JP7246586B2 - 侵入検知装置、侵入検知方法、及び、侵入検知プログラム - Google Patents

Description

本開示は、侵入検知装置、侵入検知方法、及び、侵入検知プログラムに関する。

フラグメント化されたパケットが正常ではないデータを含むパケットであるか否かを検知する技術がある。
特許文献１は、フラグメント化されたパケットをリアセンブルすることなく、フラグメント化されたパケットが正常ではないデータを含むパケットであるか否かを、オートマトンを用いて検知する技術を開示している。

特開２００６－２３６０８０号公報

フラグメント化されたパケットをリアセンブルせずに当該パケットが正常ではないデータを含むパケットであるか否かを、ホワイトリストを用いて検知する場合を考える。この場合において、特許文献１が開示している技術ではオートマトンを用いているため、ホワイトリストが含むデータは所定のパターンに従うデータに限られるという課題がある。また、この場合において、事前に複雑なオートマトンを用意しなければならないことがあるという課題がある。

本開示は、インターネットプロトコルスイートに従うフラグメント化されたパケットを再構築せずに当該パケットが正常ではないデータを含むパケットであるか否かを、所定のパターンに従うデータのみを含むとは限らないホワイトリストを用いた手法であって、比較的簡素な手法により検知することを目的とする。

本開示に係る侵入検知装置は、
インターネットプロトコルスイートに従うパケットに対するホワイトリストを格納しているデータベースを参照する侵入検知装置であって、
前記ホワイトリストが含むエントリである正常エントリそれぞれは、送信元ＩＰアドレスとペイロードとのそれぞれを示す情報を含み、
前記侵入検知装置は、
前記インターネットプロトコルスイートに従うフラグメント化されたパケットを受信パケットとして受け取るフラグメント計算部と、
前記正常エントリそれぞれが前記受信パケットに応じて定まる部分一致エントリであるか否かを、前記受信パケットを用いて判定する判定処理を実行する判定部と
を備え、
前記部分一致エントリが示す送信元ＩＰアドレスと対象部分ペイロードとは、それぞれ、前記受信パケットが示す送信元ＩＰアドレスとペイロードと一致し、
前記対象部分ペイロードは、前記部分一致エントリのペイロード内の領域であって、前記受信パケットが示すフラグメントオフセットに対応する位置を起点とする領域に存在するデータであり、
前記対象部分ペイロードのデータサイズは、前記受信パケットが示すペイロードのデータサイズと同じである。

本開示によれば、判定部は、インターネットプロトコルスイートに従うフラグメント化されたパケットを再構築せずに、当該パケットとホワイトリストが含むエントリとを比較する。従って、本開示によれば、インターネットプロトコルスイートに従うフラグメント化されたパケットを再構築せずに、当該パケットが正常ではないデータを含むパケットであるか否かを、所定のパターンに従うデータのみを含むとは限らないホワイトリストを用いた手法であって、比較的簡素な手法により検知することができる。

実施の形態１に係る侵入検知装置１０１の構成例を示す図。 実施の形態１に係るホワイトリストの具体例を示す図。 実施の形態１に係る侵入検知装置１０１のハードウェア構成例を示す図。 実施の形態１に係る侵入検知装置１０１の動作を示すフローチャート。 実施の形態１に係る侵入検知装置１０１の動作を示すフローチャート。 実施の形態１に係る侵入検知装置１０１の動作を示すフローチャート。 実施の形態１に係る侵入検知装置１０１の動作を説明する図。 実施の形態１の変形例に係る侵入検知装置１０１のハードウェア構成例を示す図。 実施の形態２に係る侵入検知装置１０１の構成例を示す図。 実施の形態２に係る侵入検知装置１０１の動作を示すフローチャート。 実施の形態２に係る侵入検知装置１０１の動作を説明する図。 実施の形態２に係るフラグメント計算部１０３の動作を示すフローチャート。

実施の形態の説明及び図面において、同じ要素及び対応する要素には同じ符号を付している。同じ符号が付された要素の説明は、適宜に省略又は簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。また、「部」を、「回路」、「工程」、「手順」、「処理」又は「サーキットリー」に適宜読み替えてもよい。

実施の形態１．
以下、本実施の形態について、図面を参照しながら詳細に説明する。

＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係る侵入検知装置１０１の構成例を示している。侵入検知装置１０１は、本図に示すように、ネットワークＩＦ（Ｉｎｔｅｒｆａｃｅ）１０２と、フラグメント計算部１０３と、ホワイトリスト格納部１０４と、判定部１０５と、警報部１０６とを備える。
侵入検知装置１０１は、パケットがパケットの送信元からパケットの送信先に至る経路の途中に設置されていてもよく、パケットの送信先である装置等に組み込まれていてもよい。

ネットワークＩＦ１０２は、侵入検知装置１０１とバス１１０とのインタフェースであり、バス１１０からパケットを受信する。パケットは、特に断りがない限り、インターネットプロトコルスイートに従うパケットを指す。インターネットプロトコルスイートはＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）とも呼ばれる。ネットワークＩＦ１０２が受信したパケットを受信パケットと呼ぶ。ネットワークＩＦ１０２は、無線通信によりパケットを受信してもよく、バス１１０と接続していなくてもよい。ネットワークＩＦ１０２は、受信パケットを受信する受信部でもある。

フラグメント計算部１０３は、インターネットプロトコルスイートに従うフラグメント化されたパケットを受信パケットとして受け取り、受信パケットを用いて処理を実行する。受信パケットは、送信元ポート番号を示す情報を含んでもよい。フラグメント計算部１０３は、元パケットを識別する情報と、元パケットをフラグメント化したパケットの少なくとも１つそれぞれに対応する部分一致エントリそれぞれを識別する正常エントリ識別子を示す情報それぞれとを対応させて管理データとして管理する。元パケットは、ＩＰフラグメント化された受信パケットをＩＰフラグメント化する前のパケットである。部分一致エントリが示す送信元ＩＰアドレスと対象部分ペイロードとは、それぞれ、受信パケットが示す送信元ＩＰアドレスとペイロードと一致する。対象部分ペイロードは、部分一致エントリのペイロード内の領域であって、受信パケットが示すフラグメントオフセットに対応する位置を起点とする領域に存在するデータである。フラグメントオフセットは受信パケットのＩＰヘッダに示されている。対象部分ペイロードのデータサイズは、受信パケットが示すペイロードのデータサイズと同じである。部分一致エントリが送信元ポート番号を示す情報を含む場合、かつ、受信パケットが送信元ポート番号を示す情報を含む場合において、部分一致エントリが示す送信元ポート番号は、受信パケットが示す送信元ポート番号と一致する。

ホワイトリスト格納部１０４は、ホワイトリスト３１を格納している。ホワイトリスト３１はインターネットプロトコルスイートに従うパケットに対する検知ルールの集合である。ホワイトリスト３１が含む検知ルールの数は何個であってもよい。ホワイトリスト格納部１０４はデータベースでもある。侵入検知装置１０１はホワイトリスト３１を参照する。ホワイトリスト３１が含むエントリである正常エントリそれぞれは、送信元ＩＰアドレスとペイロードとのそれぞれを示す情報を含む。正常エントリそれぞれは送信元ポート番号を示す情報を含んでもよい。ホワイトリスト３１の各エントリのデータは、所定のパターンに従うデータでなくてもよい。
図２は、ホワイトリスト３１の具体例を表形式により示している。本図に示す表の１つの行は、１つの検知ルールを示しており、また、ホワイトリスト３１の１つのエントリを示している。本表において、「Ｎｏ．」欄のデータは検知ルールの識別子を示し、「状態」欄のデータは監視対象システムの運転状態に関する条件を示し、「送信元ＩＰ」欄のデータはパケットの送信元を示す送信元ＩＰアドレスを示し、「送信元Ｐｏｒｔ」欄のデータはパケットの送信時に用いたポートの番号を示し、「送信先ＩＰ」欄のデータはパケットの送信先を示す送信先ＩＰアドレスを示し、「送信先Ｐｏｒｔ」欄のデータはパケットの送信先であるポートの番号を示し、「サイズ」欄のデータはパケットのペイロードのデータサイズを示し、「ペイロード」欄のデータはパケットのペイロードのデータを示し、「周期」欄のデータは送信元がパケットを送信すべき周期の範囲を示す。「Ｎｏ．」欄のデータは検知ルール番号を示すデータでもある。監視対象システムは、パケットの送信先であるシステムであり、侵入検知装置１０１が侵入を検知する対象であるシステムである。「状態」欄の値は、具体例として、「制御中」と「立ち上げ中」と「保守中」とのいずれかである。具体例として、ある検知ルールの「状態」欄の値が「制御中」であるとき、監視対象システムの状態が「制御中」である場合にのみ当該ある検知ルールが適用される。なお、元パケットがＩＰフラグメント化されている場合において、「サイズ」欄のデータ及び「ペイロード」欄のデータそれぞれは元パケットについてのデータである。ＩＰフラグメント化はフラグメント化とも呼ばれる。また、ホワイトリスト３１の「Ｎｏ．」以外の各欄は条件を示している。即ち、具体例として、「サイズ」欄はサイズ条件を示しており、「ペイロード」欄はペイロード条件を示している。

判定部１０５は、ホワイトリスト格納部１０４を参照して受信パケットが攻撃データを含むか否かを判定する。攻撃データは、パケットの送信先に対する何らかの攻撃を意図したデータを含む可能性があるデータであり、正常ではないデータである。判定部１０５は、受信パケットと、ホワイトリスト３１のエントリの少なくともいずれかとの間に対応関係があるか否かを判定することにより、受信パケットが攻撃データを含むか否かを判定する。判定部１０５は、攻撃データが攻撃データの送信先に侵入しようとしているか否かを検知する。判定部１０５は、受信パケットがホワイトリスト３１に示される各条件を満たすか否かを判定する。判定部１０５は、正常エントリそれぞれが受信パケットに応じて定まる部分一致エントリであるか否かを、受信パケットを用いて判定する判定処理を実行することにより、受信パケットが攻撃データを含むか否かを判定する。判定部１０５は、元パケットをフラグメント化したパケットであって受信パケットとは異なるパケットである他パケットそれぞれに対して判定処理と同じ処理を実行する。
受信パケットがＩＰフラグメント化されていない場合においてホワイトリスト３１のあるエントリと受信パケットとの間に対応関係がある場合、当該あるエントリの「送信元ＩＰ」欄と「送信元Ｐｏｒｔ」欄と「送信先ＩＰ」欄と「送信先Ｐｏｒｔ」欄と「サイズ」欄と「ペイロード」欄とが示すデータは、それぞれ、受信パケットが示す送信元ＩＰアドレスと、受信パケットが示す送信元Ｐｏｒｔと、受信パケットが示す送信先ＩＰアドレスと、受信パケットが示す送信先Ｐｏｒｔと、受信パケットが示すペイロードのデータサイズと、受信パケットが示すペイロードとは一致する。
受信パケットがＩＰフラグメント化されている場合においてホワイトリスト３１のあるエントリと受信パケットとの間に対応関係がある場合、当該あるエントリの「サイズ」欄と「ペイロード」欄とについて、前述の受信パケットがＩＰフラグメント化されていない場合においてホワイトリスト３１のあるエントリと受信パケットとの間に対応関係がある場合と異なる。具体的には、当該あるエントリの「サイズ」欄のデータは受信パケットのペイロードのデータサイズと一致しておらず、当該あるエントリの「ペイロード」欄のデータの一部である対象部分ペイロードは受信パケットのペイロードと一致する。
受信パケットがＩＰフラグメント化されている場合において、判定部１０５は、「サイズ」欄のデータと元パケットのペイロードのデータサイズとが一致するか否かを確認し、「周期」欄のデータと受信パケットを受信した周期とが一致するか否かを確認する。
なお、受信パケットがＴＣＰヘッダを含まない場合において、ホワイトリスト３１のあるエントリと受信パケットとの間の対応関係は、「送信元ポート」欄と「送信先ポート」欄とのデータとは無関係に定まる。
管理データによって元パケットに対応するデータが管理されている場合、かつ、判定部１０５が受信パケットに対して判定処理を実行していない場合を考える。この場合において、判定部１０５は、受信パケットに対する判定処理において、正常エントリのうち、管理データが示す正常エントリ識別子であって元パケットに対応する正常エントリ識別子それぞれに対応する正常エントリから成る絞り込みエントリのみを用いる。判定部１０５が判定処理を実行した後、フラグメント計算部１０３は、絞り込みエントリが含む正常エントリのうち、受信パケットに対応する部分一致エントリではないと判定処理において判定された正常エントリに対応する正常エントリ識別子であって元パケットに対応する正常エントリ識別子を示す情報を管理データから削除する。

警報部１０６は、受信パケットが攻撃データを含む場合、即ち、部分一致エントリをホワイトリスト３１が含まないと判定部１０５によって判定された場合に警報を発出する。警報は受信パケットが攻撃データを含むことを通知するものである。警報部１０６は、画面に警告メッセージを表示することによって警報を発出してもよく、音声を出力することにより警報を発出してもよい。

バス１１０は、具体例として、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）ケーブルである。

図３は、本実施の形態に係る侵入検知装置１０１のハードウェア構成例を示している。侵入検知装置１０１は、コンピュータ１０から成る。侵入検知装置１０１は、複数のコンピュータ１０から成ってもよい。

コンピュータ１０は、本図に示すように、プロセッサ１１と、メモリ１２と、補助記憶装置１３と、入出力ＩＦ１４と、通信装置１５と等のハードウェアを備えるコンピュータである。これらのハードウェアは、信号線１９を介して適宜接続されている。

プロセッサ１１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であり、かつ、コンピュータが備えるハードウェアを制御する。プロセッサ１１は、具体例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、又はＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
侵入検知装置１０１は、プロセッサ１１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ１１の役割を分担する。

メモリ１２は、典型的には、揮発性の記憶装置である。メモリ１２は、主記憶装置又はメインメモリとも呼ばれる。メモリ１２は、具体例として、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。メモリ１２に記憶されたデータは、必要に応じて補助記憶装置１３に保存される。

補助記憶装置１３は、典型的には、不揮発性の記憶装置である。補助記憶装置１３は、具体例として、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、又はフラッシュメモリである。補助記憶装置１３に記憶されたデータは、必要に応じてメモリ１２にロードされる。
メモリ１２及び補助記憶装置１３は一体的に構成されていてもよい。

入出力ＩＦ１４は、入力装置及び出力装置が接続されるポートである。入出力ＩＦ１４は、具体例として、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。入力装置は、具体例として、キーボード及びマウスである。出力装置は、具体例として、ディスプレイである。

通信装置１５は、レシーバ及びトランスミッタである。通信装置１５は、具体例として、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。ネットワークＩＦ１０２は通信装置１５により実現される。

侵入検知装置１０１の各部は、他の装置等と通信する際に、通信装置１５を適宜用いてもよい。侵入検知装置１０１の各部は、入出力ＩＦ１４を介してデータを受け付けてもよく、また、通信装置１５を介してデータを受け付けてもよい。

補助記憶装置１３は、侵入検知プログラムを記憶している。侵入検知プログラムは、侵入検知装置１０１が備える各部の機能をコンピュータに実現させるプログラムである。侵入検知プログラムは、メモリ１２にロードされて、プロセッサ１１によって実行される。侵入検知装置１０１が備える各部の機能は、ソフトウェアにより実現される。

侵入検知プログラムを実行する際に用いられるデータと、侵入検知プログラムを実行することによって得られるデータと等は、記憶装置に適宜記憶される。侵入検知装置１０１の各部は、適宜記憶装置を利用する。記憶装置は、具体例として、メモリ１２と、補助記憶装置１３と、プロセッサ１１内のレジスタと、プロセッサ１１内のキャッシュメモリとの少なくとも１つから成る。なお、データと、情報とは、同等の意味を有することもある。記憶装置は、コンピュータ１０と独立したものであってもよい。記憶装置は、ホワイトリスト３１とデータベース３２とを記憶する。
メモリ１２及び補助記憶装置１３の機能は、他の記憶装置によって実現されてもよい。

侵入検知プログラムは、コンピュータが読み取り可能な不揮発性の記録媒体に記録されていてもよい。不揮発性の記録媒体は、具体例として、光ディスク又はフラッシュメモリである。侵入検知プログラムは、プログラムプロダクトとして提供されてもよい。

＊＊＊動作の説明＊＊＊
侵入検知装置１０１の動作手順は、侵入検知方法に相当する。また、侵入検知装置１０１の動作を実現するプログラムは、侵入検知プログラムに相当する。

図４から図６は、侵入検知装置１０１の動作の一例を示すフローチャートである。なお、１つのフローチャートが図４から図６に分割して示されている。図４から図６を参照して侵入検知装置１０１の動作を説明する。なお、以下の説明において、侵入検知装置１０１は、「状態」欄が示す条件が満たされている検知ルールを用いるものとする。

（ステップＳ１０１）
ネットワークＩＦ１０２は、バス１１０からパケットを受信し、受信したパケットをフラグメント計算部１０３に送る。以下、本フローチャートの説明において、特に断りがない限り受信パケットは本ステップにおいてネットワークＩＦ１０２が受信したパケットを指す。

（ステップＳ１０２）
フラグメント計算部１０３は、受信パケットのＩＰヘッダを参照して受信パケット長を求める。以下、本フローチャートの説明において、受信パケット長は、受信パケットのペイロードのデータサイズであり、［数式１］により求められる値である。フラグメント計算部１０３は、［数式１］における全長及びヘッダ長それぞれとして、受信パケットのＩＰヘッダが示すデータを用いる。なお、受信パケット長の値の単位はバイトである。なお、［数式１］等における［文字列］という表記は、文字列に対応する数値を意味する。

［数式１］
［受信パケット長］＝［全長］－［ヘッダ長］×４

（ステップＳ１０３）
フラグメント計算部１０３は、受信パケットのＩＰヘッダが示すフラグの最終ビットを確認する。当該最終ビットの値が０である場合、侵入検知装置１０１はステップＳ１０４に進む。それ以外の場合、侵入検知装置１０１はステップＳ１０９に進む。
ここで、受信パケットがＩＰフラグメント化されたパケットである場合において、フラグの最終ビットの値が０であるとき、受信パケットは最終パケットである。最終パケットは、元パケットをＩＰフラグメント化したパケットであって、元パケットのペイロードの終端部分のデータを含むパケットである。

（ステップＳ１０４）
フラグメント計算部１０３は、受信パケットのＩＰヘッダが示すフラグメントオフセットを確認する。フラグメントオフセットの値が０である場合、侵入検知装置１０１はステップＳ１０５に進む。それ以外の場合、侵入検知装置１０１はステップＳ１０８に進む。

（ステップＳ１０５）
判定部１０５は、ホワイトリスト格納部１０４を参照して、ホワイトリスト３１のエントリのいずれかと受信パケットとの間に対応関係があるか否かを判定する。

（ステップＳ１０６）
ホワイトリスト３１のエントリのいずれかと受信パケットとの間に対応関係がある場合、侵入検知装置１０１は本フローチャートの処理を終了する。それ以外の場合、侵入検知装置１０１はステップＳ１０７に進む。

（ステップＳ１０７）
警報部１０６は警報を出力する。

（ステップＳ１０８）
フラグメント計算部１０３は、分割前パケット長を求める。分割前パケット長は、元パケットのペイロードのデータサイズであり、［数式２］により求められる。ここで、元パケットは受信パケットをＩＰフラグメント化する前のデータである。また、フラグメント計算部１０３は、［数式２］におけるフラグメントオフセットとして受信パケットのＩＰヘッダが示すフラグメントオフセットを用い、［数式２］における受信パケット長としてステップＳ１０２において求めた受信パケット長を用いる。分割前パケット長の値の単位はバイトである。

［数式２］
［分割前パケット長］＝［フラグメントオフセット］×８＋［受信パケット長］

（ステップＳ１０９）
フラグメント計算部１０３は、受信パケットのＩＰヘッダが示す送信元ＩＰアドレスと識別番号とが、データベース３２に登録されているものであるか否かを判定する。データベース３２は、侵入検知装置１０１が受信した受信パケットであってＩＰフラグメント化された受信パケットに対応するデータを記録するものであり、受信パケットのＩＰヘッダが示す送信元ＩＰアドレスと識別番号とに応じてデータをまとめて管理する。即ち、受信パケットのＩＰヘッダが示す送信元ＩＰアドレスと識別番号との少なくともいずれかが異なる２つの受信パケットを侵入検知装置１０１が受信した場合において、データベース３２は当該２つの受信パケットそれぞれに対応するデータを別々に管理する。「ＤＢ」はデータベースの略記である。以下、本フローチャートの説明において、データベース３２のエントリであって、受信パケットのＩＰヘッダが示す送信元ＩＰアドレスと識別番号との双方に対応するエントリを記録対象エントリとする。

図７は、侵入検知装置１０１の動作を説明する図である。本図は、本図の最上部に示されている元パケットがＩＰフラグメント化により３つのパケットに分割され、ＩＰフラグメント化された３つのパケットを侵入検知装置１０１が順に受信する動作を説明する図である。侵入検知装置１０１は、まず（２）に対応するパケットを受信し、次に（３）に対応するパケットを受信し、次に（１）に対応するパケットを受信するものとする。なお、元パケットのペイロードは元パケットのＴＣＰヘッダに続くデータである。受信パケットのペイロードは、受信パケットのＴＣＰヘッダに続くデータ、又は、受信パケットのＩＰヘッダに続くデータである。また、本図は、データベース３２の具体例を表形式により示している。本図において、データベース３２を、「送信元ＩＰ」欄と「識別番号」欄と「分割前パケット長」欄と「受信パケット長」欄と「検知ルール番号」欄とを有する表により表現している。「送信元ＩＰ」欄には受信パケットのＩＰヘッダが示すＩＰアドレスが記録される。「識別番号」欄には受信パケットのＩＰヘッダが示す識別番号が記録される。「分割前パケット長」欄には前述の分割前パケット長が記録される。「受信パケット長」欄には元パケットをＩＰフラグメント化したパケットであって侵入検知装置１０１が受信したパケットのペイロードのデータサイズの累積値が記録される。本図に示すデータベース３２において、侵入検知装置１０１が受信した受信したパケットであって、ＩＰヘッダが示す送信元ＩＰアドレスが“１９２．１６８．１．１００”であり、かつ、ＩＰヘッダが示す識別番号の値が１００であるパケットがまとめて管理される。また、本図のデータベース３２の１行は、１つの元パケットに対応し、受信パケットのＩＰヘッダが示す送信元ＩＰアドレスと識別番号との１つの組み合わせに対応し、また、データベース３２の１つのエントリである。ここで、本図のデータベース３２の最も上の行であって各欄のラベルを示している行をデータベース３２の行として捉えていない。侵入検知装置１０１が受信した複数の受信パケットについて、受信パケットのＩＰヘッダが示す送信元ＩＰアドレスと識別番号との組み合わせが複数種類存在する場合において、データベース３２を図７に示すように表形式により表現したとき、データベース３２の行数は送信元ＩＰアドレスと識別番号との組み合わせの種類数である。なお、本図の“－１”等は互いに内容が異なる複数のデータベース３２を区別するための表記である。データベース３２の各エントリは管理データでもある。「送信元ＩＰ」欄と「識別番号」欄とのデータは元パケットを識別する情報でもある。「検知ルール番号」欄のデータは正常エントリ識別子でもある。

（ステップＳ１１０）
受信パケットのＩＰヘッダが示す送信元ＩＰアドレスと識別番号とが、それぞれ、データベース３２のいずれかのエントリの「送信元ＩＰ」欄のデータと「識別番号」欄のデータとに一致する場合、侵入検知装置１０１はステップＳ１１５に進む。それ以外の場合、侵入検知装置１０１はステップＳ１１１に進む。

（ステップＳ１１１）
判定部１０５は、ホワイトリスト３１が含む全ての検知ルールを対象として受信パケットが攻撃データを含むか否かを判定する。この際、判定部１０５は、ホワイトリスト３１の各エントリについて部分一致エントリであるか否かを判定し、ホワイトリスト３１に部分一致エントリが存在しない場合に受信パケットが攻撃データを含むと判定する。ここで、部分一致エントリは、ホワイトリスト３１のエントリであり、複数存在することもある。部分一致エントリの「送信元Ｐｏｒｔ」欄のデータと「送信先Ｐｏｒｔ」欄のデータと「ペイロード」欄のデータの対象部分ペイロードとは、それぞれ、受信パケットのＴＣＰヘッダが示す送信元ポート番号と、当該ＴＣＰヘッダが示す送信先ポート番号と、受信パケットのペイロードと一致する。ここで、対象部分ペイロードの起点は、「ペイロード」欄のデータの（［フラグメントオフセット］×８＋１）バイト目である。対象部分ペイロードの終点は、「ペイロード」欄のデータの（［フラグメントオフセット］×８＋［受信パケット長］）バイト目である。ポート番号は送信元ポート番号と送信先ポート番号との総称である。
なお、受信パケットがＴＣＰヘッダを含まない場合、判定部１０５は、「送信元Ｐｏｒｔ」欄と「送信先Ｐｏｒｔ」欄とに関する判定を実行しない。即ち、この場合において、部分一致エントリの「ペイロード」欄のデータの対象部分ペイロードと、受信パケットのペイロードとが一致する。

（ステップＳ１１２）
ホワイトリスト３１が部分一致エントリを少なくとも１つ含む場合、侵入検知装置１０１はステップＳ１１４に進む。それ以外の場合、侵入検知装置１０１はステップＳ１１３に進む。

（ステップＳ１１３）
本ステップの処理はステップＳ１０７と同様の処理である。

（ステップＳ１１４）
フラグメント計算部１０３は、受信パケットのＩＰヘッダが示す送信元ＩＰアドレスと識別番号と、ステップＳ１０２において求めた受信パケット長の値と、ステップＳ１１１において判定された部分一致エントリ全てのそれぞれに対応する検知ルール番号とをデータベース３２に新規に登録する。なお、ホワイトリスト３１が部分一致エントリを含まない場合に、フラグメント計算部１０３は、検知ルール番号をデータベース３２に登録する代わりに、部分一致エントリがないことを示すデータをデータベース３２に登録する。この場合において、フラグメント計算部１０３は検知ルールの個数を示すパラメータに０を設定してもよい。
具体例として、フラグメント計算部１０３は、データベース３２－１に示すようにデータを新規に登録する。

（ステップＳ１１５）
本ステップの処理はステップＳ１１１の処理と同様である。ただし、判定部１０５は、ホワイトリスト３１が含む全ての検知ルールを用いるとは限らない。具体的には、判定部１０５は、データベース３２の「検知ルール番号」欄に記録されている検知ルール番号に対応する検知ルールのみを用いる。ここで、当該検知ルール番号に対応するホワイトリスト３１のエントリを対象エントリとする。
具体例として、本ステップを実行する時点におけるデータベース３２がデータベース３２－１である場合において、判定部１０５は、検知ルール番号が１と２と３と４とのいずれかである検知ルールに対応する各エントリについて、部分一致エントリであるか否かを判定する。本例において対象エントリは、検知ルール番号が１と２と３と４とのそれぞれに対応するエントリの集合である。

（ステップＳ１１６）
対象エントリが部分一致エントリを少なくとも１つ含む場合、侵入検知装置１０１はステップＳ１１８に進む。それ以外の場合、侵入検知装置１０１はステップＳ１１７に進む。

（ステップＳ１１７）
本ステップの処理はステップＳ１０７と同様の処理である。

（ステップＳ１１８）
フラグメント計算部１０３は、記録対象エントリの「検知ルール番号」欄に記録されているデータを、ステップＳ１１５において判定された部分一致エントリに対応する検知ルール番号に対応するデータのみに絞り込む。なお、対象エントリが部分一致エントリを含まない場合に、フラグメント計算部１０３は、記録対象エントリの「検知ルール番号」欄に記録されているデータを抹消する。この場合において、フラグメント計算部１０３は検知ルールの個数を示すパラメータに０を設定してもよい。
フラグメント計算部１０３は、図７に示す具体例において、データベース３２－２の「検知ルール番号」欄に示すように、データベース３２－１の「検知ルール番号」欄から１及び４を示すデータを削除する。なお、本例において、検知ルール番号２及び３それぞれに対応する各エントリと、受信パケットとの間には対応関係がある。本例において、検知ルール番号が１及び４である各検知ルールに対応する正常エントリは、受信パケットである（３）に対応するパケットに対応する部分一致エントリではないと判定処理において判定されている。

（ステップＳ１１９）
フラグメント計算部１０３は、記録対象エントリの「受信パケット長」欄が示す値を、当該値に対して、ステップＳ１０２で求めた受信パケット長の値を加算した値に更新する。
具体例として、図７のデータベース３２－２に示すように、フラグメント計算部１０３は、ステップＳ１０２で求めた受信パケット長の値を「受信パケット長」欄が示す値に加算することにより「受信パケット長」欄が示す値を更新する。本例において、ペイロード３のデータサイズを５００バイトとしている。

（ステップＳ１２０）
フラグメント計算部１０３は、ステップＳ１０８において分割前パケット長を求めていた場合、記録対象エントリの「分割前パケット長」欄に当該分割前パケット長の値を登録する。
具体例として、フラグメント計算部１０３は、図７のデータベース３２－２に示すように、データベース３２－１の「分割前パケット長」欄に元パケットのペイロードのデータサイズを登録する。本例において、元パケットのペイロードのデータサイズを２５００バイトとしている。

（ステップＳ１２１）
判定部１０５は、記録対象エントリの「分割前パケット長」欄に値が登録されているか否かを判定する。
記録対象エントリの「分割前パケット長」欄に値が登録されている場合、侵入検知装置１０１はステップＳ１２２に進む。それ以外の場合、侵入検知装置１０１は本フローチャートの処理を終了する。

（ステップＳ１２２）
判定部１０５は、記録対象エントリの「分割前パケット長」欄の値と、記録対象エントリの「受信パケット長」欄の値とが一致するか否かを判定する。
記録対象エントリの「分割前パケット長」欄の値と、記録対象エントリの「受信パケット長」欄の値とが一致する場合、侵入検知装置１０１はステップＳ１２３に進む。それ以外の場合、侵入検知装置１０１は本フローチャートの処理を終了する。

（ステップＳ１２３）
判定部１０５は、元パケットのペイロードのデータサイズと元パケットの周期とに関して、記録対象エントリの「検知ルール番号」欄が示す各値に対応するエントリのいずれかと元パケットとの間に対応関係があるか否かを判定する。判定部１０５は、元パケットのペイロードのデータサイズと「検知ルール番号」欄が示す値に対応するエントリの「サイズ」欄が示すデータサイズと一致し、かつ、元パケットに関する受信周期が当該エントリの「周期」欄が示す周期の範囲内である場合に、当該対応関係があると判定する。具体的には、判定部１０５は、元パケットをフラグメント化したパケットを全て受信した時点において元パケットの受信時刻を決定し、元パケットの受信時刻と元パケットと同じ条件のパケットを前回受け取った時刻との差分に基づいて周期を計算し、計算した周期が「周期」欄が示す周期の範囲内であるか否かを判定する。
なお、元パケットと同じ条件のパケットを受信したことがない場合、判定部１０５は周期に関する条件を判定しなくてもよい。

（ステップＳ１２４）
ステップＳ１２３における対応関係が記録対象エントリの「検知ルール番号」欄が示す各値に対応するエントリのいずれかと元パケットとの間にある場合、侵入検知装置１０１はステップＳ１２６に進む。それ以外の場合、侵入検知装置１０１はステップＳ１２５に進む。

（ステップＳ１２５）
本ステップの処理はステップＳ１０７と同様の処理である。

（ステップＳ１２６）
フラグメント計算部１０３は、記録対象エントリをデータベース３２から抹消する。
具体例として、フラグメント計算部１０３は、図７のデータベース３２－３に示すようにデータベース３２－２の記録対象エントリを抹消する。
本ステップの処理の終了後、侵入検知装置１０１は本フローチャートの処理を終了する。
なお、フラグメント計算部１０３は、本フローチャートの処理を終了する前に受信パケットを適宜抹消する。

＊＊＊実施の形態１の効果の説明＊＊＊
以上のように、本実施の形態によれば、ＩＰフラグメント化されたパケットを元パケットに再構築することなく、攻撃データを検知することができる。そのため、本実施の形態によれば、攻撃データを検知する際のメモリの使用量を削減することができる。また、本実施の形態によれば、データベース３２を用いることにより攻撃データを比較的簡素に検知することができる。さらに、本実施の形態によれば、データベース３２の「検知ルール番号」欄を用いて検知ルールを徐々に絞り込むことにより、比較的高速に攻撃データを検知することができる。

＊＊＊他の構成＊＊＊
＜変形例１＞
図８は、本変形例に係る侵入検知装置１０１のハードウェア構成例を示している。
侵入検知装置１０１は、本図に示すように、プロセッサ１１とメモリ１２と補助記憶装置１３との少なくとも１つに代えて、処理回路１８を備える。
処理回路１８は、侵入検知装置１０１が備える各部の少なくとも一部を実現するハードウェアである。
処理回路１８は、専用のハードウェアであってもよく、また、メモリ１２に格納されるプログラムを実行するプロセッサであってもよい。

処理回路１８が専用のハードウェアである場合、処理回路１８は、具体例として、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（ＡＳＩＣはＡｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）又はこれらの組み合わせである。
侵入検知装置１０１は、処理回路１８を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１８の役割を分担する。

侵入検知装置１０１において、一部の機能が専用のハードウェアによって実現されて、残りの機能がソフトウェア又はファームウェアによって実現されてもよい。

処理回路１８は、具体例として、ハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせにより実現される。
プロセッサ１１とメモリ１２と補助記憶装置１３と処理回路１８とを、総称して「プロセッシングサーキットリー」という。つまり、侵入検知装置１０１の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。
他の実施の形態に係る侵入検知装置１０１についても、本変形例と同様の構成であってもよい。

実施の形態２．
以下、主に前述した実施の形態と異なる点について、図面を参照しながら説明する。

＊＊＊構成の説明＊＊＊
図９は、本実施の形態に係る侵入検知装置１０１を示している。本図に示すように、侵入検知装置１０１は、実施の形態１に係る侵入検知装置１０１が備える構成要素に加えて、計時部１０７を備える。

計時部１０７は、時計を備えており、フラグメント計算部１０３に時計が示す時刻を伝える。

本実施の形態に係るフラグメント計算部１０３は、データベース３２の古いエントリを抹消する。フラグメント計算部１０３は、侵入検知装置１０１が受信パケットを受信した時刻に対応する時刻を受信時刻として記録する。受信時刻から削除時間が経過した場合、かつ、フラグメント計算部１０３が管理データによって受信パケットに対応するデータを管理している場合に、フラグメント計算部１０３は、管理データにおける受信パケットに対応するデータを抹消する。

＊＊＊動作の説明＊＊＊
図１０は、侵入検知装置１０１の動作の一例を示すフローチャートの一部を示している。本図を参照して、主に実施の形態１に係る侵入検知装置１０１と本実施の形態に係る侵入検知装置１０１との差異を説明する。なお、本実施の形態に係る侵入検知装置１０１は、図４及び図６に示す処理も実行する。

（ステップＳ１１４）
本ステップの処理は、実施の形態１に係るステップＳ１１４の処理と同様である。ただし、フラグメント計算部１０３は計時部１０７を参照し、受信パケットを侵入検知装置１０１が受信した時刻を記録対象エントリの「登録時刻」欄に登録する。

図１１は、侵入検知装置１０１の動作を説明する図である。本図は図７と同様である。ただし、本実施の形態に係るデータベース３２は、「登録時刻」欄を有する。「登録時刻」欄には、受信パケットを受信した時刻が登録される。
具体例として、本ステップにおいて、図１１のデータベース３２－５に示すように、フラグメント計算部１０３は、記録対象エントリの「登録時刻」欄に、図１１の（２）に対応する受信パケットを侵入検知装置１０１が受信した時刻を登録する。なお、当該時刻は、侵入検知装置１０１が受信パケットを受信した時刻に厳密に一致する時刻でなくてもよい。

（ステップＳ１１８）
本ステップの処理は、実施の形態１に係るステップＳ１１８の処理と同様である。ただし、フラグメント計算部１０３は、計時部１０７を参照して受信パケットを侵入検知装置１０１が受信した時刻を記録対象エントリの「登録時刻」欄に登録する。典型的には、フラグメント計算部１０３は、「登録時刻」欄に登録されている時刻を、受信パケットを受信した時刻に更新する。

図１２は、フラグメント計算部１０３の動作の一例を示すフローチャートである。本フローチャートが示す処理は、典型的には、前述のフローチャートが示す処理と平行に実行される。本図を参照してフラグメント計算部１０３の動作を説明する。

（ステップＳ２４１）
フラグメント計算部１０３は、所定時間スリープする。所定時間は、一定値であってもよく、侵入検知装置１０１の運用中に適宜変更されてもよい。
フラグメント計算部１０３が所定時間スリープした後、フラグメント計算部１０３は、ステップＳ２４２とステップＳ２４３とから成る反復処理を実行する。フラグメント計算部１０３は、当該反復処理においてデータベース３２の全てのエントリを検索する。

（ステップＳ２４２）
フラグメント計算部１０３は、データベース３２のエントリであって、この反復処理においてまだ選択されていないエントリを１つ選択エントリとして選択し、選択エントリの「受信時刻」欄を確認する。また、フラグメント計算部１０３は計時部１０７を参照して現在時刻を確認する。選択エントリの「受信時刻」欄が示す時刻と現在時刻との差が一定以上である場合、フラグメント計算部１０３はパケットのロストが発生したものとしてステップＳ２４３に進む。なお、当該差が一定以上である場合において、「受信時刻」欄が示す時刻から削除時間が経過している。それ以外の場合、フラグメント計算部１０３はステップＳ２４３をスキップする。

（ステップＳ２４３）
フラグメント計算部１０３は、選択エントリをデータベース３２から削除する。
具体例として、フラグメント計算部１０３は、図１１に示すように、（２）に対応するパケットを侵入検知装置１０１が受信してから一定時間が経過しても（１）及び（３）に対応するいずれのパケットも侵入検知装置１０１が受信することができなかった場合に、データベース３２－５のエントリであって（２）に対応するエントリを抹消することによりデータベース３２－５をデータベース３２－６に更新する。なお、この場合において、フラグメント計算部１０３は、（１）及び（３）に対応する各パケットがロストしたものと判断する。

＊＊＊実施の形態２の効果の説明＊＊＊
以上のように、本実施の形態によれば、ロストが発生したと考えられるパケットに対応するエントリをデータベース３２から抹消する。そのため、本実施の形態によれば、ロストが発生したと考えられるパケットがデータベース３２に残ることを防ぐことができるため、よりメモリの使用量を削減することができる。

＊＊＊他の実施の形態＊＊＊
前述した各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
また、実施の形態は、実施の形態１から２で示したものに限定されるものではなく、必要に応じて種々の変更が可能である。フローチャート等を用いて説明した手順は、適宜変更されてもよい。

１０ コンピュータ、１１ プロセッサ、１２ メモリ、１３ 補助記憶装置、１４ 入出力ＩＦ、１５ 通信装置、１８ 処理回路、１９ 信号線、３１ ホワイトリスト、３２ データベース、１０１ 侵入検知装置、１０２ ネットワークＩＦ、１０３ フラグメント計算部、１０４ ホワイトリスト格納部、１０５ 判定部、１０６ 警報部、１０７ 計時部、１１０ バス。

Claims (7)

1. インターネットプロトコルスイートに従うパケットに対するホワイトリストを格納しているデータベースを参照する侵入検知装置であって、
   前記ホワイトリストが含むエントリである正常エントリそれぞれは、送信元ＩＰアドレスとペイロードとのそれぞれを示す情報を含み、
   前記侵入検知装置は、
   前記インターネットプロトコルスイートに従うフラグメント化されたパケットを受信パケットとして受け取るフラグメント計算部と、
   前記正常エントリそれぞれが前記受信パケットに応じて定まる部分一致エントリであるか否かを、前記受信パケットを用いて判定する判定処理を実行する判定部と
   を備え、
   前記部分一致エントリが示す送信元ＩＰアドレスと対象部分ペイロードとは、それぞれ、前記受信パケットが示す送信元ＩＰアドレスとペイロードと一致し、
   前記対象部分ペイロードは、前記部分一致エントリのペイロード内の領域であって、前記受信パケットが示すフラグメントオフセットに対応する位置を起点とする領域に存在するデータであり、
   前記対象部分ペイロードのデータサイズは、前記受信パケットが示すペイロードのデータサイズと同じである侵入検知装置。
2. 前記正常エントリそれぞれは、送信元ポート番号を示す情報を含み、
   前記受信パケットは、送信元ポート番号を示す情報を含み、
   前記部分一致エントリが示す送信元ポート番号は、前記受信パケットが示す送信元ポート番号と一致する請求項１に記載の侵入検知装置。
3. 前記侵入検知装置は、前記受信パケットをフラグメント化する前のパケットを元パケットとし、
   前記判定部は、前記元パケットをフラグメント化したパケットであって前記受信パケットとは異なるパケットである他パケットそれぞれに対して前記判定処理と同じ処理を実行し、
   前記フラグメント計算部は、前記元パケットを識別する情報と、前記元パケットをフラグメント化したパケットの少なくとも１つそれぞれに対応する部分一致エントリそれぞれを識別する正常エントリ識別子を示す情報それぞれとを対応させて管理データとして管理し、
   前記管理データによって前記元パケットに対応するデータが管理されている場合、かつ、前記判定部が前記受信パケットに対して前記判定処理を実行していない場合に、
   前記判定部は、前記受信パケットに対する判定処理において、前記正常エントリのうち、前記管理データが示す正常エントリ識別子であって前記元パケットに対応する正常エントリ識別子それぞれに対応する正常エントリから成る絞り込みエントリのみを用い、
   前記フラグメント計算部は、前記絞り込みエントリが含む正常エントリのうち、前記受信パケットに対応する部分一致エントリではないと前記判定処理において判定された正常エントリに対応する正常エントリ識別子であって前記元パケットに対応する正常エントリ識別子を示す情報を前記管理データから抹消する請求項１又は２に記載の侵入検知装置。
4. 前記侵入検知装置は、さらに、
   前記受信パケットを受信する受信部
   を備え、
   前記フラグメント計算部は、前記侵入検知装置が前記受信パケットを受信した時刻に対応する時刻を受信時刻として記録し、
   前記受信時刻から削除時間が経過した場合、かつ、前記フラグメント計算部が前記管理データによって前記受信パケットに対応するデータを管理している場合に、前記フラグメント計算部は、前記管理データにおける前記受信パケットに対応するデータを抹消する請求項３に記載の侵入検知装置。
5. 前記侵入検知装置は、さらに、
   前記部分一致エントリを前記ホワイトリストが含まないと判定された場合に警報を発出する警報部
   を備える請求項１から４のいずれか１項に記載の侵入検知装置。
6. インターネットプロトコルスイートに従うパケットに対するホワイトリストを格納しているデータベースを参照する侵入検知方法であって、
   前記ホワイトリストが含むエントリである正常エントリそれぞれは、送信元ＩＰアドレスとペイロードとのそれぞれを示す情報を含み、
   フラグメント計算部が、前記インターネットプロトコルスイートに従うフラグメント化されたパケットを受信パケットとして受け取り、
   判定部が、前記正常エントリそれぞれが前記受信パケットに応じて定まる部分一致エントリであるか否かを、前記受信パケットを用いて判定する判定処理を実行する侵入検知方法であって、
   前記部分一致エントリが示す送信元ＩＰアドレスと対象部分ペイロードとは、それぞれ、前記受信パケットが示す送信元ＩＰアドレスとペイロードと一致し、
   前記対象部分ペイロードは、前記部分一致エントリのペイロード内の領域であって、前記受信パケットが示すフラグメントオフセットに対応する位置を起点とする領域に存在するデータであり、
   前記対象部分ペイロードのデータサイズは、前記受信パケットが示すペイロードのデータサイズと同じである侵入検知方法。
7. インターネットプロトコルスイートに従うパケットに対するホワイトリストを格納しているデータベースを参照する侵入検知プログラムであって、
   前記ホワイトリストが含むエントリである正常エントリそれぞれは、送信元ＩＰアドレスとペイロードとのそれぞれを示す情報を含み、
   前記インターネットプロトコルスイートに従うフラグメント化されたパケットを受信パケットとして受け取るフラグメント計算処理と、
   前記正常エントリそれぞれが前記受信パケットに応じて定まる部分一致エントリであるか否かを、前記受信パケットを用いて判定する判定処理と
   をコンピュータである侵入検知装置に実行させる侵入検知プログラムであって、
   前記部分一致エントリが示す送信元ＩＰアドレスと対象部分ペイロードとは、それぞれ、前記受信パケットが示す送信元ＩＰアドレスとペイロードと一致し、
   前記対象部分ペイロードは、前記部分一致エントリのペイロード内の領域であって、前記受信パケットが示すフラグメントオフセットに対応する位置を起点とする領域に存在するデータであり、
   前記対象部分ペイロードのデータサイズは、前記受信パケットが示すペイロードのデータサイズと同じである侵入検知プログラム。

Images