JP3651610B2 - サーバ計算機保護装置、同装置のデータ要求解析方法およびプログラム - Google Patents
サーバ計算機保護装置、同装置のデータ要求解析方法およびプログラム Download PDFInfo
- Publication number
- JP3651610B2 JP3651610B2 JP2003016291A JP2003016291A JP3651610B2 JP 3651610 B2 JP3651610 B2 JP 3651610B2 JP 2003016291 A JP2003016291 A JP 2003016291A JP 2003016291 A JP2003016291 A JP 2003016291A JP 3651610 B2 JP3651610 B2 JP 3651610B2
- Authority
- JP
- Japan
- Prior art keywords
- data request
- parameter
- deviation
- average value
- calculated
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Storage Device Security (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、不特定多数あるいは特定多数のクライアントをパケット交換ネットワーク経由でサーバ計算機に接続した、クライアント／サーバシステムに適用して好適なサーバ計算機保護装置、同装置のデータ要求解析方法およびプログラムに関する。
【０００２】
【従来の技術】
不特定多数あるいは特定多数のクライアントをパケット交換ネットワーク経由でサーバ計算機に接続した、クライアント／サーバシステムに於いては、上記サーバ計算機への不正アクセスの防止を行う機能をもつサーバ計算機保護装置が用いられる（例えば、特許文献１参照）。
【０００３】
このサーバ計算機保護装置は、既知の不正アクセスに関わるデータ要求の特徴を格納したデータベースを備え、受信したデータ要求を前記データベース内に格納された特徴と比較して、そのうちのいずれかに一致した場合、上記受信したデータ要求を不正アクセスに関わるデータ要求であるとして破棄する。
【０００４】
従来のこの種サーバ計算機保護装置の構成を図１８、および図１９を参照して説明する。図１８に示すサーバ計算機保護装置に於いて、ネットワークインタフェース８０１Ａは、ネットワークセグメント（Ａ）を介し、図示しないクライアントとの間でパケットの送受信を行う機能をもつ。ネットワークインタフェース８０１Ｂは、ネットワークセグメント（Ｂ）を介し、図示しないサーバ計算機との間でパケットを送受信する機能をもつ。
【０００５】
データ要求転送機構８１０は、データ要求受信機構８１１とデータ要求保留機構８１２とデータ要求送信機構８１３とを備え、受信したデータ要求をデータ要求解析機構８２０に渡し、データ要求解析機構８２０が、不正アクセスに関わるものではないと判定した場合に、ネットワークインタフェース８０１Ａで受信したデータ要求をネットワークインタフェース８０１Ｂへ送出する機能をもつ。データ要求受信機構８１１は、ネットワークインタフェース８０１Ａで受信したデータ要求を受信する機構をもつ。データ要求保留機構８１２は、データ要求受信機構８１１が受信したデータ要求をデータ要求解析機構８２０が解析している期間中、保留する機能をもつ。データ要求送信機構８１３は、データ要求解析機構８２０が、不正アクセスに関わるものではないと判定した場合に、データ要求保留機構８１２に保留されているデータ要求をネットワークインタフェース８０１Ｂへ送出する機能をもつ。
【０００６】
データ要求解析機構８２０は、不正アクセス特徴比較機構８２１と不正アクセス特徴データベース８２２を備え、データ要求転送機構８１０から渡されたデータ要求が、不正アクセスに関わるものであるか否かを判定する機能をもつ。不正アクセス特徴比較機構８２１は、渡されたデータ要求の中に、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴が含まれているか否かを検索し、検索の結果、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴のいずれかが含まれていた場合、当該データ要求は、不正アクセスに関わるものと判定し、また、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴が一切含まれていなかった場合、当該データ要求は、不正アクセスに関わるものではないと判定する機能をもつ。
【０００７】
ここで、あるクライアントがサーバ計算機へデータ要求を送出したとする。 ネットワークインタフェース８０１Ａで受信されたデータ要求は、データ要求受信機構８１１により受け取られる。
【０００８】
データ要求受信機構８１１で受け取られたデータ要求は、データ要求保留機構８１２に保留されるとともに、データ要求解析機構８２０にも渡される。
【０００９】
データ要求解析機構８２０に渡されたデータ要求は、不正アクセス特徴比較機構８２１によって、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴が含まれているか否かが検索される。
【００１０】
検索の結果、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴のいずれかが含まれていた場合、当該データ要求は、不正アクセスに関わるものと判定し、また、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴が一切含まれていなかった場合、当該データ要求は、不正アクセスに関わるものではないと判定し、いずれの場合も、その判定結果をデータ要求転送機構８１０へ返す。
【００１１】
判定結果を受け取ったデータ要求転送機構８１０は、不正アクセスに関わるものと判定された場合、データ要求保留機構８１２に保留されている当該データ要求を破棄し、不正アクセスに関わるものではないと判定された場合、データ要求保留機構８１２に保留されている当該データ要求をデータ要求送信機構８１３により、ネットワークインタフェース８０１Ｂを介してサーバ計算機へ送出する。
【００１２】
このようにして、サーバ計算機への不正アクセスを防ぐことができるサーバ計算機保護装置が実現されている。
【００１３】
また、別の従来のサーバ計算機保護装置として、サーバ計算機が受信し得るデータ要求のメッセージ長や、当該データ要求が含有するパラメータのパラメータ毎の長さや文字種についてあらかじめ閾値や許される文字種を設定しておき、受信したデータ要求のメッセージ長や含有するパラメータのパラメータ毎の長さと、あらかじめ設定された閾値を比較し、受信したデータ要求のメッセージ長や含有するパラメータのパラメータ毎の長さの内の一つあるいは複数が当該閾値よりも大きい場合、当該データ要求を破棄し、また、受信したデータ要求のパラメータのパラメータ毎の文字種が、あらかじめ設定された許される文字種では無い場合、不正アクセスに関わるデータ要求として、当該データ要求を破棄する機構を備えたサーバ計算機保護装置も存在する。
【００１４】
この種サーバ計算機保護装置の構成例を図１９に示す。図１９に示すサーバ計算機保護装置に於いて、ネットワークインタフェース９０１Ａは、ネットワークセグメント（Ａ）を介し、図示しないクライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース９０１Ｂは、ネットワークセグメント（Ｂ）を介し、図示しないサーバ計算機との間でパケットを送受信する機能をもつ。
【００１５】
データ要求転送機構９１０は、データ要求受信機構９１１とデータ要求保留機構９１２とデータ要求送信機構９１３とを備え、受信したデータ要求をデータ要求解析機構９２０に渡し、データ要求解析機構９２０が、不正アクセスに関わるものではないと判定した場合に、ネットワークインタフェース９０１Ａで受信したデータ要求をネットワークインタフェース９０１Ｂへ送出する機能をもつ。データ要求受信機構９１１は、ネットワークインタフェース９０１Ａで受信したデータ要求を受信する機能をもつ。データ要求保留機構９１２は、データ要求受信機構９１１が受信したデータ要求をデータ要求解析機構９２０が解析している期間中、保留する機能をもつ。データ要求送信機構９１３は、データ要求解析機構９２０が、不正アクセスに関わるものではないと判定した場合に、データ要求保留機構９１２に保留されているデータ要求をネットワークインタフェース９０１Ｂへ送出する機能をもつ。
【００１６】
データ要求解析機構９２０は、パラメータ長比較機構９２１とパラメータ文字種比較機構９２２とパラメータ長閾値設定機構９２３とパラメータ文字種設定機構９２４とを備え、データ要求転送機構９１０から渡されたデータ要求が、不正アクセスに関わるものであるか否かを判定する機能をもつ。パラメータ長比較機構９２１は、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎の長さを、各々パラメータ長閾値設定機構９２３で設定された閾値と比較し、当該データ要求に含有されるいずれかのパラメータの長さが対応するパラメータ長閾値設定機構９２３で設定された閾値よりも長かった場合、当該データ要求は、不正アクセスに関わるものと判定し、また、対応するパラメータ長閾値設定機構９２３で設定された閾値よりも短かった場合、当該データ要求は、不正アクセスに関わるものではないと判定する機能をもつ。パラメータ文字種比較機構９２２は、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎に使用されている文字種を、各々パラメータ文字種設定機構９２４で設定された文字種と比較し、当該データ要求に含有されるいずれかのパラメータに使用されている文字種が対応するパラメータ文字種設定機構９２４で設定された許される文字種ではない場合、当該データ要求は、不正アクセスに関わるものと判定し、また、パラメータに使用されている文字種が対応するパラメータ文字種設定機構９２４で設定された許される文字種であった場合には、当該データ要求は、不正アクセスに関わるものではないと判定する機能をもつ。パラメータ長閾値設定機構９２３は、データ要求解析機構９２０が解析対象とし得るデータ要求の各々について、当該データ要求に含有されるパラメータのパラメータ毎の閾値を設定する機能をもつ。パラメータ文字種設定機構９２４は、データ要求解析機構９２０が解析対象とし得るデータ要求の各々について、当該データ要求に含有されるパラメータのパラメータ毎の許される文字種を設定する機能をもつ。
【００１７】
ここで、あるクライアントがサーバ計算機へデータ要求を送出したとする。 ネットワークインタフェース９０１Ａで受信されたデータ要求は、データ要求転送機構９１０に設けられたデータ要求受信機構９１１により受け取られる。データ要求受信機構９１１で受け取られたデータ要求は、データ要求保留機構９１２に保留されるとともに、データ要求解析機構９２０にも渡される。
【００１８】
データ要求解析機構９２０に渡されたデータ要求は、パラメータ長比較機構９２１によってデータ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎の長さを、各々パラメータ長閾値設定機構９２３で設定された閾値と比較される。
【００１９】
また、同時に、パラメータ文字種比較機構９２２によって当該データ要求に含有されるいずれかのパラメータに使用されている文字種を対応するパラメータ文字種設定機構９２４で設定された許される文字種と比較される。
【００２０】
パラメータ長比較機構９２１に於いて、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎の長さを、各々パラメータ長閾値設定機構９２３で設定された閾値と比較し、当該データ要求に含有されるいずれかのパラメータの長さが対応するパラメータ長閾値設定機構９２３で設定された閾値よりも長かった場合、あるいは、パラメータ文字種比較機構９２２に於いて、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎に使用されている文字種を、各々パラメータ文字種設定機構９２４で設定された文字種と比較し、当該データ要求に含有されるいずれかのパラメータに使用されている文字種が対応するパラメータ文字種設定機構９２４で設定された許される文字種ではなかった場合、当該データ要求は、不正アクセスに関わるものと判定する。また、パラメータ長比較機構９２１に於いて、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎の長さを、各々パラメータ長閾値設定機構９２３で設定された閾値と比較し、当該データ要求に含有されるいずれかのパラメータの長さが対応するパラメータ長閾値設定機構９２３で設定された閾値よりも短かく、かつ、パラメータ文字種比較機構９２２で、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎に使用されている文字種を、各々パラメータ文字種設定機構９２４で設定された文字種と比較し、当該データ要求に含有されるいずれかのパラメータに使用されている文字種が対応するパラメータ文字種設定機構９２４で設定された許される文字種であった場合、当該データ要求は、不正アクセスに関わるものではないと判定し、いずれの場合も、その判定結果をデータ要求転送機構９１０へ返す。
【００２１】
判定結果を受けとったデータ要求転送機構９１０は、不正アクセスに関わるものと判定された場合、データ要求保留機構９１２に保留されている当該データ要求を破棄し、不正アクセスに関わるものではないと判定された場合には、データ要求保留機構９１２に保留されている当該データ要求をデータ要求送信機構９１３により、ネットワークインタフェース９０１Ｂを介してサーバ計算機へ送出する。
【００２２】
このようにして、サーバ計算機への不正アクセスを防ぐことができるサーバ計算機保護装置が実現されている。
【００２３】
しかしながら上記した従来技術に於いては以下のような問題があった。即ち、既知の不正アクセスに関わるデータ要求の特徴を格納したデータベースを備え、受信したデータ要求を上記データベース内に格納された特徴と比較する図１８に示したような従来技術に於いては、上記データベースに格納されていない新しい不正アクセス手段を用いたデータ要求により、サーバへの不正アクセスを試みられた場合、データ要求解析機構は、当該データ要求は不正アクセスに関わるものでは無いと判定してしまい、結果として、不正アクセスが成功してしまうという問題があった。
【００２４】
また、データ要求が含有するパラメータのパラメータ毎の長さや文字種について個々のデータ要求についてあらかじめ閾値や許される文字種を設定する図１９に示したような従来技術に於いては、サーバが処理可能なデータ要求が追加や変更された場合、それに対応する、データ要求メッセージが含有するパラメータのパラメータ毎の長さや文字種について個々のデータ要求についてあらかじめ閾値や許される文字種の設定情報の追加や変更を行なわなければならず、多くの手間がかかっていた。また、追加や変更を怠った際は不正アクセスを許してしまうという不都合が生じる虞がある等、種々の問題があった。
【００２５】
【特許文献１】
特開２００２−６３０８４
【００２６】
【発明が解決しようとする課題】
上述したように従来では、既知の不正アクセスに関わるデータ要求の特徴を格納したデータベースを備え、受信したデータ要求を上記データベース内に格納された特徴と比較する従来技術に於いては、上記データベースに格納されていない新しい不正アクセス手段を用いたデータ要求により、サーバへの不正アクセスを試みられた場合、データ要求解析機構は、当該データ要求は不正アクセスに関わるものでは無いと判定してしまい、結果として、不正アクセスが成功してしまうという問題があった。また、データ要求が含有するパラメータのパラメータ毎の長さや文字種について個々のデータ要求についてあらかじめ閾値や許される文字種を設定する従来技術に於いては、サーバが処理可能なデータ要求が追加や変更された場合、それに対応する、データ要求メッセージが含有するパラメータのパラメータ毎の長さや文字種について個々のデータ要求についてあらかじめ閾値や許される文字種の設定情報の追加や変更を行なわなければならず、多くの手間がかかっていた。また、追加や変更を怠った際は不正アクセスを許してしまうという不都合が生じる虞がある等、種々の問題があった。
【００２７】
本発明は上記実情に鑑みなされたもので、信頼性が高く、かつ保守性に優れたサーバ計算機の不正アクセスに対する保護機能を実現できる、サーバ計算機保護装置、同装置のデータ要求解析方法およびプログラムを提供することを目的とする。
【００２８】
【課題を解決するための手段】
本発明は、不正アクセスに関わるものではないデータ要求のメッセージ長の平均値と分散を求め、それらの値に基づいた閾値によって、データ要求が不正アクセスに関わるものであるか否かの判定を行うことで、不正アクセスに関わるものでは無いデータ要求のメッセージ長の集合から掛け離れた長さをもつ不正アクセスに関わるデータ要求を検出することを特徴とする。
【００２９】
即ち、本発明は、クライアントから送出されたデータ要求をサーバ計算機に代わり受信して、当該受信したデータ要求が不正アクセスに関わるものか否かを解析するデータ要求解析機構と、当該データ要求解析機構の判定に従い前記クライアントから送出されたデータ要求の前記サーバ計算機への転送を制御するデータ要求転送機構とを備えたサーバ計算機保護装置に於いて、前記データ要求解析機構に、前記サーバ計算機が過去の一定期間内に受信したデータ要求のメッセージ長の平均値を算出する平均値算出手段と、前記サーバ計算機が過去の一定期間内に受信したデータ要求のメッセージ長の分散を算出する分散算出手段と、前記平均値算出手段が算出した平均値と前記分散算出手段が算出した分散から、前記メッセージ長の偏差の閾値を算出する閾値算出手段と、前記平均値算出手段が算出した平均値と前記解析の対象にある受信したデータ要求のメッセージ長からメッセージ長の偏差を算出する偏差算出手段と、前記閾値算出手段が算出した閾値と前記偏差算出手段が算出した偏差を比較し、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する偏差比較手段とを具備したことを特徴とする。
【００３０】
また、前記サーバ計算機保護装置に於いて、前記データ要求解析機構に、受信したデータ要求を分類する分類手段をさらに具備して、前記平均値算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の平均値を算出し、前記分散算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の分散を算出し、前記閾値算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の偏差の閾値を算出し、前記偏差算出手段が前記解析の対象にある受信したデータ要求のメッセージ長と前記平均値算出手段が算出した前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求の平均値からメッセージ長の偏差を算出することを特徴とする。
【００３１】
また、前記サーバ計算機保護装置に於いて、前記データ要求解析機構に、受信したデータ要求の構造に従い当該データ要求からパラメータを抽出するパラメータ抽出手段をさらに具備して、前記平均値算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の平均値、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータ各々の長さの平均値を算出し、前記分散算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の分散、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータ各々の長さの分散を算出し、前記閾値算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の偏差の閾値、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータ各々の長さの偏差の閾値を算出し、前記偏差算出手段が、前記解析の対象にある受信したデータ要求のメッセージ長と、前記平均値算出手段が算出した前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求の平均値からメッセージ長の偏差を算出するとともに、前記解析の対象にある受信したデータ要求に含まれるパラメータ各々の長さと、前記平均値算出手段が算出した前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求に含まれるパラメータ各々の長さの平均値とからパラメータの長さの偏差を算出し、前記偏差比較手段が前記偏差算出手段により算出された偏差のうちの一つあるいは複数が前記閾値算出手段により算出された閾値を超えたとき、前記解析の対象にあるデータ要求は不正アクセスに関わるものであると判定することを特徴とする。
【００３２】
また、本発明は、クライアントから送出されたデータ要求をサーバ計算機に代わり受信して、当該受信したデータ要求が不正アクセスに関わるものか否かを解析するデータ要求解析機構と、当該データ要求解析機構の判定に従い前記クライアントから送出されたデータ要求の前記サーバ計算機への転送を制御するデータ要求転送機構とを備えたサーバ計算機保護装置に於いて、前記データ要求解析機構に、前記受信したデータ要求を分類する分類手段と、前記受信したデータ要求の構造に従い当該データ要求からパラメータを抽出するパラメータ抽出手段と、前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータ各々に含まれる文字種の出現回数を頻度表として保持する頻度表保持手段と、前記パラメータ抽出手段により抽出された前記解析の対象にある受信したデータ要求のパラメータ各々に含まれる文字種と、前記頻度表保持手段により保持された頻度表とをもとに、前記解析の対象にある受信したデータ要求が不正アクセスに関わるものであるか否かを判定する判定手段とを具備したことを特徴とする。
【００３３】
また、本発明は、クライアントから送出されたデータ要求をサーバ計算機に代わり受信して、当該受信したデータ要求が不正アクセスに関わるものか否かを解析するデータ要求解析機構と、当該データ要求解析機構の判定に従い前記クライアントから送出されたデータ要求の前記サーバ計算機への転送を制御するデータ要求転送機構とを備えたサーバ計算機保護装置に於いて、前記データ要求解析機構に、前記受信したデータ要求を分類する分類手段と、
前記受信したデータ要求の構造に従い当該データ要求に含まれるパラメータを抽出するパラメータ抽出手段と、前記パラメータ抽出手段により抽出されたパラメータから数値パラメータのみを抽出する数値パラメータ抽出手段と、前記分類手段により同種と分類された過去の一定期間内に受信したデータ要求から前記数値パラメータ抽出手段により抽出された数値パラメータ各々の平均値を算出する平均値算出手段と、前記数値パラメータ抽出手段により抽出された数値パラメータ各々の分散を算出する分散算出手段と、前記平均値算出手段により算出された平均値と前記分散算出手段により算出された分散から、前記数値パラメータ抽出手段により抽出された数値パラメータ各々の偏差の閾値を算出する閾値算出手段と、前記平均値算出手段により算出された数値パラメータ各々の平均値と、前記解析の対象にある受信したデータ要求の前記数値パラメータ抽出手段により抽出された数値パラメータから数値パラメータ各々の偏差を算出する偏差算出手段と、前記閾値算出手段により算出された閾値と前記偏差算出手段により算出された偏差とを比較し、偏差のうちの一つあるいは複数が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する判定手段とを具備したことを特徴とする。
【００３４】
また、本発明は、クライアントから送出されたデータ要求をサーバに代わり受信して、当該受信したデータ要求が不正アクセスに関わるものであるか否かを解析するサーバ計算機保護装置のデータ要求解析方法であって、前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の平均値を算出する平均値算出ステップと、前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の分散を算出する分散算出ステップと、前記平均値算出ステップで算出した平均値および前記分散算出ステップで算出した分散から前記メッセージ長の偏差の閾値を算出する閾値算出ステップと、前記平均値算出ステップで算出した平均値と前記解析の対象にある受信したデータ要求のメッセージ長からメッセージ長の偏差を算出する偏差算出ステップと、前記閾値算出ステップで算出した閾値と前記偏差算出ステップで算出した偏差を比較して、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する判定ステップとを具備したこと特徴とする。
【００３５】
また、本発明は、ライアントから送出されたデータ要求をサーバに代わり受信して、当該受信したデータ要求が不正アクセスに関わるものであるか否かを解析するサーバ計算機保護装置のデータ要求解析装置としてコンピュータを機能させるためのプログラムであって、前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の平均値を算出する機能と、前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の分散を算出する機能と、前記算出した平均値および分散から前記メッセージ長の偏差の閾値を算出する機能と、前記算出した平均値と前記解析の対象にある受信したデータ要求のメッセージ長からメッセージ長の偏差を算出する機能と、前記算出した閾値と偏差を比較して、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する機能とをコンピュータに実現させることを特徴とする。
【００３６】
上記した本発明のサーバ計算機保護装置若しくはデータ要求解析方法若しくはプログラムを適用することによって、クライアントからサーバへ送出されるデータ要求の特徴がデータベースに格納されていない新しい不正アクセス手段によりサーバへの不正アクセスを試みられた場合であっても高い信頼性をもってサーバ計算機の不正アクセスを防ぐことができる。また、利用者がデータ要求に含まれるパラメータの各パラメータ毎の長さや文字種について個々設定する必要の無い保守性に優れた信頼性の高いサーバ計算機保護装置が実現できる。
【００３７】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態を説明する。
【００３８】
図１は本発明の第１実施形態に於ける装置システムの構成を示すブロック図である。
【００３９】
図１に示すサーバ計算機保護装置に於いて、ネットワークインタフェース１０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース１０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【００４０】
データ要求転送機構１１０は、データ要求受信機構１１１と、データ要求保留機構１１２と、データ要求送信機構１１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース１０１Ａを介して受信したデータ要求をデータ要求解析機構１２０に渡し、データ要求解析機構１２０が、不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース１０１Ａを介して受信したデータ要求をネットワークインタフェース１０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【００４１】
データ要求転送機構１１０に於いて、データ要求受信機構１１１は、ネットワークインタフェース１０１Ａで受信したデータ要求を受信する機能をもつ。データ要求保留機構１１２は、データ要求受信機構１１１がデータ要求をデータ要求解析機構１２０が解析している期間中、保留する機能をもつ。データ要求送信機構１１３は、データ要求解析機構１２０が、ネットワークインタフェース１０１Ａで受信したデータ要求が不正アクセスに関わるものではないと判定した場合に、データ要求保留機構１１２に保留されているデータ要求をネットワークインタフェース１０１Ｂへ送出する機能をもつ。
【００４２】
データ要求解析機構１２０は、偏差算出機構１２１と、偏差比較機構１２２と、閾値算出機構１２３と、平均値算出機構１２４と、分散算出機構１２５とを備え、データ要求転送機構１１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。
【００４３】
データ要求解析機構１２０に於いて、平均値算出機構１２４は、不正アクセス保護の対象となるサーバ計算機が過去の一定期間内に受信したデータ要求のメッセージ長の平均値を算出する機能をもつ。分散算出機構１２５は、上記サーバ計算機が過去の一定期間内に受信したデータ要求のメッセージ長の分散を算出する機能をもつ。閾値算出機構１２３は、平均値算出機構１２４が算出した平均値と、分散算出機構１２５が算出した分散から、メッセージ長の偏差の閾値を算出する機能をもつ。偏差算出機構１２１は、平均値算出機構１２４が算出した平均値と、解析の対象にある受信したデータ要求（ここでは解析対象データ要求と称す）のメッセージ長からメッセージ長の偏差を算出する機能をもつ。偏差比較機構１２２は、閾値算出機構１２３が算出した閾値と、偏差算出機構１２１が算出した偏差とを比較する機能をもつ。
【００４４】
図２は上記第１実施形態に於けるデータ要求の取得例を示す図である。
【００４５】
図３は上記第１実施形態の処理手順を示すフローチャートである。
【００４６】
ここで、上記第１実施形態に於ける動作を説明する。
【００４７】
図１に示すサーバ計算機保護装置に於いて、ネットワークインタフェース１０１Ａを介してクライアントからデータ要求を含むパケットが送出されると、当該パケットに含まれるデータ要求は、データ要求転送機構１１０のデータ要求受信機構１１１に受信される（図３ステップＳ１１）。
【００４８】
データ要求受信機構１１１に受信されたデータ要求は、データ要求保留機構１１２に保留されるとともに、データ要求解析機構１２０に渡され、データ要求解析機構１２０が不正アクセスに関わるデータ要求か否かの判定を行なう。尚、このデータ要求保留機構１１２にデータ要求を格納する際、パケット単位で格納する方法やパケットが運ぶデータ要求を取り出して格納する方法などがある。
【００４９】
パケット単位で格納する方法の場合は、図２に示すように、データ要求受信機構１１１からパケットを渡されたデータ要求解析機構１２０に、過去に受信したパケットを格納する過去パケット格納機構１３１と、解析に先立って過去に受信したパケットと今回受信したパケットとを組み合せて、データ要求を取り出す機能１３２とが必要となる。
【００５０】
この機能の例として、図２に、ＨＴＴＰプロトコルによるデータ要求を取出す場合を示す。
【００５１】
受信パケットでは、データ要求の断片である“ｄｉｒ２／ｉｎｄｅｘ．ｈｔｍｌ”というデータが運ばれている。
【００５２】
過去パケット格納機構１３１には、過去に受信したパケットとして、パケット１とパケット２が格納されており、それぞれのパケットにより、“ＧＥＴ／”という断片と、“ｄｉｒ１／”という断片が運ばれている。これらを、パケットの前後関係を考慮しながら接続すると、“ＧＥＴ／ｄｉｒ１／ｄｉｒ２／ｉｎｄｅｘ．ｈｔｍｌ”というデータ要求が取出せることとなる。
【００５３】
この際、図２に示す例では順序よくパケットが到着した例が示されているが、実際には、パケットの順序が入れ替わったり、途中が抜けていたりする可能性があり、それらを考慮した機構を組み込む必要がある。このような構造をとった場合、当該パケット及びそれ以前に受信したパケットを組み合せて取出せるデータ要求が不正アクセスに関わるデータ要求では無いと判定できた場合、データ要求が最後まで取出せるのを待たずに当該パケットを速やかにサーバ計算機へ送出でき、サーバ計算機保護装置を介挿することによる遅延を少なくできるメリットがある。
【００５４】
パケットが運ぶデータ要求を取出してデータ要求保留機構１１２に格納する場合は、データ要求受信機構１１１に、図２のようなデータ要求を取出す機能を持たせることになる。この場合、サーバ計算機へのパケットの送出はデータ要求が最後まで取出せてからになるため、サーバ計算機保護装置を挿入することによる遅延が多くなるが、パケットの順序が入れ替わったり途中が抜けていたりすることに対する対応が前者に比べると簡単になると考えられる。上記した、いずれの構造を採った場合に於いても本発明の適用は可能であり、いずれの構造を採るかは本発明の範囲外である。
【００５５】
データ要求解析機構１２０に渡されたデータ要求は、偏差算出機構１２１により、そのメッセージ長の平均値からの偏差が算出される（図３ステップＳ１２）。
【００５６】
たとえば、図２で例示したデータ要求“ＧＥＴ／ｄｉｒ１／ｄｉｒ２／ｉｎｄｅｘ．ｈｔｍｌ”の場合、このメッセージ長は、２５文字となる。平均値算出機構１２４により算出された平均値が２３文字であった場合、このデータ要求の偏差は２文字ということとなる。
【００５７】
次に、算出された偏差は、偏差比較機構１２２により、閾値算出機構１２３が算出した閾値と比較される（図３ステップＳ１３，Ｓ１４）。ここで、上記偏差が上記閾値を超えた際は当該解析対象データ要求が破棄される（図３ステップＳ１５）。また、上記偏差が上記閾値を超えない際は当該解析対象データ要求がサーバ計算機に渡される（図３ステップＳ１６）。
【００５８】
例えば、閾値算出機構１２３が算出した閾値が３文字であった場合、当該データ要求の偏差２文字は、閾値を下回るため（図３ステップＳ１４ NO）、データ要求解析機構１２０は、当該データ要求は不正アクセスに関わるものではない（正当なアクセスである）と言う判定結果を返す。
【００５９】
閾値算出機構１２３は、平均値算出機構１２４により算出されたメッセージ長の平均値と、分散算出機構１２５により算出されたメッセージ長の分散から、前述したような判定に用いる閾値を算出する。閾値の算出の例としては、例えば標準偏差の５倍を閾値とする等の例が考えられる。
【００６０】
データ要求解析機構１２０は、当該データ要求は不正アクセスに関わるものではないと言う判定結果を返す場合、そのデータ要求は、平均値算出機構１２４と分散算出機構１２５にも渡され、データ要求のメッセージ長の平均値と分散の値が更新される。このように、不正アクセスに関わるものではないデータ要求の平均値と分散を求めておくことで、新たに受信したデータ要求が不正アクセスに関わるものであるか否かの判定をより正確に行えるようになる。
【００６１】
データ要求解析機構１２０が、当該データ要求は不正アクセスに関わるものではないと言う判定結果を返した場合には、データ要求転送機構１１０は、データ要求保留機構１１２に格納されていた当該データ要求をデータ要求送信機構１１３によりネットワークインタフェース１０１Ｂを介してサーバ計算機へ送出する。
【００６２】
データ要求送信機構１１３は、データ要求保留機構１１２にデータ要求を格納する際、パケット単位で格納していた場合には、データ要求保留機構１１２に格納されていたパケットをそのままネットワークインタフェース１０１Ｂへ送出し、パケットが運ぶデータ要求を取り出して格納していた場合には、格納されていたデータ要求をネットワークインタフェースを介して送出できるパケットの形へと変換してからネットワークインタフェース１０１Ｂへ送出する。
【００６３】
このように、不正アクセスに関わるものではないデータ要求のメッセージ長の平均値と分散を求め、その値に基づいた閾値によって、データ要求が不正アクセスに関わるものであるか否かの判定を行うことで、不正アクセスに関わるものでは無いデータ要求のメッセージ長の集合から掛け離れた長さをもつデータ要求を検出することが可能となる。
【００６４】
不正アクセスの手段の中で大きな割合を占めるものとして、サーバ計算機が予想しているよりも長い長さをもつデータ要求メッセージを送ることによって、バッファメモリを溢れさせ、サーバ計算機に誤動作を起こす、バッファオーバーフローという手口があるが、上記した本発明のサーバ計算機保護装置を適用することで、このバッファオーバーフローという手口を用いた不正アクセスから、サーバ計算機を確実に保護することが可能となる。
【００６５】
このように、本発明の第１実施形態に於いては、特徴がデータベースに格納されていないデータ要求を用いた、新しい不正アクセス手段によるサーバへの不正アクセスが試みられた場合であっても、サーバ計算機が不正アクセスされることを防ぐことができる、サーバ計算機保護装置を実現することができる。また、利用者（サーバ管理者）が、データ要求の長さについて、あらかじめ許される長さの閾値を設定する必要の無い、保守性に優れたサーバ計算機保護装置が実現できる。
【００６６】
図４は本発明の第２実施形態に於けるサーバ計算機保護装置の構成を示すブロック図である。
【００６７】
図４に示すサーバ計算機保護装置に於いて、ネットワークインタフェース２０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース２０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【００６８】
データ要求転送機構２１０は、データ要求受信機構２１１と、データ要求保留機構２１２と、データ要求送信機構２１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース２０１Ａを介して受信したデータ要求をデータ要求解析機構２２０に渡し、データ要求解析機構２２０が、不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース２０１Ａを介して受信したデータ要求をネットワークインタフェース２０１Ｂを介してネットワークセグメント（Ｂ）へ送出する機能をもつ。データ要求受信機構２１１は、ネットワークインタフェース２０１Ａ上のデータ要求を受信する機能をもつ。データ要求保留機構２１２は、データ要求受信機構２１１が受信したデータ要求をデータ要求解析機構２２０が解析している期間中、保留する機能をもつ。データ要求送信機構２１３は、データ要求解析機構２２０が、上記受信したデータ要求について不正アクセスに関わるものではないと判定した場合に、データ要求保留機構２１２に保留されているデータ要求をネットワークインタフェース２０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【００６９】
データ要求解析機構２２０は、偏差算出機構２２１と、偏差比較機構２２２と、閾値算出機構２２３と、平均値算出機構２２４と、分散算出機構２２５と、データ要求分類機構２２６とを備え、データ要求転送機構２１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。データ要求分類機構２２６は、受信したデータ要求を分類する機能をもつ。平均値算出機構２２４は、データ要求分類機構２２６により同種と分類されたデータ要求のメッセージ長の平均値を算出する機能をもつ。分散算出機構２２５は、データ要求分類機構２２６により同種と分類されたデータ要求のメッセージ長の分散を算出する機能をもつ。閾値算出機構２２３は、データ要求分類機構２２６により同種と分類されたデータ要求のメッセージ長の偏差の閾値を算出する機能をもつ。偏差比較機構２２２は、閾値算出機構２２３が算出した閾値と、偏差算出機構２２１が算出した偏差とを比較する機能をもつ。偏差算出機構２２１は、解析対象データ要求のメッセージ長と、平均値算出機構２２４が算出した解析対象データ要求と同種と分類されたデータ要求の平均値とからメッセージ長の偏差を算出する機能をもつ。
【００７０】
図５および図６はそれぞれ上記第２実施形態の処理例を説明するためのデータ要求の分類例を示す図である。
【００７１】
図７は上記第２実施形態の処理手順を示すフローチャートである。
【００７２】
この第２実施形態によるサーバ計算機保護装置は、上記第１実施形態に於けるサーバ計算機保護装置のデータ要求解析機構に、データ要求分類機構２２６を付加し、平均値や分散および閾値の算出を、データ要求分類機構２２６によって、同一の種類のデータ要求であると判断された集団（種類）毎に行うものである。
【００７３】
図４に示すサーバ計算機保護装置に於いて、ネットワークインタフェース２０１Ａを介してクライアントからデータ要求を含むパケットが送出されると、当該パケットに含まれるデータ要求は、データ要求転送機構２１０のデータ要求受信機構２１１に受信される（図７ステップＳ２１）。
【００７４】
データ要求受信機構２１１に受信されたデータ要求は、データ要求保留機構２１２に保留されるとともに、データ要求解析機構２２０に渡され、データ要求解析機構２２０に於いて不正アクセスに関わるデータ要求であるか否かが判定される。
【００７５】
データ要求解析機構２２０に渡されたデータ要求は、データ要求分類機構２２６によって、あらかじめ決められた種類別に分類され（図７ステップＳ２２）、その分類した種類毎に、偏差算出機構２２１により、メッセージ長の平均値からの偏差が算出される（図７ステップＳ２３）。ここで算出された偏差は、偏差比較機構２２２により、閾値算出機構２２３が算出した閾値と比較される（図７ステップＳ２４，Ｓ２５）。ここで、上記偏差が上記閾値を超えた際は当該解析対象データ要求が破棄され（図７ステップＳ２６）、また、上記偏差が上記閾値を超えない際は当該解析対象データ要求がサーバ計算機に渡される（図７ステップＳ２７）。
【００７６】
上記したデータ要求分類機構２２６による分類の基準としては、例えば、図５に示すＨＴＴＰの例のように、同一のディレクトリに格納されているデータへのデータ要求を、同一の種類と分類する手段がある。あるいは、図６に示すＨＴＴＰの例のように、要求するデータは同一で、パラメータのみ異る場合に、同一の種類と分類する手段も考えられる。
【００７７】
このように、データ要求分類機構２２６によってデータ要求を分類し、その分類された同一種類のデータ要求毎に、平均値や分散および閾値の算出を行うことで、データ要求が不正アクセスに関わるものであるか否かの判定をより正確に行うことができるとともに、特徴がデータベースに格納されていない新しい不正アクセス手段によりサーバへの不正アクセスが試みられた場合でも、サーバ計算機が不正にアクセスされることを防ぐことのできるサーバ計算機保護装置が実現できる。
【００７８】
図８は本発明の第３実施形態に於けるサーバ計算機保護装置の構成を示すブロック図である。
【００７９】
図８に示すサーバ計算機保護装置に於いて、ネットワークインタフェース３０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース３０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【００８０】
データ要求転送機構３１０は、データ要求受信機構３１１と、データ要求保留機構３１２と、データ要求送信機構３１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース３０１Ａを介して受信したデータ要求をデータ要求解析機構３２０に渡し、データ要求解析機構３２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース３０１Ａを介して受信したデータ要求をネットワークインタフェース３０１Ｂを介してネットワークセグメント（Ｂ）へ送出する機能をもつ。データ要求受信機構３１１は、ネットワークインタフェース３０１Ａが受信したデータ要求を受信する機能をもつ。データ要求保留機構３１２は、データ要求受信機構３１１が受信したデータ要求をデータ要求解析機構３２０が解析している期間中、保留する機能をもつ。データ要求送信機構３１３は、データ要求解析機構３２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、データ要求保留機構３１２に保留されているデータ要求をネットワークインタフェース３０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【００８１】
データ要求解析機構３２０は、偏差算出機構３２１と、偏差比較機構３２２と、閾値算出機構３２３と、平均値算出機構３２４と、分散算出機構３２５と、データ要求分類機構３２６と、データ要求パラメータ抽出機構３２７を備え、データ要求転送機構３１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。
【００８２】
データ要求パラメータ抽出機構３２７は、受信したデータ要求の構造に従い、当該データ要求が含有するパラメータを抽出する機能をもつ。平均値算出機構３２４は、データ要求分類機構３２６により同種と分類されたデータ要求のメッセージ長の平均値およびデータ要求分類機構３２６により同種と分類されたデータ要求からデータ要求パラメータ抽出機構３２７により抽出されたパラメータの各パラメータ毎の長さの平均値を算出する機能をもつ。分散算出機構３２５は、データ要求分類機構３２６により同種と分類されたデータ要求のメッセージ長の分散、およびデータ要求分類機構３２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構３２７により抽出されたパラメータの各パラメータ毎の長さの分散を算出する機能をもつ。閾値算出機構３２３は、データ要求分類機構３２６により同種と分類されたデータ要求のメッセージ長の偏差の閾値、およびデータ要求分類機構３２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構３２７により抽出されたパラメータの各パラメータ毎の長さの偏差の閾値を算出する機能をもつ。偏差算出機構３２１は、解析対象データ要求のメッセージ長と、平均値算出機構３２４が算出した解析対象データ要求と同種と分類されたデータ要求の平均値とからメッセージ長の偏差を算出するとともに、解析対象データ要求が含有するパラメータの各パラメータ毎の長さと、平均値算出機構３２４が算出した解析対象データ要求と同種と分類されたデータ要求が含有するパラメータの各パラメータ毎の長さの平均値とからパラメータの長さの偏差を算出する機能をもつ。偏差比較機構３２２は、閾値算出機構３２３が算出した閾値と、偏差算出機構３２１が算出した偏差とを比較し、算出された偏差のうちの一つあるいは複数が閾値を超えたとき、解析対象データ要求は不正アクセスに関わるものであると判定する機能をもつ。
【００８３】
図９は上記第３実施形態の動作を説明するための、データ要求パラメータ抽出機構３２７によって抽出されるパラメータのＨＴＴＰでの一例を示す図である。
【００８４】
図１０は上記第３実施形態の処理手順を示すフローチャートである。
【００８５】
この第３実施形態によるサーバ計算機保護装置は、上記第２実施形態に於けるサーバ計算機保護装置のデータ要求解析機構に、データ要求パラメータ抽出機構３２７を付加し、平均値や分散および閾値の算出を、データ要求分類機構３２６により同一の種類のデータ要求であると判断された集団（種類）毎に、そのパラメータの長さについても行うものである。
【００８６】
図８に示すサーバ計算機保護装置に於いて、ネットワークインタフェース３０１Ａを介してクライアントからデータ要求を含むパケットが送出されると、当該パケットに含まれるデータ要求は、データ要求転送機構３１０のデータ要求受信機構３１１に受信される（図１０ステップＳ３１）。
【００８７】
データ要求受信機構３１１に受信されたデータ要求は、データ要求保留機構３１２に保留されるとともに、データ要求解析機構３２０に渡され、データ要求解析機構３２０に於いて不正アクセスに関わるデータ要求であるか否かが判定される。
【００８８】
データ要求解析機構２２０に渡されたデータ要求は、データ要求分類機構３２６によって、あらかじめ決められた種類別に分類され（図１０ステップＳ３２）、その分類した種類毎に、偏差算出機構３２１により、メッセージ長の平均値からの偏差が算出される（図１０ステップＳ３３）。ここで算出された偏差は、偏差比較機構３２２により、閾値算出機構３２３が算出した閾値と比較される（図１０ステップＳ３４，Ｓ３５）。ここで、上記偏差が上記閾値を超えた際は当該解析対象データ要求が破棄される（図１０ステップＳ３６）。また、上記偏差が上記閾値を超えない際は、データ要求パラメータ抽出機構３２７により抽出した各パラメータ毎に、偏差算出機構３２１により、パラメータ長の平均値からの偏差が算出される（図１０ステップＳ３７，Ｓ３８）。ここで算出された偏差は、偏差比較機構３２２により、閾値算出機構３２３が算出したパラメータ長の閾値と比較される（図１０ステップＳ３９，Ｓ４０）。ここで、上記偏差が上記閾値を超えた際は当該解析対象データ要求が破棄される（図１０ステップＳ４１）。また、上記データ要求パラメータ抽出機構３２７で抽出した各パラメータについて、その偏差が上記閾値を超えない際は、当該解析対象データ要求がサーバ計算機に渡される（図１０ステップＳ４２〜Ｓ４３）。
【００８９】
上記データ要求パラメータ抽出機構３２７によって抽出されるパラメータのＨＴＴＰでの一例を図９に示している。ここでは、２つのパラメータ“ｔｙｐｅ”“ｎａｍｅ”が抽出され、その各パラメータ毎にパラメータ長の平均値からの偏差が算出される。
【００９０】
このようにすることで、データ要求が不正アクセスに関わるものであるか否かの判定をさらに正確に行うことができるとともに、その特徴がデータベースに格納されていない新しい不正アクセス手段によりサーバへの不正アクセスが試みられた場合でも、サーバ計算機が不正にアクセスされることを防ぐことのできるサーバ計算機保護装置が実現できる。
【００９１】
図１１は本発明の第４実施形態に於けるサーバ計算機保護装置の構成を示すブロック図である。
【００９２】
図１１に示すサーバ計算機保護装置に於いて、ネットワークインタフェース４０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース４０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【００９３】
データ要求転送機構４１０は、データ要求受信機構４１１と、データ要求保留機構４１２と、データ要求送信機構４１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース４０１Ａを介して受信したデータ要求をデータ要求解析機構４２０に渡し、データ要求解析機構４２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース４０１Ａを介して受信したデータ要求をネットワークインタフェース４０１Ｂへ送出する機能をもつ。データ要求受信機構４１１は、ネットワークインタフェース４０１Ａ上のデータ要求を受信する機能をもつ。データ要求保留機構４１２は、データ要求受信機構４１１が受信したデータ要求をデータ要求解析機構４２０が解析している期間中、保留する機能をもつ。データ要求送信機構４１３は、データ要求解析機構４２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、データ要求保留機構４１２に保留されているデータ要求をネットワークインタフェース４０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【００９４】
データ要求解析機構４２０は、偏差算出機構４２１と、偏差比較機構４２２と、閾値算出機構４２３と、平均値算出機構４２４と、分散算出機構４２５と、データ要求分類機構４２６と、データ要求パラメータ抽出機構４２７と、不正アクセス判定通知機構４３１と、判定訂正受け付け機構４３２と、閾値補正機構４３３と、平均値補正機構４３４と、分散補正機構４３５とを備え、データ要求転送機構４１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。さらに上記閾値算出機構４２３、平均値算出機構４２４、および分散算出機構４２５の各々に対応する補正機能（閾値補正機構４３３，平均値補正機構４３４，分散補正機構４３５）をもつ。
【００９５】
データ要求パラメータ抽出機構４２７は、受信したデータ要求の構造に従い、当該データ要求が含有するパラメータを抽出する機能をもつ。平均値算出機構４２４は、データ要求分類機構４２６により同種と分類されたデータ要求のメッセージ長の平均値、およびデータ要求分類機構４２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構４２７により抽出されたパラメータの各パラメータ毎の長さの平均値を算出する機能をもつ。分散算出機構４２５は、データ要求分類機構４２６により同種と分類されたデータ要求のメッセージ長の分散、およびデータ要求分類機構４２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構４２７により抽出されたパラメータの各パラメータ毎の長さの分散を算出する機能をもつ。閾値算出機構４２３は、データ要求分類機構４２６により同種と分類されたデータ要求のメッセージ長の偏差の閾値、およびデータ要求分類機構４２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構４２７により抽出されたパラメータの各パラメータ毎の長さの偏差の閾値を算出する機能をもつ。偏差算出機構４２１は、解析対象データ要求のメッセージ長と、平均値算出機構４２４が算出した解析対象のデータ要求と同種と分類されたデータ要求の平均値とからメッセージ長の偏差を算出するとともに、解析対象データ要求が含有するパラメータの各パラメータ毎の長さと、平均値算出機構４２４が算出した解析対象データ要求と同種と分類されたデータ要求が含有するパラメータのパラメータ毎の長さの平均値とからパラメータの長さの偏差を算出する機能をもつ。偏差比較機構４２２は、閾値算出機構３２３が算出した閾値と、偏差算出機構３２１が算出した偏差とを比較し、算出された偏差のうちの一つあるいは複数が閾値を超えたとき、解析対象データ要求は不正アクセスに関わるものであると判定する機能をもつ。
【００９６】
不正アクセス判定通知機能４３１は、データ要求転送機構４１０が受信した、クライアントからサーバへ送られるデータ要求が不正アクセスに関わるものであると判定した際に、その旨をサーバ管理者に通知する機能をもつ。判定訂正受付け機構４３２は、当該通知された判定が誤っていた際に、サーバ管理者からの訂正指示を受付ける機能をもつ。閾値補正機構４３３は、判定訂正受付け機構４３２が管理者からの訂正指示を受付けた場合に閾値算出機構４２３が算出する閾値を補正する機能をもつ。平均値補正機構４３４は、判定訂正受付け機構４３２がサーバ管理者からの訂正指示を受付けた場合に平均値算出機構４２４が算出する平均値を補正する機能をもつ。分散補正機構４３５は、判定訂正受付け機構４３２がサーバ管理者からの訂正指示を受付けた場合に分散算出機構４２５が算出する分散を補正する機能をもつ。
【００９７】
図１１に示す第４実施形態のサーバ計算機保護装置は、前述した図８に示す第３実施形態のサーバ計算機保護装置の各構成要素に加えて、不正アクセス判定通知機構４３１と、判定訂正受付け機構４３２と、閾値補正機構４３３と、平均値補正機構４３４と、分散補正機構４３５とを具備し、データ要求解析機構４２０が受信データを不正アクセスに関わるものであると判定した際に、その判定が誤っていた場合、サーバ管理者が、平均値や分散や閾値の補正を行えるようにしたもので、不正アクセス判定機能の動作については上述した第３実施形態と同様であるので、ここではその説明を省略する。
【００９８】
データ要求転送機構４１０から受信されたデータ要求がデータ要求解析機構４２０に渡され、データ要求解析機構４２０に於いて、偏差算出機構４２１により算出された当該データの偏差と、閾値算出機構４２３により算出された閾値とを偏差比較機構４２２が比較した結果、偏差が閾値よりも大きい場合、データ要求解析機構４２０は、データ要求転送機構４１０に、解析対象データ要求を不正アクセスに関わるものであるとの判定結果を伝えると同時に、不正アクセス判定通知機構４３１により、サーバ管理者に対して、受信したデータ要求が不正アクセスに関わるものであると判定した旨を通知する。この際の通知手段としては、メールやＳＮＭＰ（simple network management protocol）などによりネットワーク経由で行う方法や、ログファイルの形で記録を残し、リモートから或はローカルのパネル操作などによるログ表示機能によってログを表示することで行うなどの手段がある。通知内容には少なくとも不正アクセスに関わるものであると判定したデータ要求を含む必要がある。
【００９９】
受信したデータ要求が不正アクセスに関わるものであると判定した旨を通知されたサーバ管理者は、当該判定が誤っていると判断した場合に、判定訂正受付け機構４３２を用いて、平均値や分散や閾値を補正することが可能である。補正する手段としては、メールやＳＮＭＰやＨＴＴＰなどによりネットワーク経由で行う方法や、ローカルのパネル操作などによって行うなどの手段がある。
【０１００】
補正の内容としては、閾値算出機構４３３や平均値算出機構４２４や分散算出機構４３５でそれぞれの算出に用いる内部データを直接変更する方法がある。あるいは、不正アクセスに関わるという判定が誤っていたことのみ指示し、当該不正アクセスに関わると判定されたデータ要求が、不正アクセスに関わるデータ要求ではないと判定されるように、閾値算出機構４３３や平均値算出機構４２４や分散算出機構４３５がそれぞれの算出に用いる内部データを自ら修正する方法も考えられる。
【０１０１】
このような機能をもつことで、データ要求が不正アクセスに関わるものであるか否かの判定をさらに正確に行うことができ、また誤って不正アクセスと判定してしまったデータ要求も、訂正後は不正アクセスと誤って判定されることがなく、かつその特徴がデータベースに格納されていない新しい不正アクセス手段によりサーバへの不正アクセスを試みられた場合でも、サーバ計算機が不正にアクセスされることを防ぐことのできるサーバ計算機保護装置が実現できる。
【０１０２】
図１２は本発明の第５実施形態に於けるサーバ計算機保護装置の構成を示すブロック図である。
【０１０３】
図１２に示すサーバ計算機保護装置に於いて、ネットワークインタフェース５０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース５０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【０１０４】
データ要求転送機構５１０は、データ要求受信機構５１１と、データ要求保留機構５１２と、データ要求送信機構５１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース５０１Ａを介して受信したデータ要求をデータ要求解析機構５２０に渡し、データ要求解析機構５２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース５０１Ａを介して受信したデータ要求をネットワークインタフェース５０１Ｂへ送出する機能をもつ。データ要求受信機構５１１は、ネットワークインタフェース５０１Ａが受信したデータ要求を受信する機能をもつ。データ要求保留機構５１２は、データ要求受信機構５１１が受信したデータ要求をデータ要求解析機構５２０が解析している期間中、保留する機能をもつ。データ要求送信機構５１３は、データ要求解析機構５２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、データ要求保留機構５１２に保留されているデータ要求をネットワークインタフェース５０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【０１０５】
データ要求解析機構５２０は、パラメータ文字種頻度格納機構５２１と、データ要求パラメータ抽出機構５２２と、データ要求分類機構５２３と、不正アクセス判定機構５２４とを備え、データ要求転送機構５１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。データ要求分類機構５２３は、受信したデータ要求を分類する機能をもつ。データ要求パラメータ抽出機構５２２は、受信したデータ要求の構造に従い当該データ要求が含有するパラメータを抽出する機能をもつ。パラメータ文字種頻度格納機構５２１は、データ要求分類機構５２３により同種と分類されたデータ要求から、データ要求パラメータ抽出機構５２２により抽出されたパラメータの各パラメータ毎に使用されている文字種の出現回数を頻度表として格納する機能をもつ。不正アクセス判定機構５２４は、解析対象データ要求から、データ要求パラメータ抽出機構５２２により抽出されたパラメータの各パラメータ毎に使用されている文字種が、パラメータ文字種頻度格納機構５２１に格納されている頻度表に於いて、頻度「０」であった場合、当該解析対象データ要求は不正アクセスに関わるものであると判定する機能をもつ。
【０１０６】
図１３は上記第５実施形態に於ける頻度表の一例を示す図であり、図１４は上記第５実施形態に於ける更新後の頻度表の一例を示す図である。
【０１０７】
図１５は上記第５実施形態の処理手順を示すフローチャートである。
【０１０８】
図１２に示す本発明の第５実施形態に於けるサーバ計算機保護装置は、前述した図１に示す第１実施形態のサーバ計算機保護装置、図４に示す第２実施形態のサーバ計算機保護装置、図８に示す第３実施形態のサーバ計算機保護装置、図１１に示す第４実施形態のサーバ計算機保護装置が、それぞれメッセージの長さに着目して受信データが不正アクセスに関わるものか否かを判定していたのに対して、データ要求のパラメータが使用している文字種に着目して、受信したデータ要求が不正アクセスに関わるものであるか否かを判定するものである。
【０１０９】
データ要求転送機構５１０の動作は、前述した図１に示す第１実施形態のサーバ計算機保護装置、図４に示す第２実施形態のサーバ計算機保護装置、図８に示す第３実施形態のサーバ計算機保護装置、図１１に示す第４実施形態のサーバ計算機保護装置と同様なので、ここではその説明を省略し、データ要求解析機構５２０の動作のみについて説明する。
【０１１０】
データ要求転送機構５１０から受信したデータ要求（解析対象データ要求）を渡されたデータ要求解析機構５２０は、上記解析対象データ要求を、データ要求分類機構５２３により分類し（図１５ステップＳ５１，Ｓ５２）、さらに、データ要求パラメータ抽出機構５２２により、上記解析対象データ要求からパラメータを抽出する（図１５ステップＳ５３）。
【０１１１】
次に、データ要求パラメータ抽出機構５２２により抽出されたパラメータの各パラメータ毎に使用されている各文字種を、データ要求分類機構５２３で上記解析対象データ要求と同種と分類された、パラメータ文字種頻度格納機構５２１に格納されているパラメータ文字種頻度表の文字種と比較し、上記解析対象データ要求のパラメータに、パラメータ文字種頻度表の文字種「０」の文字が存在するか否かを調べる（図１５ステップＳ５４〜Ｓ５６）。
【０１１２】
この際の文字種の分類としては、例えば、１．数字、２．アルファベット、３．記号、４．空白と言った分類が考えられる。あるいは、さらに記号を分類したり、アルファベットと大文字と小文字で分けるなどの分類も考えられる。
【０１１３】
ここで、上記パラメータ文字種頻度格納機構５２１に格納された頻度表のうちの１つが、例えば図１３に示すものであった際に、データ要求転送機構５１０から渡されたデータ要求が、例えば“ＧＥＴ／ｃｇｉ−ｂｉｎ／ｃａｌｅｎｄｅｒ？ｙｅａｒ＝２００２＆ｍｏｎｔｈ＝９；ｅｖｉｌ ｃｏｍｍａｎｄ”というものだったとする。このとき、データ要求の種類は、“ＧＥＴ／ｃｇｉ−ｂｉｎ／ｃａｌｅｎｄｅｒ”と分類され、パラメータとしては、
「パラメータ名＝ｙｅａｒ 値＝２００２ 文字種＝数字」と「パラメータ名＝ｍｏｎｔｈ 値＝９；ｅｖｉｌ ｃｏｍｍａｎｄ 文字種＝数字と記号とアルファベット」という２つのパラメータが抽出される。
【０１１４】
図１３に示す頻度表に於いて、「パラメータ＝ｙｅａｒ・文字種＝数字」の頻度は「３７３」であり、これは不正アクセスに関わるとは判定されない。
【０１１５】
「パラメータ＝ｍｏｎｔｈ・文字種＝数字」の頻度は「３７３」であり、これも不正アクセスに関わるとは判定されない。
【０１１６】
「パラメータ＝ｍｏｎｔｈ・文字種＝記号」の頻度は「０」であり、これは不正アクセスに関わると判定される。
【０１１７】
「パラメータ＝ｍｏｎｔｈ・文字種＝アルファベット」の頻度は「０」であり、これは不正アクセスに関わると判定される。結果として、当該解析対象データ要求は不正アクセスに関わるものと判定され、その結果がデータ要求転送機構５１０に返される。
【０１１８】
次に、データ要求転送機構５１０から渡されたデータ要求が、“ＧＥＴ／ｃｇｉ−ｂｉｎ／ｃａｌｅｎｄｅｒ？ｙｅａｒ＝２００３＆ｍｏｎｔｈ＝２”というものだったとする。このとき、データ要求の種類は、“ＧＥＴ／ｃｇｉ−ｂｉｎ／ｃａｌｅｎｄｅｒ”と分類され、パラメータとしては、「パラメータ名＝ｙｅａｒ 値＝２００３ 文字種＝数字」と「パラメータ名＝ｍｏｎｔｈ 値＝２ 文字種＝数字」という２つのパラメータが抽出される。
【０１１９】
「パラメータ＝ｙｅａｒ・文字種＝数字」の頻度は「３７３」であり、これは不正アクセスに関わるとは判定されない。
【０１２０】
「パラメータ＝ｍｏｎｔｈ・文字種＝数字」の頻度は「３７３」であり、これも不正アクセスに関わるとは判定されない。
【０１２１】
結果として、解析対象データ要求は不正アクセスに関わるものでは無いと判定され、その結果がデータ要求転送機構５１０に返される。
【０１２２】
また、このとき、パラメータ文字種頻度格納機構５２１に格納されている頻度表も図１４に示すように更新される。
【０１２３】
不正アクセスの手段の中で、バッファオーバーフローという手口と同様に、大きな割合を占めるものとして、サーバ計算機が予測していない文字種をパラメータに含めることで任意のコマンドを実行してしまうなどの不正アクセスを行う手口があるが、上記した本発明の実施形態によるサーバ計算機保護装置を適用することで、この手口を用いた不正アクセスから、サーバ計算機を保護することが可能となる。
【０１２４】
このようにして、サーバ管理者が、データ要求に含まれるパラメータの各パラメータ毎の文字種について、各種データ要求毎にあらかじめ許される文字種を設定する必要の無い、保守性に優れたサーバ計算機保護装置が実現できる。
【０１２５】
図１６は本発明の第６実施形態に於けるサーバ計算機保護装置の構成を示すブロック図である。
【０１２６】
図１６に示すサーバ計算機保護装置に於いて、ネットワークインタフェース６０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース６０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【０１２７】
データ要求転送機構６１０は、データ要求受信機構６１１と、データ要求保留機構６１２と、データ要求送信機構６１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース６０１Ａを介して受信したデータ要求をデータ要求解析機構６２０に渡し、データ要求解析機構６２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース６０１Ａを介して受信したデータ要求をネットワークインタフェース６０１Ｂへ送出する機能をもつ。データ要求受信機構６１１は、ネットワークインタフェース６０１Ａが受信したデータ要求を受信する機能をもつ。データ要求保留機構６１２は、データ要求受信機構６１１が受信したデータ要求をデータ要求解析機構６２０が解析している期間中、保留する機能をもつ。データ要求送信機構６１３は、データ要求解析機構６２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、データ要求保留機構６１２に保留されているデータ要求をネットワークインタフェース６０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【０１２８】
データ要求解析機構６２０は、パラメータ文字種頻度格納機構６２１と、データ要求パラメータ抽出機構６２２と、データ要求分類機構６２３と、不正アクセス判定機構６２４と、不正アクセス判定通知機構６３１と、判定訂正受け付け機構６３２と、パラメータ文字種頻度補正機構６３３を備え、データ要求転送機構６１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。
【０１２９】
データ要求分類機構６２３は、受信したデータ要求を分類する機能をもつ。データ要求パラメータ抽出機構６２２は、受信したデータ要求の構造に従い当該データ要求が含有するパラメータを抽出する機能をもつ。パラメータ文字種頻度格納機構６２１は、データ要求分類機構６２３により同種と分類されたデータ要求から、データ要求パラメータ抽出機構６２２により抽出されたパラメータの各パラメータ毎に使用されている文字種の出現回数を頻度表として格納する機能をもつ。不正アクセス判定機構６２４は、解析対象データ要求からデータ要求パラメータ抽出機構６２２により抽出されたパラメータの各パラメータ毎に使用されている文字種が、パラメータ文字種頻度格納機構６２１に格納されている同一分類の頻度表との比較で文字種頻度「０」であった場合、解析対象データ要求は不正アクセスに関わるものであると判定する機能をもつ。
【０１３０】
不正アクセス判定通知機能６３１は、解析対象データ要求が不正アクセスに関わるものであると判定した際に、その旨をサーバ管理者に通知する機能をもつ。判定訂正受付け機構６３２は、上記通知された判定が誤っていた際に、サーバ管理者からの訂正指示を受付ける機能をもつ。パラメータ文字種頻度補正機構６３３は、判定訂正受付け機構６３２がサーバ管理者からの訂正指示を受付けた場合に、パラメータ文字種頻度格納機構６２１に格納されている頻度表を補正する機能をもつ。
【０１３１】
図１６に示す本発明の第６実施形態に於けるサーバ計算機保護装置は、前述した図１２に示す第５実施形態に於けるサーバ計算機保護装置の各構成要素に加えて、不正アクセス判定通知機構６３１と、判定訂正受付け機構６３２と、パラメータ文字種頻度補正機構６３３とを具備し、データ要求解析機構６２０が解析対象データ要求を不正アクセスに関わるものであると判定した際に、その判定が誤っていた場合、サーバ管理者がパラメータ文字種頻度格納機構６２１に格納された頻度表の補正を行えるようにしたものである。
【０１３２】
データ要求転送機構６１０からデータ要求解析機構６２０に、受信されたデータ要求が渡され、データ要求解析機構６２０に於いて、データ要求の分類とパラメータの抽出を行い、パラメータ文字種頻度格納機構６２１に格納されている頻度表を参照した結果、パラメータ文字種頻度格納機構６２１に格納されている同一分類の頻度表の文字種頻度が「０」であった場合、データ要求解析機構６２０は、データ要求転送機構６２０に、当該解析対象データ要求を不正アクセスに関わるものであるという判定結果を伝えると同時に、不正アクセス判定通知機構６３１により、サーバ管理者にたいして、解析対象データ要求が不正アクセスに関わるものであると判定した旨を通知する。この通知手段としては、上述した第４実施形態と同様に、メールやＳＮＭＰなどによりネットワーク経由で行う方法や、ログファイルの形で記録を残し、リモートからあるいはローカルのパネル操作などによるログ表示機能によってログを表示することで行うなどの手段がある。通知内容には少なくとも不正アクセスに関わるものであると判定したデータ要求を含む必要がある。
【０１３３】
不正アクセスに関わるものであると判定した旨を通知されたサーバ管理者は、当該判定が誤っていると判断した場合に、判定訂正受付け機構６３２を用いて、パラメータ文字種頻度格納機構６２１に格納されている頻度表を補正することが可能である。この際の補正手段としては、上述した第４実施形態と同様に、メールやＳＮＭＰやＨＴＴＰなどによりネットワーク経由で行う方法や、ローカルのパネル操作などによって行うなどの手段がある。
【０１３４】
補正の内容としては、パラメータ文字種頻度格納機構６２１に格納された頻度表を直接変更する方法がある。あるいは、不正アクセスに関わるという判定が誤っていたことのみ指示し、当該不正アクセスに関わると誤った判定をしたデータ要求が、不正アクセスに関わるデータ要求ではないと判定されるように、パラメータ文字種頻度格納機構６２１が自ら補正する方法もある。
【０１３５】
このようにして、データ要求が不正アクセスに関わるものであるか否かの判定をさらに正確に行うことができ、また誤って不正アクセスと判定してしまったデータ要求も、訂正後は不正アクセスと誤って判定されることがなく、さらにサーバ管理者が、データ要求に含まれるパラメータの各パラメータ毎の文字種について、種々のデータ要求について、あらかじめ許される文字種を設定する必要の無い、保守性に優れたサーバ計算機保護装置が実現できる。
【０１３６】
図１７は本発明の第７実施形態に於ける処理の手順を示すフローチャートであり、この第７実施形態に於けるサーバ計算機保護装置の構成は、例えば図８に示す第３実施形態に於いて、データ要求パラメータ抽出機構３２７が、データ要求からパラメータを抽出する際に、その各パラメータに含まれる数値パラメータのみを抽出し、平均値算出機構３２４と分散算出機構３２５とが数値パラメータの値の平均値と分散を算出することにより実現可能である。この際、図８に示すデータ要求解析機構３２０に於いて、データ要求パラメータ抽出機構３２７は、受信したデータ要求の構造に従い、当該データ要求が含有するパラメータの中から数値パラメータのみを抽出する機能をもつ。平均値算出機構３２４は、データ要求分類機構３２６により同種と分類されたデータ要求からデータ要求パラメータ抽出機構３２７により抽出された数値パラメータの各パラメータ毎の値の平均値を算出する機能をもつ。分散算出機構３２５は、データ要求分類機構３２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構３２７により抽出された数値パラメータの各パラメータ毎の値の分散を算出する機能をもつ。閾値算出機構３２３は、データ要求分類機構３２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構３２７により抽出された数値パラメータの各パラメータ毎の値の偏差の閾値を算出する機能をもつ。偏差算出機構３２１は、解析対象データ要求が含有する数値パラメータの各パラメータ毎の値と、平均値算出機構３２４が算出した解析対象データ要求と同種と分類されたデータ要求が含有する数値パラメータの各パラメータ毎の値の平均値とから各数値パラメータの値の偏差を算出する機能をもつ。偏差比較機構３２２は、閾値算出機構３２３が算出した閾値と、偏差算出機構３２１が算出した偏差とを比較し、算出された偏差のうちの一つあるいは複数が閾値を超えたとき、解析対象データ要求は不正アクセスに関わるものであると判定する機能をもつ。
【０１３７】
この第７実施形態に於ける処理手順を図１７に示している。ネットワークインタフェース３０１Ａを介してクライアントからデータ要求を含むパケットが送出されると、当該パケットに含まれるデータ要求は、データ要求転送機構３１０のデータ要求受信機構３１１に受信される（図１７ステップＳ７１）。
【０１３８】
データ要求受信機構３１１に受信されたデータ要求は、データ要求保留機構３１２に保留されるとともに、データ要求解析機構３２０に渡され、データ要求解析機構３２０に於いて不正アクセスに関わるデータ要求であるか否かが判定される。
【０１３９】
データ要求解析機構２２０に渡されたデータ要求は、データ要求分類機構３２６によって、あらかじめ決められた種類別に分類される（図１７ステップＳ７２）。さらにその分類した種類に従い、データ要求パラメータ抽出機構３２７により数値パラメータが抽出され（図１７ステップＳ７３，Ｓ７４）、この抽出した各数値パラメータ毎に、偏差算出機構３２１により、パラメータの値の平均値からの偏差が算出される（図１７ステップＳ７５）。算出された偏差は、偏差比較機構３２２により、閾値算出機構３２３が算出した数値パラメータの値の閾値と比較される（図１７ステップＳ７６，Ｓ７７）。ここで、上記偏差が上記閾値を超えた際は当該解析対象データ要求が破棄される（図１７ステップＳ７８）。また、上記データ要求パラメータ抽出機構３２７で抽出した各数値パラメータについて、その偏差が上記閾値を超えない際は、当該解析対象データ要求がサーバ計算機に渡される（図１７ステップＳ７９〜Ｓ８０）。
【０１４０】
このようにすることで、例えば日時、金額、期限等をパラメータとする各種のデータ要求に対して、そのデータ要求が不正アクセスに関わるものであるか否かの判定をさらに正確に行うことができるとともに、その特徴がデータベースに格納されていない新しい不正アクセス手段によりサーバへの不正アクセスが試みられた場合でも、サーバ計算機が不正にアクセスされることを防ぐことのできるサーバ計算機保護装置が実現できる。
【０１４１】
【発明の効果】
以上詳記したように本発明によれば、本発明は、不正アクセスに関わるものではないデータ要求のメッセージ長の平均値と分散を求め、それらの値に基づいた閾値によって、データ要求が不正アクセスに関わるものであるか否かの判定を行うことで、不正アクセスに関わるものでは無いデータ要求のメッセージ長の集合から掛け離れた長さをもつ不正アクセスに関わるデータ要求を確実に検出することができ、これにより信頼性が高く、かつ保守性に優れたサーバ計算機の不正アクセスに対する保護機能を実現できる。
【図面の簡単な説明】
【図１】本発明の第１実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図２】上記第１実施形態に於けるサーバ計算機保護装置のデータ要求を取出す機構の一例を示す図。
【図３】上記第１実施形態に於ける処理動作を示すフローチャート。
【図４】本発明の第２実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図５】上記第２実施形態に於けるサーバ計算機保護装置のデータ要求の分類例を示す図。
【図６】上記第２実施形態に於けるサーバ計算機保護装置のデータ要求の分類例を示す図。
【図７】上記第２実施形態の処理手順を示すフローチャート。
【図８】本発明の第３実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図９】上記第３実施形態の動作を説明するための、データ要求パラメータ抽出機構によって抽出されるパラメータのＨＴＴＰでの一例を示す図。
【図１０】上記第３実施形態の処理手順を示すフローチャート。
【図１１】本発明の第４実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図１２】本発明の第５実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図１３】上記第５実施形態に於ける頻度表の一例を示す図。
【図１４】上記第５実施形態に於ける更新後の頻度表の一例を示す図。
【図１５】上記第５実施形態の処理手順を示すフローチャート。
【図１６】本発明の第６実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図１７】本発明の第７実施形態に於ける処理の手順を示すフローチャート。
【図１８】従来のサーバ計算機保護装置の構成を示すブロック図。
【図１９】従来のサーバ計算機保護装置の構成を示すブロック図。
【符号の説明】
１０１Ａ，１０１Ｂ，２０１Ａ，２０１Ｂ，３０１Ａ，３０１Ｂ，４０１Ａ，４０１Ｂ，５０１Ａ，５０１Ｂ，６０１Ａ，６０１Ｂ…ネットワークインタフェース、１１０，２１０，３１０，４１０，５１０，６１０…データ要求転送機構、１１１，２１１，３１１，４１１，５１１，６１１…データ要求受信機構、１１２，２１２，３１２，４１２，５１２，６１２…データ要求保留機構、１１３，２１３，３１３，４１３，５１３，６１３…データ要求送信機構、１２０，２２０，３２０，４２０，５２０，６２０…データ要求解析機構、１２１，２２１，３２１，４２１…偏差算出機構、１２２，２２２，３２２，４２２…偏差比較機構、１２３，２２３，３２３，４２３…閾値算出機構、１２４，２２４，３２４，４２４…平均値算出機構、１２５，２２５，３２５，４２５…分散算出機構、２２６，３２６，４２６…データ要求分類機構、３２７，４２７…データ要求パラメータ抽出機構、４３１，６３１…不正アクセス判定通知機構、４３２，６３２…判定訂正受け付け機構、４３３…閾値補正機構、４３４…平均値補正機構、４３５…分散補正機構、５２１，６２１…パラメータ文字種頻度格納機構、５２２，６２２…データ要求パラメータ抽出機構、５２３，６２３…データ要求分類機構、６３３…パラメータ文字種頻度補正機構。
【発明の属する技術分野】
本発明は、不特定多数あるいは特定多数のクライアントをパケット交換ネットワーク経由でサーバ計算機に接続した、クライアント／サーバシステムに適用して好適なサーバ計算機保護装置、同装置のデータ要求解析方法およびプログラムに関する。
【０００２】
【従来の技術】
不特定多数あるいは特定多数のクライアントをパケット交換ネットワーク経由でサーバ計算機に接続した、クライアント／サーバシステムに於いては、上記サーバ計算機への不正アクセスの防止を行う機能をもつサーバ計算機保護装置が用いられる（例えば、特許文献１参照）。
【０００３】
このサーバ計算機保護装置は、既知の不正アクセスに関わるデータ要求の特徴を格納したデータベースを備え、受信したデータ要求を前記データベース内に格納された特徴と比較して、そのうちのいずれかに一致した場合、上記受信したデータ要求を不正アクセスに関わるデータ要求であるとして破棄する。
【０００４】
従来のこの種サーバ計算機保護装置の構成を図１８、および図１９を参照して説明する。図１８に示すサーバ計算機保護装置に於いて、ネットワークインタフェース８０１Ａは、ネットワークセグメント（Ａ）を介し、図示しないクライアントとの間でパケットの送受信を行う機能をもつ。ネットワークインタフェース８０１Ｂは、ネットワークセグメント（Ｂ）を介し、図示しないサーバ計算機との間でパケットを送受信する機能をもつ。
【０００５】
データ要求転送機構８１０は、データ要求受信機構８１１とデータ要求保留機構８１２とデータ要求送信機構８１３とを備え、受信したデータ要求をデータ要求解析機構８２０に渡し、データ要求解析機構８２０が、不正アクセスに関わるものではないと判定した場合に、ネットワークインタフェース８０１Ａで受信したデータ要求をネットワークインタフェース８０１Ｂへ送出する機能をもつ。データ要求受信機構８１１は、ネットワークインタフェース８０１Ａで受信したデータ要求を受信する機構をもつ。データ要求保留機構８１２は、データ要求受信機構８１１が受信したデータ要求をデータ要求解析機構８２０が解析している期間中、保留する機能をもつ。データ要求送信機構８１３は、データ要求解析機構８２０が、不正アクセスに関わるものではないと判定した場合に、データ要求保留機構８１２に保留されているデータ要求をネットワークインタフェース８０１Ｂへ送出する機能をもつ。
【０００６】
データ要求解析機構８２０は、不正アクセス特徴比較機構８２１と不正アクセス特徴データベース８２２を備え、データ要求転送機構８１０から渡されたデータ要求が、不正アクセスに関わるものであるか否かを判定する機能をもつ。不正アクセス特徴比較機構８２１は、渡されたデータ要求の中に、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴が含まれているか否かを検索し、検索の結果、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴のいずれかが含まれていた場合、当該データ要求は、不正アクセスに関わるものと判定し、また、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴が一切含まれていなかった場合、当該データ要求は、不正アクセスに関わるものではないと判定する機能をもつ。
【０００７】
ここで、あるクライアントがサーバ計算機へデータ要求を送出したとする。 ネットワークインタフェース８０１Ａで受信されたデータ要求は、データ要求受信機構８１１により受け取られる。
【０００８】
データ要求受信機構８１１で受け取られたデータ要求は、データ要求保留機構８１２に保留されるとともに、データ要求解析機構８２０にも渡される。
【０００９】
データ要求解析機構８２０に渡されたデータ要求は、不正アクセス特徴比較機構８２１によって、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴が含まれているか否かが検索される。
【００１０】
検索の結果、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴のいずれかが含まれていた場合、当該データ要求は、不正アクセスに関わるものと判定し、また、不正アクセス特徴データベース８２２に格納されている不正アクセスデータ要求の特徴が一切含まれていなかった場合、当該データ要求は、不正アクセスに関わるものではないと判定し、いずれの場合も、その判定結果をデータ要求転送機構８１０へ返す。
【００１１】
判定結果を受け取ったデータ要求転送機構８１０は、不正アクセスに関わるものと判定された場合、データ要求保留機構８１２に保留されている当該データ要求を破棄し、不正アクセスに関わるものではないと判定された場合、データ要求保留機構８１２に保留されている当該データ要求をデータ要求送信機構８１３により、ネットワークインタフェース８０１Ｂを介してサーバ計算機へ送出する。
【００１２】
このようにして、サーバ計算機への不正アクセスを防ぐことができるサーバ計算機保護装置が実現されている。
【００１３】
また、別の従来のサーバ計算機保護装置として、サーバ計算機が受信し得るデータ要求のメッセージ長や、当該データ要求が含有するパラメータのパラメータ毎の長さや文字種についてあらかじめ閾値や許される文字種を設定しておき、受信したデータ要求のメッセージ長や含有するパラメータのパラメータ毎の長さと、あらかじめ設定された閾値を比較し、受信したデータ要求のメッセージ長や含有するパラメータのパラメータ毎の長さの内の一つあるいは複数が当該閾値よりも大きい場合、当該データ要求を破棄し、また、受信したデータ要求のパラメータのパラメータ毎の文字種が、あらかじめ設定された許される文字種では無い場合、不正アクセスに関わるデータ要求として、当該データ要求を破棄する機構を備えたサーバ計算機保護装置も存在する。
【００１４】
この種サーバ計算機保護装置の構成例を図１９に示す。図１９に示すサーバ計算機保護装置に於いて、ネットワークインタフェース９０１Ａは、ネットワークセグメント（Ａ）を介し、図示しないクライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース９０１Ｂは、ネットワークセグメント（Ｂ）を介し、図示しないサーバ計算機との間でパケットを送受信する機能をもつ。
【００１５】
データ要求転送機構９１０は、データ要求受信機構９１１とデータ要求保留機構９１２とデータ要求送信機構９１３とを備え、受信したデータ要求をデータ要求解析機構９２０に渡し、データ要求解析機構９２０が、不正アクセスに関わるものではないと判定した場合に、ネットワークインタフェース９０１Ａで受信したデータ要求をネットワークインタフェース９０１Ｂへ送出する機能をもつ。データ要求受信機構９１１は、ネットワークインタフェース９０１Ａで受信したデータ要求を受信する機能をもつ。データ要求保留機構９１２は、データ要求受信機構９１１が受信したデータ要求をデータ要求解析機構９２０が解析している期間中、保留する機能をもつ。データ要求送信機構９１３は、データ要求解析機構９２０が、不正アクセスに関わるものではないと判定した場合に、データ要求保留機構９１２に保留されているデータ要求をネットワークインタフェース９０１Ｂへ送出する機能をもつ。
【００１６】
データ要求解析機構９２０は、パラメータ長比較機構９２１とパラメータ文字種比較機構９２２とパラメータ長閾値設定機構９２３とパラメータ文字種設定機構９２４とを備え、データ要求転送機構９１０から渡されたデータ要求が、不正アクセスに関わるものであるか否かを判定する機能をもつ。パラメータ長比較機構９２１は、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎の長さを、各々パラメータ長閾値設定機構９２３で設定された閾値と比較し、当該データ要求に含有されるいずれかのパラメータの長さが対応するパラメータ長閾値設定機構９２３で設定された閾値よりも長かった場合、当該データ要求は、不正アクセスに関わるものと判定し、また、対応するパラメータ長閾値設定機構９２３で設定された閾値よりも短かった場合、当該データ要求は、不正アクセスに関わるものではないと判定する機能をもつ。パラメータ文字種比較機構９２２は、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎に使用されている文字種を、各々パラメータ文字種設定機構９２４で設定された文字種と比較し、当該データ要求に含有されるいずれかのパラメータに使用されている文字種が対応するパラメータ文字種設定機構９２４で設定された許される文字種ではない場合、当該データ要求は、不正アクセスに関わるものと判定し、また、パラメータに使用されている文字種が対応するパラメータ文字種設定機構９２４で設定された許される文字種であった場合には、当該データ要求は、不正アクセスに関わるものではないと判定する機能をもつ。パラメータ長閾値設定機構９２３は、データ要求解析機構９２０が解析対象とし得るデータ要求の各々について、当該データ要求に含有されるパラメータのパラメータ毎の閾値を設定する機能をもつ。パラメータ文字種設定機構９２４は、データ要求解析機構９２０が解析対象とし得るデータ要求の各々について、当該データ要求に含有されるパラメータのパラメータ毎の許される文字種を設定する機能をもつ。
【００１７】
ここで、あるクライアントがサーバ計算機へデータ要求を送出したとする。 ネットワークインタフェース９０１Ａで受信されたデータ要求は、データ要求転送機構９１０に設けられたデータ要求受信機構９１１により受け取られる。データ要求受信機構９１１で受け取られたデータ要求は、データ要求保留機構９１２に保留されるとともに、データ要求解析機構９２０にも渡される。
【００１８】
データ要求解析機構９２０に渡されたデータ要求は、パラメータ長比較機構９２１によってデータ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎の長さを、各々パラメータ長閾値設定機構９２３で設定された閾値と比較される。
【００１９】
また、同時に、パラメータ文字種比較機構９２２によって当該データ要求に含有されるいずれかのパラメータに使用されている文字種を対応するパラメータ文字種設定機構９２４で設定された許される文字種と比較される。
【００２０】
パラメータ長比較機構９２１に於いて、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎の長さを、各々パラメータ長閾値設定機構９２３で設定された閾値と比較し、当該データ要求に含有されるいずれかのパラメータの長さが対応するパラメータ長閾値設定機構９２３で設定された閾値よりも長かった場合、あるいは、パラメータ文字種比較機構９２２に於いて、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎に使用されている文字種を、各々パラメータ文字種設定機構９２４で設定された文字種と比較し、当該データ要求に含有されるいずれかのパラメータに使用されている文字種が対応するパラメータ文字種設定機構９２４で設定された許される文字種ではなかった場合、当該データ要求は、不正アクセスに関わるものと判定する。また、パラメータ長比較機構９２１に於いて、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎の長さを、各々パラメータ長閾値設定機構９２３で設定された閾値と比較し、当該データ要求に含有されるいずれかのパラメータの長さが対応するパラメータ長閾値設定機構９２３で設定された閾値よりも短かく、かつ、パラメータ文字種比較機構９２２で、データ要求解析機構９２０に渡されたデータ要求に含有されるパラメータのパラメータ毎に使用されている文字種を、各々パラメータ文字種設定機構９２４で設定された文字種と比較し、当該データ要求に含有されるいずれかのパラメータに使用されている文字種が対応するパラメータ文字種設定機構９２４で設定された許される文字種であった場合、当該データ要求は、不正アクセスに関わるものではないと判定し、いずれの場合も、その判定結果をデータ要求転送機構９１０へ返す。
【００２１】
判定結果を受けとったデータ要求転送機構９１０は、不正アクセスに関わるものと判定された場合、データ要求保留機構９１２に保留されている当該データ要求を破棄し、不正アクセスに関わるものではないと判定された場合には、データ要求保留機構９１２に保留されている当該データ要求をデータ要求送信機構９１３により、ネットワークインタフェース９０１Ｂを介してサーバ計算機へ送出する。
【００２２】
このようにして、サーバ計算機への不正アクセスを防ぐことができるサーバ計算機保護装置が実現されている。
【００２３】
しかしながら上記した従来技術に於いては以下のような問題があった。即ち、既知の不正アクセスに関わるデータ要求の特徴を格納したデータベースを備え、受信したデータ要求を上記データベース内に格納された特徴と比較する図１８に示したような従来技術に於いては、上記データベースに格納されていない新しい不正アクセス手段を用いたデータ要求により、サーバへの不正アクセスを試みられた場合、データ要求解析機構は、当該データ要求は不正アクセスに関わるものでは無いと判定してしまい、結果として、不正アクセスが成功してしまうという問題があった。
【００２４】
また、データ要求が含有するパラメータのパラメータ毎の長さや文字種について個々のデータ要求についてあらかじめ閾値や許される文字種を設定する図１９に示したような従来技術に於いては、サーバが処理可能なデータ要求が追加や変更された場合、それに対応する、データ要求メッセージが含有するパラメータのパラメータ毎の長さや文字種について個々のデータ要求についてあらかじめ閾値や許される文字種の設定情報の追加や変更を行なわなければならず、多くの手間がかかっていた。また、追加や変更を怠った際は不正アクセスを許してしまうという不都合が生じる虞がある等、種々の問題があった。
【００２５】
【特許文献１】
特開２００２−６３０８４
【００２６】
【発明が解決しようとする課題】
上述したように従来では、既知の不正アクセスに関わるデータ要求の特徴を格納したデータベースを備え、受信したデータ要求を上記データベース内に格納された特徴と比較する従来技術に於いては、上記データベースに格納されていない新しい不正アクセス手段を用いたデータ要求により、サーバへの不正アクセスを試みられた場合、データ要求解析機構は、当該データ要求は不正アクセスに関わるものでは無いと判定してしまい、結果として、不正アクセスが成功してしまうという問題があった。また、データ要求が含有するパラメータのパラメータ毎の長さや文字種について個々のデータ要求についてあらかじめ閾値や許される文字種を設定する従来技術に於いては、サーバが処理可能なデータ要求が追加や変更された場合、それに対応する、データ要求メッセージが含有するパラメータのパラメータ毎の長さや文字種について個々のデータ要求についてあらかじめ閾値や許される文字種の設定情報の追加や変更を行なわなければならず、多くの手間がかかっていた。また、追加や変更を怠った際は不正アクセスを許してしまうという不都合が生じる虞がある等、種々の問題があった。
【００２７】
本発明は上記実情に鑑みなされたもので、信頼性が高く、かつ保守性に優れたサーバ計算機の不正アクセスに対する保護機能を実現できる、サーバ計算機保護装置、同装置のデータ要求解析方法およびプログラムを提供することを目的とする。
【００２８】
【課題を解決するための手段】
本発明は、不正アクセスに関わるものではないデータ要求のメッセージ長の平均値と分散を求め、それらの値に基づいた閾値によって、データ要求が不正アクセスに関わるものであるか否かの判定を行うことで、不正アクセスに関わるものでは無いデータ要求のメッセージ長の集合から掛け離れた長さをもつ不正アクセスに関わるデータ要求を検出することを特徴とする。
【００２９】
即ち、本発明は、クライアントから送出されたデータ要求をサーバ計算機に代わり受信して、当該受信したデータ要求が不正アクセスに関わるものか否かを解析するデータ要求解析機構と、当該データ要求解析機構の判定に従い前記クライアントから送出されたデータ要求の前記サーバ計算機への転送を制御するデータ要求転送機構とを備えたサーバ計算機保護装置に於いて、前記データ要求解析機構に、前記サーバ計算機が過去の一定期間内に受信したデータ要求のメッセージ長の平均値を算出する平均値算出手段と、前記サーバ計算機が過去の一定期間内に受信したデータ要求のメッセージ長の分散を算出する分散算出手段と、前記平均値算出手段が算出した平均値と前記分散算出手段が算出した分散から、前記メッセージ長の偏差の閾値を算出する閾値算出手段と、前記平均値算出手段が算出した平均値と前記解析の対象にある受信したデータ要求のメッセージ長からメッセージ長の偏差を算出する偏差算出手段と、前記閾値算出手段が算出した閾値と前記偏差算出手段が算出した偏差を比較し、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する偏差比較手段とを具備したことを特徴とする。
【００３０】
また、前記サーバ計算機保護装置に於いて、前記データ要求解析機構に、受信したデータ要求を分類する分類手段をさらに具備して、前記平均値算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の平均値を算出し、前記分散算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の分散を算出し、前記閾値算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の偏差の閾値を算出し、前記偏差算出手段が前記解析の対象にある受信したデータ要求のメッセージ長と前記平均値算出手段が算出した前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求の平均値からメッセージ長の偏差を算出することを特徴とする。
【００３１】
また、前記サーバ計算機保護装置に於いて、前記データ要求解析機構に、受信したデータ要求の構造に従い当該データ要求からパラメータを抽出するパラメータ抽出手段をさらに具備して、前記平均値算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の平均値、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータ各々の長さの平均値を算出し、前記分散算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の分散、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータ各々の長さの分散を算出し、前記閾値算出手段が前記分類手段により同種と分類されたデータ要求のメッセージ長の偏差の閾値、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータ各々の長さの偏差の閾値を算出し、前記偏差算出手段が、前記解析の対象にある受信したデータ要求のメッセージ長と、前記平均値算出手段が算出した前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求の平均値からメッセージ長の偏差を算出するとともに、前記解析の対象にある受信したデータ要求に含まれるパラメータ各々の長さと、前記平均値算出手段が算出した前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求に含まれるパラメータ各々の長さの平均値とからパラメータの長さの偏差を算出し、前記偏差比較手段が前記偏差算出手段により算出された偏差のうちの一つあるいは複数が前記閾値算出手段により算出された閾値を超えたとき、前記解析の対象にあるデータ要求は不正アクセスに関わるものであると判定することを特徴とする。
【００３２】
また、本発明は、クライアントから送出されたデータ要求をサーバ計算機に代わり受信して、当該受信したデータ要求が不正アクセスに関わるものか否かを解析するデータ要求解析機構と、当該データ要求解析機構の判定に従い前記クライアントから送出されたデータ要求の前記サーバ計算機への転送を制御するデータ要求転送機構とを備えたサーバ計算機保護装置に於いて、前記データ要求解析機構に、前記受信したデータ要求を分類する分類手段と、前記受信したデータ要求の構造に従い当該データ要求からパラメータを抽出するパラメータ抽出手段と、前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータ各々に含まれる文字種の出現回数を頻度表として保持する頻度表保持手段と、前記パラメータ抽出手段により抽出された前記解析の対象にある受信したデータ要求のパラメータ各々に含まれる文字種と、前記頻度表保持手段により保持された頻度表とをもとに、前記解析の対象にある受信したデータ要求が不正アクセスに関わるものであるか否かを判定する判定手段とを具備したことを特徴とする。
【００３３】
また、本発明は、クライアントから送出されたデータ要求をサーバ計算機に代わり受信して、当該受信したデータ要求が不正アクセスに関わるものか否かを解析するデータ要求解析機構と、当該データ要求解析機構の判定に従い前記クライアントから送出されたデータ要求の前記サーバ計算機への転送を制御するデータ要求転送機構とを備えたサーバ計算機保護装置に於いて、前記データ要求解析機構に、前記受信したデータ要求を分類する分類手段と、
前記受信したデータ要求の構造に従い当該データ要求に含まれるパラメータを抽出するパラメータ抽出手段と、前記パラメータ抽出手段により抽出されたパラメータから数値パラメータのみを抽出する数値パラメータ抽出手段と、前記分類手段により同種と分類された過去の一定期間内に受信したデータ要求から前記数値パラメータ抽出手段により抽出された数値パラメータ各々の平均値を算出する平均値算出手段と、前記数値パラメータ抽出手段により抽出された数値パラメータ各々の分散を算出する分散算出手段と、前記平均値算出手段により算出された平均値と前記分散算出手段により算出された分散から、前記数値パラメータ抽出手段により抽出された数値パラメータ各々の偏差の閾値を算出する閾値算出手段と、前記平均値算出手段により算出された数値パラメータ各々の平均値と、前記解析の対象にある受信したデータ要求の前記数値パラメータ抽出手段により抽出された数値パラメータから数値パラメータ各々の偏差を算出する偏差算出手段と、前記閾値算出手段により算出された閾値と前記偏差算出手段により算出された偏差とを比較し、偏差のうちの一つあるいは複数が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する判定手段とを具備したことを特徴とする。
【００３４】
また、本発明は、クライアントから送出されたデータ要求をサーバに代わり受信して、当該受信したデータ要求が不正アクセスに関わるものであるか否かを解析するサーバ計算機保護装置のデータ要求解析方法であって、前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の平均値を算出する平均値算出ステップと、前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の分散を算出する分散算出ステップと、前記平均値算出ステップで算出した平均値および前記分散算出ステップで算出した分散から前記メッセージ長の偏差の閾値を算出する閾値算出ステップと、前記平均値算出ステップで算出した平均値と前記解析の対象にある受信したデータ要求のメッセージ長からメッセージ長の偏差を算出する偏差算出ステップと、前記閾値算出ステップで算出した閾値と前記偏差算出ステップで算出した偏差を比較して、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する判定ステップとを具備したこと特徴とする。
【００３５】
また、本発明は、ライアントから送出されたデータ要求をサーバに代わり受信して、当該受信したデータ要求が不正アクセスに関わるものであるか否かを解析するサーバ計算機保護装置のデータ要求解析装置としてコンピュータを機能させるためのプログラムであって、前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の平均値を算出する機能と、前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の分散を算出する機能と、前記算出した平均値および分散から前記メッセージ長の偏差の閾値を算出する機能と、前記算出した平均値と前記解析の対象にある受信したデータ要求のメッセージ長からメッセージ長の偏差を算出する機能と、前記算出した閾値と偏差を比較して、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する機能とをコンピュータに実現させることを特徴とする。
【００３６】
上記した本発明のサーバ計算機保護装置若しくはデータ要求解析方法若しくはプログラムを適用することによって、クライアントからサーバへ送出されるデータ要求の特徴がデータベースに格納されていない新しい不正アクセス手段によりサーバへの不正アクセスを試みられた場合であっても高い信頼性をもってサーバ計算機の不正アクセスを防ぐことができる。また、利用者がデータ要求に含まれるパラメータの各パラメータ毎の長さや文字種について個々設定する必要の無い保守性に優れた信頼性の高いサーバ計算機保護装置が実現できる。
【００３７】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態を説明する。
【００３８】
図１は本発明の第１実施形態に於ける装置システムの構成を示すブロック図である。
【００３９】
図１に示すサーバ計算機保護装置に於いて、ネットワークインタフェース１０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース１０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【００４０】
データ要求転送機構１１０は、データ要求受信機構１１１と、データ要求保留機構１１２と、データ要求送信機構１１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース１０１Ａを介して受信したデータ要求をデータ要求解析機構１２０に渡し、データ要求解析機構１２０が、不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース１０１Ａを介して受信したデータ要求をネットワークインタフェース１０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【００４１】
データ要求転送機構１１０に於いて、データ要求受信機構１１１は、ネットワークインタフェース１０１Ａで受信したデータ要求を受信する機能をもつ。データ要求保留機構１１２は、データ要求受信機構１１１がデータ要求をデータ要求解析機構１２０が解析している期間中、保留する機能をもつ。データ要求送信機構１１３は、データ要求解析機構１２０が、ネットワークインタフェース１０１Ａで受信したデータ要求が不正アクセスに関わるものではないと判定した場合に、データ要求保留機構１１２に保留されているデータ要求をネットワークインタフェース１０１Ｂへ送出する機能をもつ。
【００４２】
データ要求解析機構１２０は、偏差算出機構１２１と、偏差比較機構１２２と、閾値算出機構１２３と、平均値算出機構１２４と、分散算出機構１２５とを備え、データ要求転送機構１１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。
【００４３】
データ要求解析機構１２０に於いて、平均値算出機構１２４は、不正アクセス保護の対象となるサーバ計算機が過去の一定期間内に受信したデータ要求のメッセージ長の平均値を算出する機能をもつ。分散算出機構１２５は、上記サーバ計算機が過去の一定期間内に受信したデータ要求のメッセージ長の分散を算出する機能をもつ。閾値算出機構１２３は、平均値算出機構１２４が算出した平均値と、分散算出機構１２５が算出した分散から、メッセージ長の偏差の閾値を算出する機能をもつ。偏差算出機構１２１は、平均値算出機構１２４が算出した平均値と、解析の対象にある受信したデータ要求（ここでは解析対象データ要求と称す）のメッセージ長からメッセージ長の偏差を算出する機能をもつ。偏差比較機構１２２は、閾値算出機構１２３が算出した閾値と、偏差算出機構１２１が算出した偏差とを比較する機能をもつ。
【００４４】
図２は上記第１実施形態に於けるデータ要求の取得例を示す図である。
【００４５】
図３は上記第１実施形態の処理手順を示すフローチャートである。
【００４６】
ここで、上記第１実施形態に於ける動作を説明する。
【００４７】
図１に示すサーバ計算機保護装置に於いて、ネットワークインタフェース１０１Ａを介してクライアントからデータ要求を含むパケットが送出されると、当該パケットに含まれるデータ要求は、データ要求転送機構１１０のデータ要求受信機構１１１に受信される（図３ステップＳ１１）。
【００４８】
データ要求受信機構１１１に受信されたデータ要求は、データ要求保留機構１１２に保留されるとともに、データ要求解析機構１２０に渡され、データ要求解析機構１２０が不正アクセスに関わるデータ要求か否かの判定を行なう。尚、このデータ要求保留機構１１２にデータ要求を格納する際、パケット単位で格納する方法やパケットが運ぶデータ要求を取り出して格納する方法などがある。
【００４９】
パケット単位で格納する方法の場合は、図２に示すように、データ要求受信機構１１１からパケットを渡されたデータ要求解析機構１２０に、過去に受信したパケットを格納する過去パケット格納機構１３１と、解析に先立って過去に受信したパケットと今回受信したパケットとを組み合せて、データ要求を取り出す機能１３２とが必要となる。
【００５０】
この機能の例として、図２に、ＨＴＴＰプロトコルによるデータ要求を取出す場合を示す。
【００５１】
受信パケットでは、データ要求の断片である“ｄｉｒ２／ｉｎｄｅｘ．ｈｔｍｌ”というデータが運ばれている。
【００５２】
過去パケット格納機構１３１には、過去に受信したパケットとして、パケット１とパケット２が格納されており、それぞれのパケットにより、“ＧＥＴ／”という断片と、“ｄｉｒ１／”という断片が運ばれている。これらを、パケットの前後関係を考慮しながら接続すると、“ＧＥＴ／ｄｉｒ１／ｄｉｒ２／ｉｎｄｅｘ．ｈｔｍｌ”というデータ要求が取出せることとなる。
【００５３】
この際、図２に示す例では順序よくパケットが到着した例が示されているが、実際には、パケットの順序が入れ替わったり、途中が抜けていたりする可能性があり、それらを考慮した機構を組み込む必要がある。このような構造をとった場合、当該パケット及びそれ以前に受信したパケットを組み合せて取出せるデータ要求が不正アクセスに関わるデータ要求では無いと判定できた場合、データ要求が最後まで取出せるのを待たずに当該パケットを速やかにサーバ計算機へ送出でき、サーバ計算機保護装置を介挿することによる遅延を少なくできるメリットがある。
【００５４】
パケットが運ぶデータ要求を取出してデータ要求保留機構１１２に格納する場合は、データ要求受信機構１１１に、図２のようなデータ要求を取出す機能を持たせることになる。この場合、サーバ計算機へのパケットの送出はデータ要求が最後まで取出せてからになるため、サーバ計算機保護装置を挿入することによる遅延が多くなるが、パケットの順序が入れ替わったり途中が抜けていたりすることに対する対応が前者に比べると簡単になると考えられる。上記した、いずれの構造を採った場合に於いても本発明の適用は可能であり、いずれの構造を採るかは本発明の範囲外である。
【００５５】
データ要求解析機構１２０に渡されたデータ要求は、偏差算出機構１２１により、そのメッセージ長の平均値からの偏差が算出される（図３ステップＳ１２）。
【００５６】
たとえば、図２で例示したデータ要求“ＧＥＴ／ｄｉｒ１／ｄｉｒ２／ｉｎｄｅｘ．ｈｔｍｌ”の場合、このメッセージ長は、２５文字となる。平均値算出機構１２４により算出された平均値が２３文字であった場合、このデータ要求の偏差は２文字ということとなる。
【００５７】
次に、算出された偏差は、偏差比較機構１２２により、閾値算出機構１２３が算出した閾値と比較される（図３ステップＳ１３，Ｓ１４）。ここで、上記偏差が上記閾値を超えた際は当該解析対象データ要求が破棄される（図３ステップＳ１５）。また、上記偏差が上記閾値を超えない際は当該解析対象データ要求がサーバ計算機に渡される（図３ステップＳ１６）。
【００５８】
例えば、閾値算出機構１２３が算出した閾値が３文字であった場合、当該データ要求の偏差２文字は、閾値を下回るため（図３ステップＳ１４ NO）、データ要求解析機構１２０は、当該データ要求は不正アクセスに関わるものではない（正当なアクセスである）と言う判定結果を返す。
【００５９】
閾値算出機構１２３は、平均値算出機構１２４により算出されたメッセージ長の平均値と、分散算出機構１２５により算出されたメッセージ長の分散から、前述したような判定に用いる閾値を算出する。閾値の算出の例としては、例えば標準偏差の５倍を閾値とする等の例が考えられる。
【００６０】
データ要求解析機構１２０は、当該データ要求は不正アクセスに関わるものではないと言う判定結果を返す場合、そのデータ要求は、平均値算出機構１２４と分散算出機構１２５にも渡され、データ要求のメッセージ長の平均値と分散の値が更新される。このように、不正アクセスに関わるものではないデータ要求の平均値と分散を求めておくことで、新たに受信したデータ要求が不正アクセスに関わるものであるか否かの判定をより正確に行えるようになる。
【００６１】
データ要求解析機構１２０が、当該データ要求は不正アクセスに関わるものではないと言う判定結果を返した場合には、データ要求転送機構１１０は、データ要求保留機構１１２に格納されていた当該データ要求をデータ要求送信機構１１３によりネットワークインタフェース１０１Ｂを介してサーバ計算機へ送出する。
【００６２】
データ要求送信機構１１３は、データ要求保留機構１１２にデータ要求を格納する際、パケット単位で格納していた場合には、データ要求保留機構１１２に格納されていたパケットをそのままネットワークインタフェース１０１Ｂへ送出し、パケットが運ぶデータ要求を取り出して格納していた場合には、格納されていたデータ要求をネットワークインタフェースを介して送出できるパケットの形へと変換してからネットワークインタフェース１０１Ｂへ送出する。
【００６３】
このように、不正アクセスに関わるものではないデータ要求のメッセージ長の平均値と分散を求め、その値に基づいた閾値によって、データ要求が不正アクセスに関わるものであるか否かの判定を行うことで、不正アクセスに関わるものでは無いデータ要求のメッセージ長の集合から掛け離れた長さをもつデータ要求を検出することが可能となる。
【００６４】
不正アクセスの手段の中で大きな割合を占めるものとして、サーバ計算機が予想しているよりも長い長さをもつデータ要求メッセージを送ることによって、バッファメモリを溢れさせ、サーバ計算機に誤動作を起こす、バッファオーバーフローという手口があるが、上記した本発明のサーバ計算機保護装置を適用することで、このバッファオーバーフローという手口を用いた不正アクセスから、サーバ計算機を確実に保護することが可能となる。
【００６５】
このように、本発明の第１実施形態に於いては、特徴がデータベースに格納されていないデータ要求を用いた、新しい不正アクセス手段によるサーバへの不正アクセスが試みられた場合であっても、サーバ計算機が不正アクセスされることを防ぐことができる、サーバ計算機保護装置を実現することができる。また、利用者（サーバ管理者）が、データ要求の長さについて、あらかじめ許される長さの閾値を設定する必要の無い、保守性に優れたサーバ計算機保護装置が実現できる。
【００６６】
図４は本発明の第２実施形態に於けるサーバ計算機保護装置の構成を示すブロック図である。
【００６７】
図４に示すサーバ計算機保護装置に於いて、ネットワークインタフェース２０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース２０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【００６８】
データ要求転送機構２１０は、データ要求受信機構２１１と、データ要求保留機構２１２と、データ要求送信機構２１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース２０１Ａを介して受信したデータ要求をデータ要求解析機構２２０に渡し、データ要求解析機構２２０が、不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース２０１Ａを介して受信したデータ要求をネットワークインタフェース２０１Ｂを介してネットワークセグメント（Ｂ）へ送出する機能をもつ。データ要求受信機構２１１は、ネットワークインタフェース２０１Ａ上のデータ要求を受信する機能をもつ。データ要求保留機構２１２は、データ要求受信機構２１１が受信したデータ要求をデータ要求解析機構２２０が解析している期間中、保留する機能をもつ。データ要求送信機構２１３は、データ要求解析機構２２０が、上記受信したデータ要求について不正アクセスに関わるものではないと判定した場合に、データ要求保留機構２１２に保留されているデータ要求をネットワークインタフェース２０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【００６９】
データ要求解析機構２２０は、偏差算出機構２２１と、偏差比較機構２２２と、閾値算出機構２２３と、平均値算出機構２２４と、分散算出機構２２５と、データ要求分類機構２２６とを備え、データ要求転送機構２１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。データ要求分類機構２２６は、受信したデータ要求を分類する機能をもつ。平均値算出機構２２４は、データ要求分類機構２２６により同種と分類されたデータ要求のメッセージ長の平均値を算出する機能をもつ。分散算出機構２２５は、データ要求分類機構２２６により同種と分類されたデータ要求のメッセージ長の分散を算出する機能をもつ。閾値算出機構２２３は、データ要求分類機構２２６により同種と分類されたデータ要求のメッセージ長の偏差の閾値を算出する機能をもつ。偏差比較機構２２２は、閾値算出機構２２３が算出した閾値と、偏差算出機構２２１が算出した偏差とを比較する機能をもつ。偏差算出機構２２１は、解析対象データ要求のメッセージ長と、平均値算出機構２２４が算出した解析対象データ要求と同種と分類されたデータ要求の平均値とからメッセージ長の偏差を算出する機能をもつ。
【００７０】
図５および図６はそれぞれ上記第２実施形態の処理例を説明するためのデータ要求の分類例を示す図である。
【００７１】
図７は上記第２実施形態の処理手順を示すフローチャートである。
【００７２】
この第２実施形態によるサーバ計算機保護装置は、上記第１実施形態に於けるサーバ計算機保護装置のデータ要求解析機構に、データ要求分類機構２２６を付加し、平均値や分散および閾値の算出を、データ要求分類機構２２６によって、同一の種類のデータ要求であると判断された集団（種類）毎に行うものである。
【００７３】
図４に示すサーバ計算機保護装置に於いて、ネットワークインタフェース２０１Ａを介してクライアントからデータ要求を含むパケットが送出されると、当該パケットに含まれるデータ要求は、データ要求転送機構２１０のデータ要求受信機構２１１に受信される（図７ステップＳ２１）。
【００７４】
データ要求受信機構２１１に受信されたデータ要求は、データ要求保留機構２１２に保留されるとともに、データ要求解析機構２２０に渡され、データ要求解析機構２２０に於いて不正アクセスに関わるデータ要求であるか否かが判定される。
【００７５】
データ要求解析機構２２０に渡されたデータ要求は、データ要求分類機構２２６によって、あらかじめ決められた種類別に分類され（図７ステップＳ２２）、その分類した種類毎に、偏差算出機構２２１により、メッセージ長の平均値からの偏差が算出される（図７ステップＳ２３）。ここで算出された偏差は、偏差比較機構２２２により、閾値算出機構２２３が算出した閾値と比較される（図７ステップＳ２４，Ｓ２５）。ここで、上記偏差が上記閾値を超えた際は当該解析対象データ要求が破棄され（図７ステップＳ２６）、また、上記偏差が上記閾値を超えない際は当該解析対象データ要求がサーバ計算機に渡される（図７ステップＳ２７）。
【００７６】
上記したデータ要求分類機構２２６による分類の基準としては、例えば、図５に示すＨＴＴＰの例のように、同一のディレクトリに格納されているデータへのデータ要求を、同一の種類と分類する手段がある。あるいは、図６に示すＨＴＴＰの例のように、要求するデータは同一で、パラメータのみ異る場合に、同一の種類と分類する手段も考えられる。
【００７７】
このように、データ要求分類機構２２６によってデータ要求を分類し、その分類された同一種類のデータ要求毎に、平均値や分散および閾値の算出を行うことで、データ要求が不正アクセスに関わるものであるか否かの判定をより正確に行うことができるとともに、特徴がデータベースに格納されていない新しい不正アクセス手段によりサーバへの不正アクセスが試みられた場合でも、サーバ計算機が不正にアクセスされることを防ぐことのできるサーバ計算機保護装置が実現できる。
【００７８】
図８は本発明の第３実施形態に於けるサーバ計算機保護装置の構成を示すブロック図である。
【００７９】
図８に示すサーバ計算機保護装置に於いて、ネットワークインタフェース３０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース３０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【００８０】
データ要求転送機構３１０は、データ要求受信機構３１１と、データ要求保留機構３１２と、データ要求送信機構３１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース３０１Ａを介して受信したデータ要求をデータ要求解析機構３２０に渡し、データ要求解析機構３２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース３０１Ａを介して受信したデータ要求をネットワークインタフェース３０１Ｂを介してネットワークセグメント（Ｂ）へ送出する機能をもつ。データ要求受信機構３１１は、ネットワークインタフェース３０１Ａが受信したデータ要求を受信する機能をもつ。データ要求保留機構３１２は、データ要求受信機構３１１が受信したデータ要求をデータ要求解析機構３２０が解析している期間中、保留する機能をもつ。データ要求送信機構３１３は、データ要求解析機構３２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、データ要求保留機構３１２に保留されているデータ要求をネットワークインタフェース３０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【００８１】
データ要求解析機構３２０は、偏差算出機構３２１と、偏差比較機構３２２と、閾値算出機構３２３と、平均値算出機構３２４と、分散算出機構３２５と、データ要求分類機構３２６と、データ要求パラメータ抽出機構３２７を備え、データ要求転送機構３１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。
【００８２】
データ要求パラメータ抽出機構３２７は、受信したデータ要求の構造に従い、当該データ要求が含有するパラメータを抽出する機能をもつ。平均値算出機構３２４は、データ要求分類機構３２６により同種と分類されたデータ要求のメッセージ長の平均値およびデータ要求分類機構３２６により同種と分類されたデータ要求からデータ要求パラメータ抽出機構３２７により抽出されたパラメータの各パラメータ毎の長さの平均値を算出する機能をもつ。分散算出機構３２５は、データ要求分類機構３２６により同種と分類されたデータ要求のメッセージ長の分散、およびデータ要求分類機構３２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構３２７により抽出されたパラメータの各パラメータ毎の長さの分散を算出する機能をもつ。閾値算出機構３２３は、データ要求分類機構３２６により同種と分類されたデータ要求のメッセージ長の偏差の閾値、およびデータ要求分類機構３２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構３２７により抽出されたパラメータの各パラメータ毎の長さの偏差の閾値を算出する機能をもつ。偏差算出機構３２１は、解析対象データ要求のメッセージ長と、平均値算出機構３２４が算出した解析対象データ要求と同種と分類されたデータ要求の平均値とからメッセージ長の偏差を算出するとともに、解析対象データ要求が含有するパラメータの各パラメータ毎の長さと、平均値算出機構３２４が算出した解析対象データ要求と同種と分類されたデータ要求が含有するパラメータの各パラメータ毎の長さの平均値とからパラメータの長さの偏差を算出する機能をもつ。偏差比較機構３２２は、閾値算出機構３２３が算出した閾値と、偏差算出機構３２１が算出した偏差とを比較し、算出された偏差のうちの一つあるいは複数が閾値を超えたとき、解析対象データ要求は不正アクセスに関わるものであると判定する機能をもつ。
【００８３】
図９は上記第３実施形態の動作を説明するための、データ要求パラメータ抽出機構３２７によって抽出されるパラメータのＨＴＴＰでの一例を示す図である。
【００８４】
図１０は上記第３実施形態の処理手順を示すフローチャートである。
【００８５】
この第３実施形態によるサーバ計算機保護装置は、上記第２実施形態に於けるサーバ計算機保護装置のデータ要求解析機構に、データ要求パラメータ抽出機構３２７を付加し、平均値や分散および閾値の算出を、データ要求分類機構３２６により同一の種類のデータ要求であると判断された集団（種類）毎に、そのパラメータの長さについても行うものである。
【００８６】
図８に示すサーバ計算機保護装置に於いて、ネットワークインタフェース３０１Ａを介してクライアントからデータ要求を含むパケットが送出されると、当該パケットに含まれるデータ要求は、データ要求転送機構３１０のデータ要求受信機構３１１に受信される（図１０ステップＳ３１）。
【００８７】
データ要求受信機構３１１に受信されたデータ要求は、データ要求保留機構３１２に保留されるとともに、データ要求解析機構３２０に渡され、データ要求解析機構３２０に於いて不正アクセスに関わるデータ要求であるか否かが判定される。
【００８８】
データ要求解析機構２２０に渡されたデータ要求は、データ要求分類機構３２６によって、あらかじめ決められた種類別に分類され（図１０ステップＳ３２）、その分類した種類毎に、偏差算出機構３２１により、メッセージ長の平均値からの偏差が算出される（図１０ステップＳ３３）。ここで算出された偏差は、偏差比較機構３２２により、閾値算出機構３２３が算出した閾値と比較される（図１０ステップＳ３４，Ｓ３５）。ここで、上記偏差が上記閾値を超えた際は当該解析対象データ要求が破棄される（図１０ステップＳ３６）。また、上記偏差が上記閾値を超えない際は、データ要求パラメータ抽出機構３２７により抽出した各パラメータ毎に、偏差算出機構３２１により、パラメータ長の平均値からの偏差が算出される（図１０ステップＳ３７，Ｓ３８）。ここで算出された偏差は、偏差比較機構３２２により、閾値算出機構３２３が算出したパラメータ長の閾値と比較される（図１０ステップＳ３９，Ｓ４０）。ここで、上記偏差が上記閾値を超えた際は当該解析対象データ要求が破棄される（図１０ステップＳ４１）。また、上記データ要求パラメータ抽出機構３２７で抽出した各パラメータについて、その偏差が上記閾値を超えない際は、当該解析対象データ要求がサーバ計算機に渡される（図１０ステップＳ４２〜Ｓ４３）。
【００８９】
上記データ要求パラメータ抽出機構３２７によって抽出されるパラメータのＨＴＴＰでの一例を図９に示している。ここでは、２つのパラメータ“ｔｙｐｅ”“ｎａｍｅ”が抽出され、その各パラメータ毎にパラメータ長の平均値からの偏差が算出される。
【００９０】
このようにすることで、データ要求が不正アクセスに関わるものであるか否かの判定をさらに正確に行うことができるとともに、その特徴がデータベースに格納されていない新しい不正アクセス手段によりサーバへの不正アクセスが試みられた場合でも、サーバ計算機が不正にアクセスされることを防ぐことのできるサーバ計算機保護装置が実現できる。
【００９１】
図１１は本発明の第４実施形態に於けるサーバ計算機保護装置の構成を示すブロック図である。
【００９２】
図１１に示すサーバ計算機保護装置に於いて、ネットワークインタフェース４０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース４０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【００９３】
データ要求転送機構４１０は、データ要求受信機構４１１と、データ要求保留機構４１２と、データ要求送信機構４１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース４０１Ａを介して受信したデータ要求をデータ要求解析機構４２０に渡し、データ要求解析機構４２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース４０１Ａを介して受信したデータ要求をネットワークインタフェース４０１Ｂへ送出する機能をもつ。データ要求受信機構４１１は、ネットワークインタフェース４０１Ａ上のデータ要求を受信する機能をもつ。データ要求保留機構４１２は、データ要求受信機構４１１が受信したデータ要求をデータ要求解析機構４２０が解析している期間中、保留する機能をもつ。データ要求送信機構４１３は、データ要求解析機構４２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、データ要求保留機構４１２に保留されているデータ要求をネットワークインタフェース４０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【００９４】
データ要求解析機構４２０は、偏差算出機構４２１と、偏差比較機構４２２と、閾値算出機構４２３と、平均値算出機構４２４と、分散算出機構４２５と、データ要求分類機構４２６と、データ要求パラメータ抽出機構４２７と、不正アクセス判定通知機構４３１と、判定訂正受け付け機構４３２と、閾値補正機構４３３と、平均値補正機構４３４と、分散補正機構４３５とを備え、データ要求転送機構４１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。さらに上記閾値算出機構４２３、平均値算出機構４２４、および分散算出機構４２５の各々に対応する補正機能（閾値補正機構４３３，平均値補正機構４３４，分散補正機構４３５）をもつ。
【００９５】
データ要求パラメータ抽出機構４２７は、受信したデータ要求の構造に従い、当該データ要求が含有するパラメータを抽出する機能をもつ。平均値算出機構４２４は、データ要求分類機構４２６により同種と分類されたデータ要求のメッセージ長の平均値、およびデータ要求分類機構４２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構４２７により抽出されたパラメータの各パラメータ毎の長さの平均値を算出する機能をもつ。分散算出機構４２５は、データ要求分類機構４２６により同種と分類されたデータ要求のメッセージ長の分散、およびデータ要求分類機構４２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構４２７により抽出されたパラメータの各パラメータ毎の長さの分散を算出する機能をもつ。閾値算出機構４２３は、データ要求分類機構４２６により同種と分類されたデータ要求のメッセージ長の偏差の閾値、およびデータ要求分類機構４２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構４２７により抽出されたパラメータの各パラメータ毎の長さの偏差の閾値を算出する機能をもつ。偏差算出機構４２１は、解析対象データ要求のメッセージ長と、平均値算出機構４２４が算出した解析対象のデータ要求と同種と分類されたデータ要求の平均値とからメッセージ長の偏差を算出するとともに、解析対象データ要求が含有するパラメータの各パラメータ毎の長さと、平均値算出機構４２４が算出した解析対象データ要求と同種と分類されたデータ要求が含有するパラメータのパラメータ毎の長さの平均値とからパラメータの長さの偏差を算出する機能をもつ。偏差比較機構４２２は、閾値算出機構３２３が算出した閾値と、偏差算出機構３２１が算出した偏差とを比較し、算出された偏差のうちの一つあるいは複数が閾値を超えたとき、解析対象データ要求は不正アクセスに関わるものであると判定する機能をもつ。
【００９６】
不正アクセス判定通知機能４３１は、データ要求転送機構４１０が受信した、クライアントからサーバへ送られるデータ要求が不正アクセスに関わるものであると判定した際に、その旨をサーバ管理者に通知する機能をもつ。判定訂正受付け機構４３２は、当該通知された判定が誤っていた際に、サーバ管理者からの訂正指示を受付ける機能をもつ。閾値補正機構４３３は、判定訂正受付け機構４３２が管理者からの訂正指示を受付けた場合に閾値算出機構４２３が算出する閾値を補正する機能をもつ。平均値補正機構４３４は、判定訂正受付け機構４３２がサーバ管理者からの訂正指示を受付けた場合に平均値算出機構４２４が算出する平均値を補正する機能をもつ。分散補正機構４３５は、判定訂正受付け機構４３２がサーバ管理者からの訂正指示を受付けた場合に分散算出機構４２５が算出する分散を補正する機能をもつ。
【００９７】
図１１に示す第４実施形態のサーバ計算機保護装置は、前述した図８に示す第３実施形態のサーバ計算機保護装置の各構成要素に加えて、不正アクセス判定通知機構４３１と、判定訂正受付け機構４３２と、閾値補正機構４３３と、平均値補正機構４３４と、分散補正機構４３５とを具備し、データ要求解析機構４２０が受信データを不正アクセスに関わるものであると判定した際に、その判定が誤っていた場合、サーバ管理者が、平均値や分散や閾値の補正を行えるようにしたもので、不正アクセス判定機能の動作については上述した第３実施形態と同様であるので、ここではその説明を省略する。
【００９８】
データ要求転送機構４１０から受信されたデータ要求がデータ要求解析機構４２０に渡され、データ要求解析機構４２０に於いて、偏差算出機構４２１により算出された当該データの偏差と、閾値算出機構４２３により算出された閾値とを偏差比較機構４２２が比較した結果、偏差が閾値よりも大きい場合、データ要求解析機構４２０は、データ要求転送機構４１０に、解析対象データ要求を不正アクセスに関わるものであるとの判定結果を伝えると同時に、不正アクセス判定通知機構４３１により、サーバ管理者に対して、受信したデータ要求が不正アクセスに関わるものであると判定した旨を通知する。この際の通知手段としては、メールやＳＮＭＰ（simple network management protocol）などによりネットワーク経由で行う方法や、ログファイルの形で記録を残し、リモートから或はローカルのパネル操作などによるログ表示機能によってログを表示することで行うなどの手段がある。通知内容には少なくとも不正アクセスに関わるものであると判定したデータ要求を含む必要がある。
【００９９】
受信したデータ要求が不正アクセスに関わるものであると判定した旨を通知されたサーバ管理者は、当該判定が誤っていると判断した場合に、判定訂正受付け機構４３２を用いて、平均値や分散や閾値を補正することが可能である。補正する手段としては、メールやＳＮＭＰやＨＴＴＰなどによりネットワーク経由で行う方法や、ローカルのパネル操作などによって行うなどの手段がある。
【０１００】
補正の内容としては、閾値算出機構４３３や平均値算出機構４２４や分散算出機構４３５でそれぞれの算出に用いる内部データを直接変更する方法がある。あるいは、不正アクセスに関わるという判定が誤っていたことのみ指示し、当該不正アクセスに関わると判定されたデータ要求が、不正アクセスに関わるデータ要求ではないと判定されるように、閾値算出機構４３３や平均値算出機構４２４や分散算出機構４３５がそれぞれの算出に用いる内部データを自ら修正する方法も考えられる。
【０１０１】
このような機能をもつことで、データ要求が不正アクセスに関わるものであるか否かの判定をさらに正確に行うことができ、また誤って不正アクセスと判定してしまったデータ要求も、訂正後は不正アクセスと誤って判定されることがなく、かつその特徴がデータベースに格納されていない新しい不正アクセス手段によりサーバへの不正アクセスを試みられた場合でも、サーバ計算機が不正にアクセスされることを防ぐことのできるサーバ計算機保護装置が実現できる。
【０１０２】
図１２は本発明の第５実施形態に於けるサーバ計算機保護装置の構成を示すブロック図である。
【０１０３】
図１２に示すサーバ計算機保護装置に於いて、ネットワークインタフェース５０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース５０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【０１０４】
データ要求転送機構５１０は、データ要求受信機構５１１と、データ要求保留機構５１２と、データ要求送信機構５１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース５０１Ａを介して受信したデータ要求をデータ要求解析機構５２０に渡し、データ要求解析機構５２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース５０１Ａを介して受信したデータ要求をネットワークインタフェース５０１Ｂへ送出する機能をもつ。データ要求受信機構５１１は、ネットワークインタフェース５０１Ａが受信したデータ要求を受信する機能をもつ。データ要求保留機構５１２は、データ要求受信機構５１１が受信したデータ要求をデータ要求解析機構５２０が解析している期間中、保留する機能をもつ。データ要求送信機構５１３は、データ要求解析機構５２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、データ要求保留機構５１２に保留されているデータ要求をネットワークインタフェース５０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【０１０５】
データ要求解析機構５２０は、パラメータ文字種頻度格納機構５２１と、データ要求パラメータ抽出機構５２２と、データ要求分類機構５２３と、不正アクセス判定機構５２４とを備え、データ要求転送機構５１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。データ要求分類機構５２３は、受信したデータ要求を分類する機能をもつ。データ要求パラメータ抽出機構５２２は、受信したデータ要求の構造に従い当該データ要求が含有するパラメータを抽出する機能をもつ。パラメータ文字種頻度格納機構５２１は、データ要求分類機構５２３により同種と分類されたデータ要求から、データ要求パラメータ抽出機構５２２により抽出されたパラメータの各パラメータ毎に使用されている文字種の出現回数を頻度表として格納する機能をもつ。不正アクセス判定機構５２４は、解析対象データ要求から、データ要求パラメータ抽出機構５２２により抽出されたパラメータの各パラメータ毎に使用されている文字種が、パラメータ文字種頻度格納機構５２１に格納されている頻度表に於いて、頻度「０」であった場合、当該解析対象データ要求は不正アクセスに関わるものであると判定する機能をもつ。
【０１０６】
図１３は上記第５実施形態に於ける頻度表の一例を示す図であり、図１４は上記第５実施形態に於ける更新後の頻度表の一例を示す図である。
【０１０７】
図１５は上記第５実施形態の処理手順を示すフローチャートである。
【０１０８】
図１２に示す本発明の第５実施形態に於けるサーバ計算機保護装置は、前述した図１に示す第１実施形態のサーバ計算機保護装置、図４に示す第２実施形態のサーバ計算機保護装置、図８に示す第３実施形態のサーバ計算機保護装置、図１１に示す第４実施形態のサーバ計算機保護装置が、それぞれメッセージの長さに着目して受信データが不正アクセスに関わるものか否かを判定していたのに対して、データ要求のパラメータが使用している文字種に着目して、受信したデータ要求が不正アクセスに関わるものであるか否かを判定するものである。
【０１０９】
データ要求転送機構５１０の動作は、前述した図１に示す第１実施形態のサーバ計算機保護装置、図４に示す第２実施形態のサーバ計算機保護装置、図８に示す第３実施形態のサーバ計算機保護装置、図１１に示す第４実施形態のサーバ計算機保護装置と同様なので、ここではその説明を省略し、データ要求解析機構５２０の動作のみについて説明する。
【０１１０】
データ要求転送機構５１０から受信したデータ要求（解析対象データ要求）を渡されたデータ要求解析機構５２０は、上記解析対象データ要求を、データ要求分類機構５２３により分類し（図１５ステップＳ５１，Ｓ５２）、さらに、データ要求パラメータ抽出機構５２２により、上記解析対象データ要求からパラメータを抽出する（図１５ステップＳ５３）。
【０１１１】
次に、データ要求パラメータ抽出機構５２２により抽出されたパラメータの各パラメータ毎に使用されている各文字種を、データ要求分類機構５２３で上記解析対象データ要求と同種と分類された、パラメータ文字種頻度格納機構５２１に格納されているパラメータ文字種頻度表の文字種と比較し、上記解析対象データ要求のパラメータに、パラメータ文字種頻度表の文字種「０」の文字が存在するか否かを調べる（図１５ステップＳ５４〜Ｓ５６）。
【０１１２】
この際の文字種の分類としては、例えば、１．数字、２．アルファベット、３．記号、４．空白と言った分類が考えられる。あるいは、さらに記号を分類したり、アルファベットと大文字と小文字で分けるなどの分類も考えられる。
【０１１３】
ここで、上記パラメータ文字種頻度格納機構５２１に格納された頻度表のうちの１つが、例えば図１３に示すものであった際に、データ要求転送機構５１０から渡されたデータ要求が、例えば“ＧＥＴ／ｃｇｉ−ｂｉｎ／ｃａｌｅｎｄｅｒ？ｙｅａｒ＝２００２＆ｍｏｎｔｈ＝９；ｅｖｉｌ ｃｏｍｍａｎｄ”というものだったとする。このとき、データ要求の種類は、“ＧＥＴ／ｃｇｉ−ｂｉｎ／ｃａｌｅｎｄｅｒ”と分類され、パラメータとしては、
「パラメータ名＝ｙｅａｒ 値＝２００２ 文字種＝数字」と「パラメータ名＝ｍｏｎｔｈ 値＝９；ｅｖｉｌ ｃｏｍｍａｎｄ 文字種＝数字と記号とアルファベット」という２つのパラメータが抽出される。
【０１１４】
図１３に示す頻度表に於いて、「パラメータ＝ｙｅａｒ・文字種＝数字」の頻度は「３７３」であり、これは不正アクセスに関わるとは判定されない。
【０１１５】
「パラメータ＝ｍｏｎｔｈ・文字種＝数字」の頻度は「３７３」であり、これも不正アクセスに関わるとは判定されない。
【０１１６】
「パラメータ＝ｍｏｎｔｈ・文字種＝記号」の頻度は「０」であり、これは不正アクセスに関わると判定される。
【０１１７】
「パラメータ＝ｍｏｎｔｈ・文字種＝アルファベット」の頻度は「０」であり、これは不正アクセスに関わると判定される。結果として、当該解析対象データ要求は不正アクセスに関わるものと判定され、その結果がデータ要求転送機構５１０に返される。
【０１１８】
次に、データ要求転送機構５１０から渡されたデータ要求が、“ＧＥＴ／ｃｇｉ−ｂｉｎ／ｃａｌｅｎｄｅｒ？ｙｅａｒ＝２００３＆ｍｏｎｔｈ＝２”というものだったとする。このとき、データ要求の種類は、“ＧＥＴ／ｃｇｉ−ｂｉｎ／ｃａｌｅｎｄｅｒ”と分類され、パラメータとしては、「パラメータ名＝ｙｅａｒ 値＝２００３ 文字種＝数字」と「パラメータ名＝ｍｏｎｔｈ 値＝２ 文字種＝数字」という２つのパラメータが抽出される。
【０１１９】
「パラメータ＝ｙｅａｒ・文字種＝数字」の頻度は「３７３」であり、これは不正アクセスに関わるとは判定されない。
【０１２０】
「パラメータ＝ｍｏｎｔｈ・文字種＝数字」の頻度は「３７３」であり、これも不正アクセスに関わるとは判定されない。
【０１２１】
結果として、解析対象データ要求は不正アクセスに関わるものでは無いと判定され、その結果がデータ要求転送機構５１０に返される。
【０１２２】
また、このとき、パラメータ文字種頻度格納機構５２１に格納されている頻度表も図１４に示すように更新される。
【０１２３】
不正アクセスの手段の中で、バッファオーバーフローという手口と同様に、大きな割合を占めるものとして、サーバ計算機が予測していない文字種をパラメータに含めることで任意のコマンドを実行してしまうなどの不正アクセスを行う手口があるが、上記した本発明の実施形態によるサーバ計算機保護装置を適用することで、この手口を用いた不正アクセスから、サーバ計算機を保護することが可能となる。
【０１２４】
このようにして、サーバ管理者が、データ要求に含まれるパラメータの各パラメータ毎の文字種について、各種データ要求毎にあらかじめ許される文字種を設定する必要の無い、保守性に優れたサーバ計算機保護装置が実現できる。
【０１２５】
図１６は本発明の第６実施形態に於けるサーバ計算機保護装置の構成を示すブロック図である。
【０１２６】
図１６に示すサーバ計算機保護装置に於いて、ネットワークインタフェース６０１Ａは、ネットワークセグメント（Ａ）を介し、クライアントとの間でパケットを送受信する機能をもつ。ネットワークインタフェース６０１Ｂは、ネットワークセグメント（Ｂ）を介し、サーバ計算機との間でパケットを送受信する機能をもつ。
【０１２７】
データ要求転送機構６１０は、データ要求受信機構６１１と、データ要求保留機構６１２と、データ要求送信機構６１３とを備え、ネットワークセグメント（Ａ）およびネットワークインタフェース６０１Ａを介して受信したデータ要求をデータ要求解析機構６２０に渡し、データ要求解析機構６２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、上記ネットワークインタフェース６０１Ａを介して受信したデータ要求をネットワークインタフェース６０１Ｂへ送出する機能をもつ。データ要求受信機構６１１は、ネットワークインタフェース６０１Ａが受信したデータ要求を受信する機能をもつ。データ要求保留機構６１２は、データ要求受信機構６１１が受信したデータ要求をデータ要求解析機構６２０が解析している期間中、保留する機能をもつ。データ要求送信機構６１３は、データ要求解析機構６２０が、上記受信したデータ要求を不正アクセスに関わるものではないと判定した場合に、データ要求保留機構６１２に保留されているデータ要求をネットワークインタフェース６０１Ｂを介しネットワークセグメント（Ｂ）へ送出する機能をもつ。
【０１２８】
データ要求解析機構６２０は、パラメータ文字種頻度格納機構６２１と、データ要求パラメータ抽出機構６２２と、データ要求分類機構６２３と、不正アクセス判定機構６２４と、不正アクセス判定通知機構６３１と、判定訂正受け付け機構６３２と、パラメータ文字種頻度補正機構６３３を備え、データ要求転送機構６１０から渡されたデータ要求が不正アクセスに関わるものであるか否かを判定する機能をもつ。
【０１２９】
データ要求分類機構６２３は、受信したデータ要求を分類する機能をもつ。データ要求パラメータ抽出機構６２２は、受信したデータ要求の構造に従い当該データ要求が含有するパラメータを抽出する機能をもつ。パラメータ文字種頻度格納機構６２１は、データ要求分類機構６２３により同種と分類されたデータ要求から、データ要求パラメータ抽出機構６２２により抽出されたパラメータの各パラメータ毎に使用されている文字種の出現回数を頻度表として格納する機能をもつ。不正アクセス判定機構６２４は、解析対象データ要求からデータ要求パラメータ抽出機構６２２により抽出されたパラメータの各パラメータ毎に使用されている文字種が、パラメータ文字種頻度格納機構６２１に格納されている同一分類の頻度表との比較で文字種頻度「０」であった場合、解析対象データ要求は不正アクセスに関わるものであると判定する機能をもつ。
【０１３０】
不正アクセス判定通知機能６３１は、解析対象データ要求が不正アクセスに関わるものであると判定した際に、その旨をサーバ管理者に通知する機能をもつ。判定訂正受付け機構６３２は、上記通知された判定が誤っていた際に、サーバ管理者からの訂正指示を受付ける機能をもつ。パラメータ文字種頻度補正機構６３３は、判定訂正受付け機構６３２がサーバ管理者からの訂正指示を受付けた場合に、パラメータ文字種頻度格納機構６２１に格納されている頻度表を補正する機能をもつ。
【０１３１】
図１６に示す本発明の第６実施形態に於けるサーバ計算機保護装置は、前述した図１２に示す第５実施形態に於けるサーバ計算機保護装置の各構成要素に加えて、不正アクセス判定通知機構６３１と、判定訂正受付け機構６３２と、パラメータ文字種頻度補正機構６３３とを具備し、データ要求解析機構６２０が解析対象データ要求を不正アクセスに関わるものであると判定した際に、その判定が誤っていた場合、サーバ管理者がパラメータ文字種頻度格納機構６２１に格納された頻度表の補正を行えるようにしたものである。
【０１３２】
データ要求転送機構６１０からデータ要求解析機構６２０に、受信されたデータ要求が渡され、データ要求解析機構６２０に於いて、データ要求の分類とパラメータの抽出を行い、パラメータ文字種頻度格納機構６２１に格納されている頻度表を参照した結果、パラメータ文字種頻度格納機構６２１に格納されている同一分類の頻度表の文字種頻度が「０」であった場合、データ要求解析機構６２０は、データ要求転送機構６２０に、当該解析対象データ要求を不正アクセスに関わるものであるという判定結果を伝えると同時に、不正アクセス判定通知機構６３１により、サーバ管理者にたいして、解析対象データ要求が不正アクセスに関わるものであると判定した旨を通知する。この通知手段としては、上述した第４実施形態と同様に、メールやＳＮＭＰなどによりネットワーク経由で行う方法や、ログファイルの形で記録を残し、リモートからあるいはローカルのパネル操作などによるログ表示機能によってログを表示することで行うなどの手段がある。通知内容には少なくとも不正アクセスに関わるものであると判定したデータ要求を含む必要がある。
【０１３３】
不正アクセスに関わるものであると判定した旨を通知されたサーバ管理者は、当該判定が誤っていると判断した場合に、判定訂正受付け機構６３２を用いて、パラメータ文字種頻度格納機構６２１に格納されている頻度表を補正することが可能である。この際の補正手段としては、上述した第４実施形態と同様に、メールやＳＮＭＰやＨＴＴＰなどによりネットワーク経由で行う方法や、ローカルのパネル操作などによって行うなどの手段がある。
【０１３４】
補正の内容としては、パラメータ文字種頻度格納機構６２１に格納された頻度表を直接変更する方法がある。あるいは、不正アクセスに関わるという判定が誤っていたことのみ指示し、当該不正アクセスに関わると誤った判定をしたデータ要求が、不正アクセスに関わるデータ要求ではないと判定されるように、パラメータ文字種頻度格納機構６２１が自ら補正する方法もある。
【０１３５】
このようにして、データ要求が不正アクセスに関わるものであるか否かの判定をさらに正確に行うことができ、また誤って不正アクセスと判定してしまったデータ要求も、訂正後は不正アクセスと誤って判定されることがなく、さらにサーバ管理者が、データ要求に含まれるパラメータの各パラメータ毎の文字種について、種々のデータ要求について、あらかじめ許される文字種を設定する必要の無い、保守性に優れたサーバ計算機保護装置が実現できる。
【０１３６】
図１７は本発明の第７実施形態に於ける処理の手順を示すフローチャートであり、この第７実施形態に於けるサーバ計算機保護装置の構成は、例えば図８に示す第３実施形態に於いて、データ要求パラメータ抽出機構３２７が、データ要求からパラメータを抽出する際に、その各パラメータに含まれる数値パラメータのみを抽出し、平均値算出機構３２４と分散算出機構３２５とが数値パラメータの値の平均値と分散を算出することにより実現可能である。この際、図８に示すデータ要求解析機構３２０に於いて、データ要求パラメータ抽出機構３２７は、受信したデータ要求の構造に従い、当該データ要求が含有するパラメータの中から数値パラメータのみを抽出する機能をもつ。平均値算出機構３２４は、データ要求分類機構３２６により同種と分類されたデータ要求からデータ要求パラメータ抽出機構３２７により抽出された数値パラメータの各パラメータ毎の値の平均値を算出する機能をもつ。分散算出機構３２５は、データ要求分類機構３２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構３２７により抽出された数値パラメータの各パラメータ毎の値の分散を算出する機能をもつ。閾値算出機構３２３は、データ要求分類機構３２６により同種と分類されたデータ要求から、データ要求パラメータ抽出機構３２７により抽出された数値パラメータの各パラメータ毎の値の偏差の閾値を算出する機能をもつ。偏差算出機構３２１は、解析対象データ要求が含有する数値パラメータの各パラメータ毎の値と、平均値算出機構３２４が算出した解析対象データ要求と同種と分類されたデータ要求が含有する数値パラメータの各パラメータ毎の値の平均値とから各数値パラメータの値の偏差を算出する機能をもつ。偏差比較機構３２２は、閾値算出機構３２３が算出した閾値と、偏差算出機構３２１が算出した偏差とを比較し、算出された偏差のうちの一つあるいは複数が閾値を超えたとき、解析対象データ要求は不正アクセスに関わるものであると判定する機能をもつ。
【０１３７】
この第７実施形態に於ける処理手順を図１７に示している。ネットワークインタフェース３０１Ａを介してクライアントからデータ要求を含むパケットが送出されると、当該パケットに含まれるデータ要求は、データ要求転送機構３１０のデータ要求受信機構３１１に受信される（図１７ステップＳ７１）。
【０１３８】
データ要求受信機構３１１に受信されたデータ要求は、データ要求保留機構３１２に保留されるとともに、データ要求解析機構３２０に渡され、データ要求解析機構３２０に於いて不正アクセスに関わるデータ要求であるか否かが判定される。
【０１３９】
データ要求解析機構２２０に渡されたデータ要求は、データ要求分類機構３２６によって、あらかじめ決められた種類別に分類される（図１７ステップＳ７２）。さらにその分類した種類に従い、データ要求パラメータ抽出機構３２７により数値パラメータが抽出され（図１７ステップＳ７３，Ｓ７４）、この抽出した各数値パラメータ毎に、偏差算出機構３２１により、パラメータの値の平均値からの偏差が算出される（図１７ステップＳ７５）。算出された偏差は、偏差比較機構３２２により、閾値算出機構３２３が算出した数値パラメータの値の閾値と比較される（図１７ステップＳ７６，Ｓ７７）。ここで、上記偏差が上記閾値を超えた際は当該解析対象データ要求が破棄される（図１７ステップＳ７８）。また、上記データ要求パラメータ抽出機構３２７で抽出した各数値パラメータについて、その偏差が上記閾値を超えない際は、当該解析対象データ要求がサーバ計算機に渡される（図１７ステップＳ７９〜Ｓ８０）。
【０１４０】
このようにすることで、例えば日時、金額、期限等をパラメータとする各種のデータ要求に対して、そのデータ要求が不正アクセスに関わるものであるか否かの判定をさらに正確に行うことができるとともに、その特徴がデータベースに格納されていない新しい不正アクセス手段によりサーバへの不正アクセスが試みられた場合でも、サーバ計算機が不正にアクセスされることを防ぐことのできるサーバ計算機保護装置が実現できる。
【０１４１】
【発明の効果】
以上詳記したように本発明によれば、本発明は、不正アクセスに関わるものではないデータ要求のメッセージ長の平均値と分散を求め、それらの値に基づいた閾値によって、データ要求が不正アクセスに関わるものであるか否かの判定を行うことで、不正アクセスに関わるものでは無いデータ要求のメッセージ長の集合から掛け離れた長さをもつ不正アクセスに関わるデータ要求を確実に検出することができ、これにより信頼性が高く、かつ保守性に優れたサーバ計算機の不正アクセスに対する保護機能を実現できる。
【図面の簡単な説明】
【図１】本発明の第１実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図２】上記第１実施形態に於けるサーバ計算機保護装置のデータ要求を取出す機構の一例を示す図。
【図３】上記第１実施形態に於ける処理動作を示すフローチャート。
【図４】本発明の第２実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図５】上記第２実施形態に於けるサーバ計算機保護装置のデータ要求の分類例を示す図。
【図６】上記第２実施形態に於けるサーバ計算機保護装置のデータ要求の分類例を示す図。
【図７】上記第２実施形態の処理手順を示すフローチャート。
【図８】本発明の第３実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図９】上記第３実施形態の動作を説明するための、データ要求パラメータ抽出機構によって抽出されるパラメータのＨＴＴＰでの一例を示す図。
【図１０】上記第３実施形態の処理手順を示すフローチャート。
【図１１】本発明の第４実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図１２】本発明の第５実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図１３】上記第５実施形態に於ける頻度表の一例を示す図。
【図１４】上記第５実施形態に於ける更新後の頻度表の一例を示す図。
【図１５】上記第５実施形態の処理手順を示すフローチャート。
【図１６】本発明の第６実施形態に於けるサーバ計算機保護装置の構成を示すブロック図。
【図１７】本発明の第７実施形態に於ける処理の手順を示すフローチャート。
【図１８】従来のサーバ計算機保護装置の構成を示すブロック図。
【図１９】従来のサーバ計算機保護装置の構成を示すブロック図。
【符号の説明】
１０１Ａ，１０１Ｂ，２０１Ａ，２０１Ｂ，３０１Ａ，３０１Ｂ，４０１Ａ，４０１Ｂ，５０１Ａ，５０１Ｂ，６０１Ａ，６０１Ｂ…ネットワークインタフェース、１１０，２１０，３１０，４１０，５１０，６１０…データ要求転送機構、１１１，２１１，３１１，４１１，５１１，６１１…データ要求受信機構、１１２，２１２，３１２，４１２，５１２，６１２…データ要求保留機構、１１３，２１３，３１３，４１３，５１３，６１３…データ要求送信機構、１２０，２２０，３２０，４２０，５２０，６２０…データ要求解析機構、１２１，２２１，３２１，４２１…偏差算出機構、１２２，２２２，３２２，４２２…偏差比較機構、１２３，２２３，３２３，４２３…閾値算出機構、１２４，２２４，３２４，４２４…平均値算出機構、１２５，２２５，３２５，４２５…分散算出機構、２２６，３２６，４２６…データ要求分類機構、３２７，４２７…データ要求パラメータ抽出機構、４３１，６３１…不正アクセス判定通知機構、４３２，６３２…判定訂正受け付け機構、４３３…閾値補正機構、４３４…平均値補正機構、４３５…分散補正機構、５２１，６２１…パラメータ文字種頻度格納機構、５２２，６２２…データ要求パラメータ抽出機構、５２３，６２３…データ要求分類機構、６３３…パラメータ文字種頻度補正機構。
Claims (29)
- クライアントから送出されたデータ要求をサーバ計算機に代わり受信して、当該受信したデータ要求が不正アクセスに関わるものか否かを解析するデータ要求解析機構と、当該データ要求解析機構の判定に従い前記クライアントから送出されたデータ要求の前記サーバ計算機への転送を制御するデータ要求転送機構とを備えたサーバ計算機保護装置に於いて、
前記データ要求解析機構は、
前記サーバ計算機が過去の一定期間内に受信したデータ要求のメッセージ長の平均値を算出する平均値算出手段と、
前記サーバ計算機が過去の一定期間内に受信したデータ要求のメッセージ長の分散を算出する分散算出手段と、
前記平均値算出手段が算出した平均値と前記分散算出手段が算出した分散から、前記メッセージ長の偏差の閾値を算出する閾値算出手段と、
前記平均値算出手段が算出した平均値と前記解析の対象にある受信したデータ要求のメッセージ長からメッセージ長の偏差を算出する偏差算出手段と、
前記閾値算出手段が算出した閾値と前記偏差算出手段が算出した偏差を比較し、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する偏差比較手段とを具備し、
前記データ要求転送機構は、前記偏差比較手段の判定に従いクライアントから送出されたデータ要求のサーバ計算機への転送を制御することを特徴とするサーバ計算機保護装置。 - 前記データ要求解析機構は、受信したデータ要求を分類する分類手段をさらに具備し、
前記平均値算出手段は、前記分類手段により同種と分類されたデータ要求のメッセージ長の平均値を算出し、
前記分散算出手段は、前記分類手段により同種と分類されたデータ要求のメッセージ長の分散を算出し、
前記閾値算出手段は、前記分類手段により同種と分類されたデータ要求のメッセージ長の偏差の閾値を算出し、
前記偏差算出手段は、前記解析の対象にある受信したデータ要求のメッセージ長と、前記平均値算出手段が算出した前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求の平均値からメッセージ長の偏差を算出することを特徴とする請求項１記載のサーバ計算機保護装置。 - 前記データ要求解析機構は、受信したデータ要求の構造に従い当該データ要求からパラメータを抽出するパラメータ抽出手段をさらに具備し、
前記平均値算出手段は、前記分類手段により同種と分類されたデータ要求のメッセージ長の平均値、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータの長さの平均値を算出し、
前記分散算出手段は、前記分類手段により同種と分類されたデータ要求のメッセージ長の分散、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータの長さの分散を算出し、
前記閾値算出手段は、前記分類手段により同種と分類されたデータ要求のメッセージ長の偏差の閾値、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータの長さの偏差の閾値を算出し、
前記偏差算出手段は、前記解析の対象にある受信したデータ要求のメッセージ長と、前記平均値算出手段が算出した前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求の平均値からメッセージ長の偏差を算出するとともに、前記解析の対象にある受信したデータ要求に含まれるパラメータの長さと、前記平均値算出手段が算出した前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求に含まれるパラメータの長さの平均値とからパラメータの長さの偏差を算出し、
前記偏差比較手段は、前記偏差算出手段により算出された偏差が前記閾値算出手段により算出された閾値を超えたとき、前記解析の対象にあるデータ要求は不正アクセスに関わるものであると判定することを特徴とする請求項２記載のサーバ計算機保護装置。 - 前記データ要求解析機構は、受信したデータ要求の構造に従い当該データ要求から複数のパラメータをそれぞれ抽出するパラメータ抽出手段をさらに具備し、
前記平均値算出手段は、前記分類手段により同種と分類されたデータ要求のメッセージ長の平均値、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータ各々の長さの平均値を算出し、
前記分散算出手段は、前記分類手段により同種と分類されたデータ要求のメッセージ長の分散、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータ各々の長さの分散を算出し、前記閾値算出手段は、前記分類手段により同種と分類されたデータ要求のメッセージ長の偏差の閾値、および前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータ各々の長さの偏差の閾値を算出し、
前記偏差算出手段は、前記解析の対象にある受信したデータ要求のメッセージ長と、前記平均値算出手段が算出した前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求の平均値とからメッセージ長の偏差を算出するとともに、前記解析の対象にある受信したデータ要求に含まれるパラメータ各々の長さと、前記平均値算出手段が算出した前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求に含まれるパラメータ各々の長さの平均値とからパラメータ各々の長さの偏差を算出し、
前記偏差比較手段は、前記偏差算出手段により算出された偏差のうちの一つあるいは複数が前記閾値算出手段により算出された閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定することを特徴とする請求項２記載のサーバ計算機保護装置。 - 前記データ要求解析機構は、前記偏差比較手段に於いて、受信したデータ要求が不正アクセスに関わるものであると判定した際に、その旨を管理者に通知する不正アクセス判定通知手段と、
前記管理者からの訂正指示を受付ける判定訂正受付け手段と、
前記判定訂正受付け手段が受付けた訂正指示に従い、前記平均値算出手段が算出する平均値、前記分散算出手段が算出する分散、前記閾値算出機構が算出する閾値の少なくともいずれかを補正する補正手段とをさらに具備することを特徴とする請求項１乃至４のいずれかに記載のサーバ計算機保護装置。 - クライアントから送出されたデータ要求をサーバ計算機に代わり受信して、当該受信したデータ要求が不正アクセスに関わるものか否かを解析するデータ要求解析機構と、当該データ要求解析機構の判定に従い前記クライアントから送出されたデータ要求の前記サーバ計算機への転送を制御するデータ要求転送機構とを備えたサーバ計算機保護装置に於いて、
前記データ要求解析機構は、
前記受信したデータ要求を分類する分類手段と、
前記受信したデータ要求の構造に従い当該データ要求からパラメータを抽出するパラメータ抽出手段と、
前記分類手段により同種と分類されたデータ要求から前記パラメータ抽出手段により抽出されたパラメータに含まれる文字種の出現回数を頻度表として保持する頻度表保持手段と、
前記パラメータ抽出手段により抽出された前記解析の対象にある受信したデータ要求のパラメータに含まれる文字種と、前記頻度表保持手段により保持された頻度表とをもとに、前記解析の対象にある受信したデータ要求が不正アクセスに関わるものであるか否かを判定する判定手段とを具備し、
前記データ要求転送機構は、前記判定手段の判定に従いクライアントから送出されたデータ要求のサーバ計算機への転送を制御することを特徴とするサーバ計算機保護装置。 - 前記パラメータ抽出手段は、前記受信したデータ要求の構造に従い当該データ要求から複数のパラメータを抽出し、
前記頻度表保持手段は、前記分類手段により同種と分類されたデータ要求毎に、前記パラメータ抽出手段により抽出されたパラメータ各々に含まれる文字種の出現回数を頻度表として保持し、
前記判定手段は、前記パラメータ抽出手段により抽出された前記解析の対象にある受信したデータ要求のパラメータ各々に含まれる文字種と、前記頻度表保持手段により保持された頻度表とをもとに、前記解析の対象にある受信したデータ要求が不正アクセスに関わるものであるか否かを判定する請求項６記載のサーバ計算機保護装置。 - 前記判定手段は、前記解析の対象にある受信したデータ要求のパラメータに含まれる文字種が、前記頻度表の頻度０の文字種、若しくは前記頻度表に存在しない文字種であるとき、前記解析の対象にある受信したデータ要求が不正アクセスに関わるものであると判定する請求項６記載のサーバ計算機保護装置。
- 前記判定手段は、前記解析の対象にある受信したデータ要求のパラメータに含まれる文字種が、前記頻度表の所定頻度以上の文字種であるとき、前記解析の対象にある受信したデータ要求が正当なアクセスに関わるものであると判定する請求項６記載のサーバ計算機保護装置。
- 前記データ要求解析機構は、前記判定手段に於いて受信したデータ要求が不正アクセスに関わるものであると判定した際に、その旨を管理者に通知する不正アクセス判定通知手段と、
前記管理者からの訂正指示を受付ける判定訂正受付け手段と、
前記判定訂正受付け手段が受付けた訂正指示に従い、前記頻度表を補正する補正手段とをさらに具備することを特徴とする請求項６乃至９のいずれかに記載のサーバ計算機保護装置。 - クライアントから送出されたデータ要求をサーバ計算機に代わり受信して、当該受信したデータ要求が不正アクセスに関わるものか否かを解析するデータ要求解析機構と、当該データ要求解析機構の判定に従い前記クライアントから送出されたデータ要求の前記サーバ計算機への転送を制御するデータ要求転送機構とを備えたサーバ計算機保護装置に於いて、
前記データ要求解析機構は、
前記受信したデータ要求を分類する分類手段と、
前記受信したデータ要求の構造に従い当該データ要求に含まれるパラメータを抽出するパラメータ抽出手段と、
前記パラメータ抽出手段により抽出されたパラメータから数値パラメータのみを抽出する数値パラメータ抽出手段と、
前記分類手段により同種と分類された過去の一定期間内に受信したデータ要求から前記数値パラメータ抽出手段により抽出された数値パラメータの値の平均値を算出する平均値算出手段と、
前記数値パラメータ抽出手段により抽出された数値パラメータの値の分散を算出する分散算出手段と、
前記平均値算出手段により算出された平均値と前記分散算出手段により算出された分散から、前記数値パラメータ抽出手段により抽出された数値パラメータの値の偏差の閾値を算出する閾値算出手段と、
前記平均値算出手段により算出された数値パラメータの値の平均値と、前記解析の対象にある受信したデータ要求の前記数値パラメータ抽出手段により抽出された数値パラメータから数値パラメータの値の偏差を算出する偏差算出手段と、前記閾値算出手段により算出された閾値と前記偏差算出手段により算出された偏差とを比較し、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する判定手段と
を具備したことを特徴とするサーバ計算機保護装置。 - 前記数値パラメータ抽出手段は、前記受信したデータ要求の構造に従い、前記パラメータ抽出手段により抽出されたパラメータから当該パラメータに含まれる複数の数値パラメータを各パラメータ毎に抽出し、
前記平均値算出手段は、前記分類手段により同種と分類された過去の一定期間内に受信したデータ要求の数値パラメータ各々の値の平均値を算出し、
前記分散算出手段は、前記数値パラメータ各々の値の分散を算出し、
前記閾値算出手段は、前記平均値算出手段により算出された平均値と前記分散算出手段により算出された分散から、前記数値パラメータ各々の値の偏差の閾値を算出し、
前記偏差算出手段は、前記平均値算出手段により算出された平均値と、前記解析の対象にある受信したデータ要求の数値パラメータから数値パラメータ各々の値の偏差を算出し、
前記判定手段は、前記閾値算出ステップにより算出された閾値と前記偏差算出手段により算出された偏差とを比較し、偏差のうちの一つあるいは複数が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定することを特徴とする請求項１１記載のサーバ計算機保護装置。 - 前記データ要求解析機構は、前記判定手段に於いて受信したデータ要求が不正アクセスに関わるものであると判定した際に、その旨を管理者に通知する不正アクセス判定通知手段と、
前記管理者からの訂正指示を受付ける判定訂正受付け手段と、
前記判定訂正受付け手段が受付けた訂正指示に従い、前記平均値算出手段が算出する平均値、前記分散算出手段が算出する分散、前記閾値算出機構が算出する閾値の少なくともいずれかを補正する補正手段とをさらに具備することを特徴とする請求項１１または１２記載のサーバ計算機保護装置。 - クライアントから送出されたデータ要求をサーバに代わり受信して、当該受信したデータ要求が不正アクセスに関わるものであるか否かを解析するサーバ計算機保護装置のデータ要求解析方法であって、
前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の平均値を算出する平均値算出ステップと、
前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の分散を算出する分散算出ステップと、
前記平均値算出ステップで算出した平均値および前記分散算出ステップで算出した分散から前記メッセージ長の偏差の閾値を算出する閾値算出ステップと、
前記平均値算出ステップで算出した平均値と前記解析の対象にある受信したデータ要求のメッセージ長からメッセージ長の偏差を算出する偏差算出ステップと、
前記閾値算出ステップで算出した閾値と前記偏差算出ステップで算出した偏差を比較して、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する判定ステップと
を具備したこと特徴とするサーバ計算機保護装置のデータ要求解析方法。 - 前記受信したデータ要求を分類する分類ステップをさらに具備し、
前記平均値算出ステップは、前記分類ステップにより同種と分類されたデータ要求のメッセージ長の平均値を算出し、
前記分散算出ステップは、前記分類ステップにより同種と分類されたデータ要求のメッセージ長の分散を算出し、
前記閾値算出ステップは、前記分類ステップにより同種と分類されたデータ要求のメッセージ長の偏差の閾値を算出し、
前記偏差算出ステップは、前記解析の対象にある受信したデータ要求のメッセージ長と、前記平均値算出ステップにより算出された前記解析の対象にあるデータ要求と同種と分類されたデータ要求の平均値とからメッセージ長の偏差を算出する請求項１４記載のサーバ計算機保護装置に於けるデータ要求解析方法。 - 前記受信したデータ要求からパラメータを抽出するパラメータ抽出ステップをさらに具備し、
前記平均値算出ステップは、前記分類ステップにより同種と分類されたデータ要求のメッセージ長の平均値、および前記分類ステップにより同種と分類されたデータ要求から前記パラメータ抽出ステップにより抽出されたパラメータの長さの平均値を算出し、
前記分散算出ステップは、前記分類ステップにより同種と分類されたデータ要求のメッセージ長の分散、および前記分類ステップにより同種と分類されたデータ要求から前記パラメータ抽出ステップにより抽出されたパラメータの長さの分散を算出し、
前記閾値算出ステップは、前記分類ステップにより同種と分類されたデータ要求のメッセージ長の偏差の閾値、および前記分類ステップにより同種と分類されたデータ要求から前記パラメータ抽出ステップにより抽出されたパラメータの長さの偏差の閾値を算出し、
前記偏差算出ステップは、前記解析の対象にある受信したデータ要求のメッセージ長と、前記平均値算出ステップにより算出された前記解析の対象にあるデータ要求と同種と分類されたデータ要求の平均値とから前記メッセージ長の偏差を算出するとともに、前記解析の対象にある受信したデータ要求に含まれるパラメータの長さと、前記平均値算出ステップにより算出された前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求に含まれるパラメータの長さの平均値とからパラメータの長さの偏差を算出し、
前記判定ステップは、前記偏差算出ステップにより算出された偏差が前記閾値よりも大きいとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定することを特徴とする請求項１５記載のサーバ計算機保護装置に於けるデータ要求解析方法。 - 前記受信したデータ要求の構造に従い当該データ要求に存在する複数のパラメータをそれぞれ抽出するパラメータ抽出ステップをさらに具備し、
前記平均値算出ステップは、前記分類ステップにより同種と分類されたデータ要求のメッセージ長の平均値、および前記分類ステップにより同種と分類されたデータ要求から前記パラメータ抽出ステップにより抽出されたパラメータ各々の長さの平均値を算出し、
前記分散算出ステップは、前記分類ステップにより同種と分類されたデータ要求のメッセージ長の分散、および前記分類ステップにより同種と分類されたデータ要求から前記パラメータ抽出ステップにより抽出されたパラメータ各々の長さの分散を算出し、
前記閾値算出ステップは、前記分類ステップにより同種と分類されたデータ要求のメッセージ長の偏差の閾値、および前記分類ステップにより同種と分類されたデータ要求から前記パラメータ抽出ステップにより抽出されたパラメータ各々の長さの偏差の閾値を算出し、
前記偏差算出ステップは、前記解析の対象にある受信したデータ要求のメッセージ長と、前記平均値算出ステップにより算出された前記解析の対象にあるデータ要求と同種と分類されたデータ要求の平均値とから前記メッセージ長の偏差を算出するとともに、前記解析の対象にある受信したデータ要求のパラメータ各々の長さと、前記平均値算出ステップにより算出された前記解析の対象にある受信したデータ要求と同種と分類されたデータ要求に含まれるパラメータ各々の長さの平均値とからパラメータ各々の長さの偏差を算出し、
前記判定ステップは、前記偏差算出ステップにより算出された偏差のうち、一つあるいは複数が前記閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定することを特徴とする請求項１５記載のサーバ計算機保護装置に於けるデータ要求解析方法。 - 前記判定ステップに於いて、受信したデータ要求は不正アクセスに関わるものであると判定した際に、その旨を外部に通知する不正アクセス判定通知ステップと、
外部からの訂正指示を受付けて、当該訂正指示に従い、前記平均値算出ステップ、前記分散算出ステップ、前記閾値算出ステップの少なくともいずれかの値を補正する補正ステップと
をさらに具備した請求項１４乃至１７のいずれかに記載のサーバ計算機保護装置に於けるデータ要求解析方法。 - クライアントから送出されたデータ要求をサーバに代わり受信して、当該受信したデータ要求が不正アクセスに関わるものか否かを解析するサーバ計算機保護装置のデータ要求解析方法であって、
前記受信したデータ要求を分類する分類ステップと、
前記受信したデータ要求の構造に従い当該データ要求からパラメータを抽出するパラメータ抽出ステップと、
前記分類ステップにより同種と分類されたデータ要求毎に、前記パラメータ抽出ステップにより抽出されたパラメータに含まれる文字種の出現回数を頻度表として保持する頻度表保持ステップと、
前記パラメータ抽出ステップにより抽出された前記解析の対象にある受信したデータ要求のパラメータに含まれる文字種と、前記頻度表保持ステップにより保持された頻度表とをもとに、前記解析の対象にある受信したデータ要求が不正アクセスに関わるものであるか否かを判定する判定ステップと
を具備したことを特徴とするサーバ計算機保護装置に於けるデータ要求解析方法。 - 前記パラメータ抽出ステップは、前記受信したデータ要求の構造に従い当該データ要求から複数のパラメータを抽出し、
前記頻度表保持ステップは、前記分類ステップにより同種と分類されたデータ要求毎に、前記パラメータ抽出ステップにより抽出されたパラメータ各々に含まれる文字種の出現回数を頻度表として保持し、
前記判定ステップは、前記パラメータ抽出ステップにより抽出された前記解析の対象にある受信したデータ要求のパラメータ各々に含まれる文字種と、前記頻度表保持ステップにより保持された頻度表とをもとに、前記解析の対象にある受信したデータ要求が不正アクセスに関わるものであるか否かを判定する請求項１９記載のサーバ計算機保護装置に於けるデータ要求解析方法。 - 前記判定ステップは、前記解析の対象にある受信したデータ要求のパラメータに含まれる文字種が、前記頻度表の頻度０の文字種、若しくは前記頻度表に存在しない文字種であるとき、前記解析の対象にある受信したデータ要求が不正アクセスに関わるものであると判定する請求項１９記載のサーバ計算機保護装置に於けるデータ要求解析方法。
- 前記判定ステップは、前記解析の対象にある受信したデータ要求のパラメータに含まれる文字種が、前記頻度表の所定頻度以上の文字種であるとき、前記解析の対象にある受信したデータ要求が正当なアクセスに関わるものであると判定する請求項１９記載のサーバ計算機保護装置に於けるデータ要求解析方法。
- 前記判定ステップに於いて、受信したデータ要求は不正アクセスに関わるものであると判定した際に、その旨を外部に通知する不正アクセス判定通知ステップと、
外部からの訂正指示を受付けて、当該訂正指示に従い、前記頻度表を補正する補正ステップと
をさらに具備した請求項１９乃至２２のいずれかに記載のサーバ計算機保護装置に於けるデータ要求解析方法。 - クライアントから送出されたデータ要求をサーバに代わり受信して、当該受信したデータ要求が不正アクセスに関わるものか否かを解析するサーバ計算機保護装置のデータ要求解析方法に於いて、
前記受信したデータ要求を分類する分類ステップと、
前記受信したデータ要求の構造に従い当該データ要求からパラメータを抽出するパラメータ抽出ステップと、
前記パラメータ抽出ステップにより抽出されたパラメータから数値パラメータのみを抽出する数値パラメータ抽出ステップと、
前記分類ステップにより同種と分類された過去の一定期間内に受信したデータ要求から前記数値パラメータ抽出ステップにより抽出された数値パラメータの値の平均値を算出する平均値算出ステップと、
前記数値パラメータ抽出ステップにより抽出された数値パラメータの値の分散を算出する分散算出ステップと、
前記平均値算出ステップにより算出された平均値と前記分散算出ステップにより算出された分散から、前記数値パラメータ抽出ステップにより抽出された数値パラメータの値の偏差の閾値を算出する閾値算出ステップと、
前記平均値算出ステップにより算出された数値パラメータの値の平均値と、前記解析の対象にある受信したデータ要求の前記数値パラメータ抽出ステップにより抽出された数値パラメータから数値パラメータの値の偏差を算出する偏差算出ステップと、
前記閾値算出ステップにより算出された閾値と前記偏差算出ステップにより算出された偏差とを比較し、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する判定ステップと
を具備したことを特徴とするサーバ計算機保護装置に於けるデータ要求解析方法。 - 前記数値パラメータ抽出ステップは、前記パラメータ抽出ステップにより抽出されたパラメータから当該パラメータに含まれる数値パラメータのすべてを各パラメータ毎に抽出し、
前記平均値算出ステップは、前記分類ステップにより同種と分類された過去の一定期間内に受信したデータ要求の数値パラメータ各々の値の平均値を算出し、
前記分散算出ステップは、前記数値パラメータ各々の値の分散を算出し、
前記閾値算出ステップは、前記平均値算出ステップにより算出された平均値と前記分散算出ステップにより算出された分散から、前記数値パラメータ各々の値の偏差の閾値を算出し、
前記偏差算出ステップは、前記平均値算出ステップにより算出された平均値と、前記解析の対象にある受信したデータ要求の数値パラメータから数値パラメータ各々の値の偏差を算出し、
前記判定ステップは、前記閾値算出ステップにより算出された閾値と前記偏差算出ステップにより算出された偏差とを比較し、偏差のうちの一つあるいは複数が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定することを特徴とする請求項２４記載のサーバ計算機保護装置に於けるデータ要求解析方法。 - 前記判定ステップに於いて、受信したデータ要求は不正アクセスに関わるものであると判定した際に、その旨を外部に通知する通知ステップと、
外部からの訂正指示を受付けて、当該訂正指示に従い、前記平均値算出ステップ、前記分散算出ステップ、前記閾値算出ステップの少なくともいずれかの値を補正する補正ステップとをさらに具備した請求項２４記載のサーバ計算機保護装置に於けるデータ要求解析方法。 - クライアントから送出されたデータ要求をサーバに代わり受信して、当該受信したデータ要求が不正アクセスに関わるものであるか否かを解析するサーバ計算機保護装置のデータ要求解析装置としてコンピュータを機能させるためのプログラムであって、
前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の平均値を算出する機能と、
前記サーバが過去の一定期間内に受信したデータ要求のメッセージ長の分散を算出する機能と、
前記算出した平均値および分散から前記メッセージ長の偏差の閾値を算出する機能と、
前記算出した平均値と前記解析の対象にある受信したデータ要求のメッセージ長からメッセージ長の偏差を算出する機能と、
前記算出した閾値と偏差を比較して、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する機能と
をコンピュータに実現させるためのプログラム。 - クライアントから送出されたデータ要求をサーバに代わり受信して、当該受信したデータ要求が不正アクセスに関わるものであるか否かを解析するサーバ計算機保護装置のデータ要求解析装置としてコンピュータを機能させるためのプログラムであって、
前記受信したデータ要求を分類する機能と、
前記受信したデータ要求の構造に従い当該データ要求からパラメータを抽出する機能と、
前記分類により同種と分類されたデータ要求毎に、前記抽出したパラメータに含まれる文字種の出現回数を頻度表として保持する機能と、
前記抽出した前記解析の対象にある受信したデータ要求のパラメータに含まれる文字種と、前記頻度表とをもとに、前記解析の対象にある受信したデータ要求が不正アクセスに関わるものであるか否かを判定する機能と
をコンピュータに実現させるためのプログラム。 - クライアントから送出されたデータ要求をサーバに代わり受信して、当該受信したデータ要求が不正アクセスに関わるものであるか否かを解析するサーバ計算機保護装置のデータ要求解析装置としてコンピュータを機能させるためのプログラムであって、
前記受信したデータ要求を分類する機能と、
前記受信したデータ要求の構造に従い当該データ要求からパラメータを抽出する機能と、
前記抽出したパラメータから数値パラメータのみを抽出する機能と、
前記分類により同種と分類された過去の一定期間内に受信したデータ要求から前記抽出した数値パラメータの値の平均値を算出する機能と、
前記抽出した数値パラメータの値の分散を算出する機能と、
前記算出した平均値と分散から、前記抽出した数値パラメータの値の偏差の閾値を算出する機能と、
前記算出した数値パラメータの値の平均値と、前記解析の対象にある受信したデータ要求より抽出した数値パラメータから数値パラメータの値の偏差を算出する機能と、
前記算出した閾値と偏差とを比較し、偏差が閾値を超えたとき、前記解析の対象にある受信したデータ要求は不正アクセスに関わるものであると判定する機能と
をコンピュータに実現させるためのプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003016291A JP3651610B2 (ja) | 2003-01-24 | 2003-01-24 | サーバ計算機保護装置、同装置のデータ要求解析方法およびプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003016291A JP3651610B2 (ja) | 2003-01-24 | 2003-01-24 | サーバ計算機保護装置、同装置のデータ要求解析方法およびプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004229092A JP2004229092A (ja) | 2004-08-12 |
| JP3651610B2 true JP3651610B2 (ja) | 2005-05-25 |
Family
ID=32903796
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003016291A Expired - Fee Related JP3651610B2 (ja) | 2003-01-24 | 2003-01-24 | サーバ計算機保護装置、同装置のデータ要求解析方法およびプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3651610B2 (ja) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4887081B2 (ja) * | 2006-06-12 | 2012-02-29 | 株式会社Ｋｄｄｉ研究所 | 通信監視装置、通信監視方法およびプログラム |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001313640A (ja) * | 2000-05-02 | 2001-11-09 | Ntt Data Corp | 通信ネットワークにおけるアクセス種別を判定する方法及びシステム、記録媒体 |
| JP2002330177A (ja) * | 2001-03-02 | 2002-11-15 | Seer Insight Security Inc | セキュリティ管理サーバおよびこれと連携して動作するホストサーバ |
| JP2002342279A (ja) * | 2001-03-13 | 2002-11-29 | Fujitsu Ltd | フィルタリング装置、フィルタリング方法およびこの方法をコンピュータに実行させるプログラム |
-
2003
- 2003-01-24 JP JP2003016291A patent/JP3651610B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004229092A (ja) | 2004-08-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7958549B2 (en) | Attack defending system and attack defending method | |
| US6981280B2 (en) | Intelligent network scanning system and method | |
| US20190334948A1 (en) | Webshell detection method and apparatus | |
| US9507944B2 (en) | Method for simulation aided security event management | |
| US7325249B2 (en) | Identifying unwanted electronic messages | |
| US9736260B2 (en) | Redirecting from a cloud service to a third party website to save costs without sacrificing security | |
| US8689276B2 (en) | System and method for controlling access to files | |
| US20060069687A1 (en) | Session continuity for providing content to a remote device | |
| EP3447669B1 (en) | Information leakage detection method and device, server, and computer-readable storage medium | |
| US8112517B2 (en) | Relay system, relay program, and relay method | |
| US10498760B1 (en) | Monitoring system for detecting and preventing a malicious program code from being uploaded from a client computer to a webpage computer server | |
| CN103607385A (zh) | 基于浏览器进行安全检测的方法和装置 | |
| US10686808B2 (en) | Notification for reassembly-free file scanning | |
| CN111064780B (zh) | 一种多任务内容更新方法、装置、设备及介质 | |
| US8023512B2 (en) | Communication device | |
| US8473556B2 (en) | Apparatus, a method, a program and a system for processing an e-mail | |
| JP2008015733A (ja) | ログ管理計算機 | |
| CN109688099B (zh) | 服务器端撞库识别方法、装置、设备及可读存储介质 | |
| JP3651610B2 (ja) | サーバ計算機保護装置、同装置のデータ要求解析方法およびプログラム | |
| CN115297104B (zh) | 文件上传方法、装置、电子设备和存储介质 | |
| TW201928746A (zh) | 偵測惡意程式的方法和裝置 | |
| JP4334605B2 (ja) | 不正アクセス防止装置および不正アクセス防止プログラム | |
| CN110311850A (zh) | 一种基于网络的数据处理方法及电子设备 | |
| CN117376034B (zh) | 基于用户行为关联的网络流量识别系统、方法及介质 | |
| US11528189B1 (en) | Network device identification and categorization using behavioral fingerprints |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050128 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050208 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050215 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 3651610 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080304 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090304 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100304 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100304 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110304 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120304 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130304 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140304 Year of fee payment: 9 |
|
| LAPS | Cancellation because of no payment of annual fees |