JP2004078602A

JP2004078602A - データ処理装置

Info

Publication number: JP2004078602A
Application number: JP2002238416A
Authority: JP
Inventors: Tetsuya Kageyama; 蔭山　哲也
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2002-08-19
Filing date: 2002-08-19
Publication date: 2004-03-11

Abstract

【課題】インターネット網等で不正なアクセスを行う者に気付かれることなく、不正アクセスによる通信を事実上制限するデータ処理装置を得ること。
【解決手段】インターネット網４０１で不正アクセス送信端末４０４が不正アクセス被害端末４０５に対して第１〜第Ｍのデータ処理装置４０３_１〜４０３_Ｍのいずれかを介して不正アクセスを行うと、そのデータ処理装置４０３内部の図示しない不正アクセス検知手段がこれを検知して同じく図示しない通信速度可変手段で通信速度を低下させ、不正アクセスの単位時間当たりの量を軽減させて不正アクセス被害端末４０５の被害の軽減を図る。不正アクセス送信端末４０４は通信そのものを遮断されないので、より攻撃的にはならず被害を最小限とすることができる。不正アクセス情報提供サーバ４０２と連携して不正アクセスを効果的に減少させることも可能である。
【選択図】　　　　図４

Description

【０００１】
【発明の属する技術分野】
本発明はインターネット等の各種ネットワークでデータの転送を行うデータ処理装置に係わり、特に特定の装置に不正アクセスを行うデータがネットワーク上に流された場合に、これによる受信側の装置の被害を最小限に抑えることのできるデータ処理装置に関する。
【０００２】
【従来の技術】
インターネット等のネットワークを使用した通信が活発に行われている。これと共に、ネットワーク上の特定のサーバや通信端末に不正にアクセスする者が頻繁に登場するようになっている。ここで不正アクセスとは、通信システムを利用する者が、その者に与えられた権限によって許された行為以外の行為をネットワークを介して意図的に行うこと、あるいは悪意を持った第三者が、組織を攻撃するために不正な通信をＷＷＷ（Ｗｏｒｌｄ　Ｗｉｄｅ　Ｗｅｂ）サーバ等の通信装置に対して行うことをいう。
【０００３】
図５は、Ｄｏｓ（Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ：拒否攻撃）アタックと呼ばれる不正アクセスの一例を示したものである。特定のホームページ（ウェブサイト）の機能をマヒさせる攻撃がそれである。このような攻撃は、特定のウェブサーバに対して、特定のホームページのアドレスを示すＵＲＬ（Ｕｎｉｆｏｒｍ　Ｒｅｓｏｕｒｃｅ　Ｌｏｃａｔｏｒ）ならびにこれに関する命令や電子メール等のデータを大量に送りつけることで行われる。図では、攻撃者１０１が複数の踏み台とされるサーバ（以下、踏み台サーバという。）１０２_１、……１０２_Ｎを経由して、攻撃目標のサーバ（以下、標的サーバという。）１０３にＵＲＬ等のデータを送りつけている。
【０００４】
このように大量のＵＲＬ等のデータを標的サーバ１０３に送りつけると、標的サーバ１０３はそれぞれのデータに対する処理が遅れてしまい、たとえば要求されたウェブページのデータを要求先に送り返すといった対応ができなくなってしまう。Ｄｏｓアタックは、意図的にＵＲＬ等のデータを大量にウェブサーバに送ってこれをダウンさせたり、処理の遅延によって事実上他の者が利用できなくする行為である。すなわち、標的サーバ１０３に格納されたウェブページを閲覧したり、ホームページ上でショッピング等の取引を行ったり、あるいは標的サーバ１０３を用いた電子メールの通信ができなくなる等の大きな影響が発生してしまう。また、踏み台サーバ１０２_１、……１０２_Ｎとして攻撃に使用されたサーバは、結果的に標的サーバ１０３の営業を妨害した加害者としての立場になり、濡れ衣を着せられてしまうという問題を生じさせる。
【０００５】
そこで、ウェブサーバ等のデータ処理装置をこのような不正アクセスから防御するシステムが各種考案されている。たとえば不正アクセス検知システムでは、インターネットからの通信をチェックして、これが予め定められた不正アクセスの形式と合致しているかどうかの確認を行っている。そして、不正アクセスがあると判別した場合には、ウェブの管理者等にこれを通知するようにしている。また、このような不正アクセス検知システムの中には、管理者が不正アクセスへの対応を採るまでの間、それ自体の防御機能を用いて不正アクセスを防御するようにしたものも存在している。
【０００６】
図６は、従来提案された不正アクセス検知システムの一例を示したものである。この例は、米国アイエスエス社のリアルセキュア・ネットワークセンサを用いたものである。データ処理装置１２１は、入力装置１２２より出力装置１２３に送出するための中継データ１２４を受け取るようになっている。データ処理装置１２１内には、不正アクセス検知手段１２５と、通信遮断手段１２６が設けられている。不正アクセス検知手段１２５は中継データ１２４における通信内容をチェックして、不正アクセスの有無を判別する。そして、不正アクセスの通信があった場合には、その通信を行った送信元を特定すると同時に、該当する不正アクセスの及ぼす危険度を決定するようになっている。
【０００７】
一方、通信遮断手段１２６は入力手段１２２から中継データ１２４を受け取る。また、不正アクセス検知手段１２５から不正アクセスが行われた場合における不正アクセス通信の送信元を表わした不正アクセス情報１２８を受け取るようになっている。そして、不正アクセス通信の送信元に対応する中継データ１２４の中継を遮断する。通信遮断手段１２６は、中継データ１２４における不正アクセス通信と判別されたもの以外について通信を遮断せず、出力装置１２３に送出することになる。
【０００８】
一方、特開２０００−７６１９１号公報ではＷＷＷサーバに不正アクセスの予兆があった場合には、エンドユーザに対して警告文を掲示させると共にその事実がすでに記録されている場合はアクセスを遮断させるようにしている。
【０００９】
また、特開２０００−２６１４８３号公報では、外部ネットワークから企業内情報ネットワークへの不正アクセスを検出して、不正トラフィックを検出した場合にはアクセス元探知装置が偽装サーバに対して偽の応答をするようにしている。これにより、外部ネットワークから流入する不正パケットは偽装サーバに転送されるようになっている。
【００１０】
更に特開２０００２−７２３４号公報では、不正検出サーバが受信したパケットに含まれる情報を分析して不正な目的を有するパケットを検出するようにしている。そして、不正パケットを受信したサーバまたはおとりサーバは、不正パケットの送信先に対して偽情報を送信し、不正パケットの送信をおとりサーバに対して行わせる。この点で特開２０００−２６１４８３号公報と同じである。
【００１１】
【発明が解決しようとする課題】
ところで、図６に示した不正アクセス検知システムでは不正アクセスを検知すると通信遮断手段１２６がこのアクセスを遮断していた。特開２０００−７６１９１号公報の提案もこの点で同一である。これらの提案では、アクセスが遮断されるので、不正アクセス者がアクセスを遮断されたことを直ちに把握することができる。このため不正アクセス者は他の経路を通って同様の不正アクセスを試みる。図５に示した例を使用すると、最初は踏み台サーバ１０２_１を経由して標的サーバ１０３に不正にアクセスしていたとすると、他の踏み台サーバ１０２_Ｎを経由して同様のアクセスを試みることになる。したがって、標的サーバ１０３へ到達する経路が複数存在し得るネットワークでは、イタチゴッコとなってしまい、本質的な解決とならない。
【００１２】
また、このようにアクセスの遮断を行うと、正常な通信を誤って不正アクセスによるものであると判別したとき、その正常な通信までも誤って遮断してしまうという問題が発生する。不正アクセスをそれ以外のアクセスと完全に区別することは技術的に困難であり、このため不正アクセスと誤って判断すると本来必要な通信が行えなくなるという問題がある。
【００１３】
一方、特開２０００−２６１４８３号および特開２０００２−７２３４号公報では不正パケットの送信元に偽情報を送信し、送信元が偽装サーバまたはおとりサーバに送信を行うようにしている。これにより、送信元の不正アクセス者は送信自体を拒否されるわけではないのでアクセスを遮断されたことを把握するまでの時間を稼ぐことができる。しかしながら、図５に示したような中継サーバについて考えてみると、この中継サーバを偽装サーバまたはおとりサーバに置き換えることはできない。置き換えた段階で中継サーバとしての機能を果たすことができず、中継先のサーバにとっては経路を遮断されてしまうからである。したがって、正常な通信を誤って不正アクセスによるものであると判別したような場合には、必要なデータが送信先に送られなくなるといった問題が発生する。
【００１４】
そこで本発明の目的は、不正なアクセスを行う者に気付かれることなく、不正アクセスによる通信を事実上制限することのできるデータ処理装置を提供することにある。
【００１５】
【課題を解決するための手段】
請求項１記載の発明では、（イ）入力データが、特定の装置に対して、与えられた権限によって許された行為以外の行為をなす不正アクセスのためのデータであるか否かを予め定めた不正アクセス判断内容に従って判別する不正アクセス用データ有無判別手段と、（ロ）この不正アクセス用データ有無判別手段が不正アクセス用データであると判別した入力データに対して、この入力データを転送先に送出する際の通信速度を、不正アクセス用データでないと判別したときの通信速度よりも低下させる通信速度低下手段とをデータ処理装置に具備させる。
【００１６】
すなわち請求項１記載の発明では、転送すべき入力データについて、不正アクセス用データ有無判別手段が、特定の装置に対して、与えられた権限によって許された行為以外の行為をなす不正アクセスのためのデータであるか否かを予め定めた不正アクセス判断内容に従って判別するようにしている。そして、その入力データを不正アクセスのためのデータであると判別した場合には、通信速度低下手段によって、転送先に送出する際の通信速度（単位時間当たりの通信量）を、不正アクセス用データでないと判別したときの通信速度よりも低下させることにしている。このように不正アクセスのためのデータについてはその転送時の通信速度を低下させるので、不正なアクセスを行う者は通信を遮断されたのと異なりこれに気付きにくく不正なアクセスを行う者を下手に挑発して被害を拡大させることがない。しかも不正アクセス用データの通信速度を低下させることによってメール爆弾等による攻撃相手の装置の負荷を低下させ、実害を少なくさせると共に必要な措置を採るまでの時間稼ぎを行うことができる。
【００１７】
請求項２記載の発明では、（イ）入力データが、特定の装置に対して、与えられた権限によって許された行為以外の行為をなす不正アクセスのためのデータであるか否かを予め定めた不正アクセス判断内容に従って不正アクセスの危険度に応じて複数段階で判別する不正アクセス用データ有無判別手段と、（ロ）この不正アクセス用データ有無判別手段が不正アクセス用データであると判別した入力データに対して、この入力データを転送先に送出する際の通信速度を、不正アクセス用データでないと判別したときの通信速度よりも低下させ、かつ不正アクセスの危険度が高いほど通信速度をより低くする通信速度低下手段とをデータ処理装置に具備させる。
【００１８】
すなわち請求項２記載の発明では、転送すべき入力データについて、不正アクセス用データ有無判別手段が、特定の装置に対して、与えられた権限によって許された行為以外の行為をなす不正アクセスのためのデータであるか否かを予め定めた不正アクセス判断内容に従って不正アクセスの危険度に応じて複数段階で判別するようにしている。そして、その入力データを不正アクセスのためのデータであると判別した場合には、通信速度低下手段によって、転送先に送出する際の通信速度を、不正アクセス用データでないと判別したときの通信速度よりも低下させると共に、不正アクセスの危険度が高いほど通信速度をより低くすることにしている。このように不正アクセスのためのデータについてはその転送時の通信速度を低下させるので、不正なアクセスを行う者は通信を遮断されたのと異なりこれに気付きにくく不正なアクセスを行う者を下手に挑発して被害を拡大させることがない。しかも不正アクセスの危険度が高いほど通信速度をより低くするので、危険度が高くなっても実害を少なくさせると共に必要な措置を採るまでの時間稼ぎを行うことができる。また、不正アクセスであると誤認するようなケースの場合には判別した危険度が小さい場合が多いので、通信速度を低下させたとしても実害を少なくすることができる。
【００１９】
請求項３記載の発明では、請求項１または請求項２いずれかに記載のデータ処理装置が、（イ）不正アクセス用データ有無判別手段が不正アクセス用データであると判別したときその入力データの特徴と送信先を少なくとも記した不正アクセス情報を特定の不正アクセス情報提供サーバに送出する不正アクセス情報送出手段と、（ロ）この不正アクセス情報提供サーバから入力データの特徴と送信先が一致した他の不正アクセス情報を受信したとき通信速度低下手段の通信速度を更に低下させる通信速度低下加重手段とを更に具備する。
【００２０】
すなわち請求項３記載の発明では、中継装置としてのデータ処理装置が不正アクセス情報提供サーバというネットワーク上のサーバと連携している。そして、それぞれのデータ処理装置が不正アクセス用データであると判別したときの入力データについてその特徴と送信先すなわち攻撃先を不正アクセス情報提供サーバに通知し、不正アクセス情報提供サーバが同一の特徴と送信先のものが存在する場合にはこれを該当するデータ処理装置に通知する。したがって、不正アクセス情報提供サーバから入力データの特徴と送信先が一致した他の不正アクセス情報を受信した場合には複数のデータ処理装置が同一の不正アクセスに加担している可能性が高くなるので、通信速度低下手段の通信速度を更に低下させ、入力データの送信先の実害を少なくさせるようにしている。
【００２１】
請求項４記載の発明では、請求項３記載のデータ処理装置で、特定の不正アクセス情報提供サーバは、共通の時間帯で入力データの特徴と送信先が一致するものがあったとき、これに関する他の不正アクセス情報を送信してくることを特徴としている。
【００２２】
すなわち請求項４記載の発明では、特定の不正アクセス情報提供サーバが、他のデータ処理装置が自己のデータ処理装置の送信した不正アクセス情報と入力データの特徴と送信先が一致するものを共通の時間帯で発生しているものとして送ってきたときには、同時に同一の不正アクセス情報が他のデータ処理装置でも存在しているので、通信速度低下手段の通信速度を更に低下させ、入力データの送信先の実害を少なくさせるようにしている。
【００２３】
請求項５記載の発明では、請求項３記載のデータ処理装置で、特定の不正アクセス情報提供サーバは、不正アクセス情報送出手段によって送出した入力データの特徴と送信先が一致する過去の他の不正アクセス情報があったときこれを送信してくることを特徴としている。
【００２４】
すなわち請求項５記載の発明では、特定の不正アクセス情報提供サーバが、他のデータ処理装置が自己のデータ処理装置の送信した不正アクセス情報と入力データの特徴と送信先が一致する過去のものを送ってきたときには、過去に同一の不正アクセス情報が他のデータ処理装置でも存在していたことが分かるので、通信速度低下手段の通信速度を更に低下させ、入力データの送信先の実害を少なくさせるようにしている。どの程度過去のものを特定の不正アクセス情報提供サーバが送ってくるかとか、不正アクセスが現在存在している状況でどの程度過去の不正アクセス情報をデータ処理装置側で参考にするかは不正アクセスを防止するシステムの構成上自由である。
【００２５】
請求項６記載の発明では、請求項１〜請求項３いずれかに記載のデータ処理装置が、（イ）不正アクセス用データ有無判別手段が不正アクセス用データであると判別したとき、その入力データによって不正アクセスが行われる装置を判別する攻撃対象判別手段と、（ロ）この攻撃対象判別手段が判別した攻撃対象に警告を通知する警告通知手段とを更に具備する。
【００２６】
すなわち請求項６記載の発明では、不正アクセスが行われている可能性があるときには攻撃対象判別手段で不正アクセスが行われる装置（入力データの送信先）を判別し、警告通知手段が攻撃対象に警告を通知することにしている。これにより攻撃対象側も必要な対策を採ることができる。
【００２７】
【発明の実施の形態】
【００２８】
【実施例】
以下実施例につき本発明を詳細に説明する。
【００２９】
図１は本発明の一実施例におけるデータ処理装置を含む通信ネットワークの要部を示したものである。本実施例のデータ処理装置２０１は、入力装置２０２より出力装置２０３に送出するための中継データ２０４を受け取るようになっている。データ処理装置２０１内には、不正アクセス検知手段２０５と、この不正アクセス検知手段２０５の検知結果２０６を入力する通信速度決定手段２０７と、この通信速度決定手段２０７の決定した通信速度を表わした通信速度情報２０８を入力する通信速度可変手段２０９を備えている。通信速度可変手段２０９は、入力装置２０２から送られてきた中継データ２０４を入力して、その通信速度を通信速度情報２０８で示す値に調整するようになっている。通信速度可変手段２０９で通信速度を調整された中継データ２１１は宛先としての出力装置２０３に送られるようになっている。
【００３０】
本実施例のデータ処理装置２０１は、図示しないＣＰＵ（中央処理装置）を搭載しており、同じく図示しないＲＡＭ（ランダム・アクセス・メモリ）や制御プログラムを格納した磁気ディスク等の記憶媒体を備えている。データ処理装置２０１の電源を投入すると、ＣＰＵは記憶媒体上に格納された制御プログラムの全部または一部をＲＡＭに格納し、これを基にして制御プログラムが実行される。制御プログラムは、データの中継を行うデータ処理装置２０１としての本来の処理を実行するプログラム部分と、本実施例に特有な処理としての不正アクセスに対応する処理を実行するプログラム部分とに分けることができる。なお、図１ではデータの中継を行う本来の処理を実行する回路部分は不正アクセスに対応する回路部分を除いて図示を省略している。
【００３１】
なお、通信速度可変手段２０９は通信速度情報２０８によって通信速度を調整するが、パケットデータの通信速度の制御を行うこのような装置はパケットシェイパあるいは帯域制限装置として各種製品化されているものを適宜使用することができる。パケットシェイパあるいは帯域制限装置は、ユーザやアプリケーションごとに所定の帯域を確保させるために使用されているものである。
【００３２】
図２は、本実施例のデータ処理装置の中継動作の処理の流れを表わしたものである。図１に示したデータ処理装置２０１は、図示しないネットワーク上のいずれかの入力装置２０２からデータが受信され通信が開始されるのを待機している（ステップＳ３０１）。そして、通信が開始されたら（Ｙ）、不正アクセス検知手段２０５はデータの内容をチェックする等の周知の手法を用いて不正アクセスの検知を行う（ステップＳ３０２）。この結果、不正アクセスではないと判断した場合（ステップＳ３０３：Ｎ）、不正アクセス検知手段２０５は通信速度可変手段２０９に特別の指示を行わない。そこでこの場合、通信速度可変手段２０９は通常の通信速度でそのデータを図１に示した出力装置２０３に送出することになる。
【００３３】
一方、不正アクセス検知手段２０５が不正アクセスであると判別した場合には（ステップＳ３０３：Ｙ）、不正アクセスの危険度に応じた通信速度の決定が行われる（ステップＳ３０４）。本実施例の不正アクセス検知手段２０５は不正アクセスの種別とそれぞれの危険度を判別している。たとえば株式会社インターネットセキュリティシステムズの販売するリアルセキュアでは、７層のＯＳＩ（Ｏｐｅｎ　Ｓｙｓｔｅｍ　Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）階層モデル・プロトコル分析と攻撃パターン・マッチングの組み合わせでこれらの判別を行う。本実施例の不正アクセス検知手段２０５はこの判別結果から危険度大、危険度中および危険度小の３種類の判別を行う。
【００３４】
図３は不正アクセス検知手段に備えられている危険度・通信速度対応テーブルの内容を表わしたものである。危険度・通信速度対応テーブル２３１は、図２に示した不正アクセス検知手段２０５内の図示しない不揮発性メモリに格納されており、データ処理装置２０１内の回路装置の部分的な改造等に応じてその内容を適宜変更できるようになっている。危険度・通信速度対応テーブル２３１に現在設定されている通信速度は、不正アクセスの危険度が大きいとされるものについて８，０００ｂｐｓ（ｂｉｔｓ　ｐｅｒ　ｓｅｃｏｎｄ：ビット／秒）に設定されるようになっている。また、その危険度が中の場合には１６０，０００ｂｐｓとなっており、危険度が小の場合には３２０，０００ｂｐｓとなっている。なお、この場合の通信速度可変手段２０９の通常の通信速度は６４０，０００ｂｐｓとなっている。
【００３５】
図２に戻って説明を続ける。ステップＳ３０４で不正アクセスの危険度に応じた通信速度が決定されたら、これを表わした通信速度情報２０８が通信速度可変手段２０９に入力される。通信速度可変手段２０９はこの通信速度情報２０８が入力されている間だけ、これによって表わされている通信速度に設定され、それ以外の通常の通信速度（この例の場合の６４０，０００ｂｐｓ）は採用されない。すなわち、通信速度可変手段２０９は通信速度情報２０８によって指示された通信速度でデータを出力装置２０３に送出する制御を行う（ステップＳ３０５）。この通信速度の制御は、途中で通信速度情報２０８の内容が変更されない限り、入力装置２０２としての特定の宛先からの通信が終了するまで継続される（ステップＳ３０６）。そして、この入力装置２０２についての通信が終了したら（Ｙ）、ステップＳ３０１に戻って次の入力装置２０２の通信開始を待機することになる。
【００３６】
なお、データ処理装置２０１は、複数の入力装置２０２からのデータの中継処理を時分割で行ってもよいことは当然であり、この場合には不正アクセス検知手段２０５、通信速度決定手段２０７および通信速度可変手段２０９が時分割で前記した制御を繰り返すことになる。
【００３７】
発明の変形例
【００３８】
図４は本発明の変形例におけるデータ処理装置を含む通信ネットワークの要部を示したものである。この変形例のインターネット網４０１には不正アクセス情報を共有するための不正アクセス情報提供サーバ４０２と、第１〜第Ｍのデータ処理装置４０３_１〜４０３_Ｍが接続されている。ここで第１〜第Ｍのデータ処理装置４０３_１〜４０３_Ｍは先の実施例のデータ処理装置２０１と基本的に構成が同一である。不正アクセス送信端末４０４は先の実施例の入力装置２０２と同一であり、不正アクセスデータを送信する通信端末である。不正アクセス被害端末４０５は先の実施例の出力装置２０３と同一であり、不正アクセスの被害を受ける目標となる通信端末である。不正アクセス被害端末４０５は通常のパーソナルコンピュータと同一の構成の端末であってもよいし、サーバであってもよい。
【００３９】
この変形例では、図５で説明した複数の踏み台サーバ１０２_１、……１０２_Ｎの一部を第１〜第Ｍのデータ処理装置４０３_１〜４０３_Ｍの２以上のものが構成している場合を取り扱っている。このような場合には、たとえば第１のデータ処理装置４０３_１が不正アクセス中継データ２０４（図１参照）を受け取ったとき、これと同一時間帯で、あるいはそれよりも過去に、たとえば第Ｍのデータ処理装置４０３_Ｍが同様に不正アクセス中継データ２０４を受け取っている。そこで、不正アクセス情報提供サーバ４０２と連携関係にある第１〜第Ｍのデータ処理装置４０３_１〜４０３_Ｍは、その不正アクセス検知手段２０５（図１参照）が不正アクセスを検知したとき、その不正アクセス中継データ２０４の特徴と送信先（最終の宛先あるいは転送先）を不正アクセス情報提供サーバ４０２に通知するようにしている。
【００４０】
不正アクセス情報提供サーバ４０２では、これら不正アクセスについての通知があると、その図示しない記憶手段にこれらの通知を格納すると共に、現在あるいは過去の通知をサーチして、実質的に同一の不正アクセス中継データ２０４で同一の送信先（最終の宛先あるいは転送先）のものが存在している場合には、これらの不正アクセス参考データを、通知を送付した第１のデータ処理装置４０３_１に送信する。第１のデータ処理装置４０３_１は送られてきた不正アクセス参考データをチェックして、これを基に通信速度決定手段２０７が通信速度情報２０８を更に通信速度が低下したものに切り替える。これは、不正アクセスの事実がより明確になったためである。ただし、送られてきた不正アクセス参考データがたとえば１カ月前のものであったり、転送先のデータ処理装置４０３は一致するが最終転送先としての不正アクセス被害端末４０５が一致しないような場合には、通信速度を更に低下させる加重措置を採らないでもよい。
【００４１】
なお、このように他の不正アクセス被害端末４０５でも同様に不正アクセスの事実が判別された場合あるいは単独で不正アクセスの判別を行った場合、そのデータ処理装置４０３（あるいは図１のデータ処理装置２０１）はその事実を不正アクセス被害端末４０５（あるいは図１の出力装置２０３）に警告として通知することは有効である。この警告を不正アクセス情報提供サーバ４０２が各種参考データを添付して不正アクセス被害端末４０５（あるいは図１の出力装置２０３）に行うことも可能である。
【００４２】
また、実施例では不正アクセス検知手段２０５が不正アクセスによる危険度を３段階で検知（判別）するようにしたが、１段階の検知であってもよいし、２段階あるいは４段階以上の検知であってもよいことは当然である。更に通信速度可変手段２０９を使用して通信速度を１つの固定した速度に調整したが、不正アクセスの時間の経過を見て、これに応じて通信速度を更に低下させて行ったり、あるいは不正アクセスが判別されなくなったときには通信速度を徐々に高めたり不正アクセスがない状態と同一の速度に一気に回復させることも可能である。
【００４３】
更に実施例および変形例では不正アクセスについてインターネット網を前提として説明したが、不正アクセスはあらゆるネットワークに対して行われており、ＣＡＴＶ（Ｃｏｍｍｕｎｉｔｙ　Ａｎｔｅｎｎａ　ＴｅｌｅＶｉｓｉｏｎ；　ＣＡｂｌｅ　ＴｅｌｅＶｉｓｉｏｎ）網や携帯電話網、ＬＡＮ（ローカルエリアネットワーク）等のこれらすべてのネットワークに対して本発明を適用できることは当然である。
【００４４】
【発明の効果】
以上説明したように請求項１および請求項２記載の発明によれば、通信速度低下手段によって、不正アクセスのためのデータについてはその転送時の通信速度を低下させるので、不正なアクセスを行う者は通信を遮断されたのと異なりこれに気付きにくく不正なアクセスを行う者を下手に挑発して被害を拡大させることがない。しかも不正アクセス用データの通信速度を低下させることによってメール爆弾等による攻撃相手の装置の負荷を低下させ、実害を少なくさせると共に必要な措置を採るまでの時間稼ぎを行うことができる。
【００４５】
また請求項２記載の発明によれば、不正アクセスであると誤認するようなケースの場合には判別した危険度が小さい場合が多いので、通信速度を低下させたとしても実害を少なくすることができる。
【００４６】
更に請求項３記載の発明によれば、中継装置としてのデータ処理装置が不正アクセス情報提供サーバというネットワーク上のサーバと連携することにしたので、不正アクセスであるかどうかを判断する不正アクセス判断内容についてサーバ側から常に最新かつ高度のものを提供することができるだけでなく、このようなサーバを使用したビジネスを成立させることもできる。
【００４７】
また請求項４あるいは請求項５記載の発明によれば、特定の不正アクセス情報提供サーバは、不正アクセス情報送出手段によって送出した入力データの特徴と送信先が一致する不正アクセス情報を送るので、これを基にして他のサーバ等のデータ処理装置は不正アクセスの初期の段階でも適切な措置を採ることが可能になる。これにより、たとえば特定のサーバの内容を盗み出すためにアクセスするといったようなアクセスの頻度自体は少ないような不正アクセスに対しても過去または現在の不正アクセス情報を用いることで、高精度に不正アクセスの状況を検知することができる。
【００４８】
更に請求項６記載の発明によれば、不正アクセスが行われている可能性があるときには攻撃対象判別手段で不正アクセスが行われる装置（入力データの送信先）を判別し、警告通知手段が攻撃対象に警告を通知することにしたので、攻撃対象側がこの通知を基にして必要な対策を採ることができる。
【図面の簡単な説明】
【図１】本発明の一実施例におけるデータ処理装置を含む通信ネットワークの要部を示したブロック図である。
【図２】本実施例のデータ処理装置の中継動作の処理の流れを表わした流れ図である。
【図３】本実施例で不正アクセス検知手段に備えられている危険度・通信速度対応テーブルの内容を表わした説明図である。
【図４】本発明の変形例におけるデータ処理装置を含む通信ネットワークの要部を示した概略構成図である。
【図５】拒否攻撃アタックと呼ばれる不正アクセスの一例を示した説明図である。
【図６】従来提案された不正アクセス検知システムの一例を示したブロック図である。
【符号の説明】
２０１、４０３　データ処理装置
２０２　入力装置
２０３　出力装置
２０４　中継データ
２０５　不正アクセス検知手段（不正アクセス用データ有無判別手段）
２０７　通信速度決定手段
２０９　通信速度可変手段（通信速度低下手段）
２３１　危険度・通信速度対応テーブル
４０１　インターネット網
４０２　不正アクセス情報提供サーバ
４０４　不正アクセス送信端末
４０５　不正アクセス被害端末

Claims

入力データが、特定の装置に対して、与えられた権限によって許された行為以外の行為をなす不正アクセスのためのデータであるか否かを予め定めた不正アクセス判断内容に従って判別する不正アクセス用データ有無判別手段と、
この不正アクセス用データ有無判別手段が不正アクセス用データであると判別した入力データに対して、この入力データを転送先に送出する際の通信速度を、不正アクセス用データでないと判別したときの通信速度よりも低下させる通信速度低下手段
とを具備することを特徴とするデータ処理装置。
入力データが、特定の装置に対して、与えられた権限によって許された行為以外の行為をなす不正アクセスのためのデータであるか否かを予め定めた不正アクセス判断内容に従って不正アクセスの危険度に応じて複数段階で判別する不正アクセス用データ有無判別手段と、
この不正アクセス用データ有無判別手段が不正アクセス用データであると判別した入力データに対して、この入力データを転送先に送出する際の通信速度を、不正アクセス用データでないと判別したときの通信速度よりも低下させ、かつ不正アクセスの危険度が高いほど通信速度をより低くする通信速度低下手段
とを具備することを特徴とするデータ処理装置。
前記不正アクセス用データ有無判別手段が不正アクセス用データであると判別したときその入力データの特徴と送信先を少なくとも記した不正アクセス情報を特定の不正アクセス情報提供サーバに送出する不正アクセス情報送出手段と、
この不正アクセス情報提供サーバから前記入力データの特徴と送信先が一致した他の不正アクセス情報を受信したとき前記通信速度低下手段の通信速度を更に低下させる通信速度低下加重手段
とを具備することを特徴とする請求項１または請求項２いずれかに記載のデータ処理装置。
前記特定の不正アクセス情報提供サーバは、共通の時間帯で前記入力データの特徴と送信先が一致するものがあったとき、これに関する他の不正アクセス情報を送信してくることを特徴とする請求項３記載のデータ処理装置。
前記特定の不正アクセス情報提供サーバは、前記不正アクセス情報送出手段によって送出した前記入力データの特徴と送信先が一致する過去の他の不正アクセス情報があったときこれを送信してくることを特徴とする請求項３記載のデータ処理装置。
前記不正アクセス用データ有無判別手段が不正アクセス用データであると判別したとき、その入力データによって不正アクセスが行われる装置を判別する攻撃対象判別手段と、
この攻撃対象判別手段が判別した攻撃対象に警告を通知する警告通知手段
とを具備することを特徴とする請求項１〜請求項３いずれかに記載のデータ処理装置。