JP2000261483A - ネットワーク監視システム - Google Patents

Abstract

(57)【要約】 【課題】 外部ネットワークから企業内情報ネットワー
クへの不正アクセスを検出し、不正パケットの送信元探
知を可能とするネットワーク監視システムを提供する。 【解決手段】 ルータ１０を通過する外部ネットワーク
３からの流入パケットのトラフィックを監視し、不正ト
ラフィックを検出した時、上記ルータ装置宛に不正パケ
ットの識別情報を通知するトラフィック監視装置５０
と、不正パケットの送信元に偽の応答をする偽装サーバ
２０とを有し、上記ルータ１０が、監視装置から通知さ
れた上記不正パケットの識別情報に基づいて、外部ネッ
トワークから流入する不正パケットを識別し、偽装サー
バに転送する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワーク監視
システムに関し、更に詳しくは、外部の通信ネットワー
クから企業内情報ネットワークへの不正アクセスに対処
するための監視システムに関する。

【０００２】

【従来の技術】インターネット等の外部通信ネットワー
クと企業内ネットワークとを接続する場合、外部から企
業内情報システムへの不正侵入の防止手段として、ファ
イアウォール装置が知られている。ファイアウォール
は、外部ネットワークからアクセスできる外部バリア・
セグメントと、企業内情報ネットワークを構成する各種
のサーバおよびユーザ端末が接続される内部セグメント
との間に位置し、外部から到着する不正なパケットを識
別して、内部セグメントへの侵入を阻止する。

【０００３】ファイアウォールの機能については、例え
ば、日経コミュニケーション、１９９６年７月１日、第
６８頁〜第８３頁に記載されているように、幾つかの方
式が知られており、例えば、ＴＣＰ／ＩＰレイヤでアク
セス制御するパケット・フィルタリング方式では、ＴＣ
Ｐ／ＩＰパケットの送信元アドレスと、宛先アドレス
と、ポート番号とをチェックすることによって、パケッ
トを通過させるか否かを判断している。上記ポート番号
は、ＴＣＰ／ＩＰアプリケーション毎に予め決まった値
となっており、予め登録された番号以外のポート番号を
もったパケットは、ファイアウォールにおいて通過を拒
否される。

【０００４】また、企業内情報システムに対する不正侵
入を監視するツールとして、例えば、日経オープンシス
テム、１９９８年８月（No.65）第１３０頁〜第１３２
頁には、ネットワーク上を流れるパケットのトラフィッ
クを監視し、予め用意されている不正アクセスに特徴的
なトラフィックパターン（攻撃パターン）と比較するこ
とによって、不審なトラフィックを検出する監視ツール
が記載されている。上記監視ツールによって不審なトラ
フィックが検知されると、例えば、アラートの表示、コ
ネクションの切断、重要ログ情報の保存等の措置がとら
れる。

【０００５】

【発明が解決しようとする課題】企業内情報ネットワー
クへの侵入を図る不正ユーザが、外部ネットワークに接
続された中継サーバを介して、企業内情報ネットワーク
（以下、内部ネットワークと言う）をアクセスした場
合、内部ネットワークからは、上記中継サーバが不正パ
ケットの送信元（アクセス元）に見えるため、不正ユー
ザの操作する端末装置が隠蔽されてしまう。外部ネット
ワークから内部ネットワークへの不正侵入を検出した時
点で、もし、該当コネクションを直ちに切断した場合、
企業内情報の外部への漏洩やファイル情報の破壊等、そ
の後の被害を防止することができる。しかしながら、コ
ネクションの切断によって不正パケットが途絶した状況
下では、上記不正ユーザが操作する送信元端末の逆探知
が困難となる。逆に、上記不正アクセスの中継点を含む
パケットの侵入経路を逆探知できる迄、上記不正コネク
ションの切断を遅らせた場合は、外部に漏洩する情報量
が増え、不正アクセスによって情報ファイルが破壊され
る危険性が増大するという問題がある。

【０００６】重要な企業内情報の漏洩を防止し、不正ア
クセスの記録を残すことによって、不正端末の特定作業
を支援するための従来技術の１つとして、例えば、特開
平０９−２６６４７５号公報では、ネットワークに接続
された複数の端末装置の宛先アドレスを管理するアドレ
ステーブルを備え、ネットワーク端末からの宛先アドレ
ス問合せメッセージに応答して宛先アドレス通知メッセ
ージを回答するアドレス管理サーバ、例えば、ＤＮＳ(D
omain Name System）や、ＡＴＭ網のＬＥＣＳ（LAN Emu
lation Configuration Server）等のサーバに、問合わ
せメッセージの送信元を識別するための認証手段を設け
ておき、不正ユーザからの問合わせに対しては、上記ネ
ットワークに接続された侵入対策用端末のアドレスを通
知するようにしている。上記侵入対策用端末は、不正ユ
ーザがアクセスしたいデータファイルは持っていない
が、通信プロトコルの規定に従って不正ユーザと通信す
る機能と、不正ユーザからの受信パケットの内容を記録
するための機能を備えており、不正ユーザからの要求に
対して「該当情報なし」と回答しながら、不正ユーザと
の交信期間中に受信パケットの内容を記録し、要求元ア
ドレスの割り出しに必要な情報を収集するようになって
いる。

【０００７】しかしながら、上記公開公報に示された従
来技術は、端末からの宛先アドレスに回答するＤＮＳや
ＬＥＣＳ等のサーバにおいて、受信メッセージの送信元
アドレスから不正な問合わせを検出するものであり、宛
先アドレスの問合わせを行うことなく企業内情報ネット
ワークに不正侵入を企てる端末ユーザに対しては有効で
はない。また、上記従来技術では、侵入対策用端末が、
不正ユーザからの情報要求に対して「該当情報なし」を
回答するのみであるから、不正ユーザが宛先装置に不審
を抱き、要求元の割り出しに必要な十分なデータを入手
する前に、あるいは送信元の逆探知に成功する前に、交
信が切断される可能性がある。

【０００８】本発明の目的は、外部ネットワークから企
業内情報ネットワークへの不正侵入を検知し、企業内の
重要な情報を漏洩することなく、不正ユーザの逆探知に
必要な通信保持あるいはデータ収集が可能なネットワー
ク監視システムおよびネットワークシステムを提供する
ことにある。

【０００９】

【課題を解決するための手段】上記課題を解決するため
に、本発明では、外部ネットワークから該外部ネットワ
ークにルータを介して接続された内部情報ネットワーク
への不正なアクセスを監視するネットワーク監視システ
ムにおいて、外部ネットワークから上記ルータを通過し
て流入するパケットのトラフィックを監視し、上記内部
情報ネットワークを不正にアクセスするパケットを検出
した時、上記ルータ装置宛に不正パケットの識別情報を
示す制御パケットを送信するトラフィック監視装置と、
受信パケットに応答して、該パケットの送信元に意図的
な情報を含む応答パケットを送信するサーバとを有し、
上記ルータが、監視装置から受信した上記制御パケット
に応答して、上記不正パケットの識別情報を記憶するた
めの手段を備え、上記外部ネットワークから流入する受
信パケットの中から上記識別情報に基づいて不正パケッ
トを識別し、上記サーバに転送することを特徴とする。

【００１０】尚、ここで言う意図的な情報は、例えば、
擬似データファイルに予め用意された偽情報や、真の情
報処理結果を改変して得られた疑似情報の他に、外部に
漏洩しても問題のない真の情報をも含むものであって、
監視システム側で不正アクセスが検知済みであることを
ユーザに悟られることなく、不正ユーザとの交信を持続
するために意識的に提供される情報を意味している。本
明細書では、不正パケットの送信元に対して、真のサー
バに代わって、このような意図的な情報を含む応答パケ
ットを送信するサーバを擬似サーバと言う。

【００１１】本発明の１つの実施形態では、上記ルータ
が、外部ネットワークに接続された第１インタフェース
回路と、内部情報ネットワークに接続された第２インタ
フェース回路と、偽装サーバに接続された第３インタフ
ェース回路とを有し、不正パケットを上記第３インタフ
ェース回路に送出することを特徴としている。上記第３
インタフェースを偽装サーバに専用のインタフェースと
すれば、ルータで受信パケットの宛先アドレスを書き替
えることなく、不正パケットを偽装サーバに供給でき
る。

【００１２】上記内部情報ネットワークは、例えば、内
部情報サービス用の少なくとも１つのサーバを収容した
内部セグメントと、上記ルータに接続された外部バリア
・セグメントと、上記内部セグメントと上記外部バリア
・セグメントとの間に接続され、外部バリア・セグメン
トから内部セグメントへの流入パケットを制限するため
のファイアウォール装置とを備えた構成とする。内部情
報ネットワークが、このようにファイアウォール装置を
備えた構成となっている場合、上記外部バリア・セグメ
ントにトラフィック監視装置を接続し、上記ルータから
上記外部バリア・セグメントに出力されたパケットのト
ラフィックを監視させればよい。尚、本発明において、
上述した偽装サーバは、必ずしもルータに直結する必要
はなく、例えば、上記外部バリア・セグメントに接続し
てもよい。この場合、ルータにアドレス変換機能をもた
せ、不正パケットについては、宛先アドレスを上記偽装
サーバ宛のアドレスに変更した後、上記外部バリア・セ
グメントに送出する。

【００１３】本発明の好ましい実施形態では、ネットワ
ーク監視システムが、上記偽装サーバに付随して、該偽
装サーバが受信する不正パケットの送信元を逆探知する
ための通信動作を行う送信元探知装置を備えるたことを
特徴とする。本発明によれば、不正ユーザからの要求に
応答して、偽装サーバが要求元に偽情報を送信するよう
になっているため、不正ユーザを欺き、偽装サーバと不
正ユーザとの間の交信を比較的長時間にわたって継続さ
せることが可能となる。従って、不正ユーザが偽装サー
バと交信中に、上記探知装置から不正パケットの中継経
路を逆方向に辿って、送信元の端末を逆探知することが
可能となる。また、偽装サーバと不正ユーザとが交信中
に、偽装サーバが受信した不正パケットの内容、あるい
は偽装サーバから不正ユーザに送信した応答パケットの
内容等、不正アクセスの証拠となるデータを保存してお
くことによって、これらの証拠データを不正ユーザの追
跡や新たな不正行為の予防に利用できる。上記証拠デー
タの保存機能は、上述した偽装サーバまたは探知装置に
持たせればよい。

【００１４】本発明のネットワーク監視システムにおい
て、内部情報ネットワークと外部ネットワークとを接続
するルータは、例えば、不正パケットの識別情報と出力
回線との対応関係を記憶するためのフィルタリングテー
ブル手段と、受信パケットに含まれる宛先アドレスと出
力回線との対応関係を記憶するためのルーティンテーブ
ルと、上記監視装置から受信した制御パケットに応じて
上記フィルタリングテーブルの内容を更新するための手
段と、上記フィルタリングテーブルに基づいて、上記外
部ネットワークからの受信パケットが不正パケットか否
かを判定し、不正パケットは上記偽装サーバが接続され
た出力回線に転送し、正常パケットは上記ルーティング
テーブルに基づいてルーティング処理するための手段と
を備えることを特徴とする。

【００１５】偽装サーバが、内部情報ネットワークの一
部を構成している場合、上記ルータで、各不正パケット
の宛先アドレスを上記偽装サーバ宛のアドレスに変換し
た後、上記内部情報ネットワークにが出力する必要があ
る。この場合、アドレス変換に必要な不正パケット識別
情報と偽装サーバアドレスとの対応関係は、上記フィル
タリングテーブル手段から得ることができる。

【００１６】本発明において、上述した偽装サーバへの
不正パケットの転送機能は、上記ルータの代りに、ファ
イアウォール装置で行うようにしてもよい。ファイアウ
ォールは、特定のパケットのみを内部セグメントに転送
する一種のルータ機能を備えているため、トラフィック
監視装置で検出した不正パケットの識別情報をファイア
ウォールに通知すれば、その後に到着する不正パケット
をファイアウォールから偽装サーバに転送することも可
能である。この場合、ファイアウォールが備えるインタ
フェース回路の１つに偽装サーバを接続しておけば、宛
先アドレスを変換することなく、不正パケットを偽装サ
ーバに供給できる。

【００１７】

【発明の実施の形態】以下、本発明の実施例を図面を参
照して説明する。図１は、本発明によるネットワーク監
視システムの１実施例を示すブロック図である。端末装
置１ａ〜１ｎと中継サーバ２ａ〜２ｂは外部ネットワー
ク３に接続され、企業内情報ネットワークの外部バリア
・セグメント３１が、ルータ１０を介して、上記外部ネ
ットワーク３に結合されている。また、上記ルータ１０
には、信号線３３を介して、後述する偽装サーバ２０
と、不正パケットの送信元（アクセス元）探知装置４０
とが接続されている。

【００１８】上記外部バリア・セグメント３１には、企
業内情報ネットワークの内部セグメント（企業内ＬＡ
Ｎ）３２への不正侵入を防止するためのファイアウォー
ル装置５と、企業内情報ネットワークへの不正アクセス
を検知するための監視装置５０と、例えばメールサーバ
のように、外部ネットワークのサーバと通信して情報を
蓄積するためのサーバ６が接続されている。また、上記
内部セグメント３２には、各種の情報サービスを行うた
めの複数のサーバ７（７ａ〜７ｊ）と、企業内ユーザが
操作する複数の端末装置８（８ａ〜８ｋ）とが接続され
ている。

【００１９】外部ネットワーク３からルータ１０に到着
するＩＰパケットは、例えば、図２に示すように、ＴＣ
Ｐパケット３２０とＩＰヘッダ３３０とからなる。上記
ＴＣＰパケット３２０は、ユーザ情報が設定される可変
長の情報部３００とＴＣＰヘッダ部３１０とからなり、
ＴＣＰヘッダ部３１０は、送信元ポート番号３１１、宛
先ポート番号３１２、その他のヘッダ情報を含む。ま
た、ＩＰヘッダ３３０は、送信元ＩＰアドレス３３１、
宛先ＩＰアドレス３３２、プロトコル識別子３３３、そ
の他のヘッダ情報を含んでいる。

【００２０】図３は、ルータ１０の構成を示す。ルータ
１０は、外部ネットワーク３との間でパケットを送受信
するためのインタフェース回路１１Ａと、外部バリア・
セグメント３１との間でパケットを送受信するためのイ
ンタフェース回路１１Ｂと、偽装サーバ２０とアクセス
元探知装置４０が接続された信号線３３との間でパケッ
トを送受信するためのインタフェース回路１１Ｃと、こ
れらのインタフェース回路１１（１１Ａ〜１１Ｃ）に内
部バス３０を介して結合され、インタフェース回路間の
パケット転送を制御するルーティング制御装置１２とか
らなる。

【００２１】上記ルーティング制御装置１２は、マイク
ロプロセッサによって構成され、パケットアドレスと出
力回線（インタフェース回路）との関係を定義したルー
ティング・テーブル１４０とフィルタリング・テーブル
１５０とを記憶するためのメモリ１４と、ルーティング
制御に必要な各種のプログラムを格納したプログラムメ
モリ１５とを備えている。

【００２２】上記プログラムメモリ１５には、後述する
ように、監視装置５０から受信した制御パケットに従っ
て、上記フィルタリングテーブル１５０を更新するため
のテーブル管理モジュール１１０と、上記ルーティング
テーブル１４０とフィルタリングテーブル１５０とを参
照して、各インタフェース１１（１１Ａ〜１１Ｃ）から
の受信パケットを他の何れかのインタフェースに転送す
るルーティングモジュール１２０とを備えている。

【００２３】ファイアウォール装置５は、通過許容パケ
ットを識別するための定義情報を記憶したテーブルを備
えており、ルータ１０によって外部バリア・セグメント
３１に取り込まれた各ＩＰパケットのヘッダ情報を上記
定義情報に基づいてチェックする。ファイアウォール装
置５は、例えば、使用プロトコル、送信元アドレス、ユ
ーザ等によって識別された特定のパケットについて、内
部セグメント３２への通過を許容することによって、内
部セグメント３２に結合されたサーバ７ａ〜７ｊへの不
正なアクセスを防止する。

【００２４】上記ファイアウォール装置５を潜り抜け
て、企業内サーバ７ａ〜７ｊを不正にアクセスしようと
するユーザは、送信パケットのヘッダ情報から直接的に
送信元端末が発覚するのを避けるため、１つあるいは複
数の中継サーバを経由した形で、企業内情報システムの
サーバ７をアクセスする場合がある。例えば、端末装置
１ａのユーザが、最終的に中継サーバ２ａを経由して、
不正パケットを送信した場合、パケットの送信元アドレ
スは、上記最終的な中継サーバ２ａのアドレスとなって
いる。不正ユーザは、もし、ファイアウォール５を潜り
抜けるためにパケットが備えるべき正しいヘッダ情報が
判らない場合、ヘッダ情報の一部、例えば、プロトコル
（サービス種類）を識別するための宛先ポート番号等を
順次に変更しながら、目的のサーバから何らかの応答が
あるまで、次々と不正パケットを送信する。

【００２５】監視装置５０は、不正アクセスを試みた場
合のパケットのトラフィックに現れる幾つかの特徴的な
パターン（攻撃パターン）を記憶したデータファイル５
３と、外部バリア・セグメント３１に流れるパケットの
トラフィックを監視し、上記データファイルに登録され
た不正アクセスのパターンに類似した不正トラフィック
を検知するためのトラフィック監視機能５１と、不正ト
ラフィックが検知された時、保守員に通知するために通
報装置５４に警報メッセージを出力する通報制御機能５
２を備えている。本発明では、不正トラフィックを検知
した時、上記トラフィック監視機能５１に、通報装置５
４の警報メッセージを出力すると共に、ルータ１０に対
して、その後に到着する不正パケットを擬似サーバ２０
宛に転送させるための制御パケットを通知させる。

【００２６】上記監視装置５０は、具体的には、外部バ
リア・セグメント３１との間でパケットを送受信するた
めの通信インタフェースと、受信パケットから主要なヘ
ッダ情報を抽出するための回路と、予め用意されたプロ
グラムを実行するプロセッサとからなる。上述したトラ
フィック監視機能５１は、受信パケットから抽出された
ヘッダ情報を解析し、同一送信元から送信された一連の
パケットについて、ヘッダ情報の時間的変化が示す特徴
パターンを抽出し、上記データファイル５３に登録して
ある攻撃パターンと照合するためのデータ処理プログラ
ムによって実現される。

【００２７】図４は、不正なトラフィック、すなわち、
不正パケットが検出された場合に監視装置５０からルー
タ１０宛に送信される制御パケット５００のフォーマッ
トの１例を示す。上記制御パケット５００は、パケット
ヘッダ５１０と、情報部５２０とからなる。パケットヘ
ッダ５１０は、図２に示したＩＰパケットのヘッダ３３
０と同一のフォーマットを有し、送信元アドレス５１１
として監視装置５０のアドレス、宛先アドレス５１２と
してルータ１０のアドレスを含む。また、情報部５２０
は、ルータ１０にパケット転送先の登録を指示するため
の制御命令フィールド５２１と、不正パケットの送信元
ＩＰアドレスを示すフィールド５２２と、不正パケット
の現在の宛先ＩＰアドレスを示すフィールド５２３と、
不正パケットの転送先ＩＰアドレスを示すフィールド５
２４とからなり、上記転送先フィールド５２４には偽装
サーバ２０のアドレスが設定される。

【００２８】図５は、ルータ１０のルーティング・モジ
ュール１２０が参照するルーティングテーブル１４０の
構成の１例を示す。ルーティングテーブル１４０は、宛
先ＩＰアドレスの特定のビット部分を抽出するためのマ
スクとなるビットパターンあるいは位置情報が設定され
るマスク１４１と、上記マスクによって抽出された部分
的な宛先ＩＰアドレスが設定される宛先ＩＰアドレス・
フィールド１４２と、受信パケットの送出先となる出力
回線あるいはインタフェース回路の識別子を示す出力回
線フィールド１４６とを有し、この他に必要に応じて、
次サーバやプロトコル情報等を示すためのフィールド１
４８を含む。

【００２９】図６は、フィルタリングテーブル１５０の
構成の１例を示す。フィルタリングテーブル１５０は、
送信元ＩＰアドレス・フィールド１５１と、宛先ＩＰア
ドレス・フィールド１５２と、転送先ＩＰアドレス・フ
ィールド１５３と、出力回線フィールド１５４とからな
る。上記フィルタリングテーブル１５０は、監視装置５
０から転送先登録を指令する制御パケット５００を受信
した時、ルータ１０のテーブル管理モジュール１１０に
よって更新される。

【００３０】図６に例示したエントリＲ１００は、図４
に例示した制御パケット５００の受信に応答して登録さ
れたものであり、フィールド１５１〜１５３の内容は、
上記制御パケット５００の情報部にあるフィールド５２
２〜５２４の内容と対応している。本実施例の場合、出
力回線フィールド１５４には、偽装サーバ２０が接続さ
れたインタフェース回路１１Ｃの識別子が設定される。

【００３１】図７は、ルーチングモジュール１２０の機
能を示すプログラム・フローチャートを示す。上記ルー
チングモジュール１２０は、インタフェース回路１１か
ら、制御パケット５００以外の通常のＩＰパケットを受
信した時に起動され、先ず、受信パケットの送信元ＩＰ
アドレス３３１と宛先ＩＰアドレス３３２とに基づい
て、フィルタリングテーブル１５０を検索する（ステッ
プ１２１）。検索の結果、送信元ＩＰアドレス１５１と
宛先ＩＰアドレス１５２との関係が上記受信パケットと
一致するエントリまたはレコードが見つかった場合は、
該当エントリの出力回線フィールド１５４が示すインタ
フェース回路に受信パケットを転送し（ステップ１２２
〜１２３）、このモジュールを終了する。本実施例の場
合、フィルタリングテーブル１５０に該当エントリをも
つ受信パケットは、偽装サーバ２０に転送される。

【００３２】上記受信パケットと対応するエントリがフ
ィルタリングテーブル１５０になかった場合は、受信パ
ケットの宛先ＩＰアドレス３３２に基づいて、ルーティ
ングテーブル１４０を検索する（ステップ１２４）。こ
の場合、ルーティングテーブル１４０のマスクフィール
ド１４１が示すマスクパターンに従って、受信パケット
の宛先ＩＰアドレス３３２をマスクし、得られた部分的
なアドレスビットがルーティングテーブル１４０の宛先
ＩＰアドレス１４２と一致するエントリ（目的エント
リ）を探す。目的エントリが見つかった場合は、該エン
トリの出力回線フィールド１４６が示すインタフェース
回路に受信パケットを送信し（ステップ１２５〜１２
６）、目的エントリが見つからなければ、受信パケット
を廃棄し（ステップ１２７）、このプログラムモジュー
ルを終了する。

【００３３】図８は、偽装サーバ２０の機能を示すプロ
グラム・フローチャートである。偽装サーバ２０は、ル
ータ１０からＩＰパケットを受信すると、受信パケット
の情報部３００を解析し、受信パケットで使用している
アプリケーションの種類を識別する（ステップ２０
１）。偽装サーバ２０には、異なる複数種類のアプリケ
ーションソフトに対応できるように、予め複数種類の処
理ルーチン２１０（２１０Ａ〜２１０Ｎ）が用意してあ
り、受信パケットは、それぞれが使用しているコマンド
体系と対応したアプリケーションの処理ルーチン２１０
に渡される（ステップ２０２Ａ〜２０２Ｎ）。受信パケ
ットに対応したアプリケーションの処理ルーチンがなか
った場合は、その他用の処理ルーチン２０３で受信パケ
ットを処理する。この場合は、例えば、ユーザ要求を実
行できない旨を示す応答パケットが要求元に送信され
る。

【００３４】上記アプリケーション別の処理ルーチン２
１０は、基本的には、図９に示すように、受信パケット
の情報部に含まれるコマンドを解析するステップ２１１
と、ファイル名を解析して、使用ファイルを特定するス
テップ２１２と、コマンドを実行するステップ２１３
と、コマンドの実行結果を示す応答メッセージを作成し
て、要求元に送信するステップ２１４と、不正ユーザと
の交信内容をデータファイル２１に記録するステップ２
１５からなっている。

【００３５】偽装サーバ２０は、図１に示したように、
不正ユーザとの交信記録を保存するためのデータファイ
ル２１と、不正ユーザを欺くために、ユーザからの要求
に応答して偽の情報処理結果を通知するために用意され
た擬似データファイル２２と、擬似データがない場合に
企業内情報システムのサーバ７（７ａ〜７ｊ）から取り
寄せた真のデータを格納するための新データファイル２
３とを備えており、企業内情報システムの各サーバ７が
使用しているファイル名と上記２つのデータファイル２
２、２３の関係を、例えば、図１０に示すファイルテー
ブル２４によって管理している。尚、企業にとって外部
に漏洩しても影響のない機密性の低いデータファイルに
ついては、真のデータをそのまま擬似データとして上記
擬似データファイルに格納してもよい。

【００３６】上記ファイルテーブル２４は、サーバ７を
示す識別子２４１と対応して、ファイル名２４２と、デ
ィスク装置（データファイル２２および２３）における
ファイル名２４３と、データの真偽を示す属性情報２４
４との関係を示している。上述したアプリケーション別
の処理ルーチン２１０におけるファイル解析ステップ２
１２では、上記ファイルテーブル２４を参照することに
よって、各受信パケットに含まれるファイル名２４２と
対応した擬似データファイル２２内の偽ファイルを特定
する。また、コマンド実行ステップ２１３では、上記偽
ファイルに対してコマンドを実行する。

【００３７】もし、偽ファイルが用意されていない場合
は、サーバ識別子２４１が示す企業内サーバ７のデータ
ファイル７１（７１ａ〜７１ｊ）から、必要なデータを
データファイル２３に転送した後、コマンドを実行す
る。この場合、得られた実行結果を所定のアルゴリズム
で偽の実行結果に変換してから要求元に送信することに
よって、機密の漏洩を防止する。尚、真のデータを使用
せざるを得ないコマンドの実行は、企業内サーバ７で行
うようにしてもよい。この場合、例えば、偽装サーバ２
０が、送信元ＩＰアドレスを偽装サーバ２０のアドレス
に一旦置換えた形で不正パケットを目的の企業内サーバ
７に転送することによって、上記サーバ７が偽装サーバ
２０宛に応答パケットを送信するようにしておき、上記
応答パケットが示す真のコマンド実行結果を偽装サーバ
２０で偽情報に変換した後、不正ユーザに送信するよう
にすればよい。

【００３８】上記実施例では、企業内情報ネットワーク
への不正なアクセスを監視装置５０で検知し、その後に
到着する不正パケットを偽装サーバ２０に転送すること
によって、偽装サーバ２０から尤らしい情報、実は偽の
情報を不正ユーザに応答するようにしている。上記構成
によれば、不正ユーザは、アクセス先から一見、尤らし
い情報を受信できるため、アクセスに成功したものと判
断して、その後も新たな要求パケットを次々と送信する
ことになる。従って、偽装サーバ２０からの応答動作に
よって、不正ユーザとの交信時間を引き延ばし、その間
の交信記録をデータファイル２１に残すことができる。

【００３９】図１に示した構成によれば、信号線３３を
介して偽装サーバ２０に転送される不正ユーザからの送
信パケットは、偽装サーバに付随して上記信号線３３に
結合されたアクセス元探知装置４０で受信することがで
きる。従って、偽装サーバ２０が不正ユーザとの交信を
引き延ばしている間に、探知装置４０が、不正パケット
の送信元アドレスで特定される中継サーバＸに警報メッ
セージを送信し、中継サーバＸが、不正パケットの上流
側に位置した更に他の中継サーバに警報メッセージを送
信する形式で、上記不正パケットの送信元端末を逆探知
することが可能となる。

【００４０】図１に示した実施例では、不正ユーザとの
交信記録を偽装サーバ２０のデータファイル２１に残す
ようにしているが、不正ユーザと偽装サーバとの間の交
信記録を探知装置４０によって記憶するようにしてもよ
い。この場合、探知装置自身が行う不正ユーザの逆探知
プロセス、または追跡結果を上記交信記録と共に残すこ
とができるため、不正アクセスの証拠資料として利用し
やすくなる。

【００４１】また、上記実施例では、偽装サーバ２０と
アクセス探知装置４０を信号線３３を介してルータ１０
のインタフェース回路１１Ｃに接続した構成となってい
るが、上記偽装サーバ２０とアクセス探知装置４０を外
部バリア・セグメント３１に接続してもよい。この場合
は、図６に示したフィルタリングテーブル１５０の出力
回線フィールド１５４に、上記外部バリア・セグメント
３１が接続されるインタフェース回路１１Ｂの識別子を
設定しておき、図７に示したルーティングモジュール１
２０のフローチャートにおいて、ステップ１２３で、受
信パケットの宛先ＩＰアドレスを偽装サーバのアドレス
に変換した後、パケット転送するようにすればよい。偽
装サーバのアドレスは、ステップ１２１でフィルタリン
グテーブル１５０から検索した目的エントリの転送先Ｉ
Ｐアドレス・フィールド１５３から得られる。

【００４２】次に、図１１〜図１４を参照して本発明の
第２実施例について説明する。第２実施例では、ルーテ
ィング・テーブル１４０を参照して、受信パケットの送
信元アドレスもチェックすることによって、ルータ１０
に、或る程度のファイアウォール機能をもたせたことを
特徴としている。

【００４３】図１１は、本実施例におけるルーティング
テーブル１４０の１例を示す。ルーティングテーブル１
４０の各エントリは、送信元のＩＰアドレスをマスクす
るためのマスクパターンを示すフィールド１４１と、上
記マスクパターンでマスクされた部分的な送信元ＩＰア
ドレスを示すフィールド１４２と、受信パケットの入力
回線（インタフェース回路）の識別子を示すフィールド
１４３と、宛先ＩＰアドレスをマスクするためのマスク
パターンを示すフィールド１４４と、上記マスクパター
ンでマスクされた部分的な宛先ＩＰアドレスを示すフィ
ールド１４５と、受信パケットの出力回線（インタフェ
ース回路）の識別子を示すフィールド１４６と、属性フ
ィールド１４７と、必要に応じてプロトコル等の他の項
目データが設定されるフィールド１４８とからなる。

【００４４】上記属性フィールド１４７は、そのエント
リで定義された送信元と宛先との関係を満たす受信パケ
ットについての処理区分を示しており、本実施例では、
出力回線フィールド１４６で指定された出力回線への受
信パケットの中継を“許可”するか、“禁止”するか、
または、フィルタリングテーブル１５０が指定する出力
回線に“転送”すべきかを示す区分コードが設定され
る。

【００４５】図１２は、上記第２実施例で使用されるフ
ィルタリングテーブル１５０の１例を示す。本実施例で
は、フィルタリングテーブル１５０の各エントリは、上
記ルーティングテーブルのフィールド１４１〜１４５と
同様の、送信元および宛先情報を示すためのフィールド
１６１〜１６５と、転送先のＩＰアドレスを示すフィー
ルド１６６と、出力回線識別子を示すフィールド１６７
とからなっている。上記転送先フィールド１６６には、
偽装サーバ２０のＩＰアドレスが設定され、出力回線フ
ィールド１６７には、上記偽装サーバ２０が接続された
インタフェース回路１１Ｃの識別子が設定される。

【００４６】図１３は、本実施例において、監視装置５
０から図４に示す制御パケット５００を受信した場合に
ルータ１０が実行するテーブル管理モジュール１１０の
プログラムフローチャートを示す。先ず、ルーチングテ
ーブル１４０を検索し（ステップ１１１）、制御パケッ
ト５００の情報部５２０に含まれる送信元ＩＰアドレス
５２２と宛先ＩＰアドレス５２３との関係を定義したエ
ントリ（目的エントリ）が登録済みか否かを判定する
（ステップ１１２）。もし、目的エントリが既に登録済
みの場合は、属性フィールド１４７が“転送”となてい
るか否かを判定し（ステップ１１３）、既に“転送”と
なっていた場合は、このルーチンを終了する。

【００４７】目的エントリの属性フィールドが“転送”
以外の場合は、その内容を“転送”を示すコードに変更
（ステップ１１４）した後、フィルタリングテーブル１
５０に、上記目的エントリと対応する新たなエントリを
追加登録し（ステップ１１６）、このルーチンを終了す
る。ルーティングテーブル１４０に目的エントリが無か
った場合は、受信した制御パケット５００に従って新た
なエントリを生成し、これをルーティングテーブルに追
加登録（ステップ１１５）した後、ステップ１１６を実
行する。例えば、図４に示した内容の制御パケット５０
０を受信した時点で、ルーティングテーブル１４０に
は、図１１に例示するように、送信元サーバＸと宛先サ
ーバＹに関して、それぞれのセグメント間の関係を定義
したエントリＲ２０１のみが登録されていた場合、これ
らのサーバのＩＰアドレスの関係を定義した新たなエン
トリＲ２０２を生成し、これをテーブルサーチにおいて
上記エントリＲ２０１よりも優先する位置に登録する。

【００４８】上記新たなエントリＲ２０２の入力回線フ
ィールド１４３には、外部ネットワークと接続されたイ
ンタフェース回路１１Ａの識別子が設定され、出力回線
フィールド１４６には初期値または無効データ、属性フ
ィールド１４７には“転送”を示すコードが設定され
る。また、上記新たなエントリＲ２０２の送信元ＩＰア
ドレスフィールド１４２および宛先ＩＰアドレスフィー
ルド１４５には、制御パケット５００の送信元ＩＰアド
レスフィールド５２２および宛先ＩＰアドレスフィール
ド５２３から得られたアドレスが設定され、それぞれと
対応するマスクフィールド１４１、１４４には、マスク
不要を示した状態となっている。

【００４９】また、図１２に例示するように、フィルタ
リングテーブル１５０には、サーバＸ、ＹのＩＰアドレ
スと、転送先アドレス（偽装サーバ２０）と、出力回線
との関係を定義した新たなレコードＲ１０２が追加され
る。本実施例の場合、偽装サーバ２０がルータ１０のイ
ンタフェース回路１１Ｃに接続されているため、出力回
線フィールド１６７には上記インタフェース回路１１Ｃ
を示す識別子が設定される。

【００５０】図１４は、本実施例におけるルーチングモ
ジュール１２０の処理動作を示すプログラムフローチャ
ートを示す。インタフェース回路１１からパケットを受
け取ると、入力回線（インタフェース回路）の識別子
と、受信パケットの送信元ＩＰアドレス３３１と、宛先
ＩＰアドレス３３２とに基づいて、ルーティングテーブ
ル１４０を検索する（ステップ１３１）。この場合、マ
スクパターンが指定されたエントリでは、上記送信元Ｉ
Ｐアドレス３３１と宛先ＩＰアドレス３３２をマスクパ
ターンに従ってマスクした上で、受信パケットに該当す
るエントリ（目的エントリ）を検索する。

【００５１】検索の結果を判定し（ステップ１３２）、
もし、目的エントリが見つからなければ無ければ、受信
パケットを廃棄（ステップ１３３）して、このルーチン
を終了する。目的エントリが見つかった場合、目的エン
トリの属性フィールド１４７を判定し、属性フィールド
が“廃棄”を示していた場合は（ステップ１３４）、パ
ケットを廃棄して（ステップ１３３）、このルーチンを
終了する。属性フィールドが“許可”を示していた場合
は（ステップ１３５）、出力回線フィールド１４６で指
定されたインタフェース回路に受信パケットを送出し
（ステップ１３６）、このルーチンを終了する。上記属
性フィールドが“転送”を示していた場合は、上記ルー
ティングテーブルの検索と同様に、フィルタリングテー
ブル１５０を検索し（ステップ１３７）、検索されたエ
ントリの出力回線フィールド１６７が示すインタフェー
ス回路に受信パケットを転送（ステップ１３８）した
後、このルーチンを終了する。

【００５２】尚、偽装サーバ２０とアクセス元検知装置
４０を外部バリア・セグメント３１に接続した場合は、
上記フィルタリングテーブル１５０の出力回線フィール
ド１６７にインタフェース回路１１Ｂの識別子を設定し
ておき、上記ステップ１３８で、受信パケットの宛先Ｉ
Ｐアドレス３３２を転送先ＩＰアドレスフィールド５２
４が示す偽装サーバ２０のアドレスに変換した後、出力
回線フィールド１６７が示す識別子に従って、インタフ
ェース回路１１Ｂに受信パケットを送出すればよい。

【００５３】ファイアウォール装置は、ルータに類似し
た受信パケット処理機能をもっているため、上述した偽
装サーバ２０とアクセス元探知装置４０を図１に示すフ
ァイアウォール装置５に接続し、監視装置５０が送信し
た制御パケット５００をファイアウォール５で受信し、
ファイアウォール５が、その後に到着する不正パケット
を偽装サーバ２０に転送する構成としても良い。

【００５４】

【発明の効果】以上の説明から明らかなように、本発明
では、外部ネットワークから企業内ネットワークに不正
にアクセスするパケットを不正アクセス・トラフィック
が示す特徴に基づいて検知し、不正パケットを偽装サー
バに転送し、偽装サーバから不正ユーザに意図的な情報
を応答することによって、不正ユーザと偽装サーバとの
間での交信を引き延ばすようにしている。従って、本発
明によれば、不正ユーザが偽装サーバと交信している間
に、不正パケットの経路を逆に辿って送信元を追跡し、
不正ユーザ端末を逆探知するのに必要な時間を得ること
ができ、不正アクセスの抑制に効果がある。

【図面の簡単な説明】

【図１】本発明のネットワーク監視システムの１実施例
をブロック構成図。

【図２】上記ネットワーク監視システムで使用されるパ
ケットフォーマットの１例を示す図。

【図３】図１に示したルータ１０の詳細を示すブロック
図。

【図４】図１に示した監視装置５０から送信される制御
パケットのフォーマットの１例を示す図。

【図５】ルータ１０が備えるルーティングテーブル１４
０の１実施例を示す図。

【図６】ルータ１０が備えるフィルタリングテーブル１
５０の１実施例を示す図。

【図７】ルータ１０が備えるルーティングモジュールの
１実施例を示すプログラム・フローチャート。

【図８】図１に示した偽装サーバ２０の機能を示すプロ
グラム・フローチャート。

【図９】図８における処理ルーチン２１０の詳細を示す
フローチャート。

【図１０】上記偽装サーバ２０が備えるファイルテーブ
ル２４の１例を示す図。

【図１１】ルータ１０が使用するルーティングテーブル
１４０の他の実施例を示す図。

【図１２】ルータ１０が使用するフィルタリングテーブ
ル１５０の他の実施例を示す図。

【図１３】ルータ１０が備えるテーブル管理モジュール
１１０の他の実施例を示すプログラム・フローチャー
ト。

【図１４】ルータ１０が備えるルーティングモジュール
１２０の他の実施例を示すプログラム・フローチャー
ト。

【符号の説明】

１：外部の端末装置、２：中継サーバ、３：外部ネット
ワーク、５：ファイアウォール装置、７：サーバ、８：
内部の端末装置、１０：ルータ、１１：インタフェース
回路、１２：ルーティング制御装置、２０：偽装サー
バ、２２：擬似データファイル、４０：アクセス元探知
装置、５０：ネットワーク監視装置、５３：攻撃パター
ン記憶ファイル、１１０：テーブル管理モジュール、１
２０：ルーティングモジュール、１４０：ルーティング
テーブル、１５０：フィルタリングテーブル、５００：
制御パケット。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｈ０４Ｌ 12/56

Claims (14)

【特許請求の範囲】
1. 【請求項１】外部ネットワークから、該外部ネットワー
   クにルータを介して接続された内部情報ネットワークへ
   の不正なアクセスを監視するネットワーク監視システム
   において、 外部ネットワークから上記ルータを通過して流入するパ
   ケットのトラフィックを監視し、上記内部情報ネットワ
   ークを不正にアクセスするパケットを検出した時、上記
   ルータ装置宛に不正パケットの識別情報を示す制御パケ
   ットを送信するトラフィック監視装置と、 受信パケットに応答して、該パケットの送信元に、意図
   的な情報を含む応答パケットを送信する偽装サーバとを
   有し、 上記ルータが、監視装置からの上記制御パケットの受信
   に応答して、上記不正パケットの識別情報を記憶するた
   めの手段を備え、上記外部ネットワークから受信された
   パケットの中から上記識別情報に基づいて不正パケット
   を識別し、上記偽装サーバに転送することを特徴とする
   ネットワーク監視システム。
2. 【請求項２】前記ルータが、前記外部ネットワークに接
   続された第１インタフェース回路と、前記内部情報ネッ
   トワークに接続された第２インタフェース回路と、前記
   偽装サーバに接続された第３のインタフェース回路とを
   有し、前記不正パケットを上記第３インタフェース回路
   に送出することを特徴とする請求項１に記載のネットワ
   ーク監視システム。
3. 【請求項３】前記内部情報ネットワークが、内部情報サ
   ービス用の少なくとも１つのサーバを収容した内部セグ
   メントと、前記ルータに接続された外部バリア・セグメ
   ントと、上記内部セグメントと上記外部バリア・セグメ
   ントとの間に接続され、上記外部バリア・セグメントか
   ら上記内部セグメントへの流入パケットを制限するため
   のファイアウォール装置とからなり、 前記トラフィック監視装置が、上記外部バリア・セグメ
   ントに接続され、上記外部バリア・セグメント上を流れ
   るパケットのトラフィックを監視することを特徴とする
   請求項１に記載のネットワーク監視システム。
4. 【請求項４】前記偽装サーバが、前記外部バリア・セグ
   メントに接続され、前記ルータが、前記不正パケットの
   宛先アドレスを上記偽装サーバを示すアドレスに変更し
   た後、上記外部バリア・セグメントに送出することを特
   徴とする請求項３に記載のネットワーク監視システム。
5. 【請求項５】前記偽装サーバに付随して、該偽装サーバ
   が受信する不正パケットの送信元を逆探知するための通
   信動作を行う送信元探知装置を備えたことを特徴とする
   請求項１〜請求項４の何れかに記載のネットワーク監視
   システム。
6. 【請求項６】外部ネットワークから、該外部ネットワー
   クにルータを介して接続された内部情報ネットワークへ
   の不正なアクセスを監視するネットワーク監視システム
   において、 上記外部ネットワークから上記ルータを通過して流入す
   るパケットのトラフィックを監視し、予め記憶された不
   正アクセスに特有の特徴をもつトラフィックを検出した
   時、該トラフィックに属した不正パケットの識別情報を
   含む制御パケットを生成して、上記ルータ装置宛に送信
   するトラフィック監視装置と、 受信パケットに応答して、該パケットの送信元に、意図
   的な情報を含む応答パケットを送信する偽装サーバとか
   らなり、 上記ルータが、不正パケットの識別情報と出力回線との
   対応関係を記憶するためのフィルタリングテーブル手段
   と、受信パケットに含まれる宛先アドレスと出力回線と
   の対応関係を記憶するためのルーティンテーブルと、上
   記監視装置から受信した制御パケットに応じて上記フィ
   ルタリングテーブルの内容を更新するための手段と、上
   記フィルタリングテーブルに基づいて、上記外部ネット
   ワークからの受信パケットが不正パケットか否かを判定
   し、不正パケットは上記偽装サーバが接続された出力回
   線に転送し、正常パケットは上記ルーティングテーブル
   に基づいてルーティング処理するための手段とを備えた
   ことを特徴とするネットワーク監視システム。
7. 【請求項７】前記ルータが、前記偽装サーバに専用のイ
   ンタフェース回路を有し、前記各不正パケットを上記偽
   装サーバに専用のインタフェース回路の出力することを
   特徴とする請求項６に記載のネットワーク監視システ
   ム。
8. 【請求項８】前記内部情報ネットワークが、内部情報サ
   ービス用の少なくとも１つのサーバを収容した内部セグ
   メントと、前記ルータに接続された外部バリア・セグメ
   ントと、上記内部セグメントと上記外部バリア・セグメ
   ントとの間に接続され、上記外部バリア・セグメントか
   ら上記内部セグメントへの流入パケットを制限するため
   のファイアウォール装置とからなり、 前記トラフィック監視装置が、上記外部バリア・セグメ
   ントに接続され、上記外部バリア・セグメント上を流れ
   るパケットのトラフィックを監視することを特徴とする
   請求項６に記載のネットワーク監視システム。
9. 【請求項９】前記偽装サーバが、前記内部情報ネットワ
   ークの一部を構成し、前記ルータが、前記各不正パケッ
   トの宛先アドレスを上記偽装サーバ宛のアドレスに変換
   した後、上記内部情報ネットワークが接続されたインタ
   フェース回路に出力することを特徴とする請求項６また
   は請求項８に記載のネットワーク監視システム。
10. 【請求項１０】前記偽装サーバに付随して、該偽装サー
    バが受信する不正パケットの送信元を逆探知するための
    通信動作を行う送信元探知装置を備えたことを特徴とす
    る請求項６〜請求項９の何れかに記載のネットワーク監
    視システム。
11. 【請求項１１】外部ネットワークから、該外部ネットワ
    ークにルータを介して接続された内部情報ネットワーク
    への不正なアクセスを監視するネットワーク監視システ
    ムにおいて、 上記内部情報ネットワークが、内部情報サービス用の少
    なくとも１つのサーバを収容した内部セグメントと、前
    記ルータに接続された外部バリア・セグメントと、上記
    内部セグメントと上記外部バリア・セグメントとの間に
    接続され、上記外部バリア・セグメントから上記内部セ
    グメントへの流入パケットを制限するためのファイアウ
    ォール装置と、外部ネットワークから上記外部バリア・
    セグメントに流入するパケットのトラフィックを監視
    し、上記内部情報ネットワークを不正にアクセスするパ
    ケットを検出した時、上記ファイアウォール装置宛に不
    正パケットの識別情報を示す制御パケットを送信するト
    ラフィック監視装置と、上記ファイアウォール装置から
    転送された受信パケットに応答して、該パケットの送信
    元に、意図的な情報を含む応答パケットを送信する偽装
    サーバとを有し、 上記ファイアウォール装置が、上記監視装置からの受信
    した制御パケットに基づいて、上記不正パケットの識別
    情報を記憶しておき、上記外部ネットワークから受信さ
    れたパケットの中から上記識別情報に基づいて不正パケ
    ットを識別し、上記偽装サーバに転送することを特徴と
    するネットワーク監視システム。
12. 【請求項１２】前記偽装サーバに付随して、該偽装サー
    バが受信する不正パケットの送信元を逆探知するための
    通信動作を行う送信元探知装置を備えたことを特徴とす
    る請求項１１に記載のネットワーク監視システム。
13. 【請求項１３】外部ネットワークと内部ネットワークと
    の間に配置されたルータと、上記ルータを通過する上記
    外部ネットワークからの流入パケットのトラフィックを
    監視することによって、上記内部ネットワークを不正に
    アクセスする不正パケットを検出するためのトラフィッ
    ク監視装置と、上記外部ネットワークと内部ネットワー
    クとの間において上記ルータから不正パケットを受信
    し、該不正パケットの送信元に応答パケットを送信する
    サーバとを有し、 上記トラフィック監視装置が、上記内部ネットワークを
    不正にアクセスする不正パケットが検出された場合に、
    上記ルータに対して、該不正パケットのヘッダ情報で識
    別されるその後の特定の受信パケットを上記サーバに転
    送させるための制御情報を通知するための手段を有し、 上記サーバが、上記内部ネットワークに接続された他の
    サーバが保持するデータの一部、または上記他のサーバ
    とは異なるデータに基いて、上記応答パケットを生成す
    ることを特徴とするネットワークシステム。
14. 【請求項１４】前記サーバが受信する不正パケットを監
    視し、該不正パケットの送信元を逆探知するための手段
    を有することを特徴とする請求項１３に記載のネットワ
    ークシステム。