JP2005130190A - 攻撃パケット防御システム - Google Patents

Abstract

【課題】 ファイアウォールを用いてサーバだけでなく、当該サーバに至る通信経路も攻撃から守る。
【解決手段】 サーバに到来するパケットを当該サーバの前段で受信し当該サーバに対する攻撃パケットを検出し、攻撃パケットが検出された旨の情報を送出し、ネットワークのボーダで、当該ネットワーク外からのパケットを受信し前記情報に基づき攻撃パケットを識別して廃棄する。あるいは、ネットワークのボーダで、当該ネットワーク外からのパケットを受信し攻撃パケットを検出し、攻撃パケットが検出された旨の情報を送出し、検出結果あるいは他から受信した前記情報に基づき攻撃パケットを識別して廃棄する。
【選択図】 図１

Description

本発明は、特定のパケットを識別して廃棄する装置に利用する。特に、ネットワーク内への攻撃パケットの侵入を防御する技術に関する。ここで、攻撃パケットとは、悪意のある攻撃者がユーザにサービスを提供するサーバの機能を麻痺させるために送出するパケットをいう。例えば、ＳＹＮフラッディング攻撃に用いるＳＹＮパケットは攻撃パケットである。

悪意のある攻撃者がユーザにサービスを提供するサーバの機能を麻痺させるために攻撃パケットを送出するという不正行為が多数報告されている。このような攻撃パケットからサーバを防御するための手段としてファイアウォールが知られている（例えば、非特許文献１参照）。

従来のファイアウォールの構成を図８に示す。従来のファイアウォールは、サーバＳの前段に設定する。ファイアウォールは、さまざまなパケットフィルタリング機能を有しており、攻撃者からのパケットを識別して廃棄する。これにより、サーバは攻撃を回避することができる。

攻撃パケットの識別方法としては、例えば、ＳＹＮフラッディング攻撃であれば、連続的に大量のＳＹＮパケットが送出されるので、ＳＹＮパケットのトラヒックを監視することにより識別可能である。あるいは、過去に攻撃パケットを送出した攻撃者の送出元アドレスが判明しているのであれば、当該送出元アドレスを有するパケットを攻撃パケットとして識別可能である。
二木真明、"ファイアウォール「安全性の意味と代償」"、［ｏｎｌｉｎｅ］、Ｉｎｔｅｒｎｅｔ Ｗｅｅｋ ２００２、チュートリアルＴ１１、［平成１５年１０月１６日検索］、インターネット<URL:http://www.nic.ad.jp/ja/materials/iw/2002/proceeding/T11.pdf>

このような従来のファイアウォールでは、攻撃者が送出したパケットは、ネットワークを通ってサーバＳの前段まで到達する。一般に、攻撃者が送出するパケットは異常に個数が多く、当該サーバに至る通信経路のトラヒック量は異常に大きくなり、輻輳状態に陥る場合もある。このとき、当該サーバにアクセスを試みる正当なユーザのパケットは、この輻輳状態の影響を受けてサーバに到達できない。

すなわち、従来のファイアウォールは、サーバ自身を攻撃から守ることはできるが、当該サーバに至る通信経路を攻撃から守ることはできない。

本発明は、このような背景に行われたものであって、サーバだけでなく、当該サーバに至る通信経路も攻撃から守ることができる攻撃パケット防御システムを提供することを目的とする。

本発明の第一の観点は、攻撃パケット防御システムであって、本発明の特徴とするところは、サーバに到来するパケットを当該サーバの前段で受信し当該サーバに対する攻撃パケットを検出する手段と、この検出する手段により攻撃パケットが検出された旨の情報を送出する手段とを備えたファイアウォール装置と、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し前記情報に基づき攻撃パケットを識別して廃棄する手段を備えたフィルタ装置とを備えたところにある（請求項１）。

このように、本発明は、サーバの前段のファイアウォール装置で検出した攻撃パケットの情報をネットワークのボーダにあるフィルタ装置に通知することにより、ネットワークのボーダで攻撃パケットを阻止できることを特徴とする。これにより、本発明によれば、サーバだけでなく、当該サーバに至る通信経路も攻撃から守ることができる。

前記情報として、攻撃対象となる宛先アドレスと、攻撃者の送信元アドレスとを含み、前記廃棄する手段は、前記情報に含まれる宛先アドレスおよび送信元アドレスを有するパケットを廃棄する手段を備えることができる（請求項２）。これにより精度良く攻撃パケットを識別して廃棄することができる。

このときには、前記攻撃対象となる宛先アドレスを有するが前記攻撃者の送信元アドレスを有しないパケットに対してレート規制する手段を備えることもできる（請求項３）。これにより、攻撃者が自己の送信元アドレスを詐称した場合でもこれに対処することができる。すなわち、とりあえず攻撃対象となる宛先アドレスを有するパケットに対しては全てレート規制を施すことにより、二重の安全策をとることができる。

あるいは、前記情報として、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、前記廃棄する手段は、前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットを廃棄する手段を備えることができる（請求項４）。

これによれば、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット以外のパケットを廃棄するので、攻撃者が自己の送信元アドレスを隠蔽したり、あるいは、詐称している場合でも攻撃パケットの識別を行うことができる。

ただし、この場合には、前記情報には未だ含まれず、新規に攻撃対象となる宛先アドレスに対して正常にアクセスしようとするパケットまでもが廃棄の対象となってしまうという問題がある。この問題を補うために、前記情報は、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、前記廃棄する手段は、前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットに対してそのレートを監視すると共に所定レートを上回るパケットについてはレート規制する手段と、レートの監視結果が一定時間所定レートを上回らないパケットの送信元アドレスについてはこれを新規に正常にアクセスしているパケット送信元アクセスの情報に加える手段とを備えることもできる（請求項５）。

これによれば、前記情報に含まれない送信元アドレスのパケットについても直ちに廃棄するのではなく、とりあえずレート規制を施した上でレートを監視し、例えば、攻撃パケットの特徴である急激なレート増加が観られなければ、当該送信元アドレスは新規に攻撃対象となる宛先アドレスに対して正常にアクセスしようとするパケット送信元であると判断し、これを前記情報に追加することにより、このような正常なパケット送信元の新規参入を許容することができる。

あるいは、本発明の攻撃パケット防御システムは、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットを検出する手段と、この検出する手段により攻撃パケットが検出された旨の情報を送出する手段と、前記検出する手段の検出結果あるいは他から受信した前記情報に基づき攻撃パケットを識別して廃棄する手段とを備えたフィルタ装置が複数設けられたことを特徴とする（請求項６）。

これによれば、攻撃パケットの検出もネットワークのボーダで行うことができるため、サーバの前段で検出する場合と比較すると、攻撃パケットの検出を早期に行うことができる。

本発明の第二の観点は、サーバに到来するパケットを当該サーバの前段で受信し当該サーバに対する攻撃パケットを検出する手段と、この検出する手段により攻撃パケットが検出された旨の情報を送出する手段とを備えたことを特徴とするファイアウォール装置である（請求項７）。

本発明の第三の観点は、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットが検出された旨の情報に基づき攻撃パケットを識別して廃棄する手段を備えたことを特徴とするフィルタ装置である（請求項８）。

前記情報は、攻撃対象となる宛先アドレスと、攻撃者の送信元アドレスとを含み、前記廃棄する手段は、前記情報に含まれる宛先アドレスおよび送信元アドレスを有するパケットを廃棄する手段を備えることができる（請求項９）。

さらに、前記攻撃対象となる宛先アドレスを有するが前記攻撃者の送信元アドレスを有しないパケットに対してレート規制する手段を備えることができる（請求項１０）。

あるいは、前記情報は、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、前記廃棄する手段は、前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットを廃棄する手段を備えることができる（請求項１１）。

あるいは、前記情報は、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、前記廃棄する手段は、前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットに対してそのレートを監視すると共に所定レートを上回るパケットについてはレート規制する手段と、レートの監視結果が一定時間所定レートを上回らないパケットの送信元アドレスについてはこれを新規に正常にアクセスしているパケット送信元アクセスの情報に加える手段とを備えることができる（請求項１２）。

あるいは、本発明のフィルタ装置は、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットを検出する手段と、この検出する手段により攻撃パケットが検出された旨の情報を送出する手段と、前記検出する手段の検出結果あるいは他から受信した前記情報に基づき攻撃パケットを識別して廃棄する手段とを備えたことを特徴とする（請求項１３）。

本発明の第四の観点は、情報処理装置にインストールすることにより、その情報処理装置に、サーバに到来するパケットを当該サーバの前段で受信し当該サーバに対する攻撃パケットを検出する機能と、この検出する機能により攻撃パケットが検出された旨の情報を送出する機能とを備えたファイアウォール装置に相応する機能を実現させることを特徴とするプログラムである（請求項１４）。

また、本発明のプログラムは、情報処理装置にインストールすることにより、その情報処理装置に、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットが検出された旨の情報に基づき攻撃パケットを識別して廃棄する機能を備えたフィルタ装置に相応する機能を実現させる（請求項１５）。

このときに、前記情報は、攻撃対象となる宛先アドレスと、攻撃者の送信元アドレスとを含み、前記廃棄する機能として、前記情報に含まれる宛先アドレスおよび送信元アドレスを有するパケットを廃棄する機能を実現させることができる（請求項１６）。

さらに、前記攻撃対象となる宛先アドレスを有するが前記攻撃者の送信元アドレスを有しないパケットに対してレート規制する機能を実現させることができる（請求項１７）。

あるいは、前記情報は、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、前記廃棄する機能として、前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットを廃棄する機能を実現させることができる（請求項１８）。

あるいは、前記情報は、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、前記廃棄する機能として、前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットに対してそのレートを監視すると共に所定レートを上回るパケットについてはレート規制する機能と、レートの監視結果が一定時間所定レートを上回らないパケットの送信元アドレスについてはこれを新規に正常にアクセスしているパケット送信元アクセスの情報に加える機能とを実現させることができる（請求項１９）。

あるいは、本発明のプログラムは、情報処理装置にインストールすることにより、その情報処理装置に、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットを検出する機能と、この検出する機能により攻撃パケットが検出された旨の情報を送出する機能と、前記検出する機能の検出結果あるいは他から受信した前記情報に基づき攻撃パケットを識別して廃棄する機能とを備えたフィルタ装置に相応する機能を実現させる（請求項２０）。

本発明の第五の観点は、本発明のプログラムが記録された前記情報処理装置読取可能な記録媒体である（請求項２１）。本発明のプログラムは本発明の記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。

これにより、汎用の情報処理装置を用いて、サーバだけでなく、当該サーバに至る通信経路も攻撃から守ることができる攻撃パケット防御システムを実現することができる。

本発明によれば、サーバだけでなく、当該サーバに至る通信経路も攻撃から守ることができる。

（第一実施例）
第一実施例を図１を参照して説明する。図１は第一実施例のシステム構成を説明するための図である。

第一実施例の攻撃パケット防御システムは、図１に示すように、サーバＳに到来するパケットを当該サーバＳの前段で受信し当該サーバＳに対する攻撃パケットを検出する手段と、この検出する手段により攻撃パケットが検出された旨の情報を送出する手段とを備えたファイアウォール装置ＦＷと、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し前記情報に基づき攻撃パケットを識別して廃棄する手段を備えたフィルタ装置Ｆとを備えたことを特徴とする（請求項１、７、８）。図１の例では、フィルタ装置Ｆは、ボーダルータＢＲの外部に設けているが、ボーダルータＢＲの機能の一部として構成してもよい。

サーバＳの前段にあるファイアウォール装置ＦＷは網内装置である。ユーザＡおよびユーザＢはＤＤｏＳ等の悪意攻撃を行っているユーザであり、ユーザＣは、正常ユーザである。

サーバＳの前段にあるファイアウォール装置ＦＷで検出された攻撃パケットは網内の制御用パケットにより、当該網内のボーダルータＢＲへ周知され、各ボーダルータＢＲでは、その情報をフィルタ装置Ｆに伝達する。この動作により、ユーザＡとユーザＢとは、当該サーバＳへはアクセスできず、ユーザＣのみがアクセスできる。

なお、フィルタ装置ＦをボーダルータＢＲの機能の一部として構成する場合には、ボーダルータＢＲがファイアウォール装置ＦＷからの攻撃パケット検出情報を受け取ってからボーダルータＢＲのインタフェース部にフィルタ装置Ｆに相応する機能を生成してもよい。

（第二実施例）
第二実施例を図２および図３を参照して説明する。図２は第二実施例のＩ−ＢＧＰ（Internet-Border
Gateway Protocol）による情報伝達を説明するための図である。図３は第二実施例のボーダルータでの動作を説明するための図である。

第二実施例は、攻撃パケット検出情報の伝達方法に関する実施例である。図２に示すように、検出されたファイアウォール装置ＦＷからの攻撃パケット検出情報は、Ｉ−ＢＧＰにより、ＢＧＰルータであるボーダルータＢＲのルーティング制御部Ｒへ周知される。ＢＧＰパケットは、もともとホーダルータＢＲ間でメッシュ状に連絡できるプロトコルであり、全てのボーダルータＢＲで周知される。

図３に具体的なボーダルータ（ユーザ側）の動作を示す。ボーダルータでは、ルーティング制御部ＲがＢＧＰパケットに含まれる攻撃者リストを受け取ると、インタフェース部Ｉの中にフィルタ装置Ｆに相応する機能を生成する。

このフィルタ装置Ｆに相応する機能は、ＢＧＰパケットに載った攻撃者の攻撃しているＤＡ（宛先）および攻撃者のＳＤ（ソースアドレス）を元に、Ａｃｔｉｏｎとして不通過（廃棄）を行う（請求項２、９）。これにより、いわゆる攻撃を行っているブラックリストとなったユーザは、当該サーバＳへはアクセスできない。

ただし、攻撃がより巧妙化して、攻撃者がＳＡを偽った場合には、攻撃パケットを単純に不通過とすることはできないが、このような場合を想定した実施例として、当該ＤＡに対してのレート規制を実施することにより、サーバダウンから救うことができる（請求項３、１０）。

（第三実施例）
第三実施例を図４および図５を参照して説明する。図４は第三実施例のＩ−ＢＧＰにより情報伝達を説明するための図である。図５は第三実施例のボーダルータでの動作を説明するための図である。

第三実施例におけるネットワークの構成は、第二実施例と同様であるが、図４に示すように、ＢＧＰパケットには、攻撃を受けているときに、正常にアクセスしているＳＡの情報を載せる（請求項４、１１）。図５に示すように、ルーティング制御部ＲがＢＧＰパケットに含まれる攻撃ターゲットサーバおよび当該サーバに対する正常ユーザに関するリストを受け取ると、インタフェース部Ｉの中にフィルタ装置Ｆに相応する機能を生成する。

このフィルタ装置Ｆに相応する機能では、正常ユーザは、ボーダルータで通過を許し、それ以外のユーザは攻撃ユーザとみなし、攻撃ユーザのパケットは不通過（廃棄）とする。

また、第三実施例は、新規の正常なユーザまでもが不通過となる問題を解決するための実施例として、攻撃対象となるサーバＳに対する前記情報に含まれる正常ユーザ以外のパケットも、とりあえず一定レートのみを通過させる実施例も考えられる。このときに、レート監視を行い、一定時間所定レートを上回らない場合には、新規に参入した正常ユーザであると判断し、正常ユーザリストへ追加する（請求項５、１２）。正常ユーザリストに追加された新規参入ユーザについては、以降、レート規制の対象とならず、正常に通信を行うことができる。

（第四実施例）
第四実施例を図６および図７を参照して説明する。図６は第四実施例の攻撃パケット防御システムの構成を示す図である。図７は第四実施例のモニタ機能の構成を示す図である。

第四実施例の攻撃パケット防御システムは、図６に示すように、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットを検出するモニタ機能部と、このモニタ機能部により攻撃パケットが検出された旨の情報を送出する手段と、モニタ機能部の検出結果あるいは他から受信した前記情報に基づき攻撃パケットを識別して廃棄するフィルタ機能部とを備えたフィルタ装置Ｆが複数設けられたことを特徴とする（請求項６、１３）。

全てのフィルタ装置Ｆにモニタ機能部を備え、このモニタ機能部で検出される攻撃パケットは、Ｉ−ＢＧＰの制御パケットでフィルタ装置Ｆ間に分配し、各フィルタ装置Ｆはその情報を元にフィルタリングを行う。

図７に示したように、例えば、ある特定ＤＡに対してのＳＹＮパケットの量を測定することにより攻撃を検出することができる。図７の例では、ＤＡ１２８．１５．４２．２に対して著しくレートの大きなパケット転送が発生しているので、当該ＤＡを攻撃対象とした攻撃が検出される。

攻撃が検出された場合には、直ちに、当該ＤＡ宛てのパケットは全て不通過（廃棄）としてもよいが、閾値が比較的低く設定されている場合には、単純に攻撃と断定することが難しい場合もある。この場合には、各フィルタ装置Ｆでのフィルタリングは、不通過のみではなく、レート制御も考えられる。

（第五実施例）
本発明は、汎用の情報処理装置にインストールすることにより、その情報処理装置に本発明のファイアウォール装置およびフィルタ装置に相応する機能を実現させるプログラムとして実現することができる（請求項１４〜２０）。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ（請求項２１）、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、本実施例のファイアウォール装置、フィルタ装置にそれぞれ相応する機能を実現させることができる。

本発明によれば、サーバだけでなく、当該サーバに至る通信経路も攻撃から守ることができるため、当該サーバにアクセスを試みるユーザに対するサービス品質を向上させることができる。これにより、ユーザ勧誘に資することができる。

第一実施例のシステム構成を説明するための図。 第二実施例のＩ−ＢＧＰによる情報伝達を説明するための図。 第二実施例のボーダルータでの動作を説明するための図。 第三実施例のＩ−ＢＧＰにより情報伝達を説明するための図。 第三実施例のボーダルータでの動作を説明するための図。 第四実施例の攻撃パケット防御システムの構成を示す図。 第四実施例のモニタ機能の構成を示す図。 従来のファイアウォールのシステム構成を説明するための図。

符号の説明

Ａ〜Ｃ ユーザ
ＢＲ ボーダルータ
Ｆ フィルタ装置
ＦＷ ファイアウォール装置
Ｉ インタフェース部
Ｒ ルーティング制御部
Ｓ サーバ

Claims (21)

1. サーバに到来するパケットを当該サーバの前段で受信し当該サーバに対する攻撃パケットを検出する手段と、
   この検出する手段により攻撃パケットが検出された旨の情報を送出する手段と
   を備えたファイアウォール装置と、
   ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し前記情報に基づき攻撃パケットを識別して廃棄する手段を備えたフィルタ装置と
   を備えたことを特徴とする攻撃パケット防御システム。
2. 前記情報は、攻撃対象となる宛先アドレスと、攻撃者の送信元アドレスとを含み、
   前記廃棄する手段は、前記情報に含まれる宛先アドレスおよび送信元アドレスを有するパケットを廃棄する手段を備えた
   請求項１記載の攻撃パケット防御システム。
3. 前記攻撃対象となる宛先アドレスを有するが前記攻撃者の送信元アドレスを有しないパケットに対してレート規制する手段を備えた請求項２記載の攻撃パケット防御システム。
4. 前記情報は、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、
   前記廃棄する手段は、前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットを廃棄する手段を備えた
   請求項１記載の攻撃パケット防御システム。
5. 前記情報は、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、
   前記廃棄する手段は、
   前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットに対してそのレートを監視すると共に所定レートを上回るパケットについてはレート規制する手段と、
   レートの監視結果が一定時間所定レートを上回らないパケットの送信元アドレスについてはこれを新規に正常にアクセスしているパケット送信元アクセスの情報に加える手段と
   を備えた請求項１記載の攻撃パケット防御システム。
6. ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットを検出する手段と、
   この検出する手段により攻撃パケットが検出された旨の情報を送出する手段と、
   前記検出する手段の検出結果あるいは他から受信した前記情報に基づき攻撃パケットを識別して廃棄する手段と
   を備えたフィルタ装置が複数設けられたことを特徴とする攻撃パケット防御システム。
7. サーバに到来するパケットを当該サーバの前段で受信し当該サーバに対する攻撃パケットを検出する手段と、
   この検出する手段により攻撃パケットが検出された旨の情報を送出する手段と
   を備えたことを特徴とするファイアウォール装置。
8. ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットが検出された旨の情報に基づき攻撃パケットを識別して廃棄する手段を備えたことを特徴とするフィルタ装置。
9. 前記情報は、攻撃対象となる宛先アドレスと、攻撃者の送信元アドレスとを含み、
   前記廃棄する手段は、前記情報に含まれる宛先アドレスおよび送信元アドレスを有するパケットを廃棄する手段を備えた
   請求項８記載のフィルタ装置。
10. 前記攻撃対象となる宛先アドレスを有するが前記攻撃者の送信元アドレスを有しないパケットに対してレート規制する手段を備えた請求項９記載のフィルタ装置。
11. 前記情報は、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、
    前記廃棄する手段は、前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットを廃棄する手段を備えた
    請求項８記載のフィルタ装置。
12. 前記情報は、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、
    前記廃棄する手段は、
    前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットに対してそのレートを監視すると共に所定レートを上回るパケットについてはレート規制する手段と、
    レートの監視結果が一定時間所定レートを上回らないパケットの送信元アドレスについてはこれを新規に正常にアクセスしているパケット送信元アクセスの情報に加える手段と
    を備えた請求項８記載のフィルタ装置。
13. ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットを検出する手段と、
    この検出する手段により攻撃パケットが検出された旨の情報を送出する手段と、
    前記検出する手段の検出結果あるいは他から受信した前記情報に基づき攻撃パケットを識別して廃棄する手段と
    を備えたことを特徴とするフィルタ装置。
14. 情報処理装置にインストールすることにより、その情報処理装置に、
    サーバに到来するパケットを当該サーバの前段で受信し当該サーバに対する攻撃パケットを検出する機能と、
    この検出する機能により攻撃パケットが検出された旨の情報を送出する機能と
    を備えたファイアウォール装置に相応する機能を実現させることを特徴とするプログラム。
15. 情報処理装置にインストールすることにより、その情報処理装置に、
    ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットが検出された旨の情報に基づき攻撃パケットを識別して廃棄する機能を備えたフィルタ装置に相応する機能を実現させるプログラム。
16. 前記情報は、攻撃対象となる宛先アドレスと、攻撃者の送信元アドレスとを含み、
    前記廃棄する機能として、前記情報に含まれる宛先アドレスおよび送信元アドレスを有するパケットを廃棄する機能を実現させる
    請求項１５記載のプログラム。
17. 前記攻撃対象となる宛先アドレスを有するが前記攻撃者の送信元アドレスを有しないパケットに対してレート規制する機能を実現させる請求項１６記載のプログラム。
18. 前記情報は、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、
    前記廃棄する機能として、前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットを廃棄する機能を実現させる
    請求項１５記載のプログラム。
19. 前記情報は、攻撃対象となる宛先アドレスに対して正常にアクセスしているパケット送信元アドレスを含み、
    前記廃棄する機能として、
    前記情報に含まれる送信元アドレス以外の送信元アドレスを有するパケットに対してそのレートを監視すると共に所定レートを上回るパケットについてはレート規制する機能と、
    レートの監視結果が一定時間所定レートを上回らないパケットの送信元アドレスについてはこれを新規に正常にアクセスしているパケット送信元アクセスの情報に加える機能と
    を実現させる請求項１５記載のプログラム。
20. 情報処理装置にインストールすることにより、その情報処理装置に、
    ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットを検出する機能と、
    この検出する機能により攻撃パケットが検出された旨の情報を送出する機能と、
    前記検出する機能の検出結果あるいは他から受信した前記情報に基づき攻撃パケットを識別して廃棄する機能と
    を備えたフィルタ装置に相応する機能を実現させることを特徴とするプログラム。
21. 請求項１４ないし２０のいずれかに記載のプログラムが記録された前記情報処理装置読み取り可能な記録媒体。

Images