JP2004320453A - Unauthorized access warning device and its program - Google Patents

Unauthorized access warning device and its program Download PDF

Info

Publication number
JP2004320453A
JP2004320453A JP2003111678A JP2003111678A JP2004320453A JP 2004320453 A JP2004320453 A JP 2004320453A JP 2003111678 A JP2003111678 A JP 2003111678A JP 2003111678 A JP2003111678 A JP 2003111678A JP 2004320453 A JP2004320453 A JP 2004320453A
Authority
JP
Japan
Prior art keywords
unauthorized access
information
warning
sender
network connection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2003111678A
Other languages
Japanese (ja)
Inventor
Hideo Sakuma
英夫 佐久間
Fumiyuki Taneshige
文之 種茂
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2003111678A priority Critical patent/JP2004320453A/en
Publication of JP2004320453A publication Critical patent/JP2004320453A/en
Pending legal-status Critical Current

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

<P>PROBLEM TO BE SOLVED: To notify an alarm surely to an originator having transmitted unauthorized access while preventing a delay due to an increase in the load of an unauthorized access warning device even if access to a server increases. <P>SOLUTION: When the unauthorized access arrives to a server SV from a terminal, the unauthorized access warning device AS creates unauthorized access record information stored in an originator information DB 16. At the same time, the unauthorized access warning device AS creates route information for not transferring a communication packet transmitted from the originator to the server SV but transferring it to the unauthorized access warning device AS and registers the route information in a network connector NC. An access request transmitted from a terminal having a record of the unauthorized access is transferred from the network connector NC to the unauthorized access warning device AS according to the route information and warning information is transmitted from the unauthorized access warning device AS to the originator. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
この発明は、サーバ装置と端末とを含むネットワークシステムで使用される不正アクセス警告装置と、この装置で使用される不正アクセス警告プログラムに関する。
【０００２】
【従来の技術】
加入者網や、インターネット等のコンピュータ・ネットワークを介して端末からサーバ装置に対し行われる不正アクセスは、ネットワークの伝送速度及び端末の処理速度の高速化や、自動ハッキングツールの流出等に伴い増加の一途を辿っている。特に、自動ハッキングツールを使用した不正アクセスに関しては、ネットワーク技術やサーバに関する知識の浅い人でも比較的簡単に行うことができるため、今後さらに増加することが予想される。
【０００３】
一方、このようなサーバ装置に対する不正アクセスに対抗するために、例えばインターネットの技術分野では、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）サーバに対する不正アクセスを防止する不正アクセス警告装置が使用されている。この不正アクセス警告装置は、例えばＷＷＷサーバのサンプルファイルに対するアクセス要求や、バッファのオーバフローを狙ったＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）に対する不正なアクセス要求を監視する。そして、不正アクセスが検出された場合に、上記アクセス要求の応答として警告メッセージを発信元の端末へ送り返す機能を有する（例えば、特許文献１を参照。）。
このような不正アクセス警告装置を設けると、例えばブラウザを使用してＷＷＷサーバに対し不正アクセスを行った発信者の端末に対し警告メッセージを表示することが可能となり、以後の不正アクセスを抑止させることができる。
【０００４】
【特許文献１】
特開２０００−７６１９１号公報。
【０００５】
【発明が解決しようとする課題】
ところが、この種の従来の不正アクセス警告装置には、次のような解決すべき課題があった。すなわち、発信者からの不正アクセスが例えばＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）のように返答を要求するプロトコルを使用して行われた場合には、返答パケットを利用して警告メッセージを発信者へ通知することが可能である。
【０００６】
しかし、返答を要求しないプロトコルを使用した不正アクセスに対しては、不正アクセスを検出することはできても、警告メッセージを発信者に通知することができない。一般に、故意の不正アクセスは応答を求めない一方向のアクセスであることが多いため、上記した従来の不正アクセス警告装置では十分な抑止効果が期待できない。また、ブラウザを使用せずに不正アクセスが行われた場合には、警告メッセージを送信してもこの警告メッセージは発信者の端末に表示されない。したがって、この場合にも警告による抑止効果が期待できない。
【０００７】
そこで、本発明者等は次のような対策を提案している。すなわち、端末とサーバ装置との間に不正アクセス警告装置を設け、端末からサーバ装置に対する不正アクセス要求が到来した場合にこの不正アクセスに関する履歴情報を記憶する。そして、以後端末からアクセス要求が到来するごとに、その発信者が過去に不正アクセスを行った経歴のある発信者であるか否かを、上記履歴情報をもとに判定し、上記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者だった場合には、当該発信者に対し警告情報を通知する。
このような警告装置であれば、返答を求めないプロトコルやブラウザ等を使用しないアクセス手段を用いて不正アクセスが行われたとしても、同じ発信者がその後正当なアクセスを行った時点で、当該発信者に対し警告情報を通知することが可能となる。
【０００８】
しかし、この従来提案した警告装置では、端末からのすべてのアクセス要求について、当該アクセス要求の発信者が過去に不正アクセスを行った経歴があるか否かを履歴情報をもとに判定する処理を行う必要がある。そして、不正アクセスの経歴のある発信者が見つかると、警告メッセージを作成して当該発信者へ送信する処理が行われる。このため、サーバ装置に対するアクセス数が少ない場合にはそれほど間題にならないが、アクセス数が多くなると上記判定処理及び警告メッセージの作成・送信処理によってアクセス要求の流通に遅延が発生する可能性がある。遅延が発生するとスループットの低下を招き、これがサービスの低下につながるため非常に好ましくない。
【０００９】
この発明は上記事情に着目してなされたもので、その目的とするところは、サーバ装置に対するアクセスが増加しても、不正アクセス警告装置の負荷増大による遅延を発生させることなく、また通常のサービスを妨げることなく、不正アクセスを送信した発信者に対して確実に警告を通知することが可能な不正アクセス警告装置とそのプログラムを提供することにある。
【００１０】
【課題を解決するための手段】
上記目的を達成するためにこの発明では次のような手段を講じている。
先ず第１の発明は、端末とサーバ装置との間に配置されるネットワーク接続装置に不正アクセス警告装置を接続し、この不正アクセス警告装置において、上記端末からサーバ装置に対する不正アクセス要求が上記ネットワーク接続装置を介して転送された場合に、当該不正アクセス要求の発信元アドレス情報をもとに、当該不正アクセス要求の発信者から以後発信される通信情報を自己の不正アクセス警告装置へ転送させるためのルート情報を作成し、この作成されたルート情報を上記ネットワーク接続装置に設定する。そして、以後上記ルート情報に従いネットワーク接続装置から通信情報が転送された場合に、当該通信情報の発信者に対し警告情報を通知するようにしている。
【００１１】
したがって第１の発明によれば、端末から送信された不正アクセス要求や、過去に不正アクセスを行った経歴のある端末から送信された通信情報は、ネットワーク接続装置から不正アクセス警告装置にもれなく転送されて、不正アクセスに対する警告処理が行われる。このため、例えば返答を求めないプロトコルやブラウザ等を使用しないアクセス手段を用いて不正アクセスが行われたとしても、同じ発信者がその後正当なアクセスを行った時点で、当該発信者に対し警告情報を通知することが可能となる。すなわち、不正アクセスに対し十分な警告機能を発揮することができる。
【００１２】
また第１の発明によれば、端末から送信された正常なアクセス要求や通信情報については、不正アクセス警告装置を経由することなくネットワーク接続装置からそのままサーバ装置へ伝送される。このため、サーバ装置に対するアクセス要求や通信情報は、伝送遅延を生じることなくサーバ装置へ伝送されることになり、これによりアップリンクにおけるスループットの低下は防止され、サービス性を高く保つことが可能となる。
【００１３】
次に第２の発明では、不正アクセス警告装置において、不正アクセス要求の発信元アドレス情報をもとに、当該不正アクセス要求の発信者を宛先として以後サーバ装置から送信される通信情報を自己の不正アクセス警告装置へ転送させるためのルート情報を作成し、この作成されたルート情報をネットワーク接続装置に設定する。そして、以後上記ルート情報に従いネットワーク接続装置から端末宛の通信情報が転送された場合に、当該通信情報の宛先となる発信者に対し警告情報を通知するようにしている。
【００１４】
したがって第２の発明によれば、サーバ装置から、不正アクセスを行った経歴のある端末へ向け送信された通信情報は、ネットワーク接続装置から不正アクセス警告装置にもれなく転送され、不正アクセスに対する警告処理が行われる。このため、不正アクセスを行った発信者に対し、サーバ装置から当該発信者へ送られる通信情報を利用して警告情報を確実に通知することが可能となる。
【００１５】
また第２の発明によれば、サーバ装置から、不正アクセスを行った経歴のない発信者へ伝送される通信情報は、不正アクセス警告装置を経由することなくネットワーク接続装置からそのまま端末へ伝送される。このため、上記通信情報は伝送遅延を生じることなく端末へ伝送されることになり、これによりダウンリンクにおけるスループットの低下は防止され、サービス性は高く保たれる。
【００１６】
さらに第３の発明では、不正アクセス警告装置において、不正アクセス要求の発信元アドレス情報をもとに、当該不正アクセス要求の発信者を宛先として以後サーバ装置が送信する通信情報を不正アクセス警告装置へ宛てて送信させるためのルート情報を作成し、この作成されたルート情報をサーバ装置に設定する。そして、上記ルート情報に従い上記サーバ装置が送信した通信情報がネットワーク接続装置から転送された場合に、当該通信情報の宛先となる発信者に対し警告情報を通知するようにしている。
【００１７】
したがって第３の発明によれば、不正アクセスを行った経歴のある端末宛ての通信情報は、サーバ装置において宛先が不正アクセス警告装置に変更されたのち送信される。このため、不正アクセスを行った経歴のある端末宛ての通信情報はもれなく不正アクセス警告装置へ転送され、不正アクセスに対する警告処理が行われる。このため、不正アクセスを行った発信者に対しては、サーバ装置から当該発信者へ送られる通信情報を利用して警告情報を確実に通知することが可能となる。
【００１８】
また第３の発明によれば、不正アクセスを行った経歴のない端末宛ての通信情報は、宛先が変更されずにサーバ装置からそのまま送信される。このため、上記通信情報は不正アクセス警告装置を経由せず、この結果伝送遅延を生じることなく端末へ伝送されることになり、これによりダウンリンクにおけるスループットの低下は防止され、サービス性は高く保たれる。
【００１９】
なお、第２及び第３の発明において、不正アクセス警告装置に転送される端末宛の通信情報は、フレームサイズの再計算等により遅延が発生する可能性がある。しかし、この通信情報は、元々サーバ装置に対して不正アクセスを行った発信者への返信情報であるため、正常なアクセスを行っている他の発信者に対するサービスの低下にはつながらない。
【００２０】
また、上記第１乃至第３の発明には次のような具体的な各種構成が考えられる。
第１の構成は、端末からサーバ装置に対する不正アクセス要求がネットワーク接続装置から転送された場合に、当該不正アクセスに関する履歴情報を作成して記憶する。そして、通信情報が転送された場合に、当該通信情報の発信者又は宛先が過去に不正アクセスを行った経歴のある発信者であるか否かを上記履歴情報をもとに判定し、過去に不正アクセスを行った経歴のある発信者であると判定された場合に、当該通信情報の宛先となる発信者に対し警告情報を通知するものである。この構成を備えることにより、履歴情報をもとに不正アクセスの経歴の有無をさらに正確に判定することが可能となる。
【００２１】
第２の構成は、サーバ装置から送信された通信情報に替えて、警告情報を該当する発信者の端末へ送信するものである。この構成によれば、サーバ装置から返送される通信情報に替えて警告情報が通知されるので、例えば故意に不正アクセスを行った発信者に対して強い警告を与えることができる。また、アドレスの偽造や誤りに対しても警告を与えることとができる。
【００２２】
第３の構成は、サーバ装置から送信された通信情報に、警告情報を付加或いは挿入して該当する発信者の端末へ送信するものである。この構成によれば、サーバ装置からの返答情報に付加又は含めたかたちで警告情報が発信者に通知されるので、発信者の不慣れや誤操作が原因となって結果的に不正アクセスが行われた場合に、当該発信者に対し返答情報を利用して注意を喚起することができる。
【００２３】
第４の構成は、不正アクセス検出時にその履歴情報を作成し記憶しておく。そして、過去に不正アクセスを行った経歴のある発信者宛ての通信情報が転送された場合に、当該発信者が過去に行った不正アクセスの悪質度を上記履歴情報をもとに判定し、この悪質度の判定結果に基づいて予め用意された複数の警告通知処理を選択的に実行するものである。
【００２４】
このような構成であると、不正アクセスの悪質度に応じて適切な警告処理が自動的に選択されて実行される。例えば、故意と認められる不正アクセスについてはその発信者に対し強い警告を与えるための処理が選択されて実行され、一方不慣れや誤操作が原因と認められる不正アクセスについてはその発信者に対し操作上の注意を促す等の緩い警告を与えるための処理が選択されて実行される。
【００２５】
第５の構成は、不正アクセス検出時に作成し記憶しておいた不正アクセス履歴情報をもとに、不正アクセスの内容を表す情報とこの不正アクセスの内容に対応する警告メッセージとを含む警告情報を作成し、この作成した警告情報を該当する発信者の端末へ送信するものである。このように構成すると、発信者に対し不正アクセスの内容を明確に通知して、注意を促すことができる。
【００２６】
第６の構成は、不正アクセス警告装置を、不正アクセス検知部と不正アクセス警告部とに分けて構成するものである。このような構成にすると、例えば不正アクセス検知部或いは不正アクセス警告部のいずれか一方が既に備えられている場合には、不足する構成又は機能のみを追加するだけで既存の構成をそのまま使用してこの発明を実施することが可能となり、これにより設備費のコストダウンを図ることができる。
【００２７】
【発明の実施の形態】
（第１の実施形態）
この発明の第１の実施形態は、ネットワーク接続装置に不正アクセス警告装置を接続する。そして、端末からサーバ装置に対する不正アクセス要求が送信された場合に、不正アクセス警告装置において上記不正アクセスに関する履歴情報を作成して記憶すると共に、以後上記不正アクセスを行った端末から送信されるアクセス要求をサーバ装置へ転送せずに不正アクセス警告装置へ転送させるためのルート情報を作成してネットワーク接続装置に設定する。そして、以後このルート情報に従いネットワーク接続装置からアクセス要求が転送された場合に、不正アクセス警告装置から発信者に対し警告情報を通知するようにしたものである。
【００２８】
図１は、この発明の第１の実施形態に係わる不正アクセス警告装置を備えたネットワークシステムの概略構成図である。
同図において、ＮＷは通信ネットワークであり、例えばＰＳＴＮ（Ｐｕｂｌｉｃ Ｓｗｉｔｃｈｅｄ Ｔｅｌｅｐｈｏｎｅ Ｎｅｔｗｏｒｋ）やＩＳＤＮ（Ｉｎｔｅｇｒａｔｅｄ Ｓｅｒｖｉｃｅ Ｄｉｇｉｔａｌ Ｎｅｔｗｏｒｋ）等の有線加入者ネットワークと、移動通信ネットワークと、専用線ネットワークと、ＣＡＴＶ（Ｃａｂｌｅ Ｔｅｌｅｖｉｓｉｏｎ）ネットワークと、インターネットに代表されるコンピュータ・ネットワークとを含んでいる。
【００２９】
この通信ネットワークＮＷには、多数の端末ＴＭ１〜ＴＭｎが接続されると共に、ネットワーク接続装置ＮＣを介してサーバ装置ＳＶが接続される。各端末ＴＭ１〜ＴＭｎは、固定電話機やパーソナル・コンピュータ、移動通信端末、テレビジョン端末からなり、上記サーバ装置ＳＶに対するアクセス機能を有する。サーバ装置ＳＶは、例えばＷＷＷサーバからなり、上記端末ＴＭ１ｌ〜ＴＭｎからのアクセス要求に応じてウエブデータのダウンロード等を行う機能を有する。
【００３０】
ところで、上記ネットワーク接続装置ＮＣには不正アクセス警告装置ＡＳが接続される。不正アクセス警告装置ＡＳは、端末ＴＭ１〜ＴＭｎからサーバ装置ＳＶに対する不正アクセスを監視して、不正アクセスを行った発信者に対し警告を通知する機能を有するもので、例えば次のように構成される。図２はその機能構成を示すブロック図である。
【００３１】
すなわち、不正アクセス警告装置ＡＳは、入出力部１１と、制御部１２と、不正アクセス検出部１３と、不正アクセス情報データベース１４と、サーバ情報データベース１５と、発信者情報データベース１６と、ルート情報管理部１７と、警告情報作成部１８とを備えている。なお、以後データベースについてはＤＢと略称する。
【００３２】
入出力部１１は、ネットワーク接続装置ＮＣとの間で通信パケットの送受信処理を行う。不正アクセス情報ＤＢ１４には、既知の複数種類の不正アクセスパターンが予め記憶されている。サーバ情報ＤＢ１５には、保護しようとするサーバ装置ＳＶが提供するサービス種別等、サーバ装置ＳＶに現在設定されている運用状態を表す情報が記憶されている。発信者情報ＤＢ１６には、端末ＴＭ１〜ＴＭｎからサーバ装置ＳＶに対して行われた不正アクセスに関する履歴情報が記憶される。
【００３３】
不正アクセス検出部１３は、端末ＴＭ１〜ＴＭｎから到来したアクセス要求が不正アクセスであるか否かを、上記不正アクセス情報ＤＢ１４或いはサーバ情報ＤＢ１５をもとに判定する。そして、その判定結果を制御部１２に通知する。
【００３４】
制御部１２は、端末ＴＭ１〜ＴＭｎから到来したアクセス要求が不正アクセスであると上記不正アクセス検出部１３により判定された場合に、当該不正アクセスの内容と発信者のアドレス情報を含む履歴情報を作成し、この履歴情報を上記発信者情報ＤＢ１６に記憶させる。また、上記履歴情報の中から発信者のアドレス情報をルート情報管理部１７に通知し、ルート情報管理部１７で作成されたルート情報を入出力部１１からネットワーク接続装置ＮＣへ通知する。さらに、ネットワーク接続装置ＮＣから転送されたアクセス要求に対して、過去に不正アクセスを行った発信者であるか否かを上記発信者情報ＤＢ１６の履歴情報をもとに判定する。そして、発信者が不正アクセスの前歴を持つ場合には、上記警告情報作成部１８により作成された警告情報を該当する発信者の端末へ送信するように制御する。
【００３５】
ルート情報管理部１７は、上記制御部１２から通知された発信者のアドレス情報をもとに、当該発信者からの通信はすべて当該不正アクセス警告装置ＡＳへと送られるようにルート情報を作成する。そして、この作成されたルート情報を上記制御部１２に通知する。
【００３６】
一方、上記ネットワーク接続装置ＮＣは、例えばルータ、スイッチ又はゲートウエイからなるもので、次のように構成される。図４はその構成を示す機能ブロック図である。すなわち、ネットワーク接続装置ＮＣは入出力部２１，２２，２３と、転送部２４と、ルーティング情報データベース２５とを備えている。
【００３７】
入出力部２１は、不正アクセス警告装置ＡＳとの間で通信パケットの送受信処理を行う。入出力部２２は、通信ネットワークＮＷとの間で通信パケットの送受信処理を行う。入出力部２３は、サーバ装置ＳＶとの間で通信パケットの送受信処理を行う。
【００３８】
ルーティング情報ＤＢ２５には、送信先のＩＰアドレスに対する転送先が登録されており、また送信元ＩＰアドレスに基づく転送先が登録されている。転送部２４は、各入出力部２１，２２，２３で受信された通信パケットに対し、上記ルーティング情報ＤＢ２５に登録されたルーティング情報をもとに、転送先となる入出力部へ転送する処理を行う。
【００３９】
次に、以上のように構成された不正アクセス警告装置ＡＳを含むネットワークシステムの動作を、図４及び図５に示す動作シーケンスを用いて説明する。
いま例えば端末ＴＭ１からサーバ装置ＳＶに対するアクセス要求が送信されたとする。そうすると上記アクセス要求は、図４に示すようにネットワーク接続装置ＮＣの入出力部２２から転送部２４に一旦入力された後、入出力部２３からサーバ装置ＳＶへそのまま転送される。また同時に上記アクセス要求は、転送部２４のミラー機能により入出力部２１から不正アクセス警告装置ＡＳへも転送される。
【００４０】
不正アクセス警告装置ＡＳでは、上記転送されたアクセス要求が入出力部１１を介して不正アクセス検出部１３に入力される。不正アクセス検出部１３では、先ず不正アクセス情報ＤＢ１４に記憶されている既知の不正アクセスパターンをもとに、上記転送されたアクセス要求が不正アクセスに該当するものか否かが判定される。そして、この判定により不正アクセスではないと判定されると、続いてサーバ情報ＤＢ１５に記憶されているサーバ装置ＳＶの運用状態を表す情報をもとに、上記転送されたアクセス要求がサーバ装置ＳＶで提供されているサービスに対応する否かが判定される。そして、サーバ装置ＳＶが提供しているサービスに対応するものであれば、当該アクセス要求は正当なアクセス要求と判断され、特に処理は行われない。
【００４１】
これに対し、上記不正アクセス検出部１３から不正アクセスである旨が制御部１２に報告されると、制御部１２は上記不正アクセスである旨の報告に従い、不正アクセスの内容を表す発信者のアドレス情報を含む履歴情報を作成する。そして、この不正アクセスの履歴情報を発信者情報ＤＢ１６に記憶する。
【００４２】
さらに制御部１２は、ルート情報管理部１７に当該不正アクセスの発信者のアドレス情報を通知すると共にルート情報の作成を指示する。ルート情報管理部１７は、上記通知された不正アクセス発信者のアドレス情報、つまり送信元ＩＰアドレスをもとにルート情報を作成し、この作成されたルート情報を制御部１２に通知する。上記ルート情報の内容は、以後上記送信元ＩＰアドレスにより送信された通信パケットをすべて不正アクセス警告装置ＡＳへ転送させるように設定される。制御部１２は、ルート情報管理部１７から通知されたルート情報を入出力部１１からネットワーク接続装置ＮＣへ送信する。ネットワーク接続装置ＮＣは、上記不正アクセス警告装置ＡＳから送信されたルート情報を、転送部２４によりルーティング情報ＤＢ２５に追加設定する。
【００４３】
さてこの状態で、上記不正アクセスを行った前歴を持つ発信者の端末からアクセス要求が送信されたとする。そうすると、このアクセス要求は図５に示すようにネットワーク接続装置ＮＣの入出力部２２を経て転送部２４に入力される。転送部２４は、上記ルーティング情報ＤＢ２５に追加設定されたルート情報に従い、上記入力されたアクセス要求を入出力部２１から不正アクセス警告装置ＡＳへ転送する。すなわち、不正アクセスを行った前歴を持つ発信者から送信されたアクセス要求は、サーバ装置ＳＶへ転送されず、不正アクセス警告装置ＡＳへのみ転送される。
【００４４】
不正アクセス警告装置ＡＳでは、上記アクセス要求が転送されると制御部１２により、当該アクセス要求の発信者が過去に不正アクセスを行った経歴を持つ発信者であるか否かが、確認のため再度判定される。この前歴の有無の判定は、発信者情報ＤＢ１６に記憶されている不正アクセスの履歴情報を検索し、この履歴情報の中から上記到来したアクセス要求の発信者アドレスを含む履歴情報を探すことにより行われる。この前歴の判定の結果、不正アクセスの前歴が見つからなかった場合には、図５に示すように上記アクセス要求はネットワーク接続装置ＮＣを介してサーバ装置ＳＶへ送信される。なお、この場合ネットワーク接続装置ＮＣに登録されている該当ルート情報は抹消される。
【００４５】
一方上記前歴判定の結果、不正アクセスの前歴があることが確認されたとする。この場合、上記アクセス要求が返答を期待しないアクセス要求だったとすると、図５に示したように通信終了信号が制御部１２により生成され、入出力部１１からネットワーク接続装置ＮＣを介して発信元の端末ＴＭ１へ送信される。すなわち、不正アクセスの前歴のある端末から送信された、返答を期待しないアクセス要求については、不正アクセス警告装置ＡＳによってサーバ装置ＳＶへの転送が遮断され破棄される。
【００４６】
これに対し、上記アクセス要求が例えばＨＴＴＰやｔｅｌｎｅｔ、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）等のように返答を期待するプロトコルによって送信されたものだったとする。この場合、図５に示すように制御部１２から警告情報作成部１８に対し警告情報の作成指示が与えられる。そして、この指示に従い警告情報作成部１８により警告情報が作成されると、この警告情報は制御部１２の制御により入出力部１１からネットワーク接続装置ＮＣを介して発信元の端末ＴＭ１へ送信される。上記警告情報には、履歴情報から抽出された不正アクセスの内容を表す情報と、この情報に対応する警告メッセージとが含められる。したがって、発信者は上記警告情報に含まれる不正アクセスの内容を表す情報と警告メッセージにより、不正アクセスの内容を明確に認識できる。
【００４７】
以上述べたように第１の実施形態では、ネットワーク接続装置ＮＣに接続された不正アクセス警告装置ＡＳにおいて、端末ＴＭ１〜ＴＭｎからサーバ装置ＳＶに対する不正アクセスが到来した場合に、この不正アクセスに関する履歴情報を作成して発信者情報ＤＢ１６に記憶すると共に、当該発信者から送られた通信パケットをサーバ装置ＳＶへ転送せずに不正アクセス警告装置ＡＳに転送させるルート情報を作成してネットワーク接続装置ＮＣに登録する。そして、以後上記不正アクセスの前歴がある端末からアクセス要求が送信された場合に、このアクセス要求を上記ルート情報に従いネットワーク接続装置ＮＣから不正アクセス警告装置ＡＳへ転送し、この不正アクセス警告装置ＡＳで不正アクセスの前歴の有無を再確認したのち当該発信者の端末に対し警告情報を送信するようにしている。
【００４８】
したがって、不正アクセスの前歴がある発信者がアクセス要求を送信した場合には、その発信者に対し警告情報を送信することができ、警告装置としての機能を果たすことができる。一方、不正アクセスの前歴のない発信者から送信されたアクセス要求は、ネットワーク接続装置ＮＣからそのままサーバ装置ＳＶへ送られる。このため、端末からサーバ装置ＳＶに向かうアップリンクにおいて伝送遅延が発生することはなく、スループットの低下は発生しない。
【００４９】
（第２の実施形態）
この発明の第２の実施形態は、サーバ装置に対する不正アクセス要求がネットワーク接続装置を介して転送された場合に、不正アクセス警告装置において上記不正アクセスに関する履歴情報を作成して記憶すると共に、以後サーバ装置から上記不正アクセス要求を行った発信者宛てに送信される返答情報を不正アクセス警告装置へ転送させるためのルート情報を作成してネットワーク接続装置に設定する。そして、以後このルート情報に従いネットワーク接続装置から不正アクセス警告装置へ返答情報が転送された場合に、当該返答情報に替えて警告情報を発信者へ通知するようにしたものである。
【００５０】
図６は、この第２の実施形態に係わる不正アクセス警告装置ＡＳの動作を説明するためのシーケンス図である。なお、不正アクセス警告装置ＡＳ及びネットワーク接続装置ＮＣの機能構成については、その処理内容を除いて前記図２及び図３と同一なので、ここでは図２及び図３を引用して説明を行う。
【００５１】
不正アクセス警告装置ＡＳのルート情報管理部１７は、サーバ装置ＳＶから不正アクセスの前歴がある発信者宛てに送信される返答情報を端末ＴＭ１〜ＴＭｎへ転送せずに不正アクセス警告装置ＡＳへ転送させるためのルート情報を作成する機能を備えている。
【００５２】
不正アクセス警告装置ＡＳの制御部１２は、ルート情報設定制御機能と、警告制御機能とを備えている。ルート情報設定制御機能は、上記ルート情報管理部１７により作成されたルート情報をネットワーク接続装置ＮＣへ送り、このネットワーク接続装置ＮＣのルーティング情報ＤＢ２５に追加登録する。
【００５３】
警告制御機能は、サーバ装置ＳＶから端末ＴＭ１〜ＴＭｎへ宛てた返答情報が上記ルート情報に従いネットワーク接続装置ＮＣから転送された場合に、宛先端末ＴＭ１〜ＴＭｎによる不正アクセスの前歴を再確認した後、上記返答情報に替えて警告情報を宛先の端末ＴＭ１〜ＴＭｎへ向け送信する機能を備える。
【００５４】
このような構成であるから、前記第１の実施形態と同様に不正アクセス警告装置ＡＳでは、端末ＴＭ１〜ＴＭｎからサーバ装置ＳＶへのアクセス要求がネットワーク接続装置ＮＣを介して転送されるごとに、不正アクセス検出部１３において当該アクセス要求が不正アクセスに該当するか否かが判定される。この判定の結果、不正アクセスと判定されると、図４に示したように不正アクセスの内容を表す発信者のアドレス情報を含む履歴情報が作成され、この不正アクセスの履歴情報は発信者情報ＤＢ１６に記憶される。
【００５５】
さらに不正アクセス警告装置ＡＳでは、ルート情報管理部１７において、上記不正アクセスの送信元ＩＰアドレスをもとにルート情報が作成される。このルート情報の内容は、以後サーバ装置ＳＶから不正アクセスを行った発信者宛てに送信される返答情報を端末へ転送せずに不正アクセス警告装置ＡＳへ転送させるように設定される。この作成されたルート情報は、制御部１２の制御により入出力部１１からネットワーク接続装置ＮＣへ送信される。ネットワーク接続装置ＮＣでは、上記不正アクセス警告装置ＡＳから送られたルート情報がルーティング情報ＤＢ２５に追加設定される。
【００５６】
さてこの状態で、上記不正アクセスを行った前歴を持つ発信者の端末ＴＭ１からアクセス要求が送信され、このアクセス要求に応じてサーバ装置ＳＶから返答情報が送信されたとする。そうすると、この返答情報は図６に示すようにネットワーク接続装置ＮＣの入出力部２３を経て転送部２４に入力される。転送部２４は、上記ルーティング情報ＤＢ２５に追加設定されたルート情報に従い、上記入力された返答情報を入出力部２１から不正アクセス警告装置ＡＳへ転送する。すなわち、不正アクセスを行った前歴を持つ発信者宛ての返答情報は、端末ＴＭ１へ転送されず不正アクセス警告装置ＡＳへ転送される。
【００５７】
上記返答情報が転送されると不正アクセス警告装置ＡＳでは、制御部１２により、当該返答情報の送信宛先である発信者が過去に不正アクセスを行った経歴を持つ発信者であるか否かが、確認のため再度判定される。この前歴の有無の判定は、発信者情報ＤＢ１６に記憶されている不正アクセスの履歴情報を検索し、この履歴情報の中から上記到来したアクセス要求の発信者アドレスを含む履歴情報を探すことにより行われる。この前歴の判定の結果、不正アクセスの前歴が見つからなかった場合には、図６に示すように上記返答情報はネットワーク接続装置ＮＣを介して宛先の端末ＴＭ１へ送信される。なお、この場合ネットワーク接続装置ＮＣに登録されている該当ルート情報は抹消される。
【００５８】
一方上記前歴判定の結果、不正アクセスの前歴があることが確認されたとする。そうすると不正アクセス警告装置ＡＳでは、図６に示すように制御部１２から警告情報作成部１８に対し警告情報の作成指示が与えられる。そして、この指示に従い警告情報作成部１８により警告情報が作成されると、この警告情報は制御部１２の制御により返答情報に替わって入出力部１１からネットワーク接続装置ＮＣを介して発信元の端末ＴＭ１へ送信される。上記警告情報には、履歴情報から抽出された不正アクセスの内容を表す情報と、この情報に対応する警告メッセージとが含められる。したがって、発信者は上記警告情報に含まれる不正アクセスの内容を表す情報と警告メッセージにより、不正アクセスの内容を明確に認識できる。
【００５９】
このように第２の実施形態では、端末ＴＭ１〜ＴＭｎからサーバ装置ＳＶに対する不正アクセスがネットワーク接続装置ＮＣから転送された場合に、以後サーバ装置ＳＶからこの不正アクセスを行った前歴のある発信者に対する返答情報をすべて不正アクセス警告装置ＡＳへ転送するようにルート情報を作成し、このルート情報をネットワーク接続装置ＮＣに登録する。そして、以後このルート情報に従いネットワーク接続装置ＮＣから不正アクセス警告装置ＡＳへ返答情報が転送された場合に、宛先となる発信者の不正アクセスの前歴が再確認されたのち、上記返答情報に替えて警告情報を発信者の端末へ通知するようにしている。
【００６０】
したがって、不正アクセスを行った前歴のある発信者がアクセス要求を送信すると、このアクセス要求に応じてサーバ装置ＳＶが返送する返答情報に替えて警告情報が発信者に通知される。したがって、不正アクセスを行った前歴のある発信者に対して警告情報を確実に送信することができ、これにより警告装置としての機能を十分に果たすことができる。
【００６１】
一方、端末ＴＭ１〜ＴＭｎから送信されたすべてのアクセス要求はネットワーク接続装置ＮＣを介してそのままサーバ装置ＳＶへ転送されるので、アップリンク上では伝送遅延は発生しない。また、サーバ装置ＳＶから送信される返答情報のうち、不正アクセスの前歴がない端末宛ての返答情報については、ネットワーク接続装置ＮＣをそのまま通過して端末へ転送される。したがって、サーバ装置ＳＶから端末ＴＭ１〜ＴＭｎに向かうダウンリンクにおいても、伝送遅延が発生することはなく、これによりスループットの低下は発生しない。
【００６２】
（第３の実施形態）
この発明の第３の実施形態は、サーバ装置に対する不正アクセス要求がネットワーク接続装置を介して転送された場合に、不正アクセス警告装置において上記不正アクセスに関する履歴情報を作成して記憶すると共に、不正アクセス要求の発信者を宛先として以後サーバ装置が送信する返答情報を不正アクセス警告装置へ宛てて送信させるためのルート情報を作成し、この作成されたルート情報をサーバ装置に設定する。そして、以後このルート情報に従い、上記サーバ装置から不正アクセス警告装置宛てに返答情報を送信させ、不正アクセス警告装置ではこの返答情報に替えて警告情報を発信者に通知するようにしたものである。
【００６３】
図７及び図８はそれぞれ、第３の実施形態に係わるネットワーク接続装置ＮＣ及びサーバ装置ＳＶの機能構成を示すブロック図である。なお、不正アクセス警告装置ＡＳの機能構成については、その処理内容を除いて前記図２と同一なので、ここでは図２を引用して説明を行う。
【００６４】
ネットワーク接続装置ＮＣは、図７に示すように入出力部３１，３２，３３と、転送部３４とを備えている。入出力部３１は、不正アクセス警告装置ＡＳとの間で通信パケットの送受信処理を行う。入出力部３２は、通信ネットワークＮＷとの間で通信パケットの送受信処理を行う。入出力部３３は、サーバ装置ＳＶとの間で通信パケットの送受信処理を行う。転送部３４は、上記入出力部３１，３２，３３により受信された通信パケットを、その宛先アドレスと予め用意されたルート情報とに従い送信先に対応する入出力部へ転送する。
【００６５】
サーバ装置ＳＶは、図８に示すように入出力部４１と、サーバアプリケーション４２と、ルーティング情報ＤＢ４３とを備えている。入出力部４１は、ネットワーク接続装置ＮＣとの間で通信パケットの送受信処理を行う。サーバアプリケーション４２は、端末ＴＭ１〜ＴＭｎから到来したアクセス要求に応じ、対応する返答情報を作成して上記入出力部４１から要求元の端末ＴＭ１〜ＴＭｎへ向け送信させる。ルーティング情報ＤＢ４３には、後述する不正アクセス警告装置ＡＳから送られるルート情報が格納される。
【００６６】
不正アクセス警告装置ＡＳのルート情報管理部１７は、サーバ装置ＳＶが不正アクセス要求の発信者を宛先として返答情報を送信する場合に、その宛先アドレスを不正アクセス警告装置ＡＳ宛てに変更させるためのルート情報を作成する機能を備えている。
【００６７】
不正アクセス警告装置ＡＳの制御部１２は、ルート情報の設定制御機能と、警告制御機能とを備えている。このうちルート情報の設定制御機能は、上記ルート情報管理部１７により作成されたルート情報を、ネットワーク接続装置ＮＣを介してサーバ装置ＳＶへ送り、このサーバ装置ＳＶのルーティング情報ＤＢ４３に追加登録する。
【００６８】
警告制御機能は、サーバ装置ＳＶから不正アクセス警告装置ＡＳへ宛てた返答情報がネットワーク接続装置ＮＣを介して転送された場合に、宛先となる端末ＴＭ１〜ＴＭｎの不正アクセスの前歴を再確認した後に、上記返答情報に替えて警告情報を宛先の端末ＴＭ１〜ＴＭｎへ向け送信する機能を備える。
【００６９】
次に、以上のように構成された不正アクセス警告装置ＡＳを含むネットワークシステムの動作を、図９及び図１０に示す動作シーケンスを用いて説明する。
いま例えば端末ＴＭ１からサーバ装置ＳＶに対するアクセス要求が送信されたとする。そうすると上記アクセス要求は、図９に示すようにネットワーク接続装置ＮＣの入出力部３２から転送部３４に一旦入力されたのち、入出力部３３からサーバ装置ＳＶへとそのまま転送される。また同時に上記アクセス要求は、転送部３４のミラー機能により入出力部３１から不正アクセス警告装置ＡＳへも転送される。
【００７０】
不正アクセス警告装置ＡＳでは、上記転送されたアクセス要求が入出力部１１を介して不正アクセス検出部１３に入力される。不正アクセス検出部１３では、先ず不正アクセス情報ＤＢ１４に記憶されている既知の不正アクセスパターンをもとに、上記転送されたアクセス要求が不正アクセスに該当するものか否かが判定される。そして、この判定により不正アクセスではないと判定されると、続いてサーバ情報ＤＢ１５に記憶されているサーバ装置ＳＶの運用状態を表す情報をもとに、上記転送されたアクセス要求がサーバ装置ＳＶで提供されているサービスに対応するか否かが判定される。そして、サーバ装置ＳＶが提供しているサービスに対応するものであれば、当該アクセス要求は正当なアクセス要求と判断され、特に処理は行われない。
【００７１】
これに対し、上記不正アクセス検出部１３から不正アクセスである旨が制御部１２に報告されると、制御部１２は上記不正アクセスである旨の報告に従い、不正アクセスの内容を表す情報及び発信者のアドレス情報を含む履歴情報を作成する。そして、この不正アクセスの履歴情報を発信者情報ＤＢ１６に記憶する。
【００７２】
さらに制御部１２は、ルート情報管理部１７に当該不正アクセスの発信者のアドレス情報を通知すると共にルート情報の作成を指示する。ルート情報管理部１７は、上記通知された不正アクセスの送信元ＩＰアドレスをもとにルート情報を作成し、この作成されたルート情報を制御部１２に通知する。上記ルート情報の内容は、サーバ装置ＳＶが不正アクセス要求の発信者を宛先として返答情報を送信する場合に、その宛先アドレスを不正アクセス警告装置ＡＳ宛てに変更させるように設定される。制御部１２は、ルート情報管理部１７から通知されたルート情報を入出力部１１からサーバ装置ＳＶに向け送信する。サーバ装置ＳＶは、上記不正アクセス警告装置ＡＳから送信されたルート情報を、ルーティング情報ＤＢ４３に追加設定する。
【００７３】
さてこの状態で、上記不正アクセスを行った前歴を持つ発信者の端末ＴＭ１からアクセス要求が送信されたとする。そうするとサーバ装置ＳＶは、上記アクセス要求に対応する返答情報をサーバアプリケーション４２により作成する。そして、この返答情報の送信先アドレスを、ルーティング情報ＤＢ４３に設定されているルート情報に従い、端末ＴＭ１のアドレスから不正アクセス警告装置ＡＳのアドレスに変更したのち、入出力部４１から送信する。
【００７４】
サーバ装置ＳＶから上記返答情報が送信されると、この返答情報は図１０に示すようにネットワーク接続装置ＮＣの入出力部３３を経て転送部３４に入力される。転送部３４は、上記返答情報の宛先アドレスが不正アクセス警告装置ＡＳのアドレスとなっているため、上記返答情報を入出力部３１から不正アクセス警告装置ＡＳへ転送する。すなわち、不正アクセスを行った前歴を持つ端末ＴＭ１へ送られるべき返答情報は、端末ＴＭ１へは転送されず不正アクセス警告装置ＡＳへ転送される。
【００７５】
上記返答情報が転送されると不正アクセス警告装置ＡＳでは、制御部１２により、当該返答情報の送信宛先である発信者が過去に不正アクセスを行った経歴を持つ発信者であるか否かが、確認のため再度判定される。この前歴の有無の判定は、発信者情報ＤＢ１６に記憶されている不正アクセスの履歴情報を検索し、この履歴情報の中から上記到来したアクセス要求の発信者アドレスを含む履歴情報を探すことにより行われる。この前歴の判定の結果、不正アクセスの前歴が見つからなかった場合には、図１０に示すように上記返答情報はネットワーク接続装置ＮＣを介して宛先の端末ＴＭ１へ送信される。なお、この場合サーバ装置ＳＶのルーティング情報ＤＢ４３に登録されている該当ルート情報は抹消される。
【００７６】
一方上記前歴判定の結果、不正アクセスの前歴があることが確認されたとする。そうすると不正アクセス警告装置ＡＳでは、図１０に示すように制御部１２から警告情報作成部１８に対し警告情報の作成指示が与えられる。そして、この指示に従い警告情報作成部１８により警告情報が作成されると、この警告情報は制御部１２の制御により返答情報に替わって入出力部１１からネットワーク接続装置ＮＣを介して発信元の端末ＴＭ１へ送信される。上記警告情報には、履歴情報から抽出された不正アクセスの内容を表す情報と、この情報に対応する警告メッセージとが含められる。したがって端末ＴＭ１の発信者は、上記警告情報に含まれる不正アクセスの内容を表す情報と警告メッセージにより、不正アクセスの内容を明確に認識できる。
【００７７】
以上述べたように第３の実施形態では、サーバ装置ＳＶに対する不正アクセス要求がネットワーク接続装置ＮＣを介して転送された場合に、不正アクセス警告装置ＡＳにおいて、不正アクセス要求の発信者を宛先として以後サーバ装置ＳＶが送信する返答情報を不正アクセス警告装置ＡＳへ宛てて送信させるためのルート情報を作成し、この作成されたルート情報をサーバ装置ＳＶに設定する。そして、以後このルート情報に従い上記サーバ装置ＳＶが送信する返答情報をネットワーク接続装置ＮＣを介して不正アクセス警告装置ＡＳに転送し、不正アクセス警告装置ＡＳから上記返答情報に替えて警告情報を発信者の端末に送信するようにしている。
【００７８】
したがって、不正アクセスを行った前歴のある発信者がアクセス要求を送信すると、このアクセス要求に応じてサーバ装置ＳＶが返送する返答情報に替えて警告情報が発信者に通知される。したがって、不正アクセスを行った前歴のある発信者に対して警告情報を確実に送信することができ、これにより警告装置としての機能を十分に果たすことができる。
【００７９】
一方、端末ＴＭ１〜ＴＭｎから送信されたすべてのアクセス要求はネットワーク接続装置ＮＣを介してそのままサーバ装置ＳＶへ転送されるので、アップリンク上では伝送遅延は発生しない。またサーバ装置ＳＶでは、不正アクセスの前歴がある端末宛の返答情報についてのみアドレス情報が不正アクセス警告装置ＡＳに変更され、不正アクセスの前歴がない端末宛ての返答情報については宛先アドレスが変更されずにそのまま送信される。このため、不正アクセスの前歴がない端末宛ての返答情報については、ネットワーク接続装置ＮＣをそのまま通過して端末ＴＭ１へ転送されることになる。したがって、サーバ装置ＳＶから端末ＴＭ１〜ＴＭｎに向かうダウンリンクにおいても、伝送遅延が発生することはなく、これによりスループットの低下は発生しない。
【００８０】
（第４の実施形態）
この発明の第４の実施形態は、不正アクセス警告装置を不正アクセス警告装置本体と不正アクセス警告装置検知部とに分けて構成する。そして、端末からサーバ装置に対するアクセス要求が送信された場合に、不正アクセス警告装置検知部において上記不正アクセスに関する履歴情報を作成して記憶する。一方、不正アクセス警告装置本体は、上記不正アクセス警告装置検知部との間で通信を行って上記履歴情報を取得し、この履歴情報に含まれる発信者のアドレス情報をもとに、不正アクセス要求の発信者を宛先として以後サーバ装置が送信する返答情報を不正アクセス警告装置本体へ宛てに変更して送信させるためのルート情報を作成し、この作成されたルート情報をサーバ装置に設定する。そして、以後このルート情報に従い、上記サーバ装置から不正アクセス警告装置宛てに返答情報を送信させ、不正アクセス警告装置ではこの返答情報に替えて警告情報を発信者に通知するようにしたものである。
【００８１】
図１１は、この発明の第４の実施形態に係わる不正アクセス警告装置を備えたネットワークシステムの概略構成図である。本実施形態では、不正アクセス警告装置を、不正アクセス警告装置本体ＡＳ１と、不正アクセス警告装置検知部ＡＳ２とに分けて構成しており、これらの不正アクセス警告装置本体ＡＳ１及び不正アクセス警告装置検知部ＡＳ２をネットワーク接続装置ＮＣにそれぞれ通信回線を介して接続している。また、不正アクセス警告装置本体ＡＳ１と不正アクセス警告装置検知部ＡＳ２との間は通信回線を介して相互に接続される。
【００８２】
図１２は、上記不正アクセス警告装置本体ＡＳ１及び不正アクセス警告装置検知部ＡＳ２の機能構成を示すブロック図である。
先ず不正アクセス警告装置本体ＡＳ１は、入出力部５１，５２と、制御部５３と、発信者情報ＤＢ５４と、ルート情報管理部５５と、警告情報作成部５６とを備えている。
【００８３】
入出力部５１は、ネットワーク接続装置ＮＣとの間で通信パケットの送受信処理を行う。入出力部５２は、不正アクセス警告装置検知部ＡＳ２との間で通信パケットの送受信処理を行う。発信者情報ＤＢ５４には、端末ＴＭ１〜ＴＭｎからサーバ装置ＳＶに対して行われた不正アクセスに関する履歴情報が記憶される。
【００８４】
制御部５３は、入出力部５２を介して定期的に不正アクセス警告装置検知部ＡＳ２と通信を行い、新たに検知された不正アクセスの履歴情報を取得する。そして、この取得された履歴情報に含まれる不正アクセスの内容及び発信者のアドレス情報を発信者情報ＤＢ５４に記憶させる。また、上記発信者のアドレス情報をルート情報作成指示と共にルート情報管理部５５に通知して、ルート情報を作成させる。そして、ルート情報管理部５５により作成されたルート情報を、入出力部５１からサーバ装置ＳＶへ送信する。
【００８５】
また制御部５３は、サーバ装置ＳＶから送信された端末宛の返答情報がネットワーク接続装置ＮＣを介して転送入力された場合に、当該返答情報の宛先となる発信者について不正アクセスの前歴があることを確認する。この判定の結果、発信者が不正アクセスの前歴を持つ場合には、警告情報作成部５６により作成された警告情報を上記返答情報に替えて該当する発信者の端末へ送信する。
【００８６】
ルート情報管理部５５は、上記制御部５３から送られた発信者のアドレス情報をもとに、当該発信者に対する返答情報をすべて不正アクセス警告装置本体ＡＳ１へ向け送信させるようにルート情報を作成して、上記制御部５３に通知する。
【００８７】
次に、不正アクセス警告装置検知部ＡＳ２は、入出力部６１，６２と、不正アクセス検出部６３と、不正アクセス情報ＤＢ６４と、サーバ情報ＤＢ６５と、発信者情報ＤＢ６６とを備えている。
【００８８】
入出力部６１は、ネットワーク接続装置ＮＣから転送された通信パケットの受信処理を行う。入出力部６２は、不正アクセス警告装置本体ＡＳ１との間で通信パケットの送受信処理を行う。不正アクセス情報ＤＢ６４には、既知の複数種類の不正アクセスパターンが記憶されている。サーバ情報ＤＢ６５には、保護しようとするサーバ装置ＳＶが提供しているサービス種別等、サーバ装置ＳＶに現在設定されている運用状態を表す情報が記憶されている。
【００８９】
不正アクセス検出部６３は、端末ＴＭ１〜ＴＭｎから到来したアクセス要求が不正アクセスであるか否かを、上記不正アクセス情報ＤＢ６４或いはサーバ情報ＤＢ６５をもとに判定する。そして、上記不正アクセス検出部６３にて不正アクセスであると判定された場合に、当該不正アクセスの内容と発信者のアドレス情報を含む履歴情報を作成し、この履歴情報を発信者情報ＤＢ６６に記憶させる。また、不正アクセス警告装置本体ＡＳ１から不正アクセス履歴の照会があった場合には、発信者情報ＤＢ６６に保存されている情報を取り出し、入出力部６２を介して不正アクセス警告装置本体ＡＳ１に送信する。
なお、ネットワーク接続装置ＮＣ及びサーバ装置ＳＶの機能構成はそれぞれ第３の実施形態で述べた図７及び図８と同一なので、ここでの説明は省略する。
【００９０】
次に、以上のように構成された不正アクセス警告装置ＡＳを含むシステムの動作を、図１３乃至図１５に示す動作シーケンス図を使用して説明する。
いま例えば端末ＴＭ１からサーバ装置ＳＶに対するアクセス要求が送信されたとする。そうすると上記アクセス要求は、図１３に示すようにネットワーク接続装置ＮＣの入出力部３２から転送部３４に一旦入力されたのち、入出力部３３からサーバ装置ＳＶへとそのまま転送される。また同時に上記アクセス要求は、転送部３４のミラー機能により入出力部３１から不正アクセス警告装置検知部ＡＳ２へも転送される。
【００９１】
不正アクセス警告装置検知部ＡＳ２では、上記転送されたアクセス要求が入出力部６１を介して不正アクセス検出部６３に入力される。不正アクセス検出部６３では、先ず不正アクセス情報ＤＢ６４に記憶されている既知の不正アクセスパターンをもとに、上記転送されたアクセス要求が不正アクセスに該当するものか否かが判定される。そして、この判定により不正アクセスではないと判定されると、続いてサーバ情報ＤＢ６５に記憶されているサーバ装置ＳＶの運用状態を表す情報をもとに、上記転送されたアクセス要求がサーバ装置ＳＶで提供されているサービスに対応するか否かが判定される。そして、サーバ装置ＳＶが提供しているサービスに対応するものであれば、当該アクセス要求は正当なアクセス要求と判断され、特に処理は行われない。
【００９２】
これに対し、上記アクセス要求が不正アクセスであると判定されると、不正アクセス検出部６３は不正アクセスの内容を表す情報及び発信者のアドレス情報を含む履歴情報を作成する。そして、この不正アクセスの履歴情報を発信者情報ＤＢ６６に記憶する。
【００９３】
一方、図１４に示すように不正アクセス警告装置本体ＡＳ１は、制御部５３の制御の下、入出力部５２から不正アクセス警告装置検知部ＡＳ２に対し、新しく追加された不正アクセスの履歴情報の問い合わせを定期的に行っている。不正アクセス警告装置検知部ＡＳ２は、入出力部６２で上記問い合わせを受信すると、不正アクセス検出部６３が発信者情報ＤＢ６６に登録されている不正アクセスの履歴情報の中から、新しく追加された不正アクセスの履歴情報を読み出し、この読み出された履歴情報を入出力部６２から不正アクセス警告装置本体ＡＳ１へ送信する。
【００９４】
不正アクセス警告装置本体ＡＳ１は、図１４に示すように、上記不正アクセス警告装置検知部ＡＳ２から送信された不正アクセスの履歴情報を入出力部５２で受信すると、この受信された不正アクセスの履歴情報を制御部５３により発信者情報ＤＢ５４に記憶する。そして制御部５３は、ルート情報管理部５５に対し、上記記憶された履歴情報に含まれる不正アクセス発信者のＩＰアドレスを通知すると共にルート情報の作成を指示する。
【００９５】
ルート情報管理部５５は、上記通知された不正アクセスの送信元ＩＰアドレスをもとにルート情報を作成し、この作成されたルート情報を制御部５３に通知する。上記ルート情報の内容は、サーバ装置ＳＶが不正アクセス要求の発信者を宛先として返答情報を送信する場合に、その宛先アドレスを不正アクセス警告装置本体ＡＳ１宛てに変更させるように設定される。制御部５３は、ルート情報管理部５５により作成されたルート情報を、図１４に示すように入出力部５１からサーバ装置ＳＶへ送信する。サーバ装置ＳＶは、上記不正アクセス警告装置本体ＡＳ１から送信されたルート情報を、入出力部４１で受信してルーティング情報ＤＢ４３に追加設定する。
【００９６】
さてこの状態で、上記不正アクセスを行った前歴を持つ発信者の端末ＴＭ１からアクセス要求が送信されたとする。そうするとサーバ装置ＳＶは、上記アクセス要求に対応する返答情報をサーバアプリケーション４２により作成する。そして、この返答情報の宛先アドレスを、ルーティング情報ＤＢ４３に設定されているルート情報に従い、端末ＴＭ１のアドレスから不正アクセス警告装置ＡＳのアドレスに変更したのち、入出力部４１から送信する。
【００９７】
サーバ装置ＳＶから上記返答情報が送信されると、この返答情報は図１５に示すようにネットワーク接続装置ＮＣの入出力部３３を経て転送部３４に入力される。転送部３４は、上記返答情報の宛先アドレスが不正アクセス警告装置本体ＡＳ１のアドレスとなっているため、上記返答情報を入出力部３１から不正アクセス警告装置本体ＡＳ１へ転送する。すなわち、不正アクセスを行った前歴を持つ端末ＴＭ１へ送られるべき返答情報は、端末ＴＭ１へは転送されず不正アクセス警告装置本体ＡＳ１へ転送される。
【００９８】
上記返答情報が転送されると不正アクセス警告装置本体ＡＳ１では、制御部５３により、当該返答情報の送信宛先である発信者が過去に不正アクセスを行った経歴を持つ発信者であるか否かが、確認のため判定される。この前歴の有無の判定は、発信者情報ＤＢ５４に記憶されている不正アクセスの履歴情報を検索し、この履歴情報の中から上記到来したアクセス要求の発信者アドレスを含む履歴情報を探すことにより行われる。この前歴の確認判定の結果、不正アクセスの前歴が見つからなかった場合には、図１５に示すように上記返答情報はネットワーク接続装置ＮＣを介して宛先の端末ＴＭ１へ送信される。なお、この場合サーバ装置ＳＶのルーティング情報ＤＢ４３に登録されている該当ルート情報は抹消される。
【００９９】
一方、上記前歴判定の結果、不正アクセスの前歴があることが確認されたとする。そうすると不正アクセス警告装置本体ＡＳ１では、図１５に示すように制御部５３から警告情報作成部５６に対し警告情報の作成指示が与えられる。そして、この指示に従い警告情報作成部５６により警告情報が作成されると、この警告情報は制御部５３の制御により返答情報に替わって入出力部５１からネットワーク接続装置ＮＣを介して発信元の端末ＴＭ１へ送信される。上記警告情報には、履歴情報から抽出された不正アクセスの内容を表す情報と、この情報に対応する警告メッセージとが含められる。したがって端末ＴＭ１の発信者は、上記警告情報に含まれる不正アクセスの内容を表す情報と警告メッセージにより、不正アクセスの内容を明確に認識できる。
【０１００】
以上のように第４の実施形態では、不正アクセス警告装置本体ＡＳ１において、不正アクセス警告装置検知部ＡＳ２により検出された、不正アクセスの前歴がある発信者のＩＰアドレスをもとに、不正アクセス要求の発信者を宛先として以後サーバ装置ＳＶが送信する返答情報を不正アクセス警告装置本体ＡＳ１へ宛てに変更して送信させるためのルート情報を作成し、この作成されたルート情報をサーバ装置ＳＶへ送信して登録する。そして、以後このルート情報に従い、上記サーバ装置ＳＶが不正アクセスの前歴のある発信者宛の返答情報を不正アクセス警告装置本体ＡＳ１宛てに変更して送信し、不正アクセス警告装置本体ＡＳ１はこの返答情報に替えて警告情報を発信者に通知するようにしている。
【０１０１】
したがって、不正アクセスを行った前歴のある発信者がアクセス要求を送信すると、前記第３の実施形態と同様に、このアクセス要求に応じてサーバ装置ＳＶが返送する返答情報に替えて警告情報が発信者に通知される。したがって、不正アクセスを行った前歴のある発信者に対して警告情報を確実に送信することができ、これにより警告装置としての機能を十分に果たすことができる。
【０１０２】
一方、端末ＴＭ１〜ＴＭｎから送信されたすべてのアクセス要求はネットワーク接続装置ＮＣを介してそのままサーバ装置ＳＶへ転送されるので、アップリンク上では伝送遅延は発生しない。またサーバ装置ＳＶでは、不正アクセスの前歴がある端末宛の返答情報についてのみアドレス情報が不正アクセス警告装置本体ＡＳ１に変更され、不正アクセスの前歴がない端末宛ての返答情報については宛先アドレスが変更されずにそのまま送信される。このため、不正アクセスの前歴がない端末宛ての返答情報については、ネットワーク接続装置ＮＣをそのまま通過して端末ＴＭ１へ転送されることになる。したがって、サーバ装置ＳＶから端末ＴＭ１〜ＴＭｎに向かうダウンリンクにおいても、伝送遅延が発生することはなく、これによりスループットの低下は発生しない。
【０１０３】
さらに第４の実施形態では、不正アクセス警告装置ＡＳを不正アクセス警告装置本体ＡＳ１と不正アクセス警告装置検知部ＡＳ２とに分けて構成している。このため、不正アクセス警告装置検知部或いは不正アクセス警告装置本体のいずれか一方が既に備えられている場合には、不足する構成又は機能のみを追加するだけで既存の構成をそのまま使用してこの発明を実施することが可能となり、これにより設備費のコストダウンを図ることができる。
【０１０４】
（その他の実施形態）
前記第１及び第２の実施形態においても、前記第４の実施形態と同様に不正アクセス警告装置ＡＳを不正アクセス警告装置本体ＡＳ１と不正アクセス警告装置検知部ＡＳ２とに分けて構成してもよい。
【０１０５】
また、警告情報を作成する際には、該当する発信者の最新の不正アクセスの内容を表す情報だけでなく、上記発信者ごとに整理された履歴情報をもとに、該当する発信者に係わる過去のすべての不正アクセスの内容を表す情報を警告情報に含めて発信者に通知するようにしてもよい。さらに、不正アクセスの件数や不正アクセスの悪質度に応じて、異なる警告メッセージを警告情報に含めて通知するようにするとよい。
【０１０６】
また、アクセス要求の発信者が過去に不正を行った前歴があると判定された場合に、不正アクセスの履歴情報をもとに不正アクセスの悪質度（不正アクセスの回数や頻度を含む）を判定する。そして、この判定された悪質度に応じて、警告情報の通知処理の内容を異ならせるようにしてもよい。
【０１０７】
例えば、悪質度が所定の基準以下の場合には、発信者から到来したアクセス要求をそのままサーバ装置ＳＶに転送し、このアクセス要求に対するサーバ装置ＳＶからの返答情報に、警告情報を添付或いは挿入して発信者に通知する。一方、悪質度が所定の基準を超えている場合には、発信者から到来したアクセス要求がたとえ正当であっても、この正当なアクセス要求をサーバ装置ＳＶには送らずに破棄して、その応答情報に替えて警告情報を発信者に通知するようにする。
【０１０８】
このように構成すると、例えば不正アクセスの内容が誤操作によるものと判断される発信者に対しては、サーバ装置ＳＶからの返答情報を利用して、誤操作を指摘する比較的軽い注意を発信者に通知することができる。一方、不正アクセス回数又は頻度が多かったり故意の不正アクセスと判断される発信者に対しては、サーバ装置ＳＶに対するアクセスを遮断しかつ警告メッセージの内容を強いものとすることで、発信者に対しより強い警告を与えることが可能となる。
【０１０９】
さらに、発信者に対し一度警告情報を通知した後は、当該発信者に対する警告情報の通知を一旦停止し、当該発信者が再度不正アクセスを行った場合に警告情報の通知を再開するように構成してもよい。
【０１１０】
さらに、前記第２及び第３の実施形態ではサーバ装置ＳＶから端末宛てに送信された返答情報に替えて警告情報を発信者の端末へ送信するようにしたが、サーバ装置ＳＶから送信された返答情報に警告情報を付加或いは挿入して該当する発信者の端末へ送信するようにしてもよい。このように構成すれば、サーバ装置ＳＶからの返答情報に付加又は含めたかたちで警告情報が発信者に通知されるので、発信者の不慣れや誤操作が原因となって結果的に不正アクセスが行われた場合に、当該発信者に対し返答情報を利用するかたちで注意を喚起することができる。
【０１１１】
また、前記第１乃至第４の各実施形態で述べた不正アクセス警告装置は、その処理の一部又はすべてをソフトウエア、つまりプログラムをコンピュータに実行させることにより実現してもよい。
【０１１２】
その他、サーバ装置の設置場所やその機能と構成、端末の種類やその機能と構成、不正アクセス警告装置の構成及びその機能、不正アクセスに対する警告処理の手順とその内容等についても、この発明の要旨を逸脱しない範囲で種々変形して実施できる。
【０１１３】
要するに、この発明は上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記各実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、各実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組み合せてもよい。
【０１１４】
【発明の効果】
以上詳述したようにこの発明では、不正アクセスを行った発信者のアドレス情報をもとに、当該発信者から発信された通信情報又は当該発信者宛の通信情報を不正アクセス警告装置へ転送させるためのルート情報を作成してネットワーク接続装置又はサーバ装置に設定し、このルート情報に従い、不正アクセスを行った発信者が送信した通信情報又は当該発信者宛の通信情報を不正アクセス警告装置へ転送して、不正アクセスに対する警告処理を行うようにしている。
【０１１５】
したがってこの発明によれば、サーバ装置に対するアクセスが増加しても、不正アクセス警告装置の負荷増大による遅延を発生させることなく、また通常のサービスを妨げることなく、不正アクセスを送信した発信者に対して確実に警告を通知することが可能な不正アクセス警告装置とそのプログラムを提供することができる。
【図面の簡単な説明】
【図１】この発明の第１の実施形態に係わる不正アクセス警告装置を備えたネットワークシステムの概略構成図。
【図２】図１に示した不正アクセス警告装置の構成を示すブロック図。
【図３】図１に示したネットワークシステムのネットワーク接続装置の構成を示すブロック図。
【図４】図２に示した不正アクセス警告装置を備えたネットワークシステムの動作を示すシーケンス図。
【図５】図２に示した不正アクセス警告装置を備えたネットワークシステムの動作を示すシーケンス図。
【図６】この発明の第２の実施形態に係わる不正アクセス警告装置を備えたネットワークシステムの動作を示すシーケンス図。
【図７】この発明の第３の実施形態に係わるネットワーク接続装置の構成を示すブロック図。
【図８】この発明の第３の実施形態に係わるサーバ装置の構成を示すブロック図。
【図９】この発明の第３の実施形態に係わる不正アクセス警告装置を備えたネットワークシステムの動作を示すシーケンス図。
【図１０】この発明の第３の実施形態に係わる不正アクセス警告装置を備えたネットワークシステムの動作を示すシーケンス図。
【図１１】この発明の第４の実施形態に係わる不正アクセス警告装置を備えたネットワークシステムの概略構成図。
【図１２】図１１に示した不正アクセス警告装置の構成を示すブロック図。
【図１３】図１２に示した不正アクセス警告装置を備えたネットワークシステムの動作を示すシーケンス図。
【図１４】図１２に示した不正アクセス警告装置を備えたネットワークシステムの動作を示すシーケンス図。
【図１５】図１２に示した不正アクセス警告装置を備えたネットワークシステムの動作を示すシーケンス図。
【符号の説明】
ＮＷ…通信ネットワーク、ＴＭ１〜ＴＭｎ…端末、ＳＶ…サーバ装置、ＡＳ…不正アクセス警告装置、ＡＳ１…不正アクセス警告装置本体、ＡＳ２…不正アクセス警告装置検知部、１１，２１，２２，２３，３１，３２，３３，４１，５１，５２，６１，６２…入出力部、１２，５３…制御部、１３，６３…不正アクセス検出部、１４，６４…不正アクセス情報データベース、１５，６５…サーバ情報データベース、１６，５４，６６…発信者情報データベース、１７，５５…ルート情報管理部、１８，５６…警告情報作成部、２４，３４…転送部、２５，４３…ルーティング情報データベース、４２…サーバアプリケーション。[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to an unauthorized access warning device used in a network system including a server device and a terminal, and an unauthorized access warning program used in the device.
[0002]
[Prior art]
Unauthorized access from terminals to server devices via subscriber networks or computer networks such as the Internet has increased due to the increase in network transmission speed and terminal processing speed, and the outflow of automatic hacking tools. It is going on all the time. In particular, unauthorized access using an automatic hacking tool can be relatively easily performed even by a person with little knowledge of network technology and servers, and is expected to increase in the future.
[0003]
On the other hand, in order to combat such unauthorized access to the server device, for example, in the technical field of the Internet, an unauthorized access warning device that prevents unauthorized access to a WWW (World Wide Web) server is used. This unauthorized access warning device monitors, for example, an access request to a sample file of a WWW server and an unauthorized access request to a URL (Uniform Resource Locator) aimed at buffer overflow. Then, when an unauthorized access is detected, a function of sending back a warning message to the source terminal as a response to the access request is provided (for example, see Patent Document 1).
By providing such an unauthorized access warning device, for example, it is possible to display a warning message to a terminal of a caller who has made an unauthorized access to a WWW server using a browser, thereby suppressing subsequent unauthorized access. Can be.
[0004]
[Patent Document 1]
JP-A-2000-76191.
[0005]
[Problems to be solved by the invention]
However, this kind of conventional unauthorized access warning device has the following problems to be solved. That is, when an unauthorized access from a caller is performed using a protocol that requires a reply, such as HTTP (Hyper Text Transfer Protocol), a warning message is sent to the caller using a reply packet. It is possible.
[0006]
However, for unauthorized access using a protocol that does not require a response, even if the unauthorized access can be detected, a warning message cannot be notified to the sender. In general, intentional unauthorized access is often a one-way access that does not require a response, so that the above-described conventional unauthorized access warning device cannot expect a sufficient deterrent effect. Further, when unauthorized access is performed without using a browser, even if a warning message is transmitted, the warning message is not displayed on the terminal of the caller. Therefore, also in this case, the deterrent effect by the warning cannot be expected.
[0007]
Therefore, the present inventors have proposed the following countermeasures. That is, an unauthorized access warning device is provided between the terminal and the server device, and when an unauthorized access request to the server device comes from the terminal, history information on the unauthorized access is stored. Thereafter, each time an access request comes from a terminal, it is determined whether or not the sender is a sender having a history of unauthorized access in the past based on the history information, and If the caller has a history of unauthorized access in the past, the caller is notified of warning information.
With such a warning device, even if an unauthorized access is performed using a protocol that does not require a response or an access means that does not use a browser, when the same caller subsequently makes a legitimate access, the corresponding call is transmitted. Warning information to the user.
[0008]
However, in the conventionally proposed warning device, for all access requests from the terminal, a process of determining whether or not the sender of the access request has a history of unauthorized access in the past based on history information is performed. There is a need to do. When a caller with a history of unauthorized access is found, a process of creating a warning message and transmitting the message to the caller is performed. For this reason, when the number of accesses to the server device is small, the problem is not so large. However, when the number of accesses is large, the distribution of the access request may be delayed due to the determination processing and the creation / transmission processing of the warning message. . When the delay occurs, a decrease in throughput is caused, which leads to a decrease in service.
[0009]
SUMMARY OF THE INVENTION The present invention has been made in view of the above circumstances. It is intended that even if access to a server device increases, a delay due to an increase in the load on an unauthorized access warning device does not occur and a normal service is provided. It is an object of the present invention to provide an unauthorized access warning device capable of surely notifying a sender who has transmitted an unauthorized access of a warning without preventing the unauthorized access and a program therefor.
[0010]
[Means for Solving the Problems]
In order to achieve the above object, the present invention takes the following measures.
According to a first aspect of the present invention, an unauthorized access warning device is connected to a network connection device disposed between a terminal and a server device. In the unauthorized access warning device, an unauthorized access request from the terminal to the server device is transmitted to the network connection device. When transferred via the device, based on the source address information of the unauthorized access request, the communication information transmitted thereafter from the sender of the unauthorized access request is transferred to its own unauthorized access warning device. Route information is created, and the created route information is set in the network connection device. Then, when the communication information is transferred from the network connection device in accordance with the route information, warning information is notified to a sender of the communication information.
[0011]
Therefore, according to the first invention, an unauthorized access request transmitted from a terminal or communication information transmitted from a terminal having a history of unauthorized access in the past is transferred from the network connection device to the unauthorized access warning device without fail. Then, a warning process for unauthorized access is performed. For this reason, even if unauthorized access is made using a protocol that does not require a response or access means that does not use a browser, for example, when the same sender makes a legitimate access, warning information is sent to the sender. Can be notified. That is, a sufficient warning function against unauthorized access can be exerted.
[0012]
According to the first aspect, the normal access request and the communication information transmitted from the terminal are transmitted from the network connection device to the server device without passing through the unauthorized access warning device. Therefore, an access request or communication information to the server device is transmitted to the server device without causing a transmission delay, thereby preventing a decrease in throughput in the uplink and maintaining high serviceability. Become.
[0013]
Next, in the second invention, in the unauthorized access warning device, based on the source address information of the unauthorized access request, the communication information transmitted from the server device to the sender of the unauthorized access request as the destination is used by the unauthorized access warning device. Route information for transfer to the access warning device is created, and the created route information is set in the network connection device. Then, when the communication information addressed to the terminal is transferred from the network connection device in accordance with the route information, the warning information is notified to the caller who is the destination of the communication information.
[0014]
Therefore, according to the second invention, the communication information transmitted from the server device to the terminal having a history of unauthorized access is transferred from the network connection device to the unauthorized access warning device without fail, and the warning process for the unauthorized access is performed. Done. For this reason, it is possible to reliably notify the caller who has performed the unauthorized access of the warning information by using the communication information sent from the server device to the caller.
[0015]
According to the second invention, the communication information transmitted from the server device to the caller who has no background of unauthorized access is transmitted from the network connection device to the terminal without passing through the unauthorized access warning device. . For this reason, the communication information is transmitted to the terminal without causing a transmission delay, thereby preventing a decrease in downlink throughput and maintaining high serviceability.
[0016]
Further, in the third invention, in the unauthorized access warning device, based on the source address information of the unauthorized access request, communication information transmitted from the server device to the sender of the unauthorized access request is transmitted to the unauthorized access warning device. Route information for transmission to the destination is created, and the created route information is set in the server device. Then, when the communication information transmitted by the server device according to the route information is transferred from the network connection device, warning information is notified to a caller serving as a destination of the communication information.
[0017]
Therefore, according to the third aspect, communication information addressed to a terminal having a history of unauthorized access is transmitted after the destination is changed to the unauthorized access warning device in the server device. For this reason, communication information addressed to a terminal having a history of unauthorized access is transferred to the unauthorized access warning device without exception, and a warning process for unauthorized access is performed. For this reason, it is possible to reliably notify the caller who has performed the unauthorized access of the warning information by using the communication information sent from the server device to the caller.
[0018]
Further, according to the third aspect, communication information addressed to a terminal having no history of unauthorized access is transmitted from the server without change in destination. For this reason, the communication information does not pass through the unauthorized access warning device, and as a result, is transmitted to the terminal without a transmission delay, thereby preventing a decrease in downlink throughput and maintaining high serviceability. Dripping.
[0019]
In the second and third inventions, the communication information addressed to the terminal transferred to the unauthorized access warning device may have a delay due to recalculation of the frame size or the like. However, since this communication information is reply information to a caller who has originally made an unauthorized access to the server device, it does not lead to a decrease in service for other callers who have made a normal access.
[0020]
The first to third inventions may have the following various specific configurations.
In the first configuration, when an unauthorized access request to a server device is transferred from a terminal to a network connection device, history information relating to the unauthorized access is created and stored. Then, when the communication information is transferred, it is determined based on the history information whether or not the sender or destination of the communication information is a sender having a history of unauthorized access in the past. If it is determined that the sender has a history of unauthorized access, the sender of the communication information is notified of warning information. With this configuration, it is possible to more accurately determine the presence or absence of a history of unauthorized access based on the history information.
[0021]
In the second configuration, warning information is transmitted to the corresponding caller's terminal instead of the communication information transmitted from the server device. According to this configuration, since the warning information is notified instead of the communication information returned from the server device, a strong warning can be given to, for example, a caller who has intentionally made unauthorized access. In addition, a warning can be given to forgery or error of the address.
[0022]
In the third configuration, warning information is added to or inserted into the communication information transmitted from the server device, and the communication information is transmitted to the corresponding sender terminal. According to this configuration, the alert information is notified to the sender in a form added to or included in the response information from the server device, and as a result, unauthorized access was performed due to inexperienced or erroneous operation of the sender. In this case, the caller can be alerted using the response information.
[0023]
In a fourth configuration, history information is created and stored when an unauthorized access is detected. Then, when communication information addressed to a sender having a history of unauthorized access in the past is transferred, the malicious degree of the unauthorized access performed by the sender in the past is determined based on the history information, and A plurality of warning notification processes prepared in advance are selectively executed based on the result of the determination of the degree of maliciousness.
[0024]
With such a configuration, an appropriate warning process is automatically selected and executed according to the degree of maliciousness of unauthorized access. For example, for unauthorized access that is deemed to be intentional, a process for giving a strong warning to the sender is selected and executed, while for unauthorized access that is found to be caused by inexperienced or erroneous operation, the sender is notified of the operation. A process for giving a loose warning such as calling attention is selected and executed.
[0025]
In the fifth configuration, based on the unauthorized access history information created and stored at the time of detecting the unauthorized access, warning information including information indicating the content of the unauthorized access and a warning message corresponding to the content of the unauthorized access is generated. The generated warning information is transmitted to the terminal of the corresponding sender. With this configuration, it is possible to clearly notify the contents of the unauthorized access to the caller and call attention.
[0026]
In the sixth configuration, the unauthorized access warning device is configured by being divided into an unauthorized access detection unit and an unauthorized access warning unit. With such a configuration, for example, when one of the unauthorized access detection unit and the unauthorized access warning unit is already provided, the existing configuration can be used as it is by simply adding only the missing configuration or function. This makes it possible to implement the present invention, thereby making it possible to reduce equipment costs.
[0027]
BEST MODE FOR CARRYING OUT THE INVENTION
(1st Embodiment)
In the first embodiment of the present invention, an unauthorized access warning device is connected to a network connection device. Then, when an unauthorized access request to the server device is transmitted from the terminal, the unauthorized access warning device creates and stores history information on the unauthorized access, and thereafter, an access request transmitted from the terminal that has performed the unauthorized access. Is created and set in the network connection device so as to transfer the data to the unauthorized access warning device without transferring the data to the server device. Then, when an access request is transferred from the network connection device in accordance with the route information, the unauthorized access warning device notifies the caller of warning information.
[0028]
FIG. 1 is a schematic configuration diagram of a network system including an unauthorized access warning device according to the first embodiment of the present invention.
In the figure, NW is a communication network, for example, a wired subscriber network such as a Public Switched Telephone Network (PSTN) or an Integrated Service Digital Network (ISDN), a mobile communication network, a dedicated line network, and a CATVelevable (Cable TV). It includes a network and a computer network represented by the Internet.
[0029]
A large number of terminals TM1 to TMn are connected to this communication network NW, and a server SV is connected via a network connection device NC. Each of the terminals TM1 to TMn includes a fixed telephone, a personal computer, a mobile communication terminal, and a television terminal, and has an access function to the server SV. The server device SV is composed of, for example, a WWW server, and has a function of downloading web data in response to an access request from the terminals TM11 to TMn.
[0030]
Incidentally, an unauthorized access warning device AS is connected to the network connection device NC. The unauthorized access warning device AS has a function of monitoring unauthorized access to the server device SV from the terminals TM1 to TMn and notifying a caller who has performed the unauthorized access of a warning, and is configured as follows, for example. . FIG. 2 is a block diagram showing the functional configuration.
[0031]
That is, the unauthorized access warning device AS includes an input / output unit 11, a control unit 12, an unauthorized access detection unit 13, an unauthorized access information database 14, a server information database 15, a sender information database 16, a route information management And a warning information creating unit 18. Hereinafter, the database is abbreviated as DB.
[0032]
The input / output unit 11 performs communication packet transmission / reception processing with the network connection device NC. The unauthorized access information DB 14 stores a plurality of known types of unauthorized access patterns in advance. The server information DB 15 stores information indicating an operation state currently set in the server SV, such as a service type provided by the server SV to be protected. The caller information DB 16 stores history information on unauthorized access performed from the terminals TM1 to TMn to the server device SV.
[0033]
The unauthorized access detection unit 13 determines whether the access request from the terminals TM1 to TMn is an unauthorized access based on the unauthorized access information DB 14 or the server information DB 15. Then, the control unit 12 is notified of the determination result.
[0034]
When the unauthorized access detection unit 13 determines that the access request from the terminals TM1 to TMn is an unauthorized access, the control unit 12 creates history information including the contents of the unauthorized access and the address information of the caller. Then, the history information is stored in the sender information DB 16. The address information of the caller is notified to the route information management unit 17 from the history information, and the route information created by the route information management unit 17 is notified from the input / output unit 11 to the network connection device NC. Furthermore, it is determined based on the history information in the sender information DB 16 whether or not the sender has performed unauthorized access in the past in response to the access request transferred from the network connection device NC. If the sender has a previous history of unauthorized access, control is performed so that the warning information created by the alert information creating unit 18 is transmitted to the terminal of the corresponding sender.
[0035]
The route information management unit 17 creates route information based on the address information of the caller notified from the control unit 12 so that all communications from the caller are sent to the unauthorized access warning device AS. . Then, the control unit 12 is notified of the created route information.
[0036]
On the other hand, the network connection device NC comprises, for example, a router, a switch, or a gateway, and is configured as follows. FIG. 4 is a functional block diagram showing the configuration. That is, the network connection device NC includes input / output units 21, 22, 23, a transfer unit 24, and a routing information database 25.
[0037]
The input / output unit 21 performs transmission / reception processing of a communication packet with the unauthorized access warning device AS. The input / output unit 22 performs transmission / reception processing of a communication packet with the communication network NW. The input / output unit 23 performs transmission / reception processing of a communication packet with the server device SV.
[0038]
In the routing information DB 25, a transfer destination for the destination IP address is registered, and a transfer destination based on the source IP address is registered. The transfer unit 24 performs a process of transferring the communication packet received by each of the input / output units 21, 22, and 23 to the transfer destination input / output unit based on the routing information registered in the routing information DB 25. Do.
[0039]
Next, the operation of the network system including the unauthorized access warning device AS configured as described above will be described with reference to the operation sequences shown in FIGS.
Assume that an access request to the server SV has been transmitted from the terminal TM1. Then, the access request is once input from the input / output unit 22 of the network connection device NC to the transfer unit 24 as shown in FIG. 4 and then transferred from the input / output unit 23 to the server SV as it is. At the same time, the access request is transferred from the input / output unit 21 to the unauthorized access warning device AS by the mirror function of the transfer unit 24.
[0040]
In the unauthorized access warning device AS, the transferred access request is input to the unauthorized access detection unit 13 via the input / output unit 11. The unauthorized access detection unit 13 first determines whether the transferred access request corresponds to an unauthorized access based on a known unauthorized access pattern stored in the unauthorized access information DB 14. When it is determined that the access is not an unauthorized access, the transferred access request is transmitted to the server SV based on the information indicating the operation state of the server SV stored in the server information DB 15. It is determined whether the service corresponds to the provided service. If the access request corresponds to the service provided by the server device SV, the access request is determined to be a legitimate access request, and no particular processing is performed.
[0041]
On the other hand, when the unauthorized access detection unit 13 reports the unauthorized access to the control unit 12, the control unit 12 responds to the report of the unauthorized access and sends the address of the sender indicating the contents of the unauthorized access. Create history information including information. Then, the history information of the unauthorized access is stored in the sender information DB 16.
[0042]
Further, the control unit 12 notifies the route information management unit 17 of the address information of the sender of the unauthorized access and instructs the route information management unit 17 to create the route information. The route information management unit 17 creates route information based on the notified address information of the unauthorized access sender, that is, the source IP address, and notifies the control unit 12 of the created route information. The contents of the route information are set so that all communication packets transmitted by the transmission source IP address are transferred to the unauthorized access warning device AS thereafter. The control unit 12 transmits the route information notified from the route information management unit 17 from the input / output unit 11 to the network connection device NC. The network connection device NC additionally sets the route information transmitted from the unauthorized access warning device AS in the routing information DB 25 by the transfer unit 24.
[0043]
Now, in this state, it is assumed that an access request is transmitted from a terminal of a caller having a previous history of performing the unauthorized access. Then, this access request is input to the transfer unit 24 via the input / output unit 22 of the network connection device NC as shown in FIG. The transfer unit 24 transfers the input access request from the input / output unit 21 to the unauthorized access warning device AS according to the route information additionally set in the routing information DB 25. That is, an access request transmitted from a sender having a previous history of unauthorized access is not transferred to the server SV, but is transferred only to the unauthorized access warning device AS.
[0044]
In the unauthorized access warning device AS, when the access request is transferred, the control unit 12 checks again whether or not the sender of the access request is a sender having a history of unauthorized access in the past. Is determined. The determination of the presence or absence of the previous history is performed by searching the history information of the unauthorized access stored in the sender information DB 16 and searching the history information for the history information including the sender address of the arriving access request. Is As a result of the previous history determination, if no previous history of unauthorized access is found, the access request is transmitted to the server SV via the network connection device NC as shown in FIG. In this case, the corresponding route information registered in the network connection device NC is deleted.
[0045]
On the other hand, it is assumed that as a result of the previous history determination, it is confirmed that there is a previous history of unauthorized access. In this case, assuming that the access request is an access request not expecting a response, a communication end signal is generated by the control unit 12 as shown in FIG. 5, and the transmission / reception signal is transmitted from the input / output unit 11 via the network connection device NC. Sent to terminal TM1. That is, an access request transmitted from a terminal having a previous history of unauthorized access, which does not expect a response, is blocked from being transferred to the server SV by the unauthorized access warning device AS and is discarded.
[0046]
On the other hand, it is assumed that the access request has been transmitted by a protocol such as HTTP, telnet, FTP (File Transfer Protocol), ICMP (Internet Control Message Protocol), etc., for which a response is expected. In this case, as shown in FIG. 5, a warning information creation instruction is given from the control unit 12 to the warning information creation unit 18. When the warning information is created by the warning information creating unit 18 according to the instruction, the warning information is transmitted from the input / output unit 11 to the source terminal TM1 via the network connection device NC under the control of the control unit 12. . The warning information includes information representing the contents of unauthorized access extracted from the history information, and a warning message corresponding to this information. Therefore, the sender can clearly recognize the contents of the unauthorized access by the information indicating the contents of the unauthorized access and the warning message included in the warning information.
[0047]
As described above, in the first embodiment, when an unauthorized access to the server SV from the terminals TM1 to TMn arrives at the unauthorized access warning device AS connected to the network connection device NC, the history information on the unauthorized access is obtained. Is created and stored in the caller information DB 16, and route information for transferring the communication packet sent from the caller to the unauthorized access warning device AS without transferring the communication packet to the server device SV is created and transmitted to the network connection device NC. register. Then, when an access request is transmitted from a terminal having a history of the unauthorized access, the access request is transferred from the network connection device NC to the unauthorized access warning device AS in accordance with the route information. After reconfirming the history of unauthorized access, warning information is transmitted to the terminal of the sender.
[0048]
Therefore, when a caller who has a history of unauthorized access transmits an access request, warning information can be transmitted to the caller, and a function as a warning device can be achieved. On the other hand, an access request transmitted from a caller who has no previous history of unauthorized access is directly transmitted from the network connection device NC to the server device SV. For this reason, no transmission delay occurs in the uplink from the terminal to the server device SV, and a decrease in throughput does not occur.
[0049]
(Second embodiment)
According to a second embodiment of the present invention, when an unauthorized access request to a server device is transferred via a network connection device, the unauthorized access warning device creates and stores history information on the unauthorized access, Route information for transferring reply information transmitted from the device to the caller who made the above unauthorized access request to the unauthorized access warning device is created and set in the network connection device. Thereafter, when reply information is transferred from the network connection device to the unauthorized access warning device according to the route information, the warning information is notified to the sender instead of the reply information.
[0050]
FIG. 6 is a sequence diagram for explaining the operation of the unauthorized access warning device AS according to the second embodiment. Since the functional configurations of the unauthorized access warning device AS and the network connection device NC are the same as those in FIGS. 2 and 3 except for the processing contents, the description will be made with reference to FIGS.
[0051]
The route information management unit 17 of the unauthorized access warning device AS causes the response information transmitted from the server device SV to a caller having a history of unauthorized access to be transferred to the unauthorized access warning device AS without transferring the reply information to the terminals TM1 to TMn. It has a function to create route information for
[0052]
The control unit 12 of the unauthorized access warning device AS has a route information setting control function and a warning control function. The route information setting control function sends the route information created by the route information management unit 17 to the network connection device NC, and additionally registers the route information in the routing information DB 25 of the network connection device NC.
[0053]
The warning control function is to reconfirm the previous history of the unauthorized access by the destination terminals TM1 to TMn when the reply information addressed to the terminals TM1 to TMn from the server device SV is transferred from the network connection device NC according to the above route information. A function of transmitting warning information to the destination terminals TM1 to TMn in place of the response information is provided.
[0054]
With such a configuration, in the unauthorized access warning device AS, as in the first embodiment, every time an access request from the terminals TM1 to TMn to the server device SV is transferred via the network connection device NC, The unauthorized access detection unit 13 determines whether the access request corresponds to an unauthorized access. As a result of this determination, if it is determined that the access is unauthorized, history information including the address information of the sender indicating the content of the unauthorized access is created as shown in FIG. Is stored in
[0055]
Further, in the unauthorized access warning device AS, route information is created in the route information management unit 17 based on the source IP address of the unauthorized access. The contents of this route information are set so that the reply information transmitted from the server device SV to the caller who has made the unauthorized access will not be forwarded to the terminal but will be forwarded to the unauthorized access warning device AS. The created route information is transmitted from the input / output unit 11 to the network connection device NC under the control of the control unit 12. In the network connection device NC, the route information sent from the unauthorized access warning device AS is additionally set in the routing information DB 25.
[0056]
Now, in this state, it is assumed that an access request has been transmitted from the terminal TM1 of the caller having a previous history of performing the above unauthorized access, and reply information has been transmitted from the server SV in response to the access request. Then, the reply information is input to the transfer unit 24 via the input / output unit 23 of the network connection device NC as shown in FIG. The transfer unit 24 transfers the input reply information from the input / output unit 21 to the unauthorized access warning device AS according to the route information additionally set in the routing information DB 25. That is, reply information addressed to a caller having a previous history of unauthorized access is transferred to the unauthorized access warning device AS without being transferred to the terminal TM1.
[0057]
When the response information is transferred, in the unauthorized access warning device AS, the control unit 12 determines whether or not the sender who is the transmission destination of the response information is a sender having a history of unauthorized access in the past. It is determined again for confirmation. The determination of the presence or absence of the previous history is performed by searching the history information of the unauthorized access stored in the sender information DB 16 and searching the history information for the history information including the sender address of the arriving access request. Is As a result of the previous history determination, if no previous history of unauthorized access is found, the response information is transmitted to the destination terminal TM1 via the network connection device NC as shown in FIG. In this case, the corresponding route information registered in the network connection device NC is deleted.
[0058]
On the other hand, it is assumed that as a result of the previous history determination, it is confirmed that there is a previous history of unauthorized access. Then, in the unauthorized access warning device AS, the control unit 12 issues a warning information creation instruction to the warning information creation unit 18 as shown in FIG. When the warning information is created by the warning information creating unit 18 in accordance with the instruction, the warning information is replaced by the response information by the control of the control unit 12 and the input / output unit 11 sends the terminal information via the network connection device NC. Sent to TM1. The warning information includes information representing the contents of unauthorized access extracted from the history information, and a warning message corresponding to this information. Therefore, the sender can clearly recognize the contents of the unauthorized access by the information indicating the contents of the unauthorized access and the warning message included in the warning information.
[0059]
As described above, in the second embodiment, when an unauthorized access to the server device SV is transferred from the terminals TM1 to TMn from the network connection device NC, a caller having a previous history of performing the unauthorized access from the server device SV is hereinafter referred to. Route information is created so that all reply information is transferred to the unauthorized access warning device AS, and this route information is registered in the network connection device NC. Then, when the reply information is transferred from the network connection device NC to the unauthorized access warning device AS in accordance with the route information, the previous history of the unauthorized access of the caller as the destination is reconfirmed. Warning information is sent to the sender's terminal.
[0060]
Therefore, when a sender who has a history of unauthorized access transmits an access request, warning information is notified to the sender instead of the response information returned by the server SV in response to the access request. Therefore, it is possible to reliably transmit warning information to a sender who has a history of performing unauthorized access, and thereby sufficiently function as a warning device.
[0061]
On the other hand, all the access requests transmitted from the terminals TM1 to TMn are directly transferred to the server device SV via the network connection device NC, so that no transmission delay occurs on the uplink. Also, of the reply information transmitted from the server SV, reply information addressed to a terminal having no previous history of unauthorized access passes through the network connection device NC as it is and is transferred to the terminal. Therefore, even in the downlink from the server device SV to the terminals TM1 to TMn, there is no transmission delay, so that the throughput does not decrease.
[0062]
(Third embodiment)
According to a third embodiment of the present invention, when an unauthorized access request to a server device is transferred via a network connection device, the unauthorized access warning device creates and stores history information on the unauthorized access, Route information for transmitting reply information transmitted by the server device to the unauthorized access warning device from the sender of the request thereafter is created, and the created route information is set in the server device. Then, in accordance with the route information, the server transmits reply information to the unauthorized access warning device, and the unauthorized access warning device notifies the sender of the warning information instead of the response information.
[0063]
FIGS. 7 and 8 are block diagrams showing the functional configurations of the network connection device NC and the server device SV according to the third embodiment. Note that the functional configuration of the unauthorized access warning device AS is the same as that of FIG. 2 except for the processing content, and thus the description will be given with reference to FIG.
[0064]
As shown in FIG. 7, the network connection device NC includes input / output units 31, 32, and 33, and a transfer unit. The input / output unit 31 performs transmission / reception processing of a communication packet with the unauthorized access warning device AS. The input / output unit 32 performs a communication packet transmission / reception process with the communication network NW. The input / output unit 33 performs transmission / reception processing of communication packets with the server device SV. The transfer unit 34 transfers the communication packet received by the input / output units 31, 32, 33 to the input / output unit corresponding to the destination according to the destination address and route information prepared in advance.
[0065]
As shown in FIG. 8, the server SV includes an input / output unit 41, a server application 42, and a routing information DB 43. The input / output unit 41 performs a communication packet transmission / reception process with the network connection device NC. The server application 42 responds to the access request from the terminals TM1 to TMn, creates corresponding response information, and transmits the response information from the input / output unit 41 to the requesting terminals TM1 to TMn. The routing information DB 43 stores route information sent from an unauthorized access warning device AS described later.
[0066]
The route information management unit 17 of the unauthorized access warning device AS, when the server SV transmits the response information to the sender of the unauthorized access request, changes the destination address to the unauthorized access warning device AS. It has a function to create information.
[0067]
The control unit 12 of the unauthorized access warning device AS has a route information setting control function and a warning control function. The route information setting control function sends the route information created by the route information management unit 17 to the server SV via the network connection device NC, and additionally registers the route information in the routing information DB 43 of the server SV.
[0068]
The warning control function is provided, when the reply information addressed from the server device SV to the unauthorized access warning device AS is transferred via the network connection device NC, after reconfirming the previous history of the unauthorized access of the destination terminals TM1 to TMn. And a function of transmitting warning information to the destination terminals TM1 to TMn in place of the response information.
[0069]
Next, the operation of the network system including the unauthorized access warning device AS configured as described above will be described using the operation sequence shown in FIGS.
Assume that an access request to the server SV has been transmitted from the terminal TM1. Then, the access request is temporarily input from the input / output unit 32 of the network connection device NC to the transfer unit 34 as shown in FIG. 9 and then transferred from the input / output unit 33 to the server device SV as it is. At the same time, the access request is transferred from the input / output unit 31 to the unauthorized access warning device AS by the mirror function of the transfer unit 34.
[0070]
In the unauthorized access warning device AS, the transferred access request is input to the unauthorized access detection unit 13 via the input / output unit 11. The unauthorized access detection unit 13 first determines whether the transferred access request corresponds to an unauthorized access based on a known unauthorized access pattern stored in the unauthorized access information DB 14. When it is determined that the access is not an unauthorized access, the transferred access request is transmitted to the server SV based on the information indicating the operation state of the server SV stored in the server information DB 15. It is determined whether the service corresponds to the provided service. If the access request corresponds to the service provided by the server device SV, the access request is determined to be a legitimate access request, and no particular processing is performed.
[0071]
On the other hand, when the unauthorized access detection unit 13 reports the unauthorized access to the control unit 12, the control unit 12 responds to the report of the unauthorized access according to the information indicating the contents of the unauthorized access and the caller. Create history information including the address information of. Then, the history information of the unauthorized access is stored in the sender information DB 16.
[0072]
Further, the control unit 12 notifies the route information management unit 17 of the address information of the sender of the unauthorized access and instructs the route information management unit 17 to create the route information. The route information management unit 17 creates route information based on the notified unauthorized access source IP address, and notifies the control unit 12 of the created route information. The contents of the route information are set so that when the server device SV sends the reply information to the sender of the unauthorized access request as a destination, the destination address is changed to the unauthorized access warning device AS. The control unit 12 transmits the route information notified from the route information management unit 17 from the input / output unit 11 to the server device SV. The server SV additionally sets the route information transmitted from the unauthorized access warning device AS in the routing information DB 43.
[0073]
Now, in this state, it is assumed that an access request has been transmitted from the terminal TM1 of the caller having a previous history of performing the unauthorized access. Then, the server SV creates response information corresponding to the access request by the server application 42. Then, the destination address of the response information is changed from the address of the terminal TM1 to the address of the unauthorized access warning device AS according to the route information set in the routing information DB 43, and then transmitted from the input / output unit 41.
[0074]
When the response information is transmitted from the server SV, the response information is input to the transfer unit 34 via the input / output unit 33 of the network connection device NC as shown in FIG. Since the destination address of the reply information is the address of the unauthorized access warning device AS, the transfer unit 34 transfers the reply information from the input / output unit 31 to the unauthorized access warning device AS. That is, the reply information to be sent to the terminal TM1 having the previous history of performing the unauthorized access is not transferred to the terminal TM1 but is transferred to the unauthorized access warning device AS.
[0075]
When the response information is transferred, in the unauthorized access warning device AS, the control unit 12 determines whether or not the sender who is the transmission destination of the response information is a sender having a history of unauthorized access in the past. It is determined again for confirmation. The determination of the presence or absence of the previous history is performed by searching the history information of the unauthorized access stored in the sender information DB 16 and searching the history information for the history information including the sender address of the arriving access request. Is As a result of the determination of the history, if the history of unauthorized access is not found, the response information is transmitted to the destination terminal TM1 via the network connection device NC as shown in FIG. In this case, the corresponding route information registered in the routing information DB 43 of the server SV is deleted.
[0076]
On the other hand, it is assumed that as a result of the previous history determination, it is confirmed that there is a previous history of unauthorized access. Then, in the unauthorized access warning apparatus AS, a warning information creation instruction is given from the control unit 12 to the warning information creation unit 18 as shown in FIG. When the warning information is created by the warning information creating unit 18 in accordance with the instruction, the warning information is replaced by the response information by the control of the control unit 12 and the input / output unit 11 sends the terminal information via the network connection device NC. Sent to TM1. The warning information includes information representing the contents of unauthorized access extracted from the history information, and a warning message corresponding to this information. Therefore, the sender of the terminal TM1 can clearly recognize the contents of the unauthorized access from the information indicating the contents of the unauthorized access and the warning message included in the warning information.
[0077]
As described above, in the third embodiment, when an unauthorized access request to the server device SV is transferred through the network connection device NC, the unauthorized access warning device AS sets the destination to the sender of the unauthorized access request. Route information for transmitting reply information transmitted by the server SV to the unauthorized access warning device AS is created, and the created route information is set in the server SV. Then, the reply information transmitted by the server device SV is transferred to the unauthorized access warning device AS via the network connection device NC in accordance with the route information, and the warning information is transmitted from the unauthorized access warning device AS instead of the reply information. To be sent to the terminal.
[0078]
Therefore, when a sender who has a history of unauthorized access transmits an access request, warning information is notified to the sender instead of the response information returned by the server SV in response to the access request. Therefore, it is possible to reliably transmit warning information to a sender who has a history of performing unauthorized access, and thereby sufficiently function as a warning device.
[0079]
On the other hand, all the access requests transmitted from the terminals TM1 to TMn are directly transferred to the server device SV via the network connection device NC, so that no transmission delay occurs on the uplink. In the server SV, the address information is changed to the unauthorized access warning device AS only for the reply information addressed to the terminal having the history of unauthorized access, and the destination address is not changed for the reply information addressed to the terminal having no history of the unauthorized access. Is sent as is. Therefore, reply information addressed to a terminal having no previous history of unauthorized access passes through the network connection device NC and is transferred to the terminal TM1. Therefore, even in the downlink from the server device SV to the terminals TM1 to TMn, there is no transmission delay, so that the throughput does not decrease.
[0080]
(Fourth embodiment)
In the fourth embodiment of the present invention, the unauthorized access warning device is divided into an unauthorized access warning device main body and an unauthorized access warning device detection unit. Then, when an access request to the server device is transmitted from the terminal, the unauthorized access warning device detection unit creates and stores history information on the unauthorized access. On the other hand, the unauthorized access warning device main body communicates with the unauthorized access warning device detection unit to acquire the history information, and performs an unauthorized access request based on the address information of the sender included in the history information. Reply information transmitted from the server device to the sender of the destination is sent to the main body of the unauthorized access warning device, and route information is created for transmission. The created route information is set in the server device. Then, in accordance with the route information, the server transmits reply information to the unauthorized access warning device, and the unauthorized access warning device notifies the sender of the warning information instead of the response information.
[0081]
FIG. 11 is a schematic configuration diagram of a network system including an unauthorized access warning device according to the fourth embodiment of the present invention. In this embodiment, the unauthorized access warning device is divided into an unauthorized access warning device main body AS1 and an unauthorized access warning device detection unit AS2, and these unauthorized access warning device main body AS1 and unauthorized access warning device detection unit AS2 are configured. AS2 is connected to the network connection device NC via a communication line. Further, the unauthorized access warning device main body AS1 and the unauthorized access warning device detection unit AS2 are mutually connected via a communication line.
[0082]
FIG. 12 is a block diagram showing a functional configuration of the unauthorized access warning device main body AS1 and the unauthorized access warning device detection unit AS2.
First, the unauthorized access warning device main body AS1 includes input / output units 51 and 52, a control unit 53, a sender information DB 54, a route information management unit 55, and a warning information creation unit 56.
[0083]
The input / output unit 51 performs transmission / reception processing of a communication packet with the network connection device NC. The input / output unit 52 performs transmission / reception processing of a communication packet with the unauthorized access warning device detection unit AS2. The caller information DB 54 stores history information on unauthorized access performed from the terminals TM1 to TMn to the server device SV.
[0084]
The control unit 53 periodically communicates with the unauthorized access warning device detection unit AS2 via the input / output unit 52, and acquires history information of newly detected unauthorized access. Then, the contents of the unauthorized access and the address information of the sender included in the acquired history information are stored in the sender information DB 54. Further, the address information of the sender is notified to the route information management unit 55 together with the route information creation instruction, and the route information is created. Then, the route information created by the route information management unit 55 is transmitted from the input / output unit 51 to the server device SV.
[0085]
Further, when the response information addressed to the terminal transmitted from the server device SV is transferred and input via the network connection device NC, the control unit 53 determines that the sender of the response information has a history of unauthorized access. Check. If the result of this determination is that the caller has a history of unauthorized access, the warning information created by the warning information creation unit 56 is transmitted to the terminal of the corresponding caller instead of the response information.
[0086]
The route information management unit 55 creates route information based on the address information of the caller sent from the control unit 53 so that all reply information to the caller is transmitted to the unauthorized access warning device main body AS1. Then, the control unit 53 is notified.
[0087]
Next, the unauthorized access warning device detection unit AS2 includes input / output units 61 and 62, an unauthorized access detection unit 63, an unauthorized access information DB 64, a server information DB 65, and a sender information DB 66.
[0088]
The input / output unit 61 performs a receiving process of a communication packet transferred from the network connection device NC. The input / output unit 62 performs transmission / reception processing of a communication packet with the unauthorized access warning device main body AS1. The unauthorized access information DB 64 stores a plurality of types of known unauthorized access patterns. The server information DB 65 stores information indicating an operation state currently set in the server SV, such as a service type provided by the server SV to be protected.
[0089]
The unauthorized access detection unit 63 determines whether the access request from the terminals TM1 to TMn is an unauthorized access based on the unauthorized access information DB 64 or the server information DB 65. When the unauthorized access detection unit 63 determines that the access is unauthorized, history information including the contents of the unauthorized access and the address information of the sender is created, and the history information is stored in the sender information DB 66. Let it. Further, when an inquiry about the unauthorized access history is made from the unauthorized access warning device main body AS1, the information stored in the sender information DB 66 is extracted and transmitted to the unauthorized access warning device main body AS1 via the input / output unit 62. .
Note that the functional configurations of the network connection device NC and the server device SV are the same as those shown in FIGS. 7 and 8 described in the third embodiment, and a description thereof will be omitted.
[0090]
Next, the operation of the system including the unauthorized access warning device AS configured as described above will be described with reference to the operation sequence diagrams shown in FIGS.
Assume that an access request to the server SV has been transmitted from the terminal TM1. Then, the access request is temporarily input from the input / output unit 32 of the network connection device NC to the transfer unit 34 as shown in FIG. 13 and then transferred from the input / output unit 33 to the server device SV as it is. At the same time, the access request is transferred from the input / output unit 31 to the unauthorized access warning device detection unit AS2 by the mirror function of the transfer unit 34.
[0091]
In the unauthorized access warning device detection unit AS2, the transferred access request is input to the unauthorized access detection unit 63 via the input / output unit 61. The unauthorized access detection unit 63 first determines whether or not the transferred access request corresponds to an unauthorized access based on a known unauthorized access pattern stored in the unauthorized access information DB 64. Then, when it is determined that the access is not an unauthorized access, the transferred access request is transmitted to the server SV based on the information indicating the operation state of the server SV stored in the server information DB 65. It is determined whether the service corresponds to the provided service. If the access request corresponds to the service provided by the server device SV, the access request is determined to be a legitimate access request, and no particular processing is performed.
[0092]
On the other hand, if the access request is determined to be an unauthorized access, the unauthorized access detection unit 63 creates history information including information indicating the contents of the unauthorized access and address information of the sender. The history information of the unauthorized access is stored in the sender information DB 66.
[0093]
On the other hand, as shown in FIG. 14, under the control of the control unit 53, the unauthorized access warning device main body AS1 inquires the unauthorized access warning device detection unit AS2 of the newly added unauthorized access history information from the input / output unit 52. Regularly. Upon receiving the above inquiry at the input / output unit 62, the unauthorized access warning device detection unit AS2 uses the unauthorized access detection unit 63 from the unauthorized access history information registered in the caller information DB 66 to add the newly added unauthorized access. And transmits the read history information from the input / output unit 62 to the unauthorized access warning device main body AS1.
[0094]
As shown in FIG. 14, the unauthorized access warning device main body AS1 receives the unauthorized access history information transmitted from the unauthorized access warning device detection unit AS2 at the input / output unit 52, and receives the received unauthorized access history information. Is stored in the sender information DB 54 by the control unit 53. Then, the control unit 53 notifies the route information management unit 55 of the IP address of the unauthorized access sender included in the stored history information and instructs creation of the route information.
[0095]
The route information management section 55 creates route information based on the notified unauthorized access source IP address, and notifies the control section 53 of the created route information. The contents of the route information are set so that, when the server device SV sends the reply information to the sender of the unauthorized access request, the destination address is changed to the unauthorized access warning device main body AS1. The control unit 53 transmits the route information created by the route information management unit 55 from the input / output unit 51 to the server device SV as shown in FIG. The server SV receives the route information transmitted from the unauthorized access warning device main body AS1 at the input / output unit 41 and additionally sets the route information in the routing information DB 43.
[0096]
Now, in this state, it is assumed that an access request has been transmitted from the terminal TM1 of the caller having a previous history of performing the unauthorized access. Then, the server SV creates response information corresponding to the access request by the server application 42. Then, the destination address of the response information is changed from the address of the terminal TM1 to the address of the unauthorized access warning device AS according to the route information set in the routing information DB 43, and then transmitted from the input / output unit 41.
[0097]
When the response information is transmitted from the server SV, the response information is input to the transfer unit 34 via the input / output unit 33 of the network connection device NC as shown in FIG. The transfer unit 34 transfers the reply information from the input / output unit 31 to the unauthorized access warning device main body AS1 because the destination address of the response information is the address of the unauthorized access warning device main body AS1. That is, the reply information to be sent to the terminal TM1 having the previous history of performing the unauthorized access is not transferred to the terminal TM1 but is transferred to the unauthorized access warning device main body AS1.
[0098]
When the response information is transferred, in the unauthorized access warning device main body AS1, the control unit 53 determines whether or not the sender who is the transmission destination of the response information is a sender having a history of unauthorized access in the past. Is determined for confirmation. The determination of the presence or absence of the previous history is performed by searching the history information of the unauthorized access stored in the sender information DB 54 and searching the history information for the history information including the sender address of the arriving access request. Is If the previous history of the unauthorized access is not found as a result of the previous history confirmation determination, the reply information is transmitted to the destination terminal TM1 via the network connection device NC as shown in FIG. In this case, the corresponding route information registered in the routing information DB 43 of the server SV is deleted.
[0099]
On the other hand, it is assumed that the result of the previous history determination confirms that there is a previous history of unauthorized access. Then, in the unauthorized access warning device main body AS1, as shown in FIG. 15, a warning information creation instruction is given from the control unit 53 to the warning information creation unit 56. When the warning information is created by the warning information creating unit 56 in accordance with the instruction, the warning information is replaced by the response information under the control of the control unit 53, and the response information is transmitted from the input / output unit 51 via the network connection device NC to the terminal of the transmission source. Sent to TM1. The warning information includes information representing the contents of unauthorized access extracted from the history information, and a warning message corresponding to this information. Therefore, the sender of the terminal TM1 can clearly recognize the contents of the unauthorized access from the information indicating the contents of the unauthorized access included in the warning information and the warning message.
[0100]
As described above, in the fourth embodiment, the unauthorized access warning device main body AS1 detects an unauthorized access request based on the IP address of a caller who has a history of unauthorized access, detected by the unauthorized access warning device detection unit AS2. Reply information transmitted from the server SV to the sender of the destination is changed to the unauthorized access warning device main body AS1 to create route information for transmission, and the created route information is transmitted to the server SV. And register. Then, in accordance with the route information, the server device SV changes the response information addressed to the caller who has a history of unauthorized access to the unauthorized access warning device main body AS1 and transmits it, and the unauthorized access warning device main body AS1 transmits the response information. Instead, warning information is sent to the caller.
[0101]
Therefore, when a caller having a previous history of unauthorized access sends an access request, warning information is sent instead of the reply information returned by the server SV in response to this access request, as in the third embodiment. Is notified. Therefore, the warning information can be reliably transmitted to the caller who has a previous history of performing the unauthorized access, whereby the function as the warning device can be sufficiently performed.
[0102]
On the other hand, all the access requests transmitted from the terminals TM1 to TMn are directly transferred to the server device SV via the network connection device NC, so that no transmission delay occurs on the uplink. In the server SV, the address information is changed to the unauthorized access warning device main body AS1 only for the response information addressed to the terminal having a history of unauthorized access, and the destination address is changed for the response information addressed to the terminal having no history of unauthorized access. Sent as is. Therefore, reply information addressed to a terminal having no previous history of unauthorized access passes through the network connection device NC and is transferred to the terminal TM1. Therefore, even in the downlink from the server device SV to the terminals TM1 to TMn, there is no transmission delay, so that the throughput does not decrease.
[0103]
Further, in the fourth embodiment, the unauthorized access warning device AS is divided into an unauthorized access warning device main body AS1 and an unauthorized access warning device detection unit AS2. Therefore, when either the unauthorized access warning device detection unit or the unauthorized access warning device main body is already provided, the present invention can be used by simply adding only the missing configuration or function and using the existing configuration as it is. Can be implemented, thereby reducing the equipment cost.
[0104]
(Other embodiments)
Also in the first and second embodiments, similarly to the fourth embodiment, the unauthorized access warning device AS may be divided into an unauthorized access warning device main body AS1 and an unauthorized access warning device detection unit AS2. .
[0105]
Also, when creating the warning information, not only the information indicating the latest unauthorized access content of the corresponding sender, but also the relevant sender based on the history information arranged for each sender. Information indicating the contents of all past unauthorized accesses may be included in the warning information and notified to the caller. Furthermore, different warning messages may be included in the warning information and notified according to the number of unauthorized accesses and the degree of malicious access.
[0106]
In addition, when it is determined that the sender of the access request has a previous history of making an unauthorized act, the degree of malicious access (including the number and frequency of unauthorized access) is determined based on the history information of the unauthorized access. I do. Then, the content of the notification process of the warning information may be changed according to the determined degree of maliciousness.
[0107]
For example, when the degree of maliciousness is equal to or less than a predetermined standard, an access request arrived from a caller is transferred to the server SV as it is, and warning information is attached or inserted into response information from the server SV for the access request. To notify the caller. On the other hand, if the degree of maliciousness exceeds the predetermined standard, even if the access request from the sender is valid, the valid access request is discarded without being sent to the server SV. Alert information is sent to the caller instead of response information.
[0108]
With such a configuration, for example, for a caller whose contents of unauthorized access are determined to be due to an erroneous operation, the response information from the server device SV is used to give the sender a relatively light attention indicating the erroneous operation. Can be notified. On the other hand, for a caller whose number or frequency of unauthorized access is high or which is determined to be intentional unauthorized access, access to the server device SV is blocked and the content of the warning message is strengthened, so that It is possible to give a stronger warning.
[0109]
Furthermore, after the notification of the warning information to the caller once, the notification of the warning information to the caller is temporarily stopped, and the notification of the warning information is restarted when the caller makes an unauthorized access again. May be.
[0110]
Further, in the second and third embodiments, the warning information is transmitted to the terminal of the caller in place of the response information transmitted from the server SV to the terminal, but the response transmitted from the server SV is transmitted. Warning information may be added to or inserted into the information and transmitted to the terminal of the corresponding sender. With this configuration, the alert information is notified to the sender in a form added to or included in the response information from the server SV, and as a result, unauthorized access is performed due to inexperienced or erroneous operation of the sender. In this case, the caller can be alerted by using the reply information.
[0111]
The unauthorized access warning device described in each of the first to fourth embodiments may be realized by causing a computer to execute software, that is, a program, for part or all of the processing.
[0112]
In addition, the gist of the present invention also relates to the installation location of the server device and its function and configuration, the type of terminal and its function and configuration, the configuration and function of the unauthorized access warning device, the procedure and contents of warning processing for unauthorized access, and the like. Various modifications can be made without departing from the scope of the present invention.
[0113]
In short, the present invention is not limited to the above embodiments as they are, and can be embodied by modifying the components without departing from the scope of the invention in the implementation stage. In addition, various inventions can be formed by appropriately combining a plurality of constituent elements disclosed in the above embodiments. For example, some components may be deleted from all the components shown in each embodiment. Further, components of different embodiments may be appropriately combined.
[0114]
【The invention's effect】
As described above in detail, according to the present invention, based on the address information of the caller who has performed the unauthorized access, the communication information transmitted from the caller or the communication information addressed to the caller is transferred to the unauthorized access warning device. Route information for the network connection device or server device, and in accordance with this route information, transfer the communication information transmitted by the caller who made the unauthorized access or the communication information addressed to the caller to the unauthorized access warning device Then, a warning process for unauthorized access is performed.
[0115]
Therefore, according to the present invention, even if the access to the server device increases, the caller who transmitted the unauthorized access can be provided without causing a delay due to an increase in the load on the unauthorized access warning device and without interrupting the normal service. And an unauthorized access warning device capable of surely notifying a warning.
[Brief description of the drawings]
FIG. 1 is a schematic configuration diagram of a network system including an unauthorized access warning device according to a first embodiment of the present invention.
FIG. 2 is a block diagram showing a configuration of an unauthorized access warning device shown in FIG. 1;
FIG. 3 is a block diagram showing a configuration of a network connection device of the network system shown in FIG. 1;
FIG. 4 is a sequence diagram showing an operation of a network system including the unauthorized access warning device shown in FIG. 2;
FIG. 5 is a sequence diagram showing an operation of the network system including the unauthorized access warning device shown in FIG. 2;
FIG. 6 is a sequence diagram showing an operation of a network system including the unauthorized access warning device according to the second embodiment of the present invention.
FIG. 7 is a block diagram showing a configuration of a network connection device according to a third embodiment of the present invention.
FIG. 8 is a block diagram showing a configuration of a server device according to a third embodiment of the present invention.
FIG. 9 is a sequence diagram showing an operation of the network system including the unauthorized access warning device according to the third embodiment of the present invention.
FIG. 10 is a sequence diagram showing an operation of a network system including an unauthorized access warning device according to a third embodiment of the present invention.
FIG. 11 is a schematic configuration diagram of a network system including an unauthorized access warning device according to a fourth embodiment of the present invention.
FIG. 12 is a block diagram showing a configuration of the unauthorized access warning device shown in FIG. 11;
FIG. 13 is a sequence diagram showing an operation of the network system including the unauthorized access warning device shown in FIG. 12;
FIG. 14 is a sequence diagram showing an operation of the network system including the unauthorized access warning device shown in FIG. 12;
FIG. 15 is a sequence diagram showing an operation of the network system including the unauthorized access warning device shown in FIG. 12;
[Explanation of symbols]
NW: communication network, TM1 to TMn: terminal, SV: server device, AS: unauthorized access warning device, AS1: unauthorized access warning device main body, AS2: unauthorized access warning device detection unit 11, 21, 22, 23, 31, 32, 33, 41, 51, 52, 61, 62 ... input / output unit, 12, 53 ... control unit, 13, 63 ... unauthorized access detection unit, 14, 64 ... unauthorized access information database, 15, 65 ... server information database , 16, 54, 66 ... a sender information database, 17, 55 ... a route information management unit, 18, 56 ... a warning information creation unit, 24, 34 ... a transfer unit, 25, 43 ... a routing information database, 42 ... a server application.

Claims (19)

端末とサーバ装置との間に設けられるネットワーク接続装置に接続される不正アクセス警告装置であって、
前記端末から前記サーバ装置に対する不正アクセス要求が前記ネットワーク接続装置から転送された場合に、当該不正アクセス要求の発信元アドレス情報をもとに、当該不正アクセス要求の発信者から以後発信される通信情報を自己の不正アクセス警告装置へ転送させるためのルート情報を作成する手段と、
前記作成されたルート情報を前記ネットワーク接続装置に設定する手段と、
前記ルート情報に従い前記ネットワーク接続装置から通信情報が転送された場合に、当該通信情報の発信者に対し警告情報を通知する警告通知手段と
を具備することを特徴とする不正アクセス警告装置。An unauthorized access warning device connected to a network connection device provided between the terminal and the server device,
Communication information transmitted from the sender of the unauthorized access request based on the source address information of the unauthorized access request when an unauthorized access request to the server device is transferred from the network connection device from the terminal; Means for creating route information for transferring the information to its own unauthorized access warning device;
Means for setting the created route information in the network connection device,
When the communication information is transferred from the network connection device in accordance with the route information, a warning notifying unit for notifying a sender of the communication information of warning information is provided. 端末とサーバ装置との間に設けられるネットワーク接続装置に接続される不正アクセス警告装置であって、
前記端末から前記サーバ装置に対する不正アクセス要求が前記ネットワーク接続装置から転送された場合に、当該不正アクセス要求の発信元アドレス情報をもとに、当該不正アクセス要求の発信者を宛先として以後前記サーバ装置から送信される通信情報を自己の不正アクセス警告装置へ転送させるためのルート情報を作成する手段と、
前記作成されたルート情報を前記ネットワーク接続装置に設定する手段と、
前記ルート情報に従い前記ネットワーク接続装置から通信情報が転送された場合に、当該通信情報の宛先となる発信者に対し警告情報を通知する警告通知手段とを具備することを特徴とする不正アクセス警告装置。An unauthorized access warning device connected to a network connection device provided between the terminal and the server device,
When an unauthorized access request from the terminal to the server device is transferred from the network connection device, the server device is addressed to the sender of the unauthorized access request based on the source address information of the unauthorized access request. Means for creating route information for transferring communication information transmitted from the device to its own unauthorized access warning device,
Means for setting the created route information in the network connection device,
An unauthorized access warning device, comprising: warning notification means for notifying warning information to a caller serving as a destination of the communication information when communication information is transferred from the network connection device according to the route information. . 端末とサーバ装置との間に設けられるネットワーク接続装置に接続される不正アクセス警告装置であって、
前記端末から前記サーバ装置に対する不正アクセス要求が前記ネットワーク接続装置から転送された場合に、当該不正アクセス要求の発信元アドレス情報をもとに、当該不正アクセス要求の発信者を宛先として以後前記サーバ装置が送信する通信情報を自己の不正アクセス警告装置へ宛てて送信させるためのルート情報を作成する手段と、
前記作成されたルート情報を前記サーバ装置に設定する手段と、
前記ルート情報に従い前記サーバ装置が送信した通信情報が前記ネットワーク接続装置から転送された場合に、当該通信情報の宛先となる発信者に対し警告情報を通知する警告通知手段と
を具備することを特徴とする不正アクセス警告装置。An unauthorized access warning device connected to a network connection device provided between the terminal and the server device,
When an unauthorized access request from the terminal to the server device is transferred from the network connection device, the server device is addressed to the sender of the unauthorized access request based on the source address information of the unauthorized access request. Means for creating route information for transmitting communication information transmitted by the device to its own unauthorized access warning device,
Means for setting the created route information in the server device;
When the communication information transmitted by the server device according to the route information is transferred from the network connection device, the communication device further includes a warning notification unit that notifies warning information to a caller serving as a destination of the communication information. Unauthorized access warning device. 前記端末から前記サーバ装置に対する不正アクセス要求が前記ネットワーク接続装置から転送された場合に、当該不正アクセスに関する履歴情報を作成して記憶する履歴記憶手段と、
前記通信情報が転送された場合に、当該通信情報の発信者又は宛先が過去に不正アクセスを行った経歴のある発信者であるか否かを、前記履歴記憶手段に記憶されている履歴情報をもとに判定する判定手段と
を、さらに具備し、
前記警告通知手段は、前記転送された通信情報の発信者又は宛先が過去に不正アクセスを行った経歴のある発信者であると前記判定手段が判定した場合に、当該通信情報の宛先となる発信者に対し警告情報を通知することを特徴とする請求項１乃至３のいずれかに記載の不正アクセス警告装置。History storage means for creating and storing history information on the unauthorized access when an unauthorized access request to the server device is transferred from the terminal from the network connection device;
When the communication information is transferred, whether or not the sender or destination of the communication information is a sender with a history of unauthorized access in the past is determined based on the history information stored in the history storage unit. And determining means based on the determination,
The warning notifying unit, when the determining unit determines that the sender or the destination of the transferred communication information is a sender having a history of unauthorized access in the past, the transmission as the destination of the communication information. The unauthorized access warning device according to claim 1, wherein warning information is notified to a user. 前記警告通知手段は、前記サーバ装置から送信された通信情報に替えて、警告情報を該当する発信者の端末へ送信することを特徴とする請求項２又は３記載の不正アクセス警告装置。4. The unauthorized access warning device according to claim 2, wherein the warning notification unit transmits warning information to a terminal of a corresponding sender, instead of the communication information transmitted from the server device. 5. 前記警告通知手段は、前記サーバ装置から送信された通信情報に、警告情報を付加或いは含めて該当する発信者の端末へ送信することを特徴とする請求項２又は３記載の不正アクセス警告装置。4. The unauthorized access warning device according to claim 2, wherein the warning notifying unit adds the warning information to the communication information transmitted from the server device or transmits the communication information to the corresponding caller's terminal. 前記警告通知手段は、
過去に不正アクセスを行った経歴のある発信者宛ての通信情報が転送された場合に、当該発信者が過去に行った不正アクセスの悪質度を前記履歴記憶手段に記憶されている履歴情報をもとに判定する手段と、
前記悪質度の判定結果に基づいて、予め用意された複数の警告通知処理を選択的に実行する手段と
を備えることを特徴とする請求項４記載の不正アクセス警告装置。The warning notifying means,
When communication information addressed to a caller who has a history of unauthorized access in the past is transferred, the malicious information of the unauthorized access performed by the caller in the past may be stored in the history information stored in the history storage unit. Means for determining
5. The unauthorized access warning device according to claim 4, further comprising means for selectively executing a plurality of prepared warning notification processes based on the result of the determination of the degree of maliciousness. 前記警告通知手段は、前記履歴記憶手段に記憶された履歴情報をもとに、不正アクセスの内容を表す情報と、この不正アクセスの内容に対応する警告メッセージとを含む警告情報を作成し、この作成した警告情報を該当する発信者の端末へ送信することを特徴とする請求項４記載の不正アクセス警告装置。The warning notifying unit creates warning information including information indicating the contents of the unauthorized access and a warning message corresponding to the contents of the unauthorized access based on the history information stored in the history storage unit. The unauthorized access warning device according to claim 4, wherein the created warning information is transmitted to a terminal of a corresponding caller. 端末とサーバ装置との間に設けられるネットワーク接続装置に接続される不正アクセス検知部と、
前記ネットワーク接続装置に接続されると共に、前記不正アクセス検知部に対し通信回線を介して接続される不正アクセス警告部とを具備し、
前記不正アクセス検知部は、
前記端末から前記サーバ装置に対するアクセス要求が到来した場合に、当該アクセス要求が不正アクセスであるか否かを判定する手段を備え、
前記不正アクセス警告部は、
前記不正アクセス検知部により前記アクセス要求が不正アクセスと判定された場合に、当該不正アクセスの発信者情報をもとに、当該不正アクセスの発信者から以後発信される通信情報を自己の不正アクセス警告部へ転送させるためのルート情報を作成する手段と、
前記作成されたルート情報を前記ネットワーク接続装置に設定する手段と、
前記ルート情報に従い前記ネットワーク接続装置から通信情報が転送された場合に、当該通信情報の発信者に対し警告情報を通知する警告通知手段とを備えることを特徴とする不正アクセス警告装置。An unauthorized access detection unit connected to a network connection device provided between the terminal and the server device;
An unauthorized access warning unit connected to the network connection device and connected to the unauthorized access detection unit via a communication line,
The unauthorized access detection unit,
When an access request for the server device arrives from the terminal, the device includes means for determining whether the access request is an unauthorized access,
The unauthorized access warning unit,
If the access request is determined to be an unauthorized access by the unauthorized access detection unit, the communication information transmitted from the sender of the unauthorized access based on the sender information of the unauthorized access is used to warn the user of the unauthorized access. Means for creating route information to be forwarded to the department;
Means for setting the created route information in the network connection device,
When the communication information is transferred from the network connection device in accordance with the route information, a warning notifying unit for notifying a sender of the communication information of warning information is provided. 端末とサーバ装置との間に設けられるネットワーク接続装置に接続される不正アクセス検知部と、
前記ネットワーク接続装置に接続されると共に、前記不正アクセス検知部に対し通信回線を介して接続される不正アクセス警告部とを具備し、
前記不正アクセス検知部は、
前記端末から前記サーバ装置に対するアクセス要求が到来した場合に、当該アクセス要求が不正アクセスであるか否かを判定する手段を備え、
前記不正アクセス警告部は、
前記不正アクセス検知部により前記アクセス要求が不正アクセスと判定された場合に、当該不正アクセスの発信者情報をもとに、当該不正アクセスの発信者を宛先として以後前記サーバ装置から送信される通信情報を自己の不正アクセス警告部へ転送させるためのルート情報を作成する手段と、
前記作成されたルート情報を前記ネットワーク接続装置に設定する手段と、
前記ルート情報に従い前記ネットワーク接続装置から通信情報が転送された場合に、当該通信情報の宛先となる発信者に対し警告情報を通知する警告通知手段とを備えることを特徴とする不正アクセス警告装置。An unauthorized access detection unit connected to a network connection device provided between the terminal and the server device;
An unauthorized access warning unit connected to the network connection device and connected to the unauthorized access detection unit via a communication line,
The unauthorized access detection unit,
When an access request for the server device arrives from the terminal, the device includes means for determining whether the access request is an unauthorized access,
The unauthorized access warning unit,
When the access request is determined to be unauthorized access by the unauthorized access detection unit, based on the sender information of the unauthorized access, communication information transmitted from the server device to the sender of the unauthorized access thereafter Means for creating route information for transferring the information to its own unauthorized access warning unit,
Means for setting the created route information in the network connection device,
When the communication information is transferred from the network connection device in accordance with the route information, the unauthorized access warning device includes warning notification means for notifying a caller serving as a destination of the communication information of warning information. 端末とサーバ装置との間に設けられるネットワーク接続装置に接続される不正アクセス検知部と、
前記ネットワーク接続装置に接続されると共に、前記不正アクセス検知部に対し通信回線を介して接続される不正アクセス警告部とを具備し、
前記不正アクセス検知部は、
前記端末から前記サーバ装置に対するアクセス要求が到来した場合に、当該アクセス要求が不正アクセスであるか否かを判定する手段を備え、
前記不正アクセス警告部は、
前記不正アクセス検知部により前記アクセス要求が不正アクセスと判定された場合に、当該不正アクセスの発信者情報をもとに、当該不正アクセスの発信者を宛先として以後前記サーバ装置が送信する通信情報を自己の不正アクセス警告部へ宛てて送信させるためのルート情報を作成する手段と、
前記作成されたルート情報を前記サーバ装置に設定する手段と、
前記ルート情報に従い前記サーバ装置が送信した通信情報が前記ネットワーク接続装置から転送された場合に、当該通信情報の宛先となる発信者に対し警告情報を通知する警告通知手段とを備えることを特徴とする不正アクセス警告装置。An unauthorized access detection unit connected to a network connection device provided between the terminal and the server device;
An unauthorized access warning unit connected to the network connection device and connected to the unauthorized access detection unit via a communication line,
The unauthorized access detection unit,
When an access request for the server device arrives from the terminal, the device includes means for determining whether the access request is an unauthorized access,
The unauthorized access warning unit,
When the access request is determined to be unauthorized access by the unauthorized access detection unit, based on the sender information of the unauthorized access, the communication information transmitted by the server device to the sender of the unauthorized access thereafter. Means for creating route information for transmission to its own unauthorized access warning unit,
Means for setting the created route information in the server device;
When communication information transmitted by the server device according to the route information is transferred from the network connection device, the communication device further includes a warning notification unit that notifies warning information to a caller serving as a destination of the communication information. Unauthorized access warning device. 前記不正アクセス検知部は、さらに
前記アクセス要求が不正アクセスと判定された場合に、当該不正アクセスに関する履歴情報を作成して記憶する手段を備え、
前記不正アクセス警告部は、さらに
前記通信情報が転送された場合に、当該通信情報の発信者又は宛先が過去に不正アクセスを行った経歴のある発信者であるか否かを、前記不正アクセス検知部に記憶されている履歴情報をもとに判定する判定手段を備え、
前記警告通知手段は、前記転送された通信情報の発信者又は宛先が過去に不正アクセスを行った経歴のある発信者であると前記判定手段が判定した場合に、当該通信情報の宛先となる発信者に対し警告情報を通知することを特徴とする請求項９乃至１１のいずれかに記載の不正アクセス警告装置。The unauthorized access detection unit further includes, when the access request is determined to be unauthorized access, a unit that creates and stores history information regarding the unauthorized access,
The unauthorized access warning unit is further configured to, when the communication information is transferred, determine whether a sender or a destination of the communication information is a sender having a history of unauthorized access in the past, by the unauthorized access detection. Determining means based on the history information stored in the section,
The warning notifying unit, when the determining unit determines that the sender or the destination of the transferred communication information is a sender having a history of unauthorized access in the past, the transmission as the destination of the communication information. 12. The unauthorized access warning device according to claim 9, wherein the warning information is notified to a user. 前記警告通知手段は、前記サーバ装置から送信された通信情報に替えて、警告情報を該当する発信者の端末へ送信することを特徴とする請求項１０又は１１記載の不正アクセス警告装置。The unauthorized access warning device according to claim 10, wherein the warning notification unit transmits warning information to a terminal of a corresponding sender, instead of the communication information transmitted from the server device. 前記警告通知手段は、前記サーバ装置から送信された通信情報に、警告情報を付加或いは含めて該当する発信者の端末へ送信することを特徴とする請求項１０又は１１記載の不正アクセス警告装置。12. The unauthorized access warning device according to claim 10, wherein the warning notification unit adds or includes warning information to the communication information transmitted from the server device and transmits the communication information to a corresponding caller's terminal. 前記警告通知手段は、
前記転送された通信情報の発信者が過去に不正アクセスを行った経歴のある発信者であると前記判定手段が判定した場合に、当該発信者が過去に行った不正アクセスの悪質度を前記履歴記憶手段に記憶されている履歴情報をもとに判定する手段と、
前記悪質度の判定結果に基づいて、予め用意された複数の警告通知処理を選択的に実行する手段と
を備えることを特徴とする請求項１２記載の不正アクセス警告装置。The warning notifying means,
When the determination unit determines that the sender of the transferred communication information is a sender who has a history of unauthorized access in the past, the history of the malicious access performed by the sender in the past is stored in the history. Means for determining based on history information stored in the storage means,
13. The unauthorized access warning device according to claim 12, further comprising means for selectively executing a plurality of prepared warning notification processes based on the result of the determination of the degree of maliciousness. 前記警告通知手段は、前記履歴記憶手段に記憶された履歴情報をもとに、不正アクセスの内容を表す情報と、この不正アクセスの内容に対応する警告メッセージとを含む警告情報を作成し、この作成した警告情報を該当する発信者の端末へ送信することを特徴とする請求項１２記載の不正アクセス警告装置。The warning notifying unit creates warning information including information indicating the contents of the unauthorized access and a warning message corresponding to the contents of the unauthorized access based on the history information stored in the history storage unit. 13. The unauthorized access warning device according to claim 12, wherein the created warning information is transmitted to a corresponding caller's terminal. 端末とサーバ装置との間に設けられるネットワーク接続装置に接続され、コンピュータにより不正アクセスに対する警告処理を実行する不正アクセス警告装置のプログラムであって、
前記端末から前記サーバ装置に対する不正アクセス要求が前記ネットワーク接続装置から転送された場合に、当該不正アクセス要求の発信元アドレス情報をもとに、当該不正アクセス要求の発信者から以後発信される通信情報を自己の不正アクセス警告装置へ転送させるためのルート情報を作成する処理と、
前記作成されたルート情報を前記ネットワーク接続装置に設定する処理と、
前記ルート情報に従い前記ネットワーク接続装置から通信情報が転送された場合に、当該通信情報の発信者に対し警告情報を通知する処理と
を、前記コンピュータに実行させる不正アクセス警告装置のプログラム。A program of an unauthorized access warning device that is connected to a network connection device provided between a terminal and a server device, and executes a warning process for unauthorized access by a computer,
Communication information transmitted from the sender of the unauthorized access request based on the source address information of the unauthorized access request when an unauthorized access request to the server device is transferred from the network connection device from the terminal; Processing to create route information for transferring the information to its own unauthorized access warning device;
A process of setting the created route information in the network connection device;
A program for causing the computer to execute, when communication information is transferred from the network connection device in accordance with the route information, a process of notifying a sender of the communication information of warning information. 端末とサーバ装置との間に設けられるネットワーク接続装置に接続され、コンピュータにより不正アクセスに対する警告処理を実行する不正アクセス警告装置のプログラムであって、
前記端末から前記サーバ装置に対する不正アクセス要求が前記ネットワーク接続装置から転送された場合に、当該不正アクセス要求の発信元アドレス情報をもとに、当該不正アクセス要求の発信者を宛先として以後前記サーバ装置から送信される通信情報を自己の不正アクセス警告装置へ転送させるためのルート情報を作成する処理と、
前記作成されたルート情報を前記ネットワーク接続装置に設定する処理と、
前記ルート情報に従い前記ネットワーク接続装置から通信情報が転送された場合に、当該通信情報の宛先となる発信者に対し警告情報を通知する処理と
を、前記コンピュータに実行させる不正アクセス警告装置のプログラム。A program of an unauthorized access warning device that is connected to a network connection device provided between a terminal and a server device, and executes a warning process for unauthorized access by a computer,
When an unauthorized access request from the terminal to the server device is transferred from the network connection device, the server device is addressed to the sender of the unauthorized access request based on the source address information of the unauthorized access request. A process of creating route information for transferring communication information transmitted from the device to its own unauthorized access warning device,
A process of setting the created route information in the network connection device;
A program for causing the computer to execute, when the communication information is transferred from the network connection device in accordance with the route information, a process of notifying the sender of the communication information of the warning information. 端末とサーバ装置との間に設けられるネットワーク接続装置に接続され、コンピュータにより不正アクセスに対する警告処理を実行する不正アクセス警告装置のプログラムであって、
前記端末から前記サーバ装置に対する不正アクセス要求が前記ネットワーク接続装置から転送された場合に、当該不正アクセス要求の発信元アドレス情報をもとに、当該不正アクセス要求の発信者を宛先として以後前記サーバ装置が送信する通信情報を自己の不正アクセス警告装置へ宛てて送信させるためのルート情報を作成する処理と、
前記作成されたルート情報を前記サーバ装置に設定する処理と、
前記ルート情報に従い前記サーバ装置が送信した通信情報が前記ネットワーク接続装置から転送された場合に、当該通信情報の宛先となる発信者に対し警告情報を通知する警告通知処理と
を、前記コンピュータに実行させる不正アクセス警告装置のプログラム。A program of an unauthorized access warning device that is connected to a network connection device provided between a terminal and a server device, and executes a warning process for unauthorized access by a computer,
When an unauthorized access request from the terminal to the server device is transferred from the network connection device, the server device is addressed to the sender of the unauthorized access request based on the source address information of the unauthorized access request. A process of creating route information for transmitting communication information to be transmitted to its own unauthorized access warning device;
A process of setting the created route information in the server device;
Executing, when the communication information transmitted by the server device according to the route information is transferred from the network connection device, a warning notification process of notifying warning information to a caller serving as a destination of the communication information, to the computer. An unauthorized access warning device program that causes
JP2003111678A 2003-04-16 2003-04-16 Unauthorized access warning device and its program Pending JP2004320453A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2003111678A JP2004320453A (en) 2003-04-16 2003-04-16 Unauthorized access warning device and its program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2003111678A JP2004320453A (en) 2003-04-16 2003-04-16 Unauthorized access warning device and its program

Publications (1)

Publication Number Publication Date
JP2004320453A true JP2004320453A (en) 2004-11-11

Family

ID=33472160

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2003111678A Pending JP2004320453A (en) 2003-04-16 2003-04-16 Unauthorized access warning device and its program

Country Status (1)

Country Link
JP (1) JP2004320453A (en)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007259137A (en) * 2006-03-23 2007-10-04 Ntt Communications Kk Packet transfer device, packet transfer method, and program
JP4686642B1 (en) * 2010-06-11 2011-05-25 大野 泰嗣 Nuisance call rejection system

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007259137A (en) * 2006-03-23 2007-10-04 Ntt Communications Kk Packet transfer device, packet transfer method, and program
WO2007119491A1 (en) * 2006-03-23 2007-10-25 Ntt Communications Corporation Packet transfer device, packet transfer method, and program
US8091136B2 (en) 2006-03-23 2012-01-03 Ntt Communications Corporation Packet transfer device, packet transfer method, and program
JP4686642B1 (en) * 2010-06-11 2011-05-25 大野 泰嗣 Nuisance call rejection system
JP2011259355A (en) * 2010-06-11 2011-12-22 Ono Yasuji Nuisance call connection refusal system

Similar Documents

Publication Publication Date Title
EP1903745B1 (en) System and method for preventing spam over internet telephony
JP4261033B2 (en) Communication network and method for providing secure transmissions therein and method and communication system for processing communication connection requests
US8599695B2 (en) Selective internet priority service
US11509665B2 (en) System, method and computer readable medium for message authentication to subscribers of an internet service provider
US20160234142A1 (en) System and Method for Improved Notifications
JP2008526144A (en) Method, system and apparatus for realizing data service security in a mobile communication system
CA2326251A1 (en) System, method and computer program product for support of bearer path services in a distributed control network
JP2004320453A (en) Unauthorized access warning device and its program
Cisco Release Notes for the BTS 10200 Release 2.0
JP2007264990A (en) Automatic notification device of illegal communication and automatic notification program of unauthorized communication
JP2008048047A (en) Terminal device, session management device, system, method, and program
US8046419B2 (en) Method of processing open asynchronous application service event and open web service gateway implementing the same
JP2003330887A (en) Illegal access warning device, server device, and illegal access warning program
KR100814248B1 (en) System for preventing mobile terminal from receiving call in mobile network and method therefor
JP2007066117A (en) Information notification method and server
CA2700809C (en) Process to protect against viruses/spam in mobile broadcast networks
JP3781680B2 (en) Terminal for performing packet transmission by wireless communication, and program for the terminal
WO2006075378A1 (en) Network management program, server control program, network management device, server, and network management method
JP2001268261A (en) Method for providing data communication service using mobile network, mobile unit for receiving data communication service using the mobile network, and external device
JP3392098B2 (en) Switch for intelligent network service between networks
JP2007096941A (en) Repeater system
EP1903830A1 (en) Cellular data system security method
JP2002305552A (en) Dialup connection method, communication network system, server unit and communication terminal
JP2003324460A (en) Method for displaying error message in access control and gateway device
JP2007013614A (en) Communication control apparatus and communication control method