JP4662150B2 - ファイアウォール装置 - Google Patents

Description

本発明は、ネットワークに接続されたネットワーク機器をＤＤｏｓ攻撃（Distributed Denial of Service attacks：以下、単にＤＤｏｓと呼ぶ。）等から防御するファイアウォール装置に関し、特に装置の設定が容易で無駄なトラフィックの低減が可能なファイアウォール装置に関する。

従来のネットワークに接続されたネットワーク機器をＤＤｏｓ攻撃等から防御するファイアウォール装置に関連する先行技術文献としては次のようなものがある。

特開２００３−２７３９３６号公報 特開２００４−０５４４８８号公報 特開２００５−２１５９３５号公報

また、Ｗｅｂサーバ等のサーバへのＤＤｏｓ攻撃としては、ＴＣＰ（Transmission Control Protocol）で接続を確立する際の手順において最後のＡＣＫ（ACKnowledgement）パケットを受信するまでサーバ側が応答待ち状態になることを悪用したＳＹＮフラッド攻撃、ひたすらリロードを繰り返す攻撃、アップロード用のフォーム等にデータをＰＯＳＴメッソドを用いて送り続ける攻撃等が存在する。

図４はこのような攻撃を防御するファイアウォール装置が設置されたネットワークシステムの一例を示す構成ブロック図である。図４において１はネットワーク上の不正アクセス等を検知する侵入検知装置（ＩＤＳ：Intrusion Detection System）、２は通信の制限を行うファイアウォール装置、３は攻撃対象となるＷｅｂサーバ等のサーバ、１００はインターネット等の汎用のネットワーク、１０１は外部ネットワークと内部ネットワークとの間に位置するＤＭＺ（DeMilitarized Zone）に設置されたネットワークである。

侵入検知装置１はネットワーク１００に相互に接続され、侵入検知装置１の出力はファイアウォール装置２に接続される。ファイアウォール装置２の一方の通信入出力端はネットワーク１００に相互に接続され、ファイアウォール装置２の他方の通信入出力端はネットワーク１０１に相互に接続される。また、サーバ３はネットワーク１０１に相互に接続される。

ここで、図４に示す従来例の動作を説明する。図４に示す従来例は侵入検知装置１とファアウォール装置２とが連携する構成である。

侵入検知装置１はネットワーク１００上を伝播してサーバ３に送信される攻撃パケットの有無を監視し、もし、侵入検知装置１が攻撃パケットを検知した場合、攻撃パケットの送信元のＩＰ（Internet Protocol）アドレスをファイアウォール装置２に通知する。

このように、侵入検知装置１から攻撃パケットの送信元のＩＰアドレスの通知を受けたファイアウォール装置２は、当該ＩＰアドレスを有するパケットのサーバ３への転送を遮断して、当該パケットがネットワーク１０１に接続されているサーバ３へ伝播しないように制御する。

この結果、侵入検知装置１で攻撃パケットを監視し、攻撃パケットを検知した場合には、ファイアウォール装置２で検知された攻撃パケットと同一のＩＰアドレスを有するパケットのサーバ３への転送を遮断することにより、サーバ３に対する攻撃パケットを防御することが可能になる。

また、図５はファイアウォール装置が設置されたネットワークシステムの他の一例を示す構成ブロック図である。図５において４は通信の制限を行うファイアウォール装置、５は特定サーバの代理として特定サーバへの通信を中継するリバースプロキシサーバ、６は攻撃対象となるＷｅｂサーバ等のサーバ、１００ａはインターネット等の汎用のネットワーク、１０１ａは外部ネットワークと内部ネットワークとの間に位置するＤＭＺに設置されたネットワークである。

ファイアウォール装置４の一方の通信入出力端はネットワーク１００ａに相互に接続され、ファイアウォール装置４の他方の通信入出力端はネットワーク１０１ａに相互に接続される。また、リバースプロキシサーバ５はネットワーク１０１ａに相互に接続され、リバースプロキシサーバ５にはサーバ６が相互に接続される。

ここで、図５に示す従来例の動作を説明する。図５に示す従来例ではリバースプロキシサーバ５がサーバ６の代理としてサーバ６への通信を中継する構成となっている。

ネットワーク１００ａ上を伝播するパケットはファイアウォール装置４を通過し、ネットワーク１０１ａを介してリバースプロキシサーバ５に一旦蓄積される。この時、クライアント（図示せず。）との間で、接続が一旦確立される。

そして、リバースプロキシサーバ５は蓄積されているパケットの内容を検査して正常なパケットのみをサーバ６に転送して、クライアント（図示せず。）との間で接続を確立させる。

この結果、リバースプロキシサーバ５が送信されてきたパケットを一旦蓄積し、蓄積されたパケットの内容を検査して、正常なパケットのみをサーバ６に転送することにより、サーバ６に対する攻撃パケットを防御することが可能になる。

しかし、図４に示す従来例では侵入検知装置１でどのようなパケットを攻撃パケットとして検知するかの設定や、攻撃パケットを検知した場合の動作を行うファームウェアの設定等の様々な設定作業が必要であるものの、当該設定作業には熟練を要するため、設定作業が煩雑であると言った問題点があった。

また、誤った設定作業を行った場合には、正常パケットの誤検知や攻撃パケットの不検知等が生じてしまい正常に機能しないといった問題点があった。

また、図５に示す従来例ではリバースプロキシサーバ５が、送信されてきたパケットを一旦蓄積するので、蓄積されるパケットの容量がリバースプロキシサーバ５の記憶容量を超過した場合には動作できなくなってしまうと言った問題点があった。

また、パケットを一旦蓄積する際に、クライアント（図示せず。）との間で接続を一旦確立するので、正常パケットのみならず、攻撃パケットに対しても接続確立（無駄なトラフィック）に伴う通信料金が発生してしまうと言った問題点があった。
従って本発明が解決しようとする課題は、装置の設定が容易で無駄なトラフィックの低減が可能なファイアウォール装置を実現することにある。

ファイアウォール装置において、
ネットワークとの間で通信を行う第１の通信手段と、
攻撃対象となる機器との間で通信を行う第２の通信手段と、
記憶手段と、
前記第１の通信手段で受信され不自然なアクセスと判断されたパケットの送信元ＩＰアドレスを取得して一定期間当該ＩＰアドレスからのパケットの前記機器へ転送を遮断すると共に前記パケットを分類して情報を前記記憶手段に記録する演算制御手段と
を備え、
前記演算制御手段が、
前記第１の通信手段で受信され不自然なアクセスと判断されたパケットの送信元ＩＰアドレスを取得して一定期間当該ＩＰアドレスからのパケットのサーバへの転送を遮断し、 不自然なアクセスと判断された前記パケットをＷＷＷポートへのパケット、ＷＷＷポートからのパケット、或いは、それ以外のパケットに分類し、
ＷＷＷポートへのパケットと、ＷＷＷポートからのパケットをデータパケット、或いは、ＨＴＴＰリクエストパケット又はＨＴＴＰリプライパケットに分類することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

請求項２記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記演算制御手段が、
ＷＷＷポートへのパケット、且つ、データパケットに分類されたパケットのデータ量を計測すると共に当該データ量を前記記憶手段に記録することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

請求項３記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記演算制御手段が、
ＷＷＷポートへのパケットに分類されたパケットの送信元ＩＰアドレスを前記記憶手段に記録することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

請求項４記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記演算制御手段が、
ＷＷＷポートからのパケット、且つ、ＨＴＴＰリプライパケットに分類されたパケットの応答コードを前記記憶手段に記録することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

請求項５記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記演算制御手段が、
ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットのメソッドを判定して当該メソッドを前記記憶手段に記録することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

請求項６記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記演算制御手段が、
ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットのバージョンを判定して当該バージョンを前記記憶手段に記録することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

請求項７記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記演算制御手段が、
ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットがターゲットとするＵＲＬのアスキー文字のＳＵＭ値を演算して当該ＳＵＭ値を前記記憶手段に記録することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

請求項８記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記演算制御手段が、
ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットのメソッド及びバージョンを判定し、ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットがターゲットとするＵＲＬのアスキー文字のＳＵＭ値を演算し、前記メソッド、前記バージョン及び前記ＳＵＭ値にハッシュ関数を適用してハッシュ値を生成し、対応する送信元ＩＰアドレスに対応付けて前記記憶手段に記録することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

請求項９記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記演算制御手段が、
ＷＷＷポートへのパケット、且つ、データパケットに分類されたパケットのデータ量を計測すると共に当該データ量を前記記憶手段に記録し、ＷＷＷポートへのパケットに分類されたパケットの送信元ＩＰアドレスを前記記憶手段に記録し、ＷＷＷポートからのパケット、且つ、ＨＴＴＰリプライパケットに分類されたパケットの応答コードを前記記憶手段に記録し、ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットのメソッド及びバージョンを判定し、ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットがターゲットとするＵＲＬのアスキー文字のＳＵＭ値を演算し、前記メソッド、前記バージョン及び前記ＳＵＭ値にハッシュ関数を適用してハッシュ値を生成し、対応する送信元ＩＰアドレスに対応付けて前記記憶手段に記録することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

請求項１０記載の発明は、
請求項１乃至請求項９のいずれかに記載の発明であるファイアウォール装置において、
前記演算制御手段が、
特定のＩＰアドレスからＰＯＳＴメソッド以外のメソッドで同じＵＲＬに対して繰り返しアクセスする場合、不自然なアクセスであると判断することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

請求項１１記載の発明は、
請求項１乃至請求項９のいずれかに記載の発明であるファイアウォール装置において、
前記演算制御手段が、
特定のＩＰアドレスからＰＯＳＴメソッドで同じＵＲＬに大量のデータを送信する場合、不自然なアクセスであると判断することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

請求項１２記載の発明は、
請求項１乃至請求項９のいずれかに記載の発明であるファイアウォール装置において、
前記演算制御手段が、
特定のＩＰアドレスから適当なＵＲＬに大量のアクセスを行う場合、不自然なアクセスであると判断することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。
請求項１３記載の発明は、
請求項１乃至請求項１２のいずれかに記載の発明であるファイアウォール装置において、
前記演算制御手段が、
前記不自然なアクセスと判断されたパケットを分類した前記データ量、前記送信元ＩＰアドレス、前記応答コード、前記メソッド、前記当該バージョン、前記ＳＵＭ値又は前記ハッシュ値の少なくともいずれかを記録し、装置の設定を行うことにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

本発明によれば次のような効果がある。
請求項１，２，３，４，５，６，７，８，９，１０，１１，１２及び請求項１３の発明によれば、ファイアウォール装置（具体的には、演算制御手段）が、不自然なアクセスと判断されたパケットの送信元ＩＰアドレスを取得して一定期間当該ＩＰアドレスからのパケットのサーバへの転送をフィルタリング（遮断）すると共に、不自然なアクセスと判断されたパケットを適宜分類して情報を記録することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

以下本発明を図面を用いて詳細に説明する。図１は本発明に係るファイアウォール装置が設置されたネットワークシステムの一実施例を示す構成ブロック図である。

図１において７は通信の制限を行うファイアウォール装置、８は攻撃対象となる機器であるＷｅｂサーバ等のサーバ、１００ｂはインターネット等の汎用のネットワークである。ファイアウォール装置７の一方の通信入出力端はネットワーク１００ｂに相互に接続され、ファイアウォール装置７の他方の通信入出力端はサーバ８が相互に接続される。

また、図２はファイアウォール装置７の具体例を示す構成ブロック図である。図２において９はネットワーク１０１ｂとの間で通信を行う通信手段、１０はＣＰＵ（Central Processing Unit）等のファイアウォール装置全体を制御する演算制御手段、１１はＲＡＭ（Random Access Memory）、フラッシュメモリ、ハードディスク等の記憶手段、１２はサーバ８との間で通信を行う通信手段である。

また、９，１０，１１及び１２はファイアウォール装置５０を構成している。さらに、記憶手段１１にはファイアウォール装置５０全体を制御するためのプログラムが格納されている。

通信手段９の通信入出力端はネットワーク１０１ｂ（図示せず。）と相互に接続され、通信手段９の入出力は演算制御手段１０に相互に接続される。また、通信手段１２の通信入出力端はサーバ８の通信手段（図示せず。）と相互に接続され、通信手段１２の入出力は演算制御手段１０に相互に接続される。また、記憶手段１１も演算制御手段１０に相互に接続される。

ここで、図１及び図２に示す実施例の動作を図３を用いて説明する。図３はファイアウォール装置５０を構成する演算制御手段１０の動作を説明するフロー図である。

図３中”Ｓ００１”において演算制御手段１０は、通信手段９において受信されネットワーク１００ｂからサーバ８への通信を監視して、サーバ８に対して不自然なアクセスがあったか否かを判断する。例えば、具体的には不自然なアクセスとは下記に示すような３つのパターンを想定する。
（１）特定のＩＰアドレスからＰＯＳＴメソッド以外のメソッドで同じＵＲＬ（Uniform Resource Locator）やＵＲＩ（Uniform Resource Identifier）等（以下、単にＵＲＬとして表記する。）に対して繰り返しアクセスする。
（２）特定のＩＰアドレスからＰＯＳＴメソッドで同じＵＲＬに大量のデータを送信する。
（３）特定のＩＰアドレスから適当なＵＲＬに大量のアクセスを行う。

図３中”Ｓ００１”においてサーバ８に対して不自然なアクセスがあったと判断した場合には、図３中”Ｓ００２”において演算制御手段１０は、不自然なアクセスと判断されたパケットの送信元ＩＰアドレスを取得し、演算制御手段１０は一定期間当該ＩＰアドレスからのパケットのサーバ８への転送をフィルタリング（遮断）する。

そして、図３中”Ｓ００３”において演算制御手段１０は、不自然なアクセスと判断されたパケットの種類を分類する。具体的には、演算制御手段１０は、不自然なアクセスと判断されたパケットを”ＷＷＷ（World Wide Web）ポートへのパケット”、”ＷＷＷポートからのパケット”、或いは、”それ以外のパケット”に分類する。

さらに、演算制御手段１０は、先に分類された”ＷＷＷポートへのパケット”と、”ＷＷＷポートからのパケット”を”データパケット”、或いは、”ＨＴＴＰリクエストパケット”又は”ＨＴＴＰ（HyperText Transfer Protocol）リプライパケット”に分類する。

図３中”Ｓ００４”において演算制御手段１０は、”ＷＷＷポートへのパケット”且つ”データパケット”に分類されたパケットのデータ量を計測すると共に当該データ量を記憶手段１１に記録する。

図３中”Ｓ００５”において演算制御手段１０は、”ＷＷＷポートへのパケット”に分類されたパケットの送信元ＩＰアドレスを記憶手段１１に記録し、”ＷＷＷポートからのパケット”且つ”ＨＴＴＰリプライパケット”に分類されたパケットの応答コードを記憶手段１１に記録する。

図３中”Ｓ００６”において演算制御手段１０は。”ＷＷＷポートへのパケット”且つ”ＨＴＴＰリクエストパケット”に分類されたパケットのメソッド及びバージョンを判定する。

例えば、演算制御手段１０は、”ＷＷＷポートへのパケット”且つ”ＨＴＴＰリクエストパケット”に分類されたパケットが”ＰＯＳＴメソッド”、”ＧＥＴメソッド”、”ＨＥＡＤメソッド”、或いは、”その他のメソッド”であるか等を判定する。

また、例えば、演算制御手段１０は、”ＷＷＷポートへのパケット”且つ”ＨＴＴＰリクエストパケット”に分類されたパケットが”ＨＴＴＰ０．９”、”ＨＴＴＰ１．０”、”ＨＴＴＰ１．１”、或いは、”その他のバージョン”であるか等を判定する。

図３中”Ｓ００７”において演算制御手段１０は、”ＷＷＷポートへのパケット”且つ”ＨＴＴＰリクエストパケット”に分類されたパケットがターゲットとするＵＲＬのアスキー文字列のＳＵＭ値を演算する。

最後に、図３中”Ｓ００８”において演算制御手段１０は、”ＷＷＷポートへのパケット”且つ”ＨＴＴＰリクエストパケット”に分類されたパケットの判定されたメソッド、バージョン及びＳＵＭ値にハッシュ関数を適用してハッシュ値を生成し、対応する送信元ＩＰアドレスに対応付けて記憶手段１１に記録する。

ここで、ハッシュ関数とは、原文から固定長の疑似乱数（ハッシュ値）を生成する関数であって、このハッシュ関数は不可逆な一方向関数を含むために生成されたハッシュ値から元の原文を再現することはできない。また、同じハッシュ値となる異なるデータを作成することは極めて困難である。

このように、メソッド、バージョン及びＳＵＭ値等の複数の情報をハッシュ値として記録しておくことにより、記憶手段１１の記憶容量を節約することが可能になる。また、新たに取得したパケットのメソッド、バージョン及びＳＵＭ値等の複数の情報から生成されたハッシュ値が記憶手段１１に記憶されているハッシュ値と一致すれば同一のパケットであると判断することができる。

すなわち、ファイアウォール装置５０（具体的には、演算制御手段１０）は、不自然なアクセスと判断されたパケットの送信元ＩＰアドレスを取得して一定期間当該ＩＰアドレスからのパケットのサーバ８への転送をフィルタリング（遮断）すると共に、不自然なアクセスと判断されたパケットを適宜分類して情報を記録する。

このように記憶された情報は必要に応じてＩＳＰ（Internet Service Provider）の情報収集サーバ等にアップロードして提供することができ、攻撃パケットの対応に活用することが可能になる。

また、リバースプロキシサーバを用いないので、パケットを一旦蓄積する際に、クライアントとの間で接続を一旦確立する必要性はなく無駄なトラフィックを低減することができる。

この結果、ファイアウォール装置５０（具体的には、演算制御手段１０）が、不自然なアクセスと判断されたパケットの送信元ＩＰアドレスを取得して一定期間当該ＩＰアドレスからのパケットのサーバ８への転送をフィルタリング（遮断）すると共に、不自然なアクセスと判断されたパケットを適宜分類して情報を記録することにより、装置の設定が容易で無駄なトラフィックの低減が可能になる。

なお、図１に示す実施例の説明に際しては、分類されたパケットの判定されたメソッド、バージョン及びＳＵＭ値にハッシュ関数を適用してハッシュ値を生成する旨記載されているが、メソッド、バージョン及びＳＵＭ値それぞれにハッシュ関数を適用してハッシュ値を生成しても構わない。

また、記憶手段１１の記憶容量に余裕があれば、ハッシュ値に変換することなく、そのまま情報を記録しておいても構わない。

また、図１に示す実施例の説明では、記憶手段１１に記憶する情報としてはデータ量、送信元ＩＰアドレス、応答コード、ハッシュ値（具体的には、メソッド、バージョン及びＳＵＭ値）が例示されているが、勿論、これに限定される訳ではなく、データ量、送信元ＩＰアドレス、応答コード、或いは、ハッシュ値のうち少なくとも一つを記憶手段１１に記録するものであっても構わない。

本発明に係るファイアウォール装置が設置されたネットワークシステムの一実施例を示す構成ブロック図である。 ファイアウォール装置の具体例を示す構成ブロック図である。 ファイアウォール装置を構成する演算制御手段の動作を説明するフロー図である。 ファイアウォール装置が設置されたネットワークシステムの一例を示す構成ブロック図である。 ファイアウォール装置が設置されたネットワークシステムの他の一例を示す構成ブロック図である。

符号の説明

１ 侵入検知装置
２，４，７，５０ ファイアウォール装置
３，６，８ サーバ
５ リバースプロキシサーバ
９，１２ 通信手段
１０ 演算制御手段
１１ 記憶手段
１００，１００ａ，１００ｂ，１０１，１０１ａ ネットワーク

Claims (13)

1. ファイアウォール装置において、
   ネットワークとの間で通信を行う第１の通信手段と、
   攻撃対象となる機器との間で通信を行う第２の通信手段と、
   記憶手段と、
   前記第１の通信手段で受信され不自然なアクセスと判断されたパケットの送信元ＩＰアドレスを取得して一定期間当該ＩＰアドレスからのパケットの前記機器へ転送を遮断すると共に前記パケットを分類して情報を前記記憶手段に記録する演算制御手段と
   を備え、
   前記演算制御手段が、
   前記第１の通信手段で受信され不自然なアクセスと判断されたパケットの送信元ＩＰアドレスを取得して一定期間当該ＩＰアドレスからのパケットのサーバへの転送を遮断し、 不自然なアクセスと判断された前記パケットをＷＷＷポートへのパケット、ＷＷＷポートからのパケット、或いは、それ以外のパケットに分類し、
   ＷＷＷポートへのパケットと、ＷＷＷポートからのパケットをデータパケット、或いは、ＨＴＴＰリクエストパケット又はＨＴＴＰリプライパケットに分類することを特徴とするファイアウォール装置。
2. 前記演算制御手段が、
   ＷＷＷポートへのパケット、且つ、データパケットに分類されたパケットのデータ量を計測すると共に当該データ量を前記記憶手段に記録することを特徴とする請求項１記載のファイアウォール装置。
3. 前記演算制御手段が、
   ＷＷＷポートへのパケットに分類されたパケットの送信元ＩＰアドレスを前記記憶手段に記録することを特徴とする請求項１記載のファイアウォール装置。
4. 前記演算制御手段が、
   ＷＷＷポートからのパケット、且つ、ＨＴＴＰリプライパケットに分類されたパケットの応答コードを前記記憶手段に記録することを特徴とする請求項１記載のファイアウォール装置。
5. 前記演算制御手段が、
   ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットのメソッドを判定して当該メソッドを前記記憶手段に記録することを特徴とする請求項１記載のファイアウォール装置。
6. 前記演算制御手段が、
   ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットのバージョンを判定して当該バージョンを前記記憶手段に記録することを特徴とすることを特徴とする請求項１記載のファイアウォール装置。
7. 前記演算制御手段が、
   ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットがターゲットとするＵＲＬのアスキー文字のＳＵＭ値を演算して当該ＳＵＭ値を前記記憶手段に記録することを特徴とする請求項１記載のファイアウォール装置。
8. 前記演算制御手段が、
   ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットのメソッド及びバージョンを判定し、
   ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットがターゲットとするＵＲＬのアスキー文字のＳＵＭ値を演算し、
   前記メソッド、前記バージョン及び前記ＳＵＭ値にハッシュ関数を適用してハッシュ値を生成し、対応する送信元ＩＰアドレスに対応付けて前記記憶手段に記録することを特徴とする請求項１記載のファイアウォール装置。
9. 前記演算制御手段が、
   ＷＷＷポートへのパケット、且つ、データパケットに分類されたパケットのデータ量を計測すると共に当該データ量を前記記憶手段に記録し、
   ＷＷＷポートへのパケットに分類されたパケットの送信元ＩＰアドレスを前記記憶手段に記録し、
   ＷＷＷポートからのパケット、且つ、ＨＴＴＰリプライパケットに分類されたパケットの応答コードを前記記憶手段に記録し、
   ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットのメソッド及びバージョンを判定し、
   ＷＷＷポートへのパケット、且つ、ＨＴＴＰリクエストパケットに分類されたパケットがターゲットとするＵＲＬのアスキー文字のＳＵＭ値を演算し、
   前記メソッド、前記バージョン及び前記ＳＵＭ値にハッシュ関数を適用してハッシュ値を生成し、対応する送信元ＩＰアドレスに対応付けて前記記憶手段に記録することを特徴とする請求項１記載のファイアウォール装置。
10. 前記演算制御手段が、
    特定のＩＰアドレスからＰＯＳＴメソッド以外のメソッドで同じＵＲＬに対して繰り返しアクセスする場合、不自然なアクセスであると判断することを特徴とする
    請求項１乃至請求項９のいずれかに記載のファイアウォール装置。
11. 前記演算制御手段が、
    特定のＩＰアドレスからＰＯＳＴメソッドで同じＵＲＬに大量のデータを送信する場合、不自然なアクセスであると判断することを特徴とする
    請求項１乃至請求項９のいずれかに記載のファイアウォール装置。
12. 前記演算制御手段が、
    特定のＩＰアドレスから適当なＵＲＬに大量のアクセスを行う場合、不自然なアクセスであると判断することを特徴とする
    請求項１乃至請求項９のいずれかに記載のファイアウォール装置。
13. 前記演算制御手段が、
    前記不自然なアクセスと判断されたパケットを分類した前記データ量、前記送信元ＩＰアドレス、前記応答コード、前記メソッド、前記当該バージョン、前記ＳＵＭ値又は前記ハッシュ値の少なくともいずれかを記録し、装置の設定を行うことを特徴とする
    請求項１乃至請求項１２のいずれかに記載のファイアウォール装置。

Images