JP2005210601A

JP2005210601A - 不正侵入検知装置

Info

Publication number: JP2005210601A
Application number: JP2004017131A
Authority: JP
Inventors: Hiroshi Kuragami; 弘倉上; Takao Kawada; 隆夫川田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2004-01-26
Filing date: 2004-01-26
Publication date: 2005-08-04

Abstract

【課題】検出ルールをあらかじめ用意しなくても、トラヒック分析処理により、不正侵入対象ネットワークや不正パケット送信元ネットワークを検出する。
【解決手段】ネットワークのトラヒックを観測し、指定したパケットを対象として宛先アドレスに対してパケット数を複数のマスクでカウントする宛先アドレス分析手段と、指定したパケットを対象として送信元アドレスに対してパケット数を複数のマスクでカウントする送信元アドレス分析手段とを設け、これらの手段によリカウントされる単位時間当りのパケット数がビット値毎のカウンタ閾値あるいは統計的増加率の閾値以上となることにより攻撃対象を検知する。
【選択図】図２

Description

本発明は、ネットワーク上を流れるパケットを入手して動作し、不正アクセスやサービス不能攻撃などを検知する不正侵入検知装置に関する。

近年、コンピュータシステムへの不正アクセスや、主としてインターネット上のWebサーバ、メールサーバ等の各種サーバに対して大量の無意味なサービス接続要求を送り付け、サーバの負荷を高めてサーバをダウンさせたり、他の正当なユーザへのサービスを妨げたりするサービス不能攻撃（DoS攻撃：Denial of Service attack）などが問題になっている。そこで、このような問題を解決するために、インターネットを介した不正侵入を検知する技術として、ネットワークを介して送信されてくるパケットの量を監視してトラヒック値を求め、この観測トラヒック値に基づいていずれかの分析項目に関して不正アクセスパケットかどうかの不正アクセス分析を行う不正侵入検知装置が知られている（例えば、特許文献１参照）。

図１は上記従来の不正侵入検知装置を含むシステムの構成図であり、同図において、１０１は不正侵入検知装置、１０２はこの不正侵入検知装置が接続されたネットワーク、１０３は上記不正侵入検知装置１０１を管理するシステム管理者、１０４は上記ネットワーク１０２を流れるパケット、１０５は上記ネットワーク１０２との間でパケット１０４を送受信する通信手段、１０６は取得したパケットの量を監視するパケット監視手段、１０７は受信したパケットが不正であるか否かを判断するパケット分析手段、１０８は不正なパケットがあった場合にシステム管理者１０３に通知する不正アクセス通知手段、１０９は上記システム管理者１０３が侵入検知装置１０１に対して各種設定項目等を入力するための入力手段である。

上記従来の不正侵入検知装置１０１は、ネットワーク１０２に流れるパケット１０４をパケット監視手段１０６にて監視して、単位時間当りのパケット取得数を観測トラヒック値として出力し、次いでパケット分析手段１０７にて、パケットが不正アクセスパケットかどうかの不正アクセス分析を、上記観測トラヒック値が所定の閾値以上である場合にパターンマッチング又は統計的手法によって行うようにしたものである。
特開２００３−２０４３５８号公報

上述したような従来の不正侵入検知装置では、パケット情報に対する閾値をあらかじめ設定した上、分析項目で分析パターンを指定する必要がある。また、攻撃ツールなどにより送信元アドレスを偽装して多数の送信元アドレスによる攻撃が行われた場合に、その攻撃のパケットを検知してもホスト単位の宛先又は送信元アドレスで通知されるため、送信元アドレスに対してどの範囲で遮断すべきかシステム管理者が手作業で分析する必要がある。

そこで本発明は、上述したような問題点を解決するため、あらかじめ監視・分析のためのパターンを指定しなくても、攻撃パケットを宛先アドレス及び送信元アドレスに対して複数のマスクで自動的に検知し、トラヒックを自動で制御し得る不正侵入検知装置を提供することを目的とする。

上記目的を達成するために、請求項１に記載の発明は、ネットワーク上を流れるパケットを入手して動作し、不正アクセスやサービス不能攻撃などを検知する不正侵入検知装置において、当該不正侵入検知装置が、ネットワークのトラヒックを観測する手段と、指定したパケットを対象として宛先アドレスに対してパケット数を複数のマスクでカウントし、単位時間当りのパケット数がマスク毎のカウンタ攻撃判断閾値あるいはパケットの統計的増加率の攻撃判断閾値以上となるときに、宛先アドレス/マスクとパケットの取得時刻情報とを出力する宛先アドレス分析手段と、指定したパケットを対象として送信元アドレスに対してパケット数を複数のマスクでカウントし、単位時間当りのパケット数がマスク毎のカウンタ攻撃判断閾値あるいはパケットの統計的増加率の攻撃判断閾値以上となるときに送信先アドレス/マスクと時刻情報を出力する送信元アドレス分析手段と、前記宛先アドレス分析手段及び送信元アドレス分析手段からの各出力を取得して、それぞれ宛先アドレス/マスク及び送信先アドレス/マスクの組の攻撃判断情報に基づく攻撃検出アラートを発信する攻撃判定手段とを備えていることを特徴とする不正侵入検知装置にある。

また、請求項２の発明は、請求項１において、前記ネットワークのトラヒックを観測する手段が、ネットワークから通信手段を介してパケットを取得してパケット情報及び該パケットを取得した時刻情報を出力するパケット情報取得手段と、該パケット情報取得手段からのパケット情報及び時刻情報を取得して、フィルタ情報を設定するパケット情報フィルタ設定手段による設定に基づいてパケットをフィルタリングし、パケット情報及び時刻情報をパケット情報保存手段に出力するパケット情報フィルタ手段とを含むことを特徴とする。

また、請求項３の発明は、請求項１において、前記宛先アドレス分析手段が、宛先アドレス空間を複数のマスクでマスク毎にカウントするカウンタを有することを特徴とする。

また、請求項４の発明は、請求項１において、前記送信元アドレス分析手段が、送信元アドレス空間を複数のマスクでマスク毎にカウントするカウンタを有することを特徴とする。

また、請求項５の発明は、請求項１において、前記宛先アドレス分析手段は、既に出力した攻撃判断情報に対応するカウンタ値が攻撃終了判断閾値以下になった際に、攻撃終了判断情報を出力することを特徴とする。

また、請求項６の発明は、請求項１において、前記送信元アドレス分析手段は、既に出力した攻撃判断情報に対応するカウンタ値が攻撃終了判断閾値以下になった際に、攻撃終了判断情報を出力することを特徴とする。

また、請求項７の発明は、請求項１において、前記不正侵入検知装置が、指定したパケットを対象として宛先ポートに対してパケット数をカウントし、一定時間で最大となるカウンタ値の宛先ポート及び時刻情報を出力する宛先ポート分析手段も具えていることを特徴とする。

また、請求項８の発明は、請求項１において、前記宛先ポート分析手段が、指定されたパケットに対して、宛先ポート毎にカウントするカウンタを有することを特徴とする。

また、請求項９の発明は、請求項７において、前記不正侵入検知装置が、前記攻撃判定手段からの設定に基づいて、パケットに対して帯域制限や廃棄などのトラヒックコントロールを行うトラヒックコントロール手段も備え、前記攻撃判定手段が前記トラヒックコントロール手段に対して、前記宛先アドレス/マスク、宛先ポート及び送信先アドレス/マスクに対するトラヒックを帯域制限や廃棄するよう設定することにより、トラヒックコントロールをあらかじめ自動設定し得るようにしたことを特徴とする。

また、請求項１０の発明は、請求項１において、前記攻撃判定手段が、前記宛先アドレス分析手段及び送信元アドレス分析手段に対し、出力契機や攻撃終了判断契機となるカウンタ値の攻撃判断閾値及び攻撃終了判断閾値を設定することを特徴とする。

上述した本発明によれば、プロバイダのバックボーンルータのように、保護対象アドレスを決めることが困難な場合や保護対象アドレスリストが膨大になる場合でも、保護対象アドレスなどの検出パターンを設定することなしに、攻撃されているアドレス/マスクを自動的に検出することが可能になる。そして、ツールなどにより送信元アドレスを広範囲に詐称されている場合や、標的となるコンピュータに対してネットワーク的に大きな負荷を加えることで、サービスをダウンさせたり、実質的にサービスを利用不能にする分散サービス不能攻撃（DDoS攻撃：Distributed Denial of Service attacks）などの場合でも、攻撃しているアドレス/マスクを自動的に検出し、自動でトラヒックコントロールすることができる。

次に、本発明の実施形態について図面を参照しながら説明する。
図２は本発明の一実施形態による不正侵入検知装置２００を含むネットワークシステムの概略構成を示すブロック図であり、不正侵入検知装置２００が接続されたネットワーク２０４には、不正マシン２０１や正常マシン２０２やサーバ２０３などが接続され、ネットワーク２０４上にパケット２０５が流れているものとする。

不正侵入検知装置２００は、通信手段２０６、パケット情報取得手段２０７、パケット情報フィルタ設定手段２０８、パケット情報フィルタ手段２０９、パケット情報保存手段２１０、宛先アドレス分析手段２１１、宛先ポート分析手段２１２、送信元アドレス分析手段２１３、攻撃判定手段２１４及びトラヒックコントロール手段２１５を備えており、通信手段２０６、パケット情報取得手段２０７、パケット情報フィルタ設定手段２０８、パケット情報フィルタ手段２０９及びパケット情報保存手段２１０は、本発明におけるトラヒック観測手段を成す。

通信手段２０６は、ネットワーク２０４上を流れているパケット２０５を取得してパケット情報取得手段２０７へ送信する。

パケット情報取得手段２０７は、通信手段２０６からパケット２０５を取得してパケット情報及び該パケットを取得した時刻情報を出力する。パケット２０５は、送信元アドレス、宛先アドレス等が記録されているヘッダ情報部とデータ部とを有している。

パケット情報フィルタ設定手段２０８は、パケット情報フィルタ手段２０９に対して、フィルタ情報を設定する。

パケット情報フィルタ手段２０９は、パケット情報取得手段２０７からパケット情報及び時刻情報を取得し、パケット情報フィルタ設定手段２０８によるフィルタ情報の設定に基づいてパケットをフィルタリングして、このフィルタリング処理したパケット情報と時刻情報をパケット情報保存手段２１０に出力する。

パケット情報保存手段２１０は、パケット情報フィルタ手段２０９からのパケット情報と時刻情報を保存する。

宛先アドレス分析手段２１１は、宛先アドレス空間を複数のマスク（なお、「マスク」とは、１つのネットワーク・アドレスで、複数のネットワークを識別するのに用いられ、具体的には全３２ビットのIPアドレスのホスト部の一部のビットをネットワークの識別に用いるものである）でマスク毎にカウントするカウンタを有しており、この宛先アドレス分析手段２１１は、パケット情報保存手段２１０から取得した宛先アドレスと時刻情報より、宛先アドレスをツリーでビット値毎にカウントする。また、この際、ビット毎に一定期間の平均カウンタ増加値を記録して、これを統計的増加率の判定基準とする。そして、時刻情報に基づいた一定時間のビット値毎に設定されたカウンタ攻撃判断閾値あるいは統計的増加率の攻撃判断閾値以上のカウンタ値になったときに、該当するカウンタに対応している宛先アドレス/マスク及び時刻情報を攻撃判断情報として出力する。既に出力した攻撃判断情報に対応するカウンタ値が攻撃終了判断閾値以下になったときには、攻撃終了判断情報を出力する。

宛先ポート分析手段２１２は、指定されたパケットに対し、宛先ポート毎にパケット数をカウントするカウンタを有しており、この宛先ポート分析手段２１２はパケット情報保存手段２１０より、宛先アドレス分析手段２１１にて出力された宛先アドレス/マスク及び時刻情報に対応するパケット情報の宛先ポートを抽出し、宛先ポートをカウントする。そして、一定時間で最大となるカウンタ値の宛先ポート及び時刻情報を出力する。この宛先ポート分析手段２１２は本発明にとっては必ずしも必要でなく、適宜省くこともできる。

送信元アドレス分析手段２１３は、送信元アドレス空間を複数のマスクでマスク毎にカウントするカウンタを有しており、この送信元アドレス分析手段２１３は、パケット情報保存手段２１０より、宛先アドレス分析手段２１１及び宛先ポート分析手段２１２にて出力された宛先アドレス/マスクと、宛先ポート及び時刻情報に該当するパケット情報の送信元アドレスを取得する。また、ビット毎に一定期間の平均カウンタ増加値を記録して、これを統計的増加率の判定基準とする。送信元アドレス分析手段２１３は送信元アドレスをツリーでビット値毎にカウントし、ビット値毎に設定された一定期間のカウンタ攻撃判断閾値あるいは統計的増加率の攻撃判断閾値以上のカウンタ値になったときに、該当するカウンタの送信元アドレス/マスク及び時刻情報を攻撃判断情報として出力する。ここでも、既に出力した攻撃判断情報に対応するカウンタ値が攻撃終了判断閾値以下になったときは、攻撃終了判断情報を出力する。

攻撃判定手段２１４は、宛先アドレス分析手段２１１、宛先ポート分析手段２１２及び送信元アドレス分析手段２１３からそれぞれ取得した宛先アドレス/マスク、宛先ポート及び送信元アドレス/マスクの組の攻撃判断情報に基づく攻撃検出アラートをシステム管理者２１６へ送信する。あらかじめトラヒックコントロールを自動実行する設定のときは、トラヒックコントロール手段２１５に対し、送信元アドレス/マスク、宛先アドレス/マスク及び宛先ポートにそれぞれ該当するトラヒックを帯域制限や廃棄するよう設定する。また、攻撃判定手段２１４は宛先アドレス分析手段２１１及び送信元アドレス分析手段２１２に対し、出力契機や攻撃終了判断契機となるカウンタ値の攻撃判断閾値及び攻撃終了判断閾値を設定する。閾値を設定しないビットは、カウンタ動作を行わず攻撃結果を出力しない。また、閾値に係わらずにビット毎に上位いくつまで結果を出力するか設定することもできる。

トラヒックコントロール手段２１５は、攻撃判定手段２１４からの設定に基づいて,パケットに対して帯域制限や廃棄などのトラヒックコントロールを行う。

なお、観測したい宛先アドレス/マスクなどが決まっているときには、パケット情報フィルタ設定手段２０８により、パケット情報フィルタ手段２０９のフィルタ情報をあらかじめ設定しておくことで、処理負荷を低減させることができる。

本発明に係る装置による不正アクセスの検知に当り、先ず、攻撃判定手段２１４により、宛先アドレス分析手段２１１に対して、攻撃されている宛先アドレス/マスクを認識するための攻撃判断閾値と攻撃が終了したことを認識するための攻撃終了判断閾値をあらかじめ設定する。宛先アドレス/マスクに対して設定する閾値として、単位時間当りのカウンタ値として登録する閾値と、一定観測期間の平均カウンタ値に対する増加率として登録する閾値がある。これら閾値の設定は宛先アドレスの各ビット値単位に行うが、最下位ビット値であるホストアドレスに対する閾値を与えて、１ビット上位になる毎にホストアドレス閾値に一定倍率を乗じるように設定することもできる。宛先アドレス/マスクが特定されている場合などのために、宛先アドレス分析手段２１１での処理を行わずに、宛先ポート分析手段２１２や送信元アドレス分析手段２１３での処理を実行する設定も可能である。

また、攻撃判定手段２１４により、宛先ポート分析手段２１２に対して、宛先アドレス分析手段２１１からの出力を用いてパケット情報保存手段２１０から情報を取得するか、パケット情報保存手段２１９に保存されている全パケット情報を用いて単位時間当りの宛先ポート情報をカウントするかの設定をする。

また、攻撃判定手段２１４により、送信元アドレス分析手段２１３に対して、攻撃パケットの送信元アドレス/マスクを認識するための攻撃判断閾値と、攻撃が終了したことを認識するための攻撃終了判断閾値をあらかじめ設定する。送信元アドレス/マスクに対して設定する閾値としては、単位時間当りのカウンタ値として登録する閾値と、一定観測期間の平均カウンタ値に対する増加率として登録する閾値がある。これら閾値の設定は送信元アドレスの各ビット値単位に行なうが、最下位ビット値であるホストアドレスに対する閾値を与えて、１ビット上位になる毎にホストアドレス閾値に一定倍率を乗じるように設定することもできる。

送信元アドレス分析手段２１３にて閾値による判定が必要ない場合のために、閾値を設定しないこともでき、また宛先アドレス分析手段２１１からの出力に対し、送信元アドレス/マスクのカウンタ値の上位いくつまで出力するかをビット値毎に設定することもできる。また、送信元アドレス分析手段２１３がパケット情報保存手段２１０から取得する情報として、宛先アドレス分析手段２１１からの出力を用いるか全宛先アドレスを取得するか、宛先ポート分析手段２１２からの出力を用いるか、全宛先ポートを取得するかをそれぞれ設定することができる。

また、攻撃判定手段２１４により、宛先アドレス分析手段２１１、宛先ポート分析手段２１２及び送信元アドレス分析手段２１３からの出力に対して、帯域制限や廃棄を自動あるいはシステム管理者の手動で行うための設定をすることができる。

次いで、本発明による不正侵入検知装置による各処理ステップにつき説明する。

先ず通信手段２０６によりネットワーク上を流れているパケット２０５を取得する。

次に、パケット情報取得手段２０７により、通信手段２０６からパケット２０５を取得し、パケット情報とパケットを取得した時刻情報をパケット情報フィルタ手段２０９に出力する。

次に、パケット情報フィルタ手段２０９により、パケット情報取得手段２０７から取得したパケット情報をパケット情報フィルタ設定手段２０８にて設定されたフィルタ情報に基づいてフィルタリングして宛先アドレス分析手段２１１に出力する。

パケット情報フィルタ手段２０９から出力されたパケット情報と時刻情報はパケット情報保存手段２１０に保存する。

次に、宛先アドレス分析手段２１１により、パケット情報保存手段２１０から宛先アドレスと時刻情報を取得する。宛先アドレス分析手段２１１には、宛先アドレス空間をツリーで表現するTrieを用意する。

図３はツリーによるアドレスカウンタを示す図である。同図において、３０１はビット値、３０２はカウンタ閾値、３０３はアドレス/マスク、３０４はカウンタをそれぞれ示し、例えば10.0.0.0.1/24及び192.168.0.1/32は、それぞれアドレスが10.0.0.0.1でネットマスク長が２４ビットであること及びアドレスが192.168.0.1でネットマスク長が全IPアドレス空間に対応する３２ビットであることを表している。

このようなツリーによるアドレスカウンタは、各ビットに対応して１つのノードを考え、ビット値が０の時は子ノード１へ、ビット値が１の時は子ノード２として、宛先アドレスを取得する毎にツリーを成長させる。ツリーの各ノードにはカウンタを持ち、来たパケットをツリーに加えて通過したノードのカウンタは１を加える。ツリーで１番リーフ側のノードのカウンタはホストアドレス毎のカウントになる。各ノードは自分と同じカウントで同じ高さの次のノードへのポインタを持つ。各ノードは同じ高さで自分よりカウンタ値が小さい中で最大のカウント値を持つノードへのポインタを持つ。結果として、ビット毎にカウンタ値が大きい宛先アドレス/マスクを算出する。宛先アドレス/マスクが当該ビットに設定された一定時間のカウンタ攻撃判断閾値あるいは統計的増加率の攻撃判断閾値以上になったとき、その宛先アドレス/マスクと時刻情報を攻撃判断情報として出力する。アドレスの包含関係がある場合は、マスク値が最小なアドレス/マスクのみを出力する。

次に、宛先ポート分析手段２１２により、パケット情報保存手段２１０から、宛先アドレス分析手段２１１にて出力された宛先アドレス/マスク及び時刻情報に対応するパケット情報の宛先ポートを取得し、宛先ポートをカウントする。そして、最大のカウント値を持つ宛先ポート及び時刻情報を出力する。

次に、送信元アドレス分析手段２１３により、パケット情報保存手段２１０から、宛先アドレス分析手段２１１及び宛先ポート分析手段２１２にて出力された宛先アドレス/マスクと宛先ポート及び時刻情報に相当するパケット情報の送信元アドレスを取得する。この送信元アドレス分析手段２１３にも前記宛先アドレス分析手段２１１の場合と同様に、宛先アドレス空間をツリーで表現するTrieを用意する。この場合のツリーによるアドレスカウンタも前述した図３の例と同じであり、各ビットに対応して１つのノードを考え、ビット値が０の時は子ノード１へ、ビット値が１の時は子ノード２として、送信元アドレスを取得する毎にツリーを成長させる。ツリーの各ノードにはカウンタを持ち、来たパケットをツリーに加えて通過したノードのカウンタは１を加える。ツリーで１番リーフ側のノードのカウンタはホストアドレス毎のカウントになる。各ノードは自分と同じカウントで同じ高さの次のノードへのポインタを持つ。各ノードは同じ高さで自分よりカウンタ値が小さい中で最大のカウント値を持つノードへのポインタを持つ。結果として、ビット毎にカウンタ値が大きい送信元アドレス/マスクを算出する。送信元アドレス/マスクが当該ビットに設定された一定時間のカウンタ攻撃判断閾値あるいは統計的増加率の攻撃判断閾値以上になったとき、その送信元アドレス/マスクと時刻情報を攻撃判断情報として出力する。アドレスの包含関係がある場合は、マスク値が最小なアドレス/マスクのみを出力する。

次に、攻撃判定手段２１４は、宛先アドレス分析手段２１１、宛先ポート分析手段２１２及び送信元アドレス分析手段２１３からそれぞれ取得した宛先アドレス/マスク、宛先ポート及び送信元アドレス/マスクを含み攻撃を検出したことを示すアラートをシステム管理者に送信する。攻撃判定手段２１４は、あらかじめトラヒックコントロールを自動実行する設定のときは、トラヒックコントロール手段２１３に対し、宛先アドレス分析手段２１１による宛先アドレス/マスク、宛先ポート分析手段２１２による宛先ポート及び送信元アドレス分析手段２１３による送信元アドレス/マスクにそれぞれ該当するトラヒックを帯域制限や廃棄するよう設定する。

トラヒックコントロール手段２１５は、攻撃判定手段２１４からの設定に基づいて、宛先アドレス分析手段２１１、宛先ポート分析手段２１２及び送信元アドレス分析手段２１３での各処理に当り、パケットの対して帯域制限や廃棄などのトラヒックコントロールを行う。そして、管理者２１６にトラヒックコントロールを実施したことを通知する。

宛先アドレス分析手段２１１は、すでに出力した攻撃判断情報に対応するカウンタの値が攻撃終了判断閾値以下になったときは、攻撃終了判断情報を出力する。

送信元アドレス分析手段２１３も、すでに出力した攻撃判断情報に対応するカウンタの値が攻撃終了判断閾値以下になったときは、攻撃終了判断情報を出力する。

攻撃判定手段２１４は、宛先アドレス分析手段２１１又は送信元アドレス分析手段２１３から攻撃終了判断情報を取得したときは、攻撃終了を示すアラートをシステム管理者２１６に送信する。あらかじめトラヒックコントロールを自動実行する設定のときは、トラヒックコントロール手段２１５に対し、送信元アドレス/マスク、宛先アドレス/マスク及び宛先ポートにそれぞれ該当するトラヒックを帯域制限や廃棄を解除するように設定する。

トラヒックコントロール手段２１５は、攻撃判定手段２１４からの設定に基づいて、パケットに対して帯域制限や廃棄などのトラヒックコントロールを解除する。そして、システム管理者にトラヒックコントロールを解除したことを通知する。

以上のように、本発明によれば、保護対象アドレスやポートなどの検出パターンをあらかじめ設定することなく攻撃されているアドレス/マスクを自動的に検出し、送信元アドレス/マスクも自動的に検出し、トラヒックコントロールすることができる。その結果、システム管理者が大量のアクセスコントロールリストをホスト単位で設定することなく、又はアクセスコントロールリストのためのマスク値を手動で分析することなく、自動で攻撃パケットをコントロールすることができる。

従来の不正侵入検知装置の一例を示すシステム構成図である。本発明の一実施形態による不正侵入検知装置２００を含むネットワークシステムの概略構成を示すブロック図である。本発明に係るアドレスカウンタの一例を示す図である。

符号の説明

２００不正侵入検知装置
２０１不正マシン
２０２正常マシン
２０３サーバ
２０４ネットワーク
２０５パケット
２０６通信手段
２０７パケット情報取得手段
２０８パケット情報フィルタ設定手段
２０９パケット情報フィルタ手段
２１０パケット情報保存手段
２１１宛先アドレス分析手段
２１２宛先ポート分析手段
２１３送信元アドレス分析手段
２１４攻撃判定手段
２１５システム管理者
２１６トラヒックコントロール手段
３０１ビット値
３０２カウンタ閾値
３０３アドレス/マスク
３０４カウンタ

Claims

ネットワーク上を流れるパケットを入手して動作し、不正アクセスやサービス不能攻撃などを検知する不正侵入検知装置において、当該不正侵入検知装置が、ネットワークのトラヒックを観測する手段と、指定したパケットを対象として宛先アドレスに対してパケット数を複数のマスクでカウントし、単位時間当りのパケット数がマスク毎のカウンタ攻撃判断閾値あるいはパケットの統計的増加率の攻撃判断閾値以上となるときに、宛先アドレス/マスクとパケットの取得時刻情報とを出力する宛先アドレス分析手段と、指定したパケットを対象として送信元アドレスに対してパケット数を複数のマスクでカウントし、単位時間当りのパケット数がマスク毎のカウンタ攻撃判断閾値あるいはパケットの統計的増加率の攻撃判断閾値以上となるときに送信先アドレス/マスクと時刻情報を出力する送信元アドレス分析手段と、前記宛先アドレス分析手段及び送信元アドレス分析手段からの各出力を取得して、それぞれ宛先アドレス/マスク及び送信先アドレス/マスクの組の攻撃判断情報に基づく攻撃検出アラートを発信する攻撃判定手段とを備えていることを特徴とする不正侵入検知装置。
前記ネットワークのトラヒックを観測する手段が、ネットワークから通信手段を介してパケットを取得してパケット情報及び該パケットを取得した時刻情報を出力するパケット情報取得手段と、該パケット情報取得手段からのパケット情報及び時刻情報を取得して、フィルタ情報を設定するパケット情報フィルタ設定手段による設定に基づいてパケットをフィルタリングし、パケット情報及び時刻情報をパケット情報保存手段に出力するパケット情報フィルタ手段とを含むことを特徴とする請求項１に記載の不正侵入検知装置。
前記宛先アドレス分析手段が、宛先アドレス空間を複数のマスクでマスク毎にカウントするカウンタを有することを特徴とする請求項１に記載の不正侵入検知装置。
前記送信元アドレス分析手段が、送信元アドレス空間を複数のマスクでマスク毎にカウントするカウンタを有することを特徴とする請求項１に記載の不正侵入検知装置。
前記宛先アドレス分析手段は、既に出力した攻撃判断情報に対応するカウンタ値が攻撃終了判断閾値以下になった際に、攻撃終了判断情報を出力することを特徴とする請求項請求項１に記載の不正侵入検知装置。
前記送信元アドレス分析手段は、既に出力した攻撃判断情報に対応するカウンタ値が攻撃終了判断閾値以下になった際に、攻撃終了判断情報を出力することを特徴とする請求項請求項１に記載の不正侵入検知装置。
前記不正侵入検知装置が、指定したパケットを対象として宛先ポートに対してパケット数をカウントし、一定時間で最大となるカウンタ値の宛先ポート及び時刻情報を出力する宛先ポート分析手段も具えていることを特徴とする請求項１に記載の不正侵入検知装置。
前記宛先ポート分析手段が、指定されたパケットに対して、宛先ポート毎にカウントするカウンタを有することを特徴とする請求項７に記載の不正侵入検知装置。
前記不正侵入検知装置が、前記攻撃判定手段からの設定に基づいて、パケットに対して帯域制限や廃棄などのトラヒックコントロールを行うトラヒックコントロール手段も備え、前記攻撃判定手段が前記トラヒックコントロール手段に対して、前記宛先アドレス/マスク、宛先ポート及び送信先アドレス/マスクに対するトラヒックを帯域制限や廃棄するよう設定することにより、トラヒックコントロールをあらかじめ自動設定し得るようにしたことを特徴とする請求項７に記載の不正侵入検知装置。
前記攻撃判定手段が、前記宛先アドレス分析手段及び送信元アドレス分析手段に対し、出力契機や攻撃終了判断契機となるカウンタ値の攻撃判断閾値及び攻撃終了判断閾値を設定することを特徴とする請求項１に記載の不正侵入検知装置。