JP2010148090A - パケット処理方法及びこれを用いたｔｏｅ装置 - Google Patents

Abstract

【課題】パケット処理方法及びこれを用いたＴＯＥ装置を提供する。
【解決手段】ＴＣＰ／ＩＰを迅速に処理するためにハードウェアを用いるＴＯＥ（ＴＣＰ／ＩＰ Ｏｆｆｌｏａｄ Ｅｎｇｉｎｅ）装置に、ネットワークトラフィックの静的／動的攻撃に対する検査及びリアルタイム遮断を目的とする侵入防止システムハードウェアを構築したＴＯＥ装置及びＴＯＥ装置におけるパケット処理方法に関するものであって、ネットワークプロトコル加速ハードウェアであるＴＯＥ装置を通じてネットワークを介した侵入を防止することができるため、ネットワークサーバなどのようなシステム内の装置に別途のアプリケーションプログラムなどを追加設置することなくネットワーク侵入防止システムを稼働することができる。
【選択図】図２

Description

本発明は、受信したネットワークパケットの処理方法に関するものであって、より詳しくは、ＴＯＥ（ＴＣＰ／ＩＰ Ｏｆｆｌｏａｄ Ｅｎｇｉｎｅ）装置においてネットワークを介した侵入を防止するパケット処理方法に関する。

近年、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）やＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）において広く用いられるイーサネット技術は、ネットワーク技術の発展とインターネットの速い普及により、既に１Ｇｂｐｓの帯域幅を超えて１０Ｇｂｐｓの帯域幅を提供する１０ギガビットイーサネットに発展している。

イーサネットにおいて広く用いられるＴＣＰ／ＩＰは、一般にホスト（Ｈｏｓｔ）プロセッサーで処理するが、これに伴うホストプロセッサーの負荷はシステム全体の性能を劣化させる。

また、近年ネットワーク速度がギガビットイーサネットと１０ギガビットイーサネットに発展するにつれてホストプロセッサーは実際業務を行うことより、ＴＣＰ／ＩＰスタックを処理することに一層多くのプロセッシングパワーを使用するようになった。

即ち、ネットワーク速度がプロセッサーで処理されるＴＣＰ／ＩＰの処理能力を超えることにより、コンピューターの処理速度を劣化させ、ネットワークのボトルネック（ｂｏｔｔｌｅ ｎｅｃｋ）を齎している。

この問題点を解決するために、ホストプロセッサーで処理されていたＴＣＰ／ＩＰの処理をホストプロセッサーでない専用ハードウェアで処理することによって、ホストプロセッサーに加わる負荷を減らしシステムの性能を向上させようとＴＣＰ／ＩＰオフロード技術が提案された。

ＴＣＰ／ＩＰオフロード技術が搭載されたハードウェア装置、即ちＴＯＥ装置は、現在開発初期の技術であって、インターネット分野だけでなくストレージ分野を中心に市場のニーズが持続的に増加することと予測される。

また、ネットワークの高速化及びインターネットの速い普及で電子商取引及び電子メールなど各種情報伝達及び情報提供サービス、そして電子取引が活性化し、これにつれてネットワークを介した侵入試みが段々増加している。また、不法侵入で獲得した情報を盗用したりウィルスのような有害データを流布するインターネットを利用した犯罪も急増している現実である。

従って、ネットワークの速度が急速に速まり、インターネットが広く普及され、ＴＣＰ／ＩＰを迅速に処理するようになるにつれて、ネットワークを介した侵入を効果的に防止するための方法が求められている。

大韓民国特許公開 第２００７‐０００８８０４号公報

本発明は、ＴＯＥ装置を通じて、ネットワークパケットに対するＴＣＰ／ＩＰを迅速に処理する方法を提供する。

また、本発明は、ネットワークを介した侵入を効果的に遮断する方法を提供する。

本発明は、ＴＯＥ装置においてネットワークを介した侵入を効果的に遮断し、ＴＣＰ／ＩＰを迅速に処理する方法を提供する。

本発明は、ＴＯＥ装置において、パケットを受信して、ヘッダーとペイロードを抽出し、ペイロードに対してパターンマッチング検査後、検査をパスしたペイロードをホストに伝達し、ヘッダーに対して、パケットが侵入パケットであるかどうかを判別するヘッダー検査及びＴＣＰ／ＩＰ処理を実行することを含む、パケット処理方法を提供する。

本発明によるパケット処理方法において、ペイロードに対するパターンマッチング検査は、ペイロードが単一のパケットのペイロードであるか、分割パケットのペイロードであるかを判断し、判断の結果、ペイロードが単一のパケットのペイロードであれば、パターンマッチング検査を実行し、ペイロードが分割パケットのペイロードであれば、パケットを再組合してパターンマッチング検査を実行する。

また、本発明によるパケット処理方法において、分割パケットに対するパケットの再組合は、分割パケットがＩＰ分割パケットである場合には、ＩＰプロトコル処理後にパケットを再組合し、分割パケットがＴＣＰ分割パケットである場合には、トランスポートプロトコル処理後にパケットを再組合する。

なお、本発明によるパケット処理方法において、ＴＣＰ分割パケットのペイロードに対するパターンマッチング検査は、パケットの再組合によるペイロードの大きさが基準値以上の場合にのみ実行しても良い。

本発明によるパケット処理方法において、ペイロードのパターン検査の結果、パケットが侵入パケットと判断されれば、ペイロードを削除し、パケットの情報を保存し、保存したパケット情報を周期的にホストに伝送しても良い。

また、本発明によるパケット処理方法において、ＴＯＥ装置はホストから周期的に新たなシグネチャーを受信することもできる。

また、本発明によるパケット処理方法のヘッダー検査において、パケットを伝送したノードがアクセス制御リストに含まれているかどうかを判断するアクセス制御リスト検査及び保存されている攻撃パケットのシグネチャーがヘッダーのパターンとマッチングされるかどうかを判断するシグネチャー検査を含み、ＴＣＰ／ＩＰ処理は、アクセス制御リスト及びシグネチャー検査をパスしたヘッダーに対してＩＰプロトコル処理及びトランスポートプロトコル処理を実行するものであっても良い。

本発明によるパケット処理方法においてヘッダー検査は、ＩＰプロトコル処理されたヘッダーに対するセッション検査をさらに含み、トランスポートプロトコル処理は、セッション検査をパスしたヘッダーに対して実行されることもできる。

また、本発明によるパケット処理方法において、セッション検査は、保存しているソケット情報と比較して、パケットが正常連結されたソケットから受信したパケットであるかどうかを検査するものであり得る。

なお、本発明によるパケット処理方法において、セッション検査は、パケットのセッション帯域幅が基準値以内であるかどうかを検査するものであっても良い。

本発明によるパケット処理方法において、ヘッダー検査の結果、受信したパケットが侵入パケットと判断されれば、該当パケットを削除し、パケットの情報を保存し、保存したパケット情報を周期的にホストに伝達することもできる。

また本発明によるパケット処理方法において、ＴＯＥ装置はホストから周期的に新たなシグネチャーを受信することもできる。

本発明は、受信したパケットのヘッダーとペイロードを抽出するヘッダー抽出部、抽出されたペイロードを処理するペイロード処理部、抽出されたヘッダーを検査するヘッダー検査部及びヘッダーに対するＴＣＰ／ＩＰ処理を実行するＴＣＰ／ＩＰ処理部を含む、ＴＯＥ装置を提供する。

本発明によるＴＯＥ装置において、ペイロード処理部は、ペイロードに対するパターンマッチング検査を実行するペイロードパターンマッチング部を含み、ＴＣＰ／ＩＰ処理部は、受信したペイロードを保存するペイロード保存部及び侵入パケットと判断されたパケットの情報を保存する遮断パケット情報保存部を含み、パターンマッチング部は、ペイロード保存部に保存されたペイロードに対し、パターンマッチング検査を実行して、侵入パケットのペイロードと判断された場合は遮断パケット情報保存部に侵入パケットの情報を保存し、侵入パケットのペイロードでないものと判断された場合はペイロードをホストに伝達する。

また本発明によるＴＯＥ装置において、受信パケットがＩＰ分割パケットである場合に、ＴＣＰ／ＩＰ処理部は、ペイロード保存部に分割パケットのペイロードを保存し、分割パケットのヘッダーに対するＩＰプロトコール処理後に、分割パケットのペイロードを再組合し、ペイロード処理部は、再組合されたペイロードに対するパターンマッチング検査を実行する。

なお、本発明によるＴＯＥ装置において、受信パケットがＴＣＰ分割パケットである場合に、ＴＣＰ／ＩＰ処理部は、ペイロード保存部に前記分割パケットのペイロードを保存し、分割パケットのヘッダーに対するトランスポートプロトコル処理後に、分割パケットのペイロードを再組合し、ペイロード処理部は、再組合されたペイロードに対するパターンマッチング検査を実行する。

本発明によるＴＯＥ装置において、ペイロード処理部は、再組合されたペイロードの大きさが基準値以上である場合にのみ、パターンマッチング検査を実行しても良い。

また本発明によるＴＯＥ装置において、ＴＣＰ／ＩＰ処理部は、侵入パケットと判断されたパケットの情報を保存する遮断パケット情報保存部を含み、ヘッダー検査部は、アクセス制御リスト（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ；ＡＣＬ）を保存したＡＣＬ保存部、ホストから周期的に受信したシグネチャーを保存したシグネチャー保存部、ヘッダーに対して、アクセス制御リストに含まれているかどうかを検査するＡＣＬ検査部及びヘッダーに対して、シグネチャーとのマッチング有無を検査するシグネチャーマッチング検査部を含み、ＡＣＬ検査部及びシグネチャーマッチング検査部は、検査した結果、ヘッダーが侵入パケットのヘッダーと判断した場合は、侵入パケットの情報を遮断パケット情報保存部に保存し、ヘッダーが侵入パケットのヘッダーでないと判断した場合は、ヘッダーをＴＣＰ／ＩＰ処理部に伝達しても良い。

なお、本発明によるＴＯＥ装置において、ヘッダー検査部は、ヘッダーに対するセッション検査を実行するセッション検査部をさらに含み、セッション検査部は、ＴＣＰ／ＩＰ処理部でＩＰプロトコル処理されたヘッダーに対して、パケットが正常連結されたソケットから受信したパケットであるかどうか、またはパケットのセッション帯域幅が基準値以内であるかどうかを検査し、ＴＣＰ／ＩＰ処理部は、セッション検査をパスしたヘッダーに対して、トランスポートプロトコル処理を実行することもできる。

また、本発明によるＴＯＥ装置において、遮断パケット情報保存部は、保存した遮断パケットの情報を周期的にホストに伝達することもできる。

本発明によると、ネットワークを介した侵入を検査して、効果的に侵入を遮断することができる。

本発明によると、ネットワークパケットのヘッダーとペイロードをそれぞれ並列的に検査及び処理することによって、ネットワーク侵入の有無を迅速に検査し、ＴＣＰ／ＩＰを処理することができる。

本発明によると、ＴＯＥ装置を通じてネットワークプロトコル処理及びデータ伝送によるシステムの負荷を減少させることができる。

本発明によると、ネットワークに連結されたサーバにネットワークカードなどのような別途の追加装置やアプリケーションプログラム無しに、ネットワーク運用だけでなく、ネットワーク侵入防止の効果を同時に得ることができる。

ＴＯＥ装置の構成を概略的に示したブロック図である。 本発明に係り、ネットワークを介した侵入を防止するＴＯＥ装置の構成を概略的に示したブロック図である。 本発明に係るＴＯＥ装置において受信したパケットを処理する方法を概略的に示したプローチャートである。

本発明は、ネットワークトラフィックの静的／動的攻撃に対する検査及びリアルタイム遮断を目的とする侵入防止システムハードウェアを構築したＴＯＥ装置とこれを用いたネットワークパケットの処理方法に関する。

本発明に係るＴＯＥ装置のパケット処理方法によると、ネットワーク侵入の防止だけでなく既存の運営体制基盤のネットワークプロトコル及びデータ伝送処理が迅速に行われる。従って、ネットワークに連結されたサーバにネットワークカード代わりに本発明によるＴＯＥ装置を装着してネットワークアプリケーションプログラムを運用できるだけでなく、ネットワークを介した侵入を防止することができる。

以下、添付した図面を参照し本発明について詳細に説明する。なお、本発明を説明するに当たり、関連した公知構成または機能に対する具体的な説明が本発明の要旨を薄めると判断される場合は、その詳細な説明を省略する。

ＴＯＥ（ＴＣＰ／ＩＰ Ｏｆｆｌｏａｄ Ｅｎｇｉｎｅ）装置
図１に示された通り、ＴＯＥ装置はギガビットイーサネットなどのような高速ネットワークとホストプロセッサーの間でＴＣＰ／ＩＰの迅速な処理を図る。

このために、ＴＥＯ装置は、ＭＡＣ／ＰＨＹ１０７及びＭＡＣインターフェイス１０６を含むＭＡＣ／ＰＨＹレイヤと、送信ＩＰ処理部、バッファー＆キュー（Ｑｕｅｕｅ）、ＡＲＰ処理部及び受信ＩＰ処理部を含むＩＰレイヤ１０５、送信ハードウェア、送信処理部、ソケットリソースプール＆ソケット管理部、受信処理部及び受信ハードウェアを含むソケット及びトランスポートレイヤ１０４、そしてドアーベル（Ｄｏｏｒｂｅｌｌ）１０２、ＤＭＡ（Ｄｉｒｅｃｔ Ｍｅｍｏｒｙ Ａｃｃｅｓｓ）部１０３及びホストインターフェイス１０１を含むホストＩ／Ｆを含む。

ＭＡＣ／ＰＨＹレイヤを通じて受信したネットワークパケットは、ＴＣＰ／ＩＰ処理されてホストに伝達される。

ＴＣＰ／ＩＰ処理部
図２は、ネットワークを介した侵入を防止するために必要な構成が追加されたＴＯＥ装置を概略的に示したブロック図である。

ネットワークプロトコル処理、ソケットリソース制御命令及びＴＣＰ連結／解除命令の処理、それぞれの命令に対する処理結果情報の生成及び伝送、ネットワークパケットの受信制御、ソケット情報及びパケット伝送情報の保存などがＴＯＥ装置のＴＣＰ／ＩＰ処理部で処理される。

ＴＣＰ／ＩＰ処理部は、送信処理部２１１、受信処理部２１３、命令／伝送／受信／完了ドアーベル（ＣＭＤ／ＳＮＤ／ＲＥＣＶ／ＣＰＬ Ｄｏｏｒｂｅｌｌｓ、２０７）、受信ペイロード保存部２１５、ソケットリソースプール及びソケット管理部（Ｓｏｃｋｅｔ Ｒｅｓｏｕｒｃｅ Ｐｏｏｌ＆Ｓｏｃｋｅｔ Ｍａｎａｇｅｍｅｎｔ、２１２）、送信ＤＭＡ（Ｄｉｒｅｃｔ Ｍｅｍｏｒｙ Ａｃｃｅｓｓ）部２０５、受信ＤＭＡ部２０９、送信処理エンジン部２１０、受信処理エンジン部２１４、送信ペイロード保存部２１６、送信ＩＰエンジン部２１９、受信ＩＰエンジン部２２２、ＩＰ再組合部２１８、ARPエンジン部２２１, ＭＡＣインターフェイス２２９及びギガバイトＭＡＣ／ＰＨＹモジュール２３０、遮断パケット情報保存部２２５などを含み、受信したパケットをＴＣＰ／ＩＰ処理してホストに伝達する。

ホスト（Ｈｏｓｔ、２０１）は、ネットワークプロトコルスタックを駆動するネットワークアプリケーション（Ｎｅｔｗｏｒｋ Ａｐｐｌｉｃａｔｉｏｎｓ）２０２とソケット及びデータ送受信命令を受信してＴＯＥ装置に伝達し、侵入防止のためのシグネチャーを生成し、ＡＣＬ及び遮断されたパケット情報をＴＯＥ装置から収集して管理するシグネチャー及びＡＣＬ管理部２０３を含んでいる。

ＴＯＥ装置の送信処理部２１１は、ネットワーク送信プロトコルを処理して伝送データを分割し、受信処理部２１３は受信したパケットのプロトコルを処理し、受信パケットがＴＣＰ分割パケットである場合はこれを再組合する。

命令／伝送／受信／完了ドアーベル２０７は、ホスト２０１から伝達されたソケット生成または削除命令、属性変更命令、ＴＣＰ連結／解除命令などの伝送及び生成されたソケットに対してネットワークアプリケーションプログラムの要求したネットワークプロトコル基盤メッセージ送受信命令伝送、そしてそれぞれの命令に対する処理結果の伝送を保存している。

受信ペイロード保存部２１５は、外部から受信されたパケットのペイロードデータが保存されている。

ソケットリソースプール及びソケット管理部２１２は、送受信処理部２１１、２１３の制御により生成されたソケットの情報を保存し管理する。

送信ＤＭＡ部２０５と受信ＤＭＡ部２０９は、それぞれネットワークアプリケーションの送信データを運営体制による複写無しに直ちにＴＯＥ装置に伝送し、ＴＯＥ装置により受信した受信データを運営体制による複写無しにネットワークアプリケーションに伝送する。

送信処理エンジン部２１０と受信処理エンジン部２１４は、該当プロトコルのヘッダー及びデータの送受信を処理する。送信ペイロード保存部２１６は、ホスト２０１から伝送された送信ペイロードデータを保存する。送信ＩＰエンジン部２１９と受信ＩＰエンジン部２２２は、ＩＰヘッダーを送受信して処理する。

ＩＰ再組合部２１８は、受信したパケットがＩＰ分割パケットである場合に、ＩＰ分割パケットを再組合し、ＡＲＰエンジン部２２１は、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）パケットを送受信して処理する。

ＭＡＣインターフェイス２２９とＭＡＣ／ＰＨＹモジュール２３０を通じてギガビットイーサネットなどのような外部ネットワークとデータを送受信する。

遮断パケット情報保存部２２５は、侵入パケットと判明されて遮断されたパケットの情報を保存し、一定の周期毎に、該当情報をホストに伝送する。

ネットワークを介した侵入防止部
ネットワークを介した侵入を防止するための構成部分は、パケットからヘッダー（ｈｅａｄｅｒ）とペイロード（ｐａｙｌｏａｄ）を抽出するヘッダー抽出部、抽出したヘッダーを検査するヘッダー検査部、抽出されたペイロードを検査しホストに伝達するペイロード処理部を含む。

ヘッダー抽出部２２８は、受信したパケットをヘッダーとペイロードデータとに分類する。

ヘッダー検査部は、アクセス制御リスト検査部２２６、アクセス制御リスト保存部２２７、シグネチャーマッチング検査部２２３、シグネチャー保存部２２０及びセッション検査部２１７を含む。

ＡＣＬ保存部２２７は、接続の許容されたノードと接続が許容されないノードのＩＰアドレスなどの情報が保存されたアクセス制御リスト（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ；以下‘ＡＣＬ’という）を保存し、アクセス制御リスト検査部２２６は、抽出されたヘッダーのＩＰアドレスに基づき、受信したパケットが、接続の許容されたノードからのパケットであるかどうかを検査する。

シグネチャー保存部２２０は、侵入パケットのシグネチャーを保存し、シグネチャーマッチング検査部２２３はヘッダーに基づいてシグネチャー保存部２２０に保存された侵入パケットのシグネチャーとマッチングすることによって、受信したパケットが侵入パケットであるかどうかを検査する。

セッション検査部２１７は、非正常セッションの検査、即ち受信したパケットが正常連結されたソケットから受信したものであるかどうかを検査する。また、セッション検査部２１７は、受信したパケットのセッション帯域幅が一定の基準値以内であるかどうかを検査する。セッションの正常有無及び帯域幅を検査して侵入パケットであるかどうかをより正確に判別することができる。

シグネチャー／ＡＣＬ ＤＭＡ部２０６は、ホスト１のシグネチャー及びＡＣＬ管理部２０３によるシグネチャー及びＡＣＬを伝送し、遮断パケットＤＭＡ部２０８は、受信した侵入パケットの情報をシグネチャー及びＡＣＬ管理部２０３に伝送する。

パケット処理方法
図３は、本発明によるＴＯＥ装置において受信したパケットを処理する方法を概略的に示したプローチャートである。

ＴＯＥ装置は、ＭＡＣインターフェイス２２９を通じて、ネットワークパケットを受信する（Ｓ３０１ステップ）。受信されたパケットは、ヘッダー抽出部２２８によってヘッダーとペイロードとが分けられて抽出される（Ｓ３０２ステップ）。

抽出されたヘッダーに対してＡＣＬ及びシグネチャーマッチング検査を実施する（Ｓ３０３ステップ）。ＡＣＬ検査ではＡＣＬ検査部２２６が、ＡＣＬ保存部２２７に保存されたＡＣＬに受信したパケットを伝送したノードが含まれているかどうかを検査して、該当パケットが侵入パケットであるかどうかを判断する。

シグネチャーマッチング検査ではシグネチャーマッチング検査部２２３が、シグネチャー保存部２２０に保存されている侵入パケットのシグネチャーを通じて、受信パケットのヘッダーに対するパターンマッチングを行なって、該当パケットが侵入パケットであるかどうかを判断する。

ＡＣＬ検査及びシグネチャーマッチング検査を通じて、該当パケットの許容可否を決定する（Ｓ３０５ステップ）。

受信したパケットが侵入パケットと判断された場合、該当パケットを削除し、該当パケットの情報を遮断パケット情報保存部２２５に保存する（Ｓ３２１ステップ）。保存された遮断パケットの情報は、一定の周期毎にホストに伝送される（Ｓ３２２ステップ）。遮断パケットＤＭＡ部２０８は、遮断パケットの情報をホストインターフェイス２０４を通じて、シグネチャー及びＡＣＬ管理部２０３に伝達する。

シグネチャー及びＡＣＬ管理部２０３は、収集された侵入パケット情報に基づいて一定の周期毎に新たなシグネチャーを生成して、シグネチャー／ＡＣＬ ＤＭＡ部２０６を通じて、シグネチャー保存部２２０に伝送する。シグネチャー保存部２２０は、受信したシグネチャーを通じて、シグネチャー情報をアップデートし、管理する（Ｓ３２３ステップ）。

ＡＣＬ検査及びシグネチャーマッチング検査を通じて、侵入パケットでないと判断されれば、抽出されたヘッダーを通じてＴＣＰ／ＩＰ処理を実施する。

ＡＣＬ検査及びシグネチャー検査をパスしたヘッダーを通じて、受信ＩＰエンジン部２２２でＩＰプロトコルが処理される（Ｓ３０６ステップ）。

この際、ＩＰプロトコル処理済みのパケットのヘッダーに対して、ソケットリソースプール及びソケット管理部２１２に保存されているソケットの情報を通じて、セッション検査を実行することもできる（Ｓ３０７ステップ）。

セッション検査では、セッション検査部２１７が、該当パケットが正常的なセッション、即ち正常連結されたソケットから受信したパケットであるかどうかまたは該当セッションの帯域幅が基準以上に過度に使用されるかどうかを検査し、この２つの検査いずれも実行することもできる。

セッション検査の結果を通じて、該当パケットの許容可否を判断する（Ｓ３０８ステップ）。正常的なセッションでなかったり、基準値以上の帯域幅を使用したセッションの場合は、該当パケットを侵入パケットと判断する。

侵入パケットと判断されれば、遮断パケット情報の処理過程（Ｓ３２１ステップ〜Ｓ３２３ステップ）を行う。

侵入パケットでないと判断されれば、受信処理部２１３を通じて、該当パケットに対するトランスポートプロトコル処理を行う（Ｓ３０９ステップ）。

トランスポートプロトコル処理されたヘッダー情報をホスト１に伝達する（Ｓ３１０ステップ）。

ヘッダー抽出部２２８から抽出されたペイロードに関する処理は、ヘッダーに関する処理と並列的に行われる。これにより、ＴＯＥ装置のパケット処理速度を向上させることができる。

抽出されたペイロードは受信ペイロード保存部２１５に保存され、該当ペイロードが分割パケットのペイロードであるかどうかを一先ず判断する（Ｓ３０４ステップ）。

ペイロードが分割パケットのペイロードでない場合、即ち単一のパケットのペイロードと判断された場合は、ペイロードパターンに対するマッチング検査を実行する（Ｓ３１７ステップ）。

万一、該当パケットが分割パケットであるなら、ＩＰ分割パケットであるかどうかを判断する（Ｓ３１１ステップ）。該当パケットがＩＰ分割パケットと判断されれば、ＩＰプロトコル処理（Ｓ３０６ステップ）後、ＩＰ再組合部２１８によりＩＰ分割パケットを再組合する（Ｓ３１３ステップ）。

ＩＰ分割パケットは、侵入防止システムのパターンマッチングがパケット単位で行われるという点を利用して侵入用データを分割、伝送して該当エンジンにより遮断されずに伝送しようとするときに悪用される。

最後の分割パケットが受信された場合（Ｓ３１４ステップ）、ＩＰ再組合済みの該当ペイロードに対するペイロードパターン検査がペイロードパターンマッチング部２２４により行われる（Ｓ３１７ステップ）。

該当パケットがＴＣＰ分割過程を経たパケットである場合は、トランスポートプロトコル処理（Ｓ３０９ステップ）後、ＴＣＰ再組合の処理が受信処理部２１３により行われ（Ｓ３１５ステップ）、ペイロードパターンマッチング部２２４によりペイロードパターンマッチング検査が実行される（Ｓ３１７ステップ）。

この際、再組合されたペイロードが一定の基準量以上であるかどうかを判断して（Ｓ３１６ステップ）、基準量以上のペイロードが組合された場合にのみ、ペイロードに対するパターン検査を実行することもできる。

ペイロードに対するパターンマッチング検査（Ｓ３１７ステップ）の結果に応じて、パケットを許容するかどうかを決定する（Ｓ３１８ステップ）。

侵入パケットのペイロードでないと判断されれば、ホスト１にペイロードを伝送する（Ｓ３２０ステップ）。受信ＤＭＡ部２０９は、運営体制による複写無しに該当ペイロードをネットワークアプリケーションに伝送する。

ペイロードパターンマッチング検査（Ｓ３１７ステップ）の結果、該当パケットが侵入パケットと判断された場合は、該当ペイロードを受信ペイロード保存部２１５で削除し遮断パケット情報の処理過程（Ｓ３２１ステップ〜Ｓ３２２ステップ）を行う。

図面を参照して本発明の実施の形態を説明したが、図面を参照して説明した上記の実施の形態は、本発明の技術的範囲を限定しておらず、本発明の技術的思想の範囲内で十分変形または修正され得る。

Claims (20)

1. パケットを受信して、ヘッダーとペイロードを抽出し、
   前記ペイロードに対してパターンマッチング検査後、検査をパスしたペイロードをホストに伝達し、
   前記ヘッダーに対して、前記パケットが侵入パケットであるかどうかを判別するヘッダー検査及びＴＣＰ／ＩＰ処理を実行することを含むＴＯＥ（ＴＣＰ／ＩＰ Ｏｆｆｌｏａｄ Ｅｎｇｉｎｅ）装置のパケット処理方法。
2. 前記ペイロードに対するパターンマッチング検査は、前記ペイロードが単一のパケットのペイロードであるか、分割パケットのペイロードであるかを判断し、
   前記判断の結果、
   前記ペイロードが単一のパケットのペイロードであれば、パターンマッチング検査を実行し、
   前記ペイロードが分割パケットのペイロードであれば、パケットを再組合してパターンマッチング検査を実行する請求項１に記載のＴＯＥ装置のパケット処理方法。
3. 前記分割パケットに対するパケット再組合は、
   前記分割パケットがＩＰ分割パケットである場合は、ＩＰプロトコル処理後にパケットを再組合し、
   前記分割パケットがＴＣＰ分割パケットである場合は、トランスポートプロトコル処理後にパケットを再組合する請求項２に記載のＴＯＥ装置のパケット処理方法。
4. 前記ＴＣＰ分割パケットのペイロードに対するパターンマッチング検査は、
   前記パケット再組合によるペイロードの大きさが基準値以上の場合にのみ実行する請求項３に記載のＴＯＥ装置のパケット処理方法。
5. 前記ペイロードのパターン検査の結果、
   前記パケットが侵入パケットと判断されれば、前記ペイロードを削除し、前記パケットの情報を保存し、
   前記保存したパケット情報を周期的にホストに伝送する請求項２に記載のＴＯＥ装置のパケット処理方法。
6. 前記ホストから周期的に新たなシグネチャーを受信する請求項５に記載のＴＯＥ装置のパケット処理方法。
7. 前記ヘッダー検査では、前記パケットを伝送したノードがアクセス制御リストに含まれているかどうかを判断するアクセス制御リスト検査及び保存されている攻撃パケットのシグネチャーが前記ヘッダーのパターンとマッチングされるかどうかを判断するシグネチャー検査を含み、
   前記ＴＣＰ／ＩＰ処理は、前記アクセス制御リスト及びシグネチャー検査をパスしたヘッダーに対してＩＰプロトコル処理及びトランスポートプロトコル処理を実行する請求項１に記載のＴＯＥ装置のパケット処理方法。
8. 前記ヘッダー検査は、前記ＩＰプロトコル処理されたヘッダーに対するセッション検査をさらに含み、
   前記トランスポートプロトコル処理は、前記セッション検査をパスしたヘッダーに対して実行される請求項７に記載のＴＯＥ装置のパケット処理方法。
9. 前記セッション検査は、
   保存しているソケット情報と比較して、前記パケットが正常連結されたソケットから受信したパケットであるかどうかを検査する請求項８に記載のＴＯＥ装置のパケット処理方法。
10. 前記セッション検査は、
    前記パケットのセッション帯域幅が基準値以内であるかどうかを検査する請求項８に記載のＴＯＥ装置のパケット処理方法。
11. 前記ヘッダー検査の結果、
    受信したパケットが侵入パケットと判断されれば、前記パケットを削除し、前記パケットの情報を保存し、
    前記保存したパケット情報を周期的にホストに伝達する請求項７または８に記載のＴＯＥ装置のパケット処理方法。
12. 前記ホストから周期的に新たなシグネチャーを受信する請求項１１に記載のＴＯＥ装置のパケット処理方法。
13. 受信したパケットのヘッダーとペイロードを抽出するヘッダー抽出部と、
    前記抽出されたペイロードを処理するペイロード処理部と、
    前記抽出されたヘッダーを検査するヘッダー検査部と、及び
    前記ヘッダーに対するＴＣＰ／ＩＰ処理を実行するＴＣＰ／ＩＰ処理部と、を含むＴＯＥ装置。
14. 前記ペイロード処理部は、ペイロードに対するパターンマッチング検査を実行するペイロードパターンマッチング部を含み、
    前記ＴＣＰ／ＩＰ処理部は、受信したペイロードを保存するペイロード保存部と、侵入パケットと判断されたパケットの情報を保存する遮断パケット情報保存部と、を含み、
    前記パターンマッチング部は、
    前記ペイロード保存部に保存されたペイロードに対して、パターンマッチング検査を実行して、侵入パケットのペイロードと判断された場合は、遮断パケット情報保存部に前記侵入パケットの情報を保存し、侵入パケットのペイロードでないと判断された場合は、前記ペイロードをホストに伝達する請求項１３に記載のＴＯＥ装置。
15. 前記受信パケットがＩＰ分割パケットである場合に、
    前記ＴＣＰ／ＩＰ処理部は、前記ペイロード保存部に前記分割パケットのペイロードを保存し、前記分割パケットのヘッダーに対するＩＰプロトコル処理後に、前記分割パケットのペイロードを再組合し、
    前記ペイロード処理部は、前記再組合されたペイロードに対するパターンマッチング検査を実行する請求項１４に記載のＴＯＥ装置。
16. 前記受信パケットがＴＣＰ分割パケットである場合に、
    前記ＴＣＰ／ＩＰ処理部は、前記ペイロード保存部に前記分割パケットのペイロードを保存し、前記分割パケットのヘッダーに対するトランスポートプロトコル処理後に、前記分割パケットのペイロードを再組合し、
    前記ペイロード処理部は、前記再組合されたペイロードに対するパターンマッチング検査を実行する請求項１４に記載のＴＯＥ装置。
17. 前記ペイロード処理部は、
    前記再組合されたペイロードの大きさが基準値以上の場合にのみ、パターンマッチング検査を実行する請求項１６に記載のＴＯＥ装置。
18. 前記ＴＣＰ／ＩＰ処理部は、侵入パケットと判断されたパケットの情報を保存する遮断パケット情報保存部を含み、
    前記ヘッダー検査部は、アクセス制御リスト（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ；ＡＣＬ）を保存したＡＣＬ保存部と、ホストから周期的に受信したシグネチャーを保存したシグネチャー保存部と、前記ヘッダーに対して、前記アクセス制御リストに含まれているかどうかを検査するＡＣＬ検査部と、前記ヘッダーに対して、前記シグネチャーとのマッチング有無を検査するシグネチャーマッチング検査部と、を含み、
    前記ＡＣＬ検査部及びシグネチャーマッチング検査部は、前記検査の結果、前記ヘッダーが侵入パケットのヘッダーと判断した場合は、前記侵入パケットの情報を前記遮断パケット情報保存部に保存し、前記ヘッダーが侵入パケットのヘッダーでないと判断した場合は、前記ヘッダーをＴＣＰ／ＩＰ処理部に伝達する請求項１３に記載のＴＯＥ装置。
19. 前記ヘッダー検査部は、ヘッダーに対するセッション検査を実行するセッション検査部をさらに含み、
    前記セッション検査部は、前記ＴＣＰ／ＩＰ処理部でＩＰプロトコル処理されたヘッダーに対して、前記パケットが正常連結されたソケットから受信したパケットであるかまたは前記パケットのセッション帯域幅が基準値以内であるかどうかを検査し、
    前記ＴＣＰ／ＩＰ処理部は、前記セッション検査をパスしたヘッダーに対して、トランスポートプロトコル処理を実行する請求項１８に記載のＴＯＥ装置。
20. 前記遮断パケット情報保存部は、
    保存した遮断パケットの情報を周期的に前記ホストに伝達する請求項１４ないし１９のうちいずれか一つに記載のＴＯＥ装置。

Images