不正アクセス対処システム、及び不正アクセス対処処理プログラム
【課題】不正アクセス検知の誤動作によって、攻撃されている組織が被る被害や正規利用者が受ける影響を少なくする。
【解決手段】対策実施状況画面生成手段１１は、通信ネットワーク２０上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成する。対策実施指示取得手段１２は、このトラフィックの種別毎になされる該対策の実施の指示若しくは実施中である該対策の中止の指示を取得する。対策実施制御手段１３は、該対策を実施させる制御若しくは実施中である該対策を中止させる制御をこの指示に基づいて行う。
【解決手段】対策実施状況画面生成手段１１は、通信ネットワーク２０上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成する。対策実施指示取得手段１２は、このトラフィックの種別毎になされる該対策の実施の指示若しくは実施中である該対策の中止の指示を取得する。対策実施制御手段１３は、該対策を実施させる制御若しくは実施中である該対策を中止させる制御をこの指示に基づいて行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークにおける不正アクセス対策技術に関し、特に、例えばインターネットサービスプロバイダ（ＩＳＰ）が顧客に提供する不正アクセス対策サービスの実施技術に関するものであり、とりわけ、分散型サービス不能化攻撃に代表される不正アクセス攻撃に対して効果的な対策実施技術に関するものである。
【背景技術】
【０００２】
サービス不能化攻撃（ＤｏＳ：Denial of Services）とは、故意にシステムリソース許容限度を越えた処理要求を送出することにより、システムを停止または不能化させる攻撃で、正当な処理要求と不当な処理要求との区別が難しいという特徴がある。その内特に攻撃元がネットワーク上に多数分散している形態の攻撃を分散型サービス不能化攻撃（ＤＤｏＳ：Distributed Denial of Services、以下「ＤＤｏＳ攻撃」と称する）という。このＤＤｏＳ攻撃については非特許文献１に詳説されている。
【０００３】
ＤＤｏＳ攻撃に対する従来の対処技術は、基本的にＩＤＳ（侵入検知システム：Intrusion Detection System）による不正アクセス検出技術とパケット制御による防御技術とからなっている。また、攻撃元に近い場所で防御を行うために攻撃元探索技術を備えている場合もある。更に、組織間の壁を越えて攻撃元に近い場所で防御するために複数組織間連携技術を備えている場合もある。
【０００４】
ＤＤｏＳ攻撃への対処を実現するための技術アプローチは、ＩＰプロトコル拡張や新規プロトコルの実装をしたルータを必要とする既存ルータ置換タイプと、既存のルータの変更を必要としない既存ルータ利用タイプの２つに大別される。特許文献１に開示されている技術は前者の例であり、特許文献２に開示されている技術は後者の例である。
【０００５】
なお、ＤＤｏＳ攻撃に関する技術情報の所在は非特許文献２が詳しい。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００２−１６４９３８号公報
【特許文献２】特開２００２−１６６３３号公報
【非特許文献】
【０００７】
【非特許文献１】ケビン・Ｊ・ホール（Kevin J Houle ）、ジョージ・Ｍ・ウィーバ（George M. Weaver）共著、「トレンズ・イン・デナイアル・オブ・サービス・アタック・テクノロジ（Trends in Denial of Service Attack Technology）」、［online］、２００１年１０月、サート・コーディネーション・センタ（CERT Coordination Center）、［平成１５年２月１７日検索］、インターネット＜ＵＲＬ：http://www.cert.org/archive/pdf/DoS_trends.pdf＞
【非特許文献２】デイブ・ディトリッチ（Dave Dittrich ）、「ディストリビューティッド・デナイアル・オブ・サービス（ディーディーオーエス）・アタックス／ツールズ（Distributed Denial of Service (DDoS) Attacks/tools）」、［online］、［平成１５年２月１７日検索］、インターネット＜ＵＲＬ：http://staff.washington.edu/dittrich/misc/ddos/＞
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ところで、ＤＤｏＳ攻撃に対する従来の対処技術が利用するＩＤＳによる不正アクセス検出技術とパケット制御による防御技術とには、各々以下のような潜在的な問題を有している。図３０を用いてこの問題を説明する。
【０００９】
図３０に示したネットワーク構成例において、顧客サイト１０００はＷｅｂサービスを提供するＷｅｂシステム１００１を運用しており、更に、Ｗｅｂシステム１００１への不正侵入を防護するためのファイアウォール１００２を設置している。Ｗｅｂシステム１００１はファイアウォール１００２を介して境界ルータ２００１に接続されている。
【００１０】
境界ルータ２００１はインターネットサービスプロバイダであるＩＳＰ−Ａ２０００によって管理されている。ＩＳＰ−Ａ２０００は、ネットワーク上でＩＳＰ−Ａ２０００に隣接しているインターネットサービスプロバイダであるＩＳＰ−Ｂ３０００と境界ルータ２００２を介して接続されており、更にネットワーク上でＩＳＰ−Ａ２０００に隣接しているインターネットサービスプロバイダであるＩＳＰ−Ｃ４０００と境界ルータ２００３を介して接続されており、これらもＩＳＰ−Ａ２０００によって管理されている。
【００１１】
また、境界ルータ２００１、２００２、２００３は、ＩＳＰ−Ａ２０００によって管理されているルータ２００４を介して相互に接続されている。なお、ＩＳＰ−Ａ２０００の利用者によって使用される端末は、このルータ２００４に接続することによってＩＳＰ−Ａ２０００が利用可能となる。
【００１２】
ＩＳＰ−Ｂ３０００は境界ルータ３００１を管理しており、ＩＳＰ−Ｂ３０００の利用者によって使用される端末は、境界ルータ３００１に接続することによってＩＳＰ−Ｂ３０００が利用可能となる。
【００１３】
また、ＩＳＰ−Ｃ４０００は境界ルータ４００１を管理しており、ＩＳＰ−Ｃ４０００の利用者によって使用される端末は、境界ルータ４００１に接続することによってＩＳＰ−Ｃ４０００が利用可能となる。
【００１４】
なお、境界ルータ２００１、２００２、２００３、３００１、４００１及びルータ２００４にはＩＤＳが設置されている。
以上の構成を有するネットワークを例にして、従来のＤＤｏＳ攻撃への対処技術についての問題点を説明する。
【００１５】
まず、ＩＤＳには誤検知の問題がある。
ＩＤＳの誤検知には、実際には攻撃ではなかったのに検知してしまったいわゆるフォルス・ポジティブ（False-Positive）のケースと、実際に攻撃を受けていたのに検知しなかったいわゆるフォルス・ネガティブ（False-Negative）のケースとがある。
【００１６】
図３０に示したネットワーク構成において、例えば正規の利用者が正規利用者端末４１００を使用してＷｅｂシステム１００１によるＷｅｂサービスを利用するには、まず、正規利用者端末４１００を境界ルータ４００１に接続し、正規利用者端末４１００からＷｅｂシステム１００１への正規なアクセスを境界ルータ４００１、境界ルータ２００３、ルータ２００４、及び境界ルータ２００１を経由して行うことになる。このときに、例えば境界ルータ２００３に設置されているＩＤＳがこの正規なアクセスを不正なアクセスであると誤検知してしまい、境界ルータ２００３がこの正規なアクセスを遮断してしまうケースがフォルス・ポジティブのケースである。
【００１７】
また、例えばＷｅｂシステム１００１へのＤＤｏＳ攻撃を目論んでいる攻撃者が攻撃者端末２１００を使用してＷｅｂシステム１００１を攻撃するときには、まず、攻撃者端末２１００を境界ルータ２００４に接続し、攻撃者端末２１００からＷｅｂシステム１００１への不正なアクセスをルータ２００４及び境界ルータ２００１を経由して行うことになる。このときに、例えばルータ２００４に設置されているＩＤＳがこの不正なアクセスを正規なアクセスであると誤検知してしまい、ルータ２００４がこの不正なアクセスを通過させてしまうケースがフォルス・ネガティブのケースである。
【００１８】
ＩＤＳによる不正アクセスの検出手法には、大きく分けてパケットパターンマッチングによるシグネチュア（Signature ）型とトラフィックの異常状態検出によるアノマリ（Anomaly ）型との２つの手法があるが、そのどちらにもこの誤検知の問題は潜在的に存在する。この誤検知は、ある程度減らすことはできるものの本質的にゼロにすることはできない。
【００１９】
一方、防御技術には正規利用者への影響の問題がある。すなわち、サービス不能化攻撃のパケット（攻撃パケット）と正規利用者のパケット（正規パケット）との区別が難しいため、攻撃パケットのみならず正規パケットもブロックしてしまうという問題である。
【００２０】
図３０において、例えばＷｅｂシステム１００１へのＤＤｏＳ攻撃を行う攻撃者が攻撃者端末３１００を操作して境界ルータ３００１に接続し、攻撃者端末３１００からＷｅｂシステム１００１への不正なアクセスを行っていることを境界ルータ３００１に設置されているＩＤＳが検知したときには、境界ルータ３００１がこの不正なアクセスを遮断する。ところが、このアクセスの遮断によって、正規の利用者が正規利用者端末３２００を使用してＷｅｂシステム１００１によるＷｅｂサービスを利用するための正規なアクセスまでもが阻止されてしまうというものがこの問題である。
【００２１】
これは、不正なアクセスである攻撃パケットと正規なアクセスである正規パケットとは基本的には同じものであるから、パケットのみを比べることにより両者を区別することはできないことに起因する。
【００２２】
以上の点をまとめると、ＤＤｏＳ攻撃に対する従来の対処技術には以下の課題がある。
・攻撃を受けていないのに対策を実施してしまっている状態、あるいは、攻撃を受けているのに対策を実施していない状態が生じた場合でも、不正アクセス攻撃にできるだけ正しく対処できるようにする。
・ＤＤｏＳ攻撃への対策が実施されているときに、正規利用者が受ける影響をできるだけ少なくする。
【００２３】
本発明は、このような従来技術の有している課題に鑑みてなされたものであり、その解決しようとする課題は、不正アクセス検知の誤動作によって、攻撃されている組織が被る被害や正規利用者が受ける影響を少なくすることのできる不正アクセス着信拒否技術を提供することである。
【課題を解決するための手段】
【００２４】
上述した課題を解決するための手段について、図１及び図２を参照しながら説明する。
図１は本発明を実施する不正対処システムの第一の原理構成を示している。
図１において、不正アクセス対処システム１０は対策実施状況画面生成手段１１、対策実施指示取得手段１２、対策実施制御手段１３、データ送付手段１４、及び対策実施履歴記録手段１５を各々必要に応じて備える。ここで、対策実施制御手段１３は探索手段１３−１、決定手段１３−２、及び通知手段１３−３を必要に応じて備える。
【００２５】
図１における不正アクセス対処システム１０では、通信ネットワーク２０上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成する対策実施状況画面生成手段１１と、このトラフィックの種別毎になされる該対策の実施の指示若しくは実施中である該対策の中止の指示を取得する対策実施指示取得手段１２と、該対策を実施させる制御若しくは実施中である該対策を中止させる制御をこの指示に基づいて行う対策実施制御手段１３とを有するように構成することにより、前述した課題を解決する。
【００２６】
この構成によれば、対策実施状況画面生成手段１１によって生成された画面を参照すれば、上述したトラフィックのうち不正アクセス対策が実施中であるものとその対策が実施されていないものとの区別が直ちに認識できる。従って、システム管理者はＩＤＳによる不正アクセス検知の誤動作に起因する不正アクセス対策の実施・非実施の誤りをこの画面から見つけ出すことができる。また、対策実施指示取得手段１２によって取得された指示に従った不正アクセス対策の実施・中止の制御を対策実施制御手段１３が行うので、不正アクセス対策の実施・非実施の誤りを見つけたときにこの誤りを正すための指示を管理者が行うことで不正アクセス対策を適切なものとすることができる。この結果、不正アクセス検知の誤動作が生じても攻撃を受けている組織が被る被害や正規利用者が受ける影響を少なくすることができる。
【００２７】
なお、上述した本発明に係る不正アクセス対処システム１０において、前述した位置を通過したトラフィックが流入する流入先へ前記画面が表現されているデータを送付するデータ送付手段１４を更に有し、対策実施指示取得手段１２は、前述した指示をこの流入先から取得するようにしてもよい。
【００２８】
こうすることにより、流入先のシステムの管理者等が、不正アクセス検知の誤動作に起因する不正アクセス対策の実施・非実施の誤りをこの画面から見つけ出してこの誤りを正すための指示をすることができるようになる。
【００２９】
また、前述した本発明に係る不正アクセス対処システム１０において、対策実施状況画面生成手段１１は、実施中である該対策が対象としている種別毎のトラフィックを、該種別のトラフィックを対象としてなされていた該対策が過去において中止されることなく実施された割合の低い順に並べてなる画面を生成するようにしてもよい。
【００３０】
ある種別のトラフィックに対してなされていた対策が中止される場合は、その種別のトラフィックは正規のアクセスであったのに対策が実施されてしまっていた場合、すなわち、フォルス・ポジティブの誤動作が発生していた場合であると考えられる。よって、上述したようにして生成された画面には、過去におけるフォルス・ポジティブの誤動作の発生の多い順、つまり不正アクセス対策が誤実施されている可能性の高い順に種別毎のトラフィックが並べられることとなる。従って、この画面を参照することにより、システム管理者は不正アクセス対策が誤実施されている可能性の高い順に誤実施の発生の有無を判定することができ、不正アクセス対策をより素早く適切なものとすることができる。
【００３１】
なお、このとき、対策実施制御手段１３によって行われた制御の履歴を記録する対策実施履歴記録手段１５を更に有し、対策実施状況画面生成手段１１がこの履歴に基づいて前述した画面を生成するようにしてもよい。
【００３２】
こうすることにより、前述した対策が過去において中止されることなく実施されたトラフィックの種別毎の割合を対策実施状況画面生成手段１１で求めることができる。
また、前述した本発明に係る不正アクセス対処システム１０において、対策実施状況画面生成手段１１は、該対策が実施中ではない種別毎のトラフィックを、該種別のトラフィックの前述した位置の通過量の多い順に並べてなる画面を生成するようにしてもよい。
【００３３】
こうすることにより、適切な不正アクセス対策がされていない状態、すなわちフォルス・ポジティブの誤動作が発生すると多量であるがために影響の大きい順に種別毎のトラフィックが並べられて画面が生成されるので、この誤動作の発生の有無を判定することができ、不正アクセス対策をより素早く効果的なものとすることができる。
【００３４】
また、前述した本発明に係る不正アクセス対処システム１０において、対策実施制御手段１３が、前述した不正なアクセスの通信ネットワーク２０への流入路の探索を行う探索手段１３−１と、前述した対策を実施する場所の決定をこの探索の結果に基づいて行う対策実施場所決定手段１３−２と、該不正なアクセスを通信ネットワーク２０に流入させている流入元で前述した対策を実施するとの決定に応じて、該決定と対策実施指示取得手段１２の実行によって取得された指示との通知を該流入元へ行う通知手段１３−３とを有するように構成してもよい。
【００３５】
こうすることにより、前述した不正なアクセスへの対策を、通信ネットワーク２０にその不正アクセスを流入させている流入元で実施するとの決定がその流入元へ通知されるので、その流入元、すなわち不正アクセスの発信元により近い場所で不正アクセスの対策の実施が可能となる結果、分散型サービス不能化攻撃に対する効果的な対処が行えるようになる。
【００３６】
なお、このとき、通知手段１３−３が、不正なアクセスの流入元との間で相互認証を行った後に前述した通知を該流入元へ行うようにしてもよい。
こうすることにより、流入元になりすました第三者による前述した通知の窃取が防止される。
【００３７】
ここで、この相互認証のための流入元との接続プロトコルは例えばＨＴＴＰＳ（Hypertext Transfer Protocol Security）プロトコルであってもよく、また、この相互認証で用いられる認証方式は例えば公開鍵基盤（ＰＫＩ：Public Key Infrastructure ）であってもよく、また電子証明書は例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式であってもよい。
【００３８】
また、このとき、通知手段１３−３が、不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前述した通知を該流入元へ行うようにしてもよい。
【００３９】
こうすることにより、流入元とのセキュリティポリシーに違いが存在していても、その違いを調整した上での不正アクセスに対する対策を流入元に依頼することができるようになる。
【００４０】
次に図２について説明する。同図は本発明を実施する不正対処システムの第二の原理構成を示している。
図２において、不正アクセス対処システム３０は対策手法決定手段３１、対策実施制御手段３２、及び対策実施履歴記録手段３３を各々必要に応じて備える。ここで、対策実施制御手段３２は探索手段３２−１、決定手段３２−２、及び通知手段３２−３を必要に応じて備える。
【００４１】
図２における不正アクセス対処システム３０では、通信ネットワーク２０内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定手段３１と、この決定に基づいた手法によって該対策を実施させる制御を行う対策実施制御手段３２とを有するように構成することにより、前述した課題を解決する。
【００４２】
所定のトラフィックを対象としてなされた該対策が過去において中止される場合とは、そのトラフィックは正規のアクセスであったのに対策が実施されてしまっていた場合、すなわち、フォルス・ポジティブの誤動作が発生していた場合であると考えられる。よって、所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合とは、そのトラフィックに対する不正アクセス対策の実施の適切さの程度を示す指標と見ることができ、これは、視点を変えればその所定のトラフィックにおける正規アクセスと不正アクセスとの比を示している指標であると考えることもできる。従って、この割合に基づいて対策手法を選択することにより、例えば不正アクセスと共に正規なアクセスも多く含んでいるトラフィックに対しては、このトラフィックを完全に遮断するような対策を行わないようにすることができ、この結果、このトラフィックに含まれる正規アクセスが不正アクセス対策によって被る影響が軽減される。つまり、このトラフィックに含まれる正規アクセスの割合の程度に応じて適切な不正アクセス対策が実施されるので、不正アクセス検知の誤動作が生じても攻撃を受けている組織が被る被害や正規利用者が受ける影響が少なくなる。
【００４３】
なお、ここで、対策手法決定手段３１は、前述した決定の結果としてＡＣＬフィルタと流量制御とが選択可能であるときには、前述した割合が所定の閾値よりも大きい場合にＡＣＬフィルタを選択し、該割合が該所定の閾値よりも小さい場合に流量制御を選択するようにしてもよい。あるいは、前述した決定の結果としてＡＣＬフィルタとキュー制御とが選択可能であるときには、前述した割合が所定の閾値よりも大きい場合にＡＣＬフィルタを選択し、該割合が該所定の閾値よりも小さい場合にキュー制御を選択するようにしてもよい。また、前述した決定の結果として流量制御とキュー制御とが選択可能であるときには、前述した割合が所定の閾値よりも大きい場合に流量制御を選択し、該割合が該所定の閾値よりも小さい場合にキュー制御を選択するようにしてもよい。
【００４４】
なお、上述した本発明に係る不正アクセス対処システム３０において、対策実施制御手段３２によって行われた制御の履歴を記録する対策実施履歴記録手段３３を更に有し、対策手法決定手段３１は、この履歴に基づいて前述した対策の手法を決定するようにしてもよい。
【００４５】
こうすることにより、このトラフィックに対して前述した対策が過去において中止されることなく実施された割合を対策手法決定手段３１で求めることができる。
また、前述した本発明に係る不正アクセス対処システム３０において、対策実施制御手段３２が、不正なアクセスの通信ネットワーク２０への流入路の探索を行う探索手段３２−１と、この対策を実施する場所の決定をこの探索の結果に基づいて行う対策実施場所決定手段３２−２と、不正なアクセスを通信ネットワーク２０に流入させている流入元でこの対策を実施するとの決定に応じて、該決定と対策手法決定手段３１によって決定された手法との通知を該流入元へ行う通知手段３２−３とを有するように構成してもよい。
【００４６】
こうすることにより、前述した不正なアクセスへの対策を、通信ネットワーク２０にその不正アクセスに流入させている流入元で実施するとの決定がその流入元へ通知されるので、その流入元、すなわち不正アクセスの発信元により近い場所で不正アクセスの対策の実施が可能となる結果、分散型サービス不能化攻撃に対する効果的な対処が行えるようになる。
【００４７】
なお、このとき、通知手段３２−３が、不正なアクセスの流入元との間で相互認証を行った後に前述した通知を該流入元へ行うようにしてもよい。
こうすることにより、流入元になりすました第三者による前述した通知の窃取が防止される。
【００４８】
ここで、この相互認証のための流入元との接続プロトコルは例えばＨＴＴＰＳ（Hypertext Transfer Protocol Security）プロトコルであってもよく、また、この相互認証で用いられる認証方式は例えば公開鍵基盤（ＰＫＩ：Public Key Infrastructure ）であってもよく、また電子証明書は例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式であってもよい。
【００４９】
また、このとき、通知手段３２−３が、不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前述した通知を該流入元へ行うようにしてもよい。
【００５０】
こうすることにより、流入元とのセキュリティポリシーに違いが存在していても、その違いを調整した上での不正アクセスに対する対策を流入元に依頼することができるようになる。
【００５１】
なお、ここで、前記セキュリティポリシーに関する情報は、例えば対策手法決定手段３１によって前述した対策の手法を決定するときの基準とする前述した割合についての閾値を示す情報とすることができる。また、例えば、このセキュリティポリシーに関する情報によって示されている閾値が通信ネットワーク２０と流入元とで異なっているときには、対策手法決定手段３１において、両者のうちその値が大きい方を、この対策の手法を決定するときの基準とする前記割合についての閾値としてもよい。
【００５２】
こうすることにより、この閾値についてのセキュリティポリシーに違いが存在していても、両者のセキュリティポリシーで許容し得る対策を流入元に依頼することができる。
なお、上述した本発明に係る不正アクセス対処システムの各構成により行なわれる機能と同様の処理をコンピュータに行わせるプログラムであっても、そのプログラムをコンピュータに実行させることによって本発明に係る不正アクセス対処システムと同様の作用・効果が得られるので、前述した課題を解決することができる。
【００５３】
また、上述した本発明に係る不正アクセス対処システムの各構成により行なわれる手順からなる方法であっても、その方法を使用することによって本発明に係る不正アクセス対処システムと同様の作用・効果が得られるので、前述した課題を解決することができる。
【発明の効果】
【００５４】
以上詳細に説明したように、本発明は、通信ネットワーク上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成し、このトラフィックの種別毎になされる該対策の実施の指示若しくは実施中である該対策の中止の指示を取得し、この指示に基づいて該対策を実施させ若しくは実施中である該対策を中止させるようにする。
【００５５】
こうすることにより、システム管理者は不正アクセス検知の誤動作に起因する不正アクセス対策の実施・非実施の誤りをこの画面から見つけ出すことができ、また、この誤りを見つけたときにはこの誤りを正すための指示をシステム管理者が行うことで不正アクセス対策を適切なものとすることができる。
【００５６】
あるいは、本発明は、通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定し、この決定に基づいた手法によってこの対策を実施させるようにする。
【００５７】
こうすることにより、このトラフィックに含まれる正規アクセスの割合の程度に応じて適切な不正アクセス対策が実施される。
以上のように、本発明のいずれの構成によっても、不正アクセス検知の誤動作によって、攻撃されている組織が被る被害や正規利用者が受ける影響が少なくなるという効果を奏する。
【図面の簡単な説明】
【００５８】
【図１】本発明を実施する不正アクセス対処システムの第一の原理構成を示す図である。
【図２】本発明を実施する不正アクセス対処システムの第二の原理構成を示す図である。
【図３】本発明を実施する不正アクセス対処システムの構成の第一の例を示す図である。
【図４】不正アクセス対策プログラムの機能ブロックを示す図である。
【図５】設定情報のデータ構造を示す図である。
【図６】不正アクセスサイトとして使用されるコンピュータのハードウェア構成例を示す図である。
【図７】ユーザインタフェース画面の例を示す図である。
【図８】実施形態１におけるトラフィックモニター手順の内容を示す図である。
【図９】実施形態１におけるトラフィックＤＢのデータ構造を示す図である。
【図１０】不正アクセス通知手順の内容を示す図である。
【図１１】実施形態１における不正アクセス通知のデータ形式を示す図である。
【図１２】実施形態１における不正アクセスＵＩ手順の内容を示す図である。
【図１３】実施形態１における不正アクセス対策制御手段の内容を示す図である。
【図１４】不正アクセス対策方法決定手順の内容を示す図である。
【図１５】実施形態１における不正アクセス対策実施手順の内容を示す図である。
【図１６】実施形態１における不正アクセス記録手順の内容を示す図である。
【図１７】本発明を実施する不正アクセス対処システムの構成の第二の例を示す図である。
【図１８】図１７の各サイトで実行されるプログラムの機能ブロックを示す図である。
【図１９】実施形態２におけるトラフィックモニター手順の内容を示す図である。
【図２０】実施形態２におけるトラフィックＤＢのデータ構造を示す図である。
【図２１】実施形態２における不正アクセス通知のデータ形式を示す図である。
【図２２】実施形態２における不正アクセスＵＩ手順の内容を示す図である。
【図２３】実施形態２における不正アクセス対策制御手段の内容を示す図である。
【図２４】不正アクセス対策実施場所決定手順の内容を示す図である。
【図２５】組織間認証手順の内容を示す図である。
【図２６】組織間ポリシー交換手順の内容を示す図である。
【図２７】実施形態２における不正アクセス対策実施手順の内容を示す図である。
【図２８】実施形態２における不正アクセス記録手順の内容を示す図である。
【図２９】記録させた制御プログラムをコンピュータで読み取ることの可能な記録媒体の例を示す図である。
【図３０】従来の不正アクセス対処システムが抱えている問題点を説明する図である。
【発明を実施するための形態】
【００５９】
以下、本発明の実施の形態を図面に基づいて説明する。
［実施形態１］
図３は本発明を実施する不正アクセス対処システムの構成の第一の例を示している。
【００６０】
図３において、自ＩＳＰ（インターネットサービスプロバイダ）１００は自己の通信ネットワークである。
顧客サイト２００のＷｅｂシステム２０１はＷｅｂサービスを自ＩＳＰ１００より公開しており、自ＩＳＰ１１０によって管理されている顧客境界ルータ１１０にファイアウォール２０３を介して接続されている。
【００６１】
隣接ＩＳＰ３００は自ＩＳＰ１００と論理的に隣接している通信ネットワークであり、隣接ＩＳＰ３００と自ＩＳＰ１００とはＩＳＰ境界ルータ１１１を介して接続されている。
【００６２】
非常時接続利用者端末４００は自ＩＳＰ１００の利用者のうち常時接続を行わない者（非常時接続利用者）によって使用される端末である。この端末で自ＩＳＰ１００を利用するためにはＰＯＰ（ポイント・オブ・プレゼンス）に接続を行ってＰＯＰに接続されているＰＯＰ境界ルータ１１２を経由して利用する。
【００６３】
顧客境界ルータ１１０は、本実施形態におけるＷｅｂシステム２０１に対する不正アクセスへの対策を実施する対策実施機器である。
顧客境界ルータ１１０としては不正アクセスへの対策機能を有しているルータを使用するが、本実施形態においては、顧客境界ルータ１１０は、ＡＣＬ（アクセス・コントロール・リスト）に設定された定義の内容に合致するパケットのみを選択して遮断若しくは通過させるＡＣＬフィルタをこの対策機能として少なくとも有しているものとする。なお、この対策機能として、ＡＣＬフィルタに加え、短時間に多量のＴＣＰ接続要求（ＳＹＮ）パケットを送り続ける攻撃（ＴＣＰ Ｓｙｎ Ｆｌｏｏｄ）に対する専用防御機能（以下、この機能を「ＴＣＰ接続制御」と称することとする）や、顧客境界ルータ１１０に流入するパケットの一部を破棄して通過流量を所定量以下に制限する流量制御機能、あるいは、顧客境界ルータ１１０を単位時間当たりに通過させるパケット数の割合をその送信元毎に均等化させるようにするキュー制御機能などを有しているルータを使用してもよい。
【００６４】
ところで、市場で流通しているルータが有している流量制御機能には、通過流量を必ず指定帯域以下に制限する方式と、少なくとも指定帯域だけは通過流量として確保する方式とが提供されている。
【００６５】
例えば指定されたトラフィックに対して指定帯域が２Ｍｂｐｓと設定されたとき、前者の方式ではネットワークが例えその指定帯域以上の余裕を残していたとしてもその指定トラフィックの流量が２Ｍｂｐｓを超えたときにはその超過分が破棄される。
【００６６】
一方、後者の方式では、指定トラフィックの流量が例え２Ｍｂｐｓを超えたとしても、そのネットワークの帯域に余裕が残されていれば、その超過分も破棄されることがない。例えば、上述した設定がされている場合であって１０Ｍｂｐｓのネットワーク帯域が利用可能である場合に指定トラフィックの流量が３Ｍｂｐｓとなったとしても、このことのみでは指定トラフィックの破棄は行われず、すべての指定トラフィックがルータを通過する。しかし、例えばこの場合に指定トラフィックでない別のトラフィックがこのネットワークに流入し、このトラフィックの流量が１０Ｍｂｐｓであったときには、指定トラフィックの流量を指定帯域の２Ｍｂｐｓに制限すべく、超過分の１Ｍｂｐｓに相当するトラフィックが破棄される（このとき、別のトラフィックも８Ｍｂｐｓに制限される）。
【００６７】
本実施形態における顧客境界ルータ１１０として使用するルータは、流量制御機能を有するのであれば前者の方式のものであるとする。
ＩＤＳ（侵入検知システム）１２０は、顧客サイト２００のＷｅｂシステム２０１への不正なアクセスを顧客境界ルータ１１０において検知し、検知された不正アクセスの内容を解析する。
【００６８】
不正アクセス対策サイト１３０は不正アクセス通知部１３１、不正アクセス対策ＵＩ部１３２、不正アクセス対策方法決定部１３３、不正アクセス対策実施部１３４、不正アクセス対策制御部１３５、トラフィックモニター部１３６、及び不正アクセス対策記録部１３７を有している。
【００６９】
不正アクセス通知部１３１は、ＩＤＳ１２０と連携し、ＩＤＳ１２０が検知したＷｅｂシステム２０１に対する不正アクセスの攻撃の通知（不正アクセス通知）を行う。
不正アクセス対策ＵＩ部１３２は、顧客サイト２００の管理者によって操作される不正アクセス対策サービス利用者端末２０２に表示される操作用画面であるユーザインタフェース（ＵＩ）を提供する。このＵＩは、ＩＤＳ１２０によって検出されて現在対策実施中の不正アクセス対策の一覧を、その対策が対象としているトラフィックの種別毎に、過去の履歴から求めた対策適正実施率の昇順に表示すると共にＩＤＳ１２０によるフォルス・ポジティブの誤動作による顧客対策の実施中止を指示可能にするメニューと、ＩＤＳ１２０によって検出されずに現在対策を実施していないトラフィックの一覧を、そのトラフィックの種別毎に、到着パケット数の降順に表示すると共にＩＤＳ１２０によるフォルス・ネガティブの誤動作による対策の非実施の訂正（すなわち対策実施）を指示可能にするメニューとを備える。
【００７０】
不正アクセス対策方法決定部１３３は、不正アクセス通知に示されている情報と対策実施機器の固有情報、図３においては顧客境界ルータ１１０の固有情報、とに基づいて適切な不正アクセス対策方法を決定する。
【００７１】
不正アクセス対策実施部１３４は、対策実施機器である顧客境界ルータ１１０を制御して不正アクセス対策を実施させ、あるいは実施中の対策を解除させる。不正アクセス対策実施制御部１３５は、不正アクセス対策サイト１３０において行われる不正アクセス検知から不正アクセス対策実施までのセッションを管理して制御する。
【００７２】
トラフィックモニター部１３６は、顧客境界ルータ１１０が通過させたトラフィックを監視し、これらのトラフィックについての情報を収集する。
不正アクセス対策記録部１３７は、顧客境界ルータ１１０での不正アクセス対策の実施、中止、解除等に関わる不正アクセス対策サイト１３０において行われる各セッションの動作を記録する。
【００７３】
なお、不正アクセス対策サイト１３０の実体はコンピュータであり、図４に示すように、不正アクセス対策サイト１３０において不正アクセス対策プログラム１４０が実行されることによって図３に示した構成を不正アクセス対策サイト１３０が有することとなる。
【００７４】
不正アクセス対策サイト１３０において不正アクセス対策プログラム１４０が実行されると、不正アクセス対策制御エンジン１４１、不正アクセス対策ＵＩエンジン１４２、不正アクセス通知エンジン１４３、不正アクセス対策実施エンジン１４４、トラフィックモニターエンジン１４５、不正アクセス対策記録制御エンジン１４６、及びＩＯ制御エンジン１４７が構成される。
【００７５】
不正アクセス対策制御エンジン１４１は不正アクセス対策方法決定部１３３及び不正アクセス対策制御部１３５として機能する。
不正アクセス対策ＵＩエンジン１４２は不正アクセス対策ＵＩ部１３２として機能する。
【００７６】
不正アクセス通知エンジン１４３は不正アクセス通知部１３１として機能する。
不正アクセス対策実施エンジン１４４は不正アクセス対策実施部１３４として機能する。
【００７７】
トラフィックモニターエンジン１４５はトラフィックモニター部１３６として機能し、収集した情報をトラフィックＤＢ（データベース）１５１に格納する。不正アクセス対策記録制御エンジン１４６は不正アクセス対策記録部１３７として機能し、顧客境界ルータ１１０での不正アクセス対策の実施、中止、解除等に関わる不正アクセス対策サイト１３０において行われる各セッションの動作をＬｏｇ（ログ）ＤＢ１５２に記録する。
【００７８】
ＩＯ制御エンジン１４７は、顧客境界ルータ１１０、ＩＤＳ１２０、不正アクセス対策サービス利用者端末２０２等との間での各種データの授受のための通信の制御や、トラフィックＤＢ１５１及びＬｏｇＤＢ１５２の動作制御を行う。
【００７９】
設定情報１５０は、自ＩＳＰ１００のセキュリティポリシーに関する情報、及び対策実施機器（本実施形態においては顧客境界ルータ１１０）固有の情報が示されているデータファイルである。
【００８０】
この設定情報１５０のデータ例を図５に示す。この設定情報１５０には、セキュリティポリシーに関する情報として「対策解除時間閾値」及び「対策信頼閾値」のデータが、また対策実施機器固有の情報として「ルータタイプ」、「ルータＯＳ」、「ルータＩＰ」、「ルータＩＤ」、及び「ルータパスワード」のデータが示されている。
【００８１】
対策解除時間閾値は、Ｗｅｂシステム２０１への不正アクセスが停止したとＩＤＳ１２０が判断してからこの対策を解除するまでの時間を示しており、この例ではこの時間が「１０分」とされている。この時間は例えば不正アクセスを受けている顧客サイト２００の管理者からの指示により予め設定される。
【００８２】
対策信頼閾値は、対策実施機器に行わせる不正アクセス対策の方法を決定するための基準とする値を示しており、この例ではこの値が「９０％」とされている。
ルータタイプは対策実施機器の製造メーカや型式の名称を示しており、この例ではこの情報が「ＶｅｎｄｏｒＡ」とされている。
【００８３】
ルータＯＳは対策実施機器で使用されているＯＳ（オペレーション・システム）の名称及びバージョン番号を示しており、この例は「ＸＹＺ ＯＳ」の第「１２」バージョンが使用されていることを示している。
【００８４】
ルータＩＰは、対策実施機器に割り当てられているＩＰ（Internet Protocol ）アドレスを示しており、この例は「ａ．ｂ．ｃ．２５５」なるＩＰアドレスが割り当てられていることを示している。
【００８５】
ルータＩＤは、各種の動作設定指示を行うべく対策実施機器にログインするために必要となるＩＤ（身分証明）情報を示しており、ルータＰＷは、このログインのために併せて必要となるパスワード情報を示している。この例では、ルータＩＤが「ａｄｍｉｎ」であってルータＰＷが「＊＊＊＊＊＊」であることを示している。
【００８６】
設定情報１５０は以上の情報を有している。
トラフィックＤＢ１５１は顧客境界ルータ１１０が通過させたトラフィックについての情報が記録されるデータベースである。
【００８７】
ＬｏｇＤＢ１５２は対策実施機器である顧客境界ルータ１１０での不正アクセス対策の実施、中止、解除等に関わるこの不正アクセス対処システムにおいて行われる各セッションの動作の履歴が記録されるデータベースである。
【００８８】
なお、不正アクセス対策サイト１３０は、例えば図６に示すような、標準的なハードウェア構成を有するコンピュータを用いて構成することができる。
図６について説明する。
【００８９】
同図に示すコンピュータはＣＰＵ５０１、ＲＡＭ５０２、ＲＯＭ５０３、ＨＤＤ５０４、入力部５０５、出力部５０６、及び通信インタフェース５０７がバス５０８を介して相互に接続されて構成されており、ＣＰＵ５０１による管理の下で相互にデータ授受を行うことができる。
【００９０】
ＣＰＵ（Central Processing Unit ）５０１はこのコンピュータ全体の動作制御を司る中央処理装置である。
ＲＡＭ（Random Access Memory）５０２は、不正アクセス対策プログラム１４０を含む各種の制御プログラムをＣＰＵ５０１が実行するときにワークメモリとして使用され、また各種のデータの一時的な格納領域として必要に応じて用いられるメインメモリとしても使用されるメモリである。
【００９１】
ＲＯＭ（Read Only Memory）５０３はＣＰＵ５０１によって実行される基本制御プログラムが予め格納されているメモリであり、このコンピュータの起動時にＣＰＵ５０１がこの基本制御プログラムを実行することによってこのコンピュータ全体の動作の基本的な制御がＣＰＵ５０１によって行えるようになる。
【００９２】
ＨＤＤ（Hard Disk Drive ）５０４は、各種のデータを記録しておくデータベースとして利用されるハードディスク装置である。また、ＨＤＤ５０４には、ＣＰＵ５０１によって実行される、不正アクセス対策プログラム１４０等の各種の制御プログラムが予め格納されている。
【００９３】
入力部５０５は外部からの入力を受け取ってその入力の内容をＣＰＵ５０１に渡すものであり、必要に応じ、例えばキーボードやマウスなどといったこのコンピュータを操作する操作者からの指示を受け取る入力装置、あるいはＦＤ（Flexible Disk）、ＣＤ−ＲＯＭ（Compact Disc-ROM）、ＤＶＤ−ＲＯＭ（Digital Versatile Disc-ROM）、ＭＯ（Magneto-Optics）ディスクなどといった可搬型の記録媒体の読出装置を備えて構成される。
【００９４】
出力部５０６はＣＰＵ５０１からの指示に応じた出力を行うものであり、例えば各種データを表示するＣＲＴ（Cathode Ray Tube）やＬＣＤ（Liquid Crystal Display）を備えて構成される表示装置や各種データを印刷して表示するプリンタ装置などである。
【００９５】
通信インタフェース５０７は、他のシステムとの間でのデータ授受を行う際の通信管理を行うものである。
図６に示すコンピュータは以上の各構成要素を備えて構成される。
【００９６】
次に図７について説明する。同図は、不正アクセス対策ＵＩ部１３２によって提供されるユーザインタフェース画面の例を示している。
図７の画面例における左側に表されている対策実施中リストは、現在実施中である不正アクセス対策が対策の対象としているトラフィックを、「ＳｒｃＩＰ」、「ＤｉｓｔＰｏｒｔ」及び攻撃種別をキーとして各々の「検知回数」及び「対策適正実施率」と共に並べてなるリストであって、その種別毎のトラフィックがその「対策適正実施率」の昇順に並べられたリストである。
【００９７】
ＳｒｃＩＰは不正アクセス対策が対策対象としているトラフィックであるＩＰパケット（以下、単に「パケット」と称することとする）に示されている送信元のＩＰアドレスである。
【００９８】
ＤｉｓｔＰｏｒｔは不正アクセス対策が対策対象としているトラフィックであるパケットに示されている宛先のポート番号である。
攻撃種別は、ＩＤＳ１２０によって判定されたこの不正アクセスであるＤＤｏＳ攻撃の詳細種別である。
【００９９】
検知回数は、ＩＤＳ１２０がこのトラフィックをＤＤｏＳ攻撃であるとして検知した回数を示している。
対策適正実施率は、このトラフィックを対象としてなされていた不正アクセス対策が過去において中止されることなく実施された割合を示しており、下記の式で算出される。
（対策適正実施率）＝｛（対策実施回数）−（対策中止回数）｝／（対策実施回数）
なお、本実施形態においては、ＩＤＳ１２０がこのトラフィックをＤＤｏＳ攻撃であるとして検知したときにはその検知結果の正誤とは無関係に一旦は不正アクセス対策が必ず実施されるものとする。また、不正アクセス対策の中止は、一旦対策が実施された後になされるものであるから、対策中止回数は対策実施回数以下の回数となる。従って、対策適正実施率は０〜１００％の範囲内の数値となる。
【０１００】
図７に示されている対策実施中リストの第一行目のデータ例について説明すると、このデータ例は、送信元のＩＰアドレスが「ａ．ｂ．ｃ．１０」であって宛先のポート番号が「５３」であるパケットは「ＵＤＰ Ｆｌｏｏｄ」攻撃であるとＩＤＳ１２０が判定したので顧客境界ルータ１１０でこのパケットのトラフィックを対象とする不正アクセス対策を実施中であることを示しており、更に、この種別のトラフィックをＤＤｏＳ攻撃であるとＩＤＳ１２０が検知したのは「３０」回目であり、このトラフィックを対象として過去に実施した不正アクセス対策の適正確率は「７０％」であることを示している。
【０１０１】
なお、ここで、図７の対策実施中リストにおける「対策適正実施率」の列を参照すると、その列の値が上段から順に「７０％」、「８０％」、「９０％」と示されており、各レコードが「対策適正実施率」の昇順に並べられていることが分かる。
【０１０２】
また、この対策実施中リストの下部には「対策中止」なるボタンアイコンが設けられている。不正アクセス対策サービスの利用者、本実施の形態では顧客サイト２００の管理者によって、対策実施中リストに示されている不正アクセス対策実施中である種別毎のトラフィックから、ＩＤＳ１２０のフォルス・ポジティブの誤動作に起因して誤って対策がされてしまっているとの判断がされたものを選択した上でこのボタンアイコンがクリック操作されることにより、この選択されたトラフィックについて顧客境界ルータ１１０が実施中である不正アクセス対策を中止させることができる。
【０１０３】
図７の画面例における右側に表されている対策対象外リストは、トラフィックモニター部１３６によって監視された、顧客境界ルータ１１０が通過させたトラフィックを、「時刻レンジ」、「ＳｒｃＩＰ」、「ＤｉｓｔＩＰ」、「ＤｉｓｔＰｏｒｔ」をキーとして、「Ｐａｃｋｅｔ数」と共に並べてなるリストであって、その種別毎のトラフィックがその「Ｐａｃｋｅｔ数」の降順に並べられたリストである。
【０１０４】
時刻レンジは、トラフィックの監視時刻の範囲を示している。
ＳｒｃＩＰは顧客境界ルータ１１０が通過させたトラフィックであるパケットに示されている送信元のＩＰアドレスである。
【０１０５】
ＤｉｓｔＩＰは顧客境界ルータ１１０が通過させたパケットに示されている宛先のＩＰアドレスである。
ＤｉｓｔＰｏｒｔは顧客境界ルータ１１０が通過させたトラフィックであるパケットに示されている宛先のポート番号である。
【０１０６】
Ｐａｃｋｅｔ数は、顧客境界ルータ１１０が時刻レンジで示されている時刻の間に通過させたこの種別のパケットの数を示している。
図７に示されている対策対象外リストの第一行目のデータ例について説明すると、このデータ例は、送信元のＩＰアドレスが「ｘ．ｙ．ｚ．１００」、宛先のＩＰアドレスが「ｌ．ｍ．ｎ．５０」であって宛先のポート番号が「５３」である「３００００」個のパケットを顧客境界ルータ１１０が「１０：００−１０：１０」の時刻の間に通過させたことを示している。
【０１０７】
なお、ここで、図７の対策対象外リストにおける「Ｐａｃｋｅｔ数」の列を参照すると、その列の値が上段から順に「３００００」、「２００００」、「１００００」と示されており、各レコードが「Ｐａｃｋｅｔ数」の降順に並べられていることが分かる。
【０１０８】
また、この対策対象外リストの下部には「対策実施」なるボタンアイコンが設けられている。不正アクセス対策サービスの利用者、本実施の形態では顧客サイト２００の管理者によって、対策対象外リストに示されている不正アクセス対策が実施されていない種別毎のトラフィックから、ＩＤＳ１２０のフォルス・ネガティブの誤動作に起因して誤って対策がされていなかったとの判断がされたものを選択した上でこのボタンアイコンがクリック操作されることにより、この選択されたトラフィックを対象として不正アクセス対策を顧客境界ルータ１１０に実施させることができる。
【０１０９】
以下、不正アクセス対策サイト１３０で不正アクセス対策プログラム１４０を実行させることによって構成される各部によって行われる処理の手順について説明する。
なお、不正アクセス対策サイト１３０では、これより説明する不正アクセス対策制御手順、不正アクセス対策ＵＩ手順、トラフィックモニター手順、不正アクセス通知手順、不正アクセス対策記録手順、不正アクセス対策実施手順が並行して進められる。
【０１１０】
まず図８について説明する。同図はトラフィックモニターエンジン１４５によって行われるトラフィックモニター手順の内容をフローチャートで示したものである。
まず、Ｓ１０１においてスレッドの分岐が行われ、その一方ではＳ１０２の繰り返し手順が、他方ではＳ１０３からＳ１０５にかけての繰り返しの手順が、それぞれ実行される。
【０１１１】
Ｓ１０２では、顧客境界ルータ１１０が通過させたトラフィックであるパケットがキャプチャー（捕獲）される。以降、Ｓ１０２の手順が繰り返されて顧客境界ルータ１１０が通過させたパケットが全てキャプチャーされる。
【０１１２】
Ｓ１０３では、Ｓ１０３からＳ１０５にかけてのスレッドの実行が一定の時刻レンジだけ、例えば１０分間だけスリープ（停止）され、その後、所定の時刻レンジが経過したときにＳ１０４の手順に進む。
【０１１３】
Ｓ１０４では、Ｓ１０２の処理によってキャプチャーされているパケットの数が、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、及びＤｉｓｔＰｏｒｔをキーにして計数され、続くＳ１０５においてその計数の結果を示すデータが監視情報としてトラフィックＤＢ１５１に格納される。このＳ１０５の手順が完了した後にはＳ１０３へ手順を戻して上述した手順が繰り返される。
【０１１４】
ここで図９について説明する。同図は上述したＳ１０５の手順によってデータの格納が行われるトラフィックＤＢ１５１のデータ構造を示している。同図に示すように、トラフィックＤＢ１５１にはレコード毎に「時刻レンジ」、「ＳｒｃＩＰ」、「ＤｉｓｔＩＰ」、「ＤｉｓｔＰｏｒｔ」、及び「Ｃｏｕｎｔ」の各フィールドが設けられている。
【０１１５】
時刻レンジはパケットの計数の開始時刻及び終了時刻の組である。
ＳｒｃＩＰは計数対象とするパケットに示されている送信元のＩＰアドレスである。
ＤｉｓｔＩＰは計数対象とするパケットに示されている宛先のＩＰアドレスである。
【０１１６】
ＤｉｓｔＰｏｒｔは計数対象とするパケットに示されている宛先のポート番号である。
Ｃｏｕｎｔは「時刻レンジ」に示されている時間内に顧客境界ルータ１１０が通過させた計数対象とするパケットの数である。
【０１１７】
図９に示されているデータ例のうち第一行目のレコードについて解説すると、「１０：００−１０：１０」の時間内に、送信元のＩＰアドレスが「２０２．２４８．２０．２５４」、宛先のＩＰアドレスが「２０２．２４８．２０．６８」、そして宛先のポート番号が「８０」である「１４５６」個のパケットを顧客境界ルータ１１０が通過させたことを示している。
【０１１８】
以上のトラフィックモニター手順が行われることによって、顧客境界ルータ１１０が通過させたパケットの監視が行われる。
次に図１０について説明する。同図は不正アクセス通知エンジン１４３によって行なわれる不正アクセス通知手順の内容をフローチャートで示したものである。
【０１１９】
まず、Ｓ２０１において、不正アクセスイベントのチェックがＩＤＳ１２０に対して行われ、続くＳ２０２において不正アクセスの検知がＩＤＳ１２０によってなされたか否かが判定される。この結果、不正アクセスの検知がされたと判定された（判定結果がＹｅｓ）ならばＳ２０３に手順を進め、不正アクセスの検知がされていないと判定された（判定結果がＮｏ）ならばＳ２０１へ手順を戻して上述した手順が繰り返される。
【０１２０】
Ｓ２０３では、検知された不正アクセスについての通知が不正アクセス対策制御エンジン１４１へ行われる。その後はＳ２０１へ手順を戻して上述した手順が繰り返される。
ここで図１１について説明する。同図は上述したＳ２０３の手順によって不正アクセス対策制御エンジン１４１へ行われる不正アクセスの通知のデータ形式を示している。同図に示すように、この不正アクセス通知には、「検知ＩＤ」、「アクション」、「時刻レンジ・スタート」、「時刻レンジ・エンド」、「攻撃種別」、「組織名」、「所属ＩＳＰ」、「ターゲットプロトコル」、「ＳｒｃＩＰ」、「ＤｉｓｔＩＰ」、「ＤｉｓｔＰｏｒｔ」、「不正パケット数」、「攻撃ツール名」、「対策適正実施率」、及び「対策実施方法」の各情報を有することができる構造となっている。
【０１２１】
検知ＩＤは、不正アクセスの検知がなされる度にＩＤＳ１２０によってその不正アクセスに対して付与される一意な識別子であり、この検知ＩＤによってＤＤｏＳ攻撃を個別に特定する指標とすることができる。
【０１２２】
アクションはこの検出された不正アクセスに対する対策の状況を示しており、「対策実施」または「対策中止」のうちのいずれかが示される。
時刻レンジ・スタート及び時刻レンジ・エンドは、それぞれ不正アクセスに係るパケットが最初に検知された日時及びこの日時から所定の時間（例えば１０分間）が経過したときの日時であり、図１１の例ではこれらの日時がグリニッジ標準時（ＧＭＴ）で示されている。
【０１２３】
攻撃種別は、この検知された不正アクセスであるＤＤｏＳ攻撃の詳細種別である。
組織名は、この検知された不正アクセスを受けているシステムが属している組織の組織名である。
【０１２４】
所属ＩＳＰは、この検知された不正アクセスを受けているシステムが属している組織が所属しているＩＳＰの名称である。
ターゲットプロトコルは、この検知された不正アクセスが攻撃を受けているシステムへの接続に利用しているプロトコルである。
【０１２５】
ＳｒｃＩＰは、この検知された不正アクセスに係るパケットに示されている送信元のＩＰアドレスである。
ＤｉｓｔＩＰは、この検知された不正アクセスに係るパケットに示されている宛先のＩＰアドレスである。
【０１２６】
ＤｉｓｔＰｏｒｔは、この検知された不正アクセスに係るパケットに示されている宛先のポート番号である。
不正パケット数は検知ＩＤで特定されるこの不正アクセスに係るパケットの数である。
【０１２７】
攻撃ツール名は、この検知された不正アクセスに使用されていると推測されるＤＤｏＳ攻撃ツールのツール名である。
対策適正実施率は前述したものであり、この検知された不正アクセスへの対策についてのものである。
【０１２８】
対策実施方法には、この検知された不正アクセスへの対策として使用することが決定された対策方法が示される。
図１１に示されているデータ例のうちの例１について解説すると、このデータは、ＩＤＳ１２０によって検知された「００−００−０Ｅ−８２−２Ｅ−７４−００１」なる検知ＩＤで特定される不正アクセスは、「２００３／２／１・１６：０１：１６」から検知された「ＴＣＰ Ｓｙｎ Ｆｌｏｏｄ」攻撃であり、この攻撃は「ＩＳＰ ＡＢＣ」に属する「ＣｏｍｐａｎｙＡ」への「ＴＣＰ」プロトコルによるものであって、攻撃元は「ＴＦＮ２Ｋ」なる攻撃ツールを使用していると推測され、送信元のＩＰアドレスが「１０．４．１２０．Ｚ」、宛先のＩＰアドレスが「１９２．１６８．Ｘ．Ｙ」、宛先のポート番号が「８０」であるパケットが「２００３／２／１・１６：１１：１６」までの間に「１５６７８９」個送りつけられてきたことを示しており、更にこの不正アクセスについては「ＡＣＬフィルタ」を使用した対策を実施するが、この検知された不正アクセスについての対策適正実施率は「８０％」であり、現在は「対策実施」の指示がされていることを示している。
【０１２９】
なお、図１０のＳ２０３の手順において作成されて送付される不正アクセス通知においては、「アクション」については「対策実施」としておき、「対策適正実施率」及び「対策実施方法」については何も示されていない状態（例えばヌルデータ）で送付される。
【０１３０】
以上の不正アクセス通知手順が行われることによって、ＩＤＳ１２０による顧客ネットワーク２００への不正アクセスの検知の内容が不正アクセス対策制御エンジン１４１へ通知される。
【０１３１】
次に図１２について説明する。同図は不正アクセス対策ＵＩエンジン１４２によって行われる不正アクセス対策ＵＩ手順の内容をフローチャートで示したものである。
この手順は、まず、顧客サイト２００の管理者等が、不正アクセス対策サービス利用者端末２０２で例えばＷｅｂブラウザを機能させて不正アクセス対策サイト１３０に対してこの手順の実行要求を行うことによって開始される。
【０１３２】
まず、Ｓ３０１では、不正アクセス対策サイト１３０において行われた各セッションの動作の記録がＬｏｇＤＢ１５２から取得され、この記録に基づき、顧客境界ルータ１１０で実施中である不正アクセス対策が対策対象としているトラフィックの種別毎の対策適正実施率が前掲した算出式に従って算出され、算出された対策適正実施率が昇順となるように種別毎のトラフィックが並べられて対策実施中リストが作成される。なお、このとき算出された対策適正実施率に基づいて、対応するトラフィックに係る不正アクセス通知の「対策適正実施率」の内容が更新される。
【０１３３】
Ｓ３０２では、顧客境界ルータ１１０が通過させたトラフィックの記録がトラフィックＤＢ１５１から取得され、この記録に基づき、顧客境界ルータ１１０が通過させたトラフィックであるパケットが、その時刻レンジ内におけるパケット数が降順となるように種別毎に並べられて対策対象外リストが作成される。
【０１３４】
Ｓ３０３では、Ｓ３０１において作成された対策実施中リストとＳ３０２において作成された対策対象外リストとが並べられ、さらに前述した「対策中止」及び「対策実施」のボタンアイコンが並べられて図７に示したような不正アクセス対策サービス操作画面が作成され、この操作画面を表現している画面データが不正アクセス対策サービス利用者端末２０２へ送付される。
【０１３５】
不正アクセス対策サービス利用者端末２０２ではこの画面データを受信するとＷｅｂブラウザの機能によってこの操作画面が表示される。顧客サイト２００の管理者等は、この操作画面をリスト順に参照してＩＤＳ１２０の誤動作に起因する不正アクセスの実施・非実施の誤りがあるかどうかを判断する。
【０１３６】
なお、対策実施中リストで種別毎のトラフィックがその対策適正実施率の昇順に並べられているのは、その順序の若いもの、すなわち対策適正実施率が低いものの方が過去に多くのフォルス・ネガティブの誤動作が発生していたと考えられるので、不正アクセス対策の誤実施されている可能性の高い順に誤実施の発生の有無を判定させるようにして、不正アクセス対策をより素早く適切なものにできるように配慮したものである。
【０１３７】
また、対策対象外リストで種別毎のトラフィックであるパケットが単位時間当たりの顧客境界ルータ１１０の通過数の降順に並べられているのは、適切な不正アクセス対策がされていない状態、すなわちフォルス・ポジティブの誤動作が発生すると多量であるがために影響の大きい順に種別毎のトラフィックを並べておくことにより、この順序でこの誤動作の発生の有無を判定させて不正アクセス対策がより素早く効果的なものとなるように配慮したものである。
【０１３８】
この管理者等による判断の結果、誤りが発見されたときには、管理者等はこの操作画面に示されている対策実施中リストまたは対策対象外リストから誤りの項目を選択した上で「対策中止」あるいは「対策実施」のボタンアイコンをクリック操作する。すると、項目の選択情報とクリックされたボタンアイコンの種別情報とがユーザ入力として不正アクセス対策サービス利用者端末２０２から不正アクセス対策サイト１３０へと送付される。
【０１３９】
Ｓ３０４では、不正アクセス対策サービス利用者端末２０２から送られてくるこのユーザ入力の取り出しが行われ、続くＳ３０５において、このユーザ入力におけるクリックされたボタンアイコンの種別情報が「対策中止」のボタンアイコンであったか否かが判定される。そして、このＳ３０５の判定結果がＹｅｓならば、Ｓ３０６において、ユーザ入力における項目の選択情報に係る前述した不正アクセス通知の「アクション」の内容を「対策中止」とし、一方、このＳ３０５の判定結果がＮｏ、すなわちユーザ入力におけるクリックされたボタンアイコンの種別情報が「対策実施」のボタンアイコンであったならば、Ｓ３０７において、ユーザ入力における項目の選択情報に係る不正アクセス通知の「アクション」の内容を「対策実施」とする。
【０１４０】
Ｓ３０８では、Ｓ３０６若しくはＳ３０７の手順においてその内容が更新された不正アクセス通知が不正アクセス対策制御エンジン１４１へ送付される。
以上の不正アクセス対策ＵＩ手順が行われることによって、顧客サイト２００の管理者等による不正アクセス対策の修正指示を不正アクセス対策制御エンジン１４１が認識する。
【０１４１】
次に図１３について説明する。同図は不正アクセス対策制御エンジン１４１によって行われる不正アクセス対策制御手順の内容をフローチャートで示したものである。
まず、Ｓ４０１において、不正アクセス通知エンジン１４３または不正アクセス対策ＵＩエンジン１４２から送付される不正アクセス通知をひとつ取り出す。Ｓ４０２では、Ｓ４０１の手順によって取り出された不正アクセス通知の「アクション」の内容が「対策中止」とされているか否かが判定され、この判定結果がＹｅｓならば、Ｓ４０３において不正アクセス対策中止要求が不正アクセス対策実施エンジン１４４へ送付され、その後はＳ４０６に手順が進む。
【０１４２】
一方、Ｓ４０２の判定結果がＮｏ、すなわちＳ４０１の手順によって取り出された不正アクセス通知の「アクション」の内容が「対策実施」とされているのであればＳ４０４において不正アクセス対策方法決定手順が実行され、続くＳ４０５において不正アクセス対策実施要求が不正アクセス対策実施エンジン１４４へ送付される。なお、不正アクセス対策方法決定手順については後述する。
【０１４３】
Ｓ４０６では不正アクセス対策記録制御エンジン１４６へログ要求が送付されて上述したＳ４０３またはＳ４０４からＳ４０５にかけての手順で行われた処理の内容の記録の依頼が行われ、その後はＳ４０１へ手順を戻して上述した手順が繰り返される。なお、このログ要求には、Ｓ４０１の手順によって取得され、Ｓ４０４の手順が実行されたときにはその内容が更新された不正アクセス通知が添付される。
【０１４４】
次に図１４について説明する。同図は図１３のＳ４０４の手順である不正アクセス対策方法決定手順の内容をフローチャートで示したものである。
まず、Ｓ４１１において、設定情報１５０が取り出される。図１４におけるこの後の手順において、対策実施機器（本実施形態においては顧客境界ルータ１１０）がどのような不正アクセス対策機能を有しているかの判定は、設定情報１５０における対策実施機器についての固有情報のうちの「ルータタイプ」と「ルータＯＳ」との内容に基づいて行われる。
【０１４５】
Ｓ４１２では、図１３のＳ４０１の手順において取り出された不正アクセス通知における「攻撃種別」の内容が「ＴＣＰ Ｓｙｎ Ｆｌｏｏｄ」とされていて、且つ対策実施機器が前述したＴＣＰ接続制御機能を備えているか否かが判定され、この判定結果がＹｅｓであるならば、この不正アクセス通知に係るアクセスへの対策をＴＣＰ接続制御機能によって行うことが決定され、Ｓ４１３においてこの不正アクセス通知における「対策実施方法」の項目が「ＴＣＰ接続制御」とされる。その後はこの不正アクセス対策方法決定手順が終了し、図１３の手順へ戻る。
【０１４６】
この決定は、ＴＣＰ Ｓｙｎ Ｆｌｏｏｄの攻撃には、その攻撃のための専用防御機能であるＴＣＰ接続制御機能による対策が最適であると考えられるからである。
一方、Ｓ４１２の判定結果がＮｏのときは、Ｓ４１４において、図１３のＳ４０１の手順において取り出された不正アクセス通知における「対策適正実施率」と設定情報１５０における「対策信頼閾値」との数値比較が行われ、「対策適正実施率」が「対策信頼閾値」以上の値となっているか否かが判定される。そして、この判定の結果がＹｅｓであれば、この不正アクセス通知に係るアクセスへの対策を前述したＡＣＬフィルタによって行うことが決定され、Ｓ４１５においてこの不正アクセス通知における「対策実施方法」の項目が「ＡＣＬフィルタ」とされる。その後はこの不正アクセス対策方法決定手順が終了し、図１３の手順へ戻る。
【０１４７】
一方、Ｓ４１４の判定結果がＮｏのときには、Ｓ４１６において、上記の「対策適正実施率」が設定情報１５０における「対策信頼閾値」の１／２以上の値となっており、且つ対策実施機器が前述した流量制御機能を備えているか否かが判定される。そして、この判定の結果がＹｅｓであれば、この不正アクセス通知に係るアクセスへの対策をこの流量制御機能によって行うことが決定され、Ｓ４１７においてこの不正アクセス通知における「対策実施方法」の項目が「流量制御」とされる。その後はこの不正アクセス対策方法決定手順が終了し、図１３の手順へ戻る。
【０１４８】
一方、Ｓ４１６の判定結果がＮｏのときには、Ｓ４１８において、上記の「対策適正実施率」が設定情報１５０における「対策信頼閾値」の１／２未満の値となっており、且つ対策実施機器が前述したキュー制御機能を備えているか否かが判定される。そして、この判定の結果がＹｅｓであれば、この不正アクセス通知に係るアクセスへの対策をこのキュー制御機能によって行うことが決定され、Ｓ４１９においてこの不正アクセス通知における「対策実施方法」の項目が「キュー制御」とされる。その後はこの不正アクセス対策方法決定手順が終了し、図１３の手順へ戻る。
【０１４９】
一方、Ｓ４１８の判定結果がＮｏのときには、この不正アクセス通知に係るアクセスへの対策を前述したＡＣＬフィルタによって行うことが決定され、Ｓ４２０においてこの不正アクセス通知における「対策実施方法」の項目が「ＡＣＬフィルタ」とされる。その後はこの不正アクセス対策方法決定手順が終了し、図１３の手順へ戻る。
【０１５０】
以上の手順が不正アクセス対策方法決定手順である。
ここで、不正アクセスへの対策方法として、対策適正実施率の大小に応じ、その値の大きい順にＡＣＬフィルタ、流量制御、キュー制御と決定する理由について説明する。
【０１５１】
まず、対策適正実施率が十分に信頼できる程度に高いということは、その種別のトラフィックが不正アクセスである可能性が極めて高いということであるので、その種別のトラフィックを確実に破棄できるＡＣＬフィルタを使用することが最適であると考えられるからである。
【０１５２】
また、流量制御とキュー制御とでは、不正アクセスをより多く破棄するという観点では流量制御の方が適切ではあるが、対策適正実施率が低い場合というのはその種別のトラフィックが正規アクセスである可能性が高いということであるので、このような正規アクセスを少しでも多く通過させることのできるキュー制御の方が不正アクセス対策の弊害を減少させるという観点ではより適切であると考えられる。よって、この両者の選択においては対策適正実施率が高い場合には流量制御を選択し、一方、対策適正実施率が低い場合にはキュー制御を選択するようにしている。
【０１５３】
なお、流量制御とキュー制御との選択のための対策適正実施率の大小の判断基準として、上述した不正アクセス対策方法決定手順では「対策信頼閾値」の１／２という値を用いていたが、例えばこの「１／２」の値を０から１までの間の他の値としてもよいし、またこの判断基準とする専用の値を設定情報１５０として用意しておくようにしてもよい。
【０１５４】
次に図１５について説明する。同図は不正アクセス対策実施エンジン１４４によって行われる不正アクセス対策実施手順の内容をフローチャートで示したものである。
まず、Ｓ５０１において、不正アクセス対策制御エンジン１４１から送られてきた不正アクセス対策についての要求が取得される。なお、この要求は、図１３のＳ４０３またはＳ４０５の手順で不正アクセス対策制御エンジン１４１から送付されたものである。
【０１５５】
Ｓ５０２では設定情報１５０が取り出され、顧客境界ルータ１１０についての固有情報のうちの「ルータタイプ」、「ルータＩＰ」、「ルータＰＷ」の情報が取得される。
Ｓ５０３では、Ｓ５０１の手順において取得された不正アクセス対策についての要求に対応する不正アクセス通知が参照され、この通知の「アクション」の内容に従い、不正アクセス対策を実施させる、あるいは実施中の不正アクセス対策を中止させるための設定が、顧客境界ルータ１１０に対して行われる。ここで不正アクセス対策を実施させる場合には、不正アクセス通知の「対策実施方法」に示されている方法での不正アクセス対策の実施設定が顧客境界ルータ１１０に対して行われる。
【０１５６】
なお、この顧客境界ルータ１１０への設定のためにＳ５０２の手順によって取得された各情報が使用され、顧客境界ルータ１１０はこれらの設定が行なわれることによって決定に係る方法による不正アクセス対策が開始若しくは中止される。
【０１５７】
Ｓ５０４では、Ｓ５０３の手順によって顧客境界ルータ１１０に対してなされた設定が、不正アクセス対策の実施を示すものであったか否かが判定される。この判定結果がＹｅｓならばＳ５０５においてスレットの分岐が行われ、その一方ではＳ５０１からＳ５０５にかけての繰り返しの手順が実行され、他方ではＳ５０６からＳ５１０にかけての手順が実行される。一方、Ｓ５０４の判定結果がＮｏ、すなわちＳ５０３の手順によって顧客境界ルータ１１０に対してなされた設定が不正アクセス対策の中止を示すものであったならば、Ｓ５０１へ手順を戻して上述した手順が繰り返される。
【０１５８】
Ｓ５０６では、Ｓ５０３の手順で顧客境界ルータ１１０に対して設定された不正アクセス対策の状況が取り出される。
Ｓ５０７では、この対策の状況が、不正アクセス対策の中止を示すものであったか否かが判定され、この判定結果がＹｅｓならばＳ５０５の手順によって分岐させたこのＳ５０６からＳ５１０にかけてのスレッドを直ちに終了させる。
【０１５９】
一方、Ｓ５０７の判定結果がＮｏ、すなわちＳ５０３の手順によって顧客境界ルータ１１０に対してなされた設定が不正アクセス対策の実施を示すものであったならば、Ｓ５０８においてＩＤＳ１２０に問い合わせを行い、この対策が対策対象としている不正アクセスであるパケットがどの程度の時間継続して顧客境界ルータ１１０に到来していないかを調べる。そして、この問い合わせに対してＩＤＳ１２０から回答された時間が、設定情報１５０に示されている前述した「対策解除信頼閾値」を超えているか否かが判定され、この判定結果がＹｅｓ、すなわち対策解除時間閾値を超えて不正アクセスであるパケットが継続して到来していないのであればＳ５０９に手順を進め、一方、この判定結果がＮｏ、すなわち不正アクセスであるパケットが依然として到来しているかあるいは不正アクセスであるパケットが到来していない継続時間が対策解除時間閾値に未だ満たないときにはＳ５０６へ手順を戻して上述した手順が繰り返される。
【０１６０】
Ｓ５０９では、顧客境界ルータ１１０が制御されて前述したＳ５０３の手順で設定された不正アクセス対策が解除される。
Ｓ５１０では、不正アクセス対策記録制御エンジン１４６へログ要求が送付され、対策の実施解除の記録の依頼が行われる。なお、このログ要求には、Ｓ５０３の手順によって参照された不正アクセス通知が添付される。
【０１６１】
Ｓ５１０の手順を終えた後にはＳ５０５の手順によって分岐させたこのＳ５０６からＳ５１０にかけてのスレッドを終了させる。
以上の不正アクセス対策実施手順が行われることによって、不正なアクセスへの対策の実施、中止、解除が顧客境界ルータ１１０において実施される。
【０１６２】
次に図１６について説明する。同図は不正アクセス対策記録制御エンジン１４６によって行われる不正アクセス対策記録手順の内容をフローチャートで示したものである。
まず、Ｓ６０１において、不正アクセス対策制御エンジン１４１または不正アクセス対策実施エンジン１４４から送られてくるログ要求が取り出される。
【０１６３】
Ｓ６０２では、現在の時刻と取り出されたログ要求に添付されている不正アクセス通知の内容とがログに記録されてＬｏｇＤＢ１５２に格納される。
このＳ６０２の手順を終えた後にはＳ６０１へと手順を戻し、以降は上述したログ要求の取り出しとログへの記録の手順が繰り返される。
【０１６４】
以上の不正アクセス対策記録手順が行われることにより、自ＩＳＰ１００の管理者は顧客サイト２００に対する不正アクセスへの対処の状況をこの履歴の記録から把握することができるようになる。
［実施形態２］
前述した実施形態１では、不正アクセスによる攻撃の対象である顧客サイト２００と自ＩＳＰ１００との境界で不正アクセス対策を実施する例について説明した。これに対し、これより説明する実施形態２では、ＤＤｏＳ攻撃へのより効果的な対処方法である、不正アクセスの発信元にできるだけ近い場所で不正アクセス対策を実施する例について説明する。
【０１６５】
図１７は本発明を実施する不正アクセス対処システムの構成の第二の例を示している。なお、図１７において、図３に示した第一の例と同一の符号を付した構成要素は図３に示したものと同一のものであり、これらの構成要素については重複するため詳細な説明を省略する。
【０１６６】
図１７に示す不正アクセス対処システムは、不正アクセス対策マネージャサイト６００、不正アクセス通知エージェントサイト７００、並びに不正アクセス対策実施エージェントサイト８００−１及び８００−２より構成されている。
【０１６７】
不正アクセス対策マネージャサイト６００は不正アクセス対策記録部６０１、組織間ポリシー交換部６０２、組織間認証部６０３、不正アクセス対策方法決定部６０４、不正アクセス対策場所決定部６０５、及び不正アクセス対策制御部６０６を有している。
【０１６８】
不正アクセス対策記録部６０１は、対策実施機器での不正アクセス対策の実施、中止、解除等に関わる各セッションの動作の履歴を記録する。
組織間ポリシー交換部６０２は、自ＩＳＰ１００と他のＩＳＰ、例えば隣接ＩＳＰ３００との間で自己のネットワーク運用セキュリティポリシーを交換する
組織間認証部６０３は、自ＩＳＰ１００と他のＩＳＰ、例えば隣接ＩＳＰ３００との間で情報交換を行う際の情報漏洩を防止するための相互認証を行う。なお、ここで、この相互認証のための流入元との接続プロトコルは例えばＨＴＴＰＳ（Hypertext Transfer Protocol Security）プロトコルであってもよく、また、この相互認証で用いられる認証方式は例えば公開鍵基盤（ＰＫＩ：Public Key Infrastructure ）であってもよく、また電子証明書は例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式であってもよい。
【０１６９】
不正アクセス対策方法決定部６０４は、不正アクセス通知エージェントサイト７００から送られてくる、ＩＤＳ１２０が検知したＷｅｂシステム２０１に対する不正アクセスの攻撃の通知（不正アクセス通知）に示されている情報と対策実施機器の固有情報とに基づいて適切な不正アクセス対策方法を決定する。
【０１７０】
不正アクセス対策場所決定部６０５は、Ｗｅｂシステム２０１に対する不正なアクセスからＷｅｂシステム２０１を保護するための対策を実施する場所の決定を行う。
不正アクセス対策制御部６０６は、不正アクセス対策マネージャサイト６００において行われる各種のセッションを管理して制御する。
【０１７１】
運用管理システム６５０は自ＩＳＰ１００に配置されて自ＩＳＰ１００の運用の管理を行うシステムでおり、自ＩＳＰ１００の構成管理、トラフィック管理、障害管理、アカウント管理等を行っている。運用管理システム６５０は不正アクセス対策マネージャサイト６００と連携し、各種のデータの受け渡しを行う。従って、運用管理システム６５０は、自ＩＳＰ１００に設けられている顧客境界ルータ１１０、ＩＳＰ境界ルータ１１１、及びＰＯＰ境界ルータ１１２の各々についてのルータタイプ、ルータＯＳ、ルータＩＰ、ルータＩＤ、及びルータＰＷの各情報を有している。
【０１７２】
ＩＳＰ管理端末６６０はこの不正アクセス対処システムのためのユーザインタフェースを自ＩＳＰ１００の管理者に提供するものであり、ＣＰＵ、メモリ、ディスプレイ、通信インタフェース等を有するコンピュータである。なお、ＩＳＰ管理端末６６０としては例えばパーソナルコンピュータや携帯情報端末（ＰＤＡ）等が利用可能である。
【０１７３】
不正アクセス通知エージェントサイト７００は不正アクセス通知部７０１、不正アクセス対策ＵＩ部７０２、及びトラフィックモニター部７０３を有している。
不正アクセス通知部７０１は、ＩＤＳ１２０と連携し、ＩＤＳ１２０が検知したＷｅｂシステム２０１に対する不正アクセスの攻撃の通知（不正アクセス通知）を不正アクセス対策マネージャサイト６００へ行う。
【０１７４】
不正アクセス対策ＵＩ部７０２は、ファイアウォール２０３を介して自ＩＳＰ１００に接続されている顧客サイト２００の管理者によって操作される不正アクセス対策サービス利用者端末２０２に表示される操作用画面であるユーザインタフェース（ＵＩ）を提供する。このＵＩは、図３における不正アクセス対策ＵＩ部１３２が提供するものと同様のものであり、例えば図７に示したユーザインタフェース画面を提供する。
【０１７５】
トラフィックモニター部７０３は、顧客境界ルータ１１０が通過させたトラフィックを監視し、これらのトラフィックについての情報を収集する。
不正アクセス対策実施エージェントサイト８００−１はトラフィックモニター部８０１−１と不正アクセス対策実施部８０２−１とを有している。
【０１７６】
トラフィックモニター部８０１−１は、ＩＳＰ境界ルータ１１１が通過させたトラフィックを監視し、これらのトラフィックについての情報を収集する。
不正アクセス対策実施部８０２−１はＩＳＰ境界ルータ１１１を制御し、隣接ＩＳＰ３００から自ＩＳＰ１００へ流入するＷｅｂシステム２０１に対する不正アクセスへの対策を、不正アクセス対策マネージャサイト６００からの指示に基づいて実施させ、あるいは実施中の対策を解除させる。
【０１７７】
なお、図１７では隣接ＩＳＰ３００は１つのみであり、ＩＳＰ境界ルータ１１１は自ＩＳＰネットワーク１００に一台だけ設置されているように描かれているが、ここでは隣接ＩＳＰ３００が複数存在し、各隣接ＩＳＰ３００に対応付けられて複数台の境界ルータ１１が自ＩＳＰ１００に設置されており、不正アクセス対策実施エージェントサイト８００−１はこれらを一括管理しているものとする。
【０１７８】
不正アクセス対策実施エージェントサイト８００−２はトラフィックモニター部８０１−２と不正アクセス対策実施部８０２−２とを有している。
トラフィックモニター部８０１−２は、ＰＯＰ境界ルータ１１２が通過させたトラフィックを監視し、これらのトラフィックについての情報を収集する。
【０１７９】
不正アクセス対策実施部８０２−２はＰＯＰ境界ルータ１１２を制御し、非常時接続利用者端末４００から自ＩＳＰ１００へ流入するＷｅｂシステム２０１に対する不正アクセスへの対策を、不正アクセス対策マネージャサイト６００からの指示に基づいて実施させ、あるいは実施中の対策を解除させる。
【０１８０】
なお、上述したように、不正アクセス対策実施エージェントサイト８００−１と不正アクセス対策実施エージェントサイト８００−２とは、各部の対象となる機器がＩＳＰ境界ルータ１１１とＰＯＰ境界ルータ１１２とで異なる点を除けば同様の構成を有している。そこで、以下では、両者をいずれも不正アクセス対策実施エージェントサイト８００と称して共通に説明できるようにするため、ＩＳＰ境界ルータ１１１とＰＯＰ境界ルータ１１２とをいずれも境界ルータ１１３と称することとし、不正アクセス対策実施エージェントサイト８００はトラフィックモニター部８０１と不正アクセス対策実施部８０２とを有しているものとする。なお、ここで、トラフィックモニター部８０１は、境界ルータ１１３が通過させたトラフィックを監視し、これらのトラフィックについての情報を収集するものであり、不正アクセス対策実施部８０２は、境界ルータ１１３を通過して自ＩＳＰ１００へ流入するＷｅｂシステム２０１に対する不正アクセスへの対策を、不正アクセス対策マネージャサイト６００からの指示に基づいて実施させ、あるいは実施中の対策を解除させるものであるとする。
【０１８１】
なお、図１７に示した不正アクセス対策マネージャサイト６００、不正アクセス通知エージェントサイト７００、及び不正アクセス対策実施エージェントサイト８００の実体はコンピュータであり、図１８に示すように、不正アクセス対策マネージャサイト６００において不正アクセス対策マネージャプログラム６１０が、不正アクセス通知エージェントサイト７００において不正アクセス通知プログラム７１０が、そして不正アクセス対策実施エージェントサイト８００において不正アクセス対策実施プログラム８１０が、各々実行されることによって図１７に示した構成を各サイトが有することとなる。
【０１８２】
図１８において、不正アクセス対処システム専用ネットワーク９００は、ＩＳＰネットワーク１０１とは別の通信ネットワークである。不正アクセス対処システム専用ネットワーク９００には自ＩＳＰ１００の管理するＩＳＰネットワーク１０１に設けられている不正アクセス対処システムが接続されていることに加え、隣接ＩＳＰ３００の管理する隣接ネットワークに設けられている図１８と同様の構成の不正アクセス対処システムも接続されており、各種のデータの受け渡しが行われる。なお、これらの機器間での各種のデータの授受は原則としてこの不正アクセス対処システム専用ネットワーク９００を介して行われる。
【０１８３】
不正アクセス対策マネージャサイト６００において不正アクセス対策マネージャプログラム６１０が実行されると、不正アクセス対策制御エンジン６１１、不正アクセス対策記録制御エンジン６１２、及びＩＯ制御エンジン６１３が構成される。
【０１８４】
不正アクセス対策制御エンジン６１１は組織間ポリシー交換部６０２、組織間認証部６０３、不正アクセス対策方法決定部６０４、不正アクセス対策場所決定部６０５、及び不正アクセス対策制御部６０６として機能する。
【０１８５】
不正アクセス対策記録制御エンジン６１２は不正アクセス対策記録部６０１として機能し、対策実施機器での不正アクセス対策の実施、中止、解除等に関わる各セッションの動作の履歴をＬｏｇＤＢ６２２に記録する。
【０１８６】
ＩＯ制御エンジン６１３は、運用管理システム６５０、ＩＳＰ管理端末６６０、不正アクセス通知エージェントサイト７００、及び不正アクセス対策実施エージェントサイト８００等との間での各種データの授受のための通信の制御や、ＬｏｇＤＢ６２２の動作制御を行う。なお、不正アクセス対策マネージャサイト６００は２つの通信インタフェースを有しており、その一方はＩＳＰネットワーク１０１に接続され、他方は不正アクセス対処システム専用ネットワーク９００に接続されている。但し、２つのネットワーク間のルーティングは行わない。この２つの通信インタフェースはＩＯ制御エンジン６１３によって管理され、不正アクセス通知エージェントサイト７００及び不正アクセス対策実施エージェントサイト８００との間での各種データの授受のための通信には不正アクセス対処システム専用ネットワーク９００が使用される。これは、ＩＳＰネットワーク１０１が不正アクセスの影響により通信路として利用できない場合でも各種データの授受を可能とするためである。
【０１８７】
証明書６２０は不正アクセス対策制御エンジン６１１の制御によって組織間認証が行われるときに使用されるものであり、例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式のものである。
【０１８８】
Ｐｏｌｉｃｙ（ポリシー）６２１は自ＩＳＰ１００であるＩＳＰネットワーク１０１のセキュリティポリシーが示されている情報ファイルであり、前述した実施形態１における設定情報１５０に示されていた情報のうち、自ＩＳＰ１００のセキュリティポリシーに関する情報である「対策解除時間閾値」及び「対策信頼閾値」のデータが示されている。
【０１８９】
ＬｏｇＤＢ６２２は対策実施機器での不正アクセス対策の実施、中止、解除等に関わる各セッションの動作の履歴が記録されるデータベースである。
不正アクセス通知エージェントサイト７００において不正アクセス通知プログラム７１０が実行されると、不正アクセス通知エンジン７１１、不正アクセス対策ＵＩエンジン７１２、トラフィックモニターエンジン７１３、及びＩＯ制御エンジン７１４が構成される。
【０１９０】
不正アクセス通知エンジン７１１は不正アクセス通知部７０１として機能する。
不正アクセス対策ＵＩエンジン７１２は不正アクセス対策ＵＩ部７０２として機能する。
【０１９１】
トラフィックモニターエンジン７１３はトラフィックモニター部７０３として機能し、収集した情報をトラフィックＤＢ７２０に格納する。
ＩＯ制御エンジン７１４は、ＩＤＳ１２０、不正アクセス対策サービス利用者端末２０２、不正アクセス対策マネージャサイト６００、及び不正アクセス対策実施エージェントサイト８００等との間での各種データの授受のための通信の制御や、トラフィックＤＢ７２０の動作制御を行う。
【０１９２】
なお、不正アクセス通知エージェントサイト７００は２つの通信インタフェースを有しており、その一方はＩＳＰネットワーク１０１に接続され、他方は不正アクセス対処システム専用ネットワーク９００に接続されている。但し、２つのネットワーク間のルーティングは行わない。この２つの通信インタフェースはＩＯ制御エンジン７１４によって管理され、不正アクセス対策マネージャサイト６００及び不正アクセス対策実施エージェントサイト８００との間での各種データの授受のための通信には不正アクセス対処システム専用ネットワーク９００が使用される。
【０１９３】
トラフィックＤＢ７２０は顧客境界ルータ１１０が通過させたトラフィックについての情報が記録されるデータベースである。
不正アクセス対策実施エージェントサイト８００において不正アクセス対策実施プログラム８０１が実行されると、不正アクセス対策実施エンジン８１１、トラフィックモニターエンジン８１２、及びＩＯ制御エンジン８１３が構成される。
【０１９４】
不正アクセス対策実施エンジン８１１は不正アクセス対策実施部８０２として機能する。
トラフィックモニターエンジン８１２はトラフィックモニター部８０１として機能し、収集した情報をトラフィックＤＢ８２０に格納する。
【０１９５】
ＩＯ制御エンジン８１３は、境界ルータ１１３や不正アクセス対策マネージャサイト６００、不正アクセス通知エージェントサイト７００等との間での各種データの授受のための通信の制御や、トラフィックＤＢ８２０の動作制御を行う。
【０１９６】
なお、不正アクセス対策実施エージェントサイト８００は２つの通信インタフェースを有しており、その一方はＩＳＰネットワーク１０１に接続され、他方は不正アクセス対処システム専用ネットワーク９００に接続されている。但し、２つのネットワーク間のルーティングは行わない。この２つの通信インタフェースはＩＯ制御エンジン８１３によって管理され、不正アクセス対策マネージャサイト６００及び不正アクセス通知エージェントサイト７００との間での各種データの授受のための通信には不正アクセス対処システム専用ネットワーク９００が使用される。
【０１９７】
トラフィックＤＢ８２０は境界ルータ１１３が通過させたトラフィックについての情報が記録されるデータベースである。
なお、図１８に示した不正アクセス対策マネージャサイト６００、不正アクセス通知エージェントサイト７００、及び不正アクセス対策実施エージェントサイト８００は、いずれも例えば図６に示すような、標準的なハードウェア構成を有するコンピュータを用いて構成することができるが、上述したように、これらのサイトとして使用されるコンピュータには通信インタフェース５０７を１つ増設してバス５０８に接続しておくようにする。
【０１９８】
以下、図１７に示した不正アクセス対処システムを構成する各サイトで図１８に示した各種のプログラムを実行することによって構成される各部によって行われる処理の内容について説明する。
【０１９９】
なお、図１７に示した不正アクセス対処システムでは、これより説明するトラフィックモニター手順、不正アクセス通知手順、不正アクセス対策ＵＩ手順、不正アクセス対策制御手順、不正アクセス対策実施手順、及び不正アクセス対策記録手順が並行して進められる。
【０２００】
まず図１９について説明する。同図はトラフィックモニターエンジン７１３及び８１２の各々において行われるトラフィックモニター手順の内容をフローチャートで示したものである。
【０２０１】
まず、Ｓ１５１においてスレッドの分岐が行われ、その一方ではＳ１５２の繰り返し手順が、他方ではＳ１５３からＳ１５５にかけての繰り返しの手順が、それぞれ実行される。
【０２０２】
Ｓ１５２では、顧客境界ルータ１１０（トラフィックモニターエンジン７１３においてこの手順が行われる場合）若しくは境界ルータ１１３（トラフィックモニターエンジン８１２においてこの手順が行われる場合）が通過させたトラフィックであるパケットがキャプチャー（捕獲）される。以降、Ｓ１５２の手順が繰り返されて顧客境界ルータ１１０若しくは境界ルータ１１３が通過させたパケットが全てキャプチャーされる。
【０２０３】
Ｓ１５３では、Ｓ１５３からＳ１５５にかけてのスレッドの実行が一定の時刻レンジだけ、例えば１０分間だけスリープ（停止）され、その後、所定の時刻レンジが経過したときにＳ１５４の手順に進む。
【０２０４】
Ｓ１５４では、Ｓ１５２の処理によってキャプチャーされているパケットの数が、接続ＩＤ、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、及びＤｉｓｔＰｏｒｔをキーにして計数され、続くＳ１５５においてその計数の結果を示すデータが監視情報としてトラフィックＤＢ７２０（トラフィックモニターエンジン７１３においてこの手順が行われる場合）若しくはトラフィックＤＢ８２０（トラフィックモニターエンジン８１２においてこの手順が行われる場合）に格納される。このＳ１５５の手順が完了した後にはＳ１５３へ手順を戻して上述した手順が繰り返される。
【０２０５】
ここで図２０について説明する。同図は上述したＳ１５５の手順によってデータの格納が行われるトラフィックＤＢ７２０及び８２０各々のデータ構造を示している。図２０に示したデータ構造と図９に示した実施形態１におけるものとは、図２０のデータ構造では各レコードに「接続ＩＤ」なるフィールドが追加されている点においてのみ異なっており、他は同一であるので、ここではこの「接続ＩＤ」についてのみ説明する。
【０２０６】
接続ＩＤは、自ＩＳＰ１００の管理するＩＳＰネットワーク１０１の利用者に個別に割り当てられている識別子である。接続ＩＤと計数対象とするパケットとの関係は、そのパケットに示されているＳｒｃＩＰ（送信元のＩＰアドレス）を運用管理システム６５０に送付して問い合わせを行うことによって運用管理システム５０１から得ることができる。
【０２０７】
図２０に示されているデータ例のうち第一行目のレコードについて解説すると、接続ＩＤとして「ＡＢＣ０１２３４」が割り当てられているＩＳＰネットワーク１０１の利用者は、「１０：００−１０：１０」の時間内に、送信元のＩＰアドレスが「２０２．２４８．２０．２５４」、宛先のＩＰアドレスが「２０２．２４８．２０．６８」、そして宛先のポート番号が「８０」である「１４５６」個のパケットを境界ルータ１１３に流入させたことを示している。
【０２０８】
なお、トラフィックＤＢ８２０では上述したデータが境界ルータ１１３毎に格納される。
次に、不正アクセス通知エンジン７１１によって行なわれる不正アクセス通知手順について説明する。この不正アクセス通知手順の内容は、実施形態１において不正アクセス通知エンジン１４３によって行なわれる図１０に示したものとほぼ同様であり、Ｓ２０３において行われる不正アクセス通知の通知先が実施形態２においては不正アクセス対策マネージャサイト６００となる点で異なるのみであるので詳細な説明は省略する。但し、この不正アクセス通知のデータ形式が図１１に示したものとは若干異なっている。
【０２０９】
ここで図２１について説明する。同図は不正アクセス通知エンジン７１１によって不正アクセス対策マネージャサイト６００へ送付される不正アクセスの通知のデータ形式を示している。図２１に示したデータ形式と図１１に示した実施形態１におけるものとは、図２１のデータ形式では図１１に示したものが有しているものの他に、「所属ＩＳＰマネージャＩＰ」、「対策解除ポリシー」、及び「対策信頼ポリシー」の各情報が追加されている。そこで、ここではこれらの各情報についてのみ説明する。
【０２１０】
所属ＩＳＰマネージャＩＰは、不正アクセス通知エージェントサイト７００で生成された不正アクセス通知を最初に受け取ることとなる、自ＩＳＰ１００内の不正アクセス対策マネージャサイト６００に割り当てられているＩＰアドレスである。
【０２１１】
対策解除ポリシーは、自ＩＳＰ１００においてこの通知に係る不正アクセスの停止が検出されてからこの不正アクセスへの対策を解除するまでの時間である。対策信頼ポリシーは、対策実施機器に行わせるこの通知に係る不正アクセス対策の方法を自ＩＳＰ１００において決定するための基準とする値である。
【０２１２】
なお、対策解除ポリシー及び対策信頼ポリシーは、自ＩＳＰ１００におけるセキュリティポリシーで許容される範囲内で、例えば不正アクセスを受けている顧客から予めなされている指示に従って設定される。
【０２１３】
図２１に示されているデータ例のうちの例１について上記の各情報を解説すると、この通知に係る不正アクセスを検知したＩＤＳ１２０を管理している「ＩＳＰ ＡＢＣ」における不正アクセス対策マネージャサイト６００のＩＰアドレスは「ａ．ｂ．ｃ．１００」であり、対策解除ポリシーは「１０分」、対策信頼ポリシーは「９０％」であることを示している。
【０２１４】
なお、図１０のＳ２０３の手順において作成されて送付される不正アクセス通知においては、「対策解除ポリシー」及び「対策信頼ポリシー」については何も示されていない状態（例えばヌルデータ）で送付される。
【０２１５】
以上の不正アクセス通知手順が行われることによって、ＩＤＳ１２０による顧客ネットワーク２００への不正アクセスの検知の内容が不正アクセス対策マネージャサイト６００へ通知される。
【０２１６】
次に図２２について説明する。同図は不正アクセス対策ＵＩエンジン７１２によって行われる不正アクセス対策ＵＩ手順の内容をフローチャートで示したものである。
この手順は、まず、顧客サイト２００の管理者等が、不正アクセス対策サービス利用者端末２０２で例えばＷｅｂブラウザを機能させて不正アクセス通知エージェントサイト７００に対してこの手順の実行要求を行うことによって開始される。
【０２１７】
まず、Ｓ３５１では、不正アクセス対策マネージャサイト６００のＬｏｇＤＢ６２２に記録されている対策実施機器での不正アクセス対策の実施、中止、解除等に関わる各セッションの動作の履歴が取得され、この履歴の記録に基づき、対策実施機器で実施中である不正アクセス対策が対策対象としているトラフィックの種別毎の対策適正実施率が前掲した算出式に従って算出され、算出された対策適正実施率が昇順となるように種別毎のトラフィックが並べられて対策実施中リストが作成される。なお、このとき算出された対策適正実施率に基づいて、対応するトラフィックに係る不正アクセス通知の「対策適正実施率」の内容が更新される。
【０２１８】
Ｓ３５２では、顧客境界ルータ１１０が通過させたトラフィックの記録がトラフィックＤＢ７２０から取得され、この記録に基づき、顧客境界ルータ１１０が通過させたトラフィックであるパケットが、その時刻レンジ内におけるパケット数が降順となるように種別毎に並べられて対策対象外リストが作成される。
【０２１９】
Ｓ３５３では、Ｓ３５１において作成された対策実施中リストとＳ３５２において作成された対策対象外リストとが並べられ、さらに前述した「対策中止」及び「対策実施」のボタンアイコンが並べられて図７に示したような不正アクセス対策サービス操作画面が作成され、この操作画面を表現している画面データが不正アクセス対策サービス利用者端末２０２へ送付される。
【０２２０】
不正アクセス対策サービス利用者端末２０２ではこの画面データを受信するとＷｅｂブラウザの機能によってこの操作画面が表示される。顧客サイト２００の管理者等は、この操作画面をリスト順に参照してＩＤＳ１２０の誤動作に起因する不正アクセスの実施・非実施の誤りがあるかどうかを判断する。
【０２２１】
この管理者等による判断の結果、誤りが発見されたときには、管理者等はこの操作画面に示されている対策実施中リストまたは対策対象外リストから誤りの項目を選択した上で「対策中止」あるいは「対策実施」のボタンアイコンをクリック操作する。すると、項目の選択情報とクリックされたボタンアイコンの種別情報とがユーザ入力として不正アクセス対策サービス利用者端末２０２から不正アクセス対策通知エージェントサイト６００へと送付される。
【０２２２】
Ｓ３５４では、不正アクセス対策サービス利用者端末２０２から送られてくるこのユーザ入力の取り出しが行われ、続くＳ３５５において、このユーザ入力におけるクリックされたボタンアイコンの種別情報が「対策実施」のボタンアイコンであったか否かが判定される。そして、このＳ３５５の判定結果がＹｅｓならば、Ｓ３５６において、ユーザ入力における項目の選択情報に係る不正アクセス通知の「アクション」の内容を「対策実施」とし、一方、このＳ３５５の判定結果がＮｏ、すなわちユーザ入力におけるクリックされたボタンアイコンの種別情報が「対策中止」のボタンアイコンであったならば、Ｓ３５７において、ユーザ入力における項目の選択情報に係る前述した不正アクセス通知の「アクション」の内容を「対策中止」とする。
【０２２３】
Ｓ３５８では、Ｓ３５６若しくはＳ３５７の手順においてその内容が更新された不正アクセス通知が作成されて不正アクセス対策マネージャサイト６００へ送付される。
以上の不正アクセス対策ＵＩ手順が行われることによって、顧客サイト２００の管理者等による不正アクセス対策の修正指示を不正アクセス対策マネージャサイト６００が認識する。
【０２２４】
次に図２３について説明する。同図は不正アクセス対策制御エンジン６１１によって行われる不正アクセス対策制御手順の内容をフローチャートで示したものである。
まず、Ｓ４５１において、不正アクセス通知エージェントサイト７００からの不正アクセスの通知をひとつ取り出す。
【０２２５】
Ｓ４５２では、この取り出された不正アクセス通知に示されている前述したアクションが参照され、このアクションが「対策中止」とされているか否かが判定される。そして、この判定結果がＹｅｓならばＳ４６８に手順を進める。一方、この判定結果がＮｏ、すなわちこのアクションが「対策実施」とされているならば４５３に手順を進める。
【０２２６】
Ｓ４５３では、この取り出された不正アクセス通知に示されている前述した検知ＩＤが参照され、この取り出された不正アクセス通知がループしているか否か、すなわちこの検出ＩＤが過去に取得していた不正アクセス通知に示されていたか否か、より具体的にはこの検知ＩＤと同一のものがＬｏｇＤＢ６２２に記録されているか否かが判定される。そして、この判定結果がＹｅｓならばＳ４６６に手順が進み、ＮｏならばＳ４５４に手順が進む。
【０２２７】
Ｓ４５４では不正アクセス対策実施場所決定手順が実行される。この手順の詳細は図２４にフローチャートで示されている。
以下、この図２４の手順を先に説明する。
【０２２８】
まず、Ｓ４８１において、運用管理システム６５０に対する問い合わせが行われて、ＩＳＰネットワーク１０１に設置されている境界ルータ１１３の一覧が取得される。
Ｓ４８２では、不正アクセス対策実施エージェントサイト３００に対する問い合わせが行われ、図２３のＳ４５１の手順において取り出された不正アクセス通知に示されていた、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、及びＤｉｓｔＰｏｒｔの一致しているレコードをトラフィックＤＢ８２０から抽出する。そして、その抽出されたレコードに示されていたトラフィックが流入していた境界ルータ１１３を残してそのほかの境界ルータ１１３を前の手順で取得されていた境界ルータ１１３の一覧から除外する。
【０２２９】
Ｓ４８３では、先の一覧に残されている境界ルータ１１３から非常時接続利用者用端末４００のために設けられているもの（ＰＯＰ境界ルータ１１２）が抽出され、抽出されたＰＯＰ境界ルータ１１２についてのトラフィックＤＢ８２０の格納データから、前述した不正アクセス通知に関係しているデータレコードに示されている接続ＩＤが取得される。
【０２３０】
Ｓ４８４では、前の手順で取得された接続ＩＤで特定される利用者がＩＳＰネットワーク１０１に現在接続しているかどうかの問い合わせが運用管理システム６５０へ行われる。そして、この利用者がＩＳＰネットワーク１０１に現在接続しているのであればこの利用者によって現在使用されている非常時接続利用者端末からのパケットが流入している非常時接続境界ルータを抽出して先の一覧に残し、一方、この利用者が現在はＩＳＰネットワーク１０１に接続していないのであれば、この利用者によって使用されていた非常時接続利用者端末４００からの不正アクセスを流入させていたＰＯＰ境界ルータ１１２を先の一覧から除外する。
【０２３１】
Ｓ４８５では、一覧に残されている境界ルータ１１３の各々の接続先に基づいて、先の通知に係る不正アクセスについての対策を自組織（自ＩＳＰ１００）で実施するか、あるいはこの対策の実施を他組織（例えば隣接ＩＳＰ３００）に依頼するかを分類する。
【０２３２】
この分類の基準は、より具体的には、一覧に残されている境界ルータ１１３がＰＯＰ境界ルータ１１２であるか、あるいはそのＩＳＰネットワーク１０１と隣接ＩＳＰ３００との境界に設置されているＩＳＰ境界ルータ１１１であってその隣接ＩＳＰ３００と自ＩＳＰ１００とに信頼関係がないならば、自ＩＳＰ１００の管理するこの境界ルータ１１３においてこの対策を実施するものとする。一方、一覧に残されている境界ルータ１１３がＩＳＰネットワーク１０１と隣接ＩＳＰ３００との境界に設置されているＩＳＰ境界ルータ１１１であってその隣接ＩＳＰ３００と自ＩＳＰ１００とは信頼関係にあるならば、このＩＳＰ境界ルータ１１１では対策を行わずにその隣接ＩＳＰ３００にこの対策の実施を依頼するものとする。この手順によって前述した通知に係る不正アクセスについての対策を実施する場所が全て決定される。
【０２３３】
Ｓ４８５の手順を終えた後には図２３の手順へ戻る。
図２３のＳ４５５では、上述した不正アクセス対策実施場所決定手順で求めた対策実施場所が取り出される。
【０２３４】
Ｓ４５６では、Ｓ４５５の手順で取り出された対策実施場所のうち、未対策のまま残されている場所の数が０よりも大きいか否かが判定され、この判定結果がＹｅｓ、すなわち未対策の場所が残されているのであればＳ４５７に手順を進める。一方、この判定結果がＮｏ、すなわち対策を実施すべき全ての場所での対策が完了したならばＳ４５１へ手順を戻して上述した手順が繰り返される。
【０２３５】
Ｓ４５７では、Ｓ４５５の手順で取り出された対策実施場所のうち、未対策のまま残されている場所が一つ取り出される。
Ｓ４５８では、前の手順で取り出された場所が、自組織でこの対策を実施するとしていた境界ルータ１１３であるか否かが判定され、この判定結果がＹｅｓならばＳ４５９に手順を進める。一方、この判定結果がＮｏ、すなわちこの場所が隣接ＩＳＰ３００にこの対策の実施を依頼するものとしたＩＳＰ境界ルータ１１１であったならばＳ４６１に手順を進める。
【０２３６】
Ｓ４５９では、不正アクセス対策方法決定手順が実行される。この手順の詳細は図１４にフローチャートで示したものと基本的には同様であるので、詳細な説明は省略する。但し、このＳ４５９の手順においては、対策実施機器が境界ルータ１１３であること、そして、この境界ルータ１１３についての固有情報は運用管理システム６５０が有しているのでＳ４１１の手順では対策実施機器の固有情報を運用管理システム６５０から得るようにすることが前述した図１４についての説明と異なっている。
【０２３７】
Ｓ４６０では、Ｓ４５５の手順で取り出された場所である境界ルータ１１３を制御する不正アクセス対策実施エージェントサイト８００に対して不正アクセス対策要求が送付され、その後はＳ４６４に手順が進む。
【０２３８】
この不正アクセス対策要求には対策を実施させる境界ルータ１１３を特定する情報が示されており、更にＳ４５１の処理で取り出されていた不正アクセス通知が添付されている。この要求を受け取った不正アクセス対策実施エージェントサイト８００では、不正アクセス対策実施エンジン８１１によって不正アクセス対策実施手順が実行される。不正アクセス対策実施手順については後述する。
【０２３９】
ところで、前述したＳ４５８の手順における判定の結果がＮｏであったとき、すなわち前述したＳ４５５の手順において取り出された場所が、不正アクセスについての対策の実施を隣接ＩＳＰ３００に依頼するものとしたＩＳＰ境界ルータ１１１であったときにはＳ４６１において組織間認証手順が実行される。この手順の詳細は図２５にフローチャートで示されている。
【０２４０】
以下、この図２５の手順を先に説明する。
まず、Ｓ４９１においてサーバ認証処理が証明書６２０を用いて行われ、対策の依頼先である隣接ＩＳＰ（サーバ）３００が確かに信頼関係にあるＩＳＰであって悪意あるサイトのなりすましでないことの確認が行われる。
【０２４１】
続くＳ４９２ではクライアント認証処理が証明書６２０を用いて行われ、対策依頼元である自ＩＳＰ１００（クライアント）が確かに信頼関係にあるＩＳＰで、悪意あるサイトのなりすましでないことの確認が対策の依頼先であるＩＳＰで行われる。
【０２４２】
このＳ４９２の手順が終了したときには図２３の手順へ戻る。
以上の組織間認証手順が行われることによって、不正アクセス対策に関する情報の悪意あるサイトによるなりすましでの窃取が防止される。
【０２４３】
図２３においてＳ４６１に続いて行われるＳ４６２では組織間ポリシー交換手順が実行される。この手順の詳細は図２６にフローチャートで示されている。
以下、この図２６の手順を先に説明する。
【０２４４】
まず、Ｓ４９６において、第三者による情報の解読を不可能にするために、対策依頼元である自ＩＳＰ１００と対策依頼先である隣接ＩＳＰ３００との間で暗号アルゴリズムの交換が行われる。
【０２４５】
Ｓ４９７では、対策依頼元である自ＩＳＰ１００と対策依頼先である隣接ＩＳＰ３００との間でＰｏｌｉｃｙ６２１の情報である対策解除時間閾値の交換が行われ、そのうちの時間の短いものが両者間での対策解除時間閾値として採用される。
【０２４６】
Ｓ４９８では、対策依頼元である自ＩＳＰ１００と対策依頼先である隣接ＩＳＰ３００との間でＰｏｌｉｃｙ６２１の情報である対策信頼閾値の交換が行われ、そのうちの値の大きいものが両者間での対策信頼閾値として採用される。
【０２４７】
Ｓ４９９では、対策依頼元である自ＩＳＰ１００と対策依頼先である隣接ＩＳＰ３００との間でタイムゾーン（地域別時間帯情報）の交換が行われる。これは、双方で対策内容の記録を行うときの時刻情報をローカル時間で表わすことを可能にして利便性を向上させる等の用途のために行われるものである。
【０２４８】
このＳ４９９の手順が終了したときには図２３の手順へ戻る。
以上の組織間ポリシー交換手順が行われることによって、ネットワーク運用に関するセキュリティポリシーに組織間で違いが存在していても、その違いを調整した上での不正アクセスに対する対策を依頼先に実施してもらうことができるようになる。
【０２４９】
図２３においてＳ４６２に続いて行われるＳ４６３では、前述したＳ４５１の手順において取り出された不正アクセス通知が、対策依頼先である隣接ＩＳＰ３００へ転送される。なお、このとき、Ｓ４５１の手順において取り出された不正アクセス通知に示されている対策解除ポリシー及び対策信頼ポリシーの値と、前述した組織間ポリシー交換手順の実行によって採用された対策解除時間閾値及び対策信頼閾値とが異なっているときには、このときの対策解除時間閾値及び対策信頼閾値をそれぞれ対策解除ポリシー及び対策と対策信頼ポリシーの値として上書きした上で対策依頼先である隣接ＩＳＰ３００へ転送するようにする。
【０２５０】
Ｓ４６４では不正アクセス対策記録エンジン６１２へログ要求が送付され、上述したＳ４６０の手順またはＳ４６１からＳ４６３にかけての手順で行われた処理の内容の記録の依頼が行われる。なお、このログ要求には、Ｓ４５１の手順によって取得された不正アクセス通知が添付される。
【０２５１】
Ｓ４６５では、Ｓ４５４の不正アクセス対策実施場所決定手順で求めた対策実施場所数を１減らし、その後はＳ４５６へ手順を戻して上述した処理が繰り返される。
ところで、前述したＳ４５３の手順における判定の結果がＹｅｓであったときには、その後も不正アクセス通知の転送がＩＳＰ間で繰り返される（不正アクセス通知がループしている）だけで不正アクセスに対する対策が全くなされてないおそれがあると見ることができる。
【０２５２】
そこで、この場合には、まず、Ｓ４６６において、不正アクセス対策記録制御エンジン６１２へログ要求が送付され、ループしている不正アクセス通知を取得した旨の記録の依頼が行われる。なお、このログ要求には、Ｓ４５１の手順によって取得された不正アクセス通知が添付される。
【０２５３】
その後は、Ｓ４６７において、Ｓ４５１で取り出された不正アクセス通知を送付してきた通知元（すなわち不正アクセス対策依頼の依頼元）のＩＳＰの不正アクセス対策マネージャサイト６００に指示を与えて、そこで実行されている不正アクセス対策制御手順をＳ４５９から開始させることにより、この不正アクセス通知に係る不正アクセスに対する対策をそのＩＳＰ内で実施させるようにする。
【０２５４】
ところで、前述したＳ４５２の手順における判定の結果がＹｅｓであったとき、すなわちＳ４５１の手順において取り出された不正アクセス通知に示されている前述したアクションが「対策中止」とされていたならば、Ｓ４６８において、この不正アクセス通知に係る不正アクセスへの対策が自ＩＳＰ１００の管理する境界ルータ１１３で行われているか否かがＬｏｇＤＢ６２２に記録されている履歴を参照することによって判定される。
【０２５５】
そして、このＳ４６８の判定結果がＹｅｓならば、Ｓ４６９において、この対策が実施中である境界ルータ１１３を制御する不正アクセス対策実施エージェントサイト８００に対して不正アクセス対策中止要求が送付され、その後はＳ４７３に手順を進める。
【０２５６】
この不正アクセス対策中止要求には対策を中止させる境界ルータ１１３を特定する情報が示されており、更にＳ４５１の処理で取り出されていた不正アクセス通知が添付されている。この要求を受け取った不正アクセス対策実施エージェントサイト８００では、不正アクセス対策実施エンジン８１１によって不正アクセス対策実施手順が実行される。不正アクセス対策実施手順については後述する。
【０２５７】
一方、Ｓ４６８の判定結果がＮｏならば、Ｓ４７０において、前述したＳ４６１と同様の図２５の組織間認証手順が行われ、続くＳ４７１において、前述したＳ４５１の手順において取り出された不正アクセス通知が、対策依頼先である隣接ＩＳＰ３００へ転送される。
【０２５８】
Ｓ４７２では、不正アクセス対策記録エンジン６１２へログ要求が送付され、上述したＳ４６９の手順またはＳ４７０からＳ４７１にかけての手順で行われた処理の内容の記録の依頼が行われ、その後はＳ４５１へ手順を戻して上述した手順が繰り返される。なお、このログ要求には、Ｓ４５１の手順によって取得された不正アクセス通知が添付される。
【０２５９】
以上の不正アクセス対策制御手順が行われることによって、不正なアクセスへの対策の実施が指示されて顧客サイト２００のＷｅｂシステム２０１が不正なアクセスから保護される。
【０２６０】
次に図２７について説明する。同図は不正アクセス対策実施エンジン８１１に行われる不正アクセス対策実施手順の内容をフローチャートで示したものである。
まず、Ｓ５５１において、不正アクセス対策マネージャサイト６００から送られてきた不正アクセス対策についての要求が取得される。
【０２６１】
Ｓ５５２では、対策実施機器である境界ルータ１１３についての固有情報のうちの「ルータタイプ」、「ルータＩＰ」、「ルータＰＷ」の情報が運用管理システム６５０から取得される。
【０２６２】
Ｓ５５３では、Ｓ５５１の手順において取得された不正アクセス対策についての要求に含まれている不正アクセス通知が参照され、この通知の「アクション」の内容に従い、不正アクセス対策を実施させる、あるいは実施中の不正アクセス対策を中止させるための設定が、境界ルータ１１３に対して行われる。ここで不正アクセス対策を実施させる場合には、不正アクセス通知の「対策実施方法」に示されている方法での不正アクセス対策の実施設定が境界ルータ１１３に対して行われる。
【０２６３】
なお、この境界ルータ１１３への設定のためにＳ５５２の手順によって取得された各情報が使用され、境界ルータ１１３はこれらの設定が行なわれることによって決定に係る方法による不正アクセス対策が開始若しくは中止される。
【０２６４】
Ｓ５５４では、Ｓ５５３の手順によって境界ルータ１１３に対してなされた設定が、不正アクセス対策の実施を示すものであったか否かが判定される。この判定結果がＹｅｓならばＳ５５５においてスレットの分岐が行われ、その一方ではＳ５５１からＳ５５５にかけての繰り返しの手順が実行され、他方ではＳ５５６からＳ５６０にかけての手順が実行される。一方、Ｓ５５４の判定結果がＮｏ、すなわちＳ５５３の手順によって境界ルータ１１３に対してなされた設定が不正アクセス対策の中止を示すものであったならば、Ｓ５５１へ手順を戻して上述した手順が繰り返される。
【０２６５】
Ｓ５５６では、Ｓ５５３の手順で境界ルータ１１３に対して設定された不正アクセス対策の状況が取り出される。
Ｓ５５７では、この対策の状況が、不正アクセス対策の中止を示すものであったか否かが判定され、この判定結果がＹｅｓならばＳ５５５の手順によって分岐させたこのＳ５５６からＳ５６０にかけてのスレッドを直ちに終了させる。
【０２６６】
一方、Ｓ５５７の判定結果がＮｏ、すなわちＳ５５３の手順によって境界ルータ１１３に対してなされた設定が不正アクセス対策の実施を示すものであったならば、Ｓ５５８において、トラフィックＤＢ８２０に記録されている境界ルータ１１３が通過させたトラフィックについての情報が参照され、Ｓ５５１の手順において取得された不正アクセス対策についての要求に含まれている不正アクセス通知に示されている対策解除ポリシーの時間を超えて不正アクセスであるパケットが継続して境界ルータ５０３に到来していないかどうかが判定される。
【０２６７】
そして、このＳ５５８の判定結果がＹｅｓ、すなわち対策解除ポリシーの時間を超えて不正アクセスであるパケットが継続して到来していないのであればＳ５５９に手順を進め、一方、この判定結果がＮｏ、すなわち不正アクセスであるパケットが依然として到来しているかあるいは不正アクセスであるパケットが到来していない継続時間が対策解除ポリシーの時間に未だ満たないときにはＳ５５６へ手順を戻して上述した手順が繰り返される。
【０２６８】
Ｓ５５９では、境界ルータ１１３が制御されて前述したＳ５５３の手順で設定された不正アクセス対策が解除される。
Ｓ５６０では、不正アクセス対策マネージャサイト６００へログ要求が送付され、対策の実施解除の記録の依頼が行われる。なお、このログ要求には、Ｓ５５３の手順によって参照された不正アクセス通知が添付される。
【０２６９】
Ｓ５６０の手順を終えた後にはＳ５５５の手順によって分岐させたこのＳ５５６からＳ５６０にかけてのスレッドを終了させる。
以上の不正アクセス対策実施手順が行われることによって、不正なアクセスへの対策が実施されて顧客サイト２００のＷｅｂシステム２０１が不正なアクセスから保護される。
【０２７０】
次に図２８について説明する。同図は不正アクセス対策記録制御エンジン６１２によって行われる不正アクセス対策記録手順の内容をフローチャートで示したものである。
まず、Ｓ６５１において、不正アクセス対策制御エンジン６１１または不正アクセス対策実施エージェントサイト８００から送られてくるログ要求が取り出される。
【０２７１】
Ｓ６５２では、現在の時刻、対策が実施されあるいは対策が中止される場所である境界ルータ１１３や隣接ＩＳＰ３００を特定する情報、自ＩＳＰ１００でなされた処置の内容を示すアクション（「対策実施」、「対策転送」、「対策中止」、「対策解除」）、及びＳ６５１において取り出されたログ要求に添付されている不正アクセス通知の内容とがログに記録されてＬｏｇＤＢ６２２に格納される。
【０２７２】
Ｓ６５３では、上述したアクションの内容が「対策解除」であって、Ｓ６５１において取り出されたログ要求に添付されている不正アクセス通知における「所属ＩＳＰ」が自ＩＳＰ１００と異なっている、すなわちこの不正アクセス通知が他のＩＳＰにおいて生成されて転送されてきたものであるか否かが判定される。そして、この判定結果がＹｅｓならば、Ｓ６５４において、前述したものと同様の図２５の組織間認証手順が行われ、続くＳ６５５において、その不正アクセス通知における「所属ＩＳＰマネージャＩＰ」に示されているアドレスへ宛てて、Ｓ６５１の手順において取り出されたログ要求が転送される。
【０２７３】
Ｓ６５５の手順を終えたとき、またはＳ６５３の判定結果がＮｏｗであったときには、Ｓ６５１へと手順を戻し、以降は上述した手順が繰り返される。
以上の不正アクセス対策記録手順が行われることにより、自ＩＳＰ１００の管理者は顧客サイト２００に対する不正アクセスへの対処の状況をこの履歴の記録から把握することができるようになる。
【０２７４】
なお、本発明を実施する不正アクセス対処システムの各構成要素によって実行される各種の制御プログラムをコンピュータで読み取り可能な記録媒体に記録させ、その制御プログラムを記録媒体からコンピュータに読み出させて実行させることによって本発明を実施するようにしてもよい。
【０２７５】
記録させた制御プログラムをコンピュータで読み取ることの可能な記録媒体の例を図２９に示す。このような記録媒体としては、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学作用によって蓄積し、コンピュータから読み取ることができるものであればよく、このような記録媒体としては、同図に示すように、例えば、コンピュータ９０１に内蔵若しくは外付けの付属装置として備えられるＲＡＭ若しくはＲＯＭ又はハードディスク装置などのメモリ９０２、あるいはフレキシブルディスク、ＭＯ（光磁気ディスク）、ＣＤ−ＲＯＭ、ＣＤ−Ｒ／Ｗ、ＤＶＤ、８ｍｍテープ、メモリカードなどといった可搬型記録媒体９０３等が利用できる。
【０２７６】
また、記録媒体は通信回線９０４を介してコンピュータ９０１と接続される、プログラムサーバ９０５として機能するコンピュータが備えている記憶装置９０６であってもよい。この場合には、制御プログラムを表現するデータ信号で搬送波を変調して得られる伝送信号を、プログラムサーバ９０５から伝送媒体である通信回線９０４を通じて伝送するようにし、コンピュータ９０１では受信した伝送信号を復調して制御プログラムを再生することで当該制御プログラムを実行できるようになる。
【０２７７】
ここで、伝送媒体としては、有線通信媒体、例えば、同軸ケーブルおよびツイストペアケーブルを含む金属ケーブル類、光通信ケーブル等、または、無線通信媒体、例えば、衛星通信、地上波無線通信等のいずれでもよい。
【０２７８】
また、搬送波は、データ通信信号を変調するための電磁波または光である。但し、搬送波は直流信号でもよい。この場合にはデータ通信信号は搬送波がないベースバンド波形になる。したがって、搬送波に具現化されたデータ通信信号は、変調されたブロードバンド信号を変調されていないベースバンド信号（電圧０の直流信号を搬送波とした場合に相当）のいずれでもよい。
【０２７９】
その他、本発明は、上述した実施形態に限定されることなく、本発明の要旨を逸脱しない範囲内で種々の改良・変更が可能である。
（付記１） 通信ネットワーク上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成する対策実施状況画面生成手段と、
前記トラフィックの種別毎になされる前記対策の実施の指示若しくは実施中である該対策の中止の指示を取得する対策実施指示取得手段と、
前記対策を実施させる制御若しくは実施中である該対策を中止させる制御を前記指示に基づいて行う対策実施制御手段と、
を有することを特徴とする不正アクセス対処システム。
【０２８０】
（付記２） 通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定手段と、
前記決定に基づいた手法によって前記対策を実施させる制御を行う対策実施制御手段と、
を有することを特徴とする不正アクセス対処システム。
【０２８１】
（付記３） 通信ネットワーク上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成する対策実施状況画面生成処理と、
前記トラフィックの種別毎になされる前記対策の実施の指示若しくは実施中である該対策の中止の指示を取得する対策実施指示取得処理と、
前記対策を実施させる制御若しくは実施中である該対策を中止させる制御を前記指示に基づいて行う対策実施制御処理と、
をコンピュータに行わせるための不正アクセス対処処理プログラム。
【０２８２】
（付記４） 前記位置を通過したトラフィックが流入する流入先へ前記画面が表現されているデータを送付するデータ送付処理を更に前記コンピュータに行わせ、
前記対策実施指示取得処理は、前記指示を前記流入先から取得する処理を前記コンピュータに行わせる、
ことを特徴とする付記３に記載の不正アクセス対処処理プログラム。
【０２８３】
（付記５） 前記対策実施状況画面生成処理は、実施中である前記対策が対象としている種別毎のトラフィックを、該種別のトラフィックを対象としてなされていた該対策が過去において中止されることなく実施された割合の低い順に並べてなる画面を生成する処理を前記コンピュータに行わせることを特徴とする付記３に記載の不正アクセス対処処理プログラム。
【０２８４】
（付記６） 前記対策実施制御処理の実行によって行われた制御の履歴を記録する対策実施履歴記録処理を更に前記コンピュータに行わせ、
前記対策実施状況画面生成処理は、前記履歴に基づいて前記画面を生成する処理を前記コンピュータに行わせる、
ことを特徴とする付記５に記載の不正アクセス対処処理プログラム。
【０２８５】
（付記７） 前記対策実施状況画面生成処理は、前記対策が実施中ではない種別毎のトラフィックを、該種別のトラフィックの前記位置の通過量の多い順に並べてなる画面を生成する処理を前記コンピュータに行わせることを特徴とする付記３に記載の不正アクセス対処処理プログラム。
【０２８６】
（付記８） 前記対策実施制御処理は、
前記不正なアクセスの前記通信ネットワークへの流入路の探索を行う探索処理と、
前記対策を実施する場所の決定を前記探索の結果に基づいて行う対策実施場所決定処理と、
前記不正なアクセスを前記通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて、該決定と前記対策実施指示取得処理の実行によって取得された指示との通知を該流入元へ行う通知処理と、
を前記コンピュータに行わせることを特徴とする付記３に記載の不正アクセス対処処理プログラム。
【０２８７】
（付記９） 前記通知処理は、前記不正なアクセスの流入元との間で相互認証を行った後に前記通知を該流入元へ行う処理を前記コンピュータに行わせることを特徴とする付記８に記載の不正アクセス対処処理プログラム。
【０２８８】
（付記１０） 前記通知処理は、前記不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前記通知を該流入元へ行う処理を前記コンピュータに行わせることを特徴とする付記８に記載の不正アクセス対処処理プログラム。
【０２８９】
（付記１１） 通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定処理と、
前記決定に基づいた手法によって前記対策を実施させる制御を行う対策実施制御処理と、
をコンピュータに行わせるための不正アクセス対処処理プログラム。
【０２９０】
（付記１２） 前記対策手法決定処理は、前記決定の結果としてＡＣＬ（アクセス・コントロール・リスト）フィルタと流量制御とが選択可能であるときには、前記割合が所定の閾値よりも大きい場合にＡＣＬフィルタを選択し、該割合が該所定の閾値よりも小さい場合に流量制御を選択する処理を前記コンピュータに行わせることを特徴とする付記１１に記載の不正アクセス対処処理プログラム。
【０２９１】
（付記１３） 前記対策手法決定処理は、前記決定の結果としてＡＣＬ（アクセス・コントロール・リスト）フィルタとキュー制御とが選択可能であるときには、前記割合が所定の閾値よりも大きい場合にＡＣＬフィルタを選択し、該割合が該所定の閾値よりも小さい場合にキュー制御を選択する処理を前記コンピュータに行わせることを特徴とする付記１１に記載の不正アクセス対処処理プログラム。
【０２９２】
（付記１４） 前記対策手法決定処理は、前記決定の結果として流量制御とキュー制御とが選択可能であるときには、前記割合が所定の閾値よりも大きい場合に流量制御を選択し、該割合が該所定の閾値よりも小さい場合にキュー制御を選択する処理を前記コンピュータに行わせることを特徴とする付記１１に記載の不正アクセス対処処理プログラム。
【０２９３】
（付記１５） 前記対策実施制御処理の実行によって行われた制御の履歴を記録する対策実施履歴記録処理を更に前記コンピュータに行わせ、
前記対策手法決定処理は、前記履歴に基づいて前記対策の手法を決定する処理を前記コンピュータに行わせる、
ことを特徴とする付記１１に記載の不正アクセス対処処理プログラム。
【０２９４】
（付記１６） 前記対策実施制御処理は、
前記不正なアクセスの前記通信ネットワークへの流入路の探索を行う探索処理と、
前記対策を実施する場所の決定を前記探索の結果に基づいて行う対策実施場所決定処理と、
前記不正なアクセスを前記通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて、該決定と前記対策手法決定処理の実行によって決定された手法との通知を該流入元へ行う通知処理と、
を前記コンピュータに行わせることを特徴とする付記１１に記載の不正アクセス対処処理プログラム。
【０２９５】
（付記１７） 前記通知処理は、前記不正なアクセスの流入元との間で相互認証を行った後に前記通知を該流入元へ行う処理を前記コンピュータに行わせることを特徴とする付記１６に記載の不正アクセス対処処理プログラム。
【０２９６】
（付記１８） 前記通知処理は、前記不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前記通知を該流入元へ行う処理を前記コンピュータに行わせることを特徴とする付記１６に記載の不正アクセス対処処理プログラム。
【０２９７】
（付記１９） 前記セキュリティポリシーに関する情報は、前記対策手法決定処理の実行によって前記対策の手法を決定するときの基準とする前記割合についての閾値を示す情報であることを特徴とする付記１８に記載の不正アクセス対処処理プログラム。
【０２９８】
（付記２０） 前記セキュリティポリシーに関する情報によって示されている閾値が前記通信ネットワークと前記流入元とで異なっているときには、前記対策手法決定処理の実行において、両者のうちその値が大きい方を、前記対策の手法を決定するときの基準とする前記割合についての閾値とすることを特徴とする付記１９に記載の不正アクセス対処処理プログラム。
【０２９９】
（付記２１） 通信ネットワーク上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成し、
前記トラフィックの種別毎になされる前記対策の実施の指示若しくは実施中である該対策の中止の指示を取得し、
前記指示に基づいて前記対策を実施させ若しくは実施中である該対策を中止させる、
ことを特徴とする不正アクセス対処方法。
【０３００】
（付記２２） 通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定し、
前記決定に基づいた手法によって前記対策を実施させる、
ことを特徴とする不正アクセス対処方法。
【０３０１】
（付記２３） 通信ネットワーク上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成する対策実施状況画面生成処理と、
前記トラフィックの種別毎になされる前記対策の実施の指示若しくは実施中である該対策の中止の指示を取得する対策実施指示取得処理と、
前記対策を実施させる制御若しくは実施中である該対策を中止させる制御を前記指示に基づいて行う対策実施制御処理と、
をコンピュータに行わせるための不正アクセス対処処理プログラムを記録した該コンピュータで読み取り可能な記録媒体。
【０３０２】
（付記２４） 通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定処理と、
前記決定に基づいた手法によって前記対策を実施させる制御を行う対策実施制御処理と、
をコンピュータに行わせるための不正アクセス対処処理プログラムを記録した該コンピュータで読み取り可能な記録媒体。
【符号の説明】
【０３０３】
１０、３０ 不正アクセス対処システム
１１ 対策実施状況画面生成手段
１２ 対策実施指示取得手段
１３、３２ 対策実施制御手段
１３−１、３２−１ 探索手段
１３−２、３２−２ 対策実施場所決定手段
１３−３、３２−３ 通知手段
１４ データ送付手段
１５、３３ 対策実施履歴記録手段
２０ 通信ネットワーク
３１ 対策方法決定手段
１００ 自ＩＳＰ
１０１ ＩＳＰネットワーク
１１０ 顧客境界ルータ
１１１ ＩＳＰ境界ルータ
１１２ ＰＯＰ境界ルータ
１１３、２００１、２００２、２００３、３００１、４００１ 境界ルータ
１２０ ＩＤＳ
１３０ 不正アクセス対策サイト
１３１、７０１ 不正アクセス通知部
１３２、７０２ 不正アクセス対策ＵＩ部
１３３、６０４ 不正アクセス対策方法決定部
１３４、８０２−１、８０２−２ 不正アクセス対策実施部
１３５、６０６ 不正アクセス対策制御部
１３６、７０３、８０１−１、８０１−２ トラフィックモニター部
１３７、６０１ 不正アクセス対策記録部
１４０ 不正アクセス対策プログラム
１４１、６１１ 不正アクセス対策制御エンジン
１４２、７１２ 不正アクセス対策ＵＩエンジン
１４３、７１１ 不正アクセス通知エンジン
１４４、８１１ 不正アクセス対策実施エンジン
１４５、７１３、８１２ トラフィックモニターエンジン
１４６、６１２ 不正アクセス対策記録制御エンジン
１４７、６１３、７１４、８１３ ＩＯ制御エンジン
１５０ 設定情報
１５１、７２０、８２０ トラフィックＤＢ
１５２、６２２ ＬｏｇＤＢ
２００、１０００ 顧客サイト
２０１、１００１ Ｗｅｂシステム
２０２ 不正アクセス対策サービス利用者端末
２０３、１００２ ファイアウォール
３００ 隣接ＩＳＰ
４００ 非常時接続利用者端末
５０１ ＣＰＵ
５０２ ＲＡＭ
５０３ ＲＯＭ
５０４ ＨＤＤ
５０５ 入力部
５０６ 出力部
５０７ 通信インタフェース
５０８ バス
６００ 不正アクセス対策マネージャサイト
６０２ 組織間ポリシー交換部
６０３ 組織間認証部
６０５ 不正アクセス対策場所決定部
６１０ 不正アクセス対策マネージャプログラム
６２０ 証明書
６２１ Ｐｏｌｉｃｙ
６５０ 運用管理システム
６６０ ＩＳＰ管理端末
７００ 不正アクセス通知エージェントサイト
７１０ 不正アクセス通知プログラム
８００、８００−１、８００−２ 不正アクセス対策実施エージェントサイト
８１０ 不正アクセス対策実施プログラム
９００ ＩＳＰ不正アクセス対処システム専用ネットワーク
９０１ コンピュータ
９０２ メモリ
９０３ 可搬型記録媒体
９０４ 回線
９０５ プログラムサーバ
２０００ ＩＳＰ−Ａ
２００４ ルータ
２１００、３１００ 攻撃者端末
３０００ ＩＳＰ−Ｂ
３２００、４１００ 正規利用者端末
４０００ ＩＳＰ−Ｃ
【技術分野】
【０００１】
本発明は、通信ネットワークにおける不正アクセス対策技術に関し、特に、例えばインターネットサービスプロバイダ（ＩＳＰ）が顧客に提供する不正アクセス対策サービスの実施技術に関するものであり、とりわけ、分散型サービス不能化攻撃に代表される不正アクセス攻撃に対して効果的な対策実施技術に関するものである。
【背景技術】
【０００２】
サービス不能化攻撃（ＤｏＳ：Denial of Services）とは、故意にシステムリソース許容限度を越えた処理要求を送出することにより、システムを停止または不能化させる攻撃で、正当な処理要求と不当な処理要求との区別が難しいという特徴がある。その内特に攻撃元がネットワーク上に多数分散している形態の攻撃を分散型サービス不能化攻撃（ＤＤｏＳ：Distributed Denial of Services、以下「ＤＤｏＳ攻撃」と称する）という。このＤＤｏＳ攻撃については非特許文献１に詳説されている。
【０００３】
ＤＤｏＳ攻撃に対する従来の対処技術は、基本的にＩＤＳ（侵入検知システム：Intrusion Detection System）による不正アクセス検出技術とパケット制御による防御技術とからなっている。また、攻撃元に近い場所で防御を行うために攻撃元探索技術を備えている場合もある。更に、組織間の壁を越えて攻撃元に近い場所で防御するために複数組織間連携技術を備えている場合もある。
【０００４】
ＤＤｏＳ攻撃への対処を実現するための技術アプローチは、ＩＰプロトコル拡張や新規プロトコルの実装をしたルータを必要とする既存ルータ置換タイプと、既存のルータの変更を必要としない既存ルータ利用タイプの２つに大別される。特許文献１に開示されている技術は前者の例であり、特許文献２に開示されている技術は後者の例である。
【０００５】
なお、ＤＤｏＳ攻撃に関する技術情報の所在は非特許文献２が詳しい。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００２−１６４９３８号公報
【特許文献２】特開２００２−１６６３３号公報
【非特許文献】
【０００７】
【非特許文献１】ケビン・Ｊ・ホール（Kevin J Houle ）、ジョージ・Ｍ・ウィーバ（George M. Weaver）共著、「トレンズ・イン・デナイアル・オブ・サービス・アタック・テクノロジ（Trends in Denial of Service Attack Technology）」、［online］、２００１年１０月、サート・コーディネーション・センタ（CERT Coordination Center）、［平成１５年２月１７日検索］、インターネット＜ＵＲＬ：http://www.cert.org/archive/pdf/DoS_trends.pdf＞
【非特許文献２】デイブ・ディトリッチ（Dave Dittrich ）、「ディストリビューティッド・デナイアル・オブ・サービス（ディーディーオーエス）・アタックス／ツールズ（Distributed Denial of Service (DDoS) Attacks/tools）」、［online］、［平成１５年２月１７日検索］、インターネット＜ＵＲＬ：http://staff.washington.edu/dittrich/misc/ddos/＞
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ところで、ＤＤｏＳ攻撃に対する従来の対処技術が利用するＩＤＳによる不正アクセス検出技術とパケット制御による防御技術とには、各々以下のような潜在的な問題を有している。図３０を用いてこの問題を説明する。
【０００９】
図３０に示したネットワーク構成例において、顧客サイト１０００はＷｅｂサービスを提供するＷｅｂシステム１００１を運用しており、更に、Ｗｅｂシステム１００１への不正侵入を防護するためのファイアウォール１００２を設置している。Ｗｅｂシステム１００１はファイアウォール１００２を介して境界ルータ２００１に接続されている。
【００１０】
境界ルータ２００１はインターネットサービスプロバイダであるＩＳＰ−Ａ２０００によって管理されている。ＩＳＰ−Ａ２０００は、ネットワーク上でＩＳＰ−Ａ２０００に隣接しているインターネットサービスプロバイダであるＩＳＰ−Ｂ３０００と境界ルータ２００２を介して接続されており、更にネットワーク上でＩＳＰ−Ａ２０００に隣接しているインターネットサービスプロバイダであるＩＳＰ−Ｃ４０００と境界ルータ２００３を介して接続されており、これらもＩＳＰ−Ａ２０００によって管理されている。
【００１１】
また、境界ルータ２００１、２００２、２００３は、ＩＳＰ−Ａ２０００によって管理されているルータ２００４を介して相互に接続されている。なお、ＩＳＰ−Ａ２０００の利用者によって使用される端末は、このルータ２００４に接続することによってＩＳＰ−Ａ２０００が利用可能となる。
【００１２】
ＩＳＰ−Ｂ３０００は境界ルータ３００１を管理しており、ＩＳＰ−Ｂ３０００の利用者によって使用される端末は、境界ルータ３００１に接続することによってＩＳＰ−Ｂ３０００が利用可能となる。
【００１３】
また、ＩＳＰ−Ｃ４０００は境界ルータ４００１を管理しており、ＩＳＰ−Ｃ４０００の利用者によって使用される端末は、境界ルータ４００１に接続することによってＩＳＰ−Ｃ４０００が利用可能となる。
【００１４】
なお、境界ルータ２００１、２００２、２００３、３００１、４００１及びルータ２００４にはＩＤＳが設置されている。
以上の構成を有するネットワークを例にして、従来のＤＤｏＳ攻撃への対処技術についての問題点を説明する。
【００１５】
まず、ＩＤＳには誤検知の問題がある。
ＩＤＳの誤検知には、実際には攻撃ではなかったのに検知してしまったいわゆるフォルス・ポジティブ（False-Positive）のケースと、実際に攻撃を受けていたのに検知しなかったいわゆるフォルス・ネガティブ（False-Negative）のケースとがある。
【００１６】
図３０に示したネットワーク構成において、例えば正規の利用者が正規利用者端末４１００を使用してＷｅｂシステム１００１によるＷｅｂサービスを利用するには、まず、正規利用者端末４１００を境界ルータ４００１に接続し、正規利用者端末４１００からＷｅｂシステム１００１への正規なアクセスを境界ルータ４００１、境界ルータ２００３、ルータ２００４、及び境界ルータ２００１を経由して行うことになる。このときに、例えば境界ルータ２００３に設置されているＩＤＳがこの正規なアクセスを不正なアクセスであると誤検知してしまい、境界ルータ２００３がこの正規なアクセスを遮断してしまうケースがフォルス・ポジティブのケースである。
【００１７】
また、例えばＷｅｂシステム１００１へのＤＤｏＳ攻撃を目論んでいる攻撃者が攻撃者端末２１００を使用してＷｅｂシステム１００１を攻撃するときには、まず、攻撃者端末２１００を境界ルータ２００４に接続し、攻撃者端末２１００からＷｅｂシステム１００１への不正なアクセスをルータ２００４及び境界ルータ２００１を経由して行うことになる。このときに、例えばルータ２００４に設置されているＩＤＳがこの不正なアクセスを正規なアクセスであると誤検知してしまい、ルータ２００４がこの不正なアクセスを通過させてしまうケースがフォルス・ネガティブのケースである。
【００１８】
ＩＤＳによる不正アクセスの検出手法には、大きく分けてパケットパターンマッチングによるシグネチュア（Signature ）型とトラフィックの異常状態検出によるアノマリ（Anomaly ）型との２つの手法があるが、そのどちらにもこの誤検知の問題は潜在的に存在する。この誤検知は、ある程度減らすことはできるものの本質的にゼロにすることはできない。
【００１９】
一方、防御技術には正規利用者への影響の問題がある。すなわち、サービス不能化攻撃のパケット（攻撃パケット）と正規利用者のパケット（正規パケット）との区別が難しいため、攻撃パケットのみならず正規パケットもブロックしてしまうという問題である。
【００２０】
図３０において、例えばＷｅｂシステム１００１へのＤＤｏＳ攻撃を行う攻撃者が攻撃者端末３１００を操作して境界ルータ３００１に接続し、攻撃者端末３１００からＷｅｂシステム１００１への不正なアクセスを行っていることを境界ルータ３００１に設置されているＩＤＳが検知したときには、境界ルータ３００１がこの不正なアクセスを遮断する。ところが、このアクセスの遮断によって、正規の利用者が正規利用者端末３２００を使用してＷｅｂシステム１００１によるＷｅｂサービスを利用するための正規なアクセスまでもが阻止されてしまうというものがこの問題である。
【００２１】
これは、不正なアクセスである攻撃パケットと正規なアクセスである正規パケットとは基本的には同じものであるから、パケットのみを比べることにより両者を区別することはできないことに起因する。
【００２２】
以上の点をまとめると、ＤＤｏＳ攻撃に対する従来の対処技術には以下の課題がある。
・攻撃を受けていないのに対策を実施してしまっている状態、あるいは、攻撃を受けているのに対策を実施していない状態が生じた場合でも、不正アクセス攻撃にできるだけ正しく対処できるようにする。
・ＤＤｏＳ攻撃への対策が実施されているときに、正規利用者が受ける影響をできるだけ少なくする。
【００２３】
本発明は、このような従来技術の有している課題に鑑みてなされたものであり、その解決しようとする課題は、不正アクセス検知の誤動作によって、攻撃されている組織が被る被害や正規利用者が受ける影響を少なくすることのできる不正アクセス着信拒否技術を提供することである。
【課題を解決するための手段】
【００２４】
上述した課題を解決するための手段について、図１及び図２を参照しながら説明する。
図１は本発明を実施する不正対処システムの第一の原理構成を示している。
図１において、不正アクセス対処システム１０は対策実施状況画面生成手段１１、対策実施指示取得手段１２、対策実施制御手段１３、データ送付手段１４、及び対策実施履歴記録手段１５を各々必要に応じて備える。ここで、対策実施制御手段１３は探索手段１３−１、決定手段１３−２、及び通知手段１３−３を必要に応じて備える。
【００２５】
図１における不正アクセス対処システム１０では、通信ネットワーク２０上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成する対策実施状況画面生成手段１１と、このトラフィックの種別毎になされる該対策の実施の指示若しくは実施中である該対策の中止の指示を取得する対策実施指示取得手段１２と、該対策を実施させる制御若しくは実施中である該対策を中止させる制御をこの指示に基づいて行う対策実施制御手段１３とを有するように構成することにより、前述した課題を解決する。
【００２６】
この構成によれば、対策実施状況画面生成手段１１によって生成された画面を参照すれば、上述したトラフィックのうち不正アクセス対策が実施中であるものとその対策が実施されていないものとの区別が直ちに認識できる。従って、システム管理者はＩＤＳによる不正アクセス検知の誤動作に起因する不正アクセス対策の実施・非実施の誤りをこの画面から見つけ出すことができる。また、対策実施指示取得手段１２によって取得された指示に従った不正アクセス対策の実施・中止の制御を対策実施制御手段１３が行うので、不正アクセス対策の実施・非実施の誤りを見つけたときにこの誤りを正すための指示を管理者が行うことで不正アクセス対策を適切なものとすることができる。この結果、不正アクセス検知の誤動作が生じても攻撃を受けている組織が被る被害や正規利用者が受ける影響を少なくすることができる。
【００２７】
なお、上述した本発明に係る不正アクセス対処システム１０において、前述した位置を通過したトラフィックが流入する流入先へ前記画面が表現されているデータを送付するデータ送付手段１４を更に有し、対策実施指示取得手段１２は、前述した指示をこの流入先から取得するようにしてもよい。
【００２８】
こうすることにより、流入先のシステムの管理者等が、不正アクセス検知の誤動作に起因する不正アクセス対策の実施・非実施の誤りをこの画面から見つけ出してこの誤りを正すための指示をすることができるようになる。
【００２９】
また、前述した本発明に係る不正アクセス対処システム１０において、対策実施状況画面生成手段１１は、実施中である該対策が対象としている種別毎のトラフィックを、該種別のトラフィックを対象としてなされていた該対策が過去において中止されることなく実施された割合の低い順に並べてなる画面を生成するようにしてもよい。
【００３０】
ある種別のトラフィックに対してなされていた対策が中止される場合は、その種別のトラフィックは正規のアクセスであったのに対策が実施されてしまっていた場合、すなわち、フォルス・ポジティブの誤動作が発生していた場合であると考えられる。よって、上述したようにして生成された画面には、過去におけるフォルス・ポジティブの誤動作の発生の多い順、つまり不正アクセス対策が誤実施されている可能性の高い順に種別毎のトラフィックが並べられることとなる。従って、この画面を参照することにより、システム管理者は不正アクセス対策が誤実施されている可能性の高い順に誤実施の発生の有無を判定することができ、不正アクセス対策をより素早く適切なものとすることができる。
【００３１】
なお、このとき、対策実施制御手段１３によって行われた制御の履歴を記録する対策実施履歴記録手段１５を更に有し、対策実施状況画面生成手段１１がこの履歴に基づいて前述した画面を生成するようにしてもよい。
【００３２】
こうすることにより、前述した対策が過去において中止されることなく実施されたトラフィックの種別毎の割合を対策実施状況画面生成手段１１で求めることができる。
また、前述した本発明に係る不正アクセス対処システム１０において、対策実施状況画面生成手段１１は、該対策が実施中ではない種別毎のトラフィックを、該種別のトラフィックの前述した位置の通過量の多い順に並べてなる画面を生成するようにしてもよい。
【００３３】
こうすることにより、適切な不正アクセス対策がされていない状態、すなわちフォルス・ポジティブの誤動作が発生すると多量であるがために影響の大きい順に種別毎のトラフィックが並べられて画面が生成されるので、この誤動作の発生の有無を判定することができ、不正アクセス対策をより素早く効果的なものとすることができる。
【００３４】
また、前述した本発明に係る不正アクセス対処システム１０において、対策実施制御手段１３が、前述した不正なアクセスの通信ネットワーク２０への流入路の探索を行う探索手段１３−１と、前述した対策を実施する場所の決定をこの探索の結果に基づいて行う対策実施場所決定手段１３−２と、該不正なアクセスを通信ネットワーク２０に流入させている流入元で前述した対策を実施するとの決定に応じて、該決定と対策実施指示取得手段１２の実行によって取得された指示との通知を該流入元へ行う通知手段１３−３とを有するように構成してもよい。
【００３５】
こうすることにより、前述した不正なアクセスへの対策を、通信ネットワーク２０にその不正アクセスを流入させている流入元で実施するとの決定がその流入元へ通知されるので、その流入元、すなわち不正アクセスの発信元により近い場所で不正アクセスの対策の実施が可能となる結果、分散型サービス不能化攻撃に対する効果的な対処が行えるようになる。
【００３６】
なお、このとき、通知手段１３−３が、不正なアクセスの流入元との間で相互認証を行った後に前述した通知を該流入元へ行うようにしてもよい。
こうすることにより、流入元になりすました第三者による前述した通知の窃取が防止される。
【００３７】
ここで、この相互認証のための流入元との接続プロトコルは例えばＨＴＴＰＳ（Hypertext Transfer Protocol Security）プロトコルであってもよく、また、この相互認証で用いられる認証方式は例えば公開鍵基盤（ＰＫＩ：Public Key Infrastructure ）であってもよく、また電子証明書は例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式であってもよい。
【００３８】
また、このとき、通知手段１３−３が、不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前述した通知を該流入元へ行うようにしてもよい。
【００３９】
こうすることにより、流入元とのセキュリティポリシーに違いが存在していても、その違いを調整した上での不正アクセスに対する対策を流入元に依頼することができるようになる。
【００４０】
次に図２について説明する。同図は本発明を実施する不正対処システムの第二の原理構成を示している。
図２において、不正アクセス対処システム３０は対策手法決定手段３１、対策実施制御手段３２、及び対策実施履歴記録手段３３を各々必要に応じて備える。ここで、対策実施制御手段３２は探索手段３２−１、決定手段３２−２、及び通知手段３２−３を必要に応じて備える。
【００４１】
図２における不正アクセス対処システム３０では、通信ネットワーク２０内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定手段３１と、この決定に基づいた手法によって該対策を実施させる制御を行う対策実施制御手段３２とを有するように構成することにより、前述した課題を解決する。
【００４２】
所定のトラフィックを対象としてなされた該対策が過去において中止される場合とは、そのトラフィックは正規のアクセスであったのに対策が実施されてしまっていた場合、すなわち、フォルス・ポジティブの誤動作が発生していた場合であると考えられる。よって、所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合とは、そのトラフィックに対する不正アクセス対策の実施の適切さの程度を示す指標と見ることができ、これは、視点を変えればその所定のトラフィックにおける正規アクセスと不正アクセスとの比を示している指標であると考えることもできる。従って、この割合に基づいて対策手法を選択することにより、例えば不正アクセスと共に正規なアクセスも多く含んでいるトラフィックに対しては、このトラフィックを完全に遮断するような対策を行わないようにすることができ、この結果、このトラフィックに含まれる正規アクセスが不正アクセス対策によって被る影響が軽減される。つまり、このトラフィックに含まれる正規アクセスの割合の程度に応じて適切な不正アクセス対策が実施されるので、不正アクセス検知の誤動作が生じても攻撃を受けている組織が被る被害や正規利用者が受ける影響が少なくなる。
【００４３】
なお、ここで、対策手法決定手段３１は、前述した決定の結果としてＡＣＬフィルタと流量制御とが選択可能であるときには、前述した割合が所定の閾値よりも大きい場合にＡＣＬフィルタを選択し、該割合が該所定の閾値よりも小さい場合に流量制御を選択するようにしてもよい。あるいは、前述した決定の結果としてＡＣＬフィルタとキュー制御とが選択可能であるときには、前述した割合が所定の閾値よりも大きい場合にＡＣＬフィルタを選択し、該割合が該所定の閾値よりも小さい場合にキュー制御を選択するようにしてもよい。また、前述した決定の結果として流量制御とキュー制御とが選択可能であるときには、前述した割合が所定の閾値よりも大きい場合に流量制御を選択し、該割合が該所定の閾値よりも小さい場合にキュー制御を選択するようにしてもよい。
【００４４】
なお、上述した本発明に係る不正アクセス対処システム３０において、対策実施制御手段３２によって行われた制御の履歴を記録する対策実施履歴記録手段３３を更に有し、対策手法決定手段３１は、この履歴に基づいて前述した対策の手法を決定するようにしてもよい。
【００４５】
こうすることにより、このトラフィックに対して前述した対策が過去において中止されることなく実施された割合を対策手法決定手段３１で求めることができる。
また、前述した本発明に係る不正アクセス対処システム３０において、対策実施制御手段３２が、不正なアクセスの通信ネットワーク２０への流入路の探索を行う探索手段３２−１と、この対策を実施する場所の決定をこの探索の結果に基づいて行う対策実施場所決定手段３２−２と、不正なアクセスを通信ネットワーク２０に流入させている流入元でこの対策を実施するとの決定に応じて、該決定と対策手法決定手段３１によって決定された手法との通知を該流入元へ行う通知手段３２−３とを有するように構成してもよい。
【００４６】
こうすることにより、前述した不正なアクセスへの対策を、通信ネットワーク２０にその不正アクセスに流入させている流入元で実施するとの決定がその流入元へ通知されるので、その流入元、すなわち不正アクセスの発信元により近い場所で不正アクセスの対策の実施が可能となる結果、分散型サービス不能化攻撃に対する効果的な対処が行えるようになる。
【００４７】
なお、このとき、通知手段３２−３が、不正なアクセスの流入元との間で相互認証を行った後に前述した通知を該流入元へ行うようにしてもよい。
こうすることにより、流入元になりすました第三者による前述した通知の窃取が防止される。
【００４８】
ここで、この相互認証のための流入元との接続プロトコルは例えばＨＴＴＰＳ（Hypertext Transfer Protocol Security）プロトコルであってもよく、また、この相互認証で用いられる認証方式は例えば公開鍵基盤（ＰＫＩ：Public Key Infrastructure ）であってもよく、また電子証明書は例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式であってもよい。
【００４９】
また、このとき、通知手段３２−３が、不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前述した通知を該流入元へ行うようにしてもよい。
【００５０】
こうすることにより、流入元とのセキュリティポリシーに違いが存在していても、その違いを調整した上での不正アクセスに対する対策を流入元に依頼することができるようになる。
【００５１】
なお、ここで、前記セキュリティポリシーに関する情報は、例えば対策手法決定手段３１によって前述した対策の手法を決定するときの基準とする前述した割合についての閾値を示す情報とすることができる。また、例えば、このセキュリティポリシーに関する情報によって示されている閾値が通信ネットワーク２０と流入元とで異なっているときには、対策手法決定手段３１において、両者のうちその値が大きい方を、この対策の手法を決定するときの基準とする前記割合についての閾値としてもよい。
【００５２】
こうすることにより、この閾値についてのセキュリティポリシーに違いが存在していても、両者のセキュリティポリシーで許容し得る対策を流入元に依頼することができる。
なお、上述した本発明に係る不正アクセス対処システムの各構成により行なわれる機能と同様の処理をコンピュータに行わせるプログラムであっても、そのプログラムをコンピュータに実行させることによって本発明に係る不正アクセス対処システムと同様の作用・効果が得られるので、前述した課題を解決することができる。
【００５３】
また、上述した本発明に係る不正アクセス対処システムの各構成により行なわれる手順からなる方法であっても、その方法を使用することによって本発明に係る不正アクセス対処システムと同様の作用・効果が得られるので、前述した課題を解決することができる。
【発明の効果】
【００５４】
以上詳細に説明したように、本発明は、通信ネットワーク上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成し、このトラフィックの種別毎になされる該対策の実施の指示若しくは実施中である該対策の中止の指示を取得し、この指示に基づいて該対策を実施させ若しくは実施中である該対策を中止させるようにする。
【００５５】
こうすることにより、システム管理者は不正アクセス検知の誤動作に起因する不正アクセス対策の実施・非実施の誤りをこの画面から見つけ出すことができ、また、この誤りを見つけたときにはこの誤りを正すための指示をシステム管理者が行うことで不正アクセス対策を適切なものとすることができる。
【００５６】
あるいは、本発明は、通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定し、この決定に基づいた手法によってこの対策を実施させるようにする。
【００５７】
こうすることにより、このトラフィックに含まれる正規アクセスの割合の程度に応じて適切な不正アクセス対策が実施される。
以上のように、本発明のいずれの構成によっても、不正アクセス検知の誤動作によって、攻撃されている組織が被る被害や正規利用者が受ける影響が少なくなるという効果を奏する。
【図面の簡単な説明】
【００５８】
【図１】本発明を実施する不正アクセス対処システムの第一の原理構成を示す図である。
【図２】本発明を実施する不正アクセス対処システムの第二の原理構成を示す図である。
【図３】本発明を実施する不正アクセス対処システムの構成の第一の例を示す図である。
【図４】不正アクセス対策プログラムの機能ブロックを示す図である。
【図５】設定情報のデータ構造を示す図である。
【図６】不正アクセスサイトとして使用されるコンピュータのハードウェア構成例を示す図である。
【図７】ユーザインタフェース画面の例を示す図である。
【図８】実施形態１におけるトラフィックモニター手順の内容を示す図である。
【図９】実施形態１におけるトラフィックＤＢのデータ構造を示す図である。
【図１０】不正アクセス通知手順の内容を示す図である。
【図１１】実施形態１における不正アクセス通知のデータ形式を示す図である。
【図１２】実施形態１における不正アクセスＵＩ手順の内容を示す図である。
【図１３】実施形態１における不正アクセス対策制御手段の内容を示す図である。
【図１４】不正アクセス対策方法決定手順の内容を示す図である。
【図１５】実施形態１における不正アクセス対策実施手順の内容を示す図である。
【図１６】実施形態１における不正アクセス記録手順の内容を示す図である。
【図１７】本発明を実施する不正アクセス対処システムの構成の第二の例を示す図である。
【図１８】図１７の各サイトで実行されるプログラムの機能ブロックを示す図である。
【図１９】実施形態２におけるトラフィックモニター手順の内容を示す図である。
【図２０】実施形態２におけるトラフィックＤＢのデータ構造を示す図である。
【図２１】実施形態２における不正アクセス通知のデータ形式を示す図である。
【図２２】実施形態２における不正アクセスＵＩ手順の内容を示す図である。
【図２３】実施形態２における不正アクセス対策制御手段の内容を示す図である。
【図２４】不正アクセス対策実施場所決定手順の内容を示す図である。
【図２５】組織間認証手順の内容を示す図である。
【図２６】組織間ポリシー交換手順の内容を示す図である。
【図２７】実施形態２における不正アクセス対策実施手順の内容を示す図である。
【図２８】実施形態２における不正アクセス記録手順の内容を示す図である。
【図２９】記録させた制御プログラムをコンピュータで読み取ることの可能な記録媒体の例を示す図である。
【図３０】従来の不正アクセス対処システムが抱えている問題点を説明する図である。
【発明を実施するための形態】
【００５９】
以下、本発明の実施の形態を図面に基づいて説明する。
［実施形態１］
図３は本発明を実施する不正アクセス対処システムの構成の第一の例を示している。
【００６０】
図３において、自ＩＳＰ（インターネットサービスプロバイダ）１００は自己の通信ネットワークである。
顧客サイト２００のＷｅｂシステム２０１はＷｅｂサービスを自ＩＳＰ１００より公開しており、自ＩＳＰ１１０によって管理されている顧客境界ルータ１１０にファイアウォール２０３を介して接続されている。
【００６１】
隣接ＩＳＰ３００は自ＩＳＰ１００と論理的に隣接している通信ネットワークであり、隣接ＩＳＰ３００と自ＩＳＰ１００とはＩＳＰ境界ルータ１１１を介して接続されている。
【００６２】
非常時接続利用者端末４００は自ＩＳＰ１００の利用者のうち常時接続を行わない者（非常時接続利用者）によって使用される端末である。この端末で自ＩＳＰ１００を利用するためにはＰＯＰ（ポイント・オブ・プレゼンス）に接続を行ってＰＯＰに接続されているＰＯＰ境界ルータ１１２を経由して利用する。
【００６３】
顧客境界ルータ１１０は、本実施形態におけるＷｅｂシステム２０１に対する不正アクセスへの対策を実施する対策実施機器である。
顧客境界ルータ１１０としては不正アクセスへの対策機能を有しているルータを使用するが、本実施形態においては、顧客境界ルータ１１０は、ＡＣＬ（アクセス・コントロール・リスト）に設定された定義の内容に合致するパケットのみを選択して遮断若しくは通過させるＡＣＬフィルタをこの対策機能として少なくとも有しているものとする。なお、この対策機能として、ＡＣＬフィルタに加え、短時間に多量のＴＣＰ接続要求（ＳＹＮ）パケットを送り続ける攻撃（ＴＣＰ Ｓｙｎ Ｆｌｏｏｄ）に対する専用防御機能（以下、この機能を「ＴＣＰ接続制御」と称することとする）や、顧客境界ルータ１１０に流入するパケットの一部を破棄して通過流量を所定量以下に制限する流量制御機能、あるいは、顧客境界ルータ１１０を単位時間当たりに通過させるパケット数の割合をその送信元毎に均等化させるようにするキュー制御機能などを有しているルータを使用してもよい。
【００６４】
ところで、市場で流通しているルータが有している流量制御機能には、通過流量を必ず指定帯域以下に制限する方式と、少なくとも指定帯域だけは通過流量として確保する方式とが提供されている。
【００６５】
例えば指定されたトラフィックに対して指定帯域が２Ｍｂｐｓと設定されたとき、前者の方式ではネットワークが例えその指定帯域以上の余裕を残していたとしてもその指定トラフィックの流量が２Ｍｂｐｓを超えたときにはその超過分が破棄される。
【００６６】
一方、後者の方式では、指定トラフィックの流量が例え２Ｍｂｐｓを超えたとしても、そのネットワークの帯域に余裕が残されていれば、その超過分も破棄されることがない。例えば、上述した設定がされている場合であって１０Ｍｂｐｓのネットワーク帯域が利用可能である場合に指定トラフィックの流量が３Ｍｂｐｓとなったとしても、このことのみでは指定トラフィックの破棄は行われず、すべての指定トラフィックがルータを通過する。しかし、例えばこの場合に指定トラフィックでない別のトラフィックがこのネットワークに流入し、このトラフィックの流量が１０Ｍｂｐｓであったときには、指定トラフィックの流量を指定帯域の２Ｍｂｐｓに制限すべく、超過分の１Ｍｂｐｓに相当するトラフィックが破棄される（このとき、別のトラフィックも８Ｍｂｐｓに制限される）。
【００６７】
本実施形態における顧客境界ルータ１１０として使用するルータは、流量制御機能を有するのであれば前者の方式のものであるとする。
ＩＤＳ（侵入検知システム）１２０は、顧客サイト２００のＷｅｂシステム２０１への不正なアクセスを顧客境界ルータ１１０において検知し、検知された不正アクセスの内容を解析する。
【００６８】
不正アクセス対策サイト１３０は不正アクセス通知部１３１、不正アクセス対策ＵＩ部１３２、不正アクセス対策方法決定部１３３、不正アクセス対策実施部１３４、不正アクセス対策制御部１３５、トラフィックモニター部１３６、及び不正アクセス対策記録部１３７を有している。
【００６９】
不正アクセス通知部１３１は、ＩＤＳ１２０と連携し、ＩＤＳ１２０が検知したＷｅｂシステム２０１に対する不正アクセスの攻撃の通知（不正アクセス通知）を行う。
不正アクセス対策ＵＩ部１３２は、顧客サイト２００の管理者によって操作される不正アクセス対策サービス利用者端末２０２に表示される操作用画面であるユーザインタフェース（ＵＩ）を提供する。このＵＩは、ＩＤＳ１２０によって検出されて現在対策実施中の不正アクセス対策の一覧を、その対策が対象としているトラフィックの種別毎に、過去の履歴から求めた対策適正実施率の昇順に表示すると共にＩＤＳ１２０によるフォルス・ポジティブの誤動作による顧客対策の実施中止を指示可能にするメニューと、ＩＤＳ１２０によって検出されずに現在対策を実施していないトラフィックの一覧を、そのトラフィックの種別毎に、到着パケット数の降順に表示すると共にＩＤＳ１２０によるフォルス・ネガティブの誤動作による対策の非実施の訂正（すなわち対策実施）を指示可能にするメニューとを備える。
【００７０】
不正アクセス対策方法決定部１３３は、不正アクセス通知に示されている情報と対策実施機器の固有情報、図３においては顧客境界ルータ１１０の固有情報、とに基づいて適切な不正アクセス対策方法を決定する。
【００７１】
不正アクセス対策実施部１３４は、対策実施機器である顧客境界ルータ１１０を制御して不正アクセス対策を実施させ、あるいは実施中の対策を解除させる。不正アクセス対策実施制御部１３５は、不正アクセス対策サイト１３０において行われる不正アクセス検知から不正アクセス対策実施までのセッションを管理して制御する。
【００７２】
トラフィックモニター部１３６は、顧客境界ルータ１１０が通過させたトラフィックを監視し、これらのトラフィックについての情報を収集する。
不正アクセス対策記録部１３７は、顧客境界ルータ１１０での不正アクセス対策の実施、中止、解除等に関わる不正アクセス対策サイト１３０において行われる各セッションの動作を記録する。
【００７３】
なお、不正アクセス対策サイト１３０の実体はコンピュータであり、図４に示すように、不正アクセス対策サイト１３０において不正アクセス対策プログラム１４０が実行されることによって図３に示した構成を不正アクセス対策サイト１３０が有することとなる。
【００７４】
不正アクセス対策サイト１３０において不正アクセス対策プログラム１４０が実行されると、不正アクセス対策制御エンジン１４１、不正アクセス対策ＵＩエンジン１４２、不正アクセス通知エンジン１４３、不正アクセス対策実施エンジン１４４、トラフィックモニターエンジン１４５、不正アクセス対策記録制御エンジン１４６、及びＩＯ制御エンジン１４７が構成される。
【００７５】
不正アクセス対策制御エンジン１４１は不正アクセス対策方法決定部１３３及び不正アクセス対策制御部１３５として機能する。
不正アクセス対策ＵＩエンジン１４２は不正アクセス対策ＵＩ部１３２として機能する。
【００７６】
不正アクセス通知エンジン１４３は不正アクセス通知部１３１として機能する。
不正アクセス対策実施エンジン１４４は不正アクセス対策実施部１３４として機能する。
【００７７】
トラフィックモニターエンジン１４５はトラフィックモニター部１３６として機能し、収集した情報をトラフィックＤＢ（データベース）１５１に格納する。不正アクセス対策記録制御エンジン１４６は不正アクセス対策記録部１３７として機能し、顧客境界ルータ１１０での不正アクセス対策の実施、中止、解除等に関わる不正アクセス対策サイト１３０において行われる各セッションの動作をＬｏｇ（ログ）ＤＢ１５２に記録する。
【００７８】
ＩＯ制御エンジン１４７は、顧客境界ルータ１１０、ＩＤＳ１２０、不正アクセス対策サービス利用者端末２０２等との間での各種データの授受のための通信の制御や、トラフィックＤＢ１５１及びＬｏｇＤＢ１５２の動作制御を行う。
【００７９】
設定情報１５０は、自ＩＳＰ１００のセキュリティポリシーに関する情報、及び対策実施機器（本実施形態においては顧客境界ルータ１１０）固有の情報が示されているデータファイルである。
【００８０】
この設定情報１５０のデータ例を図５に示す。この設定情報１５０には、セキュリティポリシーに関する情報として「対策解除時間閾値」及び「対策信頼閾値」のデータが、また対策実施機器固有の情報として「ルータタイプ」、「ルータＯＳ」、「ルータＩＰ」、「ルータＩＤ」、及び「ルータパスワード」のデータが示されている。
【００８１】
対策解除時間閾値は、Ｗｅｂシステム２０１への不正アクセスが停止したとＩＤＳ１２０が判断してからこの対策を解除するまでの時間を示しており、この例ではこの時間が「１０分」とされている。この時間は例えば不正アクセスを受けている顧客サイト２００の管理者からの指示により予め設定される。
【００８２】
対策信頼閾値は、対策実施機器に行わせる不正アクセス対策の方法を決定するための基準とする値を示しており、この例ではこの値が「９０％」とされている。
ルータタイプは対策実施機器の製造メーカや型式の名称を示しており、この例ではこの情報が「ＶｅｎｄｏｒＡ」とされている。
【００８３】
ルータＯＳは対策実施機器で使用されているＯＳ（オペレーション・システム）の名称及びバージョン番号を示しており、この例は「ＸＹＺ ＯＳ」の第「１２」バージョンが使用されていることを示している。
【００８４】
ルータＩＰは、対策実施機器に割り当てられているＩＰ（Internet Protocol ）アドレスを示しており、この例は「ａ．ｂ．ｃ．２５５」なるＩＰアドレスが割り当てられていることを示している。
【００８５】
ルータＩＤは、各種の動作設定指示を行うべく対策実施機器にログインするために必要となるＩＤ（身分証明）情報を示しており、ルータＰＷは、このログインのために併せて必要となるパスワード情報を示している。この例では、ルータＩＤが「ａｄｍｉｎ」であってルータＰＷが「＊＊＊＊＊＊」であることを示している。
【００８６】
設定情報１５０は以上の情報を有している。
トラフィックＤＢ１５１は顧客境界ルータ１１０が通過させたトラフィックについての情報が記録されるデータベースである。
【００８７】
ＬｏｇＤＢ１５２は対策実施機器である顧客境界ルータ１１０での不正アクセス対策の実施、中止、解除等に関わるこの不正アクセス対処システムにおいて行われる各セッションの動作の履歴が記録されるデータベースである。
【００８８】
なお、不正アクセス対策サイト１３０は、例えば図６に示すような、標準的なハードウェア構成を有するコンピュータを用いて構成することができる。
図６について説明する。
【００８９】
同図に示すコンピュータはＣＰＵ５０１、ＲＡＭ５０２、ＲＯＭ５０３、ＨＤＤ５０４、入力部５０５、出力部５０６、及び通信インタフェース５０７がバス５０８を介して相互に接続されて構成されており、ＣＰＵ５０１による管理の下で相互にデータ授受を行うことができる。
【００９０】
ＣＰＵ（Central Processing Unit ）５０１はこのコンピュータ全体の動作制御を司る中央処理装置である。
ＲＡＭ（Random Access Memory）５０２は、不正アクセス対策プログラム１４０を含む各種の制御プログラムをＣＰＵ５０１が実行するときにワークメモリとして使用され、また各種のデータの一時的な格納領域として必要に応じて用いられるメインメモリとしても使用されるメモリである。
【００９１】
ＲＯＭ（Read Only Memory）５０３はＣＰＵ５０１によって実行される基本制御プログラムが予め格納されているメモリであり、このコンピュータの起動時にＣＰＵ５０１がこの基本制御プログラムを実行することによってこのコンピュータ全体の動作の基本的な制御がＣＰＵ５０１によって行えるようになる。
【００９２】
ＨＤＤ（Hard Disk Drive ）５０４は、各種のデータを記録しておくデータベースとして利用されるハードディスク装置である。また、ＨＤＤ５０４には、ＣＰＵ５０１によって実行される、不正アクセス対策プログラム１４０等の各種の制御プログラムが予め格納されている。
【００９３】
入力部５０５は外部からの入力を受け取ってその入力の内容をＣＰＵ５０１に渡すものであり、必要に応じ、例えばキーボードやマウスなどといったこのコンピュータを操作する操作者からの指示を受け取る入力装置、あるいはＦＤ（Flexible Disk）、ＣＤ−ＲＯＭ（Compact Disc-ROM）、ＤＶＤ−ＲＯＭ（Digital Versatile Disc-ROM）、ＭＯ（Magneto-Optics）ディスクなどといった可搬型の記録媒体の読出装置を備えて構成される。
【００９４】
出力部５０６はＣＰＵ５０１からの指示に応じた出力を行うものであり、例えば各種データを表示するＣＲＴ（Cathode Ray Tube）やＬＣＤ（Liquid Crystal Display）を備えて構成される表示装置や各種データを印刷して表示するプリンタ装置などである。
【００９５】
通信インタフェース５０７は、他のシステムとの間でのデータ授受を行う際の通信管理を行うものである。
図６に示すコンピュータは以上の各構成要素を備えて構成される。
【００９６】
次に図７について説明する。同図は、不正アクセス対策ＵＩ部１３２によって提供されるユーザインタフェース画面の例を示している。
図７の画面例における左側に表されている対策実施中リストは、現在実施中である不正アクセス対策が対策の対象としているトラフィックを、「ＳｒｃＩＰ」、「ＤｉｓｔＰｏｒｔ」及び攻撃種別をキーとして各々の「検知回数」及び「対策適正実施率」と共に並べてなるリストであって、その種別毎のトラフィックがその「対策適正実施率」の昇順に並べられたリストである。
【００９７】
ＳｒｃＩＰは不正アクセス対策が対策対象としているトラフィックであるＩＰパケット（以下、単に「パケット」と称することとする）に示されている送信元のＩＰアドレスである。
【００９８】
ＤｉｓｔＰｏｒｔは不正アクセス対策が対策対象としているトラフィックであるパケットに示されている宛先のポート番号である。
攻撃種別は、ＩＤＳ１２０によって判定されたこの不正アクセスであるＤＤｏＳ攻撃の詳細種別である。
【００９９】
検知回数は、ＩＤＳ１２０がこのトラフィックをＤＤｏＳ攻撃であるとして検知した回数を示している。
対策適正実施率は、このトラフィックを対象としてなされていた不正アクセス対策が過去において中止されることなく実施された割合を示しており、下記の式で算出される。
（対策適正実施率）＝｛（対策実施回数）−（対策中止回数）｝／（対策実施回数）
なお、本実施形態においては、ＩＤＳ１２０がこのトラフィックをＤＤｏＳ攻撃であるとして検知したときにはその検知結果の正誤とは無関係に一旦は不正アクセス対策が必ず実施されるものとする。また、不正アクセス対策の中止は、一旦対策が実施された後になされるものであるから、対策中止回数は対策実施回数以下の回数となる。従って、対策適正実施率は０〜１００％の範囲内の数値となる。
【０１００】
図７に示されている対策実施中リストの第一行目のデータ例について説明すると、このデータ例は、送信元のＩＰアドレスが「ａ．ｂ．ｃ．１０」であって宛先のポート番号が「５３」であるパケットは「ＵＤＰ Ｆｌｏｏｄ」攻撃であるとＩＤＳ１２０が判定したので顧客境界ルータ１１０でこのパケットのトラフィックを対象とする不正アクセス対策を実施中であることを示しており、更に、この種別のトラフィックをＤＤｏＳ攻撃であるとＩＤＳ１２０が検知したのは「３０」回目であり、このトラフィックを対象として過去に実施した不正アクセス対策の適正確率は「７０％」であることを示している。
【０１０１】
なお、ここで、図７の対策実施中リストにおける「対策適正実施率」の列を参照すると、その列の値が上段から順に「７０％」、「８０％」、「９０％」と示されており、各レコードが「対策適正実施率」の昇順に並べられていることが分かる。
【０１０２】
また、この対策実施中リストの下部には「対策中止」なるボタンアイコンが設けられている。不正アクセス対策サービスの利用者、本実施の形態では顧客サイト２００の管理者によって、対策実施中リストに示されている不正アクセス対策実施中である種別毎のトラフィックから、ＩＤＳ１２０のフォルス・ポジティブの誤動作に起因して誤って対策がされてしまっているとの判断がされたものを選択した上でこのボタンアイコンがクリック操作されることにより、この選択されたトラフィックについて顧客境界ルータ１１０が実施中である不正アクセス対策を中止させることができる。
【０１０３】
図７の画面例における右側に表されている対策対象外リストは、トラフィックモニター部１３６によって監視された、顧客境界ルータ１１０が通過させたトラフィックを、「時刻レンジ」、「ＳｒｃＩＰ」、「ＤｉｓｔＩＰ」、「ＤｉｓｔＰｏｒｔ」をキーとして、「Ｐａｃｋｅｔ数」と共に並べてなるリストであって、その種別毎のトラフィックがその「Ｐａｃｋｅｔ数」の降順に並べられたリストである。
【０１０４】
時刻レンジは、トラフィックの監視時刻の範囲を示している。
ＳｒｃＩＰは顧客境界ルータ１１０が通過させたトラフィックであるパケットに示されている送信元のＩＰアドレスである。
【０１０５】
ＤｉｓｔＩＰは顧客境界ルータ１１０が通過させたパケットに示されている宛先のＩＰアドレスである。
ＤｉｓｔＰｏｒｔは顧客境界ルータ１１０が通過させたトラフィックであるパケットに示されている宛先のポート番号である。
【０１０６】
Ｐａｃｋｅｔ数は、顧客境界ルータ１１０が時刻レンジで示されている時刻の間に通過させたこの種別のパケットの数を示している。
図７に示されている対策対象外リストの第一行目のデータ例について説明すると、このデータ例は、送信元のＩＰアドレスが「ｘ．ｙ．ｚ．１００」、宛先のＩＰアドレスが「ｌ．ｍ．ｎ．５０」であって宛先のポート番号が「５３」である「３００００」個のパケットを顧客境界ルータ１１０が「１０：００−１０：１０」の時刻の間に通過させたことを示している。
【０１０７】
なお、ここで、図７の対策対象外リストにおける「Ｐａｃｋｅｔ数」の列を参照すると、その列の値が上段から順に「３００００」、「２００００」、「１００００」と示されており、各レコードが「Ｐａｃｋｅｔ数」の降順に並べられていることが分かる。
【０１０８】
また、この対策対象外リストの下部には「対策実施」なるボタンアイコンが設けられている。不正アクセス対策サービスの利用者、本実施の形態では顧客サイト２００の管理者によって、対策対象外リストに示されている不正アクセス対策が実施されていない種別毎のトラフィックから、ＩＤＳ１２０のフォルス・ネガティブの誤動作に起因して誤って対策がされていなかったとの判断がされたものを選択した上でこのボタンアイコンがクリック操作されることにより、この選択されたトラフィックを対象として不正アクセス対策を顧客境界ルータ１１０に実施させることができる。
【０１０９】
以下、不正アクセス対策サイト１３０で不正アクセス対策プログラム１４０を実行させることによって構成される各部によって行われる処理の手順について説明する。
なお、不正アクセス対策サイト１３０では、これより説明する不正アクセス対策制御手順、不正アクセス対策ＵＩ手順、トラフィックモニター手順、不正アクセス通知手順、不正アクセス対策記録手順、不正アクセス対策実施手順が並行して進められる。
【０１１０】
まず図８について説明する。同図はトラフィックモニターエンジン１４５によって行われるトラフィックモニター手順の内容をフローチャートで示したものである。
まず、Ｓ１０１においてスレッドの分岐が行われ、その一方ではＳ１０２の繰り返し手順が、他方ではＳ１０３からＳ１０５にかけての繰り返しの手順が、それぞれ実行される。
【０１１１】
Ｓ１０２では、顧客境界ルータ１１０が通過させたトラフィックであるパケットがキャプチャー（捕獲）される。以降、Ｓ１０２の手順が繰り返されて顧客境界ルータ１１０が通過させたパケットが全てキャプチャーされる。
【０１１２】
Ｓ１０３では、Ｓ１０３からＳ１０５にかけてのスレッドの実行が一定の時刻レンジだけ、例えば１０分間だけスリープ（停止）され、その後、所定の時刻レンジが経過したときにＳ１０４の手順に進む。
【０１１３】
Ｓ１０４では、Ｓ１０２の処理によってキャプチャーされているパケットの数が、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、及びＤｉｓｔＰｏｒｔをキーにして計数され、続くＳ１０５においてその計数の結果を示すデータが監視情報としてトラフィックＤＢ１５１に格納される。このＳ１０５の手順が完了した後にはＳ１０３へ手順を戻して上述した手順が繰り返される。
【０１１４】
ここで図９について説明する。同図は上述したＳ１０５の手順によってデータの格納が行われるトラフィックＤＢ１５１のデータ構造を示している。同図に示すように、トラフィックＤＢ１５１にはレコード毎に「時刻レンジ」、「ＳｒｃＩＰ」、「ＤｉｓｔＩＰ」、「ＤｉｓｔＰｏｒｔ」、及び「Ｃｏｕｎｔ」の各フィールドが設けられている。
【０１１５】
時刻レンジはパケットの計数の開始時刻及び終了時刻の組である。
ＳｒｃＩＰは計数対象とするパケットに示されている送信元のＩＰアドレスである。
ＤｉｓｔＩＰは計数対象とするパケットに示されている宛先のＩＰアドレスである。
【０１１６】
ＤｉｓｔＰｏｒｔは計数対象とするパケットに示されている宛先のポート番号である。
Ｃｏｕｎｔは「時刻レンジ」に示されている時間内に顧客境界ルータ１１０が通過させた計数対象とするパケットの数である。
【０１１７】
図９に示されているデータ例のうち第一行目のレコードについて解説すると、「１０：００−１０：１０」の時間内に、送信元のＩＰアドレスが「２０２．２４８．２０．２５４」、宛先のＩＰアドレスが「２０２．２４８．２０．６８」、そして宛先のポート番号が「８０」である「１４５６」個のパケットを顧客境界ルータ１１０が通過させたことを示している。
【０１１８】
以上のトラフィックモニター手順が行われることによって、顧客境界ルータ１１０が通過させたパケットの監視が行われる。
次に図１０について説明する。同図は不正アクセス通知エンジン１４３によって行なわれる不正アクセス通知手順の内容をフローチャートで示したものである。
【０１１９】
まず、Ｓ２０１において、不正アクセスイベントのチェックがＩＤＳ１２０に対して行われ、続くＳ２０２において不正アクセスの検知がＩＤＳ１２０によってなされたか否かが判定される。この結果、不正アクセスの検知がされたと判定された（判定結果がＹｅｓ）ならばＳ２０３に手順を進め、不正アクセスの検知がされていないと判定された（判定結果がＮｏ）ならばＳ２０１へ手順を戻して上述した手順が繰り返される。
【０１２０】
Ｓ２０３では、検知された不正アクセスについての通知が不正アクセス対策制御エンジン１４１へ行われる。その後はＳ２０１へ手順を戻して上述した手順が繰り返される。
ここで図１１について説明する。同図は上述したＳ２０３の手順によって不正アクセス対策制御エンジン１４１へ行われる不正アクセスの通知のデータ形式を示している。同図に示すように、この不正アクセス通知には、「検知ＩＤ」、「アクション」、「時刻レンジ・スタート」、「時刻レンジ・エンド」、「攻撃種別」、「組織名」、「所属ＩＳＰ」、「ターゲットプロトコル」、「ＳｒｃＩＰ」、「ＤｉｓｔＩＰ」、「ＤｉｓｔＰｏｒｔ」、「不正パケット数」、「攻撃ツール名」、「対策適正実施率」、及び「対策実施方法」の各情報を有することができる構造となっている。
【０１２１】
検知ＩＤは、不正アクセスの検知がなされる度にＩＤＳ１２０によってその不正アクセスに対して付与される一意な識別子であり、この検知ＩＤによってＤＤｏＳ攻撃を個別に特定する指標とすることができる。
【０１２２】
アクションはこの検出された不正アクセスに対する対策の状況を示しており、「対策実施」または「対策中止」のうちのいずれかが示される。
時刻レンジ・スタート及び時刻レンジ・エンドは、それぞれ不正アクセスに係るパケットが最初に検知された日時及びこの日時から所定の時間（例えば１０分間）が経過したときの日時であり、図１１の例ではこれらの日時がグリニッジ標準時（ＧＭＴ）で示されている。
【０１２３】
攻撃種別は、この検知された不正アクセスであるＤＤｏＳ攻撃の詳細種別である。
組織名は、この検知された不正アクセスを受けているシステムが属している組織の組織名である。
【０１２４】
所属ＩＳＰは、この検知された不正アクセスを受けているシステムが属している組織が所属しているＩＳＰの名称である。
ターゲットプロトコルは、この検知された不正アクセスが攻撃を受けているシステムへの接続に利用しているプロトコルである。
【０１２５】
ＳｒｃＩＰは、この検知された不正アクセスに係るパケットに示されている送信元のＩＰアドレスである。
ＤｉｓｔＩＰは、この検知された不正アクセスに係るパケットに示されている宛先のＩＰアドレスである。
【０１２６】
ＤｉｓｔＰｏｒｔは、この検知された不正アクセスに係るパケットに示されている宛先のポート番号である。
不正パケット数は検知ＩＤで特定されるこの不正アクセスに係るパケットの数である。
【０１２７】
攻撃ツール名は、この検知された不正アクセスに使用されていると推測されるＤＤｏＳ攻撃ツールのツール名である。
対策適正実施率は前述したものであり、この検知された不正アクセスへの対策についてのものである。
【０１２８】
対策実施方法には、この検知された不正アクセスへの対策として使用することが決定された対策方法が示される。
図１１に示されているデータ例のうちの例１について解説すると、このデータは、ＩＤＳ１２０によって検知された「００−００−０Ｅ−８２−２Ｅ−７４−００１」なる検知ＩＤで特定される不正アクセスは、「２００３／２／１・１６：０１：１６」から検知された「ＴＣＰ Ｓｙｎ Ｆｌｏｏｄ」攻撃であり、この攻撃は「ＩＳＰ ＡＢＣ」に属する「ＣｏｍｐａｎｙＡ」への「ＴＣＰ」プロトコルによるものであって、攻撃元は「ＴＦＮ２Ｋ」なる攻撃ツールを使用していると推測され、送信元のＩＰアドレスが「１０．４．１２０．Ｚ」、宛先のＩＰアドレスが「１９２．１６８．Ｘ．Ｙ」、宛先のポート番号が「８０」であるパケットが「２００３／２／１・１６：１１：１６」までの間に「１５６７８９」個送りつけられてきたことを示しており、更にこの不正アクセスについては「ＡＣＬフィルタ」を使用した対策を実施するが、この検知された不正アクセスについての対策適正実施率は「８０％」であり、現在は「対策実施」の指示がされていることを示している。
【０１２９】
なお、図１０のＳ２０３の手順において作成されて送付される不正アクセス通知においては、「アクション」については「対策実施」としておき、「対策適正実施率」及び「対策実施方法」については何も示されていない状態（例えばヌルデータ）で送付される。
【０１３０】
以上の不正アクセス通知手順が行われることによって、ＩＤＳ１２０による顧客ネットワーク２００への不正アクセスの検知の内容が不正アクセス対策制御エンジン１４１へ通知される。
【０１３１】
次に図１２について説明する。同図は不正アクセス対策ＵＩエンジン１４２によって行われる不正アクセス対策ＵＩ手順の内容をフローチャートで示したものである。
この手順は、まず、顧客サイト２００の管理者等が、不正アクセス対策サービス利用者端末２０２で例えばＷｅｂブラウザを機能させて不正アクセス対策サイト１３０に対してこの手順の実行要求を行うことによって開始される。
【０１３２】
まず、Ｓ３０１では、不正アクセス対策サイト１３０において行われた各セッションの動作の記録がＬｏｇＤＢ１５２から取得され、この記録に基づき、顧客境界ルータ１１０で実施中である不正アクセス対策が対策対象としているトラフィックの種別毎の対策適正実施率が前掲した算出式に従って算出され、算出された対策適正実施率が昇順となるように種別毎のトラフィックが並べられて対策実施中リストが作成される。なお、このとき算出された対策適正実施率に基づいて、対応するトラフィックに係る不正アクセス通知の「対策適正実施率」の内容が更新される。
【０１３３】
Ｓ３０２では、顧客境界ルータ１１０が通過させたトラフィックの記録がトラフィックＤＢ１５１から取得され、この記録に基づき、顧客境界ルータ１１０が通過させたトラフィックであるパケットが、その時刻レンジ内におけるパケット数が降順となるように種別毎に並べられて対策対象外リストが作成される。
【０１３４】
Ｓ３０３では、Ｓ３０１において作成された対策実施中リストとＳ３０２において作成された対策対象外リストとが並べられ、さらに前述した「対策中止」及び「対策実施」のボタンアイコンが並べられて図７に示したような不正アクセス対策サービス操作画面が作成され、この操作画面を表現している画面データが不正アクセス対策サービス利用者端末２０２へ送付される。
【０１３５】
不正アクセス対策サービス利用者端末２０２ではこの画面データを受信するとＷｅｂブラウザの機能によってこの操作画面が表示される。顧客サイト２００の管理者等は、この操作画面をリスト順に参照してＩＤＳ１２０の誤動作に起因する不正アクセスの実施・非実施の誤りがあるかどうかを判断する。
【０１３６】
なお、対策実施中リストで種別毎のトラフィックがその対策適正実施率の昇順に並べられているのは、その順序の若いもの、すなわち対策適正実施率が低いものの方が過去に多くのフォルス・ネガティブの誤動作が発生していたと考えられるので、不正アクセス対策の誤実施されている可能性の高い順に誤実施の発生の有無を判定させるようにして、不正アクセス対策をより素早く適切なものにできるように配慮したものである。
【０１３７】
また、対策対象外リストで種別毎のトラフィックであるパケットが単位時間当たりの顧客境界ルータ１１０の通過数の降順に並べられているのは、適切な不正アクセス対策がされていない状態、すなわちフォルス・ポジティブの誤動作が発生すると多量であるがために影響の大きい順に種別毎のトラフィックを並べておくことにより、この順序でこの誤動作の発生の有無を判定させて不正アクセス対策がより素早く効果的なものとなるように配慮したものである。
【０１３８】
この管理者等による判断の結果、誤りが発見されたときには、管理者等はこの操作画面に示されている対策実施中リストまたは対策対象外リストから誤りの項目を選択した上で「対策中止」あるいは「対策実施」のボタンアイコンをクリック操作する。すると、項目の選択情報とクリックされたボタンアイコンの種別情報とがユーザ入力として不正アクセス対策サービス利用者端末２０２から不正アクセス対策サイト１３０へと送付される。
【０１３９】
Ｓ３０４では、不正アクセス対策サービス利用者端末２０２から送られてくるこのユーザ入力の取り出しが行われ、続くＳ３０５において、このユーザ入力におけるクリックされたボタンアイコンの種別情報が「対策中止」のボタンアイコンであったか否かが判定される。そして、このＳ３０５の判定結果がＹｅｓならば、Ｓ３０６において、ユーザ入力における項目の選択情報に係る前述した不正アクセス通知の「アクション」の内容を「対策中止」とし、一方、このＳ３０５の判定結果がＮｏ、すなわちユーザ入力におけるクリックされたボタンアイコンの種別情報が「対策実施」のボタンアイコンであったならば、Ｓ３０７において、ユーザ入力における項目の選択情報に係る不正アクセス通知の「アクション」の内容を「対策実施」とする。
【０１４０】
Ｓ３０８では、Ｓ３０６若しくはＳ３０７の手順においてその内容が更新された不正アクセス通知が不正アクセス対策制御エンジン１４１へ送付される。
以上の不正アクセス対策ＵＩ手順が行われることによって、顧客サイト２００の管理者等による不正アクセス対策の修正指示を不正アクセス対策制御エンジン１４１が認識する。
【０１４１】
次に図１３について説明する。同図は不正アクセス対策制御エンジン１４１によって行われる不正アクセス対策制御手順の内容をフローチャートで示したものである。
まず、Ｓ４０１において、不正アクセス通知エンジン１４３または不正アクセス対策ＵＩエンジン１４２から送付される不正アクセス通知をひとつ取り出す。Ｓ４０２では、Ｓ４０１の手順によって取り出された不正アクセス通知の「アクション」の内容が「対策中止」とされているか否かが判定され、この判定結果がＹｅｓならば、Ｓ４０３において不正アクセス対策中止要求が不正アクセス対策実施エンジン１４４へ送付され、その後はＳ４０６に手順が進む。
【０１４２】
一方、Ｓ４０２の判定結果がＮｏ、すなわちＳ４０１の手順によって取り出された不正アクセス通知の「アクション」の内容が「対策実施」とされているのであればＳ４０４において不正アクセス対策方法決定手順が実行され、続くＳ４０５において不正アクセス対策実施要求が不正アクセス対策実施エンジン１４４へ送付される。なお、不正アクセス対策方法決定手順については後述する。
【０１４３】
Ｓ４０６では不正アクセス対策記録制御エンジン１４６へログ要求が送付されて上述したＳ４０３またはＳ４０４からＳ４０５にかけての手順で行われた処理の内容の記録の依頼が行われ、その後はＳ４０１へ手順を戻して上述した手順が繰り返される。なお、このログ要求には、Ｓ４０１の手順によって取得され、Ｓ４０４の手順が実行されたときにはその内容が更新された不正アクセス通知が添付される。
【０１４４】
次に図１４について説明する。同図は図１３のＳ４０４の手順である不正アクセス対策方法決定手順の内容をフローチャートで示したものである。
まず、Ｓ４１１において、設定情報１５０が取り出される。図１４におけるこの後の手順において、対策実施機器（本実施形態においては顧客境界ルータ１１０）がどのような不正アクセス対策機能を有しているかの判定は、設定情報１５０における対策実施機器についての固有情報のうちの「ルータタイプ」と「ルータＯＳ」との内容に基づいて行われる。
【０１４５】
Ｓ４１２では、図１３のＳ４０１の手順において取り出された不正アクセス通知における「攻撃種別」の内容が「ＴＣＰ Ｓｙｎ Ｆｌｏｏｄ」とされていて、且つ対策実施機器が前述したＴＣＰ接続制御機能を備えているか否かが判定され、この判定結果がＹｅｓであるならば、この不正アクセス通知に係るアクセスへの対策をＴＣＰ接続制御機能によって行うことが決定され、Ｓ４１３においてこの不正アクセス通知における「対策実施方法」の項目が「ＴＣＰ接続制御」とされる。その後はこの不正アクセス対策方法決定手順が終了し、図１３の手順へ戻る。
【０１４６】
この決定は、ＴＣＰ Ｓｙｎ Ｆｌｏｏｄの攻撃には、その攻撃のための専用防御機能であるＴＣＰ接続制御機能による対策が最適であると考えられるからである。
一方、Ｓ４１２の判定結果がＮｏのときは、Ｓ４１４において、図１３のＳ４０１の手順において取り出された不正アクセス通知における「対策適正実施率」と設定情報１５０における「対策信頼閾値」との数値比較が行われ、「対策適正実施率」が「対策信頼閾値」以上の値となっているか否かが判定される。そして、この判定の結果がＹｅｓであれば、この不正アクセス通知に係るアクセスへの対策を前述したＡＣＬフィルタによって行うことが決定され、Ｓ４１５においてこの不正アクセス通知における「対策実施方法」の項目が「ＡＣＬフィルタ」とされる。その後はこの不正アクセス対策方法決定手順が終了し、図１３の手順へ戻る。
【０１４７】
一方、Ｓ４１４の判定結果がＮｏのときには、Ｓ４１６において、上記の「対策適正実施率」が設定情報１５０における「対策信頼閾値」の１／２以上の値となっており、且つ対策実施機器が前述した流量制御機能を備えているか否かが判定される。そして、この判定の結果がＹｅｓであれば、この不正アクセス通知に係るアクセスへの対策をこの流量制御機能によって行うことが決定され、Ｓ４１７においてこの不正アクセス通知における「対策実施方法」の項目が「流量制御」とされる。その後はこの不正アクセス対策方法決定手順が終了し、図１３の手順へ戻る。
【０１４８】
一方、Ｓ４１６の判定結果がＮｏのときには、Ｓ４１８において、上記の「対策適正実施率」が設定情報１５０における「対策信頼閾値」の１／２未満の値となっており、且つ対策実施機器が前述したキュー制御機能を備えているか否かが判定される。そして、この判定の結果がＹｅｓであれば、この不正アクセス通知に係るアクセスへの対策をこのキュー制御機能によって行うことが決定され、Ｓ４１９においてこの不正アクセス通知における「対策実施方法」の項目が「キュー制御」とされる。その後はこの不正アクセス対策方法決定手順が終了し、図１３の手順へ戻る。
【０１４９】
一方、Ｓ４１８の判定結果がＮｏのときには、この不正アクセス通知に係るアクセスへの対策を前述したＡＣＬフィルタによって行うことが決定され、Ｓ４２０においてこの不正アクセス通知における「対策実施方法」の項目が「ＡＣＬフィルタ」とされる。その後はこの不正アクセス対策方法決定手順が終了し、図１３の手順へ戻る。
【０１５０】
以上の手順が不正アクセス対策方法決定手順である。
ここで、不正アクセスへの対策方法として、対策適正実施率の大小に応じ、その値の大きい順にＡＣＬフィルタ、流量制御、キュー制御と決定する理由について説明する。
【０１５１】
まず、対策適正実施率が十分に信頼できる程度に高いということは、その種別のトラフィックが不正アクセスである可能性が極めて高いということであるので、その種別のトラフィックを確実に破棄できるＡＣＬフィルタを使用することが最適であると考えられるからである。
【０１５２】
また、流量制御とキュー制御とでは、不正アクセスをより多く破棄するという観点では流量制御の方が適切ではあるが、対策適正実施率が低い場合というのはその種別のトラフィックが正規アクセスである可能性が高いということであるので、このような正規アクセスを少しでも多く通過させることのできるキュー制御の方が不正アクセス対策の弊害を減少させるという観点ではより適切であると考えられる。よって、この両者の選択においては対策適正実施率が高い場合には流量制御を選択し、一方、対策適正実施率が低い場合にはキュー制御を選択するようにしている。
【０１５３】
なお、流量制御とキュー制御との選択のための対策適正実施率の大小の判断基準として、上述した不正アクセス対策方法決定手順では「対策信頼閾値」の１／２という値を用いていたが、例えばこの「１／２」の値を０から１までの間の他の値としてもよいし、またこの判断基準とする専用の値を設定情報１５０として用意しておくようにしてもよい。
【０１５４】
次に図１５について説明する。同図は不正アクセス対策実施エンジン１４４によって行われる不正アクセス対策実施手順の内容をフローチャートで示したものである。
まず、Ｓ５０１において、不正アクセス対策制御エンジン１４１から送られてきた不正アクセス対策についての要求が取得される。なお、この要求は、図１３のＳ４０３またはＳ４０５の手順で不正アクセス対策制御エンジン１４１から送付されたものである。
【０１５５】
Ｓ５０２では設定情報１５０が取り出され、顧客境界ルータ１１０についての固有情報のうちの「ルータタイプ」、「ルータＩＰ」、「ルータＰＷ」の情報が取得される。
Ｓ５０３では、Ｓ５０１の手順において取得された不正アクセス対策についての要求に対応する不正アクセス通知が参照され、この通知の「アクション」の内容に従い、不正アクセス対策を実施させる、あるいは実施中の不正アクセス対策を中止させるための設定が、顧客境界ルータ１１０に対して行われる。ここで不正アクセス対策を実施させる場合には、不正アクセス通知の「対策実施方法」に示されている方法での不正アクセス対策の実施設定が顧客境界ルータ１１０に対して行われる。
【０１５６】
なお、この顧客境界ルータ１１０への設定のためにＳ５０２の手順によって取得された各情報が使用され、顧客境界ルータ１１０はこれらの設定が行なわれることによって決定に係る方法による不正アクセス対策が開始若しくは中止される。
【０１５７】
Ｓ５０４では、Ｓ５０３の手順によって顧客境界ルータ１１０に対してなされた設定が、不正アクセス対策の実施を示すものであったか否かが判定される。この判定結果がＹｅｓならばＳ５０５においてスレットの分岐が行われ、その一方ではＳ５０１からＳ５０５にかけての繰り返しの手順が実行され、他方ではＳ５０６からＳ５１０にかけての手順が実行される。一方、Ｓ５０４の判定結果がＮｏ、すなわちＳ５０３の手順によって顧客境界ルータ１１０に対してなされた設定が不正アクセス対策の中止を示すものであったならば、Ｓ５０１へ手順を戻して上述した手順が繰り返される。
【０１５８】
Ｓ５０６では、Ｓ５０３の手順で顧客境界ルータ１１０に対して設定された不正アクセス対策の状況が取り出される。
Ｓ５０７では、この対策の状況が、不正アクセス対策の中止を示すものであったか否かが判定され、この判定結果がＹｅｓならばＳ５０５の手順によって分岐させたこのＳ５０６からＳ５１０にかけてのスレッドを直ちに終了させる。
【０１５９】
一方、Ｓ５０７の判定結果がＮｏ、すなわちＳ５０３の手順によって顧客境界ルータ１１０に対してなされた設定が不正アクセス対策の実施を示すものであったならば、Ｓ５０８においてＩＤＳ１２０に問い合わせを行い、この対策が対策対象としている不正アクセスであるパケットがどの程度の時間継続して顧客境界ルータ１１０に到来していないかを調べる。そして、この問い合わせに対してＩＤＳ１２０から回答された時間が、設定情報１５０に示されている前述した「対策解除信頼閾値」を超えているか否かが判定され、この判定結果がＹｅｓ、すなわち対策解除時間閾値を超えて不正アクセスであるパケットが継続して到来していないのであればＳ５０９に手順を進め、一方、この判定結果がＮｏ、すなわち不正アクセスであるパケットが依然として到来しているかあるいは不正アクセスであるパケットが到来していない継続時間が対策解除時間閾値に未だ満たないときにはＳ５０６へ手順を戻して上述した手順が繰り返される。
【０１６０】
Ｓ５０９では、顧客境界ルータ１１０が制御されて前述したＳ５０３の手順で設定された不正アクセス対策が解除される。
Ｓ５１０では、不正アクセス対策記録制御エンジン１４６へログ要求が送付され、対策の実施解除の記録の依頼が行われる。なお、このログ要求には、Ｓ５０３の手順によって参照された不正アクセス通知が添付される。
【０１６１】
Ｓ５１０の手順を終えた後にはＳ５０５の手順によって分岐させたこのＳ５０６からＳ５１０にかけてのスレッドを終了させる。
以上の不正アクセス対策実施手順が行われることによって、不正なアクセスへの対策の実施、中止、解除が顧客境界ルータ１１０において実施される。
【０１６２】
次に図１６について説明する。同図は不正アクセス対策記録制御エンジン１４６によって行われる不正アクセス対策記録手順の内容をフローチャートで示したものである。
まず、Ｓ６０１において、不正アクセス対策制御エンジン１４１または不正アクセス対策実施エンジン１４４から送られてくるログ要求が取り出される。
【０１６３】
Ｓ６０２では、現在の時刻と取り出されたログ要求に添付されている不正アクセス通知の内容とがログに記録されてＬｏｇＤＢ１５２に格納される。
このＳ６０２の手順を終えた後にはＳ６０１へと手順を戻し、以降は上述したログ要求の取り出しとログへの記録の手順が繰り返される。
【０１６４】
以上の不正アクセス対策記録手順が行われることにより、自ＩＳＰ１００の管理者は顧客サイト２００に対する不正アクセスへの対処の状況をこの履歴の記録から把握することができるようになる。
［実施形態２］
前述した実施形態１では、不正アクセスによる攻撃の対象である顧客サイト２００と自ＩＳＰ１００との境界で不正アクセス対策を実施する例について説明した。これに対し、これより説明する実施形態２では、ＤＤｏＳ攻撃へのより効果的な対処方法である、不正アクセスの発信元にできるだけ近い場所で不正アクセス対策を実施する例について説明する。
【０１６５】
図１７は本発明を実施する不正アクセス対処システムの構成の第二の例を示している。なお、図１７において、図３に示した第一の例と同一の符号を付した構成要素は図３に示したものと同一のものであり、これらの構成要素については重複するため詳細な説明を省略する。
【０１６６】
図１７に示す不正アクセス対処システムは、不正アクセス対策マネージャサイト６００、不正アクセス通知エージェントサイト７００、並びに不正アクセス対策実施エージェントサイト８００−１及び８００−２より構成されている。
【０１６７】
不正アクセス対策マネージャサイト６００は不正アクセス対策記録部６０１、組織間ポリシー交換部６０２、組織間認証部６０３、不正アクセス対策方法決定部６０４、不正アクセス対策場所決定部６０５、及び不正アクセス対策制御部６０６を有している。
【０１６８】
不正アクセス対策記録部６０１は、対策実施機器での不正アクセス対策の実施、中止、解除等に関わる各セッションの動作の履歴を記録する。
組織間ポリシー交換部６０２は、自ＩＳＰ１００と他のＩＳＰ、例えば隣接ＩＳＰ３００との間で自己のネットワーク運用セキュリティポリシーを交換する
組織間認証部６０３は、自ＩＳＰ１００と他のＩＳＰ、例えば隣接ＩＳＰ３００との間で情報交換を行う際の情報漏洩を防止するための相互認証を行う。なお、ここで、この相互認証のための流入元との接続プロトコルは例えばＨＴＴＰＳ（Hypertext Transfer Protocol Security）プロトコルであってもよく、また、この相互認証で用いられる認証方式は例えば公開鍵基盤（ＰＫＩ：Public Key Infrastructure ）であってもよく、また電子証明書は例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式であってもよい。
【０１６９】
不正アクセス対策方法決定部６０４は、不正アクセス通知エージェントサイト７００から送られてくる、ＩＤＳ１２０が検知したＷｅｂシステム２０１に対する不正アクセスの攻撃の通知（不正アクセス通知）に示されている情報と対策実施機器の固有情報とに基づいて適切な不正アクセス対策方法を決定する。
【０１７０】
不正アクセス対策場所決定部６０５は、Ｗｅｂシステム２０１に対する不正なアクセスからＷｅｂシステム２０１を保護するための対策を実施する場所の決定を行う。
不正アクセス対策制御部６０６は、不正アクセス対策マネージャサイト６００において行われる各種のセッションを管理して制御する。
【０１７１】
運用管理システム６５０は自ＩＳＰ１００に配置されて自ＩＳＰ１００の運用の管理を行うシステムでおり、自ＩＳＰ１００の構成管理、トラフィック管理、障害管理、アカウント管理等を行っている。運用管理システム６５０は不正アクセス対策マネージャサイト６００と連携し、各種のデータの受け渡しを行う。従って、運用管理システム６５０は、自ＩＳＰ１００に設けられている顧客境界ルータ１１０、ＩＳＰ境界ルータ１１１、及びＰＯＰ境界ルータ１１２の各々についてのルータタイプ、ルータＯＳ、ルータＩＰ、ルータＩＤ、及びルータＰＷの各情報を有している。
【０１７２】
ＩＳＰ管理端末６６０はこの不正アクセス対処システムのためのユーザインタフェースを自ＩＳＰ１００の管理者に提供するものであり、ＣＰＵ、メモリ、ディスプレイ、通信インタフェース等を有するコンピュータである。なお、ＩＳＰ管理端末６６０としては例えばパーソナルコンピュータや携帯情報端末（ＰＤＡ）等が利用可能である。
【０１７３】
不正アクセス通知エージェントサイト７００は不正アクセス通知部７０１、不正アクセス対策ＵＩ部７０２、及びトラフィックモニター部７０３を有している。
不正アクセス通知部７０１は、ＩＤＳ１２０と連携し、ＩＤＳ１２０が検知したＷｅｂシステム２０１に対する不正アクセスの攻撃の通知（不正アクセス通知）を不正アクセス対策マネージャサイト６００へ行う。
【０１７４】
不正アクセス対策ＵＩ部７０２は、ファイアウォール２０３を介して自ＩＳＰ１００に接続されている顧客サイト２００の管理者によって操作される不正アクセス対策サービス利用者端末２０２に表示される操作用画面であるユーザインタフェース（ＵＩ）を提供する。このＵＩは、図３における不正アクセス対策ＵＩ部１３２が提供するものと同様のものであり、例えば図７に示したユーザインタフェース画面を提供する。
【０１７５】
トラフィックモニター部７０３は、顧客境界ルータ１１０が通過させたトラフィックを監視し、これらのトラフィックについての情報を収集する。
不正アクセス対策実施エージェントサイト８００−１はトラフィックモニター部８０１−１と不正アクセス対策実施部８０２−１とを有している。
【０１７６】
トラフィックモニター部８０１−１は、ＩＳＰ境界ルータ１１１が通過させたトラフィックを監視し、これらのトラフィックについての情報を収集する。
不正アクセス対策実施部８０２−１はＩＳＰ境界ルータ１１１を制御し、隣接ＩＳＰ３００から自ＩＳＰ１００へ流入するＷｅｂシステム２０１に対する不正アクセスへの対策を、不正アクセス対策マネージャサイト６００からの指示に基づいて実施させ、あるいは実施中の対策を解除させる。
【０１７７】
なお、図１７では隣接ＩＳＰ３００は１つのみであり、ＩＳＰ境界ルータ１１１は自ＩＳＰネットワーク１００に一台だけ設置されているように描かれているが、ここでは隣接ＩＳＰ３００が複数存在し、各隣接ＩＳＰ３００に対応付けられて複数台の境界ルータ１１が自ＩＳＰ１００に設置されており、不正アクセス対策実施エージェントサイト８００−１はこれらを一括管理しているものとする。
【０１７８】
不正アクセス対策実施エージェントサイト８００−２はトラフィックモニター部８０１−２と不正アクセス対策実施部８０２−２とを有している。
トラフィックモニター部８０１−２は、ＰＯＰ境界ルータ１１２が通過させたトラフィックを監視し、これらのトラフィックについての情報を収集する。
【０１７９】
不正アクセス対策実施部８０２−２はＰＯＰ境界ルータ１１２を制御し、非常時接続利用者端末４００から自ＩＳＰ１００へ流入するＷｅｂシステム２０１に対する不正アクセスへの対策を、不正アクセス対策マネージャサイト６００からの指示に基づいて実施させ、あるいは実施中の対策を解除させる。
【０１８０】
なお、上述したように、不正アクセス対策実施エージェントサイト８００−１と不正アクセス対策実施エージェントサイト８００−２とは、各部の対象となる機器がＩＳＰ境界ルータ１１１とＰＯＰ境界ルータ１１２とで異なる点を除けば同様の構成を有している。そこで、以下では、両者をいずれも不正アクセス対策実施エージェントサイト８００と称して共通に説明できるようにするため、ＩＳＰ境界ルータ１１１とＰＯＰ境界ルータ１１２とをいずれも境界ルータ１１３と称することとし、不正アクセス対策実施エージェントサイト８００はトラフィックモニター部８０１と不正アクセス対策実施部８０２とを有しているものとする。なお、ここで、トラフィックモニター部８０１は、境界ルータ１１３が通過させたトラフィックを監視し、これらのトラフィックについての情報を収集するものであり、不正アクセス対策実施部８０２は、境界ルータ１１３を通過して自ＩＳＰ１００へ流入するＷｅｂシステム２０１に対する不正アクセスへの対策を、不正アクセス対策マネージャサイト６００からの指示に基づいて実施させ、あるいは実施中の対策を解除させるものであるとする。
【０１８１】
なお、図１７に示した不正アクセス対策マネージャサイト６００、不正アクセス通知エージェントサイト７００、及び不正アクセス対策実施エージェントサイト８００の実体はコンピュータであり、図１８に示すように、不正アクセス対策マネージャサイト６００において不正アクセス対策マネージャプログラム６１０が、不正アクセス通知エージェントサイト７００において不正アクセス通知プログラム７１０が、そして不正アクセス対策実施エージェントサイト８００において不正アクセス対策実施プログラム８１０が、各々実行されることによって図１７に示した構成を各サイトが有することとなる。
【０１８２】
図１８において、不正アクセス対処システム専用ネットワーク９００は、ＩＳＰネットワーク１０１とは別の通信ネットワークである。不正アクセス対処システム専用ネットワーク９００には自ＩＳＰ１００の管理するＩＳＰネットワーク１０１に設けられている不正アクセス対処システムが接続されていることに加え、隣接ＩＳＰ３００の管理する隣接ネットワークに設けられている図１８と同様の構成の不正アクセス対処システムも接続されており、各種のデータの受け渡しが行われる。なお、これらの機器間での各種のデータの授受は原則としてこの不正アクセス対処システム専用ネットワーク９００を介して行われる。
【０１８３】
不正アクセス対策マネージャサイト６００において不正アクセス対策マネージャプログラム６１０が実行されると、不正アクセス対策制御エンジン６１１、不正アクセス対策記録制御エンジン６１２、及びＩＯ制御エンジン６１３が構成される。
【０１８４】
不正アクセス対策制御エンジン６１１は組織間ポリシー交換部６０２、組織間認証部６０３、不正アクセス対策方法決定部６０４、不正アクセス対策場所決定部６０５、及び不正アクセス対策制御部６０６として機能する。
【０１８５】
不正アクセス対策記録制御エンジン６１２は不正アクセス対策記録部６０１として機能し、対策実施機器での不正アクセス対策の実施、中止、解除等に関わる各セッションの動作の履歴をＬｏｇＤＢ６２２に記録する。
【０１８６】
ＩＯ制御エンジン６１３は、運用管理システム６５０、ＩＳＰ管理端末６６０、不正アクセス通知エージェントサイト７００、及び不正アクセス対策実施エージェントサイト８００等との間での各種データの授受のための通信の制御や、ＬｏｇＤＢ６２２の動作制御を行う。なお、不正アクセス対策マネージャサイト６００は２つの通信インタフェースを有しており、その一方はＩＳＰネットワーク１０１に接続され、他方は不正アクセス対処システム専用ネットワーク９００に接続されている。但し、２つのネットワーク間のルーティングは行わない。この２つの通信インタフェースはＩＯ制御エンジン６１３によって管理され、不正アクセス通知エージェントサイト７００及び不正アクセス対策実施エージェントサイト８００との間での各種データの授受のための通信には不正アクセス対処システム専用ネットワーク９００が使用される。これは、ＩＳＰネットワーク１０１が不正アクセスの影響により通信路として利用できない場合でも各種データの授受を可能とするためである。
【０１８７】
証明書６２０は不正アクセス対策制御エンジン６１１の制御によって組織間認証が行われるときに使用されるものであり、例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式のものである。
【０１８８】
Ｐｏｌｉｃｙ（ポリシー）６２１は自ＩＳＰ１００であるＩＳＰネットワーク１０１のセキュリティポリシーが示されている情報ファイルであり、前述した実施形態１における設定情報１５０に示されていた情報のうち、自ＩＳＰ１００のセキュリティポリシーに関する情報である「対策解除時間閾値」及び「対策信頼閾値」のデータが示されている。
【０１８９】
ＬｏｇＤＢ６２２は対策実施機器での不正アクセス対策の実施、中止、解除等に関わる各セッションの動作の履歴が記録されるデータベースである。
不正アクセス通知エージェントサイト７００において不正アクセス通知プログラム７１０が実行されると、不正アクセス通知エンジン７１１、不正アクセス対策ＵＩエンジン７１２、トラフィックモニターエンジン７１３、及びＩＯ制御エンジン７１４が構成される。
【０１９０】
不正アクセス通知エンジン７１１は不正アクセス通知部７０１として機能する。
不正アクセス対策ＵＩエンジン７１２は不正アクセス対策ＵＩ部７０２として機能する。
【０１９１】
トラフィックモニターエンジン７１３はトラフィックモニター部７０３として機能し、収集した情報をトラフィックＤＢ７２０に格納する。
ＩＯ制御エンジン７１４は、ＩＤＳ１２０、不正アクセス対策サービス利用者端末２０２、不正アクセス対策マネージャサイト６００、及び不正アクセス対策実施エージェントサイト８００等との間での各種データの授受のための通信の制御や、トラフィックＤＢ７２０の動作制御を行う。
【０１９２】
なお、不正アクセス通知エージェントサイト７００は２つの通信インタフェースを有しており、その一方はＩＳＰネットワーク１０１に接続され、他方は不正アクセス対処システム専用ネットワーク９００に接続されている。但し、２つのネットワーク間のルーティングは行わない。この２つの通信インタフェースはＩＯ制御エンジン７１４によって管理され、不正アクセス対策マネージャサイト６００及び不正アクセス対策実施エージェントサイト８００との間での各種データの授受のための通信には不正アクセス対処システム専用ネットワーク９００が使用される。
【０１９３】
トラフィックＤＢ７２０は顧客境界ルータ１１０が通過させたトラフィックについての情報が記録されるデータベースである。
不正アクセス対策実施エージェントサイト８００において不正アクセス対策実施プログラム８０１が実行されると、不正アクセス対策実施エンジン８１１、トラフィックモニターエンジン８１２、及びＩＯ制御エンジン８１３が構成される。
【０１９４】
不正アクセス対策実施エンジン８１１は不正アクセス対策実施部８０２として機能する。
トラフィックモニターエンジン８１２はトラフィックモニター部８０１として機能し、収集した情報をトラフィックＤＢ８２０に格納する。
【０１９５】
ＩＯ制御エンジン８１３は、境界ルータ１１３や不正アクセス対策マネージャサイト６００、不正アクセス通知エージェントサイト７００等との間での各種データの授受のための通信の制御や、トラフィックＤＢ８２０の動作制御を行う。
【０１９６】
なお、不正アクセス対策実施エージェントサイト８００は２つの通信インタフェースを有しており、その一方はＩＳＰネットワーク１０１に接続され、他方は不正アクセス対処システム専用ネットワーク９００に接続されている。但し、２つのネットワーク間のルーティングは行わない。この２つの通信インタフェースはＩＯ制御エンジン８１３によって管理され、不正アクセス対策マネージャサイト６００及び不正アクセス通知エージェントサイト７００との間での各種データの授受のための通信には不正アクセス対処システム専用ネットワーク９００が使用される。
【０１９７】
トラフィックＤＢ８２０は境界ルータ１１３が通過させたトラフィックについての情報が記録されるデータベースである。
なお、図１８に示した不正アクセス対策マネージャサイト６００、不正アクセス通知エージェントサイト７００、及び不正アクセス対策実施エージェントサイト８００は、いずれも例えば図６に示すような、標準的なハードウェア構成を有するコンピュータを用いて構成することができるが、上述したように、これらのサイトとして使用されるコンピュータには通信インタフェース５０７を１つ増設してバス５０８に接続しておくようにする。
【０１９８】
以下、図１７に示した不正アクセス対処システムを構成する各サイトで図１８に示した各種のプログラムを実行することによって構成される各部によって行われる処理の内容について説明する。
【０１９９】
なお、図１７に示した不正アクセス対処システムでは、これより説明するトラフィックモニター手順、不正アクセス通知手順、不正アクセス対策ＵＩ手順、不正アクセス対策制御手順、不正アクセス対策実施手順、及び不正アクセス対策記録手順が並行して進められる。
【０２００】
まず図１９について説明する。同図はトラフィックモニターエンジン７１３及び８１２の各々において行われるトラフィックモニター手順の内容をフローチャートで示したものである。
【０２０１】
まず、Ｓ１５１においてスレッドの分岐が行われ、その一方ではＳ１５２の繰り返し手順が、他方ではＳ１５３からＳ１５５にかけての繰り返しの手順が、それぞれ実行される。
【０２０２】
Ｓ１５２では、顧客境界ルータ１１０（トラフィックモニターエンジン７１３においてこの手順が行われる場合）若しくは境界ルータ１１３（トラフィックモニターエンジン８１２においてこの手順が行われる場合）が通過させたトラフィックであるパケットがキャプチャー（捕獲）される。以降、Ｓ１５２の手順が繰り返されて顧客境界ルータ１１０若しくは境界ルータ１１３が通過させたパケットが全てキャプチャーされる。
【０２０３】
Ｓ１５３では、Ｓ１５３からＳ１５５にかけてのスレッドの実行が一定の時刻レンジだけ、例えば１０分間だけスリープ（停止）され、その後、所定の時刻レンジが経過したときにＳ１５４の手順に進む。
【０２０４】
Ｓ１５４では、Ｓ１５２の処理によってキャプチャーされているパケットの数が、接続ＩＤ、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、及びＤｉｓｔＰｏｒｔをキーにして計数され、続くＳ１５５においてその計数の結果を示すデータが監視情報としてトラフィックＤＢ７２０（トラフィックモニターエンジン７１３においてこの手順が行われる場合）若しくはトラフィックＤＢ８２０（トラフィックモニターエンジン８１２においてこの手順が行われる場合）に格納される。このＳ１５５の手順が完了した後にはＳ１５３へ手順を戻して上述した手順が繰り返される。
【０２０５】
ここで図２０について説明する。同図は上述したＳ１５５の手順によってデータの格納が行われるトラフィックＤＢ７２０及び８２０各々のデータ構造を示している。図２０に示したデータ構造と図９に示した実施形態１におけるものとは、図２０のデータ構造では各レコードに「接続ＩＤ」なるフィールドが追加されている点においてのみ異なっており、他は同一であるので、ここではこの「接続ＩＤ」についてのみ説明する。
【０２０６】
接続ＩＤは、自ＩＳＰ１００の管理するＩＳＰネットワーク１０１の利用者に個別に割り当てられている識別子である。接続ＩＤと計数対象とするパケットとの関係は、そのパケットに示されているＳｒｃＩＰ（送信元のＩＰアドレス）を運用管理システム６５０に送付して問い合わせを行うことによって運用管理システム５０１から得ることができる。
【０２０７】
図２０に示されているデータ例のうち第一行目のレコードについて解説すると、接続ＩＤとして「ＡＢＣ０１２３４」が割り当てられているＩＳＰネットワーク１０１の利用者は、「１０：００−１０：１０」の時間内に、送信元のＩＰアドレスが「２０２．２４８．２０．２５４」、宛先のＩＰアドレスが「２０２．２４８．２０．６８」、そして宛先のポート番号が「８０」である「１４５６」個のパケットを境界ルータ１１３に流入させたことを示している。
【０２０８】
なお、トラフィックＤＢ８２０では上述したデータが境界ルータ１１３毎に格納される。
次に、不正アクセス通知エンジン７１１によって行なわれる不正アクセス通知手順について説明する。この不正アクセス通知手順の内容は、実施形態１において不正アクセス通知エンジン１４３によって行なわれる図１０に示したものとほぼ同様であり、Ｓ２０３において行われる不正アクセス通知の通知先が実施形態２においては不正アクセス対策マネージャサイト６００となる点で異なるのみであるので詳細な説明は省略する。但し、この不正アクセス通知のデータ形式が図１１に示したものとは若干異なっている。
【０２０９】
ここで図２１について説明する。同図は不正アクセス通知エンジン７１１によって不正アクセス対策マネージャサイト６００へ送付される不正アクセスの通知のデータ形式を示している。図２１に示したデータ形式と図１１に示した実施形態１におけるものとは、図２１のデータ形式では図１１に示したものが有しているものの他に、「所属ＩＳＰマネージャＩＰ」、「対策解除ポリシー」、及び「対策信頼ポリシー」の各情報が追加されている。そこで、ここではこれらの各情報についてのみ説明する。
【０２１０】
所属ＩＳＰマネージャＩＰは、不正アクセス通知エージェントサイト７００で生成された不正アクセス通知を最初に受け取ることとなる、自ＩＳＰ１００内の不正アクセス対策マネージャサイト６００に割り当てられているＩＰアドレスである。
【０２１１】
対策解除ポリシーは、自ＩＳＰ１００においてこの通知に係る不正アクセスの停止が検出されてからこの不正アクセスへの対策を解除するまでの時間である。対策信頼ポリシーは、対策実施機器に行わせるこの通知に係る不正アクセス対策の方法を自ＩＳＰ１００において決定するための基準とする値である。
【０２１２】
なお、対策解除ポリシー及び対策信頼ポリシーは、自ＩＳＰ１００におけるセキュリティポリシーで許容される範囲内で、例えば不正アクセスを受けている顧客から予めなされている指示に従って設定される。
【０２１３】
図２１に示されているデータ例のうちの例１について上記の各情報を解説すると、この通知に係る不正アクセスを検知したＩＤＳ１２０を管理している「ＩＳＰ ＡＢＣ」における不正アクセス対策マネージャサイト６００のＩＰアドレスは「ａ．ｂ．ｃ．１００」であり、対策解除ポリシーは「１０分」、対策信頼ポリシーは「９０％」であることを示している。
【０２１４】
なお、図１０のＳ２０３の手順において作成されて送付される不正アクセス通知においては、「対策解除ポリシー」及び「対策信頼ポリシー」については何も示されていない状態（例えばヌルデータ）で送付される。
【０２１５】
以上の不正アクセス通知手順が行われることによって、ＩＤＳ１２０による顧客ネットワーク２００への不正アクセスの検知の内容が不正アクセス対策マネージャサイト６００へ通知される。
【０２１６】
次に図２２について説明する。同図は不正アクセス対策ＵＩエンジン７１２によって行われる不正アクセス対策ＵＩ手順の内容をフローチャートで示したものである。
この手順は、まず、顧客サイト２００の管理者等が、不正アクセス対策サービス利用者端末２０２で例えばＷｅｂブラウザを機能させて不正アクセス通知エージェントサイト７００に対してこの手順の実行要求を行うことによって開始される。
【０２１７】
まず、Ｓ３５１では、不正アクセス対策マネージャサイト６００のＬｏｇＤＢ６２２に記録されている対策実施機器での不正アクセス対策の実施、中止、解除等に関わる各セッションの動作の履歴が取得され、この履歴の記録に基づき、対策実施機器で実施中である不正アクセス対策が対策対象としているトラフィックの種別毎の対策適正実施率が前掲した算出式に従って算出され、算出された対策適正実施率が昇順となるように種別毎のトラフィックが並べられて対策実施中リストが作成される。なお、このとき算出された対策適正実施率に基づいて、対応するトラフィックに係る不正アクセス通知の「対策適正実施率」の内容が更新される。
【０２１８】
Ｓ３５２では、顧客境界ルータ１１０が通過させたトラフィックの記録がトラフィックＤＢ７２０から取得され、この記録に基づき、顧客境界ルータ１１０が通過させたトラフィックであるパケットが、その時刻レンジ内におけるパケット数が降順となるように種別毎に並べられて対策対象外リストが作成される。
【０２１９】
Ｓ３５３では、Ｓ３５１において作成された対策実施中リストとＳ３５２において作成された対策対象外リストとが並べられ、さらに前述した「対策中止」及び「対策実施」のボタンアイコンが並べられて図７に示したような不正アクセス対策サービス操作画面が作成され、この操作画面を表現している画面データが不正アクセス対策サービス利用者端末２０２へ送付される。
【０２２０】
不正アクセス対策サービス利用者端末２０２ではこの画面データを受信するとＷｅｂブラウザの機能によってこの操作画面が表示される。顧客サイト２００の管理者等は、この操作画面をリスト順に参照してＩＤＳ１２０の誤動作に起因する不正アクセスの実施・非実施の誤りがあるかどうかを判断する。
【０２２１】
この管理者等による判断の結果、誤りが発見されたときには、管理者等はこの操作画面に示されている対策実施中リストまたは対策対象外リストから誤りの項目を選択した上で「対策中止」あるいは「対策実施」のボタンアイコンをクリック操作する。すると、項目の選択情報とクリックされたボタンアイコンの種別情報とがユーザ入力として不正アクセス対策サービス利用者端末２０２から不正アクセス対策通知エージェントサイト６００へと送付される。
【０２２２】
Ｓ３５４では、不正アクセス対策サービス利用者端末２０２から送られてくるこのユーザ入力の取り出しが行われ、続くＳ３５５において、このユーザ入力におけるクリックされたボタンアイコンの種別情報が「対策実施」のボタンアイコンであったか否かが判定される。そして、このＳ３５５の判定結果がＹｅｓならば、Ｓ３５６において、ユーザ入力における項目の選択情報に係る不正アクセス通知の「アクション」の内容を「対策実施」とし、一方、このＳ３５５の判定結果がＮｏ、すなわちユーザ入力におけるクリックされたボタンアイコンの種別情報が「対策中止」のボタンアイコンであったならば、Ｓ３５７において、ユーザ入力における項目の選択情報に係る前述した不正アクセス通知の「アクション」の内容を「対策中止」とする。
【０２２３】
Ｓ３５８では、Ｓ３５６若しくはＳ３５７の手順においてその内容が更新された不正アクセス通知が作成されて不正アクセス対策マネージャサイト６００へ送付される。
以上の不正アクセス対策ＵＩ手順が行われることによって、顧客サイト２００の管理者等による不正アクセス対策の修正指示を不正アクセス対策マネージャサイト６００が認識する。
【０２２４】
次に図２３について説明する。同図は不正アクセス対策制御エンジン６１１によって行われる不正アクセス対策制御手順の内容をフローチャートで示したものである。
まず、Ｓ４５１において、不正アクセス通知エージェントサイト７００からの不正アクセスの通知をひとつ取り出す。
【０２２５】
Ｓ４５２では、この取り出された不正アクセス通知に示されている前述したアクションが参照され、このアクションが「対策中止」とされているか否かが判定される。そして、この判定結果がＹｅｓならばＳ４６８に手順を進める。一方、この判定結果がＮｏ、すなわちこのアクションが「対策実施」とされているならば４５３に手順を進める。
【０２２６】
Ｓ４５３では、この取り出された不正アクセス通知に示されている前述した検知ＩＤが参照され、この取り出された不正アクセス通知がループしているか否か、すなわちこの検出ＩＤが過去に取得していた不正アクセス通知に示されていたか否か、より具体的にはこの検知ＩＤと同一のものがＬｏｇＤＢ６２２に記録されているか否かが判定される。そして、この判定結果がＹｅｓならばＳ４６６に手順が進み、ＮｏならばＳ４５４に手順が進む。
【０２２７】
Ｓ４５４では不正アクセス対策実施場所決定手順が実行される。この手順の詳細は図２４にフローチャートで示されている。
以下、この図２４の手順を先に説明する。
【０２２８】
まず、Ｓ４８１において、運用管理システム６５０に対する問い合わせが行われて、ＩＳＰネットワーク１０１に設置されている境界ルータ１１３の一覧が取得される。
Ｓ４８２では、不正アクセス対策実施エージェントサイト３００に対する問い合わせが行われ、図２３のＳ４５１の手順において取り出された不正アクセス通知に示されていた、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、及びＤｉｓｔＰｏｒｔの一致しているレコードをトラフィックＤＢ８２０から抽出する。そして、その抽出されたレコードに示されていたトラフィックが流入していた境界ルータ１１３を残してそのほかの境界ルータ１１３を前の手順で取得されていた境界ルータ１１３の一覧から除外する。
【０２２９】
Ｓ４８３では、先の一覧に残されている境界ルータ１１３から非常時接続利用者用端末４００のために設けられているもの（ＰＯＰ境界ルータ１１２）が抽出され、抽出されたＰＯＰ境界ルータ１１２についてのトラフィックＤＢ８２０の格納データから、前述した不正アクセス通知に関係しているデータレコードに示されている接続ＩＤが取得される。
【０２３０】
Ｓ４８４では、前の手順で取得された接続ＩＤで特定される利用者がＩＳＰネットワーク１０１に現在接続しているかどうかの問い合わせが運用管理システム６５０へ行われる。そして、この利用者がＩＳＰネットワーク１０１に現在接続しているのであればこの利用者によって現在使用されている非常時接続利用者端末からのパケットが流入している非常時接続境界ルータを抽出して先の一覧に残し、一方、この利用者が現在はＩＳＰネットワーク１０１に接続していないのであれば、この利用者によって使用されていた非常時接続利用者端末４００からの不正アクセスを流入させていたＰＯＰ境界ルータ１１２を先の一覧から除外する。
【０２３１】
Ｓ４８５では、一覧に残されている境界ルータ１１３の各々の接続先に基づいて、先の通知に係る不正アクセスについての対策を自組織（自ＩＳＰ１００）で実施するか、あるいはこの対策の実施を他組織（例えば隣接ＩＳＰ３００）に依頼するかを分類する。
【０２３２】
この分類の基準は、より具体的には、一覧に残されている境界ルータ１１３がＰＯＰ境界ルータ１１２であるか、あるいはそのＩＳＰネットワーク１０１と隣接ＩＳＰ３００との境界に設置されているＩＳＰ境界ルータ１１１であってその隣接ＩＳＰ３００と自ＩＳＰ１００とに信頼関係がないならば、自ＩＳＰ１００の管理するこの境界ルータ１１３においてこの対策を実施するものとする。一方、一覧に残されている境界ルータ１１３がＩＳＰネットワーク１０１と隣接ＩＳＰ３００との境界に設置されているＩＳＰ境界ルータ１１１であってその隣接ＩＳＰ３００と自ＩＳＰ１００とは信頼関係にあるならば、このＩＳＰ境界ルータ１１１では対策を行わずにその隣接ＩＳＰ３００にこの対策の実施を依頼するものとする。この手順によって前述した通知に係る不正アクセスについての対策を実施する場所が全て決定される。
【０２３３】
Ｓ４８５の手順を終えた後には図２３の手順へ戻る。
図２３のＳ４５５では、上述した不正アクセス対策実施場所決定手順で求めた対策実施場所が取り出される。
【０２３４】
Ｓ４５６では、Ｓ４５５の手順で取り出された対策実施場所のうち、未対策のまま残されている場所の数が０よりも大きいか否かが判定され、この判定結果がＹｅｓ、すなわち未対策の場所が残されているのであればＳ４５７に手順を進める。一方、この判定結果がＮｏ、すなわち対策を実施すべき全ての場所での対策が完了したならばＳ４５１へ手順を戻して上述した手順が繰り返される。
【０２３５】
Ｓ４５７では、Ｓ４５５の手順で取り出された対策実施場所のうち、未対策のまま残されている場所が一つ取り出される。
Ｓ４５８では、前の手順で取り出された場所が、自組織でこの対策を実施するとしていた境界ルータ１１３であるか否かが判定され、この判定結果がＹｅｓならばＳ４５９に手順を進める。一方、この判定結果がＮｏ、すなわちこの場所が隣接ＩＳＰ３００にこの対策の実施を依頼するものとしたＩＳＰ境界ルータ１１１であったならばＳ４６１に手順を進める。
【０２３６】
Ｓ４５９では、不正アクセス対策方法決定手順が実行される。この手順の詳細は図１４にフローチャートで示したものと基本的には同様であるので、詳細な説明は省略する。但し、このＳ４５９の手順においては、対策実施機器が境界ルータ１１３であること、そして、この境界ルータ１１３についての固有情報は運用管理システム６５０が有しているのでＳ４１１の手順では対策実施機器の固有情報を運用管理システム６５０から得るようにすることが前述した図１４についての説明と異なっている。
【０２３７】
Ｓ４６０では、Ｓ４５５の手順で取り出された場所である境界ルータ１１３を制御する不正アクセス対策実施エージェントサイト８００に対して不正アクセス対策要求が送付され、その後はＳ４６４に手順が進む。
【０２３８】
この不正アクセス対策要求には対策を実施させる境界ルータ１１３を特定する情報が示されており、更にＳ４５１の処理で取り出されていた不正アクセス通知が添付されている。この要求を受け取った不正アクセス対策実施エージェントサイト８００では、不正アクセス対策実施エンジン８１１によって不正アクセス対策実施手順が実行される。不正アクセス対策実施手順については後述する。
【０２３９】
ところで、前述したＳ４５８の手順における判定の結果がＮｏであったとき、すなわち前述したＳ４５５の手順において取り出された場所が、不正アクセスについての対策の実施を隣接ＩＳＰ３００に依頼するものとしたＩＳＰ境界ルータ１１１であったときにはＳ４６１において組織間認証手順が実行される。この手順の詳細は図２５にフローチャートで示されている。
【０２４０】
以下、この図２５の手順を先に説明する。
まず、Ｓ４９１においてサーバ認証処理が証明書６２０を用いて行われ、対策の依頼先である隣接ＩＳＰ（サーバ）３００が確かに信頼関係にあるＩＳＰであって悪意あるサイトのなりすましでないことの確認が行われる。
【０２４１】
続くＳ４９２ではクライアント認証処理が証明書６２０を用いて行われ、対策依頼元である自ＩＳＰ１００（クライアント）が確かに信頼関係にあるＩＳＰで、悪意あるサイトのなりすましでないことの確認が対策の依頼先であるＩＳＰで行われる。
【０２４２】
このＳ４９２の手順が終了したときには図２３の手順へ戻る。
以上の組織間認証手順が行われることによって、不正アクセス対策に関する情報の悪意あるサイトによるなりすましでの窃取が防止される。
【０２４３】
図２３においてＳ４６１に続いて行われるＳ４６２では組織間ポリシー交換手順が実行される。この手順の詳細は図２６にフローチャートで示されている。
以下、この図２６の手順を先に説明する。
【０２４４】
まず、Ｓ４９６において、第三者による情報の解読を不可能にするために、対策依頼元である自ＩＳＰ１００と対策依頼先である隣接ＩＳＰ３００との間で暗号アルゴリズムの交換が行われる。
【０２４５】
Ｓ４９７では、対策依頼元である自ＩＳＰ１００と対策依頼先である隣接ＩＳＰ３００との間でＰｏｌｉｃｙ６２１の情報である対策解除時間閾値の交換が行われ、そのうちの時間の短いものが両者間での対策解除時間閾値として採用される。
【０２４６】
Ｓ４９８では、対策依頼元である自ＩＳＰ１００と対策依頼先である隣接ＩＳＰ３００との間でＰｏｌｉｃｙ６２１の情報である対策信頼閾値の交換が行われ、そのうちの値の大きいものが両者間での対策信頼閾値として採用される。
【０２４７】
Ｓ４９９では、対策依頼元である自ＩＳＰ１００と対策依頼先である隣接ＩＳＰ３００との間でタイムゾーン（地域別時間帯情報）の交換が行われる。これは、双方で対策内容の記録を行うときの時刻情報をローカル時間で表わすことを可能にして利便性を向上させる等の用途のために行われるものである。
【０２４８】
このＳ４９９の手順が終了したときには図２３の手順へ戻る。
以上の組織間ポリシー交換手順が行われることによって、ネットワーク運用に関するセキュリティポリシーに組織間で違いが存在していても、その違いを調整した上での不正アクセスに対する対策を依頼先に実施してもらうことができるようになる。
【０２４９】
図２３においてＳ４６２に続いて行われるＳ４６３では、前述したＳ４５１の手順において取り出された不正アクセス通知が、対策依頼先である隣接ＩＳＰ３００へ転送される。なお、このとき、Ｓ４５１の手順において取り出された不正アクセス通知に示されている対策解除ポリシー及び対策信頼ポリシーの値と、前述した組織間ポリシー交換手順の実行によって採用された対策解除時間閾値及び対策信頼閾値とが異なっているときには、このときの対策解除時間閾値及び対策信頼閾値をそれぞれ対策解除ポリシー及び対策と対策信頼ポリシーの値として上書きした上で対策依頼先である隣接ＩＳＰ３００へ転送するようにする。
【０２５０】
Ｓ４６４では不正アクセス対策記録エンジン６１２へログ要求が送付され、上述したＳ４６０の手順またはＳ４６１からＳ４６３にかけての手順で行われた処理の内容の記録の依頼が行われる。なお、このログ要求には、Ｓ４５１の手順によって取得された不正アクセス通知が添付される。
【０２５１】
Ｓ４６５では、Ｓ４５４の不正アクセス対策実施場所決定手順で求めた対策実施場所数を１減らし、その後はＳ４５６へ手順を戻して上述した処理が繰り返される。
ところで、前述したＳ４５３の手順における判定の結果がＹｅｓであったときには、その後も不正アクセス通知の転送がＩＳＰ間で繰り返される（不正アクセス通知がループしている）だけで不正アクセスに対する対策が全くなされてないおそれがあると見ることができる。
【０２５２】
そこで、この場合には、まず、Ｓ４６６において、不正アクセス対策記録制御エンジン６１２へログ要求が送付され、ループしている不正アクセス通知を取得した旨の記録の依頼が行われる。なお、このログ要求には、Ｓ４５１の手順によって取得された不正アクセス通知が添付される。
【０２５３】
その後は、Ｓ４６７において、Ｓ４５１で取り出された不正アクセス通知を送付してきた通知元（すなわち不正アクセス対策依頼の依頼元）のＩＳＰの不正アクセス対策マネージャサイト６００に指示を与えて、そこで実行されている不正アクセス対策制御手順をＳ４５９から開始させることにより、この不正アクセス通知に係る不正アクセスに対する対策をそのＩＳＰ内で実施させるようにする。
【０２５４】
ところで、前述したＳ４５２の手順における判定の結果がＹｅｓであったとき、すなわちＳ４５１の手順において取り出された不正アクセス通知に示されている前述したアクションが「対策中止」とされていたならば、Ｓ４６８において、この不正アクセス通知に係る不正アクセスへの対策が自ＩＳＰ１００の管理する境界ルータ１１３で行われているか否かがＬｏｇＤＢ６２２に記録されている履歴を参照することによって判定される。
【０２５５】
そして、このＳ４６８の判定結果がＹｅｓならば、Ｓ４６９において、この対策が実施中である境界ルータ１１３を制御する不正アクセス対策実施エージェントサイト８００に対して不正アクセス対策中止要求が送付され、その後はＳ４７３に手順を進める。
【０２５６】
この不正アクセス対策中止要求には対策を中止させる境界ルータ１１３を特定する情報が示されており、更にＳ４５１の処理で取り出されていた不正アクセス通知が添付されている。この要求を受け取った不正アクセス対策実施エージェントサイト８００では、不正アクセス対策実施エンジン８１１によって不正アクセス対策実施手順が実行される。不正アクセス対策実施手順については後述する。
【０２５７】
一方、Ｓ４６８の判定結果がＮｏならば、Ｓ４７０において、前述したＳ４６１と同様の図２５の組織間認証手順が行われ、続くＳ４７１において、前述したＳ４５１の手順において取り出された不正アクセス通知が、対策依頼先である隣接ＩＳＰ３００へ転送される。
【０２５８】
Ｓ４７２では、不正アクセス対策記録エンジン６１２へログ要求が送付され、上述したＳ４６９の手順またはＳ４７０からＳ４７１にかけての手順で行われた処理の内容の記録の依頼が行われ、その後はＳ４５１へ手順を戻して上述した手順が繰り返される。なお、このログ要求には、Ｓ４５１の手順によって取得された不正アクセス通知が添付される。
【０２５９】
以上の不正アクセス対策制御手順が行われることによって、不正なアクセスへの対策の実施が指示されて顧客サイト２００のＷｅｂシステム２０１が不正なアクセスから保護される。
【０２６０】
次に図２７について説明する。同図は不正アクセス対策実施エンジン８１１に行われる不正アクセス対策実施手順の内容をフローチャートで示したものである。
まず、Ｓ５５１において、不正アクセス対策マネージャサイト６００から送られてきた不正アクセス対策についての要求が取得される。
【０２６１】
Ｓ５５２では、対策実施機器である境界ルータ１１３についての固有情報のうちの「ルータタイプ」、「ルータＩＰ」、「ルータＰＷ」の情報が運用管理システム６５０から取得される。
【０２６２】
Ｓ５５３では、Ｓ５５１の手順において取得された不正アクセス対策についての要求に含まれている不正アクセス通知が参照され、この通知の「アクション」の内容に従い、不正アクセス対策を実施させる、あるいは実施中の不正アクセス対策を中止させるための設定が、境界ルータ１１３に対して行われる。ここで不正アクセス対策を実施させる場合には、不正アクセス通知の「対策実施方法」に示されている方法での不正アクセス対策の実施設定が境界ルータ１１３に対して行われる。
【０２６３】
なお、この境界ルータ１１３への設定のためにＳ５５２の手順によって取得された各情報が使用され、境界ルータ１１３はこれらの設定が行なわれることによって決定に係る方法による不正アクセス対策が開始若しくは中止される。
【０２６４】
Ｓ５５４では、Ｓ５５３の手順によって境界ルータ１１３に対してなされた設定が、不正アクセス対策の実施を示すものであったか否かが判定される。この判定結果がＹｅｓならばＳ５５５においてスレットの分岐が行われ、その一方ではＳ５５１からＳ５５５にかけての繰り返しの手順が実行され、他方ではＳ５５６からＳ５６０にかけての手順が実行される。一方、Ｓ５５４の判定結果がＮｏ、すなわちＳ５５３の手順によって境界ルータ１１３に対してなされた設定が不正アクセス対策の中止を示すものであったならば、Ｓ５５１へ手順を戻して上述した手順が繰り返される。
【０２６５】
Ｓ５５６では、Ｓ５５３の手順で境界ルータ１１３に対して設定された不正アクセス対策の状況が取り出される。
Ｓ５５７では、この対策の状況が、不正アクセス対策の中止を示すものであったか否かが判定され、この判定結果がＹｅｓならばＳ５５５の手順によって分岐させたこのＳ５５６からＳ５６０にかけてのスレッドを直ちに終了させる。
【０２６６】
一方、Ｓ５５７の判定結果がＮｏ、すなわちＳ５５３の手順によって境界ルータ１１３に対してなされた設定が不正アクセス対策の実施を示すものであったならば、Ｓ５５８において、トラフィックＤＢ８２０に記録されている境界ルータ１１３が通過させたトラフィックについての情報が参照され、Ｓ５５１の手順において取得された不正アクセス対策についての要求に含まれている不正アクセス通知に示されている対策解除ポリシーの時間を超えて不正アクセスであるパケットが継続して境界ルータ５０３に到来していないかどうかが判定される。
【０２６７】
そして、このＳ５５８の判定結果がＹｅｓ、すなわち対策解除ポリシーの時間を超えて不正アクセスであるパケットが継続して到来していないのであればＳ５５９に手順を進め、一方、この判定結果がＮｏ、すなわち不正アクセスであるパケットが依然として到来しているかあるいは不正アクセスであるパケットが到来していない継続時間が対策解除ポリシーの時間に未だ満たないときにはＳ５５６へ手順を戻して上述した手順が繰り返される。
【０２６８】
Ｓ５５９では、境界ルータ１１３が制御されて前述したＳ５５３の手順で設定された不正アクセス対策が解除される。
Ｓ５６０では、不正アクセス対策マネージャサイト６００へログ要求が送付され、対策の実施解除の記録の依頼が行われる。なお、このログ要求には、Ｓ５５３の手順によって参照された不正アクセス通知が添付される。
【０２６９】
Ｓ５６０の手順を終えた後にはＳ５５５の手順によって分岐させたこのＳ５５６からＳ５６０にかけてのスレッドを終了させる。
以上の不正アクセス対策実施手順が行われることによって、不正なアクセスへの対策が実施されて顧客サイト２００のＷｅｂシステム２０１が不正なアクセスから保護される。
【０２７０】
次に図２８について説明する。同図は不正アクセス対策記録制御エンジン６１２によって行われる不正アクセス対策記録手順の内容をフローチャートで示したものである。
まず、Ｓ６５１において、不正アクセス対策制御エンジン６１１または不正アクセス対策実施エージェントサイト８００から送られてくるログ要求が取り出される。
【０２７１】
Ｓ６５２では、現在の時刻、対策が実施されあるいは対策が中止される場所である境界ルータ１１３や隣接ＩＳＰ３００を特定する情報、自ＩＳＰ１００でなされた処置の内容を示すアクション（「対策実施」、「対策転送」、「対策中止」、「対策解除」）、及びＳ６５１において取り出されたログ要求に添付されている不正アクセス通知の内容とがログに記録されてＬｏｇＤＢ６２２に格納される。
【０２７２】
Ｓ６５３では、上述したアクションの内容が「対策解除」であって、Ｓ６５１において取り出されたログ要求に添付されている不正アクセス通知における「所属ＩＳＰ」が自ＩＳＰ１００と異なっている、すなわちこの不正アクセス通知が他のＩＳＰにおいて生成されて転送されてきたものであるか否かが判定される。そして、この判定結果がＹｅｓならば、Ｓ６５４において、前述したものと同様の図２５の組織間認証手順が行われ、続くＳ６５５において、その不正アクセス通知における「所属ＩＳＰマネージャＩＰ」に示されているアドレスへ宛てて、Ｓ６５１の手順において取り出されたログ要求が転送される。
【０２７３】
Ｓ６５５の手順を終えたとき、またはＳ６５３の判定結果がＮｏｗであったときには、Ｓ６５１へと手順を戻し、以降は上述した手順が繰り返される。
以上の不正アクセス対策記録手順が行われることにより、自ＩＳＰ１００の管理者は顧客サイト２００に対する不正アクセスへの対処の状況をこの履歴の記録から把握することができるようになる。
【０２７４】
なお、本発明を実施する不正アクセス対処システムの各構成要素によって実行される各種の制御プログラムをコンピュータで読み取り可能な記録媒体に記録させ、その制御プログラムを記録媒体からコンピュータに読み出させて実行させることによって本発明を実施するようにしてもよい。
【０２７５】
記録させた制御プログラムをコンピュータで読み取ることの可能な記録媒体の例を図２９に示す。このような記録媒体としては、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学作用によって蓄積し、コンピュータから読み取ることができるものであればよく、このような記録媒体としては、同図に示すように、例えば、コンピュータ９０１に内蔵若しくは外付けの付属装置として備えられるＲＡＭ若しくはＲＯＭ又はハードディスク装置などのメモリ９０２、あるいはフレキシブルディスク、ＭＯ（光磁気ディスク）、ＣＤ−ＲＯＭ、ＣＤ−Ｒ／Ｗ、ＤＶＤ、８ｍｍテープ、メモリカードなどといった可搬型記録媒体９０３等が利用できる。
【０２７６】
また、記録媒体は通信回線９０４を介してコンピュータ９０１と接続される、プログラムサーバ９０５として機能するコンピュータが備えている記憶装置９０６であってもよい。この場合には、制御プログラムを表現するデータ信号で搬送波を変調して得られる伝送信号を、プログラムサーバ９０５から伝送媒体である通信回線９０４を通じて伝送するようにし、コンピュータ９０１では受信した伝送信号を復調して制御プログラムを再生することで当該制御プログラムを実行できるようになる。
【０２７７】
ここで、伝送媒体としては、有線通信媒体、例えば、同軸ケーブルおよびツイストペアケーブルを含む金属ケーブル類、光通信ケーブル等、または、無線通信媒体、例えば、衛星通信、地上波無線通信等のいずれでもよい。
【０２７８】
また、搬送波は、データ通信信号を変調するための電磁波または光である。但し、搬送波は直流信号でもよい。この場合にはデータ通信信号は搬送波がないベースバンド波形になる。したがって、搬送波に具現化されたデータ通信信号は、変調されたブロードバンド信号を変調されていないベースバンド信号（電圧０の直流信号を搬送波とした場合に相当）のいずれでもよい。
【０２７９】
その他、本発明は、上述した実施形態に限定されることなく、本発明の要旨を逸脱しない範囲内で種々の改良・変更が可能である。
（付記１） 通信ネットワーク上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成する対策実施状況画面生成手段と、
前記トラフィックの種別毎になされる前記対策の実施の指示若しくは実施中である該対策の中止の指示を取得する対策実施指示取得手段と、
前記対策を実施させる制御若しくは実施中である該対策を中止させる制御を前記指示に基づいて行う対策実施制御手段と、
を有することを特徴とする不正アクセス対処システム。
【０２８０】
（付記２） 通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定手段と、
前記決定に基づいた手法によって前記対策を実施させる制御を行う対策実施制御手段と、
を有することを特徴とする不正アクセス対処システム。
【０２８１】
（付記３） 通信ネットワーク上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成する対策実施状況画面生成処理と、
前記トラフィックの種別毎になされる前記対策の実施の指示若しくは実施中である該対策の中止の指示を取得する対策実施指示取得処理と、
前記対策を実施させる制御若しくは実施中である該対策を中止させる制御を前記指示に基づいて行う対策実施制御処理と、
をコンピュータに行わせるための不正アクセス対処処理プログラム。
【０２８２】
（付記４） 前記位置を通過したトラフィックが流入する流入先へ前記画面が表現されているデータを送付するデータ送付処理を更に前記コンピュータに行わせ、
前記対策実施指示取得処理は、前記指示を前記流入先から取得する処理を前記コンピュータに行わせる、
ことを特徴とする付記３に記載の不正アクセス対処処理プログラム。
【０２８３】
（付記５） 前記対策実施状況画面生成処理は、実施中である前記対策が対象としている種別毎のトラフィックを、該種別のトラフィックを対象としてなされていた該対策が過去において中止されることなく実施された割合の低い順に並べてなる画面を生成する処理を前記コンピュータに行わせることを特徴とする付記３に記載の不正アクセス対処処理プログラム。
【０２８４】
（付記６） 前記対策実施制御処理の実行によって行われた制御の履歴を記録する対策実施履歴記録処理を更に前記コンピュータに行わせ、
前記対策実施状況画面生成処理は、前記履歴に基づいて前記画面を生成する処理を前記コンピュータに行わせる、
ことを特徴とする付記５に記載の不正アクセス対処処理プログラム。
【０２８５】
（付記７） 前記対策実施状況画面生成処理は、前記対策が実施中ではない種別毎のトラフィックを、該種別のトラフィックの前記位置の通過量の多い順に並べてなる画面を生成する処理を前記コンピュータに行わせることを特徴とする付記３に記載の不正アクセス対処処理プログラム。
【０２８６】
（付記８） 前記対策実施制御処理は、
前記不正なアクセスの前記通信ネットワークへの流入路の探索を行う探索処理と、
前記対策を実施する場所の決定を前記探索の結果に基づいて行う対策実施場所決定処理と、
前記不正なアクセスを前記通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて、該決定と前記対策実施指示取得処理の実行によって取得された指示との通知を該流入元へ行う通知処理と、
を前記コンピュータに行わせることを特徴とする付記３に記載の不正アクセス対処処理プログラム。
【０２８７】
（付記９） 前記通知処理は、前記不正なアクセスの流入元との間で相互認証を行った後に前記通知を該流入元へ行う処理を前記コンピュータに行わせることを特徴とする付記８に記載の不正アクセス対処処理プログラム。
【０２８８】
（付記１０） 前記通知処理は、前記不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前記通知を該流入元へ行う処理を前記コンピュータに行わせることを特徴とする付記８に記載の不正アクセス対処処理プログラム。
【０２８９】
（付記１１） 通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定処理と、
前記決定に基づいた手法によって前記対策を実施させる制御を行う対策実施制御処理と、
をコンピュータに行わせるための不正アクセス対処処理プログラム。
【０２９０】
（付記１２） 前記対策手法決定処理は、前記決定の結果としてＡＣＬ（アクセス・コントロール・リスト）フィルタと流量制御とが選択可能であるときには、前記割合が所定の閾値よりも大きい場合にＡＣＬフィルタを選択し、該割合が該所定の閾値よりも小さい場合に流量制御を選択する処理を前記コンピュータに行わせることを特徴とする付記１１に記載の不正アクセス対処処理プログラム。
【０２９１】
（付記１３） 前記対策手法決定処理は、前記決定の結果としてＡＣＬ（アクセス・コントロール・リスト）フィルタとキュー制御とが選択可能であるときには、前記割合が所定の閾値よりも大きい場合にＡＣＬフィルタを選択し、該割合が該所定の閾値よりも小さい場合にキュー制御を選択する処理を前記コンピュータに行わせることを特徴とする付記１１に記載の不正アクセス対処処理プログラム。
【０２９２】
（付記１４） 前記対策手法決定処理は、前記決定の結果として流量制御とキュー制御とが選択可能であるときには、前記割合が所定の閾値よりも大きい場合に流量制御を選択し、該割合が該所定の閾値よりも小さい場合にキュー制御を選択する処理を前記コンピュータに行わせることを特徴とする付記１１に記載の不正アクセス対処処理プログラム。
【０２９３】
（付記１５） 前記対策実施制御処理の実行によって行われた制御の履歴を記録する対策実施履歴記録処理を更に前記コンピュータに行わせ、
前記対策手法決定処理は、前記履歴に基づいて前記対策の手法を決定する処理を前記コンピュータに行わせる、
ことを特徴とする付記１１に記載の不正アクセス対処処理プログラム。
【０２９４】
（付記１６） 前記対策実施制御処理は、
前記不正なアクセスの前記通信ネットワークへの流入路の探索を行う探索処理と、
前記対策を実施する場所の決定を前記探索の結果に基づいて行う対策実施場所決定処理と、
前記不正なアクセスを前記通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて、該決定と前記対策手法決定処理の実行によって決定された手法との通知を該流入元へ行う通知処理と、
を前記コンピュータに行わせることを特徴とする付記１１に記載の不正アクセス対処処理プログラム。
【０２９５】
（付記１７） 前記通知処理は、前記不正なアクセスの流入元との間で相互認証を行った後に前記通知を該流入元へ行う処理を前記コンピュータに行わせることを特徴とする付記１６に記載の不正アクセス対処処理プログラム。
【０２９６】
（付記１８） 前記通知処理は、前記不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前記通知を該流入元へ行う処理を前記コンピュータに行わせることを特徴とする付記１６に記載の不正アクセス対処処理プログラム。
【０２９７】
（付記１９） 前記セキュリティポリシーに関する情報は、前記対策手法決定処理の実行によって前記対策の手法を決定するときの基準とする前記割合についての閾値を示す情報であることを特徴とする付記１８に記載の不正アクセス対処処理プログラム。
【０２９８】
（付記２０） 前記セキュリティポリシーに関する情報によって示されている閾値が前記通信ネットワークと前記流入元とで異なっているときには、前記対策手法決定処理の実行において、両者のうちその値が大きい方を、前記対策の手法を決定するときの基準とする前記割合についての閾値とすることを特徴とする付記１９に記載の不正アクセス対処処理プログラム。
【０２９９】
（付記２１） 通信ネットワーク上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成し、
前記トラフィックの種別毎になされる前記対策の実施の指示若しくは実施中である該対策の中止の指示を取得し、
前記指示に基づいて前記対策を実施させ若しくは実施中である該対策を中止させる、
ことを特徴とする不正アクセス対処方法。
【０３００】
（付記２２） 通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定し、
前記決定に基づいた手法によって前記対策を実施させる、
ことを特徴とする不正アクセス対処方法。
【０３０１】
（付記２３） 通信ネットワーク上の所定の位置に流入するトラフィックのうち、不正なアクセスからアクセス先を保護するための対策が実施中であるものを識別可能な画面を生成する対策実施状況画面生成処理と、
前記トラフィックの種別毎になされる前記対策の実施の指示若しくは実施中である該対策の中止の指示を取得する対策実施指示取得処理と、
前記対策を実施させる制御若しくは実施中である該対策を中止させる制御を前記指示に基づいて行う対策実施制御処理と、
をコンピュータに行わせるための不正アクセス対処処理プログラムを記録した該コンピュータで読み取り可能な記録媒体。
【０３０２】
（付記２４） 通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定処理と、
前記決定に基づいた手法によって前記対策を実施させる制御を行う対策実施制御処理と、
をコンピュータに行わせるための不正アクセス対処処理プログラムを記録した該コンピュータで読み取り可能な記録媒体。
【符号の説明】
【０３０３】
１０、３０ 不正アクセス対処システム
１１ 対策実施状況画面生成手段
１２ 対策実施指示取得手段
１３、３２ 対策実施制御手段
１３−１、３２−１ 探索手段
１３−２、３２−２ 対策実施場所決定手段
１３−３、３２−３ 通知手段
１４ データ送付手段
１５、３３ 対策実施履歴記録手段
２０ 通信ネットワーク
３１ 対策方法決定手段
１００ 自ＩＳＰ
１０１ ＩＳＰネットワーク
１１０ 顧客境界ルータ
１１１ ＩＳＰ境界ルータ
１１２ ＰＯＰ境界ルータ
１１３、２００１、２００２、２００３、３００１、４００１ 境界ルータ
１２０ ＩＤＳ
１３０ 不正アクセス対策サイト
１３１、７０１ 不正アクセス通知部
１３２、７０２ 不正アクセス対策ＵＩ部
１３３、６０４ 不正アクセス対策方法決定部
１３４、８０２−１、８０２−２ 不正アクセス対策実施部
１３５、６０６ 不正アクセス対策制御部
１３６、７０３、８０１−１、８０１−２ トラフィックモニター部
１３７、６０１ 不正アクセス対策記録部
１４０ 不正アクセス対策プログラム
１４１、６１１ 不正アクセス対策制御エンジン
１４２、７１２ 不正アクセス対策ＵＩエンジン
１４３、７１１ 不正アクセス通知エンジン
１４４、８１１ 不正アクセス対策実施エンジン
１４５、７１３、８１２ トラフィックモニターエンジン
１４６、６１２ 不正アクセス対策記録制御エンジン
１４７、６１３、７１４、８１３ ＩＯ制御エンジン
１５０ 設定情報
１５１、７２０、８２０ トラフィックＤＢ
１５２、６２２ ＬｏｇＤＢ
２００、１０００ 顧客サイト
２０１、１００１ Ｗｅｂシステム
２０２ 不正アクセス対策サービス利用者端末
２０３、１００２ ファイアウォール
３００ 隣接ＩＳＰ
４００ 非常時接続利用者端末
５０１ ＣＰＵ
５０２ ＲＡＭ
５０３ ＲＯＭ
５０４ ＨＤＤ
５０５ 入力部
５０６ 出力部
５０７ 通信インタフェース
５０８ バス
６００ 不正アクセス対策マネージャサイト
６０２ 組織間ポリシー交換部
６０３ 組織間認証部
６０５ 不正アクセス対策場所決定部
６１０ 不正アクセス対策マネージャプログラム
６２０ 証明書
６２１ Ｐｏｌｉｃｙ
６５０ 運用管理システム
６６０ ＩＳＰ管理端末
７００ 不正アクセス通知エージェントサイト
７１０ 不正アクセス通知プログラム
８００、８００−１、８００−２ 不正アクセス対策実施エージェントサイト
８１０ 不正アクセス対策実施プログラム
９００ ＩＳＰ不正アクセス対処システム専用ネットワーク
９０１ コンピュータ
９０２ メモリ
９０３ 可搬型記録媒体
９０４ 回線
９０５ プログラムサーバ
２０００ ＩＳＰ−Ａ
２００４ ルータ
２１００、３１００ 攻撃者端末
３０００ ＩＳＰ−Ｂ
３２００、４１００ 正規利用者端末
４０００ ＩＳＰ−Ｃ
【特許請求の範囲】
【請求項１】
通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定手段と、
前記決定に基づいた手法によって前記対策を実施させる制御を行う対策実施制御手段と、
を有することを特徴とする不正アクセス対処システム。
【請求項２】
通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定処理と、
前記決定に基づいた手法によって前記対策を実施させる制御を行う対策実施制御処理と、
をコンピュータに行わせるための不正アクセス対処処理プログラム。
【請求項３】
前記対策実施制御処理は、
前記不正なアクセスの前記通信ネットワークへの流入路の探索を行う探索処理と、
前記対策を実施する場所の決定を前記探索の結果に基づいて行う対策実施場所決定処理と、
前記不正なアクセスを前記通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて、該決定と前記対策手法決定処理の実行によって決定された手法との通知を該流入元へ行う通知処理と、
を前記コンピュータに行わせることを特徴とする請求項２に記載の不正アクセス対処処理プログラム。
【請求項４】
前記通知処理は、前記不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前記通知を該流入元へ行う処理を前記コンピュータに行わせることを特徴とする請求項３に記載の不正アクセス対処処理プログラム。
【請求項５】
前記セキュリティポリシーに関する情報は、前記対策手法決定処理の実行によって前記対策の手法を決定するときの基準とする前記割合についての閾値を示す情報であることを特徴とする請求項４に記載の不正アクセス対処処理プログラム。
【請求項１】
通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定手段と、
前記決定に基づいた手法によって前記対策を実施させる制御を行う対策実施制御手段と、
を有することを特徴とする不正アクセス対処システム。
【請求項２】
通信ネットワーク内を流れる所定のトラフィックを対象として不正なアクセスからアクセス先を保護するための対策を行うときの該対策の手法を、該所定のトラフィックを対象としてなされた該対策が過去において中止されることなく実施された割合に基づいて決定する対策手法決定処理と、
前記決定に基づいた手法によって前記対策を実施させる制御を行う対策実施制御処理と、
をコンピュータに行わせるための不正アクセス対処処理プログラム。
【請求項３】
前記対策実施制御処理は、
前記不正なアクセスの前記通信ネットワークへの流入路の探索を行う探索処理と、
前記対策を実施する場所の決定を前記探索の結果に基づいて行う対策実施場所決定処理と、
前記不正なアクセスを前記通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて、該決定と前記対策手法決定処理の実行によって決定された手法との通知を該流入元へ行う通知処理と、
を前記コンピュータに行わせることを特徴とする請求項２に記載の不正アクセス対処処理プログラム。
【請求項４】
前記通知処理は、前記不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前記通知を該流入元へ行う処理を前記コンピュータに行わせることを特徴とする請求項３に記載の不正アクセス対処処理プログラム。
【請求項５】
前記セキュリティポリシーに関する情報は、前記対策手法決定処理の実行によって前記対策の手法を決定するときの基準とする前記割合についての閾値を示す情報であることを特徴とする請求項４に記載の不正アクセス対処処理プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図１７】
【図１８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図１７】
【図１８】
【公開番号】特開２０１０−３３５９６（Ｐ２０１０−３３５９６Ａ）
【公開日】平成２２年２月１２日（２０１０．２．１２）
【国際特許分類】
【出願番号】特願２００９−２５２２６０（Ｐ２００９−２５２２６０）
【出願日】平成２１年１１月２日（２００９．１１．２）
【分割の表示】特願２００３−９５９２９（Ｐ２００３−９５９２９）の分割
【原出願日】平成１５年３月３１日（２００３．３．３１）
【国等の委託研究の成果に係る記載事項】（出願人による申告）国等の委託研究の成果に係る特許出願（平成１４年度通信・放送機構「サービス不能化（ＤＤｏｓ）攻撃に対する防御技術に関する研究開発」委託研究、産業活力再生特別措置法第３０条の適用を受けるもの）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２２年２月１２日（２０１０．２．１２）
【国際特許分類】
【出願日】平成２１年１１月２日（２００９．１１．２）
【分割の表示】特願２００３−９５９２９（Ｐ２００３−９５９２９）の分割
【原出願日】平成１５年３月３１日（２００３．３．３１）
【国等の委託研究の成果に係る記載事項】（出願人による申告）国等の委託研究の成果に係る特許出願（平成１４年度通信・放送機構「サービス不能化（ＤＤｏｓ）攻撃に対する防御技術に関する研究開発」委託研究、産業活力再生特別措置法第３０条の適用を受けるもの）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]