JP4027213B2

JP4027213B2 - 侵入検知装置およびその方法

Info

Publication number: JP4027213B2
Application number: JP2002344178A
Authority: JP
Inventors: 規充永嶋; 忍後沢
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2002-11-27
Filing date: 2002-11-27
Publication date: 2007-12-26
Anticipated expiration: 2022-11-27
Also published as: JP2004179999A

Description

【０００１】
【発明の属する技術分野】
この発明は、インターネットなどの外部ネットワークと接続され、相互に通信を行うネットワークにおけるデータの安全性を高めることが可能な侵入検知装置およびその方法に関するものである。
【０００２】
【従来の技術】
近年、複数台のコンピュータからなるＬＡＮなどのネットワークが相互に接続されたインターネットのような大規模なネットワークが発達し、このネットワークを用いて多数の利用者が様々な情報を得ることが可能になってきている。しかし、このような大規模ネットワークに接続されるネットワークにおいては、悪意の行為者によって不正アクセスがなされる危険性を有している。そのため、この不正アクセスに対する装置として従来までに種々の装置が提案されている。
【０００３】
図９は、不正アクセスに対してパケットを通過させないパケット転送装置の構成を示すブロック図である（たとえば、特許文献１参照）。パケット転送装置１００は、異なるネットワークセグメントに接続されるパケット受信部１０１およびパケット送出部１０２と、受信したパケットに識別子を付加するパケット識別子付加機構１０３と、識別子を付加されたパケットを一時的に保留するパケット保留キュー１０４と、複数のパケットが必要なパケットの解析時に参照される送出済みのパケットを保持する送出済みパケット保持機構１０５と、受信したパケットが不正アクセスに関わるパケットか否かを判定するパケット解析機構１０６とを有する。
【０００４】
このようなパケット転送装置１００において、パケット受信部１０１で受信され、パケット識別子付加機構１０３によって識別子が付加された受信パケットは、パケット保留キュー１０４に格納され、パケット解析機構１０６に渡されると同時に送出済みパケット保持機構１０５に保持される。パケット解析機構１０６は、受信パケットと送出済みパケット保持機構１０５に保持されている該受信パケット以前に送出したパケットを参照して受信パケットが不正アクセスに関わるパケットであるかを判定し、不正アクセスに関わるパケットであれば廃棄し、そうでない場合は転送する。送出済みパケット保持機構１０５に保持されるパケットは、格納してから一定期間経過した後に廃棄するか、あるいは予め指定した特定のデータ量を超えた分を到着順に廃棄する。
【０００５】
【特許文献】
特開２００２−６３０８４号公報（第１６〜１７頁、第９図）
【０００６】
【発明が解決しようとする課題】
インターネット上で一般的に使われているＴＣＰ／ＩＰプロトコルでは、たとえばコネクション確立時や切断時にやりとりされるパケットやデータが相手に届かなかったことを伝えるメッセージのようにユーザデータ以外の制御用パケットが送受信される。そのため、ユーザデータ以外の制御用パケットの量も多量にのぼる。しかし、上述した従来のパケット転送装置では、受信したパケットは送出済みパケット保持機構において一定期間が過ぎるまでまたは特定のデータ量を超えるまで保持されるため、制御用パケットが増えると保持できるユーザデータのパケット数が少なくなり、送出済みのパケットを参照した不正アクセス検知の精度が下がってしまうという問題点があった。また、余分なデータを保持していることにより、送出済みのパケットを参照する場合に、関連するパケットを検索する時間が増大し、侵入検知のオーバヘッドが大きくなってしまうという問題点もあった。
【０００７】
この発明は、上記に鑑みてなされたもので、他の情報端末から送信される前後のパケットの組立てが必要なＴＣＰ／ＩＰパケットの不正アクセス解析において、パケットを効率よく保持しながら、パケットの組立を必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能な侵入検知装置およびその方法を得ることを目的とする。
【０００８】
【課題を解決するための手段】
上記目的を達成するため、この発明にかかる侵入検知装置は、ネットワークに接続された機器への不正侵入を検知するために、前記ネットワークと外部ネットワークとの間に設けられる侵入検知装置において、前記外部ネットワークから受信したパケット中に含まれるデータセグメントのコピーを、前記パケットに含まれる所定のセッション情報と関連付けしてデータセグメント保留手段に一時的に保留し、前記セッション情報と同一で最後のデータセグメントを有するパケットを受信すると、同一のセッション情報を有するデータセグメントを組み立てるとともに前記データセグメント保留手段中の前記セッション情報と関連付けされた前記データセグメントのコピーを消去するデータセグメント組立手段と、前記受信したパケット中に含まれるデータセグメントまたは組み立てたデータセグメントに不正アクセスが含まれているか否かを解析し、不正アクセスが含まれている場合には最後に受信したデータセグメントが含まれるパケットを廃棄し、正常なパケットのみを前記ネットワークに接続された機器に対して送信する不正アクセス解析手段と、を備えることを特徴とする。
【０００９】
また、上記目的を達成するため、この発明にかかる侵入検知方法は、ネットワークに接続された機器への不正侵入を検知する侵入検知方法であって、外部ネットワークから受信したパケット中に含まれるデータセグメントのコピーを、前記パケットに含まれる所定のセッション情報と関連付けして一時的に保留するデータセグメント保留工程と、前記セッション情報と同一で最後のデータセグメントを有するパケットを受信すると、前記一時的に保留されたデータセグメントのコピーを用いてデータセグメントを組み立てるとともに一時的に保留された前記セッション情報と関連付けされた前記データセグメントのコピーを消去するデータセグメント組立工程と、この組み立てられたデータセグメントに不正アクセスが含まれているか否かを解析し、不正アクセスが含まれている場合には最後に受信したデータセグメントが含まれるパケットを廃棄し、正常なパケットのみを前記ネットワークに接続された機器に対して送信する不正アクセス解析工程と、を含むことを特徴とする。
【００１０】
【発明の実施の形態】
以下に添付図面を参照して、この発明にかかる侵入検知装置およびその方法の好適な実施の形態を詳細に説明する。
【００１１】
実施の形態１．
図１は、この発明にかかる侵入検知装置の実施の形態１の構成を示すブロック図であり、図２は、この侵入検知装置が使用されるネットワークシステムの構成を示すブロック図である。侵入検知装置１は、他のパーソナルコンピュータなどの端末Ｃ２３が接続されているインターネット３０と、このインターネット３０に接続されるＬＡＮ（Local Area Network）などのネットワーク２０との間に、図２に示されるように接続される。ここで、ネットワーク２０には端末Ａ２１と端末Ｂ２２が接続されているものとする。ここで、ネットワーク２０内の端末Ａ２１や端末Ｂ２２は、情報の送受信が可能な機器であり、例えば、パーソナルコンピュータなどの情報端末を挙げることができる。なお、図２では、ネットワーク２０に２台の端末２１，２２が接続されている場合を例示するものであり、２台に限られるものではない。
【００１２】
侵入検知装置１は、インターネット３０などのネットワーク２０から見て外部に接続された端末Ｃ２３などからパケットを受信する受信制御部２、ネットワーク２０内の端末Ａ２１や端末Ｂ２２などにパケットを送信する送信制御部３、受信したパケットの宛先やプロトコルを判定するプロトコル判定部４、ＩＰフラグメント化されているパケットを保持するリアセンブルデータ保留部５、受信したパケットのプロトコルがＴＣＰ（Transmission Control Protocol）の場合にデータセグメントを組み立てるデータセグメント組立部６、データセグメントの最後のパケットが到着するまで受信したデータを保留するデータセグメント保留部７、受信したパケットに不正アクセスが含まれるか否かを判別する不正アクセス解析部８、および不正アクセス解析部８が異常を検出した際に所定の対処を実施する対策部９を有する。ここで、データセグメントとは、ＴＣＰを使用した通信において相手に送信するデータのことをいい、特に、ＴＣＰヘッダを除いたデータの部分を意味するものである。
【００１３】
受信制御部２は、インターネット３０に接続された外部の端末Ｃ２３からパケットを受信し、送信制御部３は、受信したパケットをネットワーク２０内の所定の端末２１，２２に送信する。そのため、図２では、侵入検知装置１のインターネット３０側は受信制御部２と接続され、侵入検知装置１のネットワーク２０側は送信制御部３と接続される。
【００１４】
プロトコル判定部４は、ＩＰフラグメントされた複数のパケットを組み立てる機能のほかに、受信したまたは組み立てたパケットのヘッダを解析して宛先や送信元アドレス、プロトコルを判定する機能を有する。プロトコルの判定は、具体的には、たとえばＩＰｖ４のパケットの場合、ヘッダには後続のデータ部でどのような上位プロトコルが用いられているかを示すプロトコルタイプが格納される８ビットの領域である「プロトコルタイプ」と、パケットの宛先ＩＰアドレスが格納される３２ビットの領域である「宛先アドレス」、パケットの送信元ＩＰアドレスが格納される３２ビットの領域である「送信元アドレス」があるので、これらの領域を解析することによって、上記パケットの宛先やプロトコルを判定することが可能となる。
【００１５】
また、プロトコル判定部４のパケット組み立て機能は、上述したプロトコルの判定と同様にそのヘッダを解析することによって受信したパケットがＩＰフラグメントされているか否かを判定し、ＩＰフラグメントされている場合に、パケットの組み立てを行うものである。具体的には、たとえばＩＰｖ４のパケットの場合、ヘッダには、パケットをＩＰフラグメントしたときの識別子であり、またＩＰフラグメントされたパケットを元に戻すときに利用される１６ビットの「ＩＤ」を解析することによってパケットがＩＰフラグメントされているか否かを判定することができる。そして、パケットがＩＰフラグメントされている場合にはパケットのヘッダのＩＰフラグメントに関して、ＩＰフラグメントの禁止やフラグメントの途中か最後を示す３ビットの「フラグ」やフラグメントが元のパケットのどの位置にあったかを示す「フラグメントオフセット」を参照しながら、これらのパケットを先頭から組み立てる。なお、特許請求の範囲におけるプロトコル判定手段とパケット組立手段は、このプロトコル判定部４に相当する。
【００１６】
リアセンブルデータ保留部５は、受信したパケットがＩＰフラグメントされていた場合に、すべてのパケットが到着するまでの間パケットを保持する機能を有する。すべてのパケットが到着すると、これらのパケットは、プロトコル判定部４に渡される。
【００１７】
データセグメント組立部６は、他の端末Ｃ２３などからＴＣＰを利用して受信したパケットを組み立てる機能を有する。ＴＣＰでは、通信相手に送信するデータのことをセグメント（この明細書では、セグメントデータという）というが、たとえば、３文字のコマンド“ｌｓ改行”というデータセグメントを送信する場合には、“ｌ”、“ｓ”、“改行”のように分割して送信する場合も考えられる。これらのデータを処理する受信端末は分割されたデータセグメントを組み立てて順番を正しく整えることによって、コマンドを正しく認識することが可能となるが、侵入検知装置１も不正アクセスの有無を解析するためには、分割されたデータセグメントを受信端末と同様に組み立てて、コマンドを正しく認識する必要がある。そのためこのデータセグメント組立部６によるＴＣＰを利用して受信した場合のパケットを組み立てる機能が必要となる。
【００１８】
このデータセグメント組立部６では、パケットの宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号からセッションを識別し、このセッションを構成するデータセグメントが分割されて送信される場合には、このセッションに関するパケット（データセグメント）を組み立てる。ここで、分割されたデータセグメントがすべて到着していない場合には、データセグメント組立部６は、そのデータセグメントが含まれるパケットをコピーし、コピーしたパケットをデータセグメント保留部７に保持させるとともに、コピー元のパケットを指定された宛先アドレスの端末に向けて送信する。
【００１９】
データセグメント保留部７は、データセグメントの最後のパケットが到着するまでデータセグメント組立部６でコピーされたデータを保留する機能を有する。保留されるデータセグメントは、パケットの宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号からなるセッション情報と関連付けされることによって管理される。
【００２０】
不正アクセス解析部８は、受信したパケットに不正アクセスが含まれるか否かを判別し、不正アクセスであると判別された場合には最後に到着したパケットを廃棄する機能を有する。受信したパケットがＴＣＰ以外のプロトコルである場合には、不正アクセスか否かの判断を、要求元のアドレスやパケット内のデータやコマンド、アクセスの頻度などによって判断する。また、受信したパケットがＴＣＰのプロトコルである場合には、不正アクセスか否かの判断を、たとえば、パケット内に所定の文字列やコードが含まれるか否かを検知するパターンマッチングを行うことによって判断する。図３は、パターンマッチングの一例を示している。この図３では、宛先ポート番号＝８０（ＨＴＴＰ）の場合に、ＴＣＰデータとして“ｃｍｄ．ｅｘｅ？／”という文字列がパケット中に含まれている場合には、不正アクセスであると判断するものである。このような不正アクセスで用いられるパターンを登録することによって、不正アクセス解析部８による不正アクセスの判別が可能となる。なお、上述した不正アクセスか否かの判断は一例であり、従来知られている不正アクセスの検出方法を不正アクセス解析部８に実行させることができる。
【００２１】
対策部９は、不正アクセス解析部８が異常を検出した際に対処を実施する機能を有する。対処として、たとえば、受信したパケットに不正アクセスが検出された場合に、ネットワーク管理者に対して不正アクセスがされた旨の電子メールを送信したりすることができる。
【００２２】
つぎに、このような侵入検知装置１の侵入検知方法について、図４のフローチャートを参照しながら説明する。なお、以下の説明では、侵入検知装置１は、図２に示されるようにシステムに組み込まれているものとし、ネットワーク２０の外の端末Ｃ２３がネットワーク２０内の端末Ａ２１または端末Ｂ２２に対してアクセスする場合を例に挙げる。
【００２３】
ネットワーク２０の外部の端末、たとえば端末Ｃ２３が、ネットワーク２０内の端末２１，２２に対してアクセスすると、このアクセス時に端末Ｃ２３からネットワーク２０内の端末２１，２２にパケットが送信される。侵入検知装置１は、このネットワーク２０内の端末２１，２２へのパケット（データ）を受信制御部２から受信する（ステップＳ１）。
【００２４】
受信制御部２は受信したパケットをプロトコル判定部４に渡し、プロトコル判定部４はパケットのヘッダを読み取り、ＩＰフラグメントされているか否かを判定する（ステップＳ２）。パケットがＩＰフラグメントされている場合（ステップＳ２でＹｅｓの場合）には、プロトコル判定部４は、リアセンブルデータ保留部５を参照して、ＩＰフラグメントされたパケットがすべて到着しリアセンブルが完了したか、すなわち受信したパケットがＩＰフラグメントされた最後のパケットであるか否かを判定する（ステップＳ３）。ＩＰフラグメントされたパケットがすべて到着していない場合（ステップＳ３でＮｏの場合）には、受信したパケットをリアセンブルデータ保留部５に保持し（ステップＳ４）、再びステップＳ１の処理から実行される。一方、ステップＳ３で、受信したパケットがＩＰフラグメントされた最後のパケットである場合（ステップＳ３でＹｅｓの場合）には、リアセンブルデータ保留部５から保持されたＩＰフラグメントされたすべてのパケットを取り出し、先頭から順にパケットを組み立てる（ステップＳ５）。このとき、パケットが組み立てられると、リアセンブルデータ保留部５に保持されていたデータは消去される。
【００２５】
その後、またはステップＳ２でプロトコル判定部４によって受信したパケットがＩＰフラグメントされていないと判定された場合（ステップＳ２でＮｏの場合）には、プロトコル判定部４は、受信したパケットまたは受信して組み立てられたパケットのプロトコル種別が、ＴＣＰであるか否かを判定する（ステップＳ６）。
【００２６】
パケットのプロトコル種別がＴＣＰである場合（ステップＳ６でＴＣＰの場合）には、データセグメント組立部６は、パケットから宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号を読み込み、これらの組合せからセッションを識別する（ステップＳ７）。そして、データセグメント組立部６は、データセグメント保留部７を参照して分割されたデータセグメントがすべて到着しているか否か、すなわち受信したパケットが最後のデータセグメントであるか否かを判定する（ステップＳ８）。分割されたデータセグメントがすべて到着していない場合（ステップＳ８でＮｏの場合）には、データセグメント組立部６は、受信したパケットをコピーしてデータセグメント保留部７に保持し（ステップＳ９）、コピー元のオリジナルのパケットを送信制御部３からヘッダに格納されている宛先アドレスの端末へと送信し（ステップＳ１０）、再びステップＳ１からの処理を実行する。また、ステップＳ８で、受信したパケットが最後のデータセグメントである場合（ステップＳ８でＹｅｓの場合）には、データセグメント組立部６は、データセグメント保留部７からコピーされたパケットを取り出して、分割されたデータセグメントを組み立てる（ステップＳ１１）。このとき、データセグメントが組み立てられると、データセグメント保留部７に組み立てられたデータセグメントと同一のセッション情報によって管理され、保留されていたデータセグメントは消去される。
【００２７】
その後、または、ステップＳ６でパケットのプロトコル種別がＩＣＭＰ（Internet Control Message Protocol）やＵＤＰ（User Datagram Protocol）などのＴＣＰでない場合（ステップＳ６でＴＣＰ以外の場合）には、不正アクセス解析部８に、組み立てられたデータセグメントまたはＴＣＰ以外のパケットが渡される。不正アクセス解析部８は、パケットまたは組み立てられたデータセグメントに不正アクセスが含まれるか否かを、パターンマッチング等などの不正アクセス解析方法を用いて解析する（ステップＳ１２）。
【００２８】
パケットまたは組み立てられたデータセグメントに不正アクセスが含まれる場合（ステップＳ１２でＹｅｓの場合）であって、プロトコル種別がＴＣＰ以外の場合には受信したパケットを廃棄し、プロトコル種別がＴＣＰである場合には最後に到着したパケットを廃棄する（ステップＳ１４）。そして、対策部９は、ネットワーク管理者宛てに不正アクセスがされた旨の電子メールを送付して、異常を通知する（ステップＳ１５）。一方、ステップＳ１２でパケットまたは組み立てられたデータセグメントに不正アクセスが含まれていない場合（ステップＳ１２でＮｏの場合）には、送信制御部３から受信したパケットを送信する（ステップＳ１３）。そして、ステップＳ１に戻り、再び外部からネットワーク２０内にアクセスされるデータについての監視を行う。
【００２９】
この実施の形態１によれば、組み立てが必要なパケットを侵入検知装置１が保留し、最後のパケットが到着した時点で保留したパケットを取り出して組み立て、保留部内の情報を消去するようにしたので、パケットを効率よく保持することができ、保留部溢れによる受信データ廃棄を防ぐことができるため、パケットの組立を必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能となる。また、データセグメント保留部７の情報を宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号からなるセッション情報と関連付けることによって、ＴＣＰデータセグメントを組み立てる際のオーバヘッドを減らすことが可能となり、その結果、高速処理が可能となるという効果を有する。
【００３０】
実施の形態２．
図５は、この発明にかかる侵入検知装置の実施の形態２の構成を示すブロック図である。この侵入検知装置１は、上述した実施の形態１の図１において、受信制御部２とプロトコル判定部４との間にフィルタ部１０を設けることを特徴とする。このフィルタ部１０は、不正アクセスのパケットを送信した端末の送信元アドレスを含むアドレス情報を登録し、受信制御部２によって受信されたパケットの送信元アドレスが登録されたアドレス情報と一致した場合にそのパケットを廃棄する機能を有する。なお、不正アクセスのパケットを送信した端末のアドレス情報は、過去に不正アクセスの解析を行った結果に基づいて対策部９から通知されるアドレス情報によって登録される。なお、以下の説明では、上述した実施の形態１と同一の構成要素には同一の符号を付してその説明を省略している。
【００３１】
このように、フィルタ部１０を設けることによって、実施の形態１では不正アクセス検出時に対策部９からネットワーク２０の管理者宛てに電子メールを送信しているが、同じ発信元端末による２回目以降の不正アクセスに対しては、図４のフローチャートのステップＳ２以降を実行する必要がなくなり、侵入検知装置１にかかる負荷を減らすことが可能となる。
【００３２】
この実施の形態２によれば、過去に不正アクセスを行った端末のアドレス情報を登録するように構成したので、不正アクセスを送信した端末からのパケットをすぐに廃棄することができる。このため、リアセンブルデータ保留部５やデータセグメント保留部７といった侵入検知装置１内部のリソースを使用しないので、他の端末Ｃ２３からのパケット処理に対して内部リソースを使用することが可能となるため、パケットを効率よく保持し、パケットの組立を必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能となる。
【００３３】
実施の形態３．
図６は、この発明にかかる侵入検知装置の実施の形態３の構成を示すブロック図である。この侵入検知装置１は、上述した実施の形態１の図１において、処理振分部１１と複数の侵入検知エンジン部１２が追加された構成を有している。以下の説明では、上述した実施の形態１と同一の構成要素には同一の符号を付してその説明を省略している。
【００３４】
侵入検知エンジン部１２は、データセグメント組立部６_n、データセグメント保留部７_n、不正アクセス解析部８_nおよび対策部９_nが一つの単位となって構成される侵入検知エンジン１２_n（ｎは自然数）が、複数存在することによって構成される。これらのそれぞれの侵入検知エンジン１２_nは、上述した実施の形態１におけるデータセグメント組立部６、データセグメント保留部７、不正アクセス解析部８および対策部９と同じ機能を有する。
【００３５】
また、処理振分部１１は、侵入検知装置１が受信したパケットに対する不正アクセスの解析処理を行う侵入検知エンジン１２_nのうち可動状況の低い侵入検知エンジン１２_nに処理を振り分ける機能を有する。稼動状況の低い侵入検知エンジン１２_nの求める方法として、たとえば、複数存在する不正アクセス解析部８_nの処理パケット数などが低いものを、稼動状況の低い侵入検知エンジン１２_nと求めることができる。なお、処理振分部１１は、プロトコルがＴＣＰによる通信プロトコルである場合には、受信したパケットの宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号から識別されるセッションが同一のデータは同じ侵入検知エンジン部１２_nにデータを振り分ける。
【００３６】
つぎに、この侵入検知装置１の侵入検知方法について、図７のフローチャートを参照しながら説明する。ネットワーク２０の外部の端末、たとえば端末Ｃ２３がネットワーク２０の内部の端末２１，２２に対してアクセスするためにデータ（パケット）を送信すると、侵入検知装置１は、上述した実施の形態１の図４のステップＳ１〜Ｓ６と同様にして、端末Ｃ２３からのパケットを受信し、プロトコル種別の判定を行う（ステップＳ２１〜Ｓ２６）。すなわち、端末Ｃ２３からのパケットを受信制御部２で受信し、この受信したパケットまたは受信したパケットがＩＰフラグメントされている場合には組み立てられたパケットのヘッダを参照してプロトコル判定部４はプロトコル種別を判定する。
【００３７】
パケットのプロトコル種別がＴＣＰである場合（ステップＳ２６でＴＣＰの場合）には、処理振分部１１はパケットから宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号を読み込み、これらの組合せからセッションを識別し（ステップＳ２７）、複数ある侵入検知エンジン１２_nのうち稼動状況の低い侵入検知エンジン１２_nにパケットを振り分ける（ステップＳ２８）。なお、処理振分部１１は、パケットに格納されている宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号の組合せからセッションを識別し、このセッションと振り分け先の侵入検知エンジン１２_nとの組合せを記憶しているので、同じセッションを有するパケットを受信した場合には、処理振分部１１は、該パケットを前回振り分けた侵入検知エンジン１２_nと同じ侵入検知エンジン１２_nに振り分けることが可能となる。
【００３８】
その後、振り分けられた侵入検知エンジン１２_nのデータセグメント組立部６_nはパケットから宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号を読み込み、これらの組合せからセッションを識別する。そして、実施の形態１の図４のステップＳ８〜Ｓ１１と同様にして、侵入検知エンジン１２_nは受信したパケットからデータセグメントを組み立てる（ステップＳ２９〜Ｓ３２）。すなわち、データセグメント組立部６_nはデータセグメント保留部７_nを参照して分割されたデータセグメントがすべて到着しているか否かを判断し、到着していない場合には受信したパケットをコピーしてデータセグメント保留部７_nに格納し、コピー元のパケットを宛先アドレスの端末へと送信する。また、受信したパケットが最後のデータセグメントである場合には、データセグメント組立部６_nはデータセグメント保留部７_nからコピーされたパケットを取り出して分割されたデータセグメントを組み立てる。このとき、データセグメント保留部７_nに保留されていた同一のセッションで識別されるパケット（データ）は消去される。組み立てられたデータセグメントは、不正アクセス解析部８_nに渡される。
【００３９】
一方、ステップＳ２６で、プロトコル種別がＩＣＭＰやＵＤＰなどＴＣＰ以外のプロトコルである場合（ステップＳ２６でＴＣＰ以外の場合）には、処理振分部１１で複数ある侵入検知エンジン１２_nのうち稼動状況の低い侵入検知エンジン１２_nにパケットを振り分け（ステップＳ３３）、振り分けられたパケットは、その中の不正アクセス解析部８_nに渡される。
【００４０】
不正アクセス解析部８_nに渡されたパケットまたは組み立てられたデータセグメントは、不正アクセス解析部８_nでパケットまたはデータセグメントに不正アクセスが含まれているか否かについて解析される。そして、実施の形態１の図４のステップＳ１２〜Ｓ１５と同様にして、不正アクセスがある場合にはパケットまたは最後に受信したパケットを廃棄し、不正アクセスがない場合にはパケットの宛先アドレスに格納されている端末に対してパケットを送信する（ステップＳ３４〜Ｓ３７）。すなわち、不正アクセス解析部８_nは、パケットに不正アクセスが含まれる場合であって、プロトコル種別がＴＣＰ以外の場合には受信したパケットを廃棄し、プロトコル種別がＴＣＰである場合には最後に到着したパケットを廃棄して、対策部９_nがネットワーク管理者宛てに不正アクセスがされた旨の電子メールを送信して異常を通知する。一方、不正アクセス解析部８_nは、パケットまたは組み立てられたデータセグメントに不正アクセスが含まれていない場合には、送信制御部３から受信したパケットをそのまま送信する。
【００４１】
この実施の形態３によれば、データセグメント組立部６_n、データセグメント保留部７_n、不正アクセス検知部８_nおよび対策部９_nからなる侵入検知エンジン１２_nを複数有する構成とすることによって、複数のパケットを同時に処理できるため、不正アクセスを高速に検知することができるという効果を有する。
【００４２】
なお、上述した説明では、不正アクセス検出時に対策部９_nから電子メールを送信する構成としているが、実施の形態２の図５に示されるようにフィルタ部１０を設けるようにしてもよい。この場合には、不正アクセスが含まれるパケットを送信した端末の情報を対策部９_nからフィルタ部１０に通知して登録しておくことによって、パケット受信時にフィルタ部１０において受信したパケットのアドレスが登録されているアドレス情報と一致する場合に、該パケットを廃棄することが可能となり、リアセンブルデータ保留部５や侵入検知エンジン１２_nのデータセグメント保留部７_nのリソースを有効に使用することが可能となる。
【００４３】
実施の形態４．
図８は、この発明にかかる侵入検知装置の実施の形態４の構成を示すブロック図である。この侵入検知装置１は、図１の侵入検知装置１の受信制御部２とプロトコル判定部４との間に、検知対象検索部１３が設けられていることを特徴とする。以下の説明では、上述した実施の形態１の図１と同一の構成要素についてはその同一の符号を付して、その説明を省略している。
【００４４】
検知対象検索部１３には、不正アクセス検知対象として、たとえば、宛先アドレスやアプリケーション種別などを含む検知対象情報が登録されている。そして、検知対象検索部１３は、受信制御部２から渡されたパケットに対して、そのアドレスとアプリケーション種別が登録された宛先アドレスとアプリケーション種別と一致するか否かを確認し、一致した場合に該パケットを不正アクセス検知であるとして不正アクセス処理を実行する機能を有する。
【００４５】
たとえば、不正アクセス検知対象の検知対象情報として、宛先アドレス「端末Ａ」、アプリケーション種別「ＷＷＷ」が検知対象検索部１３に登録されているものとする。受信制御部２において、受信したパケットのアドレスとアプリケーション種別が登録されている検知対象情報と一致した場合には上述した実施の形態１で説明した不正アクセス検知を実行するが、たとえば端末Ｃ２３から端末Ｂ２２宛てのパケットのように登録されている検知対象情報と一致しない場合には、不正アクセスの検知対象外として受信したパケットを送信制御部３から送信する。
【００４６】
なお、この図８では、実施の形態１の図１の侵入検知装置１に検知対象検索部１３を備える構成としたが、実施の形態３の図６に示される侵入検知装置１に検知対象検索部１３を備えるように構成してもよい。
【００４７】
この実施の形態４によれば、検知対象外のパケットをすぐに送信することによって、リアセンブルデータ保留部５やデータセグメント保留部７といった侵入検知装置１内部のリソースを使用しないので、検知対象のパケット処理に内部リソースが使用できるため、パケットを効率よく保持し、パケットの組立を必要とするＴＣＰ／ＩＰの不正アクセス検知の精度を上げることが可能となる。
【００４８】
なお、上述した説明では、不正アクセス検出時に対策部９から電子メールを送信しているが、実施の形態２の図５のようにフィルタ部１０と組み合わせることによって、パケットの組立を必要とするＴＣＰ／ＩＰの不正アクセス検知の精度をさらに上げることが可能となる。
【００４９】
【発明の効果】
以上説明したように、この発明によれば、ＴＣＰによる通信の場合には、データセグメントのコピーを保持し、同一セッションの最後のデータセグメントが到着した場合に、データセグメントを組み立てて不正アクセスの解析を行うとともに、保持したデータセグメントを破棄するようにしたので、パケットを効率よく保持することができるという効果を有する。また、ＴＣＰの場合には、データセグメントの識別をデータセグメント保留部７の情報を宛先アドレス、送信元アドレス、宛先ポート番号および送信元ポート番号からなるセッション情報によって行うようにしたので、制御用のパケットを保持する必要がなくなり、侵入検知のオーバヘッドを減らして、高速処理を可能とするという効果を有する。
【図面の簡単な説明】
【図１】この発明による侵入検知装置の実施の形態１の構成を示すブロック図である。
【図２】この発明による侵入検知装置が組み込まれたシステムの構成を示すブロック図である。
【図３】不正アクセス解析方法のパターンマッチングに用いるコードの一例を示す図である。
【図４】侵入検知方法の処理手順を示すフローチャートである。
【図５】この発明による侵入検知装置の実施の形態２の構成を示すブロック図である。
【図６】この発明による侵入検知装置の実施の形態３の構成を示すブロック図である。
【図７】侵入検知方法の処理手順を示すフローチャートである。
【図８】この発明による侵入検知装置の実施の形態４の構成を示すブロック図である。
【図９】パケット転送装置の構成の従来例を示す図である。
【符号の説明】
１侵入検知装置、２受信制御部、３送信制御部、４プロトコル判定部、５リアセンブルデータ保留部、６，６_n データセグメント組立部、７，７_nデータセグメント保留部、８，８_n 不正アクセス解析部、９，９_n 対策部、１０フィルタ部、１１処理振分部、１２，１２_n 侵入検知エンジン部、１３検知対象検索部、２０ネットワーク、２１〜２３端末、３０インターネット。

Claims

ネットワークに接続された機器への不正侵入を検知するために、前記ネットワークと外部ネットワークとの間に設けられる侵入検知装置において、
前記外部ネットワークから受信したパケット中に含まれるデータセグメントのコピーを、前記パケットに含まれる所定のセッション情報と関連付けしてデータセグメント保留手段に一時的に保留し、前記セッション情報と同一で最後のデータセグメントを有するパケットを受信すると、同一のセッション情報を有するデータセグメントを組み立てるとともに前記データセグメント保留手段中の前記セッション情報と関連付けされた前記データセグメントのコピーを消去するデータセグメント組立手段と、
前記受信したパケット中に含まれるデータセグメントまたは組み立てたデータセグメントに不正アクセスが含まれているか否かを解析し、不正アクセスが含まれている場合には最後に受信したデータセグメントが含まれるパケットを廃棄し、正常なパケットのみを前記ネットワークに接続された機器に対して送信する不正アクセス解析手段と、
を備えることを特徴とする侵入検知装置。
前記受信パケットのプロトコル種別を解析し、所定プロトコルのパケットを抽出して前記データセグメント組立手段に対して出力するプロトコル判定手段を、さらに備えることを特徴とする請求項１に記載の侵入検知装置。
前記データセグメント組立手段は、前記パケットの宛先アドレス、送信元アドレス、宛先ポート番号もしくは送信元ポート番号のうち、少なくとも一つから識別されるセッション情報に基づいて、データセグメント組み立て処理を行うことを特徴とする請求項１または２に記載の侵入検知装置。
前記プロトコル判定手段によって、前記パケットがＩＰフラグメントされていると判定された場合に、該パケットを一時的に保留するリアセンブルデータ保留手段と、
前記ＩＰフラグメントされたパケットのうち最後のパケットを受信すると、前記リアセンブルデータ保留手段から前記パケットを取り出してＩＰフラグメントされたパケットを組み立てるとともに前記リアセンブルデータ保留手段に保持されていた前記パケットを消去するパケット組立手段と、
をさらに備え、
前記不正アクセス解析手段は、前記受信したまたは組み立てたパケットに不正アクセスが含まれているか否かを解析し、不正アクセスが含まれている場合にはパケットを廃棄し、正常なパケットのみを前記ネットワークに接続された機器に対して送信する機能をさらに備えることを特徴とする請求項１〜３のいずれか１つに記載の侵入検知装置。
前記データセグメント組立手段および前記不正アクセス解析手段の組合せからなる侵入検知エンジン手段が複数設けられ、
前記侵入検知エンジン手段の稼動状況に応じて、外部ネットワークから受信したＴＣＰによる通信のパケットに含まれるデータセグメントをいずれかの侵入検知エンジン手段に振り分ける処理振分手段をさらに備えることを特徴とする請求項１〜４のいずれか１つに記載の侵入検知装置。
前記処理振分手段は、同一のセッション情報を有するデータセグメントを同一の侵入検知エンジン手段に振り分ける機能をさらに備えることを特徴とする請求項５に記載の侵入検知装置。
外部ネットワークから受信したパケットが、検知対象とする機器のアドレスとアプリケーション種別を含む検知対象情報と一致する場合に、前記受信したパケットを前記プロトコル判定手段に渡す検知対象検索手段をさらに備えることを特徴とする請求項１〜６のいずれか１つに記載の侵入検知装置。
前記不正アクセス解析手段によって不正アクセスと判断されたパケットの送信元アドレスを含むアドレス情報を登録し、該送信元アドレスと一致する送信元アドレスを有するパケットを受信した場合に、前記パケットを廃棄するフィルタ手段をさらに備えることを特徴とする請求項１〜７のいずれか１つに記載の侵入検知装置。
前記不正アクセス解析手段によって前記パケットに不正アクセスが含まれると判断された場合には、前記ネットワーク管理者に対して異常を通知する対策手段をさらに備えることを特徴とする請求項１〜８のいずれか１つに記載の侵入検知装置。
ネットワークに接続された機器への不正侵入を検知する侵入検知方法であって、
外部ネットワークから受信したパケット中に含まれるデータセグメントのコピーを、前記パケットに含まれる所定のセッション情報と関連付けして一時的に保留するデータセグメント保留工程と、
前記セッション情報と同一で最後のデータセグメントを有するパケットを受信すると、前記一時的に保留されたデータセグメントのコピーを用いてデータセグメントを組み立てるとともに一時的に保留された前記セッション情報と関連付けされた前記データセグメントのコピーを消去するデータセグメント組立工程と、
この組み立てられたデータセグメントに不正アクセスが含まれているか否かを解析し、不正アクセスが含まれている場合には最後に受信したデータセグメントが含まれるパケットを廃棄し、正常なパケットのみを前記ネットワークに接続された機器に対して送信する不正アクセス解析工程と、
を含むことを特徴とする侵入検知方法。
前記受信パケットのプロトコル種別を解析し、所定プロトコルのパケットの場合に、前記データセグメント保留工程または前記不正アクセス解析工程を実行するプロトコル判定工程を、さらに含むことを特徴とする請求項１０に記載の侵入検知方法。
外部ネットワークから受信したパケットがＩＰフラグメントされている場合に、ＩＰフラグメントされているすべてのパケットを受信するまで一時的に保留するリアセンブルデータ保留工程と、
前記ＩＰフラグメントされている最後のパケットを受信すると、前記一時的に保留されたパケットを用いてパケットを組み立てるとともに前記一時的に保留されていた前記パケットを消去するパケット組立工程と、
を含み、
前記不正アクセス解析工程は、前記パケットがＴＣＰによる通信プロトコルを利用するものでない場合に、前記組み立てられたパケットに不正アクセスが含まれているか否かを解析し、不正アクセスが含まれている場合には前記パケットを廃棄し、正常なパケットのみを前記ネットワークに接続された機器に対して送信する処理をさらに行うことを特徴とする請求項１０または１１に記載の侵入検知方法。
前記データセグメント組立工程および前記不正アクセス解析工程において、前記データセグメントの組み立ておよび該組み立てられたデータセグメントに不正アクセスが含まれているか否かの解析を同時に２以上実行可能な場合に、前記データセグメントを振り分ける処理振分工程をさらに含むことを特徴とする請求項１０〜１２のいずれか１つに記載の侵入検知方法。
前記外部ネットワークから受信したパケットが、検知対象とする機器のアドレスとアプリケーション種別を含む検知対象情報と一致する場合にのみ前記パケットについて不正アクセス解析を行うことを特徴とする請求項１０〜１３のいずれか１つに記載の侵入検知方法。
前記不正アクセス解析工程によって、不正アクセスと判断されたパケットの送信元アドレスを登録し、該送信元アドレスと一致する送信元アドレスを有するパケットを受信した場合に、該パケットを廃棄することを特徴とする請求項１０〜１４のいずれか１つに記載の侵入検知方法。