JP2001203762A - Ｄｎｓサーバフィルタ - Google Patents
ＤｎｓサーバフィルタInfo
- Publication number
- JP2001203762A JP2001203762A JP2000012757A JP2000012757A JP2001203762A JP 2001203762 A JP2001203762 A JP 2001203762A JP 2000012757 A JP2000012757 A JP 2000012757A JP 2000012757 A JP2000012757 A JP 2000012757A JP 2001203762 A JP2001203762 A JP 2001203762A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- dns server
- inquiry
- dns
- session management
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/45—Network directories; Name-to-address mapping
- H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
- H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
(57)【要約】
【課題】組織外の者が組織のネットワーク構成情報を利
用して組織のネットワークに侵入を行うことを防ぎ、異
常な形式のパケットを受信することでＤＮＳサーバの動
作が異常になることを未然に防ぐＤＮＳサーバフィルタ
の提供。 【解決手段】ＤＮＳプロトコルにおける端末及びＤＮＳ
サーバからの問い合わせ、及びＤＮＳサーバからの応答
パケットを受信するパケット受信部と、問い合わせ要求
を管理するためのセション管理テーブルを備え、問い合
わせ及び応答パケットを管理し全体の制御を行うセショ
ン管理部と、問い合わせ及び応答パケットが異常である
か否かを検査するパケット検証部と、ＤＮＳサーバへの
問い合わせパケットを生成する要求生成部と、問い合わ
せパケットの送信元に返す応答パケットを生成する応答
生成部と、問い合わせ及び応答パケットを送信するパケ
ット送信部と、を備え、受信したＤＮＳパケットをＤＮ
Ｓサーバに渡す前に、内容に異常があるか否か検査し、
異常を検出した際にエラー応答パケット生成して要求元
に返す。
用して組織のネットワークに侵入を行うことを防ぎ、異
常な形式のパケットを受信することでＤＮＳサーバの動
作が異常になることを未然に防ぐＤＮＳサーバフィルタ
の提供。 【解決手段】ＤＮＳプロトコルにおける端末及びＤＮＳ
サーバからの問い合わせ、及びＤＮＳサーバからの応答
パケットを受信するパケット受信部と、問い合わせ要求
を管理するためのセション管理テーブルを備え、問い合
わせ及び応答パケットを管理し全体の制御を行うセショ
ン管理部と、問い合わせ及び応答パケットが異常である
か否かを検査するパケット検証部と、ＤＮＳサーバへの
問い合わせパケットを生成する要求生成部と、問い合わ
せパケットの送信元に返す応答パケットを生成する応答
生成部と、問い合わせ及び応答パケットを送信するパケ
ット送信部と、を備え、受信したＤＮＳパケットをＤＮ
Ｓサーバに渡す前に、内容に異常があるか否か検査し、
異常を検出した際にエラー応答パケット生成して要求元
に返す。
Description
【０００１】
【発明の属する技術分野】本発明は、ネットワークシス
テムに関し、特に、ＩＰアドレスとドメイン名との対応
の管理を行うドメインネームシステム（ＤＮＳ）のフィ
ルタ装置に関する。
テムに関し、特に、ＩＰアドレスとドメイン名との対応
の管理を行うドメインネームシステム（ＤＮＳ）のフィ
ルタ装置に関する。
【０００２】
【従来の技術】ＤＮＳ（Domain Name System）は、イ
ンターネット等のＴＣＰ／ＩＰ（Transport Control
Protocol/Internet Protocol）を用いたプロトコル（ト
ランスポート層としてＵＤＰ（User Datagram Protoc
ol）も含む）によるネットワークにおいて接続されたホ
ストの名前とＩＰアドレスとを関連付けた情報等をＴＣ
Ｐ／ＩＰネットワークに接続されたホストに提供する、
ＴＣＰ／ＩＰプロトコル上のサービスである。ＤＮＳで
は、ホストが属している組織に対してドメイン名と呼ば
れる名前でまとめられており、ドメイン名は、国家レベ
ル、企業、学術組織等の組織の種別毎、組織名毎、組織
内の部署毎に階層的に名付けられ、ホスト名はドメイン
名と組み合わせることで、ＴＣＰ／ＩＰネットワークに
おける唯一性が保証される。例えば、インターネットに
接続された日本の企業の日本電気株式会社のＷＷＷ（Ｗ
ｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）サーバは、日本を示す
“ｊｐ”、企業を示す“ｃｏ”、日本電気株式会社を示
す“ｎｅｃ”、同社において名付けられたＷＷＷサーバ
のホスト名を示す“ｗｗｗ”を、“ｗｗｗ．ｎｅｃ．ｃ
ｏ．ｊｐ”という記述方法で表現される。
ンターネット等のＴＣＰ／ＩＰ（Transport Control
Protocol/Internet Protocol）を用いたプロトコル（ト
ランスポート層としてＵＤＰ（User Datagram Protoc
ol）も含む）によるネットワークにおいて接続されたホ
ストの名前とＩＰアドレスとを関連付けた情報等をＴＣ
Ｐ／ＩＰネットワークに接続されたホストに提供する、
ＴＣＰ／ＩＰプロトコル上のサービスである。ＤＮＳで
は、ホストが属している組織に対してドメイン名と呼ば
れる名前でまとめられており、ドメイン名は、国家レベ
ル、企業、学術組織等の組織の種別毎、組織名毎、組織
内の部署毎に階層的に名付けられ、ホスト名はドメイン
名と組み合わせることで、ＴＣＰ／ＩＰネットワークに
おける唯一性が保証される。例えば、インターネットに
接続された日本の企業の日本電気株式会社のＷＷＷ（Ｗ
ｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）サーバは、日本を示す
“ｊｐ”、企業を示す“ｃｏ”、日本電気株式会社を示
す“ｎｅｃ”、同社において名付けられたＷＷＷサーバ
のホスト名を示す“ｗｗｗ”を、“ｗｗｗ．ｎｅｃ．ｃ
ｏ．ｊｐ”という記述方法で表現される。
【０００３】“ｗｗｗ．ｎｅｃ．ｃｏ．ｊｐ”の“ｎｅ
ｃ．ｃｏ．ｊｐ”はインターネットにおけるドメイン名
割り当て機関であるＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｆｏ
ｒｍａｔｉｏｎ Ｃｅｎｔｅｒ）により割り当てられた
日本電気株式会社を示すドメイン名であり、“ｗｗｗ”
は日本電気株式会社内で割り当てられたホスト名であ
る。ＴＣＰ／ＩＰプロトコルで通信しようとするホスト
は、接続先のホストのＩＰアドレスを知らなければなら
ず、このＷＷＷサーバにＴＣＰ／ＩＰで接続しようとす
るインターネットに接続されたホストは、“ｗｗｗ．ｎ
ｅｃ．ｃｏ．ｊｐ”という名前に対応するＩＰアドレス
をＤＮＳサーバに問い合わせる。“ｗｗｗ．ｎｅｃ．ｃ
ｏ．ｊｐ”に接続しようとするホストは、まずルートサ
ーバと呼ばれるＤＮＳにおけるドメイン階層構造の頂点
の情報を管理するＤＮＳサーバに問い合わせ、“ｊｐ”
ドメインを管理しているＤＮＳサーバを教えてもらい、
次にその“ｊｐ”ドメインを管理しているＤＮＳサーバ
に問い合わせ、“ｃｏ．ｊｐ”ドメインを管理している
ＤＮＳサーバを教えてもらい、次に“ｃｏ．ｊｐ”ドメ
インを管理しているＤＮＳサーバに問い合わせ、“ｎｅ
ｃ．ｃｏ．ｊｐ”を管理しているＤＮＳサーバを教えて
もらい、次に“ｎｅｃ．ｃｏ．ｊｐ”ドメインを管理し
ているＤＮＳサーバに“ｗｗｗ．ｎｅｃ．ｃｏ．ｊｐ”
というホスト名に対するＩＰアドレスを問い合わせ、そ
のＤＮＳサーバにその名前があればこのホストのＩＰア
ドレスを返す。
ｃ．ｃｏ．ｊｐ”はインターネットにおけるドメイン名
割り当て機関であるＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｆｏ
ｒｍａｔｉｏｎ Ｃｅｎｔｅｒ）により割り当てられた
日本電気株式会社を示すドメイン名であり、“ｗｗｗ”
は日本電気株式会社内で割り当てられたホスト名であ
る。ＴＣＰ／ＩＰプロトコルで通信しようとするホスト
は、接続先のホストのＩＰアドレスを知らなければなら
ず、このＷＷＷサーバにＴＣＰ／ＩＰで接続しようとす
るインターネットに接続されたホストは、“ｗｗｗ．ｎ
ｅｃ．ｃｏ．ｊｐ”という名前に対応するＩＰアドレス
をＤＮＳサーバに問い合わせる。“ｗｗｗ．ｎｅｃ．ｃ
ｏ．ｊｐ”に接続しようとするホストは、まずルートサ
ーバと呼ばれるＤＮＳにおけるドメイン階層構造の頂点
の情報を管理するＤＮＳサーバに問い合わせ、“ｊｐ”
ドメインを管理しているＤＮＳサーバを教えてもらい、
次にその“ｊｐ”ドメインを管理しているＤＮＳサーバ
に問い合わせ、“ｃｏ．ｊｐ”ドメインを管理している
ＤＮＳサーバを教えてもらい、次に“ｃｏ．ｊｐ”ドメ
インを管理しているＤＮＳサーバに問い合わせ、“ｎｅ
ｃ．ｃｏ．ｊｐ”を管理しているＤＮＳサーバを教えて
もらい、次に“ｎｅｃ．ｃｏ．ｊｐ”ドメインを管理し
ているＤＮＳサーバに“ｗｗｗ．ｎｅｃ．ｃｏ．ｊｐ”
というホスト名に対するＩＰアドレスを問い合わせ、そ
のＤＮＳサーバにその名前があればこのホストのＩＰア
ドレスを返す。
【０００４】インターネットに接続する組織において、
セキュリティ上の理由により、インターネットに接続す
る部分にファイアウォールを設置して、直接、ＴＣＰ／
ＩＰプロトコルによる組織外との通信を制限する場合が
ある。
セキュリティ上の理由により、インターネットに接続す
る部分にファイアウォールを設置して、直接、ＴＣＰ／
ＩＰプロトコルによる組織外との通信を制限する場合が
ある。
【０００５】組織のセキュリティ要件として、組織外秘
の情報の保護の為に組織外からのＴＣＰ／ＩＰプロトコ
ルを通じた組織内資源へのアクセスを制限することが挙
げられる。
の情報の保護の為に組織外からのＴＣＰ／ＩＰプロトコ
ルを通じた組織内資源へのアクセスを制限することが挙
げられる。
【０００６】ＤＮＳにおいても、組織内のネットワーク
に接続されたホストの名前やＩＰアドレスについての情
報やその組織の部署名やネットワーク構成が名付けられ
ているドメイン名をできる限り隠すことによって、侵入
者がこの情報を用いて、組織内のネットワークに侵入す
ることを防ぐことが要請されている。
に接続されたホストの名前やＩＰアドレスについての情
報やその組織の部署名やネットワーク構成が名付けられ
ているドメイン名をできる限り隠すことによって、侵入
者がこの情報を用いて、組織内のネットワークに侵入す
ることを防ぐことが要請されている。
【０００７】
【発明が解決しようとする課題】上記要請に対して、従
来のシステムでは、組織内のＤＮＳサーバとは別にファ
イアウォールの外に設置された組織外のホストからのア
クセスを許可するホストに関する情報を提供するＤＮＳ
サーバを設置し、組織内のＤＮＳサーバは、組織内のホ
ストが組織外のホストのＤＮＳ情報を取得するためにフ
ァイアウォールの外に設置されたＤＮＳサーバに対し
て、再帰的に問い合わせできるように設定し、ファイア
ウォールの外に設置されたＤＮＳサーバから、組織内の
ＤＮＳサーバに対しては、問い合わせができないよう
に、ＤＮＳサーバ及びファイアウォールに設定すること
で対処している。
来のシステムでは、組織内のＤＮＳサーバとは別にファ
イアウォールの外に設置された組織外のホストからのア
クセスを許可するホストに関する情報を提供するＤＮＳ
サーバを設置し、組織内のＤＮＳサーバは、組織内のホ
ストが組織外のホストのＤＮＳ情報を取得するためにフ
ァイアウォールの外に設置されたＤＮＳサーバに対し
て、再帰的に問い合わせできるように設定し、ファイア
ウォールの外に設置されたＤＮＳサーバから、組織内の
ＤＮＳサーバに対しては、問い合わせができないよう
に、ＤＮＳサーバ及びファイアウォールに設定すること
で対処している。
【０００８】かかる構成の従来のシステムにおいては、
ＤＮＳサーバを複数台設置することや、ＤＮＳサーバの
管理が複雑化する、といった問題点が生じている。
ＤＮＳサーバを複数台設置することや、ＤＮＳサーバの
管理が複雑化する、といった問題点が生じている。
【０００９】また、セキュリティ上の問題としては、不
正な形式のパケットを攻撃対象のサーバに送信する事
で、バグ等のサーバプログラムの実装上の問題によりサ
ービスが停止させる「ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓ
ｅｒｖｉｃｅ）アタック」と呼ばれる攻撃に対しても防
御が必要となり、ＤＮＳサービスについても指摘されて
いる。
正な形式のパケットを攻撃対象のサーバに送信する事
で、バグ等のサーバプログラムの実装上の問題によりサ
ービスが停止させる「ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓ
ｅｒｖｉｃｅ）アタック」と呼ばれる攻撃に対しても防
御が必要となり、ＤＮＳサービスについても指摘されて
いる。
【００１０】従来、このような問題が指摘されると、サ
ービスプログラムの開発者が、サービスプログラムを修
正する必要があった。
ービスプログラムの開発者が、サービスプログラムを修
正する必要があった。
【００１１】たしかに、一部のサービスプログラムは、
そのプログラムのソースファイルが公開されているため
（ＵＮＩＸTM用ｂｉｎｄ等）、サービスプログラムの利
用者がソースに対する修正差分を入手するか、利用者が
修正を行ってコンパイルすることで、サービスプログラ
ムをＤｏＳアタックに対応するものに交換することが可
能とされている。
そのプログラムのソースファイルが公開されているため
（ＵＮＩＸTM用ｂｉｎｄ等）、サービスプログラムの利
用者がソースに対する修正差分を入手するか、利用者が
修正を行ってコンパイルすることで、サービスプログラ
ムをＤｏＳアタックに対応するものに交換することが可
能とされている。
【００１２】しかしながら、ソースファイルが公開され
ていない場合（例えばＭｉｃｒｏｓｏｆｔ社製Ｗｉｎｄ
ｏｗｓ ＮＴ Ｓｅｒｖｅｒ ４．０に含まれるＤＮＳ
サーバ等の場合）、サービスプログラム開発者が修正モ
ジュールをサービスプログラム利用者に配布するまでに
時間を要し、ＤｏＳアタック等の問題が指摘されてから
長い間、この問題に対して、適切な対処を施すことがで
きない状態にあった。
ていない場合（例えばＭｉｃｒｏｓｏｆｔ社製Ｗｉｎｄ
ｏｗｓ ＮＴ Ｓｅｒｖｅｒ ４．０に含まれるＤＮＳ
サーバ等の場合）、サービスプログラム開発者が修正モ
ジュールをサービスプログラム利用者に配布するまでに
時間を要し、ＤｏＳアタック等の問題が指摘されてから
長い間、この問題に対して、適切な対処を施すことがで
きない状態にあった。
【００１３】またソースファイルが公開されていても、
利用者自身のプログラミングスキルの不足等の理由によ
り、適切に対処できない場合もある。
利用者自身のプログラミングスキルの不足等の理由によ
り、適切に対処できない場合もある。
【００１４】以上、ＤｏＳアタックについて説明した
が、サービスは停止しないにしても、サービスプログラ
ムの実装上の問題により、本来得られるべき正常な応答
が返らない場合も、同様の問題が発生する。
が、サービスは停止しないにしても、サービスプログラ
ムの実装上の問題により、本来得られるべき正常な応答
が返らない場合も、同様の問題が発生する。
【００１５】また、組織のネットワークセキュリティ管
理上、組織内部から組織外のホストに対してセキュリテ
ィ上脅威となる攻撃を行うことが可能とならないよう
に、対策を施さなければならないといったセキュリティ
要件を掲げる組織も存在する。
理上、組織内部から組織外のホストに対してセキュリテ
ィ上脅威となる攻撃を行うことが可能とならないよう
に、対策を施さなければならないといったセキュリティ
要件を掲げる組織も存在する。
【００１６】なお、米国特許第５，８０５，８２０号に
は、ＤＮＳにおいて、ドメインの内部情報に対する問い
合わせ要求をリダイレクト（redirect）することで、組
織内ネットワークのドメイン名及びＩＰアドレス等のネ
ットワーク構成情報（private information）をＤＮＳ
を通じて組織外に送信しないようにした方法及びこれを
実現する装置について提案されているが、ＤｏＳアタッ
ク等の問題には対処できていない。
は、ＤＮＳにおいて、ドメインの内部情報に対する問い
合わせ要求をリダイレクト（redirect）することで、組
織内ネットワークのドメイン名及びＩＰアドレス等のネ
ットワーク構成情報（private information）をＤＮＳ
を通じて組織外に送信しないようにした方法及びこれを
実現する装置について提案されているが、ＤｏＳアタッ
ク等の問題には対処できていない。
【００１７】したがって本発明は、上記問題点に鑑みて
なされたものであって、その目的は、組織外の者が組織
のネットワーク構成情報を利用して組織のネットワーク
に侵入を行う事を防ぐとともに、異常な形式のパケット
を受信する事でＤＮＳサーバの動作が異常になる事を未
然に防ぐ、ＤＮＳサーバフィルタ及び記録媒体を提供す
ることにある。
なされたものであって、その目的は、組織外の者が組織
のネットワーク構成情報を利用して組織のネットワーク
に侵入を行う事を防ぐとともに、異常な形式のパケット
を受信する事でＤＮＳサーバの動作が異常になる事を未
然に防ぐ、ＤＮＳサーバフィルタ及び記録媒体を提供す
ることにある。
【００１８】
【課題を解決するための手段】前記目的を達成する本発
明のＤＮＳサーバフィルタは、受信したＤＮＳパケット
について、該パケットをＤＮＳサーバに渡すまえに、該
パケットに異常があるか否か検査するパケット検証手段
を備え、異常を検出した際に、エラー応答パケット生成
して、要求元に返す、構成とされている。
明のＤＮＳサーバフィルタは、受信したＤＮＳパケット
について、該パケットをＤＮＳサーバに渡すまえに、該
パケットに異常があるか否か検査するパケット検証手段
を備え、異常を検出した際に、エラー応答パケット生成
して、要求元に返す、構成とされている。
【００１９】本発明は、ＤＮＳプロトコルにおける端末
及びＤＮＳサーバからの問い合わせ、及びＤＮＳサーバ
からの応答パケットを受信するパケット受信部と、問い
合わせ要求を管理するためのセション管理テーブルを備
え、問い合わせ及び応答パケットを管理し全体の制御を
行うセション管理部と、問い合わせ及び応答パケットが
異常であるか否かを検査するパケット検証部と、ＤＮＳ
サーバへの問い合わせパケットを生成する要求生成部
と、問い合わせパケットの送信元に返す応答パケットを
生成する応答生成部と、問い合わせ及び応答パケットを
送信するパケット送信部と、を備え、受信したＤＮＳパ
ケットについて該パケットをＤＮＳサーバに渡すまえ
に、内容に異常があるか否か検査し、異常を検出した際
に、エラー応答パケット生成して要求元に返す。
及びＤＮＳサーバからの問い合わせ、及びＤＮＳサーバ
からの応答パケットを受信するパケット受信部と、問い
合わせ要求を管理するためのセション管理テーブルを備
え、問い合わせ及び応答パケットを管理し全体の制御を
行うセション管理部と、問い合わせ及び応答パケットが
異常であるか否かを検査するパケット検証部と、ＤＮＳ
サーバへの問い合わせパケットを生成する要求生成部
と、問い合わせパケットの送信元に返す応答パケットを
生成する応答生成部と、問い合わせ及び応答パケットを
送信するパケット送信部と、を備え、受信したＤＮＳパ
ケットについて該パケットをＤＮＳサーバに渡すまえ
に、内容に異常があるか否か検査し、異常を検出した際
に、エラー応答パケット生成して要求元に返す。
【００２０】
【発明の実施の形態】本発明の実施の形態について説明
する。本発明のＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙ
ｓｔｅｍ）サーバフィルタは、ＲＦＣ（Ｒｅｑｕｅｓｔ
Ｆｏｒ Ｃｏｍｍｅｎｔｓ）１０３４、１０３５、及
びこれに関連するＲＦＣ文書により定義されたＤＮＳプ
ロトコルによりＩＰアドレスとホスト名及びドメイン名
の対応を関連付けるサービスを行うＤＮＳサーバを含む
ネットワークシステムにおいて、ＤＮＳパケットを、Ｄ
ＮＳサーバに渡す前に、その内容を検査し、異常があれ
ば、エラー応答を返し、検査のための処理を、利用者が
追加及び削除する事を可能としている。
する。本発明のＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙ
ｓｔｅｍ）サーバフィルタは、ＲＦＣ（Ｒｅｑｕｅｓｔ
Ｆｏｒ Ｃｏｍｍｅｎｔｓ）１０３４、１０３５、及
びこれに関連するＲＦＣ文書により定義されたＤＮＳプ
ロトコルによりＩＰアドレスとホスト名及びドメイン名
の対応を関連付けるサービスを行うＤＮＳサーバを含む
ネットワークシステムにおいて、ＤＮＳパケットを、Ｄ
ＮＳサーバに渡す前に、その内容を検査し、異常があれ
ば、エラー応答を返し、検査のための処理を、利用者が
追加及び削除する事を可能としている。
【００２１】本発明によれば、 ・外部ネットワークからの異常な形式のＤＮＳパケット
を受信することによりＤＮＳサーバが異常動作を引き起
こすこと、 ・内部ネットワークのホストが異常な形式のＤＮＳパケ
ットをＤＮＳサーバが外部ネットワークに送信すること
で外部ネットワークに属するホストを異常動作させるこ
と、 ・組織外の侵入者が内部ネットワークの情報を得るため
に外部ネットワークからアクセスして内部ネットワーク
の名前情報を取得すること、等のセキュリティ上の攻撃
から、内部ネットワークのＤＮＳサーバと内部ネットワ
ークシステムを防御し、外部ネットワークに対してＤＮ
Ｓプロトコルを通じて異常な動作を引き起こさせたり、
セキュリティ上の攻撃を行うことを防ぎ、ＤＮＳに関す
る問題の素早い対応を可能としている。
を受信することによりＤＮＳサーバが異常動作を引き起
こすこと、 ・内部ネットワークのホストが異常な形式のＤＮＳパケ
ットをＤＮＳサーバが外部ネットワークに送信すること
で外部ネットワークに属するホストを異常動作させるこ
と、 ・組織外の侵入者が内部ネットワークの情報を得るため
に外部ネットワークからアクセスして内部ネットワーク
の名前情報を取得すること、等のセキュリティ上の攻撃
から、内部ネットワークのＤＮＳサーバと内部ネットワ
ークシステムを防御し、外部ネットワークに対してＤＮ
Ｓプロトコルを通じて異常な動作を引き起こさせたり、
セキュリティ上の攻撃を行うことを防ぎ、ＤＮＳに関す
る問題の素早い対応を可能としている。
【００２２】本発明は、ＤＮＳプロトコルにおける端末
及びＤＮＳサーバからの問い合わせ、及びＤＮＳサーバ
からの応答パケットを受信するパケット受信部（２）
と、ＤＮＳ問い合わせ要求を管理するためのセション管
理テーブル（８）を備え、問い合わせ及び応答パケット
を管理し全体の制御を行うセション管理部（３）と、問
い合わせ及び応答パケットが異常であるか否かを検査す
るパケット検証部（４）と、ＤＮＳサーバへの問い合わ
せパケットを生成する要求生成部（５）と、問い合わせ
パケットの送信元に返す応答パケットを生成する応答生
成部（６）と、問い合わせ及び応答パケットを送信する
パケット送信部（７）と、を備え、受信したＤＮＳパケ
ットについて該パケットをＤＮＳサーバに渡す前に、内
容に異常があるか否か検査し、異常を検出した際に、エ
ラー応答パケット生成して要求元へ返す。
及びＤＮＳサーバからの問い合わせ、及びＤＮＳサーバ
からの応答パケットを受信するパケット受信部（２）
と、ＤＮＳ問い合わせ要求を管理するためのセション管
理テーブル（８）を備え、問い合わせ及び応答パケット
を管理し全体の制御を行うセション管理部（３）と、問
い合わせ及び応答パケットが異常であるか否かを検査す
るパケット検証部（４）と、ＤＮＳサーバへの問い合わ
せパケットを生成する要求生成部（５）と、問い合わせ
パケットの送信元に返す応答パケットを生成する応答生
成部（６）と、問い合わせ及び応答パケットを送信する
パケット送信部（７）と、を備え、受信したＤＮＳパケ
ットについて該パケットをＤＮＳサーバに渡す前に、内
容に異常があるか否か検査し、異常を検出した際に、エ
ラー応答パケット生成して要求元へ返す。
【００２３】パケット検証部（４）が、検証プログラム
のエントリポイントアドレスと、検証プログラムの実行
の優先順位と、検証プログラムの属性情報とを備えたプ
ログラム管理テーブル（４０）を備え、前記検証ソフト
ウェアの属性を参照し、実行すべき検証プログラムを選
択して実行に移す制御を行う呼出管理部（３０）と、管
理ツールもしくは設定ファイルで指示された検証プログ
ラムの実行ファイルをメモリ上にロードし、ロードされ
た検証プログラムを初期化し、検証プログラムのエント
リポイントを入手した属性と共に前記呼出管理部のプロ
グラム管理テーブルに登録し、及び前記管理ツールで削
除を指示された検証プログラムのメモリ上からの解放処
理を行うロード管理部（３６）と、検証プログラムから
呼び出されるＤＮＳサーバフィルタ本体の機能を利用す
るためのサブルーチン群よりなるサービスルーチン（３
１）と、を備えている。
のエントリポイントアドレスと、検証プログラムの実行
の優先順位と、検証プログラムの属性情報とを備えたプ
ログラム管理テーブル（４０）を備え、前記検証ソフト
ウェアの属性を参照し、実行すべき検証プログラムを選
択して実行に移す制御を行う呼出管理部（３０）と、管
理ツールもしくは設定ファイルで指示された検証プログ
ラムの実行ファイルをメモリ上にロードし、ロードされ
た検証プログラムを初期化し、検証プログラムのエント
リポイントを入手した属性と共に前記呼出管理部のプロ
グラム管理テーブルに登録し、及び前記管理ツールで削
除を指示された検証プログラムのメモリ上からの解放処
理を行うロード管理部（３６）と、検証プログラムから
呼び出されるＤＮＳサーバフィルタ本体の機能を利用す
るためのサブルーチン群よりなるサービスルーチン（３
１）と、を備えている。
【００２４】本発明は、その好ましい一実施の形態にお
いて、セション管理テーブル（８）が、要求パケットへ
のポインタ（６０）と、問い合わせ要求を行った要求元
のＩＰアドレス（６１）と、問い合わせ要求を行った要
求元ポート番号（６２）と、問い合わせ要求のパケット
形式が正常であった場合に問い合わせ要求を別のＤＮＳ
サーバに転送しているかどうかを示すフラグと（６
３）、を備え、パケット受信部（２）がＤＮＳパケット
を受信すると、該パケットを前記セション管理部（３）
に渡し、セション管理部（３）は、セション管理テーブ
ル（８）に、受信したパケットの送信元のＩＰアドレ
ス、受信したパケットのポート番号を設定し、テスト中
を意味する値をフラグを設定したのち、セション管理部
（３）は、受信パケットをパケット検証部（４）に渡し
てパケットの検査を依頼し、パケット検証部（４）でパ
ケットの検査を行い、検査結果に問題がある場合、前記
セション管理部（３）が受信パケットの種別を調べ、そ
れが問い合わせ要求であるか否か判定し、問い合わせ要
求であれば、前記セション管理部は、前記応答生成部
（６）に対して、エラー応答パケットの生成を依頼し、
生成されたパケットを前記セション管理テーブル（８）
の要求元ＩＰアドレス、ポート番号で指定される相手に
対して、パケット送信部（７）に送信を依頼し、受信し
た応答パケットについて、セション管理テーブル（８）
に登録された情報を削除し、受信した問い合わせ要求パ
ケットを解放する。
いて、セション管理テーブル（８）が、要求パケットへ
のポインタ（６０）と、問い合わせ要求を行った要求元
のＩＰアドレス（６１）と、問い合わせ要求を行った要
求元ポート番号（６２）と、問い合わせ要求のパケット
形式が正常であった場合に問い合わせ要求を別のＤＮＳ
サーバに転送しているかどうかを示すフラグと（６
３）、を備え、パケット受信部（２）がＤＮＳパケット
を受信すると、該パケットを前記セション管理部（３）
に渡し、セション管理部（３）は、セション管理テーブ
ル（８）に、受信したパケットの送信元のＩＰアドレ
ス、受信したパケットのポート番号を設定し、テスト中
を意味する値をフラグを設定したのち、セション管理部
（３）は、受信パケットをパケット検証部（４）に渡し
てパケットの検査を依頼し、パケット検証部（４）でパ
ケットの検査を行い、検査結果に問題がある場合、前記
セション管理部（３）が受信パケットの種別を調べ、そ
れが問い合わせ要求であるか否か判定し、問い合わせ要
求であれば、前記セション管理部は、前記応答生成部
（６）に対して、エラー応答パケットの生成を依頼し、
生成されたパケットを前記セション管理テーブル（８）
の要求元ＩＰアドレス、ポート番号で指定される相手に
対して、パケット送信部（７）に送信を依頼し、受信し
た応答パケットについて、セション管理テーブル（８）
に登録された情報を削除し、受信した問い合わせ要求パ
ケットを解放する。
【００２５】また受信パケットが問い合わせ要求でない
場合、セション管理部（３）が、セション管理テーブル
（８）を検索して、元の問い合わせ要求に関する部分を
取り出し、検索されたセション管理テーブル（８）のエ
ントリの要求パケットへのポインタから、問い合わせ要
求パケットを参照して、これを基に、応答生成部（６）
に対して、エラー応答パケットの生成を依頼し、セショ
ン管理テーブル（８）の要求元ＩＰアドレス、及びポー
ト番号で指定される相手に対して、生成した応答パケッ
トを送信するように、パケット送信部（７）に対して依
頼し、受信した応答パケットについて、セション管理テ
ーブル（８）に登録されている情報を削除して応答パケ
ットを解放するとともに、該応答パケットに対応する問
い合わせ要求について、セション管理テーブルに登録さ
れているエントリも削除する。
場合、セション管理部（３）が、セション管理テーブル
（８）を検索して、元の問い合わせ要求に関する部分を
取り出し、検索されたセション管理テーブル（８）のエ
ントリの要求パケットへのポインタから、問い合わせ要
求パケットを参照して、これを基に、応答生成部（６）
に対して、エラー応答パケットの生成を依頼し、セショ
ン管理テーブル（８）の要求元ＩＰアドレス、及びポー
ト番号で指定される相手に対して、生成した応答パケッ
トを送信するように、パケット送信部（７）に対して依
頼し、受信した応答パケットについて、セション管理テ
ーブル（８）に登録されている情報を削除して応答パケ
ットを解放するとともに、該応答パケットに対応する問
い合わせ要求について、セション管理テーブルに登録さ
れているエントリも削除する。
【００２６】またパケット検証部（４）でパケットの検
査を行い、検査結果に問題がない場合、セション管理部
（３）が受信パケットの種別を調べ、応答パケットの場
合、セション管理部（３）は該応答パケットに対応する
問い合わせ要求の情報を、前記セション管理テーブル
（８）から検索し、セション管理部（３）が受信した応
答パケットが元の問い合わせ要求に対する回答となって
いるかどうかを調べ、調査の結果、さらに問い合わせを
行う必要があれば、セション管理部（３）は、受信した
応答パケットの情報から次の問い合わせ先を決定し、セ
ション管理部（３）は、要求生成部（５）に問い合わせ
要求パケットの生成を依頼し、前記パケット送信部
（７）に対して次の問い合わせ先への送信を依頼し、セ
ション管理部（３）は、受信した問い合わせの途中経過
である応答パケットに関する情報を前記セション管理テ
ーブルから削除し応答パケットを解放し、前記調査の結
果、元々の問い合わせパケットに対する回答となる応答
パケットを受信した場合、セション管理部（３）は、応
答パケットを受信した応答パケットの結果を反映させた
元の問い合わせ要求に対する応答パケットの生成を前記
応答生成部（６）に依頼し、パケット送信部（７）に元
の問い合わせ要求の送信元に対して送信を依頼し、受信
した応答パケットに関連する情報をセション管理テーブ
ル（８）から削除し、元の問い合わせ要求に関する情報
を前記セション管理テーブル（８）から削除し応答パケ
ットを解放する。
査を行い、検査結果に問題がない場合、セション管理部
（３）が受信パケットの種別を調べ、応答パケットの場
合、セション管理部（３）は該応答パケットに対応する
問い合わせ要求の情報を、前記セション管理テーブル
（８）から検索し、セション管理部（３）が受信した応
答パケットが元の問い合わせ要求に対する回答となって
いるかどうかを調べ、調査の結果、さらに問い合わせを
行う必要があれば、セション管理部（３）は、受信した
応答パケットの情報から次の問い合わせ先を決定し、セ
ション管理部（３）は、要求生成部（５）に問い合わせ
要求パケットの生成を依頼し、前記パケット送信部
（７）に対して次の問い合わせ先への送信を依頼し、セ
ション管理部（３）は、受信した問い合わせの途中経過
である応答パケットに関する情報を前記セション管理テ
ーブルから削除し応答パケットを解放し、前記調査の結
果、元々の問い合わせパケットに対する回答となる応答
パケットを受信した場合、セション管理部（３）は、応
答パケットを受信した応答パケットの結果を反映させた
元の問い合わせ要求に対する応答パケットの生成を前記
応答生成部（６）に依頼し、パケット送信部（７）に元
の問い合わせ要求の送信元に対して送信を依頼し、受信
した応答パケットに関連する情報をセション管理テーブ
ル（８）から削除し、元の問い合わせ要求に関する情報
を前記セション管理テーブル（８）から削除し応答パケ
ットを解放する。
【００２７】受信したパケットが問い合わせ要求である
場合、セション管理部（３）が受信パケットの送信元を
調べ、前記送信元が組織内部のネットワークからの問い
合わせでない場合、組織外のネットワークの問い合わせ
要求を解決するために前記セション管理部は、まず最初
に問い合わせる組織外のＤＮＳサーバを決定し、元の問
い合わせ要求を元にした問い合わせ要求の生成を要求生
成部（５）に依頼し、その問い合わせ要求パケットを、
前記決定されたＤＮＳサーバに対して送信するようにパ
ケット送信部に対して依頼し、前記送信元が組織内部の
ネットワークからの問い合わせである場合、セション管
理部（３）は受信した問い合わせ要求パケットを元に要
求生成部（５）に問い合わせ要求パケットの生成を依頼
し、ＤＮＳサーバに対する問い合わせパケットの送信を
パケット送信部（７）に依頼し、セション管理部（３）
は、受信したパケットに対応するセション管理テーブル
（８）のエントリ中のフラグに、「問い合わせ中」の値
を設定し、受信パケットへのポインタをセション管理テ
ーブル（８）のエントリのポインタに設定する。
場合、セション管理部（３）が受信パケットの送信元を
調べ、前記送信元が組織内部のネットワークからの問い
合わせでない場合、組織外のネットワークの問い合わせ
要求を解決するために前記セション管理部は、まず最初
に問い合わせる組織外のＤＮＳサーバを決定し、元の問
い合わせ要求を元にした問い合わせ要求の生成を要求生
成部（５）に依頼し、その問い合わせ要求パケットを、
前記決定されたＤＮＳサーバに対して送信するようにパ
ケット送信部に対して依頼し、前記送信元が組織内部の
ネットワークからの問い合わせである場合、セション管
理部（３）は受信した問い合わせ要求パケットを元に要
求生成部（５）に問い合わせ要求パケットの生成を依頼
し、ＤＮＳサーバに対する問い合わせパケットの送信を
パケット送信部（７）に依頼し、セション管理部（３）
は、受信したパケットに対応するセション管理テーブル
（８）のエントリ中のフラグに、「問い合わせ中」の値
を設定し、受信パケットへのポインタをセション管理テ
ーブル（８）のエントリのポインタに設定する。
【００２８】本発明においては、（ａ）ＤＮＳプロトコ
ルにおける端末及びＤＮＳサーバからの問い合わせ、及
びＤＮＳサーバからの応答パケットを通信装置を介して
受信するパケット受信処理と、（ｂ）ＤＮＳ問い合わせ
要求を管理するためのセション管理テーブルを備え、問
い合わせ及び応答パケットを管理し全体の制御を行うセ
ション管理処理と、（ｃ）問い合わせ及び応答パケット
が異常であるか否かを検査するパケット検証処理と、
（ｄ）ＤＮＳサーバへの問い合わせパケットを生成する
要求生成処理と、問い合わせパケットの送信元に返す応
答パケットを生成する応答生成処理と、（ｅ）問い合わ
せ及び応答パケットを通信装置を介して送信するように
制御するパケット送信処理と、を備え、受信したＤＮＳ
パケットについて該パケットをＤＮＳサーバに渡すまえ
に、内容に異常があるか否か検査し、異常を検出した際
に、エラー応答パケット生成して返す、ＤＮＳサーバフ
ィルタの前記各処理は、コンピュータ上で実行プログラ
ムを実行することで実現される。この場合、該プログラ
ムを記録した記録媒体からプログラムを読み出し装置を
介して、もしくは通信媒体を介してダウンロードしてコ
ンピュータに読み出しインストールし該プログラムの実
行形式をコンピュータの主メモリにロードして実行する
ことで、本発明のＤＮＳサーバフィルタを実施すること
ができる。
ルにおける端末及びＤＮＳサーバからの問い合わせ、及
びＤＮＳサーバからの応答パケットを通信装置を介して
受信するパケット受信処理と、（ｂ）ＤＮＳ問い合わせ
要求を管理するためのセション管理テーブルを備え、問
い合わせ及び応答パケットを管理し全体の制御を行うセ
ション管理処理と、（ｃ）問い合わせ及び応答パケット
が異常であるか否かを検査するパケット検証処理と、
（ｄ）ＤＮＳサーバへの問い合わせパケットを生成する
要求生成処理と、問い合わせパケットの送信元に返す応
答パケットを生成する応答生成処理と、（ｅ）問い合わ
せ及び応答パケットを通信装置を介して送信するように
制御するパケット送信処理と、を備え、受信したＤＮＳ
パケットについて該パケットをＤＮＳサーバに渡すまえ
に、内容に異常があるか否か検査し、異常を検出した際
に、エラー応答パケット生成して返す、ＤＮＳサーバフ
ィルタの前記各処理は、コンピュータ上で実行プログラ
ムを実行することで実現される。この場合、該プログラ
ムを記録した記録媒体からプログラムを読み出し装置を
介して、もしくは通信媒体を介してダウンロードしてコ
ンピュータに読み出しインストールし該プログラムの実
行形式をコンピュータの主メモリにロードして実行する
ことで、本発明のＤＮＳサーバフィルタを実施すること
ができる。
【００２９】
【実施例】本発明の実施例について図面を参照して以下
に説明する。図１は、本発明の一実施例のＤＮＳサーバ
フィルタの構成を示す図である。図１を参照すると、Ｄ
ＮＳサーバフィルタ１は、ＤＮＳプロトコルにおける端
末及びＤＮＳサーバからの問い合わせ及びＤＮＳサーバ
からの応答パケットを受信するパケット受信部２と、問
い合わせ及び応答パケットを管理し全体の制御を行うセ
ション管理部３と、問い合わせ及び応答パケットが異常
であるか否かを検査するパケット検証部４と、ＤＮＳサ
ーバへの問い合わせパケットを生成する要求生成部５
と、問い合わせパケットの送信元に返す応答パケットを
生成する応答生成部６と、問い合わせ及び応答パケット
を送信するパケット送信部７と、を備えて構成されてい
る。またセション管理部３は、ＤＮＳ問い合わせ要求を
管理するためのセション管理テーブル８を持つ。
に説明する。図１は、本発明の一実施例のＤＮＳサーバ
フィルタの構成を示す図である。図１を参照すると、Ｄ
ＮＳサーバフィルタ１は、ＤＮＳプロトコルにおける端
末及びＤＮＳサーバからの問い合わせ及びＤＮＳサーバ
からの応答パケットを受信するパケット受信部２と、問
い合わせ及び応答パケットを管理し全体の制御を行うセ
ション管理部３と、問い合わせ及び応答パケットが異常
であるか否かを検査するパケット検証部４と、ＤＮＳサ
ーバへの問い合わせパケットを生成する要求生成部５
と、問い合わせパケットの送信元に返す応答パケットを
生成する応答生成部６と、問い合わせ及び応答パケット
を送信するパケット送信部７と、を備えて構成されてい
る。またセション管理部３は、ＤＮＳ問い合わせ要求を
管理するためのセション管理テーブル８を持つ。
【００３０】図２は、本発明の一実施例のＤＮＳサーバ
フィルタ１をファイアウォール内に実装した場合の構成
の一例を示す図である。図２において、ファイアウォー
ル１０は、インターネットの様な、これが置かれる組織
の管理外のネットワーク１５と、組織内のネットワーク
１６とを、セキュリティを保ちながら相互接続する役割
を持ち、ＤＮＳについて、 ・ネットワーク１５に属する端末１７がネットワーク１
６に属する端末１８のホスト名とＩＰアドレスの情報や
ネットワーク１６の名前空間に関する情報を取得するこ
と、 ・端末１７からネットワーク１５を通じてＤＮＳサーバ
１１に対してＤＮＳプロトコル上不正なパケットを送付
することで、ＤＮＳサーバ１１に動作異常を引き起こす
こと、 ・端末１８やＤＮＳサーバ１１が端末１７やネットワー
ク１５に属するホストに対してＤＮＳプロトコル上異常
なパケットを送付すること、を防ぐ機能を具備すること
が要請されており、本発明の一実施例においては、ＤＮ
Ｓサーバフィルタ１により、これらの機能要件を満たし
ている。
フィルタ１をファイアウォール内に実装した場合の構成
の一例を示す図である。図２において、ファイアウォー
ル１０は、インターネットの様な、これが置かれる組織
の管理外のネットワーク１５と、組織内のネットワーク
１６とを、セキュリティを保ちながら相互接続する役割
を持ち、ＤＮＳについて、 ・ネットワーク１５に属する端末１７がネットワーク１
６に属する端末１８のホスト名とＩＰアドレスの情報や
ネットワーク１６の名前空間に関する情報を取得するこ
と、 ・端末１７からネットワーク１５を通じてＤＮＳサーバ
１１に対してＤＮＳプロトコル上不正なパケットを送付
することで、ＤＮＳサーバ１１に動作異常を引き起こす
こと、 ・端末１８やＤＮＳサーバ１１が端末１７やネットワー
ク１５に属するホストに対してＤＮＳプロトコル上異常
なパケットを送付すること、を防ぐ機能を具備すること
が要請されており、本発明の一実施例においては、ＤＮ
Ｓサーバフィルタ１により、これらの機能要件を満たし
ている。
【００３１】ＤＮＳサーバ１１は、ＮＩＣ（Ｎｅｔｗｏ
ｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１３が属するサ
ブネットワーク等のネットワーク１５のＤＮＳ情報の一
部と、ネットワーク１６のＤＮＳ情報の一部を管理し、
ＤＮＳプロトコルに従い問い合わせに対する応答する機
能を持つ。
ｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１３が属するサ
ブネットワーク等のネットワーク１５のＤＮＳ情報の一
部と、ネットワーク１６のＤＮＳ情報の一部を管理し、
ＤＮＳプロトコルに従い問い合わせに対する応答する機
能を持つ。
【００３２】ＴＣＰ／ＩＰドライバ１２は、ＮＩＣ１３
及びＮＩＣ１４を通じて、ＴＣＰ／ＩＰプロトコルで通
信を行うための制御を行うものであり、ＤＮＳサーバフ
ィルタ１やＤＮＳサーバ１１はこのＴＣＰ／ＩＰドライ
バ１２上で動作するプロセスである。
及びＮＩＣ１４を通じて、ＴＣＰ／ＩＰプロトコルで通
信を行うための制御を行うものであり、ＤＮＳサーバフ
ィルタ１やＤＮＳサーバ１１はこのＴＣＰ／ＩＰドライ
バ１２上で動作するプロセスである。
【００３３】また、ファイアウォール１０は、端末１７
から直接ＴＣＰ／ＩＰプロトコルにより端末１８と通信
を行うことを許可しない設定（一般的にこの様な設定を
ＩＰｆｏｒｗａｒｄ（フォワード）がｏｆｆ（オフ）で
あるという）となっており、ＤＮＳサーバフィルタ１は
ＮＩＣ１３、ＤＮＳサーバ１１はＮＩＣ１４のＩＰアド
レス宛に送付された問い合わせ要求のみ受け付けるよう
に設定されている。
から直接ＴＣＰ／ＩＰプロトコルにより端末１８と通信
を行うことを許可しない設定（一般的にこの様な設定を
ＩＰｆｏｒｗａｒｄ（フォワード）がｏｆｆ（オフ）で
あるという）となっており、ＤＮＳサーバフィルタ１は
ＮＩＣ１３、ＤＮＳサーバ１１はＮＩＣ１４のＩＰアド
レス宛に送付された問い合わせ要求のみ受け付けるよう
に設定されている。
【００３４】図３は、本発明の一実施例のＤＮＳサーバ
フィルタ１を１台の装置に実装し、組織のネットワーク
に設置した場合の構成を示す図である。図３において、
ファイアウォール２０は、パケットフィルタリング型フ
ァイアウォールであり、図２のファイアウォールとは異
なり、組織外ネットワーク１５に属する端末１７と組織
のネットワーク１６に属する端末１８間での直接のＴＣ
Ｐ／ＩＰプロトコルによる通信を、ファイアウォール２
０の設定により、許可されたポートやアドレスに限り可
能としている。
フィルタ１を１台の装置に実装し、組織のネットワーク
に設置した場合の構成を示す図である。図３において、
ファイアウォール２０は、パケットフィルタリング型フ
ァイアウォールであり、図２のファイアウォールとは異
なり、組織外ネットワーク１５に属する端末１７と組織
のネットワーク１６に属する端末１８間での直接のＴＣ
Ｐ／ＩＰプロトコルによる通信を、ファイアウォール２
０の設定により、許可されたポートやアドレスに限り可
能としている。
【００３５】図３において、ファイアウォール２０は、
ネットワーク１６を保護する目的で設置され、ＤＮＳプ
ロトコルについてみると、端末１７がネットワーク１５
を経由してＤＮＳプロトコルでアクセスできるのは、Ｄ
ＮＳサーバフィルタ１のみであり、組織内のＤＮＳサー
バ１１にはアクセスが許可されておらず、また、ＤＮＳ
サーバ１１や端末１８も、直接ＤＮＳプロトコルでネッ
トワーク１５上のホストへのアクセスは許可されていな
い設定とされている。
ネットワーク１６を保護する目的で設置され、ＤＮＳプ
ロトコルについてみると、端末１７がネットワーク１５
を経由してＤＮＳプロトコルでアクセスできるのは、Ｄ
ＮＳサーバフィルタ１のみであり、組織内のＤＮＳサー
バ１１にはアクセスが許可されておらず、また、ＤＮＳ
サーバ１１や端末１８も、直接ＤＮＳプロトコルでネッ
トワーク１５上のホストへのアクセスは許可されていな
い設定とされている。
【００３６】組織のネットワーク１６に属するファイア
ウォール２０、ＤＮＳサーバフィルタ１、ＤＮＳサーバ
１１、端末１８の間は、ＤＮＳプロトコルに限らず、任
意のＴＣＰ／ＩＰ上のプロトコルで通信可能である。
ウォール２０、ＤＮＳサーバフィルタ１、ＤＮＳサーバ
１１、端末１８の間は、ＤＮＳプロトコルに限らず、任
意のＴＣＰ／ＩＰ上のプロトコルで通信可能である。
【００３７】ＤＮＳサーバ１１は、ＤＮＳサーバフィル
タ１に対してフォワーダの設定を行っている。即ち、Ｄ
ＮＳサーバ１１に対して、端末１８からのネットワーク
１５に属する端末１７のドメイン名やＩＰアドレスの問
い合わせ要求を受信すると、ＤＮＳサーバ１１は、該問
い合わせ要求が、ネットワーク１６に属さないホストに
関するものであると認識し、該問い合わせ要求を、ＤＮ
Ｓサーバフィルタ１に転送（フォワード）する。また端
末１８が参照するＤＮＳサーバは、ＤＮＳサーバ１１に
設定されている。
タ１に対してフォワーダの設定を行っている。即ち、Ｄ
ＮＳサーバ１１に対して、端末１８からのネットワーク
１５に属する端末１７のドメイン名やＩＰアドレスの問
い合わせ要求を受信すると、ＤＮＳサーバ１１は、該問
い合わせ要求が、ネットワーク１６に属さないホストに
関するものであると認識し、該問い合わせ要求を、ＤＮ
Ｓサーバフィルタ１に転送（フォワード）する。また端
末１８が参照するＤＮＳサーバは、ＤＮＳサーバ１１に
設定されている。
【００３８】図４は、本発明の一実施例のＤＮＳサーバ
フィルタ１におけるパケット検証部４の構成を示す図で
ある。図４を参照すると、呼出管理部３０は、検証プロ
グラム（ソフトウェア）３２、３３、３４、３５の属性
を参照して実行すべきものを選択して実行に移す制御を
行うものであり、検証プログラムを管理するためのプロ
グラム管理テーブル４０を備えている。
フィルタ１におけるパケット検証部４の構成を示す図で
ある。図４を参照すると、呼出管理部３０は、検証プロ
グラム（ソフトウェア）３２、３３、３４、３５の属性
を参照して実行すべきものを選択して実行に移す制御を
行うものであり、検証プログラムを管理するためのプロ
グラム管理テーブル４０を備えている。
【００３９】ロード管理部３６は、 ・管理端末を備え操作指示情報を入力する管理ツール３
８、もしくは設定ファイル３９の情報で指示された検証
プログラムの実行ファイル３７を不図示のメモリ（ＤＮ
Ｓサーバフィルタが実装されるコンピュータのメモリ）
上にロードする処理、 ・メモリ上にロードされた検証プログラムの初期化処理
を実行させ、 ・検証プログラムのエントリポイントを入手した属性と
共に呼出管理部３０が持つプログラム管理テーブル４０
に登録する処理、 ・管理ツール３８で削除を指示された検証プログラムの
メモリ上からの解放処理、を行う。
８、もしくは設定ファイル３９の情報で指示された検証
プログラムの実行ファイル３７を不図示のメモリ（ＤＮ
Ｓサーバフィルタが実装されるコンピュータのメモリ）
上にロードする処理、 ・メモリ上にロードされた検証プログラムの初期化処理
を実行させ、 ・検証プログラムのエントリポイントを入手した属性と
共に呼出管理部３０が持つプログラム管理テーブル４０
に登録する処理、 ・管理ツール３８で削除を指示された検証プログラムの
メモリ上からの解放処理、を行う。
【００４０】サービスルーチン３１は、検証プログラム
３２、３３、３４、３５の開発を容易にするための検証
プログラムから呼び出されるＤＮＳサーバフィルタ本体
の機能を使うためのサブルーチン群である。
３２、３３、３４、３５の開発を容易にするための検証
プログラムから呼び出されるＤＮＳサーバフィルタ本体
の機能を使うためのサブルーチン群である。
【００４１】図７は、図４のプログラム管理テーブル４
０のエントリの一例である。テーブルの各エントリは、 ・検証プログラムのエントリポイントアドレス５０と、 ・検証プログラムにより指定される実行の優先順位５１
と、 ・検証プログラムにより指定される検証プログラムの属
性５２と、を備えて構成されている。
０のエントリの一例である。テーブルの各エントリは、 ・検証プログラムのエントリポイントアドレス５０と、 ・検証プログラムにより指定される実行の優先順位５１
と、 ・検証プログラムにより指定される検証プログラムの属
性５２と、を備えて構成されている。
【００４２】図８は、本発明の一実施例のＤＮＳサーバ
フィルタにおけるセション管理テーブル８のエントリの
一例である。テーブルの各エントリは、 ・要求パケットへのポインタ６０と、 ・問い合わせ要求を行った要求元ＩＰアドレス６１と、 ・問い合わせ要求を行った要求元ポート番号６２と、 ・問い合わせ要求のパケット形式が正常であった場合に
問い合わせ要求を別のＤＮＳサーバに転送しているかど
うかを示すフラグ６３と、を備えている。
フィルタにおけるセション管理テーブル８のエントリの
一例である。テーブルの各エントリは、 ・要求パケットへのポインタ６０と、 ・問い合わせ要求を行った要求元ＩＰアドレス６１と、 ・問い合わせ要求を行った要求元ポート番号６２と、 ・問い合わせ要求のパケット形式が正常であった場合に
問い合わせ要求を別のＤＮＳサーバに転送しているかど
うかを示すフラグ６３と、を備えている。
【００４３】図５及び図６は、ＤＮＳサーバフィルタ１
の動作処理を説明するためのフローチャートである。図
９は、図４のパケット検証部４の検証プログラムの実行
のフローチャートである。
の動作処理を説明するためのフローチャートである。図
９は、図４のパケット検証部４の検証プログラムの実行
のフローチャートである。
【００４４】本発明の一実施例のＤＮＳサーバフィルタ
１の動作について以下に説明する。
１の動作について以下に説明する。
【００４５】まず、図１、図５乃至図８を参照して、Ｄ
ＮＳサーバフィルタ１の動作について説明する。
ＮＳサーバフィルタ１の動作について説明する。
【００４６】ステップＳ１０１において、ＤＮＳパケッ
トを、パケット受信部２が受信すると、そのパケットを
セション管理部３に渡し、ステップＳ１０２では、セシ
ョン管理部３は、管理テーブル８にその受信したパケッ
トの送信元のＩＰアドレスを項目６１（図８参照）に、
受信したパケットのポート番号を項目６２に入れ、フラ
グ６３に「テスト中」を意味する値を設定する。
トを、パケット受信部２が受信すると、そのパケットを
セション管理部３に渡し、ステップＳ１０２では、セシ
ョン管理部３は、管理テーブル８にその受信したパケッ
トの送信元のＩＰアドレスを項目６１（図８参照）に、
受信したパケットのポート番号を項目６２に入れ、フラ
グ６３に「テスト中」を意味する値を設定する。
【００４７】次のステップＳ１０３において、セション
管理部３は、受信パケットを、パケット検証部４に渡し
てパケットの検査を依頼し、パケット検証部４でパケッ
トの検査を行う。
管理部３は、受信パケットを、パケット検証部４に渡し
てパケットの検査を依頼し、パケット検証部４でパケッ
トの検査を行う。
【００４８】ステップＳ１０４において、パケット検証
部４による検査結果に問題があるか否か判定し、正常終
了すれば（問題がない場合）、ステップＳ１１１に進
み、異常終了すれば、ステップＳ１０５に進む。
部４による検査結果に問題があるか否か判定し、正常終
了すれば（問題がない場合）、ステップＳ１１１に進
み、異常終了すれば、ステップＳ１０５に進む。
【００４９】ステップＳ１０５では、セション管理部３
が受信パケットの種別を調べ、それが問い合わせ要求
（ＤＮＳ要求）か否か判定し、ＤＮＳ要求であれば、ス
テップＳ１０６、応答パケットであればステップＳ１０
８に進む。
が受信パケットの種別を調べ、それが問い合わせ要求
（ＤＮＳ要求）か否か判定し、ＤＮＳ要求であれば、ス
テップＳ１０６、応答パケットであればステップＳ１０
８に進む。
【００５０】ステップＳ１０６では、この情報の問い合
わせ元に対してエラー応答を返さなければならない状態
であるため、セション管理部３は、応答生成部６に対し
て、エラー応答パケットの生成を依頼し、生成されたパ
ケットを、管理テーブル８の項目６１、６２の相手に対
して、パケット送信部７に送信を依頼する。
わせ元に対してエラー応答を返さなければならない状態
であるため、セション管理部３は、応答生成部６に対し
て、エラー応答パケットの生成を依頼し、生成されたパ
ケットを、管理テーブル８の項目６１、６２の相手に対
して、パケット送信部７に送信を依頼する。
【００５１】次のステップＳ１０７では、受信した応答
パケットについて、管理テーブル８に登録された情報を
削除し、受信した問い合わせ要求パケットを解放して終
了する。
パケットについて、管理テーブル８に登録された情報を
削除し、受信した問い合わせ要求パケットを解放して終
了する。
【００５２】一方、ステップＳ１０５において、受信パ
ケットがＤＮＳ要求でなく、ステップＳ１０８に移行す
るという状態は、以前、このＤＮＳサーバフィルタ１に
対して正常な問い合わせ要求が送られ、別のＤＮＳサー
バに対して問い合わせ要求を行っている状態であるが、
その結果が異常であったため、元々の問い合わせ要求を
行ったホストに対して、問い合わせが失敗したことを示
すエラー応答を返さなければならないことを意味してい
る。このため、ステップＳ１０８では、セション管理部
３が、セション管理テーブル８を検索して、元の問い合
わせ要求に関する部分を取り出す。
ケットがＤＮＳ要求でなく、ステップＳ１０８に移行す
るという状態は、以前、このＤＮＳサーバフィルタ１に
対して正常な問い合わせ要求が送られ、別のＤＮＳサー
バに対して問い合わせ要求を行っている状態であるが、
その結果が異常であったため、元々の問い合わせ要求を
行ったホストに対して、問い合わせが失敗したことを示
すエラー応答を返さなければならないことを意味してい
る。このため、ステップＳ１０８では、セション管理部
３が、セション管理テーブル８を検索して、元の問い合
わせ要求に関する部分を取り出す。
【００５３】次のステップＳ１０９では、検索された管
理テーブル８のエントリの項目６０から、問い合わせ要
求パケットを参照して、これを基に、応答生成部６に対
して、エラー応答パケットの生成を依頼し、管理テーブ
ル８の項目６１、６２の相手に対して、生成した応答パ
ケットを送信するように、パケット送信部７に対して依
頼する。
理テーブル８のエントリの項目６０から、問い合わせ要
求パケットを参照して、これを基に、応答生成部６に対
して、エラー応答パケットの生成を依頼し、管理テーブ
ル８の項目６１、６２の相手に対して、生成した応答パ
ケットを送信するように、パケット送信部７に対して依
頼する。
【００５４】次のステップＳ１１０では、受信した応答
パケットについて、管理テーブル８に登録されている情
報を削除し、応答パケットを解放し、また、これに対応
する問い合わせ要求について、管理テーブル８に登録さ
れているエントリも削除して、終了する。
パケットについて、管理テーブル８に登録されている情
報を削除し、応答パケットを解放し、また、これに対応
する問い合わせ要求について、管理テーブル８に登録さ
れているエントリも削除して、終了する。
【００５５】ステップＳ１０４の判定の結果、検査結果
正常であった場合には、図６のステップＳ１１１に分岐
する。
正常であった場合には、図６のステップＳ１１１に分岐
する。
【００５６】図６のステップＳ１１１において、セショ
ン管理部３が受信パケットの種別を調べ、それが問い合
わせ要求パケットであれば、ステップＳ１１９に進み、
応答パケットであればステップＳ１１２に進む。
ン管理部３が受信パケットの種別を調べ、それが問い合
わせ要求パケットであれば、ステップＳ１１９に進み、
応答パケットであればステップＳ１１２に進む。
【００５７】ステップＳ１１２では、セション管理部３
が、この応答パケットに対応する問い合わせ要求の情報
を、管理テーブル８から検索する。
が、この応答パケットに対応する問い合わせ要求の情報
を、管理テーブル８から検索する。
【００５８】次のステップＳ１１３では、セション管理
部３が受信した応答パケットが元の問い合わせ要求に対
する回答となっているかどうかを調べる。
部３が受信した応答パケットが元の問い合わせ要求に対
する回答となっているかどうかを調べる。
【００５９】元々の問い合わせ要求に、ＤＮＳプロトコ
ルにおける再帰問い合わせが指定されていない場合に
は、そのまま応答パケットとほぼ同じ形の応答パケット
を返せば良いが、再帰問い合わせが指定されている場合
には、ＤＮＳサーバフィルタ１が回答を得るまでＤＮＳ
サーバに対して問い合わせを行う必要がある。例えば、
“ｗｗｗ．ｆｏｏ．ｃｏ．ｊｐ”というホスト名に対す
るＩＰアドレスを検索する場合には、 ・ルートＤＮＳサーバ、 ・“ｊｐ”ドメインを管理しているＤＮＳサーバ、 ・“ｃｏ．ｊｐ”ドメインを管理しているＤＮＳサー
バ、 ・“ｆｏｏ．ｃｏ．ｊｐ”ドメインを管理しているＤＮ
Ｓサーバ、 を順に問い合わせることになり、その途中のＤＮＳサー
バからは次のＤＮＳサーバのアドレスしか教えてもらえ
ない（例えば“ｃｏ．ｊｐ”ドメインのＤＮＳサーバか
らは“ｆｏｏ．ｃｏ．ｊｐ”ドメインを管理しているＤ
ＮＳサーバのアドレスについて教えてもらえない）た
め、元々の問い合わせ要求に対しては、この応答パケッ
トは問い合わせ途中の状況を示すに過ぎず、回答にはな
り得ない。
ルにおける再帰問い合わせが指定されていない場合に
は、そのまま応答パケットとほぼ同じ形の応答パケット
を返せば良いが、再帰問い合わせが指定されている場合
には、ＤＮＳサーバフィルタ１が回答を得るまでＤＮＳ
サーバに対して問い合わせを行う必要がある。例えば、
“ｗｗｗ．ｆｏｏ．ｃｏ．ｊｐ”というホスト名に対す
るＩＰアドレスを検索する場合には、 ・ルートＤＮＳサーバ、 ・“ｊｐ”ドメインを管理しているＤＮＳサーバ、 ・“ｃｏ．ｊｐ”ドメインを管理しているＤＮＳサー
バ、 ・“ｆｏｏ．ｃｏ．ｊｐ”ドメインを管理しているＤＮ
Ｓサーバ、 を順に問い合わせることになり、その途中のＤＮＳサー
バからは次のＤＮＳサーバのアドレスしか教えてもらえ
ない（例えば“ｃｏ．ｊｐ”ドメインのＤＮＳサーバか
らは“ｆｏｏ．ｃｏ．ｊｐ”ドメインを管理しているＤ
ＮＳサーバのアドレスについて教えてもらえない）た
め、元々の問い合わせ要求に対しては、この応答パケッ
トは問い合わせ途中の状況を示すに過ぎず、回答にはな
り得ない。
【００６０】ステップＳ１１３において、このような調
査を行い、さらに問い合わせを行う必要があれば、ステ
ップＳ１１４に、必要がなければステップＳ１１７に進
む。
査を行い、さらに問い合わせを行う必要があれば、ステ
ップＳ１１４に、必要がなければステップＳ１１７に進
む。
【００６１】ステップＳ１１４の状態は、ＤＮＳサーバ
フィルタ１で、さらに他のＤＮＳサーバに対して問い合
わせが必要であることを意味している。このため、ステ
ップＳ１１４において、セション管理部３は、受信した
応答パケットの情報から次の問い合わせ先を決定する。
フィルタ１で、さらに他のＤＮＳサーバに対して問い合
わせが必要であることを意味している。このため、ステ
ップＳ１１４において、セション管理部３は、受信した
応答パケットの情報から次の問い合わせ先を決定する。
【００６２】そして、次のステップＳ１１５では、セシ
ョン管理部３が問い合わせ要求パケットを要求生成部５
に問い合わせ要求パケットの生成を依頼し、次の問い合
わせ先にパケット送信部７に送信を依頼する。
ョン管理部３が問い合わせ要求パケットを要求生成部５
に問い合わせ要求パケットの生成を依頼し、次の問い合
わせ先にパケット送信部７に送信を依頼する。
【００６３】次のステップＳ１１６では、セション管理
部３は、受信した問い合わせの途中経過である応答パケ
ットに関する情報を管理テーブル８から削除し、応答パ
ケットを解放して終了する。
部３は、受信した問い合わせの途中経過である応答パケ
ットに関する情報を管理テーブル８から削除し、応答パ
ケットを解放して終了する。
【００６４】ステップＳ１１７の状態は、元々の問い合
わせパケットに対する回答となる応答パケットを受信し
たことを意味している。このため、ステップＳ１１７で
は、セション管理部３は、応答パケットを受信した応答
パケットの結果を反映させた元の問い合わせ要求に対す
る応答パケットの生成を応答生成部６に依頼し、パケッ
ト送信部７に元の問い合わせ要求の送信元に対して送信
を依頼する。
わせパケットに対する回答となる応答パケットを受信し
たことを意味している。このため、ステップＳ１１７で
は、セション管理部３は、応答パケットを受信した応答
パケットの結果を反映させた元の問い合わせ要求に対す
る応答パケットの生成を応答生成部６に依頼し、パケッ
ト送信部７に元の問い合わせ要求の送信元に対して送信
を依頼する。
【００６５】次のステップＳ１１８では、受信した応答
パケットに関連する情報を管理テーブル８から削除し、
元の問い合わせ要求に関する情報を管理テーブル８から
削除し、応答パケットを解放して終了する。
パケットに関連する情報を管理テーブル８から削除し、
元の問い合わせ要求に関する情報を管理テーブル８から
削除し、応答パケットを解放して終了する。
【００６６】ステップＳ１１１の判定の結果、受信した
パケットが問い合わせ要求（ＤＮＳ要求）であれる場
合、ステップＳ１１９において、セション管理部３が受
信パケットの送信元を調べ、それが組織内部のネットワ
ークからの問い合わせであればステップＳ１２２に進
み、そうでなければステップＳ１２０に進む。
パケットが問い合わせ要求（ＤＮＳ要求）であれる場
合、ステップＳ１１９において、セション管理部３が受
信パケットの送信元を調べ、それが組織内部のネットワ
ークからの問い合わせであればステップＳ１２２に進
み、そうでなければステップＳ１２０に進む。
【００６７】ステップＳ１２０の状態は、組織外のネッ
トワークの問い合わせ要求を解決するために、ＤＮＳサ
ーバフィルタ１が問い合わせ元に代わって組織外のＤＮ
Ｓサーバに対して問い合わせを開始しなければならない
ことを意味している。このため、ステップＳ１２０で
は、セション管理部３は、まず最初に問い合わせる組織
外のＤＮＳサーバを決定する（多くの場合これは通常ル
ートサーバである）。
トワークの問い合わせ要求を解決するために、ＤＮＳサ
ーバフィルタ１が問い合わせ元に代わって組織外のＤＮ
Ｓサーバに対して問い合わせを開始しなければならない
ことを意味している。このため、ステップＳ１２０で
は、セション管理部３は、まず最初に問い合わせる組織
外のＤＮＳサーバを決定する（多くの場合これは通常ル
ートサーバである）。
【００６８】次のステップＳ１２１では、セション管理
部３は、元の問い合わせ要求を元にした問い合わせ要求
の生成を要求生成部５に依頼し、その問い合わせ要求パ
ケットをステップＳ１２０で決定したＤＮＳサーバに対
して送信することをパケット送信部７に依頼する。
部３は、元の問い合わせ要求を元にした問い合わせ要求
の生成を要求生成部５に依頼し、その問い合わせ要求パ
ケットをステップＳ１２０で決定したＤＮＳサーバに対
して送信することをパケット送信部７に依頼する。
【００６９】一方、ステップＳ１２２の状態は、組織内
部のネットワークに関する問い合わせを受けたことを意
味する。組織内部のネットワークに関する情報を得るた
めには、ＤＮＳサーバフィルタ１は、組織内部のＤＮＳ
サーバ１１に問い合わせを転送（フォワード）する様に
なっている。
部のネットワークに関する問い合わせを受けたことを意
味する。組織内部のネットワークに関する情報を得るた
めには、ＤＮＳサーバフィルタ１は、組織内部のＤＮＳ
サーバ１１に問い合わせを転送（フォワード）する様に
なっている。
【００７０】このため、ステップＳ１２２では、セショ
ン管理部３は受信した問い合わせ要求パケットを元に要
求生成部５に問い合わせ要求パケットの生成を依頼し、
ＤＮＳサーバ１１に問い合わせパケットをパケット送信
部７に送信を依頼する。
ン管理部３は受信した問い合わせ要求パケットを元に要
求生成部５に問い合わせ要求パケットの生成を依頼し、
ＤＮＳサーバ１１に問い合わせパケットをパケット送信
部７に送信を依頼する。
【００７１】ステップＳ１２３の状態は、問い合わせ要
求を受信して現在ＤＮＳサーバフィルタ１が別のＤＮＳ
サーバに問い合わせを行っていることを意味している。
このため、ステップＳ１２３では、セション管理部３
は、受信したパケットに対応する管理テーブル８のエン
トリ中のフラグ６３に、「問い合わせ中」の値を入れ、
受信パケットへのポインタを管理テーブル８のエントリ
中の項目６０に入れて終了する。
求を受信して現在ＤＮＳサーバフィルタ１が別のＤＮＳ
サーバに問い合わせを行っていることを意味している。
このため、ステップＳ１２３では、セション管理部３
は、受信したパケットに対応する管理テーブル８のエン
トリ中のフラグ６３に、「問い合わせ中」の値を入れ、
受信パケットへのポインタを管理テーブル８のエントリ
中の項目６０に入れて終了する。
【００７２】次に、図９を参照して、パケット検証部４
について説明する。
について説明する。
【００７３】ステップＳ２０１では、パケット検証部４
の呼出管理部３０が持つ管理テーブル４０を検索して、
管理テーブル４０中の優先順位５１が最も大きい値のエ
ントリを探し（実装では、各エントリは優先順位順に並
んでいることが望ましい）、エントリを確定する。
の呼出管理部３０が持つ管理テーブル４０を検索して、
管理テーブル４０中の優先順位５１が最も大きい値のエ
ントリを探し（実装では、各エントリは優先順位順に並
んでいることが望ましい）、エントリを確定する。
【００７４】次のステップＳ２０２では、未参照のエン
トリがあるかどうかを調べ、未参照のエントリが存在す
る場合、ステップＳ２０３に進む。
トリがあるかどうかを調べ、未参照のエントリが存在す
る場合、ステップＳ２０３に進む。
【００７５】ステップ２０３では、呼出管理部３０が、
管理テーブル４０のエントリ中の属性５２を調べて、対
応する検証プログラムを実行すべきか否かを判断する。
管理テーブル４０のエントリ中の属性５２を調べて、対
応する検証プログラムを実行すべきか否かを判断する。
【００７６】属性５２は、各検証プログラムにより指定
され、ＤＮＳサーバフィルタ１の初期化時に、設定ファ
イル３８により、もしくは、実行中に、管理ツール３８
により、ロード管理部３６による検証プログラムファイ
ル３７のロード後の検証プログラムの初期化処理時にロ
ード管理部３６に渡る値をロード管理部３６が設定する
ものであり、問い合わせ要求パケットのチェックを行う
もの、応答パケットのチェックを行うものといった検証
プログラムの種類を示す値である。
され、ＤＮＳサーバフィルタ１の初期化時に、設定ファ
イル３８により、もしくは、実行中に、管理ツール３８
により、ロード管理部３６による検証プログラムファイ
ル３７のロード後の検証プログラムの初期化処理時にロ
ード管理部３６に渡る値をロード管理部３６が設定する
ものであり、問い合わせ要求パケットのチェックを行う
もの、応答パケットのチェックを行うものといった検証
プログラムの種類を示す値である。
【００７７】次のステップＳ２０４では、管理テーブル
４０の当該エントリに対応する検証プログラムを呼出管
理部３０が実行することに決定した場合、ステップＳ２
０５に、そうでない場合はステップＳ２０７に進む。
４０の当該エントリに対応する検証プログラムを呼出管
理部３０が実行することに決定した場合、ステップＳ２
０５に、そうでない場合はステップＳ２０７に進む。
【００７８】ステップＳ２０５では、呼出管理部３０
は、管理テーブル４０の項目５０にある検証プログラム
のエントリポイントを呼び出す。
は、管理テーブル４０の項目５０にある検証プログラム
のエントリポイントを呼び出す。
【００７９】ステップＳ２０６において、呼出管理部３
０は、ステップＳ２０５で呼び出した検証プログラムの
結果を見て、正常終了か否か判定し、正常終了した場合
ステップＳ２０７に進み、異常終了した場合、検証プロ
グラムでエラーが発生した、すなわち受信したＤＮＳの
パケットは組織のセキュリティ要件に合致しない等の理
由により受け付けられないと判断されたことになるた
め、エラーをパケット検証部４の呼出元であるセション
管理部３に渡して終了する。
０は、ステップＳ２０５で呼び出した検証プログラムの
結果を見て、正常終了か否か判定し、正常終了した場合
ステップＳ２０７に進み、異常終了した場合、検証プロ
グラムでエラーが発生した、すなわち受信したＤＮＳの
パケットは組織のセキュリティ要件に合致しない等の理
由により受け付けられないと判断されたことになるた
め、エラーをパケット検証部４の呼出元であるセション
管理部３に渡して終了する。
【００８０】ステップＳ２０７では、次の検証プログラ
ムによる受信パケットのチェックを行うため、呼出管理
部３０は、先に行った検証プログラムの次に優先順位が
高いもしくは同じ優先順位である検証プログラムを、管
理テーブル４０の優先順位５１を参照して検索を行い、
ステップＳ２０２に進む。
ムによる受信パケットのチェックを行うため、呼出管理
部３０は、先に行った検証プログラムの次に優先順位が
高いもしくは同じ優先順位である検証プログラムを、管
理テーブル４０の優先順位５１を参照して検索を行い、
ステップＳ２０２に進む。
【００８１】この様にして、パケット検証部４は、ステ
ップＳ２０２からステップＳ２０７を繰り返し、ステッ
プＳ２０２において、これ以上実行する検証プログラム
が存在しないと判断された場合、これまで実行された全
ての検証プログラムが正常終了したことを意味してお
り、受信したＤＮＳパケットは組織のセキュリティ要件
を満たしたものであることから、パケット検証部４は正
常終了する。
ップＳ２０２からステップＳ２０７を繰り返し、ステッ
プＳ２０２において、これ以上実行する検証プログラム
が存在しないと判断された場合、これまで実行された全
ての検証プログラムが正常終了したことを意味してお
り、受信したＤＮＳパケットは組織のセキュリティ要件
を満たしたものであることから、パケット検証部４は正
常終了する。
【００８２】次に、具体例に即して説明する。
【００８３】図２は、ＤＮＳサーバフィルタ１をファイ
アウォール１０内に実装した場合の構成を示す図であ
る。組織外のネットワーク１５に属する端末１７が、組
織内のネットワーク１６に属する端末１８のＩＰアドレ
スを取得しようと試みたとする。端末１７は端末１８の
ホスト名は知っているがその情報が格納されているＤＮ
Ｓサーバは知らないものとする。
アウォール１０内に実装した場合の構成を示す図であ
る。組織外のネットワーク１５に属する端末１７が、組
織内のネットワーク１６に属する端末１８のＩＰアドレ
スを取得しようと試みたとする。端末１７は端末１８の
ホスト名は知っているがその情報が格納されているＤＮ
Ｓサーバは知らないものとする。
【００８４】まず端末１８は、組織外ネットワーク１５
に属するＤＮＳサーバから組織のドメインを管理してい
るＤＮＳサーバの情報を入手し、そのＩＰアドレスがフ
ァイアウォール１０のＮＩＣ１３に対応するＩＰアドレ
スであることが判明する。
に属するＤＮＳサーバから組織のドメインを管理してい
るＤＮＳサーバの情報を入手し、そのＩＰアドレスがフ
ァイアウォール１０のＮＩＣ１３に対応するＩＰアドレ
スであることが判明する。
【００８５】次に端末１７は、組織のＤＮＳサーバと思
っているファイアウォール１０のＮＩＣ１３のＩＰアド
レス上で待ち合わせているＤＮＳサーバフィルタ１に接
続し、端末１８のホスト名に対応するＩＰアドレスを問
い合わせる。
っているファイアウォール１０のＮＩＣ１３のＩＰアド
レス上で待ち合わせているＤＮＳサーバフィルタ１に接
続し、端末１８のホスト名に対応するＩＰアドレスを問
い合わせる。
【００８６】問い合わせ要求を受けたＤＮＳサーバフィ
ルタ１は、パケット検証部４を呼び出して、このＤＮＳ
パケットが組織のセキュリティ要件を満たすかどうかを
検査する。
ルタ１は、パケット検証部４を呼び出して、このＤＮＳ
パケットが組織のセキュリティ要件を満たすかどうかを
検査する。
【００８７】もし、端末１７が送信したＤＮＳパケット
の形式が異常であり、検証プログラムとして、これを検
査するものが含まれていれば、そのパケットに対して検
証プログラムはエラーを返し、ＤＮＳサーバフィルタ１
は、端末１７に対してエラー応答を返す。
の形式が異常であり、検証プログラムとして、これを検
査するものが含まれていれば、そのパケットに対して検
証プログラムはエラーを返し、ＤＮＳサーバフィルタ１
は、端末１７に対してエラー応答を返す。
【００８８】もし端末１７が送信したＤＮＳパケットの
形式が正常であるが、検証プログラムに、組織内部のホ
ストに関する情報は提供しないことをセキュリティ要件
を実現するためのプログラムが登録されている場合に
は、そのパケットに対して、検証プログラムはエラーを
返し、ＤＮＳサーバフィルタ１は端末１７に対してエラ
ー応答を返す。
形式が正常であるが、検証プログラムに、組織内部のホ
ストに関する情報は提供しないことをセキュリティ要件
を実現するためのプログラムが登録されている場合に
は、そのパケットに対して、検証プログラムはエラーを
返し、ＤＮＳサーバフィルタ１は端末１７に対してエラ
ー応答を返す。
【００８９】もし端末１７が送信したＤＮＳパケットの
形式が正常であるが、検証プログラムに組織内部のホス
トに関する情報は提供しないことをセキュリティ要件を
実現するためのプログラムが登録されていない場合に
は、ＤＮＳサーバフィルタ１はＤＮＳサーバ１１に要求
を転送して端末１８のＩＰアドレスを取得して応答とし
て端末１７に返す。
形式が正常であるが、検証プログラムに組織内部のホス
トに関する情報は提供しないことをセキュリティ要件を
実現するためのプログラムが登録されていない場合に
は、ＤＮＳサーバフィルタ１はＤＮＳサーバ１１に要求
を転送して端末１８のＩＰアドレスを取得して応答とし
て端末１７に返す。
【００９０】次に、図２に示した構成において、端末１
８が端末１７のＩＰアドレスを入手する場合について説
明する。
８が端末１７のＩＰアドレスを入手する場合について説
明する。
【００９１】まず端末１８は、組織内ネットワーク１６
のＤＮＳサーバに組織外ネットワークの情報を要求する
ため、そのＤＮＳサーバはその問い合わせをファイアウ
ォール１０のＮＩＣ１４で待ち合わせているＤＮＳサー
バ１１に転送する。
のＤＮＳサーバに組織外ネットワークの情報を要求する
ため、そのＤＮＳサーバはその問い合わせをファイアウ
ォール１０のＮＩＣ１４で待ち合わせているＤＮＳサー
バ１１に転送する。
【００９２】ＤＮＳサーバ１１は、組織外ネットワーク
についての問い合わせはＤＮＳサーバフィルタ１１に転
送する様に設定されている。
についての問い合わせはＤＮＳサーバフィルタ１１に転
送する様に設定されている。
【００９３】問い合わせ要求パケットを受け取ったＤＮ
Ｓサーバフィルタ１は、そのＤＮＳパケットが正常であ
ることを確認すると、組織外のＤＮＳサーバに問い合わ
せ、応答パケットを得て、そのパケットが正常であれ
ば、ＤＮＳサーバ１１を通じて端末１８に結果が返され
る。
Ｓサーバフィルタ１は、そのＤＮＳパケットが正常であ
ることを確認すると、組織外のＤＮＳサーバに問い合わ
せ、応答パケットを得て、そのパケットが正常であれ
ば、ＤＮＳサーバ１１を通じて端末１８に結果が返され
る。
【００９４】もし端末１７のＤＮＳサーバが異常な応答
パケットを返してきた場合には、ＤＮＳサーバフィルタ
１はＤＮＳサーバ１１にエラー応答を返し、端末１８に
もそのエラー応答が返る。
パケットを返してきた場合には、ＤＮＳサーバフィルタ
１はＤＮＳサーバ１１にエラー応答を返し、端末１８に
もそのエラー応答が返る。
【００９５】異常な応答パケットとしては、例えば、形
式が異常である他に、組織外との通信を盗聴する等の目
的でＤＮＳパケットの付加情報に偽の情報が書き加えら
れているといった事例が報告されている。
式が異常である他に、組織外との通信を盗聴する等の目
的でＤＮＳパケットの付加情報に偽の情報が書き加えら
れているといった事例が報告されている。
【００９６】図３は、ＤＮＳサーバフィルタ１が独立し
て組織内ネットワーク１６に設置された例である。
て組織内ネットワーク１６に設置された例である。
【００９７】図３に示す構成において、ＤＮＳパケット
のやりとりは、上述した図２に示すものとほぼ同じであ
る。図２に示す構成では、端末１７が直接ＤＮＳサーバ
１１にアクセスすることがＴＣＰ／ＩＰドライバ１２で
禁じられているのに対し、図３に示す構成では、パケッ
トフィルタ型ファイアウォール２０により、禁止の設定
が行われる点が相違している。
のやりとりは、上述した図２に示すものとほぼ同じであ
る。図２に示す構成では、端末１７が直接ＤＮＳサーバ
１１にアクセスすることがＴＣＰ／ＩＰドライバ１２で
禁じられているのに対し、図３に示す構成では、パケッ
トフィルタ型ファイアウォール２０により、禁止の設定
が行われる点が相違している。
【００９８】本発明においては、パケット検証部４にあ
らかじめ登録しておいたドメインに属するホストに対す
る問い合わせがあった場合には、否定応答をを返すよう
に判断する処理を実装することで、ＷＷＷサーバにおけ
る「コンテンツフィルタリング」と呼ばれる技術の様
な、組織の業務に無関係なホストへのアクセスを禁止す
るという要件を満たすためのシステムを構築することが
できる。
らかじめ登録しておいたドメインに属するホストに対す
る問い合わせがあった場合には、否定応答をを返すよう
に判断する処理を実装することで、ＷＷＷサーバにおけ
る「コンテンツフィルタリング」と呼ばれる技術の様
な、組織の業務に無関係なホストへのアクセスを禁止す
るという要件を満たすためのシステムを構築することが
できる。
【００９９】また、本発明においては、ＤＮＳサーバフ
ィルタに、ＤＮＳサーバ情報をあらかじめ蓄えておくキ
ャッシュメモリを追加することで、余分な問い合わせを
減らすことができる。
ィルタに、ＤＮＳサーバ情報をあらかじめ蓄えておくキ
ャッシュメモリを追加することで、余分な問い合わせを
減らすことができる。
【０１００】前記実施例では、本発明を説明するため
に、セキュリティに関連する処理を例に説明したが、本
発明は、セキュリティに関連する目的にのみに限定され
るものでないことは勿論である。
に、セキュリティに関連する処理を例に説明したが、本
発明は、セキュリティに関連する目的にのみに限定され
るものでないことは勿論である。
【０１０１】
【発明の効果】以上説明したように、本発明によれば、
組織外の者が組織外のネットワークから送信するホスト
名、ドメイン名、ＩＰアドレス等の情報をＤＮＳプロト
コルを通じて取得するためのＤＮＳパケットを検査し、
異常があればエラー応答を返す構成としたことにより、 ・組織外の者が組織のネットワーク構成情報を利用して
組織のネットワークに侵入を行うこと、及び、 ・異常な形式のパケットを受信する事でＤＮＳサーバの
動作が異常になること、を未然に防ぐことができる、と
いう効果を奏する。
組織外の者が組織外のネットワークから送信するホスト
名、ドメイン名、ＩＰアドレス等の情報をＤＮＳプロト
コルを通じて取得するためのＤＮＳパケットを検査し、
異常があればエラー応答を返す構成としたことにより、 ・組織外の者が組織のネットワーク構成情報を利用して
組織のネットワークに侵入を行うこと、及び、 ・異常な形式のパケットを受信する事でＤＮＳサーバの
動作が異常になること、を未然に防ぐことができる、と
いう効果を奏する。
【０１０２】また本発明によれば、組織内の者が組織外
のネットワークに属するＤＮＳサーバに送信するホスト
名、ドメイン名、ＩＰアドレス等の情報をＤＮＳプロト
コルを通じて取得するためのＤＮＳパケットを検査し、
異常があればエラー応答を返す構成としたことにより、
組織外のネットワークに属するＤＮＳサーバの動作を異
常にさせる事未然に防ぐ事が可能となり、組織外のネッ
トワークに属する他組織に対する組織の管理責任を果た
すことができる、という効果を奏する。
のネットワークに属するＤＮＳサーバに送信するホスト
名、ドメイン名、ＩＰアドレス等の情報をＤＮＳプロト
コルを通じて取得するためのＤＮＳパケットを検査し、
異常があればエラー応答を返す構成としたことにより、
組織外のネットワークに属するＤＮＳサーバの動作を異
常にさせる事未然に防ぐ事が可能となり、組織外のネッ
トワークに属する他組織に対する組織の管理責任を果た
すことができる、という効果を奏する。
【０１０３】本発明のＤＮＳサーバフィルタのパケット
検証手段において、利用者による追加及び削除を可能と
し、検証プログラムの記述方法を明示して、利用者自身
で検証プログラムの作成を可能としたことにより、新た
に判明したＤＮＳサーバの問題に利用者による素早い対
処を可能とし、またＤＮＳサーバ自体を問題に対応され
たものに置換する場合は、問題に対応する不要な検証プ
ログラムを削除してＤＮＳサーバフィルタの性能を向上
させることができる、という効果を奏する。
検証手段において、利用者による追加及び削除を可能と
し、検証プログラムの記述方法を明示して、利用者自身
で検証プログラムの作成を可能としたことにより、新た
に判明したＤＮＳサーバの問題に利用者による素早い対
処を可能とし、またＤＮＳサーバ自体を問題に対応され
たものに置換する場合は、問題に対応する不要な検証プ
ログラムを削除してＤＮＳサーバフィルタの性能を向上
させることができる、という効果を奏する。
【図１】本発明の一実施例のＤＮＳサーバフィルタの構
成を示す図である。
成を示す図である。
【図２】本発明の一実施例のＤＮＳサーバフィルタをフ
ァイアウォール内に実装した場合の構成を示す図であ
る。
ァイアウォール内に実装した場合の構成を示す図であ
る。
【図３】本発明の一実施例のＤＮＳサーバフィルタを１
台の装置に実装し、組織のネットワークに設置した場合
の構成を示す図である。
台の装置に実装し、組織のネットワークに設置した場合
の構成を示す図である。
【図４】本発明の一実施例におけるパケット検証部の構
成を示す図である。
成を示す図である。
【図５】本発明の一実施例におけるＤＮＳサーバフィル
タの処理を説明するためのフローチャートである。
タの処理を説明するためのフローチャートである。
【図６】本発明の一実施例におけるＤＮＳサーバフィル
タの処理を説明するためのフローチャートである。
タの処理を説明するためのフローチャートである。
【図７】本発明の一実施例におけるパケット検証部のプ
ログラム管理テーブルのエントリの一例を示す図であ
る。
ログラム管理テーブルのエントリの一例を示す図であ
る。
【図８】本発明の一実施例におけるセション管理テーブ
ルのエントリの一例を示す図である。
ルのエントリの一例を示す図である。
【図９】本発明の一実施例におけるパケット検証部の検
証プログラムの処理手順を示すフローチャートである。
証プログラムの処理手順を示すフローチャートである。
１ ＤＮＳサーバフィルタ ２ パケット受信部 ３ セション管理部 ４ パケット検証部 ５ 要求生成部 ６ 応答生成部 ７ パケット送信部 ８ 管理テーブル（セション管理テーブル） １０ ファイアウオール １１ ＤＮＳサーバ １２ ＴＣＰ／ＩＰドライバ １３、１４ ＮＩＣ １５、１６ ネットワーク １７、１８ 端末 ２０ ファイアウォール ３０ 呼出管理部 ３１ サービスルーチン ３２〜３５ 検証プログラム ３６ ロード管理部 ３７ 検証プログラム ３８ 管理ツール ３９ 設定ファイル ４０ 管理テーブル（検証プログラム管理テーブル） ５０ エントリポイントアドレス ５１ 優先順位 ５２ 属性 ６０ 要求パケットへのポインタ ６１ 要求元ＩＰアドレス ６２ 要求元ポート番号 ６３ フラグ
フロントページの続き Ｆターム(参考） 5B045 BB01 BB02 BB42 JJ02 JJ12 JJ21 JJ48 5B089 GA11 HB10 KA17 KB06 KC15 KC21 KC44 KC51 KD02 5K030 GA15 HB19 HD00 JA05 KA02 KX24 LA02 5K033 AA05 AA08 CB04 CC01 DA05 DB12 DB14 EC03 9A001 CC07 DD10 LL03 LL09
Claims (14)
- 【請求項１】受信したＤＮＳ（Domain Name System）
パケットについて、該パケットをＤＮＳサーバに渡すま
えに、該パケットの内容に異常があるか否か検査するパ
ケット検証手段を備え、異常を検出した際にエラー応答
パケットを生成して要求元に返す、ことを特徴とするＤ
ＮＳサーバフィルタ装置。 - 【請求項２】組織外の者が組織外のネットワークから送
信するホスト名、ドメイン名、ＩＰ（Internet Protoc
ol）アドレスに関する情報をＤＮＳプロトコルを通じて
取得するためのＤＮＳパケットを前記パケット検証手段
で検査し、異常があればエラー応答を返し、組織外の者
が組織のネットワーク構成情報を利用して組織のネット
ワークに侵入を行うこと、及び、異常な形式のパケット
を受信することでＤＮＳサーバが動作異常になること、
を未然に防ぐようした、ことを特徴とする請求項１記載
のＤＮＳサーバフィルタ装置。 - 【請求項３】組織内の端末から組織外のネットワークに
属するＤＮＳサーバに送信するホスト名、ドメイン名、
ＩＰアドレスに関する情報をＤＮＳプロトコルを通じて
取得するためのＤＮＳパケットを、前記パケット検証手
段で検査し、異常があればエラー応答を返し、組織外の
ネットワークに属するＤＮＳサーバを動作異常とさせる
ことを未然に防ぐようにした、ことを特徴とする請求項
１記載のＤＮＳサーバフィルタ装置。 - 【請求項４】前記パケット検証手段によるパケットの異
常検出の条件について、追加、及び削除自在とされてい
る、ことを特徴とする請求項１乃至３のいずれか一に記
載のＤＮＳサーバフィルタ装置。 - 【請求項５】請求項１乃至４のいずれか一に記載の前記
ＤＮＳサーバフィルタ装置を、ファイアウォール装置内
に実装し、 前記ファイアウォール装置の前記ＤＮＳサーバフィルタ
装置は、前記ファイアウォール装置が設置される組織の
管理外の第１のネットワークと、組織内の第２のネット
ワークとをセキュリティを保ちながら相互接続し、ＤＮ
Ｓについて、前記第１のネットワークに属する端末が前
記第２のネットワークに属する端末のホスト名とＩＰア
ドレスの情報やネットワークの名前空間に関する情報を
取得すること、 前記第１のネットワークに属する端末から前記第１のネ
ットワークを通じてＤＮＳサーバに対してＤＮＳプロト
コル上不正なパケットを送付してＤＮＳサーバに動作異
常を引き起こすこと、 前記第２のネットワークに属する端末やＤＮＳサーバが
前記第１のネットワークに属する端末や前記第１のネッ
トワークに属するホストに対してＤＮＳプロトコル上異
常なパケットを送付すること、 を防ぐようにした、ことを特徴とするファイアウォール
装置。 - 【請求項６】パケットフィルタリング型のファイアウォ
ール装置と、 ファイアウォール装置と通信接続する請求項１乃至４の
いずれか一に記載の前記ＤＮＳパケットフィルタ装置
と、 前記ＤＮＳパケットフィルタ装置と通信接続するＤＮＳ
サーバと、を備えたことを特徴とするネットワークシス
テム。 - 【請求項７】ＤＮＳプロトコルにおける端末及びＤＮＳ
サーバからの問い合わせ、及び、ＤＮＳサーバからの応
答パケットを受信するパケット受信部と、 問い合わせ要求を管理するためのセション管理テーブル
を備え、問い合わせ及び応答パケットを管理し全体の制
御を行うセション管理部と、 問い合わせ及び応答パケットが異常であるか否かを検査
するパケット検証部と、 ＤＮＳサーバへの問い合わせパケットを生成する要求生
成部と、 問い合わせパケットの送信元に返す応答パケットを生成
する応答生成部と、 問い合わせ及び応答パケットを送信するパケット送信部
と、 を備え、受信したＤＮＳプロトコルのパケットについて
該パケットをＤＮＳサーバに渡すまえに、内容に異常が
あるか否か検査し、異常を検出した際に、エラー応答パ
ケット生成して要求元に返す、ことを特徴とするＤＮＳ
サーバフィルタ装置。 - 【請求項８】前記パケット検証部が、 検証プログラムのエントリポイントアドレス情報と、検
証プログラムの実行の優先順位情報と、検証プログラム
の属性情報とを備えたプログラム管理テーブルを備え、
前記検証プログラムの属性を参照し、実行すべき検証プ
ログラムを選択して実行に移す制御を行う呼出管理部
と、 検証プログラムを格納した記憶装置と、 管理ツールもしくは設定ファイルで指示された検証プロ
グラムの実行ファイルをメモリ上にロードし、ロードさ
れた検証プログラムを初期化し、検証プログラムのエン
トリポイントを、入手した属性と共に、前記呼出管理部
のプログラム管理テーブルに登録し、前記管理ツールで
削除が指示された検証プログラムをメモリ上から解放処
理を行うように制御するロード管理部と、 実行される検証プログラムから呼び出されるＤＮＳサー
バフィルタ本体の機能を利用するためのサブルーチン群
よりなるサービスルーチンと、 を備えている、ことを特徴とする請求項７記載のＤＮＳ
サーバフィルタ装置。 - 【請求項９】前記セション管理テーブルが、要求パケッ
トへのポインタと、問い合わせ要求を行った要求元のＩ
Ｐアドレスと、問い合わせ要求を行った要求元ポート番
号と、問い合わせ要求のパケット形式が正常であった場
合に問い合わせ要求を別のＤＮＳサーバに転送している
かどうかを示すフラグと、を備え、 前記パケット受信部が、ＤＮＳパケットを受信すると、
該パケットを前記セション管理部に渡し、 前記セション管理部は、前記セション管理テーブルに、
受信したパケットの送信元のＩＰアドレス、受信したパ
ケットのポート番号を設定し、テスト中を意味する値を
フラグを設定したのち、受信パケットを、前記パケット
検証部に渡してパケットの検査を依頼し、 前記パケット検証部で前記受信パケットの検査を行った
結果、検査結果に問題がある場合、前記セション管理部
が、前記受信パケットの種別を調べて、問い合わせ要求
であるか否か判定し、問い合わせ要求であれば、前記セ
ション管理部は、前記応答生成部に対して、エラー応答
パケットの生成を依頼し、 生成されたパケットを、前記セション管理テーブルの要
求元ＩＰアドレス、ポート番号で指定される相手に対し
て、前記パケット送信部に送信を依頼し、受信したパケ
ットについて、前記セション管理テーブルに登録されて
いる情報を削除して、受信した問い合わせ要求パケット
を解放し、 受信パケットが問い合わせ要求でない場合には、前記セ
ション管理部は、前記セション管理テーブルを検索し
て、元の問い合わせ要求に関する部分を取り出し、検索
された前記セション管理テーブルのエントリの要求パケ
ットへのポインタから、問い合わせ要求パケットを参照
して、これを基に、前記応答生成部に対して、エラー応
答パケットの生成を依頼し、前記セション管理テーブル
の要求元ＩＰアドレス、及びポート番号で指定される相
手に対して、生成した応答パケットを送信するように、
前記パケット送信部に対して依頼し、受信した応答パケ
ットについて、前記セション管理テーブルに登録されて
いる情報を削除して応答パケットを解放するとともに、
該応答パケットに対応する問い合わせ要求について、前
記セション管理テーブルに登録されているエントリも削
除する、ことを特徴とする請求項８記載のＤＮＳサーバ
フィルタ装置。 - 【請求項１０】前記パケット検証部でパケットの検査を
行い、検査結果に問題がない場合、前記セション管理部
が受信パケットの種別を調べ、応答パケットの場合、前
記セション管理部は、該応答パケットに対応する問い合
わせ要求の情報を、前記セション管理テーブルから検索
し、前記セション管理部が受信した応答パケットが元の
問い合わせ要求に対する回答となっているかどうかを調
べ、 前記調査の結果、さらに問い合わせを行う必要があれ
ば、前記セション管理部は、受信した応答パケットの情
報から次の問い合わせ先を決定して、前記要求生成部に
問い合わせ要求パケットの生成を依頼し、前記パケット
送信部に対して次の問い合わせ先への送信を依頼し、 前記セション管理部は、受信した問い合わせの途中経過
である応答パケットに関する情報を、前記セション管理
テーブルから削除して応答パケットを解放し、 前記調査の結果、元々の問い合わせパケットに対する回
答となる応答パケットを受信した場合には、前記セショ
ン管理部は、応答パケットを受信した応答パケットの結
果を反映させた元の問い合わせ要求に対する応答パケッ
トの生成を前記応答生成部に依頼し、前記パケット送信
部に元の問い合わせ要求の送信元に対して送信を依頼
し、受信した応答パケットに関連する情報を前記セショ
ン管理テーブルから削除し、元の問い合わせ要求に関す
る情報を前記セション管理テーブルから削除し応答パケ
ットを解放する、ことを特徴とする請求項９記載のＤＮ
Ｓサーバフィルタ装置。 - 【請求項１１】前記パケット検証部でパケットの検査を
行い、検査結果に問題がない場合、前記セション管理部
が受信パケットの種別を調べ、受信したパケットが問い
合わせ要求である場合、前記セション管理部が受信パケ
ットの送信元を調べ、前記送信元が組織内部のネットワ
ークからの問い合わせでない場合、組織外のネットワー
クの問い合わせ要求を解決するために前記セション管理
部は、まず最初に問い合わせる組織外のＤＮＳサーバを
決定し、元の問い合わせ要求を元にした問い合わせ要求
の生成を前記要求生成部に依頼し、その問い合わせ要求
パケットを、前記決定されたＤＮＳサーバに対して送信
するようにパケット送信部に依頼し、 前記送信元が組織内部のネットワークからの問い合わせ
である場合、前記セション管理部は受信した問い合わせ
要求パケットを元に要求生成部に問い合わせ要求パケッ
トの生成を依頼し、ＤＮＳサーバに対する問い合わせパ
ケットの送信を前記パケット送信部に依頼し、 前記セション管理部は、受信したパケットに対応する前
記セション管理テーブルのエントリ中のフラグに、「問
い合わせ中」の値を設定し、受信パケットへのポインタ
を前記セション管理テーブルのエントリのポインタに設
定する、ことを特徴とする請求項９又は１０記載のＤＮ
Ｓサーバフィルタ装置。 - 【請求項１２】ＤＮＳサーバ情報をあらかじめ蓄えてお
くキャッシュメモリを備えたことを特徴とする請求項７
記載のＤＮＳサーバフィルタ装置。 - 【請求項１３】（ａ）ＤＮＳプロトコルにおける端末及
びＤＮＳサーバからの問い合わせ、及びＤＮＳサーバか
らの応答パケットを通信装置を介して受信するパケット
受信処理と、 （ｂ）問い合わせ要求を管理するためのセション管理テ
ーブルを備え、問い合わせ及び応答パケットを管理し全
体の制御を行うセション管理処理と、 （ｃ）問い合わせ及び応答パケットが異常であるか否か
を検査するパケット検証処理と、 （ｄ）ＤＮＳサーバへの問い合わせパケットを生成する
要求生成処理と、 問い合わせパケットの送信元に返す応答パケットを生成
する応答生成処理と、 （ｅ）問い合わせ及び応答パケットを通信装置を介して
送信するように制御するパケット送信処理と、 を備え、受信したＤＮＳパケットについて該パケットを
ＤＮＳサーバに渡すまえに、内容に異常があるか否か検
査し、異常を検出した際に、エラー応答パケット生成し
て返すという、ＤＮＳサーバフィルタの処理を、コンピ
ュータ上で実行させるためのプログラムを記録した記録
媒体。 - 【請求項１４】請求項１３記載の記録媒体において、検
証プログラムのエントリポイントアドレス情報と、検証
プログラムの実行の優先順位情報と、検証プログラムの
属性情報とを備えたプログラム管理テーブルを備え、 前記パケット検証処理が、前記検証ソフトウェアの属性
を参照し、実行すべき検証プログラムを選択して実行に
移す制御を行う呼出管理処理と、 管理ツールもしくは設定ファイルで指示された検証プロ
グラムの実行ファイルをメモリ上にロードし、ロードさ
れた検証プログラムを初期化し、検証プログラムのエン
トリポイントを入手した属性と共に前記プログラム管理
テーブルに登録し、及び前記管理ツールで削除を指示さ
れた検証プログラムのメモリ上からの解放処理を行うロ
ード管理処理と、 検証プログラムから呼び出されるＤＮＳサーバフィルタ
本体の機能を利用するためのサブルーチン群よりなるサ
ービスルーチン処理と、 の各処理を、前記コンピュータ上で実行させるためのプ
ログラムを記録した記録媒体。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000012757A JP3596400B2 (ja) | 2000-01-21 | 2000-01-21 | Ｄｎｓサーバフィルタ |
| US09/750,914 US7013343B2 (en) | 2000-01-21 | 2001-01-02 | DNS server filter checking for abnormal DNS packets |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000012757A JP3596400B2 (ja) | 2000-01-21 | 2000-01-21 | Ｄｎｓサーバフィルタ |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2001203762A true JP2001203762A (ja) | 2001-07-27 |
| JP3596400B2 JP3596400B2 (ja) | 2004-12-02 |
Family
ID=18540435
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000012757A Expired - Fee Related JP3596400B2 (ja) | 2000-01-21 | 2000-01-21 | Ｄｎｓサーバフィルタ |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US7013343B2 (ja) |
| JP (1) | JP3596400B2 (ja) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN100425025C (zh) * | 2004-06-21 | 2008-10-08 | Lgcns株式会社 | 应用服务器安全法与网络安全法的安全系统与方法 |
| US7970878B1 (en) * | 2005-11-16 | 2011-06-28 | Cisco Technology, Inc. | Method and apparatus for limiting domain name server transaction bandwidth |
| JP2012216023A (ja) * | 2011-03-31 | 2012-11-08 | Toshiba Corp | 通信装置、通信プログラム、及び通信システム |
| WO2013035309A1 (ja) * | 2011-09-06 | 2013-03-14 | 日本電気株式会社 | エージェント装置及び通信中継方法 |
| JP2014030099A (ja) * | 2012-07-31 | 2014-02-13 | Fujitsu Ltd | 通信装置、プログラムおよびルーティング方法 |
| JP2014519751A (ja) * | 2011-05-24 | 2014-08-14 | パロ・アルト・ネットワークス・インコーポレーテッド | ドメイン名をフィルタリングするためのｄｎｓ通信の使用 |
Families Citing this family (52)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| GB9603582D0 (en) | 1996-02-20 | 1996-04-17 | Hewlett Packard Co | Method of accessing service resource items that are for use in a telecommunications system |
| US7640434B2 (en) * | 2001-05-31 | 2009-12-29 | Trend Micro, Inc. | Identification of undesirable content in responses sent in reply to a user request for content |
| US20030182447A1 (en) * | 2001-05-31 | 2003-09-25 | Schilling Frank T. | Generic top-level domain re-routing system |
| US7356031B1 (en) * | 2002-02-01 | 2008-04-08 | Cisco Technology, Inc. | Inter-v4 realm routing |
| US7734745B2 (en) | 2002-10-24 | 2010-06-08 | International Business Machines Corporation | Method and apparatus for maintaining internet domain name data |
| JP3809429B2 (ja) * | 2003-07-25 | 2006-08-16 | キヤノン株式会社 | 管理装置及びその制御方法 |
| US8661158B2 (en) | 2003-12-10 | 2014-02-25 | Aventail Llc | Smart tunneling to resources in a network |
| US8590032B2 (en) | 2003-12-10 | 2013-11-19 | Aventail Llc | Rule-based routing to resources through a network |
| US7783769B2 (en) * | 2004-03-31 | 2010-08-24 | Intel Corporation | Accelerated TCP (Transport Control Protocol) stack processing |
| US20080028073A1 (en) * | 2004-07-09 | 2008-01-31 | France Telecom | Method, a Device, and a System for Protecting a Server Against Denial of DNS Service Attacks |
| WO2006044820A2 (en) | 2004-10-14 | 2006-04-27 | Aventail Corporation | Rule-based routing to resources through a network |
| US20060174324A1 (en) * | 2005-01-28 | 2006-08-03 | Zur Uri E | Method and system for mitigating denial of service in a communication network |
| US7386633B2 (en) * | 2005-04-21 | 2008-06-10 | International Business Machines Corporation | Priority based differentiated DNS processing |
| KR100735321B1 (ko) | 2005-09-09 | 2007-07-04 | 삼성전자주식회사 | 무선 패킷 네트워크에서의 착신 패킷 필터링 장치 및 방법 |
| US8566928B2 (en) | 2005-10-27 | 2013-10-22 | Georgia Tech Research Corporation | Method and system for detecting and responding to attacking networks |
| JP4668775B2 (ja) * | 2005-11-28 | 2011-04-13 | 株式会社日立製作所 | Ｄｎｓサーバ装置 |
| US7827280B2 (en) * | 2006-02-28 | 2010-11-02 | Red Hat, Inc. | System and method for domain name filtering through the domain name system |
| FI20065179A0 (fi) * | 2006-03-20 | 2006-03-20 | Nixu Sofware Oy | Kokonaisuudeksi koottu nimipalvelin |
| US20080148340A1 (en) * | 2006-10-31 | 2008-06-19 | Mci, Llc. | Method and system for providing network enforced access control |
| US8862735B1 (en) | 2006-12-05 | 2014-10-14 | Aol Inc. | IP address management of multiple DHCP and DNS servers |
| US20080281696A1 (en) * | 2007-05-11 | 2008-11-13 | Verizon Services Organization Inc. | Systems and methods for using dns records to provide targeted marketing services |
| US7860982B2 (en) * | 2008-03-14 | 2010-12-28 | Microsoft Corporation | Internet connectivity verification |
| US10027688B2 (en) | 2008-08-11 | 2018-07-17 | Damballa, Inc. | Method and system for detecting malicious and/or botnet-related domain names |
| US8024777B2 (en) * | 2008-11-20 | 2011-09-20 | Mark Kevin Shull | Domain based authentication scheme |
| US8238538B2 (en) | 2009-05-28 | 2012-08-07 | Comcast Cable Communications, Llc | Stateful home phone service |
| FR2950769B1 (fr) * | 2009-09-30 | 2022-09-16 | Trustseed Sas | Systeme et procede de gestion de sessions de correspondance electronique securisee |
| US8463887B2 (en) * | 2009-12-23 | 2013-06-11 | Citrix Systems, Inc. | Systems and methods for server surge protection in a multi-core system |
| US8578497B2 (en) | 2010-01-06 | 2013-11-05 | Damballa, Inc. | Method and system for detecting malware |
| US8826438B2 (en) | 2010-01-19 | 2014-09-02 | Damballa, Inc. | Method and system for network-based detecting of malware from behavioral clustering |
| US9516058B2 (en) | 2010-08-10 | 2016-12-06 | Damballa, Inc. | Method and system for determining whether domain names are legitimate or malicious |
| KR101223931B1 (ko) | 2011-01-28 | 2013-02-05 | 주식회사 코닉글로리 | Ｄｎｓ 패킷을 이용한 실시간 비정상 행위 탐지 방법 |
| US8631489B2 (en) | 2011-02-01 | 2014-01-14 | Damballa, Inc. | Method and system for detecting malicious domain names at an upper DNS hierarchy |
| JP6057115B2 (ja) * | 2012-03-24 | 2017-01-11 | 日本電気株式会社 | 情報処理システム、情報処理方法、携帯端末、情報処理装置およびその制御方法と制御プログラム |
| US9264395B1 (en) | 2012-04-11 | 2016-02-16 | Artemis Internet Inc. | Discovery engine |
| US8990392B1 (en) | 2012-04-11 | 2015-03-24 | NCC Group Inc. | Assessing a computing resource for compliance with a computing resource policy regime specification |
| US9083727B1 (en) | 2012-04-11 | 2015-07-14 | Artemis Internet Inc. | Securing client connections |
| US9106661B1 (en) | 2012-04-11 | 2015-08-11 | Artemis Internet Inc. | Computing resource policy regime specification and verification |
| US8799482B1 (en) | 2012-04-11 | 2014-08-05 | Artemis Internet Inc. | Domain policy specification and enforcement |
| US10547674B2 (en) | 2012-08-27 | 2020-01-28 | Help/Systems, Llc | Methods and systems for network flow analysis |
| US9894088B2 (en) | 2012-08-31 | 2018-02-13 | Damballa, Inc. | Data mining to identify malicious activity |
| US9680861B2 (en) | 2012-08-31 | 2017-06-13 | Damballa, Inc. | Historical analysis to identify malicious activity |
| US9166994B2 (en) | 2012-08-31 | 2015-10-20 | Damballa, Inc. | Automation discovery to identify malicious activity |
| US10084806B2 (en) | 2012-08-31 | 2018-09-25 | Damballa, Inc. | Traffic simulation to identify malicious activity |
| JP6084023B2 (ja) * | 2012-11-14 | 2017-02-22 | キヤノン株式会社 | 情報処理装置、プログラム及び制御方法 |
| US9571511B2 (en) | 2013-06-14 | 2017-02-14 | Damballa, Inc. | Systems and methods for traffic classification |
| JP6506522B2 (ja) * | 2014-09-29 | 2019-04-24 | キヤノン株式会社 | 情報処理装置、その制御方法、及びプログラム |
| US9930065B2 (en) | 2015-03-25 | 2018-03-27 | University Of Georgia Research Foundation, Inc. | Measuring, categorizing, and/or mitigating malware distribution paths |
| US10178195B2 (en) * | 2015-12-04 | 2019-01-08 | Cloudflare, Inc. | Origin server protection notification |
| US10505985B1 (en) | 2016-04-13 | 2019-12-10 | Palo Alto Networks, Inc. | Hostname validation and policy evasion prevention |
| US10547636B2 (en) * | 2016-12-28 | 2020-01-28 | Verisign, Inc. | Method and system for detecting and mitigating denial-of-service attacks |
| US10375020B2 (en) | 2017-01-18 | 2019-08-06 | Cisco Technology, Inc. | Security policy for HTTPS using DNS |
| CN109451090B (zh) * | 2018-11-13 | 2021-08-10 | 郑州云海信息技术有限公司 | 一种域名解析方法及装置 |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH09266475A (ja) * | 1996-03-28 | 1997-10-07 | Hitachi Ltd | アドレス情報管理装置およびネットワークシステム |
| WO1998026555A1 (en) * | 1996-12-09 | 1998-06-18 | Sun Microsystems, Inc. | Method and apparatus for dynamic packet filter assignment |
Family Cites Families (20)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5898830A (en) * | 1996-10-17 | 1999-04-27 | Network Engineering Software | Firewall providing enhanced network security and user transparency |
| US5805820A (en) * | 1996-07-15 | 1998-09-08 | At&T Corp. | Method and apparatus for restricting access to private information in domain name systems by redirecting query requests |
| US6003084A (en) * | 1996-09-13 | 1999-12-14 | Secure Computing Corporation | Secure network proxy for connecting entities |
| US6128279A (en) * | 1997-10-06 | 2000-10-03 | Web Balance, Inc. | System for balancing loads among network servers |
| US6119171A (en) * | 1998-01-29 | 2000-09-12 | Ip Dynamics, Inc. | Domain name routing |
| US6557037B1 (en) * | 1998-05-29 | 2003-04-29 | Sun Microsystems | System and method for easing communications between devices connected respectively to public networks such as the internet and to private networks by facilitating resolution of human-readable addresses |
| JP2002518726A (ja) * | 1998-06-19 | 2002-06-25 | サンマイクロシステムズ インコーポレーテッド | プラグインフィルタを用いた拡張性の高いプロキシサーバ |
| US6256671B1 (en) * | 1998-06-24 | 2001-07-03 | Nortel Networks Limited | Method and apparatus for providing network access control using a domain name system |
| US6400707B1 (en) * | 1998-08-27 | 2002-06-04 | Bell Atlantic Network Services, Inc. | Real time firewall security |
| US6317837B1 (en) * | 1998-09-01 | 2001-11-13 | Applianceware, Llc | Internal network node with dedicated firewall |
| US6434600B2 (en) * | 1998-09-15 | 2002-08-13 | Microsoft Corporation | Methods and systems for securely delivering electronic mail to hosts having dynamic IP addresses |
| US6728885B1 (en) * | 1998-10-09 | 2004-04-27 | Networks Associates Technology, Inc. | System and method for network access control using adaptive proxies |
| KR100295457B1 (ko) * | 1998-11-10 | 2001-07-12 | 이계철 | 서비스 게이트웨이를 이용한 인터넷 액세스 단말간 인터넷 프로토콜(ip) 레벨 연결성 제공 장치 및 방법 |
| US6457061B1 (en) * | 1998-11-24 | 2002-09-24 | Pmc-Sierra | Method and apparatus for performing internet network address translation |
| US6480508B1 (en) * | 1999-05-12 | 2002-11-12 | Westell, Inc. | Router-based domain name system proxy agent using address translation |
| US6442602B1 (en) * | 1999-06-14 | 2002-08-27 | Web And Net Computing | System and method for dynamic creation and management of virtual subdomain addresses |
| US6374292B1 (en) * | 1999-07-20 | 2002-04-16 | Sun Microsystems, Inc. | Access control system for an ISP hosted shared email server |
| US6321267B1 (en) * | 1999-11-23 | 2001-11-20 | Escom Corporation | Method and apparatus for filtering junk email |
| US6732165B1 (en) * | 2000-08-31 | 2004-05-04 | International Business Machines Corporation | Simultaneous network configuration of multiple headless machines |
| US7707305B2 (en) * | 2000-10-17 | 2010-04-27 | Cisco Technology, Inc. | Methods and apparatus for protecting against overload conditions on nodes of a distributed network |
-
2000
- 2000-01-21 JP JP2000012757A patent/JP3596400B2/ja not_active Expired - Fee Related
-
2001
- 2001-01-02 US US09/750,914 patent/US7013343B2/en not_active Expired - Fee Related
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH09266475A (ja) * | 1996-03-28 | 1997-10-07 | Hitachi Ltd | アドレス情報管理装置およびネットワークシステム |
| WO1998026555A1 (en) * | 1996-12-09 | 1998-06-18 | Sun Microsystems, Inc. | Method and apparatus for dynamic packet filter assignment |
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN100425025C (zh) * | 2004-06-21 | 2008-10-08 | Lgcns株式会社 | 应用服务器安全法与网络安全法的安全系统与方法 |
| US7970878B1 (en) * | 2005-11-16 | 2011-06-28 | Cisco Technology, Inc. | Method and apparatus for limiting domain name server transaction bandwidth |
| JP2012216023A (ja) * | 2011-03-31 | 2012-11-08 | Toshiba Corp | 通信装置、通信プログラム、及び通信システム |
| JP2014519751A (ja) * | 2011-05-24 | 2014-08-14 | パロ・アルト・ネットワークス・インコーポレーテッド | ドメイン名をフィルタリングするためのｄｎｓ通信の使用 |
| WO2013035309A1 (ja) * | 2011-09-06 | 2013-03-14 | 日本電気株式会社 | エージェント装置及び通信中継方法 |
| JPWO2013035309A1 (ja) * | 2011-09-06 | 2015-03-23 | 日本電気株式会社 | エージェント装置及び通信中継方法 |
| JP2014030099A (ja) * | 2012-07-31 | 2014-02-13 | Fujitsu Ltd | 通信装置、プログラムおよびルーティング方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| US7013343B2 (en) | 2006-03-14 |
| JP3596400B2 (ja) | 2004-12-02 |
| US20010052007A1 (en) | 2001-12-13 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3596400B2 (ja) | Ｄｎｓサーバフィルタ | |
| US7840699B2 (en) | Name resolution server and packet transfer device | |
| JP4546382B2 (ja) | 機器検疫方法、および、機器検疫システム | |
| US6687732B1 (en) | Adaptive traffic bypassing in an intercepting network driver | |
| US8584195B2 (en) | Identities correlation infrastructure for passive network monitoring | |
| US8447856B2 (en) | Policy-managed DNS server for to control network traffic | |
| US8479048B2 (en) | Root cause analysis method, apparatus, and program for IT apparatuses from which event information is not obtained | |
| JP5167225B2 (ja) | １つのファイラー上の複数の仮想ファイラーが重複するネットワークアドレスを有する複数のアドレス空間に参加することを可能にする技術 | |
| US7188366B2 (en) | Distributed denial of service attack defense method and device | |
| US6574666B1 (en) | System and method for dynamic retrieval loading and deletion of packet rules in a network firewall | |
| US7844710B2 (en) | Proxy caching for directory services | |
| JPWO2006067951A1 (ja) | アクセス制御装置およびアクセス制御方法 | |
| US20080089233A1 (en) | Traffic control system and management server | |
| US20080104241A1 (en) | Terminal device management system, data relay device, internetwork connection device, and quarantine method of terminal device | |
| CN114253707B (zh) | 一种基于api网关的微服务请求方法 | |
| US8326919B1 (en) | Network address translation auto-discovery in data storage networks | |
| US11522832B2 (en) | Secure internet gateway | |
| CN113839938B (zh) | 一种域名接管漏洞的检测方法和装置 | |
| JP5267893B2 (ja) | ネットワーク監視システム、ネットワーク監視方法、及びネットワーク監視プログラム | |
| CN115913583A (zh) | 业务数据访问方法、装置和设备及计算机存储介质 | |
| US20080148354A1 (en) | Controlling Transmission of Private Information Based on Privacy Item Types | |
| JP2002108729A (ja) | ネットワーク接続装置及び同装置に適用されるファイアウォール制御プログラムを記憶したコンピュータ読み取り可能な記憶媒体 | |
| US20230362132A1 (en) | Rule selection management based on currently available domain name system (dns) servers | |
| CN117857411B (zh) | 一种基于混合方式的资产识别方法 | |
| JP4447479B2 (ja) | データ処理装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20040601 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20040726 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20040817 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20040830 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080917 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080917 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090917 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090917 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100917 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110917 Year of fee payment: 7 |
|
| LAPS | Cancellation because of no payment of annual fees |