複数のシグネチャについて、前記制限の範囲が厳しいシグネチャの方に高い優先順位を付与することを特徴とする請求項１４または１５に記載の中継プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、パケットの通過を制御するためのシグネチャに基づいてネットワーク上のパケットの通過を制御する中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御システムに関する。
【背景技術】
【０００２】
従来より、防御対象であるコンピュータが接続されたネットワーク上に複数の中継装置を有し、ＤｏＳ（DenialofService）攻撃またはＤＤｏＳ（DistributedDenialofService）攻撃を受けるコンピュータを防御するネットワーク攻撃防御システムが知られている。例えば、特許文献１（特開２００３−２８３５５４号公報）に開示されたネットワーク攻撃防御システムでは、中継装置において、予め決められた攻撃容疑パケットの検出条件に通信トラヒックが合致するか否かをチェックする。そして、合致したトラヒックを検出した場合に、中継装置は、検出された攻撃容疑パケットを識別するための容疑シグネチャを生成して上流の中継装置へ送信するとともに、以後、容疑シグネチャによって識別される攻撃容疑パケットの伝送帯域を制限する処理を行う。【０００３】
ここで、上流または下流の中継装置とは、隣接関係をもつ中継装置（以下、隣接中継装置という。）であって、かつ、攻撃容疑パケットが流入する方向に対する中継装置である。そして、上記で容疑シグネチャを受信した中継装置は、下流の中継装置から受信した容疑シグネチャを上流の中継装置に送信するとともに、容疑シグネチャによって識別される攻撃容疑パケットの伝送帯域を制限する処理を行う。【０００４】
また、この従来技術における中継装置は、正規利用者が利用する通信端末から送信された通信パケットを特定するための正規条件（つまり、攻撃とはみなされない正規パケットの条件）を上流の中継装置へ送信するとともに、正規条件および容疑シグネチャに基づいて正規パケットを識別するための正規シグネチャを生成し、以後、正規シグネチャによって識別される正規パケットの伝送帯域制限を解除する処理を行う。さらに、上記で正規条件を受信した中継装置は、受信した正規条件を上流の中継装置へ送信するとともに、正規条件および容疑シグネチャに基づいて正規シグネチャを生成し、以後、正規シグネチャによって識別される正規パケットの伝送帯域制限を解除する処理を行う。【０００５】
上記したように、従来技術における中継装置は、攻撃容疑パケットの伝送帯域を制限する処理を行うとともに、正規パケットの伝送帯域制限を解除する処理を行うが、かかる処理を行うのがフィルタ部である。つまり、中継装置のフィルタ部では、正規シグネチャによる条件判定処理で合致したパケットを所定のキューに入れた後、正規シグネチャに合致しないパケットに対して容疑シグネチャによる条件判定処理を行う。【０００６】
【特許文献１】特開２００３−２８３５５４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記した従来の技術は、中継装置において、正規シグネチャによる条件判定処理および容疑シグネチャによる条件判定処理を予め決められた固定的な順序で処理するので、ネットワーク攻撃防御システムにおいて望ましい形態となるような所望の処理順序でパケットを処理することができないという問題があった。【０００８】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、複数のシグネチャがある場合において所望の順序でパケットを処理することが可能な中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御システムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述した課題を解決し、目的を達成するため、請求項１に係る発明は、パケットの通過を制御するためのシグネチャを記憶するシグネチャ記憶手段を有し、当該シグネチャ記憶手段に記憶されたシグネチャに基づいてパケットの通過を制御するネットワーク上の中継装置であって、前記シグネチャ記憶手段に記憶されるシグネチャについて優先順位を決定する優先順位決定付与手段と、前記優先順位決定手段によって決定された優先順位の高い順に、前記シグネチャ記憶手段からシグネチャを選択し、当該選択されたシグネチャに基づいて前記パケットの通過を制御するパケット制御手段と、を備えたことを特徴とする。【００１０】
また、請求項２に係る発明は、上記の発明において、前記シグネチャ記憶手段は、所定の条件判定によって自動的に生成された自動生成シグネチャおよび前記ネットワークの管理者によって設定された設定シグネチャを記憶するものであって、前記優先順位決定手段は、前記シグネチャ記憶手段に記憶される自動生成シグネチャおよび設定シグネチャについて、当該自動生成シグネチャよりも設定シグネチャの方に高い優先順位を付与することを特徴とする。【００１１】
また、請求項３に係る発明は、上記の発明において、前記シグネチャ記憶手段は、前記パケットの通過を所定の範囲で制限するための複数のシグネチャを記憶するものであって、前記優先順位決定手段は、前記シグネチャ記憶手段に記憶される複数のシグネチャについて、前記制限の範囲が厳しいシグネチャの方に高い優先順位を付与することを特徴とする。【００１２】
また、請求項４に係る発明は、上記の発明において、所定の攻撃容疑検出条件に基づいて攻撃容疑パケットを検出し、当該攻撃容疑パケットを制限するための容疑シグネチャを生成する容疑シグネチャ生成手段を備え、前記優先順位決定手段は、前記容疑シグネチャ生成手段によって容疑シグネチャが生成された場合に、当該容疑シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする。【００１３】
また、請求項５に係る発明は、上記の発明において、所定の正規条件に基づいて正当なパケットを許可するための正規シグネチャを生成する正規シグネチャ生成手段を備え、前記優先順位決定手段は、前記正規シグネチャ生成手段によって正規シグネチャが生成された場合に、当該正規シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする。【００１４】
また、請求項６に係る発明は、上記の発明において、所定の不正トラヒック検出条件に基づいて不正パケットを検出し、当該不正パケットを制限するための不正シグネチャを生成する不正シグネチャ生成手段を備え、前記優先順位決定手段は、前記不正シグネチャ生成手段によって不正シグネチャが生成された場合に、当該不正シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする。【００１５】
また、請求項７に係る発明は、上記の発明において、攻撃容疑パケットを制限するための容疑シグネチャを他の中継装置から受信するシグネチャ受信手段を備え、前記優先順位決定手段は、前記シグネチャ生成手段によって容疑シグネチャが受信された場合に、当該容疑シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする。【００１６】
また、請求項８に係る発明は、上記の発明において、前記他の中継装置から受信した所定の正規条件に基づいて正当なパケットを許可するための正規シグネチャを生成する正規シグネチャ生成手段を備え、前記優先順位決定手段は、前記正規シグネチャ生成手段によって正規シグネチャが生成された場合に、当該正規シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする。【００１７】
また、請求項９に係る発明は、上記の発明において、ネットワーク管理者からシグネチャを受け付けて入力するシグネチャ入力手段を備え、前記優先順位決定手段は、前記シグネチャ入力手段によってシグネチャが入力された場合に、当該シグネチャに優先順位を付与して前記シグネチャ記憶手段に格納することを特徴とする。【００１８】
また、請求項１０に係る発明は、パケットの通過を制御するためのシグネチャを記憶するシグネチャ記憶手段を有し、当該シグネチャ記憶手段に記憶されたシグネチャに基づいてパケットの通過を制御するネットワーク攻撃防御システムであって、前記シグネチャ記憶手段に記憶されるシグネチャについて優先順位を決定する優先順位決定付与手段と、前記優先順位決定手段によって決定された優先順位の高い順に、前記シグネチャ記憶手段からシグネチャを選択し、当該選択されたシグネチャに基づいて前記パケットの通過を制御するパケット制御手段と、を備えたことを特徴とする。【００１９】
また、請求項１１に係る発明は、パケットの通過を制御するためのシグネチャを記憶するシグネチャ記憶手段を有し、当該シグネチャ記憶手段に記憶されたシグネチャに基づいてパケットの通過を制御するネットワーク上の装置における中継方法であって、前記シグネチャ記憶手段に記憶されるシグネチャについて優先順位を決定する優先順位決定付与工程と、前記優先順位決定工程によって決定された優先順位の高い順に、前記シグネチャ記憶手段からシグネチャを選択し、当該選択されたシグネチャに基づいて前記パケットの通過を制御するパケット制御工程と、を含んだことを特徴とする。【００２０】
また、請求項１２に係る発明は、上記の発明において、前記シグネチャ記憶手段は、所定の条件判定によって自動的に生成された自動生成シグネチャおよび前記ネットワークの管理者によって設定された設定シグネチャを記憶するものであって、前記優先順位決定工程は、前記シグネチャ記憶手段に記憶される自動生成シグネチャおよび設定シグネチャについて、当該自動生成シグネチャよりも設定シグネチャの方に高い優先順位を付与することを特徴とする。【００２１】
また、請求項１３に係る発明は、上記の発明において、前記シグネチャ記憶手段は、前記パケットの通過を所定の範囲で制限するための複数のシグネチャを記憶するものであって、前記優先順位決定工程は、前記シグネチャ記憶手段に記憶される複数のシグネチャについて、前記制限の範囲が厳しいシグネチャの方に高い優先順位を付与することを特徴とする。【００２２】
また、請求項１４に係る発明は、パケットの通過を制御するためのシグネチャをシグネチャ記憶手段に記憶し、当該シグネチャ記憶手段に記憶されたシグネチャに基づいてパケットの通過を制御する方法をコンピュータに実行させる中継プログラムであって、前記シグネチャ記憶手段に記憶されるシグネチャについて優先順位を決定する優先順位決定付与手順と、前記優先順位決定手順によって決定された優先順位の高い順に、前記シグネチャ記憶手段からシグネチャを選択し、当該選択されたシグネチャに基づいて前記パケットの通過を制御するパケット制御手順と、を備えたことを特徴とする。【００２３】
また、請求項１５に係る発明は、上記の発明において、前記シグネチャ記憶手段は、所定の条件判定によって自動的に生成された自動生成シグネチャおよび前記ネットワークの管理者によって設定された設定シグネチャを記憶するものであって、前記優先順位決定手順は、前記シグネチャ記憶手段に記憶される自動生成シグネチャおよび設定シグネチャについて、当該自動生成シグネチャよりも設定シグネチャの方に高い優先順位を付与することを特徴とする。【００２４】
また、請求項１６に係る発明は、上記の発明において、前記シグネチャ記憶手段は、前記パケットの通過を所定の範囲で制限するための複数のシグネチャを記憶するものであって、前記優先順位決定手順は、前記シグネチャ記憶手段に記憶される複数のシグネチャについて、前記制限の範囲が厳しいシグネチャの方に高い優先順位を付与することを特徴とする。
【発明の効果】
【００２５】
請求項１、１０、１１または１４の発明によれば、シグネチャ記憶部に記憶されるシグネチャについて優先順位を決定しておき、優先順位の高い順にシグネチャを選択し、当該選択されたシグネチャに基づいてパケットの通過を制御するので、複数のシグネチャがある場合において所望の順序でパケットを処理することが可能になる。【００２６】
また、請求項２、１２または１５の発明によれば、自動生成シグネチャよりも設定シグネチャの方に高い優先順位を付与するので、ネットワーク管理者が設定した設定シグネチャが優先的にパケットの制御に用いられる結果、ネットワーク管理者が意図する制御を優先的に行うことが可能になる。【００２７】
また、請求項３、１３または１６の発明によれば、パケットの通過を所定の範囲で制限するための複数のシグネチャについては、制限の範囲が厳しいシグネチャの方に高い優先順位を付与するので、シグネチャに含まれる制限情報の帯域が厳しいシグネチャほど優先的にパケットの制御に用いられる結果、パケットの制御に矛盾を生じさせることなく、確実にパケットを処理することが可能になる。【００２８】
また、請求項４の発明によれば、攻撃容疑パケットの検出に際して、容疑シグネチャを生成するとともに当該容疑シグネチャの優先順位を決定するので、攻撃容疑パケット検出時に生成される容疑シグネチャに遅滞なく優先順位を付与することが可能になる。【００２９】
また、請求項５の発明によれば、攻撃容疑パケットの検出に際して、正規シグネチャを生成するとともに当該正規シグネチャの優先順位を決定するので、攻撃容疑パケット検出時に生成される正規シグネチャに遅滞なく優先順位を付与することが可能になる。【００３０】
また、請求項６の発明によれば、不正トラヒックの検出に際して、不正シグネチャを生成するとともに当該不正シグネチャの優先順位を決定するので、不正トラヒック検出時に生成される不正シグネチャに遅滞なく優先順位を付与することが可能になる。【００３１】
また、請求項７の発明によれば、他の中継装置から容疑シグネチャを受信した際に、当該容疑シグネチャの優先順位を決定するので、他の中継装置から受信した容疑シグネチャに遅滞なく優先順位を付与することが可能になる。【００３２】
また、請求項８の発明によれば、他の中継装置から正規条件を受信した際に、正規シグネチャを生成するとともに当該正規シグネチャの優先順位を決定するので、正規条件受信時に生成される正規シグネチャに遅滞なく優先順位を付与することが可能になる。【００３３】
また、請求項９の発明によれば、ネットワーク管理者からシグネチャを受け付けた際に、当該シグネチャの優先順位を決定するので、ネットワーク管理者によって設定されたシグネチャに遅滞なく優先順位を付与することが可能になる。
【図面の簡単な説明】
【００３４】
【図１】図１は、ネットワーク攻撃防御システムの構成を示すシステム構成図である。
【図２】図２は、中継装置の構成を示すブロック図である。
【図３】図３は、攻撃容疑検出条件テーブルに記憶される情報の例を示す図である。
【図４】図４は、不正トラヒック検出条件テーブルに記憶される情報の例を示す図である。
【図５】図５は、正規条件テーブルに記憶される情報の例を示す図である。
【図６】図６は、シグネチャリストに記憶される情報の例を示す図である。
【図７】図７は、攻撃容疑パケット検出時の処理手順を示すフローチャートである。
【図８】図８は、シグネチャ受信時の処理手順を示すフローチャートである。
【図９】図９は、不正パケット検出時の処理手順を示すフローチャートである。
【符号の説明】
【００３５】
１０  中継装置
１１  ネットワークインタフェース
１２  パケット検出部
１３  攻撃検出部
１４  シグネチャ通信部
１５  優先順位決定部
１６  フィルタ部
１７  入力部
２０  サーバ
３０  通信端末
１００  ネットワーク攻撃防御システム
【発明を実施するための最良の形態】
【００３６】
以下に添付図面を参照して、この発明に係る中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御システムの実施例を詳細に説明する。なお、以下では、本実施例で用いる主要な用語、ネットワーク攻撃防御システムの概要および特徴、中継装置の構成および処理、本実施例の効果を順に説明し、最後に本実施例に対する種々の変形例を説明する。
【実施例】
【００３７】
［用語の説明］
まず最初に、本実施例で用いる主要な用語を説明する。本実施例で用いる「容疑シグネチャ」とは、攻撃容疑のあるパケット（攻撃容疑パケット）を制限するためのシグネチャであり、具体的には、通過が制限される攻撃容疑パケットの特徴を示す属性（例えば、宛先ＩＰアドレス、プロトコル、宛先ポート番号など）や制限内容（例えば、特定のパケットが流入するときの帯域を制限するための制限情報など）を規定して構成される。【００３８】
また、本実施例で用いる「正規シグネチャ」とは、容疑シグネチャに該当するパケットのなかから攻撃とはみなされない正規パケット（正規ユーザの通信パケットである正規パケット）の通過を許可するためのシグネチャであり、具体的には、通過が許可される正規パケットの特徴を示す属性（例えば、送信元ＩＰアドレス、サービスタイプ、宛先ＩＰアドレス、プロトコル、宛先ポート番号など）を規定して構成される。【００３９】
また、本実施例で用いる「不正シグネチャ」とは、不正トラヒックに含まれる不正パケット（不正トラヒック条件を満たすパケット）を制限するためのシグネチャであり、具体的には、不正パケットの送信元ＩＰアドレス等を規定して構成される。【００４０】
［システムの概要および特徴］
次に、図１を用いて、本実施例に係るネットワーク攻撃防御システムの概要および特徴を説明する。図１は、本実施例に係るネットワーク攻撃防御システムの構成を示すシステム構成図である。【００４１】
同図に示すように、このネットワーク攻撃防御システム１００は、ネットワーク上に複数の中継装置１０を備えて構成される。また、このネットワーク上には、ＤｏＳ攻撃やＤＤｏＳ攻撃の対象となるコンピュータとしてのサーバ２０や、かかるＤｏＳ攻撃やＤＤｏＳ攻撃を行い得るコンピュータとしての通信端末３０が接続されている。なお、以下では、図示した中継装置１０の各々を区別する場合には、それぞれ中継装置１０−１〜中継装置１０−７として説明し、サーバ２０の各々を区別する場合には、サーバ２０−１またはサーバ２０−２として説明し、通信端末３０の各々を区別する場合には、通信端末３０−１〜通信端末３０−５として説明する。【００４２】
かかるネットワーク攻撃防御システム１００において、中継装置１０は、通信端末３０のうち少なくとも１つ以上の通信端末３０がネットワーク上のサーバ２０に対してＤｏＳ攻撃またはＤＤｏＳ攻撃を行っていることを検出した場合に、パケットの通過を制御するためのシグネチャ（容疑シグネチャや不正シグネチャ）を生成するとともに、パケットの通過を許可するための正規シグネチャを生成する。そして、中継装置１０は、自ら生成したシグネチャ（容疑シグネチャ、不正シグネチャおよび正規シグネチャ）をシグネチャリストに登録する。【００４３】
また、中継装置１０は、生成した容疑シグネチャ（さらには、正規シグネチャの生成に用いた正規条件）を隣接中継装置に送信する。その一方で、中継装置１０は、隣接中継装置から容疑シグネチャ等を受信した場合には、正規条件に基づいて正規シグネチャを生成するとともに、受信した容疑シグネチャおよび生成した正規シグネチャをシグネチャリストに登録する。なお、隣接中継装置について例を挙げると、図１において、中継装置１０−３における隣接中継装置は、中継装置１０−１、中継装置１０−２、中継装置１０−４および中継装置１０−７であり、中継装置１０−５および中継装置１０−６とは、隣接関係をもたない。また、この隣接関係は、物理的な隣接を意味するものではない。【００４４】
さらに、中継装置１０は、ネットワーク管理者からシグネチャ（容疑シグネチャ、不正シグネチャおよび正規シグネチャ）の設定指示を受け付けて、設定指示に係るシグネチャをシグネチャリストに登録するとともに、既にシグネチャリストに登録されているシグネチャについてネットワーク管理者から修正指示を受け付けて、修正後のシグネチャをシグネチャリストに登録する。なお、本実施例では、ネットワーク管理者の設定指示や修正指示によってシグネチャリストに登録されたシグネチャのことを「設定シグネチャ」と定義し、中継装置１０が自ら生成してシグネチャリストに登録されたシグネチャや、隣接中継装置から受信してシグネチャリストに登録されたシグネチャのことを「自動生成シグネチャ」と定義して説明する。【００４５】
このようにして、中継装置１０は、容疑シグネチャ、不正シグネチャおよび正規シグネチャをシグネチャリストに登録する。そして、中継装置１０は、かかるシグネチャリストに基づいてパケットの通過を制御する。つまり、不正シグネチャや容疑シグネチャに該当するパケットについては、伝送帯域を制限して通過させるかもしくは廃棄し、正規シグネチャに該当するパケットやいずれのシグネチャにも該当しないパケットについては、伝送帯域を制限せずに通過を許可する。【００４６】
そして、本実施例における中継装置１０は、シグネチャリストに登録されるシグネチャに優先順位を付与している点に主たる特徴がある。具体的には、中継装置１０は、パケットの通過を制御する際に、そのパケットがシグネチャリストに登録されたシグネチャのいずれかに該当するかを判別する処理を行うが、本実施例では、シグネチャリストに登録されたシグネチャのなかから優先順位（優先度）の高い順にシグネチャを選択して、当該選択したシグネチャに該当するか否かを判別し、該当するシグネチャに基づいてパケットを制御するようにしている。このため、複数のシグネチャがあっても所望の順序でパケットを処理することが可能になる。【００４７】
なお、中継装置１０は、攻撃を防御しながらパケットを中継するための装置であり、例えば、ルータとして機能してもよく、または、ブリッジとして機能してもよい。また、中継装置１０は、中継装置１０等を管理するための管理用ネットワークに接続されていてもよく、シグネチャは、管理用ネットワークを介して送受されてもよい。【００４８】
［中継装置の構成］
次に、図２を用いて、図１に示した中継装置１０の構成を説明する。図２は、中継装置１０の構成を示すブロック図である。同図に示すように、この中継装置１０は、ネットワークインタフェース部１１と、パケット取得部１２と、攻撃検出部１３（並びに攻撃容疑検出条件テーブル１３ａ、不正トラヒック検出条件テーブル１３ｂおよび正規条件テーブル１３ｃ）と、シグネチャ通信部１４と、優先順位決定部１５と、フィルタ部１６（並びにシグネチャリスト１６ａ）と、入力部１７とを備えて構成される。【００４９】
また、中継装置１０は、ＣＰＵ（CentralProcessingUnit）やメモリ、ハードディスク等を有しており、パケット取得部１２、攻撃検出部１３、シグネチャ通信部１４、優先順位決定部１５およびフィルタ部１６は、ＣＰＵによって処理されるプログラムのモジュールであってもよい。また、このプログラムのモジュールは、１つのＣＰＵで処理されてもよく、複数のＣＰＵに分散して処理されてもよい。さらに、中継装置１０には、Ｌｉｎｕｘ等の汎用ＯＳをインストールしておき、汎用ＯＳに具備されるパケットフィルタをフィルタ部１６として機能させてもよい。【００５０】
なお、攻撃検出部１３は特許請求の範囲に記載の「容疑シグネチャ生成手段」、「正規シグネチャ生成手段」、「不正シグネチャ生成手段」に対応し、シグネチャ通信部１４は同じく「シグネチャ受信手段」に対応し、優先順位決定部１５は同じく「優先順位決定手段」に対応し、フィルタ部１６は同じく「パケット制御手段」に対応し、シグネチャリスト１６ａは同じく「シグネチャ記憶手段」に対応し、入力部１７は同じく「シグネチャ入力手段」に対応する。【００５１】
図２において、ネットワークインタフェース部１１は、ネットワークと接続されている通信機器との間でパケットを送受する手段であり、具体的には、ＬＡＮ（LocalAreaNetwork）またはＷＡＮ（WideAreaNetwork）などのネットワークと接続するためのネットワーク接続カード等によって構成される。【００５２】
入力部１７は、ネットワーク管理者から各種の情報や指示の入力を受付ける入力手段であり、キーボードやマウス、マイクなどによって構成され、例えば、後述するシグネチャリスト１６ａに新たに登録されるシグネチャの設定指示、既に登録されているシグネチャの修正指示や削除指示などを受け付けて入力する。なお、図２には示していないが、例えば、モニタ（若しくはディスプレイ、タッチパネル）やスピーカなど、各種の情報を出力する出力手段を備えて中継装置１０を構成するようにしてもよい。【００５３】
パケット取得部１２は、ネットワークインタフェース部１１が受信したパケットを取得し、取得したパケットの統計に関する統計情報を攻撃検出部１３に提供する処理部である。【００５４】
攻撃検出部１３は、パケット取得部１２によって提供された統計情報に基づいて、攻撃の検出および攻撃の分析を行う処理部であり、図２に図示するように、攻撃容疑検出条件テーブル１３ａ、不正トラヒック検出条件テーブル１３ｂおよび正規条件テーブル１３ｃにそれぞれ接続される。ここで、各テーブル１３ａ〜１３ｃに記憶される情報を具体的に説明した後に、攻撃検出部１３による処理内容を説明する。【００５５】
図３は、攻撃容疑検出条件テーブル１３ａに記憶される情報、より詳細には、受信パケットが攻撃パケットである可能性がある攻撃容疑パケットを検出するために使用される「攻撃容疑検出条件」の一例を示す図である。同図に示すように、攻撃容疑検出条件は、検出属性、検出閾値および検出間隔の組合せからなる複数組（ここでは３組）のレコードで構成され、かかる攻撃容疑検出条件の各レコードの内のいずれかのレコードの条件にトラヒックが一致した場合に、このトラヒックの通信パケットは攻撃容疑パケットであると認識される。なお、番号はレコードを特定するために便宜上使用されるものである。【００５６】
攻撃容疑検出条件の「検出属性」には、例えば、ＩＰパケットに含まれるＩＰヘッダ部の属性や、ＩＰパケットのペイロード部に含まれるＴＣＰヘッダ部またはＵＤＰヘッダ部の属性が指定される。具体的には、図３において、番号１のレコードの検出属性は、「DestinationIPAddress（宛先ＩＰアドレス）」が「192.168.1.1/32」であり（dst=192.168.1.1/32）、ＩＰの上位層（ＴＣＰまたはＵＤＰ）のプロトコル種別を示す「Protocol（プロトコル）」が「ＴＣＰ」であり（Protocol=TCP）、かつ、ＩＰの上位層プロトコルがどのアプリケーションの情報であるかを示す「DestinationPort（宛先ポート番号）」が「８０」である（Port=80）という属性値の組で指定される。【００５７】
また、番号２のレコード検出属性は、「DestinationIPAddress（宛先ＩＰアドレス）」が「192.168.1.2/32」であり（dst=192.168.1.2/32）、かつ、「Protocol（プロトコル）」が「ＵＤＰ（UserDatagramprotocol）」である（Protocol=UDP）という属性値の組で指定される。同様に、番号３のレコード検出属性は、「DestinationIPAddress（宛先ＩＰアドレス）」が「192.168.1.0/24」という属性で指定される。【００５８】
攻撃容疑検出条件の「検出閾値」は、同じレコードで指定される検出属性を持つ受信パケットのトラヒックを攻撃容疑トラヒックとして検出するための最低の伝送帯域を指定したものであり、攻撃容疑検出条件の「検出間隔」は、同じく最低の連続時間を指定したものである。なお、図３には示していないが、検出属性においては、「DestinationIPAddress（宛先ＩＰアドレス）」の値を無条件（ａｎｙ）とし、かつ、ＩＰの上位層のプロトコル種別を示す「Protocol（プロトコル）」が「ＩＣＭＰ（InternetControlMessageProtocol）」となる属性値の組を指定するようにしてもよい。【００５９】
図４は、不正トラヒック検出条件テーブル１３ｂに記憶される情報、より詳細には、攻撃容疑パケットのトラヒックから不正トラヒックを検出するために用いられる「不正トラヒック条件」の一例を示す図である。同図に示すように、不正トラヒック条件は、既知のＤＤｏＳ攻撃の複数のトラヒックパターンから構成され、攻撃容疑パケットのトラヒックがいずれかのトラヒックパターンに合致した場合に、不正トラヒックであると認識される。なお、番号はレコード（パターン）を特定するために便宜上使用されるものである。【００６０】
具体的には、番号１の不正トラヒック条件は、「伝送帯域Ｔ１Ｋｂｐｓ以上、パケットがＳ１秒以上連続送信されている」というトラヒックパターンを示している。また、番号２の不正トラヒック条件は、「伝送帯域Ｔ２Ｋｂｐｓ以上、ＩＣＭＰ（InternetControlMessageProtocol）上のエコー応答（EchoReply）メッセージのパケットがＳ２秒以上連続送信されている」というトラヒックパターンを示している。さらに、番号３の不正トラヒック条件は、「伝送帯域Ｔ３Ｋｂｐｓ以上、データが長すぎるためパケットに含まれるデータは複数ＩＰパケットに分割して送信していることを示すフラグメントパケットがＳ３秒以上連続送信されている」というトラヒックパターンを示している。【００６１】
図５は、正規条件テーブル１３ｃに記憶される情報、より詳細には、正当な利用者が利用している通信端末３０から送信されるパケットを表す「正規条件」の一例を示す図である。同図に示すように、正規条件は、ＩＰパケットにおける属性とそれら属性値の組からなる複数のレコードで構成される。なお、番号はレコード（パターン）を特定するために便宜上使用されるものである。【００６２】
具体的には、番号１のレコードの検出属性は、ＩＰの「SourceIPAddress（送信元ＩＰアドレス）」が「172.16.10.0/24」であることを指定し（src=172.16.10.0/24）、番号２のレコードの検出属性はＩＰ上のサービス品質を示す「TypeofService（サービスタイプ）」が「（１６進で）０１」であることを指定している（TOS=0x01）。このような正規条件には、例えば、サーバ所有者の会社の支店や、関連会社など、防御対象のサーバ２０等の送信元ＩＰアドレスが設定され、サーバ２０が収容されているＬＡＮの所有者が正規ユーザであると認識しているネットワークの送信元ＩＰアドレスなどが設定される。【００６３】
図２の説明に戻ると、攻撃検出部１３は、パケット取得部１２によって提供された統計情報に基づいて攻撃の検出を検出した場合に、攻撃容疑トラヒックの通信パケット（攻撃容疑パケット）を制限するための容疑シグネチャを生成する。具体的には、攻撃検出部１３は、図３に示した攻撃容疑検出条件に従って、検出間隔で指定されているより長い時間連続して、検出閾値で指定されている以上の伝送帯域を使用している、検出属性に合致するトラヒックをチェックし、各レコードの内のいずれかのレコードに合致した場合には、このトラヒックを攻撃容疑トラヒックとして検出し、このときに検出された攻撃容疑トラヒックが満たしている攻撃容疑検出条件のレコードの検出属性を容疑シグネチャとして生成する。【００６４】
また、攻撃検出部１３は、攻撃を検出した場合に、容疑シグネチャとともに正規シグネチャを生成する。具体的には、図５に示した正規条件を参照し、正規条件の全てのレコード毎に、容疑シグネチャとのＡＮＤ条件をとり、これを正規シグネチャとして生成する。この正規シグネチャは、容疑シグネチャから正規ユーザの通信パケットである正規パケットを許可するために用いられるシグネチャであるが、例えば、図３および図５の例を用いて説明すると、図３における番号１のレコードの条件で検出されるパケットの容疑シグネチャは、[dst=192.168.1.1/32,Protocol=TCP,Port=80]となり、図５において、正規シグネチャは、[src=172.16.10.24,dst=192.168.1.1/32,Protocol=TCP,Port=80]および[TOS=0x01,dst=192.168.1.1/32,Protocol=TCP,Port=80]となる。【００６５】
さらに、攻撃検出部１３は、図４に示した不正トラヒック条件のいずれかのパターンに合致するトラヒックを検出した場合に、不正トラヒックを制限するための不正シグネチャを生成する。具体的には、検出された不正トラヒック条件を満たすパケットの送信元ＩＰアドレスを不正アドレス範囲として特定し、この不正アドレス範囲であり、かつ、容疑シグネチャに合致するという条件を不正シグネチャとして生成する。【００６６】
上述してきた攻撃検出部１３によって生成された容疑シグネチャ、正規シグネチャおよび不正シグネチャは、後述する優先順位決定部１５の処理によってシグネチャリスト１６ａに登録される。なお、シグネチャリスト１６ａに登録されるシグネチャ（容疑シグネチャ、正規シグネチャおよび不正シグネチャ）としては、かかる攻撃検出部１３によって生成されたシグネチャの他に、後述するシグネチャ通信部１４を介して隣接中継装置から受信したシグネチャや、入力部１７を介してネットワーク管理者から入力されたシグネチャ（新たに設定されるシグネチャや修正されたシグネチャ）もある。【００６７】
図２において、シグネチャ通信部１４は、攻撃検出部１３が生成したシグネチャ等を隣接中継装置に送信するとともに、隣接中継装置から送信されたシグネチャを受信する処理部である。【００６８】
優先順位決定部１５は、後述するシグネチャリスト１６ａに登録するシグネチャ（シグネチャ通信部１４が受信したシグネチャ、攻撃検出部１３が生成したシグネチャ、入力部１７を介してネットワーク管理者が設定したシグネチャ）について優先順位を決定する処理部である。つまり、優先順位を決定した結果を表すシグネチャリスト１６ａを作成し、作成したシグネチャリスト１６ａをフィルタ部１６に登録する。なお、シグネチャには、特定のパケットが流入するときの帯域を制限するための制限情報が含まれる。【００６９】
ここで、図６を用いて、シグネチャリスト１６ａを説明する。図６は、シグネチャリスト１６ａに記憶される情報の例を示す図である。同図に示すように、シグネチャの種別には、ネットワーク管理者が設定した設定シグネチャと、中継装置１０で自動的に生成された自動生成シグネチャ（シグネチャ通信部１４が受信したシグネチャ、攻撃検出部１３が生成したシグネチャ）とに分けることができ、また、それぞれのシグネチャについても、不正なパケットを制限させるための不正シグネチャと、正当なパケットを許可するための正規シグネチャと、攻撃容疑パケットを制限するための容疑シグネチャとに分けることができる。【００７０】
そして、同図に示すように、本実施例において、優先順位決定部１５は、自動的に生成された「自動生成シグネチャ」よりも「設定シグネチャ」の方が優先度が高くなるように、シグネチャリスト１６ａに登録するシグネチャの優先順位を決定する。さらに、優先順位決定部１５は、同図に示すように、「正規シグネチャ」や「容疑シグネチャ」よりも「不正シグネチャ」の方が優先度が高くなるように、また、「容疑シグネチャ」よりも「正規シグネチャ」の方が優先度が高くなるように、シグネチャリスト１６ａに登録するシグネチャの優先順位を決定する。具体的には、図６の例では、シグネチャに対応付けられる優先順位が小さいほど優先度が高いことを意味しており、設定シグネチャ（シグネチャＡおよびシグネチャＢ）、不正シグネチャ（シグネチャＣ）、正規シグネチャ（シグネチャＤ）、容疑シグネチャ（シグネチャＥ及びシグネチャＦ）の順で優先度が低くなる。【００７１】
また、優先順位決定部１５は、例えば、図６に示したシグネチャＥおよびシグネチャＦのように、同一の種別内に複数のシグネチャがある場合には、それぞれのシグネチャに含まれる制限情報の内容に応じて優先順位を決定する。具体的に例を挙げれば、シグネチャの制限帯域（この制限帯域に含まれるパケットであれば通過を許可するという制限帯域）が小さいほど、シグネチャの優先度を高くする。【００７２】
また、優先順位決定部１５は、同一の種別内にある複数のシグネチャ（例えば、制限情報を含まない正規シグネチャ）について、シグネチャリスト１６ａに入力された順に優先度を高くするようにしてもよい。さらに、同一の種別内にある複数のシグネチャについて制限帯域が同じであった場合にも、シグネチャリスト１６ａに入力された順に優先度を高くするようにしてもよい。【００７３】
このように、優先順位決定部１５は、シグネチャの種別や制限帯域等に基づいて、シグネチャ通信部１４が受信したシグネチャ、攻撃検出部１３が生成したシグネチャ、並びに、入力部１７を介してネットワーク管理者が設定したシグネチャについて、優先順位を決定する。そして、優先順位決定部１５は、かかる優先順位が付与されたシグネチャをシグネチャリスト１６ａに登録する。【００７４】
図２において、フィルタ部１６は、ネットワークインタフェース部１１が受信したパケットを受け入れて、シグネチャリスト１６ａに基づいてパケットの通過（ネットワークインタフェース部１１からのパケットの出力）を制御する処理部である。具体的には、フィルタ部１６は、入力されたパケットについて、シグネチャリスト１６ａに登録された「不正シグネチャ」、「正規シグネチャ」、「容疑シグネチャ」のいずれかに該当するか（もしくはいずれにも該当しないか）を判別する処理を行うが、より詳細には、シグネチャリスト１６ａに登録されたシグネチャのなかから優先順位（優先度）の高い順にシグネチャを選択し、選択したシグネチャに該当するか否かを判別する。すなわち、図６に示した例で言えば、シグネチャＡからシグネチャＦの順にシグネチャを選択する。【００７５】
そして、フィルタ部１６は、入力されたパケットが、優先度に従って順に選択したいずれかのシグネチャの条件を満たしていた場合には、パケットを後述する所定のキューに入力する、または廃棄するなど、選択したシグネチャの内容に基づいてパケットの通過を制御するが、かかる制御の後には、この制御に用いたシグネチャよりも優先順位の低いシグネチャに対する処理を行わない。つまり、例を挙げれば、入力されたパケットがシグネチャＡおよびシグネチャＢの条件を満たさず、シグネチャＣの条件を満たしていた場合には、フィルタ部１６は、シグネチャＣに基づいてパケットを所定のキューに入力する、または廃棄するなど、不正シグネチャに対応する処理を行い、このように制御したパケットにおいて、シグネチャＣよりも優先順位の低いシグネチャとなるシグネチャＤからシグネチャＦを用いて処理することはしない。【００７６】
ここで、キューについて説明すると、フィルタ部１６は、不正シグネチャに該当するパケットは、不正なパケットを処理するための不正キューに入力し、容疑シグネチャに該当するパケットは、容疑ユーザ用の容疑キューに入力し、正規シグネチャに該当するパケットまたはいずれのシグネチャにも該当しないパケットは、正規ユーザ用の正規キューに入力する。その上で、フィルタ部１６は、正規キューに入力されたパケットについては、伝送帯域を制限せずにネットワークインタフェース部１１から出力し、容疑キューおよび不正キューに入力されたパケットについては、それぞれのシグネチャ（条件を満たすとして選択されたシグネチャ）が示す伝送帯域制限値に従って制限して出力する。【００７７】
なお、フィルタ部１６は、シグネチャリスト１６ａに登録されたシグネチャの検出属性等が所定の解除判断基準を満たした場合には、この所定の解除判断基準を満たしたシグネチャを解除し、解除したシグネチャに基づいてパケットの通過を制御する処理を停止する。【００７８】
［攻撃容疑パケット検出時の処理］
続いて、図７を参照して、上記した中継装置１０による攻撃容疑パケット検出時の動作処理を説明する。図７は、攻撃容疑パケット検出時の処理手順を示すフローチャートである。【００７９】
同図に示すように、中継装置１０の攻撃検出部１３は、図３に示した攻撃容疑検出条件テーブル１３ａに基づいて攻撃容疑トラヒックを検出すると（ステップＳ１）、容疑シグネチャおよび正規シグネチャを生成する（ステップＳ２）。そして、優先順位決定部１５は、攻撃検出部１３によって生成された容疑シグネチャおよび正規シグネチャを受け入れて、シグネチャの優先順位を決定する（ステップＳ３）。【００８０】
具体的には、優先順位決定部１５は、容疑シグネチャよりも正規シグネチャの方を優先順位を高く決定するとともに、容疑シグネチャの種別に対応するシグネチャが複数ある場合には、それぞれのシグネチャに含まれる制限情報の帯域が小さいほど、シグネチャの優先順位を高く決定する。さらに、既にシグネチャリスト１６ａに登録されている設定シグネチャの方が優先順位が高くなるように、攻撃検出部１３によって生成された容疑シグネチャおよび正規シグネチャの優先順位を決定する。【００８１】
その後、優先順位決定部１５は、優先順位を決定した結果を表すシグネチャリスト１６ａを作成し、作成したシグネチャリスト１６ａをフィルタ部１６に登録する（ステップＳ４）。さらに、シグネチャ通信部１４は、攻撃検出部１３が生成したシグネチャ等（本実施例では、容疑シグネチャおよび正規条件）を隣接中継装置に送信する（ステップＳ５）。なお、優先順位決定部１５は、攻撃容疑トラヒックを検出した場合だけでなく、後述するように、シグネチャ通信部１４が他の中継装置１０からシグネチャを受信した場合やネットワーク管理者がシグネチャを入力した場合にも、同様に優先順位を決定する。【００８２】
［シグネチャ受信時の処理］
続いて、図８を参照して、上記した中継装置１０によるシグネチャ受信時の動作処理を説明する。図８は、シグネチャ受信時の処理手順を示すフローチャートである。【００８３】
同図に示すように、中継装置１０のシグネチャ通信部１４が、隣接中継装置から送信されたシグネチャ等（本実施例では、容疑シグネチャおよび正規条件）を受信すると（ステップＳ１１）、攻撃検出部１３は、シグネチャ通信部１４が受信した正規条件に基づいて正規シグネチャを生成する（ステップＳ１２）。【００８４】
さらに、優先順位決定部１５は、シグネチャ通信部１４が受信した容疑シグネチャおよび攻撃検出部１３が生成した正規シグネチャを受け入れて、シグネチャの優先順位を決定する（ステップＳ１３）。ここで、優先順位の決定手法は、上記した攻撃容疑パケット検出時で採用するものと同様である。つまり、容疑シグネチャよりも正規シグネチャの方を優先順位を高く決定するとともに、容疑シグネチャの種別に対応するシグネチャが複数ある場合には、それぞれのシグネチャに含まれる制限情報の帯域が小さいほど、シグネチャの優先順位を高く決定する。さらに、既にシグネチャリスト１６ａに登録されている設定シグネチャの方が優先順位が高くなるように、隣接中継装置から受信した容疑シグネチャおよび攻撃検出部１３によって生成された正規シグネチャの優先順位を決定する。【００８５】
その後、優先順位決定部１５は、優先順位を決定した結果を表すシグネチャリスト１６ａを作成し、作成したシグネチャリスト１６ａをフィルタ部１６に登録する（ステップＳ１４）。さらに、シグネチャ通信部１４は、隣接中継装置から受信したシグネチャ等（本実施例では、受信した容疑シグネチャおよび正規条件）を隣接中継装置に送信する（ステップＳ１５）。【００８６】
［不正パケット検出時の処理］
続いて、図９を参照して、上記した中継装置１０による不正パケット検出時の動作処理を説明する。図９は、不正パケット検出時の処理手順を示すフローチャートである。【００８７】
同図に示すように、中継装置１０の攻撃検出部１３は、図４に示した不正トラヒック条件検出テーブル１３ｂ等に基づいて不正トラヒックを検出すると（ステップＳ２１）、不正シグネチャを生成する（ステップＳ２２）。そして、優先順位決定部１５は、攻撃検出部１３によって生成された不正シグネチャを受け入れて、シグネチャの優先順位を決定する（ステップＳ２３）。【００８８】
具体的には、優先順位決定部１５は、既にシグネチャリスト１６ａに登録されている設定シグネチャの方が優先順位が高くなるように、また、既にシグネチャリスト１６ａに登録されている容疑シグネチャや正規シグネチャよりも優先順位が高くなるように、攻撃検出部１３によって生成された不正シグネチャの優先順位を決定する。さらに、不正シグネチャの種別に対応するシグネチャが複数ある場合には、それぞれのシグネチャに含まれる制限情報の帯域が小さいほど、シグネチャの優先順位を高く決定する。【００８９】
その後、優先順位決定部１５は、優先順位を決定した結果を表すシグネチャリスト１６ａを作成し、作成したシグネチャリスト１６ａをフィルタ部１６に登録する（ステップＳ２４）。なお、優先順位決定部１５は、攻撃容疑トラヒックを検出した場合や、他の中継装置１０からシグネチャを受信した場合、不正パケットを検出した場合の他に、ネットワーク管理者から入力部１７を介してシグネチャを入力した場合にも、上記した優先順位の決定手法に従って、ネットワーク管理者が設定したシグネチャの優先順位を決定する。【００９０】
［実施例の効果］
上述してきたように、上記の実施例によれば、シグネチャリスト１６ａに登録されるシグネチャについて優先順位を決定しておき、優先順位の高い順にシグネチャを選択し、当該選択されたシグネチャに基づいてパケットの通過を制御するので、複数のシグネチャがある場合において所望の順序でパケットを処理することが可能になる。【００９１】
また、上記の実施例によれば、自動生成シグネチャよりも設定シグネチャの方に高い優先順位を付与するので、ネットワーク管理者が設定した設定シグネチャが優先的にパケットの制御に用いられる結果、ネットワーク管理者が意図する制御を優先的に行うことが可能になる。【００９２】
また、上記の実施例によれば、パケットの通過を所定の範囲で制限するための複数のシグネチャについては、制限の範囲が厳しいシグネチャの方に高い優先順位を付与するので、シグネチャに含まれる制限情報の帯域が厳しいシグネチャほど優先的にパケットの制御に用いられる結果、パケットの制御に矛盾を生じさせることなく、確実にパケットを処理することが可能になる。【００９３】
［他の実施例］
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。【００９４】
例えば、上記の実施例では、「容疑シグネチャ」よりも「正規シグネチャ」の方が優先度が高くなるように優先順位を決定する場合を説明したが、本発明はこれに限定されるものではなく、「正規シグネチャ」よりも「容疑シグネチャ」の方が優先度が高くなるように優先順位を決定するようにしてもよい。すなわち、上記の実施例で説明した優先順位の決定手法は、あくまでも一例であって、本発明はこれに限定されるものではなく、他の優先順位決定手法を採用する場合にも本発明を同様に適用することができる。【００９５】
また、上記の実施例では、攻撃検出時に「容疑シグネチャ」を必ず生成し、この「容疑シグネチャ」の生成時、もしくは、他の中継装置からの「容疑シグネチャ」の受信時に「正規シグネチャ」を生成する場合を説明したが、本発明はこれに限定されるものではなく、「容疑シグネチャ」を生成することなく「正規シグネチャ」を生成したり、「容疑シグネチャ」を受信することなく「正規シグネチャ」を生成したりするようにしてもよい。【００９６】
また、上記の実施例で図示した各装置（例えば、図１に例示した中継装置１０）の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、中継装置１０の分散・統合の具体的形態は図示のものに限られず、中継装置１０の全部または一部を各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、中継装置１０にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。【００９７】
また、上記の実施例で説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報（例えば、攻撃容疑検出条件テーブル、不正トラヒック検出条件テーブル、正規条件テーブルの内容等）については、特記する場合を除いて任意に変更することができる。【００９８】
なお、上記の実施例では、本発明を実現する各装置（例えば、中継装置１０）を機能面から説明したが、各装置の各機能はパーソナルコンピュータやワークステーションなどのコンピュータにプログラムを実行させることによって実現することもできる。すなわち、本実施例１で説明した各種の処理手順は、あらかじめ用意されたプログラムをコンピュータ上で実行することによって実現することができる。そして、これらのプログラムは、インターネットなどのネットワークを介して配布することができる。さらに、これらのプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。つまり、例を挙げれば、実施例に示したような中継装置用プログラムを格納したＣＤ−ＲＯＭを配布し、このＣＤ−ＲＯＭに格納されたプログラムを各コンピュータが読み出して実行するようにしてもよい。
【産業上の利用可能性】
【００９９】
以上のように、本発明に係る中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御システムは、パケットの通過を制御するためのシグネチャに基づいてネットワーク上のパケットの通過を制御する場合に有用であり、特に、複数のシグネチャがあっても所望の順序でパケットを処理することに適する。
【図１】
2006040895.tif 000002
【図２】
2006040895.tif 000003
【図３】
2006040895.tif 000004
【図４】
2006040895.tif 000005
【図５】
2006040895.tif 000006
【図６】
2006040895.tif 000007
【図７】
2006040895.tif 000008
【図８】
2006040895.tif 000009
【図９】
2006040895.tif 000010
【国際調査報告】
2006040895.tif 000011
2006040895.tif 000012