JP2002164938A - 分散型サービス不能攻撃の防止方法および装置ならびにそのコンピュータプログラム - Google Patents

Abstract

(57)【要約】 【課題】 送信元アドレスの詐称の如何に関わらず、攻
撃を防御できる分散サービス不能攻撃の防止装置および
防止方法ならびにそのコンピュータプログラムを提供す
る。 【解決手段】 境界ルータ１０２にインストールされて
いる本発明の移動型パケットフィルタリングプログラム
は、自らのプログラムの複製を作成し、その複製をルー
タ１０６、１０７、１０９、１１０へ移動させる。各ル
ータへ移動してきた移動型パケットフィルタリングプロ
グラムは、それぞれ分散型ＤｏＳ攻撃者のホスト１１
３、１１４、１１６、１１７からサーバ１０１に向けて
送られているトラフィック全てを通過させないようにす
る。その後、攻撃が終了すると、上記の移動型パケット
フィルタリングのプログラムは、自分自身を消去する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワークに接
続された機器をネットワーク経由での攻撃から防御する
ための、サービス不能攻撃の防止方法およびその装置な
らびにそのコンピュータプログラムに関するものであ
る。

【０００２】

【従来の技術】従来、ＴＣＰ／ＩＰ（Transmission con
trol protocol/internet protocol）などのネットワー
クプロトコルは、オープンとなっており、互いに信用さ
れるグループで使われるように設計されている。このた
め、コンピュータのオペレーティングシステムでは、大
量の通信トラフィック（データ等）をサーバに送信する
ことによって、ネットワークの帯域やサーバの資源を消
費して正当な利用者の利用を妨げようとするサービス不
能攻撃（以下、「ＤｏＳ（Denial of Service）攻撃」
と記す）を防ぐことは考慮されていない。このようなＤ
ｏＳ攻撃に対する防御の方法は増えてきているが、複数
箇所から同時に連携してＤｏＳ攻撃を行う分散型サービ
ス不能攻撃（ＤＤｏＳ攻撃）に対する防御の方法は未だ
効果的ではない。

【０００３】この分散型ＤｏＳ攻撃に対する防御の方法
としては、シスコ社が提案したＩｎｇｒｅｓｓ Ｆｉｌ
ｔｅｒ（ＲＦＣ２２６７）とＵＵＮＥＴ社のＣｅｎｔｅ
ｒＴｒａｃｋがある。前者は、分散型ＤｏＳ攻撃の際に
良く使われる送信元アドレスの詐称をチェックする機構
であり、ローカルエリアネットワークがインターネット
に接続されている境界であるルータにインストールさ
れ、ローカルエリアネットワークからインターネットに
向かって送信されるパケットの送信元アドレスの正統性
をチェックし、ローカルエリアネットワークに割り当て
られたアドレスと整合していない場合には、そのパケッ
トをインターネットに送信せずに破棄する。

【０００４】

【発明が解決しようとする課題】この技術は、送信元ア
ドレスを詐称して分散型ＤｏＳ攻撃をすることを禁止す
るための技術であり、攻撃を受ける側が防御するために
使う技術ではない。また後者は、インターネットのルー
タに診断機能を付加し、分散型ＤｏＳ攻撃の送信元を追
跡する技術である。この技術は、攻撃を受けた被害者が
攻撃者を特定することを助ける技術ではあるが、実際に
攻撃を受けているときにその攻撃を防御することはでき
ない。

【０００５】上述したＲＦＣ２２６７に記載されている
Ｉｎｇｒｅｓｓ Ｆｉｌｔｅｒは、正しいＩＰ（intern
et protocol）アドレスが送信元になっているＩＰパケ
ットによる攻撃にはまったく対処できない、攻撃元にな
っているローカルエリアネットワークとインターネット
との境界であるルータにＩｎｇｒｅｓｓ Ｆｉｌｔｅｒ
が具備されていない場合はまったく攻撃の防御に役に立
たないという問題点がある。また、上述したＣｅｎｔｅ
ｒ Ｔｒａｃｋは、攻撃者が送信元アドレスを詐称した
場合には追跡が困難になる上に、複数箇所に分散された
分散型ＤｏＳの攻撃元になっているコンピュータやその
コンピュータが接続されているネットワークの管理者に
連絡をしないと、攻撃そのものを止めることはできない
ため、実質的には攻撃を止めるまでに何時間、あるいは
何日もの時間がかかってしまうという問題点がある。

【０００６】本発明は、上記事情を考慮してなされたも
のであり、その目的は、送信元アドレスを詐称したパケ
ットによる分散型ＤｏＳ攻撃を防御する際に、送信元ア
ドレスの詐称の如何に関わらず、攻撃を防御できる分散
サービス不能攻撃の防止装置および防止方法ならびにそ
のコンピュータプログラムを提供することである。

【０００７】また、本発明の目的は、上記の分散サービ
ス不能攻撃の防止方法を実現するために、通信装置に対
して送信するためのプログラムモジュールを管理すると
ともに、プログラムモジュールの開発者や利用者らの認
証を行い、通信システム全体の信頼性を向上させること
のできるモジュールサーバを提供することである。

【０００８】

【課題を解決するための手段】上記の課題を解決するた
めに、本発明は、分散型サービス不能攻撃を防止するた
めの通信装置であって、当該通信装置を通過する通信パ
ケットを監視し分散型サービス不能攻撃を検出するトラ
フィック監視機能部と、分散型サービス不能攻撃が検出
された際に当該分散型サービス不能攻撃の通信パケット
を破棄する攻撃防御モジュールと、攻撃元に近い上位側
の通信装置のアドレスを検索する処理を行う攻撃元検索
モジュールと、上位側の防御位置の通信装置に対して前
記攻撃元検索モジュールを送信するモジュール送信部
と、前記攻撃元検索モジュールによって検索された攻撃
元に近い上位側の通信装置の候補中から上位側の防御位
置とする通信装置を抽出する攻撃元判断機能部とを備
え、前記モジュール送信部は、前記攻撃元判断機能部に
よって抽出された上位側の防御位置の通信装置に対して
前記攻撃防御モジュールを送信するものであることを特
徴とする通信装置を要旨とする。

【０００９】また、本発明の通信装置においては、前記
モジュール送信部は、前記攻撃元検索モジュールととも
に前記トラフィック監視機能部によって分散型サービス
不能攻撃であると検知された通信パケットに関する攻撃
パケット情報を前記上位側の通信装置に対して送信する
ものであり、前記攻撃元検索モジュールには、前記モジ
ュール送信部から受信した前記攻撃パケット情報と当該
通信装置を通過する通信パケットとを比較して、当該攻
撃パケット情報に該当する通信パケットが当該通信装置
を通過していることを検知した場合には、当該通信装置
自身が防御位置の通信装置の候補であることを送信元の
通信装置に対して通知するトラフィック検査機能部が含
まれることを特徴とする。

【００１０】また、本発明の通信装置においては、前記
攻撃防御モジュールには、攻撃が継続中か否かを監視す
る攻撃トラフィック監視機能部と、前記攻撃トラフィッ
ク監視機能部が攻撃は中断したと判断した場合には、当
該攻撃防御モジュール自身を、処理実行中の通信装置か
ら消滅させる自己消滅機能部とが含まれることを特徴と
する。

【００１１】また、本発明の通信システムは、上記の通
信装置と、前記通信装置に対してプログラムモジュール
を送信するモジュールサーバであって、前記通信装置に
インストールされるプログラムモジュールを保存するプ
ログラムモジュールデータベースと、前記プログラムモ
ジュールの保存を依頼できるプログラムモジュールの開
発者を管理する開発者データベースと、前記プログラム
モジュールを前記通信装置にインストールする要求がで
きる利用者を管理するユーザデータベースと、保存され
ている前記プログラムモジュールを前記利用者にメニュ
ーで表示するサービスメニューと、前記サービスメニュ
ーに表示されている前記プログラムモジュールをインス
トールする要求が前記利用者からあれば前記利用者の権
限を認証するサービスマネージャと、前記認証を確認で
きた場合には前記プログラムモジュールを前記通信装置
に対して送信するサービスモジュールインジェクタとを
備えるモジュールサーバと、からなることを特徴とする
ものである。

【００１２】また、本発明の通信装置は、当該通信装置
を通過する通信パケットを監視し分散型サービス不能攻
撃を検出するトラフィック監視機能部と、分散型サービ
ス不能攻撃が検出された際に当該分散型サービス不能攻
撃の通信パケットを破棄するとともに、攻撃元に近い上
位側の通信装置のアドレスを検索する処理を行う攻撃防
御モジュールと、上位側の通信装置に対して前記攻撃防
御モジュールを送信するモジュール送信部とを備えるこ
とを特徴とするものである。

【００１３】また、本発明の通信装置においては、前記
モジュール送信部は、前記攻撃防御モジュールとともに
前記トラフィック監視機能部によって分散型サービス不
能攻撃であると検知された通信パケットに関する攻撃パ
ケット情報を前記上位側の通信装置に対して送信するも
のであり、前記攻撃防御モジュールには、前記モジュー
ル送信部から受信した前記攻撃パケット情報と当該通信
装置を通過する通信パケットとを比較して、当該攻撃パ
ケット情報に該当する通信パケットが当該通信装置を通
過していることを検知するトラフィック検査機能部が含
まれることを特徴とする。

【００１４】また、本発明の通信装置においては、前記
攻撃防御モジュールには、攻撃が継続中か否かを監視す
る攻撃トラフィック監視機能部と、前記攻撃トラフィッ
ク監視機能部が攻撃は中断したと判断した場合には、当
該攻撃防御モジュール自身を、処理実行中の通信装置か
ら消滅させる自己消滅機能部とが含まれることを特徴と
する。

【００１５】また、本発明の通信システムは、上記の通
信装置と、前記通信装置に対してプログラムモジュール
を送信するモジュールサーバであって、前記通信装置に
インストールされるプログラムモジュールを保存するプ
ログラムモジュールデータベースと、前記プログラムモ
ジュールの保存を依頼できるプログラムモジュールの開
発者を管理する開発者データベースと、前記プログラム
モジュールを前記通信装置にインストールする要求がで
きる利用者を管理するユーザデータベースと、保存され
ている前記プログラムモジュールを前記利用者にメニュ
ーで表示するサービスメニューと、前記サービスメニュ
ーに表示されている前記プログラムモジュールをインス
トールする要求が前記利用者からあれば前記利用者の権
限を認証するサービスマネージャと、前記認証を確認で
きた場合には前記プログラムモジュールを前記通信装置
に対して送信するサービスモジュールインジェクタとを
備えるモジュールサーバと、からなることを特徴とする
ものである。

【００１６】また、本発明のサービス不能攻撃防止方法
は、通信装置において分散型サービス不能攻撃を検知す
ると、当該分散型サービス不能攻撃の通信パケットを当
該通信装置において破棄しながら、検知された前記分散
型サービス不能攻撃の攻撃元に近い上位側の通信装置を
検索し、検索の結果得られた前記上位側の通信装置に対
してプログラムモジュールを送信し、前記プログラムモ
ジュールを受信した側の通信装置において、当該プログ
ラムモジュールを実行することにより、上記の分散型サ
ービス不能攻撃の通信パケットを破棄する処理と、上記
の上位側の通信サービスを検索する処理と、上記の上位
側の通信装置に対してプログラムモジュールを送信する
処理を行うことによって、攻撃元に最も近い最上位の通
信装置に達するまで再帰的に検索を行い、当該最上位の
通信装置において前記分散型サービス不能攻撃の通信パ
ケットを破棄することを特徴とするものである。

【００１７】また、本発明のサービス不能攻撃防止方法
では、前記プログラムモジュールを上位側の通信装置に
対して送信する際には、前記プログラムモジュールとと
もに、分散型サービス不能攻撃であると検知された前記
通信パケットに関する攻撃パケット情報を前記上位側の
通信装置に対して送信し、前記プログラムモジュールと
前記攻撃パケット情報を受信した側の通信装置では、当
該プログラムモジュールを実行することによって、前記
攻撃パケット情報と当該通信装置を通過する通信パケッ
トとを比較して、当該攻撃パケット情報に該当する通信
パケットが当該通信装置を通過していることを検知した
場合には、当該通信装置自身が防御位置の通信装置の候
補であることを送信元の通信装置に対して通知すること
を特徴とする。

【００１８】また、本発明のサービス不能攻撃防止方法
では、前記プログラムモジュールを受信した前記上位側
の通信装置においては、当該プログラムモジュールを実
行することによって、攻撃が継続中か否かを監視すると
ともに、この攻撃が中断された判断した場合には、当該
プログラムモジュール自身を当該通信装置から消滅させ
る処理を行うことを特徴とする。

【００１９】また、本発明の記録媒体は、分散型サービ
ス不能攻撃を防止するために通信装置上で実行されるコ
ンピュータプログラムを記録したコンピュータ読み取り
可能な記録媒体は、前記通信装置を通過する通信パケッ
トを監視するステップと、この監視によってサービス不
能攻撃の通信パケットを検知した場合には、当該サービ
ス不能攻撃の通信パケットを継続的に破棄する処理を行
うステップと、前記サービス不能攻撃が分散型のサービ
ス不能攻撃であるか否かを判断するステップと、分散型
のサービス不能攻撃であった場合には、データベースを
参照することによって攻撃元に近い上位側の通信装置を
抽出し、これらの上位側の通信装置に対して攻撃元を検
索するための攻撃元検索モジュールを送信し、送信先の
通信装置から防御位置の情報を受信し、この防御位置の
情報に基づいて上位側の通信装置に対して攻撃を防御す
るための攻撃防御モジュールを送信するステップとの各
処理をコンピュータに実行させるコンピュータプログラ
ムを記録したものである。

【００２０】また、本発明の記録媒体は、分散型サービ
ス不能攻撃を防止するために下位の通信装置から上位の
通信装置へ送信され、この上位の通信装置上で実行され
る攻撃元検索のコンピュータプログラムを記録したコン
ピュータ読み取り可能な記録媒体であって、当該通信装
置を通過する通信パケットと、サービス不能攻撃に関す
る攻撃パケット情報とを比較して、当該サービス不能攻
撃の通信パケットが当該通信装置を通過しているか否か
を検査し、この検査結果を前記下位の通信装置に通知す
るステップと、この検査の結果、当該サービス不能攻撃
の通信パケットが当該通信装置を通過している場合に
は、 ａ）自通信装置自身よりも攻撃元に近い上位の通信装置
がない場合には当該通信装置自身を最上位の通信装置と
して前記下位の通信装置に通知する、 ｂ）自該通信装置自身よりも攻撃元に近い上位の通信装
置がある場合であり、この上位の通信装置に対して当該
攻撃元検索のコンピュータプログラムを送信した結果、
この上位の通信装置から当該サービス不能攻撃の通信パ
ケットが通過しているという通知が一個も来ない場合に
は、自通信装置自身を最上位の通信装置として前記下位
の通信装置に通知する、 ｃ）自該通信装置自身よりも攻撃元に近い上位の通信装
置がある場合であり、この上位の通信装置に対して当該
攻撃元検索のコンピュータプログラムを送信した結果、
この上位の通信装置から当該サービス不能攻撃の通信パ
ケットが通過しているという通知が一個以上来た場合に
は、自通信装置自身を最上位の通信装置としない、の
ａ）〜ｃ）のいずれかを行うステップとの各処理をコン
ピュータに実行させるコンピュータプログラムを記録し
たものである。

【００２１】また、本発明の記録媒体は、分散型サービ
ス不能攻撃を防止するために通信装置上で実行される攻
撃防御のコンピュータプログラムを記録したコンピュー
タ読み取り可能な記録媒体であって、当該通信装置を通
過する通信パケットと、サービス不能攻撃に関する攻撃
パケット情報とを比較して、当該サービス不能攻撃の通
信パケットが当該通信装置を通過しているか否かを検査
し、この検査結果、通過していた場合には、 ａ）当該サービス不能攻撃の通信パケットを継続的に破
棄する処理を行うステップと、 ｂ）データベースを参照することによって攻撃元に近い
上位側の通信装置を抽出するステップと、 ｃ）抽出された前記上位側の通信装置に対して当該攻撃
防御のコンピュータプログラム自身を送信するステップ
と、のａ）〜ｃ）の各処理をコンピュータに実行させる
コンピュータプログラムを記録したものである。

【００２２】また、本発明は、分散型サービス不能攻撃
を防止するために通信装置上で実行されるコンピュータ
プログラムであって、前記通信装置を通過する通信パケ
ットを監視するステップと、この監視によってサービス
不能攻撃の通信パケットを検知した場合には、当該サー
ビス不能攻撃の通信パケットを継続的に破棄する処理を
行うステップと、前記サービス不能攻撃が分散型のサー
ビス不能攻撃であるか否かを判断するステップと、分散
型のサービス不能攻撃であった場合には、データベース
を参照することによって攻撃元に近い上位側の通信装置
を抽出し、これらの上位側の通信装置に対して攻撃元を
検索するための攻撃元検索モジュールを送信し、送信先
の通信装置から防御位置の情報を受信し、この防御位置
の情報に基づいて上位側の通信装置に対して攻撃を防御
するための攻撃防御モジュールを送信するステップとの
各処理をコンピュータに実行させるものである。

【００２３】また、本発明は、分散型サービス不能攻撃
を防止するために下位の通信装置から上位の通信装置へ
送信され、この上位の通信装置上で実行される攻撃元検
索のコンピュータプログラムであって、当該通信装置を
通過する通信パケットと、サービス不能攻撃に関する攻
撃パケット情報とを比較して、当該サービス不能攻撃の
通信パケットが当該通信装置を通過しているか否かを検
査し、この検査結果を前記下位の通信装置に通知するス
テップと、この検査の結果、当該サービス不能攻撃の通
信パケットが当該通信装置を通過している場合には、 ａ）自通信装置自身よりも攻撃元に近い上位の通信装置
がない場合には当該通信装置自身を最上位の通信装置と
して前記下位の通信装置に通知する、 ｂ）自該通信装置自身よりも攻撃元に近い上位の通信装
置がある場合であり、この上位の通信装置に対して当該
攻撃元検索のコンピュータプログラムを送信した結果、
この上位の通信装置から当該サービス不能攻撃の通信パ
ケットが通過しているという通知が一個も来ない場合に
は、自通信装置自身を最上位の通信装置として前記下位
の通信装置に通知する、 ｃ）自該通信装置自身よりも攻撃元に近い上位の通信装
置がある場合であり、この上位の通信装置に対して当該
攻撃元検索のコンピュータプログラムを送信した結果、
この上位の通信装置から当該サービス不能攻撃の通信パ
ケットが通過しているという通知が一個以上来た場合に
は、自通信装置自身を最上位の通信装置としない、の
ａ）〜ｃ）のいずれかを行うステップとの各処理をコン
ピュータに実行させるものである。

【００２４】また、本発明は、分散型サービス不能攻撃
を防止するために通信装置上で実行される攻撃防御のコ
ンピュータプログラムであって、当該通信装置を通過す
る通信パケットと、サービス不能攻撃に関する攻撃パケ
ット情報とを比較して、当該サービス不能攻撃の通信パ
ケットが当該通信装置を通過しているか否かを検査し、
この検査結果、通過していた場合には、 ａ）当該サービス不能攻撃の通信パケットを継続的に破
棄する処理を行うステップと、 ｂ）データベースを参照することによって攻撃元に近い
上位側の通信装置を抽出するステップと、 ｃ）抽出された前記上位側の通信装置に対して当該攻撃
防御のコンピュータプログラム自身を送信するステップ
と、のａ）〜ｃ）の各処理をコンピュータに実行させる
ものである。

【００２５】また、本発明は、通信装置に対してプログ
ラムモジュールを送信するモジュールサーバであって、
前記通信装置にインストールされるプログラムモジュー
ルを保存するプログラムモジュールデータベースと、前
記プログラムモジュールの保存を依頼できるプログラム
モジュールの開発者を管理する開発者データベースと、
前記プログラムモジュールを前記通信装置にインストー
ルする要求ができる利用者を管理するユーザデータベー
スと、保存されている前記プログラムモジュールを前記
利用者にメニューで表示するサービスメニューと、前記
サービスメニューに表示されている前記プログラムモジ
ュールをインストールする要求が前記利用者からあれば
前記利用者の権限を認証するサービスマネージャと、前
記認証を確認できた場合には前記プログラムモジュール
を前記通信装置に対して送信するサービスモジュールイ
ンジェクタとを備えることを特徴とするものである。

【００２６】また、本発明は、通信装置上でプログラム
モジュールを実行させるためのモジュール提供方法であ
って、前記通信装置にインストールされる前記プログラ
ムモジュールをプログラムモジュールデータベースに保
存する第１の過程と、前記プログラムモジュールの保存
を依頼できるプログラムモジュールの開発者を開発者デ
ータベースで管理する第２の過程と、前記プログラムモ
ジュールを前記通信装置にインストールする要求ができ
る利用者をユーザデータベースで管理する第３の過程
と、前記第１の過程において保存された前記プログラム
モジュールを前記利用者にサービスメニューに含めて表
示する第４の過程と、前記サービスメニューに表示され
ている前記プログラムモジュールをインストールする要
求が前記利用者からあった際に前記利用者の権限を認証
する第５の過程と、前記第５の過程において認証を確認
できた場合には前記プログラムモジュールを前記通信装
置に対して送信する第６の過程とを有することを特徴と
するものである。

【００２７】また、本発明のコンピュータプログラム
は、前記通信装置にインストールされる前記プログラム
モジュールをプログラムモジュールデータベースに保存
する第１のステップと、前記プログラムモジュールの保
存を依頼できるプログラムモジュールの開発者を開発者
データベースで管理する第２のステップと、前記プログ
ラムモジュールを前記通信装置にインストールする要求
ができる利用者をユーザデータベースで管理する第３の
ステップと、前記第１のステップにおいて保存された前
記プログラムモジュールを前記利用者にサービスメニュ
ーに含めて表示する第４のステップと、前記サービスメ
ニューに表示されている前記プログラムモジュールをイ
ンストールする要求が前記利用者からあった際に前記利
用者の権限を認証する第５のステップと、前記第５のス
テップにおいて認証を確認できた場合には前記プログラ
ムモジュールを前記通信装置に対して送信する第６のス
テップとの各ステップの処理をコンピュータに実行させ
るものである。

【００２８】また、本発明の記録媒体は、前記通信装置
にインストールされる前記プログラムモジュールをプロ
グラムモジュールデータベースに保存する第１のステッ
プと、前記プログラムモジュールの保存を依頼できるプ
ログラムモジュールの開発者を開発者データベースで管
理する第２のステップと、前記プログラムモジュールを
前記通信装置にインストールする要求ができる利用者を
ユーザデータベースで管理する第３のステップと、前記
第１のステップにおいて保存された前記プログラムモジ
ュールを前記利用者にサービスメニューに含めて表示す
る第４のステップと、前記サービスメニューに表示され
ている前記プログラムモジュールをインストールする要
求が前記利用者からあった際に前記利用者の権限を認証
する第５のステップと、前記第５のステップにおいて認
証を確認できた場合には前記プログラムモジュールを前
記通信装置に対して送信する第６のステップとの各ステ
ップの処理をコンピュータに実行させるコンピュータプ
ログラムを記録した記録媒体である。

【００２９】

【発明の実施の形態】以下、図面を参照しこの発明の実
施形態について説明する。なお、以下の実施形態は本発
明の請求範囲の解釈を限定するものではない。また、前
記の目的を達成するために、以下の実施形態において説
明されるすべての特徴を組み合わせることが常に不可欠
であるわけではない。

【００３０】＜第１の実施形態＞以下、本発明の実施の
形態について図を用いて詳細に説明する。図１は、本発
明を適用できるネットワークの構成図である。分散型Ｄ
ｏＳ攻撃者によって操作されたホスト１１３、１１４、
１１６、１１７は、攻撃パケットを被攻撃者のサーバ１
０１に向かって送信している。この被攻撃者のサーバ１
０１が収容されているローカルエリアネットワーク（Ｌ
ＡＮ）は、境界ルータ（通信装置）１０２によって外部
のネットワークに接続されており、この境界ルータ１０
２には、本発明の移動型パケットフィルタリングがイン
ストールされている。また、ルータ（通信装置）１０
３、１０４、１０６、１０７、１０８、１０９、１１
０、１１１もまた本発明の技術を適用したルータであ
り、これらはネットワーク経由で送られてきたプログラ
ムを受信し実行できる機能が備わっている。なお、ルー
タ１０５は本発明の技術を適用したものではない通常の
ルータである。

【００３１】図１に示すネットワークにおいて、分散型
ＤｏＳ攻撃によって、前記攻撃パケットが被攻撃者収容
ＬＡＮに集中して混雑が発生し、これにより、前記境界
ルータ１０２の資源を消費してしまい、この混雑によっ
て、分散型ＤｏＳ攻撃者とは無関係な正規の利用者のコ
ンピュータ１１２、１１５、１１８からサーバ１０１に
接続できなくなるということが起こる。

【００３２】次に、図２は、図１に示したネットワーク
において行われている分散型ＤｏＳ攻撃に対しての防御
方法を示している。図２の態様では、境界ルータ１０２
にインストールされている本発明の移動型パケットフィ
ルタリングプログラムは、自らのプログラムの複製を作
成し、その複製を後述する方法によってルータ１０６、
１０７、１０９、１１０へ移動させる。各ルータへ移動
してきた移動型パケットフィルタリングプログラムは、
それぞれ分散型ＤｏＳ攻撃者のホスト１１３、１１４、
１１６、１１７からサーバ１０１に向けて送られている
トラフィック全てを通過させないようにする。その結
果、境界ルータ１０２の負荷が軽減されると共に被攻撃
者収容ＬＡＮの混雑が解消され、分散型ＤｏＳ攻撃者以
外の正規利用者のコンピュータ１１２、１１５、１１８
からサーバ１０１にアクセスできるようになる。その
後、分散型ＤｏＳ攻撃者のホスト１１３、１１４、１１
６、１１７からサーバ１０１への攻撃が終了すると、ル
ータ１０６、１０７、１０９、１１０にインストールさ
れている移動型パケットフィルタリングのプログラム
は、攻撃された履歴を前記境界ルータ１０２にインスト
ールされている複製元の移動型パケットフィルタリング
のプログラムに送信し、自分自身をルータ１０６、１０
７、１０９、１１０から消去する。また本発明の移動型
パケットフィルタリングのプログラムは、様々なネット
ワークの形態や通信内容に対して適用することが可能で
ある。

【００３３】次に、図３および図４のフローチャートを
参照しながら、移動型パケットフィルタリングの処理手
順を説明する。この移動型パケットフィルタリングは、
初期状態においては、防御対象のネットワークがその他
のネットワークと接続されている接点に位置する境界ル
ータ（例えば、図１および図２に示すネットワークにお
いてはルータ１０２）にインストールされている。

【００３４】この状態で、図３に示すステップＳ００１
において、移動型パケットフィルタリングは、転送され
てくるパケット（トラフィック）の監視を行っている。
そして、Ｓ００２で監視結果がＤｏＳ攻撃であるか否か
を判断する。この判断の結果として、ＤｏＳ攻撃が検出
されなかった場合にはステップＳ００２からステップＳ
００１へ戻る。つまり、ＤｏＳ攻撃が検出されないとき
はステップＳ００１の監視とステップＳ００２の判断を
繰り返す。なお、ステップＳ００２においては、周知技
術であるＤｏＳ攻撃の検出アルゴリズムを用いることに
よってＤｏＳ攻撃のデータのパターンを検出することが
できる。

【００３５】ステップＳ００２においてＤｏＳ攻撃が検
出された場合には、ステップＳ００３に進み、ステップ
Ｓ００３において新しいプロセスを生成する。元のプロ
セスと新しく生成されるプロセスとは並行して処理を進
めることができる。この元のプロセスは、ステップＳ０
０１に戻って受信トラフィックの監視を継続する。

【００３６】ステップＳ００３において新しく生成され
る第１のプロセスは、ステップＳ００４〜Ｓ００６に記
載されているように、当該ルータにおいて、検出した攻
撃パケットを破棄する処理を行い、攻撃パケットが継続
している間はパケットの破棄を継続する。攻撃パケット
が停止した場合にはパケットの破棄処理を終了する。

【００３７】ステップＳ００３において新しく生成され
る第２のプロセスは、ステップＳ００７〜Ｓ０１４に記
載されている通り、上位のルータに防御位置を移動する
ための処理を行う。まず、ステップＳ００７において
は、分散型ＤｏＳ攻撃か否かを判断する。なお、この分
散型ＤｏＳ攻撃か否かの判断は周知技術によって行うこ
とができる。この判断の結果、分散型ＤｏＳ攻撃でなか
った場合にはそのまま処理を終了し、分散型ＤｏＳ攻撃
であった場合には、図４のステップＳ００８に進む。

【００３８】ステップＳ００８においては、当該ルータ
が具備する隣接ルータデータベースを参照することによ
り、上位ルータとなり得るルータを検索する。ここで、
上位ルータとなり得るルータとは、当該ルータに隣接す
るルータであって、かつ本発明が適用された移動型パケ
ットフィルタリングの機能を果たすことのできるルータ
である。図２に示したネットワークを例にとると、境界
ルータ１０２が具備する隣接ルータデータベースには、
上位ルータとなり得るルータとして、ルータ１０３、１
０４、１１１が格納されている。ルータ１０３および１
０４は、境界ルータ１０２に隣接しているルータであり
かつ本発明の移動型パケットフィルタリングの機能を果
たすものである。また、ルータ１０５は本発明が適用さ
れてない通常ルータであるため、境界ルータ１０２から
ルータ１０５に向かう経路上のさらにひとつ先に存在し
ているルータ１１１が境界ルータ１０２の上位ルータと
なる。すなわち、本発明の技術を装備するルータの中
で、ネットワークトポロジーとして隣接しているルータ
の情報が隣接ルータデータベースに格納されている。

【００３９】ステップＳ００８での検索の結果をステッ
プＳ００９において判断し、上位ルータが検索されなか
った場合（ＮＯの場合）には、処理を終了する。また、
上位ルータが検索された場合（ＹＥＳの場合）には、次
のステップＳ０１０へ進む。図２に示した例では、境界
ルータ１０２の隣接ルータとして上位ルータ１０３、１
０４、１１１が検索されるため、Ｓ０１０の処理へ進
む。

【００４０】ステップＳ０１０では、上で検出された上
位ルータ１０３、１０４、１１１に対して、現在検索対
象となっている分散型ＤｏＳ攻撃のパケットの情報を保
持した攻撃元検索モジュールを送信する。

【００４１】ステップＳ０１１においては、上記の攻撃
元検索モジュールを受信した上位ルータ上でこの攻撃元
検索モジュールを実行することによって攻撃元検索モジ
ュールが攻撃の防御に最適な位置を検索し、その結果が
送信元の下位ルータに返送されてくる。なお、上記上位
ルータのさらに上位ルータが存在する場合には、再帰的
に攻撃元検索モジュールが送信され防御位置の検索が行
われる。

【００４２】ステップＳ０１２においては、元のルータ
が上位ルータから検索結果を受信し、受信したアドレス
の冗長情報を整理する。この冗長情報の整理については
後で詳細に説明する。この冗長情報の整理が終了する
と、ステップＳ０１３において、受信したアドレスが存
在したか否かをチェックする。存在しなかった場合（Ｎ
Ｏの場合）にはそのまま処理を終了し、存在した場合
（ＹＥＳの場合）にはステップＳ０１４において冗長情
報の整理後に残ったアドレスに対して攻撃防御モジュー
ルを転送してから処理を終了する。

【００４３】次に、図４のステップＳ０１１で呼び出さ
れる攻撃元検索モジュールの処理内容について、図５お
よび図６のフローチャートを参照しながら説明する。図
５のステップＳ１０１において、送信された攻撃元検索
モジュールが上位ルータヘ到着する。図２に示したネッ
トワークの例では、境界ルータ１０２から上位ルータ１
０３、１０４、１１１にそれぞれこのモジュールが到着
するが、ここでは、ルータ１０３へ到着したモジュール
の実行を例として説明する。

【００４４】ステップＳ１０２では、攻撃元検索モジュ
ールが保持している攻撃パケット情報を使い、ルータ１
０３を攻撃パケットが通過しているか否かを検査し、そ
の結果を送信元のルータへ報告する。ステップＳ１０３
で検査結果をチェックし、攻撃パケットが通過していな
かった場合（ＮＯの場合）にはそのままステップＳ１１
２へ進む。攻撃パケットが通過していた場合（ＹＥＳの
場合）には図６のステップＳ１０４へ進む。

【００４５】ステップＳ１０４においては、攻撃防御モ
ジュールがインストール可能か否かを検査する。この検
査は、例えば、当該ルータ上でのモジュール稼動のため
の各種資源が充分かどうかを調べるといった検査であ
る。そして、ステップＳ１０５で上記検査結果を判断
し、インストール可能な場合（ＹＥＳの場合）には、ス
テップＳ１１４で自分自身（ルータ１０３）のアドレス
を最上位ルータアドレスの候補として保持して、ステッ
プＳ１０６へ進む。インストール不可能な場合（ＮＯの
場合）にはそのままステップＳ１０６へ進む。

【００４６】ステップＳ１０６では、自分自身（ルータ
１０３）が具備する隣接ルータデータベースを参照し
て、上位ルータとなり得る隣接ルータを検索する。ルー
タ１０３にとっては、ルータ１０２、１０６、１０７、
１０８が隣接ルータとして抽出される。

【００４７】そして、ステップＳ１０７では、上で抽出
されたルータの中にさらなる上位ルータがあるか否かを
検査する。ここでは、ルータ１０２は、攻撃元検索モジ
ュールの送信元であるため、ルータ１０３のさらなる上
位ルータではなく、ルータ１０６、１０７、１０８がさ
らなる上位ルータである。さらなる上位ルータがなかっ
た場合（ＮＯの場合）には、Ｓ１０８に進み、保持して
いる最上位ルータ候補を攻撃元検索モジュールの送信元
へ送信する。さらなる上位ルータがあった場合（ＹＥＳ
の場合）には、ステップＳ１０９へ進む。

【００４８】ステップＳ１０９では、検出した全上位ル
ータに対して、ＤｏＳ攻撃の情報を保持した攻撃元検索
モジュールを複製して送信し、全ての複製した攻撃元検
索モジュールからの返事を待つ。

【００４９】ステップＳ１１０では、Ｓ１０９で送信さ
れた攻撃元検索モジュールを受信した上位ルータが当該
モジュールを実行することにより最適防衛位置の検索の
処理を行う。つまり、再帰的に上位ルータを検索するこ
とになる。

【００５０】ステップＳ１１１では、複製して送信した
攻撃元検索モジュールからの返事を検査し、一個以上の
検索モジュールからの返事に攻撃が通過しているという
返事があった場合（ＹＥＳの場合）、そのままステップ
Ｓ１１２で自分自身を消滅させて処理を終了する。ま
た、検索モジュールからの全ての返事が攻撃は通過して
いないという内容であった場合（ＮＯの場合）には、Ｓ
１０８に進み、保持している最上位ルータ候補を攻撃元
検索モジュールの送信元へ送信する。

【００５１】図４のステップＳ０１２で説明した検索結
果のアドレスの冗長情報を整理する方法の詳細について
説明する。図７は、アドレスの冗長情報を整理する手順
を示す概略図である。前述した手順により、移動型パケ
ットフィルタリングプログラムは、識別された攻撃毎に
最も攻撃元に近いルータを検出する。

【００５２】図７に示す表Ｔ００１は、検索の結果収集
された情報を表している。この例の場合、同表の第１行
目から第３行目までで表わされる各攻撃（攻撃元アドレ
スが「１１１．１１１．１１１．１１１」と「１１１．
１１１．１１１．２２２」と「１１１．１１１．１１
１．３３３」）については、攻撃元に一番近いルータ
（アドレスが「１１１．１１１．１１１．１」）が同じ
になる可能性がある。このような冗長な情報は編集さ
れ、表Ｔ００２においてはひとつに集約される。そし
て、複製される移動型パケットフィルタリングプログラ
ムは、表Ｔ００１から検出できる攻撃の数だけ複製され
るのではなく、Ｔ００２から検出されたルータの数だけ
複製され、同じ物を無駄に複製して同一の上位ルータに
送らないようになっている。また、全ての複製された移
動型パケットフィルタリングプログラムが、表Ｔ００２
のような収集された情報全てを保持するのではなく、複
製されて移動する先で移動型パケットフィルタリングが
攻撃を防御するために利用する情報だけを取り出し、Ｔ
００３に示すような効率の良い形式で保存される。

【００５３】次に、上述した複製された移動型パケット
フィルタリングプログラムの処理手順について説明す
る。図８は、前記移動型パケットフィルタリングプログ
ラムの処理手順を示すフローチャートである。以下、こ
のフローチャートに沿って説明する。

【００５４】まず、ステップＳ０２１で、複製され攻撃
の防御に必要な情報を受け取ると、当該プログラムは、
インストールされるべきルータに向かって移動（送信）
される。次に、ステップＳ０２２に進み、インストール
されたルータで、攻撃元から攻撃先への全てのパケット
を破棄する処理を行う。次に、ステップＳ０２３に進
み、最後の攻撃が止まった時点からの時間を計測し、計
測した時間が一定の時間に達する前に攻撃が再開されれ
ばステップＳ０２２に戻って防御を続け、計測した時間
が一定の時間に達した場合には、ステップＳ０２４に進
む。

【００５５】ステップＳ０２４では、攻撃に関する履歴
情報（ログ）を複製元の移動型パケットフィルタリング
プログラムへ送信する。最後にステップＳ０２５に進
み、自分自身のプログラムをルータから消去し、処理を
終了する。

【００５６】次に、上で説明した処理手順を実行するた
めの構成について説明する。図９は、本実施形態による
ルータの構成を示す構成図である。図示するように、こ
のルータのハードウェア上ではオペレーティングシステ
ム（ＯＳ）が稼動し、このオペレーティングシステム上
で、本発明のモジュールが稼動する。なお、上記オペレ
ーティングシステムは、システム全体の起動および終了
を制御し、パケットフィルタリングの機能や、トラフィ
ックスケジュール管理の機能や、ソケット機能や、ルー
ティングテーブル管理の機能や、中継パケット振り分け
機能などを提供する。

【００５７】図１０は、本実施形態によって分散型Ｄｏ
Ｓ攻撃を防止するための機能構成を示す構成図である。
図示するように、本発明を実現する各機能は、ルータミ
ドルウェア上の環境で動作する。なお、ルータミドルウ
ェア環境は、前記オペレーティングシステムがバーチャ
ルマシンとして提供する環境である。以下、図１０に示
された各機能について個別に説明する。

【００５８】攻撃元判断機能部は、攻撃元検索モジュー
ルが検索した攻撃元候補から攻撃防御モジュール（移動
型パケットフィルタリングモジュール）を送り込むルー
タを抽出する機能を有する。この攻撃元判断機能部は、
図４に示したステップＳ０１２の処理を行う。

【００５９】攻撃元検索モジュールは、攻撃元に最も近
いルータのアドレスを検索するために、他のルータに送
り込まれるプログラムモジュールである。この攻撃元検
索モジュールは、図５および図６に示した処理を行う。

【００６０】攻撃防御モジュール（移動型パケットフィ
ルタリングモジュール）は、攻撃を止めるために攻撃元
に近いルータに送り込まれるプログラムモジュールであ
る。この攻撃防御モジュールは、図８に示した処理を行
う。

【００６１】攻撃元ルータ情報受信部は、上位ルータ上
で稼動する攻撃元検索モジュールから検索結果の攻撃元
ルータの情報を受信する機能を有する。この攻撃元ルー
タの情報は、図６のステップＳ１１４の処理において上
位側のルータから送信されてくる情報である。

【００６２】攻撃元アドレス管理部は、上記攻撃元ルー
タ情報受信部が攻撃元検索モジュールから受信したアド
レス、つまり攻撃防御モジュールの送信先ルータのアド
レスを保存し管理する機能を有する。

【００６３】攻撃情報管理部は、分散型ＤｏＳ攻撃の情
報を管理する機能である。

【００６４】トラフィック監視機能部は、ルータを通過
するトラフィックを監視し、分散型ＤｏＳ攻撃を検出す
る機能を有する。このトラフィック監視機能部は、図３
に示したステップＳ００２およびＳ００７の判断を行
う。

【００６５】モジュール複製機能部は、攻撃元検索モジ
ュールや攻撃防御モジュールを複製する機能を有する。

【００６６】隣接ルータデータベースは、本発明の技術
を適用したルータであってネットワークトポロジーの上
で当該ルータに隣接するルータの情報を格納するデータ
ベースである。

【００６７】攻撃元ルータ情報受信部は、上位ルータ上
で稼動する攻撃元検索モジュールから検索結果の攻撃元
ルータの情報を受信する機能を有する。

【００６８】モジュール送信部は、攻撃元検索モジュー
ルや攻撃防御モジュールを他のルータへ送信する機能を
有する。

【００６９】攻撃防御機能部は、攻撃パケットを破棄す
る機能を有する。

【００７０】攻撃元アドレス整理部は、上位のルータか
ら受信した最適防衛位置に関するアドレス情報を整理す
る機能を有する。つまり、この攻撃元アドレス整理部
が、図７に示したようにアドレスの冗長性を整理する処
理を行う。

【００７１】図１１は、攻撃元検索モジュールのさらに
詳細な構成を示す構成図である。図示するように、攻撃
元検索モジュールは、隣接ルータ検査機能部と、トラフ
ィック検査機能部と、攻撃通知機能部と、自己消滅機能
部の各機能部を備え、攻撃パケット情報と最上位ルータ
候補の情報を保持することができる。

【００７２】隣接ルータ検査機能部は、ルータが具備す
る隣接ルータデータベースから、上位ルータとしての検
査対象を抽出する機能を有する。

【００７３】トラフィック検査機能部は、ルータを通過
中のトラフィックと攻撃パケット情報とを比較して、攻
撃パケットがルータを通過中であることを検知した場合
には、上位ルータを最上位ルータ候補として記録する機
能を有する。

【００７４】攻撃通知機能部は、攻撃元の検索を終わっ
た後に複製元の攻撃検索モジュールへ最上位ルータ候補
のアドレスを通知する機能と、攻撃元の検索中に攻撃が
行われていなかった場合には攻撃が行われていない旨を
通知する機能を有する。

【００７５】自己消滅機能部は、攻撃元検索モジュール
が不必要になった時点で攻撃元検索モジュール自身をル
ータ上から消去する機能を有する。

【００７６】攻撃パケット情報は、分散型ＤｏＳ攻撃の
攻撃元候補の一つを保持している。また、最上位ルータ
候補は、攻撃元の最上位ルータの候補の情報を保持して
いる。

【００７７】図１２は、攻撃防御モジュールのさらに詳
細な構成を示す構成図である。図示するように、攻撃防
御モジュールは、攻撃防御機能部と、攻撃トラフィック
監視機能部と、自己消滅機能部の各機能部を備え、攻撃
パケット情報を保持することができる。

【００７８】攻撃防御機能部は、攻撃パケットを破棄す
る機能を有する。攻撃トラフィック監視機能部は、攻撃
が継続中か否かを監視する。自己消滅機能部は、攻撃が
中断した場合には攻撃防御モジュール自身をルータ上か
ら消滅させる機能を有する。

【００７９】以上、本実施形態の理解を助けるために要
約すると、パケットフィルタリングを行う装置が一つの
ルータやルータ設置箇所に限定されず、前記パケットフ
ィルタリングのプログラムは、分散型ＤｏＳ攻撃を防ぐ
のに最適な位置に存在するルータに移動する。この移動
先になる最適な位置を検出するために、パケットフィル
タリングのプログラムは、公知技術であるＣｅｎｔｅｒ
Ｔｒａｃｋなどの既存の追跡技術を利用し、分散型Ｄ
ｏＳ攻撃の攻撃元に向かって自分自身のプログラムを移
動させる。

【００８０】本発明では、パケットフィルタリングのプ
ログラムの複製を作成し、その複製を様々な位置に存在
するルータに移動させることもできる仕組みも含まれ
る。この仕組みは、複数箇所から同時に攻撃してくる分
散型ＤｏＳ攻撃の各攻撃元でパケットフィルタリングを
動作させることによって、分散型ＤｏＳ攻撃を防御する
ことに利用する。本発明に基づくシステムでは、パケッ
トフィルタリング機能は、最初は防御対象であるローカ
ルエリアネットワークがインターネットに接続される境
界に存在するルータにインストールされ、分散型ＤｏＳ
攻撃を検知した時に、分散型ＤｏＳ攻撃の複数の攻撃元
各々に近いルータに複製を移動させる。移動先は、でき
るだけ攻撃元に近いルータを目指すため、攻撃元の端末
が接続されているローカルエリアネットワークがインタ
ーネットに接続されている境界に存在するルータが一番
効果的ではあるが、必ずしもその境界に存在するルータ
である必要はない。

【００８１】また、複製されたパケットフィルタリング
機能には、自分自身の移動履歴、フィルタリングしたパ
ケットの履歴を保存し、それを複製元に送信する機能を
有する。

【００８２】さらに、複製されたパケットフィルタリン
グ機能には、自分自身を消去する機能も有する。これ
は、複製されたパケットフィルタリングが防御していた
攻撃が終了してからある一定の時間が過ぎた場合にルー
タから自分自身の機能を消去するという動作や、複製さ
れたパケットフィルタリングがインストールされている
ルータの方針によって消去されるという動作になる。

【００８３】以上、本実施形態によれば、送信元アドレ
スを詐称したパケットによる分散型ＤｏＳ攻撃を防御す
る際に、送信元アドレスの詐称の如何に関わらず、攻撃
を防御できる分散サービス不能攻撃の防止方法および装
置を提供できる。

【００８４】＜第２の実施形態＞次に、本発明の第２の
実施形態について説明する。前記の第１の実施形態は攻
撃元検索モジュールが全ての攻撃情報を保持して移動す
る形態であったが、この第２の実施形態では、攻撃元検
索モジュールはひとつの攻撃元情報だけを保持して移動
するという特徴がある。

【００８５】図１３および図１４は、本実施形態による
移動型パケットフィルタリングの処理の手順を示すフロ
ーチャートである。以下、このフローチャートに沿って
説明する。

【００８６】図１３のステップＳ２０１からＳ２０３ま
での処理は、図３に示したステップＳ００１からＳ００
３までの処理と同様である。また、ステップＳ２０４か
らＳ２０６までの処理およびステップＳ２０７の処理
も、図３に示したステップＳ００４からＳ００６までの
処理およびステップＳ００７の処理とそれぞれ同様であ
る。

【００８７】図１４のステップＳ２０８からＳ２０９ま
での処理は、図４に示したステップＳ００８からＳ００
９までの処理と同様である。ステップＳ２１０では、攻
撃元アドレス管理部から新たな攻撃元のアドレスを１つ
抽出する。そして、ステップＳ２１１において、全ての
アドレスの処理を終了したと判断した場合は、全体の処
理を終了する。また、ステップＳ２１２からＳ２１６ま
でにおいては、ステップＳ２１０で抽出した攻撃元アド
レスに関して、図４に示したステップＳ０１０からＳ０
１４までと同様の処理を実行する。そして、ステップＳ
２１０に戻って次の攻撃元アドレスの処理を抽出する。

【００８８】なお、この第２の実施形態において、上位
ルータに対して送信される攻撃元検索モジュールと攻撃
防御モジュールの処理の手順は、前述の第１の実施形態
におけるそれらと同様のものである。

【００８９】＜第３の実施形態＞次に、本発明の第３の
実施形態について説明する。前記の第１および第２の実
施形態は、攻撃元検索モジュールと攻撃防御モジュール
とが別個のモジュールであったが、この第３の実施形態
では、攻撃元検索モジュールの機能と攻撃防御モジュー
ルの機能とが一体となったモジュール（以下では、便宜
上「攻撃防御モジュールＢ」と呼ぶ）を用いるという特
徴がある。

【００９０】図１５および図１６は、本実施形態による
移動型パケットフィルタリングの処理の手順を示すフロ
ーチャートである。以下、このフローチャートに沿って
説明する。

【００９１】図１５のステップＳ３０１からＳ３０３ま
での処理は、図３に示したステップＳ００１からＳ００
３までの処理と同様である。また、ステップＳ３０４か
らＳ３０６までの処理およびステップＳ３０７の処理
も、図３に示したステップＳ００４からＳ００６までの
処理およびステップＳ００７の処理とそれぞれ同様であ
る。

【００９２】図１６のステップＳ３０８からＳ３０９ま
での処理は、図４に示したステップＳ００８からＳ００
９までの処理と同様である。ステップＳ３１０では、ス
テップＳ３０９で得られた全ての上位ルータに対して、
攻撃パケットの情報を保持した前記攻撃防御モジュール
Ｂを送信する。そして、ステップＳ３１１においては、
送信先の上位ルータにおいて前記攻撃防御モジュールＢ
の処理が実行される。つまり、上位ルータにおいて攻撃
防御が行われるとともに、さらに上位のルータの検索が
行われ、再帰的にさらに上位のルータに対して当該モジ
ュールが送信される。

【００９３】図１７は、本実施形態による攻撃防御モジ
ュールＢの処理の手順を示すフローチャートである。以
下、このフローチャートに沿って説明する。

【００９４】図１７のステップＳ４０１において、送信
された攻撃防御モジュールＢが上位ルータヘ到着する。
ステップＳ４０２では、攻撃防御モジュールＢが保持し
ている攻撃パケット情報を使い、当該ルータを攻撃パケ
ットが通過しているか否かを検査し、その検査結果に応
じて、通過していた場合にはステップＳ４０３へ進み、
通過していなかった場合にはステップＳ４１１で攻撃防
御モジュールＢ自身を当該ルータから消滅させて処理を
終了する。

【００９５】ステップＳ４０３では、新しいプロセスを
生成し、攻撃パケットの破棄と上位ルータの検索とを並
行して行えるようにする。

【００９６】ステップＳ４０３において分岐（fork）し
た第１のプロセスは、ステップＳ４０４からＳ４０６ま
でにおいて、攻撃が停止されるまで攻撃パケットを破棄
し、自プロセスを消滅させて処理を終了する。なお、ス
テップＳ４０４からＳ４０６までの処理は、図３に示し
たステップＳ００４からＳ００６までの処理と同様であ
る。

【００９７】ステップＳ４０３において分岐（fork）し
た第２のプロセスは、ステップＳ４０７からＳ４１０ま
での処理を行う。なお、ステップＳ４０７からＳ４１０
までの処理は、図１６に示したステップＳ３０８からＳ
３１１までの処理と同様である。その後、ステップＳ４
１１において自プロセスを消滅させて処理を終了する。

【００９８】つまり、攻撃防御モジュールＢは、再帰的
に上位ルータを検索し、その上位ルータに対して攻撃防
御モジュールＢ自身を送信し、送信先の上位ルータにお
いてさらに攻撃防御モジュールＢの処理が実行される。
そして、攻撃元に最も近い最上位ルータにおいてこの再
帰が停止し、この最上位ルータでは攻撃が停止されるま
で攻撃パケットの破棄が続けられることとなる。

【００９９】図１８は、攻撃元を検索する機能と攻撃を
防御する機能の両方を有する前記攻撃防御モジュールＢ
の構成を示す構成図である。図示するように、攻撃防御
モジュールＢは、隣接ルータ検査機能部と、トラフィッ
ク検査機能部と、攻撃防御機能部と、攻撃トラフィック
監視機能部と、自己消滅機能部の各機能部を備え、攻撃
パケット情報を記憶できるようになっている。

【０１００】これらのうち、隣接ルータ検査機能部と、
トラフィック検査機能部と、自己消滅機能部とは、第１
の実施形態における攻撃元検索モジュールの構成として
図１１に示した同一名称の各機能部と同様のものであ
る。また、攻撃防御機能部は、同じく図１２に示した攻
撃防御機能部と同様のものである。

【０１０１】＜ネットワークの中継ノード（ルータ）上
での各種機能の実行方法＞前記第１から第３までの実施
形態においては、ルータからルータへプログラムモジュ
ールを転送し、受信側のルータでそのプログラムモジュ
ールを実行し、中継ノードを通過する通信データに対す
る処理を行うことができることを前提としていた。ここ
では、そのようなプログラムモジュールの転送および実
行の方法について説明する。

【０１０２】近年、インターネットの利用が様々な方面
に拡大するにしたがって、ネットワークノードがパケッ
トを転送するだけでは、利用者の様々なニーズに応える
ことは既にできなくなってきている。また、各種のネッ
トワーク機器製造者は、例えばマルチキャストやＲＳＶ
Ｐ（Resource Reservation Protocol）といった新しい
サービスを、ネットワーク機器のファームウェアをアッ
プグレードすることによって実現してきた。

【０１０３】一方、アクティブネットワーク技術とよば
れるものは、ネットワークの中継ノードにプログラムの
実行環境を提供することと、その実行環境の上で標準化
された機能モジュールを実行させることによって、新し
いネットワークサービスを迅速に開発できるようにする
ことを目標としている。従来のネットワークでは、通信
端末はＩＰパケットの送信元、あるいは送信先アドレス
以外には、ほとんどオプションを指定することはできな
いが、このアクティブネットワークでは、送信元の通信
端末から送出されたパケットが、送信先の通信端末に到
達する前にどのような処理をするのかという指定ができ
る。アクティブネットワークの方式は以下の３点に分け
られる。

【０１０４】第１にアクティブパケット方式がある。こ
のアクティブパケット方式は、パケットに小規模なプロ
グラムを埋め込む方式である。このプログラムは、中継
ノードにて取り出され実行される。第２は、アクティブ
ノード方式である。このアクティブノード方式は、中継
ノードにプログラムを事前にインストールしておく方法
である。事前に定義したサービスを識別するＩＤをパケ
ットに付加することによって、中継ノードで実行される
プログラムを指定する。第３のアクティブパケット・ノ
ードは、前記第１と第２の方式を組み合わせた方式で、
両者の利点が組み合わさっている。これら３種類の方式
は、ＡＮＥＰ（Active Network Encapsulation Protoco
l）ヘッダのような新しいヘッダ方式を利用することが
求められる。

【０１０５】上述した、マルチキャストやＲＳＶＰとい
った新しいサービスは、ネットワーク機器のファームウ
ェアをアップグレードすることによって実現してきた
が、この方法には、コストがかさむ上にサービス開発に
期間を要する、さらに、異なるハードウェア毎にソフト
ウェアを開発しなければならない、といった問題点があ
る。

【０１０６】また、上述のアクティブネットワークの３
方式は、いずれもデータを送信する端末からパケットが
送出される前に、パケットにプログラムを埋め込む、ま
たは予め定義したサービスＩＤを付加するなど、従来の
ＩＰパケットには無かった送信データに対して処理を行
う指示を与えるための情報を付加することが必要であ
る。これらを実現するためには、データを送出する端末
のアプリケーション、またはＩＰパケットの処理プログ
ラムなどで、情報をパケットに付加する処理を行う。こ
のため、通信端末上のアプリケーションやＩＰパケット
の処理プログラムを変更しなければならないという問題
があり、コスト的にも負担が強いられるものであった。

【０１０７】本発明においては、中継ノードの機種に制
限されることなくサービスモジュールが移動することが
できるようになり、また、中継ノードにインストールさ
れているサービスモジュールを利用するために、コンピ
ュータなどの通信端末にインストールされているソフト
ウェアを変更する必要がなくない、ネットワーク通信機
器でプログラムを動作させることができるように、以下
に述べるような手段を提供している。

【０１０８】すなわち、この発明で用いるのネットワー
ク通信機器でプログラムを動作させる方法及び装置は、
ネットワークに配置された中継ノードに動的にプログラ
ムをインストールするためのプラットフォーム手段と、
前記インストールされたプログラムに対してアプリケー
ションインターフェイスを提供する手段と、前記プログ
ラムが動作する際には、前記中継ノードに送られてきた
パケットが前記プログラムの処理対象であればプログラ
ムに対してパケットを引き渡す手段と、前記処理が終わ
った後にパケットを送出する手段とを具備する。

【０１０９】このネットワーク通信機器でプログラムを
動作させる技術について、図面を用いてさらに詳細な実
施方法を用いて説明する。

【０１１０】図１９は、システムの概略構成を示す構成
図である。図１９に示すように、通信端末１と７が、通
信ネットワーク５にて接続されており、ルータ、ＡＴＭ
（Asynchronous Transfer Mode）スイッチおよびＩＰパ
ケットを転送する能力を持つコンピュータの３種類の機
能を統合して備えているネットワークの中継ノード２、
４および６によって接続されている。モジュールサーバ
３は、サービスモジュールの開発者（図示せず）から送
られてくる新しいモジュールを受信し、このモジュール
と一緒に送られてくる電子署名によって開発者の認証を
行う。このようにコンピュータシステムが使うハードウ
ェアシステムとシステムソフトウェア（プラットフォー
ム）が配置されている。

【０１１１】次に、図２０は、上述したモジュールサー
バ３の構成を示す構成図である。サービスモジュール受
信部１１は、あらかじめ登録されている認定開発者のデ
ータベース１２の情報を使い、受信したサービスモジュ
ールに付加されている電子署名を検査することによっ
て、開発者の認証を行う。その後に、サービスモジュー
ル受信部１１は、受信したサービスモジュールが、イン
ターフェイスとセキュリティの要求条件を満たしている
ことを検査する。そして、検査が済んだモジュールは、
サービスモジュールデータベース１３に保存される。こ
の保存されたサービスモジュールの名称およびサービス
概要は、サービスメニュー１４に表示されるようにな
る。このプライベートサービスメニュー１４は、ネット
ワークの利用者がネットワーク経由で見ることができ、
エンドユーザはメニューの内容を見てサービスを要求す
る。要求を受け取るとユーザデータベース１７の内容を
検査し、要求を送信してきたネットワーク利用者が要求
する権限があることが確認されると、サービスモジュー
ルインジェクタ１５は、ネットワーク利用者から要求さ
れたサービスモジュールをネットワーク中継ノードに転
送する。このとき、サービスマネージャ１６は、サービ
スモジュールを転送した先を記録し、その後にサービス
モジュールが他の中継ノードに移動した場合は移動先の
情報をサービスモジュールから受け取り、サービスモジ
ュールが動作中かといった状態の情報もサービスモジュ
ールから受け取り管理する。

【０１１２】次に、図２１は、本発明を実装したネット
ワーク中継ノード（ルータ）の概要を表しており、また
図２２は、前記中継ノード内のノードカーネルおよび実
行エンジンの機能を示す表図である。なお、このノード
カーネルと実行エンジンとは、図９に示したＯＳを構成
する機能である。

【０１１３】図２１に示すように、ノードカーネル２０
は、前記中継ノードに実装された本システムの起動／終
了、また、中継ノードに実装されている機器と本システ
ムとの入出力管理、パケットフィルタリングやトラフィ
ックデータのスケジュール管理やソケット処理やルーテ
ィングテーブルの操作といった中継ノードのメーカ毎に
異なる処理に対するインターフェイスを提供し、実行エ
ンジン２１やサービスモジュール２２は、前記ノードカ
ーネル２０に対してパケットフィルタリングなどの処理
を要求すると、このノードカーネル２０がその処理を仲
介する。さらに、ノードカーネル２０は、ＩＰパケット
が中継ノードに転送されてきた時に、この中継ノードに
インストールされているサービスモジュール２２が処理
するべきパケットであれば、実行エンジン２１を経由し
てサービスモジュール２２にパケットを振り分ける。一
方、前記中継ノードにインストールされているサービス
モジュール２２が処理するべきパケットでなければ、そ
のまま通常のＩＰパケットとして処理し転送する。この
ときのどのパケットを処理するかという情報は、モジュ
ールサーバ３（図１９参照）からサービスモジュール２
２と共に送られてくる。

【０１１４】また、実行エンジン２１は、新規のサービ
スモジュール２２がモジュールサーバ３から送られてい
ることを常時待機しており、サービスモジュール２２の
処理を開始すると処理の状態を監視し、必要に応じてそ
の状態の情報を前記モジュールサーバ３に送信する。

【０１１５】次に、図２３は、前記中継ノードが受信し
たパケットを、本発明に基づいてどのように処理するの
かを表したフローチャートである。まず、ステップＳ１
００１で、ある中継ノードが隣接する中継ノードなどか
らＩＰパケットを受信する。次に、Ｓ１００２に進み、
この受信したパケットの送信元アドレスまたは送信先ア
ドレスが、前記中継ノードにインストールされているサ
ービスモジュールのいずれかが処理すべき対象になって
いるか否かを調べる。送信元アドレスまたは送信先アド
レスがサービスモジュールの処理すべき対象アドレスと
して指定されている場合は、Ｓ１００３に進み、処理す
べき対象として指定しているサービスモジュール２２
（図２１参照）にパケットを引渡し、前記サービスモジ
ュール２２が処理を行う。また、処理すべき対象となっ
ていないパケットの場合は、Ｓ１００４に進み、通常の
ＩＰパケットとして、送信先アドレスにＩＰパケットが
到達するように、ルーティングテーブルなどを参照して
転送処理を行う。なお、前記Ｓ１００２の判断条件は、
ＩＰパケットの送信先または送信元アドレスという態様
を示したが、その条件だけに限らず、サービスモジュー
ル２２が条件を自由に設定することができる。

【０１１６】次に、図２４は、前記サービスモジュール
２２（図２１参照）をモジュールサーバ３（図１９参
照）に送信する手順を示しているフローチャートであ
る。まずＳ１０１１では、前記サービスモジュール２２
の開発者からサービスモジュール２２の送信要求と共に
サービスモジュール２２のプログラム、開発者の電子署
名を受信する。次に、Ｓ１０１２に進み、前記電子署名
の有無を検査し、付加されている場合はさらにＳ１０１
３に進み、前記開発者が事前に登録されているか否かを
検査し、登録されている場合はＳ１０１４に進み、前記
サービスモジュール２２のプログラムが要求条件を満た
しているか否かの検査を行う。また、Ｓ１０１２，Ｓ１
０１３およびＳ１０１４の条件は、どれか一つでもが満
たされない場合には、Ｓ１０１５に進み、サービスモジ
ュール２２の受信を拒否し処理を終了する。全ての条件
が満たされた場合は、Ｓ１０１６に進み、サービスモジ
ュール２２をデータベースに登録し、サービスメニュー
の内容を更新する。

【０１１７】次に、図２５は、ネットワーク利用者から
サービスモジュールの要求を受信する手順を示したフロ
ーチャートである。まずＳ１０２１では、前記ネットワ
ーク利用者からのサービスモジュール２２（図２１参
照）の要求を受信する。そして、Ｓ１０２２に進み、前
記要求と共に送られてきたネットワーク利用者の情報か
ら、要求を送信してきたネットワーク利用者が正規の利
用者であることを確認する。もし正規の利用者であれ
ば、Ｓ１０２３に進み、前記ネットワーク利用者から受
信した要求に含まれるサービスモジュール２２がモジュ
ールサーバ３（図１９参照）に保存されているか、ネッ
トワーク利用者が要求できる権限を持っているサービス
モジュール２２なのかといったネットワーク利用者の要
求したサービスモジュール２２に対する正当性の検査を
行う。前記Ｓ１０２２またはＳ１０２３でいずれか一方
の条件が満たされない場合、Ｓ１０２４に進みエラーメ
ッセージを表示して処理を終了する。

【０１１８】次にＳ１０２５に進み、前記ネットワーク
利用者の情報をモジュールサーバ３に保存されているユ
ーザデータベースから収集する。続いてＳ１０２６に進
み、前記利用者の情報に含まれるサービスモジュール２
２を要求してきたネットワーク利用者の接続しているネ
ットワークに関する情報から、要求されたサービスモジ
ュール２２が処理できるパケットを定義する。さらに、
Ｓ１０２７に進み、前記Ｓ１０２５で収集したサービス
モジュール２２を要求してきたネットワーク利用者が接
続するネットワークに関する情報から、前記ネットワー
クがインターネットに接続している境界に存在する中継
ノードを導き出し、その導き出した境界に存在する中継
ノードにサービスモジュール２２を転送して、終了す
る。

【０１１９】次に、図２６は、サービスモジュール２２
の論理構造を示している。プライベートサービスモジュ
ールの行動を管理するために、ここでは、中継ノードに
サービスモジュール２２をインストールする前に７種類
の属性を付加する。この７種類の属性とは、サービスＩ
Ｄ、オーナＩＤ、インストール時間、開発者ＩＤ、モジ
ュールサーバＩＰアドレス、複製情報、処理対象であ
る。前記複製情報と処理対象は、以下で詳しく説明す
る。

【０１２０】前記サービスモジュールは、元々インスト
ールされている中継ノードから移動することができ、場
合によっては、前記サービスモジュールが複製を作成し
て複数の中継ノードで処理を行うことも可能である。こ
のように複製したサービスモジュールを見分けるため
に、モジュールサーバから中継ノードにインストールさ
れたサービスモジュールをオリジナルとし、このインス
トールされたサービスモジュール以外の複製が他の中継
ノードに作成されたときには、複製されたサービスモジ
ュールとし、それぞれを区別する情報を複製情報として
サービスモジュールは保持する。この処理対象は、ネッ
トワーク利用者がモジュールサーバに、サービスモジュ
ールを要求した時点で生成される。また、前記モジュー
ルサーバは、ユーザ情報のデータベースを調べ、サービ
スモジュールが処理対象として良いパケットをＩＰアド
レスなどによって決定する。そして、処理対象として許
可するのは、サービスモジュールを要求したエンドユー
ザが送信元または送信先になっているデータであり、Ｉ
Ｐアドレス以外の情報を用いて識別することもできる。

【０１２１】前記ネットワーク利用者は、サービスモジ
ュールをメニューから選んで要求する。この際に、要求
するサービスモジュールを指定するサービスＩＤの他
に、前記サービスモジュールの初期状態を指定するパラ
メータも同時にモジュールサーバに送信することができ
る。この場合、初期設定が終了すると、サービスモジュ
ールは中継ノードにインストールされる。このインスト
ールされる中継ノードは、特に指定が無い場合は、前記
サービスモジュールを要求したネットワーク利用者が属
しているネットワークに一番近いノードになる。そし
て、前記サービスモジュールは、中継ノードにインスト
ールされると、他の条件を待たずに、パケットの処理、
他の中継ノードへの移動、複製の作成などを開始できる
が、どのような処理を行うのかは、サービスモジュール
にサービスモジュールの開発者がプログラムしてあるア
ルゴリズムとネットワーク利用者が初期値として指定し
たパラメータに依存する。

【０１２２】前記サービスモジュールには、セキュリテ
ィの観点から実行に関する以下の制限を加える。第１
は、使用制限である。この使用制限は、ある特定の時点
で使用できるサービスの数であり、サービスモジュール
は処理を終了すると直ちに中継ノードから消え去るよう
にもできる。また、利用中のサービスモジュールの数が
制限に達すると、それ以上は新規のサービスを実行する
ことはできず、モジュールサーバ内のサービスモジュー
ルマネージャが、全てのユーザの使用中のサービス数を
監視するものである。

【０１２３】第２は、複製モジュールである。この複製
モジュールは、複製元のモジュールが存在しなくなる
と、自動的に存在できなくなる。そして、複製元のモジ
ュールが無くなると、モジュールサーバによって複製モ
ジュールも消去される。また、複製モジュールが一定時
間以上パケットの処理を行わないと、実行エンジンによ
って消去される。すなわち、複製モジュールが処理を続
けるためには、パケットを受信しつづける必要がある。

【０１２４】第３は、サービスモジュールである。この
サービスモジュールは、自分自身に設定されている終了
条件に達したとき、またはそのサービスモジュールを要
求したネットワーク利用者がモジュールサーバを経由し
て明示的に終了の指示を伝えてきたときにだけ終了す
る。この条件は全てのサービスモジュールに適用され
る。

【０１２５】第４は、処理対象パケットである。サービ
スモジュールが処理できるパケットには制限があり、前
記サービスモジュールは、そのサービスモジュールを要
求したネットワーク利用者が属するネットワークに所属
する通信端末が送信元、あるいは送信先になっているデ
ータしか処理をすることができないことによる。

【０１２６】第５は、処理対象の競合である。上記第４
で述べたようにサービスモジュールが処理できるパケッ
トには制限があるが、あるパケットに着目すると、必ず
送信元の利用者と送信先の利用者がいることになる。こ
のため、ある中継ノードで、転送されてきたＩＰパケッ
トの送信元および送信先の両者のネットワーク利用者か
らサービスモジュールがインストールされていることが
ありうる。このときは、送信先のサービスモジュールだ
けがパケットに対して処理をできる権限を与える。

【０１２７】第６は、モジュールの競合である。ある中
継ノードに同じネットワーク利用者から複数のサービス
モジュールがインストールされている場合、最初にイン
ストールされたサービスモジュールだけがＩＰパケット
に対して処理を行うことができる。

【０１２８】第７は、パケットの入出力である。前記サ
ービスモジュールは、それ自身が新しいＩＰパケットを
生成することはできない。すなわち、転送されてきたパ
ケット一つに対して、転送するパケットも一つになる。

【０１２９】第８は、ロケーション管理である。前記サ
ービスモジュールは複製モジュールも含めて全て中継ノ
ード間を移動することができるため、移動する場合に
は、新しい中継ノードの場所もモジュールサーバ内のモ
ジュールマネージャに通知する。このように、前記サー
ビスモジュールには、セキュリティの観点から実行に関
する制限を加えている。

【０１３０】以上、説明した技術を用いることによっ
て、製造業者が異なる中継ノードで仕様の異なるプログ
ラムインターフェイスを統一した形でサービスモジュー
ルへ提供する実行環境を提供することになり、サービス
モジュールがインストールできる中継ノードであれば、
その機種に制限されることなくサービスモジュールが移
動することができるようになる。また、従来のＩＰパケ
ットのままでサービスモジュールの処理対象を特定する
方法によって、アクティブネットワークなどの従来技術
ではパケット自体を改変する必要があったものを不要と
した。これによって、中継ノードにインストールされて
いるサービスモジュールを利用するために、コンピュー
タなどの通信端末にインストールされているソフトウェ
アを変更する必要がなくなる。

【０１３１】なお、上述した各コンピュータプログラム
は、コンピュータ読取可能な記録媒体に記録されてお
り、通信装置等に搭載されたＣＰＵ（中央処理装置）が
この記録媒体からコンピュータプログラムを読み取っ
て、攻撃防御あるいはサービスモジュール提供等のため
も各処理を実行する。また、「コンピュータ読み取り可
能な記録媒体」とは、磁気ディスク、光磁気ディスク、
ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシス
テムに内蔵されるハードディスク等の記憶装置のことを
いう。さらに「コンピュータ読み取り可能な記録媒体」
とは、インターネット等のネットワークや電話回線等の
通信回線を介してプログラムが送信された場合のサーバ
やクライアントとなるコンピュータシステム内部の揮発
性メモリ（ＲＡＭ）のように、一定時間プログラムを保
持しているものも含むものとする。

【０１３２】また、上記プログラムは、このプログラム
を記憶装置等に格納したコンピュータシステムから、伝
送媒体を介して、あるいは、伝送媒体中の伝送波により
他のコンピュータシステムに伝送されても良い。ここ
で、プログラムを伝送する「伝送媒体」は、インターネ
ット等のネットワーク（通信網）や電話回線等の通信回
線（通信線）のように情報を伝送する機能を有する媒体
のことをいう。

【０１３３】また、上記プログラムは、前述した機能の
一部を実現するためのものであっても良い。さらに、前
述した機能をコンピュータシステムに既に記録されてい
るプログラムとの組み合わせで実現できるもの、いわゆ
る差分ファイル（差分プログラム）であっても良い。

【０１３４】以上、図面を参照してこの発明の実施形態
を詳述してきたが、具体的な構成はこれらの実施形態に
限られるものではなく、この発明の要旨を逸脱しない範
囲の設計等も含まれる。

【０１３５】

【発明の効果】以上説明したように、本発明によれば、
通信装置が、分散型サービス不能攻撃を防止するための
通信装置であって、当該通信装置を通過する通信パケッ
トを監視し分散型サービス不能攻撃を検出するトラフィ
ック監視機能部と、分散型サービス不能攻撃が検出され
た際に当該分散型サービス不能攻撃の通信パケットを破
棄する攻撃防御モジュールと、攻撃元に近い上位側の通
信装置のアドレスを検索する処理を行う攻撃元検索モジ
ュールと、上位側の防御位置の通信装置に対して前記攻
撃元検索モジュールを送信するモジュール送信部と、前
記攻撃元検索モジュールによって検索された攻撃元に近
い上位側の通信装置の候補中から上位側の防御位置とす
る通信装置を抽出する攻撃元判断機能部とを備え、前記
モジュール送信部は、前記攻撃元判断機能部によって抽
出された上位側の防御位置の通信装置に対して前記攻撃
防御モジュールを送信するため、分散型サービス不能攻
撃を検出した際には、検出した通信装置において攻撃の
通信パケットを破棄するとともに、より攻撃元に近い上
位の通信装置を検索し、その検索の結果得られた上位の
通信装置に対して攻撃元検索モジュールを送信し、この
上位の通信装置においてこのモジュールを実行すること
によって当該上位のモジュールを当該攻撃の通信パケッ
トが通過しているかどうかを判断し、通過している場合
には、再帰的にさらに上位の通信装置を検索していくこ
とができるので、攻撃元に最も近い最上位の通信装置に
おいて攻撃を防御する、すなわち攻撃の通信パケットを
破棄することが可能となる。これにより、攻撃の通信パ
ケットによる影響を攻撃元に近い局所に限定することが
可能となり、ネットワーク全体への悪影響を抑制するこ
とができる。

【０１３６】また、例えばインターネットのように、本
来攻撃防御の機能を備えていないネットワークであって
も、本発明を適用することによって攻撃に対する効果的
な防御が可能になる。また本発明を用いた場合、攻撃者
が直接接続されているネットワークの管理者が何らかの
対処をする必要がなく、攻撃を受けている装置が接続さ
れているネットワーク側の対処によって自動的に防御機
能が起動され攻撃を防ぐことができるようになる。

【０１３７】また本発明によれば、通信装置が、当該通
信装置を通過する通信パケットを監視し分散型サービス
不能攻撃を検出するトラフィック監視機能部と、分散型
サービス不能攻撃が検出された際に当該分散型サービス
不能攻撃の通信パケットを破棄するとともに、攻撃元に
近い上位側の通信装置のアドレスを検索する処理を行う
攻撃防御モジュールと、上位側の通信装置に対して前記
攻撃防御モジュールを送信するモジュール送信部とを備
えるため、攻撃元を検索する機能と攻撃を防御する機能
とを単一のプログラムモジュールで実現できるととも
に、防御のアルゴリズムを単純化することが可能とな
る。

【０１３８】また、本発明によれば、通信装置に対して
プログラムモジュールを送信するモジュールサーバが、
前記通信装置にインストールされるプログラムモジュー
ルを保存するプログラムモジュールデータベースと、前
記プログラムモジュールの保存を依頼できるプログラム
モジュールの開発者を管理する開発者データベースと、
前記プログラムモジュールを前記通信装置にインストー
ルする要求ができる利用者を管理するユーザデータベー
スと、保存されている前記プログラムモジュールを前記
利用者にメニューで表示するサービスメニューと、前記
サービスメニューに表示されている前記プログラムモジ
ュールをインストールする要求が前記利用者からあれば
前記利用者の権限を認証するサービスマネージャと、前
記認証を確認できた場合には前記プログラムモジュール
を前記通信装置に対して送信するサービスモジュールイ
ンジェクタとを備えるモジュールサーバを備えることに
よって、所定の開発者によって開発されたプログラムモ
ジュールだけが通信装置上で実行可能となり、通信シス
テムの信頼性がより一層向上する。

【図面の簡単な説明】

【図１】 本発明を適用できるネットワークの構成図で
ある。

【図２】 図１に示したネットワークにおいて行われて
いる分散型ＤｏＳ攻撃に対する防御方法を示す概略図で
ある。

【図３】 本発明の第１の実施形態による移動型パケッ
トフィルタリングの処理手順を示すフローチャートの一
部分である。

【図４】 本発明の第１の実施形態による移動型パケッ
トフィルタリングの処理手順を示すフローチャートの一
部分である。

【図５】 本発明の第１の実施形態による攻撃元検索モ
ジュールの処理の手順を示すフローチャートの一部分で
ある。

【図６】 本発明の第１の実施形態による攻撃元検索モ
ジュールの処理の手順を示すフローチャートの一部分で
ある。

【図７】 本発明の第１の実施形態により攻撃元に近い
上位ルータのアドレスの冗長情報を整理する手順を示す
概略図である。

【図８】 本発明の第１の実施形態による移動型パケッ
トフィルタリングプログラムの処理手順を示すフローチ
ャートである。

【図９】 本発明の第１の実施形態によるルータの構成
を示す構成図である。

【図１０】 本発明の第１の実施形態によって分散型Ｄ
ｏＳ攻撃を防止するための機能構成を示す構成図であ
る。

【図１１】 本発明の第１の実施形態による攻撃元検索
モジュールの詳細な構成を示す構成図である。

【図１２】 本発明の第１の実施形態による攻撃防御モ
ジュールの詳細な構成を示す構成図である。

【図１３】 本発明の第２の実施形態による移動型パケ
ットフィルタリングの処理の手順を示すフローチャート
の一部分である。

【図１４】 本発明の第２の実施形態による移動型パケ
ットフィルタリングの処理の手順を示すフローチャート
の一部分である。

【図１５】 本発明の第３の実施形態による移動型パケ
ットフィルタリングの処理の手順を示すフローチャート
の一部分である。

【図１６】 本発明の第３の実施形態による移動型パケ
ットフィルタリングの処理の手順を示すフローチャート
の一部分である。

【図１７】 本発明の第３の実施形態による攻撃防御モ
ジュールＢの処理の手順を示すフローチャートである。

【図１８】 本発明の第３の実施形態による攻撃防御モ
ジュールＢの構成を示す構成図である。

【図１９】 本発明の適用対象であるネットワーク通信
機器上でプログラムを動作させるためのシステムの概略
構成を示す構成図である。

【図２０】 モジュールサーバの構成を示す構成図であ
る。

【図２１】 ネットワーク中継ノード（ルータ）の概要
を表す概略図である。

【図２２】 中継ノード内のノードカーネルおよび実行
エンジンの機能を示す表図である。

【図２３】 前記中継ノードが受信したパケットを処理
する手順を示すフローチャートである。

【図２４】 サービスモジュールをモジュールサーバに
送信する手順を示すフローチャートである。

【図２５】 ネットワーク利用者からサービスモジュー
ルの要求を受信する手順を示すフローチャートである。

【図２６】 サービスモジュールの論理構造を示す概略
図である。

【符号の説明】

１ 通信端末 ２ 中継ノード ３ モジュールサーバ ４ 中継ノード ５ 通信ネットワーク ６ 中継ノード ７ 通信端末 １１ サービスモジュール受信部 １２ 認定開発者データベース １３ サービスモジュールデータベース １４ サービスメニュー １５ サービスモジュールインジェクタ １６ サービスマネージャ １７ ユーザデータベース ２０ ノードカーネル ２１ 実行エンジン ２２ サービスモジュール １０１ 被攻撃者のサーバ １０２ 境界ルータ １０３，１０４，１０６〜１１１ ルータ（本発明を適
用したルータ） １０５ ルータ（本発明を適用しないルータ） １１２，１１５，１１８ 正規利用者のコンピュータ １１３，１１４，１１６，１１７ ＤｏＳ攻撃者のホス
ト

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B089 GA11 GA21 GA31 GB02 KA17 KB06 KB13 KC54 5K030 GA15 HA08 HB19 HC01 HC14 HD03 HD06 LE01 MA01 MB09

Claims (21)

【特許請求の範囲】
1. 【請求項１】 分散型サービス不能攻撃を防止するため
   の通信装置であって、 当該通信装置を通過する通信パケットを監視し分散型サ
   ービス不能攻撃を検出するトラフィック監視機能部と、 分散型サービス不能攻撃が検出された際に当該分散型サ
   ービス不能攻撃の通信パケットを破棄する攻撃防御モジ
   ュールと、 攻撃元に近い上位側の通信装置のアドレスを検索する処
   理を行う攻撃元検索モジュールと、 上位側の防御位置の通信装置に対して前記攻撃元検索モ
   ジュールを送信するモジュール送信部と、 前記攻撃元検索モジュールによって検索された攻撃元に
   近い上位側の通信装置の候補中から上位側の防御位置と
   する通信装置を抽出する攻撃元判断機能部とを備え、 前記モジュール送信部は、前記攻撃元判断機能部によっ
   て抽出された上位側の防御位置の通信装置に対して前記
   攻撃防御モジュールを送信するものであることを特徴と
   する通信装置。
2. 【請求項２】 請求項１に記載の通信装置であって、 前記モジュール送信部は、前記攻撃元検索モジュールと
   ともに前記トラフィック監視機能部によって分散型サー
   ビス不能攻撃であると検知された通信パケットに関する
   攻撃パケット情報を前記上位側の通信装置に対して送信
   するものであり、 前記攻撃元検索モジュールには、前記モジュール送信部
   から受信した前記攻撃パケット情報と当該通信装置を通
   過する通信パケットとを比較して、当該攻撃パケット情
   報に該当する通信パケットが当該通信装置を通過してい
   ることを検知した場合には、当該通信装置自身が防御位
   置の通信装置の候補であることを送信元の通信装置に対
   して通知するトラフィック検査機能部が含まれることを
   特徴とする通信装置。
3. 【請求項３】 請求項１に記載の通信装置であって、 前記攻撃防御モジュールには、 攻撃が継続中か否かを監視する攻撃トラフィック監視機
   能部と、 前記攻撃トラフィック監視機能部が攻撃は中断したと判
   断した場合には、当該攻撃防御モジュール自身を、処理
   実行中の通信装置から消滅させる自己消滅機能部とが含
   まれることを特徴とする通信装置。
4. 【請求項４】 請求項１から３までのいずれかに記載の
   通信装置と、 前記通信装置に対してプログラムモジュールを送信する
   モジュールサーバであって、 前記通信装置にインストールされるプログラムモジュー
   ルを保存するプログラムモジュールデータベースと、 前記プログラムモジュールの保存を依頼できるプログラ
   ムモジュールの開発者を管理する開発者データベース
   と、 前記プログラムモジュールを前記通信装置にインストー
   ルする要求ができる利用者を管理するユーザデータベー
   スと、 保存されている前記プログラムモジュールを前記利用者
   にメニューで表示するサービスメニューと、 前記サービスメニューに表示されている前記プログラム
   モジュールをインストールする要求が前記利用者からあ
   れば前記利用者の権限を認証するサービスマネージャ
   と、 前記認証を確認できた場合には前記プログラムモジュー
   ルを前記通信装置に対して送信するサービスモジュール
   インジェクタと、 を備えるモジュールサーバと、 からなることを特徴とする通信システム。
5. 【請求項５】 分散型サービス不能攻撃を防止するため
   の通信装置であって、 当該通信装置を通過する通信パケットを監視し分散型サ
   ービス不能攻撃を検出するトラフィック監視機能部と、 分散型サービス不能攻撃が検出された際に当該分散型サ
   ービス不能攻撃の通信パケットを破棄するとともに、攻
   撃元に近い上位側の通信装置のアドレスを検索する処理
   を行う攻撃防御モジュールと、 上位側の通信装置に対して前記攻撃防御モジュールを送
   信するモジュール送信部と、 を備えることを特徴とする通信装置。
6. 【請求項６】 請求項５に記載の通信装置であって、 前記モジュール送信部は、前記攻撃防御モジュールとと
   もに前記トラフィック監視機能部によって分散型サービ
   ス不能攻撃であると検知された通信パケットに関する攻
   撃パケット情報を前記上位側の通信装置に対して送信す
   るものであり、 前記攻撃防御モジュールには、前記モジュール送信部か
   ら受信した前記攻撃パケット情報と当該通信装置を通過
   する通信パケットとを比較して、当該攻撃パケット情報
   に該当する通信パケットが当該通信装置を通過している
   ことを検知するトラフィック検査機能部が含まれること
   を特徴とする通信装置。
7. 【請求項７】 請求項５に記載の通信装置であって、 前記攻撃防御モジュールには、 攻撃が継続中か否かを監視する攻撃トラフィック監視機
   能部と、 前記攻撃トラフィック監視機能部が攻撃は中断したと判
   断した場合には、当該攻撃防御モジュール自身を、処理
   実行中の通信装置から消滅させる自己消滅機能部とが含
   まれることを特徴とする通信装置。
8. 【請求項８】 請求項５から７までのいずれかに記載の
   通信装置と、 前記通信装置に対してプログラムモジュールを送信する
   モジュールサーバであって、 前記通信装置にインストールされるプログラムモジュー
   ルを保存するプログラムモジュールデータベースと、 前記プログラムモジュールの保存を依頼できるプログラ
   ムモジュールの開発者を管理する開発者データベース
   と、 前記プログラムモジュールを前記通信装置にインストー
   ルする要求ができる利用者を管理するユーザデータベー
   スと、 保存されている前記プログラムモジュールを前記利用者
   にメニューで表示するサービスメニューと、 前記サービスメニューに表示されている前記プログラム
   モジュールをインストールする要求が前記利用者からあ
   れば前記利用者の権限を認証するサービスマネージャ
   と、 前記認証を確認できた場合には前記プログラムモジュー
   ルを前記通信装置に対して送信するサービスモジュール
   インジェクタと、 を備えるモジュールサーバと、 からなることを特徴とする通信システム。
9. 【請求項９】 分散型サービス不能攻撃を防止するため
   のサービス不能攻撃防止方法であって、 通信装置において分散型サービス不能攻撃を検知する
   と、当該分散型サービス不能攻撃の通信パケットを当該
   通信装置において破棄しながら、 検知された前記分散型サービス不能攻撃の攻撃元に近い
   上位側の通信装置を検索し、 検索の結果得られた前記上位側の通信装置に対してプロ
   グラムモジュールを送信し、 前記プログラムモジュールを受信した側の通信装置にお
   いて、当該プログラムモジュールを実行することによ
   り、上記の分散型サービス不能攻撃の通信パケットを破
   棄する処理と、上記の上位側の通信サービスを検索する
   処理と、上記の上位側の通信装置に対してプログラムモ
   ジュールを送信する処理を行うことによって、 攻撃元に最も近い最上位の通信装置に達するまで再帰的
   に検索を行い、当該最上位の通信装置において前記分散
   型サービス不能攻撃の通信パケットを破棄することを特
   徴とするサービス不能攻撃防止方法。
10. 【請求項１０】 請求項９に記載のサービス不能攻撃防
    止方法であって、 前記プログラムモジュールを上位側の通信装置に対して
    送信する際には、前記プログラムモジュールとともに、
    分散型サービス不能攻撃であると検知された前記通信パ
    ケットに関する攻撃パケット情報を前記上位側の通信装
    置に対して送信し、 前記プログラムモジュールと前記攻撃パケット情報を受
    信した側の通信装置では、当該プログラムモジュールを
    実行することによって、前記攻撃パケット情報と当該通
    信装置を通過する通信パケットとを比較して、当該攻撃
    パケット情報に該当する通信パケットが当該通信装置を
    通過していることを検知した場合には、当該通信装置自
    身が防御位置の通信装置の候補であることを送信元の通
    信装置に対して通知することを特徴とするサービス不能
    攻撃防止方法。
11. 【請求項１１】 請求項９に記載のサービス不能攻撃防
    止方法であって、 前記プログラムモジュールを受信した前記上位側の通信
    装置においては、当該プログラムモジュールを実行する
    ことによって、攻撃が継続中か否かを監視するととも
    に、この攻撃が中断された判断した場合には、当該プロ
    グラムモジュール自身を当該通信装置から消滅させる処
    理を行うことを特徴とするサービス不能攻撃防止方法。
12. 【請求項１２】 分散型サービス不能攻撃を防止するた
    めに通信装置上で実行されるコンピュータプログラムを
    記録したコンピュータ読み取り可能な記録媒体であっ
    て、 前記通信装置を通過する通信パケットを監視するステッ
    プと、 この監視によってサービス不能攻撃の通信パケットを検
    知した場合には、当該サービス不能攻撃の通信パケット
    を継続的に破棄する処理を行うステップと、前記サービ
    ス不能攻撃が分散型のサービス不能攻撃であるか否かを
    判断するステップと、 分散型のサービス不能攻撃であった場合には、データベ
    ースを参照することによって攻撃元に近い上位側の通信
    装置を抽出し、これらの上位側の通信装置に対して攻撃
    元を検索するための攻撃元検索モジュールを送信し、送
    信先の通信装置から防御位置の情報を受信し、この防御
    位置の情報に基づいて上位側の通信装置に対して攻撃を
    防御するための攻撃防御モジュールを送信するステップ
    と、 の各処理をコンピュータに実行させるコンピュータプロ
    グラムを記録した記録媒体。
13. 【請求項１３】 分散型サービス不能攻撃を防止するた
    めに下位の通信装置から上位の通信装置へ送信され、こ
    の上位の通信装置上で実行される攻撃元検索のコンピュ
    ータプログラムを記録したコンピュータ読み取り可能な
    記録媒体であって、 当該通信装置を通過する通信パケットと、サービス不能
    攻撃に関する攻撃パケット情報とを比較して、当該サー
    ビス不能攻撃の通信パケットが当該通信装置を通過して
    いるか否かを検査し、この検査結果を前記下位の通信装
    置に通知するステップと、 この検査の結果、当該サービス不能攻撃の通信パケット
    が当該通信装置を通過している場合には、 ａ）自通信装置自身よりも攻撃元に近い上位の通信装置
    がない場合には当該通信装置自身を最上位の通信装置と
    して前記下位の通信装置に通知する、 ｂ）自該通信装置自身よりも攻撃元に近い上位の通信装
    置がある場合であり、この上位の通信装置に対して当該
    攻撃元検索のコンピュータプログラムを送信した結果、
    この上位の通信装置から当該サービス不能攻撃の通信パ
    ケットが通過しているという通知が一個も来ない場合に
    は、自通信装置自身を最上位の通信装置として前記下位
    の通信装置に通知する、 ｃ）自該通信装置自身よりも攻撃元に近い上位の通信装
    置がある場合であり、この上位の通信装置に対して当該
    攻撃元検索のコンピュータプログラムを送信した結果、
    この上位の通信装置から当該サービス不能攻撃の通信パ
    ケットが通過しているという通知が一個以上来た場合に
    は、自通信装置自身を最上位の通信装置としない、 のａ）〜ｃ）のいずれかを行うステップと、 の各処理をコンピュータに実行させるコンピュータプロ
    グラムを記録した記録媒体。
14. 【請求項１４】分散型サービス不能攻撃を防止するため
    に通信装置上で実行される攻撃防御のコンピュータプロ
    グラムを記録したコンピュータ読み取り可能な記録媒体
    であって、 当該通信装置を通過する通信パケットと、サービス不能
    攻撃に関する攻撃パケット情報とを比較して、当該サー
    ビス不能攻撃の通信パケットが当該通信装置を通過して
    いるか否かを検査し、この検査結果、通過していた場合
    には、 ａ）当該サービス不能攻撃の通信パケットを継続的に破
    棄する処理を行うステップと、 ｂ）データベースを参照することによって攻撃元に近い
    上位側の通信装置を抽出するステップと、 ｃ）抽出された前記上位側の通信装置に対して当該攻撃
    防御のコンピュータプログラム自身を送信するステップ
    と、 のａ）〜ｃ）の各処理をコンピュータに実行させるコン
    ピュータプログラムを記録した記録媒体。
15. 【請求項１５】 分散型サービス不能攻撃を防止するた
    めに通信装置上で実行されるコンピュータプログラムで
    あって、 前記通信装置を通過する通信パケットを監視するステッ
    プと、 この監視によってサービス不能攻撃の通信パケットを検
    知した場合には、当該サービス不能攻撃の通信パケット
    を継続的に破棄する処理を行うステップと、 前記サービス不能攻撃が分散型のサービス不能攻撃であ
    るか否かを判断するステップと、 分散型のサービス不能攻撃であった場合には、データベ
    ースを参照することによって攻撃元に近い上位側の通信
    装置を抽出し、これらの上位側の通信装置に対して攻撃
    元を検索するための攻撃元検索モジュールを送信し、送
    信先の通信装置から防御位置の情報を受信し、この防御
    位置の情報に基づいて上位側の通信装置に対して攻撃を
    防御するための攻撃防御モジュールを送信するステップ
    と、 の各処理をコンピュータに実行させるコンピュータプロ
    グラム。
16. 【請求項１６】 分散型サービス不能攻撃を防止するた
    めに下位の通信装置から上位の通信装置へ送信され、こ
    の上位の通信装置上で実行される攻撃元検索のコンピュ
    ータプログラムであって、 当該通信装置を通過する通信パケットと、サービス不能
    攻撃に関する攻撃パケット情報とを比較して、当該サー
    ビス不能攻撃の通信パケットが当該通信装置を通過して
    いるか否かを検査し、この検査結果を前記下位の通信装
    置に通知するステップと、 この検査の結果、当該サービス不能攻撃の通信パケット
    が当該通信装置を通過している場合には、 ａ）自通信装置自身よりも攻撃元に近い上位の通信装置
    がない場合には当該通信装置自身を最上位の通信装置と
    して前記下位の通信装置に通知する、 ｂ）自該通信装置自身よりも攻撃元に近い上位の通信装
    置がある場合であり、この上位の通信装置に対して当該
    攻撃元検索のコンピュータプログラムを送信した結果、
    この上位の通信装置から当該サービス不能攻撃の通信パ
    ケットが通過しているという通知が一個も来ない場合に
    は、自通信装置自身を最上位の通信装置として前記下位
    の通信装置に通知する、 ｃ）自該通信装置自身よりも攻撃元に近い上位の通信装
    置がある場合であり、この上位の通信装置に対して当該
    攻撃元検索のコンピュータプログラムを送信した結果、
    この上位の通信装置から当該サービス不能攻撃の通信パ
    ケットが通過しているという通知が一個以上来た場合に
    は、自通信装置自身を最上位の通信装置としない、 のａ）〜ｃ）のいずれかを行うステップと、 の各処理をコンピュータに実行させるコンピュータプロ
    グラム。
17. 【請求項１７】分散型サービス不能攻撃を防止するため
    に通信装置上で実行される攻撃防御のコンピュータプロ
    グラムであって、 当該通信装置を通過する通信パケットと、サービス不能
    攻撃に関する攻撃パケット情報とを比較して、当該サー
    ビス不能攻撃の通信パケットが当該通信装置を通過して
    いるか否かを検査し、この検査結果、通過していた場合
    には、 ａ）当該サービス不能攻撃の通信パケットを継続的に破
    棄する処理を行うステップと、 ｂ）データベースを参照することによって攻撃元に近い
    上位側の通信装置を抽出するステップと、 ｃ）抽出された前記上位側の通信装置に対して当該攻撃
    防御のコンピュータプログラム自身を送信するステップ
    と、 のａ）〜ｃ）の各処理をコンピュータに実行させるコン
    ピュータプログラム。
18. 【請求項１８】 通信装置に対してプログラムモジュー
    ルを送信するモジュールサーバであって、 前記通信装置にインストールされるプログラムモジュー
    ルを保存するプログラムモジュールデータベースと、 前記プログラムモジュールの保存を依頼できるプログラ
    ムモジュールの開発者を管理する開発者データベース
    と、 前記プログラムモジュールを前記通信装置にインストー
    ルする要求ができる利用者を管理するユーザデータベー
    スと、 保存されている前記プログラムモジュールを前記利用者
    にメニューで表示するサービスメニューと、 前記サービスメニューに表示されている前記プログラム
    モジュールをインストールする要求が前記利用者からあ
    れば前記利用者の権限を認証するサービスマネージャ
    と、 前記認証を確認できた場合には前記プログラムモジュー
    ルを前記通信装置に対して送信するサービスモジュール
    インジェクタと、 を備えることを特徴とするモジュールサーバ。
19. 【請求項１９】 通信装置上でプログラムモジュールを
    実行させるためのモジュール提供方法であって、 前記通信装置にインストールされる前記プログラムモジ
    ュールをプログラムモジュールデータベースに保存する
    第１の過程と、 前記プログラムモジュールの保存を依頼できるプログラ
    ムモジュールの開発者を開発者データベースで管理する
    第２の過程と、 前記プログラムモジュールを前記通信装置にインストー
    ルする要求ができる利用者をユーザデータベースで管理
    する第３の過程と、 前記第１の過程において保存された前記プログラムモジ
    ュールを前記利用者にサービスメニューに含めて表示す
    る第４の過程と、 前記サービスメニューに表示されている前記プログラム
    モジュールをインストールする要求が前記利用者からあ
    った際に前記利用者の権限を認証する第５の過程と、 前記第５の過程において認証を確認できた場合には前記
    プログラムモジュールを前記通信装置に対して送信する
    第６の過程とを有することを特徴とするモジュール提供
    方法。
20. 【請求項２０】 通信装置上でプログラムモジュールを
    実行させるためのモジュール提供処理をコンピュータに
    実行させるコンピュータプログラムであって、 前記通信装置にインストールされる前記プログラムモジ
    ュールをプログラムモジュールデータベースに保存する
    第１のステップと、 前記プログラムモジュールの保存を依頼できるプログラ
    ムモジュールの開発者を開発者データベースで管理する
    第２のステップと、 前記プログラムモジュールを前記通信装置にインストー
    ルする要求ができる利用者をユーザデータベースで管理
    する第３のステップと、 前記第１のステップにおいて保存された前記プログラム
    モジュールを前記利用者にサービスメニューに含めて表
    示する第４のステップと、 前記サービスメニューに表示されている前記プログラム
    モジュールをインストールする要求が前記利用者からあ
    った際に前記利用者の権限を認証する第５のステップ
    と、 前記第５のステップにおいて認証を確認できた場合には
    前記プログラムモジュールを前記通信装置に対して送信
    する第６のステップとの各ステップの処理をコンピュー
    タに実行させるコンピュータプログラム。
21. 【請求項２１】 通信装置上でプログラムモジュールを
    実行させるためのモジュール提供処理をコンピュータに
    実行させるコンピュータプログラムを記録したコンピュ
    ータ読み取り可能な記録媒体であって、 前記通信装置にインストールされる前記プログラムモジ
    ュールをプログラムモジュールデータベースに保存する
    第１のステップと、 前記プログラムモジュールの保存を依頼できるプログラ
    ムモジュールの開発者を開発者データベースで管理する
    第２のステップと、 前記プログラムモジュールを前記通信装置にインストー
    ルする要求ができる利用者をユーザデータベースで管理
    する第３のステップと、 前記第１のステップにおいて保存された前記プログラム
    モジュールを前記利用者にサービスメニューに含めて表
    示する第４のステップと、 前記サービスメニューに表示されている前記プログラム
    モジュールをインストールする要求が前記利用者からあ
    った際に前記利用者の権限を認証する第５のステップ
    と、 前記第５のステップにおいて認証を確認できた場合には
    前記プログラムモジュールを前記通信装置に対して送信
    する第６のステップとの各ステップの処理をコンピュー
    タに実行させるコンピュータプログラムを記録した記録
    媒体。