JP2006121679A - ネットワークにおける侵入検知装置及び侵入検知方法 - Google Patents

Abstract

【課題】 必要に応じて差等的に侵入検知を適用することが可能な侵入検知装置及びその方法を提供する。
【解決手段】 受信したパケットについて侵入検知のためのパターンマッチングを実行する機能を備え、パターンマッチングを実行するか否かを制御信号に基づいて決定するための侵入検知システム１００と、受信したパケットがパターンマッチングを要請するパケットであるか否かを判定し、該判断結果に基づいて該当パケットについてのパターンマッチングを実行するか否かを示す情報を含む上記制御信号を生成して侵入検知システムに送信する交換装置１２０とを有する。
【選択図】 図３

Description

本発明は、ネットワークセキュリティのための侵入検知システム(ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ ＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ)に関し、より詳しくは、受信したパケットに対して差等的に侵入検知を適用した侵入検知装置及びその方法に関する。

近年、データ及び通信のセキュリティは、ネットワークにおいて重要となっている。侵入検知（探知）システムは、ネットワークセキュリティのために使用される装置の一種であり、この侵入検知システムは、攻撃を感知し、可能であれば当該攻撃が追跡できるように動作するモニタリングシステムであり、そして、この侵入検知システムは、ネットワークやシステムを調査及び監視して必要な手段（措置）を講じるシステムでもある。例えば、侵入遮断システム(i.e.，ｆｉｒｅｗａｌｌ、防火壁)がロックされているドアであれば、侵入検知システムは、その部屋に設置され、侵入又は攻撃に関する動きを感知する感知装置といえる。そして、この侵入検知システムは、特定種類の攻撃をチェックする方式、非正常的なトラフィックを発見する方式など多様な方式がある。以下、図１及び図２を参照して、侵入検知システムを適用したネットワークセキュリティーシステムについて説明する。

図１は、ＩＤＳのようなセキュリティ装置（侵入検知システム）、侵入遮断装置（侵入遮断システム、i.e.，ｆｉｒｅｗａｌｌ）及びＶｏＩＰ機能を有する押しボタン式電話若しくは構内交換機のような交換装置を含むネットワーク構成図である。

図１のネットワークは、侵入検知システム１００と、侵入遮断システム１１０と、交換装置（スイッチング装置）１２０とを含むように構成されている。

侵入検知システム１００は、多様な攻撃パターンデータを保存し、受信したパケットと保存された攻撃パターンデータとを比較するパターンマッチング(ｐａｔｔｅｒｎ ｍａｔｃｈｉｎｇ)により、受信した該当パケットが攻撃パケットであるか否かを判定する。侵入遮断システム１１０は、予め定義された方策（policy）に応じてネットワーク接続のためのポートをオープン／クローズ（開放／閉鎖）する機能を実行する。図１に示すように、侵入検知システム１００を使用するネットワークでは、侵入遮断システム１１０は、侵入検知システム１００の制御によってポートの接続及び遮断を制御することが可能である。

交換装置１２０は、受信したパケットに含まれた情報に応じて、各パケットを要求された位置に送信するスイッチング機能を実行する。

そして、侵入検知システム１００、侵入遮断システム１１０及び交換装置１２０は、図２に示すように、統合して１つの装置又はシステムとして構成することが可能である。

図２は、セキュリティ装置（侵入検知システム及び侵入遮断システム）と交換装置が統合された統合交換装置のネットワーク構成図である。

図２の統合交換装置(ＳＭＥ ｓｙｓｔｅｍ)２００は、受信したパケットについてのパターンマッチングを実行し、その結果、該当パケットが正常なパケットではない攻撃パケットと判定すると、該当パケットを遮断するセキュリティ機能及び正常なパケットについてのスイッチング機能を実行する。そして、図２の侵入検知部２１０、侵入遮断部２２０及び交換部２３０は、統合交換装置２００に含まれ、当該統合交換装置２００において、上述のようなセキュリティ機能及び交換機能を実行する機能モジュールとなっている。即ち、侵入検知部２１０は、多様な攻撃パターンデータを保存し、受信するパケットを保存された攻撃パターンデータと比較するパターンマッチング(ｐａｔｔｅｒｎ ｍａｔｃｈｉｎｇ)により、受信した該当パケットが攻撃パケットであるか否かを判定する。そして、侵入遮断部２２０は、予め定義された方策（policy）に応じてネットワーク接続のためのポートをオープン／クローズし、交換部２３０は、受信されたパケットに含まれる情報に基づいて各パケットを要求された位置に送信する交換機能を実行する。

一方、ネットワークでは、ＶｏＩＰ（Voice Over Internet Protocol）などの実時間（リアルタイム）処理が要請されるパケット伝送も行っている。実時間処理を要請するパケットについては、伝送遅延を短くしなければならない。しかしながら、侵入検知システム１００または侵入検知部２１０は、侵入検知パケットのＰａｔｔｅｎ／Ｂｙｔｅマッチング方法を使用し、予め保存されている多数のパターンデータと受信したパケットとを比較（照合）して攻撃パケットの侵入を検出するので、伝送遅延が発生してしまう。したがって、ＶｏＩＰなどの実時間処理が要請されるパケットは、侵入検知システム１００または侵入検知部２１０による伝送遅延のために、ＱｏＳ(Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ)が低下してしまう課題があった。また、当該システムは、侵入検知システム１００または侵入検知部２１０のパターンマッチング処理により増加するシステム負荷(Ｌｏａｄ)のために、性能が低下する課題もあった。

即ち、従来は、すべてのパケットについて一律に侵入検知のためのパターンマッチングを実行するため、パターンマッチングの実行による性能低下に対して、好適に対応する方法がなかった。

本発明は、上述したような従来技術の問題点を解決するためになされたもので、その目的は、受信したパケットについて侵入検知を実行するか否かを判定することが可能な差等的な侵入検知装置及びその方法を提供することにある。

本発明の他の目的は、パケット処理速度の増加を通じてパケットの実時間処理を可能とする差等的な侵入検知装置及びその方法を提供することにある。

また、本発明の他の目的は、公知のポートを用いずに、パケットについての侵入検知を実行するか否かを判定することが可能な差等的な侵入検知装置及びその方法を提供することにある。

上記課題を解決するための本発明の１つの側面としての侵入検知装置は、侵入検知システムが設けられたネットワーク上の差等的な侵入検知のための装置であって、受信したパケットについて侵入検知のためのパターンマッチングを実行する機能を備え、パターンマッチングを実行する否かを制御信号によって決定するための侵入検知システムと、受信したパケットがパターンマッチングを要請するパケットであるか否かを判定し、該判断結果に基づいて該当パケットについてのパターンマッチングを実行するか否かを指示する情報を含む上記制御信号を生成して侵入検知システムに送信する交換装置とを有することを特徴とする。

また、本発明の他の側面としての侵入検知方法は、ネットワーク上の侵入検知のための方法であって、パケットを受信する第１の過程と、受信したパケットがパターンマッチングの実行を要請するパケットであるか否かを判定する第２の過程と、該判定の結果、パターンマッチングの実行を要請するパケットについてはパターンマッチングを実行し、パターンマッチングの実行を要請しないパケットについてはパターンマッチングを実行しない第３の過程とを有することを特徴とする。

本発明によれば、侵入検知システムを含むネットワーク上のパケットの特性に応じて侵入検知によるパターンマッチングを適用するか否かを判定し、該判定結果に基づいて差等的に侵入検知を実行することによりパケットの処理速度を増加させることが可能になる。このため、システムのＱｏＳを向上させることが可能になる。

また、本発明によれば、ＶｏＩＰパケットなどの実時間処理を要請するパケットの処理速度を増加させることが可能になる。

また、本発明によれば、データアプリケーション(Ｄａｔａ Ａｐｐｌｉｃａｔｉｏｎ)の中でよく知られたポート(Ｗｅｌｌ-Ｋｎｏｗｎ Ｐｏｒｔ)を使用しないパケット伝送に対する侵入検知に効果的に適用可能になる。そして、動的に変化するＩＰとポートについて差等的に侵入検知を実行することが可能になる。

以下、本発明の好適な実施形態について添付図面を参照しながら詳細に説明する。下記の説明において、本発明の要旨のみを明瞭にするために、公知の機能や構成についての詳細な説明は適宜省略する。

以下に説明する本発明は、ＩＰ及びポート情報を使用して実現することが可能である。即ち、本発明では、特定ポートを介して実時間（リアルタイム）処理を要請するパケットの受信が開始されたと判定すると、この特定ポートを介して受信されるその後のパケットについては、侵入検知機能を遮断する。そして、この特定ポートを介した実時間処理を要請するパケットの受信が終了したと判定すると、該特定ポートを介して受信するパケットについての侵入検知機能の遮断を解除する。

また、本発明では、受信するパケットが実時間処理を要請するパケットであるか否かを、交換装置で判定する。そして、当該交換装置は、実時間処理を要請するパケットが受信されたと判定すると、そのパケットが受信されるポート番号と侵入検知機能を遮断するか否かを指示するための情報とを含む制御信号を侵入検知システムに送信する。侵入検知システムは、交換装置からその制御信号を受信すると、指示するポートを介して受信されるパケットについてのパターンマッチングを実行するか否かを、その制御信号に含まれる指示情報に基づいて決定（判定）することができる。交換装置は、その特定ポートを介した実時間処理を要請する全てのパケットの受信が完了したと判定すると、ポート情報と侵入検知機能を遮断するか否かを指示するための情報とを含む制御信号を再度侵入検知システムに送信する。

上述のように、本発明は、呼単位、即ち、一つの呼の開始から終了までを単位として侵入検知機能を遮断するか否かを交換装置が決定する。すなわち、本発明では、交換装置が、侵入検知システムを介して受信した一つの呼の一番目のパケットについて実時間処理を要請するパケットであるか否かを判定する。したがって、すべての呼の最初のパケット（１番目のパケット）は、侵入検知機能によるパターンマッチングによって攻撃パケットであるか否かが判定されたパケットとなる。ここで、受信したパケットが呼の一番目のパケットであるか否かの判定は、パケットが有する情報を参照することで行うことができる。

以下、添付図面を参照して本発明の実施形態について詳細に説明する。なお、以下の実施形態では、本発明がＩＰパケットについて適用される実施の形態について説明している。また、実時間処理を要請するパケットの一例としてＶｏＩＰを使用して説明している。

（第１の実施形態）
本発明の第１の実施形態は、図２に示した統合交換装置２００を含むネットワークに適用でき、図１に示すような、侵入検知システム１００、侵入遮断システム１１０及び交換装置１２０が独立的に存在するネットワークにも適用可能である。まず、図２の統合交換装置２００を含むネットワークに本発明を適用した第１の実施形態について説明する。

図３は、図２の統合交換装置２００の構成ブロック図であり、侵入検知部２１０及び交換部２３０の構成を示すブロック図である。

図３の侵入検知部２１０は、多様な攻撃パターンデータを保存し、受信したパケットを保存された攻撃パターンデータと比較するパターンマッチング(ｐａｔｔｅｒｎ ｍａｔｃｈｉｎｇ)により、該当パケットが攻撃パケットであるか否かを判定する。侵入検知部２１０は、ＩＰ／ポートチェックモジュール３００と、攻撃確認モジュール３０２と、ＬｏｇＥｎｔｒｙモジュール３０４とを備えている。

本実施形態のＩＰ／ポートチェックモジュール３００は、交換部２３０と連動して交換部２３０から提供された動的(Ｄｙｎａｍｉｃ)ＩＰ／ポート情報と受信したＩＰパケットとを比較して、侵入検知機能を実行する。即ち、受信したパケットについてのパターンマッチングを適用するか否かを決定するモジュールである。ＩＰ／ポートチェックモジュール３００は、交換部２３０から提供された情報に基づいて該当受信パケットについてパターンマッチングを適用するか否かを指示する情報を含む制御信号を生成し、攻撃確認モジュール３０２に出力する。攻撃確認モジュール３０２は、ＩＰ／ポートチェックモジュール３００から受信した該制御信号が、パターンマッチングの不適用を指示すものである場合には、該当パケットについてのパターンマッチングを省略する。

攻撃確認モジュール３０２は、ネットワーク(例えば、ＩＰネットワーク)を介して受信したパケットについて、Ｐａｔｔｅｎ／Ｂｙｔｅマッチング(パターンマッチング)方法を使用して、当該受信したＩＰパケットが正常なパケットであるか否かを判定するモジュールである。本実施形態のパターンマッチングは、受信したパケットとＬｏｇＥｎｔｒｙモジュール３０４に保存されたＩＰパターン／バイト情報（攻撃パターンデータ）とを比較し、一致するパターンが存在するか否かを判定する過程を意味する。攻撃確認モジュール３０２は、このパターンマッチングの結果、受信したパケットと一致するパターン情報が存在すれば、受信したパケットを正常なパケットではない、すなわち、攻撃パケットと判定する。本実施形態において、攻撃確認モジュール３０２は、ＩＰ／ポートチェックモジュール３００が出力する信号の受信に伴い、当該信号の指示に応じて受信した該当パケットについてのパターンマッチングを実行するか否かを決定している。

Ｌｏｇ ｅｎｔｒｙモジュール３０４は、侵入検知ＩＰ Ｐａｔｔｅｎ／Ｂｙｔｅ情報を保存するデータベースである。

図３の侵入遮断部２２０は、予め定義された方策（policy）によってネットワーク接続のためのポートをオープン／クローズする。また、侵入遮断部２２０は、侵入検知部２１０の制御によりパケット伝送を遮断（ポートをクローズするための制御信号を侵入遮断部２２０に送信し、パケット伝送を遮断）することも可能である。

図３の交換部２３０は、受信したパケットに含まれた情報に基づいて、各パケットを要請された宛先に送信する交換機能を実行する。本実施形態の交換部２３０は、受信したパケットの種類を示す信号を生成して出力する機能をさらに含んでいる。交換部２３０は、ＶｏＩＰシグナリング処理(Ｓｉｇｎａｌｉｎｇ)モジュール３１０と、ＶｏＩＰ媒体処理(Ｍｅｄｉａ)モジュール３１２と、交換処理(Ｋ／Ｐ Ｌｅｇａｃｙ局選／内線処理)モジュール３１４とを含んでいる。

ＶｏＩＰシグナリング処理モジュール３１０は、ＶｏＩＰ呼（呼接続、呼設定等）のためのシグナリング処理を実行する。ＶｏＩＰシグナリング処理モジュール３１０は、受信したパケットのヘッダー情報から該当パケットの種類を判定することができる。ＶｏＩＰ媒体処理モジュール３１２は、ＶｏＩＰ呼のための媒体トランスコーディング（Ｔｒａｎｓｃｏｄｉｎｇ）処理を担っている。交換処理モジュール３１４は、各パケットについての交換機能を実行する。

特に、本実施形態の交換部２３０は、受信したパケットが実時間処理を要請するパケットであるＶｏＩＰパケットと判定すると、これを通知するための信号を生成し、侵入検知部２１０のＩＰ／ポートチェックモジュール３００に提供（送信）する。したがって、侵入検知部２１０がパケット種類に応じて差等的にＩＤＳ（侵入検知）を適用することができる。一般的に、一つの呼は、開始から終了まで同一ポートを介して受信される。即ち、ＶｏＩＰパケットを受信したポートは、該当パケットを含む呼が終了するまでＶｏＩＰパケットを受信すると考えることができる。したがって、交換部２３０は、ＶｏＩＰパケットを受信した場合に、該当ＶｏＩＰパケットについてのＩＰ／ポート情報を、侵入検知部２１０に提供して侵入検知部２１０が該当ポートを介して受信したＶｏＩＰパケットについてのパターンマッチングを省略する差等的な侵入検知を適用することができる。また、交換部２３０は、ＶｏＩＰ呼と判定された１つの呼が終了する場合に、これを通知する信号を侵入検知部２１０に提供することにより、該当ポートを介して受信するパケットについてのパターンマッチングの遮断を終了させ、そのポートを介して受信する以後のパケットについてのパターンマッチングが実行されるように制御する。即ち、交換部２３０は、任意のポートを介して受信したパケットについてのパターンマッチングの遮断の開始と終了を通知する信号を生成して侵入検知部２１０に提供する。この信号は、ＶｏＩＰパケットが受信されるポートについてのＩＰ情報、ポート情報及びパターンマッチングを遮断するか否かを指示する情報を含む制御信号として構成することができる。

また、この信号は、交換部２３０のＶｏＩＰシグナリング処理モジュール３１０で生成され、侵入検知部２１０のＩＰ／ポートチェックモジュール３００に提供される。これは、ＶｏＩＰシグナリング処理モジュール３１０が、ＶｏＩＰのＩＰ／ポート情報を確認することができるからである。即ち、ＶｏＩＰシグナリング処理モジュール３１０は、受信したパケットが、実時間処理を要請するＶｏＩＰパケットであるか否かを確認（照合）し、該当パケットがＶｏＩＰパケットであると判定すると、該当パケットのＩＰ／ポート情報及び該当ポートを介して受信するパケットについてのパターンマッチングの遮断を指示する情報を含む制御信号を生成し、侵入検知部２１０のＩＰ／ポートチェックモジュール３００に提供する。そして、ＶｏＩＰシグナリング処理モジュール３１０は、該当呼の最後のパケットを受信すると、該当ＩＰ／ポート情報及び該当ポートを介して受信するパケットについてのパターンマッチングの遮断の終了を指示する情報（パターンマッチングの再実行を指示する情報）を含む制御信号を生成してＩＰ／ポートチェックモジュール３００に提供する。

なお、本実施形態では、侵入検知部２１０と交換部２３０は、統合交換装置２００を構成するモジュールなので、交換部２３０は、プロセッサ間通信(ＩＰＣ：Ｉｎｔｅｒ Ｐｒｏｃｅｓｓｏｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎ)を使用して、ＶｏＩＰパケットについてのパターンマッチングの遮断を指示する情報を含む制御信号を侵入検知部２１０に提供することが可能である。

次に、本実施形態の差等的な侵入検知の処理フローを、図５、図６を参照して詳細に説明する。

図５は、図３のネットワークで侵入検知部２１０と交換部２３０との間で行われる信号の交換を示すフローチャートである。

図５は、本実施形態と直接関連するＩＰ／ポートチェックモジュール３００と、攻撃確認モジュール３０２と、ＶｏＩＰシグナリング処理モジュール３１０との間の信号の遷移のみを示している。

図５の(１)は、ＶｏＩＰ呼のためのＶｏＩＰシグナリングＩＰの処理過程であり、本実施形態では、ＶｏＩＰシグナリング信号５００が使用される。ＶｏＩＰシグナリング処理モジュール３１０は、攻撃確認モジュール３０２、ＩＰ／ポートチェックモジュール３００及びネットワーク(例えば、ＩＰネットワーク)を介して、該当ＶｏＩＰ呼の相手とＶｏＩＰシグナリング過程を実行する。そして、この処理過程において、ＶｏＩＰシグナリング信号５００が使用される。ＶｏＩＰシグナリング処理モジュール３１０は、公知のポート(例えば、Ｈ.３２３ ＴＣＰ １７１９、１７２０Ｐｏｒｔ、ＳＩＰ ＵＤＰ ５０６０Ｐｏｒｔ)を使用して、初めてシグナリング(Ｓｉｇｎａｌｉｎｇ)を開始する。ＶｏＩＰシグナリング処理モジュール３１０は、図５の（１）のＶｏＩＰシグナリング過程を介して該当パケットのＩＰ／ポート情報を得ることができる。一方、侵入検知部２１０は、ＩＰ／ポートをチェックする際に、上述の一般的な公知のポートに対しては、侵入検知（パターンマッチング処理等）を実行するか否かを選択することが可能である。なお、一般的には、上記公知のポートに対して侵入検知が実行するケースが多い。

図５の(２)は、該当パケットについてのパターンマッチングを遮断するか否かを指示する過程である。ＶｏＩＰシグナリング処理モジュール３１０は、該当パケットが実時間処理を要請するパケットであるか否か、即ち、パターンマッチングの遮断を要請するパケットであるか否かを判定し、パターンマッチングを遮断するか否かを指示する信号であるＶｏＩＰ媒体情報信号(ＶｏＩＰ Ｍｅｄｉａ Ｉｎｆｏ(ＩＰ／Ｐｏｒｔ))５０２を生成し、ＩＰ／ポートチェックモジュール３００に送信する。このＶｏＩＰ媒体情報信号５０２は、パターンマッチングを遮断するか否かを指示する信号と、図５の(１)のＶｏＩＰシグナリング過程を介して得た該当パケットのＩＰ／ポート情報とを含んでいる。

図５の(３)は、パターンマッチングが遮断されたパケットの伝送過程である。パターンマッチングが遮断されたパケット(ＶｏＩＰ媒体ストリーム信号：ＶｏＩＰ Ｍｅｄｉａ Ｓｔｒｅａｍ)５０４は、攻撃確認モジュール３０２によるパターンマッチング過程を経ずに、ＶｏＩＰシグナリング処理モジュール３１０に伝送される。

図５の(４)は、パターンマッチングが遮断されている呼についてのパターンマッチングの遮断終了を指示する過程である。ＶｏＩＰシグナリング処理部３１０は、ＶｏＩＰ呼の最後のパケットを受信すると、該当パケットのＩＰ／ポート情報及び該当パケットについてのパターンマッチングの遮断終了を指示する情報を含むＶｏＩＰ媒体情報信号(ＶｏＩＰ Ｍｅｄｉａ Ｉｎｆｏ(ＩＰ／Ｐｏｒｔ))５０６信号をＩＰ／ポートチェックモジュール３００に送信する。

図５の(２)と(３)のＶｏＩＰ媒体情報信号５０２、５０６は、プロセッサ間通信を通じて伝送できる。

本実施形態では、このような過程を経ることで、動的に変化するＶｏＩＰＩＰ／ポート情報に応じた差等的な侵入検知を実行することができ、ＶｏＩＰの音質(Ｖｏｉｃｅ Ｑｕａｌｉｔｙ)を向上させつつ、システム負荷を軽減させることが可能となる。したがって、システムの性能を向上させることが可能となる。

図６は、本実施形態の差等的な侵入検知方法を説明するためのフローチャートである。

図６のステップS６００において、本実施形態の侵入検知装置は、ネットワークからパケットを受信する。ステップS６０２では、侵入検知装置（交換部２３０）は、受信したパケットが実時間処理を要請するパケットであるか否かを判定する。

ステップＳ６０２の判定の結果、受信したパケットが実時間処理を要請するパケット（ステップＳ６０２のＹＥＳ）、即ち、パターンマッチングを要請しないパケットであれば、侵入検知装置は、ステップ６０４での該当パケットについてのパターンマッチングを実行しない（パターンマッチングを遮断する制御信号が交換部２３０から侵入検知部２１０に送出され、それ以後に受信したパケットについてのパターンマッチングを適用しない）。

一方、ステップＳ６０２の判定の結果、受信したパケットが実時間処理を要請しないパケット（ステップＳ６０２のＮＯ）、即ち、パターンマッチングを要請するパケットである場合には、侵入検知装置は、該当パケットについてのパターンマッチングを実行する。

（第２の実施形態）
次に、侵入検知システム、侵入遮断システム及び交換装置が統合されないで独立的に存在するネットワークに、本発明の差等的な侵入検知システムを適用した第２の実施形態について詳細に説明する。

図４は、図１に示したように、侵入遮断システム及び交換装置が統合されずに各々が独立的に存在するネットワークにおける本実施形態の侵入検知システム及び交換装置の構成を示す図である。

図４の侵入検知システム１００は、多様な攻撃パターンデータを保存し、受信したパケットと保存された攻撃パターンデータとを比較するパターンマッチングを介して該当パケットが攻撃パケットであるか否かを判定する侵入検知を実行する。侵入検知システム１００は、ＩＰ／ポートチェック部４００と、攻撃確認モジュール４０２と、Ｌｏｇｅｎｔｒｙ 部４０４とを備えている。

ＩＰ／ポートチェック部４００は、交換装置（例えば、押しボタン式電話や構内交換機（PBX）等であって、インターネット等のネットワークにおいてはルータ等）１２０から提供された動的ＩＰ／ポート情報に基づいて受信したパケットについてのパターンマッチングを実行するか否かを決定する。ＩＰ／ポートチェック部４００は、交換装置１２０から提供されたこれらの情報に基づいて該当受信パケットについてパターンマッチングを適用するか否かを指示する制御信号を生成して、攻撃確認モジュール４０２に出力する。

攻撃確認モジュール４０２は、受信したＩＰパケットが、攻撃パケットであるか否かを判定するためのパターンマッチングを実行する。本実施形態の攻撃確認モジュール４０２は、ＩＰ／ポートチェック部４００からの制御信号により、該当パケットについてパターンマッチングを実行するか否かを決定する。

Ｌｏｇ ｅｎｔｒｙ 部４０４は、侵入検知のためのＩＰパターン情報を保存するデータベース等のデータ格納手段である。

侵入遮断システム１１０は、予め定義された方策（policy）に応じてネットワーク接続のためのポートをオープン／クローズする機能を実行する。

そして、交換装置１２０は、受信したパケットに含まれた情報に基づいて該当パケットについての交換機能を実行し、受信したパケットの種類を示す信号を生成して侵入検知システム１００に送信する。交換装置１２０は、ＶｏＩＰシグナリング処理部４１０と、ＶｏＩＰ媒体処理部４１２と、交換処理部４１４とを備えている。

ＶｏＩＰシグナリング処理部４１０は、ＶｏＩＰ呼のためのシグナリング処理を実行する。ＶｏＩＰシグナリング処理部４１０は、受信したパケットのヘッダー情報から該当パケットの種類を判定する。ＶｏＩＰ媒体処理部４１２は、ＶｏＩＰ呼のための媒体トランスコーディング処理を担っている。交換処理部４１４は、各パケットについての交換機能を実行する。

本実施形態の交換装置１２０は、受信したパケットが実時間処理を要請するパケットであるＶｏＩＰパケットと判定した場合に、これを通知する信号を生成して侵入検知システム１００のＩＰ／ポートチェック部４００に提供する。したがって、本実施形態の侵入検知システム１００は、パケット種類に応じて差等的に侵入検知（ＩＤＳ）を適用することができる。一般的に、一つの呼は、開始から終了まで同一ポートを介して受信されるので、本実施形態による差等的な侵入検知は、ポート情報を用いて行うことが可能となる。

交換装置１２０は、ＶｏＩＰパケットを受信すると、該当ＶｏＩＰパケットについてのＩＰ／ポート情報及び該当ポートを介して受信するパケットについてのパターンマッチングの遮断指示を含む制御信号を侵入検知システム１００に送信し、パターンマッチングが遮断されたＶｏＩＰ呼が終了する際に、該当パケットのＩＰ／ポート情報及び該当ポートを介して受信するパケットについてのパターンマッチングの遮断終了の指示を含む信号を制御信号として侵入検知システム１００に送信する。

この信号は、受信したパケットのＩＰ／ポート情報などを確認する交換装置１２０のＶｏＩＰシグナリング処理部４１０にて生成され、侵入検知システム１００のＩＰ／ポートチェック部４００に送信される。即ち、ＶｏＩＰシグナリング処理部４１０は、受信したパケットが実時間処理を要請するＶｏＩＰパケットであるか否かを確認し、該当パケットがＶｏＩＰパケットであると判定すると、該当パケットのＩＰ／ポート情報及び該当ポートを介して受信するパケットについてのパターンマッチングの遮断を指示する情報を含む制御信号を生成し、侵入検知システム１００のＩＰ／ポートチェック部４００に送信する。そして、ＶｏＩＰシグナリング処理部４１０は、該当パケットを介して該当呼の最後のパケットを受信すると、該当ＩＰ／ポート情報及び該当ポートを介して受信するパケットについてのパターンマッチングの遮遮断終了を指示する情報を含む制御信号を生成し、ＩＰ／ポートチェック部４００に送信する。

なお、本実施形態では、侵入検知システム１００及び交換装置１２０が、互いに独立的に存在するので、上述の第１の実施形態とは異なり、交換装置１２０と侵入検知システム１００の間の信号伝送においてＩＰＣを使用して実行することができない。したがって、本実施形態では、交換装置１２０から侵入検知システム１００に送信される信号は、該当パケットのＩＰ／ポート情報及びパターンマッチングを遮断するか否かを指示する情報の以外に、当該信号の宛先が侵入検知システム１００であることを指し示す情報をさらに含むように構成する。

なお、本実施形態における、図４のＩＰ／ポートチェック部４００、攻撃確認モジュール４０２及びＶｏＩＰシグナリング処理部４１０の間の信号交換は、上述の第１の実施形態の図５に示した処理遷移と同様であるため、説明を省略する。ただし、本実施形態では、ＩＰ／ポートチェック部４００及びＶｏＩＰシグナリング処理部４１０の間において、上述のようにプロセッサ間通信を用いることができない。そこで、ＶｏＩＰシグナリング処理部４１０は、ＶｏＩＰ媒体情報信号を生成する際に、ＩＰ／ポート情報及びパターンマッチングを遮断するか否かを指示する情報を含む信号の以外に、ＩＰ／ポートチェック部４００が該当信号の宛先であるか否かを示す情報を含むように構成している。

以上、上記第１及び第２の実施形態では、受信したパケットを、実時間処理を要請するパケットと実時間処理を要請しないパケットに区分し、侵入検知のためのパターンマッチングを実行するか否かを決定しているが、それ以外の他の区分基準によってパターンマッチングを実行するか否かを決定するように構成することも可能である。即ち、受信するパケットをパターンマッチングの実行が必要なパケットと不必要なパケットに区分できるすべての場合に適用することが可能である。

侵入検知システムや侵入遮断システムなどのセキュリティ装置と、ＶｏＩＰ機能を備える交換装置を含む、ネットワーク構成図である。 セキュリティ装置と交換装置が統合された形態の統合交換装置を含むネットワーク構成図である。 本発明の第１の実施形態における、図２に示された統合交換装置の侵入検知部及び交換部の構成を示す図である。 本発明の第２の実施形態における、図１に示された侵入検知システム及び交換装置の構成を示す図である。 本発明の第１の実施形態における、図３に示されたネットワークにおいて侵入検知部と交換部との間で行われる信号の交換を示すフローチャートである。 本発明の第１の実施形態における、侵入検知の処理遷移を説明するためのフローチャートである。

符号の説明

１００ 侵入検知システム
１１０ 侵入遮断システム
１２０ 交換装置
２００ 統合交換装置
２１０ 侵入検知部
２２０ 侵入遮断部
２３０ 交換部
３００ ＩＰ／ポートチェックモジュール
３０２ 攻撃確認モジュール
３０４ Ｌｏｇ Ｅｎｔｒｙ
３１０ ＶｏＩＰシグナリング処理モジュール
３１２ ＶｏＩＰ媒体処理モジュール
３１４ 交換処理モジュール
４００ ＩＰ／ポートチェック部
４０２ 攻撃確認モジュール
４０４ Ｌｏｇ Ｅｎｔｒｙ
４１０ ＶｏＩＰシグナリング処理部
４１２ ＶｏＩＰ媒体処理部
４１４ 交換処理部
５００ ＶｏＩＰシグナリング信号
５０２、５０６ ＶｏＩＰ媒体情報信号
５０４ ＶｏＩＰ媒体ストリーム信号

Claims (18)

1. 受信したパケットについて侵入検知のためのパターンマッチングを実行する機能を備え、前記パターンマッチングを実行するか否かを、制御信号に基づいて決定するための侵入検知システムと、
   受信したパケットがパターンマッチングの実行を要請するパケットであるか否かを判定し、該判定結果に基づいて該当パケットについてのパターンマッチングを実行するか否かを指示する情報を含む前記制御信号を生成して前記侵入検知システムに送信する交換装置とを有することを特徴とする侵入検知装置。
2. 前記制御信号は、該当パケットのＩＰ情報、ポート情報及びパターンマッチングを実行するか否かを指示する情報を含むことを特徴とする請求項１に記載の侵入検知装置。
3. 受信したパケットについて侵入検知のためのパターンマッチングを実行する機能を備え、前記パターンマッチングを実行する否かを、制御信号に基づいて決定するための侵入検知システムと、
   受信したパケットが実時間処理を要請するパケットであるか否かを判定し、該判定結果に基づいて該当パケットについてのパターンマッチングを実行するか否かを指示する情報を含む前記制御信号を生成して前記侵入検知システムに送信する交換装置とを有することを特徴とする侵入検知装置。
4. 前記実時間処理を要請するパケットは、ＶｏＩＰパケットであることを特徴とする請求項３に記載の侵入検知装置。
5. 前記制御信号は、該当パケットのＩＰ情報、ポート情報及び該当ポートを介して受信するパケットについてのパターンマッチングを実行するか否かを指示する情報を含むことを特徴とする請求項３に記載の侵入検知装置。
6. 前記交換装置は、受信したパケットが実時間処理を要請するパケットであると判定した場合に、該当パケットのＩＰ情報、ポート情報及び該当ポートを介して受信するパケットについてのパターンマッチングの遮断を指示する情報を含む前記制御信号を前記侵入検知システムに出力することを特徴とする請求項３に記載の侵入検知装置。
7. 前記交換装置は、前記パターンマッチングが遮断されたポートを介した、実時間処理を要請するパケットの受信が終了したと判定した場合に、該当パケットのＩＰ情報、ポート情報及びパターンマッチングの実行を指示する情報を含む前記制御信号を前記侵入検知システムに出力することを特徴とする請求項６に記載の侵入検知装置。
8. 前記交換装置は、受信したＶｏＩＰパケットのＩＰ情報及びポート情報を確認し、前記ＩＰ情報、ポート情報及びパターンマッチングを遮断するか否かを指示する情報を含む前記制御信号を生成するＶｏＩＰシグナリング処理部を有することを特徴とする請求項３に記載の侵入検知装置。
9. 受信したパケットについて侵入検知のためのパターンマッチングを実行するための侵入検知部と、
   受信したパケットが実時間処理を要請するパケットであるか否かを判定し、前記パケットが実時間処理を要請するパケットと判定した場合に、該当パケットについてのパターンマッチングの遮断を指示する情報を含む制御信号を、プロセッサ間通信を介して前記侵入検知部に送信する交換部とを有することを特徴とする侵入検知装置。
10. 受信したパケットについて侵入検知のためのパターンマッチングを実行する機能を備え、前記パターンマッチングを実行するか否かを、制御信号によって決定するための侵入検知システムと、
    受信したパケットが任意の呼の一番目のパケットであるか否かを判定し、一番目のパケットと判定した場合に、該当パケットについてのパターンマッチングを実行するか否かを指示する情報を含む前記制御信号を前記侵入検知システムに送信する交換装置とを有することを特徴とする侵入検知装置。
11. 前記制御信号は、少なくとも受信した該当パケットのＩＰ情報、ポート情報及びパターンマッチングを実行するか否かを指示する情報を含むことを特徴とする請求項１０に記載の侵入検知装置。
12. 前記制御信号は、前記侵入検知システムが宛先であることを指示する情報をさらに含むことを特徴とする請求項１１に記載の侵入検知装置。
13. パケットを受信する第１の過程と、
    前記受信したパケットがパターンマッチングの実行を要請するパケットであるか否かを判定する第２の過程と、
    該判定結果に基づいて、パターンマッチングの実行を要請するパケットについてはパターンマッチングを実行し、パターンマッチングを要請しないパケットについてはパターンマッチングを実行しない第３の過程とを有することを特徴とする侵入検知方法。
14. 前記第２の過程における受信したパケットがパターンマッチングの実行を要請するパケットであるか否かの判定は、前記パケットに含まれたＩＰ情報及びポート情報に基づいて行うことを特徴とする請求項１３に記載の侵入検知方法。
15. 前記第２の過程におけるパターンマッチングの実行を要請するパケットであるか否かの判定は、パターンマッチングが遮断されたポートを介して受信したパケットをパターンマッチングの実行を要請しないパケットと判定し、パターンマッチングが遮断されていないポートを介して受信したパケットをパターンマッチングの実行を要請するパケットと判定することにより行うことを特徴とする請求項１３に記載の侵入検知方法。
16. 前記ポートを介したパターンマッチングの実行を要請しないパケットの受信が終了したと判定すると、前記ポートを介して受信する以後のパケットをパターンマッチングの実行を要請するパケットと判定することを特徴とする請求項１５に記載の侵入検知方法。
17. パケットを受信する第１の過程と、
    前記受信したパケットが実時間処理を要請するパケットであるか否かを判定する第２の過程と、
    前記第２の過程の前記判定の結果、実時間処理を要請するパケットについては侵入検知のためのパターンマッチングを実行しないで、実時間処理を要請しないパケットについては侵入検知のためのパターンマッチングを実行する第３の過程とを有することを特徴とする侵入検知方法。
18. 前記実時間処理を要請するパケットは、ＶｏＩＰパケットであることを特徴とする請求項１７に記載の侵入検知方法。

Images