JP3917546B2 - ネットワーク攻撃防止方法、ネットワーク攻撃防止装置、ネットワーク攻撃防止プログラム及びそのプログラムを記録した記録媒体 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、ネットワーク上に存在するサーバなどに対して行われる不正なパケットを使った攻撃を防止するためのネットワーク攻撃防止方法及びその装置と、そのネットワーク攻撃防止方法の実現に用いられるネットワーク攻撃防止プログラム及びそのプログラムを記録した記録媒体とに関する。
【０００２】
最近、サーバに対してＤｏＳ攻撃を行うことで、他のユーザがそのサーバへアクセスすることを困難にすることが行われている。
【０００３】
「ＤｏＳ攻撃（Denial of Service 攻撃：サービス拒否攻撃）」とは、インターネット等で不特定多数のユーザからアクセス可能なサーバに対して、攻撃者が不正な通信パケットを送ることにより、サーバや通信経路上の装置のリソース（処理能力や転送可能帯域）を消費するなどの悪影響を与えて、他のユーザがそのサーバへアクセスすることを困難にする攻撃である。
【０００４】
【従来の技術】
ＤｏＳ攻撃を大きく分類すると以下の３つのものがある。
【０００５】
（Ａ）攻撃を実施する送信元装置から、異常な形式のパケットをサーバに送信することにより、送信先装置や通信経路上の装置の処理に異常を起こさせてサーバのサービス継続を困難にするもの（異常パケット形式送信型ＤｏＳ攻撃）。
【０００６】
（Ｂ）単体または少数の送信元装置から、それぞれ大量の正常な形式のパケットをサーバに送信することにより、サーバのリソースや、経路上の回線帯域を消費し、正規利用者からのアクセスを困難にするもの（大量パケット送信型ＤｏＳ攻撃）。
【０００７】
（Ｃ）それぞれ少量の正常な形式のパケットを多数の送信元装置からサーバに向けて送り、結果として大量の攻撃パケットがサーバに送られることにより、サーバのリソースや、経路上の回線帯域を消費し、正規利用者からのアクセスを困難にするもの（高度分散型ＤｏＳ攻撃）。
【０００８】
次に、（Ａ）に関する対策の従来技術と、（Ｂ）に関する対策の従来技術とについて説明する。
【０００９】
（Ａ）に関する対策としては、サーバあるいは通信経路上の装置をシステムのバージョンアップや修正プログラムを実施することにより改良・修正し、異常な形式のパケットによって処理上の異常を起こさないようにする方法や、サーバ内あるいは、サーバと送信元装置との間の通信経路上の装置で、異常な形式のパケットを破棄する方法がある。後者の場合、パケットの形式が異常であることの判定は、主にパターンマッチングによって行なわれる。
【００１０】
（Ｂ）に関する対策としては、パケットの送信元ごとに、送信してきたパケットの量を比較し、他のユーザにくらべて大量のパケットを送信する送信元からのパケットを遮断あるいは送信量の制限を行う方式がある。送信元の特定は、パケットヘッダ内の送信元ＩＰアドレスによって行われる場合があるが、ＩＰアドレスの偽装が行われているとＩＰアドレスだけでは送信元の特定を正しく行うことができなくなるため、経路上のパケット転送装置を特定するための情報をパケットヘッダに埋め込む方法や、標的となっているサーバに対するパケットの送信量を経路上の装置ごとに測定することにより、送信元に近い装置を特定するなどの方法がある。
【００１１】
なお、ＤｏＳ攻撃に対する対策として提供されている従来技術として、下記の非特許文献１に記載されるものがある。
【００１２】
【非特許文献１】
FloodGuard〔平成15年４月４日検索〕、インターネット＜ＵＲＬ：http://www.reactivenetwork.com/products/floodguard2point1.pdf ＞
【００１３】
【発明が解決しようとする課題】
このように、（Ａ）に関する対策や、（Ｂ）に関する対策については従来技術で提供されていた。
【００１４】
しかしながら、（Ｃ）に関する対処としては、従来では充分な対処方法がなかった。
【００１５】
その理由は、多数の送信元装置により攻撃が行われる際に、一つの送信元装置が送る攻撃パケットの量は正規利用者が送る量と変わらないことがあり、パケットの送信量による区別では攻撃元を特定することが困難であることと、正常な形式のパケットが攻撃に使用されるので、パターンマッチングによる攻撃パケットの特定もできないためである。
【００１６】
このように、従来、高度分散型ＤｏＳ攻撃への充分な対策がないというのが実情である。なお、高度分散型ＤｏＳ攻撃の攻撃対象は通常の場合サーバであるが、特定のクライアント端末が攻撃対象となるということも考えられる。
【００１７】
本発明はかかる事情に鑑みてなされたものであって、高度分散型ＤｏＳ攻撃から公開サーバなどを防御できるようにする新たなネットワーク攻撃防止技術の提供を目的とする。
【００１８】
【課題を解決するための手段】
この目的を達成するために、本発明のネットワーク攻撃防止装置は、ネットワーク上に存在する攻撃対象の装置に対して行われる不正なパケットを使った攻撃を防止するために、▲１▼パケットの送信元装置における不正プログラムについての検査結果を取得する取得手段と、▲２▼パケット送信元装置から配送されるパケットに対して、そのパケット送信元装置から取得した検査結果に応じた優先識別子を付与する付与手段と、▲３▼パケットの配送経路上で、パケットに対して、そのパケットに付与される優先識別子に応じた優先転送制御を行う転送制御手段とを備えるように構成する。
【００１９】
このように構成されるときにあって、付与手段は、検査の詳細度を考慮した形の優先識別子をパケットに付与することがある。
【００２０】
また、取得手段は、パケット送信元装置から取得する検査結果が第三者により改竄されたり偽造されるのを防ぐために、パケット送信元装置との間で暗号通信経路を確立して、その暗号通信経路を使って、パケット送信元装置から検査結果を取得することがある。
【００２１】
また、送信元装置から配送されるパケットが第三者により改竄されたり偽造されるのを防ぐために、この暗号通信経路を使って、パケット送信先装置へと配送されるパケットをパケット送信元装置から受信する受信手段を備えることがある。
【００２２】
また、優先転送制御を行ったパケットをパケット送信先装置へ転送する際に、そのパケットを送ってきた送信元装置の優先度を隠匿するために、そのパケットに付与されている優先識別子を削除する削除手段を備えることがある。
【００２３】
以上の各処理手段が動作することで実現される本発明のネットワーク攻撃防止方法はコンピュータプログラムで実現できるものであり、このコンピュータプログラムは、半導体メモリなどの記録媒体に記録して提供したり、ネットワークを介して提供することができる。
【００２４】
このように構成される本発明のネットワーク攻撃防止装置では、送信元装置の中にインストールされたネットワーク攻撃に用いられる不正プログラムを検査するための検査プログラムの検査結果を取得して、それに基づいて、送信元装置から送られてきたパケットの優先度を決定し、この決定結果に応じて、その送信元装置から送られてきたパケットに優先識別子を付与する。
【００２５】
具体的に説明するならば、攻撃に使用される可能性の高いプログラムが埋め込まれていると報告された送信元装置の優先度については低くなるように優先識別子を付与し、攻撃に使用される可能性の高いプログラムが埋め込まれていないと報告された送信元装置の優先度については高くなるように優先識別子を付与することになる。
【００２６】
さらに、どこまで詳細な検査を行ったかに応じて、優先度（優先識別子）を変えるようにしてもよい。
【００２７】
例えば、最新のウィルス情報を元に検査を行った場合には、古いウィルス情報を元に検査を行った場合よりも、高い優先識別子を付与するようにしてもよい。
【００２８】
また、高性能の検査プログラムを使って検査を行った場合には、低性能の検査プログラムを使って検査を行った場合よりも、高い優先識別子を付与するようにしてもよい。
【００２９】
また、不正プログラムの検査プログラムがインストールされていない送信元装置からは検査プログラムからの報告を受けることができないので、その送信元装置から送信されたパケットに対しては比較的低い優先識別子を付与することになる。
【００３０】
このようにしてパケットに優先識別子が付与されると、優先転送制御を司る転送制御手段は、付与された優先識別子に応じた優先度に従ってパケットを送信先装置まで転送する。
【００３１】
この構成に従って、本発明のネットワーク攻撃防止装置によれば、高度分散型ＤｏＳ攻撃から公開サーバなどを防御することができるようになる。
【００３２】
具体的に説明するならば、分散型ＤｏＳ攻撃の攻撃者は、多数の攻撃ホストを確保するために、コンピュータウィルス等の形で多数のホストに攻撃プログラムを配布し、攻撃プログラムを埋め込むことが多い。
【００３３】
この攻撃プログラムは、端末におけるウィルススキャン等の検査プログラムにより検出することができる場合が多い。逆に、端末におけるウィルススキャン等の検査プログラムによる検査の結果、攻撃プログラムが検出されないのであれば、その端末は攻撃に使用される可能性が低いといえる。したがって、その端末から送信されるパケットの優先度を上げることで、攻撃に使用されている可能性がより高いパケットにより通信経路が混雑している場合でも、優先的に通信を行なうことで攻撃は無効化されることになる。
【００３４】
このようにして、本発明によれば、高度分散型ＤｏＳ攻撃から公開サーバなどを防御することができるようになる。
【００３５】
【発明の実施の形態】
以下、実施の形態に従って本発明を詳細に説明する。
【００３６】
図１に、本発明を実現する主装置１の一実施形態例を図示する。
【００３７】
この図に示すように、本発明を実現する主装置１は、パケットを転送する優先制御転送部１０が中心に配置され、この優先制御転送部１０と外部との間の接続境界部のすべてに、検査部１１-1〜１１−6 と優先識別子付与部１２-1〜１２-12 の両方、もしくは優先識別子付与部１２-1〜１２-12 のみを配置した構成をもつ。
【００３８】
検査部１１-iと優先識別子付与部１２-iとの間は、最低一つのチャンネルによって接続されている。検査部１１-iと優先識別子付与部１２-iとの間のチャンネルのうち一つは未検査パケット（検査未実施の送信元装置３-iから送信されてきたパケット）を送信するためのものであり、「未検査パケット用チャンネル」と呼ぶ。未検査パケット用チャンネル以外のチャンネルについては、検査部１１-iを経た送信元装置３-i毎に確立されることになる。
【００３９】
各チャンネルには優先度が割り当てられている。未検査パケット用チャンネルには、検査未実施の送信元装置３-iから送信されたパケットのための優先度が割り当てられている。
【００４０】
検査部１１-iと接続されていない優先識別子付与部１２-iについては、未検査パケット用チャンネルのみで外部と接続される。
【００４１】
以上の構成を持つ主装置１は、送信先装置２と送信元装置３-1〜３-7との間に設置され、送信先装置２を高度分散型ＤｏＳ攻撃から防御する。
【００４２】
送信元および送信先となりうる装置は、同一の検査部１１-iもしくは同一の優先識別子付与部１２-iに対して複数接続されていてもよい。また、送信元装置３-iが外部ネットワーク４-1〜４-3経由で主装置１にパケットを送りこむような接続も可能である。
【００４３】
なお、本発明における主装置１については、必ずしも一つの装置として一体的に実現される必要はなく、分散配置される複数の装置要素によって実現されていてもよい。
【００４４】
以下に、図１中の各々の構成要素がどのように機能するかについて、図２を参照し、パケットの流れをもとに説明する。
【００４５】
ここで、図１では、送信元装置３-iの送信したパケットは、「送信元装置３-i→検査部１１-i／優先識別子付与部１２-i→優先制御転送部１０→優先識別子付与部１２-1→送信先装置２」というルートでもって送信先装置２に配送されることを想定している。
【００４６】
まず、パケットは送信元装置３-iから送出される（ステップ２０１）。このパケットは本発明の主装置１を経由して送信先装置２へ配送されるが、その際に、主装置１の検査部１１-iに送られる場合と、主装置１の優先識別子付与部１２-iに直接送られる場合の２通りがある（ステップ２０２）。前者の場合、パケットには検査部１１-iの処理が行われる（ステップ２０３）。
【００４７】
検査部１１-iでは、図３で示される処理が行われる。
【００４８】
ここで、検査部１１-iに送られるパケットには、その検査部１１-iと送信元装置３-iとの間で安全な通信路を確立するためのものがある。この安全な通信路は、パケットがその送信元装置３-iから送られたものであることを保証するために確立されるものであり、送信元装置３-iは、検査部１１-iとの間でパケットの偽造を防止するためにこの安全な通信路を使用する。この通信路の確立にはＩＰsec 等の暗号通信技術等を使う。ダイアルアップ接続で送信元装置３-iと主装置１とが接続される場合など、第三者によってパケットが偽造される可能性が低い場合には、暗号通信経路は必ずしも必要ではない。
【００４９】
図３に従って検査部１１-iの処理について説明するならば、検査部１１-iは、パケットを受け取ることで処理を開始すると（ステップ３０１）、安全な通信路を確立するためのパケットを受け取ったのかどうかの判断を行ない（ステップ３０２）、この判断において、安全な通信路を確立するためのパケットを受け取ったことを判断する場合には、送信元装置３-iとの間で安全な通信路を確立する（ステップ３０３）。
【００５０】
そして、その経路を確立した送信元装置３-iにおける不正プログラム検査の結果（不正プログラムの有無の検査結果）を受け取り（ステップ３０４）、その検査結果に応じて送信元装置３-iの優先度を決定する（ステップ３０５）。さらに、その経路ごとに個別のチャンネルを優先識別子付与部１２-iとの間で確立し（ステップ３０６）、先に決定した優先度をこのチャンネルに割り当てる（ステップ３０７）。その後、検査部１１-iの処理は終了する（ステップ３１３）。
【００５１】
一方、ステップ３０２で、受け取ったパケットが安全な通信路を確立するためのものでないと判断する場合には、次に、すでに確立された安全な通信路を通してパケットを受け取ったのかどうかの判断を行う（ステップ３０８）。この判断において、すでに確立された安全な通信路を通してパケットを受け取ったことを判断する場合には、その経路のために用意したチャンネルを通して優先識別子付与部１２-iへパケットを送る（ステップ３０９）。その後、検査部１１-iの処理は終了する（ステップ３１３）。
【００５２】
一方、ステップ３０８で、受け取ったパケットが安全な通信路を経由せずに送られてきたことを判断する場合には、次に、受け取ったパケットが優先識別子付与部１２-iから送られたものであるかどうかの判断を行う（ステップ３０１）。この判断において、受け取ったパケットが優先識別子付与部１２-iから送られたものでないことを判断する場合には、未検査パケット用チャンネルを通して、優先識別子付与部１２-iにパケットを送る（ステップ３１２）。その後、検査部１１-iの処理は終了する（ステップ３１４）。
【００５３】
一方、ステップ３１０で、受け取ったパケットが優先識別子付与部１２-iから送られたものであることを判断する場合には、送信先装置２へ向けた経路にパケットを送信する（ステップ３１１）。その後、検査部１１-iの処理は終了する（ステップ３１４）。
【００５４】
再び、図２の処理の説明に戻る。
【００５５】
検査部１１-iの処理が終了し（ステップ２０３）、パケットの宛先がこの検査部１１-i宛のものであった場合には（ステップ２０４）、パケットは送信先に到着したものとして、そのパケットの流れに沿った処理は終了する（ステップ２１０）。
【００５６】
一方、パケットの宛先がこの検査部１１-i宛のものでない場合には、パケットは検査部１１-iと優先識別子付与部１２-iとの間に確立されたチャンネルを介して優先識別子付与部１２-iに到着する（ステップ２０５）。また、送信元装置３-iが検査部１１-iを経由せずに主装置１に接続されている場合にも（ステップ２０２）、パケットは外部と優先識別子付与部１２-iを結ぶチャンネルを通して直接、優先識別子付与部１２-iに到着する（ステップ２０５）。
【００５７】
優先識別子付与部１２-iでは、図４で示される処理が行われる。
【００５８】
図４に従って優先識別子付与部１２-iの処理について説明するならば、優先識別子付与部１２-iは、パケットを受け取ることで処理を開始すると（ステップ４０１）、入力されたパケットが優先制御転送部１０から送られてきたものであるかどうかの判断を行う（ステップ４０２）。
【００５９】
この判断において、優先制御転送部１０ではなくて、検査部１１-iもしくは外部と接続されたチャンネルを経由してパケットを受け取ったことを判断する場合には、入力されたパケットに対して、そのパケットが通ったチャンネルを確立する際に伝えられた優先度を示す優先識別子を付与し（ステップ４０３）、優先制御転送部１０にパケットを送る（ステップ４０４）。その後、優先識別子付与部１０は処理を終了する（ステップ４０６）。
【００６０】
一方、ステップ４０２で、入力されたパケットが優先制御転送部１０から送られてきたものであることを判断する場合には、入力されたパケットに付与されている優先識別子を削除した後、送信先装置２に向けたチャンネルを通してパケットを送出する（ステップ４０５）。その後、優先識別子付与部１０は処理を終了する（ステップ４０６）。
【００６１】
再び、図２の処理の説明に戻る。
【００６２】
優先識別子付与部１２-iの処理（ステップ２０５）が終了すると、パケットは優先識別子付与部１２-iから優先制御転送部１０へ送られ、そこで、優先制御転送部１０の処理が行われる（ステップ２０６）。
【００６３】
優先制御転送部１０は、パケットを受け取ると、図５に示すように、パケットに示された送信先装置２に接続されたチャンネルに向けて、自らの内部でパケットを転送していく。その際、パケットに付与された優先識別子に応じて、優先的に転送を行う。すなわち、優先度の高いパケットを優先的に転送していくという転送制御を行うのである。
【００６４】
このようにして、優先制御転送部１０の処理に従って、パケットが送信先装置２の最寄りの優先識別子付与部１２-1（図１では、送信先装置２の最寄りの優先識別子付与部として優先識別子付与部１２-1を想定している）に到着すると、この優先識別子付与部１２-1による処理が行われる（ステップ２０７）。
【００６５】
この処理では、送信先装置２が検査部１１-iを経由せずに主装置１に接続されている場合には（ステップ２０８）、送信先装置２と接続するチャンネル経由でパケットを主装置１の外部に送出し、これを受けて、そのパケットは主装置１を出て送信先装置２に向けて配送され、送信先装置２に到着する（ステップ２１０）。
【００６６】
一方、送信先装置２が検査部１１-iを経由して主装置１に接続されている場合には（ステップ２０８）、検査部１１-iの処理が行われ（ステップ２０９）、そのパケットの送信先装置２と接続された安全な通信路がある場合には、その安全な通信路経由でパケットを送信し、その安全な通信路がない場合には、送信先装置２と接続された経路にパケットを送信する（図３のステップ３１１）。その後、パケットは送信先装置２に到着する（ステップ２１０）。
【００６７】
以下に、本発明の構成要素の具体化例について説明する。
【００６８】
優先識別子としては、優先識別子のために新たなパケット形式を採用することに限らず、既存のパケット識別方法、すなわちＩＰヘッダ内のＴＯＳフィールド(Type Of Serviceフィールド) 、ＤＳフィールド(Differentiated Service フィールド) 、ＩＥＥＥ 802.1Ｑのラベル、ＭＰＬＳ(Multi Protocol Label Switching)のラベル等を利用可能である。
【００６９】
優先制御転送部１０としては、優先識別子の内容に応じて優先制御を行う装置を利用する。例えば、ＴＯＳフィールドの値に応じて、優先制御する装置を利用する。
【００７０】
また、優先制御転送部１０の優先制御の機能としては、優先識別子の値に応じて優先制御を行うだけでなく、通信コネクションの確立を行なうための最初のパケット（ＴＣＰのＳＹＮパケット等）に対しても最大帯域を指定でき、その帯域の中で優先識別子に応じて優先制御を行なうものを導入することが望ましいが、パケットの種類を区別せずに単に優先識別子の内容に応じて優先制御を行なう装置を導入してもかまわない。
【００７１】
また、優先制御転送部１０は、優先制御装置を設置したＩＰネットワークのバックボーンを利用することが可能である。これは、一つのＩＳＰもしくはキャリアによって提供されても良いが、複数のＩＳＰもしくはキャリアによって提供されてもよく、それらの接続を直接もしくはＶＰＮ等によって行うことなどにより、第三者により優先識別子を偽造されることを防止する必要がある。
【００７２】
図示実施形態例に従って本発明を説明したが、本発明はこれに限定されるものではない。例えば、実施形態例では、公開サーバに対して行われるＤｏＳ攻撃を防止することを具体例にして本発明を説明したが、本発明はその適用がこのような場合に限られるものではない。例えば、特定のユーザ端末に対して行われるＤｏＳ攻撃を防止する場合にも、本発明はそのまま適用できるのである。
【００７３】
【発明の効果】
インターネットの利用者が爆発的に増大する中で、近年、インターネット上においてもオンライン証券取引サービスやオンラインバンキングサービス等、通信品質が重要視されるサービスを提供する動きが活発になっている。
【００７４】
しかしインターネットでは、パケットの送信元を偽装することが容易であり、かつ、大量のパケットの送信を低コストで実施することが可能であるため、インターネット内で公開されたサーバに対して大量のパケットを送りつけるというＤｏＳ攻撃の脅威が存在する。したがって、このＤｏＳ攻撃をいかに防ぐかが課題となっている。
【００７５】
ＤｏＳ攻撃防止のための方法としては、前述のとおり様々な方法が提案されてきたが、少量の正常な形式のパケットを多数の送信元装置からサーバに向けて送り、結果として大量の攻撃パケットをサーバに送りつけるという高度分散型ＤｏＳ攻撃に対しては十分な対策が提供されていなかった。
【００７６】
本発明は、従来の方法では防ぐことが困難であったこのような高度分散型ＤｏＳ攻撃への対策を提供する。
【００７７】
本発明が対象とするのは特に、攻撃者が予め多数の装置に不正プログラムを埋め込むことにより、これらの不正プログラムを使って大量のパケットを標的となるサーバに送りつけるという特徴を持つ高度分散型ＤｏＳ攻撃であり、多くの高度分散型ＤｏＳ攻撃がこれに該当する。したがって、本発明により、高度分散型ＤｏＳ攻撃への効果的な対策をとることが可能になる。
【００７８】
本発明によれば、攻撃者が多数の不正プログラムを使って大量のパケットを標的となるサーバに送りつけた場合でも、不正プログラムがインストールされていないことが不正プログラム検出システムにより保証された装置からのパケットについては、本発明により優先的に配送されるため、攻撃の影響を受けることがない。
【００７９】
また、大量パケット送信型ＤｏＳ攻撃に対しても、攻撃元装置に埋め込んだ不正プログラムを利用したものについては、本発明による対策が有効である。
【００８０】
本発明を具備する装置は、例えば、ＩＳＰ（インターネットサービスプロバイダ）によって導入され、ＩＳＰはサーバ運営者およびそのサーバへアクセスするユーザに対して、高度分散型ＤｏＳ攻撃を防止可能なインターネット接続サービスを提供することが可能である。
【００８１】
本発明を具備する装置に接続されるサーバは、インターネット上に公開されつつも、本発明を具備する装置に接続されるユーザに対しては不正プログラムを利用した高度分散型ＤｏＳ攻撃からの影響を排除できるようになる。
【図面の簡単な説明】
【図１】本発明を実現する主装置の一実施形態例を示す図である。
【図２】パケットに対しての処理の流れを示す図である。
【図３】検査部の処理を示す図である。
【図４】優先識別子付与部の処理を示す図である。
【図５】優先制御転送部の処理を示す図である。
【符号の説明】
１ 主装置
２ 送信先装置
３ 送信元装置
４ 外部ネットワーク
１０ 優先制御転送部
１１ 検査部
１２ 優先識別子付与部

Claims (12)

1. ネットワーク上に存在する攻撃対象の装置に対して行われる不正なパケットを使った攻撃を防止するためのネットワーク攻撃防止方法であって、
   パケットの送信元装置における不正プログラムについての検査結果を取得する過程と、
   パケット送信元装置から配送されるパケットに対して、そのパケット送信元装置から取得した上記検査結果に応じた優先識別子を付与する過程と、
   パケットの配送経路上で、パケットに対して、そのパケットに付与される上記優先識別子に応じた優先転送制御を行う過程とを備えることを、
   特徴とするネットワーク攻撃防止方法。
2. 請求項１に記載のネットワーク攻撃防止方法において、
   上記付与する過程では、検査の詳細度を考慮した形の優先識別子をパケットに付与することを、
   特徴とするネットワーク攻撃防止方法。
3. 請求項１又は２に記載のネットワーク攻撃防止方法において、
   上記取得する過程では、パケット送信元装置との間で暗号通信経路を確立して、その暗号通信経路を使って、パケット送信元装置から上記検査結果を取得することを、
   特徴とするネットワーク攻撃防止方法。
4. 請求項３に記載のネットワーク攻撃防止方法において、
   上記暗号通信経路を使って、パケット送信先装置へと配送されるパケットをパケット送信元装置から受信する過程を備えることを、
   特徴とするネットワーク攻撃防止方法。
5. 請求項１ないし４のいずれか１項に記載のネットワーク攻撃防止方法において、
   パケット送信先装置へと配送される上記優先転送制御を行ったパケットに付与されている優先識別子を削除する過程を備えることを、
   特徴とするネットワーク攻撃防止方法。
6. ネットワーク上に存在する攻撃対象の装置に対して行われる不正なパケットを使った攻撃を防止するためのネットワーク攻撃防止装置であって、
   パケットの送信元装置における不正プログラムについての検査結果を取得する手段と、
   パケット送信元装置から配送されるパケットに対して、そのパケット送信元装置から取得した上記検査結果に応じた優先識別子を付与する手段と、
   パケットの配送経路上で、パケットに対して、そのパケットに付与される上記優先識別子に応じた優先転送制御を行う手段とを備えることを、
   特徴とするネットワーク攻撃防止装置。
7. 請求項６に記載のネットワーク攻撃防止装置において、
   上記付与する手段は、検査の詳細度を考慮した形の優先識別子をパケットに付与することを、
   特徴とするネットワーク攻撃防止装置。
8. 請求項６又は７に記載のネットワーク攻撃防止装置において、
   上記取得する手段は、パケット送信元装置との間で暗号通信経路を確立して、その暗号通信経路を使って、パケット送信元装置から上記検査結果を取得することを、
   特徴とするネットワーク攻撃防止装置。
9. 請求項８に記載のネットワーク攻撃防止装置において、
   上記暗号通信経路を使って、パケット送信先装置へと配送されるパケットをパケット送信元装置から受信する手段を備えることを、
   特徴とするネットワーク攻撃防止装置。
10. 請求項６ないし９のいずれか１項に記載のネットワーク攻撃防止装置において、
    パケット送信先装置へと配送される上記優先転送制御を行ったパケットに付与されている優先識別子を削除する手段を備えることを、
    特徴とするネットワーク攻撃防止装置。
11. 請求項１ないし５のいずれか１項に記載のネットワーク攻撃防止方法の実現に用いられる処理をコンピュータに実行させるためのネットワーク攻撃防止プログラム。
12. 請求項１ないし５のいずれか１項に記載のネットワーク攻撃防止方法の実現に用いられる処理をコンピュータに実行させるためのネットワーク攻撃防止プログラムを記録した記録媒体。

Images