JP2008507222A5 - - Google Patents

Claims (19)

1. ネットワーク上の不正なスキャンニングを検出するための方法であって、
   （ａ）ネットワーク・デバイス内で受信したトラフィックを監視するステップと、
   （ｂ）前記トラフィック内のパケットの予め定めたサブセットを検出するステップと、
   （ｃ）予め定めた統計的特徴を有する疑いのあるパケットを検出するために、パケットの前記予め定めたサブセットを分析するステップとを含む方法。
2. 前記予め定めた統計的特徴を有するパケットの検出を示すアラームを鳴動するステップをさらに含む、請求項１に記載の方法。
3. パケットの前記サブセットが、ＴＣＰ／ＩＰセットからのＴＣＰパケット内にセット（ＳＹＮ，ＲＳＴ，ＦＩＮ）されているＴＣＰヘッダの３つのビットのうちの少なくとも２つを含む、請求項１または２に記載の方法。
4. 前記ネットワークと結合しているデバイス内にルックアップ構造を提供するステップであって、前記ルックアップ構造が、ツリー構造と動作可能に結合している少なくとも１つのスロットを含む複数のスロットに分割されている第１の部分を有するサーチ・ツリーと論理的に等価であるステップと、
   前記デバイス内でネットワーク・トラフィックを受信するステップと、
   予め定めた統計的特徴を有するＴＣＰ／ＩＰパケットを検出するために、プログラムされたＣＰＵにより前記ネットワーク・トラフィックを分析するステップと、
   このように検出した各ＴＣＰ／ＩＰパケットに対して、ソース・アドレス（ＳＡ）および宛先アドレス（ＤＡ）からハッシュした値を生成するために、前記プログラムされたＣＰＵを使用するステップと、
   スロット内に索引するために前記ハッシュした値を使用するステップと、
   ポインタを探して前記スロットをチェックするステップと、
   ポインタを発見できなかった場合に、新しいリーフの識別子であるＳＡおよびＤＡを有する前記リーフを挿入するステップと、
   前記リーフ内に、前記各ＴＣＰ／ＩＰパケット内に含まれている宛先ポート（ＤＰ）に対するアドレスを格納するステップと、
   前記スロット内に、前記リーフをポイントしているポインタを生成するステップとをさらに含む、前記請求項の何れか１項に記載の方法。
5. ポインタが前記スロット内に位置している場合に、リーフにアクセスするために前記ポインタを使用するステップと、
   その中に記録している宛先ポート（ＤＰ）のアドレスを検出するために、前記リーフの内容をチェックするステップと、
   このように検出したアドレスの数をしきい値と比較するステップと、
   アドレスの数が前記しきい値以上である場合に、第２の階層ルックアップを行うステップとをさらに含む、請求項４に記載の方法。
6. 前記リーフ内のアドレスの数が前記しきい値より小さい場合に、前記リーフにＤＡを追加するステップをさらに含む、請求項５に記載の方法。
7. ネットワーク上のスキャンニングを検出するためのシステムであって、
   メモリと、
   前記メモリ内で動作可能に構成されているルックアップ・データ構造と、
   予め定めた統計的特徴を有する予め定めたパケットを検出し、疑いのあるパケットを検出する目的でパケットの前記予め定めたサブセットを分析するために、予め定めたパケットを前記ルックアップ・データ構造と関連付ける一組のアルゴリズムを実行するプロセッサとを含むシステム。
8. 前記予め定めた統計的特徴を有するパケットの検出を知らせるアラームを鳴動するための手段をさらに備える、請求項７に記載のシステム。
9. パケットの前記サブセットが、ＴＣＰ／ＩＰセットからのＴＣＰパケット内にセット（ＳＹＮ，ＲＳＴ，ＦＩＮ）されているＴＣＰヘッダの３つのビットのうちの少なくとも２つを含む、請求項７または８に記載のシステム。
10. 前記ネットワークと結合しているデバイス内のルックアップ構造であって、ツリー構造と動作可能に結合している少なくとも１つのスロットを含む複数のスロットに分割されている第１の部分を有するサーチ・ツリーと論理的に等価であるルックアップ構造と、
    前記デバイス内でネットワーク・トラフィックを受信するための手段と、
    予め定めた統計的特徴を有するＴＣＰ／ＩＰパケットを検出するために、プログラムされたＣＰＵで前記ネットワーク・トラフィックを分析するための手段と、
    前記プログラムされたＣＰＵを使用して、このように検出した各ＴＣＰ／ＩＰパケットに対して、ソース・アドレス（ＳＡ）および宛先アドレス（ＤＡ）からハッシュした値を生成するための手段と、
    前記ハッシュした値を使用してスロット内に索引するための手段と、
    ポインタを探して前記スロットをチェックするための手段と、
    ポインタを発見できなかった場合に、新しいリーフの識別子であるＳＡおよびＤＡを有する前記リーフを挿入するための手段と、
    前記リーフ内に、前記各ＴＣＰ／ＩＰパケット内に含まれている宛先ポート（ＤＰ）に対するアドレスを格納するための手段と、
    前記リーフをポイントしている前記各スロット内でポインタを生成するための手段とをさらに備える、請求項７〜８の何れか１項に記載のシステム。
11. ポインタが前記スロット内に位置している場合に、前記ポインタを使用してリーフにアクセスするための手段と、
    その中に記録している宛先ポート（ＤＰ）のアドレスを検出するために、前記リーフの内容をチェックするための手段と、
    このように検出したアドレスの数をしきい値と比較するための手段と、
    アドレスの数が前記しきい値以上である場合に、第２の階層ルックアップを行うための手段とをさらに備える、請求項１０に記載のシステム。
12. 前記リーフ内のアドレスの数が前記しきい値より小さい場合に、前記リーフにＤＡを追加するための手段をさらに備える、請求項１１に記載のシステム。
13. コンピュータ・ネットワーク上で有害なパケットを検出するための方法であって、
    ａ）受信したパケットをスキャンニングする少なくとも１つのアルゴリズムを提供するステップと、
    ｂ）１つのソース・アドレス（ＳＡ）と、Ｎ個の宛先アドレス（ＤＡ）と、Ｍ個の宛先ポート（ＤＰ）とを含む予め定めたフォーマットを有するパケットを識別するステップとを含む方法。
14. 許容ＤＰのリストを提供するステップと、
    識別したパケット内のＤＰを許容ＤＰの前記リストと比較するステップと、
    一致するＤＰを有する前記識別したパケットを廃棄するステップとをさらに含む、請求項１３に記載の方法。
15. コンピュータ・ネットワーク内で有害なコードを含むパケットを検出するためのシステムであって、
    メモリおよび少なくとも１つの処理素子とを含むネットワーク・プロセッサと、
    前記メモリ内に位置する有害なコードを含むパケットのビット・パターン類似のビット・パターンを含む少なくとも１つの規則を格納している少なくとも１つのパトリシア・ツリー配置を含むデータ構造と、
    前記少なくとも１つの処理素子上に展開していて、実行した場合に、前記処理素子に、予め定めたパケット内の予め定めたフィールドからキーを生成させ、１つのＳＡ（ソース・アドレス）、１つのＤＰ（宛先ポート）および多くのＤＡ（宛先アドレス）を有するパケットを識別するために、前記キーを前記規則と関連付けるコンピュータ・プログラムとを含むシステム。
16. 前記処理素子が、直接テーブル（ＤＴ）のスロット内に索引するために、予め定めたパケットのハッシュしたＳＡおよびＤＰを使用する、請求項１５に記載のシステム。
17. 前記スロットがエントリを有さない場合に、前記プロセッサが前記スロット内にポインタを挿入するために第２のプログラムを実行する、請求項１６に記載のシステム。
18. 前記スロットが、リーフＳＡ、ＤＰを、予め定めたパケット内のＳＡ、ＤＰと比較する１つのリーフをポイントしている情報を含み、ＳＡ、ＤＰ上で一致が起こった場合に、前記リーフ内のＤＡが前記パケット内のＤＡと比較され、一致しない場合には、前記パケットＤＡが前記リーフ内のＤＡの許容ＤＰのリストに追加される、請求項１６に記載のシステム。
19. コンピュータ・プログラムであって、請求項１−６、１３および１４の何れか１項に記載の方法のステップをコンピュータに実行させるためのコンピュータ・プログラム。