JP2001350678A - 不正侵入検知システム - Google Patents

Abstract

(57)【要約】 【課題】 ＩＰアドレステーブルと不正侵入判定ルール
テーブルを用いて、不正侵入判定を行なう不正侵入検知
システムに係り、ＩＰアドレステーブルと不正侵入判定
ルールテーブルの設定変更を自動的に行う不正侵入検知
システムを提供することを課題とする。 【解決手段】 検出ルール実行手段３１の動作結果に基
づいて、ＩＰアドレステーブル変更手段３２が、ＩＰア
ドレステーブル１０を変更し、不正侵入判定ルールテー
ブル変更手段３３が、不正侵入判定ルールテーブル１５
を変更し、これらのテーブルを用いて、不正侵入判定ル
ール実行手段２０は、不正侵入の判定を行なう。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、ネットワーク上
を流れるパケットを入手して動作する不正侵入検知シス
テムの設定方法に関する。

【０００２】

【従来の技術】図１７は、例えばコンピュータ・セキュ
リティ・シンポジウム’９９にて発表された「パケット
監視によるネットワーク侵入検出システムの実装と評
価」に代表されるような従来の侵入検知システムであ
る。

【０００３】ネットワーク５は、ＷＷＷサーバ１、ＭＡ
ＩＬサーバ２、正常マシン３、不正マシン４などを接続
している。ネットワーク５上には、データ転送の為にパ
ケット６が流れている。

【０００４】そのため、不正侵入検知システムは、通信
手段７、ＩＰアドレステーブル１０、ＩＰアドレステー
ブル設定手段１１、ＷＷＷサーバ用不正侵入判定ルール
１２、ＭＡＩＬサーバ用不正侵入判定ルール１３、不正
侵入判定ルールテーブル１５、不正侵入判定ルールテー
ブル設定手段１６、パケット情報取得手段１７、ＩＰア
ドレステーブル取得手段１８、不正侵入判定ルールテー
ブル取得手段１９、不正侵入判定ルール実行手段２０、
対策実行手段２２を備えている。

【０００５】通信手段７は、ネットワーク５とパケット
６のやりとりを行う。

【０００６】ＩＰアドレステーブル１０は、マシン名８
とＩＰアドレス９の関係をまとめたＩＰアドレスリスト
を記述している。尚、マシン名８は、ＷＷＷサーバ１、
ＭＡＩＬサーバ２、正常マシン３や不正マシン４などを
識別する。また、ＩＰアドレス９は、ＷＷＷサーバ１や
ＭＡＩＬサーバ２や正常マシン３や不正マシン４などが
送受するパケット６の中に含まれるＩＰアドレスであ
る。

【０００７】ＩＰアドレステーブル設定手段１１は、Ｉ
Ｐアドレステーブル１０を設定する。

【０００８】ＷＷＷサーバ用不正侵入判定ルール１２
は、パケット６の情報をもとにＷＷＷサーバに対する不
正侵入を判定するルールである。

【０００９】ＭＡＩＬサーバ用不正侵入判定ルール１３
は、パケット６の情報をもとにＭＡＩＬサーバに対する
不正侵入を判定するルールである。

【００１０】不正侵入判定ルールテーブル１５は、マシ
ン名８と不正侵入判定ルール名１４の関係をまとめた不
正侵入判定ルールリストを記述している。尚、不正侵入
判定ルール名１４は、ＷＷＷサーバ用不正侵入判定ルー
ル１２やＭＡＩＬサーバ用不正侵入判定ルール１３など
を識別するルール名である。

【００１１】不正侵入判定ルールテーブル設定手段１６
は、不正侵入判定ルールテーブル１５を設定する。

【００１２】パケット情報取得手段１７は、通信手段７
からパケット６を取得する。

【００１３】ＩＰアドレステーブル取得手段１８は、Ｉ
Ｐアドレステーブル１０からＩＰアドレスリストを取得
する。

【００１４】不正侵入判定ルールテーブル取得手段１９
は、不正侵入判定ルールテーブル１５から不正侵入判定
ルールリストを取得する。

【００１５】不正侵入判定ルール実行手段２０は、ＩＰ
アドレスリストから、パケット６から取り出したＩＰア
ドレス９に対応するマシン名８を特定し、不正侵入判定
ルールテーブルリストからそのマシン名８に対応する不
正侵入判定ルールを特定し、その不正侵入判定ルールを
実行する。

【００１６】対策実行手段２２は、不正侵入判定ルール
実行手段２０の結果に応じて、アラーム出力などの制御
を行なう。これにより、不正侵入判定ルール実行結果が
不正侵入と判定されたときにアラームが出力する。

【００１７】このような従来の侵入検知システムにおい
ては、パケット情報取得手段１７により通信手段７から
得られたパケット６を利用し、ＩＰアドレステーブル設
定手段１１によってユーザーから設定されたＩＰアドレ
ステーブル１０と、不正侵入判定ルールテーブル設定手
段１６によってユーザーから設定された不正侵入判定ル
ールテーブル１５に基づき、不正侵入判定ルール実行手
段２０が該当する不正侵入判定ルールを呼び出して侵入
検知を行う。

【００１８】従来の侵入検知システムにおいては、ユー
ザーが手作業によりＩＰアドレステーブル１０と不正侵
入判定ルールテーブル１５を設定していた為、煩雑であ
るという欠点があった。

【００１９】また、マシンが追加された場合にユーザが
再設定しなくてはならないという欠点があった。

【００２０】また、マシン上で新たなサーバが実行され
るようになった場合にユーザが再設定しなくてはならな
いという欠点があった。

【００２１】また、設定時にユーザが操作ミスを犯して
意図しない設定のまま実行されるという問題もあった。

【００２２】

【発明が解決しようとする課題】本発明は、上記した従
来技術の欠点を除くためになされたものであって、ＩＰ
アドレステーブルと不正侵入判定ルールテーブルの設定
変更を自動的に行うものである。

【００２３】また、マシンが追加された場合に自動的に
ＩＰアドレステーブルを変更する。

【００２４】また、そのマシン上で稼働しているサーバ
を自動的に判定し、不正侵入判定ルールテーブルを変更
する。

【００２５】また、マシン上で新たなサービスが稼働し
た場合に自動的に不正侵入判定ルールテーブルを変更す
る。

【００２６】

【課題を解決するための手段】この発明に係る不正侵入
検知システムは、ネットワークを介してマシンに接続
し、マシンに対する不正侵入を検知する不正侵入検知シ
ステムであって、以下の要素を有することを特徴とす
る。 （１）ネットワークに接続するマシンの識別情報と、マ
シンのＩＰアドレスとを対応つけて記憶するＩＰアドレ
ステーブル、（２）ネットワークに接続するマシンの識
別情報と、マシンに対する不正侵入を判定する不正侵入
判定ルールの識別情報とを対応付けて記憶する不正侵入
判定ルールテーブル、（３）ネットワークを介してパケ
ットの送受信を行なう通信手段、（４）通信手段からパ
ケットを取得し、取得したパケットに含まれるＩＰアド
レスを取り出すパケット情報取得手段、（５）ＩＰアド
レステーブルから、パケット情報取得手段により取り出
したＩＰアドレスと一致するＩＰアドレスに対応するマ
シンの識別情報を選択し、不正侵入判定ルールテーブル
から、選択したマシンの識別情報と一致する識別情報に
対応する不正侵入判定ルールの識別情報を選択し、選択
した識別情報で識別される不正侵入判定ルールに従っ
て、不正侵入を判定する不正侵入判定ルール実行手段、
（６）通信手段からパケットを取得し、取得したパケッ
トに含まれるＩＰアドレスを取り出し、取り出したＩＰ
アドレスで特定されるマシンに対して接続し、接続した
マシン上で動作しているサーバの種類を取得し、取得し
たサーバの種類に適した不正侵入判定ルールを選択し、
接続したマシンの識別情報を生成する検出ルール実行手
段、（７）検出ルール実行手段により生成したマシンの
識別情報と、取り出したＩＰアドレスとを対応つけて、
ＩＰアドレステーブルに記憶させるＩＰアドレステーブ
ル変更手段、（８）検出ルール実行手段により生成した
マシンの識別情報と、選択した不正侵入判定ルールの識
別情報とを対応付けて、不正侵入判定ルールテーブルに
記憶させる不正侵入判定ルールテーブル変更手段。

【００２７】また、不正侵入検知システムは、更に、サ
ーバの種類と、そのサーバの種類に適した不正侵入判定
ルールの識別情報とを対応つけて記憶する検出ルールテ
ーブルを有し、検出ルール実行手段は、検出ルールテー
ブルで、サーバの種類に対応つけられる不正侵入判定ル
ールの識別情報を出力することを特徴とする。

【００２８】また、不正侵入検知システムは、更に、Ｉ
Ｐアドレステーブルに、検出ルール実行手段により取り
出したＩＰアドレスと一致するＩＰアドレスが記憶され
ているかを検査するＩＰアドレス設定済検査手段を有
し、ＩＰアドレステーブル変更手段は、ＩＰアドレス設
定済検査手段により、一致するＩＰアドレスが記憶され
ていないと判断した場合に、検出ルール実行手段により
生成したマシンの識別情報と、取り出したＩＰアドレス
とを対応つけて、ＩＰアドレステーブルに記憶させるこ
とを特徴とする。

【００２９】また、不正侵入検知システムは、更に、不
正侵入判定ルールテーブルに、検出ルール実行手段によ
り選択した不正侵入判定ルールの識別情報と一致する識
別情報が記憶されているかを検査する不正侵入判定ルー
ル設定済検査手段を有し、不正侵入判定ルールテーブル
変更手段は、不正侵入判定ルール設定済検査手段によ
り、一致する不正侵入判定ルールの識別情報が記憶され
ていないと判断した場合に、検出ルール実行手段により
生成したマシンの識別情報と、選択した不正侵入判定ル
ールの識別情報とを対応付けて、不正侵入判定ルールテ
ーブルに記憶させることを特徴とする。

【００３０】また、不正侵入検知システムは、更に、Ｉ
Ｐアドレステーブルから、マシンの識別情報と、マシン
のＩＰアドレスとを取得するＩＰアドレステーブル再取
得手段と、不正侵入判定ルールテーブルから、ＩＰアド
レステーブル再取得手段により取得したマシンの識別情
報と一致する識別情報に対応する不正侵入判定ルールの
識別情報を取得する不正侵入判定ルールテーブル再取得
手段と、検出ルール実行手段に、ＩＰアドレステーブル
再取得手段により取得したＩＰアドレスで特定されるマ
シンに接続させ、接続したマシン上で動作しているサー
バの種類を取得させる検出ルール再実行手段とを有し、
不正侵入判定ルールテーブル変更手段は、不正侵入判定
ルールテーブル再取得手段により取得した不正侵入判定
ルールの識別情報により識別される不正侵入識別ルール
が適するサーバの種類と、ルール実行手段により取得し
たサーバの種類とが一致しない場合に、不正侵入判定ル
ールテーブルから、不正侵入判定ルールテーブル再取得
手段により取得した不正侵入判定ルールの識別情報を削
除することを特徴とする。

【００３１】また、不正侵入検知システムは、更に、Ｉ
Ｐアドレステーブルから、マシンの識別情報と、マシン
のＩＰアドレスとを取得するＩＰアドレステーブル再取
得手段と、検出ルール実行手段に、ＩＰアドレステーブ
ル再取得手段により取得したＩＰアドレスで特定される
マシンに接続させる検出ルール再実行手段とを有し、Ｉ
Ｐアドレステーブル変更手段は、検出ルール実行手段に
よる接続ができない場合に、ＩＰアドレステーブルか
ら、ＩＰアドレステーブル再取得手段により取得したマ
シンの識別情報と、マシンのＩＰアドレスとを削除し、
不正侵入判定ルールテーブル変更手段は、ＩＰアドレス
テーブル再取得手段により取得したマシンの識別情報
と、その識別情報に対応する不正侵入判定ルールの識別
情報とを削除することを特徴とする。

【００３２】また、不正侵入検知システムは、更に、不
正侵入判定ルール手段により不正侵入があったことを判
定した場合に、対策としてアラームを出力する対策実行
手段と、対策実行手段により出力されたアラームを検知
するアラーム検出手段と、アラーム検出手段によりアラ
ームを検出した場合に、検出ルール再実行手段を起動す
る再検出指定手段とを有することを特徴とする。

【００３３】また、不正侵入検知システムは、更に、検
出ルールテーブルを暗号化する検出ルールテーブル暗号
設定手段と、暗号化した検出ルールテーブルを復号する
検出ルールテーブル復号取得手段と、ＩＰアドレステー
ブルを暗号化するＩＰアドレステーブル暗号設定手段
と、暗号化したＩＰアドレステーブルを復号するＩＰア
ドレステーブル復号取得手段と、不正侵入判定ルールテ
ーブルを暗号化する不正侵入判定ルールテーブル暗号設
定手段と、暗号化した不正侵入判定ルールテーブルを復
号する不正侵入判定ルールテーブル復号取得手段とを有
することを特徴とする。

【００３４】また、不正侵入検知システムは、更に、検
出ルールテーブルと、ＩＰアドレステーブルと、不正侵
入判定テーブルとの変更履歴を生成するテーブル変更保
存手段と、テーブル変更保存手段により生成した変更履
歴を格納する履歴テーブルとを有することを特徴とす
る。

【００３５】また、不正侵入検知システムは、更に、通
信手段からパケットを取得して保存するパケット保存手
段と、パケット保存手段に保存したパケット出力するパ
ケット再生手段とを有し、検出ルール実行手段は、パケ
ット再生手段により出力されるパケットを取得すること
を特徴とする。

【００３６】また、不正侵入検知システムは、更に、パ
ケット再生手段がパケットを出力するスケジュールを記
憶する再生スケジュール記憶部と、再生スケジュール記
憶部に記憶するスケジュールに従って、パケット再生手
段へパケットの出力を指示する指定日時パケット再生指
示手段とを有することを特徴とする。

【００３７】また、不正侵入検知システムは、更に、シ
ステムの負荷状況を取得する負荷取得手段と、負荷取得
手段により取得した負荷状況が、所定の負荷よりも小さ
いと判断した場合に、パケット再生手段へパケットの出
力を指示する低負荷時パケット再生指示手段とを有する
ことを特徴とする。

【００３８】また、不正侵入検知システムは、更に、パ
ケット保存手段からパケットの流通量を取得するパケッ
ト流通量取得手段と、パケット流通量取得手段により取
得したパケットの流通量が、所定の流通量よりも少ない
と判断した場合に、パケット再生手段へパケットの出力
を指示する低ネットワーク負荷時パケット再生指示手段
とを有することを特徴とする。

【００３９】

【発明の実施の形態】実施の形態１．以下本発明を図面
に示す実施例に基づいて説明する。図１は、実施の形態
１における侵入検知システムを示す図である。ネットワ
ーク５は、ＷＷＷサーバ１、ＭＡＩＬサーバ２、正常マ
シン３、不正マシン４などを接続している。ネットワー
ク５上には、データ転送の為にパケット６が流れてい
る。

【００４０】そのため、不正侵入検知システムは、通信
手段７、ＩＰアドレステーブル１０、ＩＰアドレステー
ブル設定手段１１、ＷＷＷサーバ用不正侵入判定ルール
１２、ＭＡＩＬサーバ用不正侵入判定ルール１３、不正
侵入判定ルールテーブル１５、不正侵入判定ルールテー
ブル設定手段１６、パケット情報取得手段１７、ＩＰア
ドレステーブル取得手段１８、不正侵入判定ルールテー
ブル取得手段１９、不正侵入判定ルール実行手段２０、
対策実行手段２２、パケット情報取得・送出手段２３、
ＷＷＷサーバ用検出ルール２４、ＭＡＩＬサーバ用検出
ルール２５、検出ルールテーブル２８、検出ルールテー
ブル設定手段２９、検出ルールテーブル取得手段３０、
検出ルール実行手段３１、ＩＰアドレステーブル変更手
段３２、不正侵入判定ルールテーブル変更手段３３を備
える。

【００４１】通信手段７は、ネットワーク５とパケット
６のやりとりを行う。

【００４２】ＩＰアドレステーブル１０は、マシン名８
とＩＰアドレス９の関係をまとめたＩＰアドレスリスト
を記述している。図２は、ＩＰアドレステーブルの構成
を示す図である。尚、マシン名８は、ＷＷＷサーバ１、
ＭＡＩＬサーバ２、正常マシン３や不正マシン４などを
識別する。また、ＩＰアドレス９は、ＷＷＷサーバ１や
ＭＡＩＬサーバ２や正常マシン３や不正マシン４などが
送受するパケット６の中に含まれるＩＰアドレスであ
る。

【００４３】ＩＰアドレステーブル設定手段１１は、Ｉ
Ｐアドレステーブル１０を設定する。

【００４４】ＷＷＷサーバ用不正侵入判定ルール１２
は、パケット６の情報をもとにＷＷＷサーバに対する不
正侵入を判定するルールである。

【００４５】ＭＡＩＬサーバ用不正侵入判定ルール１３
は、パケット６の情報をもとにＭＡＩＬサーバに対する
不正侵入を判定するルールである。

【００４６】不正侵入判定ルールテーブル１５は、マシ
ン名８と不正侵入判定ルール名１４の関係をまとめた不
正侵入判定ルールリストを記述している。図３は、ルー
ルテーブルの構成を示す図である。尚、不正侵入判定ル
ール名１４は、ＷＷＷサーバ用不正侵入判定ルール１２
やＭＡＩＬサーバ用不正侵入判定ルール１３などを識別
するルール名である。

【００４７】不正侵入判定ルールテーブル設定手段１６
は、不正侵入判定ルールテーブル１５を設定する。

【００４８】パケット情報取得手段１７は、通信手段７
からパケット６を取得する。

【００４９】ＩＰアドレステーブル取得手段１８は、Ｉ
Ｐアドレステーブル１０からＩＰアドレスリストを取得
する。

【００５０】不正侵入判定ルールテーブル取得手段１９
は、不正侵入判定ルールテーブル１５から不正侵入判定
ルールリストを取得する。

【００５１】不正侵入判定ルール実行手段２０は、ＩＰ
アドレスリストから、パケット６から取り出したＩＰア
ドレス９に対応するマシン名８を特定し、不正侵入判定
ルールテーブルリストからそのマシン名８に対応する不
正侵入判定ルールを特定し、その不正侵入判定ルールを
実行する。

【００５２】対策実行手段２２は、不正侵入判定ルール
実行手段２０の結果に応じて、アラーム出力などの制御
を行なう。これにより、不正侵入判定ルール実行結果が
不正侵入と判定されたときにアラーム２１が出力する。

【００５３】パケット情報取得・送出手段２３は、通信
手段７からパケット６を取得または送出する。

【００５４】ＷＷＷサーバ用検出ルール２４は、パケッ
ト６の情報をもとにＷＷＷサーバ１かどうかの検出を行
うルールである。

【００５５】ＭＡＩＬサーバ用検出ルール２５は、パケ
ット６の情報をもとにＭＡＩＬサーバ２かどうかの検出
を行うルールである。

【００５６】検出ルールテーブル２８は、種類２６と検
出ルール２７とルール名１４の関係をまとめた検出ルー
ルリストを記述している。図４は、検出ルールリストの
構成を示す図である。尚、種類２６は、マシンがＷＷＷ
サーバ１かＭＡＩＬサーバ２かなどを識別する。

【００５７】検出ルールテーブル設定手段２９は、検出
ルールテーブル２８を設定する。

【００５８】検出ルールテーブル取得手段３０は、検出
ルールテーブル２８から検出ルールリストを取り出す。

【００５９】検出ルール実行手段３１は、パケット６と
検出ルールリストから検出ルール２７を実行し、検出ル
ール２７からの要求に応じてパケット情報取得・送出手
段２３とパケット６のやりとりを行い、検出結果を得
る。いずれかのサーバを検出するまで、検出ルールリス
トにあるすべての検出ルールを実行する。

【００６０】ＩＰアドレステーブル変更手段３２は、検
出結果を元にＩＰアドレステーブル１０を変更する。

【００６１】不正侵入判定ルールテーブル変更手段３３
は、検出結果を元に不正侵入判定ルールテーブル１５を
変更する。

【００６２】次に、動作について説明する。ＩＰアドレ
ステーブル設定手段１１により、予めユーザはＷＷＷサ
ーバ１やＭＡＩＬサーバ２や正常マシン３や不正マシン
４などを識別するマシン名８とＩＰアドレス９の関係を
まとめたＩＰアドレスリストを記述したＩＰアドレステ
ーブル１０を設定しておくことができる。

【００６３】また、不正侵入判定ルールテーブル設定手
段１６により、予めユーザはマシン名８とＷＷＷサーバ
用不正侵入判定ルール１２やＭＡＩＬサーバ用不正侵入
判定ルール１３などを識別するルール名１４の関係をま
とめたルールリストを記述した不正侵入判定ルールテー
ブル１５を設定しておくことができる。

【００６４】そして、ユーザは、検出ルールテーブル設
定手段２９により、マシンがＷＷＷサーバ１かＭＡＩＬ
サーバ２かなどを識別する為の種類２６と、ＷＷＷサー
バ用検出ルール２４又はＭＡＩＬサーバ用検出ルール２
５の検出ルール２７と、ＷＷＷサーバ用不正侵入判定ル
ール１２やＭＡＩＬサーバ用不正侵入判定ルール１３な
どを識別するルール名１４を検出ルールテーブル２８に
設定しておく。

【００６５】不正侵入検知システムは、通信手段７によ
りそのネットワーク５上でデータをのせて流れるパケッ
ト６を入手する。

【００６６】次に、パケット情報取得・送出手段２３に
より、通信手段７からパケット６を取得する。

【００６７】次に、検出ルールテーブル取得手段３０に
より、検出ルールテーブル２８から検出ルールリストを
全て取り出す。

【００６８】次に、検出ルール実行手段３１により、パ
ケット６と検出ルールリストから検出ルール２７を実行
し、検出ルール２７からの要求に応じてパケット情報取
得・送出手段２３とパケット６のやりとりを行い、検出
結果を得る。この際に、パケット６は、パケット情報取
得・送出手段２３と通信手段７を介し、ネットワーク５
を経由して対象となるマシンと通信される。

【００６９】図５は、ＷＷＷサーバ用検出ルールの処理
の流れである。Ｓ５０１により、検出ルール実行手段３
１から実行されたＷＷＷサーバ用検出ルール２４の処理
が開始される。

【００７０】Ｓ５０２により、パケット６の中のＩＰア
ドレスを取得する。

【００７１】Ｓ５０３により、パケット６の中のＩＰア
ドレスに対して、ＰＯＲＴ番号８０の接続要求を送り、
検出ルール実行手段３１からパケット情報取得・送出手
段２３を経て通信手段７により実際のパケット６をネッ
トワーク５に送出する。尚、ＰＯＲＴ番号８０は、ＷＷ
Ｗサーバのポート番号である。但し、ポート番号を指定
せずに、１から順に確認する方法も考えられる。

【００７２】Ｓ５０４により、接続結果を確認する。接
続成功の場合は、Ｓ５０５を実行する。接続失敗の場合
は、Ｓ５０９へ移る。

【００７３】Ｓ５０５により、同一のＩＰアドレス及び
ポート番号に対して改行コードを２個送出し、検出ルー
ル実行手段３１からパケット情報取得・送出手段２３を
経て通信手段７により実際のパケット６をネットワーク
５に送出する。

【００７４】Ｓ５０６により、ネットワークから取得し
たパケットを通信手段ならびにパケット情報取得・送出
手段、更に検出ルール実行手段を経由してリプライとし
て受信する。

【００７５】Ｓ５０７により、リプライの先頭文字が
“ＨＴＴＰ／１．０”から始まっているかどうかを比較
する。一致した場合は、Ｓ５０８を実行する。不一致の
場合は、Ｓ５０９へ移る。

【００７６】Ｓ５０８により、相手がＷＷＷサーバであ
ると判定する。尚、ＨＴＴＰプロトコルにより、ＷＷＷ
サーバがこのように動作することが定義されている。ま
た、“ＨＴＴＰ／１．１”から始まっている場合にも、
同様に判定することができる。

【００７７】Ｓ５０９により、一連の処理を終了する。

【００７８】尚、ＭＡＩＬサーバの場合には、ＰＯＲＴ
番号は、２５番となり、ＨＥＬＯｔｅｓｔのリプライの
先頭文字が”２５０”から始まっていることにより判定
することができる。

【００７９】検出結果、新しいＩＰアドレス９が発見さ
れ、更にサーバが検出された場合には、ＩＰアドレステ
ーブル変更手段３２によりＩＰアドレス９と、新たに生
成したマシン名８をＩＰアドレステーブル１０に追加す
る。また、不正侵入判定ルールテーブル変更手段３３に
より、マシン名８とルール名１４を不正侵入判定ルール
テーブル１５に追加する。

【００８０】次に、パケット情報取得手段１７により、
通信手段７からパケット６を取得する。この際、通信手
段７は自らがネットワーク５に送信したパケット６は渡
さずに破棄する。

【００８１】次に、ＩＰアドレステーブル取得手段１８
により、ＩＰアドレステーブル１０からパケット６の中
に含まれるＩＰアドレス９に対応するＩＰアドレスリス
トを取得する。

【００８２】次に、不正侵入判定ルールテーブル取得手
段１９により、不正侵入判定ルールテーブル１５からＩ
Ｐアドレスリストに含まれるマシン名８に対応するルー
ルテーブルリストを取得する。

【００８３】次に、不正侵入判定ルール実行手段２０に
より、ルールテーブルリストからルール名１４を取得し
て実行する。実行結果が不正侵入と判定されたときは、
対策実行手段２２によりアラーム２１を出力する。

【００８４】従って、自動的に更新されたＩＰアドレス
テーブル１０と不正侵入判定ルールテーブル１５を用い
て侵入検知が実行されることとなる。

【００８５】実施の形態２．図６は、実施の形態２にお
ける侵入検知システムを示す図である。本実施の形態に
おける侵入検知システムは、前述の侵入検知システムの
構成に加えて、ＩＰアドレス設定済検査手段４３を備え
ている。

【００８６】ＩＰアドレス設定済検査手段４３は、検出
ルール実行手段３１から与えられたＩＰアドレス９がＩ
Ｐアドレステーブル１０に既に設定されているかどうか
を検査して結果を検出ルール実行手段３１に渡す。

【００８７】動作について説明する。検出ルール実行手
段３１により検出結果を得る処理までは、実施の形態１
における動作と同様である。

【００８８】検出結果、新しいＩＰが発見され、更にサ
ーバが検出された場合には、ＩＰアドレス９を検出ルー
ル実行手段３１からＩＰアドレス設定済検査手段４３に
渡し、ＩＰアドレス設定済検査手段４３により、ＩＰア
ドレステーブル１０に既に設定されているかどうかを検
査する。そして、検査結果を検出ルール実行手段３１に
渡す。

【００８９】ＩＰアドレス９が未登録の場合は、ＩＰア
ドレステーブル変更手段３２により、ＩＰアドレス９と
新たに生成したマシン名をＩＰアドレステーブル１０に
追加する。また、不正侵入判定ルールテーブル変更手段
３３により、マシン名とルール名を不正侵入判定ルール
テーブル１５に追加する。

【００９０】これ以降の動作は、実施の形態１における
動作と同様である。

【００９１】本実施の形態では、ＩＰアドレステーブル
１０にＩＰアドレス９が重複して設定されることがない
ので、ＩＰアドレステーブル１０が最適な状態に保たれ
る。

【００９２】実施の形態３．図７は、実施の形態３にお
ける侵入検知システムを示す図である。本実施の形態に
おける侵入検知システムは、前述の侵入検知システムの
構成に加えて、不正侵入判定ルール設定済検査手段４４
を備えている。

【００９３】不正侵入判定ルール設定済検査手段４４
は、検出ルール実行手段３１から与えられたマシン名８
とルール名１４のペアであるルールリストが不正侵入判
定ルールテーブル１５に既に設定されているかどうかを
検査して結果を検出ルール実行手段３１に渡す。

【００９４】動作について説明する。検出ルール実行手
段３１により検出結果を得る処理までは、実施の形態１
における動作と同様である。

【００９５】検出結果、新しいＩＰが発見され、更にサ
ーバが検出された場合には、マシン名８とルール名１４
を検出ルール実行手段３１から不正侵入判定ルール設定
済検査手段４４に渡し、不正侵入判定ルール設定済検査
手段４４により、不正侵入判定ルールテーブル１５に既
に設定されているかどうかを検査する。そして、検査結
果を検出ルール実行手段３１に渡す。

【００９６】ルールリストが未登録の場合は、ＩＰアド
レステーブル変更手段３２により、ＩＰアドレス９と新
たに生成したマシン名をＩＰアドレステーブル１０に追
加する。また、不正侵入判定ルールテーブル変更手段３
３によりマシン名とルール名を不正侵入判定ルールテー
ブル１５に追加する。

【００９７】これ以降の動作は、実施の形態１における
動作と同様である。

【００９８】本実施の形態では、不正侵入判定ルールテ
ーブル１５にマシン名８とルール名１４のペアであるル
ールリストが重複して設定されることがないので、不正
侵入判定ルールテーブル１５が最適な状態に保たれる。

【００９９】実施の形態４．図８は、実施の形態４にお
ける侵入検知システムを示す図である。本実施の形態に
おける侵入検知システムは、前述の侵入検知システムの
構成に加えて、ＩＰアドレステーブル再取得手段４５、
不正侵入判定ルールテーブル再取得手段４６、検出ルー
ル再実行手段４７、再検出指定手段４８を備えている。

【０１００】ＩＰアドレステーブル再取得手段４５は、
ＩＰアドレステーブル１０からＩＰアドレスリストを再
取得する。

【０１０１】不正侵入判定ルールテーブル再取得手段４
６は、不正侵入判定ルールテーブル１５からルールリス
トを再取得する。

【０１０２】検出ルール再実行手段４７は、ＩＰアドレ
ステーブル再取得手段４５より与えられるＩＰアドレス
リストと、不正侵入判定ルールテーブル再取得手段４６
より与えられるルールリストと、検出ルールテーブル取
得手段３０より得られる検出ルールリストを用いて、検
出ルール実行手段３１に再実行させる。

【０１０３】再検出指定手段４８は、検出ルール再実行
手段４７に実行を指示する。

【０１０４】動作について説明する。ユーザは、任意の
時点で再検出指定手段４８により検出ルール再実行手段
４７に実行を指示することができる。

【０１０５】ＩＰアドレステーブル再取得手段４５は、
ＩＰアドレステーブル１０からＩＰアドレスリストを再
取得し、不正侵入判定ルールテーブル再取得手段４６
は、不正侵入判定ルールテーブル１５からルールリスト
を再取得し、更に、検出ルールテーブル取得手段３０
は、検出ルールリストを取得する。

【０１０６】検出ルール再実行手段４７は、ルールリス
ト中のルール名１４に対応する検出ルールリスト中の検
出ルール２７と、ルールリスト中のマシン名８に対応す
るＩＰアドレステーブル１０中のＩＰアドレス９を取得
し、これを検出ルール実行手段３１に渡して再実行させ
る。

【０１０７】次に、検出ルール実行手段３１により、検
出ルール２７を実行し、検出ルール２７からの要求に応
じてパケット情報取得・送出手段２３とパケット６のや
りとりを行い検出結果を得る。

【０１０８】この際にパケット６は、パケット情報取得
・送出手段２３と通信手段７を介し、ネットワーク５を
経由して対象となるマシンと通信される。

【０１０９】検出結果、サーバが検出されなかった場合
には、不正侵入判定ルールテーブル変更手段３３により
マシン名８とルール名１４を不正侵入判定ルールテーブ
ル１５から削除する。また、ＩＰアドレス９が検出され
なかった場合には、ＩＰアドレステーブル変更手段３２
によりＩＰアドレス９とマシン名８をＩＰアドレステー
ブル１０から削除し、不正侵入判定ルールテーブル変更
手段３３によりマシン名８とルール名１４を不正侵入判
定ルールテーブル１５から削除する。

【０１１０】次に、パケット情報取得手段１７により、
通信手段７からパケット６を取得する。この際、通信手
段７は自らがネットワーク５に送信したパケット６は渡
さずに破棄する。

【０１１１】次に、ＩＰアドレステーブル取得手段１８
により、ＩＰアドレステーブル１０からパケット６の中
に含まれるＩＰアドレス９に対応するＩＰアドレスリス
トを取得する。

【０１１２】次に、不正侵入判定ルールテーブル取得手
段１９により、不正侵入判定ルールテーブル１５からＩ
Ｐアドレスリストに含まれるマシン名８に対応するルー
ルテーブルリストを取得する。

【０１１３】次に、不正侵入判定ルール実行手段２０に
よりルールテーブルリストからルール名１４を取得して
実行する。実行結果が不正侵入と判定された時は対策実
行手段２２によりアラーム２１を出力する。

【０１１４】従って、再検出の指定のみで自動的に更新
されたＩＰアドレステーブル１０と不正侵入判定ルール
テーブル１５を用いて侵入検知が実行されることとな
る。

【０１１５】実施の形態５．図９は、実施の形態５にお
ける侵入検知システムを示す図である。本実施の形態に
おける侵入検知システムは、前述の侵入検知システムの
構成に加えて、再検出指定手段４８、アラーム検出手段
４９を備えている。

【０１１６】アラーム検出手段４９は、アラーム２１の
出力を検出して、再検出指定手段４８に再検出を指示す
る。

【０１１７】本実施の形態では、ユーザが再検出指定手
段４８を操作して検出ルール再実行手段４７に再実行を
指示するかわりに、アラーム検出手段４９によりアラー
ム２１の発生を検出し、再検出指定手段４８に再実行を
自動的に指示する。

【０１１８】従って、何らかの異常が発生または設定の
更新が必要と考えられる場合に、迅速に対応することが
可能となる。

【０１１９】実施の形態６．図１０は、実施の形態６に
おける侵入検知システムを示す図である。本実施の形態
における侵入検知システムは、前述の侵入検知システム
の構成に加えて、設定時パスワード入力手段５１、起動
時パスワード入力手段５２、実行時パスワード保存手段
５３、暗号済検出ルールテーブル５４、検出ルールテー
ブル暗号設定手段５５、検出ルールテーブル復号取得手
段５６、暗号済ＩＰアドレステーブル５７、ＩＰアドレ
ステーブル暗号設定手段５８、ＩＰアドレステーブル復
号取得手段５９、ＩＰアドレステーブル暗号変更手段６
０、暗号済不正侵入判定ルールテーブル６１、不正侵入
判定ルールテーブル暗号設定手段６２、不正侵入判定ル
ールテーブル復号取得手段６３、不正侵入判定ルールテ
ーブル暗号変更手段６４を備えている。

【０１２０】本実施の形態におけるパスワード５０は、
管理者しか知り得ぬパスワードである。

【０１２１】設定時パスワード入力手段５１は、設定時
にパスワード５０を入力する。

【０１２２】起動時パスワード入力手段５２は、起動時
にパスワード５０を入力する。

【０１２３】実行時パスワード保存手段５３は、起動時
パスワード入力手段５２により入力されたパスワード５
０を実行時にのみ保存する。

【０１２４】暗号済検出ルールテーブル５４は、パスワ
ード５０により暗号化された検出ルールリストを格納す
る。

【０１２５】検出ルールテーブル暗号設定手段５５は、
パスワード５０により暗号化して暗号済検出ルールテー
ブル５４を設定する。

【０１２６】検出ルールテーブル復号取得手段５６は、
暗号済検出ルールテーブル５４よりパスワード５０にて
復号した検出ルールリストを取得する。

【０１２７】暗号済ＩＰアドレステーブル５７は、パス
ワード５０により暗号化されたＩＰアドレスリストを格
納する。

【０１２８】ＩＰアドレステーブル暗号設定手段５８
は、パスワード５０により暗号化して暗号済ＩＰアドレ
ステーブル５７を設定する。

【０１２９】ＩＰアドレステーブル復号取得手段５９
は、暗号済ＩＰアドレステーブル５７よりパスワード５
０にて復号したＩＰアドレスリストを取得する。

【０１３０】ＩＰアドレステーブル暗号変更手段６０
は、パスワード５０により復号し再度暗号化して暗号済
ＩＰアドレステーブル５７を変更する。

【０１３１】暗号済不正侵入判定ルールテーブル６１
は、パスワード５０により暗号化されたルールリストを
格納する。

【０１３２】不正侵入判定ルールテーブル暗号設定手段
６２は、パスワード５０により暗号化して暗号済不正侵
入判定ルールテーブル６１を設定する。

【０１３３】不正侵入判定ルールテーブル復号取得手段
６３は、暗号済不正侵入判定ルールテーブル６１よりパ
スワード５０にて復号したルールリストを取得する。

【０１３４】不正侵入判定ルールテーブル暗号変更手段
６４は、パスワード５０により復号し、再度暗号化して
暗号済不正侵入判定ルールテーブル６１を変更する。

【０１３５】動作について説明する。システム起動時
に、管理者は、管理者しか知り得ぬパスワード５０を、
起動時パスワード入力手段５２により入力し、実行時パ
スワード保存手段５３により実行中のみ保存する。

【０１３６】暗号済検出ルールテーブル５４には、パス
ワード５０により暗号化された検出ルールリストが格納
される。暗号済検出ルールテーブル５４を設定する場合
には、検出ルールテーブル暗号設定手段５５によりパス
ワード５０にて暗号化する。暗号済検出ルールテーブル
５４により検出ルールリストを取得する場合には、検出
ルールテーブル復号取得手段５６によりパスワード５０
にて復号する。

【０１３７】暗号済ＩＰアドレステーブル５７には、パ
スワード５０により暗号化されたＩＰアドレスリストが
格納される。暗号済ＩＰアドレステーブル５７を設定す
る場合には、ＩＰアドレステーブル暗号設定手段５８に
よりパスワード５０にて暗号化する。暗号済ＩＰアドレ
ステーブル５７よりＩＰアドレスリストを取得する場合
には、ＩＰアドレステーブル復号取得手段５９によりパ
スワード５０にて復号する。暗号済ＩＰアドレステーブ
ル５７を変更する場合には、ＩＰアドレステーブル暗号
変更手段６０によりパスワード５０にて復号し再度暗号
化する。

【０１３８】暗号済不正侵入判定ルールテーブル６１に
は、パスワード５０により暗号化されたルールリストが
格納される。暗号済不正侵入判定ルールテーブル６１を
設定する場合には、不正侵入判定ルールテーブル暗号設
定手段６２によりパスワード５０にて暗号化する。暗号
済不正侵入判定ルールテーブル６１よりルールリストを
取得する場合には、不正侵入判定ルールテーブル復号取
得手段６３によりパスワード５０にて復号する。暗号済
不正侵入判定ルールテーブル６１を変更する場合には、
不正侵入判定ルールテーブル暗号変更手段６４によりパ
スワード５０にて復号し再度暗号化する。

【０１３９】この他の動作は、実施の形態１と同様であ
る。

【０１４０】従って、管理者と当侵入検知システム以外
の者により、設定情報が改ざんされることを防止でき
る。

【０１４１】実施の形態７．図１１は、実施の形態７に
おける侵入検知システムを示す図である。本実施の形態
における侵入検知システムは、前述の侵入検知システム
の構成に加えて、検出ルールテーブル２８及びＩＰアド
レステーブル１０及び検出ルールテーブル２８の変更履
歴を格納する履歴テーブル６５と、検出ルールテーブル
２８及びＩＰアドレステーブル１０及び検出ルールテー
ブル２８の変更履歴を履歴テーブル６５に格納するテー
ブル変更保存手段６６を備えている。

【０１４２】また、図１２は、この発明における履歴テ
ーブルの構成の一例である。

【０１４３】本実施の形態では、検出ルールテーブル設
定手段により、検出ルールテーブルを設定する際の履歴
をテーブル変更保存手段により履歴テーブルに保存す
る。不正侵入判定ルールテーブル設定手段により、ルー
ルテーブルを設定する際の履歴をテーブル変更保存手段
により履歴テーブルに保存する。不正侵入判定ルールテ
ーブル変更手段により、ルールテーブルを変更する際の
履歴をテーブル変更保存手段により履歴テーブルに保存
する。ＩＰアドレステーブル設定手段により、ＩＰアド
レステーブルを設定する際の履歴をテーブル変更保存手
段により履歴テーブルに保存する。ＩＰアドレス不正侵
入判定ルールテーブル変更手段により、ＩＰアドレスル
ールテーブルを変更する際の履歴をテーブル変更保存手
段により履歴テーブルに保存する。

【０１４４】この他の動作は、実施の形態１と同様であ
る。

【０１４５】従って、ユーザによる設定変更および当侵
入検知システムによる設定変更を後で確認することが可
能となり管理負荷の低減と利便性が向上する。

【０１４６】実施の形態８．図１３は、実施の形態８に
おける侵入検知システムを示す図である。本実施の形態
における侵入検知システムは、前述の侵入検知システム
の構成に加えて、通信手段７より得られるパケット６を
保存しておくパケット保存手段６７と、パケット保存手
段６７に保存されているパケット６を再生するパケット
再生手段６８と、パケット再生手段６８にパケット６の
再生を指示するパケット再生指示手段６９を備えてい
る。尚、ここで再生するとは、保存されているパケット
を通信手段によりネットワークへ送出することである。

【０１４７】動作について説明する。本実施の形態で
は、パケット保存手段６７により、通信手段７より得ら
れるパケット６を保存し、パケット再生手段６８によ
り、パケット保存手段６７に保存されているパケット６
を再生する。ユーザーは、パケット再生指示手段６９に
より、パケット再生手段６８にパケット６の再生を指示
する。

【０１４８】この他の動作は、実施の形態１と同様であ
る。

【０１４９】従って、ユーザーの指定した時に、それま
で保存しておいたパケット６の情報をもとに設定更新を
実行させることができるので、企業等においては、ネッ
トワーク５の混雑する昼間はパケット６を保存してお
き、適当な時に設定更新作業を実施させることが可能で
ある。

【０１５０】実施の形態９．図１４は、実施の形態９に
おける侵入検知システムを示す図である。本実施の形態
における侵入検知システムは、実施の形態８の侵入検知
システムの構成に加えて、現在の日時を取得する日時取
得手段７０と、パケット再生指示を出す日時を記述した
再生スケジュール７１と、現在の日時と再生スケジュー
ル７１を比較して指定された日時にパケット再生指示を
出す指定日時パケット再生指示手段７２を備えている。

【０１５１】動作について説明する。本実施の形態で
は、指定日時パケット再生指示手段７２が、日時取得手
段７０により現在の日時を取得し、再生スケジュール７
１に記述されたパケット再生指示を出す日時と比較し
て、指定された日時にパケット再生指示をパケット再生
手段６８に出す。

【０１５２】この他の動作は、実施の形態８と同様であ
る。

【０１５３】従って、深夜等の利用者の少ない時間帯に
設定更新作業を自動で実施させることが可能である。ま
た、定期的に設定更新作業を実施させることも可能であ
る。

【０１５４】実施の形態１０．図１５は、実施の形態１
０における侵入検知システムを示す図である。本実施の
形態における侵入検知システムは、実施の形態８の侵入
検知システムの構成に加えて、システムの負荷状況を取
得する負荷取得手段７３と、パケット再生指示を出すこ
とのできる負荷情報を記述した再生可能負荷情報７４
と、現在の負荷情報と再生可能負荷情報とを比較して可
能な負荷状況であればパケット再生指示を出す低負荷時
パケット再生指示手段７５を備えている。

【０１５５】動作について説明する。低負荷時パケット
再生指示手段７５が、負荷取得手段７３によりシステム
の負荷状況を取得し、再生可能負荷情報７４に記述され
たパケット再生指示を出すことのできる負荷情報と比較
して、可能な負荷状況であればパケット再生指示をパケ
ット再生手段６８に出す。

【０１５６】この他の動作は、実施の形態８と同様であ
る。なお、負荷取得手段７３は一定時間プログラムをル
ープでまわし、その実行回数をカウントするなどの方法
により実現される。

【０１５７】従って、システムの負荷の軽い時間帯に設
定更新作業を自動で実施させることが可能であり、侵入
検知機能のスループットを下げることが防げる。

【０１５８】実施の形態１１．図１６は、実施の形態１
１における侵入検知システムを示す図である。本実施の
形態における侵入検知システムは、実施の形態８の侵入
検知システムの構成に加えて、パケット保存手段６７か
らパケット６の流通量を取得するパケット流通量取得手
段７６と、パケット再生指示を出すことのできるパケッ
ト流通量を記述した再生可能流通量情報７７と、現在の
パケット流通量と再生可能流通量情報７７とを比較して
可能な流通量であればパケット再生指示を出す低ネット
ワーク負荷時パケット再生指示手段７８を備えている。

【０１５９】動作について説明する。低ネットワーク負
荷時パケット再生指示手段７８が、パケット流通量取得
手段７６によりパケット６の流通量を取得し、再生可能
流通量情報７７に記述されたパケット再生指示を出すこ
とのできるパケット流通量と比較して、可能な流通量で
あればパケット再生指示をパケット再生手段６８に出
す。

【０１６０】この他の動作は、実施の形態８と同様であ
る。

【０１６１】従って、ネットワークの負荷の軽い時間帯
に設定更新作業を自動で実施させることが可能であり、
ネットワークに繋がれた他の機器への影響を減らすこと
が可能である。

【０１６２】尚、上記の説明では、ネットワークにＷＷ
ＷサーバやＭＡＩＬサーバがある場合について述べた
が、その他のサーバに利用することも出来る。

【０１６３】

【発明の効果】本発明においては、自動的に更新された
ＩＰアドレステーブル１０と不正侵入判定ルールテーブ
ル１５を用いて侵入検知が実行されることとなる。

【０１６４】また、この発明は、ＩＰアドレステーブル
１０にＩＰアドレス９が重複して設定されることがない
ので、ＩＰアドレステーブル１０が最適な状態に保たれ
る。

【０１６５】また、この発明は、不正侵入判定ルールテ
ーブル１５にマシン名８とルール名１４のペアであるル
ールリストが重複して設定されることがないので、不正
侵入判定ルールテーブル１５が最適な状態に保たれる。

【０１６６】また、この発明は、再検出の指定のみで自
動的に更新されたＩＰアドレステーブル１０と不正侵入
判定ルールテーブル１５を用いて侵入検知が実行される
こととなる。

【０１６７】また、この発明は、何らかの異常が発生ま
たは設定の更新が必要と考えられる場合に、迅速に対応
することが可能となる。

【０１６８】また、この発明は、管理者と当侵入検知シ
ステム以外の者により、設定情報が改ざんされることを
防止できる。

【０１６９】また、この発明は、ユーザによる設定変更
および当侵入検知システムによる設定変更を後で確認す
ることが可能となり管理負荷の低減と利便性が向上す
る。

【０１７０】また、この発明は、ユーザーの指定した時
に、それまで保存しておいたパケット６の情報をもとに
設定更新を実行させることができるので、企業等におい
ては、ネットワーク５の混雑する昼間はパケット６を保
存しておき、適当な時に設定更新作業を実施させること
が可能である。

【０１７１】また、この発明は、深夜等の利用者の少な
い時間帯に設定更新作業を自動で実施させることが可能
である。また、定期的に設定更新作業を実施させること
も可能である。

【０１７２】また、この発明は、システムの負荷の軽い
時間帯に設定更新作業を自動で実施させることが可能で
あり、侵入検知機能のスループットを下げることが防げ
る。

【０１７３】また、この発明は、ネットワークの負荷の
軽い時間帯に設定更新作業を自動で実施させることが可
能であり、ネットワークに繋がれた他の機器への影響を
減らすことが可能である。

【図面の簡単な説明】

【図１】 実施の形態１における侵入検知システムを示
す図である。

【図２】 ＩＰアドレステーブルの構成を示す図であ
る。

【図３】 ルールテーブルの構成を示す図である。

【図４】 検出ルールリストの構成を示す図である。

【図５】 ＷＷＷサーバ用検出ルールの処理の流れを示
す図である。

【図６】 実施の形態２における侵入検知システムを示
す図である。

【図７】 実施の形態３における侵入検知システムを示
す図である。

【図８】 実施の形態４における侵入検知システムを示
す図である。

【図９】 実施の形態５における侵入検知システムを示
す図である。

【図１０】 実施の形態６における侵入検知システムを
示す図である。

【図１１】 実施の形態７における侵入検知システムを
示す図である。

【図１２】 この発明における履歴テーブルの構成の一
例を示す図である。

【図１３】 実施の形態８における侵入検知システムを
示す図である。

【図１４】 実施の形態９における侵入検知システムを
示す図である。

【図１５】 実施の形態１０における侵入検知システム
を示す図である。

【図１６】 実施の形態１１における侵入検知システム
を示す図である。

【図１７】 従来の侵入検知システムを示す図である。

【符号の説明】

１ ＷＷＷサーバ、２ ＭＡＩＬサーバ、３ 正常マシ
ン、４ 不正マシン、５ ネットワーク、６ パケッ
ト、７ 通信手段、８ マシン名、９ ＩＰアドレス、
１０ ＩＰアドレステーブル、１１ ＩＰアドレステー
ブル設定手段、１２ ＷＷＷサーバ用不正侵入判定ルー
ル、１３ ＭＡＩＬサーバ用不正侵入判定ルール、１４
不正侵入判定ルール名、１５ 不正侵入判定ルールテ
ーブル、１６ 不正侵入判定ルールテーブル設定手段、
１７ パケット情報取得手段、１８ＩＰアドレステーブ
ル取得手段、１９ 不正侵入判定ルールテーブル取得手
段、２０ 不正侵入判定ルール実行手段、２１ アラー
ム、２２ 対策実行手段、２３ パケット情報取得・送
出手段、２４ ＷＷＷサーバ用検出ルール、２５ＭＡＩ
Ｌサーバ用検出ルール、２６ 種類、２７ 検出ルー
ル、２８ 検出ルールテーブル、２９ 検出ルールテー
ブル設定手段、３０ 検出ルールテーブル取得手段、３
１ 検出ルール実行手段、３２ ＩＰアドレステーブル
変更手段、３３ 不正侵入判定ルールテーブル変更手
段、４３ ＩＰアドレス設定済検査手段、４４ 不正侵
入判定ルール設定済検査手段、４５ ＩＰアドレステー
ブル再取得手段、４６ 不正侵入判定ルールテーブル再
取得手段、４７ 検出ルール再実行手段、４８ 再検出
指定手段、４９ アラーム検出手段、５１ 設定時パス
ワード入力手段、５２ 起動時パスワード入力手段、５
３ 実行時パスワード保存手段、５４ 暗号済検出ルー
ルテーブル、５５ 検出ルールテーブル暗号設定手段、
５６ 検出ルールテーブル復号取得手段、５７ 暗号済
ＩＰアドレステーブル、５８ ＩＰアドレステーブル暗
号設定手段、５９ ＩＰアドレステーブル復号取得手
段、６０ ＩＰアドレステーブル暗号変更手段、６１
暗号済不正侵入判定ルールテーブル、６２ 不正侵入判
定ルールテーブル暗号設定手段、６３不正侵入判定ルー
ルテーブル復号取得手段、６４ 不正侵入判定ルールテ
ーブル暗号変更手段、６５ 履歴テーブル、６６ テー
ブル変更保存手段、６７ パケット保存手段、６８ パ
ケット再生手段、６９ パケット再生指示手段、７０日
時取得手段、７１ 再生スケジュール、７２ 指定日時
パケット再生指示手段、７３ 負荷取得手段、７４ 再
生可能負荷情報、７５ 低負荷時パケット再生指示手
段、７６ パケット流通量取得手段、７７ 再生可能流
通量情報、７８低ネットワーク負荷時パケット再生指示
手段。

Claims (13)

【特許請求の範囲】
1. 【請求項１】 ネットワークを介してマシンに接続し、
   マシンに対する不正侵入を検知する不正侵入検知システ
   ムであって、以下の要素を有することを特徴とする不正
   侵入検知システム（１）ネットワークに接続するマシン
   の識別情報と、マシンのＩＰアドレスとを対応つけて記
   憶するＩＰアドレステーブル、（２）ネットワークに接
   続するマシンの識別情報と、マシンに対する不正侵入を
   判定する不正侵入判定ルールの識別情報とを対応付けて
   記憶する不正侵入判定ルールテーブル、（３）ネットワ
   ークを介してパケットの送受信を行なう通信手段、
   （４）通信手段からパケットを取得し、取得したパケッ
   トに含まれるＩＰアドレスを取り出すパケット情報取得
   手段、（５）ＩＰアドレステーブルから、パケット情報
   取得手段により取り出したＩＰアドレスと一致するＩＰ
   アドレスに対応するマシンの識別情報を選択し、 不正侵入判定ルールテーブルから、選択したマシンの識
   別情報と一致する識別情報に対応する不正侵入判定ルー
   ルの識別情報を選択し、 選択した識別情報で識別される不正侵入判定ルールに従
   って、不正侵入を判定する不正侵入判定ルール実行手
   段、（６）通信手段からパケットを取得し、 取得したパケットに含まれるＩＰアドレスを取り出し、 取り出したＩＰアドレスで特定されるマシンに対して接
   続し、 接続したマシン上で動作しているサーバの種類を取得
   し、 取得したサーバの種類に適した不正侵入判定ルールを選
   択し、 接続したマシンの識別情報を生成する検出ルール実行手
   段、 （７）検出ルール実行手段により生成したマシンの識別
   情報と、取り出したＩＰアドレスとを対応つけて、ＩＰ
   アドレステーブルに記憶させるＩＰアドレステーブル変
   更手段、（８）検出ルール実行手段により生成したマシ
   ンの識別情報と、選択した不正侵入判定ルールの識別情
   報とを対応付けて、不正侵入判定ルールテーブルに記憶
   させる不正侵入判定ルールテーブル変更手段。
2. 【請求項２】 不正侵入検知システムは、更に、サーバ
   の種類と、そのサーバの種類に適した不正侵入判定ルー
   ルの識別情報とを対応つけて記憶する検出ルールテーブ
   ルを有し、 検出ルール実行手段は、検出ルールテーブルで、サーバ
   の種類に対応つけられる不正侵入判定ルールの識別情報
   を出力することを特徴とする請求項１記載の不正侵入検
   知システム。
3. 【請求項３】 不正侵入検知システムは、更に、ＩＰア
   ドレステーブルに、検出ルール実行手段により取り出し
   たＩＰアドレスと一致するＩＰアドレスが記憶されてい
   るかを検査するＩＰアドレス設定済検査手段を有し、 ＩＰアドレステーブル変更手段は、ＩＰアドレス設定済
   検査手段により、一致するＩＰアドレスが記憶されてい
   ないと判断した場合に、検出ルール実行手段により生成
   したマシンの識別情報と、取り出したＩＰアドレスとを
   対応つけて、ＩＰアドレステーブルに記憶させることを
   特徴とする請求項１記載の不正侵入検知システム。
4. 【請求項４】 不正侵入検知システムは、更に、不正侵
   入判定ルールテーブルに、検出ルール実行手段により選
   択した不正侵入判定ルールの識別情報と一致する識別情
   報が記憶されているかを検査する不正侵入判定ルール設
   定済検査手段を有し、 不正侵入判定ルールテーブル変更手段は、不正侵入判定
   ルール設定済検査手段により、一致する不正侵入判定ル
   ールの識別情報が記憶されていないと判断した場合に、
   検出ルール実行手段により生成したマシンの識別情報
   と、選択した不正侵入判定ルールの識別情報とを対応付
   けて、不正侵入判定ルールテーブルに記憶させることを
   特徴とする請求項１記載の不正侵入検知システム。
5. 【請求項５】 不正侵入検知システムは、更に、ＩＰア
   ドレステーブルから、マシンの識別情報と、マシンのＩ
   Ｐアドレスとを取得するＩＰアドレステーブル再取得手
   段と、 不正侵入判定ルールテーブルから、ＩＰアドレステーブ
   ル再取得手段により取得したマシンの識別情報と一致す
   る識別情報に対応する不正侵入判定ルールの識別情報を
   取得する不正侵入判定ルールテーブル再取得手段と、 検出ルール実行手段に、ＩＰアドレステーブル再取得手
   段により取得したＩＰアドレスで特定されるマシンに接
   続させ、接続したマシン上で動作しているサーバの種類
   を取得させる検出ルール再実行手段とを有し、 不正侵入判定ルールテーブル変更手段は、不正侵入判定
   ルールテーブル再取得手段により取得した不正侵入判定
   ルールの識別情報により識別される不正侵入識別ルール
   が適するサーバの種類と、ルール実行手段により取得し
   たサーバの種類とが一致しない場合に、 不正侵入判定ルールテーブルから、不正侵入判定ルール
   テーブル再取得手段により取得した不正侵入判定ルール
   の識別情報を削除することを特徴とする請求項１記載の
   不正侵入検知システム。
6. 【請求項６】 不正侵入検知システムは、更に、ＩＰア
   ドレステーブルから、マシンの識別情報と、マシンのＩ
   Ｐアドレスとを取得するＩＰアドレステーブル再取得手
   段と、 検出ルール実行手段に、ＩＰアドレステーブル再取得手
   段により取得したＩＰアドレスで特定されるマシンに接
   続させる検出ルール再実行手段とを有し、 ＩＰアドレステーブル変更手段は、検出ルール実行手段
   による接続ができない場合に、ＩＰアドレステーブルか
   ら、ＩＰアドレステーブル再取得手段により取得したマ
   シンの識別情報と、マシンのＩＰアドレスとを削除し、 不正侵入判定ルールテーブル変更手段は、ＩＰアドレス
   テーブル再取得手段により取得したマシンの識別情報
   と、その識別情報に対応する不正侵入判定ルールの識別
   情報とを削除することを特徴とする請求項１記載の不正
   侵入検知システム。
7. 【請求項７】 不正侵入検知システムは、更に、不正侵
   入判定ルール手段により不正侵入があったことを判定し
   た場合に、対策としてアラームを出力する対策実行手段
   と、 対策実行手段により出力されたアラームを検知するアラ
   ーム検出手段と、 アラーム検出手段によりアラームを検出した場合に、検
   出ルール再実行手段を起動する再検出指定手段とを有す
   ることを特徴とする請求項５または６記載の不正侵入検
   知システム。
8. 【請求項８】 不正侵入検知システムは、更に、検出ル
   ールテーブルを暗号化する検出ルールテーブル暗号設定
   手段と、 暗号化した検出ルールテーブルを復号する検出ルールテ
   ーブル復号取得手段と、 ＩＰアドレステーブルを暗号化するＩＰアドレステーブ
   ル暗号設定手段と、 暗号化したＩＰアドレステーブルを復号するＩＰアドレ
   ステーブル復号取得手段と、 不正侵入判定ルールテーブルを暗号化する不正侵入判定
   ルールテーブル暗号設定手段と、 暗号化した不正侵入判定ルールテーブルを復号する不正
   侵入判定ルールテーブル復号取得手段とを有することを
   特徴とする請求項２記載の不正侵入検知システム。
9. 【請求項９】 不正侵入検知システムは、更に、検出ル
   ールテーブルと、ＩＰアドレステーブルと、不正侵入判
   定テーブルとの変更履歴を生成するテーブル変更保存手
   段と、 テーブル変更保存手段により生成した変更履歴を格納す
   る履歴テーブルとを有することを特徴とする請求項１記
   載の不正侵入検知システム。
10. 【請求項１０】 不正侵入検知システムは、更に、通信
    手段からパケットを取得して保存するパケット保存手段
    と、 パケット保存手段に保存したパケット出力するパケット
    再生手段とを有し、 検出ルール実行手段は、パケット再生手段により出力さ
    れるパケットを取得することを特徴とする請求項１記載
    の不正侵入検知システム。
11. 【請求項１１】 不正侵入検知システムは、更に、パケ
    ット再生手段がパケットを出力するスケジュールを記憶
    する再生スケジュール記憶部と、 再生スケジュール記憶部に記憶するスケジュールに従っ
    て、パケット再生手段へパケットの出力を指示する指定
    日時パケット再生指示手段とを有することを特徴とする
    請求項１０記載の不正侵入検知システム。
12. 【請求項１２】 不正侵入検知システムは、更に、シス
    テムの負荷状況を取得する負荷取得手段と、 負荷取得手段により取得した負荷状況が、所定の負荷よ
    りも小さいと判断した場合に、パケット再生手段へパケ
    ットの出力を指示する低負荷時パケット再生指示手段と
    を有することを特徴とする請求項１０記載の不正侵入検
    知システム。
13. 【請求項１３】 不正侵入検知システムは、更に、パケ
    ット保存手段からパケットの流通量を取得するパケット
    流通量取得手段と、 パケット流通量取得手段により取得したパケットの流通
    量が、所定の流通量よりも少ないと判断した場合に、パ
    ケット再生手段へパケットの出力を指示する低ネットワ
    ーク負荷時パケット再生指示手段とを有することを特徴
    とする請求項１０記載の不正侵入検知システム。