JP2010212916A - スキャン攻撃不正侵入防御装置 - Google Patents
スキャン攻撃不正侵入防御装置 Download PDFInfo
- Publication number
- JP2010212916A JP2010212916A JP2009055738A JP2009055738A JP2010212916A JP 2010212916 A JP2010212916 A JP 2010212916A JP 2009055738 A JP2009055738 A JP 2009055738A JP 2009055738 A JP2009055738 A JP 2009055738A JP 2010212916 A JP2010212916 A JP 2010212916A
- Authority
- JP
- Japan
- Prior art keywords
- address
- database
- packet
- unit
- time
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
【課題】ネットワークに入ってくるパケットを解析し，LANスイッチのアクセス制御リスト(以降，ACLとする)を使って攻撃者のパケットを遮断することにより攻撃を抑制するシステムを提供する。
【解決手段】本発明のスキャン攻撃不正侵入防御装置は、受信解析部100と代理応答生成部200、ブラックリスト管理部300、ブラックリストのデータベース400、コマンド発行部500とからなり、スキャン攻撃の際に使用されるTCPコネクションを検知し、TCPコネクションへの応答を選択的に遅くするthrottlingを用いてスキャン攻撃を抑制するものである．
【選択図】 図２
【解決手段】本発明のスキャン攻撃不正侵入防御装置は、受信解析部100と代理応答生成部200、ブラックリスト管理部300、ブラックリストのデータベース400、コマンド発行部500とからなり、スキャン攻撃の際に使用されるTCPコネクションを検知し、TCPコネクションへの応答を選択的に遅くするthrottlingを用いてスキャン攻撃を抑制するものである．
【選択図】 図２
Description
本発明は、スキャン攻撃不正侵入防御装置に関するものである。
セキュリティホールの残っているホストや，特定のサービスを行っているホストへのscan攻撃が後を絶たない．scan攻撃によるホストの発見後，ホストへの攻撃が行われる可能性がある．この攻撃により，サービスを行えない，不正アクセスが行われるなどの問題が発生することが考えられる．
従来における公知文献として非特許文献１及び非特許文献２がある。
非特許文献１、非特許文献２に記載の技術は、実在するサーバへのアクセスには、その回数に応じて遅延をかけると同時にサーバが存在しないIPアドレスを設定しておき、偽装応答することで、そのIPアドレスへscan攻撃を誘導することである。
我々は図1に示す透過型ブリッジとして動作し，TCPコネクション接続要求に対して遅延・偽装応答を行うscan攻撃抑制システムを開発・運用を行ってきた。
課題は、遅延時間が接続要求回数のみの基づくため、少ない接続要求回数では誤判定が多く、大きな接続要求回数では判定に時間がかかることであり、PCサーバをLANスイッチのように使用するためスループットが出ないことである。
従来における公知文献として非特許文献１及び非特許文献２がある。
非特許文献１、非特許文献２に記載の技術は、実在するサーバへのアクセスには、その回数に応じて遅延をかけると同時にサーバが存在しないIPアドレスを設定しておき、偽装応答することで、そのIPアドレスへscan攻撃を誘導することである。
我々は図1に示す透過型ブリッジとして動作し，TCPコネクション接続要求に対して遅延・偽装応答を行うscan攻撃抑制システムを開発・運用を行ってきた。
課題は、遅延時間が接続要求回数のみの基づくため、少ない接続要求回数では誤判定が多く、大きな接続要求回数では判定に時間がかかることであり、PCサーバをLANスイッチのように使用するためスループットが出ないことである。
＜図4に示す従来装置の説明＞
従来装置は、TCP の接続要求(TCP オプションのSYN フラグのみが1 であるパケット)が外部ネットワークの同一の送信元IP アドレスから短時間に複数回送信されてきた場合，または使用されていない内部ネットワークのIPアドレスに対して送信されてきた場合，scan 攻撃が行われたと判断する．前者の場合では，送信元IP アドレスとの通信はパケットの転送を遅延させ，後者の場合では，偽装応答を行うことで攻撃の抑制を行う．
また，本装置は設置場所を選ばない透過型ブリッジとしてネットワークの境界に設置し，使用する．透過型ブリッジとして動作することにより，内部ネットワーク内の個々のコンピュータの設定や構成を変更することなくscan 攻撃への対策が可能になる．
大塚，兒玉，吉田 ： 偽装応答によるscan攻撃抑制システムについて，マルチメディア，分散，協調とモバイル(DICOMO 2008)シンポジウム pp.1182-1189，2008． 兒玉，大塚，南，吉田 ：偽装応答を用いたscan攻撃抑制システムの提案，FIT2007（第6回情報科学技術フォーラム）講演論文集 pp.71-73(2007).
従来装置は、TCP の接続要求(TCP オプションのSYN フラグのみが1 であるパケット)が外部ネットワークの同一の送信元IP アドレスから短時間に複数回送信されてきた場合，または使用されていない内部ネットワークのIPアドレスに対して送信されてきた場合，scan 攻撃が行われたと判断する．前者の場合では，送信元IP アドレスとの通信はパケットの転送を遅延させ，後者の場合では，偽装応答を行うことで攻撃の抑制を行う．
また，本装置は設置場所を選ばない透過型ブリッジとしてネットワークの境界に設置し，使用する．透過型ブリッジとして動作することにより，内部ネットワーク内の個々のコンピュータの設定や構成を変更することなくscan 攻撃への対策が可能になる．
大塚，兒玉，吉田 ： 偽装応答によるscan攻撃抑制システムについて，マルチメディア，分散，協調とモバイル(DICOMO 2008)シンポジウム pp.1182-1189，2008． 兒玉，大塚，南，吉田 ：偽装応答を用いたscan攻撃抑制システムの提案，FIT2007（第6回情報科学技術フォーラム）講演論文集 pp.71-73(2007).
本発明は、これまでのシステム装置の運用経験から，ネットワークに入ってくるパケットを解析し，LANスイッチのアクセス制御リスト(以降，ACLとする)を使って攻撃者のパケットを遮断することにより攻撃を抑制するスキャン攻撃不正侵入防御装置を提供する。
本発明のスキャン攻撃不正侵入防御装置の技術的特徴は、次の(1)に記載の通りである。
(1)インターネット側から受信したパケットについて、予め登録してある信頼できる送信元及び適用外のアプリケーション（宛先ポート番号）以外のときに、そのパケットが通信開始要求パケット（SYN）であれば、送信元IPアドレスを抽出し、その通信開始要求に対する内部からの応答を待ち、それが無い場合、代理応答生成部に代理応答を指示するとともに、ブラックリスト管理部にそのIPアドレスの記録を指示する受信解析部と、
受信解析部からの指示により代理応答（SYN/ACK）を行う代理応答生成部と、
受信解析部からの指示によりIPアドレス、記録時間、そのIPアドレスの出現回数をデータベースに記録し、後述のコマンド発行部からの要求により、データベースから出現回数が所定回数以上のIPアドレスを抽出し、最後の出現時刻から所定時間以上経過しているIPアドレスをデータベースから削除するブラックリスト管理部と、
所定時間ごとにブラックリスト管理部にデータベースに登録されているIPアドレスの一覧の作成を指示し、それに基づいてLANスイッチのACL(Access Control List)を作成し、最後の出現時刻から所定時間以上経過しているIPアドレスをデータベースから削除するようにブラックリスト管理部に指示するコマンド発行部と、
からなることを特徴とするスキャン攻撃不正侵入防御装置。
(1)インターネット側から受信したパケットについて、予め登録してある信頼できる送信元及び適用外のアプリケーション（宛先ポート番号）以外のときに、そのパケットが通信開始要求パケット（SYN）であれば、送信元IPアドレスを抽出し、その通信開始要求に対する内部からの応答を待ち、それが無い場合、代理応答生成部に代理応答を指示するとともに、ブラックリスト管理部にそのIPアドレスの記録を指示する受信解析部と、
受信解析部からの指示により代理応答（SYN/ACK）を行う代理応答生成部と、
受信解析部からの指示によりIPアドレス、記録時間、そのIPアドレスの出現回数をデータベースに記録し、後述のコマンド発行部からの要求により、データベースから出現回数が所定回数以上のIPアドレスを抽出し、最後の出現時刻から所定時間以上経過しているIPアドレスをデータベースから削除するブラックリスト管理部と、
所定時間ごとにブラックリスト管理部にデータベースに登録されているIPアドレスの一覧の作成を指示し、それに基づいてLANスイッチのACL(Access Control List)を作成し、最後の出現時刻から所定時間以上経過しているIPアドレスをデータベースから削除するようにブラックリスト管理部に指示するコマンド発行部と、
からなることを特徴とするスキャン攻撃不正侵入防御装置。
本発明は、インターネットからネットワークに入ってくるパケットを解析し，LANスイッチのアクセス制御リスト(以降，ACLとする)を使って攻撃者のパケットを確実に遮断することにより攻撃を抑制することができるスキャン攻撃不正侵入防御装置である。
本実施例のスキャン攻撃不正侵入防御装置のシステムフローを図１と図２と共に説明する。装置は一方のネットワークに流れるパケットを全て受信し、もう一方のネットワークに送信する。ただし、送信の前に、受信したパケットの解析を行い、throttlingを行うかどうかを判断する。throttlingを行う場合は、パケットに遅延をかけた後に送信を行う。
スキャン攻撃不正侵入防御装置の主な装置構成は、受信解析部100と代理応答生成部200（偽応答生成部とも言う）、ブラックリスト管理部300、ブラックリストのデータベース400、コマンド発行部（遮断・解徐コマンド発行部とも言う）500とからなり、スキャン攻撃の際に使用されるTCPコネクションを検知し、TCPコネクションへの応答を選択的に遅くするthrottlingを用いてスキャン攻撃を抑制するものである。
スキャン攻撃不正侵入防御装置の主な装置構成は、受信解析部100と代理応答生成部200（偽応答生成部とも言う）、ブラックリスト管理部300、ブラックリストのデータベース400、コマンド発行部（遮断・解徐コマンド発行部とも言う）500とからなり、スキャン攻撃の際に使用されるTCPコネクションを検知し、TCPコネクションへの応答を選択的に遅くするthrottlingを用いてスキャン攻撃を抑制するものである。
受信解析部100は、図３−１と図３−２に示すパケット解析フロー１及び２に記載のように、インターネット側から受信したパケットについて、予め登録してある信頼できる送信元及び適用外のアプリケーション（宛先ポート番号）以外のときに、そのパケットが通信開始要求パケット（SYN）であれば、送信元IPアドレスを抽出し、その通信開始要求に対する内部からの応答を待ち、それが無い場合、代理応答生成部200に代理応答を指示するとともに、ブラックリスト管理部にそのIPアドレスの記録を指示する。
具体的には、受信解析部100は、ここでは受信したパケットにthrottlingを行うかを判断するために、表１、表２に示す例のように、パケットを解析し、解析結果を保存しておく。
具体的には、受信解析部100は、ここでは受信したパケットにthrottlingを行うかを判断するために、表１、表２に示す例のように、パケットを解析し、解析結果を保存しておく。
まず、パケットを受信し、TCPヘッダ、IPヘッダの解析を行う。本装置で使用するものは、送信元IPアドレス、宛先IPアドレス、宛先ポート番号、TCPコントロールフラグビット、到着時刻の情報である。解析結果の保存では送信元IPアドレス毎および宛先IPアドレス毎に到着時刻とTCPコネクション試行回数を保存していく。到着時刻は最終アクセス時刻として使用する。TCPコントロールフラグビットのSYNフラグが１、ACKフラグが0である場合に、TCPコネクションが試行されたものとしてカウントを行う。既にIPアドレスの情報が保存されている場合には、回数、アクセス時刻の更新を行う。
解析結果をいつまでも保持していると、正規のユーザのTCPコネクションの試行回数がしきい値を超えるという問題が発生する。そのため、定期的に保存している情報を整理する。送信元IPアドレスにおいては、所定周期で、保存されている各IPアドレスの最終アクセス時間と現在時間を比較し、所定時間更新が無いアドレスの情報を破棄する。宛先IPアドレスにおいては所定周期で全ての情報を破棄する。
代理応答生成部200は、受信解析部からの指示により代理応答（SYN/ACK）を行う。
ブラックリスト管理部300は、受信解析部100からの指示によりIPアドレス、記録時間、そのIPアドレスの出現回数をデータベース400に記録し、後述のコマンド発行部からの要求により、データベース400から出現回数が所定回数以上のIPアドレスを抽出し、最後の出現時刻から所定時間以上経過しているIPアドレスをデータベースから削除する.
コマンド発行部（遮断・解徐コマンド発行部とも言う）400は、所定時間ごとにブラックリスト管理部300にデータベース400に登録されているIPアドレスの一覧の作成を指示し、それに基づいてLANスイッチのACL(Access Control List)を作成し、最後の出現時刻から所定時間以上経過しているIPアドレスをデータベース400から削除するようにブラックリスト管理部300に指示する。
LANスイッチ600（601、602）は、正常なパケットの通過、不正パケットの遮断を行う。またPCサーバとを組み合わせて負荷分散をおこなっている。
このスキャン攻撃不正侵入防御装置におけるthrottlingのアルゴリズムは、次のとおりである。
1.1 概要
スキャン攻撃はツールを用いて自動的に実行されることが多く、大抵は１つのIPアドレスから行われている。また、多くのTCPコネクションを短時間で試行する。そこで、同じIPアドレスからのTCPコネクションの開始を検知するたびに、その送信元IPアドレスに対して遅延を増加させていく。つまりTCPコネクション試行回数に応じて遅延をかけていく。これによりTCPコネクションを使用するスキャン攻撃に対してthrottlingを行う。
1.2 考慮点
TCPコネクションの試行回数から遅延時間を決定するときに次の3点について考慮する。
1.2.1 正規の利用者
SSHで、パスワードの入力を間違えるなど、正規の利用者もTCPコネクションを数回繰り返すころがある。TCPコネクションの試行回数に応じて遅延を増加させる方法だと、正規の利用者にも大きな遅延をかける可能性がある。このため、しきい値を導入する。TCPコネクション試行回数のしきい値を定め、それを超えない回数までは遅延の増加量を小さなものとする。TCPコネクション試行回数がしきい値を越えたならば、スキャン攻撃だと判断し、遅延の増加量を大きくしていく。所定時間、TCPコネクションが志向されなかったものについては、その試行回数を0にリセットする。
1.2.2 多くのTCPコネクションの試行を必要とするプロトコル
プロトコルの中には、多くのTCPコネクションを利用するものもある。HyperText Transfer Protocol（以下単にHTTPと言う）（80番）などが該当する。これらのプロトコルに関しては、遅延を行わないようにすることで解決を図る。throttlingの対象としないあて先ポート番号を記録する除外ポート番号リスト（ポート番号white listという）を作成する。TCPコネクションのあて先ポート番号がポート番号white listに該当する場合にはthrottlingを行わない。
1.2.3 信用できるホスト、公開されているサーバ
正規利用者がよく使うホストで、セキュリティ管理がきちんと行われているものからのTCPコネクション要求や、公開されているサーバで攻撃に対する対策をサーバ自身できちんと行っているものへのTCPコネクション要求に関しては、遅延をかける必要はない。これらのホスト、サーバのIPアドレスを記録する除外IPアドレスリスト（IPアドレスwhitelistという）を作成する。TCPコネクションの送信元あるいは宛先のIPアドレスがIPアドレスwhite listに該当する場合にはthrottlingを行わない。
1.3 遅延アルゴリズム
以上により、遅延アルゴリズムは以下のようになる。
(1)インターネット側からのパケットを１つ受け取る。
(2)パケットの送信元アドレス、宛先アドレス、宛先ポートのいずれかがポート番号white list、IPアドレスwhite listにある、あるいは、プロトコルフィールドがTCP以外のときは、遅延なしの内部キューに置き、(1)へ戻る。
(3)パケットがTCPコネクション開始パケット(SYN=1，ACK=0)のとき、送信元アドレス、宛先アドレスそれぞれの試行回数、遅延時間を更新する。
(4)送信元アドレスに対する遅延時間、宛先アドレスに対する遅延時間を検索し、後述の関数例１〜３によりパケットの遅延時間とする。
(5)送出時刻＝現在時刻＋遅延時間を計算し、パケット自身とともにヒープに置く。ヒープとは、パケットとその送信時刻とを蓄え、送信可能時刻が来るたびに送信部にパケットを渡す手段をいう。
(6)内部／外部の２つの送信部では、それぞれ「１」、「３」のキューを調べてパケットがあれば、すぐに送信し、さらに内部送信部では「５」のヒープ中にある一番古いパケットが送出時刻になって入れば送出する。
(7)あらかじめ設定した時間間隔（30分程度）で、データベース中に記録している各IPアドレスの参照時刻を検査し、参照時刻が古いもの（１時間程度送信開始要求がないもの）は、データベースから消去する。
ただし、LANからインターネットに向かうパケットに関しては、すべて外部キューに置き、遅延させない。
1.1 概要
スキャン攻撃はツールを用いて自動的に実行されることが多く、大抵は１つのIPアドレスから行われている。また、多くのTCPコネクションを短時間で試行する。そこで、同じIPアドレスからのTCPコネクションの開始を検知するたびに、その送信元IPアドレスに対して遅延を増加させていく。つまりTCPコネクション試行回数に応じて遅延をかけていく。これによりTCPコネクションを使用するスキャン攻撃に対してthrottlingを行う。
1.2 考慮点
TCPコネクションの試行回数から遅延時間を決定するときに次の3点について考慮する。
1.2.1 正規の利用者
SSHで、パスワードの入力を間違えるなど、正規の利用者もTCPコネクションを数回繰り返すころがある。TCPコネクションの試行回数に応じて遅延を増加させる方法だと、正規の利用者にも大きな遅延をかける可能性がある。このため、しきい値を導入する。TCPコネクション試行回数のしきい値を定め、それを超えない回数までは遅延の増加量を小さなものとする。TCPコネクション試行回数がしきい値を越えたならば、スキャン攻撃だと判断し、遅延の増加量を大きくしていく。所定時間、TCPコネクションが志向されなかったものについては、その試行回数を0にリセットする。
1.2.2 多くのTCPコネクションの試行を必要とするプロトコル
プロトコルの中には、多くのTCPコネクションを利用するものもある。HyperText Transfer Protocol（以下単にHTTPと言う）（80番）などが該当する。これらのプロトコルに関しては、遅延を行わないようにすることで解決を図る。throttlingの対象としないあて先ポート番号を記録する除外ポート番号リスト（ポート番号white listという）を作成する。TCPコネクションのあて先ポート番号がポート番号white listに該当する場合にはthrottlingを行わない。
1.2.3 信用できるホスト、公開されているサーバ
正規利用者がよく使うホストで、セキュリティ管理がきちんと行われているものからのTCPコネクション要求や、公開されているサーバで攻撃に対する対策をサーバ自身できちんと行っているものへのTCPコネクション要求に関しては、遅延をかける必要はない。これらのホスト、サーバのIPアドレスを記録する除外IPアドレスリスト（IPアドレスwhitelistという）を作成する。TCPコネクションの送信元あるいは宛先のIPアドレスがIPアドレスwhite listに該当する場合にはthrottlingを行わない。
1.3 遅延アルゴリズム
以上により、遅延アルゴリズムは以下のようになる。
(1)インターネット側からのパケットを１つ受け取る。
(2)パケットの送信元アドレス、宛先アドレス、宛先ポートのいずれかがポート番号white list、IPアドレスwhite listにある、あるいは、プロトコルフィールドがTCP以外のときは、遅延なしの内部キューに置き、(1)へ戻る。
(3)パケットがTCPコネクション開始パケット(SYN=1，ACK=0)のとき、送信元アドレス、宛先アドレスそれぞれの試行回数、遅延時間を更新する。
(4)送信元アドレスに対する遅延時間、宛先アドレスに対する遅延時間を検索し、後述の関数例１〜３によりパケットの遅延時間とする。
(5)送出時刻＝現在時刻＋遅延時間を計算し、パケット自身とともにヒープに置く。ヒープとは、パケットとその送信時刻とを蓄え、送信可能時刻が来るたびに送信部にパケットを渡す手段をいう。
(6)内部／外部の２つの送信部では、それぞれ「１」、「３」のキューを調べてパケットがあれば、すぐに送信し、さらに内部送信部では「５」のヒープ中にある一番古いパケットが送出時刻になって入れば送出する。
(7)あらかじめ設定した時間間隔（30分程度）で、データベース中に記録している各IPアドレスの参照時刻を検査し、参照時刻が古いもの（１時間程度送信開始要求がないもの）は、データベースから消去する。
ただし、LANからインターネットに向かうパケットに関しては、すべて外部キューに置き、遅延させない。
既存のファイアウォール、IDP（Intrusion Detention and Prevention System）では、あらかじめ作成されたパターンのデーターベース400を持ち、それに合致するパケットのみの侵入を阻止するが、本発明装置は、怪しい動き（多数の通信開始要求）を検知し、本装置自身がデーターベース400を構築する優れた装置である。このため本装置単体で製品化することの他、本装置のアルゴリズムを、既存のファイアウォールの中に組み込可能であるなどインターネット通信産業などに広く活用されるものである。
100 受信解析部
200 代理応答生成部（偽応答生成部とも言う）
300 ブラックリスト管理部
400 ブラックリストのデータベース
500 コマンド発行部（遮断・解徐コマンド発行部とも言う）
200 代理応答生成部（偽応答生成部とも言う）
300 ブラックリスト管理部
400 ブラックリストのデータベース
500 コマンド発行部（遮断・解徐コマンド発行部とも言う）
Claims (1)
- インターネット側から受信したパケットについて、予め登録してある信頼できる送信元及び適用外のアプリケーション（宛先ポート番号）以外のときに、そのパケットが通信開始要求パケット（SYN）であれば、送信元IPアドレスを抽出し、その通信開始要求に対する内部からの応答を待ち、それが無い場合、代理応答生成部(200)に代理応答を指示するとともに、ブラックリスト管理部(300)にそのIPアドレスの記録を指示する受信解析部(100)と、
受信解析部(100)からの指示により代理応答（SYN/ACK）を行う代理応答生成部(200)と、
受信解析部(100)からの指示によりIPアドレス、記録時間、そのIPアドレスの出現回数をデータベースに記録し、後述のコマンド発行部(500)からの要求により、データベース(400)から出現回数が所定回数以上のIPアドレスを抽出し、最後の出現時刻から所定時間以上経過しているIPアドレスをデータベース(400)から削除するブラックリスト管理部(300)と、
所定時間ごとにブラックリスト管理部(300)にデータベース(400)に登録されているIPアドレスの一覧の作成を指示し、それに基づいてLANスイッチのACL(Access Control List)を作成し、最後の出現時刻から所定時間以上経過しているIPアドレスをデータベース(400)から削除するようにブラックリスト管理部(300)に指示するコマンド発行部(500)と、
からなることを特徴とするスキャン攻撃不正侵入防御装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2009055738A JP2010212916A (ja) | 2009-03-09 | 2009-03-09 | スキャン攻撃不正侵入防御装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2009055738A JP2010212916A (ja) | 2009-03-09 | 2009-03-09 | スキャン攻撃不正侵入防御装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2010212916A true JP2010212916A (ja) | 2010-09-24 |
Family
ID=42972661
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2009055738A Pending JP2010212916A (ja) | 2009-03-09 | 2009-03-09 | スキャン攻撃不正侵入防御装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2010212916A (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR102015897B1 (ko) * | 2018-10-24 | 2019-08-28 | (주) 세인트 시큐리티 | 악성 코드 분석을 위한 모조 응답 패킷을 생성하는 네트워크 접속 유도 방법 |
| JP7391727B2 (ja) | 2020-03-11 | 2023-12-05 | アラクサラネットワークス株式会社 | 中継装置 |
Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2008015786A (ja) * | 2006-07-06 | 2008-01-24 | Hitachi Ltd | アクセス制御システム及びアクセス制御サーバ |
-
2009
- 2009-03-09 JP JP2009055738A patent/JP2010212916A/ja active Pending
Patent Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2008015786A (ja) * | 2006-07-06 | 2008-01-24 | Hitachi Ltd | アクセス制御システム及びアクセス制御サーバ |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR102015897B1 (ko) * | 2018-10-24 | 2019-08-28 | (주) 세인트 시큐리티 | 악성 코드 분석을 위한 모조 응답 패킷을 생성하는 네트워크 접속 유도 방법 |
| JP7391727B2 (ja) | 2020-03-11 | 2023-12-05 | アラクサラネットワークス株式会社 | 中継装置 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US20220045990A1 (en) | Methods and systems for api deception environment and api traffic control and security | |
| US9197664B1 (en) | System and method for malware containment | |
| Wang et al. | Honeypot detection in advanced botnet attacks | |
| Harris et al. | TCP/IP security threats and attack methods | |
| Geer | Malicious bots threaten network security | |
| US8423645B2 (en) | Detection of grid participation in a DDoS attack | |
| US8170020B2 (en) | Leveraging active firewalls for network intrusion detection and retardation of attack | |
| US20070033645A1 (en) | DNS based enforcement for confinement and detection of network malicious activities | |
| JP2007521718A (ja) | セキュリティブリーチ検知に対するネットワークのクオリティオブサービスを保護するシステムおよび方法 | |
| JP2010015513A (ja) | マルウェア検知システム、マルウェア検知方法及びマルウェア検知プログラム | |
| US11223635B2 (en) | Inception of suspicious network traffic for enhanced network security | |
| CN110166480B (zh) | 一种数据包的分析方法及装置 | |
| WO2011012056A1 (zh) | 一种僵尸网络检测方法及系统以及相关设备 | |
| US20110023088A1 (en) | Flow-based dynamic access control system and method | |
| Tariq et al. | A comprehensive categorization of DDoS attack and DDoS defense techniques | |
| JP4304249B2 (ja) | スキャン攻撃不正侵入防御装置 | |
| KR101463873B1 (ko) | 정보 유출 차단 장치 및 방법 | |
| JP2010212916A (ja) | スキャン攻撃不正侵入防御装置 | |
| Khamruddin et al. | A rule based DDoS detection and mitigation technique | |
| Jhi et al. | PWC: A proactive worm containment solution for enterprise networks | |
| Djalaliev et al. | Sentinel: hardware-accelerated mitigation of bot-based DDoS attacks | |
| Lema et al. | Preventing utilization of shared network resources by detecting ip spoofing attacks through validation of source IP address | |
| JP2008165601A (ja) | 通信監視システム、通信監視装置、及び通信制御装置 | |
| Song et al. | Network iron curtain: hide enterprise networks with openflow | |
| Prasad et al. | An efficient flash crowd attack detection to internet threat monitors (itm) using honeypots |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20110519 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20110525 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20111019 |