JP2003309607A - アンチプロファイリング装置およびアンチプロファイリングプログラム - Google Patents

Abstract

(57)【要約】 【課題】 受信パケットの正当性を判定し、提供する情
報を制御して不正なアクセスを目的とした情報収集に対
して情報の漏洩を防ぐ、あるいは偽の情報を提供するア
ンチプロファイリング装置およびアンチプロファイリン
グプログラムを提供する。 【解決手段】 対応方法判定処理部１５は、パケット取
得処理部１４を介してパケットを受信し、判定ルール１
１に基づき受信パケットの処理方式を定める。次に、ブ
ラックリスト１２と処理パケット履歴１３を照合して受
信されたパケットの正当性判定を行う。判定結果に基づ
き、内部ネットワークから転送された正規の応答をパケ
ット受信処理部１７を介して返す、最小限情報生成処理
部２０により制限された情報を生成して応答する、擬似
返答生成処理部１８により偽情報を生成して発信する、
あるいは応答しない、これらのいずれかを選択して処理
する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、コンピュータネ
ットワークにおける不正侵入を目的とした情報収集に対
して対抗処理を行うアンチプロファイリング装置および
アンチプロファイリングプログラムに関する。

【０００２】

【従来の技術】近年、インターネットによるネットワー
クサービスが拡大し、多様なサービスを広く提供できる
ようになった。ネットワークサービスにより、ＨＴＴＰ
（Hyper Text Transfer Protocol）やＦＴＰ（File Tra
nsfer Protocol）によるＷｅｂページやファイル、ＳＭ
ＴＰ（Simple Mail Transfer Protocol） による電子メ
ールなど多様なリソースを広くユーザに提供できる反
面、ネットワークを介してユーザに情報を提供するサー
バは、常に不正侵入や攻撃によって被害を受ける危険に
さらされている。不正侵入は、事前に必要な情報を収集
する過程を経て行われることが多い。この情報収集によ
って侵入対象のサーバの設定ミスやソフトウェアの脆弱
な個所の情報を取得した上で不正侵入が試みられる。イ
ンターネット上には、多数の情報収集のためのツールが
公開されており、このようなツール、例えば、ポートス
キャンツールを使えば、誰でも、コンピュータやルータ
などネットワークに接続された機器の情報やサービスを
提供しているアプリケーションの名称やバージョンなど
の情報を簡単に知ることができ、不正侵入の手がかりと
することができる。

【０００３】これらの情報により情報収集の対象とした
機器の脆弱個所（弱点）がわかり、サービス妨害、不正
侵入などが可能になる。ポートスキャンツールの中でも
機能の多いｎｍａｐ（Network Mapper）を使うと、ポー
トスキャンのほかにネットワークに接続された機器のＴ
ＣＰ／ＩＰ（Transmission Control Protocol/Internet
Protocol） スタックの実装の特徴（フィンガープリン
トと呼んでいる）を取得して、ＯＳ（オペレーティング
システム）やアプリケーションのバージョンなどの外部
に公開してない情報までも取得されてしまう。また、Ｗ
ｅｂやＦＴＰなど、外部の不特定多数に向けて必要な情
報を提供し、接続を許可しなければならないアプリケー
ションは、外部からの全ての接続要求に対して、正しく
返答している。これは、通常の通信に対しても、悪意の
ある通信に対してもそのアプリケーションの情報を公開
することになる。

【０００４】従来、上述のような情報収集に対抗する手
段として、ＷｅｂサーバなどＴＣＰサービスの場合、コ
ネクション確立後にアプリケーションが提供する情報で
あるバナー返答を無効にしたり、バナー情報を制限した
りあるいは偽りの情報を返したりする方法が取られてい
る。また、普段使用しないアプリケーションを設定から
削除して通信を行わせないようにしたり、ネットワーク
に接続された機器にパケットが届く前にファイアウォー
ルで遮断するなどにより、情報の流出を防いでいる。

【０００５】

【発明が解決しようとする課題】しかしながら、上述の
ように、従来の情報流出を防ぐ方法では、高度な情報収
集機能を持つツールを用いると、容易にこれを回避して
目的の情報を収集することができるため、十分な効果を
上げることができないという問題があった。また、不特
定多数に向けて情報を提供している場合、攻撃者によっ
て取得された情報は、不正侵入の手がかりとして利用さ
れる恐れがある。さらに、ファイアウォールで通信を許
可しないネットワークに接続された機器への通信を遮断
して防御する場合、これは、一方で外部と通信できるコ
ンピュータ、アプリケーションを明らかにしているた
め、攻撃者に標的を絞り込むときに有利な情報を与えて
しまうことになる。また、このような情報からファイア
ウォール自身の設定不備や脆弱な部分が調べられて侵入
されるという問題があった。

【０００６】この発明は、上記の点に鑑みてなされたも
ので、その目的は、受信されたパケットを解析してその
通信の正当性を判定し、信頼度に応じて提供する情報を
制御して不正侵入や攻撃の手がかりとなる情報を提供し
ない、あるいは偽の情報を提供して、攻撃を防ぐだけで
なく、攻撃者を混乱させるアンチプロファイリング装置
およびアンチプロファイリングプログラムを提供するこ
とにある。

【０００７】

【課題を解決するための手段】上記の課題を解決するた
めに、請求項１に記載の発明は、あるネットワークに接
続された機器に向けた通信（受信パケット）に対する対
応方法を、通信の種類や内容と返答する側（管理側）の
管理方針を元に策定した安全性基準に基づいて設定した
判定ルールより、受信パケットに対する対応方法を決定
する対応方法決定手段と、受信パケットが正当な通信か
否かの度合いを判定して信頼度を求め、該信頼度に基づ
いて前記受信パケットに対する応答方法を定める正当性
判定手段と、前記対応方法決定手段と前記正当性判定手
段に基づき、応答する最小限の情報を生成して提供する
最小限情報返答手段と、偽情報を生成して提供する疑似
情報応答手段と、正規の情報を返答する無変更情報返答
手段と、まったく応答しない無応答手段とを具備するこ
とを特徴とするアンチプロファイリング装置である。

【０００８】請求項２に記載の発明は、請求項１に記載
のアンチプロファイリング装置において、前記対応方法
決定手段にて使用される判定ルールは、最初に、即応す
るか、より安全を重視して対応するかなどの対応方針を
選択し、次に、正規の情報を返答する方式、最小限の情
報を提供する方式、情報を提供せず応答しない方式、偽
情報を提供する方式などの対応方式を選択することを特
徴とする。

【０００９】請求項３に記載の発明は、請求項１に記載
のアンチプロファイリング装置において、前記正当性判
定手段は、通信の正当性を不正アクセスの通信元のアド
レス、ポート番号などを記述したブラックリストに基づ
いて通信信頼度を求め、正常な通信、正常か否か明らか
でない通信、不正な通信に分類することを特徴とする。

【００１０】請求項４に記載の発明は、請求項１に記載
のアンチプロファイリング装置において、前記正当性判
定手段は、前記対応方法決定手段において選択された対
応方法と前記通信信頼度による分類の組み合わせに応じ
て、正規の通信と判断して正規の情報を返答する、最小
限の情報を提供する、応答しない、偽情報を提供する、
などの処理を選択することを特徴とする。

【００１１】請求項５に記載の発明は、あるネットワー
クに接続された機器に向けた通信（受信パケット）に対
する対応方法を、通信の種類や内容と返答する側（管理
者側）の管理方針を元に策定した安全性基準に基づいて
設定した判定ルールに基づいて、受信パケットに対する
対応方法を判定するステップと、受信パケットの正当な
通信の度合いを判定して信頼度を求め、該信頼度に基づ
いて受信パケットに対する応答方法を定めるステップ
と、２つの該ステップによる決定に基づき、正規の情報
を返答する、応答する最小限の情報を生成して提供す
る、応答しない、あるいは偽情報を生成して提供するな
どの処理を行うステップとをコンピュータに実行させる
ためのアンチプロファイリングプログラムである。

【００１２】

【発明の実施の形態】以下、本発明の実施の形態につい
て図面を参照して説明する。図１は、同実施形態による
アンチプロファイリング装置１０の構成を示すブロック
図である。同図において、１４は、外部ネットワーク１
００を介して内部ネットワーク７０に送られてきたパケ
ットを受信するパケット取得処理部である。１１は、通
信の種類毎にパケットの処理方式を設定した判定ルール
であり、１２は、通信を許可しない通信元のアドレス、
通信元のポート番号などを記述したブラックリストであ
る。ブラックリスト１２は、記述する情報の取得期間に
より短期、中期、長期の３種類作成される。１３は、ど
のパケットを処理しているか、少し前にどのようなパケ
ットを処理したかなどのパケットの取得・判定の履歴を
記述した処理パケット履歴である。

【００１３】１５は、入力された受信パケットの種類に
応じて、判定ルール１１に基づき処理方式を定める対応
方法判定処理部である。また、対応方法判定処理部１５
は、各処理方式に応じて、ブラックリスト１２と処理パ
ケット履歴１３を照合して受信されたパケットの正当性
判定を行い通信信頼度を求める。そして、求めた通信信
頼度に応じて受信パケットに対する応答方法を定める。
応答方法は、次の４つの方法から選択される。最小限情
報提供：通信要求などに対する応答内容から特徴的な情
報、冗長な情報を削除して送る、無応答：通信要求など
に対して、全く応答しない、処理なし：アンチプロファ
イリング処理をせずに通常どおりの応答を行う、偽情報
提供：通信要求などに対する応答内容に、ランダム、正
しい応答とは異なる形、あるいは有得ない異常な形の特
徴的な情報、冗長な情報を付加して応答する。

【００１４】１６は、正しい通信と判断された受信パケ
ットを内部ネットワーク７０に転送するパケット転送処
理部である。１７は、内部ネットワーク７０から送られ
てきたパケットを受信するパケット受信処理部であり、
１９は、入力されたパケットの送信処理を行い、外部ネ
ットワーク１００へ送信するパケット返答処理部であ
る。１８は、対応方法判定処理部１５の指示に基づいて
偽情報を生成し、パケット返答処理部１９に出力する擬
似返答生成処理部である。２０は、サービス情報取得処
理部２１と、パケット送受信処理部２２と、サービス情
報フィルタ処理部２３と、フィルタルール２４とを備え
た最小限情報生成処理部である。

【００１５】サービス情報取得処理部２１は、対応方法
判定処理部１５の指示に基づいて、パケット送受信処理
部２２を介して、内部ネットワーク７０に接続されたパ
ケットの送信先ホストから応答するサービス情報を取得
する。フィルタルール２４は、外部に提供できない情報
と提供可能な情報を記述し、出力される情報を制限する
ルールである。サービス情報フィルタ処理部２３は、取
得されたサービス情報をフィルタルール２４に基づいて
フィルタリングし、限定されたサービス情報を生成す
る。

【００１６】図２および図３は、アンチプロファイリン
グ装置１０の設置例を示す図である。図２は、ネットワ
ークシステムにおけるアンチプロファイリング装置１０
の配置例を示す。アンチプロファイリング装置１０は、
内部ネットワークのファイアウォール５０の前に、パケ
ットがアプリケーションに届くより前の位置に設置さ
れ、インターネット１００を介して受信された全てのパ
ケットに対して統括して処理を行う。図３に示す配置例
では、アンチプロファイリング装置１０は、端末６０に
設置され、端末６０内にあるアプリケーション向けに届
いた通信全てに対して処理を行う。図２および図３に示
すアンチプロファイリング装置１０の処理方式に違いは
ない。

【００１７】以下、アンチプロファイリング装置１０の
動作を説明する。図４は、アンチプロファイリング装置
１０の処理フローを示す図である。図１および図４を参
照して説明する。先ず、パケット取得処理部１４は、転
送されてきたパケットを受信して対応方法判定処理部１
５に出力する。対応方法判定処理部１５は、入力された
パケットを解析して、プロトコルが異常かどうか判断す
る（ステップＳ１１０）。プロトコルに異常があり判断
結果がＹＥＳの場合、ステップＳ１１１に進み応答を返
さずステップＳ１１２に進む。応答履歴を保存する場合
（ステップＳ１１２：ＹＥＳ）、応答方式履歴２５に記
録される。一方、プロトコルに異常がなくステップＳ１
１０においてＮＯの場合、ステップＳ１２０で発信元の
ＩＰアドレスをブラックリスト１２−１と照合して調べ
る。許可されていないＩＰアドレスからの通信の場合、
ステップＳ１１１に進み、さらに、応答履歴を保存する
場合（ステップＳ１１２：ＹＥＳ）、応答方式履歴２５
に記録される。

【００１８】ステップＳ１２０において許可されている
ＩＰアドレスと判断された場合（ステップＳ１２０：Ｎ
Ｏ）、ステップＳ１３０に進み応答方法について判定済
みか否か判断される。既に、受信したパケットと関係が
あり応答方法が判定されており、判断結果がＹＥＳのと
き、ステップＳ１３１において応答方式履歴２５を参照
して判定済みの応答方法による処理を行う。ステップＳ
１３０でＮＯの場合、ステップＳ１４０に進み各ポート
に設定された判定ルールに基づき、パケットの接続要求
に応じてランダム処理を行うか、または定型処理を行う
か判断される。

【００１９】ステップＳ１４０において、ランダム処理
に判断されると、ステップＳ１６１〜Ｓ１６４、Ｓ１８
１〜Ｓ１８４のいずれかの処理がランダムに選択され
る。ここで、ステップＳ１６１が選択されたものとして
説明する。ステップＳ１６１は、安全を重視した情報無
提供方式であり、次に、正当性判定方式Ａによって通信
信頼度が求められる。図５（Ａ）に正当性判定方式Ａの
処理の流れを示す。先ず、受信パケットのアドレス情報
がブラックリストに載っているか否か、長期ブラックリ
スト１２−４と照合して判断される（ステップＳ２０
１）。判断結果がＹＥＳの場合、不正接続Ａ４と判定さ
れる。一方、ブラックリストに載っていない場合、ステ
ップＳ２０２に進み、処理パケット履歴１３を参照して
関連する通信が記述されているか否か判断する。関連す
る通信が記述されてなくＮＯの場合、正常接続Ａ１と判
断される。ステップＳ２０２の判断結果、ＹＥＳの場
合、さらに、中期ブラックリストを照合して疑わしい接
続要求か否か判断して、正常接続Ａ３、または疑わしい
接続Ａ２に判定する。

【００２０】正当性判定方式Ａによって、正常接続Ａ
１、Ａ３と判定された場合、ステップＳ１７１に進み、
最小限情報生成処理部２０に指示が出力される。また、
ステップＳ１１２において応答履歴を保存するか否か判
断され、保存する場合は、応答方式履歴２５に記録され
る。最小限情報生成処理部２０は対応方法判定処理部１
５からの指示を受けて接続先のホストから受信パケット
に対する応答を取得し、フィルタルール２４に基づき応
答する情報をフィルタリングして、最小限情報を生成す
る。パケット返答処理部１９は、この最小限情報をネッ
トワーク１００に発信する。

【００２１】一方、ステップＳ１４０において、定型処
理に判断されると、ステップＳ１５０で、さらに、即応
型処理を行うか、慎重型処理を行うか決定される。即応
型処理の場合、安全性を重視するか、サービス性を重視
するかなどにより、ステップＳ１６１〜１６４のいずれ
かの方式が選択される。ステップＳ１６１は、最も安全
を重視した情報無提供方式であり、ステップＳ１６２
は、サービスを重視した正規サービス重視方式である。
ステップＳ１６３は、不正接続に対抗する偽情報提供方
式であり、ステップＳ１６４は、標準としての最小限情
報提供方式である。ステップＳ１６１〜１６４に続くス
テップＳ１６５〜１６８では、応答に顕著な遅延を発生
させないように、判断アルゴリズムの簡潔な上述の正当
性判定方式Ａが用いられる。

【００２２】ここで、ステップＳ１６２の正規サービス
重視方式が選択されたものとして説明する。ステップＳ
１６２が選択されると、正当性判定方式Ａにより、通信
信頼度が判定される。判定の結果、正常接続Ａ１、Ａ３
の場合、ステップＳ１７０に進み、アンチプロファイリ
ング処理なしに、応答がパケット受信処理部１７からパ
ケット返送処理部１９を介して送信される。正当性判定
方式Ａにより、疑わしい接続Ａ２と判定された場合、ス
テップＳ１７１に進む。ステップＳ１７１において、最
小限情報の生成指示が最小限情報生成処理部２０に出さ
れ、生成された最小限情報は、パケット返答処理部１９
を介して送信される。また、不正接続Ａ４と判定された
場合、ステップＳ１６９に進み、応答は返されない。

【００２３】次に、ステップＳ１５０において、慎重型
処理（ステップＳ１８０）が選択された場合について説
明する。慎重型処理の場合、安全性を重視するか、サー
ビス性を重視するかなどにより、ステップＳ１８１〜１
８４のいずれかの方式が選択される。ステップＳ１８１
は、最小限情報提供方式であり、ステップＳ１８２は、
正規サービス重視方式である。ステップＳ１８３は、偽
情報提供方式であり、ステップＳ１８４は、安全を重視
した情報提供慎重方式である。ここで、ステップＳ１８
１の最小限情報提供方式が選択されたものとして説明す
る。ステップＳ１８１〜１８４に続くステップＳ１８５
〜１８８では、応答速度よりも安全性を重視した判断ア
ルゴリズムの正当性判定方式Ｂが用いられる。正当性判
定方式Ｂの処理の流れを図５（Ｂ）に示す。ステップＳ
１８１に続き、ステップＳ１８５において正当性判定方
式Ｂにより通信信頼度が求められる。

【００２４】正当性判定方式Ｂは、先ず、受信パケット
のアドレス情報を長期ブラックリスト１２−４と照合し
て、ブラックリストに載っているか否かを判断する（ス
テップＳ３０１）。判断結果がＹＥＳの場合、不正接続
Ｂ６と判断される。長期ブラックリスト１２−４に載っ
ていない場合（ステップＳ３０１：ＮＯ）、ステップＳ
３０２で処理パケット履歴１３を参照して関連通信の有
無を調べる。ＹＥＳの場合は、ステップＳ３０３に進
み、短期ブラックリスト１２−２と照合して疑わしい接
続Ｂ５か、あるいは正常接続Ｂ４かを判定する。

【００２５】ステップＳ３０２でＮＯの場合、１００〜
１０００ｍｓ位判断を保留した後、受信パケットを処理
パケット履歴１３と照合する（ステップＳ３０５）。照
合結果がＹＥＳの場合、ステップＳ３０６に進み、短期
ブラックリスト１２−２と照合して疑わしい接続Ｂ３
か、あるいは正常接続Ｂ２かを判定する。ステップＳ３
０５においてＮＯの場合、正常接続Ｂ１と判定する。ス
テップＳ１８５の正当性判定により正常接続Ｂ１、Ｂ
２、Ｂ４と判定された場合、ステップＳ１９１に進み、
最小限情報生成処理部２０に最小限情報生成の指示が出
力され、フィルタルール２４によって制限された情報が
送出される。正当性判定により疑わしい接続Ｂ３、Ｂ５
または不正接続Ｂ６と判定された場合、ステップＳ１８
９に進み、応答は返されない。

【００２６】図６は、上述の対応方法判定処理部１５に
おける処理方法判断、正当性判定処理および処理内容の
組み合わせの一例を示す図である。同図における、処理
方法判断１は、ステップ１４０の処理であり、処理方法
判断２は、ステップＳ１５０の処理である。処理方法判
断２の即応型処理に続く処理方法判断３（ステップＳ１
６０）では、情報無提供方式（ステップＳ１６１）、正
規サービス重視方式（ステップＳ１６２）、偽情報提供
方式（ステップＳ１６３）、最小限情報提供方式（Ｓ１
６４）のいずれかの方式が選択される。

【００２７】慎重型処理に対する処理方法判断３（ステ
ップＳ１８０）では、安全を重視した情報提供慎重方式
（ステップＳ１８４）、正規サービス重視方式（ステッ
プＳ１８２）、偽情報提供方式（ステップＳ１８３）、
最小限情報提供方式（ステップＳ１８１）のいずれかの
方式が選択される。正当性判定処理方式Ａ，Ｂによる通
信信頼度判定結果は、正規（正常接続）、不明（疑わし
い接続）および不正（不正接続）に分類される。そし
て、この判定結果に応じて、最小限情報提供、無応答、
処理なし、偽情報提供のいずれかの応答処理が行われ
る。なお、判定ルール１１に設定される処理方法判断、
正当性判定処理、処理内容の構成は、図６に示す構成に
限られるものではなく、ネットワーク管理者の判断によ
り、最適と考えられる構成を設定することができる。

【００２８】次に、アンチプロファイリング装置１０に
よる不正接続に対する具体的な処理例を図７〜１２に示
す。図７は、攻撃者１１０がスキャニングツールによっ
てポートスキャンを行った状態を示す。ユーザ１２０に
対しては、正しい返答がなされるが、攻撃者１１０のス
キャニングに対しては、偽情報を返すなどして情報収集
を混乱させる。図８に示すように、攻撃者１１０は、Ｄ
ＮＳなどを使用せずに直接ＩＰアドレスを生成して、網
羅的にスキャニングを試みる方法が一般的である。例え
ば、ｎｍａｐなどのスキャニングツールを用いて、大量
のＩＰアドレス、ポートに対してスキャニングをおこな
い、人手をかけずに攻撃対象の弱点の情報を得ようとす
る。アンチプロファイリング装置１０は、このようなス
キャニング対象の全てのＩＰアドレス、ポート番号の応
答として偽情報を返すことによって対抗する。

【００２９】図９は、存在しないＩＰアドレス（アドレ
スＢ）、あるいは使用していないポートに対して通信が
発生した場合であり、明らかに不正アクセスのための事
前の情報収集が目的と解釈できるため、アンチプロファ
イリング装置１０から偽情報を発信する。図１０は、複
数のＩＰアドレスやポート番号に対して、短時間に連続
して通信が発生している場合であり、機械的にＩＰアド
レスを生成して、通信を試みている分かりやすい例であ
る。この場合は、存在しないＩＰアドレスやポートに対
する通信だけでなく、存在するＩＰアドレスやサービス
が行われているポート番号への通信もスキャンの一部で
あるため偽の情報を返す。

【００３０】図１１は、攻撃者１１０がスキャンツール
によってフィンガープリントを収集しようとしている例
である。スキャンツールから４つのスキャンパターンを
送り、フィンガープリント（Fingerprint）判別表に示
すように、その応答の組み合わせによってＯＳを判別す
る。この場合、アンチプロファイリング装置１０からツ
ールが分析できないパターンになるような偽情報を返
し、スキャンツールを混乱、停止させる。図１２は、ア
ンチプロファイリング装置１０をファイアウォール５０
とネットワーク１００の間に設置する場合である。スキ
ャンに対してアンチプロファイリング装置１０から偽情
報を返すか、あるいは応答しないことによってファイア
ウォール５０の設定を隠蔽して情報を与えないようにす
る。

【００３１】

【発明の効果】以上説明したように、本発明によれば、
受信パケットを解析してその通信の信頼度に応じて提供
する情報を制御するので、不正なアクセスに対して攻撃
の手がかりとなる情報の漏洩を防ぐことができる。ま
た、悪意で行った情報収集に対して不正確な情報を返す
ことによって情報収集を妨げ、スキャニングツールの判
断を混乱させることにより、情報収集の次の段階である
攻撃を抑制し、十分な防御を行うまで遅延させたり、あ
るいは回避することができるため管理下のネットワーク
のセキュリティを大幅に高めることができるという効果
が得られる。また、内部ネットワークへのアクセスに対
して一箇所で統括的に対処できるため、アプリケーショ
ンや端末毎に設定を管理する必要がなく、セキュリティ
システムの運用・管理コストを大幅に削減できるという
効果が得られる。

【図面の簡単な説明】

【図１】 本発明の一実施の形態によるアンチプロフ
ァイリング装置のブロック図である。

【図２】 同実施形態のアンチプロファイリング装置
をファイアウォールの前に設置した例を示す図である。

【図３】 同実施形態のアンチプロファイリング装置
を端末に設置した例を示す図である。

【図４】 アンチプロファイリング装置の処理フロー
を示す図である。

【図５】 正当性判定方式Ａ、Ｂのフローチャートで
ある。

【図６】 対応方法判定処理部の処理の組み合わせを
示す図である。

【図７】 本実施形態のアンチプロファイリング装置
の処理の例を示す図である。

【図８】 本実施形態のアンチプロファイリング装置
のポートスキャンに対する処理を示す図である。

【図９】 本実施形態のアンチプロファイリング装置
の処理の例を示す図である。

【図１０】 本実施形態のアンチプロファイリング装置
のポートスキャンに対する処理を示す図である。

【図１１】 本実施形態のアンチプロファイリング装置
のフインガープリント収集に対する処理を示す図であ
る。

【図１２】 本実施形態のアンチプロファイリング装置
のファイアウォール隠蔽処理を示す図である。

【符号の説明】

１０ アンチプロファイリング装置 １１ 判定ルール １２、１２−１〜４ ブラックリスト １３ 処理パケット履歴 １４ パケット取得処理部 １５ 対応方法判定処理部 １６ パケット転送処理部 １７ パケット受信処理部 １８ 擬似返答生成処理部 １９ パケット返答処理部 ２０ 最小限情報生成処理部 ２１ サービス情報取得処理部 ２２ パケット送受信処理部 ２３ サービス情報フィルタ処理部 ２４ フィルタルール ２５ 応答方式履歴

───────────────────────────────────────────────────── フロントページの続き (72)発明者 桑田 喜隆 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 (72)発明者 田野島 慎一郎 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 (72)発明者 キニ グレン マンスフィールド 宮城県仙台市青葉区南吉成六丁目６番地の ３ 株式会社サイバー・ソリューションズ 内 Ｆターム(参考） 5K030 GA15 HA08 HB19 HC01 HC14 HD03 HD06

Claims (5)

【特許請求の範囲】
1. 【請求項１】 ネットワークに接続された機器に向けた
   通信（受信パケット）に対する対応方法を、通信の種類
   や内容と返答する側（管理側）の管理方針を元に策定し
   た安全性基準に基づいて設定した判定ルールより、受信
   パケットに対する対応方法を決定する対応方法決定手段
   と、 受信パケットが正当な通信か否かの度合いを判定して信
   頼度を求め、該信頼度に基づいて前記受信パケットに対
   する応答方法を定める正当性判定手段と、 前記対応方法決定手段と前記正当性判定手段に基づき、
   応答する最小限の情報を生成して提供する最小限情報返
   答手段と、 偽情報を生成して提供する疑似情報応答手段と、 正規の情報を返答する無変更情報返答手段と、 まったく応答しない無応答手段と、 を具備することを特徴とするアンチプロファイリング装
   置。
2. 【請求項２】 前記対応方法決定手段にて使用される判
   定ルールは、最初に、即応するか、より安全を重視して
   対応するかなどの対応方針を選択し、次に、正規の情報
   を返答する方式、最小限の情報を提供する方式、情報を
   提供せず応答しない方式、偽情報を提供する方式などの
   対応方式を選択することを特徴とする請求項１に記載の
   アンチプロファイリング装置。
3. 【請求項３】 前記正当性判定手段は、通信の正当性を
   不正アクセスの通信元のアドレス、ポート番号などを記
   述したブラックリストに基づいて通信信頼度を求め、正
   常な通信、正常か否か明らかでない通信、不正な通信に
   分類することを特徴とする請求項１に記載のアンチプロ
   ファイリング装置。
4. 【請求項４】 前記正当性判定手段は、前記対応方法決
   定手段において選択された対応方法と前記通信信頼度に
   よる分類の組み合わせに応じて、正規の通信と判断して
   正規の情報を返答する、最小限の情報を提供する、応答
   しない、偽情報を提供する、などの処理を選択すること
   を特徴とする請求項１に記載のアンチプロファイリング
   装置。
5. 【請求項５】 あるネットワークに接続された機器に向
   けた通信（受信パケット）に対する対応方法を、通信の
   種類や内容と返答する側（管理者側）の管理方針を元に
   策定した安全性基準に基づいて設定した判定ルールに基
   づいて、受信パケットに対する対応方法を判定するステ
   ップと、 受信パケットの正当な通信の度合いを判定して信頼度を
   求め、該信頼度に基づいて受信パケットに対する応答方
   法を定めるステップと、 ２つの該ステップによる決定に基づき、正規の情報を返
   答する、応答する最小限の情報を生成して提供する、応
   答しない、あるいは偽情報を生成して提供するなどの処
   理を行うステップと、 をコンピュータに実行させるためのアンチプロファイリ
   ングプログラム。