JP3784799B2 - 攻撃パケット防御システム - Google Patents

Description

本発明は、特定のパケットを識別して廃棄する装置に利用する。特に、ネットワーク内への攻撃パケットの侵入を防御する技術に関する。ここで、攻撃パケットとは、悪意のある攻撃者がユーザにサービスを提供するサーバの機能を麻痺させるために送出するパケットをいう。例えば、ＳＹＮフラッディング攻撃に用いるＳＹＮパケットは攻撃パケットである。

悪意のある攻撃者がユーザにサービスを提供するサーバの機能を麻痺させるために攻撃パケットを送出するという不正行為が多数報告されている。このような攻撃パケットからサーバを防御するための手段としてファイアウォール装置が知られている（例えば、非特許文献１参照）。

従来のファイアウォールシステムの構成を図６に示す。従来のファイアウォール装置ＦＷは、サーバＳの前段に設定する。ファイアウォール装置ＦＷは、さまざまなパケットフィルタリング機能を有しており、攻撃者からのパケットを識別して廃棄する。これにより、サーバＳは攻撃を回避することができる。

攻撃パケットの識別方法としては、例えば、ＳＹＮフラッディング攻撃であれば、連続的に大量のＳＹＮパケットが送出されるので、ＳＹＮパケットのトラヒックを監視することにより識別可能である。あるいは、過去に攻撃パケットを送出した攻撃者の送出元アドレスが判明しているのであれば、当該送出元アドレスを有するパケットを攻撃パケットとして識別可能である。
二木真明、"ファイアウォール「安全性の意味と代償」"、［ｏｎｌｉｎｅ］、Ｉｎｔｅｒｎｅｔ Ｗｅｅｋ ２００２、チュートリアルＴ１１、［平成１５年１０月１６日検索］、インターネット<URL:http://www.nic.ad.jp/ja/materials/iw/2002/proceeding/T11.pdf>

このような従来のファイアウォールシステムでは、攻撃者が送出したパケットは、ネットワークを通ってサーバＳの前段まで到達する。一般に、攻撃者が送出するパケットは異常に個数が多く、当該サーバＳに至る通信経路のトラヒック量は異常に大きくなり、輻輳状態に陥る場合もある。このとき、当該サーバＳにアクセスを試みる正当なユーザのパケットは、この輻輳状態の影響を受けてサーバＳに到達できない。

すなわち、従来のファイアウォールシステムは、サーバ自身を攻撃から守ることはできるが、当該サーバに至る通信経路を攻撃から守ることはできない。

本発明は、このような背景に行われたものであって、攻撃対象となるサーバだけでなく、当該サーバに至る通信経路も攻撃から守ることができると共に高度な防御対策をとることができる攻撃パケット防御システムを提供することを目的とする。

本発明の攻撃パケット防御システムは、サーバに到来するパケットを当該サーバの前段のファイアウォール装置で受信し当該サーバに対する攻撃パケットを検出し、攻撃パケットが検出された旨の情報を送出する。ネットワークのボーダに設けられたフィルタ装置が当該ネットワーク外からのパケットを受信し前記情報に基づき攻撃パケットを識別して解析サーバに転送する。この解析サーバは、転送された攻撃パケットを取得して対策を解析する。この解析結果に基づく防御対策を用いてフィルタ装置がネットワークの入り口で攻撃パケットを廃棄する。

これにより、本発明は、ネットワークの入り口で攻撃パケットに対処することにより、攻撃対象となるサーバに至る通信経路も攻撃から守ることができることを最も主要な特徴とし、解析専用のサーバを設けることにより、高度な攻撃防御対策を実施できることを特徴とする。

すなわち、本発明の第一の観点は攻撃パケット防御システムであって、本発明の特徴とするところは、サーバに到来するパケットを当該サーバの前段で受信し当該サーバに対する攻撃パケットを検出する手段と、この検出する手段により攻撃パケットが検出された旨の情報を送出する手段とを備えたファイアウォール装置と、前記攻撃パケットを取得して対策を解析する手段を備えた解析サーバと、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し前記情報に基づき攻撃パケットを識別して前記解析サーバに転送する手段を備えたフィルタ装置とを備えたところにある（請求項１）。

前記解析する手段は、前記解析サーバに転送されたパケットの中から前記攻撃パケットを識別する手段と、この識別する手段により識別された前記攻撃パケットの送信元アドレスを解析する手段とを備え、前記フィルタ装置は、解析された前記攻撃パケットの送信元アドレスに基づき当該送信元アドレスを有するパケットを廃棄するフィルタを生成する手段を備えることができる（請求項２）。

あるいは、前記解析する手段は、前記解析サーバに転送されたパケットの中から前記攻撃パケットに該当しない正常パケットを識別する手段と、この識別する手段により識別された前記正常パケットの送信元アドレスを解析する手段とを備え、前記フィルタ装置は、解析された前記正常パケットの送信元アドレスに基づき当該送信元アドレスを有するパケットのみ通過させるフィルタを生成する手段を備えることができる（請求項３）。

これにより、ネットワークに到来する攻撃パケットを送信元アドレスにより識別して廃棄することができる。前者（請求項２）の場合は、攻撃パケットの送信元アドレスに基づくので、正常パケットの送信元が新規追加された場合には当該正常パケットの送信元からのパケットは正常に宛先に到着する。しかし、新たな攻撃パケット送信元が出現した場合には、これに対処できない。

後者（請求項３）の場合は、正常パケットの送信元アドレスに基づくので、攻撃パケットの送信元が新規追加された場合には当該攻撃パケットの送信元からの攻撃パケットもネットワークの入り口で廃棄される。しかし、新たな正常パケット送信元が出現した場合には、その正常パケットまでもが廃棄されてしまう。

それぞれ一長一短を有するので、解析サーバは、そのときの状況に応じていずれかの攻撃防御法を適用することになる。例えば、新たな攻撃パケット送信元が頻繁に出現する状況下であれば、後者の方法を適用する。一方、新たな正常パケット送信元が頻繁に出現する状況下であれば、前者の方法を適用する。

すなわち、前記解析サーバは、新たな正常パケット送信元の出現状況あるいは新たな攻撃パケット送信元の出現状況を観測する手段と、この観測する手段の観測結果に基づき攻撃パケットの送信元アドレスあるいは正常パケットの送信元アドレスのいずれかを前記フィルタ装置に通知する手段とを備え、前記フィルタ装置は、前記通知する手段により通知された攻撃パケットの送信元アドレスあるいは正常パケットの送信元アドレスのいずれかに基づきフィルタを生成する手段を備えることが望ましい（請求項４）。

また、攻撃パケットの送信元が送信元アドレスを詐称する場合がある。しかも、攻撃パケットを送信し続けている間に送信元アドレスを次々に変えるという巧妙な攻撃方法をとる場合もある。この場合には、攻撃パケットの送信元アドレスにより攻撃パケットを特定することは困難になる。

このような巧妙な攻撃に備え、前記解析サーバに転送する手段は、前記解析サーバに転送すべきパケットを前記解析サーバのアドレスを宛先アドレスとし、自フィルタ装置のアドレスを送信元アドレスとしたパケットによりカプセリングして転送する手段を備えることができる（請求項５）。

すなわち、既に攻撃パケットを受信しているフィルタ装置がわかっているときに、当該フィルタ装置に到着する攻撃対象となる宛先アドレスを有するパケットについては全て解析サーバのアドレスを宛先アドレスとし、自フィルタ装置のアドレスを送信元アドレスとしてカプセリングを行う。このカプセリングされたパケットを受け取った解析サーバでは、攻撃パケットを既に受信しているフィルタ装置からのパケットであることがわかるので、デカプセリングして取り出した中身のパケットの送信元アドレスが詐称されている場合でも当該パケットを攻撃パケットである可能性が高いパケットとして処理することができる。

本発明の第二の観点は、サーバに到来するパケットを当該サーバの前段で受信し当該サーバに対する攻撃パケットを検出する手段と、この検出する手段により攻撃パケットが検出された旨の情報を送出する手段とを備えたことを特徴とするファイアウォール装置である（請求項６）。

本発明の第三の観点は、攻撃パケットを取得して対策を解析する手段を備え、この解析する手段は、自己に転送されたパケットの中から前記攻撃パケットあるいは前記攻撃パケットに該当しない正常パケットを識別する手段と、この識別する手段により識別された前記攻撃パケットあるいは前記正常パケットの送信元アドレスを解析する手段とを備えたことを特徴とする解析サーバである（請求項７）。

さらに、新たな正常パケット送信元の出現状況あるいは新たな攻撃パケット送信元の出現状況を観測する手段と、この観測する手段の観測結果に基づき攻撃パケットの送信元アドレスあるいは正常パケットの送信元アドレスのいずれかを前記フィルタ装置に通知する手段とを備えることができる（請求項８）。

本発明の第四の観点は、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットが検出された旨の情報に基づき攻撃パケットを識別して攻撃パケットを取得して対策を解析する手段を備えた解析サーバに転送する手段を備えたことを特徴とするフィルタ装置である（請求項９）。

さらに、解析された攻撃パケットの送信元アドレスに基づき当該送信元アドレスを有するパケットを廃棄するフィルタを生成する手段を備えることができる（請求項１０）。

あるいは、解析された正常パケットの送信元アドレスに基づき当該送信元アドレスを有するパケットのみ通過させるフィルタを生成する手段を備えることができる（請求項１１）。

さらに、前記解析サーバに転送する手段は、解析サーバに転送すべきパケットを当該解析サーバのアドレスを宛先アドレスとし、自フィルタ装置のアドレスを送信元アドレスとしたパケットによりカプセリングして転送する手段を備えることができる（請求項１２）。

本発明の第五の観点は、情報処理装置にインストールすることにより、その情報処理装置に、サーバに到来するパケットを当該サーバの前段で受信し当該サーバに対する攻撃パケットを検出する機能と、この検出する機能により攻撃パケットが検出された旨の情報を送出する機能とを備えたファイアウォール装置に相応する機能を実現させることを特徴とするプログラムである（請求項１３）。

あるいは、本発明のプログラムは、情報処理装置にインストールすることにより、その情報処理装置に、攻撃パケットを取得して対策を解析する機能を実現させ、この解析する機能として、自己に転送されたパケットの中から前記攻撃パケットあるいは前記攻撃パケットに該当しない正常パケットを識別する機能と、この識別する機能により識別された前記攻撃パケットあるいは前記正常パケットの送信元アドレスを解析する機能とを備えた解析サーバに相応する機能を実現させることを特徴とする（請求項１４）。

さらに、新たな正常パケット送信元の出現状況あるいは新たな攻撃パケット送信元の出現状況を観測する機能と、この観測する機能の観測結果に基づき攻撃パケットの送信元アドレスあるいは正常パケットの送信元アドレスのいずれかを前記フィルタ装置に通知する機能とを実現させることができる（請求項１５）。

あるいは、本発明のプログラムは、情報処理装置にインストールすることにより、その情報処理装置に、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し攻撃パケットが検出された旨の情報に基づき攻撃パケットを識別して攻撃パケットを取得して対策を解析する手段を備えた解析サーバに転送する機能を備えたフィルタ装置に相応する機能を実現させることを特徴とする（請求項１６）。

さらに、解析された攻撃パケットの送信元アドレスに基づき当該送信元アドレスを有するパケットを廃棄するフィルタを生成する機能を実現させることができる（請求項１７）。

あるいは、解析された正常パケットの送信元アドレスに基づき当該送信元アドレスを有するパケットのみ通過させるフィルタを生成する機能を実現させることができる（請求項１８）。

さらに、前記解析サーバに転送する機能として、解析サーバに転送すべきパケットを当該解析サーバのアドレスを宛先アドレスとし、自フィルタ装置のアドレスを送信元アドレスとしたパケットによりカプセリングして転送する機能を実現させることができる（請求項１９）。

本発明の第六の観点は、本発明のプログラムが記録された前記情報処理装置読取可能な記録媒体である（請求項２０）。本発明のプログラムは本発明の記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。

これにより、汎用の情報処理装置を用いて、攻撃対象となるサーバだけでなく、当該サーバに至る通信経路も攻撃から守ることができると共に高度な防御対策をとることができる攻撃パケット防御システムを実現することができる。

本発明によれば、攻撃対象となるサーバだけでなく、当該サーバに至る通信経路も攻撃から守ることができる。さらに、攻撃解析専門のサーバを設けることにより、高度な防御対策をとることができる。

（第一実施例）
本発明第一実施例を図１および図２を参照して説明する。図１は本実施例の全体構成図である。

第一実施例の攻撃パケット防御システムは、図１に示すように、サーバＳに到来するパケットを当該サーバＳの前段で受信し当該サーバＳに対する攻撃パケットを検出する手段と、この検出する手段により攻撃パケットが検出された旨の情報を送出する手段とを備えたファイアウォール装置ＦＷと、前記攻撃パケットを取得して対策を解析する手段を備えた解析サーバＡＳと、ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し前記情報に基づき攻撃パケットを識別して解析サーバＡＳに転送する手段を備えたフィルタ装置Ｆとを備えたことを特徴とする攻撃パケット防御システムである（請求項１、６〜１２）。

フィルタ装置Ｆは、本実施例では、説明をわかり易くするために、ボーダルータＢＲの外付け装置として記載したがボーダルータＢＲの内部機能として設けてもよい。

前記解析する手段は、解析サーバＡＳに転送されたパケットの中から前記攻撃パケットを識別する手段と、この識別する手段により識別された前記攻撃パケットの送信元アドレスを解析する手段とを備え、フィルタ装置Ｆは、解析された前記攻撃パケットの送信元アドレスに基づき当該送信元アドレスを有するパケットを廃棄するフィルタを生成する手段を備える（請求項２、７、１０）。

次に、第一実施例の攻撃パケット防御手順を説明する。

サーバＳに複数のユーザがアクセスしているときに、例えばＤｏＳ攻撃を行ってサーバをダウンさせようとする攻撃ユーザがいる場合を想定する。図１における数字は次に説明する手順の数字に対応する。
（１）サーバの前に設置されたファイアウォール装置ＦＷで、例えば、Ｓｙｎパケットの増加等の攻撃の検出を行う。
（２）ファイアウォール装置ＦＷは、網内のすべてのボーダルータＢＲに対して攻撃検出を周知する。この周知はボーダルータＢＲを介してフィルタ装置Ｆに伝達される。周知内容は、サーバＳのＩＰアドレスである。
（３）各フィルタ装置Ｆでは、当該サーバＳのＩＰアドレス行きのパケットを網内に備えられた解析サーバＡＳへ転送する。解析サーバＡＳでは、各アクセスの正当性を個別に解析する。

図２は、正常シーケンスとＳｙｎアタックとの比較を示す図である。正常なシーケンスでは、図２（ａ）に示すように、Ｓｙｎ，Ｓｙｎ−Ａｃｋ，Ａｃｋというシーケンスで通信が開始される。一方、Ｓｙｎアタックでは、図２（ｂ）に示すように、Ｓｙｎ，Ｓｙｎ−Ａｃｋの後、ユーザがリスポンスせず、再び、繰り返しＳｙｎパケットをサーバＳに送りつける。サーバＳは多くのＡｃｋ待ち状態（Ｈａｌｆ−ｏｐｅｎ状態）となり、サーバＳの許容量を超えると新規のＳｙｎを受け付けなくなり、さらにサーバＳがダウンすることになる。

解析サーバＡＳでは、このようなＳｙｎパケットの転送パターンを解析することにより攻撃パターンを認識する。その他にも、セグメントの異常や、他の攻撃パターンの解析も行われる。
（４）悪意が判明したユーザに対しては、ボーダルータＢＲを介してフィルタ装置Ｆに攻撃パケット送信元アドレスを通知する。
（５）この通知を受けたフィルタ装置Ｆは、攻撃パケット送信元のアドレスを有するパケットを通過させないフィルタを生成するので、悪意が判明したユーザはサーバＳにアクセスできなくなる。

（第二実施例）
第二実施例を図３および図４を参照して説明する。

第一実施例では、攻撃パケット送信元のアドレスに基づき攻撃パケットを廃棄したが、第二実施例では、正常パケット送信元のアドレスに基づき攻撃パケットを廃棄する。

解析サーバＡＳの前記解析する手段は、解析サーバＡＳに転送されたパケットの中から前記攻撃パケットに該当しない正常パケットを識別する手段と、この識別する手段により識別された前記正常パケットの送信元アドレスを解析する手段とを備え、フィルタ装置Ｆは、解析された前記正常パケットの送信元アドレスに基づき当該送信元アドレスを有するパケットのみ通過させるフィルタを生成する手段を備える（請求項３、７、１１）。

次に、第二実施例の攻撃パケット防御手順を説明する。サーバＳに複数のユーザがアクセスしているときに、例えばＤｏＳ攻撃を行ってサーバをダウンさせようとする攻撃ユーザがいる場合を想定する。図３は第二実施例の攻撃パケット防御システムの全体構成図である。図３における数字は次に説明する手順の数字に対応する。
（１）サーバの前に設置されたファイアウォール装置ＦＷで、例えば、Ｓｙｎパケットの増加等の攻撃の検出を行う。
（２）ファイアウォール装置ＦＷは、網内のすべてのボーダルータＢＲに対して攻撃検出を周知する。この周知はボーダルータＢＲを介してフィルタ装置Ｆに伝達される。周知内容は、サーバＳのＩＰアドレスである。
（３）各フィルタ装置Ｆでは、当該サーバＳのＩＰアドレス行きのパケットを網内に備えられた解析サーバＡＳへ転送する。解析サーバＡＳでは、各アクセスの正当性を個別に解析する。
（４）解析サーバＡＳで正常アクセスと判断された場合には、当該送信元アドレスのＩＰパケットのみ通過させるように、フィルタ装置Ｆに正常パケット送信元アドレスを通知する。
（５）この通知を受けたフィルタ装置Ｆは、正常パケット送信元のアドレスを有するパケットのみを通過させるフィルタを生成し、当該正常パケット送信元のアドレスを有するパケットを受信するとこれをサーバＳに転送する。

正常パケット送信元の判定手順を図４を参照して説明する。図４は正常パケット送信元の判定手順を示す図である。解析サーバＡＳは、図４に示すように、ユーザからのＳｙｎパケットに対してＳｙｎ−Ａｃｋを返送する。これに対し、Ａｃｋをくれたユーザに対し、１度、Ｒｅｓｅｔを送り、同時にフィルタ装置Ｆに対し、ルートの変更を指示して当該ユーザからのパケットをサーバＳへ転送するように指示する。ユーザは、Ｒｅｓｅｔを受け取り、再びＳｙｎパケットを送ると、サーバＳへ正常にパケットが転送され、正常に通信が開始される。

（第三実施例）
第一実施例では、攻撃パケットの送信元アドレスに基づくので、正常パケットの送信元が新規追加された場合には当該正常パケットの送信元からのパケットは正常に宛先に到着する。しかし、新たな攻撃パケット送信元が出現した場合には、これに対処できない。

第二実施例では、正常パケットの送信元アドレスに基づくので、攻撃パケットの送信元が新規追加された場合には当該攻撃パケットの送信元からの攻撃パケットもネットワークの入り口で廃棄される。しかし、新たな正常パケット送信元が出現した場合には、その正常パケットまでもが廃棄されてしまう。

それぞれ一長一短を有するので、解析サーバＡＳは、そのときの状況に応じていずれかの攻撃防御法を適用することになる。例えば、新たな攻撃パケット送信元が頻繁に出現する状況下であれば、第二実施例の方法を適用する。一方、新たな正常パケット送信元が頻繁に出現する状況下であれば、第一実施例の方法を適用する。

すなわち、解析サーバＡＳは、新たな正常パケット送信元の出現状況あるいは新たな攻撃パケット送信元の出現状況を観測する手段と、この観測する手段の観測結果に基づき攻撃パケットの送信元アドレスあるいは正常パケットの送信元アドレスのいずれかをフィルタ装置Ｆに通知する手段とを備え、フィルタ装置Ｆは、前記通知する手段により通知された攻撃パケットの送信元アドレスあるいは正常パケットの送信元アドレスのいずれかに基づきフィルタを生成する手段を備える（請求項４、８）。

さらに詳細に説明すると、ファイアウォール装置ＦＷでは、常時、攻撃を監視し、攻撃が検出されたときには、その旨を解析サーバＡＳに通知する。これにより、解析サーバＡＳでは、新規な攻撃パケット送信元の出現頻度を観測することができる。また、攻撃対象となるサーバＳに向かうパケットは、全て解析サーバＡＳに転送され、そのパケットの中から正常パケットを識別する。このときに新規な正常パケット送信元の出現頻度を観測することができる。

解析サーバＡＳは、この観測結果に基づき第一あるいは第二実施例で説明した防御対策のいずれかをフィルタ装置Ｆに指示する。

（第四実施例）
第四実施例を図５を参照して説明する。図５は解析サーバＡＳに転送するパケットに対するカプセリングを説明するための図である。第四実施例では、第一〜第三実施例のいずれにも適用できる解析サーバＡＳへのパケット転送方法を説明する。

フィルタ装置Ｆの解析サーバＡＳにパケットを転送する手段は、解析サーバＡＳに転送すべきパケットを解析サーバＡＳのアドレスを宛先アドレスとし、自フィルタ装置Ｆのアドレスを送信元アドレスとしたパケットによりカプセリングして転送する手段を備える（請求項５、１２）。

すなわち、フィルタ装置Ｆで、解析サーバＡＳへの転送を命じられた攻撃対象となるサーバＳ行きのＩＰパケットをカプセリングし、解析サーバＡＳを宛先アドレスとし、当該フィルタ装置Ｆを送信元アドレスとする。これにより攻撃ユーザが自らの送信元アドレスを偽っていても、少なくともフィルタ装置ＦのＩ／Ｏ等は把握でき、当該攻撃対象の宛先アドレス行きのパケットを規制することができる。

例えば、攻撃パケット送信元のユーザは、攻撃パケットを送信し続けている間に送信元アドレスを次々に変えるという巧妙な攻撃方法をとる場合もある。この場合には、攻撃パケットの送信元アドレスにより攻撃パケットを特定することは困難になる。

このような巧妙な攻撃を受けた場合には、既に攻撃パケットを受信しているフィルタ装置Ｆがわかっているのであるから、当該フィルタ装置Ｆに到着する攻撃対象となるサーバＳの宛先アドレスを有するパケットについては全て解析サーバＡＳのアドレスを宛先アドレスとし、自フィルタ装置Ｆのアドレスを送信元アドレスとしてカプセリングを行う。このカプセリングされたパケットを受け取った解析サーバＡＳでは、既に攻撃パケットを受信しているフィルタ装置Ｆからのパケットであることがわかるので、デカプセリングして取り出した中身のパケットの送信元アドレスが詐称されている場合でも当該パケットを攻撃パケットである可能性が高いパケットとして処理することができる。

（第五実施例）
本発明は、汎用の情報処理装置にインストールすることにより、その情報処理装置に本発明のファイアウォール装置Ｆ、解析サーバＡＳ、フィルタ装置Ｆにそれぞれ相応する機能を実現させるプログラムとして実現することができる（請求項１３〜１９）。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ（請求項２０）、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、ファイアウォール装置Ｆ、解析サーバＡＳ、フィルタ装置Ｆの各手段にそれぞれ相応する機能を実現させることができる。

本発明によれば、攻撃対象となるサーバに至る通信経路も攻撃から守ることができる。さらに、攻撃解析専門のサーバを設けることにより、高度な防御対策をとることができる。これにより、正常なアクセスを行うユーザが攻撃を行う悪意のユーザによる悪影響を受けることを低減させ、正常なアクセスを行うユーザに対するサービス品質を向上させることができる。

第一実施例の攻撃パケット防御システムの全体構成図。 正常シーケンスとＳｙｎアタックとの比較を示す図。 第二実施例の攻撃パケット防御システムの全体構成図。 解析サーバにおける正常パケット判定手順を示す図。 第四実施例の解析サーバに転送するパケットに対するカプセリングを説明するための図。 従来のファイアウォールシステムの構成図。

符号の説明

ＡＳ 解析サーバ
ＢＲ ボーダルータ
Ｆ フィルタ装置
ＦＷ ファイアウォール装置
Ｓ サーバ

Claims (4)

1. サーバに到来するパケットを当該サーバの前段で受信し当該サーバに対する攻撃パケットを検出する手段と、
   この検出する手段により攻撃パケットが検出された旨の情報を送出する手段と
   を備えたファイアウォール装置と、
   前記攻撃パケットを取得して対策を解析する手段を備えた解析サーバと、
   ネットワークのボーダに設けられ当該ネットワーク外からのパケットを受信し前記情報に基づき攻撃パケットを識別して前記解析サーバに転送する手段を備えたフィルタ装置と
   を備え、
   前記解析サーバは、
   新たな正常パケット送信元の出現状況あるいは新たな攻撃パケット送信元の出現状況を観測する手段と、
   この観測する手段の観測結果に基づき攻撃パケットの送信元アドレスあるいは正常パケットの送信元アドレスのいずれかを前記フィルタ装置に通知する手段と
   を備え、
   前記フィルタ装置は、前記通知する手段により通知された攻撃パケットの送信元アドレスあるいは正常パケットの送信元アドレスのいずれかに基づきフィルタを生成する手段を備えた
   ことを特徴とする攻撃パケット防御システム。
2. 攻撃パケットを取得して対策を解析する手段を備え、
   この解析する手段は、
   自己に転送されたパケットの中から前記攻撃パケットあるいは前記攻撃パケットに該当しない正常パケットを識別する手段と、
   この識別する手段により識別された前記攻撃パケットあるいは前記正常パケットの送信元アドレスを解析する手段と
   を備え、
   新たな正常パケット送信元の出現状況あるいは新たな攻撃パケット送信元の出現状況を観測する手段と、
   この観測する手段の観測結果に基づき攻撃パケットの送信元アドレスあるいは正常パケットの送信元アドレスのいずれかを前記フィルタ装置に通知する手段と
   を備えたことを特徴とする解析サーバ。
3. 情報処理装置にインストールすることにより、その情報処理装置に、
   攻撃パケットを取得して対策を解析する機能を実現させ、
   この解析する機能として、
   自己に転送されたパケットの中から前記攻撃パケットあるいは前記攻撃パケットに該当しない正常パケットを識別する機能と、
   この識別する機能により識別された前記攻撃パケットあるいは前記正常パケットの送信元アドレスを解析する機能と
   を備えた解析サーバに相応する機能を実現させ、
   新たな正常パケット送信元の出現状況あるいは新たな攻撃パケット送信元の出現状況を観測する機能と、
   この観測する機能の観測結果に基づき攻撃パケットの送信元アドレスあるいは正常パケットの送信元アドレスのいずれかを前記フィルタ装置に通知する機能と
   を実現させる
   ことを特徴とするプログラム。
4. 請求項３に記載のプログラムが記録された前記情報処理装置読み取り可能な記録媒体。
   

Images