不正侵入検知システム、不正侵入検知装置および管理装置
【課題】ＩＤＳ装置の障害によっても、ＩＤＳ装置が設けられたネットワーク内の全てのパケットが通信不能とならない不正侵入検知システムを得ること。
【解決手段】ネットワークａ上を流れるパケットをコピーし、このコピーしたパケットを解析して不正パケットの検知を行なう不正侵入検知装置３０と、ネットワークｂ上を流れるパケットを直接解析して、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置４０と、をネットワーク１０に配置した不正侵入検知システムであって、不正侵入検知装置３０は、不正パケットを検知した場合に、該不正パケットを中継したルータ装置１５に対して、不正パケットの宛先と同じ宛先へのパケットを不正侵入対処装置４０へ送信するように指示する転送先変更メッセージを送信する不正パケット対処部３５を備える。
【解決手段】ネットワークａ上を流れるパケットをコピーし、このコピーしたパケットを解析して不正パケットの検知を行なう不正侵入検知装置３０と、ネットワークｂ上を流れるパケットを直接解析して、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置４０と、をネットワーク１０に配置した不正侵入検知システムであって、不正侵入検知装置３０は、不正パケットを検知した場合に、該不正パケットを中継したルータ装置１５に対して、不正パケットの宛先と同じ宛先へのパケットを不正侵入対処装置４０へ送信するように指示する転送先変更メッセージを送信する不正パケット対処部３５を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、公衆ネットワークや共有ネットワークにおいてＩＤＳ（Intrusion Detection System）装置またはＩＤＰ（Intrusion Detection Protection）装置などの不正侵入検知装置を配置して不正パケットに対する検知および対処を行う不正侵入検知システムに関するものである。また、この不正侵入検知システムで使用される不正侵入検知装置と管理装置にも関するものである。
【背景技術】
【０００２】
ＩＤＳ装置やＩＤＰ装置に代表される不正検知技術は、不正なパケットであるか否かの分析をパケット内のデータに基づいて実施しており、シグネチャー処理やログ解析処理などのさまざまな分析処理を用いて不正なパケットを検出し、悪意のあるユーザからの不正パケットを排除するものである。
【０００３】
ＩＤＳ装置には、ネットワーク上を流れるパケットを監視するネットワーク型ＩＤＳ装置と、ホストに到達したパケットをそのホストが検証するホスト型ＩＤＳ装置がある。しかし、ホスト型ＩＤＳ装置の場合には、監視する必要のある全てのホストに導入する必要があり、運用コストがかかってしまうという問題点を有する。これに対して、ネットワーク型ＩＤＳ装置は、基本的には１つのネットワークに対して１台の装置を導入すればよく、また、ネットワーク上を流れるパケットを基にして分析するために、不正パケットを検出した時点で即座に対応することが可能であり、実際の攻撃からシステムを防御することができる（たとえば、非特許文献１参照）。
【０００４】
このようなネットワーク型ＩＤＳ装置は、ネットワークの通り道に設置するインライン型の形態のものと、ネットワーク上を通過するパケットの監視のみを行うネットワーク型の形態のもの（狭義のネットワーク型ＩＤＳ装置）とにさらに大別される。狭義のネットワーク型ＩＤＳ装置では、ネットワーク上の通過パケットをコピーしてパケットをチェックする形態であるため、不正を検知したとしても廃棄などの対処を行うことはできない。一方のインライン型ＩＤＳ装置は、ファイアウォールのようにネットワークの通り道に設置して、ネットワークを通過するパケットを監視するものであるので、パケットをチェックして異常を検知すると、そのパケットがネットワークに到達する前に自動的にパケットを遮断したり、攻撃を行っているＩＰアドレスからのパケットを破棄したり、セッションの切断などの対処を行うことができる。
【０００５】
【非特許文献１】丸山龍一郎，"［特集］不正浸入対策最前線（後編）〜侵入検知システムでのトータルセキュリティの構築〜"，[online]，２００１年９月１５日，２００４年１１月１１日検索，インターネット＜URL: http://www.atmarkit.co.jp/fsecurity/special/07ids/ids01c.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記従来のインライン型ＩＤＳ装置では、ネットワークの通り道に設置したＩＤＳ装置が全てのパケットを検査し、許可したパケットだけを通すように構成しているために、ＩＤＳ装置の故障や、ＩＤＳ装置自体への攻撃などでダウンしてしまった場合には、全てのパケットが通信不能になってしまうという問題点があった。
【０００７】
この発明は上記に鑑みてなされたもので、ＩＤＳ装置の障害によっても、ＩＤＳ装置が設けられたネットワーク内の全てのパケットが通信不能とならない不正侵入検知システムを得ることを目的とする。また、この不正侵入検知システムで使用される不正侵入検知装置と管理装置を得ることも目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するため、この発明にかかる不正侵入検知システムは、ネットワーク上を流れるパケットをコピーし、このコピーしたパケットを解析して不正パケットの検知を行なう不正侵入検知装置と、ネットワーク上を流れるパケットを直接解析して、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置と、をネットワークに配置した不正侵入検知システムであって、前記不正侵入検知装置は、不正パケットを検知した場合に、該不正パケットを中継したルータ装置に対して、前記不正パケットの宛先と同じ宛先へのパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを送信する不正パケット対処手段を備えることを特徴とする。
【発明の効果】
【０００９】
この発明によれば、不正パケットが検出された場合に、ルータ装置は、不正パケットと同じ宛先のパケットを不正侵入対処装置側へ中継し、それ以外のパケットを不正侵入検知装置側へ中継するので、不正侵入検知装置では不正パケットと同じ宛先以外の宛先のパケットを監視するだけでよく、不正侵入対処装置では不正パケットと同じ宛先のパケットだけを監視すればよいので、不正パケット検出時にかかる負荷を２つの装置間で分散することができるという効果を有する。また、不正侵入検知装置で不正を検査し、不正パケットと同じ宛先へのパケットのみを不正侵入対処装置で処理するため、不正侵入検知装置が故障したとしても、パケットの転送を妨げることはない。また、不正侵入対処装置が故障したとしても、不正パケットの宛先への通信のみが不能になるが、他の正常なパケットは不正侵入検知装置側のネットワークを通るので通信を妨げることはない。さらに、転送先変更メッセージとして標準のＩＣＭＰパケットを利用することで、ネットワーク上の既存のルータ装置に改造を加えることなく、この発明を適用することができる。
【発明を実施するための最良の形態】
【００１０】
以下に添付図面を参照して、この発明にかかる不正侵入検知システム、不正侵入検知装置および管理装置の好適な実施の形態を詳細に説明する。
【００１１】
実施の形態１．
図１は、この発明にかかる不正侵入検知システムの実施の形態１の構成の概略を模式的に示す図である。この不正侵入検知システムは、端末装置１１を有しルータ装置１５に収容されるネットワーク１０と、端末装置２１を有しルータ装置２５に収容されるネットワーク２０との間に、通信回線（ネットワーク）ａを流れるパケットをコピーして不正パケットの侵入を検知する不正侵入検知装置３０と、通信回線（ネットワーク）ｂを流れるパケットを取り込んで不正パケットの侵入に対する処置を行う不正侵入対処装置４０とが配置された構成を有する。ここで、不正侵入検知装置３０と不正侵入対処装置４０は、ルータ装置１５，２５間を結ぶ別々の通信回線（ネットワーク）ａ，ｂにそれぞれ設けられており、不正侵入対処装置４０は、通信回線ｂの通り道上に設けられる。なお、この明細書において、不正侵入検知装置３０とは、ネットワーク型ＩＤＳ装置などのネットワーク上を流れるパケットをコピーして、コピーしたパケットを解析することによって不正パケットの侵入を検知する装置のことをいい、また、不正侵入対処装置４０とは、インライン型ＩＤＳ装置などのネットワーク上を流れるパケットを取り込んで、そのパケットを解析することによって不正パケットの侵入を検知するとともに不正パケットに対する処置を即座に行う装置のことをいうものとする。
【００１２】
ネットワーク１０，２０は、たとえばイーサネット（登録商標）、ＩＥＥＥ（Institute of Electrical and Electronics Engineers）８０２．３／８０２．２標準、ＩＥＥＥ８０２．３／ＳＮＡＰ（SubNetwork Access Protocol）、イーサネット（登録商標）（ＰＡＤつき）、ＳＤＨ（Synchronuos Digital Hierarchy）／ＳＯＮＥＴ（Synchronous Optical NETwork）（ＰＰＰ（Point to Point Protocol））、フレームリレー、ＦＤＤＩ（Fiber-Distributed Data Interface）、ＡＴＭ（Asynchronous Transfer Mode）などで構成されるネットワークである。ネットワーク１０，２０は、自ネットワーク内において各ノード装置間での通信が可能であるとともに、ルータ装置１５，２５を介して、ユーザネットワーク１０内の各ノード装置とユーザネットワーク２０内の各ノード装置との間でも通信が可能である。
【００１３】
ルータ装置１５，２５は、所定のレイヤ３ルーティングプロトコルに基づいて、ルーティングテーブルを作成し、そのルーティングテーブルに基づいてパケットを中継する処理を行う。図１では、ルータ装置１５はネットワーク１０のみを収容し、ルータ装置２５はネットワーク２０のみを収容しているが、実際には複数のネットワークを収容することができる。ここで、不正パケットが検出されない通常時において、ルータ装置１５のルーティングテーブルには、ネットワーク１０からネットワーク２０へ中継されるパケットのつぎの中継先アドレスであるネクストホップとしてルータ装置２５が設定されているものとする。
【００１４】
不正侵入検知装置３０は、ルータ装置１５，２５間の通信回線（ネットワーク）ａ上を流れるパケットが不正パケットであるか否かを検出する装置である。図２は、不正侵入検知装置の構成を模式的に示すブロック図である。この不正侵入検知装置３０は、ネットワークに接続される他のノード装置と通信するための通信部３１と、ネットワークａ上を流れるパケットをモニタするパケットモニタ部３２と、不正パケットのパターンを格納する不正パケットパターンデータベース３３と、不正パケットパターンデータベース３３を参照してモニタされたパケットが不正パケットであるか否かを判定する不正パケット判定部３４と、不正パケットと判定された場合に、不正パケットを中継したルータ装置に対して不正パケットの宛先アドレスと同じ宛先アドレスのパケットを不正侵入対処装置４０に中継させるための通知を送信する不正パケット対処部３５と、を備えて構成される。このような不正侵入検知装置３０として、ネットワーク型ＩＤＳ装置を用いることができる。
【００１５】
パケットモニタ部３２は、ネットワークａ上を流れるパケットをコピーして、コピーしたパケットの情報を不正パケット判定部３４に転送する機能を有する。不正パケットパターンデータベース３３は、不正パケットの攻撃パターンなどの不正パケットパターン情報を格納している。この不正パケットパターン情報は、過去に攻撃された不正パケットなどを用いて予め作成されるものである。
【００１６】
不正パケット判定部３４は、パケットモニタ部３２から転送されたパケットの情報を分析し、不正パケットパターンデータベース３３中の不正パケットパターン情報と一致するか否かを判定する機能を有する。不正パケットパターン情報と一致しない場合には、何も動作を行わない。一方、不正パケットパターン情報と一致する場合には、不正パケットの検出を知らせる不正パケット検出信号を不正パケット対処部３５に通知する。
【００１７】
不正パケット対処部３５は、不正パケット判定部３４から不正パケット検出信号を受信すると、不正パケットの宛先へ向かうパケットを不正侵入対処装置４０が設置されている通信回線（ネットワーク）ｂ側に中継するように指示する転送先変更メッセージを生成して、不正パケットを中継したルータ装置１５に対して送信する機能を有する。転送先変更メッセージとして、たとえばＩＥＴＦ（Internet Engineering Task Force）における標準ドキュメントＲＦＣ（Request For Comments）７９２に規定されているＩＣＭＰ（Internet Control Message Protocol）リダイレクション通知パケットを使用することができる。
【００１８】
図３は、ＩＰｖ４（Internet Protocol version 4）の場合におけるＩＣＭＰリダイレクション通知パケットの内容を模式的に示す図である。このＩＣＭＰリダイレクション通知パケット１００は、ＩＰヘッダ１１０とＩＣＭＰメッセージ１２０とから構成される。ＩＰヘッダ１１０は、レイヤ３においてＩＰを用いてデータの送信を行うために必要な送信元ＩＰアドレス１１２や宛先アドレス１１３などの情報を含む。このＩＰヘッダ１１０中のプロトコルフィールド１１１には、使用されるプロトコルである「ＩＣＭＰ」が設定され、宛先アドレス１１３には不正パケットを中継したルータ装置１５のＩＰアドレスが設定される。
【００１９】
ＩＣＭＰメッセージ１２０には、ＩＰヘッダ１１０の宛先アドレス１１３によって示されるルータ装置１５に対して転送先を変更するように指示するための内容が格納される。たとえば、タイプフィールド１２１には、上記ＲＦＣ７９２で定義されている方向転換（Redirect）を示す「５」が設定され、ゲートウェイＩＰアドレス１２２には、ルータ装置１５，２５間を結ぶもう一方の通信回線（ネットワーク）ｂ上に配置される不正侵入対処装置４０のＩＰアドレスが設定され、データ１２３には不正パケットのデータグラムの一部、具体的にはＩＰヘッダと先頭６４ビット分のデータ、が設定される。なお、ネットワークがＩＰｖ６（Internet Protocol version 6）の場合には、ＮＤＰ（Neighbor Discovery Protocol）で定義された、リダイレクトメッセージを使用する。
【００２０】
不正侵入対処装置４０は、ルータ装置１５，２５間の通信回線（ネットワーク）ｂ上を流れるパケットが不正パケットであるか否かを検出する装置である。図４は、不正侵入対処装置の構成を模式的に示すブロック図である。この不正侵入対処装置４０は、ネットワークに接続される他のノード装置と通信するための通信部４１と、不正パケットのパターンを格納する不正パケットパターンデータベース４２と、不正パケットパターンデータベース４２を参照してモニタされたパケットが不正パケットであるか否かを判定する不正パケット判定部４３と、不正パケット判定部４３の判定結果に応じて必要な対処を行う対処部４４と、を備えて構成される。このような不正侵入対処装置４０として、たとえばインライン型ＩＤＳ装置を用いることができる。
【００２１】
通信部４１は、ネットワークｂ上を流れるパケットを取り込み、そのパケットを不正パケット判定部４３に渡すとともに、取り込んだパケットが正常なパケットであった場合に再びネットワークｂに送出する機能を有する。不正パケットパターンデータベース４２は、図２の不正侵入検知装置３０の不正パケットパターンデータベース３３と同様に不正パケットパターン情報を予め格納している。
【００２２】
不正パケット判定部４３は、通信部４１から取り込んだパケットを分析し、不正パケットパターンデータベース４２中の不正パケットパターン情報と一致するか否かを判定し、その結果を対処部４４に出力する機能を有する。
【００２３】
対処部４４は、不正パケット判定部４３によって取り込んだパケットが不正パケットパターン情報と一致しないと判定された場合すなわち正常なパケットであると判定された場合には、そのパケットをパケットの宛先ＩＰアドレスに基づいて、通信部４１を介して送信する機能を有する。また、不正パケット判定部４３によって取り込んだパケットが不正パケットパターン情報と一致すると判定された場合すなわち不正パケットである場合には、その不正パケットの廃棄や不正フローの帯域制御などの対処を行う機能を有する。
【００２４】
ここで、この不正侵入検知システムにおけるパケット中継の動作処理の手順について、図５−１〜図５−２のフローチャートを参照しながら説明する。ここでは、図１において、ネットワーク１０からネットワーク２０の端末装置２１宛てのパケットを中継する場合を例に挙げて説明する。最初に、ルータ装置１５は、パケットを受信すると（ステップＳ１１）、ルーティングテーブルを参照してパケットの宛先アドレスに対応するネクストホップであるルータ装置２５にパケットを送信する（ステップＳ１２）。なお、このとき、ルータ装置２５宛てのパケットのネクストホップとして、ネットワークａを介して接続されるルータ装置２５に設定されているものとする。
【００２５】
ネットワークａ上の不正侵入検知装置３０は、ネットワークａ上を流れるパケットを通信部３１から受信し、パケットモニタ部３２でコピーする（ステップＳ１３）。コピー元のパケットはそのままネットワークａ上に流され、ルータ装置２５は、このパケットを受信し（ステップＳ１４）、パケットの中継処理は終了する。
【００２６】
一方、不正侵入検知装置３０は、不正パケット判定部３４でコピーしたパケットが不正パケットか否かを不正パケットパターンデータベース３３を参照して判定する（ステップＳ１５）。判定の結果、不正パケットではない場合（ステップＳ１５でＮｏの場合）には、不正侵入検知装置３０は何もせずにパケットの監視処理が終了する。また、不正パケットである場合（ステップＳ１５でＹｅｓの場合）には、不正パケット判定部３４は不正パケット検出信号を不正パケット対処部３５に通知する。不正パケット検出信号を受け取った不正パケット対処部３５は、不正パケットの宛先へ向かうパケットを不正侵入対処装置４０へ送信するように、宛先アドレスとして不正パケットの宛先アドレス、ネクストホップアドレスとして不正侵入対処装置のアドレスを含めた転送先変更メッセージを生成し、不正パケットの送信元であるルータ装置１５に送信する（ステップＳ１６）。この転送先変更メッセージとして、上述したように図３に示されるＩＣＭＰリダイレクション通知パケットを用いることができる。これにより、不正侵入検知装置３０によるパケットの監視処理が終了する。
【００２７】
ルータ装置１５は、不正侵入検知装置３０から転送先変更メッセージを受信すると（ステップＳ１７）、自ルータ装置のルーティングテーブル中の転送先変更メッセージ中に記載された宛先アドレスに一致するエントリのネクストホップアドレスを、転送先変更メッセージ中で指定されたネクストホップのアドレス（不正侵入対処装置４０のアドレス）に変更する（ステップＳ１８）。その後、ルータ装置１５がパケットを受信すると（ステップＳ１９）、パケットの宛先が不正パケットの宛先ではない場合（ステップＳ１２）には、宛先へのネクストホップであるルータ装置にパケットが送信され、パケットの宛先が不正パケットと同じである場合には、そのパケットをステップＳ１８で更新したルーティングテーブルに基づいて、ネクストホップである不正侵入対処装置４０に送信し、ルータ装置１５のパケットの中継処理が終了する。これによって、宛先が不正パケットと同じであるパケットは、ルータ装置１５からネットワークｂに送出される。
【００２８】
ネットワークｂ上に配置される不正侵入対処装置４０の通信部４１は、ルータ装置１５からのパケットを受信すると（ステップＳ２０）、不正パケット判定部４３でそのパケットが不正パケットか否かを不正パケットパターンデータベース４２を参照して判定する（ステップＳ２１）。判定の結果、不正パケットではない場合（ステップＳ２１でＮｏの場合）には、対処部４４は、受信したパケットをその宛先に基づいてルータ装置２５へと通信部４１を介して送信する（ステップＳ２２）。その後、ルータ装置２５は上述したステップＳ１４と同じようにパケットを受信して、パケットの中継処理が終了する。また、不正パケットである場合（ステップＳ２１でＹｅｓの場合）には、対処部４４は受信したパケットを廃棄するなどの処理を行い（ステップＳ２３）、不正侵入検知システムによるパケットの中継処理が終了する。
【００２９】
上述した説明において、不正侵入検知装置３０と不正侵入対処装置４０における不正検知の手法を限定するものではなく、種々の手法を用いることが可能である。
【００３０】
この実施の形態１によれば、不正侵入検知装置３０と不正侵入対処装置４０とを、２つのネットワーク１０，２０間における異なるネットワーク（通信回線）ａ，ｂ上に配置し、不正パケットが検出されない通常の場合には２つのネットワーク１０，２０間でやり取りされるパケットを不正侵入検知装置３０が配置されたネットワークａ上に流して、不正パケットを検出するとこの不正パケットと同じ宛先のパケットのみを不正侵入対処装置４０に送信するようにルータ装置１５に指示を与えるようにしたので、不正パケットの対処が確実に行えると共に、不正侵入検知装置３０にかかる負荷を抑えることができるという効果を有する。
【００３１】
また、不正侵入検知装置３０で不正を検査し、不正パケットと同じ宛先へのパケットのみを不正侵入対処装置４０で処理するため、不正侵入検知装置３０が故障したとしても、全てのパケットの転送が妨げられることはない。逆に、不正侵入対処装置４０が故障したとしても、不正なパケットの宛先への通信のみが不能になるが、他の正常なパケットの通信を妨げることはない。さらに、不正侵入検知装置３０と不正侵入対処装置４０のいずれかがダウンした場合に、ダウンしていないもう一方の経路を使用するように設定することで、通常のパケットの転送を妨げることはなく、しかもそのパケットが不正パケットか否かの監視も行うことができるという効果も有する。
【００３２】
実施の形態２．
図６は、この発明にかかる不正侵入検知システムの実施の形態２の構成の概略を模式的に示す図である。この不正侵入検知システムは、実施の形態１の図１において、ネットワーク１０は、通信回線（ネットワーク）ｃと不正侵入対処装置１４が挿入配置された通信回線（ネットワーク）ｄによって接続されるルータ装置１２，１３を有するとともに、ルータ装置１２，１３，１５，２５を管理する管理装置５０をさらに備える構成を有する。
【００３３】
管理装置５０は、ネットワーク１０，２０のほか不正侵入検知システムが適用されるネットワーク１０，２０に配置されるルータ装置１２，１３，１５，２５を管理する装置であり、各ルータ１２，１３，１５，２５間の上下関係を把握し、不正侵入検知装置３０からの不正パケット検出メッセージを受信すると、その不正パケット検出メッセージから、不正パケットを中継したルータ装置１５の上位のルータ装置１２を検索して、その上位のルータ装置１２に対して、不正パケットの宛先アドレスと同じアドレスを有するパケットを、不正侵入対処装置１４を経由させるように指示する転送先変更メッセージを送信する管理手段を備えている。この転送先変更メッセージとして、たとえば上述した実施の形態１の図３のＩＣＭＰリダイレクション通知パケット１００を使用することができる。
【００３４】
また、不正侵入検知装置３０は実施の形態１の図２と同様の構成を有するが、不正パケット判定部３４によって不正パケットが検出された場合に、不正パケット対処部３５が、その不正パケットを中継したルータ装置１５に転送先変更メッセージを送信するのではなく、管理装置５０に対して不正パケットを検出したことを示す不正パケット検出メッセージを送信する機能を有する。不正パケット検出メッセージには、不正パケットを中継したルータ装置の上位のルータ装置を識別することができる送信元識別情報と、不正パケットの宛先ＩＰアドレスが含まれる。たとえば、送信元識別情報として、不正パケットの送信元ＩＰアドレスや、不正パケットを中継したルータ装置に割り当てられる識別番号などである。なお、ネットワーク１０内に配置される不正侵入対処装置１４の構成は実施の形態１の図４で説明した不正侵入検知対処装置４０と同一である。また、その他の構成要素は、実施の形態１と同一であるので、その詳細な説明を省略している。
【００３５】
このような構成の不正侵入検知システムにおけるパケット中継の動作処理も実施の形態１と同様である。ただし、この実施の形態２では、たとえば図６のネットワーク１０からネットワーク２０の端末装置２１宛てに中継されるパケットにおいて、不正侵入検知装置３０が、不正パケットを検出した場合に、管理装置５０に不正パケット検出メッセージを送信する。不正パケット検出メッセージを受信した管理装置５０は、不正パケットを中継したルータ装置１５の上位のルータ装置を検索し、この上位ルータ装置、たとえば図６のルータ装置１２に対して、検出された不正パケットと同じ宛先に送信されるパケットを不正侵入対処装置へ送るように通知する。この通知を受けたルータ装置１２は、ルーティングテーブルの中の不正パケットと同じ宛先を有するネクストホップを不正侵入対処装置１４に変更する。これ以降に不正パケットと同じ宛先に送信されるパケットはネットワーク１０内の不正侵入対処装置１４を経由してルータ装置１３、ルータ装置１５、ルータ装置２５を経て端末装置２１へ送信されることになる。このように不正侵入検知装置３０と管理装置５０とを連携動作させることによって、不正侵入検知装置３０によって検出された不正パケットが、上位の不正侵入対処装置４０で処理されることになる。
【００３６】
なお、上述した説明では、不正侵入検知装置３０の不正パケット対処部３５は、不正パケットを検出すると管理装置５０に不正パケット検出メッセージを送信するようにしているが、実施の形態１で説明したように、その不正パケットを中継したルータ装置１５に転送先変更メッセージを送信する機能と、管理装置５０に対して不正パケットを検出したことを示す不正パケット検出メッセージを送信する機能を併せ持つ構成としてもよい。
【００３７】
また、ＩＰｖ４ネットワークがＩＰｖ６ネットワークでカプセル化されているようなネットワーク構成の場合には、送信元ＩＰｖ６アドレスが不正パケットの入口と判断できるため、不正侵入検知装置３０の不正パケット対処部３５は、送信元ＩＰｖ６アドレスに対して転送先変更メッセージ（リダイレクション通知）を送信する機能を持たせるようにしてもよい。これにより、入口での不正パケットに対する対処が可能となる。
【００３８】
この実施の形態２によれば、不正侵入検知装置３０が不正パケットを検出した場合に管理装置５０は、不正パケットを中継したルータ装置１５の上位のルータ装置１２に対してパケットを不正侵入対処装置１４へ送信する指示を含む転送先変更メッセージを送信するようにしたので、不正パケットに対する処理をより入口に近い場所で処理することが可能になる。これにより、不正パケットによるネットワーク１０内のトラフィックの増加を抑えることができ、通信帯域を有効に使用することができる。また、不正パケットを検出した場合における不正侵入対処装置１４，４０が実行する対処を分散させることができるという効果も有する。
【産業上の利用可能性】
【００３９】
以上のように、この発明にかかる不正侵入検知システムは、悪意のある第三者による攻撃からネットワークを守り、しかも安定して外部のネットワークとの通信を行いたいネットワークに有用である。
【図面の簡単な説明】
【００４０】
【図１】この発明による不正侵入検知システムの実施の形態１の構成の概略を模式的に示す図である。
【図２】不正侵入検知装置の構成を模式的に示すブロック図である。
【図３】ＩＰｖ４の場合のＩＣＭＰリダイレクション通知パケットの内容を模式的に示す図である。
【図４】不正侵入対処装置の構成を模式的に示すブロック図である。
【図５−１】不正侵入検知システムにおけるパケット中継の動作処理の手順を示すフローチャートである（その１）。
【図５−２】不正侵入検知システムにおけるパケット中継の動作処理の手順を示すフローチャートである（その２）。
【図６】この発明による不正侵入検知システムの実施の形態２の構成の概略を模式的に示す図である。
【符号の説明】
【００４１】
１０，２０ ネットワーク
１１，２１ 端末装置
１２，１３，１５，２５ ルータ装置
１４，４０ 不正侵入対処装置
３０ 不正侵入検知装置
３１，４１ 通信部
３２ パケットモニタ部
３３，４２ 不正パケットパターンデータベース
３４，４３ 不正パケット判定部
３５ 不正パケット対処部
４４ 対処部
５０ 管理装置
【技術分野】
【０００１】
この発明は、公衆ネットワークや共有ネットワークにおいてＩＤＳ（Intrusion Detection System）装置またはＩＤＰ（Intrusion Detection Protection）装置などの不正侵入検知装置を配置して不正パケットに対する検知および対処を行う不正侵入検知システムに関するものである。また、この不正侵入検知システムで使用される不正侵入検知装置と管理装置にも関するものである。
【背景技術】
【０００２】
ＩＤＳ装置やＩＤＰ装置に代表される不正検知技術は、不正なパケットであるか否かの分析をパケット内のデータに基づいて実施しており、シグネチャー処理やログ解析処理などのさまざまな分析処理を用いて不正なパケットを検出し、悪意のあるユーザからの不正パケットを排除するものである。
【０００３】
ＩＤＳ装置には、ネットワーク上を流れるパケットを監視するネットワーク型ＩＤＳ装置と、ホストに到達したパケットをそのホストが検証するホスト型ＩＤＳ装置がある。しかし、ホスト型ＩＤＳ装置の場合には、監視する必要のある全てのホストに導入する必要があり、運用コストがかかってしまうという問題点を有する。これに対して、ネットワーク型ＩＤＳ装置は、基本的には１つのネットワークに対して１台の装置を導入すればよく、また、ネットワーク上を流れるパケットを基にして分析するために、不正パケットを検出した時点で即座に対応することが可能であり、実際の攻撃からシステムを防御することができる（たとえば、非特許文献１参照）。
【０００４】
このようなネットワーク型ＩＤＳ装置は、ネットワークの通り道に設置するインライン型の形態のものと、ネットワーク上を通過するパケットの監視のみを行うネットワーク型の形態のもの（狭義のネットワーク型ＩＤＳ装置）とにさらに大別される。狭義のネットワーク型ＩＤＳ装置では、ネットワーク上の通過パケットをコピーしてパケットをチェックする形態であるため、不正を検知したとしても廃棄などの対処を行うことはできない。一方のインライン型ＩＤＳ装置は、ファイアウォールのようにネットワークの通り道に設置して、ネットワークを通過するパケットを監視するものであるので、パケットをチェックして異常を検知すると、そのパケットがネットワークに到達する前に自動的にパケットを遮断したり、攻撃を行っているＩＰアドレスからのパケットを破棄したり、セッションの切断などの対処を行うことができる。
【０００５】
【非特許文献１】丸山龍一郎，"［特集］不正浸入対策最前線（後編）〜侵入検知システムでのトータルセキュリティの構築〜"，[online]，２００１年９月１５日，２００４年１１月１１日検索，インターネット＜URL: http://www.atmarkit.co.jp/fsecurity/special/07ids/ids01c.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記従来のインライン型ＩＤＳ装置では、ネットワークの通り道に設置したＩＤＳ装置が全てのパケットを検査し、許可したパケットだけを通すように構成しているために、ＩＤＳ装置の故障や、ＩＤＳ装置自体への攻撃などでダウンしてしまった場合には、全てのパケットが通信不能になってしまうという問題点があった。
【０００７】
この発明は上記に鑑みてなされたもので、ＩＤＳ装置の障害によっても、ＩＤＳ装置が設けられたネットワーク内の全てのパケットが通信不能とならない不正侵入検知システムを得ることを目的とする。また、この不正侵入検知システムで使用される不正侵入検知装置と管理装置を得ることも目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するため、この発明にかかる不正侵入検知システムは、ネットワーク上を流れるパケットをコピーし、このコピーしたパケットを解析して不正パケットの検知を行なう不正侵入検知装置と、ネットワーク上を流れるパケットを直接解析して、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置と、をネットワークに配置した不正侵入検知システムであって、前記不正侵入検知装置は、不正パケットを検知した場合に、該不正パケットを中継したルータ装置に対して、前記不正パケットの宛先と同じ宛先へのパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを送信する不正パケット対処手段を備えることを特徴とする。
【発明の効果】
【０００９】
この発明によれば、不正パケットが検出された場合に、ルータ装置は、不正パケットと同じ宛先のパケットを不正侵入対処装置側へ中継し、それ以外のパケットを不正侵入検知装置側へ中継するので、不正侵入検知装置では不正パケットと同じ宛先以外の宛先のパケットを監視するだけでよく、不正侵入対処装置では不正パケットと同じ宛先のパケットだけを監視すればよいので、不正パケット検出時にかかる負荷を２つの装置間で分散することができるという効果を有する。また、不正侵入検知装置で不正を検査し、不正パケットと同じ宛先へのパケットのみを不正侵入対処装置で処理するため、不正侵入検知装置が故障したとしても、パケットの転送を妨げることはない。また、不正侵入対処装置が故障したとしても、不正パケットの宛先への通信のみが不能になるが、他の正常なパケットは不正侵入検知装置側のネットワークを通るので通信を妨げることはない。さらに、転送先変更メッセージとして標準のＩＣＭＰパケットを利用することで、ネットワーク上の既存のルータ装置に改造を加えることなく、この発明を適用することができる。
【発明を実施するための最良の形態】
【００１０】
以下に添付図面を参照して、この発明にかかる不正侵入検知システム、不正侵入検知装置および管理装置の好適な実施の形態を詳細に説明する。
【００１１】
実施の形態１．
図１は、この発明にかかる不正侵入検知システムの実施の形態１の構成の概略を模式的に示す図である。この不正侵入検知システムは、端末装置１１を有しルータ装置１５に収容されるネットワーク１０と、端末装置２１を有しルータ装置２５に収容されるネットワーク２０との間に、通信回線（ネットワーク）ａを流れるパケットをコピーして不正パケットの侵入を検知する不正侵入検知装置３０と、通信回線（ネットワーク）ｂを流れるパケットを取り込んで不正パケットの侵入に対する処置を行う不正侵入対処装置４０とが配置された構成を有する。ここで、不正侵入検知装置３０と不正侵入対処装置４０は、ルータ装置１５，２５間を結ぶ別々の通信回線（ネットワーク）ａ，ｂにそれぞれ設けられており、不正侵入対処装置４０は、通信回線ｂの通り道上に設けられる。なお、この明細書において、不正侵入検知装置３０とは、ネットワーク型ＩＤＳ装置などのネットワーク上を流れるパケットをコピーして、コピーしたパケットを解析することによって不正パケットの侵入を検知する装置のことをいい、また、不正侵入対処装置４０とは、インライン型ＩＤＳ装置などのネットワーク上を流れるパケットを取り込んで、そのパケットを解析することによって不正パケットの侵入を検知するとともに不正パケットに対する処置を即座に行う装置のことをいうものとする。
【００１２】
ネットワーク１０，２０は、たとえばイーサネット（登録商標）、ＩＥＥＥ（Institute of Electrical and Electronics Engineers）８０２．３／８０２．２標準、ＩＥＥＥ８０２．３／ＳＮＡＰ（SubNetwork Access Protocol）、イーサネット（登録商標）（ＰＡＤつき）、ＳＤＨ（Synchronuos Digital Hierarchy）／ＳＯＮＥＴ（Synchronous Optical NETwork）（ＰＰＰ（Point to Point Protocol））、フレームリレー、ＦＤＤＩ（Fiber-Distributed Data Interface）、ＡＴＭ（Asynchronous Transfer Mode）などで構成されるネットワークである。ネットワーク１０，２０は、自ネットワーク内において各ノード装置間での通信が可能であるとともに、ルータ装置１５，２５を介して、ユーザネットワーク１０内の各ノード装置とユーザネットワーク２０内の各ノード装置との間でも通信が可能である。
【００１３】
ルータ装置１５，２５は、所定のレイヤ３ルーティングプロトコルに基づいて、ルーティングテーブルを作成し、そのルーティングテーブルに基づいてパケットを中継する処理を行う。図１では、ルータ装置１５はネットワーク１０のみを収容し、ルータ装置２５はネットワーク２０のみを収容しているが、実際には複数のネットワークを収容することができる。ここで、不正パケットが検出されない通常時において、ルータ装置１５のルーティングテーブルには、ネットワーク１０からネットワーク２０へ中継されるパケットのつぎの中継先アドレスであるネクストホップとしてルータ装置２５が設定されているものとする。
【００１４】
不正侵入検知装置３０は、ルータ装置１５，２５間の通信回線（ネットワーク）ａ上を流れるパケットが不正パケットであるか否かを検出する装置である。図２は、不正侵入検知装置の構成を模式的に示すブロック図である。この不正侵入検知装置３０は、ネットワークに接続される他のノード装置と通信するための通信部３１と、ネットワークａ上を流れるパケットをモニタするパケットモニタ部３２と、不正パケットのパターンを格納する不正パケットパターンデータベース３３と、不正パケットパターンデータベース３３を参照してモニタされたパケットが不正パケットであるか否かを判定する不正パケット判定部３４と、不正パケットと判定された場合に、不正パケットを中継したルータ装置に対して不正パケットの宛先アドレスと同じ宛先アドレスのパケットを不正侵入対処装置４０に中継させるための通知を送信する不正パケット対処部３５と、を備えて構成される。このような不正侵入検知装置３０として、ネットワーク型ＩＤＳ装置を用いることができる。
【００１５】
パケットモニタ部３２は、ネットワークａ上を流れるパケットをコピーして、コピーしたパケットの情報を不正パケット判定部３４に転送する機能を有する。不正パケットパターンデータベース３３は、不正パケットの攻撃パターンなどの不正パケットパターン情報を格納している。この不正パケットパターン情報は、過去に攻撃された不正パケットなどを用いて予め作成されるものである。
【００１６】
不正パケット判定部３４は、パケットモニタ部３２から転送されたパケットの情報を分析し、不正パケットパターンデータベース３３中の不正パケットパターン情報と一致するか否かを判定する機能を有する。不正パケットパターン情報と一致しない場合には、何も動作を行わない。一方、不正パケットパターン情報と一致する場合には、不正パケットの検出を知らせる不正パケット検出信号を不正パケット対処部３５に通知する。
【００１７】
不正パケット対処部３５は、不正パケット判定部３４から不正パケット検出信号を受信すると、不正パケットの宛先へ向かうパケットを不正侵入対処装置４０が設置されている通信回線（ネットワーク）ｂ側に中継するように指示する転送先変更メッセージを生成して、不正パケットを中継したルータ装置１５に対して送信する機能を有する。転送先変更メッセージとして、たとえばＩＥＴＦ（Internet Engineering Task Force）における標準ドキュメントＲＦＣ（Request For Comments）７９２に規定されているＩＣＭＰ（Internet Control Message Protocol）リダイレクション通知パケットを使用することができる。
【００１８】
図３は、ＩＰｖ４（Internet Protocol version 4）の場合におけるＩＣＭＰリダイレクション通知パケットの内容を模式的に示す図である。このＩＣＭＰリダイレクション通知パケット１００は、ＩＰヘッダ１１０とＩＣＭＰメッセージ１２０とから構成される。ＩＰヘッダ１１０は、レイヤ３においてＩＰを用いてデータの送信を行うために必要な送信元ＩＰアドレス１１２や宛先アドレス１１３などの情報を含む。このＩＰヘッダ１１０中のプロトコルフィールド１１１には、使用されるプロトコルである「ＩＣＭＰ」が設定され、宛先アドレス１１３には不正パケットを中継したルータ装置１５のＩＰアドレスが設定される。
【００１９】
ＩＣＭＰメッセージ１２０には、ＩＰヘッダ１１０の宛先アドレス１１３によって示されるルータ装置１５に対して転送先を変更するように指示するための内容が格納される。たとえば、タイプフィールド１２１には、上記ＲＦＣ７９２で定義されている方向転換（Redirect）を示す「５」が設定され、ゲートウェイＩＰアドレス１２２には、ルータ装置１５，２５間を結ぶもう一方の通信回線（ネットワーク）ｂ上に配置される不正侵入対処装置４０のＩＰアドレスが設定され、データ１２３には不正パケットのデータグラムの一部、具体的にはＩＰヘッダと先頭６４ビット分のデータ、が設定される。なお、ネットワークがＩＰｖ６（Internet Protocol version 6）の場合には、ＮＤＰ（Neighbor Discovery Protocol）で定義された、リダイレクトメッセージを使用する。
【００２０】
不正侵入対処装置４０は、ルータ装置１５，２５間の通信回線（ネットワーク）ｂ上を流れるパケットが不正パケットであるか否かを検出する装置である。図４は、不正侵入対処装置の構成を模式的に示すブロック図である。この不正侵入対処装置４０は、ネットワークに接続される他のノード装置と通信するための通信部４１と、不正パケットのパターンを格納する不正パケットパターンデータベース４２と、不正パケットパターンデータベース４２を参照してモニタされたパケットが不正パケットであるか否かを判定する不正パケット判定部４３と、不正パケット判定部４３の判定結果に応じて必要な対処を行う対処部４４と、を備えて構成される。このような不正侵入対処装置４０として、たとえばインライン型ＩＤＳ装置を用いることができる。
【００２１】
通信部４１は、ネットワークｂ上を流れるパケットを取り込み、そのパケットを不正パケット判定部４３に渡すとともに、取り込んだパケットが正常なパケットであった場合に再びネットワークｂに送出する機能を有する。不正パケットパターンデータベース４２は、図２の不正侵入検知装置３０の不正パケットパターンデータベース３３と同様に不正パケットパターン情報を予め格納している。
【００２２】
不正パケット判定部４３は、通信部４１から取り込んだパケットを分析し、不正パケットパターンデータベース４２中の不正パケットパターン情報と一致するか否かを判定し、その結果を対処部４４に出力する機能を有する。
【００２３】
対処部４４は、不正パケット判定部４３によって取り込んだパケットが不正パケットパターン情報と一致しないと判定された場合すなわち正常なパケットであると判定された場合には、そのパケットをパケットの宛先ＩＰアドレスに基づいて、通信部４１を介して送信する機能を有する。また、不正パケット判定部４３によって取り込んだパケットが不正パケットパターン情報と一致すると判定された場合すなわち不正パケットである場合には、その不正パケットの廃棄や不正フローの帯域制御などの対処を行う機能を有する。
【００２４】
ここで、この不正侵入検知システムにおけるパケット中継の動作処理の手順について、図５−１〜図５−２のフローチャートを参照しながら説明する。ここでは、図１において、ネットワーク１０からネットワーク２０の端末装置２１宛てのパケットを中継する場合を例に挙げて説明する。最初に、ルータ装置１５は、パケットを受信すると（ステップＳ１１）、ルーティングテーブルを参照してパケットの宛先アドレスに対応するネクストホップであるルータ装置２５にパケットを送信する（ステップＳ１２）。なお、このとき、ルータ装置２５宛てのパケットのネクストホップとして、ネットワークａを介して接続されるルータ装置２５に設定されているものとする。
【００２５】
ネットワークａ上の不正侵入検知装置３０は、ネットワークａ上を流れるパケットを通信部３１から受信し、パケットモニタ部３２でコピーする（ステップＳ１３）。コピー元のパケットはそのままネットワークａ上に流され、ルータ装置２５は、このパケットを受信し（ステップＳ１４）、パケットの中継処理は終了する。
【００２６】
一方、不正侵入検知装置３０は、不正パケット判定部３４でコピーしたパケットが不正パケットか否かを不正パケットパターンデータベース３３を参照して判定する（ステップＳ１５）。判定の結果、不正パケットではない場合（ステップＳ１５でＮｏの場合）には、不正侵入検知装置３０は何もせずにパケットの監視処理が終了する。また、不正パケットである場合（ステップＳ１５でＹｅｓの場合）には、不正パケット判定部３４は不正パケット検出信号を不正パケット対処部３５に通知する。不正パケット検出信号を受け取った不正パケット対処部３５は、不正パケットの宛先へ向かうパケットを不正侵入対処装置４０へ送信するように、宛先アドレスとして不正パケットの宛先アドレス、ネクストホップアドレスとして不正侵入対処装置のアドレスを含めた転送先変更メッセージを生成し、不正パケットの送信元であるルータ装置１５に送信する（ステップＳ１６）。この転送先変更メッセージとして、上述したように図３に示されるＩＣＭＰリダイレクション通知パケットを用いることができる。これにより、不正侵入検知装置３０によるパケットの監視処理が終了する。
【００２７】
ルータ装置１５は、不正侵入検知装置３０から転送先変更メッセージを受信すると（ステップＳ１７）、自ルータ装置のルーティングテーブル中の転送先変更メッセージ中に記載された宛先アドレスに一致するエントリのネクストホップアドレスを、転送先変更メッセージ中で指定されたネクストホップのアドレス（不正侵入対処装置４０のアドレス）に変更する（ステップＳ１８）。その後、ルータ装置１５がパケットを受信すると（ステップＳ１９）、パケットの宛先が不正パケットの宛先ではない場合（ステップＳ１２）には、宛先へのネクストホップであるルータ装置にパケットが送信され、パケットの宛先が不正パケットと同じである場合には、そのパケットをステップＳ１８で更新したルーティングテーブルに基づいて、ネクストホップである不正侵入対処装置４０に送信し、ルータ装置１５のパケットの中継処理が終了する。これによって、宛先が不正パケットと同じであるパケットは、ルータ装置１５からネットワークｂに送出される。
【００２８】
ネットワークｂ上に配置される不正侵入対処装置４０の通信部４１は、ルータ装置１５からのパケットを受信すると（ステップＳ２０）、不正パケット判定部４３でそのパケットが不正パケットか否かを不正パケットパターンデータベース４２を参照して判定する（ステップＳ２１）。判定の結果、不正パケットではない場合（ステップＳ２１でＮｏの場合）には、対処部４４は、受信したパケットをその宛先に基づいてルータ装置２５へと通信部４１を介して送信する（ステップＳ２２）。その後、ルータ装置２５は上述したステップＳ１４と同じようにパケットを受信して、パケットの中継処理が終了する。また、不正パケットである場合（ステップＳ２１でＹｅｓの場合）には、対処部４４は受信したパケットを廃棄するなどの処理を行い（ステップＳ２３）、不正侵入検知システムによるパケットの中継処理が終了する。
【００２９】
上述した説明において、不正侵入検知装置３０と不正侵入対処装置４０における不正検知の手法を限定するものではなく、種々の手法を用いることが可能である。
【００３０】
この実施の形態１によれば、不正侵入検知装置３０と不正侵入対処装置４０とを、２つのネットワーク１０，２０間における異なるネットワーク（通信回線）ａ，ｂ上に配置し、不正パケットが検出されない通常の場合には２つのネットワーク１０，２０間でやり取りされるパケットを不正侵入検知装置３０が配置されたネットワークａ上に流して、不正パケットを検出するとこの不正パケットと同じ宛先のパケットのみを不正侵入対処装置４０に送信するようにルータ装置１５に指示を与えるようにしたので、不正パケットの対処が確実に行えると共に、不正侵入検知装置３０にかかる負荷を抑えることができるという効果を有する。
【００３１】
また、不正侵入検知装置３０で不正を検査し、不正パケットと同じ宛先へのパケットのみを不正侵入対処装置４０で処理するため、不正侵入検知装置３０が故障したとしても、全てのパケットの転送が妨げられることはない。逆に、不正侵入対処装置４０が故障したとしても、不正なパケットの宛先への通信のみが不能になるが、他の正常なパケットの通信を妨げることはない。さらに、不正侵入検知装置３０と不正侵入対処装置４０のいずれかがダウンした場合に、ダウンしていないもう一方の経路を使用するように設定することで、通常のパケットの転送を妨げることはなく、しかもそのパケットが不正パケットか否かの監視も行うことができるという効果も有する。
【００３２】
実施の形態２．
図６は、この発明にかかる不正侵入検知システムの実施の形態２の構成の概略を模式的に示す図である。この不正侵入検知システムは、実施の形態１の図１において、ネットワーク１０は、通信回線（ネットワーク）ｃと不正侵入対処装置１４が挿入配置された通信回線（ネットワーク）ｄによって接続されるルータ装置１２，１３を有するとともに、ルータ装置１２，１３，１５，２５を管理する管理装置５０をさらに備える構成を有する。
【００３３】
管理装置５０は、ネットワーク１０，２０のほか不正侵入検知システムが適用されるネットワーク１０，２０に配置されるルータ装置１２，１３，１５，２５を管理する装置であり、各ルータ１２，１３，１５，２５間の上下関係を把握し、不正侵入検知装置３０からの不正パケット検出メッセージを受信すると、その不正パケット検出メッセージから、不正パケットを中継したルータ装置１５の上位のルータ装置１２を検索して、その上位のルータ装置１２に対して、不正パケットの宛先アドレスと同じアドレスを有するパケットを、不正侵入対処装置１４を経由させるように指示する転送先変更メッセージを送信する管理手段を備えている。この転送先変更メッセージとして、たとえば上述した実施の形態１の図３のＩＣＭＰリダイレクション通知パケット１００を使用することができる。
【００３４】
また、不正侵入検知装置３０は実施の形態１の図２と同様の構成を有するが、不正パケット判定部３４によって不正パケットが検出された場合に、不正パケット対処部３５が、その不正パケットを中継したルータ装置１５に転送先変更メッセージを送信するのではなく、管理装置５０に対して不正パケットを検出したことを示す不正パケット検出メッセージを送信する機能を有する。不正パケット検出メッセージには、不正パケットを中継したルータ装置の上位のルータ装置を識別することができる送信元識別情報と、不正パケットの宛先ＩＰアドレスが含まれる。たとえば、送信元識別情報として、不正パケットの送信元ＩＰアドレスや、不正パケットを中継したルータ装置に割り当てられる識別番号などである。なお、ネットワーク１０内に配置される不正侵入対処装置１４の構成は実施の形態１の図４で説明した不正侵入検知対処装置４０と同一である。また、その他の構成要素は、実施の形態１と同一であるので、その詳細な説明を省略している。
【００３５】
このような構成の不正侵入検知システムにおけるパケット中継の動作処理も実施の形態１と同様である。ただし、この実施の形態２では、たとえば図６のネットワーク１０からネットワーク２０の端末装置２１宛てに中継されるパケットにおいて、不正侵入検知装置３０が、不正パケットを検出した場合に、管理装置５０に不正パケット検出メッセージを送信する。不正パケット検出メッセージを受信した管理装置５０は、不正パケットを中継したルータ装置１５の上位のルータ装置を検索し、この上位ルータ装置、たとえば図６のルータ装置１２に対して、検出された不正パケットと同じ宛先に送信されるパケットを不正侵入対処装置へ送るように通知する。この通知を受けたルータ装置１２は、ルーティングテーブルの中の不正パケットと同じ宛先を有するネクストホップを不正侵入対処装置１４に変更する。これ以降に不正パケットと同じ宛先に送信されるパケットはネットワーク１０内の不正侵入対処装置１４を経由してルータ装置１３、ルータ装置１５、ルータ装置２５を経て端末装置２１へ送信されることになる。このように不正侵入検知装置３０と管理装置５０とを連携動作させることによって、不正侵入検知装置３０によって検出された不正パケットが、上位の不正侵入対処装置４０で処理されることになる。
【００３６】
なお、上述した説明では、不正侵入検知装置３０の不正パケット対処部３５は、不正パケットを検出すると管理装置５０に不正パケット検出メッセージを送信するようにしているが、実施の形態１で説明したように、その不正パケットを中継したルータ装置１５に転送先変更メッセージを送信する機能と、管理装置５０に対して不正パケットを検出したことを示す不正パケット検出メッセージを送信する機能を併せ持つ構成としてもよい。
【００３７】
また、ＩＰｖ４ネットワークがＩＰｖ６ネットワークでカプセル化されているようなネットワーク構成の場合には、送信元ＩＰｖ６アドレスが不正パケットの入口と判断できるため、不正侵入検知装置３０の不正パケット対処部３５は、送信元ＩＰｖ６アドレスに対して転送先変更メッセージ（リダイレクション通知）を送信する機能を持たせるようにしてもよい。これにより、入口での不正パケットに対する対処が可能となる。
【００３８】
この実施の形態２によれば、不正侵入検知装置３０が不正パケットを検出した場合に管理装置５０は、不正パケットを中継したルータ装置１５の上位のルータ装置１２に対してパケットを不正侵入対処装置１４へ送信する指示を含む転送先変更メッセージを送信するようにしたので、不正パケットに対する処理をより入口に近い場所で処理することが可能になる。これにより、不正パケットによるネットワーク１０内のトラフィックの増加を抑えることができ、通信帯域を有効に使用することができる。また、不正パケットを検出した場合における不正侵入対処装置１４，４０が実行する対処を分散させることができるという効果も有する。
【産業上の利用可能性】
【００３９】
以上のように、この発明にかかる不正侵入検知システムは、悪意のある第三者による攻撃からネットワークを守り、しかも安定して外部のネットワークとの通信を行いたいネットワークに有用である。
【図面の簡単な説明】
【００４０】
【図１】この発明による不正侵入検知システムの実施の形態１の構成の概略を模式的に示す図である。
【図２】不正侵入検知装置の構成を模式的に示すブロック図である。
【図３】ＩＰｖ４の場合のＩＣＭＰリダイレクション通知パケットの内容を模式的に示す図である。
【図４】不正侵入対処装置の構成を模式的に示すブロック図である。
【図５−１】不正侵入検知システムにおけるパケット中継の動作処理の手順を示すフローチャートである（その１）。
【図５−２】不正侵入検知システムにおけるパケット中継の動作処理の手順を示すフローチャートである（その２）。
【図６】この発明による不正侵入検知システムの実施の形態２の構成の概略を模式的に示す図である。
【符号の説明】
【００４１】
１０，２０ ネットワーク
１１，２１ 端末装置
１２，１３，１５，２５ ルータ装置
１４，４０ 不正侵入対処装置
３０ 不正侵入検知装置
３１，４１ 通信部
３２ パケットモニタ部
３３，４２ 不正パケットパターンデータベース
３４，４３ 不正パケット判定部
３５ 不正パケット対処部
４４ 対処部
５０ 管理装置
【特許請求の範囲】
【請求項１】
ネットワーク上を流れるパケットをコピーし、このコピーしたパケットを解析して不正パケットの検知を行なう不正侵入検知装置と、
ネットワーク上を流れるパケットを直接解析して、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置と、
をネットワークに配置した不正侵入検知システムであって、
前記不正侵入検知装置は、不正パケットを検知した場合に、該不正パケットを中継したルータ装置に対して、前記不正パケットの宛先と同じ宛先へのパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを送信する不正パケット対処手段を備えることを特徴とする不正侵入検知システム。
【請求項２】
ネットワーク上を流れるパケットをコピーし、このコピーしたパケットを解析して不正パケットの検知を行なう不正侵入検知装置と、
ネットワーク上を流れるパケットを直接解析して、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置と、
前記ネットワークに配置される複数のルータ装置を管理する管理装置と、
をネットワークに配置した不正侵入検知システムであって、
前記不正侵入検知装置は、不正パケットを検知した場合に、該不正パケットの宛先アドレス情報を含む不正パケット検出通知メッセージを前記管理装置に送信する不正パケット対処手段を備え、
前記管理装置は、前記不正パケット検出通知メッセージに含まれる宛先アドレス情報を有するパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを前記ネットワークのルータ装置に送信する手段を備えることを特徴とする不正侵入検知システム。
【請求項３】
前記不正侵入検知装置の前記不正パケット対処手段は、不正パケットを検知した場合に、該不正パケットを中継したルータ装置に対して、前記不正パケットの宛先と同じ宛先へのパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを送信する機能をさらに備えることを特徴とする請求項２に記載の不正侵入検知システム。
【請求項４】
前記ネットワークは、ＩＰｖ４ネットワークで構成されるユーザネットワークをカプセル化して転送するＩＰｖ６ネットワークで構成されるコアネットワークであり、
前記管理装置は、前記不正侵入検知装置から前記不正パケット検出通知メッセージを受信すると、前記ネットワーク内で前記不正パケットの送信元に一番近いルータ装置に対して、前記転送先変更メッセージを送信することを特徴とする請求項２または３に記載の不正侵入検知システム。
【請求項５】
ネットワークへの不正パケットを監視し、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置を有するネットワークに備えられる不正侵入検知装置であって、
不正パケットを検知した場合に、該不正パケットを中継した前記ネットワーク上のルータ装置に対して、前記不正パケットの宛先と同じ宛先へのパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを送信する不正パケット対処手段を備えることを特徴とする不正侵入検知装置。
【請求項６】
ネットワークへの不正パケットを監視し、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置と、前記ネットワークに配置される複数のルータ装置を管理する管理装置を有するネットワークに備えられる不正侵入検知装置であって、
不正パケットを検知した場合に、該不正パケットの宛先アドレス情報を含む不正パケット検出通知メッセージを前記管理装置に送信する不正パケット対処手段を備えることを特徴とする不正侵入検知装置。
【請求項７】
前記不正パケット対処手段は、不正パケットを検知した場合に、該不正パケットを中継したルータ装置に対して、前記不正パケットの宛先と同じ宛先へのパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを送信する機能をさらに備えることを特徴とする請求項６に記載の不正侵入検知装置。
【請求項８】
ネットワーク上を流れるパケットをコピーし、このコピーしたパケットを解析して不正パケットの検知を行なう不正侵入検知装置と、ネットワーク上を流れるパケットを直接解析して、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置と、が配置されたネットワークに配置される複数のルータ装置を管理する管理装置であって、
前記不正侵入検知装置から、不正パケットの宛先アドレス情報を含む不正パケット検出通知メッセージを受信すると、該不正パケット検出通知メッセージに含まれる宛先アドレス情報を有するパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを前記ネットワークのルータ装置に送信する手段を備えることを特徴とする管理装置。
【請求項９】
前記ネットワークは、ＩＰｖ４ネットワークで構成されるユーザネットワークをカプセル化して転送するＩＰｖ６ネットワークで構成されるコアネットワークである場合に、前記不正侵入検知装置から前記不正パケット検出通知メッセージを受信すると、前記ネットワーク内で前記不正パケットの送信元に一番近いルータ装置に対して、前記転送先変更メッセージを送信することを特徴とする請求項８に記載の管理装置。
【請求項１】
ネットワーク上を流れるパケットをコピーし、このコピーしたパケットを解析して不正パケットの検知を行なう不正侵入検知装置と、
ネットワーク上を流れるパケットを直接解析して、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置と、
をネットワークに配置した不正侵入検知システムであって、
前記不正侵入検知装置は、不正パケットを検知した場合に、該不正パケットを中継したルータ装置に対して、前記不正パケットの宛先と同じ宛先へのパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを送信する不正パケット対処手段を備えることを特徴とする不正侵入検知システム。
【請求項２】
ネットワーク上を流れるパケットをコピーし、このコピーしたパケットを解析して不正パケットの検知を行なう不正侵入検知装置と、
ネットワーク上を流れるパケットを直接解析して、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置と、
前記ネットワークに配置される複数のルータ装置を管理する管理装置と、
をネットワークに配置した不正侵入検知システムであって、
前記不正侵入検知装置は、不正パケットを検知した場合に、該不正パケットの宛先アドレス情報を含む不正パケット検出通知メッセージを前記管理装置に送信する不正パケット対処手段を備え、
前記管理装置は、前記不正パケット検出通知メッセージに含まれる宛先アドレス情報を有するパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを前記ネットワークのルータ装置に送信する手段を備えることを特徴とする不正侵入検知システム。
【請求項３】
前記不正侵入検知装置の前記不正パケット対処手段は、不正パケットを検知した場合に、該不正パケットを中継したルータ装置に対して、前記不正パケットの宛先と同じ宛先へのパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを送信する機能をさらに備えることを特徴とする請求項２に記載の不正侵入検知システム。
【請求項４】
前記ネットワークは、ＩＰｖ４ネットワークで構成されるユーザネットワークをカプセル化して転送するＩＰｖ６ネットワークで構成されるコアネットワークであり、
前記管理装置は、前記不正侵入検知装置から前記不正パケット検出通知メッセージを受信すると、前記ネットワーク内で前記不正パケットの送信元に一番近いルータ装置に対して、前記転送先変更メッセージを送信することを特徴とする請求項２または３に記載の不正侵入検知システム。
【請求項５】
ネットワークへの不正パケットを監視し、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置を有するネットワークに備えられる不正侵入検知装置であって、
不正パケットを検知した場合に、該不正パケットを中継した前記ネットワーク上のルータ装置に対して、前記不正パケットの宛先と同じ宛先へのパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを送信する不正パケット対処手段を備えることを特徴とする不正侵入検知装置。
【請求項６】
ネットワークへの不正パケットを監視し、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置と、前記ネットワークに配置される複数のルータ装置を管理する管理装置を有するネットワークに備えられる不正侵入検知装置であって、
不正パケットを検知した場合に、該不正パケットの宛先アドレス情報を含む不正パケット検出通知メッセージを前記管理装置に送信する不正パケット対処手段を備えることを特徴とする不正侵入検知装置。
【請求項７】
前記不正パケット対処手段は、不正パケットを検知した場合に、該不正パケットを中継したルータ装置に対して、前記不正パケットの宛先と同じ宛先へのパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを送信する機能をさらに備えることを特徴とする請求項６に記載の不正侵入検知装置。
【請求項８】
ネットワーク上を流れるパケットをコピーし、このコピーしたパケットを解析して不正パケットの検知を行なう不正侵入検知装置と、ネットワーク上を流れるパケットを直接解析して、不正パケットを検知した場合に所定の対処を行う不正侵入対処装置と、が配置されたネットワークに配置される複数のルータ装置を管理する管理装置であって、
前記不正侵入検知装置から、不正パケットの宛先アドレス情報を含む不正パケット検出通知メッセージを受信すると、該不正パケット検出通知メッセージに含まれる宛先アドレス情報を有するパケットを前記不正侵入対処装置へ送信するように指示する転送先変更メッセージを前記ネットワークのルータ装置に送信する手段を備えることを特徴とする管理装置。
【請求項９】
前記ネットワークは、ＩＰｖ４ネットワークで構成されるユーザネットワークをカプセル化して転送するＩＰｖ６ネットワークで構成されるコアネットワークである場合に、前記不正侵入検知装置から前記不正パケット検出通知メッセージを受信すると、前記ネットワーク内で前記不正パケットの送信元に一番近いルータ装置に対して、前記転送先変更メッセージを送信することを特徴とする請求項８に記載の管理装置。
【図１】
【図２】
【図３】
【図４】
【図５−１】
【図５−２】
【図６】
【図２】
【図３】
【図４】
【図５−１】
【図５−２】
【図６】
【公開番号】特開２００６−１６５９１０（Ｐ２００６−１６５９１０Ａ）
【公開日】平成１８年６月２２日（２００６．６．２２）
【国際特許分類】
【出願番号】特願２００４−３５３３０１（Ｐ２００４−３５３３０１）
【出願日】平成１６年１２月６日（２００４．１２．６）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成１８年６月２２日（２００６．６．２２）
【国際特許分類】
【出願日】平成１６年１２月６日（２００４．１２．６）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]