JP2018182618A - パケット処理装置、パケット処理方法、及び、パケット処理プログラム - Google Patents

Abstract

【課題】サイバー攻撃に対する防御力を向上させる。【解決手段】パケットを受信する受信部と、サーバへのアクセスの禁止対象である送信元の情報を含むアクセス禁止リストと、アクセス禁止リストへの登録の対象候補である送信元からのパケットの属性情報を含むアクセス禁止候補リストと、を記憶する記憶部と、サービス提供に用いられていない宛先ポート番号が含まれているパケットが受信された場合に、当該パケットの属性情報をアクセス禁止候補リストに登録し、アクセス禁止候補リストに登録されている属性情報のいずれかに一致する属性情報が含まれるパケットが受信された場合に、パケットの送信元の情報をアクセス禁止リストに登録する制御部と、を備えるパケット処理装置である。【選択図】図１

Description

本発明は、パケット処理装置、パケット処理方法、及び、パケット処理プログラムに関する。

サイバー攻撃に対する防御方法の一つとして、例えば、攻撃者からの通信を特定し、フィルタリングすることが行われている。

特開２００８−１７７７１４号公報 特開２０１０−２１２９１６号公報 特開２００４−３０４７５２号公報

しかしながら、サイバー攻撃は、高度化しており、手法を変えて執拗に行われる傾向にある。例えば、ＡＰＴ（Advanced Persistent Threat）攻撃と呼ばれるタイプの攻撃では、ターゲットに対して持続的に攻撃が行われる。そのため、サイバー攻撃からシステムを防御することが困難になってきている。

本発明の一態様は、サイバー攻撃に対する防御力を向上可能なパケット処理装置、パケット処理方法、及び、パケット処理プログラムを提供することを目的とする。

本発明の態様の一つは、パケット処理装置である。パケット処理装置は、受信部と、記憶部と、制御部とを備える。受信部は、パケットを受信する。記憶部は、サーバへのアクセスの禁止対象である送信元の情報を含むアクセス禁止リストと、アクセス禁止リストへの登録の対象候補である送信元からのパケットの属性情報を含むアクセス禁止候補リストと、を記憶する。制御部は、サービス提供に用いられていない宛先ポート番号が含まれるパケットが受信された場合に、当該パケットの属性情報をアクセス禁止候補リストに登録する。また、制御部は、アクセス禁止候補リストに登録されている属性情報のいずれかに一致する属性情報が含まれるパケットが受信された場合に、当該パケットの送信元の情報をアクセス禁止リストに登録する。

開示のパケット処理装置、通信システム、パケット処理方法、及び、パケット処理プログラムによれば、サイバー攻撃に対する防御力を向上させることができる。

図１は、第１実施形態に係るネットワークシステムのシステム構成の一例を示す図である。 図２は、サイバー攻撃の一例を示す図である。 図３は、セキュリティＧＷのハードウェア構成の一例を示す図である。 図４は、セキュリティＧＷの機能構成の一例を示す図である。 図５は、管理者リストの一例である。 図６は、サービス提供ポートリストの一例である。 図７は、攻撃者リストの一例である。 図８は、攻撃被疑者リストの一例である。 図９は、第１実施形態に係るセキュリティＧＷのパケット判定部の処理のフローチャートの一例を示す図である。 図１０は、第２実施形態に係るセキュリティＧＷのパケット判定部の処理のフローチャートの一例である。

以下、図面に基づいて、本発明の実施の形態を説明する。以下の実施形態の構成は例示であり、本発明は実施形態の構成に限定されない。

＜第１実施形態＞
図１は、第１実施形態に係るネットワークシステム１００のシステム構成の一例を示す図である。ネットワークシステム１００は、例えば、企業等の組織の私設ネットワークである。ただし、図１には、インターネットも示されている。

ネットワークシステム１００は、複数のネットワークを含む。例えば、ネットワークシステム１００は、部門ごとのネットワーク、各種サーバを含むサーバ群ネットワーク５０Ａ、監視サーバを含む監視サーバ群ネットワーク５０Ｂを含む。部門ごとのネットワークには、各部門のユーザ端末が接続されている。

サーバ群ネットワーク５０Ａは、例えば、ファイルサーバ、メールサーバ、ウェブサーバ等を含む。また、サーバ群ネットワーク５０Ａは、架空のサービスを提供する偽サーバ２を含む。偽サーバ２によって提供されるサービスは、ネットワークシステム１００内のいずれの端末及びサーバからも独立したサービスである。サーバによって提供されるサービスとは、例えば、通信を伴うアプリケーション、プロトコル等である。

サーバ群ネットワーク５０Ａでは、各種サーバは、セキュリティゲートウェイ（ＧＷ）１に接続されている。セキュリティＧＷ １は、例えば、サーバ群ネットワーク５０Ａに含まれるサーバ宛ての通信を監視し、攻撃者からの通信を特定する。セキュリティＧＷ １は、第１実施形態では、特定した攻撃者からの通信を偽サーバ２へ転送する。

偽サーバ２はネットワークシステム１００内のいずれの装置からも独立したサービスを提供しているので、攻撃者からの通信が偽サーバ２に転送されることによって、攻撃者からの通信を隔離することができる。また、攻撃者には偽サーバ２によって架空のサービスが提供されるので、ネットワークシステム１００内のサーバへの侵入が成功したように見せかけることができ、攻撃者からの再度の攻撃を抑制することができる。

監視サーバ群ネットワーク５０Ｂは、ネットワークシステム１００を監視し、異常の発生を検知する複数の監視サーバを含む。監視サーバの監視対象には、例えば、装置のハードウェア状態、サービスの状態、トラフィックがある。また、監視サーバの監視対象には、サイバー攻撃の有無も含まれる。

第１実施形態では、セキュリティＧＷ １は、攻撃者からの通信を検出すると、監視サーバにアラートを通知する。これによって、ネットワークシステム１００のシステム管理者に攻撃者からのアクセスが通知され、システム管理者は対策を行うことができる。

図２は、サイバー攻撃の一例を示す図である。（１）攻撃者は、例えば、インターネットを介して、ネットワークシステム１００内の端末３に電子メールを送信する。攻撃者から送信される電子メールは、例えば、標的型攻撃メールと呼ばれる、特定の宛先に対して
送信される電子メールである。また、攻撃者から送信される電子メールには、例えば、添付ファイル等の形式でマルウェアが含まれている。

（２）端末３のユーザが標的型攻撃メールを開封し、例えば、添付ファイルを開いてしまうと、端末３上でマルウェアが実行される。例えば、マルウェアが端末３を遠隔操作可能にするものである場合には、端末３のユーザは添付ファイルを開くことによって、攻撃者による端末３の遠隔操作が可能になる。

（３）攻撃者は端末３を遠隔操作して、サーバ群ネットワーク５０Ａに含まれるサーバに対し、ＵＤＰ（User Datagram Protocol）ポートスキャンを行う。ＵＤＰポートスキャンとは、対象のサーバに対して１又は複数のポート番号にＵＤＰデータを送信し、ポートの開閉状況を取得することである。

ポートの開閉状況とは、当該ポートが外部からの接続要求の受付を許可しているか否かである。ポートの開閉状況は、例えば、システム管理者によって設定される。ポートが開いている状態の場合には、外部からの接続要求を受け付け可能であることが示される。ポートが閉じた状態の場合には、外部からの接続要求が受け付けられないことが示される。

サービス提供に用いられるポートは、通常、開いている状態に設定される。一方、サービス提供に用いられないポートは、セキュリティの観点から、通常、閉じた状態に設定される。

攻撃者は開いている状態のポートからサーバに侵入する。そのため、ＵＤＰポートスキャンは、対象のサーバへ侵入する事前準備として行われることが多い。

宛先ポートが閉じた状態である場合には、宛先のサーバから送信元にＩＣＭＰ（Internet Control Message Protocol）のエラーメッセージが返されることがＲＦＣ（Request for Comments）によって規定されている。宛先ポートが開いている状態である場合には、
送信元にＩＣＭＰエラーメッセージは返されない。宛先ポートが閉じている状態である場合に送信元に返信されるＩＣＭＰエラーメッセージは、タイプ２（Destination Unreachable）、コード３（Port Unreachable）のメッセージである。

ＩＣＭＰエラーメッセージを受信することで、攻撃者はＩＣＭＰエラーメッセージの応答の起因となるＵＤＰデータの宛先ポート番号のポートが閉じている状態であるという情報を取得することができる。また、ＩＣＭＰエラーメッセージからは、ポートの開閉状況に加えて、例えば、ＩＰヘッダの情報や受信パターン等から対象のサーバのＯＳ情報も取得することができる。

（４）攻撃者は、ＵＤＰポートスキャンの結果によって開いている状態のポート番号を特定し、当該ポートから対象のサーバに対して侵入を試みる。

なお、ＵＤＰポートスキャンで特定される、開いている状態のポートはＵＤＰのポートである。一方、サーバに侵入する際にはＴＣＰが用いられることが多い。ＵＤＰとＴＣＰでは、それぞれ独立してポート番号が管理されており、同じポート番号であっても互いに異なるポートである。したがって、ＵＤＰポートスキャンで特定される、開いている状態のＵＤＰポートと同じ番号のＴＣＰのポートが開いている状態であるとは限らない。

ただし、一般的には、ＴＣＰ又はＵＤＰ一方のポート番号が所定のサービスに予約されている場合には、もう一方の同じポート番号も予約されることが多い。それとともに、ＴＣＰ又はＵＤＰの一方のポート番号のポートが所定のサービスの稼働によって開いている
状態である場合には、もう一方の同じ番号のポートが他のサービスによって用いられている可能性は低く、開いている状態である可能性がある。

サイバー攻撃ではこの点が利用され、例えば、図２に示されるような順序でサーバへの侵入が試みられる。サイバー攻撃で、まずＵＤＰポートスキャンが行われるのは、例えば、ＵＤＰのデータ形式がシンプルであり、ＵＤＰのデータ形式から、攻撃者からのパケットであると特定されづらい為である。

サービス提供に用いられているポート番号は、少なくともネットワークシステム１００内の当該サービスを利用する装置には公開されており、サービス提供に用いられているポートへのアクセスは許可対象である。ＵＤＰポートスキャンでは、例えば、全てのポート又はランダムに選択された１又は複数のポートに対してＵＤＰデータが送信される。そのため、ＵＤＰポートスキャンでは、サービス提供に用いられていないポートに対してもＵＤＰデータが送信される。

しかしながら、サービス提供に用いられていないポートには、例えば、設定変更の未反映等によって、正規のユーザからＵＤＰデータが送信されることもある。そのため、サービス提供に用いられていないポートへアクセスするパケットが攻撃者からのものであるのか正規のユーザからのものであるのかを特定することは困難である。

第１実施形態では、セキュリティＧＷ １は、攻撃者からの通信か正規のユーザからの通信かが不明なパケットを検出し、当該パケットの属性情報を攻撃被疑者リストに記録する。パケットの属性情報は、例えば、宛先ＩＰアドレス及び送信元ＩＰアドレス、宛先ポート番号を含む情報である。

このとき、サービス提供に用いられていないポート番号を宛先ポート番号とするＵＤＰパケットはＵＤＰポートスキャンのパケットである可能性がある。そのため、セキュリティＧＷ １は、宛先のサーバから当該パケットの送信元へＩＣＭＰエラーメッセージによる応答が返されないように、当該ＵＤＰパケットを宛先のサーバに転送せずに、当該ＵＤＰパケットを破棄する。これによって、攻撃者にＩＣＭＰエラーメッセージが返されないので、攻撃者に対して、サービス提供に用いられていないポートをサービス提供に用いられているポートに見せかける。

また、ＩＣＭＰエラーメッセージからサーバのＯＳ情報等も取得可能であるので、ＩＣＭＰエラーメッセージによる応答が攻撃者に返されないことによって、攻撃者に対して対象のサーバに関する情報を提供することを抑制することができる。

セキュリティＧＷ １は、その後、攻撃被疑者リストに記録された属性情報と少なくとも一部が一致する属性情報を有するパケットを受信した場合に、当該パケットを攻撃者からのパケットと判定して、偽サーバ２に転送するとともに、監視サーバにアラームを通知する。これによって、攻撃者に対してサーバへの侵入が成功したと誤認させ、さらなる攻撃を行わせないように誘導する。このようにして、第１実施形態では、サーバへの侵入成功を見せかけて攻撃者の攻撃意欲を低下させることによって、結果として、サイバー攻撃に対する防御力を高める。

＜装置構成＞
図３は、セキュリティＧＷ １のハードウェア構成の一例を示す図である。セキュリティＧＷ １は、例えば、専用のコンピュータ、又は、汎用のコンピュータである。また、セキュリティＧＷ １は、レイヤ３スイッチ、ルータ等のデータ中継を行う通信装置であってもよい。図３では、セキュリティＧＷ １が専用のコンピュータであることを想定し
たハードウェア構成が示されている。

セキュリティＧＷ １は、ハードウェア構成要素として、ＣＰＵ（Central Processing
Unit）１０１、主記憶装置１０２、補助記憶装置１０３、ネットワークインタフェース
１０４を備え、これらはバスによって電気的に接続される。

補助記憶装置１０３は、例えば、ＥＰＲＯＭ（Erasable Programmable ROM）、又はハ
ードディスクドライブ（Hard Disk Drive）等の不揮発性の記憶媒体である。補助記憶装
置１０３は、例えば、ＯＳ（Operating System）、セキュリティプログラム１０３Ｐ、その他アプリケーションプログラムを格納する。セキュリティプログラム１０３Ｐは、攻撃者からの通信と疑われるパケットを検出して当該パケットの属性情報を攻撃被疑者リストに登録し、その後、攻撃被疑者リストに一致する属性情報を有するパケットを受信した場合に、攻撃者を特定するためのプログラムである。補助記憶装置１０３は、「記憶部」の一例である。

主記憶装置１０２は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）を含む。ＲＡＭは、例えば、ＤＲＡＭ（Dynamic RAM）、ＳＲＡＭ（Static RAM
）、ＳＤＲＡＭ（Synchronous DRAM）、のような半導体メモリである。主記憶装置１０
２のＲＡＭは、ＣＰＵ １０１に、ＲＯＭや補助記憶装置１０３に格納されているプログラムをロードする記憶領域および作業領域を提供したり、バッファとして用いられたりする。

ＣＰＵ １０１は、補助記憶装置１０３に保持されたＯＳやプログラムをＲＡＭにロードして実行することによって、様々な処理を実行する。ＣＰＵ １０１は、複数であってもよい。ＣＰＵ １０１は、「制御部」の一例である。

ネットワークインタフェース１０４は、例えば、複数備えられる。ネットワークインタフェース１０４は、ネットワークとの情報の入出力を行うインタフェース、サーバを接続するインタフェースである。ネットワークインタフェース１０４は、有線のネットワークと接続するインタフェースである。また、ネットワークインタフェース１０４には、無線のネットワークと接続するインタフェースが含まれてもよい。ネットワークインタフェース１０４は、例えば、ＮＩＣ（Network Interface Card）、無線ＬＡＮ（Local Area Network）カード等である。ネットワークインタフェース１０４で受信されたデータ等は、ＣＰＵ １０１に出力される。ネットワークインタフェース１０４は、「受信部」の一例である。

なお、図３に示されるセキュリティＧＷ １のハードウェア構成は、一例であり、上記に限られず、実施の形態に応じて、適宜、構成要素の省略や置換、追加が可能である。例えば、セキュリティＧＷ １は、可搬記録媒体駆動装置を備え、ＳＤカード等の可搬記録媒体を補助記憶装置の一つとして使用してもよい。また、例えば、セキュリティＧＷ １が備えるネットワークインタフェース１０４は１つであってもよく、この場合には、ネットワークインタフェース１０４はスイッチやハブ等のネットワーク装置を接続し、当該スイッチに各サーバが接続される。

図４は、セキュリティＧＷ １の機能構成の一例を示す図である。セキュリティＧＷ １は、機能構成要素として、パケット判定部１１、パケット処理部１２、接続ポート制御部１３、偽装ＩＣＭＰ処理部１４、攻撃者リスト１５、攻撃被疑者リスト１６、管理者リスト１７、サービス提供ポートリスト１８を備える。これらの機能構成要素は、例えば、セキュリティＧＷ １のＣＰＵ １０１がセキュリティプログラム１０３Ｐを実行することによって達成される。

パケット判定部１１は、サーバ群ネットワーク５０Ａ外（外部）のネットワークに接続するネットワークインタフェース１０４に接続している。パケット判定部１１は、サーバ群ネットワーク５０Ａ外（外部）のネットワークに接続するネットワークインタフェース１０４からパケットの入力を受ける。パケット判定部１１に入力されるパケットは、サーバ群ネットワーク５０Ａ外からサーバ群ネットワーク５０Ａ内のサーバ宛てのパケットである。

パケット判定部１１は、例えば、攻撃者リスト１５、攻撃被疑者リスト１６、管理者リスト１７、サービス提供ポートリスト１８に記憶される情報に基づいて、入力されたパケットが攻撃者、攻撃被疑者、システム管理者、正規ユーザのいずれからのものであるかを判定する。攻撃被疑者とは、攻撃者である可能性の高い者のことである。

例えば、入力されたパケットの送信元ＩＰアドレスが攻撃者リスト１５に登録されているいずれかのＩＰアドレスに一致する場合には、パケット判定部１１は、入力されたパケットが攻撃者からのものであると判定する。例えば、入力されたパケットの属性情報が攻撃被疑者リスト１６に登録されているいずれかの属性情報に一致する場合には、パケット判定部１１は、入力されたパケットが攻撃者からのものであると判定する。

例えば、入力されたパケットの送信元ＩＰアドレスが後述の管理者リスト１７に登録されているいずれかのＩＰアドレスに一致する場合には、パケット判定部１１は、入力されたパケットがシステム管理者からのものであると判定する。

例えば、入力されたパケットの宛先ポート番号が後述のサービス提供ポートリスト１８に登録されているいずれかのポート番号に一致する場合には、パケット判定部１１は、入力されたパケットが正規のユーザからのものであると判定する。

また、例えば、入力されたパケットの宛先ポート番号が後述のサービス提供ポートリスト１８に登録されているいずれのポート番号にも一致しない場合には、パケット判定部１１は、入力されたパケットが攻撃被疑者からのものであると判定する。

パケット判定部１１は、判定結果に応じて、当該パケットをパケット処理部１２、接続ポート制御部１３、偽装ＩＣＭＰ処理部１４のいずれかに出力する。例えば、パケット判定部１１は、入力されたパケットが正規ユーザ又はシステム管理者からのものであると判定した場合には、当該パケットをパケット処理部１２に出力する。例えば、パケット判定部１１は、入力されたパケットが攻撃者からのものであると判定した場合には、当該パケットを接続ポート制御部１３に出力する。例えば、パケット判定部１１は、入力されたパケットが攻撃被疑者からのものであると判定し、当該入力パケットがＵＤＰのパケットである場合には、当該パケットを偽装ＩＣＭＰ処理部１４に出力する。

また、パケット判定部１１は、入力されたパケットが攻撃被疑者からのものであると判定した場合には、当該パケットの属性情報を攻撃被疑者リスト１６に登録する。また、パケット判定部１１は、入力されたパケットが攻撃者からのものであると判定した場合には、当該パケットの送信元ＩＰアドレスを攻撃者リスト１５に登録する。パケット判定部１１の処理の詳細は、後述される。

パケット処理部１２は、正規サーバを接続するネットワークインタフェース１０４と接続されている。正規サーバとは、実際に運用されているサービスを提供するサーバである。パケット処理部１２は、パケット判定部１１からパケットの入力を受け、入力されたパケットをサーバ群ネットワーク５０Ａ内の正規サーバを接続するネットワークインタフェ
ース１０４に出力する。すなわち、パケット処理部１２が出力するパケットは、正規サーバ宛てのパケットである。

接続ポート制御部１３は、偽サーバ２を接続するネットワークインタフェース１０４と接続されている。接続ポート制御部１３は、パケット判定部１１からパケットの入力を受け、入力されたパケットをサーバ群ネットワーク５０Ａ内の偽サーバ２を接続するネットワークインタフェース１０４に出力する。すなわち、接続ポート制御部１３が出力するパケットは、偽サーバ２に転送される。

偽装ＩＣＭＰ処理部１４は、パケット判定部１１からパケットの入力を受ける。偽装ＩＣＭＰ処理部１４に入力されるパケットは、第１実施形態では、攻撃被疑者からのものと判定されたＵＤＰパケットである。偽装ＩＣＭＰ処理部１４は、入力されたパケットを宛先のサーバに代わって処理する。具体的には、偽装ＩＣＭＰ処理部１４は、入力されたパケットを廃棄して、当該入力パケットの送信元からの通信を終端させる。偽装ＩＣＭＰ処理部１４が、入力されたパケットを破棄することによって、当該パケットは宛先のサーバに転送されず、宛先のサーバが当該パケットの送信元にＩＣＭＰエラーメッセージを送信することを抑制する。

攻撃者リスト１５、攻撃被疑者リスト１６、管理者リスト１７、サービス提供ポートリスト１８は、例えば、セキュリティＧＷ １の補助記憶装置１０３に記憶されている。攻撃者リスト１５には、攻撃者からのものであると判定されたパケットの送信元ＩＰアドレスが格納されている。攻撃被疑者リスト１６には、攻撃被疑者からのものであると判定されたパケットの属性情報が格納されている。パケットの属性情報は、例えば、宛先ＩＰアドレス及び送信元ＩＰアドレス、宛先ポート番号等を含む情報である。

管理者リスト１７には、ネットワークシステム１００のシステム管理者のＩＰアドレスが格納されている。サービス提供ポートリスト１８には、サーバ群ネットワーク５０Ａ内のサーバによって提供されている運用中のサービスによって用いられているポート番号が格納されている。攻撃者リスト１５、攻撃被疑者リスト１６、管理者リスト１７、サービス提供ポートリスト１８の詳細は後述される。

なお、１つのネットワークインタフェース１０４にスイッチ又はハブを介して正規サーバと偽サーバ２とが接続されている場合には、パケット処理部１２及び接続ポート制御部１３がそれぞれ同一の当該ネットワークインタフェース１０４に接続される。また、この場合には、例えば、偽サーバ２に転送されるパケットは、接続ポート制御部１３によって宛先ＩＰアドレスが正規サーバから偽サーバ２に変換される。

図５は、管理者リスト１７の一例である。管理者リスト１７は、ネットワークシステム１００のシステム管理者に関する情報を格納するリストである。図５に示される例の管理者リスト１７には、例えば、システム管理者のユーザ名、システム管理者の使用端末に割り当てられているＩＰアドレス等が格納されている。管理者リスト１７は、システム管理者の増減に応じて、システム管理者によって更新される。管理者リスト１７は、いわゆる「ホワイトリスト」に相当する。システム管理者は、正規のユーザの一部である。

図６は、サービス提供ポートリスト１８の一例である。サービス提供ポートリスト１８は、サーバ群ネットワーク５０Ａに含まれる正規サーバによって提供されるサービスに関する情報が格納されている。図６に示される例のサービス提供ポートリスト１８には、サーバ名、サービス提供に用いられるポート番号（サービス提供ポート番号）、サービス提供に用いられるアプリケーション名（提供アプリケーション）が格納されている。

サービス提供ポートリスト１８は、サーバ群ネットワーク５０Ａに含まれる正規サーバによって提供されるサービスの増減に応じて、システム管理者によって更新される。サービス提供ポートリスト１８に登録されていないポート番号は、「サービス提供に用いられていない」ポート番号の一例である。

図７は、攻撃者リスト１５の一例である。攻撃者リスト１５には、攻撃者に関する情報が格納されている。図７に示される攻撃者リスト１５には、登録日と攻撃者のＩＰアドレスとが格納されている。攻撃者リスト１５は、パケット判定部１１又はシステム管理者によって更新される。

例えば、攻撃者リスト１５にネットワークシステム１００内の端末のＩＰアドレスが登録された場合には、システム管理者は、当該端末の状況を確認する等の対応を行う。その後、当該端末が問題なしと判定された場合には、当該端末の情報がシステム管理者によって攻撃者リスト１５から削除される。攻撃者リスト１５は、「アクセス禁止リスト」の一例である。攻撃者は、「サーバへのアクセスの禁止対象である送信元」の一例である。攻撃者リスト１５に登録されるＩＰアドレスは、「サーバへのアクセスの禁止対象である送信元の情報」の一例である。

図８は、攻撃被疑者リスト１６の一例である。攻撃被疑者リスト１６には、攻撃者である可能性のある攻撃被疑者に関する情報が格納されている。図８に示されている攻撃被疑者リスト１６には、攻撃被疑者からのものであると判定されたパケットの受信日、受信時刻、宛先ポート番号、宛先ＩＰアドレス、送信元ＩＰアドレスが格納されている。攻撃被疑者リスト１６は、パケット判定部１１又はシステム管理者によって更新される。

例えば、攻撃被疑者リスト１６に登録されてから所定時間経過すると、パケット判定部１１又はシステム管理者によって、当該エントリが攻撃被疑者リスト１６から削除される。攻撃被疑者リスト１６のエントリが攻撃被疑者リスト１６に保持される時間は、例えば、数か月から年の単位で設定される。攻撃被疑者リスト１６は、「アクセス禁止候補リスト」の一例である。攻撃被疑者は、「アクセス禁止リストへの登録の対象候補の送信元」の一例である。攻撃被疑者リスト１６に登録される宛先ＩＰアドレス及び送信元ＩＰアドレスは、「アクセス禁止リストへの登録の対象候補の送信元からのパケットの属性情報」の一例である。

なお、図５〜図８に示されるそれぞれのリストのデータ構造は一例であって、各リストのデータ構造は図５〜図８に示される例に限定されない。

＜処理の流れ＞
図９は、第１実施形態に係るセキュリティＧＷ １のパケット判定部１１の処理のフローチャートの一例を示す図である。図９に示される処理は、例えば、セキュリティＧＷ １がサーバ群ネットワーク５０Ａ外からパケットを受信した場合に開始される。なお、図９に示される処理の実行主体は、セキュリティプログラム１０３Ｐを実行するＣＰＵ １０１であるが、便宜上、機能構成要素であるパケット判定部１１を主体として説明される。

ＯＰ１では、パケット判定部１１は、受信パケットの送信元ＩＰアドレスが攻撃者リスト１５に登録されているいずれかのＩＰアドレスに一致するか否かを判定する。受信パケットの送信元ＩＰアドレスはＩＰヘッダ内に含まれている。受信パケットの送信元ＩＰアドレスが攻撃者リスト１５に登録されているいずれかのＩＰアドレスに一致する場合には（ＯＰ１：ＹＥＳ）、パケット判定部１１は、受信パケットが攻撃者からのものであると判定し、処理がＯＰ１１に進む。受信パケットの送信元ＩＰアドレスが攻撃者リスト１５
に登録されているいずれのＩＰアドレスにも一致しない場合には（ＯＰ１：ＮＯ）、処理がＯＰ２に進む。

ＯＰ２では、パケット判定部１１は、受信パケットの送信元ＩＰアドレスが管理者リスト１７に登録されているいずれかのＩＰアドレスに一致するか否かを判定する。受信パケットの送信元ＩＰアドレスが管理者リスト１７に登録されているいずれかのＩＰアドレスに一致する場合には（ＯＰ２：ＹＥＳ）、パケット判定部１１は、受信パケットがシステム管理者からのものであると判定し、処理がＯＰ４に進む。受信パケットの送信元ＩＰアドレスが管理者リスト１７に登録されているいずれのＩＰアドレスにも一致しない場合には（ＯＰ２：ＮＯ）、処理がＯＰ３に進む。

ＯＰ３では、パケット判定部１１は、受信パケットの宛先ポート番号がサービス提供ポートリスト１８に登録されているいずれかのポート番号に一致するか否かを判定する。受信パケットの宛先ポート番号は、受信パケットのＵＤＰ又はＴＣＰヘッダ内に含まれている。受信パケットの宛先ポート番号がサービス提供ポートリスト１８に登録されているいずれかのポート番号に一致する場合には（ＯＰ３：ＹＥＳ）、パケット判定部１１は、受信パケットが正規ユーザからのものであると判定し、処理がＯＰ４に進む。受信パケットの宛先ポート番号がサービス提供ポートリスト１８に登録されているいずれのポート番号にも一致しない場合には（ＯＰ３：ＮＯ）、処理がＯＰ５に進む。

ＯＰ４では、受信パケットがシステム管理者又は正規ユーザからのものであると判定したので、パケット判定部１１は、受信パケットをパケット処理部１２に出力する。これによって、受信パケットは、パケット処理部１２によって宛先のサーバに転送され、宛先のサーバによって処理される。その後、図９に示される処理が終了する。

ＯＰ５では、パケット判定部１１は、受信パケットがＵＤＰのパケットであるか否かを判定する。受信パケットがＵＤＰであることは、受信パケットのＩＰヘッダ内のプロトコルフィールドが「１７」であることによって示される。受信パケットがＵＤＰのパケットである場合には（ＯＰ５：ＹＥＳ）、パケット判定部１１は、受信パケットが攻撃被疑者からのものであると判定し、処理がＯＰ６に進む。受信パケットがＵＤＰのパケットでない場合には（ＯＰ５：ＮＯ）、処理がＯＰ７に進む。

ＯＰ６では、パケット判定部１１は、受信パケットがサービス提供されていないポートへのＵＤＰアクセスであり、受信パケットがＵＤＰポートスキャンのパケットである可能性が高い為、受信パケットを偽装ＩＣＭＰ処理部１４に出力する。これによって、受信パケットは偽装ＩＣＭＰ処理部１４によって廃棄され、受信パケットの送信元にはＩＣＭＰエラーメッセージは返されない。次に処理がＯＰ９に進む。

ＯＰ７では、パケット判定部１１は、受信パケットの宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せが攻撃被疑者リスト１６に登録されているいずれかの宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せに一致するか否かを判定する。受信パケットの宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せが攻撃被疑者リスト１６に登録されているいずれかの宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せに一致する場合には（ＯＰ７：ＹＥＳ）、判定部１１は、受信パケットが攻撃者からのものであると判定し、処理がＯＰ１０に進む。受信パケットの宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せが攻撃被疑者リスト１６に登録されているいずれの宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せにも一致しない場合には（ＯＰ７：ＮＯ）、判定部１１は、受信パケットが攻撃被疑者からのものであると判定し、処理がＯＰ８に進む。

ＯＰ８では、パケット判定部１１は、受信パケットをパケット処理部１２に出力する。
ＯＰ８において処理対象となる受信パケットは、サービス提供に用いられていないポート番号を宛先ポート番号とするＴＣＰパケットである。したがって、受信パケットは宛先の正規サーバに転送されるが、宛先ポート番号ではサービスが提供されていないため、正規サーバから、例えば、ＩＣＭＰエラーメッセージが受信パケットの送信元に返される。

ＯＰ９では、パケット判定部１１は、受信パケットが攻撃被疑者からのものであると判定し、受信パケットの属性情報を攻撃被疑者リスト１６に登録する。その後、図９に示される処理が終了する。

ＯＰ１０では、パケット判定部１１は、受信パケットが攻撃者からのものであると判定し、受信パケットの送信元ＩＰアドレスを攻撃者リスト１５に登録する。また、パケット判定部１１は、受信パケットの宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せに一致する攻撃被疑者リスト１６の送信元ＩＰアドレス及び宛先ＩＰアドレスの組合せを含むエントリを、攻撃被疑者リスト１６から削除する。

ＯＰ１１では、パケット判定部１１は、監視サーバにアラートを通知する。ＯＰ１２では、パケット判定部１１は、受信パケットが攻撃者からのものであると判定したので、受信パケットを偽サーバ２に転送することを判定し、受信パケットを接続ポート制御部１３に出力する。これによって、受信パケットは接続ポート制御部１３によって偽サーバ２に転送され、攻撃者に偽サーバ２によるサービスが提供される。その後、図９に示される処理が終了する。

なお、図９に示されるセキュリティＧＷ １のパケット判定部１１の処理のフローチャートは一例であって、これに限定されない。例えば、ＯＰ５とＯＰ７との判定の順序が逆になってもよい。

また、サービス提供ポートリスト１８は、正規サーバのＩＰアドレスを含んでもよい。この場合、ＯＰ３において、パケット判定部１１は、受信パケットの宛先ＩＰアドレスと宛先ポート番号との組合わせがサービス提供ポートリスト１８に登録されているＩＰアドレスとポート番号との組合わせのいずれかに一致するか否かを判定してもよい。受信パケットの宛先ＩＰアドレスと宛先ポート番号との組合わせがサービス提供ポートリスト１８に登録されているＩＰアドレスとポート番号との組合わせのいずれかに一致する場合に、パケット判定部１１は受信パケットが正規のユーザからのものであると判定するようにしてもよい。これによって、より厳密に正規サーバへ転送するパケットをフィルタリングすることができる。

＜第１実施形態の作用効果＞
第１実施形態では、セキュリティＧＷ １は、正規のユーザ又は攻撃者のいずれからの通信であるか不明な、サービス提供されていないポート番号を宛先ポート番号とするパケットを受信した場合に、当該パケットの属性情報を攻撃被疑者リスト１６に記録する。その後、セキュリティＧＷ １は、当該パケットの属性情報に一致する属性情報を含むパケットを受信した場合に、当該受信パケットが攻撃者からのものであるとみなし、当該受信パケットの送信元ＩＰアドレスを攻撃者リスト１５に登録する。これによって、例えば、攻撃準備としてＵＤＰポートスキャンを行う攻撃者を特定する精度を向上させることができ、サイバー攻撃への防御力が向上する。

また、第１実施形態では、セキュリティＧＷ １は、サービス提供されていないＵＤＰのポート番号を宛先ポート番号とするパケットを攻撃被疑者からのものであると判定する。セキュリティＧＷ １は、当該パケットに対して、ＩＣＭＰエラーメッセージの応答が返されないようにするために、当該パケットを廃棄する。これによって、当該パケットの
送信元の攻撃被疑者に対して、当該パケットの宛先ポート番号はサービス提供に用いられているように誤認させることができる。

攻撃被疑者が攻撃者である場合には、通常の攻撃手口として、当該宛先ポート番号に対してＴＣＰデータを送信してくることが予測される。一方、攻撃被疑者が正規ユーザである場合には、当該宛先ポート番号に対してＴＣＰデータを送信してくることは考えづらい。したがって、攻撃被疑者リスト１６に登録されている属性情報と属性情報が一致するパケットが受信された場合には、当該攻撃被疑者が攻撃者であることを特定することができる。一方、正規ユーザについては、当該宛先ポート番号に対してＴＣＰデータを送信することがなければ、攻撃者リスト１５に登録されることはないため、通常通りサーバにアクセスすることができる。

セキュリティＧＷ １は、サービス提供されていないＵＤＰのポートを宛先ポート番号とするパケットの送信元に対して、ＩＣＭＰエラーメッセージの応答が返されないようにするために、当該パケットを廃棄する。これによって、攻撃被疑者からのものであると判定される当該パケットの送信元に、当該ポートの開閉状況や、当該サーバのＯＳ情報等が漏えいすることを抑制する。

また、第１実施形態では、攻撃被疑者リスト１６に登録されたパケットの属性情報は、数か月から年単位で保持され続ける。そのため、例えば、攻撃者が、ＵＤＰポートスキャンを所定のポート番号に対して単発で行い、当該ＵＤＰポートスキャンの実施から間を空けて、当該ポート番号へＴＣＰデータを送信して攻撃を行う場合でも、攻撃被疑者リスト１６によって攻撃者からの通信を特定することができる。これによって、攻撃者からの通信を特定する精度を向上させることができる。

また、第１実施形態では、セキュリティＧＷ １は、攻撃者リスト１５に登録されているＩＰアドレスと送信元ＩＰアドレスが一致するパケットを受信すると、当該パケットを偽サーバ２に転送する。これによって、攻撃者に対して、攻撃対象のサーバへの侵入が成功しているように見せかけ、攻撃者が再度対象のサーバへ攻撃している動機を低下させることができる。結果として、ネットワークシステム１００に対する攻撃への防御力を向上させることができる。

また、第１実施形態では、サービス提供ポートリスト１８に登録されていないポート番号に一致する宛先ポート番号を有するパケットの属性情報が攻撃被疑者リスト１６に登録される。例えば、サービス提供に用いられていないＵＤＰポート及びＴＣＰポートについて、システム管理者が当該ＵＤＰポート及びＴＣＰポートを閉じることを失念した場合でも、当該ＵＤＰポートへのＵＤＰポートスキャンによるＵＤＰパケットの属性情報が攻撃被疑者リスト１６に登録される。これによって、当該ＵＤＰポートと同じ番号のＴＣＰポートへの攻撃のパケットが送信された場合でも、当該パケットは攻撃被疑者リスト１６によってフィルタリングされ、偽サーバ２に転送される。したがって、第１実施形態によれば、サービス提供に用いられていないものの、開いているポートが存在する場合でも、当該ポートからの攻撃者のサーバへの侵入を抑制することができる。

なお、第１実施形態では、セキュリティＧＷ １はサービス提供に用いられていないポート番号を宛先ポート番号とするパケットを攻撃被疑者からのものであると判定するが、攻撃被疑者からのパケットであると判定される条件はこれに限定されない。例えば、セキュリティＧＷ １は、サービス提供に用いられていないポート番号であって、ウェルノウンポート以外のポート番号を宛先ポート番号とするパケットを攻撃被疑者からのものであると判定してもよい。この場合には、サービス提供に用いられていないポート番号であって、ウェルノウンポート以外のポート番号を宛先ポート番号とするパケットが攻撃者から
のものであると判定される。ウェルノウンポートとは、０から１０２３番までのポートであって、よく利用されるサービスやプロトコルのためにＩＡＮＡ（Internet Assigned Numbers Authority）によって予約されているポートである。

＜第２実施形態＞
第１実施形態では、攻撃被疑者リスト１６に含まれる宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せと宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せが一致するＵＤＰ以外のパケットが受信された場合に、当該パケットの送信元ＩＰアドレスが攻撃者リスト１５に登録される。第２実施形態では、これに加えて、攻撃被疑者リスト１６に含まれる宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せと宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せが一致するものの、宛先ＩＰアドレス及び送信元ＩＰアドレスと宛先ポート番号との組み合わせが攻撃被疑者リスト１６に含まれる宛先ＩＰアドレス及び送信元ＩＰアドレスと宛先ポート番号との組合せのいずれにも一致しないＵＤＰパケットが受信された場合にも、当該パケットの送信元ＩＰアドレスが攻撃者リスト１５に登録される。第２実施形態では、第１実施形態と共通する説明は省略される。

ＵＤＰポートスキャンでは、全て又は複数のＵＤＰのポートに対してＵＤＰデータが送信されることが多い。したがって、第２実施形態では、セキュリティＧＷ １は、複数回同じ送信元からサービスが提供されていないポートに対してＵＤＰパケットを受信した場合には、当該ＵＤＰパケットが攻撃者からのものであると判定する。

第２実施形態では、システム構成、セキュリティＧＷ １のハードウェア及び機能構成は、第１実施形態と同様である。第２実施形態では、パケット判定部１１の、サービス提供されていないポート番号を宛先ポート番号とするＵＤＰのパケットに対する処理が第１実施形態と異なる。

図１０は、第２実施形態に係るセキュリティＧＷ １のパケット判定部１１の処理のフローチャートの一例である。図１０に示される処理は、第２実施形態において、図９のＯＰ５においてＹＥＳ判定の場合、すなわち、受信パケットがサービス提供されていないポート番号を宛先ポート番号とするＵＤＰパケットである場合に、図９のＯＰ６の代わりに行われる処理である。

ＯＰ３１では、パケット判定部１１は、受信パケットの宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せが攻撃被疑者リスト１６に登録されている宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せのいずれかに一致するか否かを判定する。受信パケットの宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せが攻撃被疑者リスト１６に登録されている宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せのいずれかに一致する場合には（ＯＰ３１：ＹＥＳ）、処理がＯＰ３３に進む。受信パケットの宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せが攻撃被疑者リスト１６に登録されている宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せのいずれにも一致しない場合には（ＯＰ３１：ＮＯ）、処理がＯＰ３２に進む。

ＯＰ３２では、パケット判定部１１は、受信パケットが攻撃被疑者からのものであると判定し、受信パケットの属性情報を攻撃被疑者リスト１６に登録する。その後、処理がＯＰ３４に進む。

ＯＰ３３では、パケット判定部１１は、ＯＰ３１で宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せが一致した攻撃被疑者リスト１６のエントリの宛先ポート番号と、受信パケットの宛先ポート番号とが一致するか否かを判定する。ＯＰ３１で宛先ＩＰアドレス及び送信元ＩＰアドレスが一致した攻撃被疑者リスト１６のエントリの宛先ポート番号と、
受信パケットの宛先ポート番号とが一致する場合には（ＯＰ３３：ＹＥＳ）、処理がＯＰ３４に進む。ＯＰ３１で宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せが一致した攻撃被疑者リスト１６のエントリの宛先ポート番号と、受信パケットの宛先ポート番号とが一致しない場合には（ＯＰ３３：ＮＯ）、処理がＯＰ３５に進む。

ＯＰ３４では、パケット判定部１１は、受信パケットがＵＤＰポートスキャンのパケットである可能性が高い為、受信パケットを偽装ＩＣＭＰ処理部１４に出力する。これによって、受信パケットは偽装ＩＣＭＰ処理部１４よって廃棄される。また、受信パケットの送信元にはＩＣＭＰエラーメッセージは返されない。その後、図１０に示される処理が終了する。

ＯＰ３５では、パケット判定部１１は、同じ送信元から異なるＵＤＰのポート番号に対してアクセスがあったため、受信パケットがＵＤＰポートスキャンを行う攻撃者からのものであると判定し、受信パケットの送信元ＩＰアドレスを攻撃者リスト１５に登録する。また、パケット判定部１１は、受信パケットの宛先ＩＰアドレス及び送信元ＩＰアドレスに一致する攻撃被疑者リスト１６の宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せを含むエントリを、攻撃被疑者リスト１６から削除する。

ＯＰ３６では、パケット判定部１１は、監視サーバにアラートを通知する。ＯＰ３７では、パケット判定部１１は、受信パケットが攻撃者からのものであると判定したので、受信パケットを接続ポート制御部１３に出力する。これによって、受信パケットは接続ポート制御部１３によって偽サーバ２に転送され、攻撃者に偽サーバ２によるサービスが提供される。その後、図１０に示される処理が終了する。

なお、攻撃被疑者リスト１６のエントリのいずれかと宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せは一致するものの宛先ポート番号は異なるＵＤＰパケットを所定回数受信することによって、当該ＵＤＰパケットの送信元ＩＰアドレスを攻撃者リスト１５に登録するようにしてもよい。

第２実施形態では、ＵＤＰのパケットからも攻撃者を特定することができる。したがって、攻撃者からのＴＣＰのデータが発生しない場合でも、ＵＤＰのパケットからＵＤＰポートスキャンを行う攻撃者を特定することができる。

＜プロセッサ＞
上記実施形態において、セキュリティＧＷ １は、ＣＰＵを備え、主記憶装置内にプログラムから展開された命令を実行することによって、説明された処理を実行する。ＣＰＵは、ＭＰＵ（Microprocessor）、プロセッサとも呼ばれる。ＣＰＵは、単一のプロセッサに限定される訳ではなく、マルチプロセッサ構成であってもよい。また、単一のソケットで接続される単一のＣＰＵがマルチコア構成を有していても良い。上記各部の少なくとも一部の処理は、ＣＰＵ以外のプロセッサ、例えば、Digital Signal Processor(DSP)、Graphics Processing Unit（GPU）、数値演算プロセッサ、ベクトルプロセッサ、画像処理プロセッサ等の専用プロセッサで行われても良い。また、上記各部の少なくとも一部の処理は、集積回路（ＩＣ）、その他のディジタル回路であっても良い。また、上記各部の少なくとも一部にアナログ回路が含まれても良い。集積回路は、ＬＳＩ、Application Specific Integrated Circuit（ASIC）、プログラマブルロジックデバイス（ＰＬＤ）を含む。
ＰＬＤは、例えば、Field-Programmable Gate Array(FPGA)を含む。上記各部は、プロセ
ッサと集積回路との組み合わせであっても良い。組み合わせは、例えば、マイクロコントローラ（ＭＣＵ）、ＳｏＣ（System-on-a-chip），システムＬＳＩ、チップセットなどと呼ばれる。

＜記録媒体＞
コンピュータその他の機械、装置（以下、コンピュータ等）に上記いずれかの機能を実現させるプログラムをコンピュータ等が読み取り可能な記録媒体に記録することができる。コンピュータ等に、この記録媒体のプログラムを読み込ませて実行させることにより、その機能を提供させることができる。

ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる非一時的な記録媒体をいう。このような記録媒体のうちコンピュータ等から取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ／Ｗ、ＤＶＤ、ブルーレイディスク、ＤＡＴ、８ｍｍテープ、フラッシュメモリなどのメモリカード等がある。また、コンピュータ等に固定された記録媒体としてハードディスク、ＲＯＭ（リードオンリーメモリ）等がある。さらに、ＳＳＤ（Solid State Drive）は、コンピュータ等から取り外し可能な記録媒体としても、コ
ンピュータ等に固定された記録媒体としても利用可能である。

１ セキュリティゲートウェイ
２ 偽サーバ
１１ パケット判定部
１２ パケット処理部
１３ 接続ポート制御部
１４ 偽装ＩＣＭＰ処理部
１５ 攻撃者リスト
１６ 攻撃被疑者リスト
１７ 管理者リスト
１８ サービス提供ポートリスト
１０１ ＣＰＵ
１０２ 主記憶装置
１０３ 補助記憶装置
１０３Ｐ セキュリティプログラム
１０４ ネットワークインタフェース

Claims (9)

1. パケットを受信する受信部と、
   サーバへのアクセスの禁止対象である送信元の情報を含むアクセス禁止リストと、前記アクセス禁止リストへの登録の対象候補である送信元からのパケットの属性情報を含むアクセス禁止候補リストと、を記憶する記憶部と、
   サービス提供に用いられていない宛先ポート番号が含まれているパケットが受信された場合に、前記パケットの属性情報を前記アクセス禁止候補リストに登録し、前記アクセス禁止候補リストに登録されている属性情報のいずれかに一致する属性情報が含まれるパケットが受信された場合に、前記パケットの送信元の情報を前記アクセス禁止リストに登録する制御部と、
   を備えるパケット処理装置。
2. 前記制御部は、サービス提供に用いられていない宛先ポート番号が含まれており、且つ、ＵＤＰ（User Datagram Protocol）のパケットであるパケットが受信された場合に、前記宛先ポート番号を用いたサービスを提供するサーバの代理の処理を行う、
   請求項１に記載のパケット処理装置。
3. 前記制御部は、前記サーバの代理の処理として、前記パケットを破棄し、前記サーバに、前記パケットに対して、前記宛先ポート番号のポートが閉じている状態であることを示すＩＣＭＰ（Internet Control Message Protocol）応答メッセージを送信させないよう
   にする、
   請求項２に記載のパケット処理装置。
4. 前記制御部は、前記アクセス禁止候補リストにパケットの属性情報が登録されてから前記パケットの属性情報に一致する属性情報が含まれるパケットが受信されないまま所定時間経過するまで、前記アクセス禁止候補リストに前記パケットの属性情報を保持させることを判定する、
   請求項１から３のいずれか一項に記載のパケット処理装置。
5. 前記アクセス禁止候補リストに前記パケットの属性情報が保持される前記所定時間は、月又は年単位である、
   請求項４に記載のパケット処理装置。
6. 前記制御部は、前記アクセス禁止リストに登録されているいずれかの送信元の情報が含まれるパケットが受信された場合には、前記パケットを架空のサービスを提供する偽サーバに転送することを判定する、
   請求項１から５のいずれか一項に記載のパケット処理装置。
7. 前記アクセス禁止候補リストは、パケットの属性情報として、宛先ＩＰ(Internet Protocol)アドレス及び送信元ＩＰアドレスと宛先ポート番号との組み合わせを含み、
   前記制御部は、前記アクセス禁止候補リストに登録されている宛先ＩＰアドレス及び送信元ＩＰアドレスの組合せのいずれかに一致する宛先ＩＰアドレス及び送信元ＩＰアドレスが含まれ、且つ、前記被疑リストに登録されている宛先ＩＰアドレス及び送信元ＩＰアドレスと宛先ポート番号との組合せのいずれにも一致しない宛先ＩＰアドレス及び送信元ＩＰアドレスと宛先ポート番号との組合せが含まれるパケットが受信された場合に、前記パケットの送信元の情報を前記アクセス禁止リストに登録する、
   請求項１から６のいずれか一項に記載のパケット処理装置。
8. パケットを受信し、
   サーバへのアクセスの禁止対象である送信元の情報を含むアクセス禁止リストと、前記アクセス禁止リストへの登録の対象候補である送信元からのパケットの属性情報を含むアクセス禁止候補リストと、を記憶部に記憶し、
   サービス提供に用いられていない宛先ポート番号が含まれているパケットが受信された場合に、前記パケットの属性情報を前記アクセス禁止候補リストに登録し、前記アクセス禁止候補リストに登録されているいずれかの属性情報に一致する属性情報が含まれるパケットが受信された場合に、前記パケットの送信元の情報を前記アクセス禁止リストに登録する、
   パケット処理方法。
9. コンピュータに、
   パケットを受信させ、
   サーバへのアクセスの禁止対象である送信元の情報を含むアクセス禁止リストと、前記アクセス禁止リストへの登録の対象候補である送信元からのパケットの属性情報を含むアクセス禁止候補リストと、を記憶部に記憶させ、
   サービス提供に用いられていない宛先ポート番号が含まれているパケットが受信された場合に、前記パケットの属性情報を前記アクセス禁止候補リストに登録させ、前記アクセス禁止候補リストに登録されているいずれかの属性情報に一致する属性情報が含まれるパケットが受信された場合に、前記パケットの送信元の情報を前記アクセス禁止リストに登録させる、
   ためのパケット処理プログラム。

Images