JP2009081736A

JP2009081736A - パケット転送装置及びパケット転送プログラム

Info

Publication number: JP2009081736A
Application number: JP2007250191A
Authority: JP
Inventors: Isao Ueki; 勇雄植木
Original assignee: Toshiba Corp; Toshiba Solutions Corp
Current assignee: Toshiba Corp; Toshiba Digital Solutions Corp
Priority date: 2007-09-26
Filing date: 2007-09-26
Publication date: 2009-04-16

Abstract

【課題】不正アクセスに関わるパケットが複数のサーバに対する無差別攻撃の１つであるか、または特定のサーバに対する特定攻撃であるかを区別することを可能とする。
【解決手段】不正アクセスＤＢ６２には、不正アクセスに関わる不正パケットを検出するための条件を示す不正アクセスデータが予め格納される。パケット送受信部７１は、クライアント端末から送信されたパケットを受信する。パケット解析部７３は、受信されたパケットを解析する。パケット解析部７３は、解析されたパケットが不正アクセスデータによって示される条件に合致する場合、当該パケットを不正パケットとして検出する。検出結果ＤＢ６３には、不正パケットに関する検出結果情報が蓄積される。パケット解析部７３は、不正パケットが複数のサーバに対する無差別攻撃の１つであるか、あるいは特定のサーバに対する特定攻撃であるかを検出結果情報に基づいて判定する。
【選択図】図２

Description

本発明は、複数のネットワークセグメント相互間でパケットを転送するパケット転送装置及びパケット転送プログラムに関する。

従来から、複数のネットワーク（ネットワークセグメント）に接続され、当該複数のネットワーク相互間でパケットを転送するパケット転送装置が知られている。このようなパケット転送装置では、例えばネットワークに接続されている端末からサーバへの不正アクセスを防止する必要がある。このため、パケット転送装置では、複数のネットワーク相互間で転送されるパケットにおいて、不正アクセスに関わるパケットを検出する必要がある。

そこで、例えば利用者に大きな作業負担をかけることなく、信頼性の高い不正アクセスの防止機能を実現できる技術（以下、先行技術と表記）が開示されている（例えば、特許文献１を参照）。この先行技術によれば、パケット転送装置において受信されるパケット（受信パケット）を判定情報に基づいて解析し、受信パケットが不正アクセスに関わるか否かが判定される。これにより、不正アクセスに関わるパケットを検出することができる。
特開２００２−６３０８４号公報

上記したように、先行技術によれば、受信パケットを判定情報に基づいて解析し、当該受信パケットが不正アクセスに関わるパケットであるか否かが判定される。これにより、不正アクセスに関わるパケットが検出され、当該検出された不正アクセスに関わるパケットは例えば当該パケットの送信先であるサーバには転送されない。したがって、例えばネットワークに接続されている端末からサーバへの不正アクセスを防止できる。

しかしながら、先行技術では、受信パケットが不正アクセスに関わるパケットであるか否かの判定しか行っていない。つまり、不正アクセスに関わるパケットであると判定された受信パケットが、例えば複数のサーバに対して送信されたパケット（無差別攻撃）の１つであるのか、またはパケット転送装置で保護している特定のサーバに対して送信されたパケット（特定攻撃）であるか否かの区別を行っていない。これにより、例えば不正アクセスに関わるパケットの送信先のサーバの管理者は、複数のサーバに対する無差別攻撃または特定のサーバに対する攻撃（特定攻撃）に応じた対策を取ることができない。

本発明の目的は、不正アクセスに関わるパケットが検出された際に、当該パケットが複数のサーバに対する無差別攻撃の１つであるか、または特定のサーバに対する特定攻撃であるかを区別することができるパケット転送装置及び不正アクセス区別方法を提供することにある。

本発明の１つの態様によれば、パケットを通信可能な第１のネットワーク及び第２のネットワークに接続され、前記第１のネットワークに接続されている送信元により送信されたパケットを前記第２のネットワークに接続されている送信先に対して転送するパケット転送装置が提供される。このパケット転送装置は、不正アクセスに関わる不正パケットを検出するための条件を示す不正アクセスデータを予め格納する不正アクセスデータベースと、前記第１のネットワークに接続されている送信元により送信されたパケットを受信する受信手段と、前記受信されたパケットを解析する解析手段と、前記解析結果に基づいて、前記解析されたパケットが前記不正アクセスデータベースに格納されている不正アクセスデータによって示される条件に合致するかを判定する不正パケット判定手段と、前記解析されたパケットが前記不正アクセスデータベースに格納されている不正アクセスデータによって示される条件に合致すると判定された場合に、当該解析されたパケットを不正パケットとして検出する検出手段と、前記解析結果に基づいて、前記検出された不正パケットに関する検出結果情報を蓄積する検出結果データベースと、前記検出された不正パケットが前記第２のネットワークに接続された複数の送信先に対する無差別攻撃の１つであるか、あるいは当該第２のネットワークに接続された特定の送信先に対する攻撃であるかを、前記検出結果データベースに蓄積されている検出結果情報に基づいて判定する攻撃種別判定手段とを具備する。

本発明によれば、不正アクセスに関わるパケットが検出された際に、当該パケットが複数のサーバに対する無差別攻撃の１つであるか、または特定のサーバに対する特定攻撃であるかを区別することができる。

以下、図面を参照して、本発明の実施形態について説明する。

図１は、本実施形態に係るパケット転送装置が接続されるネットワークシステムについて説明するための図である。

図１に示すように、ネットワーク（ネットワークセグメント）１０には、複数のクライアント端末２０が接続されている。一方、ネットワーク（ネットワークセグメント）３０には、複数のサーバ４０が接続されている。つまり、ネットワーク１０はクライアント側ネットワークであり、ネットワーク３０はサーバ側ネットワークである。ネットワーク１０及びネットワーク３０は、例えばＬＡＮ（Local Area Network）のような各種パケットを通信可能なネットワークである。

ネットワーク（第１のネットワーク）１０及びネットワーク（第２のネットワーク）３０には、コンピュータ４０が接続されている。コンピュータ５０は、例えばハードディスクドライブ（ＨＤＤ）のような外部記憶装置６０と接続されている。この外部記憶装置６０は、コンピュータ５０によって実行されるプログラム６１を格納する。コンピュータ５０及び外部記憶装置６０は、パケット転送装置７０を構成する。

図２は、図１に示すパケット転送装置７０の主として機能構成を示すブロック図である。パケット転送装置７０は、例えばネットワーク１０に接続されているクライアント端末（送信元）２０により送信されたパケットをネットワーク３０に接続されているサーバ（送信先）３０に転送する機能を有する。パケット転送装置７０は、パケット送受信部７１、パケット送受信部７２及びパケット解析部７３を含む。本実施形態において、これらの各部７１乃至７３は、図１に示されるコンピュータ５０が外部記憶装置６０に格納されているプログラム６１を実行することにより実現されるものとする。このプログラム６１は、コンピュータ読み取り可能な記憶媒体に予め格納して頒布可能である。また、このプログラム６１がネットワーク１０またはネットワーク３０を介してダウンロードされても構わない。

また、パケット転送装置７０は、不正アクセスデータベース（ＤＢ）６２及び検出結果データベース（ＤＢ）６３を含む。本実施形態において、この不正アクセスデータベース６２及び検出結果データベース６３は例えば外部記憶装置６０に格納される。

パケット送受信部７１は、ネットワーク１０（クライアント側ネットワーク）に対してパケットを送受信する機能を有する。パケット送受信部７２は、ネットワーク３０（サーバ側ネットワーク）に対してパケットを送受信する機能を有する。

パケット解析部７３は、パケット送受信部７１によって受信されたパケット、つまり、クライアント側ネットワークであるネットワーク１０側から受信されたパケットを取得する。このパケットは、例えばネットワーク１０に接続されているクライアント端末２０によってネットワーク３０に接続されているサーバ４０に対して送信されたパケットである。また、このパケットには、例えば送信元であるクライアント端末２０のアドレス（送信元アドレス）及び送信先であるサーバ４０のアドレス（送信先アドレス）が含まれる。この送信元アドレス及び送信先アドレスは、例えばＩＰ（Internet Protocol）アドレスである。

パケット解析部７３は、不正アクセスデータベース６２を参照して、取得されたパケットが不正アクセスに関わるパケット（以下、不正パケットと表記）であるか否かを判定する。つまり、パケット解析部７３は、クライアント端末２０から送信されたパケットを不正パケットとして検出する処理を実行する。

不正アクセスデータベース６２には、不正パケットを検出するための条件を示す不正アクセスデータが予め格納されている。なお、この不正アクセスデータは、当該不正アクセスデータを用いて検出される不正パケットに関する不正アクセスの内容を示す。また、不正アクセスデータには、例えば当該不正アクセスデータを示す番号が付与されている。

パケット解析部７３は、取得されたパケットが不正パケットでない場合、当該パケットをパケット送受信部７２に送信する。この場合、パケット送受信部７２は、パケット解析部７３によって送信されたパケットを、当該パケットに含まれる送信先アドレスに対してネットワーク３０を介して送信（転送）する。

一方、パケット解析部７３は、不正パケットが検出された場合、当該不正パケットに関する情報（以下、検出結果情報と表記）を検出結果データベース６３に蓄積（格納）する。また、不正パケットが検出された場合、当該不正パケットは、送信先アドレスには送信（転送）されない。つまり、パケット解析部７３は、不正パケットが検出された場合に当該パケットの通過を遮断する機能を有する。

なお、パケット送受信部７２がサーバ側ネットワークであるネットワーク３０からパケットを受信した場合、当該パケットはパケット送受信部７１に対して送信され、クライアント側ネットワークであるネットワーク１０側に送出される。これにより、パケット送受信部７２によって受信されたパケットに対する転送処理が実行される。

図３は、図２に示すパケット解析部７３の機能構成を示すブロック図である。パケット解析部７３は、パケット通過処理部７３１、パケット解析処理部７３２、管理者通知部７３３および仮想サーバ部７３４を含む。

パケット通過処理部７３１は、パケット送受信部７１によってネットワーク１０側から受信されたパケット（以下、対象パケットと称する）が不正パケットであるか否かをパケット解析処理部７３２に対して問い合わせる。パケット通過処理部７３１は、パケット解析処理部７３２に対する問い合わせの結果に応じて、対象パケットをネットワーク３０側に転送する。このとき、パケット通過処理部７３１は、パケット送受信部７２を介して転送処理を実行する。また、パケット通過処理部７３１は、パケット解析処理部７３２に対する問い合わせの結果に応じて対象パケットを転送しない、つまり、対象パケットを遮断する機能を有する。

パケット通過処理部７３１は、対象パケットに含まれる送信先アドレスに基づいて、当該対象パケットの送信先（転送先）がパケット転送装置７０の保護対象となるサーバ（以下、保護対象サーバと表記）４０であるか否かを判定する。この場合、パケット通過処理部７３１は、例えば予め保持されている保護対象サーバ４０のアドレスを参照することにより判定処理を実行する。

パケット解析処理部７３２は、パケット通過処理部７３１の問い合わせに応じて、対象パケットが不正パケットであるか否かを判定する。パケット解析処理部７３２は、不正アクセスデータベース６２を参照して判定処理を実行する。パケット解析処理部７３２は、対象パケットが不正アクセスデータベース６２に格納されている不正アクセスデータによって示される条件に合致するか否かを判定する。パケット解析処理部７３２は、対象パケットが不正アクセスデータによって示される条件に合致すると判定された場合、当該対象パケットを不正パケットとして検出する。パケット解析処理部７３２によって不正パケットが検出された場合、当該不正パケット（対象パケット）は、当該不正パケットの送信先であるサーバ４０には転送されない。一方、パケット解析処理部７３２によって不正パケットが検出されない場合、対象パケットは、当該対象パケットの送信先であるサーバ４０に転送される。換言すれば、パケット解析処理部７３２は、対象パケットを転送するか否かを判定する機能を有する。

パケット解析処理部７３２は、不正パケットが検出された場合、当該不正パケットに関する情報（検出結果情報）を検出結果データベース６３に蓄積する。検出結果データベース６３に蓄積される検出結果情報には、例えば不正パケットの送信元であるクライアント端末２０のアドレス（不正アクセス元アドレス）、当該不正パケットの送信先（転送先）であるサーバ４０のアドレス（不正アクセス先アドレス）、当該不正パケットの不正アクセス内容及び当該不正パケットが検出された時刻を示す情報が含まれる。

パケット解析処理部７３２は、検出結果データベース６３に蓄積されている検出結果情報に基づいて、検出された不正パケット（以下、対象不正パケットと表記）が例えば複数のサーバ４０（送信先）に対する不正アクセス（無差別攻撃）の１つであるか、あるいは特定のサーバ４０（送信先）に対する不正アクセス（特定攻撃）であるか否かを判定する。つまり、パケット解析処理部７３２は、対象不正パケットによる攻撃種別を判定する。

また、パケット解析処理部７３２は、対象不正パケットが特定のサーバ４０に対する特定攻撃であると判定された場合、例えば単位時間当たりの当該特定のサーバ４０に対する不正アクセス数に応じて当該不正アクセス元（送信元）からのアクセスを一定時間遮断する。このとき、パケット解析処理部７３２は、検出結果データベース６３に蓄積されている検出結果情報に基づいて、遮断処理を実行する。

管理者通知部７３３は、パケット解析処理部７３２による判定結果を例えば予め登録された管理者（サーバ管理者）に対して通知する。つまり、管理者通知部７３３は、例えば対象不正パケットが複数のサーバ４０に対する無差別攻撃の１つである場合には、その旨を管理者に対して通知し、一方、当該対象不正パケットが特定のサーバ４０に対する特定攻撃である場合には、その旨を管理者に対して通知する。

仮想サーバ部７３４は、対象パケットの送信先（転送先）が例えば保護対象サーバ４０でない場合、つまり、対象パケットの送信先が保護対象サーバ４０と同一ネットワーク（セグメント）３０であるが当該ネットワーク３０に存在しない場合、当該対象パケット（問い合わせリクエスト）に対して応答する機能を有する。

図４は、検出結果データベース６３のデータ構造の一例を示す。図４に示すように、検出結果データベース６３に格納されている検出結果情報には、不正アクセス元、不正アクセス先、不正アクセス内容及び時刻が含まれる。

不正アクセス元は、パケット解析処理部７３２によって検出された不正パケットの送信元のアドレスを示す。不正アクセス先は、パケット解析処理部７３２によって検出された不正パケットの送信先（転送先）のアドレスを示す。なお、不正アクセス元及び不正アクセス先によって示されるアドレスは、ＩＰアドレスである。

不正アクセス内容は、パケット解析処理部７３２によって検出された不正パケットによる不正アクセス（攻撃）の内容を示す。この不正アクセスの内容には、例えばＳＱＬインジェクションまたはバッファオーバーフロー等が含まれる。ＳＱＬインジェクションは、例えばデータベースへの問い合わせや操作を行うプログラムにパラメータとしてＳＱＬ文の断片を与えることにより、当該データベース内の情報の閲覧、更新、削除等の不正操作を実行可能とする攻撃をいう。バッファオーバーフローは、確保した領域（バッファ）に対して許容量を超えるデータを送りつけてシステムを機能停止させ、または、意図的にバッファをオーバーフローさせ、あふれ出たデータを実行させてしまう攻撃をいう。

時刻は、パケット解析処理部７３２によって不正パケットが検出された時刻を示す。

図４に示す例では、検出結果情報６３１は、不正アクセス元「vvv.xxx.yyy.zzz」、不正アクセス先「VVV.XXX.YYY.ZZZ」、不正アクセス内容「バッファオーバーフロー」及び時刻「yyyy/mm/dd HH:MM:SS」を含む。

次に、図５のフローチャートを参照して、パケット転送装置７０の処理手順について説明する。ここでは、例えばネットワーク１０（クライアント側ネットワーク）に接続されているクライアント端末２０からネットワーク３０（サーバ側ネットワーク）に対してパケットが送信された場合について説明する。

まず、パケット送受信部７１は、ネットワーク１０側からパケットを受信する（ステップＳ１）。

次に、パケット解析部７３に含まれるパケット通過処理部７３１は、パケット送受信部７１によって受信されたパケット（対象パケット）を解析し、当該対象パケットに含まれる送信先アドレスを取得する。パケット通過処理部７３１は、取得された送信先アドレスに基づいて、当該送信先（転送先）アドレスがパケット転送装置７０の保護対象サーバ４０のアドレスであるか否かを判定する（ステップＳ２）。つまり、パケット通過処理部７３１は、例えば対象パケットに含まれる送信先アドレスが保護対象サーバ４０と同一ネットワーク（セグメント）であるが存在しないアドレスであるか否かを判定する。このとき、パケット通過処理部７３１は、対象パケットに含まれる送信先アドレスが例えば予め保持されている保護対象サーバ４０のアドレスであるか否かに基づいて、判定処理を実行する。

対象パケットに含まれている送信先アドレスが保護対象サーバ４０のアドレスであると判定された場合（ステップＳ２のＹＥＳ）、パケット通過処理部７３１は、対象パケットをパケット解析処理部７３２に送信する。これにより、パケット通過処理部７３１は、対象パケットが不正パケットであるか否かを問い合わせる。

パケット解析処理部７３２は、パケット通過処理部７３１による問い合わせに応じて、当該パケット通過処理部７３１によって送信された対象パケットを解析する（ステップＳ３）。

パケット解析処理部７３２は、対象パケットの解析結果に基づいて、当該対象パケットが不正パケットであるか否かを判定する（ステップＳ４）。このとき、パケット解析処理部７３２は、不正アクセスデータベース６２に予め格納されている不正アクセスデータに基づいて、対象パケットが不正パケットであるか否かを判定する。ここで、不正パケットとは、不正アクセスに関わるパケットである。パケット解析処理部７３２は、例えば対象パケットが不正アクセスデータベース６２に格納されている不正アクセスデータによって示される不正パケットを検出するための条件に合致するか否かを判定する。パケット解析処理部７３２は、対象パケットが不正アクセスデータによって示される条件に合致すると判定された場合、当該対象パケットを不正パケットとして検出する。なお、パケット解析処理部７３２によって不正パケットが検出された場合、当該不正パケットは、当該不正パケットの送信先には転送されない。

不正パケットが検出された場合（ステップＳ４のＹＥＳ）、パケット解析処理部７３２は、当該検出された不正パケット（対象不正パケット）に関する情報（検出結果情報）を検出結果データベース６３に蓄積（登録）する（ステップＳ５）。なお、検出結果データベース６３には、過去に検出された不正パケットに関する検出結果情報についても蓄積されている。つまり、パケット解析処理部７３２は、不正パケットが検出される都度、当該不正パケットに関する検出結果情報を蓄積する。この検出結果情報は、例えば検出された対象不正パケットを解析することにより得られる。検出結果情報には、例えば対象不正パケットの送信元アドレス（クライアント端末２０のアドレス）である不正アクセス元アドレス、当該対象不正パケットの送信先アドレス（サーバ４０のアドレス）である不正アクセス先アドレス、当該対象不正パケットの内容である不正アクセス内容及び当該対象不正パケットが検出された時刻を示す情報が含まれる。

次に、パケット解析処理部７３２は、検出結果データベース６３を参照する（ステップＳ６）。これにより、パケット解析処理部７３２は、検出結果データベース６３に格納されている検出結果情報に基づいて、対象不正パケットが例えばネットワーク３０に接続されている複数のサーバ４０に対する不正アクセス（つまり、無差別攻撃）の１つであるか否かを判定する（ステップＳ７）。つまり、パケット解析処理部７３２は、対象不正パケットが無差別攻撃の１つであるか、あるいは特定のサーバ４０に対する攻撃（特定攻撃）であるか否かを判定する。パケット解析処理部７３２は、例えば検出結果データベース６３に蓄積されている単位時間当たりの検出結果情報に含まれる不正アクセス先が同一の場合には、当該不正アクセス先である特定のサーバ４０に対する特定攻撃であると判定する。一方、パケット解析処理部７３２は、例えば検出結果データベース６３に蓄積されている単位時間当たりの検出結果情報に含まれる不正アクセス先が異なる（複数ある）場合には、無差別攻撃の１つであると判定する。単位時間については、例えば管理者等により予め設定されており、適宜変更可能である。なお、この判定処理の詳細については後述する。

対象不正パケットが無差別攻撃の１つでない、つまり、特定攻撃であると判定された場合（ステップＳ７のＮＯ）、パケット解析処理部７３２は、検出結果データベース６３に格納されている検出結果情報に基づいて、例えば予め設定されている単位時間当たりの当該特定のサーバ４０に対する不正アクセス（不正パケットによる攻撃）数を算出する。

パケット解析処理部７３２は、算出された特定のサーバ４０に対する不正アクセス数と予め定められている値（閾値）とを比較する。パケット解析処理部７３２は、比較結果に基づいて、算出された特定のサーバ４０に対する不正アクセス数が閾値以上であるか否かを判定する（ステップＳ８）。

特定のサーバ４０に対する不正アクセス数が閾値以上であると判定された場合（ステップＳ８のＹＥＳ）、パケット解析処理部７３２は、その旨をパケット通過処理部７３１に通知する。

パケット通過処理部７３１は、特定のサーバ４０に対する不正アクセス数が閾値以上である旨がパケット解析処理部７３２により通知されると、当該特定のサーバ４０に対する不正アクセス元からのアクセスを一定時間遮断する（ステップＳ９）。

管理者通知部７３３は、対象不正パケットが特定のサーバ４０への攻撃である旨を例えば当該特定のサーバ４０の管理者のような予め登録されている管理者に対して通知する。（ステップＳ１０）。

一方、ステップＳ２において対象パケットに含まれている送信先アドレスが保護対象サーバ４０のアドレスでないと判定された場合、仮想サーバ部７３４は、対象パケット（問い合わせリクエスト）に対して応答を行う（ステップＳ１１）。

仮想サーバ部７３４が応答したことにより引き続き当該仮想サーバ部７３４を受け取り先としたリクエスト（パケット）が対象パケットの送信元であるクライアント端末２０から送信された場合には、パケット送受信部７１は、当該リクエストを受信する（ステップＳ１２）。この場合、当該受信されたパケットに対して上記したステップＳ３の処理が実行される。

また、ステップＳ７において対象不正パケットが無差別攻撃の１つであると判定された場合、管理者通知部７３３は、その旨を予め登録されている管理者に対して通知する（ステップＳ１３）。

また、ステップＳ８において特定のサーバ４０に対する不正アクセスが閾値以上でないと判定された場合、当該特定のサーバ４０に対する当該不正アクセス元からのアクセスは遮断されず、ステップＳ１０の処理が実行される。

次に、図６〜図２１を参照して、対象不正パケットが複数のサーバ４０に対する無差別攻撃の１つであるか、あるいは特定のサーバ４０に対する特定攻撃であるか否かを判定する処理の第１〜第８の具体例について説明する。

まず、図６及び図７を参照して、第１の具体例について説明する。図６は、第１の具体例における検出結果データベース６３のデータ構造の一例を示す。

図６に示すように、検出結果データベース６３には、検出結果情報６４１〜６４６が蓄積（格納）されているものとする。検出結果情報６４１には、不正アクセス元（のＩＰアドレス）「１１１．１１１．１１１．００１」、不正アクセス先（のＩＰアドレス）「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１（不正アクセスデータの番号）」及び時刻「２００７／０１／０１／００：００：００」が含まれている。なお、不正アクセス内容である「ｈｔｔｐ＿０００１」は、不正アクセスデータベース６２に格納されている不正アクセスデータに付与されている番号である。この番号により、当該番号が付与されている不正アクセスデータによって示される不正アクセス内容（例えば、バッファオーバーフロー、ＳＱＬインジェクション等）が示される。以下の各検出結果情報についても、同様にして、不正アクセスデータに付与されている番号によって不正アクセス内容が示されるものとする。

検出結果情報６４２には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００２」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０１」が含まれている。

検出結果情報６４３には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００３」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０２」が含まれている。

検出結果情報６４４には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００４」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０３」が含まれている。

検出結果情報６４５には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００５」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０４」が含まれている。

検出結果情報６４６には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００６」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０５」が含まれている。

なお、パケット転送装置７０の保護対象サーバ４０のＩＰアドレスは「２２２．２２２．２２２．００１」であるものとし、当該保護対象サーバ４０が接続されているネットワーク３０と同一セグメント上であるが実在しないＩＰアドレスを「２２２．２２２．２２２．００２」、「２２２．２２２．２２２．００３」、「２２２．２２２．２２２．００４」、「２２２．２２２．２２２．００５」及び「２２２．２２２．２２２．００６」であるものとする。以下に説明する各具体例についても同様であるものとする。

次に、図７のフローチャートを参照して、第１の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順について説明する。

まず、パケット解析処理部７３２は、検出結果データベース６３を参照して、判定処理を実行する。このとき、パケット解析処理部７３２は、上記した図６に示す検出結果データベース６３を参照したものとする。なお、図６に示す検出結果データベース６３に格納されている検出結果情報６４１〜６４６のうち、例えば対象不正パケットに関する検出結果情報は検出結果情報６４６であるものとする。

パケット解析処理部７３２は、検出結果データベース６３から例えば単位時間当たりの検出結果情報を取得する。このとき、パケット解析処理部７３２は、検出結果情報に含まれる時刻（を示す情報）に基づいて、検出結果情報を取得する。ここでは、単位時間当たりの検出結果情報として、検出結果情報６４１〜６４６が取得されたものとする。

パケット解析処理部７３２は、取得された検出結果情報６４１〜６４６に含まれる不正アクセス元（ＩＰアドレス）に基づいて、当該検出結果情報６４１〜６４６に関する不正アクセスが同一攻撃元（クライアント端末２０）からの攻撃であるか複数の攻撃元（クライアント端末２０）からの攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６４１〜６４６に含まれる不正アクセス元が同一であるか否かによって判定処理を実行する。

ここでは、図６に示す検出結果情報６４１〜６４６に含まれる不正アクセス元は全て「１１１．１１１．１１１．００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報６４１〜６４６に関する不正アクセスが同一攻撃元からの攻撃であると判定する（ステップＳ２１）。

次に、パケット解析処理部７３２は、取得された検出結果情報６４１〜６４６に含まれる不正アクセス先（ＩＰアドレス）に基づいて、当該検出結果情報６４１〜６４６に関する不正アクセスが同一（単一）サーバ４０に対する攻撃か複数のサーバ４０に対する攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６４１〜６４６に含まれる不正アクセス先が同一であるか否かによって判定処理を実行する。

ここでは、図６に示す検出結果情報６４１〜６４６に含まれる不正アクセス先は全て異なるため、パケット解析処理部７３２は、当該検出結果情報６４１〜６４６に関する不正アクセスが複数のサーバ４０に対する攻撃であると判定する（ステップＳ２２）。

次に、パケット解析処理部７３２は、取得された検出結果情報６４１〜６４６に含まれる不正アクセス内容に基づいて、当該検出結果情報６４１〜６４６に関する不正アクセスが同一種類の攻撃であるか複数種類の攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６４１〜６４６に含まれる不正アクセス内容が同一であるか否かによって判定処理を実行する。

ここでは、図６に示す検出結果情報６４１〜６４６に含まれる不正アクセス内容は全て「ｈｔｔｐ＿０００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報６４１〜６４６に関する不正アクセスが同一種類の攻撃であると判定する（ステップＳ２３）。

上記したようにステップＳ２１〜ステップＳ２３の処理において、検出結果情報６４１〜６４６に関する不正アクセスが、同一の攻撃元（クライアント端末２０）から複数のサーバ４０に対する同一種類の攻撃であると判定された場合、パケット解析処理部７３２は、対象不正パケットに関わる不正アクセスが複数のサーバ４０に対する無差別攻撃の１つであると判定する（ステップＳ２４）。

次に、図８及び図９を参照して、第２の具体例について説明する。図８は、第２の具体例における検出結果データベース６３のデータ構造の一例を示す。

図８に示すように、検出結果データベース６３には、検出結果情報６５１〜６５６が蓄積（格納）されているものとする。検出結果情報６５１には、不正アクセス元（のＩＰアドレス）「１１１．１１１．１１１．００１」、不正アクセス先（のＩＰアドレス）「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００６」及び時刻「２００７／０１／０１／００：００：００」が含まれている。

検出結果情報６５２には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００２」、不正アクセス内容「ｈｔｔｐ＿０００５」及び時刻「２００７／０１／０１／００：００：０１」が含まれている。

検出結果情報６５３には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００３」、不正アクセス内容「ｈｔｔｐ＿０００４」及び時刻「２００７／０１／０１／００：００：０２」が含まれている。

検出結果情報６５４には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００４」、不正アクセス内容「ｈｔｔｐ＿０００３」及び時刻「２００７／０１／０１／００：００：０３」が含まれている。

検出結果情報６５５には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００５」、不正アクセス内容「ｈｔｔｐ＿０００２」及び時刻「２００７／０１／０１／００：００：０４」が含まれている。

検出結果情報６５６には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００６」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０５」が含まれている。

次に、図９のフローチャートを参照して、第２の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順について説明する。

まず、パケット解析処理部７３２は、検出結果データベース６３を参照して、判定処理を実行する。このとき、パケット解析処理部７３２は、上記した図８に示す検出結果データベース６３を参照したものとする。なお、図８に示す検出結果データベース６３に格納されている検出結果情報６５１〜６５６のうち、例えば対象不正パケットに関する検出結果情報は検出結果情報６５６であるものとする。

パケット解析処理部７３２は、検出結果データベース６３から例えば単位時間当たりの検出結果情報を取得する。このとき、パケット解析処理部７３２は、検出結果情報に含まれる時刻（を示す情報）に基づいて、検出結果情報を取得する。ここでは、単位時間当たりの検出結果情報として、検出結果情報６５１〜６５６が取得されたものとする。

パケット解析処理部７３２は、取得された検出結果情報６５１〜６５６に含まれる不正アクセス元（ＩＰアドレス）に基づいて、当該検出結果情報６５１〜６５６に関する不正アクセスが同一攻撃元からの攻撃であるか複数の攻撃元からの攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６５１〜６５６に含まれる不正アクセス元が同一であるか否かによって判定処理を実行する。

ここでは、図８に示す検出結果情報６５１〜６５６に含まれる不正アクセス元は全て「１１１．１１１．１１１．００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報６５１〜６５６に関する不正アクセスが同一攻撃元からの攻撃であると判定する（ステップＳ３１）。

次に、パケット解析処理部７３２は、取得された検出結果情報６５１〜６５６に含まれる不正アクセス先（ＩＰアドレス）に基づいて、当該検出結果情報６５１〜６５６に関する不正アクセスが同一サーバ４０に対する攻撃か複数のサーバ４０に対する攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６５１〜６５６に含まれる不正アクセス先が同一であるか否かによって判定処理を実行する。

ここでは、図８に示す検出結果情報６５１〜６５６に含まれる不正アクセス先は全て異なるため、パケット解析処理部７３２は、当該検出結果情報６５１〜６５６に関する不正アクセスが複数のサーバ４０に対する攻撃であると判定する（ステップＳ３２）。

次に、パケット解析処理部７３２は、取得された検出結果情報６５１〜６５６に含まれる不正アクセス内容に基づいて、当該検出結果情報６５１〜６５６に関する不正アクセスが同一種類の攻撃であるか複数種類の攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６５１〜６５６に含まれる不正アクセス内容が同一であるか否かによって判定処理を実行する。

ここでは、図８に示す検出結果情報６５１〜６５６に含まれる不正アクセス内容は全て異なるため、パケット解析処理部７３２は、当該検出結果情報６５１〜６５６に関する不正アクセスが複数種類の攻撃であると判定する（ステップＳ３３）。

上記したようにステップＳ３１〜ステップＳ３３の処理において、検出結果情報６５１〜６５６に関する不正アクセスが、同一の攻撃元から複数のサーバ４０に対する複数種類の攻撃であると判定された場合、パケット解析処理部７３２は、対象不正パケットに関わる不正アクセスが無差別攻撃の１つであると判定する（ステップＳ３４）。

次に、図１０及び図１１を参照して、第３の具体例について説明する。図１０は、第３の具体例における検出結果データベース６３のデータ構造の一例を示す。

図１０に示すように、検出結果データベース６３には、検出結果情報６６１〜６６６が蓄積（格納）されているものとする。検出結果情報６６１には、不正アクセス元（のＩＰアドレス）「１１１．１１１．１１１．００１」、不正アクセス先（のＩＰアドレス）「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：００」が含まれている。

検出結果情報６６２には、不正アクセス元「１１１．１１１．１１１．００２」、不正アクセス先「２２２．２２２．２２２．００２」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０１」が含まれている。

検出結果情報６６３には、不正アクセス元「１１１．１１１．１１１．００３」、不正アクセス先「２２２．２２２．２２２．００３」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０２」が含まれている。

検出結果情報６６４には、不正アクセス元「１１１．１１１．１１１．００４」、不正アクセス先「２２２．２２２．２２２．００４」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０３」が含まれている。

検出結果情報６６５には、不正アクセス元「１１１．１１１．１１１．００５」、不正アクセス先「２２２．２２２．２２２．００５」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０４」が含まれている。

検出結果情報６６６には、不正アクセス元「１１１．１１１．１１１．００６」、不正アクセス先「２２２．２２２．２２２．００６」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０５」が含まれている。

次に、図１１のフローチャートを参照して、第３の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順について説明する。

まず、パケット解析処理部７３２は、検出結果データベース６３を参照して、判定処理を実行する。このとき、パケット解析処理部７３２は、上記した図１０に示す検出結果データベース６３を参照したものとする。なお、図１０に示す検出結果データベース６３に格納されている検出結果情報６６１〜６６６のうち、例えば対象不正パケットに関する検出結果情報は検出結果情報６６６であるものとする。

パケット解析処理部７３２は、検出結果データベース６３から例えば単位時間当たりの検出結果情報を取得する。このとき、パケット解析処理部７３２は、検出結果情報に含まれる時刻（を示す情報）に基づいて、検出結果情報を取得する。ここでは、単位時間当たりの検出結果情報として、検出結果情報６６１〜６６６が取得されたものとする。

パケット解析処理部７３２は、取得された検出結果情報６６１〜６６６に含まれる不正アクセス元（ＩＰアドレス）に基づいて、当該検出結果情報６６１〜６６６に関する不正アクセスが同一攻撃元からの攻撃であるか複数の攻撃元からの攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６６１〜６６６に含まれる不正アクセス元が同一であるか否かによって判定処理を実行する。

ここでは、図１０に示す検出結果情報６６１〜６６６に含まれる不正アクセス元は全て異なるため、パケット解析処理部７３２は、当該検出結果情報６６１〜６６６に関する不正アクセスが複数の攻撃元からの攻撃であると判定する（ステップＳ４１）。

次に、パケット解析処理部７３２は、取得された検出結果情報６６１〜６６６に含まれる不正アクセス先（ＩＰアドレス）に基づいて、当該検出結果情報６６１〜６６６に関する不正アクセスが同一サーバ４０に対する攻撃か複数のサーバ４０に対する攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６６１〜６６６に含まれる不正アクセス先が同一であるか否かによって判定処理を実行する。

ここでは、図１０に示す検出結果情報６６１〜６６６に含まれる不正アクセス先は全て異なるため、パケット解析処理部７３２は、当該検出結果情報６６１〜６６６に関する不正アクセスが複数のサーバ４０に対する攻撃であると判定する（ステップＳ４２）。

次に、パケット解析処理部７３２は、取得された検出結果情報６６１〜６６６に含まれる不正アクセス内容に基づいて、当該検出結果情報６６１〜６６６に関する不正アクセスが同一種類の攻撃であるか複数種類の攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６６１〜６６６に含まれる不正アクセス内容が同一であるか否かによって判定処理を実行する。

ここでは、図１０に示す検出結果情報６６１〜６６６に含まれる不正アクセス内容は全て「ｈｔｔｐ＿０００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報６６１〜６６６に関する不正アクセスが同一種類の攻撃であると判定する（ステップＳ４３）。

上記したようにステップＳ４１〜ステップＳ４３の処理において、検出結果情報６６１〜６６６に関する不正アクセスが、複数の攻撃元から複数のサーバ４０に対する同一種類の攻撃であると判定された場合、パケット解析処理部７３２は、対象不正パケットに関わる不正アクセスが無差別攻撃の１つであると判定する（ステップＳ４４）。

次に、図１２及び図１３を参照して、第４の具体例について説明する。図１２は、第４の具体例における検出結果データベース６３のデータ構造の一例を示す。

図１３に示すように、検出結果データベース６３には、検出結果情報６７１〜６７６が蓄積（格納）されているものとする。検出結果情報６７１には、不正アクセス元（のＩＰアドレス）「１１１．１１１．１１１．００１」、不正アクセス先（のＩＰアドレス）「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００６」及び時刻「２００７／０１／０１／００：００：００」が含まれている。

検出結果情報６７２には、不正アクセス元「１１１．１１１．１１１．００２」、不正アクセス先「２２２．２２２．２２２．００２」、不正アクセス内容「ｈｔｔｐ＿０００５」及び時刻「２００７／０１／０１／００：００：０１」が含まれている。

検出結果情報６７３には、不正アクセス元「１１１．１１１．１１１．００３」、不正アクセス先「２２２．２２２．２２２．００３」、不正アクセス内容「ｈｔｔｐ＿０００４」及び時刻「２００７／０１／０１／００：００：０２」が含まれている。

検出結果情報６７４には、不正アクセス元「１１１．１１１．１１１．００４」、不正アクセス先「２２２．２２２．２２２．００４」、不正アクセス内容「ｈｔｔｐ＿０００３」及び時刻「２００７／０１／０１／００：００：０３」が含まれている。

検出結果情報６７５には、不正アクセス元「１１１．１１１．１１１．００５」、不正アクセス先「２２２．２２２．２２２．００５」、不正アクセス内容「ｈｔｔｐ＿０００２」及び時刻「２００７／０１／０１／００：００：０４」が含まれている。

検出結果情報６７６には、不正アクセス元「１１１．１１１．１１１．００６」、不正アクセス先「２２２．２２２．２２２．００６」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０５」が含まれている。

次に、図１３のフローチャートを参照して、第４の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順について説明する。

まず、パケット解析処理部７３２は、検出結果データベース６３を参照して、判定処理を実行する。このとき、パケット解析処理部７３２は、上記した図１２に示す検出結果データベース６３を参照したものとする。なお、図１２に示す検出結果データベース６３に格納されている検出結果情報６７１〜６７６のうち、例えば対象不正パケットに関する検出結果情報は検出結果情報６７６であるものとする。

パケット解析処理部７３２は、検出結果データベース６３から例えば単位時間当たりの検出結果情報を取得する。このとき、パケット解析処理部７３２は、検出結果情報に含まれる時刻（を示す情報）に基づいて、検出結果情報を取得する。ここでは、単位時間当たりの検出結果情報として、検出結果情報６７１〜６７６が取得されたものとする。

パケット解析処理部７３２は、取得された検出結果情報６７１〜６７６に含まれる不正アクセス元（ＩＰアドレス）に基づいて、当該検出結果情報６７１〜６７６に関する不正アクセスが同一攻撃元からの攻撃であるか複数の攻撃元からの攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６７１〜６７６に含まれる不正アクセス元が同一であるか否かによって判定処理を実行する。

ここでは、図１２に示す検出結果情報６７１〜６７６に含まれる不正アクセス元は全て異なるため、パケット解析処理部７３２は、当該検出結果情報６７１〜６７６に関する不正アクセスが複数の攻撃元からの攻撃であると判定する（ステップＳ５１）。

次に、パケット解析処理部７３２は、取得された検出結果情報６７１〜６７６に含まれる不正アクセス先（ＩＰアドレス）に基づいて、当該検出結果情報６７１〜６７６に関する不正アクセスが同一サーバ４０に対する攻撃か複数のサーバ４０に対する攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６７１〜６７６に含まれる不正アクセス先が同一であるか否かによって判定処理を実行する。

ここでは、図１２に示す検出結果情報６７１〜６７６に含まれる不正アクセス先は全て異なるため、パケット解析処理部７３２は、当該検出結果情報６７１〜６７６に関する不正アクセスが複数のサーバ４０に対する攻撃であると判定する（ステップＳ５２）。

次に、パケット解析処理部７３２は、取得された検出結果情報６７１〜６７６に含まれる不正アクセス内容に基づいて、当該検出結果情報６７１〜６７６に関する不正アクセスが同一種類の攻撃であるか複数種類の攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６７１〜６７６に含まれる不正アクセス内容が同一であるか否かによって判定処理を実行する。

ここでは、図１２に示す検出結果情報６７１〜６７６に含まれる不正アクセス内容は全て異なるため、パケット解析処理部７３２は、当該検出結果情報６７１〜６７６に関する不正アクセスが複数種類の攻撃であると判定する（ステップＳ５３）。

上記したようにステップＳ５１〜ステップＳ５３の処理において、検出結果情報６７１〜６７６に関する不正アクセスが、複数の攻撃元から複数のサーバ４０に対する複数種類の攻撃であると判定された場合、パケット解析処理部７３２は、対象不正パケットに関わる不正アクセスが無差別攻撃の１つであると判定する（ステップＳ５４）。

次に、図１４及び図１５を参照して、第５の具体例について説明する。図１４は、第５の具体例における検出結果データベース６３のデータ構造の一例を示す。

図１４に示すように、検出結果データベース６３には、検出結果情報６８１〜６８６が蓄積（格納）されているものとする。検出結果情報６８１には、不正アクセス元（のＩＰアドレス）「１１１．１１１．１１１．００１」、不正アクセス先（のＩＰアドレス）「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００６」及び時刻「２００７／０１／０１／００：００：００」が含まれている。

検出結果情報６８２には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００５」及び時刻「２００７／０１／０１／００：００：０１」が含まれている。

検出結果情報６８３には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００４」及び時刻「２００７／０１／０１／００：００：０２」が含まれている。

検出結果情報６８４には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００３」及び時刻「２００７／０１／０１／００：００：０３」が含まれている。

検出結果情報６８５には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００２」及び時刻「２００７／０１／０１／００：００：０４」が含まれている。

検出結果情報６８６には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０５」が含まれている。

次に、図１５のフローチャートを参照して、第５の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順について説明する。

まず、パケット解析処理部７３２は、検出結果データベース６３を参照して、判定処理を実行する。このとき、パケット解析処理部７３２は、上記した図１４に示す検出結果データベース６３を参照したものとする。なお、図１４に示す検出結果データベース６３に格納されている検出結果情報６８１〜６８６のうち、例えば対象不正パケットに関する検出結果情報は検出結果情報６８６であるものとする。

パケット解析処理部７３２は、検出結果データベース６３から例えば単位時間当たりの検出結果情報を取得する。このとき、パケット解析処理部７３２は、検出結果情報に含まれる時刻（を示す情報）に基づいて、検出結果情報を取得する。ここでは、単位時間当たりの検出結果情報として、検出結果情報６８１〜６８６が取得されたものとする。

パケット解析処理部７３２は、取得された検出結果情報６８１〜６８６に含まれる不正アクセス元（ＩＰアドレス）に基づいて、当該検出結果情報６８１〜６８６に関する不正アクセスが同一攻撃元からの攻撃であるか複数の攻撃元からの攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６８１〜６８６に含まれる不正アクセス元が同一であるか否かによって判定処理を実行する。

ここでは、図１４に示す検出結果情報６８１〜６８６に含まれる不正アクセス元は全て「１１１．１１１．１１１．００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報６８１〜６８６に関する不正アクセスが同一攻撃元からの攻撃であると判定する（ステップＳ６１）。

次に、パケット解析処理部７３２は、取得された検出結果情報６８１〜６８６に含まれる不正アクセス先（ＩＰアドレス）に基づいて、当該検出結果情報６８１〜６８６に関する不正アクセスが同一サーバ４０に対する攻撃か複数のサーバ４０に対する攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６８１〜６８６に含まれる不正アクセス先が同一であるか否かによって判定処理を実行する。

ここでは、図１４に示す検出結果情報６８１〜６８６に含まれる不正アクセス先は全て「２２２．２２２．２２２．００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報６８１〜６８６に関する不正アクセスが同一（単一）サーバ４０に対する攻撃であると判定する（ステップＳ６２）。

次に、パケット解析処理部７３２は、取得された検出結果情報６８１〜６８６に含まれる不正アクセス内容に基づいて、当該検出結果情報６８１〜６８６に関する不正アクセスが同一種類の攻撃であるか複数種類の攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６８１〜６８６に含まれる不正アクセス内容が同一であるか否かによって判定処理を実行する。

ここでは、図１４に示す検出結果情報６８１〜６８６に含まれる不正アクセス内容は全て異なるため、パケット解析処理部７３２は、当該検出結果情報６８１〜６８６に関する不正アクセスが複数種類の攻撃であると判定する（ステップＳ６３）。

上記したようにステップＳ６１〜ステップＳ６３の処理において、検出結果情報６８１〜６８６に関する不正アクセスが、同一の攻撃元から同一サーバ４０に対する複数種類の攻撃であると判定された場合、パケット解析処理部７３２は、対象不正パケットに関わる不正アクセスが特定のサーバ４０に対する特定攻撃であると判定する（ステップＳ６４）。ここで、特定のサーバ４０とは、不正アクセス先のＩＰアドレスが割り当てられているサーバ４０である。

次に、図１６及び図１７を参照して、第６の具体例について説明する。図１６は、第６の具体例における検出結果データベース６３のデータ構造の一例を示す。

図１６に示すように、検出結果データベース６３には、検出結果情報６９１〜６９６が蓄積（格納）されているものとする。検出結果情報６９１には、不正アクセス元（のＩＰアドレス）「１１１．１１１．１１１．００１」、不正アクセス先（のＩＰアドレス）「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：００」が含まれている。

検出結果情報６９２には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０１」が含まれている。

検出結果情報６９３には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０２」が含まれている。

検出結果情報６９４には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０３」が含まれている。

検出結果情報６９５には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０４」が含まれている。

検出結果情報６９６には、不正アクセス元「１１１．１１１．１１１．００１」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０５」が含まれている。

次に、図１７のフローチャートを参照して、第６の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順について説明する。

まず、パケット解析処理部７３２は、検出結果データベース６３を参照して、判定処理を実行する。このとき、パケット解析処理部７３２は、上記した図１６に示す検出結果データベース６３を参照したものとする。なお、図１６に示す検出結果データベース６３に格納されている検出結果情報６９１〜６９６のうち、例えば対象不正パケットに関する検出結果情報は検出結果情報６９６であるものとする。

パケット解析処理部７３２は、検出結果データベース６３から例えば単位時間当たりの検出結果情報を取得する。このとき、パケット解析処理部７３２は、検出結果情報に含まれる時刻（を示す情報）に基づいて、検出結果情報を取得する。ここでは、単位時間当たりの検出結果情報として、検出結果情報６９１〜６９６が取得されたものとする。

パケット解析処理部７３２は、取得された検出結果情報６９１〜６９６に含まれる不正アクセス元（ＩＰアドレス）に基づいて、当該検出結果情報６９１〜６９６に関する不正アクセスが同一攻撃元からの攻撃であるか複数の攻撃元からの攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６９１〜６９６に含まれる不正アクセス元が同一であるか否かによって判定処理を実行する。

ここでは、図１６に示す検出結果情報６９１〜６９６に含まれる不正アクセス元は全て「１１１．１１１．１１１．００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報６９１〜６９６に関する不正アクセスが同一攻撃元からの攻撃であると判定する（ステップＳ７１）。

次に、パケット解析処理部７３２は、取得された検出結果情報６９１〜６９６に含まれる不正アクセス先（ＩＰアドレス）に基づいて、当該検出結果情報６９１〜６９６に関する不正アクセスが同一サーバ４０に対する攻撃か複数のサーバ４０に対する攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６９１〜６９６に含まれる不正アクセス先が同一であるか否かによって判定処理を実行する。

ここでは、図１６に示す検出結果情報６９１〜６９６に含まれる不正アクセス先は全て「２２２．２２２．２２２．００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報６９１〜６９６に関する不正アクセスが同一サーバ４０に対する攻撃であると判定する（ステップＳ７２）。

次に、パケット解析処理部７３２は、取得された検出結果情報６９１〜６９６に含まれる不正アクセス内容に基づいて、当該検出結果情報６９１〜６９６に関する不正アクセスが同一種類の攻撃であるか複数種類の攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報６９１〜６９６に含まれる不正アクセス内容が同一であるか否かによって判定処理を実行する。

ここでは、図１６に示す検出結果情報６９１〜６９６に含まれる不正アクセス内容は全て「ｈｔｔｐ＿０００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報６９１〜６９６に関する不正アクセスが同一種類の攻撃であると判定する（ステップＳ７３）。

上記したようにステップＳ７１〜ステップＳ７３の処理において、検出結果情報６９１〜６９６に関する不正アクセスが、同一の攻撃元から同一サーバ４０に対する複数種類の攻撃であると判定された場合、パケット解析処理部７３２は、対象不正パケットに関わる不正アクセスが特定のサーバ４０に対する特定攻撃であると判定する（ステップＳ７４）。

次に、図１８及び図１９を参照して、第７の具体例について説明する。図１８は、第７の具体例における検出結果データベース６３のデータ構造の一例を示す。

図１８に示すように、検出結果データベース６３には、検出結果情報７０１〜７０６が蓄積（格納）されているものとする。検出結果情報７０１には、不正アクセス元（のＩＰアドレス）「１１１．１１１．１１１．００１」、不正アクセス先（のＩＰアドレス）「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００６」及び時刻「２００７／０１／０１／００：００：００」が含まれている。

検出結果情報７０２には、不正アクセス元「１１１．１１１．１１１．００２」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００５」及び時刻「２００７／０１／０１／００：００：０１」が含まれている。

検出結果情報７０３には、不正アクセス元「１１１．１１１．１１１．００３」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００４」及び時刻「２００７／０１／０１／００：００：０２」が含まれている。

検出結果情報７０４には、不正アクセス元「１１１．１１１．１１１．００４」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００３」及び時刻「２００７／０１／０１／００：００：０３」が含まれている。

検出結果情報７０５には、不正アクセス元「１１１．１１１．１１１．００５」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００２」及び時刻「２００７／０１／０１／００：００：０４」が含まれている。

検出結果情報７０６には、不正アクセス元「１１１．１１１．１１１．００６」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０５」が含まれている。

次に、図１９のフローチャートを参照して、第７の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順について説明する。

まず、パケット解析処理部７３２は、検出結果データベース６３を参照して、判定処理を実行する。このとき、パケット解析処理部７３２は、上記した図１８に示す検出結果データベース６３を参照したものとする。なお、図１８に示す検出結果データベース６３に格納されている検出結果情報７０１〜７０６のうち、例えば対象不正パケットに関する検出結果情報は検出結果情報７０６であるものとする。

パケット解析処理部７３２は、検出結果データベース６３から例えば単位時間当たりの検出結果情報を取得する。このとき、パケット解析処理部７３２は、検出結果情報に含まれる時刻（を示す情報）に基づいて、検出結果情報を取得する。ここでは、単位時間当たりの検出結果情報として、検出結果情報７０１〜７０６が取得されたものとする。

パケット解析処理部７３２は、取得された検出結果情報７０１〜７０６に含まれる不正アクセス元（ＩＰアドレス）に基づいて、当該検出結果情報７０１〜７０６に関する不正アクセスが同一攻撃元からの攻撃であるか複数の攻撃元からの攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報７０１〜７０６に含まれる不正アクセス元が同一であるか否かによって判定処理を実行する。

ここでは、図１８に示す検出結果情報７０１〜７０６に含まれる不正アクセス元は全て異なるため、パケット解析処理部７３２は、当該検出結果情報７０１〜７０６に関する不正アクセスが複数の攻撃元からの攻撃であると判定する（ステップＳ８１）。

次に、パケット解析処理部７３２は、取得された検出結果情報７０１〜７０６に含まれる不正アクセス先（ＩＰアドレス）に基づいて、当該検出結果情報７０１〜７０６に関する不正アクセスが同一サーバ４０に対する攻撃か複数のサーバ４０に対する攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報７０１〜７０６に含まれる不正アクセス先が同一であるか否かによって判定処理を実行する。

ここでは、図１８に示す検出結果情報７０１〜７０６に含まれる不正アクセス先は全て「２２２．２２２．２２２．００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報７０１〜７０６に関する不正アクセスが同一サーバ４０に対する攻撃であると判定する（ステップＳ８２）。

次に、パケット解析処理部７３２は、取得された検出結果情報７０１〜７０６に含まれる不正アクセス内容に基づいて、当該検出結果情報７０１〜７０６に関する不正アクセスが同一種類の攻撃であるか複数種類の攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報７０１〜７０６に含まれる不正アクセス内容が同一であるか否かによって判定処理を実行する。

ここでは、図１２に示す検出結果情報７０１〜７０６に含まれる不正アクセス内容は全て異なるため、パケット解析処理部７３２は、当該検出結果情報７０１〜７０６に関する不正アクセスが複数種類の攻撃であると判定する（ステップＳ８３）。

上記したようにステップＳ８１〜ステップＳ８３の処理において、検出結果情報７０１〜７０６に関する不正アクセスが、複数の攻撃元から同一サーバ４０に対する複数種類の攻撃であると判定された場合、パケット解析処理部７３２は、対象不正パケットに関わる不正アクセスが特定のサーバ４０に対する特定攻撃であると判定する（ステップＳ８４）。

次に、図２０及び図２１を参照して、第８の具体例について説明する。図２０は、第８の具体例における検出結果データベース６３のデータ構造の一例を示す。

図２０に示すように、検出結果データベース６３には、検出結果情報７１１〜７１６が蓄積（格納）されているものとする。検出結果情報７１１には、不正アクセス元（のＩＰアドレス）「１１１．１１１．１１１．００１」、不正アクセス先（のＩＰアドレス）「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：００」が含まれている。

検出結果情報７１２には、不正アクセス元「１１１．１１１．１１１．００２」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０１」が含まれている。

検出結果情報７１３には、不正アクセス元「１１１．１１１．１１１．００３」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０２」が含まれている。

検出結果情報７１４には、不正アクセス元「１１１．１１１．１１１．００４」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０３」が含まれている。

検出結果情報７１５には、不正アクセス元「１１１．１１１．１１１．００５」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０４」が含まれている。

検出結果情報７１６には、不正アクセス元「１１１．１１１．１１１．００６」、不正アクセス先「２２２．２２２．２２２．００１」、不正アクセス内容「ｈｔｔｐ＿０００１」及び時刻「２００７／０１／０１／００：００：０５」が含まれている。

次に、図２１のフローチャートを参照して、第８の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順について説明する。

まず、パケット解析処理部７３２は、検出結果データベース６３を参照して、判定処理を実行する。このとき、パケット解析処理部７３２は、上記した図２０に示す検出結果データベース６３を参照したものとする。なお、図２０に示す検出結果データベース６３に格納されている検出結果情報７１１〜７１６のうち、例えば対象不正パケットに関する検出結果情報は検出結果情報７１６であるものとする。

パケット解析処理部７３２は、検出結果データベース６３から例えば単位時間当たりの検出結果情報を取得する。このとき、パケット解析処理部７３２は、検出結果情報に含まれる時刻（を示す情報）に基づいて、検出結果情報を取得する。ここでは、単位時間当たりの検出結果情報として、検出結果情報７１１〜７１６が取得されたものとする。

パケット解析処理部７３２は、取得された検出結果情報７１１〜７１６に含まれる不正アクセス元（ＩＰアドレス）に基づいて、当該検出結果情報７１１〜７１６に関する不正アクセスが同一攻撃元からの攻撃であるか複数の攻撃元からの攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報７１１〜７１６に含まれる不正アクセス元が同一であるか否かによって判定処理を実行する。

ここでは、図２０に示す検出結果情報７１１〜７１６に含まれる不正アクセス元は全て異なるため、パケット解析処理部７３２は、当該検出結果情報７１１〜７１６に関する不正アクセスが複数の攻撃元からの攻撃であると判定する（ステップＳ９１）。

次に、パケット解析処理部７３２は、取得された検出結果情報７１１〜７１６に含まれる不正アクセス先（ＩＰアドレス）に基づいて、当該検出結果情報７１１〜７１６に関する不正アクセスが同一サーバ４０に対する攻撃か複数のサーバ４０に対する攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報７１１〜７１６に含まれる不正アクセス先が同一であるか否かによって判定処理を実行する。

ここでは、図２０に示す検出結果情報７１１〜７１６に含まれる不正アクセス先は全て「２２２．２２２．２２２．００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報７１１〜７１６に関する不正アクセスが同一サーバ４０に対する攻撃であると判定する（ステップＳ９２）。

次に、パケット解析処理部７３２は、取得された検出結果情報７１１〜７１６に含まれる不正アクセス内容に基づいて、当該検出結果情報７１１〜７１６に関する不正アクセスが同一種類の攻撃であるか複数種類の攻撃であるかを判定する。パケット解析処理部７３２は、取得された検出結果情報７１１〜７１６に含まれる不正アクセス内容が同一であるか否かによって判定処理を実行する。

ここでは、図２０に示す検出結果情報７１１〜７１６に含まれる不正アクセス内容は全て「ｈｔｔｐ＿０００１」（つまり、同一）であるため、パケット解析処理部７３２は、当該検出結果情報７１１〜７１６に関する不正アクセスが同一種類の攻撃であると判定する（ステップＳ９３）。

上記したようにステップＳ９１〜ステップＳ９３の処理において、検出結果情報７１１〜７１６に関する不正アクセスが、複数の攻撃元から同一サーバ４０に対する同一種類の攻撃であると判定された場合、パケット解析処理部７３２は、対象不正パケットに関わる不正アクセスが特定のサーバ４０に対する特定攻撃であると判定する（ステップＳ９４）。

上記したように本実施形態においては、例えばネットワーク１０に接続されているクライアント端末２０から送信されたパケットが不正アクセスに関わる不正パケットとして検出された場合、当該不正パケットに関する検出結果情報が検出結果データベース６３に蓄積され、当該検出結果データベース６３を参照することにより、当該不正パケットが複数のサーバ４０に対する無差別攻撃の１つであるか、特定のサーバ４０に対する特定攻撃であるかを判定する。これにより、本実施形態においては、不正パケットが検出された際に、当該不正パケットが無差別攻撃の１つであるか特定攻撃であるかを区別することが可能となる。したがって、本実施形態によれば、不正パケットの攻撃種別を区別し、例えば当該攻撃種別の違いが分かるように予め登録された管理者に通知することで、不正アクセス検出後のサーバ４０の管理者の対応指針が明確になる。

また、本実施形態においては、例えばサーバ４０が接続されているネットワーク３０と同一セグメントであるが存在しないアドレスに対して送信されたパケットに対して、仮想サーバ部７３４が応答する構成により、例えば保護対象サーバのアドレス（ＩＰアドレス）に隣接する（同一セグメントに属する）複数のアドレスへの不正パケット（不正アクセス）についても解析することが可能となる。

また、本実施形態においては、単位時間当たりの特定のサーバ４０に対する不正アクセス数（不正パケット数）が予め定められた値を超えた場合には当該特定のサーバ４０に対する不正アクセス元からのアクセスを一定時間遮断することで、当該特定のサーバ４０に対する不正アクセスを抑止することが可能となる。

なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。

本発明の実施形態に係るパケット転送装置が接続されるネットワークシステムについて説明するための図。図１に示すパケット転送装置７０の主として機能構成を示すブロック図。図２に示すパケット解析部７３の機能構成を示すブロック図。検出結果データベース６３のデータ構造の一例を示す図。パケット転送装置７０の処理手順を示すフローチャート。第１の具体例における検出結果データベース６３のデータ構造の一例を示す図。第１の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順を示すフローチャート。第２の具体例における検出結果データベース６３のデータ構造の一例を示す図。第２の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順を示すフローチャート。第３の具体例における検出結果データベース６３のデータ構造の一例を示す図。第３の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順を示すフローチャート。第４の具体例における検出結果データベース６３のデータ構造の一例を示す図。第４の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順を示すフローチャート。第５の具体例における検出結果データベース６３のデータ構造の一例を示す図。第５の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順を示すフローチャート。第６の具体例における検出結果データベース６３のデータ構造の一例を示す図。第６の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順を示すフローチャート。第７の具体例における検出結果データベース６３のデータ構造の一例を示す図。第７の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順を示すフローチャート。第８の具体例における検出結果データベース６３のデータ構造の一例を示す図。第８の具体例における対象不正パケットが無差別攻撃の１つであるか、あるいは特定攻撃であるかを判定する処理手順を示すフローチャート。

符号の説明

１０…ネットワーク（第１のネットワーク）、２０…クライアント端末（送信元）、３０…ネットワーク（第２のネットワーク）、４０…サーバ（送信先）、５０…コンピュータ、６０…外部記憶装置、６２…不正アクセスデータベース、６３…検出結果データベース、７０…パケット転送装置、７１，７２…パケット送受信部、７３…パケット解析部、７３１…パケット通過処理部、７３２…パケット解析処理部、７３３…管理者通知部、７３４…仮想サーバ部。

Claims

パケットを通信可能な第１のネットワーク及び第２のネットワークに接続され、前記第１のネットワークに接続されている送信元により送信されたパケットを前記第２のネットワークに接続されている送信先に対して転送するパケット転送装置において、
不正アクセスに関わる不正パケットを検出するための条件を示す不正アクセスデータを予め格納する不正アクセスデータベースと、
前記第１のネットワークに接続されている送信元により送信されたパケットを受信する受信手段と、
前記受信されたパケットを解析する解析手段と、
前記解析結果に基づいて、前記解析されたパケットが前記不正アクセスデータベースに格納されている不正アクセスデータによって示される条件に合致するかを判定する不正パケット判定手段と、
前記解析されたパケットが前記不正アクセスデータベースに格納されている不正アクセスデータによって示される条件に合致すると判定された場合に、当該解析されたパケットを不正パケットとして検出する検出手段と、
前記解析結果に基づいて、前記検出された不正パケットに関する検出結果情報を蓄積する検出結果データベースと、
前記検出された不正パケットが前記第２のネットワークに接続された複数の送信先に対する無差別攻撃の１つであるか、あるいは当該第２のネットワークに接続された特定の送信先に対する特定攻撃であるかを、前記検出結果データベースに蓄積されている検出結果情報に基づいて判定する攻撃種別判定手段と
を具備することを特徴とするパケット転送装置。
前記検出結果データベースに蓄積されている検出結果情報は、前記検出された不正パケットの送信先を示す送信先アドレス及び当該不正パケットが検出された時刻を示す情報を含み、
前記攻撃種別判定手段は、前記検出結果データベースに蓄積されている単位時間当たりの検出結果情報に含まれている送信先アドレスに基づいて、前記検出された不正パケットが複数の送信先アドレスに対して送信されている場合には前記複数の送信先に対する無差別攻撃の１つであると判定し、当該不正パケットが単一の送信先アドレスに対して送信されている場合には前記特定の送信先に対する特定攻撃であると判定することを特徴とする請求項１記載のパケット転送装置。
前記不正パケットが前記第２のネットワークに接続された特定の送信先に対する特定攻撃であると判定された場合、単位時間当たりの当該不正パケット数が予め定められた値以上かを前記検出結果データベースに蓄積されている検出結果情報に基づいて判定する不正アクセス数判定手段と、
前記不正パケット数が予め定められた値以上であると判定された場合、当該不正パケットの送信元からの前記特定の送信先に対するアクセスを一定時間遮断する遮断手段と
を更に具備することを特徴とする請求項１記載のパケット転送装置。
前記攻撃種別判定手段による判定結果を、予め登録された管理者に対して通知する通知手段を更に具備することを特徴とする請求項１記載のパケット転送装置。
パケットを通信可能な第１のネットワーク及び第２のネットワークに接続されたコンピュータと、不正アクセスに関わる不正パケットを検出するための条件を示す不正アクセスデータを予め格納する不正アクセスデータベースと検出結果データベースを有し、前記コンピュータによって利用される外部記憶装置とから構成されるパケット転送装置において、当該コンピュータによって実行されるパケット転送プログラムであって、
前記コンピュータに、
前記第１のネットワークに接続されている送信元により送信されたパケットを受信するステップと、
前記受信されたパケットを解析するステップと、
前記解析結果に基づいて、前記解析されたパケットが前記不正アクセスデータベースに格納されている不正アクセスデータによって示される条件に合致するかを判定するステップと、
前記解析されたパケットが前記不正アクセスデータベースに格納されている不正アクセスデータによって示される条件に合致する場合に、当該解析されたパケットを不正パケットとして検出するステップと、
前記解析結果に基づいて、前記検出された不正パケットに関する検出結果情報を前記検出結果データベースに蓄積するステップと、
前記検出された不正パケットが前記第２のネットワークに接続された複数の送信先に対する無差別攻撃の１つであるか、あるいは当該第２のネットワークに接続された特定の送信先に対する特定攻撃であるかを、前記検出結果データベースに蓄積されている検出結果情報に基づいて判定するステップと
を実行させるためのパケット転送プログラム。