JP2002199024A - 不正アクセス監視方法および内部通信ネットワーク - Google Patents

Abstract

(57)【要約】 【課題】 内部通信ネットワークにおいて不正アクセス
端末を特定できる不正アクセス監視方法を提供する。 【解決手段】 内部通信ネットワークは、正規端末と異
なる罠端末を備えている。外部通信ネットワーク内の外
部端末から不正アクセスがあった場合、当該アクセスは
罠端末に誘導され(S2)、罠端末と不正アクセス端末との
間で通信回線が確立される(S3)。不正アクセス端末が予
め定められた罠コマンドを実行すると(S4のYES)、罠端
末は、外部端末に対して前段の外部端末の端末情報を内
部通信ネットワークに送信させるとともに、前段の外部
端末に対して端末情報命令を転送させる。そのため、こ
れを繰り返し実行することにより、不正アクセス端末の
端末情報（TF情報）を内部通信ネットワークに送信させ
ることができる。これにより、不正アクセス端末を容易
に特定することができる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、外部通信ネット
ワークから組織内などに構築された内部通信ネットワー
クへの不正アクセスを監視する方法、および上記内部通
信ネットワークに関する。

【０００２】

【従来の技術】パーソナルコンピュータの普及に伴っ
て、日常業務のほとんどは、会社などの組織内の通信ネ
ットワークに接続されたパーソナルコンピュータおよび
ワークステーションなどの端末装置、ならびに各種情報
を提供するサーバを利用して行われるようになってきて
いる。さらに、こうした組織内の通信ネットワーク（以
下「内部通信ネットワーク」という）は、組織外との情
報交換の利便性を求めて世界中に接続されているインタ
ーネットなどの外部通信ネットワークと接続されて利用
されるのが通常である。こうした状況は、一方では、外
部通信ネットワークのユーザからの内部通信ネットワー
クへの様々な不正アクセスの脅威にさらされることにな
り、これらの不正アクセスを水際で食い止める技術が重
要になってきている。

【０００３】不正アクセスを監視するための技術として
は、たとえば、次のようなものがある。内部通信ネット
ワークのゲートウエイは、外部通信ネットワークからの
通信に対し、そのパケット制御情報（接続元ＩＰアドレ
ス、宛先ＩＰアドレス、接続元ポート番号、宛先ポート
番号など）に基づいて、通過の可否を判断している。す
なわち、ゲートウエイは、上記パケット制御情報と事前
に通過許可登録されているパケット制御情報とを照合す
る。パケット制御情報が一致しない場合、内部通信ネッ
トワークのゲートウエイは、内部通信ネットワークへの
被害を阻止するため、その通信を強制終了する。こうす
ることにより、不正アクセスを水際で食い止めている。

【０００４】

【発明が解決しようとする課題】しかしながら、上述の
技術では、不正アクセスをしてきたユーザに関する情報
を得ることができないとの問題があった。より詳述すれ
ば、上述の通信は、通常、ＴＣＰ／ＩＰを利用してい
る。ＴＣＰ／ＩＰでは、一般に、直接通信する端末に関
する情報のみをパケット制御情報ととして送受してい
る。したがって、不正アクセス端末からサーバなどを経
由して内部通信ネットワークに侵入してくる場合、内部
通信ネットワークのゲートウエイは、直前のサーバに関
するパケット制御情報しか得ることができない。そのた
め、さらに上流側にある不正アクセス端末の端末情報を
得ることができないという問題があった。

【０００５】そこで、この発明の目的は、内部通信ネッ
トワークにおいて不正アクセス端末を特定できる不正ア
クセス監視方法を提供することである。

【０００６】また、この発明の他の目的は、不正アクセ
ス端末を特定できる内部通信ネットワークを提供するこ
とである。

【０００７】

【課題を解決するための手段】上記目的を達成するため
のこの発明は、直接通信する端末間のアドレスをパケッ
ト制御情報に含ませるようにした通信プロトコルに従っ
てパケットを送受する外部通信ネットワークと、この外
部通信ネットワークにゲートウエイを介して接続された
内部通信ネットワークとを有する通信ネットワークに用
いられる不正アクセス監視方法であって、上記ゲートウ
エイにおいて、外部通信ネットワークの端末である外部
端末からアクセスがあった場合に、そのアクセスが不正
アクセスであるか否かを検出する不正アクセス検出ステ
ップと、不正アクセスであると検出された場合に、内部
通信ネットワーク内の罠端末と外部通信ネットワークの
アクセス元の外部端末との間で通信回線を接続する回線
接続ステップと、通信回線接続中に、アクセス元の外部
端末が予め定められた罠処理を実行することにより、当
該アクセス元の外部端末の端末情報を内部通信ネットワ
ーク内の管理端末に送信する情報送信ステップとを含む
ものである。

【０００８】また、直接通信する端末間のアドレスをパ
ケット制御情報に含ませるようにした通信プロトコルに
従ってパケットを送受する外部通信ネットワークと、こ
の外部通信ネットワークにゲートウエイを介して接続さ
れた内部通信ネットワークとを有する通信ネットワーク
に用いられる不正アクセス監視方法であって、アクセス
元の外部端末から回線接続が要求された外部端末におい
て、リモート操作であるか否かを判別するリモート判別
ステップと、リモート操作であると判別された場合に、
アクセス元の外部端末の端末情報を取得し後段の外部端
末に転送する情報取得・転送ステップと、後段の外部端
末において上記アクセス元の外部端末の端末情報をさら
に後段の外部端末に転送する情報転送ステップと、ゲー
トウエイにおいて、外部端末からアクセスがあった場合
に、不正アクセスであるか否かを検出する不正アクセス
検出ステップと、不正アクセスであると検出された場合
に、上記アクセス元の端末の端末情報を内部通信ネット
ワーク内の管理端末に転送するステップとを含むもので
ある。

【０００９】さらに、直接通信する端末間のアドレスを
パケット制御情報に含ませるようにした通信プロトコル
に従ってパケットを送受する外部通信ネットワークにゲ
ートウエイを介して接続された内部通信ネットワークに
おいて、外部通信ネットワークの端末からアクセスがあ
った場合に、そのアクセスが不正アクセスであるか否か
を検出する手段と、不正アクセスであると検出された場
合に、上記アクセスが導かれる罠端末とを備え、上記罠
端末は、上記アクセスが導かれた場合に、外部通信ネッ
トワークのアクセス元の端末と通信回線を接続する手段
と、通信回線接続中においてアクセス元の端末が所定の
罠コマンドを実行するか否かを判別する手段と、上記罠
コマンドが実行されたと判別された場合に、前段の端末
の端末情報を取得し内部通信ネットワークに送信するこ
と、および当該送信命令を前段の端末に対して転送する
ことを規定した送信命令を外部通信ネットワークの端末
に対して送出する手段とを含むものである。

【００１０】さらにまた、直接通信する端末間のアドレ
スをパケット制御情報に含ませるようにした通信プロト
コルに従ってパケットを送受する外部通信ネットワーク
にゲートウエイを介して接続された内部通信ネットワー
クにおいて、外部通信ネットワークの端末からアクセス
があった場合に、そのアクセスが不正アクセスであるか
否かを検出する手段と、不正アクセスであると検出され
た場合に、上記アクセスが導かれる罠端末とを備え、上
記罠端末は、上記アクセスが導かれた場合に、外部通信
ネットワークのアクセス元の端末と通信回線を接続する
手段と、予め定められたファイル操作プログラムにより
起動され、起動端末の端末情報を収集し内部通信ネット
ワーク内の管理端末に送信するように規定された情報収
集プログラムが埋め込まれた罠ファイルをダウンロード
可能に記憶するデータベースとを含むものである。

【００１１】

【発明の実施の形態】以下では、この発明の実施の形態
を、添付図面を参照して詳細に説明する。

【００１２】実施の形態１ 図１は、この発明の実施の形態１に係る不正アクセス監
視方法が用いられた通信ネットワークの全体構成を示す
概念図である。この通信ネットワークは、インターネッ
トなどの有線の外部通信ネットワーク１に企業内などに
構築された有線の内部通信ネットワーク２が接続された
ものであり、複数のコンピュータ端末（以下単に「端
末」という）間においてＴＣＰ／ＩＰなどの所定の通信
プロトコルに従ってパケットを送受信するものである。

【００１３】より具体的には、この通信ネットワーク
は、外部通信ネットワーク１から内部通信ネットワーク
２への不正アクセスを監視し、不正アクセスが検出され
た場合に、内部通信ネットワーク２内の正規の端末と異
なる専用の端末を利用することにより、不正アクセス経
路を追跡するとともに不正アクセス端末の端末情報を取
得するように構成されたものである。

【００１４】ここに、内部通信ネットワーク２は、企
業、大学、政府などの組織内に構築されている通信ネッ
トワークに相当するものである。また、上記通信プロト
コルは、ＴＣＰ／ＩＰに限定されることはなく、直接通
信する隣接端末間の端末情報をパケット制御情報に含ま
せるようにしたものであればよい。パケット制御情報
は、接続先ＭＡＣアドレス、接続元ＭＡＣアドレス、接
続先ＩＰアドレス、接続元ＩＰアドレス、接続元ポー
ト、接続先ポートおよびユーザ名などである。また、端
末情報は、接続元ＭＡＣアドレス、接続元ＩＰアドレス
およびユーザ名である。

【００１５】なお、この通信ネットワークは、すべて有
線通信ネットワークを前提としている。しかし、たとえ
ば外部通信ネットワーク１および内部通信ネットワーク
２のいずれか一方または両方が無線の通信ネットワーク
でもよいことはもちろんである。

【００１６】通信ネットワークの構成についてより詳述
すれば、内部通信ネットワーク２は、ゲートウエイＧＷ
を介して外部通信ネットワーク１に接続されており、正
規ネットワークＮｎ、罠ネットワークＮｗおよび管理ネ
ットワークＮｋを含む。ゲートウエイＧＷは、内部通信
ネットワーク２と外部通信ネットワーク１とを接続する
ためのネットワーク間接続装置の一種であり、外部通信
ネットワーク１からのアクセス監視など予め定められた
処理を実行するものである。

【００１７】正規ネットワークＮｎは、ゲートウエイＧ
Ｗに接続され、内部通信ネットワーク２内の正規端末Ｔ
ｎが接続された正規の通信ネットワークに相当するもの
である。より具体的には、正規ネットワークＮｎは、た
とえばＬＡＮ(Local Area Network)を介して接続された
１または複数の正規端末Ｔｎを含む。この正規端末Ｔｎ
は、たとえば、オペレータにより操作可能なパーソナル
コンピュータである。

【００１８】罠ネットワークＮｗは、ゲートウエイＧＷ
に接続され、外部通信ネットワーク１からの不正アクセ
スが導かれる通信ネットワークであり、１または複数台
の罠端末Ｔｗを含む。罠端末Ｔｗは、不正アクセス元の
端末情報を取得することを目的に設置されており、所定
の不正アクセス追跡プログラムが予め格納されている。
すなわち、罠端末Ｔｗは、不正アクセス追跡プログラム
に従って不正アクセス元の端末情報を追跡する処理を自
動的に実行するものであり、たとえばサーバにより構成
される。

【００１９】管理ネットワークＮｋは、ゲートウエイＧ
Ｗに接続され、１または複数台の管理端末Ｔｋを含む。
管理端末Ｔｋは、内部通信ネットワーク２にアクセスし
てきた通信に関し予め定められた管理処理を自動的に実
行するものであり、たとえばサーバである。管理処理
は、たとえば、アクセスだけを拒否し、端末情報につい
てのみ正規ネットワークまで伝送するか否かを判断した
りする処理である。

【００２０】外部通信ネットワーク１は、内部通信ネッ
トワーク２以外のすべての通信ネットワークを含む概念
のものであり、たとえばインターネットおよび／または
インターネットに接続された専用通信ネットワークから
なる。外部通信ネットワーク１は、複数台の外部端末Ｔ
ｍを含んでいる。この複数台の外部端末Ｔｍの中には、
ユーザが操作するパーソナルコンピュータおよびワーク
ステーションなどの他に、サーバおよびルータも含まれ
る。ある外部端末Ｔｍのアクセスは、たとえば、複数台
のサーバを経由して特定の端末に到達し、接続元の外部
端末Ｔｍと特定の端末との間でＴＣＰ／ＩＰ通信が行わ
れる。上記特定の端末には、当然ながら内部通信ネット
ワーク２内の端末も含まれる。

【００２１】なお、この実施の形態１では、外部端末Ｔ
ｍの一つである不正アクセス端末ＴＦが内部通信ネット
ワーク２内の正規端末Ｔｎにアクセスする際に、４つの
外部端末Ｔｍ、すなわち第１外部端末Ｔ１、第２外部端
末Ｔ２、第３外部端末Ｔ３および第４外部端末Ｔ４を経
由する場合を想定する。

【００２２】図２は、パケットの構成を示す概念図であ
る。パケットは、ヘッダ部およびデータ部を含む。ヘッ
ダ部は、パケット制御情報を格納するもので、接続元Ｍ
ＡＣアドレス(MAC SA)、接続元ＩＰアドレス(IPヘッ
ダ)、ユーザ名および接続元ポート(Source Port)、なら
びに接続先ＭＡＣアドレス(MAC DA)、接続先ＩＰアドレ
ス(IPヘッダ)および接続先ポート(Destination Port)で
ある。データ部は、通信データを格納するものである。
ＭＡＣアドレスは、たとえばＬＡＮカードに固有の製造
番号のようなシリアル番号であり、通常、設定変更でき
ないようになっている。

【００２３】図３は、罠端末Ｔｗの内部構成を示す機能
ブロック図である。罠端末Ｔｗは、送受信部１０、プロ
グラム記憶部１１および制御部１２を含む。送受信部１
０は、ゲートウエイＧＷを介して外部通信ネットワーク
１とパケットの送受信を行うものである。プログラム記
憶部１１は、不正アクセス追跡プログラムを予め記憶し
ている。制御部１２は、このプログラム記憶部１１に記
憶された不正アクセス追跡プログラムに従って、不正ア
クセス追跡処理を実行する。

【００２４】不正アクセス追跡プログラムは、所定の罠
コマンドが実行された場合に、外部通信ネットワーク１
の外部端末Ｔｍに対して前段の外部端末Ｔｍの端末情報
を内部通信ネットワーク２の管理端末Ｔｋに送信させる
処理を規定するものである。より具体的には、不正アク
セス追跡プログラムは、不正ユーザが実行する可能性の
高いものとして予め設定された罠コマンドが実行された
場合に、外部通信ネットワーク１のアクセス経路を構成
するすべての外部端末Ｔ１〜Ｔ４およびＴＦに対して前
段の外部端末の端末情報を内部通信ネットワーク２の管
理端末Ｔｋに送信させる処理を規定する。

【００２５】ここに、上記罠コマンドは、罠端末Ｔｗ内
のファイルまたはプログラムの識別情報を表示させるコ
マンドである。より具体的には、上記罠コマンドは、罠
端末Ｔｗ内のファイル名またはプログラム名を一覧表示
させるコマンドであり、ＵＮＩＸ（登録商標）のコマン
ドであるls、psなどに相当する。なお、lsは、ファイル
一覧を表示させるコマンドであり、psは稼動しているプ
ロセス（プログラム）の一覧を表示させるコマンドであ
る。

【００２６】罠端末Ｔｗは、この不正アクセス追跡プロ
グラムの実行を開始すると、ゲートウエイＧＷの前段の
外部端末である第４外部端末Ｔ４に送信命令パケットを
送信する。送信命令パケットは、端末情報送信命令を含
むものである。端末情報送信命令は、外部端末Ｔｍに対
して前段の外部端末Ｔｍの端末情報を管理端末Ｔｋ宛に
送信すること、および、当該端末情報送信命令を前段の
外部端末Ｔｍに転送することを命令するものである。

【００２７】したがって、第４外部端末Ｔ４は、第３外
部端末Ｔ３の端末情報を管理端末Ｔｋ宛に送信するとと
もに、送信命令パケットを第３外部端末Ｔ３に転送す
る。すると、第３外部端末Ｔ３においても第４外部端末
Ｔ４と同様の処理を行うことになる。以後の第２外部端
末Ｔ２、第１外部端末Ｔ１および不正アクセス端末ＴＦ
においても、第４外部端末Ｔ４と同様の処理を実行する
ことになる。そのため、アクセス経路を構成するすべて
の外部端末Ｔ１〜Ｔ４およびＴＦの端末情報を管理端末
Ｔｋに通知することになる。

【００２８】図４は、外部端末Ｔｍの内部構成を示す機
能ブロック図である。外部端末Ｔｍは、送受信部２０お
よび制御部２１を含む。送受信部２０は、他の端末から
送信されてきたパケットを受信するとともに、他の端末
に対してパケットを送信する。制御部２１は、送受信部
２０により受信されたパケットを処理したり必要なパケ
ットを生成したりする。

【００２９】より具体的には、制御部２１は、送信要求
部２２、要求応答部２３、情報送信部２４および送信命
令転送部２５を備えている。送信要求部２２は、送受信
部２０において送信命令パケットを受信した場合に、送
信要求パケットを生成し、当該外部端末Ｔｍの前段の外
部端末Ｔｍに送信するものである。送信要求パケット
は、前段の外部端末Ｔｍを宛先とし、かつ当該前段の外
部端末Ｔｍの端末情報の送信を要求するものである。

【００３０】要求応答部２３は、後段の外部端末Ｔｍか
ら送信要求パケットを送受信部２０において受信した場
合に、自端末の端末情報を含む要求応答パケットを生成
し、後段の外部端末Ｔｍに送信するものである。要求応
答パケットは、後段の外部端末Ｔｍを宛先とし、かつ自
端末の端末情報を含むものである。

【００３１】情報送信部２４は、前段の外部端末Ｔｍか
ら要求応答パケットを送受信部２０において受信された
場合に、情報送信パケットを生成し、内部通信ネットワ
ーク２の管理端末Ｔｋに送信するものである。情報送信
パケットは、内部通信ネットワーク２の管理端末Ｔｋを
宛先とし、要求応答パケットに含まれている端末情報を
データとして含むものである。

【００３２】送信命令転送部２５は、後段の外部端末Ｔ
ｍから情報送信命令パケットを送受信部２０において受
信された場合に、当該情報送信命令パケットを前段の外
部端末Ｔｍにそのまま転送するものである。

【００３３】図５は、管理端末Ｔｋの内部構成を示す機
能ブロック図である。管理端末Ｔｋは、送受信部３０、
制御部３１、情報記憶部３２および入出力部３３を含
む。送受信部３０は、ゲートウエイＧＷを介して外部ネ
ットワーク１の外部端末Ｔｍや内部ネットワーク２内の
正規端末Ｔｎ、罠端末Ｔｗとの間でパケットを送受信す
るものである。

【００３４】制御部３１は、管理端末Ｔｋの制御中枢と
して機能するもので、たとえばＣＰＵを含む。制御部３
１は、送受信部３０において受信されたパケットを処理
したり、情報記憶部３２の記憶内容を読み出して入出力
部３３に出力したり、情報記憶部３２に対して情報を書
き込んだりする。より具体的には、制御部３１は、ＩＰ
アドレス変更部３４および記憶制御部３５を備えてい
る。ＩＰアドレス変更部３４は、ゲートウエイＧＷにて
不正アクセスであるとして送信されてきたパケットの接
続先ＩＰアドレスを罠端末ＴｗのＩＰアドレスに変更
し、送受信部３０を介してゲートウエイＧＷに返信する
ものである。ゲートウエイＧＷは、当該パケットを罠端
末Ｔｗに送信する。これにより、不正アクセスを罠ネッ
トワークＮｗに導くことができる。

【００３５】記憶制御部３５は、外部ネットワーク１か
らゲートウエイＧＷを介して管理端末Ｔｋに送信されて
きた情報送信パケット中の端末情報を抽出し、情報記憶
部３２に記憶させる。また、記憶制御部３５は、入出力
部３３からの指示により、情報記憶部３２の記憶内容を
入出力部３３に出力する。入出力部３３は、たとえばキ
ーボードと、ディスプレイおよび／またはプリンタとを
含むものである。したがって、キーボードから記憶内容
の表示が指示された場合、記憶制御部３５は情報記憶部
３２の記憶内容を読み出し、ディスプレイに表示させた
りプリンタによりプリントアウトさせる。こうすること
により、オペレータは、たとえば、不正アクセス経路の
全外部端末Ｔｍの端末情報を視認することができる。

【００３６】図６は、この実施の形態１に係る不正アク
セスを監視する際の通信シーケンス図である。不正アク
セス端末ＴＦは、内部通信ネットワーク２内に侵入する
場合、宛先の正規端末ＴｎのＩＰアドレス、ＭＡＣアド
レスおよびポートを指定したうえで、接続要求パケット
を外部通信ネットワーク１上に送出する。この場合、上
記接続要求パケットは、パケット制御情報として上記宛
先のＩＰアドレスなどの他、自端末のＩＰアドレス、Ｍ
ＡＣアドレスおよびポートを含む。この接続要求パケッ
トは、外部通信ネットワーク１の第１外部端末Ｔ１、第
２外部端末Ｔ２、第３外部端末Ｔ３および第４外部端末
Ｔ４を経由して内部通信ネットワーク２のゲートウエイ
ＧＷにて受信される。

【００３７】ゲートウエイＧＷは、受信されたパケット
が正規ユーザによるアクセスか否かを判断する（Ｓ
１）。具体的には、ゲートウエイＧＷは、当該接続要求
パケットのパケット制御情報を通過許可登録されている
情報と照合し、正規ユーザによるアクセスか否かを判断
する。正規ユーザによるアクセスであれば（Ｓ１のＹＥ
Ｓ）、ゲートウエイＧＷは、当該接続要求パケットを正
規ネットワークＮｎの正規端末Ｔｎに送出する。一方、
正規ユーザでなければ（Ｓ１のＮＯ）、すなわち不正ユ
ーザであれば、ゲートウエイＧＷは、当該接続要求パケ
ットを管理端末Ｔｋに転送する。

【００３８】管理端末Ｔｋは、当該接続要求パケットの
接続先ＩＰアドレスを元の正規端末のものから罠端末Ｔ
ｗのものへと自動的に変更し（Ｓ２）、アドレス変更後
の接続要求パケットを罠ネットワークＮｗ内の罠端末Ｔ
ｗに送信する。罠端末Ｔｗは、当該接続要求パケットを
受信すると、不正アクセス端末ＴＦとの間で通信回線を
確立する。こうして、通信が開始される（Ｓ３）。

【００３９】ところで、罠端末Ｔｗから送信されるパケ
ットの接続元ＩＰアドレスは、ゲートウエイＧＷを通過
する際に、代理応答変換により外部向けのＩＰアドレス
に変換される。したがって、外部通信ネットワーク１か
ら見た場合、パケットの接続元が正規端末Ｔｎであるか
罠端末Ｔｗであるかを識別することができない。

【００４０】これにより、不正ユーザに対してあたかも
内部通信ネットワーク２に侵入し、正規端末Ｔｎと通信
が確立できたかの錯覚を与えることができる。この場
合、正規端末Ｔｎと通信としていると錯覚している不正
ユーザは、罠端末Ｔｗにおいて様々な不正操作を行うこ
とが予想され、その間に不正アクセス端末ＴＦを特定す
る時間を確保することができる。

【００４１】より詳述すれば、罠端末Ｔｗは、この通信
中に、罠コマンドを実行したか否かを判別する（Ｓ
４）。罠コマンドが実行されれば（Ｓ４のＹＥＳ）、罠
端末Ｔｗは、端末情報送信命令を含む送信命令パケット
を生成し、当該送信命令パケットをゲートウエイＧＷを
介して外部通信ネットワーク１に送出する。当該送信命
令パケットは、ゲートウエイＧＷと直接通信している第
４外部端末Ｔ４にてまず受信される。

【００４２】第４外部端末Ｔ４は、当該送信命令パケッ
トを受信すると、前段の第３外部端末Ｔ３に対して送信
要求パケットを送信するとともに、上記送信命令パケッ
トを転送する。前段の第３外部端末Ｔ３は、送信要求パ
ケットを受信すると、自端末の端末情報（Ｔ３情報：Ｍ
ＡＣアドレス、ＩＰアドレスおよびユーザ名）を含む要
求応答パケットを後段の第４外部端末Ｔ４に送信する。

【００４３】要求応答パケットを受信した第４外部端末
Ｔ４は、当該要求応答パケットに含まれる端末情報をデ
ータとした情報送信パケットを生成し、当該情報送信パ
ケットを送出する。その結果、情報送信パケットは、ゲ
ートウエイＧＷを介して管理端末Ｔｋに送信され、管理
端末Ｔｋにおいて端末情報が記憶される。これにより、
内部通信ネットワーク２において不正アクセス経路の一
つである第３外部端末Ｔ３の端末情報を取得できる。

【００４４】また、第４外部端末Ｔ４から送信命令パケ
ットが転送されてきた前段の第３外部端末Ｔ３は、第４
外部端末Ｔ４の場合と同様に、前段の第２外部端末Ｔ２
に対して送信要求パケットを送信するとともに、上記送
信命令パケットを転送する。

【００４５】その結果、第２外部端末Ｔ２から端末情報
（Ｔ２情報）を含む要求応答パケットが第３外部端末Ｔ
３に送信され、第３外部端末Ｔ３においてＴ２情報を含
む情報送信パケットが生成され、当該情報送信パケット
が第４外部端末Ｔ４およびゲートウエイＧＷを介して管
理端末Ｔｋに送信される。こうして、内部通信ネットワ
ーク２において第２外部端末Ｔ２の端末情報が取得され
る。

【００４６】また、第３外部端末Ｔ３から送信命令パケ
ットが転送されてきた前段の第２外部端末Ｔ２は、第３
外部端末Ｔ３の場合と同様に、前段の第１外部端末Ｔ１
に対して送信要求パケットを送信するとともに、上記送
信命令パケットを転送する。

【００４７】その結果、第１外部端末Ｔ１から端末情報
（Ｔ１情報）を含む要求応答パケットが第２外部端末Ｔ
２に送信され、第２外部端末Ｔ２においてＴ１情報を含
む情報送信パケットが生成され、当該情報送信パケット
が第３外部端末Ｔ３、第４外部端末Ｔ４およびゲートウ
エイＧＷを介して管理端末Ｔｋに送信される。こうし
て、内部通信ネットワーク２において第１外部端末Ｔ１
の端末情報が取得される。

【００４８】また、第２外部端末Ｔ２から送信命令パケ
ットが転送されてきた前段の第１外部端末Ｔ１は、第２
外部端末Ｔ２の場合と同様に、前段の不正アクセス端末
ＴＦに対して送信要求パケットを送信するとともに、上
記送信命令パケットを転送する。

【００４９】その結果、不正アクセス端末ＴＦから端末
情報（ＴＦ情報）を含む要求応答パケットが第１外部端
末Ｔ１に送信され、第１外部端末Ｔ１においてＴＦ情報
を含む情報送信パケットが生成され、当該情報送信パケ
ットが第２外部端末Ｔ２、第３外部端末Ｔ３、第４外部
端末Ｔ４およびゲートウエイＧＷを介して管理端末Ｔｋ
に送信される。こうして、内部通信ネットワーク２にお
いて不正アクセス端末ＴＦの端末情報が取得される。

【００５０】以上のようにこの実施の形態１によれば、
不正アクセスであることを検出した場合に、不正アクセ
ス端末ＴＦと罠端末Ｔｗとの間で通信回線を接続させ、
所定の罠コマンドの実行により、不正アクセス端末ＴＦ
および不正アクセス経路を構成するすべての外部端末Ｔ
１〜Ｔ４およびＴＦの端末情報を内部通信ネットワーク
２に送信させる。したがって、不正アクセスから正規端
末Ｔｎを保護できるだけでなく、不正アクセス端末ＴＦ
をも容易に特定できる。そのため、不正アクセスの芽を
迅速に摘むことができ、セキュリティ効果の高いネット
ワーク構築を実現できる。

【００５１】また、正規端末Ｔｎに不正アクセス追跡処
理を行わせるのでなく専用の罠端末Ｔｗを別に備え、こ
の罠端末Ｔｗにて不正アクセス追跡処理を行わせるよう
にしているので、正規端末Ｔｎの保護を確実に図ること
ができる。

【００５２】さらに、不正アクセス経路を構成する各外
部端末Ｔｍの端末情報をも内部通信ネットワーク２に送
信させているから、不正アクセス経路をも特定すること
ができる。

【００５３】なお、上述の説明では、不正アクセス端末
ＴＦを特定するだけである。しかし、たとえば、その特
定された不正アクセス端末ＴＦに対して内部通信ネット
ワーク２から警告メッセージを送信するようにしてもよ
い。より具体的には、管理端末Ｔｋは、不正アクセス端
末ＴＦの端末情報を記憶し終えると、その旨をゲートウ
エイＧＷを介して罠端末Ｔｗに通知する。罠端末Ｔｗ
は、この通知に応答してパケットのデータ部に警告メッ
セージを上書きする。警告メッセージは、たとえば、不
正アクセスであること、および不正アクセス端末を特定
済みであることを含む。その後、罠端末Ｔｗは、当該通
信を強制切断する。

【００５４】こうすることにより、不正アクセス端末Ｔ
Ｆでは、警告メッセージがユーザに提示されることにな
る。そのため、不正ユーザに対して不正侵入をあきらめ
させるのに役立つ。

【００５５】実施の形態２ 図７は、この発明の実施の形態２に係る罠端末Ｔｗの内
部構成を示す機能ブロック図である。図７において、図
３と同じ機能部分については同一の参照符号を使用す
る。

【００５６】上記実施の形態１では、罠端末Ｔｗにて所
定の罠コマンドを実行することを条件に、不正アクセス
経路を構成するすべての外部端末Ｔｍの端末情報を内部
通信ネットワーク２に送信させている。これに対して、
この実施の形態２では、罠端末Ｔｗから情報収集プログ
ラムを含む罠ファイルをダウンロードさせ、不正アクセ
ス端末ＴＦにてその罠ファイルを開いた場合に、情報収
集プログラムが自動的に実行されて不正アクセス端末Ｔ
Ｆの端末情報を調査し、当該端末情報を内部通信ネット
ワーク２に強制的に送信するようにしている。

【００５７】より詳述すれば、この実施の形態２に係る
罠端末Ｔｗは、プログラム記憶部１１の代わりに、１ま
たは複数の罠ファイルＦを記憶しているデータベース４
０を有している。罠ファイルＦは、たとえば、パスワー
ドを記録したパスワードファイル、アクセスログファイ
ル、各種サービスのコンフィギュレーションファイルで
ある。この罠ファイルＦは、不正ユーザがいかにも内容
を参照したくなるようなファイルとしておく。もちろん
この罠ファイルＦに記述されている内容は、正規の情報
でなく適当な情報である。

【００５８】罠ファイルＦの中には、所定の情報収集プ
ログラムＰが埋め込まれている。情報収集プログラムＰ
は、予め定められたファイル操作プログラムにより起動
し、起動端末の端末情報を調査し、管理端末Ｔｋに自動
的に通知するように規定されたものである。ここに、フ
ァイル操作プログラムは、外部端末Ｔｍにて使用されて
いる高汎用性のものが選ばれる。たとえば、テキストエ
ディタまたはテキストコマンドである。一方、罠端末Ｔ
ｗは、このファイル操作プログラムの実行を禁止するよ
うに設定されている。これにより、罠ファイルＦを罠端
末Ｔｗにて実行することができないので、罠ファイルＦ
を不正アクセス端末ＴＦまでダウンロードさせ不正アク
セス端末ＴＦにて実行させるということを補償すること
ができる。

【００５９】図８は、この実施の形態２において不正ア
クセスを監視する際の通信シーケンス図である。不正ア
クセス端末ＴＦが複数の第１〜第４外部端末Ｔ１〜Ｔ４
を経由して内部通信ネットワーク２にアクセスしてくる
と、ゲートウエイＧＷは、そのアクセスが正規ユーザか
らのものであるか否かをパケット制御情報および通過許
可登録済の情報を照合することにより調べる（Ｔ１）。
正規ユーザであれば（Ｔ１のＹＥＳ）、ゲートウエイＧ
Ｗは、その接続要求パケットを正規端末Ｔｎに転送す
る。一方、不正ユーザであれば（Ｔ１のＮＯ）、ゲート
ウエイＧＷは、その接続要求パケットを管理端末Ｔｋに
転送する。管理端末Ｔｋは、ＩＰアドレスを罠端末Ｔｗ
のものに自動変更した後（Ｔ２）、当該接続要求パケッ
トを罠端末Ｔｗに転送する。

【００６０】罠端末Ｔｗは、接続要求パケットを受信す
ると、不正アクセス端末ＴＦとの間で通信回線を確立
し、通信を開始する（Ｔ３）。この通信中において、不
正アクセス端末ＴＦは、罠ファイルＦを発見すると、罠
ファイルＦを罠端末Ｔｗで開こうとすると予想される。
しかし、罠端末Ｔｗではこの罠ファイルＦを開くことが
できないので、次に、不正アクセス端末ＴＦは、当該罠
ファイルＦをダウンロードすることになると予想され
る。

【００６１】上述したように、罠ファイルＦテキストエ
ディタなどで開くことができる。不正アクセス端末ＴＦ
により当該罠ファイルＦがテキストエディタなどで開か
れると（Ｔ４）、当該罠ファイルＦに埋め込まれている
情報収集プログラムの実行が開始される（Ｔ５）。

【００６２】より具体的には、情報収集プログラムは、
起動端末である不正アクセス端末ＴＦの端末情報（ＩＰ
アドレス、ＭＡＣアドレスおよびユーザ名）を調査し、
当該端末情報を含むパケットを自動生成する。この場
合、当該パケットの宛先は、管理端末Ｔｋとする。情報
収集プログラムは、当該パケットを起動端末から外部通
信ネットワーク１中に送出する。

【００６３】その結果、不正アクセス端末ＴＦの端末情
報を含むパケットは、第１〜第４外部端末Ｔ１〜Ｔ４を
経由してゲートウエイＧＷにて受信される。ゲートウエ
イＧＷは、このパケットを管理端末Ｔｋに転送する。管
理端末Ｔｋは、このパケットを受信すると、当該パケッ
トの中から端末情報を抽出し、当該端末情報を情報記憶
部３２に記憶する。

【００６４】以上のようにこの実施の形態２によれば、
不正ユーザが内容を参照したくなるような罠ファイルＦ
の中に起動端末の端末情報を自動的に調査し管理端末Ｔ
ｋに自動通知する情報収集プログラムＰを埋め込んでい
るから、不正アクセス端末ＴＦの端末情報を取得するこ
とができる。そのため、不正アクセス端末ＴＦを容易に
特定できる。

【００６５】なお、上述の説明では、上記実施の形態１
での説明と同様に、不正アクセス端末ＴＦを特定するだ
けで終了している。しかし、この実施の形態２に係る構
成に加えて、特定された不正アクセス端末ＴＦに内部通
信ネットワーク２から警告メッセージを送信するように
してもよいことはもちろんである。

【００６６】実施の形態３ 図９は、この発明の実施の形態３に係る外部端末Ｔｍの
内部構成を示す機能ブロック図である。図９において、
図４と同じ機能部分については同一の参照符号を使用す
る。

【００６７】上記実施の形態１および２では、不正アク
セス専用の罠端末Ｔｗを備え、この罠端末Ｔｗを使って
不正アクセス端末ＴＦの端末情報収集を行っている。こ
れに対して、この実施の形態３では、内部通信ネットワ
ーク２に罠ネットワークＮｗを備えずに、不正アクセス
経路となっている複数の外部端末Ｔｍにおいて前段の外
部端末Ｔｍの端末情報を記憶・通知する処理を順次実行
させることにより、不正アクセス端末ＴＦの端末情報を
収集することとしている。

【００６８】より詳述すれば、この実施の形態３に係る
外部端末Ｔｍは、パケットを受信した場合にリモート操
作を検出したときには、前段の外部端末Ｔｍの端末情報
をいったん記憶するとともに当該記憶された端末情報を
後段の外部端末Ｔｍに転送するように構成されている。

【００６９】より具体的には、外部端末Ｔｍは、情報記
憶部５０を備えている。情報記憶部５０は、前段の外部
端末Ｔｍの端末情報を記憶するものである。また、外部
端末Ｔｍの制御部５１は、リモート操作を検出するリモ
ート操作検出部５２を備えている。リモート操作は、あ
る外部端末Ｔｍから別の外部端末Ｔｍに対してネットワ
ーク経由でサービスを要求する操作のことである。リモ
ート操作に対応するパケットは、リモート操作に固有の
ポート番号を有している。リモート操作検出部５２は、
受信されたパケットの中のポート番号を参照し、リモー
ト操作か否かを検出する。

【００７０】また、外部端末の制御部５１は、情報制御
部５３を備えている。情報制御部５３は、リモート操作
検出部５２によりリモート操作であることが検出された
場合に、前段の外部端末Ｔｍに対して端末情報の送信要
求を送受信部２０を介して送出し、前段の外部端末Ｔｍ
から送信されてきた端末情報を情報記憶部５０に記憶す
る。また、情報制御部５３は、リモート操作であると検
出された場合に、前段の外部端末Ｔｍから端末情報専用
パケットが送信されているとき、当該端末情報専用パケ
ットを後段の外部端末Ｔｍに転送する。一方、端末情報
専用パケットが送信されていないときには、情報記憶部
５０に記憶された端末情報を含む端末情報専用パケット
を新たに生成し、当該端末情報専用パケットを後段の外
部端末Ｔｍに送信する。

【００７１】図１０は、この実施の形態３において不正
アクセスを監視する際の通信シーケンス図である。不正
アクセス端末ＴＦは、内部通信ネットワーク２の任意の
正規端末Ｔｎにアクセスする場合、自端末の端末情報を
含む接続要求パケットを送出する。この場合、不正アク
セス端末ＴＦは、リモート操作であることを示すポート
番号をパケット制御情報に含ませる。この接続要求パケ
ットは、外部通信ネットワーク１内の第１外部端末Ｔ１
にて受信される。

【００７２】第１外部端末Ｔ１内のリモート操作検出部
５２は、この接続要求パケットを受信すると、ポート番
号を参照し、リモート操作であるか否かを検出する（Ｕ
１）。リモート操作であれば、第１外部端末Ｔ１内の情
報制御部５３は、端末情報専用パケットを受信したか否
かを判別する。この場合、端末情報専用パケットを受信
していないから、情報制御部５３は、端末情報の送信要
求パケットを不正アクセス端末ＴＦに送信する（Ｕ
２）。不正アクセス端末ＴＦは、これに応答して、ＭＡ
Ｃアドレス、ＩＰアドレスおよびユーザ名からなる端末
情報（ＴＦ情報）を含む要求応答パケットを第１外部端
末ＴＦに送信する（Ｕ３）。

【００７３】第１外部端末Ｔ１は、この要求応答パケッ
ト内のＴＦ情報を情報記憶部５０に記憶するとともに
（Ｕ４）、上記ＴＦ情報を含む端末情報専用パケットを
新たに生成し、当該端末情報専用パケットを接続要求パ
ケットとともに後段の第２外部端末Ｔ２に送信する（Ｕ
５）。

【００７４】第２外部端末Ｔ２のリモート操作検出部５
２は、受信された接続要求パケット中のポート番号を参
照し、リモート操作であるか否かを検出する（Ｕ６）。
リモート操作である場合には、情報制御部５３は、端末
情報専用パケットを受信したか否かを判別する。この場
合には端末情報専用パケットを受信しているから、情報
制御部５３は、受信されている端末情報専用パケット内
のＴＦ情報を情報記憶部５０に記憶するとともに、上記
端末情報専用パケットをそのまま後段の第３外部端末Ｔ
３に転送する（Ｕ７）。また、情報制御部５３は、受信
された接続要求パケットも第３外部端末Ｔ３に転送する
（Ｕ７）。

【００７５】その後、ゲートウエイＧＷに至るまでの第
３外部端末Ｔ３および第４外部端末Ｔ４は、第２外部端
末Ｔ２と同様に、リモート操作であることを検出した場
合に（Ｕ８、Ｕ１０）、ＴＦ情報を情報記憶部５０に記
憶し、端末情報専用パケットを転送していく（Ｕ９、Ｕ
１１）。その結果、端末情報専用パケットはゲートウエ
イＧＷに到達する。

【００７６】ゲートウエイＧＷは、接続要求パケットの
パケット制御情報に基づいて、当該アクセスが正規ユー
ザからのものであるか否かを判別する（Ｕ１２）。正規
ユーザからのものであれば、ゲートウエイＧＷは、当該
アクセスを正規端末Ｔｎに導く。この場合、ＴＦ情報を
破棄する。一方、不正ユーザであれば、ゲートウエイＧ
Ｗは、上記端末情報専用パケットを管理端末Ｔｋに転送
する（Ｕ１３）。管理端末Ｔｋは、端末情報専用パケッ
トを受信すると、当該パケットからＴＦ情報を抽出し、
情報記憶部３２に記憶させる。こうして、不正アクセス
端末ＴＦを特定することができる。

【００７７】管理端末Ｔｋは、ＴＦ情報の記憶が完了す
ると、ＴＦ情報の記憶完了を示す完了パケットをゲート
ウエイＧＷに送信する（Ｕ１４）。これに応答して、ゲ
ートウエイＧＷは、当該不正アクセス端末ＴＦからのア
クセスを拒否する。

【００７８】以上のようにこの実施の形態３によれば、
不正アクセス経路となる複数の外部端末Ｔｍにおいて不
正アクセス端末ＴＦの端末情報を記憶・通知する処理を
順次実行させている。したがって、罠ネットワークＮｗ
を備えなくても、不正アクセス端末ＴＦの端末情報を収
集することができる。そのため、不正アクセス端末ＴＦ
を容易に特定することができる。

【００７９】また、不正アクセス端末ＴＦの端末情報を
記憶した後に不正アクセスを拒否している。すなわち、
不正アクセスを迅速に排除しているから、内部通信ネッ
トワーク２内の正規端末Ｔｎを保護することができる。

【００８０】実施の形態４ 図１１は、この発明の実施の形態４に係る外部端末Ｔｍ
の内部構成を示す機能ブロック図である。図１１におい
て、図９と同じ機能部分については同一の参照符号を使
用する。

【００８１】上記実施の形態３では、不正アクセスであ
る場合にＴＦ情報を管理端末Ｔｋにて記憶させることに
より、不正アクセス端末ＴＦを特定するようにしてい
る。しかし、もしもＴＦ情報が改ざんされていれば、Ｔ
Ｆ情報を記憶しても不正アクセス端末ＴＦを正確に特定
できないことになる。そこで、この実施の形態４では、
ＴＦ情報が改ざんされているか否かを検出し、その検出
結果に応じた処理を行うようにしている。

【００８２】より詳述すれば、この実施の形態４に係る
外部端末Ｔｍの制御部６０は、リモート操作検出部５２
および情報制御部５３の他に、電子署名部６１、暗号化
部６２、フィルタリング部６３および改ざん検出部６４
を備えている。電子署名部６１は、情報記憶部５０に記
憶されたＴＦ情報を読み出して当該ＴＦ情報に対して電
子署名を施すものである。暗号化部６２は、電子署名が
施されたＴＦ情報に対して所定の秘密鍵を用いて暗号化
を施すものである。このように、ＴＦ情報に対して電子
署名を施し暗号化を施すのは、不正ユーザが容易に復号
化して内容を把握することができないようにするためで
ある。

【００８３】フィルタリング部６３は、この暗号化され
たＴＦ情報を一方向関数などの所定関数でフィルタリン
グし、フィルタリング結果を求めるものである。この場
合、フィルタリング結果は、演算対象となったＴＦ情報
に対応する結果となっている。フィルタリング部６３
は、求められたフィルタリング結果を改ざん検出部６４
に与える。

【００８４】改ざん検出部６４は、他の外部端末Ｔｍか
ら別のフィルタリング結果が送信されてきたか否かを判
別し、その判別結果に応じた処理を実行するものであ
る。より具体的には、他の外部端末Ｔｍから別のフィル
タリング結果が送信されてきていない場合、改ざん検出
部６４は、上記フィルタリング結果を第１のフィルタリ
ング結果（第１の演算結果データ）とし、上記ＴＦ情報
とともに後段の外部端末Ｔｍに送信する。

【００８５】一方、他の外部端末Ｔｍから別のフィルタ
リング結果が送信されてきている場合、すなわち第１の
フィルタリング結果が送信されてきている場合、改ざん
検出部６４は、上記第１のフィルタリング結果と、自端
末のフィルタリング部６３から与えられたフィルタリン
グ結果（第２のフィルタリング結果：第２の演算結果デ
ータ）とを比較し、一致しているか否かを判別する。

【００８６】一致していれば、改ざん検出部６４は、第
１のフィルタリング結果を上記ＴＦ情報とともに後段の
外部端末Ｔｍに送信する。この場合、すべての外部端末
Ｔ１〜Ｔ４において第１および第２のフィルタリング結
果が一致していれば、当該アクセスは、ゲートウエイＧ
Ｗに到達する。ゲートウエイＧＷは、不正アクセスであ
るか否かにかかわらず、当該アクセスを管理端末Ｔｋに
導く。一方、一致していなければ、前段の外部端末Ｔｍ
にてＴＦ情報が改ざんされたものと考えられるから、改
ざん検出部６４は、以降の外部端末Ｔｍへのアクセスを
禁止するとともに、当該アクセスを強制切断する。すな
わち、ＴＦ情報が改ざんされていれば、当該アクセスを
内部通信ネットワーク２にまで導いても、不正アクセス
端末ＴＦを特定することができないからである。

【００８７】図１２は、この実施の形態４に係る管理端
末Ｔｋの内部構成を示す機能ブロック図である。図１２
において、図５と同じ機能部分についは同一の参照符号
を使用する。管理端末Ｔｋの制御部７０は、ＩＰアドレ
ス変更部３４および記憶制御部３５の他に、電子署名部
７１、暗号化部７２、フィルタリング部７３および改ざ
ん検出部７４を備えている。電子署名部７１、暗号化部
７２およびフィルタリング部７３の構成は、外部端末Ｔ
ｍと同一である。

【００８８】改ざん検出部７４は、自端末で求められた
フィルタリング結果（第３のフィルタリング結果：第３
の演算結果データ）と第１のフィルタリング結果とを比
較する。一致していれば、管理端末ＴｋにおいてＴＦ情
報が改ざんされていないと考えられるから、当該アクセ
スは正規アクセスであると判断することができる。一
方、一致していなければ、管理端末Ｔｋにまで不正アク
セスが入り込んで管理端末ＴｋにてＴＦ情報の改ざんが
行われたと考えられるから、管理端末Ｔｋの改ざん検出
部７４は、ゲートウエイＧＷの直前の第４外部端末Ｔ４
に対して、記憶されているＴＦ情報の送信要求を示す送
信要求パケットを送信する。その結果、第４外部端末Ｔ
４からＴＦ情報を含む要求応答パケットが管理端末Ｔｋ
宛に返信されてくる。これにより、管理端末Ｔｋは、真
のＴＦ情報を得ることができる。

【００８９】以上のようにこの実施の形態４によれば、
各外部端末ＴｍにおいてＴＦ情報が改ざんされているか
否かを検出し、改ざんされていればそれ以降のアクセス
を拒否している。したがって、内部通信ネットワーク２
においては、不正アクセス端末ＴＦの無駄な特定作業を
行わなくて済む。また、万が一不正アクセスが内部通信
ネットワーク２に侵入し、内部ネットワーク２にてＴＦ
情報が改ざんされても、外部端末Ｔｍから真のＴＦ情報
を取得するようにしているから、内部通信ネットワーク
２において不正アクセス端末ＴＦを容易に特定すること
ができる。

【００９０】

【発明の効果】以上のようにこの発明によれば、不正ア
クセスを検出した場合に、罠端末と不正アクセス端末と
の回線を接続させ、不正アクセス端末において所定の罠
処理が実行された場合に、不正アクセス端末の端末情報
を内部通信ネットワークに送信するようにしている。し
たがって、内部通信ネットワークは、不正アクセス端末
の端末情報を取得することができる。そのため、不正ア
クセス端末を容易に特定することができる。

【００９１】また、この発明によれば、外部端末におい
てリモート操作を検出した場合であって、アクセス元の
端末の端末情報を受信した場合に、当該アクセス元の端
末情報を後段の外部端末に転送するようにしている。し
たがって、内部通信ネットワークには、内部通信ネット
ワークの直前の外部端末からアクセス元の端末の端末情
報が送信されることになる。そのため、不正アクセス元
の外部端末を容易に特定することができる。

【図面の簡単な説明】

【図１】 この発明の実施の形態１に係る不正アクセス
監視方法が用いられた通信ネットワークの全体構成を示
す概念図である。

【図２】 パケットの構成を示す概念図である。

【図３】 罠端末の内部構成を示す機能ブロック図であ
る。

【図４】 外部端末の内部構成を示す機能ブロック図で
ある。

【図５】 管理端末の内部構成を示す機能ブロック図で
ある。

【図６】 実施の形態１に係る不正アクセス端末を特定
する際の通信シーケンス図である。

【図７】 この発明の実施の形態２に係る罠端末の内部
構成を示す機能ブロック図である。

【図８】 実施の形態２に係る不正アクセス端末を特定
する際の通信シーケンス図である。

【図９】 この発明の実施の形態３に係る外部端末の内
部構成を示す機能ブロック図である。

【図１０】 実施の形態３に係る不正アクセス端末を特
定する際の通信シーケンス図である。

【図１１】 実施の形態４に係る外部端末の内部構成を
示す機能ブロック図である。

【図１２】 実施の形態４に係る管理端末の内部構成を
示す機能ブロック図である。

【符号の説明】

１ 外部通信ネットワーク、２ 内部通信ネットワー
ク、Ｔｍ 外部端末、Ｔｗ 罠端末、１１ プログラム
記憶部、２２ 送信要求部、２３ 要求応答部、２４
情報送信部、２５ 送信命令転送部、３４ ＩＰアドレ
ス変更部、３５記憶制御部、４０ データベース、Ｆ
罠ファイル、Ｐ 情報収集プログラム、５２ リモート
操作検出部、５３ 情報制御部、６１ 電子署名部、６
２ 暗号化部、６３ フィルタリング部、６４ 改ざん
検出部、７１ 電子署名部、７２暗号化部、７３ フィ
ルタリング部、７４ 改ざん検出部。

Claims (13)

【特許請求の範囲】
1. 【請求項１】 直接通信する端末間のアドレスをパケッ
   ト制御情報に含ませるようにした通信プロトコルに従っ
   てパケットを送受する外部通信ネットワークと、この外
   部通信ネットワークにゲートウエイを介して接続された
   内部通信ネットワークとを有する通信ネットワークに用
   いられる不正アクセス監視方法であって、 上記ゲートウエイにおいて、外部通信ネットワークの端
   末である外部端末からアクセスがあった場合に、そのア
   クセスが不正アクセスであるか否かを検出する不正アク
   セス検出ステップと、 不正アクセスであると検出された場合に、内部通信ネッ
   トワーク内の罠端末と外部通信ネットワークのアクセス
   元の外部端末との間で通信回線を接続する回線接続ステ
   ップと、 通信回線接続中に、アクセス元の外部端末が予め定めら
   れた罠処理を実行することにより、当該アクセス元の外
   部端末の端末情報を内部通信ネットワーク内の管理端末
   に送信する情報送信ステップとを含む不正アクセス監視
   方法。
2. 【請求項２】 請求項１において、情報送信ステップ
   は、 通信回線接続中に、所定の罠コマンドが実行されたこと
   に応答して罠端末から外部端末に対して情報送信命令を
   送信するステップと、 外部端末において情報送信命令を受信した場合に、当該
   外部端末の前段の外部端末の端末情報を取得し内部通信
   ネットワーク内の管理端末に送信するステップと、 外部端末において情報送信命令を受信した場合に、当該
   外部端末の前段の外部端末に対して上記情報送信命令を
   転送するステップとを含む不正アクセス監視方法。
3. 【請求項３】 請求項２において、端末情報を内部通信
   ネットワーク内の管理端末に送信するステップは、 外部端末において上記情報送信命令を受信した場合に、
   当該外部端末の前段の外部端末に対して端末情報の送信
   を要求するステップと、 前段の外部端末から端末情報が送信されてきた場合に、
   当該端末情報を内部通信ネットワーク内の管理端末に送
   信するステップとを含む不正アクセス監視方法。
4. 【請求項４】 請求項２または３において、罠コマンド
   は、上記罠端末内のファイルまたはプログラムの識別情
   報を表示させるコマンドである不正アクセス監視方法。
5. 【請求項５】 請求項１において、情報送信ステップ
   は、通信回線接続後に、外部端末において内部通信ネッ
   トワーク内の罠端末からダウンロードされた情報収集プ
   ログラム内蔵の罠ファイルを予め定められたファイル操
   作プログラムにより起動された場合に、当該外部端末の
   端末情報を内部通信ネットワーク内の管理端末に送信さ
   せるものである不正アクセス監視方法。
6. 【請求項６】 請求項５において、ファイルは、パスワ
   ードファイル、アクセスログファイルおよび／またはコ
   ンフィギュレーションファイルである不正アクセス監視
   方法。
7. 【請求項７】 直接通信する端末間のアドレスをパケッ
   ト制御情報に含ませるようにした通信プロトコルに従っ
   てパケットを送受する外部通信ネットワークと、この外
   部通信ネットワークにゲートウエイを介して接続された
   内部通信ネットワークとを有する通信ネットワークに用
   いられる不正アクセス監視方法であって、 アクセス元の外部端末から回線接続が要求された外部端
   末において、リモート操作であるか否かを判別するリモ
   ート判別ステップと、 リモート操作であると判別された場合に、アクセス元の
   外部端末の端末情報を取得し後段の外部端末に転送する
   情報取得・転送ステップと、 後段の外部端末において上記アクセス元の外部端末の端
   末情報をさらに後段の外部端末に転送する情報転送ステ
   ップと、 ゲートウエイにおいて、外部端末からアクセスがあった
   場合に、不正アクセスであるか否かを検出する不正アク
   セス検出ステップと、 不正アクセスであると検出された場合に、上記アクセス
   元の端末の端末情報を内部通信ネットワーク内の管理端
   末に転送するステップとを含む不正アクセス監視方法。
8. 【請求項８】 請求項７において、さらに、 管理端末においてアクセス元の端末情報を受信したか否
   かを判別するステップと、 アクセス元の端末情報を受信した場合に、アクセス元の
   端末との回線接続を強制終了するステップとを含む不正
   アクセス監視方法。
9. 【請求項９】 請求項７または８において、情報取得・
   転送ステップは、 アクセス元の端末から取得された端末情報を記憶するス
   テップと、 記憶された端末情報に対して所定の暗号化処理を施すこ
   とにより上記端末情報に対応する第１の演算結果データ
   を求めるステップと、 この求められた第１の演算結果データを上記アクセス元
   の端末情報とともに後段の外部端末に転送するステップ
   とを有するものであり、 第１の演算結果データおよびアクセス元の端末情報を受
   信した後段の外部端末において、受信されたアクセス元
   の端末情報に対して上記暗号化処理を施すことにより上
   記端末情報に対応する第２の演算結果データを求めるス
   テップと、 上記第１の演算結果データと上記第２の演算結果データ
   とを比較することにより、上記端末情報の改ざんが行わ
   れたか否かを判別するステップと、 上記端末情報の改ざんが行われたと判別された場合に、
   当該アクセスを強制切断するステップとをさらに含む不
   正アクセス監視方法。
10. 【請求項１０】 請求項９において、さらに、 上記端末情報の改ざんが行われていないと判別された場
    合に、上記第１の演算結果データを上記アクセス元の端
    末情報とともにさらに後段の外部端末に転送するステッ
    プと、 不正アクセス検出ステップにおいて不正アクセスでない
    と検出された場合においても、上記第１の演算結果デー
    タおよびアクセス元の端末情報を含む当該アクセスを内
    部通信ネットワーク内の管理端末に導くステップと、 管理端末において受信されたアクセス元の端末情報に対
    して上記暗号化処理を施すことにより上記端末情報に対
    応する第３の演算結果データを求めるステップと、 上記第１の演算結果データと上記第３の演算結果データ
    とを比較することにより、上記端末情報の改ざんが行わ
    れたか否かを判別するステップと、 改ざんが行われた場合に、記憶されているアクセス元の
    端末情報を管理端末に送信するように外部端末に命令す
    るステップとを含む不正アクセス監視方法。
11. 【請求項１１】 請求項１ないし１０のいずれかにおい
    て、端末情報は、ＭＡＣアドレス、ＩＰアドレスおよび
    ユーザ名を含むものである不正アクセス監視方法。
12. 【請求項１２】 直接通信する端末間のアドレスをパケ
    ット制御情報に含ませるようにした通信プロトコルに従
    ってパケットを送受する外部通信ネットワークにゲート
    ウエイを介して接続された内部通信ネットワークにおい
    て、 外部通信ネットワークの端末からアクセスがあった場合
    に、そのアクセスが不正アクセスであるか否かを検出す
    る手段と、 不正アクセスであると検出された場合に、上記アクセス
    が導かれる罠端末とを備え、 上記罠端末は、上記アクセスが導かれた場合に、外部通
    信ネットワークのアクセス元の端末と通信回線を接続す
    る手段と、通信回線接続中においてアクセス元の端末が
    所定の罠コマンドを実行するか否かを判別する手段と、
    上記罠コマンドが実行されたと判別された場合に、前段
    の端末の端末情報を取得し内部通信ネットワークに送信
    すること、および当該送信命令を前段の端末に対して転
    送することを規定した送信命令を外部通信ネットワーク
    の端末に対して送出する手段とを含むものである内部通
    信ネットワーク。
13. 【請求項１３】 直接通信する端末間のアドレスをパケ
    ット制御情報に含ませるようにした通信プロトコルに従
    ってパケットを送受する外部通信ネットワークにゲート
    ウエイを介して接続された内部通信ネットワークにおい
    て、 外部通信ネットワークの端末からアクセスがあった場合
    に、そのアクセスが不正アクセスであるか否かを検出す
    る手段と、 不正アクセスであると検出された場合に、上記アクセス
    が導かれる罠端末とを備え、 上記罠端末は、上記アクセスが導かれた場合に、外部通
    信ネットワークのアクセス元の端末と通信回線を接続す
    る手段と、予め定められたファイル操作プログラムによ
    り起動され、起動端末の端末情報を収集し内部通信ネッ
    トワーク内の管理端末に送信するように規定された情報
    収集プログラムが埋め込まれた罠ファイルをダウンロー
    ド可能に記憶するデータベースとを含むものである内部
    通信ネットワーク。