JP4753264B2 - ネットワーク攻撃を検出するための方法、装置、およびコンピュータ・プログラム（ネットワーク攻撃の検出） - Google Patents

Description

本発明は、ネットワーク攻撃（network attack）を検出する分野に関し、更に具体的には、攻撃を発生したユーザ・システムにローカルにデータ通信ネットワークに対する攻撃を検出することに関する。

インターネットは、複数の相互接続されたデータ・ネットワークで形成されている広域データ通信ネットワークである。動作において、インターネットは、遠隔配置された様々なデータ処理システム間のデータ通信を容易にする。通常、インターネットに接続されたエンド・ユーザのデータ処理システムは、クライアント・データ処理システムまたは単にクライアントと称される。同様に、エンド・ユーザがインターネットを介してアクセスするウエブ・サイトおよびサービスのホストとなるデータ処理システムは、サーバ・データ処理システムまたは単にサーバと呼ばれる。エンド・ユーザのデータ処理システムとホストのデータ処理システムとの間には、インターネットを介して完成されるクライアント−サーバの関係がある。

インターネットは、消費者、小売業者、およびサービス・プロバイダ間で電子的に実施される商取引を容易にするための重要な通信ネットワークとなっている。インターネットに対するアクセスは、典型的に、インターネット・サービス・プロバイダ（ＩＳＰ）を介して、かかるエンティティに与えられる。通常、各ＩＳＰはオープン・ネットワークを運営しており、これにクライアントが加入する。各クライアントには、ネットワーク上で一意のインターネット・プロトコル（ＩＰ）・アドレスが与えられる。同様に、ネットワーク上の各サーバには一意のＩＰアドレスが与えられる。ＩＰＳが運営するネットワークは、通常はルータと呼ばれる専用のデータ処理システムを介してインターネットに接続される。動作において、ルータは、インターネットからネットワーク上の指定されたＩＰアドレスに、インバウンドの通信トラヒックを送出する。同様に、ルータは、ネットワークからインターネット上の指定されたアドレスの方向に、アウトバウンドの通信トラヒックを送出する。

多くの人々および企業が直面する問題は、彼らが用いるネットワークに対する電子的な攻撃の頻度が高まっていることである。かかる攻撃には、コンピュータ・ウィルス攻撃および、いわゆる「ワーム（worm）」攻撃が含まれる。この種の攻撃は、ネットワークに著しい性能の劣化をもたらす。一般に、ネットワークに接続されている感染したシステムは、ネットワーク内に感染を広げようとする。多くのユーザは、自分のシステムが感染していることに気付かない。

既知の侵入検出センサは、潜在的な攻撃者によるサービス・インタラクションを偽装する（spoof）。センサは、他の場合には用いられないＩＰアドレスでマシンおよびサービスの存在を偽装することによって機能する。それらのアドレスは他の場合には用いられないので、それらに向けられた全てのトラヒックは推測的に疑わしいものである。センサはサービスを偽装して、トラヒックの背後にある意図を明らかにする。センサ自体は、仮想化インフラストラクチャを与え、これによって個々のセンサは単一のホスト上で動作しているかのように書き込むことができる。

ＷＯ２００４／１０７７０６号は、データ通信ネットワークに対する攻撃を検出するための侵入検出センサ（ＩＤＳ：intrusion detection sensor）を開示する。このＩＤＳは、いずれかの割り当てられたアドレスで発生していずれかの割り当てられていないアドレスにアドレスされるネットワーク上のデータ・トラヒックを識別し、そう識別されたデータ・トラヒックを調べて攻撃を示すデータを探し、必要な場合には警告信号を発生する。

「割り当てられていない」という言葉は、この文脈で用いる場合、侵入を検出するためまたは攻撃署名を発生するための装置以外の物理デバイスに割り当てられていないアドレスを含むものとして用いる。ＷＯ２００４／１０７７０６号に開示された方法を実行するように設計された装置は、この方法を利用するために、その「割り当てられていない」アドレスが実際に割り当てられているデバイスである。それらのアドレスは、署名発生または侵入検出とは異なる別の機能を有するいずれかのデバイスに割り当てられていない限りは、割り当てられていない。
国際公開ＷＯ２００４／１０７７０６号

上述のＩＤＳにおいては、割り当てら得ていないアドレス・ブロックをＩＤＳに指定して、ＩＤＳがこれらの割り当てられていないアドレスへのあらゆるデータ・トラヒックに対する応答を偽装することができるようにする。また、ＩＤＳは、データ・トラヒックの発信側ユーザ・システムから地理的に遠くにあり、発信側ユーザ・システムに対策を講じることが難しい場合がある。

本発明の目的は、未使用またはアクセス不可能なアドレスに対する攻撃を検出するためのシステムを提供することである。更に別の目的は、ローカルな問題のローカルな報告を行うことである。更に、この検出は、攻撃側のエンティティに対して透明に実現することができる。

本発明の第１の態様によれば、データ通信ネットワークに対する攻撃を検出するための方法が提供される。この方法は、発信側ユーザ・システムにアドレスされたリターン・メッセージを監視するステップと、指定された性質のリターン・メッセージを識別するステップと、発信側ユーザ・システムからの以降のメッセージを侵入検出センサに一時的にルーティングするステップと、を含む。指定された性質という言葉は、特定の性質を有するかまたは所定のタイプのものであるメッセージとして理解される。また、監視手段は、メッセージ・チェッカとも称し、リターン・メッセージが特定の性質を有するか否かを調べるフィルタとして機能する。メッセージ・チェッカが探している性質をリターン・メッセージが有すると認識されると、リターン・メッセージは再ルーティングが行われる。従って、メッセージ・チェッカは、リターン・メッセージ・タイプによって動作されるスイッチと見ることができる。メッセージ・チェッカは、同時に複数の異なる特定の性質を調べることができ、それらの性質の１つ以上が存在することがわかると再ルーティングを実行する。

好ましくは、侵入検出センサは発信側ユーザ・システムにローカルである。すなわち、侵入検出センサは発信側システムと同じネットワークに接続されている。ネットワークという言葉は、本発明において、ネットワーク可能ユニットの集合として理解され、ネットワークの境界は境界ルータまたはエッジ・ルータによって表される。これらのルータは、他のネットワークに対する接続を処理する。あるネットワークは、より大きなネットワークに対するサブネットワークとなることができる。侵入検出センサは、発信側ユーザ・システムとのやり取りを偽装することができる。このように、アクセス不可能なアドレスに送出されたメッセージの発信側ユーザ・システムにローカルな侵入検出センサは、発信側ユーザ・システムの意図の性質を明らかにすることができる。換言すると、本発明では、攻撃側エンティティのいっそう近くで攻撃を検出し報告することができる。

リターン・メッセージは、発信側ユーザ・システムが宛先アドレスに送信したメッセージに関連するものとすることができ、一時的にルーティングするステップは、発信側ユーザ・システムから宛先アドレスに創出される以降のメッセージ全てを侵入検出センサに再ルーティングすることができる。

リターン・メッセージの指定された性質は、宛先アドレスがアクセス不可能であることを示すものとすることができる。例えば、リターン・メッセージの指定された性質は、接続の失敗を示すインターネット制御メッセージ・プロトコルのメッセージとすることができる。

一時的なルーティングは所定の時間期間だけ適用し、その後は通常のルーティングを再開することができる。また、この方法は、発信側ユーザ・システムにアドレスされたと識別された指定された性質のリターン・メッセージの数が所定の閾値を超えた場合に、一時的なルーティングをトリガするステップを含むことができる。この閾値は、無害なトラヒックとスパム等の有害なトラヒックとを区別するために使用可能である。

本発明の第２の態様によれば、データ通信ネットワークに対する攻撃を検出するための装置が提供される。この装置は、ルータであって、このルータにローカルな発信側ユーザ・システムにアドレスされたリターン・メッセージを監視するための機構を含む、ルータと、侵入検出センサと、を含み、その機構が、指定された性質のリターン・メッセージを識別するためのメッセージ・トラッカと、発信側ユーザ・システムからの以降のメッセージを侵入検出センサに一時的にルーティングするための手段と、を含む。

好ましくは、侵入検出センサはルータにローカルである。侵入検出センサは、発信側ユーザ・システムとのやり取りを偽装するための手段を含むことができる。侵入検出センサは、各々がサービスを偽装する複数の仮想センサを有する仮想化インフラストラクチャを含むことができる。

本発明の第３の態様によれば、ルータが提供される。このルータは、ルータにローカルな発信側ユーザ・システムにアドレスされたリターン・メッセージを監視するための機構と、指定された性質のリターン・メッセージを識別するための手段と、発信側ユーザ・システムからの以降のメッセージを侵入検出センサに一時的にルーティングするための手段と、を含む。

本発明の第４の態様によれば、データ通信システムが提供される。このシステムは、ネットワークにおける複数のデータ処理システムと、データ処理システムへのメッセージおよびデータ処理システムからのメッセージをルーティングするための、データ処理システムにローカルなルータであって、ルータにローカルなデータ処理システムの１つの形態の発信側ユーザ・システムにアドレスされたリターン・メッセージを監視するための機構を含む、ルータと、侵入検出センサと、を含み、その機構が、指定された性質のリターン・メッセージを識別するための手段と、発信側ユーザ・システムからの以降のメッセージを侵入検出センサに一時的にルーティングするための手段と、を含む。

本発明の第５の態様によれば、コンピュータ・プログラム・コード手段を含むコンピュータ・プログラム要素が提供される。これは、データ処理システムのプロセッサにロードされた場合に、プロセッサが、発信側ユーザ・システムにアドレスされたリターン・メッセージを監視するステップと、指定された性質のリターン・メッセージを識別するステップと、発信側ユーザ・システムからの以降のメッセージを侵入検出センサに一時的にルーティングするステップと、から成る方法を実行するように構成する。

発信側ユーザ・システムからのプロセスが未使用またはアクセス不可能なアドレス（例えばファイアウォールの陰で）に交信しようとすると、発信側ユーザ・システムにローカルなルータにＩＣＭＰ（インターネット制御メッセージ・プロトコル）メッセージを戻して、発信側ユーザ・システムに、その宛先が到着不可能であることを、その理由についてのいくらかの詳細と共に知らせる。このメッセージは、発信側ユーザ・システムにローカルなルータによって傍受され、発信側ユーザ・システムからの全てのトラヒックは一時的にＩＤＳを介してルーティングされる。

これより、添付図面を参照して、一例としてのみ、本発明の実施形態について説明する。

最初に図１を参照すると、データ処理システムは、中央演算処理装置（ＣＰＵ）１０、入出力（Ｉ／Ｏ）サブシステム２０、およびメモリ・サブシステム４０を含み、これらは全てバス・サブシステム３０によって相互接続されている。メモリ・サブシステム４０は、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリ・メモリ（ＲＯＭ）、および、ハード・ディスク・ドライブ、光ディスク・ドライブ等の１つ以上のデータ・ストレージ・デバイスを含むことができる。Ｉ／Ｏサブシステム２０は、ディスプレイ、プリンタ、キーボード、マウスやトラックボール等のポインティング・デバイス、および、このデータ処理システムと１つ以上の同様のシステムあるいは周辺デバイスまたはそれら両方との間のデータ通信ネットワークを介した通信を可能とする１つ以上のネットワーク接続を含むことができる。かかるネットワークによって相互接続されたそのようなシステムおよびデバイスの組み合わせは、それ自体、分散型データ処理システムを形成することができる。かかる分散型システムは、それ自体、追加のデータ通信ネットワークによって相互接続することができる。

メモリ・サブシステム４０には、データ６０と、ＣＰＵ１０によって実行可能なコンピュータ・プログラム・コード５０とがストアされている。プログラム・コード５０は、オペレーティング・システム・ソフトウェア９０およびアプリケーション・ソフトウェア８０を含む。オペレーティング・システム・ソフトウェア９０は、ＣＰＵ１０によって実行されると、アプリケーション・ソフトウェア８０を実行可能なプラットフォームを提供する。

ここで図２を参照すると、侵入検出センサ（ＩＤＳ）の実施形態と共に、インターネット・アーキテクチャの一例の抜粋が示されている。この例のアーキテクチャでは、２つのデータ通信ネットワーク１００、２００が図示されている。これは一例としてのアーキテクチャであり、多くの異なる形態のデータ通信ネットワークを提供可能であることは認められよう。

図２は、第１のデータ通信ネットワーク１００および第２のデータ通信ネットワーク２００を示し、第１のネットワーク１００においてデータ処理システム１２０に割り当てるための複数のアドレス１１０と、第２のネットワーク２００においてデータ処理システム２２０に割り当てるための複数のアドレス２１０とを有する。ネットワーク１００、２００は、複数の割り当て可能インターネット・プロトコル（ＩＰ）・アドレス１１０、２１０を有するインターネット・サービス・インストールの形態とすることができる。ネットワーク１００、２００は各々、ルータ１３０、２３０を介してインターネット１５０に接続されている。

ルータ１３０、２３０は、図１を参照して前述したようなデータ処理システムの形態で実施することができ、適切なプログラミングによって、ルータ１３０、２３０が接続されているインターネット１５０とネットワーク１００、２００との間で、データ・パケットの形態の通信トラヒックを、データ・パケットに指定されたＩＰアドレス・データに基づいてルーティングするタスクに専用のものである。

第１のデータ通信ネットワーク１００においては、インターネット・サービスのユーザに属するシステム１２０にＩＰアドレス１１０が割り当てられている。各システム１２０は、図１を参照して前述したデータ処理システムとすることができる。ネットワーク１００上の第２のＩＰアドレス群１４０は空いている。更に具体的には、第２のＩＰアドレス群１４０はユーザ・システムに割り当てられていない。ネットワーク１００には、侵入検出センサ（ＩＤＳ）１６０が接続されている。また、ＩＤＳ１６０はルータ１３０にも接続されている。

第２のデータ通信ネットワーク２００上のユーザ・システム２２０から、ワームまたは他の攻撃等のプロセス２４０が発生する場合がある。プロセス２４０は、他のネットワーク１００上の広範囲のアドレスにアドレスされる場合がある。プロセス２４０が、ユーザ・システムに割り当てられていない第１のネットワーク１００上の第２のＩＰアドレス群１４０の１つ等、割り当てられていないアドレスにアドレスされた場合、プロセス２４０はＩＤＳ１６０にルーティングされ、ＩＤＳ１６０はプロセス２４０に対する応答を偽装して警告を発生する。

図３に、ＩＤＳ１６０の一例の内部アーキテクチャをより詳細に示す。他の形態のＩＤＳも既知であり、本発明において使用可能である。ＩＤＳ１６０は、他の場合には未使用のＩＰアドレスでマシンおよびサービスの存在を偽装することによって動作する。それらのＩＰアドレスは他の場合には未使用であるので、それらのアドレスに向けられた全てのトラヒックは推測的に疑わしいものである。ＩＤＳ１６０は、単に接続の試みを記録するのではなく、サービスを偽装して、トラヒックの背後にある意図を明らかにする。

ＩＤＳ１６０は、ログインの制約を超えた実際のサービスを提供しないセキュリティ強化したマシンに加えて構築される。ＩＤＳ１６０は仮想化インフラストラクチャ３１０を提供し、これによって、個々のセンサ３１１〜３１５は単一のホスト上で動作しているかのように動作することができる。また、これは、リレーショナル・データベース３３０に基づいたログイン・インフラストラクチャ３２０を提供し、これによって、多数の仮想センサ３１１〜３１５が生成する多量のデータの相関関係および分析を可能とする。仮想センサ３１１〜３１５が提供するサービスは、ハイパーテキスト・トランスファ・プロトコル（ＨＴＴＰ）、Microsoft社の分散型コンポーネント・オブジェクト・モデル、ＳＱＬ（Structured Query Language）、およびWindows（Ｒ）のファイル共有および印刷（ＳＭＢ）を含むことができる。

図４を参照すると、本発明の一例の実施形態において、悪質なワーム・プロセス等のプロセス４４０が発生するＩＰアドレス４１０を有するユーザ・システム４２０を含む第１のデータ通信ネットワーク４００が提供される。プロセス４４０は、例えば図４に示した第２のネットワーク５００等の他のネットワークを介して、ユーザ・システム５２０の広い範囲のＩＰアドレス５１０にアドレスされる場合がある。

プロセス４４０は、例えばファイアウォールの陰で、未使用またはアクセス不可能なＩＰアドレス５４０にアドレスされることがある。この場合、アクセス不可能なアドレスにローカルなルータ５３０から、ＩＣＭＰ（インターネット制御メッセージ・プロトコル）メッセージが戻される。このルータは、この例では第２のネットワーク５００のルータ５３０である。ＩＣＭＰメッセージは、プロセス４４０の発信側ユーザ・システム４２０にアドレスされ、宛先に到着できないことと、その理由についてのいくらかの詳細とを示す。

発信側ユーザ・システム４２０にローカルなルータ４３０において、ＩＣＭＰメッセージを捕捉するための機構が設けられている。ＩＣＭＰメッセージは、発信側ユーザ・システム４２０にローカルなルータ４３０に、発信側ユーザ・システム４２０から宛先へのトラヒックは全てローカル侵入検出センサ（ＩＤＳ）１６０を介して与えられるかまたはルーティングしなければならないことを伝える。次いで、ローカルＩＤＳ１６０は発信側ユーザ・システム４２０とインタラクトして、試みられた接続の根本的な原因を明らかにすることができる。

各ネットワーク４００、５００は、インターネット１５０を通るトラヒックを管理するルータ４３０、５３０を有する。ルータは、データのＩＰパケットを開いて宛先アドレスを読み取り、最良のルートを計算し、次いでそのパケットをその最終的な宛先に送出する。宛先が送出元のコンピュータと同じネットワーク上にある場合、ルータは直接パケットを宛先のコンピュータに送出する。パケットがローカル・ネットワーク外の宛先に向かう場合、ルータは、宛先に近い別のルータにパケットを送出する。次いでそのルータがパケットをより近いルータに送出し、ついにはパケットがその最終的な宛先に到着する。

ルータ４３０、５３０は、２つ以上の物理ポートを有する。すなわち入力ポートおよび出力ポートである。入力ポートがパケットを受信すると、ルーティング・プロセスと呼ばれるソフトウェア・ルーチンが実行される。このプロセスはＩＰパケットのヘッダ情報内を見て、データを送出するアドレスを見出す。次いで、このアドレスを、ルーティング・テーブルと呼ばれる内部データベースと比較する。このデータベースは、様々なＩＰアドレスを有するパケットを送出するポートに関する詳細な情報を有する。ルータ・テーブルにおいて見出したものに基づいて、ルータはパケットを特定の出力ポートに送出し、これがデータを次のルータまたは宛先自体に送出する。

インターネットの動作はルータによって監視され、接続を完了することができない場合、そのイベントがＩＣＭＰ（インターネット制御メッセージ・プロトコル）によって報告される。様々な異なるタイプのＩＣＭＰメッセージが規定され、各メッセージ・タイプはＩＰパケットにおいてカプセル化されている。例えば、サブネットまたはルータがホスト宛先の位置を突き止めることができない場合、「宛先に到着不可能」メッセージが用いられる。宛先のネットワークの位置を突き止めることができない場合、「ネットワークに到着不可能」メッセージが用いられる。

図５を参照すると、本発明の一例の実施形態では、ルータ４３０において、リルータ（rerouter）とも称する再ルーティング機構４６０が、ルータ４３０にローカルなＩＰアドレス４１０に戻されるメッセージの性質を識別する。発信ＩＰアドレス４１０を有する発信側ユーザ・システム４２０は、メッセージ５０１を宛先アドレスに送出する。機構４６０によって、到着不可能な宛先を示すＩＣＭＰメッセージとしてリターン・メッセージ５１１が識別されると、機構４６０は一時的なルート５４１を設定して、発信ＩＰアドレス４１０から到着不可能な宛先にアドレスされたトラヒックを、ルータ４３０にローカルなＩＤＳ１６０に送出する。機構３５０は、そのため、傍受したリターン・メッセージ５１１の性質を分析して指定された性質のものを識別可能なメッセージ・チェッカを含むことができる。この識別は、指定された性質のものではないリターン・メッセージに影響を与えないフィルタのように機能する。他のメッセージ５１１は、リルータによってＩＤＳ１６０に再ルーティングされる。リルータは別個のハードウェア・デバイスである必要はない。これは、ポリシに従ってリターン・メッセージ５１１を再ルーティングするルータ４３０の機能とすることができる。ルータ４３０は、１つ以上のポリシを実行して、再方向付けおよび再ルーティングの性質を決定することができる。例えば、再方向付けは、監視されたタイプのリターン・メッセージ５１１の数が所定の閾値を超えた場合にのみ実行することができる。一時的なルート５４１は、例えば３０秒等の所定の時間期間だけ継続するように時間を調節することができる。

メッセージ５０１に応答して、インターネット１５０における遠隔ルータによって、発信側ユーザ・システム４２０にローカルなルータ４３０へとＩＣＭＰメッセージ５１１が戻される。機構４６０はＩＣＭＰメッセージ５１１を傍受する。リターン・メッセージ５１１は、指定された性質のもの、すなわちここでは到着不可能な宛先を示すものと識別されるので、機構４６０は、発信側ユーザ・システム４２０から宛先までの全てのトラヒックがローカルＩＤＳ１６０を介して与えられるかまたはルーティングされるように再ルーティングを行う。機構４６０は一時的なルート５４１を設定し、発信ＩＰアドレス４１０からアクセス不可能なアドレスに送出されるこの後のメッセージがいずれもＩＤＳ１６０に再ルーティングされるようにする。ＩＤＳ１６０は、アクセス不可能なアドレスに見せかけることによって、発信側ユーザ・システム４２０とのやり取りを偽装する（５３１）ことができる。次いで、ＩＤＳ１６０は、発信側ユーザ・システム４２０がアクセス不可能アドレスに試みた交信の性質を求めることができ、試みられた交信が悪意のものである場合には、同じルータ・ネットワーク内でローカルに警告を発することができる。

図６は、ルータ４３０における機構４６０のプロセス６００のフロー図である。プロセス６００は、機構４６０が、発信側ユーザ・システムにアドレスされたリターン・メッセージ５１１を監視すること（６１０）、指定された性質のリターン・メッセージ５１１を識別すること（６２０）、発信側ユーザ・システム４２０からの以降のメッセージを一時的に侵入検出センサ１６０にルーティングすること（６３０）を含む。ＩＤＳ１６０は、前述のようなセンサとすることができ、発信側ユーザ・システム４２０に対する応答を偽装する。

従来のＩＤＳの全ての利点に加えて、この機構は、より正確にかつよりローカルに警告を発し、従って再分配アーキテクチャの必要性を小さくする。これによって、ローカル・ネットワークにおいて感染したマシンを効率的に検出するという問題に直接対応する。これはローカル・ネットワーク管理者にとって貴重な情報であり、ローカル・ネットワーク管理者が何もすることができない遠隔の感染システムを検出するのとは異なる。このため、本発明は、侵入者の近くで侵入を検出することを可能とし、これによって、侵入者を含む分野を担当するネットワーク管理者は、適切な行動によって侵入に対処することができる。侵入検出を行うのが侵入者に近くなればなるほど、管理者はそういった行動をいっそう適切に行うことができる。

別の利点は、異なるネットワーク間に存在する全ての未使用またはアクセス不可能なアドレスの結果として、ＩＣＭＰメッセージ５１１が戻されることである。従って、未使用アドレスをＩＤＳに割り当てる必要はない。この機構は、宛先アドレスがアクセス不可能であることを示すＩＣＭＰメッセージ５１１が戻されることに基づいている。

本発明は、通常、コンピュータまたは同様のデバイスを制御するための１組のプログラム命令を含むコンピュータ・プログラムとして実施される。これらの命令は、システム内に予めロードするか、またはＣＤ−ＲＯＭ等のストレージ媒体上に記録して供給することができ、または、インターネットもしくは移動電話ネットワーク等のネットワークからのダウンロードを利用可能とすることができる。

また、本発明は、クライアント・システムとも称するサービスを利用するエンティティにサービスを提供するサービス提供エンティティによって実現可能である。このサービスは、以下の１つ以上とすることができる。すなわち、サービスを利用するエンティティの環境内のまたはその環境のための本発明に従ったデバイスまたはシステムのインストール、そこで実行するために使用可能なインフラストラクチャの展開、特にコンピューティング・インフラストラクチャの展開または統合である。これは、コンピューティング・システム内にコンピュータ読み取り可能コードを統合することを含み、コードはコンピューティング・システムと組み合わせて本発明に従った方法を実行することができる。本発明の状況において、サービス提供エンティティは、発信側ユーザ・システムからの侵入に対する装備をクライアント・システムに提供することができる。これによって、サービス提供エンティティは、サービスを利用するエンティティのネットワーク内で感染したマシンを効率的に検出することができ、または、サービスを利用するエンティティのネットワークを攻撃する感染マシンを検出することができる。装備の方法は、侵入検出センサ１６０をルータ４３０に接続するステップと、発信側ユーザ・システム４２０にアドレスされたリターン・メッセージ５１１を監視し（６１０）、指定された性質のリターン・メッセージ５１１を識別し（６２０）、同じ発信側ユーザ・システム４２０からの以降のメッセージを一時的に前記侵入検出センサ１６０にルーティングする（６３０）機能をルータ４３０に与えるステップと、を含むことができる。ＩＤＳ１６０は、サービス提供エンティティによって所有またはリースされる装備とすることができる。特に、サービス提供エンティティは、同時にいくつかのサービス利用エンティティにこのＩＤＳ１６０を用い、従ってこのリソースを共有することができる。これは、侵入検出性能に関してＩＤＳ１６０に交信を実行すると、接続されたサービス利用エンティティの全てにその作用が及ぶという利点がある。別の利点は、このサービスがサービス利用エンティティに対して透明に実現可能であるということである。

本発明の範囲から逸脱することなく、前述のものに改良および変更を行うことができる。

従来技術において既知のデータ処理システムのブロック図である。 既知の侵入検出センサの一実施形態を示すデータ処理ネットワークのブロック図である。 既知の侵入検出センサのブロック図である。 本発明に従ったデータ処理ネットワークのブロック図である。 図４のデータ処理ネットワークの詳細であり、本発明に従ったメッセージの再ルーティングを示す。 本発明に従った方法または再ルーティングのフロー図である。

Claims (17)

1. データ通信ネットワークに対する攻撃を検出するための方法であって、
   発信側ユーザ・システムにローカルなルータが、当該発信側ユーザ・システムにアドレスされたリターン・メッセージを監視するステップと、
   前記ルータが、指定された性質のリターン・メッセージを識別するステップであって、当該リターン・メッセージの前記指定された性質が、宛先アドレスがアクセス不可能であることを示す、前記識別するステップと、
   前記ルータが、前記発信側ユーザ・システムからの以降のメッセージを侵入検出センサに一時的にルーティングするステップであって、当該侵入検出センサが前記発信側ユーザ・システムにローカルである、前記ルーティングするステップと
   を含む、前記方法。
2. 前記侵入検出センサが前記発信側ユーザ・システムとのやり取りを偽装するステップを更に含む、請求項１に記載の方法。
3. 前記リターン・メッセージが、前記発信側ユーザ・システムが宛先アドレスに送信したメッセージに関連し、
   前記一時的にルーティングするステップが、前記発信側ユーザ・システムから前記宛先アドレスへの以降のメッセージ全てに適用される、請求項１又は２に記載の方法。
4. 前記リターン・メッセージの前記指定された性質が、接続の失敗を示すインターネット制御メッセージ・プロトコルのメッセージを含むように選択される、請求項１〜３のいずれか１項に記載の方法。
5. 前記一時的にルーティングするステップが、所定の時間期間だけ適用される、請求項１〜４のいずれか１項に記載の方法。
6. 所定の閾値を超えた数の指定された性質のリターン・メッセージが発信側ユーザ・システムにアドレスされていると識別された場合に、前記一時的なルーティングをトリガするステップを更に含む、請求項１〜５のいずれか１項に記載の方法。
7. データ通信ネットワークに対する攻撃を検出するための装置であって、
   ルータであって、当該ルータにローカルな発信側ユーザ・システムにアドレスされたリターン・メッセージを監視するための機構を含む、前記ルータと、
   侵入検出センサと
   を含み、
   前記機構が、
   指定された性質のリターン・メッセージを識別するためのメッセージ・チェッカであって、当該リターン・メッセージの前記指定された性質が、宛先アドレスがアクセス不可能であることを示す、前記メッセージ・チェッカと、
   前記発信側ユーザ・システムからの以降のメッセージを前記侵入検出センサに一時的にルーティングするためのリルータであって、当該侵入検出センサが前記発信側ユーザ・システムにローカルである、前記リルータと、
   を含む、前記装置。
8. 前記侵入検出センサが前記発信側ユーザ・システムとのやり取りを偽装するように設計されている、請求項７に記載の装置。
9. 前記侵入検出センサが、各々がサービスを偽装する複数の仮想センサを有する仮想化インフラストラクチャを含む、請求項８に記載の装置。
10. 前記リターン・メッセージが、前記発信側ユーザ・システムが宛先アドレスに送信したメッセージに関連し、
    前記リルータが、前記発信側ユーザ・システムから前記宛先アドレスへの以降のメッセージ全てについて動作する、請求項７〜９のいずれか１項に記載の装置。
11. 前記リターン・メッセージの前記指定された性質が、接続の失敗を示すインターネット制御メッセージ・プロトコルのメッセージである、請求項７〜１０のいずれか１項に記載の装置。
12. 前記リルータが所定の時間期間だけアクティブである、請求項７〜１１のいずれか１項に記載の装置。
13. 前記リルータが、発信側ユーザ・システムにアドレスされていると識別された指定された性質のリターン・メッセージが所定の閾値を超えたか否かを判定するための判定装置を含む、請求項７〜１２のいずれか１項に記載の装置。
14. ルータであって、
    前記ルータにローカルな発信側ユーザ・システムにアドレスされたリターン・メッセージを監視するための機構と、
    指定された性質のリターン・メッセージを識別するためのメッセージ・チェッカであって、当該リターン・メッセージの前記指定された性質が、宛先アドレスがアクセス不可能であることを示す、前記メッセージ・チェッカと、
    前記発信側ユーザ・システムからの以降のメッセージを侵入検出センサに一時的にルーティングするためのリルータであって、当該侵入検出センサが、前記発信側ユーザ・システムにローカルである、前記リルータと
    を含む、前記ルータ。
15. データ通信システムであって、
    ネットワークにおける複数のデータ処理システムと、
    前記データ処理システムへのメッセージおよび前記データ処理システムからのメッセージをルーティングするための、前記データ処理システムにローカルなルータであって、前記ルータにローカルな前記データ処理システムの１つの形態の発信側ユーザ・システムにアドレスされたリターン・メッセージを監視するための機構を含む、前記ルータと、
    侵入検出センサと
    を含み、
    前記機構が、
    指定された性質のリターン・メッセージを識別するためのメッセージ・チェッカであって、当該リターン・メッセージの前記指定された性質が、宛先アドレスがアクセス不可能であることを示す、前記メッセージ・チェッカと、
    前記発信側ユーザ・システムからの以降のメッセージを前記侵入検出センサに一時的にルーティングするためのリルータであって、当該侵入検出センサが前記ルータにローカルである、前記リルータと
    を含む、前記データ通信システム。
16. データ通信ネットワークに対する攻撃を検出するためのコンピュータ・プログラムであって、発信側ユーザ・システムにローカルなルータに、請求項１に記載の方法の各ステップを実行させるための前記コンピュータ・プログラム。
17. 発信側ユーザ・システムからの侵入に対する装備をクライアント・システムに備える方法であって、
    侵入検出センサを、前記発信側ユーザ・システムにローカルなルータに接続するステップと、
    前記ルータに、
    前記発信側ユーザ・システムにアドレスされたリターン・メッセージを監視し、
    指定された性質のリターン・メッセージを識別し、ここで該リターン・メッセージの前記指定された性質が、宛先アドレスがアクセス不可能であることを示し、
    同じ発信側ユーザ・システムからの以降のメッセージを一時的に前記侵入検出センサにルーティングする機能を与える、ステップと、
    を含み、前記リターン・メッセージの前記指定された性質が、宛先アドレスがアクセス不可能であることを示し、当該侵入検出センサが前記発信側ユーザ・システムにローカルである、前記方法。

Images