JP2008066945A - 攻撃検出システム及び攻撃検出方法 - Google Patents

Abstract

【課題】通信網における内部網から外部網への攻撃の検出を低廉に実現する。
【解決手段】ＩＰＳ２０２は、内部網２００と外部網１００との間で授受される通信パケットを検査して特定の条件に合致する特定パケットを検出する。ここで、内部網２００から送られてきた特定パケットを検出したときには、該特定パケットの送信元を検出する依頼を含んでおり仮想サーバ３００のアドレス（仮想アドレス）を宛先にした検出依頼メッセージを作成してＳＬＢ２０１へ送信する。ＲＩＰ検出装置３０３は、ＳＬＢ２０１によって宛先が仮想アドレスから特定パケットの送信元であるサーバ（３０１ａ若しくは３０１ｂ）の実アドレスへと書き換えられた検出依頼メッセージを受け取ったときに、該検出依頼メッセージに宛先として示されている実アドレスを抽出する。
【選択図】図１

Description

本発明は、データ交換通信網の技術に関し、特に、通信網に接続されている装置を不正なアクセスから防護する技術に関する。

まず、ＩＰＳ（Intrusion Prevention System ：不正侵入検出システム）について説明する。
組織体によって使用されているＩＴシステムを守るための代表的な装置であるファイアウォールは、組織外の通信網（外部網）と組織内の通信網（内部網）との接続点に設置して、外部網からの接続を許可するサービス（ポート）を制限することで、不正アクセスから内部網を防御するものである。しかし、悪意のあるコードが、接続を許可しているサービスに対してのアクセスに埋め込まれている場合には、このコードをファイアウォールが検出できないという問題がある。ＩＰＳは、このような悪意のあるコードを検出して内部網を防御する機能を有している装置である。

ＩＰＳは、通信網上を流れる全パケットを対象にしてそのプロトコルヘッダやデータグラム中のデータを解析して、攻撃パケットの検出及び廃棄を行うと共に、攻撃があった旨の通知を管理者用端末へ行う。このデータの解析は、パケットのヘッダやデータグラムに対し、攻撃パターン毎に配布されるパターンファイルを適用して検査を行うことで実現する。このパターンファイルは、最新の攻撃に対応するために、日々更新されており、最新の検索パターンはインターネットを利用する等して提供されている。ここで、攻撃パケットを検出した場合には、ＩＰＳはＴＣＰ（Transfer Control Protocol ）プロトコルにおけるＲＳＴ（Reset ）パケットを攻撃元（攻撃パケットの送信元）へ送信してＴＣＰコネクションを強制的に切断させる。内部網の防御はこうして行われる。

ＩＰＳのうち、特にＷｅｂアプリケーションへの攻撃を対象としたものはＷＡＦ（Web Application Firewall）と称されているが、本願においては、この両者を特に区別することなく、「ＩＰＳ」と称することとする。

次に、ＳＬＢ（Server Load Balancer：サーバ負荷分散装置）について説明する。
ＳＬＢは、外部網上のクライアント端末から内部網に設置されているサーバへの接続要求を一元的に管理して、同等の機能を持つ内部網上の複数のサーバに要求を転送する装置である。例えば、ユーザからのアクセスが一台のＷｅｂサーバの処理能力に比して過大であると、Ｗｅｂサーバは過負荷となってユーザへの応答速度が遅くなってしまう。ＳＬＢは、ユーザからの要求を分散して複数のなるべく多くのサーバに送信することで、各サーバが快適な応答速度を保てるようにする。また、ＳＬＢは、ダウンしたサーバに対しては接続要求を割り振らないようにする機能を有しているので、ＳＬＢを使用することで、Ｗｅｂサーバに対する耐故障性を向上させるという効果も得られる。

図１６について説明する。同図に示す通信網の構成例は、内部網２００に４台のサーバ３０１ａ、３０１ｂ、３０１ｃ、３０１ｄを負荷分散した構成を示している。この構成においてはＳＬＢ２０１を備えたことにより、サーバ１台での運用時に比べて４倍の性能向上を実現すると共に耐故障性の向上も実現している。

以下、図１６におけるＳＬＢ２０１の動作を説明する。
図１６において、外部網１００に存在するクライアント端末１０１ａ、１０１ｂ、…のうちのクライアント端末１０１ａが、http://www.a.comへリクエストを発行した場合を想定する。なお、クライアント端末１０１ａのＩＰアドレスは、172.16.10.55であるとする。

クライアント端末１０１ａから発行されたリクエストは、まず、不図示のＤＮＳ（Domain Name Server）で名前の解決が行われる。ここでは、ＤＮＳによって、ドメインネームwww.a.comのＩＰアドレスが10.10.1.100であることが判明したとする。このＩＰアドレスを受け取ったクライアント端末１０１ａは、このＩＰアドレスが付与されているサーバ（ここでは内部網２００上の仮想サーバ３００）へ接続要求を発行する。

内部網２００では、ＳＬＢ２０１と、サーバ３０１ａ、３０１ｂ、３０１ｃ、及び３０１ｄとによって仮想サーバ３００が構成されている。なお、サーバ３０１ａ、３０１ｂ、３０１ｃ、及び３０１ｄの各々には、それぞれ、192.168.20.1、192.168.20.2、192.168.20.3、及び192.168.20.4のＩＰアドレスが付与されているものとする。

クライアント端末１０１ａで発行された接続要求は、まず、ＳＬＢ２０１で受信される。すると、ＳＬＢ２０１は、内部網２００内に備えられている４台のサーバ３０１ａ、３０１ｂ、３０１ｃ、及び３０１ｄのうちから現在稼働中のものを、ラウンドロビン（Round-robin）等といった所定の負荷分散アルゴリズムに従って選択する。そして、選択されたもの（「実サーバ」と称することとする。）へ、クライアント端末１０１ａからの接続要求を割り振る。このとき、ＳＬＢ２０１は、クライアント端末１０１ａで発行された接続要求における宛先ＩＰアドレスを実サーバのものに書き換える。従って、クライアント端末１０１ａからは、実サーバは意識されず、あたかも仮想サーバ３００との通信を行っているかのように見える。

一方、実サーバからクライアント端末１０１ａへの通信においては、ＳＬＢ２０１は、上述したものとは逆の手順の処理を行って、接続要求に対して実サーバで発行された応答における送信元ＩＰアドレスを、実サーバのＩＰアドレス（このＩＰアドレスを「ＲＩＰ」（Real IP address ：実ＩＰアドレス）と称することとする。）から仮想サーバ３００のＩＰアドレス（このＩＰアドレスを「ＶＩＰ」（Virtual IP address：仮想ＩＰアドレス）と称することとする。）へと書き換える。

このように、ＳＬＢ２０１は、一種のアドレス変換装置としての機能を提供するものである。
次に、図１６に構成を示した通信網において、前述したＩＰＳを設置して外部網１００からの不正アクセスより内部網２００を防御することを考える。このためには、図１７に示すように、ＩＰＳ２０２は、外部網１００と内部網２００との境界、すなわち、外部網１００とＳＬＢ２０１との間に通常設置される。また、図１７には図示していないが、内部網２００の防御のために、外部網１００とＩＰＳ２０２との間にファイアウォールを設置する場合もある。

なお、図１７においては、ＩＰＳ２０２と共に管理者用端末２０３も表している。ＩＰＳ２０２は、攻撃パケットを検出するとその旨を管理者用端末２０３へ通知して、内部網２００の管理者２０４に知らせる。また、図１７の構成例においては、２台のサーバ３０１ａ及び３０１ｂを内部網２００に設置している。

ところで、このようにして外部網からの攻撃に対して内部網を保護する技術に関し、例えば特許文献１には、ファイアウォールを通過するデータパケットを検査し、攻撃を表すデータパケットを検出した場合には、該データパケットから内部網を保護するためのポリシをファイアウォールにインストールして該データパケットの分析に資する情報を設定するという技術が開示されている。
特開２００５−２９３５５０号公報

昨今は、例えば悪意ある内部網の運用者が攻撃のコードをサーバに仕込むなど、内部網のサーバから外部網のクライアント端末を攻撃するという事例も増えている。このような事例について、図１８を用いて説明する。

図１８に例示した通信網の構成は、図１７に示した構成と同一である。この構成において、悪意の運用者が、サーバ３０１ａ及び３０１ｂのうちのどちらかに、クライアント端末１０１ａを攻撃するためのコードを仕込んだとする。このときにサーバ３０１ａ若しくは３０１ｂから発行される通信パケットには、送信元ＩＰアドレスとして、ＲＩＰ１（サーバ３０１ａが発行した場合）若しくはＲＩＰ２（サーバ３０１ａが発行した場合）のどちらかのＩＰアドレスが示されている。

しかし、図１８に示した構成では、ＳＬＢ２０１が内部網２００に設けられている。ＳＬＢ２０１は、サーバ３０１ａ及び３０１ｂのどちらから発行される通信パケットであっても、そこに示されている送信元ＩＰアドレスを仮想サーバ３００に付与されているものへ、すなわちＶＩＰへと書き換えるアドレス変換処理を実行する。このため、ＳＬＢ２０１から送られてきた通信パケットよりＩＰＳ２０２がクライアント端末１０１ａを攻撃するためのコードを検出し（図１８における（１））、その通信パケットに示されている送信元ＩＰアドレスを管理者用端末２０３へ通知しても（図１８における（２））、通知される送信元ＩＰアドレスはＶＩＰである。このため、管理者２０４は、この通知のみでは、クライアント端末１０１ａを攻撃するためのコードが仕込まれたのがサーバ３０１ａ及び３０１ｂのどちらであるかを特定できない（図１８における（３））。また、攻撃元の特定ができないため、前述したＲＳＴパケットを攻撃元へ送信してＴＣＰコネクションを強制的に切断させることによる、クライアント端末１０１ａの防御も行うことができない。

従来は、このような内部網から外部網への攻撃に対処するために、図１９に示した通信網の構成のように、ＩＰＳ２０２とは別個に、ＳＬＢ２０１とサーバ３０１ａ及び３０１ｂとの間にもＩＰＳ３０２を設置していた。すなわち、外部網１００のクライアント端末１０１ａ、１０１ｂ、…からの攻撃の検出及び防御並びに管理者用端末２０３への通知はＩＰＳ２０２が行い、内部網２００のサーバ３０１ａ及び３０１ｂのどちらかからの検出及び防御並びに管理者用端末２０３への通知はＩＰＳ３０２が行うようにして、内部網２００から外部網１００への攻撃の発信元を特定できるようにしていた。

しかし、この従来構成では、２台のＩＰＳ２０２及び３０２を全く別個に設置していたため、システムコストの上昇要因となっていた。
本発明は上述した問題に鑑みてなされたものであり、その解決しようとする課題は、通信網における内部網から外部網への攻撃の検出を低廉に実現することである。

本発明の態様のひとつである攻撃検出システムは、ある組織内の通信網に存在しており各自固有の実アドレスに加えてアドレス変換装置によって共通の仮想アドレスが割り当てられている複数のサーバ装置のうちのいずれかから該組織外の通信網に存在する端末装置への攻撃を検出する攻撃検出システムであって、組織内通信網と組織外通信網との間で授受される通信パケットを検査して特定の条件に合致する特定パケットを検出するパケット検査部と、パケット検査部が組織内通信網から送られてきた特定パケットを検出したときに、該特定パケットの送信元を検出する依頼を含んでおり仮想アドレスを宛先にした検出依頼メッセージを作成してアドレス変換装置へ送信する検出依頼メッセージ作成部と、アドレス変換装置によって宛先が仮想アドレスから特定パケットの送信元であるサーバ装置の実アドレスへと書き換えられた検出依頼メッセージを受け取ったときに、該検出依頼メッセージに宛先として示されている実アドレスを抽出する宛先抽出部と、を有することを特徴とするものであり、この特徴によって前述した課題を解決する。

この構成によれば、アドレス変換装置によって宛先が書き換えられた検出依頼メッセージの該宛先を宛先抽出部が抽出することにより、特定パケットの送信元であるサーバ装置の実アドレスが取得できる。従って、仮想アドレスが送信元とされている特定パケットによる組織内通信網から組織外通信網への攻撃における攻撃元（すなわち特定パケットの送信元）のサーバ装置を特定することができる。

なお、上述した本発明に係る攻撃検出システムにおいて、特定パケットの伝送に使用されているコネクションを強制切断させるメッセージを、宛先抽出部が抽出した実アドレスで特定されるサーバ装置へ宛てて送信する強制切断メッセージ送信部を更に有するように構成することもできる。

この構成によれば、特定パケットでの攻撃における攻撃元のサーバ装置と攻撃先との間の通信コネクションを強制的に切断させることが可能となる。
また、前述した本発明に係る攻撃検出システムにおいて、検出依頼メッセージ作成部は、検出依頼メッセージとして、ＴＣＰプロトコルにおけるＲＳＴパケットであって特定パケットの伝送に使用されているコネクションを強制切断させるものであり、且つ該特定パケットの送信元を検出する依頼を示す情報をデータグラムとして含んでいるものを作成するように構成することもできる。

この構成によれば、ＴＣＰプロトコルに準拠しているアドレス変換装置を使用している場合に、攻撃元のサーバ装置の特定が可能となる。
なお、この構成において、アドレス変換装置によって宛先が仮想アドレスから特定パケットの送信元であるサーバ装置の実アドレスへと書き換えられた検出依頼メッセージであるＲＳＴパケットを宛先抽出部が受け取ったときに、該ＲＳＴパケットからデータグラムのみを削除したものを該実アドレスで特定されるサーバ装置へ宛てて送信する強制切断メッセージ送信部を更に有するように構成することもできる。

この構成によれば、特定パケットでの攻撃における攻撃元のサーバ装置と攻撃先との間の通信コネクションを強制的に切断させることが可能となる。
なお、この構成において、組織外通信網に存在する端末装置から送られてきたＴＣＰプロトコルにおけるＲＳＴパケットをパケット検査部が検出したときに、該ＲＳＴパケットを、該ＲＳＴパケットに含まれていたデータグラムのみを自身のデータグラムとして含んでおり且つ送信元及び宛先を該ＲＳＴパケットと同一にしたＴＣＰパケットと、該ＲＳＴパケットから該データグラムのみを削除したＲＳＴパケットとに分離してアドレス変換装置へ送信するＲＳＴパケット分離部を更に有するように構成することもできる。

この構成によれば、組織外通信網に存在する端末装置から送られてきたＲＳＴパケットで指示されている処理をサーバ装置が適切に実行できると共に、該ＲＳＴパケットと検出依頼メッセージであるＲＳＴパケットとの識別を容易に行えるようになる。

なお、この構成において、宛先抽出部は、アドレス変換装置から受け取ったＲＳＴパケットが検出依頼メッセージであるか否かを、該ＲＳＴパケットのパケットサイズに基づいて判定する検出依頼メッセージ判定部を有するように構成することもできる。

この構成によれば、アドレス変換装置から受け取ったＲＳＴパケットが検出依頼メッセージでない場合の誤作動を防止できる。
また、前述した本発明に係る攻撃検出システムにおいて、パケット検査部は、該パケット検査部で検出された特定パケットに関する情報である特定パケット情報を所定の管理用端末装置へ送信する特定パケット情報送信部を有しており、宛先抽出部は、該宛先抽出部で抽出された実アドレスに関する情報を管理用端末装置へ送信する実アドレス情報送信部を有している、ように構成することもできる。

この構成によれば、攻撃検出システムによる特定パケットでの攻撃の検出結果を管理用端末装置に集中させることができるので、管理者による検出結果の把握が容易になる。
なお、この構成において、検出依頼メッセージには、特定パケット情報についての識別情報が含まれており、実アドレス情報送信部は、アドレス変換装置から受け取った検出依頼メッセージに含まれていた識別情報を実アドレスに関する情報に付加して送信する、ように構成することもできる。

この構成によれば、特定パケットに関する情報と該特定パケットの送信元を特定する実アドレスに関する情報との管理用端末装置での対応付けが容易になる。
また、この構成において、検出依頼メッセージには、管理用端末装置を特定するアドレス情報が含まれており、実アドレス情報送信部は、アドレス変換装置から受け取った検出依頼メッセージに含まれていたアドレス情報を宛先として実アドレスに関する情報を送信する、ように構成することもできる。

この構成によれば、管理用端末装置を特定するアドレス情報を予め宛先抽出部に与えておく必要がなくなる。
なお、上述した本発明に係る攻撃検出システムにおいて使用されている攻撃検出方法も本発明に係るものであり、本発明に係る攻撃検出システムと同様の作用・効果を奏するので、前述した課題が解決される。

本発明によれば、以上のようにすることにより、通信網における内部網から外部網への攻撃の検出が低廉に実現できるようになるという効果を奏する。

以下、本発明の実施の形態を図面に基づいて説明する。
まず図１について説明する。同図は、本発明を実施する攻撃検出システムを含む通信網の構成例を示している。同図に示す構成においては、ＩＰＳ２０２とＲＩＰ検出装置３０３とからなる攻撃検出システムにより本発明が実施される。なお、この構成では、ＲＩＰ検出装置３０３を他の装置から独立したものとしているが、この代わりに、ＲＩＰ検出装置３０３によって提供される全ての機能をＳＬＢ２０１が提供するように構成して、ＩＰＳ２０２とＳＬＢ２０１とからなる攻撃検出システムにより本発明を実施することも可能である。また、本発明の実施においては、必要に応じて管理者用端末２０３が使用される。

図１に示す構成において、ある組織内において使用されている通信網である内部網２００は、ＩＰＳ２０２を介して外部網１００に接続されている。内部網２００に対する外部の通信網である外部網１００には、クライアント端末１０１ａ、１０１ｂ、…が存在している。

内部網２００では、サーバ３０１ａ及び３０１ｂとアドレス変換装置であるＳＬＢ２０１とによってＷｅｂへのアクセスを提供する仮想サーバ３００が構成されており、ＳＬＢ２０１がＩＰＳ２０２に接続されている。また、ＳＬＢ２０１とサーバ３０１ａ及び３０１ｂとの間には、ＲＩＰ検出装置３０３が設けられている。ここで、サーバ３０１ａ及び３０１ｂに個別に付与されているＩＰアドレス（実アドレス）をそれぞれ「ＲＩＰ１」及び「ＲＩＰ２」とし、仮想サーバ３００に付与されているＩＰアドレス（仮想アドレス）を「ＶＩＰ」とする。

なお、図１では、仮想サーバ３００を２台のサーバ３０１ａ及び３０１ｂで構成しているが、更に多数の実サーバで仮想サーバ３００を構成しても本発明の実施は可能である。
ＩＰＳ２０２は、内部網２００と外部網１００との間で授受される通信パケットを検査して、特定の条件に合致するもの（特定パケット）を検出する。ここで、特定パケットとして前述した攻撃パケットが検出された場合には、この攻撃パケットの検出及び廃棄を行うと共に、攻撃があった旨の通知を管理者用端末２０２へ行う。特に、ＩＰＳ２０２は、仮想サーバ３００（すなわち、サーバ３０１ａ若しくは３０１ｂ）から外部網１００のクライアント端末１０１ａ、１０１ｂ、…への攻撃パケットを検出した場合には、宛先ＩＰアドレスを「ＶＩＰ」にした（すなわち、仮想サーバ３００宛ての）ＲＳＴパケットにデータグラムとしてＲＩＰ検出依頼を含ませたものを作成してＳＬＢ２０１へ送信する。このＲＩＰ検出依頼付きのＲＳＴパケット（このＲＳＴパケットを「検出依頼メッセージ」とも称することとする）は、ＩＰＳ２０２で検出された攻撃パケットの送信元のサーバの検出と、この攻撃パケットに対応するＴＣＰコネクションの強制的な切断とを、ＲＩＰ検出装置３０３に依頼するためのものであり、本発明特有の検出依頼メッセージである。更に、ＩＰＳ２０２は、攻撃パケットの解析によって判明した攻撃先のＩＰアドレス（攻撃パケットの宛先ＩＰアドレス）と攻撃の内容を示す情報（攻撃種別）とを含む通信パケット（図１における「攻撃通知Ａ」）を管理者用端末２０３へ送信する。

一方、ＩＰＳ２０２で発行されたＲＩＰ検出依頼付きのＲＳＴパケットは、ＳＬＢ２０１によって従前のアドレス逆変換の処理が施され、その宛先ＩＰアドレスが、「ＶＩＰ」から、サーバ３０１ａ及び３０１ｂのうちＩＰＳ２０２で検出された攻撃パケットを発行したものの実アドレス（すなわち、「ＲＩＰ１」及び「ＲＩＰ２」のいずれか）へと書き換えられる。この書き換えがされたＲＩＰ検出依頼付きＲＳＴパケットは、ＳＬＢ２０１からＲＩＰ検出装置３０３へと送られる。

ＲＩＰ検出装置３０３は、ＲＩＰ検出依頼付きＲＳＴパケットをＳＬＢ２０１から受け取ると、このＲＳＴパケットに示されている宛先ＩＰアドレスを抽出する。そして、抽出した宛先ＩＰアドレス、すなわち、サーバ３０１ａ及び３０１ｂのうち攻撃パケットを発行したものの実アドレスを含む通信パケット（図１における「攻撃通知Ｂ」）を管理者用端末２０３へ送信する。

管理者用端末２０３は、ＩＰＳ２０２から通知された攻撃通知ＡとＲＩＰ検出装置３０３から通知された攻撃通知Ｂとの対応付けを行い、その結果を表示装置に表示させる等して出力する。内部網２００の管理者２０４は、この出力を参照することにより、サーバ３０１ａ及び３０１ｂのうち、外部網１００のクライアント端末１０１ａ、１０１ｂ、…を攻撃するためのコードが仕込まれたものを特定することができる。

また、以上の動作と並行して、ＲＩＰ検出装置３０３は、ＳＬＢ２０１から送られてきたＲＩＰ検出依頼付きＲＳＴパケットからＲＩＰ検出依頼のみを削除して従前のＲＳＴパケットを作成する。そして、作成したＲＳＴパケットを、先に抽出していた宛先ＩＰアドレスで特定されるサーバへ宛てて送信して、ＩＰＳ２０２で検出された攻撃パケットに対応するＴＣＰコネクションを強制的に切断させる。これにより、攻撃パケットから攻撃先（外部網１００のクライアント端末１０１ａ、１０１ｂ、…）が保護される。

次に図２について説明する。同図は、ＲＩＰ検出依頼付きのＩＰパケットのデータ構造を示している。
図２に示すように、このＩＰパケットには、データグラムとしてＲＩＰ検出依頼の情報が含まれており、既知であるＩＰヘッダ及びＴＣＰヘッダがこの情報に付されて構成されている。例えば、ＩＰＳ２０２が発行するＲＩＰ検出依頼付きのＲＳＴパケット（検出依頼メッセージ）には、攻撃パケットの宛先（すなわち攻撃先）のＩＰアドレスが送信元のＩＰアドレスとして、また、仮想アドレス「ＶＩＰ」が宛先のＩＰアドレスとして、それぞれＩＰヘッダに格納されており、更に、ＴＣＰヘッダ中のコードビットフィールドにおけるＲＳＴビットが“１”にセットされている。

図２に示すように、ＲＩＰ検出依頼は、「攻撃検出ＩＤ」及び「管理者用端末のＩＰアドレス」の情報フィールドを有している。ここで、「攻撃検出ＩＤ」のフィールドには、攻撃パケットを検出する度にＩＰＳ２０２により一意に決定される識別情報が格納される。この識別情報は、前述した攻撃通知Ａと攻撃通知Ｂとの対応関係を明らかにするために使用される。また、「管理者用端末のＩＰアドレス」のフィールドには、管理者用端末２０３に付与されているＩＰアドレスが格納される。これは、管理者用端末２０３のＩＰアドレスをＩＰＳ２０２からＲＩＰ検出装置３０３に通知するようにして、攻撃通知Ｂの送信先についての情報をＲＩＰ検出装置３０３へ直接設定する手間を不要にするためのものである。

次に図３について説明する。同図は、攻撃通知Ａをデータグラムとして含むＩＰパケットのデータ構造を示している。ＩＰＳ２０２は、ＩＰＳ２０２自身のＩＰアドレスを送信元のＩＰアドレスとして、また、管理者用端末２０３のＩＰアドレスを宛先のＩＰアドレスとして、それぞれＩＰヘッダに格納して、このＩＰパケットを管理者用端末２０３へ送信する。

図３に示すように、攻撃通知Ａは、「攻撃先ＩＰアドレス」、「攻撃種別」、及び「攻撃検出ＩＤ」の情報フィールドを有している。ここで、「攻撃先ＩＰアドレス」のフィールドには、ＩＰＳ２０２による攻撃パケットの解析によって判明した攻撃先（クライアント端末１０１ａ、１０１ｂ、…）のＩＰアドレス（攻撃パケットの宛先ＩＰアドレス）が格納される。また、「攻撃種別」のフィールドには、ＩＰＳ２０２による攻撃パケットの解析によって判明した攻撃の内容を示す情報が格納される。更に、「攻撃検出ＩＤ」のフィールドには、前述したＲＩＰ検出依頼における「攻撃検出ＩＤ」のフィールドに格納されるものと同一の識別情報が格納される。

次に図４について説明する。同図は、攻撃通知Ｂをデータグラムとして含むＩＰパケットのデータ構造を示している。ＲＩＰ検出装置３０３は、ＲＩＰ検出装置３０３自身のＩＰアドレスを送信元のＩＰアドレスとして、また、管理者用端末２０３のＩＰアドレスを宛先のＩＰアドレスとして、それぞれＩＰヘッダに格納して、このＩＰパケットを管理者用端末２０３へ送信する。ここで、管理者用端末２０３のＩＰアドレスは、ＩＰＳ２０２が発行したＲＩＰ検出依頼付きのＲＳＴパケットにデータグラムとして示されているものが用いられる。

図４に示すように、攻撃通知Ｂは、「攻撃元ＩＰアドレス」及び「攻撃検出ＩＤ」の情報フィールドを有している。ここで、「攻撃元ＩＰアドレス」のフィールドには、ＳＬＢ２０１によるアドレス逆変換が施されたＲＩＰ検出依頼付きのＲＳＴパケットのＩＰヘッダ部に宛先のＩＰアドレスとして格納されていたものが格納される。このＩＰアドレスは、攻撃パケットの発信元であるサーバ装置の実アドレスである。また、「攻撃検出ＩＤ」のフィールドには、前述したＲＩＰ検出依頼における「攻撃検出ＩＤ」のフィールドに格納されるものと同一の識別情報が格納される。

管理者用端末２０３は、攻撃通知Ａと攻撃通知Ｂとを受け取ると、その各々に格納されている「攻撃検出ＩＤ」の識別情報を比較し、この両者が一致しているものを対応付けて出力する。内部網２００の管理者２０４は、この対応付けられた攻撃通知Ａと攻撃通知Ｂとの出力を参照することにより、サーバ３０１ａ及び３０１ｂのうち、外部網１００のクライアント端末１０１ａ、１０１ｂ、…を攻撃するためのコードが仕込まれたものを特定することができる。

次に、ＲＩＰ検出装置によるＲＩＰ検出依頼の識別機能について、図５及び図６を用いて説明する。
図５及び図６に示したシステムは、管理者用端末２０３が不図示ではあるが、図１に示したものと同様の構成である。

図５と図６との両方に（ａ）として示すように、本発明を実施する攻撃検出システムでは、ＩＰＳ２０２が内部網２００から送られてきた攻撃パケットを検出したときには、ＲＩＰ検出装置３０３には、ＲＩＰ検出依頼をデータグラムとして含ませたＲＳＴパケットがＩＰＳ２０２から送られてくる。また、これとは別に、図５に（ｂ）として示すように、ＲＩＰ検出装置３０３には、仮想サーバ３００とのＴＣＰコネクションの切断を要求するＲＳＴパケットが、クライアント端末１０１ａ、１０１ｂ、…からＩＰＳ２０２を経てＲＩＰ検出装置３０３へと送られてくる場合も考えられる。

ＲＩＰ検出装置３０３は、この（ｂ）に示したＲＳＴパケットを受け取った場合には、そのデータグラムに含まれていたデータを、消失させることなく、ＲＳＴパケットの宛先のサーバ（サーバ３０１ａ若しくは３０１ｂ）へ適切に転送すると共に、そのサーバにＴＣＰコネクションの切断を実行させる必要がある。このためには、ＲＩＰ検出装置３０３は、ＩＰＳ２０２から送られてきたＲＳＴパケットのデータグラムにＲＩＰ検出依頼が含まれているか否かを識別する必要がある。ところが、ＴＣＰパケットのデータグラムの解析を厳密に行うにはＩＰＳ２０２と同等の能力が一般的には必要である。これでは内部網２００のシステムコストが高騰しかねない。

そこで、上述したＲＳＴパケットの識別がＲＩＰ検出装置３０３で容易に行えるようにするために、ＩＰＳ２０２は、図６の（ｂ）に示すように、クライアント端末１０１ａ、１０１ｂ、…から送られてきたＲＳＴパケットに対し、該ＲＳＴパケットのデータグラムのみを自身のデータグラムとして含んでおり且つ送信元及び宛先と該ＲＳＴパケットと同一にしたＴＣＰパケットと、該ＲＳＴパケットから該データグラムのみを削除したＲＳＴパケットとに分離する処理を施す。そして、この処理によって得られたＴＣＰパケット及びＲＳＴパケットをＳＬＢ２０１へ送信する。

ＳＬＢ２０１は、このＴＣＰパケット及びＲＳＴパケットに対して従前のアドレス逆変換の処理を施すことにより、その宛先ＩＰアドレスを、サーバ３０１ａ及び３０１ｂのうちＩＰＳ２０２で検出された攻撃パケットを発行したものの実アドレスへと書き換えた上でＲＩＰ検出装置３０３へと送信する。

ＲＩＰ検出装置３０３は、ＳＬＢ２０１から受け取るパケットの識別を行う。ここで、ＩＰＳ２０２によって分離されたＲＳＴパケットはデータグラムが空であるので、ＲＩＰ検出依頼付きのＲＳＴパケットとはパケットサイズが明らかに異なっている。そこで、ＲＩＰ検出装置３０３は、受け取ったＲＳＴパケットをそのパケットサイズに基づいて分別する。つまり、ＩＰＳ２０２が上述したようにしてＲＳＴパケットの分離を行ったことにより、ＲＩＰ検出装置３０３は、データグラムを厳密に解析することなく、ＲＳＴパケットにＲＩＰ検出依頼が付されているか否かを容易に識別することができるようになるのである。

ここで図７について説明する。同図は、図１のＲＩＰ検出装置３０３で行われるＲＩＰ検出処理をフローチャートで示したものである。
この図７の処理は、ＳＬＢ２０１から専用の通信インタフェースを介して送られてきた通信パケットを、ＲＩＰ検出装置３０３が受信する度に開始される。

図７において、まず、Ｓ１０１では、受信パケットがＲＳＴパケットであるか否かを判定する処理が行われる。この判定は、具体的には、受信パケットのＴＣＰヘッダ中のコードビットフィールドにおけるＲＳＴビットが“１”にセットされているか否かを以って行われる。ここで、受信パケットがＲＳＴパケットであると判定したとき（判定結果がＹＥＳのとき）にはＳ１０２に処理を進め、受信パケットがＲＳＴパケットではないと判定したとき（判定結果がＮＯのとき）にはＳ１０８に処理を進める。

Ｓ１０２では、受信したＲＳＴパケットのパケットサイズが４０オクテットよりも大きいか否かを判定する処理が行われる。
既知のＴＣＰパケットでは、ＩＰヘッダ及びＴＣＰヘッダのヘッダ長はそれぞれ２０オクテットである。従って、この両者のヘッダ長の和である４０オクテットよりもパケットサイズが大きいＴＣＰパケットには、データグラムとして何らかのデータを有している。ところが、図１に示した攻撃検出システムにおけるＩＰＳ２０２は、クライアント端末１０１ａ、１０１ｂ、…から送られてきたＲＳＴパケットに対し前述したＲＳＴパケットの分離処理を施しているので、ここでパケットサイズが４０オクテットよりも大きいと判定されるＲＳＴパケットは、ＲＩＰ検出依頼付きのＲＳＴパケットのみである。つまり、このＳ１０２の処理は、ＳＬＢ２０１から受け取ったＲＳＴパケットが検出依頼メッセージであるか否かを、該ＲＳＴパケットのパケットサイズに基づいて判定する処理、すなわち検出依頼メッセージ判定処理なのである。

このＳ１０２の判定処理において、受信したＲＳＴパケットのパケットサイズが４０オクテットよりも大きいと判定したとき（判定結果がＹＥＳのとき）は、検出依頼メッセージを受信したものとして、Ｓ１０３に処理を進める。一方、この判定処理において、受信したＲＳＴパケットのパケットサイズが４０オクテット以下であると判定したとき（判定結果がＮＯのとき）は、ＲＩＰ検出依頼が付されていないＲＳＴパケットを受信したものとして、Ｓ１０８に処理を進める。

Ｓ１０３では、ＲＩＰ検出依頼解析処理、すなわち、受信した検出依頼メッセージを図２に示したデータ構造に基づいて解析して、攻撃検出ＩＤと管理者用端末２０３のＩＰアドレスとを取得する処理が行われる。

Ｓ１０４では、受信パケットの宛先ＩＰアドレス抽出処理、すなわち、受信した検出依頼メッセージにおけるＩＰヘッダを解析して、このメッセージの宛先のＩＰアドレスを抽出する処理が行われる。この処理によって抽出されるＩＰアドレスは、攻撃元ＩＰアドレス、すなわち、攻撃パケットの送信元のサーバの実ＩＰアドレスである。

Ｓ１０５では、攻撃通知Ｂ送信処理が行われる。すなわち、Ｓ１０３の処理によって取得された攻撃種別ＩＤとＳ１０４の処理によって抽出された攻撃元ＩＰアドレスとからなる攻撃通知Ｂを図４に示したデータ構造に従ってデータグラムとして格納し、更に、Ｓ１０３の処理によって取得された管理者用端末２０３のＩＰアドレスを宛先ＩＰアドレスにすると共にＲＩＰ検出装置３０３自身に割り当てられているＩＰアドレスを送信元ＩＰアドレスにしてＩＰヘッダを構成した通信パケットを、管理者用端末２０３へ送信する処理が行われる。

Ｓ１０６では、ＲＩＰ検出依頼削除処理、すなわち、ＳＬＢ２０１から送られてきた検出依頼メッセージからＲＩＰ検出依頼のみを削除して従前のＲＳＴパケットを作成する処理が行われる。そして、続くＳ１０７では、ＲＩＰ検出依頼を削除したＲＳＴパケットを、サーバ３０１ａ及び３０１ｂのうちそのパケットの宛先のサーバへと送信する処理が行われ、その後はこの図７の処理を終了する。

ところで、Ｓ１０１若しくはＳ１０２の判定結果がＮＯである場合には、Ｓ１０８において受信パケット転送処理が行われる。すなわち、Ｓ１０１の判定結果がＮＯとなった受信パケット、すなわちＲＳＴパケットでない受信パケット、及び、Ｓ１０２の判定結果がＮＯとなった受信パケット、すなわち検出依頼メッセージでない受信パケットを、宛先のサーバへと転送する処理が行われる。その後はこの図７の処理を終了する。

次に図８及び図９について説明する。図８はＩＰＳ２０２の機能構成を示すブロック図であり、図９はＲＩＰ検出装置３０３の機能構成を示すブロック図である。
まず、図８に示したＩＰＳ２０２の機能構成について説明する。

第一通信部２１１は、外部網１００用の通信インタフェースと内部網２００用の通信インタフェースとを備えており、外部網１００及び内部網２００の双方に対する通信パケットの送受信の処理を行う。

攻撃検出機能部２１２は、内部網２００若しくは外部網１００から受信される通信パケットを検査して、特定の条件に合致するもの（特定パケット）を検出する。ここで、前述したパターンファイルの適用等により、データグラムに悪意あるコードが含まれている攻撃パケットが特定パケットとして検出された場合には、この攻撃パケットの攻撃種別の判別を行い、判別結果を攻撃通知Ａ作成部２２１に送ると共に、第二受信パケット判断部２１５を起動する。一方、受信パケットが攻撃パケットでないと判定した場合には、その判定結果を第一受信パケット判断部２１３に送る。

第一受信パケット判断部２１３は、受信パケットが、外部網１００側の通信インタフェースから受信したデータグラム付きのＲＳＴパケットであるか否かを判断し、この条件に合致する受信パケットをパケット分離部２１４へ送る。一方、この条件に合致しない受信パケットは第一通信部２１１へ送ってそのまま内部網２００へ送信させる。

パケット分離部２１４は、第一受信パケット判断部２１３から受け取ったＲＳＴパケットを、該ＲＳＴパケットのデータグラムのみを自身のデータグラムとして含んでおり且つ送信元及び宛先を該ＲＳＴパケットと同一にしたＴＣＰパケット（「Ｄａｔａパケット」と称することとする）と、該ＲＳＴパケットから該データグラムのみを削除したＲＳＴパケットとに分離する。そして、得られたＤａｔａパケットとＲＳＴパケットとを第一通信部２１１へ送って内部網２００へ送信させる。なお、このとき、ＤａｔａパケットをＲＳＴパケットよりも先に送信させるようにする。

第二受信パケット判断部２１５は、攻撃パケットを受信した通信インタフェースが、内部網２００用のものか外部網１００用のものかを判断する。ここで、内部網２００用の通信インタフェースから攻撃パケットを受信していたと判断した場合には、攻撃検出ＩＤ付与部２１７を起動する。一方、外部網１００用の通信インタフェースから攻撃パケットを受信していたと判断した場合には、従来処理２１６、すなわち、外部網１００からの攻撃に対して内部網２００を防護するためにＩＰＳ２０２により従来から行われていた処理が実行される。

攻撃検出ＩＤ付与部２１７は、攻撃通知Ａと攻撃通知Ｂとの対応関係を明らかにするための識別情報である前述した攻撃検出ＩＤを、内部網２００からの攻撃パケットが検出される度に付与すると共に、ＲＩＰ検出依頼作成部２１９と攻撃先ＩＰアドレス抽出部２２０とを起動する。ここでは、攻撃検出ＩＤ付与部２１７は、攻撃検出ＩＤとして、攻撃パケット毎にユニークな番号を生成して付与するものとする。付与された攻撃検出ＩＤは、ＲＩＰ検出依頼作成部２１９と攻撃通知Ａ作成部２２１とに送られる。そして、ＲＩＰ検出依頼作成部２１９と攻撃先ＩＰアドレス抽出部２２０とを起動する。

管理者用端末ＩＰアドレス保持部２１８は半導体等のメモリである。管理者用端末ＩＰアドレス保持部２１８には、管理者用端末２０３のＩＰアドレスが予め格納されて保持されている。

ＲＩＰ検出依頼作成部２１９は、管理者用端末ＩＰアドレス保持部２１８から得られる管理者用端末２０３のＩＰアドレスと、攻撃検出ＩＤ付与部２１７で付与された攻撃検出ＩＤとよりＲＩＰ検出依頼を作成する。そして、図２にデータ構造を示したＲＩＰ検出依頼付きのＩＰパケットを作成する。なお、このＩＰパケットのＩＰヘッダは、送信元ＩＰアドレスを、検出した攻撃パケットの宛先（すなわち攻撃先）のＩＰアドレスとし、宛先ＩＰアドレスを、仮想アドレス「ＶＩＰ」とする。更に、作成したＩＰパケットにおけるＴＣＰヘッダ中のコードビットフィールドにおけるＲＳＴビットを“１”にセットして検出依頼メッセージを作成する。そして、作成した検出依頼メッセージを第一通信部２１１へ送って内部網２００へ送信させる。送信された検出依頼メッセージは、ＳＬＢ２０１で受信されて宛先ＩＰアドレスの逆変換処理が施された後、ＲＩＰ検出装置３０３で受信される。

攻撃先ＩＰアドレス抽出部２２０は、検出した攻撃パケットの宛先ＩＰアドレスを、攻撃先のＩＰアドレスとして抽出する。そして、抽出したＩＰアドレスを攻撃通知Ａ作成部２２１へ送る。

攻撃通知Ａ作成部２２１は、攻撃検出ＩＤ付与部２１７で付与された攻撃検出ＩＤ、攻撃検出機能部２１２で判別された攻撃パケットの攻撃種別、及び攻撃先ＩＰアドレス抽出部２２０で抽出された攻撃先ＩＰアドレスより攻撃通知Ａを作成する。そして、この攻撃通知Ａをデータグラムとして含む図３に示したＩＰパケットを作成する。このＩＰパケットにおけるＩＰヘッダは、ＩＰＳ２０２自身のＩＰアドレスを送信元のＩＰアドレスとし、また、管理者用端末ＩＰアドレス保持部２１８から得られる管理者用端末２０３のＩＰアドレスを宛先のＩＰアドレスとする。そして、作成したＩＰパケットを第一通信部２１１へ送って内部網２００へ送信させる。送信されたＩＰパケットは、その後管理者用端末２０３で受信される。

次に、図９に示したＲＩＰ検出装置３０３の機能構成について説明する。
第二通信部３１１は、内部網２００用の通信インタフェースを備えており、内部網２００に対する通信パケットの送受信の処理を行う。

第三受信パケット判断部３１２は、図７のＳ１０１及びＳ１０２の処理を行い、ＳＬＢ２０１から受信される通信パケットが、ＲＳＴパケットであって且つパケットサイズが４０オクテッドよりも大きいか否かを判断する。そして、受信パケットがこの条件に合致した場合には、この受信パケットをＲＩＰ検出依頼解析部３１３へ送る。一方、この条件に合致しない受信パケットは第二通信部３１１へ送ってそのままサーバ３０１ａ若しくは３０１ｂへ宛てて送信させる。

ＲＩＰ検出依頼解析部３１３は、図７のＳ１０３の処理を行い、受信パケットに含まれているＲＩＰ検出依頼の各フィールドのデータを抽出し、その後は攻撃元ＩＰアドレス抽出部３１４を起動する。なお、ここで抽出されたデータは、攻撃通知Ｂ作成部３１５とＲＩＰ検出依頼削除部３１６とへ送られる。

攻撃元ＩＰアドレス抽出部３１４は、受信パケットの宛先ＩＰアドレスを、攻撃元ＩＰアドレスとして抽出して攻撃通知Ｂ作成部３１５に送ると共に、ＲＩＰ検出依頼削除部３１６を起動する。

攻撃通知Ｂ作成部３１５は、ＲＩＰ検出依頼解析部３１３で抽出された攻撃検出ＩＤと、攻撃元ＩＰアドレス抽出部３１４で抽出された攻撃元ＩＰアドレスとより攻撃通知Ｂを作成する。そして、この攻撃通知Ｂをデータグラムとして含む図４に示したＩＰパケットを作成する。このＩＰパケットにおけるＩＰヘッダは、ＲＩＰ検出装置３０３自身のＩＰアドレスを送信元のＩＰアドレスとし、また、ＲＩＰ検出依頼解析部３１３で抽出された管理者用端末２０３のＩＰアドレスを宛先のＩＰアドレスとする。そして、作成したＩＰパケットを第二通信部３１１へ送って内部網２００へ送信させる。送信されたＩＰパケットは、その後管理者用端末２０３で受信される。

ＲＩＰ検出依頼削除部３１６は、受信パケットにデータグラムとして含まれているＲＩＰ検出依頼を削除する。そして、生成されたＲＳＴパケットを第二通信部３１１へ送り、攻撃パケットを送信した攻撃元のサーバへ宛ててこのＲＳＴパケットを送信させる。

以下、図１に示した通信網における攻撃検出システムの動作説明を、内部網２００のサーバ３０１ａが外部網１００のクライアント端末１０１ａ宛の攻撃パケットを送信した場合と、外部網１００のクライアント端末１０１ａが内部網２００の仮想サーバ３００宛のＲＳＴパケットを送信した場合とに分けて説明する。

まず図１０Ａ及び図１０Ｂについて説明する。図１０Ａは、サーバ３０１ａが攻撃パケットを送信した場合における各種通信パケットの授受の様子を示したものであり、図１０Ｂは、図１０Ａの場合に授受される通信パケットの一覧を示している。なお、図１０Ａにおいては、簡単のため、外部網１００に存在するものとして、クライアント端末１０１ａのみを表示している。

図１０Ａに示した通信網に存在する各装置のＩＰアドレスは、以下のように定義されているものとする。
・サーバ３０１ａの実アドレス ：ＡＡ．ＢＢ．ＣＣ．Ｄ１
・サーバ３０１ｂの実アドレス ：ＡＡ．ＢＢ．ＣＣ．Ｄ２
・仮想サーバ３００の仮想アドレス ：ＷＷ．ＸＸ．ＹＹ．ＺＺ
・ＲＩＰ検出装置３０３のアドレス ：ＡＡ．ＢＢ．ＣＣ．Ｅ１
・クライアント端末１０１ａのアドレス：ＦＦ．ＧＧ．ＨＨ．ＩＩ
・管理者用端末２０３のアドレス ：ＪＪ．ＫＫ．ＬＬ．ＭＭ
・ＩＰＳ２０２のアドレス ：ＮＮ．ＯＯ．ＰＰ．ＱＱ
以下、図１０Ａ及び図１０Ｂに記した項番号に従って各通信パケットの授受の様子を説明する。

（１）まず、サーバ３０１ａは、悪意のあるコードを含んでいる、クライアント端末１０１ａ宛の通信パケット（例えばＨＴＴＰ Ｒｅｐｌｙメッセージ）を送信する。
（２）上記（１）のパケットは、送信元ＩＰアドレスがＳＬＢ２０１によって仮想サーバ３００の仮想アドレスに変換された後、ＲＩＰ検出装置３０３を通過してＩＰＳ２０２で受信される。

（３）ここで、ＩＰＳ２０２は受信した通信パケットが攻撃パケットであることを検出する。すると、ＩＰＳ２０２はこの攻撃パケットを外部網１００へ送出することなく廃棄する一方で、攻撃検出ＩＤの割り当て、この攻撃パケットの攻撃種別の特定、この攻撃パケットの宛先ＩＰアドレス（すなわち攻撃先のＩＰアドレス）の抽出、及び、攻撃通知Ａを含む通信パケットの管理者用端末２０３への送信の各処理を行う。

（４）次に、ＩＰＳ２０２は、ＲＩＰ検出依頼をデータグラムとして有するＲＳＴパケットを作成する。そして、該ＲＳＴパケットのＩＰヘッダについて、攻撃先であるクライアント端末１０１ａのＩＰアドレスを送信元ＩＰアドレスに設定すると共に、仮想サーバ３００の仮想アドレスを宛先ＩＰアドレスに設定した上で、該ＲＳＴパケットを送信する。

（５）上記（３）においてＩＰＳ２０２から送信された攻撃通知Ａを含む通信パケットは、管理者用端末２０３で受信される。この攻撃通知Ａに格納される攻撃検出ＩＤは、上記（３）で割り当てがされたものである。なお、ＩＰＳ２０２は、この攻撃通知Ａを含む通信パケットの送信を、上記（４）のＲＩＰ検出依頼付きＲＳＴパケットの送信後に行うが、この通信パケットの送信タイミングは、下記（６）の通信パケットの送信タイミングとは独立のものである。

（６）上記（４）のＲＩＰ検出依頼付きＲＳＴパケットは、ＳＬＢ２０１によるアドレス逆変換により、宛先ＩＰアドレスが上記（１）の送信元ＩＰアドレス（すなわち、攻撃パケットの送信元であるサーバ３０１ａの実アドレス）に変換された後、ＲＩＰ検出装置３０３で受信される。

（７）ＲＩＰ検出装置３０３は、攻撃パケットの送信元が宛先ＩＰアドレスに示されているＲＩＰ検出依頼付きＲＳＴパケットに対して図７に示したＲＩＰ検出処理を施し、ＲＩＰ検出依頼の解析、受信したＲＳＴパケットの宛先ＩＰアドレスの抽出、受信したＲＳＴパケットからのＲＩＰ検出依頼の削除、ＲＩＰ検出依頼を削除したＲＳＴパケットの転送、及び、攻撃通知Ｂを含む通信パケットの管理者用端末２０３への送信の各処理を行う。

（８）上記（７）に示した、ＲＩＰ検出依頼を削除したＲＳＴパケットは、攻撃パケットの送信元であるサーバ３０１ａの実アドレスが宛先ＩＰアドレスに示されているので、サーバ３０１ａで受信される。すると、サーバ３０１ａは、サーバ３０１ａ自身とクライアント端末１０１ａとのコネクションを強制的に切断する。この結果、クライアント端末１０１ａは、サーバ３０１ａからの攻撃から保護される。

（９）一方、上記（７）においてＩＰＳ２０２から送信された攻撃通知Ｂを含む通信パケットは、管理者用端末２０３で受信される。この攻撃通知Ｂに格納される攻撃検出ＩＤは、上記（３）で割り当てがされたものであり、上記（７）でのＲＩＰ検出依頼の解析によってＲＩＰ検出依頼付きＲＳＴパケットから抽出されたものである。

（１０）管理者用端末２０３は、上記（５）に示した攻撃通知Ａを含む通信パケットと、上記（９）に示した攻撃通知Ｂを含む通信パケットとを受信すると、この両者に示されている攻撃検出ＩＤをキーとして両者を対応付ける。そして、対応付けられた攻撃通知Ａと攻撃通知Ｂとに示されている攻撃先ＩＰアドレス（すなわちクライアント端末１０１ａのＩＰアドレス）、攻撃元ＩＰアドレス（すなわちサーバ３０１ａのＩＰアドレス）、及び攻撃種別を表示装置に表示する等して出力し、管理者２０４へ通知する。

次に、上記（３）から（５）にかけてＩＰＳ２０２で行われる処理の詳細について、図１１を用いて説明する。図１１は、図８に示したＩＰＳ２０２の機能構成ブロック図において、上記（３）から（５）にかけての処理が実行されるときに使用される部分を太線で示したものである。

まず、送信元ＩＰアドレスがＳＬＢ２０１によって仮想サーバ３００の仮想アドレスへ変換されている上記（２）のパケットを第一通信部２１１が受信する。ここで、攻撃検出機能部２１２が、この受信パケットが攻撃パケットであることを検出する。すると、攻撃検出機能部２１２は、この攻撃パケットの攻撃種別を特定し、その結果を攻撃通知Ａ作成部２２１に送ると共に、第二受信パケット判断部２１５を起動する。

第二受信パケット判断部２１５は、ここで、攻撃パケットを受信した通信インタフェースが、内部網２００用のものであると判断し、この判断結果に応じて攻撃検出ＩＤ付与部２１７を起動する。

攻撃検出ＩＤ付与部２１７は、この攻撃パケットに割り当てられる攻撃検出ＩＤを生成して、ＲＩＰ検出依頼作成部２１９と攻撃通知Ａ作成部２２１とに送る。そして、ＲＩＰ検出依頼作成部２１９と攻撃先ＩＰアドレス抽出部２２０とを起動する。

ＲＩＰ検出依頼作成部２１９は、管理者用端末ＩＰアドレス保持部２１８から得られる管理者用端末２０３のＩＰアドレスと、攻撃検出ＩＤ付与部２１７で付与された攻撃検出ＩＤとよりＲＩＰ検出依頼を作成する。そして、ＲＩＰ検出依頼付きのＲＳＴパケットを作成し、そのＩＰヘッダにおける送信元ＩＰアドレスをクライアント端末１０１ａ（すなわち攻撃先）のＩＰアドレスとし、そのＩＰヘッダにおける宛先ＩＰアドレスを仮想サーバ３００の仮想アドレスとする。そして、作成したＲＩＰ検出依頼付きのＲＳＴパケットを第一通信部２１１へ送って内部網２００へ送信させる（上記（４））。

一方、攻撃先ＩＰアドレス抽出部２２０では、検出した攻撃パケットの宛先ＩＰアドレスが、攻撃先のＩＰアドレスとして抽出される。そして、攻撃先ＩＰアドレス抽出部２２０は、抽出したＩＰアドレスを攻撃通知Ａ作成部２２１へ送る。

攻撃通知Ａ作成部２２１は、攻撃検出ＩＤ付与部２１７で付与された攻撃検出ＩＤ、攻撃検出機能部２１２で特定された攻撃パケットの攻撃種別、及び攻撃先ＩＰアドレス抽出部２２０で抽出された攻撃先ＩＰアドレスより攻撃通知Ａを作成する。そして、この攻撃通知Ａをデータグラムとして含むＩＰパケットを作成する。このＩＰパケットのＩＰヘッダにおいて、ＩＰＳ２０２自身のＩＰアドレスが送信元のＩＰアドレスとされ、また、管理者用端末ＩＰアドレス保持部２１８から得られる管理者用端末２０３のＩＰアドレスが宛先のＩＰアドレスとされる。そして、作成したＩＰパケットを第一通信部２１１へ送って内部網２００へ送信させる（上記（５））。

次に、上記（７）から（９）にかけてＲＩＰ検出装置３０３によって行われる処理の詳細について、図１２を用いて説明する。図１２は、図９に示したＲＩＰ検出装置３０３の機能構成ブロック図において、上記（７）から（９）にかけての処理が実行されるときに使用される部分を太線で示したものである。

まず、宛先ＩＰアドレスがＳＬＢ２０１によって攻撃パケットの送信元であるサーバ３０１ａの実アドレスに変換されている上記（６）のパケット（すなわちＲＩＰ検出依頼付きＲＳＴパケット）を第二通信部３１１が受信する。すると、第三受信パケット判断部３１２は、この受信パケットが、ＲＳＴパケットであって且つパケットサイズが４０オクテッドよりも大きいとの判断を下し、この判断結果に基づいて受信パケットをＲＩＰ検出依頼解析部３１３へ送る。

ＲＩＰ検出依頼解析部３１３は、受信パケットに含まれているＲＩＰ検出依頼の各フィールドのデータを抽出し、抽出されたデータを、攻撃通知Ｂ作成部３１５とＲＩＰ検出依頼削除部３１６とへ送ると共に、攻撃元ＩＰアドレス抽出部３１４を起動する。

攻撃元ＩＰアドレス抽出部３１４は、受信パケットの宛先ＩＰアドレスを、攻撃元ＩＰアドレスとして抽出して攻撃通知Ｂ作成部３１５に送ると共に、ＲＩＰ検出依頼削除部３１６を起動する。

攻撃通知Ｂ作成部３１５は、ＲＩＰ検出依頼解析部３１３で抽出された攻撃検出ＩＤと、攻撃元ＩＰアドレス抽出部３１４で抽出された攻撃元ＩＰアドレスとより攻撃通知Ｂを作成する。そして、この攻撃通知Ｂをデータグラムとして含むＩＰパケットを作成し、そのＩＰヘッダについて、ＲＩＰ検出装置３０３自身のＩＰアドレスを送信元のＩＰアドレスとし、また、ＲＩＰ検出依頼解析部３１３で抽出された管理者用端末２０３のＩＰアドレスを宛先のＩＰアドレスとする。そして、作成したＩＰパケットを第二通信部３１１へ送って内部網２００へ送信させる（上記（９））。

一方、ＲＩＰ検出依頼削除部３１６は、受信パケットにデータグラムとして含まれているＲＩＰ検出依頼を削除する。そして、生成されたＲＳＴパケットを第二通信部３１１へ送り、攻撃パケットを送信した攻撃元のサーバ３０１ａへ宛ててこのＲＳＴパケットを送信させる（上記（８））。

次に図１３Ａ及び図１３Ｂについて説明する。図１３Ａは、クライアント端末１０１ａが仮想サーバ３００宛のＲＳＴパケットを送信した場合における各種通信パケットの授受の様子を示したものであり、図１３Ｂは、図１３Ａの場合に授受される通信パケットの一覧を示している。なお、図１３Ａにおいては、簡単のため、外部網１００に存在するものとして、クライアント端末１０１ａのみを表示している。

なお、図１３Ａに示した通信網に存在する各装置のＩＰアドレスは、図１０Ａにおけるものと同一に定義されているものとする。
以下、図１３Ａ及び図１３Ｂに記した項番号に従って各通信パケットの授受の様子を説明する。

（１）まず、クライアント端末１０１ａは、正常な（悪意のない）データをデータグラムとして含むＲＳＴパケットを仮想サーバ３００へ宛てて送信する。このＲＳＴパケットはＩＰＳ２０２で受信される。

（２）ＩＰＳ２０２は、このＲＳＴパケットを外部網１００用のインタフェースで受信したことを検出すると、このＲＳＴパケットを、データグラムのみのＴＣＰパケットとデータグラムが空のＲＳＴパケットとに分離し、その両者を送信する。

（３）上記（２）で分離された通信パケットのうち、データグラムのみのＴＣＰパケットがまずＳＬＢ２０１で受信される。
（４）上記（３）のＴＣＰパケットは、ＳＬＢ２０１によるアドレス変換処理が施された後、ＲＩＰ検出装置３０３で受信される。なお、ここでは、ＳＬＢ２０１によるアドレス変換によって、このＴＣＰパケットの宛先ＩＰアドレスがサーバ３０１ｂの実アドレスに変換されるものとする。

（５）ＲＩＰ検出装置３０３は、上記（４）のＴＣＰパケットに対して図７に示したＲＩＰ検出処理を施すが、結果として何ら変更を加えることなく、そのまま該ＴＣＰパケットをサーバ３０１ｂへ宛てて転送する。

（６）サーバ３０１ｂは、上記（４）のＴＣＰパケットを受信すると、該ＴＣＰパケットのデータグラムを読み出して所定の処理を実行する。
（７）一方、上記（２）で分離された通信パケットのうち、データグラムが空のＲＳＴパケットは、データグラムのみのＴＣＰパケットに続いてＳＬＢ２０１で受信される。

（８）上記（７）のＲＳＴパケットは、ＳＬＢ２０１でのアドレス変換処理により宛先ＩＰアドレスがサーバ３０１ｂの実アドレスへと変換された後に、ＲＩＰ検出装置３０３で受信される。

（９）ＲＩＰ検出装置３０３は、上記（８）のＲＳＴパケットに対して図７に示したＲＩＰ検出処理を施すが、結果として何ら変更を加えることなく、そのまま該ＲＳＴパケットをサーバ３０１ｂへ宛てて転送する。

（１０）サーバ３０１ｂは、上記（９）のＲＳＴパケットを受信すると、サーバ３０１ｂ自身とクライアント端末１０１との間のＴＣＰコネクションを強制的に切断する。
以上のように、図１の通信網では、クライアント端末１０１ａが送信した正常な（悪意のない）データをデータグラムとして含むＲＳＴパケットを上述したようにして分離しているが、サーバ３０１ｂは、このＲＳＴパケットで指示されている内容に応じた処理を適切に実行する。

次に、上記（２）から（３）にかけて及び（７）においてＩＰＳ２０２で行われる処理の詳細について、図１４を用いて説明する。図１４は、図８に示したＩＰＳ２０２の機能構成ブロック図において、上記（２）から（３）にかけて及び（７）の処理が実行されるときに使用される部分を太線で示したものである。

まず、送信元ＩＰアドレスがＳＬＢ２０１によって仮想サーバ３００の仮想アドレスへ変換されている上記（２）のパケットを第一通信部２１１が受信する。ここで、攻撃検出機能部２１２が、この受信パケットが攻撃パケットではないと判定する。すると、攻撃検出機能部２１２は、その判定結果を第一受信パケット判断部２１３に送る。

ここで、第一受信パケット判断部２１３は、受信パケットが外部網１００側の通信インタフェースから受信したデータグラム付きのＲＳＴパケットであると判断し、受信パケットをパケット分離部２１４へ送る。

パケット分離部２１４は、第一受信パケット判断部２１３から受け取ったＲＳＴパケットを、該ＲＳＴパケットのデータグラムのみを自身のデータグラムとして含んでおり且つ送信元及び宛先と該ＲＳＴパケットと同一にしたＤａｔａパケットと、該ＲＳＴパケットから該データグラムのみを削除したＲＳＴパケットとに分離する。そして、得られたＤａｔａパケットとＲＳＴパケットとを第一通信部２１１へ送り、この両者をこの順序で内部網２００へ送信させる（上記（３）及び（７））。

次に、上記（５）から（６）にかけてＲＩＰ検出装置３０３によって行われる処理の詳細について、図１５を用いて説明する。図１５は、図９に示したＲＩＰ検出装置３０３の機能構成ブロック図において、上記（５）から（６）にかけての処理が実行されるときに使用される部分を太線で示したものである。

まず、ＳＬＢ２０１によるアドレス変換によって、宛先ＩＰアドレスがサーバ３０１ｂの実アドレスに変換されているＴＣＰパケット（データグラムのみのＴＣＰパケット）を第二通信部３１１が受信する。すると、第三受信パケット判断部３１２は、この受信パケットが、ＲＳＴパケットではないとの判断を下し、この判断結果に基づいて受信パケットを第二通信部３１１へ送ってそのままサーバ３０１ｂへ宛てて送信させる（上記（６））。

次に、上記（９）から（１０）にかけてＲＩＰ検出装置３０３によって行われる処理の詳細について説明する。図９に示したＲＩＰ検出装置３０３の機能構成ブロック図において、上記（９）から（１０）にかけての処理が実行されるときに使用される部分を太線で示すと、この図は図１５と同一の図となる。

まず、ＳＬＢ２０１によるアドレス変換によって、宛先ＩＰアドレスがサーバ３０１ｂの実アドレスに変換されているＲＳＴパケット（データグラムが空のＲＳＴパケット）を第二通信部３１１が受信する。すると、第三受信パケット判断部３１２は、この受信パケットのパケットサイズが、４０オクテット以下であるとの判断を下し、この判断結果に基づいて受信パケットを第二通信部３１１へ送ってそのままサーバ３０１ｂへ宛てて送信させる（上記（６））。

以上のように、図１に示した通信網に設けた攻撃検出システムでは、ＳＬＢ２０１によるアドレス変換後の内部網２００から、該変換前のアドレスを検出する機能を、低廉に提供することができる。

なお、上述した実施形態において、図８に示したＩＰＳ２０２の機能構成や図９に示したＲＩＰ検出装置３０３の機能構成を、共通のハードウェアで実現することも可能である。すなわち、これらの構成によって提供される機能を、例えば、ＲＯＭ（Read Only Memory）などの不揮発性メモリと、ＲＡＭ（Random Access Memory）などの揮発性メモリと、ＭＰＵ（Micro Processing Unit）とを備えるコンピュータによって実現することができる。すなわち、各構成要素の機能を実現するプログラムを予め作成して不揮発性メモリに格納しておき、ＭＰＵがそのプログラムを読み込み揮発性メモリを作業用記憶領域として利用しながら該プログラムを実行することによって、実現させることも可能である。

以上、本発明の実施形態を説明したが、本発明は、上述した実施形態に限定されることなく、本発明の要旨を逸脱しない範囲内で種々の改良・変更が可能である。
なお、上記した実施の形態から次のような構成の技術的思想が導かれる。

（付記１）ある組織内の通信網に存在しており各自固有の実アドレスに加えてアドレス変換装置によって共通の仮想アドレスが割り当てられている複数のサーバ装置のうちのいずれかから該組織外の通信網に存在する端末装置への攻撃を検出する攻撃検出システムであって、
前記組織内通信網と前記組織外通信網との間で授受される通信パケットを検査して特定の条件に合致する特定パケットを検出するパケット検査部と、
前記パケット検査部が前記組織内通信網から送られてきた前記特定パケットを検出したときに、該特定パケットの送信元を検出する依頼を含んでおり前記仮想アドレスを宛先にした検出依頼メッセージを作成して前記アドレス変換装置へ送信する検出依頼メッセージ作成部と、
前記アドレス変換装置によって宛先が前記仮想アドレスから前記特定パケットの送信元であるサーバ装置の実アドレスへと書き換えられた前記検出依頼メッセージを受け取ったときに、該検出依頼メッセージに宛先として示されている実アドレスを抽出する宛先抽出部と、
を有することを特徴とする攻撃検出システム。

（付記２）前記特定パケットの伝送に使用されているコネクションを強制切断させるメッセージを、前記宛先抽出部が抽出した実アドレスで特定されるサーバ装置へ宛てて送信する強制切断メッセージ送信部を更に有することを特徴とする付記１に記載の攻撃検出システム。

（付記３）前記検出依頼メッセージ作成部は、前記検出依頼メッセージとして、ＴＣＰプロトコルにおけるＲＳＴパケットであって前記特定パケットの伝送に使用されているコネクションを強制切断させるものであり、且つ該特定パケットの送信元を検出する依頼を示す情報をデータグラムとして含んでいるものを作成することを特徴とする付記１に記載の攻撃検出システム。

（付記４）前記アドレス変換装置によって宛先が前記仮想アドレスから前記特定パケットの送信元であるサーバ装置の実アドレスへと書き換えられた前記検出依頼メッセージであるＲＳＴパケットを前記宛先抽出部が受け取ったときに、該ＲＳＴパケットからデータグラムのみを削除したものを該実アドレスで特定されるサーバ装置へ宛てて送信する強制切断メッセージ送信部を更に有することを特徴とする付記３に記載の攻撃検出システム。

（付記５）前記組織外通信網に存在する端末装置から送られてきたＴＣＰプロトコルにおけるＲＳＴパケットを前記パケット検査部が検出したときに、該ＲＳＴパケットを、該ＲＳＴパケットに含まれていたデータグラムのみを自身のデータグラムとして含んでおり且つ送信元及び宛先を該ＲＳＴパケットと同一にしたＴＣＰパケットと、該ＲＳＴパケットから該データグラムのみを削除したＲＳＴパケットとに分離して前記アドレス変換装置へ送信するＲＳＴパケット分離部を更に有することを特徴とする付記４に記載の攻撃検出システム。

（付記６）前記宛先抽出部は、前記アドレス変換装置から受け取ったＲＳＴパケットが前記検出依頼メッセージであるか否かを、該ＲＳＴパケットのパケットサイズに基づいて判定する検出依頼メッセージ判定部を有することを特徴とする付記５に記載の攻撃検出システム。

（付記７）前記パケット検査部は、該パケット検査部で検出された特定パケットに関する情報である特定パケット情報を所定の管理用端末装置へ送信する特定パケット情報送信部を有しており、
前記宛先抽出部は、該宛先抽出部で抽出された実アドレスに関する情報を前記管理用端末装置へ送信する実アドレス情報送信部を有している、
ことを特徴とする付記１に記載の攻撃検出システム。

（付記８）前記検出依頼メッセージには、前記特定パケット情報についての識別情報が含まれており、
前記実アドレス情報送信部は、前記アドレス変換装置から受け取った前記検出依頼メッセージに含まれていた識別情報を実アドレスに関する情報に付加して送信する、
ことを特徴とする付記７に記載の攻撃検出システム。

（付記９）前記検出依頼メッセージには、前記管理用端末装置を特定するアドレス情報が含まれており、
前記実アドレス情報送信部は、前記アドレス変換装置から受け取った前記検出依頼メッセージに含まれていたアドレス情報を宛先として前記実アドレスに関する情報を送信する、
ことを特徴とする付記７に記載の攻撃検出システム。

（付記１０）ある組織内の通信網に存在しており各自固有の実アドレスに加えてアドレス変換装置によって共通の仮想アドレスが割り当てられている複数のサーバ装置のうちのいずれかから該組織外の通信網に存在する端末装置への攻撃を検出する攻撃検出方法であって、
前記組織内通信網と前記組織外通信網との間で授受される通信パケットを検査して特定の条件に合致する特定パケットを検出し、
前記組織内通信網から送られてきた前記特定パケットを検出したときに、該特定パケットの送信元を検出する依頼を含んでおり前記仮想アドレスを宛先にした検出依頼メッセージを作成して前記アドレス変換装置へ送信し、
前記アドレス変換装置によって宛先が前記仮想アドレスから前記特定パケットの送信元であるサーバ装置の実アドレスへと書き換えられた前記検出依頼メッセージを受け取ったときに、該検出依頼メッセージに宛先として示されている実アドレスを抽出する、
ことを特徴とする攻撃検出方法。

（付記１１）前記特定パケットの伝送に使用されているコネクションを強制切断させるメッセージを、前記実アドレスの抽出によって抽出された実アドレスで特定されるサーバ装置へ宛てて送信することを特徴とする付記１０に記載の攻撃検出方法。

（付記１２）前記アドレス変換装置へ送信する検出依頼メッセージの作成においては、ＴＣＰプロトコルにおけるＲＳＴパケットであって前記特定パケットの伝送に使用されているコネクションを強制切断させるものであり、且つ該特定パケットの送信元を検出する依頼を示す情報をデータグラムとして含んでいるものを該検出依頼メッセージとして作成することを特徴とする付記１０に記載の攻撃検出方法。

（付記１３）前記特定パケットの伝送に使用されているコネクションを強制切断させるメッセージの送信において、前記アドレス変換装置によって宛先が前記仮想アドレスから前記特定パケットの送信元であるサーバ装置の実アドレスへと書き換えられた前記検出依頼メッセージであるＲＳＴパケットを受け取ったときには、該ＲＳＴパケットからデータグラムのみを削除したものを該実アドレスで特定されるサーバ装置へ宛てて送信することを特徴とする付記１２に記載の攻撃検出方法。

（付記１４）前記特定パケットの検出において、前記組織外通信網に存在する端末装置から送られてきたＴＣＰプロトコルにおけるＲＳＴパケットを検出したときには、該ＲＳＴパケットを、該ＲＳＴパケットに含まれていたデータグラムのみを自身のデータグラムとして含んでおり且つ送信元及び宛先を該ＲＳＴパケットと同一にしたＴＣＰパケットと、該ＲＳＴパケットから該データグラムのみを削除したＲＳＴパケットとに分離して前記アドレス変換装置へ送信することを特徴とする付記１３に記載の攻撃検出方法。

（付記１５）前記実アドレスの抽出の前に、前記アドレス変換装置から受け取ったＲＳＴパケットが前記検出依頼メッセージであるか否かを、該ＲＳＴパケットのパケットサイズに基づいて判定することを特徴とする付記１４に記載の攻撃検出方法。

（付記１６）前記検査によって前記特定パケットが検出されたときに、該特定パケットに関する情報である特定パケット情報を所定の管理用端末装置へ送信し、
前記実アドレスの抽出を行ったときに、抽出された実アドレスに関する情報を前記管理用端末装置へ送信する、
ことを特徴とする付記１０に記載の攻撃検出方法。

（付記１７）前記検出依頼メッセージには、前記特定パケット情報についての識別情報が含まれており、
前記実アドレスに関する情報を送信するときには、前記アドレス変換装置から受け取った前記検出依頼メッセージに含まれていた識別情報を実アドレスに関する情報に付加して送信する、
ことを特徴とする付記１６に記載の攻撃検出方法。

（付記１８）前記検出依頼メッセージには、前記管理用端末装置を特定するアドレス情報が含まれており、
前記実アドレスに関する情報を送信するときには、前記アドレス変換装置から受け取った前記検出依頼メッセージに含まれていたアドレス情報を宛先として該実アドレスに関する情報を送信する、
ことを特徴とする付記１６に記載の攻撃検出方法。

本発明を実施する攻撃検出システムを含む通信網の構成例を示す図である。 ＲＩＰ検出依頼付きのＩＰパケットのデータ構造を示す図である。 攻撃通知Ａをデータグラムとして含むＩＰパケットのデータ構造を示す図である。 攻撃通知Ｂをデータグラムとして含むＩＰパケットのデータ構造を示す図である。 ＲＩＰ検出依頼の識別機能を説明する図（その１）である。 ＲＩＰ検出依頼の識別機能を説明する図（その２）である。 ＲＩＰ検出処理をフローチャートで示した図である。 図１に示したＩＰＳの機能構成を示すブロック図である。 図１に示したＲＩＰ検出装置の機能構成を示すブロック図である。 図１に示したサーバ３０１ａが攻撃パケットを送信した場合における各種通信パケットの授受の様子を示す図である。 図１０Ａの場合に授受される通信パケットの一覧を示す図である。 図１０Ａの場合にＩＰＳで行われる処理の詳細を説明する図である。 図１０Ａの場合にＲＩＰ検出装置で行われる処理の詳細を説明する図である。 クライアント端末が仮想サーバ宛のＲＳＴパケットを送信した場合における各種通信パケットの授受の様子を示す図である。 図１３Ａの場合に授受される通信パケットの一覧を示す図である。 図１３Ａの場合にＩＰＳで行われる処理の詳細を説明する図である。 図１３Ａの場合にＲＩＰ検出装置で行われる処理の詳細を説明する図である。 通信網の構成例を示す図である。 図１６に示した通信網におけるＩＰＳの配置例を示す図である。 従来技術の問題点を説明する図（その１）である。 従来技術の問題点を説明する図（その２）である。

符号の説明

１００ 外部網
１０１ａ、１０１ｂ クライアント端末
２００ 内部網
２０１ ＳＬＢ（サーバ負荷分散装置）
２０２、３０２ ＩＰＳ（不正侵入検出システム）
２０３ 管理者用端末
２０４ 管理者
２１１ 第一通信部
２１２ 攻撃検出機能部
２１３ 第一受信パケット判断部
２１４ パケット分離部
２１５ 第二受信パケット判断部
２１６ 従来処理
２１７ 攻撃検出ＩＤ付与部
２１８ 管理者用端末ＩＰアドレス保持部
２１９ ＲＩＰ検出依頼作成部
２２０ 攻撃先ＩＰアドレス抽出部
２２１ 攻撃通知Ａ作成部
３００ 仮想サーバ
３０１ａ、３０１ｂ、３０１ｃ、３０１ｄ サーバ
３０３ ＲＩＰ検出装置
３１１ 第二通信部
３１２ 第三受信パケット判断部
３１３ ＲＩＰ検出依頼解析部
３１４ 攻撃元ＩＰアドレス抽出部
３１５ 攻撃通知Ｂ作成部
３１６ ＲＩＰ検出依頼削除部

Claims (10)

1. ある組織内の通信網に存在しており各自固有の実アドレスに加えてアドレス変換装置によって共通の仮想アドレスが割り当てられている複数のサーバ装置のうちのいずれかから該組織外の通信網に存在する端末装置への攻撃を検出する攻撃検出システムであって、
   前記組織内通信網と前記組織外通信網との間で授受される通信パケットを検査して特定の条件に合致する特定パケットを検出するパケット検査部と、
   前記パケット検査部が前記組織内通信網から送られてきた前記特定パケットを検出したときに、該特定パケットの送信元を検出する依頼を含んでおり前記仮想アドレスを宛先にした検出依頼メッセージを作成して前記アドレス変換装置へ送信する検出依頼メッセージ作成部と、
   前記アドレス変換装置によって宛先が前記仮想アドレスから前記特定パケットの送信元であるサーバ装置の実アドレスへと書き換えられた前記検出依頼メッセージを受け取ったときに、該検出依頼メッセージに宛先として示されている実アドレスを抽出する宛先抽出部と、
   を有することを特徴とする攻撃検出システム。
2. 前記特定パケットの伝送に使用されているコネクションを強制切断させるメッセージを、前記宛先抽出部が抽出した実アドレスで特定されるサーバ装置へ宛てて送信する強制切断メッセージ送信部を更に有することを特徴とする請求項１に記載の攻撃検出システム。
3. 前記検出依頼メッセージ作成部は、前記検出依頼メッセージとして、ＴＣＰプロトコルにおけるＲＳＴパケットであって前記特定パケットの伝送に使用されているコネクションを強制切断させるものであり、且つ該特定パケットの送信元を検出する依頼を示す情報をデータグラムとして含んでいるものを作成することを特徴とする請求項１に記載の攻撃検出システム。
4. 前記アドレス変換装置によって宛先が前記仮想アドレスから前記特定パケットの送信元であるサーバ装置の実アドレスへと書き換えられた前記検出依頼メッセージであるＲＳＴパケットを前記宛先抽出部が受け取ったときに、該ＲＳＴパケットからデータグラムのみを削除したものを該実アドレスで特定されるサーバ装置へ宛てて送信する強制切断メッセージ送信部を更に有することを特徴とする請求項３に記載の攻撃検出システム。
5. 前記組織外通信網に存在する端末装置から送られてきたＴＣＰプロトコルにおけるＲＳＴパケットを前記パケット検査部が検出したときに、該ＲＳＴパケットを、該ＲＳＴパケットに含まれていたデータグラムのみを自身のデータグラムとして含んでおり且つ送信元及び宛先を該ＲＳＴパケットと同一にしたＴＣＰパケットと、該ＲＳＴパケットから該データグラムのみを削除したＲＳＴパケットとに分離して前記アドレス変換装置へ送信するＲＳＴパケット分離部を更に有することを特徴とする請求項４に記載の攻撃検出システム。
6. 前記宛先抽出部は、前記アドレス変換装置から受け取ったＲＳＴパケットが前記検出依頼メッセージであるか否かを、該ＲＳＴパケットのパケットサイズに基づいて判定する検出依頼メッセージ判定部を有することを特徴とする請求項５に記載の攻撃検出システム。
7. 前記パケット検査部は、該パケット検査部で検出された特定パケットに関する情報である特定パケット情報を所定の管理用端末装置へ送信する特定パケット情報送信部を有しており、
   前記宛先抽出部は、該宛先抽出部で抽出された実アドレスに関する情報を前記管理用端末装置へ送信する実アドレス情報送信部を有している、
   ことを特徴とする請求項１に記載の攻撃検出システム。
8. 前記検出依頼メッセージには、前記特定パケット情報についての識別情報が含まれており、
   前記実アドレス情報送信部は、前記アドレス変換装置から受け取った前記検出依頼メッセージに含まれていた識別情報を実アドレスに関する情報に付加して送信する、
   ことを特徴とする請求項７に記載の攻撃検出システム。
9. 前記検出依頼メッセージには、前記管理用端末装置を特定するアドレス情報が含まれており、
   前記実アドレス情報送信部は、前記アドレス変換装置から受け取った前記検出依頼メッセージに含まれていたアドレス情報を宛先として前記実アドレスに関する情報を送信する、
   ことを特徴とする請求項７に記載の攻撃検出システム。
10. ある組織内の通信網に存在しており各自固有の実アドレスに加えてアドレス変換装置によって共通の仮想アドレスが割り当てられている複数のサーバ装置のうちのいずれかから該組織外の通信網に存在する端末装置への攻撃を検出する攻撃検出方法であって、
    前記組織内通信網と前記組織外通信網との間で授受される通信パケットを検査して特定の条件に合致する特定パケットを検出し、
    前記組織内通信網から送られてきた前記特定パケットを検出したときに、該特定パケットの送信元を検出する依頼を含んでおり前記仮想アドレスを宛先にした検出依頼メッセージを作成して前記アドレス変換装置へ送信し、
    前記アドレス変換装置によって宛先が前記仮想アドレスから前記特定パケットの送信元であるサーバ装置の実アドレスへと書き換えられた前記検出依頼メッセージを受け取ったときに、該検出依頼メッセージに宛先として示されている実アドレスを抽出する、
    ことを特徴とする攻撃検出方法。