JP2006506853A - 能動的ネットワーク防衛システム及び方法 - Google Patents

Abstract

自動的にトラフィックを監視しブロックするように動作可能な能動的ネットワーク防衛システムが提供される。この能動的ネットワーク防衛システムは、ネットワーク・インフラストラクチャの一部として、パケット・トラフィック・データ・フローに関してインラインに設置される。この構成においては、全通過パケットの検査及び処理が可能である。多数のセッションにわたって存在する脅威を識別するために、アルゴリズム・フィルタリング動作が、データ・フローに対して統計学的閾値フィルタリングを適用する。個々のセッション内に存在する脅威を識別するために、トリガー・フィルタリング動作がデータ・フローに対してヘッダ・コンテンツ・マッチフィルタリングを適用する。脅威パケット・トラフィックはブロックされ、脅威セッションは終了される。疑わしいトラフィックは、データ・フローから抽出されて、より包括的なコンテンツマッチング調査並びに資産リスク解析調査を更に受ける。データ・フローを通過するパケットの通過速度を制御するためにフロー制御機構が与えられる。

Description

（クロスリファレンス）
本出願は、その全体が引用によりここに組み入れられる、２００２年４月３０日付で出願された「ＮＥＴＷＯＲＫ ＳＥＣＵＲＩＴＹ ＳＹＳＴＥＭ ＩＮＴＥＧＲＡＴＩＯＮ」という名称の係属中の米国特許出願番号第１０／１３６，８８９号に関連する。
本出願は、その全体が引用によりここに組み入れられる、２００２年８月１２日付で出願された「ＭＵＬＴＩ−ＬＥＶＥＬ ＰＡＣＫＥＴ ＳＣＲＥＥＮＩＮＧ ＷＩＴＨ ＤＹＮＡＭＩＣＡＬＬＹ ＳＥＬＥＣＴＥＤ ＦＩＬＴＥＲＩＮＧ ＣＲＩＴＥＲＩＡ」という名称の係属中の米国特許出願番号第１０／２１７，８６２号に関連する。
本発明はネットワーク侵入の検出及び抑止に関する。

企業がインターネットを用いてビジネスを行うことが増えるにつれて、インターネットを通して配信され、またこれを介してアクセス可能な機密・重要情報の量もまた増加している。ここ数十年にわたって企業がビジネスに用いてきた、外部の侵入者からは比較的守られている私設の専用通信ネットワークと異なり、インターネット及び企業に接続されたネットワークは、その公開性及びアクセスのし易さのために、セキュリティ上の脅威及び悪意ある傍受に対して弱い。最近では、こうした機密情報にアクセスするか又は他の形でネットワーク通信に干渉することを意図したネットワークセキュリティ突破の試み即ちハッカー攻撃の頻度に増加が見られる。

ツール及び如何にしてそのような攻撃を行うかについての情報の入手し易さ、ハッカーの巧妙さが増したこと、攻撃に対して脆弱なネットワーク上のアクセスポイント数の増加、及びインターネットを介してアクセス可能であるか又はこれを通して配信される機密情報の全体量の増加などを原因の一端として、ネットワーク攻撃は一層広まりつつあるばかりでなく、巧妙且つ深刻なものになりつつある。こうした攻撃は、攻撃者がウェブサイトを大量のパケット又は接続要求で溢れさせ、それによりそのウェブサイトを殺到状態にして正当なユーザのアクセスを妨害するという、分散型サービス拒否攻撃を含む。他のタイプの攻撃には、単にウェブサイトへのアクセスを妨害するに留まらず、セキュリティに侵入して、ハッカーがサーバを制御し、そのウェブサイトを改竄するか又は重要情報を盗むことができるように設計されているものがある。更に他の攻撃には、インターネット上に伝送された機密通信をハッカーが不正利用することを可能にする、悪意ある傍受を含む。重要情報が悪用されれば、企業の商取引に対する損害、又は最小限の場合でもその評判が損なわれることが起こりうる。また、サービス拒否攻撃からは、多大なコスト及び逆宣伝効果がもたらされる。企業はこうした全てのタイプの攻撃に対抗するべく、高まるネットワーク脆弱性問題に対処するためにセキュリティ予算を増やし続けている。

ネットワーク防衛の一手段として侵入検出システムが広く利用されている。このようなシステムは一般に、トラフィックを監視し、トラフィックの中の疑わしい部分を識別し、そのようなトラフィックが検出された時には警報又は注意報を発するように作動する受動的システムである。どれほど賢いか又は正確であっても、こうした侵入検出システムは攻撃の疑いに対するいかなる能動的な働きかけも備えていないのが通例である。疑わしい活動の各事例に対して警報を発することは可能であるが、ネットワークセキュリティ管理者にとってはさしたる慰めにはならないであろう。その理由は、多くの場合、警報が発せられ認識される頃には、何がしかの意味のある対応をするにしても手遅れだからである。既に損害が与えられてしまっている。簡単に言うと、セキュリティの突破又は突破の可能性があると知ることは、突破による損害を食い止めることと同じではないのである。

従って、当該分野においては、侵入検出システムは、幾らかは役に立つサービスを提供するものの、ネットワーク攻撃に対しては不十分な防衛機構であると認識される。設計者は更に、侵入の疑いに対して何らかの自動応答手段を提供することの必要性を認識してきた。そのような応答機構は、従来型の受動的検出モードから進んだ攻撃抑止モードへと侵入検出システムを機能的に拡張するように意図されている。例えば、侵入検出システムが実装している２つの公知の能動的応答機構は、（ａ）セッション・スナイピング（ＴＣＰリセット要求をＴＣＰセッション・エンドポイントに送信すること）、及び（ｂ）ファイアウォール更新（ポリシー設定要求をファイアウォール又はルータに送信すること）である。しかしながらこれらの能動的機構は一般に効果的ではなく、またＴＣＰ／ＴＰの仕組みに関して基本知識を持つ攻撃者であれば誰にでも容易にバイパスされる。事実、こうした応答機構は、攻撃に際してアドレスを詐称された無実のサーバに対してサービス拒否攻撃の応答を始めること、或いは誤って正当なマシンへのアクセスを拒否することで、被害側ネットワークにとっては逆効果となりかねない。

このようなネットワーク防衛を提供することに関して、従来技術の現況では、汎用プロセッサに実装されたソフトウェアベースの侵入検出システムを利用している。このような実装に伴う困難は、ネットワークを的確に防衛するために必要となるパケット検査、比較及び解析を行うのに十分なだけ迅速にソフトウェアを実行させることができないことである。加えて、ソフトウェアベースのソリューションは時間がかかりすぎるため、こうした実装は、危険なトラフィックが保護されたネットワークに入るのを効果的に阻止するような形で機能することができない。
従って、従来型の侵入検出システムは、その受動的リスニング構成のために、応答機構を装備した場合であっても、もはや適切なネットワーク防衛ストラテジーを与えるものではないと認識される。更に、強化された能動的応答侵入検出システムは、能動的防衛能力の点で十分な手段を提供するものではないと認識される。よって、巧妙化の一途を辿り危険性を増すネットワーク攻撃に対してネットワークを防衛するためには、性能が向上された能動的防衛システム及び方法が必要である。

本発明の１つの実施形態によれば、ネットワーク防衛システムは、パケット・データ・フローに関してインラインに接続された状態管理部を含む。状態管理部は、データ・フロー上に現時点で存在しているセッションを追跡し、パケット関連履歴データを保管するように動作可能である。システムは、追跡されたセッション及びパケット関連履歴データに対して統計学的解析を行い、多数のセッションにわたるデータ・フロー中のパケットが保護されたネットワークに対して脅威を与えるかどうかを判断するように動作可能なアルゴリズム・フィルタを更に含む。
システムは、同じくパケット・データ・フローに関してインラインに接続されたパケット・ハンドラを更に含む。パケット・ハンドラは、脅威の存在に応答して、脅威パケットをブロックするように動作可能である。

システムは、同じくパケット・データ・フローに関してインラインに接続されたトリガー・フィルタを更に含む。トリガー・フィルタは、個々のセッションにおける脅威パケットを検出するために設計された基準に照らして、データ・フロー中のパケットをフィルタリングするように動作可能である。トリガー・フィルタは更に、アルゴリズム・フィルタによる疑わしさ判断に応答して、多数のセッションにわたる脅威パケットを検出するために設計された基準に照らして、データ・フロー中の疑わしいパケットをフィルタリングするように動作可能である。
システムは、同じくパケット・データ・フローに関してインラインに接続されたフロー・コントローラを更に含む。フロー・コントローラは、データ・フローに沿ったパケットの通過速度を調整するように動作可能である。

パケットが疑わしいと識別された場合には、システムは脅威検証機能を更に含む。疑わしいパケットは、データ・フローから抽出され、その後脅威検証機能により、インライン・トリガー・フィルタが用いる基準よりも包括的なフィルタリング基準を用いてフィルタリングされる。より包括的な解析は、疑わしい抽出パケットが実際に脅威を与えるものであるかどうかを解明するように設計される。
疑わしいパケットはまた、リスク評価機能によって解析することができる。リスク評価機能は、疑わしい抽出パケットを調査し、それがネットワーク内に存在する識別可能な資産に対する特定のリスクを示すかどうかを判断するように動作可能である。

本発明は、疑わしい／危険なコンテンツに関する深いレベルのパケット検査を伝送速度で実行できる能力のために、従来のソフトウェアベースの侵入検出システムに比べて多大な向上を提供するという利点を持つ。高速パス・パターン・マッチングの性能は、攻撃に対するネットワーク防衛を提供しながら高速化パケット処理を行うための鍵である。必要なパターン・マッチング速度をサポートするために、またそれによる深いレベルのパケット検査を達成するために、多数の並行パターン・マッチング動作を用いて、パターン・マッチング動作が行われることが好ましい。このように実装されることにより、システムは将来の必要性に対処できるように拡張することが容易なものとなる。
加えて、幾つかのパケットはより慎重な検査を必要とするであろうことが認識されている。この目的のために、本発明は初期スクリーニングを行って、更なる解析が必要となるであろうパケットを識別するという利点を持つ。そのようなパケットはデータ・フローから抽出され、その後独立したプロセス・フローの中でより慎重にスクリーニングされる。

本発明の好ましい実施形態においては、システムは、ハードウェア／ソフトウェア混合ソリューションを利用して、パケット・スループットレートを維持しつつ適切なレベルのパケット・スクリーニングを提供するという利点を持つ。ハードウェアにインライン・コンポーネントが実装されることが好ましい。例えば、パターン・マッチング動作は、従来のソフトウェアベースの侵入検出ソリューションより遥かに迅速に動作するハードウェア設計を用いて行われる。制御及び設定は、システムにある程度の柔軟性を与えるようにソフトウェアで処理することが可能である。また更に、パケットにより示されるいずれかの脅威をシステムがより慎重に考慮できるように、データ・フローから抽出されたこれらのパケットのライン外処理が、ソフトウェアで行われることが好ましい。このアーキテクチャは更に、データ速度の増加に合わせてシステムが拡張されることを可能にする。

本発明の方法及び装置のより完全な理解は、添付の図面と共に以下の詳細な説明を参照することによって得られるであろう。
本発明は、自動的にトラフィックを監視しブロックするように動作可能な能動的ネットワーク防衛システムを提供するものである。この能動的ネットワーク防衛システムは、全ての通過パケットを検査し、且つ可能であれば処理できるように、ネットワーク・インフラストラクチャの一部として、インラインに（即ちパケット・トラフィック・データ・フローの中に）設置されることが好ましい。このネットワーク防衛ソリューションは従来の受動的侵入検出システムからの劇的な技術転換を構成する。

能動的ネットワーク防衛システムは、ライン速度において信頼性を持って動作できる能力があることが重要である。悪意あるパケットを検出した時には、直ちにそのパケットを除去するアクションが取られ、それによりそれが損害を与えうるネットワークに入ることを防止しなければならない。従って、パケットの除去により、攻撃は直ちにブロックされ、いかなる損害も修復する必要がなく、いかなる警報も処理される必要がないという付加的な便益が得られる。
能動的ネットワーク防衛システムは更に幾つかの利点を提供する。能動的ネットワーク防衛システムは、ブロッキングに留まらず、パケットを修正する能力を有する。幾らかの重要性を持つ１つのパケット修正概念は、正規化という発想である。正規化とは、あるプロトコル又は基準の特定の実装に対して順守性を強制するプロセスである。例えば、普及している侵入検出システム回避技術は、標的システムがフラグメント化を処理する手法がまちまちであることを利用する。あるシステムは重複フラグメントを最初の重複パケット・データと一緒に再組み立てし、他のシステムは最後の重複パケット・データと再組み立てする。侵入検出システムは、標的がいかにして再組み立てするかを推測するか又は全ての可能性を考慮に入れる必要がある。標的の振舞いの予測に失敗することにより、攻撃が未検出のまま進行するか、又は誤警報が発せられるであろう。これと対照的に、本発明の能動的ネットワーク防衛システムは、インラインに常駐して全パケットにインターセプトして、セット・アルゴリズムを用いてフラグメントを再組み立てし、再組み立て済パケットを転送することで、正規化を実行することが可能である。フローの正規化は、異なる標的システムにおいてパケット又はフローがどのように処理されるかを推測する必要性をなくし、普及している侵入検出システム回避技術を阻止する。

能動的ネットワーク防衛システムは、パケット・フロー（スループット）を能動的に管理する能力を更に有する。フローを減速させるというこの概念は、能動的ネットワーク防衛システムが疑わしいトラフィックの通過を制限するか又は遅らせながら、既知の「良性の」トラフィックを優先させることを可能にする。この点に関して、多くのサービス拒否攻撃は正当なトラフィックと区別できないことが認識される。ある属性を持つことが検出されたトラフィックを減速させることで、少なくとも、サービス拒否攻撃が標的リソースを殺到状態にすることを阻止することが可能である（且つ更に進んで止めさせることが可能であろう）。付加的な便益として、減速制御を利用可能とすることに伴い、能動的ネットワーク防衛システムを通して基幹トラフィック・スループットにより高い優先度を割当てることによってこれを加速させ、結果としてネットワーク生産性を向上させることが可能である。

能動的ネットワーク防衛システムがうまく機能するためには、パケット・トラフィックのステートフル検査をライン速度で且つ短い待ち時間で実行できる能力がなければならない。例えばＷＡＮ／ＬＡＮのアクセス速度は何ギガビットという桁であり、従って、能動的ネットワーク防衛システムは、スイッチ及びルータにおいては典型的なミリ秒レベルの待ち時間を伴うギガビットレートでのハードウェア能力を有するのでなければならない。ここでの目標は、深いレベルのパターン・マッチングの実践である。能動的ネットワーク防衛システムは、有用なトラフィックの廃棄を避けるような信頼性尺度を有するのでなければならない。また、能動的ネットワーク防衛システムは、ネットワーク・インフラストラクチャの一部として実装されることから、高度の可用性を与えることができなければならない。

これらの背景を考慮に入れて、本発明による能動的ネットワーク防衛システム及び方法のより詳細な検討を提示する。
これより、本発明の能動的ネットワーク防衛システム１０のブロック図が示された図１及び図２への参照がなされる。システム１０は、企業のネットワーク・インフラストラクチャ１２の一部として構成されている。この構成は、システム１０が、監視されるデータ・フロー１４に関してインラインに設置されることを可能にする利点を持つ。このようなインライン配置は、データ・フロー１４内の一つ一つ及び全てのパケット１６に対する検査及び可能性ある処理を容易にする。よってシステムは、データ・フロー１４のライン速度を超える好ましい速度ではないにせよ、これに近い速度で動作することが必須である。システムは、インライン処理を通じて各通過パケットに対して深いレベルのパケット検査を実行する。

システム１０により、幾つかのインライン機能が提供される。これらの機能のうち第１のものは、状態管理部２０を含む。状態管理部２０は、データ・フロー１４の能動的監視と共同して、２つの鍵となる動作を実行する。第１に、状態管理部２０は、セッション管理動作２２を実行する。このセッション管理動作２２は、データ・フロー１４上を運ばれるパケット・トラフィックに関連した各セッションの状態を監視し管理する。より具体的には、セッション管理動作２２は、恐らくはテーブル又は他の機構を用いて、どのセッションが現時点でデータ・フロー１４に存在するかを追跡し、調査に備えてパケット関連履歴データを保管する。例えば接続テーブルを用いて、各接続（例えばＴＣＰ ＳＹＮ、ＳＹＮ ＡＣＫなど）の状態に関するデータを維持することができる。保持されうるパケット関連履歴データのタイプの例は、
− フラグメント化されたパケットの再組み立てと、
− ＴＣＰセッション・フローの再組み立てと、
− 折衝された一時ポートの維持（例えば、ＦＴＰはデータを交換するための動的ポートを確立する）と、
− 接続確立状態（例えば接続確立に当たっての良好に定義されたＴＣＰ交換のような通信ホスト間の妥当なハンドシェーク）と、
− プロトコル及びアプリケーションレベル状態情報（アプリケーション又はプロトコルが、それらのアプリケーション又はプロトコルの仕様に違反しない、或いはそれらのアプリケーション又はプロトコルの既知の脆弱性を利用しない、良好に定義された状態へと遷移していることを保証する）と、
を含む。

個々のパケットが認識済セッションに関係することを保証する目的で、データ・フロー１４の各パケット１６は、セッション管理動作２２により、インラインで調査される。セッションに関係しないパケット１６が調査された場合には、その非認識パケット１６を疑わしいか又は脅威であると識別し、次いでシステム１０によりブロックすることができる。付加的に、パケットとセッションの間の関係記録を保存して、そのことによりシステム１０が脅威である又は疑わしいパケットを発見した時に、検出されたパケットを含むセッション中の全てのパケットを（除去するか又は更に調査することで）同様に処理することを選択することが可能である。この概念は、「セッション・リダイレクション」と呼ばれる。

第２に、状態管理部２０は、パケット・フロー再組み立て動作２４を実行する。この動作に関連して、ネットワークへの攻撃は多数のパケットにわたって分割されることが認識される。このようにして攻撃者は、個々においては一見良性に見える数個のパケットに跨らせて攻撃を隠匿しようとする。これに対抗するためには、パケット・フロー再組み立て動作２４は、攻撃の存在を検出できるように、（上記の履歴データを用いて）ある期間にわたって、確立された接続との関連でデータ・フロー１４を監視し、複数のパケット及びそのコンテンツを調査する。このようにして、パケット・フロー再組み立て動作は、パケットとそのペイロードを追跡し、パケット同士の関係を識別し、パケット及びペイロードを一体に再組み立てし、再組み立て済パケット・データが脅威の可能性について解析される。共通フローに関して一群のパケット１６が調査され、再組み立て時に脅威を示すことが判断された場合には、そのようなパケット（及び同じフロー又はセッション中の関連パケット）はシステム１０によりブロックすることができ、及び／又はそのような脅威パケットに関係するフロー／セッションはシステム１０により終了させることができる。よって、この機能はパケット境界を越えてのパターン・マッチング追跡を可能にする。

正規化プロセスは、何らかの標準への適合性を強制するように設計された幾つかの異なるパケット処理手順を関与させることができる。状態管理がデータ・フローを通過する各パケットに「接触する」ことから、このことは本発明との関連で達成される。例えば、正規化は、システムが、保護されたネットワークに関連する何らかの再組み立てポリシーを定義することを可能にする。フラグメント化されたパケットの脅威を認識すると、このポリシーは、順序立たずに到着したいかなるパケットも無条件でブロックするように命令して、パケットが保護されたネットワークに受信可能となる前に、送信側エンティティが正しい順序で再送信するように仕向けることができる。正規化はまた、システム１０がＩＰオプションに関して何らかの解釈規則を実装することを可能にする。正規化は付加的に、全てのコード化された（例えば１６進法又はＵｎｉｃｏｄｅ）パケットが保護されたネットワークに渡される前にまずデコードされることを必要とする場合がある。これらの動作は、このようにして、何らかの規則又は正規化制限への適合性を強制し、より良好に攻撃からネットワークを保護する。

必要なタスクを最大可能速度（データ・フローのライン速度を超えることが好ましい）で実行する能力を保証するために、状態管理はアプリケーション特化ハードウェア部品として実装されることが好ましい。
状態管理部２０の動作を補助するために、状態管理部２０により、通過パケット・トラフィックの性質に関するデータが収集される。このデータは、例えば、上記の接続テーブルにコンパイルする即ち収集することができる。このデータは、個々のセッションにおけるパケット・トラフィックに関する情報を含むと共に、多数の異なるセッションにわたるパケット・トラフィックに関する情報を含む。
状態管理とアルゴリズム・フィルタリング動作の間には、２つのデータ関係の実装が可能である。第１の実装においては、データは状態管理において単に収集され、アルゴリズム・フィルタリング動作に向けて報告される。第２の実装においては、データは状態管理において収集されて要約され、次いでこの要約がアルゴリズム・フィルタリング動作に向けて報告される。フィルタリング動作を行う前にフィルタが要約を行うことがないようにし、そのことにより処理速度の増加が得られることから、第２の実装が好ましい。しかしながら、この第２の実装は遥かに複雑なハードウェア状態管理実装を必要とし、そのことは設計コストを増す。

収集されたデータはアルゴリズム・フィルタリング動作２８に向けて報告される２６。アルゴリズム・フィルタリング動作２８は、報告されたデータに対し、統計学的解析を行って、該データが問題を起こす可能性を示している（即ち疑わしい）か又は脅威であるかどうかを判断する。アルゴリズム・フィルタリング動作２８によって実行される統計学的解析は、複数の異なるセッションにわたるデータ・フローのパケット・トラフィックの性質に関して報告されたデータによって明らかになる、アドレス・スイープ攻撃、ポートスキャン攻撃、及びサービス拒否攻撃のインスタンスを捕捉するように設計される。この目標を達成するために、アルゴリズム・フィルタ・セット３０が、多数のセッションにわたって発生する認識済みネットワーク脅威を識別し、検出し、抑止するように設計され又は仕立てられる。次いでこれらのアルゴリズム・フィルタ３０は検出エンジン・セット３２に供給され、複数の認識済みセッション攻撃シナリオ（アドレス・スイープ、ポートスキャン、及びサービス拒否攻撃など）の各々１つに対し１つのエンジンが実装される。各検出エンジン３２はまた、状態管理部２０により個々のセッションにおけるパケット・トラフィックに関して収集された報告済２６データ（又はそのサブセット）と共に、多数の異なるセッションにわたるパケット・トラフィックについての情報を受信する。報告済２６データをアルゴリズム・フィルタ３０に対し統計学的な手法で評価することにより、各検出エンジン３２は、ネットワークが現時点でマルチセッション攻撃下にあるかどうかについての結論に達することが可能である。次いでアルゴリズム・フィルタリング動作２８内の管理部３４が、適切なフィードバック３６を状態管理部２０に提供することにより、検出エンジン３２の結論を踏まえて機能する。データ・フロー中の多数のセッション・パケット・トラフィックからの脅威が検出された状況においては、危険なパケットはシステム１０によりブロックすることができ、及び／又はそうしたパケットに関係するセッションはシステム１０により終了させることができる。

セキュリティ・リスクに合わせて仕立てられ又は調整される柔軟性及び能力の継続を保証するために、アルゴリズム・フィルタリング動作は、（ハードウェアの状態管理とインタフェースする）特化可能なソフトウェア・アプリケーションとして実装されることが好ましい。このようにして、脅威検出能力もまた、必要に応じて拡張することが可能である。アルゴリズム・フィルタリング動作により実行される機能を制限し、ハードウェア上で効率的且つ迅速に実行することが可能な状態管理にできるだけ多くの機能（脅威検出動作に留まらず）を入れ込むことにより、付加的に、全体としてのパケット処理速度を高く保ち、動作がライン速度で実行されることを可能にすることができる。

システム１０により提供される第２のインライン機能は、深いレベルのパケット検査を容易にする、ある形式のステートフル・パターン・マッチングを実装するトリガー・フィルタ機能５０を備える。トリガー・フィルタ５０は、データ・フロー１４の能動的監視と共同して２つのフィルタリング動作を実行する。第１に、パケットヘッダ・マッチング動作５２が各パケットを観察し、そのヘッダフィールド値が危険トラフィックの疑いを生じさせるかどうかを判断する。この動作は、固定ヘッダフィールド（例えば宛先及びソースＩＰアドレス、宛先及びソース・ポートなど）を確認して、攻撃を示す情報の存在を調べることを含む。例えば、パケットはヘッダ情報に基づいて分類することができる。次いでこの分類を単独に用いてフィルタリングを行うことが可能であり、また次に論じる他のフィルタリング動作を行う時のコンテキストを提供するために用いることが可能である。第２に、パケットコンテンツ・マッチング動作５４が各パケットを観察し、コンテンツ（文字）ストリング及び／又はその正規表現値が危険トラフィックの疑いを生じさせるかどうかを判断する。この動作は、パケット・ペイロード要素を、攻撃に関係するとして識別されたストリング及び表現にマッチングすることを含む。パケットヘッダ・マッチング動作５２及びパケットコンテンツ・マッチング動作５４は互いに関連して動作し、検出されたヘッダフィールド値とコンテンツ・ストリング／正規表現値との組み合わせに基づいて、疑わしいパケット・トラフィックを検出するという利点を持つことが認識されるであろう。脅威が検出された状況においては、危険なパケットはシステム１０によりブロックすることができ、及び／又はそうしたパケットに関係するセッションはシステム１０により終了させることができる。

上記の説明は、危険であるか又は疑わしいトラフィックを見つけ出す（そしてその後当該トラフィックをブロックする）トリガー動作に焦点を当てているが、幾つかの状況においては、「良性の」トラフィックの質及び特徴を見つけ出すようにトリガーを実装し、またフィルタを設計できるというような場合もあろう。この場合においては、「良性」基準を満たすとして識別されることに失敗したパケットが全てシステム１０によりブロックされ、識別された良性トラフィックが通過を許されることになる。
必要なタスクを最大可能速度（データ・フローのライン速度を超えることが好ましい）で実行する能力を保証するために、トリガー・フィルタ機能はアプリケーション特化ハードウェア部品として実装されることが好ましい。より具体的には、並行処理アーキテクチャにおける複数のハードウェア実装パターン・マッチング・コンポーネントの使用を通じて、高速パス・パターン・マッチングのためのプロセスが実行される。この設定はシステムがライン速度で動作することを可能にし、更に将来的な拡張容易性を提供する。

トリガー・フィルタ機能５０の動作を補助するために、パケットヘッダ・マッチング動作５２とパケットコンテンツ・マッチング動作５４の両方に、フィルタリング基準（即ち規則）５４が与えられる。これらの規則５４は、検出トリガー５６と検出例外５８の両方を含む。検出トリガー５６とは、単一セッションのパケットのペイロード要素内のマッチング済存在がネットワークへの脅威を示す１つ又はそれ以上のヘッダフィールド値、コンテンツ・ストリング、及び／又は正規表現値を、単独に又は互いに組み合わせて識別することである。検出例外５８とは、単一セッションのパケットのペイロード要素内のマッチング済存在が、関心の対象となりうる間、ネットワークへの脅威を示すと見なされてはならない１つ又はそれ以上のヘッダフィールド値、コンテンツ・ストリング、及び／又は正規表現値を、単独に又は互いに組み合わせて識別することである。検出トリガー５６及び検出例外５８を翻訳してフィルタリング基準（即ち規則）５４とするために翻訳機能６０が与えられ、該フィルタリング基準は、トリガー・フィルタ機能５０のパケットヘッダ・マッチング動作５２及びパケットコンテンツ・マッチング動作５４に供給され、それらによって活用される。この翻訳は、例えば、パケットヘッダ・マッチング動作５２及びパケットコンテンツ・マッチング動作５４による実装のための、より低いレベルのマシンコードにデータを変換することを含むことができる。

検出トリガー５６及び検出例外５８は、特に認識済み単一セッション型ネットワーク脅威の識別、検出、及び抑止のために設計され又は仕立てられた検出シグニチャ・セット６２から派生する。例えば検出シグニチャ６２（例えばセキュリティ規則、ポリシー、及びアルゴリズムを備える）を設計して、検出された脆弱性によるネットワーク損害を軽減するか又は回避することができる。このような検出シグニチャ６２は、例えばマシン（ホスト）製造業者、サービス提供業者、インターネットなどを含む数ある中のいずれか１つの周知の作成元から得ることができる。付加的に、シグニチャ６２は、保護されたネットワークの管理者によって作成されることもできる。更に又、シグニチャ６２は、脅威情報（例えばワーム、ウイルス、トロイの木馬、サービス拒否攻撃、Ａｃｃｅｓｓ、Ｆａｉｌｕｒｅ、Ｒｅｃｏｎｎａｉｓｓａｎｃｅ、他の疑わしいトラフィックなど）を世界中から収集し、その情報を解析して、収集された脅威からのネットワーク損害を軽減するか又は回避するために他者によって用いられることが可能となる検出シグニチャ６２を設計する仕事を行っている、シグニチャ作成に従事する事業体により供給されることもできる。

検査されたトラフィックがもたらすネットワークに対する脅威の可能性を検出するために、検出シグニチャ６２は、概説すると、１つ又はそれ以上の抽出済パケット特徴により満たされねばならない基準（例えばＴＣＰ、ＨＴＴＰ、及びＵＲＩ関連基準）を定義するオブジェクトを含む。例として、各検出シグニチャ６２は以下のオブジェクト即ち、
− メタ・データ：シグニチャの名称、識別番号、カテゴリ、及びクラスを説明するものと、
− アクション・セット：脅威が検出された場合にシステム１０により実行されるべき１つ又はそれ以上のアクション（許可する、拒否する、ログを取る、ブロックする、終了させるなど）の定義と、
− クエリ：脅威を受けており、且つシグニチャが適用される対象である１つ又はそれ以上の特定のネットワーク・コンポーネント（マシン・セット）の定義（又は識別番号）と、
− シグニチャ定義：脅威が識別されるために合致されねばならない基準セット及びそれと共に検討されねばならないいずれかの関係パラメータと、
を含むことができる。

セキュリティ・リスクに合わせて仕立てられ又は調整される柔軟性及び能力の継続を保証するために、上記のフィルタ基準管理に関連する動作は（ハードウェアのトリガー・フィルタ機能とインタフェースする）特化可能なソフトウェア・アプリケーションとして実装されることが好ましい。このようにして、システムの脅威検出能力は、必要に応じて拡張することが可能である。
トリガー・フィルタ機能５０によって実行されるフィルタリング比較動作は、パケットレベル及び／又はセッションレベルの一方又は両方で実装されることが好ましい。パケットレベルにおいては、検査・フィルタリング動作は、検出シグニチャの規則を適用する際に各パケットを個別に検討する。セッションレベルにおいては、検査・フィルタリング動作は、検出シグニチャの規則を適用する際に、複数の関係パケットをまとめて検討する。セッションレベルでの比較を補助するために、システム１０は格納済みパケット関連履歴データに関する状態情報に依拠することができる。セッションレベルでの比較については、比較及びフィルタリングは調査下にある現時点のパケットの抽出されたパケット特徴（ヘッダ及びペイロード）ばかりでなく、パケット関連履歴データも検討する。シグニチャ６２基準と、抽出されたパケット特徴及びパケット関連履歴データの組み合わせとの間に合致が見られた場合には、ネットワーク１４に対する脅威の可能性が検出される。

システム１０により提供される第３のインライン機能は、パケット・ハンドラ機能７０を含む。パケット・ハンドラ機能７０は、状態管理部２０及びトリガー・フィルタ機能５０が達した評価及び結論に応答して、ゲートキーパーとして機能し、パケット及び／又はセッションがどのように処理されるかを判断する。より具体的には、パケット・ハンドラ機能は、状態管理部２０及びトリガー・フィルタ機能５０の解析・調査結果をコンパイルして、ある種のパケットが関心ある対象であるかどうかを判断し、次いでそのパケットに対して適切なアクションを取る。関心ある対象と判断されたパケットに対して、３つの処理オプションが利用可能である。第１に、あるパケット又はセッションに関して、状態管理部２０もトリガー・フィルタ機能５０も、いかなる脅威、危険又は疑いをも検出することができなかった限りにおいて、当該パケット・トラフィックはデータ・フロー１４に沿って通過７２し、そのまま通行することが許可される。第２に、あるパケット又はセッションに関して状態管理部２０又はトリガー・フィルタ機能５０のどちらかが明らかな脅威又は危険を検出した限りにおいて、当該パケット・トラフィックはブロックされ、データ・フロー１４から除去７４される。第３に、あるパケット又はセッションに関して状態管理部２０又はトリガー・フィルタ機能５０のどちらかが脅威又は危険の疑いを検出した限りにおいて、当該パケット・トラフィックはデータ・フロー１４から抽出７６され、その後ここでより詳細に論じられるより慎重な調査に当てられる。
データ・フローを通過するパケットに関するソーティング決定を下すように迅速に動作する能力を保つために、このパケット・ハンドラ機能はハードウェアに実装されることが好ましい。

システム１０により提供される第４のインライン機能は、フロー制御機能８０を含む。フロー制御機能８０は、何らかのプログラム可能な又は設定可能な優先度に基づいて、データ・パス１４の中のトラフィック・フロー出力を成形するように機能する。トラフィック成形は、主に、あるパケット・トラフィックがデータ・パス１４の中を通過することを許された速度を加速させる（又は逆に減速させる）ことによって達成される。例えば、既知の確認済み良性トラフィックを、データ・パス１４の中で優先的に伝送させることができる。同様にして、既知の基幹アプリケーションに関係するパケット・トラフィックに、他の重要性の低いトラフィックより高い優先度を与えることができる。より一般的には、ある種のトラフィックを減速して、それがある閾値容量を超過しないようにすることが可能である。このことは、下流リソースのオーバーランニング又はより高い優先度のトラフィックへの干渉を防止する役割を果たす。
データ・フローを通過するパケットに関する処理決定を下すように迅速に動作する能力を保つために、このフロー制御機能はハードウェアに実装されることが好ましい。

疑わしいものとして識別され、次いでパケット・ハンドラ機能７０によりデータ・フロー１４から抽出７６されたパケット・トラフィックに関して、最終処理決定を下す前に、当該トラフィックに対するより慎重且つ徹底した調査が行われる。この更なる調査は、ライン外の脅威検証機能１００を用いて実行される。「ライン外」とは、そのパケット・トラフィックがメイン・データ・フロー１４から離れて処理されることを意味する。脅威検証機能１００は、上記で詳細に論じられたインラインのトリガー・フィルタ機能５０と類似した形で動作する。しかしながら、実行される詳細な調査のレベルに関連した主要な動作上の違いが存在する。トリガー・フィルタ機能５０はインラインで動作しなければならないことから、フィルタリング基準（即ち規則）５４は本質的に、ライン速度での実装に合わせて設計されねばならない（上記の特化されたハードウェア・ソリューションを用いることが好ましい）。この設計基準は本質的に、トリガー・フィルタ機能５０が、その検出努力を、疑いがあり明らかに危険な又は脅威を与えるパケット・トラフィックを迅速に識別するように設計された、さほど徹底的でない調査及び評価に絞り込むことを強いるものである。この調査の性質は、更により詳細な解析によれば良性トラフィックと判断されるようなトラフィックの幾らかを不可避的に疑わしいとして識別することになる。しかしながら、ライン外脅威検証機能１００の目的は、この疑わしいトラフィックをより徹底的に評価して、疑わしいトラフィックの中の良性部分を分離し、データ・フロー１４に戻す１０２ことである。この目的のために、特化可能なソフトウェア・アプリケーションとして実装し、セキュリティ・リスクのより徹底的且つ慎重な評価に合わせられ又は調整される柔軟性及び能力の継続を保証することは利点を持つ。

ソフトウェアベースの実装であることを原因の一端として、脅威検証機能１００は、トリガー・フィルタ機能５０とはやや異なった評価プロセスを実装する。より具体的には、脅威検証機能１００はプロトコル・デコーダ及び正規表現マッチングを用いて詳細な脅威解析を実行する。このことは、トリガー・フィルタリング評価に比べてより多くの時間及びリソースを要するが、遥かに正確な脅威判断をもたらす。この動作を実装するため、脅威検証機能１００に供給されるフィルタリング基準（即ち規則）１０８は、インラインのトリガー・フィルタ機能５０に供給される規則５４に比べて遥かに包括的であり且つ識別力がある。抽出された７６疑わしいトラフィックの評価がライン外で実行され、調査されるトラフィックの容量が著しく減少されていることから、脅威検証機能１００には、各パケットがネットワークに対して本当に脅威又は危険を示すかどうかをより慎重に検討するために、付加的な時間がかけられる。関心あるプロトコル及び正規表現に関連する検出検証１１０が与えられる。次いで翻訳機能１１２が検出検証１１０を翻訳してフィルタリング基準（即ち規則）１０８とし、これが脅威検証機能１００に供給され、それらによって活用される。検出検証１１０は、特に認識済み単一セッション型ネットワーク脅威の識別、検出、及び抑止のために設計され又は仕立てられた上記と同じ検出シグニチャ・セット６２から派生する。

脅威検証機能１００は、疑わしいトラフィックに対するより慎重な解析に応答して、３つの処理オプションから１つを選択する。第１には、そのパケット・トラフィックが良性であると確認された限りにおいて、それはデータ・フロー１４に戻される１０２。第２には、明らかな脅威又は危険が確認された限りにおいて、そのパケット・トラフィックはブロックされ除去される１１４。第３には、（良性か脅威であるか）明確な判断が下せなかった限りにおいて、そのパケット・トラフィックはデータ・フローに戻される１０２が、そのトラフィックのコピーが渡されて１１６、その後更なる検討及び処理が行われ、警報が発せられる必要があるかどうかが判断される。

トリガー・フィルタ機能５０によって実行される解析と、脅威検証機能１００によって実行される解析との間の違いのより良好な理解は、以下を検討することによって得られよう。トリガー・フィルタ機能５０によって用いられるフィルタリング基準は、受信されたパケット・トラフィックを比較的高速で調査できるように、ハードウェアベースのトリガー機構として実装され、ここでは、実質的に全ての疑わしいトラフィックを捕捉するように設計され、処理能力が制限されたフィルタリングが用いられており、フィルタが危険なトラフィックの他に幾つかの良性のトラフィックまで付加的に不可避的に誤って捕捉するであろうと理解される（即ち、正確性は比較的低く、数多くの偽陽性が存在することになろう）。例として、このレベルのスクリーニングには、より複雑性の低いアルゴリズム及びプロセスを用いてより高速で実行することが可能なヘッダフィールド比較及びトリガー・コンテンツ検索（即ち短ストリング比較）が関与しており、スクリーニング済み出力はよりエラーを含みやすい。これに対し、脅威検証機能１００によって用いられるフィルタリング基準の方は、パケット・トラフィックの疑わしい部分をより低速度で調査することを可能にするソフトウェアベースの確認機構として実装され、ここでは、疑わしいトラフィックをより慎重に調査し、脅威を与える又は危険である可能性が最も高いトラフィックを識別するように設計された、より複雑な処理が可能なフィルタリングが用いられており、ここでも脅威検証機能１００が幾つかの良性のトラフィックまで不可避的に誤って捕捉するであろうことが理解される（即ち、正確性は比較的高いものの、最小限の数の偽陽性が存在することになろう）が、それが起きる可能性は、トリガー・フィルタ機能５０と共に経験されるものより著しく低い。例として、この第２のレベルのスクリーニングには、より複雑性の高いアルゴリズム及びプロセスを用いたより低速度でのプロトコル・デコーダ及び正規表現マッチング（即ち長ストリング比較）が関与しており、スクリーニング済み出力はよりエラーを含みにくい。

脅威検証機能１００によって渡された１１６（依然として疑わしい）パケット・トラフィックのコピーに対して、数多くの可能なアクションを取ることができる。例えば、警報１２０を発することができ、疑わしいパケット・トラフィックのコピーをネットワーク管理者に配信して更なる調査を受けさせることができる。或いは又、ライン外のリスク評価機能１３０により、疑わしいパケット・トラフィックを評価することも可能である。リスク評価機能１３０は、疑わしいパケット・トラフィックがネットワーク内に存在するマシン及びデバイスに対して識別可能で具体的な危険性を示すかどうかを評価するように動作する。この判断を補助するために、システム１０により、保護されたネットワーク内に存在するマシン及びデバイスの各々、及びそれらの互いに対する相互接続及び動作上の関係に関する情報を格納した資産データベース１３２が維持される。例えば、資産データベース１３２は、ネットワーク中のマシン（ホスト）、ホストにより提供されるサービス、及びネットワーク構成の観点でこれらのマシン及びサービスに関係するコンピュータシステム並びにネットワークデバイスの潜在的な脆弱性を識別する、企業（即ち保護されたネットワーク）指定データを格納することが好ましい。このデータは、例えば従来の手法で保護されたネットワークを評価するように動作する、独立した、恐らくは従来技術の、脆弱性評価スキャナデバイスの使用を含む、数ある中のいずれか１つの周知の方法で収集することができる。次いでリスク評価機能は、疑いを引き起こした検出シグニチャ（より詳細には、シグニチャの中の脅威を受ける１つ又はそれ以上のネットワーク・コンポーネント（マシン・セット）情報）を、ネットワーク内の資産の観点から評価して、検出シグニチャの適用を通じて疑わしいと検出されたパケット・トラフィックにより、どのタイプのネットワーク資産が脅威を受けているかを判断する。データベース１３２に格納された情報により判断されたときに、保護されたネットワークがいかなる脅威を受けたマシン又はデバイスも持たない場合は、疑わしいトラフィックはネットワークにとって殆ど懸念材料とならないか又は全く懸念材料とならず、無視することが可能である。しかしながら、保護されたネットワークが疑わしいトラフィックにより脅威を受ける可能性がある資産を有する限りにおいては、損害のリスクを低減するか又は解消するために、トラフィックが以後ブロックされて除去されるか、又はそれに対して警報が出されて、ネットワーク／セキュリティ管理者に脅威の可能性があることが通知される。この状況においては、警報１２０を発して、疑わしいパケット・トラフィックをネットワーク管理者に配信して更なる調査を受けさせることができる。

これより再び、アルゴリズム・フィルタリング動作２８への参照がなされる。より具体的には、検出エンジン３２が報告された２６データをアルゴリズム・フィルタ３０に照らして統計学的な手法で評価し、ネットワークが現時点でマルチセッション攻撃下にあるかどうかの結論を出すということが想起されよう。この評価が攻撃の存在又は非存在を最終的に確立することに失敗することがありうる。そのような状況においては、攻撃の疑いが浮上する。この疑いに対処するために、検出エンジンは、翻訳機能６０に転送される疑い警報１７０を発するように構成される。これに応答して、翻訳機能６０が、その翻訳動作を変更するか又は調整して、検出トリガー５６及び検出例外５８の翻訳をフィルタリング基準（即ち規則）５４へと作り替え、そのことによりトリガー・フィルタ機能５０のパケットヘッダ・マッチング動作５２及び／又はパケットコンテンツ・マッチング動作５４がマルチセッション攻撃の存在の可能性をより感知し易くすることができる。このようにして、パケットヘッダ・マッチング動作５２及び／又はパケットコンテンツ・マッチング動作５４に対して或る制御が加えられ、アルゴリズム・フィルタリング動作２８により行われる統計学的解析に基づいてその存在が疑われるマルチセッション攻撃の発見が試みられる。

システム１０は、保護されたネットワークのネットワーク要素として構成されることが好ましい。それにより、システム１０は、外部の世界（すなわち保護されたネットワークの外部の信頼できない世界）と接続することを可能にする幾つかの外付け物理的インタフェースを含むことになる。例として、信頼できない世界は、広域ネットワーク（ＷＡＮ）、仮想プライベートネットワーク（ＶＰＮ）サーバ、ローカルエリアネットワーク（ＬＡＮ）クライアント、無線又はリモートアクセスサーバ、及び信頼できないネットワーク（インターネットなど）のうち、いずれか１つ又はそれ以上を含む。システム１０には、保護された（信頼できる）ネットワークの要素との接続を可能にする幾つかの内蔵物理的インタフェースもまた含めることができる。例として、保護されたネットワークの要素は、ルータ、特殊なタイプのサーバ（例えばＨＴＴＰ、ＳＭＴＰ、ＦＴＰ、ＤＮＡなど）、イントラネット、パーソナルコンピュータ、及びネットワークゾーンを含むことができる。内蔵又は外付けの物理的インタフェースは、信頼できるネットワークと信頼できないネットワークとの相互接続を構成するに当たり、所望に応じて接続できることが認識されよう。

システム１０は、その動作をサポートする適切な物理的プラットフォーム上に実装されることが好ましい。プラットフォームは、システムがセキュリティ用途に適した実行環境を提供することを可能にするのに必要な、基礎となるハードウェア、操作システム、及びコア・インフラストラクチャ設備を備える。この実行環境は、オペレーション、アドミニストレーション、メンテナンス及びプロビジョニング設備、セキュリティ用途の実行をサポートする埋め込みオペレーティングシステム、及びハードウェア（例えばシャーシ、電源、拡張能力、回路カードサポートなど）を含む。上では好ましい実装が論じられたが、システム１０の機能は、ハードウェア上のプラットフォームのみに実装することができ、ソフトウェア上のプラットフォームのみに実装することができ、又はハードウェアとソフトウェア両方の組み合わせにおけるプラットフォームに実装することもできる。

このシステムのトリガー・フィルタ機能５０又は脅威検証機能１００のいずれかによって実行される比較動作及びフィルタリング動作に関連して、フィルタリング基準における使用又はこれと関係する使用を目的として、幾つかの処理機能を検討し評価することができる。ＯＳＩレイヤー１においては、パケット通信のための物理的ハードウェア・インタフェースを検討することができる。ＯＳＩレイヤー２においては、イーサネット上のソース／宛先アドレス、ＶＬＡＮ ＰＲＩ／ＣＦＩ、ＶＬＡＮ識別子及びイーサネットタイプ、並びにＭＰＬＳラベルなどのデータリンクに関連するコード化情報、アドレス情報、及び送信情報を検討することができる。ＯＳＩレイヤー３においては、ＩＰフィールド（例えばソース／宛先アドレス、ペイロード長、フラグビット、ヘッダ長、ＩＤフィールド、オフセット・フィールド、オプション、プロトコル・フィールド、サービスタイプ・フィールド、有効期限フィールド、及びバージョン・フィールド）、及びＡＲＰフィールド（送信者及び標的のＭＡＣアドレス又はプロトコル・アドレス、プロトコル又はハードウェアのタイプ又は大きさ）などのネットワークに関連する転送ルート情報、メッセージ処理及び送信情報を検討することができる。ＯＳＩレイヤー４においては付加的に、ＴＣＰフィールド（ソース／宛先ポート、データ長、ヘッダ長、確認番号、フラグ、シーケンス番号、緊急ポインタ、ウインドウ及びチェックサム）、ＩＣＭＰ（タイプ、コード、シーケンス、ＩＤ、データ長、チェックサム、ｉｃｍｐ．コード）、及びＵＤＰ（ソース／宛先ポート）などの転送関連の配信サービス情報及び品質情報を検討することができる。処理機能は、付加的に、ＨＴＴＰ（要求ライン、メソッド、ＵＲＩ、プロトコル、ホスト、コンテンツ長、ボディを含む全てのヘッダフィールド）、ＤＮＳ、ＳＭＴＰ、ＳＮＭＰ、ＳＭＰ、ＦＴＰなどのプロトコル・デコード情報を評価することができる。更に又、処理機能は、固定ストリングの固定オフセット、ストリング変数の固定オフセット、正規表現の固定オフセット、正規表現の変数オフセット、事象の集合、事象のシーケンス、フラグメンテーション、接続状態、フロー再組み立て、正規化技術（重複フラグメントの検出及び除去、回避技術）、及び１６進法並びにｕｎｉｃｏｄｅデコーディングを評価することができる。

本発明の方法及び装置の好ましい実施形態が添付の図面に示され、上記の詳細な説明において説明されたが、本発明は開示された実施形態に限定されるものではなく、添付の特許請求の範囲より示され且つ定められる本発明の精神から逸脱することなく無数の再配置、修正、及び置換が可能であることが理解されるであろう。

本発明による能動的ネットワーク防衛システムのブロック図である。 図１のシステムのより詳細なブロック図である。

Claims (74)

1. ネットワーク防衛システムであって、
   パケット・データ・フローに関してインラインに接続され、前記データ・フロー上に現時点で存在しているセッションを追跡し、パケット関連履歴データを保管するように動作可能な状態管理部と、
   前記追跡されたセッション及び前記パケット関連履歴データに対して統計学的解析を行い、多数のセッションにわたるデータ・フロー中のパケットが保護されたネットワークへの脅威を示すかどうかを判断するように動作可能なアルゴリズム・フィルタと、
   を含むシステム。
2. 同じくパケット・データ・フローに関してインラインに接続され、脅威の存在に応答して脅威パケットをブロックするように動作可能なパケット・ハンドラをさらに含むことを特徴とする請求項１に記載のネットワーク防衛システム。
3. 前記パケット・ハンドラがさらに、脅威の存在に応答して脅威セッションを終了させるように動作可能であることを特徴とする請求項２に記載のネットワーク防衛システム。
4. 前記保護されたネットワークへの脅威が、アドレス・スイープ攻撃、ポートスキャン攻撃、及びサービス拒否攻撃からなるグループから取られた、複数のセッションに関係する脅威を含むことを特徴とする請求項１に記載のネットワーク防衛システム。
5. 前記追跡されたセッション及びパケット関連履歴データに対して統計学的解析を実行するように動作可能なアルゴリズム・フィルタがさらに、多数のセッションにわたるデータ・フロー中のパケットが疑わしいかどうかを判断するように動作可能であることを特徴とする請求項１に記載のネットワーク防衛システム。
6. 同じくパケット・データ・フローに関してインラインに接続され、前記アルゴリズム・フィルタの疑い判断に応答して、多数のセッションにわたる脅威パケットを検出するために設計された基準に照らして、データ・フロー中の疑わしいパケットにフィルタリングを行うトリガー・フィルタと、
   同じくパケット・データ・フローに関してインラインに接続され、検出された脅威に応答して脅威パケットをブロックするように動作可能なパケット・ハンドラと、
   をさらに含むことを特徴とする請求項５に記載のネットワーク防衛システム。
7. 前記トリガー・フィルタがさらに、個々のセッションの中の脅威パケットを検出するために設計された基準に照らして、データ・フロー中の疑わしいパケットにフィルタリングを行うように動作可能であることを特徴とする請求項６に記載のネットワーク防衛システム。
8. 前記トリガー・フィルタがさらに、個々のセッションにおけるデータ・フロー中のパケットが疑わしいかどうかを判断するように動作可能であり、前記パケット・ハンドラがさらに、更なる調査のために、疑わしいパケットをデータ・フローから抽出するように動作可能であることを特徴とする請求項７に記載のネットワーク防衛システム。
9. 前記抽出されたパケットを受信し、前記疑わしい抽出されたパケットが脅威を与えるものであるかどうかを解明する目的で、前記インラインのトリガー・フィルタによって実行されるものより包括的なフィルタリング動作を実装する脅威検証機能をさらに含むことを特徴とする請求項８に記載のネットワーク防衛システム。
10. 前記脅威検証機能がさらに、前記疑わしい抽出されたパケットが脅威を与えるものでないと判断された場合に、その疑わしい抽出されたパケットをデータ・フローに戻すように動作可能であることを特徴とする請求項９に記載のネットワーク防衛システム。
11. 前記疑わしい抽出されたパケットを調査して、それがネットワーク内に存在する識別可能な資産に対し何らかのリスクを示すかどうかを判断するように動作可能なリスク評価機能をさらに含むことを特徴とする請求項９に記載のネットワーク防衛システム。
12. 同じくパケット・データ・フローに関してインラインに接続され、データ・フローに沿ったパケットの通過を調節するように動作可能なフロー・コントローラをさらに含むことを特徴とする請求項１に記載のネットワーク防衛システム。
13. 前記状態管理部がハードウェアに実装され、
    前記アルゴリズム・フィルタがソフトウェアに実装される、
    ことを特徴とする請求項１に記載のネットワーク防衛システム。
14. ネットワークを防衛する方法であって、
    現時点でパケット・データ・フローに存在するセッションを追跡する段階と、
    これらのセッションに関係するパケット関連履歴データを収集する段階と、
    前記追跡されたセッション及び前記収集されたパケット関連履歴データに対しアルゴリズム的にフィルタリングを行い、多数のセッションにわたるデータ・フロー中のパケットがネットワークに対して脅威を示すかどうかを統計学的解析に基づいて判断する段階と、
    を含む方法。
15. 判断された脅威の存在に応答して脅威パケットをブロックすることにより、パケット・データ・フロー中のパケットを処理する段階をさらに含むことを特徴とする請求項１４に記載の方法。
16. 前記処理段階が、判断された脅威の存在に応答して脅威セッションを終了させる段階をさらに含むことを特徴とする請求項１５に記載の方法。
17. 前記保護されたネットワークへの脅威が、アドレス・スイープ攻撃、ポートスキャン攻撃、及びサービス拒否攻撃からなる群から取られた、複数のセッションに関係する脅威を含むことを特徴とする請求項１４に記載の方法。
18. 多数のセッションにわたるデータ・フロー中のパケットがネットワークに対する脅威の疑いを示すかどうかを統計学的解析から判断する段階をさらに含むことを特徴とする請求項１４に記載の方法。
19. 脅威の疑いに有効に応答して、パケット・データ・フロー中のパケットに対し、多数のセッションにわたる脅威パケットを検出するために設計された基準に照らしてフィルタリングを行う段階と、
    検出された脅威の存在に応答して脅威パケットをブロックすることにより、パケット・データ・フロー中のパケットを処理する段階と、
    をさらに含むことを特徴とする請求項１８に記載の方法。
20. 前記パケット・フィルタリング段階が、データ・フロー中のパケットを個々のセッションにおける脅威パケットを検出するために設計された基準に照らしてフィルタリングする段階をさらに含むことを特徴とする請求項１９に記載の方法。
21. 前記パケット・フィルタリング段階が、個々のセッションにおけるデータ・フロー中のパケットが疑わしいかどうかを判断する段階をさらに含み、前記処理段階が、更なる調査のために、疑わしいパケットをデータ・フローから抽出する段階をさらに含むことを特徴とする請求項２０に記載の方法。
22. 前記抽出されたパケットに関して、疑わしい抽出されたパケットが脅威を与えるものであるかどうかを解明する目的で、前記パケット・フィルタリング段階で行われるものより包括的なフィルタリング動作を実装することにより脅威を検証する段階をさらに含むことを特徴とする請求項２１に記載の方法。
23. 前記脅威を検証する段階が、疑わしい抽出されたパケットが脅威を与えるものでないと判断された場合に、その疑わしい抽出されたパケットをデータ・フローに戻す段階をさらに含むことを特徴とする請求項２２に記載の方法。
24. 前記疑わしい抽出済パケットに関し、それがネットワーク内に存在する識別可能な資産に対し何らかのリスクを示すかどうかを判断することによって、リスクを評価する段階をさらに含むことを特徴とする請求項２２に記載の方法。
25. 前記データ・フローに沿ったパケットの通過を調節することによってフローを制御する段階をさらに含むことを特徴とする請求項１４に記載の方法。
26. パケット・データ・フローに関してインラインに接続され、前記データ・フロー上に現時点で存在している多数のセッションに関する情報を追跡するように動作可能な状態管理部と、
    前記情報に対して統計学的解析を行い、多数のセッションにわたるデータ・フロー中のパケットが保護されたネットワークへの脅威を示すかどうかを判断するように動作可能なアルゴリズム・フィルタと、
    同じくパケット・データ・フローに関してインラインに接続され、個々のセッションの中の脅威パケットを検出するために設計された基準に照らして、データ・フロー中の疑わしいパケットにフィルタリングを行うように動作可能なトリガー・フィルタと、
    同じくパケット・データ・フローに関してインラインに接続され、前記アルゴリズム・フィルタ及び前記トリガー・フィルタが検出した脅威に応答して脅威パケットをブロックするように動作可能なパケット・ハンドラと、
    を含む、ネットワークを防衛するためのシステム。
27. 同じくパケット・データ・フローに関してインラインに接続され、データ・フローに沿ったパケットの通過を調節するように動作可能なフロー・コントローラをさらに含むことを特徴とする請求項２６に記載のシステム。
28. 前記アルゴリズム・フィルタがさらに、多数のセッションにわたるデータ・フロー中のパケットがネットワークに対する脅威の疑いを示すかどうかを統計学的解析から判断するように動作可能であり、前記トリガー・フィルタがさらに、疑い判断に応答して、多数のセッションにわたる脅威パケットを検出するために設計された基準に照らして、データ・フロー中の疑わしいパケットにフィルタリングを行うように動作可能であることを特徴とする請求項２６に記載のシステム。
29. 前記パケット・ハンドラがさらに、検出された脅威に応答して脅威セッションを終了させるように動作可能であることを特徴とする請求項２６に記載のシステム。
30. 前記保護されたネットワークへの脅威が、アドレス・スイープ攻撃、ポートスキャン攻撃、及びサービス拒否攻撃からなるグループから取られた、複数のセッションに関係する脅威を含むことを特徴とする請求項２６に記載のシステム。
31. 前記トリガー・フィルタがさらに、データ・フロー中のパケットを疑わしいと判断した場合に、該パケットをデータ・フローから抽出するように動作可能であることを特徴とする請求項２６に記載のシステム。
32. 前記抽出されたパケットを受信し、前記疑わしい抽出されたパケットが脅威を与えるものであるかどうかを解明する目的で、前記インラインのトリガー・フィルタによって実行されるものより包括的なフィルタリング動作を実装する脅威検証機能をさらに含むことを特徴とする請求項３１に記載のシステム。
33. 前記脅威検証機能がさらに、前記疑わしい抽出されたパケットが脅威を与えるものでないと判断された場合に、その疑わしい抽出されたパケットをデータ・フローに戻すように動作可能であることを特徴とする請求項３２に記載のシステム。
34. 前記疑わしい抽出されたパケットを調査して、それがネットワーク内に存在する識別可能な資産に対し何らかのリスクを示すかどうかを判断するように動作可能なリスク評価機能をさらに含むことを特徴とする請求項３３に記載のシステム。
35. 前記アルゴリズム・フィルタによって解析された情報が、パケットと、確立された特定のセッションとの連係に関係するセッション追跡データを含むことを特徴とする請求項２６に記載のシステム。
36. 前記アルゴリズム・フィルタによって解析された情報が、多数のセッションにわたるパケット関連履歴データを含むことを特徴とする請求項２６に記載のシステム。
37. 前記フィルタリング基準がヘッダ・コンテンツ・マッチング基準を含むことを特徴とする請求項２６に記載のシステム。
38. 前記フィルタリング基準がマルチパケットコンテンツ・マッチング基準を含むことを特徴とする請求項２６に記載のシステム。
39. 前記アルゴリズム・フィルタが統計学的閾値フィルタリングを実装することを特徴とする請求項２６に記載のシステム。
40. パケット・フィルタリング・システムであって、
    パケット・データ・フローに関してインラインに接続され、データ・フロー中の各通過パケットを調査し、それらのパケットに何らかの所定の基準への適合性を強制する正規化機能と、
    同じくパケット・データ・フローに関してインラインに接続され、適合しないパケットの存在に応答して、そうしたパケットが保護されたネットワークへ入らないようにブロックするように動作可能なパケット・ハンドラと、
    を含むシステム。
41. 前記正規化機能が、フラグメント化されたパケットが保護されたネットワークに入る前に再組み立てされることを強いるように動作することを特徴とする請求項４０に記載のシステム。
42. パケット・データ・フローに関してインラインに接続され、保護されたネットワークへの脅威を再組み立て済パケットから検出するように動作可能なトリガー・フィルタをさらに含み、前記パケット・ハンドラが、その再組み立て済パケットをブロックすることによって前記検出に応答することを特徴とする請求項４１に記載のシステム。
43. 前記パケット・ハンドラが、前記再組み立て済パケットに関連するセッションを終了させることによって前記検出に応答することを特徴とする請求項４２に記載のシステム。
44. 前記正規化機能が、エンコードされたパケットが前記保護されたネットワークに入る前にデコーディングを強いるように動作することを特徴とする請求項４０に記載のシステム。
45. 同じくパケット・データ・フローに関してインラインに接続され、前記保護されたネットワークへの脅威をデコード済パケットから検出するように動作可能なトリガー・フィルタをさらに含み、前記パケット・ハンドラが、前記デコード済パケットをブロックすることによって前記検出に応答することを特徴とする請求項４４に記載のシステム。
46. 前記パケット・ハンドラが、前記デコード済パケットに関連するセッションを終了させることによって前記検出に応答することを特徴とする請求項４５に記載のシステム。
47. 前記正規化機能が、アクティブなセッション及び該アクティブなセッションの関連パケットを追跡するように動作することを特徴とする請求項４０に記載のシステム。
48. 同じくパケット・データ・フローに関してインラインに接続され、前記保護されたネットワークへの脅威を通過パケットから検出するように動作可能なトリガー・フィルタをさらに含み、前記パケット・ハンドラが、前記通過パケットをブロックすることによって、前記通過パケットのアクティブなセッションとの関連付けの失敗又は脅威の検出に応答することを特徴とする請求項４７に記載のシステム。
49. 前記パケット・ハンドラが、前記通過パケットに関連するセッションを終了させることによって前記検出に応答することを特徴とする請求項４８に記載のシステム。
50. パケットをフィルタリングする方法であって
    データ・フロー中の各通過パケットを調査し、それらのパケットに何らかの所定の基準への適合性を強制することにより、パケット・データ・フロー中のパケットを正規化する段階と、
    そうしたパケットが保護されたネットワークへ入らないようにブロックすることにより、適合しないパケットの存在に応答して通過パケットを処理する段階と、
    を含む方法。
51. 前記正規化段階が、フラグメント化されたパケットが前記保護されたネットワークに入る前に再組み立てを強いる段階を含むことを特徴とする請求項５０に記載の方法。
52. 前記パケット・データ・フローにフィルタリングを行って、前記保護されたネットワークへの脅威を再組み立て済パケットから検出する段階をさらに含み、前記処理段階が、前記再組み立て済パケットをブロックすることによって前記検出に応答する段階を含むことを特徴とする請求項５１に記載の方法。
53. 前記処理段階が、前記再組み立て済パケットに関連するセッションを終了させる段階を含むことを特徴とする請求項５２に記載の方法。
54. 前記正規化段階が、エンコードされたパケットが前記保護されたネットワークに入る前にデコーディングを強いる段階を含むことを特徴とする請求項５０に記載の方法。
55. 前記パケット・データ・フローにフィルタリングを行って、前記保護されたネットワークへの脅威をデコード済パケットから検出する段階をさらに含み、前記処理段階が、前記デコード済パケットをブロックする段階を含むことを特徴とする請求項５４に記載の方法。
56. 前記処理段階が、前記デコード済パケットに関連するセッションを終了させる段階を含むことを特徴とする請求項５５に記載の方法。
57. 前記正規化段階が、アクティブなセッション及び該アクティブなセッションの関連パケットを追跡する段階を含むことを特徴とする請求項５０に記載のシステム。
58. 前記パケット・データ・フローにフィルタリングを行って、前記保護されたネットワークへの脅威を通過パケットから検出する段階をさらに含み、前記処理段階が、前記通過パケットのアクティブなセッションとの関連付けに失敗するか又は脅威を検出した場合に、前記通過パケットをブロックする段階を含むことを特徴とする請求項５７に記載の方法。
59. 前記処理段階が、前記通過パケットに関連するセッションを終了させる段階を含むことを特徴とする請求項５８に記載の方法。
60. パケット・フィルタリング・システムであって、
    特定の疑わしいトラフィックにより脅威を受けるネットワーク資産の識別子を含むフィルタリング基準セットと、
    前記フィルタリング基準セットと比較して疑わしいパケットを調査するように動作可能であり、更なる調査のために疑わしいパケットのうちのどれか１つを識別するフィルタと、
    前記脅威を受けるネットワーク資産の識別子と比較して、前記疑わしいパケットのうちのどれか１つを調査するように動作可能であり、保護されたネットワークが疑わしいパケットの１つにより脅威を受ける少なくとも１つの識別済みネットワーク資産を含んでいた場合には通知警報を発するリスク評価機能と、
    を含むシステム。
61. 前記保護されたネットワーク内部の資産のリストを格納するデータベースをさらに含み、前記リスク評価機能が、パケットによる脅威を受ける識別済ネットワーク資産を該データベース資産リストに対して比較するように動作可能であることを特徴とする請求項６０に記載のシステム。
62. 良性のトラフィック・パケット、悪質なトラフィック・パケット、及び疑わしいトラフィック・パケットを識別するためのフィルタリング基準セットと比較して、データ・フロー中の各パケットを調査するように動作可能なトリガー・フィルタをさらに含むことを特徴とする請求項６０に記載のシステム。
63. 前記データ・フロー中の各パケットを調査して、（ａ）悪質なトラフィック・パケットを除去し、（ｂ）良性のトラフィック・パケットが保護されたネットワークに入ることを許可し、（ｃ）疑わしいパケットをフィルタに渡して調査させるように動作可能なパケット・ハンドラをさらに含むことを特徴とする請求項６２に記載のシステム。
64. パケットのフィルタリング方法であって、
    何らかの疑わしいトラフィックによる脅威を受けるネットワーク資産の識別子を含むフィルタリング基準セットを定義し、
    前記フィルタリング基準セットと比較して疑わしいパケットを調査して、更なる調査のために疑わしいパケットのどれか１つを識別し、
    前記脅威を受けるネットワーク資産の識別子に関連して、疑わしいパケットのどれか１つに関係するリスクを評価し、
    前記保護されたネットワークが疑わしいパケットのどれか１つにより脅威を受ける少なくとも１つの識別済ネットワーク資産を含んでいた場合には通知警報を発する、
    ことを含む方法。
65. 前記保護されたネットワーク内部の資産のリストを格納する段階をさらに含み、前記リスク評価段階が、前記パケットによる脅威を受ける識別済ネットワーク資産を該資産リストに対して比較する段階を含むことを特徴とする請求項６４に記載の方法。
66. 前記格納された資産リストが資産特徴の識別子を含み、前記リスク評価段階が、前記格納済み資産特徴に照らして、前記パケットによる脅威を受ける識別済ネットワーク資産の特徴を比較する段階を含むことを特徴とする請求項６５に記載の方法。
67. データ・フロー中の各パケットを、前記フィルタリング基準セットと比較して調査し、良性のトラフィック・パケット、悪質なトラフィック・パケット、及び疑わしいトラフィック・パケットを識別する段階をさらに含むことを特徴とする請求項６４に記載の方法。
68. （ａ）前記悪質なトラフィック・パケットを除去すること、
    （ｂ）前記良性のトラフィック・パケットが前記保護されたネットワークに入ることを許可すること、及び
    （ｃ）前記疑わしいパケットを渡してさらに調査させること、
    により前記調査に応答する段階をさらに含むことを特徴とする請求項６７に記載の方法。
69. ネットワークを防衛する方法であって、
    データ・フロー中の各パケットに、ライン速度で深いレベルのパケット検査を実行し、良性のトラフィック・パケット、悪質なトラフィック・パケット、及び疑わしいトラフィック・パケットを識別する段階と、
    前記良性のトラフィック・パケットを保護されたネットワークに渡すことを可能にする段階と、
    前記悪質なトラフィック・パケットが前記保護されたネットワークに入ることをブロックする段階と、
    前記疑わしいパケットを更なる調査のためにデータ・フローから抽出する段階と、
    を含む方法。
70. 前記実行する段階が、単一セッションに関連した識別を行うように動作可能であることを特徴とする請求項６９に記載の方法。
71. 前記実行する段階が、多数のセッションに関連した識別を行うように動作可能であることを特徴とする請求項６９に記載の方法。
72. 前記抽出された疑わしいパケットに対し、より徹底した脅威評価解析を実行する段階をさらに含むことを特徴とする請求項６９に記載の方法。
73. 前記実行する段階が、前記脅威基準に照らして前記通過パケットのパターン・マッチングを行う段階を含むことを特徴とする請求項６９に記載の方法。
74. 前記パターン・マッチング段階が多数の並行インスタンスにおいて実行されることを特徴とする請求項７３に記載の方法。

Images