JP2003186763A - コンピュータシステムへの不正侵入の検知と防止方法 - Google Patents

Abstract

(57)【要約】 【課題】インターネットを経由したコンピュータシステ
ムへの不正なアクセスと、それにより生じるデータの盗
み見や漏洩、改ざん、破壊等を検知すると共に防止す
る。 【解決手段】インターネット１に不正侵入検知代理サー
バ１２を介してネットワークを構成する複数のＬＡＮ１
３ａ、ＬＡＮ１３ｂ、ＬＡＮ１３ｃが接続された構成
で、夫々のＬＡＮには、所定の法則に従いパケットの中
継交換を行うルータ３と、複数のパソコン等からなる端
末装置５ａ、５ｂ、５ｃ、５ｄとを接続している。従っ
て、インターネット１に接続する各ＬＡＮ、又は端末装
置へのアクセスは、全て不正侵入検知代理サーバを経由
するようネットワークが構築を構築する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はコンピュータシステ
ムへの不正侵入の検知と防止方法に関し、特にコンピュ
ータシステムにインターネットを介して不正にアクセス
し、コンピュータシステムに妨害を与えることを検知し
防止する方法に関する。

【０００２】

【従来の技術】近年、インターネットの普及は目覚しい
ものがあり、電子商取引等様々なサービスが提供されて
いる。そのようなインターネットにおいて、コンピュー
タシステムへの不正なアクセスと、それにより生じるデ
ータの盗み見や漏洩、改ざん、破壊等が大きな問題とな
っている。この問題を解決するために、インターネット
を介した不正侵入を検知する技術として侵入検知システ
ムが知られている。図６は、従来のインターネットを介
したコンピュータシステムの構成例である。同図（ａ）
は、インターネット１にネットワークを構成する複数の
ＬＡＮ２ａ、ＬＡＮ２ｂ、ＬＡＮ２ｃを接続し、夫々の
ＬＡＮには、所定の法則に従いパケットの中継交換を行
うルータ３と、不正侵入を検知する不正侵入検知装置４
と、複数のパソコン等からなる端末装置５ａ、５ｂ、５
ｃ、５ｄを接続している。同図（ｂ）は、インターネッ
ト１にネットワークを構成する複数のＬＡＮ６ａ、ＬＡ
Ｎ６ｂ、ＬＡＮ６ｃを接続し、夫々のＬＡＮには、所定
の法則に従いパケットの中継交換を行うルータ３と、不
正侵入を検知するソフトウェアを実装した複数のパソコ
ン等からなる端末装置７ａ、７ｂ、７ｃ、７ｄを接続し
ている。従来、侵入検知の実施形態としては、同図
（ａ）に示すように、インターネット１から不正侵入を
防止すべきネットワーク、例えばＬＡＮ内部の入口部分
に不正侵入を検知する不正侵入検知装置４を設置するこ
とにより、ＬＡＮ内部への不正侵入を一括して監視する
実施形態と、又は、同図（ｂ）に示すように、個々の端
末装置内に不正侵入を検知するソフトウェアを実装する
ことにより、その端末装置のみに対する不正侵入を検知
する実施形態がある。

【０００３】又、不正侵入検知の具体的方策としては、
次の三つの方式が実用化されている。第一の方式は、プ
ロトコルの違反を検知して不正侵入を検知する方法で、
不正侵入の際に用いられたプロトコルは、その仕様に違
反していることが多く、このプロトコル仕様への違反を
つきとめ、それに基づき不正侵入を検知するものであ
る。第二の方式は、不正侵入のためのコマンドに基づく
不正侵入の検知方法で、具体的な方法が明確になってい
る不正侵入方法（具体的には、コンピュータシステムの
セキュリティホールを攻撃することが多い）で用いるコ
マンド（文字列）等を予め記憶しておき、それとシステ
ムへのアクセスの際に用いられたコマンドとを比較し
て、一致した場合、そのアクセスを不正侵入と判定する
ものである。第三の方式は、ログファイルに基づく不正
侵入事実の検知方法で、コンピュータシステムのログフ
ァイルに残されたログから不正侵入が行われた事実を検
知するものである。

【０００４】図７に、従来の三つの不正侵入検知の具体
的方策について、長短所を表に記述する。同表に示すよ
うに、不正侵入を検知することのリアルタイム性につい
ては、第一及び第二の方式共に可能であるが、第三の方
式は困難である。一方、新たな不正侵入の方法が発生し
た場合への対応は、第一及び第三の方式は可能である
が、第二の方式は困難である。そこで従来は、不正侵入
検知システムとして、上述した三つの方式のいずれか一
つを用いて構築していた。

【０００５】次に、コンピュータシステムに不正に侵入
する手段として、スキャナと呼ばれるものがある。不正
侵入は、コンピュータシステムのセキュリティホールを
攻撃することにより実現され、そのための専用ソフトウ
ェア（以降、不正侵入ツールと呼ぶ）さえ存在する。そ
の不正侵入ツールの一種がスキャナであり、コンピュー
タシステムに存在するセキュリティホールを見つけ出す
ツールである。このスキャナのなかでも、ポートスキャ
ナと呼ばれるものは、コンピュータシステムがＴＣＰ／
ＩＰを用いて他のコンピュータシステムとネットワーク
を経由して通信する際に利用するポートを検索し、対象
となるコンピュータシステムが、現在どのようなネット
ワークのサービスを実施しているかを知ることが出来
る。このポートスキャナを用いてコンピュータシステム
のポートスキャンが行われると、その結果がパケットに
よってスキャナに対して送り返される。本来、ポートス
キャナは、自サイトのセキュリティを確認する手段であ
るが、それを他の目的に使用して不正侵入の手段として
用いられている。近年、ポートスキャナによるポートス
キャンが行われていることを検知し、その後のコンピュ
ータシステムへの不正侵入の防止などを行う不正侵入検
知システムが開発されている。

【０００６】一方、コンピュータシステムをシステムダ
ウンさせたり、サービスを利用不能にしたりするシステ
ム攻撃が行われることがある。なかでもＤＯＳ（Ｄｅｎ
ｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃は、コンピュータ
やサーバ、ＬＡＮの使用を不能にすることから、最も脅
威となる攻撃の一つである。ＤＯＳ攻撃にも様々な方法
があるが、その典型的な方法は、攻撃対象であるコンピ
ュータやサーバへＩＰパケットを短時間に多量に送りつ
けるというもので、これによりコンピュータやサーバ
は、多量の処理をしなければならないため過負荷とな
り、最終的には処理の継続が不可能となり、システムダ
ウンが生じることがある。この問題を解決するため、同
一、又は複数の特定のソースアドレスから発信されてい
る多量のＩＰアドレスを検知した場合、ＤＯＳ攻撃が行
われているものと判断し、全ＩＰパケットを廃棄してい
る。

【０００７】図８は、インターネットを介したコンピュ
ータシステムにおいて、ＤＯＳ攻撃に対応させた従来の
システム例であり、（ａ）は、システム構成を示し、
（ｂ）は、ＤＯＳ攻撃検知装置の内部構成を示す。シス
テム構成としては、インターネット１にＬＡＮ８が接続
された構成で、ＬＡＮには、所定の法則に従いパケット
の中継交換を行うルータ３と、ＤＯＳ攻撃を検知してＩ
Ｐパケットを廃棄するＤＯＳ攻撃検知装置９と、複数の
パソコン等からなる端末装置５ａ、５ｂ、５ｃ、５ｄを
接続している。ＤＯＳ攻撃検知装置は、（ｂ）に示す如
く、ＩＰパケット分析手段１０により常時、ＩＰパケッ
トのアドレス分析を行い、特定のソースアドレスから多
量のＩＰパケットが発信されていないかを監視する。そ
の結果、特定のソースアドレスから多量のＩＰパケット
が発信されていることを検知すると、ＤＯＳ攻撃とみな
し、ＩＰパケット処理手段１１により全てのＩＰパケッ
トを廃棄する。

【０００８】

【発明が解決しようとする課題】しかしながら、従来の
コンピュータシステムへの不正侵入の検知と防止方法
は、以下のような問題を抱えていた。図６に示した従来
のインターネットを介したコンピュータシステムの構成
例において、既存の不正侵入方法は、対象機種によって
は異なるが、同一機種の場合決まった手順で行われる画
一的なものであり、同一の侵入方法が利用される。この
ため、個々の端末装置やＬＡＮが個別に不正侵入検知装
置やソフトウェアを備える必要はないにもかかわらず、
従来のコンピュータシステムにおいては、個々の端末装
置やＬＡＮが全く同一の不正侵入検知装置やソフトウェ
アを設置、実装しており、従って、次のような損失や不
要な労力と不具合の発生が生じている。 ・不正侵入検知装置やソフトウェアの導入に際しての多
大な費用が発生する。 ・不正侵入検知装置やソフトウェアの運用に際しての多
大な費用が発生する。 ・不正侵入検知装置やソフトウェアの管理が必要とな
る。 ・システムが複雑化する。

【０００９】又、不正侵入検知手段として、不正侵入の
ためのコマンドに基づく不正侵入検知方法を用いる場合
は、既存の不正侵入方法で用いるコマンドを全て記憶し
なければならず、その数は新しいコマンドの発生に従っ
て増加する。そこで、コマンドを記憶しておくために、
大きな容量のメモリが必要となり、コストの上昇につな
がる。又、記憶しておくコマンドが増加するに従って、
実際に行われているアクセスと記憶してあるコマンドと
の比較（検索）に時間を要することとなり、効率が低下
するという問題が生じていた。

【００１０】次に、従来の不正侵入検知手段として前述
した三つの方法において、プロトコルの違反を検知して
不正侵入を検知する方法と、不正侵入のためのコマンド
に基づく不正侵入の検知方法と、ログファイルに基づく
不正侵入事実の検知方法の何れか一つの方法を用いて不
正侵入を検知する従来のシステムでは、夫々の方法にお
いて次のような問題が生じる可能性を有していた。 ・検知ルールに一致しない不正侵入方法は、検知できな
い。 ・リアルタイムで検知できない。 ・新しい不正侵入方法を検知できない。 このため、全ての不正侵入を検知できず、検知の漏れが
生じることとなっていた。

【００１１】一方、スキャニングによる不正侵入検知シ
ステムにおいては、既存の不正侵入検知システムを用い
ることによりポートスキャン等をされた事実を知ること
はできたが、それを積極的に撃退するなどの方法は備え
ていなかった。そのため、不正侵入検知システムを用い
て不正な侵入を検知することが出来、それに基づいて情
報の漏洩や破壊等を阻止することは出来ても、不正を行
っている者に対しての積極的な警告や撃退を行うことは
出来ないという問題が生じていた。

【００１２】又、コンピュータシステムをＤＯＳ攻撃に
対応させた従来のシステム例においては、ＤＯＳ攻撃を
検知した際、毎回、全ＩＰパケットの廃棄を行ってお
り、その間、ＬＡＮやインターネットが使用不能とな
り、業務上や営業上、その他の場合で重大な支障を生じ
て大きな問題となっていた。そこで本発明は、上述した
ような様々な問題を解決するためになされたものであっ
て、最適なコンピュータシステムへの不正侵入の検知と
防止方法を提供することを目的とする。

【００１３】

【課題を解決するための手段】上記目的を達成するため
に、本発明に係わるコンピュータシステムへの不正侵入
の検知と防止方法は、以下の構成をとる。請求項１記載
のコンピュータシステムへの不正侵入の検知と防止方法
は、インターネットに複数のＬＡＮを接続してサービス
の提供を受けるコンピュータシステムにおいて、前記イ
ンターネット側に不正侵入検知代理サーバを設置してお
り、ＬＡＮに接続した端末装置へのアクセスは、全て前
記不正侵入検知代理サーバを介して行うよう構成する。

【００１４】請求項２記載のコンピュータシステムへの
不正侵入の検知と防止方法は、インターネットにＬＡＮ
を接続してサービスの提供を受けるコンピュータシステ
ムにおいて、前記ＬＡＮにはルータと不正侵入検知用の
プログラムを搭載した複数の端末装置を接続しており、
各端末装置は通常行われる不正侵入の手順に関する情報
を記憶しておく親端末装置と、プロトコルやサービス別
に不正侵入方法を夫々記憶しておく子端末装置とに機能
分別し、アクセス時に先ず親端末装置により不正侵入検
知を行うステップと、親端末装置が不正侵入検知の際
は、ネットワークから端末装置の遮断やパケット廃棄を
行うステップと、親端末装置が不正侵入不検知の際は、
各子端末装置において機能別に順次不正侵入検知を行う
ステップと、各子端末装置が不正侵入検知の際は、ネッ
トワークから端末装置の遮断やパケット廃棄を行うステ
ップと、各子端末装置が不正侵入不検知の際は、通常の
アクセスを行うステップとを含むよう構成する。

【００１５】請求項３記載のコンピュータシステムへの
不正侵入の検知と防止方法は、インターネットにＬＡＮ
を接続してサービスの提供を受けるコンピュータシステ
ムにおいて、前記ＬＡＮにはルータと不正侵入検知用の
プログラムを搭載した複数の端末装置を接続しており、
各端末装置には自端末装置への不正侵入に際して用いら
れた手順や独自の収集により獲得した情報を記憶してお
き、任意の端末装置にアクセスが行われた際は、端末装
置は自己の情報と比較を行ない、不正侵入を検知するス
テップと、端末装置が不正侵入検知の際は、ネットワー
クから端末装置の遮断やパケット廃棄を行うステップ
と、端末装置が不検知の際は、他の端末装置へ問い合わ
せて順次不正侵入検知を行うステップと、他の端末装置
が不正侵入検知の際は、ネットワークから端末装置の遮
断やパケット廃棄を行うステップと、他の端末装置が不
正侵入不検知の際は、通常のアクセスを行うステップと
を含むよう構成する。

【００１６】請求項４記載のコンピュータシステムへの
不正侵入の検知と防止方法は、インターネットにＬＡＮ
を接続してサービスの提供を受けるコンピュータシステ
ムにおいて、前記ＬＡＮにはルータと不正侵入検知装置
と複数の端末装置を接続しており、前記不正侵入検知装
置は、第一のステップとしてプロトコル違反に基づく不
正侵入の検知を行うステップと、第二のステップとし
て、不正侵入のためのコマンドに基づく不正侵入の検知
を行うステップと、第三のステップとして、ログファイ
ルに基づく不正侵入の事実の検知を行うステップとを有
しており、前記三つのステップを第一のステップから第
三のステップへ順次実行するよう構成する。

【００１７】請求項５記載のコンピュータシステムへの
不正侵入の検知と防止方法は、前記請求項１記載の不正
侵入検知代理サーバが、第一のステップとしてプロトコ
ル違反に基づく不正侵入の検知を行うステップと、第二
のステップとして、不正侵入のためのコマンドに基づく
不正侵入の検知を行うステップと、第三のステップとし
て、ログファイルに基づく不正侵入の事実の検知を行う
ステップとを有しており、前記三つのステップを第一の
ステップから第三のステップへ順次実行するよう構成す
る。

【００１８】請求項６記載のコンピュータシステムへの
不正侵入の検知と防止方法は、インターネットにＬＡＮ
を接続してサービスの提供を受けるコンピュータシステ
ムにおいて、前記ＬＡＮにはルータと不正侵入検知装置
と複数の端末装置を接続しており、前記不正侵入検知装
置は、アクセス時にポートスキャンを検知するステップ
と、ポートスキャナに返送されるパケットデータに不正
侵入に対する警告及び反撃のためのプログラムを組み込
むステップと、前記パケットデータをポートスキャナへ
返送するステップとを含むよう構成する。

【００１９】請求項７記載のコンピュータシステムへの
不正侵入の検知と防止方法は、インターネットにＬＡＮ
を接続してサービスの提供を受けるコンピュータシステ
ムにおいて、前記ＬＡＮにはルータとＤＯＳ攻撃検知装
置と複数の端末装置を接続しており、前記ＤＯＳ攻撃検
知装置は、同一、又は複数からなる特定のソースアドレ
スから特定のデスティネーションアドレスに対して、Ｉ
Ｐパケットが一定時間内に多数送りつけられていないか
を判断するステップと、ＤＯＳ攻撃が行われていると判
断した場合は、そこから送りつけられるＩＰパケットの
みを廃棄するステップと、それ以外のＩＰパケットは、
通常どおり通過させるステップと、ＤＯＳ攻撃が行われ
ていないと判断した場合は、通常どおり通過させるステ
ップとを含むよう構成する。

【００２０】

【発明の実施の形態】以下、図示した実施例に基づいて
本発明を詳細に説明する。図１は、本発明に係るコンピ
ュータシステムへの不正侵入の検知と防止方法を示す第
一の実施例である。本実施例においては、コンピュータ
システムが個々の端末装置やＬＡＮに、全く同一の不正
侵入検知装置やソフトウェアを設置、実装していること
により生じる問題を解決するためになされたものであっ
て、図１に示す如く、インターネット内に不正侵入を検
知する機能を備え、複数の利用者に代わって不正侵入の
検知を行う不正侵入検知代理サーバを設置した。この不
正侵入検知代理サーバの利用者への他からのアクセス
は、全て不正侵入検知代理サーバを経由して行うように
する。利用者は、自らへの他からのアクセスを、不正侵
入検知代理サーバを経由して行うことにより、不正侵入
検知代理サーバの不正侵入検知機能を利用するものであ
る。

【００２１】図１を説明すると、同図は、インターネッ
ト１に不正侵入検知代理サーバ１２を介してネットワー
クを構成する複数のＬＡＮ１３ａ、ＬＡＮ１３ｂ、ＬＡ
Ｎ１３ｃが接続された構成で、夫々のＬＡＮには、所定
の法則に従いパケットの中継交換を行うルータ３と、複
数のパソコン等からなる端末装置５ａ、５ｂ、５ｃ、５
ｄとを接続している。従って、インターネット１に接続
する各ＬＡＮ、又は端末装置へのアクセスは、全て不正
侵入検知代理サーバを経由するようネットワークが構築
されている。そこで、不正侵入検知の一例を説明する
と、インターネットを介して他者からＬＡＮ１３ａに対
してアクセスがあった場合、不正侵入検知代理サーバ１
２は、アクセスの際に用いられたコマンドをモニター
し、それと自分が記憶している既存の不正侵入に使用さ
れたコマンドと比較して一致した場合、そのアクセスは
不正侵入のためのアクセスであると判断し、そのアクセ
スを拒絶することにより、不正侵入を未然に防止する。
又、一致しなかった場合は、通常どおりのアクセスを許
可する。

【００２２】図２は、本発明に係るコンピュータシステ
ムへの不正侵入の検知と防止方法を示す第二の実施例で
ある。本実施例は、不正侵入検知手段として、不正侵入
のためのコマンドに基づく不正侵入検知方法を用いた際
に、既存の不正侵入方法で用いる情報を全て記憶するた
め、大きな容量のメモリを必要とするという問題を解決
するためになされたものであって、既存の不正侵入方法
で用いる情報を複数の端末装置に分散して記憶させるも
のである。任意の端末装置にアクセスがあった場合、そ
の端末装置は、先ず自分の記憶している情報に照らし合
わせて、そのアクセスが不正侵入であるかどうかを判断
し、不正侵入である場合は、ネットワークから端末装置
の遮断やパケットの廃棄等の処置を行う。自分だけの情
報では不正侵入かどうかの判断がつかない場合は、近隣
の端末装置に対して問い合わせを行う。その結果、その
アクセスが不正侵入であると判断された場合、上述と同
様の処置を行い、不正侵入ではないと判断された場合
は、アクセスを許可する。

【００２３】図２を説明すると、インターネット１にネ
ットワークとしてＬＡＮ１４を接続し、ＬＡＮには、所
定の法則に従いパケットの中継交換を行うルータ３と、
不正侵入を検知するソフトウェアを実装した複数のパソ
コン等からなる端末装置（端末装置）１５ａ、１５ｂ、
１５ｃ、１５ｄとを接続している。そこで次に、不正侵
入を検知するための端末装置の実施形態を具体的に説明
する。その第一の形態は、通常よく行われる不正侵入の
手順に関する情報を記憶しておく端末装置（以下、親端
末装置と言う）を一つ定めておき、通常は先ずその親端
末装置に不正侵入であるかないかの問い合わせを行う。
そこで、不正侵入であると判断された場合は、ネットワ
ークから端末装置の遮断やパケットの廃棄等の処置を行
う。一方、不正侵入でないと判断された場合は、次に分
野別に情報を記憶している（例えば、プロトコルやサー
ビス別に不正侵入方法を記憶している）端末装置（以
下、子端末装置と言う）に不正侵入であるかないかの問
い合わせを行う。その結果、不正侵入であると判断され
た場合は、ネットワークから端末装置の遮断やパケット
の廃棄等の処置を行う。不正侵入ではないと判断された
場合は、アクセスを許可する。

【００２４】次に第二の形態は、各端末装置が自分への
不正侵入に際して用いられた手順や独自の収集により獲
得した情報を記憶しておく。そこで、任意の端末装置に
アクセスが行われた場合、その端末装置は先ず自分が記
憶している情報との比較を行う。そこで、不正侵入であ
ると判断された場合は、ネットワークから端末装置の遮
断やパケットの廃棄等の処置を行う。一方、不正侵入で
ないと判断された場合は、やはり不正侵入に関する独自
の情報を記憶している他の端末装置に問い合わせる。そ
こで、不正侵入であると判断された場合は、ネットワー
クから端末装置の遮断やパケットの廃棄等の処置を行
い、不正侵入ではないと判断された場合は、アクセスを
許可する。

【００２５】図３は、本発明に係るコンピュータシステ
ムへの不正侵入の検知と防止方法を示す第三の実施例で
ある。本実施例は、不正侵入を検知漏れなく確実に検知
可能とする構成例であり、不正侵入検知装置に異なった
三つの不正侵入検知方法を実現するモジュールを連続
（直列）に備え、夫々の方法の長所を生かして、不正侵
入検知装置全体で不正侵入の検知漏れを防ぐものであ
る。そこで、三つの不正侵入検知方法の特徴を生かし、
効果的に不正侵入検知を行うため、先ず、リアルタイム
且つ簡単なルールで不正進入を検知できる第一の方法と
して、プロトコル違反に基づく不正侵入の検知を行い、
殆どの単純な方法での不正侵入は、ここで検知して排除
する。次に、リアルタイムで検知可能であるが、ルール
がより複雑となる第二の方法として、不正侵入のための
コマンドに基づく不正侵入の検知を行い、残った不正侵
入の方法を検知し排除する。最後に、リアルタイムでの
検知は困難であるが、非常に複雑な不正侵入の方法を検
知できる第三の方法として、ログファイルに基づく不正
侵入の事実の検知を行い、新しい不正侵入の方法を含め
て不正侵入の事実とその具体的な方法を得る。

【００２６】図３を説明すると、（ａ）は、インターネ
ット１にネットワークとしてＬＡＮ１６を接続した構成
で、ＬＡＮ１６には、所定の法則に従いパケットの中継
交換を行うルータ３と、不正侵入を検知する不正侵入検
知装置１７と、複数のパソコン等からなる端末装置５
ａ、５ｂ、５ｃ、５ｄとを接続している。（ｂ）は、不
正侵入検知装置１７の内部構成を示し、プロトコル違反
に基づく不正侵入の検知手段１８と、不正侵入のための
コマンドに基づく不正侵入の検知手段１９と、ログファ
イルに基づく不正侵入事実の検知手段２０を備えてい
る。そこで、外部からインターネットを経由したＬＡＮ
１６へのアクセスは、先ず、プロトコル違反に基づく不
正侵入検知手段１８に入力し、アクセスで用いているプ
ロトコル（具体的にはパケットの内容）が規定のプロト
コル仕様に合致しているかどうかを判定する。合致して
いればパケットはそのまま通過し、合致していなければ
そのアクセスは不正侵入のための不正アクセスであると
判定し、アクセスを拒絶する（接続を切断する）等の処
置を行う。

【００２７】パケットがそのまま通過した場合は、次に
そのパケットは、不正侵入のためのコマンドに基づく不
正侵入の検知手段１９に入力し、そのパケットに格納さ
れているデータが、既存の不正侵入方法で用いるコマン
ド（文字列）であるかどうかを確認する。不正侵入で用
いるコマンドであった場合は、不正侵入のためのアクセ
スであると判定し、アクセスを拒絶する（接続を切断す
る）等の処置を行う。そうでなかった場合は、パケット
をそのまま通過させる。最後にアクセスの内容はログフ
ァイルへ記録されるが、ログファイルに基づく不正侵入
事実の検知手段２０において、その記録を検証し不正侵
入が行われたかを確認する。不正侵入が行われた事実が
確認された場合は、接続を切断する等によりその不正侵
入を排除する。又、その不正侵入の記録（ログ）は、今
後の不正侵入の防止に役立てる。

【００２８】図４は、本発明に係るコンピュータシステ
ムへの不正侵入の検知と防止方法を示す第四の実施例に
おけるフローチャートである。本実施例は、スキャニン
グによる不正侵入検知システムにおいて、ポートスキャ
ン等が行われた際に、それを積極的に撃退する方法を備
えたものである。ポートスキャン等によりスキャニング
が行われると、対象となるコンピュータシステムが実行
しているネットワークのサービスに関する情報を乗せた
パケットがスキャナに送り返されるが、それを検知する
と、そのパケットのデータを乗っ取り、そのデータ部に
次のような情報を組み込みスキャナに送り返すものであ
る。情報の一つは、不正侵入に対する警告であり、他の
一つは反撃のためのプログラムである。例えば、反撃の
ために組み込むプログラムとしては、トロイの木馬が考
えられ、情報を送り返すパケットデータ部に、トロイの
木馬を実行するプログラムを搭載しスキャナへ送り返
す。スキャナに送り返されたトロイの木馬を実行するプ
ログラムは内部に常駐し、何かのきっかけによって不正
侵入に対する警告やさらには内部のデータやシステムの
破壊などを行う。その結果、不正侵入を行った者には、
不正侵入によって自らにも被害が発生することが認識さ
れ、最終的にはこの反撃が不正侵入に対する抑止力とし
て機能するようになる。

【００２９】図４を説明すると、不正侵入を試みるスキ
ャナ側からポートスキャンのためのパケットが、対象と
なるコンピュータシステムへ送出されるとコンピュータ
システムはアクセスした後（ステップ１）、不正侵入検
知ツールを用いてスキャニング検出を行う（ステップ
２）。その結果、ポートスキャンを検知すると、ポート
スキャンした結果を乗せてスキャナへ送り返すパケット
データを、予め用意されている不正侵入に対する警告や
トロイの木馬等の反撃プログラム（ステップ３）に書き
換え（ステップ４）、書き換えたパケットをスキャナへ
送り返す（ステップ５）。ステップ２において、ポート
スキャンを検知しない場合は、通常のアクセスを行う
（ステップ６）。スキャナ側では、本来、表示されるべ
き対象となるコンピュータシステムに設定されているポ
ートに関する情報、更には、利用しているネットワーク
のサービス情報に代えて、不正侵入に対する警告の表示
が行われたり、トロイの木馬プログラムの組み込みが行
われたりする。このトロイの木馬は、以降、何らかのき
っかけで動作を開始する。

【００３０】図５は、本発明に係るコンピュータシステ
ムへの不正侵入の検知と防止方法を示す第五の実施例で
ある。本実施例は、ＤＯＳ攻撃に対応させたコンピュー
タシステム例においては、ＤＯＳ攻撃を検知した際、Ｌ
ＡＮやインターネットが使用不能となることを防止する
もので、インターネットからＬＡＮ内部へ伝送されるＩ
Ｐパケットの監視をＬＡＮの入口部で行い、ＤＯＳ攻撃
であることが判明した場合は、それらのＩＰパケット
は、そこで直ちに廃棄し、それ以外のＩＰパケットは、
通過させる。

【００３１】図５を説明すると、（ａ）は、インターネ
ット１にネットワークとしてＬＡＮ２１を接続した構成
で、ＬＡＮ２１には、所定の法則に従いパケットの中継
交換を行うルータ３と、ＤＯＳ攻撃検知装置２２と、複
数のパソコン等からなる端末装置５ａ、５ｂ、５ｃ、５
ｄとを接続している。（ｂ）は、不正侵入検知装置２２
の内部構成を示し、ＩＰパケット分析手段２３と、ＩＰ
パケット通過処理手段２４とＩＰパケット廃棄処理手段
２５とを備えたＩＰパケット処理手段２６とにより構成
する。そこで、ＤＯＳ攻撃が行われているかどうかを判
断するＩＰパケット分析手段２３において、ソースアド
レスごとにＩＰパケットの伝送量の分析を行い、同一、
又は複数からなる特定のソースアドレスから特定のデス
ティネーションアドレスに対して、ＩＰパケットが一定
時間内に多数送りつけられていると判断した場合は、Ｉ
Ｐパケット廃棄処理手段２５において、そこから送りつ
けられるＩＰパケットのみを廃棄する。それ以外のＩＰ
パケットは、ＩＰパケット通過処理手段２４により通常
どおり通過させる。従って、ＤＯＳ攻撃を検知した際
に、インターネットとの接続を切断することなく通常の
ＩＰパケットのための通信は確保される。

【００３２】

【発明の効果】本発明は上述したように構成するもので
あり、次に記述したような著しい効果を発揮することが
可能となる。請求項１記載のコンピュータシステムへの
不正侵入の検知と防止方法は、安価な費用で実施できる
と共に、不正侵入を一元的に管理できるため、システム
が単純化される。請求項２及び３記載のコンピュータシ
ステムへの不正侵入の検知と防止方法は、不正侵入に関
する情報を各端末装置に分散しておくことにより、各端
末装置での処理の負荷を低減する事ができ効率的な不正
侵入の検知が可能となる。請求項４及び５記載のコンピ
ュータシステムへの不正侵入の検知と防止方法は、三つ
の不正侵入検知手段を順次実行することにより、不正侵
入の検知もれが無くなり、信頼性の高い不正侵入の検知
が可能となる。請求項６記載のコンピュータシステムへ
の不正侵入の検知と防止方法は、不正侵入が行われた際
に、警告と反撃を実行することが出来、不正侵入に対す
る抑止力として機能することが出来る。請求項７記載の
コンピュータシステムへの不正侵入の検知と防止方法
は、ＤＯＳ攻撃が行われた際に、ＬＡＮをインターネッ
トから切り離すことなく、所定のＩＰパケットのみを廃
棄する事が出来、コンピュータシステムの効率を向上さ
せることが出来る。

【図面の簡単な説明】

【図１】本発明に係るコンピュータシステムへの不正侵
入の検知と防止方法を示す第一の実施例である。

【図２】本発明に係るコンピュータシステムへの不正侵
入の検知と防止方法を示す第二の実施例である。

【図３】本発明に係るコンピュータシステムへの不正侵
入の検知と防止方法を示す第三の実施例である。

【図４】本発明に係るコンピュータシステムへの不正侵
入の検知と防止方法を示す第四の実施例を示すフローチ
ャートである。

【図５】本発明に係るコンピュータシステムへの不正侵
入の検知と防止方法を示す第五の実施例である。

【図６】従来のインターネットを介したコンピュータシ
ステムの構成例である。

【図７】従来の三つの不正侵入検知の具体的方策につい
て、長短所を表に記述したものである。

【図８】インターネットを介したコンピュータシステム
において、ＤＯＳ攻撃に対応させた従来のシステム例で
ある。

【符号の説明】

１・・インターネット、 ２ａ、２ｂ、２ｃ
・・ＬＡＮ、３・・ルータ、 ４・
・不正侵入検知装置、５ａ、５ｂ、５ｃ、５ｄ・・端末
装置、６ａ、６ｂ、６ｃ・・ＬＡＮ、７ａ、７ｂ、７
ｃ、７ｄ・・端末装置、８・・ＬＡＮ、
９・・ＤＯＳ攻撃検知装置、１０・・ＩＰパケッ
ト分析手段、 １１・・ＩＰパケット処理手段、１２
・・不正侵入検知代理サーバ、 １３ａ、１３ｂ、１３
ｃ・・ＬＡＮ、１４・・ＬＡＮ、１５ａ、１５ｂ、１５
ｃ、１５ｄ・・端末装置、１６・・ＬＡＮ、
１７・・不正侵入検知装置、１８・・不正侵入
の検知手段、 １９・・不正侵入の検知手段、２０
・・不正侵入の検知手段、 ２１・・ＬＡＮ、２２
・・ＤＯＳ攻撃検知装置、 ２３・・ＩＰパケット
分析手段、２４・・ＩＰパケット通過処理手段、２５・
・ＩＰパケット廃棄処理手段、２６・・ＩＰパケット処
理手段

フロントページの続き Ｆターム(参考） 5B085 AC11 AC14 AE00 BA07 BG07 5B089 GA11 GA31 GB02 HA06 HA10 KA17 KB13 KC47 KC51 KC52 KG10 5K033 AA08 DB18 DB20

Claims (7)

【特許請求の範囲】
1. 【請求項１】インターネットに複数のＬＡＮを接続して
   サービスの提供を受けるコンピュータシステムにおい
   て、 前記インターネット側に不正侵入検知代理サーバを設置
   しており、ＬＡＮに接続した端末装置へのアクセスは、
   全て前記不正侵入検知代理サーバを介しておこなったこ
   とを特徴とするコンピュータシステムへの不正侵入の検
   知と防止方法。
2. 【請求項２】インターネットにＬＡＮを接続してサービ
   スの提供を受けるコンピュータシステムにおいて、 前記ＬＡＮにはルータと不正侵入検知用のプログラムを
   搭載した複数の端末装置を接続しており、 各端末装置は通常行われる不正侵入の手順に関する情報
   を記憶しておく親端末装置と、プロトコルやサービス別
   に不正侵入方法を夫々記憶しておく子端末装置とに機能
   分別し、 アクセス時に先ず親端末装置により不正侵入検知を行う
   ステップと、 親端末装置が不正侵入検知の際は、ネットワークから端
   末装置の遮断やパケット廃棄を行うステップと、 親端末装置が不正侵入不検知の際は、各子端末装置にお
   いて機能別に順次不正侵入検知を行うステップと、 各子端末装置が不正侵入検知の際は、ネットワークから
   端末装置の遮断やパケット廃棄を行うステップと、 各子端末装置が不正侵入不検知の際は、通常のアクセス
   を行うステップとを含むことを特徴とするコンピュータ
   システムへの不正侵入の検知と防止方法。
3. 【請求項３】インターネットにＬＡＮを接続してサービ
   スの提供を受けるコンピュータシステムにおいて、 前記ＬＡＮにはルータと不正侵入検知用のプログラムを
   搭載した複数の端末装置を接続しており、 各端末装置には自端末装置への不正侵入に際して用いら
   れた手順や独自の収集により獲得した情報を記憶してお
   き、任意の端末装置にアクセスが行われた際は、端末装
   置は自己の情報と比較を行ない、不正侵入を検知するス
   テップと、 端末装置が不正侵入検知の際は、ネットワークから端末
   装置の遮断やパケット廃棄を行うステップと、 端末装置が不検知の際は、他の端末装置へ問い合わせて
   順次不正侵入検知を行うステップと、 他の端末装置が不正侵入検知の際は、ネットワークから
   端末装置の遮断やパケット廃棄を行うステップと、 他の端末装置が不正侵入不検知の際は、通常のアクセス
   を行うステップとを含むことを特徴とするコンピュータ
   システムへの不正侵入の検知と防止方法。
4. 【請求項４】インターネットにＬＡＮを接続してサービ
   スの提供を受けるコンピュータシステムにおいて、 前記ＬＡＮにはルータと不正侵入検知装置と複数の端末
   装置を接続しており、 前記不正侵入検知装置は、第一のステップとしてプロト
   コル違反に基づく不正侵入の検知を行うステップと、 第二のステップとして、不正侵入のためのコマンドに基
   づく不正侵入の検知を行うステップと、 第三のステップとして、ログファイルに基づく不正侵入
   の事実の検知を行うステップとを有しており、前記三つ
   のステップを第一のステップから第三のステップへ順次
   実行することを特徴とするコンピュータシステムへの不
   正侵入の検知と防止方法。
5. 【請求項５】前記請求項１記載の不正侵入検知代理サー
   バは、第一のステップとしてプロトコル違反に基づく不
   正侵入の検知を行うステップと、 第二のステップとして、不正侵入のためのコマンドに基
   づく不正侵入の検知を行うステップと、第三のステップ
   として、ログファイルに基づく不正侵入の事実の検知を
   行うステップとを有しており、前記三つのステップを第
   一のステップから第三のステップへ順次実行することを
   特徴とする請求項１記載のコンピュータシステムへの不
   正侵入の検知と防止方法。
6. 【請求項６】インターネットにＬＡＮを接続してサービ
   スの提供を受けるコンピュータシステムにおいて、 前記ＬＡＮにはルータと不正侵入検知装置と複数の端末
   装置を接続しており、 前記不正侵入検知装置は、アクセス時にポートスキャン
   を検知するステップと、 ポートスキャナに返送されるパケットデータに不正侵入
   に対する警告及び反撃のためのプログラムを組み込むス
   テップと、 前記パケットデータをポートスキャナへ返送するステッ
   プとを含むことを特徴とするコンピュータシステムへの
   不正侵入の検知と防止方法。
7. 【請求項７】インターネットにＬＡＮを接続してサービ
   スの提供を受けるコンピュータシステムにおいて、 前記ＬＡＮにはルータとＤＯＳ攻撃検知装置と複数の端
   末装置を接続しており、 前記ＤＯＳ攻撃検知装置は、同一、又は複数からなる特
   定のソースアドレスから特定のデスティネーションアド
   レスに対して、ＩＰパケットが一定時間内に多数送りつ
   けられていないかを判断するステップと、 ＤＯＳ攻撃が行われていると判断した場合は、そこから
   送りつけられるＩＰパケットのみを廃棄するステップ
   と、 それ以外のＩＰパケットは、通常どおり通過させるステ
   ップと、 ＤＯＳ攻撃が行われていないと判断した場合は、通常ど
   おり通過させるステップとを含むことを特徴とするコン
   ピュータシステムへの不正侵入の検知と防止方法。