不正侵入検知・防御システム、クライアントコンピュータ、不正侵入検知・防御装置、方法およびプログラム
【課題】検査項目を適切に設定し、セキュリティレベルおよび通信速度の低下を避けることを可能とする不正侵入検知・防御システム等を提供する。
【解決手段】クライアントコンピュータ１０が、検査不要項目データを作成するパッチ適用情報確認部１０２と、ウェブサーバ宛の接続要求に検査不要項目データを付与して送信するウェブブラウザ動作部１０１とを有し、不正侵入検知・防御装置２０が、クライアントコンピュータからの接続要求をウェブサーバに対して転送するセッション管理部２０１と、該接続要求に含まれる検査不要項目データを取り除くと共に当該検査不要項目データをセッションテーブル２１２内に書き込む検査不要項目書込機能２０２ａと、応答パケットに対して検査項目ごとに検査が必要か否かを判断する検査実行判定機能２０２ｃと、該応答パケットを検査する検査プログラム読込機能２０２ｂとを有する。
【解決手段】クライアントコンピュータ１０が、検査不要項目データを作成するパッチ適用情報確認部１０２と、ウェブサーバ宛の接続要求に検査不要項目データを付与して送信するウェブブラウザ動作部１０１とを有し、不正侵入検知・防御装置２０が、クライアントコンピュータからの接続要求をウェブサーバに対して転送するセッション管理部２０１と、該接続要求に含まれる検査不要項目データを取り除くと共に当該検査不要項目データをセッションテーブル２１２内に書き込む検査不要項目書込機能２０２ａと、応答パケットに対して検査項目ごとに検査が必要か否かを判断する検査実行判定機能２０２ｃと、該応答パケットを検査する検査プログラム読込機能２０２ｂとを有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は不正侵入検知・防御システム、クライアントコンピュータ、不正侵入検知・防御装置、方法およびプログラムに関し、特にセキュリティレベルおよび通信速度の低下を避けることを可能とする不正侵入検知・防御システム、クライアントコンピュータ、不正侵入検知・防御装置、方法およびプログラムに関する。
【背景技術】
【０００２】
インターネットに接続される全てのコンピュータにとって、ＯＳ（Oparating System、基本ソフトウェア）やアプリケーションなどの脆弱性を突いて不正侵入を試みる攻撃に対する対策は、もはや不可欠である。非特許文献１で株式会社シマンテックが報告した所によると、同社は西暦２００８年の１年間で約１６６万個の新たなマリシャスコード（悪意をもったプログラム）に対して対策を行ったという。これは前年の約６２万個に比べて、およそ２．６倍の数となる。当然ながら、不正侵入に対する脅威も、これと同様のペースで急増していることになる。
【０００３】
このように不正侵入に対する脅威が急増している昨今では、不正侵入に対して各々のクライアントコンピュータで対策するだけでなく、企業などの組織内部のイントラネットがグローバルなインターネットに接続される部分（たとえばプロキシサーバなど）で不正侵入を検知して防御することが、各々のクライアントコンピュータでの負荷が軽減されるので望ましい。そのため、多くの組織で、外部ネットワークから内部のイントラネットを不正侵入から守るという意味で、インライン型不正侵入検知・防御システムが採用されるようになっている。
【０００４】
図１９は、一般的なインライン型不正侵入検知・防御システム１００１の構成を示す説明図である。複数台のクライアントコンピュータ１０１０Ａ、１０１０Ｂ、１０１０Ｃ、…が組織内の内部ネットワーク１０３０に接続されており、内部ネットワーク１０３０は不正侵入検知・防御装置１０２０を介して、インターネット１０５０に接続されている。これによって、各々のクライアントコンピュータ１０１０Ａ、１０１０Ｂ、１０１０Ｃ、…は、インターネット１０５０上のウェブサーバ１０４０に接続して、ウェブサーバ１０４０によって提供されるウェブサービスを受けることが可能となっている。
【０００５】
不正侵入検知・防御装置１０２０は、各々のクライアントコンピュータ１０１０Ａ、１０１０Ｂ、１０１０Ｃ、…からウェブサーバ１０４０への接続を仲介するいわゆるプロキシサーバであると共に、インターネット１０５０の側から内部ネットワーク１０３０に対して届く通信パケットを検査し、その通信パケットに不正な侵入を意図する内容が含まれていればこの通信パケットを破棄して、これによって不正侵入を防ぐという機能を持つ。これによって、各々のクライアントコンピュータ１０１０Ａ、１０１０Ｂ、１０１０Ｃ、…は、不正侵入の脅威から守られる。
【０００６】
ただし、不正侵入検知・防御装置１０２０で各々の通信パケットを検査する項目が増加すると、その検査を行うプロセッサが過負荷となり、通信速度が大幅に低下するという問題が生じうる。この問題に関連して、次の各々の技術文献がある。その中でも特許文献１には、ネットワークの構成で上流機器に「セキュリティ強度」について問い合わせ、その返答に基づいて検査項目を一部省略するという不正アクセス検知装置などが記載されている。
【０００７】
特許文献２には、ソフトウェアの脆弱性の修正によって改善された点について検査ルールから削除するという情報検査装置が記載されている。特許文献３には、ＨＴＴＰ（Hypertext Transfer Protocol）ヘッダなどのデータを自動作成する脆弱性検査装置が記載されている。特許文献４には、パケットの照合時間が最大遅延許容時間を超えるとパターン照合の中止を指示するというインライン型不正侵入検知・防御装置が記載されている。特許文献５には、使用対象となっているシグネチャの各検査項目の攻撃検知度数を判断し、ＣＰＵ（Central Processing Unit、主演算制御手段）の負荷状況に応じて検査項目を変更するというインライン型不正侵入検知・防御装置が記載されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００９−００５１２２号公報
【特許文献２】特開２００４−１３９１７７号公報
【特許文献３】特開２００５−３５４３３８号公報
【特許文献４】特開２００８−０６６９０３号公報
【特許文献５】特開２００８−０９８７６６号公報
【非特許文献】
【０００９】
【非特許文献１】「インターネットセキュリティ脅威レポート」、［online］、平成２１年４月、株式会社シマンテック、［平成２２年２月１２日検索］、インターネット＜ＵＲＬ：http://www.symantec.com/content/ja/jp/enterprise/white_papers/istr14_wp_200904.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【００１０】
前述のように、図１９で示したインライン型不正侵入検知・防御システム１００１で、不正侵入検知・防御装置１０２０が同装置を通る各々の通信パケットに対して検査しなければならない項目は急増している。従って、これらの多数の項目を検査するために、この装置で検査を実際に行うプロセッサが過負荷となり、通信速度が大幅に低下するという問題が生じている。
【００１１】
一方で、各々のクライアントコンピュータ１０１０Ａ、１０１０Ｂ、１０１０Ｃ、…で動作するＯＳ（Operating System）やアプリケーションでは、毎日のように発見される新たな脅威に対して、パッチと呼ばれるソフトウェアの修正モジュールが次々と作成され、配布されている。各クライアントコンピュータにそれらのパッチを適用することによって、多くの不正侵入の脅威に対応できる。
【００１２】
そのため、クライアントコンピュータ側でパッチの適用によって対応できている項目については不正侵入検知・防御装置１０２０の側で検査を省略し、それによって検査にかかる負荷を軽減し、通信速度の低下を避けるということは当然考えられる。
【００１３】
しかしながら、パッチの適用状況はクライアントコンピュータごとに異なり、全ての必要なパッチが全てのクライアントコンピュータに適用されているとは限らない。また、各々のクライアントコンピュータごとに利用しているＯＳやアプリケーションが異なるので、適用すべきパッチも当然クライアントコンピュータごとに異なる。
【００１４】
そのため、管理者がその全てを把握して、日々増加する検査項目の内容を１つずつ確認しながら検査が必要であるか不要であるかを判断し、セキュリティレベルおよび通信速度を低下させずに検査項目を適切に設定するということは、既に現実的には困難なこととなっている。
【００１５】
特許文献１〜５に記載されている技術では、クライアントコンピュータごとにパッチの適用状況が異なるという点については考慮されていないし、ましてそれに応じて検査項目を設定するということはできない。
【００１６】
本発明の目的は、各々のクライアントコンピュータごとに検査項目を適切に設定し、セキュリティレベルおよび通信速度の低下を避けることを可能とする不正侵入検知・防御システム、クライアントコンピュータ、不正侵入検知・防御装置、方法およびプログラムを提供することにある。
【課題を解決するための手段】
【００１７】
上記目的を達成するため、本発明に係る不正侵入検知・防御システムは、単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムであって、クライアントコンピュータが、脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する第１の記憶手段と、適用済パッチＩＤ情報およびパッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、ウェブサーバ宛の接続要求に検査不要項目データを付与して送信すると共に接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部とを有し、不正侵入検知・防御装置が、クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している第２の記憶手段と、クライアントコンピュータからの接続要求をウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係をセッションテーブルに記録し、接続要求に対応するウェブサーバからの応答パケットをセッションテーブルに記録された発信元に転送するセッション管理部と、ウェブサーバからの応答パケットに不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、パケット検査部が、クライアントコンピュータから受信した接続要求がウェブサーバに対して転送される前に該接続要求に含まれる検査不要項目データを取り除くと共に当該検査不要項目データをセッションテーブル内に書き込む検査不要項目書込機能と、セッションテーブルで応答パケットに対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能とを有することを特徴とする。
【００１８】
上記目的を達成するため、本発明に係るクライアントコンピュータは、内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能なクライアントコンピュータであって、動作するソフトウェアの脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する記憶手段と、適用済パッチＩＤ情報およびパッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、ウェブサーバ宛の接続要求に検査不要項目データを付与して送信すると共に接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部とを有することを特徴とする。
【００１９】
上記目的を達成するため、本発明に係る不正侵入検知・防御装置は、内部ネットワークを通じて接続されたクライアントコンピュータと外部ネットワーク上のウェブサーバとの間の接続を仲介し、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御装置であって、クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している記憶手段と、クライアントコンピュータからの接続要求をウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係をセッションテーブルに記録し、接続要求に対応するウェブサーバからの応答パケットをセッションテーブルに記録された発信元に転送するセッション管理部と、ウェブサーバからの応答パケットに不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、パケット検査部が、クライアントコンピュータから受信した接続要求がウェブサーバに対して転送される前に該接続要求に含まれる検査不要項目データを取り除くと共に当該検査不要項目データをセッションテーブル内に書き込む検査不要項目書込機能と、セッションテーブルで応答に対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能とを有することを特徴とする。
【００２０】
上記目的を達成するため、本発明に係る不正侵入検知・防御方法は、単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、クライアントコンピュータが、予め記憶されている脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルからパッチ適用情報確認部にて検査不要項目データを作成し、クライアントコンピュータが、ウェブサーバ宛の接続要求に検査不要項目データを付与してウェブブラウザ動作部にて送信し、不正侵入検知・防御装置が、クライアントコンピュータからの接続要求をセッション管理部にて受信し、不正侵入検知・防御装置が、接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルにセッション管理部にて記録し、不正侵入検知・防御装置が、接続要求に含まれる検査不要項目データを検査不要項目書込機能にてセッションテーブル内に書き込み、不正侵入検知・防御装置が、接続要求から検査不要項目データを検査不要項目書込機能にて取り除き、不正侵入検知・防御装置が、検査不要項目データを取り除かれた接続要求をセッション管理部にてウェブサーバに対して転送し、不正侵入検知・防御装置が、接続要求に対応するウェブサーバからの応答パケットをセッション管理部にて受信し、不正侵入検知・防御装置が、セッションテーブルで応答パケットに対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを検査実行判定機能にて判断し、不正侵入検知・防御装置が、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで検査プログラム読込機能にて該応答パケットを検査し、不正侵入検知・防御装置が、該応答パケットに不正な攻撃が含まれていればこれを検査プログラム読込機能にて破棄し、不正侵入検知・防御装置が、該応答パケットに不正な攻撃が含まれていなければこれをセッション管理部にてクライアントコンピュータに転送し、クライアントコンピュータが、不正侵入検知・防御装置から転送されてきた応答パケットの内容をウェブブラウザ動作部にて表示することを特徴とする。
【００２１】
上記目的を達成するため、本発明に係る不正侵入検知・防御プログラムは、単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、コンピュータに、予め記憶されている脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルから検査不要項目データを作成する手順と、ウェブサーバ宛の接続要求に検査不要項目データを付与して送信する手順と、不正侵入検知・防御装置から転送されてきた応答パケットの内容を表示する手順とを実行させることを特徴とする。
【００２２】
上記目的を達成するため、本発明に係る別の不正侵入検知・防御プログラムは、単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、コンピュータに、クライアントコンピュータからの接続要求を受信する手順と、接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルに記録する手順と、接続要求に含まれる検査不要項目データをセッションテーブル内に書き込む手順と、接続要求から検査不要項目データを取り除く手順と、検査不要項目データを取り除かれた接続要求をウェブサーバに対して転送する手順と、接続要求に対応するウェブサーバからの応答パケットを受信する手順と、セッションテーブルで応答パケットに対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを判断する手順と、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査する手順と、該応答パケットに不正な攻撃が含まれていればこれを破棄する手順と、該応答パケットに不正な攻撃が含まれていなければこれをクライアントコンピュータに転送する手順とを実行させることを特徴とする。
【発明の効果】
【００２３】
上述したように本発明は、クライアントコンピュータが検査不要項目を含む接続要求を送信し、不正侵入検知・防御装置がこの接続要求から検査不要項目を取り除いてからウェブサーバに転送し、これに対して返送された応答パケットを前記検査不要項目に基づいて検査する構成としたので、各クライアントコンピュータでパッチが適用済の検査項目について検査を省略することができ、これによって各々のクライアントコンピュータごとに検査項目を適切に設定し、セキュリティレベルおよび通信速度の低下を避けることが可能である不正侵入検知・防御システム、クライアントコンピュータ、不正侵入検知・防御装置、方法およびプログラムを提供することができる。
【図面の簡単な説明】
【００２４】
【図１】図２に示したクライアントコンピュータおよび不正侵入検知・防御装置の構成を示す説明図である。
【図２】本発明の第１の実施形態に係る不正侵入検知・防御システムの全体の概略構成の一例を示す説明図である。
【図３】図１に示したパッチＩＤ−検査項目対応テーブルのデータ構成を示す説明図である。
【図４】図１に示した検査不要項目一覧のデータ構成を示す説明図である。
【図５】図１に示した適用済パッチＩＤリストおよび検査不要項目ビットテーブルのデータ構成を示す説明図である。
【図６】図１に示したＨＴＴＰヘッダ変更機能が検査不要項目情報を追加したＨＴＴＰ要求ヘッダを含むＨＴＴＰ要求について示す説明図である。
【図７】図１に示したパッチＩＤ−検査項目対応テーブルのデータ構成を示す説明図である。
【図８】図１に示したセッションテーブルのデータ構成を示す説明図である。
【図９】図１に示した検査不要項目一覧を含むセッションテーブルのデータ構成を示す説明図である。
【図１０】図１に示したサイト共通設定データのデータ構成を示す説明図である。
【図１１】図１に示したパッチ適用情報確認部が定期的に行うパッチ適用情報確認の動作を表すフローチャートである。
【図１２】図１に示したＨＴＴＰヘッダ変更機能がＨＴＴＰ要求ヘッダに検査不要項目情報を追加してＨＴＴＰ要求ヘッダとする動作を表すフローチャートである。
【図１３】図１に示したセッション管理部およびパケット検査部が、クライアントコンピュータからＨＴＴＰ要求ヘッダを含むＨＴＴＰ要求を受信した際の動作を表すフローチャートである。
【図１４】図１に示したセッション管理部およびパケット検査部が、ウェブサーバからＨＴＴＰ応答を受信した際の動作を表すフローチャートである。
【図１５】本発明の第２の実施形態に係る不正侵入検知・防御システムの全体の概略構成の一例を示す説明図である。
【図１６】図１５で示したクライアントコンピュータの構成を示す説明図である。
【図１７】図１６に示した資産管理用適用済パッチＩＤリストのデータ構成を示す説明図である。
【図１８】図１６に示したパッチ適用情報確認部の、パッチ適用情報確認の動作を表すフローチャートである。
【図１９】一般的なインライン型不正侵入検知・防御システムの構成を示す説明図である。
【発明を実施するための形態】
【００２５】
（第１の実施形態）
以下、本発明の第１の実施形態の構成について添付図１に基づいて説明する。
最初に、本実施形態の基本的な内容について説明し、その後でより具体的な内容について説明する。
本実施形態に係る不正侵入検知・防御システム１は、単数もしくは複数台のクライアントコンピュータ１０が内部ネットワーク３０を通じて接続された不正侵入検知・防御装置２０を介してインターネット５０上のウェブサーバ４０と接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムである。このクライアントコンピュータ１０は、脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報（適用済パッチＩＤリスト１１２）およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブル１１１を記憶する第１の記憶手段１２と、適用済パッチＩＤ情報およびパッチＩＤ−検査項目対応テーブルから検査不要項目データ（検査不要項目一覧１１４）を作成するパッチ適用情報確認部１０２と、ウェブサーバ宛の接続要求に検査不要項目データを付与して送信すると共に接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部１１１とを有する。そして不正侵入検知・防御装置２０は、クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している第２の記憶手段２２と、クライアントコンピュータからの接続要求をウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係をセッションテーブルに記録し、接続要求に対応するウェブサーバからの応答パケットをセッションテーブルに記録された発信元に転送するセッション管理部２０１と、ウェブサーバからの応答パケットに不正な攻撃が含まれているか否かについて検査するパケット検査部２０２とを備える。このパケット検査部２０２は、クライアントコンピュータから受信した接続要求がウェブサーバに対して転送される前に該接続要求に含まれる検査不要項目データを取り除くと共に当該検査不要項目データをセッションテーブル内に書き込む検査不要項目書込機能２０２ａと、セッションテーブルで応答パケットに対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを判断する検査実行判定機能２０２ｃと、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能２０２ｂとを有する。
【００２６】
不正侵入検知・防御装置２０はまた、パッチＩＤ−検査項目対応テーブル１１１をクライアントコンピュータ１０に対して送信する対応テーブル配布部２０３を有し、クライアントコンピュータ１０のパッチ適用情報確認部１０２が、予め与えられた周期で対応テーブル配布部からパッチＩＤ−検査項目対応テーブルをダウンロードして検査不要項目データ（検査不要項目一覧１１４）を作成する。
【００２７】
そして、不正侵入検知・防御装置２０の第２の記憶部２２が全てのクライアントコンピュータに共通する設定内容であるサイト共通設定（サイト共通設定データ２１４）を記憶しており、不正侵入検知・防御装置２０の検査実行判定機能２０２ｃがサイト共通設定および検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを判断する。
【００２８】
以上の構成を備えることにより、この装置は各々のクライアントコンピュータごとに検査項目を適切に設定することが可能となる。
以下、これをより詳細に説明する。
【００２９】
図２は、本発明の第１の実施形態に係る不正侵入検知・防御システム１の全体の概略構成の一例を示す説明図である。本実施形態に係る不正侵入検知・防御システム１は、複数のクライアントコンピュータ１０Ａ、１０Ｂ、１０Ｃ、…が、内部ネットワーク（イントラネット）３０を介して不正侵入検知・防御装置２０に接続され、各クライアントコンピュータ１０Ａ、１０Ｂ、１０Ｃ、…は不正侵入検知・防御装置２０を介してインターネット５０経由でウェブサーバ４０に対して通信可能であるように構成される。
【００３０】
図１は、図２に示したクライアントコンピュータ１０および不正侵入検知・防御装置２０の構成を示す説明図である。図２に示したクライアントコンピュータ１０Ａ、１０Ｂ、１０Ｃ、…は、全て同一の構成を有するので、図１では詳細な記載を省略し、これらを総称してクライアントコンピュータ１０という。
【００３１】
本発明の第１の実施形態に係るクライアントコンピュータ１０は一般的なコンピュータ装置であり、コンピュータプログラムを実行する主体となる主演算制御手段（ＣＰＵ: Central Processing Unit）１１と、データを記憶する第１の記憶手段１２と、ネットワークを介して他のコンピュータとのデータ通信を行う通信手段１３と、ユーザからの操作を受け付け、また処理結果を提示する入出力手段１４とを備える。
【００３２】
主演算制御手段１１では、ウェブブラウザ動作部１０１およびパッチ適用情報確認部１０２が、コンピュータプログラムとして動作する。ウェブブラウザ動作部１０１にはＨＴＴＰ（Hypertext Transfer Protocol）ヘッダ変更部１０１ａが含まれる。これらのプログラムの動作については後ほど詳しく説明する。また第１の記憶手段１２には、パッチＩＤ−検査項目対応テーブル１１１と適用済パッチＩＤリスト１１２とがあらかじめ記憶されており、パッチ適用情報確認部１０２の動作によって検査不要項目ビットテーブル１１３および検査不要項目一覧１１４が作成され、第１の記憶手段１２に記憶される。これらのデータ構成についても後ほど詳しく説明する。
【００３３】
クライアントコンピュータ１０と内部ネットワーク３０を介して接続される不正侵入検知・防御装置２０も一般的なコンピュータ装置であり、コンピュータプログラムを実行する主体となる主演算制御手段（ＣＰＵ: Central Processing Unit）２１と、データを記憶する第２の記憶手段２２と、ネットワークを介して他のコンピュータとのデータ通信を行う通信手段２３とを備える。
【００３４】
主演算制御手段２１では、セッション管理部２０１、パケット検査部２０２、および対応テーブル配布部２０３が、コンピュータプログラムとして動作する。これらのプログラムの動作については後ほど詳しく説明する。また第２の記憶手段２２には、パッチＩＤ−検査項目対応テーブル２１１、セッションテーブル２１２、検査プログラム群２１３、サイト共通設定データ２１４、といった各データが記憶されている。これらのデータ構成についても後ほど詳しく説明する。
【００３５】
ちなみにウェブサーバ４０も一般的なコンピュータ装置であり、ウェブサービスを提供するウェブサーバプログラム４１が動作する。このウェブサーバ４０およびウェブサーバプログラム４１については、本発明の範囲ではないので特に詳しく説明しない。
【００３６】
（各部の動作の概要）
クライアントコンピュータ１０で、適用済パッチＩＤリスト１１２は、クライアントコンピュータ１０で既に適用されているパッチの、パッチＩＤの一覧を示す。検査不要項目一覧１１４は、この適用済パッチＩＤリスト１１２に基づいて作成される、クライアントコンピュータ１０で既に脆弱性の対処がされているので検査が不要である項目の一覧を示す。
【００３７】
パッチ適用情報確認部１０２は、定期的に適用済パッチＩＤリスト１１２を作成し、さらに適用済パッチＩＤリスト１１２とパッチＩＤ−検査項目対応テーブル１１１とから検査不要項目一覧１１４を作成する。
【００３８】
そして、クライアントコンピュータ１０でユーザがウェブブラウザ動作部１０１を動作させてウェブ閲覧要求をした場合、ウェブブラウザ動作部１０１はＨＴＴＰ要求ヘッダ１２１を生成し、ウェブブラウザ動作部１０１に含まれるＨＴＴＰヘッダ変更機能１０１ａがこのＨＴＴＰ要求ヘッダ１２１に検査不要項目一覧の情報を付加する。その上で、この情報が付加されたＨＴＴＰ要求ヘッダ１２１ａを、ウェブブラウザ動作部１０１がウェブサーバ４０に送信する。
【００３９】
不正侵入検知・防御装置２０では、クライアントコンピュータ１０からウェブサーバ４０宛に流れるＨＴＴＰ要求１２０を受信すると、まずセッション管理部２０１が、このＨＴＴＰ要求１２０の送信元および宛先のＩＰアドレス、送信元および宛先のポート番号の情報をセッション情報としてセッションテーブル２１２に登録する。
【００４０】
その後、情報が付加されたＨＴＴＰ要求ヘッダ１２１ａをパケット検査部２０２が受け取り、パケット検査部２０２に含まれる検査不要項目書込機能２０２ａが、該ＨＴＴＰ要求ヘッダに含まれる検査不要項目一覧を抽出し、セッションテーブル２１２の該当のエントリに、抽出した検査不要項目２１２ｅを追加して、該ＨＴＴＰ要求ヘッダから検査不要項目一覧を削除する。その後、パケット検査部２０２からウェブサーバ４０に対してＨＴＴＰ要求１２０を送信する。
【００４１】
送信したＨＴＴＰ要求１２０に対して、ウェブサーバ４０ではウェブサーバプログラム４１が応答を返す。この応答であるＨＴＴＰパケットは不正侵入検知・防御装置２０のセッション管理部２０１が受信し、そこからパケット検査部２０２に送られ、さらにパケット検査部２０２内の検査実行判定機能２０２ｃに渡される。
【００４２】
検査実行判定機能２０２ｃでは、まずサイト全体のポリシーが格納されたサイト共通設定データ２１４を読込み、この設定内容に従って検査項目の選択を行う。次に、検査実行判定機能２０２ｃではセッションテーブル２１２内の該当するセッション情報から検査不要項目２１２ｅの情報を読み出し、検査不要項目２１２ｅの情報を基に、検査項目の１番から順番に検査の実行が必要であるか否かを確認する。
【００４３】
検査が不要な項目の場合は検査をスキップし、検査が必要な場合は検査プログラム読込機能２０２ｂを通して検査プログラム群２１３の中から必要な検査項目プログラムを読み出して実行して、このＨＴＴＰパケットの中に脆弱性を突いた攻撃がないかを検査する。
【００４４】
パケット検査部２０２で全ての必要な検査が完了したＨＴＴＰパケットはセッション管理部２０１に戻され、クライアントコンピュータ１０に送信される。その際、このパケットが最後の通信の場合には、検査不要項目書込機能２０２ａがセッションテーブル２１２から該当するセッション情報を削除する。クライアントコンピュータ１０では、受信したＨＴＴＰ応答の内容をウェブブラウザ動作部１０１が入出力手段１４を介して表示する。
【００４５】
（構成の詳細）
図１〜２で既に示したように、クライアントコンピュータ１０の主演算制御手段１１では、ウェブブラウザ動作部１０１およびパッチ適用情報確認部１０２が、コンピュータプログラムとして動作する。ウェブブラウザ動作部１０１にはＨＴＴＰヘッダ変更機能１０１ａが含まれる。
【００４６】
また第１の記憶手段１２には、パッチＩＤ−検査項目対応テーブル１１１と適用済パッチＩＤリスト１１２とがあらかじめ記憶されており、パッチ適用情報確認部１０２の動作によって検査不要項目一覧１１４が作成され、第１の記憶手段１２に記憶される。
【００４７】
図３は、図１に示したパッチＩＤ−検査項目対応テーブル１１１のデータ構成を示す説明図である。パッチＩＤ−検査項目対応テーブル１１１は、脆弱性に対処するためのパッチＩＤ１１１ａと、その脆弱性を突いた攻撃を検出するための検査項目番号１１１ｂとの対応を表したテーブルであり、不正侵入検知・防御装置２０の対応テーブル配布部２０３から配布される。
【００４８】
図３に示した例では、パッチＩＤ１１１ａ＝「ＡＡＡＡＡＡ」のパッチは検査項目番号１１１ｂ＝１〜３の脆弱性に対応しているなどのように、パッチＩＤ１１１ａと検査項目番号１１１ｂの対応が示されている。また、検査項目番号１１１ｂが７０以上の検査項目に対応するパッチＩＤ１１１ａは登録されていないことも示されている。これは検査項目番号１１１ｂが７０以上の項目については、まだ対応が済んでいないので、検査不要とすることはできないということを意味する。
【００４９】
ここで、このパッチＩＤ１１１ａおよびそれに対応する検査項目番号１１１ｂは、不正侵入検知・防御システム１内で統一されてさえいればよいので、たとえばハードウェアやソフトウェアのメーカーがパッチを作成する際に与えてもよいし、また不正侵入検知・防御システム１の管理者が与えて不正侵入検知・防御装置２０のパッチＩＤ−検査項目対応テーブル２１１（詳細は後述）に登録するようにしてもよい。
【００５０】
図４は、図１に示した検査不要項目一覧１１４のデータ構成を示す説明図である。検査不要項目一覧１１４は、クライアントコンピュータ１０のパッチ適用状況から、既に脆弱性に対処済で検査が不要であると判断できる検査項目番号の一覧である。パッチ適用情報確認部１０２は定期的に、適用済パッチＩＤリスト１１２を参照してクライアントコンピュータ１０に既に適用されているパッチを検査し、パッチＩＤ−検査項目対応テーブル１１１の情報から検査が不要と判断された検査項目番号の一覧情報を検査不要項目一覧１１４として出力する。その動作については後述する。
【００５１】
図５は、図１に示した適用済パッチＩＤリスト１１２および検査不要項目ビットテーブル１１３のデータ構成を示す説明図である。適用済パッチＩＤリスト１１２は、クライアントコンピュータ１０に既に適用されているパッチＩＤのリストを一時的に格納するデータであり、図３のパッチＩＤ−検査項目対応テーブル１１１にあった適用済パッチＩＤが列挙されるという形式で、各々のクライアントコンピュータ１０ごとに作成される。
【００５２】
検査不要項目ビットテーブル１１３は、パッチ適用情報確認部１０２が検査不要項目一覧１１４を作成するために用いる一時的なデータであるので、必ずしも図５に示した例の通りである必要はないし、またこれを作成せずに直接検査不要項目一覧１１４を作成してもよい。図５に示した例で、検査不要項目ビットテーブル１１３はビット位置がそのまま検査項目番号に対応しており、図３のパッチＩＤ−検査項目対応テーブル１１１にもあった検査項目番号１番から順番に、検査が不要であれば「１」、検査が必要であれば「０」という２進数で、各々の検査項目について検査が必要か不要かを示している。
【００５３】
ウェブブラウザ動作部１０１は、利用者がウェブサーバ４０の情報を閲覧するための操作を行った場合に、ＨＴＴＰの要求をウェブサーバ４０宛に送信し、またＨＴＴＰの応答があった場合はその内容を入出力手段１４を介して表示する。ＨＴＴＰヘッダ変更機能１０１ａは、ウェブブラウザ動作部１０１がＨＴＴＰ要求を生成した場合に、ＨＴＴＰ要求ヘッダ１２１の中に検査不要項目一覧１１４の情報を追加する。
【００５４】
図６は、図１に示したＨＴＴＰヘッダ変更機能１０１ａが検査不要項目情報１２２を追加したＨＴＴＰ要求ヘッダ１２１ａを含むＨＴＴＰ要求１２０について示す説明図である。図６では、検査不要項目情報１２２を、ＨＴＴＰ要求ヘッダ１２１ａの中では「Ｘ−Ｃｌｉｅｎｔ−Ｐａｔｃｈ−Ｉｎｆｏ：」という行で、検査不要項目一覧１１４で列挙された検査不要項目の番号を並べるという形で表現されているが、これ以外の形式であってもよい。
【００５５】
図１で既に示したように、不正侵入検知・防御装置２０の主演算制御手段２１では、セッション管理部２０１、パケット検査部２０２、および対応テーブル配布部２０３が、コンピュータプログラムとして動作する。パケット検査部２０２には、検査不要項目書込機能２０２ａ、検査プログラム読込機能２０２ｂ、および検査実行判定機能２０２ｃが含まれる。
【００５６】
また不正侵入検知・防御装置２０の第２の記憶手段２２には、パッチＩＤ−検査項目対応テーブル２１１、セッションテーブル２１２、検査プログラム群２１３、およびサイト共通設定データ２１４、といった各データが記憶されている。セッションテーブル２１２には、検査不要項目２１２ｅが含まれる。
【００５７】
図７は、図１に示したパッチＩＤ−検査項目対応テーブル２１１のデータ構成を示す説明図である。パッチＩＤ−検査項目対応テーブル２１１は、脆弱性に対処するためのパッチＩＤと、その脆弱性を突いた攻撃を検出するための検査項目の番号との対応を表したテーブルであり、対応テーブル配布部２０３がこれを各々のクライアントコンピュータ１０のパッチ適用情報確認部１０２に送信して配布する。従って、パッチＩＤ−検査項目対応テーブル２１１のデータ構成は、図３に示したパッチＩＤ−検査項目対応テーブル１１１のそれと同一である。
【００５８】
不正侵入検知・防御装置２０のパッチＩＤ−検査項目対応テーブル２１１が、各クライアントコンピュータ１０のパッチＩＤ−検査項目対応テーブル１１１としてそのまま与えられる構成とすることにより、不正侵入検知・防御システム１全体でパッチＩＤ１１１ａと検査項目番号１１１ｂとの間の統一を取ることが可能となる。新たなパッチが作られ、それによって改善される（そのパッチを適用すれば検査不要となる）検査項目が明確になった場合、そのパッチＩＤ１１１ａと検査項目番号１１１ｂの対応関係を、不正侵入検知・防御システム１全体の管理者がパッチＩＤ−検査項目対応テーブル２１１に登録する。こうすれば、各クライアントコンピュータ１０にその登録された対応関係が反映される。
【００５９】
図８は、図１に示したセッションテーブル２１２のデータ構成を示す説明図である。セッションテーブル２１２は、その時点でセッションが維持されている全ての通信についてのセッション情報（送信元および宛先のＩＰアドレス、送信元および宛先のポート番号）を格納しておくためのテーブルである。セッションテーブル２１２は、送信元ＩＰアドレス２１２ａ、宛先ＩＰアドレス２１２ｂ、送信元ポート番号２１２ｃ、宛先ポート番号２１２ｄに加えて、検査不要項目情報１２２に含まれていた内容を記録する検査不要項目２１２ｅといった各データを保持する。
【００６０】
セッション管理部２０１は、不正侵入検知・防御装置２０を通過する通信を受信し、そのセッション情報をセッションテーブル２１２に書き込んだ後、該パケットをパケット検査部２０２に送る。また、パケット検査部２０２で検査が完了したパケットをセッション管理部２０１が受け取り、各クライアントコンピュータ１０に転送する。
【００６１】
セッション管理部２０１のこの動作は、いわゆるプロキシサーバの動作として一般的なものである。従って、プロキシサーバとして動作するコンピュータ装置を、本実施形態に係る不正侵入検知・防御装置２０として動作しうる構成とすれば、本実施形態を実現可能である。
【００６２】
検査プログラム群２１３は、不正侵入検知・防御装置２０を通過するパケットの中に、脆弱性を突いた攻撃や不正アクセスを行うためのパケットが含まれていないかを検査するためのプログラム群である。検査プログラム読込機能２０２ｂは、検査実行判定機能２０２ｃから要求された検査項目番号に対応する検査プログラムを検査プログラム群２１３の中から読み込んで動作させ、その検査項目についての該パケットの検査を実行する。
【００６３】
図９は、図１に示した検査不要項目２１２ｅを含むセッションテーブル２１２のデータ構成を示す説明図である。検査不要項目書込機能２０２ａは、ＨＴＴＰ要求ヘッダ１２１ａの中に検査不要項目一覧の情報が含まれていた場合に、その情報をセッションテーブル２１２中の該当するエントリに検査不要項目２１２ｅとして格納し、ＨＴＴＰ要求ヘッダ１２１ａから検査不要項目一覧の情報を削除して通常のＨＴＴＰ要求ヘッダ１２１とした後に、セッション管理部２０１を通してウェブサーバ４０にＨＴＴＰ要求を送信する。
【００６４】
検査実行判定機能２０２ｃは、ウェブサーバ４０からＨＴＴＰ応答を受信した場合に、まずサイト全体のポリシーが格納されたサイト共通設定データ２１４を読込み、この設定内容に従って検査項目の選択を行う。次に、セッションテーブル２１２の中から該当するエントリを検索し、そのエントリ内の検査不要項目２１２ｅの情報を読込み、検査不要項目２１２ｅの情報を基に、検査項目番号１番から順番に検査が必要であるかを判断し、検査が必要なければ検査処理をスキップする。検査が必要な場合には、検査実行判定機能２０２ｃは検査プログラム読込機能２０２ｂを通して、検査プログラム群２１３から該当する検査プログラムを読込んでパケットの検査を実行する。
【００６５】
図１０は、図１に示したサイト共通設定データ２１４のデータ構成を示す説明図である。前述の通り、サイト共通設定データ２１４は不正侵入検知・防御システム１全体のセキュリティポリシーを、該システム全体の管理者が記録したものである。セキュリティポリシーは組織で利用されるコンピュータネットワークでは既に一般的なものであり、その項目は多岐にわたっているが、本実施形態に関連するのは全てのクライアントコンピュータ１０で共通する検査不要項目に関する設定のみである。たとえば、全てのクライアントコンピュータ１０が必ず設定すべきパッチがある場合、そのパッチによって検査不要となる検査項目番号がここに設定される。
【００６６】
従って、そのデータ形式は、図４に示した検査不要項目一覧１１４と同じように、全てのクライアントコンピュータ１０で共通する検査不要項目番号を列挙するという形式である。検査実行判定機能２０２ｃは、このサイト共通設定データ２１４の検査不要項目番号と、セッションテーブル２１２の検査不要項目２１２ｅとを合わせて、各クライアントコンピュータ１０について検査項目を判断する。
【００６７】
そしてセッション管理部２０１は検査が終了したパケットを受け取り、セッションテーブル２１２でそのパケットに該当するエントリの送信元ＩＰアドレス２１２ａおよび送信元ポート番号２１２ｃに該当するクライアントコンピュータ１０に転送する。
【００６８】
ウェブサーバ４０で動作するウェブサーバプログラム４１は、ａｐａｃｈｅなどのような一般的なウェブサーバ用のプログラムであり、ＨＴＴＰ要求を受信し、その要求の内容に応じてＨＴＴＰの応答を送信するものである。不正侵入検知・防御装置２０からウェブサーバ４０に送信されるＨＴＴＰ要求で、ＨＴＴＰ要求ヘッダ１２１は検査不要項目一覧１１４の情報を削除されているので、ＨＴＴＰの基本的仕様の通りのものである。従って、ウェブサーバプログラム４１は、本実施形態に対応した特別なものである必要はなく、通常のものでよい。
【００６９】
（フローチャート）
図１１は、図１に示したパッチ適用情報確認部１０２が定期的に行うパッチ適用情報確認の動作を表すフローチャートである。パッチ適用情報確認部１０２は、この動作を定期的に、たとえば１日に１回あらかじめ設定された時刻に行う。
【００７０】
設定時刻が来たことを確認したパッチ適用情報確認部１０２は（ステップＳ３０１）、不正侵入検知・防御装置２０の対応テーブル配布部２０３から、パッチＩＤ−検査項目対応テーブル２１１をダウンロードし、図３に示したパッチＩＤ−検査項目対応テーブル１１１として保存する（ステップＳ３０２）。そしてパッチ適用情報確認部１０２は、クライアントコンピュータ１０に適用済のパッチを検査してパッチＩＤ−検査項目対応テーブル１１１と比較し、図５に示した適用済パッチＩＤリスト１１２を作成する（ステップＳ３０３）。
【００７１】
そしてパッチ適用情報確認部１０２は、作成した適用済パッチＩＤリスト１１２から、図５に示した検査不要項目ビットテーブル１１３の初期データをまず作成する（ステップＳ３０４）。この段階で作成された初期データでは、全てのデータが「検査不要」を示す「１」となっている。パッチ適用情報確認部１０２は、パッチＩＤ−検査項目対応テーブル１１１の先頭から順番にそのデータを読み込み（ステップＳ３０５）、読み込んだエントリのパッチＩＤが適用済パッチＩＤリスト１１２に存在するか否かを確認する（ステップＳ３０６）。
【００７２】
存在すれば（ステップＳ３０６：ＹＥＳ）、そのパッチはクライアントコンピュータ１０に既に適用されているので、これに対応する検査項目について検査する必要はないことになる。従って、検査不要項目ビットテーブル１１３でこれに対応するビットは「１」のままで、次のエントリについてステップＳ３０５から処理を繰り返す。
【００７３】
存在しなければ（ステップＳ３０６：ＮＯ）、そのパッチはクライアントコンピュータ１０に適用されていないので、これに対応する検査項目について検査する必要はある。従って、検査不要項目ビットテーブル１１３でこれに対応するビットを「検査必要」を示す「０」に変更して（ステップＳ３０７）、次のエントリについてステップＳ３０５から処理を繰り返す（ステップＳ３０９）。
【００７４】
以上の処理を、パッチＩＤ−検査項目対応テーブル１１１の最後のエントリまでくり返し（ステップＳ３０８）、全てのエントリの処理が終わったら、検査不要項目ビットテーブル１１３としてここまでに出力された情報を図４に示した検査不要項目一覧１１４として出力して（ステップＳ３１０）処理を終了する。
【００７５】
図１２は、図１に示したＨＴＴＰヘッダ変更機能１０１ａがＨＴＴＰ要求ヘッダ１２１に検査不要項目情報１２２を追加してＨＴＴＰ要求ヘッダ１２１ａとする動作を表すフローチャートである。ユーザが入出力手段１４を操作してウェブブラウザ動作部１０１にウェブブラウザを起動させる（ステップＳ４０１）と、ウェブブラウザ動作部１０１はＨＴＴＰ要求ヘッダ１２１を含むＨＴＴＰ要求１２０をウェブサーバ４０に向けて送出する（ステップＳ４０２）。
【００７６】
そのＨＴＴＰ要求１２０はＨＴＴＰヘッダ変更機能１０１ａに渡され、これに反応したＨＴＴＰヘッダ変更機能１０１ａは、あらかじめ出力された検査不要項目一覧１１４を読込み、図６に示したようにＨＴＴＰ要求ヘッダ１２１に検査不要項目情報１２２を付加してＨＴＴＰ要求ヘッダ１２１ａとしてウェブブラウザ動作部１０１に渡し（ステップＳ４０３）、ウェブブラウザ動作部１０１はこのＨＴＴＰ要求ヘッダ１２１ａを含むＨＴＴＰ要求１２０をウェブサーバ４０に向けて送出する（ステップＳ４０５）。
【００７７】
図１３は、図１に示したセッション管理部２０１およびパケット検査部２０２が、クライアントコンピュータ１０からＨＴＴＰ要求ヘッダ１２１ａを含むＨＴＴＰ要求１２０を受信した際の動作を表すフローチャートである。図１３は、ＨＴＴＰ要求ヘッダ１２１ａに含まれる検査不要項目情報１２２の内容をセッションテーブル２１２に保存し、検査不要項目情報１２２を取り除いた元のＨＴＴＰ要求ヘッダ１２１としてウェブサーバ４０に向けて送出するまでの動作を表す。
【００７８】
不正侵入検知・防御装置２０では、まずセッション管理部２０１がこのＨＴＴＰ要求１２０を受信して（ステップＳ５０１）、ここに含まれるセッション情報（送信元ＩＰアドレス２１２ａ、宛先ＩＰアドレス２１２ｂ、送信元ポート番号２１２ｃ、宛先ポート番号２１２ｄ）をセッションテーブル２１２に記録して（ステップＳ５０２）、該ＨＴＴＰ要求１２０をパケット検査部２０２内の検査不要項目書込機能２０２ａに渡す。
【００７９】
該ＨＴＴＰ要求を受けた検査不要項目書込機能２０２ａは、このＨＴＴＰ要求のＨＴＴＰ要求ヘッダ１２１ａに含まれる検査不要項目情報１２２の内容をセッションテーブル２１２の検査不要項目２１２ｅに保存して（ステップＳ５０３）、ＨＴＴＰ要求ヘッダ１２１ａから検査不要項目情報１２２を削除して元のＨＴＴＰ要求ヘッダ１２１に戻して、該ＨＴＴＰ要求をセッション管理部２０１に返却する（ステップＳ５０４）。セッション管理部２０１は、検査不要項目書込機能２０２ａから返却されたＨＴＴＰ要求１２０を、ウェブサーバ４０に送出する（ステップＳ５０５）。
【００８０】
図１４は、図１に示したセッション管理部２０１およびパケット検査部２０２が、ウェブサーバ４０からＨＴＴＰ応答を受信した際の動作を表すフローチャートである。図１３は、ウェブサーバ４０からＨＴＴＰ応答を受信してこれを検査し、そのＨＴＴＰ応答の元となったＨＴＴＰ要求１２０を送信したクライアントコンピュータ１０に該ＨＴＴＰ応答を返すまでの動作を表す。
【００８１】
不正侵入検知・防御装置２０では、まずセッション管理部２０１がこのＨＴＴＰ応答を受信して（ステップＳ６０１）、該ＨＴＴＰ応答をパケット検査部２０２内の検査実行判定機能２０２ｃに渡す（ステップＳ６０２）。
【００８２】
該ＨＴＴＰ応答を受けた検査実行判定機能２０２ｃは、まずサイト共通設定データ２１４を読込み、この設定内容に従って検査項目の選択を行う（ステップＳ６０３）。次いで検査実行判定機能２０２ｃは、該ＨＴＴＰ応答に該当するエントリをセッションテーブル２１２の中から検索し、そのエントリの検査不要項目２１２ｅを読込み（ステップＳ６０４）、ここまでで読み込んだ情報から、各検査項目番号について検査が必要であるか否かについて判断する（ステップＳ６０５）。
【００８３】
検査が必要である場合（ステップＳ６０５：ＹＥＳ）、検査実行判定機能２０２ｃは検査プログラム読込機能２０２ｂを通して、検査プログラム群２１３からその検査項目番号に該当する検査プログラムを読み込み、その項目について該ＨＴＴＰ応答を検査し（ステップＳ６０６）、次の項目についてステップＳ６０５から処理を繰り返す。検査の結果、脆弱性を突いた攻撃の内容を含んでいた場合はそのパケットを破棄して処理を終了する（ステップＳ６０７〜６０８）。
【００８４】
検査が不要である場合（ステップＳ６０５：ＮＯ）、検査実行判定機能２０２ｃはその検査項目についての検査を行わず、次の項目についてステップＳ６０５から処理を繰り返す。
【００８５】
以上の処理を、全ての検査項目についてくり返し（ステップＳ６０９〜６１０）、全ての検査項目について処理が終わっても脆弱性を突いた攻撃の内容が見つからなかったら、該ＨＴＴＰ応答をそのＨＴＴＰ応答の元となったＨＴＴＰ要求を送信したクライアントコンピュータ１０、即ちセッションテーブル２１２でそのＨＴＴＰ応答の元となったＨＴＴＰ要求１２０に該当するエントリの送信元ＩＰアドレス２１２ａおよび送信元ポート番号２１２ｃに該当するクライアントコンピュータ１０に返して（ステップＳ６１１）、処理を終了する。
【００８６】
これと同時に、セッション管理部２０１ではそのＨＴＴＰ応答がＨＴＴＰ要求１２０に該当する最後のパケットである場合に、セッションテーブル２１２の該当するエントリを削除する。クライアントコンピュータ１０は、ウェブブラウザ動作部１０１が受信したそのＨＴＴＰ応答の内容を表示する。
【００８７】
（第１の実施形態の全体的な動作）
次に、上記の実施形態の全体的な動作について説明する。本実施形態に係る不正侵入検知・防御方法は、単数もしくは複数台のクライアントコンピュータ１０が内部ネットワーク３０を通じて接続された不正侵入検知・防御装置２０を介して外部ネットワーク上のウェブサーバと接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システム１で、クライアントコンピュータが、予め記憶されている脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルからパッチ適用情報確認部にて検査不要項目データを作成し（図１１・ステップＳ３０３〜３１０）、クライアントコンピュータが、ウェブサーバ宛の接続要求に検査不要項目データを付与してウェブブラウザ動作部にて送信し（図１２・ステップＳ４０２〜４０５）、不正侵入検知・防御装置が、クライアントコンピュータからの接続要求をセッション管理部にて受信し（図１３・ステップＳ５０１）、不正侵入検知・防御装置が、接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルにセッション管理部にて記録し（図１３・ステップＳ５０２）、不正侵入検知・防御装置が、接続要求に含まれる検査不要項目データを検査不要項目書込機能にてセッションテーブル内に書き込み（図１３・ステップＳ５０３）、不正侵入検知・防御装置が、接続要求から検査不要項目データを検査不要項目書込機能にて取り除き（図１３・ステップＳ５０４）、不正侵入検知・防御装置が、検査不要項目データを取り除かれた接続要求をセッション管理部にてウェブサーバに対して転送し（図１３・ステップＳ５０５）、不正侵入検知・防御装置が、接続要求に対応するウェブサーバからの応答パケットをセッション管理部にて受信し（図１４・ステップＳ６０１）、不正侵入検知・防御装置が、セッションテーブルで応答パケットに対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを検査実行判定機能にて判断し（図１４・ステップＳ６０３〜６０５）、不正侵入検知・防御装置が、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで検査プログラム読込機能にて該応答パケットを検査し（図１４・ステップＳ６０６）、不正侵入検知・防御装置が、該応答パケットに不正な攻撃が含まれていればこれを検査プログラム読込機能にて破棄し（図１４・ステップＳ６０７〜６０８）、不正侵入検知・防御装置が、該応答パケットに不正な攻撃が含まれていなければこれをセッション管理部にてクライアントコンピュータに転送し（図１４・ステップＳ６１１）、クライアントコンピュータが、不正侵入検知・防御装置から転送されてきた応答パケットの内容をウェブブラウザ動作部にて表示する。
【００８８】
ここで、上記各動作ステップについては、これをコンピュータで実行可能にプログラム化し、これらを前記各ステップを直接実行するコンピュータであるクライアントコンピュータ１０および不正侵入検知・防御装置２０に実行させるようにしてもよい。
この構成および動作により、本実施形態は以下のような効果を奏する。
【００８９】
本実施形態により、各々のクライアントコンピュータごとに異なるパッチの適用状況に合わせて検査不要項目を設定し、応答パケットに対する検査を行うことが可能となる。このため、既にクライアントコンピュータ側で脆弱性への対処が行われている検査項目について、適切に検査を省略することができるので、セキュリティレベルを低下させることはない。それでいて、不正侵入検知・防御装置の側で検査にかかる負荷を小さくすることができるので、通信速度の低下を避けることが可能となる。
【００９０】
（第２の実施形態）
本発明の第２の実施形態に係る不正侵入検知・防御システム７０１は、クライアントコンピュータ７１０が、コンピュータ資産管理の目的で適用済パッチＩＤ情報データを作成する資産管理用パッチ適用情報確認部８０３を有し、パッチ適用情報確認部８０２が資産管理用パッチ適用情報確認部８０３から適用済パッチＩＤ情報データ８１５を取得する。
【００９１】
これによって、適用済パッチＩＤリスト１１２の作成にかかるクライアントコンピュータ７１０の負荷を省略することができる。
以下、これをより詳細に説明する。
【００９２】
図１５は、本発明の第２の実施形態に係る不正侵入検知・防御システム７０１の全体の概略構成の一例を示す説明図である。本実施形態に係る不正侵入検知・防御システム７０１は、前述した第１の実施形態に係る不正侵入検知・防御システム１と比べて、複数のクライアントコンピュータ１０Ａ、１０Ｂ、１０Ｃ、…が各々クライアントコンピュータ７１０Ａ、７１０Ｂ、７１０Ｃ、…に置き換わっている。それらは全て同一の構成を有するので、以後総称してクライアントコンピュータ７１０という。
【００９３】
これら以外の要素は全て、第１の実施形態に係る不正侵入検知・防御システム１と同一である。また、第２の実施形態に係るクライアントコンピュータ７１０と、第１の実施形態に係るクライアントコンピュータ１０とが、同一の内部ネットワーク３０の中で混在していてもよい。
【００９４】
図１６は、図１５で示したクライアントコンピュータ７１０の構成を示す説明図である。クライアントコンピュータ７１０は、第１の実施形態に係るクライアントコンピュータ１０と全く同様の主演算制御手段１１と、第１の記憶手段１２と、通信手段１３と、入出力手段１４とを備える。
【００９５】
ただし、主演算制御手段１１で動作するコンピュータプログラムは、ウェブブラウザ動作部１０１は第１の実施形態と同一だが、パッチ適用情報確認部１０２がパッチ適用情報確認部８０２に変更され、さらに資産管理用パッチ適用情報確認部８０３が追加されている。また、第１の記憶手段１２にあらかじめ記憶されているデータに、パッチＩＤ−検査項目対応テーブル１１１と適用済パッチＩＤリスト１１２の他に、資産管理用適用済パッチＩＤリスト８１５が追加されている。これらの点以外は、第１の実施形態に係るクライアントコンピュータ１０と同一の構成であるので、同一の要素については同一の参照番号を付す。
【００９６】
資産管理用パッチ適用情報確認部８０３は、コンピュータの資産管理の目的で既に導入されている、クライアントコンピュータ７１０のパッチの適用状況を確認するためのプログラムである。資産管理用適用済パッチＩＤリスト８１５は、資産管理用パッチ適用情報確認部８０３がその資産管理の目的で作成して保存するデータである。図１７は、図１６に示した資産管理用適用済パッチＩＤリスト８１５のデータ構成を示す説明図である。資産管理用適用済パッチＩＤリスト８１５のデータ構成および内容は、図５に示した適用済パッチＩＤリスト１１２と同一である。
【００９７】
図１８は、図１６に示したパッチ適用情報確認部８０２の、パッチ適用情報確認の動作を表すフローチャートである。この動作は、図１１に示したパッチ適用情報確認部１０２の動作と概ね同一であるので、同一の動作は同一のステップ番号でいう。パッチ適用情報確認部８０２はステップＳ３０１〜３０２の動作を行った後、資産管理用パッチ適用情報確認部８０３に資産管理用適用済パッチＩＤリスト８１５を送信するように依頼（ステップＳ９０３）する。資産管理用パッチ適用情報確認部８０３はこれをパッチ適用情報確認部８０２に渡す（ステップＳ９０４）。
【００９８】
図１７に示したように、資産管理用適用済パッチＩＤリスト８１５は図５に示した適用済パッチＩＤリスト１１２と同一のデータ構成を有し、また内容もそのままステップＳ３０４以後の処理に利用できるものであるので、パッチ適用情報確認部８０２はこれを利用してステップＳ３０４以後の処理を行う。
【００９９】
本実施形態によって、第１の実施形態で説明した効果と同一の効果を得ることができるのに加えて、資産管理の目的で既に作成された適用済パッチＩＤリストをそのまま利用するので、同一の適用済パッチＩＤリストを重複して作成することがないので、クライアントコンピュータ７１０の負荷を省略することができる。
【０１００】
これまで本発明について図面に示した特定の実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができる。
【０１０１】
上述した各々の実施形態について、その新規な技術内容の要点をまとめると、以下のようになる。なお、上記実施形態の一部または全部は、新規な技術として以下のようにまとめられるが、本発明は必ずしもこれに限定されるものではない。
【０１０２】
（付記１） 単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムであって、
前記クライアントコンピュータが、
前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する第１の記憶手段と、
前記適用済パッチＩＤ情報および前記パッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信すると共に前記接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部とを有し、
前記不正侵入検知・防御装置が、
前記クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している第２の記憶手段と、
前記クライアントコンピュータからの接続要求を前記ウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係を前記セッションテーブルに記録し、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッションテーブルに記録された前記発信元に転送するセッション管理部と、
前記ウェブサーバからの応答パケットに前記不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、
前記パケット検査部が、
前記クライアントコンピュータから受信した接続要求が前記ウェブサーバに対して転送される前に該接続要求に含まれる前記検査不要項目データを取り除くと共に当該検査不要項目データを前記セッションテーブル内に書き込む検査不要項目書込機能と、
前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに前記不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能と
を有することを特徴とする不正侵入検知・防御システム。
【０１０３】
（付記２） 前記不正侵入検知・防御装置が、前記パッチＩＤ−検査項目対応テーブルを前記クライアントコンピュータに対して送信する対応テーブル配布部を有し、
前記クライアントコンピュータの前記パッチ適用情報確認部が、予め与えられた周期で前記対応テーブル配布部から前記パッチＩＤ−検査項目対応テーブルをダウンロードして前記検査不要項目データを作成することを特徴とする、付記１に記載の不正侵入検知・防御システム。
【０１０４】
（付記３） 前記不正侵入検知・防御装置の第２の記憶部が全ての前記クライアントコンピュータに共通する設定内容であるサイト共通設定を記憶しており、
前記不正侵入検知・防御装置の前記検査実行判定機能が前記サイト共通設定および前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断することを特徴とする、付記１に記載の不正侵入検知・防御システム。
【０１０５】
（付記４） 前記クライアントコンピュータが、
コンピュータ資産管理の目的で前記適用済パッチＩＤ情報データを作成する資産管理用パッチ適用情報確認部を有し、
前記パッチ適用情報確認部が前記資産管理用パッチ適用情報確認部から前記適用済パッチＩＤ情報データを取得することを特徴とする、付記１に記載の不正侵入検知・防御システム。
【０１０６】
（付記５） 内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能なクライアントコンピュータであって、
動作するソフトウェアの脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する記憶手段と、
前記適用済パッチＩＤ情報および前記パッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信すると共に前記接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部と
を有することを特徴とするクライアントコンピュータ。
【０１０７】
（付記６） 内部ネットワークを通じて接続されたクライアントコンピュータと外部ネットワーク上のウェブサーバとの間の接続を仲介し、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御装置であって、
前記クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している記憶手段と、
前記クライアントコンピュータからの接続要求を前記ウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係を前記セッションテーブルに記録し、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッションテーブルに記録された前記発信元に転送するセッション管理部と、
前記ウェブサーバからの応答パケットに前記不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、
前記パケット検査部が、
前記クライアントコンピュータから受信した接続要求が前記ウェブサーバに対して転送される前に該接続要求に含まれる前記検査不要項目データを取り除くと共に当該検査不要項目データを前記セッションテーブル内に書き込む検査不要項目書込機能と、
前記セッションテーブルで前記応答に対応する前記接続要求に含まれていた検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに前記不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能と
を有することを特徴とする不正侵入検知・防御装置。
【０１０８】
（付記７） 単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
前記クライアントコンピュータが、予め記憶されている前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルからパッチ適用情報確認部にて検査不要項目データを作成し、
前記クライアントコンピュータが、前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与してウェブブラウザ動作部にて送信し、
前記不正侵入検知・防御装置が、前記クライアントコンピュータからの接続要求をセッション管理部にて受信し、
前記不正侵入検知・防御装置が、前記接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルに前記セッション管理部にて記録し、
前記不正侵入検知・防御装置が、前記接続要求に含まれる前記検査不要項目データを検査不要項目書込機能にて前記セッションテーブル内に書き込み、
前記不正侵入検知・防御装置が、前記接続要求から前記検査不要項目データを前記検査不要項目書込機能にて取り除き、
前記不正侵入検知・防御装置が、前記検査不要項目データを取り除かれた前記接続要求を前記セッション管理部にて前記ウェブサーバに対して転送し、
前記不正侵入検知・防御装置が、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッション管理部にて受信し、
前記不正侵入検知・防御装置が、前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを検査実行判定機能にて判断し、
前記不正侵入検知・防御装置が、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで検査プログラム読込機能にて該応答パケットを検査し、
前記不正侵入検知・防御装置が、該応答パケットに前記不正な攻撃が含まれていればこれを前記検査プログラム読込機能にて破棄し、
前記不正侵入検知・防御装置が、該応答パケットに前記不正な攻撃が含まれていなければこれを前記セッション管理部にて前記クライアントコンピュータに転送し、
前記クライアントコンピュータが、前記不正侵入検知・防御装置から転送されてきた前記応答パケットの内容を前記ウェブブラウザ動作部にて表示する
ことを特徴とする不正侵入検知・防御方法。
【０１０９】
（付記８） 単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
コンピュータに、
予め記憶されている前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルから検査不要項目データを作成する手順と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信する手順と、
前記不正侵入検知・防御装置から転送されてきた応答パケットの内容を表示する手順と
を実行させることを特徴とする不正侵入検知・防御プログラム。
【０１１０】
（付記９） 単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
コンピュータに、
前記クライアントコンピュータからの接続要求を受信する手順と、
前記接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルに記録する手順と、
前記接続要求に含まれる前記検査不要項目データを前記セッションテーブル内に書き込む手順と、
前記接続要求から前記検査不要項目データを取り除く手順と、
前記検査不要項目データを取り除かれた前記接続要求を前記ウェブサーバに対して転送する手順と、
前記接続要求に対応する前記ウェブサーバからの応答パケットを受信する手順と、
前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する手順と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査する手順と、
該応答パケットに前記不正な攻撃が含まれていればこれを破棄する手順と、
該応答パケットに前記不正な攻撃が含まれていなければこれを前記クライアントコンピュータに転送する手順と
を実行させることを特徴とする不正侵入検知・防御プログラム。
【産業上の利用可能性】
【０１１１】
本発明は、ネットワークに接続されたコンピュータの不正侵入対策に適用できる。
【符号の説明】
【０１１２】
１、７０１ 不正侵入検知・防御システム
１０、１０Ａ、１０Ｂ、１０Ｃ、７１０、７１０Ａ、７１０Ｂ、７１０Ｃ クライアントコンピュータ
１１、２１ 主演算制御手段
１２ 第１の記憶手段
２２ 第２の記憶手段
１３、２３ 通信手段
１４ 入出力手段
２０ 不正侵入検知・防御装置
３０ 内部ネットワーク
４０ ウェブサーバ
４１ ウェブサーバプログラム
５０ インターネット
１０１ ウェブブラウザ動作部
１０１ａ ＨＴＴＰヘッダ変更機能
１０２、８０２ パッチ適用情報確認部
１１１、２１１ パッチＩＤ−検査項目対応テーブル
１１１ａ パッチＩＤ
１１１ｂ 検査項目番号
１１２ 適用済パッチＩＤリスト
１１３ 検査不要項目ビットテーブル
１１４ 検査不要項目一覧
１２０ ＨＴＴＰ要求
１２１、１２１ａ ＨＴＴＰ要求ヘッダ
１２２ 検査不要項目情報
２０１ セッション管理部
２０２ パケット検査部
２０２ａ 検査不要項目書込機能
２０２ｂ 検査プログラム読込機能
２０２ｃ 検査実行判定機能
２０３ 対応テーブル配布部
２１２ セッションテーブル
２１２ｅ 検査不要項目
２１３ 検査プログラム群
２１４ サイト共通設定データ
８０３ 資産管理用パッチ適用情報確認部
８１５ 資産管理用適用済パッチＩＤリスト
【技術分野】
【０００１】
本発明は不正侵入検知・防御システム、クライアントコンピュータ、不正侵入検知・防御装置、方法およびプログラムに関し、特にセキュリティレベルおよび通信速度の低下を避けることを可能とする不正侵入検知・防御システム、クライアントコンピュータ、不正侵入検知・防御装置、方法およびプログラムに関する。
【背景技術】
【０００２】
インターネットに接続される全てのコンピュータにとって、ＯＳ（Oparating System、基本ソフトウェア）やアプリケーションなどの脆弱性を突いて不正侵入を試みる攻撃に対する対策は、もはや不可欠である。非特許文献１で株式会社シマンテックが報告した所によると、同社は西暦２００８年の１年間で約１６６万個の新たなマリシャスコード（悪意をもったプログラム）に対して対策を行ったという。これは前年の約６２万個に比べて、およそ２．６倍の数となる。当然ながら、不正侵入に対する脅威も、これと同様のペースで急増していることになる。
【０００３】
このように不正侵入に対する脅威が急増している昨今では、不正侵入に対して各々のクライアントコンピュータで対策するだけでなく、企業などの組織内部のイントラネットがグローバルなインターネットに接続される部分（たとえばプロキシサーバなど）で不正侵入を検知して防御することが、各々のクライアントコンピュータでの負荷が軽減されるので望ましい。そのため、多くの組織で、外部ネットワークから内部のイントラネットを不正侵入から守るという意味で、インライン型不正侵入検知・防御システムが採用されるようになっている。
【０００４】
図１９は、一般的なインライン型不正侵入検知・防御システム１００１の構成を示す説明図である。複数台のクライアントコンピュータ１０１０Ａ、１０１０Ｂ、１０１０Ｃ、…が組織内の内部ネットワーク１０３０に接続されており、内部ネットワーク１０３０は不正侵入検知・防御装置１０２０を介して、インターネット１０５０に接続されている。これによって、各々のクライアントコンピュータ１０１０Ａ、１０１０Ｂ、１０１０Ｃ、…は、インターネット１０５０上のウェブサーバ１０４０に接続して、ウェブサーバ１０４０によって提供されるウェブサービスを受けることが可能となっている。
【０００５】
不正侵入検知・防御装置１０２０は、各々のクライアントコンピュータ１０１０Ａ、１０１０Ｂ、１０１０Ｃ、…からウェブサーバ１０４０への接続を仲介するいわゆるプロキシサーバであると共に、インターネット１０５０の側から内部ネットワーク１０３０に対して届く通信パケットを検査し、その通信パケットに不正な侵入を意図する内容が含まれていればこの通信パケットを破棄して、これによって不正侵入を防ぐという機能を持つ。これによって、各々のクライアントコンピュータ１０１０Ａ、１０１０Ｂ、１０１０Ｃ、…は、不正侵入の脅威から守られる。
【０００６】
ただし、不正侵入検知・防御装置１０２０で各々の通信パケットを検査する項目が増加すると、その検査を行うプロセッサが過負荷となり、通信速度が大幅に低下するという問題が生じうる。この問題に関連して、次の各々の技術文献がある。その中でも特許文献１には、ネットワークの構成で上流機器に「セキュリティ強度」について問い合わせ、その返答に基づいて検査項目を一部省略するという不正アクセス検知装置などが記載されている。
【０００７】
特許文献２には、ソフトウェアの脆弱性の修正によって改善された点について検査ルールから削除するという情報検査装置が記載されている。特許文献３には、ＨＴＴＰ（Hypertext Transfer Protocol）ヘッダなどのデータを自動作成する脆弱性検査装置が記載されている。特許文献４には、パケットの照合時間が最大遅延許容時間を超えるとパターン照合の中止を指示するというインライン型不正侵入検知・防御装置が記載されている。特許文献５には、使用対象となっているシグネチャの各検査項目の攻撃検知度数を判断し、ＣＰＵ（Central Processing Unit、主演算制御手段）の負荷状況に応じて検査項目を変更するというインライン型不正侵入検知・防御装置が記載されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００９−００５１２２号公報
【特許文献２】特開２００４−１３９１７７号公報
【特許文献３】特開２００５−３５４３３８号公報
【特許文献４】特開２００８−０６６９０３号公報
【特許文献５】特開２００８−０９８７６６号公報
【非特許文献】
【０００９】
【非特許文献１】「インターネットセキュリティ脅威レポート」、［online］、平成２１年４月、株式会社シマンテック、［平成２２年２月１２日検索］、インターネット＜ＵＲＬ：http://www.symantec.com/content/ja/jp/enterprise/white_papers/istr14_wp_200904.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【００１０】
前述のように、図１９で示したインライン型不正侵入検知・防御システム１００１で、不正侵入検知・防御装置１０２０が同装置を通る各々の通信パケットに対して検査しなければならない項目は急増している。従って、これらの多数の項目を検査するために、この装置で検査を実際に行うプロセッサが過負荷となり、通信速度が大幅に低下するという問題が生じている。
【００１１】
一方で、各々のクライアントコンピュータ１０１０Ａ、１０１０Ｂ、１０１０Ｃ、…で動作するＯＳ（Operating System）やアプリケーションでは、毎日のように発見される新たな脅威に対して、パッチと呼ばれるソフトウェアの修正モジュールが次々と作成され、配布されている。各クライアントコンピュータにそれらのパッチを適用することによって、多くの不正侵入の脅威に対応できる。
【００１２】
そのため、クライアントコンピュータ側でパッチの適用によって対応できている項目については不正侵入検知・防御装置１０２０の側で検査を省略し、それによって検査にかかる負荷を軽減し、通信速度の低下を避けるということは当然考えられる。
【００１３】
しかしながら、パッチの適用状況はクライアントコンピュータごとに異なり、全ての必要なパッチが全てのクライアントコンピュータに適用されているとは限らない。また、各々のクライアントコンピュータごとに利用しているＯＳやアプリケーションが異なるので、適用すべきパッチも当然クライアントコンピュータごとに異なる。
【００１４】
そのため、管理者がその全てを把握して、日々増加する検査項目の内容を１つずつ確認しながら検査が必要であるか不要であるかを判断し、セキュリティレベルおよび通信速度を低下させずに検査項目を適切に設定するということは、既に現実的には困難なこととなっている。
【００１５】
特許文献１〜５に記載されている技術では、クライアントコンピュータごとにパッチの適用状況が異なるという点については考慮されていないし、ましてそれに応じて検査項目を設定するということはできない。
【００１６】
本発明の目的は、各々のクライアントコンピュータごとに検査項目を適切に設定し、セキュリティレベルおよび通信速度の低下を避けることを可能とする不正侵入検知・防御システム、クライアントコンピュータ、不正侵入検知・防御装置、方法およびプログラムを提供することにある。
【課題を解決するための手段】
【００１７】
上記目的を達成するため、本発明に係る不正侵入検知・防御システムは、単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムであって、クライアントコンピュータが、脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する第１の記憶手段と、適用済パッチＩＤ情報およびパッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、ウェブサーバ宛の接続要求に検査不要項目データを付与して送信すると共に接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部とを有し、不正侵入検知・防御装置が、クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している第２の記憶手段と、クライアントコンピュータからの接続要求をウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係をセッションテーブルに記録し、接続要求に対応するウェブサーバからの応答パケットをセッションテーブルに記録された発信元に転送するセッション管理部と、ウェブサーバからの応答パケットに不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、パケット検査部が、クライアントコンピュータから受信した接続要求がウェブサーバに対して転送される前に該接続要求に含まれる検査不要項目データを取り除くと共に当該検査不要項目データをセッションテーブル内に書き込む検査不要項目書込機能と、セッションテーブルで応答パケットに対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能とを有することを特徴とする。
【００１８】
上記目的を達成するため、本発明に係るクライアントコンピュータは、内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能なクライアントコンピュータであって、動作するソフトウェアの脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する記憶手段と、適用済パッチＩＤ情報およびパッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、ウェブサーバ宛の接続要求に検査不要項目データを付与して送信すると共に接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部とを有することを特徴とする。
【００１９】
上記目的を達成するため、本発明に係る不正侵入検知・防御装置は、内部ネットワークを通じて接続されたクライアントコンピュータと外部ネットワーク上のウェブサーバとの間の接続を仲介し、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御装置であって、クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している記憶手段と、クライアントコンピュータからの接続要求をウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係をセッションテーブルに記録し、接続要求に対応するウェブサーバからの応答パケットをセッションテーブルに記録された発信元に転送するセッション管理部と、ウェブサーバからの応答パケットに不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、パケット検査部が、クライアントコンピュータから受信した接続要求がウェブサーバに対して転送される前に該接続要求に含まれる検査不要項目データを取り除くと共に当該検査不要項目データをセッションテーブル内に書き込む検査不要項目書込機能と、セッションテーブルで応答に対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能とを有することを特徴とする。
【００２０】
上記目的を達成するため、本発明に係る不正侵入検知・防御方法は、単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、クライアントコンピュータが、予め記憶されている脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルからパッチ適用情報確認部にて検査不要項目データを作成し、クライアントコンピュータが、ウェブサーバ宛の接続要求に検査不要項目データを付与してウェブブラウザ動作部にて送信し、不正侵入検知・防御装置が、クライアントコンピュータからの接続要求をセッション管理部にて受信し、不正侵入検知・防御装置が、接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルにセッション管理部にて記録し、不正侵入検知・防御装置が、接続要求に含まれる検査不要項目データを検査不要項目書込機能にてセッションテーブル内に書き込み、不正侵入検知・防御装置が、接続要求から検査不要項目データを検査不要項目書込機能にて取り除き、不正侵入検知・防御装置が、検査不要項目データを取り除かれた接続要求をセッション管理部にてウェブサーバに対して転送し、不正侵入検知・防御装置が、接続要求に対応するウェブサーバからの応答パケットをセッション管理部にて受信し、不正侵入検知・防御装置が、セッションテーブルで応答パケットに対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを検査実行判定機能にて判断し、不正侵入検知・防御装置が、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで検査プログラム読込機能にて該応答パケットを検査し、不正侵入検知・防御装置が、該応答パケットに不正な攻撃が含まれていればこれを検査プログラム読込機能にて破棄し、不正侵入検知・防御装置が、該応答パケットに不正な攻撃が含まれていなければこれをセッション管理部にてクライアントコンピュータに転送し、クライアントコンピュータが、不正侵入検知・防御装置から転送されてきた応答パケットの内容をウェブブラウザ動作部にて表示することを特徴とする。
【００２１】
上記目的を達成するため、本発明に係る不正侵入検知・防御プログラムは、単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、コンピュータに、予め記憶されている脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルから検査不要項目データを作成する手順と、ウェブサーバ宛の接続要求に検査不要項目データを付与して送信する手順と、不正侵入検知・防御装置から転送されてきた応答パケットの内容を表示する手順とを実行させることを特徴とする。
【００２２】
上記目的を達成するため、本発明に係る別の不正侵入検知・防御プログラムは、単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、コンピュータに、クライアントコンピュータからの接続要求を受信する手順と、接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルに記録する手順と、接続要求に含まれる検査不要項目データをセッションテーブル内に書き込む手順と、接続要求から検査不要項目データを取り除く手順と、検査不要項目データを取り除かれた接続要求をウェブサーバに対して転送する手順と、接続要求に対応するウェブサーバからの応答パケットを受信する手順と、セッションテーブルで応答パケットに対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを判断する手順と、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査する手順と、該応答パケットに不正な攻撃が含まれていればこれを破棄する手順と、該応答パケットに不正な攻撃が含まれていなければこれをクライアントコンピュータに転送する手順とを実行させることを特徴とする。
【発明の効果】
【００２３】
上述したように本発明は、クライアントコンピュータが検査不要項目を含む接続要求を送信し、不正侵入検知・防御装置がこの接続要求から検査不要項目を取り除いてからウェブサーバに転送し、これに対して返送された応答パケットを前記検査不要項目に基づいて検査する構成としたので、各クライアントコンピュータでパッチが適用済の検査項目について検査を省略することができ、これによって各々のクライアントコンピュータごとに検査項目を適切に設定し、セキュリティレベルおよび通信速度の低下を避けることが可能である不正侵入検知・防御システム、クライアントコンピュータ、不正侵入検知・防御装置、方法およびプログラムを提供することができる。
【図面の簡単な説明】
【００２４】
【図１】図２に示したクライアントコンピュータおよび不正侵入検知・防御装置の構成を示す説明図である。
【図２】本発明の第１の実施形態に係る不正侵入検知・防御システムの全体の概略構成の一例を示す説明図である。
【図３】図１に示したパッチＩＤ−検査項目対応テーブルのデータ構成を示す説明図である。
【図４】図１に示した検査不要項目一覧のデータ構成を示す説明図である。
【図５】図１に示した適用済パッチＩＤリストおよび検査不要項目ビットテーブルのデータ構成を示す説明図である。
【図６】図１に示したＨＴＴＰヘッダ変更機能が検査不要項目情報を追加したＨＴＴＰ要求ヘッダを含むＨＴＴＰ要求について示す説明図である。
【図７】図１に示したパッチＩＤ−検査項目対応テーブルのデータ構成を示す説明図である。
【図８】図１に示したセッションテーブルのデータ構成を示す説明図である。
【図９】図１に示した検査不要項目一覧を含むセッションテーブルのデータ構成を示す説明図である。
【図１０】図１に示したサイト共通設定データのデータ構成を示す説明図である。
【図１１】図１に示したパッチ適用情報確認部が定期的に行うパッチ適用情報確認の動作を表すフローチャートである。
【図１２】図１に示したＨＴＴＰヘッダ変更機能がＨＴＴＰ要求ヘッダに検査不要項目情報を追加してＨＴＴＰ要求ヘッダとする動作を表すフローチャートである。
【図１３】図１に示したセッション管理部およびパケット検査部が、クライアントコンピュータからＨＴＴＰ要求ヘッダを含むＨＴＴＰ要求を受信した際の動作を表すフローチャートである。
【図１４】図１に示したセッション管理部およびパケット検査部が、ウェブサーバからＨＴＴＰ応答を受信した際の動作を表すフローチャートである。
【図１５】本発明の第２の実施形態に係る不正侵入検知・防御システムの全体の概略構成の一例を示す説明図である。
【図１６】図１５で示したクライアントコンピュータの構成を示す説明図である。
【図１７】図１６に示した資産管理用適用済パッチＩＤリストのデータ構成を示す説明図である。
【図１８】図１６に示したパッチ適用情報確認部の、パッチ適用情報確認の動作を表すフローチャートである。
【図１９】一般的なインライン型不正侵入検知・防御システムの構成を示す説明図である。
【発明を実施するための形態】
【００２５】
（第１の実施形態）
以下、本発明の第１の実施形態の構成について添付図１に基づいて説明する。
最初に、本実施形態の基本的な内容について説明し、その後でより具体的な内容について説明する。
本実施形態に係る不正侵入検知・防御システム１は、単数もしくは複数台のクライアントコンピュータ１０が内部ネットワーク３０を通じて接続された不正侵入検知・防御装置２０を介してインターネット５０上のウェブサーバ４０と接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムである。このクライアントコンピュータ１０は、脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報（適用済パッチＩＤリスト１１２）およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブル１１１を記憶する第１の記憶手段１２と、適用済パッチＩＤ情報およびパッチＩＤ−検査項目対応テーブルから検査不要項目データ（検査不要項目一覧１１４）を作成するパッチ適用情報確認部１０２と、ウェブサーバ宛の接続要求に検査不要項目データを付与して送信すると共に接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部１１１とを有する。そして不正侵入検知・防御装置２０は、クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している第２の記憶手段２２と、クライアントコンピュータからの接続要求をウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係をセッションテーブルに記録し、接続要求に対応するウェブサーバからの応答パケットをセッションテーブルに記録された発信元に転送するセッション管理部２０１と、ウェブサーバからの応答パケットに不正な攻撃が含まれているか否かについて検査するパケット検査部２０２とを備える。このパケット検査部２０２は、クライアントコンピュータから受信した接続要求がウェブサーバに対して転送される前に該接続要求に含まれる検査不要項目データを取り除くと共に当該検査不要項目データをセッションテーブル内に書き込む検査不要項目書込機能２０２ａと、セッションテーブルで応答パケットに対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを判断する検査実行判定機能２０２ｃと、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能２０２ｂとを有する。
【００２６】
不正侵入検知・防御装置２０はまた、パッチＩＤ−検査項目対応テーブル１１１をクライアントコンピュータ１０に対して送信する対応テーブル配布部２０３を有し、クライアントコンピュータ１０のパッチ適用情報確認部１０２が、予め与えられた周期で対応テーブル配布部からパッチＩＤ−検査項目対応テーブルをダウンロードして検査不要項目データ（検査不要項目一覧１１４）を作成する。
【００２７】
そして、不正侵入検知・防御装置２０の第２の記憶部２２が全てのクライアントコンピュータに共通する設定内容であるサイト共通設定（サイト共通設定データ２１４）を記憶しており、不正侵入検知・防御装置２０の検査実行判定機能２０２ｃがサイト共通設定および検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを判断する。
【００２８】
以上の構成を備えることにより、この装置は各々のクライアントコンピュータごとに検査項目を適切に設定することが可能となる。
以下、これをより詳細に説明する。
【００２９】
図２は、本発明の第１の実施形態に係る不正侵入検知・防御システム１の全体の概略構成の一例を示す説明図である。本実施形態に係る不正侵入検知・防御システム１は、複数のクライアントコンピュータ１０Ａ、１０Ｂ、１０Ｃ、…が、内部ネットワーク（イントラネット）３０を介して不正侵入検知・防御装置２０に接続され、各クライアントコンピュータ１０Ａ、１０Ｂ、１０Ｃ、…は不正侵入検知・防御装置２０を介してインターネット５０経由でウェブサーバ４０に対して通信可能であるように構成される。
【００３０】
図１は、図２に示したクライアントコンピュータ１０および不正侵入検知・防御装置２０の構成を示す説明図である。図２に示したクライアントコンピュータ１０Ａ、１０Ｂ、１０Ｃ、…は、全て同一の構成を有するので、図１では詳細な記載を省略し、これらを総称してクライアントコンピュータ１０という。
【００３１】
本発明の第１の実施形態に係るクライアントコンピュータ１０は一般的なコンピュータ装置であり、コンピュータプログラムを実行する主体となる主演算制御手段（ＣＰＵ: Central Processing Unit）１１と、データを記憶する第１の記憶手段１２と、ネットワークを介して他のコンピュータとのデータ通信を行う通信手段１３と、ユーザからの操作を受け付け、また処理結果を提示する入出力手段１４とを備える。
【００３２】
主演算制御手段１１では、ウェブブラウザ動作部１０１およびパッチ適用情報確認部１０２が、コンピュータプログラムとして動作する。ウェブブラウザ動作部１０１にはＨＴＴＰ（Hypertext Transfer Protocol）ヘッダ変更部１０１ａが含まれる。これらのプログラムの動作については後ほど詳しく説明する。また第１の記憶手段１２には、パッチＩＤ−検査項目対応テーブル１１１と適用済パッチＩＤリスト１１２とがあらかじめ記憶されており、パッチ適用情報確認部１０２の動作によって検査不要項目ビットテーブル１１３および検査不要項目一覧１１４が作成され、第１の記憶手段１２に記憶される。これらのデータ構成についても後ほど詳しく説明する。
【００３３】
クライアントコンピュータ１０と内部ネットワーク３０を介して接続される不正侵入検知・防御装置２０も一般的なコンピュータ装置であり、コンピュータプログラムを実行する主体となる主演算制御手段（ＣＰＵ: Central Processing Unit）２１と、データを記憶する第２の記憶手段２２と、ネットワークを介して他のコンピュータとのデータ通信を行う通信手段２３とを備える。
【００３４】
主演算制御手段２１では、セッション管理部２０１、パケット検査部２０２、および対応テーブル配布部２０３が、コンピュータプログラムとして動作する。これらのプログラムの動作については後ほど詳しく説明する。また第２の記憶手段２２には、パッチＩＤ−検査項目対応テーブル２１１、セッションテーブル２１２、検査プログラム群２１３、サイト共通設定データ２１４、といった各データが記憶されている。これらのデータ構成についても後ほど詳しく説明する。
【００３５】
ちなみにウェブサーバ４０も一般的なコンピュータ装置であり、ウェブサービスを提供するウェブサーバプログラム４１が動作する。このウェブサーバ４０およびウェブサーバプログラム４１については、本発明の範囲ではないので特に詳しく説明しない。
【００３６】
（各部の動作の概要）
クライアントコンピュータ１０で、適用済パッチＩＤリスト１１２は、クライアントコンピュータ１０で既に適用されているパッチの、パッチＩＤの一覧を示す。検査不要項目一覧１１４は、この適用済パッチＩＤリスト１１２に基づいて作成される、クライアントコンピュータ１０で既に脆弱性の対処がされているので検査が不要である項目の一覧を示す。
【００３７】
パッチ適用情報確認部１０２は、定期的に適用済パッチＩＤリスト１１２を作成し、さらに適用済パッチＩＤリスト１１２とパッチＩＤ−検査項目対応テーブル１１１とから検査不要項目一覧１１４を作成する。
【００３８】
そして、クライアントコンピュータ１０でユーザがウェブブラウザ動作部１０１を動作させてウェブ閲覧要求をした場合、ウェブブラウザ動作部１０１はＨＴＴＰ要求ヘッダ１２１を生成し、ウェブブラウザ動作部１０１に含まれるＨＴＴＰヘッダ変更機能１０１ａがこのＨＴＴＰ要求ヘッダ１２１に検査不要項目一覧の情報を付加する。その上で、この情報が付加されたＨＴＴＰ要求ヘッダ１２１ａを、ウェブブラウザ動作部１０１がウェブサーバ４０に送信する。
【００３９】
不正侵入検知・防御装置２０では、クライアントコンピュータ１０からウェブサーバ４０宛に流れるＨＴＴＰ要求１２０を受信すると、まずセッション管理部２０１が、このＨＴＴＰ要求１２０の送信元および宛先のＩＰアドレス、送信元および宛先のポート番号の情報をセッション情報としてセッションテーブル２１２に登録する。
【００４０】
その後、情報が付加されたＨＴＴＰ要求ヘッダ１２１ａをパケット検査部２０２が受け取り、パケット検査部２０２に含まれる検査不要項目書込機能２０２ａが、該ＨＴＴＰ要求ヘッダに含まれる検査不要項目一覧を抽出し、セッションテーブル２１２の該当のエントリに、抽出した検査不要項目２１２ｅを追加して、該ＨＴＴＰ要求ヘッダから検査不要項目一覧を削除する。その後、パケット検査部２０２からウェブサーバ４０に対してＨＴＴＰ要求１２０を送信する。
【００４１】
送信したＨＴＴＰ要求１２０に対して、ウェブサーバ４０ではウェブサーバプログラム４１が応答を返す。この応答であるＨＴＴＰパケットは不正侵入検知・防御装置２０のセッション管理部２０１が受信し、そこからパケット検査部２０２に送られ、さらにパケット検査部２０２内の検査実行判定機能２０２ｃに渡される。
【００４２】
検査実行判定機能２０２ｃでは、まずサイト全体のポリシーが格納されたサイト共通設定データ２１４を読込み、この設定内容に従って検査項目の選択を行う。次に、検査実行判定機能２０２ｃではセッションテーブル２１２内の該当するセッション情報から検査不要項目２１２ｅの情報を読み出し、検査不要項目２１２ｅの情報を基に、検査項目の１番から順番に検査の実行が必要であるか否かを確認する。
【００４３】
検査が不要な項目の場合は検査をスキップし、検査が必要な場合は検査プログラム読込機能２０２ｂを通して検査プログラム群２１３の中から必要な検査項目プログラムを読み出して実行して、このＨＴＴＰパケットの中に脆弱性を突いた攻撃がないかを検査する。
【００４４】
パケット検査部２０２で全ての必要な検査が完了したＨＴＴＰパケットはセッション管理部２０１に戻され、クライアントコンピュータ１０に送信される。その際、このパケットが最後の通信の場合には、検査不要項目書込機能２０２ａがセッションテーブル２１２から該当するセッション情報を削除する。クライアントコンピュータ１０では、受信したＨＴＴＰ応答の内容をウェブブラウザ動作部１０１が入出力手段１４を介して表示する。
【００４５】
（構成の詳細）
図１〜２で既に示したように、クライアントコンピュータ１０の主演算制御手段１１では、ウェブブラウザ動作部１０１およびパッチ適用情報確認部１０２が、コンピュータプログラムとして動作する。ウェブブラウザ動作部１０１にはＨＴＴＰヘッダ変更機能１０１ａが含まれる。
【００４６】
また第１の記憶手段１２には、パッチＩＤ−検査項目対応テーブル１１１と適用済パッチＩＤリスト１１２とがあらかじめ記憶されており、パッチ適用情報確認部１０２の動作によって検査不要項目一覧１１４が作成され、第１の記憶手段１２に記憶される。
【００４７】
図３は、図１に示したパッチＩＤ−検査項目対応テーブル１１１のデータ構成を示す説明図である。パッチＩＤ−検査項目対応テーブル１１１は、脆弱性に対処するためのパッチＩＤ１１１ａと、その脆弱性を突いた攻撃を検出するための検査項目番号１１１ｂとの対応を表したテーブルであり、不正侵入検知・防御装置２０の対応テーブル配布部２０３から配布される。
【００４８】
図３に示した例では、パッチＩＤ１１１ａ＝「ＡＡＡＡＡＡ」のパッチは検査項目番号１１１ｂ＝１〜３の脆弱性に対応しているなどのように、パッチＩＤ１１１ａと検査項目番号１１１ｂの対応が示されている。また、検査項目番号１１１ｂが７０以上の検査項目に対応するパッチＩＤ１１１ａは登録されていないことも示されている。これは検査項目番号１１１ｂが７０以上の項目については、まだ対応が済んでいないので、検査不要とすることはできないということを意味する。
【００４９】
ここで、このパッチＩＤ１１１ａおよびそれに対応する検査項目番号１１１ｂは、不正侵入検知・防御システム１内で統一されてさえいればよいので、たとえばハードウェアやソフトウェアのメーカーがパッチを作成する際に与えてもよいし、また不正侵入検知・防御システム１の管理者が与えて不正侵入検知・防御装置２０のパッチＩＤ−検査項目対応テーブル２１１（詳細は後述）に登録するようにしてもよい。
【００５０】
図４は、図１に示した検査不要項目一覧１１４のデータ構成を示す説明図である。検査不要項目一覧１１４は、クライアントコンピュータ１０のパッチ適用状況から、既に脆弱性に対処済で検査が不要であると判断できる検査項目番号の一覧である。パッチ適用情報確認部１０２は定期的に、適用済パッチＩＤリスト１１２を参照してクライアントコンピュータ１０に既に適用されているパッチを検査し、パッチＩＤ−検査項目対応テーブル１１１の情報から検査が不要と判断された検査項目番号の一覧情報を検査不要項目一覧１１４として出力する。その動作については後述する。
【００５１】
図５は、図１に示した適用済パッチＩＤリスト１１２および検査不要項目ビットテーブル１１３のデータ構成を示す説明図である。適用済パッチＩＤリスト１１２は、クライアントコンピュータ１０に既に適用されているパッチＩＤのリストを一時的に格納するデータであり、図３のパッチＩＤ−検査項目対応テーブル１１１にあった適用済パッチＩＤが列挙されるという形式で、各々のクライアントコンピュータ１０ごとに作成される。
【００５２】
検査不要項目ビットテーブル１１３は、パッチ適用情報確認部１０２が検査不要項目一覧１１４を作成するために用いる一時的なデータであるので、必ずしも図５に示した例の通りである必要はないし、またこれを作成せずに直接検査不要項目一覧１１４を作成してもよい。図５に示した例で、検査不要項目ビットテーブル１１３はビット位置がそのまま検査項目番号に対応しており、図３のパッチＩＤ−検査項目対応テーブル１１１にもあった検査項目番号１番から順番に、検査が不要であれば「１」、検査が必要であれば「０」という２進数で、各々の検査項目について検査が必要か不要かを示している。
【００５３】
ウェブブラウザ動作部１０１は、利用者がウェブサーバ４０の情報を閲覧するための操作を行った場合に、ＨＴＴＰの要求をウェブサーバ４０宛に送信し、またＨＴＴＰの応答があった場合はその内容を入出力手段１４を介して表示する。ＨＴＴＰヘッダ変更機能１０１ａは、ウェブブラウザ動作部１０１がＨＴＴＰ要求を生成した場合に、ＨＴＴＰ要求ヘッダ１２１の中に検査不要項目一覧１１４の情報を追加する。
【００５４】
図６は、図１に示したＨＴＴＰヘッダ変更機能１０１ａが検査不要項目情報１２２を追加したＨＴＴＰ要求ヘッダ１２１ａを含むＨＴＴＰ要求１２０について示す説明図である。図６では、検査不要項目情報１２２を、ＨＴＴＰ要求ヘッダ１２１ａの中では「Ｘ−Ｃｌｉｅｎｔ−Ｐａｔｃｈ−Ｉｎｆｏ：」という行で、検査不要項目一覧１１４で列挙された検査不要項目の番号を並べるという形で表現されているが、これ以外の形式であってもよい。
【００５５】
図１で既に示したように、不正侵入検知・防御装置２０の主演算制御手段２１では、セッション管理部２０１、パケット検査部２０２、および対応テーブル配布部２０３が、コンピュータプログラムとして動作する。パケット検査部２０２には、検査不要項目書込機能２０２ａ、検査プログラム読込機能２０２ｂ、および検査実行判定機能２０２ｃが含まれる。
【００５６】
また不正侵入検知・防御装置２０の第２の記憶手段２２には、パッチＩＤ−検査項目対応テーブル２１１、セッションテーブル２１２、検査プログラム群２１３、およびサイト共通設定データ２１４、といった各データが記憶されている。セッションテーブル２１２には、検査不要項目２１２ｅが含まれる。
【００５７】
図７は、図１に示したパッチＩＤ−検査項目対応テーブル２１１のデータ構成を示す説明図である。パッチＩＤ−検査項目対応テーブル２１１は、脆弱性に対処するためのパッチＩＤと、その脆弱性を突いた攻撃を検出するための検査項目の番号との対応を表したテーブルであり、対応テーブル配布部２０３がこれを各々のクライアントコンピュータ１０のパッチ適用情報確認部１０２に送信して配布する。従って、パッチＩＤ−検査項目対応テーブル２１１のデータ構成は、図３に示したパッチＩＤ−検査項目対応テーブル１１１のそれと同一である。
【００５８】
不正侵入検知・防御装置２０のパッチＩＤ−検査項目対応テーブル２１１が、各クライアントコンピュータ１０のパッチＩＤ−検査項目対応テーブル１１１としてそのまま与えられる構成とすることにより、不正侵入検知・防御システム１全体でパッチＩＤ１１１ａと検査項目番号１１１ｂとの間の統一を取ることが可能となる。新たなパッチが作られ、それによって改善される（そのパッチを適用すれば検査不要となる）検査項目が明確になった場合、そのパッチＩＤ１１１ａと検査項目番号１１１ｂの対応関係を、不正侵入検知・防御システム１全体の管理者がパッチＩＤ−検査項目対応テーブル２１１に登録する。こうすれば、各クライアントコンピュータ１０にその登録された対応関係が反映される。
【００５９】
図８は、図１に示したセッションテーブル２１２のデータ構成を示す説明図である。セッションテーブル２１２は、その時点でセッションが維持されている全ての通信についてのセッション情報（送信元および宛先のＩＰアドレス、送信元および宛先のポート番号）を格納しておくためのテーブルである。セッションテーブル２１２は、送信元ＩＰアドレス２１２ａ、宛先ＩＰアドレス２１２ｂ、送信元ポート番号２１２ｃ、宛先ポート番号２１２ｄに加えて、検査不要項目情報１２２に含まれていた内容を記録する検査不要項目２１２ｅといった各データを保持する。
【００６０】
セッション管理部２０１は、不正侵入検知・防御装置２０を通過する通信を受信し、そのセッション情報をセッションテーブル２１２に書き込んだ後、該パケットをパケット検査部２０２に送る。また、パケット検査部２０２で検査が完了したパケットをセッション管理部２０１が受け取り、各クライアントコンピュータ１０に転送する。
【００６１】
セッション管理部２０１のこの動作は、いわゆるプロキシサーバの動作として一般的なものである。従って、プロキシサーバとして動作するコンピュータ装置を、本実施形態に係る不正侵入検知・防御装置２０として動作しうる構成とすれば、本実施形態を実現可能である。
【００６２】
検査プログラム群２１３は、不正侵入検知・防御装置２０を通過するパケットの中に、脆弱性を突いた攻撃や不正アクセスを行うためのパケットが含まれていないかを検査するためのプログラム群である。検査プログラム読込機能２０２ｂは、検査実行判定機能２０２ｃから要求された検査項目番号に対応する検査プログラムを検査プログラム群２１３の中から読み込んで動作させ、その検査項目についての該パケットの検査を実行する。
【００６３】
図９は、図１に示した検査不要項目２１２ｅを含むセッションテーブル２１２のデータ構成を示す説明図である。検査不要項目書込機能２０２ａは、ＨＴＴＰ要求ヘッダ１２１ａの中に検査不要項目一覧の情報が含まれていた場合に、その情報をセッションテーブル２１２中の該当するエントリに検査不要項目２１２ｅとして格納し、ＨＴＴＰ要求ヘッダ１２１ａから検査不要項目一覧の情報を削除して通常のＨＴＴＰ要求ヘッダ１２１とした後に、セッション管理部２０１を通してウェブサーバ４０にＨＴＴＰ要求を送信する。
【００６４】
検査実行判定機能２０２ｃは、ウェブサーバ４０からＨＴＴＰ応答を受信した場合に、まずサイト全体のポリシーが格納されたサイト共通設定データ２１４を読込み、この設定内容に従って検査項目の選択を行う。次に、セッションテーブル２１２の中から該当するエントリを検索し、そのエントリ内の検査不要項目２１２ｅの情報を読込み、検査不要項目２１２ｅの情報を基に、検査項目番号１番から順番に検査が必要であるかを判断し、検査が必要なければ検査処理をスキップする。検査が必要な場合には、検査実行判定機能２０２ｃは検査プログラム読込機能２０２ｂを通して、検査プログラム群２１３から該当する検査プログラムを読込んでパケットの検査を実行する。
【００６５】
図１０は、図１に示したサイト共通設定データ２１４のデータ構成を示す説明図である。前述の通り、サイト共通設定データ２１４は不正侵入検知・防御システム１全体のセキュリティポリシーを、該システム全体の管理者が記録したものである。セキュリティポリシーは組織で利用されるコンピュータネットワークでは既に一般的なものであり、その項目は多岐にわたっているが、本実施形態に関連するのは全てのクライアントコンピュータ１０で共通する検査不要項目に関する設定のみである。たとえば、全てのクライアントコンピュータ１０が必ず設定すべきパッチがある場合、そのパッチによって検査不要となる検査項目番号がここに設定される。
【００６６】
従って、そのデータ形式は、図４に示した検査不要項目一覧１１４と同じように、全てのクライアントコンピュータ１０で共通する検査不要項目番号を列挙するという形式である。検査実行判定機能２０２ｃは、このサイト共通設定データ２１４の検査不要項目番号と、セッションテーブル２１２の検査不要項目２１２ｅとを合わせて、各クライアントコンピュータ１０について検査項目を判断する。
【００６７】
そしてセッション管理部２０１は検査が終了したパケットを受け取り、セッションテーブル２１２でそのパケットに該当するエントリの送信元ＩＰアドレス２１２ａおよび送信元ポート番号２１２ｃに該当するクライアントコンピュータ１０に転送する。
【００６８】
ウェブサーバ４０で動作するウェブサーバプログラム４１は、ａｐａｃｈｅなどのような一般的なウェブサーバ用のプログラムであり、ＨＴＴＰ要求を受信し、その要求の内容に応じてＨＴＴＰの応答を送信するものである。不正侵入検知・防御装置２０からウェブサーバ４０に送信されるＨＴＴＰ要求で、ＨＴＴＰ要求ヘッダ１２１は検査不要項目一覧１１４の情報を削除されているので、ＨＴＴＰの基本的仕様の通りのものである。従って、ウェブサーバプログラム４１は、本実施形態に対応した特別なものである必要はなく、通常のものでよい。
【００６９】
（フローチャート）
図１１は、図１に示したパッチ適用情報確認部１０２が定期的に行うパッチ適用情報確認の動作を表すフローチャートである。パッチ適用情報確認部１０２は、この動作を定期的に、たとえば１日に１回あらかじめ設定された時刻に行う。
【００７０】
設定時刻が来たことを確認したパッチ適用情報確認部１０２は（ステップＳ３０１）、不正侵入検知・防御装置２０の対応テーブル配布部２０３から、パッチＩＤ−検査項目対応テーブル２１１をダウンロードし、図３に示したパッチＩＤ−検査項目対応テーブル１１１として保存する（ステップＳ３０２）。そしてパッチ適用情報確認部１０２は、クライアントコンピュータ１０に適用済のパッチを検査してパッチＩＤ−検査項目対応テーブル１１１と比較し、図５に示した適用済パッチＩＤリスト１１２を作成する（ステップＳ３０３）。
【００７１】
そしてパッチ適用情報確認部１０２は、作成した適用済パッチＩＤリスト１１２から、図５に示した検査不要項目ビットテーブル１１３の初期データをまず作成する（ステップＳ３０４）。この段階で作成された初期データでは、全てのデータが「検査不要」を示す「１」となっている。パッチ適用情報確認部１０２は、パッチＩＤ−検査項目対応テーブル１１１の先頭から順番にそのデータを読み込み（ステップＳ３０５）、読み込んだエントリのパッチＩＤが適用済パッチＩＤリスト１１２に存在するか否かを確認する（ステップＳ３０６）。
【００７２】
存在すれば（ステップＳ３０６：ＹＥＳ）、そのパッチはクライアントコンピュータ１０に既に適用されているので、これに対応する検査項目について検査する必要はないことになる。従って、検査不要項目ビットテーブル１１３でこれに対応するビットは「１」のままで、次のエントリについてステップＳ３０５から処理を繰り返す。
【００７３】
存在しなければ（ステップＳ３０６：ＮＯ）、そのパッチはクライアントコンピュータ１０に適用されていないので、これに対応する検査項目について検査する必要はある。従って、検査不要項目ビットテーブル１１３でこれに対応するビットを「検査必要」を示す「０」に変更して（ステップＳ３０７）、次のエントリについてステップＳ３０５から処理を繰り返す（ステップＳ３０９）。
【００７４】
以上の処理を、パッチＩＤ−検査項目対応テーブル１１１の最後のエントリまでくり返し（ステップＳ３０８）、全てのエントリの処理が終わったら、検査不要項目ビットテーブル１１３としてここまでに出力された情報を図４に示した検査不要項目一覧１１４として出力して（ステップＳ３１０）処理を終了する。
【００７５】
図１２は、図１に示したＨＴＴＰヘッダ変更機能１０１ａがＨＴＴＰ要求ヘッダ１２１に検査不要項目情報１２２を追加してＨＴＴＰ要求ヘッダ１２１ａとする動作を表すフローチャートである。ユーザが入出力手段１４を操作してウェブブラウザ動作部１０１にウェブブラウザを起動させる（ステップＳ４０１）と、ウェブブラウザ動作部１０１はＨＴＴＰ要求ヘッダ１２１を含むＨＴＴＰ要求１２０をウェブサーバ４０に向けて送出する（ステップＳ４０２）。
【００７６】
そのＨＴＴＰ要求１２０はＨＴＴＰヘッダ変更機能１０１ａに渡され、これに反応したＨＴＴＰヘッダ変更機能１０１ａは、あらかじめ出力された検査不要項目一覧１１４を読込み、図６に示したようにＨＴＴＰ要求ヘッダ１２１に検査不要項目情報１２２を付加してＨＴＴＰ要求ヘッダ１２１ａとしてウェブブラウザ動作部１０１に渡し（ステップＳ４０３）、ウェブブラウザ動作部１０１はこのＨＴＴＰ要求ヘッダ１２１ａを含むＨＴＴＰ要求１２０をウェブサーバ４０に向けて送出する（ステップＳ４０５）。
【００７７】
図１３は、図１に示したセッション管理部２０１およびパケット検査部２０２が、クライアントコンピュータ１０からＨＴＴＰ要求ヘッダ１２１ａを含むＨＴＴＰ要求１２０を受信した際の動作を表すフローチャートである。図１３は、ＨＴＴＰ要求ヘッダ１２１ａに含まれる検査不要項目情報１２２の内容をセッションテーブル２１２に保存し、検査不要項目情報１２２を取り除いた元のＨＴＴＰ要求ヘッダ１２１としてウェブサーバ４０に向けて送出するまでの動作を表す。
【００７８】
不正侵入検知・防御装置２０では、まずセッション管理部２０１がこのＨＴＴＰ要求１２０を受信して（ステップＳ５０１）、ここに含まれるセッション情報（送信元ＩＰアドレス２１２ａ、宛先ＩＰアドレス２１２ｂ、送信元ポート番号２１２ｃ、宛先ポート番号２１２ｄ）をセッションテーブル２１２に記録して（ステップＳ５０２）、該ＨＴＴＰ要求１２０をパケット検査部２０２内の検査不要項目書込機能２０２ａに渡す。
【００７９】
該ＨＴＴＰ要求を受けた検査不要項目書込機能２０２ａは、このＨＴＴＰ要求のＨＴＴＰ要求ヘッダ１２１ａに含まれる検査不要項目情報１２２の内容をセッションテーブル２１２の検査不要項目２１２ｅに保存して（ステップＳ５０３）、ＨＴＴＰ要求ヘッダ１２１ａから検査不要項目情報１２２を削除して元のＨＴＴＰ要求ヘッダ１２１に戻して、該ＨＴＴＰ要求をセッション管理部２０１に返却する（ステップＳ５０４）。セッション管理部２０１は、検査不要項目書込機能２０２ａから返却されたＨＴＴＰ要求１２０を、ウェブサーバ４０に送出する（ステップＳ５０５）。
【００８０】
図１４は、図１に示したセッション管理部２０１およびパケット検査部２０２が、ウェブサーバ４０からＨＴＴＰ応答を受信した際の動作を表すフローチャートである。図１３は、ウェブサーバ４０からＨＴＴＰ応答を受信してこれを検査し、そのＨＴＴＰ応答の元となったＨＴＴＰ要求１２０を送信したクライアントコンピュータ１０に該ＨＴＴＰ応答を返すまでの動作を表す。
【００８１】
不正侵入検知・防御装置２０では、まずセッション管理部２０１がこのＨＴＴＰ応答を受信して（ステップＳ６０１）、該ＨＴＴＰ応答をパケット検査部２０２内の検査実行判定機能２０２ｃに渡す（ステップＳ６０２）。
【００８２】
該ＨＴＴＰ応答を受けた検査実行判定機能２０２ｃは、まずサイト共通設定データ２１４を読込み、この設定内容に従って検査項目の選択を行う（ステップＳ６０３）。次いで検査実行判定機能２０２ｃは、該ＨＴＴＰ応答に該当するエントリをセッションテーブル２１２の中から検索し、そのエントリの検査不要項目２１２ｅを読込み（ステップＳ６０４）、ここまでで読み込んだ情報から、各検査項目番号について検査が必要であるか否かについて判断する（ステップＳ６０５）。
【００８３】
検査が必要である場合（ステップＳ６０５：ＹＥＳ）、検査実行判定機能２０２ｃは検査プログラム読込機能２０２ｂを通して、検査プログラム群２１３からその検査項目番号に該当する検査プログラムを読み込み、その項目について該ＨＴＴＰ応答を検査し（ステップＳ６０６）、次の項目についてステップＳ６０５から処理を繰り返す。検査の結果、脆弱性を突いた攻撃の内容を含んでいた場合はそのパケットを破棄して処理を終了する（ステップＳ６０７〜６０８）。
【００８４】
検査が不要である場合（ステップＳ６０５：ＮＯ）、検査実行判定機能２０２ｃはその検査項目についての検査を行わず、次の項目についてステップＳ６０５から処理を繰り返す。
【００８５】
以上の処理を、全ての検査項目についてくり返し（ステップＳ６０９〜６１０）、全ての検査項目について処理が終わっても脆弱性を突いた攻撃の内容が見つからなかったら、該ＨＴＴＰ応答をそのＨＴＴＰ応答の元となったＨＴＴＰ要求を送信したクライアントコンピュータ１０、即ちセッションテーブル２１２でそのＨＴＴＰ応答の元となったＨＴＴＰ要求１２０に該当するエントリの送信元ＩＰアドレス２１２ａおよび送信元ポート番号２１２ｃに該当するクライアントコンピュータ１０に返して（ステップＳ６１１）、処理を終了する。
【００８６】
これと同時に、セッション管理部２０１ではそのＨＴＴＰ応答がＨＴＴＰ要求１２０に該当する最後のパケットである場合に、セッションテーブル２１２の該当するエントリを削除する。クライアントコンピュータ１０は、ウェブブラウザ動作部１０１が受信したそのＨＴＴＰ応答の内容を表示する。
【００８７】
（第１の実施形態の全体的な動作）
次に、上記の実施形態の全体的な動作について説明する。本実施形態に係る不正侵入検知・防御方法は、単数もしくは複数台のクライアントコンピュータ１０が内部ネットワーク３０を通じて接続された不正侵入検知・防御装置２０を介して外部ネットワーク上のウェブサーバと接続可能であり、外部ネットワークから受信したパケットにクライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査したパケットに不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システム１で、クライアントコンピュータが、予め記憶されている脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報およびパッチの識別子とパッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルからパッチ適用情報確認部にて検査不要項目データを作成し（図１１・ステップＳ３０３〜３１０）、クライアントコンピュータが、ウェブサーバ宛の接続要求に検査不要項目データを付与してウェブブラウザ動作部にて送信し（図１２・ステップＳ４０２〜４０５）、不正侵入検知・防御装置が、クライアントコンピュータからの接続要求をセッション管理部にて受信し（図１３・ステップＳ５０１）、不正侵入検知・防御装置が、接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルにセッション管理部にて記録し（図１３・ステップＳ５０２）、不正侵入検知・防御装置が、接続要求に含まれる検査不要項目データを検査不要項目書込機能にてセッションテーブル内に書き込み（図１３・ステップＳ５０３）、不正侵入検知・防御装置が、接続要求から検査不要項目データを検査不要項目書込機能にて取り除き（図１３・ステップＳ５０４）、不正侵入検知・防御装置が、検査不要項目データを取り除かれた接続要求をセッション管理部にてウェブサーバに対して転送し（図１３・ステップＳ５０５）、不正侵入検知・防御装置が、接続要求に対応するウェブサーバからの応答パケットをセッション管理部にて受信し（図１４・ステップＳ６０１）、不正侵入検知・防御装置が、セッションテーブルで応答パケットに対応する接続要求に含まれていた検査不要項目データに基づいて応答パケットに対して検査項目ごとに検査が必要か否かを検査実行判定機能にて判断し（図１４・ステップＳ６０３〜６０５）、不正侵入検知・防御装置が、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで検査プログラム読込機能にて該応答パケットを検査し（図１４・ステップＳ６０６）、不正侵入検知・防御装置が、該応答パケットに不正な攻撃が含まれていればこれを検査プログラム読込機能にて破棄し（図１４・ステップＳ６０７〜６０８）、不正侵入検知・防御装置が、該応答パケットに不正な攻撃が含まれていなければこれをセッション管理部にてクライアントコンピュータに転送し（図１４・ステップＳ６１１）、クライアントコンピュータが、不正侵入検知・防御装置から転送されてきた応答パケットの内容をウェブブラウザ動作部にて表示する。
【００８８】
ここで、上記各動作ステップについては、これをコンピュータで実行可能にプログラム化し、これらを前記各ステップを直接実行するコンピュータであるクライアントコンピュータ１０および不正侵入検知・防御装置２０に実行させるようにしてもよい。
この構成および動作により、本実施形態は以下のような効果を奏する。
【００８９】
本実施形態により、各々のクライアントコンピュータごとに異なるパッチの適用状況に合わせて検査不要項目を設定し、応答パケットに対する検査を行うことが可能となる。このため、既にクライアントコンピュータ側で脆弱性への対処が行われている検査項目について、適切に検査を省略することができるので、セキュリティレベルを低下させることはない。それでいて、不正侵入検知・防御装置の側で検査にかかる負荷を小さくすることができるので、通信速度の低下を避けることが可能となる。
【００９０】
（第２の実施形態）
本発明の第２の実施形態に係る不正侵入検知・防御システム７０１は、クライアントコンピュータ７１０が、コンピュータ資産管理の目的で適用済パッチＩＤ情報データを作成する資産管理用パッチ適用情報確認部８０３を有し、パッチ適用情報確認部８０２が資産管理用パッチ適用情報確認部８０３から適用済パッチＩＤ情報データ８１５を取得する。
【００９１】
これによって、適用済パッチＩＤリスト１１２の作成にかかるクライアントコンピュータ７１０の負荷を省略することができる。
以下、これをより詳細に説明する。
【００９２】
図１５は、本発明の第２の実施形態に係る不正侵入検知・防御システム７０１の全体の概略構成の一例を示す説明図である。本実施形態に係る不正侵入検知・防御システム７０１は、前述した第１の実施形態に係る不正侵入検知・防御システム１と比べて、複数のクライアントコンピュータ１０Ａ、１０Ｂ、１０Ｃ、…が各々クライアントコンピュータ７１０Ａ、７１０Ｂ、７１０Ｃ、…に置き換わっている。それらは全て同一の構成を有するので、以後総称してクライアントコンピュータ７１０という。
【００９３】
これら以外の要素は全て、第１の実施形態に係る不正侵入検知・防御システム１と同一である。また、第２の実施形態に係るクライアントコンピュータ７１０と、第１の実施形態に係るクライアントコンピュータ１０とが、同一の内部ネットワーク３０の中で混在していてもよい。
【００９４】
図１６は、図１５で示したクライアントコンピュータ７１０の構成を示す説明図である。クライアントコンピュータ７１０は、第１の実施形態に係るクライアントコンピュータ１０と全く同様の主演算制御手段１１と、第１の記憶手段１２と、通信手段１３と、入出力手段１４とを備える。
【００９５】
ただし、主演算制御手段１１で動作するコンピュータプログラムは、ウェブブラウザ動作部１０１は第１の実施形態と同一だが、パッチ適用情報確認部１０２がパッチ適用情報確認部８０２に変更され、さらに資産管理用パッチ適用情報確認部８０３が追加されている。また、第１の記憶手段１２にあらかじめ記憶されているデータに、パッチＩＤ−検査項目対応テーブル１１１と適用済パッチＩＤリスト１１２の他に、資産管理用適用済パッチＩＤリスト８１５が追加されている。これらの点以外は、第１の実施形態に係るクライアントコンピュータ１０と同一の構成であるので、同一の要素については同一の参照番号を付す。
【００９６】
資産管理用パッチ適用情報確認部８０３は、コンピュータの資産管理の目的で既に導入されている、クライアントコンピュータ７１０のパッチの適用状況を確認するためのプログラムである。資産管理用適用済パッチＩＤリスト８１５は、資産管理用パッチ適用情報確認部８０３がその資産管理の目的で作成して保存するデータである。図１７は、図１６に示した資産管理用適用済パッチＩＤリスト８１５のデータ構成を示す説明図である。資産管理用適用済パッチＩＤリスト８１５のデータ構成および内容は、図５に示した適用済パッチＩＤリスト１１２と同一である。
【００９７】
図１８は、図１６に示したパッチ適用情報確認部８０２の、パッチ適用情報確認の動作を表すフローチャートである。この動作は、図１１に示したパッチ適用情報確認部１０２の動作と概ね同一であるので、同一の動作は同一のステップ番号でいう。パッチ適用情報確認部８０２はステップＳ３０１〜３０２の動作を行った後、資産管理用パッチ適用情報確認部８０３に資産管理用適用済パッチＩＤリスト８１５を送信するように依頼（ステップＳ９０３）する。資産管理用パッチ適用情報確認部８０３はこれをパッチ適用情報確認部８０２に渡す（ステップＳ９０４）。
【００９８】
図１７に示したように、資産管理用適用済パッチＩＤリスト８１５は図５に示した適用済パッチＩＤリスト１１２と同一のデータ構成を有し、また内容もそのままステップＳ３０４以後の処理に利用できるものであるので、パッチ適用情報確認部８０２はこれを利用してステップＳ３０４以後の処理を行う。
【００９９】
本実施形態によって、第１の実施形態で説明した効果と同一の効果を得ることができるのに加えて、資産管理の目的で既に作成された適用済パッチＩＤリストをそのまま利用するので、同一の適用済パッチＩＤリストを重複して作成することがないので、クライアントコンピュータ７１０の負荷を省略することができる。
【０１００】
これまで本発明について図面に示した特定の実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができる。
【０１０１】
上述した各々の実施形態について、その新規な技術内容の要点をまとめると、以下のようになる。なお、上記実施形態の一部または全部は、新規な技術として以下のようにまとめられるが、本発明は必ずしもこれに限定されるものではない。
【０１０２】
（付記１） 単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムであって、
前記クライアントコンピュータが、
前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する第１の記憶手段と、
前記適用済パッチＩＤ情報および前記パッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信すると共に前記接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部とを有し、
前記不正侵入検知・防御装置が、
前記クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している第２の記憶手段と、
前記クライアントコンピュータからの接続要求を前記ウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係を前記セッションテーブルに記録し、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッションテーブルに記録された前記発信元に転送するセッション管理部と、
前記ウェブサーバからの応答パケットに前記不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、
前記パケット検査部が、
前記クライアントコンピュータから受信した接続要求が前記ウェブサーバに対して転送される前に該接続要求に含まれる前記検査不要項目データを取り除くと共に当該検査不要項目データを前記セッションテーブル内に書き込む検査不要項目書込機能と、
前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに前記不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能と
を有することを特徴とする不正侵入検知・防御システム。
【０１０３】
（付記２） 前記不正侵入検知・防御装置が、前記パッチＩＤ−検査項目対応テーブルを前記クライアントコンピュータに対して送信する対応テーブル配布部を有し、
前記クライアントコンピュータの前記パッチ適用情報確認部が、予め与えられた周期で前記対応テーブル配布部から前記パッチＩＤ−検査項目対応テーブルをダウンロードして前記検査不要項目データを作成することを特徴とする、付記１に記載の不正侵入検知・防御システム。
【０１０４】
（付記３） 前記不正侵入検知・防御装置の第２の記憶部が全ての前記クライアントコンピュータに共通する設定内容であるサイト共通設定を記憶しており、
前記不正侵入検知・防御装置の前記検査実行判定機能が前記サイト共通設定および前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断することを特徴とする、付記１に記載の不正侵入検知・防御システム。
【０１０５】
（付記４） 前記クライアントコンピュータが、
コンピュータ資産管理の目的で前記適用済パッチＩＤ情報データを作成する資産管理用パッチ適用情報確認部を有し、
前記パッチ適用情報確認部が前記資産管理用パッチ適用情報確認部から前記適用済パッチＩＤ情報データを取得することを特徴とする、付記１に記載の不正侵入検知・防御システム。
【０１０６】
（付記５） 内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能なクライアントコンピュータであって、
動作するソフトウェアの脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する記憶手段と、
前記適用済パッチＩＤ情報および前記パッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信すると共に前記接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部と
を有することを特徴とするクライアントコンピュータ。
【０１０７】
（付記６） 内部ネットワークを通じて接続されたクライアントコンピュータと外部ネットワーク上のウェブサーバとの間の接続を仲介し、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御装置であって、
前記クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している記憶手段と、
前記クライアントコンピュータからの接続要求を前記ウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係を前記セッションテーブルに記録し、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッションテーブルに記録された前記発信元に転送するセッション管理部と、
前記ウェブサーバからの応答パケットに前記不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、
前記パケット検査部が、
前記クライアントコンピュータから受信した接続要求が前記ウェブサーバに対して転送される前に該接続要求に含まれる前記検査不要項目データを取り除くと共に当該検査不要項目データを前記セッションテーブル内に書き込む検査不要項目書込機能と、
前記セッションテーブルで前記応答に対応する前記接続要求に含まれていた検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに前記不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能と
を有することを特徴とする不正侵入検知・防御装置。
【０１０８】
（付記７） 単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
前記クライアントコンピュータが、予め記憶されている前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルからパッチ適用情報確認部にて検査不要項目データを作成し、
前記クライアントコンピュータが、前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与してウェブブラウザ動作部にて送信し、
前記不正侵入検知・防御装置が、前記クライアントコンピュータからの接続要求をセッション管理部にて受信し、
前記不正侵入検知・防御装置が、前記接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルに前記セッション管理部にて記録し、
前記不正侵入検知・防御装置が、前記接続要求に含まれる前記検査不要項目データを検査不要項目書込機能にて前記セッションテーブル内に書き込み、
前記不正侵入検知・防御装置が、前記接続要求から前記検査不要項目データを前記検査不要項目書込機能にて取り除き、
前記不正侵入検知・防御装置が、前記検査不要項目データを取り除かれた前記接続要求を前記セッション管理部にて前記ウェブサーバに対して転送し、
前記不正侵入検知・防御装置が、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッション管理部にて受信し、
前記不正侵入検知・防御装置が、前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを検査実行判定機能にて判断し、
前記不正侵入検知・防御装置が、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで検査プログラム読込機能にて該応答パケットを検査し、
前記不正侵入検知・防御装置が、該応答パケットに前記不正な攻撃が含まれていればこれを前記検査プログラム読込機能にて破棄し、
前記不正侵入検知・防御装置が、該応答パケットに前記不正な攻撃が含まれていなければこれを前記セッション管理部にて前記クライアントコンピュータに転送し、
前記クライアントコンピュータが、前記不正侵入検知・防御装置から転送されてきた前記応答パケットの内容を前記ウェブブラウザ動作部にて表示する
ことを特徴とする不正侵入検知・防御方法。
【０１０９】
（付記８） 単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
コンピュータに、
予め記憶されている前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルから検査不要項目データを作成する手順と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信する手順と、
前記不正侵入検知・防御装置から転送されてきた応答パケットの内容を表示する手順と
を実行させることを特徴とする不正侵入検知・防御プログラム。
【０１１０】
（付記９） 単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
コンピュータに、
前記クライアントコンピュータからの接続要求を受信する手順と、
前記接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルに記録する手順と、
前記接続要求に含まれる前記検査不要項目データを前記セッションテーブル内に書き込む手順と、
前記接続要求から前記検査不要項目データを取り除く手順と、
前記検査不要項目データを取り除かれた前記接続要求を前記ウェブサーバに対して転送する手順と、
前記接続要求に対応する前記ウェブサーバからの応答パケットを受信する手順と、
前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する手順と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査する手順と、
該応答パケットに前記不正な攻撃が含まれていればこれを破棄する手順と、
該応答パケットに前記不正な攻撃が含まれていなければこれを前記クライアントコンピュータに転送する手順と
を実行させることを特徴とする不正侵入検知・防御プログラム。
【産業上の利用可能性】
【０１１１】
本発明は、ネットワークに接続されたコンピュータの不正侵入対策に適用できる。
【符号の説明】
【０１１２】
１、７０１ 不正侵入検知・防御システム
１０、１０Ａ、１０Ｂ、１０Ｃ、７１０、７１０Ａ、７１０Ｂ、７１０Ｃ クライアントコンピュータ
１１、２１ 主演算制御手段
１２ 第１の記憶手段
２２ 第２の記憶手段
１３、２３ 通信手段
１４ 入出力手段
２０ 不正侵入検知・防御装置
３０ 内部ネットワーク
４０ ウェブサーバ
４１ ウェブサーバプログラム
５０ インターネット
１０１ ウェブブラウザ動作部
１０１ａ ＨＴＴＰヘッダ変更機能
１０２、８０２ パッチ適用情報確認部
１１１、２１１ パッチＩＤ−検査項目対応テーブル
１１１ａ パッチＩＤ
１１１ｂ 検査項目番号
１１２ 適用済パッチＩＤリスト
１１３ 検査不要項目ビットテーブル
１１４ 検査不要項目一覧
１２０ ＨＴＴＰ要求
１２１、１２１ａ ＨＴＴＰ要求ヘッダ
１２２ 検査不要項目情報
２０１ セッション管理部
２０２ パケット検査部
２０２ａ 検査不要項目書込機能
２０２ｂ 検査プログラム読込機能
２０２ｃ 検査実行判定機能
２０３ 対応テーブル配布部
２１２ セッションテーブル
２１２ｅ 検査不要項目
２１３ 検査プログラム群
２１４ サイト共通設定データ
８０３ 資産管理用パッチ適用情報確認部
８１５ 資産管理用適用済パッチＩＤリスト
【特許請求の範囲】
【請求項１】
単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムであって、
前記クライアントコンピュータが、
前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する第１の記憶手段と、
前記適用済パッチＩＤ情報および前記パッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信すると共に前記接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部とを有し、
前記不正侵入検知・防御装置が、
前記クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している第２の記憶手段と、
前記クライアントコンピュータからの接続要求を前記ウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係を前記セッションテーブルに記録し、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッションテーブルに記録された前記発信元に転送するセッション管理部と、
前記ウェブサーバからの応答パケットに前記不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、
前記パケット検査部が、
前記クライアントコンピュータから受信した接続要求が前記ウェブサーバに対して転送される前に該接続要求に含まれる前記検査不要項目データを取り除くと共に当該検査不要項目データを前記セッションテーブル内に書き込む検査不要項目書込機能と、
前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに前記不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能と
を有することを特徴とする不正侵入検知・防御システム。
【請求項２】
前記不正侵入検知・防御装置が、前記パッチＩＤ−検査項目対応テーブルを前記クライアントコンピュータに対して送信する対応テーブル配布部を有し、
前記クライアントコンピュータの前記パッチ適用情報確認部が、予め与えられた周期で前記対応テーブル配布部から前記パッチＩＤ−検査項目対応テーブルをダウンロードして前記検査不要項目データを作成することを特徴とする、請求項１に記載の不正侵入検知・防御システム。
【請求項３】
前記不正侵入検知・防御装置の第２の記憶部が全ての前記クライアントコンピュータに共通する設定内容であるサイト共通設定を記憶しており、
前記不正侵入検知・防御装置の前記検査実行判定機能が前記サイト共通設定および前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断することを特徴とする、請求項１に記載の不正侵入検知・防御システム。
【請求項４】
前記クライアントコンピュータが、
コンピュータ資産管理の目的で前記適用済パッチＩＤ情報データを作成する資産管理用パッチ適用情報確認部を有し、
前記パッチ適用情報確認部が前記資産管理用パッチ適用情報確認部から前記適用済パッチＩＤ情報データを取得することを特徴とする、請求項１に記載の不正侵入検知・防御システム。
【請求項５】
内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能なクライアントコンピュータであって、
動作するソフトウェアの脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する記憶手段と、
前記適用済パッチＩＤ情報および前記パッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信すると共に前記接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部と
を有することを特徴とするクライアントコンピュータ。
【請求項６】
内部ネットワークを通じて接続されたクライアントコンピュータと外部ネットワーク上のウェブサーバとの間の接続を仲介し、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御装置であって、
前記クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している記憶手段と、
前記クライアントコンピュータからの接続要求を前記ウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係を前記セッションテーブルに記録し、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッションテーブルに記録された前記発信元に転送するセッション管理部と、
前記ウェブサーバからの応答パケットに前記不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、
前記パケット検査部が、
前記クライアントコンピュータから受信した接続要求が前記ウェブサーバに対して転送される前に該接続要求に含まれる前記検査不要項目データを取り除くと共に当該検査不要項目データを前記セッションテーブル内に書き込む検査不要項目書込機能と、
前記セッションテーブルで前記応答に対応する前記接続要求に含まれていた検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに前記不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能と
を有することを特徴とする不正侵入検知・防御装置。
【請求項７】
単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
前記クライアントコンピュータが、予め記憶されている前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルからパッチ適用情報確認部にて検査不要項目データを作成し、
前記クライアントコンピュータが、前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与してウェブブラウザ動作部にて送信し、
前記不正侵入検知・防御装置が、前記クライアントコンピュータからの接続要求をセッション管理部にて受信し、
前記不正侵入検知・防御装置が、前記接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルに前記セッション管理部にて記録し、
前記不正侵入検知・防御装置が、前記接続要求に含まれる前記検査不要項目データを検査不要項目書込機能にて前記セッションテーブル内に書き込み、
前記不正侵入検知・防御装置が、前記接続要求から前記検査不要項目データを前記検査不要項目書込機能にて取り除き、
前記不正侵入検知・防御装置が、前記検査不要項目データを取り除かれた前記接続要求を前記セッション管理部にて前記ウェブサーバに対して転送し、
前記不正侵入検知・防御装置が、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッション管理部にて受信し、
前記不正侵入検知・防御装置が、前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを検査実行判定機能にて判断し、
前記不正侵入検知・防御装置が、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで検査プログラム読込機能にて該応答パケットを検査し、
前記不正侵入検知・防御装置が、該応答パケットに前記不正な攻撃が含まれていればこれを前記検査プログラム読込機能にて破棄し、
前記不正侵入検知・防御装置が、該応答パケットに前記不正な攻撃が含まれていなければこれを前記セッション管理部にて前記クライアントコンピュータに転送し、
前記クライアントコンピュータが、前記不正侵入検知・防御装置から転送されてきた前記応答パケットの内容を前記ウェブブラウザ動作部にて表示する
ことを特徴とする不正侵入検知・防御方法。
【請求項８】
単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
コンピュータに、
予め記憶されている前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルから検査不要項目データを作成する手順と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信する手順と、
前記不正侵入検知・防御装置から転送されてきた応答パケットの内容を表示する手順と
を実行させることを特徴とする不正侵入検知・防御プログラム。
【請求項９】
単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
コンピュータに、
前記クライアントコンピュータからの接続要求を受信する手順と、
前記接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルに記録する手順と、
前記接続要求に含まれる前記検査不要項目データを前記セッションテーブル内に書き込む手順と、
前記接続要求から前記検査不要項目データを取り除く手順と、
前記検査不要項目データを取り除かれた前記接続要求を前記ウェブサーバに対して転送する手順と、
前記接続要求に対応する前記ウェブサーバからの応答パケットを受信する手順と、
前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する手順と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査する手順と、
該応答パケットに前記不正な攻撃が含まれていればこれを破棄する手順と、
該応答パケットに前記不正な攻撃が含まれていなければこれを前記クライアントコンピュータに転送する手順と
を実行させることを特徴とする不正侵入検知・防御プログラム。
【請求項１】
単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムであって、
前記クライアントコンピュータが、
前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する第１の記憶手段と、
前記適用済パッチＩＤ情報および前記パッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信すると共に前記接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部とを有し、
前記不正侵入検知・防御装置が、
前記クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している第２の記憶手段と、
前記クライアントコンピュータからの接続要求を前記ウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係を前記セッションテーブルに記録し、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッションテーブルに記録された前記発信元に転送するセッション管理部と、
前記ウェブサーバからの応答パケットに前記不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、
前記パケット検査部が、
前記クライアントコンピュータから受信した接続要求が前記ウェブサーバに対して転送される前に該接続要求に含まれる前記検査不要項目データを取り除くと共に当該検査不要項目データを前記セッションテーブル内に書き込む検査不要項目書込機能と、
前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに前記不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能と
を有することを特徴とする不正侵入検知・防御システム。
【請求項２】
前記不正侵入検知・防御装置が、前記パッチＩＤ−検査項目対応テーブルを前記クライアントコンピュータに対して送信する対応テーブル配布部を有し、
前記クライアントコンピュータの前記パッチ適用情報確認部が、予め与えられた周期で前記対応テーブル配布部から前記パッチＩＤ−検査項目対応テーブルをダウンロードして前記検査不要項目データを作成することを特徴とする、請求項１に記載の不正侵入検知・防御システム。
【請求項３】
前記不正侵入検知・防御装置の第２の記憶部が全ての前記クライアントコンピュータに共通する設定内容であるサイト共通設定を記憶しており、
前記不正侵入検知・防御装置の前記検査実行判定機能が前記サイト共通設定および前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断することを特徴とする、請求項１に記載の不正侵入検知・防御システム。
【請求項４】
前記クライアントコンピュータが、
コンピュータ資産管理の目的で前記適用済パッチＩＤ情報データを作成する資産管理用パッチ適用情報確認部を有し、
前記パッチ適用情報確認部が前記資産管理用パッチ適用情報確認部から前記適用済パッチＩＤ情報データを取得することを特徴とする、請求項１に記載の不正侵入検知・防御システム。
【請求項５】
内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能なクライアントコンピュータであって、
動作するソフトウェアの脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルを記憶する記憶手段と、
前記適用済パッチＩＤ情報および前記パッチＩＤ−検査項目対応テーブルから検査不要項目データを作成するパッチ適用情報確認部と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信すると共に前記接続要求に応答して返送されてきた応答パケットの内容を表示するウェブブラウザ動作部と
を有することを特徴とするクライアントコンピュータ。
【請求項６】
内部ネットワークを通じて接続されたクライアントコンピュータと外部ネットワーク上のウェブサーバとの間の接続を仲介し、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御装置であって、
前記クライアントコンピュータからの接続要求の発信元と送信先についてのデータであるセッションテーブルを記憶している記憶手段と、
前記クライアントコンピュータからの接続要求を前記ウェブサーバに対して転送すると共に当該接続要求の発信元と送信先との対応関係を前記セッションテーブルに記録し、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッションテーブルに記録された前記発信元に転送するセッション管理部と、
前記ウェブサーバからの応答パケットに前記不正な攻撃が含まれているか否かについて検査するパケット検査部とを備え、
前記パケット検査部が、
前記クライアントコンピュータから受信した接続要求が前記ウェブサーバに対して転送される前に該接続要求に含まれる前記検査不要項目データを取り除くと共に当該検査不要項目データを前記セッションテーブル内に書き込む検査不要項目書込機能と、
前記セッションテーブルで前記応答に対応する前記接続要求に含まれていた検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する検査実行判定機能と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査し、該応答パケットに前記不正な攻撃が含まれていればこれを破棄する検査プログラム読込機能と
を有することを特徴とする不正侵入検知・防御装置。
【請求項７】
単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
前記クライアントコンピュータが、予め記憶されている前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルからパッチ適用情報確認部にて検査不要項目データを作成し、
前記クライアントコンピュータが、前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与してウェブブラウザ動作部にて送信し、
前記不正侵入検知・防御装置が、前記クライアントコンピュータからの接続要求をセッション管理部にて受信し、
前記不正侵入検知・防御装置が、前記接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルに前記セッション管理部にて記録し、
前記不正侵入検知・防御装置が、前記接続要求に含まれる前記検査不要項目データを検査不要項目書込機能にて前記セッションテーブル内に書き込み、
前記不正侵入検知・防御装置が、前記接続要求から前記検査不要項目データを前記検査不要項目書込機能にて取り除き、
前記不正侵入検知・防御装置が、前記検査不要項目データを取り除かれた前記接続要求を前記セッション管理部にて前記ウェブサーバに対して転送し、
前記不正侵入検知・防御装置が、前記接続要求に対応する前記ウェブサーバからの応答パケットを前記セッション管理部にて受信し、
前記不正侵入検知・防御装置が、前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを検査実行判定機能にて判断し、
前記不正侵入検知・防御装置が、検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで検査プログラム読込機能にて該応答パケットを検査し、
前記不正侵入検知・防御装置が、該応答パケットに前記不正な攻撃が含まれていればこれを前記検査プログラム読込機能にて破棄し、
前記不正侵入検知・防御装置が、該応答パケットに前記不正な攻撃が含まれていなければこれを前記セッション管理部にて前記クライアントコンピュータに転送し、
前記クライアントコンピュータが、前記不正侵入検知・防御装置から転送されてきた前記応答パケットの内容を前記ウェブブラウザ動作部にて表示する
ことを特徴とする不正侵入検知・防御方法。
【請求項８】
単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
コンピュータに、
予め記憶されている前記脆弱性を改善するために適用されたパッチの識別子の一覧を示す適用済パッチＩＤ情報および前記パッチの識別子と前記パッチによって改善された脆弱性との対応を示すパッチＩＤ−検査項目対応テーブルから検査不要項目データを作成する手順と、
前記ウェブサーバ宛の接続要求に前記検査不要項目データを付与して送信する手順と、
前記不正侵入検知・防御装置から転送されてきた応答パケットの内容を表示する手順と
を実行させることを特徴とする不正侵入検知・防御プログラム。
【請求項９】
単数もしくは複数台のクライアントコンピュータが内部ネットワークを通じて接続された不正侵入検知・防御装置を介して外部ネットワーク上のウェブサーバと接続可能であり、前記外部ネットワークから受信したパケットに前記クライアントコンピュータで動作するソフトウェアの脆弱性を突く不正な攻撃が含まれているか否かを検査すると共に検査した前記パケットに前記不正な攻撃を意図した内容が含まれていれば当該パケットを破棄する不正侵入検知・防御システムにあって、
コンピュータに、
前記クライアントコンピュータからの接続要求を受信する手順と、
前記接続要求の発信元と送信先との対応関係を予め記憶されているセッションテーブルに記録する手順と、
前記接続要求に含まれる前記検査不要項目データを前記セッションテーブル内に書き込む手順と、
前記接続要求から前記検査不要項目データを取り除く手順と、
前記検査不要項目データを取り除かれた前記接続要求を前記ウェブサーバに対して転送する手順と、
前記接続要求に対応する前記ウェブサーバからの応答パケットを受信する手順と、
前記セッションテーブルで前記応答パケットに対応する前記接続要求に含まれていた前記検査不要項目データに基づいて前記応答パケットに対して前記検査項目ごとに検査が必要か否かを判断する手順と、
検査が必要であると判断された該検査項目に対応する検査プログラムを読み込んで該応答パケットを検査する手順と、
該応答パケットに前記不正な攻撃が含まれていればこれを破棄する手順と、
該応答パケットに前記不正な攻撃が含まれていなければこれを前記クライアントコンピュータに転送する手順と
を実行させることを特徴とする不正侵入検知・防御プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【公開番号】特開２０１１−１８８０７１（Ｐ２０１１−１８８０７１Ａ）
【公開日】平成２３年９月２２日（２０１１．９．２２）
【国際特許分類】
【出願番号】特願２０１０−４８９２５（Ｐ２０１０−４８９２５）
【出願日】平成２２年３月５日（２０１０．３．５）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２３年９月２２日（２０１１．９．２２）
【国際特許分類】
【出願日】平成２２年３月５日（２０１０．３．５）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]