JP2004304752A - 攻撃防御システムおよび攻撃防御方法 - Google Patents

攻撃防御システムおよび攻撃防御方法 Download PDF

Info

Publication number
JP2004304752A
JP2004304752A JP2003295020A JP2003295020A JP2004304752A JP 2004304752 A JP2004304752 A JP 2004304752A JP 2003295020 A JP2003295020 A JP 2003295020A JP 2003295020 A JP2003295020 A JP 2003295020A JP 2004304752 A JP2004304752 A JP 2004304752A
Authority
JP
Japan
Prior art keywords
input
packet
reliability
attack
event
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2003295020A
Other languages
English (en)
Other versions
JP3794491B2 (ja
Inventor
Masayuki Nakae
政行 中江
Masaya Yamagata
昌也 山形
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2003295020A priority Critical patent/JP3794491B2/ja
Priority to US10/643,864 priority patent/US7464407B2/en
Publication of JP2004304752A publication Critical patent/JP2004304752A/ja
Application granted granted Critical
Publication of JP3794491B2 publication Critical patent/JP3794491B2/ja
Priority to US11/782,801 priority patent/US7958549B2/en
Priority to US11/782,809 priority patent/US20080172739A1/en
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Abstract

【課題】インターネットから内部ネットワークへのアクセスでＳＳＬなど通信路暗号化技術が用いられた場合であっても不正なアクセスを検知し有効に防御する攻撃防御システム及び方法を提供する。
【解決手段】ファイアウォール装置１およびおとり装置２を備え、ファイアウォール装置１では、受け取ったＩＰパケットのヘッダ情報を参照し、所定のルールに基づいて攻撃の可能性がある「不審パケット」をおとり装置２へと誘導する。おとり装置２は、サービスを提供するプロセスを監視しながら、攻撃の有無を判定する。攻撃を検出した際には、攻撃元ホストのＩＰアドレスを含むアラートを生成してファイアウォール装置１に伝達する。当該アラートを受けたファイアウォール装置１は、以降、攻撃元ホストからのＩＰパケットの受入れを拒否する。
【選択図】 図２

Description

本発明はコンピュータネットワークにおけるセキュリティ対策に係り、特に外部ネットワークからの攻撃に対して内部ネットワーク上の資源を保護するためのシステムおよび方法に関する。
従来、外部ネットワークからの攻撃に対する防御技術として、（１）ファイアウォール、（２）侵入検知システム、（３）おとりシステム、といった手法があった。
ファイアウォールの一例は、たとえば特開平８−４４６４２号公報（特許文献１）に開示されている。外部のＩＰネットワークと内部のイーサネット（登録商標）との境界にファイアウォールを設置し、検査対象となるパケットを外部ネットワークから内部ネットワークに通過させてよいか否かを判定する。特に、ファイアウォールにパケットフィルタを設け、パケットのヘッダ情報（送信元アドレスや送信先アドレス）などの他、プロトコルの種別（ＴＣＰ／ＵＤＰ／ＨＴＴＰなど）や、データ内容（ペイロード）なども参照しながら、所定のルールに従って、パケットの通過可否を判定する。適切なルールを設定しておけば、例えば、外部ネットワーク一般に公開されているＷｅｂサーバなどに対してワームなどを含む不正なパケットが進入することを遮断できる。
侵入検知システムの一例は、たとえば特開２００１−３５０６７８号公報（特許文献２）に開示されている。この従来の侵入検知システムは不正侵入判定ルール実行部を有し、アプリケーションごとの判定ルール、例えばＷＷＷサーバ用不正侵入判定ルールやＭＡＩＬサーバ用不正侵入判定ルールを備えている。まず、ＩＰアドレステーブル取得部は、内部ネットワーク上を流れるパケットの送信元ＩＰアドレスもしくは送信先ＩＰアドレスから、当該ＩＰアドレスを持つサーバにおいて現在動作中のアプリケーションを決定する。次に、不正侵入判定ルール実行部において、そのアプリケーションに応じた不正侵入判定ルールを実行し、当該パケットが不正であるか否かを判定する。こうすることにより、アプリケーションに依存したより精度の高い侵入検知が可能となる。
おとりシステムの第１例は、たとえば特開２０００−２６１４８３号公報（特許文献３）に開示されている。この従来のおとりシステムは、ルータ１０の下に構築された内部ネットワーク上に、トラフィック監視装置、攻撃パターンおよび偽装サーバを備える。まず、トラフィック監視装置において、内部ネットワーク上を流れるパケットを監視しながら、特定の攻撃パターンに合致するものを不正パケットとして検出し、その識別情報（送信元ＩＰアドレス、送信先ＩＰアドレスなどを含む）をルータに通知する。次に、ルータでは、後に続く外部ネットワークからのパケットについて、検出した識別情報に合致するパケットをすべて偽装サーバに転送する。偽装サーバは、転送されたパケットを適切に解釈し、内部ネットワーク上の正規のサーバをまねた偽の応答パケットを生成し、先に不正パケットを送信したホストへ向けて、その偽の応答パケットを送信する。こうすることで、外部ネットワーク上に存在する攻撃者に、内部ネットワークに悪影響のない形で、攻撃を続けさせることができ、逆探知によって攻撃者の身元を明らかにすることができる。
おとりシステムの第２例は、たとえば特開２００２−７２３４号公報（特許文献４）に開示されている。この従来のおとりシステムは、内部ネットワークと外部ネットワーク（インターネット）との境界に、いわゆるゲートウェイとして、不正検出サーバと、おとりサーバと、を備える。外部ネットワークから内部ネットワークへ流れるパケットを不正検出サーバで監視し、例えば、当該パケットのペイロードについて所定のパターンマッチング処理を行うなどして、不正か否かを判定する。不正であると判定されたパケットには、その旨を示す特殊なマークを加えた上で、当該パケットをおとりサーバもしくは内部ネットワーク上の情報処理サーバへ転送する。情報処理サーバへ不正パケットを転送する場合、予め情報処理サーバに不正回避処理部を持たせておき、特殊なマークのあるパケットを受信した際には、さらにおとりサーバへ当該パケットを転送するようにしておく。いずれにせよ、不正検出サーバで検出された不正パケットは、最終的におとりサーバへ到達する。その後、おとりサーバでは、偽の応答パケットを生成し、不正パケットの送信元ホストに向けて、当該応答パケットを送信する。こうすることで、不正と判定されたパケットを全ておとりサーバに閉じ込めることができる。
さらに、おとりシステムの第３例は、たとえば特開平０９−２２４０５３号公報（特許文献５）に記載されている。この従来のおとりシステムは、公衆ネットワーク（インターネット）と、プライベートネットワーク（内部ネットワーク）との境界に、スクリーン・システムおよび代行ネットワークを備える。スクリーン・システムは、自身に接続される各ネットワークからの着信パケットについて、パケットのヘッダに記載される情報や着信履歴など基にしたスクリーン基準に従い、フィルタリングを行う。ただし、スクリーン・システムの通信インタフェースはＩＰアドレスをもたず、ｔｒａｃｅｒｏｕｔｅなどを用いた探索から自身を隠蔽することを特徴の１つとする。もう１つの特徴として、プライベートネットワークに向かう着信パケットについて、代行ネットワークに経路を変更することもできる。代行ネットワーク上には０台以上の代行ホストが設けられ、プライベートネットワーク上にあるホストの代理として動作させることもできる。こうすることで、公衆ネットワークからの攻撃からプライベートネットワークを保護できる。
特開平８−４４６４２号公報（段落番号００２９〜００３０、図５） 特開２００１−３５０６７８号公報（段落番号００６２〜００８４、図１） 特開２０００−２６１４８３号公報（段落番号００２４〜００３０、図１） 特開２００２−７２３４号公報（段落番号００３６〜００４０、図１、図２） 特開平０９−２２４０５３号公報（段落番号００３７〜００４３、００６６〜００６７、図６）。
しかしながら、上記従来の技術は、いずれも、次に挙げるような問題点を持つ。
第１の問題点は、外部ネットワーク上の攻撃ホストと内部ネットワーク上のサーバとの間で、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）やＩＰＳｅｃ（ＲＦＣ２４０１記載）などの通信路暗号化技術が用いられた場合に、攻撃を有効に検知または防御できないということである。その理由は、攻撃検知のための主要なデータ（ペイロードなど）が暗号化されており参照できないためである。
第２の問題点は、攻撃検知部のパフォーマンスが、近年のネットワークの高速化に追随しきれず、検査から漏れるパケットが存在したり、ネットワークの高速性を損なったりする点にある。その理由は、攻撃検知の精度を向上するには、より多彩な、あるいはより複雑な判定ルールの実行が必要であるが、一方、ネットワークの高速化により、検査対象となるパケット量が飛躍的に増加しているためである。
また、特許文献２および特許文献３に記載された侵入検知システムやおとりシステムの第１例では、少なくとも１つの不正パケットが、内部ネットワーク上の保護すべきサーバに到達してしまう。その理由は、攻撃検知部が検査を行うのは、パケットのコピーでしかなく、当該パケットが不正と判定された場合でも、その内部ネットワーク上のパケット流通を遮断できないためである。
さらに、特許文献５に記載されたおとりシステムの第３例では、インターネットから到来したパケットを代行ネットワークに経路変更させる条件および方法については検討されていない。このために、正確にパケットを振り分けることができず、正常なアクセスが代行ネットワークへ、異常なアクセスが内部ネットワークへ導かれる可能性がある。
第３の問題点は、攻撃検知精度の向上が困難な点にある。近年のサーバ運用の形態は、遠隔からの保守作業が一般的であり、その作業はサーバ内のデータ修正やシステムの更新などであり、侵入検知システムはこうした保守作業をしばしば攻撃と誤って検知してしまう。
また、Webアプリケーション等で知られるように、サーバのサブシステムとして、データベース操作など様々なアプリケーションプログラムを動作させることが多く、そうしたサブシステムの脆弱性を突いて不正動作を行わせる攻撃も頻繁に見られるようになった。侵入検知システムは、一般によく知られるサーバまたはそのサブシステムへの攻撃パターンを知識として備えるが、サイト独自に作成されたサブシステムが存在する場合や、一般的なサーバまたはサブシステムであっても設定に不備がある場合には、前記攻撃パターンに当てはまらない、いわゆる未知攻撃を受ける危険性がある。
第４の問題点は、データベースやプラグインモジュールなどのサブシステムを備えるサーバシステムにおいて、クライアントとの通信プロトコルで、一定のアクセス手順が規定されている場合（すなわちステートフルプロトコルであった場合）、不審なアクセスのみをおとりサーバなど、正規のサーバ以外に誘導する方法では、おとりサーバと正規のサーバ双方でクライアント−サーバ通信が失敗する。特に、誤っておとりサーバへ誘導されたアクセスがあった場合には、正規のサーバ上であるべき処理が行われないため、サーバ障害を発生させることになる。
本発明の目的は、通信路暗号化技術を用いた通信システムに対しても、外部ネットワークからの攻撃を有効に防御できる攻撃防御システムおよび方法ならびにファイアウォール装置を提供することにある。
本発明の他の目的は、高速ネットワーク環境に対応できる攻撃防御システムおよび方法ならびにファイアウォール装置を提供することにある。
本発明のさらに他の目的は、保護すべきサーバに向けられた不正パケットを確実に遮断できる攻撃防御システムおよび方法ならびにファイアウォール装置を提供することにある。
本発明の第１の観点によれば、おとり装置およびファイアウォール装置を含む攻撃防御システムが内部ネットワークと外部ネットワークとの境界に設置され、おとり装置はファイアウォール装置から転送された入力ＩＰパケットに対するサービスプロセスを実行することで攻撃の有無を検知する攻撃検知手段を有し、ファイアウォール装置は、入力ＩＰパケットのヘッダ情報およびフィルタリング条件に基づいて当該入力ＩＰパケットを受理するか否かを判定するパケットフィルタリング手段と、受理された入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する転送先選択手段と、前記おとり装置へ転送した入力ＩＰパケットに関して前記攻撃検知手段が攻撃を検知したか否かに基づいて当該入力ＩＰパケットに対応するフィルタリング条件を管理するフィルタリング条件管理手段と、を有することを特徴とする。
本発明の第２の観点によれば、ファイアウォール装置は、入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する転送先選択手段と、複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度を管理するための信頼度管理手段と、を有し、前記転送先選択手段は、前記入力ＩＰパケットの送信元ＩＰアドレスに対する信頼度を前記信頼度管理手段から取得し、当該信頼度が前記振り分け条件を満たすか否かに応じて当該入力ＩＰパケットの転送先を決定することを特徴とする。
本発明による攻撃防御方法は、入力ＩＰパケットのヘッダ情報およびフィルタリング条件に基づいて、当該入力ＩＰパケットの受理および廃棄のいずれかを実行し、受理された入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択し、前記入力ＩＰパケットが前記おとり装置へ転送されると、当該入力ＩＰパケットに対するサービスプロセスを実行し、前記サービスプロセスの実行状況を監視しながら、所定の攻撃カテゴリと関連づけられたルールに違反するか否かを判定することで攻撃の有無を検知し、前記入力ＩＰパケットに関して攻撃を検知したか否かに応じて、当該入力ＩＰパケットのヘッダ情報に対応するフィルタリング条件を設定し、入力したＩＰパケットのヘッダ情報に対応するフィルタリング条件に従ってパケットフィルタリングを実行する、ステップを有することを特徴とする。
望ましくは、本発明によるファイアウォール装置は、入力ＩＰパケットのヘッダ情報およびフィルタリング条件に基づいて当該入力ＩＰパケットを受理するか否かを判定するパケットフィルタリング手段と、受理された入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する転送先選択手段と、複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度を管理するための信頼度管理手段と、前記おとり装置へ転送した入力ＩＰパケットに関して前記おとり装置が攻撃を検知したか否かに基づいて当該入力ＩＰパケットに対応するフィルタリング条件を管理するフィルタリング条件管理手段と、を有し、前記転送先選択手段は、前記入力ＩＰパケットの送信元ＩＰアドレスに対する信頼度を前記信頼度管理手段から取得し、当該信頼度が前記振り分け条件を満たすか否かに応じて当該入力ＩＰパケットの転送先を決定することを特徴とする。
本発明の第３の観点によれば、おとり装置は、プロセッサから伝達される各プロセス状況について、その発生原因となった過去のプロセス状況を関連付けた上で、時系列順にメモリに格納するイベント管理手段を有することを特徴とする。さらに、プロセス状況の正常・異常を判定する際に、前記関連付けを探索して、関連プロセス状況列を分析する攻撃検知手段を有し、攻撃検知手段はプロセス状況の発生源であるプロセスと、その親プロセスとの関係、さらにアクセス元ＩＰアドレスとの関係などの制約の下で、当該プロセス状況の正常・異常を判定することを特徴とする。
本発明の第４の観点によれば、ファイアウォール装置は、サーバもしくはそのサブシステムへの要求などを含むアプリケーションデータと、おとり装置における過去の攻撃検知結果とを組にして格納するハッシュ表管理部と、入力ＩＰパケットのペイロードを参照して、アプリケーションデータを抽出し、前記ハッシュ表管理部に当該アプリケーションデータの登録状況などを問い合わせ、その結果に応じて、前記内部ネットワークおよび前記おとり装置のいずれか、またはその双方を当該入力ＩＰパケットの転送先として選択する転送先選択手段と、を有し、前記転送先選択手段は、ハッシュ表管理部におけるアプリケーションデータの登録有無や、登録があった場合に攻撃として検知されているかどうかなどを確認して、登録がない場合もしくは過去に攻撃として検知されているアプリケーションデータをおとり装置へ誘導し、それ以外の場合には、内部ネットワークとおとり装置の双方へ転送することを特徴とする。
本発明の第５の観点によれば、内部ネットワーク内の特定のサーバ装置に対応する複数のおとり装置を含むおとりクラスタを設け、ファイアウォール装置は、おとりクラスタ内の各おとり装置に少なくとも１種類の必須信頼度を割り当てて管理し、入力ＩＰパケットに対する信頼度を取得すると、当該信頼度以下の必須信頼度を有するおとり装置を当該入力ＩＰパケットの転送先として決定することを特徴とする。
本発明の第６の観点によれば、内部ネットワークおよび外部ネットワークの少なくとも一方に設けられた少なくとも１つの攻撃検知システムを有し、ファイアウォール装置は、少なくとも１つの攻撃検知システムから攻撃検知アラートを受信し、少なくとも攻撃元ＩＰアドレスおよび攻撃先ＩＰアドレスを含むアラートに変換するアラート変換手段を有することを特徴とする。
本発明の第７の観点によれば、ファイアウォール装置と、おとり装置と、少なくとも１つの信頼性管理サーバと、を有し、ファイアウォール装置は入力ＩＰパケットもしくはその一部のデータを含む要求メッセージを前記信頼性管理サーバへ送信し、信頼性管理サーバは、前記要求メッセージに応じて、当該要求メッセージに含まれるデータから前記入力ＩＰパケットに対する信頼度を生成し、前記信頼度を少なくとも含む応答メッセージを前記ファイアウォール装置へ返信することを特徴とする。さらに、ファイアウォール装置は、入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて、当該入力ＩＰパケットの転送先として内部ネットワークおよびおとり装置のいずれかを選択する転送先選択手段と、少なくとも１つの信頼度管理サーバ装置に対して要求メッセージを送信し、その応答として入力ＩＰパケットの信頼度を取得するための管理サーバ接続手段と、を有し、転送先選択手段は信頼度が振り分け条件を満たすか否かに応じて当該入力ＩＰパケットの転送先を決定することを特徴とする。
以上詳細に説明したように、本発明による攻撃防御システム及び方法によれば、ＩＰパケットのヘッダ情報に基づいてパケットの誘導を行うために、外部ネットワークから内部ネットワークへのアクセスにおいて通信路暗号化技術が用いられた場合でも、攻撃を検知および防御することができる。いかなる通信路暗号化技術が用いられたとしても、少なくともＩＰヘッダに記載されたソースＩＰアドレスもしくはディスティネーションＩＰアドレスは暗号化されず、さらにファイアウォール装置によるおとり装置への誘導は、これらＩＰヘッダに記載された情報を基に行うことができるためである。
また、本発明によれば、ファイアウォール装置によるおとり装置への誘導方法が少ないパラメータを基にした簡易なアルゴリズムで実現できるため、高速ネットワーク環境においても、ネットワーク性能を高いレベルで維持できる。
さらに、本発明によれば、おとり装置へ誘導されて攻撃が検出された全てのパケットについて、その送信元ホストからの以降のアクセスを拒否するように動的な防御を行うことで後続する攻撃を全てファイアウォール装置で防御することができる。このために内部ネットワークへの通信経路が無くなり、検出された攻撃用パケットが一切内部ネットワークに到達しない。
（ネットワーク構成）
図１は、本発明による攻撃防御システムの概略的ブロック図である。本発明による攻撃防御システムは、基本的に、ファイアウォール装置１およびおとり装置２を有し、インターネット３と内部ネットワーク４との境界にファイアウォール装置１が設置されている。内部ネットワーク４は、ＷＷＷ（World-Wide Web）などのサービスを提供する１個以上のサーバ装置４０１を含む。ここではインターネット３に攻撃元ホスト３０１が想定されている。
ファイアウォール装置１は、通常の正規のパケットであれば、これを通過させて内部ネットワーク４へ送付し、不正パケットあるいは不審なパケットであれば、おとり装置２へ誘導する。おとり装置２は攻撃の有無を検知し、攻撃を検知した場合にはアラートをファイアウォール装置１へ出力する。また、不正パケットに対する偽の応答パケットを生成してファイアウォール装置１へ返してもよい。ファイアウォール装置１はその偽の応答パケットを不正パケットの送信元である攻撃元ホスト３０１へ送信する。
（第１実施形態）
１．１）構成
図２は、本発明の第１実施形態による攻撃防御システムのファイアウォール装置１およびおとり装置２の構成を示すブロック図である。ファイアウォール装置１は、外部通信インタフェース１００でインターネット３と接続され、第１の内部通信インタフェース１０４で内部ネットワーク４と接続される。
パケットフィルタ１０１は、外部通信インタフェース１００および誘導部１０３の間に接続され、アクセス制御リスト管理部１０２から取得したアクセス制御ルールに従ってパケットフィルタリングを行う。すなわち、後述するように、パケットフィルタ１０１は外部通信インタフェース１００および誘導部１０３の一方から受け取ったＩＰパケットを他方へ転送し、あるいは転送せずに廃棄する。
パケットフィルタ１０１で受理されたパケットは誘導部１０３へ送られ、誘導部１０３は、後述する誘導リスト（図５）を参照し、パケットフィルタ１０１から入力したＩＰパケットの宛先ＩＰアドレスに応じて当該パケットを第１の内部通信インタフェース１０４および第２の内部通信インタフェース１０５のいずれかへ誘導する。逆に、第１の内部通信インタフェース１０４または第２の内部通信インタフェース１０５からインターネット３に向かうＩＰパケットをパケットフィルタ１０１に転送する。
第１の内部通信インタフェース１０４は、誘導部１０３から入力したＩＰパケットを内部ネットワーク４に伝達し、内部ネットワーク４からインターネット３に向かうＩＰパケットを誘導部１０３へ伝達する。第２の内部通信インタフェース１０５は、誘導部１０３によって誘導されたＩＰパケットをおとり装置２に伝達し、おとり装置２からインターネット３に向かうＩＰパケットを誘導部１０３に伝達する。
おとり装置２は、プロセッサ２０１と攻撃検知部２０２とを含む。プロセッサ２０１は、ＷＷＷやＴｅｌｎｅｔなどのネットワークサービスを提供するプロセスを実行しながら、当該プロセスの状況を攻撃検知部２０２へ随時伝達する。攻撃検知部２０２は、プロセッサ２０１から入力されるプロセス状況を監視しながら、攻撃の有無を検査し、攻撃が認められた場合には攻撃内容を報告するためのアラートを生成しファイアウォール装置１へ送出する。
制御インタフェース１０６を通してアラートを入力すると、防御ルール判定部１０７は、アラートの内容に従ってアクセス制御リスト管理部１０２のアクセス制御リストの更新等を指示する。
図３は、図２のファイアウォール装置１におけるアクセス制御リスト管理部１０２の模式的構成図である。アクセス制御リスト管理部１０２は、アクセス制御リストデータベース１０２１、検索部１０２２および更新処理部１０２３を有する。アクセス制御リストデータベース１０２１は、少なくとも「ソースＩＰアドレス」、「ディスティネーションＩＰアドレス」および「フィルタ処理方法」といったフィールドを有するエントリ（アドレス制御ルール）の集合を検索可能に保持する。検索部１０２２は、パケットフィルタ１０１からＩＰアドレスなどを含む問い合わせ（ＲＱ）を受けると、アクセス制御リストデータベース１０２１から対応するアクセス制御ルールを検索してパケットフィルタ１０１へ返す。更新処理部１０２３は、防御ルール判定部１０７から入力した更新用アクセス制御ルールに従ってアクセス制御リストデータベース１０２１の内容を更新（追加／修正）する。
図４は、アクセス制御リストデータベース１０２１の内容を例示した模式図である。アクセス制御リストデータベース１０２１には複数のアクセス制御ルールが所定の規則に従って格納される。各アクセス制御ルールは、図４に示すように、ソースＩＰアドレス（ＳＲＣ）やディスティネーションＩＰアドレス（ＤＳＴ）などのルール適合条件と、パケットの受理（ＡＣＣＥＰＴ）、拒否（ＤＥＮＹ）、廃棄（ＤＲＯＰ）などの所定の処理方法（ＰＲＯＣ）を示す識別子との組からなる。アクセス制御ルールは一般に複数設定されるので、その集合をアクセス制御リストデータベース１０２１で保持しておく。図４において、アスタリスク（＊）は任意のアドレスを示し、パケットフィルタ処理の“ＡＣＣＥＰＴ”はパケットの受理、“ＤＥＮＹ”はＩＣＭＰエラー通知をするパケット拒否、“ＤＲＯＰ”はＩＣＭＰエラー通知をしないパケット廃棄をそれぞれ示す。
図５は、誘導部１０３に設けられた誘導リストの一例を示す模式図である。誘導部１０３には、予め１つ以上のＩＰアドレスからなる誘導リストが保持されている。本実施例の誘導リストでは、内部ネットワーク４の未使用ＩＰアドレスが列挙されている。後述するように、未使用であるはずのＩＰアドレスを宛先とするパケットは、不審パケットである可能性が高い。
図６は、防御ルール判定部１０７に保持されている防御ルールスクリプトを例示した模式図である。詳しくは後述するが、防御ルール判定部１０７は、探査（RECON）、侵入(INTRUSION)、破壊(DESTRUCTION)などの攻撃種別ごとに、防御ルールを列挙し、例えばファイル形式で保持している。防御ルールは、所定の攻撃カテゴリに１対１対応する形式で、１つのアクセス制御ルールの雛型を指定する記述が用いられる。例えば、
ＩＮＴＲＵＳＩＯＮ：（ＳＲＣ：＄｛ＳＯＵＲＣＥ＿ＩＰ＿ＡＤＤＲＥＳＳ｝、ＤＳＴ：＊、ＰＲＯＣ：ＤＲＯＰ）
といった記述が行ごとに攻撃種別ごとに列挙されている。この記述のうち「＄｛ＳＯＵＲＣＥ＿ＩＰ＿ＡＤＤＲＥＳＳ｝」の部分が、後述するように、おとり装置２からのアラートに記載された情報（攻撃パケットのソースＩＰアドレス）で置き換えられる変数である。
１．２）動作
１．２．１）パケットフィルタリング
図７は、本発明の第１実施形態による攻撃防御システムの動作を示すフローチャートである。まず、ファイアウォール装置１において、インターネット３から内部ネットワーク４へ向けたＩＰパケットを外部通信インタフェース１００で捉えた後、当該ＩＰパケットをパケットフィルタ１０１へ転送する（ステップＡ１）。
次に、パケットフィルタ１０１は、当該ＩＰパケットのヘッダを参照し、そこに記載されているソースＩＰアドレスやディスティネーションＩＰアドレスなどの情報をアクセス制御リスト管理部１０２へ出力する。アクセス制御リスト管理部１０２は、上述したように、入力したＩＰアドレスを用いてアクセス制御リストデータベース１０２１を検索し、ヒットした最初のアクセス制御ルールをパケットフィルタ１０１へ返す。アクセス制御ルールを取得すると、パケットフィルタ１０１は、その処理方法に従って、当該ＩＰパケットを受理または廃棄する（ステップＡ２）。ＩＰパケットを受理した場合は、当該ＩＰパケットを誘導部１０３へ転送し、廃棄した場合は、直ちに次のパケットの処理へと制御を移す。
アクセス制御リスト管理部１０２におけるアクセス制御ルールの検索において、パケットフィルタ１０１から入力したソースＩＰアドレスを検索部１０２２が受け取ると、検索部１０２２は個々のアクセス制御ルールの適合条件と入力したソースＩＰアドレスとを照合し、適合条件を満たす最初のアクセス制御ルールを抽出し、パケットフィルタ１０１へ返す。
１．２．２）パケット誘導
次に、誘導部１０３では、パケットフィルタ１０１で受理されたＩＰパケットに対して、そのディスティネーションＩＰアドレスと予め設けられた誘導リストとを参照し、転送すべき内部通信インタフェース（１０４あるいは１０５）を決定する（ステップＡ３）。具体的には、図５に示すような誘導リストと、ディスティネーションＩＰアドレスとを照合し、合致するものがある場合には、第２の内部通信インタフェース１０５を介して当該ＩＰパケットをおとり装置２へ転送する。合致するものがない場合には、第１の内部通信インタフェース１０４を介して内部ネットワーク４へ当該ＩＰパケットを伝達する。
ＩＰパケットが内部ネットワーク４へ伝達された場合には、当該ＩＰパケットは内部ネットワーク４上の適切なサーバ装置３０１に到達し、所定のサービスを提供するための処理が行われる（ステップＡ４）。
一方、ＩＰパケットがおとり装置２へ伝達された場合には、そのプロセッサ２０１において、偽のサービスを提供するための処理を行いながら、入力データの内容や処理状況を逐次的に攻撃検知部２０２へ通知する（ステップＡ５）。この際、おとり装置２は、ファイアウォール装置１から伝達されたＩＰパケットを、そのディスティネーションＩＰアドレスの如何を問わず、受信することができる。具体的には、おとり装置２に複数のＩＰアドレスを割り当てられるような工夫を施してもよいし、あるいは図８に示すように、予め誘導部１０３にアドレス変換部１０３１を備えておき、入力ＩＰパケットのディスティネーションＩＰアドレスをおとり装置２のＩＰアドレスに書き換えた上で、おとり装置２に当該ＩＰパケットを伝達するような方法を用いてもよい。
１．２．３）偽サービス提供
ＩＰパケットを受信後、おとり装置２は、偽のサービスとして、ＷＷＷやＴｅｌｎｅｔなど１つ以上の任意のものを提供する。ただし、本実施形態においては、通信プロトコルさえ適切に処理すれば十分であり、実際のサービスで行われるような、ファイルシステムへのアクセスやデータベース処理などは一切行わなくともよい。具体的には、例えば、Ｔｅｌｎｅｔサービスの場合であれば、Ｌｏｇｉｎ／Ｐａｓｓｗｏｒｄプロンプトへの任意の入力に対して、すべてログインを許可し、ユーザに偽のメッセージを応答するような偽装シェルを起動するようにしてもよい。
１．２．４）攻撃検知
次に、おとり装置２の攻撃検知部２０２では、プロセッサ２０１から通知される処理状況について、正常動作定義との照合を行い、攻撃の有無を判定する（ステップＡ６）。正常動作定義とは、おとり装置２上で提供されるサービスの正しい振舞いに関する条件の集合である。具体的には、例えば、ＷＷＷサービスに対して「ＷＷＷサービスに対応するプロセスは自ら他のサーバ装置にネットワークアクセスをすることはない」というような条件や、「／ｕｓｒ／ｌｏｃａｌ／ｗｗｗ／ｌｏｇｓディレクトリ以外にファイルを書き込むことはない」というような条件などの集合である（詳しくは、図１２参照）。これらの各条件と通知された処理状況とを照合し、合致しない条件を少なくとも１つ検出した際に、「攻撃あり」と判断する。
攻撃を検出した際、違反した条件の意味に応じて、攻撃種別を決定し、その結果をアラートとしてファイアウォール装置１へ送信する（ステップＡ７）。
攻撃種別とは、当該攻撃に対する防御方法を導出するのに十分な分類をいい、例えば、
・「探査」：ポートスキャンやバナー攻撃などのいわゆる「フィンガープリンティング」
・「侵入」：トロイの木馬やアカウントの追加などのバックドア設置
・「破壊」：Ｐｉｎｇ Ｏｆ Ｄｅａｔｈなどのサービス不能攻撃
などを指す。その方法の一例として、正常動作定義の中の各条件について、違反時に想定される攻撃種別を予め併記しておけばよい。例えば、前記した「／ｕｓｒ／ｌｏｃａｌ／ｗｗｗ／ｌｏｇｓディレクトリ以外にファイルを書き込むことはない」という条件に違反するような攻撃については、バックドア設置の可能性が高いので、「侵入」を示す識別子を当該条件に併記しておく。
１．２．５）アクセス制御リストの更新
最後に、ファイアウォール装置１における防御ルール判定部１０７では、制御インタフェース１０６を介しておとり装置２から受信したアラートを参照し、防御ルールを用いてアクセス制御ルールを生成し、アクセス制御リスト管理部１０２へ当該アクセス制御ルールを追加するよう指示する（ステップＡ８）。
具体的には、防御ルール判定部１０７に、予め攻撃種別ごとに、図６のような防御ルールスクリプトを設定しておく。防御ルールスクリプトには、図６のような書式によって、攻撃種別と更新すべきアクセス制御ルールのひな型との組を記述する。アクセス制御ルールのひな型には、アラートに記載された情報を挿入するための変数が記述できる。たとえば、
（ＳＲＣ：＄｛ＳＯＵＲＣＥ＿ＩＰ＿ＡＤＤＲＥＳＳ｝、ＤＳＴ：１．２．３．４、ＰＲＯＣ：ＤＲＯＰ）
と記述されている場合、「＄｛ＳＯＵＲＣＥ＿ＩＰ＿ＡＤＤＲＥＳＳ｝」の箇所は、アラートに記載されたソースＩＰアドレスで置換され、
（ＳＲＣ：１２．３４．５６．７８、ＤＳＴ：１．２．３．４、ＰＲＯＣ：ＤＲＯＰ）
といった完全な形式のアクセス制御ルールに変換される。そして、当該アクセス制御ルールは、アクセス制御リスト管理部１０２内の更新処理部１０２３へ伝達され、アクセス制御リストデータベース１０２１に適切に追加される。同じソースＩＰアドレスおよびディスティネーションＩＰアドレスの組をもつアクセス制御ルールが既にアクセス制御リストデータベース１０２１に登録されている場合には、更新処理部１０２３は、新たに追加されたアクセス制御ルールが有効になるように適切にアクセス制御リストデータベース１０２１を更新する。たとえば、アクセス制御リストデータベース１０２１の検索スキャン方向の先頭に位置するように追加される。
１．３）効果
第１実施形態のファイアウォール装置１では、誘導部１０３において、誘導リストとディスティネーションＩＰアドレスとの照合結果により、おとり装置２へ誘導する方法を用いている。このために、内部ネットワーク４の既存の構成を一切変更することなく、おとり装置２を設置可能となる。さらに、誘導リストに含めるＩＰアドレスとして、内部ネットワーク４における未使用のＩＰアドレス群を記載することで、１台のおとり装置２で、内部ネットワーク４上に複数のおとり装置２を設置するのと同じ効果が得られる。
通常、「ＣｏｄｅＲｅｄ」や「Ｎｉｍｄａ」などの自動感染機能をもつワームは、ある連続したＩＰアドレスの区間からランダムにＩＰアドレスを選択しながら、感染を試みるよう動作する。したがって、おとり装置２は設置台数が多ければ多いほど検知の確率が高くなる。本実施形態では、図５に示すような誘導リストの作成でその効果を得ることができる。
また、ファイアウォール装置１の外部通信インタフェース１００に割り当てられたＩＰアドレスを誘導リストに含めることで、インターネット３側からは、ファイルウォール装置１とおとり装置２との見分けがつかなくなる。一般に、インターネット３からの攻撃は、ファイアウォールの発見から始まるので、本実施形態はファイアウォール装置１を「隠す」という効果をもつ。
１．４）具体例
図９〜図１１は第１実施形態の具体的動作例を説明するためのネットワーク構成図であり、図１２はおとり装置２における攻撃検知動作を説明するための模式図である。
図９に示すように、インターネット３上に攻撃元ホスト３０１（ＩＰアドレス：１２．３４．５６．７８）があり、内部ネットワーク４上にインターネットサーバ装置４０１がありものとする。さらに、インターネット３と内部ネットワーク４との境界にファイアウォール装置１が設置され、標準的なポート番号であるＴＣＰ８０番ポートにおいてＷＷＷサービスを提供するおとり装置２が設置されているものとする。また、内部ネットワーク４のネットワークアドレスとして、「１．２．３．ｘ／２４」が用いられており、サーバ装置４０１には「１．２．３．４」というＩＰアドレスが設定されているものとする。
今、攻撃元ホスト３０１はＷＷＷサービスに対する自動感染機能をもつワームに感染しており、当該ワームが次の感染先として、内部ネットワーク４に対応する「１．２．３．ｘ／２４」に狙いを定め、かつ「１．２．３．１」を第１の感染先として選択したものとする。このとき、攻撃元ホスト３０１から内部ネットワーク４に向けて、ＳＹＮパケット（ソースＩＰアドレス：１２．３４．５６．７８、ディスティネーションＩＰアドレス：１．２．３．１）が送信される。
当該ＳＹＮパケットは、まず、ファイアウォール装置１の外部通信インタフェース１００に到達した後、ただちにパケットフィルタ１０１に伝達される。パケットフィルタ１０１では、アクセス制御リスト管理部１０２に対して、少なくとも当該ＳＹＮパケットのソースＩＰアドレス「１２．３４．５６．７８」とディスティネーションＩＰアドレス「１．２．３．１」とを出力する。この他、アクセス制御ルールの粒度を高めるために、プロトコル番号「６」（ＴＣＰを示す）や、ポート番号「８０」などを出力できるようにしてもよいが、本実施例では例としてソースＩＰアドレスとディスティネーションＩＰアドレスだけを入力するものとする。
アクセス制御リスト管理部１０２におけるアクセス制御リストデータベース１０２１は、例えば、図４のようなテキスト形式で記述されたアクセス制御リストを保持しているものとする。上述したように、各行は１つのアクセス制御ルールを示しており、ＳＲＣフィールドとＤＳＴフィールドとの組が適合条件を、ＰＲＯＣフィールドがフィルタ処理方法をそれぞれ示す。
検索部１０２２では、パケットフィルタ１０１から入力として与えられたソースＩＰアドレス「１２．３４．５６．７８」およびディスティネーションＩＰアドレス「１．２．３．１」との組を検索キーとして、適切なアクセス制御ルールを抽出するために、アクセス制御リストデータベースの先頭行から順に各アクセス制御ルールを参照しながら、各ルールの適合条件と前記入力との比較を行い、適合する最初のアクセス制御ルールを抽出する。この時点では、「（ＳＲＣ：＊、ＤＳＴ：１．２．３．１、ＰＲＯＣ：ＡＣＣＥＰＴ）」（「ＰＲＯＣ：ＡＣＣＥＰＴ」は入力ＩＰパケットの受理を示す）というアクセス制御ルールが適合したとする。このとき、検索部１０２２は、「（ＳＲＣ：１２．３４．５６．７８、ＤＳＴ：１．２．３．１、ＰＲＯＣ：ＡＣＣＥＰＴ）」をパケットフィルタ１０１に返す。
アクセス制御ルールを受け取ったパケットフィルタ１０１は、当該ルールのＰＲＯＣフィールドを参照し、「ＡＣＣＥＰＴ」であることを確認すると、ただちに入力ＩＰパケットを後段の誘導部１０３へと伝達する。
続いて、誘導部１０３では、受け取った入力ＩＰパケットのディスティネーションＩＰアドレスと内部的に保持する誘導リストとを参照し、次の転送先を決定する。本実施例では、誘導リスト内に内部ネットワーク４の未使用ＩＰアドレスが列挙されており、その１つが「１．２．３．１」であるものとする。この場合、誘導部１０３は、入力ＩＰパケットのディスティネーションＩＰアドレス「１．２．３．１」が誘導リストに記載されているのを確認した後、当該入力ＩＰパケットをおとり装置２が接続されている第２の内部通信インタフェース１０５へと伝達する（図１０参照）。
おとり装置２は、第２の内部通信インタフェース１０５へ伝達された全てのＩＰパケットを、そのディスティネーションＩＰアドレスの如何によらず受け付ける。おとり装置２では偽のＷＷＷサービスが稼動しており、ワームが発したＳＹＮパケットを受け付けると共に、ＳＹＮ−ＡＣＫパケットをそのソースＩＰアドレス（すなわち攻撃元ホスト３０１）へ向けて出力する。
これ以降、ファイアウォール装置１で同様の処理が繰り返されて、攻撃元ホスト３０１とおとり装置２との間でＴＣＰ接続確立のための通信と、ワーム感染のための（不正な）通信が行われる。
おとり装置２では、プロセッサ２０１でＷＷＷサービスを攻撃元ホスト３０１へ提供する。それと並行して、プロセッサ２０１は、ファイルアクセスやネットワークアクセスなどの動作状況を、攻撃検知部２０２へ逐次的に通知する。攻撃元ホスト３０１上のワームは、おとり装置２上のＷＷＷサービスに対して、感染を試みる。具体的には、例えば、
「ＧＥＴ ／ｄｅｆａｕｌｔ．ｉｄａ？ＮＮＮＮＮＮＮＮＮＮＮＮＮ（２００バイト程度の繰り返し）…％ｕ００００％ｕ００＝ａ ＨＴＴＰ／１．１」といった文字列から始まる、非常に大きなメッセージをＷＷＷサービスに対して入力し、いわゆる「バッファオーバーフロー」を引き起こすことで、任意のコマンドを実行しようとする。この際、一般的なワームは、ワーム自身のコードをディスク上のシステム領域にコピーした後、当該コードを実行するようなコマンドを発行する。したがって、ワームの侵入時に、プロセッサ２０１は、システム領域へファイルの書き出しが行われたこと、あるいは、当該ファイルの実行が行われたことを攻撃検知部２０２に伝達することになる。このとき、同時に、おとり装置２が受け付けた入力ＩＰパケットのコピーも併せて伝達する。
攻撃検知部２０２は、予めプロセッサ２０１上のＷＷＷサービスの適正な動作に関する情報を、正常動作定義ファイルとして保持している。正常動作定義ファイルは、例えば、図１２のような形式で記述されており、ファイルの読み込み、書き出し、実行などに関する条件が列挙されている。
ここで、前記ワームが自身のコピーを書き出す箇所を「Ｃ：￥Ｗｉｎｄｏｗｓ」ディレクトリだとすると、その動作は図１２に示す正常動作定義ファイル内の第２番目の条件である
「ＷＲＩＴＥ、Ｃ：￥Ｉｎｅｔｐｕｂ￥ｗｗｗｒｏｏｔ￥＿ｖｔｉ＿ｌｏｇ￥＊；ＩＮＴＲＵＳＩＯＮ」（「Ｃ：￥Ｉｎｅｔｐｕｂ￥ｗｗｗｒｏｏｔ￥＿ｖｔｉ＿ｌｏｇディレクトリ以下にのみファイル書き出しを行う」の意）
に違反する。このとき、攻撃検知部２０２は、当該条件の「；」以下を参照し、ＩＮＴＲＵＳＩＯＮ（侵入）カテゴリに属する攻撃があったと判定する。
続いて、攻撃検知部２０２は、少なくとも、入力ＩＰパケットに含まれるソースＩＰアドレスと、検出された攻撃のカテゴリが「ＩＮＴＲＵＳＩＯＮ」であることを知らせるためのアラートを生成し、ファイアウォール装置１の制御インタフェース１０６へ伝達する（図１１参照）。
制御インタフェース１０６で受信されたアラートは防御ルール判定部１０７へ伝達される。アラートの入力を受けた防御ルール判定部１０７は、上述したように、防御ルールを列挙したスクリプトを、例えばファイル形式で保持している。各防御ルールは、所定の各攻撃カテゴリに１対１対応する形式で、１つのアクセス制御ルールのひな型が指定されている（図６参照）。
具体的には、例えば、
ＩＮＴＲＵＳＩＯＮ：（ＳＲＣ：＄｛ＳＯＵＲＣＥ＿ＩＰ＿ＡＤＤＲＥＳＳ｝、ＤＳＴ：＊、ＰＲＯＣ：ＤＲＯＰ） ・・・（１）
といった記述が行ごとに列挙されている。ここで、アラートの入力を受けた防御ルール判定部１０７は、防御ルールの定義ファイルを行ごとに参照し、「ＩＮＴＲＵＳＩＯＮ」カテゴリに対応する防御ルールである式（１）を抽出する。そして、アクセス制御ルールの雛型に対して、当該アラートに記載されたソースＩＰアドレス「１２．３４．５６．７８」（すなわち攻撃元ホストのＩＰアドレス）によって、「＄｛ＳＯＵＲＣＥ＿ＩＰ＿ＡＤＤＲＥＳＳ｝」を置換し、
（ＳＲＣ：１２．３４．５６．７８、ＤＳＴ：＊、ＰＲＯＣ：ＤＲＯＰ）
・・・（２）
というアクセス制御ルールを生成する（「ＤＳＴ：＊」は任意のディスティネーションＩＰアドレスに適合する）。そして、当該アクセス制御ルールをアクセス制御リスト管理部１０２へ伝達する。
アクセス制御リスト管理部１０２では、防御ルール判定部１０７からのアクセス制御ルールの入力について更新処理部１０２３で処理する。更新処理部１０２３では、式（２）で示されるアクセス制御ルールを、アクセス制御リストデータベース１０２１に伝達し、その追加を指示する。アクセス制御リストデータベース１０２１では、式（２）で示されるアクセス制御ルールを追加するように更新処理を行う。その際、アクセス制御リストデータベース１０２１は、それ以降の検索処理が最近の更新結果を反映するように適切に更新処理を行う。例えば、図４のようなテキスト形式で記述されたアクセス制御リストを用い、先頭行から順に検索処理を行うような場合であれば、式（２）を先頭行に追加すればよい。つまり、たとえ次式（３）といったようなアクセス制御ルールが予め設定されていたとしても、
（ＳＲＣ：１２．３４．５６．７８、ＤＳＴ：＊、ＰＲＯＣ：ＡＣＣＥＰＴ）
・・・（３）
当該更新処理以降、検索部１０２２がソースＩＰアドレス「１２．３４．５６．７８」を含む入力を受けた場合には、式（３）ではなく式（２）を検索結果として出力する（図１３参照）。
次に、攻撃元ホスト３０１上のワームが次の攻撃先として、「１．２．３．４」を選択したものとする。しかる後、先の攻撃と同様に、内部ネットワーク４上のサーバ装置４０１に向けたＳＹＮパケットがファイアウォール装置１に到達する。その場合、当該ＳＹＮパケットの入力をうけたパケットフィルタ１０１は、アクセス制御リスト管理部１０２から適合するアクセス制御ルールとして式（２）を受け取るので、ＰＲＯＣフィールドの指定「ＤＲＯＰ」に従い、当該ＳＹＮパケットを廃棄する（図１４参照）。
以上のような動作を行うことにより、本発明による攻撃防御システムは、攻撃元ホスト３０１上のワームからの攻撃から、内部ネットワーク４上のサーバ装置４０１を保護することができる。
（第２実施形態）
２．１）構成
図１５は、本発明の第２実施形態による攻撃防御システムのブロック図である。本実施形態のファイアウォール装置５は、図２に示す第１実施形態におけるファイアウォール装置１に信頼度管理部５０２を加え、さらに誘導部１０３に代えて、信頼度に依存してパケット誘導方向を決定できる誘導部５０１を有する。以下、図２に示すシステムと同じ機能ブロックについては、同一参照番号を付して詳細な説明は省略する。
図１５において、誘導部５０１は、パケットを入力すると、信頼度管理部５０２へ入力ＩＰパケットのソースＩＰアドレスを出力し、対応する信頼度を取得する。信頼度を受け取ると、誘導部５０１はその信頼度と所定のしきい値との比較を行い、その結果に応じて、当該入力ＩＰパケットを第1の内部通信インタフェース１０４および第２の内部通信インタフェース１０５のいずれかに出力する。
信頼度管理部５０２はＩＰアドレスと対応する信頼度との組の集合を管理する。誘導部５０１から要求があると、信頼度管理部５０２はそれに対応した信頼度を検索して誘導部５０１へ返し、後述するように信頼度の更新を行う。
２．２）動作
図１６は、本発明の第２実施形態による攻撃防御システムの動作を示すフローチャートである。
まず、第１実施形態のファイアウォール装置１と同様に、インターネット３からの入力ＩＰパケットを受信すると（ステップＡ１）、パケットフィルタ１０１は、アクセス制御リスト管理部１０２で保持されているアクセス制御ルールの内容に応じて、当該入力ＩＰパケットの受理または廃棄を行う（ステップＡ２）。受理されたＩＰパケットは誘導部５０１へ転送される。
２．２．１）信頼度管理
誘導部５０１は、入力ＩＰパケットに含まれる情報のうち少なくともソースＩＰアドレスを信頼度管理部５０２へ出力し、当該ＩＰアドレスに対する信頼度を取得する（ステップＣ１）。信頼度管理部５０２はＩＰアドレスとその信頼度との組の集合を保持し、ＩＰアドレスを入力すると、それに対応する信頼度を出力することができる。具体的には、例えば、「１．２．３．４：１０」などのように、「＜ＩＰアドレス＞：＜信頼度＞」といった形式をなす行で構成されるテキストファイルを用いることができる。
その他、検索および更新処理を効率的に行うために、リレーショナルデータベースを利用してもよい。いずれにせよ、任意のＩＰアドレスについて、対応する信頼度を適切に検索および更新できればよい。信頼度管理部５０２は、入力されたＩＰアドレスに対応するＩＰアドレスと信頼度との組が１つ見つかれば、当該信頼度を誘導部５０１へ出力する。もし適切なＩＰアドレスと信頼度の組が見つからなかった場合には、当該ＩＰアドレスに対する信頼度として初期値（例えば０）を設定し、当該初期値を誘導部５０１に出力するとともに、新たに「＜ＩＰアドレス＞：＜初期値＞」という組を保持内容に追加する。
続いて、信頼度管理部５０２は、信頼度を出力した後、当該信頼度を増加させるように保持内容を更新する（ステップＣ２）。具体的には、例えば次式（４）に示されるように、信頼度に定数Ｃ（≧１）を加算する。
ｃ［ｎ＋１］＝ｃ［ｎ］＋Ｃ ・・・ （４）。
２．２．２）信頼度に基づくパケット誘導
誘導部５０１は、取得した信頼度に応じて、当該ＩＰパケットの転送先を決定する（ステップＣ３）。信頼度ｃの評価処理の好適な一例としては、予め誘導部５０１にあるしきい値Ｔを設定しておき、信頼度ｃとしきい値Ｔとの比較結果（大小関係）を評価する。
図１７は、本実施形態における信頼度とパケット転送先の関係を示すグラフである。ここでは、ｃ≧Ｔのときには、入力ＩＰパケットを「信頼できる」と判定し、当該ＩＰパケットを内部通信インタフェース１０４を介して内部ネットワーク４へ伝達する。一方、ｃ＜Ｔのときには、内部通信インタフェース１０５を介して、おとり装置２へ伝達する。
なお、これ以降の動作は、図７に示す処理（ステップＡ４〜Ａ８）と同じである。
２．２．３）信頼度の更新方法
図１６のステップＣ２における信頼度の更新方法は、上述した式（４）の他に、別の方法もある。次式（５）に示すように、誘導部５０１からの入力の一部に、入力ＩＰパケットｐのバイト数Ｌ（ｐ）を含めておき、その逆数１／Ｌ（ｐ）を加算するようにしても良い。
ｃ［ｎ＋１］＝ｃ［ｎ］＋１／Ｌ（ｐ） ・・・ （５）。
この方法は、大きなサイズをもつＩＰパケットほど信頼度が増加しにくくなるように、重みづけを行うものである。一般に、バッファオーバーフロー攻撃やサービス妨害（ＤｏＳ）攻撃を目的としたＩＰパケットは正常な通信内容をもつＩＰパケットに比べて大きなサイズをもつことが多いため、こうした重みづけを施すことで、これらの攻撃の可能性をもつ入力ＩＰパケットを、できるだけ長い期間、おとり装置２へ誘導することが可能になる。その結果、本発明による攻撃防御システムの防御性能を高めることができる。
また、別の一例として、誘導部５０１からの入力の一部に、入力ＩＰパケットのプロトコル番号を含めておき、予め設定されたプロトコル番号に一致した場合のみ、信頼度を更新する方法を併用してもよい。たとえば、予めプロトコル番号「６」を設定しておくことで、入力ＩＰパケットがＴＣＰである場合にのみ、信頼度を更新する。こうすることで、本格的な攻撃の前に準備的に行われるスキャン攻撃による、不要な信頼度の増加を抑える効果が得られる。もちろん、更新処理の条件として、プロトコル番号だけでなく、その他ＩＰヘッダ、ＴＣＰヘッダ、ＵＤＰヘッダなどに含まれる任意の情報を用いてもよいし、複数の条件を組み合わせた論理式を用いるようにしてもよい。
さらに別の一例として、入力ＩＰパケットについて、一般に外れ値検知として知られるような、統計的に「異常であること」の確からしさを求める方法を用いてもよい。具体的には、図１８に示すように、ＩＰアドレスと信頼度との組の集合に代えて、特開２００１−１０１１５４公報（本出願人による特許出願）に記載の外れ値度計算装置を信頼度管理部５０２に組み込む。この場合、誘導部５０１からは実数値や属性を表す離散値などを含む多次元のベクトル、たとえば、ｘ＝（入力ＩＰパケットの到達時刻、入力ＩＰパケットのサイズ、プロトコル番号）を入力する。
このような多次元ベクトルを入力した外れ値度計算装置は、それまでの入力から生成した確率密度分布などを基に、１個の実数値として表される「スコア値」を算出する。このスコア値は「異常であること」の確からしさを表しており、その値が大きいほど攻撃である可能性が高い、言い換えれば信頼度が低い。したがって、スコア値の逆数でもって、入力ＩＰパケットに対する信頼度とすることができる。
図１８（Ａ）は、外れ値度計算を用いた信頼度管理部５０２の概略的構成図であり、（Ｂ）は、その一例を示す詳細なブロック図である。この外れ値度計算を用いる方法は、上述したような「決定的な」信頼度の評価方法では捉えきれない（すなわち予期されない）攻撃を「確率的に」検出するものである。したがって、将来現れうる未知の攻撃に対する防御が可能となる。
本発明の第２実施形態は、第１実施形態による効果に加えて、さらに「アクティブ・ターゲッティング」にも対応できるという効果が得られる。アクティブ・ターゲッティングとは、次に具体的に説明するように、予め特定のサーバ装置もしくはホスト装置に狙いを定めて行われる攻撃形態を指し、一般的には悪意をもった人間によって実行される。
２．３）具体例
図１９〜図２１は、本実施形態による攻撃防御システムの具体的な動作を説明するためのネットワーク構成図である。
図１９に示すように、インターネット３上の攻撃元ホスト３０１を使うユーザが、内部ネットワーク４上のサーバ装置４０１の動作停止を目的として、Ｐｉｎｇ Ｏｆ ＤｅａｔｈなどのＤｏＳ攻撃を行う場合を考える。
このような場合、攻撃元ホスト３０１のＩＰアドレス「１２．３４．５６．７８」に対する信頼度が、誘導部５０１に設定されたしきい値以下であれば、図２０に示すように、ＤｏＳ攻撃を構成するＩＰパケットはおとり装置２へ誘導され、サーバ装置４０１は保護される。ＤｏＳ攻撃をしかけるような悪意をもった人間は、ターゲットを定めたしばらく後に、攻撃を開始すると考えられるので、前記しきい値を十分大きく設定しておくことで、おとり装置２によるサーバ装置４０１の保護が達成される。
さらに、通常の（すなわち攻撃の意図がない）ユーザからのアクセスについては、安全に内部ネットワーク４上のサーバ装置４０１によるサービスを行うができる。たとえば、図２１に示すように、インターネット３上に通常のホスト３０２から、サーバ装置４０１へのアクセスがあった場合、前記例と同様に、ファイアウォール装置５の信頼度管理部５０２により、通常のホスト３０２のＩＰアドレスに対する信頼度が評価される。
もし、通常のホスト３０２の信頼度が不十分であれば、誘導部５０１により「不審」と判定され、おとり装置２へ当該アクセスを構成するＩＰパケットは誘導される。ここで、おとり装置２のプロセッサ２０１で、サーバ装置４０１上のＷＷＷサービスと同じ処理を行うよう、おとり装置２を設定しておく。すなわち、おとり装置２をサーバ装置４０１のミラーサーバとして動作させる。具体的には、WWWサービスの場合、HTMLファイルやJPEGファイルなどのコンテンツの複製をとればよい。したがって、通常のホスト３０２は目的のサービスを受けることができる。おとり装置２では正常なアクセスがなされる間は攻撃が検知されることがないので、通常のホスト３０２のＩＰアドレスに対する信頼度は上述した信頼度更新方法に従って増加していき、いずれ、しきい値Ｔを超える。信頼度ｃがしきい値Ｔを超えた後は、通常のホスト３０２からのアクセスを構成するＩＰパケットは内部ネットワーク４内のサーバ装置４０１へ誘導される。
このような動作により、信頼ずみの通常のユーザからのアクセスについては、すべてサーバ装置４０１が応答する。したがって、おとり装置２が攻撃を受けて、その動作を停止したとしても、信頼ずみの通常のユーザは、サーバ装置４０１によりサービスを継続して受けることができるという効果をもつ。
なお、おとり装置２はサーバ装置４０１上の完全なミラーサーバとして設定してもよいし、例えば、ユーザ認証を要するような重要サービスは除いて、一般的なサービスだけをおとり装置２で提供するようにも設定できる。
（第３実施形態）
図２２は、本発明の第３実施形態による攻撃防御システムのファイアウォール装置の概略的構成を示すブロック図であり、図２３は、その一例を示す詳細なブロック図である。本実施形態のファイアウォール装置６は、ファイアウォール装置１における誘導部１０３に加えて、図５に示す第２実施形態の誘導部５０１および信頼度管理部５０２を有する。
具体的には、図２３に示すように、第１の誘導部１０３の後段として第２の誘導部５０１を設けても良い。逆に、第１の誘導部１０３の前段として第２の誘導部５０１を設けることもできる。
いずれの構成においても、ワームのようにランダムにＩＰアドレスを選択して行われる攻撃と、アクティブ・ターゲッティングによる攻撃の両方に対応できる、という効果が得られる。また、あるホストが、第２の誘導部５０１で一旦信頼された後、ワームに感染するなどした場合でも、おとり装置２にて攻撃の有無を検査することができる、という効果も得られる。
（第４実施形態）
４．１）構成
図２４は、本発明における第４実施形態による攻撃防御システムのファイアウォール装置の一例を示すブロック図である。本実施形態よるファイアウォール装置７は、図１５のファイアウォール装置５における信頼度管理部５０２に代えて、信頼度管理部７０１が接続されている。その他の機能ブロックは、図１５のものと同じであるから、同一参照番号を付して説明は省略する。
図２４に示すように、信頼度管理部７０１は、リアルタイム信頼度データベース７０１１、複製処理部７０１２、長期信頼度データベース７０１３、および、更新処理部７０１４を備える。
リアルタイム信頼度データベース７０１１は、ＩＰアドレス、それに対応する信頼度および最終更新時刻の組の集合を管理し、誘導部５０１からの問い合わせのＩＰアドレスに応じて、対応する信頼度を返す。複製処理部７０１２は、定期的に、リアルタイム信頼度データベース７０１１の内容を、長期信頼度データベース７０１３へ複製する。
長期信頼度データベース７０１３は、ＩＰアドレス、それに対応する信頼度および最終更新時刻の組の集合を管理する。更新処理部７０１４は、定期的に長期信頼度データベース７０１３を参照し、所定の期間よりも古い最終更新時刻を有する項目について、その信頼度を減算する更新処理を実行する。
４．２）信頼度管理
基本的には、入力ＩＰパケットをフィルタリングし、おとり装置２または内部ネットワーク３へ誘導するまでの処理は、第２実施形態のファイアウォール装置５と同一である（図１６のステップＡ１〜Ａ２、Ｃ１〜Ｃ３、Ａ４〜Ａ８）。ただし、本実施形態の信頼度管理部７０１は、パケットの処理と並行して、以下にあげるような信頼度管理処理を行う。
図２５は信頼度管理部７０１における信頼度参照処理を示すフローチャートである。まず、図１６のステップＣ１において信頼度の参照が行われたとき、信頼度管理部７０１は、リアルタイム信頼度データベース７０１１から、入力として与えられたＩＰアドレスに対応する項目が記録されているかどうかを調べる（図２５のステップＤ１）。当該ＩＰアドレスに対応する項目が記録されている場合（ステップＤ１のＹ）、さらにその信頼度を参照し、当該信頼度を誘導部５０１に出力する（ステップＤ２）。
一方、ＩＰアドレスに対応する項目がリアルタイム信頼度データベース７０１１に記録されていない場合（ステップＤ１のＮ）、まず、長期信頼度データベース７０１３を参照して、当該ＩＰアドレスに対応する項目が記録されているかどうかを調べる（ステップＤ３）。記録されている場合（ステップＤ３のＹ）、長期信頼度データベース７０１３の該当項目の内容（ＩＰアドレス、信頼度および最終更新時刻）を、リアルイム信頼度データベース７０１１にコピーし（ステップＤ４）、信頼度を出力する（ステップＤ２）。長期信頼度データベース７０１３にも該当項目がない場合（ステップＤ３のＮ）、リアルタイム信頼度データベース７０１１に、所定の信頼度の初期値をもって、新たな項目を追加し（ステップＤ５）、信頼度を出力する（ステップＤ２）。
そして、図１６のステップＣ２において信頼度の更新が行われたとき、信頼度管理部７０１は、ＩＰアドレスと、信頼度の更新に加えて、更新時刻をリアルタイム信頼度データベース７０１１に記録する。
４．３）リアルタイム信頼度の複製処理
以上の処理に並行して、複製処理部７０１２は定期的に（例えば1日ごとに）リアルタイム信頼度データベース７０１１の全内容を走査しながら、各項目を長期信頼度データベース７０１３へコピーしていく。このとき、最終更新時刻を参照して、所定の期間（例えば1週間）以上、更新処理が行われなかった項目について、当該項目をリアルタイム信頼度データベース７０１１から削除する処理を行っても良い。
４．４）長期信頼度の更新処理
また、更新処理部７０１４は、定期的に（例えば１日ごとに）長期信頼度データベース７０１３の全内容を走査しながら、各項目の最終更新時刻を参照して、所定の期間（例えば１週間）以上、更新が行われなかった項目については、その信頼度を所定の値だけ減算する。もしくは、単に削除しても良い。
４．５）効果
以上のような動作を行うことで、リアルタイム信頼度データベース７０１１の記憶容量を抑えることができるので、ＳＤＲＡＭなど、低容量で高速な記憶デバイスを用いることができる。一方、長期信頼度データベース７０１３はアクセス頻度が少ないので、ハードディスクデバイスなど、大容量で低速な記憶デバイスを用いることができる。
また、更新処理部７０１４による長期信頼度データベース７０１３の更新処理により、たとえ１度、十分な信頼度を得たソースＩＰアドレスについても、ある一定期間以上、アクセスが途絶えた場合には再び「不審」と見なすことができる。これは、特に中古ＰＣの売買など、ソースＩＰアドレスに相当するホストの利用環境が大きく変化した場合などに、信頼度の再評価を自動的におこなうことができるという効果をもつ。
（第５実施形態）
本発明の第５実施形態として、図２３に示す第３実施形態の信頼度管理部５０２に代えて、上述した第４実施形態の信頼度管理部７０１を用いたファイアウォール装置を構成することができる。基本的な構成は図２３と同じであり、信頼度管理部７０１の構成及び動作は、図２４、図２５および第４実施形態の項で説明した通りであるから、ここでは省略する。
（第６実施形態）
６．１）構成
図２６は、本発明の第６実施形態による攻撃防御システムのファイアウォール装置９を示す概略的ブロック図である。ファイアウォール装置９では、第１実施形態のファイアウォール装置１における誘導部１０３に代えて、バッファ９０１１およびＩＣＭＰ監視部９０１２を有する誘導部９０１が設けられている。本実施形態では、第１実施形態のように誘導リストを設けることなく、ＩＣＭＰパケットを利用して同様の機能を実現できる。なお、簡略化のために、図２６では他の機能ブロックの表示が省略されている。
バッファ９０１１は、次に述べるように、パケットフィルタ１０１より受け取ったパケットを一時的に蓄積し、第１内部通信インタフェース１０５を介して内部ネットワークへ転送すると共に、ＩＣＭＰ監視部９０１２からの求めに応じて、蓄積したパケットを第２の内部通信インタフェース１０５を介しておとり装置２へ再送信する。ＩＣＭＰ監視部９０１２は、第１の内部通信インタフェース１０４におけるＩＣＭＰパケットの受信を監視し、特定のＩＣＭＰエラーパケットを検出したとき、バッファ９０１１に適切なパケット再送を要求する。以下、本実施形態の動作を詳述する。
６．２）動作
図２７は本実施形態によるファイアウォール装置９の動作を示すフローチャートである。まず、第１実施形態のファイアウォール装置１と同様に、外部通信インタフェース１００を介してインターネット４から受信した入力ＩＰパケットについて、パケットフィルタ１０１によるフィルタリングを行う（ステップＡ１、Ａ２）。
受理されたＩＰパケットは誘導部９０１のバッファ９０１１に蓄積され（ステップＥ１）、無条件に第１の内部通信インタフェース１０４を介して内部ネットワーク３へ送出され（ステップＥ２）、通常のサービスが提供される（ステップＡ４）。この場合、たとえ不審パケットであっても内部ネットワークへ転送されてしまうが、実際の攻撃を実行する前に送信されるＴＣＰコネクション確立要求のＳＹＮパケットは攻撃要素が含まれていないために、ＳＹＮパケットであれば受け入れても問題はない。内部ネットワークにＳＹＮパケットが転送され宛先が存在しなければ、到達不能を知らせるＩＣＭＰパケット（タイプ３）が返される。
ＩＣＭＰ監視部９０１２は、第１の内部通信インタフェース１０４でＩＣＭＰパケット（ＲＦＣ７９２記載）が受信されると、当該ＩＣＭＰパケットの内容を参照して、到達不能を知らせるエラー（すなわちＩＣＭＰタイプ３）であるか否かを調べる（ステップＥ３）。到達不能を知らせるエラーであれば（ステップＥ３のＹ）、そのＩＰヘッダ部をさらに参照し、少なくともソースＩＰアドレスもしくはディスティネーションＩＰアドレスを用いてバッファ９０１１に再送要求を行う（ステップＥ３）。その他のメッセージであった場合は、何もせず、監視を続ける。
再送要求を受けたバッファ９０１１は、少なくともソースＩＰアドレスもしくはディスティネーションＩＰアドレスに従って、蓄積されたパケットから該当するパケットを抽出し、当該パケットを第２の内部通信インタフェース１０５を介して、おとり装置２へ再送する（ステップＥ４）。以下、すでに述べたステップＡ５〜Ａ８が実行される。
このように攻撃要素を含まないコネクション確立のためのパケットを利用することで、内部ネットワーク３の未使用ＩＰアドレスを誘導リストとして事前に設定することなしに、自動的に未使用ＩＰアドレス宛ての入力ＩＰパケットをおとり装置２へ誘導することができる。
（第７実施形態）
７．１）構成
図２８は、本発明の第７実施形態による攻撃防御システムのファイアウォール装置１０を示す概略的ブロック図である。このファイアウォール装置１０は、上述した第２〜第５実施形態によるファイアウォール装置における防御ルール判定部１０７およびアクセス制御リスト管理部１０２に代えて、有効期限付き防御ルール判定部１００１および有効期限付きアクセス制御リスト管理部１００２を設けている。
防御ルール判定部１００１は、制御インタフェース１０６を介しておとり装置２から受け取ったアラートに応じて、信頼度管理部５０２および７０１に対して、対応する信頼度の再設定を指示する。あるいは、アラートに応じて、更新すべきアクセス制御ルールを決定し、アクセス制御リスト管理部１００２にその更新を指示する。
信頼度管理部５０２および７０１は、防御ルール判定部１００１からの更新指示を受けて、新たな信頼度を決定し誘導部５０１へ出力する。アクセス制御リスト管理部１００２は、防御ルール判定部１００１からの更新指示を受けて、アクセス制御リストを更新し、パケットフィルタ１０１からの要求に応じてアクセス制御ルールを出力する。
７．２）動作
本実施形態における攻撃防御システムの動作を、具体的な例を挙げながら詳細に説明する。
まず、インターネット４から到達した入力ＩＰパケットが、ファイアウォール装置１０によって、おとり装置２へ誘導され、おとり装置２において、当該入力ＩＰパケットによる攻撃が検知され、その旨を知らせるアラートが送信されるまでは、図１６のステップＡ１〜Ａ７に示すように、第２〜第５実施形態における攻撃防御システムと同様である。
ファイアウォール装置１０の防御ルール判定部１００１には、防御ルール判定部１０７とは異なり、信頼度を更新するための防御ルールが予め設定されている。例えば、防御ルールとして、次式（６）のような形式の記述があれば、信頼度を１減算すると解釈されるものとする。
ＲＥＣＯＮ：ｃ（＄｛ＳＯＵＲＣＥ＿ＩＰ＿ＡＤＤＲＥＳＳ｝）−＝１
・・・ （６）。
たとえば、制御インタフェース１０６を通してソースＩＰアドレス「１２．３４．５６．７８」を示すアラートが受け取ると、防御ルール判定部１００１はＩＰアドレス「１２．３４．５６．７８」に対する信頼度を１減算すると解釈し、その旨を信頼度管理部５０２／７０１に指示する。すなわち、アラートを受け取ると、そのソースＩＰアドレスの信頼度を低減させる。信頼度管理部５０２は第２実施形態で説明したように信頼度を更新し、信頼度管理部７０１は第４実施形態で説明したように信頼度を更新するから、信頼度の低減処理を加えることで、よりきめ細かい信頼度管理ができる。
また、ファイアウォール装置１０において、防御ルール判定部１００１内に、防御ルール判定部１０７と同様に、アクセス制御ルールのひな型としての防御ルールを予め設定してもよい。ただし、この場合のアクセス制御ルールは、新たに「有効期間」を表すフィールドを記載できる（したがって防御ルールにも記載可能）。例えば、次式（７）に示すように、前記式（１）の防御ルールにＥＸＰＩＲＥの項を追加し、「７日間有効」という制約をつけることができる。
ＩＮＴＲＵＳＩＯＮ：（ＳＲＣ：＄｛ＳＯＵＲＣＥ＿ＩＰ＿ＡＤＤＲＥＳＳ｝、ＤＳＴ：＊、ＰＲＯＣ：ＤＲＯＰ、ＥＸＰＩＲＥ：＋７ＤＡＹ） ・・・（７）。
したがって、アラートが制御インタフェース１０６を経由して防御ルール判定部１００１に伝達されると、防御ルール判定部１０７と同様の方法で、次式（８）に示すようにアクセス制御ルールが生成され、アクセス制御リスト管理部１００２に伝達される。
（ＳＲＣ：１２．３４．５６．７８、ＤＳＴ：＊、ＰＲＯＣ：ＤＲＯＰ、ＥＸＰＩＲＥ：＋７ＤＡＹ） ・・・ （８）。
次に、アクセス制御リスト管理部１００２は、防御ルール判定部１００１から受け取ったアクセス制御ルールをアクセス制御リストデータベース１０２１に追加する。このとき、式（８）のようにＥＸＰＩＲＥフィールドがアクセス制御ルールに記載されている場合、アクセス制御リスト管理部１００２は、現在時刻に、ＥＸＰＩＲＥフィールドに指定された値を加算した時刻を算出した上で、データベースを更新する（図７のステップＡ８に対応する）。
図２９は、アクセス制御リスト管理部１００２の管理動作を示すフローチャートである。アクセス制御リストデータベース１０２１が更新された後、再びソースアドレス「１２．３４．５６．７８」からの入力ＩＰパケットがファイアウォール装置１０に到達すると、パケットフィルタ１０１は当該ソースＩＰアドレスをアクセス制御リスト管理部１００２へ送付してアクセス制御ルールの取得要求を行う（ステップＡ２＿１）。
アクセス制御リスト管理部１００２は、当該ソースＩＰアドレスに対応するアクセス制御ルールを検索する（ステップＡ２＿２、Ａ２＿３）。式（８）に相当するアクセス制御ルールを抽出すると、アクセス制御リスト管理部１００２は、ＥＸＰＩＲＥフィールドに記載された有効期間と現在時刻とを比較する（ステップＡ２＿４）。
現在時刻が有効期間を超過していた場合には（ステップＡ２＿４のＹＥＳ）、当該アクセス制御ルールをアクセス制御リストデータベース１０２１から削除し（ステップＡ２＿５）、デフォルトのアクセス制御ルールをパケットフィルタ１０１へ返す（ステップＡ２＿６）。逆に、有効期間内であれば（ステップＡ２＿４のＮＯ）、次式（９）に示すようなＥＸＰＩＲＥフィールドを除いたアクセス制御ルールをパケットフィルタ１０１へ返す（ステップＡ２＿７）。
（ＳＲＣ：１２．３４．５６．７８、ＤＳＴ：＊、ＰＲＯＣ：ＤＲＯＰ）
・・・（９）。
こうして取得したアクセス制御ルールを用いて、パケットフィルタ１０１は受信ＩＰパケットの受理／廃棄の判定を行う（ステップＡ２）。
上述したように、攻撃をおとり装置で検知した後の防御方法として、よりきめ細かな対策を講じることができる。具体例を挙げると、一般に攻撃者は、「侵入」もしくは「破壊」に相当する攻撃の準備として、ポートスキャンあるいはＴｒａｃｅｒｏｕｔｅなどの「探査」に相当する攻撃を行う。しかし、「探査」として検出されるアクセスが、全て攻撃であるとは限らないことも、よく知られる所である。したがって、「探査」に対する防御方法として、恒久的なアクセス遮断を行うことは不都合を生じる可能性がある。
そこで、本実施形態では、有効期限付きのアクセス制御ルールを用いて時間制限を付けたアクセス遮断を行う。または、上述したように、アラーム発生によってそれまで蓄積された信頼度を低減させることで、信頼度がしきい値Ｔ（図１７参照）を超えないようにし、おとり装置への誘導を継続し、後で「侵入」もしくは「破壊」に相当する攻撃を検知してから恒久的なアクセス遮断へと対応を変えることもできる。
（第８実施形態）
図３０は、本発明の第８実施形態による攻撃防御システムの概略的構成図である。第８実施形態では、単一のおとり装置２に代えて、２台以上のおとり装置２を含むおとりクラスタ２１が設けられている。
本実施形態における各おとり装置２は、特定のディスティネーションＩＰアドレスをもつパケット、もしくは、特定のポート番号をもつパケットにしか偽のサービスを提供しないようにする。
こうすることにより、内部ネットワーク４上の特定のサーバ装置に１対１対応するおとり装置２を設けたり、特定の偽のサービスだけを提供するおとり装置２を設けたりすることができる。したがって、攻撃者に対して正規のサーバ装置により近いサービスを提供することができ、また、特定のサービス向けの正常動作定義をもつことでより運用性を向上させることもできる。
（第９実施形態）
第９実施形態のファイアウォール装置は、第１〜第８実施形態における誘導部に加えて、出力パケット誘導部を有する。出力パケット誘導部は、内部ネットワーク３からインターネット４へ向けて送信される出力ＩＰパケットに対して、上述したパケットフィルタリングおよびおとり装置への誘導処理を行う。
このような出力パケット誘導部を設けることで、内部ネットワーク３の運用規定として、インターネット４へのアクセスを禁じているような場合に、内部ネットワーク３からインターネット４への不法なアクセスを検知し、その記録をとることができる。
（第１０実施形態）
上記第１〜第９実施形態の説明では機能ブロック構成を用いたが、本発明はこれに限定されるものではなく、ソフトウエアにより同一の機能を実現することもできる。
図３１は、本発明の第１０実施形態による攻撃防御システムの概略的構成図である。本実施形態のファイアウォール装置には、プログラム制御プロセッサ１１０１、上記第１〜第９実施形態におけるそれぞれの機能ブロックを実現するプログラムのセットを格納したプログラムメモリ１１０２、アクセス制御リストデータベースや防御ルール判定用のデータベースなどを格納したデータベース１１０３、および各種インタフェース１００、１０４〜１０６が設けられている。同様に、本実施形態のおとり装置には、プログラム制御プロセッサ２１０１、上記第１実施形態で説明したおとり装置としての機能ブロックを実現するプログラムのセットを格納したプログラムメモリ２１０２およびファイアウォール装置とのインタフェースが設けられている。本実施形態の動作は、プログラムメモリに格納されるプログラムセットを上記第１〜第９実施形態のいずれかに設定することで、所望の実施形態による攻撃防御システムを実現することができる。
（第１１実施形態）
上記第１〜第１０実施形態では、ファイアウォール装置とおとり装置とが別ユニットになった攻撃防御システムを例示したが、本発明はこれに限定されるものではなく、ハードウエア的に１ユニットで構成することもできる。１ユニットは、取り扱いが容易であり小型化し易いというメリットがある。
図３２は、本発明の第１１実施形態による攻撃防御ユニットの概略的構成図である。本実施形態の攻撃防御ユニットには、ファイアウォール装置用のプログラム制御プロセッサ１１０１、おとり装置用のプログラム制御プロセッサ２１０１、アクセス制御リストデータベースや防御ルール判定用のデータベースなどを格納したデータベース１１０３、上記第１〜第９実施形態におけるそれぞれの機能ブロックを実現するプログラムのセットを格納したプログラムメモリ１１０４、および各種インタフェース１００および１０４が設けられている。本実施形態の動作は、プログラムメモリに格納されるプログラムセットを上記第１〜第９実施形態のいずれかに設定することで、所望の実施形態による攻撃防御システムを実現することができる。また、プロセッサ１１０１とプロセッサ２１０１とを単一のプロセッサで構成しても良い。
（第１２実施形態）
１２．１）構成
図３３は、本発明の第１２実施形態によるおとり装置のブロック図である。本実施形態におけるおとり装置３７は、第１〜第１０実施形態におけるおとり装置２の攻撃検知部２０２に代えて、イベント管理部３７０１および攻撃検知部３７０２を備える。
イベント管理部３７０１は、プロセッサ２０１から伝達されるプロセス状況（以下イベント）を内部的に備えたキューに一時格納しながら、所定の条件を満たす関係をもつ過去のイベントとの間にリンク付けを行い、当該イベントとリンクを攻撃検知部３７０２に伝達する。また、攻撃検知部３７０２からリンクの入力を受けて、リンク先またはリンク元イベントを返す。
攻撃検知部３７０２は、イベントとリンクの組の伝達を受けて、必要に応じて、イベント管理部３７０１を用いてリンクを探索しながら、所定の攻撃検知ルールとの照合によって攻撃の有無を判定し、攻撃があった場合にファイアウォール装置にその旨を通知するためのアラームを送信する。
１２．２）動作
図３４は、本発明の第１２実施形態によるおとり装置３７の動作を示すフローチャートである。
１２．２．１）イベント伝達
まず、ファイアウォール装置１から転送された入力ＩＰパケットを受けて、プロセッサ２０１上の偽サービスを提供するためのプログラムが動作する。第１〜第１０実施形態におけるおとり装置２とは異なり、この偽サービス提供は正規のサービス提供と全く同じように、ネットワーク入出力・プロセスの生成と停止（プロセス生滅）・ファイル入出力を行うものとする。
プロセッサ２０１は、当該プログラムを動作させながら、さらに、ネットワーク入出力・プロセス生滅・ファイル入出力に係るイベントを、イベント管理部３７０１に随時伝達する（ステップＦ１）。
イベントには、少なくとも、イベント名および引数の値や、イベントの返値や、当該イベントを発行したプロセスのプロセスＩＤが含まれる。この他、イベントの発生時刻などを含めてもよい。
１２．２．２）イベント種別の判定
イベントの伝達を受けたイベント管理部３７０１では、まず所定のイベント種別判定ルールに従って、イベント種別を判定する（ステップＦ２）。イベント種別判定ルールは、少なくともネットワーク入出力・プロセス生滅・ファイル入出力を区別できれば十分である。たとえば、プロセッサ２０１が伝達するイベントの名前と、イベント種別との対応関係を定めたテーブル（図３５参照）を予め用意しておき、イベントが伝達されるたびに当該テーブルを検索して、イベント種別を導けばよい。
１２．２．３）イベント管理キューへの追加
そして、イベント管理部３７０１は、前記イベントをキューに格納する（ステップＦ３）。キューは1本でもよいが、並列処理や後段の処理を簡単にするために、複数本を備えてもよい。ここでは、たとえば、イベント種別ごとに1本ずつのキューを備えるものとする（図３６参照）。この場合、前記イベント種別判定ルールによって求められたイベント種別について、対応するキューを選択し、その最後尾に前記イベントを追加する。
１２．２．４）イベント間のリンク付け
さらに、イベント管理部３７０１は、最後にキューに追加したイベント（カレントイベント）について、所定のリンク付けルールにしたがって、関連イベントとの間にリンク付けを行う（ステップＦ４）。リンク付けルールは、少なくともイベントの発生源となったプロセスの生成イベントから、当該イベントへのリンクを生成できれば十分である（図４３参照）。関連イベントとのリンク付けを入力した攻撃検知部３７０２は、ＤＴ定義にしたがって攻撃の有無を判定する（ステップＦ５〜Ｆ７）。詳しくは後述するが、関連イベントとのリンク付けとＤＴ定義に記載された各ルールとの照合を行い、合致するルールがあるか否かを判定し（ステップＦ６）、合致するルールがあれば（ステップＦ５のＹ）、さらに攻撃であるかどうかを判定する（ステップＦ７）。攻撃があれば、ただちにアラームを生成し、ファイアウォール装置１に送信する（ステップＦ８）。以下、さらに詳細に説明する。
１２．２．４．１）基本的なリンク付けルール
図３７を参照しながら、より具体的な例として、もっとも基本的なリンク付けルールを示す。
図３７において、まず、前記カレントイベントの発行源プロセスＩＤを抽出する（ステップＨ１）。そして、プロセスイベント管理キューの最後尾にあるイベントを参照する（ステップＨ２）。
次に、現在参照しているイベントが、プロセス生成イベントか否かを判別する（ステップＨ３）。具体的には、例えば、予め定めたイベント名と、現在参照中のイベントに記載されたイベント名が一致するかどうかを検査する。
そして、プロセス生成イベントではないと判定された場合は、参照先を１つ前方に移動させ、ステップＨ３へ戻る（ステップＨ４）。
一方、プロセス生成イベントであると判定された場合は、現在参照しているイベントのプロセスＩＤを参照して、前記発行源プロセスＩＤと比較する（ステップＨ５）。一致する場合は、ステップＨ６に進み、一致しない場合は、ステップＨ４に戻る。
なお、カレントイベントがプロセス生成イベントである場合、ステップＨ２で参照されるイベントはカレントイベント自身である。しかし、どのオペレーティングシステムにおいても、プロセス生成の際に、同じプロセスＩＤが割り当てられることはあり得ない。したがって、ステップＨ５において、カレントイベントの発行源プロセスＩＤと、カレントイベントのプロセスＩＤは一致せず、必ずステップＨ４へ戻る。
そして、当該プロセス生成イベントから、カレントイベントへの、順方向リンクをプロセス生成イベントに付加する（ステップＨ６）。さらに、カレントイベントからプロセス生成イベントへの、逆方向リンクをカレントイベントに付加する（ステップＨ７）。順方向および逆方向のリンクの一例は図４３に示される。
こうして付加された順方向リンクは、イベント間の関係を時系列に沿った形で保持するためのものであり、逆方向リンクは、イベント間の関係を時系列とは逆順に保持するためのものである。以降の処理において、イベント間の時間的な関係を利用するので、同じイベントに付加された、順方向リンクと逆方向リンクはいつでも区別できるようにしておくことが望ましい。
１２．２．４．２）イベント−コンテキスト対の伝達
その後、イベント管理部３７０１は、前記カレントイベントと、そのコンテキストとの組（イベント−コンテキスト対）を攻撃検知部３７０２へ出力する。図３８に示すように、コンテキストとは、カレントイベントに付加された全ての順方向リンクおよび逆方向リンクの集合を指す。
１２．２．５）攻撃検知
図３９に、予め定められたドメイン−タイプ制約付きの正常動作定義（以下、ＤＴ定義という。）の一例を示す。イベント−コンテキスト対の入力を受けた攻撃検知部３７０２は、ＤＴ定義にしたがって攻撃の有無を判定する（図３４のステップＦ５）。
１２．２．５．１）ドメイン−タイプ制約つきルールの判定
（ドメイン−タイプ制約つきルールの構成要素）
ＤＴ定義内の各ドメイン−タイプ制約つきルールは、少なくとも、
（１）ドメイン−タイプ制約（以下、ＤＴ制約）
（２）イベント制約
（３）判定値
という構成要素をもつ。
（１）ＤＴ制約は、イベントの発生原因となったアクセスの送信元ホストもしくはそのネットワークドメインに関する制約（ドメイン制約）と、イベントの発生源となったプロセスおよびその先祖プロセスに関する制約（タイプ制約）とを論理積で組み合わせた制約条件を示しており、前記イベントがこの制約を満たす場合のみ、（２）イベント制約の判定を行う。
ＤＴ制約について、より具体的に説明する。たとえば、以下のようにＤＴ制約が記述されているものとする。
・タイプ制約：「プログラムＴ１」「プログラムＴ２」
・ドメイン制約：「１３３．２０３．１．１２８」。
図４０に示すように、これらの制約は以下の条件を指定する。
・イベントの発生源である何らかのプロセスの先祖として、「プログラムＴ ２」のプロセスが存在すること。
・「プログラムＴ２」の親プロセスとして「プログラムＴ１」のプロセスが存在すること。
・「サーバプログラム」がＩＰアドレス「１３３．２０３．１．１２８」のホストからアクセスを受けていること。
なお、図４０は「サーバプログラム」が「プログラムＴ１」の先祖である場合を示しているが、一般的にはイベント発生源のプロセスおよびその先祖プロセスのいずれかが「サーバプログラム」であれば十分である。たとえば、「プロセスＴ１」または「プロセスＴ２」が「サーバプログラム」であってもよいし、イベント発生源のプロセスそのものが「サーバプログラム」であってもよい。
（２）イベント制約と（３）判定値は、第１実施形態におけるおとり装置２の正常動作定義と同じ意味である。すなわち、前記（２）はイベント名とパラメータ値についての正規表現の組である。攻撃検知部３７０２は、それらが前記イベント−コンテキスト対におけるイベントの名前およびパラメータ値と、合致するかどうかを判定する。
また、前記（３）は、前記イベントが前記（２）に合致した場合に、攻撃検知部３７０２がそれを正常と判定するか、攻撃と判定するか、を定める値である。たとえば、正常と判定する場合の判定値を「ＡＬＬＯＷ」、攻撃と判定する場合の判定値を「ＤＥＮＹ」とする。なお、攻撃と判定する場合の判定値については、第１実施形態におけるおとり装置２と同様の攻撃種別を用いても良い。
以下、特にＤＴ制約について、より具体的な記述例と判定方法を示す。
（ドメイン制約の記述例）
ドメイン制約は、例えば、ＩＰアドレスの集合として記述できる。具体的には、１つのＩＰアドレスを10進3桁の数の4組「xxx.yyy.zzz.www」として記述し、「．」で区切ってＩＰアドレス集合の要素を列挙する。またその便法として、「xxx.yyy.zzz.www/vvv」（vvvはビットマスク）などの表記を許してもよい。あるいは、正規表現を用いることもできる。
（タイプ制約の記述例）
また、タイプ制約は、例えば、実行形ファイル名に関する正規表現をもちいて記述できる。また、実行形ファイル名の連結によって、プロセスの親子関係を表現できるようにして、その正規表現を用いてもよい。
具体的には、プロセスの親子関係を「<F(1)><F(2)>(中略)<F(N)>」（各F(i)は実行形ファイル名）という形式で表すことができる。このとき、それぞれの「<F(i)>」は、プロセスに関する制約であり、これにマッチする名前をもつ実行形ファイルの起動後のプロセスに相当する。また、その列挙は前方に記述されたプロセスを親とし、後方に書かれたプロセスをその直接の子とすることを示す。
したがって、実行形ファイル「Ａ」に相当するプロセスＡの子として、実行形ファイル「Ｂ」に相当するプロセスＢが、さらにその子として実行形ファイル「Ｃ」に相当するプロセスＣが起動されている場合、プロセスＡ、Ｂ、Ｃの親子関係は「<A><B><C>」という文字列で表記される。
こうしたプロセスの親子関係に関する正規表現をもって、タイプ制約とすることができる。具体的には、「<A>.*<C>」というタイプ制約は、実行形ファイル「Ｃ」に相当するプロセスＣが起動しており、その親プロセス（直接でなくともよい）が実行形ファイル「Ａ」である場合に、マッチする。
また特殊な例として、タイプ制約が「^」で始まる場合、その直後に記述されたプロセスが、プロセッサ２０１上のオペレーティングシステムの起動直後に生成されたプロセスである場合にマッチする。
一般に、オペレーティングシステムは、唯一の初期プロセスをもち、起動直後のプロセスはすべて、その初期プロセスの直接の子となる。初期プロセスに相当する実行形ファイルが必ずしも存在するわけではないので、これを特殊記号「^」で表記することで、ＤＴ定義の汎用性を向上させることができる。
別の特殊な例として、タイプ制約が「$」で終わる場合、「$」の直前に指定されたプロセス「<F(N)>」が、イベント発生源であることを示す。
（ＤＴ制約とイベント−コンテキスト対の比較）
ＤＴ制約の判定において、前記イベント−コンテキスト対との比較を行うが、その方法について、詳細に説明する。
タイプ制約の判定は、コンテキストに含まれる逆方向リンクのうち、前記プロセスイベント管理キュー内のイベントを指すもの（以下、プロセスリンク）を選択する。前記リンク付けルールに従えば、任意のイベントにはその発生源であるプロセスの生成イベントを指すプロセスリンクが必ず存在する。
そして、当該プロセスリンクを辿り、その先のイベントを参照して、実行形ファイル名をスタックに積む。こうしたステップを、プロセスリンクが存在しないイベントに到達するまで繰り返す。
一般的なオペレーティングシステムでは、任意のプロセスの先祖として初期プロセスが存在する。そのようなオペレーティングシステムがプロセッサ２０１上で動作している場合、初期プロセスは親プロセスをもたないため、かならず本ステップの繰り返しは終了する。
もし、初期プロセスが存在しないようなオペレーティングシステムがプロセッサ２０１上で動作している場合、イベント管理部３７０１において、仮想的な初期プロセスの生成イベントを、プロセスイベント管理キューの先頭に配置するようにすればよい。
前記ステップが終了した後、スタックに積まれた実行形ファイル名の系列は、前記初期プロセスから、前記イベント発生源のプロセスに至るまでのプロセス系列が得られる。当該プロセス系列は、プロセス間の親子関係を時系列順にならべたものに一致するので、当該プロセス系列と、タイプ制約とを比較することで、イベント系列とタイプ制約が合致するか否かを判定できる。
また、ドメイン制約の判定は、タイプ制約と同様にプロセスリンクをたどりながら、順次ネットワークイベント管理キューへの順方向リンクを参照していく。順方向リンクの先に、接続要求の受信イベントが見つかれば、当該イベントに記載されているソースＩＰアドレスをアクセス元ホストのＩＰアドレスとみなし、探索を終了する。
そして、前記ＩＰアドレスと、ドメイン制約とを比較して合致するか否かを判定する。
１２．２．５．２）アラーム送信
以上のようにして、イベント−コンテキスト対とＤＴ定義に記載された各ルールとの照合を繰り返し行い、（１）ＤＴ制約および（２）イベント制約の全てに合致するかどうかを確認する（図３４のステップＦ６）。もし、両方の制約に合致するルールが１つも無い場合は、デフォルト値として予めＤＴ定義内に設定された判定値を採用する。
合致するルールがあれば、当該ルールの（３）判定値を参照して、前記イベント−コンテキスト対が攻撃であるかどうかを判定する（ステップＦ７）。
そして、採用された判定値が許可（ＡＬＬＯＷ）以外の場合、ただちにアラームを生成し、ファイアウォール装置１に送信する（ステップＦ８）。アラームの内容は第１実施形態におけるおとり装置２と同様に、少なくとも、前記アクセスのソースＩＰアドレスと、前記判定値を含み、その他、アクセス元のポート番号などを含めても良い。
１２．３）効果
本実施形態におけるおとり装置３７は、プロセッサ２０１が発生するイベントについて、イベント管理部３７０１でイベント間の因果関係の分析と履歴管理を行っている。これを用いて、攻撃検知部３７０２でアクセス元ホストや、サブシステムの呼び出し関係などを含めた、より詳細な正常動作定義が可能となる。これにより、複雑なサブシステム構成をもつサーバに対する攻撃検知性能を向上させると共に、保守作業の誤検知を低減させることができる。
１２．４）具体例
本実施形態におけるおとり装置３７の動作を具体例を用いて説明する。
１２．４．１）構成
まず、おとり装置３７のプロセッサ２０１上で、偽サービスとしてＷＷＷサーバが動作しているものとする。そして、そのコンテンツ領域を、"C:\Inetpub\wwwroot" ディレクトリ以下とする。また、ＷＷＷサーバのサブシステムとして、以下の２つのＣＧＩモジュールを備えるものとする。
（Ａ）登録ＣＧＩ：顧客情報を顧客データベースに登録するＣＧＩ
（パス名："C:\Inetpub\scripts\regist.exe"）
（Ｂ）出力ＣＧＩ：顧客データベースの内容をＨＴＭＬに変換し、ブラウザ
から閲覧するＣＧＩ
（パス名："C:\Inetpub\scripts\view.exe"）。
ただし、出力ＣＧＩは専ら保守作業の１つとして利用されることを目的としており、内部ネットワーク４上の管理ドメイン"１０．５６．３．０／２４"からのアクセスのみに応答することを要求されているものとする。また、別の保守作業として、ＦＴＰサーバを介したコンテンツの更新が想定されているものとする。
以下、クライアントとサーバとの間で行われる接続開始から要求データ送信完了までのＩＰパケット送受信をまとめて「アクセス」と呼ぶ。同様に、応答データ送信開始から接続終了までのＩＰパケット送受信をまとめて「（当該アクセスに対する）応答」と呼ぶ。
こうした構成に対するＤＴ定義の例として、図３９に示すファイル４１０１のような設定がなされているものとする。ただし、「#」で始まる行はコメント行であり、無視されるものとする。
１２．４．２）動作例１
具体的な動作の一例として、外部ネットワーク３上のクライアント（１３３．２０１．５７．２）から、内部ネットワーク４上のＷＷＷサーバに対する不審アクセスがあって、それが正常である場合のおとり装置３７の動作例を示す。
このとき、第１〜第１０実施形態のいずれかのファイアウォール装置によって、前記不審アクセスはおとり装置３７に誘導され、偽サービス処理が開始される。
そして、おとり装置３７のプロセッサ２０１上のＷＷＷサーバでは、前記不審アクセスを受信を初めとして、以下のような処理を行う。
（Ａ）１３３．２０１．５７．２からのアクセスを受信する。
（Ｂ）子プロセスを生成する。
（Ｃ）子プロセスで、当該アクセスにおける要求データに応じて、
例えば、
（Ｃ−１）コンテンツ領域に対するファイル入出力
（Ｃ−２）データベース操作のためのファイル入出力
を行う。
以下に、それぞれのステップごとにおとり装置３７の内部動作を説明する。
１２．４．２．１）不審アクセスの受信
プロセッサ２０１上のＷＷＷサーバが、不審アクセスを受信した直後、プロセッサ２０１からイベント管理部３７０１に、イベント３５０１が伝達される（図４１参照）。
イベント３５０１の内容には、少なくとも、イベント名（ＮＷ＿ＡＣＣＥＰＴ）、アクセス元ＩＰアドレス（１３３．２０１．５７．２）、当該イベントの発生源であるプロセスであるＷＷＷサーバのプロセスＩＤ（７０９）が記載される。この他、アクセス元のポート番号、ＴＣＰ／ＵＤＰなどのプロトコル種別、要求データなどの情報を含めてもよい。
イベント３５０１を受け取ったイベント管理部３７０１は、直ちに図３５に示すような対応表を参照して、イベント名「ＮＷ＿ＡＣＣＥＰＴ」のイベント種別を「ネットワーク」であると判定し、前記イベントに追記する。そして、イベント種別「ネットワーク」に対応するイベント管理キューに、イベント３５０１を追加する。さらに、所定のリンク付けルールに従いイベント３５０１と関連する過去のイベントとの間にリンク付けを行う。
具体的には、図４２を参照すると、イベント種別「プロセス」に対応するイベント管理キューから、前記イベント内に記載されたプロセスＩＤ（７０９）に相当するイベント名「ＰＲＯＣ＿ＥＸＥＣ」または「ＰＲＯＣ＿ＦＯＲＫ」をもつイベント３６０１を検索する。このとき、最後尾から前方に向けてキュー走査を行い、最初にマッチするイベント３６０１を発見したとき、後の処理へ進む。
そして、イベント３６０１に対して、イベント３５０１への順方向リンク（図４３の実線）を付加し、イベント３５０１に対して、イベント３６０１への逆方向リンク（図４３の破線）を付加する。以下、リンクを図示する際は、逆方向リンクを省略する。
その後、イベント３５０１に関するイベント−コンテキスト対を、攻撃検知部３７０２に伝達する。
攻撃検知部３７０２では、まず、所定のＤＴ定義ファイル４１０１を参照し、各ルールを抽出する。本例では、ＤＴ定義ファイル４１０１の先頭から前方に向かって1行ずつルールを抽出していく。なお、「＃」で始まる行はコメントを意味し、コメントと空行はスキップされる。
まず、最初のルール（図３９のルール１）が抽出される。本例の場合、ドメイン制約は「0.0.0.0/0」であり、これは任意のネットワークドメインにマッチする。また、タイプ制約は「<inetinfo.exe>」であり、WWWサーバに相当するプロセスまたはその子プロセスにマッチする。
前記ＤＴ制約とイベント３５０１との照合のために、攻撃検知部３７０２は、まず、イベント３５０１のコンテキスト内の逆方向リンクをイベント管理部３７０１に入力して、リンク先のイベント３６０１の出力を受ける。
次に、イベント３６０１の内容を参照して、プロセスＩＤ「７０９」に相当するプログラム実行形ファイルのパス名「C:\Web\inetinfo.exe」を抽出する。さらに、イベント３６０１の逆方向リンクを先と同様にして、さらに親プロセスの生成イベントの取得を行おうとするが、本例では存在しない。したがって、イベント３６０１に相当するプロセスの親子関係を「<inetinfo.exe>」と判定し、前記タイプ制約「<inetinfo.exe>」にマッチすることを確認する。
次に、ドメイン制約との照合を行うため、再びイベント３５０１の内容を参照する。まず、イベント３５０１のイベント種別が「ネットワーク」であることを確認して、さらにイベント名が「ＮＷ＿ＡＣＣＥＰＴ」であることを確認する。
これにより、イベント３５０１自身がドメイン制約の対象となるので、さらにソースＩＰアドレスを参照して、「１３３．２０１．５７．２」を取得する。この値は、前記ドメイン制約「0.0.0.0/0」にマッチする。
続けて、イベント制約の判定を行う。イベント名「FILE#WRITE」と、イベント３５０１のイベント名「NW#ACCEPT」とを照合するが、この場合、一致しないので、当該ルールの照合処理を中断し、次のルール照合へ移る。
以下、同様にして、ルール抽出、ＤＴ制約の照合、イベント制約の照合を繰り返すが、本例の場合、いずれのルールにも合致しないため、デフォルトルール「ＤＥＦＡＵＬＴ；ＡＬＬＯＷ」が採用され、イベント３５０１を「正常」と判定し、ＤＴ定義全体の照合を終了する。
１２．４．２．２）子プロセスの生成
次に、プロセッサ２０１上のＷＷＷサーバは前記不審アクセスの要求データを処理するために、子プロセスを生成する。一般に複数のアクセスを並行処理するサーバは、このように個々のアクセスに対する要求データ処理と応答処理を子プロセス側で行う。ただし、逐次的にアクセスを処理するサーバもあり、こうした場合には、直ちに要求データの処理に移る。また、子プロセスの代わりに子スレッドを作る場合もあるが、本例ではスレッドと厳密な意味でのプロセスとを同等に、「（広義の）プロセス」として扱う。
プロセッサ２０１は、子プロセスの生成動作を受けて、イベント３８０１（図４４参照）をイベント管理部３７０１に伝達する。イベント３８０１の内容には、少なくとも、イベント名「PROC#FORK」と、実行形ファイルのパス名「C:\Web\inetinfo.exe」と、生成された子プロセスのプロセスＩＤ（８００）と、当該イベントの発生源であるプロセスＩＤ（７０９）が記載される。この他、スレッドと（狭義の）プロセスを区別するためのフラグなどを設けてもよい。
イベント３８０１の伝達を受けたイベント管理部３７０１は、前記イベント３５０１と同様にして、イベント３８０１のイベント種別（「プロセス」）を判定し、プロセスイベント管理キューへイベント３８０１を追加した後、イベント３６０１からイベント３８０１への順方向リンクと、イベント３８０１からイベント３６０１への逆方向リンクをつける（図４４参照）。そして、イベント３８０１に関するイベント−コンテキスト対を攻撃検知部３２０２へ伝達する。
攻撃検知部３７０２では、先と同様に、イベント３８０１に関するイベント−コンテキスト対のリンクを探索して、イベント３８０１のＤＴ判定を行う。その結果、イベント３８０１そのものがイベント種別「プロセス」であり、イベント３８０１の逆方向リンク先をイベント管理部３２０１から取得すると、イベント３６０１が得られる。したがって、イベント３８０１のタイプは「<inetinfo><inetinfo>」と判定される。
そして、再びイベント３８０１を参照するが、そのイベント種別は「ネットワーク」ではないので、イベント３８０１の順方向リンクを参照しようとする。しかし、イベント３８０１にはネットワークイベント管理キューへの順方向リンクがないので、イベント３８０１の逆方向リンク先をイベント管理部３７０１から取得する。イベント３８０１にはネットワークイベント管理キューへの順方向リンクがあるので、さらにその先にあるイベント３５０１を、イベント管理部３２０１から取得する。イベント３５０１は、イベント名が「ＮＷ＿ＡＣＣＥＰＴ」、ソースＩＰアドレスが「１３３．２０１．５７．２」であるので、イベント３８０１のドメインを「１３３．２０１．５７．２」と判定する。
なお、本例のように、プロセスの生成に係るイベントのドメイン決定時には、特別にその旨をイベント管理部３７０１に伝達して、イベント３８０１からイベント３５０１への逆方向リンクを付加するようにしてもよい。このようにすることで、ＷＷＷサーバが子プロセスの実行中に、新たなアクセスを受信した場合でも、当該子プロセスが発生する後続イベントのドメインを誤ることはない。
次に、ＤＴ定義ファイル４４０１との照合を行うが、本例の場合、イベント３５０１と同様に、イベント３８０１は、いずれのルールにも完全に合致することなく、デフォルトの判定値（「ＤＥＦＡＵＬＴ；ＡＬＬＯＷ」）が採用されるので、「正常」と判定される。
１２．４．２．３）コンテンツ領域に対するファイル入出力
次に、プロセッサ２０１上のＷＷＷサーバの子プロセスは前記不審アクセスの要求データを処理する。ここでは、まず、当該要求データが「GET /HTTP/1.0」である場合の動作例を示す。
前記要求データに対して、前記子プロセスは、コンテンツ領域内のファイル「C:\Inetpub\wwwroot\default.htm」を読み込む。この動作を受けて、プロセッサ２０１はイベント３９０１（図４５参照）をイベント管理部３７０１に伝達する。イベント３９０１の内容には、少なくとも、イベント名「ＦＩＬＥ＿ＲＥＡＤ」、読み込むファイルのパス名「C:\Inetpub\wwwroot\default.htm」、当該イベントの発生源である子プロセスのプロセスＩＤ（８００）が記載される。この他、実際に読み込んだファイル内容などを含めても良い。
次に、イベント管理部３７０１は、イベント３９０１のイベント種別を「ファイル」と判定し、ファイルイベント管理キューにイベント３９０１を追加する。その後、イベント３８０１からイベント３９０１への順方向リンクと、イベント３９０１からイベント３８０１への逆方向リンクを付加する（図４５参照）。その後、イベント３９０１に関するイベント−コンテキスト対を攻撃検知部３２０２に伝達する。
そして、攻撃検知部３７０２は、イベント３９０１に関するイベント−コンテキスト対に対するＤＴ判定を行う。その結果、イベント３９０１のタイプを「<inetinfo.exe><inetinfo.exe>」、ドメインを「１３３．２０１．５７．２」と判定する。
次に、攻撃検知部３７０２は、ＤＴ定義ファイル４１０１との照合を行う。本例の場合、以下のルール（図３９のルール２）に合致し、その判定値が「ＡＬＬＯＷ」であることから、「正常」と判定される。
0.0.0.0/0、 <inetinfo.exe>、 FILE#READ、 C:\Inetinfo\.*;
ALLOW
１２．４．２．４）データベース操作
別の要求データの例として、「GET /cgi-bin/regist.exe?name=someoneHTTP/1.0」である場合の動作例を示す。
（ア）ＣＧＩの起動
この要求データに対して、前記子プロセスは、まず、前記登録ＣＧＩを起動して、新たな孫プロセスを生成する。また、ＵＲＬパラメータ「name=someone」は環境変数「QUERY#STRING」に格納されているものとする。
この動作を受けて、プロセッサ２０１はイベント４００１（図４６参照）をイベント管理部３７０１に伝達する。イベント４００１の内容には、少なくとも、イベント名「PROC#EXEC」と、実行形ファイルのパス名「C:\Inetpub\scripts\regist.exe」と、前記孫プロセスのプロセスＩＤ（８０１）と、当該イベントの発生源である前記子プロセスのプロセスＩＤ（８００）とが記載される。この他、環境変数の情報などを含めてもよい。
次に、図４６を参照すると、イベント管理部３７０１は、イベント４００１のイベント種別を「プロセス」と判定し、プロセスイベント管理キューにイベント４００１を追加する。その後、イベント３８０１からイベント４００１への順方向リンクと、イベント４００１からイベント３８０１への逆方向リンクを付加し、イベント４００１に関するイベント−コンテキスト対を攻撃検知部３７０２に伝達する。
そして、攻撃検知部３７０２は、イベント４００１に関するイベント−コンテキスト対に対して、イベント３９０１と同様にＤＴ判定を行う。その結果、イベント４００１のタイプを「<inetinfo.exe><inetinfo.exe><regist.exe>」、ドメインを「１３３．２０１．５７．２」と判定する。
次に、攻撃検知部３７０２は、ＤＴ定義との照合を行う。本例の場合、合致するルールがないので、デフォルトルールの判定値「ＡＬＬＯＷ」を採用して、正常と判定する。
（イ）ＣＧＩの動作
続けて、前記登録ＣＧＩがデータベース出力を行う。本例では、登録ＣＧＩが操作するデータベースを「C:\data\client.db」ファイルとする。
データベース出力の具体例として、登録ＣＧＩは前記環境変数「QUERY#STRING」の値を読み取り、その値「name=someone」に改行記号を加えた文字列を前記データベースの末尾に追記するものとする。
この動作を受けて、プロセッサ２０１はイベント４１０１（図４７参照）をイベント管理部３７０１に伝達する。イベント４１０１の内容には、少なくとも、イベント名「FILE#WRITE」と、実行形ファイルのパス名「C:\data\client.db」と、当該イベント発生源である前記孫プロセスのプロセスＩＤ（８０１）とが記載される。この他、書き出したデータの内容などを含めてもよい。
次に、図４７を参照すると、イベント管理部３７０１は、イベント４１０１のイベント種別を「ファイル」と判定し、ファイルイベント管理キューにイベント４１０１を追加する。その後、イベント４００１からイベント４１０１への順方向リンクと、イベント４１０１からイベント４００１への逆方向リンクを付加し、イベント４１０１に関するイベント−コンテキスト対を攻撃検知部３７０２に伝達する。
そして、攻撃検知部３７０２は、イベント４１０１に関するイベント−コンテキスト対に対して、ＤＴ判定を行う。その結果、イベント４１０１のタイプを「<inetinfo.exe><inetinfo.exe><regist.exe>」、ドメインを「１３３．２０１．５７．２」と判定する。
次に、攻撃検知部３７０２は、ＤＴ定義ファイル４１０１との照合を行う。本例の場合、以下のルール（図３９のルール３）に合致するので、その判定値「ＡＬＬＯＷ」を採用して、正常と判定する。
0.0.0.0/0、 <Inetinfo.exe><regist.exe>$、 FILE#WRITE、
C:\data\client.db; ALLOW
１２．４．３）動作例２
具体的な動作の別の例として、外部ネットワーク３上のクライアント（１３３．２０１．５７．２）から、内部ネットワーク４上のＷＷＷサーバに対する不審アクセスがあって、それが攻撃である場合を示す。
このとき、第１〜第１０実施形態のいずれかのファイアウォール装置によって、前記不審アクセスはおとり装置３７に誘導され、偽サービス処理が行われる。
その後、おとり装置３７のプロセッサ２０１上のＷＷＷサーバでは、前記不審アクセスを受信を初めとして、以下のような処理を行う。
（Ａ）１３３．２０１．５７．２からのアクセスを受信する。
（Ｂ）子プロセスを生成する。
（Ｃ）子プロセスで、当該アクセスにおける不正な要求データに応じて、所定の処理を行う。例えば、
（Ｃ−１）コンテンツ領域に対する不正ファイル書き出し
（Ｃ−２）データベースに対する不正アクセス
などを行う。
上記（Ａ）、（Ｂ）は前記動作例１と同様であるため、ここでは攻撃時の動作（Ｃ−１）、（Ｃ−２）のみについて具体例を示す。
１２．４．３．１）コンテンツ領域に対する不正ファイル書出し
ＷＷＷサーバまたはそのサブシステム（登録ＣＧＩ・出力ＣＧＩ）などに脆弱性が存在するものとする。今、登録ＣＧＩに脆弱性が存在し、「GET/cgi-bin/regist.exe?path=C:\Inetpub\wwwroot\default.htm&data=abcd」というアクセスがあった場合に、コンテンツ領域内のファイル「C:\Inetpub\wwwroot\default.htm」に対して、データ「abcd」が書き込まれるものとする。
前記不正アクセスがあった場合、前記動作（Ｃ−１）が行われ、プロセッサ２０１はイベント４９０１（図４８参照）をイベント管理部３７０１に伝達する。イベント４９０１の内容には、少なくとも、イベント名「FILE#WRITE」と、実行形ファイルのパス名「C:\Inetpub\wwwroot\default.htm」と、当該イベント発生源である前記孫プロセスのプロセスＩＤ（８０１）とが記載される。
次に、イベント管理部３７０１は、イベント４９０１のイベント種別を「ファイル」と判定し、ファイルイベント管理キューにイベント４９０１を追加する（図４８参照）。その後、イベント４００１からイベント４９０１への順方向リンクと、イベント４９０１からイベント４００１への逆方向リンクを付加し、イベント４９０１に関するイベント−コンテキスト対を攻撃検知部３７０２に伝達する。
そして、攻撃検知部３７０２は、イベント４９０１に関するイベント−コンテキスト対に対してＤＴ判定を行う。その結果、イベント４９０１のタイプを「<inetinfo.exe><inetinfo.exe><regist.exe>」、ドメインを「１３３．２０１．５７．２」と判定する。
次に、攻撃検知部３７０２は、ＤＴ定義との照合を行う。本例の場合、以下のルール（図３９のルール６）に合致するので、その判定値「ＤＥＮＹ」を採用し、攻撃があったものと判定する。
0.0.0.0/0、 <inetinfo.exe>、 FILE#WRITE、 .*; DENY
そして、攻撃検知部３７０２は、攻撃元ホスト「１３３．２０１．５７．２」を含むアラームを直ちに生成して、前記ファイアウォール装置１へ送信する。
なお、ＷＷＷサーバもしくはそのサブシステムの脆弱性を介した不正なファイル書き込みがあった場合、すべて前記と同様にして攻撃であると判定される。
また、ＷＷＷサーバ以外のサーバ、例えばＦＴＰサーバを介したコンテンツ領域への書き込みがあった場合、以下のルール（図３９のルール５)に合致しない限り、すなわち、管理ドメインからの正当な保守作業でない限り、
10.56.192.0/24、 ^<ftpd.exe>+$、 FILE#WRITE、 C:\Inetpub\wwwroot\.*; ALLOW
以下のルール（図３９のルール８）により、攻撃であると判定される。
0.0.0.0/0、 .*、 FILE#WRITE、 C:\Inetpub\wwwroot\.*; DENY
１２．４．３．２）データベースへの不正アクセス
ＷＷＷサーバまたはそのサブシステム（登録ＣＧＩ・出力ＣＧＩ）などに脆弱性が存在するものとし、「GET /cgi-bin/..%c1%c9../data/client.db HTTP/1.0」というアクセスによって、前記顧客データベースを窃取されるものとする。
前記不正アクセスがあった場合、前記動作が行われたのを受けて、プロセッサ２０１はイベント５００１（図４９参照）をイベント管理部３７０１に伝達する。イベント５００１の内容には、少なくとも、イベント名「FILE#READ」と、実行形ファイルのパス名「C:\data\client.db」と、当該イベント発生源である前記子プロセスのプロセスＩＤ（８００）とが記載される。
次に、イベント管理部３７０１は、イベント５００１のイベント種別を「ファイル」と判定し、ファイルイベント管理キューにイベント５００１を追加する。その後、イベント３８０１からイベント５００１への順方向リンクと、イベント５００１からイベント３８０１への逆方向リンクを付加し、イベント５００１に関するイベント−コンテキスト対を攻撃検知部３７０２に伝達する。
そして、攻撃検知部３７０２は、イベント５００１のイベント−コンテキスト対に対してＤＴ判定を行う。その結果、イベント５００１のタイプを「<inetinfo.exe><inetinfo.exe>」、ドメインを「１３３．２０１．５７．２」と判定する。
次に、攻撃検知部３７０２は、ＤＴ定義との照合を行う。本例の場合、以下のルール（図３９のルール７）に合致するので、その判定値「ＤＥＮＹ」を採用し、攻撃があったものと判定する。
0.0.0.0/0、 .*、 FILE#READ|FILE#WRITE、 C:\data\.*; DENY
そして、攻撃検知部３７０２は、攻撃元ホスト「１３３．２０１．５７．２」を含むアラームを直ちに生成して、前記ファイアウォール装置１へ送信する。
（第１３実施形態）
１３．１）構成
図５０は、本発明の第１３実施形態におけるファイアウォール装置のブロック図である。本実施形態におけるファイアウォール装置５１は、第２実施形態におけるファイアウォール装置５の誘導部５０３および信頼度管理部５０２に代えて、仮想サーバ部５１０１および信頼度管理部５１０２を備える。
図５１を参照すると、仮想サーバ部５１０１は、接続管理部５２０１と、第１入力バッファ５２０２および第１出力バッファ５２０３と、第２入力バッファ５２０４および第２出力バッファ５２０５とを有する。
接続管理部５２０１は、パケットフィルタ１０１から伝達された各アクセスに含まれる要求データを信頼度管理部５１０２に入力し、その信頼度を取得する。また、その信頼度に応じて、第１入力バッファ５２０２または第２入力バッファ５２０４への要求データ転送処理や、第１出力バッファ５２０３または第２出力バッファ５２０５からの応答データ読み取り処理などを行う。
第１入力バッファ５２０２および第１出力バッファ５２０３は、第１の内部通信インターフェース１０４を内部ネットワーク４に接続されており、それぞれサーバ装置への要求データと、サーバ装置からの応答データを一時格納する。
第２入力バッファ５２０４および第２出力バッファ５２０５は、おとり装置２に接続されており、それぞれおとり装置２への要求データと、おとり装置２からの応答データを一時格納する。また、信頼度管理部５１０２は、仮想サーバ部５１０１の接続管理部５２０１からの要求データ入力に応じて、その信頼度を出力する。
１３．２）動作
図５２は、第１３実施形態におけるファイアウォール装置３３のフローチャートである。
１３．２．１）仮接続
図５２において、まず、ファイアウォール装置３３がインタネット３上のあるホストから新たな接続を要求する入力ＩＰパケットを受信して、第２実施形態におけるファイアウォール装置５と同様に、パケットフィルタ１０１とアクセス制御リスト管理部１０２とによって、その通過を認められた場合には、仮想サーバ５１０１の接続管理部５１０１は、前記ホストとの間に仮の接続を確立する（ステップＧ１）。
１３．２．２）要求データの一時格納
その後、前記インタネット３上のホストから内部ネットワーク４上のサーバに対する要求データを受信する（ステップＧ２）。そして、接続管理部５２０１は、当該要求データを第１入力バッファ５２０２と第２入力バッファ５２０４とに伝達して、一時格納する（ステップＧ３）。
１３．２．３）信頼度判定
そして、前記要求データを信頼度管理部５１０２に入力し、その信頼度cを取得し（ステップＧ４）、所定の閾値Ｔと比較を行う（ステップＧ５）。
信頼度管理部５１０２における信頼度の計算方法としては、例えば、要求データをバイトデータの系列パターンとみなして、統計的なパターン解析によって、「頻繁に見られる要求データ」との類似度を計算し、当該類似度をもって信頼度ｃとする方法がある。
また、単に図５３に示すような、過去に入力された要求データと信頼度との組を管理するためのテーブルを保持し、新たな要求データの入力があるたびに、当該テーブルを参照して、信頼度を求める方法を用いてもよい。より具体的には、ステップＧ８−２でおとり装置２によって正常であることが確認された場合にのみ信頼度を１とし、それ以外の場合、特にステップＧ８−３において、攻撃であることが確認された場合には、信頼度を０とし、以降この信頼度を再利用する方法を用いてもよい。
さらに、前記テーブルに要求データを直接格納するのではなく、要求データの一方向性ハッシュ関数値を格納する方法を用いてもよい。この場合、既知の要求データが再度入力された場合、その一方向性ハッシュ関数値としても一致するため、その信頼度を正しく取得できる。さらに、要求データのサイズが非常に大きなものになり得る場合でも、一方向性ハッシュ関数値は常に一定のサイズであるため、メモリ効率が良い。ただし、異なる要求データに対する一方向性ハッシュ関数値が一致する（＝衝突する）場合があるが、一般に一方向性ハッシュ関数値が一致する異なる２つの要求データ（特に、一方が正常でもう一方が攻撃であるような場合）を見つけることは困難とされるので、実用上の危険性は極めて小さい。
１３．２．３．１）要求データを信頼した場合
もし、c≧Ｔであれば（ステップＧ５のＹ）、前記要求データを信頼できるものと判定し、第１入力バッファ５２０２と、第２入力バッファ５２０４とに、要求データの転送を指示する（ステップＧ６−１）。この指示を受けた第1入力バッファ５２０２は、直ちに格納ずみ要求データを、第１の内部通信インターフェース１０４を介して、内部ネットワーク４上のサーバに転送する。同様に、第２入力バッファ５１０４は、格納ずみ要求データを、第２の内部通信インターフェース１０５を介して、おとり装置２に転送する。
１３．２．３．２）応答データの確認
その後、第1の内部通信インターフェース１０４を介して、内部ネットワーク４上のサーバから応答データを受信したとき、第１出力バッファ５２０３は当該応答データを一時格納し、接続管理部５２０１に応答のあった旨を伝える（ステップＧ７−１）。
１３．２．３．３）応答データの転送
接続管理部５２０１は、第１出力バッファ５２０３からデータ受信を伝達された後、直ちに前記ホストに向けて、第１出力バッファ５２０３に格納された応答データを転送する（ステップＧ８−１）。
１３．２．４）要求データを不審とした場合
一方、ステップＧ５の後、c＜Ｔであれば（ステップＧ５のＮ）、前記要求データを不審であると判定し、第２入力バッファ５２０４のみに、要求データの転送を指示する（ステップＧ６−２）。第２入力バッファ５２０４は、この指示を受けて、直ちに第２の内部通信インターフェース１０５を介して、おとり装置２へ前記要求データを転送する。
１３．２．４．１）攻撃検知
そして、おとり装置２は第２実施形態と同様にして、攻撃の有無を判定する（ステップＧ７−２）。
１３．２．４．２）攻撃が検知された場合
攻撃があった場合には（ステップＧ７−２のＹ）、その旨を伝えるアラームを生成して、ファイアウォール装置５１へ送信する。制御インタフェース１０６を介して、当該アラームを受信したファイアウォール装置３３は、第２実施形態におけるファイアウォール装置５と同様に、防御ルール判定部１０７から、信頼度管理部５１０２に前記ホストから攻撃のあったことを伝達すると共に、アクセス制御リスト管理部１０２にアクセス制御ルールの更新を指示して、前記接続を遮断する（ステップＧ８−３）。
１３．２．４．３）攻撃が検知されなかった場合
一方、所定のタイムアウト時間内に攻撃が検知されなかった場合には（ステップＧ７−２のＮ）、信頼度管理部５１０２は接続管理部５２０１へアラームを伝達する。接続管理部５２０１は、当該アラームを受けて、第１入力バッファ５２０２へ格納済み要求データの転送を指示する（ステップＧ８−２）。
なお、前記タイムアウト時間は、５００ミリ秒程度の時間を設定すれば通常十分であるが、入力ＩＰパケットがファイアウォール装置５１に到達する時間間隔の平均値などをもって、適応的に変化させるようにしてもよい。
その後、第1の内部通信インターフェース１０４を介して、内部ネットワーク４上のサーバから応答データを受信したとき、第1出力バッファ５２０３は当該応答データを一時格納し、接続管理部５２０１に応答のあった旨を伝える（ステップＧ７−１）。
接続管理部５２０１は、第1出力バッファ５２０３からデータ受信を伝達された後、直ちに前記ホストに向けて、第１出力バッファ５２０３に格納された応答データを転送する（ステップＧ８−１）。
１３．３）効果
第１３実施形態におけるファイアウォール装置５１によれば、１回の接続について、複数の要求データr(1)、 r(2)、...、 r(n) があって、その途中のある要求データr(i) が不審とされるような場合、おとり装置２で当該要求データr(i) に対するサーバ動作から攻撃が検知されなかったとき、r(i) は内部ネットワーク４上の正規サーバへ必ず転送されるので、r(1)〜r(n) の全要求データが正しい順序で正規サーバに到達することを保証できる。
一方、おとり装置２で攻撃が検知されたとき、直ちに前記接続が遮断されるので、前記要求データr(i) を含め、それ以降の要求データは一切、前記正規サーバに到達しないことを保証できる。
こうした性質は、データベースと連携するＷＷＷサーバ（いわゆる「３層システム」）や、Ｔｅｌｎｅｔサーバや、ＦＴＰサーバなどと、それぞれのクライアントとの間で行われるように、１回の接続につき、複数の要求と応答が繰り返されるようなプロトコル（＝ステートフルプロトコル）に従うサービスの保護に適する。
こうしたサービスにおいては、要求データ系列の順序が異なると、正しいサービス提供が保証できない。また、前記のように、攻撃用データを要求データ系列の一部として含むような場合にも、それまでの要求データ系列の順序が異なると、当該攻撃用データによるサーバの異常動作が観測できない場合がある。
したがって、本実施形態におけるファイアウォール装置５０とおとり装置２との組み合わせによる攻撃防御システムは、ステートフルプロトコルに従うサービスについて、その正常動作および異常動作を誤りなく判定し、攻撃を確実に防御することができる。
また、ＷＷＷサーバによる静的コンテンツ提供のような、ステートレスプロトコルを対象とする場合でも、本実施例による誘導方法によれば、インタネット３上のホストに転送される応答データは常に正規サーバの出力する応答データである。したがって、静的コンテンツの改ざんなどがおとり装置２で発生していた場合でも、改ざんされたコンテンツが前記ホストに到達することが一切なく、常に正しいコンテンツの提供が保証できる。
１３．４）具体例
１３．４．１）構成
図５４を参照すると、本実施例は、インターネット３上のＦＴＰクライアント３０２と、内部ネットワーク４上のＦＴＰサーバ４０２と、ファイアウォール装置５１と、おとり装置２とから構成される。
ＦＴＰクライアント３０２は、ＦＴＰサーバ４０２に向けていくつかの要求データを送信するが、それらは全て、ファイアウォール装置５１で中継される。また、ファイアウォール装置５１は、ＦＴＰクライアント３０２から入力される要求データをおとり装置２へも転送する。さらに、おとり装置２のプロセッサ２０１上では、ＦＴＰサーバ４０２と同じＦＴＰサービスが提供されている。
１３．４．２）動作
ＦＴＰクライアント３０２は、ＦＴＰサーバ４０２に向けて、要求データを順次送信するが、本実施例では、ＦＴＰクライアント３０２が、
１）匿名ログイン
２）ファイルアップロード
を行う場合の、ファイルウォール装置５１の動作例を示す。
また、ＦＴＰサーバ４０２とおとり装置２とは、非常に長いファイル名を処理したときにバッファオーバーフローを起こして、シェルが不正に操作される、という共通の脆弱性をもつものとする。
さらに、おとり装置２の攻撃検知部２０２には、プロセッサ２０１で動作するＦＴＰサーバがシェルを起動することを禁止するような正常動作定義がなされているものとする。
１３．４．２．１）仮接続
まず、ＦＴＰクライアント３０２は、ＦＴＰサーバ４０２へのログインに先立って、所定のＴＣＰ接続を確立するため、ＦＴＰサーバ４０２に向けてＳＹＮパケットを送信する。
当該ＳＹＮパケットが、ファイアウォール装置５１に到達したとき、ファイアウォール装置５１の仮想サーバ５１０１は、ＦＴＰサーバ４０２に代わって、前記ＳＹＮパケットに対応するＳＹＮ−ＡＣＫパケットを応答する。
その後、ＦＴＰクライアント３０２は、さらにＡＣＫパケットをＦＴＰサーバ４０２へ向けて送信する。当該ＡＣＫパケットがファイアウォール装置５１に到達したとき、仮想サーバ５１０１は、新たなＴＣＰ接続が確立したものと判定する。
そして、仮想サーバ５１０１の接続管理部５２０１は、ＦＴＰサーバ４０２と、おとり装置２とに対して、ＦＴＰクライアント３０２に代わって、個別にＴＣＰ接続を確立する。
１３．４．２．２）匿名ログイン
次に、ＦＴＰクライアント３０２は、ＦＴＰサーバ４０２へ向けて、匿名ログインを行うための要求データを送信する。
一般に、ＦＴＰサーバに対する匿名ログインは、以下のような２個の要求データを送信する。
・第１の要求データ（r1）：ユーザ名を示すものであり、一般に「anonymous」である。
・第２の要求データ（r2）：パスワードを示すものであり、一般に「user@domain」の形式をもつメールアドレスである。
第１の要求データr1が、ファイアウォール装置５１に到達したとき、仮想サーバ５１０１の接続管理部５２０１は、まず、第１の要求データr1を第１入力バッファ５２０２と、第２入力バッファ５２０４とに伝達し、一時格納する。
その後、第１の要求データr1を信頼度管理部５１０２に入力し、その信頼度を取得する。このとき、信頼度管理部５１０２は、例えば、図５３のような信頼度管理テーブルに対して、第１の要求データr1をキーとして信頼度を検索する。このとき、第１の要求データr1のエントリがあれば、その信頼度c1を、接続管理部５２０１に出力する。もし、第１の要求データr1のエントリが無ければ、信頼度の初期値「０」をもつ、新たなエントリを追加し（図５５の網掛け部）、信頼度０を接続管理部５２０１に出力する。本実施例では、すでに第１の要求データr1のエントリが存在し、その信頼度が「１」であるものとする。
そして、接続管理部５２０１は、所定の閾値と前記信頼度を比較する。本実施例では、閾値を１とする。したがって、接続管理部５２０１は、第１の要求データr1を信頼し、第１入力バッファ５２０２と、第２入力バッファ５２０４とに、第１の要求データr1の転送を指示する。
転送を指示された第１入力バッファ５２０２および第２入力バッファ５２０４は、それぞれ、ＦＴＰサーバ４０２およびおとり装置２へ、第１の要求データr1を転送する。
その後、第１の要求データr1を受信したＦＴＰサーバ４０２は、パスワードの入力を求める応答データs1をＦＴＰクライアント３０２へ向けて送信する。応答データs1がファイアウォール装置５１に到達したとき、応答データs1は一旦第１出力バッファ５２０３に格納される。そして、第１出力バッファ５２０３は、新たな応答データを受信した旨を、接続管理部５２０１に伝達する。
そして、接続管理部５２０１は、第１出力バッファ５２０３に格納された応答データs1を、ＦＴＰクライアント３０２に向けて転送する。なお、おとり装置２からも応答データs1が送信され、第２出力バッファ５２０５がs1を格納し、接続管理部５２０１に応答データ受信を伝達するが、本実施例における接続管理部５２０１は、これを無視する。
以上のようにして、ＦＴＰクライアント３０２からＦＴＰサーバ４０２へ向けて送信された要求データr1は、適切にＦＴＰサーバ４０２およびおとり装置２へ転送される。
次に、パスワード入力である要求データr2についても、信頼度管理部５１０２は、その信頼度を「１」と出力するものとする。したがって、r2はr1と同様にして、ＦＴＰサーバ４０２およびおとり装置２へ転送される。こうして、ＦＴＰクライアント３０２は、ＦＴＰサーバ４０２およびおとり装置２の双方に対して、匿名ログインを完了することができる。
１３．４．２．３）ファイルアップロード
匿名ログインを完了したＦＴＰクライアント３０２は、ファイルアップロードを行う。ＦＴＰサービスにおけるファイルアップロードは、以下の形式のコマンドを要求データに含めることで行われる。
「ＰＵＴ ＜ファイル名＞」。
ここで、以下の２種類の要求データを考える。
（Ａ）ｒ３−１：「ＰＵＴ ＦＩＬＥ．ＴＸＴ」
（Ｂ）ｒ３−２：「ＰＵＴ ＸＸＸＸＸＸＸＸ・・・＜シェルコード＞」。
ｒ３−１は、「ＦＩＬＥ．ＴＸＴ」という名前のファイルをＦＴＰサーバ４０２にアップロードしようとするものであり、正常な要求データであるとする。一方ｒ３−２は、ＦＴＰサーバ４０２にバッファオーバーフローを引き起こさせて、ファイル名の一部として含められたシェルコードを不正にＦＴＰサーバ４０２内のシェルに実行させようとするものであるとする。
１３．４．２．３．１）正常な要求データｒ３−１が入力された場合
まず、ＦＴＰクライアント３０２から要求データｒ３−１が送信された場合を示す。
要求データｒ３−１がファイアウォール装置５１に到達した際、前記要求データｒ１と同様にして、接続管理部５２０１によって、第１入力バッファ５２０２および第２入力バッファ５２０４とに格納され、要求データｒ３−１が信頼度管理部５１０２に入力される。
信頼度管理部５１０２は、前記信頼度管理テーブルを参照するが、このとき、要求データｒ３−１のエントリがないものとする。この場合、信頼度管理部５１０２は、信頼度管理テーブルに、要求データｒ３−１のエントリを新たに追加する。また、要求データｒ３−１の信頼度として、所定の初期値「０」を設定し、「０」を接続管理部５２０１に出力する。
接続管理部５２０１は、要求データｒ３−１の信頼度「０」を取得したのち、閾値「１」との比較を行って、閾値より小さな信頼度であることを確認し、要求データｒ３−１を不審とみなす。そして、第２入力バッファ５２０４のみに、要求データｒ３−１の転送を指示する。
第２入力バッファ５２０４は、前記転送指示を受けて、おとり装置２に要求データｒ３−１を転送する。
おとり装置２は、要求データｒ３−１を受信して、ファイル「ＦＩＬＥ．ＴＸＴ」を保存した後、保存が完了した旨を伝える応答データｓ３−１を送信する。
その後、応答データｓ３−１は、ファイアウォール装置５１に到達し、第２出力バッファ５２０５に格納され、第２出力バッファ５２０５は、その旨を接続管理部５２０１に通知する。そして、接続管理部５２０１は、信頼度管理部５１０２に要求データｒ３−１が正常であることを通知し、信頼度管理部５１０２は、前記信頼度管理テーブルを更新して、要求データｒ３−１の信頼度を「１」にする。
さらに、接続管理部５２０１は、第１入力バッファ５２０２に要求データｒ３−１の転送を指示して、第１入力バッファ５２０２に要求データｒ３−１をＦＴＰサーバ４０２に転送させる。
その後、ＦＴＰサーバ４０２は、ファイル「ＦＩＬＥ．ＴＸＴ」を保存し、その完了を伝える応答データｓ３−１を送信する。
ＦＴＰサーバ４０２からの応答データｓ３−１は、第１出力バッファ５２０３に格納され、第１出力バッファ５２０３は、その旨を接続管理部５２０１に通知する。そして、接続管理部５２０１は、ｓ３−１をＦＴＰクライアント３０２に転送する（図５６参照）。
以上のようにして、ＦＴＰクライアント３０２から送信されたファイル「ＦＩＬＥ．ＴＸＴ」は、ＦＴＰサーバ４０２およびおとり装置２に適切に保存される。
１３．４．２．３．２）要求データｒ３−２が入力された場合
次に、ＦＴＰクライアント３０２から不正な要求データｒ３−２が送信された場合を示す。
要求データｒ３−２がファイアウォール装置５１に到達した際、前記要求データｒ３−１と同様にして、接続管理部５２０１によって、第１入力バッファ５２０２および第２入力バッファ５２０４とに格納され、要求データｒ３−２が信頼度管理部５１０２に入力される。
信頼度管理部５１０２は、前記信頼度管理テーブルを参照するが、このとき、やはり、要求データｒ３−２のエントリがないものとする。この場合、信頼度管理部５００２は、信頼度管理テーブルに、要求データｒ３−１のエントリを新たに追加する。また、要求データｒ３−２の信頼度として、所定の初期値「０」を設定し、「０」を接続管理部５２０１に出力する。
接続管理部５２０１は、要求データｒ３−２の信頼度「０」を取得したのち、閾値「１」との比較を行って、閾値より小さな信頼度であることを確認し、要求データｒ３−２を不審とみなす。
そして、第２入力バッファ５２０４のみに、要求データｒ３−２の転送を指示する。第２入力バッファ５２０４は、前記転送指示を受けて、おとり装置２に要求データｒ３−２を転送する。
おとり装置２が要求データｒ３−２を受信すると、プロセッサ２０１上で、（偽の）ＦＴＰサーバはバッファーオーバーフローによってシェルを起動し、要求データｒ３−２に含まれる不正なシェルコードを実行しようとする。おとり装置２の攻撃検知部２０２は、当該シェル起動を攻撃と検知し、直ちにアラームをファイアウォール装置５１に送信する。
前記アラームを受信したファイアウォール装置５１は、まず、防御ルール判定部１０７と、アクセス制御リスト管理部１０２と、パケットフィルタ１０１とによって、第１実施形態におけるファイアウォール装置１と同様に、ＦＴＰクライアント３０２からの以降のアクセスを遮断する。また、防御ルール判定部１０７は、アラームの受信を接続管理部５２０１にも通知する。
アラーム受信通知を受けた接続管理部５２０１は、ただちにＦＴＰクライアント３０２との接続を遮断する。また、望ましくは、第１入力バッファ５２０２に格納されたｒ３−２を消去する。
以上のようにして、不正な要求データｒ３−２は、到達するとしてもおとり装置２に限られ、ＦＴＰサーバ４０２に到達しない（図５７参照）。
（第１４実施形態）
図５８に示すように、内部ネットワーク４上のサーバ（例えばＦＴＰサーバ４０２）からおとり装置２へ少なくともファイルシステムの内容を複写するミラーリング装置５９０１をさらに備えてもよい。
おとり装置２で攻撃が検知されファイアウォール装置５１の防御ルール判定部１０７にアラームが伝達された際、防御ルール判定部１０７は、さらにミラーリング装置５９０１にもアラーム受信を通知する。
当該通知を受けたミラーリング装置５９０１は、前記内部ネットワーク４上のサーバのファイルシステム４０２１を読み取り、その内容をおとり装置２上のファイルシステム２０１１へ複写する。こうすることにより、おとり装置２上で不正なファイル書込みが発生しても、その被害をリアルタイムに復旧することができる。
本実施形態ではファイルシステムを具体例として挙げたが、その他に、さらにメモリモジュールの内容を複写するようにしてメモリ内の異常を復旧するようにしてもよい。また、おとり装置２から送信されるアラームに、書換えられたファイルのパス名、あるいは、メモリ領域を記載するようにして、被害を受けた部分のみを複写できるようにしてもよい。
（第１５実施形態）
図５９は、本発明の第１５実施形態におけるファイアウォール装置の概略的構成図である。本実施形態におけるファイアウォール装置６２は、第１３実施形態におけるファイアウォール装置５１の仮想サーバ５１０１の前段に暗号処理部６２０１を備える。
暗号処理部６２０１は、パケットフィルタ１０１から得られた暗号化入力ＩＰパケットを復号し、復号された入力ＩＰパケットを仮想サーバ５１０１に伝達する。また、仮想サーバ５１０１から得られた出力ＩＰパケットを暗号化し、暗号化出力ＩＰパケットをパケットフィルタ１０１に伝達する。
このようにすることで、インタネット３および内部ネットワーク４との間で暗号化通信が行われる場合にも、おとり装置への誘導を行うことができる。
（第１６実施形態）
上記第１〜第１５実施形態では、誘導部（または仮想サーバ部）、防御ルール判定部、パケットフィルタ、および、アクセス制御リスト管理部が一つのユニットになったファイアウォール装置を例示したが、本発明はこれに限定されるものではない。
たとえば、次のようにハードウェア的に２ユニットで構成し、それらをネットワークで接続することもできる。
・少なくともパケットフィルタおよびアクセス制御リスト管理部を有するファイアウォール装置
・少なくとも誘導部（または仮想サーバ部）および防御ルール判定部を有するスイッチ装置。
従来のファイアウォール装置は、遠隔からアクセス制御リストの部分的更新を行う機能を有していることが多いので、既に設置ずみのファイアウォール装置に加えて、上記スイッチ装置を設置することで、第１〜第１４実施形態における１ユニットのファイアウォール装置と同等の機能を実現できるというメリットがある。
図６０は本発明の第１６実施形態による攻撃防御システムの概略的構成図である。本実施形態において、ファイアウォール装置７００１にはパケットフィルタ１０１およびアクセス制御リスト管理部１０２が設けられ、スイッチ装置７００２には誘導部５０１、信頼度管理部５０２および防御ルール判定部１０７が設けられている。パケットフィルタ１０１と誘導部５０１との間、および、アクセス制御リスト管理部１０２と防御ルール判定部１０７との間をネットワークを介して接続することで、第１〜第１５実施形態による攻撃防御システムを実現することができる。
（第１７実施形態）
１７．１）構成
図６１は、本発明の第１７実施形態による攻撃防御システムの概略的構成図である。本実施形態における攻撃防御システムは、ファイアウォール装置８０と、サーバ装置４０１と、複数のおとり装置２（１）〜２（ｋ）から構成されるおとりクラスタ２１と、から構成される。
ファイアウォール装置８０は、少なくとも誘導部８００１、サーバ管理部８００２、および、信頼度管理部５０２を有する。誘導部８００１は、すでに述べた手順により、新規に受信したアクセスに関する信頼度を信頼度管理部５０２からを受け取り、さらに、当該信頼度をサーバ管理部８００２へ渡して適切なおとり装置２（ｉ）の識別子を受け取る。誘導部８００１は、受け取った識別子で指示されたおとり装置２（ｉ）もしくは内部ネットワークへ受信したアクセスを転送する。
サーバ管理部８００２は、おとりクラスタ２１に含まれるおとり装置２（１）〜２（ｋ）の識別子と必須信頼度との対応関係を示す参照表８００３を内部的に備えており、誘導部８００１からの信頼度の入力を受けて、参照表から適切な識別子を選択し、選択された識別子を誘導部８００１へ返す。
図６２は、サーバ管理部８００２が有する参照表８００３の一例を示す模式図である。ここでは、おとり装置２（１）〜２（ｋ）にそれぞれ対応するサーバ識別子Ｄ１〜Ｄｋと必須信頼度Ｍ１〜Ｍｋとの対応が格納されている。
１７．２）動作
図６３は、本発明の第１７実施形態による攻撃防御システムの動作を示すフローチャートである。ファイアウォール装置８０がサーバ装置４０１へ向かうパケットｐを受信すると、誘導部８００１は、まず入力パケットｐの少なくともヘッダを信頼度管理部５０２へ出力し、パケットｐに対する信頼度τ[p]を受け取る（ステップＩ１）。
続いて、誘導部８００１は、信頼度τ[p]をサーバ管理部８００２へ出力し、少なくとも１つの識別子を受け取る。このとき、サーバ管理部８００２は、参照表８００３の必須信頼度の列を走査し、受け取った信頼度τ[p]以下の必須信頼度に対応する識別子を検索する（ステップＩ２およびＩ３）。
対応する識別子を発見できなかった場合は（ステップＩ３のＮ）、少なくともサーバ装置４０１に割り当てられた所定の識別子および必須信頼度Ｎの組を仮の検索結果としてする（ステップＩ４）。この場合、さらに、おとりクラスタ２１上の全てのおとり装置の識別子Ｄ１〜Ｄｋの系列を検索結果に加えてもよい。なお、サーバ装置４０１の必須信頼度Ｎは、参照表８００３の必須信頼度Ｍ１〜Ｍｋの最大値を越える値であるものとする（Ｎ＞max[M1, M2, …, Mk]）。
対応する識別子が１以上抽出された場合は（ステップＩ３のＹ）、抽出された識別子を誘導部８００１へ返す（ステップｉ５）。このとき、複数の識別子が抽出された場合は、必須信頼度が最大である識別子を１つだけ誘導部８００１へ戻してもよいし、全ての識別子を戻してもよい。誘導部８００１は、サーバ管理部８００２から入力した識別子に対応するおとり装置２またはサーバ装置４０１へパケットｐを転送する（ステップＩ６）。
サーバ装置４０１がパケットｐを受信すると、サーバ装置４０１上のサーバプログラムによりパケットｐの処理が行われる。一方、おとり装置２がパケットｐを受信すると、すでに述べたように、プロセッサ上でサーバプログラムを動作させ、攻撃検知部でそのふるまいを監視する（ステップＩ７）。
そして、転送先のおとり装置２もしくはサーバ装置４０１上のサーバプログラムが出力したレスポンスは、誘導部８００１を経て、パケットｐの送信元ホストへと返送される（ステップＩ８）。なお、転送先であるおとり装置２が複数である場合、レスポンスも複数得られるが、誘導部８００１は必須信頼度が最大であるおとり装置２から得られたレスポンスのみをアクセス元へ転送する。ただし、転送先にサーバ装置４０１が含まれる場合には、必ずサーバ装置４０１からのレスポンスを採用して転送する。
１７．３）効果
上述したように、おとりサーバに必須信頼度を割り当てておき、この必須信頼度に応じて、様々な重要度をもつコンテンツの配置・非配置を決定することができる。これにより、おとりサーバ上で被害が発生した場合でも、予め想定したレベル以下に抑制することができる。
（第１８実施形態）
これまで述べてきた実施形態における信頼度管理部は、おとり装置２からのアラートに基づいて信頼度を調整するものであったが、本発明はこれに限定されるものではなく、外部の一般的な攻撃検知システムから攻撃検知通知に基づいて信頼度調整を行うこともできる。これにより、他のサイトで発生した攻撃事例を基に予防的な防御を行うことが可能となる。
１８．１）構成
図６４は、本発明の第１８実施形態による攻撃防御システムの概略的構成図である。本実施形態における攻撃防御システムは、ファイアウォール装置８１と、内部ネットワーク８１０３および外部ネットワーク８１０４上にある１つ以上の攻撃検知システムＡＤ1〜ＡＤNと、を備える。
ファイアウォール装置８１は、少なくとも信頼度管理部８１０１とアラート変換部８１０２とを有する。信頼度管理部８１０１は、アラート変換部８１０２によって変換されたアラートを入力すると、すでに述べた手順により、後続する入力パケットの信頼度を減算する。なお、攻撃検知システムＡＤ1〜ＡＤNは、それぞれのシステムに依存した構文のアラートを送信するから、攻撃検知システムごとにアラームを解釈するための解釈モジュールがアラート変換部８１０２に設けられている。
アラート変換部８１０２は、外部ネットワーク８１０４または内部ネットワーク８１０３上にある各種攻撃検知システムからシステム依存アラートを受信し、それらのアラート構文を解釈して変換し、信頼度管理部８１０１へ出力する。
攻撃検知システムＡＤ1〜ＡＤNは、ネットワークトラフィックまたはサーバプログラムの動作あるいはログファイルなどを監視し、攻撃を検知した際には、少なくとも攻撃元ＩＰアドレスおよび攻撃対象ＩＰアドレスを含むアラートをファイアウォール装置８１のアラート変換部８１０２へ送信する。
１８．２）動作
図６５は、本発明の第１８実施形態による攻撃防御システムの動作を示すフローチャートである。まず、アラート変換部８１０２は、外部ネットワークまたは内部ネットワーク上にある各種攻撃検知システムからアラートを受信すると、当該アラートの構文を解釈する（ステップＪ１）。上述したように受信アラートは送信元の攻撃検知システムに依存した構文をもっているため、アラート変換部８１０２内に備えられた攻撃検知システムごとの解釈モジュールを適切に選択し、選択された解釈モジュールにより受信アラートの構文を解釈する。解釈モジュールの選択にあたっては、たとえば、アラートの送信元ＩＰアドレスを基に攻撃検知システムの種類を特定すればよい。そして、解釈結果から、少なくとも攻撃パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとを抽出する（ステップＪ２）。
続いて、アラート変換部８１０２は、解釈結果から、受信アラートの深刻度を算出する（ステップＪ３）。深刻度の算出方法の具体例としては、例えばアノーマリ型攻撃検知システムによるアラートであれば異常さを示す数値が記載されているので、それを深刻度として採用する。また、シグネチャ型攻撃検知システムによるアラートであれば、攻撃方法を示す識別子から予め対応づけられた深刻度を求めるようにしてもよい。
そして、少なくとも送信元ＩＰアドレス、宛先ＩＰアドレス、および、深刻度という３つの値を１組として生成し、変換ずみアラートとして信頼度管理部８１０１へ出力する（ステップＪ４）。
変換済みアラートを入力した信頼度管理部８１０１は、送信元ＩＰアドレスまたは宛先ＩＰアドレス、あるいは（もし取得可能であれば）攻撃データに対する信頼度から深刻度を減算することで、信頼度の更新を行う（ステップＪ５）。
（第１９実施形態）
第１〜第１８実施形態におけるファイアウォール装置では、信頼度管理部を内部に有していたが、本発明はこれに限定されるものではなく、信頼度管理部を別ユニットで構成することもできる。これにより、ファイアウォール装置が多数存在する場合にも、少数の信頼度管理用ユニットでファイアウォール装置の動作を制御できるようになり、運用コストが低減するというメリットがある。
１９．１）構成
図６６は、本発明の第１９実施形態による攻撃防御システムの概略的ブロック図である。本実施形態による攻撃防御システムは、ファイアウォール装置８５と、信頼度管理サーバ装置８６と、少なくとも１つのおとり装置２もしくは攻撃検知システムを備えている。ファイアウォール装置８５は、少なくとも誘導部８５０１および管理サーバ接続部８５０２を有する。誘導部８５０１は、外部ネットワークから受信した入力ＩＰパケットを管理サーバ接続部８５０２へ渡して信頼度を取得し、入力ＩＰパケットを内部ネットワーク上のサーバ装置４０１またはおとり装置２へ転送する。
管理サーバ接続部８５０２は、少なくとも１つの信頼度管理サーバ装置８６に接続されており、誘導部８５０１から入力した入力ＩＰパケットの全てまたは一部を含む信頼度要求メッセージを信頼度管理サーバ装置８６へ送信する。信頼度管理サーバ装置８６から信頼度を含む応答メッセージを受信すると、管理サーバ接続部８５０２は当該信頼度を誘導部８５０１へ返す。
信頼度管理サーバ８６は、ファイアウォール装置８５から信頼度要求メッセージを受信すると、所定の方法により算出された信頼度を含む応答メッセージを当該ファイアウォール装置８５へ返信する。
１９．２）動作
図６７は、本発明の第１９実施形態による攻撃防御システムの動作を示すフローチャートである。ファイアウォール装置８５は、まず、新たに外部ネットワークから受信した入力ＩＰパケットを誘導部８５０１へ転送する（ステップＫ１）。
誘導部８５０１から入力ＩＰパケットを受け取ると、管理サーバ接続部８５０２は、当該入力ＩＰパケットから信頼度要求メッセージを生成し、所定の信頼度管理サーバ装置８６へ送信する（ステップＫ２）。なお、所定の信頼度管理サーバ装置８６は、１台とは限らず、複数であってもよい。また、信頼度要求メッセージは入力ＩＰパケットの全てを含むものでもよいし、ヘッダやペイロードなどの一部を含むものであってもよい。信頼度要求メッセージに含めるべき情報は、信頼度管理サーバ装置８６における信頼度の算出方法に依存するので、複数の信頼度管理サーバ装置がある場合には、各信頼度管理サーバ装置に応じて、信頼度要求メッセージのフォーマットを定めるようにしてもよい。
次に、信頼度要求メッセージを受信すると、信頼度管理サーバ装置８６は、当該信頼度要求メッセージに含まれる入力ＩＰパケットの全てまたは一部を抽出し（ステップＫ３）、当該入力ＩＰパケットに対する信頼度τ[p]を算出する（ステップＫ４）。なお、信頼度算出方法は、すでに説明した信頼度管理部の動作など信頼度としての数値を算出するものであれば任意の方法を用いてよい。あるいは、そうした信頼度管理手段を、信頼度管理モジュールとしてモジュール化しておき、動的に変更可能なようにしてもよい。こうすることにより、いわゆる「プラグイン機能」や「アップデート機能」を提供することができ、信頼度管理サーバ装置の保守性を向上させることができる。
続いて、信頼度管理サーバ装置８６は、信頼度τ[p]を含む応答メッセージを管理サーバ接続部８５０２へ送信する（ステップＫ５）。なお、応答メッセージは、少なくとも信頼度を数値として含むものであれば、ほかにどのような情報が付加されていてもよい。そして、応答メッセージを受信した管理サーバ接続部８５０２は、当該応答メッセージから信頼度を抽出した後、当該信頼度を誘導部８５０１へ出力する（ステップＫJ６）。
なお、複数の信頼度管理サーバ装置８６から応答メッセージを受信した場合には、管理サーバ接続部８５０２で所定の関数Ｈにより、１つの信頼度にまとめあげた上で、誘導部８５０１へ出力する。関数Ｈの具体例としては、複数の信頼度のうち最小のものを返す関数あるいは平均値を返す関数などを用いることができる。
信頼度を受け取った誘導部８５０１は、当該信頼度と所定の振り分け条件とを照合した結果に基づいて、入力ＩＰパケットをサーバ装置４０１およびおとり装置２のいずれかへと転送する（ステップK７）。
本発明による攻撃防御システムの概略的ブロック図である。 本発明の第１実施形態による攻撃防御システムのファイアウォール装置１およびおとり装置２の構成を示すブロック図である。 図２のファイアウォール装置１におけるアクセス制御リスト管理部１０２の模式的構成図である。 アクセス制御リストデータベース１０２１の内容を例示した模式図である。 誘導部１０３に設けられた誘導リストの一例を示す模式図である。 防御ルール判定部１０７に保持されているアクセス制御ルールのひな型を例示した模式図である。 本発明の第１実施形態による攻撃防御システムの動作を示すフローチャートである。 本発明の第１実施形態のファイアウォール装置でアドレス変換処理を行う際の好適な一例を示すブロック図である。 第１実施形態の具体的動作例を説明するためのネットワーク構成図である。 第１実施形態の具体的動作例を説明するためのネットワーク構成図である。 第１実施形態の具体的動作例を説明するためのネットワーク構成図である。 おとり装置２における攻撃検知動作を説明するための模式図である。 第１実施形態におけるアクセス制御リストの更新動作例を説明するための模式図である。 第１実施形態の具体的動作例を説明するためのネットワーク構成図である。 本発明の第２実施形態による攻撃防御システムのブロック図である。 本発明の第２実施形態による攻撃防御システムの動作を示すフローチャートである。 本実施形態における信頼度とパケット転送先の関係を示すグラフである。 （Ａ）は、外れ値度計算を用いた信頼度管理部５０２の概略的構成図であり、（Ｂ）は、その一例を示す詳細なブロック図である。 本実施形態による攻撃防御システムの具体的な動作を説明するためのネットワーク構成図である。 本実施形態による攻撃防御システムの具体的な動作を説明するためのネットワーク構成図である。 本実施形態による攻撃防御システムの具体的な動作を説明するためのネットワーク構成図である。 本発明の第３実施形態による攻撃防御システムのファイアウォール装置の概略的構成を示すブロック図である。 第３実施形態による攻撃防御システムのファイアウォール装置の一例を示す詳細なブロック図である。 本発明における第４実施形態による攻撃防御システムのファイアウォール装置の一例を示すブロック図である。 信頼度管理部７０１における信頼度参照処理を示すフローチャートである。 本発明の第６実施形態による攻撃防御システムのファイアウォール装置９を示す概略的ブロック図である。 本実施形態によるファイアウォール装置９の動作を示すフローチャートである。 本発明の第７実施形態による攻撃防御システムのファイアウォール装置１０を示す概略的ブロック図である。 アクセス制御リスト管理部１００２の管理動作を示すフローチャートである。 本発明の第８実施形態による攻撃防御システムの概略的構成図である。 本発明の第１０実施形態による攻撃防御システムの概略的構成図である。 本発明の第１１実施形態による攻撃防御ユニットの概略的構成図である。 本発明の第１２実施形態におけるおとり装置の構成を示すブロック図である。 第１２実施形態におけるおとり装置の全体的動作を示すフローチャートである。 第１２実施形態において使用されるプロセス種別判定テーブルの一例を示す図である。 イベント管理部におけるイベント管理キューの一例を示す図である。 第１２実施形態におけるイベント管理部が行うリンク付け処理の１例を示すフローチャートである。 第１２実施形態におけるイベント管理部が出力するイベント−コンテキスト対の概念図である。 ドメイン−タイプ制約つき正常動作定義（ＤＴ定義）ファイルの一例を示す図である。 第１２実施形態における攻撃検知部が解釈するドメイン−タイプ制約の概念図である。 第１２実施形態におけるおとり装置のイベント管理部が行うネットワークイベント追加の具体例を示す模式図である。 第１２実施形態におけるおとり装置のイベント管理部が行うプロセスイベント走査の具体例を示す模式図である。 第１２実施形態におけるおとり装置のイベント管理部が行うリンク付けの具体例を示す模式図である。 第１２実施形態におけるおとり装置のイベント管理部が行う子プロセス生成イベントの追加およびリンク付けの具体例を示す模式図である。 第１２実施形態におけるおとり装置のイベント管理部が行う子プロセスが発生させたファイルイベントの追加およびリンク付けの具体例を示す模式図である。 第１２実施形態におけるおとり装置のイベント管理部が行う孫プロセス生成イベントの追加およびリンク付けの具体例を示す模式図である。 第１２実施形態におけるおとり装置のイベント管理部が行う孫プロセスが発生させたファイルイベントの追加およびリンク付けの具体例を示す模式図である。 第１２実施形態のおとり装置における攻撃発生時のイベント管理キュー状態を示す具体例を示す模式図である。 第１２実施形態のおとり装置における攻撃発生時のイベント管理キュー状態を示す別の具体例を示す模式図である。 本発明の第１３実施形態におけるファイアウォール装置の構成を示すブロック図である。 第１３実施形態におけるファイアウォール装置の仮想サーバ部の詳細なブロック図である。 第１３実施形態におけるファイアウォール装置の動作を示すフローチャートである。 第１３実施形態におけるファイアウォール装置の信頼度管理部に格納される信頼度管理テーブルの一例を示す図である。 第１３実施形態におけるファイアウォール装置の動作を説明するための攻撃防御システムの概略的ブロック図である。 第１３実施形態における信頼度管理部が行う信頼度管理テーブルへの新規エントリ追加の具体例を示す図である。 第１３実施形態におけるファイアウォール装置が行う正常動作確認時の動作の具体例を示す図である。 第１３実施形態におけるファイアウォール装置が行う、攻撃検知時の動作の具体例を示す図である。 本発明の第１４実施形態による攻撃防御システムの概略的ブロック図である。 本発明の第１５実施形態におけるファイアウォール装置の概略的ブロック図である。 本発明の第１６実施形態による攻撃防御システムの概略的構成図である。 本発明の第１７実施形態による攻撃防御システムの概略的構成図である。 サーバ管理部８００２が有する参照表８００３の一例を示す模式図である。 本発明の第１７実施形態による攻撃防御システムの動作を示すフローチャートである。 本発明の第１８実施形態による攻撃防御システムの概略的構成図である。 本発明の第１８実施形態による攻撃防御システムの動作を示すフローチャートである。 本発明の第１９実施形態による攻撃防御システムの概略的ブロック図である。 本発明の第１９実施形態による攻撃防御システムの動作を示すフローチャートである。
符号の説明
１ ファイアウォール装置
１００ 外部通信インタフェース
１０１ パケットフィルタ
１０２ 第１のアクセス制御リスト管理部
１０２１ アクセス制御リストデータベース
１０２２ 検索処理部
１０２３ 更新処理部
１０３ 誘導部
１０３１ アドレス変換部
１０４ 第１の内部通信インタフェース
１０５ 第２の内部通信インタフェース
１０６ 制御インタフェース
１０７ 防御ルール判定部
２ おとり装置
２１ おとりクラス
２０１ プロセッサ
２０１１ ファイルシステム
２０２ 攻撃検知部
３ インターネット
３０１ 攻撃元ホスト
３０２ 通常のホスト
４ 内部ネットワーク
４０１ サーバ装置
５ ファイアウォール装置
５０１ 誘導部
５０２ 信頼度管理部
５０２１ 外れ値検知部
６ ファイアウォール装置
７ ファイアウォール装置
７０１ 信頼度管理部
７０１１ リアルタイム信頼度データベース
７０１２ 複製処理部
７０１３ 長期信頼度データベース
７０１４ 更新処理部
８ ファイアウォール装置
９ ファイアウォール装置
９０１ 誘導部
９０１１ バッファ
９０１２ ＩＣＭＰ監視部
１０ ファイアウォール装置
１００１ 防御ルール判定部
１００２ アクセス制御リスト管理部
２１ おとりクラスタ
３７ 第２のおとり装置
３７０１ イベント管理部
３７０２ 第２の攻撃検知部
４１０１ ドメイン−タイプ制約つき正常動作定義ファイル
３５０１ 第１のイベント
３６０１ 第２のイベント
３８０１ 第３のイベント
３９０１ 第４のイベント
４００１ 第５のイベント
４１０１ 第６のイベント
４９０１ 第７のイベント
５００１ 第８のイベント
５１ 第８のファイアウォール装置
５１０１ 仮想サーバ部
５１０２ 第３の信頼度管理部
５２０１ 接続管理部
５２０２ 第１入力バッファ
５２０３ 第１出力バッファ
５２０４ 第２入力バッファ
５２０５ 第２出力バッファ
６２ 第９のファイアウォール装置
６２０１ 暗号処理部
３０３ ＦＴＰクライアント
４０２ ＦＴＰサーバ
４０２１ ファイルシステム
６９０１ ミラーリング装置
７００１ ファイアウォール装置
７００２ スイッチ装置
８０ ファイアウォール装置
８００１ 誘導部
８００２ サーバ管理部
８００３ 参照表
８１ ファイアウォール装置
８１０１ 信頼度管理部
８１０２ アラート変換部
８５０１ 誘導部
８５０２ 管理サーバ接続部
８６ 信頼度管理サーバ装置

Claims (107)

  1. 内部ネットワークと外部ネットワークとの境界に設置され、おとり装置およびファイアウォール装置を含む攻撃防御システムにおいて、
    前記おとり装置は、
    前記ファイアウォール装置から転送された入力ＩＰパケットに対するサービスプロセスを実行することで攻撃の有無を検知する攻撃検知手段を有し、
    前記ファイアウォール装置は、
    入力ＩＰパケットのヘッダ情報およびフィルタリング条件に基づいて、当該入力ＩＰパケットを受理するか否かを判定するパケットフィルタリング手段と、
    受理された入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する転送先選択手段と、
    前記おとり装置へ転送した入力ＩＰパケットに関して前記攻撃検知手段が攻撃を検知したか否かに基づいて、当該入力ＩＰパケットに対応するフィルタリング条件を管理するフィルタリング条件管理手段と、
    を有することを特徴とする攻撃防御システム。
  2. 入力ＩＰパケットの前記ヘッダ情報は当該入力ＩＰパケットの送信元ＩＰアドレスおよび宛先ＩＰアドレスの少なくとも一方であり、
    前記転送先選択手段は前記入力ＩＰパケットのヘッダ情報が前記振り分け条件を満たすか否かに依存して当該入力ＩＰパケットの転送先を決定する、
    ことを特徴とする請求項１記載の攻撃防御システム。
  3. 前記転送先選択手段は、
    前記内部ネットワークで使用されていないＩＰアドレスからなる誘導リストを前記振り分け条件として保持する格納手段を有し、
    前記入力ＩＰパケットの宛先ＩＰアドレスと前記誘導リスト内の未使用ＩＰアドレスとが一致したときに当該入力ＩＰパケットを前記おとり装置へ転送する、
    ことを特徴とする請求項１記載の攻撃防御システム。
  4. 前記転送先選択手段は、
    入力ＩＰパケットを格納するパケットバッファと、
    前記入力ＩＰパケットを前記内部ネットワークに転送し、宛先到達不能メッセージを受信するか否かを監視する監視手段と、
    を有し、
    前記監視手段が宛先到達不能メッセージを受信した場合、対応する入力ＩＰパケットを前記パケットバッファから前記おとり装置へ転送することを特徴とする請求項１記載の攻撃防御システム。
  5. 前記ファイアウォール装置は、前記おとり装置へ転送した入力ＩＰパケットに関して前記攻撃検知手段が攻撃を検知したか否かに基づいて、前記振り分け条件を更新する振り分け条件更新手段をさらに有することを特徴とする請求項１記載の攻撃防御システム。
  6. 前記フィルタリング条件管理手段は、前記おとり装置へ転送した入力ＩＰパケットのヘッダ情報に対応するフィルタリング条件を有効期限と共に設定し、前記入力ＩＰパケットに対応するフィルタリング条件の有効期限が超過している場合には、デフォルトのフィルタリング条件を前記パケットフィルタリング手段へ返すことを特徴とする請求項１記載の攻撃防御システム。
  7. 前記フィルタリング条件管理手段は、
    前記攻撃検知手段が攻撃を検知した際の攻撃カテゴリと当該入力ＩＰパケットのアドレス情報とに対応したフィルタリング条件を生成する条件生成手段と、
    前記条件生成手段により生成されたフィルタリング条件に従って、フィルタリング条件を動的に更新するためのフィルタリング条件制御手段と、
    を有することを特徴とする請求項１ないし６のいずれかに記載の攻撃防御システム。
  8. 前記おとり装置は、
    サービスプロセスの実行において、少なくともネットワーク入出力、ファイル入出力、および、プロセス生滅に係るイベントを一時的に記憶するイベント記憶手段と、
    前記イベント記憶手段に記憶されたイベント間の因果関係を分析して、リンク付けを行うイベント管理手段と、
    を有することを特徴とする請求項１記載の攻撃防御システム。
  9. 前記おとり装置は、
    ドメイン制約およびタイプ制約の少なくとも一方を付加したルールにしたがって、前記サービスプロセスの実行状況から攻撃を検知する攻撃検知手段を有することを特徴とする請求項１記載の攻撃防御システム。
  10. 前記おとり装置は、さらに、
    ドメイン制約およびタイプ制約の少なくとも一方を付加したルールにしたがって、前記サービスプロセスの実行状況から攻撃を検知する攻撃検知手段を有することを特徴とする請求項８に記載の攻撃防御システム。
  11. 前記攻撃検知手段は、前記ドメイン制約および前記タイプ制約を判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントと、を抽出することを特徴とする請求項１０記載の攻撃防御システム。
  12. 前記内部ネットワーク上のサーバから前記おとり装置へ少なくともファイルシステムを複写するミラーリング装置をさらに有し、
    前記おとり装置で攻撃が検知されると、前記ミラーリング装置は前記内部ネットワーク上のサーバから少なくともファイルシステムを前記おとり装置へ複写することを特徴とする請求項１記載の攻撃防御システム。
  13. 内部ネットワークと外部ネットワークとの境界に設置され、おとり装置およびファイアウォール装置を含む攻撃防御システムにおいて、
    前記ファイアウォール装置は、
    入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する転送先選択手段と、
    複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度を管理するための信頼度管理手段と、
    を有し、
    前記転送先選択手段は、前記入力ＩＰパケットの送信元ＩＰアドレスに対する信頼度を前記信頼度管理手段から取得し、当該信頼度が前記振り分け条件を満たすか否かに応じて当該入力ＩＰパケットの転送先を決定することを特徴とする攻撃防御システム。
  14. 前記信頼度管理手段は、ある信頼度が取得されるごとに、当該信頼度を更新することを特徴とする請求項１３記載の攻撃防御システム。
  15. 前記信頼度管理手段は、ある信頼度が取得されるごとに、当該信頼度に所定数を加算することを特徴とする請求項１４記載の攻撃防御システム。
  16. 前記信頼度管理手段は、ある信頼度が取得されるごとに、当該信頼度に対応する入力ＩＰパケットのパケットサイズが大きくなるほど値が小さくなる変数を、当該信頼度に加算することを特徴とする請求項１４記載の攻撃防御システム。
  17. 前記信頼度管理手段は、前記入力ＩＰパケットが予め定められたプロトコルのパケットである場合のみ信頼度の更新を実行することを特徴とする請求項１４記載の攻撃防御システム。
  18. 前記信頼度管理手段は、
    複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度と当該信頼度の最終更新時刻とを格納するための第１信頼度格納手段と、
    前記第１信頼度格納手段の内容の複製を格納するための第２信頼度格納手段と、
    前記信頼度格納手段に格納されたある信頼度が前記転送先選択手段によって取得されるごとに、当該信頼度を更新する第１更新処理手段と、
    前記第１信頼度格納手段の内容を定期的に複製して前記第２信頼度格納手段へ格納するための複製処理手段と、
    前記第２信頼度格納手段に格納された信頼度の最終更新時刻を参照し、その最終更新時刻から所定期間が経過した信頼度を更新する第２更新処理手段と、
    を有することを特徴とする請求項１３記載の攻撃防御システム。
  19. 前記複製処理手段は、前記第１信頼度格納手段に格納された信頼度の最終更新時刻を参照し、その最終更新時刻から所定期間が経過した信頼度を有するエントリを前記第１信頼度格納手段から削除することを特徴とする請求項１８記載の攻撃防御システム。
  20. 前記第２更新処理手段は、前記最終更新時刻から所定期間が経過した信頼度を所定値だけ低下させることを特徴とする請求項１８記載の攻撃防御システム。
  21. 前記第２更新処理手段は、前記最終更新時刻から所定期間が経過した信頼度を前記第２更新処理手段から削除することを特徴とする請求項１８記載の攻撃防御システム。
  22. 前記おとり装置は、前記ファイアウォール装置から転送された入力ＩＰパケットに対するサービスプロセスを実行することで攻撃の有無を検知する攻撃検知手段を有することを特徴とする請求項１３記載の攻撃防御システム。
  23. 前記信頼度管理手段は、前記おとり装置へ転送した入力ＩＰパケットに関して前記攻撃検知手段が攻撃を検知したか否かに応じて、当該入力ＩＰパケットの送信元ＩＰアドレスの信頼度を更新することを特徴とする請求項２２記載の攻撃防御システム。
  24. 前記おとり装置は、
    サービスプロセスの実行において、少なくともネットワーク入出力、ファイル入出力、および、プロセス生滅に係るイベントを一時的に記憶するイベント記憶手段と、
    前記イベント記憶手段に記憶されたイベント間の因果関係を分析して、リンク付けを行うイベント管理手段と、
    を有することを特徴とする請求項１３記載の攻撃防御システム。
  25. 前記おとり装置は、
    ドメイン制約およびタイプ制約の少なくとも一方を付加したルールにしたがって、前記サービスプロセスの実行状況から攻撃を検知する攻撃検知手段を有することを特徴とする請求項１３記載の攻撃防御システム。
  26. 前記おとり装置は、さらに、
    ドメイン制約およびタイプ制約の少なくとも一方を付加したルールにしたがって、前記サービスプロセスの実行状況から攻撃を検知する攻撃検知手段を有することを特徴とする請求項２４に記載の攻撃防御システム。
  27. 前記攻撃検知手段は、前記ドメイン制約および前記タイプ制約を判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントと、を抽出することを特徴とする請求項２６記載の攻撃防御システム。
  28. 前記内部ネットワーク上のサーバから前記おとり装置へ少なくともファイルシステムを複写するミラーリング装置をさらに有し、
    前記おとり装置で攻撃が検知されると、前記ミラーリング装置は前記内部ネットワーク上のサーバから少なくともファイルシステムを前記おとり装置へ複写することを特徴とする請求項１３記載の攻撃防御システム。
  29. 内部ネットワークと外部ネットワークとの境界に設置され、おとり装置およびファイアウォール装置を含む攻撃防御システムにおいて、
    前記ファイアウォール装置は、
    第１転送先選択手段と、
    第２転送先選択手段と、
    複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度を管理するための信頼度管理手段と、
    を有し、
    前記第１転送先選択手段は、入力ＩＰパケットのヘッダ情報および第１所定条件に基づいて、当該入力ＩＰパケットを前記第２転送先選択手段および前記おとり装置のいずれかへ転送し、
    前記第２転送先選択手段は、前記第１転送先選択手段から転送された前記入力ＩＰパケットの送信元ＩＰアドレスに対する信頼度を前記信頼度管理手段から取得し、当該信頼度が第２所定条件を満たすか否かに応じて当該入力ＩＰパケットの転送先を前記内部ネットワーク及び前記おとり装置のいずれかに決定する、
    ことを特徴とする攻撃防御システム。
  30. 前記おとり装置は、
    サービスプロセスの実行において、少なくともネットワーク入出力、ファイル入出力、および、プロセス生滅に係るイベントを一時的に記憶するイベント記憶手段と、
    前記イベント記憶手段に記憶されたイベント間の因果関係を分析して、リンク付けを行うイベント管理手段と、
    を有することを特徴とする請求項２９記載の攻撃防御システム。
  31. 前記おとり装置は、
    ドメイン制約およびタイプ制約の少なくとも一方を付加したルールにしたがって、前記サービスプロセスの実行状況から攻撃を検知する攻撃検知手段を有することを特徴とする請求項２９記載の攻撃防御システム。
  32. 前記おとり装置は、さらに、
    ドメイン制約およびタイプ制約の少なくとも一方を付加したルールにしたがって、前記サービスプロセスの実行状況から攻撃を検知する攻撃検知手段を有することを特徴とする請求項３０に記載の攻撃防御システム。
  33. 前記攻撃検知手段は、前記ドメイン制約および前記タイプ制約を判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントと、を抽出することを特徴とする請求項３２記載の攻撃防御システム。
  34. 前記おとり装置および前記ファイアウォール装置は単一ユニットに収容されていることを特徴とする請求項２９のいずれかに記載の攻撃防御システム。
  35. 前記内部ネットワーク上のサーバから前記おとり装置へ少なくともファイルシステムを複写するミラーリング装置をさらに有し、
    前記おとり装置で攻撃が検知されると、前記ミラーリング装置は前記内部ネットワーク上のサーバから少なくともファイルシステムを前記おとり装置へ複写することを特徴とする請求項２９記載の攻撃防御システム。
  36. 内部ネットワークと外部ネットワークとの境界に設置されたファイアウォール装置におけるおとり装置を用いた攻撃防御方法において、
    ＩＰパケットのフィルタリング条件および振り分け条件を用意し、
    入力ＩＰパケットのヘッダ情報および前記フィルタリング条件に基づいて、当該入力ＩＰパケットを受理するか否かを判定し、
    受理された入力ＩＰパケットのヘッダ情報および前記振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択し、
    前記おとり装置に転送された入力ＩＰパケットに対するサービスプロセスを実行することで攻撃の有無を検知し、
    攻撃を検知したか否かに基づいて、当該入力ＩＰパケットに対応するフィルタリング条件を管理する、
    ステップを有することを特徴とする攻撃防御方法。
  37. 入力ＩＰパケットの前記ヘッダ情報は当該入力ＩＰパケットの送信元ＩＰアドレスおよび宛先ＩＰアドレスの少なくとも一方であり、
    前記入力ＩＰパケットのヘッダ情報が前記振り分け条件を満たすか否かに依存して当該入力ＩＰパケットの転送先を決定することを特徴とする請求項３６記載の攻撃防御方法。
  38. 前記振り分け条件は、前記内部ネットワークで使用されていないＩＰアドレスからなる誘導リストであり、
    前記入力ＩＰパケットの宛先ＩＰアドレスと前記誘導リスト内の未使用ＩＰアドレスとが一致したときに当該入力ＩＰパケットを前記おとり装置へ転送する ことを特徴とする請求項３６記載の攻撃防御方法。
  39. 攻撃を検知したか否かに基づいて、前記振り分け条件を更新するステップをさらに有することを特徴とする請求項３６記載の攻撃防御方法。
  40. 前記フィルタリング条件管理ステップは、
    前記おとり装置へ転送した入力ＩＰパケットのヘッダ情報に対応するフィルタリング条件を有効期限と共に設定し、
    前記入力ＩＰパケットに対応するフィルタリング条件の有効期限が超過している場合には、デフォルトのフィルタリング条件を設定する、
    ことを特徴とする請求項３６記載の攻撃防御方法。
  41. 前記フィルタリング条件管理ステップは、
    攻撃を検知した際の攻撃カテゴリと当該入力ＩＰパケットのアドレス情報とに対応したフィルタリング条件を生成し、
    生成されたフィルタリング条件に従って、フィルタリング条件を動的に更新する、
    ことを特徴とする請求項３６記載の攻撃防御方法。
  42. 前記攻撃の有無を検知するステップは、
    サービスプロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを一時的に記憶し、
    イベント間の因果関係を分析してリンク付けを行う
    ことを特徴とする請求項３６記載の攻撃検知方法。
  43. 前記攻撃の有無を検知するステップは、
    サービスプロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを抽出し、
    当該イベントと、ドメイン制約またはタイプ制約を付加したルールと、を照合する、
    ことを特徴とする請求項３６記載の攻撃検知方法。
  44. さらに、前記イベントとドメイン制約またはタイプ制約を付加したルールとを照合することを特徴とする請求項４２記載の攻撃検知方法。
  45. ドメイン制約またはタイプ制約を判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントとを抽出することを特徴とする請求項４４記載の攻撃検知方法。
  46. 前記ルールは、ネットワークドメインを含むアクセス元に関する制約と、アクセスを処理するプロセスまたはその系列に関する制約と、を記述したことを特徴とする請求項４３または４４に記載の攻撃検知方法。
  47. 内部ネットワークと外部ネットワークとの境界に設置されたファイアウォール装置におけるおとり装置を用いた攻撃防御方法において、
    ＩＰパケットの振り分け条件を用意し、
    複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度を保持し、
    入力ＩＰパケットの送信元ＩＰアドレスに対する信頼度が前記振り分け条件を満たすか否かに応じて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する、
    ステップを有することを特徴とする攻撃防御方法。
  48. 前記信頼度を保持するステップは、
    複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度と当該信頼度の最終更新時刻とをリアルタイム信頼度データベースに格納し、
    前記リアルタイム信頼度データベースに格納されたある信頼度がアクセスされるごとに当該信頼度を更新し、
    前記リアルタイム信頼度データベースの内容を定期的に複製して長期信頼度データベースに格納し、
    前記長期信頼度データベースに格納された信頼度の最終更新時刻を参照し、その最終更新時刻から所定期間が経過した信頼度を更新する、
    ステップを有することを特徴とする請求項４７記載の攻撃防御方法。
  49. 前記おとり装置において、前記ファイアウォール装置から転送された入力ＩＰパケットに対するサービスプロセスを実行することで攻撃の有無を検知するステップをさらに有することを特徴とする請求項４７記載の攻撃防御方法。
  50. 攻撃が検知されたか否かに応じて、当該入力ＩＰパケットの送信元ＩＰアドレスの信頼度を更新するステップをさらに有することを特徴とする請求項４９記載の攻撃防御方法。
  51. 前記攻撃の有無を検知するステップは、
    サービスプロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを一時的に記憶し、
    イベント間の因果関係を分析してリンク付けを行う
    ことを特徴とする請求項４９記載の攻撃検知方法。
  52. 前記攻撃の有無を検知するステップは、
    サービスプロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを抽出し、
    当該イベントと、ドメイン制約またはタイプ制約を付加したルールと、を照合する、
    ことを特徴とする請求項４９記載の攻撃検知方法。
  53. さらに、前記イベントとドメイン制約またはタイプ制約を付加したルールとを照合することを特徴とする請求項５１記載の攻撃検知方法。
  54. ドメイン制約またはタイプ制約を判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントとを抽出することを特徴とする請求項５３記載の攻撃検知方法。
  55. 前記ルールは、ネットワークドメインを含むアクセス元に関する制約と、アクセスを処理するプロセスまたはその系列に関する制約と、を記述したことを特徴とする請求項５２または５３に記載の攻撃検知方法。
  56. 内部ネットワークと外部ネットワークとの境界に設置され、おとり装置に接続されたファイアウォール装置において、
    入力ＩＰパケットのヘッダ情報およびフィルタリング条件に基づいて、当該入力ＩＰパケットを受理するか否かを判定するパケットフィルタリング手段と、
    受理された入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する転送先選択手段と、
    前記おとり装置へ転送した入力ＩＰパケットに関して前記おとり装置が攻撃を検知したか否かに基づいて、当該入力ＩＰパケットに対応するフィルタリング条件を管理するフィルタリング条件管理手段と、
    を有することを特徴とするファイアウォール装置。
  57. 内部ネットワークと外部ネットワークとの境界に設置され、おとり装置に接続されたファイアウォール装置において、
    入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する転送先選択手段と、
    複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度を管理するための信頼度管理手段と、
    を有し、
    前記転送先選択手段は、前記入力ＩＰパケットの送信元ＩＰアドレスに対する信頼度を前記信頼度管理手段から取得し、当該信頼度が前記振り分け条件を満たすか否かに応じて当該入力ＩＰパケットの転送先を決定することを特徴とするファイアウォール装置。
  58. 内部ネットワークと外部ネットワークとの境界に設置され、おとり装置に接続されたファイアウォール装置において、
    第１転送先選択手段と、
    第２転送先選択手段と、
    複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度を管理するための信頼度管理手段と、
    を有し、
    前記第１転送先選択手段は、入力ＩＰパケットのヘッダ情報および第１所定条件に基づいて、当該入力ＩＰパケットを前記第２転送先選択手段および前記おとり装置のいずれかへ転送し、
    前記第２転送先選択手段は、前記第１転送先選択手段から転送された前記入力ＩＰパケットの送信元ＩＰアドレスに対する信頼度を前記信頼度管理手段から取得し、当該信頼度が第２所定条件を満たすか否かに応じて当該入力ＩＰパケットの転送先を前記内部ネットワーク及び前記おとり装置のいずれかに決定することを特徴とするファイアウォール装置。
  59. 内部ネットワークと外部ネットワークとの境界に設置され、おとり装置に接続されたファイアウォール装置において、
    入力ＩＰパケットのヘッダ情報およびフィルタリング条件に基づいて、当該入力ＩＰパケットを受理するか否かを判定するパケットフィルタリング手段と、
    受理された入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する転送先選択手段と、
    複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度を管理するための信頼度管理手段と、
    前記おとり装置へ転送した入力ＩＰパケットに関して前記おとり装置が攻撃を検知したか否かに基づいて、当該入力ＩＰパケットに対応するフィルタリング条件を管理するフィルタリング条件管理手段と、
    を有し、
    前記転送先選択手段は、前記入力ＩＰパケットの送信元ＩＰアドレスに対する信頼度を前記信頼度管理手段から取得し、当該信頼度が前記振り分け条件を満たすか否かに応じて当該入力ＩＰパケットの転送先を決定することを特徴とするファイアウォール装置。
  60. コンピュータに、内部ネットワークと外部ネットワークとの境界に設置されたファイアウォール装置におけるおとり装置を用いた攻撃防御システムを実装するためのプログラムにおいて、
    ＩＰパケットのフィルタリング条件および振り分け条件を用意し、
    入力ＩＰパケットのヘッダ情報および前記フィルタリング条件に基づいて、当該入力ＩＰパケットを受理するか否かを判定し、
    受理された入力ＩＰパケットのヘッダ情報および前記振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択し、
    前記おとり装置に転送された入力ＩＰパケットに対するサービスプロセスを実行することで攻撃の有無を検知し、
    攻撃を検知したか否かに基づいて、当該入力ＩＰパケットに対応するフィルタリング条件を管理する、
    ステップを有することを特徴とする攻撃防御プログラム。
  61. コンピュータに、内部ネットワークと外部ネットワークとの境界に設置されたファイアウォール装置におけるおとり装置を用いた攻撃防御システムを実装するためのプログラムにおいて、
    ＩＰパケットの振り分け条件を用意し、
    複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度を保持し、
    入力ＩＰパケットの送信元ＩＰアドレスに対する信頼度が前記振り分け条件を満たすか否かに応じて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する、
    ステップを有することを特徴とする攻撃防御プログラム。
  62. コンピュータに、内部ネットワークと外部ネットワークとの境界に設置されたおとり装置を用いたファイアウォール装置を実装するためのプログラムにおいて、
    ＩＰパケットのフィルタリング条件および振り分け条件を用意し、
    入力ＩＰパケットのヘッダ情報および前記フィルタリング条件に基づいて、当該入力ＩＰパケットを受理するか否かを判定し、
    受理された入力ＩＰパケットのヘッダ情報および前記振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択し、
    前記おとり装置に対して、転送した入力ＩＰパケットに対するサービスプロセスを実行させることで攻撃の有無を検知させ、前記おとり装置が攻撃を検知したか否かに基づいて、当該入力ＩＰパケットに対応するフィルタリング条件を管理する、
    ステップを有することを特徴とするプログラム。
  63. コンピュータに、内部ネットワークと外部ネットワークとの境界に設置されたおとり装置を用いたファイアウォール装置を実装するためのプログラムにおいて、
    ＩＰパケットの振り分け条件を用意し、
    複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度を保持し、
    入力ＩＰパケットの送信元ＩＰアドレスに対する信頼度が前記振り分け条件を満たすか否かに応じて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する、
    ステップを有することを特徴とするプログラム。
  64. 攻撃防御システムのおとり装置において、
    サービスプロセスの実行において、少なくともネットワーク入出力、ファイル入出力、および、プロセス生滅に係るイベントを一時的に記憶するイベント記憶手段と、
    前記イベント記憶手段に記憶されたイベント間の因果関係を分析して、リンク付けを行うイベント管理手段と、
    を有することを特徴とするおとり装置。
  65. 攻撃防御システムのおとり装置において、
    ドメイン制約およびタイプ制約の少なくとも一方を付加したルールにしたがって、前記サービスプロセスの実行状況から攻撃を検知する攻撃検知手段を有することを特徴とするおとり装置。
  66. さらに、
    ドメイン制約およびタイプ制約の少なくとも一方を付加したルールにしたがって、前記サービスプロセスの実行状況から攻撃を検知する攻撃検知手段と、
    を有することを特徴とする請求項６４に記載のおとり装置。
  67. 前記攻撃検知手段は、前記ドメイン制約および前記タイプ制約を判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントと、を抽出することを特徴とする請求項６６記載のおとり装置。
  68. 内部ネットワークと外部ネットワークとの境界に設置され、おとり装置およびファイアウォール装置を含む攻撃防御システムにおいて、
    前記ファイアウォール装置は、
    入力ＩＰパケットに含まれる要求データおよび振り分け条件に基づいて、当該入力ＩＰパケットの転送先として、前記内部ネットワークおよび前記おとり装置のいずれかを選択する転送先選択手段と、
    要求データの信頼度を管理するための信頼度管理手段と、
    を有し、
    前記転送先選択手段は、前記入力ＩＰパケットに含まれる要求データに対する信頼度を前記信頼度管理手段から取得し、当該信頼度が前記振り分け条件を満たすか否かに応じて当該入力ＩＰパケットの転送先を決定することを特徴とする攻撃防御システム。
  69. 前記転送先選択手段は、前記信頼度管理手段から得られた入力ＩＰパケットに含まれる要求データに対する信頼度が、所定の閾値以上の場合に、前記内部ネットワークおよび前記おとり装置の双方に当該入力ＩＰパケットを転送することを特徴とする請求項６８記載の攻撃防御システム。
  70. 前記転送先選択手段は、前記信頼度管理手段から得られた入力ＩＰパケットに含まれる要求データに対する信頼度が、所定の閾値よりも小さい場合に、当該入力ＩＰパケットを一時的に記憶する入力バッファを有し、
    前記おとり装置において前記要求データが安全であることを確認した場合に、前記入力ＩＰパケットは前記入力バッファから前記内部ネットワークに自動的に再転送されることを特徴とする請求項６８または６９に記載の攻撃防御システム。
  71. 前記おとり装置は、
    サービスプロセスの実行において、少なくともネットワーク入出力、ファイル入出力、および、プロセス生滅に係るイベントを一時的に記憶するイベント記憶手段と、
    前記イベント記憶手段に記憶されたイベント間の因果関係を分析して、リンク付けを行うイベント管理手段と、
    を有することを特徴とする請求項６８記載の攻撃防御システム。
  72. 前記おとり装置は、
    ドメイン制約およびタイプ制約の少なくとも一方を付加したルールにしたがって、前記サービスプロセスの実行状況から攻撃を検知する攻撃検知手段を有することを特徴とする請求項６８記載の攻撃防御システム。
  73. 前記おとり装置は、さらに、
    ドメイン制約およびタイプ制約の少なくとも一方を付加したルールにしたがって、前記サービスプロセスの実行状況から攻撃を検知する攻撃検知手段を有することを特徴とする請求項７１に記載の攻撃防御システム。
  74. 前記攻撃検知手段は、前記ドメイン制約および前記タイプ制約を判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントと、を抽出することを特徴とする請求項７３記載の攻撃防御システム。
  75. 前記ファイアウォール装置において、
    暗号化された入力ＩＰパケットを復号するとともに、出力ＩＰパケットを暗号化するための暗号処理手段を備えたことを特徴とする前記請求項６８ないし７０のいずれかに記載の攻撃防御システム。
  76. 前記内部ネットワーク上のサーバから前記おとり装置へ少なくともファイルシステムを複写するミラーリング装置をさらに有し、
    前記おとり装置で攻撃が検知されると、前記ミラーリング装置は前記内部ネットワーク上のサーバから少なくともファイルシステムを前記おとり装置へ複写することを特徴とする請求項６８記載の攻撃防御システム。
  77. 攻撃防御システムの攻撃検知方法において、
    サービスプロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを一時的に記憶し、
    イベント間の因果関係を分析してリンク付けを行う、
    ことを特徴とする攻撃検知方法。
  78. 攻撃防御システムの攻撃検知方法において、
    サービスプロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを抽出し、
    当該イベントと、ドメイン制約またはタイプ制約を付加したルールと、を照合する、
    ことを特徴とする攻撃検知方法。
  79. さらに、前記イベントとドメイン制約またはタイプ制約を付加したルールとを照合することを特徴とする請求項７７記載の攻撃検知方法。
  80. ドメイン制約またはタイプ制約を判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントとを抽出することを特徴とする請求項７９記載の攻撃検知方法。
  81. 前記ルールは、ネットワークドメインを含むアクセス元に関する制約と、アクセスを処理するプロセスまたはその系列に関する制約と、を記述したことを特徴とする請求項７８または７９に記載の攻撃検知方法。
  82. 内部ネットワークと外部ネットワークとの境界に設置されたファイアウォール装置におけるおとり装置を用いた攻撃防御方法において、
    ＩＰパケットのフィルタリング条件および振り分け条件を用意し、
    入力ＩＰパケットのヘッダ情報および前記フィルタリング条件に基づいて、当該入力ＩＰパケットを受理するか否かを判定し、
    受理された入力ＩＰパケットに含まれる要求データおよび前記振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択し、
    前記おとり装置に転送された入力ＩＰパケットに対するサービスプロセスを実行することで攻撃の有無を検知し、
    攻撃を検知したか否かに基づいて、当該入力ＩＰパケットに対応するフィルタリング条件を管理する、
    ステップを有することを特徴とする攻撃防御方法。
  83. 前記振り分け条件は、要求データとその信頼度との組からなる信頼度管理テーブルであり、
    前記入力ＩＰパケットに含まれる要求データと、前記信頼度管理テーブルのあるエントリ内の要求データとが一致した場合は、当該エントリ内の信頼度を抽出し、
    前記信頼度管理テーブル内に前記入力ＩＰパケットに含まれる要求データに一致するエントリがない場合には、当該要求データと信頼度の初期値との組である新たなエントリを作成する、
    ステップを有することを特徴とする請求項８２記載の攻撃防御方法。
  84. 前記転送先の決定において、前記信頼度管理テーブルから抽出された信頼度が、所定の閾値以上である場合に、前記内部ネットワークおよび前記おとり装置の双方を選択する、
    ステップを有することを特徴とする請求項８２または８３に記載の攻撃防御方法。
  85. 前記転送先の決定において、前記信頼度管理テーブルから抽出された信頼度が、所定の閾値よりも小さい場合に、前記入力ＩＰパケットを一時的に記憶し、
    攻撃が検知されなかった後に、当該入力ＩＰパケットを内部ネットワークに自動的に転送する、
    ステップを有することを特徴とする請求項８２または８３に記載の攻撃防御方法。
  86. コンピュータに、攻撃防御システムの攻撃検知を実行させるためのプログラムにおいて、
    サービスプロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを一時的に記憶し、
    イベント間の因果関係を分析してリンク付けを行う、
    ステップを有することを特徴とする攻撃検知プログラム。
  87. コンピュータに、攻撃防御システムの攻撃検知を実行させるためのプログラムにおいて、
    サービスプロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを抽出し、
    当該イベントと、ドメイン制約またはタイプ制約を付加したルールと、を照合する、
    ステップを有することを特徴とする攻撃検知プログラム。
  88. コンピュータに、攻撃防御システムの攻撃検知を実行させるためのプログラムにおいて、
    サービスプロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを一時的に記憶し、
    イベント間の因果関係を分析してリンク付けし、
    前記イベントと、ドメイン制約またはタイプ制約を付加したルールと、を照合する、
    ステップを有することを特徴とする攻撃検知プログラム。
  89. コンピュータに、内部ネットワークと外部ネットワークとの境界に設置されたファイアウォール装置におけるおとり装置を用いた攻撃防御を実行させるためのプログラムにおいて、
    ＩＰパケットのフィルタリング条件および振り分け条件を用意し、
    入力ＩＰパケットのヘッダ情報および前記フィルタリング条件に基づいて、当該入力ＩＰパケットを受理するか否かを判定し、
    受理された入力ＩＰパケットに含まれる要求データおよび前記振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択し、
    前記おとり装置に転送された入力ＩＰパケットに対するサービスプロセスを実行することで攻撃の有無を検知し、
    攻撃を検知したか否かに基づいて、当該入力ＩＰパケットに対応するフィルタリング条件を管理する、
    ステップを有することを特徴とする攻撃防御プログラム。
  90. 前記振り分け条件は、要求データとその信頼度との組からなる信頼度管理テーブルであり、
    前記入力ＩＰパケットに含まれる要求データと、前記信頼度管理テーブルのあるエントリ内の要求データとが一致した場合は、当該エントリ内の信頼度を抽出し、
    前記信頼度管理テーブル内に前記入力ＩＰパケットに含まれる要求データに一致するエントリがない場合には、当該要求データと信頼度の初期値との組である新たなエントリを作成する、
    ステップを有することを特徴とする請求項８９記載の攻撃防御プログラム。
  91. 前記転送先の決定において、前記信頼度管理テーブルから抽出された信頼度が、所定の閾値以上である場合に、前記内部ネットワークおよび前記おとり装置の双方を選択する、
    ステップを有することを特徴とする請求項８９または９０に記載の攻撃防御プログラム。
  92. 前記転送先の決定において、前記信頼度管理テーブルから抽出された信頼度が、所定の閾値よりも小さい場合に、前記入力ＩＰパケットを一時的に記憶し、
    攻撃が検知されなかった後に、当該入力ＩＰパケットを内部ネットワークに自動的に転送する、
    ステップを有することを特徴とする請求項８９または９０に記載の攻撃防御プログラム。
  93. 内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムにおいて、
    おとり装置と、
    ファイアウォール装置と、
    前記おとり装置と前記ファイアウォール装置との間に接続されたスイッチ装置と、
    を有し、
    前記おとり装置は、
    前記スイッチ装置から転送された入力ＩＰパケットに対するサービスプロセスを実行することで攻撃の有無を検知する攻撃検知手段を有し、
    前記スイッチ装置は、
    前記ファイアウォール装置で受理された入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する転送先選択手段と、
    前記攻撃検知手段が攻撃を検知した際の攻撃カテゴリと当該入力ＩＰパケットのアドレス情報とに対応したフィルタリング条件を生成する条件生成手段と、を有し、
    前記ファイアウォール装置は、
    前記条件生成手段により生成されたフィルタリング条件に従って、フィルタリング条件を動的に更新するためのフィルタリング条件制御手段と、
    入力ＩＰパケットのヘッダ情報および前記フィルタリング条件に基づいて、当該入力ＩＰパケットを受理するか否かを判定するパケットフィルタリング手段と、を有する、
    ことを特徴とする攻撃防御システム。
  94. 前記スイッチ装置は、さらに、
    複数の入力ＩＰパケットにおける各送信元ＩＰアドレスの信頼度を管理するための信頼度管理手段を有し、
    前記転送先選択手段は、前記入力ＩＰパケットの送信元ＩＰアドレスに対する信頼度を前記信頼度管理手段から取得し、当該信頼度が前記振り分け条件を満たすか否かに応じて当該入力ＩＰパケットの転送先を決定することを特徴とする請求項９３記載の攻撃防御システム。
  95. 前記ファイアウォール装置および前記スイッチ装置はネットワーク接続されていることを特徴とする請求項９３記載の攻撃防御システム。
  96. 内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムにおいて、
    前記内部ネットワーク内の特定のサーバ装置に対応する複数のおとり装置を含むおとりクラスタと、
    前記特定サーバ装置および前記複数のおとり装置へ選択的に入力ＩＰパケットを転送するファイアウォール装置と、
    を有し、
    前記ファイアウォール装置は、
    入力ＩＰパケットに対する信頼度を管理するための信頼度管理手段と、
    前記おとりクラスタ内の各おとり装置に少なくとも１種類の必須信頼度を割り当てて管理するサーバ管理手段と、
    を有し、あるＩＰパケットを入力すると、当該入力ＩＰパケットに対する信頼度を前記信頼度管理手段から取得し、当該信頼度以下の必須信頼度を有するおとり装置を当該入力ＩＰパケットの転送先として決定することを特徴とする攻撃防御システム。
  97. 内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムにおいて、
    ファイアウォール装置と、
    前記内部ネットワークおよび前記外部ネットワークの少なくとも一方に設けられた少なくとも１つの攻撃検知システムと、
    を有し、
    前記ファイアウォール装置は、前記少なくとも１つの攻撃検知システムから攻撃検知アラートを受信し、少なくとも攻撃元ＩＰアドレスおよび攻撃先ＩＰアドレスを含むアラートに変換するアラート変換手段を有することを特徴とする攻撃防御システム。
  98. 内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムにおいて、
    ファイアウォール装置と、
    おとり装置と、
    少なくとも１つの信頼性管理サーバと、
    を有し、
    前記ファイアウォール装置は入力ＩＰパケットもしくはその一部のデータを含む要求メッセージを前記信頼性管理サーバへ送信し、
    前記信頼性管理サーバは、前記要求メッセージに応じて、当該要求メッセージに含まれるデータから前記入力ＩＰパケットに対する信頼度を生成し、前記信頼度を少なくとも含む応答メッセージを前記ファイアウォール装置へ返信する、
    ことを特徴とする攻撃防御システム。
  99. 前記ファイアウォール装置は、
    入力ＩＰパケットのヘッダ情報および振り分け条件に基づいて、当該入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する転送先選択手段と、
    前記少なくとも１つの信頼度管理サーバ装置に対して前記要求メッセージを送信し、その応答として前記入力ＩＰパケットの信頼度を取得するための管理サーバ接続手段と、
    を有し、
    前記転送先選択手段は、前記信頼度が前記振り分け条件を満たすか否かに応じて当該入力ＩＰパケットの転送先を決定することを特徴とする請求項９８記載の攻撃防御システム。
  100. 内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムにおける攻撃防御方法において、
    前記内部ネットワーク内の特定のサーバ装置に対応する複数のおとり装置を用意し、
    前記複数のおとり装置の各々に割り当てられた少なくとも１種類の必須信頼度に基づくＩＰパケットの振り分け条件と、複数の入力ＩＰパケットに対する信頼度と、を保持し、
    あるＩＰパケットを入力すると、当該入力ＩＰパケットに対する信頼度を取得し、
    前記信頼度以下の必須信頼度を有するおとり装置を当該入力ＩＰパケットの転送先として決定する、
    ことを特徴とする攻撃防御方法。
  101. 内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムにおける攻撃防御方法において、
    前記内部ネットワークおよび前記外部ネットワークの少なくとも一方に少なくとも１つの攻撃検知システムを用意し、
    前記少なくとも１つの攻撃検知システムから攻撃検知アラートを受信すると、少なくとも攻撃元ＩＰアドレスおよび攻撃先ＩＰアドレスを含むアラートに変換する、
    ことを特徴とする攻撃防御方法。
  102. コンピュータに、内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムを実装するためのプログラムにおいて、
    前記内部ネットワーク内の特定のサーバ装置に対応して設けられた複数のおとり装置の各々に少なくとも１種類の必須信頼度を割り当て、
    前記必須信頼度に基づくＩＰパケットの振り分け条件と複数の入力ＩＰパケットに対する信頼度とを保持し、
    あるＩＰパケットを入力すると、当該入力ＩＰパケットに対する信頼度を取得し、
    前記信頼度以下の必須信頼度を有するおとり装置を当該入力ＩＰパケットの転送先として決定する、
    ステップを有することを特徴とする攻撃防御プログラム。
  103. コンピュータに、内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムを実装するためのプログラムにおいて、
    前記内部ネットワークおよび前記外部ネットワークの少なくとも一方に設けられた少なくとも１つの攻撃検知システムから攻撃検知アラートを受信し、
    前記受信した攻撃検知アラートを少なくとも攻撃元ＩＰアドレスおよび攻撃先ＩＰアドレスを含むアラートに変換する、
    ステップを有することを特徴とする攻撃防御プログラム。
  104. 内部ネットワークと外部ネットワークとの境界に設置され、ファイアウォール装置と、おとり装置と、少なくとも１つの信頼性管理サーバと、を有する攻撃防御システムにおける攻撃防御方法において、
    前記ファイアウォール装置は入力ＩＰパケットもしくはその一部のデータを含む要求メッセージを前記信頼性管理サーバへ送信し、
    前記信頼性管理サーバは、前記要求メッセージに応じて、当該要求メッセージに含まれるデータから前記入力ＩＰパケットに対する信頼度を生成し、前記信頼度を少なくとも含む応答メッセージを前記ファイアウォール装置へ返信する、
    ステップを有することを特徴とする攻撃防御方法。
  105. 前記ファイアウォール装置は、前記応答メッセージに含まれる信頼度が所定の振り分け条件を満たすか否かに応じて、前記入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する、
    ステップを有することを特徴とする請求項１０４記載の攻撃防御方法。
  106. 内部ネットワークと外部ネットワークとの境界に設置され、ファイアウォール装置と、おとり装置と、少なくとも１つの信頼性管理サーバと、を有する攻撃防御システムにおける前記信頼性管理サーバをコンピュータに実装するためのプログラムにおいて、
    前記ファイアウォール装置から入力ＩＰパケットもしくはその一部のデータを含む要求メッセージを受信し、
    前記要求メッセージに応じて、当該要求メッセージに含まれるデータから前記入力ＩＰパケットに対する信頼度を生成し、
    前記信頼度を少なくとも含む応答メッセージを前記ファイアウォール装置へ返信する、
    ステップを有することを特徴とする信頼度管理プログラム．
  107. コンピュータに、内部ネットワークと外部ネットワークとの境界に設置され、少なくともファイアウォール装置と信頼度管理サーバとを用いた攻撃防御システムを実装するためのプログラムにおいて、
    入力ＩＰパケットもしくはその一部のデータを含む要求メッセージを前記ファイアウォール装置から前記信頼性管理サーバへ送信し、
    前記要求メッセージに含まれるデータから算出された前記入力ＩＰパケットに対する信頼度を少なくとも含む応答メッセージを前記信頼性管理サーバから受信し、
    前記応答メッセージに含まれる信頼度が所定の振り分け条件を満たすか否かに応じて、前記入力ＩＰパケットの転送先として前記内部ネットワークおよび前記おとり装置のいずれかを選択する、
    ステップを有することを特徴とする攻撃防御プログラム．

JP2003295020A 2002-08-20 2003-08-19 攻撃防御システムおよび攻撃防御方法 Expired - Fee Related JP3794491B2 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2003295020A JP3794491B2 (ja) 2002-08-20 2003-08-19 攻撃防御システムおよび攻撃防御方法
US10/643,864 US7464407B2 (en) 2002-08-20 2003-08-20 Attack defending system and attack defending method
US11/782,801 US7958549B2 (en) 2002-08-20 2007-07-25 Attack defending system and attack defending method
US11/782,809 US20080172739A1 (en) 2002-08-20 2007-07-25 Attack defending system and attack defending method

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2002238989 2002-08-20
JP2003074781 2003-03-19
JP2003295020A JP3794491B2 (ja) 2002-08-20 2003-08-19 攻撃防御システムおよび攻撃防御方法

Related Child Applications (1)

Application Number Title Priority Date Filing Date
JP2005263858A Division JP4042776B2 (ja) 2002-08-20 2005-09-12 攻撃検知装置および攻撃検知方法

Publications (2)

Publication Number Publication Date
JP2004304752A true JP2004304752A (ja) 2004-10-28
JP3794491B2 JP3794491B2 (ja) 2006-07-05

Family

ID=32912803

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2003295020A Expired - Fee Related JP3794491B2 (ja) 2002-08-20 2003-08-19 攻撃防御システムおよび攻撃防御方法

Country Status (2)

Country Link
US (3) US7464407B2 (ja)
JP (1) JP3794491B2 (ja)

Cited By (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003264595A (ja) * 2002-03-08 2003-09-19 Mitsubishi Electric Corp パケット中継装置、パケット中継システムおよびオトリ誘導システム
WO2006043371A1 (ja) * 2004-10-21 2006-04-27 Nippon Telegraph And Telephone Corporation 防御装置、防御方法および防御プログラム並びにネットワーク攻撃防御システム
JP2006165910A (ja) * 2004-12-06 2006-06-22 Mitsubishi Electric Corp 不正侵入検知システム、不正侵入検知装置および管理装置
JP2007251866A (ja) * 2006-03-20 2007-09-27 Kyocera Mita Corp 電子機器装置
JP2007335951A (ja) * 2006-06-12 2007-12-27 Kddi R & D Laboratories Inc 通信監視装置、通信監視方法およびプログラム
WO2008084725A1 (ja) * 2007-01-12 2008-07-17 Yokogawa Electric Corporation 不正アクセス情報収集システム
JP2008532398A (ja) * 2005-02-28 2008-08-14 インターナショナル・ビジネス・マシーンズ・コーポレーション 暗号化されたｈｔｔｐｓネットワーク・パケットを、セキュアなウェブ・サーバ外部での復号なしに特定のｕｒｌ名および他のデータにマッピングするための、方法およびシステム（マッピングすること）
JP2008535304A (ja) * 2005-03-24 2008-08-28 インターナショナル・ビジネス・マシーンズ・コーポレーション ネットワーク攻撃を検出するための方法、装置、およびコンピュータ・プログラム（ネットワーク攻撃の検出）
JPWO2007100045A1 (ja) * 2006-03-03 2009-07-23 日本電気株式会社 通信制御装置、通信制御システム、通信制御方法、および通信制御用プログラム
JP2010186427A (ja) * 2009-02-13 2010-08-26 Kddi Corp 情報処理装置およびプログラム
JP2010198386A (ja) * 2009-02-25 2010-09-09 Nippon Telegr & Teleph Corp <Ntt> 不正アクセス監視システムおよび不正アクセス監視方法
JP2011013917A (ja) * 2009-07-01 2011-01-20 Nippon Telegr & Teleph Corp <Ntt> 解析システム、解析方法、及び解析プログラム
JP2011040064A (ja) * 2003-11-12 2011-02-24 Trustees Of Columbia Univ In The City Of New York 正常データのｎグラム分布を用いてペイロード異常を検出するための装置、方法、及び媒体
US8151340B2 (en) 2007-09-04 2012-04-03 Fujitsu Limited Data relay device and data relay method
WO2017183099A1 (ja) * 2016-04-19 2017-10-26 三菱電機株式会社 中継装置
WO2018143096A1 (ja) * 2017-01-31 2018-08-09 日本電信電話株式会社 リクエスト制御装置、リクエスト制御方法、および、リクエスト制御プログラム
JP2018137500A (ja) * 2017-02-20 2018-08-30 日本電信電話株式会社 セキュリティ対処案設計装置、セキュリティ対処案評価装置、セキュリティ対処案設計方法及びセキュリティ対処案評価方法
JPWO2017175283A1 (ja) * 2016-04-04 2018-08-30 三菱電機株式会社 プロセス探索装置およびプロセス探索プログラム
WO2019004101A1 (ja) * 2017-06-27 2019-01-03 三菱電機ビルテクノサービス株式会社 侵入検知装置および侵入検知方法ならびに侵入検知システム
JP2020108011A (ja) * 2018-12-27 2020-07-09 富士通株式会社 マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置
WO2023079731A1 (ja) * 2021-11-08 2023-05-11 三菱電機ビルソリューションズ株式会社 ＤｏＳ攻撃対処装置及びＤｏＳ攻撃対処プログラム

Families Citing this family (460)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7162035B1 (en) 2000-05-24 2007-01-09 Tracer Detection Technology Corp. Authentication method and system
US7657935B2 (en) * 2001-08-16 2010-02-02 The Trustees Of Columbia University In The City Of New York System and methods for detecting malicious email transmission
US7818797B1 (en) * 2001-10-11 2010-10-19 The Trustees Of Columbia University In The City Of New York Methods for cost-sensitive modeling for intrusion detection and response
US8544087B1 (en) 2001-12-14 2013-09-24 The Trustess Of Columbia University In The City Of New York Methods of unsupervised anomaly detection using a geometric framework
US9306966B2 (en) 2001-12-14 2016-04-05 The Trustees Of Columbia University In The City Of New York Methods of unsupervised anomaly detection using a geometric framework
US7225343B1 (en) 2002-01-25 2007-05-29 The Trustees Of Columbia University In The City Of New York System and methods for adaptive model generation for detecting intrusions in computer systems
US8171567B1 (en) 2002-09-04 2012-05-01 Tracer Detection Technology Corp. Authentication method and system
US8260961B1 (en) 2002-10-01 2012-09-04 Trustwave Holdings, Inc. Logical / physical address state lifecycle management
US8819285B1 (en) 2002-10-01 2014-08-26 Trustwave Holdings, Inc. System and method for managing network communications
US7469418B1 (en) 2002-10-01 2008-12-23 Mirage Networks, Inc. Deterring network incursion
AU2003279950A1 (en) 2002-10-10 2004-05-04 Rocksteady Networks, Inc. System and method for providing access control
US20050216770A1 (en) * 2003-01-24 2005-09-29 Mistletoe Technologies, Inc. Intrusion detection system
US7356585B1 (en) 2003-04-04 2008-04-08 Raytheon Company Vertically extensible intrusion detection system and method
US7293238B1 (en) * 2003-04-04 2007-11-06 Raytheon Company Graphical user interface for an enterprise intrusion detection system
US7895649B1 (en) 2003-04-04 2011-02-22 Raytheon Company Dynamic rule generation for an enterprise intrusion detection system
JP2004318552A (ja) * 2003-04-17 2004-11-11 Kddi Corp Ｉｄｓログ分析支援装置、ｉｄｓログ分析支援方法及びｉｄｓログ分析支援プログラム
US7624438B2 (en) 2003-08-20 2009-11-24 Eric White System and method for providing a secure connection between networked computers
JP2005128792A (ja) * 2003-10-23 2005-05-19 Trend Micro Inc 通信装置、プログラムおよび記憶媒体
EP1678567B1 (en) * 2003-10-30 2007-02-28 Telecom Italia S.p.A. Method and system for intrusion prevention and deflection,
US7797529B2 (en) * 2003-11-10 2010-09-14 Yahoo! Inc. Upload security scheme
US7844731B1 (en) * 2003-11-14 2010-11-30 Symantec Corporation Systems and methods for address spacing in a firewall cluster
US8839417B1 (en) * 2003-11-17 2014-09-16 Mcafee, Inc. Device, system and method for defending a computer network
US20050198530A1 (en) * 2003-12-12 2005-09-08 Chess David M. Methods and apparatus for adaptive server reprovisioning under security assault
US7925766B2 (en) * 2004-02-18 2011-04-12 At&T Intellectual Property Ii, L.P. Method for distributed denial-of-service attack mitigation by selective black-holing in MPLS VPNS
US7509625B2 (en) * 2004-03-10 2009-03-24 Eric White System and method for comprehensive code generation for system management
US8543710B2 (en) 2004-03-10 2013-09-24 Rpx Corporation Method and system for controlling network access
US7610621B2 (en) 2004-03-10 2009-10-27 Eric White System and method for behavior-based firewall modeling
US7665130B2 (en) 2004-03-10 2010-02-16 Eric White System and method for double-capture/double-redirect to a different location
US7590728B2 (en) 2004-03-10 2009-09-15 Eric White System and method for detection of aberrant network behavior by clients of a network access gateway
EP1578082B1 (en) * 2004-03-16 2007-04-18 AT&T Corp. Method and apparatus for providing mobile honeypots
US9106694B2 (en) 2004-04-01 2015-08-11 Fireeye, Inc. Electronic message analysis for malware detection
US8561177B1 (en) 2004-04-01 2013-10-15 Fireeye, Inc. Systems and methods for detecting communication channels of bots
US8549638B2 (en) 2004-06-14 2013-10-01 Fireeye, Inc. System and method of containing computer worms
US8566946B1 (en) 2006-04-20 2013-10-22 Fireeye, Inc. Malware containment on connection
US8528086B1 (en) 2004-04-01 2013-09-03 Fireeye, Inc. System and method of detecting computer worms
US8793787B2 (en) 2004-04-01 2014-07-29 Fireeye, Inc. Detecting malicious network content using virtual environment components
US8881282B1 (en) 2004-04-01 2014-11-04 Fireeye, Inc. Systems and methods for malware attack detection and identification
US8539582B1 (en) 2004-04-01 2013-09-17 Fireeye, Inc. Malware containment and security analysis on connection
US8204984B1 (en) 2004-04-01 2012-06-19 Fireeye, Inc. Systems and methods for detecting encrypted bot command and control communication channels
US8006305B2 (en) * 2004-06-14 2011-08-23 Fireeye, Inc. Computer worm defense system and method
US8171553B2 (en) 2004-04-01 2012-05-01 Fireeye, Inc. Heuristic based capture with replay to virtual machine
US9027135B1 (en) 2004-04-01 2015-05-05 Fireeye, Inc. Prospective client identification using malware attack detection
US8898788B1 (en) 2004-04-01 2014-11-25 Fireeye, Inc. Systems and methods for malware attack prevention
US7587537B1 (en) 2007-11-30 2009-09-08 Altera Corporation Serializer-deserializer circuits formed from input-output circuit registers
US8584239B2 (en) 2004-04-01 2013-11-12 Fireeye, Inc. Virtual machine with dynamic data flow analysis
US8375444B2 (en) 2006-04-20 2013-02-12 Fireeye, Inc. Dynamic signature creation and enforcement
US8806211B2 (en) * 2004-05-19 2014-08-12 Ca, Inc. Method and systems for computer security
EP1804446B1 (en) * 2004-10-12 2014-10-22 Nippon Telegraph And Telephone Corporation Denial-of-service attack protecting system, method, and program
JP2006119799A (ja) * 2004-10-20 2006-05-11 Hitachi Ltd ストレージシステム及びストレージシステムに格納されたデータの管理方法
US20060190993A1 (en) * 2005-02-08 2006-08-24 Finisar Corporation Intrusion detection in networks
WO2006107712A2 (en) * 2005-04-04 2006-10-12 Bae Systems Information And Electronic Systems Integration Inc. Method and apparatus for defending against zero-day worm-based attacks
US7860006B1 (en) * 2005-04-27 2010-12-28 Extreme Networks, Inc. Integrated methods of performing network switch functions
US8028160B1 (en) 2005-05-27 2011-09-27 Marvell International Ltd. Data link layer switch with protection against internet protocol spoofing attacks
US20070011732A1 (en) * 2005-07-05 2007-01-11 Yang-Hung Peng Network device for secure packet dispatching via port isolation
US8572733B1 (en) 2005-07-06 2013-10-29 Raytheon Company System and method for active data collection in a network security system
EP1748342A1 (en) * 2005-07-29 2007-01-31 H+BEDV Datentechnik GmbH Honeypot computer system for detecting viruses in computer networks
US7352280B1 (en) 2005-09-01 2008-04-01 Raytheon Company System and method for intruder tracking using advanced correlation in a network security system
US8224761B1 (en) * 2005-09-01 2012-07-17 Raytheon Company System and method for interactive correlation rule design in a network security system
US7950058B1 (en) 2005-09-01 2011-05-24 Raytheon Company System and method for collaborative information security correlation in low bandwidth environments
US8079083B1 (en) * 2005-09-02 2011-12-13 Symantec Corporation Method and system for recording network traffic and predicting potential security events
US7624447B1 (en) * 2005-09-08 2009-11-24 Cisco Technology, Inc. Using threshold lists for worm detection
GB0518578D0 (en) * 2005-09-13 2005-10-19 Qinetiq Ltd Communications systems firewall
US8250229B2 (en) * 2005-09-29 2012-08-21 International Business Machines Corporation Internet protocol security (IPSEC) packet processing for multiple clients sharing a single network address
US20070124378A1 (en) * 2005-10-14 2007-05-31 Uri Elzur Method and system for indicate and post processing in a flow through data architecture
US9419981B2 (en) * 2005-10-31 2016-08-16 The Trustees Of Columbia University In The City Of New York Methods, media, and systems for securing communications between a first node and a second node
US20070118649A1 (en) * 2005-11-18 2007-05-24 General Instrument Corporation Methods, apparatuses and computer programs for protecting networks against attacks that use forged messages
US9286469B2 (en) * 2005-12-16 2016-03-15 Cisco Technology, Inc. Methods and apparatus providing computer and network security utilizing probabilistic signature generation
US7793138B2 (en) * 2005-12-21 2010-09-07 Cisco Technology, Inc. Anomaly detection for storage traffic in a data center
JP4419951B2 (ja) * 2005-12-22 2010-02-24 ブラザー工業株式会社 通信装置
US8255996B2 (en) * 2005-12-30 2012-08-28 Extreme Networks, Inc. Network threat detection and mitigation
US7849185B1 (en) 2006-01-10 2010-12-07 Raytheon Company System and method for attacker attribution in a network security system
US8914868B2 (en) * 2006-03-03 2014-12-16 Hewlett-Packard Development Company, L.P. Vendor-neutral policy based mechanism for enabling firewall service in an MPLS-VPN service network
JP4776412B2 (ja) * 2006-03-23 2011-09-21 エヌ・ティ・ティ・コミュニケーションズ株式会社 パケット転送装置、パケット転送方法、及びプログラム
US8443446B2 (en) * 2006-03-27 2013-05-14 Telecom Italia S.P.A. Method and system for identifying malicious messages in mobile communication networks, related network and computer program product therefor
US8612556B2 (en) * 2006-05-03 2013-12-17 Comcast Cable Holdings, Llc Method of provisioning network elements
US8429746B2 (en) 2006-05-22 2013-04-23 Neuraliq, Inc. Decoy network technology with automatic signature generation for intrusion detection and intrusion prevention systems
US20140373144A9 (en) * 2006-05-22 2014-12-18 Alen Capalik System and method for analyzing unauthorized intrusion into a computer network
WO2007143011A2 (en) * 2006-05-31 2007-12-13 The Trustees Of Columbia University In The City Ofnew York Systems, methods, and media for generating bait information for trap-based defenses
US8533778B1 (en) * 2006-06-23 2013-09-10 Mcafee, Inc. System, method and computer program product for detecting unwanted effects utilizing a virtual machine
US7773507B1 (en) * 2006-06-30 2010-08-10 Extreme Networks, Inc. Automatic tiered services based on network conditions
US7817549B1 (en) 2006-06-30 2010-10-19 Extreme Networks, Inc. Flexible flow-aging mechanism
KR100789722B1 (ko) * 2006-09-26 2008-01-02 한국정보보호진흥원 웹 기술을 사용하여 전파되는 악성코드 차단시스템 및 방법
US20080115215A1 (en) * 2006-10-31 2008-05-15 Jeffrey Scott Bardsley Methods, systems, and computer program products for automatically identifying and validating the source of a malware infection of a computer system
US8811156B1 (en) 2006-11-14 2014-08-19 Raytheon Company Compressing n-dimensional data
US8590002B1 (en) 2006-11-29 2013-11-19 Mcafee Inc. System, method and computer program product for maintaining a confidentiality of data on a network
US7940657B2 (en) 2006-12-01 2011-05-10 Sonus Networks, Inc. Identifying attackers on a network
US7804774B2 (en) * 2006-12-01 2010-09-28 Sonus Networks, Inc. Scalable filtering and policing mechanism for protecting user traffic in a network
US7672336B2 (en) * 2006-12-01 2010-03-02 Sonus Networks, Inc. Filtering and policing for defending against denial of service attacks on a network
US8949986B2 (en) 2006-12-29 2015-02-03 Intel Corporation Network security elements using endpoint resources
US7710887B2 (en) * 2006-12-29 2010-05-04 Intel Corporation Network protection via embedded controls
US7725594B2 (en) * 2006-12-29 2010-05-25 Verizon Patent And Licensing Inc. Assigning priority to network traffic at customer premises
CN101622849B (zh) 2007-02-02 2014-06-11 网圣公司 添加上下文以防止经由计算机网络的数据泄漏的系统和方法
US8295188B2 (en) 2007-03-30 2012-10-23 Extreme Networks, Inc. VoIP security
US9083712B2 (en) * 2007-04-04 2015-07-14 Sri International Method and apparatus for generating highly predictive blacklists
US8621008B2 (en) 2007-04-26 2013-12-31 Mcafee, Inc. System, method and computer program product for performing an action based on an aspect of an electronic mail message thread
US9009829B2 (en) * 2007-06-12 2015-04-14 The Trustees Of Columbia University In The City Of New York Methods, systems, and media for baiting inside attackers
WO2009032379A1 (en) * 2007-06-12 2009-03-12 The Trustees Of Columbia University In The City Of New York Methods and systems for providing trap-based defenses
US7933946B2 (en) * 2007-06-22 2011-04-26 Microsoft Corporation Detecting data propagation in a distributed system
US8340091B2 (en) 2007-07-11 2012-12-25 Hewlett-Packard Development Company, L.P. Packet processing with adjusted access control list
CN100579004C (zh) * 2007-08-08 2010-01-06 华为技术有限公司 防范无效报文攻击的方法和网络设备
US8199965B1 (en) 2007-08-17 2012-06-12 Mcafee, Inc. System, method, and computer program product for preventing image-related data loss
US20130276061A1 (en) 2007-09-05 2013-10-17 Gopi Krishna Chebiyyam System, method, and computer program product for preventing access to data with respect to a data access attempt associated with a remote data sharing session
KR100897849B1 (ko) * 2007-09-07 2009-05-15 한국전자통신연구원 비정상 프로세스 탐지 방법 및 장치
US8446607B2 (en) * 2007-10-01 2013-05-21 Mcafee, Inc. Method and system for policy based monitoring and blocking of printing activities on local and network printers
US8060927B2 (en) * 2007-10-31 2011-11-15 Microsoft Corporation Security state aware firewall
US8959624B2 (en) * 2007-10-31 2015-02-17 Bank Of America Corporation Executable download tracking system
TR200708644A1 (tr) * 2007-12-13 2009-07-21 Atti̇la Özgi̇t Dr. Sanal hava yastığı sistemi.
US8176146B2 (en) * 2007-12-14 2012-05-08 At&T Intellectual Property I, Lp Providing access control list management
US20100031093A1 (en) * 2008-01-29 2010-02-04 Inventec Corporation Internal tracing method for network attack detection
US8555373B2 (en) 2008-02-14 2013-10-08 Rockwell Automation Technologies, Inc. Network security module for Ethernet-receiving industrial control devices
US8893285B2 (en) 2008-03-14 2014-11-18 Mcafee, Inc. Securing data using integrated host-based data loss agent with encryption detection
US9015842B2 (en) 2008-03-19 2015-04-21 Websense, Inc. Method and system for protection against information stealing software
US9130986B2 (en) * 2008-03-19 2015-09-08 Websense, Inc. Method and system for protection against information stealing software
US7995196B1 (en) 2008-04-23 2011-08-09 Tracer Detection Technology Corp. Authentication method and system
US9077684B1 (en) 2008-08-06 2015-07-07 Mcafee, Inc. System, method, and computer program product for determining whether an electronic mail message is compliant with an etiquette policy
US8260792B1 (en) * 2008-08-29 2012-09-04 Emc Corporation System and method for committing data objects to be immutable
US8542581B2 (en) * 2008-09-18 2013-09-24 Alcatel Lucent System and method for exposing malicious clients in wireless access networks
US8850571B2 (en) 2008-11-03 2014-09-30 Fireeye, Inc. Systems and methods for detecting malicious network content
US8997219B2 (en) 2008-11-03 2015-03-31 Fireeye, Inc. Systems and methods for detecting malicious PDF network content
US8769684B2 (en) 2008-12-02 2014-07-01 The Trustees Of Columbia University In The City Of New York Methods, systems, and media for masquerade attack detection by monitoring computer user behavior
US8429743B2 (en) * 2008-12-23 2013-04-23 Microsoft Corporation Online risk mitigation
US8800040B1 (en) * 2008-12-31 2014-08-05 Symantec Corporation Methods and systems for prioritizing the monitoring of malicious uniform resource locators for new malware variants
US8291497B1 (en) * 2009-03-20 2012-10-16 Symantec Corporation Systems and methods for byte-level context diversity-based automatic malware signature generation
US8468220B2 (en) * 2009-04-21 2013-06-18 Techguard Security Llc Methods of structuring data, pre-compiled exception list engines, and network appliances
US9894093B2 (en) 2009-04-21 2018-02-13 Bandura, Llc Structuring data and pre-compiled exception list engines and internet protocol threat prevention
US9059965B2 (en) * 2009-06-30 2015-06-16 Oracle America, Inc. Method and system for enforcing security policies on network traffic
US8966607B2 (en) * 2009-07-15 2015-02-24 Rockstar Consortium Us Lp Device programmable network based packet filter
US8379639B2 (en) * 2009-07-22 2013-02-19 Cisco Technology, Inc. Packet classification
US8832829B2 (en) 2009-09-30 2014-09-09 Fireeye, Inc. Network-based binary file extraction and analysis for malware detection
US9032517B2 (en) * 2009-10-31 2015-05-12 Hewlett-Packard Development Company, L.P. Malicious code detection
US20110131648A1 (en) * 2009-11-30 2011-06-02 Iwebgate Technology Limited Method and System for Digital Communication Security Using Computer Systems
US9531670B2 (en) * 2009-11-30 2016-12-27 Iwebgate Technology Limited System and method for network virtualization and security using computer systems and software
US8528091B2 (en) 2009-12-31 2013-09-03 The Trustees Of Columbia University In The City Of New York Methods, systems, and media for detecting covert malware
US8800034B2 (en) 2010-01-26 2014-08-05 Bank Of America Corporation Insider threat correlation tool
US9038187B2 (en) * 2010-01-26 2015-05-19 Bank Of America Corporation Insider threat correlation tool
US8793789B2 (en) 2010-07-22 2014-07-29 Bank Of America Corporation Insider threat correlation tool
US8782209B2 (en) 2010-01-26 2014-07-15 Bank Of America Corporation Insider threat correlation tool
US8949988B2 (en) * 2010-02-26 2015-02-03 Juniper Networks, Inc. Methods for proactively securing a web application and apparatuses thereof
US9485218B2 (en) * 2010-03-23 2016-11-01 Adventium Enterprises, Llc Device for preventing, detecting and responding to security threats
US8544100B2 (en) * 2010-04-16 2013-09-24 Bank Of America Corporation Detecting secure or encrypted tunneling in a computer network
US8782794B2 (en) 2010-04-16 2014-07-15 Bank Of America Corporation Detecting secure or encrypted tunneling in a computer network
US8650215B2 (en) * 2010-05-04 2014-02-11 Red Hat, Inc. Decoy application servers
US9497164B2 (en) * 2010-05-27 2016-11-15 At&T Intellectual Property I, L.P. System and method of redirecting internet protocol traffic for network based parental controls
WO2011152052A1 (ja) * 2010-06-02 2011-12-08 パナソニック株式会社 通信制御装置およびパケットフィルタリング方法
US9106697B2 (en) 2010-06-24 2015-08-11 NeurallQ, Inc. System and method for identifying unauthorized activities on a computer system using a data structure model
US8789189B2 (en) 2010-06-24 2014-07-22 NeurallQ, Inc. System and method for sampling forensic data of unauthorized activities using executability states
AU2011305214B2 (en) * 2010-09-24 2014-12-11 Verisign, Inc. IP prioritization and scoring system for DDoS detection and mitigation
US8914841B2 (en) * 2010-11-24 2014-12-16 Tufin Software Technologies Ltd. Method and system for mapping between connectivity requests and a security rule set
US8706864B1 (en) * 2010-11-30 2014-04-22 Amazon Technologies, Inc. Behavior monitoring and compliance for multi-tenant resources
US8782791B2 (en) * 2010-12-01 2014-07-15 Symantec Corporation Computer virus detection systems and methods
US10447709B2 (en) * 2010-12-29 2019-10-15 Rapid7, Inc. Methods and systems for integrating reconnaissance with security assessments for computing networks
EP2500838A1 (en) * 2011-03-16 2012-09-19 Samsung SDS Co. Ltd. SOC-based device for packet filtering and packet filtering method thereof
US9210127B2 (en) * 2011-06-15 2015-12-08 Mcafee, Inc. System and method for limiting data leakage
EP2541861A1 (en) * 2011-06-30 2013-01-02 British Telecommunications Public Limited Company Server security systems and related aspects
US9100324B2 (en) 2011-10-18 2015-08-04 Secure Crossing Research & Development, Inc. Network protocol analyzer apparatus and method
RU2472211C1 (ru) * 2011-11-23 2013-01-10 Федеральное государственное военное образовательное учреждение высшего профессионального образования "Военная академия связи имени маршала Советского Союза С.М. Буденного" Министерства обороны Российской Федерации Способ защиты информационно-вычислительных сетей от компьютерных атак
US8739250B2 (en) * 2011-12-05 2014-05-27 Microsoft Corporation Denial of service attack resistant input port
US10171352B2 (en) * 2011-12-21 2019-01-01 Nec Corporation Communication system, node, control device, communication method, and program
US8898795B2 (en) 2012-02-09 2014-11-25 Harris Corporation Bridge for communicating with a dynamic computer network
US8935780B2 (en) 2012-02-09 2015-01-13 Harris Corporation Mission management for dynamic computer networks
US9519782B2 (en) 2012-02-24 2016-12-13 Fireeye, Inc. Detecting malicious network content
US9356942B1 (en) 2012-03-05 2016-05-31 Neustar, Inc. Method and system for detecting network compromise
US8832831B2 (en) 2012-03-21 2014-09-09 Radware, Ltd. Method and system for detecting and mitigating attacks performed using cryptographic protocols
US8966626B2 (en) 2012-05-01 2015-02-24 Harris Corporation Router for communicating data in a dynamic computer network
US20130298221A1 (en) * 2012-05-01 2013-11-07 Harris Corporation Firewalls for filtering communications in a dynamic computer network
US8898782B2 (en) 2012-05-01 2014-11-25 Harris Corporation Systems and methods for spontaneously configuring a computer network
US9154458B2 (en) 2012-05-01 2015-10-06 Harris Corporation Systems and methods for implementing moving target technology in legacy hardware
US8959573B2 (en) 2012-05-01 2015-02-17 Harris Corporation Noise, encryption, and decoys for communications in a dynamic computer network
US9130907B2 (en) 2012-05-01 2015-09-08 Harris Corporation Switch for communicating data in a dynamic computer network
US8935786B2 (en) 2012-05-01 2015-01-13 Harris Corporation Systems and methods for dynamically changing network states
US9075992B2 (en) 2012-05-01 2015-07-07 Harris Corporation Systems and methods for identifying, deterring and/or delaying attacks to a network using shadow networking techniques
US9276819B2 (en) * 2012-05-29 2016-03-01 Hewlett Packard Enterprise Development Lp Network traffic monitoring
US8984157B2 (en) * 2012-07-18 2015-03-17 International Business Machines Corporation Network analysis in a file transfer system
KR20140044970A (ko) * 2012-09-13 2014-04-16 한국전자통신연구원 접근 제어 목록을 이용한 공격 차단 제어 방법 및 그 장치
US9565213B2 (en) * 2012-10-22 2017-02-07 Centripetal Networks, Inc. Methods and systems for protecting a secured network
US9137205B2 (en) 2012-10-22 2015-09-15 Centripetal Networks, Inc. Methods and systems for protecting a secured network
WO2014077614A1 (en) * 2012-11-19 2014-05-22 Samsung Sds Co., Ltd. Anti-malware system, method of processing data in the same, and computing device
US9241259B2 (en) 2012-11-30 2016-01-19 Websense, Inc. Method and apparatus for managing the transfer of sensitive information to mobile devices
US10572665B2 (en) 2012-12-28 2020-02-25 Fireeye, Inc. System and method to create a number of breakpoints in a virtual machine via virtual machine trapping events
US9203806B2 (en) 2013-01-11 2015-12-01 Centripetal Networks, Inc. Rule swapping in a packet network
US8990944B1 (en) 2013-02-23 2015-03-24 Fireeye, Inc. Systems and methods for automatically detecting backdoors
US9195829B1 (en) 2013-02-23 2015-11-24 Fireeye, Inc. User interface with real-time visual playback along with synchronous textual analysis log display and event/time index for anomalous behavior detection in applications
US9009823B1 (en) 2013-02-23 2015-04-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications installed on mobile devices
US9009822B1 (en) 2013-02-23 2015-04-14 Fireeye, Inc. Framework for multi-phase analysis of mobile applications
US9176843B1 (en) 2013-02-23 2015-11-03 Fireeye, Inc. Framework for efficient security coverage of mobile software applications
US9159035B1 (en) 2013-02-23 2015-10-13 Fireeye, Inc. Framework for computer application analysis of sensitive information tracking
US9367681B1 (en) 2013-02-23 2016-06-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications using symbolic execution to reach regions of interest within an application
US9824209B1 (en) 2013-02-23 2017-11-21 Fireeye, Inc. Framework for efficient security coverage of mobile software applications that is usable to harden in the field code
US9124552B2 (en) 2013-03-12 2015-09-01 Centripetal Networks, Inc. Filtering network data transfers
US9355247B1 (en) 2013-03-13 2016-05-31 Fireeye, Inc. File extraction from memory dump for malicious content analysis
US9626509B1 (en) 2013-03-13 2017-04-18 Fireeye, Inc. Malicious content analysis with multi-version application support within single operating environment
US9565202B1 (en) 2013-03-13 2017-02-07 Fireeye, Inc. System and method for detecting exfiltration content
US9104867B1 (en) 2013-03-13 2015-08-11 Fireeye, Inc. Malicious content analysis using simulated user interaction without user involvement
US9311479B1 (en) 2013-03-14 2016-04-12 Fireeye, Inc. Correlation and consolidation of analytic data for holistic view of a malware attack
US9430646B1 (en) 2013-03-14 2016-08-30 Fireeye, Inc. Distributed systems and methods for automatically detecting unknown bots and botnets
US9251343B1 (en) 2013-03-15 2016-02-02 Fireeye, Inc. Detecting bootkits resident on compromised computers
US10713358B2 (en) 2013-03-15 2020-07-14 Fireeye, Inc. System and method to extract and utilize disassembly features to classify software intent
US9172627B2 (en) 2013-03-15 2015-10-27 Extreme Networks, Inc. Device and related method for dynamic traffic mirroring
US9130826B2 (en) * 2013-03-15 2015-09-08 Enterasys Networks, Inc. System and related method for network monitoring and control based on applications
US9094445B2 (en) 2013-03-15 2015-07-28 Centripetal Networks, Inc. Protecting networks from cyber attacks and overloading
US9413781B2 (en) 2013-03-15 2016-08-09 Fireeye, Inc. System and method employing structured intelligence to verify and contain threats at endpoints
US9152808B1 (en) * 2013-03-25 2015-10-06 Amazon Technologies, Inc. Adapting decoy data present in a network
US9495180B2 (en) 2013-05-10 2016-11-15 Fireeye, Inc. Optimized resource allocation for virtual machines within a malware content detection system
US9635039B1 (en) 2013-05-13 2017-04-25 Fireeye, Inc. Classifying sets of malicious indicators for detecting command and control communications associated with malware
US9436652B2 (en) * 2013-06-01 2016-09-06 General Electric Company Honeyport active network security
US20140379915A1 (en) * 2013-06-19 2014-12-25 Cisco Technology, Inc. Cloud based dynamic access control list management architecture
US10133863B2 (en) 2013-06-24 2018-11-20 Fireeye, Inc. Zero-day discovery system
US9536091B2 (en) 2013-06-24 2017-01-03 Fireeye, Inc. System and method for detecting time-bomb malware
JP6105163B2 (ja) * 2013-06-27 2017-03-29 徐 正 煥ＳＥＯ， Ｊｅｏｎｇ Ｈｏａｎ インターネットプロトコルを利用したサービスのための多重連結システム及びその方法
US9300686B2 (en) 2013-06-28 2016-03-29 Fireeye, Inc. System and method for detecting malicious links in electronic messages
US9888016B1 (en) 2013-06-28 2018-02-06 Fireeye, Inc. System and method for detecting phishing using password prediction
US9461967B2 (en) * 2013-07-18 2016-10-04 Palo Alto Networks, Inc. Packet classification for network routing
US9009461B2 (en) * 2013-08-14 2015-04-14 Iboss, Inc. Selectively performing man in the middle decryption
US9009782B2 (en) * 2013-08-19 2015-04-14 Freescale Semiconductor, Inc. Steering traffic among multiple network services using a centralized dispatcher
US9736179B2 (en) 2013-09-30 2017-08-15 Fireeye, Inc. System, apparatus and method for using malware analysis results to drive adaptive instrumentation of virtual machines to improve exploit detection
US9690936B1 (en) 2013-09-30 2017-06-27 Fireeye, Inc. Multistage system and method for analyzing obfuscated content for malware
US10089461B1 (en) 2013-09-30 2018-10-02 Fireeye, Inc. Page replacement code injection
US9628507B2 (en) 2013-09-30 2017-04-18 Fireeye, Inc. Advanced persistent threat (APT) detection center
US10192052B1 (en) 2013-09-30 2019-01-29 Fireeye, Inc. System, apparatus and method for classifying a file as malicious using static scanning
US9294501B2 (en) 2013-09-30 2016-03-22 Fireeye, Inc. Fuzzy hash of behavioral results
US10515214B1 (en) 2013-09-30 2019-12-24 Fireeye, Inc. System and method for classifying malware within content created during analysis of a specimen
US9171160B2 (en) 2013-09-30 2015-10-27 Fireeye, Inc. Dynamically adaptive framework and method for classifying malware using intelligent static, emulation, and dynamic analyses
US9288223B2 (en) * 2013-10-13 2016-03-15 Skycure Ltd Potential attack detection based on dummy network traffic
US9503324B2 (en) 2013-11-05 2016-11-22 Harris Corporation Systems and methods for enterprise mission management of a computer network
US9407602B2 (en) * 2013-11-07 2016-08-02 Attivo Networks, Inc. Methods and apparatus for redirecting attacks on a network
US9921978B1 (en) 2013-11-08 2018-03-20 Fireeye, Inc. System and method for enhanced security of storage devices
US10223530B2 (en) * 2013-11-13 2019-03-05 Proofpoint, Inc. System and method of protecting client computers
US9516049B2 (en) * 2013-11-13 2016-12-06 ProtectWise, Inc. Packet capture and network traffic replay
US10735453B2 (en) 2013-11-13 2020-08-04 Verizon Patent And Licensing Inc. Network traffic filtering and routing for threat analysis
US9338183B2 (en) 2013-11-18 2016-05-10 Harris Corporation Session hopping
US9264496B2 (en) 2013-11-18 2016-02-16 Harris Corporation Session hopping
US10122708B2 (en) 2013-11-21 2018-11-06 Harris Corporation Systems and methods for deployment of mission plans using access control technologies
US9189627B1 (en) 2013-11-21 2015-11-17 Fireeye, Inc. System, apparatus and method for conducting on-the-fly decryption of encrypted objects for malware detection
US9282110B2 (en) * 2013-11-27 2016-03-08 Cisco Technology, Inc. Cloud-assisted threat defense for connected vehicles
US9350748B1 (en) * 2013-12-16 2016-05-24 Amazon Technologies, Inc. Countering service enumeration through optimistic response
US9992221B1 (en) * 2015-11-12 2018-06-05 Amdocs Software Systems Limited System, method, and computer program for utilizing a decoy in response to a distributed denial of service (DDOS) attack in a communication network
US9756074B2 (en) 2013-12-26 2017-09-05 Fireeye, Inc. System and method for IPS and VM-based detection of suspicious objects
US9747446B1 (en) 2013-12-26 2017-08-29 Fireeye, Inc. System and method for run-time object classification
US9462001B2 (en) * 2014-01-15 2016-10-04 Cisco Technology, Inc. Computer network access control
US9507935B2 (en) 2014-01-16 2016-11-29 Fireeye, Inc. Exploit detection system with threat-aware microvisor
US9262635B2 (en) 2014-02-05 2016-02-16 Fireeye, Inc. Detection efficacy of virtual machine-based analysis with application specific events
US9973472B2 (en) 2015-04-02 2018-05-15 Varmour Networks, Inc. Methods and systems for orchestrating physical and virtual switches to enforce security boundaries
US10264025B2 (en) 2016-06-24 2019-04-16 Varmour Networks, Inc. Security policy generation for virtualization, bare-metal server, and cloud computing environments
US9241010B1 (en) 2014-03-20 2016-01-19 Fireeye, Inc. System and method for network behavior detection
US10242185B1 (en) 2014-03-21 2019-03-26 Fireeye, Inc. Dynamic guest image creation and rollback
US9591015B1 (en) 2014-03-28 2017-03-07 Fireeye, Inc. System and method for offloading packet processing and static analysis operations
US9223972B1 (en) 2014-03-31 2015-12-29 Fireeye, Inc. Dynamically remote tuning of a malware content detection system
US9413782B1 (en) 2014-03-31 2016-08-09 Juniper Networks, Inc. Malware detection using internal malware detection operations
US9432389B1 (en) 2014-03-31 2016-08-30 Fireeye, Inc. System, apparatus and method for detecting a malicious attack based on static analysis of a multi-flow object
US9769204B2 (en) * 2014-05-07 2017-09-19 Attivo Networks Inc. Distributed system for Bot detection
US9438623B1 (en) 2014-06-06 2016-09-06 Fireeye, Inc. Computer exploit detection using heap spray pattern matching
US9594912B1 (en) 2014-06-06 2017-03-14 Fireeye, Inc. Return-oriented programming detection
US9973531B1 (en) 2014-06-06 2018-05-15 Fireeye, Inc. Shellcode detection
US10084813B2 (en) 2014-06-24 2018-09-25 Fireeye, Inc. Intrusion prevention and remedy system
US9398028B1 (en) 2014-06-26 2016-07-19 Fireeye, Inc. System, device and method for detecting a malicious attack based on communcations between remotely hosted virtual machines and malicious web servers
US10805340B1 (en) 2014-06-26 2020-10-13 Fireeye, Inc. Infection vector and malware tracking with an interactive user display
US10002252B2 (en) 2014-07-01 2018-06-19 Fireeye, Inc. Verification of trusted threat-aware microvisor
US9372052B2 (en) * 2014-07-09 2016-06-21 The United States Of America, As Represented By The Secretary Of The Navy System and method for decoy management
EP2966828B1 (de) * 2014-07-11 2020-01-15 Deutsche Telekom AG Verfahren zum Erkennen eines Angriffs auf eine mit einem Kommunikationsnetzwerk verbundene Arbeitsumgebung
US9450972B2 (en) * 2014-07-23 2016-09-20 Cisco Technology, Inc. Network attack detection using combined probabilities
US9710648B2 (en) 2014-08-11 2017-07-18 Sentinel Labs Israel Ltd. Method of malware detection and system thereof
US11507663B2 (en) 2014-08-11 2022-11-22 Sentinel Labs Israel Ltd. Method of remediating operations performed by a program and system thereof
US9363280B1 (en) 2014-08-22 2016-06-07 Fireeye, Inc. System and method of detecting delivery of malware using cross-customer data
US10671726B1 (en) 2014-09-22 2020-06-02 Fireeye Inc. System and method for malware analysis using thread-level event monitoring
US9773112B1 (en) 2014-09-29 2017-09-26 Fireeye, Inc. Exploit detection of malware and malware families
US10027689B1 (en) 2014-09-29 2018-07-17 Fireeye, Inc. Interactive infection visualization for improved exploit detection and signature generation for malware and malware families
US9560075B2 (en) * 2014-10-22 2017-01-31 International Business Machines Corporation Cognitive honeypot
US9602536B1 (en) 2014-12-04 2017-03-21 Amazon Technologies, Inc. Virtualized network honeypots
CN104468313B (zh) * 2014-12-05 2018-08-14 华为技术有限公司 一种报文处理方法、网络服务器及虚拟专用网络系统
US9690933B1 (en) 2014-12-22 2017-06-27 Fireeye, Inc. Framework for classifying an object as malicious with machine learning for deploying updated predictive models
CN104580168B (zh) * 2014-12-22 2019-02-26 华为技术有限公司 一种攻击数据包的处理方法、装置及系统
JP6476853B2 (ja) * 2014-12-26 2019-03-06 富士通株式会社 ネットワーク監視システム及び方法
US10075455B2 (en) 2014-12-26 2018-09-11 Fireeye, Inc. Zero-day rotating guest image profile
US9934376B1 (en) 2014-12-29 2018-04-03 Fireeye, Inc. Malware detection appliance architecture
US9838417B1 (en) 2014-12-30 2017-12-05 Fireeye, Inc. Intelligent context aware user interaction for malware detection
WO2016112219A1 (en) 2015-01-07 2016-07-14 CounterTack, Inc. System and method for monitoring a computer system using machine interpretable code
US9264370B1 (en) 2015-02-10 2016-02-16 Centripetal Networks, Inc. Correlating packets in communications networks
US9294442B1 (en) 2015-03-30 2016-03-22 Varmour Networks, Inc. System and method for threat-driven security policy controls
US10178070B2 (en) 2015-03-13 2019-01-08 Varmour Networks, Inc. Methods and systems for providing security to distributed microservices
US9467476B1 (en) 2015-03-13 2016-10-11 Varmour Networks, Inc. Context aware microsegmentation
US10193929B2 (en) 2015-03-13 2019-01-29 Varmour Networks, Inc. Methods and systems for improving analytics in distributed networks
US9438634B1 (en) 2015-03-13 2016-09-06 Varmour Networks, Inc. Microsegmented networks that implement vulnerability scanning
US10148693B2 (en) 2015-03-25 2018-12-04 Fireeye, Inc. Exploit detection system
US9690606B1 (en) 2015-03-25 2017-06-27 Fireeye, Inc. Selective system call monitoring
US9438613B1 (en) 2015-03-30 2016-09-06 Fireeye, Inc. Dynamic content activation for automated analysis of embedded objects
US9380027B1 (en) 2015-03-30 2016-06-28 Varmour Networks, Inc. Conditional declarative policies
US10474813B1 (en) 2015-03-31 2019-11-12 Fireeye, Inc. Code injection technique for remediation at an endpoint of a network
US10417031B2 (en) 2015-03-31 2019-09-17 Fireeye, Inc. Selective virtualization for security threat detection
US9483644B1 (en) 2015-03-31 2016-11-01 Fireeye, Inc. Methods for detecting file altering malware in VM based analysis
US9525697B2 (en) * 2015-04-02 2016-12-20 Varmour Networks, Inc. Delivering security functions to distributed networks
US9654485B1 (en) 2015-04-13 2017-05-16 Fireeye, Inc. Analytics-based security monitoring system and method
US9866576B2 (en) 2015-04-17 2018-01-09 Centripetal Networks, Inc. Rule-based network-threat detection
US9594904B1 (en) 2015-04-23 2017-03-14 Fireeye, Inc. Detecting malware based on reflection
WO2016194123A1 (ja) * 2015-06-02 2016-12-08 三菱電機ビルテクノサービス株式会社 中継装置、ネットワーク監視システム及びプログラム
US9553885B2 (en) 2015-06-08 2017-01-24 Illusive Networks Ltd. System and method for creation, deployment and management of augmented attacker map
US10382484B2 (en) 2015-06-08 2019-08-13 Illusive Networks Ltd. Detecting attackers who target containerized clusters
US11113086B1 (en) 2015-06-30 2021-09-07 Fireeye, Inc. Virtual system and method for securing external network connectivity
US10454950B1 (en) 2015-06-30 2019-10-22 Fireeye, Inc. Centralized aggregation technique for detecting lateral movement of stealthy cyber-attacks
US10642753B1 (en) 2015-06-30 2020-05-05 Fireeye, Inc. System and method for protecting a software component running in virtual machine using a virtualization layer
US10726127B1 (en) 2015-06-30 2020-07-28 Fireeye, Inc. System and method for protecting a software component running in a virtual machine through virtual interrupts by the virtualization layer
US10715542B1 (en) 2015-08-14 2020-07-14 Fireeye, Inc. Mobile application risk analysis
US9483317B1 (en) 2015-08-17 2016-11-01 Varmour Networks, Inc. Using multiple central processing unit cores for packet forwarding in virtualized networks
US10193919B2 (en) 2015-08-24 2019-01-29 Empow Cyber Security, Ltd Risk-chain generation of cyber-threats
US10176321B2 (en) 2015-09-22 2019-01-08 Fireeye, Inc. Leveraging behavior-based rules for malware family classification
US10184974B2 (en) * 2015-09-22 2019-01-22 Raytheon Company Systems and methods for determining whether a circuit is operating properly
US10033747B1 (en) 2015-09-29 2018-07-24 Fireeye, Inc. System and method for detecting interpreter-based exploit attacks
US10601865B1 (en) 2015-09-30 2020-03-24 Fireeye, Inc. Detection of credential spearphishing attacks using email analysis
US9825976B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Detection and classification of exploit kits
US10210329B1 (en) 2015-09-30 2019-02-19 Fireeye, Inc. Method to detect application execution hijacking using memory protection
US9825989B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Cyber attack early warning system
US10817606B1 (en) 2015-09-30 2020-10-27 Fireeye, Inc. Detecting delayed activation malware using a run-time monitoring agent and time-dilation logic
US10706149B1 (en) 2015-09-30 2020-07-07 Fireeye, Inc. Detecting delayed activation malware using a primary controller and plural time controllers
US20170111391A1 (en) * 2015-10-15 2017-04-20 International Business Machines Corporation Enhanced intrusion prevention system
US10284575B2 (en) 2015-11-10 2019-05-07 Fireeye, Inc. Launcher for setting analysis environment variations for malware detection
US11675587B2 (en) * 2015-12-03 2023-06-13 Forrest L. Pierson Enhanced protection of processors from a buffer overflow attack
US10191758B2 (en) 2015-12-09 2019-01-29 Varmour Networks, Inc. Directing data traffic between intra-server virtual machines
US10440036B2 (en) * 2015-12-09 2019-10-08 Checkpoint Software Technologies Ltd Method and system for modeling all operations and executions of an attack and malicious process entry
US10880316B2 (en) 2015-12-09 2020-12-29 Check Point Software Technologies Ltd. Method and system for determining initial execution of an attack
US10447728B1 (en) 2015-12-10 2019-10-15 Fireeye, Inc. Technique for protecting guest processes using a layered virtualization architecture
US9954876B2 (en) * 2015-12-10 2018-04-24 Sonicwall Us Holdings Inc. Automatic tunnels routing loop attack defense
US10846117B1 (en) 2015-12-10 2020-11-24 Fireeye, Inc. Technique for establishing secure communication between host and guest processes of a virtualization architecture
US10108446B1 (en) 2015-12-11 2018-10-23 Fireeye, Inc. Late load technique for deploying a virtualization layer underneath a running operating system
US9917856B2 (en) 2015-12-23 2018-03-13 Centripetal Networks, Inc. Rule-based network-threat detection for encrypted communications
US10320841B1 (en) * 2015-12-28 2019-06-11 Amazon Technologies, Inc. Fraud score heuristic for identifying fradulent requests or sets of requests
US11290486B1 (en) 2015-12-28 2022-03-29 Amazon Technologies, Inc. Allocating defective computing resources for honeypot services
US10097581B1 (en) 2015-12-28 2018-10-09 Amazon Technologies, Inc. Honeypot computing services that include simulated computing resources
US10565378B1 (en) 2015-12-30 2020-02-18 Fireeye, Inc. Exploit of privilege detection framework
CN105491060B (zh) * 2015-12-30 2019-07-02 北京神州绿盟信息安全科技股份有限公司 防御分布式拒绝服务攻击的方法、装置、客户端及设备
US10621338B1 (en) 2015-12-30 2020-04-14 Fireeye, Inc. Method to detect forgery and exploits using last branch recording registers
US10050998B1 (en) 2015-12-30 2018-08-14 Fireeye, Inc. Malicious message analysis system
US10133866B1 (en) 2015-12-30 2018-11-20 Fireeye, Inc. System and method for triggering analysis of an object for malware in response to modification of that object
US9824216B1 (en) 2015-12-31 2017-11-21 Fireeye, Inc. Susceptible environment detection system
US10581874B1 (en) 2015-12-31 2020-03-03 Fireeye, Inc. Malware detection system with contextual analysis
US11552986B1 (en) 2015-12-31 2023-01-10 Fireeye Security Holdings Us Llc Cyber-security framework for application of virtual features
US10021117B2 (en) * 2016-01-04 2018-07-10 Bank Of America Corporation Systems and apparatus for analyzing secure network electronic communication and endpoints
US11729144B2 (en) 2016-01-04 2023-08-15 Centripetal Networks, Llc Efficient packet capture for cyber threat analysis
KR102389576B1 (ko) * 2016-01-08 2022-04-22 삼성전자주식회사 무선 통신 시스템에서 위조 광고자 검출 장치 및 방법
US10671721B1 (en) 2016-03-25 2020-06-02 Fireeye, Inc. Timeout management services
US10601863B1 (en) 2016-03-25 2020-03-24 Fireeye, Inc. System and method for managing sensor enrollment
US10476906B1 (en) 2016-03-25 2019-11-12 Fireeye, Inc. System and method for managing formation and modification of a cluster within a malware detection system
US10785255B1 (en) 2016-03-25 2020-09-22 Fireeye, Inc. Cluster configuration within a scalable malware detection system
US10432650B2 (en) 2016-03-31 2019-10-01 Stuart Staniford System and method to protect a webserver against application exploits and attacks
US10893059B1 (en) 2016-03-31 2021-01-12 Fireeye, Inc. Verification and enhancement using detection systems located at the network periphery and endpoint devices
US9680801B1 (en) 2016-05-03 2017-06-13 Iboss, Inc. Selectively altering references within encrypted pages using man in the middle
US11277439B2 (en) 2016-05-05 2022-03-15 Neustar, Inc. Systems and methods for mitigating and/or preventing distributed denial-of-service attacks
US10958725B2 (en) 2016-05-05 2021-03-23 Neustar, Inc. Systems and methods for distributing partial data to subnetworks
US11108562B2 (en) 2016-05-05 2021-08-31 Neustar, Inc. Systems and methods for verifying a route taken by a communication
WO2017193093A1 (en) 2016-05-05 2017-11-09 Neustar, Inc. Systems and methods for enabling trusted communications between entities
US11025428B2 (en) 2016-05-05 2021-06-01 Neustar, Inc. Systems and methods for enabling trusted communications between controllers
US10440053B2 (en) 2016-05-31 2019-10-08 Lookout, Inc. Methods and systems for detecting and preventing network connection compromise
WO2017209845A1 (en) * 2016-06-01 2017-12-07 Acalvio Technologies, Inc. Deception to detect network scans
US10581914B2 (en) 2016-06-03 2020-03-03 Ciena Corporation Method and system of mitigating network attacks
US10169585B1 (en) 2016-06-22 2019-01-01 Fireeye, Inc. System and methods for advanced malware detection through placement of transition events
US10462173B1 (en) 2016-06-30 2019-10-29 Fireeye, Inc. Malware detection verification and enhancement by coordinating endpoint and malware detection systems
US10755334B2 (en) 2016-06-30 2020-08-25 Varmour Networks, Inc. Systems and methods for continually scoring and segmenting open opportunities using client data and product predictors
EP3270560B1 (de) 2016-07-12 2020-03-25 Siemens Aktiengesellschaft Verfahren zum aufbau gesicherter kommunikationsverbindungen zu einem industriellen automatisierungssystem und firewall-system
US10592678B1 (en) 2016-09-09 2020-03-17 Fireeye, Inc. Secure communications between peers using a verified virtual trusted platform module
US10491627B1 (en) 2016-09-29 2019-11-26 Fireeye, Inc. Advanced malware detection using similarity analysis
US10795991B1 (en) 2016-11-08 2020-10-06 Fireeye, Inc. Enterprise search
US10587647B1 (en) 2016-11-22 2020-03-10 Fireeye, Inc. Technique for malware detection capability comparison of network security devices
EP3577589B1 (en) * 2016-12-08 2024-01-03 Cequence Security, Inc. Prevention of malicious automation attacks on a web service
US11695800B2 (en) 2016-12-19 2023-07-04 SentinelOne, Inc. Deceiving attackers accessing network data
US11616812B2 (en) 2016-12-19 2023-03-28 Attivo Networks Inc. Deceiving attackers accessing active directory data
US10581879B1 (en) 2016-12-22 2020-03-03 Fireeye, Inc. Enhanced malware detection for generated objects
US10552610B1 (en) 2016-12-22 2020-02-04 Fireeye, Inc. Adaptive virtual machine snapshot update framework for malware behavioral analysis
US10523609B1 (en) 2016-12-27 2019-12-31 Fireeye, Inc. Multi-vector malware detection and analysis
US10382466B2 (en) * 2017-03-03 2019-08-13 Hitachi, Ltd. Cooperative cloud-edge vehicle anomaly detection
US10904286B1 (en) 2017-03-24 2021-01-26 Fireeye, Inc. Detection of phishing attacks using similarity analysis
US10848397B1 (en) 2017-03-30 2020-11-24 Fireeye, Inc. System and method for enforcing compliance with subscription requirements for cyber-attack detection service
US10791138B1 (en) 2017-03-30 2020-09-29 Fireeye, Inc. Subscription-based malware detection
US10902119B1 (en) 2017-03-30 2021-01-26 Fireeye, Inc. Data extraction system for malware analysis
US10798112B2 (en) 2017-03-30 2020-10-06 Fireeye, Inc. Attribute-controlled malware detection
US11194915B2 (en) 2017-04-14 2021-12-07 The Trustees Of Columbia University In The City Of New York Methods, systems, and media for testing insider threat detection systems
KR20200007931A (ko) 2017-05-18 2020-01-22 익스팬스 인코포레이티드 상관관계 중심 위협 평가 및 치료
US10218697B2 (en) 2017-06-09 2019-02-26 Lookout, Inc. Use of device risk evaluation to manage access to services
US10503904B1 (en) 2017-06-29 2019-12-10 Fireeye, Inc. Ransomware detection and mitigation
US10855700B1 (en) 2017-06-29 2020-12-01 Fireeye, Inc. Post-intrusion detection of cyber-attacks during lateral movement within networks
US10601848B1 (en) 2017-06-29 2020-03-24 Fireeye, Inc. Cyber-security system and method for weak indicator detection and correlation to generate strong indicators
US10893068B1 (en) 2017-06-30 2021-01-12 Fireeye, Inc. Ransomware file modification prevention technique
US10503899B2 (en) 2017-07-10 2019-12-10 Centripetal Networks, Inc. Cyberanalysis workflow acceleration
US10284526B2 (en) 2017-07-24 2019-05-07 Centripetal Networks, Inc. Efficient SSL/TLS proxy
US11233777B2 (en) 2017-07-24 2022-01-25 Centripetal Networks, Inc. Efficient SSL/TLS proxy
WO2019032728A1 (en) 2017-08-08 2019-02-14 Sentinel Labs, Inc. METHODS, SYSTEMS AND DEVICES FOR DYNAMICALLY MODELING AND REGROUPING END POINTS FOR ONBOARD NETWORKING
US10637888B2 (en) * 2017-08-09 2020-04-28 Sap Se Automated lifecycle system operations for threat mitigation
EP3451606A1 (de) 2017-08-30 2019-03-06 Siemens Aktiengesellschaft Verfahren zur überprüfung von innerhalb eines industriellen automatisierungssystems übermittelten datagrammen und automatisierungs- und/oder kommunikationsgerät
US10747872B1 (en) 2017-09-27 2020-08-18 Fireeye, Inc. System and method for preventing malware evasion
US10805346B2 (en) 2017-10-01 2020-10-13 Fireeye, Inc. Phishing attack detection
US11108809B2 (en) 2017-10-27 2021-08-31 Fireeye, Inc. System and method for analyzing binary code for malware classification using artificial neural network techniques
WO2019084693A1 (en) * 2017-11-06 2019-05-09 Cyber Defence Qcd Corporation Methods and systems for monitoring cyber-events
US11005860B1 (en) 2017-12-28 2021-05-11 Fireeye, Inc. Method and system for efficient cybersecurity analysis of endpoint events
US11240275B1 (en) 2017-12-28 2022-02-01 Fireeye Security Holdings Us Llc Platform and method for performing cybersecurity analyses employing an intelligence hub with a modular architecture
US11271955B2 (en) 2017-12-28 2022-03-08 Fireeye Security Holdings Us Llc Platform and method for retroactive reclassification employing a cybersecurity-based global data store
US11470115B2 (en) 2018-02-09 2022-10-11 Attivo Networks, Inc. Implementing decoys in a network environment
JP7127885B2 (ja) 2018-02-27 2022-08-30 Ｎｅｃプラットフォームズ株式会社 無線通信装置、及び不正アクセス防止方法
US10826931B1 (en) 2018-03-29 2020-11-03 Fireeye, Inc. System and method for predicting and mitigating cybersecurity system misconfigurations
FR3079642B1 (fr) * 2018-03-29 2021-09-10 Fabienne Veyre Capteur d'intrusion informatique et procede de creation d'un capteur d'intrusion
US10956477B1 (en) 2018-03-30 2021-03-23 Fireeye, Inc. System and method for detecting malicious scripts through natural language processing modeling
US11003773B1 (en) 2018-03-30 2021-05-11 Fireeye, Inc. System and method for automatically generating malware detection rule recommendations
US11558401B1 (en) 2018-03-30 2023-01-17 Fireeye Security Holdings Us Llc Multi-vector malware detection data sharing system for improved detection
US11411998B2 (en) * 2018-05-01 2022-08-09 Cisco Technology, Inc. Reputation-based policy in enterprise fabric architectures
CN108833410B (zh) * 2018-06-19 2020-11-06 网宿科技股份有限公司 一种针对HTTP Flood攻击的防护方法及系统
US11075930B1 (en) 2018-06-27 2021-07-27 Fireeye, Inc. System and method for detecting repetitive cybersecurity attacks constituting an email campaign
US11314859B1 (en) 2018-06-27 2022-04-26 FireEye Security Holdings, Inc. Cyber-security system and method for detecting escalation of privileges within an access token
US11228491B1 (en) 2018-06-28 2022-01-18 Fireeye Security Holdings Us Llc System and method for distributed cluster configuration monitoring and management
US11316900B1 (en) 2018-06-29 2022-04-26 FireEye Security Holdings Inc. System and method for automatically prioritizing rules for cyber-threat detection and mitigation
US10333898B1 (en) 2018-07-09 2019-06-25 Centripetal Networks, Inc. Methods and systems for efficient network protection
US10333976B1 (en) 2018-07-23 2019-06-25 Illusive Networks Ltd. Open source intelligence deceptions
US10404747B1 (en) 2018-07-24 2019-09-03 Illusive Networks Ltd. Detecting malicious activity by using endemic network hosts as decoys
US10382483B1 (en) 2018-08-02 2019-08-13 Illusive Networks Ltd. User-customized deceptions and their deployment in networks
US10333977B1 (en) 2018-08-23 2019-06-25 Illusive Networks Ltd. Deceiving an attacker who is harvesting credentials
US10432665B1 (en) 2018-09-03 2019-10-01 Illusive Networks Ltd. Creating, managing and deploying deceptions on mobile devices
US11182473B1 (en) 2018-09-13 2021-11-23 Fireeye Security Holdings Us Llc System and method for mitigating cyberattacks against processor operability by a guest process
US11763004B1 (en) 2018-09-27 2023-09-19 Fireeye Security Holdings Us Llc System and method for bootkit detection
US11741196B2 (en) 2018-11-15 2023-08-29 The Research Foundation For The State University Of New York Detecting and preventing exploits of software vulnerability using instruction tags
US11368475B1 (en) 2018-12-21 2022-06-21 Fireeye Security Holdings Us Llc System and method for scanning remote services to locate stored objects with malware
CN111385248B (zh) * 2018-12-28 2021-07-09 华为技术有限公司 攻击防御方法和攻击防御设备
RU2705773C1 (ru) * 2019-01-09 2019-11-11 федеральное государственное казенное военное образовательное учреждение высшего образования "Военная академия связи имени Маршала Советского Союза С.М. Буденного" Министерства обороны Российской Федерации Способ защиты информационно-вычислительной сети от вторжений
CN109768993A (zh) * 2019-03-05 2019-05-17 中国人民解放军32082部队 一种高覆盖内网蜜罐系统
US11057428B1 (en) * 2019-03-28 2021-07-06 Rapid7, Inc. Honeytoken tracker
US10762200B1 (en) 2019-05-20 2020-09-01 Sentinel Labs Israel Ltd. Systems and methods for executable code detection, automatic feature extraction and position independent code detection
US11038658B2 (en) * 2019-05-22 2021-06-15 Attivo Networks Inc. Deceiving attackers in endpoint systems
EP3745291A1 (en) 2019-05-29 2020-12-02 F. Hoffmann-La Roche AG Interface proxy device for cyber security
US11711374B2 (en) 2019-05-31 2023-07-25 Varmour Networks, Inc. Systems and methods for understanding identity and organizational access to applications within an enterprise environment
US11290494B2 (en) 2019-05-31 2022-03-29 Varmour Networks, Inc. Reliability prediction for cloud security policies
US11575563B2 (en) 2019-05-31 2023-02-07 Varmour Networks, Inc. Cloud security management
US11290493B2 (en) 2019-05-31 2022-03-29 Varmour Networks, Inc. Template-driven intent-based security
US11863580B2 (en) 2019-05-31 2024-01-02 Varmour Networks, Inc. Modeling application dependencies to identify operational risk
US11310284B2 (en) 2019-05-31 2022-04-19 Varmour Networks, Inc. Validation of cloud security policies
US11258806B1 (en) 2019-06-24 2022-02-22 Mandiant, Inc. System and method for automatically associating cybersecurity intelligence to cyberthreat actors
US11556640B1 (en) 2019-06-27 2023-01-17 Mandiant, Inc. Systems and methods for automated cybersecurity analysis of extracted binary string sets
US11392700B1 (en) 2019-06-28 2022-07-19 Fireeye Security Holdings Us Llc System and method for supporting cross-platform data verification
CN110708301B (zh) * 2019-09-24 2022-06-24 贝壳找房(北京)科技有限公司 一种用户请求处理方法、装置、电子设备和存储介质
US11886585B1 (en) 2019-09-27 2024-01-30 Musarubra Us Llc System and method for identifying and mitigating cyberattacks through malicious position-independent code execution
CN110545291B (zh) * 2019-09-29 2022-02-11 东软集团股份有限公司 一种攻击报文的防御方法、多核转发系统及相关产品
CN110474931A (zh) * 2019-09-29 2019-11-19 国家计算机网络与信息安全管理中心 一种攻击源的联网告警方法和系统
US11637862B1 (en) 2019-09-30 2023-04-25 Mandiant, Inc. System and method for surfacing cyber-security threats with a self-learning recommendation engine
CN110852363B (zh) * 2019-10-31 2022-08-02 大连理工大学 一种基于欺骗攻击者的对抗样本防御方法
CN111556061B (zh) * 2020-04-29 2022-07-12 上海沪景信息科技有限公司 网络伪装方法、装置、设备及计算机可读存储介质
US11416608B2 (en) * 2020-05-29 2022-08-16 Microsoft Technology Licensing, Llc Layered analysis for network security risk detection
US11683327B2 (en) * 2020-07-23 2023-06-20 Micro Focus Llc Demand management of sender of network traffic flow
CN114153182B (zh) * 2020-08-18 2024-03-12 中国航天系统工程有限公司 一种工艺自适应的工业终端安全防护系统及方法
US11362996B2 (en) 2020-10-27 2022-06-14 Centripetal Networks, Inc. Methods and systems for efficient adaptive logging of cyber threat incidents
CN112363578A (zh) * 2020-11-13 2021-02-12 浪潮电子信息产业股份有限公司 一种服务器
US11579857B2 (en) 2020-12-16 2023-02-14 Sentinel Labs Israel Ltd. Systems, methods and devices for device fingerprinting and automatic deployment of software in a computing network using a peer-to-peer approach
CN112637175B (zh) * 2020-12-17 2021-08-20 山东云天安全技术有限公司 一种用于工业物联网的防御方法及装置
US11818152B2 (en) 2020-12-23 2023-11-14 Varmour Networks, Inc. Modeling topic-based message-oriented middleware within a security system
US11876817B2 (en) 2020-12-23 2024-01-16 Varmour Networks, Inc. Modeling queue-based message-oriented middleware relationships in a security system
US11824874B2 (en) * 2021-01-20 2023-11-21 Vmware, Inc. Application security enforcement
US11777978B2 (en) 2021-01-29 2023-10-03 Varmour Networks, Inc. Methods and systems for accurately assessing application access risk
TWI769748B (zh) * 2021-03-22 2022-07-01 廣達電腦股份有限公司 偵測駭客攻擊的方法及電腦程式產品
CN113098868B (zh) * 2021-04-01 2022-03-11 广州巨时信息科技股份有限公司 一种基于容器的网络安全处理方法和装置
US11159546B1 (en) 2021-04-20 2021-10-26 Centripetal Networks, Inc. Methods and systems for efficient threat context-aware packet filtering for network protection
CN113591072A (zh) * 2021-05-07 2021-11-02 海尔数字科技(青岛)有限公司 攻击事件处理方法、装置、设备及存储介质
US11734316B2 (en) 2021-07-08 2023-08-22 Varmour Networks, Inc. Relationship-based search in a computing environment
US11899782B1 (en) 2021-07-13 2024-02-13 SentinelOne, Inc. Preserving DLL hooks
US11627040B1 (en) * 2021-08-18 2023-04-11 Juniper Networks, Inc. Processing unmodified configuration data with a network device application
TWI791322B (zh) * 2021-11-10 2023-02-01 財團法人資訊工業策進會 流量控制伺服器及流量控制方法
CN114257409B (zh) * 2021-11-22 2024-04-16 北京理工大学重庆创新中心 一种应对拒绝服务攻击的自触发量化控制方法
CN114157479B (zh) * 2021-12-01 2022-09-02 北京航空航天大学 一种基于动态欺骗的内网攻击防御方法
CN115412376B (zh) * 2022-11-02 2023-02-14 北京网藤科技有限公司 基于智能特征匹配的攻击模式验证方法和系统

Family Cites Families (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0628003B2 (ja) 1983-11-21 1994-04-13 株式会社日立製作所 多重化制御装置のデ−タ制御方法及び装置
US5606668A (en) 1993-12-15 1997-02-25 Checkpoint Software Technologies Ltd. System for securing inbound and outbound data packet flow in a computer network
JPH07306794A (ja) 1994-05-12 1995-11-21 Mitsubishi Electric Corp 分散システム及び分散システムの高信頼化方法
US5802320A (en) 1995-05-18 1998-09-01 Sun Microsystems, Inc. System for packet filtering of data packets at a computer network interface
JP3426832B2 (ja) 1996-01-26 2003-07-14 株式会社東芝 ネットワークアクセス制御方法
JPH10164064A (ja) 1996-12-05 1998-06-19 Hitachi Ltd ネットワーク侵入経路追跡方式
US7272625B1 (en) * 1997-03-10 2007-09-18 Sonicwall, Inc. Generalized policy server
JP3618245B2 (ja) 1999-03-09 2005-02-09 株式会社日立製作所 ネットワーク監視システム
JP2000354034A (ja) 1999-06-10 2000-12-19 Yoshimi Baba 事業：ハッカー監視室
US6772346B1 (en) * 1999-07-16 2004-08-03 International Business Machines Corporation System and method for managing files in a distributed system using filtering
JP2001057554A (ja) 1999-08-17 2001-02-27 Yoshimi Baba クラッカー監視システム
US6519703B1 (en) 2000-04-14 2003-02-11 James B. Joyce Methods and apparatus for heuristic firewall
EP1277326A2 (en) 2000-04-28 2003-01-22 Internet Security Systems, Inc. Method and system for managing computer security information
JP4537538B2 (ja) 2000-06-07 2010-09-01 三菱電機株式会社 不正侵入検知システム
JP2002007234A (ja) 2000-06-20 2002-01-11 Mitsubishi Electric Corp 不正メッセージ検出装置、不正メッセージ対策システム、不正メッセージ検出方法、不正メッセージ対策方法、及びコンピュータ読み取り可能な記録媒体
ATE360319T1 (de) 2000-09-01 2007-05-15 Top Layer Networks Inc System und verfahren zur verteidigung gegen denial-of-service angriffe auf die netzwerkknoten
DE10047091A1 (de) 2000-09-21 2002-04-11 Merck Patent Gmbh Flüssigkristalline Mischungen
JP2002152281A (ja) 2000-11-09 2002-05-24 Mitsubishi Electric Corp 中継装置および通信システム
US7010698B2 (en) * 2001-02-14 2006-03-07 Invicta Networks, Inc. Systems and methods for creating a code inspection system
US20020166063A1 (en) * 2001-03-01 2002-11-07 Cyber Operations, Llc System and method for anti-network terrorism
JP4434551B2 (ja) 2001-09-27 2010-03-17 株式会社東芝 サーバー計算機保護装置、サーバー計算機保護方法、サーバー計算機保護プログラム及びサーバー計算機
JP3892322B2 (ja) 2002-03-04 2007-03-14 三菱電機株式会社 不正アクセス経路解析システム及び不正アクセス経路解析方法
JP3790486B2 (ja) 2002-03-08 2006-06-28 三菱電機株式会社 パケット中継装置、パケット中継システムおよびオトリ誘導システム
JP3986871B2 (ja) 2002-04-17 2007-10-03 株式会社エヌ・ティ・ティ・データ アンチプロファイリング装置およびアンチプロファイリングプログラム
JP3715628B2 (ja) 2003-01-24 2005-11-09 株式会社東芝 パケット転送システム、パケット転送装置、プログラム及びパケット転送方法

Cited By (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003264595A (ja) * 2002-03-08 2003-09-19 Mitsubishi Electric Corp パケット中継装置、パケット中継システムおよびオトリ誘導システム
JP2011040064A (ja) * 2003-11-12 2011-02-24 Trustees Of Columbia Univ In The City Of New York 正常データのｎグラム分布を用いてペイロード異常を検出するための装置、方法、及び媒体
WO2006043371A1 (ja) * 2004-10-21 2006-04-27 Nippon Telegraph And Telephone Corporation 防御装置、防御方法および防御プログラム並びにネットワーク攻撃防御システム
JP2006165910A (ja) * 2004-12-06 2006-06-22 Mitsubishi Electric Corp 不正侵入検知システム、不正侵入検知装置および管理装置
JP2008532398A (ja) * 2005-02-28 2008-08-14 インターナショナル・ビジネス・マシーンズ・コーポレーション 暗号化されたｈｔｔｐｓネットワーク・パケットを、セキュアなウェブ・サーバ外部での復号なしに特定のｕｒｌ名および他のデータにマッピングするための、方法およびシステム（マッピングすること）
JP4753264B2 (ja) * 2005-03-24 2011-08-24 インターナショナル・ビジネス・マシーンズ・コーポレーション ネットワーク攻撃を検出するための方法、装置、およびコンピュータ・プログラム（ネットワーク攻撃の検出）
JP2008535304A (ja) * 2005-03-24 2008-08-28 インターナショナル・ビジネス・マシーンズ・コーポレーション ネットワーク攻撃を検出するための方法、装置、およびコンピュータ・プログラム（ネットワーク攻撃の検出）
JPWO2007100045A1 (ja) * 2006-03-03 2009-07-23 日本電気株式会社 通信制御装置、通信制御システム、通信制御方法、および通信制御用プログラム
JP2007251866A (ja) * 2006-03-20 2007-09-27 Kyocera Mita Corp 電子機器装置
JP2007335951A (ja) * 2006-06-12 2007-12-27 Kddi R & D Laboratories Inc 通信監視装置、通信監視方法およびプログラム
WO2008084725A1 (ja) * 2007-01-12 2008-07-17 Yokogawa Electric Corporation 不正アクセス情報収集システム
JP2008172548A (ja) * 2007-01-12 2008-07-24 Yokogawa Electric Corp 不正アクセス情報収集システム
CN101578827B (zh) * 2007-01-12 2013-05-29 横河电机株式会社 未授权访问信息收集系统
US8331251B2 (en) 2007-01-12 2012-12-11 Yokogawa Electric Corporation Unauthorized access information collection system
US8151340B2 (en) 2007-09-04 2012-04-03 Fujitsu Limited Data relay device and data relay method
JP2010186427A (ja) * 2009-02-13 2010-08-26 Kddi Corp 情報処理装置およびプログラム
JP2010198386A (ja) * 2009-02-25 2010-09-09 Nippon Telegr & Teleph Corp <Ntt> 不正アクセス監視システムおよび不正アクセス監視方法
JP2011013917A (ja) * 2009-07-01 2011-01-20 Nippon Telegr & Teleph Corp <Ntt> 解析システム、解析方法、及び解析プログラム
JPWO2017175283A1 (ja) * 2016-04-04 2018-08-30 三菱電機株式会社 プロセス探索装置およびプロセス探索プログラム
WO2017183099A1 (ja) * 2016-04-19 2017-10-26 三菱電機株式会社 中継装置
JPWO2017183099A1 (ja) * 2016-04-19 2018-08-23 三菱電機株式会社 中継装置
CN109076011A (zh) * 2016-04-19 2018-12-21 三菱电机株式会社 中继装置
WO2018143096A1 (ja) * 2017-01-31 2018-08-09 日本電信電話株式会社 リクエスト制御装置、リクエスト制御方法、および、リクエスト制御プログラム
JPWO2018143096A1 (ja) * 2017-01-31 2019-06-27 日本電信電話株式会社 リクエスト制御装置、リクエスト制御方法、および、リクエスト制御プログラム
US11657143B2 (en) 2017-01-31 2023-05-23 Nippon Telegraph And Telephone Corporation Request control device, request control method, and request control program
JP2018137500A (ja) * 2017-02-20 2018-08-30 日本電信電話株式会社 セキュリティ対処案設計装置、セキュリティ対処案評価装置、セキュリティ対処案設計方法及びセキュリティ対処案評価方法
WO2019004101A1 (ja) * 2017-06-27 2019-01-03 三菱電機ビルテクノサービス株式会社 侵入検知装置および侵入検知方法ならびに侵入検知システム
JPWO2019004101A1 (ja) * 2017-06-27 2019-12-19 三菱電機ビルテクノサービス株式会社 侵入検知装置および侵入検知方法ならびに侵入検知システム
JP2020108011A (ja) * 2018-12-27 2020-07-09 富士通株式会社 マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置
WO2023079731A1 (ja) * 2021-11-08 2023-05-11 三菱電機ビルソリューションズ株式会社 ＤｏＳ攻撃対処装置及びＤｏＳ攻撃対処プログラム

Also Published As

Publication number Publication date
US7464407B2 (en) 2008-12-09
US20040172557A1 (en) 2004-09-02
US7958549B2 (en) 2011-06-07
US20080172739A1 (en) 2008-07-17
US20080282339A1 (en) 2008-11-13
JP3794491B2 (ja) 2006-07-05

Similar Documents

Publication Publication Date Title
JP3794491B2 (ja) 攻撃防御システムおよび攻撃防御方法
US11516181B2 (en) Device, system and method for defending a computer network
US10587636B1 (en) System and method for bot detection
JP3954385B2 (ja) 迅速なパケット・フィルタリング及びパケット・プロセシングのためのシステム、デバイス及び方法
KR100952350B1 (ko) 지능망 인터페이스 컨트롤러
US7814546B1 (en) Method and system for integrated computer networking attack attribution
US8561177B1 (en) Systems and methods for detecting communication channels of bots
CN1612532B (zh) 基于主机的网络入侵检测系统
EP1330095B1 (en) Monitoring of data flow for enhancing network security
US20030084326A1 (en) Method, node and computer readable medium for identifying data in a network exploit
US20030084319A1 (en) Node, method and computer readable medium for inserting an intrusion prevention system into a network stack
US11290484B2 (en) Bot characteristic detection method and apparatus
JP4042776B2 (ja) 攻撃検知装置および攻撃検知方法
CA2545916A1 (en) Apparatus method and medium for detecting payload anomaly using n-gram distribution of normal data
JP2008146660A (ja) フィルタリング装置、フィルタリング方法およびこの方法をコンピュータに実行させるプログラム
KR20070087198A (ko) 네트워크 인터페이스 및 방화벽 장치
JP2007325293A (ja) 攻撃検知システムおよび攻撃検知方法
US11838319B2 (en) Hardware acceleration device for denial-of-service attack identification and mitigation
US8234503B2 (en) Method and systems for computer security
JP2008507222A (ja) ネットワーク上での不正なスキャンニングを検出するための方法、システムおよびコンピュータ・プログラム
US20050086512A1 (en) Worm blocking system and method using hardware-based pattern matching
JP2007312414A (ja) 攻撃検知システムおよび攻撃検知方法
Mohammed et al. An automated signature generation approach for polymorphic worms using principal component analysis
KR20050095147A (ko) 침해유형별 시나리오를 고려한 침입방어장치 및 그 방법
JP4710889B2 (ja) 攻撃パケット対策システム、攻撃パケット対策方法、攻撃パケット対策装置、及び攻撃パケット対策プログラム

Legal Events

Date Code Title Description
A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20050422

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20050712

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20050912

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20060323

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20060405

R150 Certificate of patent or registration of utility model

Ref document number: 3794491

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20100421

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110421

Year of fee payment: 5

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120421

Year of fee payment: 6

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120421

Year of fee payment: 6

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130421

Year of fee payment: 7

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130421

Year of fee payment: 7

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140421

Year of fee payment: 8

LAPS Cancellation because of no payment of annual fees