JP3689079B2

JP3689079B2 - Packet transfer device and information notification method when detecting unauthorized access of packet transfer device

Info

Publication number: JP3689079B2
Application number: JP2002307124A
Authority: JP
Inventors: 勇雄植木
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2002-10-22
Filing date: 2002-10-22
Publication date: 2005-08-31
Anticipated expiration: 2022-10-22
Also published as: JP2004146931A

Description

【０００１】
【発明の属する技術分野】
本発明は、ネットワークセグメント間でパケットを転送するパケット転送装置、およびパケット転送装置の不正アクセス検知時に於ける情報通知方法に関する。
【０００２】
【従来の技術】
複数のネットワークセグメントに接続され、ネットワークセグメント間でパケットを転送するパケット転送装置に於いて、パケット転送装置が不正アクセスに関わるパケットを検知した場合の管理者への通知方法として、不正アクセスを検知する度に管理者に通知を行なうという方法、不正アクセスを検知した際に管理者に一度だけ通知を行なうという方法、不正アクセスの種類毎に一度だけ通知を行なう方法等が考えられる。
【０００３】
しかしながら、不正アクセスを検知する度に管理者に通知を行なう方法は、例えば同一送信者から同一の不正アクセス方法で不正アクセスを大量に受けた場合、管理者に大量の通知が届いてしまうことから、管理者が本来必要とする情報を容易に把握できないという問題がある。
【０００４】
また、管理者に一度だけ通知を行なう方法は、同一の不正アクセス方法で複数の送信先から不正アクセスがあった場合であっても、管理者への通知が一度しか行なわれないことから、管理者が不正アクセスの情報（実態）を正確に把握できないという問題がある。
【０００５】
また、管理者に、不正アクセスの種類毎に一度だけ通知を行なう方法は、パケット転送装置の複数の転送先に同一のアクセス方法で不正アクセスがあった場合であっても、管理者への通知が一度しか行なわれないことから、管理者が不正アクセスの情報（実態）を正確に把握できないという問題がある。
【０００６】
【発明が解決しようとする課題】
上述したように従来では、パケット転送装置に於いて不正アクセスに関わるパケットを検知した場合の管理者への通知機能に於いて、管理者が不正アクセスの実態を容易にかつ正確に把握できる有効な通知機能が存在しなかった。
【０００７】
本発明は上記実情に鑑みなされたもので、不正アクセスに関わるパケットを検知した場合に、その不正アクセスの実態を管理者が効率よく正確に把握できるパケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法を提供することを目的とする。
【０００８】
【課題を解決するための手段】
本発明は、パケット転送装置の不正アクセス検知機構に於いて、不正アクセスに関わるパケットを検知した際の管理者への通知に際し、通知する情報の有用性を判定し、有用な情報のみを管理者に通知する処理を介在したことを特徴とする。
【０００９】
即ち、本発明は、ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定するパケット解析手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットを破棄するパケット通過処理手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットの存在及び詳細情報を不正アクセス履歴として記録する不正アクセス履歴記録手段とを具備したパケット転送装置に於いて、前記パケット解析手段に、前記ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであることを判定した際、前記不正アクセス履歴記録手段に記録された不正アクセス履歴を参照して、前記不正アクセスに関わるパケットであると判定したパケットの送信元が、過去に存在する不正パケットの送信元であるか否かを判定する判定手段と、前記判定手段が過去に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び前記不正アクセスに関わるパケットの詳細情報を外部の機器に通知する通知手段とを具備したことを特徴とする。
【００１０】
また、本発明は、ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定するパケット解析手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットを破棄するパケット通過処理手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットの存在及び詳細情報を不正アクセス履歴として記録する不正アクセス履歴記録手段とを具備したパケット転送装置に於いて、前記パケット解析手段に、前記ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであることを判定した際、前記不正アクセス履歴記録手段に記録された不正アクセス履歴を参照して、前記不正アクセスに関わるパケットであると判定したパケットの送信先が、過去に存在する不正パケットの送信先であるか否かを判定する判定手段と、前記判定手段が過去に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び前記不正アクセスに関わるパケットの詳細情報を外部の機器に通知する通知手段とを具備したことを特徴とする。
【００１１】
また、本発明は、前記パケット転送装置に於いて、前記判定手段は、前記不正アクセス履歴記録手段に記録された、過去の一定時間内の不正アクセス履歴を参照して判定を行うことを特徴とする。
【００１２】
また、本発明は、前記パケット転送装置に於いて、前記判定手段は、前記不正アクセス履歴記録手段に記録された不正アクセス履歴から、設定された任意のタイミング以降の不正アクセス履歴を参照して判定を行うことを特徴とする。
【００１３】
また、本発明は、前記パケット転送装置に於いて、前記パケット解析手段は、前記通知手段による通知が成功しない際に、該当する不正アクセスに関わるパケットの存在及び詳細情報を、以降に前記判定手段が参照する不正アクセス履歴から除外する制御手段を具備したことを特徴とする。
【００１４】
また、本発明は、前記パケット転送装置に於いて、前記パケット解析手段は、前記通知手段が不正アクセスに関わるパケットの存在及び詳細情報を外部の機器に通知する際、当該通知の対象となる詳細情報をもとに通知先となる外部の機器を決定する手段を具備したことを特徴とする。
【００１５】
また、本発明は、パケット転送装置の不正アクセス検知時に於ける情報通知方法に於いて、ネットワークセグメントの間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットであると判定した際に、当該パケットを破棄するステップと、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を不正アクセス履歴として記録するステップと、前記不正アクセスに関わるパケットであると判定したパケットについて、前記記録した不正アクセス履歴のすべて若しくは一部を参照して、過去の不正アクセス履歴に存在しない不正パケットの送信元であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を外部の機器に通知するステップとを具備したことを特徴とする。
【００１６】
また、本発明は、パケット転送装置の不正アクセス検知時に於ける情報通知方法に於いて、ネットワークセグメントの間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットであると判定した際に、当該パケットを破棄するステップと、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を不正アクセス履歴として記録するステップと、前記不正アクセスに関わるパケットであると判定したパケットについて、前記記録した不正アクセス履歴のすべて若しくは一部を参照して、過去の不正アクセス履歴に存在しない不正パケットの送信先であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を外部の機器に通知するステップとを具備したことを特徴とする。
【００１７】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態を説明する。
【００１８】
図１は本発明に係るパケット転送装置を用いたネットワークシステムの構成を示すブロック図である。
【００１９】
図１に於いて、パケット転送装置１０は、複数のクライアント計算機が接続されたネットワークセグメント（クライアント側のネットワークセグメント）１００と、複数のサーバ計算機２０，２０，…が接続されたネットワークセグメント（サーバ側のネットワークセグメント）２００との間に接続され、クライアント側のネットワークセグメント１００とサーバ側のネットワークセグメント２００との間の通信時に於いて、パケットを転送する機能をもつ。
【００２０】
図２は上記パケット転送装置１０の構成を示すブロック図である。
【００２１】
パケット転送装置１０には、図２に示すように、それぞれ異なるネットワークセグメントを接続対象とした２つのパケット送受信部１１，１２と、不正アクセスに関わるパケットを検知するパケット解析機構１３とが設けられる。
【００２２】
パケット転送装置１０に於いて、パケット送受信部１１は、クライアント側のネットワークセグメント１００に接続され、パケット送受信部１２は、サーバ側のネットワークセグメント２００に接続される。
【００２３】
パケット送受信部１１は、クライアント側のネットワークセグメント１００からパケットを受信すると、その受信したパケットをパケット解析機構１３に送出する。
【００２４】
パケット解析機構１３は、パケット送受信部１１で受信したパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットでなければ、そのパケットをパケット送受信部１２に渡す。パケット送受信部１２はパケット解析機構１３を介して受けたパケットをサーバ側のネットワークセグメント２００へ送出する。
【００２５】
また、パケット解析機構１３に於いて、パケット送受信部１１で受信したパケットが不正アクセスに関わるパケットであると判定した際は、そのパケットをパケット送受信部１２に渡さずに廃棄して、不正アクセスに関わるパケットであると判定したパケットの通過を防ぐ。
【００２６】
パケット送受信部１２は、サーバ側のネットワークセグメント２００からパケットを受信すると、その受信したパケットをパケット送受信部１１に渡す。パケット送受信部１１はパケット送受信部１２より受けたパケットをクライアント側のネットワークセグメント１００へ送出する。
【００２７】
図３は上記図２に示したパケット解析機構１３の構成要素を示すブロック図である。
【００２８】
パケット解析機構１３には、図３に示すように、パケット解析処理部１３１、パケット通過処理部１３２、不正アクセス履歴保持部１３３、不正アクセス情報通知部１３４等が設けられる。この図３に示す各構成要素はソフトウェアにより実現されるもので、ここでは、不正アクセス履歴保持部１３３が不正アクセス履歴を記録する記録部を有し、この記録部上でパケット解析処理部１３１の指示に従い不正アクセス履歴を記録し更新し管理する処理機能をもつものとする。
【００２９】
パケット解析処理部１３１は、パケット送受信部１１が受信したパケットのデータを解析し、不正アクセスに関わるパケットであるか否かを判定する。不正アクセスに関わるパケットであると判定した場合は、その旨をパケット通過処理部１３２、不正アクセス履歴保持部１３３、及び不正アクセス情報通知部１３４に通知する処理機能をもつ。更に、その不正アクセスに関わるパケットの存在及び詳細情報（不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等）を不正アクセス履歴として不正アクセス履歴保持部１３３に通知するとともに、不正アクセス履歴保持部１３３を参照して、上記不正アクセスに関わるパケットの検知情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定し、情報通知をすべきであると判定した場合は、その旨を不正アクセス情報通知部１３４に通知する処理機能をもつ。
【００３０】
パケット通過処理部１３２は、パケット送受信部１１が受信したパケットについて、パケット解析処理部１３１に問い合わせ、その問い合わせた結果に従い、受信したパケットを転送するか否か（パケット送受信部１２に渡すか否か）を制御するパケット転送制御処理機能をもつ。
【００３１】
不正アクセス履歴保持部１３３は、パケット解析処理部１３１が不正アクセスに関わるパケットであると判定した場合に、そのパケットの受信時刻や送信元、送信先等の詳細情報を不正アクセス履歴として記録する機能をもつ。
【００３２】
不正アクセス情報通知部１３４は、パケット解析処理部１３１が情報通知すべきと判定した場合に、不正アクセス履歴保持部１３３で保持する不正アクセスに関わる詳細情報（不正アクセスの情報）を監視を行う所定の計算機に通知する機能をもつ。
【００３３】
図４は上記不正アクセス履歴保持部１３３に記録された不正アクセス履歴の一例を示す図である。
【００３４】
パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定した場合、不正アクセス履歴保持部１３３に、不正アクセス履歴として、上記不正アクセスに関わるパケットの受信日時、及び送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を通知する。不正アクセス履歴保持部１３３は上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する。尚、図４に示す不正アクセス履歴の記録例では、上記詳細情報に対応して、後述する識別子１及び識別子２が記録される。
【００３５】
図５乃至図７はそれぞれ本発明の第１実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図５はパケット転送時の不正アクセス検知処理手順を示すフローチャート、図６は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャート、図７は不正アクセス検知時の情報通知処理手順を示すフローチャートである。
【００３６】
図８及び図９はそれぞれ本発明の第２実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図８は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャート、図９は不正アクセス検知時の情報通知処理手順を示すフローチャートである。尚、この第２実施形態に於いて、パケット転送時の不正アクセス検知処理手順については、図５に示す第１実施形態の不正アクセス検知処理手順と同様であるので同図を援用する。
【００３７】
図１０及び図１１はそれぞれ本発明の第３実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１０は不正アクセス履歴に識別子１を付加する処理手順を示すフローチャート、図１１は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００３８】
図１２及び図１３はそれぞれ本発明の第４実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１２は不正アクセス履歴に識別子１を付加する処理手順を示すフローチャート、図１３は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００３９】
図１４及び図１５はそれぞれ本発明の第５実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１４は不正アクセス監視を行う指定計算機への情報通知エラー時の処理手順を示すフローチャート、図１５は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００４０】
図１６は本発明の第６実施形態に於ける不正アクセス情報通知先計算機一覧の構成例を示す図である。図１７は本発明の第６実施形態に於ける不正アクセス情報をもとにした通知先振り分け処理の手順を示すフローチャートである。
【００４１】
ここで、上記各図を参照して本発明の第１乃至第６実施形態に於ける不正アクセス検知時の情報通知処理動作を説明する。
【００４２】
先ず、図１乃至図７を参照して本発明の第１実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第１実施形態では、パケット転送装置１０のパケット送受信部１１で受信した不正アクセスに関わるパケットであると判定したパケットについて、そのパケットの送信元が、過去の不正アクセス履歴に存在しない不正パケットの送信元であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知する機能を実現している。
【００４３】
パケット転送装置１０は、パケット転送時に於いて、図５に示すような不正アクセス検知処理を実行する。
【００４４】
パケット転送装置１０に於いて、パケット送受信部１１がクライアント側のネットワークセグメント１００からパケットを受信すると、パケット解析機構１３のパケット通過処理部１３２は、当該受信パケットが不正アクセスに関わるパケットであるか否かをパケット解析処理部１３１に問い合わせる（図５ステップＳ１０１）。
【００４５】
パケット解析処理部１３１は、パケット送受信部１１が受信したパケットのデータを解析し、不正アクセスに関わるパケットであるか否かを判定して（図５ステップＳ１０２，Ｓ１０３）、その判定結果をパケット通過処理部１３２に通知する（図５ステップＳ１０４，Ｓ１０６）。
【００４６】
ここで、パケット通過処理部１３２は、パケット解析処理部１３１から不正アクセスに関わるパケットである旨の判定結果を受けると（図５ステップＳ１０３Ｙｅｓ）、その判定結果に従い上記受信した不正アクセスに関わるパケットを通過させずに廃棄する（図５ステップＳ１０５）。
【００４７】
また、パケット解析処理部１３１から不正アクセスに関わるパケットでない旨の判定結果を受けると（図５ステップＳ１０３Ｎｏ）、その判定結果に従い上記受信したパケットを通過させてパケット送受信部１２に渡す（図５ステップＳ１０７）。パケット送受信部１２はパケット解析機構１３を介して受けたパケットをサーバ側のネットワークセグメント２００へ送出する。
【００４８】
上記したパケット転送装置１０のパケット転送処理に於いて、パケット解析機構１３が不正アクセスに関わるパケットを検知した際、図６に示すような不正アクセス履歴参照処理を実行する。
【００４９】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図６ステップＳ２０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図６ステップＳ２０２）。
【００５０】
不正アクセス履歴保持部１３３はパケット解析処理部１３１から上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図６ステップＳ２０３）。
【００５１】
上記パケット解析処理部１３１は、上記不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、その不正アクセスに関わるパケットであると判定したパケットの送信元が、過去に存在する不正パケットの送信元であるか否か（受信した不正アクセスに関わるパケットの送信元と同一送信元の不正アクセスが過去にあったか否か）を判定する（図６ステップＳ２０４）。
【００５２】
即ち、パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、上記不正アクセスに関わるパケットの情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定する。
【００５３】
ここで、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信元が、過去の不正アクセスに関わるパケットに存在しないことを確認すると、即ち情報通知をする不正アクセスであることを判定すると（図７ステップＳ２０５Ｙｅｓ）、その判定結果を不正アクセス情報通知部１３４に通知する（図７ステップＳ２０６）。
【００５４】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から、情報通知をする旨の判定結果を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報（不正アクセスの情報）を所定の外部監視機器（指定計算機）に通知する（図７ステップＳ２０７）。
【００５５】
また、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信元が、過去の不正アクセスに関わるパケットに存在することを確認すると、即ち情報通知をする不正アクセスでないことを判定すると（図７ステップＳ２０５Ｎｏ）、上記不正アクセスに関わるパケットの情報通知を行わず（図７ステップＳ２０８）、この情報通知処理を終了する。
【００５６】
これにより、パケット転送装置１０が不正アクセスを検知した場合、過去に不正アクセスを受けたことがないパケットの送信元ならば、指定の計算機に、パケットの受信時刻や、送信元、送信先等の詳細情報を通知することが可能となる。つまり、不正アクセスに関わるパケットの送信元が、過去に受けた不正アクセスに関わるパケットの送信元と同じであれば、情報通知を行なわない。
【００５７】
次に、図１乃至図５と、図８及び図９を参照して本発明の第２実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第２実施形態では、パケット転送装置１０のパケット送受信部１１で受信した不正アクセスに関わるパケットであると判定したパケットについて、そのパケットの送信先が、過去の不正アクセス履歴に存在しない不正パケットの送信先であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知する機能を実現している。
【００５８】
パケット転送装置１０は、パケット転送時に於いて、図５に示すような不正アクセス検知処理を実行する。この処理については上記した第１実施形態に於いて既に説明しているので、ここではその説明を省略する。
【００５９】
上記したパケット転送装置１０のパケット転送処理に於いて、パケット解析機構１３が不正アクセスに関わるパケットを検知した際、図８に示すような不正アクセス履歴参照処理を実行する。
【００６０】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図８ステップＳ３０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図８ステップＳ３０２）。
【００６１】
不正アクセス履歴保持部１３３はパケット解析処理部１３１から上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図８ステップＳ３０３）。
【００６２】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、その不正アクセスに関わるパケットであると判定したパケットの送信先が、過去に存在する不正パケットの送信先であるか否か（受信した不正アクセスに関わるパケットの送信先と同一送信先の不正アクセスが過去にあったか否か）を判定する（図８ステップＳ３０４）。
【００６３】
即ち、パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、上記不正アクセスに関わるパケットの情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定する。
【００６４】
ここで、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信先が、過去の不正アクセスに関わるパケットに存在しないことを確認すると、即ち情報通知をする不正アクセスであることを判定すると（図９ステップＳ３０５Ｙｅｓ）、その判定結果を不正アクセス情報通知部１３４に通知する（図９ステップＳ３０６）。
【００６５】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から、情報通知をする旨の判定結果を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報（不正アクセスの情報）を所定の外部監視機器（指定計算機）に通知する（図９ステップＳ３０７）。
【００６６】
また、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信先が、過去の不正アクセスに関わるパケットに存在することを確認すると、即ち情報通知をする不正アクセスでないことを判定すると（図９ステップＳ３０５Ｎｏ）、上記不正アクセスに関わるパケットの情報通知を行わず（図９ステップＳ３０８）、この情報通知処理を終了する。
【００６７】
これにより、パケット転送装置１０が不正アクセスを検知した場合、過去に不正アクセスを受けたことがないパケットの送信先ならば、指定の計算機に、パケットの受信時刻や、送信元、送信先等の詳細情報を通知することが可能となる。つまり、不正アクセスに関わるパケットの送信先が、過去に受けた不正アクセスに関わるパケットの送信先と同じであれば、情報通知を行なわない。
【００６８】
次に、図１乃至図４と、図１０及び図１１を参照して本発明の第３実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第３実施形態では、パケット転送装置１０に設けられたパケット解析機構１３が、不正アクセス履歴保持部１３３に記録された、過去の一定時間内の不正アクセス履歴を参照して情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。即ち、現在からｘ日以内、ｘ時間以内等、過去の一定時間内を監視の対象として、情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。
【００６９】
パケット転送装置１０のパケット解析機構１３に於いて、不正アクセス履歴保持部１３３は、予め設定した一定時間の経過毎に（図１０ステップＳ４０１）、記録した不正アクセス履歴を参照して（図１０ステップＳ４０２）、識別子１が付いていない不正アクセス情報に、識別子１を付加する（図１０ステップＳ４０３）。即ち、図４に示す不正アクセス履歴の識別子１の記録部に、ｘｘ時間経過毎に、過去に記録した不正アクセス履歴に対して識別子１を付加する。
【００７０】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１１ステップＳ４０４）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１１ステップＳ４０５）。
【００７１】
不正アクセス履歴保持部１３３はパケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１１ステップＳ４０６）。
【００７２】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１１ステップＳ４０７）。
【００７３】
即ち、この第３実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００７４】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００７５】
これにより、不正アクセスに関わるパケットを検知した場合、予め設定した一定時間内に検知した不正アクセス履歴のみを参照し、情報通知すべき不正アクセスか否かを判定することが可能となる。
【００７６】
次に、図１乃至図４と、図１２及び図１３を参照して本発明の第４実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第４実施形態では、パケット転送装置１０に設けられたパケット解析機構１３が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴から、設定された任意のタイミング以降の不正アクセス履歴のみを参照して情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。即ち、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、例えば任意の操作指示時点以降の不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。
【００７７】
パケット転送装置１０のパケット解析機構１３に於いて、不正アクセス情報通知部１３４は、任意のタイミングで、不正アクセス履歴に識別子１を付加する要求を受け付けると（図１２ステップＳ５０１）、記録した不正アクセス履歴を参照して（図１２ステップＳ５０２）、識別子１が付いていない不正アクセス情報に対して、識別子１を付加する（図１２ステップＳ５０３）。
【００７８】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１３ステップＳ６０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１３ステップＳ６０２）。
【００７９】
不正アクセス履歴保持部１３３は、パケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１３ステップＳ６０３）。
【００８０】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、識別子１が付加されていない、上記操作指示された任意のタイミング以降の不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１３ステップＳ６０４）。
【００８１】
即ち、この第４実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、上記操作指示された任意のタイミング以降の、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００８２】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、上記操作指示された任意のタイミング以降の、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００８３】
これにより、不正アクセスに関わるパケットを検知した場合、上記操作指示された任意のタイミング以降に於ける若しくは設定されたタイミング以降に於ける不正アクセス履歴のみを参照して、情報通知すべき不正アクセスか否かを判定することが可能となる。
【００８４】
次に、図１乃至図４と、図１４及び図１５を参照して本発明の第５実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第５実施形態では、上記した不正アクセス情報通知部１３４による情報通知が成功しなかった場合に、その不正アクセスに関わる不正アクセスの情報を、以降の判定に参照する不正アクセス履歴から除外する機能を実現している。
【００８５】
不正アクセス情報通知部１３４が、指定の計算機に不正アクセスに関わるパケットの受信時刻や送信元、送信先等の詳細情報を通知した際（図１４ステップＳ７０１）に、その通知がエラーとなった場合（図１４ステップＳ７０２Ｙｅｓ）、不正アクセス情報通知部１３４は、そのエラーをパケット解析処理部１３１を介して不正アクセス履歴保持部１３３に通知する（図１４ステップＳ７０３）。また、不正アクセス情報通知部１３４は、上記不正アクセスの情報が正常に通知された際は、上記エラー通知を行わず（図１４ステップＳ７０５）、このエラー処理を終了する。
【００８６】
不正アクセス履歴保持部１３３はパケット解析処理部１３１を介して上記エラー通知を受けると、記録した不正アクセス履歴を参照し、エラーした不正アクセスの情報に識別子２を付加する（図１４ステップＳ７０４）。
【００８７】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１５ステップＳ７０６）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１５ステップＳ７０７）。
【００８８】
不正アクセス履歴保持部１３３はパケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１５ステップＳ７０８）。
【００８９】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１５ステップＳ７０９）。
【００９０】
即ち、この第５実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して（情報通知の受信時にエラーのあった不正アクセス履歴を除外して）、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００９１】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００９２】
これにより、不正アクセスを検知した場合の指定計算機への情報通知がエラーになった場合、次回以降の不正アクセス検知時には、情報通知がエラーになった場合の不正アクセス履歴を参照しないようにすることが可能となる。
【００９３】
次に、図１乃至図４と、図１６及び図１７を参照して本発明の第６実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第６実施形態では、不正アクセス情報通知部１３４が情報通知を行う際に、その通知を行う情報をもとに、通知先（送信先）の計算機を決定する（振り分ける）機能を実現している。
【００９４】
この第６実施形態に於いては、図１６に示すような不正アクセス情報の通知先となる計算機の一覧情報が予め設定され、この計算機一覧を参照して不正アクセス情報の通知先計算機が決定される。この図１６に示す不正アクセス情報通知先計算機一覧１３５には、送信元、送信先等の詳細情報、不正アクセスの種類、情報通知先計算機のネットワークアドレス等が予め設定され、不正アクセスに関わるパケットの受信時刻や、送信元、送信先等の詳細情報をもとに、それぞれの記述内容をパラメータにして、不正情報通知先の計算機を指定可能にしている。
【００９５】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から情報通知の指示に従い、図１６に示す不正アクセス情報通知計算機一覧１３５を参照して、指定の計算機に不正アクセスの情報を通知する。
【００９６】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると、その旨を不正アクセス情報通知部１３４に通知する（図１７ステップＳ８０１）。不正アクセス情報通知部１３４はパケット解析処理部１３１から上記通知を受けると、図１６に示す不正アクセス情報通知計算機一覧を参照して（図１７ステップＳ８０２）、通知先計算機を決定し（図１７ステップＳ８０３）、不正アクセス情報通知計算機一覧よりネットワークアドレスを取得して、その指定計算機に不正アクセスの情報を通知する（図１７ステップＳ８０４）。
【００９７】
これにより、パケット転送装置１０が不正アクセスを検知した場合、不正アクセス情報の種類により、情報通知先の計算機を振り分けることが可能となる。
【００９８】
【発明の効果】
以上詳記したように本発明によれば、不正アクセスに関わるパケットを検知した場合に、その不正アクセスの実態を管理者が効率よく正確に把握できるパケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法が提供できる。
【図面の簡単な説明】
【図１】本発明の第１乃至第６実施形態に於けるパケット転送装置を用いたネットワークシステムの構成を示すブロック図。
【図２】上記各実施形態に於けるパケット転送装置の構成を示すブロック図。
【図３】上記各実施形態に於けるパケット解析機構の構成要素を示すブロック図。
【図４】上記各実施形態に於ける不正アクセス履歴保持部に記録された不正アクセス履歴の一例を示す図。
【図５】本発明の第１実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図６】本発明の第１実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図７】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図８】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図９】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１０】本発明の第３実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１１】本発明の第３実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１２】本発明の第４実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１３】本発明の第４実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１４】本発明の第５実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１５】本発明の第５実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１６】本発明の第６実施形態に於ける不正アクセス情報通知先計算機一覧の構成例を示す図。
【図１７】本発明の第６実施形態に於ける通知先振り分け処理の手順を示すフローチャート。
【符号の説明】
１０…パケット転送装置
１１…パケット送受信部
１２…パケット送受信部
１３…パケット解析機構
２０…サーバ
１００…クライアント側のネットワークセグメント
１３１…パケット解析処理部
１３２…パケット通過処理部
１３３…不正アクセス履歴保持部
１３４…不正アクセス情報通知部
１３５…不正アクセス情報通知計算機一覧
２００…サーバ側のネットワークセグメント[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a packet transfer apparatus for transferring a packet between network segments, and an information notification method when detecting unauthorized access of the packet transfer apparatus.
[0002]
[Prior art]
In a packet transfer device that is connected to multiple network segments and transfers packets between network segments, the packet transfer device detects unauthorized access as a method for notifying the administrator when a packet related to unauthorized access is detected. There are a method of notifying the administrator every time, a method of notifying the administrator only once when unauthorized access is detected, a method of notifying only once for each type of unauthorized access, and the like.
[0003]
However, the method of notifying the administrator every time unauthorized access is detected is that, for example, if a large amount of unauthorized access is received from the same sender using the same unauthorized access method, a large amount of notifications will reach the administrator. There is a problem that the information that the administrator originally needs cannot be easily grasped.
[0004]
In addition, the method of notifying the administrator only once is that the administrator is notified only once even if there is unauthorized access from multiple destinations using the same unauthorized access method. There is a problem that a person cannot accurately grasp information (actual state) of unauthorized access.
[0005]
In addition, the method of notifying the administrator only once for each type of unauthorized access is to notify the administrator even if multiple access destinations of the packet transfer device have been accessed illegally using the same access method. Since this is performed only once, there is a problem that the administrator cannot accurately grasp information (actual state) of unauthorized access.
[0006]
[Problems to be solved by the invention]
As described above, conventionally, in the packet transfer device, when the packet related to unauthorized access is detected, the administrator can easily and accurately grasp the actual state of unauthorized access in the notification function to the administrator. There was no notification function.
[0007]
The present invention has been made in view of the above circumstances. When a packet related to unauthorized access is detected, a packet transfer device that enables an administrator to efficiently and accurately grasp the actual state of unauthorized access is detected. The purpose of this is to provide a method of information notification.
[0008]
[Means for Solving the Problems]
The present invention determines the usefulness of information to be notified when an unauthorized access detection mechanism of a packet transfer apparatus detects a packet related to unauthorized access, and determines only useful information. It is characterized in that a process of notifying is interposed.
[0009]
That is, the present invention provides packet analysis means for determining whether or not a packet transferred between network segments is a packet related to unauthorized access, and a packet determined by the packet analysis means to be a packet related to unauthorized access. A packet passage processing means for discarding the packet, and a packet determined to be a packet related to unauthorized access by the packet analysis means In the packet transfer device comprising the unauthorized access history recording means for recording the existence and detailed information as unauthorized access history, the packet transferred to the packet analysis means is a packet related to unauthorized access. When it is determined that there is a packet that is determined to be a packet related to the unauthorized access by referring to the unauthorized access history recorded in the unauthorized access history recording unit, A determination unit that determines whether the packet is an original, and the presence of a packet that is determined to be a packet related to the unauthorized access when the determination unit determines that the packet is a transmission source of an unauthorized packet that does not exist in the past, and Of packets related to the unauthorized access And a notification means for notifying the external device of the detailed information.
[0010]
The present invention also provides packet analysis means for determining whether or not a packet transferred between network segments is a packet related to unauthorized access, and a packet determined by the packet analysis means to be a packet related to unauthorized access. A packet passage processing means for discarding the packet, and a packet determined to be a packet related to unauthorized access by the packet analysis means In the packet transfer device comprising the unauthorized access history recording means for recording the existence and detailed information as unauthorized access history, the packet transferred to the packet analysis means is a packet related to unauthorized access. When it is determined that the packet is determined to be a packet related to unauthorized access by referring to the unauthorized access history recorded in the unauthorized access history recording means, A determination unit that determines whether the packet is a destination, and the presence of a packet that is determined to be a packet related to the unauthorized access when the determination unit determines that the packet is a transmission destination of an unauthorized packet that does not exist in the past, and Of packets related to the unauthorized access And a notification means for notifying the external device of the detailed information.
[0011]
Further, the present invention is characterized in that, in the packet transfer apparatus, the determination unit makes a determination with reference to an unauthorized access history within a predetermined past time recorded in the unauthorized access history recording unit. To do.
[0012]
Further, the present invention provides the packet transfer apparatus, wherein the determination means makes a determination with reference to an unauthorized access history after an arbitrary set timing from an unauthorized access history recorded in the unauthorized access history recording means. It is characterized by performing.
[0013]
Further, in the packet transfer device according to the present invention, when the notification by the notifying means is not successful, the packet analyzing means indicates the existence and detailed information of the packet related to the unauthorized access, and subsequently determines the determining means. It is characterized by comprising control means for excluding from the unauthorized access history referenced by.
[0014]
Further, in the packet transfer apparatus according to the present invention, when the notification unit notifies the external device of the presence and detailed information of the packet related to unauthorized access, the details to be notified It is characterized by comprising means for determining an external device to be notified based on information.
[0015]
Further, according to the present invention, in an information notification method when detecting unauthorized access of a packet transfer device, it is determined whether or not a packet transferred between network segments is a packet related to unauthorized access, and unauthorized access is made. When it is determined that the packet is related, the packet The presence of a packet determined to be a packet related to the unauthorized access and the packet The step of recording the detailed information as an unauthorized access history and the packet determined to be a packet related to the unauthorized access are not present in the past unauthorized access history by referring to all or a part of the recorded unauthorized access history. The presence of a packet that is determined to be a packet related to unauthorized access when it is determined whether the packet is a sender of an unauthorized packet and determined to be a sender of an unauthorized packet that does not exist in the past unauthorized access history, and Of the packet And a step of notifying detailed information to an external device.
[0016]
Further, according to the present invention, in an information notification method when detecting unauthorized access of a packet transfer device, it is determined whether or not a packet transferred between network segments is a packet related to unauthorized access, and unauthorized access is made. When it is determined that the packet is related, the packet The presence of a packet determined to be a packet related to the unauthorized access and the packet The step of recording the detailed information as an unauthorized access history and the packet determined to be a packet related to the unauthorized access are not present in the past unauthorized access history by referring to all or a part of the recorded unauthorized access history. It is determined whether or not it is a transmission destination of an unauthorized packet, and when it is determined that the transmission destination is an unauthorized packet that does not exist in the past unauthorized access history, the presence of a packet that is determined to be a packet related to the unauthorized access and Of the packet And a step of notifying detailed information to an external device.
[0017]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[0018]
FIG. 1 is a block diagram showing a configuration of a network system using a packet transfer apparatus according to the present invention.
[0019]
1, a packet transfer apparatus 10 includes a network segment (client-side network segment) 100 to which a plurality of client computers are connected, and a network segment (server-side) to which a plurality of server computers 20, 20,. Network segment) 200, and has a function of transferring packets during communication between the client-side network segment 100 and the server-side network segment 200.
[0020]
FIG. 2 is a block diagram showing a configuration of the packet transfer apparatus 10.
[0021]
As shown in FIG. 2, the packet transfer apparatus 10 is provided with two packet transmission / reception units 11 and 12 that are connected to different network segments, and a packet analysis mechanism 13 that detects packets related to unauthorized access.
[0022]
In the packet transfer apparatus 10, the packet transmission / reception unit 11 is connected to the network segment 100 on the client side, and the packet transmission / reception unit 12 is connected to the network segment 200 on the server side.
[0023]
When receiving a packet from the network segment 100 on the client side, the packet transmitting / receiving unit 11 sends the received packet to the packet analysis mechanism 13.
[0024]
The packet analysis mechanism 13 determines whether or not the packet received by the packet transmission / reception unit 11 is a packet related to unauthorized access. If the packet analysis mechanism 13 is not a packet related to unauthorized access, the packet analysis unit 13 passes the packet to the packet transmission / reception unit 12. The packet transmission / reception unit 12 transmits the packet received via the packet analysis mechanism 13 to the network segment 200 on the server side.
[0025]
When the packet analysis mechanism 13 determines that the packet received by the packet transmission / reception unit 11 is a packet related to unauthorized access, the packet is discarded without passing to the packet transmission / reception unit 12 for unauthorized access. Prevent the passage of packets that are determined to be related.
[0026]
When receiving a packet from the server-side network segment 200, the packet transmitting / receiving unit 12 passes the received packet to the packet transmitting / receiving unit 11. The packet transmission / reception unit 11 transmits the packet received from the packet transmission / reception unit 12 to the network segment 100 on the client side.
[0027]
FIG. 3 is a block diagram showing components of the packet analysis mechanism 13 shown in FIG.
[0028]
As shown in FIG. 3, the packet analysis mechanism 13 includes a packet analysis processing unit 131, a packet passage processing unit 132, an unauthorized access history holding unit 133, an unauthorized access information notification unit 134, and the like. Each component shown in FIG. 3 is realized by software. Here, the unauthorized access history holding unit 133 has a recording unit for recording the unauthorized access history, and the packet analysis processing unit 131 of the recording unit is recorded on the recording unit. It shall have a processing function to record, update and manage unauthorized access history according to instructions.
[0029]
The packet analysis processing unit 131 analyzes the data of the packet received by the packet transmitting / receiving unit 11 and determines whether the packet is related to unauthorized access. When it is determined that the packet is related to unauthorized access, it has a processing function of notifying the packet passage processing unit 132, the unauthorized access history holding unit 133, and the unauthorized access information notifying unit 134 to that effect. In addition, the existence and detailed information of the packets related to the unauthorized access (reception date and time of the packet related to unauthorized access, transmission source network address, transmission destination network address, unauthorized access type, etc.) are stored as unauthorized access history. Notifying the unit 133, and referring to the unauthorized access history holding unit 133, it is determined whether or not to detect the detection information of the packet related to the unauthorized access to a predetermined external monitoring device (designated computer). If it is determined that it should be, it has a processing function for notifying the unauthorized access information notification unit 134 to that effect.
[0030]
The packet passage processing unit 132 inquires of the packet analysis processing unit 131 about the packet received by the packet transmitting / receiving unit 11 and determines whether to transfer the received packet (whether to pass to the packet transmitting / receiving unit 12 or not). A packet transfer control processing function for controlling.
[0031]
When the packet analysis processing unit 131 determines that the packet is related to unauthorized access, the unauthorized access history holding unit 133 records detailed information such as the reception time, transmission source, and transmission destination of the packet as an unauthorized access history. It has.
[0032]
When the packet analysis processing unit 131 determines that the information should be notified, the unauthorized access information notification unit 134 monitors the detailed information (unauthorized access information) related to unauthorized access held by the unauthorized access history holding unit 133. It has a function to notify to other computers.
[0033]
FIG. 4 is a diagram showing an example of the unauthorized access history recorded in the unauthorized access history holding unit 133.
[0034]
When the packet analysis processing unit 131 determines that the packet received by the packet transmission / reception unit 11 is a packet related to unauthorized access, the unauthorized access history holding unit 133 receives the packet related to unauthorized access as an unauthorized access history. Detailed information such as date and time, source network address, destination network address, and type of unauthorized access is notified. Upon receiving the notification, the unauthorized access history holding unit 133 records and manages detailed information such as the reception date and time of the packet related to the unauthorized access, the transmission source network address, the transmission destination network address, and the unauthorized access type as an unauthorized access history. To do. In the example of the unauthorized access history record shown in FIG. 4, identifier 1 and identifier 2, which will be described later, are recorded corresponding to the detailed information.
[0035]
5 to 7 are flowcharts showing the processing procedure of the packet analysis mechanism 13 in the first embodiment of the present invention. 5 is a flowchart showing an unauthorized access detection processing procedure at the time of packet transfer, FIG. 6 is a flowchart showing an unauthorized access history reference processing procedure at the time of unauthorized access detection, and FIG. 7 is an information notification processing procedure at the time of unauthorized access detection. It is a flowchart to show.
[0036]
8 and 9 are flowcharts showing the processing procedure of the packet analysis mechanism 13 in the second embodiment of the present invention. 8 is a flowchart showing an unauthorized access history reference processing procedure when unauthorized access is detected, and FIG. 9 is a flowchart showing an information notification processing procedure when unauthorized access is detected. In the second embodiment, the unauthorized access detection processing procedure at the time of packet transfer is the same as the unauthorized access detection processing procedure of the first embodiment shown in FIG.
[0037]
10 and 11 are flowcharts showing the processing procedure of the packet analysis mechanism 13 in the third embodiment of the present invention. Among these, FIG. 10 is a flowchart showing a processing procedure for adding the identifier 1 to the unauthorized access history, and FIG. 11 is a flowchart showing an unauthorized access history reference processing procedure when unauthorized access is detected.
[0038]
12 and 13 are flowcharts showing the processing procedure of the packet analysis mechanism 13 in the fourth embodiment of the present invention. 12 is a flowchart showing a processing procedure for adding identifier 1 to the unauthorized access history, and FIG. 13 is a flowchart showing an unauthorized access history reference processing procedure when unauthorized access is detected.
[0039]
14 and 15 are flowcharts showing the processing procedure of the packet analysis mechanism 13 in the fifth embodiment of the present invention. Among these, FIG. 14 is a flowchart showing a processing procedure when there is an information notification error to the designated computer that monitors unauthorized access, and FIG. 15 is a flowchart showing an unauthorized access history reference processing procedure when detecting unauthorized access.
[0040]
FIG. 16 is a diagram showing a configuration example of the unauthorized access information notification destination computer list in the sixth embodiment of the present invention. FIG. 17 is a flowchart showing a procedure of notification destination distribution processing based on unauthorized access information in the sixth embodiment of the present invention.
[0041]
Here, the information notification processing operation at the time of detecting unauthorized access according to the first to sixth embodiments of the present invention will be described with reference to the respective drawings.
[0042]
First, the information notification processing operation at the time of detecting unauthorized access in the first embodiment of the present invention will be described with reference to FIGS. In the first embodiment, for a packet that is determined to be a packet related to unauthorized access received by the packet transmitting / receiving unit 11 of the packet transfer device 10, the source of the packet is an unauthorized packet that does not exist in the past unauthorized access history. It is determined whether or not the packet is a transmission source, and when it is determined that the packet is a transmission source of an unauthorized packet that does not exist in the past unauthorized access history, the presence and detailed information of the packet determined to be a packet related to the unauthorized access are displayed. Provides a function to notify external devices.
[0043]
The packet transfer apparatus 10 executes unauthorized access detection processing as shown in FIG. 5 during packet transfer.
[0044]
In the packet transfer apparatus 10, when the packet transmitting / receiving unit 11 receives a packet from the network segment 100 on the client side, the packet passage processing unit 132 of the packet analysis mechanism 13 determines whether the received packet is a packet related to unauthorized access. Is inquired of the packet analysis processing unit 131 (step S101 in FIG. 5).
[0045]
The packet analysis processing unit 131 analyzes the data of the packet received by the packet transmitting / receiving unit 11, determines whether the packet is related to unauthorized access (steps S102 and S103 in FIG. 5), and passes the determination result to the packet passing The processing unit 132 is notified (steps S104 and S106 in FIG. 5).
[0046]
When the packet passage processing unit 132 receives a determination result indicating that the packet is related to unauthorized access from the packet analysis processing unit 131 (step S103 Yes in FIG. 5), the packet passing processing unit 132 transmits the received packet related to unauthorized access according to the determination result. Discard without passing (step S105 in FIG. 5).
[0047]
When receiving a determination result indicating that the packet is not related to unauthorized access from the packet analysis processing unit 131 (No in step S103 in FIG. 5), the received packet is passed according to the determination result and passed to the packet transmitting / receiving unit 12 (FIG. 5). Step S107). The packet transmission / reception unit 12 transmits the packet received via the packet analysis mechanism 13 to the network segment 200 on the server side.
[0048]
In the packet transfer process of the packet transfer apparatus 10 described above, when the packet analysis mechanism 13 detects a packet related to unauthorized access, an unauthorized access history reference process as shown in FIG. 6 is executed.
[0049]
When a packet is transferred from the client-side network segment 100 to the server-side network segment 200, the packet analysis processing unit 131 determines that the packet received by the packet transmitting / receiving unit 11 is a packet related to unauthorized access (FIG. 6). In step S201), the reception date and time of the packet related to the unauthorized access and the detailed information such as the transmission source network address, the transmission destination network address, and the type of unauthorized access are notified to the unauthorized access history holding unit 133 (step S202 in FIG. 6). .
[0050]
Upon receiving the notification from the packet analysis processing unit 131, the unauthorized access history holding unit 133 receives detailed information such as the reception date and time of the packet related to the unauthorized access, the transmission source network address, the transmission destination network address, and the type of unauthorized access. It is recorded and managed as an unauthorized access history (step S203 in FIG. 6).
[0051]
The packet analysis processing unit 131 refers to the unauthorized access history recorded in the unauthorized access history holding unit 133, and the source of the packet that is determined to be a packet related to the unauthorized access is an unauthorized packet that exists in the past. 6 (step S204 in FIG. 6) (whether or not there has been an unauthorized access of the same transmission source as the transmission source of the packet related to the received unauthorized access in the past).
[0052]
That is, the packet analysis processing unit 131 refers to the unauthorized access history recorded in the unauthorized access history holding unit 133 to determine whether or not to notify the packet information related to the unauthorized access to a predetermined external monitoring device (designated computer). Determine whether.
[0053]
Here, the packet analysis processing unit 131 confirms that the transmission source of the packet determined to be a packet related to unauthorized access does not exist in the past packets related to unauthorized access, that is, unauthorized access for notifying information. If it is determined (Yes in step S205 in FIG. 7), the determination result is notified to the unauthorized access information notification unit 134 (step S206 in FIG. 7).
[0054]
When the unauthorized access information notifying unit 134 receives the determination result to notify the information from the packet analysis processing unit 131, the unauthorized access information notifying unit 134 receives the reception date and time of the packet related to the unauthorized access, the transmission source network address, the transmission destination network address, Detailed information such as access type (unauthorized access information) is notified to a predetermined external monitoring device (designated computer) (step S207 in FIG. 7).
[0055]
In addition, the packet analysis processing unit 131 confirms that the transmission source of the packet determined to be a packet related to unauthorized access exists in a packet related to past unauthorized access, that is, that it is not unauthorized access for notifying information. If it is determined (No in step S205 in FIG. 7), the information notification of the packet related to the unauthorized access is not performed (step S208 in FIG. 7), and the information notification process is terminated.
[0056]
As a result, when the packet transfer device 10 detects unauthorized access, if the packet transmission source has not received unauthorized access in the past, the designated computer is notified of the packet reception time, transmission source, transmission destination, etc. Detailed information can be notified. That is, if the transmission source of the packet related to unauthorized access is the same as the transmission source of the packet related to unauthorized access received in the past, the information notification is not performed.
[0057]
Next, the information notification processing operation at the time of detecting unauthorized access in the second embodiment of the present invention will be described with reference to FIGS. 1 to 5 and FIGS. In the second embodiment, for a packet determined to be a packet related to unauthorized access received by the packet transmitting / receiving unit 11 of the packet transfer apparatus 10, the transmission destination of the packet is an illegal packet that does not exist in the past unauthorized access history. It is determined whether the packet is a transmission destination, and when it is determined that the packet is a transmission destination of an unauthorized packet that does not exist in the past unauthorized access history, the presence and detailed information of the packet determined to be a packet related to the unauthorized access are displayed. Provides a function to notify external devices.
[0058]
The packet transfer apparatus 10 executes unauthorized access detection processing as shown in FIG. 5 during packet transfer. Since this processing has already been described in the first embodiment, the description thereof is omitted here.
[0059]
In the packet transfer process of the packet transfer apparatus 10 described above, when the packet analysis mechanism 13 detects a packet related to unauthorized access, an unauthorized access history reference process as shown in FIG. 8 is executed.
[0060]
At the time of packet transfer from the client-side network segment 100 to the server-side network segment 200, the packet analysis processing unit 131 determines that the packet received by the packet transmitting / receiving unit 11 is a packet related to unauthorized access (FIG. 8). In step S301), detailed information such as the reception date and time of the packet related to the unauthorized access, the transmission source network address, the transmission destination network address, and the type of unauthorized access is notified to the unauthorized access history holding unit 133 (step S302 in FIG. 8). .
[0061]
Upon receiving the notification from the packet analysis processing unit 131, the unauthorized access history holding unit 133 receives detailed information such as the reception date and time of the packet related to the unauthorized access, the transmission source network address, the transmission destination network address, and the type of unauthorized access. It is recorded and managed as an unauthorized access history (step S303 in FIG. 8).
[0062]
The packet analysis processing unit 131 refers to the unauthorized access history recorded in the unauthorized access history holding unit 133, and determines that the transmission destination of the packet that has been determined to be a packet related to the unauthorized access is an unauthorized packet that exists in the past. It is determined whether or not it is a transmission destination (whether or not the unauthorized transmission of the same transmission destination as the transmission destination of the packet related to the received unauthorized access has been in the past) (step S304 in FIG. 8).
[0063]
That is, the packet analysis processing unit 131 refers to the unauthorized access history recorded in the unauthorized access history holding unit 133 to determine whether or not to notify the packet information related to the unauthorized access to a predetermined external monitoring device (designated computer). Determine whether.
[0064]
Here, the packet analysis processing unit 131 confirms that the transmission destination of the packet determined to be a packet related to unauthorized access does not exist in the past packet related to unauthorized access, that is, unauthorized access for notifying information. If it is determined (Yes in step S305 in FIG. 9), the determination result is notified to the unauthorized access information notification unit 134 (step S306 in FIG. 9).
[0065]
When the unauthorized access information notifying unit 134 receives the determination result to notify the information from the packet analysis processing unit 131, the unauthorized access information notifying unit 134 receives the reception date and time of the packet related to the unauthorized access, the transmission source network address, the transmission destination network address, Detailed information such as access type (unauthorized access information) is notified to a predetermined external monitoring device (designated computer) (step S307 in FIG. 9).
[0066]
Further, the packet analysis processing unit 131 confirms that the transmission destination of the packet determined to be a packet related to unauthorized access exists in a packet related to the past unauthorized access, that is, that it is not an unauthorized access for notifying information. If it is determined (No in step S305 in FIG. 9), the information notification of the packet related to the unauthorized access is not performed (step S308 in FIG. 9), and the information notification process is terminated.
[0067]
As a result, when the packet transfer device 10 detects unauthorized access, if the destination of the packet has never received unauthorized access in the past, the designated computer is notified of the packet reception time, source, destination, etc. Detailed information can be notified. That is, if the transmission destination of the packet related to unauthorized access is the same as the transmission destination of the packet related to unauthorized access received in the past, the information notification is not performed.
[0068]
Next, the information notification processing operation at the time of detecting unauthorized access in the third embodiment of the present invention will be described with reference to FIGS. In this third embodiment, the packet analysis mechanism 13 provided in the packet transfer apparatus 10 refers to an unauthorized access history recorded in the unauthorized access history holding unit 133 in the past for a certain period of time to notify information. A processing function for determining whether access is made is realized. In other words, a processing function for determining whether or not the unauthorized access should be notified of information is realized within a certain period of time in the past, such as within x days or within x hours from the present.
[0069]
In the packet analysis mechanism 13 of the packet transfer apparatus 10, the unauthorized access history holding unit 133 refers to the recorded unauthorized access history (step S401 in FIG. 10) at every elapse of a preset fixed time (step S401 in FIG. 10). S402), identifier 1 is added to the unauthorized access information without identifier 1 (step S403 in FIG. 10). That is, the identifier 1 is added to the unauthorized access history recorded in the past every time xx has elapsed, in the recording unit of the unauthorized access history identifier 1 shown in FIG.
[0070]
Thereafter, when a packet is transferred from the client-side network segment 100 to the server-side network segment 200, the packet analysis processing unit 131 determines that the packet received by the packet transmitting / receiving unit 11 is a packet related to unauthorized access ( (Step S404 in FIG. 11), the reception date and time of the packet related to the unauthorized access, and detailed information such as the transmission source network address, the transmission destination network address, and the type of unauthorized access are notified to the unauthorized access history holding unit 133 (FIG. 11 step). S405).
[0071]
The unauthorized access history holding unit 133 receives, as the unauthorized access history, detailed information such as the reception date and time of the packet related to unauthorized access received from the packet analysis processing unit 131, the transmission source network address, the transmission destination network address, and the type of unauthorized access. Record and manage (step S406 in FIG. 11).
[0072]
The packet analysis processing unit 131 refers to only the unauthorized access history to which the identifier 1 is not added from the unauthorized access history recorded in the unauthorized access history holding unit 133, and determines whether or not the unauthorized access should be notified of information. Is determined (step S407 in FIG. 11).
[0073]
That is, when this third embodiment is applied to the first embodiment described above, the packet analysis processing unit 131 does not add the identifier 1 in the unauthorized access history recorded in the unauthorized access history holding unit 133. Referring only to the unauthorized access history, it is determined whether there has been unauthorized access from the same transmission source in the past, and if there is no unauthorized access from the same transmission source in the past, the unauthorized access information notification unit 134 is instructed to notify the information To do.
[0074]
Further, when the third embodiment is applied to the second embodiment described above, the packet analysis processing unit 131 does not add the identifier 1 among the unauthorized access histories recorded in the unauthorized access history holding unit 133. Referring only to the unauthorized access history, it is determined whether there has been unauthorized access at the same destination in the past, and if there is no unauthorized access at the same destination in the past, the unauthorized access information notification unit 134 is instructed to notify the information To do.
[0075]
As a result, when a packet related to unauthorized access is detected, it is possible to refer to only the unauthorized access history detected within a predetermined period of time and determine whether the unauthorized access should be notified of information.
[0076]
Next, the information notification processing operation at the time of unauthorized access detection in the fourth embodiment of the present invention will be described with reference to FIGS. 1 to 4 and FIGS. In the fourth embodiment, the packet analysis mechanism 13 provided in the packet transfer apparatus 10 refers only to the unauthorized access history after the set arbitrary timing from the unauthorized access history recorded in the unauthorized access history holding unit 133. Thus, a processing function for determining whether or not the unauthorized access should be notified is realized. That is, among the unauthorized access histories recorded in the unauthorized access history holding unit 133, for example, only unauthorized access history after an arbitrary operation instruction time is referred to determine whether the unauthorized access should be notified of information. The processing function is realized.
[0077]
In the packet analysis mechanism 13 of the packet transfer apparatus 10, the unauthorized access information notifying unit 134 receives the request for adding the identifier 1 to the unauthorized access history at an arbitrary timing (step S501 in FIG. 12), and the recorded unauthorized access. With reference to the history (step S502 in FIG. 12), identifier 1 is added to unauthorized access information without identifier 1 (step S503 in FIG. 12).
[0078]
Thereafter, when a packet is transferred from the client-side network segment 100 to the server-side network segment 200, the packet analysis processing unit 131 determines that the packet received by the packet transmitting / receiving unit 11 is a packet related to unauthorized access ( Step S601 in FIG. 13), the reception date and time of the packet related to the unauthorized access, and detailed information such as the transmission source network address, the transmission destination network address, and the type of unauthorized access are notified to the unauthorized access history holding unit 133 (step in FIG. S602).
[0079]
The unauthorized access history holding unit 133 receives the detailed information such as the reception date and time of the packet related to unauthorized access received from the packet analysis processing unit 131, the transmission source network address, the transmission destination network address, and the type of unauthorized access. Is recorded and managed (step S603 in FIG. 13).
[0080]
The packet analysis processing unit 131 refers to the unauthorized access history recorded in the unauthorized access history holding unit 133, and refers only to the unauthorized access history after the arbitrary operation instruction in which the identifier 1 is not added. Then, it is determined whether or not the unauthorized access should be notified of information (step S604 in FIG. 13).
[0081]
In other words, when the fourth embodiment is applied to the first embodiment described above, the packet analysis processing unit 131 selects any one of the unauthorized access histories recorded in the unauthorized access history holding unit 133 that has been instructed to operate. Refer to only the unauthorized access history to which the identifier 1 is not added after the timing to determine whether there has been unauthorized access of the same transmission source in the past, and when there is no unauthorized access of the same transmission source in the past, An information notification is instructed to the unauthorized access information notification unit 134.
[0082]
In addition, when this third embodiment is applied to the second embodiment described above, the packet analysis processing unit 131 can select any one of the unauthorized access histories recorded in the unauthorized access history holding unit 133 that has been instructed to operate. Refer to only the unauthorized access history to which the identifier 1 is not added after the timing to determine whether there has been unauthorized access of the same destination in the past, and when there is no unauthorized access of the same destination in the past, An information notification is instructed to the unauthorized access information notification unit 134.
[0083]
As a result, when a packet related to unauthorized access is detected, whether or not unauthorized access should be notified by referring to only unauthorized access history at any time after the specified timing of the operation or after the set timing. It becomes possible to determine whether or not.
[0084]
Next, the information notification processing operation at the time of detecting unauthorized access in the fifth embodiment of the present invention will be described with reference to FIGS. 1 to 4 and FIGS. In the fifth embodiment, when the information notification by the unauthorized access information notifying unit 134 is not successful, the unauthorized access information related to the unauthorized access is excluded from the unauthorized access history referred to in the subsequent determination. Is realized.
[0085]
When the unauthorized access information notification unit 134 notifies the specified computer of detailed information such as the reception time of the packet related to unauthorized access, the transmission source, and the transmission destination (step S701 in FIG. 14), the notification is an error. (FIG. 14 step S702 Yes), the unauthorized access information notification unit 134 notifies the error to the unauthorized access history holding unit 133 via the packet analysis processing unit 131 (step S703 in FIG. 14). Further, when the unauthorized access information is normally notified, the unauthorized access information notifying unit 134 does not perform the error notification (step S705 in FIG. 14) and ends the error processing.
[0086]
When the unauthorized access history holding unit 133 receives the error notification via the packet analysis processing unit 131, the unauthorized access history holding unit 133 refers to the recorded unauthorized access history and adds the identifier 2 to the information of the unauthorized access that has failed (step S704 in FIG. 14).
[0087]
Thereafter, when a packet is transferred from the client-side network segment 100 to the server-side network segment 200, the packet analysis processing unit 131 determines that the packet received by the packet transmitting / receiving unit 11 is a packet related to unauthorized access ( (Step S706 in FIG. 15), the reception date and time of the packet related to the unauthorized access, and detailed information such as the transmission source network address, the transmission destination network address, and the type of unauthorized access are notified to the unauthorized access history holding unit 133 (Step 15 in FIG. 15). S707).
[0088]
The unauthorized access history holding unit 133 receives, as the unauthorized access history, detailed information such as the reception date and time of the packet related to unauthorized access received from the packet analysis processing unit 131, the transmission source network address, the transmission destination network address, and the type of unauthorized access. Record and manage (step S708 in FIG. 15).
[0089]
The packet analysis processing unit 131 refers to only the unauthorized access history to which the identifier 2 is not added from the unauthorized access history recorded in the unauthorized access history holding unit 133, and determines whether or not the unauthorized access should be notified of information. Is determined (step S709 in FIG. 15).
[0090]
That is, when this fifth embodiment is applied to the first embodiment described above, the packet analysis processing unit 131 does not add the identifier 2 among the unauthorized access history recorded in the unauthorized access history holding unit 133. Refers only to the unauthorized access history (excluding the unauthorized access history that had an error when receiving the information notification), determines whether there has been unauthorized access from the same sender in the past, and unauthorized access from the same sender in the past When there is no access, the unauthorized access information notification unit 134 is notified of information notification.
[0091]
Further, when the third embodiment is applied to the second embodiment described above, the packet analysis processing unit 131 does not add the identifier 2 among the unauthorized access history recorded in the unauthorized access history holding unit 133. Referring only to the unauthorized access history, it is determined whether there has been unauthorized access at the same destination in the past, and if there is no unauthorized access at the same destination in the past, the unauthorized access information notification unit 134 is instructed to notify the information To do.
[0092]
As a result, if unauthorized information is detected and information notification to the specified computer fails, the unauthorized access history when the information notification results in an error will not be referenced when the unauthorized access is detected next time. Is possible.
[0093]
Next, the information notification processing operation at the time of detecting unauthorized access in the sixth embodiment of the present invention will be described with reference to FIGS. In the sixth embodiment, when the unauthorized access information notification unit 134 performs information notification, a function of determining (distributing) a notification destination (transmission destination) computer based on the information to be notified is realized. Yes.
[0094]
In the sixth embodiment, the list information of computers to be notified of unauthorized access information as shown in FIG. 16 is set in advance, and the notified computer of unauthorized access information is determined with reference to this computer list. The In the unauthorized access information notification destination computer list 135 shown in FIG. 16, detailed information such as the transmission source and transmission destination, the type of unauthorized access, the network address of the information notification destination computer, and the like are set in advance. Based on the detailed information such as the reception time, transmission source, transmission destination, etc., the description contents can be used as parameters to specify the computer of the illegal information notification destination.
[0095]
The unauthorized access information notification unit 134 refers to the unauthorized access information notification computer list 135 shown in FIG. 16 according to the information notification instruction from the packet analysis processing unit 131 and notifies the specified computer of unauthorized access information.
[0096]
At the time of packet transfer from the client side network segment 100 to the server side network segment 200, when the packet analysis processing unit 131 determines that the packet received by the packet transmitting / receiving unit 11 is a packet related to unauthorized access, that fact. Is notified to the unauthorized access information notification unit 134 (step S801 in FIG. 17). Upon receiving the above notification from the packet analysis processing unit 131, the unauthorized access information notification unit 134 refers to the unauthorized access information notification computer list shown in FIG. 16 (step S802 in FIG. 17) and determines the notification destination computer (step in FIG. 17). In step S803, a network address is acquired from the unauthorized access information notification computer list, and unauthorized access information is notified to the designated computer (step S804 in FIG. 17).
[0097]
As a result, when the packet transfer apparatus 10 detects unauthorized access, it is possible to assign computers to be notified of information depending on the type of unauthorized access information.
[0098]
【The invention's effect】
As described above in detail, according to the present invention, when a packet related to unauthorized access is detected, the administrator can efficiently and accurately grasp the actual state of unauthorized access when detecting unauthorized access of the packet transfer device. Information notification method can be provided.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a network system using a packet transfer apparatus according to first to sixth embodiments of the present invention.
FIG. 2 is a block diagram showing a configuration of a packet transfer apparatus in each of the embodiments.
FIG. 3 is a block diagram showing components of a packet analysis mechanism in each of the embodiments.
FIG. 4 is a diagram showing an example of an unauthorized access history recorded in an unauthorized access history holding unit in each of the embodiments.
FIG. 5 is a flowchart showing a processing procedure of a packet analysis mechanism in the first embodiment of the present invention.
FIG. 6 is a flowchart showing a processing procedure of a packet analysis mechanism in the first embodiment of the present invention.
FIG. 7 is a flowchart showing a processing procedure of a packet analysis mechanism in the second embodiment of the invention.
FIG. 8 is a flowchart showing a processing procedure of a packet analysis mechanism in the second embodiment of the invention.
FIG. 9 is a flowchart showing a processing procedure of a packet analysis mechanism in the second embodiment of the invention.
FIG. 10 is a flowchart showing a processing procedure of a packet analysis mechanism in the third embodiment of the invention.
FIG. 11 is a flowchart showing a processing procedure of a packet analysis mechanism in the third embodiment of the present invention.
FIG. 12 is a flowchart showing a processing procedure of a packet analysis mechanism in the fourth embodiment of the invention.
FIG. 13 is a flowchart showing a processing procedure of a packet analysis mechanism in the fourth embodiment of the invention.
FIG. 14 is a flowchart showing a processing procedure of a packet analysis mechanism in the fifth embodiment of the invention.
FIG. 15 is a flowchart showing a processing procedure of a packet analysis mechanism in a fifth embodiment of the invention.
FIG. 16 is a diagram showing a configuration example of an unauthorized access information notification destination computer list in the sixth embodiment of the present invention;
FIG. 17 is a flowchart showing the procedure of a notification destination distribution process in the sixth embodiment of the present invention.
[Explanation of symbols]
10: Packet transfer device
11: Packet transmission / reception unit
12: Packet transmission / reception unit
13 ... Packet analysis mechanism
20 ... Server
100: Network segment on the client side
131 ... Packet analysis processing unit
132: Packet passage processing unit
133: Unauthorized access history holding unit
134: Unauthorized access information notification section
135 ... List of unauthorized access information notification computers
200: Network segment on the server side

Claims

Packet analysis means for determining whether or not a packet transferred between network segments is a packet related to unauthorized access, and packet passing processing for discarding a packet determined to be a packet related to unauthorized access by the packet analysis means A packet transfer apparatus comprising: and an unauthorized access history recording unit that records presence information and detailed information of a packet determined to be a packet related to unauthorized access by the packet analyzing unit as unauthorized access history;
In the packet analysis means,
When it is determined that a packet transferred between the network segments is a packet related to unauthorized access, referring to the unauthorized access history recorded in the unauthorized access history recording means, Determining means for determining whether or not the determined transmission source of the packet is a transmission source of an illegal packet that exists in the past;
When the determination unit determines that the transmission source is an unauthorized packet that does not exist in the past, the presence of the packet determined to be a packet related to the unauthorized access and the detailed information of the packet related to the unauthorized access are transmitted to an external device. A packet transfer apparatus comprising notification means for notification.

Packet analysis means for determining whether or not a packet transferred between network segments is a packet related to unauthorized access, and packet passing processing for discarding a packet determined to be a packet related to unauthorized access by the packet analysis means A packet transfer apparatus comprising: and an unauthorized access history recording unit that records presence information and detailed information of a packet determined to be a packet related to unauthorized access by the packet analyzing unit as unauthorized access history;
In the packet analysis means,
When it is determined that a packet transferred between the network segments is a packet related to unauthorized access, referring to the unauthorized access history recorded in the unauthorized access history recording means, Determining means for determining whether or not the determined transmission destination of the packet is a transmission destination of an illegal packet existing in the past;
When the determination unit determines that the packet is a transmission destination of an illegal packet that does not exist in the past, the presence of the packet determined to be a packet related to the unauthorized access and the detailed information of the packet related to the unauthorized access are transmitted to an external device. A packet transfer apparatus comprising notification means for notification.

The packet transfer apparatus according to claim 1 or 2, wherein the determination unit makes a determination with reference to an unauthorized access history within a certain past time recorded in the unauthorized access history recording unit.

3. The packet transfer apparatus according to claim 1, wherein the determination unit makes a determination with reference to an unauthorized access history after an arbitrary set timing from an unauthorized access history recorded in the unauthorized access history recording unit.

The packet analysis means includes a control means for excluding the presence and detailed information of the packet related to the unauthorized access from the unauthorized access history referred to by the determination means when the notification by the notification means is not successful. The packet transfer apparatus according to claim 1, 2, 3, or 4.

The packet analysis unit determines an external device to be notified based on the detailed information to be notified when the notification unit notifies the external device of the existence and detailed information of the packet related to unauthorized access. The packet transfer apparatus according to claim 1, 2 or 3 or 4.

The detailed information includes at least the reception time of the packet related to unauthorized access, the data type of the packet related to unauthorized access, the detailed information including the network address or network address of the packet transmission source, and the network address or network address of the packet transmission destination. The packet transfer apparatus according to claim 1, 2, 3, or 4, wherein any of the detailed information is included.

Determining whether a packet transferred between network segments is a packet related to unauthorized access, and determining that the packet is related to unauthorized access ; discarding the packet ; and
Recording the presence of a packet determined to be a packet related to the unauthorized access and detailed information of the packet as an unauthorized access history; and
For the packet determined to be related to the unauthorized access, refer to all or a part of the recorded unauthorized access history to determine whether the packet is a sender of an unauthorized packet that does not exist in the past unauthorized access history. When it is determined that the packet is a transmission source of an illegal packet that does not exist in the past unauthorized access history, the presence of the packet determined to be a packet related to the unauthorized access and detailed information of the packet are notified to an external device. And a step of notifying a packet transfer apparatus when an unauthorized access is detected by the packet transfer apparatus.

Determining whether a packet transferred between network segments is a packet related to unauthorized access, and determining that the packet is related to unauthorized access ; discarding the packet ; and
Recording the presence of a packet determined to be a packet related to the unauthorized access and detailed information of the packet as an unauthorized access history; and
For packets determined to be packets related to unauthorized access, refer to all or a part of the recorded unauthorized access history to determine whether the packet is a destination for unauthorized packets that do not exist in the past unauthorized access history. When it is determined that the packet is a transmission destination of an unauthorized packet that does not exist in the past unauthorized access history, the presence of the packet determined to be a packet related to the unauthorized access and detailed information of the packet are notified to an external device. And a step of notifying a packet transfer apparatus when an unauthorized access is detected by the packet transfer apparatus.

When the presence and detailed information of a packet determined to be a packet related to unauthorized access are notified to an external device, if the notification is not successful, it is referred to in the determination of the packet related to unauthorized access after the next time. 10. The information notifying method at the time of detecting unauthorized access of a packet transfer apparatus according to claim 8, wherein unauthorized access history for a packet related to unauthorized access for which said notification has not been successful is excluded from unauthorized access history. .

When notifying an external device of the existence and detailed information of a packet determined to be a packet related to the unauthorized access, determining an external device to be notified based on the detailed information to be notified. 10. A method for notifying information when detecting unauthorized access of a packet transfer apparatus according to claim 8 or 9.