JP2010057034A

JP2010057034A - ルータにおけるアクセス制御方法、ルータ、およびアクセス制御プログラム

Info

Publication number: JP2010057034A
Application number: JP2008221499A
Authority: JP
Inventors: Hideo Kitami; 秀夫北見
Original assignee: NEC Infrontia Corp
Current assignee: NEC Platforms Ltd
Priority date: 2008-08-29
Filing date: 2008-08-29
Publication date: 2010-03-11

Abstract

【課題】インターネットに接続し、限定的なメンバにのみに公開しているサーバが、悪意ある第三者にハッキングされるのを防ぐ。
【解決手段】PC1はサーバ4のドメイン名を指定して、DNSサーバ5にサーバ4のIPアドレスを問い合わせる。DNSサーバ5は、サーバ4のIPアドレスをPC1に通知する。PC1はサーバ4のポート番号3333番にダミーアクセスする。ルータ3は該アクセスのパケットを受信し、アクセス許可ルール30を参照し、ルール1の1回目アクセスがなされたことを記憶する。次に、PC1はサーバ4のポート番号2222番にダミーアクセスする。ルータ1は該アクセスのパケットを受信し、アクセス許可ルール30を参照し、ルール1の2回目アクセスがなされたことを記憶し、アクセス許可ルール30のルール1が満たされたため、ルール1の通過を許可するポート番号であるポート番号80番をアクセス制御リスト31に登録する。
【選択図】図１

Description

本発明は、ポート番号対応のサービスを提供するサーバへの、送信元および宛先双方のIPアドレスおよびポート番号を設定したパケットによるアクセスを、アクセス制御リストに基づいて制御(通過/廃棄)する、ルータにおけるアクセス制御方法に関する。

インターネット上に公開するデータであっても、広く一般に公開するデータでなく、特定のメンバにのみ公開したいデータ、例えばあるメンバにのみ限定で公開したいデータというものがある。例えば、外出している営業マンが外出先からインターネット経由で会社のサーバにアクセスし、在庫確認を行うような場合である。PC(Personal Computer)はDNS(Domain Name System)サーバを使用し、アクセス先のサーバのIP(Internet Protocol)アドレスを知り、仮にそのサーバがWebサーバであればポート80番にアクセスすることで、簡単にアクセスすることができる。

このようにWebサーバだったらポート番号80番等、外部に対してサービスを提供するためには、そのポート番号へのアクセスを通過させるようルータに穴を開けておく必要がある。

インターネット上には、悪意ある第三者がポートスキャンによりサーバ等の開きポートを見つけ、侵入を試みている。

従来、限定的なメンバのみにサーバを公開する場合でも、公開するサービスのポートは全ての人に開かれており、パスワード等の認証によりアクセス制御を行うことがほとんどであった。

この場合、悪意ある第三者が、ポートスキャンにて使用ポートを特定し、DDoS(Distributed Denial Of Service)攻撃等によりそのサービスやサーバ自体をダウンさせる攻撃を行うことが可能である。また、使用ポートが特定されているため、次に認証をかいくぐるようなハッキングの対象になることが予想される。

なお、特許文献1は、サーバに正規のポート以外に複数の認証用ポートを設け、これら認証用ポートへのアクセス順序がタイムテーブルに予め決められている。サーバはタイムテーブルへの登録順に認証用ポートにアクセスがあると、認証OKとしてアクセス元に対して正規のポートへの接続を許可する。
特開2005-86452号公報

本発明の目的は、インターネットに接続し、限定的なメンバにのみに公開しているサーバが、悪意ある第三者にハッキングされるのを防ぐ、ルータにおけるアクセス制御方法、ルータ、およびアクセス制御プログラムを提供することにある。

サーバにおけるアクセスを許可する正規のポート番号毎に、該ポート番号と、単一のダミーポート番号またはアクセス順序が付けられた複数のダミーポート番号を対応付けたアクセス許可ルールを予め決めておく。ルータは、アクセス許可ルールに則った単一のダミーポート番号または複数のダミーポート番号へのアクセスの直後にのみ、対応する正規のポート番号へのアクセスを許可する。そしてルータは、サーバ側のIPアドレスおよび許可したポート番号とアクセスした側のIPアドレスおよびポート番号を組み合わせてアクセス制御リストにアクセス許可対象として登録する。

なお、アクセス許可ルールは、サーバにおけるアクセスを許可する正規のポート番号毎に、該ポート番号と、単一のダミーポート番号と、該ダミーポート番号への1回または複数回数のアクセスの各回のアクセスの初回のアクセスまたは前回のアクセスからのアクセス開始時間を対応付けたものであってもよい。

以上説明したように、本発明は、以下に記載するような効果がある。
第１に、アクセス元とルータ間で予め決めておいたアクセス許可ルールにより動的にポートを開くので、悪意ある第三者によるポートスキャンやハッキングといった攻撃を防ぐことが可能となる。
第２に、DDoS攻撃等のパケットはルータで廃棄するので、サービスやサーバ自体がダウンするのを防ぐことが可能となる。

次に、本発明の実施の形態について図面を参照して説明する。

[第1の実施形態]
図1は本実施形態におけるシステムの構成図である。本システムは、PC1がインターネット2、ルータ3を経由してサーバ4にアクセスを行う場合を想定している。インターネット2にはDNSサーバ5が接続されている。

図2はルータ２の構成例を示している。ルータ2はOSC(水晶発信器)20と、ワークメモリであるSDRAM(Synchronous Dynamic RAM)21と、プログラムメモリであるフラッシュメモリ22と、OSC23と、イーサネット（Ethernet:登録商標）の物理層(レイヤ1)チップ24と、トランスフォーマ25と、OSC26と、イーサネット（登録商標）の物理層(レイヤ1)チップを内蔵した5ポートレイヤ2スイッチチップ27と、4ポートトランスフォーマ28と、イーサネットのMAC(レイヤ2)回路を2つ内蔵しているCPU29とを有している。これはルータの一般的な構成であるが、本実施形態では、PC1との間で予め決められた、サーバ4におけるアクセスを許可する正規のポート番号毎に、該ポート番号と、単一のダミーポート番号またはアクセス順序が付けられた複数のダミーポート番号を対応付けた表1に示すようなアクセス許可ルール30がSDRAM21に格納されている。

ルール1は、まずポート番号3333番にアクセスし、次にポート番号2222番にアクセスすると、ポート番号80番の通過が許可される、というルールである。ルール2は、まずポート番号1234番にアクセスし、次にポート番号2345番にアクセス、・・・・、n回目のアクセスでポート番号6789番にアクセスすると、ポート番号20番と21番の通過が許可される、というルールである。ルール3は、ポート番号5963番にアクセスすると、ポート番号23番の通過が許可される、というルールである。

アクセス許可ルール30は、ルータ3が受信する1つのパケットまたは連続したパケットのシーケンス（到着順序）により、ルータ3にアクセス許可を動的に登録する仕組みで、ポート番号が暗証番号のような役割を果たす。

また、ルータ3のSDRAM21には、サーバ4のIPアドレスおよび許可したポート番号とダミーポート番号をアクセスした側のIPアドレスおよびポート番号とアクセスの方向を組み合わせてアクセス許可対象として登録されるアクセス制御リスト31も格納される。パケットが通過するためには5つ全てのフィールドが一致する必要があり、一つでも不一致であるパケットはルータ3によって廃棄される。

次に、本実施形態の動作を、図3のシーケンス図を参照して説明する。図3は、PC1がサーバ4のポート番号80番のポートにアクセスする場合のシーケンス図である。

まず、PC1はサーバ4のドメイン名を指定して、DNSサーバ5にサーバ4のIPアドレスを問い合わせる（ステップ101）。すると、DNSサーバ5は、サーバ4のIPアドレスをPC1に通知する（ステップ102）。通常、ここではサーバ4のIPアドレスにポート番号80番でアクセスするが、本システムではルータ3に登録されていないパケットは廃棄されてしまうため、以下の本発明独自の方法にてルータ3にアクセス許可を登録する。PC1はサーバ4のポート番号3333番にダミーアクセスする（ステップ103）。ルータ3はステップ103のパケットを受信し、アクセス許可ルール30を参照し、ルール1の1回目アクセスがなされたことを記憶する(ステップ104)。次に、PC1はサーバ4のポート番号2222番にダミーアクセスする(ステップ105)。ルータ1はステップ105のパケットを受信し、アクセス許可ルール30を参照し、ルール1の2回目アクセスがなされたことを記憶し、アクセス許可ルール30のルール1が満たされたため、ルール1の、通過を許可するポート番号であるポート番号80番をアクセス制御リスト31に登録する(ステップ106)。

ステップ106の完了時、アクセス制御リスト31に登録されたのは表2のNo.1とNo.2の項である。このようにアクセス制御リスト31には、送信元IPアドレス，宛先IPアドレス，送信元ポート番号，宛先ポート番号，方向と5つのフィールドを登録する。ルータ3のポートが開いたので、PC1はサーバ4のポート番号80番にアクセスする（ステップ107）。ルータ3はアクセス制御リスト31のNo.1に合致することを確認し、通過を許可する（ステップ108）。パケットはサーバ4に転送される（ステップ109）。なお、ルータ3における動作はCPU29が、フラッシュメモリ22に記憶されたプログラムに基づいて行う。

このようにして、本実施形態では、PC1とルータ3間で予め決めておいたアクセス許可ルール30により動的にポートを開くので、悪意ある第三者によるポートスキャンやハッキングといった攻撃を防ぐことが可能となる。また、DDoS攻撃のパケットはルータ3で廃棄するので、サービスやサーバ4自体がダウンするのを防ぐことが可能である。

[第2の実施形態]
図4は本実施形態におけるシステムの構成図である。本システムは、第1の実施形態と同様に、PC1がインターネット2、ルータ3を経由してサーバ4にアクセスを行う場合を想定している。インターネット2にはDNSサーバ5が接続されている。

図5はルータ２の構成例を示している。ルータ2は、第1の実施形態と同様に、OSC20とSDRAM21とフラッシュメモリ22とOSC23と物理層(レイヤ1)チップ24とトランスフォーマ25とOSC26と5ポートレイヤ2スイッチチップ27と4ポートトランスフォーマ28とCPU29とを有している。これはルータの一般的な構成である。第1の実施形態では、ポート番号のアクセス順序がポートを開くキーになっていたのに対し、第2の実施形態ではアクセス間隔の羅列がポートを開くキーとなる。

表3は、本実施形態におけるアクセス許可ルール32の一例を示している。これは暗証番号のようなものであり、第1の実施形態と同様に、PC1とルータ3の間で予め決められ、サーバ3のSRAM21に登録されている。

ルール1は、まずポート番号3333番にアクセスし、5秒後にポート番号3333番にアクセスすると、ポート番号80番の通過が許可される、というルールである。ルール2は、まずポート番号1234番にアクセスし、5秒後にポート番号1234番にアクセス、さらに10秒後にポート番号1234番にアクセス・・・と続けていくとポート番号20番と21番が許可される、というルールである。ルール1が許可された場合、表3のNo.1とNo.2がアクセス制御リスト31に登録される。

次に、本実施形態の動作を図６に示すシーケンス図を参照して説明する。
図６は、PC１がサーバ4のポート番号80番にアクセスする場合のシーケンス図である。
まず、PC1はサーバ4のドメイン名を指定して、DNSサーバ5サーバ4のIPアドレスを問い合わせる（ステップ201）。すると、DNSサーバ5は、サーバ4のIPアドレスをPC1に通知する（ステップ202）。通常、ここではサーバ4のIPアドレスにポート番号80番でアクセスするが、本システムではルータ3に登録されていないパケットは廃棄されてしまうため、以下の本発明独自の方法にてルータ3にアクセス許可を登録する。PC1はサーバ4のポート番号3333番にダミーアクセスする（ステップ203）。ルータ3がステップ103のパケットを受信し、アクセス許可ルール32を参照し、ルール1の1回目アクセスがなされたことを記憶する(ステップ104)。次に、PC1は1回目のアクセスから5秒後にサーバ4のポート番号3333番にダミーアクセスする(ステップ205)。ルータ3がステップ105のパケットを受信し、アクセス許可ルール32を参照し、時間=5秒、ポート=3333からルール1の2回目のアクセスがなされたことを認識、アクセス許可ルール32のルール1が満たされたため、ルール1の通過を許可するポート番号であるポート番号80番を、アクセス制御リスト31に表4のように登録する（ステップ206）。

なお、「時間」で設定するアクセス間隔の時間であるが、ネットワーク経由のため誤差が考えられる。1秒〜数秒の誤差を設定できるようになっていてもよい。ステップ206にてアクセス制御リスト31に登録されたのは表４のNo.1，No.2である。このようにアクセス制御リスト31には、送信元IPアドレス，宛先IPアドレス，送信元ポート番号，宛先ポート番号，方向と5つのフィールドを登録する。ルータ3のポートが開いたので、PC1はサーバaのポート番号80番にアクセスする（ステップ207）と、ルータ3はアクセス制御リストのNo.1に合致することを確認し、通過を許可（ステップ208）、パケットはサーバ4に転送される（ステップ209）。なお、ルータ3における動作はCPU29が、フラッシュメモリ22に記憶されたプログラムに基づいて行う。また、「時間」は1回目のアクセスからの時間であってもよい。

[第3の実施形態]
本発明の第3の実施形態は、第1の実施形態と第2の実施形態を組み合わせたものである。ポート番号の羅列およびアクセス間隔の羅列がポートを開くキーとなる。

なお、ルータ3の、図3、図6に示した動作を実行するプログラムは、フラッシュメモリ以外に、フレキシブルディスク、光磁気ディスク、CD-ROM等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等のコンピュータ読み取り可能な記録媒体に記憶してもよい。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータ内の揮発性メモリのように、一定時間プログラムを保持しているものを含む。

また、ルータ3の、図3、図6に示した動作は専用の回路で行なってもよい。

図１は本発明の第１の実施形態のシステム構成図である。図２は図１中のルータのブロック図である。図３は第１の実施形態の動作を示すシーケンス図である。図４は本発明の第2の実施形態のシステム構成図である。図５は図４中のルータのブロック図である。図６は第２の実施形態の動作を示すシーケンス図である。

符号の説明

1 PC
2 インターネット
3 ルータ
4 サーバ
5 DNSサーバ
20、23、26 OSC
21 SDRAM
22 フラッシュメモリ
24 物理層(レイヤ1)チップ
25 トランスフォーマ
27 5ポートレイヤ2スイッチ
28 4ポートトランスフォーマ
29 CPU
30、31 アクセス許可ルール
32 アクセス制御リスト
101〜109、201〜209 ステップ

Claims

ポート番号対応のサービスを提供するサーバへの、送信元および宛先双方のIPアドレスおよびポート番号を設定したパケットによるアクセスを、アクセス制御リストに基づいて制御する、ルータにおけるアクセス制御方法において、
サーバにおけるアクセスを許可する正規のポート番号毎に、該ポート番号と、単一のダミーポート番号またはアクセス順序が付けられた複数のダミーポート番号を対応付けたアクセス許可ルールを予め決めておき、
前記アクセス許可ルールに則った単一のダミーポート番号または複数のダミーポート番号へのアクセスの直後にのみ、対応する正規のポート番号へのアクセスを許可し、
サーバ側のIPアドレスおよび許可したポート番号とアクセスした側のIPアドレスおよびポート番号を組み合わせて前記アクセス制御リストにアクセス許可対象として登録する
ことを特徴とする、ルータにおけるアクセス制御方法。
ポート番号対応のサービスを提供するサーバへの、送信元および宛先双方のIPアドレスおよびポート番号を設定したパケットによるアクセスを、アクセス制御リストに基づいて制御する、ルータにおけるアクセス制御方法において、
サーバにおけるアクセスを許可する正規のポート番号毎に、該ポート番号と、単一のダミーポート番号と、該ダミーポート番号への1回または複数回数のアクセスの各回のアクセスの初回のアクセスまたは前回のアクセスからのアクセス開始時間を対応付けたアクセス許可ルールを予め決めておき、
前記アクセス許可ルールに則ったダミーポート番号へのアクセスの直後にのみ、対応する正規のポート番号へのアクセスを許可し、
サーバ側のIPアドレスおよび許可したポート番号とアクセスした側のIPアドレスおよびポート番号を組み合わせて前記アクセス制御リストにアクセス許可対象として登録する
ことを特徴とする、ルータにおけるアクセス制御方法。
ポート番号対応のサービスを提供するサーバへの、送信元および宛先双方のIPアドレスおよびポート番号を設定したパケットによるアクセスを、アクセス制御リストに基づいて制御するルータにおいて、
サーバにおけるアクセスを許可する正規のポート番号毎に、該ポート番号と、単一のダミーポート番号またはアクセス順序が付けられた複数のダミーポート番号を対応付けた予め決められたアクセス許可ルールが格納されている記憶手段と、
前記アクセス許可ルールに則った単一のダミーポート番号または複数のダミーポート番号へのアクセスの直後にのみ、対応する正規のポート番号へのアクセスを許可し、サーバ側のIPアドレスおよび許可したポート番号とアクセスした側のIPアドレスおよびポート番号を組み合わせて前記アクセス制御リストにアクセス許可対象として登録する制御手段と、
を有することを特徴とするルータ。
ポート番号対応のサービスを提供するサーバへの、送信元および宛先双方のIPアドレスおよびポート番号を設定したパケットによるアクセスを、アクセス制御リストに基づいて制御するルータにおいて、
サーバにおけるアクセスを許可する正規のポート番号毎に、該ポート番号と、単一のダミーポート番号と、該ダミーポート番号への1回または複数回数のアクセスの各回のアクセスの初回のアクセスまたは前回のアクセスからのアクセス開始時間を対応付けた予め決められたアクセス許可ルールが格納されている記憶手段と、
前記アクセス許可ルールに則ったダミーポート番号へのアクセスの直後にのみ、対応する正規のポート番号へのアクセスを許可し、サーバ側のIPアドレスおよび許可したポート番号とアクセスした側のIPアドレスおよびポート番号を組み合わせて前記アクセス制御リストにアクセス許可対象として登録する制御手段と、
を有することを特徴とするルータ。
ポート番号対応のサービスを提供するサーバへの、送信元および宛先双方のIPアドレスおよびポート番号を設定したパケットによるアクセスを、アクセス制御リストに基づいてコンピュータに制御させるためのアクセス制御プログラムであって、
サーバにおけるアクセスを許可する正規のポート番号毎に、該ポート番号と、単一のダミーポート番号またはアクセス順序が付けられた複数のダミーポート番号を対応付けた予め決められたアクセス許可ルールに則った単一のダミーポート番号または複数のダミーポート番号へのアクセスの直後にのみ、対応する正規のポート番号へのアクセスを許可する手順と、
サーバ側のIPアドレスおよび許可したポート番号とアクセスした側のIPアドレスおよびポート番号を組み合わせて前記アクセス制御リストにアクセス許可対象として登録する手順と
をコンピュータに実行させるためのアクセス制御プログラム。
ポート番号対応のサービスを提供するサーバへの、送信元および宛先双方のIPアドレスおよびポート番号を設定したパケットによるアクセスを、アクセス制御リストに基づいてコンピュータに制御させるためのアクセス制御プログラムであって、
サーバにおけるアクセスを許可する正規のポート番号毎に、該ポート番号と、単一のダミーポート番号と、該ダミーポート番号への1回または複数回数のアクセスの各回のアクセスの初回のアクセスまたは前回のアクセスからのアクセス開始時間を対応付けた予め決められたアクセス許可ルールに則ったダミーポート番号へのアクセスの直後にのみ、対応する正規のポート番号へのアクセスを許可する手順と、
サーバ側のIPアドレスおよび許可したポート番号とアクセスした側のIPアドレスおよびポート番号を組み合わせて前記アクセス制御リストにアクセス許可対象として登録する手順と、
をコンピュータに実行させるためのアクセス制御プログラム。