JP2002149602A - 不正アクセスを防御するためのネットワーク接続装置 - Google Patents

Abstract

(57)【要約】 【課題】ネットワーク上での不正アクセスを検知した際
に、防御対象ホストを守りつつ、侵入者に関してより多
くの情報を得る技術を提供することを目的とする。 【解決手段】 ネットワーク接続装置であって、防御対
象装置と、身代わり装置とを前記ネットワーク接続装置
に接続する手段と、データを防御対象装置又は身代わり
装置に振り分ける中継手段と、所定の送信元のデータを
所定の宛先に送るために参照される経路データを記録す
る中継表と、ネットワークから送られたデータが不正ア
クセスによるものであることを検出する手段と、該手段
で不正アクセスを検出したときに、その不正アクセスに
係るデータを前記身代わり装置に送るようにする経路デ
ータを、前記中継表に記録する手段とを有し、前記中継
手段は、ネットワークから送信されたデータが不正アク
セスの発信元からのデータである場合に、そのデータを
前記身代わり装置に振り分ける。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワークにお
ける不正アクセスから防御対象装置を守る技術に関す
る。

【０００２】

【従来の技術】ネットワークを介してのコンピュータへ
のアクセスには、与えられた権限以外の操作（読み出
しのみの許されたファイルの書替え等）、システムで
提供しているサービスの実施を妨害する操作（無用な処
理を行う等により不要の負荷をシステムにかける等）等
がある。

【０００３】従来の不正アクセス防御方法として、不正
アクセスを検知した際にそのアクセスを遮断することに
より防御対象ホストを守る方法があり、この方法は、例
えば特開２０００−１０８８７に開示されている。

【０００４】特開２０００−１０８８７に開示されてい
る方法によれば、計算機システムにおけるネットワーク
インターフェースモジュール内に、ネットワークインタ
ーフェースモジュールの電源をオン・オフするセキュリ
ティスイッチを設け、計算機システムが不正なアクセス
を受けた場合に、計算機本体のＣＰＵがセキュリティス
イッチに対して電源オフ信号を発生し、不正アクセスを
遮断する。

【０００５】

【発明が解決しようとする課題】しかしながら、上記従
来の方法によると、不正アクセスを検知した際、すぐに
アクセスを遮断してしまうので、侵入者の素性、目的に
関して情報を得ることができない。また、侵入者にもア
クセスが遮断されたことがわかるので、別の方法で再攻
撃される危険があった。

【０００６】本発明は上記の点に鑑みてなされたもので
あり、不正アクセスを検知した際に、防御対象の計算機
システム（防御対象装置）への不正アクセスを防止しつ
つ、侵入経路追跡、侵入過程の特徴抽出等に必要な時間
を稼ぎ、侵入者に関してより多くの情報を得る技術を提
供することを目的とする。

【０００７】

【課題を解決するための手段】請求項１に記載の発明
は、ネットワーク上での不正アクセスから防御対象装置
を守るネットワーク接続装置であって、防御対象装置
と、不正アクセスを防御対象装置の代わりに受ける身代
わり装置とを前記ネットワーク接続装置に接続する手段
と、ネットワークからのデータを防御対象装置又は身代
わり装置に振り分ける中継手段と、所定の送信元のデー
タを所定の宛先に送るために参照される経路データを記
録する中継表と、ネットワークから送られたデータの内
容から、そのデータが不正アクセスによるものであるこ
とを検出する手段と、該手段で不正アクセスを検出した
ときに、その不正アクセスに係るデータを前記身代わり
装置に送るようにする経路データを、前記中継表に記録
する手段とを有し、前記中継手段は、その中継表に記録
された経路データを参照して、ネットワークから送信さ
れたデータが不正アクセスの発信元からのデータである
場合に、そのデータを前記身代わり装置に振り分ける。

【０００８】本発明によれば、身代わり装置が侵入者と
の対応を引き継ぐことができるので、防御対象装置は侵
入者に気づかれることなく不正アクセスを遮断し、安全
を確保できる。また、侵入者から見れば、不正アクセス
に対して予想した応答が返されるので、侵入者は侵入が
成功したと錯覚する。それにより侵入者が目的を果たし
たと思い込めば、別の方法で再攻撃してくる可能性は減
少する。更に、侵入者が侵入成功と錯覚して行動してい
る間、侵入経路追跡処理などのリアクションを行う時間
を稼ぐことができる。

【０００９】身代わり装置が侵入者への対応を引き継ぐ
具体的な方法としては、コネクション型サービスの場
合、例えば、接続（バーチャルサーキット）は「クライ
アント・ネットワーク接続装置」「ネットワーク接続装
置・防御対象装置」間に作り、ネットワーク接続装置が
これらの接続の間でデータの中継を行うことでサービス
を提供する中で、クライアントからのデータに不正アク
セスの特徴が見られた場合、「ネットワーク接続装置・
身代わりホスト」間に新しく接続を作り、その不正なデ
ータは身代わりホストに処理させる。「ネットワーク接
続装置・防御対象ホスト」間の接続は切断して、防御対
象ホストの安全を確保するようにする。

【００１０】請求項２に記載の発明は、請求項１の記載
において、前記ネットワーク接続装置は、前記中継表に
おける経路データを参照して、前記身代わり装置から送
信されるデータが中継表における経路データに無い宛先
アドレスを有する場合には、そのデータを破棄する手段
を更に有する。

【００１１】本発明によれば、身代わり装置から出るデ
ータは、中継表に記録した経路データに示した中継経路
しか通れなくなるので、侵入者は身代わり装置を踏み台
にして他の装置に不正アクセスすることができなくな
る。

【００１２】請求項３に記載の発明は、請求項１又は２
の記載において、不正アクセスの発信元と前記身代わり
装置との間のデータの送受信に関する情報を記録する手
段を更に有する。

【００１３】本発明によれば、侵入成功と錯覚した侵入
者がその後にとる行動を記録することができるので、そ
の素性や目的をより深く知ることができる。例えば、侵
入者が使ったツールや行動手順などの「手口」を知るこ
とでその素性を割り出すために有効な情報を取得するこ
とができ、侵入者が取得しようとした情報の種類や、仕
掛けようとした罠を知ることで、侵人者の目的（装置上
の機密情報の取得、装置をさらなる侵入への踏み台にす
る、他のユーザのパスワード破りなど）を推定できる。

【００１４】

【発明の実施の形態】本発明の一実施例におけるシステ
ム構成を図１に示す。同図に示すように、不正アクセス
から防御すべき防御対象ホスト１の他に不正アクセスに
対して身代わりとなる身代わりホスト３を設ける。防御
対象ホスト１と身代わりホスト３はネットワーク接続装
置５を介してネットワーク７に接続される。ネットワー
ク接続装置５は防御対象ホスト１、身代わりホスト３及
びネットワークの間でデータを中継する。

【００１５】通常、ネットワーク接続装置５はネットワ
ークから送られてきたデータを防御対象ホスト１に中継
している。ネットワーク接続装置５がネットワークから
送られてきたデータ内に不正アクセスの特徴を発見した
場合、そのデータは身代わりホスト３に転送され、身代
わりホスト３が以後の侵入者への対応を引き継ぐ。防御
対象ホスト１白身は侵入者に気づかれることなく侵入者
とのアクセスを遮断することができる。これにより、防
御対象ホストを守りつつ侵入者に侵入成功と思わせるこ
とが可能となる。また、身代わりホスト３にはあえて侵
入者に侵入させ、行動させる。その行動についてネット
ワーク接続装置５で記録を取る。更に、身代わりホスト
には偽の情報を置き、それをあえて侵入者に取らせるよ
うにすることもできる。このように、侵入者に侵入成功
と思わせて行動をとらせることにより、侵入者の素性を
調べることが可能となる。

【００１６】図２を用いて、図１で示したシステムの詳
細構成を説明する。

【００１７】防御対象ホスト１は、各種サービス提供部
９を有し、各種サービス提供部９により正規クライアン
ト１１にサービスを提供する。身代わりホスト３は、侵
入者に防御対象ホスト１の身代わりとしてアクセスさせ
るホストであり、各種サービス提供部１３が侵入者クラ
イアント１５にサービスを提供する。侵入者を混乱させ
るために身代わりホストに置く情報は、例えば、防御対
象ホストとは異なるパスワードファイルとすることがで
きる。

【００１８】ネットワーク接続装置５は、プロキシ機
能、入力データチェック機能、記録機能を有する。

【００１９】プロキシ機能は、ネットワークとホスト間
のデータの中継を行う機能である。プロキシ機能によ
り、ネットワーク７からのデータはネットワーク接続装
置５が受け取り、それを防御対象ホスト１もしくは身代
わりホスト３に中継する。防御対象ホスト１もしくは身
代わりホスト３からの返答もネットワーク接続装置５が
受け取り、それをネットワーク側に中継する。また、プ
ロキシ機能により違法な中継となるデータを破棄するこ
とで、ホストを踏み台にされることを阻止する。

【００２０】入力データチェック機能とは、防御対象ホ
ストに送るデータの内容をチェックし、不正アクセスの
特徴を発見した場合、身代わりホストに転送する機能で
ある。また、記録機能により侵入者クライアント１５と
身代わりホスト３の間でやり取りされたパケットの内容
を記録する。

【００２１】これらの機能を実現するため、ネットワー
ク接続装置５は、不正アクセス定義格納部１７、入力チ
ェック部１９、侵入者アドレス表２１、中継表２３、中
継部２５、不正アクセス記録部２７、不正アクセス記録
格納部２９を有する。

【００２２】不正アクセス定義格納部１７は、各種サー
ビスについての不正アクセスによるものと考えられるデ
ータ（バッファオーバーフロー等、セキュリティホール
を狙うことを目的としたデータ）の特徴を定義した情報
を格納する。すなわち、この特徴に適合したデータが送
信された場合には不正と見なす。不正アクセス定義格納
部１７が格納する定義の例を図３に示す。

【００２３】まず、図３に示すＷＷＷサービスに対応す
る不正アクセスの特徴例について説明する。ＷＷＷサー
ビスにおいてよく知られている不正アクセスの方法とし
て、ｐｈｆスクリプトを利用した方法がある。これは、
ＷＷＷサーバの初期バージョンに付属していたｐｈｆと
いうＣＧＩスクリプトが、入力を適切に解析せず、改行
文字（%0a）に続く文字列をコマンドとして実行してし
まうという不具合を利用した方法である。例えば、侵入
者はホストのＷＷＷポートに次のような入力データを送
る。GET /cgi-bin/phf?Qalias=x%0a/bin/cat%20/etc/pa
sswd%0aに続く文字列が、侵入者が不正に実行させたい
コマンド（上記の場合は、/bin/cat/etc/passwdがその
コマンドで、パスワードファイルを不正表示させる。な
お、%20は空白を意味する。）となる。

【００２４】次に、図３のメールサービスに対応する例
について説明する。これは、バッファオーバーフローを
利用した例であり、予期しないような大量のデータをメ
ールサーバに送りつけることでプログラムのスタックを
あふれさせ、予想外の動作（データ内に埋め込んだアセ
ンブラコードを実行させるなど）を引き起こさせるもの
である。例えば、侵入者はメールサーバ（sendmail）に
次のような入力データを送る。

【００２５】VRFY aaaaaa ‥‥（１０００個続く）メ
ールサーバは１０００バイトの入力データに対応でき
ず、ダウンする。

【００２６】これらの不正アクセスを探知するため、不
正アクセス定義格納部１７には図３に示したような定義
情報が格納される。

【００２７】入力チェック部１９は、不正アクセス定義
格納部１７に格納された情報に基づき、防御対象ホスト
１ヘ中継するデータをチェックする。データが不正アク
セスの特徴を持っていた場合、そのデータは身代わりホ
スト３に転送される。

【００２８】侵入者アドレス表２１は、侵入者クライア
ント１５のネットワーク上のアドレスを記録するテーブ
ルであり、このテーブルに記録されたアドレスからのデ
ータは身代わりホスト３に送られることになる。この場
合、入力チェックは行わない。

【００２９】中継表２３は、通信中、「ネットワーク⇔
ネットワーク接続装置⇔防御対象ホスト（もしくは身代
わりホスト）」間に存在する中継経路データを記録して
いる表であり、この表に記録された中継経路データを元
にして中継部２５はデータの中継先を決定する。中継表
２３の例を図４に示す。

【００３０】“タイプ”は、コネクション型の接続か、
コネクションレス型の接続かを示すものである。“ネッ
トワーク⇔接続装置”は、ネットワークとネットワーク
接続装置間の接続を示し、“接続装置⇔ホスト”は、ネ
ットワーク接続装置と防御対象ホスト（もしくは身代わ
りホスト）間の接続を示す。図４に示す中継表２３を使
用する例を次に示す。

【００３１】正規クライアント１１（アドレスaa.bb.c
c.dd）のポート番号１０２５からネットワーク接続装置
５（アドレスee.ff.gg.hh）のポート番号２５にデータ
が送られてきたとする。中継部２５は中継表２３を見
て、このデータは防御対象ホスト１（アドレスii.jj.k
k.ll）のポート番号２５に中継すれば良いと知る。

【００３２】また、侵入者クライアント１５（アドレス
xx.yy.zz.wwのポート番号１０２５）からネットワーク
接続装置５（アドレスee.ff.gg.hhのポート番号２５）
にデータが送られてきたとする。中継部２５は中継表２
３を見て、このデータは身代わりホスト３（アドレスm
m.nn.oo.pp）のポート番号２５に中継すれば良いと知
る。

【００３３】また、身代わりホスト３（アドレスmm.nn.
oo.pp）のポート番号２５からネットワークのアドレスq
q.rr.ss.ttのポート番号８０宛のデータが送られてきた
とする。しかし、これに該当する中継は中継表２３に記
録されていないので、ネットワーク接続装置５はこのデ
ータを違法と判断し、破棄する。中継部２５は、上述の
通り中継表２３に基づいてデータの中継・破棄を行う。

【００３４】不正アクセス記録格納部２７は、身代わり
ホストと侵入者の間でやり取りされたデータの記録を格
納し、不正アクセス記録部２７は、身代わりホストと侵
入者とのやり取りを不正アクセス記録格納部２９に記録
する。不正アクセス記録部２７の記録形式については後
述する。

【００３５】次に、システムの動作について説明する。

【００３６】一般的に、クライアント・サーバ間のデー
タ転送の形式には、コネクション型とコネクションレス
型の二つのタイプがある。コネクション型は、クライア
ントとサーバの間にバーチャルサーキットと呼ばれる仮
想的な回線を確立してからデータのやり取りをする。コ
ネクション型の場合、一般的にはＴＣＰというプロトコ
ルが用いられる。コネクションレス型は、特に接続のた
めの手続きをすることなくデータを送りつける方式であ
り、一般的にはＵＤＰというプロトコルが用いられる。

【００３７】本発明の実施例においても、そのデータ転
送の形式によりコネクション型のサービスとコネクショ
ンレス型のサービスとが可能であり、それぞれについて
本システムの動作を説明する。

【００３８】まず、コネクション型サービスの場合につ
いて説明する。図５に、正常時の動作を示す。

【００３９】正規クライアント１１からネットワーク接
続装置５にサービスの要求が送られてきた場合、正規ク
ライアント１１とネットワーク接続装置５の間でバーチ
ャルサーキットを形成する（ステップ１）。これによ
り、ネットワーク接続装置５は正規クライアント１１と
データをやり取りすることが可能になる。

【００４０】次に、ネットワーク接続装置５と防御対象
ホスト１の間でバーチャルサーキットを形成する（ステ
ップ２）。これにより、防御対象ホスト１はネットワー
ク接続装置５とデータをやり取りすることが可能にな
る。

【００４１】続いて、中継部２５は中継表２３にステッ
プ１、２で確立した接続を記録し、正規クライアント１
１から送られてきた入力データを入力チェック部１９に
渡す（ステップ３）。入力チェック部は不正アクセス定
義に基づいて入力データの内容をチェックし、問題がな
ければ防御対象ホスト１の各種サービス提供部９に中継
する（ステップ４）。各種サービス提供部９の出力はネ
ットワーク接続装置５の中継で送信元に返される。正規
クライアント１１には、この方法でサービスが提供され
る。

【００４２】サービスが終了したら、すなわち、どちら
か一方のバーチャルサーキットが切断されたら、もう一
方のバーチャルサーキットも切断し、中継表２３から該
当する項目を消去する。

【００４３】不正アクセスを発見した場合の例を図６に
示す。クライアントから送られてきたデータが不正アク
セス定義格納部１７に格納されている特徴を持っている
ことを入力チェック部１９が発見すると（ステップ
５）、侵入者アドレス表２１にクライアント（＝侵入
者）のアドレスを記録する（ステップ６）。その後の動
作を図７を用いて説明する。

【００４４】まず、防御対象ホスト１とネットワーク接
続装置５間のバーチャルサーキットを切断し（ステップ
７）、防御対象ホスト１の安全を確保する。また、ネッ
トワーク接続装置５と身代わりホスト３の間に新規のバ
ーチャルサーキットを形成し（ステップ８）、中継表２
３に記載されている「ネットワーク接続装置⇔ホスト」
の接続先のホストを身代わりホスト３に変更する（ステ
ップ９）。

【００４５】その後、図８に示すように、入力チェック
部１９は入力データを身代わりホスト３の各種サービス
提供部１３に転送する（ステップ１０）。不正アクセス
記録部２７はそのデータを記録する（ステップ１１）。
身代わりホスト３の各種サービス提供部１３は入力デー
タを処理し、結果をネットワーク接続装置の中継で侵入
者に返す（ステップ１２）。ステップ９での中継表２３
の更新により、侵入者からのデータの中継先が身代わり
ホスト３に変更されたので、侵入者との以降のやり取り
は身代わりホスト３が受け継ぐことになる。やり取りさ
れたデータ（送受信に関するデータ）の内容は不正アク
セス記録部２７が記録する。

【００４６】不正アクセス記録部２７は、例えば、（イ
ベントに関する記録、不正アクセスと判定されたデータ
を受け取った時刻、データの送信元のアドレスとポート
番号、データの宛先のアドレスとポート番号、データ本
体）の形式で不正アクセス記録格納部２９にデータを記
録する。イベントに関する記録とは、不正アクセスと判
定されたデータがあったので、新しくこのアドレスが侵
入者アドレス表に追加された、侵入者アドレス表に記録
されているアドレスからこのような依頼があった、等の
記録である。不正アクセス記録格納部２９に格納するデ
ータ例を図９に示す。なお、記録形式はカスタマイズで
きるので、形式は上記のものに限られない。

【００４７】サービスが終了したら、二つのバーチャル
サーキットを切断し、中継表２３から該当する項目を消
去する。

【００４８】侵入者アドレス表２１のアドレスから新た
にサービスの要求があった場合、「侵入者⇔ネットワー
ク接続装置」「ネットワーク接続装置⇔身代わりホス
ト」間にバーチャルサーキットを形成し、中継表２３に
記録する（ステップ１３）。侵入者への対応は身代わり
ホスト３が行うことになる。やり取りの内容は不正アク
セス記録部２７が記録する。

【００４９】サービスが終了したら、すなわち、どちら
か一方のバーチャルサーキットが切断されたら、もう一
方のバーチャルサーキットも切断し、中継表２３から該
当する項目を消去する。

【００５０】上記のとおり、身代わりホスト３は侵入者
に侵入されるので、このままでは身代わりホスト３を踏
み台にしてネットワークの他のホストが攻撃される恐れ
がある。そこで、図１０に示すように、身代わりホスト
３からの他のホスト等に送信するデータに関しては中継
表２３と照合し、中継表２３に身代わりホスト３からの
送信可能な宛先として設定されていない宛先へのデータ
は破棄する（ステップ１４）。身代わりホストからのデ
ータ送信可能な宛先としては、侵入元のホスト等があ
る。

【００５１】不正アクセス記録部２７が記録したやり取
りの内容を調べることによって侵入者の素性を調べるこ
とが可能となる。例えば、パケットの送信元アドレスを
元に送信元のホストを突き止め、侵入時刻からその時間
にそのホストにログインしていた侵入者の素性を調べる
ことができる。また、侵入者が不正に作成しようとした
アカウントの名前が、有名なハッカーがいつも使ってい
るものだった等の場合には、侵入者はその有名ハッカー
である可能性があるというように、侵入の手口から素性
を調べることもできる。更に、侵入者が、特定の機密文
書を取ろうとしてきた場合に、侵入者はその機密文書が
防御対象ホストにあることを知っていた関係者の可能性
があるというように、侵入の状況から素性をしらべるこ
ともできる。

【００５２】なお、不正アクセス記録格納部２９は、ネ
ットワーク接続装置５上にあるので、侵入者が消すこと
はできない。

【００５３】これまでコネクション型サービスに場合に
ついて説明したが、コネクションレス型のサービスも、
基本的な流れはコネクション型と同じである。ただし、
バーチャルサーキットの概念が無い。

【００５４】コネクションレス型の場合、クライアント
から送られてきたサービス要求のデータに対しては、中
継表２３に「クライアント⇔接続装置」「接続装置⇔防
御対象ホスト」の記録を行い、入力チェック後、防御対
象ホスト１ヘ中継する。不正アクセスが検出された場
合、中継表２３の中継先を身代わりホストに修正し、身
代わりホスト３に転送する。身代わりホスト３からの応
答はネットワーク接続装置５の中継で侵入者に返され
る。中継表２３に無いデータは破棄する。

【００５５】中継表２３の項目は、サービスが終了した
ら消去する。コネクション型と異なり、コネクションレ
ス型の場合、バーチャルサーキットの切断というサービ
ス終了の明確な指標が無いので、終了を検出するのが難
しい場合がある。この場合は、一定時間後に中継表２３
の項目を消去するようにする。

【００５６】なお、ネットワーク接続装置５における各
部の機能はプログラムとして実現することも可能であ
り、そのようなプログラムをコンピュータに搭載するこ
とによってネットワーク接続装置５を実現することもで
きる。そのプログラムはＣＤ−ＲＯＭ等の記録媒体に格
納して配布することが可能である。また、ネットワーク
経由で配布することもできる。

【００５７】なお、入力チェック機構は、防御対象ホス
ト上に構築してもよい。また、上記のプログラムを防御
対象ホストに搭載して、防御対象ホストを本発明の不正
アクセス防御に使用することもできる。更に、本実施例
の説明においてはＩＰｖ４形式のアドレスを用いたが、
それ以外（例えばＩＰｖ６等）でも実施可能である。

【００５８】本発明は、上記の実施例に限定されること
なく、特許請求の範囲内で種々変更・応用が可能であ
る。

【００５９】

【発明の効果】上記の通り、本発明によれば、防御対象
ホストを守りつつ侵入者に侵入成功と思わせて行動をと
らせ、それを記録にとるので、防御対象ホストの安全を
保ちつつ、侵入経路追跡のようなリアクションの実行に
必要な時間を稼ぐことができる。従って、単に不正アク
セスを遮断する従来技術と異なり、侵入者の特定や再攻
撃の防止が可能となる。

【００６０】

【図面の簡単な説明】

【図１】本発明の一実施例におけるシステム構成を示す
図である。

【図２】本発明の一実施例におけるシステムの詳細構成
を示す図である。

【図３】不正アクセス定義格納部が格納する定義の例を
示す図である。

【図４】中継表２３の例を示す図である。

【図５】コネクション型サービスにおける正常時の動作
を説明するための図である。

【図６】不正アクセスを発見した場合の動作を説明する
ための図（１）である。

【図７】不正アクセスを発見した場合の動作を説明する
ための図（２）である。

【図８】不正アクセスを発見した場合の動作を説明する
ための図（３）である。

【図９】不正アクセス記録格納部に格納するデータ例を
示す図である。

【図１０】身代わりホストを踏み台とした不正を防止す
る動作を説明するための図である。

【符号の説明】

１ 防御対象ホスト ３ 身代わりホスト ５ ネットワーク接続装置 ７ ネットワーク ９、１３ 各種サービス提供部 １１ 正規クライアント １５ 侵入者クライアント １７ 不正アクセス定義格納部 １９ 入力チェック部 ２１ 侵入者アドレス表 ２３ 中継表 ２５ 中継部 ２７ 不正アクセス記録部 ２９ 不正アクセス記録格納部 ３１ 他ホスト

Claims (3)

【特許請求の範囲】
1. 【請求項１】 ネットワーク上での不正アクセスから防
   御対象装置を守るネットワーク接続装置であって、 防御対象装置と、不正アクセスを防御対象装置の代わり
   に受ける身代わり装置とを前記ネットワーク接続装置に
   接続する手段と、 ネットワークからのデータを防御対象装置又は身代わり
   装置に振り分ける中継手段と、 所定の送信元のデータを所定の宛先に送るために参照さ
   れる経路データを記録する中継表と、 ネットワークから送られたデータの内容から、そのデー
   タが不正アクセスによるものであることを検出する手段
   と、 該手段で不正アクセスを検出したときに、その不正アク
   セスに係るデータを前記身代わり装置に送るようにする
   経路データを、前記中継表に記録する手段とを有し、 前記中継手段は、その中継表に記録された経路データを
   参照して、ネットワークから送信されたデータが不正ア
   クセスの発信元からのデータである場合に、そのデータ
   を前記身代わり装置に振り分けることを特徴とするネッ
   トワーク接続装置。
2. 【請求項２】 前記ネットワーク接続装置は、 前記中継表における経路データを参照して、前記身代わ
   り装置から送信されるデータが中継表における経路デー
   タに無い宛先アドレスを有する場合には、そのデータを
   破棄する手段を更に有する請求項２に記載のネットワー
   ク接続装置。
3. 【請求項３】 不正アクセスの発信元と前記身代わり装
   置との間のデータの送受信に関する情報を記録する手段
   を更に有する請求項１又は２に記載のネットワーク接続
   装置。