JP2005252808A

JP2005252808A - 不正アクセス阻止方法、装置及びシステム並びにプログラム

Info

Publication number: JP2005252808A
Application number: JP2004062361A
Authority: JP
Inventors: Naohiro Tamura; 直広田村; Takuya Haniyu; 卓哉羽生; Mayuko Morita; 真由子森田; Osamu Koyano; 修小谷野
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2004-03-05
Filing date: 2004-03-05
Publication date: 2005-09-15
Anticipated expiration: 2024-03-05
Also published as: US7457965B2; US20050198519A1; JP4480422B2

Abstract

【課題】
ＤＤｏＳ攻撃やワームのプロービングなどの不正アクセスを阻止することにより、他のネットワークへの影響を最小限に抑える。
【解決手段】
阻止装置１０ａ及び１０ｂがＤＤｏＳ攻撃によるアウトバウンド・パケットやワームによるプロービングのアウトバウンド・パケットを検出すると、そのようなアウトバウンド・パケットについてＥｇｒｅｓｓフィルタリングを実施し、基幹ネットワーク１０００に不正アクセスに係るパケットを送出しないようにする。また、例えば管理装置を経由して不正アクセスが検出された旨の通知が他の阻止装置１０ｃ及び１０ｄに送付されるので、予防的に阻止装置１０ｃ及び１０ｄでは不正アクセスに係るパケットを接続ネットワークＣ及びＤに送出しないようにＩｎｇｒｅｓｓフィルタリングを実施する。
【選択図】図２

Description

本発明は、不正アクセス阻止技術に関する。

分散型サービス不能化（ＤＤｏＳ：Distributed Denial of Service）攻撃及びコンピュータワーム（Ｗｏｒｍ）は、大量の不正トラフィックを発生させることにより、ネットワークリソース、すなわちネットワーク帯域、ルータＣＰＵ、サーバＣＰＵなどを故意に消費させ、ネットワーク基盤を麻痺させるという共通の特徴を持っている。

この分散型サービス不能化攻撃とは、ネットワーク上に分散している踏み台マシンから、故意にシステムリソースの許容限度を超えた処理要求を送出することにより、システムを停止又は不能化させる攻撃である。そのため、一度、一斉攻撃が開始された後から分散している踏み台マシンを探し出し、不正攻撃を停止させるのでは、被害を防げないという特徴がある。

また、コンピュータワーム（以下、単にワームとも呼ぶ。）とは、コンピュータのユーザが介在せずに自己複製し感染していくプログラムをいう。ワームは、ホスト上で実行されるプログラムのバッファ・オーバーフロー（Buffer Overflow）、ヒープ・オーバーフロー（Heap Overflow）、フォーマット・ストリング（Format String）などの脆弱性を利用して、ネットワークに接続されたコンピュータ間を自己複製しながら移動する。ワームは自己複製し伝播していくスピードが非常に速く、その過程において多量のトラフィックを発生するため、ＤＤｏＳ攻撃同様、一度ワームが拡散した後からワームに感染したホストを探し出しワームを停止させるのでは、被害を防げないという特徴がある。

なお、近年流行したコンピュータワームはその伝播スピードが非常に速くなってきており、Code Redは３６万のホストを感染させるのに１２時間しかかからず、さらにSQL Slammerは１０分間で全世界に広まった。また、近年流行したコンピュータワームは、感染したホストを踏み台としてＤＤｏＳ攻撃を実施するエージェント・プログラムを内包しており、このコンピュータワームによって踏み台マシンにインストールされＤＤｏＳ攻撃が実施される傾向がある。具体的には、Code Redはhttp://www1.whitehouse.govを、SQL Blasterはhttp://www.windowsupdate.comをＤＤｏＳ攻撃するエージェント・プログラムが含まれていた。

このような分散型サービス不能化攻撃に対処する技術は例えば特開２００３−２８３５５４号公報や特開２００３−２８９３３７号公報などに開示されている。しかし、これらの公報開示の技術は、特定のネットワークへのインバウンド・パケットからＤＤｏＳ攻撃を検出するものである。しかし、これらの技術では特定のネットワークからＤＤｏＳ攻撃がなされるような場合に何らの対処ができず、他のネットワークに被害を及ぼす可能性がある。

例えば図１に示すように、基幹ネットワーク１０００に、防御装置１００１を介して接続ネットワークＡと、防御装置１００２を介して接続ネットワークＢと、防御装置１００３を介して接続ネットワークＣと、防御装置１００４を介して接続ネットワークＤとが接続されている状態において、接続ネットワークＡと接続ネットワークＢにＤＤｏＳ攻撃の元（すなわち踏み台）となるコンピュータ又はコンピュータワームに感染してしまったコンピュータが存在するとする。従来技術では、防御装置１００１及び１００２は、自己の接続ネットワークＡ又はＢからのアウトバウンドのパケットについては検査しないので、ＤＤｏＳ攻撃によるパケット又はワークによるプロービングのためのパケットは、基幹ネットワーク１０００側に送出されてしまう。従って、基幹ネットワーク１０００では輻輳が生ずる。一方、攻撃先又は感染先となる接続ネットワークＣ及びＤに接続する防御装置１００３及び１００４は、接続ネットワークＣ及びＤへのインバウンドのパケットの中からＤＤｏＳ攻撃によるパケットやプロービングによるパケットを検出すると、ＤＤｏＳ攻撃によるパケットやプロービングによるパケットのフィルタリングを行って接続ネットワークＣ及びＤに送出しないようにする。

なお、コンピュータワームと似た用語にコンピュータ・ウィルスがあるが、コンピュータ・ウィルスとは、コンピュータのユーザが介在し感染していくプログラムをいい、ここではコンピュータ・ワームとは区別する。メールの添付ファイルやＨＴＭＬ（Hyper Text Markup Language）ページのリンクに含まれているような、コンピュータユーザが無害だと思って或いは知らずに実行すると破壊活動を起こす、偽装したプログラムである。コンピュータ・ウィルスはコンピュータ・ワームに比べて伝播スピードが遅く、コンピュータ・ウィルスは、クライアント又はサーバで実行するシグニチャー型のアンチウィルスソフトウエアにより、検知駆逐する技術が既に確立されており、ここでは取り扱わないものとする。
特開２００３−２８３５５４号公報特開２００３−２８９３３７号公報

上で述べた従来技術のように、基幹ネットワークとの境界で基幹ネットワークからのインバウンド・トラフィックのみを監視し、対策を実施する方法では様々な問題がある。すなわち、ＤＤｏＳ攻撃において、基幹ネットワークとの境界でインバウンド・トラフィックをブロックすることにより、ターゲットとなったサーバを含むネットワークは保護されるが、ＤＤｏＳ攻撃を停止させることはできないため、基幹ネットワーク帯域及び基幹ネットワーク内のルータのリソースが消費され、正常な通信が妨げられる。また、ワーム伝播において、基幹ネットワークとの境界でインバウンド・トラフィックをブロックすることにより、基幹ネットワークからワームの侵入は防ぐことができるかもしれない。しかし、ワームに感染したコンピュータによる、新たな感染先を探すためのプロービングを停止させることができないため、基幹ネットワーク帯域及び基幹ネットワーク内のルータのリソースが消費され、正常な通信が妨げられる。

また、理想的な環境を想定し、基幹ネットワークに接続している全てのネットワークにおいてインバウンド・トラフィックを完全にブロックしたとしても、ワームの感染は例えばノート型パーソナルコンピュータのようなポータブル機器から内部ネットワークに侵入する場合があり、現実的には基幹ネットワークへのワームの伝播を阻止することができない。

従って、本発明の目的は、ＤＤｏＳ攻撃やワームのプロービングなどの不正アクセスを阻止することにより、他のネットワークへの影響を最小限に抑えるための技術を提供することである。

本発明の第１の態様に係る不正アクセス阻止方法は、第１のネットワークから他のネットワークへのアウトバウンドのパケットを検査し、当該パケットが所定の条件を満たしているか判断する判断ステップと、所定の条件を満たしていると判断された場合には、所定の条件を満たしていると判断されたパケットについてのデータに基づき第１のネットワークから他のネットワークへのパケット出力を停止するための設定を行う設定ステップとを含む。このように他のネットワークへのアウトバウンドのパケットを基準にフィルタリングを実施するため、他のネットワークへの影響を最小限に抑えることができるようになる。

なお、上で述べた所定の条件が、分散型サービス不能化攻撃とみなされるパケットを検出するための第１の条件とコンピュータワームによるプロービングとみなされるパケットを検出するための第２の条件との少なくともいずれかを含むようにしてもよい。

さらに、上記第１の条件が、パケット種別と送信先ＩＰアドレスと送信先ポート番号との組み合わせにて特定される各パケットの単位時間あたりのパケット送出数と、改竄された送信元ＩＰアドレスを含むパケットの数との少なくともいずれかを含むようにしてもよい。分散型サービス不能化攻撃によるパケットの特徴を表すパラメータである。

さらに、上記第２の条件が、パケット種別と送信先ポート番号との組み合わせにて特定されるパケットの単位時間あたりの送信先ＩＰアドレス数と、不正な送信先ＩＰアドレスを含むパケットの数との少なくともいずれかを含むようにしてもよい。ワームによるプロービングのパケットの特徴を表すパラメータである。

また、所定の条件を満たしていると判断された場合には、所定の条件を満たしていると判断されたパケットについてのデータを他の装置（例えば管理装置又は他の不正アクセス阻止装置）に送信するステップをさらに含むようにしてもよい。不正アクセスを検出した場合であっても必ずしも不正アクセスに係る全てのパケットの出力を遮断できるわけではないので、他の装置にも不正アクセスの検出を通知することにより別途不正アクセスの対処が可能となる。

さらに、他の装置から不正アクセス検知の通知を受信した場合、当該不正アクセス検知の通知に基づき他のネットワークから第１のネットワークへのインバウンド・パケットのフィルタリング処理の設定を行うフィルタリング設定ステップをさらに含むようにしてもよい。これにより予防的なインバウンド・パケットのフィルタリングを実施することができるようになる。

また、フィルタリング設定ステップが、不正アクセス検知の通知に特定のＩＰアドレスのデータを含む場合には、当該特定のＩＰアドレスが前記第１のネットワークに関連するか判断するステップを含むようにしてもよい。第１のネットワークに関連しない特定のＩＰアドレスが攻撃対象となっている場合には、フィルタリングを実施する必要はないためである。

本発明の第２の態様に係る不正アクセス阻止装置は、第１のネットワークから他のネットワークへのアウトバンドのパケットを検査し、当該パケットが所定の条件を満たしているか判断する判断手段と、所定の条件を満たしていると判断された場合には、所定の条件を満たしていると判断されたパケットについてのデータに基づき第１のネットワークから他のネットワークへのパケット出力を停止するための設定を行う設定手段とを有する。本不正アクセス阻止装置は、例えばスイッチなどのネットワーク機器であってもよいし、ネットワーク機器に接続された別のコンピュータ等であってもよい。

本発明の第３の態様に係る不正アクセス阻止システムは、管理装置と、第１のネットワークから他のネットワークへのアウトバウンドのパケットを検査し、当該パケットが所定の条件を満たしているか判断する判断手段と、所定の条件を満たしていると判断された場合には、所定の条件を満たしていると判断されたパケットについてのデータに基づき第１のネットワークから他のネットワークへのパケット出力を停止するための設定を行う設定手段と、所定の条件を満たしていると判断された場合には、所定の条件を満たしていると判断されたパケットについてのデータを管理装置に送信する手段と、管理装置から不正アクセス検知の通知を受信した場合、当該不正アクセス検知の通知に基づき他のネットワークから第１のネットワークへのインバウンド・パケットのフィルタリング処理の設定を行う手段とを有する複数の不正アクセス阻止装置とを有し、上記管理装置が、特定の不正アクセス阻止装置から所定の条件を満たしていると判断されたパケットについてのデータを受信した場合には、特定の不正アクセス阻止装置以外の不正アクセス阻止装置に当該所定の条件を満たしていると判断されたパケットについてのデータを送信する手段を有する。このように複数の不正アクセス阻止装置と管理装置の組み合わせにて不正アクセスに対処するようにしてもよい。但し、ネットワーク中に管理装置を設けない構成も可能である。

なお、上記不正アクセス阻止方法は、コンピュータとプログラムの組み合わせにて実施される場合もあり、その場合に当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等の記憶媒体又は記憶装置に格納される。また、ネットワークなどを介してデジタル信号として配信される場合もある。尚、中間的な処理結果はメモリ等の記憶装置に一時保管される。

本発明によれば、ＤＤｏＳ攻撃やワームのプロービングなどの不正アクセスを阻止することにより、他のネットワークへの影響を最小限に抑えることができる。

［本発明の実施の形態の概要］
図２に本発明の実施の形態の概要を示す。図２では、基幹ネットワーク１０００には、阻止装置１０ａを介して接続ネットワークＡと、阻止装置１０ｂを介して接続ネットワークＢと、阻止装置１０ｃを介して接続ネットワークＣと、阻止装置１０ｄを介して接続ネットワークＤとが接続されている。そして図１と同じように、接続ネットワークＡ及び接続ネットワークＢには、ＤＤｏＳ攻撃の元となるコンピュータ又はワームに感染したコンピュータが接続しているものとする。本実施の形態では、阻止装置１０ａ及び１０ｂがＤＤｏＳ攻撃によるアウトバウンド・パケットやワームによるプロービングのアウトバウンド・パケットを検出すると、そのようなアウトバウンド・パケットについてイグレス（Ｅｇｒｅｓｓ）フィルタリングを実施し、基幹ネットワーク１０００に不正アクセスに係るパケットを送出しないようにする。また、例えば図示しない管理装置を経由して不正アクセスが検出された旨の通知が他の阻止装置１０ｃ及び１０ｄに送付されるので、予防的に阻止装置１０ｃ及び１０ｄでは不正アクセスに係るパケットを接続ネットワークＣ及びＤに送出しないようにイングレス（Ｉｎｇｒｅｓｓ）フィルタリングを実施する。

このようにすれば、基幹ネットワーク１０００の境界（すなわち阻止装置１０ａ乃至１０ｄ）において、基幹ネットワーク１０００に接続した接続ネットワークＡ又はＢから基幹ネットワーク１０００へのＤＤｏＳ攻撃やワームのプロービングによる不正アクセスのアウトバンド・トラフィックを検出し、基幹ネットワーク１０００への不正なトラフィックの流入を阻止できる。従って、基幹ネットワーク１０００の輻輳や基幹ネットワーク１０００のルータ処理能力が不能化されることがない。

また、基幹ネットワーク１０００に接続する接続ネットワークＡ又はＢに万が一ＤＤｏＳエージェントが仕込まれたとしても、基幹ネットワーク１０００へのＤＤｏＳ攻撃に係るパケットの流出をすばやく阻止できるので、ＤＤｏＳ攻撃を無効化できる。

また、基幹ネットワーク１０００に接続する接続ネットワークＡ又はＢが万が一ワームに感染したとしても、基幹ネットワーク１０００へのワームの流出をタイムラグ無くすばやく阻止できるので、ワームの拡大を阻止できる。

さらに、基幹ネットワーク１０００に接続する接続ネットワークＡ及びＢで不正アクセスが検出された場合、基幹ネットワーク１０００に接続する他のネットワークＣ及びＤへ不正アクセスが行われないように予防的な対策が実施されるので、不正アクセス防御に対する信頼性が向上する。

なお、本実施の形態に係る基幹ネットワーク１０００は、例えば企業における基幹ネットワークであって、接続ネットワークは例えば各部門や拠点におけるネットワークである。また、基幹ネットワーク１０００は、インターネットサービスプロバイダ（ＩＳＰ）における基幹ネットワークであってもよく、その場合接続ネットワークは、顧客グループのネットワーク（例えば政府・自治体のネットワーク、顧客企業ネットワーク、個人ユーザネットワーク）となる。

［本発明の実施の形態の具体的構成］
図３に本実施の形態に係るシステムの機能ブロック図を示す。図３の例では、基幹ネットワーク１０００には、スイッチ１２ａとスイッチ１２ｂと管理装置１６とが接続されている。スイッチ１２ａには阻止装置１０ａがミラーポート接続されている。同じようにスイッチ１２ｂには阻止装置１０ｂがミラーポート接続されている。さらに、スイッチ１２ａには接続ネットワークＡが、スイッチ１２ｂには接続ネットワークＢが、それぞれ接続されている。管理装置１６には、例えばパーソナルコンピュータである管理者端末１８が接続されている。なお、基幹ネットワーク１０００に接続されているスイッチ、ネットワークの数は任意である。

スイッチ１２ａには、接続ネットワークＡから基幹ネットワーク１０００へのアウトバウンド・トラフィックに対するＥｇｒｅｓｓフィルタと、基幹ネットワーク１０００から接続ネットワークＢへのインバウンド・トラフィックに対するＩｎｇｒｅｓｓフィルタとを実現するフィルタ１４ａが含まれている。同様に、スイッチ１２ｂには、接続ネットワークＢから基幹ネットワーク１０００へのアウトバウンド・トラフィックに対するＥｇｒｅｓｓフィルタと、基幹ネットワーク１０００から接続ネットワークＢへのインバウンド・トラフィックに対するＩｎｇｒｅｓｓフィルタとを実現するフィルタ１４ｂが含まれている。

阻止装置１０ａは、阻止プログラム１００ａを実行し、定義ファイル１４０ａと、イベントデータ格納部１５０ａと、パケットＦＩＦＯ（First In First Out）バッファ１６０ａとを管理している。同様に、阻止装置１０ｂは、阻止プログラム１００ｂを実行し、定義ファイル１４０ｂと、イベントデータ格納部１５０ｂと、パケットＦＩＦＯバッファ１６０ｂとを管理している。また、阻止プログラム１００ａには、トラフィック監視部１１０ａと、不正アクセス検知部１２０ａと、フィルタ制御部１３０ａと、図示しないがファイル等のデータ格納部やスイッチ１２ａとデータのやり取りを行うＩＯ制御部とが含まれる。また図示していないが、阻止プログラム１００ｂも同様の処理部を有している。

管理装置１６は、制御部１６２を有する管理プログラム１６０を実行し、イベントログ格納部１６４と、マネージャイベントデータ格納部１６６とを管理している。

例えば、接続ネットワークＡから基幹ネットワーク１０００へのアウトバウンド・パケットは、基幹ネットワーク１０００だけではなく阻止装置１０ａにも出力される。阻止装置１０ａでは、以下で述べる処理を実施し、不正アクセスを検知した場合にはスイッチ１２ａのフィルタ１４ａにＥｇｒｅｓｓフィルタリングを実施させる。この際、定義ファイル１４０ａと、イベントデータ格納部１５０ａと、パケットＦＩＦＯバッファ１６０ａとを使用する。また、不正アクセスを検知した場合には管理装置１６にも不正アクセスを検知した旨を通知する。管理装置１６の管理プログラム１６０は、イベントログ格納１６４及びマネージャイベントデータ格納部１６６を用いて、管理者端末１８に不正アクセス検知の通知を行ったり、不正アクセスの検知を通知してきた阻止装置以外の阻止装置（例えば阻止装置１０ｂ）に不正アクセスの検知を通知する。不正アクセスの検知を通知された阻止装置１０ｂは、スイッチ１２ｂのフィルタ１４ｂにＩｎｇｒｅｓｓフィルタリングを実施させる。また、管理者端末１８を操作する管理者により、不正アクセスの対策解除を指示された場合には、管理プログラム１６０は、当該不正アクセス対策解除の通知を阻止装置に送信する。不正アクセス対策解除の通知を受信した各阻止装置は、Ｅｇｒｅｓｓフィルタリング又はＩｎｇｒｅｓｓフィルタリングの停止をスイッチ１２ａ及び１２ｂに指示する。

図４に、定義ファイル１４０ａの一例を示す。図４の例では定義ファイル１４０ａには、「正当ＳｒｃＩＰ範囲ｐｒｅｆｉｘ」と表されている（正当送信元ＩＰアドレス（ＳｒｃＩＰ）範囲プレフィックス（Ｐｒｅｆｉｘ））の行と、「正当ＤｉｓｔＩＰ範囲ｐｒｅｆｉｘ」と表されている（正当送信先ＩＰアドレス（ＤｉｓｔＩＰ）範囲Ｐｒｅｆｉｘ）の行と、「パケット送出数閾値」と表されている（１秒あたりの特定送信先ＩＰアドレス宛のパケット送出数についての閾値）の行と「ＳｒｃＩＰＳｐｏｏｆｉｎｇ送出数閾値」と表されている（１秒あたりの送信元ＩＰアドレス改竄パケット（ＳｒｃＩＰＳｐｏｏｆｉｎｇ）送出数の閾値）の行と「ＤｉｓｔＩＰアドレス数閾値」と表されている（１秒あたりの送信先ＩＰアドレス（ＤｉｓｔＩＰ）数（種類数）閾値）の行と「不正ＤｉｓｔＩＰアドレス数閾値」と表されている（１秒あたりの不正送信先ＩＰアドレス（ＤｉｓｔＩＰ）数の閾値）の行とを含むパケット種別及び送信先ポート番号毎の閾値のための行とを含む。

正当送信元ＩＰアドレス範囲Ｐｒｅｆｉｘが登録される理由は、例えばＤＤｏＳ攻撃の場合送信元ＩＰアドレスを改竄したＴＣＰ−Ｓｙｎパケットを送信することがあり、送信元ＩＰアドレスの改竄があったかを確認するためである。また、正当送信先ＩＰアドレス範囲Ｐｒｅｆｉｘが登録される理由は、例えばワームのプロービングでは未感染のホストを探すためランダムに送信先ＩＰアドレスが設定される場合があり、その場合には送信先ＩＰアドレスとして許可されていないＩＰアドレスが指定されることもあるので、未許可の送信先ＩＰアドレスにパケットを送信しようとしていないか確認するためである。

また、１秒あたりの特定送信先ＩＰアドレス宛のパケット送出数がカウントされる理由は、ＤＤｏＳ攻撃の場合特定の送信先ＩＰアドレス宛のパケットが所定時間内に多数送出されるので、これによりＤＤｏＳ攻撃を検出するためである。従って、パケット種別、送信先ポート番号及び送信先ＩＰアドレス毎に送出パケットを分類して、パケット種別、送信先ポート番号及び送信先ＩＰアドレスの組み合わせにつきヒストグラムを作成して、１秒あたりの特定送信先ＩＰアドレス宛のパケット送出数の閾値を超えたか判断する。

また、１秒あたりの送信元ＩＰアドレス改竄パケット送出数がカウントされる理由は、上でも述べたがＤＤｏＳ攻撃の場合送信元ＩＰアドレスの改竄が行われる場合があるので、これによりＤＤｏＳ攻撃を検出するためである。送信元ＩＰアドレスの改竄が検出された場合には、パケット種別及び送信先ポート番号毎にカウントして、１秒あたりの送信元ＩＰアドレス改竄パケット送出数の閾値を超えたか判断する。

さらに、１秒あたりの送信先ＩＰアドレス数がカウントされる理由は、例えばワームがプロービングを行う際には短時間に多数のＩＰアドレスに対してパケットを送信するので、これによりワームの存在を検出するためである。従って、パケット種別及び送信先ポート番号の組み合わせにつき送信先ＩＰアドレスの種類数についてのヒストグラムを作成して、送信先ＩＰアドレスの種類数が１秒あたりの送信先ＩＰアドレス数の閾値を超えたか判断する。

さらに、１秒あたりの不正送信先ＩＰアドレスがカウントされる理由は、例えばワームがプロービングを行う際にはアクセスが許可されていない送信先ＩＰアドレスにパケットを送信しようとするので、これによりワームの存在を検出するためである。従って、不正な送信先ＩＰアドレスが設定されたパケットを検出した場合には、パケット種別及び送信先ポート番号毎にカウントして、１秒あたりの不正送信先ＩＰアドレス数の閾値を超えたか判断する。

図４の例では、パケット種別ＴＣＰのポート番号８０についての閾値と、パケット種別ＵＤＰの送信先ポート番号５３についての閾値とが具体的に示されているが、それ以外のパケット種別及び送信先ポート番号の組み合わせについても定義ファイル１４０ａに設定される。

次に図５乃至図８を用いて図３に示した各処理部の処理フローを説明する。本実施の形態では、全ての阻止装置において同様の処理が実施され、さらに阻止装置における阻止プログラムのトラフィック監視部、不正アクセス検知部及びフィルタ制御部は、それぞれ非同期に処理を実施する。従って、以下では阻止装置１０ａの阻止プログラム１００ａにおけるトラフィック監視部１１０ａ、不正アクセス検知部１２０ａ及びフィルタ制御部１３０ａの処理フローを以下で説明する。

図５を用いてトラフィック監視部１１０ａの処理を説明する。トラフィック監視部１１０ａは、スイッチ１２ａからパケットを取得し（ステップＳ１）、当該パケットがＩＰパケットであるか判断する（ステップＳ３）。もしＩＰパケットではない場合にはステップＳ９に移行する。一方ＩＰパケットである場合には、基幹ネットワーク１０００へのアウトバウンド・パケットであるか判断する（ステップＳ５）。もしアウトバウンド・パケットではない場合にはステップＳ９に移行する。一方アウトバウンド・パケットである場合には、パケットＦＩＦＯバッファ１６０ａに当該パケットを格納する（ステップＳ７）。なお、パケットのデータと共に日時のデータも登録する。また、以下の処理ではパケット・ヘッダのみを使用するのでヘッダのみを格納するようにしても良い。このようなステップＳ１乃至Ｓ７を処理終了まで繰り返す（ステップＳ９）。

このようにトラフィック監視部１１０ａは、阻止プログラム１００ａの前処理を実施する。

次に図６を用いて不正アクセス検知部１２０ａの処理を説明する。不正アクセス検知部１２０ａは、パケットＦＩＦＯバッファ１６０ａから所定時間分（例えば１０秒間）のパケットを読み出す（ステップＳ１１）。そして、パケット種別（プロトコル種別）、送信先ポート番号（ＤｉｓｔＰｏｒｔ）及び送信先ＩＰアドレス（ＤｉｓｔＩＰ）の組み合わせ毎に、パケット送出数及び送信元ＩＰアドレス改竄（ＳｒｃＩＰＳｐｏｏｆｉｎｇ）パケット送出数をカウントし、例えばメインメモリなどの記憶装置に格納する（ステップＳ１３）。なお、パケット種別には、ＩＣＭＰ、ＴＣＰ−Ｓｙｎ、ＵＤＰなどが含まれる。なお、ＩＣＭＰのポート番号は０とする。

ここで定義ファイル１４０ａを参照して、対応するパケット種別及び送信先ポート番号により特定されるパケット送出数の閾値と送信元ＩＰアドレス改竄パケット送出数の閾値とを読み出し、ステップＳ１３でカウントされた各パケット送出数及び送信元ＩＰアドレス改竄パケット送出数とを比較する。そして、パケット種別、送信先ポート番号及び送信先ＩＰアドレスの組み合わせにより特定されるパケットのうち、対応するパケット送出数の閾値を超えたものがあるか、又は対応する送信元ＩＰアドレス改竄パケット送出数の閾値を超えたものがあるか判断する（ステップＳ１５）。パケット種別、送信先ポート番号及び送信先ＩＰアドレスの組み合わせにより特定されるパケットのうち、対応するパケット送出数の閾値を超えたものと、対応する送信元ＩＰアドレス改竄パケット送出数の閾値を超えたものとについては、ＤＤｏＳ攻撃対策用のＥｇｒｅｓｓフィルタ設定イベントを生成し、イベントデータ格納部１５０ａに格納する（ステップＳ１７）。ＤＤｏＳ攻撃対策用のＥｇｒｅｓｓフィルタ設定イベントは、閾値を超えたと判断されたパケットのデータ（ここではパケット種別、ポート番号及び送信先ＩＰアドレス）を含む。また、管理装置１６に不正アクセス検知イベントのデータをスイッチ１２ａ及び基幹ネットワーク１０００を介して送信する（ステップＳ１９）。不正アクセス検知イベントのデータについては、閾値を超えたと判断されたパケットのデータを含む。

ステップＳ１５で閾値を超えたものが無いと判断された場合及びステップＳ１９の後に、ステップＳ１１で読み出されたパケットのデータを用いて、パケット種別（プロトコル種別）及び送信先ポート番号（ＤｉｓｔＰｏｒｔ）の組み合わせ毎に、送信先ＩＰアドレス（ＤｉｓｔＩＰ）数及び不正送信先ＩＰアドレス（ＤｉｓｔＩＰ）数とをカウントする（ステップＳ２１）。

ここで定義ファイル１４０ａを参照して、対応するパケット種別及び送信先ポート番号により特定される送信先ＩＰアドレス数の閾値と不正送信先ＩＰアドレス数の閾値とを読み出し、ステップＳ２１でカウントされた各送信先ＩＰアドレス数及び不正送信先ＩＰアドレス数と比較する。そして、パケット種別及び送信先ポート番号の組み合わせにより特定されるパケット群のうち、対応する送信先ＩＰアドレス数の閾値を超えたものがあるか、又は対応する不正送信先ＩＰアドレス数の閾値を超えたものがあるか判断する（ステップＳ２２）。パケット種別及び送信先ポート番号の組み合わせにより特定されるパケット群のうち、対応する送信先ＩＰアドレス数の閾値を超えたものと、対応する不正送信先ＩＰアドレス数の閾値を超えたものとについては、ワーム伝播対策用のＥｇｒｅｓｓフィルタ設定イベントを生成し、イベントデータ格納部１５０ａに格納する（ステップＳ２３）。ワーム伝播対策用のＥｇｒｅｓｓフィルタ設定イベントは、閾値を超えたと判断されたパケット群のデータ（ここではパケット種別及び送信先ポート番号）を含む。また、管理装置１６に不正アクセス検知イベントのデータをスイッチ１２ａ及び基幹ネットワーク１０００を介して送信する（ステップＳ２５）。不正アクセス検知イベントのデータについては、閾値を超えたと判断されたパケット群（ここではパケット種別及び送信先ポート番号）のデータを含む。

このようにしてＤＤｏＳ攻撃やワーム感染を検知し、管理装置に通知する処理を実施する。

次に、図７を用いてフィルタ制御部１３０ａによるフィルタ制御処理を説明する。なお、図示しないが、阻止プログラム１００ａはバックグラウンドで、管理装置１６から受信したフィルタ指示イベントのデータをイベントデータ格納部１５０ａに格納する処理を行うものとする。フィルタ制御部１３０ａは、まずイベントデータ格納部１５０ａからフィルタ指示イベントを読み出す（ステップＳ３１）。フィルタ指示イベントには、上で述べたＤＤｏＳ攻撃対策及びワーム伝播対策のＥｇｒｅｓｓフィルタ設定イベントの他、管理装置１６から通知されるＩｎｇｒｅｓｓフィルタ設定イベント及びフィルタ解除イベントが含まれる。Ｉｎｇｒｅｓｓフィルタ設定イベントは、他の阻止装置においてＥｇｒｅｓｓフィルタリングを実施するようなイベントが発生した場合に予防的にＩｎｇｒｅｓｓフィルタリングを実施するため、管理装置１６から通知される。また、フィルタ解除イベントは、ＤＤｏＳ攻撃を行うコンピュータやワームに感染したコンピュータに対して別途対策が講じられた結果、ＤＤｏＳ攻撃やワーム伝播のためのパケットが送信されなくなったことを確認した管理者により指示された場合に発生する。もし、イベントデータ格納部１５０ａに未処理のイベントが存在しない場合には待機する。

そして読み出したフィルタ指示イベントが、Ｅｇｒｅｓｓフィルタ設定イベント又はＩｎｇｒｅｓｓフィルタ設定イベントであるか判断する（ステップＳ３３）。もし、Ｅｇｒｅｓｓ設定イベント及びＩｎｇｒｅｓｓフィルタ設定イベントのいずれでもない場合にはフィルタ解除イベントであるから、当該フィルタ解除イベントのデータに基づきスイッチ１２ａのフィルタ１４ａに対してフィルタ解除を指示する（ステップＳ３５）。例えばフィルタ解除イベントには、ＤＤｏＳ攻撃対策のイベントであればパケット種別、ポート番号及び送信先ＩＰアドレスのデータを含み、ワーム伝播対策のイベントであればパケット種別及びポート番号を含む。なおステップＳ３３の後、処理はステップＳ４５に移行する。

一方、Ｅｇｒｅｓｓフィルタ設定イベント又はＩｎｇｒｅｓｓフィルタ設定イベントのいずれかである場合には、Ｅｇｒｅｓｓフィルタ設定イベントであるか判断する（ステップＳ３７）。もし、Ｅｇｒｅｓｓフィルタ設定イベントである場合には、イベントに係るパケット種別及び送信先ポート番号（ＤｉｓｔＰｏｒｔ）、又はイベントに係るパケット種別、送信先ＩＰアドレス（ＤｉｓｔＩＰ）及び送信先ポート番号（ＤｉｓｔＰｏｒｔ）に基づきＥｇｒｅｓｓフィルタリングを行うようにスイッチ１２ａのフィルタ１４ａに対して指示する（ステップＳ４３）。すなわち、ＤＤｏＳ攻撃対策の場合には、イベントに係るパケット種別、送信先ＩＰアドレス及び送信先ポート番号に合致するようなアウトバウンド・パケットの送出を停止させるための設定を行う。また、ワーム伝播対策の場合には、イベントに係るパケット種別及びポート番号に合致するようなアウトバウンド・パケットの送出を停止させるための設定を行う。ステップＳ４３の後に処理はステップＳ４５に移行する。

ステップＳ３７においてＥｇｒｅｓｓフィルタ設定イベントではなくＩｎｇｒｅｓｓフィルタ設定イベントであると判断された場合には、さらにワーム伝播対策のＩｎｇｒｅｓｓフィルタ設定イベントであるか又はＤＤｏＳ攻撃対策のＩｎｇｒｅｓｓフィルタ設定イベントである場合にはその送信先ＩＰアドレス（ＤｉｓｔＩＰ）が自ネットワーク（接続ネットワークＡ）のＩＰアドレスであるか判断する（ステップＳ３９）。もし、ＤＤｏＳ攻撃対策のＩｎｇｒｅｓｓフィルタ設定イベントであってその送信先ＩＰアドレスが自ネットワークのＩＰアドレスではない場合、Ｉｎｇｒｅｓｓフィルタリングの設定を行っても攻撃対象となっていないのでフィルタリングは必要ないためステップＳ４５に移行する。一方、ワーム伝播対策のＩｎｇｒｅｓｓフィルタ設定イベントであるか又はＤＤｏＳ攻撃対策のＩｎｇｒｅｓｓフィルタ設定イベントである場合にはその送信先ＩＰアドレス（ＤｉｓｔＩＰ）が自ネットワーク（接続ネットワークＡ）のＩＰアドレスである場合には、Ｉｎｇｒｅｓｓフィルタ設定イベントに含まれるパケット種別及び送信先ポート番号（ＤｉｓｔＰｏｒｔ）又はパケット種別、送信先ＩＰアドレス（ＤｉｓｔＩＰ）及び送信先ポート番号（ＤｉｓｔＰｏｒｔ）に基づきＩｎｇｒｅｓｓフィルタリングを行うようにスイッチ１２ａのフィルタ１４ａに対して指示する（ステップＳ４１）。すなわち、ＤＤｏＳ攻撃対策の場合には、イベントに係るパケット種別、送信先ＩＰアドレス及び送信先ポート番号に合致するようなインバウンド・パケットの送出を停止させるための設定を行う。また、ワーム伝播対策の場合には、イベントに係るパケット種別及びポート番号に合致するようなインバウンド・パケットの送出を停止させるための設定を行う。ステップＳ４３の後に処理はステップＳ４５に移行する。

ステップＳ４５では処理を終了すべきか判断し、処理を継続する場合にはステップＳ３１に戻る。それ以外の場合には処理を終了する。なお、イベントデータ格納部１５０ａ内のフィルタ指示イベントのデータには、処理が済めば処理済フラグを設定したり、当該フィルタ指示イベントについての処理が終了すれば削除するなどの方法により、未処理イベントを識別可能にする。

このようにしてスイッチ１２ａのフィルタ１４ａを制御することにより、有効にＤＤｏＳ攻撃やワームに対処することができるようになる。

次に図８を用いて管理装置１６の管理プログラム１６０の処理について説明する。なお図示しないが、管理プログラム１６０は、バックグランドで基幹ネットワーク１０００を介して送られてくる不正アクセス検知イベントのデータを受信して、イベントログ格納部１６４及びマネージャイベントデータ格納部１６６に格納するようになっている。そして、管理プログラム１６０は、イベントログ格納部１６４に新たな発生イベントのデータが格納されると当該発生イベントを表示するための画面データを生成し、当該画面データを例えば管理者端末１８に送信することにより画面表示を実行させる（ステップＳ５１）。なお、ＷｅｂベースでＨＴＭＬファイルなどを生成して送信するようにしても良いし、専用プログラム用の表示データを生成して送信するようにしても良い。

管理者端末１８の表示装置に表示される画面には、例えば発生イベントのリストが含まれ、そのリストの中で今回発生したイベントが強調表示される。また、それぞれの発生イベントについて対策解除の有無の表示及び対策解除ボタンが含まれる。管理者端末１８の管理者は、管理者端末１８の表示装置に表示された内容を参照して必要な処置を行う。例えば、特定の接続ネットワークにおいてＤＤｏＳ攻撃が発生した場合には、当該ＤＤｏＳ攻撃を停止させたり、ワームのプロービングが検知された場合には、ワームの駆除を行う。もし必要な処置が完了して通常の状態に戻ったことが確認されれば、当該発生イベントに対応する対策解除ボタンをクリックすることにより、対策解除指示を管理装置１６の管理プログラム１６０における制御部１６２に出力する。制御部１６２は、管理者からの対策解除指示入力を受け付けると（ステップＳ５３）、当該発生イベントのデータを用いて不正アクセス対策解除イベントを生成し、イベントログ格納部１６４及びマネージャイベントデータ格納部１６６に格納する（ステップＳ５５）。

また、発生イベントに対する対策解除指示の有無にかかわらず、制御部１６２は、マネージャイベントデータ格納部１６６を参照してマネージャイベントのデータを読み出す（ステップＳ５７）。マネージャイベントには、上で述べた不正アクセス対策解除イベントのほか、阻止装置から送信されてくる不正アクセス検知イベント（ＤＤｏＳ攻撃対策及びワーム伝播対策）が含まれる。そして、読み出されたマネージャイベントが不正アクセス対策解除イベントであるか判断する（ステップＳ５９）。もし、不正アクセス対策解除イベントであれば、全阻止装置にフィルタ解除イベントのデータを基幹ネットワーク１０００を介して送信する（ステップＳ６１）。

一方、不正アクセス対策解除イベントではない場合には、不正アクセス検知イベントであるから、当該不正アクセス検知イベントに含まれるデータに基づきＩｎｇｒｅｓｓフィルタ設定イベントのデータを生成し、送信元の阻止装置以外の阻止装置に送信する（ステップＳ６３）。

このようなステップＳ５１乃至Ｓ６３の処理を処理終了まで繰り返す（ステップＳ６５）。なお、マネージャイベントデータ格納部１６６内のマネージャイベントのデータには、処理が済めば処理済フラグを設定したり、当該マネージャイベントについての処理が終了すれば削除するなどの方法により、未処理イベントを識別可能にする。

このようにすれば不正アクセス対策解除を各阻止装置に通知することも、また特定の阻止装置において不正アクセスが検知された場合には当該不正アクセスに対する対処を当該特定の阻止装置以外の装置に通知することができる。

以上のような処理を実施することにより、第１に、基幹ネットワークに不正なパケットを送出することを阻止することができるため基幹ネットワークの輻輳を未然に防止することができる。従って、ＤＤｏＳ攻撃の踏み台又はワームに感染したコンピュータが発生してしまったとしても被害及び影響を最小限に抑えることができる。また、第２に、例え少数の不正なパケットが基幹ネットワークに送出されてしまったとしても、Ｉｎｇｒｅｓｓフィルタリングも実施されるため、不正なパケットが他の接続ネットワークに送り込まれることを防止することも可能となる。

本発明の一実施の形態について上で述べたが、本発明はこれに限定されるものではない。例えば、阻止装置とスイッチは別装置として図３に示しているが、必ずしも別装置ではなく一体化されたネットワーク接続機器として実現される場合もある。また、阻止装置には、他の阻止装置に不正アクセス検知イベントを通知する機能は設けられていないが、例えば基幹ネットワークに接続されたときに他の阻止装置と存在を確認しあうようなプロトコルを別途導入して予め他の阻止装置を登録しておき、不正アクセスを検知した場合に他の阻止装置に自らが通知するような構成にしてもよい。その際には管理装置は不要となる。

また、図８のステップＳ６３においては全ての不正アクセス検知イベントを送信元以外の阻止装置に通知するような構成としたが、例えばＤＤｏＳ攻撃であれば送信先ＩＰアドレスに該当する接続ネットワークに接続された阻止装置にのみ通知するようにしても良い。

さらに阻止プログラムの機能ブロック（図３）は必ずしも実際のプログラムモジュールに対応するものではない。

（付記１）
第１のネットワークから他のネットワークへのアウトバウンドのパケットを検査し、当該パケットが所定の条件を満たしているか判断する判断ステップと、
前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータに基づき前記第１のネットワークから他のネットワークへのパケット出力を停止するための設定を行う設定ステップと、
を不正アクセス阻止装置に実行させるためのプログラム。

（付記２）
前記所定の条件が、分散型サービス不能化攻撃とみなされるパケットを検出するための第１の条件とコンピュータワームによるプロービングとみなされるパケットを検出するための第２の条件との少なくともいずれかを含む付記１記載のプログラム。

（付記３）
前記第１の条件が、パケット種別と送信先ＩＰアドレスと送信先ポート番号との組み合わせにて特定される各パケットの単位時間あたりのパケット送出数と、改竄された送信元ＩＰアドレスを含むパケットの数との少なくともいずれかを含む付記２記載のプログラム。

（付記４）
前記第２の条件が、パケット種別と送信先ポート番号との組み合わせにて特定されるパケットの単位時間あたりの送信先ＩＰアドレス数と、不正な送信先ＩＰアドレスを含むパケットの数との少なくともいずれかを含む付記２記載のプログラム。

（付記５）
前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータを他の装置に送信するステップ
をさらに実行させるための付記１記載のプログラム。

（付記６）
他の装置から不正アクセス検知の通知を受信した場合、当該不正アクセス検知の通知に基づき前記他のネットワークから前記第１のネットワークへのインバウンド・パケットのフィルタリング処理の設定を行うフィルタリング設定ステップ
をさらに実行させるための付記１記載のプログラム。

（付記７）
前記フィルタリング設定ステップが、
前記不正アクセス検知の通知に特定のＩＰアドレスのデータを含む場合には、当該特定のＩＰアドレスが前記第１のネットワークに関連するか判断するステップ
を含む付記６記載のプログラム。

（付記８）
第１のネットワークから他のネットワークへのアウトバンドのパケットを検査し、当該パケットが所定の条件を満たしているか判断する判断手段と、
前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータに基づき前記第１のネットワークから他のネットワークへのパケット出力を停止するための設定を行う設定手段と、
を有する不正アクセス阻止装置。

（付記９）
前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータを他の装置に送信する手段
をさらに含む付記１記載の不正アクセス阻止装置。

（付記１０）
他の装置から不正アクセス検知の通知を受信した場合、当該不正アクセス検知の通知に基づき前記他のネットワークから前記第１のネットワークへのインバウンド・パケットのフィルタリング処理を実施する手段
をさらに有する付記８記載の不正アクセス阻止装置。

（付記１１）
管理装置と、
第１のネットワークから他のネットワークへのアウトバウンドのパケットを検査し、当該パケットが所定の条件を満たしているか判断する判断手段と、前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータに基づき前記第１のネットワークから他のネットワークへのパケット出力を停止するための設定を行う設定手段と、前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータを前記管理装置に送信する手段と、前記管理装置から不正アクセス検知の通知を受信した場合、当該不正アクセス検知の通知に基づき前記他のネットワークから前記第１のネットワークへのインバウンド・パケットのフィルタリング処理の設定を行う手段とを有する複数の不正アクセス阻止装置と、
を有し、
前記管理装置が、
特定の不正アクセス阻止装置から前記所定の条件を満たしていると判断されたパケットについてのデータを受信した場合には、前記特定の不正アクセス阻止装置以外の不正アクセス阻止装置に前記所定の条件を満たしていると判断されたパケットについてのデータを送信する手段を有する
不正アクセス阻止システム。

（付記１２）
第１のネットワークから他のネットワークへのアウトバウンドのパケットを検査し、当該パケットが所定の条件を満たしているか判断する判断ステップと、
前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータに基づき前記第１のネットワークから他のネットワークへのパケット出力を停止するための設定を行う設定ステップと、
を含む不正アクセス阻止方法。

従来技術を説明するための模式図である。本発明の実施の形態の概要を説明するための図である。本発明の実施の形態に係るシステム概要を示す図である。定義ファイルに格納されるデータの一例を示す図である。トラフィック監視処理の処理フローを示す図である。不正アクセス検知処理の処理フローを示す図である。フィルタ制御処理の処理フローを示す図である。管理制御処理の処理フローを示す図である。

符号の説明

１０００基幹ネットワーク
１０ａ，１０ｂ阻止装置１００ａ，１００ｂ阻止プログラム
１１０ａトラフィック監視部１２０ａ不正アクセス検知部
１３０ａフィルタ制御部１４０ａ，１４０ｂ定義ファイル
１５０ａ，１５０ｂイベントデータ格納部
１６０ａ，１６０ｂパケットＦＩＦＯバッファ
１２ａ，１２ｂスイッチ１４ａ，１４ｂフィルタ

Claims

第１のネットワークから他のネットワークへのアウトバウンドのパケットを検査し、当該パケットが所定の条件を満たしているか判断する判断ステップと、
前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータに基づき前記第１のネットワークから他のネットワークへのパケット出力を停止するための設定を行う設定ステップと、
を不正アクセス防止装置に実行させるためのプログラム。
前記所定の条件が、分散型サービス不能化攻撃とみなされるパケットを検出するための第１の条件とコンピュータワームによるプロービングとみなされるパケットを検出するための第２の条件との少なくともいずれかを含む請求項１記載のプログラム。
前記第１の条件が、パケット種別と送信先ＩＰアドレスと送信先ポート番号との組み合わせにて特定される各パケットの単位時間あたりのパケット送出数と、改竄された送信元ＩＰアドレスを含むパケットの数との少なくともいずれかを含む請求項２記載のプログラム。
前記第２の条件が、パケット種別と送信先ポート番号との組み合わせにて特定されるパケットの単位時間あたりの送信先ＩＰアドレス数と、不正な送信先ＩＰアドレスを含むパケットの数との少なくともいずれかを含む請求項２記載のプログラム。
前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータを他の装置に送信するステップ
をさらに実行させるための請求項１記載のプログラム。
他の装置から不正アクセス検知の通知を受信した場合、当該不正アクセス検知の通知に基づき前記他のネットワークから前記第１のネットワークへのインバウンド・パケットのフィルタリング処理の設定を行うフィルタリング設定ステップ
をさらに実行させるための請求項１記載のプログラム。
前記フィルタリング設定ステップが、
前記不正アクセス検知の通知に特定のＩＰアドレスのデータを含む場合には、当該特定のＩＰアドレスが前記第１のネットワークに関連するか判断するステップ
を含む請求項６記載のプログラム。
第１のネットワークから他のネットワークへのアウトバンドのパケットを検査し、当該パケットが所定の条件を満たしているか判断する判断手段と、
前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータに基づき前記第１のネットワークから他のネットワークへのパケット出力を停止するための設定を行う設定手段と、
を有する不正アクセス阻止装置。
管理装置と、
第１のネットワークから他のネットワークへのアウトバウンドのパケットを検査し、当該パケットが所定の条件を満たしているか判断する判断手段と、前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータに基づき前記第１のネットワークから他のネットワークへのパケット出力を停止するための設定を行う設定手段と、前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータを前記管理装置に送信する手段と、前記管理装置から不正アクセス検知の通知を受信した場合、当該不正アクセス検知の通知に基づき前記他のネットワークから前記第１のネットワークへのインバウンド・パケットのフィルタリング処理の設定を行う手段とを有する複数の不正アクセス阻止装置と、
を有し、
前記管理装置が、
特定の不正アクセス阻止装置から前記所定の条件を満たしていると判断されたパケットについてのデータを受信した場合には、前記特定の不正アクセス阻止装置以外の不正アクセス阻止装置に前記所定の条件を満たしていると判断されたパケットについてのデータを送信する手段を有する
不正アクセス阻止システム。
第１のネットワークから他のネットワークへのアウトバウンドのパケットを検査し、当該パケットが所定の条件を満たしているか判断する判断ステップと、
前記所定の条件を満たしていると判断された場合には、前記所定の条件を満たしていると判断されたパケットについてのデータに基づき前記第１のネットワークから他のネットワークへのパケット出力を停止するための設定を行う設定ステップと、
を含む不正アクセス阻止方法。