JP3725139B2 - パケット転送装置およびパケット転送方法 - Google Patents
パケット転送装置およびパケット転送方法 Download PDFInfo
- Publication number
- JP3725139B2 JP3725139B2 JP2003171283A JP2003171283A JP3725139B2 JP 3725139 B2 JP3725139 B2 JP 3725139B2 JP 2003171283 A JP2003171283 A JP 2003171283A JP 2003171283 A JP2003171283 A JP 2003171283A JP 3725139 B2 JP3725139 B2 JP 3725139B2
- Authority
- JP
- Japan
- Prior art keywords
- packet
- received
- identifier
- network segment
- holding
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、複数のネットワークセグメント相互の間でパケットを転送するパケット転送装置、およびパケット転送方法に関する。
【０００２】
【従来の技術】
従来、複数のネットワークセグメント相互の間に接続されて、これらセグメント間でパケットを転送するパケット転送装置に於いて、不正アクセスを防止するための、パケットを転送するか否の判断は、利用者がネットワーク若しくは他の設定手段を用いて設定した、宛先／送信元のネットワークアドレスやサービス番号等により行っていた。
【０００３】
この際の従来のパケット転送装置に於ける不正アクセス防止手段を図２２乃至図２４を参照して説明する。従来のパケット転送装置の構成例を図２２に示している。ここでは、パケット転送装置０１の構成要素として、送信元となる一方のネットワークセグメントからのパケットを受信するパケット受信部０２、パケット受信部０２で受信したパケットをフィルタリング（選定）制御するパケットフィルタ部０３、パケットフィルタ部０３を通過したパケットを送出先となる他方のネットワークセグメントに送出するパケット送出部０４、不正アクセスを防止するための宛先／送信元のネットワークアドレスやサービス番号等を設定するルール設定部０５、ルール設定部０５で設定されたアドレス等の情報を保持しパケットフィルタ部０３が参照するルール保持部０６等が設けられる。
【０００４】
上記構成によるパケット転送装置０１を含むネットワークシステムの一構成例を図２３に示し、パケット転送装置０１のルール保持部０６に格納される内容例を図２４に示している。
【０００５】
利用者は、ネットワークを介し、ルール設定部０５の機能を用いて、ルール保持部０６に、宛先／送信元ネットワークアドレス、サービス番号、転送を許可するか否かの識別情報等を予め設定しておく。
【０００６】
ここでは上記図２２に示す構成のパケット転送装置０１を用いて上記図２３に示すようなネットワークシステムが構築され、利用者がルール設定部０５の機能を用いて図２４に示すような設定内容（ルール）が予めルール保持部０６に保持しているものとする。
【０００７】
その状態で、例えば、ネットワークアドレスとして、［１９２．１６８．１．１２］を持つホストから、［１９２．１６８．０．３１］を持つホストのＨＴＴＰサービスを利用しようとするパケットがパケット受信部０２で受信されたとする。
【０００８】
この受信パケットは、パケットフィルタ部０３に送られる。
【０００９】
パケットフィルタ部０３では、ルール保持部０６に格納された、予め利用者が設定した図２４に示すようなルールを参照する。
【００１０】
ここでパケットフィルタ部０３は、図２４に示すルールを参照して、ネットワークアドレスとして、［１９２．１６８．１．１２］を持つホストから、［１９２．１６８．０．３１］を持つホストのＨＴＴＰサービスを利用するアクセスは許可されていることを判断し、上記パケットをパケット送出部０４に送出する。そして、パケット送出部０４からネットワークアドレスとして、［１９２．１６８．０．３１］のアドレスを持つホストへ転送され、通信が完了する。
【００１１】
また、例えば、ネットワークアドレスとして、［１９２．１６８．１．１３］を持つホストから、［１９２．１６８．０．３１］を持つホストのＨＴＴＰサービスを利用しようとするパケットがパケット受信部０２で受信されたとすると、その受信パケットは、パケットフィルタ部０３に送られる。
【００１２】
パケットフィルタ部０３では、ルール保持部０６に格納された、利用者が予め設定した図２４に示すルールを参照する。
【００１３】
ここでパケットフィルタ部０３は、図２４に示すルールを参照すると、ネットワークアドレスとして、［１９２．１６８．１．１３］を持つホストから、［１９２．１６８．０．３１］を持つホストのＨＴＴＰサービスを利用するアクセスは不許可とされていることを判断する。したがって、このパケットはパケットフィルタ部０３によって不正アクセスと判断し破棄され、パケット送出部０４からは上記受信したパケットが送出されないこととなる。
【００１４】
他の宛先／送信元／サービスの各パケットに関しても、上記同様に、図２４に示すルール保持部０６の内容（ルール）に従って、送出／破棄が行なわれる。
【００１５】
上述した従来のパケット転送装置に於ける不正アクセス防止手段には、宛先／送信元のＭＡＣ（Media Access Control）アドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によって、パケットを転送するか否かを判断するだけでは、転送するように設定されたアドレスやサービス番号を用いた不正アクセスは防止できず、不正アクセスに関わるパケットを通過させないという目的には、不十分であるという問題があった。
【００１６】
例えば、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等がすべて正しく設定されていたとしても、その設定された送信元を介して（経由して）不正アクセスと見做されるデータをもつパケットが転送され、当該パケットで搬送されたデータにより、受信側システムのアプリケーション等が侵害されてしまうという、信頼性の問題があった。
【００１７】
また、パケットを転送するか否かの判断を行なうための宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等の設定は、利用者や設置場所毎に異なるため、パケット転送装置の設置に伴って、設定を行なう必要があったが、この設定は、比較的困難であり、しばしば誤った設定がなされ、不正アクセスを許してしまうという問題もあった。
【００１８】
また、設定をネットワーク経由で行なうにはＩＰアドレス等のネットワークアドレスが必要であり、それは、逆に不正アクセスの対象となり得るという問題もあった。
【００１９】
また、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によって、転送しないと判断するパケットが到着したとしても、それが、必ずしも不正アクセスとは言い切れず、したがって、転送しないと判断するパケットが到着したことを何らかの形で表示したとしても、不正アクセスがなされていることの表示とはならないという問題もあった。
【００２０】
【発明が解決しようとする課題】
上述したように、従来のパケット転送装置に於ける不正アクセス防止手段に於いては、宛先／送信元のＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によって、パケットを転送するか否かを判断するだけでは、転送するように設定されたアドレスやサービス番号を用いた不正アクセスは防止できず、不正アクセスに関わるパケットを通過させないという目的には、不十分であるという問題があった。
【００２１】
また、パケットを転送するか否かの判断を行なうための宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等の設定は、利用者や設置場所毎に異なるため、パケット転送装置の設置に伴って、設定を行なう必要があったが、この設定は、比較的困難であり、しばしば誤った設定がなされ、不正アクセスを許してしまうという問題もあった。
【００２２】
また、設定をネットワーク経由で行なうには、ＩＰアドレス等のネットワークアドレスが必要であり、それは、逆に不正アクセスの対象となり得るという問題もあった。
【００２３】
更に、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によって、転送しないと判断するパケットが到着したとしても、それが、必ずしも不正アクセスとは言い切れず、したがって、転送しないと判断するパケットが到着したことを何らかの形で表示したとしても、不正アクセスがなされていることの表示とはならないという問題もあった。
【００２４】
このように、従来のパケット転送装置に於いては、不正アクセス防止に関して、信頼性の面で種々の問題があるとともに、利用者にかかる作業負担が大きいという問題があった。
【００２５】
本発明は上記実情に鑑みなされたもので、利用者に大きな作業負担をかけることなく、信頼性の高い不正アクセスの防止機能を実現できるパケット転送装置、及びパケット転送方法を提供することを目的とする。
【００２６】
また本発明は、送信元より転送されたパケット（受信パケット）の内容を送出して不正アクセスに関わるパケットでないことを判定する機能をもつことで、不正アクセスに関わるパケットの転送を確実に防止することのできる、信頼性の高い不正アクセスの防止機能が実現できるパケット転送装置、及びパケット転送方法を提供することを目的とする。
【００２７】
また本発明は、宛先／送信元ＭＡＣアドレスや、上位のプロトコルの宛先／送信元アドレスや、サービス番号等によって、受信パケットを転送するか否かを判断するだけでは防止できない不正アクセスに関わるパケットを通過させないパケット転送機構、パケットを転送するか否かの判断を行なうための設定を利用者が行なうことなく不正アクセスに関わるパケットを通過させないパケット転送機構、自身が不正アクセスの対象となることを防ぐことのできるパケット転送機構、不正アクセスが為されていることを表示可能なパケット転送機構、等を容易に実現することのできるパケット転送装置、及びパケット転送方法を提供することを目的とする。
【００２８】
【課題を解決するための手段】
本発明は、少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、予め設定された条件に基づいて、前記第１のネットワークセグメントを介して受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析するパケット解析手段と、前記パケット解析手段によって前記受信パケットが前記誤動作させる要因を含む不正パケットであると判定した際に、当該不正パケットを破棄し、正常なパケットであると判定した前記受信パケットのみを前記第２のネットワークセグメントに送出するパケット送出手段と、前記パケット解析手段によって正常なパケットであると判定され前記パケット送出手段により前記第２のネットワークセグメントに送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とする。
【００２９】
また、本発明は、少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、前記第１のネットワークセグメントからのパケットを受信するパケット受信手段と、前記パケット受信手段で受信した受信パケットに識別子を付加する識別子付加手段と、前記識別子が付加された前記受信パケットを一時保留するパケット保留キューと、予め設定された条件に基づいて、前記パケット受信手段で受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力するパケット解析手段と、前記パケット解析手段より出力された前記識別子を受信し、前記パケット保留キューから受信した前記識別子を持つ受信パケットを取り出し、前記第２のネットワークセグメントへ送出するパケット送出手段と、前記パケット解析手段によって、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定され前記パケット送出手段により前記第２のネットワークセグメントに送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とする。
【００３０】
また、本発明は、少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、前記ネットワークセグメントからのパケットを受信するパケット受信手段と、前記パケット受信手段で受信した受信パケットに識別子を付加する識別子付加手段と、前記識別子が付加された前記受信パケットを一時保留するパケット保留キューと、予め設定された条件に基づいて、前記パケット受信手段で受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力するパケット解析手段と、前記パケット解析手段より出力された前記識別子を受信し、前記パケット保留キューから受信した前記識別子を持つ受信パケットを取り出し、当該受信パケットに含まれる宛先ＭＡＣアドレスから送出すべきネットワークセグメントを判定する送出セグメント判定手段と、前記送出セグメント判定手段によって判定されたネットワークセグメントへ前記パケット保留キューから取り出した前記受信パケットを送出する１つ又は複数の送出手段と、前記パケット解析手段によって、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定され前記パケット送出手段により送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とする。
【００３１】
また、本発明は、少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、前記ネットワークセグメントからのパケットを受信する受信手段と、前記受信手段で受信した受信パケットに識別子を付加する識別子付加手段と、前記識別子が付加された前記受信パケットを送出先のネットワークセグメント毎に一時保留する複数のパケット保留キューと、前記識別子が付加された前記受信パケットに含まれる宛先ＭＡＣアドレスから前記受信パケットの送出先ネットワークセグメントを判定し、当該ネットワークセグメントに対応する前記パケット保留キューに前記識別子が付加されたパケットを格納する送出セグメント判定手段と、予め設定された条件に基づいて、前記パケット受信手段が受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力するパケット解析手段と、前記パケット保留キューに対応して設けられる複数の送出手段であって、前記パケット解析手段より出力された前記識別子を受信し、前記識別子を持つ受信パケットを保留している前記パケット保留キューから当該受信パケットを取り出し、対応付けられた前記ネットワークセグメントへ送出する送出手段と、前記パケット解析手段によって、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定され前記パケット送出手段により送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記送出先のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とする。
【００４６】
また、本発明は、少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送方法において、予め設定された条件に基づいて、前記第１のネットワークセグメントを介して受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定するステップと、前記受信パケットが前記誤動作させる要因を含む不正パケットであると判定した際に、当該不正パケットを破棄し、正常なパケットであると判定した前記受信パケットを前記第２のネットワークセグメントに送出するステップと、正常なパケットであると判定され前記第２のネットワークセグメントに送出された送出済みパケットを保持するステップとを具備し、前記判定ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とする。
【００４７】
また、本発明は、少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送方法において、前記第１のネットワークセグメントからのパケットを受信するステップと、前記受信した受信パケットに識別子を付加するステップと、前記識別子が付加された前記受信パケットを一時保留するステップと、予め設定された条件に基づいて、前記受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力する解析ステップと、前記出力された前記識別子を受信し、前記一時保留されている前記受信パケットの中から受信した前記識別子を持つ受信パケットを取り出し、前記第２のネットワークセグメントへ送出するステップと、正常なパケットであると判定され前記第２のネットワークセグメントに送出された送出済みパケットを保持するステップとを具備し、前記解析ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とする。
【００４８】
また、本発明は、少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送方法であって、前記ネットワークセグメントの一つからパケットを受信するステップと、前記受信した受信パケットに識別子を付加するステップと、前記識別子が付加された前記受信パケットを一時保留するステップと、予め設定された条件に基づいて、前記受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力する解析ステップと、前記出力された識別子を受信し、前記一時保留されている前記受信パケットの中から受信した前記識別子を持つ前記受信パケットを取り出し、当該受信パケットに含まれる宛先ＭＡＣアドレスから送出すべきネットワークセグメントを判定する送出セグメント判定ステップと、前記判定された送出すべきネットワークセグメントへ前記取り出した受信パケット送出するステップと、正常なパケットであると判定され前記送出された送出済みパケットを保持するステップとを具備し、前記解析ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記受信パケットを送出すべきネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とする。
【００４９】
また、本発明は、少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送方法であって、前記ネットワークセグメントの一つからパケットを受信するステップと、前記受信した受信パケットに識別子を付加するステップと、前記識別子が付加された前記受信パケットに含まれる宛先ＭＡＣアドレスから当該受信パケットの送出先ネットワークセグメントを判定し、この判定に従って前記送出先のネットワークセグメント毎に設けられた一時保留キューに前記識別子が付加された前記受信パケットを格納するステップと、予め設定された条件に基づいて、前記受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力する解析ステップと、前記解析ステップより出力された前記識別子を受信し、前記識別子を持つ受信パケットを保留している前記パケット保留キューから当該受信パケットを取り出し、対応付けられた前記ネットワークセグメントへ送出するステップと、正常なパケットであると判定され前記送出された送出済みパケットを保持するステップとを具備し、前記解析ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記送出先ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とする。
【００５０】
上記したような不正アクセスに関わるパケットを排除する機能をもつことにより、複数のネットワークセグメントに接続され、セグメント相互の間でパケットを転送するパケット転送装置に於いて、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によってパケットを転送するか否かを判断するだけでは防止できない、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００５１】
また、パケットを転送するか否かの判断を行なうための設定を利用者が行なうことなく、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００５２】
また、ＩＰアドレス等のネットワークアドレスを全く持たないため、自身が不正アクセスの対象となることを防げる、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００５３】
また、不正アクセスが為されていることを表示可能なパケット転送装置を実現することができる。
【００５４】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態を説明する。
【００５５】
先ず図１を参照して本発明の第１実施形態を説明する。
【００５６】
図１は本発明の第１実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。この図１に示す第１実施形態では、パケット転送装置の片方向の転送についてのみ、不正アクセスに関わるパケットの通過を防ぐ機能を備えた構成を例示している。
【００５７】
図１に示すパケット転送装置１０に於いて、パケット受信部１１と、パケット送出部１４は、それぞれ異なるネットワークセグメント（セグメントＡ−セグメントＢ）相互の間に接続される。ここではパケット受信部１１が接続されているネットワークセグメントＡから、パケット送出部１４が接続されているネットワークセグメントＢへパケットを転送する例を示している。
【００５８】
パケット受信部１１は、ネットワークセグメントＡ上のパケットを受信する。パケット識別子付加機構１２は、受信したパケットに識別子を付加する。パケット保留キュー１３は識別子を付加されたパケットを、パケット解析機構１５が、不正アクセスに関わるパケットで無いことを判定するまで一時保留する。パケット解析機構１５は、受信パケットを送出し、不正アクセスに関わるパケットで無いことを判定したパケットの識別子をパケット送出部１４に伝える。パケット送出部１４は、パケット解析機構１５から伝えられた識別子と同じ識別子が付加されている受信パケットをパケット保留キュー１３から取り出し、当該パケットをネットワークセグメントＢへ送出する。
【００５９】
ここで、上記各図を参照して本発明の第１実施形態に於ける動作を説明する。
【００６０】
図１に示すパケット転送装置１０に於いて、パケット受信部１１はネットワークセグメントＡに接続される送信側システム（又は端末、又は装置）から送信されたパケットを順次受信する。
【００６１】
パケット識別子付加機構１２は、受信されたパケットに、装置内でユニークな識別子を付加する。この際の識別子としては、例えば、１，２，３，４と連番を付してゆく方法がある。また、パケットの到着時刻を用いる方法もある。あるいは、パケットを格納した記憶装置の番地を利用する方法もある。
【００６２】
上記パケット識別子付加機構１２により識別子が付加されたパケットは、パケット保留キュー１３に格納されるとともに、パケット解析機構１５に渡される。
【００６３】
パケット解析機構１５には、予め、不正アクセスに関わるパケットを識別するための判定情報が格納されているデータベース１５０が設けられる。このデータベース１５０には、少なくとも過去に受信した不正アクセスに関わるパケットに含まれていた文字列（判定情報）が格納されている。
【００６４】
パケット識別子付加機構１２から受信パケットを渡されたパケット解析機構１５は、当該受信パケットをデータベース１５０に格納された判定情報に基づいて、不正アクセスに関わるか否かを判定する。データベース１５０には判定情報として、不正アクセスに関わるパケットに含まれる文字列の一覧が格納されている。パケット解析機構１５は、データベース１５０に格納された文字列一覧に含まれる文字列を受信パケットと逐次比較し、当該文字列一覧に含まれる文字列のいずれかが、受信パケットに含まれていた場合、当該受信パケットが不正アクセスに関わるものであると判定できる。受信パケットが不正アクセスに関わるものでは無いパケットであると判定した場合、パケット解析機構１５は、当該受信パケットに付加された識別子をパケット送出部１４に伝える。
【００６５】
識別子を伝えられたパケット送出部１４は、パケット保留キュー１３から、当該識別子を持つ受信パケットを取り出し、ネットワークセグメントＢを介して受信側システム（又は端末、又は装置）に送出する。
【００６６】
パケット解析機構１５に於いて、不正アクセスに関わるパケットであると判定された受信パケットは、パケット保留キュー１３に残され、明示的な指示あるいは、パケット保留キュー１３からの溢れによる等の暗黙的な手段によって破棄される。
【００６７】
この一連の動作によって、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００６８】
また、パケット解析機構１５のデータベース１５０に格納される、不正アクセスに関わるパケットを識別するための判定情報には、パケットデータの内容に関わるものをも含めることが可能であるため、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によって、パケットを転送するか否かを判断するだけでは防止できない不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００６９】
また、このパケット解析機構１５のデータベース１５０に予め格納される、不正アクセスに関わるパケットを識別するための判定情報は、利用者や設置場所によらず、同一のものを利用可能であるため、利用者がパケットを転送するか否かの判断を行なうための設定を行なうこと無く不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００７０】
また、このパケット転送装置自身は、その動作を行なう上で、ＩＰアドレス等のネットワークアドレスを全く持つ必要が無いため、自身が不正アクセスの対象となることを防ぎ、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。さらに、パケットデータの内容も、不正アクセスに関わるパケットを識別するための情報として利用することが可能であるため、明らかに不正アクセスに関わるパケットであるものを判定可能となる。例えば、アプリケーションプログラムに対して、規定より異常に長い文字列を送るようなパケットは、明らかに不正アクセスに関わるパケットであると判定できる。また、特定のデータ列が、アプリケーションプログラムやＯＳの誤動作を引き起こすことが知られている場合、当該データ列を含むパケットは、やはり、明らかに不正アクセスに関わるパケットであると判定できる。これらの、明らかに不正アクセスに関わるパケットであると判定できるパケットであると送出した場合に、利用者に表示することで、不正アクセスが成されていること、あるいは成されたことを表示可能なパケット転送装置を実現することができる。
【００７１】
次に図２を参照して本発明の第２実施形態を説明する。
【００７２】
図２は本発明の第２実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【００７３】
この図２に示す第２実施形態では、パケット転送装置の両方向の転送について、不正アクセスに関わるパケットの通過を防ぐ機能を備えた構成を例示している。
【００７４】
この図２に示すパケット転送装置２０は、ネットワークセグメントＡからネットワークセグメントＢへの不正アクセスに関わるパケットの通過を防ぐことができるとともに、ネットワークセグメントＢからネットワークセグメントＡへの不正アクセスに関わるパケットの通過を防ぐことができる。
【００７５】
即ち、パケット転送装置２０に於いて、パケット受信部２１ａはネットワークセグメントＡより一つのパケットを受信する。
【００７６】
パケット識別子付加機構２２ａは、受信されたパケットに、装置内でユニークな識別子を付加する。
【００７７】
上記パケット識別子付加機構２２ａにより識別子が付加された受信パケットは、パケット保留キュー２３ａに格納されるとともに、パケット解析機構２５ａに渡される。パケット解析機構２５ａのデータベース２５０ａには、予め不正アクセスに関わるパケットを識別するための判定情報が格納されている。
【００７８】
パケット識別子付加機構２２ａからパケットを渡されたパケット解析機構２５ａは、受信パケットをデータベース２５０ａに格納された判定情報に基づいて解析し、受信パケットが不正アクセスに関わるか否かを判定する。受信パケットが不正アクセスに関わるものでは無いパケットであると判定した場合、パケット解析機構２５ａは、当該受信パケットに付加された識別子をパケット送出部２４ｂに伝える。この識別子を受信したパケット送出部２４ｂは、パケット保留キュー２３ａから、当該識別子を持つ受信パケットを取り出し、ネットワークセグメントＢに送出する。
【００７９】
パケット解析機構２５ａに於いて、不正アクセスに関わるパケットであると判定された受信パケットは、パケット保留キュー２３ａに残され、明示的な指示あるいは、パケット保留キュー２３ａからの溢れによる等の暗黙的な手段によって破棄される。
【００８０】
一方、パケット受信部２１ｂはネットワークセグメントＢより一つのパケットを受信する。パケット識別子付加機構２２ｂは、受信したパケットに、装置内でユニークな識別子を付加する。
【００８１】
上記パケット識別子付加機構２２ｂにより識別子が付加された受信パケットは、パケット保留キュー２３ｂに格納されるとともに、パケット解析機構２５ｂに渡される。パケット解析機構２５ｂのデータベース２５０ｂには、予め不正アクセスに関わるパケットを識別するための判定情報が格納されている。
【００８２】
パケット識別子付加機構２２ｂから受信パケットを渡されたパケット解析機構２５ｂは、受信パケットをデータベース２５０ｂに格納された判定情報に基づいて解析し、受信パケットが不正アクセスに関わるか否かを判定する。受信パケットが不正アクセスに関わるものでは無いパケットであると判定した場合、パケット解析機構２５ｂは、当該受信パケットに付加された識別子をパケット送出部２４ａに伝える。
【００８３】
識別子を伝えられたパケット送出部２４ａは、パケット保留キュー２３ｂから、当該識別子を持つ受信パケットを取り出し、ネットワークセグメントＡに送出する。
【００８４】
パケット解析機構２５ｂに於いて、不正アクセスに関わるパケットであると判定された受信パケットは、パケット保留キュー２３ｂに残され、明示的な指示あるいは、パケット保留キュー２３ｂからの溢れによる等の暗黙的な手段によって破棄される。
【００８５】
このような動作によって、ネットワークセグメントＡからネットワークセグメントＢへのパケット転送、およびネットワークセグメントＢからネットワークセグメントＡへのパケット転送について、その何れに於いても不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００８６】
次に図３を参照して本発明の第３実施形態を説明する。
【００８７】
図３は本発明の第３実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【００８８】
この図３に示す第３実施形態では、パケット転送装置の片方向の転送について、不正アクセスに関わるパケットの通過を防ぐ機能を備えた構成を例示している。
【００８９】
この図３に示すパケット転送装置３０は、上記図２に示す第２実施形態の構成の簡素化を図ったもので、ネットワークセグメントＡからネットワークセグメントＢへの不正アクセスに関わるパケットに関してはその通過を防ぐが、ネットワークセグメントＢからネットワークセグメントＡへのパケット転送についてはパケットの通過を防げない構成としている。この図３に示す構成のパケット転送装置３０は、外部ネットワークとの接続点に設けられるような場合（例えばネットワークセグメントＢに接続されるシステムにおいて自己管理が可能な構内等のネットワークシステムであり、ネットワークセグメントＡが外界のネットワークシステムであるような場合）に、上記図２に示す第２実施形態に示すパケット転送装置２０に比して構成を簡素化できる。
【００９０】
パケット転送装置３０に於いて、パケット受信部３１ａはネットワークセグメントＡより一つのパケットを受信する。パケット識別子付加機構３２は、パケット受信部３１ａからの受信パケットに対し、装置内でユニークな識別子を付加する。
【００９１】
上記パケット識別子付加機構３２により識別子が付加された受信パケットは、パケット保留キュー３３に格納されるとともに、パケット解析機構３５に渡される。パケット解析機構３５のデータベース３５０には、予め不正アクセスに関わるパケットを識別するための判定情報が格納されている。
【００９２】
パケット識別子付加機構３２から受信パケットを渡されたパケット解析機構３５は、受信パケットをデータベース３５０に格納された識別情報に基づいて解析し、受信パケットが不正アクセスに関わるか否かを判定する。受信パケットが不正アクセスに関わるものでは無いパケットであると判定した場合、パケット解析機構３５は、当該受信パケットに付加された識別子をパケット送出部３４ｂに伝える。
【００９３】
識別子を伝えられたパケット送出部３４ｂは、パケット保留キュー３３から、当該識別子を持つ受信パケットを取り出し、ネットワークセグメントＢに送出する。
【００９４】
パケット解析機構３５に於いて、不正アクセスに関わるパケットであると判定されたパケットは、パケット保留キュー３３に残され、明示的な指示あるいは、パケット保留キュー３３からの溢れによる等の暗黙的な手段によって破棄される。
【００９５】
一方、パケット受信部３１ｂはネットワークセグメントＢより一つのパケットを受信すると、当該パケットをそのまま（スルーモードで）パケット送出部３４ａに渡す。パケット送出部３４ａは、パケット受信部３１ｂより受けたパケットをネットワークセグメントＡに送出する。
【００９６】
このような動作によって、ネットワークセグメントＡからネットワークセグメントＢへのパケット転送については、不正アクセスに関わるパケットを通過させることないよう厳重に管理され、逆方向の転送については不正アクセスに関する防御機能を簡略したパケット転送装置を実現することができる。
【００９７】
次に図４、図５を参照して本発明の第４実施形態、および第５実施形態を説明する。
【００９８】
図４は、本発明の第４実施形態によるパケット転送装置の要部の構成要素を示すブロック図であり、図５は、本発明の第５実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【００９９】
この図４および図５に示す各実施形態では、何れに於いても、送出すべきネットワークセグメントを判定できた場合、判定されたネットワークセグメントのみに送出することで、判定されたネットワークセグメント以外のネットワークセグメントのトラフィックを削減することを可能にしている。
【０１００】
本発明に係るパケット転送装置が、３つ以上のネットワークセグメント間でパケットを転送する場合、あるネットワークセグメントから受信したパケットを、当該ネットワークセグメント以外の全てのネットワークセグメントに送出する方法がある。また、パケットの宛先ＭＡＣアドレスから、送出すべきネットワークセグメントを判定し、判定できた場合は、判定されたネットワークセグメントのみに送出することで、判定されたネットワークセグメント以外のネットワークセグメントのトラフィックを削減する方法もある。
【０１０１】
図４に示す第４実施形態では、各送出セグメントに対して、パケット保留キューを共通としたパケット転送装置４０の構成を示している。ここでは、パケット解析機構４５により、パケットが不正アクセスに関わるか否かを判定した後に、送出すべきネットワークセグメントを判定する構成としている。
【０１０２】
上記図４に示す構成のパケット転送装置４０に於いて、パケット受信部４１により受信され、パケット識別子付加機構４２によって識別子が付加された受信パケットは、全ての送出セグメントに共通のパケット保留キュー４３に格納される。
【０１０３】
パケット解析機構４５はデータベース４５０に格納された判定情報に基づき、受信パケットが不正アクセスに関わるか否かを判定し、不正アクセスに関わるパケットでは無いと判定した場合、当該受信パケットの識別子を送出セグメント判定機構４６に通知する。
【０１０４】
パケット解析機構４５より識別子を通知された送出セグメント判定機構４６は、当該識別子を持つ受信パケットをパケット保留キュー４３から取り出し、受信パケットの宛先ＭＡＣアドレスから、送出すべきネットワークセグメントを識別し、識別できた場合は、判定されたネットワークセグメントに対応する少なくとも一つのパケット送出部（４４ａ〜４４ｎのいずれか）に受信パケットを受け渡す。そして、パケット送出部は識別したネットワークセグメントに受信パケットを送出する。また、ネットワークセグメントが識別できなかった場合は、全てのパケット送出部４４ａ〜４４ｎに受信パケットが送られ、パケット送出部４４ａ〜４４ｎに接続されるネットワークセグメントに受信パケットが送出される。
【０１０５】
図５に示す第５実施形態では、送出ネットワークセグメントそれぞれに固有のパケット保留キューを設けたパケット転送装置５０の構成を示している。ここでは、パケット解析機構５５により受信パケットが不正アクセスに関わるか否かを判定する以前に、送出すべきネットワークセグメントを判定する構成としている。
【０１０６】
図５において、パケット受信部５１に受信され、パケット識別子付加機構５２によって識別子が付加された受信パケットは、送出セグメント判定機構５６およびパケット解析機構５５に渡される。
【０１０７】
送出セグメント判定機構５６は、パケット受信部５１で受信され、パケット識別子付加機構５２によって識別子が付加された受信パケットの宛先ＭＡＣアドレスから、送出すべきネットワークセグメントを識別し、その識別したネットワークセグメントに対応するパケット保留キュー（５３ａ〜５３ｎのいずれか）に当該受信パケットを格納する。
【０１０８】
パケット保留キュー５３ａ〜５３ｎは、送出セグメント判定機構５６によって格納された受信パケットを、パケット解析機構５５によって不正アクセスに関わるパケットで無いことが判定されるまで一時保留する。そして、このパケット保留キュー５３ａ〜５３ｎに対応してパケット送出部５４ａ〜５４ｎがそれぞれ接続されている。
【０１０９】
パケット解析機構５５は、データベース５５０に格納された判定情報に基づき、受信パケットが不正アクセスに関わるか否かを判定し、受信パケットが不正アクセスに関わるパケットでは無いと判定した場合、当該受信パケットの識別子をパケット送出部５４ａ〜５４ｎに通知する。
【０１１０】
パケット解析機構５５より識別子を通知されたパケット送出部５４ａ〜５４ｎは、当該識別子を持つ受信パケットが対応して接続されているパケット保留キュー５３ａ〜５３ｎに存在するとき、当該受信パケットを取り出し、対応するネットワークセグメントに送出する。
【０１１１】
また、送出セグメント判定機構５６は、送出すべきネットワークセグメントが認識できなかった場合は、受信パケットを全てのパケット保留キュー５３ａ〜５３ｎに格納する。そして、受信パケットがパケット解析機構５５より不正アクセスではないと判定され、当該受信パケットの識別子がパケット送出部５４ａ〜５４ｎに通知された時、パケット送出部５４ａ〜５４ｎはパケット保留キュー５３ａ〜５３ｎから受信パケットを取り出し、対応する全てのネットワークセグメントにそのパケットを送出する。
【０１１２】
このような構成とすることにより、パケット解析機構５５で不正アクセスに関わるパケットでは無いと判定されてからパケット送出部（５４ａ〜５４ｎ）へ送出されるまでの時間が短縮できる効果がある。
【０１１３】
そして、上記した第４実施形態、第５実施形態によれば、送出すべきネットワークセグメントを識別できた場合は、識別されたネットワークセグメントのみにパケットの送出を行なうことで、識別されたネットワークセグメント以外のネットワークセグメントのトラフィックを削減することが可能となる。
【０１１４】
次に、図６乃至図８を参照して本発明の第６実施形態を説明する。
【０１１５】
図６は、本発明の第６実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。図７および図８は、それぞれ第６実施形態に於ける不正アクセス表示手段の例を示す図である。
【０１１６】
この図６に示す第６実施形態のパケット転送装置６０は、パケット解析機構６５が不正アクセスに関わるパケットであるという判定した受信パケットの存在、構造、形式、受信時刻、送信元の少なくともいずれかを含む詳細情報を不正アクセス履歴として記録し表示する機能を備えている。
【０１１７】
不正アクセス履歴保持機構６６は、パケット解析機構６５が不正アクセスに関わるパケットであるという判定した受信パケットについて、その存在、および受信時刻、送信元等の詳細情報をパケット解析機構６５より取得し、保持する。
【０１１８】
不正アクセス履歴表示機構６７は、不正アクセス履歴保持機構６６が保持する不正アクセス履歴を表示するものである。この際の不正アクセス履歴表示機構６７の具体例を図７、図８にそれぞれ示している。
【０１１９】
上記図６に示す構成のパケット転送装置６０に於いて、パケット識別子付加機構６２は、パケット受信部６１で受信された受信パケットに、装置内でユニークな識別子を付加する。
【０１２０】
上記パケット識別子付加機構６２により識別子が付加された受信パケットは、パケット保留キュー６３に格納されるとともに、パケット解析機構６５に渡される。
【０１２１】
パケット識別子付加機構６２から受信パケットを渡されたパケット解析機構６５は、データベース６５０に格納された判定情報に基づき解析し、当該受信パケットが不正アクセスに関わるか否かを判定する。
【０１２２】
したがって、パケット解析機構６５はパケット受信部６１を介して不正アクセスに関わるパケットが受信されると、当該受信パケットが不正アクセスであると判定する。この際、パケット解析機構６５は、当該受信パケットの識別子をパケット送出部６４へ送出せず、不正アクセスに関わるパケットが受信側ネットワークセグメントに転送されないことは上記した各実施形態と同様である。
【０１２３】
この第６実施形態に於いては、上記パケット解析機構６５が不正アクセスに関わるパケットであると判定した際、不正アクセス履歴保持機構６６に不正アクセスの存在、並びに受信時刻や送信元、送信先、不正の種類などの情報を不正アクセス履歴情報として送出する。
【０１２４】
不正アクセス履歴保持機構６６は、上記パケット解析機構６５より取得した不正アクセス履歴を保持し、利用者が不正アクセス履歴の消去の作業を行なうまでそれを保持する。
【０１２５】
不正アクセス履歴表示機構６７は、不正アクセス履歴保持機構６６に保持されている、不正アクセスに関わるパケットの存在、受信時刻、送信元、送信先、およびパケット解析機構６５が判定した不正の種類等の不正アクセス履歴情報の内容を表示する。
【０１２６】
この際の不正アクセス履歴表示機構６７の具体的な構成例としては、図７に示すのように、パケット転送装置６０の筐体に設けられた、例えばＬＥＤ等を用いた不正アクセス表示器６７Ａを点灯駆動して、不正アクセスの存在を利用者に報知する構成とする。または、図８に示すように、不正アクセスの時刻、送信元、送信先、不正の種類などを例えばＬＣＤ等を用いた不正アクセス表示装置６７Ｂに文字表示して、利用者に、不正アクセスの時刻、送信元、送信先、不正の種類などの詳細情報を報知する構成とする。さらに、履歴情報を遡って表示するためのスイッチを備えて、利用者が、不正アクセスの履歴情報を遡って確認できるようにすることもできる。
【０１２７】
次に、図９乃至図１２を参照して本発明の第７実施形態を説明する。
【０１２８】
図９は、本発明の第７実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【０１２９】
この図９に示す第７実施形態のパケット転送装置７０は、複数のパケットが必要なパケットの解析時に参照される送出済みのパケットを保持する送出済みパケット保持機構７６を具備したことを特徴とする。
【０１３０】
送出済みパケット保持機構７６は、パケット解析機構７５が受信パケットを送出する際に参照されるもので、パケット解析機構７５が解析処理した送出済みのパケットを保持する機能をもつ。
【０１３１】
パケット解析機構７５は、パケット受信部７１がパケットを受信し、パケット識別子付加機構７２が識別子を付加した受信パケットを解析する際に、当該受信パケットに加えて、当該受信パケット以前に送出した送出済みパケットをあわせて参照し、不正アクセスに関わるパケットであるか否かを判定する。
【０１３２】
上記図９に示す構成のパケット転送装置７０に於いて、パケット受信部７１で受信され、パケット識別子付加機構７２により識別子が付加された受信パケットは、パケット保留キュー７３に格納され、パケット解析機構７５に渡されると同時に送出済みパケット保持機構７６に保持される。
【０１３３】
パケット解析機構７５は、パケット識別子付加機構７２から渡された受信パケットを送出する際に、装置内に組み込まれた後述するパケット解析プログラムによる判定情報（他の実施形態と同様にデータベースを参照しても良い）、および送出済みパケット保持機構７６に保持されている当該受信パケット以前に送出したパケットを含めて参照（この参照では、過去に正常なパケットと判定したことを示す）し、パケット識別子付加機構７２から渡された受信パケットが不正アクセスに関わるパケットであるか否かを判定する。
【０１３４】
パケット解析機構７５は、パケット解析プログラムの解析に基づいて、受信パケットが不正アクセスに関わるパケットであると判定した場合、送出済みパケット保持機構７６に保持されている当該受信パケット（不正アクセスのパケット）を破棄する。これにより、以降の解析において、送出したパケットのみを参照することとなり、より正確な解析を可能とする。
【０１３５】
送出済みパケット保持機構７６に、保持されているパケットを、例えば、格納してから一定期間過ぎたら破棄する方法や、宛先毎に予め指定した特定のデータ量を越えたら、越えた分、到着順序に従い破棄する方法などによって、送出済みパケット保持機構７６に新しいパケットが格納できなくなることを防ぐ機構が設けられる。
【０１３６】
また、送出済みパケット保持機構７６に、パケット解析機構７５からの送出済みパケットの参照が容易となるように、例えば、特定の宛先へのパケットのみを取り出す機能や、パケットに含まれる連番の順にパケットを並び替えて取り出す機能が設けられる。これにより、アプリケーションプログラムやＯＳ等に対してバグを引き起こすことが知られている特定のデータ列が、複数のパケットに跨って送られてきた場合など、受信パケットをそれぞれ別個に判定しては見逃してしまうような不正アクセスに関わるパケットであっても見つけることが可能となる。
【０１３７】
図１０は、上述したパケット解析プログラムを用いたパケット解析機構の構成例を示すブロック図である。ここでは、図９に示す第７実施形態に於けるパケット解析機構７５を例にとって示しているが、上述した第１乃至第６の実施形態に示した不正パケット解析用データベースの変わりに、パケット解析機構を適用しても良い。
【０１３８】
図１０に示すパケット転送装置のパケット解析機構７５は、実行プログラムの形式で不正アクセスに関わるパケットの判定を行う処理機能が実現される。
【０１３９】
図１０に示すパケット解析機構７５に於いて、パケット格納部７５１は、命令実行機構７５４からメモリ制御機構７５３を介してアクセスされる記憶装置であり、パケット識別子付加機構７２により識別子が付加された受信パケットや、送出済みパケット保持機構７６に保持されている送出済みパケットが格納される。
【０１４０】
実行命令格納部７５２は、命令実行機構７５４が動作するのに必要なパケット解析プログラムを格納する記憶装置である。
【０１４１】
メモリ制御機構７５３は、命令実行機構７５４からのアクセス要求に基づき、パケット格納部７５１、あるいは実行命令格納部７５２、あるいはその他の記憶装置と命令実行機構７５４との間で、格納されたデータを受け渡す機能を持つ。
【０１４２】
命令実行機構７５４は、メモリ制御機構７５３から渡されるパケット解析プログラムに従い、パケット格納部７５１に格納されたパケットが、不正アクセスに関わるパケットであるか否かを判定するためのパケット解析処理を実行する。
【０１４３】
この命令実行機構７５４の実行結果により、受信パケットが不正アクセスに関わるパケットであるか否かが判定される。そして、当該受信パケットが不正アクセスに関わるパケットで無い場合は、当該受信パケットを送出すべく、パケット送出部７４（あるいは図４、図５に示す送出セグメント判定機構４６，５６）に、当該受信パケットの識別子が伝えられる。
【０１４４】
ここで、図１０に示す構成のパケット解析機構７５に於ける処理動作を、図９に示すパケット転送装置７０を適用した場合を基に説明する。
【０１４５】
図１０に示す構成のパケット解析機構７５に於いて、実行命令格納部７５２には、命令実行機構７５４が動作するのに必要なパケット解析プログラムが予め格納されている。
【０１４６】
図９に示すパケット転送装置７０に於いて、パケット受信部７１で受信されたパケットはパケット識別子機構７２によって識別子が付加される。この識別子が付加された受信パケットは、パケット保留キュー７３に格納され、またパケット解析機構７５に渡されると同時に、送出済みパケット保持機構７６にも格納される。パケット解析機構７５に渡されたパケットは、パケット格納部７５１に格納される。
【０１４７】
パケット格納部７５１に受信パケットを格納する方法としては、パケット識別子付加機構７２、または送出済みパケット保持機構７６から受信パケットをコピーしてくる方法。または、パケット識別子付加機構７２や送出済みパケット保持機構７６と記憶装置（パケット格納部７５１）を共有する方法等がある。送出済みパケット保持機構７６を持つ場合、送出済みパケット保持機構７６に保持されている送出済みパケットもパケット格納部７５１に格納する構成にしてもよい。
【０１４８】
パケット格納部７５１へのパケットの格納が完了すると、命令実行機構７５４の動作が開始される。命令実行機構７５４は、メモリ制御機構７５３を介して実行命令格納部７５２に格納されたパケット解析プログラム（実行プログラム）を先頭から逐次読み出して送出処理を実行する。
【０１４９】
例えば、パケット格納部７５１に格納された受信パケットに、不正アクセスに関わるパケットに含まれる文字列が含まれているか否かを解析する場合、実行命令格納部７５２に格納されたパケット解析プログラムの一部には、不正アクセスに関わるパケットに含まれる文字列の一覧が含まれており、命令実行機構７５４は、メモリ制御機構７５３を介して、当該文字列一覧に含まれる文字列と受信パケットを逐次比較して、当該文字列一覧に含まれる文字列のいずれかが受信パケットに含まれていた場合、当該受信パケットが不正アクセスに関わるものであると判定する。
【０１５０】
また、命令実行機構７５４は、実行命令格納部７５２に格納されたパケット解析プログラムに従い、送出済みパケット保持機構７６が持つ、例えば特定の宛先への受信パケットのみを取り出す機能や、受信パケットに含まれる連番順にパケットを並び替えて取り出す機能等を利用して、送出済みパケット保持機構７６から送出済みのパケットを取り出し、パケット格納部７５１に格納する機能を持つこともできる。
【０１５１】
命令実行機構７５４はパケット解析プログラムの終端まで処理を実行し、受信パケットが不正アクセスに関わるものであるか否かを判定する。
【０１５２】
このような不正アクセスに関わるパケットの判定機能をもつ構造とすることで、例えば、ＯＳの誤動作を引き起こすことが知られている特定のデータ列として、一部のみ異なる複数のデータ列がある場合、共通する部分の比較は一度で完了することが可能となり、不正アクセスに関わるものであるか否かの判定をより高速に行なうことが可能となる。さらに、命令実行機構７５４の動作が停止している期間に、実行命令格納部７５２の実行プログラムを入れ替えると、次のパケットを受信した際に、新しく入れ替えられた実行プログラムにしたがって、解析が開始されることから、パケット解析機構７５の不正アクセスの解析手段を更新することも容易となる。
【０１５３】
図１１及び図１２のフローチャートは、実行命令格納部７５２に格納されるパケット解析プログラムを命令実行機構７５４が実行して、不正アクセスに関わるパケットの判定処理の具体例な処理手順を示す。
【０１５４】
この図１１及び図１２に示す判定処理では、上記パケット格納部７５１に格納された受信パケットについて、先ずヘッダフィールドのオプションや、パラメータの組み合わせがパケット転送先のサーバに誤動作を引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（図１１ステップＳ１１）。即ち、受信パケットのヘッダ部から不審な相手からの送信であったり、形式の異なる怪しいパケットであることを見分ける処理を行なう。
【０１５５】
ここで上記条件を満たしていれば、当該受信パケットは破棄の対象となる（図１１ステップＳ１５）。一方、上記条件を満たしていなければ、次に、断片化されたパケットやＴＰＣ等、判断に他のパケットの情報も必要となるか否かが判断される（図１１ステップＳ１２）。
【０１５６】
他のパケットを必要としない場合は、次にパケットが搬送しているデータの長さ、あるいはデータが指定しているパラメータの組み合わせが、そのデータを処理するアプリケーションに誤動作を引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（図１１ステップＳ１３）。
【０１５７】
ここで上記条件を満たしていれば当該受信パケットは破棄の対象となる（図１１ステップＳ１５）。一方、上記条件を満たしていなければ、当該受信パケットを送出対象パケットとして、パケット送出部７４に当該受信パケットの転送指示を行う（図１１ステップＳ１４）。
【０１５８】
また、上記ステップＳ１２に於いて、他のパケットの情報も必要であると判断された際は、断片化されたパケットで、かつ送出済みパケット保持機構７６から取り出した他の断片化されたパケットとデータ領域がオーバーラップしている等、サーバに誤動作引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（図１２ステップＳ２１）。
【０１５９】
ここで上記条件を満たしていれば当該受信パケットは破棄の対象となる（図１２ステップＳ２６）。一方、上記条件を満たしていなければ、次に、ＴＰＣのパケットで、送出済みパケット保持機構７６から取り出した同一セッションの他のパケットとデータ領域がオーバーラップしている等、サーバに誤動作引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（図１２ステップＳ２２）。
【０１６０】
ここで上記条件を満たしていれば当該受信パケットは破棄の対象となる（図１２ステップＳ２６）。一方、上記条件を満たしていなければ、次に、送出済みパケット保持機構７６から必要に応じた数の同一セッションのパケットを取り出し、送出に充分な長さのデータストリームを再構築し（図１２ステップＳ２３）、当該ＴＣＰデータストリームによって搬送されているデータの長さ、あるいはデータが指定しているパラメータは誤動作を引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（図１２ステップＳ２４）。
【０１６１】
ここで上記条件を満たしていれば当該受信パケットは破棄の対象となる（図１２ステップＳ２６）。一方、上記条件を満たしていなければ、パケット送出部７４に当該受信パケットの転送指示を行う（図１２ステップＳ２５）。
【０１６２】
このような不正アクセスに関わるパケットの判定処理が、パケット受信部７１で受信した各受信パケットについて順次実行される。
【０１６３】
上記したような不正アクセスに関わるパケットを排除する機能をもつことにより、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によってパケットを転送するか否かを判断するだけでは防止できない、不正アクセスに関わるパケットを通過させないパケット転送機構が実現できる。またパケットを転送するか否かの判断を行なうための設定を利用者が行なうことなく不正アクセスに関わるパケットを通過させないパケット転送機構を実現できる。またＩＰアドレス等のネットワークアドレスを全く持たないため、自身が不正アクセスの対象となることを防げる、不正アクセスに関わるパケットを通過させないパケット転送機構が実現できる。
【０１６４】
尚、上記した実行命令格納部７５２に格納される実行プログラム（パケット送出プログラム）は、例えばハードディスク、ＣＤ−ＲＯＭ、半導体メモリ等の各種記憶媒体または記憶装置により提供することも可能である。
【０１６５】
次に、図１３を参照して本発明の第８実施形態を説明する。
【０１６６】
図１３は、本発明の第８実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【０１６７】
この図１３に示す第７実施形態のパケット転送装置８０は、シリアルインタフェース８７を介してパケット解析プログラムを更新する機能を付加したことを特徴とする。
【０１６８】
図１３に示すパケット転送装置８０に於いて、パケット解析機構８５の実行命令格納部８６には、命令実行機構（図１０を参照）が動作するための実行プログラムが格納されている。
【０１６９】
シリアルインタフェース８７は、外部からの解析プログラム更新指示を受信する機能を持つ。解析プログラム更新機構８８は、シリアルインタフェース８７が受信した解析プログラム更新指示に従って、パケット解析機構８５に格納された実行プログラムを更新する機能を持つ。更新指示形式識別機構８９は、シリアルインタフェース８７で受信したデータが、解析プログラム更新指示であるか否かを、当該受信したデータが特定の形式を満たしているか否かによって判定する機能を持つ。
【０１７０】
上記図１３に示すパケット転送装置８０の動作を説明する。
【０１７１】
シリアルインタフェース８７を介して受信されたデータは解析プログラム更新機構８８に渡される。解析プログラム更新機構８８は、更新指示形式識別機構８９によって、シリアルインタフェース８７から渡されたデータが特定の形式を満たしている解析プログラム更新指示であることを確認すると、当該解析プログラム更新指示に含まれている実行プログラムを取り出す。
【０１７２】
更に、解析プログラム更新機構８８は、パケット解析機構８５の命令実行機構が動作中か否かを確認し、動作中の場合は、動作が停止するのを待つ。パケット解析機構８５の命令実行機構が停止していることを確認した場合、解析プログラム更新指示に含まれる実行プログラムをパケット解析機構８５の実行命令格納部８６に格納する。これにより、パケット解析機構８５内の不正アクセスを解析する実行プログラムが更新される。
【０１７３】
次に、図１４を参照して本発明の第９実施形態を説明する。
【０１７４】
図１４は、本発明の第９実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【０１７５】
この図１４に示す第９実施形態のパケット転送装置９０は、ネットワークインタフェース９７を介してパケット解析プログラムを更新する機能を付加したことを特徴とする。この第９の実施形態は、図１３の実施形態のシリアルインタフェース８７がネットワークインタフェース９７に置き換わったものであり、その他の構成は図１３と同じであるためその説明は省略する。
【０１７６】
次に、図１４に示すパケット転送装置９０の動作を説明する。
【０１７７】
ネットワークインタフェース９７を介して受信されたデータは解析プログラム更新機構９８に渡される。解析プログラム更新機構９８は、更新指示形式識別機構９９によって、ネットワークインタフェース９７から渡されたデータが特定の形式を満たしている解析プログラム更新指示であることを確認すると、当該解析プログラム更新指示に含まれている実行プログラムを取り出す。
【０１７８】
更に、解析プログラム更新機構９８は、パケット解析機構９５の命令実行機構が動作中か否かを確認し、動作中の場合は、動作が停止するのを待つ。パケット解析機構９５の命令実行機構が停止していることを確認した場合、解析プログラム更新指示に含まれる実行プログラムをパケット解析機構９５の実行命令格納部９６に格納する。これにより、パケット解析機構９５内の不正アクセスを解析する実行プログラムが更新される。
【０１７９】
次に、図１５を参照して本発明の第１０実施形態を説明する。
【０１８０】
図１５は、本発明の第１０実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【０１８１】
この図１５に示す第１０実施形態のパケット転送装置１００は、パケットを利用して実行プログラム（パケット解析プログラム）を更新する機能を付加したことを特徴とする。
【０１８２】
図１５に示すパケット転送装置１００に於いて、パケット解析機構１０５の実行命令格納部１０６には、命令実行機構（図１０を参照）が動作するための実行プログラムが格納されている。
【０１８３】
解析プログラム更新機構１０７は、パケット受信部１０１によって受信された解析プログラム更新指示に従って、パケット解析機構１０５に格納された実行プログラムを更新する機能を持つ。解析プログラム更新機構１０７内の更新指示形式識別機構１０８は、入力されたパケットのデータが特定の形式を満たしているか否かによって、受信パケットが解析プログラム更新指示であるか否かを判定する機能を持つ。
【０１８４】
次に、図１５に示すパケット転送装置１００の動作を説明する。
【０１８５】
パケット受信部１０１で受信されたパケットは、パケット識別子付加機構１０２に渡されるのと同時に、解析プログラム更新機構１０７に渡される。解析プログラム更新機構１０７の更新指示形式識別機構１０８は、入力された受信パケットが解析プログラム更新指示を示す特定の形式を満たしていることを判定する。特定の形式を満たしている場合、その受信パケットは転送されるべきパケットでは無く、解析プログラム更新指示であると判断する。これにより、解析プログラム更新機構１０７は当該受信パケットに含まれる実行プログラムを取り出して、パケット解析機構１０５に送り、実行命令格納部１０６に格納される。
【０１８６】
上記した図１３乃至図１５に示す各実施形態は、何れもパケット解析機構の実行命令格納部に格納される実行プログラムを更新して、最新の不正アクセス解析プログラムが稼動する環境を整えるものであるが、不正な解析プログラム更新指示によって、不正アクセス解析プログラムが不正に更新されてしまい、パケット解析機構が正常に動作しないようにされてしまう可能性がある。
【０１８７】
これを防ぐために、図１６に示すように、更新指示形式識別機構に、電子署名識別機構を備え、解析プログラム更新指示に、電子署名を付加して認証することも可能である。尚、ここでは図１５に示す第１０実施形態を対象にしているが、図１３に示す第８実施形態、図１４に示す第９実施形態に於いても同様に適用可能である。
【０１８８】
図１６は、解析プログラム更新機構１０７の構成を示すブロック図であり、ここでは、解析プログラム更新機構１０７内に更新指示形式識別機構１０８と、更新指示形式識別機構１０８内に電子署名識別機構１０９を備える構成としている。
【０１８９】
即ち、更新指示形式識別機構１０８内の電子署名識別機構１０９は、シリアルインタフェース（図１３）や、ネットワークインタフェース（図１４）から受信したデータや、パケット受信部（図１５）で受信されたパケットに格納されているデータ中に含まれている電子署名が正当な署名であるか否かを判定する。即ち、解析プログラム更新指示を示すデータが、特定の形式を満たしており、かつ当該データ中に含まれている電子署名が正当な署名である場合に、正当な解析プログラム更新指示であると判定する。
【０１９０】
解析プログラム更新機構１０７は、更新指示形式識別機構１０８が、正当な解析プログラム更新指示であると判定した場合、その解析プログラム更新指示に含まれる不正アクセス解析プログラムをパケット解析機構１０５に出力する機能を有する。
【０１９１】
上記の構成において、解析プログラム更新機構１０７に渡されたデータが、解析プログラム更新指示であることを示す特定の形式を満たしており、かつ、電子署名識別機構１０９によって当該データ中に含まれている電子署名が正当な署名である場合、解析プログラム更新機構１０７は正当な解析プログラム更新指示であると判定し、そのデータに含まれる不正アクセス解析プログラムを取り出して、パケット解析機構１０５に送り、パケット解析機構１０５は実行命令格納部１０６に不正アクセス解析プログラムを格納する。これにより、不正な解析プログラム更新指示によって、パケット解析機構が正常に動作しないようにされてしまうことを防げるパケット転送装置を実現することができる。
【０１９２】
次に、図１７を参照して本発明の第１１実施形態を説明する。
【０１９３】
図１７は、本発明の第１１実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。この第１１実施形態のパケット転送装置１１０は、通信用アドレスを予め設定する機能をもつことを特徴とする。
【０１９４】
図１７に示すパケット転送装置１１０に於いて、通信用アドレス設定機構１１４は、シリアルインタフェースやネットワークインタフェース等を介して得られる通信用アドレスを、通信用アドレス保持機構１１５に設定する機能を持つ。この図１７に示す例では、シリアルインタフェース１１３を介して通信用アドレスを設定する場合を例に示している。
【０１９５】
通信用アドレス保持機構１１５は、通信用アドレス設定機構１１４によって予め設定された通信用アドレスを保持する機能を持つ。
【０１９６】
通信制御機構１１２は、パケット解析プログラムの更新に伴う通信や、装置内情報通知機構１１７がネットワークセグメントに接続される他の装置に対して通知するための通信（以下、これらの通信を特定通信と称する）を制御する装置であり、上記特定通信を行なわないときは、上記通信アドレス宛のパケットは破棄する機能を持つ。また、上記特定通信を行なうときには、上記通信アドレス宛のパケットを受信し、当該パケットに格納された当該特定通信に関わるデータを実行プログラム更新機構１１６や装置内情報通知機構１１７へ渡す機能を持つ。また、上記特定通信に関わるデータ通信時に、実行プログラム更新機構１１６や装置内情報通知機構１１７が送信するデータに当該通信アドレスを送信元として付加してネットワークセグメントへ送出する機能を持つ。
【０１９７】
この実施形態のパケット転送装置１１０には、例えば、図６に示す不正アクセス履歴保持機構６６に保持されている不正アクセス履歴や、その他の装置内部の情報を外部に通知するための装置内情報通知機構１１７を持たせている。装置内情報通知機構１１７は、装置内部の情報を外部へ通知するのに、シリアルインタフェースや、通知用ネットワークインタフェースを利用する。また、装置内情報通知機構１１７は、装置内部の情報を外部に通知するのに、パケット転送の対象である、パケット受信部／パケット送出部が接続されたネットワークセグメントを利用することもできるが、その場合、自身が不正アクセスの対象となることを防ぐために通常動作中は持っていない、ネットワークアドレスが必要となる。
【０１９８】
次に、図１７に示すパケット転送装置１１０の動作を説明する。
【０１９９】
利用者は、通信用アドレス設定機構１１４を利用して、通信用アドレス保持機構１１５に、通信用アドレスを予め設定しておく。図１７の構成では、シリアルインタフェース１１３を介して通信用アドレス設定機構１１４を利用する場合を示しているが、ネットワークインタフェースを利用したり、解析プログラム更新指示と同様の方法で、転送対象のネットワークセグメントを介して、通信用アドレス設定機構１１４を利用することも可能である。
【０２００】
上記特定通信を行なう場合、通信制御機構１１２は、ネットワークセグメントからパケット受信部１１１を介して当該通信アドレス宛のパケットが送信されてきた場合、これを受信し、その受信パケットに含まれる通信に関わるデータを実行プログラム更新機構１１６や装置内情報通知機構１１７へ渡す。そして、実行プログラム更新機構１１６や装置内情報通知機構１１７は特定通信に関わる送信データを、上記通信アドレス宛によって示される送信元のネットワークセグメントへ送出する。しかしながら、通信を行なわないときは、通信制御機構１１２が上記通信アドレス宛のパケットを破棄し、自身が不正アクセスの対象となることを防ぐ。
【０２０１】
次に、図１８および図１９を参照して本発明の第１２実施形態を説明する。
【０２０２】
図１８は、本発明の第１２実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。この図１８に示す第１２実施形態のパケット転送装置１２０は、パケット横奪部１２２を持つ構成としたことを特徴とする。
【０２０３】
図１８に示すパケット転送装置１２０に於いて、通信用アドレス選択機構１２４は、過去に受信したパケットのネットワークアドレスと受信したネットワークセグメントとの対応を保持するアドレス／セグメント対応表１２５を持ち、上記特定通信に関わるパケットの送出先ネットワークセグメントとは異なるネットワークセグメントから、過去に受信したパケットの送信元アドレスのうちの任意の１つを通信用アドレスとして選択し、その選択した通信用アドレスを通信用アドレス保持機構１２６に設定する機能を持つ。
【０２０４】
この際のアドレス／セグメント対応表１２５の一例を図１９に示している。
【０２０５】
通信用アドレス保持機構１２６は、通信用アドレス選択機構１２４によって設定された通信用アドレスを保持する機能を持つ。
【０２０６】
パケット横奪部１２２は、上記特定通信を行なわないときは、通信アドレス宛のパケットをパケット識別子付加機構（図１乃至図６を参照）に渡して、通常の転送処理を行ない、上記特定通信を行なうときは通信アドレス宛のパケットをパケット識別子付加機構に渡さずに横奪する機能を持つ。
【０２０７】
通信制御機構１２３は、上記特定通信を制御する機構であり、受信パケットに含まれる通信に関わるデータを実行プログラム更新機構１２７や、装置内情報通知機構１２８へ渡す。また、実行プログラム更新機構１２７や装置内情報通知機構１２８が送信するデータに、当該通信アドレスを送信元として付加してネットワークセグメントへ送出する機能を持つ。
【０２０８】
次に、図１８に示すパケット転送装置１２０の動作を説明する。
【０２０９】
通信用アドレス選択機構１２４は、内蔵するアドレス／セグメント対応表１２５を参照して、特定通信に関わるパケットの送出先となるネットワークセグメントから、過去に受信したパケットの送信元アドレスの１つを通信用アドレスとして選択する。
【０２１０】
ここで、アドレス／セグメント対応表１２５に保持された、アドレスと受信したネットワークセグメントの対応が、例えば図１９に示す内容であるとする。ここで、上記特定通信を行なう相手が、［１９２．１６８．７．４２］のネットワークアドレスを持っているとすると、上記特定通信に関わるパケットを送出すべきネットワークセグメントはセグメントＢであることが判る。
【０２１１】
したがって、上記特定通信に関わるパケットを送出すべきネットワークセグメント（セグメントＢ）と異なるネットワークセグメントとはセグメントＡであり、通信用アドレスとしては、［１９２．１６８．０．２１］、あるいは［１９２．１６８．３．１３４］のいずれかを選択すれば良いこととなる。
【０２１２】
例えば、アドレス／セグメント対応表１２５の先頭に最も近いセグメントＡを選択するとすると、アドレスは［１９２．１６８．０．２１］となる。この際、もしも、上記特定通信を行なう相手のネットワークアドレスが、アドレス／セグメント対応表１２５に存在しなかった場合は、各々のネットワークセグメント上のアドレスを任意に選択し、そのアドレスを用いてアドレス設定を行う。このアドレス設定の結果、いずれかのネットワークセグメント上で、アドレス設定の応答パケットを受信できると、アドレス／セグメント対応表１２５に当該通信を行なう相手のネットワークアドレスとネットワークセグメントが登録されるので、改めて当該ネットワークアドレスを通信用アドレスとして選択する。
【０２１３】
通信用アドレスをこのように選択することで、当該通信アドレスが指定されている応答パケットがパケット転送装置１２０のパケット受信部１２１に送信される。パケット横奪部１２２は、上記特定通信を行なわないときは、セグメントＡの通信アドレス宛のパケットは、パケット識別子付加機構に渡して通常の転送処理を行なう。一方、上記特定通信を行なうときは、セグメントＡの通信アドレス宛のパケットを横奪して、当該通信用アドレスの本来の持ち主にパケットが渡らないようにする。
【０２１４】
パケット横奪部１２２は、通信制御機構１２３が送出したパケットに対するネットワークセグメントからの応答パケットのみを横奪することで、当該通信用アドレスの本来の持ち主の通信への影響を最小限にすることも可能である。この場合、当該通信用アドレスの本来の持ち主の通信と区別ができるように、当該通信用アドレスの本来の持ち主が、この実施形態によるパケット転送装置１２０を経由する通信で用いているポート番号等を保存しておき、当該装置の通信時は、それらと重ならないようにして当該通信用アドレスの本来の持ち主の通信と区別できるようにする等の仕組みを用意する必要がある。このようにすることで、自身への不正アクセスを防ぎつつ、解析プログラムの更新に伴う通信や、装置内情報通知機構が他の装置に対して装置内部の情報を通知するための特定通信が可能となる。
【０２１５】
上記した図１７、若しくは図１８に示した各実施形態の構造をもつことによって、解析プログラムの更新に伴う通信や、装置内情報通知機構が他の装置に対して装置内部の情報を通知するための通信、等の特定の通信を行なっているとき以外は、ネットワークアドレスを持たないため、自身への不正アクセスを防げるパケット転送装置を実現することができる。
【０２１６】
次に、図２０および図２１を参照して本発明の第１３実施形態を説明する。
【０２１７】
図２０は、本発明の第１３実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。この図２０に示す第１３実施形態のパケット転送装置１３０は、通信開始指示形式識別機構１３３を具備することを特徴とする。
【０２１８】
通信開始指示形式識別機構１３３は、パケット受信部１３１で受信されたパケットが、通信開始指示を示す特定の形式を満たしているデータであることを識別して、通信制御機構１３４に通信開始を通知する機能を持つ。
【０２１９】
通信制御機構１３４は、通信開始指示形式識別機構１３３からの通信開始の通知を受けると、通信用アドレス保持機構１３６に保持された通信用アドレス、あるいは通信用アドレス選択機構１３５が選択した通信用アドレスを用いた通信を開始する機能を持つ。
【０２２０】
次に、図２０に示すパケット転送装置１３０の動作を説明する。
【０２２１】
上記した図１７および図１８に示す各実施形態の構造によって、上記特定通信を行なっているとき以外は、ネットワークアドレスを持たないパケット転送装置を実現した場合、上記実施形態のパケット転送装置から他の装置に対して通信を開始することが可能であるが、他の装置から上記実施形態のパケット転送装置へ対する通信を開始しようとしても、ネットワークアドレスを持たないため、通信が不可能である。そこで、この図２０に示す第１３実施形態のパケット転送装置１３０では、他の装置からパケット転送装置１３０に対する通信を開始することができるようにするため、通信開始指示形式識別機構１３３を持つ。
【０２２２】
パケット受信部１３１で受信されたパケットは、パケット識別子付加機構（図１乃至図６など参照）等に渡されるのと同時に、通信開始指示形式識別機構１３３にも渡される。通信開始指示形式識別機構１３３は、受信したパケットの形式が、通信開始指示を示す特定の形式を満たしているか否かを判定する。
【０２２３】
特定の形式を満たしている場合、受信したパケットは、ネットワークセグメントに送出されるべきパケットでは無く、パケット転送装置１３０に対する通信開始指示であると判断し、通信制御機構１３４は通信開始を指示する。この図２０に示す例では、通信制御機構１３４が通信用アドレス選択機構１３５で選択した通信用アドレスを用いて通信を開始すると想定する。
【０２２４】
このようにすることで、解析プログラムの更新に伴う通信や、装置内情報通知機構１３８が他の装置に対して装置内部の情報を通知するための通信、等でなる特定通信を行なっているとき以外は、パケット転送装置１３０はネットワークアドレスを持たないため、自身への不正アクセスを防ぐことができ、かつ他の装置からパケット転送装置１３０に対する通信を開始することが可能なパケット転送機能を実現することができる。
【０２２５】
上記した実施形態に於いては、外部から通信を開始する機能を持つ場合、不正な通信開始指示によって通信を開始され、自身が不正アクセスの対象とされてしまう可能性がある。これを防ぐために、図２１に示すように、通信開始指示形式識別機構１３３に、電子署名識別機構１３９を備え、通信開始指示に、電子署名を付加して認証することも可能である。
【０２２６】
図２１に示すように、通信開始指示形式識別機構１３３内には電子署名識別機構１３９が設けられ、この電子署名識別機構１３９は通信開始指示のデータ中に含まれている電子署名が正当な署名であるか否かを判定して、電子署名が正当な署名である場合に、当該データは正当な通信開始指示であると判定し、通信制御機構１３４に通信開始を通知する。
【０２２７】
通信制御機構１３４は、通信開始指示形式識別機構１３３から通信開始の通知を受けると、通信用アドレス保持機構１３６に保持された通信用アドレス、あるいは通信用アドレス選択機構１３５が選択した通信用アドレスを用いた通信を開始する。
【０２２８】
これにより、不正な通信開始指示によって、通信を開始され、自身が不正アクセスの対象とされてしまうことを防げるパケット転送装置を実現することができる。
【０２２９】
尚、上記した図１３乃至図２０に示す各実施形態に於いて扱われるパケット解析プログラムは、例えばハードディスク、ＣＤ−ＲＯＭ、半導体メモリ等の各種記憶媒体または記憶装置により装置個々に個別に提供することも可能である。
【０２３０】
上記したような本発明の実施形態により、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によってパケットを転送するか否かを判断するだけでは防止できない、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。また、パケットを転送するか否かの判断を行なうための設定を利用者が行なうことなく、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。また、ＩＰアドレス等のネットワークアドレスを全く持たないため、自身が不正アクセスの対象となることを防げる、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。また、不正アクセスが為されていることを表示可能なパケット転送装置を実現することができる。
【０２３１】
更に、上記した実施形態の機能を、図２２乃至図２４を参照して説明した既存の不正アクセス防止機能と組み合わせることで、より信頼性の高い不正アクセスに関わるパケットの転送防止機能を実現することができる。
【０２３２】
【発明の効果】
以上詳記したように本発明によれば、利用者に大きな作業負担をかけることなく、信頼性の高い不正アクセスの防止機能を実現できる。更に本発明によれば、送信元より転送されたパケットの内容を送出して不正アクセスに関わるパケットでないことを判定する機能をもつことで、不正アクセスに関わるパケットの転送を確実に防止でき、信頼性の高い不正アクセスの防止機能が実現できる。即ち本発明によれば、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によってパケットを転送するか否かを判断するだけでは防止できない、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。またパケットを転送するか否かの判断を行なうための設定を利用者が行なうことなく不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。またＩＰアドレス等のネットワークアドレスを全く持たないため、自身が不正アクセスの対象となることを防ぐことのできる、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。更に不正アクセスが為されていることを表示可能なパケット転送装置を実現することができる。
【図面の簡単な説明】
【図１】本発明の第１実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図２】本発明の第２実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図３】本発明の第３実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図４】本発明の第４実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図５】本発明の第５実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図６】本発明の第６実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図７】上記第６実施形態に於ける不正アクセス表示手段の第１の例を示す図。
【図８】上記第６実施形態に於ける不正アクセス表示手段の第２の例を示す図。
【図９】本発明の第７実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１０】上記第７実施形態に於けるパケット解析機構の構成例を示すブロック図。
【図１１】上記第７実施形態に於ける不正アクセスに関わるパケットの判定処理の処理手順を示すフローチャート。
【図１２】上記第７実施形態に於ける不正アクセスに関わるパケットの判定処理の処理手順を示すフローチャート。
【図１３】本発明の第８実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１４】本発明の第９実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１５】本発明の第１０実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１６】上記第１０実施形態に於ける解析プログラム更新機構の構成を示すブロック図。
【図１７】本発明の第１１実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１８】本発明の第１２実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１９】上記第１２実施形態に於けるアドレス／セグメント対応表の構成例を示す図。
【図２０】本発明の第１３実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図２１】上記第１３実施形態に於ける通信開始識別機構の他の構成例を示すブロック図。
【図２２】従来のパケット転送装置の構成を示すブロック図。
【図２３】上記図２２に示す従来のパケット転送装置のネットワーク構成例を示すブロック図。
【図２４】上記図２３に示す従来のパケット転送装置のルール保持部に格納される内容例を示す図。
【符号の説明】
１０，２０，３０，４０，５０，６０，７０，８０，９０，１００，１１０，１２０，１３０…パケット転送装置
１１，２１ａ，２１ｂ，３１ａ，３１ｂ，４１，５１，６１，７１，８１，９１，１０１，１１１，１２１，１３１…パケット受信部
１２，２２ａ，２２ｂ，３２，４２，５２，６２，７２，８２，９２，１０２…パケット識別子付加機構
１３，２３ａ，２３ｂ，３３，４３，５３ａ…５３ｎ，６３，７３，８３，９３，１０３，…パケット保留キュー
１４，２４ａ，２４ｂ，３４ａ，３４ｂ，４４ａ…４４ｎ，５４ａ…５４ｎ，６４，７４，８４，９４，１０４，…パケット送出部
１５，２５ａ，２５ｂ，３５，４５，５５，６５，７５，８５，９５，１０５…パケット解析機構
１５０，２５０ａ，２５０ｂ，３５０，４５０，５５０，６５０…不正パケット解析用データベース
４６，５６…送出セグメント判定機構
６６…不正アクセス履歴保持機構
６７…不正アクセス履歴表示機構
６７Ａ…不正アクセス表示器
６７Ｂ…不正アクセス表示装置
７６…送出済みパケット保持機構
８６，９６，１０６…実行命令格納部
８７，１１３…シリアルインタフェース
８８，９８，１０７…解析プログラム更新機構
８９，９９，１０８…更新指示形式識別機構
９７…ネットワークインタフェース
１０９，１３９…電子署名識別機構
１１２，１２３，１３４…通信制御機構
１１４…通信用アドレス設定機構
１１５，１２６，１３６…通信用アドレス保持機構
１１６，１２７，１３７…実行プログラム更新機構
１１７，１２８，１３８…装置内情報通知機構
１２２，１３２…パケット横奪部
１２４，１３５…通信用アドレス選択機構
１２５…アドレス／セグメント対応表
１３３…通信開始指示形式識別機構
７５１…パケット格納部
７５２…実行命令格納部
７５３…メモリ制御機構
７５４…命令実行機構
【発明の属する技術分野】
本発明は、複数のネットワークセグメント相互の間でパケットを転送するパケット転送装置、およびパケット転送方法に関する。
【０００２】
【従来の技術】
従来、複数のネットワークセグメント相互の間に接続されて、これらセグメント間でパケットを転送するパケット転送装置に於いて、不正アクセスを防止するための、パケットを転送するか否の判断は、利用者がネットワーク若しくは他の設定手段を用いて設定した、宛先／送信元のネットワークアドレスやサービス番号等により行っていた。
【０００３】
この際の従来のパケット転送装置に於ける不正アクセス防止手段を図２２乃至図２４を参照して説明する。従来のパケット転送装置の構成例を図２２に示している。ここでは、パケット転送装置０１の構成要素として、送信元となる一方のネットワークセグメントからのパケットを受信するパケット受信部０２、パケット受信部０２で受信したパケットをフィルタリング（選定）制御するパケットフィルタ部０３、パケットフィルタ部０３を通過したパケットを送出先となる他方のネットワークセグメントに送出するパケット送出部０４、不正アクセスを防止するための宛先／送信元のネットワークアドレスやサービス番号等を設定するルール設定部０５、ルール設定部０５で設定されたアドレス等の情報を保持しパケットフィルタ部０３が参照するルール保持部０６等が設けられる。
【０００４】
上記構成によるパケット転送装置０１を含むネットワークシステムの一構成例を図２３に示し、パケット転送装置０１のルール保持部０６に格納される内容例を図２４に示している。
【０００５】
利用者は、ネットワークを介し、ルール設定部０５の機能を用いて、ルール保持部０６に、宛先／送信元ネットワークアドレス、サービス番号、転送を許可するか否かの識別情報等を予め設定しておく。
【０００６】
ここでは上記図２２に示す構成のパケット転送装置０１を用いて上記図２３に示すようなネットワークシステムが構築され、利用者がルール設定部０５の機能を用いて図２４に示すような設定内容（ルール）が予めルール保持部０６に保持しているものとする。
【０００７】
その状態で、例えば、ネットワークアドレスとして、［１９２．１６８．１．１２］を持つホストから、［１９２．１６８．０．３１］を持つホストのＨＴＴＰサービスを利用しようとするパケットがパケット受信部０２で受信されたとする。
【０００８】
この受信パケットは、パケットフィルタ部０３に送られる。
【０００９】
パケットフィルタ部０３では、ルール保持部０６に格納された、予め利用者が設定した図２４に示すようなルールを参照する。
【００１０】
ここでパケットフィルタ部０３は、図２４に示すルールを参照して、ネットワークアドレスとして、［１９２．１６８．１．１２］を持つホストから、［１９２．１６８．０．３１］を持つホストのＨＴＴＰサービスを利用するアクセスは許可されていることを判断し、上記パケットをパケット送出部０４に送出する。そして、パケット送出部０４からネットワークアドレスとして、［１９２．１６８．０．３１］のアドレスを持つホストへ転送され、通信が完了する。
【００１１】
また、例えば、ネットワークアドレスとして、［１９２．１６８．１．１３］を持つホストから、［１９２．１６８．０．３１］を持つホストのＨＴＴＰサービスを利用しようとするパケットがパケット受信部０２で受信されたとすると、その受信パケットは、パケットフィルタ部０３に送られる。
【００１２】
パケットフィルタ部０３では、ルール保持部０６に格納された、利用者が予め設定した図２４に示すルールを参照する。
【００１３】
ここでパケットフィルタ部０３は、図２４に示すルールを参照すると、ネットワークアドレスとして、［１９２．１６８．１．１３］を持つホストから、［１９２．１６８．０．３１］を持つホストのＨＴＴＰサービスを利用するアクセスは不許可とされていることを判断する。したがって、このパケットはパケットフィルタ部０３によって不正アクセスと判断し破棄され、パケット送出部０４からは上記受信したパケットが送出されないこととなる。
【００１４】
他の宛先／送信元／サービスの各パケットに関しても、上記同様に、図２４に示すルール保持部０６の内容（ルール）に従って、送出／破棄が行なわれる。
【００１５】
上述した従来のパケット転送装置に於ける不正アクセス防止手段には、宛先／送信元のＭＡＣ（Media Access Control）アドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によって、パケットを転送するか否かを判断するだけでは、転送するように設定されたアドレスやサービス番号を用いた不正アクセスは防止できず、不正アクセスに関わるパケットを通過させないという目的には、不十分であるという問題があった。
【００１６】
例えば、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等がすべて正しく設定されていたとしても、その設定された送信元を介して（経由して）不正アクセスと見做されるデータをもつパケットが転送され、当該パケットで搬送されたデータにより、受信側システムのアプリケーション等が侵害されてしまうという、信頼性の問題があった。
【００１７】
また、パケットを転送するか否かの判断を行なうための宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等の設定は、利用者や設置場所毎に異なるため、パケット転送装置の設置に伴って、設定を行なう必要があったが、この設定は、比較的困難であり、しばしば誤った設定がなされ、不正アクセスを許してしまうという問題もあった。
【００１８】
また、設定をネットワーク経由で行なうにはＩＰアドレス等のネットワークアドレスが必要であり、それは、逆に不正アクセスの対象となり得るという問題もあった。
【００１９】
また、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によって、転送しないと判断するパケットが到着したとしても、それが、必ずしも不正アクセスとは言い切れず、したがって、転送しないと判断するパケットが到着したことを何らかの形で表示したとしても、不正アクセスがなされていることの表示とはならないという問題もあった。
【００２０】
【発明が解決しようとする課題】
上述したように、従来のパケット転送装置に於ける不正アクセス防止手段に於いては、宛先／送信元のＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によって、パケットを転送するか否かを判断するだけでは、転送するように設定されたアドレスやサービス番号を用いた不正アクセスは防止できず、不正アクセスに関わるパケットを通過させないという目的には、不十分であるという問題があった。
【００２１】
また、パケットを転送するか否かの判断を行なうための宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等の設定は、利用者や設置場所毎に異なるため、パケット転送装置の設置に伴って、設定を行なう必要があったが、この設定は、比較的困難であり、しばしば誤った設定がなされ、不正アクセスを許してしまうという問題もあった。
【００２２】
また、設定をネットワーク経由で行なうには、ＩＰアドレス等のネットワークアドレスが必要であり、それは、逆に不正アクセスの対象となり得るという問題もあった。
【００２３】
更に、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によって、転送しないと判断するパケットが到着したとしても、それが、必ずしも不正アクセスとは言い切れず、したがって、転送しないと判断するパケットが到着したことを何らかの形で表示したとしても、不正アクセスがなされていることの表示とはならないという問題もあった。
【００２４】
このように、従来のパケット転送装置に於いては、不正アクセス防止に関して、信頼性の面で種々の問題があるとともに、利用者にかかる作業負担が大きいという問題があった。
【００２５】
本発明は上記実情に鑑みなされたもので、利用者に大きな作業負担をかけることなく、信頼性の高い不正アクセスの防止機能を実現できるパケット転送装置、及びパケット転送方法を提供することを目的とする。
【００２６】
また本発明は、送信元より転送されたパケット（受信パケット）の内容を送出して不正アクセスに関わるパケットでないことを判定する機能をもつことで、不正アクセスに関わるパケットの転送を確実に防止することのできる、信頼性の高い不正アクセスの防止機能が実現できるパケット転送装置、及びパケット転送方法を提供することを目的とする。
【００２７】
また本発明は、宛先／送信元ＭＡＣアドレスや、上位のプロトコルの宛先／送信元アドレスや、サービス番号等によって、受信パケットを転送するか否かを判断するだけでは防止できない不正アクセスに関わるパケットを通過させないパケット転送機構、パケットを転送するか否かの判断を行なうための設定を利用者が行なうことなく不正アクセスに関わるパケットを通過させないパケット転送機構、自身が不正アクセスの対象となることを防ぐことのできるパケット転送機構、不正アクセスが為されていることを表示可能なパケット転送機構、等を容易に実現することのできるパケット転送装置、及びパケット転送方法を提供することを目的とする。
【００２８】
【課題を解決するための手段】
本発明は、少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、予め設定された条件に基づいて、前記第１のネットワークセグメントを介して受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析するパケット解析手段と、前記パケット解析手段によって前記受信パケットが前記誤動作させる要因を含む不正パケットであると判定した際に、当該不正パケットを破棄し、正常なパケットであると判定した前記受信パケットのみを前記第２のネットワークセグメントに送出するパケット送出手段と、前記パケット解析手段によって正常なパケットであると判定され前記パケット送出手段により前記第２のネットワークセグメントに送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とする。
【００２９】
また、本発明は、少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、前記第１のネットワークセグメントからのパケットを受信するパケット受信手段と、前記パケット受信手段で受信した受信パケットに識別子を付加する識別子付加手段と、前記識別子が付加された前記受信パケットを一時保留するパケット保留キューと、予め設定された条件に基づいて、前記パケット受信手段で受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力するパケット解析手段と、前記パケット解析手段より出力された前記識別子を受信し、前記パケット保留キューから受信した前記識別子を持つ受信パケットを取り出し、前記第２のネットワークセグメントへ送出するパケット送出手段と、前記パケット解析手段によって、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定され前記パケット送出手段により前記第２のネットワークセグメントに送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とする。
【００３０】
また、本発明は、少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、前記ネットワークセグメントからのパケットを受信するパケット受信手段と、前記パケット受信手段で受信した受信パケットに識別子を付加する識別子付加手段と、前記識別子が付加された前記受信パケットを一時保留するパケット保留キューと、予め設定された条件に基づいて、前記パケット受信手段で受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力するパケット解析手段と、前記パケット解析手段より出力された前記識別子を受信し、前記パケット保留キューから受信した前記識別子を持つ受信パケットを取り出し、当該受信パケットに含まれる宛先ＭＡＣアドレスから送出すべきネットワークセグメントを判定する送出セグメント判定手段と、前記送出セグメント判定手段によって判定されたネットワークセグメントへ前記パケット保留キューから取り出した前記受信パケットを送出する１つ又は複数の送出手段と、前記パケット解析手段によって、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定され前記パケット送出手段により送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とする。
【００３１】
また、本発明は、少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、前記ネットワークセグメントからのパケットを受信する受信手段と、前記受信手段で受信した受信パケットに識別子を付加する識別子付加手段と、前記識別子が付加された前記受信パケットを送出先のネットワークセグメント毎に一時保留する複数のパケット保留キューと、前記識別子が付加された前記受信パケットに含まれる宛先ＭＡＣアドレスから前記受信パケットの送出先ネットワークセグメントを判定し、当該ネットワークセグメントに対応する前記パケット保留キューに前記識別子が付加されたパケットを格納する送出セグメント判定手段と、予め設定された条件に基づいて、前記パケット受信手段が受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力するパケット解析手段と、前記パケット保留キューに対応して設けられる複数の送出手段であって、前記パケット解析手段より出力された前記識別子を受信し、前記識別子を持つ受信パケットを保留している前記パケット保留キューから当該受信パケットを取り出し、対応付けられた前記ネットワークセグメントへ送出する送出手段と、前記パケット解析手段によって、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定され前記パケット送出手段により送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記送出先のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とする。
【００４６】
また、本発明は、少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送方法において、予め設定された条件に基づいて、前記第１のネットワークセグメントを介して受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定するステップと、前記受信パケットが前記誤動作させる要因を含む不正パケットであると判定した際に、当該不正パケットを破棄し、正常なパケットであると判定した前記受信パケットを前記第２のネットワークセグメントに送出するステップと、正常なパケットであると判定され前記第２のネットワークセグメントに送出された送出済みパケットを保持するステップとを具備し、前記判定ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とする。
【００４７】
また、本発明は、少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送方法において、前記第１のネットワークセグメントからのパケットを受信するステップと、前記受信した受信パケットに識別子を付加するステップと、前記識別子が付加された前記受信パケットを一時保留するステップと、予め設定された条件に基づいて、前記受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力する解析ステップと、前記出力された前記識別子を受信し、前記一時保留されている前記受信パケットの中から受信した前記識別子を持つ受信パケットを取り出し、前記第２のネットワークセグメントへ送出するステップと、正常なパケットであると判定され前記第２のネットワークセグメントに送出された送出済みパケットを保持するステップとを具備し、前記解析ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とする。
【００４８】
また、本発明は、少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送方法であって、前記ネットワークセグメントの一つからパケットを受信するステップと、前記受信した受信パケットに識別子を付加するステップと、前記識別子が付加された前記受信パケットを一時保留するステップと、予め設定された条件に基づいて、前記受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力する解析ステップと、前記出力された識別子を受信し、前記一時保留されている前記受信パケットの中から受信した前記識別子を持つ前記受信パケットを取り出し、当該受信パケットに含まれる宛先ＭＡＣアドレスから送出すべきネットワークセグメントを判定する送出セグメント判定ステップと、前記判定された送出すべきネットワークセグメントへ前記取り出した受信パケット送出するステップと、正常なパケットであると判定され前記送出された送出済みパケットを保持するステップとを具備し、前記解析ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記受信パケットを送出すべきネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とする。
【００４９】
また、本発明は、少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送方法であって、前記ネットワークセグメントの一つからパケットを受信するステップと、前記受信した受信パケットに識別子を付加するステップと、前記識別子が付加された前記受信パケットに含まれる宛先ＭＡＣアドレスから当該受信パケットの送出先ネットワークセグメントを判定し、この判定に従って前記送出先のネットワークセグメント毎に設けられた一時保留キューに前記識別子が付加された前記受信パケットを格納するステップと、予め設定された条件に基づいて、前記受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力する解析ステップと、前記解析ステップより出力された前記識別子を受信し、前記識別子を持つ受信パケットを保留している前記パケット保留キューから当該受信パケットを取り出し、対応付けられた前記ネットワークセグメントへ送出するステップと、正常なパケットであると判定され前記送出された送出済みパケットを保持するステップとを具備し、前記解析ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記送出先ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とする。
【００５０】
上記したような不正アクセスに関わるパケットを排除する機能をもつことにより、複数のネットワークセグメントに接続され、セグメント相互の間でパケットを転送するパケット転送装置に於いて、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によってパケットを転送するか否かを判断するだけでは防止できない、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００５１】
また、パケットを転送するか否かの判断を行なうための設定を利用者が行なうことなく、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００５２】
また、ＩＰアドレス等のネットワークアドレスを全く持たないため、自身が不正アクセスの対象となることを防げる、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００５３】
また、不正アクセスが為されていることを表示可能なパケット転送装置を実現することができる。
【００５４】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態を説明する。
【００５５】
先ず図１を参照して本発明の第１実施形態を説明する。
【００５６】
図１は本発明の第１実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。この図１に示す第１実施形態では、パケット転送装置の片方向の転送についてのみ、不正アクセスに関わるパケットの通過を防ぐ機能を備えた構成を例示している。
【００５７】
図１に示すパケット転送装置１０に於いて、パケット受信部１１と、パケット送出部１４は、それぞれ異なるネットワークセグメント（セグメントＡ−セグメントＢ）相互の間に接続される。ここではパケット受信部１１が接続されているネットワークセグメントＡから、パケット送出部１４が接続されているネットワークセグメントＢへパケットを転送する例を示している。
【００５８】
パケット受信部１１は、ネットワークセグメントＡ上のパケットを受信する。パケット識別子付加機構１２は、受信したパケットに識別子を付加する。パケット保留キュー１３は識別子を付加されたパケットを、パケット解析機構１５が、不正アクセスに関わるパケットで無いことを判定するまで一時保留する。パケット解析機構１５は、受信パケットを送出し、不正アクセスに関わるパケットで無いことを判定したパケットの識別子をパケット送出部１４に伝える。パケット送出部１４は、パケット解析機構１５から伝えられた識別子と同じ識別子が付加されている受信パケットをパケット保留キュー１３から取り出し、当該パケットをネットワークセグメントＢへ送出する。
【００５９】
ここで、上記各図を参照して本発明の第１実施形態に於ける動作を説明する。
【００６０】
図１に示すパケット転送装置１０に於いて、パケット受信部１１はネットワークセグメントＡに接続される送信側システム（又は端末、又は装置）から送信されたパケットを順次受信する。
【００６１】
パケット識別子付加機構１２は、受信されたパケットに、装置内でユニークな識別子を付加する。この際の識別子としては、例えば、１，２，３，４と連番を付してゆく方法がある。また、パケットの到着時刻を用いる方法もある。あるいは、パケットを格納した記憶装置の番地を利用する方法もある。
【００６２】
上記パケット識別子付加機構１２により識別子が付加されたパケットは、パケット保留キュー１３に格納されるとともに、パケット解析機構１５に渡される。
【００６３】
パケット解析機構１５には、予め、不正アクセスに関わるパケットを識別するための判定情報が格納されているデータベース１５０が設けられる。このデータベース１５０には、少なくとも過去に受信した不正アクセスに関わるパケットに含まれていた文字列（判定情報）が格納されている。
【００６４】
パケット識別子付加機構１２から受信パケットを渡されたパケット解析機構１５は、当該受信パケットをデータベース１５０に格納された判定情報に基づいて、不正アクセスに関わるか否かを判定する。データベース１５０には判定情報として、不正アクセスに関わるパケットに含まれる文字列の一覧が格納されている。パケット解析機構１５は、データベース１５０に格納された文字列一覧に含まれる文字列を受信パケットと逐次比較し、当該文字列一覧に含まれる文字列のいずれかが、受信パケットに含まれていた場合、当該受信パケットが不正アクセスに関わるものであると判定できる。受信パケットが不正アクセスに関わるものでは無いパケットであると判定した場合、パケット解析機構１５は、当該受信パケットに付加された識別子をパケット送出部１４に伝える。
【００６５】
識別子を伝えられたパケット送出部１４は、パケット保留キュー１３から、当該識別子を持つ受信パケットを取り出し、ネットワークセグメントＢを介して受信側システム（又は端末、又は装置）に送出する。
【００６６】
パケット解析機構１５に於いて、不正アクセスに関わるパケットであると判定された受信パケットは、パケット保留キュー１３に残され、明示的な指示あるいは、パケット保留キュー１３からの溢れによる等の暗黙的な手段によって破棄される。
【００６７】
この一連の動作によって、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００６８】
また、パケット解析機構１５のデータベース１５０に格納される、不正アクセスに関わるパケットを識別するための判定情報には、パケットデータの内容に関わるものをも含めることが可能であるため、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によって、パケットを転送するか否かを判断するだけでは防止できない不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００６９】
また、このパケット解析機構１５のデータベース１５０に予め格納される、不正アクセスに関わるパケットを識別するための判定情報は、利用者や設置場所によらず、同一のものを利用可能であるため、利用者がパケットを転送するか否かの判断を行なうための設定を行なうこと無く不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００７０】
また、このパケット転送装置自身は、その動作を行なう上で、ＩＰアドレス等のネットワークアドレスを全く持つ必要が無いため、自身が不正アクセスの対象となることを防ぎ、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。さらに、パケットデータの内容も、不正アクセスに関わるパケットを識別するための情報として利用することが可能であるため、明らかに不正アクセスに関わるパケットであるものを判定可能となる。例えば、アプリケーションプログラムに対して、規定より異常に長い文字列を送るようなパケットは、明らかに不正アクセスに関わるパケットであると判定できる。また、特定のデータ列が、アプリケーションプログラムやＯＳの誤動作を引き起こすことが知られている場合、当該データ列を含むパケットは、やはり、明らかに不正アクセスに関わるパケットであると判定できる。これらの、明らかに不正アクセスに関わるパケットであると判定できるパケットであると送出した場合に、利用者に表示することで、不正アクセスが成されていること、あるいは成されたことを表示可能なパケット転送装置を実現することができる。
【００７１】
次に図２を参照して本発明の第２実施形態を説明する。
【００７２】
図２は本発明の第２実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【００７３】
この図２に示す第２実施形態では、パケット転送装置の両方向の転送について、不正アクセスに関わるパケットの通過を防ぐ機能を備えた構成を例示している。
【００７４】
この図２に示すパケット転送装置２０は、ネットワークセグメントＡからネットワークセグメントＢへの不正アクセスに関わるパケットの通過を防ぐことができるとともに、ネットワークセグメントＢからネットワークセグメントＡへの不正アクセスに関わるパケットの通過を防ぐことができる。
【００７５】
即ち、パケット転送装置２０に於いて、パケット受信部２１ａはネットワークセグメントＡより一つのパケットを受信する。
【００７６】
パケット識別子付加機構２２ａは、受信されたパケットに、装置内でユニークな識別子を付加する。
【００７７】
上記パケット識別子付加機構２２ａにより識別子が付加された受信パケットは、パケット保留キュー２３ａに格納されるとともに、パケット解析機構２５ａに渡される。パケット解析機構２５ａのデータベース２５０ａには、予め不正アクセスに関わるパケットを識別するための判定情報が格納されている。
【００７８】
パケット識別子付加機構２２ａからパケットを渡されたパケット解析機構２５ａは、受信パケットをデータベース２５０ａに格納された判定情報に基づいて解析し、受信パケットが不正アクセスに関わるか否かを判定する。受信パケットが不正アクセスに関わるものでは無いパケットであると判定した場合、パケット解析機構２５ａは、当該受信パケットに付加された識別子をパケット送出部２４ｂに伝える。この識別子を受信したパケット送出部２４ｂは、パケット保留キュー２３ａから、当該識別子を持つ受信パケットを取り出し、ネットワークセグメントＢに送出する。
【００７９】
パケット解析機構２５ａに於いて、不正アクセスに関わるパケットであると判定された受信パケットは、パケット保留キュー２３ａに残され、明示的な指示あるいは、パケット保留キュー２３ａからの溢れによる等の暗黙的な手段によって破棄される。
【００８０】
一方、パケット受信部２１ｂはネットワークセグメントＢより一つのパケットを受信する。パケット識別子付加機構２２ｂは、受信したパケットに、装置内でユニークな識別子を付加する。
【００８１】
上記パケット識別子付加機構２２ｂにより識別子が付加された受信パケットは、パケット保留キュー２３ｂに格納されるとともに、パケット解析機構２５ｂに渡される。パケット解析機構２５ｂのデータベース２５０ｂには、予め不正アクセスに関わるパケットを識別するための判定情報が格納されている。
【００８２】
パケット識別子付加機構２２ｂから受信パケットを渡されたパケット解析機構２５ｂは、受信パケットをデータベース２５０ｂに格納された判定情報に基づいて解析し、受信パケットが不正アクセスに関わるか否かを判定する。受信パケットが不正アクセスに関わるものでは無いパケットであると判定した場合、パケット解析機構２５ｂは、当該受信パケットに付加された識別子をパケット送出部２４ａに伝える。
【００８３】
識別子を伝えられたパケット送出部２４ａは、パケット保留キュー２３ｂから、当該識別子を持つ受信パケットを取り出し、ネットワークセグメントＡに送出する。
【００８４】
パケット解析機構２５ｂに於いて、不正アクセスに関わるパケットであると判定された受信パケットは、パケット保留キュー２３ｂに残され、明示的な指示あるいは、パケット保留キュー２３ｂからの溢れによる等の暗黙的な手段によって破棄される。
【００８５】
このような動作によって、ネットワークセグメントＡからネットワークセグメントＢへのパケット転送、およびネットワークセグメントＢからネットワークセグメントＡへのパケット転送について、その何れに於いても不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。
【００８６】
次に図３を参照して本発明の第３実施形態を説明する。
【００８７】
図３は本発明の第３実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【００８８】
この図３に示す第３実施形態では、パケット転送装置の片方向の転送について、不正アクセスに関わるパケットの通過を防ぐ機能を備えた構成を例示している。
【００８９】
この図３に示すパケット転送装置３０は、上記図２に示す第２実施形態の構成の簡素化を図ったもので、ネットワークセグメントＡからネットワークセグメントＢへの不正アクセスに関わるパケットに関してはその通過を防ぐが、ネットワークセグメントＢからネットワークセグメントＡへのパケット転送についてはパケットの通過を防げない構成としている。この図３に示す構成のパケット転送装置３０は、外部ネットワークとの接続点に設けられるような場合（例えばネットワークセグメントＢに接続されるシステムにおいて自己管理が可能な構内等のネットワークシステムであり、ネットワークセグメントＡが外界のネットワークシステムであるような場合）に、上記図２に示す第２実施形態に示すパケット転送装置２０に比して構成を簡素化できる。
【００９０】
パケット転送装置３０に於いて、パケット受信部３１ａはネットワークセグメントＡより一つのパケットを受信する。パケット識別子付加機構３２は、パケット受信部３１ａからの受信パケットに対し、装置内でユニークな識別子を付加する。
【００９１】
上記パケット識別子付加機構３２により識別子が付加された受信パケットは、パケット保留キュー３３に格納されるとともに、パケット解析機構３５に渡される。パケット解析機構３５のデータベース３５０には、予め不正アクセスに関わるパケットを識別するための判定情報が格納されている。
【００９２】
パケット識別子付加機構３２から受信パケットを渡されたパケット解析機構３５は、受信パケットをデータベース３５０に格納された識別情報に基づいて解析し、受信パケットが不正アクセスに関わるか否かを判定する。受信パケットが不正アクセスに関わるものでは無いパケットであると判定した場合、パケット解析機構３５は、当該受信パケットに付加された識別子をパケット送出部３４ｂに伝える。
【００９３】
識別子を伝えられたパケット送出部３４ｂは、パケット保留キュー３３から、当該識別子を持つ受信パケットを取り出し、ネットワークセグメントＢに送出する。
【００９４】
パケット解析機構３５に於いて、不正アクセスに関わるパケットであると判定されたパケットは、パケット保留キュー３３に残され、明示的な指示あるいは、パケット保留キュー３３からの溢れによる等の暗黙的な手段によって破棄される。
【００９５】
一方、パケット受信部３１ｂはネットワークセグメントＢより一つのパケットを受信すると、当該パケットをそのまま（スルーモードで）パケット送出部３４ａに渡す。パケット送出部３４ａは、パケット受信部３１ｂより受けたパケットをネットワークセグメントＡに送出する。
【００９６】
このような動作によって、ネットワークセグメントＡからネットワークセグメントＢへのパケット転送については、不正アクセスに関わるパケットを通過させることないよう厳重に管理され、逆方向の転送については不正アクセスに関する防御機能を簡略したパケット転送装置を実現することができる。
【００９７】
次に図４、図５を参照して本発明の第４実施形態、および第５実施形態を説明する。
【００９８】
図４は、本発明の第４実施形態によるパケット転送装置の要部の構成要素を示すブロック図であり、図５は、本発明の第５実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【００９９】
この図４および図５に示す各実施形態では、何れに於いても、送出すべきネットワークセグメントを判定できた場合、判定されたネットワークセグメントのみに送出することで、判定されたネットワークセグメント以外のネットワークセグメントのトラフィックを削減することを可能にしている。
【０１００】
本発明に係るパケット転送装置が、３つ以上のネットワークセグメント間でパケットを転送する場合、あるネットワークセグメントから受信したパケットを、当該ネットワークセグメント以外の全てのネットワークセグメントに送出する方法がある。また、パケットの宛先ＭＡＣアドレスから、送出すべきネットワークセグメントを判定し、判定できた場合は、判定されたネットワークセグメントのみに送出することで、判定されたネットワークセグメント以外のネットワークセグメントのトラフィックを削減する方法もある。
【０１０１】
図４に示す第４実施形態では、各送出セグメントに対して、パケット保留キューを共通としたパケット転送装置４０の構成を示している。ここでは、パケット解析機構４５により、パケットが不正アクセスに関わるか否かを判定した後に、送出すべきネットワークセグメントを判定する構成としている。
【０１０２】
上記図４に示す構成のパケット転送装置４０に於いて、パケット受信部４１により受信され、パケット識別子付加機構４２によって識別子が付加された受信パケットは、全ての送出セグメントに共通のパケット保留キュー４３に格納される。
【０１０３】
パケット解析機構４５はデータベース４５０に格納された判定情報に基づき、受信パケットが不正アクセスに関わるか否かを判定し、不正アクセスに関わるパケットでは無いと判定した場合、当該受信パケットの識別子を送出セグメント判定機構４６に通知する。
【０１０４】
パケット解析機構４５より識別子を通知された送出セグメント判定機構４６は、当該識別子を持つ受信パケットをパケット保留キュー４３から取り出し、受信パケットの宛先ＭＡＣアドレスから、送出すべきネットワークセグメントを識別し、識別できた場合は、判定されたネットワークセグメントに対応する少なくとも一つのパケット送出部（４４ａ〜４４ｎのいずれか）に受信パケットを受け渡す。そして、パケット送出部は識別したネットワークセグメントに受信パケットを送出する。また、ネットワークセグメントが識別できなかった場合は、全てのパケット送出部４４ａ〜４４ｎに受信パケットが送られ、パケット送出部４４ａ〜４４ｎに接続されるネットワークセグメントに受信パケットが送出される。
【０１０５】
図５に示す第５実施形態では、送出ネットワークセグメントそれぞれに固有のパケット保留キューを設けたパケット転送装置５０の構成を示している。ここでは、パケット解析機構５５により受信パケットが不正アクセスに関わるか否かを判定する以前に、送出すべきネットワークセグメントを判定する構成としている。
【０１０６】
図５において、パケット受信部５１に受信され、パケット識別子付加機構５２によって識別子が付加された受信パケットは、送出セグメント判定機構５６およびパケット解析機構５５に渡される。
【０１０７】
送出セグメント判定機構５６は、パケット受信部５１で受信され、パケット識別子付加機構５２によって識別子が付加された受信パケットの宛先ＭＡＣアドレスから、送出すべきネットワークセグメントを識別し、その識別したネットワークセグメントに対応するパケット保留キュー（５３ａ〜５３ｎのいずれか）に当該受信パケットを格納する。
【０１０８】
パケット保留キュー５３ａ〜５３ｎは、送出セグメント判定機構５６によって格納された受信パケットを、パケット解析機構５５によって不正アクセスに関わるパケットで無いことが判定されるまで一時保留する。そして、このパケット保留キュー５３ａ〜５３ｎに対応してパケット送出部５４ａ〜５４ｎがそれぞれ接続されている。
【０１０９】
パケット解析機構５５は、データベース５５０に格納された判定情報に基づき、受信パケットが不正アクセスに関わるか否かを判定し、受信パケットが不正アクセスに関わるパケットでは無いと判定した場合、当該受信パケットの識別子をパケット送出部５４ａ〜５４ｎに通知する。
【０１１０】
パケット解析機構５５より識別子を通知されたパケット送出部５４ａ〜５４ｎは、当該識別子を持つ受信パケットが対応して接続されているパケット保留キュー５３ａ〜５３ｎに存在するとき、当該受信パケットを取り出し、対応するネットワークセグメントに送出する。
【０１１１】
また、送出セグメント判定機構５６は、送出すべきネットワークセグメントが認識できなかった場合は、受信パケットを全てのパケット保留キュー５３ａ〜５３ｎに格納する。そして、受信パケットがパケット解析機構５５より不正アクセスではないと判定され、当該受信パケットの識別子がパケット送出部５４ａ〜５４ｎに通知された時、パケット送出部５４ａ〜５４ｎはパケット保留キュー５３ａ〜５３ｎから受信パケットを取り出し、対応する全てのネットワークセグメントにそのパケットを送出する。
【０１１２】
このような構成とすることにより、パケット解析機構５５で不正アクセスに関わるパケットでは無いと判定されてからパケット送出部（５４ａ〜５４ｎ）へ送出されるまでの時間が短縮できる効果がある。
【０１１３】
そして、上記した第４実施形態、第５実施形態によれば、送出すべきネットワークセグメントを識別できた場合は、識別されたネットワークセグメントのみにパケットの送出を行なうことで、識別されたネットワークセグメント以外のネットワークセグメントのトラフィックを削減することが可能となる。
【０１１４】
次に、図６乃至図８を参照して本発明の第６実施形態を説明する。
【０１１５】
図６は、本発明の第６実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。図７および図８は、それぞれ第６実施形態に於ける不正アクセス表示手段の例を示す図である。
【０１１６】
この図６に示す第６実施形態のパケット転送装置６０は、パケット解析機構６５が不正アクセスに関わるパケットであるという判定した受信パケットの存在、構造、形式、受信時刻、送信元の少なくともいずれかを含む詳細情報を不正アクセス履歴として記録し表示する機能を備えている。
【０１１７】
不正アクセス履歴保持機構６６は、パケット解析機構６５が不正アクセスに関わるパケットであるという判定した受信パケットについて、その存在、および受信時刻、送信元等の詳細情報をパケット解析機構６５より取得し、保持する。
【０１１８】
不正アクセス履歴表示機構６７は、不正アクセス履歴保持機構６６が保持する不正アクセス履歴を表示するものである。この際の不正アクセス履歴表示機構６７の具体例を図７、図８にそれぞれ示している。
【０１１９】
上記図６に示す構成のパケット転送装置６０に於いて、パケット識別子付加機構６２は、パケット受信部６１で受信された受信パケットに、装置内でユニークな識別子を付加する。
【０１２０】
上記パケット識別子付加機構６２により識別子が付加された受信パケットは、パケット保留キュー６３に格納されるとともに、パケット解析機構６５に渡される。
【０１２１】
パケット識別子付加機構６２から受信パケットを渡されたパケット解析機構６５は、データベース６５０に格納された判定情報に基づき解析し、当該受信パケットが不正アクセスに関わるか否かを判定する。
【０１２２】
したがって、パケット解析機構６５はパケット受信部６１を介して不正アクセスに関わるパケットが受信されると、当該受信パケットが不正アクセスであると判定する。この際、パケット解析機構６５は、当該受信パケットの識別子をパケット送出部６４へ送出せず、不正アクセスに関わるパケットが受信側ネットワークセグメントに転送されないことは上記した各実施形態と同様である。
【０１２３】
この第６実施形態に於いては、上記パケット解析機構６５が不正アクセスに関わるパケットであると判定した際、不正アクセス履歴保持機構６６に不正アクセスの存在、並びに受信時刻や送信元、送信先、不正の種類などの情報を不正アクセス履歴情報として送出する。
【０１２４】
不正アクセス履歴保持機構６６は、上記パケット解析機構６５より取得した不正アクセス履歴を保持し、利用者が不正アクセス履歴の消去の作業を行なうまでそれを保持する。
【０１２５】
不正アクセス履歴表示機構６７は、不正アクセス履歴保持機構６６に保持されている、不正アクセスに関わるパケットの存在、受信時刻、送信元、送信先、およびパケット解析機構６５が判定した不正の種類等の不正アクセス履歴情報の内容を表示する。
【０１２６】
この際の不正アクセス履歴表示機構６７の具体的な構成例としては、図７に示すのように、パケット転送装置６０の筐体に設けられた、例えばＬＥＤ等を用いた不正アクセス表示器６７Ａを点灯駆動して、不正アクセスの存在を利用者に報知する構成とする。または、図８に示すように、不正アクセスの時刻、送信元、送信先、不正の種類などを例えばＬＣＤ等を用いた不正アクセス表示装置６７Ｂに文字表示して、利用者に、不正アクセスの時刻、送信元、送信先、不正の種類などの詳細情報を報知する構成とする。さらに、履歴情報を遡って表示するためのスイッチを備えて、利用者が、不正アクセスの履歴情報を遡って確認できるようにすることもできる。
【０１２７】
次に、図９乃至図１２を参照して本発明の第７実施形態を説明する。
【０１２８】
図９は、本発明の第７実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【０１２９】
この図９に示す第７実施形態のパケット転送装置７０は、複数のパケットが必要なパケットの解析時に参照される送出済みのパケットを保持する送出済みパケット保持機構７６を具備したことを特徴とする。
【０１３０】
送出済みパケット保持機構７６は、パケット解析機構７５が受信パケットを送出する際に参照されるもので、パケット解析機構７５が解析処理した送出済みのパケットを保持する機能をもつ。
【０１３１】
パケット解析機構７５は、パケット受信部７１がパケットを受信し、パケット識別子付加機構７２が識別子を付加した受信パケットを解析する際に、当該受信パケットに加えて、当該受信パケット以前に送出した送出済みパケットをあわせて参照し、不正アクセスに関わるパケットであるか否かを判定する。
【０１３２】
上記図９に示す構成のパケット転送装置７０に於いて、パケット受信部７１で受信され、パケット識別子付加機構７２により識別子が付加された受信パケットは、パケット保留キュー７３に格納され、パケット解析機構７５に渡されると同時に送出済みパケット保持機構７６に保持される。
【０１３３】
パケット解析機構７５は、パケット識別子付加機構７２から渡された受信パケットを送出する際に、装置内に組み込まれた後述するパケット解析プログラムによる判定情報（他の実施形態と同様にデータベースを参照しても良い）、および送出済みパケット保持機構７６に保持されている当該受信パケット以前に送出したパケットを含めて参照（この参照では、過去に正常なパケットと判定したことを示す）し、パケット識別子付加機構７２から渡された受信パケットが不正アクセスに関わるパケットであるか否かを判定する。
【０１３４】
パケット解析機構７５は、パケット解析プログラムの解析に基づいて、受信パケットが不正アクセスに関わるパケットであると判定した場合、送出済みパケット保持機構７６に保持されている当該受信パケット（不正アクセスのパケット）を破棄する。これにより、以降の解析において、送出したパケットのみを参照することとなり、より正確な解析を可能とする。
【０１３５】
送出済みパケット保持機構７６に、保持されているパケットを、例えば、格納してから一定期間過ぎたら破棄する方法や、宛先毎に予め指定した特定のデータ量を越えたら、越えた分、到着順序に従い破棄する方法などによって、送出済みパケット保持機構７６に新しいパケットが格納できなくなることを防ぐ機構が設けられる。
【０１３６】
また、送出済みパケット保持機構７６に、パケット解析機構７５からの送出済みパケットの参照が容易となるように、例えば、特定の宛先へのパケットのみを取り出す機能や、パケットに含まれる連番の順にパケットを並び替えて取り出す機能が設けられる。これにより、アプリケーションプログラムやＯＳ等に対してバグを引き起こすことが知られている特定のデータ列が、複数のパケットに跨って送られてきた場合など、受信パケットをそれぞれ別個に判定しては見逃してしまうような不正アクセスに関わるパケットであっても見つけることが可能となる。
【０１３７】
図１０は、上述したパケット解析プログラムを用いたパケット解析機構の構成例を示すブロック図である。ここでは、図９に示す第７実施形態に於けるパケット解析機構７５を例にとって示しているが、上述した第１乃至第６の実施形態に示した不正パケット解析用データベースの変わりに、パケット解析機構を適用しても良い。
【０１３８】
図１０に示すパケット転送装置のパケット解析機構７５は、実行プログラムの形式で不正アクセスに関わるパケットの判定を行う処理機能が実現される。
【０１３９】
図１０に示すパケット解析機構７５に於いて、パケット格納部７５１は、命令実行機構７５４からメモリ制御機構７５３を介してアクセスされる記憶装置であり、パケット識別子付加機構７２により識別子が付加された受信パケットや、送出済みパケット保持機構７６に保持されている送出済みパケットが格納される。
【０１４０】
実行命令格納部７５２は、命令実行機構７５４が動作するのに必要なパケット解析プログラムを格納する記憶装置である。
【０１４１】
メモリ制御機構７５３は、命令実行機構７５４からのアクセス要求に基づき、パケット格納部７５１、あるいは実行命令格納部７５２、あるいはその他の記憶装置と命令実行機構７５４との間で、格納されたデータを受け渡す機能を持つ。
【０１４２】
命令実行機構７５４は、メモリ制御機構７５３から渡されるパケット解析プログラムに従い、パケット格納部７５１に格納されたパケットが、不正アクセスに関わるパケットであるか否かを判定するためのパケット解析処理を実行する。
【０１４３】
この命令実行機構７５４の実行結果により、受信パケットが不正アクセスに関わるパケットであるか否かが判定される。そして、当該受信パケットが不正アクセスに関わるパケットで無い場合は、当該受信パケットを送出すべく、パケット送出部７４（あるいは図４、図５に示す送出セグメント判定機構４６，５６）に、当該受信パケットの識別子が伝えられる。
【０１４４】
ここで、図１０に示す構成のパケット解析機構７５に於ける処理動作を、図９に示すパケット転送装置７０を適用した場合を基に説明する。
【０１４５】
図１０に示す構成のパケット解析機構７５に於いて、実行命令格納部７５２には、命令実行機構７５４が動作するのに必要なパケット解析プログラムが予め格納されている。
【０１４６】
図９に示すパケット転送装置７０に於いて、パケット受信部７１で受信されたパケットはパケット識別子機構７２によって識別子が付加される。この識別子が付加された受信パケットは、パケット保留キュー７３に格納され、またパケット解析機構７５に渡されると同時に、送出済みパケット保持機構７６にも格納される。パケット解析機構７５に渡されたパケットは、パケット格納部７５１に格納される。
【０１４７】
パケット格納部７５１に受信パケットを格納する方法としては、パケット識別子付加機構７２、または送出済みパケット保持機構７６から受信パケットをコピーしてくる方法。または、パケット識別子付加機構７２や送出済みパケット保持機構７６と記憶装置（パケット格納部７５１）を共有する方法等がある。送出済みパケット保持機構７６を持つ場合、送出済みパケット保持機構７６に保持されている送出済みパケットもパケット格納部７５１に格納する構成にしてもよい。
【０１４８】
パケット格納部７５１へのパケットの格納が完了すると、命令実行機構７５４の動作が開始される。命令実行機構７５４は、メモリ制御機構７５３を介して実行命令格納部７５２に格納されたパケット解析プログラム（実行プログラム）を先頭から逐次読み出して送出処理を実行する。
【０１４９】
例えば、パケット格納部７５１に格納された受信パケットに、不正アクセスに関わるパケットに含まれる文字列が含まれているか否かを解析する場合、実行命令格納部７５２に格納されたパケット解析プログラムの一部には、不正アクセスに関わるパケットに含まれる文字列の一覧が含まれており、命令実行機構７５４は、メモリ制御機構７５３を介して、当該文字列一覧に含まれる文字列と受信パケットを逐次比較して、当該文字列一覧に含まれる文字列のいずれかが受信パケットに含まれていた場合、当該受信パケットが不正アクセスに関わるものであると判定する。
【０１５０】
また、命令実行機構７５４は、実行命令格納部７５２に格納されたパケット解析プログラムに従い、送出済みパケット保持機構７６が持つ、例えば特定の宛先への受信パケットのみを取り出す機能や、受信パケットに含まれる連番順にパケットを並び替えて取り出す機能等を利用して、送出済みパケット保持機構７６から送出済みのパケットを取り出し、パケット格納部７５１に格納する機能を持つこともできる。
【０１５１】
命令実行機構７５４はパケット解析プログラムの終端まで処理を実行し、受信パケットが不正アクセスに関わるものであるか否かを判定する。
【０１５２】
このような不正アクセスに関わるパケットの判定機能をもつ構造とすることで、例えば、ＯＳの誤動作を引き起こすことが知られている特定のデータ列として、一部のみ異なる複数のデータ列がある場合、共通する部分の比較は一度で完了することが可能となり、不正アクセスに関わるものであるか否かの判定をより高速に行なうことが可能となる。さらに、命令実行機構７５４の動作が停止している期間に、実行命令格納部７５２の実行プログラムを入れ替えると、次のパケットを受信した際に、新しく入れ替えられた実行プログラムにしたがって、解析が開始されることから、パケット解析機構７５の不正アクセスの解析手段を更新することも容易となる。
【０１５３】
図１１及び図１２のフローチャートは、実行命令格納部７５２に格納されるパケット解析プログラムを命令実行機構７５４が実行して、不正アクセスに関わるパケットの判定処理の具体例な処理手順を示す。
【０１５４】
この図１１及び図１２に示す判定処理では、上記パケット格納部７５１に格納された受信パケットについて、先ずヘッダフィールドのオプションや、パラメータの組み合わせがパケット転送先のサーバに誤動作を引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（図１１ステップＳ１１）。即ち、受信パケットのヘッダ部から不審な相手からの送信であったり、形式の異なる怪しいパケットであることを見分ける処理を行なう。
【０１５５】
ここで上記条件を満たしていれば、当該受信パケットは破棄の対象となる（図１１ステップＳ１５）。一方、上記条件を満たしていなければ、次に、断片化されたパケットやＴＰＣ等、判断に他のパケットの情報も必要となるか否かが判断される（図１１ステップＳ１２）。
【０１５６】
他のパケットを必要としない場合は、次にパケットが搬送しているデータの長さ、あるいはデータが指定しているパラメータの組み合わせが、そのデータを処理するアプリケーションに誤動作を引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（図１１ステップＳ１３）。
【０１５７】
ここで上記条件を満たしていれば当該受信パケットは破棄の対象となる（図１１ステップＳ１５）。一方、上記条件を満たしていなければ、当該受信パケットを送出対象パケットとして、パケット送出部７４に当該受信パケットの転送指示を行う（図１１ステップＳ１４）。
【０１５８】
また、上記ステップＳ１２に於いて、他のパケットの情報も必要であると判断された際は、断片化されたパケットで、かつ送出済みパケット保持機構７６から取り出した他の断片化されたパケットとデータ領域がオーバーラップしている等、サーバに誤動作引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（図１２ステップＳ２１）。
【０１５９】
ここで上記条件を満たしていれば当該受信パケットは破棄の対象となる（図１２ステップＳ２６）。一方、上記条件を満たしていなければ、次に、ＴＰＣのパケットで、送出済みパケット保持機構７６から取り出した同一セッションの他のパケットとデータ領域がオーバーラップしている等、サーバに誤動作引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（図１２ステップＳ２２）。
【０１６０】
ここで上記条件を満たしていれば当該受信パケットは破棄の対象となる（図１２ステップＳ２６）。一方、上記条件を満たしていなければ、次に、送出済みパケット保持機構７６から必要に応じた数の同一セッションのパケットを取り出し、送出に充分な長さのデータストリームを再構築し（図１２ステップＳ２３）、当該ＴＣＰデータストリームによって搬送されているデータの長さ、あるいはデータが指定しているパラメータは誤動作を引き起こすとして予め設定された既知の条件を満たしているか否かが判定される（図１２ステップＳ２４）。
【０１６１】
ここで上記条件を満たしていれば当該受信パケットは破棄の対象となる（図１２ステップＳ２６）。一方、上記条件を満たしていなければ、パケット送出部７４に当該受信パケットの転送指示を行う（図１２ステップＳ２５）。
【０１６２】
このような不正アクセスに関わるパケットの判定処理が、パケット受信部７１で受信した各受信パケットについて順次実行される。
【０１６３】
上記したような不正アクセスに関わるパケットを排除する機能をもつことにより、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によってパケットを転送するか否かを判断するだけでは防止できない、不正アクセスに関わるパケットを通過させないパケット転送機構が実現できる。またパケットを転送するか否かの判断を行なうための設定を利用者が行なうことなく不正アクセスに関わるパケットを通過させないパケット転送機構を実現できる。またＩＰアドレス等のネットワークアドレスを全く持たないため、自身が不正アクセスの対象となることを防げる、不正アクセスに関わるパケットを通過させないパケット転送機構が実現できる。
【０１６４】
尚、上記した実行命令格納部７５２に格納される実行プログラム（パケット送出プログラム）は、例えばハードディスク、ＣＤ−ＲＯＭ、半導体メモリ等の各種記憶媒体または記憶装置により提供することも可能である。
【０１６５】
次に、図１３を参照して本発明の第８実施形態を説明する。
【０１６６】
図１３は、本発明の第８実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【０１６７】
この図１３に示す第７実施形態のパケット転送装置８０は、シリアルインタフェース８７を介してパケット解析プログラムを更新する機能を付加したことを特徴とする。
【０１６８】
図１３に示すパケット転送装置８０に於いて、パケット解析機構８５の実行命令格納部８６には、命令実行機構（図１０を参照）が動作するための実行プログラムが格納されている。
【０１６９】
シリアルインタフェース８７は、外部からの解析プログラム更新指示を受信する機能を持つ。解析プログラム更新機構８８は、シリアルインタフェース８７が受信した解析プログラム更新指示に従って、パケット解析機構８５に格納された実行プログラムを更新する機能を持つ。更新指示形式識別機構８９は、シリアルインタフェース８７で受信したデータが、解析プログラム更新指示であるか否かを、当該受信したデータが特定の形式を満たしているか否かによって判定する機能を持つ。
【０１７０】
上記図１３に示すパケット転送装置８０の動作を説明する。
【０１７１】
シリアルインタフェース８７を介して受信されたデータは解析プログラム更新機構８８に渡される。解析プログラム更新機構８８は、更新指示形式識別機構８９によって、シリアルインタフェース８７から渡されたデータが特定の形式を満たしている解析プログラム更新指示であることを確認すると、当該解析プログラム更新指示に含まれている実行プログラムを取り出す。
【０１７２】
更に、解析プログラム更新機構８８は、パケット解析機構８５の命令実行機構が動作中か否かを確認し、動作中の場合は、動作が停止するのを待つ。パケット解析機構８５の命令実行機構が停止していることを確認した場合、解析プログラム更新指示に含まれる実行プログラムをパケット解析機構８５の実行命令格納部８６に格納する。これにより、パケット解析機構８５内の不正アクセスを解析する実行プログラムが更新される。
【０１７３】
次に、図１４を参照して本発明の第９実施形態を説明する。
【０１７４】
図１４は、本発明の第９実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【０１７５】
この図１４に示す第９実施形態のパケット転送装置９０は、ネットワークインタフェース９７を介してパケット解析プログラムを更新する機能を付加したことを特徴とする。この第９の実施形態は、図１３の実施形態のシリアルインタフェース８７がネットワークインタフェース９７に置き換わったものであり、その他の構成は図１３と同じであるためその説明は省略する。
【０１７６】
次に、図１４に示すパケット転送装置９０の動作を説明する。
【０１７７】
ネットワークインタフェース９７を介して受信されたデータは解析プログラム更新機構９８に渡される。解析プログラム更新機構９８は、更新指示形式識別機構９９によって、ネットワークインタフェース９７から渡されたデータが特定の形式を満たしている解析プログラム更新指示であることを確認すると、当該解析プログラム更新指示に含まれている実行プログラムを取り出す。
【０１７８】
更に、解析プログラム更新機構９８は、パケット解析機構９５の命令実行機構が動作中か否かを確認し、動作中の場合は、動作が停止するのを待つ。パケット解析機構９５の命令実行機構が停止していることを確認した場合、解析プログラム更新指示に含まれる実行プログラムをパケット解析機構９５の実行命令格納部９６に格納する。これにより、パケット解析機構９５内の不正アクセスを解析する実行プログラムが更新される。
【０１７９】
次に、図１５を参照して本発明の第１０実施形態を説明する。
【０１８０】
図１５は、本発明の第１０実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。
【０１８１】
この図１５に示す第１０実施形態のパケット転送装置１００は、パケットを利用して実行プログラム（パケット解析プログラム）を更新する機能を付加したことを特徴とする。
【０１８２】
図１５に示すパケット転送装置１００に於いて、パケット解析機構１０５の実行命令格納部１０６には、命令実行機構（図１０を参照）が動作するための実行プログラムが格納されている。
【０１８３】
解析プログラム更新機構１０７は、パケット受信部１０１によって受信された解析プログラム更新指示に従って、パケット解析機構１０５に格納された実行プログラムを更新する機能を持つ。解析プログラム更新機構１０７内の更新指示形式識別機構１０８は、入力されたパケットのデータが特定の形式を満たしているか否かによって、受信パケットが解析プログラム更新指示であるか否かを判定する機能を持つ。
【０１８４】
次に、図１５に示すパケット転送装置１００の動作を説明する。
【０１８５】
パケット受信部１０１で受信されたパケットは、パケット識別子付加機構１０２に渡されるのと同時に、解析プログラム更新機構１０７に渡される。解析プログラム更新機構１０７の更新指示形式識別機構１０８は、入力された受信パケットが解析プログラム更新指示を示す特定の形式を満たしていることを判定する。特定の形式を満たしている場合、その受信パケットは転送されるべきパケットでは無く、解析プログラム更新指示であると判断する。これにより、解析プログラム更新機構１０７は当該受信パケットに含まれる実行プログラムを取り出して、パケット解析機構１０５に送り、実行命令格納部１０６に格納される。
【０１８６】
上記した図１３乃至図１５に示す各実施形態は、何れもパケット解析機構の実行命令格納部に格納される実行プログラムを更新して、最新の不正アクセス解析プログラムが稼動する環境を整えるものであるが、不正な解析プログラム更新指示によって、不正アクセス解析プログラムが不正に更新されてしまい、パケット解析機構が正常に動作しないようにされてしまう可能性がある。
【０１８７】
これを防ぐために、図１６に示すように、更新指示形式識別機構に、電子署名識別機構を備え、解析プログラム更新指示に、電子署名を付加して認証することも可能である。尚、ここでは図１５に示す第１０実施形態を対象にしているが、図１３に示す第８実施形態、図１４に示す第９実施形態に於いても同様に適用可能である。
【０１８８】
図１６は、解析プログラム更新機構１０７の構成を示すブロック図であり、ここでは、解析プログラム更新機構１０７内に更新指示形式識別機構１０８と、更新指示形式識別機構１０８内に電子署名識別機構１０９を備える構成としている。
【０１８９】
即ち、更新指示形式識別機構１０８内の電子署名識別機構１０９は、シリアルインタフェース（図１３）や、ネットワークインタフェース（図１４）から受信したデータや、パケット受信部（図１５）で受信されたパケットに格納されているデータ中に含まれている電子署名が正当な署名であるか否かを判定する。即ち、解析プログラム更新指示を示すデータが、特定の形式を満たしており、かつ当該データ中に含まれている電子署名が正当な署名である場合に、正当な解析プログラム更新指示であると判定する。
【０１９０】
解析プログラム更新機構１０７は、更新指示形式識別機構１０８が、正当な解析プログラム更新指示であると判定した場合、その解析プログラム更新指示に含まれる不正アクセス解析プログラムをパケット解析機構１０５に出力する機能を有する。
【０１９１】
上記の構成において、解析プログラム更新機構１０７に渡されたデータが、解析プログラム更新指示であることを示す特定の形式を満たしており、かつ、電子署名識別機構１０９によって当該データ中に含まれている電子署名が正当な署名である場合、解析プログラム更新機構１０７は正当な解析プログラム更新指示であると判定し、そのデータに含まれる不正アクセス解析プログラムを取り出して、パケット解析機構１０５に送り、パケット解析機構１０５は実行命令格納部１０６に不正アクセス解析プログラムを格納する。これにより、不正な解析プログラム更新指示によって、パケット解析機構が正常に動作しないようにされてしまうことを防げるパケット転送装置を実現することができる。
【０１９２】
次に、図１７を参照して本発明の第１１実施形態を説明する。
【０１９３】
図１７は、本発明の第１１実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。この第１１実施形態のパケット転送装置１１０は、通信用アドレスを予め設定する機能をもつことを特徴とする。
【０１９４】
図１７に示すパケット転送装置１１０に於いて、通信用アドレス設定機構１１４は、シリアルインタフェースやネットワークインタフェース等を介して得られる通信用アドレスを、通信用アドレス保持機構１１５に設定する機能を持つ。この図１７に示す例では、シリアルインタフェース１１３を介して通信用アドレスを設定する場合を例に示している。
【０１９５】
通信用アドレス保持機構１１５は、通信用アドレス設定機構１１４によって予め設定された通信用アドレスを保持する機能を持つ。
【０１９６】
通信制御機構１１２は、パケット解析プログラムの更新に伴う通信や、装置内情報通知機構１１７がネットワークセグメントに接続される他の装置に対して通知するための通信（以下、これらの通信を特定通信と称する）を制御する装置であり、上記特定通信を行なわないときは、上記通信アドレス宛のパケットは破棄する機能を持つ。また、上記特定通信を行なうときには、上記通信アドレス宛のパケットを受信し、当該パケットに格納された当該特定通信に関わるデータを実行プログラム更新機構１１６や装置内情報通知機構１１７へ渡す機能を持つ。また、上記特定通信に関わるデータ通信時に、実行プログラム更新機構１１６や装置内情報通知機構１１７が送信するデータに当該通信アドレスを送信元として付加してネットワークセグメントへ送出する機能を持つ。
【０１９７】
この実施形態のパケット転送装置１１０には、例えば、図６に示す不正アクセス履歴保持機構６６に保持されている不正アクセス履歴や、その他の装置内部の情報を外部に通知するための装置内情報通知機構１１７を持たせている。装置内情報通知機構１１７は、装置内部の情報を外部へ通知するのに、シリアルインタフェースや、通知用ネットワークインタフェースを利用する。また、装置内情報通知機構１１７は、装置内部の情報を外部に通知するのに、パケット転送の対象である、パケット受信部／パケット送出部が接続されたネットワークセグメントを利用することもできるが、その場合、自身が不正アクセスの対象となることを防ぐために通常動作中は持っていない、ネットワークアドレスが必要となる。
【０１９８】
次に、図１７に示すパケット転送装置１１０の動作を説明する。
【０１９９】
利用者は、通信用アドレス設定機構１１４を利用して、通信用アドレス保持機構１１５に、通信用アドレスを予め設定しておく。図１７の構成では、シリアルインタフェース１１３を介して通信用アドレス設定機構１１４を利用する場合を示しているが、ネットワークインタフェースを利用したり、解析プログラム更新指示と同様の方法で、転送対象のネットワークセグメントを介して、通信用アドレス設定機構１１４を利用することも可能である。
【０２００】
上記特定通信を行なう場合、通信制御機構１１２は、ネットワークセグメントからパケット受信部１１１を介して当該通信アドレス宛のパケットが送信されてきた場合、これを受信し、その受信パケットに含まれる通信に関わるデータを実行プログラム更新機構１１６や装置内情報通知機構１１７へ渡す。そして、実行プログラム更新機構１１６や装置内情報通知機構１１７は特定通信に関わる送信データを、上記通信アドレス宛によって示される送信元のネットワークセグメントへ送出する。しかしながら、通信を行なわないときは、通信制御機構１１２が上記通信アドレス宛のパケットを破棄し、自身が不正アクセスの対象となることを防ぐ。
【０２０１】
次に、図１８および図１９を参照して本発明の第１２実施形態を説明する。
【０２０２】
図１８は、本発明の第１２実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。この図１８に示す第１２実施形態のパケット転送装置１２０は、パケット横奪部１２２を持つ構成としたことを特徴とする。
【０２０３】
図１８に示すパケット転送装置１２０に於いて、通信用アドレス選択機構１２４は、過去に受信したパケットのネットワークアドレスと受信したネットワークセグメントとの対応を保持するアドレス／セグメント対応表１２５を持ち、上記特定通信に関わるパケットの送出先ネットワークセグメントとは異なるネットワークセグメントから、過去に受信したパケットの送信元アドレスのうちの任意の１つを通信用アドレスとして選択し、その選択した通信用アドレスを通信用アドレス保持機構１２６に設定する機能を持つ。
【０２０４】
この際のアドレス／セグメント対応表１２５の一例を図１９に示している。
【０２０５】
通信用アドレス保持機構１２６は、通信用アドレス選択機構１２４によって設定された通信用アドレスを保持する機能を持つ。
【０２０６】
パケット横奪部１２２は、上記特定通信を行なわないときは、通信アドレス宛のパケットをパケット識別子付加機構（図１乃至図６を参照）に渡して、通常の転送処理を行ない、上記特定通信を行なうときは通信アドレス宛のパケットをパケット識別子付加機構に渡さずに横奪する機能を持つ。
【０２０７】
通信制御機構１２３は、上記特定通信を制御する機構であり、受信パケットに含まれる通信に関わるデータを実行プログラム更新機構１２７や、装置内情報通知機構１２８へ渡す。また、実行プログラム更新機構１２７や装置内情報通知機構１２８が送信するデータに、当該通信アドレスを送信元として付加してネットワークセグメントへ送出する機能を持つ。
【０２０８】
次に、図１８に示すパケット転送装置１２０の動作を説明する。
【０２０９】
通信用アドレス選択機構１２４は、内蔵するアドレス／セグメント対応表１２５を参照して、特定通信に関わるパケットの送出先となるネットワークセグメントから、過去に受信したパケットの送信元アドレスの１つを通信用アドレスとして選択する。
【０２１０】
ここで、アドレス／セグメント対応表１２５に保持された、アドレスと受信したネットワークセグメントの対応が、例えば図１９に示す内容であるとする。ここで、上記特定通信を行なう相手が、［１９２．１６８．７．４２］のネットワークアドレスを持っているとすると、上記特定通信に関わるパケットを送出すべきネットワークセグメントはセグメントＢであることが判る。
【０２１１】
したがって、上記特定通信に関わるパケットを送出すべきネットワークセグメント（セグメントＢ）と異なるネットワークセグメントとはセグメントＡであり、通信用アドレスとしては、［１９２．１６８．０．２１］、あるいは［１９２．１６８．３．１３４］のいずれかを選択すれば良いこととなる。
【０２１２】
例えば、アドレス／セグメント対応表１２５の先頭に最も近いセグメントＡを選択するとすると、アドレスは［１９２．１６８．０．２１］となる。この際、もしも、上記特定通信を行なう相手のネットワークアドレスが、アドレス／セグメント対応表１２５に存在しなかった場合は、各々のネットワークセグメント上のアドレスを任意に選択し、そのアドレスを用いてアドレス設定を行う。このアドレス設定の結果、いずれかのネットワークセグメント上で、アドレス設定の応答パケットを受信できると、アドレス／セグメント対応表１２５に当該通信を行なう相手のネットワークアドレスとネットワークセグメントが登録されるので、改めて当該ネットワークアドレスを通信用アドレスとして選択する。
【０２１３】
通信用アドレスをこのように選択することで、当該通信アドレスが指定されている応答パケットがパケット転送装置１２０のパケット受信部１２１に送信される。パケット横奪部１２２は、上記特定通信を行なわないときは、セグメントＡの通信アドレス宛のパケットは、パケット識別子付加機構に渡して通常の転送処理を行なう。一方、上記特定通信を行なうときは、セグメントＡの通信アドレス宛のパケットを横奪して、当該通信用アドレスの本来の持ち主にパケットが渡らないようにする。
【０２１４】
パケット横奪部１２２は、通信制御機構１２３が送出したパケットに対するネットワークセグメントからの応答パケットのみを横奪することで、当該通信用アドレスの本来の持ち主の通信への影響を最小限にすることも可能である。この場合、当該通信用アドレスの本来の持ち主の通信と区別ができるように、当該通信用アドレスの本来の持ち主が、この実施形態によるパケット転送装置１２０を経由する通信で用いているポート番号等を保存しておき、当該装置の通信時は、それらと重ならないようにして当該通信用アドレスの本来の持ち主の通信と区別できるようにする等の仕組みを用意する必要がある。このようにすることで、自身への不正アクセスを防ぎつつ、解析プログラムの更新に伴う通信や、装置内情報通知機構が他の装置に対して装置内部の情報を通知するための特定通信が可能となる。
【０２１５】
上記した図１７、若しくは図１８に示した各実施形態の構造をもつことによって、解析プログラムの更新に伴う通信や、装置内情報通知機構が他の装置に対して装置内部の情報を通知するための通信、等の特定の通信を行なっているとき以外は、ネットワークアドレスを持たないため、自身への不正アクセスを防げるパケット転送装置を実現することができる。
【０２１６】
次に、図２０および図２１を参照して本発明の第１３実施形態を説明する。
【０２１７】
図２０は、本発明の第１３実施形態によるパケット転送装置の要部の構成要素を示すブロック図である。この図２０に示す第１３実施形態のパケット転送装置１３０は、通信開始指示形式識別機構１３３を具備することを特徴とする。
【０２１８】
通信開始指示形式識別機構１３３は、パケット受信部１３１で受信されたパケットが、通信開始指示を示す特定の形式を満たしているデータであることを識別して、通信制御機構１３４に通信開始を通知する機能を持つ。
【０２１９】
通信制御機構１３４は、通信開始指示形式識別機構１３３からの通信開始の通知を受けると、通信用アドレス保持機構１３６に保持された通信用アドレス、あるいは通信用アドレス選択機構１３５が選択した通信用アドレスを用いた通信を開始する機能を持つ。
【０２２０】
次に、図２０に示すパケット転送装置１３０の動作を説明する。
【０２２１】
上記した図１７および図１８に示す各実施形態の構造によって、上記特定通信を行なっているとき以外は、ネットワークアドレスを持たないパケット転送装置を実現した場合、上記実施形態のパケット転送装置から他の装置に対して通信を開始することが可能であるが、他の装置から上記実施形態のパケット転送装置へ対する通信を開始しようとしても、ネットワークアドレスを持たないため、通信が不可能である。そこで、この図２０に示す第１３実施形態のパケット転送装置１３０では、他の装置からパケット転送装置１３０に対する通信を開始することができるようにするため、通信開始指示形式識別機構１３３を持つ。
【０２２２】
パケット受信部１３１で受信されたパケットは、パケット識別子付加機構（図１乃至図６など参照）等に渡されるのと同時に、通信開始指示形式識別機構１３３にも渡される。通信開始指示形式識別機構１３３は、受信したパケットの形式が、通信開始指示を示す特定の形式を満たしているか否かを判定する。
【０２２３】
特定の形式を満たしている場合、受信したパケットは、ネットワークセグメントに送出されるべきパケットでは無く、パケット転送装置１３０に対する通信開始指示であると判断し、通信制御機構１３４は通信開始を指示する。この図２０に示す例では、通信制御機構１３４が通信用アドレス選択機構１３５で選択した通信用アドレスを用いて通信を開始すると想定する。
【０２２４】
このようにすることで、解析プログラムの更新に伴う通信や、装置内情報通知機構１３８が他の装置に対して装置内部の情報を通知するための通信、等でなる特定通信を行なっているとき以外は、パケット転送装置１３０はネットワークアドレスを持たないため、自身への不正アクセスを防ぐことができ、かつ他の装置からパケット転送装置１３０に対する通信を開始することが可能なパケット転送機能を実現することができる。
【０２２５】
上記した実施形態に於いては、外部から通信を開始する機能を持つ場合、不正な通信開始指示によって通信を開始され、自身が不正アクセスの対象とされてしまう可能性がある。これを防ぐために、図２１に示すように、通信開始指示形式識別機構１３３に、電子署名識別機構１３９を備え、通信開始指示に、電子署名を付加して認証することも可能である。
【０２２６】
図２１に示すように、通信開始指示形式識別機構１３３内には電子署名識別機構１３９が設けられ、この電子署名識別機構１３９は通信開始指示のデータ中に含まれている電子署名が正当な署名であるか否かを判定して、電子署名が正当な署名である場合に、当該データは正当な通信開始指示であると判定し、通信制御機構１３４に通信開始を通知する。
【０２２７】
通信制御機構１３４は、通信開始指示形式識別機構１３３から通信開始の通知を受けると、通信用アドレス保持機構１３６に保持された通信用アドレス、あるいは通信用アドレス選択機構１３５が選択した通信用アドレスを用いた通信を開始する。
【０２２８】
これにより、不正な通信開始指示によって、通信を開始され、自身が不正アクセスの対象とされてしまうことを防げるパケット転送装置を実現することができる。
【０２２９】
尚、上記した図１３乃至図２０に示す各実施形態に於いて扱われるパケット解析プログラムは、例えばハードディスク、ＣＤ−ＲＯＭ、半導体メモリ等の各種記憶媒体または記憶装置により装置個々に個別に提供することも可能である。
【０２３０】
上記したような本発明の実施形態により、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によってパケットを転送するか否かを判断するだけでは防止できない、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。また、パケットを転送するか否かの判断を行なうための設定を利用者が行なうことなく、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。また、ＩＰアドレス等のネットワークアドレスを全く持たないため、自身が不正アクセスの対象となることを防げる、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。また、不正アクセスが為されていることを表示可能なパケット転送装置を実現することができる。
【０２３１】
更に、上記した実施形態の機能を、図２２乃至図２４を参照して説明した既存の不正アクセス防止機能と組み合わせることで、より信頼性の高い不正アクセスに関わるパケットの転送防止機能を実現することができる。
【０２３２】
【発明の効果】
以上詳記したように本発明によれば、利用者に大きな作業負担をかけることなく、信頼性の高い不正アクセスの防止機能を実現できる。更に本発明によれば、送信元より転送されたパケットの内容を送出して不正アクセスに関わるパケットでないことを判定する機能をもつことで、不正アクセスに関わるパケットの転送を確実に防止でき、信頼性の高い不正アクセスの防止機能が実現できる。即ち本発明によれば、宛先／送信元ＭＡＣアドレスや、さらに上位のプロトコルの宛先／送信元アドレスやサービス番号等によってパケットを転送するか否かを判断するだけでは防止できない、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。またパケットを転送するか否かの判断を行なうための設定を利用者が行なうことなく不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。またＩＰアドレス等のネットワークアドレスを全く持たないため、自身が不正アクセスの対象となることを防ぐことのできる、不正アクセスに関わるパケットを通過させないパケット転送装置を実現することができる。更に不正アクセスが為されていることを表示可能なパケット転送装置を実現することができる。
【図面の簡単な説明】
【図１】本発明の第１実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図２】本発明の第２実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図３】本発明の第３実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図４】本発明の第４実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図５】本発明の第５実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図６】本発明の第６実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図７】上記第６実施形態に於ける不正アクセス表示手段の第１の例を示す図。
【図８】上記第６実施形態に於ける不正アクセス表示手段の第２の例を示す図。
【図９】本発明の第７実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１０】上記第７実施形態に於けるパケット解析機構の構成例を示すブロック図。
【図１１】上記第７実施形態に於ける不正アクセスに関わるパケットの判定処理の処理手順を示すフローチャート。
【図１２】上記第７実施形態に於ける不正アクセスに関わるパケットの判定処理の処理手順を示すフローチャート。
【図１３】本発明の第８実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１４】本発明の第９実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１５】本発明の第１０実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１６】上記第１０実施形態に於ける解析プログラム更新機構の構成を示すブロック図。
【図１７】本発明の第１１実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１８】本発明の第１２実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図１９】上記第１２実施形態に於けるアドレス／セグメント対応表の構成例を示す図。
【図２０】本発明の第１３実施形態によるパケット転送装置の要部の構成要素を示すブロック図。
【図２１】上記第１３実施形態に於ける通信開始識別機構の他の構成例を示すブロック図。
【図２２】従来のパケット転送装置の構成を示すブロック図。
【図２３】上記図２２に示す従来のパケット転送装置のネットワーク構成例を示すブロック図。
【図２４】上記図２３に示す従来のパケット転送装置のルール保持部に格納される内容例を示す図。
【符号の説明】
１０，２０，３０，４０，５０，６０，７０，８０，９０，１００，１１０，１２０，１３０…パケット転送装置
１１，２１ａ，２１ｂ，３１ａ，３１ｂ，４１，５１，６１，７１，８１，９１，１０１，１１１，１２１，１３１…パケット受信部
１２，２２ａ，２２ｂ，３２，４２，５２，６２，７２，８２，９２，１０２…パケット識別子付加機構
１３，２３ａ，２３ｂ，３３，４３，５３ａ…５３ｎ，６３，７３，８３，９３，１０３，…パケット保留キュー
１４，２４ａ，２４ｂ，３４ａ，３４ｂ，４４ａ…４４ｎ，５４ａ…５４ｎ，６４，７４，８４，９４，１０４，…パケット送出部
１５，２５ａ，２５ｂ，３５，４５，５５，６５，７５，８５，９５，１０５…パケット解析機構
１５０，２５０ａ，２５０ｂ，３５０，４５０，５５０，６５０…不正パケット解析用データベース
４６，５６…送出セグメント判定機構
６６…不正アクセス履歴保持機構
６７…不正アクセス履歴表示機構
６７Ａ…不正アクセス表示器
６７Ｂ…不正アクセス表示装置
７６…送出済みパケット保持機構
８６，９６，１０６…実行命令格納部
８７，１１３…シリアルインタフェース
８８，９８，１０７…解析プログラム更新機構
８９，９９，１０８…更新指示形式識別機構
９７…ネットワークインタフェース
１０９，１３９…電子署名識別機構
１１２，１２３，１３４…通信制御機構
１１４…通信用アドレス設定機構
１１５，１２６，１３６…通信用アドレス保持機構
１１６，１２７，１３７…実行プログラム更新機構
１１７，１２８，１３８…装置内情報通知機構
１２２，１３２…パケット横奪部
１２４，１３５…通信用アドレス選択機構
１２５…アドレス／セグメント対応表
１３３…通信開始指示形式識別機構
７５１…パケット格納部
７５２…実行命令格納部
７５３…メモリ制御機構
７５４…命令実行機構
Claims (8)
- 少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、
予め設定された条件に基づいて、前記第１のネットワークセグメントを介して受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析するパケット解析手段と、
前記パケット解析手段によって前記受信パケットが前記誤動作させる要因を含む不正パケットであると判定した際に、当該不正パケットを破棄し、正常なパケットであると判定した前記受信パケットのみを前記第２のネットワークセグメントに送出するパケット送出手段と、
前記パケット解析手段によって正常なパケットであると判定され前記パケット送出手段により前記第２のネットワークセグメントに送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、
前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とするパケット転送装置。 - 少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、
前記第１のネットワークセグメントからのパケットを受信するパケット受信手段と、
前記パケット受信手段で受信した受信パケットに識別子を付加する識別子付加手段と、
前記識別子が付加された前記受信パケットを一時保留するパケット保留キューと、
予め設定された条件に基づいて、前記パケット受信手段で受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力するパケット解析手段と、
前記パケット解析手段より出力された前記識別子を受信し、前記パケット保留キューから受信した前記識別子を持つ受信パケットを取り出し、前記第２のネットワークセグメントへ送出するパケット送出手段と、
前記パケット解析手段によって、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定され前記パケット送出手段により前記第２のネットワークセグメントに送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、
前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とするパケット転送装置。 - 少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、
前記ネットワークセグメントからのパケットを受信するパケット受信手段と、
前記パケット受信手段で受信した受信パケットに識別子を付加する識別子付加手段と、
前記識別子が付加された前記受信パケットを一時保留するパケット保留キューと、
予め設定された条件に基づいて、前記パケット受信手段で受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力するパケット解析手段と、
前記パケット解析手段より出力された前記識別子を受信し、前記パケット保留キューから受信した前記識別子を持つ受信パケットを取り出し、当該受信パケットに含まれる宛先ＭＡＣアドレスから送出すべきネットワークセグメントを判定する送出セグメント判定手段と、
前記送出セグメント判定手段によって判定されたネットワークセグメントへ前記パケット保留キューから取り出した前記受信パケットを送出する１つ又は複数の送出手段と、
前記パケット解析手段によって、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定され前記パケット送出手段により送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、
前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とするパケット転送装置。 - 少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送装置であって、
前記ネットワークセグメントからのパケットを受信する受信手段と、
前記受信手段で受信した受信パケットに識別子を付加する識別子付加手段と、
前記識別子が付加された前記受信パケットを送出先のネットワークセグメント毎に一時保留する複数のパケット保留キューと、
前記識別子が付加された前記受信パケットに含まれる宛先ＭＡＣアドレスから前記受信パケットの送出先ネットワークセグメントを判定し、当該ネットワークセグメントに対応する前記パケット保留キューに前記識別子が付加されたパケットを格納する送出セグメント判定手段と、
予め設定された条件に基づいて、前記パケット受信手段が受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力するパケット解析手段と、
前記パケット保留キューに対応して設けられる複数の送出手段であって、前記パケット解析手段より出力された前記識別子を受信し、前記識別子を持つ受信パケットを保留している前記パケット保留キューから当該受信パケットを取り出し、対応付けられた前記ネットワークセグメントへ送出する送出手段と、
前記パケット解析手段によって、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定され前記パケット送出手段により送出された送出済みパケットを保持する送出済みパケット保持手段とを設け、
前記パケット解析手段は、前記受信パケットの解析時に、前記送出済みパケット保持手段に保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記送出先のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを解析することを特徴とするパケット転送装置。 - 少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送方法において、
予め設定された条件に基づいて、前記第１のネットワークセグメントを介して受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定するステップと、
前記受信パケットが前記誤動作させる要因を含む不正パケットであると判定した際に、当該不正パケットを破棄し、正常なパケットであると判定した前記受信パケットを前記第２のネットワークセグメントに送出するステップと、
正常なパケットであると判定され前記第２のネットワークセグメントに送出された送出済みパケットを保持するステップとを具備し、
前記判定ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とするパケット転送方法。 - 少なくとも第１及び第２のネットワークセグメントに接続され、前記第１及び第２のネットワークセグメント間で転送されるパケットを監視するパケット転送方法において、
前記第１のネットワークセグメントからのパケットを受信するステップと、
前記受信した受信パケットに識別子を付加するステップと、
前記識別子が付加された前記受信パケットを一時保留するステップと、
予め設定された条件に基づいて、前記受信した受信パケットに前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力する解析ステップと、
前記出力された前記識別子を受信し、前記一時保留されている前記受信パケットの中から受信した前記識別子を持つ受信パケットを取り出し、前記第２のネットワークセグメントへ送出するステップと、
正常なパケットであると判定され前記第２のネットワークセグメントに送出された送出済みパケットを保持するステップとを具備し、
前記解析ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記第２のネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とするパケット転送方法。 - 少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送方法であって、
前記ネットワークセグメントの一つからパケットを受信するステップと、
前記受信した受信パケットに識別子を付加するステップと、
前記識別子が付加された前記受信パケットを一時保留するステップと、
予め設定された条件に基づいて、前記受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力する解析ステップと、
前記出力された識別子を受信し、前記一時保留されている前記受信パケットの中から受信した前記識別子を持つ前記受信パケットを取り出し、当該受信パケットに含まれる宛先ＭＡＣアドレスから送出すべきネットワークセグメントを判定する送出セグメント判定ステップと、
前記判定された送出すべきネットワークセグメントへ前記取り出した受信パケット送出するステップと、
正常なパケットであると判定され前記送出された送出済みパケットを保持するステップとを具備し、
前記解析ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記受信パケットを送出すべきネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とするパケット転送方法。 - 少なくとも３つ以上のネットワークセグメントに接続され、複数の前記ネットワークセグメント間で転送されるパケットを監視するパケット転送方法であって、
前記ネットワークセグメントの一つからパケットを受信するステップと、
前記受信した受信パケットに識別子を付加するステップと、
前記識別子が付加された前記受信パケットに含まれる宛先ＭＡＣアドレスから当該受信パケットの送出先ネットワークセグメントを判定し、この判定に従って前記送出先のネットワークセグメント毎に設けられた一時保留キューに前記識別子が付加された前記受信パケットを格納するステップと、
予め設定された条件に基づいて、前記受信した受信パケットに前記ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含む不正パケットであるか否かを判定し、前記ソフトウェアを誤動作させる要因を含まない正常なパケットであると判定した場合に、当該受信パケットの識別子を出力する解析ステップと、
前記解析ステップより出力された前記識別子を受信し、前記識別子を持つ受信パケットを保留している前記パケット保留キューから当該受信パケットを取り出し、対応付けられた前記ネットワークセグメントへ送出するステップと、
正常なパケットであると判定され前記送出された送出済みパケットを保持するステップとを具備し、
前記解析ステップは前記保持された前記送出済みパケットを参照し、前記受信パケットと前記送出済みパケットとの組合せが前記送出先ネットワークセグメントに接続された装置のソフトウェアを誤動作させる要因を含んでいるか否かを判定することを特徴とするパケット転送方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003171283A JP3725139B2 (ja) | 2003-06-16 | 2003-06-16 | パケット転送装置およびパケット転送方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003171283A JP3725139B2 (ja) | 2003-06-16 | 2003-06-16 | パケット転送装置およびパケット転送方法 |
Related Parent Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000249724A Division JP2002063084A (ja) | 2000-08-21 | 2000-08-21 | パケット転送装置、パケット転送方法、及びそのプログラムが格納された記憶媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003348169A JP2003348169A (ja) | 2003-12-05 |
| JP3725139B2 true JP3725139B2 (ja) | 2005-12-07 |
Family
ID=29774848
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003171283A Expired - Lifetime JP3725139B2 (ja) | 2003-06-16 | 2003-06-16 | パケット転送装置およびパケット転送方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3725139B2 (ja) |
-
2003
- 2003-06-16 JP JP2003171283A patent/JP3725139B2/ja not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003348169A (ja) | 2003-12-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2002063084A (ja) | パケット転送装置、パケット転送方法、及びそのプログラムが格納された記憶媒体 | |
| JP5029701B2 (ja) | 仮想マシン実行プログラム、ユーザ認証プログラムおよび情報処理装置 | |
| US9954873B2 (en) | Mobile device-based intrusion prevention system | |
| US9118716B2 (en) | Computer system, controller and network monitoring method | |
| JP4195480B2 (ja) | コンピュータ端末がネットワークに接続して通信することを管理・制御するための装置および方法。 | |
| US7623450B2 (en) | Methods and apparatus for improving security while transmitting a data packet | |
| JP4107213B2 (ja) | パケット判定装置 | |
| US10951742B1 (en) | Methods, systems, and computer program products for sharing information for detecting at least one time period for a connection | |
| JP2020017809A (ja) | 通信装置及び通信システム | |
| JP4082613B2 (ja) | 通信サービスを制限するための装置 | |
| US20190014081A1 (en) | Apparatus for supporting communication between separate networks and method for the same | |
| KR101088084B1 (ko) | 전자상거래 불법 침입 감시 및 차단 방법과 시스템 | |
| JP2005193590A (ja) | 印刷装置 | |
| JP3725140B2 (ja) | パケット転送装置およびパケット転送方法 | |
| KR101692672B1 (ko) | 전송장치 이원화에 의한 tcp/ip 망단절형 단방향 접속 시스템 및 그 방법 | |
| JP3725139B2 (ja) | パケット転送装置およびパケット転送方法 | |
| JP4029898B2 (ja) | ネットワーク装置 | |
| JP7467670B2 (ja) | 特に自動車におけるデータの異常を処理するための方法 | |
| JP2008028740A (ja) | 通信制御装置、通信制御方法、及びコンピュータプログラム | |
| JP2009169895A (ja) | 情報流出検知方法、情報流出検知装置、情報流出検知システム | |
| JP3657569B2 (ja) | パケット処理方法および通信装置 | |
| JP4537538B2 (ja) | 不正侵入検知システム | |
| KR100457825B1 (ko) | 예경보에 기반한 소프트웨어의 자동 설치 및 패치 관리전문 시스템 및 그 제작 방법과 그 방법에 대한 컴퓨터프로그램을 저장한 기록매체 | |
| JP2007174386A (ja) | 不正メール検知システム | |
| JP2006165877A (ja) | 通信システム、通信方法および通信プログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050315 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20050329 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050530 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050913 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050920 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 3725139 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080930 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090930 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090930 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100930 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100930 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110930 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120930 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120930 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130930 Year of fee payment: 8 |
|
| EXPY | Cancellation because of completion of term |