JP2004146931A

JP2004146931A - Packet transfer apparatus and information notice method at illegitimate access detection by the packet transfer apparatus

Info

Publication number: JP2004146931A
Application number: JP2002307124A
Authority: JP
Inventors: Isao Ueki; 植木　勇雄
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2002-10-22
Filing date: 2002-10-22
Publication date: 2004-05-20
Anticipated expiration: 2022-10-22
Also published as: JP3689079B2

Abstract

<P>PROBLEM TO BE SOLVED: To provide a packet transfer apparatus with which a manager can efficiently and accurately grasp the actual state of an illegitimate access when the apparatus detects a packet related to the illegitimate access, and to provide a method for notifying information when the packet transfer apparatus detects the illegitimate access. <P>SOLUTION: When discriminating a packet received by a packet transmission/reception section 11 to be a packet related to an illegitimate access, the packet transfer apparatus 10 refers to an illegitimate access history, discriminates whether the packet is addressed to a transmission destination not illegitimately accessed in the past, and informs a designated computer on detailed information such as the packet reception time, sender and transmission destination when the packet transmission destination is a destination not illegitimately accessed in the past. <P>COPYRIGHT: (C)2004,JPO

Description

【０００１】
【発明の属する技術分野】
本発明は、ネットワークセグメント間でパケットを転送するパケット転送装置、およびパケット転送装置の不正アクセス検知時に於ける情報通知方法に関する。
【０００２】
【従来の技術】
複数のネットワークセグメントに接続され、ネットワークセグメント間でパケットを転送するパケット転送装置に於いて、パケット転送装置が不正アクセスに関わるパケットを検知した場合の管理者への通知方法として、不正アクセスを検知する度に管理者に通知を行なうという方法、不正アクセスを検知した際に管理者に一度だけ通知を行なうという方法、不正アクセスの種類毎に一度だけ通知を行なう方法等が考えられる。
【０００３】
しかしながら、不正アクセスを検知する度に管理者に通知を行なう方法は、例えば同一送信者から同一の不正アクセス方法で不正アクセスを大量に受けた場合、管理者に大量の通知が届いてしまうことから、管理者が本来必要とする情報を容易に把握できないという問題がある。
【０００４】
また、管理者に一度だけ通知を行なう方法は、同一の不正アクセス方法で複数の送信先から不正アクセスがあった場合であっても、管理者への通知が一度しか行なわれないことから、管理者が不正アクセスの情報（実態）を正確に把握できないという問題がある。
【０００５】
また、管理者に、不正アクセスの種類毎に一度だけ通知を行なう方法は、パケット転送装置の複数の転送先に同一のアクセス方法で不正アクセスがあった場合であっても、管理者への通知が一度しか行なわれないことから、管理者が不正アクセスの情報（実態）を正確に把握できないという問題がある。
【０００６】
【発明が解決しようとする課題】
上述したように従来では、パケット転送装置に於いて不正アクセスに関わるパケットを検知した場合の管理者への通知機能に於いて、管理者が不正アクセスの実態を容易にかつ正確に把握できる有効な通知機能が存在しなかった。
【０００７】
本発明は上記実情に鑑みなされたもので、不正アクセスに関わるパケットを検知した場合に、その不正アクセスの実態を管理者が効率よく正確に把握できるパケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法を提供することを目的とする。
【０００８】
【課題を解決するための手段】
本発明は、パケット転送装置の不正アクセス検知機構に於いて、不正アクセスに関わるパケットを検知した際の管理者への通知に際し、通知する情報の有用性を判定し、有用な情報のみを管理者に通知する処理を介在したことを特徴とする。
【０００９】
即ち、本発明は、ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定するパケット解析手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットの存在及び詳細情報を不正アクセス履歴として記録する不正アクセス履歴記録手段とを具備したパケット転送装置に於いて、前記パケット解析手段に、前記ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであることを判定した際、前記不正アクセス履歴記録手段に記録された不正アクセス履歴を参照して、前記不正アクセスに関わるパケットであると判定したパケットの送信元が、過去に存在する不正パケットの送信元であるか否かを判定する判定手段と、前記判定手段が過去に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知する通知手段とを具備したことを特徴とする。
【００１０】
また、本発明は、ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定するパケット解析手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットの存在及び詳細情報を不正アクセス履歴として記録する不正アクセス履歴記録手段とを具備したパケット転送装置に於いて、前記パケット解析手段に、前記ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであることを判定した際、前記不正アクセス履歴記録手段に記録された不正アクセス履歴を参照して、前記不正アクセスに関わるパケットであると判定したパケットの送信先が、過去に存在する不正パケットの送信先であるか否かを判定する判定手段と、前記判定手段が過去に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知する通知手段とを具備したことを特徴とする。
【００１１】
また、本発明は、前記パケット転送装置に於いて、前記判定手段は、前記不正アクセス履歴記録手段に記録された、過去の一定時間内の不正アクセス履歴を参照して判定を行うことを特徴とする。
【００１２】
また、本発明は、前記パケット転送装置に於いて、前記判定手段は、前記不正アクセス履歴記録手段に記録された不正アクセス履歴から、設定された任意のタイミング以降の不正アクセス履歴を参照して判定を行うことを特徴とする。
【００１３】
また、本発明は、前記パケット転送装置に於いて、前記パケット解析手段は、前記通知手段による通知が成功しない際に、該当する不正アクセスに関わるパケットの存在及び詳細情報を、以降に前記判定手段が参照する不正アクセス履歴から除外する制御手段を具備したことを特徴とする。
【００１４】
また、本発明は、前記パケット転送装置に於いて、前記パケット解析手段は、前記通知手段が不正アクセスに関わるパケットの存在及び詳細情報を外部の機器に通知する際、当該通知の対象となる詳細情報をもとに通知先となる外部の機器を決定する手段を具備したことを特徴とする。
【００１５】
また、本発明は、パケット転送装置の不正アクセス検知時に於ける情報通知方法に於いて、ネットワークセグメントの間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットであると判定した際に、当該パケットの存在及び詳細情報を不正アクセス履歴として記録するステップと、前記不正アクセスに関わるパケットであると判定したパケットについて、前記記録した不正アクセス履歴のすべて若しくは一部を参照して、過去の不正アクセス履歴に存在しない不正パケットの送信元であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知するステップとを具備したことを特徴とする。
【００１６】
また、本発明は、パケット転送装置の不正アクセス検知時に於ける情報通知方法に於いて、ネットワークセグメントの間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットであると判定した際に、当該パケットの存在及び詳細情報を不正アクセス履歴として記録するステップと、前記不正アクセスに関わるパケットであると判定したパケットについて、前記記録した不正アクセス履歴のすべて若しくは一部を参照して、過去の不正アクセス履歴に存在しない不正パケットの送信先であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知するステップとを具備したことを特徴とする。
【００１７】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態を説明する。
【００１８】
図１は本発明に係るパケット転送装置を用いたネットワークシステムの構成を示すブロック図である。
【００１９】
図１に於いて、パケット転送装置１０は、複数のクライアント計算機が接続されたネットワークセグメント（クライアント側のネットワークセグメント）１００と、複数のサーバ計算機２０，２０，…が接続されたネットワークセグメント（サーバ側のネットワークセグメント）２００との間に接続され、クライアント側のネットワークセグメント１００とサーバ側のネットワークセグメント２００との間の通信時に於いて、パケットを転送する機能をもつ。
【００２０】
図２は上記パケット転送装置１０の構成を示すブロック図である。
【００２１】
パケット転送装置１０には、図２に示すように、それぞれ異なるネットワークセグメントを接続対象とした２つのパケット送受信部１１，１２と、不正アクセスに関わるパケットを検知するパケット解析機構１３とが設けられる。
【００２２】
パケット転送装置１０に於いて、パケット送受信部１１は、クライアント側のネットワークセグメント１００に接続され、パケット送受信部１２は、サーバ側のネットワークセグメント２００に接続される。
【００２３】
パケット送受信部１１は、クライアント側のネットワークセグメント１００からパケットを受信すると、その受信したパケットをパケット解析機構１３に送出する。
【００２４】
パケット解析機構１３は、パケット送受信部１１で受信したパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットでなければ、そのパケットをパケット送受信部１２に渡す。パケット送受信部１２はパケット解析機構１３を介して受けたパケットをサーバ側のネットワークセグメント２００へ送出する。
【００２５】
また、パケット解析機構１３に於いて、パケット送受信部１１で受信したパケットが不正アクセスに関わるパケットであると判定した際は、そのパケットをパケット送受信部１２に渡さずに廃棄して、不正アクセスに関わるパケットであると判定したパケットの通過を防ぐ。
【００２６】
パケット送受信部１２は、サーバ側のネットワークセグメント２００からパケットを受信すると、その受信したパケットをパケット送受信部１１に渡す。パケット送受信部１１はパケット送受信部１２より受けたパケットをクライアント側のネットワークセグメント１００へ送出する。
【００２７】
図３は上記図２に示したパケット解析機構１３の構成要素を示すブロック図である。
【００２８】
パケット解析機構１３には、図３に示すように、パケット解析処理部１３１、パケット通過処理部１３２、不正アクセス履歴保持部１３３、不正アクセス情報通知部１３４等が設けられる。この図３に示す各構成要素はソフトウェアにより実現されるもので、ここでは、不正アクセス履歴保持部１３３が不正アクセス履歴を記録する記録部を有し、この記録部上でパケット解析処理部１３１の指示に従い不正アクセス履歴を記録し更新し管理する処理機能をもつものとする。
【００２９】
パケット解析処理部１３１は、パケット送受信部１１が受信したパケットのデータを解析し、不正アクセスに関わるパケットであるか否かを判定する。不正アクセスに関わるパケットであると判定した場合は、その旨をパケット通過処理部１３２、不正アクセス履歴保持部１３３、及び不正アクセス情報通知部１３４に通知する処理機能をもつ。更に、その不正アクセスに関わるパケットの存在及び詳細情報（不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等）を不正アクセス履歴として不正アクセス履歴保持部１３３に通知するとともに、不正アクセス履歴保持部１３３を参照して、上記不正アクセスに関わるパケットの検知情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定し、情報通知をすべきであると判定した場合は、その旨を不正アクセス情報通知部１３４に通知する処理機能をもつ。
【００３０】
パケット通過処理部１３２は、パケット送受信部１１が受信したパケットについて、パケット解析処理部１３１に問い合わせ、その問い合わせた結果に従い、受信したパケットを転送するか否か（パケット送受信部１２に渡すか否か）を制御するパケット転送制御処理機能をもつ。
【００３１】
不正アクセス履歴保持部１３３は、パケット解析処理部１３１が不正アクセスに関わるパケットであると判定した場合に、そのパケットの受信時刻や送信元、送信先等の詳細情報を不正アクセス履歴として記録する機能をもつ。
【００３２】
不正アクセス情報通知部１３４は、パケット解析処理部１３１が情報通知すべきと判定した場合に、不正アクセス履歴保持部１３３で保持する不正アクセスに関わる詳細情報（不正アクセスの情報）を監視を行う所定の計算機に通知する機能をもつ。
【００３３】
図４は上記不正アクセス履歴保持部１３３に記録された不正アクセス履歴の一例を示す図である。
【００３４】
パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定した場合、不正アクセス履歴保持部１３３に、不正アクセス履歴として、上記不正アクセスに関わるパケットの受信日時、及び送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を通知する。不正アクセス履歴保持部１３３は上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する。尚、図４に示す不正アクセス履歴の記録例では、上記詳細情報に対応して、後述する識別子１及び識別子２が記録される。
【００３５】
図５乃至図７はそれぞれ本発明の第１実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図５はパケット転送時の不正アクセス検知処理手順を示すフローチャート、図６は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャート、図７は不正アクセス検知時の情報通知処理手順を示すフローチャートである。
【００３６】
図８及び図９はそれぞれ本発明の第２実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図８は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャート、図９は不正アクセス検知時の情報通知処理手順を示すフローチャートである。尚、この第２実施形態に於いて、パケット転送時の不正アクセス検知処理手順については、図５に示す第１実施形態の不正アクセス検知処理手順と同様であるので同図を援用する。
【００３７】
図１０及び図１１はそれぞれ本発明の第３実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１０は不正アクセス履歴に識別子１を付加する処理手順を示すフローチャート、図１１は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００３８】
図１２及び図１３はそれぞれ本発明の第４実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１２は不正アクセス履歴に識別子１を付加する処理手順を示すフローチャート、図１３は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００３９】
図１４及び図１５はそれぞれ本発明の第５実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１４は不正アクセス監視を行う指定計算機への情報通知エラー時の処理手順を示すフローチャート、図１５は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００４０】
図１６は本発明の第６実施形態に於ける不正アクセス情報通知先計算機一覧の構成例を示す図である。図１７は本発明の第６実施形態に於ける不正アクセス情報をもとにした通知先振り分け処理の手順を示すフローチャートである。
【００４１】
ここで、上記各図を参照して本発明の第１乃至第６実施形態に於ける不正アクセス検知時の情報通知処理動作を説明する。
【００４２】
先ず、図１乃至図７を参照して本発明の第１実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第１実施形態では、パケット転送装置１０のパケット送受信部１１で受信した不正アクセスに関わるパケットであると判定したパケットについて、そのパケットの送信元が、過去の不正アクセス履歴に存在しない不正パケットの送信元であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知する機能を実現している。
【００４３】
パケット転送装置１０は、パケット転送時に於いて、図５に示すような不正アクセス検知処理を実行する。
【００４４】
パケット転送装置１０に於いて、パケット送受信部１１がクライアント側のネットワークセグメント１００からパケットを受信すると、パケット解析機構１３のパケット通過処理部１３２は、当該受信パケットが不正アクセスに関わるパケットであるか否かをパケット解析処理部１３１に問い合わせる（図５ステップＳ１０１）。
【００４５】
パケット解析処理部１３１は、パケット送受信部１１が受信したパケットのデータを解析し、不正アクセスに関わるパケットであるか否かを判定して（図５ステップＳ１０２，Ｓ１０３）、その判定結果をパケット通過処理部１３２に通知する（図５ステップＳ１０４，Ｓ１０６）。
【００４６】
ここで、パケット通過処理部１３２は、パケット解析処理部１３１から不正アクセスに関わるパケットである旨の判定結果を受けると（図５ステップＳ１０３Ｙｅｓ）、その判定結果に従い上記受信した不正アクセスに関わるパケットを通過させずに廃棄する（図５ステップＳ１０５）。
【００４７】
また、パケット解析処理部１３１から不正アクセスに関わるパケットでない旨の判定結果を受けると（図５ステップＳ１０３　Ｎｏ）、その判定結果に従い上記受信したパケットを通過させてパケット送受信部１２に渡す（図５ステップＳ１０７）。パケット送受信部１２はパケット解析機構１３を介して受けたパケットをサーバ側のネットワークセグメント２００へ送出する。
【００４８】
上記したパケット転送装置１０のパケット転送処理に於いて、パケット解析機構１３が不正アクセスに関わるパケットを検知した際、図６に示すような不正アクセス履歴参照処理を実行する。
【００４９】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図６ステップＳ２０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図６ステップＳ２０２）。
【００５０】
不正アクセス履歴保持部１３３はパケット解析処理部１３１から上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図６ステップＳ２０３）。
【００５１】
上記パケット解析処理部１３１は、上記不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、その不正アクセスに関わるパケットであると判定したパケットの送信元が、過去に存在する不正パケットの送信元であるか否か（受信した不正アクセスに関わるパケットの送信元と同一送信元の不正アクセスが過去にあったか否か）を判定する（図６ステップＳ２０４）。
【００５２】
即ち、パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、上記不正アクセスに関わるパケットの情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定する。
【００５３】
ここで、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信元が、過去の不正アクセスに関わるパケットに存在しないことを確認すると、即ち情報通知をする不正アクセスであることを判定すると（図７ステップＳ２０５　Ｙｅｓ）、その判定結果を不正アクセス情報通知部１３４に通知する（図７ステップＳ２０６）。
【００５４】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から、情報通知をする旨の判定結果を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報（不正アクセスの情報）を所定の外部監視機器（指定計算機）に通知する（図７ステップＳ２０７）。
【００５５】
また、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信元が、過去の不正アクセスに関わるパケットに存在することを確認すると、即ち情報通知をする不正アクセスでないことを判定すると（図７ステップＳ２０５　Ｎｏ）、上記不正アクセスに関わるパケットの情報通知を行わず（図７ステップＳ２０８）、この情報通知処理を終了する。
【００５６】
これにより、パケット転送装置１０が不正アクセスを検知した場合、過去に不正アクセスを受けたことがないパケットの送信元ならば、指定の計算機に、パケットの受信時刻や、送信元、送信先等の詳細情報を通知することが可能となる。つまり、不正アクセスに関わるパケットの送信元が、過去に受けた不正アクセスに関わるパケットの送信元と同じであれば、情報通知を行なわない。
【００５７】
次に、図１乃至図５と、図８及び図９を参照して本発明の第２実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第２実施形態では、パケット転送装置１０のパケット送受信部１１で受信した不正アクセスに関わるパケットであると判定したパケットについて、そのパケットの送信先が、過去の不正アクセス履歴に存在しない不正パケットの送信先であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知する機能を実現している。
【００５８】
パケット転送装置１０は、パケット転送時に於いて、図５に示すような不正アクセス検知処理を実行する。この処理については上記した第１実施形態に於いて既に説明しているので、ここではその説明を省略する。
【００５９】
上記したパケット転送装置１０のパケット転送処理に於いて、パケット解析機構１３が不正アクセスに関わるパケットを検知した際、図８に示すような不正アクセス履歴参照処理を実行する。
【００６０】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図８ステップＳ３０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図８ステップＳ３０２）。
【００６１】
不正アクセス履歴保持部１３３はパケット解析処理部１３１から上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図８ステップＳ３０３）。
【００６２】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、その不正アクセスに関わるパケットであると判定したパケットの送信先が、過去に存在する不正パケットの送信先であるか否か（受信した不正アクセスに関わるパケットの送信先と同一送信先の不正アクセスが過去にあったか否か）を判定する（図８ステップＳ３０４）。
【００６３】
即ち、パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、上記不正アクセスに関わるパケットの情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定する。
【００６４】
ここで、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信先が、過去の不正アクセスに関わるパケットに存在しないことを確認すると、即ち情報通知をする不正アクセスであることを判定すると（図９ステップＳ３０５　Ｙｅｓ）、その判定結果を不正アクセス情報通知部１３４に通知する（図９ステップＳ３０６）。
【００６５】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から、情報通知をする旨の判定結果を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報（不正アクセスの情報）を所定の外部監視機器（指定計算機）に通知する（図９ステップＳ３０７）。
【００６６】
また、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信先が、過去の不正アクセスに関わるパケットに存在することを確認すると、即ち情報通知をする不正アクセスでないことを判定すると（図９ステップＳ３０５　Ｎｏ）、上記不正アクセスに関わるパケットの情報通知を行わず（図９ステップＳ３０８）、この情報通知処理を終了する。
【００６７】
これにより、パケット転送装置１０が不正アクセスを検知した場合、過去に不正アクセスを受けたことがないパケットの送信先ならば、指定の計算機に、パケットの受信時刻や、送信元、送信先等の詳細情報を通知することが可能となる。つまり、不正アクセスに関わるパケットの送信先が、過去に受けた不正アクセスに関わるパケットの送信先と同じであれば、情報通知を行なわない。
【００６８】
次に、図１乃至図４と、図１０及び図１１を参照して本発明の第３実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第３実施形態では、パケット転送装置１０に設けられたパケット解析機構１３が、不正アクセス履歴保持部１３３に記録された、過去の一定時間内の不正アクセス履歴を参照して情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。即ち、現在からｘ日以内、ｘ時間以内等、過去の一定時間内を監視の対象として、情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。
【００６９】
パケット転送装置１０のパケット解析機構１３に於いて、不正アクセス履歴保持部１３３は、予め設定した一定時間の経過毎に（図１０ステップＳ４０１）、記録した不正アクセス履歴を参照して（図１０ステップＳ４０２）、識別子１が付いていない不正アクセス情報に、識別子１を付加する（図１０ステップＳ４０３）。即ち、図４に示す不正アクセス履歴の識別子１の記録部に、ｘｘ時間経過毎に、過去に記録した不正アクセス履歴に対して識別子１を付加する。
【００７０】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１１ステップＳ４０４）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１１ステップＳ４０５）。
【００７１】
不正アクセス履歴保持部１３３はパケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１１ステップＳ４０６）。
【００７２】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１１ステップＳ４０７）。
【００７３】
即ち、この第３実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００７４】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００７５】
これにより、不正アクセスに関わるパケットを検知した場合、予め設定した一定時間内に検知した不正アクセス履歴のみを参照し、情報通知すべき不正アクセスか否かを判定することが可能となる。
【００７６】
次に、図１乃至図４と、図１２及び図１３を参照して本発明の第４実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第４実施形態では、パケット転送装置１０に設けられたパケット解析機構１３が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴から、設定された任意のタイミング以降の不正アクセス履歴のみを参照して情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。即ち、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、例えば任意の操作指示時点以降の不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。
【００７７】
パケット転送装置１０のパケット解析機構１３に於いて、不正アクセス情報通知部１３４は、任意のタイミングで、不正アクセス履歴に識別子１を付加する要求を受け付けると（図１２ステップＳ５０１）、記録した不正アクセス履歴を参照して（図１２ステップＳ５０２）、識別子１が付いていない不正アクセス情報に対して、識別子１を付加する（図１２ステップＳ５０３）。
【００７８】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１３ステップＳ６０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１３ステップＳ６０２）。
【００７９】
不正アクセス履歴保持部１３３は、パケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１３ステップＳ６０３）。
【００８０】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、識別子１が付加されていない、上記操作指示された任意のタイミング以降の不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１３ステップＳ６０４）。
【００８１】
即ち、この第４実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、上記操作指示された任意のタイミング以降の、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００８２】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、上記操作指示された任意のタイミング以降の、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００８３】
これにより、不正アクセスに関わるパケットを検知した場合、上記操作指示された任意のタイミング以降に於ける若しくは設定されたタイミング以降に於ける不正アクセス履歴のみを参照して、情報通知すべき不正アクセスか否かを判定することが可能となる。
【００８４】
次に、図１乃至図４と、図１４及び図１５を参照して本発明の第５実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第５実施形態では、上記した不正アクセス情報通知部１３４による情報通知が成功しなかった場合に、その不正アクセスに関わる不正アクセスの情報を、以降の判定に参照する不正アクセス履歴から除外する機能を実現している。
【００８５】
不正アクセス情報通知部１３４が、指定の計算機に不正アクセスに関わるパケットの受信時刻や送信元、送信先等の詳細情報を通知した際（図１４ステップＳ７０１）に、その通知がエラーとなった場合（図１４ステップＳ７０２　Ｙｅｓ）、不正アクセス情報通知部１３４は、そのエラーをパケット解析処理部１３１を介して不正アクセス履歴保持部１３３に通知する（図１４ステップＳ７０３）。また、不正アクセス情報通知部１３４は、上記不正アクセスの情報が正常に通知された際は、上記エラー通知を行わず（図１４ステップＳ７０５）、このエラー処理を終了する。
【００８６】
不正アクセス履歴保持部１３３はパケット解析処理部１３１を介して上記エラー通知を受けると、記録した不正アクセス履歴を参照し、エラーした不正アクセスの情報に識別子２を付加する（図１４ステップＳ７０４）。
【００８７】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１５ステップＳ７０６）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１５ステップＳ７０７）。
【００８８】
不正アクセス履歴保持部１３３はパケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１５ステップＳ７０８）。
【００８９】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１５ステップＳ７０９）。
【００９０】
即ち、この第５実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して（情報通知の受信時にエラーのあった不正アクセス履歴を除外して）、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００９１】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００９２】
これにより、不正アクセスを検知した場合の指定計算機への情報通知がエラーになった場合、次回以降の不正アクセス検知時には、情報通知がエラーになった場合の不正アクセス履歴を参照しないようにすることが可能となる。
【００９３】
次に、図１乃至図４と、図１６及び図１７を参照して本発明の第６実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第６実施形態では、不正アクセス情報通知部１３４が情報通知を行う際に、その通知を行う情報をもとに、通知先（送信先）の計算機を決定する（振り分ける）機能を実現している。
【００９４】
この第６実施形態に於いては、図１６に示すような不正アクセス情報の通知先となる計算機の一覧情報が予め設定され、この計算機一覧を参照して不正アクセス情報の通知先計算機が決定される。この図１６に示す不正アクセス情報通知先計算機一覧１３５には、送信元、送信先等の詳細情報、不正アクセスの種類、情報通知先計算機のネットワークアドレス等が予め設定され、不正アクセスに関わるパケットの受信時刻や、送信元、送信先等の詳細情報をもとに、それぞれの記述内容をパラメータにして、不正情報通知先の計算機を指定可能にしている。
【００９５】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から情報通知の指示に従い、図１６に示す不正アクセス情報通知計算機一覧１３５を参照して、指定の計算機に不正アクセスの情報を通知する。
【００９６】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると、その旨を不正アクセス情報通知部１３４に通知する（図１７ステップＳ８０１）。不正アクセス情報通知部１３４はパケット解析処理部１３１から上記通知を受けると、図１６に示す不正アクセス情報通知計算機一覧を参照して（図１７ステップＳ８０２）、通知先計算機を決定し（図１７ステップＳ８０３）、不正アクセス情報通知計算機一覧よりネットワークアドレスを取得して、その指定計算機に不正アクセスの情報を通知する（図１７ステップＳ８０４）。
【００９７】
これにより、パケット転送装置１０が不正アクセスを検知した場合、不正アクセス情報の種類により、情報通知先の計算機を振り分けることが可能となる。
【００９８】
【発明の効果】
以上詳記したように本発明によれば、不正アクセスに関わるパケットを検知した場合に、その不正アクセスの実態を管理者が効率よく正確に把握できるパケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法が提供できる。
【図面の簡単な説明】
【図１】本発明の第１乃至第６実施形態に於けるパケット転送装置を用いたネットワークシステムの構成を示すブロック図。
【図２】上記各実施形態に於けるパケット転送装置の構成を示すブロック図。
【図３】上記各実施形態に於けるパケット解析機構の構成要素を示すブロック図。
【図４】上記各実施形態に於ける不正アクセス履歴保持部に記録された不正アクセス履歴の一例を示す図。
【図５】本発明の第１実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図６】本発明の第１実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図７】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図８】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図９】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１０】本発明の第３実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１１】本発明の第３実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１２】本発明の第４実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１３】本発明の第４実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１４】本発明の第５実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１５】本発明の第５実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１６】本発明の第６実施形態に於ける不正アクセス情報通知先計算機一覧の構成例を示す図。
【図１７】本発明の第６実施形態に於ける通知先振り分け処理の手順を示すフローチャート。
【符号の説明】
１０…パケット転送装置
１１…パケット送受信部
１２…パケット送受信部
１３…パケット解析機構
２０…サーバ
１００…クライアント側のネットワークセグメント
１３１…パケット解析処理部
１３２…パケット通過処理部
１３３…不正アクセス履歴保持部
１３４…不正アクセス情報通知部
１３５…不正アクセス情報通知計算機一覧
２００…サーバ側のネットワークセグメント[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a packet transfer device that transfers packets between network segments, and a method of notifying information when an unauthorized access of the packet transfer device is detected.
[0002]
[Prior art]
In a packet transfer device connected to a plurality of network segments and transferring packets between the network segments, an unauthorized access is detected as a method of notifying an administrator when the packet transfer device detects a packet related to an unauthorized access. A method of notifying the administrator each time, a method of notifying the administrator only once when an unauthorized access is detected, a method of notifying once for each type of unauthorized access, and the like can be considered.
[0003]
However, the method of notifying the administrator every time an unauthorized access is detected is that, for example, if a large amount of unauthorized access is received from the same sender using the same unauthorized access method, a large amount of notifications will be sent to the administrator. However, there is a problem that the administrator cannot easily grasp the information that is originally required.
[0004]
In addition, the method of notifying the administrator only once means that even if there is an unauthorized access from a plurality of destinations using the same unauthorized access method, the administrator is notified only once. There is a problem that the user cannot accurately grasp the information (actual situation) of the unauthorized access.
[0005]
In addition, the method of notifying the administrator only once for each type of unauthorized access is a method for notifying the administrator even if the same access method has been used to access multiple forwarding destinations of the packet transfer device. Is performed only once, so that there is a problem that the administrator cannot accurately grasp the information (actual situation) of the unauthorized access.
[0006]
[Problems to be solved by the invention]
As described above, conventionally, in the function of notifying an administrator when a packet related to an unauthorized access is detected in a packet transfer device, an effective function that allows the administrator to easily and accurately grasp the actual situation of the unauthorized access is provided. Notification function did not exist.
[0007]
The present invention has been made in view of the above circumstances, and when detecting a packet related to unauthorized access, a packet transfer device that allows an administrator to efficiently and accurately grasp the actual situation of the unauthorized access and a method for detecting unauthorized access of the packet transfer device. The purpose of the present invention is to provide a method for notifying information.
[0008]
[Means for Solving the Problems]
The present invention relates to an unauthorized access detection mechanism of a packet transfer device, which determines the usefulness of information to be notified to a manager when detecting a packet related to unauthorized access, and determines only useful information by the administrator. , And a process of notifying is provided.
[0009]
That is, the present invention provides a packet analysis unit that determines whether a packet transferred between network segments is a packet related to unauthorized access, and a packet that is determined by the packet analysis unit to be a packet related to unauthorized access. A packet transfer device comprising an unauthorized access history recording means for recording the presence and detailed information of the network as an unauthorized access history, wherein the packet transferred between the network segments is a packet related to an unauthorized access by the packet analyzing means. When it is determined that there is a packet, the source of the packet determined to be a packet related to the unauthorized access with reference to the unauthorized access history recorded in the unauthorized Determining means for determining whether or not the Notification means for notifying an external device of the existence and detailed information of the packet determined to be a packet related to the unauthorized access when it is determined that the packet is a source of an unauthorized packet that does not exist. I do.
[0010]
Also, the present invention provides a packet analysis unit for determining whether a packet transferred between network segments is a packet related to an unauthorized access, and a packet determined to be a packet related to an unauthorized access by the packet analysis unit. A packet transfer device comprising an unauthorized access history recording means for recording the presence and detailed information of the network as an unauthorized access history, wherein the packet transferred between the network segments is a packet related to an unauthorized access by the packet analyzing means. When it is determined that there is a packet, the destination of the packet determined to be the packet related to the unauthorized access is referred to the unauthorized access history recorded in the unauthorized access history recording means, Determining means for determining whether or not the And a notifying unit that notifies an external device of the existence and detailed information of the packet determined to be a packet related to the unauthorized access when it is determined that the packet is a transmission destination of an unauthorized packet that does not exist. I do.
[0011]
Also, the present invention is characterized in that, in the packet transfer device, the determination unit performs the determination with reference to an unauthorized access history within a predetermined time in the past, recorded in the unauthorized access history recording unit. I do.
[0012]
Further, according to the present invention, in the packet transfer device, the determining unit determines the unauthorized access history recorded at the unauthorized access history recording unit by referring to the unauthorized access history after a set arbitrary timing. Is performed.
[0013]
Further, in the packet transfer device according to the present invention, when the notification by the notifying unit is not successful, the packet analyzing unit determines the presence and the detailed information of the packet related to the corresponding unauthorized access by the determining unit. Is provided with control means for excluding from the unauthorized access history referred to by the user.
[0014]
Further, according to the present invention, in the packet transfer device, when the notifying unit notifies the external device of the existence and the detailed information of the packet related to the unauthorized access, It is characterized by comprising means for determining an external device to be notified based on the information.
[0015]
Further, the present invention provides an information notification method at the time of detecting an unauthorized access of a packet transfer device, wherein it is determined whether or not a packet transferred between network segments is a packet related to an unauthorized access. Recording the existence and detailed information of the packet as an unauthorized access history when determining that the packet is an unauthorized access history, and for all of the recorded unauthorized access history, By referring to a part, it is determined whether or not the source of the unauthorized packet that does not exist in the past unauthorized access history, and when it is determined that the source of the unauthorized packet does not exist in the past unauthorized access history, The presence and detailed information of the packet determined to be a packet related to the unauthorized access is transmitted to an external device. Characterized by comprising a step of notifying the.
[0016]
Further, the present invention provides an information notification method at the time of detecting an unauthorized access of a packet transfer device, wherein it is determined whether or not a packet transferred between network segments is a packet related to an unauthorized access. Recording the existence and detailed information of the packet as an unauthorized access history when determining that the packet is an unauthorized access history, and for all of the recorded unauthorized access history, By referring to a part, it is determined whether or not the destination of the unauthorized packet that does not exist in the past unauthorized access history, and when it is determined that the destination of the unauthorized packet does not exist in the past unauthorized access history, The presence and detailed information of the packet determined to be a packet related to the unauthorized access is transmitted to an external device. Characterized by comprising a step of notifying the.
[0017]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[0018]
FIG. 1 is a block diagram showing the configuration of a network system using the packet transfer device according to the present invention.
[0019]
In FIG. 1, a packet transfer apparatus 10 includes a network segment (network segment on the client side) 100 to which a plurality of client computers are connected, and a network segment (server side) to which a plurality of server computers 20, 20,. Network segment) 200, and has a function of transferring a packet during communication between the client side network segment 100 and the server side network segment 200.
[0020]
FIG. 2 is a block diagram showing a configuration of the packet transfer device 10.
[0021]
As shown in FIG. 2, the packet transfer device 10 is provided with two packet transmission / reception units 11 and 12 each having different network segments as connection targets, and a packet analysis mechanism 13 for detecting a packet related to an unauthorized access.
[0022]
In the packet transfer device 10, the packet transmitting / receiving unit 11 is connected to the network segment 100 on the client side, and the packet transmitting / receiving unit 12 is connected to the network segment 200 on the server side.
[0023]
When receiving a packet from the network segment 100 on the client side, the packet transmission / reception unit 11 sends the received packet to the packet analysis mechanism 13.
[0024]
The packet analyzing mechanism 13 determines whether the packet received by the packet transmitting / receiving unit 11 is a packet related to unauthorized access, and if not, passes the packet to the packet transmitting / receiving unit 12. The packet transmitting / receiving unit 12 sends out the packet received via the packet analyzing mechanism 13 to the network segment 200 on the server side.
[0025]
When the packet analyzing unit 13 determines that the packet received by the packet transmitting / receiving unit 11 is a packet related to an unauthorized access, the packet is discarded without being passed to the packet transmitting / receiving unit 12, and the packet is illegally accessed. Prevents the passage of packets determined to be related packets.
[0026]
Upon receiving a packet from the network segment 200 on the server side, the packet transmitting / receiving unit 12 passes the received packet to the packet transmitting / receiving unit 11. The packet transmitting / receiving unit 11 sends out the packet received from the packet transmitting / receiving unit 12 to the network segment 100 on the client side.
[0027]
FIG. 3 is a block diagram showing components of the packet analysis mechanism 13 shown in FIG.
[0028]
As shown in FIG. 3, the packet analysis mechanism 13 includes a packet analysis processing unit 131, a packet passage processing unit 132, an unauthorized access history holding unit 133, an unauthorized access information notification unit 134, and the like. Each component shown in FIG. 3 is realized by software. In this case, the unauthorized access history holding unit 133 has a recording unit for recording the unauthorized access history. It has a processing function of recording, updating, and managing the unauthorized access history according to the instruction.
[0029]
The packet analysis processing unit 131 analyzes the data of the packet received by the packet transmission / reception unit 11, and determines whether the packet is related to unauthorized access. When it is determined that the packet is related to an unauthorized access, the packet processing unit 132, the unauthorized access history holding unit 133, and the unauthorized access information notification unit 134 have a processing function of notifying that fact. Further, the existence and detailed information of the packet related to the unauthorized access (reception date and time of the packet related to the unauthorized access, the source network address, the destination network address, the type of the unauthorized access, etc.) are stored as the unauthorized access history as the unauthorized access history. In addition to notifying the unit 133 and referring to the unauthorized access history holding unit 133, it is determined whether or not the detection information of the packet related to the unauthorized access should be notified to a predetermined external monitoring device (designated computer). When it is determined that it should be performed, a processing function of notifying the unauthorized access information notifying unit 134 of the fact is provided.
[0030]
The packet passage processing unit 132 inquires of the packet analysis processing unit 131 about the packet received by the packet transmission / reception unit 11, and determines whether to transfer the received packet according to the result of the inquiry (whether to pass the packet to the packet transmission / reception unit 12 or not). ) Has a packet transfer control processing function.
[0031]
When the packet analysis processing unit 131 determines that the packet is related to an unauthorized access, the unauthorized access history holding unit 133 records detailed information such as a reception time, a transmission source, and a transmission destination of the packet as an unauthorized access history. With.
[0032]
When the packet analysis processing unit 131 determines that the information should be notified, the unauthorized access information notification unit 134 monitors the detailed information (illegal access information) related to the unauthorized access held in the unauthorized access history holding unit 133. It has the function of notifying computers.
[0033]
FIG. 4 is a diagram showing an example of the unauthorized access history recorded in the unauthorized access history holding unit 133.
[0034]
If the packet analysis processing unit 131 determines that the packet received by the packet transmission / reception unit 11 is a packet related to an unauthorized access, the packet analysis processing unit 131 stores the packet related to the unauthorized access in the unauthorized access history holding unit 133 as an unauthorized access history. The date and time and detailed information such as the source network address, the destination network address, and the type of unauthorized access are notified. Upon receiving the notification, the unauthorized access history holding unit 133 records and manages the reception date and time of the packet related to the unauthorized access, and detailed information such as the source network address, the destination network address, and the type of the unauthorized access as an unauthorized access history. I do. In the recording example of the unauthorized access history shown in FIG. 4, an identifier 1 and an identifier 2 described later are recorded corresponding to the detailed information.
[0035]
FIGS. 5 to 7 are flowcharts each showing a processing procedure of the packet analysis mechanism 13 in the first embodiment of the present invention. 5 is a flowchart showing an unauthorized access detection processing procedure at the time of packet transfer, FIG. 6 is a flowchart showing an unauthorized access history reference processing procedure at the time of unauthorized access detection, and FIG. 7 is an information notification processing procedure at the time of unauthorized access detection. It is a flowchart shown.
[0036]
FIGS. 8 and 9 are flowcharts showing the processing procedure of the packet analysis mechanism 13 according to the second embodiment of the present invention. Among them, FIG. 8 is a flowchart showing an unauthorized access history reference processing procedure when an unauthorized access is detected, and FIG. 9 is a flowchart showing an information notification processing procedure when an unauthorized access is detected. In the second embodiment, the unauthorized access detection processing procedure at the time of packet transfer is the same as the unauthorized access detection processing procedure of the first embodiment shown in FIG. 5, so that FIG.
[0037]
FIGS. 10 and 11 are flowcharts showing the processing procedure of the packet analysis mechanism 13 according to the third embodiment of the present invention. Among them, FIG. 10 is a flowchart showing a processing procedure for adding the identifier 1 to the unauthorized access history, and FIG. 11 is a flowchart showing an unauthorized access history reference processing procedure at the time of detecting the unauthorized access.
[0038]
FIG. 12 and FIG. 13 are flowcharts each showing a processing procedure of the packet analysis mechanism 13 in the fourth embodiment of the present invention. FIG. 12 is a flowchart showing a processing procedure for adding the identifier 1 to the unauthorized access history, and FIG. 13 is a flowchart showing an unauthorized access history reference processing procedure at the time of detecting the unauthorized access.
[0039]
FIGS. 14 and 15 are flowcharts showing the processing procedure of the packet analysis mechanism 13 according to the fifth embodiment of the present invention. Among them, FIG. 14 is a flowchart showing a processing procedure at the time of an information notification error to a designated computer that performs unauthorized access monitoring, and FIG. 15 is a flowchart showing an unauthorized access history reference processing procedure at the time of detecting an unauthorized access.
[0040]
FIG. 16 is a diagram showing a configuration example of the unauthorized access information notification destination computer list according to the sixth embodiment of the present invention. FIG. 17 is a flowchart showing the procedure of the notification destination allocation processing based on the unauthorized access information according to the sixth embodiment of the present invention.
[0041]
Here, an information notification processing operation at the time of detecting an unauthorized access in the first to sixth embodiments of the present invention will be described with reference to the above-described drawings.
[0042]
First, an information notification processing operation at the time of detecting an unauthorized access in the first embodiment of the present invention will be described with reference to FIGS. In the first embodiment, for a packet determined to be a packet related to an unauthorized access received by the packet transmission / reception unit 11 of the packet transfer device 10, the source of the packet is an unauthorized packet that does not exist in the past unauthorized access history. It is determined whether the packet is a source or not, and when it is determined that the packet is a source of an unauthorized packet that does not exist in the past unauthorized access history, the presence and detailed information of the packet determined to be a packet related to the unauthorized access are determined. A function to notify external devices is realized.
[0043]
The packet transfer device 10 performs an unauthorized access detection process as shown in FIG. 5 at the time of packet transfer.
[0044]
In the packet transfer device 10, when the packet transmission / reception unit 11 receives a packet from the network segment 100 on the client side, the packet passage processing unit 132 of the packet analysis unit 13 determines whether the received packet is a packet related to unauthorized access. An inquiry is made to the packet analysis processing unit 131 (step S101 in FIG. 5).
[0045]
The packet analysis processing unit 131 analyzes the data of the packet received by the packet transmission / reception unit 11, determines whether the packet is related to unauthorized access (steps S102 and S103 in FIG. 5), and passes the determination result to the packet. It notifies the processing unit 132 (steps S104 and S106 in FIG. 5).
[0046]
Here, upon receiving the determination result indicating that the packet is related to unauthorized access from the packet analysis processing unit 131 (Step S103 Yes in FIG. 5), the packet passing processing unit 132 converts the received packet related to unauthorized access according to the determination result. Discard without passing (step S105 in FIG. 5).
[0047]
Further, when receiving a determination result that the packet is not a packet related to unauthorized access from the packet analysis processing unit 131 (No in step S103 in FIG. 5), the received packet is passed and passed to the packet transmitting / receiving unit 12 according to the determination result (FIG. 5). Step S107). The packet transmitting / receiving unit 12 sends out the packet received via the packet analyzing mechanism 13 to the network segment 200 on the server side.
[0048]
In the packet transfer process of the packet transfer device 10 described above, when the packet analysis mechanism 13 detects a packet related to an unauthorized access, the packet analysis unit 13 executes an unauthorized access history reference process as shown in FIG.
[0049]
When transferring a packet from the client-side network segment 100 to the server-side network segment 200, the packet analysis processing unit 131 determines that the packet received by the packet transmission / reception unit 11 is a packet related to unauthorized access (FIG. 6). (Step S201), the date and time of reception of the packet related to the unauthorized access, and detailed information such as the source network address, the destination network address, and the type of unauthorized access are notified to the unauthorized access history holding unit 133 (Step S202 in FIG. 6). .
[0050]
Upon receiving the notification from the packet analysis processing unit 131, the unauthorized access history holding unit 133 stores the reception date and time of the packet related to the unauthorized access, and detailed information such as the source network address, the destination network address, and the type of the unauthorized access. It is recorded and managed as an unauthorized access history (step S203 in FIG. 6).
[0051]
The packet analysis processing unit 131 refers to the unauthorized access history recorded in the unauthorized access history holding unit 133, and determines that the source of the packet determined to be a packet related to the unauthorized access is an unauthorized packet that exists in the past. Is determined (whether or not unauthorized access by the same transmission source as that of the packet related to the received unauthorized access has occurred in the past) (step S204 in FIG. 6).
[0052]
That is, the packet analysis processing unit 131 refers to the unauthorized access history recorded in the unauthorized access history holding unit 133 and determines whether or not to notify the information of the packet related to the unauthorized access to a predetermined external monitoring device (designated computer). Is determined.
[0053]
Here, the packet analysis processing unit 131 confirms that the source of the packet determined to be the packet related to the unauthorized access does not exist in the packet related to the past unauthorized access, that is, the unauthorized access for notifying the information. When it is determined (Yes in step S205 in FIG. 7), the determination result is notified to the unauthorized access information notification unit 134 (step S206 in FIG. 7).
[0054]
Upon receiving the determination result of the information notification from the packet analysis processing unit 131, the unauthorized access information notification unit 134 receives the date and time of the packet related to the unauthorized access, the source network address, the destination network address, Detailed information such as the type of access (information on unauthorized access) is notified to a predetermined external monitoring device (designated computer) (step S207 in FIG. 7).
[0055]
Further, the packet analysis processing unit 131 confirms that the transmission source of the packet determined to be the packet related to the unauthorized access exists in the packet related to the past unauthorized access, that is, determines that the packet is not the unauthorized access for notifying the information. If it is determined (No in step S205 in FIG. 7), the information notification of the packet related to the unauthorized access is not performed (step S208 in FIG. 7), and the information notification process ends.
[0056]
Thereby, when the packet transfer apparatus 10 detects an unauthorized access, if the packet is a source of a packet that has not been subjected to unauthorized access in the past, the designated computer is notified of the packet reception time, the source, the destination, and the like. Detailed information can be notified. That is, if the source of the packet related to the unauthorized access is the same as the source of the packet related to the unauthorized access received in the past, the information is not notified.
[0057]
Next, an information notification processing operation when an unauthorized access is detected in the second embodiment of the present invention will be described with reference to FIGS. 1 to 5 and FIGS. In the second embodiment, for a packet determined to be a packet related to an unauthorized access received by the packet transmission / reception unit 11 of the packet transfer device 10, the destination of the packet is an unauthorized packet that does not exist in the past unauthorized access history. It is determined whether or not the packet is a transmission destination, and when it is determined that the packet is a transmission destination of an unauthorized packet that does not exist in the past unauthorized access history, the existence and detailed information of the packet determined to be a packet related to the unauthorized access are determined. A function to notify external devices is realized.
[0058]
The packet transfer device 10 performs an unauthorized access detection process as shown in FIG. 5 at the time of packet transfer. Since this processing has already been described in the first embodiment, the description is omitted here.
[0059]
In the packet transfer process of the packet transfer device 10 described above, when the packet analysis mechanism 13 detects a packet related to an unauthorized access, the packet analysis unit 13 executes an unauthorized access history reference process as shown in FIG.
[0060]
At the time of packet transfer from the client-side network segment 100 to the server-side network segment 200, the packet analysis processing unit 131 determines that the packet received by the packet transmission / reception unit 11 is a packet related to unauthorized access (FIG. 8). (Step S301), the reception date and time of the packet related to the unauthorized access, and the detailed information such as the source network address, the destination network address, and the type of the unauthorized access are notified to the unauthorized access history holding unit 133 (Step S302 in FIG. 8). .
[0061]
Upon receiving the notification from the packet analysis processing unit 131, the unauthorized access history holding unit 133 stores the reception date and time of the packet related to the unauthorized access, and detailed information such as the source network address, the destination network address, and the type of the unauthorized access. It is recorded and managed as an unauthorized access history (step S303 in FIG. 8).
[0062]
The packet analysis processing unit 131 refers to the unauthorized access history recorded in the unauthorized access history holding unit 133, and determines that the transmission destination of the packet determined to be the packet related to the unauthorized access is a packet of the unauthorized packet that exists in the past. It is determined whether or not the destination is a destination (whether or not unauthorized access to the same destination as the destination of the packet related to the received unauthorized access has occurred in the past) (step S304 in FIG. 8).
[0063]
That is, the packet analysis processing unit 131 refers to the unauthorized access history recorded in the unauthorized access history holding unit 133 and determines whether or not to notify the information of the packet related to the unauthorized access to a predetermined external monitoring device (designated computer). Is determined.
[0064]
Here, the packet analysis processing unit 131 confirms that the transmission destination of the packet determined to be the packet related to the unauthorized access does not exist in the packet related to the past unauthorized access, that is, the unauthorized access for notifying the information. When it is determined (Yes in step S305 in FIG. 9), the determination result is notified to the unauthorized access information notification unit 134 (step S306 in FIG. 9).
[0065]
Upon receiving the determination result of the information notification from the packet analysis processing unit 131, the unauthorized access information notification unit 134 receives the date and time of the packet related to the unauthorized access, the source network address, the destination network address, Detailed information such as the type of access (information on unauthorized access) is notified to a predetermined external monitoring device (designated computer) (step S307 in FIG. 9).
[0066]
Further, the packet analysis processing unit 131 confirms that the transmission destination of the packet determined to be the packet related to the unauthorized access exists in the packet related to the past unauthorized access, that is, confirms that the packet is not the unauthorized access for notifying the information. When it is determined (No in step S305 in FIG. 9), the information notification of the packet related to the unauthorized access is not performed (step S308 in FIG. 9), and the information notification process ends.
[0067]
Accordingly, when the packet transfer apparatus 10 detects an unauthorized access, if the packet is a destination of a packet that has not been subjected to unauthorized access in the past, the designated computer is notified of the packet reception time, the source, the destination, and the like. Detailed information can be notified. That is, if the destination of the packet related to the unauthorized access is the same as the destination of the packet related to the unauthorized access received in the past, the information notification is not performed.
[0068]
Next, an information notification processing operation when an unauthorized access is detected in the third embodiment of the present invention will be described with reference to FIGS. 1 to 4 and FIGS. In the third embodiment, the packet analysis mechanism 13 provided in the packet transfer apparatus 10 refers to an unauthorized access history recorded within the unauthorized access history holding unit 133 within a certain period of time in the past, and informs the unauthorized information about the unauthorized access history. A processing function for determining whether or not the access is performed is realized. That is, a processing function is implemented that determines whether or not an unauthorized access to be notified of information is to be monitored within a fixed time in the past, such as within x days or x hours from the present.
[0069]
In the packet analysis mechanism 13 of the packet transfer device 10, the unauthorized access history holding unit 133 refers to the recorded unauthorized access history every time a predetermined time elapses (Step S401 in FIG. 10) (Step S401 in FIG. 10). S402), the identifier 1 is added to the unauthorized access information without the identifier 1 (step S403 in FIG. 10). That is, the identifier 1 is added to the previously recorded unauthorized access history every time xx time elapses in the recording section of the unauthorized access history identifier 1 shown in FIG.
[0070]
Thereafter, when transferring the packet from the client-side network segment 100 to the server-side network segment 200, the packet analysis processing unit 131 determines that the packet received by the packet transmission / reception unit 11 is a packet related to an unauthorized access ( (Step S404 in FIG. 11), and notifies the reception date and time of the packet related to the unauthorized access, and detailed information such as the source network address, the destination network address, and the type of the unauthorized access to the unauthorized access history holding unit 133 (step S11 in FIG. 11). S405).
[0071]
The unauthorized access history holding unit 133 uses, as the unauthorized access history, the reception date and time of the packet related to the unauthorized access received from the packet analysis processing unit 131, and detailed information such as the source network address, the destination network address, and the type of the unauthorized access. Recording and management (step S406 in FIG. 11).
[0072]
The packet analysis processing unit 131 refers to only the unauthorized access history to which the identifier 1 is not added among the unauthorized access histories recorded in the unauthorized access history holding unit 133, and determines whether the unauthorized access should be notified of information. Is determined (step S407 in FIG. 11).
[0073]
That is, when the third embodiment is applied to the above-described first embodiment, the packet analysis processing unit 131 does not add the identifier 1 among the unauthorized access histories recorded in the unauthorized access history holding unit 133. By referring only to the unauthorized access history, it is determined whether or not there has been an unauthorized access of the same transmission source in the past, and when there has been no unauthorized access of the same transmission source in the past, an information notification is instructed to the unauthorized access information notification unit 134. I do.
[0074]
When the third embodiment is applied to the above-described second embodiment, the packet analysis processing unit 131 does not add the identifier 1 to the unauthorized access history recorded in the unauthorized access history holding unit 133. By referring only to the unauthorized access history, it is determined whether or not there has been an unauthorized access to the same destination in the past. If there has been no unauthorized access to the same destination in the past, an information notification is instructed to the unauthorized access information notification unit 134. I do.
[0075]
Accordingly, when a packet related to an unauthorized access is detected, it is possible to refer to only the unauthorized access history detected within a predetermined period of time and determine whether or not the unauthorized access should be notified.
[0076]
Next, an information notification processing operation at the time of detecting an unauthorized access according to the fourth embodiment of the present invention will be described with reference to FIGS. 1 to 4 and FIGS. In the fourth embodiment, the packet analysis mechanism 13 provided in the packet transfer device 10 refers to only the unauthorized access history after a set arbitrary timing from the unauthorized access history recorded in the unauthorized access history holding unit 133. And a processing function of determining whether or not an unauthorized access to be notified of information. That is, it is determined whether or not the unauthorized access should be notified by referring to, for example, only the unauthorized access history after an arbitrary operation instruction point among the unauthorized access histories recorded in the unauthorized access history holding unit 133. Realizes processing functions.
[0077]
In the packet analysis mechanism 13 of the packet transfer device 10, the unauthorized access information notification unit 134 receives a request to add the identifier 1 to the unauthorized access history at an arbitrary timing (step S501 in FIG. 12), and records the recorded unauthorized access. Referring to the history (step S502 in FIG. 12), the identifier 1 is added to the unauthorized access information without the identifier 1 (step S503 in FIG. 12).
[0078]
Thereafter, when transferring the packet from the client-side network segment 100 to the server-side network segment 200, the packet analysis processing unit 131 determines that the packet received by the packet transmission / reception unit 11 is a packet related to an unauthorized access ( 13 (step S601 in FIG. 13), and notifies the date and time of reception of the packet related to the unauthorized access and detailed information such as the source network address, the destination network address, and the type of the unauthorized access to the unauthorized access history holding unit 133 (step in FIG. 13). S602).
[0079]
The unauthorized access history holding unit 133 stores the received date and time of the packet related to the unauthorized access received from the packet analysis processing unit 131 and the detailed information such as the source network address, the destination network address, and the type of the unauthorized access, in the unauthorized access history. Is recorded and managed (step S603 in FIG. 13).
[0080]
The packet analysis processing unit 131 refers to the unauthorized access history recorded in the unauthorized access history holding unit 133, and refers only to the unauthorized access history after the arbitrary operation-instructed timing to which the identifier 1 is not added. Then, it is determined whether the information is an unauthorized access to be notified (step S604 in FIG. 13).
[0081]
That is, when the fourth embodiment is applied to the above-described first embodiment, the packet analysis processing unit 131 outputs any one of the unauthorized access histories recorded in the unauthorized access history holding unit 133, By referring only to the unauthorized access history to which the identifier 1 is not added after the timing, it is determined whether or not there has been an unauthorized access of the same source in the past, and if there has been no unauthorized access of the same source in the past, Instructs the unauthorized access information notification unit 134 to notify information.
[0082]
When the third embodiment is applied to the above-described second embodiment, the packet analysis processing unit 131 outputs any of the unauthorized access histories recorded in the unauthorized access history holding unit 133, By referring only to the unauthorized access history to which the identifier 1 is not added after the timing, it is determined whether or not there has been unauthorized access to the same destination in the past, and if there has been no unauthorized access to the same destination in the past, Instructs the unauthorized access information notification unit 134 to notify information.
[0083]
Thereby, when a packet related to an unauthorized access is detected, the unauthorized access to be notified of information is checked by referring only to the unauthorized access history after an arbitrary timing specified by the operation or after the set timing. It is possible to determine whether or not.
[0084]
Next, an information notification processing operation when an unauthorized access is detected in the fifth embodiment of the present invention will be described with reference to FIGS. 1 to 4 and FIGS. In the fifth embodiment, when the information notification by the unauthorized access information notifying unit 134 is not successful, the function of excluding the information of the unauthorized access related to the unauthorized access from the unauthorized access history referred to in the subsequent determination. Has been realized.
[0085]
When the unauthorized access information notifying unit 134 notifies the specified computer of the detailed information such as the reception time, the transmission source, and the transmission destination of the packet related to the unauthorized access (step S701 in FIG. 14), and the notification becomes an error. (Step S702 of FIG. 14 Yes), the unauthorized access information notification unit 134 notifies the error to the unauthorized access history holding unit 133 via the packet analysis processing unit 131 (Step S703 of FIG. 14). In addition, when the unauthorized access information is normally notified, the unauthorized access information notifying unit 134 does not perform the error notification (step S705 in FIG. 14) and ends the error processing.
[0086]
Upon receiving the error notification via the packet analysis processing unit 131, the unauthorized access history holding unit 133 refers to the recorded unauthorized access history and adds the identifier 2 to the information on the erroneous unauthorized access (step S704 in FIG. 14).
[0087]
Thereafter, when transferring the packet from the client-side network segment 100 to the server-side network segment 200, the packet analysis processing unit 131 determines that the packet received by the packet transmission / reception unit 11 is a packet related to an unauthorized access ( 15 (Step S706 in FIG. 15), and notifies the unauthorized access history holding unit 133 of the reception date and time of the packet related to the unauthorized access, and detailed information such as the source network address, the destination network address, and the type of the unauthorized access (Step S15 in FIG. 15). S707).
[0088]
The unauthorized access history holding unit 133 uses, as the unauthorized access history, the reception date and time of the packet related to the unauthorized access received from the packet analysis processing unit 131, and detailed information such as the source network address, the destination network address, and the type of the unauthorized access. It is recorded and managed (step S708 in FIG. 15).
[0089]
The packet analysis processing unit 131 refers to only the unauthorized access history to which the identifier 2 is not added among the unauthorized access histories recorded in the unauthorized access history holding unit 133, and determines whether the unauthorized access is information notification. Is determined (step S709 in FIG. 15).
[0090]
That is, when the fifth embodiment is applied to the above-described first embodiment, the packet analysis processing unit 131 does not add the identifier 2 to the unauthorized access history recorded in the unauthorized access history holding unit 133. By referring to the unauthorized access history only (excluding the unauthorized access history that had an error when receiving the information notification), it is determined whether there has been unauthorized access by the same sender in the past, and unauthorized access by the same sender in the past When the access does not exist, an information notification is instructed to the unauthorized access information notifying unit 134.
[0091]
When the third embodiment is applied to the above-described second embodiment, the packet analysis processing unit 131 determines that the identifier 2 is not added to the unauthorized access history recorded in the unauthorized access history holding unit 133. By referring only to the unauthorized access history, it is determined whether or not there has been an unauthorized access to the same destination in the past. If there has been no unauthorized access to the same destination in the past, an information notification is instructed to the unauthorized access information notification unit 134. I do.
[0092]
In this way, if the information notification to the designated computer when an unauthorized access is detected results in an error, the next time the unauthorized access is detected, the unauthorized access history when the information notification results in an error should not be referenced. Becomes possible.
[0093]
Next, an information notification processing operation at the time of detecting an unauthorized access in the sixth embodiment of the present invention will be described with reference to FIGS. 1 to 4 and FIGS. In the sixth embodiment, when the unauthorized access information notification unit 134 performs information notification, a function of determining (distributing) a computer as a notification destination (transmission destination) based on information to be notified is realized. I have.
[0094]
In the sixth embodiment, list information of computers to be notified of unauthorized access information as shown in FIG. 16 is set in advance, and a computer to which unauthorized access information is notified is determined with reference to this computer list. You. In the unauthorized access information notification destination computer list 135 shown in FIG. 16, detailed information such as the source and destination, the type of unauthorized access, the network address of the information notification destination computer, and the like are set in advance. Based on detailed information such as a reception time, a transmission source, a transmission destination, and the like, each description content is used as a parameter to specify a computer to which an unauthorized information notification is to be made.
[0095]
In accordance with the information notification instruction from the packet analysis processing unit 131, the unauthorized access information notification unit 134 refers to the unauthorized access information notification computer list 135 shown in FIG. 16 and notifies the designated computer of the unauthorized access information.
[0096]
When transferring a packet from the client-side network segment 100 to the server-side network segment 200, the packet analysis processing unit 131 determines that the packet received by the packet transmission / reception unit 11 is a packet related to an unauthorized access. Is notified to the unauthorized access information notification unit 134 (step S801 in FIG. 17). Upon receiving the above notification from the packet analysis processing unit 131, the unauthorized access information notification unit 134 refers to the unauthorized access information notification computer list shown in FIG. 16 (step S802 in FIG. 17), and determines the notification destination computer (step S17 in FIG. 17). S803), acquires the network address from the unauthorized access information notification computer list, and notifies the specified computer of the information of the unauthorized access (step S804 in FIG. 17).
[0097]
Thus, when the packet transfer device 10 detects an unauthorized access, it becomes possible to sort the information notification destination computer according to the type of the unauthorized access information.
[0098]
【The invention's effect】
As described above in detail, according to the present invention, when a packet related to an unauthorized access is detected, an administrator can efficiently and accurately grasp the actual situation of the unauthorized access. Information notification method can be provided.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a network system using a packet transfer device according to first to sixth embodiments of the present invention.
FIG. 2 is a block diagram showing a configuration of a packet transfer device in each of the embodiments.
FIG. 3 is a block diagram showing components of a packet analysis mechanism in each of the embodiments.
FIG. 4 is a diagram showing an example of an unauthorized access history recorded in an unauthorized access history holding unit in each of the embodiments.
FIG. 5 is a flowchart illustrating a processing procedure of a packet analysis mechanism according to the first embodiment of the present invention.
FIG. 6 is a flowchart showing a processing procedure of a packet analysis mechanism according to the first embodiment of the present invention.
FIG. 7 is a flowchart illustrating a processing procedure of a packet analysis mechanism according to the second embodiment of the present invention.
FIG. 8 is a flowchart illustrating a processing procedure of a packet analysis mechanism according to the second embodiment of the present invention.
FIG. 9 is a flowchart illustrating a processing procedure of a packet analysis mechanism according to the second embodiment of the present invention.
FIG. 10 is a flowchart illustrating a processing procedure of a packet analysis mechanism according to the third embodiment of the present invention.
FIG. 11 is a flowchart illustrating a processing procedure of a packet analysis mechanism according to a third embodiment of the present invention.
FIG. 12 is a flowchart illustrating a processing procedure of a packet analysis mechanism according to a fourth embodiment of the present invention.
FIG. 13 is a flowchart illustrating a processing procedure of a packet analysis mechanism according to a fourth embodiment of the present invention.
FIG. 14 is a flowchart illustrating a processing procedure of a packet analysis mechanism according to a fifth embodiment of the present invention.
FIG. 15 is a flowchart illustrating a processing procedure of a packet analysis mechanism according to a fifth embodiment of the present invention.
FIG. 16 is a diagram showing a configuration example of an unauthorized access information notification destination computer list in the sixth embodiment of the present invention.
FIG. 17 is a flowchart illustrating a procedure of a notification destination allocation process according to the sixth embodiment of the present invention.
[Explanation of symbols]
10 ... Packet transfer device
11 Packet transmitting / receiving unit
12 Packet transmission / reception unit
13: Packet analysis mechanism
20 ... Server
100: Client-side network segment
131: Packet analysis processing unit
132: Packet passage processing unit
133: Unauthorized access history holding unit
134: Unauthorized access information notification unit
135 ... List of unauthorized access information notification computers
200: Network segment on the server side

Claims

Packet analysis means for determining whether a packet transferred between network segments is a packet related to unauthorized access; and information on the existence and detailed information of the packet determined to be a packet related to unauthorized access by the packet analysis means. An unauthorized access history recording means for recording as an unauthorized access history;
In the packet analysis means,
When determining that the packet transferred between the network segments is a packet related to unauthorized access, referring to the unauthorized access history recorded in the unauthorized access history recording unit, it is determined that the packet is related to the unauthorized access. Determining means for determining whether or not the source of the determined packet is the source of a malicious packet that exists in the past;
Notification means for notifying an external device of the existence and detailed information of the packet determined to be a packet related to the unauthorized access when the determination means determines that the packet is a source of an unauthorized packet that has not existed in the past. A packet transfer device characterized in that:

Packet analysis means for determining whether a packet transferred between network segments is a packet related to unauthorized access; and information on the existence and detailed information of the packet determined to be a packet related to unauthorized access by the packet analysis means. An unauthorized access history recording means for recording as an unauthorized access history;
In the packet analysis means,
When determining that the packet transferred between the network segments is a packet related to unauthorized access, referring to the unauthorized access history recorded in the unauthorized access history recording unit, it is determined that the packet is related to the unauthorized access. Determining means for determining whether or not the destination of the determined packet is a destination of a malicious packet that exists in the past;
Notifying means for notifying an external device of the existence and detailed information of the packet determined to be a packet related to the unauthorized access when the determining means determines that the packet is a transmission destination of an unauthorized packet that does not exist in the past. A packet transfer device characterized in that:

3. The packet transfer device according to claim 1, wherein the determination unit makes the determination by referring to an unauthorized access history within a predetermined period of time recorded in the unauthorized access history recording unit. 4.

3. The packet transfer device according to claim 1, wherein the determination unit makes a determination by referring to an unauthorized access history after a set arbitrary timing from the unauthorized access history recorded in the unauthorized access history recording unit. 4.

The packet analysis unit includes a control unit that, when the notification by the notification unit does not succeed, excludes the existence and detailed information of the packet related to the unauthorized access from the unauthorized access history referred to by the determination unit thereafter. The packet transfer device according to claim 1, 2, 3, or 4.

The packet analysis unit determines the external device to be notified based on the detailed information to be notified when the notification unit notifies the external device of the existence and the detailed information of the packet related to the unauthorized access. 5. The packet transfer device according to claim 1, further comprising:

The detailed information includes at least the reception time of the packet related to the unauthorized access, the data type of the packet related to the unauthorized access, the detailed information including the network address or the network address of the packet transmission source, the network address or the network address of the packet transmission destination. The packet transfer device according to claim 1, wherein the packet transfer device includes any of detailed information.

Determines whether the packet transferred between network segments is a packet related to unauthorized access, and if it is determined to be a packet related to unauthorized access, records the existence and detailed information of the packet as unauthorized access history Steps to
For the packet determined to be a packet related to the unauthorized access, refer to all or a part of the recorded unauthorized access history to determine whether the packet is a source of an unauthorized packet that does not exist in the past unauthorized access history. Notifying the existence and detailed information of the packet determined to be a packet related to the unauthorized access to an external device when it is determined that the packet is a source of an unauthorized packet that does not exist in the past unauthorized access history. An information notification method at the time of detecting unauthorized access of a packet transfer device, the method being provided.

Determines whether the packet transferred between network segments is a packet related to unauthorized access, and if it is determined to be a packet related to unauthorized access, records the existence and detailed information of the packet as unauthorized access history Steps to
For the packet determined to be a packet related to the unauthorized access, refer to all or a part of the recorded unauthorized access history to determine whether the packet is a destination of an unauthorized packet that does not exist in the past unauthorized access history. Notifying the existence and detailed information of the packet determined to be a packet related to the unauthorized access to an external device when determining that the packet is a destination of an unauthorized packet that does not exist in the past unauthorized access history. An information notification method at the time of detecting unauthorized access of a packet transfer device, the method being provided.

When notifying the existence and detailed information of the packet determined to be the packet related to the unauthorized access to the external device and not succeeding the notification, refer to the determination of the packet related to the next and subsequent unauthorized access. 10. The information notification method according to claim 8, wherein an unauthorized access history of a packet related to an unauthorized access for which the notification has not been successful is excluded from the unauthorized access history. .

When notifying the existence and detailed information of the packet determined to be the packet related to the unauthorized access to the external device, the external device to be notified is determined based on the detailed information to be notified. 10. The information notification method according to claim 8, wherein the packet transfer device detects an unauthorized access.