JP2004266483A - 不正アクセス防止方法、装置、プログラム - Google Patents
不正アクセス防止方法、装置、プログラム Download PDFInfo
- Publication number
- JP2004266483A JP2004266483A JP2003053591A JP2003053591A JP2004266483A JP 2004266483 A JP2004266483 A JP 2004266483A JP 2003053591 A JP2003053591 A JP 2003053591A JP 2003053591 A JP2003053591 A JP 2003053591A JP 2004266483 A JP2004266483 A JP 2004266483A
- Authority
- JP
- Japan
- Prior art keywords
- access
- communication packet
- unauthorized
- host
- unauthorized access
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
【課題】悪意の無いユーザによる誤アクセスと区別して不正アクセスを検知し、かつ不正アクセスのパケットを通過させることなく、パケットフィルタリング機能を働かせる不正アクセス防止方法、装置、およびプログラムを提供する。
【解決手段】パケットフィルタリング処理手段２１は、ホスト１にアクセスするパケットの送信元情報を監視しており、フィルタリングルールに従って、取り込むか、または破棄する。通知応答処理手段２２は、取り込まれた各パケットを、誤アクセスの起こり得るものと、起こり得ないものに分類し、起こり得るとされたパケットに付与された宛先情報に関連するアクセス頻度を算出する。算出されたアクセス頻度に応じて、通知応答処理手段２２は、不正アクセスか否か判定をする。パケットフィルタリング制御手段２３は、不正アクセスと判定された送信元情報を持ったパケットを破棄するようフィルタリングルールを更新する。
【選択図】 図１
【解決手段】パケットフィルタリング処理手段２１は、ホスト１にアクセスするパケットの送信元情報を監視しており、フィルタリングルールに従って、取り込むか、または破棄する。通知応答処理手段２２は、取り込まれた各パケットを、誤アクセスの起こり得るものと、起こり得ないものに分類し、起こり得るとされたパケットに付与された宛先情報に関連するアクセス頻度を算出する。算出されたアクセス頻度に応じて、通知応答処理手段２２は、不正アクセスか否か判定をする。パケットフィルタリング制御手段２３は、不正アクセスと判定された送信元情報を持ったパケットを破棄するようフィルタリングルールを更新する。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
本発明は、ネットワークのセキュリティ保護に関し、特に、ネットワークサービスに対する不正アクセスの防止に関する。
【０００２】
【従来の技術】
現在、インターネットやイントラネットを用いたネットワークサービスに対する不正アクセスが大きな脅威となっている。
【０００３】
不正アクセスには様々なものがあるが、多くの場合、以下に示す２つタイプのいずれかである。１つは、実際に不正アクセスをする前に予めポートスキャン等により稼働しているサービスを調べておき、そのサービスに対して不正アクセスを行うものである。他の１つは、サービスを稼動しているか否かに関わり無く、所定範囲のＩＰアドレスに対して順次に、あるいはランダムに不正アクセスを試みるものである。
【０００４】
これらの不正アクセスでは、サービスの公開されていないＩＰアドレスやポート番号に対するアクセスが発生するので、それをファイアウォールによって検知することが可能である。また、ユーザのホスト指定ミスなどでも、サービスの公開されていないＩＰアドレスやポート番号に対してアクセス（誤アクセス）がされる可能性がある。不正アクセスの送信元からのアクセスはそれ以降、遮断することが好ましいが、誤アクセスを遮断するのは望ましくない。
【０００５】
ポートスキャンでは、１つの送信元ＩＰアドレスから比較的短時間に複数の宛先ＩＰアドレスあるいはポート番号に対してアクセスが行われる。そのことを利用し、単位時間当たりに行われたアクセスの送信元ＩＰアドレスと宛先ＩＰアドレスおよびポート番号とをする集計するのが有効であるとされている。
【０００６】
単位時間内に所定数以上の宛先ＩＰアドレスまたはポート番号にアクセスを行った送信元ＩＰアドレスからポートスキャンが行われていると推定できる。その場合、ファイアウォールの設定を変更して、その送信元ＩＰアドレスからのアクセスを禁止すれば、それ以降の不正アクセスを防止することができる。
【０００７】
このような技術は、例えば、特許文献１に開示されている。特許文献１に開示されているクラッカー監視システムは、送信元ＩＰアドレスが同一で、かつ宛先ＩＰアドレスまたは宛先ポート番号が異なるアクセスが所定時間内に所定数以上あると、それを攻撃として検知し、それ以降、その送信元ＩＰアドレスからのアクセスを遮断する。
【０００８】
【特許文献１】
特開２００１−５７５５４号公報
【０００９】
【発明が解決しようとする課題】
特許文献１に開示されたシステムでは、ポートスキャンを行わず、所定範囲のＩＰアドレスに対して、順次に、あるいはランダムに直接にアクセスするタイプの不正アクセスを防止することができない。また、ポートスキャンで宛先ＩＰアドレスおよびポート番号を予め調べておくタイプでも、ポートスキャンとその後の不正アクセスが異なる送信元ＩＰアドレスから行われると、不正アクセスを防止することができない恐れがある。
【００１０】
また、例えば、サービスの公開されていないＩＰアドレスやポート番号に対するアクセスが１回でもあれば、その送信元ＩＰアドレスからポートスキャンがされていると検知することとすれば（すなわち、上述した所定数を「１」と設定すれば）、不正アクセスを防止できる可能性が高まる。しかし、その場合、悪意の無いユーザによる誤アクセスをポートスキャンと検知してしまうので、本来、遮断すべきでないアクセスをも遮断してしまう恐れがある。
【００１１】
また、特許文献１に開示されたシステムや、市販されているＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）製品は、センサと呼ばれる装置が通信パケットを検査し、不正アクセスがあるか否か判定するものである。そのセンサは、ネットワーク上に流れる通信パケットをのぞき見るか、あるいはハブやルータなどのミラーポートにより通信パケットの複製を受けることにより通信パケットを取得している。そのため、不正アクセスが検知されるまで、ネットワーク上の通信パケットは、センサが存在するか否かに関わらずファイアウォールに到達する。したがって、センサが不正アクセスを検知してファイアウォールの設定を変更することにより、パケットフィルタリング機能がその不正アクセスに対して働くより前に、不正アクセスがされてしまう恐れがある。
【００１２】
本発明の目的は、悪意の無いユーザによる誤アクセスと区別して不正アクセスを検知し、かつ不正アクセスの通信パケットを通過させることなく、パケットフィルタリング機能を働かせる不正アクセス防止方法、装置、およびプログラムを提供することである。
【００１３】
【課題を解決するための手段】
上記目的を達成するために、本発明の不正アクセス防止方法は、ホスト上のサービスに対してネットワークを介して不正アクセスが行われるのを防止するファイアウォール装置における不正アクセス防止方法であって、
前記ホストに対する各アクセスの通信パケットに付与された送信元情報を監視しており、フィルタリングルールに従って、該通信パケットを取り込むか、または不正アクセスとして破棄する第１のステップと、
前記第１のステップにおいて取り込まれた各通信パケットのアクセスを、誤アクセスの起こり得るものと、起こり得ないものに分類する第２のステップと、
前記第２のステップにおいて前記誤アクセスが起こり得るとされた通信パケットについて、該通信パケットに付与された宛先情報に関連するアクセス頻度項目のアクセス頻度を算出する第３のステップと、
前記第３のステップにおいて算出された該アクセス頻度に応じて誤アクセスか不正アクセスかの判定をする第４のステップと、
前記第４のステップにおいて不正アクセスと判定された前記通信パケットと同じ送信元情報を持った通信パケットを破棄すべきものとして前記フィルタリングルールを更新する第５のステップとを有している。
【００１４】
したがって、本発明によれば、公開されているサービスへのアクセスでユーザが指定ミスをすることによりアクセスされる可能性のあるサービスが、誤アクセスの起こる可能性のあるサービスとして予め認識されており、そこへのアクセス頻度が高いとき不正アクセスと判断され、アクセス頻度が低いとき誤アクセスと判断される。
【００１５】
また、前記第２のステップにおいて誤アクセスが起こり得ないとされた通信パケットについて、宛先のサービスがアクセスの許可されたものか否かに応じて、正常アクセスか不正アクセスかの判定をするステップをさらに有することとしてもよい。
【００１６】
したがって、誤アクセスの起こる可能性のないサービスに対するアクセスの中で、許可されていないものが不正アクセスと判断される。
【００１７】
また、正常アクセスと判定したアクセスの通信パケットを前記ホストに転送するステップをさらに有することとしてもよい。あるいは、正常アクセスと判定したアクセスの通信パケットのデータを用いて、前記クライアントの代理として前記ホストにアクセスするステップをさらに有することとしてもよい。その場合、前記クライアントの代理で前記ホストにアクセスする際、前記通信パケットのデータに応じてフィルタリングを行うこととしてもよい。
【００１８】
また、前記第１のステップにおいて取り込まれた通信パケットについて、前記判定がされるまで、該通信パケットの前記ホストへの転送を保留することとしてもよい。
【００１９】
したがって、アクセスが誤アクセスか、不正アクセスか等の判断がされた後に、通信パケットが転送される。
【００２０】
また、前記第３のステップにおいて誤アクセスと判定された通信パケットに対して、該通信パケットの送信元情報によって示されたクライアントに、誤アクセスと判定された旨を通知するための応答を送るステップをさらに有することとしてもよい。
【００２１】
したがって、誤アクセスをしたユーザに対して、誤りを知らせるための応答が返送され、同じ送信元から同じ宛先へ誤アクセスが繰り返されることが抑制される。
【００２２】
また、前記第１のステップにおいて取り込まれた通信パケットに含まれるデータを収集し、記録するステップをさらに有することとしてもよい。
【００２３】
したがって、不正アクセスのデータを後に解析することが可能となる。
【００２４】
また、前記第１のステップにおいて取り込まれた通信パケットについて、前記ホストに対する総アクセスに関するアクセス頻度を算出し、該アクセス頻度に応じて不正アクセスか否かを判定するステップと、
前記総アクセスのアクセス頻度から不正アクセスと判定されたアクセスの宛先情報で示された前記ホストに宛てた通信パケットを破棄すべきものとして前記フィルタリングルールを更新するステップをさらに有することとしてもよい。
【００２５】
したがって、アクセス数が極端に多い場合にＤｏＳ攻撃と判断し、そのホストに対するアクセスを遮断する。
【００２６】
本発明の不正アクセス防止装置は、ホスト上のサービスに対してネットワークを介して不正アクセスが行われるのを防止する不正アクセス防止装置であって、前記ホストに対する各アクセスの通信パケットに付与された送信元情報を監視しており、フィルタリングルールに従って、該通信パケットを取り込むか、または不正アクセスとして破棄するパケットフィルタリング処理手段と、
前記パケットフィルタリング手段によって取り込まれた各通信パケットのアクセスを、誤アクセスの起こり得るものと、起こり得ないものに分類し、前記誤アクセスの起こり得る通信パケットについて、該通信パケットに付与された宛先情報に関連するアクセス頻度項目のアクセス頻度を算出し、該アクセス頻度に応じて誤アクセスか不正アクセスかの判定をし、不正アクセスと判定された通信パケットを破棄する通知応答処理手段と、
前記通知応答処理手段によって不正アクセスと判定された前記通信パケットと同じ送信元情報を持った通信パケットを破棄すべきものとして前記フィルタリングルールを更新するパケットフィルタリング制御手段とを有している。
【００２７】
また、前記通知応答処理手段は、誤アクセスの起こり得ない通信パケットについて、宛先のサービスがアクセスの許可されたものか否かに応じて、正常アクセスか不正アクセスかの判定をすることとしてもよい。
【００２８】
また、前記通知応答処理手段は、正常アクセスと判定したアクセスの通信パケットをパケットフィルタリング処理手段経由で前記ホストに転送することとしてもよい。
【００２９】
また、前記通知応答処理手段は、正常アクセスと判定したアクセスの通信パケットのデータを用いて、前記クライアントの代理として前記ホストにアクセスすることとしてもよい。
【００３０】
また、前記通知応答処理手段は、前記クライアントの代理で前記ホストにアクセスする際、前記通信パケットのデータに応じてフィルタリングを行うこととしてもよい。
【００３１】
また、前記パケットフィルタリング処理手段によって取り込まれた通信パケットについて、前記通知応答処理手段は、前記判定がされるまで、該通信パケットの前記ホストへの転送を保留することとしてもよい。
【００３２】
また、前記通知応答処理手段は、誤アクセスと判定された通信パケットの送信元情報によって示されたクライアントに、誤アクセスと判定された旨を通知するための応答を送ることとしてもよい。
【００３３】
また、前記通知応答処理手段は、前記パケットフィルタリング処理手段で取り込まれた通信パケットに含まれるデータを収集し、記録することとしてもよい。
【００３４】
また、前記通知応答処理手段は、前記ホストに対する総アクセスについてアクセス頻度を算出し、該アクセス頻度に応じて不正アクセスか否かを判定し、
前記パケットフィルタリング制御手段は、総アクセスのアクセス頻度から不正アクセスと判定されたアクセスの宛先情報で示された前記ホストに宛てた通信パケットを破棄すべきものとして前記フィルタリングルールを更新することとしてもよい。
【００３５】
本発明の不正アクセス防止プログラムは、ホスト上のサービスに対してネットワークを介して不正アクセスが行われるのをコンピュータに防止させるための不正アクセス防止プログラムであって、
前記ホストに対する各アクセスの通信パケットに付与された送信元情報を監視しており、フィルタリングルールに従って、該通信パケットを取り込むか、または不正アクセスとして破棄する第１の処理と、
前記第１の処理において取り込まれた各通信パケットのアクセスを、誤アクセスの起こり得るものと、起こり得ないものに分類する第２の処理と、
前記第２の処理において前記誤アクセスが起こり得るとされた通信パケットについて、該通信パケットに付与された宛先情報に関連するアクセス頻度項目のアクセス頻度を算出する第３の処理と、
前記第３の処理において算出された該アクセス頻度に応じて誤アクセスか不正アクセスかの判定をする第４の処理と、
前記第４の処理において不正アクセスと判定された前記通信パケットと同じ送信元情報を持った通信パケットを破棄すべきものとして前記フィルタリングルールを更新する第５の処理とを有している。
【００３６】
また、前記第２の処理において誤アクセスが起こり得ないとされた通信パケットについて、宛先のサービスがアクセスの許可されたものか否かに応じて、正常アクセスか不正アクセスかの判定をする処理をさらに有することとしてもよい。
【００３７】
また、正常アクセスと判定したアクセスの通信パケットを前記ホストに転送する処理をさらに有することとしてもよい。
【００３８】
また、正常アクセスと判定したアクセスの通信パケットのデータを用いて、前記クライアントの代理として前記ホストにアクセスする処理をさらに有することとしてもよい。
【００３９】
また、前記クライアントの代理で前記ホストにアクセスする際、前記通信パケットのデータに応じてフィルタリングを行うこととしてもよい。
【００４０】
また、前記第１の処理において取り込まれた通信パケットについて、前記判定がされるまで、該通信パケットの前記ホストへの転送を保留することとしてもよい。
【００４１】
また、前記第３の処理において誤アクセスと判定された通信パケットに対して、該通信パケットの送信元情報によって示されたクライアントに、誤アクセスと判定された旨を通知するための応答を送る処理をさらに有することとしてもよい。
【００４２】
また、前記第１の処理において取り込まれた通信パケットに含まれるデータを収集し、記録する処理をさらに有することとしてもよい。
【００４３】
また、前記第１の処理において取り込まれた通信パケットについて、前記ホストに対する総アクセスに関するアクセス頻度を算出し、該アクセス頻度に応じて不正アクセスか否かを判定する処理と、
前記総アクセスのアクセス頻度から不正アクセスと判定されたアクセスの宛先情報で示された前記ホストに宛てた通信パケットを破棄すべきものとして前記フィルタリングルールを更新する処理をさらに有することとしてもよい。
【００４４】
【発明の実施の形態】
本発明の一実施形態について図面を参照して詳細に説明する。
【００４５】
図１は、本発明の一実施形態によるファイアウォールの構成を示すブロック図である。図１を参照すると、ファイアウォール２は、クライアント１とホスト３の間に設けられている。ファイアウォール２は、パケットフィルタリング処理部２１、通知応答処理部２２、パケットフィルタリング制御部２３、およびフィルタリングルールデータベース（フィリタリングルールＤＢ）２４を有している。
【００４６】
この例では、クライアント１がアクセス元であり、ホスト３がアクセス先である。ファイアウォール２は、クライアント１からホスト３へのアクセスを監視し、不正アクセスを防止する。
【００４７】
パケットフィルタリング処理部２１は、クライアント１とホスト３の間の各通信パケットに対して、フィルタリングルールデータベース２４を参照してフィルタリング処理を行う。フィルタリング処理において、パケットフィルタリング処理部２１は、クライアント１からホスト３への通信パケットを受けると、フィルタリングルールデータベース２４を検索して得られた情報によって、通信パケットを拒否するか、取り込むかを決める。取り込むとされた通信パケットは通知応答処理部２２に送られる。
【００４８】
また、パケットフィルタリング処理部２１は、フィルタリング処理、および通知応答処理部２２の処理の結果に従って、パケットを破棄または拒否するか、通知応答処理部２２で生成された応答メッセージを送信元のクライアント１に送るか、あるいはクライアント１からの通信パケットをそのままホスト３に送る。
【００４９】
フィルタリングルールデータベース２４は、パケットフィルタリング処理部２１によりアクセスを拒否されるべき送信元ＩＰアドレスを記憶している。また、フィルタリングルールデータベース２４は、許可されているアクセスか否か不正アクセス判定部２２１が判定するための情報を記憶している。許可されたアクセスか否かは、例えば、宛先が公開サービスであるか否か、公開先が限定されている場合には、送信元が公開先として認められているか否かなどによって決まる。
【００５０】
通知応答処理部２２は、不正アクセス判定部２２１、アクセス頻度データベース（アクセス頻度ＤＢ）２２２、動作設定ファイル２２３、アクセスコントロール処理部２２４、および応答メッセージ生成部２２５を有している。
【００５１】
不正アクセス処理部２２１は、アクセスの通信パケットをフィルタリング処理部２１から受けると、その通信パケットの送信元のＩＰアドレスやポート番号を含む送信元情報、宛先のＩＰアドレスやポート番号を含む宛先情報、およびプロトコル種別などの情報（以下、アクセス種別情報と称す）と、アクセス時刻とをアクセス頻度データべース２２２に記録する。
【００５２】
また、不正アクセス判定部２２１は、パケットフィルタリング処理部２１から通信パケットを受けると、動作設定ファイル２２３を参照し、その通信パケットのアクセス種別情報に含まれる宛先情報から、誤アクセスの起こる可能性のあるサービスであるか否かを調べる。通信パケットの宛先が誤アクセスの起こる可能性のあるサービスであれば、不正アクセス判定部２２１は、動作設定ファイル２２３を参照して、アクセス頻度を算出すべき項目を調べる。さらに、不正アクセス判定部２２１は、アクセス頻度データベース２２２を参照して各項目のアクセス頻度を算出し、アクセス頻度が動作設定ファイル２２３に設定された閾値を超えている項目があるか否か判定する。
【００５３】
アクセス頻度が閾値を越えている項目があれば、不正アクセス判定部２２１は、それを誤アクセスとして、応答メッセージ生成部２２５に通知する。
【００５４】
誤アクセスの起こる可能性のないサービスであれば、不正アクセス判定部２２１は、そのアクセスを許可されるものであるか否か判定する。アクセスが許可されるものであれば、不正アクセス処理部２２１は、正常アクセスとして、通信パケットをパケットフィルタリング処理部２１経由でホスト３に送る。
【００５５】
アクセスが許可されるものでない場合と、アクセス頻度が閾値を超えている場合には、不正アクセス処理部２２１は、不正アクセスとして、アクセスコントロール処理部２２４に通知する。
【００５６】
アクセスコントロール処理部２２４は、ある通信パケットについて不正アクセスが検出されたことを不正アクセス処理部２２１から通知されると、その通信パケットの送信元ＩＰアドレスを拒否すべき送信元ＩＰアドレスとしてパケットフィルタリング制御部２３に通知する。
【００５７】
アクセス頻度データベース２２２は、パケットフィルタリング処理部２１から不正アクセス判定部２２１に送られた通信パケットから不正アクセス判定部２２１で抽出された、各アクセスに関するアクセス種別情報を記憶している。このアクセス頻度データベース２２２に記録されたアクセス種別情報を元に各アクセス頻度を算出することが可能である。
【００５８】
応答メッセージ生成部２２５は、不正アクセス判定部２２１から誤アクセスと判定した旨の通知を受けると、応答メッセージを生成し、パケットフィルタリング処理部２１経由でクライアント１に送る。
【００５９】
動作設定ファイル２２３は、誤アクセスの可能性があるサービスを不正アクセス判定部２２１が特定するための情報を記憶している。誤アクセスは、ユーザによるホスト名の指定ミスなどから起こるものである。指定ミスによって宛先として指定され得るサービスは限られた、ほんの一部のサービスである。本実施形態のファイアウォール２では、このようなサービスが誤アクセスの可能性のあるサービスとされる。
【００６０】
例えば、ホストＡでは、ＴＣＰポート番号が「８０」ポートでｗｅｂサービスが行われているとする。そして、同じネットワークにホストＢ、Ｃが存在するとする。このような場合、ホストＢ、ＣのＴＣＰポート番号が「８０」のサービスは、ｗｅｂサービスにアクセスしようとしたユーザの指定ミスによりアクセスされる可能性があり、誤アクセスの起こる可能性のあるサービスであると言える。
【００６１】
また、動作設定ファイル２２３には、アクセス頻度として算出されるべき項目と、それら各項目について不正アクセスと判定する閾値とが設定されている。
【００６２】
また、動作設定ファイル２２３には、応答メッセージ生成部２２５が応答メッセージを作成するのに利用する情報が記録されている。例えば、「このホスト上ではサービスが公開去れていません。ＵＲＬを確認し、変更してください。」のように、応答メッセージによってクライアント１の画面に表示すべきテキストの情報が動作設定ファイル２２３に記録されている。これは、同じホストへアクセスが繰り返されることを抑制するための情報である。
【００６３】
また、動作設定ファイル２２３には、アクセスを拒否すべき送信元ＩＰアドレスを設定するために、アクセスコントロール処理部２２４によって利用される情報を記憶している。
【００６４】
パケットフィルタリング制御部２３は、フィルタリングルールデータベース２４のルールを管理しており、アクセスコントロール処理部２２４からの通知に従ってフィルタリングルールをフィルタリングルールデータベース２４に設定する。例えば、指定された送信元ＩＰアドレスからの通信パケットの受信を拒否するようにフィルタリングルールを設定する。
【００６５】
図２は、本実施形態のシステムの動作を示すフローチャートである。図２を参照すると、クライアント１からホスト３に対するアクセスの通信パケットをファイアウォール２が受信する（ステップＳ２０１）。次に、ファイアウォール２は、その通信パケットに対して所定の処理を行う（ステップＳ２０２）。
【００６６】
次に、ファイアウォール２は、ステップＳ２０２の処理が通信パケットを廃棄または拒否するものであったか否か判定する（ステップＳ２０４）。ステップＳ２０２の処理が通信パケットを廃棄または拒否するものであれば、ファイアウォール２は、そのまま処理を終了する。なお、パケットの廃棄または拒否は、不正アクセスに対して行われる処理である。
【００６７】
処理が通信パケットを廃棄または拒否するものでなかったら、ファイアウォール２は、ステップＳ２０２の処理が通信パケットをホスト３へ転送するものであったか否か判定する（ステップＳ２０４）。
【００６８】
ステップＳ２０２の処理が通信パケットをホスト３へ転送するものでなかったら、ファイアウォール２は、通知応答処理部２２からの応答をクライアント１に転送し、処理を終了する（ステップＳ２０５）。なお、これは誤アクセスに対して行われる処理である。
【００６９】
ステップＳ２０２の処理が通信パケットをホスト３へ転送するものであったら、ファイアウォール２は、転送された通信パケットに対するホスト３からの応答を受け取ってクライアント１に転送し、処理を終了する（ステップＳ２０６）。なお、これは正常アクセスに対して行われる処理である。
【００７０】
図３は、図２におけるステップＳ２０２の処理を示すフローチャートである。図３を参照すると、まず、パケットフィルタリング処理部２１が通信パケットを取得する（ステップＳ３０１）。次に、パケットフィルタリング処理部２１は、その通信パケットが、アクセスを拒否すべき送信元ＩＰアドレスか否か判定する（ステップＳ３０２）。アクセスを拒否すべき送信元ＩＰアドレスからであれば、パケットフィルタリング処理部２１は、その通信パケットを破棄して処理を終了する（ステップＳ３０３）。なお、アクセスの破棄と拒否を区別して管理する場合、パケットフィルタリング処理部２１は、破棄であれば、クライアント１からの通信パケットを破棄し、拒否であれば、通信パケットを破棄した上、拒否の旨のコントロールパケット（ＩＣＭＰパケット）をクライアント１に送る。
【００７１】
また、アクセスを拒否すべき送信元ＩＰアドレスでなければ、パケットフィルタリング処理部２１は、その通信パケットを通知応答処理部２２に転送し、通知応答処理部２２がその通信パケットに対して所定の処理を行う（ステップＳ３０４）。
【００７２】
次に、パケットフィルタリング処理部２１は、ステップＳ３０４の処理がパケットを破棄するものであるか否か判定する（ステップＳ３０５）。パケットフィルタリング処理部２１は、ステップＳ３０４の処理が通信パケットを破棄するものであれば、パケットフィルタリング処理部２１は、ステップＳ３０３の処理に進み、その通信パケットを破棄して処理を終了する。
【００７３】
ステップＳ３０４の処理が通信パケットを破棄するものでなければ、パケットフィルタリング処理部２１は、パケットフィルタリング処理部２１は、ステップ３０４の処理が、通知応答処理部２２による送信元のクライアント１への応答であったか否か判定する（ステップＳ３０６）。
【００７４】
ステップＳ３０４の処理が通知応答処理部２２からの応答であれば、パケットフィルタリング処理部２１がその応答をクライアント１に転送する（ステップＳ３０７）。また、ステプＳ３０４の処理が通知応答処理部２２からの応答でなければ、パケットフィルタリング処理部２１は、クライアント１からの通信パケットをホスト３に転送する（ステップＳ３０８）。
【００７５】
図４は、図３におけるステップＳ３０４の処理を示すフローチャートである。図４を参照すると、まず、通知応答処理部２２は、パケットフィルタリング処理部２１から通信パケットを受け取る（ステップＳ４０１）。次に、通知応答処理部２２は、アクセス時刻やアクセス種別情報をアクセス頻度データベース２２２に記録する（ステップＳ４０２）。
【００７６】
図５は、アクセス頻度データベース２２２に記録されたデータのレコードイメージの一例を示す図である。図５の例では、各アクセスについて、アクセス時刻と、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル種別、および送信元ポート番号（送信元ＰＯＲＴ）を含むアクセス種別情報がアクセス頻度データベース２２２に記録されている。
【００７７】
次に、通知応答処理部２２は、その通信パケットの宛先が誤アクセスの起こる可能性のあるサービスか否か判定する（ステップＳ４０３）。
【００７８】
誤アクセスの起こる可能性のあるサービスであれば、通知応答処理部２２は、その送信元からのアクセスに関する各アクセス頻度を算出する（ステップＳ４０４）。なお、アクセス頻度として算出すべき項目は、動作設定ファイル２２３に設定されている。
【００７９】
図６は、動作設定ファイル２２３に設定されたデータの一例を示す図である。アクセス頻度として算出すべき項目と、各項目の閾値となる設定値とが設定されている。図６の例では、３つのアクセス頻度が算出される。１つのアクセス頻度は、クライアント１からの通信パケットの宛先と同一のホスト（ＩＰアドレスで示される）の同一のポート（ポート番号で示される）へのアクセスが５００ミリ秒の間に行われた回数である。そして、その閾値は２回である。他のアクセス頻度は、クライアント１からの通信パケットの宛先と同一のホストの異なるポートへのアクセスが１秒間に行われた回数である。その閾値は３回である。さらに他のアクセス頻度は、クライアント１からの通信パケットの宛先と異なるホストの同一番号のポートへのアクセスが３秒間に行われた回数である。その閾値は４回である。
【００８０】
次に、通知応答処理部２２は、各アクセス頻度が全て閾値以下か否か判定する（ステップＳ４０５）。
【００８１】
図６の例では、通知応答処理部２２は、クライアント１からの通信パケットと同じ送信元から、過去５００ミリ秒の間に行われた、その通信パケットの宛先と同じホストおよびポートへのアクセスが閾値の２回を越えているか否か判定する。また、通知応答処理部２２は、同様に、クライアント１からの通信パケットと同じ送信元から、過去１秒の間に行われた、その通信パケットの宛先と同じホストの異なるポートへのアクセスが閾値の３回を越えているか否か判定する。また、通知応答処理部２２は、同様に、クライアント１からの通信パケットと同じ送信元から、過去３秒の間に行われた、その通信パケットの宛先と異なるホストの同じ番号のポートへのアクセスが閾値の４回を越えているか否か判定する。
【００８２】
全てのアクセス頻度が閾値以下であれば、通知応答処理部２２は、誤アクセスと判断し、応答メッセージを生成して送信元のクライアント１に送り、処理を終了する（ステップＳ４０６）。
【００８３】
ステップ４０３の判定において、誤アクセスの起こる可能性のないサービスであれば、通知応答処理部２２は、そのアクセスが許可されたアクセスか否か判定する（ステップＳ４０７）。
【００８４】
ステップＳ４０７の判定で許可されたアクセスでない場合、およびステップＳ４０５の判定で閾値以下でないアクセス頻度の項目があった場合、通知応答処理部２２は、送信元からのアクセスを遮断するように、すなわち送信元のＩＰアドレスをアクセスを拒否すべきＩＰアドレスとして登録するように、パケットフィルタリング制御部２３に依頼して処理を終了する（ステップＳ４０８）。この依頼を受けたパケットフィルタリング制御部２３は、アクセスを拒否すべきＩＰアドレスとして、依頼されたＩＰアドレスを追加して、フィルタリングルールを更新する。
【００８５】
ステップＳ４０７の判定において、許可されたアクセスであれば、通知応答処理部２２は、クライアント１からの通信パケットを宛先のホストに転送し、処理を終了する（ステップＳ４０９）。
【００８６】
以上説明したように、本実施形態のファイアウォール２によれば、公開されているサービスへのアクセスで指定ミスをすることによりアクセスされる可能性のあるサービスが、誤アクセスの起こる可能性のあるサービスとして予め認識されており、そこへのアクセス頻度が高いとき不正アクセスと判断され、アクセス頻度が低いとき誤アクセスと判断されるので、ツールなどを用いて機械的に連続して行われることの多い不正アクセスと、ユーザの指定ミスにより単発的に発生する誤アクセスとを区別して、不正アクセスのみを検知することができ、悪意の無いユーザによる誤アクセスを不正アクセスと判断することが防止される。
【００８７】
また、アクセスが誤アクセスか、不正アクセスか、あるいは正常なアクセスか判断された後に、通信パケットを転送あるいは破棄するなどの処理が行われるので、不正アクセスの通信パケットを通過させることが無く、不正アクセスによりホストに悪影響が生じることがない。
【００８８】
また、誤アクセスをしたユーザに対して、誤りを知らせるための応答が返送され、同じ送信元から同じ宛先へ誤アクセスが繰り返されることが抑制されるので、不正アクセスと誤アクセスとのアクセス頻度の違いが明確になり、正確に誤アクセスと不正アクセスとが区別される。
【００８９】
また、誤アクセスの起こる可能性のないサービスに対するアクセスの中で、許可されていないものが不正アクセスと判断されるので、指定ミスでは指定され得ないような宛先に対して悪意を持って意図的に行われ、かつポートスキャンをせずに無差別の宛先に対して行われた不正アクセスを検知することができる。
【００９０】
本発明の他の実施形態について説明する。
【００９１】
図７は、本発明の他の実施形態のファイアウォールの構成を示すブロック図である。図７を参照すると、ファイアウォール４は、アクセスデータ収集部２５を有する点で図１に示されたファイアウォール２と異なる。
【００９２】
アクセスデータ収集部２５は、不正アクセス時にクライアント１から送信された通信パケットのデータを収集し、記録する。不正アクセス判定部２２１にて不正アクセスと判断されたアクセスの通信パケットのデータがアクセスデータ収集部２５に送られ、そこに収集、記録される。ここで言う通信パケットのデータには、その通信パケットのペイロードに搭載されたデータファイルやプログラムなどが含まれる。
【００９３】
これにより、不正アクセスのデータを後に解析することが可能となり、どのような攻撃がされたかを知ることができる。例えば、分析結果は、攻撃の種類と回数の把握や、ＩＤＳ（侵入検知装置）のパターンの設定に利用することが考えられる。
【００９４】
また、本実施形態のファイアウォール４は、通知応答処理部２２に送られた全ての通信パケットのデータをアクセスデータ収集部２５に収集、記録してもよい。
【００９５】
これにより、収集されたデータから通信パケットを再構成することで、データが保存されている期間に送受信し、誤って消去したメールを再取得することができる。
【００９６】
本発明のさらに他の実施形態のファイアウォールについて説明する。
【００９７】
図８は、本発明のさらに他の実施形態のファイアウォール５の構成を示すブロック図である。図８を参照すると、ファイアウォール５は、通知応答処理部２６が代理アクセス処理部２２６を有する点で、図１のファイアウォール２と異なる。
【００９８】
不正アクセス判定部２２１は、クライアント１からの通信パケットをホスト３に転送する際に動作設定ファイル２２３を参照し、その通信パケットが代理アクセスすべきものに該当すれば、その通信パケットをホスト３に転送せず、代理アクセス処理部２２６に送る。
【００９９】
代理アクセス処理部２２６は、クライアント１からの通信パケットが正常アクセスであると判断されると、ホスト３との間に新たなセッションを確立し、その通信パケットの内容を用いてホスト３に代理アクセスを行う。その通信パケットに対する応答をホスト３から受けると、代理アクセス処理部２２６は、その内容を送信元のクライアント１に送る。
【０１００】
こうすることにより、ファイアウォール５は代理アクセスを行うプロキシ機能を提供することができる。
【０１０１】
また、図８のファイアウォール５の代理アクセス処理部２２６がパケットのデータ内容に応じてフィルタリングを行うこととしてもよい。ここで言うフィルタリングは、例えば、データ内容のファイルやプログラムが不正アクセスとして予め認識されているものである場合に、そのデータ内容を含む通信パケットを破棄することである。
【０１０２】
代理アクセス処理部２２６は、いったん通信パケットからデータ内容を取得するので、この内容を一時的にキャッシングし、再構成すれば、アプリケーション毎に解析可能なデータを得ることができる。
【０１０３】
こうすることにより、例えば、通信パケットの内容がＳＭＴＰのような電子メールの場合、内部から外部へ向かうアクセスにおいてＲｅｃｉｅｖｅｄヘッダに搭載される内部ネットワーク情報の隠蔽などが可能となり、アプリケーションゲートウェイ機能の提供が可能になる。
【０１０４】
さらに、上述のいずれの実施形態においても、サーバ毎の総アクセスの頻度からＤｏＳ／ＤＤｏＳ対策が可能である。例えば、あるｗｅｂサービスに対して膨大なアクセス要求を行い、サービス停止を狙うＤｏＳ攻撃が行われることがある。
【０１０５】
上述したアクセス頻度データベース２２２には、全てのアクセスの情報が含まれている。動作設定ファイル２２３にはＤｏＳ閾値が定義されている。
【０１０６】
不正アクセス検出部２２１は、ある送信元ＩＰアドレスから、ある特定のホストに対して単位時間当たりに膨大な（閾値を超える）アクセス要求が行われたことを検出すると、それをＤｏＳ攻撃と判断し、そのホストに対するアクセスを遮断する。
【０１０７】
こうすることで、アクセス数が極端に多い場合にＤｏＳ攻撃と判断し、そのホストに対するアクセスを遮断するので、ある送信元からによるＤｏＳ攻撃からホストを保護することができる。
【０１０８】
同様にしてＤＤｏＳ攻撃の防ぐこともできる。不正アクセス検出部２２１は、送信元ＩＰアドレスに関係なく、特定のホストに対して単位時間当たりに膨大な（閾値を超える）アクセス要求が行われたことを検出すると、ＤＤｏＳ攻撃であると判断し、そのホストに対する全てのアクセスを遮断すればよい。
【０１０９】
【発明の効果】
本発明によれば、公開されているサービスへのアクセスで指定ミスをすることによりアクセスされる可能性のあるサービスが、誤アクセスの起こる可能性のあるサービスとして予め認識されており、そこへのアクセス頻度が高いとき不正アクセスと判断され、アクセス頻度が低いとき誤アクセスと判断されるので、ツールなどを用いて機械的に連続して行われることの多い不正アクセスと、ユーザの指定ミスにより単発的に発生する誤アクセスとを区別して、不正アクセスのみを検知することができ、悪意の無いユーザによる誤アクセスを不正アクセスと判断することが防止される。
【０１１０】
また、誤アクセスの起こる可能性のないサービスに対するアクセスの中で、許可されていないものが不正アクセスと判断されるので、指定ミスでは指定され得ないような宛先に対して悪意を持って意図的に行われ、かつポートスキャンをせずに無差別の宛先に対して行われた不正アクセスを検知することができる。
【０１１１】
また、アクセスが誤アクセスか、不正アクセスか等の判断がされた後に、通信パケットが転送されるので、不正アクセスの通信パケットをホストに通過させることが無く、不正アクセスによりホストに悪影響が生じることがない。
【０１１２】
また、誤アクセスをしたユーザに対して、誤りを知らせるための応答が返送され、同じ送信元から同じ宛先へ誤アクセスが繰り返されることが抑制されるので、不正アクセスと誤アクセスとのアクセス頻度の違いが明確になり、正確に誤アクセスと不正アクセスとが区別される。
【０１１３】
また、不正アクセスのデータを後に解析することが可能となり、どのような攻撃がされたかを知ることができる。
【０１１４】
また、アクセス数が極端に多い場合にＤｏＳ攻撃と判断し、そのホストに対するアクセスを遮断するので、ＤｏＳ攻撃から有効にホストを保護することができる。
【図面の簡単な説明】
【図１】本発明の一実施形態によるファイアウォールの構成を示すブロック図である。
【図２】本実施形態のシステムの動作を示すフローチャートである。
【図３】図２におけるステップＳ２０２の処理を示すフローチャートである。
【図４】図３におけるステップＳ３０４の処理を示すフローチャートである。
【図５】アクセス頻度データベースに記録されたデータのレコードイメージの一例を示す図である。
【図６】動作設定ファイルに設定されたデータの一例を示す図である。
【図７】本発明の他の実施形態のファイアウォールの構成を示すブロック図である。
【図８】本発明のさらに他の実施形態のファイアウォール５の構成を示すブロック図である。
【符号の説明】
１ クライアント
２、４、５ ファイアウォール
３ ホスト
２１ パケットフィルタリング処理部
２２ 通知応答処理部
２３ パケットフィルタリング制御部
２４ フィルタリングルールデータベース（フィリタリングルールＤＢ）
２５ アクセスデータ収集部
２２１ 不正アクセス判定部
２２２ アクセス頻度データベース（アクセス頻度ＤＢ）
２２３ 動作設定ファイル
２２４ アクセスコントロール処理部
２２５ 応答メッセージ生成部
２２６ 代理アクセス処理部
Ｓ２０１〜Ｓ２０６、Ｓ３０１〜Ｓ３０８、Ｓ４０１〜４０９ ステップ
【発明の属する技術分野】
本発明は、ネットワークのセキュリティ保護に関し、特に、ネットワークサービスに対する不正アクセスの防止に関する。
【０００２】
【従来の技術】
現在、インターネットやイントラネットを用いたネットワークサービスに対する不正アクセスが大きな脅威となっている。
【０００３】
不正アクセスには様々なものがあるが、多くの場合、以下に示す２つタイプのいずれかである。１つは、実際に不正アクセスをする前に予めポートスキャン等により稼働しているサービスを調べておき、そのサービスに対して不正アクセスを行うものである。他の１つは、サービスを稼動しているか否かに関わり無く、所定範囲のＩＰアドレスに対して順次に、あるいはランダムに不正アクセスを試みるものである。
【０００４】
これらの不正アクセスでは、サービスの公開されていないＩＰアドレスやポート番号に対するアクセスが発生するので、それをファイアウォールによって検知することが可能である。また、ユーザのホスト指定ミスなどでも、サービスの公開されていないＩＰアドレスやポート番号に対してアクセス（誤アクセス）がされる可能性がある。不正アクセスの送信元からのアクセスはそれ以降、遮断することが好ましいが、誤アクセスを遮断するのは望ましくない。
【０００５】
ポートスキャンでは、１つの送信元ＩＰアドレスから比較的短時間に複数の宛先ＩＰアドレスあるいはポート番号に対してアクセスが行われる。そのことを利用し、単位時間当たりに行われたアクセスの送信元ＩＰアドレスと宛先ＩＰアドレスおよびポート番号とをする集計するのが有効であるとされている。
【０００６】
単位時間内に所定数以上の宛先ＩＰアドレスまたはポート番号にアクセスを行った送信元ＩＰアドレスからポートスキャンが行われていると推定できる。その場合、ファイアウォールの設定を変更して、その送信元ＩＰアドレスからのアクセスを禁止すれば、それ以降の不正アクセスを防止することができる。
【０００７】
このような技術は、例えば、特許文献１に開示されている。特許文献１に開示されているクラッカー監視システムは、送信元ＩＰアドレスが同一で、かつ宛先ＩＰアドレスまたは宛先ポート番号が異なるアクセスが所定時間内に所定数以上あると、それを攻撃として検知し、それ以降、その送信元ＩＰアドレスからのアクセスを遮断する。
【０００８】
【特許文献１】
特開２００１−５７５５４号公報
【０００９】
【発明が解決しようとする課題】
特許文献１に開示されたシステムでは、ポートスキャンを行わず、所定範囲のＩＰアドレスに対して、順次に、あるいはランダムに直接にアクセスするタイプの不正アクセスを防止することができない。また、ポートスキャンで宛先ＩＰアドレスおよびポート番号を予め調べておくタイプでも、ポートスキャンとその後の不正アクセスが異なる送信元ＩＰアドレスから行われると、不正アクセスを防止することができない恐れがある。
【００１０】
また、例えば、サービスの公開されていないＩＰアドレスやポート番号に対するアクセスが１回でもあれば、その送信元ＩＰアドレスからポートスキャンがされていると検知することとすれば（すなわち、上述した所定数を「１」と設定すれば）、不正アクセスを防止できる可能性が高まる。しかし、その場合、悪意の無いユーザによる誤アクセスをポートスキャンと検知してしまうので、本来、遮断すべきでないアクセスをも遮断してしまう恐れがある。
【００１１】
また、特許文献１に開示されたシステムや、市販されているＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）製品は、センサと呼ばれる装置が通信パケットを検査し、不正アクセスがあるか否か判定するものである。そのセンサは、ネットワーク上に流れる通信パケットをのぞき見るか、あるいはハブやルータなどのミラーポートにより通信パケットの複製を受けることにより通信パケットを取得している。そのため、不正アクセスが検知されるまで、ネットワーク上の通信パケットは、センサが存在するか否かに関わらずファイアウォールに到達する。したがって、センサが不正アクセスを検知してファイアウォールの設定を変更することにより、パケットフィルタリング機能がその不正アクセスに対して働くより前に、不正アクセスがされてしまう恐れがある。
【００１２】
本発明の目的は、悪意の無いユーザによる誤アクセスと区別して不正アクセスを検知し、かつ不正アクセスの通信パケットを通過させることなく、パケットフィルタリング機能を働かせる不正アクセス防止方法、装置、およびプログラムを提供することである。
【００１３】
【課題を解決するための手段】
上記目的を達成するために、本発明の不正アクセス防止方法は、ホスト上のサービスに対してネットワークを介して不正アクセスが行われるのを防止するファイアウォール装置における不正アクセス防止方法であって、
前記ホストに対する各アクセスの通信パケットに付与された送信元情報を監視しており、フィルタリングルールに従って、該通信パケットを取り込むか、または不正アクセスとして破棄する第１のステップと、
前記第１のステップにおいて取り込まれた各通信パケットのアクセスを、誤アクセスの起こり得るものと、起こり得ないものに分類する第２のステップと、
前記第２のステップにおいて前記誤アクセスが起こり得るとされた通信パケットについて、該通信パケットに付与された宛先情報に関連するアクセス頻度項目のアクセス頻度を算出する第３のステップと、
前記第３のステップにおいて算出された該アクセス頻度に応じて誤アクセスか不正アクセスかの判定をする第４のステップと、
前記第４のステップにおいて不正アクセスと判定された前記通信パケットと同じ送信元情報を持った通信パケットを破棄すべきものとして前記フィルタリングルールを更新する第５のステップとを有している。
【００１４】
したがって、本発明によれば、公開されているサービスへのアクセスでユーザが指定ミスをすることによりアクセスされる可能性のあるサービスが、誤アクセスの起こる可能性のあるサービスとして予め認識されており、そこへのアクセス頻度が高いとき不正アクセスと判断され、アクセス頻度が低いとき誤アクセスと判断される。
【００１５】
また、前記第２のステップにおいて誤アクセスが起こり得ないとされた通信パケットについて、宛先のサービスがアクセスの許可されたものか否かに応じて、正常アクセスか不正アクセスかの判定をするステップをさらに有することとしてもよい。
【００１６】
したがって、誤アクセスの起こる可能性のないサービスに対するアクセスの中で、許可されていないものが不正アクセスと判断される。
【００１７】
また、正常アクセスと判定したアクセスの通信パケットを前記ホストに転送するステップをさらに有することとしてもよい。あるいは、正常アクセスと判定したアクセスの通信パケットのデータを用いて、前記クライアントの代理として前記ホストにアクセスするステップをさらに有することとしてもよい。その場合、前記クライアントの代理で前記ホストにアクセスする際、前記通信パケットのデータに応じてフィルタリングを行うこととしてもよい。
【００１８】
また、前記第１のステップにおいて取り込まれた通信パケットについて、前記判定がされるまで、該通信パケットの前記ホストへの転送を保留することとしてもよい。
【００１９】
したがって、アクセスが誤アクセスか、不正アクセスか等の判断がされた後に、通信パケットが転送される。
【００２０】
また、前記第３のステップにおいて誤アクセスと判定された通信パケットに対して、該通信パケットの送信元情報によって示されたクライアントに、誤アクセスと判定された旨を通知するための応答を送るステップをさらに有することとしてもよい。
【００２１】
したがって、誤アクセスをしたユーザに対して、誤りを知らせるための応答が返送され、同じ送信元から同じ宛先へ誤アクセスが繰り返されることが抑制される。
【００２２】
また、前記第１のステップにおいて取り込まれた通信パケットに含まれるデータを収集し、記録するステップをさらに有することとしてもよい。
【００２３】
したがって、不正アクセスのデータを後に解析することが可能となる。
【００２４】
また、前記第１のステップにおいて取り込まれた通信パケットについて、前記ホストに対する総アクセスに関するアクセス頻度を算出し、該アクセス頻度に応じて不正アクセスか否かを判定するステップと、
前記総アクセスのアクセス頻度から不正アクセスと判定されたアクセスの宛先情報で示された前記ホストに宛てた通信パケットを破棄すべきものとして前記フィルタリングルールを更新するステップをさらに有することとしてもよい。
【００２５】
したがって、アクセス数が極端に多い場合にＤｏＳ攻撃と判断し、そのホストに対するアクセスを遮断する。
【００２６】
本発明の不正アクセス防止装置は、ホスト上のサービスに対してネットワークを介して不正アクセスが行われるのを防止する不正アクセス防止装置であって、前記ホストに対する各アクセスの通信パケットに付与された送信元情報を監視しており、フィルタリングルールに従って、該通信パケットを取り込むか、または不正アクセスとして破棄するパケットフィルタリング処理手段と、
前記パケットフィルタリング手段によって取り込まれた各通信パケットのアクセスを、誤アクセスの起こり得るものと、起こり得ないものに分類し、前記誤アクセスの起こり得る通信パケットについて、該通信パケットに付与された宛先情報に関連するアクセス頻度項目のアクセス頻度を算出し、該アクセス頻度に応じて誤アクセスか不正アクセスかの判定をし、不正アクセスと判定された通信パケットを破棄する通知応答処理手段と、
前記通知応答処理手段によって不正アクセスと判定された前記通信パケットと同じ送信元情報を持った通信パケットを破棄すべきものとして前記フィルタリングルールを更新するパケットフィルタリング制御手段とを有している。
【００２７】
また、前記通知応答処理手段は、誤アクセスの起こり得ない通信パケットについて、宛先のサービスがアクセスの許可されたものか否かに応じて、正常アクセスか不正アクセスかの判定をすることとしてもよい。
【００２８】
また、前記通知応答処理手段は、正常アクセスと判定したアクセスの通信パケットをパケットフィルタリング処理手段経由で前記ホストに転送することとしてもよい。
【００２９】
また、前記通知応答処理手段は、正常アクセスと判定したアクセスの通信パケットのデータを用いて、前記クライアントの代理として前記ホストにアクセスすることとしてもよい。
【００３０】
また、前記通知応答処理手段は、前記クライアントの代理で前記ホストにアクセスする際、前記通信パケットのデータに応じてフィルタリングを行うこととしてもよい。
【００３１】
また、前記パケットフィルタリング処理手段によって取り込まれた通信パケットについて、前記通知応答処理手段は、前記判定がされるまで、該通信パケットの前記ホストへの転送を保留することとしてもよい。
【００３２】
また、前記通知応答処理手段は、誤アクセスと判定された通信パケットの送信元情報によって示されたクライアントに、誤アクセスと判定された旨を通知するための応答を送ることとしてもよい。
【００３３】
また、前記通知応答処理手段は、前記パケットフィルタリング処理手段で取り込まれた通信パケットに含まれるデータを収集し、記録することとしてもよい。
【００３４】
また、前記通知応答処理手段は、前記ホストに対する総アクセスについてアクセス頻度を算出し、該アクセス頻度に応じて不正アクセスか否かを判定し、
前記パケットフィルタリング制御手段は、総アクセスのアクセス頻度から不正アクセスと判定されたアクセスの宛先情報で示された前記ホストに宛てた通信パケットを破棄すべきものとして前記フィルタリングルールを更新することとしてもよい。
【００３５】
本発明の不正アクセス防止プログラムは、ホスト上のサービスに対してネットワークを介して不正アクセスが行われるのをコンピュータに防止させるための不正アクセス防止プログラムであって、
前記ホストに対する各アクセスの通信パケットに付与された送信元情報を監視しており、フィルタリングルールに従って、該通信パケットを取り込むか、または不正アクセスとして破棄する第１の処理と、
前記第１の処理において取り込まれた各通信パケットのアクセスを、誤アクセスの起こり得るものと、起こり得ないものに分類する第２の処理と、
前記第２の処理において前記誤アクセスが起こり得るとされた通信パケットについて、該通信パケットに付与された宛先情報に関連するアクセス頻度項目のアクセス頻度を算出する第３の処理と、
前記第３の処理において算出された該アクセス頻度に応じて誤アクセスか不正アクセスかの判定をする第４の処理と、
前記第４の処理において不正アクセスと判定された前記通信パケットと同じ送信元情報を持った通信パケットを破棄すべきものとして前記フィルタリングルールを更新する第５の処理とを有している。
【００３６】
また、前記第２の処理において誤アクセスが起こり得ないとされた通信パケットについて、宛先のサービスがアクセスの許可されたものか否かに応じて、正常アクセスか不正アクセスかの判定をする処理をさらに有することとしてもよい。
【００３７】
また、正常アクセスと判定したアクセスの通信パケットを前記ホストに転送する処理をさらに有することとしてもよい。
【００３８】
また、正常アクセスと判定したアクセスの通信パケットのデータを用いて、前記クライアントの代理として前記ホストにアクセスする処理をさらに有することとしてもよい。
【００３９】
また、前記クライアントの代理で前記ホストにアクセスする際、前記通信パケットのデータに応じてフィルタリングを行うこととしてもよい。
【００４０】
また、前記第１の処理において取り込まれた通信パケットについて、前記判定がされるまで、該通信パケットの前記ホストへの転送を保留することとしてもよい。
【００４１】
また、前記第３の処理において誤アクセスと判定された通信パケットに対して、該通信パケットの送信元情報によって示されたクライアントに、誤アクセスと判定された旨を通知するための応答を送る処理をさらに有することとしてもよい。
【００４２】
また、前記第１の処理において取り込まれた通信パケットに含まれるデータを収集し、記録する処理をさらに有することとしてもよい。
【００４３】
また、前記第１の処理において取り込まれた通信パケットについて、前記ホストに対する総アクセスに関するアクセス頻度を算出し、該アクセス頻度に応じて不正アクセスか否かを判定する処理と、
前記総アクセスのアクセス頻度から不正アクセスと判定されたアクセスの宛先情報で示された前記ホストに宛てた通信パケットを破棄すべきものとして前記フィルタリングルールを更新する処理をさらに有することとしてもよい。
【００４４】
【発明の実施の形態】
本発明の一実施形態について図面を参照して詳細に説明する。
【００４５】
図１は、本発明の一実施形態によるファイアウォールの構成を示すブロック図である。図１を参照すると、ファイアウォール２は、クライアント１とホスト３の間に設けられている。ファイアウォール２は、パケットフィルタリング処理部２１、通知応答処理部２２、パケットフィルタリング制御部２３、およびフィルタリングルールデータベース（フィリタリングルールＤＢ）２４を有している。
【００４６】
この例では、クライアント１がアクセス元であり、ホスト３がアクセス先である。ファイアウォール２は、クライアント１からホスト３へのアクセスを監視し、不正アクセスを防止する。
【００４７】
パケットフィルタリング処理部２１は、クライアント１とホスト３の間の各通信パケットに対して、フィルタリングルールデータベース２４を参照してフィルタリング処理を行う。フィルタリング処理において、パケットフィルタリング処理部２１は、クライアント１からホスト３への通信パケットを受けると、フィルタリングルールデータベース２４を検索して得られた情報によって、通信パケットを拒否するか、取り込むかを決める。取り込むとされた通信パケットは通知応答処理部２２に送られる。
【００４８】
また、パケットフィルタリング処理部２１は、フィルタリング処理、および通知応答処理部２２の処理の結果に従って、パケットを破棄または拒否するか、通知応答処理部２２で生成された応答メッセージを送信元のクライアント１に送るか、あるいはクライアント１からの通信パケットをそのままホスト３に送る。
【００４９】
フィルタリングルールデータベース２４は、パケットフィルタリング処理部２１によりアクセスを拒否されるべき送信元ＩＰアドレスを記憶している。また、フィルタリングルールデータベース２４は、許可されているアクセスか否か不正アクセス判定部２２１が判定するための情報を記憶している。許可されたアクセスか否かは、例えば、宛先が公開サービスであるか否か、公開先が限定されている場合には、送信元が公開先として認められているか否かなどによって決まる。
【００５０】
通知応答処理部２２は、不正アクセス判定部２２１、アクセス頻度データベース（アクセス頻度ＤＢ）２２２、動作設定ファイル２２３、アクセスコントロール処理部２２４、および応答メッセージ生成部２２５を有している。
【００５１】
不正アクセス処理部２２１は、アクセスの通信パケットをフィルタリング処理部２１から受けると、その通信パケットの送信元のＩＰアドレスやポート番号を含む送信元情報、宛先のＩＰアドレスやポート番号を含む宛先情報、およびプロトコル種別などの情報（以下、アクセス種別情報と称す）と、アクセス時刻とをアクセス頻度データべース２２２に記録する。
【００５２】
また、不正アクセス判定部２２１は、パケットフィルタリング処理部２１から通信パケットを受けると、動作設定ファイル２２３を参照し、その通信パケットのアクセス種別情報に含まれる宛先情報から、誤アクセスの起こる可能性のあるサービスであるか否かを調べる。通信パケットの宛先が誤アクセスの起こる可能性のあるサービスであれば、不正アクセス判定部２２１は、動作設定ファイル２２３を参照して、アクセス頻度を算出すべき項目を調べる。さらに、不正アクセス判定部２２１は、アクセス頻度データベース２２２を参照して各項目のアクセス頻度を算出し、アクセス頻度が動作設定ファイル２２３に設定された閾値を超えている項目があるか否か判定する。
【００５３】
アクセス頻度が閾値を越えている項目があれば、不正アクセス判定部２２１は、それを誤アクセスとして、応答メッセージ生成部２２５に通知する。
【００５４】
誤アクセスの起こる可能性のないサービスであれば、不正アクセス判定部２２１は、そのアクセスを許可されるものであるか否か判定する。アクセスが許可されるものであれば、不正アクセス処理部２２１は、正常アクセスとして、通信パケットをパケットフィルタリング処理部２１経由でホスト３に送る。
【００５５】
アクセスが許可されるものでない場合と、アクセス頻度が閾値を超えている場合には、不正アクセス処理部２２１は、不正アクセスとして、アクセスコントロール処理部２２４に通知する。
【００５６】
アクセスコントロール処理部２２４は、ある通信パケットについて不正アクセスが検出されたことを不正アクセス処理部２２１から通知されると、その通信パケットの送信元ＩＰアドレスを拒否すべき送信元ＩＰアドレスとしてパケットフィルタリング制御部２３に通知する。
【００５７】
アクセス頻度データベース２２２は、パケットフィルタリング処理部２１から不正アクセス判定部２２１に送られた通信パケットから不正アクセス判定部２２１で抽出された、各アクセスに関するアクセス種別情報を記憶している。このアクセス頻度データベース２２２に記録されたアクセス種別情報を元に各アクセス頻度を算出することが可能である。
【００５８】
応答メッセージ生成部２２５は、不正アクセス判定部２２１から誤アクセスと判定した旨の通知を受けると、応答メッセージを生成し、パケットフィルタリング処理部２１経由でクライアント１に送る。
【００５９】
動作設定ファイル２２３は、誤アクセスの可能性があるサービスを不正アクセス判定部２２１が特定するための情報を記憶している。誤アクセスは、ユーザによるホスト名の指定ミスなどから起こるものである。指定ミスによって宛先として指定され得るサービスは限られた、ほんの一部のサービスである。本実施形態のファイアウォール２では、このようなサービスが誤アクセスの可能性のあるサービスとされる。
【００６０】
例えば、ホストＡでは、ＴＣＰポート番号が「８０」ポートでｗｅｂサービスが行われているとする。そして、同じネットワークにホストＢ、Ｃが存在するとする。このような場合、ホストＢ、ＣのＴＣＰポート番号が「８０」のサービスは、ｗｅｂサービスにアクセスしようとしたユーザの指定ミスによりアクセスされる可能性があり、誤アクセスの起こる可能性のあるサービスであると言える。
【００６１】
また、動作設定ファイル２２３には、アクセス頻度として算出されるべき項目と、それら各項目について不正アクセスと判定する閾値とが設定されている。
【００６２】
また、動作設定ファイル２２３には、応答メッセージ生成部２２５が応答メッセージを作成するのに利用する情報が記録されている。例えば、「このホスト上ではサービスが公開去れていません。ＵＲＬを確認し、変更してください。」のように、応答メッセージによってクライアント１の画面に表示すべきテキストの情報が動作設定ファイル２２３に記録されている。これは、同じホストへアクセスが繰り返されることを抑制するための情報である。
【００６３】
また、動作設定ファイル２２３には、アクセスを拒否すべき送信元ＩＰアドレスを設定するために、アクセスコントロール処理部２２４によって利用される情報を記憶している。
【００６４】
パケットフィルタリング制御部２３は、フィルタリングルールデータベース２４のルールを管理しており、アクセスコントロール処理部２２４からの通知に従ってフィルタリングルールをフィルタリングルールデータベース２４に設定する。例えば、指定された送信元ＩＰアドレスからの通信パケットの受信を拒否するようにフィルタリングルールを設定する。
【００６５】
図２は、本実施形態のシステムの動作を示すフローチャートである。図２を参照すると、クライアント１からホスト３に対するアクセスの通信パケットをファイアウォール２が受信する（ステップＳ２０１）。次に、ファイアウォール２は、その通信パケットに対して所定の処理を行う（ステップＳ２０２）。
【００６６】
次に、ファイアウォール２は、ステップＳ２０２の処理が通信パケットを廃棄または拒否するものであったか否か判定する（ステップＳ２０４）。ステップＳ２０２の処理が通信パケットを廃棄または拒否するものであれば、ファイアウォール２は、そのまま処理を終了する。なお、パケットの廃棄または拒否は、不正アクセスに対して行われる処理である。
【００６７】
処理が通信パケットを廃棄または拒否するものでなかったら、ファイアウォール２は、ステップＳ２０２の処理が通信パケットをホスト３へ転送するものであったか否か判定する（ステップＳ２０４）。
【００６８】
ステップＳ２０２の処理が通信パケットをホスト３へ転送するものでなかったら、ファイアウォール２は、通知応答処理部２２からの応答をクライアント１に転送し、処理を終了する（ステップＳ２０５）。なお、これは誤アクセスに対して行われる処理である。
【００６９】
ステップＳ２０２の処理が通信パケットをホスト３へ転送するものであったら、ファイアウォール２は、転送された通信パケットに対するホスト３からの応答を受け取ってクライアント１に転送し、処理を終了する（ステップＳ２０６）。なお、これは正常アクセスに対して行われる処理である。
【００７０】
図３は、図２におけるステップＳ２０２の処理を示すフローチャートである。図３を参照すると、まず、パケットフィルタリング処理部２１が通信パケットを取得する（ステップＳ３０１）。次に、パケットフィルタリング処理部２１は、その通信パケットが、アクセスを拒否すべき送信元ＩＰアドレスか否か判定する（ステップＳ３０２）。アクセスを拒否すべき送信元ＩＰアドレスからであれば、パケットフィルタリング処理部２１は、その通信パケットを破棄して処理を終了する（ステップＳ３０３）。なお、アクセスの破棄と拒否を区別して管理する場合、パケットフィルタリング処理部２１は、破棄であれば、クライアント１からの通信パケットを破棄し、拒否であれば、通信パケットを破棄した上、拒否の旨のコントロールパケット（ＩＣＭＰパケット）をクライアント１に送る。
【００７１】
また、アクセスを拒否すべき送信元ＩＰアドレスでなければ、パケットフィルタリング処理部２１は、その通信パケットを通知応答処理部２２に転送し、通知応答処理部２２がその通信パケットに対して所定の処理を行う（ステップＳ３０４）。
【００７２】
次に、パケットフィルタリング処理部２１は、ステップＳ３０４の処理がパケットを破棄するものであるか否か判定する（ステップＳ３０５）。パケットフィルタリング処理部２１は、ステップＳ３０４の処理が通信パケットを破棄するものであれば、パケットフィルタリング処理部２１は、ステップＳ３０３の処理に進み、その通信パケットを破棄して処理を終了する。
【００７３】
ステップＳ３０４の処理が通信パケットを破棄するものでなければ、パケットフィルタリング処理部２１は、パケットフィルタリング処理部２１は、ステップ３０４の処理が、通知応答処理部２２による送信元のクライアント１への応答であったか否か判定する（ステップＳ３０６）。
【００７４】
ステップＳ３０４の処理が通知応答処理部２２からの応答であれば、パケットフィルタリング処理部２１がその応答をクライアント１に転送する（ステップＳ３０７）。また、ステプＳ３０４の処理が通知応答処理部２２からの応答でなければ、パケットフィルタリング処理部２１は、クライアント１からの通信パケットをホスト３に転送する（ステップＳ３０８）。
【００７５】
図４は、図３におけるステップＳ３０４の処理を示すフローチャートである。図４を参照すると、まず、通知応答処理部２２は、パケットフィルタリング処理部２１から通信パケットを受け取る（ステップＳ４０１）。次に、通知応答処理部２２は、アクセス時刻やアクセス種別情報をアクセス頻度データベース２２２に記録する（ステップＳ４０２）。
【００７６】
図５は、アクセス頻度データベース２２２に記録されたデータのレコードイメージの一例を示す図である。図５の例では、各アクセスについて、アクセス時刻と、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル種別、および送信元ポート番号（送信元ＰＯＲＴ）を含むアクセス種別情報がアクセス頻度データベース２２２に記録されている。
【００７７】
次に、通知応答処理部２２は、その通信パケットの宛先が誤アクセスの起こる可能性のあるサービスか否か判定する（ステップＳ４０３）。
【００７８】
誤アクセスの起こる可能性のあるサービスであれば、通知応答処理部２２は、その送信元からのアクセスに関する各アクセス頻度を算出する（ステップＳ４０４）。なお、アクセス頻度として算出すべき項目は、動作設定ファイル２２３に設定されている。
【００７９】
図６は、動作設定ファイル２２３に設定されたデータの一例を示す図である。アクセス頻度として算出すべき項目と、各項目の閾値となる設定値とが設定されている。図６の例では、３つのアクセス頻度が算出される。１つのアクセス頻度は、クライアント１からの通信パケットの宛先と同一のホスト（ＩＰアドレスで示される）の同一のポート（ポート番号で示される）へのアクセスが５００ミリ秒の間に行われた回数である。そして、その閾値は２回である。他のアクセス頻度は、クライアント１からの通信パケットの宛先と同一のホストの異なるポートへのアクセスが１秒間に行われた回数である。その閾値は３回である。さらに他のアクセス頻度は、クライアント１からの通信パケットの宛先と異なるホストの同一番号のポートへのアクセスが３秒間に行われた回数である。その閾値は４回である。
【００８０】
次に、通知応答処理部２２は、各アクセス頻度が全て閾値以下か否か判定する（ステップＳ４０５）。
【００８１】
図６の例では、通知応答処理部２２は、クライアント１からの通信パケットと同じ送信元から、過去５００ミリ秒の間に行われた、その通信パケットの宛先と同じホストおよびポートへのアクセスが閾値の２回を越えているか否か判定する。また、通知応答処理部２２は、同様に、クライアント１からの通信パケットと同じ送信元から、過去１秒の間に行われた、その通信パケットの宛先と同じホストの異なるポートへのアクセスが閾値の３回を越えているか否か判定する。また、通知応答処理部２２は、同様に、クライアント１からの通信パケットと同じ送信元から、過去３秒の間に行われた、その通信パケットの宛先と異なるホストの同じ番号のポートへのアクセスが閾値の４回を越えているか否か判定する。
【００８２】
全てのアクセス頻度が閾値以下であれば、通知応答処理部２２は、誤アクセスと判断し、応答メッセージを生成して送信元のクライアント１に送り、処理を終了する（ステップＳ４０６）。
【００８３】
ステップ４０３の判定において、誤アクセスの起こる可能性のないサービスであれば、通知応答処理部２２は、そのアクセスが許可されたアクセスか否か判定する（ステップＳ４０７）。
【００８４】
ステップＳ４０７の判定で許可されたアクセスでない場合、およびステップＳ４０５の判定で閾値以下でないアクセス頻度の項目があった場合、通知応答処理部２２は、送信元からのアクセスを遮断するように、すなわち送信元のＩＰアドレスをアクセスを拒否すべきＩＰアドレスとして登録するように、パケットフィルタリング制御部２３に依頼して処理を終了する（ステップＳ４０８）。この依頼を受けたパケットフィルタリング制御部２３は、アクセスを拒否すべきＩＰアドレスとして、依頼されたＩＰアドレスを追加して、フィルタリングルールを更新する。
【００８５】
ステップＳ４０７の判定において、許可されたアクセスであれば、通知応答処理部２２は、クライアント１からの通信パケットを宛先のホストに転送し、処理を終了する（ステップＳ４０９）。
【００８６】
以上説明したように、本実施形態のファイアウォール２によれば、公開されているサービスへのアクセスで指定ミスをすることによりアクセスされる可能性のあるサービスが、誤アクセスの起こる可能性のあるサービスとして予め認識されており、そこへのアクセス頻度が高いとき不正アクセスと判断され、アクセス頻度が低いとき誤アクセスと判断されるので、ツールなどを用いて機械的に連続して行われることの多い不正アクセスと、ユーザの指定ミスにより単発的に発生する誤アクセスとを区別して、不正アクセスのみを検知することができ、悪意の無いユーザによる誤アクセスを不正アクセスと判断することが防止される。
【００８７】
また、アクセスが誤アクセスか、不正アクセスか、あるいは正常なアクセスか判断された後に、通信パケットを転送あるいは破棄するなどの処理が行われるので、不正アクセスの通信パケットを通過させることが無く、不正アクセスによりホストに悪影響が生じることがない。
【００８８】
また、誤アクセスをしたユーザに対して、誤りを知らせるための応答が返送され、同じ送信元から同じ宛先へ誤アクセスが繰り返されることが抑制されるので、不正アクセスと誤アクセスとのアクセス頻度の違いが明確になり、正確に誤アクセスと不正アクセスとが区別される。
【００８９】
また、誤アクセスの起こる可能性のないサービスに対するアクセスの中で、許可されていないものが不正アクセスと判断されるので、指定ミスでは指定され得ないような宛先に対して悪意を持って意図的に行われ、かつポートスキャンをせずに無差別の宛先に対して行われた不正アクセスを検知することができる。
【００９０】
本発明の他の実施形態について説明する。
【００９１】
図７は、本発明の他の実施形態のファイアウォールの構成を示すブロック図である。図７を参照すると、ファイアウォール４は、アクセスデータ収集部２５を有する点で図１に示されたファイアウォール２と異なる。
【００９２】
アクセスデータ収集部２５は、不正アクセス時にクライアント１から送信された通信パケットのデータを収集し、記録する。不正アクセス判定部２２１にて不正アクセスと判断されたアクセスの通信パケットのデータがアクセスデータ収集部２５に送られ、そこに収集、記録される。ここで言う通信パケットのデータには、その通信パケットのペイロードに搭載されたデータファイルやプログラムなどが含まれる。
【００９３】
これにより、不正アクセスのデータを後に解析することが可能となり、どのような攻撃がされたかを知ることができる。例えば、分析結果は、攻撃の種類と回数の把握や、ＩＤＳ（侵入検知装置）のパターンの設定に利用することが考えられる。
【００９４】
また、本実施形態のファイアウォール４は、通知応答処理部２２に送られた全ての通信パケットのデータをアクセスデータ収集部２５に収集、記録してもよい。
【００９５】
これにより、収集されたデータから通信パケットを再構成することで、データが保存されている期間に送受信し、誤って消去したメールを再取得することができる。
【００９６】
本発明のさらに他の実施形態のファイアウォールについて説明する。
【００９７】
図８は、本発明のさらに他の実施形態のファイアウォール５の構成を示すブロック図である。図８を参照すると、ファイアウォール５は、通知応答処理部２６が代理アクセス処理部２２６を有する点で、図１のファイアウォール２と異なる。
【００９８】
不正アクセス判定部２２１は、クライアント１からの通信パケットをホスト３に転送する際に動作設定ファイル２２３を参照し、その通信パケットが代理アクセスすべきものに該当すれば、その通信パケットをホスト３に転送せず、代理アクセス処理部２２６に送る。
【００９９】
代理アクセス処理部２２６は、クライアント１からの通信パケットが正常アクセスであると判断されると、ホスト３との間に新たなセッションを確立し、その通信パケットの内容を用いてホスト３に代理アクセスを行う。その通信パケットに対する応答をホスト３から受けると、代理アクセス処理部２２６は、その内容を送信元のクライアント１に送る。
【０１００】
こうすることにより、ファイアウォール５は代理アクセスを行うプロキシ機能を提供することができる。
【０１０１】
また、図８のファイアウォール５の代理アクセス処理部２２６がパケットのデータ内容に応じてフィルタリングを行うこととしてもよい。ここで言うフィルタリングは、例えば、データ内容のファイルやプログラムが不正アクセスとして予め認識されているものである場合に、そのデータ内容を含む通信パケットを破棄することである。
【０１０２】
代理アクセス処理部２２６は、いったん通信パケットからデータ内容を取得するので、この内容を一時的にキャッシングし、再構成すれば、アプリケーション毎に解析可能なデータを得ることができる。
【０１０３】
こうすることにより、例えば、通信パケットの内容がＳＭＴＰのような電子メールの場合、内部から外部へ向かうアクセスにおいてＲｅｃｉｅｖｅｄヘッダに搭載される内部ネットワーク情報の隠蔽などが可能となり、アプリケーションゲートウェイ機能の提供が可能になる。
【０１０４】
さらに、上述のいずれの実施形態においても、サーバ毎の総アクセスの頻度からＤｏＳ／ＤＤｏＳ対策が可能である。例えば、あるｗｅｂサービスに対して膨大なアクセス要求を行い、サービス停止を狙うＤｏＳ攻撃が行われることがある。
【０１０５】
上述したアクセス頻度データベース２２２には、全てのアクセスの情報が含まれている。動作設定ファイル２２３にはＤｏＳ閾値が定義されている。
【０１０６】
不正アクセス検出部２２１は、ある送信元ＩＰアドレスから、ある特定のホストに対して単位時間当たりに膨大な（閾値を超える）アクセス要求が行われたことを検出すると、それをＤｏＳ攻撃と判断し、そのホストに対するアクセスを遮断する。
【０１０７】
こうすることで、アクセス数が極端に多い場合にＤｏＳ攻撃と判断し、そのホストに対するアクセスを遮断するので、ある送信元からによるＤｏＳ攻撃からホストを保護することができる。
【０１０８】
同様にしてＤＤｏＳ攻撃の防ぐこともできる。不正アクセス検出部２２１は、送信元ＩＰアドレスに関係なく、特定のホストに対して単位時間当たりに膨大な（閾値を超える）アクセス要求が行われたことを検出すると、ＤＤｏＳ攻撃であると判断し、そのホストに対する全てのアクセスを遮断すればよい。
【０１０９】
【発明の効果】
本発明によれば、公開されているサービスへのアクセスで指定ミスをすることによりアクセスされる可能性のあるサービスが、誤アクセスの起こる可能性のあるサービスとして予め認識されており、そこへのアクセス頻度が高いとき不正アクセスと判断され、アクセス頻度が低いとき誤アクセスと判断されるので、ツールなどを用いて機械的に連続して行われることの多い不正アクセスと、ユーザの指定ミスにより単発的に発生する誤アクセスとを区別して、不正アクセスのみを検知することができ、悪意の無いユーザによる誤アクセスを不正アクセスと判断することが防止される。
【０１１０】
また、誤アクセスの起こる可能性のないサービスに対するアクセスの中で、許可されていないものが不正アクセスと判断されるので、指定ミスでは指定され得ないような宛先に対して悪意を持って意図的に行われ、かつポートスキャンをせずに無差別の宛先に対して行われた不正アクセスを検知することができる。
【０１１１】
また、アクセスが誤アクセスか、不正アクセスか等の判断がされた後に、通信パケットが転送されるので、不正アクセスの通信パケットをホストに通過させることが無く、不正アクセスによりホストに悪影響が生じることがない。
【０１１２】
また、誤アクセスをしたユーザに対して、誤りを知らせるための応答が返送され、同じ送信元から同じ宛先へ誤アクセスが繰り返されることが抑制されるので、不正アクセスと誤アクセスとのアクセス頻度の違いが明確になり、正確に誤アクセスと不正アクセスとが区別される。
【０１１３】
また、不正アクセスのデータを後に解析することが可能となり、どのような攻撃がされたかを知ることができる。
【０１１４】
また、アクセス数が極端に多い場合にＤｏＳ攻撃と判断し、そのホストに対するアクセスを遮断するので、ＤｏＳ攻撃から有効にホストを保護することができる。
【図面の簡単な説明】
【図１】本発明の一実施形態によるファイアウォールの構成を示すブロック図である。
【図２】本実施形態のシステムの動作を示すフローチャートである。
【図３】図２におけるステップＳ２０２の処理を示すフローチャートである。
【図４】図３におけるステップＳ３０４の処理を示すフローチャートである。
【図５】アクセス頻度データベースに記録されたデータのレコードイメージの一例を示す図である。
【図６】動作設定ファイルに設定されたデータの一例を示す図である。
【図７】本発明の他の実施形態のファイアウォールの構成を示すブロック図である。
【図８】本発明のさらに他の実施形態のファイアウォール５の構成を示すブロック図である。
【符号の説明】
１ クライアント
２、４、５ ファイアウォール
３ ホスト
２１ パケットフィルタリング処理部
２２ 通知応答処理部
２３ パケットフィルタリング制御部
２４ フィルタリングルールデータベース（フィリタリングルールＤＢ）
２５ アクセスデータ収集部
２２１ 不正アクセス判定部
２２２ アクセス頻度データベース（アクセス頻度ＤＢ）
２２３ 動作設定ファイル
２２４ アクセスコントロール処理部
２２５ 応答メッセージ生成部
２２６ 代理アクセス処理部
Ｓ２０１〜Ｓ２０６、Ｓ３０１〜Ｓ３０８、Ｓ４０１〜４０９ ステップ
Claims (27)
- ホスト上のサービスに対してネットワークを介して不正アクセスが行われるのを防止するファイアウォール装置における不正アクセス防止方法であって、
前記ホストに対する各アクセスの通信パケットに付与された送信元情報を監視しており、フィルタリングルールに従って、該通信パケットを取り込むか、または不正アクセスとして破棄する第１のステップと、
前記第１のステップにおいて取り込まれた各通信パケットのアクセスを、誤アクセスの起こり得るものと、起こり得ないものに分類する第２のステップと、
前記第２のステップにおいて前記誤アクセスが起こり得るとされた通信パケットについて、該通信パケットに付与された宛先情報に関連するアクセス頻度項目のアクセス頻度を算出する第３のステップと、
前記第３のステップにおいて算出された該アクセス頻度に応じて誤アクセスか不正アクセスかの判定をする第４のステップと、
前記第４のステップにおいて不正アクセスと判定された前記通信パケットと同じ送信元情報を持った通信パケットを破棄すべきものとして前記フィルタリングルールを更新する第５のステップとを有する不正アクセス防止方法。 - 前記第２のステップにおいて誤アクセスが起こり得ないとされた通信パケットについて、宛先のサービスがアクセスの許可されたものか否かに応じて、正常アクセスか不正アクセスかの判定をするステップをさらに有する、請求項１記載の不正アクセス防止方法。
- 正常アクセスと判定したアクセスの通信パケットを前記ホストに転送するステップをさらに有する、請求項２記載の不正アクセス防止方法。
- 正常アクセスと判定したアクセスの通信パケットのデータを用いて、前記クライアントの代理として前記ホストにアクセスするステップをさらに有する、請求項２記載の不正アクセス防止方法。
- 前記クライアントの代理で前記ホストにアクセスする際、前記通信パケットのデータに応じてフィルタリングを行う、請求項４記載の不正アクセス防止方法。
- 前記第１のステップにおいて取り込まれた通信パケットについて、前記判定がされるまで、該通信パケットの前記ホストへの転送を保留する、請求項１〜５のいずれか１項に記載の不正アクセス防止方法。
- 前記第３のステップにおいて誤アクセスと判定された通信パケットに対して、該通信パケットの送信元情報によって示されたクライアントに、誤アクセスと判定された旨を通知するための応答を送るステップをさらに有する、請求項１〜６のいずれか１項に記載の不正アクセス防止方法。
- 前記第１のステップにおいて取り込まれた通信パケットに含まれるデータを収集し、記録するステップをさらに有する、請求項１〜７のいずれか１項に記載の不正アクセス防止方法。
- 前記第１のステップにおいて取り込まれた通信パケットについて、前記ホストに対する総アクセスに関するアクセス頻度を算出し、該アクセス頻度に応じて不正アクセスか否かを判定するステップと、
前記総アクセスのアクセス頻度から不正アクセスと判定されたアクセスの宛先情報で示された前記ホストに宛てた通信パケットを破棄すべきものとして前記フィルタリングルールを更新するステップをさらに有する、請求項１〜８のいずれか１項に記載の不正アクセス防止方法。 - ホスト上のサービスに対してネットワークを介して不正アクセスが行われるのを防止する不正アクセス防止装置であって、
前記ホストに対する各アクセスの通信パケットに付与された送信元情報を監視しており、フィルタリングルールに従って、該通信パケットを取り込むか、または不正アクセスとして破棄するパケットフィルタリング処理手段と、
前記パケットフィルタリング手段によって取り込まれた各通信パケットのアクセスを、誤アクセスの起こり得るものと、起こり得ないものに分類し、前記誤アクセスの起こり得る通信パケットについて、該通信パケットに付与された宛先情報に関連するアクセス頻度項目のアクセス頻度を算出し、該アクセス頻度に応じて誤アクセスか不正アクセスかの判定をし、不正アクセスと判定された通信パケットを破棄する通知応答処理手段と、
前記通知応答処理手段によって不正アクセスと判定された前記通信パケットと同じ送信元情報を持った通信パケットを破棄すべきものとして前記フィルタリングルールを更新するパケットフィルタリング制御手段とを有する不正アクセス防止装置。 - 前記通知応答処理手段は、誤アクセスの起こり得ない通信パケットについて、宛先のサービスがアクセスの許可されたものか否かに応じて、正常アクセスか不正アクセスかの判定をする、請求項１０記載の不正アクセス防止装置。
- 前記通知応答処理手段は、正常アクセスと判定したアクセスの通信パケットをパケットフィルタリング処理手段経由で前記ホストに転送する、請求項１１記載の不正アクセス防止装置。
- 前記通知応答処理手段は、正常アクセスと判定したアクセスの通信パケットのデータを用いて、前記クライアントの代理として前記ホストにアクセスする、請求項１１記載の不正アクセス防止装置。
- 前記通知応答処理手段は、前記クライアントの代理で前記ホストにアクセスする際、前記通信パケットのデータに応じてフィルタリングを行う、請求項１３記載の不正アクセス防止装置。
- 前記パケットフィルタリング処理手段によって取り込まれた通信パケットについて、前記通知応答処理手段は、前記判定がされるまで、該通信パケットの前記ホストへの転送を保留する、請求項１０〜１４のいずれか１項に記載の不正アクセス防止装置。
- 前記通知応答処理手段は、誤アクセスと判定された通信パケットの送信元情報によって示されたクライアントに、誤アクセスと判定された旨を通知するための応答を送る、請求項１０〜１５のいずれか１項に記載の不正アクセス防止装置。
- 前記パケットフィルタリング処理手段で取り込まれ、前記通知応答処理手段に渡された通信パケットに含まれるデータを収集し、記録するアクセスデータ収集手段をさらに有する、請求項１０〜１６のいずれか１項に記載の不正アクセス防止装置。
- 前記通知応答処理手段は、前記ホストに対する総アクセスについてアクセス頻度を算出し、該アクセス頻度に応じて不正アクセスか否かを判定し、
前記パケットフィルタリング制御手段は、総アクセスのアクセス頻度から不正アクセスと判定されたアクセスの宛先情報で示された前記ホストに宛てた通信パケットを破棄すべきものとして前記フィルタリングルールを更新する、請求項１０〜１７のいずれか１項に記載の不正アクセス防止装置。 - ホスト上のサービスに対してネットワークを介して不正アクセスが行われるのをコンピュータに防止させるための不正アクセス防止プログラムであって、
前記ホストに対する各アクセスの通信パケットに付与された送信元情報を監視しており、フィルタリングルールに従って、該通信パケットを取り込むか、または不正アクセスとして破棄する第１の処理と、
前記第１の処理において取り込まれた各通信パケットのアクセスを、誤アクセスの起こり得るものと、起こり得ないものに分類する第２の処理と、
前記第２の処理において前記誤アクセスが起こり得るとされた通信パケットについて、該通信パケットに付与された宛先情報に関連するアクセス頻度項目のアクセス頻度を算出する第３の処理と、
前記第３の処理において算出された該アクセス頻度に応じて誤アクセスか不正アクセスかの判定をする第４の処理と、
前記第４の処理において不正アクセスと判定された前記通信パケットと同じ送信元情報を持った通信パケットを破棄すべきものとして前記フィルタリングルールを更新する第５の処理とを有する不正アクセス防止プログラム。 - 前記第２の処理において誤アクセスが起こり得ないとされた通信パケットについて、宛先のサービスがアクセスの許可されたものか否かに応じて、正常アクセスか不正アクセスかの判定をする処理をさらに有する、請求項１９記載の不正アクセス防止プログラム。
- 正常アクセスと判定したアクセスの通信パケットを前記ホストに転送する処理をさらに有する、請求項２０記載の不正アクセス防止プログラム。
- 正常アクセスと判定したアクセスの通信パケットのデータを用いて、前記クライアントの代理として前記ホストにアクセスする処理をさらに有する、請求項２０記載の不正アクセス防止プログラム。
- 前記クライアントの代理で前記ホストにアクセスする際、前記通信パケットのデータに応じてフィルタリングを行う、請求項２２記載の不正アクセス防止プログラム。
- 前記第１の処理において取り込まれた通信パケットについて、前記判定がされるまで、該通信パケットの前記ホストへの転送を保留する、請求項１９〜２３のいずれか１項に記載の不正アクセス防止プログラム。
- 前記第３の処理において誤アクセスと判定された通信パケットに対して、該通信パケットの送信元情報によって示されたクライアントに、誤アクセスと判定された旨を通知するための応答を送る処理をさらに有する、請求項１９〜２４のいずれか１項に記載の不正アクセス防止プログラム。
- 前記第１の処理において取り込まれた通信パケットに含まれるデータを収集し、記録する処理をさらに有する、請求項１９〜２５のいずれか１項に記載の不正アクセス防止プログラム。
- 前記第１の処理において取り込まれた通信パケットについて、前記ホストに対する総アクセスに関するアクセス頻度を算出し、該アクセス頻度に応じて不正アクセスか否かを判定する処理と、
前記総アクセスのアクセス頻度から不正アクセスと判定されたアクセスの宛先情報で示された前記ホストに宛てた通信パケットを破棄すべきものとして前記フィルタリングルールを更新する処理をさらに有する、請求項１９〜２６のいずれか１項に記載の不正アクセス防止プログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003053591A JP3760919B2 (ja) | 2003-02-28 | 2003-02-28 | 不正アクセス防止方法、装置、プログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003053591A JP3760919B2 (ja) | 2003-02-28 | 2003-02-28 | 不正アクセス防止方法、装置、プログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004266483A true JP2004266483A (ja) | 2004-09-24 |
| JP3760919B2 JP3760919B2 (ja) | 2006-03-29 |
Family
ID=33118150
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003053591A Expired - Fee Related JP3760919B2 (ja) | 2003-02-28 | 2003-02-28 | 不正アクセス防止方法、装置、プログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3760919B2 (ja) |
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005197959A (ja) * | 2004-01-06 | 2005-07-21 | Nec Access Technica Ltd | ルータ |
| JP2006237892A (ja) * | 2005-02-23 | 2006-09-07 | Nippon Telegr & Teleph Corp <Ntt> | ＤｏＳ攻撃検出方法、ＤｏＳ攻撃検出システム、およびＤｏＳ攻撃検出プログラム |
| JP2006246177A (ja) * | 2005-03-04 | 2006-09-14 | Nippon Telegr & Teleph Corp <Ntt> | フラッド攻撃防御方法および装置 |
| JP2007006490A (ja) * | 2005-06-21 | 2007-01-11 | Avaya Technology Llc | 通信機器に対するサービス拒否攻撃を緩和するためのシステムおよび方法 |
| WO2007116605A1 (ja) * | 2006-03-30 | 2007-10-18 | Nec Corporation | 通信端末装置、ルール配布装置およびプログラム |
| JP2009065294A (ja) * | 2007-09-04 | 2009-03-26 | Fujitsu Ltd | データ中継装置、データ中継方法、および、当該データ中継装置としてのコンピュータに実行される管理プログラム |
| JP2009081736A (ja) * | 2007-09-26 | 2009-04-16 | Toshiba Corp | パケット転送装置及びパケット転送プログラム |
| JP2018157513A (ja) * | 2017-03-21 | 2018-10-04 | 株式会社リコー | 通信制御装置、通信制御システム、通信制御方法及び通信制御プログラム |
| JP2019140578A (ja) * | 2018-02-13 | 2019-08-22 | Kddi株式会社 | 優先度算出装置、優先度算出方法及び優先度算出プログラム |
-
2003
- 2003-02-28 JP JP2003053591A patent/JP3760919B2/ja not_active Expired - Fee Related
Cited By (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005197959A (ja) * | 2004-01-06 | 2005-07-21 | Nec Access Technica Ltd | ルータ |
| JP2006237892A (ja) * | 2005-02-23 | 2006-09-07 | Nippon Telegr & Teleph Corp <Ntt> | ＤｏＳ攻撃検出方法、ＤｏＳ攻撃検出システム、およびＤｏＳ攻撃検出プログラム |
| JP2006246177A (ja) * | 2005-03-04 | 2006-09-14 | Nippon Telegr & Teleph Corp <Ntt> | フラッド攻撃防御方法および装置 |
| JP2007006490A (ja) * | 2005-06-21 | 2007-01-11 | Avaya Technology Llc | 通信機器に対するサービス拒否攻撃を緩和するためのシステムおよび方法 |
| JP4638839B2 (ja) * | 2005-06-21 | 2011-02-23 | アバイア テクノロジー エルエルシー | 通信機器に対するサービス拒否攻撃を緩和するためのシステムおよび方法 |
| WO2007116605A1 (ja) * | 2006-03-30 | 2007-10-18 | Nec Corporation | 通信端末装置、ルール配布装置およびプログラム |
| JPWO2007116605A1 (ja) * | 2006-03-30 | 2009-08-20 | 日本電気株式会社 | 通信端末装置、ルール配布装置およびプログラム |
| JP2009065294A (ja) * | 2007-09-04 | 2009-03-26 | Fujitsu Ltd | データ中継装置、データ中継方法、および、当該データ中継装置としてのコンピュータに実行される管理プログラム |
| JP2009081736A (ja) * | 2007-09-26 | 2009-04-16 | Toshiba Corp | パケット転送装置及びパケット転送プログラム |
| JP2018157513A (ja) * | 2017-03-21 | 2018-10-04 | 株式会社リコー | 通信制御装置、通信制御システム、通信制御方法及び通信制御プログラム |
| JP7158826B2 (ja) | 2017-03-21 | 2022-10-24 | 株式会社リコー | 通信制御装置、通信制御システム及び通信制御方法 |
| JP2019140578A (ja) * | 2018-02-13 | 2019-08-22 | Kddi株式会社 | 優先度算出装置、優先度算出方法及び優先度算出プログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3760919B2 (ja) | 2006-03-29 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR100800370B1 (ko) | 어택 서명 생성 방법, 서명 생성 애플리케이션 적용 방법, 컴퓨터 판독 가능 기록 매체 및 어택 서명 생성 장치 | |
| US7624447B1 (en) | Using threshold lists for worm detection | |
| US9686309B2 (en) | Logging attack context data | |
| KR101045362B1 (ko) | 능동 네트워크 방어 시스템 및 방법 | |
| US9392002B2 (en) | System and method of providing virus protection at a gateway | |
| EP1330095B1 (en) | Monitoring of data flow for enhancing network security | |
| US8042182B2 (en) | Method and system for network intrusion detection, related network and computer program product | |
| US7478429B2 (en) | Network overload detection and mitigation system and method | |
| CN1656731B (zh) | 基于多方法网关的网络安全系统和方法 | |
| US7610375B2 (en) | Intrusion detection in a data center environment | |
| US7725936B2 (en) | Host-based network intrusion detection systems | |
| EP2257024B1 (en) | Method, network apparatus and network system for defending distributed denial of service ddos attack | |
| US20030188190A1 (en) | System and method of intrusion detection employing broad-scope monitoring | |
| JP2009539271A (ja) | コンピュータ・ネットワーク侵入検出のシステムおよび方法 | |
| JP2006319982A (ja) | 通信ネットワーク内ワーム特定及び不活化方法及び装置 | |
| JPWO2008084729A1 (ja) | アプリケーション連鎖性ウイルス及びｄｎｓ攻撃発信元検知装置、その方法及びそのプログラム | |
| EP2009864A1 (en) | Method and apparatus for attack prevention | |
| JP3760919B2 (ja) | 不正アクセス防止方法、装置、プログラム | |
| EP1595193A2 (en) | Detecting and protecting against worm traffic on a network | |
| JP2004140524A (ja) | ＤｏＳ攻撃検知方法、ＤｏＳ攻撃検知装置及びプログラム | |
| KR101398740B1 (ko) | 악성 도메인 탐지 시스템, 방법 및 컴퓨터 판독 가능한 기록 매체 | |
| EP1461704B1 (en) | Protecting against malicious traffic | |
| JP3986871B2 (ja) | アンチプロファイリング装置およびアンチプロファイリングプログラム | |
| Hooper | An Intellilgent Infrastructure Strategy to Improvilng the Performance and Detection Capability of Intrusion Detection Systems |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD03 | Notification of appointment of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7423 Effective date: 20050107 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20050107 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20051214 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20051220 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20060102 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 Ref document number: 3760919 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100120 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110120 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110120 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120120 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130120 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130120 Year of fee payment: 7 |
|
| LAPS | Cancellation because of no payment of annual fees |