JP3689079B2 - パケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法 - Google Patents
パケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法 Download PDFInfo
- Publication number
- JP3689079B2 JP3689079B2 JP2002307124A JP2002307124A JP3689079B2 JP 3689079 B2 JP3689079 B2 JP 3689079B2 JP 2002307124 A JP2002307124 A JP 2002307124A JP 2002307124 A JP2002307124 A JP 2002307124A JP 3689079 B2 JP3689079 B2 JP 3689079B2
- Authority
- JP
- Japan
- Prior art keywords
- packet
- unauthorized access
- determined
- access history
- detailed information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ネットワークセグメント間でパケットを転送するパケット転送装置、およびパケット転送装置の不正アクセス検知時に於ける情報通知方法に関する。
【０００２】
【従来の技術】
複数のネットワークセグメントに接続され、ネットワークセグメント間でパケットを転送するパケット転送装置に於いて、パケット転送装置が不正アクセスに関わるパケットを検知した場合の管理者への通知方法として、不正アクセスを検知する度に管理者に通知を行なうという方法、不正アクセスを検知した際に管理者に一度だけ通知を行なうという方法、不正アクセスの種類毎に一度だけ通知を行なう方法等が考えられる。
【０００３】
しかしながら、不正アクセスを検知する度に管理者に通知を行なう方法は、例えば同一送信者から同一の不正アクセス方法で不正アクセスを大量に受けた場合、管理者に大量の通知が届いてしまうことから、管理者が本来必要とする情報を容易に把握できないという問題がある。
【０００４】
また、管理者に一度だけ通知を行なう方法は、同一の不正アクセス方法で複数の送信先から不正アクセスがあった場合であっても、管理者への通知が一度しか行なわれないことから、管理者が不正アクセスの情報（実態）を正確に把握できないという問題がある。
【０００５】
また、管理者に、不正アクセスの種類毎に一度だけ通知を行なう方法は、パケット転送装置の複数の転送先に同一のアクセス方法で不正アクセスがあった場合であっても、管理者への通知が一度しか行なわれないことから、管理者が不正アクセスの情報（実態）を正確に把握できないという問題がある。
【０００６】
【発明が解決しようとする課題】
上述したように従来では、パケット転送装置に於いて不正アクセスに関わるパケットを検知した場合の管理者への通知機能に於いて、管理者が不正アクセスの実態を容易にかつ正確に把握できる有効な通知機能が存在しなかった。
【０００７】
本発明は上記実情に鑑みなされたもので、不正アクセスに関わるパケットを検知した場合に、その不正アクセスの実態を管理者が効率よく正確に把握できるパケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法を提供することを目的とする。
【０００８】
【課題を解決するための手段】
本発明は、パケット転送装置の不正アクセス検知機構に於いて、不正アクセスに関わるパケットを検知した際の管理者への通知に際し、通知する情報の有用性を判定し、有用な情報のみを管理者に通知する処理を介在したことを特徴とする。
【０００９】
即ち、本発明は、ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定するパケット解析手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットを破棄するパケット通過処理手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットの存在及び詳細情報を不正アクセス履歴として記録する不正アクセス履歴記録手段とを具備したパケット転送装置に於いて、前記パケット解析手段に、前記ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであることを判定した際、前記不正アクセス履歴記録手段に記録された不正アクセス履歴を参照して、前記不正アクセスに関わるパケットであると判定したパケットの送信元が、過去に存在する不正パケットの送信元であるか否かを判定する判定手段と、前記判定手段が過去に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び前記不正アクセスに関わるパケットの詳細情報を外部の機器に通知する通知手段とを具備したことを特徴とする。
【００１０】
また、本発明は、ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定するパケット解析手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットを破棄するパケット通過処理手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットの存在及び詳細情報を不正アクセス履歴として記録する不正アクセス履歴記録手段とを具備したパケット転送装置に於いて、前記パケット解析手段に、前記ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであることを判定した際、前記不正アクセス履歴記録手段に記録された不正アクセス履歴を参照して、前記不正アクセスに関わるパケットであると判定したパケットの送信先が、過去に存在する不正パケットの送信先であるか否かを判定する判定手段と、前記判定手段が過去に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び前記不正アクセスに関わるパケットの詳細情報を外部の機器に通知する通知手段とを具備したことを特徴とする。
【００１１】
また、本発明は、前記パケット転送装置に於いて、前記判定手段は、前記不正アクセス履歴記録手段に記録された、過去の一定時間内の不正アクセス履歴を参照して判定を行うことを特徴とする。
【００１２】
また、本発明は、前記パケット転送装置に於いて、前記判定手段は、前記不正アクセス履歴記録手段に記録された不正アクセス履歴から、設定された任意のタイミング以降の不正アクセス履歴を参照して判定を行うことを特徴とする。
【００１３】
また、本発明は、前記パケット転送装置に於いて、前記パケット解析手段は、前記通知手段による通知が成功しない際に、該当する不正アクセスに関わるパケットの存在及び詳細情報を、以降に前記判定手段が参照する不正アクセス履歴から除外する制御手段を具備したことを特徴とする。
【００１４】
また、本発明は、前記パケット転送装置に於いて、前記パケット解析手段は、前記通知手段が不正アクセスに関わるパケットの存在及び詳細情報を外部の機器に通知する際、当該通知の対象となる詳細情報をもとに通知先となる外部の機器を決定する手段を具備したことを特徴とする。
【００１５】
また、本発明は、パケット転送装置の不正アクセス検知時に於ける情報通知方法に於いて、ネットワークセグメントの間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットであると判定した際に、当該パケットを破棄するステップと、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を不正アクセス履歴として記録するステップと、前記不正アクセスに関わるパケットであると判定したパケットについて、前記記録した不正アクセス履歴のすべて若しくは一部を参照して、過去の不正アクセス履歴に存在しない不正パケットの送信元であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を外部の機器に通知するステップとを具備したことを特徴とする。
【００１６】
また、本発明は、パケット転送装置の不正アクセス検知時に於ける情報通知方法に於いて、ネットワークセグメントの間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットであると判定した際に、当該パケットを破棄するステップと、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を不正アクセス履歴として記録するステップと、前記不正アクセスに関わるパケットであると判定したパケットについて、前記記録した不正アクセス履歴のすべて若しくは一部を参照して、過去の不正アクセス履歴に存在しない不正パケットの送信先であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を外部の機器に通知するステップとを具備したことを特徴とする。
【００１７】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態を説明する。
【００１８】
図１は本発明に係るパケット転送装置を用いたネットワークシステムの構成を示すブロック図である。
【００１９】
図１に於いて、パケット転送装置１０は、複数のクライアント計算機が接続されたネットワークセグメント（クライアント側のネットワークセグメント）１００と、複数のサーバ計算機２０，２０，…が接続されたネットワークセグメント（サーバ側のネットワークセグメント）２００との間に接続され、クライアント側のネットワークセグメント１００とサーバ側のネットワークセグメント２００との間の通信時に於いて、パケットを転送する機能をもつ。
【００２０】
図２は上記パケット転送装置１０の構成を示すブロック図である。
【００２１】
パケット転送装置１０には、図２に示すように、それぞれ異なるネットワークセグメントを接続対象とした２つのパケット送受信部１１，１２と、不正アクセスに関わるパケットを検知するパケット解析機構１３とが設けられる。
【００２２】
パケット転送装置１０に於いて、パケット送受信部１１は、クライアント側のネットワークセグメント１００に接続され、パケット送受信部１２は、サーバ側のネットワークセグメント２００に接続される。
【００２３】
パケット送受信部１１は、クライアント側のネットワークセグメント１００からパケットを受信すると、その受信したパケットをパケット解析機構１３に送出する。
【００２４】
パケット解析機構１３は、パケット送受信部１１で受信したパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットでなければ、そのパケットをパケット送受信部１２に渡す。パケット送受信部１２はパケット解析機構１３を介して受けたパケットをサーバ側のネットワークセグメント２００へ送出する。
【００２５】
また、パケット解析機構１３に於いて、パケット送受信部１１で受信したパケットが不正アクセスに関わるパケットであると判定した際は、そのパケットをパケット送受信部１２に渡さずに廃棄して、不正アクセスに関わるパケットであると判定したパケットの通過を防ぐ。
【００２６】
パケット送受信部１２は、サーバ側のネットワークセグメント２００からパケットを受信すると、その受信したパケットをパケット送受信部１１に渡す。パケット送受信部１１はパケット送受信部１２より受けたパケットをクライアント側のネットワークセグメント１００へ送出する。
【００２７】
図３は上記図２に示したパケット解析機構１３の構成要素を示すブロック図である。
【００２８】
パケット解析機構１３には、図３に示すように、パケット解析処理部１３１、パケット通過処理部１３２、不正アクセス履歴保持部１３３、不正アクセス情報通知部１３４等が設けられる。この図３に示す各構成要素はソフトウェアにより実現されるもので、ここでは、不正アクセス履歴保持部１３３が不正アクセス履歴を記録する記録部を有し、この記録部上でパケット解析処理部１３１の指示に従い不正アクセス履歴を記録し更新し管理する処理機能をもつものとする。
【００２９】
パケット解析処理部１３１は、パケット送受信部１１が受信したパケットのデータを解析し、不正アクセスに関わるパケットであるか否かを判定する。不正アクセスに関わるパケットであると判定した場合は、その旨をパケット通過処理部１３２、不正アクセス履歴保持部１３３、及び不正アクセス情報通知部１３４に通知する処理機能をもつ。更に、その不正アクセスに関わるパケットの存在及び詳細情報（不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等）を不正アクセス履歴として不正アクセス履歴保持部１３３に通知するとともに、不正アクセス履歴保持部１３３を参照して、上記不正アクセスに関わるパケットの検知情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定し、情報通知をすべきであると判定した場合は、その旨を不正アクセス情報通知部１３４に通知する処理機能をもつ。
【００３０】
パケット通過処理部１３２は、パケット送受信部１１が受信したパケットについて、パケット解析処理部１３１に問い合わせ、その問い合わせた結果に従い、受信したパケットを転送するか否か（パケット送受信部１２に渡すか否か）を制御するパケット転送制御処理機能をもつ。
【００３１】
不正アクセス履歴保持部１３３は、パケット解析処理部１３１が不正アクセスに関わるパケットであると判定した場合に、そのパケットの受信時刻や送信元、送信先等の詳細情報を不正アクセス履歴として記録する機能をもつ。
【００３２】
不正アクセス情報通知部１３４は、パケット解析処理部１３１が情報通知すべきと判定した場合に、不正アクセス履歴保持部１３３で保持する不正アクセスに関わる詳細情報（不正アクセスの情報）を監視を行う所定の計算機に通知する機能をもつ。
【００３３】
図４は上記不正アクセス履歴保持部１３３に記録された不正アクセス履歴の一例を示す図である。
【００３４】
パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定した場合、不正アクセス履歴保持部１３３に、不正アクセス履歴として、上記不正アクセスに関わるパケットの受信日時、及び送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を通知する。不正アクセス履歴保持部１３３は上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する。尚、図４に示す不正アクセス履歴の記録例では、上記詳細情報に対応して、後述する識別子１及び識別子２が記録される。
【００３５】
図５乃至図７はそれぞれ本発明の第１実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図５はパケット転送時の不正アクセス検知処理手順を示すフローチャート、図６は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャート、図７は不正アクセス検知時の情報通知処理手順を示すフローチャートである。
【００３６】
図８及び図９はそれぞれ本発明の第２実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図８は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャート、図９は不正アクセス検知時の情報通知処理手順を示すフローチャートである。尚、この第２実施形態に於いて、パケット転送時の不正アクセス検知処理手順については、図５に示す第１実施形態の不正アクセス検知処理手順と同様であるので同図を援用する。
【００３７】
図１０及び図１１はそれぞれ本発明の第３実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１０は不正アクセス履歴に識別子１を付加する処理手順を示すフローチャート、図１１は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００３８】
図１２及び図１３はそれぞれ本発明の第４実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１２は不正アクセス履歴に識別子１を付加する処理手順を示すフローチャート、図１３は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００３９】
図１４及び図１５はそれぞれ本発明の第５実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１４は不正アクセス監視を行う指定計算機への情報通知エラー時の処理手順を示すフローチャート、図１５は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００４０】
図１６は本発明の第６実施形態に於ける不正アクセス情報通知先計算機一覧の構成例を示す図である。図１７は本発明の第６実施形態に於ける不正アクセス情報をもとにした通知先振り分け処理の手順を示すフローチャートである。
【００４１】
ここで、上記各図を参照して本発明の第１乃至第６実施形態に於ける不正アクセス検知時の情報通知処理動作を説明する。
【００４２】
先ず、図１乃至図７を参照して本発明の第１実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第１実施形態では、パケット転送装置１０のパケット送受信部１１で受信した不正アクセスに関わるパケットであると判定したパケットについて、そのパケットの送信元が、過去の不正アクセス履歴に存在しない不正パケットの送信元であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知する機能を実現している。
【００４３】
パケット転送装置１０は、パケット転送時に於いて、図５に示すような不正アクセス検知処理を実行する。
【００４４】
パケット転送装置１０に於いて、パケット送受信部１１がクライアント側のネットワークセグメント１００からパケットを受信すると、パケット解析機構１３のパケット通過処理部１３２は、当該受信パケットが不正アクセスに関わるパケットであるか否かをパケット解析処理部１３１に問い合わせる（図５ステップＳ１０１）。
【００４５】
パケット解析処理部１３１は、パケット送受信部１１が受信したパケットのデータを解析し、不正アクセスに関わるパケットであるか否かを判定して（図５ステップＳ１０２，Ｓ１０３）、その判定結果をパケット通過処理部１３２に通知する（図５ステップＳ１０４，Ｓ１０６）。
【００４６】
ここで、パケット通過処理部１３２は、パケット解析処理部１３１から不正アクセスに関わるパケットである旨の判定結果を受けると（図５ステップＳ１０３Ｙｅｓ）、その判定結果に従い上記受信した不正アクセスに関わるパケットを通過させずに廃棄する（図５ステップＳ１０５）。
【００４７】
また、パケット解析処理部１３１から不正アクセスに関わるパケットでない旨の判定結果を受けると（図５ステップＳ１０３ Ｎｏ）、その判定結果に従い上記受信したパケットを通過させてパケット送受信部１２に渡す（図５ステップＳ１０７）。パケット送受信部１２はパケット解析機構１３を介して受けたパケットをサーバ側のネットワークセグメント２００へ送出する。
【００４８】
上記したパケット転送装置１０のパケット転送処理に於いて、パケット解析機構１３が不正アクセスに関わるパケットを検知した際、図６に示すような不正アクセス履歴参照処理を実行する。
【００４９】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図６ステップＳ２０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図６ステップＳ２０２）。
【００５０】
不正アクセス履歴保持部１３３はパケット解析処理部１３１から上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図６ステップＳ２０３）。
【００５１】
上記パケット解析処理部１３１は、上記不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、その不正アクセスに関わるパケットであると判定したパケットの送信元が、過去に存在する不正パケットの送信元であるか否か（受信した不正アクセスに関わるパケットの送信元と同一送信元の不正アクセスが過去にあったか否か）を判定する（図６ステップＳ２０４）。
【００５２】
即ち、パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、上記不正アクセスに関わるパケットの情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定する。
【００５３】
ここで、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信元が、過去の不正アクセスに関わるパケットに存在しないことを確認すると、即ち情報通知をする不正アクセスであることを判定すると（図７ステップＳ２０５ Ｙｅｓ）、その判定結果を不正アクセス情報通知部１３４に通知する（図７ステップＳ２０６）。
【００５４】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から、情報通知をする旨の判定結果を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報（不正アクセスの情報）を所定の外部監視機器（指定計算機）に通知する（図７ステップＳ２０７）。
【００５５】
また、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信元が、過去の不正アクセスに関わるパケットに存在することを確認すると、即ち情報通知をする不正アクセスでないことを判定すると（図７ステップＳ２０５ Ｎｏ）、上記不正アクセスに関わるパケットの情報通知を行わず（図７ステップＳ２０８）、この情報通知処理を終了する。
【００５６】
これにより、パケット転送装置１０が不正アクセスを検知した場合、過去に不正アクセスを受けたことがないパケットの送信元ならば、指定の計算機に、パケットの受信時刻や、送信元、送信先等の詳細情報を通知することが可能となる。つまり、不正アクセスに関わるパケットの送信元が、過去に受けた不正アクセスに関わるパケットの送信元と同じであれば、情報通知を行なわない。
【００５７】
次に、図１乃至図５と、図８及び図９を参照して本発明の第２実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第２実施形態では、パケット転送装置１０のパケット送受信部１１で受信した不正アクセスに関わるパケットであると判定したパケットについて、そのパケットの送信先が、過去の不正アクセス履歴に存在しない不正パケットの送信先であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知する機能を実現している。
【００５８】
パケット転送装置１０は、パケット転送時に於いて、図５に示すような不正アクセス検知処理を実行する。この処理については上記した第１実施形態に於いて既に説明しているので、ここではその説明を省略する。
【００５９】
上記したパケット転送装置１０のパケット転送処理に於いて、パケット解析機構１３が不正アクセスに関わるパケットを検知した際、図８に示すような不正アクセス履歴参照処理を実行する。
【００６０】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図８ステップＳ３０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図８ステップＳ３０２）。
【００６１】
不正アクセス履歴保持部１３３はパケット解析処理部１３１から上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図８ステップＳ３０３）。
【００６２】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、その不正アクセスに関わるパケットであると判定したパケットの送信先が、過去に存在する不正パケットの送信先であるか否か（受信した不正アクセスに関わるパケットの送信先と同一送信先の不正アクセスが過去にあったか否か）を判定する（図８ステップＳ３０４）。
【００６３】
即ち、パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、上記不正アクセスに関わるパケットの情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定する。
【００６４】
ここで、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信先が、過去の不正アクセスに関わるパケットに存在しないことを確認すると、即ち情報通知をする不正アクセスであることを判定すると（図９ステップＳ３０５ Ｙｅｓ）、その判定結果を不正アクセス情報通知部１３４に通知する（図９ステップＳ３０６）。
【００６５】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から、情報通知をする旨の判定結果を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報（不正アクセスの情報）を所定の外部監視機器（指定計算機）に通知する（図９ステップＳ３０７）。
【００６６】
また、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信先が、過去の不正アクセスに関わるパケットに存在することを確認すると、即ち情報通知をする不正アクセスでないことを判定すると（図９ステップＳ３０５ Ｎｏ）、上記不正アクセスに関わるパケットの情報通知を行わず（図９ステップＳ３０８）、この情報通知処理を終了する。
【００６７】
これにより、パケット転送装置１０が不正アクセスを検知した場合、過去に不正アクセスを受けたことがないパケットの送信先ならば、指定の計算機に、パケットの受信時刻や、送信元、送信先等の詳細情報を通知することが可能となる。つまり、不正アクセスに関わるパケットの送信先が、過去に受けた不正アクセスに関わるパケットの送信先と同じであれば、情報通知を行なわない。
【００６８】
次に、図１乃至図４と、図１０及び図１１を参照して本発明の第３実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第３実施形態では、パケット転送装置１０に設けられたパケット解析機構１３が、不正アクセス履歴保持部１３３に記録された、過去の一定時間内の不正アクセス履歴を参照して情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。即ち、現在からｘ日以内、ｘ時間以内等、過去の一定時間内を監視の対象として、情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。
【００６９】
パケット転送装置１０のパケット解析機構１３に於いて、不正アクセス履歴保持部１３３は、予め設定した一定時間の経過毎に（図１０ステップＳ４０１）、記録した不正アクセス履歴を参照して（図１０ステップＳ４０２）、識別子１が付いていない不正アクセス情報に、識別子１を付加する（図１０ステップＳ４０３）。即ち、図４に示す不正アクセス履歴の識別子１の記録部に、ｘｘ時間経過毎に、過去に記録した不正アクセス履歴に対して識別子１を付加する。
【００７０】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１１ステップＳ４０４）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１１ステップＳ４０５）。
【００７１】
不正アクセス履歴保持部１３３はパケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１１ステップＳ４０６）。
【００７２】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１１ステップＳ４０７）。
【００７３】
即ち、この第３実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００７４】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００７５】
これにより、不正アクセスに関わるパケットを検知した場合、予め設定した一定時間内に検知した不正アクセス履歴のみを参照し、情報通知すべき不正アクセスか否かを判定することが可能となる。
【００７６】
次に、図１乃至図４と、図１２及び図１３を参照して本発明の第４実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第４実施形態では、パケット転送装置１０に設けられたパケット解析機構１３が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴から、設定された任意のタイミング以降の不正アクセス履歴のみを参照して情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。即ち、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、例えば任意の操作指示時点以降の不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。
【００７７】
パケット転送装置１０のパケット解析機構１３に於いて、不正アクセス情報通知部１３４は、任意のタイミングで、不正アクセス履歴に識別子１を付加する要求を受け付けると（図１２ステップＳ５０１）、記録した不正アクセス履歴を参照して（図１２ステップＳ５０２）、識別子１が付いていない不正アクセス情報に対して、識別子１を付加する（図１２ステップＳ５０３）。
【００７８】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１３ステップＳ６０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１３ステップＳ６０２）。
【００７９】
不正アクセス履歴保持部１３３は、パケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１３ステップＳ６０３）。
【００８０】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、識別子１が付加されていない、上記操作指示された任意のタイミング以降の不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１３ステップＳ６０４）。
【００８１】
即ち、この第４実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、上記操作指示された任意のタイミング以降の、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００８２】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、上記操作指示された任意のタイミング以降の、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００８３】
これにより、不正アクセスに関わるパケットを検知した場合、上記操作指示された任意のタイミング以降に於ける若しくは設定されたタイミング以降に於ける不正アクセス履歴のみを参照して、情報通知すべき不正アクセスか否かを判定することが可能となる。
【００８４】
次に、図１乃至図４と、図１４及び図１５を参照して本発明の第５実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第５実施形態では、上記した不正アクセス情報通知部１３４による情報通知が成功しなかった場合に、その不正アクセスに関わる不正アクセスの情報を、以降の判定に参照する不正アクセス履歴から除外する機能を実現している。
【００８５】
不正アクセス情報通知部１３４が、指定の計算機に不正アクセスに関わるパケットの受信時刻や送信元、送信先等の詳細情報を通知した際（図１４ステップＳ７０１）に、その通知がエラーとなった場合（図１４ステップＳ７０２ Ｙｅｓ）、不正アクセス情報通知部１３４は、そのエラーをパケット解析処理部１３１を介して不正アクセス履歴保持部１３３に通知する（図１４ステップＳ７０３）。また、不正アクセス情報通知部１３４は、上記不正アクセスの情報が正常に通知された際は、上記エラー通知を行わず（図１４ステップＳ７０５）、このエラー処理を終了する。
【００８６】
不正アクセス履歴保持部１３３はパケット解析処理部１３１を介して上記エラー通知を受けると、記録した不正アクセス履歴を参照し、エラーした不正アクセスの情報に識別子２を付加する（図１４ステップＳ７０４）。
【００８７】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１５ステップＳ７０６）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１５ステップＳ７０７）。
【００８８】
不正アクセス履歴保持部１３３はパケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１５ステップＳ７０８）。
【００８９】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１５ステップＳ７０９）。
【００９０】
即ち、この第５実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して（情報通知の受信時にエラーのあった不正アクセス履歴を除外して）、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００９１】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００９２】
これにより、不正アクセスを検知した場合の指定計算機への情報通知がエラーになった場合、次回以降の不正アクセス検知時には、情報通知がエラーになった場合の不正アクセス履歴を参照しないようにすることが可能となる。
【００９３】
次に、図１乃至図４と、図１６及び図１７を参照して本発明の第６実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第６実施形態では、不正アクセス情報通知部１３４が情報通知を行う際に、その通知を行う情報をもとに、通知先（送信先）の計算機を決定する（振り分ける）機能を実現している。
【００９４】
この第６実施形態に於いては、図１６に示すような不正アクセス情報の通知先となる計算機の一覧情報が予め設定され、この計算機一覧を参照して不正アクセス情報の通知先計算機が決定される。この図１６に示す不正アクセス情報通知先計算機一覧１３５には、送信元、送信先等の詳細情報、不正アクセスの種類、情報通知先計算機のネットワークアドレス等が予め設定され、不正アクセスに関わるパケットの受信時刻や、送信元、送信先等の詳細情報をもとに、それぞれの記述内容をパラメータにして、不正情報通知先の計算機を指定可能にしている。
【００９５】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から情報通知の指示に従い、図１６に示す不正アクセス情報通知計算機一覧１３５を参照して、指定の計算機に不正アクセスの情報を通知する。
【００９６】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると、その旨を不正アクセス情報通知部１３４に通知する（図１７ステップＳ８０１）。不正アクセス情報通知部１３４はパケット解析処理部１３１から上記通知を受けると、図１６に示す不正アクセス情報通知計算機一覧を参照して（図１７ステップＳ８０２）、通知先計算機を決定し（図１７ステップＳ８０３）、不正アクセス情報通知計算機一覧よりネットワークアドレスを取得して、その指定計算機に不正アクセスの情報を通知する（図１７ステップＳ８０４）。
【００９７】
これにより、パケット転送装置１０が不正アクセスを検知した場合、不正アクセス情報の種類により、情報通知先の計算機を振り分けることが可能となる。
【００９８】
【発明の効果】
以上詳記したように本発明によれば、不正アクセスに関わるパケットを検知した場合に、その不正アクセスの実態を管理者が効率よく正確に把握できるパケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法が提供できる。
【図面の簡単な説明】
【図１】本発明の第１乃至第６実施形態に於けるパケット転送装置を用いたネットワークシステムの構成を示すブロック図。
【図２】上記各実施形態に於けるパケット転送装置の構成を示すブロック図。
【図３】上記各実施形態に於けるパケット解析機構の構成要素を示すブロック図。
【図４】上記各実施形態に於ける不正アクセス履歴保持部に記録された不正アクセス履歴の一例を示す図。
【図５】本発明の第１実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図６】本発明の第１実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図７】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図８】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図９】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１０】本発明の第３実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１１】本発明の第３実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１２】本発明の第４実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１３】本発明の第４実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１４】本発明の第５実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１５】本発明の第５実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１６】本発明の第６実施形態に於ける不正アクセス情報通知先計算機一覧の構成例を示す図。
【図１７】本発明の第６実施形態に於ける通知先振り分け処理の手順を示すフローチャート。
【符号の説明】
１０…パケット転送装置
１１…パケット送受信部
１２…パケット送受信部
１３…パケット解析機構
２０…サーバ
１００…クライアント側のネットワークセグメント
１３１…パケット解析処理部
１３２…パケット通過処理部
１３３…不正アクセス履歴保持部
１３４…不正アクセス情報通知部
１３５…不正アクセス情報通知計算機一覧
２００…サーバ側のネットワークセグメント
【発明の属する技術分野】
本発明は、ネットワークセグメント間でパケットを転送するパケット転送装置、およびパケット転送装置の不正アクセス検知時に於ける情報通知方法に関する。
【０００２】
【従来の技術】
複数のネットワークセグメントに接続され、ネットワークセグメント間でパケットを転送するパケット転送装置に於いて、パケット転送装置が不正アクセスに関わるパケットを検知した場合の管理者への通知方法として、不正アクセスを検知する度に管理者に通知を行なうという方法、不正アクセスを検知した際に管理者に一度だけ通知を行なうという方法、不正アクセスの種類毎に一度だけ通知を行なう方法等が考えられる。
【０００３】
しかしながら、不正アクセスを検知する度に管理者に通知を行なう方法は、例えば同一送信者から同一の不正アクセス方法で不正アクセスを大量に受けた場合、管理者に大量の通知が届いてしまうことから、管理者が本来必要とする情報を容易に把握できないという問題がある。
【０００４】
また、管理者に一度だけ通知を行なう方法は、同一の不正アクセス方法で複数の送信先から不正アクセスがあった場合であっても、管理者への通知が一度しか行なわれないことから、管理者が不正アクセスの情報（実態）を正確に把握できないという問題がある。
【０００５】
また、管理者に、不正アクセスの種類毎に一度だけ通知を行なう方法は、パケット転送装置の複数の転送先に同一のアクセス方法で不正アクセスがあった場合であっても、管理者への通知が一度しか行なわれないことから、管理者が不正アクセスの情報（実態）を正確に把握できないという問題がある。
【０００６】
【発明が解決しようとする課題】
上述したように従来では、パケット転送装置に於いて不正アクセスに関わるパケットを検知した場合の管理者への通知機能に於いて、管理者が不正アクセスの実態を容易にかつ正確に把握できる有効な通知機能が存在しなかった。
【０００７】
本発明は上記実情に鑑みなされたもので、不正アクセスに関わるパケットを検知した場合に、その不正アクセスの実態を管理者が効率よく正確に把握できるパケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法を提供することを目的とする。
【０００８】
【課題を解決するための手段】
本発明は、パケット転送装置の不正アクセス検知機構に於いて、不正アクセスに関わるパケットを検知した際の管理者への通知に際し、通知する情報の有用性を判定し、有用な情報のみを管理者に通知する処理を介在したことを特徴とする。
【０００９】
即ち、本発明は、ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定するパケット解析手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットを破棄するパケット通過処理手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットの存在及び詳細情報を不正アクセス履歴として記録する不正アクセス履歴記録手段とを具備したパケット転送装置に於いて、前記パケット解析手段に、前記ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであることを判定した際、前記不正アクセス履歴記録手段に記録された不正アクセス履歴を参照して、前記不正アクセスに関わるパケットであると判定したパケットの送信元が、過去に存在する不正パケットの送信元であるか否かを判定する判定手段と、前記判定手段が過去に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び前記不正アクセスに関わるパケットの詳細情報を外部の機器に通知する通知手段とを具備したことを特徴とする。
【００１０】
また、本発明は、ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定するパケット解析手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットを破棄するパケット通過処理手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットの存在及び詳細情報を不正アクセス履歴として記録する不正アクセス履歴記録手段とを具備したパケット転送装置に於いて、前記パケット解析手段に、前記ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであることを判定した際、前記不正アクセス履歴記録手段に記録された不正アクセス履歴を参照して、前記不正アクセスに関わるパケットであると判定したパケットの送信先が、過去に存在する不正パケットの送信先であるか否かを判定する判定手段と、前記判定手段が過去に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び前記不正アクセスに関わるパケットの詳細情報を外部の機器に通知する通知手段とを具備したことを特徴とする。
【００１１】
また、本発明は、前記パケット転送装置に於いて、前記判定手段は、前記不正アクセス履歴記録手段に記録された、過去の一定時間内の不正アクセス履歴を参照して判定を行うことを特徴とする。
【００１２】
また、本発明は、前記パケット転送装置に於いて、前記判定手段は、前記不正アクセス履歴記録手段に記録された不正アクセス履歴から、設定された任意のタイミング以降の不正アクセス履歴を参照して判定を行うことを特徴とする。
【００１３】
また、本発明は、前記パケット転送装置に於いて、前記パケット解析手段は、前記通知手段による通知が成功しない際に、該当する不正アクセスに関わるパケットの存在及び詳細情報を、以降に前記判定手段が参照する不正アクセス履歴から除外する制御手段を具備したことを特徴とする。
【００１４】
また、本発明は、前記パケット転送装置に於いて、前記パケット解析手段は、前記通知手段が不正アクセスに関わるパケットの存在及び詳細情報を外部の機器に通知する際、当該通知の対象となる詳細情報をもとに通知先となる外部の機器を決定する手段を具備したことを特徴とする。
【００１５】
また、本発明は、パケット転送装置の不正アクセス検知時に於ける情報通知方法に於いて、ネットワークセグメントの間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットであると判定した際に、当該パケットを破棄するステップと、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を不正アクセス履歴として記録するステップと、前記不正アクセスに関わるパケットであると判定したパケットについて、前記記録した不正アクセス履歴のすべて若しくは一部を参照して、過去の不正アクセス履歴に存在しない不正パケットの送信元であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を外部の機器に通知するステップとを具備したことを特徴とする。
【００１６】
また、本発明は、パケット転送装置の不正アクセス検知時に於ける情報通知方法に於いて、ネットワークセグメントの間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットであると判定した際に、当該パケットを破棄するステップと、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を不正アクセス履歴として記録するステップと、前記不正アクセスに関わるパケットであると判定したパケットについて、前記記録した不正アクセス履歴のすべて若しくは一部を参照して、過去の不正アクセス履歴に存在しない不正パケットの送信先であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を外部の機器に通知するステップとを具備したことを特徴とする。
【００１７】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態を説明する。
【００１８】
図１は本発明に係るパケット転送装置を用いたネットワークシステムの構成を示すブロック図である。
【００１９】
図１に於いて、パケット転送装置１０は、複数のクライアント計算機が接続されたネットワークセグメント（クライアント側のネットワークセグメント）１００と、複数のサーバ計算機２０，２０，…が接続されたネットワークセグメント（サーバ側のネットワークセグメント）２００との間に接続され、クライアント側のネットワークセグメント１００とサーバ側のネットワークセグメント２００との間の通信時に於いて、パケットを転送する機能をもつ。
【００２０】
図２は上記パケット転送装置１０の構成を示すブロック図である。
【００２１】
パケット転送装置１０には、図２に示すように、それぞれ異なるネットワークセグメントを接続対象とした２つのパケット送受信部１１，１２と、不正アクセスに関わるパケットを検知するパケット解析機構１３とが設けられる。
【００２２】
パケット転送装置１０に於いて、パケット送受信部１１は、クライアント側のネットワークセグメント１００に接続され、パケット送受信部１２は、サーバ側のネットワークセグメント２００に接続される。
【００２３】
パケット送受信部１１は、クライアント側のネットワークセグメント１００からパケットを受信すると、その受信したパケットをパケット解析機構１３に送出する。
【００２４】
パケット解析機構１３は、パケット送受信部１１で受信したパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットでなければ、そのパケットをパケット送受信部１２に渡す。パケット送受信部１２はパケット解析機構１３を介して受けたパケットをサーバ側のネットワークセグメント２００へ送出する。
【００２５】
また、パケット解析機構１３に於いて、パケット送受信部１１で受信したパケットが不正アクセスに関わるパケットであると判定した際は、そのパケットをパケット送受信部１２に渡さずに廃棄して、不正アクセスに関わるパケットであると判定したパケットの通過を防ぐ。
【００２６】
パケット送受信部１２は、サーバ側のネットワークセグメント２００からパケットを受信すると、その受信したパケットをパケット送受信部１１に渡す。パケット送受信部１１はパケット送受信部１２より受けたパケットをクライアント側のネットワークセグメント１００へ送出する。
【００２７】
図３は上記図２に示したパケット解析機構１３の構成要素を示すブロック図である。
【００２８】
パケット解析機構１３には、図３に示すように、パケット解析処理部１３１、パケット通過処理部１３２、不正アクセス履歴保持部１３３、不正アクセス情報通知部１３４等が設けられる。この図３に示す各構成要素はソフトウェアにより実現されるもので、ここでは、不正アクセス履歴保持部１３３が不正アクセス履歴を記録する記録部を有し、この記録部上でパケット解析処理部１３１の指示に従い不正アクセス履歴を記録し更新し管理する処理機能をもつものとする。
【００２９】
パケット解析処理部１３１は、パケット送受信部１１が受信したパケットのデータを解析し、不正アクセスに関わるパケットであるか否かを判定する。不正アクセスに関わるパケットであると判定した場合は、その旨をパケット通過処理部１３２、不正アクセス履歴保持部１３３、及び不正アクセス情報通知部１３４に通知する処理機能をもつ。更に、その不正アクセスに関わるパケットの存在及び詳細情報（不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等）を不正アクセス履歴として不正アクセス履歴保持部１３３に通知するとともに、不正アクセス履歴保持部１３３を参照して、上記不正アクセスに関わるパケットの検知情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定し、情報通知をすべきであると判定した場合は、その旨を不正アクセス情報通知部１３４に通知する処理機能をもつ。
【００３０】
パケット通過処理部１３２は、パケット送受信部１１が受信したパケットについて、パケット解析処理部１３１に問い合わせ、その問い合わせた結果に従い、受信したパケットを転送するか否か（パケット送受信部１２に渡すか否か）を制御するパケット転送制御処理機能をもつ。
【００３１】
不正アクセス履歴保持部１３３は、パケット解析処理部１３１が不正アクセスに関わるパケットであると判定した場合に、そのパケットの受信時刻や送信元、送信先等の詳細情報を不正アクセス履歴として記録する機能をもつ。
【００３２】
不正アクセス情報通知部１３４は、パケット解析処理部１３１が情報通知すべきと判定した場合に、不正アクセス履歴保持部１３３で保持する不正アクセスに関わる詳細情報（不正アクセスの情報）を監視を行う所定の計算機に通知する機能をもつ。
【００３３】
図４は上記不正アクセス履歴保持部１３３に記録された不正アクセス履歴の一例を示す図である。
【００３４】
パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定した場合、不正アクセス履歴保持部１３３に、不正アクセス履歴として、上記不正アクセスに関わるパケットの受信日時、及び送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を通知する。不正アクセス履歴保持部１３３は上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する。尚、図４に示す不正アクセス履歴の記録例では、上記詳細情報に対応して、後述する識別子１及び識別子２が記録される。
【００３５】
図５乃至図７はそれぞれ本発明の第１実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図５はパケット転送時の不正アクセス検知処理手順を示すフローチャート、図６は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャート、図７は不正アクセス検知時の情報通知処理手順を示すフローチャートである。
【００３６】
図８及び図９はそれぞれ本発明の第２実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図８は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャート、図９は不正アクセス検知時の情報通知処理手順を示すフローチャートである。尚、この第２実施形態に於いて、パケット転送時の不正アクセス検知処理手順については、図５に示す第１実施形態の不正アクセス検知処理手順と同様であるので同図を援用する。
【００３７】
図１０及び図１１はそれぞれ本発明の第３実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１０は不正アクセス履歴に識別子１を付加する処理手順を示すフローチャート、図１１は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００３８】
図１２及び図１３はそれぞれ本発明の第４実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１２は不正アクセス履歴に識別子１を付加する処理手順を示すフローチャート、図１３は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００３９】
図１４及び図１５はそれぞれ本発明の第５実施形態に於けるパケット解析機構１３の処理手順を示すフローチャートである。このうち、図１４は不正アクセス監視を行う指定計算機への情報通知エラー時の処理手順を示すフローチャート、図１５は不正アクセス検知時の不正アクセス履歴参照処理手順を示すフローチャートである。
【００４０】
図１６は本発明の第６実施形態に於ける不正アクセス情報通知先計算機一覧の構成例を示す図である。図１７は本発明の第６実施形態に於ける不正アクセス情報をもとにした通知先振り分け処理の手順を示すフローチャートである。
【００４１】
ここで、上記各図を参照して本発明の第１乃至第６実施形態に於ける不正アクセス検知時の情報通知処理動作を説明する。
【００４２】
先ず、図１乃至図７を参照して本発明の第１実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第１実施形態では、パケット転送装置１０のパケット送受信部１１で受信した不正アクセスに関わるパケットであると判定したパケットについて、そのパケットの送信元が、過去の不正アクセス履歴に存在しない不正パケットの送信元であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知する機能を実現している。
【００４３】
パケット転送装置１０は、パケット転送時に於いて、図５に示すような不正アクセス検知処理を実行する。
【００４４】
パケット転送装置１０に於いて、パケット送受信部１１がクライアント側のネットワークセグメント１００からパケットを受信すると、パケット解析機構１３のパケット通過処理部１３２は、当該受信パケットが不正アクセスに関わるパケットであるか否かをパケット解析処理部１３１に問い合わせる（図５ステップＳ１０１）。
【００４５】
パケット解析処理部１３１は、パケット送受信部１１が受信したパケットのデータを解析し、不正アクセスに関わるパケットであるか否かを判定して（図５ステップＳ１０２，Ｓ１０３）、その判定結果をパケット通過処理部１３２に通知する（図５ステップＳ１０４，Ｓ１０６）。
【００４６】
ここで、パケット通過処理部１３２は、パケット解析処理部１３１から不正アクセスに関わるパケットである旨の判定結果を受けると（図５ステップＳ１０３Ｙｅｓ）、その判定結果に従い上記受信した不正アクセスに関わるパケットを通過させずに廃棄する（図５ステップＳ１０５）。
【００４７】
また、パケット解析処理部１３１から不正アクセスに関わるパケットでない旨の判定結果を受けると（図５ステップＳ１０３ Ｎｏ）、その判定結果に従い上記受信したパケットを通過させてパケット送受信部１２に渡す（図５ステップＳ１０７）。パケット送受信部１２はパケット解析機構１３を介して受けたパケットをサーバ側のネットワークセグメント２００へ送出する。
【００４８】
上記したパケット転送装置１０のパケット転送処理に於いて、パケット解析機構１３が不正アクセスに関わるパケットを検知した際、図６に示すような不正アクセス履歴参照処理を実行する。
【００４９】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図６ステップＳ２０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図６ステップＳ２０２）。
【００５０】
不正アクセス履歴保持部１３３はパケット解析処理部１３１から上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図６ステップＳ２０３）。
【００５１】
上記パケット解析処理部１３１は、上記不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、その不正アクセスに関わるパケットであると判定したパケットの送信元が、過去に存在する不正パケットの送信元であるか否か（受信した不正アクセスに関わるパケットの送信元と同一送信元の不正アクセスが過去にあったか否か）を判定する（図６ステップＳ２０４）。
【００５２】
即ち、パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、上記不正アクセスに関わるパケットの情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定する。
【００５３】
ここで、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信元が、過去の不正アクセスに関わるパケットに存在しないことを確認すると、即ち情報通知をする不正アクセスであることを判定すると（図７ステップＳ２０５ Ｙｅｓ）、その判定結果を不正アクセス情報通知部１３４に通知する（図７ステップＳ２０６）。
【００５４】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から、情報通知をする旨の判定結果を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報（不正アクセスの情報）を所定の外部監視機器（指定計算機）に通知する（図７ステップＳ２０７）。
【００５５】
また、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信元が、過去の不正アクセスに関わるパケットに存在することを確認すると、即ち情報通知をする不正アクセスでないことを判定すると（図７ステップＳ２０５ Ｎｏ）、上記不正アクセスに関わるパケットの情報通知を行わず（図７ステップＳ２０８）、この情報通知処理を終了する。
【００５６】
これにより、パケット転送装置１０が不正アクセスを検知した場合、過去に不正アクセスを受けたことがないパケットの送信元ならば、指定の計算機に、パケットの受信時刻や、送信元、送信先等の詳細情報を通知することが可能となる。つまり、不正アクセスに関わるパケットの送信元が、過去に受けた不正アクセスに関わるパケットの送信元と同じであれば、情報通知を行なわない。
【００５７】
次に、図１乃至図５と、図８及び図９を参照して本発明の第２実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第２実施形態では、パケット転送装置１０のパケット送受信部１１で受信した不正アクセスに関わるパケットであると判定したパケットについて、そのパケットの送信先が、過去の不正アクセス履歴に存在しない不正パケットの送信先であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知する機能を実現している。
【００５８】
パケット転送装置１０は、パケット転送時に於いて、図５に示すような不正アクセス検知処理を実行する。この処理については上記した第１実施形態に於いて既に説明しているので、ここではその説明を省略する。
【００５９】
上記したパケット転送装置１０のパケット転送処理に於いて、パケット解析機構１３が不正アクセスに関わるパケットを検知した際、図８に示すような不正アクセス履歴参照処理を実行する。
【００６０】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図８ステップＳ３０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図８ステップＳ３０２）。
【００６１】
不正アクセス履歴保持部１３３はパケット解析処理部１３１から上記通知を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図８ステップＳ３０３）。
【００６２】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、その不正アクセスに関わるパケットであると判定したパケットの送信先が、過去に存在する不正パケットの送信先であるか否か（受信した不正アクセスに関わるパケットの送信先と同一送信先の不正アクセスが過去にあったか否か）を判定する（図８ステップＳ３０４）。
【００６３】
即ち、パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、上記不正アクセスに関わるパケットの情報を所定の外部監視機器（指定計算機）に通知すべきか否かを判定する。
【００６４】
ここで、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信先が、過去の不正アクセスに関わるパケットに存在しないことを確認すると、即ち情報通知をする不正アクセスであることを判定すると（図９ステップＳ３０５ Ｙｅｓ）、その判定結果を不正アクセス情報通知部１３４に通知する（図９ステップＳ３０６）。
【００６５】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から、情報通知をする旨の判定結果を受けると、上記不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報（不正アクセスの情報）を所定の外部監視機器（指定計算機）に通知する（図９ステップＳ３０７）。
【００６６】
また、パケット解析処理部１３１は、不正アクセスに関わるパケットであると判定したパケットの送信先が、過去の不正アクセスに関わるパケットに存在することを確認すると、即ち情報通知をする不正アクセスでないことを判定すると（図９ステップＳ３０５ Ｎｏ）、上記不正アクセスに関わるパケットの情報通知を行わず（図９ステップＳ３０８）、この情報通知処理を終了する。
【００６７】
これにより、パケット転送装置１０が不正アクセスを検知した場合、過去に不正アクセスを受けたことがないパケットの送信先ならば、指定の計算機に、パケットの受信時刻や、送信元、送信先等の詳細情報を通知することが可能となる。つまり、不正アクセスに関わるパケットの送信先が、過去に受けた不正アクセスに関わるパケットの送信先と同じであれば、情報通知を行なわない。
【００６８】
次に、図１乃至図４と、図１０及び図１１を参照して本発明の第３実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第３実施形態では、パケット転送装置１０に設けられたパケット解析機構１３が、不正アクセス履歴保持部１３３に記録された、過去の一定時間内の不正アクセス履歴を参照して情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。即ち、現在からｘ日以内、ｘ時間以内等、過去の一定時間内を監視の対象として、情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。
【００６９】
パケット転送装置１０のパケット解析機構１３に於いて、不正アクセス履歴保持部１３３は、予め設定した一定時間の経過毎に（図１０ステップＳ４０１）、記録した不正アクセス履歴を参照して（図１０ステップＳ４０２）、識別子１が付いていない不正アクセス情報に、識別子１を付加する（図１０ステップＳ４０３）。即ち、図４に示す不正アクセス履歴の識別子１の記録部に、ｘｘ時間経過毎に、過去に記録した不正アクセス履歴に対して識別子１を付加する。
【００７０】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１１ステップＳ４０４）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１１ステップＳ４０５）。
【００７１】
不正アクセス履歴保持部１３３はパケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１１ステップＳ４０６）。
【００７２】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１１ステップＳ４０７）。
【００７３】
即ち、この第３実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００７４】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００７５】
これにより、不正アクセスに関わるパケットを検知した場合、予め設定した一定時間内に検知した不正アクセス履歴のみを参照し、情報通知すべき不正アクセスか否かを判定することが可能となる。
【００７６】
次に、図１乃至図４と、図１２及び図１３を参照して本発明の第４実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第４実施形態では、パケット転送装置１０に設けられたパケット解析機構１３が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴から、設定された任意のタイミング以降の不正アクセス履歴のみを参照して情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。即ち、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、例えば任意の操作指示時点以降の不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かの判定を行う処理機能を実現している。
【００７７】
パケット転送装置１０のパケット解析機構１３に於いて、不正アクセス情報通知部１３４は、任意のタイミングで、不正アクセス履歴に識別子１を付加する要求を受け付けると（図１２ステップＳ５０１）、記録した不正アクセス履歴を参照して（図１２ステップＳ５０２）、識別子１が付いていない不正アクセス情報に対して、識別子１を付加する（図１２ステップＳ５０３）。
【００７８】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１３ステップＳ６０１）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１３ステップＳ６０２）。
【００７９】
不正アクセス履歴保持部１３３は、パケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１３ステップＳ６０３）。
【００８０】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴を参照して、識別子１が付加されていない、上記操作指示された任意のタイミング以降の不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１３ステップＳ６０４）。
【００８１】
即ち、この第４実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、上記操作指示された任意のタイミング以降の、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００８２】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、上記操作指示された任意のタイミング以降の、識別子１が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００８３】
これにより、不正アクセスに関わるパケットを検知した場合、上記操作指示された任意のタイミング以降に於ける若しくは設定されたタイミング以降に於ける不正アクセス履歴のみを参照して、情報通知すべき不正アクセスか否かを判定することが可能となる。
【００８４】
次に、図１乃至図４と、図１４及び図１５を参照して本発明の第５実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第５実施形態では、上記した不正アクセス情報通知部１３４による情報通知が成功しなかった場合に、その不正アクセスに関わる不正アクセスの情報を、以降の判定に参照する不正アクセス履歴から除外する機能を実現している。
【００８５】
不正アクセス情報通知部１３４が、指定の計算機に不正アクセスに関わるパケットの受信時刻や送信元、送信先等の詳細情報を通知した際（図１４ステップＳ７０１）に、その通知がエラーとなった場合（図１４ステップＳ７０２ Ｙｅｓ）、不正アクセス情報通知部１３４は、そのエラーをパケット解析処理部１３１を介して不正アクセス履歴保持部１３３に通知する（図１４ステップＳ７０３）。また、不正アクセス情報通知部１３４は、上記不正アクセスの情報が正常に通知された際は、上記エラー通知を行わず（図１４ステップＳ７０５）、このエラー処理を終了する。
【００８６】
不正アクセス履歴保持部１３３はパケット解析処理部１３１を介して上記エラー通知を受けると、記録した不正アクセス履歴を参照し、エラーした不正アクセスの情報に識別子２を付加する（図１４ステップＳ７０４）。
【００８７】
その後、クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると（図１５ステップＳ７０６）、その不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴保持部１３３に通知する（図１５ステップＳ７０７）。
【００８８】
不正アクセス履歴保持部１３３はパケット解析処理部１３１より受けた、不正アクセスに関わるパケットの受信日時、及び、送信元ネットワークアドレス、送信先ネットワークアドレス、不正アクセスの種類等の詳細情報を不正アクセス履歴として記録し管理する（図１５ステップＳ７０８）。
【００８９】
上記パケット解析処理部１３１は、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して、情報通知すべき不正アクセスであるか否かを判定する（図１５ステップＳ７０９）。
【００９０】
即ち、この第５実施形態を上記した第１実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して（情報通知の受信時にエラーのあった不正アクセス履歴を除外して）、過去に同じ送信元の不正アクセスがあったか否かを判定し、過去に同じ送信元の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００９１】
また、この第３実施形態を上記した第２実施形態に適用した場合は、パケット解析処理部１３１が、不正アクセス履歴保持部１３３に記録された不正アクセス履歴のうち、識別子２が付加されていない不正アクセス履歴のみを参照して、過去に同じ送信先の不正アクセスがあったか否かを判定し、過去に同じ送信先の不正アクセスが存在しない場合に、不正アクセス情報通知部１３４に情報通知を指示する。
【００９２】
これにより、不正アクセスを検知した場合の指定計算機への情報通知がエラーになった場合、次回以降の不正アクセス検知時には、情報通知がエラーになった場合の不正アクセス履歴を参照しないようにすることが可能となる。
【００９３】
次に、図１乃至図４と、図１６及び図１７を参照して本発明の第６実施形態に於ける不正アクセス検知時の情報通知処理動作について説明する。この第６実施形態では、不正アクセス情報通知部１３４が情報通知を行う際に、その通知を行う情報をもとに、通知先（送信先）の計算機を決定する（振り分ける）機能を実現している。
【００９４】
この第６実施形態に於いては、図１６に示すような不正アクセス情報の通知先となる計算機の一覧情報が予め設定され、この計算機一覧を参照して不正アクセス情報の通知先計算機が決定される。この図１６に示す不正アクセス情報通知先計算機一覧１３５には、送信元、送信先等の詳細情報、不正アクセスの種類、情報通知先計算機のネットワークアドレス等が予め設定され、不正アクセスに関わるパケットの受信時刻や、送信元、送信先等の詳細情報をもとに、それぞれの記述内容をパラメータにして、不正情報通知先の計算機を指定可能にしている。
【００９５】
不正アクセス情報通知部１３４は、パケット解析処理部１３１から情報通知の指示に従い、図１６に示す不正アクセス情報通知計算機一覧１３５を参照して、指定の計算機に不正アクセスの情報を通知する。
【００９６】
クライアント側ネットワークセグメント１００から、サーバ側ネットワークセグメント２００へのパケット転送時に於いて、パケット解析処理部１３１は、パケット送受信部１１で受信したパケットについて、不正アクセスに関わるパケットであると判定すると、その旨を不正アクセス情報通知部１３４に通知する（図１７ステップＳ８０１）。不正アクセス情報通知部１３４はパケット解析処理部１３１から上記通知を受けると、図１６に示す不正アクセス情報通知計算機一覧を参照して（図１７ステップＳ８０２）、通知先計算機を決定し（図１７ステップＳ８０３）、不正アクセス情報通知計算機一覧よりネットワークアドレスを取得して、その指定計算機に不正アクセスの情報を通知する（図１７ステップＳ８０４）。
【００９７】
これにより、パケット転送装置１０が不正アクセスを検知した場合、不正アクセス情報の種類により、情報通知先の計算機を振り分けることが可能となる。
【００９８】
【発明の効果】
以上詳記したように本発明によれば、不正アクセスに関わるパケットを検知した場合に、その不正アクセスの実態を管理者が効率よく正確に把握できるパケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法が提供できる。
【図面の簡単な説明】
【図１】本発明の第１乃至第６実施形態に於けるパケット転送装置を用いたネットワークシステムの構成を示すブロック図。
【図２】上記各実施形態に於けるパケット転送装置の構成を示すブロック図。
【図３】上記各実施形態に於けるパケット解析機構の構成要素を示すブロック図。
【図４】上記各実施形態に於ける不正アクセス履歴保持部に記録された不正アクセス履歴の一例を示す図。
【図５】本発明の第１実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図６】本発明の第１実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図７】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図８】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図９】本発明の第２実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１０】本発明の第３実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１１】本発明の第３実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１２】本発明の第４実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１３】本発明の第４実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１４】本発明の第５実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１５】本発明の第５実施形態に於けるパケット解析機構の処理手順を示すフローチャート。
【図１６】本発明の第６実施形態に於ける不正アクセス情報通知先計算機一覧の構成例を示す図。
【図１７】本発明の第６実施形態に於ける通知先振り分け処理の手順を示すフローチャート。
【符号の説明】
１０…パケット転送装置
１１…パケット送受信部
１２…パケット送受信部
１３…パケット解析機構
２０…サーバ
１００…クライアント側のネットワークセグメント
１３１…パケット解析処理部
１３２…パケット通過処理部
１３３…不正アクセス履歴保持部
１３４…不正アクセス情報通知部
１３５…不正アクセス情報通知計算機一覧
２００…サーバ側のネットワークセグメント
Claims (11)
- ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定するパケット解析手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットを破棄するパケット通過処理手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットの存在及び詳細情報を不正アクセス履歴として記録する不正アクセス履歴記録手段とを具備したパケット転送装置に於いて、
前記パケット解析手段に、
前記ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであることを判定した際、前記不正アクセス履歴記録手段に記録された不正アクセス履歴を参照して、前記不正アクセスに関わるパケットであると判定したパケットの送信元が、過去に存在する不正パケットの送信元であるか否かを判定する判定手段と、
前記判定手段が過去に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び前記不正アクセスに関わるパケットの詳細情報を外部の機器に通知する通知手段と
を具備したことを特徴とするパケット転送装置。 - ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定するパケット解析手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットを破棄するパケット通過処理手段と、前記パケット解析手段で不正アクセスに関わるパケットであると判定されたパケットの存在及び詳細情報を不正アクセス履歴として記録する不正アクセス履歴記録手段とを具備したパケット転送装置に於いて、
前記パケット解析手段に、
前記ネットワークセグメント間で転送されるパケットが不正アクセスに関わるパケットであることを判定した際、前記不正アクセス履歴記録手段に記録された不正アクセス履歴を参照して、前記不正アクセスに関わるパケットであると判定したパケットの送信先が、過去に存在する不正パケットの送信先であるか否かを判定する判定手段と、
前記判定手段が過去に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び前記不正アクセスに関わるパケットの詳細情報を外部の機器に通知する通知手段と
を具備したことを特徴とするパケット転送装置。 - 前記判定手段は、前記不正アクセス履歴記録手段に記録された、過去の一定時間内の不正アクセス履歴を参照して判定を行う請求項１または２記載のパケット転送装置。
- 前記判定手段は、前記不正アクセス履歴記録手段に記録された不正アクセス履歴から、設定された任意のタイミング以降の不正アクセス履歴を参照して判定を行う請求項１または２記載のパケット転送装置。
- 前記パケット解析手段は、前記通知手段による通知が成功しない際に、該当する不正アクセスに関わるパケットの存在及び詳細情報を、以降に前記判定手段が参照する不正アクセス履歴から除外する制御手段を具備する請求項１または２または３または４記載のパケット転送装置。
- 前記パケット解析手段は、前記通知手段が不正アクセスに関わるパケットの存在及び詳細情報を外部の機器に通知する際、当該通知の対象となる詳細情報をもとに通知先となる外部の機器を決定する手段を具備する請求項１または２または３または４記載のパケット転送装置。
- 前記詳細情報には、少なくとも不正アクセスに関わるパケットの受信時刻、不正アクセスに関わるパケットのデータ種別、パケット送信元のネットワークアドレス若しくはネットワークアドレスを含む詳細情報、パケット送信先のネットワークアドレス若しくはネットワークアドレスを含む詳細情報のいずれかが含まれる請求項１または２または３または４記載のパケット転送装置。
- ネットワークセグメントの間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットであると判定した際に、当該パケットを破棄するステップと、
前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を不正アクセス履歴として記録するステップと、
前記不正アクセスに関わるパケットであると判定したパケットについて、前記記録した不正アクセス履歴のすべて若しくは一部を参照して、過去の不正アクセス履歴に存在しない不正パケットの送信元であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信元であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を外部の機器に通知するステップと
を具備したことを特徴とするパケット転送装置の不正アクセス検知時に於ける情報通知方法。 - ネットワークセグメントの間で転送されるパケットが不正アクセスに関わるパケットであるか否かを判定し、不正アクセスに関わるパケットであると判定した際に、当該パケットを破棄するステップと、
前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を不正アクセス履歴として記録するステップと、
前記不正アクセスに関わるパケットであると判定したパケットについて、前記記録した不正アクセス履歴のすべて若しくは一部を参照して、過去の不正アクセス履歴に存在しない不正パケットの送信先であるか否かを判定し、過去の不正アクセス履歴に存在しない不正パケットの送信先であると判定した際に、前記不正アクセスに関わるパケットであると判定したパケットの存在及び当該パケットの詳細情報を外部の機器に通知するステップと
を具備したことを特徴とするパケット転送装置の不正アクセス検知時に於ける情報通知方法。 - 前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知した際に、その通知が成功しない場合は、次回以降の不正アクセスに関わるパケットの判定に於いて参照する不正アクセス履歴から、前記通知が成功しなかった不正アクセスに関わるパケットについての不正アクセス履歴を除外することを特徴とする請求項８または９記載のパケット転送装置の不正アクセス検知時に於ける情報通知方法。
- 前記不正アクセスに関わるパケットであると判定したパケットの存在及び詳細情報を外部の機器に通知する際、当該通知の対象となる詳細情報をもとに通知先となる外部の機器を決定することを特徴とする請求項８または９記載のパケット転送装置の不正アクセス検知時に於ける情報通知方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002307124A JP3689079B2 (ja) | 2002-10-22 | 2002-10-22 | パケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002307124A JP3689079B2 (ja) | 2002-10-22 | 2002-10-22 | パケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004146931A JP2004146931A (ja) | 2004-05-20 |
| JP3689079B2 true JP3689079B2 (ja) | 2005-08-31 |
Family
ID=32453674
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002307124A Expired - Fee Related JP3689079B2 (ja) | 2002-10-22 | 2002-10-22 | パケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3689079B2 (ja) |
Families Citing this family (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2007028268A (ja) * | 2005-07-19 | 2007-02-01 | Kddi Corp | 不正パケットを送信する端末の帯域割当を制限する基地局、システム及び方法 |
| EP1868321B1 (en) * | 2006-06-12 | 2016-01-20 | Mitsubishi Denki Kabushiki Kaisha | In-line content analysis of a TCP segment stream |
| JP2010226177A (ja) * | 2009-03-19 | 2010-10-07 | Toshiba Corp | パケット転送装置及び同装置に実行させるためのプログラム |
| JP5792654B2 (ja) * | 2012-02-15 | 2015-10-14 | 株式会社日立製作所 | セキュリティ監視システムおよびセキュリティ監視方法 |
| JP2018157368A (ja) * | 2017-03-17 | 2018-10-04 | 株式会社構造計画研究所 | 検知情報配信システム |
-
2002
- 2002-10-22 JP JP2002307124A patent/JP3689079B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004146931A (ja) | 2004-05-20 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9781280B2 (en) | Agent device, image-forming-device management system, image-forming-device management method, image-forming-device management program, and storage medium | |
| US8504830B2 (en) | Transfer data management system for internet backup | |
| US6393568B1 (en) | Encryption and decryption system and method with content analysis provision | |
| CN102739411B (zh) | 提供证明服务 | |
| US7555558B1 (en) | Method and system for fault-tolerant transfer of files across a network | |
| US20080034098A1 (en) | Communication mediating apparatus for mediating communication over network | |
| EP1560382A1 (en) | System for setting a communications transfer policy | |
| JP2008141581A (ja) | 秘密情報アクセス認証システム及びその方法 | |
| ES2803204T3 (es) | Método y dispositivo de reenvío para solicitud de transferencia de hipertexto, y cliente | |
| CA2640696C (en) | Storing and retrieving user context data | |
| US20060077976A1 (en) | Apparatus and method for printing data using a server message block protocol | |
| JP3689079B2 (ja) | パケット転送装置およびパケット転送装置の不正アクセス検知時に於ける情報通知方法 | |
| JP4000803B2 (ja) | デバイス状態監視装置、デバイス状態監視方法、デバイス状態監視プログラムを記録した媒体 | |
| JP2003323360A (ja) | 仲介装置、画像形成装置管理システム、画像形成装置管理方法、画像形成装置管理プログラム及び記録媒体 | |
| CN105991370A (zh) | 一种udp通道探测方法及装置 | |
| JP2007041926A (ja) | ユーザ端末判別方法 | |
| JP7234726B2 (ja) | 通信装置、通信システム、及びプログラム | |
| US10819614B2 (en) | Network monitoring apparatus and network monitoring method | |
| JP2005157822A (ja) | 通信制御装置、アプリケーションサーバ、通信制御方法、およびプログラム | |
| JP5396974B2 (ja) | 通信システム、通信装置および通信管理方法 | |
| WO2018121353A1 (zh) | 数据通路的测试方法、测试服务器及测试*** | |
| JP5738042B2 (ja) | ゲートウェイ装置、情報処理装置、処理方法およびプログラム | |
| JP5842657B2 (ja) | 呼制御装置 | |
| JP2017191997A (ja) | 管理装置、撮影装置およびそれらの制御方法、撮影システム、プログラム | |
| JP5986695B2 (ja) | 情報処理装置、処理方法およびプログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050201 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20050208 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050411 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050531 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050609 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090617 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100617 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100617 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110617 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |