(57)【特許請求の範囲】
【請求項１】
ＩＤＳの前段に、受信した断片化ＩＰパケットが、過去に受信した断片化ＩＰパケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶ断片化ＩＰパケットであるとき、当該オーバラップ部分のデータ内容が一致しているか否かを判断し、不一致であるとき、前記受信した断片化ＩＰパケットを廃棄する手段を設けたことを特徴とするコンピュータシステム。
【請求項２】
ＩＤＳの前段に、受信したＩＰパケットがＴＣＰセグメントであるとき、過去に受信したＴＣＰセグメントが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶパケットであるとき、当該オーバラップ部分のデータ内容が一致しているか否かを判断し、不一致であるとき、前記受信したＴＣＰセグメントを廃棄する手段を設けたことを特徴とするコンピュータシステム。
【請求項３】
前記受信したオーバラップ部分のデータ内容が不一致である際に、その旨を外部に報知する手段を有してなる請求項１または２記載のコンピュータシステム。
【請求項４】
外部のネットワークに接続する外側ネットワークインタフェース、及び内部のネットワークに接続する内側ネットワークインタフェースと、前記ネットワークインタフェース相互間で受信パケットを転送するパケット転送機構と、
前記外側ネットワークインタフェースから前記内側ネットワークインタフェースへ転送したパケットを格納する過去パケットデータベースと、
前記外側ネットワークインタフェースが前記外部のネットワークよりパケットを受信した際に、当該受信パケットから、断片化されたＩＰパケットを抽出する断片化ＩＰパケット抽出機構と、
前記受信した断片化されたＩＰパケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶ断片化されたＩＰパケットを前記過去パケットデータベースから検索し、検索されたＩＰパケットと、当該受信パケットが運ぶデータのオーバラップ部分が一致しているか否かを比較照合する断片化ＩＰパケット比較機構と、
前記断片化ＩＰパケット比較機構が不一致を検出した際に、当該断片化されたＩＰパケットの転送を抑制するパケット転送制御機構と
を具備することを特徴とするＩＤＳ欺瞞防止装置。
【請求項５】
外部のネットワークに接続する外側ネットワークインタフェース、及び内部のネットワークに接続する内側ネットワークインタフェースと、前記ネットワークインタフェース相互間で受信パケットを転送するパケット転送機構と、
前記外側ネットワークインタフェースから前記内側ネットワークインタフェースへ転送したパケットを格納する過去パケットデータベースと、
前記外側ネットワークインタフェースが前記外部のネットワークよりパケットを受信した際に、当該受信パケットから、ＴＣＰセグメントを抽出するＴＣＰセグメント抽出機構と、
前記受信したＴＣＰセグメントが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶＴＣＰセグメントを前記過去パケットデータベースから検索し、検索されたＴＣＰセグメントと、当該受信パケットが運ぶデータのオーバラップ部分が一致しているか否かを比較するＴＣＰセグメント比較機構と、
前記ＴＣＰセグメント比較機構が不一致を検出した際に、当該ＴＣＰセグメントの転送を抑制するパケット転送制御機構と
を具備することを特徴とするＩＤＳ欺瞞防止装置。
【請求項６】
前記過去パケットデータベースは、受信時から一定時間経過したパケットを廃棄の対象とする機能を持つ請求項４または５記載のＩＤＳ欺瞞防止装置。
【請求項７】
前記過去パケットデータベースは、一定の保存領域を超えた際、最も古いデータから所定長のデータを破棄の対象とする機能をもつ請求項４または５記載のＩＤＳ欺瞞防止装置。
【請求項８】
ＩＤＳを用いたネットワークシステムのＩＤＳ欺瞞防止方法であって、２つのネットワークセグメント間でパケットを転送するにあたり、一方のネットワークセグメントからパケットを受信するステップと、当該パケットが断片化されたＩＰパケットであるか否かを判断するステップと、当該パケットが断片化されたＩＰパケットであった場合に、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶ断片化されたＩＰパケットを過去に転送した履歴の存在を検索するステップと、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶ断片化されたＩＰパケットを過去に転送した履歴が存在した場合に、検索されたＩＰパケットと、当該受信パケットが運ぶデータのオーバラップ部分が一致しているか否かを比較するステップと、当該受信したパケットと当該検索されたパケットが運ぶデータのオーバラップ部分が一致している場合に、他方のネットワークセグメントに当該受信したパケットを転送するステップとを具備して、ＩＤＳが欺瞞されることを防止することを特徴とするＩＤＳ欺瞞防止方法。
【請求項９】
ＩＤＳを用いたネットワークシステムのＩＤＳ欺瞞防止方法であって、２つのネットワークセグメント間でパケットを転送するにあたり、一方のネットワークセグメントからパケットを受信するステップと、当該パケットがＴＣＰセグメントであるか否かを判断するステップと、当該パケットがＴＣＰセグメントであった場合に、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶＴＣＰセグメントを過去に転送した履歴の存在を検索するステップと、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶＴＣＰセグメントを過去に転送した履歴が存在した場合に、検索されたパケットと、当該受信パケットが運ぶデータのオーバラップ部分が一致しているか否かを比較するステップと、当該受信したパケットと当該検索されたパケットが運ぶデータのオーバラップ部分が一致している場合に、他方のネットワークセグメントに当該受信したパケットを転送するステップとを具備して、ＩＤＳが欺瞞されることを防止することを特徴とするＩＤＳ欺瞞防止方法。
【請求項１０】
ＩＤＳ欺瞞防止機構を実現するコンピュータにより読み取り可能な記録媒体であって、
２つのネットワークセグメント間でパケットを転送するにあたり、一方のネットワークセグメントから受信したパケットが断片化されたＩＰパケットであることを判定する第１の機能と、この第１の機能の判定時に、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶ断片化されたＩＰパケットが過去に転送した履歴に存在することを判定する第２の機能と、この第２の機能の判定時に、当該検索されたＩＰパケットと、前記受信したパケットが運ぶデータのオーバラップ部分が一致していることを判定する第３の機能と、この第３の機能の判定時に、当該受信したパケットを他方のネットワークセグメントに転送する機能と
を実現させるためのプログラムを記録した機械読み取り可能な記録媒体。
【請求項１１】
ＩＤＳ欺瞞防止機構を実現するコンピュータにより読み取り可能な記録媒体であって、
２つのネットワークセグメント間でパケットを転送するにあたり、一方のネットワークセグメントから受信したパケットがＴＣＰセグメントであることを判定する第１の機能と、この第１の機能の判定時に、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶＴＣＰセグメントが過去に転送した履歴に存在することを判定する第２の機能と、この第２の機能の判定時に、当該検索されたパケットと、前記受信したパケットが運ぶデータのオーバラップ部分が一致していることを判定する第３の機能と、この第３の機能の判定時に、当該受信したパケットを他方のネットワークセグメントに転送する機能と
を実現させるためのプログラムを記録した機械読み取り可能な記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ＩＤＳを利用したネットワークシステムに適用される、コンピュータシステム、ＩＤＳ欺瞞防止装置、ＩＤＳ欺瞞防止方法およびそのプログラムを格納した記憶媒体に関する。
【０００２】
【従来の技術】
従来、ネットワークシステムに於いて、不正アクセスを監視する機構を実現するためにＩＤＳ（intrusion detection system；不正検知システム）が用いられていた。このＩＤＳと監視対象のサーバは、いずれも直接あるいはファイアウォールを介して外部ネットワークに接続されていた。この際の不正アクセスとして、データ領域がオーバラップし、当該オーバラップ部分が運ぶデータが異なるパケットを送るのは、ＩＤＳを欺瞞させる手段として、良く知られた方法である。
【０００３】
例えば、図６に示すネットワークシステムに於いて、当該システムで利用しているＩＤＳ６１が、外部ネットワーク６０から、パスワードファイルを不正に入手しようとする攻撃（不正アクセス）を受けることを想定し、これを識別するのに、例えば“ｇｅｔ＿ｐａｓｓｗｄ”という文字列の存在を利用していたとする。
【０００４】
ここで、同一のオフセットとデータ長を持つ、２つのフラグメント化（断片化）ＩＰパケットが、それぞれ、“ｇｅｔ＿ｐａｓｓｗｄ”および“ｇｅｔ＿ｐａｊａｍａ”というデータを運んできたとする。
【０００５】
これらのパケットデータのうち、いずれのパケットのデータがＩＤＳ６１および監視対象のサーバ６２において採用されるかは、監視対象のサーバ６２のＯＳやそれぞれのパケットの到着タイミングにより、一意に決定できない。
【０００６】
したがって、例えば、ＩＤＳ６１では“ｇｅｔ＿ｐａｊａｍａ”というパケットを採用し、監視対象のサーバ６２では“ｇｅｔ＿ｐａｓｓｗｄ”というパケットを採用したとすると、パスワードファイルを不正に入手しようとする攻撃は成功しているのに、ＩＤＳ６１は欺瞞されてしまい攻撃（不正アクセス）を検知できない。
【０００７】
従来、このように欺瞞されるのを回避しようとした場合、受信パケットが攻撃パケットであるか否かを判断するにあたり、考えられる全ての組合せで判断する必要があった。これは攻撃か否かを判断するために必要な時間の増加を招き、ＩＤＳの性能の低下をもたらし、場合によっては現実的な時間内での判断が不可能になるという問題があった。
【０００８】
あるいは、守るべきサーバのＯＳの振る舞いを想定し、どのデータが採用されるかを判断することで、受信パケットが攻撃パケットであるか否かを判断するために必要な時間の増加を避ける方法もあるが、ＩＤＳに、守るべきサーバがいずれのＯＳであるかを予め設定する必要があった。この際、ＯＳの振る舞いは、同一のＯＳでもバージョン等で異なる可能性があり、設定と異なる振る舞いをなされた場合、攻撃を見逃すという問題があった。
【０００９】
【発明が解決しようとする課題】
上述したように、ＩＤＳを利用したネットワークシステムに於いて、従来では、ＩＤＳに対する欺瞞を確実に防止することのできる機構が存在しなかった。
【００１０】
本発明は上記実情に鑑みなされたもので、ＩＤＳを利用したネットワークシステムに於いて、ＩＤＳを欺瞞させることを目的として、データ領域がオーバラップし、当該オーバラップ部分が運ぶデータが異なるパケットが送られてきた場合であっても、ＩＤＳが欺瞞されてしまう不都合を確実に防止できる、コンピュータシステム、ＩＤＳ欺瞞防止装置、ＩＤＳ欺瞞防止方法およびそのプログラムを格納した記憶媒体を提供することを目的とする。
【００１１】
【課題を解決するための手段】
本発明は、ＩＤＳを利用したネットワークシステムに於いて、ＩＤＳを欺瞞させることを目的として、データ領域がオーバラップし、当該オーバラップ部分が運ぶデータが異なるパケットを送られてきた場合に、当該パケットがＩＤＳに供給されない機構をもつことで、ＩＤＳが欺瞞されてしまう不都合を確実に防止することを特徴とする。
【００１２】
即ち、本発明は、ＩＤＳを備えたコンピュータシステムに於いて、ＩＤＳの前段に、受信した断片化ＩＰパケットが、過去に受信した断片化ＩＰパケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶ断片化ＩＰパケットであるとき、当該オーバラップ部分のデータ内容が一致しているか否かを判断し、不一致であるとき、前記受信した断片化ＩＰパケットを廃棄する手段を設けたことを特徴とする。
【００１３】
また、本発明は、ＩＤＳを備えたコンピュータシステムに於いて、ＩＤＳの前段に、受信したＩＰパケットがＴＣＰセグメントであるとき、過去に受信したＴＣＰセグメントが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶパケットであるとき、当該オーバラップ部分のデータ内容が一致しているか否かを判断し、不一致であるとき、前記受信したＴＣＰセグメントを廃棄する手段を設けたことを特徴とする。
【００１４】
また、本発明は、ＩＤＳを備えたネットワークシステムに適用されるＩＤＳ欺瞞防止装置であって、外部のネットワークに接続する外側ネットワークインタフェース、及び内部のネットワークに接続する内側ネットワークインタフェースと、前記ネットワークインタフェース相互間で受信パケットを転送するパケット転送機構と、前記外側ネットワークインタフェースから前記内側ネットワークインタフェースへ転送したパケットを格納する過去パケットデータベースと、前記外側ネットワークインタフェースが前記外部のネットワークよりパケットを受信した際に、当該受信パケットから、断片化されたＩＰパケットを抽出する断片化ＩＰパケット抽出機構と、前記受信した断片化されたＩＰパケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶ断片化されたＩＰパケットを前記過去パケットデータベースから検索し、検索されたＩＰパケットと、当該受信パケットが運ぶデータのオーバラップ部分が一致しているか否かを比較照合する断片化ＩＰパケット比較機構と、前記断片化ＩＰパケット比較機構が不一致を検出した際に、当該断片化されたＩＰパケットの転送を抑制するパケット転送制御機構とを具備することを特徴とする。
【００１５】
また、本発明は、ＩＤＳを備えたネットワークシステムに適用されるＩＤＳ欺瞞防止装置であって、外部のネットワークに接続する外側ネットワークインタフェース、及び内部のネットワークに接続する内側ネットワークインタフェースと、前記ネットワークインタフェース相互間で受信パケットを転送するパケット転送機構と、前記外側ネットワークインタフェースから前記内側ネットワークインタフェースへ転送したパケットを格納する過去パケットデータベースと、前記外側ネットワークインタフェースが前記外部のネットワークよりパケットを受信した際に、当該受信パケットから、ＴＣＰセグメントを抽出するＴＣＰセグメント抽出機構と、前記受信したＴＣＰセグメントが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶＴＣＰセグメントを前記過去パケットデータベースから検索し、検索されたＴＣＰセグメントと、当該受信パケットが運ぶデータのオーバラップ部分が一致しているか否かを比較するＴＣＰセグメント比較機構と、前記ＴＣＰセグメント比較機構が不一致を検出した際に、当該ＴＣＰセグメントの転送を抑制するパケット転送制御機構とを具備することを特徴とする。
【００１６】
また、本発明は、ＩＤＳを用いたネットワークシステムのＩＤＳ欺瞞防止方法であって、２つのネットワークセグメント間でパケットを転送するにあたり、一方のネットワークセグメントからパケットを受信するステップと、当該パケットが断片化されたＩＰパケットであるか否かを判断するステップと、当該パケットが断片化されたＩＰパケットであった場合に、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶ断片化されたＩＰパケットを過去に転送した履歴の存在を検索するステップと、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶ断片化されたＩＰパケットを過去に転送した履歴が存在した場合に、検索されたＩＰパケットと、当該受信パケットが運ぶデータのオーバラップ部分が一致しているか否かを比較するステップと、当該受信したパケットと当該検索されたパケットが運ぶデータのオーバラップ部分が一致している場合に、他方のネットワークセグメントに当該受信したパケットを転送するステップとを具備して、ＩＤＳが欺瞞されることを防止することを特徴とする。
【００１７】
また、本発明は、ＩＤＳを用いたネットワークシステムのＩＤＳ欺瞞防止方法であって、２つのネットワークセグメント間でパケットを転送するにあたり、一方のネットワークセグメントからパケットを受信するステップと、当該パケットがＴＣＰセグメントであるか否かを判断するステップと、当該パケットがＴＣＰセグメントであった場合に、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶＴＣＰセグメントを過去に転送した履歴の存在を検索するステップと、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶＴＣＰセグメントを過去に転送した履歴が存在した場合に、検索されたパケットと、当該受信パケットが運ぶデータのオーバラップ部分が一致しているか否かを比較するステップと、当該受信したパケットと当該検索されたパケットが運ぶデータのオーバラップ部分が一致している場合に、他方のネットワークセグメントに当該受信したパケットを転送するステップとを具備して、ＩＤＳが欺瞞されることを防止することを特徴とする。
【００１８】
また、本発明は、ＩＤＳ欺瞞防止機構を実現するコンピュータにより読み取り可能な記録媒体であって、２つのネットワークセグメント間でパケットを転送するにあたり、一方のネットワークセグメントから受信したパケットが断片化されたＩＰパケットであることを判定する第１の機能と、この第１の機能の判定時に、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶ断片化されたＩＰパケットが過去に転送した履歴に存在することを判定する第２の機能と、この第２の機能の判定時に、当該検索されたＩＰパケットと、前記受信したパケットが運ぶデータのオーバラップ部分が一致していることを判定する第３の機能と、この第３の機能の判定時に、当該受信したパケットを他方のネットワークセグメントに転送する機能とを実現させるためのプログラムを記録したことを特徴とする。
【００１９】
また、本発明は、ＩＤＳ欺瞞防止機構を実現するコンピュータにより読み取り可能な記録媒体であって、２つのネットワークセグメント間でパケットを転送するにあたり、一方のネットワークセグメントから受信したパケットがＴＣＰセグメントであることを判定する第１の機能と、この第１の機能の判定時に、当該パケットが運ぶデータ領域の一部あるいは全部とオーバラップするデータ領域を運ぶＴＣＰセグメントが過去に転送した履歴に存在することを判定する第２の機能と、この第２の機能の判定時に、当該検索されたパケットと、前記受信したパケットが運ぶデータのオーバラップ部分が一致していることを判定する第３の機能と、この第３の機能の判定時に、当該受信したパケットを他方のネットワークセグメントに転送する機能とを実現させるためのプログラムを記録したことを特徴とする。
【００２０】
上記したような本発明のＩＤＳ欺瞞防止機能をもつことにより、ＩＤＳを欺瞞させることを目的として、データ領域がオーバラップし、当該オーバラップ部分が運ぶデータが異なるパケットが送られてきた場合であっても、当該パケットのＩＤＳへの供給を排除して、ＩＤＳが欺瞞されてしまう不都合を確実に防止できる。
【００２１】
【発明の実施の形態】
以下図面を参照して本発明の実施形態を説明する。
【００２２】
図１は本発明の実施形態に於ける要部のシステム構成要素を示すブロック図である。ここでは、ＩＤＳが設けられる側のネットワークを内部ネットワークと称し、外部のネットワークシステムにつながる側のネットワークを外部ネットワークと称す。
【００２３】
図中、１００は、外部ネットワーク１０と、内部ネットワーク２０との間に介在されたＩＤＳ欺瞞防止装置であり、後述するＩＤＳの前段に於いてＩＤＳが欺瞞される虞のあるパケットの転送を抑止する機能をもつ。このＩＤＳ欺瞞防止装置１００の構成は図２を参照して後述する。
【００２４】
２００は上記内部ネットワーク２０に接続された、不正アクセスを監視するＩＤＳ（不正検知システム）であり、外部より到来した、内部ネットワーク２０上の不正アクセスによるパケットを検知する。
【００２５】
３００は上記内部ネットワーク２０に接続された、ＩＤＳ２００の監視対象にあるサーバであり、ＩＤＳ２００によって不正アクセスが監視される。
【００２６】
図２は上記図１に示すＩＤＳ欺瞞防止装置１００の構成を示すブロック図である。
【００２７】
上記した本発明の実施形態によるＩＤＳ欺瞞防止装置１００は、外側のネットワークインタフェース１０１、内側のネットワークインタフェース１０２、断片化ＩＰパケット抽出機構１０３、断片化ＩＰパケット比較機構１０４、パケット転送制御機構１０５、パケット転送機構１０６、過去パケットデータベース１０７、ＴＣＰセグメント抽出機構１１１、ＴＣＰセグメント比較機構１１２等の構成要素を有して実現される。
【００２８】
外側のネットワークインタフェース１０１は外部ネットワーク１０に接続され、内側のネットワークインタフェース１０２は内部ネットワーク２０に接続されて、それぞれ、ネットワークセグメントのパケットを送受信する機能をもつ。
【００２９】
断片化ＩＰパケット抽出機構１０３は、外側のネットワークインタフェース１０１が受信したパケットから、断片化ＩＰパケットを抽出して、断片化ＩＰパケット比較機構１０４へ渡す機能をもつ。
【００３０】
断片化ＩＰパケット比較機構１０４は、断片化ＩＰパケット抽出機構１０３により抽出されたＩＰパケットとオーバラップするデータを運ぶ断片化ＩＰパケットが、過去パケットデータベース１０７に登録されているか否かを検索し、登録されていた場合、両パケットの運ぶデータが一致するか否かを比較し、異なっていた場合、パケット転送制御機構１０５に、パケット廃棄指示信号（ＤＴ１）を送出して、外側のネットワークインタフェース１０１が受信したパケットの転送を抑制するよう指示する機能をもつ。
【００３１】
パケット転送制御機構１０５は、断片化ＩＰパケット比較機構１０４より受けたパケット廃棄指示信号（ＤＴ１）、またはＴＣＰセグメント比較機構１１２より受けたパケット廃棄指示信号（ＤＴ２）に従い、パケット転送機構１０６を制御して、当該指示を受けたパケットの転送を抑制する機能をもつ。
【００３２】
パケット転送機構１０６は、上記パケット転送制御機構１０５の制御に従い、外側のネットワークインタフェース１０１で受信したパケットを内側のネットワークインタフェース１０２へ転送する機能、及び内側のネットワークインタフェース１０２で受信したパケットを外側のネットワークインタフェース１０１へ転送する機能をもつ。また、上記パケット廃棄指示信号（ＤＴ１，ＤＴ２）に従うパケット転送制御機構１０５の制御で上記パケットの転送を抑制（廃棄）する機能をもつ。
【００３３】
過去パケットデータベース１０７は、パケット転送機構１０６が、外側のネットワークインタフェース１０１で受け、内側のネットワークインタフェース１０２に転送した過去のパケットを保持する機能をもつ。
【００３４】
ＴＣＰセグメント抽出機構１１１は、外側のネットワークインタフェース１０１が外部ネットワーク１０より受信したパケットから、ＴＣＰセグメントを抽出して、ＴＣＰセグメント比較機構１１２へ渡す機能をもつ。
【００３５】
ＴＣＰセグメント比較機構１１２は、ＴＣＰセグメント抽出機構１１１により抽出されたＩＰパケットとオーバラップするデータを運ぶＴＣＰセグメントが、過去パケットデータベース１０７に登録されているか否かを検索し、登録されていた場合、両パケットの運ぶデータが一致するか否かを比較し、異なっていた場合、パケット転送制御機構１０５に、パケット廃棄指示信号（ＤＴ２）を送出して、外側のネットワークインタフェース１０１が受信したパケットの転送を抑制するよう指示する機能をもつ。
【００３６】
図３及び図４はそれぞれ上記実施形態に於ける動作を説明するための、転送パケットの構成例を簡易化して示す図であり、図３（ａ）は断片化されたＩＰパケットの構成を説明するための図、同図（ｂ）は、オーバラップする（オフセット／データ長が重なる）データを運ぶ断片化ＩＰパケットであって、運ぶデータが、異なる（ｇｅｔ＿ｐａｓｓｗｄ／ｇｅｔ＿ｐａｊａｍａ）例を示す図である。図４（ａ）はＴＣＰセグメントの構成例を示す図、同図（ｂ）は、オーバラップする（シーケンス番号／データ長が重なる）データを運ぶＴＣＰセグメントであって、運ぶデータが異なる（Ａ，Ｂ，Ｃ…／Ｄ，Ｅ，Ｆ…）例を示す図である。尚、上記オーバラップは、オフセット／データ長若しくはシーケンス番号／データ長の一部が重なる場合を含む。
【００３７】
図５は上記実施形態に於けるＩＤＳ欺瞞防止装置１００の動作手順を示すフローチャートである。
【００３８】
ここで上記各図を参照して本発明の実施形態に於ける動作を説明する。
【００３９】
ここでは、図２に示す本発明に係るＩＤＳ欺瞞防止装置１００が、図１に示すように、外部ネットワーク１０と、ＩＤＳ２００、及び監視対象サーバ３００が接続された内部ネットワーク２０との間に接続されている。
【００４０】
ここで、外部ネットワーク１０を介して外側のネットワークインタフェース１０１が受信した２つのフラグメント化（断片化）ＩＰパケットが、同一のオフセット及びデータ長を持ち、その一方のフラグメント化ＩＰパケットが、“ｇｅｔ＿ｐａｓｓｗｄ”、次くフラグメント化ＩＰパケットが、“ｇｅｔ＿ｐａｊａｍａ”というデータをそれぞれ運んできたとする（図３（ｂ）参照）。
【００４１】
この際は、まず、“ｇｅｔ＿ｐａｊａｍａ”というデータを運ぶパケットが外側のネットワークインタフェース１０１で受信される（図５ステップＳ１）。
【００４２】
上記外側のネットワークインタフェース１０１で受信されたパケットは、断片化ＩＰパケット抽出機構１０３で抽出され、断片化ＩＰパケット比較機構１０４に渡される。
【００４３】
断片化ＩＰパケット比較機構１０４は、上記受信パケットを受けると、過去パケットデータベース１０７を参照して、当該受信したパケットとデータ領域がオーバラップする断片化ＩＰパケットを検索する（図５ステップＳ２）。
【００４４】
この時点では、当該受信したパケットとデータ領域がオーバラップする断片化ＩＰパケットは、過去パケットデータベース１０７内に存在しないため、断片化ＩＰパケット比較機構１０４は、パケット転送制御機構１０５に、パケットの転送の抑制は指示しない。即ち、パケット廃棄指示信号（ＤＴ１）を出力しない。従って、当該受信したパケットは、パケット転送機構１０６により内側のネットワークインタフェース１０２に渡され、内部ネットワーク２０に送信される（図５ステップＳ３ Yes）。
【００４５】
次に、“ｇｅｔ＿ｐａｓｓｗｄ”というデータを運ぶパケットが外側のネットワークインタフェース１０１で受信される（図５ステップＳ１）。
【００４６】
上記外側のネットワークインタフェース１０１で受信されたパケットは、断片化ＩＰパケット抽出機構１０３で抽出され、断片化ＩＰパケット比較機構１０４に渡される。
【００４７】
断片化ＩＰパケット比較機構１０４は、上記受信パケットを受けると、過去パケットデータベース１０７を参照して、当該受信したパケットとデータ領域がオーバラップする断片化ＩＰパケットを検索する（図５ステップＳ２）。
【００４８】
この際、上記過去パケットデータベース１０７の検索の結果、“ｇｅｔ＿ｐａｊａｍａ”というデータを運ぶパケットが、当該受信したパケットとデータ領域がオーバラップする断片化ＩＰパケットとして取り出される。
【００４９】
断片化ＩＰパケット比較機構１０４は、上記受信したパケットと上記過去パケットデータベース１０７の検索で取り出されたパケットの運ぶデータが図３（ｂ）に示すように異なる（ｇｅｔ＿ｐａｓｓｗｄ／ｇｅｔ＿ｐａｊａｍａ）ことから、パケット転送制御機構１０５に、パケットの転送の抑制を指示する。即ち、パケット廃棄指示信号（ＤＴ１）を送出する（図５ステップＳ３  No）。これにより、パケット転送制御機構１０５の制御の下にパケット転送機構１０６は外側のネットワークインタフェース１０１で受信したパケットを内側のネットワークインタフェース１０２側へ送出しない。従って、当該受信したパケットの転送は抑制され（破棄され）内部ネットワーク２０に送信されない（図５ステップＳ４）。
【００５０】
このようにして断片化パケットの転送制御が行われることから、仮に、ＩＤＳ２００では、先に届いた断片化ＩＰパケットが運ぶデータを採用し、当該監視対象のサーバ３００では、後から届いた断片化ＩＰパケットが運ぶデータを採用するとしても、ＩＤＳ２００が欺瞞されて攻撃の検知に失敗することはない。
【００５１】
このようにして、ＩＤＳを欺瞞させることを目的として、データ領域がオーバラップし、当該オーバラップ部分が運ぶデータが異なるパケットを送られてきた場合であっても、ＩＤＳが欺瞞されて攻撃を見逃してしまう不具合を確実に防止できる。
【００５２】
また、外側のネットワークインタフェース１０１で受信したパケットがＴＣＰセグメントである際は、このＴＣＰセグメントがＴＣＰセグメント抽出機構１１１で抽出され、ＴＣＰセグメント比較機構１１２へされる。
【００５３】
ＴＣＰセグメント比較機構１１２は、ＴＣＰセグメント抽出機構１１１により抽出されたＩＰパケットとオーバラップするデータを運ぶＴＣＰセグメントが、過去パケットデータベース１０７に登録されているか否かを検索し、登録されていた場合、両パケットの運ぶデータが一致するか否かを比較し、図４（ｂ）に示すように運ぶデータ（Ａ，Ｂ，Ｃ，…／Ｄ，Ｅ，Ｆ…）が異なっていた場合、パケット転送制御機構１０５に、パケット廃棄指示信号（ＤＴ２）を送出して、外側のネットワークインタフェース１０１が受信したパケットの転送を抑制するよう指示する。
【００５４】
これにより、パケット転送制御機構１０５の制御の下にパケット転送機構１０６は外側のネットワークインタフェース１０１で受信したパケットを内側のネットワークインタフェース１０２側へ送出しない。従って、当該受信したパケットの転送は抑制され（破棄され）内部ネットワーク２０に送信されない（図５ステップＳ４）。
【００５５】
このようにしてＴＣＰセグメントの転送制御に於いても上記した断片化ＩＰパケットの転送席の場合と同様に、ＩＤＳ２００が欺瞞されて攻撃の検知に失敗することはない。従って、ＩＤＳを欺瞞させることを目的として、データ領域がオーバラップし、当該オーバラップ部分が運ぶデータが異なるＴＣＰセグメントが送られてきた場合であっても、ＩＤＳが欺瞞されて攻撃を見逃してしまう不具合を確実に防止できる。
【００５６】
【発明の効果】
以上詳記したように本発明によれば、ＩＤＳを欺瞞させることを目的として、データ領域がオーバラップし、当該オーバラップ部分が運ぶデータが異なるパケットを送られてきた場合であっても、ＩＤＳが欺瞞されて攻撃を見逃してしまう不具合を確実に防止できる。
【図面の簡単な説明】
【図１】本発明の実施形態に於ける要部のシステム構成要素を示すブロック図。
【図２】本発明の実施形態に於けるＩＤＳ欺瞞防止装置の構成を示すブロック図。
【図３】上記実施形態に於ける動作を説明するための、転送パケットの構成例を簡易化して示す図。
【図４】上記実施形態に於ける動作を説明するための、転送パケットの構成例を簡易化して示す図。
【図５】上記実施形態に於けるＩＤＳ欺瞞防止装置の動作手順を示すフローチャートである。
【図６】ＩＤＳを利用した従来のネットワークシステムの構成例を示すブロック図。
【符号の説明】
１０…外部ネットワーク
２０…内部ネットワーク（ＩＤＳ及び監視対象サーバが接続されたるネットワーク）
１００…ＩＤＳ欺瞞防止装置１００
１０１…外側のネットワークインタフェース
１０２…内側のネットワークインタフェース
１０３…断片化ＩＰパケット抽出機構
１０４…断片化ＩＰパケット比較機構
１０５…パケット転送制御機構
１０６…パケット転送機構
１０７…過去パケットデータベース
１１１…ＴＣＰセグメント抽出機構
１１２…ＴＣＰセグメント比較機構
２００…ＩＤＳ
３００…監視対象サーバ
ＤＴ１，ＤＴ２…パケット廃棄指示信号
【図１】
0003831201.tif 000002
【図２】
0003831201.tif 000003
【図３】
0003831201.tif 000004
【図４】
0003831201.tif 000005
【図５】
0003831201.tif 000006
【図６】
0003831201.tif 000007