JP2003179647A - パケット転送装置およびパケット転送方法 - Google Patents

Abstract

(57)【要約】 【課題】不正アクセスに関わるパケットの転送を効率よ
く禁止することが可能なパケット転送装置の実現を図
る。 【解決手段】パケット転送装置１１においては、パケッ
トデータ解析部１１１によって不正アクセスに関わるパ
ケットであると判定された受信パケットについては、そ
のパケットデータ解析の解析結果として、当該受信パケ
ットのコネクション識別情報が不正コネクションテーブ
ル１１２に登録される。そして、以降は、そのコネクシ
ョン識別情報と同一のコネクション識別情報を持つ受信
パケットについては、パケットデータ解析部１１１によ
る解析は行われずに、廃棄される。よって、不正アクセ
スに係る再送パケットが多数送られてきても、パケット
転送の性能低下を招くことなく、不正アクセスに関わる
パケットの転送を禁止することが可能となる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は複数のネットワーク
セグメント間のパケットの転送を制御するためのパケッ
ト転送装置およびパケット転送方法に関する。

【０００２】

【従来の技術】近年、複数のネットワークセグメント間
のパケットの転送を制御するためのパケット転送装置と
して、フィルタ型ＩＤＳ装置（ＩＤＳ：intrusion dete
ctionsystem 侵入検知システム）が注目されている。

【０００３】このフィルタ型ＩＤＳ装置は、受信パケッ
トについて当該パケットが運ぶデータを解析して、不正
アクセスに関わるパケットであるか否かの判定を行なう
ものである。パケットデータ解析処理では、不正アクセ
スに関わる既知のパターンを登録したデータベースが参
照され、受信パケットがそれに該当するかどうかなどが
判定される。この解析処理により不正アクセスに関わる
パケットであると判定された受信パケットは転送されず
に、破棄される。これにより、不正パケットの侵入を未
然に防止でき、一定のセキュリティを確保することが出
来る。

【０００４】従来のフィルタ型ＩＤＳ装置では、受信し
た全てのパケットについて、上述の解析処理を行い、不
正アクセスに関わるパケットであるか否かの判定を行っ
ている。

【０００５】

【発明が解決しようとする課題】ところで、一般に、パ
ケット交換網を介して通信を行なう通信システムでは、
受信側でパケットを受信した際に応答確認を送出し、送
信側では、受信側からの応答確認によってパケットが受
信側へ到達したことが確認できない場合に、再度、パケ
ットを送出する（再送する）等の方法により、通信の信
頼性を確保している。このような通信システムに、上述
のフィルタ型ＩＤＳ装置を用いた場合、フィルタ型ＩＤ
Ｓ装置が、受信したパケットを不正アクセスに関わるパ
ケットであると判定し、それを破棄した場合、当該パケ
ットが受信側へ到達しないため、再送により、再度同じ
パケットが送られてくる事となる。

【０００６】従来のフィルタ型ＩＤＳ装置では、再送に
より送られてきたパケットについても、最初に送られて
きたパケットと同様にデータの内容の解析を行ってい
た。しかし、再送パケットが運ぶデータと同じデータ
は、すでに解析済みであり、再びデータの内容の解析を
行なうのは、フィルタ型ＩＤＳ装置として用いられるシ
ステムのＣＰＵ資源を消費する事となる。よって、不正
アクセスが頻発した場合には、再送パケットが多数送ら
れて来ることとなり、パケット転送の性能低下を招いて
しまうという問題があった。

【０００７】本発明は上述の事情を考慮してなされたも
のであり、不正アクセスに関わるパケットの転送を効率
よく禁止することが可能なパケット転送装置、およびパ
ケット転送方法を提供することを目的とする。

【０００８】

【課題を解決するための手段】上述の課題を解決するた
め、本発明のパケット転送装置は、複数のネットワーク
セグメント間のパケットの転送を制御するパケット転送
装置において、ネットワークセグメント上のパケットを
受信するパケット受信手段と、前記パケット受信手段で
受信した受信パケットを一時保留するパケット保留手段
と、不正アクセスに関わるパケットであると判定された
パケットのコネクション識別情報が登録されるコネクシ
ョン識別情報記憶手段と、前記パケット受信手段により
受信した受信パケットのコネクション識別情報が前記コ
ネクション識別情報記憶手段に登録されているか否かを
判別して、不正アクセスに関わるパケットであるか否か
を判定する第１の判定手段と、前記受信パケットのコネ
クション識別情報が前記コネクション識別情報記憶手段
に登録されていないと判別した場合、前記受信パケット
のデータを解析して、当該受信パケットが正常なパケッ
トか不正アクセスに関わるパケットであるかを判定する
第２の判定手段と、および前記受信パケットのデータ解
析によって不正アクセスに関わるパケットであると判定
した場合、当該受信パケットのコネクション識別情報を
前記コネクション識別情報記憶手段に登録する手段とを
有するパケット解析手段と、前記パケット解析手段の前
記判定結果に基づき、前記パケット保留手段に一時保留
されている前記受信パケットのうち、前記不正アクセス
に関わるパケットは破棄し、正常な受信パケットのみを
送信先のネットワークセグメントへ送出するパケット送
出手段とを具備することを特徴とする。

【０００９】また、本発明のパケット転送装置は、複数
のネットワークセグメント間のパケットの転送を制御す
るパケット転送装置において、ネットワークセグメント
上のパケットを受信するパケット受信手段と、前記パケ
ット受信手段により受信したパケットを一時保留するパ
ケット保留手段と、不正アクセスに関わるパケットであ
ると判定されたパケットのコネクション識別情報が登録
されるコネクション識別情報記憶手段と、前記パケット
受信手段により受信した受信パケットのコネクション識
別情報が前記コネクション識別情報記憶手段に登録され
ているか否かを判別して、不正アクセスに関わるパケッ
トであるか否かを判定する第１の判定手段とを有する解
析結果保持手段と、前記解析結果保持手段からの不正ア
クセスに関わるパケットであるか否かの判定結果を受信
し、前記受信パケットのコネクション識別情報が前記コ
ネクション識別情報記憶手段に登録されていないと判別
した場合に、不正アクセスデータベースを用いて前記受
信パケットのデータを解析し、当該受信パケットが正常
なパケットか不正アクセスに関わるパケットであるかを
判定する第２の判定手段と、前記受信パケットのデータ
解析によって不正アクセスに関わるパケットであると判
定した場合、当該受信パケットのコネクション識別情報
を前記コネクション識別情報記憶手段に登録する手段と
有するパケットデータ解析手段と、前記パケットデータ
解析手段によって解析された解析済みのパケットを過去
パケットとして保持する過去パケット保持手段と、前記
過去パケット保持手段を参照して得られる、前記受信パ
ケットと同一のコネクション識別情報を持つ過去パケッ
トから、複数のパケットに分割されて運ばれてくる一連
のデータを再構築し、その再構築したデータを解析用デ
ータとして前記第２の判定手段に提供するコネクション
データ再構築手段と、前記パケットデータ解析手段の前
記判定結果に基づき、前記パケット保留手段に一時保留
されている前記受信パケットのうち、前記不正アクセス
に関わるパケットは破棄し、正常な受信パケットのみを
送信先のネットワークセグメントへ送出するパケット送
出手段とを具備することを特徴とする。

【００１０】このパケット転送装置においては、パケッ
ト解析手段によって不正アクセスに関わるパケットであ
ると判定された受信パケットについては、そのパケット
データ解析の解析結果として、当該受信パケットのコネ
クション識別情報がコネクション識別情報記憶手段に登
録される。そして、以降は、そのコネクション識別情報
と同一のコネクション識別情報を持つ受信パケットにつ
いては、データ解析による不正アクセスに関わるパケッ
トであるか否かの判定は行われずに、廃棄される。よっ
て、不正アクセスに係る再送パケットが多数送られてき
ても、パケット転送の性能低下を招くことなく、不正ア
クセスに関わるパケットの転送を禁止することが可能と
なる。

【００１１】ここで、コネクション識別情報とは、単な
るアドレス情報ではなく、セッション毎にそのセッショ
ン内における一連のデータを運ぶ複数のパケットそれぞ
れに対して共通に割り当てられる識別情報を意味する。
もし送信元アドレスや送信先アドレスといったパケット
内のアドレス情報のみを登録するという構成を用いた場
合には、端末やサーバといった物理的なネットワークノ
ード単位でのパケットフィルタリングとなるので、例え
ば、一旦不正パケットを送信したと判定された端末や、
ＮＡＴ（Network Address Translation）配下の全ての
端末からのパケット転送はその後も一切禁止されてしま
うことになる。これに対し、コネクション識別情報を用
いた場合には、あるサービスを要求したユーザとそのサ
ービスを提供するサーバとの間のセッションを単位とし
たパケットフィルタリングを実現できる。

【００１２】例えばＴＣＰでは、パケットに含まれる送
信元のアドレス及びポート番号と送信先のアドレスおよ
びポート番号との組み合わせが上記コネクション識別情
報となる。

【００１３】また、データ解析された解析済みのパケッ
トを過去パケットとして保持する過去パケット保持手段
と、前記受信パケットと前記過去パケット保持手段から
得られる当該受信パケットと同一のコネクション識別情
報を持つ過去パケットとを用いることにより、複数のパ
ケットに分割されて運ばれてくる一連のデータを再構築
するコネクションデータ再構築手段とをさらに設けるこ
とが好ましい。

【００１４】これにより、受信したパケット個々のデー
タのみならず、解析済み過去パケットを含めた、同一の
コネクション識別情報を持つ一連のデータを運ぶ複数の
パケットのデータ内容に基づいて当該受信パケットが不
正アクセスに関するパケットであるかどうかを判定でき
るので、パケットデータ解析の精度をより高めることが
可能となり、セキュリティ性能を高めることができる。

【００１５】この場合、もしパケット解析手段が、解析
済みパケットを内部に保持していると、判定すべき不正
アクセスの種類の増加に対応するなどの目的でパケット
解析手段を交換した場合、交換以前に処理した解析済み
過去パケットのデータ内容が失われてしまう。もし交換
以前から交換後に跨る複数のパケットに分割されたデー
タによって攻撃が行われた場合には、その攻撃を検知す
ることができず、結果として、不正アクセスを防げなく
なる。よって、上述のように、解析済みの過去パケット
保持手段およびコネクションデータ再構築手段は、パケ
ットデータ解析手段とは別に設けることが好ましい。こ
れにより、パケットデータ解析手段を交換する場合で
も、交換以前に処理した解析済みパケットを保持してお
くことができるので、それを基にデータの再構築が可能
となる。具体的には、前記パケット解析手段を、前記過
去パケット保持手段および前記コネクションデータ再構
築手段とは独立したモジュールとして構成して、パケッ
トデータ解析手段単体で交換可能にすればよい。

【００１６】さらに、コネクションデータ再構築手段
は、コネクション識別情報を用いてデータを再構築する
ものであるため、このコネクションデータ再構築手段内
に、パケットデータの解析によって不正アクセスに関わ
るパケットであると判定された受信パケットのコネクシ
ョン識別情報を記憶する手段と、前記データの再構築を
行なう前に、前記受信パケットが前記コネクション識別
情報記憶手段に保持されているコネクション識別情報を
持つか否かを判定し、その判定結果を前記パケットデー
タ解析手段に通知する手段とを設けることで、コネクシ
ョンデータ再構築手段のコネクション管理機能をより有
効に活用することが出来る。

【００１７】

【発明の実施の形態】以下、図面を参照して本発明の実
施形態を説明する。図１には、本発明の一実施形態に係
るパケット転送装置が示されている。このパケット転送
装置１１は複数のネットワークセグメント間のパケット
の転送を制御するものであり、例えば、ブリッジ、ルー
タ、ゲートウェイ、ＮＡＴ（Network Address Translat
ion）等のネットワーク接続装置として使用される。パ
ケット転送装置１１にはフィルタ型ＩＤＳを用いたセキ
ュリティ機能が搭載されており、受信パケットについて
当該パケットが運ぶデータを解析して、不正アクセスに
関わるパケットであるか否かの判定が行われる。以下で
は、例えばネットワークセグメントＡからネットワーク
セグメントＢへのパケット転送を許可、または禁止する
ためのパケットフィルタリングを行なう場合を例示し
て、パケット転送装置１１の構成を説明することにす
る。

【００１８】パケット転送装置１１には、図示のよう
に、パケット受信部１０１、パケット識別子付加機構１
０２、パケット保留キュー１０３、パケット解析機構１
０４、およびパケット送出部１０５が設けられている。

【００１９】パケット受信部１０１は、ネットワークセ
グメントＡ上に送信されるパケットを受信する。パケッ
ト識別子付加機構１０２は、パケット受信部１０１によ
って受信された受信パケットに対して識別子を付加し
て、パケット保留キュー１０３およびパケット解析機構
１０４に出力する。パケット保留キュー１０３は識別子
が付加された受信パケットを、パケット解析機構１０４
が不正アクセスに関わるパケットで無いことを判定する
まで一時保留する。

【００２０】パケット解析機構１０４は、内蔵するパケ
ットデータ解析部１１１によって、受信パケットで運ば
れるデータを解析して、それが既知の不正アクセスに関
するパターンに該当するかどうかを調べることにより、
当該受信パケットが不正アクセスに関わるパケットであ
るかどうかを判定し、不正アクセスに関わるパケットで
無いことを判定したパケットの識別子をパケット送出部
１０５に伝える。パケットデータ解析部１１１では、受
信パケットによって運ばれるデータに含まれるヘッダや
ペイロードの内容を解析するほか、同一のコネクション
識別情報を持つ複数のパケットにより分割されて運ばれ
ていたデータを再構築したりするなど、解析するのに都
合の良い形に整形するプロトコル処理なども必要に応じ
て行われ、その再構築後のデータに不正アクセスに関す
るパターンが含まれるかどうかが判定される。

【００２１】また、パケット解析機構１０４は、不正ア
クセスに関するパケットであると一旦判定した受信パケ
ットと同じコネクション識別情報を持つパケットを再度
受信した場合には、その受信パケットのデータ解析を行
なわずに、それを不正アクセスに関わるパケットである
と判定する機能を持つ。この機能を実現するため、パケ
ット解析機構１０４には不正コネクションテーブル１１
２が設けられている。

【００２２】不正コネクションテーブル１１２には、パ
ケットデータ解析部１１１によるパケットデータ解析の
結果、不正アクセスに関わるパケットであると判定され
た受信パケットのコネクション識別情報が登録される。
パケット解析機構１０４は、パケット識別子付加機構１
０２からパケットを受信すると、まず、受信パケットの
コネクション識別情報が不正コネクションテーブル１１
２に既に登録されているかどうかを調べ、登録されてい
る場合には、その受信パケットをその時点で不正アクセ
スに関わるパケットであると判定する。この場合、パケ
ットデータ解析部１１１による解析処理は行なわない。

【００２３】ここで、不正コネクションテーブル１１２
にパケットデータ解析結果として登録されるコネクショ
ン識別情報とは、セッション毎にそのセッション内で一
連のデータを運ぶ複数のパケットそれぞれに対して共通
に割り当てられる識別情報を意味する。送信元アドレス
や送信先アドレスといったアドレス情報のみを使用した
場合には、端末やサーバといった物理的なネットワーク
ノード単位でのパケットフィルタリングとなるので、例
えば、一旦不正パケットを送信したと判定された端末か
らのパケット転送はその後も一切禁止されてしまうこと
になる。特にＮＡＴを介して転送されたパケットが一旦
不正アクセスに関するパケットであると判定されると、
ＮＡＴを介してネットワークにつながる全ての端末から
のアクセスが禁止されてしまうという事態を招く。これ
に対し、コネクション識別情報を用いた場合には、ある
サービスを要求したユーザとそのサービスを提供するサ
ーバとの間のセッションを単位としたパケットフィルタ
リングを実現でき、上述のような問題は生じない。

【００２４】例えばＴＣＰでは、パケットに含まれる、
送信元のアドレスおよびポート番号と、送信先のアドレ
スおよびポート番号との組み合わせが、コネクション識
別情報となる。ポート番号は例えば送信元アドレスで指
定される端末と送信先アドレスで指定されるサーバとの
間で、サービスを要求する端末内のアプリケーションプ
ログラムとサービスを提供するサーバ内のサーバプログ
ラムとの関係を一対一で結びつけるために使用されるも
のである。端末内のアプリケーションプログラムに割り
当てられるポート番号はネットワーク接続の度に変化さ
れ、アプリケーションプログラムからサーバに接続する
ときに動的に割り当てられる。したがって、例えば、あ
る端末で特定のプログラムを起動することによってサー
バにアクセスし、そのサーバの提供する特定のサービス
を受ける場合を想定すると、そのアクセス期間中は、端
末からサーバに一連のデータを運ぶための複数のパケッ
トにはそれぞれ共通のコネクション識別子が割り当てら
れ、またサーバから端末に一連のデータを運ぶための複
数のパケットにもそれらの間で共通のコネクション識別
子が割り当てられる。よって、このようなコネクション
識別のための識別情報を用いることにより、端末やサー
バといった物理的なネットワークノードを対象にしたア
クセス禁止制御ではなく、あるサービスを要求したユー
ザとそのサービスを提供するサーバとの関係を単位とし
た、セッション単位でのアクセス禁止制御を実現でき
る。

【００２５】また、コネクションレス型の転送プロトコ
ルであるＵＤＰ等を用いる場合でも、送信元から送信先
へデータを運ぶ各パケットにはセッション毎に共通のコ
ネクション識別情報が上位プロトコルによって付加され
るので、それを用いてアクセス禁止制御を行なうことが
出来る。

【００２６】パケット送出部１０５は、パケット解析機
構１０４から不正アクセスに関するパケットであると判
定された受信パケットの識別子を受け取った場合には、
パケット保留キュー１０３から当該受信パケットを破棄
し、またパケット解析機構１０４から不正アクセスに関
するパケットではないと判定された受信パケットの識別
子を受け取った場合には、パケット保留キュー１０３か
ら当該受信パケットを取り出して、ネットワークセグメ
ントＢ上に送出する。

【００２７】図２には、パケット解析機構１０４の具体
的な構成の一例が示されている。

【００２８】パケット解析機構１０４は、不正コネクシ
ョン判定機構１１３と、不正コネクションテーブル１１
２と、パケットデータ解析部１１１とから構成される。
不正コネクション判定機構１１３は、パケット解析機構
１０４に入力されたパケットを受取り、不正コネクショ
ンテーブル１１２を参照して、当該入力されたパケット
が不正コネクションテーブル１１２に登録されていた場
合、パケットデータ解析部１１１による不正パケットの
解析処理を行なわずに、当該入力されたパケットは不正
アクセスに関わるパケットと判定して、パケット解析機
構１０４に出力する機能を持つ。

【００２９】パケットデータ解析部１１１は、プロトコ
ル処理部２０１および不正アクセスデータベース２０２
から構成されている。不正アクセスデータベース２０２
は既知の不正アクセスに関する情報を記憶したデータベ
ースであり、ここには不正アクセスに関する様々なパタ
ーンが記憶されている。プロトコル処理部２０１は、不
正アクセスデータベース２０２を検索しながら、パケッ
ト受信部１０１が受信したパケットが不正アクセスに関
わるパケットか否かを判定する。

【００３０】次に、図３のフローチャートを参照して、
図１、および図２のパケット転送装置１１の動作を説明
する。

【００３１】まず、パケット転送装置１１のパケット受
信部１０１により、ネットワークセグメントＡ上に送信
されるパケットが受信される（ステップＳ１０１）。こ
の受信パケットには、パケット識別子付加機構１０２に
よりパケット転送装置１１内でユニークな識別子が付加
され、その識別子が付加された受信パケットはパケット
保留キュー１０３に格納されると共に、パケット解析機
構１０４に渡される。

【００３２】パケット解析機構１０４では、最初に、受
信パケットのコネクション識別情報が判別される（ステ
ップＳ１０２）。即ち、その受信パケットのコネクショ
ン識別情報を基に、不正コネクション判定機構１１３に
よって不正コネクションテーブル１１２がサーチされ、
受信パケットが、不正コネクションテーブル１１２に登
録されたコネクション識別情報を持つパケットであるか
どうかが判別される（ステップＳ１０３，Ｓ１０４）。

【００３３】受信パケットが不正コネクションテーブル
１１２に登録されたコネクション識別情報を持っていた
場合、不正コネクション判定機構１１３は、当該パケッ
トをパケットデータ解析部１１１に渡すこと無く、当該
パケットが、不正アクセスに関わるものであると判定し
て、パケット送出部１０５へ不正アクセスパケットであ
る識別子を伝える。これにより、パケット保留キュー１
０３に格納されている当該パケットは送出されずに、破
棄される（ステップＳ１０９）。

【００３４】一方、不正コネクション判定機構１１３に
て、受信パケットのコネクション識別情報が不正コネク
ションテーブル１１２に登録されていないと判定した場
合、当該パケットをパケットデータ解析部１１１に渡
す。パケットデータ解析部１１１では、当該パケット中
のデータを解析して、それが正常なパケットか不正アク
セスに関わるパケットであるかを判定するためのパケッ
トデータ解析処理が行われる（ステップＳ１０５）。こ
のパケットデータ解析処理で当該パケットが不正アクセ
スに関わることが検出されなければ、パケット解析機構
１０４は、正常なパケットであると判定して、当該パケ
ットの識別子を、パケット送出部１０５に伝える。識別
子を伝えられたパケット送出部１０５は、パケット保留
キュー１０３から、当該識別子を持つ受信パケットを取
り出し、当該パケットを受信したネットワークセグメン
トとは異なる送信先のネットワークセグメント（ここで
はネットワークセグメントＢ）上に送出する（ステップ
Ｓ１０７）。

【００３５】一方、もし当該パケットが不正アクセスに
関わるものであると判定された場合は、パケットデータ
解析部１１１は当該パケットのコネクション識別情報を
不正コネクションテーブル１１２に登録する（ステップ
Ｓ１０８）。そして、パケット解析機構１０４からパケ
ット送出部１０５へ不正アクセスに関わると判定した当
該パケットの識別子が伝えられ、パケット保留キュー１
０３に格納されている当該パケットは送出されずに、破
棄されることになる（ステップＳ１０９）。なお、パケ
ットの破棄は、明示的な指示で破棄するのみならず、パ
ケット保留キュー１０３からの溢れによる等の暗黙的な
手段によって、破棄するようにしても良い。

【００３６】この一連の動作をパケット受信の度に実行
することにより、不正アクセスが頻発することにより再
送パケットが多数送られてきた場合でも、それによるパ
ケット転送性能の低下を招くことなく、不正アクセスに
関するパケットの転送を禁止することが出来る。

【００３７】次に、図４および図５のフローチャートを
参照して、ステップＳ１０５で行われるパケットデータ
解析処理の具体的例について説明する。

【００３８】このパケットデータ解析処理では、受信パ
ケットについて、先ずヘッダフィールドのオプション
や、パラメータの組み合わせが、パケット送信先のサー
バに誤動作を引き起こすとして予め設定された既知の条
件を満たしているか否かが判定される（ステップＳ１
１）。即ち、受信パケットのヘッダ部から不審な相手か
らの送信であったり、形式の異なる怪しいパケットであ
ることを見分ける処理を行なう。ここで上記条件を満た
していれば、当該受信パケットは不正アクセスに関わる
パケットであると判定され、当該受信パケットを破棄す
るよう指示する（ステップＳ１５）。

【００３９】一方、上記条件を満たしていなければ、次
に、断片化されたパケットやＴＣＰプロトコルで転送さ
れるパケット等、判断に他のパケットの情報も必要とな
るか否かが判断される（ステップＳ１２）。他のパケッ
トを必要としない場合は、次にパケットが搬送している
データの長さ、あるいはデータが指定しているパラメー
タの組み合わせが、そのデータを処理するアプリケーシ
ョン等に誤動作を引き起こすとして予め設定された既知
の条件を満たしているか否かが判定される（ステップＳ
１３）。ここで上記条件を満たしていれば当該受信パケ
ットは不正アクセスに関わるパケットであると判定さ
れ、当該受信パケットを破棄するよう指示する（ステッ
プＳ１５）。

【００４０】一方、上記条件を満たしていなければ、当
該受信パケットを送出対象パケットとして、パケット送
出部１０５に当該受信パケットの転送指示を行なう（ス
テップＳ１４）。

【００４１】また、上記ステップＳ１２において、他の
パケットの情報も必要であると判断された際は、受信パ
ケットが、断片化されたパケットで、かつパケット解析
機構１０４内に解析済みパケットとして保持されてい
る、送出済みの他の断片化されたパケットとデータ領域
がオーバーラップしているパケットであるかどうか等、
サーバに誤動作引き起こすとして予め設定された既知の
条件を満たしているか否かが判定される（図５のステッ
プＳ２１）。ここで上記条件を満たしていれば当該受信
パケットは不正アクセスに関わるパケットであると判定
される。

【００４２】一方、上記条件を満たしていなければ、次
に、受信パケットが、ＴＣＰのパケットで、かつパケッ
ト解析機構１０４内に解析済みパケットとして保持され
ている、コネクション識別情報が受信パケットと同一の
送出済みのパケットとデータ領域がオーバーラップして
いるパケットであるかどうか等、サーバに誤動作引き起
こすとして予め設定された既知の条件を満たしているか
否かが判定される（ステップＳ２２）。ここで上記条件
を満たしていれば当該受信パケットは不正アクセスに関
するパケットであると判定される。

【００４３】一方、上記条件を満たしていなければ、次
に、パケット解析機構１０４内に解析済みのパケットと
して保持されている、受信パケットと同一のコネクショ
ン識別情報を持つ必要に応じた数の過去の送出済みパケ
ットを用いて、解析に充分な長さのストリームデータを
再構築する（ステップＳ２３）。そして、当該再構築さ
れたデータストリームによって搬送されているデータの
長さ、あるいはデータが指定しているパラメータが誤動
作を引き起こすとして予め設定された既知の条件を満た
しているか否かが判定される（ステップＳ２４）。ここ
で上記条件を満たしていれば当該受信パケットは不正ア
クセスに関するパケットであると判定され、また条件を
満たしていなければ不正アクセスに関するパケットでは
ないと判定されることになる。

【００４４】以上のように、パケットデータ解析部１１
１によるパケット解析処理では様々な観点に基づいて、
受信パケットが運ぶデータの解析が行われるので、パケ
ットデータ解析部１１１によって不正アクセスに関わる
パケットであると判定された受信パケットについては、
その受信パケットのコネクション識別情報を不正コネク
ションテーブル１１２に登録し、以降は、そのコネクシ
ョン識別情報と同一のコネクション識別情報を持つ受信
パケットについてはパケット解析処理を行なわずに直ち
に不正アクセスに関するパケットであると判定すること
により、少ない負荷で効率よく不正アクセスに関するパ
ケットを検知することが可能となる。

【００４５】なお、上述した解析済みの過去のパケット
を用いてデータ再構築を行なう機能をパケットデータ解
析部１１１内に設けた場合は、判定すべき不正アクセス
の種類の増加に対応するなどの目的でパケットデータ解
析部１１１を新たなバージョンに交換する様な場合に、
過去のパケットの内容が失われてしまうので、データ再
構築に関する機能と、パケットデータ解析機能とは互い
に独立したモジュールとして実現することが好ましい。
この場合の構成例を図６に示す。

【００４６】図６に示されているように、パケット解析
機構１０４は、パケットデータ解析部１１１と、コネク
ションデータ再構築部２０３と、過去パケット格納部２
０４からなる。パケットデータ解析部１１１は、プロト
コル処理部２０１と、不正アクセスデータベース２０２
を持ち、必要に応じ、コネクションデータ再構築部２０
３によって再構築された同一のコネクション識別情報を
持つ複数のパケットに分割して運ばれているデータを参
照しながら、不正アクセスデータベース２０２を検索
し、パケットが運ぶデータを解析し、当該パケットが、
不正アクセスに関わるパケットか否かを判定する機能を
持つ。

【００４７】コネクションデータ再構築部２０３は、同
一のコネクション識別情報を持つ複数のパケットに分割
して運ばれているデータを、再構築してパケットデータ
解析部１１１に渡す機能を持つ。過去パケット格納部２
０４は、パケットデータ解析部１１１によって既に解析
され、送信先のネットワークセグメントに送出済みの過
去のパケットを保持しておくためのものであり、ここに
は、パケット保留キュー１０３に保留されているパケッ
トの受信以前に受信したパケットで、且つ解析済みの過
去パケットのデータが蓄積される。過去パケット格納部
２０４は、コネクションデータ再構築部２０３の要求に
応じて、指定されたコネクション識別情報を持つ過去の
解析済みパケットをコネクションデータ再構築部２０３
に提供する機能を持つ。

【００４８】図６のパケット解析機構１０４において
は、パケットデータ解析部１１１に渡されたパケットに
ついて、当該パケットのヘッダ部のオプションやパラメ
ータの組合せや、当該パケットが運ぶデータの長さやデ
ータが指定するパラメータの組合せが、不正アクセスデ
ータベース２０２に登録された既知の不正アクセスの条
件を満たしているか否かが判定される。この際、必要に
応じてプロトコル処理部２０１によって当該パケットが
運ぶデータの種類に応じたプロトコル処理を行なう。当
該パケットが運ぶデータが、同一のコネクション識別情
報を持つ複数のパケットに分割して運ばれているデータ
の一部である場合には、プロトコル処理部２０１は、コ
ネクションデータ再構築部２０３によって、過去パケッ
ト格納部２０４に格納された、当該パケットの受信以前
に受信した解析済みパケットから同一のコネクション識
別情報を持つパケットを取り出し、再構築を行なう。

【００４９】この際、分割されたデータを運ぶすべての
パケットがまだ受信されてない場合は、過去パケット格
納部２０４に格納されたパケットおよび当該受信された
パケットから構築可能な部分のみ再構築を行なう。プロ
トコル処理部２０１は、このようにして再構築されたデ
ータの長さや指定するパラメータの組み合わせが、不正
アクセスデータベース２０２に登録された既知の不正ア
クセスの条件を満たしているか否かを判定する。

【００５０】ここで、分割されたデータを運ぶすべての
パケットが受信できていない状態で、判定すべき不正ア
クセスの種類の増加に対応するなどの目的でパケットデ
ータ解析部１１１を交換した場合を考える。

【００５１】パケットデータ解析部１１１の交換後に、
続いて同一のコネクション識別情報を持つパケットが受
信され、パケットデータ解析部１１１に渡されたとする
と、プロトコル処理部２０１は、コネクションデータ再
構築部２０３によって、過去パケット格納部２０４に格
納された、当該パケットの受信以前に受信したパケット
の中から同一のコネクション識別情報を持つパケットを
取り出し、再構築を行なう。パケットデータ解析部１１
１の交換以前に受信されたパケットも、過去パケット格
納部２０４に格納されているため、このように、分割さ
れたデータを運ぶすべてのパケットが受信できていない
状態で、判定すべき不正アクセスの種類の増加に対応す
るなどの目的でパケットデータ解析部１１１を交換した
としても、コネクションデータ再構築部２０３は、デー
タの再構築を正しく行なうことが可能となる。

【００５２】コネクションデータ再構築部２０３で途中
まで再構築したデータはキャッシュの形でコネクション
データ再構築部２０３内に保持しておき、保持された再
構築データがコネクションデータ再構築部２０３に存在
する場合は、過去パケット格納部２０４に格納されたパ
ケットのデータの代わりに用いることも可能である。こ
のようにして、交換以前から交換後に跨る複数のパケッ
トに分割されたデータによって攻撃が行われた場合で
も、その攻撃を検知しパケットを破棄する事が可能とな
る。

【００５３】図７は、図６の構成を図２のパケット解析
機構１０４に適用した場合の構成例である。

【００５４】この図７のパケット解析機構１０４におい
ては、図２の不正コネクション判定機構１１３の機能
が、プロトコル処理部２０１によって行われる。すなわ
ち、不正コネクションテーブル１１２を持つ解析結果保
持部２０５が設けられており、パケットデータ解析部１
１１のプロトコル処理部２０１は、解析結果保持部２０
５に対して、受信パケットのコネクション識別情報が、
既に不正パケットであると判定されたパケットと同一の
識別情報を持つものであるかどうかを問い合わせ、その
問い合わせ結果によって、パケットデータ解析処理を行
なう必要があるか否かを判断する。

【００５５】解析結果保持部２０５は、パケットデータ
解析部１１１からの要求に応じて、不正アクセスに関す
るパケットであると判定された受信パケットのコネクシ
ョン識別情報を不正コネクションテーブル１１２に登録
する機能、さらには、パケットデータ解析部１１１から
の問い合わせに応じて、不正コネクションテーブル１１
２を参照して、要求されたコネクション識別情報と同一
のコネクション識別情報が登録されているかどうかを判
定し、その判定結果をパケットデータ解析部１１１に通
知する機能を持つ。

【００５６】次に、図８のフローチャートを参照して、
図７のパケット解析機構１０４を用いた場合のパケット
転送装置１１の動作を説明する。なお、基本部の構成は
図１を参照するものとする。

【００５７】まず、パケット転送装置１１のパケット受
信部１０１により、ネットワークセグメントＡ上のパケ
ットが受信される（ステップＳ２０１）。この受信パケ
ットには、パケット識別子付加機構１０２によりパケッ
ト転送装置１１内でユニークな識別子が付加され、その
識別子が付加された受信パケットはパケット保留キュー
１０３に格納されると共に、パケット解析機構１０４に
も渡される。パケット解析機構１０４においては、最初
に、プロトコル処理部２０１が、受信パケットのコネク
ション識別情報を判別し（ステップＳ２０２）、当該コ
ネクション識別情報が既に不正アクセスに関するパケッ
トのコネクション識別情報として登録されているか否か
を解析結果保持部２０５に対して問い合わせる（ステッ
プＳ２０３）。

【００５８】解析結果保持部２０５は、プロトコル処理
部２０１からの問い合わせに従い不正コネクションテー
ブル１１２をサーチし、その結果をプロトコル処理部２
０１に通知する。この通知に基づいて、プロトコル処理
部２０１は、受信パケットが、不正コネクションテーブ
ル１１２に登録されたコネクション識別情報を持つパケ
ットであるかどうかを判別する（ステップＳ２０４）。

【００５９】受信パケットが不正コネクションテーブル
１１２に登録されたコネクション識別情報を持っていた
場合（ステップＳ２０４のＹｅｓ）、プロトコル処理部
２０１は、当該パケットに対するパケットデータ解析処
理を行なうことなく、当該パケットが不正アクセスであ
ることを、パケット解析機構１０４の解析出力として、
当該パケットの識別子を用いてパケット送出部１０５へ
伝える。これにより、パケット保留キュー１０３に格納
されている当該パケットは送出されずに、破棄される
（ステップＳ２１０）。

【００６０】一方、受信パケットが不正コネクションテ
ーブルに登録されたコネクション識別情報を持っていな
かった場合、プロトコル処理部２０１は、当該パケット
のデータを解析して、それが不正アクセスに関わるパケ
ットであるか否かを判定するためのパケットデータ解析
処理を行なう（ステップＳ２０５）。このパケットデー
タ解析処理では、必要に応じ、コネクションデータ再構
築部２０３に対してデータの再構築が要求され、解析対
象の受信パケットと、それと同一の識別情報を持つ過去
の解析済みパケットとを用いてデータの再構築が行われ
る。そして、その再構築されたデータを基に不正アクセ
スデータベース２０２が参照される。

【００６１】このようなパケットデータ解析処理により
当該パケットが不正アクセスに関わるものでは無いパケ
ットであると判定された場合には、パケット解析機構１
０４は、当該解析済みの受信パケットを過去パケット格
納部２０４に格納し（ステップＳ２０７）、そして当該
パケットに付加された識別子をパケット送出部１０５に
伝える。識別子を伝えられたパケット送出部１０５は、
パケット保留キュー１０３から、当該識別子を持つパケ
ットを取り出し、ネットワークセグメントＢに送出する
（ステップＳ２０８）。

【００６２】一方、パケットデータ解析処理により当該
パケットが不正アクセスに関わるものであると判定され
た場合は、当該パケットのコネクション識別情報が解析
結果保持部２０５に送られ、その不正コネクションテー
ブル１１２に登録される（ステップＳ２０９）。そし
て、パケット解析機構１０４は、不正アクセスと判定し
た当該パケットの識別子をパケット送出部１０５へ伝え
る。これにより、パケット送出部１０５からは、パケッ
ト保留キュー１０３に格納されている当該パケットは送
出されずに、破棄される（ステップＳ２１０）。

【００６３】図９は、解析結果保持部２０５がコネクシ
ョンデータ再構築部２０３内に含まれている場合のパケ
ット解析機構１０４の構成例である。

【００６４】パケットデータ解析部１１１は、コネクシ
ョンデータ再構築部２０３に対して、解析を行おうとす
る受信パケットと同一のコネクション識別情報を持つ複
数のパケットに分割されて運ばれてくるデータの再構築
を要求して、コネクションデータ再構築部２０３から、
受信パケットの持つコネクション識別情報と同一のコネ
クション識別情報のパケットが過去に不正アクセスに関
わると判定されていたか否かの情報を取得する機能と、
上記機能により受信パケットのコネクション識別情報が
過去に不正アクセスに関わると判定されていなかった場
合には、再構築された同一のコネクション識別情報を持
つ複数のパケットに分割されて運ばれてくるデータを参
照しながら、不正アクセスデータベース２０２を検索
し、その受信パケットが運ぶデータを解析して、不正ア
クセスに関わるパケットか否かを判定する機能を持つ。

【００６５】コネクションデータ再構築部２０３は、解
析結果保持部２０５に格納された、解析を行おうとする
受信パケットの持つコネクション識別情報と同一のコネ
クション識別情報のパケットが過去に不正アクセスに関
わると判定されていたか否かの情報を参照し、不正アク
セスと判定されていた場合には、その旨をパケットデー
タ解析部１１１に通知する機能を持ち、また、不正アク
セスと判定されていなかった場合には、過去パケット格
納部２０４に格納された、同一のコネクション識別情報
を持つ過去のパケットを参照しながら、同一のコネクシ
ョン識別情報を持つ複数のパケットに分割されて運ばれ
てくるデータを再構築する機能を持つ。

【００６６】次に、図１０のフローチャートを参照し
て、図９に示すパケットデータ解析部１１１からデータ
再構築要求を受けた場合に実行されるコネクションデー
タ再構築部２０３の動作を説明する。

【００６７】コネクションデータ再構築部２０３は、受
信パケットと同一のコネクション識別情報を持つ複数の
パケットに分割されて運ばれてくるデータの再構築の要
求をパケットデータ解析部１１１から受け取ると、ま
ず、その受信パケットのコネクション識別情報を取得す
る（ステップＳ３０１）。そしてデータ再構築処理を行
なう前に、解析結果保持部２０５に保持されている過去
に不正アクセスに関するパケットであると判定されたパ
ケットのコネクション識別情報を参照して、指定された
コネクション識別情報と同一のコネクション識別情報が
解析結果保持部２０５に保持されているかどうかを判別
する（ステップＳ３０２）。受信パケットのコネクショ
ン識別情報と同一のコネクション識別情報が保持されて
いる場合には、コネクションデータ再構築部２０３は、
当該受信パケットは不正アクセスに関するパケットであ
る旨を、直ちにパケットデータ解析部１１１に通知する
（ステップＳ３０３）。

【００６８】一方、取得したコネクション識別情報と同
一のコネクション識別情報が保持されていなかった場合
には、コネクションデータ再構築部２０３は、受信パケ
ットと同じコネクション識別情報を持つ過去の解析済み
パケットを過去パケット格納部２０４から取り出して、
受信パケットと同一のコネクション識別情報を持つ複数
のパケットに分割されて運ばれてきたデータを再構築
し、それをパケットデータ解析部１１１に通知する（ス
テップＳ３０４，Ｓ３０５）。

【００６９】このように、解析結果保持部２０５をコネ
クションデータ再構築部２０３内に設け、データ再構築
処理のみならず、既に不正アクセスに関するパケットで
あると判定されているパケットと同一のコネクション識
別情報を持つものであるか否かの判定についてもコネク
ションデータ再構築部２０３内で行なうことにより、少
ない部品点数で、効率よく処理を行なうことが可能とな
る。

【００７０】なお、以上説明したパケット転送装置１１
の各構成要素は、専用のハードウェア或いはＤＳＰ等で
実現できるほか、コンピュータ上で実行されるプログラ
ムとしても実現可能である。この場合、例えば、ネット
ワークセグメント間に接続された特定のコンピュータ上
で、上述したパケット転送装置１１の機能を持つプログ
ラムを実行させることにより、専用装置として実現した
場合と同様の効果を容易に実現することが出来る。この
ようにパケット転送装置１１の機能をコンピュータプロ
グラムで実現した場合でも、パケットデータ解析部１１
１については、コネクションデータ再構築部２０３およ
び過去パケット格納部２０４とは独立したプログラムモ
ジュールとして実現しておくことが好ましい。また、本
パケット転送装置１１の機能はネットワークに接続され
るコンピュータにおいて、そのネットワークから当該コ
ンピュータ内のプログラムへの不正パケットの侵入を検
知・防止するためのコンピュータプログラムとしても実
現することができる。

【００７１】また、本発明は、上記実施形態に限定され
るものではなく、実施段階ではその要旨を逸脱しない範
囲で種々に変形することが可能である。更に、上記実施
形態には種々の段階の発明が含まれており、開示される
複数の構成要件における適宜な組み合わせにより種々の
発明が抽出され得る。例えば、実施形態に示される全構
成要件から幾つかの構成要件が削除されても、発明が解
決しようとする課題の欄で述べた課題が解決でき、発明
の効果の欄で述べられている効果が得られる場合には、
この構成要件が削除された構成が発明として抽出され得
る。

【００７２】

【発明の効果】以上説明したように、本発明によれば、
コネクション識別情報記憶手段に不正アクセスに関わる
パケットであると記憶されたコネクション識別情報を持
つパケットを受信した場合、データ解析を行うことな
く、直ちに不正アクセスに関わるパケットであることが
判別されるため、不正アクセスに対し効率よく禁止する
ことが可能となる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係るパケット転送装置の
構成を示すブロック図。

【図２】図１のパケット転送装置に設けられたパケット
解析機構の構成例を示すブロック図。

【図３】図１のパケット転送装置の動作を説明するフロ
ーチャート。

【図４】図１のパケット転送装置におけるパケットデー
タ解析処理の手順の一部を示すフローチャート。

【図５】図１のパケット転送装置におけるパケットデー
タ解析処理の手順の残りの一部を示すフローチャート。

【図６】図１のパケット転送装置に設けられたパケット
解析機構の他の構成例を示すブロック図。

【図７】図１のパケット転送装置に設けられたパケット
解析機構の更に他の構成例を示すブロック図。

【図８】図７のパケット解析機構を用いたパケット転送
装置の動作を説明するフローチャート。

【図９】図１のパケット転送装置に設けられたパケット
解析機構の別の構成例を示すブロック図。

【図１０】図９のパケット解析機構に設けられたコネク
ションデータ再構築部の処理を説明するフローチャー
ト。

【符号の説明】

１１…パケット転送装置 １０１…パケット受信部 １０２…パケット識別子付加機構 １０３…パケット保留キュー １０４…パケット解析機構 １０５…パケット送出部 １１１…パケットデータ解析部 １１２…不正コネクションテーブル １１３…不正コネクション判定機構 ２０１…プロトコル処理部 ２０２…不正アクセスデータベース ２０３…コネクションデータ再構築部 ２０４…過去パケット格納部 ２０５…解析結果保持部

Claims (17)

【特許請求の範囲】
1. 【請求項１】 複数のネットワークセグメント間のパケ
   ットの転送を制御するパケット転送装置において、 ネットワークセグメント上のパケットを受信するパケッ
   ト受信手段と、 前記パケット受信手段で受信した受信パケットを一時保
   留するパケット保留手段と、 不正アクセスに関わるパケットであると判定されたパケ
   ットのコネクション識別情報が登録されるコネクション
   識別情報記憶手段と、前記パケット受信手段により受信
   した受信パケットのコネクション識別情報が前記コネク
   ション識別情報記憶手段に登録されているか否かを判別
   して、不正アクセスに関わるパケットであるか否かを判
   定する第１の判定手段と、前記受信パケットのコネクシ
   ョン識別情報が前記コネクション識別情報記憶手段に登
   録されていないと判別した場合、前記受信パケットのデ
   ータを解析して、当該受信パケットが正常なパケットか
   不正アクセスに関わるパケットであるかを判定する第２
   の判定手段と、および前記受信パケットのデータ解析に
   よって不正アクセスに関わるパケットであると判定した
   場合、当該受信パケットのコネクション識別情報を前記
   コネクション識別情報記憶手段に登録する手段とを有す
   るパケット解析手段と、 前記パケット解析手段の前記判定結果に基づき、前記パ
   ケット保留手段に一時保留されている前記受信パケット
   のうち、前記不正アクセスに関わるパケットは破棄し、
   正常な受信パケットのみを送信先のネットワークセグメ
   ントへ送出するパケット送出手段とを具備することを特
   徴とするパケット転送装置。
2. 【請求項２】 前記コネクション識別情報は、セッショ
   ン毎にそのセッション内における一連のデータを運ぶ複
   数のパケットそれぞれに対して共通に割り当てられる識
   別情報であることを特徴とする請求項１記載のパケット
   転送装置。
3. 【請求項３】 前記コネクション識別情報は、パケット
   に含まれる送信元のアドレス及びポート番号と送信先の
   アドレスおよびポート番号との組み合わせから構成され
   るものであることを特徴とする請求項１記載のパケット
   転送装置。
4. 【請求項４】 前記パケット解析手段の前記コネクショ
   ン識別情報記憶手段と前記第１の判定手段は独立した解
   析結果保持手段として構成されることを特徴とする請求
   項１記載のパケット転送装置。
5. 【請求項５】 前記第２の判定手段は、データの解析を
   行うために既知の不正アクセスの条件が登録された不正
   アクセスデータベースを有し、前記不正アクセスデータ
   ベースと前記第２の判定手段により独立したパケットデ
   ータ解析手段が構成されることを特徴とする請求項１記
   載のパケット転送装置。
6. 【請求項６】 前記パケット解析手段はさらに、 前記第２の判定手段によって解析された解析済みのパケ
   ットを過去パケットとして保持する過去パケット保持手
   段と、 前記受信パケットと、当該受信パケットと同一のコネク
   ション識別情報を持つ前記過去パケット保持手段からの
   前記過去パケットとにより、複数のパケットに分割され
   て運ばれてくる一連のデータを再構築するコネクション
   データ再構築手段とを具備し、 前記第２の判定手段は、前記コネクションデータ再構築
   手段によって再構築されたデータを解析することを特徴
   とする請求項１記載のパケット転送装置。
7. 【請求項７】 前記過去パケット保持手段および前記コ
   ネクションデータ再構築手段はそれぞれ独立したモジュ
   ールとして構成されていることを特徴とする請求項６記
   載のパケット転送装置。
8. 【請求項８】 前記コネクションデータ再構築手段に前
   記コネクション識別情報記憶手段と前記第１の判定手段
   を設けたことを特徴とする請求項６記載のパケット転送
   装置。
9. 【請求項９】 複数のネットワークセグメント間のパケ
   ットの転送を制御するパケット転送装置において、 ネットワークセグメント上のパケットを受信するパケッ
   ト受信手段と、 前記パケット受信手段により受信したパケットを一時保
   留するパケット保留手段と、 不正アクセスに関わるパケットであると判定されたパケ
   ットのコネクション識別情報が登録されるコネクション
   識別情報記憶手段と、前記パケット受信手段により受信
   した受信パケットのコネクション識別情報が前記コネク
   ション識別情報記憶手段に登録されているか否かを判別
   して、不正アクセスに関わるパケットであるか否かを判
   定する第１の判定手段とを有する解析結果保持手段と、 前記解析結果保持手段からの不正アクセスに関わるパケ
   ットであるか否かの判定結果を受信し、前記受信パケッ
   トのコネクション識別情報が前記コネクション識別情報
   記憶手段に登録されていないと判別した場合に、不正ア
   クセスデータベースを用いて前記受信パケットのデータ
   を解析し、当該受信パケットが正常なパケットか不正ア
   クセスに関わるパケットであるかを判定する第２の判定
   手段と、前記受信パケットのデータ解析によって不正ア
   クセスに関わるパケットであると判定した場合、当該受
   信パケットのコネクション識別情報を前記コネクション
   識別情報記憶手段に登録する手段と有するパケットデー
   タ解析手段と、 前記パケットデータ解析手段によって解析された解析済
   みのパケットを過去パケットとして保持する過去パケッ
   ト保持手段と、 前記過去パケット保持手段を参照して得られる、前記受
   信パケットと同一のコネクション識別情報を持つ過去パ
   ケットから、複数のパケットに分割されて運ばれてくる
   一連のデータを再構築し、その再構築したデータを解析
   用データとして前記第２の判定手段に提供するコネクシ
   ョンデータ再構築手段と、 前記パケットデータ解析手段の前記判定結果に基づき、
   前記パケット保留手段に一時保留されている前記受信パ
   ケットのうち、前記不正アクセスに関わるパケットは破
   棄し、正常な受信パケットのみを送信先のネットワーク
   セグメントへ送出するパケット送出手段とを具備するこ
   とを特徴とするパケット転送装置。
10. 【請求項１０】 前記コネクションデータ再構築手段内
    に前記解析結果保持手段を設けたことを特徴とする請求
    項９記載のパケット転送装置。
11. 【請求項１１】 複数のネットワークセグメント間のパ
    ケットの転送を制御するパケット転送方法において、 ネットワークセグメント上のパケットを受信するパケッ
    ト受信ステップと、 前記パケット受信ステップで受信した受信パケットをパ
    ケット保留手段に一時保留するパケット保留ステップ
    と、 前記パケット受信ステップにより受信した受信パケット
    のコネクション識別情報が、不正アクセスに関わるパケ
    ットであると判定されたパケットのコネクション識別情
    報が登録されるコネクション識別情報記憶手段に既に登
    録されているか否かを判別して、不正アクセスに関わる
    パケットであるか否かを判定するステップと、 前記受信パケットのコネクション識別情報が前記コネク
    ション識別情報記憶手段に登録されていないと判別され
    た場合に、前記受信パケットのデータを解析して、当該
    受信パケットが正常なパケットか不正アクセスに関わる
    パケットであるかを判定するパケットデータ解析ステッ
    プと、 前記データ解析により、不正アクセスに関わるパケット
    であると判定した場合、当該受信パケットのコネクショ
    ン識別情報を前記コネクション識別情報記憶手段に登録
    するステップと、 前記パケット保留手段に一時保留されている受信パケッ
    トのうち、前記不正パケットに関わるパケットと判定さ
    れた受信パケットは破棄し、正常なパケットと判定した
    パケットのみを送信先のネットワークセグメントへ送出
    するステップとを具備することを特徴とするパケット転
    送方法。
12. 【請求項１２】 前記コネクション識別情報は、セッシ
    ョン毎にそのセッション内における一連のデータを運ぶ
    複数のパケットそれぞれに対して共通に割り当てられる
    識別情報であることを特徴とする請求項１１記載のパケ
    ット転送方法。
13. 【請求項１３】 前記コネクション識別情報は、パケッ
    トに含まれる送信元のアドレス及びポート番号と、送信
    先のアドレスおよびポート番号との組み合わせから構成
    されることを特徴とする請求項１１記載のパケット転送
    方法。
14. 【請求項１４】 前記パケットデータ解析ステップによ
    って解析された解析済みのパケットを過去パケットとし
    て保持するステップと、 前記受信パケットと、当該受信パケットと同一のコネク
    ション識別情報を持つ前記過去パケットとにより、複数
    のパケットに分割されて運ばれてくる一連のデータを再
    構築するコネクションデータ再構築ステップとをさらに
    具備し、 前記パケットデータ解析ステップは前記コネクションデ
    ータ再構築ステップによって再構築されたデータを解析
    するステップを含むことを特徴とする請求項１１記載の
    パケット転送方法。
15. 【請求項１５】 複数のネットワークセグメント間のパ
    ケットの転送を制御するパケット転送方法において、 ネットワークセグメント上のパケットを受信するパケッ
    ト受信ステップと、 前記パケット受信ステップにより受信したパケットを一
    時保留するパケット保留手段と、 前記パケット受信ステップにより受信した受信パケット
    のコネクション識別情報が、不正アクセスに関わるパケ
    ットであると判定されたパケットのコネクション識別情
    報が登録されるコネクション識別情報記憶手段に既に登
    録されているか否かを判別して、不正アクセスに関わる
    パケットであるか否かを判定する第１の判定ステップ
    と、 前記第１の判定ステップにおける不正アクセスに関わる
    パケットであるか否かの判定結果を受信し、前記受信パ
    ケットのコネクション識別情報が前記コネクション識別
    情報記憶手段に登録されていないと判別した場合に、不
    正アクセスデータベースを用いて前記受信パケットのデ
    ータを解析し、当該受信パケットが正常なパケットか不
    正アクセスに関わるパケットであるかを判定する第２の
    判定ステップと、 前記受信パケットのデータ解析によって不正アクセスに
    関わるパケットであると判定した場合、当該受信パケッ
    トのコネクション識別情報を前記コネクション識別情報
    記憶手段に登録するステップと、 前記第２の判定ステップにおいて解析された解析済みの
    パケットを過去パケット保持手段に保持するステップ
    と、 前記過去パケット保持手段を参照して得られる、前記受
    信パケットと同一のコネクション識別情報を持つ過去パ
    ケットから、複数のパケットに分割されて運ばれてくる
    一連のデータを再構築し、その再構築したデータを解析
    用データとして前記第２の判定ステップに提供するステ
    ップと、 前記パケット保留手段に一時保留されている前記受信パ
    ケットのうち、前記不正アクセスに関わるパケットは破
    棄し、正常な受信パケットのみを送信先のネットワーク
    セグメントへ送出するステップとを具備することを特徴
    とするパケット転送方法。
16. 【請求項１６】 コンピュータに複数のネットワークセ
    グメント間のパケットの転送を制御させるためのプログ
    ラムであって、 ネットワークセグメント上のパケットを受信するパケッ
    ト受信機能、 前記パケット受信ステップで受信した受信パケットをパ
    ケット保留手段に一時保留する機能、 前記パケット受信機能により受信した受信パケットのコ
    ネクション識別情報が、不正アクセスに関わるパケット
    であると判定されたパケットのコネクション識別情報が
    登録されるコネクション識別情報記憶手段に既に登録さ
    れているか否かを判別して、不正アクセスに関わるパケ
    ットであるか否かを判定する機能、 前記受信パケットのコネクション識別情報が前記コネク
    ション識別情報記憶手段に登録されていないと判別され
    た場合に、前記受信パケットのデータを解析して、当該
    受信パケットが正常なパケットか不正アクセスに関わる
    パケットであるかを判定する機能、 前記データ解析により、不正アクセスに関わるパケット
    であると判定した場合、当該受信パケットのコネクショ
    ン識別情報を前記コネクション識別情報記憶手段に登録
    する機能、 前記パケット保留手段に一時保留されている受信パケッ
    トのうち、前記不正パケットに関わるパケットと判定さ
    れた受信パケットは破棄し、前記正常なパケットと判定
    したパケットのみを送信先のネットワークセグメントへ
    送出する機能を実現させるためのプログラム。
17. 【請求項１７】 コンピュータに複数のネットワークセ
    グメント間のパケットの転送を制御させるためのプログ
    ラムであって、 ネットワークセグメント上のパケットを受信するパケッ
    ト受信機能、 前記パケット受信機能により受信したパケットをパケッ
    ト保留手段に一時保留する機能、 前記パケット受信機能により受信した受信パケットのコ
    ネクション識別情報が、不正アクセスに関わるパケット
    であると判定されたパケットのコネクション識別情報が
    登録されるコネクション識別情報記憶手段に既に登録さ
    れているか否かを判別して、不正アクセスに関わるパケ
    ットであるか否かを判定する第１の判定機能、 前記第１の判定機能における不正アクセスに関わるパケ
    ットであるか否かの判定結果を受信し、前記受信パケッ
    トのコネクション識別情報が前記コネクション識別情報
    記憶手段に登録されていないと判別した場合に、不正ア
    クセスデータベースを用いて前記受信パケットのデータ
    を解析し、当該受信パケットが正常なパケットか不正ア
    クセスに関わるパケットであるかを判定する第２の判定
    機能と、 前記受信パケットのデータ解析によって不正アクセスに
    関わるパケットであると判定した場合、当該受信パケッ
    トのコネクション識別情報を前記コネクション識別情報
    記憶手段に登録する機能、 前記第２の判定機能において解析された解析済みのパケ
    ットを過去パケット保持手段に保持する機能、 前記過去パケット保持手段を参照して得られる、前記受
    信パケットと同一のコネクション識別情報を持つ過去パ
    ケットから、複数のパケットに分割されて運ばれてくる
    一連のデータを再構築し、その再構築したデータを解析
    用データとして前記第２の判定ステップに提供する機
    能、 前記パケット保留手段に一時保留されている前記受信パ
    ケットのうち、前記不正アクセスに関わるパケットは破
    棄し、前記正常な受信パケットのみを送信先のネットワ
    ークセグメントへ送出する機能を実現するためのプログ
    ラム。