JPWO2005050935A1 - 侵入検知装置およびその方法 - Google Patents

Abstract

他の情報端末から送信される前後のパケットの組み立てが必要なＴＣＰ／ＩＰパケットの不正アクセス解析において、パケットを効率よく保持しながら、ＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能な侵入検知装置を得ること。 外部ネットワークからのパケットがＴＣＰによる通信である場合に、パケット中に含まれるデータセグメントのコピーをセッション情報と関連付けして一時的に保留し、セッション情報と同一のデータセグメントをペイロードサイズ以上受信すると、同一のセッション情報を有するデータセグメントを組み立てるデータセグメント組立部（１１）と、受信したデータセグメントまたは組み立てたデータセグメントを解析し、不正アクセスが含まれている場合には最後に受信したデータセグメントが含まれるパケットを廃棄する不正アクセス解析部（６）とを備える。

Description

この発明は、インターネットなどの外部ネットワークと接続され、相互に通信を行うネットワークにおけるデータの安全性を高めることが可能な侵入検知装置およびその方法に関するものである。

近年、複数台のコンピュータからなるＬＡＮなどのネットワークが相互に接続されたインターネットのような大規模なネットワークが発達し、このネットワークを用いて多数の利用者が様々な情報を得ることが可能になってきている。しかし、このような大規模ネットワークに接続されるネットワークにおいては、悪意の行為者によって不正アクセスがなされる危険性を有している。そのため、この不正アクセスに対する装置として従来までに種々の装置が提案されている。

特許文献１に記載のパケット転送装置は、異なるネットワークセグメントに接続されるパケット受信部およびパケット送出部と、受信したパケットに識別子を付加するパケット識別子付加機構と、識別子を付加されたパケットを一時的に保留するパケット保留キューと、複数のパケットが必要なパケットの解析時に参照される送出済みのパケットを保持する送出済みパケット保持機構と、受信したパケットが不正アクセスに関わるパケットか否かを判定するパケット解析機構とを有している。

そして、このようなパケット転送装置において、パケット受信部で受信され、パケット識別子付加機構によって識別子が付加された受信パケットは、パケット保留キューに格納され、パケット解析機構に渡されると同時に送出済みパケット保持機構に保持されている。パケット解析機構は、受信パケットと送出済みパケット保持機構に保持されている該受信パケット以前に送出したパケットを参照して受信パケットが不正アクセスに関わるパケットであるかを判定し、不正アクセスに関わるパケットであれば廃棄し、そうでない場合は転送している。送出済みパケット保持機構に保持されるパケットは、格納してから一定期間経過した後に廃棄するか、あるいは予め指定した特定のデータ量を超えた分を到着順に廃棄している。

特許文献２に記載の侵入検知装置は、受信したパケットが不正であるか否かを判断するために、一定時間に一定以上の個数のパケットを検知したか否かを分析している。

特開２００２−６３０８４号公報 特開２００２−７３４３３号公報

インターネット上で一般的に使われているＴＣＰ／ＩＰプロトコルでは、たとえばコネクション確立時や切断時にやりとりされるパケットやデータが相手に届かなかったことを伝えるメッセージのようにユーザデータ以外の制御用パケットが送受信される。そのため、ユーザデータ以外の制御用パケットの量も多量にのぼる。

しかし、上記前者の従来技術においては、受信したパケットは送出済みパケット保持機構において一定期間が過ぎるまでまたは特定のデータ量を超えるまで保持されるため、制御用パケットが増えると保持できるユーザデータのパケット数が少なくなり、送出済みのパケットを参照した不正アクセス検知の精度が下がってしまうという問題点があった。また、余分なデータを保持していることにより、送出済みのパケットを参照する場合に、関連するパケットを検索する時間が増大し、侵入検知のオーバヘッドが大きくなってしまうという問題点もあった。

また、上記後者の従来技術においては、一定時間に一定以上の個数のパケットを検知した場合に受信したパケットが不正であると判断することはできるが、これによって不正アクセス検知の精度を上げることはできないといった問題があった。

この発明は、上記に鑑みてなされたもので、他の情報端末から送信される前後のパケットの組み立てが必要なＴＣＰ／ＩＰパケットの不正アクセス解析において、パケットを効率よく保持しながら、パケットの組み立てを必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能な侵入検知装置およびその方法を得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、ネットワークに接続された機器への不正侵入を検知するために、前記ネットワークと外部ネットワークとの間に設けられる侵入検知装置において、前記外部ネットワークから受信したパケット中に含まれるデータセグメントのコピーを、前記パケットに含まれる所定のセッション情報と関連付けして一時的に保留するとともに、前記セッション情報と同一のデータセグメントを所定のサイズであるペイロードサイズ以上受信すると、同一のセッション情報を有するデータセグメントを組み立てるデータセグメント組立手段と、前記受信したパケット中に含まれるデータセグメントまたは組み立てたデータセグメントに不正アクセスが含まれているか否かを解析し、不正アクセスが含まれている場合には前記ペイロードサイズに達した時に受信したデータセグメントが含まれるパケットを廃棄し、正常なパケットのみを前記ネットワークに接続された機器に対して送信する不正アクセス解析手段と、を備えることを特徴とする。

この発明によれば、外部ネットワークから受信したパケット中に含まれるデータセグメントのコピーを保持し、データセグメントのコピーの組み立て後の合計サイズがペイロードサイズより大きくなった時点で保持しておいたパケットを取り出して組み立て、受信したパケット中に含まれるデータセグメントまたは組み立てたデータセグメントに不正アクセスが含まれているか否かを解析した後保持していたパケットを廃棄するようにしたので、パケットを効率よく保持することができる。

この発明によれば、パケットを効率よく保持することができるので、パケット保持溢れによる受信データ廃棄を防ぐことができ、パケットの組み立てを必要とする不正アクセス検知の精度を上げることが可能になるという効果を奏する。

図１は、この発明による侵入検知装置の実施の形態１の構成を示すブロック図である。 図２は、この発明による侵入検知装置が組み込まれたシステムの構成を示すブロック図である。 図３は、不正アクセス解析方法のパターンマッチングに用いるコードの一例を示す図である。 図４は、パケットの合計サイズがペイロードサイズを超えているか否かの判断方法を説明するための図である。 図５は、実施の形態１にかかる侵入検知方法の処理手順を示すフローチャートである。 図６は、この発明による侵入検知装置の実施の形態２の構成を示すブロック図である。 図７は、パケットに保留ペイロードを付加する方法を説明するための図である。 図８は、実施の形態２にかかる侵入検知方法の処理手順を示すフローチャートである。 図９は、この発明による侵入検知装置の実施の形態３の構成を示すブロック図である。 図１０は、この発明による侵入検知装置の実施の形態４の構成を示すブロック図である。 図１１は、実施の形態４にかかる侵入検知方法の処理手順を示すフローチャートである。 図１２は、この発明による侵入検知装置の実施の形態５の構成を示すブロック図である。

符号の説明

１ 侵入検知装置
２ 受信制御部
３ 送信制御部
４ プロトコル判定部
５ リアセンブルデータ保留部
６，６_ｎ 不正アクセス解析部
７，７_ｎ 対策部
１０，１０_ｎ セグメント処理部
１１ セグメント組立部
１２ ペイロードサイズ判断部
１３，１３_ｎ セグメント保持部
１４ 改行コード判断部
１５ ペイロード保留部
２０ ネットワーク
２１〜２３ 端末
３０ インターネット
５１，５２ 保留ペイロード
６０ フィルタ部
１１０ 処理振分部
１２０，１２０_ｎ 侵入検知処理部
１３０ 検知対象検索部

以下に添付図面を参照して、この発明にかかる侵入検知装置およびその方法の好適な実施の形態を詳細に説明する。

実施の形態１．
図１は、この発明にかかる侵入検知装置の実施の形態１の構成を示すブロック図であり、図２は、この侵入検知装置が使用されるネットワークシステムの構成を示すブロック図である。侵入検知装置１は、他のパーソナルコンピュータなどの端末Ｃ２３が接続されているインターネット３０と、このインターネット３０に接続されるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などのネットワーク２０との間に、図２に示されるように接続される。ここで、ネットワーク２０には端末Ａ２１と端末Ｂ２２が接続されているものとする。ここで、ネットワーク２０内の端末Ａ２１や端末Ｂ２２は、情報の送受信が可能な機器であり、例えば、パーソナルコンピュータなどの情報端末を挙げることができる。なお、図２では、ネットワーク２０に２台の端末２１，２２が接続されている場合を例示するものであり、２台に限られるものではない。

侵入検知装置１は、インターネット３０などのネットワーク２０から見て外部に接続された端末Ｃ２３などからパケットを受信する受信制御部２、ネットワーク２０内の端末Ａ２１や端末Ｂ２２などにパケットを送信する送信制御部３、受信したパケットの宛先やプロトコルを判定するプロトコル判定部４、ＩＰフラグメント化されているパケットを保持するリアセンブルデータ保留部５、受信したパケットのプロトコルがＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）の場合にデータセグメントに所定の処理を施すセグメント処理部１０、受信したパケットに不正アクセスが含まれるか否かを判別する不正アクセス解析部６、および不正アクセス解析部６が異常を検出した際に所定の対処を実施する対策部７を有する。ここで、データセグメントとは、ＴＣＰを使用した通信において相手に送信するデータのことをいい、特に、ＴＣＰヘッダを除いたデータの部分を意味するものである。

プロトコル判定部４は、受信制御部２、リアセンブルデータ保留部５、セグメント処理部１０と接続され、セグメント処理部１０は、プロトコル判定部４、不正アクセス解析部６、送信制御部３と接続されている。また、対策部７は不正アクセス解析部６および送信制御部３と接続されている。

受信制御部２は、インターネット３０に接続された外部の端末Ｃ２３からパケットを受信し、送信制御部３は、受信したパケットをネットワーク２０内の所定の端末２１，２２に送信する。そのため、図２では、侵入検知装置１のインターネット３０側は受信制御部２と接続され、侵入検知装置１のネットワーク２０側は送信制御部３と接続される。

プロトコル判定部４は、ＩＰフラグメントされた複数のパケットを組み立てる機能のほかに、受信したまたは組み立てたパケットのヘッダを解析して宛先や送信元アドレス、プロトコルを判定する機能を有する。プロトコルの判定は、具体的には、たとえばＩＰｖ４のパケットの場合、ヘッダには後続のデータ部でどのような上位プロトコルが用いられているかを示すプロトコルタイプが格納される８ビットの領域である「プロトコルタイプ」と、パケットの宛先ＩＰアドレスが格納される３２ビットの領域である「宛先アドレス」、パケットの送信元ＩＰアドレスが格納される３２ビットの領域である「送信元アドレス」があるので、これらの領域を解析することによって、上記パケットの宛先やプロトコルを判定することが可能となる。

また、プロトコル判定部４のパケット組み立て機能は、上述したプロトコルの判定と同様にそのヘッダを解析することによって受信したパケットがＩＰフラグメントされているか否かを判定し、ＩＰフラグメントされている場合に、パケットの組み立てを行うものである。具体的には、たとえばＩＰｖ４のパケットの場合、ヘッダには、パケットをＩＰフラグメントしたときの識別子であり、またＩＰフラグメントされたパケットを元に戻すときに利用される１６ビットの「ＩＤ」を解析することによってパケットがＩＰフラグメントされているか否かを判定することができる。そして、パケットがＩＰフラグメントされている場合にはパケットのヘッダのＩＰフラグメントに関して、ＩＰフラグメントの禁止やフラグメントの途中か最後を示す３ビットの「フラグ」やフラグメントが元のパケットのどの位置にあったかを示す「フラグメントオフセット」を参照しながら、これらのパケットを先頭から組み立てる。なお、特許請求の範囲におけるプロトコル判定手段とパケット組立手段は、このプロトコル判定部４に相当する。

リアセンブルデータ保留部５は、受信したパケットがＩＰフラグメントされていた場合に、すべてのパケットが到着するまでの間パケットを保持する機能を有する。すべてのパケットが到着すると、これらのパケットは、プロトコル判定部４に渡される。

セグメント処理部１０は、プロトコル判定部４から送られるパケットを保持するセグメント保持部１３、セグメント保持部１３において保持されているパケットの合計サイズを確認して合計サイズがペイロードサイズを超えているか否かの判断を行うペイロードサイズ判断部１２、受信したパケットのプロトコルがＴＣＰの場合にデータセグメントを組み立てるセグメント組立部１１、データセグメント内に改行コードが含まれているか否かを判断する改行コード判断部１４を有する。

セグメント組立部１１は、他の端末Ｃ２３などからＴＣＰを利用して受信したパケットを組み立てる機能を有する。ＴＣＰでは、通信相手に送信するデータのことをセグメント（この明細書では、データセグメントという）というが、たとえば、３文字のコマンド“ｌｓ改行”というデータセグメントを送信する場合には、“ｌ”、“ｓ”、“改行”のように分割して送信する場合も考えられる。これらのデータを処理する受信端末は分割されたデータセグメントを組み立てて順番を正しく整えることによって、コマンドを正しく認識することが可能となるが、侵入検知装置１も不正アクセスの有無を解析するためには、分割されたデータセグメントを受信端末と同様に組み立てて、コマンドを正しく認識する必要がある。そのためこのセグメント組立部１１によるＴＣＰを利用して受信した場合のパケットを組み立てる機能が必要となる。

このセグメント組立部１１では、パケットの宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号からセッションを識別し、このセッションを構成するデータセグメントが分割されて送信される場合には、同一のセッション情報を有するパケット（データセグメント）を組み立てる。

セグメント保持部１３は、プロトコル判定部４から送られるパケットを組み立てた場合の合計サイズ（データセグメントの合計サイズ）がペイロードサイズを超えるまでの間パケットを保持する機能を有する。ここで、ペイロードサイズとは不正アクセスの検索を実行するか否かを判断する際に基準となるサイズであり、ペイロードサイズ判断部１２において予め設定しておくものである。

セグメント保持部１３は、保持しているパケットとプロトコル判定部４から新たに送られてきたパケットを組み立てた場合の合計サイズが、所定のペイロードサイズより小さいと判断された場合であって改行コード判断部１４においてパケット内に改行コードがないと判断された場合に、プロトコル判定部４から新たに送られてきたパケットのコピーを新たに保持する。

このとき、パケットの組み立て後の合計サイズがペイロードサイズを越えていなければ、セグメント保持部１３に新たに送られてきたパケットのオリジナルを指定された宛先アドレスの端末に向けて送信する。

また、プロトコル判定部４から送られるパケットを組み立てた場合の合計サイズがペイロードサイズを超えるまでの間であっても、改行コード判断部１４においてパケット内に改行コードがあると判断された場合は、これまでセグメント保持部１３において保持しているパケットと改行コードを含むパケットのコピーがセグメント組立部１１で組み立てられる。そして、セグメント保持部１３はプロトコル判定部４から新たに送られてきた改行コードを含むパケットのオリジナルのみを残し（保持し）、それまでに保持していたパケットを消去する。

一方、パケットの組み立て後の合計サイズがペイロードサイズを越えていれば、セグメント保持部１３に新たに送られてきたパケットのオリジナルを指定された宛先アドレスの端末に向けて送信せず、プロトコル判定部４から新たに送られてきたパケットのオリジナルを新たに保持する。そして、保持しているパケットとプロトコル判定部４から新たに送られてきたパケットのコピーをセグメント組立部１１に送る。この後、セグメント保持部１３は、プロトコル判定部４から新たに送られてきたパケットのオリジナルのみを残し（保持し）、それまでに保持していたパケットを消去する。

なお、保持されるデータセグメントは、パケットの宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号からなるセッション情報と関連付けされることによって管理されるものとする。

ペイロードサイズ判断部１２は、セグメント保持部１３において保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの合計サイズを確認して合計サイズがペイロードサイズを超えているか否かの判断を行う機能を有する。

ペイロードサイズを例えば４６０バイトと設定した場合、セグメント保持部１３において保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの合計サイズが４６０バイト以上であれば、これらのパケットを組み立てた後、不正アクセス解析部６において不正アクセスの検索を実行する。一方、セグメント保持部１３において保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの合計サイズが４６０バイトより小さい場合は、改行コード判断部１４における判断結果に基づいて不正アクセス解析部６で不正アクセスの検索を実行するか否かが決定される。なお、パケットの合計サイズはデータセグメントが組み立てられた後の合計サイズを計算することによって求めるものとする。

改行コード判断部１４は、パケット内に改行コードが含まれているか否かを判断する機能を有する。改行コードは、端末Ｃ２３でのデータの入力が完了した後、このデータ内のコマンドを実行させる場合に端末Ｃ２３から送信されてくる。コマンドに不正アクセスが含まれている場合には、端末Ａ２１や端末Ｂ２２等のデータの送信先端末（宛先端末）上で不正アクセスが実行される可能性がある。このため、セグメント保持部１３において保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの合計サイズがペイロードサイズを超えていない場合であってパケット内に改行コードが含まれている場合は、侵入検知装置１の不正アクセス解析部６においてパケット内に不正アクセスが含まれているか否かの解析を行う。

不正アクセス解析部６は、受信したパケットに不正アクセスが含まれるか否かを判別し、不正アクセスであると判別された場合にはパケットを廃棄する機能を有する。受信したパケットに不正アクセスが含まれているか否かの判断は、要求元のアドレスやパケット内のデータやコマンド、アクセスの頻度などによって判断する。また、受信したパケットに不正アクセスが含まれているか否かの判断は、例えば、パケット内に所定の文字列やコードが含まれるか否かを検知するパターンマッチングを行うことによって判断してもよい。なお、パケットの廃棄は、プロトコル判定部４から新たに送られ、セグメント保持部１３で保持しておいたパケットのオリジナルを消去することによって行う。

対策部７は、不正アクセス解析部６が異常を検出した際に対処を実施する機能を有する。対処として、たとえば、受信したパケットに不正アクセスが検出された場合に、ネットワーク管理者に対して不正アクセスがされた旨の電子メールを送信したりすることができる。なお、ネットワーク管理者に対して不正アクセスがされた旨の通知は、携帯電話やポケットベルによって行ってもよい。

図３は、パターンマッチングの一例を示している。この図３では、宛先ポート番号＝８０（ＨＴＴＰ）の場合に、ＴＣＰデータとして“ｃｍｄ．ｅｘｅ？／”という文字列がパケット中に含まれている場合には、不正アクセスであると判断するものである。このような不正アクセスで用いられるパターンを登録することによって、不正アクセス解析部６による不正アクセスの判別が可能となる。なお、上述した不正アクセスか否かの判断は一例であり、従来知られている不正アクセスの検出方法を不正アクセス解析部６に実行させることができる。

図４は、セグメント保持部において保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの合計サイズがペイロードサイズを超えているか否かの判断方法の一例を説明するための図である。図４においては、ペイロードサイズが４６０バイトであり、パケットの組み立て後（データセグメント）のサイズが１００バイトのパケットＰ１，Ｐ２，Ｐ３，Ｐ４，Ｐ５を組み立てている状態を示している。ここでは、パケットを正しく組み立てた場合のパケットの順番は先頭から順にパケットＰ１，Ｐ２，Ｐ３，Ｐ４，Ｐ５であるものとし、パケットＰ１〜Ｐ５は、いずれも改行コードを含んでいないものとする。ここでは、説明の便宜上パケットＰ１，Ｐ２，Ｐ３，Ｐ４，Ｐ５の順で、セグメント保持部１３に送られてくるものとする。

受信制御部２によって受信されたパケットＰ１は、プロトコル判定部４を介してセグメント処理部１０に送られる。セグメント保持部１３によって保持されているパケットはなく、セグメント保持部１３において保持されているパケットとプロトコル判定部４から新たに送られてきたパケットＰ１の組み立て後の合計サイズはペイロードサイズの４６０バイトより小さい。つまり、プロトコル判定部４から送られてきたパケットＰ１を組み立てたとしても組み立て後のパケットの合計サイズは１００バイトであり、ペイロードサイズの４６０バイトより小さい。

このため、ペイロードサイズ判断部１２は、セグメント保持部１３において保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの合計サイズはペイロードサイズより小さいと判断する。この後、改行コード判断部１４によってパケットＰ１に改行コードが含まれるか否かの判断が行われる。ここでは、パケットＰ１に改行コードがないためパケットＰ１のコピーがセグメント保持部１３によって保持され、パケットＰ１のオリジナルは送信制御部３からヘッダに格納されている宛先アドレスの端末へと送信される。

つぎに、受信制御部２によって受信されたパケットＰ２は、プロトコル判定部４を介してセグメント処理部１０に送られる。セグメント保持部１３によって保持されているパケットＰ１は１００バイトであり、プロトコル判定部４から新たに送られてきたパケットＰ２は１００バイトである。このため、セグメント保持部１３において保持されているパケットＰ１とプロトコル判定部４から新たに送られてきたパケットＰ２の組み立て後の合計サイズは２００バイトであり、ペイロードサイズの４６０バイトより小さい。

このため、ペイロードサイズ判断部１２は、セグメント保持部１３において保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの合計サイズはペイロードサイズより小さいと判断する。この後、改行コード判断部１４によってパケットＰ１に改行コードが含まれるか否かの判断が行われる。ここでは、パケットＰ２に改行コードがないため、パケットＰ２のコピーがセグメント保持部１３によって新たに保持される。以降、パケットＰ３，Ｐ４も同様の処理が行われ、図４に示すようにパケットＰ１〜Ｐ４が順にセグメント保持部１３に保持される。

つぎに、受信制御部２によって受信されたパケットＰ５は、プロトコル判定部４を介してセグメント処理部１０に送られる。セグメント保持部１３によって保持されているパケットＰ１〜Ｐ４の合計サイズは４００バイトであり、プロトコル判定部４から新たに送られてきたパケットＰ５は１００バイトである。このため、セグメント保持部１３において保持されているパケットＰ１〜Ｐ４とプロトコル判定部４から新たに送られてきたパケットＰ５の組み立て後の合計サイズは５００バイトであり、ペイロードサイズの４６０バイトより大きい。

このため、ペイロードサイズ判断部１２は、セグメント保持部１３において保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの合計サイズはペイロードサイズより大きいと判断する。そして、セグメント保持部１３においているパケットＰ１〜Ｐ４とパケットＰ５のコピーがセグメント組立部１１に送られる。この時、セグメント保持部１３ではパケットＰ１〜Ｐ４を消去し、パケットＰ５のオリジナルのみを保持しておく。この後、不正アクセス解析部６において、不正アクセスが検知されなければ、パケットＰ５のオリジナルをセグメント組立部か１１から送信制御部３に送り、不正アクセスが検知された場合はパケットＰ５を廃棄する。

つぎに、このような侵入検知装置１の侵入検知方法について、図５のフローチャートを参照しながら説明する。なお、以下の説明では、侵入検知装置１は、図２に示されるようにシステムに組み込まれているものとし、ネットワーク２０の外の端末Ｃ２３がネットワーク２０内の端末Ａ２１または端末Ｂ２２に対してアクセスする場合を例に挙げる。

ネットワーク２０の外部の端末、たとえば端末Ｃ２３が、ネットワーク２０内の端末２１，２２に対してアクセスすると、このアクセス時に端末Ｃ２３からネットワーク２０内の端末２１，２２にパケットが送信される。侵入検知装置１は、このネットワーク２０内の端末２１，２２へのパケット（データ）を受信制御部２から受信する（ステップＳ１０）。

受信制御部２は受信したパケットをプロトコル判定部４に渡し、プロトコル判定部４はパケットのヘッダを読み取り、ＩＰフラグメントされているか否かを判定する（ステップＳ２０）。パケットがＩＰフラグメントされていると判定された場合（ステップＳ２０でＹｅｓの場合）には、プロトコル判定部４は、リアセンブルデータ保留部５を参照して、ＩＰフラグメントされたパケットがすべて到着しリアセンブルが完了したか、すなわち受信したパケットがＩＰフラグメントされた最後のパケットであるか否かを判定する（ステップＳ３０）。

ＩＰフラグメントされたパケットがすべて到着していない場合（ステップＳ３０でＮｏの場合）には、受信したパケットのコピーをリアセンブルデータ保留部５に保持し（ステップＳ４０）、受信したパケットのオリジナルをセグメント処理部１０におくる。そして、後述するように不正アクセス解析部６で不正アクセスがないと判断された場合は、このオリジナルのパケットを送信制御部３から送信する（ステップＳ４５）。この後、再びステップＳ１０の処理から実行される。なお、プロトコル判定部４において、受信したパケットのヘッダを検出し、最後のデータセグメントを含んだパケットであると判断されたパケットは、ステップＳ４５では送信制御部３から送信しないこととする。

一方、ステップＳ３０で、受信したパケットがＩＰフラグメントされた最後のパケットである場合（ステップＳ３０でＹｅｓの場合）には、リアセンブルデータ保留部５から保持されたＩＰフラグメントされたすべてのパケットを取り出し、先頭から順にパケットを組み立てる（ステップＳ５０）。このとき、パケットが組み立てられると、リアセンブルデータ保留部５に保持されていたデータは消去される。

その後、またはステップＳ２０でプロトコル判定部４によって受信したパケットがＩＰフラグメントされていないと判定された場合（ステップＳ２０でＮｏの場合）には、プロトコル判定部４は、受信したパケットまたは受信して組み立てられたパケットのプロトコル種別が、ＴＣＰであるか否かを判定する（ステップＳ６０）。

パケットのプロトコル種別がＴＣＰである場合（ステップＳ６０でＴＣＰの場合）には、セグメント保持部１３は、パケットから宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号を読み込み、これらの組合せからセッションを識別する（ステップＳ７０）。

次に、ペイロードサイズ判断部１２は、セグメント保持部１３において既に保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの組み立て後の合計サイズを確認して合計サイズがペイロードサイズを超えているか否かの判断を行う（ステップＳ８０）。

セグメント保持部１３において既に保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの組み立て後の合計サイズがペイロードサイズより小さい場合（ステップＳ８０でＮｏの場合）には、パケット内に改行コードが含まれているか否かの判断を改行コード判断部１４によって行う（ステップＳ９０）。

パケット内に改行コードが含まれていない場合（ステップＳ９０でＮｏの場合）には、プロトコル判定部４から新たに送られてきたパケットをコピーしてセグメント保持部１３に保持し（ステップＳ９５）、コピー元のオリジナルのパケットを送信制御部３からヘッダに格納されている宛先アドレスの端末へと送信し（ステップＳ１００）、再びステップＳ１０からの処理を実行する。

一方、ステップＳ９０でパケット内に改行コードが含まれている場合（ステップＳ９０でＹｅｓの場合）や、ステップＳ８０でセグメント保持部１３において既に保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの合計サイズがペイロードサイズを超えている場合（ステップＳ８０でＹｅｓの場合）には、セグメント組立部１１は、プロトコル判定部４から新たに送られてきたパケットとセグメント保持部１３で保持していたパケットを取り出して、分割されたデータセグメントを組み立てる（ステップＳ１１０）。このとき、データセグメントが組み立てられると、セグメント組立部１１に組み立てられたデータセグメントと同一のセッション情報によって管理される。そして、新たに送られてきたパケットのみをセグメント保持部１３で保持し、セグメント保持部１３で保持されていたその他のパケットは消去される。

その後、または、ステップＳ６０でパケットのプロトコル種別がＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）やＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）などのＴＣＰでないと判定された場合（ステップＳ６０でＴＣＰ以外の場合）には、不正アクセス解析部６に、組み立てられたデータセグメントまたはＴＣＰ以外のパケットが渡される。不正アクセス解析部６は、パケットまたは組み立てられたデータセグメントに不正アクセスが含まれるか否かを、パターンマッチング等などの不正アクセス解析方法を用いて解析する（ステップＳ１２０）。

パケットまたは組み立てられたデータセグメントに不正アクセスが含まれる場合（ステップＳ１２０でＹｅｓの場合）であって、プロトコル種別がＴＣＰ以外の場合には受信したパケットを廃棄し、プロトコル種別がＴＣＰである場合にはパケットを廃棄する（ステップＳ１４０）。そして、対策部７は、ネットワーク管理者宛てに不正アクセスがされた旨の電子メールを送付して、異常を通知する（ステップＳ１５０）。一方、ステップＳ１２０でパケットまたは組み立てられたデータセグメントに不正アクセスが含まれていない場合（ステップＳ１２０でＮｏの場合）には、セグメント保持部１３で保持しておいた不正アクセス解析の直前に送られてきたパケットを送信制御部３から送信する（ステップＳ１３０）。そして、ステップＳ１０に戻り、再び外部からネットワーク２０内にアクセスされるデータについての監視を行う。

なお、この実施の形態１ではペイロードサイズを超えないデータに対して改行コードの有無を判断しているが、受信したパケットのＴＣＰヘッド内にＵＲＧ（Ｕｒｇｅｎｔ）ビットがあるか否かを判断するようにしてもよい。

この実施の形態１によれば、外部ネットワークから受信したパケット中に含まれるデータセグメントのコピーをセグメント保持部１３が保持し、保持しておいたパケットとプロトコル判定部４から新たに送られてきたパケットの組み立て後の合計サイズがペイロードサイズより大きくなった時点で保持しておいたパケットを取り出して組み立て、受信したパケット中に含まれるデータセグメントまたは組み立てたデータセグメントに不正アクセスが含まれているか否かを解析した後保持していたパケットを廃棄するようにしたので、パケットを効率よく保持することができ、セグメント保持部１３内のパケット保持溢れによる受信データ廃棄を防ぐことができるため、パケットの組み立てを必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能となる。また、セグメント保持部１３の情報を宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号からなるセッション情報と関連付けることによって、ＴＣＰデータセグメントを組み立てる際のオーバヘッドを減らすことが可能となり、その結果、高速処理が可能となるという効果を有する。

実施の形態２．
図６は、この発明にかかる侵入検知装置の実施の形態２の構成を示すブロック図である。この侵入検知装置１は、上述した実施の形態１の図１において、セグメント処理部１０にペイロード保留部１５を設けることを特徴とする。このペイロード保留部１５は、不正アクセスの解析を行ったパケットの前後に接続されるペイロード（パケット）がある場合に、このペイロードを後述する保留ペイロード５１，５２として保持しておく機能を有する。なお、以下の説明では、上述した実施の形態１と同一の構成要素には同一の符号を付してその説明を省略している。

図７は、パケットに保留ペイロードを付加する方法を説明するための図である。パケットＰ１１〜Ｐ１５は既に組み立てられて不正アクセスの解析が終了し、パケットＰ１６，Ｐ１７は既に組み立てられ、これから不正アクセスの解析を行う状態を示している。また、パケットＰ１５とパケットＰ１６は互いに接続されるパケットであるものとする。なお、パケットＰ１１，Ｐ１２，Ｐ１３，Ｐ１４，Ｐ１５，Ｐ１６，Ｐ１７は、パケットの組み立て後（データセグメント）のサイズがいずれも３００バイトであり、改行コードを含んでいないものとする。

例えば、不正アクセスがパケットＰ１５とパケットＰ１６にまたがっている場合、パケットＰ１５とパケットＰ１６を別々に不正アクセス解析すると、不正アクセスを検知することができない。しかし、パケットＰ１６の不正アクセス解析を行う際、パケットＰ１６をパケットＰ１５に付加しておけば、不正アクセスを検知することが可能となる。

このため、本実施の形態２においては、不正アクセスの解析を行った後のパケットであっても、このパケットがこれから不正アクセス解析を行うパケットと接続される場合は、不正アクセスの解析を行った後のパケットを所定サイズ分だけ保留ペイロード５１，５２として保持しておく。なお、不正アクセスの解析を行ったパケットにおいて不正アクセスが検知された場合は、このパケットを廃棄するため保留ペイロード５１，５２を保持する必要はない。

パケットＰ１１〜Ｐ１５が組み立てられて不正アクセス解析が行われ、不正アクセスがないと判断されると、不正アクセス解析の行われたパケットＰ１１〜Ｐ１５の前後に接続されるパケットがあるか否かを確認する。ここでは、不正アクセス解析の行われたパケッＰ１１〜Ｐ１５の前後に接続されるパケットがあるため、パケットＰ１１〜Ｐ１５の先頭の２００バイトと最後尾の２００バイトを保留ペイロード５１，５２として保持する。

パケットＰ１６はパケットＰ１５に接続されるものであるため、この後不正アクセス解析が行われるパケットＰ１５，Ｐ１６に保留ペイロード５２を付加する。そして、ペイロード２が付加されたパケットＰ１６，Ｐ１７の不正アクセス解析を行う。これによって、不正アクセスが複数のパケット間をまたがるような場合であっても、不正アクセスを検知することが可能となる。

なお、保留ペイロード５１は、パケットＰ１１の前に接続されるパケットＰ１０（図示せず）がある場合であって、パケットＰ１１〜Ｐ１５がパケットＰ１０より先に送られて組み立てられ、パケットＰ１０の不正アクセス解析がまだ行われていない場合に保持しておく。そして、パケットＰ１０を含むパケットの不正アクセス解析を行う際に保留ペイロード５１を付加して不正アクセス解析を行う。また、保留ペイロード５１，５２のサイズは２００バイトに限られず、侵入検知装置１の使用者によって任意に設定可能とする。

つぎに、このような侵入検知装置１の侵入検知方法について、図８のフローチャートを参照しながら説明する。図８は、この実施の形態２に係る侵入検知装置の侵入検知方法を示すフローチャートである。ステップＳ１０〜ステップＳ１１０までは、実施の形態１で示した図５と同様の処理が行われる。すなわち、侵入検知装置１は、このネットワーク２０内の端末２１，２２へのパケット（データ）を受信制御部２から受信し、リアセンブルデータ保留部５から保持されたＩＰフラグメントされたすべてのパケットを取り出し、先頭から順にパケットを組み立てる（ステップＳ１０〜ステップＳ５０）。

その後、組み立てられたパケット等のプロトコル種別が、ＴＣＰであるか否かを判定し、パケット内に改行コードが含まれている場合や、セグメント保持部１３において既に保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの合計サイズがペイロードサイズを超えている場合には、セグメント組立部１１は、プロトコル判定部４から新たに送られてきたパケットとセグメント保持部１３で保持していたパケットを取り出して、分割されたデータセグメントを組み立てる（ステップＳ６０〜ステップＳ１１０）。

セグメント組立部１１において、分割されたデータセグメントが組み立てられた後（ステップＳ１１０）、ペイロード保留部１５に保留ペイロード５１，５２が保持されているかを確認する（ステップＳ２００）。ペイロード保留部１５に保留ペイロード５１，５２がある場合は（ステップＳ２００でＹｅｓの場合）、セグメント組立部１１において組み立てられたデータセグメントに保留ペイロード５１または保留ペイロード５２を付加する（ステップＳ２１０）。

その後、または、ステップＳ２００で保留ペイロード５１，５２が保持されていない場合（ステップＳ２００でＮｏの場合）、不正アクセス解析部６に、組み立てられたデータセグメントまたはＴＣＰ以外のパケットが渡される。不正アクセス解析部６は、パケットまたは組み立てられたデータセグメントに不正アクセスが含まれるか否かを、パターンマッチング等などの不正アクセス解析方法を用いて解析する（ステップＳ２２０）。

パケットまたは組み立てられたデータセグメントに不正アクセスが含まれる場合（ステップＳ２２０でＹｅｓの場合）であって、プロトコル種別がＴＣＰ以外の場合には受信したパケットを廃棄し、プロトコル種別がＴＣＰである場合にはパケットを廃棄する（ステップＳ２６０）。そして、対策部７は、ネットワーク管理者宛てに不正アクセスがされた旨の電子メールを送付して、異常を通知する（ステップＳ２７０）。

一方、ステップＳ２２０でパケットまたは組み立てられたデータセグメントに不正アクセスが含まれていない場合（ステップＳ２２０でＮｏの場合）であって、不正アクセス解析の行われたパケットの前後に接続されるパケットがある場合は、不正アクセス解析の行われたパケットの例えば先頭の２００バイトや最後尾の２００バイトを保留ペイロード５１，５２として保持する（ステップＳ２３０）。

この後、ステップＳ２１０で付加した保留ペイロード５１，５２をペイロード保留部１５から消去する（ステップＳ２４０）。セグメント保持部１３で保持しておいた不正アクセス解析の直前に送られてきたパケットを送信制御部３から送信する（ステップＳ２５０）。そして、ステップＳ１０に戻り、再び外部からネットワーク２０内にアクセスされるデータについての監視を行う。なお、ステップＳ２３０で保持した保留ペイロード５１，５２が所定期間付加されずに残っている場合は削除してもよい。

この実施の形態２によれば、不正アクセスの解析を行った後のパケットであっても、このパケットがこれから不正アクセス解析を行うパケットと接続される場合は、不正アクセスの解析を行った後のパケットを所定サイズ分だけ保留ペイロード５１，５２として保持するようにしたので、不正アクセスが複数のパケットにまたがっている場合であっても、不正アクセスを検知することが可能となり、パケットの組み立てを必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能となる。

実施の形態３．
図９は、この発明にかかる侵入検知装置の実施の形態２の構成を示すブロック図である。この侵入検知装置１は、上述した実施の形態１の図１において、受信制御部２とプロトコル判定部４との間にフィルタ部６０を設けることを特徴とする。このフィルタ部６０は、不正アクセスのパケットを送信した端末の送信元アドレスを含むアドレス情報を登録し、受信制御部２によって受信されたパケットの送信元アドレスが登録されたアドレス情報と一致した場合にそのパケットを廃棄する機能を有する。なお、不正アクセスのパケットを送信した端末のアドレス情報は、過去に不正アクセスの解析を行った結果に基づいて対策部７から通知されるアドレス情報によって登録される。なお、以下の説明では、上述した実施の形態１と同一の構成要素には同一の符号を付してその説明を省略している。

このように、フィルタ部６０を設けることによって、実施の形態１では不正アクセス検出時に対策部７からネットワーク２０の管理者宛てに電子メールを送信しているが、同じ発信元端末による２回目以降の不正アクセスに対しては、図５のフローチャートのステップＳ２０以降を実行する必要がなくなり、侵入検知装置１にかかる負荷を減らすことが可能となる。なお、この実施の形態３に係る侵入検知装置１に、実施の形態２の図６に示されるようにペイロード保留部１５を設けるようにしてもよい。

この実施の形態３に係る侵入検知装置１に、実施の形態２の図６に示すペイロード保留部１５を設けた場合は、不正アクセスが複数のパケットにまたがっている場合であっても、不正アクセスを検知することが可能となり、パケットの組み立てを必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能となる。

この実施の形態３によれば、過去に不正アクセスを行った端末のアドレス情報を登録するように構成したので、不正アクセスを送信した端末からのパケットをすぐに廃棄することができる。このため、リアセンブルデータ保留部５やセグメント保持部１３といった侵入検知装置１内部のリソースを使用しないので、他の端末Ｃ２３からのパケット処理に対して内部リソースを使用することが可能となるため、パケットを効率よく保持し、パケットの組み立てを必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能となる。

実施の形態４．
図１０は、この発明にかかる侵入検知装置の実施の形態４の構成を示すブロック図である。この侵入検知装置１は、上述した実施の形態１の図１において、処理振分部１１０と複数の侵入検知処理部１２０が追加された構成を有している。以下の説明では、上述した実施の形態１と同一の構成要素には同一の符号を付してその説明を省略している。

侵入検知処理部１２０は、セグメント処理部１０_ｎ、不正アクセス解析部６_ｎおよび対策部７_ｎが一つの単位となって構成される侵入検知処理部１２_ｎ（ｎは自然数）が、複数存在することによって構成される。これらのそれぞれの侵入検知処理部１２０_ｎは、上述した実施の形態１におけるセグメント処理部１０、不正アクセス解析部６および対策部７と同じ機能を有する。

また、処理振分部１１０は、侵入検知装置１が受信したパケットに対する不正アクセスの解析処理を行う侵入検知処理部１２０_ｎのうち可動状況の低い侵入検知処理部１２０_ｎに処理を振り分ける機能を有する。稼動状況の低い侵入検知処理部１２０_ｎの求める方法として、たとえば、複数存在する不正アクセス解析部６_ｎの処理パケット数などが低いものを、稼動状況の低い侵入検知処理部１２０_ｎと求めることができる。なお、処理振分部１１０は、プロトコルがＴＣＰによる通信プロトコルである場合には、受信したパケットの宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号から識別されるセッションが同一のデータは同じ侵入検知処理部１２０にデータを振り分ける。

つぎに、この侵入検知装置１の侵入検知方法について、図１１のフローチャートを参照しながら説明する。図１１は、この実施の形態４に係る侵入検知装置の侵入検知方法を示すフローチャートである。ステップＳ１０〜ステップＳ６０までは、実施の形態１で示した図５と同様の処理が行われる。すなわち、端末Ｃ２３からのパケットを受信制御部２で受信し、この受信したパケットまたは受信したパケットがＩＰフラグメントされている場合には組み立てられたパケットのヘッダを参照してプロトコル判定部４はプロトコル種別を判定する。

パケットのプロトコル種別がＴＣＰである場合（ステップＳ６０でＴＣＰの場合）には、処理振分部１１０はパケットから宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号を読み込み、これらの組合せからセッションを識別し（ステップＳ７０）、複数ある侵入検知処理部１２０_ｎのうち稼動状況の低い侵入検知処理部１２０_ｎにパケットを振り分ける（ステップＳ７５）。

なお、処理振分部１１０は、パケットに格納されている宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号の組合せからセッションを識別し、このセッションと振り分け先の侵入検知処理部１２０_ｎとの組合せを記憶しているので、同じセッションを有するパケットを受信した場合には、処理振分部１１０は、該パケットを前回振り分けた侵入検知処理部１２０_ｎと同じ侵入検知処理部１２０_ｎに振り分けることが可能となる。

この後、ステップＳ８０〜ステップＳ１００までは、実施の形態１で示した図５と同様の処理が行われる。すなわちセグメント保持部１３において既に保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの組み立て後の合計サイズを確認して合計サイズがペイロードサイズを超えているか否かの判断を行い（ステップＳ８０）、合計サイズがペイロードサイズより小さい場合には、パケット内に改行コードが含まれているか否かの判断を行う（ステップＳ９０）。

パケット内に改行コードが含まれていない場合（ステップＳ９０でＮｏの場合）には、プロトコル判定部４から新たに送られてきたパケットをコピーしてセグメント保持部１３に保持し（ステップＳ９５）、コピー元のオリジナルのパケットを送信制御部３からヘッダに格納されている宛先アドレスの端末へと送信（ステップＳ１００）する。

ステップＳ９０でパケット内に改行コードが含まれている場合（ステップＳ９０でＹｅｓの場合）や、ステップＳ８０でセグメント保持部１３において既に保持されているパケットとプロトコル判定部４から新たに送られてきたパケットの合計サイズがペイロードサイズを超えている場合（ステップＳ８０でＹｅｓの場合）には、セグメント組立部１１は、プロトコル判定部４から新たに送られてきたパケットとセグメント保持部１３で保持していたパケットを取り出して、分割されたデータセグメントを組み立てる（ステップＳ１１０）。このとき、データセグメントが組み立てられると、セグメント組立部１１に組み立てられたデータセグメントと同一のセッション情報によって管理され、セグメント保持部１３で保持されていた新たに送られてきたパケット以外のパケットは消去される。

ステップＳ６０で、プロトコル種別がＩＣＭＰやＵＤＰなどＴＣＰ以外のプロトコルである場合（ステップＳ６０でＴＣＰ以外の場合）には、処理振分部１１０で複数ある侵入検知処理部１２０_ｎのうち稼動状況の低い侵入検知処理部１２０_ｎにパケットを振り分け（ステップＳ１１５）、振り分けられたパケットは、その中の不正アクセス解析部６_ｎに渡される。

不正アクセス解析部６_ｎは、パケットまたは組み立てられたデータセグメントに不正アクセスが含まれるか否かを、パターンマッチング等などの不正アクセス解析方法を用いて解析する（ステップＳ１２０）。

この後、ステップＳ１３０〜ステップＳ１５０までは、実施の形態１で示した図５と同様の処理が行われる。すなわちパケットまたは組み立てられたデータセグメントに不正アクセスが含まれていない場合には、セグメント保持部１３で保持しておいた不正アクセス解析の直前に送られてきたパケットを送信制御部３から送信する（ステップＳ１３０）。

一方、パケットまたは組み立てられたデータセグメントに不正アクセスが含まれる場合であって、プロトコル種別がＴＣＰ以外の場合には受信したパケットを廃棄し、プロトコル種別がＴＣＰである場合にはパケットを廃棄する（ステップＳ１４０）。そして、対策部７は、ネットワーク管理者宛てに不正アクセスがされた旨の電子メールを送付して、異常を通知する（ステップＳ１５０）。

この実施の形態４によれば、セグメント処理部１０_ｎ、不正アクセス解析部６_ｎおよび対策部７_ｎからなる侵入検知処理部１２０_ｎを複数有する構成とすることによって、複数のパケットを同時に処理できるため、不正アクセスを高速に検知することができるという効果を有する。

なお、この実施の形態４に係る侵入検知装置１に、実施の形態２の図６に示されるようにペイロード保留部１５を設けるようにしてもよい。ペイロード保留部１５を設けることによって、不正アクセスが複数のパケットにまたがっている場合であっても、不正アクセスを検知することが可能となり、パケットの組み立てを必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能となる。

なお、上述した説明では、不正アクセス検出時に対策部７_ｎから電子メールを送信する構成としているが、実施の形態３の図９に示されるようにフィルタ部６０を設けるようにしてもよい。この場合には、不正アクセスが含まれるパケットを送信した端末の情報を対策部７_ｎからフィルタ部６０に通知して登録しておくことによって、パケット受信時にフィルタ部６０において受信したパケットのアドレスが登録されているアドレス情報と一致する場合に、該パケットを廃棄することが可能となり、リアセンブルデータ保留部５や侵入検知処理部１２０_ｎのセグメント保持部１３_ｎのリソースを有効に使用することが可能となる。したがって、パケットの組み立てを必要とするＴＣＰ／ＩＰの不正アクセス検知の精度をさらに上げることが可能となる。

さらに、この実施の形態４に係る侵入検知装置１に、実施の形態２の図６に示されるペイロード保留部１５と実施の形態３の図９に示すフィルタ部６０の両方を設けるようにしてもよい。

実施の形態５．
図１２は、この発明にかかる侵入検知装置の実施の形態５の構成を示すブロック図である。この侵入検知装置１は、図１の侵入検知装置１の受信制御部２とプロトコル判定部４との間に、検知対象検索部１３０が設けられていることを特徴とする。以下の説明では、上述した実施の形態１の図１と同一の構成要素についてはその同一の符号を付して、その説明を省略している。

検知対象検索部１３０には、不正アクセス検知対象として、たとえば、宛先アドレスやアプリケーション種別などを含む検知対象情報が登録されている。そして、検知対象検索部１３０は、受信制御部２から渡されたパケットに対して、そのアドレスとアプリケーション種別が登録された宛先アドレスとアプリケーション種別と一致するか否かを確認し、一致した場合に該パケットを不正アクセス検知であるとして不正アクセス処理を実行する機能を有する。

たとえば、不正アクセス検知対象の検知対象情報として、宛先アドレス「端末Ａ」、アプリケーション種別「ＷＷＷ」が検知対象検索部１３０に登録されているものとする。受信制御部２において、受信したパケットのアドレスとアプリケーション種別が登録されている検知対象情報と一致した場合には上述した実施の形態１で説明した不正アクセス検知を実行するが、たとえば端末Ｃ２３から端末Ｂ２２宛てのパケットのように登録されている検知対象情報と一致しない場合には、不正アクセスの検知対象外として受信したパケットを送信制御部３から送信する。

この実施の形態５によれば、検知対象外のパケットをすぐに送信することによって、リアセンブルデータ保留部５やセグメント保持部１３といった侵入検知装置１内部のリソースを使用しないので、検知対象のパケット処理に内部リソースが使用できるため、パケットを効率よく保持し、パケットの組み立てを必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能となる。

なお、この実施の形態５に係る侵入検知装置１に、実施の形態２の図６に示すペイロード保留部１５、実施の形態３の図９に示すフィルタ部６０、実施の形態４の図１０に示す処理振分部１１０と複数の侵入検知処理部１２０、のうちのいずれかまたは全てを設けるようにしてもよい。

この実施の形態５に係る侵入検知装置１に、実施の形態２の図６に示されるようにペイロード保留部１５を設けるようにしてもよい。ペイロード保留部１５を設けることによって、不正アクセスが複数のパケットにまたがっている場合であっても、不正アクセスを検知することが可能となり、パケットの組み立てを必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能となる。

この実施の形態５に係る侵入検知装置１に、実施の形態３の図９に示すフィルタ部６０を設けた場合は、パケットの組み立てを必要とするＴＣＰ／ＩＰの不正アクセス検知の精度をさらに上げることが可能となる。

この実施の形態５に係る侵入検知装置１に、実施の形態４の図１０に示す処理振分部１１０と複数の侵入検知処理部１２０を設けた場合は、複数のパケットを同時に処理できるため、不正アクセスを高速に検知することができる。

以上のように、本発明にかかる侵入検知装置およびその方法は、他の情報端末から送信される前後のパケットの組み立てが必要なＴＣＰ／ＩＰパケットの不正アクセス解析に適している。

Claims (20)

1. ネットワークに接続された機器への不正侵入を検知するために、前記ネットワークと外部ネットワークとの間に設けられる侵入検知装置において、
   前記外部ネットワークから受信したパケット中に含まれるデータセグメントのコピーを、前記パケットに含まれる所定のセッション情報と関連付けして一時的に保留するとともに、前記セッション情報と同一のデータセグメントを所定のサイズであるペイロードサイズ以上受信すると、同一のセッション情報を有するデータセグメントを組み立てるデータセグメント組立手段と、
   前記受信したパケット中に含まれるデータセグメントまたは組み立てたデータセグメントに不正アクセスが含まれているか否かを解析し、不正アクセスが含まれている場合には前記ペイロードサイズに達した時に受信したデータセグメントが含まれるパケットを廃棄し、正常なパケットのみを前記ネットワークに接続された機器に対して送信する不正アクセス解析手段と、
   を備えることを特徴とする侵入検知装置。
2. 前記不正アクセス解析手段によって、前記パケット中に含まれるデータセグメントまたは組み立てたデータセグメントに不正アクセスが含まれていないと判断された場合に、前記正常なパケットの先頭部および／または最後尾の所定サイズのデータを保持するデータ保留部を、さらに備え、
   前記データセグメント組立手段は、前記データ保留部で保持しておいたデータを前記同一のセッション情報を有するデータセグメントに接続させて組み立てることを特徴とする請求項１に記載の侵入検知装置。
3. 前記受信パケットのプロトコル種別を解析し、所定プロトコルのパケットを抽出して前記データセグメント組立手段に対して出力するプロトコル判定手段を、さらに備えることを特徴とする請求項１に記載の侵入検知装置。
4. 前記受信パケットのプロトコル種別を解析し、所定プロトコルのパケットを抽出して前記データセグメント組立手段に対して出力するプロトコル判定手段を、さらに備えることを特徴とする請求項２に記載の侵入検知装置。
5. 前記データセグメント組立手段は、前記パケットの宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号から識別されるセッション情報に基づいて、データセグメント組み立て処理を行うことを特徴とする請求項１に記載の侵入検知装置。
6. 前記データセグメント組立手段は、前記パケットの宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号から識別されるセッション情報に基づいて、データセグメント組み立て処理を行うことを特徴とする請求項２に記載の侵入検知装置。
7. 前記データセグメント組立手段は、前記パケットの宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号から識別されるセッション情報に基づいて、データセグメント組み立て処理を行うことを特徴とする請求項３に記載の侵入検知装置。
8. 前記プロトコル判定手段によって、前記パケットがＩＰフラグメントされていると判定された場合に、該パケットを一時的に保留するリアセンブルデータ保留手段と、
   前記ＩＰフラグメントされたパケットのうち最後のパケットを受信すると、前記リアセンブルデータ保留手段から前記パケットを取り出してＩＰフラグメントされたパケットを組み立てるパケット組立手段と、
   をさらに備え、
   前記不正アクセス解析手段は、前記受信したまたは組み立てたパケットに不正アクセスが含まれているか否かを解析し、不正アクセスが含まれている場合にはパケットを廃棄し、正常なパケットのみを前記ネットワークに接続された機器に対して送信する機能をさらに備えることを特徴とする請求項１に記載の侵入検知装置。
9. 前記データセグメント組立手段および前記不正アクセス解析手段の組合せからなる侵入検知処理手段が複数設けられ、
   前記侵入検知処理手段の稼動状況に応じて、外部ネットワークから受信したＴＣＰによる通信のパケットに含まれるデータセグメントをいずれかの侵入検知処理手段に振り分ける処理振分手段をさらに備えることを特徴とする請求項１に記載の侵入検知装置。
10. 前記処理振分手段は、同一のセッション情報を有するデータセグメントを同一の侵入検知処理手段に振り分ける機能をさらに備えることを特徴とする請求項９に記載の侵入検知装置。
11. 外部ネットワークから受信したパケットが、検知対象とする機器のアドレスとアプリケーション種別を含む検知対象情報と一致する場合に、前記受信したパケットを前記プロトコル判定手段に渡す検知対象検索手段をさらに備えることを特徴とする請求項１に記載の侵入検知装置。
12. 前記不正アクセス解析手段によって不正アクセスと判断されたパケットの送信元アドレスを含むアドレス情報を登録し、該送信元アドレスと一致する送信元アドレスを有するパケットを受信した場合に、前記パケットを廃棄するフィルタ手段をさらに備えることを特徴とする請求項１に記載の侵入検知装置。
13. 前記不正アクセス解析手段によって前記パケットに不正アクセスが含まれると判断された場合には、前記ネットワーク管理者に対して異常を通知する対策手段をさらに備えることを特徴とする請求項１に記載の侵入検知装置。
14. ネットワークに接続された機器への不正侵入を検知する侵入検知方法であって、
    外部ネットワークから受信したパケット中に含まれるデータセグメントのコピーを、前記パケットに含まれる所定のセッション情報と関連付けして一時的に保留するデータセグメント保留工程と、
    前記セッション情報と同一のデータセグメントを所定のサイズであるペイロードサイズ以上受信すると、前記一時的に保留されたデータセグメントのコピーを用いてデータセグメントを組み立てるデータセグメント組立工程と、
    この組み立てられたデータセグメントに不正アクセスが含まれているか否かを解析し、不正アクセスが含まれている場合には前記ペイロードサイズに達した時に受信したデータセグメントが含まれるパケットを廃棄し、正常なパケットのみを前記ネットワークに接続された機器に対して送信する不正アクセス解析工程と、
    を含むことを特徴とする侵入検知方法。
15. 前記不正アクセス解析工程において前記組み立てられたデータセグメントに不正アクセスが含まれていないと判断された場合に、前記正常なパケットの先頭部および／または最後尾の所定サイズのデータを保持するデータ保留工程を、さらに含み、
    前記データセグメント組立工程は、前記データ保留工程で保持しておいたデータを前記同一のセッション情報を有するデータセグメントに接続させて組み立てることを特徴とする請求項１４に記載の侵入検知方法。
16. 前記受信パケットのプロトコル種別を解析し、所定プロトコルのパケットの場合に、前記データセグメント保留工程または前記不正アクセス解析工程を実行するプロトコル判定工程を、さらに含むことを特徴とする請求項１４に記載の侵入検知方法。
17. 外部ネットワークから受信したパケットがＩＰフラグメントされている場合に、ＩＰフラグメントされているすべてのパケットを受信するまで一時的に保留するリアセンブルデータ保留工程と、
    前記ＩＰフラグメントされている最後のパケットを受信すると、前記一時的に保留されたパケットを用いてパケットを組み立てるパケット組立工程と、
    を含み、
    前記不正アクセス解析工程は、前記パケットがＴＣＰによる通信プロトコルを利用するものでない場合に、前記組み立てられたパケットに不正アクセスが含まれているか否かを解析し、不正アクセスが含まれている場合には前記パケットを廃棄し、正常なパケットのみを前記ネットワークに接続された機器に対して送信する処理をさらに行うことを特徴とする請求項１４に記載の侵入検知方法。
18. 前記データセグメント組立工程および前記不正アクセス解析工程において、前記データセグメントの組み立ておよび該組み立てられたデータセグメントに不正アクセスが含まれているか否かの解析を同時に２以上実行可能な場合に、前記データセグメントを振り分ける処理振分工程をさらに含むことを特徴とする請求項１４に記載の侵入検知方法。
19. 前記外部ネットワークから受信したパケットが、検知対象とする機器のアドレスとアプリケーション種別を含む検知対象情報と一致する場合にのみ前記パケットについて不正アクセス解析を行うことを特徴とする請求項１４に記載の侵入検知方法。
20. 前記不正アクセス解析工程によって、不正アクセスと判断されたパケットの送信元アドレスを登録し、該送信元アドレスと一致する送信元アドレスを有するパケットを受信した場合に、該パケットを廃棄することを特徴とする請求項１４に記載の侵入検知方法。

Images