JP2006279930A - 不正アクセス検出方法及び装置、並びに不正アクセス遮断方法及び装置 - Google Patents

Abstract

【課題】ＴＣＰやＵＤＰのポート番号を詐称した不正トラフィック、暗号化またはカプセル化されたトラフィックにおける不正トラフィック、及び、コンピュータウイルスや悪意ユーザーが送出する新規の悪意トラフィックを検出する。
【解決手段】ポート番号ごとにトラフィックの振る舞い（例えば、パケット長の平均値及び分散値、パケット到着時間間隔の平均値及び分散値）の期待値を格納するフロー特徴リスト格納部２９と、トラフィックを受信して個々のデータパケットに分離する受信部２６と、分離した個々のトラフィックの振る舞いを測定する各算出部２１〜２４，３０〜３５と、データパケットのポート番号を検出するポート番号検出部２５と、検出されたポート番号に基づき、測定された振る舞いとフロー特徴リスト格納部２９に格納された期待値とを比較し、不正トラフィックを判別するフロー比較部２８と、を設ける。
【選択図】図１

Description

本発明は、ネットワークを介した不正なアクセスを検出し、遮断する方法及び装置に関し、特に、ネットワーク内を通過するデータトラフィックの種類を特徴ごとに分類し、不正なトラフィックを検出し遮断する、不正アクセス検出方法及び装置並びに不正アクセス遮断方法及び装置に関する。

近年、インターネットなどのネットワーク環境の普及に伴って、ネットワークを介した不正なアクセスが横行するようになってきており、このような不正なアクセスを検出し、遮断する技術が注目を浴びている。インターネット上では、通信プロトコルとしてＴＣＰ(Transmission control Protocol)やＩＰ(Internet Protocol)、ＵＤＰ(User Datagram Protocol)が使用され、データは、これらのプロトコルに基づいたパケットとして伝送される。パケットのヘッダには、送信元のＩＰアドレス及びポート番号と、送信先のＩＰアドレス及びポート番号などが格納される。パケットは、ＩＰアドレスで指定された送信先に対して、ＩＰに基づいて送信される。データパケットは、ＴＣＰ及びＵＤＰによって規定されるポート番号によって、どのアプリケーションのデータなのかが特定されるようになっている。

従来の不正アクセス検出装置や不正アクセス遮断装置は、不正アクセスに係るトラフィックを検出、遮断するために、例えば、ポート番号やＩＰアドレスなどに関して前もって登録しておいたビットパタンを含むトラフィックを不正フローと判断し、そのような不正フローのトラフィックを検出、遮断する処理を行っていた。

特開２００４−３８５５７号公報（特許文献１）には、外部ネットワークから受信した通信データとあらかじめ設定されている特徴情報とを比較し、特徴情報をすべて満たす通信データのみを正常であるとしてサーバに転送する不正アクセス遮断システムが開示されている。

特開２００４−１４０６１８号公報（特許文献２）には、不正アクセスをパケットフィルタリングによって遮断する装置として、通信パケットを検出パターンと比較して一致不一致の数を求め、これを判定基準に照合して状態遷移を決定し、この状態遷移に基づいてパケットの通過または廃棄を行う装置が開示されている。

特開２００３−２１８９４９号公報（特許文献３）には、送受信されるパケットの送信元のＩＰアドレス及びポート番号と、送信先のＩＰアドレス及びポート番号を記録するとともに、外部から内部ネットワークへのアクセスのパターンを解析し、解析したアクセスパターンがあらかじめ登録された複数種類の不正アクセスパターンのいずれかと一致するかどうかを比較することにより、不正アクセスを検出することが提案されている。ただしこの公報では、アクセスパターン自体については定義は与えられていない。

特開２００４−３５６９１５号公報（特許文献４）には、不正アクセスを検出するために、不正アクセスの種類ごとにその不正アクセスによって生ずるトラフィック（データパケット量）の時間的な変化のパターンをあらかじめ記憶しておき、実際のトラフィックの時間的な変化のパターンとあらかじめ記憶しておいたパターンとを比較することによって、不正アクセスを検出するとともに不正アクセスの種類を判別することが開示されている。この手法では、新規の種類の不正アクセスの検出が困難である。
特開２００４−３８５５７号公報 特開２００４−１４０６１８号公報 特開２００３−２１８９４９号公報 特開２００４−３５６９１５号公報

上述した従来の不正アクセス検出技術では、ＴＣＰやＵＤＰのポート番号を詐称した不正トラフィックを検出できないという問題点がある。また、現在、セキュリティの向上のために、トラフィックの暗号化やカプセル化（例えば、Ａｎｙ ｏｖｅｒ ＨＴＴＰやＭｏｂｉｌｅ ＩＰなどといった技術）が行われるようになってきているが、暗号化されたトラフィックやカプセル化されたトラフィックにおいて不正トラフィックを検出するために、個別にビットパターン（アクセスパターン）を指定する必要があり、指定したりあるいはあらかじめ記憶しておくべきパターン数が多くなる、という問題点が生じる。

さらに、上述した手法のうち、特許文献２〜４に記載のものは、過去の不正アクセスに基づくパターンと現在のパターンとを比較するという手法であるから、コンピュータウイルスや悪意ユーザーが送出する新規の悪意トラフィックを検出することができない。また、特許文献１に記載のものは、正常な通信データの特徴情報をあらかじめ用意しておく必要があるから、新規ではあるが正規のトラフィックまで遮断してしまうという、という問題点を有する。

いずれにせよ上述した従来の手法では、不正トラフィックを特定するために、保守者があらかじめビットパタン（アクセスパターン）を指定しなければならないため、保守が煩雑であり、また新たなトラフィック出現時の対応に手間と時間がかかる。

そこで本発明の目的は、ポート番号を詐称した不正トラフィックを検出でき、暗号化やカプセル化されたトラフィックからも不正トラフィックを検出でき、コンピュータウイルスなどに起因する新出の悪意トラフィックも検出できる、不正トラフィック検出方法及び装置並びに不正トラフィック遮断方法及び装置を提供することにある。

本発明の別の目的は、保守者の作業負担を軽減し、新規のトラフィックにも柔軟に対応できる不正トラフィック検出方法及び装置並びに不正トラフィック遮断方法及び装置を提供することにある。

本発明の不正アクセス検出方法は、ネットワークを介した不正トラフィックを検出する不正アクセス検出方法であって、あらかじめトラフィックの種別ごとの振る舞いの期待値を格納する段階と、ネットワークを介して通信を行う際に、個々のトラフィックを分離する段階と、分離した個々のトラフィックの振る舞いを測定する段階と、測定された振る舞いと、振る舞いの期待値とを比較する段階と、比較した結果から不正トラフィックを判別する段階と、を有する。

本発明の第１の不正アクセス検出装置は、ネットワークを介した不正トラフィックを検出する不正アクセス検出装置であって、ネットワークからトラフィックを受信する受信手段と、受信した個々のトラフィックの振る舞いを測定する測定手段と、測定手段による測定結果に応じて、個々のトラフィックが不正トラフィックか否かを識別する識別手段と、を有する。

本発明の第２の不正アクセス検出装置は、ネットワークを介した不正トラフィックを検出する不正アクセス検出装置であって、あらかじめトラフィックの種別ごとの振る舞いの期待値を格納する格納手段と、ネットワークを介してトラフィックを受信し、個々のトラフィックに分離する受信手段と、分離した個々のトラフィックの振る舞いを測定する測定手段と、測定された振る舞いと、格納手段に格納された期待値とを比較し、比較した結果から不正トラフィックを判別する比較手段と、を有する。

本発明においてトラフィックは、典型的にはＴＣＰ／ＩＰによるデータパケットによって構成されている。そのようなパケットは、そのパケットを利用するアプリケーション（あるいはプログラム）に応じたパケット長やその分布、パケット到着時間間隔やその分布などで定義されるトラフィックの振る舞いを示すものと考えられる。またＴＣＰやＵＤＰでは、ポート番号がアプリケーションの識別子として用いられており、ポート番号とアプリケーションとは対応付けられている。

そこで本発明では、どのアプリケーションがトラフィックを生じさせているかに基づいてトラフィックの種類を考え、トラフィックの種類ごと（すなわちアプリケーションごと）に、トラフィックが示すであろう振る舞いをあらかじめデータベースに格納する。振る舞いとしては、例えば、トラフィックを構成するデータパケットのパケット長の平均値、パケット長の分散値、パケット到着時間間隔の平均値、パケット到着時間間隔の分散値が用いられる。このようにパケット長の平均値と分散値、パケット到着時間間隔の平均値と分散値を用いることにより、単に通信量やデータパケット量の変化を監視しただけでは検出できないような不正トラフィックを検出できるようになる。

上記説明では、トラフィックの振る舞いとして、トラフィックを構成するデータパケットのパケット長及びパケット到着時間間隔の平均値や分散値を用いるものとしたが、平均値や分散値だけでなく標準偏差などの他の基本統計量パラメータを使用することができる。また上記パラメータ以外にも、トラフィックを構成するデータパケットのパケット長の種類数をトラフィックの振る舞いとして用いてもよい。またＴＣＰヘッダが暗号化されていないデータパケットであれば、ＴＣＰフラグにＰＵＳＨビット（転送強制ビット）がセットされたパケットであるＰＵＳＨパケットの出現率をトラフィックの振る舞いとして用いてもよい。また連続して送信される複数のデータパケットを１つのバーストとして定義することにより、バーストのバースト長及びバースト到着時間間隔の平均値や分散値などの基本統計量パラメータをトラフィックの振る舞いとして用いてもよい。

本発明では、例えば、ＴＣＰやＵＤＰのポート番号の詐称を伴う不正トラフィックがあった場合、その不正トラフィックの振る舞いは、本来のアプリケーションに基づくトラフィックの振る舞いとは異なるので、詐称されたポート番号からデータベースを検索して得られる振る舞い期待値と、実際のトラフィックの振る舞いとが一致せず、不正トラフィックであると判断することができる。暗号化やカプセル化されたトラフィックについても、あらかじめ振る舞いの期待値を格納しておけば、上述と同様にして不正トラフィックを検出できる。コンピュータウィルスなどに起因して新出の悪意トラフィックが出現した場合であっても、そのようなトラフィックについては振る舞い期待値が登録されていないということから、不正トラフィックであると判断することができる。

さらに本発明では、格納手段に対してトラフィックの種別ごとの振る舞いの期待値を登録または削除する手段をさらに備え、ネットワークに接続した端末などからトラフィックの振る舞い期待値を登録したり削除したりできるようにすることにより、保守者の作業負担を軽減し、新規のトラフィックにも柔軟に対応できるようになる。

さらに本発明では、トラフィックの振る舞いを測定することによる不正トラフィック検出処理を実施する前に、個々のトラフィックにおける単位時間あたりの受信パケット数を測定し閾値を超えたトラフィックを不正トラフィックの可能性がある被疑トラフィックとする段階を設け、抽出された被疑トラフィックに対して不正トラフィック検出処理を実行するようにしてもよい。被疑トラフィックに対し不正トラフィック検出処理を行うようにすることにより、効率的に不正トラフィック検出処理を実施できるようになる。

さらに本発明では、ポート番号やＩＰアドレスなどに関するビットパタンをあらかじめ登録しておき、個々に分離されたトラフィックを暗号化トラフィックと非暗号化トラフィックとに分離し、暗号化トラフィックに対しては上述した不正アクセス検出処理を実行し、非暗号化トラフィックに対しては、登録されたビットパタンがその非暗号化トラフィックから検出されるかどうかで不正アクセス検出を行うようにしてもよい。このようにすれば、従来手法では対応できない暗号化されたトラフィックに対しても、不正トラフィック検出処理を実施できるようになる。

さらに本発明では、新規のトラフィックを検出した場合に、そのトラフィックの振る舞いを測定した結果を集計して新規のトラフィックの振る舞い期待値を生成する手段をさらに備えるようにしてもよい。そのような手段を設けることにより、振る舞い期待値の登録に関する保守者の作業負担を軽減することができる。

本発明の不正アクセス遮断方法は、ネットワークを介した不正トラフィックを遮断する不正アクセス遮断方法であって、上述した本発明の不正アクセス検出方法を実施して個々のトラフィックごとに不正なものかそうでないかを判別する段階と、不正と判断されたトラフィックを遮断する段階と、を有する。

本発明の不正アクセス遮断装置は、ネットワークを介した不正トラフィックを遮断する不正アクセス遮断装置であって、上述した本発明の不正アクセス検出装置と、不正アクセス検出装置によって不正と判断されたトラフィックを遮断する手段と、を有する。

本発明は、振る舞い期待値を用いて不正トラフィックを判別することにより、ポート番号を詐称した不正トラフィックや、暗号化やカプセリングした不正トラフィック、コンピュータウイルスなどに起因する新出の不正トラフィックを検出できる、という効果を有する。また本発明では、端末からトラフィックの振る舞い期待値を登録したり削除したりできるようにすることにより、新規トラフィックの登録に関して保守者の作業を軽減することができる。

また本発明では、新規トラフィックを検出した場合に、その新規トラフィックの振る舞いの測定結果から振る舞い期待値を自動生成できるようにすることにより、振る舞い期待値の登録に関して保守者の作業を軽減することができる。

次に、発明の好ましい実施の形態について、図面を参照して説明する。

図１は、本発明の第１の実施形態の不正アクセス遮断装置を示している。不正アクセス遮断装置２は、ネットワーク３からのサーバ４に対する不正アクセスを検出してそのような不正アクセスがサーバ４に到達しないように遮断するものであり、ネットワーク３とサーバ４との間に配置されている。ネットワーク３は、例えばインターネットであって、ネットワーク３には、さらに、端末１も接続している。ここでは１台の端末しか描かれていないが、当然のことながら、ネットワーク３には、多数の端末やサーバ、その他の機器が接続しており、これらの端末やサーバ、機器は、潜在的にサーバ４に対してアクセスする可能性があり、それらのアクセスには不正アクセスが含まれる可能性がある。ここでは、不正アクセス遮断装置２は、不正アクセスを検出して遮断するものとして説明するが、当然のことながら、不正アクセスの検出機能のみに着目すれば、不正アクセス遮断装置２は、不正アクセスを検出する不正アクセス検出装置として用いられることになる。

不正アクセス遮断装置２は、ネットワーク３からのトラフィックを受信する受信部２６と、受信したトラフィックをサーバ４に転送する送信部２７と、パケット長平均値算出部２１と、パケット長分散値算出部２２と、パケット到着時間間隔平均値算出部２３と、パケット到着時間間隔分散値算出部２４と、ポート番号検出部２５と、フロー比較部２８と、フロー特徴リスト格納部２９と、パケット長種類数算出部３０と、ＰＵＳＨパケット出現率算出部３１と、バースト長平均値算出部３２と、バースト長分散値算出部３３と、バースト到着時間間隔平均値３４と、バースト到着時間間隔分散値３５とを備えている。以下、不正アクセス遮断装置２の構成の詳細について説明する。

受信部２６は、ネットワーク３からサーバ４に宛てられたトラフィックを受信し、トラフィックを構成するデータパケットのヘッダに含まれるポート番号ごとにトラフィックを分離し、パケット長平均値算出部２１、パケット長分散値算出部２２、パケット到着時間間隔平均値算出部２３、パケット到着時間間隔分散値算出部２４、ポート番号検出部２５、パケット長種類数算出部３０、ＰＵＳＨパケット出現率算出部３１、バースト長平均値算出部３２、バースト長分散値算出部３３、バースト到着時間間隔平均値３４、及びバースト到着時間間隔分散値３５にそのトラフィックのコピーを転送するとともに、そのトラフィックを送信部２７に転送する。トラフィックは、例えば、端末１から送出されたものである。

パケット長平均値算出部２１は、受信部２６から転送されてきたトラフィックから、そのトラフィックを構成するデータパケットのパケット長の平均値を算出し、算出した値をフロー比較部２８へ通知する。パケット長分散値算出部２２は、転送されてきたトラフィックから、そのトラフィックを構成するデータパケットのパケット長の分散値を算出し、算出した値をフロー比較部２８へ通知する。パケット到着時間間隔平均値算出部２３は、転送されてきたトラフィックから、そのトラフィックを構成するデータパケットの到着時間間隔の平均値を算出し、算出した値をフロー比較部２８へ通知する。パケット到着時間間隔分散値算出部２４は、転送されてきたトラフィックから、そのトラフィックを構成するデータパケットの到着時間間隔の分散値を算出し、算出した値をフロー比較部２８へ通知する。ポート番号検出部２５は、転送されてきたトラフィックから、そのトラフィックを構成するデータパケットのポート番号を検出し、検出した値をフロー比較部２８へ通知する。上記の説明では、パケット長及びパケット到着時間間隔に関する平均値や分散値を算出したが、これらの平均値や分散値の代わりに、標準偏差や中央値などの基本統計量パラメータを算出してもよい。

パケット長種類数算出部３０は、転送されてきたトラフィックから、そのトラフィックを構成するデータパケットのパケット長の種類の数を算出し、算出した値をフロー比較部２８へ通知する。ＰＵＳＨパケット出現率算出部３１は、転送されてきたトラフィックから、そのトラフィックを構成するデータパケットのうち、ＰＵＳＨパケットの数をカウントし、全受信パケット数に対するＰＵＳＨパケット数の割合をＰＵＳＨパケット出現率として算出し、算出した値をフロー比較部２８へ通知する。ＰＵＳＨパケットとは、ＴＣＰフラグとして、ＴＣＰヘッダフィールドのコードビット領域において、ＰＵＳＨビット、すなわち転送強制ビットが設定されているパケットのことである。バースト長平均値算出部３２は、転送されてきたトラフィックから連続して受信したデータパケット群をバーストとし、そのバーストのバースト長平均値を算出し、算出した値をフロー比較部２８へ通知する。バースト長分散値算出部３３は、バーストのバースト長分散値を算出し、算出した値をフロー比較部２８へ通知する。バースト到着時間間隔平均値３４は、バーストの到着時間間隔平均値を算出し、算出した値をフロー比較部２８へ通知する。バースト到着時間間隔分散値３５は、バーストの到着時間間隔分散値を算出し、算出した値をフロー比較部２８へ通知する。上記の説明では、バースト長およびバースト到着時間間隔に関する平均値や分散値を算出したが、これらの平均値や分散値の代わりに、標準偏差や中央値などの基本統計量パラメータを算出してもよい。

フロー特徴リスト格納部２９は、ポート番号ごとに、そのポート番号と、パケット長平均値の期待値と、パケット長分散値の期待値と、パケット到着時間間隔平均値の期待値と、パケット到着時間間隔分散値の期待値と、パケット長種類数の期待値と、ＰＵＳＨパケット出現率の期待値と、バースト長平均値の期待値と、バースト長分散値の期待値と、バースト到着時間間隔平均値と、バースト到着時間間隔分散値の期待値とによって定義される振る舞いの期待値のリストを保持する。以下の説明において、パケット長平均値、パケット長分散値、パケット到着時間間隔平均値、パケット到着時間間隔分散値、パケット長種類数、ＰＵＳＨパケット出現率、バースト長平均値、バースト長分散値、バースト到着時間間隔平均値、及びバースト到着時間間隔分散値をまとめてトラフィックの「振る舞い」と呼ぶ。

フロー比較部２８は、通知されたパケット長平均値、パケット長分散値、パケット到着時間間隔平均値、パケット到着時間間隔分散値、ポート番号、パケット長種類数、ＰＵＳＨパケット出現率、バースト長平均値、バースト長分散値、バースト到着時間間隔平均値、バースト到着時間間隔分散値を、フロー特徴リスト格納部２９に保持してある振る舞い期待値のリストと比較し、トラフィックの転送または廃棄の指示を送信部２７に出す。後述するように、通知されてきた内容がリスト内の期待値の範囲内である場合には、正規のトラフィックと判断できるので、フロー比較部２８は、トラフィックの転送を指示し、そうでないでない場合には、トラフィックの廃棄を指示する。この際、フロー比較部２８は、指示内容を保守者へと通知する。

送信部２７は、フロー比較部２８の指示に従い、受信部２６から転送されてきたトラフィックのサーバ４への転送または廃棄を行う。

次に図２のフローチャートを参照して、この不正アクセス遮断装置の動作を説明する。

ステップＡ１において受信部２６がトラフィックを受信すると、受信部２６は、受信したトラフィックを構成する各パケットのコピーをパケット長平均値算出部２１、パケット長分散値算出部２２、パケット到着時間間隔平均値算出部２３、パケット到着時間間隔分散値算出部２４、ポート番号検出部２５、パケット長種類数算出部３０、ＰＵＳＨパケット出現率算出部３１、バースト長平均値算出部３２、バースト長分散値算出部３３、バースト到着時間間隔平均値算出部３４及びバースト到着時間間隔分散値算出部３５へ転送する。その結果、ステップＡ２において、パケット長平均値算出部２１はパケット長平均値を算出し、パケット長分散値算出部２２はパケット長分散値を算出し、パケット到着時間間隔平均値算出部２３はパケット到着時間間隔平均値を算出し、パケット到着時間間隔分散値算出部２４はパケット到着時間間隔分散値を算出し、パケット長種類数算出部３０はパケット長種類数を算出し、ＰＵＳＨパケット出現率算出部３１はＰＵＳＨパケット出現率を算出し、バースト長平均値算出部３２はバースト長平均値を算出し、バースト長分散値算出部３３はバースト長分散値を算出し、バースト到着時間間隔平均値算出部３４はバースト長到着時間間隔平均値を算出し、バースト到着時間間隔分散値算出部３５はバースト到着時間間隔分散値を算出する。またポート番号検出部２５は、受信したトラフィックのデータパケットからポート番号を検出する。検出したポート番号と、各算出部２１〜２４，３１〜３５で算出されたそれぞれの値は、フロー比較部２８へ通知される。

フロー比較部２８は、ステップＡ３において、通知されたパケット長平均値、パケット長分散値、パケット到着時間間隔平均値、パケット到着時間間隔分散値、パケット長種類数、ＰＵＳＨパケット出現率、バースト長平均値、バースト長分散値、バースト到着時間間隔平均値、バースト到着時間間隔分散値及びポート番号を、フロー特徴リスト格納部２９に格納されている振る舞い期待値と比較し、ポート番号が既知であって、かつ、通知された各値がそのポート番号に対応した期待値の範囲内であるかどうかを判定する。

既知のポート番号であってかつ振る舞いが期待値内の場合には、フロー比較部２８は、送信部２７に転送指示を出し、送信部２７は、ステップＡ４において、パケットをサーバ４に転送する。一方、ステップＡ３において、「既知ポート番号かつ振る舞いが期待値内」でない場合には、フロー比較部２８は、ステップＡ５において、「ポート番号は既知であるが振る舞いが期待値外」であるかどうかを判定する。ポート番号は既知であるが、振る舞いがそのポート番号に対する期待値の範囲外である場合には、フロー比較部２８は、そのトラフィックは不正トラフィックであるとして、送信部２７に廃棄指示を出し、送信部２７はステップＡ６においてパケットを廃棄する。

ステップＡ５において「ポート番号は既知であるが振る舞いが期待値外」ではない場合は、ポート番号が未知ということになるが、その場合、フロー比較部２８は、ステップＡ７において、「未知ポート番号であり、かつ振る舞いがリストに登録されているいずれかの期待値の範囲内である」かどうかを判定する。ここで未知のポート番号ではあるが振る舞い自体はいずれかのポート番号に関して登録されている期待値内であれば、そのトラフィックは、不正トラフィックではなくて正規のトラフィックであるが、ポート番号が単にリストに登録されていない種類のものである可能性がある。そこで、「未知ポート番号であり、かつ振る舞いがリストに登録されているいずれかの期待値の範囲内である」場合には、フロー比較部２９は、ステップＡ８において、保守者に対してポート番号登録とそのポート番号に対応付けられる振る舞いの期待値の登録を促すとともに、送信部２７にトラフィックの廃棄指示を出し、送信部２７は、ステップＡ９においてそのパケットを廃棄する。

上記いずれの条件にも合致しない場合、すなわち未知ポート番号かつ、振る舞いがいずれの期待値にも一致しない場合には、そのトラフィックは不正トラフィックであるとして、フロー比較部２８は送信部２７にトラフィックの廃棄指示を出し、送信部２７は、ステップＡ１０において、そのパケットを廃棄する。

次に、本実施の形態の効果について説明する。

本実施の形態では、ポート番号とそのポート番号に定義づけられたトラフィックの振る舞いに基づいて、不正トラフィックを検出する。したがって、ポート番号を詐称した不正なトラフィックも検出が可能である。また、暗号化やカプセル化されたトラフィックについても、期待した振る舞いと異なる場合には不正トラフィックとして検出することができる。

上記の説明では、フロー特徴リストにおいてポート番号に対してトラフィックの振る舞いを定義づけたが、送信元ＩＰアドレス、送信先ＩＰアドレスなどの送信端末、受信端末ごとにトラフィックの振る舞いを定義づけることもできる。またＶＬＡＮ（仮想ローカルエリアネットワーク）やサブネットなどの端末のグループを示す識別子に対してトラフィックの振る舞いを定義づけることもできる。さらに、ＩＰヘッダ内のＴＯＳ（Type of Service：サービス種別）フィールドの値などのトラフィックをグループ化する際に用いられる識別子に対して、振る舞いを定義づけることもできる。

次に、本発明の第２の実施形態の不正アクセス遮断装置について説明する。図３に示す第２の実施形態の不正アクセス遮断装置４０は、図１に示した不正アクセス遮断装置２と同様のものであるが、端末１からの申告によってフロー特徴リストに振る舞い期待値を追加登録するフロー申請受付部４１を備えている点で、図１に示した不正アクセス遮断装置２と異なっている。

フロー申請受付部４１は、端末１からトラフィックの振る舞い期待値の申請を受ける機能を持つ。トラフィックの振る舞い期待値の申請を受け付けたフロー申請受付部４１は、期待値をフロー特徴リスト格納部２９に登録する。フロー申請受付部４１は、フロー特徴リストから、特定のポート番号に係る期待値を削除する機能を備えていてもよい。

この不正アクセス遮断装置４０において、フロー申請受付部４１の以外の動作は第１の実施の形態の不正アクセス遮断装置２の動作と同じであるので、ここでは重複する説明は繰り返さない。

本実施形態のアクセス遮断装置４０では、端末１が振る舞い期待値を申請でき、その申請に基づいて振る舞い期待値がフロー特徴リスト格納部２９に登録されるので、保守者の介在なしに新たなトラフィックの登録が可能となる。そして、このように新たなトラフィックが登録された後は、そのトラフィックは正規のトラフィックとして扱われることになり、そのトラフィックのパケットは、廃棄されることなく、送信部２７からサーバ４に転送されることになる。本実施形態によれば、端末からトラフィックの振る舞い期待値を登録したり削除したりできるようにすることにより、新規トラフィックの登録に関して保守者の作業を軽減することができる。

次に、本発明の第３の実施形態の不正アクセス遮断装置について説明する。図４に示す第３の実施形態の不正アクセス遮断装置５０は、図１に示した不正アクセス遮断装置２と同様のものであるが、トラフィックの振る舞いを測定することによる不正トラフィック検出処理を実施する前に、個々のトラフィックにおける単位時間あたりの受信パケット数を測定し閾値を超えたトラフィックを不正トラフィックの可能性があるトラフィックを抽出するように構成されている。以下の説明では、不正トラフィックの可能性があるトラフィックのことを被疑トラフィックと呼ぶ。したがって、第３の実施形態の不正アクセス遮断装置５０は、被疑トラフィックを不正トラフィック検出処理に転送する被疑トラフィック抽出部５１と、被疑トラフィック条件を格納する被疑トラフィック条件格納部５２を備えている点で、図１に示した不正アクセス遮断装置２と異なっている。被疑トラフィック条件とは、被疑トラフィック抽出部５１において被疑トラフィックを抽出するために用いられる条件のことである。

被疑トラフィック抽出部５１は、被疑トラフィック条件格納部５２に格納された被疑トラフィック条件に基づいて、受信したトラフィックの中から不正トラフィックの可能性がある被疑トラフィックのみを抽出して、抽出された被疑トラフィックのコピーを後段の各算出部２１〜２４、３０〜３５およびポート番号検出部２５に転送する機能を有する。例えば、被疑トラフィック抽出部５１は、受信部２６から転送されたトラフィックに対して、個々のトラフィックの単位時間あたりの受信パケット数をカウントし、その単位時間あたりの受信パケット数が被疑トラフィック条件格納部５２において保持される閾値を超えたトラフィックを被疑トラフィックとし、そのような被疑トラフィックを抽出する。ここでは、被疑トラフィック条件格納部５２において保持される被疑トラフィック条件は、単位時間あたりの受信パケット数であるとしたが、その他の被疑トラフィック条件を設定してもよい。

この不正アクセス遮断装置５０において、被疑トラフィック抽出部５１の以外の動作は第１の実施の形態の不正アクセス遮断装置２の動作と同じであるので、ここでは重複する説明は繰り返さない。第３の実施形態の不正アクセス遮断装置５０では、受信した全てのトラフィックのうち、不正トラフィックの可能性がある被疑トラフィックに対してトラフィックの振る舞いを測定することによる不正トラフィック検出処理を実施することができるため、不正トラフィック検出処理を効率よく実施することができる。

次に、本発明の第４の実施形態の不正アクセス遮断装置について説明する。図５に示す第４の実施形態の不正アクセス遮断装置６０は、図１に示した不正アクセス遮断装置２と同様のものであるが、ポート番号やＩＰアドレスなどに関して前もって登録しておいたビットパタンを格納するビットパタン格納部６１、受信部２６から転送されたデータパケットからビットパタン格納部６１に登録されたビットパタンを検出するビットパタン検出部６２と、個々に分離されたトラフィックを暗号化トラフィックと非暗号化トラフィックとに分離する暗号化トラフィック分離部６３とを備えている点で、図１に示した不正アクセス遮断装置２と異なっている。

ここでいうポート番号やＩＰアドレスなどに関するビットパタンとは、パケットフィルタリングのために従来の公知の方法で用いられているビットパタンと同様のものであり、したがって、ビットパタン格納部６１及びビットパタン検出部６２は、それぞれ、従来のパケットフィルタリング装置においてビットパタンの格納に用いられる機能ブロックとビットパタンの検出に用いられる機能ブロックと同様のものである。すなわちビットパタン検出部６２は、個々のトラフィックを構成するデータパケットのデータ部分から不正トラフィックを特定するために、そのデータパケットのデータ部分から抽出されるビットパタンが、ビットパタン検出部６１にあらかじめ登録されているビットパタンと一致するかどうかを検出する機能を有する。

暗号化トラフィック分離部６３は、受信部２６によって受信されたトラフィックを送信部２７へ転送すると同時に、暗号化トラフィックに対しては、トラフィックの振る舞いを測定するために、その暗号化トラフィックのそのコピーを各算出部２１〜２４、３０〜３５及びポート番号検出部２５に送信し、非暗号化トラフィックに対してはそのコピーをビットパタン検出部６２へ転送する機能を有する。ビットパタン検出部６２は、暗号化トラフィック分離部６３から転送された非暗号化トラフィックに対して、ビットパタン検出による不正トラフィック検出処理を実施する。

この不正アクセス遮断装置６０において、被疑トラフィック抽出部５１の以外の動作は第１の実施の形態の不正アクセス遮断装置２の動作と同じであるので、ここでは重複する説明は繰り返さない。第４の実施形態の不正アクセス遮断装置６０では、受信したトラフィックを暗号化トラフィックと非暗号化トラフィックとに分離して、非暗号化トラフィックに対しては従来手法であるビットパタン検出による不正トラフィック検出処理を実施し、暗号化トラフィックに対してはトラフィックの振る舞いの測定による不正トラフィック検出処理を実施する。これにより、この不正アクセス遮断装置６０は、従来手法では対応できない暗号化トラフィックに対しても不正トラフィック検出処理を実施することができる。

次に、本発明の第５の実施形態の不正アクセス遮断装置について説明する。図５に示す第５の実施形態の不正アクセス遮断装置７０は、図１に示した不正アクセス遮断装置２と同様のものであるが、新規のトラフィックを検出した場合に、そのトラフィックの振る舞いを測定した結果からその新規トラフィックの振る舞い期待値を生成する期待値学習部７１を備えている点で、図１に示した不正アクセス遮断装置２と異なっている。フロー比較部２８は、測定された振る舞いとフロー特徴リスト格納部２９に格納された期待値とを比較して不正トラフィックを判別する機能を上述したように備えるとともに、新規トラフィックを検出した場合にその新規トラフィックについての振る舞い測定結果を期待値学習部７１へ転送する機能を備えている。具体的に言えば、フロー比較部２８は、トラフィックの振る舞い測定による不正アクセス検出処理を実施した結果、「未知ポート番号かつ、振る舞いがいずれの期待値にも一致しない」新規トラフィックであると判定した場合には、期待値学習部７１に対して新規トラフィックを検出したことを通知し、各算出部２１〜２４、３０〜３５及びポート番号検出部２５から転送されたトラフィックの振る舞い測定結果をその期待値学習部７１へ転送する。期待値学習部７１は、フロー比較部２８から新規トラフィックを検出したことを通知されると、各算出部２１〜２４、３０〜３５及びポート番号検出部２５において算出された、その新規トラフィックの振る舞い測定結果を集計して、新規トラフィックの振る舞い期待値を生成し、生成した振る舞い期待値をフロー特徴リスト格納部２９に格納する機能を有する。

この不正アクセス遮断装置７０において、フロー比較部２８における新規トラフィック検出時の動作及び期待値学習部７１の動作以外の動作は第１の実施の形態の不正アクセス遮断装置２の動作と同等なので、ここでは重複する説明は繰り返さない。以下、図７のフローチャートを参照して、この不正アクセス遮断装置の動作を説明する。

ステップＡ１からステップＡ１０までの各処理は、第１の実施の形態の不正アクセス遮断装置２における処理（図２参照）と同等なので、説明を省略する。フロー比較部２８は、「未知ポート番号かつ、振る舞いがいずれの期待値にも一致しない」新規トラフィックであるとステップＡ７において判定した場合、期待値学習部７１に対して新規トラフィック検出を通知すると同時に、各算出部２１〜２４、３０〜３５及びポート番号検出部２５から受信した、トラフィックの振る舞い測定結果の期待値学習部７１へ転送を開始する。期待値学習部７１は、ステップＡ１１において、フロー比較部２８から新規トラフィック検出を通知されると、フロー比較部２８から送られてきたトラフィックの振る舞い測定結果を集計してその新規トラフィックの振る舞い期待値を生成する。この新規トラフィックの振る舞い期待値を生成後、期待値学習部７１は、ステップＡ１２において、保守者に、ポート番号登録とそのポート番号に対応付けられる振る舞いの期待値の登録を促すための通知を行う。保守者から、ポート番号登録と振る舞い期待値の入力があれば、期待値学習部７１は、その振る舞い期待値をそのポート番号に関連付けて、フロー特徴リスト格納部２９に登録する。

本実施形態の不正パケット遮断装置７０では、新規トラフィックの振る舞い期待値を自動生成することにより、振る舞い期待値の登録に関する保守者の作業負担を軽減することができる。

以上説明した各実施形態において、トラフィックの振る舞いとして、ポート番号と、パケット長平均値の期待値と、パケット長分散値の期待値と、パケット到着時間間隔平均値の期待値と、パケット到着時間間隔分散値の期待値と、パケット長種類数の期待値と、ＰＵＳＨパケット出現率の期待値と、バースト長平均値の期待値と、バースト長分散値の期待値と、バースト到着時間間隔平均値と、バースト到着時間間隔分散値の期待値とを用いている。しかしながら、本発明においては、トラフィックの振る舞いとして、ここで列挙したもの以外のものを利用できることは当然のことである。また、必要に応じて、ポート番号、パケット長平均値の期待値、パケット長分散値の期待値、パケット到着時間間隔平均値の期待値、パケット到着時間間隔分散値の期待値、パケット長種類数の期待値、ＰＵＳＨパケット出現率の期待値、バースト長平均値の期待値、バースト長分散値の期待値、バースト到着時間間隔平均値、及びバースト到着時間間隔分散値の期待値からなる群から選ばれた任意の１または複数のものをトラフィックの振る舞いとして用いてもよい。

図８は、本発明の別の実施形態の不正アクセス遮断装置を示している。図８に示す不正アクセス遮断装置８０は、第１の実施形態の不正アクセス遮断装置２と同様のものであるが、トラフィックの振る舞いとして、ポート番号、パケット長平均値の期待値、パケット長分散値の期待値、到着時間間隔平均値の期待値、及び到着時間間隔分散値の期待値を用いる点で、第１の実施形態の不正アクセス遮断装置２とは異なっている。したがって、不正アクセス遮断装置８０は、パケット長種類数算出部、ＰＵＳＨパケット出現率算出部、バースト長平均値算出部、バースト長分散値算出部、バースト到着時間間隔平均値算出部、及びバースト到着時間間隔分散値算出部を備えていない。言い換えれば、不正アクセス遮断装置８０は、受信部２６と、送信部２７と、パケット長平均値算出部２１と、パケット長分散値算出部２２と、パケット到着時間間隔平均値算出部２３と、パケット到着時間間隔分散値算出部２４と、ポート番号検出部２５と、フロー比較部２８と、フロー特徴リスト格納部２９とを備えている。

この不正アクセス遮断装置８０において、受信部２６は、ネットワーク３からサーバ４に宛てられたトラフィックを受信し、トラフィックを構成するデータパケットのヘッダに含まれるポート番号ごとにトラフィックを分離し、パケット長平均値算出部２１、パケット長分散値算出部２２、パケット到着時間間隔平均値算出部２３、パケット到着時間間隔分散値算出部２４、及びポート番号検出部２５にそのトラフィックのコピーを転送するとともに、そのトラフィックを送信部２７に転送する。パケット長平均値算出部２１、パケット長分散値算出部２２、パケット到着時間間隔平均値算出部２３、パケット到着時間間隔分散値算出部２４、及びポート番号検出部２５は、それぞれ、第１の実施形態の不正アクセス遮断装置２における場合と同じ処理を実行する。

フロー特徴リスト格納部２９は、ポート番号ごとに、そのポート番号と、パケット長平均値の期待値と、パケット長分散値の期待値と、パケット到着時間間隔平均値の期待値と、パケット到着時間間隔分散値の期待値とによって定義される振る舞いの期待値のリストを保持する。上述のようにこの不正アクセス遮断装置８０では、パケット長平均値、パケット長分散値、到着時間間隔平均値、及び到着時間間隔分散値をまとめてトラフィックの「振る舞い」と呼ぶ。

フロー比較部２８は、通知されたパケット長平均値、パケット長分散値、パケット到着時間間隔平均値、パケット到着時間間隔分散値、ポート番号をフロー特徴リスト格納部２９に保持してある振る舞い期待値のリストと比較し、トラフィックの転送または廃棄の指示を送信部２７に出す。第１の実施形態の場合と同様に、通知されてきた内容がリスト内の期待値の範囲内である場合には、正規のトラフィックと判断できるので、フロー比較部２８は、トラフィックの転送を指示し、そうでないでない場合には、トラフィックの廃棄を指示する。この際、フロー比較部２８は、指示内容を保守者へと通知する。

送信部２７は、フロー比較部２８の指示に従い、受信部２６から転送されてきたトラフィックのサーバ４への転送または廃棄を行う。

図９は、この不正アクセス遮断装置８０の動作を説明するフローチャートである。ステップＡ１ａにおいて受信部２６がトラフィックを受信すると、受信部２６は、受信したトラフィックを構成する各パケットのコピーをパケット長平均値算出部２１、パケット長分散値算出部２２、パケット到着時間間隔平均値算出部２３、パケット到着時間間隔分散値算出部２４及びポート番号検出部２５へ転送する。その結果、ステップＡ２ａにおいて、パケット長平均値算出部２１はパケット長平均値を算出し、パケット長分散値算出部２２はパケット長分散値を算出し、パケット到着時間間隔平均値算出部２３はパケット到着時間間隔平均値を算出し、パケット到着時間間隔分散値算出部２４はパケット到着時間間隔分散値を算出する。またポート番号検出部２５は、受信したトラフィックのデータパケットからポート番号を検出する。検出したポート番号と、算出された各平均値及び各分散値はフロー比較部２８へ通知される。

フロー比較部２８は、ステップＡ３ａにおいて、通知されたパケット長平均値、パケット長分散値、パケット到着時間間隔平均値、パケット到着時間間隔分散値及びポート番号を、フロー特徴リスト格納部２９に格納されている振る舞い期待値と比較し、ポート番号が既知であって、かつ、平均値や分散値がそのポート番号に対応した期待値の範囲内であるかどうかを判定する。ステップＡ３ａの実行後の処理、すなわち、ステップＡ４〜Ａ１０についての処理は、第１の実施形態の場合と同じであるから、説明を省略する。

図８に示す不正アクセス遮断装置８０においても、ポート番号とそのポート番号に定義づけられたトラフィックの振る舞いに基づいて、不正トラフィックを検出する。したがって、ポート番号を詐称した不正なトラフィックも検出が可能である。また、暗号化やカプセル化されたトラフィックについても、期待した振る舞いと異なる場合には不正トラフィックとして検出することができる。

図１０に示す不正アクセス遮断装置９０は、図８に示した不正アクセス遮断装置８０と同様のものであるが、端末１からの申告によってフロー特徴リストに振る舞い期待値を追加登録するフロー申請受付部４１を備えている点で、図８に示した不正アクセス遮断装置８０と異なっている。

フロー申請受付部４１は、端末１からトラフィックの振る舞い期待値の申請を受ける機能を持つ。トラフィックの振る舞い期待値の申請を受け付けたフロー申請受付部４１は、期待値をフロー特徴リスト格納部２９に登録する。フロー申請受付部４１は、フロー特徴リストから、特定のポート番号に係る期待値を削除する機能を備えていてもよい。

不正アクセス遮断装置９０において、フロー申請受付部４１の以外の動作は上述の不正アクセス遮断装置８０の動作と同等なので、説明を省略する。不正アクセス遮断装置９０によれば、端末１が振る舞い期待値を申請できるので、保守者の介在なしに新たなトラフィックの登録が可能である。

以上説明した各不正アクセス遮断装置は、それを実現するためのコンピュータプログラムを、サーバ用コンピュータなどのコンピュータに読み込ませ、そのプログラムを実行させることによっても実現できる。上述したようにして不正アクセスの検出と遮断を行うためのプログラムは、ＣＤ−ＲＯＭなどの記録媒体によって、あるいはネットワークを介してコンピュータに読み込まれる。

そのようなコンピュータは、一般に、ＣＰＵ（中央処理装置）と、プログラムやデータを格納するためのハードディスク装置と、主メモリと、キーボードやマウスなどの入力装置と、液晶ディスプレイなどの表示装置と、ＣＤ−ＲＯＭ等の記録媒体を読み取る読み取り装置と、ネットワークなどに接続するための通信インタフェースと、から構成されている。このコンピュータは、不正アクセスの検出と遮断を行うためのプログラムを格納した記録媒体を読み取り装置に装着し、記録媒体からプログラムを読み出してハードディスク装置に格納し、ハードディスク装置に格納されたプログラムをＣＰＵが実行することにより、あるいはそのようなプログラムをネットワーク経由でハードディスク装置に格納してそのプログラムをＣＰＵが実行することにより、上述した不正アクセス遮断装置として機能することになる。

本発明の第１の実施形態の不正アクセス遮断装置の構成を示すブロック図である。 図１に示した不正アクセス遮断装置での処理を示すフローチャートである。 本発明の第２の実施形態の不正アクセス遮断装置の構成を示すブロック図である。 本発明の第３の実施形態の不正アクセス遮断装置の構成を示すブロック図である。 本発明の第４の実施形態の不正アクセス遮断装置の構成を示すブロック図である。 本発明の第５の実施形態の不正アクセス遮断装置の構成を示すブロック図である。 図６に示した不正アクセス遮断装置での処理を示すフローチャートである。 本発明の別の実施形態の不正アクセス遮断装置の構成を示すブロック図である。 図８に示した不正アクセス遮断装置での処理を示すフローチャートである。 本発明のさらに別の実施形態の不正アクセス遮断装置の構成を示すブロック図である。

符号の説明

１ 端末
２，３０，５０，６０，７０，８０，９０ 不正アクセス遮断装置
３ ネットワーク
４ サーバ
２１ パケット長平均値算出部
２２ パケット長分散値算出部
２３ パケット到着時間間隔平均値算出部
２４ パケット到着時間間隔分散値算出部
２５ ポート番号検出部
２６ 受信部
２７ 送信部
２８ フロー比較部
２９ フロー特徴リスト格納部
３０ パケット長種類数算出部
３１ ＰＵＳＨパケット出現率算出部
３２ バースト長平均値算出部
３３ バースト長分散値算出部
３４ バースト到着時間間隔平均値算出部
３５ バースト到着時間間隔分散値算出部
４１ フロー申請受付部
５１ 被疑トラフィック抽出部
５２ 被疑トラフィック条件格納部
６１ ビットパタン格納部
６２ ビットパタン検出部
６３ 暗号化トラフィック分離部
７１ 期待値学習部

Claims (34)

1. ネットワークを介した不正トラフィックを検出する不正アクセス検出方法であって、
   あらかじめトラフィックの種別ごとの振る舞いの期待値を格納する段階と、
   前記ネットワークを介して通信を行う際に、個々のトラフィックを分離する段階と、
   分離した個々のトラフィックの振る舞いを測定する段階と、
   測定された振る舞いと、前記振る舞いの期待値とを比較する段階と、
   比較した結果から不正トラフィックを判別する段階と、
   を有する不正アクセス検出方法。
2. 前記トラフィックの振る舞いを測定する段階において、当該トラフィックを構成するデータパケットにおけるパケット長及びパケット到着時間間隔に関する基本統計量パラメータを測定する、請求項１に記載の不正アクセス検出方法。
3. 前記基本統計量パラメータは、前記トラフィックを構成するデータパケットのパケット長の平均値、パケット長の分散値、パケット到着時間間隔の平均値、及びパケット到着時間間隔の分散値を含む、請求項２に記載の不正アクセス検出方法。
4. 前記トラフィックの振る舞いを測定する段階において、当該トラフィックを構成するデータパケットのパケット長の種類数を測定する、請求項１に記載の不正アクセス検出方法。
5. 前記トラフィックの振る舞いを測定する段階において、ＴＣＰフラグにＰＵＳＨビットがセットされたパケットの出現率を測定する、請求項１に記載の不正アクセス検出方法。
6. 前記トラフィックの振る舞いを測定する段階において、連続して送信された複数のデータパケット群をバーストとして観測し、バースト長及びバースト到着時間間隔に関する基本統計量パラメータを測定する、請求項１に記載の不正アクセス検出方法。
7. 前記基本統計量パラメータは、前記観測されたバーストのバースト長の平均値、バースト長の分散値、バースト到着時間間隔の平均値、及びバースト到着時間間隔の平均値の分散値を含む、請求項６に記載の不正アクセス検出方法。
8. 前記トラフィックを分離する段階において、当該トラフィックを構成するデータパケットに含まれるアプリケーションの識別子を用いてトラフィックを分離する、請求項１乃至７のいずれか１項に記載の不正アクセス検出方法。
9. アプリケーションの識別子に基づいてトラフィックの種別が判別される、請求項８に記載の不正アクセス検出方法。
10. 前記アプリケーションの識別子はポート番号である、請求項８または９に記載の不正アクセス検出方法。
11. 前記トラフィックを分離する段階において、当該トラフィックを構成するデータパケットに含まれる送信端末と受信端末の識別子を用いてトラフィックを分離する、請求項１乃至７のいずれか１項に記載の不正アクセス検出方法。
12. 前記トラフィックを分離する段階において、当該トラフィックを構成するデータパケットに含まれるトラフィックまたは端末の集合の識別子を用いてトラフィックを分離する、請求項１乃至７のいずれか１項に記載の不正アクセス検出方法。
13. 外部端末から事前または事後にトラフィックの種別ごとの振る舞いの期待値を登録及び／または削除する段階をさらに有する、請求項１乃至１２のいずれか１項に記載の不正アクセス検出方法。
14. 個々のトラフィックにおける単位時間あたりの受信パケット数を測定し閾値を超えたトラフィックを不正トラフィックの可能性がある被疑トラフィックとし、該被疑トラフィックに対し、前記測定する段階と、前記比較する段階と、前記判別する段階を実行する、請求項１乃至１２のいずれか１項に記載の不正アクセス検出方法。
15. 前記個々に分離されたトラフィックを暗号化トラフィックと非暗号化トラフィックとに分離する段階と、
    前記暗号化トラフィックに対して前記測定する段階と、前記比較する段階と、前記判別する段階を実行する段階と、
    前記非暗号化トラフィックに対し、あらかじめ登録されたビットパタンを当該非暗号化トラフィックから検出することによって不正アクセス検出を行う段階と、
    をさらに有する、請求項１乃至１２のいずれか１項に記載の不正アクセス検出方法。
16. 新規のトラフィックを検出した場合に、そのトラフィックの振る舞いを測定した結果を集計して前記新規のトラフィックの振る舞い期待値を生成する段階をさらに有する、請求項１乃至１２のいずれか１項に記載の不正アクセス検出方法。
17. ネットワークを介した不正トラフィックを検出する不正アクセス検出装置であって、
    前記ネットワークからトラフィックを受信する受信手段と、
    受信した個々のトラフィックの振る舞いを測定する測定手段と、
    前記測定手段による測定結果に応じて、個々のトラフィックが不正トラフィックか否かを識別する識別手段と、
    を有する不正アクセス検出装置。
18. ネットワークを介した不正トラフィックを検出する不正アクセス検出装置であって、
    あらかじめトラフィックの種別ごとの振る舞いの期待値を格納する格納手段と、
    前記ネットワークを介してトラフィックを受信し、個々のトラフィックに分離する受信手段と、
    分離した個々のトラフィックの振る舞いを測定する測定手段と、
    測定された振る舞いと、前記格納手段に格納された期待値とを比較し、比較した結果から不正トラフィックを判別する比較手段と、
    を有する不正アクセス検出装置。
19. 前記測定手段は、個々のトラフィックを構成するデータパケットにおけるパケット長及びパケット到着時間間隔に関する基本統計量パラメータを測定する、請求項１８に記載の不正アクセス検出装置。
20. 前記基本統計量パラメータは、前記トラフィックを構成するデータパケットのパケット長の平均値、パケット長の分散値、パケット到着時間間隔の平均値、及びパケット到着時間間隔の分散値を含む、請求項１９に記載の不正アクセス検出装置。
21. 前記測定手段は、個々のトラフィックを構成するデータパケットのパケット長の種類数を測定する、請求項１８に記載の不正アクセス検出装置。
22. 前記測定手段は、個々のトラフィックを構成するデータパケットのうち、ＴＣＰフラグにＰＵＳＨビットがセットされたパケットの出現率を測定する、請求項１８に記載の不正アクセス検出装置。
23. 前記測定手段は、連続して送信された複数のデータパケット群をバーストとして観測し、バースト長及びバースト到着時間間隔に関する基本統計量パラメータを測定する、請求項１８に記載の不正アクセス検出装置。
24. 前記基本統計量パラメータは、前記観測されたバーストのバースト長の平均値、バースト長の分散値、バースト到着時間間隔の平均値、及びバースト到着時間間隔の平均値の分散値を含む、請求項２３に記載の不正アクセス検出装置。
25. 前記受信手段は、トラフィックを構成するデータパケットに含まれるアプリケーションの識別子を用いてトラフィックを分離する、請求項１８乃至２４のいずれか１項に記載の不正アクセス検出装置。
26. アプリケーションの識別子に基づいてトラフィックの種別が定められる、請求項２５に記載の不正アクセス検出装置。
27. 前記アプリケーションの識別子はポート番号である、請求項２５または２６に記載の不正アクセス検出装置。
28. 前記格納手段に対してトラフィックの種別ごとの振る舞いの期待値を登録及び／または削除する手段をさらに備える、請求項１８乃至２７のいずれか１項に記載の不正アクセス検出装置。
29. 個々のトラフィックにおける単位時間あたりの受信パケット数を測定し閾値を超えたトラフィックを不正トラフィックの可能性がある被疑トラフィックとし、該被疑トラフィックを前記測定手段に転送する手段をさらに備える、請求項１８乃至２７のいずれか１項に記載の不正アクセス検出装置。
30. あらかじめ登録されたビットパタンを検出するビットパタン検出手段と、
    前記個々に分離されたトラフィックを暗号化トラフィックと非暗号化トラフィックとに分離し、前記暗号化トラフィックを前記測定手段に転送し、前記非暗号化トラフィックを前記ビットパタン検出手段に転送する手段と、
    をさらに備える、請求項１８乃至２７のいずれか１項に記載の不正アクセス検出装置。
31. 新規のトラフィックを検出した場合に、そのトラフィックの振る舞いを測定した結果を集計して前記新規のトラフィックの振る舞い期待値を生成する手段をさらに備える、請求項１８乃至２７のいずれか１項に記載の不正アクセス検出装置。
32. ネットワークを介した不正トラフィックを遮断する不正アクセス遮断方法であって、
    請求項１乃至１６のいずれか１項に記載の不正アクセス検出方法を実施して個々のトラフィックごとに不正なものかそうでないかを判別する段階と、
    不正と判断されたトラフィックを遮断する段階と、
    を有する、不正アクセス遮断方法。
33. ネットワークを介した不正トラフィックを遮断する不正アクセス遮断装置であって、
    請求項１７乃至３１のいずれか１項に記載の不正アクセス検出装置と、
    前記不正アクセス検出装置によって不正と判断されたトラフィックを遮断する手段と、
    を有する、不正アクセス遮断装置。
34. コンピュータを、
    あらかじめトラフィックの種別ごとの振る舞いの期待値を格納する格納手段、
    前記ネットワークを介してトラフィックを受信し、個々のトラフィックに分離する受信手段、
    分離した個々のトラフィックの振る舞いを測定する測定手段、
    測定された振る舞いと、前記格納手段に格納された期待値とを比較し、比較した結果から不正トラフィックを判別する比較手段、
    として機能させるプログラム。

Images